(57)【要約】【課題】マルチキャスト通信に対する認証をスイッチで行う。【解決手段】スイッチ３０は、端末４１〜４３からグループアドレスと端末のアドレスとを含む配信要求をポートを介して受信する。スイッチ３０は、そのポートが属するＶＬＡＮのＶＬＡＮ  ＩＤを特定する。スイッチ３０は、配信要求をｓｎｏｏｐｉｎｇし及び認証テーブルを参照し、配信要求に含まれるグループアドレスについて、端末のアドレスとＶＬＡＮ  ＩＤとの組が記憶されているか判断する。記憶されていると、スイッチ３０は、グループアドレスと該ポートのポート識別子とをフォワーディングテーブルに記憶する。スイッチ３０は、グループアドレスを含むマルチキャストデータをルータ２０から受信すると、フォワーディングテーブルを参照して、グループアドレスに対応するポート識別子を特定し、そのマルチキャストデータを端末に送信する。【選択図】図２
2008060631.tif 000002
【特許請求の範囲】
【請求項１】
マルチキャストデータを受信するための第１のポートと、該マルチキャストデータを端末に送信するための複数の第２のポートとを有し、前記第２のポートのひとつ又は複数を含む仮想ネットワークが複数構成されるための複数のポートと、
マルチキャストデータのグループを識別するグループ識別子に対応して、該グループのマルチキャストデータを特定の仮想ネットワークにおいて受信することが予め許可された前記端末のアドレスと、該仮想ネットワークの識別子との組が記憶された認証テーブルと、
マルチキャストデータのグループ識別子に対応して、受信された該グループのマルチキャストデータを送信するための前記第２のポートのポート識別子が記憶されるフォワーディングテーブルと、
前記端末からのマルチキャストデータの配信要求に対して、受信が許可されているか否かを判断するための認証処理、及び、受信されたマルチキャストデータを前記フォワーディングテーブルに従い前記端末へ送信する転送処理を行う処理部と
を備え
前記認証処理は、前記処理部が、
前記端末から、グループ識別子と前記端末のアドレスとを含む配信要求を、前記第２のポートのひとつを介して受信することと、
該配信要求を受信した前記第２のポートに基づき、該第２のポートが属する仮想ネットワークの識別子を特定することと、
前記認証テーブルを参照し、受信された配信要求に含まれるグループ識別子に対応して、配信要求に含まれる前記端末のアドレスと特定された仮想ネットワークの識別子との組が記憶されているか判断することと、
前記認証テーブルに記憶されていると判断されると、受信された配信要求に含まれるグループ識別子と、配信要求を受信した前記第２のポートのポート識別子とを、前記フォワーディングテーブルに記憶し、及び、前記認証テーブルに記憶されていないと判断されると、受信された配信要求を廃棄すること
を含む通信装置。
【請求項２】
前記転送処理は、前記処理部が、
マルチキャストデータを配信又は転送する装置から、グループ識別子を含むマルチキャストデータを前記第１のポートを介して受信することと、
該グループ識別子に基づき前記フォワーディングテーブルを参照して、対応するひとつ又は複数のポート識別子を特定することと
特定されたポート識別子が示す前記第２のポートを介して、受信されたマルチキャストデータ又は該マルチキャストデータを複製したデータを前記端末に送信すること
を含む請求項１に記載の通信装置。
【請求項３】
前記処理部は、
前記端末のアドレスと仮想ネットワークの識別子との組が前記認証テーブルに記憶されていると判断されると、さらに、受信された配信要求を、マルチキャストデータを配信又は転送する装置に送信し、
該配信要求を受信した該装置から、マルチキャストデータを受信する請求項２に記載の通信装置。
【請求項４】
前記仮想ネットワークは、予め定められたエリアにある前記端末と接続されるひとつ又は複数のポートをまとめて仮想ネットワークが構成されたものであり、
エリアに応じてマルチキャストデータの受信を許可又は拒否することを特徴とする請求項１乃至３のいずれかに記載の通信装置。
【請求項５】
前記認証テーブルは、グループ識別子に対応して、第１の端末のアドレスと、仮想ネットワーク識別子とが記憶され、
前記処理部は、第２の端末から配信要求を受信すると、前記認証テーブルに従い、受信された配信要求を廃棄することを特徴とする請求項１乃至４のいずれかに記載の通信装置。
【請求項６】
前記認証テーブルは、グループ識別子に対応して、第１の端末のアドレスと、第１の仮想ネットワーク識別子とが記憶され、
前記処理部は、第２の仮想ネットワークに対応する前記第２のポートを介して第１の端末から配信要求を受信すると、前記認証テーブルに従い、受信された配信要求を廃棄することを特徴とする請求項１乃至４のいずれかに記載の通信装置。
【請求項７】
マルチキャストデータを受信するための第１のポートと、該マルチキャストデータを端末に送信するための複数の第２のポートとを有する通信装置を備え、前記第２のポートのひとつ又は複数を含む仮想ネットワークが複数構成されたネットワークにおいて、
端末から、グループ識別子と端末のアドレスとを含む配信要求を受信するステップと、
該配信要求を受信したポートが属する仮想ネットワークの識別子を特定するステップと、
マルチキャストデータのグループを識別するグループ識別子に対応して、該グループのマルチキャストデータを特定の仮想ネットワークにおいて受信することが予め許可された端末のアドレスと、該仮想ネットワークの識別子との組が記憶された認証テーブルを参照し、受信された配信要求に含まれるグループ識別子に対応して、配信要求に含まれる端末のアドレスと特定された仮想ネットワークの識別子との組が記憶されているか判断するステップと、
認証テーブルに記憶されていると判断されると、受信された配信要求に含まれるグループ識別子と、配信要求を受信したポートのポート識別子とを、フォワーディングテーブルに記憶し、及び、認証テーブルに記憶されていないと判断されると、受信された配信要求を廃棄するステップと、
受信されたマルチキャストデータを、フォワーディングテーブルに従いポートに接続された端末へ送信するステップと
を含むマルチキャストユーザ認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置及びマルチキャストユーザ認証方法に係り、特に、ＩＰネットワークシステムにおけるマルチキャストデータを、受信許可された特定の端末にのみ配信する通信装置及びマルチキャストユーザ認証方法に関する。
【背景技術】
【０００２】
現在、ＩＰネットワークシステムにおいてマルチキャスト中継機能を利用したデータ配信技術が利用されつつある。このマルチキャストデータを制御する技術として、例えば、ＩＧＭＰ／ＭＬＤ（Ｉｎｔｅｒｎｅｔ  Ｇｒｏｕｐ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ／Ｍｕｌｔｉｃａｓｔ  Ｌｉｓｔｅｎｅｒ  Ｄｉｓｃｏｖｅｒｙ）及びＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇ技術がある（例えば、非特許文献１、２、３参照）。
【０００３】
図１に示すように端末１（１４１）、端末２（１４２）がグループ１（Ｇ１）宛ＩＧＭＰ／ＭＬＤによる受信要求をルーター１２０に対して送信することで、マルチキャスト送信者１１０が送信しているマルチキャストデータ（Ｄ１１０）を、端末１（１４１）、端末２（１４２）で受信することが可能となる。
【０００４】
また、スイッチにてＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇを動作させることによってＩＧＭＰ／ＭＬＤによる受信要求をしていない端末３（１４３）に対しては，マルチキャストデータ（Ｄ１１０）を送信しない。これにより、例えばマルチキャストデータの発散を防ぐことを可能としている。もしも、端末３（１４３）がＩＧＭＰ／ＭＬＤによりマルチキャストデータ（Ｄ１１０）を受信するために受信要求をスイッチ１３０等に送信したときは、端末３（１４３）はマルチキャストデータを受信することが可能となる。
【０００５】
また、クライアント装置とルーティング装置との間にスヌーピング装置を設置した通信システムが開示されている（例えば、特許文献１参照）。このシステムでは、スヌーピング装置は、認証を伴うＩＧＭＰ受信要求を、ルーティング装置にそのまま送信し、認証サーバ装置で、例えば、ユーザＩＤ、パスワード、マルチキャストアドレス等が登録してあるデータベースと合致するか判断している。
【０００６】
【特許文献１】特開２００４−３５７２００号公報
【非特許文献１】ＲＦＣ２２３６  Ｉｎｔｅｒｎｅｔ  Ｇｒｏｕｐ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ  ２
【非特許文献２】ＲＦＣ２７１０  Ｍｕｌｔｉｃａｓｔ  Ｌｉｓｔｅｎｅｒ  Ｄｉｓｃｏｖｅｒｙ  （ＭＬＤ）  ｆｏｒ  ＩＰｖ６
【非特許文献３】Ｉｎｔｅｒｎｅｔ−Ｄｒａｆｔ  ＩＧＭＰ  ａｎｄ  ＭＬＤ  ｓｎｏｏｐｉｎｇ  ｓｗｉｔｃｈｅｓ  ｄｒａｆｔ−ｉｅｔｆ−ｍａｇｍａ−ｓｎｏｏｐ−１０．ｔｘｔ
【非特許文献４】ＩＧＡＰ（ＩＧＭＰ  ｆｏｒ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）  ｄｒａｆｔ−ａｎｄｏｕ−ｉｇｍｐ−ａｕｔｈ−０１．ｔｘｔ
【非特許文献５】ＭＬＤＡ（Ｍｕｌｔｉｃａｓｔ  Ｌｉｓｔｅｎｅｒ  Ｄｉｓｃｏｖｅｒｙ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）  ｄｒａｆｔ−ｈａｙａｓｈｉ−ｍｌｄａ−０１．ｔｘｔ
【発明の開示】
【発明が解決しようとする課題】
【０００７】
マルチキャスト中継は、特定多数のユーザにデータの配信を容易に行うことができる反面、特定データ配信に対する参加要求を端末が実施することによって、善意・悪意に関わらず受信可能となる。例えば、上述の各システムでは、システムに接続が可能であればどの端末でも、上記のようにマルチキャストデータ（Ｄ１１０）を受信できる。しかしながら、例えば、あるマルチキャストグループのマルチキャストデータは、特定の端末のみに配信を許可し、それ以外の端末には配信したくない場合もある。
【０００８】
このような特定の端末にのみマルチキャストを配信するシステムを実現するものとしては、例えば、以下のものが考えられる。
（１）システムへのアクセス自体を認証
ユニキャストやマルチキャストのようなデータ種別に関係なく、システムへのアクセス自体に認証を設けることで、システム全体のセキュリティーを保つ。
（２）ＩＧＡＰ／ＭＬＤＡによるプロトコルによる認証
マルチキャストを使用するシステムにおいて、ルーターと端末がプロトコルを用いて認証を行い、許可された端末のみ受信可能とする（例えば、非特許文献４、５参照）。
（３）ネットワーク機器でのアクセスフィルター
ルーターやスイッチにおいて、物理ポートに対して宛先ＩＰアドレスやＭＡＣアドレスによるアクセスフィルターを設定することにより、許可された端末のみ受信可能とする。
【０００９】
マルチキャストデータ通信は、上記手段のいずれかを用いてセキュリティーを保つことが考えられるが、それぞれ以下の課題がある。
上述（１）のシステムでは、システムへのアクセスが認められていれば、どのマルチキャストデータについても、誰でもＩＧＭＰやＭＬＤで受信要求をするだけで受信可能となる。また、上述（２）のようにプロトコルによる認証に関しては、ルーター、端末がそれぞれ、プロトコルに対応している必要がある。すなわち、例えば、企業内ネットワークに適用する場合には、企業内の全てのルーター及び端末のハードウェアやソフトウェアの入れ替えをすることになり、コストがかかり過ぎてしまう。さらに、上述（３）のアクセスフィルターでは、マルチキャストデータが増えた際に、フィルタリングエントリー数が増え、ルーターやスイッチのリソースを多く消費してしまう。また、端末が同じルーターやスイッチ内での移設でも設定変更が必要で、管理者の工数も増加してしまう。
【００１０】
また、マルチキャストグループ毎に配信する端末を制限する以外に、さらに、端末がマルチキャストデータを受信するエリア、ポート、ＶＬＡＮ（Ｖｉｒｔｕａｌ  ＬＡＮ、仮想ネットワーク）を制限したい場合もある。
【００１１】
例えば、企業内のネットワークにおいては、全員が見られる（端末に配信可能な）情報のほか、正社員が見られる情報、派遣社員が見られる情報、他社からの出向者が見られる情報等を分けたい場合がある。また、正社員と派遣社員が見られる情報など対象が適宜組み合わされていることもある。さらに、正社員の中でも、ある役職以上の者にのみ見せる情報もある。また、企業の合併、事業部の再編等の際には、例えば合併前の一方の社員にのみ配信したい場合もある。
さらに、同じマルチキャストグループ、同じ端末であっても、例えばホールなどの公共性のある場所では配信を制限し、会議室等では配信を許可するなどのニーズもある。
【００１２】
本発明は、以上の点に鑑み、マルチキャスト通信に対する認証をスイッチ（通信装置）で行う当該通信装置及びマルチキャストユーザ認証方法を提供することを目的とする。また、本発明は、システム内の変更を最小限に抑え、且つ、導入コストを低く抑えることを目的のひとつとする。例えば、本発明は、既存のシステムからの変更をスイッチのみとすることを目的のひとつとする。本発明は、マルチキャストデータ通信を行う上でのセキュリティーを向上し、重要なデータをマルチキャスト配信することが可能となるスイッチを提供することを目的のひとつとする。
【００１３】
本発明は、マルチキャストグループ毎に、配信する端末、ＶＬＡＮを制限することを目的とする。さらに、本発明は、同じマルチキャストグループ、同じ端末であっても、端末がある場所にいる又はあるＶＬＡＮに属する場合には配信を制限し、他の場所にいる又は他のＶＬＡＮに属する場合には配信を許可することができるスイッチ及び認証方法を提供することを目的のひとつとする。
【課題を解決するための手段】
【００１４】
図２において、スイッチ３０で端末１（４１）からのＩＧＭＰ／ＭＬＤによるｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ（マルチキャストデータの受信要求又は配信要求）（Ｄ２０）をｓｎｏｏｐｉｎｇ（スヌーピング、監視、覗き見）し、そのｓｏｕｒｃｅ  ＭＡＣアドレス（送信元ＭＡＣアドレス）で認証を行う。スイッチ３０では、予め設定によって許可された端末１（４１）のｓｏｕｒｃｅ  ＭＡＣアドレスであることを確認後、ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ（Ｄ２０）をルーター２０に中継する。ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ（Ｄ２０）を受信したルーター２０は、マルチキャスト送信者１０から送信されているマルチキャストデータ受信要求とみなし，マルチキャストデータ（Ｄ１０）をスイッチ３０に対して送信する。マルチキャストデータ（Ｄ１０）を受信したスイッチ３０はＭＡＣアドレスフォワーディングテーブルを参照し、ポート１に接続する受信者の端末４１に対して、マルチキャストデータ（Ｄ１０）を送信する。
【００１５】
本発明では、例えば、ＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇ機能と認証機能を連動して、マルチキャスト認証機能を実現する。
本発明の第１の解決手段によると、
マルチキャストデータを受信するための第１のポートと、該マルチキャストデータを端末に送信するための複数の第２のポートとを有し、前記第２のポートのひとつ又は複数を含む仮想ネットワークが複数構成されるための複数のポートと、
マルチキャストデータのグループを識別するグループ識別子に対応して、該グループのマルチキャストデータを特定の仮想ネットワークにおいて受信することが予め許可された前記端末のアドレスと、該仮想ネットワークの識別子との組が記憶された認証テーブルと、
マルチキャストデータのグループ識別子に対応して、受信された該グループのマルチキャストデータを送信するための前記第２のポートのポート識別子が記憶されるフォワーディングテーブルと、
前記端末からのマルチキャストデータの配信要求に対して、受信が許可されているか否かを判断するための認証処理、及び、受信されたマルチキャストデータを前記フォワーディングテーブルに従い前記端末へ送信する転送処理を行う処理部と
を備え
前記認証処理は、前記処理部が、
前記端末から、グループ識別子と前記端末のアドレスとを含む配信要求を、前記第２のポートのひとつを介して受信することと、
該配信要求を受信した前記第２のポートに基づき、該第２のポートが属する仮想ネットワークの識別子を特定することと、
前記認証テーブルを参照し、受信された配信要求に含まれるグループ識別子に対応して、配信要求に含まれる前記端末のアドレスと特定された仮想ネットワークの識別子との組が記憶されているか判断することと、
前記認証テーブルに記憶されていると判断されると、受信された配信要求に含まれるグループ識別子と、配信要求を受信した前記第２のポートのポート識別子とを、前記フォワーディングテーブルに記憶し、及び、前記認証テーブルに記憶されていないと判断されると、受信された配信要求を廃棄すること
を含む通信装置が提供される。
【００１６】
本発明の第２の解決手段によると、
マルチキャストデータを受信するための第１のポートと、該マルチキャストデータを端末に送信するための複数の第２のポートとを有する通信装置を備え、前記第２のポートのひとつ又は複数を含む仮想ネットワークが複数構成されたネットワークにおいて、
端末から、グループ識別子と端末のアドレスとを含む配信要求を受信するステップと、
該配信要求を受信したポートが属する仮想ネットワークの識別子を特定するステップと、
マルチキャストデータのグループを識別するグループ識別子に対応して、該グループのマルチキャストデータを特定の仮想ネットワークにおいて受信することが予め許可された端末のアドレスと、該仮想ネットワークの識別子との組が記憶された認証テーブルを参照し、受信された配信要求に含まれるグループ識別子に対応して、配信要求に含まれる端末のアドレスと特定された仮想ネットワークの識別子との組が記憶されているか判断するステップと、
認証テーブルに記憶されていると判断されると、受信された配信要求に含まれるグループ識別子と、配信要求を受信したポートのポート識別子とを、フォワーディングテーブルに記憶し、及び、認証テーブルに記憶されていないと判断されると、受信された配信要求を廃棄するステップと、
受信されたマルチキャストデータを、フォワーディングテーブルに従いポートに接続された端末へ送信するステップと
を含むマルチキャストユーザ認証方法が提供される。
【発明の効果】
【００１７】
本発明によると、マルチキャスト通信に対する認証をスイッチ（通信装置）だけで行う当該通信装置及びマルチキャストユーザ認証方法を提供することができる。また、本発明によると、システム内の変更を最小限に抑え、且つ、導入コストを低く抑えることができる。例えば、本発明によると、既存のシステムからの変更をスイッチのみとすることができる。本発明によると、マルチキャストデータ通信を行う上でのセキュリティーを向上し、重要なデータをマルチキャスト配信することが可能となるスイッチを提供することができる。
【００１８】
本発明によると、マルチキャストグループ毎に、配信する端末、ＶＬＡＮを制限することができる。さらに、本発明によると、同じマルチキャストグループ、同じ端末であっても、端末がある場所にいる又はあるＶＬＡＮに属する場合には配信を制限し、他の場所にいる又は他のＶＬＡＮに属する場合には配信を許可することができるスイッチ及び認証方法を提供することができる。
【発明を実施するための最良の形態】
【００１９】
図２は、本実施の形態のシステム構成図を示す。
本システムは、例えば、マルチキャストデータを配信する装置（以下、マルチキャスト送信者と記す）１０と、マルチキャストデータ等のデータを転送するルーター２０と、スイッチ（通信装置）３０とを備える。
本システムは、ネットワーク（ＩＰ１０）に対して、マルチキャスト送信者１０とＩＰパケット（ユニキャスト、マルチキャスト）を中継するルーター２０とが接続されている。また、ネットワーク（ＩＰ１０）など適宜の場所にＤＨＣＰサーバ１を備えてもよい。
【００２０】
また、ルーター２０には、例えば、ＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇ機能とＭＡＣアドレス認証機能を有したスイッチ３０が接続されている。図２の例では、スイッチ３０には、マルチキャスト送信者１０から送信されるマルチキャストデータ（Ｄ１０）の受信が予め許可されている端末１（４１）と、受信が許可されていない端末２（４２）と、受信許可はされているが、受信する意思がない端末３（４３）とが接続されている。
【００２１】
図２の端末１（４１）は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信し、ＭＡＣアドレス及びＶＬＡＮ  ＩＤがスイッチに予め登録されているため、マルチキャストデータを受信できる。端末２（４２）は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信するが、ＭＡＣアドレス等がスイッチ３０に登録されていないためマルチキャストデータを受信できない。端末３（４３）は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信していないためマルチキャストデータを受信しない。
【００２２】
スイッチ３０は、例えば、複数のポートと、認証テーブル３１と、フォワーディングテーブル３２と、処理部とを有する。認証テーブル３１と、フォワーディングテーブル３２については後述する。
【００２３】
上述の複数のポートは、例えば、ルーター２０に接続され、マルチキャストデータを受信するための第１のポートと、端末に接続されマルチキャストデータを端末に送信するための第２のポート（Ｐ１〜Ｐｎ）とを含む。図２の例では、例えば、ポート１、２、３がＶＬＡＮ１００に属している。また、ポートｎがＶＬＡＮ２００に属している。これらのＶＬＡＮは、予め適宜設定し、スイッチ３０にて管理されることができる。例えば、ポートとＶＬＡＮを対応付けたＶＬＡＮ管理部をさらに有してもよい。
【００２４】
処理部は、あるＶＬＡＮに属する端末からの、所望のグループアドレス（グループ識別子）宛のマルチキャストデータの配信要求に対して、該グループアドレス宛のマルチキャストデータの配信を許可又は拒否するための認証処理を行う。また、処理部は、受信されたマルチキャストデータを端末に転送する転送処理を行う。
【００２５】
例えば、ルーター２０とスイッチ３０に、ＶＬＡＮ１００（Ｖ１００）とＶＬＡＮ２００（Ｖ２００）があり、ＶＬＡＮ１００（Ｖ１００）にいた端末１（４１）がＶＬＡＮ２００（Ｖ２００）に移動した場合を考える。従来のスイッチであれば、端末１（４１）がＶＬＡＮ１００からＶＬＡＮ２００に移動し、ＶＬＡＮ２００からｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ  Ｄ２０をスイッチ３０に送信することで、端末１−２（４１−２）はＶＬＡＮ２００でもマルチキャストデータＤ１０を受信可能となる。
【００２６】
しかし、本実施の形態におけるスイッチ３０の認証機能の設定では、どのＶＬＡＮに属するＭＡＣアドレス（端末）が、どのマルチキャストデータを受信可能かが設定できる。後述する図３のスイッチの認証設定にあるようにＶＬＡＮ１００（Ｖ１００）でのみ当該ＭＡＣアドレス（ＭＡＣ１）は受信可能とし、ＶＬＡＮ２００は設定しなければ、端末１−２（４４）はグループ１宛であるマルチキャストデータ（Ｄ１０）をＶＬＡＮ２００では受信することができない。このように、同じスイッチ内でもマルチキャストデータを受信できるＶＬＡＮが指定できる。例えば、同じフロアでも特定の場所（その場所に対応するポート）では受信させないということが可能となる。例えば、ＶＬＡＮ１００のポート１〜３は会議室のポートであり、ＶＬＡＮ２００のポートｎはホールのポートなどに対応付けることができる。
【００２７】
ここで、本実施の形態のスイッチ３０は、ＭＡＣアドレスを用いたアクセスフィルターにより同様のセキュリティーを施す場合と比べて、例えば、テーブルの設定が容易であるというメリットがある。
【００２８】
通常、企業内のネットワークは、例えば、各フロアに最低１台のスイッチを配置することで各端末を収容する。もし、各フロアにスイッチが１台ずつあった場合、１０階建てのビルであれば、スイッチが１０台配置されることになる。
【００２９】
この条件でアクセスフィルターにてマルチキャストデータへのセキュリティーを設定する場合、そのスイッチが備えるすべての物理ポートに対して、特定の端末が特定のマルチキャストデータを受信できないように設定するか、各ＶＬＡＮに対して同様に設定することが必要となる。これを全フロア分設定すると、全エントリ数は、フィルタリングするＭＡＣアドレス数×マルチキャストデータ数×各スイッチの物理ポート数（またはＶＬＡＮ数）×スイッチの台数（例えば１０台）となり、設定が煩雑となる。また、設定のための時間、人員、メモリの容量が必要となり、認証処理の際にはメモリ検索のための時間がかかる。また、マルチキャストデータの受信許可された端末数以上の設定をすることになる場合もある。また、各端末は、どのスイッチのどのポートに所属するかを明確にしなければならず、管理者の作業工数以外に端末使用者にも負担がかかることになる。
【００３０】
これに対して本実施の形態の場合は、各スイッチに対して図３にあるように宛先グループアドレス、ＭＡＣアドレス、ＶＬＡＮ  ＩＤを設定するだけでよい。マルチキャストデータの受信許可された端末数分だけ設定すればよく、すべてのＶＬＡＮや物理ポートに設定する必要がない。
【００３１】
図３は、スイッチの認証テーブルの説明図である。
認証テーブル３１は、例えば、マルチキャストデータのグループを識別するグループ識別子に対応して、該グループのマルチキャストデータを特定の仮想ネットワークにおいて受信することが予め許可された端末のアドレスと、該仮想ネットワークの識別子（ＶＬＡＮ  ＩＤ）との組が予め記憶される。なお、端末のアドレスは、例えば、ＭＡＣアドレスを用いることができる。ＭＡＣアドレス以外にも端末を識別するための適宜の識別子を用いても良い。また、ＶＬＡＮ  ＩＤに限らず、適宜のネットワーク、グループのＩＤであってもよい。
【００３２】
端末１（４１）のＭＡＣアドレス（ＭＡＣ１）は、マルチキャストデータの宛先グループアドレスであるグループ１（Ｇ１）を、所属するＶＬＡＮである図２のＶＬＡＮ１００（Ｖ１００）で受信許可という設定になっている（テーブルの第１行）。端末２（４２）に関しては、どのグループ宛のマルチキャストデータも受信許可はされていないため、認証テーブル３１に登録されていない。端末３（４３）に関しては、端末１（４１）同様、ＭＡＣアドレス（ＭＡＣ３）の登録がマルチキャストデータの宛先グループアドレスと所属するＶＬＡＮである図２のＶＬＡＮ１００（Ｖ１００）で受信許可となっている（テーブルの第２行）。
【００３３】
図３の例では、端末１（４１）は、ＶＬＡＮ１００ではグループ１宛てのマルチキャストデータを受信可能であるが、ＶＬＡＮ２００については、認証テーブル３１に登録されていないためグループ１のマルチキャストデータをＶＬＡＮ２００で受信することはできない。
【００３４】
また、グループ２（Ｇ２）のマルチキャストデータについては、例えば、端末３（ＭＡＣ３）がＶＬＡＮ１００で受信可能となっている（テーブルの第４行）。例えば、グループ２のマルチキャストデータについては、端末１（４１）は受信許可されていないため認証テーブル３１に登録されていない。このようにマルチキャストグループ毎に受信可能な端末を設定することができる。
【００３５】
さらに、マルチキャストデータ受信が許可された端末のＭＡＣアドレスに対して宛先グループアドレスとＶＬＡＮが設定される以外にも、全てのグループアドレス宛のマルチキャストデータをどのＶＬＡＮでも受信可能とするＭＡＣアドレスの登録も可能である。また、特定のグループアドレス宛のマルチキャストデータをどのＶＬＡＮでも受信可能とする登録や、全てのグループアドレス宛のマルチキャストデータを特定のＶＬＡＮでも受信可能とするなどの登録も可能である。図３の例では、端末３のＭＡＣアドレス（ＭＡＣ３）は、グループ３（Ｇ３）の宛先グループアドレスについては、どのＶＬＡＮでも受信許可という設定になっている（テーブルの第５行）。要するに端末に対するＭＡＣアドレスの設定が宛先グループアドレスとＶＬＡＮを自由に選択することが可能である。なお、上述のテーブル構成の例は一例であり、上述のエントリが全て記憶されていなくても良い。
【００３６】
図４は、スイッチ（３０）のＭＡＣアドレスフォワーディングテーブルの説明図である。
フォワーディングテーブル３２は、例えば、マルチキャストデータのグループアドレスに対応して、マルチキャストデータを送信するポートのポート識別子が記憶される。さらに、ポート識別子に対応したＶＬＡＮのＶＬＡＮ  ＩＤが記憶されてもよい。ここでは、グループアドレスとして、図３の宛先グループアドレス（例えば、ＩＰアドレス）から生成したＭＡＣアドレスを用いている。マルチキャストＩＰアドレスをＭＡＣアドレスに変換する方法については、適宜の手法を用いることができる。なお、ＩＰアドレスを用いるようにしてもよい。
【００３７】
通常、ＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇが動作していないスイッチでは、マルチキャストデータに対するＭＡＣアドレスフォワーディングテーブル３２のエントリは作成されない。これは、スイッチの特性で、ＶＬＡＮに所属する物理ポートからマルチキャストデータを受信した際、同ＶＬＡＮに所属するすべての物理ポートに対して当該マルチキャストデータを中継する（これをフラッディングという）。この特性を抑止するためにＩＧＭＰ／ＭＬＤ  ｓｎｏｏｐｉｎｇ機能では、ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを受信したポートに対してのみマルチキャストＭＡＣアドレスをＭＡＣアドレスフォワーディングテーブルに登録する。これによりｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔによってマルチキャストデータを要求していないポートへのフラッディングを抑止する。
【００３８】
本実施の形態においては、ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ（Ｄ２０）を送信してくる端末に対し、上述の認証テーブル３１を参照して、受信許可された端末及びＶＬＡＮであるか判断し、許可された端末であればフォワーディングテーブル３２に宛先ＭＡＣアドレス、送信ポート、ＶＬＡＮ  ＩＤ等を記憶する。これにより、マルチキャストデータを受信した際に、スイッチ３０は、フォワーディングテーブル３２を参照して、受信許可された端末に対応するポートにのみデータを出力できる。
【００３９】
本例においては、図２に示すＶＬＡＮ１００では、ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔ（Ｄ２０）を送信してくる端末１（４１）と端末２（４２）がいるが、図３の認証テーブル３１において端末１（４１）のＭＡＣアドレスのみ認証設定で許可されているため、図４のＭＡＣアドレスフォワーディングテーブル３２には、端末１（４１）が所属するＶＬＡＮ１００、且つポート１（Ｐ１）向けにＭＡＣアドレスＭ１００が登録される。これにより、ルーター２０から宛先ＭＡＣアドレスＭ１００宛てのマルチキャストデータ（Ｄ１０）を受信したスイッチ３０は、ＭＡＣアドレスフォワーディングテーブル３２を参照し、端末１（４１）を収容するポート１（Ｐ１）に対してのみマルチキャストデータ（Ｄ１０）を送信する。なお、ＭＡＣアドレスフォワーディングテーブル３２に、同一の宛先ＭＡＣアドレスに対して複数の送信ポートが記憶されている場合には、スイッチ３０は、受信されたマルチキャストデータを適宜コピーして送信できる。
【００４０】
（認証・登録処理）
次に、本実施の形態において、スイッチ３０が端末のＭＡＣアドレス認証をする際のフローについて説明する。
図５は、ＭＡＣアドレス認証時のスイッチ３０の動作フローチャートである。
まず、スイッチ３０は、端末から送信されたＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを受信する（Ｆ１０）。例えば、複数のポートのうちのひとつ（ここでは例えばポートｘとする）を介して受信する。ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔは、例えば、送信元ＭＡＣアドレスと、端末が配信を要求するマルチキャストデータの宛先グループアドレスを含む。また、ＶＬＡＮに関するデータが含まれていても良い。ここで、送信元ＭＡＣアドレスは、端末のＭＡＣアドレスである。
【００４１】
スイッチ３０は、受信したＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔに含まれる宛先グループアドレスが認証対象か判断する（Ｆ２０）。例えば、認証対象の宛先グループアドレスを予め記憶しておき、これと比較することができる。
【００４２】
スイッチ３０は、ステップＦ２０においてＮＯである場合は、認証対象ではない宛先グループアドレス宛のＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔであるため、未認証で通信の許可をするか判定を行う（Ｆ３０）。未認証の通信を許可するか否かは、予め設定されることができる。スイッチ３０は、ステップＦ３０の判定がＹＥＳである場合は、ルーター２０に対して、受信されたＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信する（Ｆ４０）。この場合、ルーター２０から受信したデータについて、受信要求を送信した端末に対して当該データの中継を行う。
【００４３】
一方、認証対象ではない宛先グループアドレス宛の通信を、未認証では通信させないという設定も可能である。その場合は、スイッチ３０では、ステップＦ３０の判定がＮＯとなり、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔをルーターに対して送信せず、スイッチ３０で破棄する（Ｆ６０）。また、スイッチ３０は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを受信したポートに対しても、ＭＡＣアドレスフォワーディングテーブル３２に当該マルチキャストＭＡＣアドレスを登録しない。このためスイッチ３０は、受信要求を出した端末に対してデータを中継しない。
【００４４】
ステップＦ２０において、スイッチ３０がＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔの宛先グループアドレスが認証対象であると判断した場合（Ｆ２０、ＹＥＳ）、ステップＦ８０に移る。ステップＦ８０では、スイッチ３０は、端末から受信したＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔパケットのＥｔｈｅｒｎｅｔ（登録商標）ヘッダから、送信元ＭＡＣアドレスを取得する（Ｆ８０）。また、スイッチ３０は、例えば、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔパケットを受信したポートｘから、そのポートｘが属するＶＬＡＮのＶＬＡＮ  ＩＤを特定する。例えば、ポートと、そのポートが属するＶＬＡＮのＶＬＡＮ  ＩＤが対応して管理されており、これを参照することによりＶＬＡＮ  ＩＤを特定できる。
【００４５】
スイッチ３０は、取得された送信元ＭＡＣ  ａｄｄｒｅｓｓを認証におけるキーとし、端末の認証判定を行う（Ｆ９０）。例えば、スイッチ３０は、認証テーブル３１を参照し、受信されたＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔパケットに含まれる宛先グループアドレスについて、取得された端末のＭＡＣアドレスと、特定されたＶＬＡＮ  ＩＤとの組が、認証テーブル３１に記憶されているか判断する。スイッチ３０は、ＭＡＣアドレスとＶＬＡＮ  ＩＤの組が記憶されていれば（Ｆ９０、ＹＥＳ）、例えば、受信許可されたＭＡＣアドレス又は端末と判断し、一方、記憶されていなければ（Ｆ９０、ＮＯ）、受信許可されていないＭＡＣアドレス又は端末と判断する。
【００４６】
スイッチ３０は、本判定において、許可されないＭＡＣアドレスであった場合は（Ｆ９０、ＮＯ）、端末からのＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを破棄し、ＭＡＣアドレステーブルに当該ポート宛の宛先ＭＡＣアドレスを登録しない（Ｆ１００）。これにより、未許可端末への当該データの配信をしない。
【００４７】
一方、スイッチ３０は、ステップＦ９０の認証にて、許可されたＭＡＣアドレス又は端末と判断された場合は（Ｆ９０、ＹＥＳ）、既に当該宛先グループアドレス宛のデータを受信している端末がいるかどうかの判定を行う（Ｆ１２０）。例えば、データの受信履歴を記憶してこれを参照してもよいし、マルチキャストグループ毎にデータを受信していることを示すフラグを設けてもよい。既に当該宛先グループアドレス宛のデータを受信している端末がいる場合は（Ｆ１２０、ＹＥＳ）、スイッチ３０が当該データをルーター２０から受信しているため、ルーター２０に対してＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信する必要がない。スイッチ３０は、フォワーディングテーブル３２の登録処理を開始する（Ｆ１３０）。具体的には、スイッチ３０は、ＭＡＣアドレスフォワーディングテーブル３２に、受信許可されたマルチキャストＭＡＣアドレス、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを受信した物理ポート番号、適用するＶＬＡＮを登録する（Ｆ１４０）。ここで、マルチキャストＭＡＣアドレスは、受信されたＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔに含まれる宛先グループアドレスを、例えば、ＩＰアドレスからＭＡＣアドレスに変換して記憶できる。なお、変換処理については、従来と同様の手法を用いることができる。ＭＡＣアドレスフォワーディングテーブル３２に上記情報が登録されたことで、認証・登録処理を完了する（Ｆ１５０）。なお、本実施の形態において、認証と登録をあわせて認証処理と称することもある。
【００４８】
一方、スイッチ３０は、ステップＦ１２０において当該グループに参加している端末が他にいないと判断した場合（Ｆ１２０、ＮＯ）、端末からのＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔをルーター２０へ中継する（Ｆ１９０）。これにより、スイッチ３０は、ルーター２０から当該グループアドレス宛のマルチキャストデータを受信することが可能となる。なお、ステップＦ２００からＦ２２０の動作に関しては、上述のステップＦ１３０からＦ１８０までの動作と同様である。
【００４９】
（転送処理）
図６は、マルチキャストデータの転送処理のフローチャートである。ここでは、上述の認証・登録処理により、すでにＭＡＣアドレスフォワーディングテーブル３２にデータが登録されているものとして説明する。
【００５０】
まず、スイッチ３０は、宛先グループアドレスを含むマルチキャストデータをルーター２０から受信する（Ｆ１６０）。次に、スイッチ３０は、ＭＡＣアドレスフォワーディングテーブル３２に従い、宛先グループアドレスに対応する物理ポートｘを特定し、その物理ポートｘを介して端末にマルチキャストデータを送信する（Ｆ１７０）。なお、宛先グループアドレスに対応する物理ポートが複数ある場合には、スイッチは、マルチキャストデータを適宜コピーして送信する。これにより、受信許可された端末が、所定のＶＬＡＮでマルチキャストデータを受信可能となる。
【００５１】
図７は、グループメンバー登録許可時のシーケンス図である。
例えば、端末１（４１）を例に説明する。まず、端末１（４１）は、システムへのログイン認証（Ｆ１）を行う。その際、一例としてＤＨＣＰにおいて登録されたＭＡＣアドレスのみにＩＰアドレス配布可能なシステム認証とすることができる。このシステムへのログイン認証は，データ種別に関係ないものである。その後、通信が許可された端末１（４１）は、システム内への通信はすべて認められる。
【００５２】
この状態で、規定の時間からマルチキャストデータ配信（マルチキャスト）が開始されると、ルーター２０はマルチキャストデータの受信に従い、スイッチ３０に向けてＧｅｎｅｒａｌ  Ｑｕｅｒｙを、例えば定期送信する。これをスイッチ３０は、各ポートに接続された端末１（４１）等に送信し、グループへ参加するか問い合わせる。
【００５３】
その後、例えば、端末１（４１）は、グループへの参加を希望する場合、例えば、ユーザからの入力に従いＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信することで、現在配信中のマルチキャストデータに対してグループ参加要求（マルチキャストデータの受信要求）を行う。そのパケットをポート１を介してスイッチ３０が受け取る。スイッチ３０は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔパケットをｓｎｏｏｐｉｎｇし、そのｓｏｕｒｃｅ  ＭＡＣアドレスがマルチキャストデータ配信許可の対象となっているかを、自らが管理する認証設定に一致するかを確認する。この処理は、図５に示す処理に対応する。
【００５４】
この例では、端末１（４１）のｓｏｕｒｃｅ  ＭＡＣアドレスは、予め設定にて許可されているため、そのＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔをスイッチ３０は、ルーター２０に中継する。ルーター２０は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを受信し、グループメンバー登録することで、マルチキャスト送信者１０からのマルチキャストデータをスイッチ３０に対して中継する。なお、ここで、ルーター２０は、マルチキャストデータの宛先アドレスをＩＰのグループアドレスからＭＡＣアドレスを生成する。
【００５５】
スイッチ３０は、ＭＡＣアドレスフォワーディングテーブル３２に従い、受信要求のあった端末１（４１）が接続されているポート１に対してマルチキャストデータの中継を行い、ここでは他のポートには中継はしない。
これにより、スイッチ３０におけるマルチキャストデータ認証を動作可能とする。
【００５６】
図８は、グループメンバー登録未許可時のシーケンスである。
例えば、端末２（４２）を例に説明する。まず、端末２（４２）は、システムへのログイン認証（Ｆ１）を行う。その際、一例としてＤＨＣＰにおいて登録されたＭＡＣアドレスのみにＩＰアドレス配布可能なシステム認証とすることができる。このシステムへのログイン認証は，データ種別に関係ないものである。その後、通信が許可された端末２（４２）は、システム内への通信が認められる。
【００５７】
この状態で、規定の時間からマルチキャストデータ配信（マルチキャスト）が開始されると、ルーター２０はマルチキャストデータの受信に従い、スイッチ３０に向けてＧｅｎｅｒａｌ  Ｑｕｅｒｙを、例えば定期送信する。これをスイッチ３０は、各ポートに接続された端末２（４２）等に送信し、グループへ参加するか問い合わせる。
【００５８】
その後、例えば、端末２（４２）は、グループへの参加を希望する場合、例えば、ユーザからの入力に従いＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔを送信することで、現在配信中のマルチキャストデータに対してグループ参加要求（マルチキャストデータの受信要求）を行う。そのパケットをポート１を介してスイッチ３０が受け取る。スイッチ３０は、ＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔパケットをｓｎｏｏｐｉｎｇし、そのｓｏｕｒｃｅ  ＭＡＣアドレスがマルチキャストデータ配信許可の対象となっているかを、自らが管理する認証設定に一致するかを確認する。この処理は、図５に示す処理に対応する。
【００５９】
端末２（４２）のｓｏｕｒｃｅ  ＭＡＣアドレスは、スイッチ３０の設定で許可されていないためそのＩＧＭＰ／ＭＬＤ  ｍｅｍｂｅｒｓｈｉｐ  ｒｅｐｏｒｔをスイッチ３０は、ルーター２０に中継せず、廃棄する。
【００６０】
これによりルーター２０では、端末からのグループ参加要求が受信されてないため、マルチキャストデータをスイッチ３０に対して配信しない。また、すでに同一のグループに対して参加している他の端末がいる場合、スイッチ３０には、マルチキャストデータが届いているが、端末２（４２）が接続されているポート２に対して当該データのマルチキャストＭＡＣアドレスをフォワーディングテーブル３２に設定しないため、端末２（４２）へはマルチキャストデータを中継しない。
これにより、スイッチ３０におけるマルチキャストデータ認証を動作可能とする。
【産業上の利用可能性】
【００６１】
本発明は、例えば、ＩＰネットワークシステムにおいて、マルチキャスト配信を行う際に利用可能である。
【図面の簡単な説明】
【００６２】
【図１】従来のマルチキャスト動作概要図。
【図２】マルチキャストユーザ認証のシステム構成及び動作概要図。
【図３】スイッチの認証テーブルの説明図。
【図４】ＭＡＣアドレスフォワーディングテーブルの説明図。
【図５】ＭＡＣアドレス認証時の動作フローチャート。
【図６】マルチキャストデータの転送フローチャート。
【図７】グループメンバー登録許可時の認証シーケンス図。
【図８】グループメンバー登録未許可時の認証シーケンス図。
【符号の説明】
【００６３】
１０：マルチキャストを配信する装置（マルチキャスト送信者）
２０：ルーター
３０：スイッチ
３１：認証テーブル
３２：ＭＡＣアドレスフォワーディングテーブル
４１〜４３：端末
【図１】
2008060631.tif 000003
【図２】
2008060631.tif 000004
【図３】
2008060631.tif 000005
【図４】
2008060631.tif 000006
【図５】
2008060631.tif 000007
【図６】
2008060631.tif 000008
【図７】
2008060631.tif 000009
【図８】
2008060631.tif 000010