(57)【要約】    【課題】      偽装された加入者に対するサービス、つまりパケット転送が行われ、偽装された加入者の契約帯域減少及び加入者の端末高負荷を引き起こさせることを防ぐ。    【解決手段】  パケット転送部２０４は、パケット識別・プロトコル変換部２０５の判定に基づいて、前記各インタフェース間のパケット転送を行う。パケット識別・プロトコル変換部２０５は、パケットを受信するインタフェース種別及びパケット種別を、記憶装置２０６内に保持される各テーブルを元に識別し、必要に応じて記憶装置２０６に保持される各テーブルの値に基づいてプロトコル変換を行い、パケット転送部２０４を通じて、該当インタフェースより出力する。  【選択図】      図６
2005328308.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークへの接続を行う終端装置に接続される一つの回線を、集線装置を介して複数の通信端末装置で共用し、前記集線装置と前記終端装置との間にネットワークトンネルを形成し、前記第１のネットワークとは異なる第２のネットワークを収容するパケット交換装置を前記終端装置と前記集線装置との間に設置するシステムに使用されるパケット交換方法であって、
前記集線装置において、前記通信端末装置から送信されたパケットに、前記通信端末装置を収容するポート単位に一意となるネットワークトンネル識別子を付加し、
前記パケット交換装置において、前記パケットの送信先が、前記第２のネットワーク内の通信端末装置である場合に、前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているときのみ、前記パケットを前記第２のネットワーク内の通信端末装置に転送することを特徴とするパケット交換方法。
【請求項２】
前記ネットワークトンネルが、ＩＥＥＥ８０２．１Ｑで規定されるＶＬＡＮであることを特徴とする請求項１に記載のパケット交換方法。
【請求項３】
前記ネットワークトンネル識別子が、ＶＬＮＡ−ＩＤであることを特徴とする請求項１または請求項２に記載のパケット交換方法。
【請求項４】
前記ネットワークトンネルが、ＭＰＬＳトンネルであることを特徴とする請求項１に記載のパケット交換方法。
【請求項５】
前記ネットワークトンネル識別子が、ＭＰＬＳのＬＳＰ−ＩＤであることを特徴とする請求項４に記載のパケット交換方法。
【請求項６】
第１のネットワークへの接続を行う終端装置に接続される一つの回線を、集線装置を介して複数の通信端末装置で共用し、前記集線装置と前記終端装置との間にネットワークトンネルを形成し、前記第１のネットワークとは異なる第２のネットワークを収容するパケット交換装置を前記終端装置と前記集線装置との間に設置するシステムに使用される前記パケット交換装置であって、
前記通信端末装置から送信されたパケットであって、前記集線装置において通信端末装置を収容するポート単位に一意となるネットワークトンネル識別子を付加されたパケットを入力するインタフェースと、
前記パケットの送信先が、前記第２のネットワーク内の通信端末装置である場合に、前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているか否かを判定するパケット識別手段と、
前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているときのみ、前記パケットを前記第２のネットワーク内の通信端末装置に転送するパケット転送手段と、を具備することを特徴とするパケット交換装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット交換方法及びパケット交換装置に関し、特にユーザとプロバイダをトンネリング・プロトコルによるネットワークトンネルに用いて好適なパケット交換方法及びそのパケット交換装置に関する。
【背景技術】
【０００２】
近年、インターネットを介して動画や音声などのストリーミングデータによるブロードバンドコンテンツサービスが開始されつつある。「インターネットアクセスシステム及びそのパケット装置」として、ベストエフォートのインターネット接続ネットワークに、帯域制御機能を具備するコンテンツ配信網を多重し、加入者端末が、インターネットと、コンテンツ配信網とで、接続先を変更する度にＰＰＰｏＥセッションを接続し直すことなく、コンテンツ配信網に設置されるコンテンツサーバに接続する方法が規定されている（例えば、非特許文献１）。
【０００３】
図１１は、従来のシステム構成を示す図である。図１１において、各加入者端末１１は、レイヤ２スイッチ１２によって集線され、パケット交換装置１３に接続される。パケット交換装置１３は、網終端装置１４を介してプロバイダ網１５に接続され、ルータ１７を介してコンテンツ配信網１８に接続されている。
【０００４】
コンテンツ配信網１８内には、映像、音楽等のストリーミングコンテンツを所有するコンテンツサーバ１９が設定される。
【０００５】
加入者端末１１は、レイヤ２スイッチ１２、パケット交換装置１３を介して網終端装置１４との間にＰＰＰｏＥセッションを構成し、前記ＰＰＰｏＥセッションを通じて、プロバイダ網１５に接続される。また、パケット交換装置１３とコンテンツサーバ１９間は、ＩＰネットワークで構成される。
【０００６】
パケット交換装置１３は、加入者端末１１から出力されるパケットを送信先ＩＰに従って、インターネット１６またはコンテンツサーバ１９への振り分けを行う。
【０００７】
パケット交換装置１３では、以下に示す動作を行い、プロトコル変換を行い、振り分けを実現する。図１２は、ＰＰＰｏＥセッション情報管理テーブルの一例を示す図である。図１２において、加入者端末１１と網終端装置１４間に構成されるＰＰＰｏＥセッションの情報として、加入者端末のＩＰアドレス、加入者端末のＭＡＣアドレス、ＰＰＰｏＥ  Ｓｅｓｓｉｏｎ  ＩＤ、加入者端末接続インタフェース番号、網終端装置のＭＡＣアドレスをＰＰＰｏＥセッション情報管理テーブルとして蓄積する。
【０００８】
パケット交換装置１３は、コンテンツサーバのＩＰアドレスとコンテンツ配信網接続インタフェース番号をコンテンツサーバ管理テーブルとして蓄積する。
【０００９】
そして、パケット交換装置１３は、加入者端末１１から受信するパケットの送信先ＩＰアドレスを識別し、前記コンテンツサーバ管理テーブルに蓄積されるコンテンツサーバ宛パケットであると判断した場合には、プロトコル変換を行いコンテンツ配信網宛に出力する。
【００１０】
コンテンツサーバ宛ではないと判断した場合、パケット交換装置１３は、パケットをインターネットに対し透過転送する。そして、インターネットから受信するパケットは、加入者端末側に透過転送される。
【００１１】
コンテンツサーバから受信する加入者端末宛パケットは、前記ＰＰＰｏＥセッション情報管理テーブルを元にプロトコル変換し、該当加入者端末に対して転送する。
【００１２】
図１３は、パケット交換装置における加入者端末からのパケットを受信した時の処理の一例を示すフロー図である。
【００１３】
ＳＴ３１において、パケットがＰＰＰｏＥパケットであるか否か判定される。パケットがＰＰＰｏＥパケットである場合にはＳＴ３２に進み、パケットがＰＰＰｏＥパケットでない場合にはＳＴ３６に進む。
【００１４】
ＳＴ３２では、ＰＰＰｏＥヘッダを用いて受信パケットの種別が判定される。受信パケットのＰＰＰｏＥヘッダがＰＡＤＴ（ＰＰＰｏＥ  Ａｃｔｉｖｅ  Ｄｉｓｃｏｖｅｒｙ  Ｔｅｒｍｉｎａｔｅ）またはＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔを示す場合、ＳＴ３３に進む。受信パケットのＰＰＰｏＥヘッダがＰＡＤＴまたはＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔ以外を示す場合、ＳＴ３４に進む。
【００１５】
ＳＴ３３において、ＰＰＰｏＥセッション情報管理テーブルから、前記受信パケットに該当する情報を削除され、ＳＴ３６に進む。
【００１６】
ＳＴ３４では、受信パケットがＩＰパケットであるかどうかを判定される。前記判定結果がＩＰパケットである場合にはＳＴ３５に進み、前記判定結果がＩＰパケットでない場合にはＳＴ３６に進む。
【００１７】
ＳＴ３５では、ＩＰヘッダの送信先ＩＰアドレスが、コンテンツサーバ管理テーブルに蓄積されるコンテンツサーバのＩＰアドレスと一致するかどうかを判定される。送信先ＩＰアドレスがコンテンスサーバのＩＰアドレスに一致する場合、ＳＴ３７に進む。また、送信先ＩＰアドレスがコンテンスサーバのＩＰアドレスに一致しない場合、ＳＴ３６に進む。
【００１８】
ＳＴ３６では、パケットが網側インタフェースに透過転送され、処理を終了する。
【００１９】
ＳＴ３７では、パケットは、プロトコル変換され、コンテンツサーバ管理テーブルの前記一致したコンテンツサーバを収容するインタフェースに転送される。
【００２０】
ＳＴ３７のプロトコル変換では、具体的に以下の動作を行い変換が行われる。まず、最初にＥｔｈｅｒヘッダのＭＡＣ−ＤＡを網終端装置のＭＡＣアドレスから、コンテンツ配信網のルータのＭＡＣアドレスへ変換する。次に、ＥｔｈｅｒヘッダのＭＡＣ−ＳＡを加入者端末のＭＡＣアドレスから、パケット交換装置のＭＡＣアドレスへ変換する。そして、ＰＰＰｏＥヘッダ及びＰＰＰヘッダを削除する。
【００２１】
このように、従来の方式では、宛先のＩＰアドレスが転送先のコンテンツサーバのＩＰアドレスであるか否かを判断して、パケットを転送することにより、加入者端末がネットワークトンネルの接続切り替えを行うことなく、インターネット接続サービスとコンテンツ配信網にパケットを転送することができ、コンテンツサービスを受けることが可能となっている。
【非特許文献１】TECHNICAL REPORT OF IEICE CS2002-46(2002-08) 「ＰＰＰｏＥリダクションスイッチの開発」
【発明の開示】
【発明が解決しようとする課題】
【００２２】
しかしながら、従来の装置においては、悪意を持った不正な加入者が、他人のパケットを偽装してコンテンツ配信網にサービス開始要求を行うことによって、偽装された加入者に対するサービス、つまりパケット転送が行われ、偽装された加入者の契約帯域減少及び加入者の端末高負荷を引き起こさせることが可能であり、不正な加入者のパケット攻撃を抑止することができないという問題がある。
【００２３】
本発明はかかる点に鑑みてなされたものであり、偽装された加入者に対するサービス、つまりパケット転送が行われ、偽装された加入者の契約帯域減少及び加入者の端末高負荷を引き起こさせることを防ぐパケット交換方法及びそのパケット交換装置を提供することを目的とする。
【課題を解決するための手段】
【００２４】
本発明のパケット交換方法は、第１のネットワークへの接続を行う終端装置に接続される一つの回線を、集線装置を介して複数の通信端末装置で共用し、前記集線装置と前記終端装置との間にネットワークトンネルを形成し、前記第１のネットワークとは異なる第２のネットワークを収容するパケット交換装置を前記終端装置と前記集線装置との間に設置するシステムに使用されるパケット交換方法であって、前記集線装置において、前記通信端末装置から送信されたパケットに、前記通信端末装置を収容するポート単位に一意となるネットワークトンネル識別子を付加し、前記パケット交換装置において、前記パケットの送信先が、前記第２のネットワーク内の通信端末装置である場合に、前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているときのみ、前記パケットを前記第２のネットワーク内の通信端末装置に転送するようにした。
【００２５】
この方法によれば、ネットワークトンネル識別子の組み合わせがＰＰＰｏＥセッション情報管理テーブルに登録済みであるか否かを判断することにより、他人のパケットを偽装したパケットが、コンテンツ配信網側にリダイレクションされることを防ぐことができる。
【００２６】
本発明のパケット交換方法は、前記ネットワークトンネルが、ＩＥＥＥ８０２．１Ｑで規定されるＶＬＡＮであるようにした。
【００２７】
この方法によれば、第１のネットワークトンネルが、ＩＥＥＥ８０２．１Ｑで規定されるＶＬＡＮである場合において、悪意ある加入者が、他の加入者を偽装し、コンテンツサーバへコンテンツデータの転送を要求し、正規の加入者に対してコンテンツデータの配信が行われてしまうことによる、前記正規の加入者が本来利用できる通信帯域の減少及び端末のハングアップなどを引き起こすパケット攻撃を防止することができる。
【００２８】
本発明のパケット交換方法は、前記ネットワークトンネル識別子が、ＶＬＮＡ−ＩＤであるようにした。
【００２９】
この方法によれば、第１のネットワークトンネル情報が、ＶＬＡＮ−ＩＤである場合において、加入者端末から受信したパケットの前記第１のトンネル情報とパケット交換装置が蓄積する第１のトンネル情報の比較を効率的に実現することができる。
【００３０】
本発明のパケット交換方法は、前記ネットワークトンネルが、ＭＰＬＳトンネルであるようにした。
【００３１】
この方法によれば、第１のネットワークトンネルが、ＭＰＬＳトンネルである場合において、悪意ある加入者が、他の加入者を偽装し、コンテンツサーバへコンテンツデータの転送を要求し、正規の加入者に対してコンテンツデータの配信が行われてしまうことによる、前記正規の加入者が本来利用できる通信帯域の減少及び端末のハングアップなどを引き起こすパケット攻撃を防止することができる。
【００３２】
本発明のパケット交換方法は、前記ネットワークトンネル識別子が、ＭＰＬＳのＬＳＰ−ＩＤであるようにした。
【００３３】
この方法によれば、第１のネットワークトンネル情報が、ＬＳＰ−ＩＤである場合において、加入者端末から受信したパケットの前記第１のトンネル情報とパケット交換装置が蓄積する第１のトンネル情報の比較を効率的に実現することができる。
【００３４】
本発明のパケット交換装置は、第１のネットワークへの接続を行う終端装置に接続される一つの回線を、集線装置を介して複数の通信端末装置で共用し、前記集線装置と前記終端装置との間にネットワークトンネルを形成し、前記第１のネットワークとは異なる第２のネットワークを収容するパケット交換装置を前記終端装置と前記集線装置との間に設置するシステムに使用される前記パケット交換装置であって、前記通信端末装置から送信されたパケットであって、前記集線装置において通信端末装置を収容するポート単位に一意となるネットワークトンネル識別子を付加されたパケットを入力するインタフェースと、前記パケットの送信先が、前記第２のネットワーク内の通信端末装置である場合に、前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているか否かを判定するパケット識別手段と、前記パケットの送信元アドレスと前記ネットワークトンネル識別子が関連付けられているときのみ、前記パケットを前記第２のネットワーク内の通信端末装置に転送するパケット転送手段と、を具備する構成を採る。
【００３５】
この構成によれば、ネットワークトンネル識別子の組み合わせがＰＰＰｏＥセッション情報管理テーブルに登録済みであるか否かを判断することにより、他人のパケットを偽装したパケットが、コンテンツ配信網側にリダイレクションされることを防ぐことができる。
【発明の効果】
【００３６】
本発明によれば、加入者端末とパケット交換装置間に、加入者端末を集線するスイッチ装置を設置し、前記スイッチ装置とプロバイダネットワーク間にＶＬＡＮを構成し、前記スイッチ装置において、加入者端末から受信したパケットに対し、加入者端末を収容するポート単位に設定したＶＬＡＮ−ＩＤを有するＶＬＡＮタグを挿入し、パケット交換装置を収容するポートへ転送することにより、加入者が偽装不可能な識別子がパケットに付与され、悪意を持った不正な加入者が、他人のパケットを偽装したとしても、ＶＬＡＮ−ＩＤとＩＰアドレスの組み合わせがパケット交換装置において登録されていない場合、つまり、正しい加入者と認識されない場合に、このパケットをコンテンツサーバに転送しないことにより、コンテンツ配信網側へリダイレクションを防ぐことが可能となる。
【発明を実施するための最良の形態】
【００３７】
本願発明者は、ＩＰアドレスによる転送判定ではＩＰアドレスを偽装されたパケットと正しいパケットの区別ができない点に着目し、本願発明をするに至った。
【００３８】
本発明の骨子は、加入者端末とパケット交換装置間に、加入者端末を集線するスイッチ装置を設置し、前記スイッチ装置とプロバイダネットワーク間にＶＬＡＮを構成し、前記スイッチ装置において、加入者端末から受信したパケットに対し、加入者端末を収容するポート単位に設定したＶＬＡＮ−ＩＤを有するＶＬＡＮタグを挿入し、パケット交換装置を収容するポートへ転送することにより、加入者が偽装不可能な識別子がパケットに付与され、悪意を持った不正な加入者が、他人のパケットを偽装したとしても、ＶＬＡＮ−ＩＤとＩＰアドレスの組み合わせがパケット交換装置において登録されていない場合、つまり、正しい加入者と認識されない場合に、このパケットをコンテンツサーバに転送しないことにより、コンテンツ配信網側へリダイレクションを防ぐことである。
【００３９】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００４０】
（一実施の形態）
最初に、装置間の信号の流れについて説明する。図１は、本発明の一実施の形態に係るシステムの構成を示すブロック図である。図１において、各加入者端末１０１は、レイヤ２スイッチ１０２によって集線され、パケット交換装置１０３に接続される。パケット交換装置１０３は、網終端装置１０４を介してプロバイダ網１０５に接続され、ルータ１０７を介してコンテンツ配信網１０８に接続されている。
【００４１】
コンテンツ配信網１０８内には、映像、音楽等のストリーミングコンテンツを所有するコンテンツサーバ１０９が設定される。
【００４２】
加入者端末１０１は、レイヤ２スイッチ１０２、パケット交換装置１０３を介して網終端装置１０４との間にＰＰＰｏＥセッションを構成し、前記ＰＰＰｏＥセッションを通じて、プロバイダ網１０５に接続される。また、パケット交換装置１０３とコンテンツサーバ１０９間は、ＩＰネットワークで構成される。
【００４３】
レイヤ２スイッチ１０２では、加入者端末１０１を収容するインタフェース毎にＶＬＡＮ−ＴＡＧを付与し、前記レイヤ２スイッチ１０２と網終端装置１０４間にＶＬＡＮトンネルを構成する。ここで、ＶＬＡＮ−ＴＡＧとは、同じＩＰネットワーク内で通信を行う加入者端末１０１を区別するタグである。ＶＬＡＮ−ＴＡＧの詳細については後述する。
【００４４】
パケット交換装置１０３は、加入者端末１０１から出力されるパケットを送信先ＩＰに従って、インターネット１０６またはコンテンツサーバ１０９への振り分けを行う。
【００４５】
次にこの振り分けを実現するための機能について説明する。図２は、本実施の形態のパケット交換装置が具備するテーブルの一例の図である。
【００４６】
図２に示すように、加入者端末１０１と網終端装置１０４間に構成されるＰＰＰｏＥセッションの情報として、パケット交換装置１０３は、加入者端末のＩＰアドレス、加入者端末のＭＡＣアドレス、ＰＰＰｏＥ  Ｓｅｓｓｉｏｎ  ＩＤ、ＶＬＡＮ−ＩＤ、加入者端末接続インタフェース番号、網終端装置のＭＡＣアドレスとの組み合わせをＰＰＰｏＥセッション情報管理テーブルとして蓄積する。
【００４７】
また、パケット交換装置１０３は、コンテンツサーバのＩＰアドレスとコンテンツ配信網接続インタフェース番号をコンテンツサーバ管理テーブルとして蓄積する。図３は、本実施の形態のパケット交換装置が具備するテーブルの一例の図である。
【００４８】
パケット交換装置１０３は、加入者端末１０１から受信するパケットの送信先ＩＰアドレスを識別する。そして、図３のコンテンツサーバ管理テーブルに蓄積されるコンテンツサーバ宛パケットであると判断し、且つ、加入者端末１０１から受信したパケットの送信元ＩＰアドレス（つまり、加入者端末ＩＰアドレス）と、ＶＬＡＮ−ＩＤの組み合わせが、図２に示すＰＰＰｏＥセッション情報管理テーブル）に蓄積されている場合、パケット交換装置１０３は、プロトコル変換を行いコンテンツ配信網宛に出力する。
【００４９】
例えば、パケット交換装置１０３は、加入者端末１０１とパケット交換装置１０３との間のＰＰＰｏＥ接続に関する情報をパケットからから取り除き、コンテンツ配信網宛に出力する。
【００５０】
図４は、プロトコル変換における処理の一例を示す図である。図４において、ＶＬＡＮ−ＴＡＧ、ＰＰＰｏＥセッション、ＰＰＰの各情報が、パケットから取り除かれている。これらの情報は、加入者端末１０１とパケット交換装置１０３との通信に必要ではあるが、コンテンツ配信網側では不要な情報である。すなわち、パケット交換装置１０３は、コンテンツ配信網側では不要な情報を取り除いた後、コンテンツ配信網側にパケットを出力する。
【００５１】
コンテンツサーバ宛ではないと判断した場合及びＰＰＰｏＥセッション情報管理テーブルに蓄積されていない場合、パケット交換装置１０３は、パケットをインターネットに対し透過転送する。そして、インターネットから受信するパケットは、加入者端末側へ透過転送される。
【００５２】
一方、コンテンツサーバから受信する加入者端末宛パケットは、パケット交換装置１０３において、前記ＰＰＰｏＥセッション情報管理テーブルを元にプロトコル変換され、該当加入者端末に対して転送される。
【００５３】
例えば、パケット交換装置１０３は、加入者端末１０１とパケット交換装置１０３との間のＰＰＰｏＥ接続に関する情報をパケットに加え、加入者端末１０１に出力する。
【００５４】
図５は、プロトコル変換における処理の一例を示す図である。図５において、ＶＬＡＮ−ＴＡＧ、ＰＰＰｏＥセッション、ＰＰＰの各情報が、パケットに加えられている。これらの情報は、コンテンツ配信網側では不要な情報であるが、加入者端末１０１とパケット交換装置１０３との通信に必要である。すなわち、パケット交換装置１０３は、ＰＰＰｏＥで接続する加入者端末１０１側で必要な情報をパケットに加えた後、加入者端末１０１側にパケットを出力する。
【００５５】
次に、上記動作を行うパケット交換装置１０３の内部構成について説明する。図６は、本実施の形態のパケット交換装置の構成を示すブロック図である。図６のパケット交換装置は、加入者インタフェース２０１と、プロバイダ網インタフェース２０２と、コンテンツ配信網インタフェース２０３と、パケット転送部２０４と、パケット識別・プロトコル変換部２０５と、記憶装置２０６とから主に構成される。
【００５６】
図６において、加入者インタフェース２０１は、パケット転送部２０４と加入者端末を収容するレイヤ２スイッチとを接続する。プロバイダ網インタフェース２０２は、パケット転送部２０４と網終端装置とを接続する。コンテンツ配信網インタフェース２０３は、パケット転送部２０４とコンテンツ配信網のルータとを接続する。
【００５７】
パケット転送部２０４は、パケット識別・プロトコル変換部２０５の判定に基づいて、前記各インタフェース間のパケット転送を行う。パケット識別・プロトコル変換部２０５は、パケットを受信するインタフェース種別及びパケット種別を、記憶装置２０６内に保持される各テーブル（例えば、先に説明した図２及び図３）を元に識別し、必要に応じて記憶装置２０６に保持される各テーブルの値に基づいてプロトコル変換を行い、パケット転送部２０４を通じて、該当インタフェースより出力する。
【００５８】
次に、パケット交換装置１０３が加入者端末１００からのパケットを受信した時の動作について説明する。図７は、本実施の形態のパケット交換装置の動作の一例を示すフロー図である。図７では、パケット交換装置における加入者端末からのパケットを受信した時の処理を示す。
【００５９】
まず、ＳＴ７０１において、パケットがＰＰＰｏＥパケットであるか否か判定される。パケットがＰＰＰｏＥパケットである場合にはＳＴ７０２に進み、パケットがＰＰＰｏＥパケットでない場合にはＳＴ７０７に進む。
【００６０】
ＳＴ７０２では、パケット識別・プロトコル変換部２０５において、ＰＰＰｏＥヘッダを用いて受信パケットの種別が判定される。受信パケットのＰＰＰｏＥヘッダがＰＡＤＴ（ＰＰＰｏＥ  Ａｃｔｉｖｅ  Ｄｉｓｃｏｖｅｒｙ  Ｔｅｒｍｉｎａｔｅ）またはＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔを示す場合、ＳＴ７０３に進む。受信パケットのＰＰＰｏＥヘッダがＰＡＤＴまたはＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔ以外を示す場合、ＳＴ７０４に進む。
【００６１】
ＳＴ７０３において、ＰＰＰｏＥセッション情報管理テーブルから、前記受信パケットに該当する情報を削除され、ＳＴ７０７に進む。
【００６２】
ＳＴ７０４では、パケット識別・プロトコル変換部２０５において、受信パケットがＩＰパケットであるかどうかを判定される。前記判定結果がＩＰパケットである場合、ＳＴ７０５に進む。また、前記判定結果がＩＰパケットでない場合、ＳＴ７０７に進む。
【００６３】
ＳＴ７０５では、パケット識別・プロトコル変換部２０５において、ＩＰヘッダの送信先ＩＰアドレスが、コンテンツサーバ管理テーブル（例えば図３）に蓄積されるコンテンツサーバのＩＰアドレスと一致するかどうかを判定される。送信先ＩＰアドレスがコンテンスサーバのＩＰアドレスに一致する場合、ＳＴ７０６に進む。また、送信先ＩＰアドレスがコンテンスサーバのＩＰアドレスに一致しない場合、ＳＴ７０７に進む。
【００６４】
ＳＴ７０６では、パケット識別・プロトコル変換部２０５において、受信パケットのＩＰヘッダの送信元ＩＰアドレス、つまり加入者端末のＩＰアドレス及びＶＬＡＮ−ＩＤの組み合わせが、ＰＰＰｏＥセッション情報管理テーブル（例えば図２）に蓄積されているものに一致するかどうかを判定される。加入者端末のＩＰアドレス及びＶＬＡＮ−ＩＤの組み合わせがＰＰＰｏＥセッション情報管理テーブルに登録済みである場合、ＳＴ７０８に進む。また、加入者端末のＩＰアドレス及びＶＬＡＮ−ＩＤの組み合わせがＰＰＰｏＥセッション情報管理テーブルに登録済みでない場合、ＳＴ７０７に進む。
【００６５】
ＳＴ７０７では、パケットがパケット転送部２０４から網側インタフェースに透過転送され、処理を終了する。
【００６６】
ＳＴ７０８では、パケット識別・プロトコル変換部２０５において、パケットは、プロトコル変換され（例えば図４）、コンテンツサーバ管理テーブル（例えば図３）の前記一致したコンテンツサーバを収容するインタフェースに転送される。
【００６７】
このように、ＶＬＡＮ−ＩＤの組み合わせがＰＰＰｏＥセッション情報管理テーブルに登録済みであるか否かを判断することにより、他人のパケットを偽装したパケットが、コンテンツ配信網側にリダイレクションされることを防ぐ。
【００６８】
なお、ＳＴ７０８のプロトコル変換では、詳細には以下の動作を行う。まず、パケット識別・プロトコル変換部２０５は、ＥｔｈｅｒヘッダのＭＡＣ−ＤＡを網終端装置のＭＡＣアドレスから、コンテンツ配信網のルータのＭＡＣアドレスに変換する。次に、パケット識別・プロトコル変換部２０５は、ＥｔｈｅｒヘッダのＭＡＣ−ＳＡを加入者端末のＭＡＣアドレスから、パケット交換装置のＭＡＣアドレスに変換する。
【００６９】
そして、パケット識別・プロトコル変換部２０５は、ＶＬＡＮ−ＴＡＧを削除する。ただし、ＶＬＡＮ−ＴＡＧを削除する処理は、一実施例について行うものであり、コンテンツ配信網とパケット交換装置間をＶＬＡＮで構成する場合にはＶＬＡＮ−ＴＡＧを削除する必要はない。
【００７０】
最後にパケット識別・プロトコル変換部２０５は、ＰＰＰｏＥヘッダ及びＰＰＰヘッダを削除する。
【００７１】
以上の動作を行い、パケット交換装置１０３は加入者端末１００から受信したパケットのプロトコル変換を行う。
【００７２】
次に、パケット交換装置１０３がプロバイダ網側インタフェースからパケットを受信した時の動作について説明する。図８は、本実施の形態のパケット交換装置の動作の一例を示すフロー図である。
【００７３】
ＳＴ８０１では、プロバイダ網側インタフェースにおいてパケットを受信した場合、パケット識別・プロトコル変換部２０５において、受信したパケットのパケット種別を判定する。
【００７４】
ＰＰＰｏＥヘッダがＰＡＤＴを示すか、ＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔを示す場合、ＳＴ８０２に進む。また、ＰＰＰｏＥヘッダがＰＡＤＴを示さず、かつＰＰＰヘッダがＴｅｒｍｉｎａｔｅ  Ｒｅｑｕｅｓｔ、を示さない場合、ＳＴ８０３に進む。
【００７５】
ＳＴ８０２では、ＰＰＰｏＥセッション情報管理テーブルから、前記受信パケットに該当する情報を削除されＳＴ８０４に進む。ＳＴ８０４では、加入者側インタフェースにパケットを透過転送し、処理終了となる。
【００７６】
ＳＴ８０３では、パケット識別・プロトコル変換部２０５において、受信したパケットのＰＰＰヘッダがＩＰＣＰを示すか否か判定する。パケット種別の判定結果が、ＰＰＰヘッダがＩＰＣＰを示す場合、ＳＴ８０５に進み、パケット種別の判定結果が、ＰＰＰヘッダがＩＰＣＰを示さない場合、ＳＴ８０４に進む。
【００７７】
ＳＴ８０５において、受信パケットから、加入者端末のＩＰアドレス、加入者端末のＭＡＣアドレス、ＰＰＰｏＥ  Ｓｅｓｓｉｏｎ  ＩＤ、ＶＬＡＮ−ＩＤ、加入者端末接続インタフェース番号、網終端装置のＭＡＣアドレスを抽出し、ＰＰＰｏＥセッション情報管理テーブルに蓄積し、ＳＴ８０４に進む。
【００７８】
このように、新たなＶＬＡＮ−ＩＤの組み合わせの情報をＰＰＰｏＥセッション情報管理テーブルに蓄積する。
【００７９】
次に、パケット交換装置１０３において配信網からのパケットを受信した場合の動作について説明する。図９は、本実施の形態のパケット交換装置の動作の一例を示すフロー図である。
【００８０】
ＳＴ９０１では、コンテンツ配信網インタフェースにおいてパケットを受信した場合、受信パケットがＩＰパケットであるかどうかを判定する。受信パケットがＩＰパケットである場合、ＳＴ９０２に進み、受信パケットがＩＰパケットでない場合、ＳＴ９０３に進む。
【００８１】
ＳＴ９０２では、前記判定結果が一致する場合には、ＩＰヘッダの送信先ＩＰアドレスが、ＰＰＰｏＥセッション情報管理テーブルに蓄積される加入者ＩＰアドレスに一致するかどうかを判定する。ＩＰヘッダの送信先ＩＰアドレスが、ＰＰＰｏＥセッション情報管理テーブルに蓄積される加入者ＩＰアドレスに一致する場合、ＳＴ９０４に進み、ＩＰヘッダの送信先ＩＰアドレスが、ＰＰＰｏＥセッション情報管理テーブルに蓄積される加入者ＩＰアドレスに一致しない場合、ＳＴ９０３に進む。
【００８２】
ＳＴ９０３では、受信したパケットを廃棄し、処理終了となる。ＳＴ９０４では、前記判定結果が存在する場合には、ＰＰＰｏＥセッション情報管理テーブル（図２参照）から、加入者端末のＭＡＣアドレス、ＰＰＰｏＥ  Ｓｅｓｓｉｏｎ  ＩＤ、ＶＬＡＮ−ＩＤ、加入者端末接続インタフェース番号、網終端装置のＭＡＣアドレスを抽出し、プロトコル変換を行い（図５参照）、加入者端末接続インタフェースへ転送し、処理終了となる。
【００８３】
なお、ＳＴ９０３のプロトコル変換では、詳細には以下の動作を行う。まず、ＥｔｈｅｒヘッダのＭＡＣ−ＤＡをパケット交換装置のＭＡＣアドレスから、加入者端末のＭＡＣアドレスへ変換する。次に、ＥｔｈｅｒヘッダのＭＡＣ−ＳＡをコンテンツ配信網のルータのＭＡＣアドレスから、網終端装置のＭＡＣアドレスへ変換する。そして、ＶＬＡＮ−ＴＡＧを付加する。最後に、ＰＰＰｏＥヘッダ及びＰＰＰヘッダを付加。
【００８４】
以上の動作を行い、パケット交換装置１０３は配信網から受信したパケットのプロトコル変換を行う。
【００８５】
このように、本実施の形態のパケット交換装置によれば、加入者端末からの受信パケットをコンテンツ配信網へ転送する場合に、加入者端末を一意に識別するＶＬＡＮ−ＩＤと加入者端末のＩＰアドレスが蓄積されていることを転送条件とすることにより、パケット交換装置から受信した悪意を持った不正な加入者が、他人のパケットを偽装したとしても、コンテンツ配信網側へリダイレクションを防ぐことができる。
【００８６】
この本発明のパケット交換装置の効果の一例について説明する。図１０は、本実施の形態のパケット交換装置の効果の一例を示す図である。
【００８７】
図１０において、悪意を持つ加入者の加入者端末Ｂ１００２が、加入者端末Ａ１００１のＩＰアドレスＸを偽装し、コンテンツサーバを送信先とするＩＰパケットを送出したとする。
【００８８】
ここで、レイヤ２スイッチ１０２においてＩＰアドレスＸを偽装したパケット１００４に付加されるＶＬＡＮ−ＴＡＧのＶＬＡＮ−ＩＤは、加入者端末Ｂ１００２に対するＶＬＡＮ−ＩＤ（例えばＩＤ＝２００）となる、一方、本来加入者端末Ａ１００１に付与されるＶＬＡＮ−ＴＡＧのＶＬＡＮ−ＩＤ（例えばＩＤ＝１００）である。
【００８９】
加入者端末Ａ１００１から送信されるパケット１００３とＩＰアドレスＸを偽装したパケット１００４とでは、ＶＬＡＮ−ＩＤが異なるものとなる。
【００９０】
さらに、加入者端末Ａ１００１から送信されるパケット１００３のＩＰアドレスＸとＶＬＡＮ−ＩＤとの組み合わせは、パケット交換装置に蓄積されるＰＰＰｏＥセッション情報管理テーブルに登録されているのに対して、ＩＰアドレスＸとＶＬＡＮ−ＩＤ２００の組み合わせは、パケット交換装置に蓄積されるＰＰＰｏＥセッション情報管理テーブルに存在しない。
【００９１】
そこで、パケット交換装置は、受信したパケットのうち、ＩＰアドレスとＶＬＡＮ−ＩＤとの組み合わせがＰＰＰｏＥセッション情報管理テーブルに存在しないパケットはコンテンツサーバに転送しない。この結果、ＩＰアドレスを偽装したパケットは、コンテンツサーバに転送されることがなく、不正な加入者が、他の加入者のＩＰアドレスを偽装したコンテンツ配信網へのアクセスを抑制することができる。
【００９２】
なお、本発明は上記実施の形態に限定されず、種々変更して実施することが可能である。例えば、上記実施の形態では、パケット交換装置として行う場合について説明しているが、これに限られるものではなく、このパケット交換方法をソフトウェアとして行うことも可能である。また、本発明は上記実施の形態に限定されず、ＶＬＡＮ、ＶＬＡＮ−ＩＤの変わりにＭＰＬＳトンネル、ＬＳＰ−ＩＤとしても同様の効果を得ることができる。
【００９３】
例えば、上記パケット交換方法を実行するプログラムを予めＲＯＭ（Read Only Memory）に格納しておき、そのプログラムをＣＰＵ（Central Processor Unit）によって動作させるようにしても良い。
【００９４】
また、上記パケット交換方法を実行するプログラムをコンピュータで読み取り可能な記憶媒体に格納し、記憶媒体に格納されたプログラムをコンピュータのＲＡＭ（Random Access Memory）に記録して、コンピュータをそのプログラムにしたがって動作させるようにしても良い。
【産業上の利用可能性】
【００９５】
本発明は、特にユーザとプロバイダをトンネリング・プロトコルによるネットワークトンネルに用いるに好適である。
【図面の簡単な説明】
【００９６】
【図１】本発明の一実施の形態に係るシステムの構成を示すブロック図
【図２】上記実施の形態のパケット交換装置が具備するテーブルの一例の図
【図３】上記実施の形態のパケット交換装置が具備するテーブルの一例の図
【図４】プロトコル変換における処理の一例を示す図
【図５】プロトコル変換における処理の一例を示す図
【図６】上記実施の形態のパケット交換装置の構成を示すブロック図
【図７】上記実施の形態のパケット交換装置の動作の一例を示すフロー図
【図８】上記実施の形態のパケット交換装置の動作の一例を示すフロー図
【図９】上記実施の形態のパケット交換装置の動作の一例を示すフロー図
【図１０】上記実施の形態のパケット交換装置の効果の一例を示す図
【図１１】従来のシステム構成を示す図
【図１２】ＰＰＰｏＥセッション情報管理テーブルの一例を示す図
【図１３】パケット交換装置における加入者端末からのパケットを受信した時の処理の一例を示すフロー図
【符号の説明】
【００９７】
２０１  加入者インタフェース
２０２  プロバイダ網インタフェース
２０３  コンテンツ配信網インタフェース
２０４  パケット転送部
２０５  パケット識別・プロトコル変換部
２０６  記憶装置
【図１】
2005328308.tif 000003
【図２】
2005328308.tif 000004
【図３】
2005328308.tif 000005
【図４】
2005328308.tif 000006
【図５】
2005328308.tif 000007
【図６】
2005328308.tif 000008
【図７】
2005328308.tif 000009
【図８】
2005328308.tif 000010
【図９】
2005328308.tif 000011
【図１０】
2005328308.tif 000012
【図１１】
2005328308.tif 000013
【図１２】
2005328308.tif 000014
【図１３】
2005328308.tif 000015