(57)【要約】【課題】他人の通信端末のＭＡＣアドレスを知り得た第三者が不正に通信ネットワークへのアクセスを要求してきたような場合に、これを拒否することのできる加入者回線収容装置およびパケットフィルタリング方法を得る。【解決手段】加入者回線収容装置１０２内のＤＨＣＰサーバ１７１Ｂは、図示しないユーザ端末からＩＰアドレスの取得要求があると、ＩＰアドレスを割り当てると共にそのＩＰアドレスとユーザ端末のＭＡＣアドレスおよび回線番号の組をＤＨＣＰ管理テーブル２０１に登録し、これを入力フィルタ部１８４にパケットの通過条件として設定する。ユーザ端末から送られてきたパケットは、入力フィルタ部１８４が条件を満たすものだけブリッジフォワーダ１３５側に送出し、満たさないものは廃棄する。ＩＰアドレスを詐称した不正なアクセスが行われようとしても回線番号やＭＡＣアドレスが一致しなければそのパケットは廃棄される。【選択図】図５
2005244603.tif 000002
【特許請求の範囲】
【請求項１】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与する自局アドレス情報の取得が要求されたとき、使用期間を限定してこれに対してアドレス情報を発行するアドレス情報発行手段と、
このアドレス情報発行手段の発行する前記自局アドレス情報と前記自局アドレス情報の取得の要求があった加入者回線の識別番号の組を登録するフィルタ条件登録手段と、
前記自局アドレス情報と識別番号の対が前記フィルタ条件登録手段に登録されたものと一致するパケットのみに前記パケット通信を許可するパケット通信許可手段
とを具備することを特徴とする加入者回線収容装置。
【請求項２】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与するＩＰアドレスの取得が要求されたとき、使用期間を限定してこれに対してＩＰアドレスを発行するＩＰアドレス発行手段と、
このＩＰアドレス発行手段の発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末の固有情報としてのＭＡＣアドレスの組を登録するフィルタ条件登録手段と、
前記ＩＰアドレスと識別番号およびＭＡＣアドレスの組が前記フィルタ条件登録手段に登録されたものと一致するパケットのみに前記パケット通信を許可するパケット通信許可手段
とを具備することを特徴とする加入者回線収容装置。
【請求項３】
前記パケット通信許可手段は、前記フィルタ条件登録手段に登録されていないパケットで前記自局アドレス情報の取得の要求以外のものをすべて廃棄するパケット廃棄手段を具備することを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項４】
前記パケット通信許可手段は、前記フィルタ条件登録手段に登録されていないパケットで前記ＩＰアドレスの取得の要求以外のものをすべて廃棄するパケット廃棄手段を具備することを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項５】
前記加入者回線の識別番号は、物理回線、あるいは物理回線上に設定された仮想的な論理通信チャネルの番号であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項６】
前記加入者回線はＤＳＬ回線であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項７】
前記加入者回線は光ファイバケーブルを使用した回線であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項８】
前記ＩＰアドレス発行手段は内蔵のＤＨＣＰサーバであることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項９】
複数の加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与する自局アドレス情報の取得が要求されたとき、これに対して使用期間を限定してアドレス情報を発行するアドレス情報発行ステップと、
このアドレス情報発行ステップで前記自局アドレス情報を発行したとき、その前記自局アドレス情報と前記自局アドレス情報の取得の要求があった加入者回線の識別番号の組を前記使用期間を付記して登録するフィルタ条件登録ステップと、
パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内の前記自局アドレス情報と前記自局アドレス情報の取得の要求があった加入者回線の識別番号の組と一致するパケットのみに前記パケット通信を許可するパケット通信許可ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１０】
複数の加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与するＩＰアドレスの取得が要求されたとき、これに対して使用期間を限定してＩＰアドレスを発行するＩＰアドレス発行ステップと、
このＩＰアドレス発行ステップでアＩＰアドレスを発行したとき、そのＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末の固有情報としてのＭＡＣアドレスの組を前記使用期間を付記して登録するフィルタ条件登録ステップと、
パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内のＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみに前記パケット通信を許可するパケット通信許可ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＨＣＰサーバを備えた加入者回線収容装置およびこのような回路構成の装置を使用したパケットフィルタリング方法に係わり、詳細には不正なアクセスを防止する機能を備えた加入者回線収容装置およびパケットフィルタリング方法に関する。
【背景技術】
【０００２】
電話回線や同軸ケーブル、あるいは光ケーブル等の伝送路を介してそれぞれのユーザ端末がインターネット等の通信ネットワークにアクセスするために使用する加入者回線収容装置が、これらのユーザ端末に固定したＩＰ（Internet Protocol）アドレスを割り振っていると、これを第三者が推測して成功するとその他人になりすますことができるという問題がある。
【０００３】
ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバは、通信ネットワークに対して通信端末としてのユーザ端末がアクセスを要求すると、あらかじめ用意しているＩＰアドレスを一時的に発行する機能を持ったサーバである。したがって、ユーザ端末側はＩＰアドレスを固定化されていないので、前記したＩＰアドレスを他人が詐称するといった被害を防止しやすい。また、コンピュータやインターネットテレビジョンといったユーザ端末をインターネットに一時的にアクセスする際には、ＤＨＣＰサーバを用いることで、ユーザ側の接続作業の簡略化を行うことができるという利点もある。このような利点のために、加入者回線収容装置側にＤＨＣＰサーバを使用することが多い。ブリッジは、ＭＡＣアドレス（Media Access Control Address）を基にしてパケットを仕分ける機能を持っており、加入者回線収容装置と関係のないパケットをネットワークから取り込まないようにする役割を持っている。
【０００４】
ところで、コンピュータや通信カード等のユーザ端末には、それぞれ固有の識別情報としてのＭＡＣ（Media Access Control）アドレスが付与されている。ＤＨＣＰサーバを使用した加入者回線収容装置は、それぞれのユーザ端末からアクセスがあるとこれらのＭＡＣアドレスにＤＨＣＰサーバから付与されるＩＰアドレスを対応付けると共に、その対応関係を記憶するようにしている。
【０００５】
そこで加入者回線収容装置に収容された回線に接続したユーザ端末のすべてのＭＡＣアドレスを登録しておき、これらのＭＡＣアドレスのいずれとも異なる通信端末がネットワークにアクセスしようとしたときには、これを拒否するようにすることでセキュリティを更に向上することが提案されている（たとえば特許文献１参照）。
【特許文献１】特開２００２−２０４２４６号公報（第００３８〜第００４０段落、図８）。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
この提案によれば、加入者回線収容装置の配下のユーザ端末以外のユーザ端末が加入者回線収容装置にアクセスしてＩＰアドレスの取得を要求すると、ＤＨＣＰサーバがこれに対してＩＰアドレスを発行する前にそのＭＡＣアドレスが加入者回線収容装置側に事前に登録されているＭＡＣアドレスであるかどうかをチェックする。ＭＡＣアドレスは６オクテット（４８ビット）のビット列で構成されるデータなので、ＩＰアドレスの予測に比べて格段に予測が困難である。そこで、第三者の不正アクセスをより効果的に防止することができる。
【０００７】
しかしながら、この提案では加入者回線収容装置の配下のノートパソコンや通信用のカード等のユーザ端末を盗んでしまった者は、その加入者回線収容装置に収容されているアクセス回線にそのユーザ端末を接続することで、ＤＨＣＰサーバにＩＰアドレスを発行させることができるという問題が発生する。たとえばＣＡＴＶ（CAble TeleVision）網では同軸ケーブルを介して各家庭のユーザ端末と接続されているが、この同軸ケーブルの途中に他人のユーザ端末を接続することで、ＤＨＣＰサーバにＩＰアドレスを発行させて不正アクセスが可能となる。第三者が他人のユーザ端末を借用するなどの方法でＭＡＣアドレスを知り、それを詐称するなど不正に使用した場合も同様である。
【０００８】
そこで本発明の目的は、他人の通信端末のＭＡＣアドレスを知り得た第三者が不正に通信ネットワークへのアクセスを要求してきたような場合に、これを拒否することのできる加入者回線収容装置およびパケットフィルタリング方法を提供することにある。
【課題を解決するための手段】
【０００９】
請求項１記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与する自局アドレス情報の取得が要求されたとき、使用期間を限定してこれに対してアドレス情報を発行するアドレス情報発行手段と、（ハ）このアドレス情報発行手段の発行する前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組を登録するフィルタ条件登録手段と、（ニ）前記した自局アドレス情報と識別番号の対が前記フィルタ条件登録手段に登録されたものと一致するパケットのみに前記パケット通信を許可するパケット通信許可手段とを加入者回線収容装置に具備させる。
【００１０】
すなわち請求項１記載の発明では、加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与する自局アドレス情報の取得が要求されたとき、使用期間を限定してこれに対して前記した自局アドレス情報を発行すると共に、発行する前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組をフィルタ条件登録手段に登録しておく。そして、パケットが到来したときにはフィルタ条件登録手段に登録された前記した自局アドレス情報と識別番号の対と一致するパケットのみにパケット通信を許可するようにしている。これにより、ＩＰアドレス等のアドレス情報が一致しても加入者回線の識別番号が一致しないパケットについては通信を許可しないので、不正アクセスを効果的に防止することができる。
【００１１】
請求項２記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与するＩＰアドレスの取得が要求されたとき、使用期間を限定してこれに対してＩＰアドレスを発行するＩＰアドレス発行手段と、（ハ）このＩＰアドレス発行手段の発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末の固有情報としてのＭＡＣアドレスの組を登録するフィルタ条件登録手段と、（ニ）ＩＰアドレスと識別番号およびＭＡＣアドレスの組がフィルタ条件登録手段に登録されたものと一致するパケットのみにパケット通信を許可するパケット通信許可手段とを加入者回線収容装置に具備させる。
【００１２】
すなわち請求項２記載の発明では、加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与するＩＰアドレスの取得が要求されたとき、使用期間を限定してこれに対してＩＰアドレスを発行すると共に、発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末のＭＡＣアドレスの組をフィルタ条件登録手段に登録しておく。そして、パケットが到来したときにはフィルタ条件登録手段に登録されたＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可するようにしている。これにより、ＩＰアドレス等のアドレス情報が一致しても加入者回線の識別番号が一致しないパケットについては通信を許可しないので、不正アクセスを効果的に防止することができる。
【００１３】
請求項９記載の発明では、（イ）複数の加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与する自局アドレス情報の取得が要求されたとき、これに対して使用期間を限定してアドレス情報を発行するアドレス情報発行ステップと、（ロ）このアドレス情報発行ステップで前記した自局アドレス情報を発行したとき、その前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組を使用期間を付記して登録するフィルタ条件登録ステップと、（ハ）パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内の前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組と一致するパケットのみにパケット通信を許可するパケット通信許可ステップとをパケットフィルタリング方法に具備させる。
【００１４】
すなわち請求項９記載の発明では、アドレス情報発行ステップで自局アドレス情報を発行したときに、その前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組を使用期間を付記してフィルタ条件として登録することにしているので、パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内の前記した自局アドレス情報と前記した自局アドレス情報の取得の要求があった加入者回線の識別番号の組と一致するパケットのみにパケット通信を許可することで、不正アクセスを効果的に防止することができる。
【００１５】
請求項１０記載の発明では、（イ）複数の加入者回線のいずれかの通信端末からパケット通信を行う際のパケットに付与するＩＰアドレスの取得が要求されたとき、これに対して使用期間を限定してＩＰアドレスを発行するＩＰアドレス発行ステップと、（ロ）このＩＰアドレス発行ステップでアＩＰアドレスを発行したとき、そのＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末の固有情報としてのＭＡＣアドレスの組を使用期間を付記して登録するフィルタ条件登録ステップと、（ハ）パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内のＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可するパケット通信許可ステップとをパケットフィルタリング方法に具備させる。
【００１６】
すなわち請求項１０記載の発明では、ＩＰアドレス発行ステップでＩＰアドレスを発行したときに、そのＩＰアドレスと加入者回線の識別番号およびＭＡＣアドレスの組を使用期間を付記してフィルタ条件として登録することにしているので、パケットが送られてきたとき、このフィルタ条件登録ステップで登録された使用期間内のＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可することで、不正アクセスを効果的に防止することができる。
【発明の効果】
【００１７】
このように本発明では、パケットの自局アドレス情報（あるいはＩＰアドレス）の取得を要求した通信端末にアドレス情報を発行したときその要求を行った加入者回線の識別番号を併せて登録しておくので、これと異なった加入者回線から不正にアクセス使用としてもこれを確実に拒否することができる。したがって、不正なアクセスを行おうとする回線に特定して回線への接続が行いにくい通信環境で特に不正アクセスを効果的に防止することができる。また、発行する自局アドレス情報あるいはＩＰアドレスには使用期間を定めることにしているので、同一の通信端末であってもこれらのアドレス情報が固定化されず、これによって不正アクセスを更に効果的に防止することができる。
【発明を実施するための最良の形態】
【００１８】
以下実施例につき本発明を詳細に説明する。
【実施例１】
【００１９】
＜システムの概要＞
【００２０】
図１は、本実施例の加入者回線収容装置を使用したマルチキャスト情報配信システムの概要を表わしたものである。このマルチキャスト情報配信システム１００は、ＡＤＳＬ（Asymmetric Digital Subscriber Line）と呼ばれる非対称ディジタル加入者回線を使用している。マルチキャスト情報配信システム１００は、それぞれの加入者宅に配置されたユーザスプリッタ１０１1〜１０１Mと加入者回線収容装置１０２とを、ＤＳＬ加入者回線１０３1〜１０３Mで接続している。各ユーザスプリッタ１０１1〜１０１Mには、それぞれ電話機１０４1〜１０４MとＡＤＳＬモデム１０５1〜１０５Mのうちの対応するものが接続されている。ＡＤＳＬモデム１０５1〜１０５Mには、ホームページの閲覧等の各種のデータ処理を行うためのパーソナルコンピュータ１０６1〜１０６Mが接続される他、セットトップボックス１０７1〜１０７Mを介してテレビジョン番組を視聴するためのインターネットテレビジョン１０８1〜１０８Mが接続されている。
【００２１】
加入者回線収容装置１０２は、音声交換機１１２と接続されており、公衆電話交換網（ＰＳＴＮ：Public Switched Telephone Network）１１３と接続されるようになっている。また、加入者回線収容装置１０２はルータ１１４を介してインターネット等のパケット通信を行うためのパケット通信ネットワーク１１５に接続されている。パケット通信ネットワーク１１５には、各ユーザのインターネットテレビジョン１０８に対して各種のテレビジョン番組を配信させるための番組配信用サーバ１１６が接続されている。
【００２２】
図２は、加入者回線収容装置とその周辺の構成を示したものである。本実施例で加入者回線収容装置１０２は、１つのシステム当たりで最大で１９２０回線を収容できるようになっている。
【００２３】
加入者回線収容装置１０２は、ＡＤＳＬモデム１０５1〜１０５1920とＤＳＬ加入者回線１０３1〜１０３1920を介して接続されるスプリッタユニット１２２1〜１２２1920を備えている。このうちのスプリッタユニット１２２1を代表的に説明する。スプリッタユニット１２２1は、ＤＳＬ加入者回線１０３1を介して送られてきた信号１２３1を、音声周波数帯域の電話信号１２４1と、これよりも高い所定の周波数帯域のＡＤＳＬ信号１２５1に分離する。電話信号１２４1は、回線交換用の交換機１１２に送られることになる。
【００２４】
これに対して、スプリッタユニット１２１1によって分離されたＡＤＳＬ信号１２５1は、対応するＤＳＬ加入者回線終端ユニット（Line Termination Unit：ＬＴＵ）１２７1の図示しない初段部分で変復調され、ＡＴＭセルが取り出されて、バックプレーンバス１２８を介して複合中継ユニット（ＩＧＵ）１３１に入力される。複合中継ユニット１３１の詳細は後に説明する。ＤＳＬ加入者回線終端ユニット１２７1は最大で３２回線等の所定数の回線に対応したＤＳＬトランシーバモジュール（後に説明するＤＳＰ（Digital Signal Processor））を備えており、ＤＳＬ加入者回線１０３1〜１０３1920を使用して、インターネットに接続するためのインターフェイスとしてのアップリンク回線１３０を介して上り方向（図１におけるパケット通信ネットワーク１１５の方向）に高速のデータ通信を行う他、下りデータを受信して変調し、ＤＳＬ加入者回線１０３1〜１０３1920に送出するようになっている。
【００２５】
図３は、加入者回線収容装置の要部のシステム構成を表わしたものである。加入者回線収容装置１０２は、図２で説明したＤＳＬ加入者回線終端ユニット（ＬＴＵ）１２７1〜１２７Jを備えており、これらは複合中継ユニット１３１の一端側に接続されている。複合中継ユニット１３１はインターネットに接続するためのインターフェイス機能を有しており、その他端側には、アップリンク回線１３０が接続されている。
【００２６】
複合中継ユニット１３１は、加入者回線収容装置１０２の全体的な制御や監視等を行う装置制御部１３２と、バックプレーン（Backplane）のインターフェイスを行うバックプレーンインターフェイス（ＩＦ）回路１３３、ＡＴＭ（Asynchronous Transfer Mode）セルの組み立てや分解を行うＡＴＭ  ＳＡＲ（Asynchronous Transfer Mode Segmentation and Reassembly）１３４、およびレイヤ２の転送を行い、ＭＡＣアドレス（Media Access Control Address）を基にパケットを仕分けるブリッジ部１９４を配置している。ＡＴＭセルは、ＡＴＭ  ＳＡＲ１３４とＤＳＬ加入者回線終端ユニット１２７1〜１２７Jの間で伝送され、アップリンク回線１３０の入出力部分ではイーサネット（登録商標）のフレームが伝送される。
【００２７】
図４は、複合中継ユニットの回路構成の概要を表わしたものである。複合中継ユニット１３１は、装置制御ＣＰＵ（Central Processing Unit）１４１とネットワークプロセッサ１４２の２つのプロセッサと、フラッシュＲＯＭ（Read Only Memory）１４３、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）１４４および不揮発性ＲＡＭ（Random Access Memory）１４５からなるメモリ群と、特定用途向けの集積回路としてのＡＳＩＣ（Application Specific Integrated Circuit）からなるバックプレーンバスＩＦ（interface）回路１３３ならびに図示しないＬＳＩ（Large Scale Integration）で構成されるＧｂＥ（Gigabit Ethernet（登録商標））  ＩＦ（interface）回路１４７を備えている。
【００２８】
ここで、装置制御ＣＰＵ１４１は、装置の管理や通信あるいはコンフィグレーションの設定に関する制御を行う。ネットワークプロセッサ１４２は、内蔵ＣＰＵ１５１およびＡＴＭ  ＳＡＲ１３４を備えた高速の通信用プロセッサである。このネットワークプロセッサ１４２を使用して、図３に示したブリッジ部１９４をソフトウェア的に実現し、これによるフレームの受信、宛先の判別、宛先への送信等の処理が実行される。バックプレーンバスＩＦ回路１３３は、回線との間のバスの制御等の回線に関する各種制御を、ギガビット単位で送られてくるフレームの高速処理を行うために、ハードウェアで実現している。バックプレーンバスＩＦ回路１３３は、ＤＳＬ加入者回線終端ユニット１２７1〜１２７Jを個々にポーリングによって処理している。
【００２９】
図５は、この複合中継ユニットの主要な機能ブロックを示したものである。複合中継ユニット１３１は、図４における装置制御ＣＰＵ１４１とその関連するハードウェアによって実現される基本機能部１６１と、信号処理部１６２を備えている。信号処理部１６２は、図４におけるネットワークプロセッサ１４２とその関連するハードウェア、ならびに制御用のプログラムを使用してソフトウェア的に実現されている。もちろん、信号処理部１６２をハードウェアのみで実現することも可能である。
【００３０】
本実施例で、基本機能部１６１は、図示しないホストとの通信を行ってコンソール（図示せず）を操作する等の処理を行う機能回路部分１７１と、これとの間でパケットの通信を行うためのプロトコルとしてのＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）部１７２と、ＭＡＣ（Media Access Control）の管理を行うＭＡＣ部１７３を備えている。
【００３１】
機能回路部分１７１は、本実施例でマルチキャストによる通信をいわば盗聴するＩＧＭＰ（Internet Group Management Protocol）スヌープ部１７１Ａ、ＩＰ（Internet Protocol）ネットワークで再利用可能なＩＰアドレスの動的割り当てと各種の設定を自動で行なうＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１７１Ｂ、ｔｆｔｐ（trivial file transfer protocol）クライアント１７１Ｃ、機器の監視のためのＳＮＭＰ（Simple Network Management Protocol）エージェント１７１Ｄ、システム制御アプリケーション（ＡＰＬ）１７１Ｅ、ＣＬＩ（Command Line Interface）部１７１Ｆ、仮想端末プロトコル（TELNET）サーバ１７１Ｇ、シリアル（serial）ドライバ１７１Ｈ等の回路部分で構成されている。ＤＨＣＰサーバ１７１Ｂ内には、ＩＰアドレスの管理を行うためのＤＨＣＰ管理テーブルが設けられている。これらのうち、本発明の説明で特に必要とされるものについては後に詳しく説明する。
【００３２】
信号処理部１６２は、ＧｂＥ  ＩＦ回路１４７との間でイーサネット（登録商標）によるフレームの送受信を行うＥｔｈｅｒ送受信制御部１８２を備えている。Ｅｔｈｅｒ送受信制御部１８２によって、たとえば図３のアップリンク回線１３０を介して図１に示す番組配信用サーバ１１６から受信したパケットおよび図４のＤＳＬ加入者回線終端ユニット１２７1〜１２７JからバックプレーンバスＩＦ回路１３３、ＡＴＭ  ＳＡＲ１３４を介して受信されたパケットは、ディテクト（Detect）部１８３に送られて、ここでＭＡＣ部１７３あるいは入力フィルタ部１８４へ送出先を仕分けされる。ＩＧＭＰ制御メッセージパケット、ＤＨＣＰメッセージパケットおよび基本機能部１６１のＩＰ（Internet Protocol）アドレス宛のＩＰパケットが、ＭＡＣ部１７３方向へ送出される。
【００３３】
入力フィルタ部１８４は、たとえば不正アクセスされた２層（Ｌ２）のフレームおよび３層（Ｌ３）のパケットを遮断するためのものである。この入力フィルタ部１８４で、送られてきたパケットをあらかじめ登録した条件と比較し、一致したパケットを廃棄、あるいは一致したパケットのみを通過させる処理を行う。入力フィルタ部１８４を通過したパケットがＭＡＣ学習部１８５に渡される。ＭＡＣ学習部１８５は、送られてきたそれぞれのパケットの送信元ＭＡＣアドレスおよび受信した論理ポート番号を学習し、これらの結果を、ＭＡＣテーブル１８６に登録する。次にパケットはブリッジフォワーダ１３５に渡される。ブリッジフォワーダ１３５は、宛先ＭＡＣアドレスをパケットから抽出してＭＡＣテーブル１８６を検索し、その宛先ＭＡＣアドレスがどの論理ポートの先につながっているかを検索する。当初は、中継すべきパケットの転送先が分からずに、受信した論理ポート以外のすべての論理ポートに送信していたとしても、このような転送先の学習によって、送信元の情報をキーとして宛先のパケットに対応する論理ポートのみに転送できるようになる。
【００３４】
ＭＡＣテーブル１８６にはＭＡＣエージング部１８８が接続されている。ＭＡＣエージング部１８８は、学習結果としてＭＡＣテーブル１８６に格納されたＭＡＣアドレスであっても、一定時間内に同一のアドレスが再学習されなかった場合に、有効時間切れとしてＭＡＣテーブル１８６から削除する処理を行う。
【００３５】
Ｌ２フォワーダ（Forwarder）として構成されるブリッジフォワーダ１３５は、ＭＡＣ学習部１８５、ＭＡＣテーブル１８６、出力フィルタ部１９１およびＭＡＣ部１７３と接続されている。出力フィルタ部１９１は、入力フィルタ部１８４に対応するものであり、宛先に対応した出力論理ポートを識別後、当該ポートに設定されたフィルタリング条件に合致したフレームの廃棄や通過を制御する過程で、不適切なパケットを送出することなく廃棄するようになっている。出力フィルタ部１９１が、このようなフィルタリングを行う条件は、ＩＰアドレス、ＭＡＣアドレス、プロトコルあるいは入力論理ポートなどによって、予めネットワーク管理者が設定するようになっている。
【００３６】
出力フィルタ部１９１の出力側には、第１の優先制御部１９２Ａと第２の優先制御部１９２Ｂを備えた優先制御部１９２が配置されている。優先制御部１９２は、リアルタイムに送信する必要のある音声等の特定のパケットを、他のパケットに優先して送出する制御を行う。これには特定のプロトコルを優先する優先制御と特定の宛先のアドレスを優先する優先制御とが存在する。第１の優先制御部１９２Ａを経てＤＳＬ加入者回線終端ユニット１２７1〜１２７J（図２）方向に向かうフレームは、ＡＴＭ  ＳＡＲ１３４に送られて、ここでイーサネット（登録商標）によるフレームからＡＴＭセルに変換され、バックプレーンバスＩＦ回路１３３を介して、ＤＳＬ加入者回線終端ユニット１２７1〜１２７Jに送出される。また、第２の優先制御部１９２Ｂを経たアップリンク回線１３０（図２）方向に向かうフレームは、Ｅｔｈｅｒ送受信制御部１８２に送られ、ここからフレームのままＧｂＥ（Gigabit Ethernet（登録商標））  ＩＦ回路１４７に入力される。
【００３７】
＜フィルタリング処理＞
【００３８】
図６は、ＤＨＣＰサーバ部に設けられたＩＰアドレス情報の割り当てを管理するＤＨＣＰ管理テーブルの一部を表わしたものである。図５に示したＤＨＣＰ管理テーブル２０１には、ＤＨＣＰサーバ１７１Ｂによって発行されたＩＰアドレスと、発行元のユーザ端末のＭＡＣアドレス、回線番号、状態ならびにリース残存時間が記されている。ここで回線番号“Ｘ／Ｙ”における“Ｘ”は図１に示したＤＳＬ加入者回線１０３1〜１０３Mのうちの該当するものを示す番号であり、“Ｙ”はその論理ポートを表わしている。物理ポートと論理ポートが１対１に対応する場合には、論理ポートが１つだけとなるので、そのような構成の通信システムでは論理ポートの番号を記す必要はない。ＡＴＭのバーチャルチャネル（ＶＣ）を利用する場合、論理ポートの番号が用いられる。
【００３９】
状態を示す欄には、「ＯＦＦＥＲ」、「ＡＬＯＣＡＴＥ」、「Ｅｘｐｉｅｒ」の３種類のいずれかが記される。ここで「ＯＦＦＥＲ」はＤＨＣＰサーバ１７１Ｂがその保有しているＩＰアドレスの１つを要求先のユーザ端末に提示した状態を示している。「ＡＬＯＣＡＴＥ」は、このＩＰアドレスの提示に対して要求先のユーザ端末がこれを使用することを承諾することでＩＰアドレスの割り当てが確定した状態を示している。この状態でユーザ端末がそのＩＰアドレスを使用することができる。「Ｅｘｐｉｅｒ」は割り当てられたＩＰアドレスの使用期限が切れた状態を表わしている。この管理はリース残存時間の欄に記した時刻情報によって行われる。リース残存時間がたとえば２４時間に設定されている場合には、リース開始からその期限が到来する前に期限延長の要求がない場合、期限が経過した時点で「Ｅｘｐｉｅｒ」という表記になる。この後、「Ｅｘｐｉｅｒ」となったＩＰアドレスの組に対してパケットを通過させない処理が終了すると、ＤＨＣＰ管理テーブル２０１から該当する記載情報が削除される。
【００４０】
図７は、このＤＨＣＰ管理テーブルを反映させたフィルタリング処理のうちディテクト部の処理を表わしたものである。図５に示した複合中継ユニット１３１内のディテクト部１８３はＥｔｈｅｒ送受信制御部１８２からパケットを受け取ると（ステップＳ３０１：Ｙ）、これが基本機能部１６１に転送すべきパケットであるかどうかをチェックする（ステップＳ３０２）。そして、ＩＰアドレスの割り当てを要求するパケット等の所定のパケットである場合には（Ｙ）、これを基本機能部１６１に転送する（ステップＳ３０３）。ＩＰアドレスの割り当てを要求するパケットの場合、基本機能部１６１に転送されたそのパケットは、ＤＨＣＰサーバ１７１Ｂに送られることになる。ステップＳ３０２で基本機能部１６１に転送するパケット以外のパケットであると判別された場合には（Ｎ）、そのパケットは入力フィルタ部１８４に送られる（ステップＳ３０４）。
【００４１】
図８は、フィルタリング処理のうちの入力フィルタ部１８４の処理の流れを表わしたものである。入力フィルタ部１８４はパケットが到来すると（ステップＳ３２１：Ｙ）、このパケットが後に説明するフィルタエントリの条件をすべて満たしているか否かを判別する（ステップＳ３２２）。フィルタエントリの条件をすべて満たしている場合には（Ｙ）、入力フィルタ部１８４はそのパケットをそのまま通過させてブリッジフォワーダ１３５に送出して、前記した処理を行わせる（ステップＳ３２３）。
【００４２】
これに対してそのパケットがフィルタエントリの条件の少なくとも１つを満たしていない場合には（ステップＳ３３２：Ｎ）、入力フィルタ部１８４はそのパケットを廃棄する（ステップＳ３２４）
【００４３】
図９はＤＨＣＰサーバの処理の様子を表わしたものである。ＤＨＣＰサーバ１７１ＢはＩＰアドレスの割り当てを要求するパケットが送られてきたら、この送出元のユーザ端末との間でパケットによる所定の手順を踏んで、あらかじめ用意されたＩＰアドレスの中からそのユーザ端末にＩＰアドレスを割り当てる（ステップＳ３４１）。そして、ＤＨＣＰ管理テーブル２０１に割り当てたＩＰアドレスと割り当てを行ったユーザ端末のＭＡＣアドレスおよびそのユーザ端末の回線番号を登録する（ステップＳ３４２）。次に、その回線から送られてくるパケットを管轄する入力フィルタ１８４に対してこれらの情報を与え、パケットの送信元ＩＰアドレスと送信元ＭＡＣアドレスおよび受信した回線番号のそれぞれが一致するパケットのみを通過させるフィルタエントリを生成させる（ステップＳ３４３）。したがって、入力フィルタ１８４はこれ以降に送られてくるパケットのＩＰアドレスとＭＡＣアドレスおよび回線番号がフィルタエントリの示す条件にすべて合致すれば、これを図８で説明したように通過処理してブリッジフォワーダ１３５に向けて送出することになる。
【００４４】
ところでＤＨＣＰサーバ１７１ＢはＩＰアドレスを、リース期間を設定してそれぞれのユーザ端末に割り当てる。したがって、それぞれのＩＰアドレス単位にリース期間が満了するまでのリース残存時間ｔを逐次監視し（ステップＳ３２４）、このリース残存時間ｔが“０”になるものがあれば（Ｙ）、ＤＨＣＰ管理テーブル２０１にその旨の登録処理を行った後に入力フィルタ部１８４に対して該当するフィルタエントリが無効になったことを通知する（ステップＳ３２５）。これにより、リース期間の経過後に送られてきたパケットは入力フィルタ部１８４で廃棄されることになる。
【００４５】
このように本実施例では入力フィルタ部１８４がＩＰアドレスとＭＡＣアドレスだけではなく、ＤＳＬ加入者回線終端ユニット１２７1〜１２７J（図２）の物理インターフェイス番号をも登録して、これら三者が一致するパケットのみを通過させるフィルタリング処理を行うようになっている。したがって、仮に第三者が異なる回線と同一のＭＡＣアドレスを使用してＩＰアドレスの詐称を試みても、物理インターフェイス番号が異なるのでそのパケットは入力フィルタ部１８４を通過することなく廃棄されることになる。しかも、このフィルタ条件はＤＨＣＰサーバがＩＰアドレスをリースしている期間に限定して通過できる動的フィルタであるため、不正アクセスに対する安全性がより高まる。
【００４６】
なお、以上説明した実施例では、送られてきたパケットのＩＰアドレスとＭＡＣアドレスおよび回線番号の三者が登録されている情報と一致するかどうかをフィルタリングの条件としたが、ＩＰアドレスと回線番号あるいは論理ポートの番号の組をフィルタリングの条件として設定しても、異なった回線あるいは論理ポートからの不正なアクセスを防止することができる。
【００４７】
特に電話回線や光ファイバケーブルのような複数の回線が収容された伝送手段の場合には、第三者が加入者回線収容装置１０２とユーザ端末の途中の伝送路で、該当するユーザ端末と同一の伝送路を特定して、これを通じて通信ネットワークにアクセスすることは現実的に困難である。また、これらのアクセス回線を終端する図２に示したＤＳＬ加入者回線終端ユニット１２７1〜１２７Jや、その手前に配置されたスプリッタユニット１２２1〜１２２1920等の通信部品は、加入者回線収容装置１０２に配置され、電話交換局のような外部の者を簡単に排除することのできる物理的セキュリティの高い場所に配置されている。したがって、第三者による特定の回線を用いた不正なアクセスを効果的に防止することができる。
【図面の簡単な説明】
【００４８】
【図１】本実施例でテレビジョン映像を視聴するためのマルチキャスト情報配信システムの概要を表わしたシステム構成図である。
【図２】本実施例で加入者回線収容装置とその周辺の回路構成の概要を示したブロック図である。
【図３】本実施例で加入者回線収容装置の要部のシステム構成を表わしたブロック図である。
【図４】本実施例で複合中継ユニットのハードウェア構成の概要を表わしたブロック図である。
【図５】本実施例で複合中継ユニットのソフトウェア構成の概要を表わしたブロック図である。
【図６】本実施例でＤＨＣＰサーバ部に設けられたＤＨＣＰ管理テーブルの一部を示す説明図である。
【図７】本実施例のディテクタ部の処理を示した流れ図である。
【図８】本実施例の入力フィルタ部の処理を示した流れ図である。
【図９】本実施例のＤＨＣＰサーバの処理を示した流れ図である。
【符号の説明】
【００４９】
１００  マルチキャスト情報配信システム
１０２  加入者回線収容装置
１０３  ＤＳＬ加入者回線
１０５  ＡＤＳＬモデム
１２５  ＡＤＳＬ信号
１２７  ＤＳＬ加入者回線終端ユニット
１２８  バックプレーンバス
１３０  アップリンク回線
１３５  ブリッジフォワーダ
１４１  装置制御ＣＰＵ
１４２  ネットワークプロセッサ
１７１Ｂ  ＤＨＣＰサーバ
１８３  ディテクト部
１８４  入力フィルタ部
１８６  ＭＡＣテーブル
１９４  ブリッジ部
２０１  ＤＨＣＰ管理テーブル
【図１】
2005244603.tif 000003
【図２】
2005244603.tif 000004
【図３】
2005244603.tif 000005
【図４】
2005244603.tif 000006
【図５】
2005244603.tif 000007
【図６】
2005244603.tif 000008
【図７】
2005244603.tif 000009
【図８】
2005244603.tif 000010
【図９】
2005244603.tif 000011