JP4002268B2

JP4002268B2 - パケット中継装置、パケット中継方法およびパケット中継プログラム

Info

Publication number: JP4002268B2
Application number: JP2004313624A
Authority: JP
Inventors: 朋生村井
Original assignee: Furukawa Electric Co Ltd
Current assignee: Furukawa Electric Co Ltd
Priority date: 2004-10-28
Filing date: 2004-10-28
Publication date: 2007-10-31
Anticipated expiration: 2024-10-28
Also published as: JP2006128989A

Description

本発明は、ＭＰＬＳ（Multi Protocol Label Switching）技術を用いたパケット中継装置、パケット中継方法およびパケット中継プログラムに関するものであり、特に、ＭＰＬＳ技術を用いたパケット通信において、ラベル改竄による通信の信頼性の低下を防止することができるパケット中継装置、パケット中継方法およびパケット中継プログラムに関するものである。

ＭＰＬＳ技術は、複数のプロトコルや、アドレスが重複している複数のＩＰネットワークを同一ネットワーク上で提供する技術であり、ＩＥＴＦ（Internet Engineering Task Force）において技術標準化が進められているラベルスイッチ技術である。

このＭＰＬＳ技術は、ブロードバンド時代に必須なパケットの超高速転送性やネットワークの閉域性を保障可能であることから、近年標準化された技術である。ＭＰＬＳ技術では、ＩＰパケット内にラベルと呼ばれる識別子を挿入し、ＭＰＬＳネットワークでラベルに従ってラベルスイッチパス（ＬＳＰ）を経由してパケットをフォワーディングし、ポイント・ツー・ポイント通信が可能となる。

ＭＰＬＳ技術では、ＭＰＬＳ対応のスイッチやルータ(LSR：Label Switch Router)が最初のパケットを受信すると、パケット内のルーティング情報に「ラベル」と呼ばれる短い固定長の情報を付け、次のホップ先に転送する。次にそのパケットを受信したルータはラベルを参照するだけで次のホップ先へ転送できるので、パケットごとにルーティング処理を行なう必要がなくなる。ＬＳＲ同士はＬＤＰ(Label Distribution Protocol)というプロトコルを用いてルーティング情報の交換を行ない、経路情報が変更されるとラベルを割り当てる。

図６は、従来のＭＰＬＳ技術を用いたパケット通信システムの構成を示すブロック図である。同図において、顧客端末１０Ａ、顧客端末１０Ｂ、顧客端末１０Ｃおよび顧客端末１０Ｄは、顧客側に設けられたコンピュータ端末であり、ＩＳＰ（Internet Service Provider）ネットワーク２０Ａ、ＩＳＰネットワーク２０Ｂ、ＩＳＰネットワーク２０ＣおよびＩＳＰネットワーク２０Ｄに接続されている。

カスタマエッジルータ３０Ａ、カスタマエッジルータ３０Ｂ、カスタマエッジルータ３０Ｃおよびカスタマエッジルータ３０Ｄは、顧客側に設けられたルータであり、パケットをフォワーディングする機能を備えている。これらのカスタマエッジルータ３０Ａ、カスタマエッジルータ３０Ｂ、カスタマエッジルータ３０Ｃおよびカスタマエッジルータ３０Ｄは、ＩＳＰネットワーク２０Ａ、ＩＳＰネットワーク２０Ｂ、ＩＳＰネットワーク２０ＣおよびＩＳＰネットワーク２０Ｄに接続されている。

レイヤ２スイッチ４０は、カスタマエッジルータ３０Ａ、カスタマエッジルータ３０Ｂおよび後述するプロバイダエッジルータ６０Ａに接続されており、カスタマエッジルータ３０Ａまたはカスタマエッジルータ３０Ｂから送信されたパケットをプロバイダエッジルータ６０Ａへ転送する機能を有するスイッチである。

プロバイダエッジルータ６０Ａ、プロバイダエッジルータ６０Ｂおよびプロバイダエッジルータ６０Ｃは、プロバイダ側のＭＰＬＳネットワーク７０に接続されたパケット中継装置であり、パケットをフォワーディングする機能を備えている。

また、これらのプロバイダエッジルータ６０Ａ、プロバイダエッジルータ６０Ｂ、プロバイダエッジルータ６０Ｃは、カスタマエッジルータ３０Ａ、カスタマエッジルータ３０Ｂ、カスタマエッジルータ３０Ｃおよびカスタマエッジルータ３０Ｄに対する上位装置である。

コアルータ８０は、ＭＰＬＳネットワーク７０に接続されたパケット中継装置であり、パケットをフォワーディングする機能を備えている。このコアルータ８０は、プロバイダエッジルータ６０Ａ、プロバイダエッジルータ６０Ｂおよびプロバイダエッジルータ６０Ｃに対する上位装置である。

つぎに、従来のパケット通信システムの動作について説明する。以下では、顧客端末１０Ｂから顧客端末１０Ｄへパケットを送信する場合について説明する。同図において、顧客端末１０Ｂから、顧客端末１０Ｄ宛のパケット１００が送信されると、パケット１００は、ＩＳＰネットワーク２０Ｂを介してカスタマエッジルータ３０Ｂに受信される。

カスタマエッジルータ３０Ｂは、パケット１００にラベル（１７）を付加したパケット１０１を生成した後、このパケット１０１を送信する。このラベル（１７）は、プロバイダエッジルータ６０Ａからカスタマエッジルータ３０Ｂに予め配布されたものである。

そして、パケット１０１は、レイヤ２スイッチ４０によりプロバイダエッジルータ６０Ａへ転送される。プロバイダエッジルータ６０Ａは、インタフェースＩｆ１でパケット１０１を受信する。つぎに、プロバイダエッジルータ６０Ａは、パケット１０１のラベル（１７）を別のラベルに付け替えた後、このパケットをインタフェースＩｆ３から送信する。

以後、パケットは、コアルータ８０、プロバイダエッジルータ６０Ｃおよびカスタマエッジルータ３０Ｄへラベルを付け替えられつつ転送される。カスタマエッジルータ３０Ｄでは、受信したパケットからラベルを外した後、顧客端末１０Ｄへ送信する。これにより、顧客端末１０Ｄでは、顧客端末１０Ｂから送信されたパケットを受信する。

特開２００３−３３８８３１号公報

ところで、従来のパケット通信システムでは、パケットに付加されたラベルに基づいて、パケットを転送しているため、第三者の意図的な操作により、ラベルが改竄された場合、パケットが正規の送信先に送信されず、通信の信頼性が低下するという問題があった。

ここで、ラベルの改竄例として、図６に示した顧客端末１０Ａから顧客端末１０Ｃへパケットを送信する場合について考察する。同図において、顧客端末１０Ａから、顧客端末１０Ｃ宛のパケット１０２が送信されると、パケット１０２は、ＩＳＰネットワーク２０Ａを介してカスタマエッジルータ３０Ａに受信される。

カスタマエッジルータ３０Ａは、パケット１０２にラベル（１６）を付加したパケット１０３を生成した後、このパケット１０３を送信する。このラベル（１６）は、プロバイダエッジルータ６０Ａからカスタマエッジルータ３０Ａに予め配布されたものである。

ここで、第三者の意図的な操作により、パケット１０３のラベル（１６）が、別のラベル（１７）に改竄された場合、改竄後のパケット１０４は、レイヤ２スイッチ４０によりプロバイダエッジルータ６０Ａへ転送される。

そして、プロバイダエッジルータ６０Ａは、前述したパケット１０１の場合と同様にして、パケット１０４のラベル（１７）を別のラベルに付け替えた後、このパケットを送信する。以後、パケットは、コアルータ８０、プロバイダエッジルータ６０Ｃおよびカスタマエッジルータ３０Ｄへラベルを付け替えられつつ誤転送される。

カスタマエッジルータ３０Ｄでは、受信したパケットからラベルを外した後、顧客端末１０Ｄへ誤送信する。これにより、顧客端末１０Ｄでは、顧客端末１０Ａから送信されたパケットを誤受信する。これに対して、本来の送信先である顧客端末１０Ｃでは、当該パケットを受信できない。

本発明は、上記に鑑みてなされたものであって、ＭＰＬＳ技術を用いたパケット通信において、ラベル改竄による通信の信頼性の低下を防止することができるパケット中継装置、パケット中継方法およびパケット中継プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、請求項１に記載の発明は、ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースと、前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信手段と、受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合手段と、前記照合手段の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御手段と、を備えたことを特徴とする。

また、請求項４に記載の発明は、ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースを格納するデータベース格納工程と、前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信工程と、受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合工程と、前記照合工程の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御工程と、を含むことを特徴とする。

また、請求項５に記載の発明は、コンピュータに、ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースを格納するデータベース格納工程と、前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信工程と、受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合工程と、前記照合工程の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御工程と、を実行させるためのパケット中継プログラムである。

以下に、本発明にかかるパケット中継装置、パケット中継方法およびパケット中継プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

図１は、本発明にかかる一実施例の構成を示す図である。同図には、前述したＭＰＬＳ技術を利用して、パケット通信をおこなうためのパケット通信システムが図示されている。同図において、図６の各部に対応する部分には同一の符号を付ける。図１においては、図６に示したプロバイダエッジルータ６０Ａ、プロバイダエッジルータ６０Ｂおよびプロバイダエッジルータ６０Ｃに代えて、プロバイダエッジルータ９０Ａ、プロバイダエッジルータ９０Ｂおよびプロバイダエッジルータ９０Ｃが設けられている。

これらのプロバイダエッジルータ９０Ａ、プロバイダエッジルータ９０Ｂおよびプロバイダエッジルータ９０Ｃは、ＭＰＬＳネットワーク７０に接続されたパケット中継装置であり、パケットをフォワーディングする機能を備えている。また、これらのプロバイダエッジルータ９０Ａ、プロバイダエッジルータ９０Ｂおよびプロバイダエッジルータ９０Ｃは、前述したラベルの改竄による通信の信頼性の低下を防止すべく、ＭＡＣアドレス（Media Access Control）に基づいて、フォワーディングの要否を判断する機能も備えている。

ここで、ＭＡＣアドレスは、各ネットワーク装置（顧客端末１０Ａ〜１０Ｄ、カスタマエッジルータ３０Ａ〜３０Ｄ、プロバイダエッジルータ９０Ａ〜９０Ｃ、コアルータ８０等）のネットワークカードに固有の物理アドレスであり、各ネットワーク機器を一意に識別するための識別子である。

また、これらのプロバイダエッジルータ９０Ａ、プロバイダエッジルータ９０Ｂおよびプロバイダエッジルータ９０Ｃは、カスタマエッジルータ３０Ａ、カスタマエッジルータ３０Ｂ、カスタマエッジルータ３０Ｃおよびカスタマエッジルータ３０Ｄの上位装置である。

また、パケット通信ネットワークにおいて、各ネットワーク装置には、ＩＰアドレスおよびＭＡＣアドレスが付与されている。ここで、ＩＰアドレスは、ＴＣＰ／ＩＰネットワーク上でネットワーク装置を識別するための３２ビットのアドレスである。

具体的には、顧客端末１０Ａには、ＩＰアドレスとしてip_10A、ＭＡＣアドレスとしてmac_10Aが付与されている。顧客端末１０Ｂには、ＩＰアドレスとしてip_10B、ＭＡＣアドレスとしてmac_10Bが付与されている。顧客端末１０Ｃには、ＩＰアドレスとしてip_10C、ＭＡＣアドレスとしてmac_10Cが付与されている。顧客端末１０Ｄには、ＩＰアドレスとしてip_10D、ＭＡＣアドレスとしてmac_10Dが付与されている。

また、カスタマエッジルータ３０Ａには、ＩＰアドレスとしてip_30A、ＭＡＣアドレスとしてmac_30Aが付与されている。カスタマエッジルータ３０Ｂには、ＩＰアドレスとしてip_30B、ＭＡＣアドレスとしてmac_30Bが付与されている。カスタマエッジルータ３０Ｃには、ＩＰアドレスとしてip_30C、ＭＡＣアドレスとしてmac_30Cが付与されている。カスタマエッジルータ３０Ｄには、ＩＰアドレスとしてip_30D、ＭＡＣアドレスとしてmac_30Dが付与されている。コアルータ８０には、ＩＰアドレスとしてip_80、ＭＡＣアドレスとしてmac_80が付与されている。

また、プロバイダエッジルータ９０Ａには、ＩＰアドレスとしてip_90A、ＭＡＣアドレスとしてmac_90Aが付与されている。プロバイダエッジルータ９０Ｂには、ＩＰアドレスとしてip_90B、ＭＡＣアドレスとしてmac_90Bが付与されている。プロバイダエッジルータ９０Ｃには、ＩＰアドレスとしてip_90C、ＭＡＣアドレスとしてmac_90Cが付与されている。

なお、プロバイダエッジルータ９０Ａ〜９０Ｃの少なくとも１つは、内蔵するプログラムの設定変更等により、あるいは、予めパケットのラベルを外す機能を有するようにできる。

さらに、カスタマーエッジルータ３０Ａ〜３０Ｄの少なくとも１つは、パケットのラベルを外す機能を有し、照合手段の照合結果が一致である場合にパケットのラベルを外して、次段の装置へ送信できる。

なお、カスタマーエッジルータ３０Ａ〜３０Ｄの少なくとも１つは、内蔵するプログラムの設定変更等により、あるいは、予めパケットのラベルを別のラベルに付け替える機能を有するようにできる。

図２は、図１に示したプロバイダエッジルータ９０Ａの構成を示すブロック図である。プロバイダエッジルータ９０Ａにおいて、通信部９１Ａは、ＭＰＬＳネットワーク７０に接続されたネットワークカードであり、所定の通信プロトコルに従って通信を制御する。制御部９２Ａは、パケットのフォワーディングに関する制御を行う。この制御部９２Ａの動作の詳細については、後述する。

ＭＡＣアドレス情報データベース９３Ａは、「受信ラベル」、「受信インタフェース」、「ＭＡＣアドレス」、「送信ラベル」、「送信インタフェース」および「ネクストホップ」からなるＭＡＣアドレス情報を格納するデータベースである。このＭＡＣアドレス情報データベース９３Ａは、予めハードディスク装置等に格納される。

「受信ラベル」は、プロバイダエッジルータ９０Ａが受信したパケットに付加されているラベルを表す。「受信インタフェース」は、プロバイダエッジルータ９０Ａが当該パケットを受信する場合のインタフェースを表す。「ＭＡＣアドレス」は、プロバイダエッジルータ９０Ａが受信した当該パケットに付加されているＭＡＣアドレスに関する情報である。

「送信ラベル」は、プロバイダエッジルータ９０Ａから当該パケットを送信する場合に、受信ラベルに代えて付けられるラベルを表す。「送信インタフェース」は、プロバイダエッジルータ９０Ａから当該パケットを送信する場合のインタフェースを表す。「ネクストホップ」は、プロバイダエッジルータ９０Ａの次段であるコアルータ８０のＩＰアドレスを表す。なお、図１に示したプロバイダエッジルータ９０Ｂおよびプロバイダエッジルータ９０Ｃは、上述したプロバイダエッジルータ９０Ａの構成と同一である。

つぎに、一実施例の動作について、図３および図４を参照しつつ説明する。以下では、顧客端末１０Ｂから顧客端末１０Ｄへパケットを送信する場合について説明する。プロバイダエッジルータ９０Ａの制御部９２Ａ（図２参照）は、図４に示したステップＳＡ１で、パケットを受信したか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。

ここで、顧客端末１０Ｂは、図３に示したパケット１１０を生成する。パケット１１０は、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、自身に付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_10B）と、ネクストホップ（カスタマエッジルータ３０Ｂ）に付与された送信先ＭＡＣアドレス（mac_30B）とを含んでいる。

つぎに、顧客端末１０Ｂは、生成したパケット１１０（図３参照）を送信する。これにより、パケット１１０は、ＩＳＰネットワーク２０Ｂを介してカスタマエッジルータ３０Ｂに受信される。

カスタマエッジルータ３０Ｂは、パケット１１０に基づいて、ラベル（１７）を付加したパケット１１１を生成した後、このパケット１１１を送信する。パケット１１１は、図３に示したように、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、送信元の顧客端末１０Ｂに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、ラベル（１７）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_30B）と、ネクストホップ（プロバイダエッジルータ９０Ａ）に付与された送信先ＭＡＣアドレス（mac_90A）とを含んでいる。

つぎに、カスタマエッジルータ３０Ｂは、生成したパケット１１１（図３参照）を送信する。これにより、パケット１１１は、レイヤ２スイッチ４０に受信される。レイヤ２スイッチ４０は、パケット１１１を送信する。

これにより、パケット１１１がプロバイダエッジルータ９０Ａに受信され、プロバイダエッジルータ９０Ａの制御部９２Ａは、図４に示したステップＳＡ１の判断結果を「Ｙｅｓ」とする。

ステップＳＡ２では、制御部９２Ａは、受信したパケット１１１（図３参照）に付加されたラベル（１７）が、図２に示したＭＡＣアドレス情報データベース９３Ａ（受信ラベル）に存在するか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。なお、ステップＳＡ２の判断結果が「Ｎｏ」である場合、ステップＳＡ６では、制御部９２Ａは、受信したパケットを破棄する。

ステップＳＡ３では、制御部９２Ａは、受信したパケット１１１（図３参照）に含まれる送信元ＭＡＣアドレス（mac_30B）と、ＭＡＣアドレス情報データベース９３Ａ（図２参照）の当該受信ラベル（１７）に対応するＭＡＣアドレス（mac_30B）とが一致するか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。

ステップＳＡ４では、制御部９２Ａは、ＭＡＣアドレス情報データベース９３Ａ（図２参照：受信ラベル（１７）に対応）の送信ラベル（１８）、ネクストホップ（ip_80）に基づいて、パケット１１１のラベル（１７）をラベル（１８）に付け替えて、パケット１１２を生成する。

パケット１１２は、図３に示したように、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、送信元の顧客端末１０Ｂに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、ラベル（１８）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_90A）と、ネクストホップ（コアルータ８０）に付与された送信先ＭＡＣアドレス（mac_80）とを含んでいる。

ステップＳＡ５では、制御部９２Ａは、ＭＡＣアドレス情報データベース９３Ａ（図２参照：受信ラベル（１７）に対応）の送信インタフェース（Ｉｆ３）に基づいて、パケット１１２をインタフェースＩｆ３から送信する。

パケット１１２は、コアルータ８０に受信される。コアルータ８０では、パケット１１２のラベル（１８）を別のラベル（１９）に付け替えて、パケット１１３を生成する。パケット１１３は、図３に示したように、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、送信元の顧客端末１０Ｂに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、ラベル（１９）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_80）と、ネクストホップ（プロバイダエッジルータ９０Ｃ）に付与された送信先ＭＡＣアドレス（mac_90C）とを含んでいる。

つぎに、コアルータ８０は、パケット１１３を送信する。これにより、パケット１１３は、プロバイダエッジルータ９０Ｃに受信される。プロバイダエッジルータ９０Ｃでは、パケット１１３のラベル（１９）を別のラベル（２０）に付け替えて、パケット１１４を生成する。

パケット１１４は、図３に示したように、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、送信元の顧客端末１０Ｂに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、ラベル（２０）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_90C）と、ネクストホップ（カスタマエッジルータ３０Ｄ）に付与された送信先ＭＡＣアドレス（mac_30D）とを含んでいる。

つぎに、プロバイダエッジルータ９０Ｃは、パケット１１４を送信する。これにより、パケット１１４は、カスタマエッジルータ３０Ｄに受信される。カスタマエッジルータ３０Ｄでは、パケット１１４のラベル（２０）を取り外し、パケット１１５を生成する。

パケット１１５は、図３に示したように、送信すべきデータと、顧客端末１０Ｄに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10D）と、送信元の顧客端末１０Ｂに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10B）と、送信元の顧客端末１０Ｂに付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_30D）と、ネクストホップ（顧客端末１０Ｄ）に付与された送信先ＭＡＣアドレス（mac_10D）とを含んでいる。

つぎに、カスタマエッジルータ３０Ｄは、パケット１１５を送信する。これにより、パケット１１５は、顧客端末１０Ｄに受信される。

つぎに、ラベルの改竄例として、図１に示した顧客端末１０Ａから顧客端末１０Ｃへパケットを送信する場合の動作について説明する。

まず、顧客端末１０Ａは、図３に示したパケット１２０を生成する。パケット１２０は、送信すべきデータと、顧客端末１０Ｃに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10C）と、自身に付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10A）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_10A）と、ネクストホップ（カスタマエッジルータ３０Ａ）に付与された送信先ＭＡＣアドレス（mac_30A）とを含んでいる。

つぎに、顧客端末１０Ａは、生成したパケット１２０（図３参照）を送信する。これにより、パケット１２０は、ＩＳＰネットワーク２０Ａを介してカスタマエッジルータ３０Ａに受信される。

カスタマエッジルータ３０Ａは、パケット１２０に基づいて、ラベル（１６）を付加したパケット１２１を生成した後、このパケット１２１を送信する。パケット１２１は、図３に示したように、送信すべきデータと、顧客端末１０Ｃに付与されたＩＰアドレスに対応する送信先ＩＰアドレス（ip_10C）と、送信元の顧客端末１０Ａに付与されたＩＰアドレスに対応する送信元ＩＰアドレス（ip_10A）と、ラベル（１６）と、自身に付与されたＭＡＣアドレスに対応する送信元ＭＡＣアドレス（mac_30A）と、ネクストホップ（プロバイダエッジルータ９０Ａ）に付与された送信先ＭＡＣアドレス（mac_90A）とを含んでいる。

つぎに、カスタマエッジルータ３０Ａは、生成したパケット１２１（図３参照）を送信する。ここで、第三者の意図的な操作により、パケット１２１のラベル（１６）が、ラベル（１７）に改竄された場合、改竄後のパケット１２２（図３参照）は、レイヤ２スイッチ４０によりプロバイダエッジルータ９０Ａへ転送される。

つまり、パケット１２２は、レイヤ２スイッチ４０に受信される。レイヤ２スイッチ４０は、パケット１２２をプロバイダエッジルータ９０Ａへ送信する。

これにより、パケット１２２がプロバイダエッジルータ９０Ａに受信され、プロバイダエッジルータ９０Ａの制御部９２Ａは、図４に示したステップＳＡ１の判断結果を「Ｙｅｓ」とする。

ステップＳＡ２では、制御部９２Ａは、受信したパケット１２２（図３参照）に付加されたラベル（１７）が、図２に示したＭＡＣアドレス情報データベース９３Ａ（受信ラベル）に存在するか否かを判断し、この場合、判断結果を「Ｙｅｓ」とする。

ステップＳＡ３では、制御部９２Ａは、受信したパケット１２２（図３参照）に含まれる送信元ＭＡＣアドレス（mac_30A）と、ＭＡＣアドレス情報データベース９３Ａ（図２参照）の当該受信ラベル（１７）に対応するＭＡＣアドレス（mac_30B）とが一致するか否かを判断し、この場合、ラベルが改竄されたものとして判断結果を「Ｎｏ」とする。

ステップＳＡ７では、制御部９２Ａは、改竄されたパケット１２２を破棄し、ラベルが改竄された旨を送信元のカスタマエッジルータ３０Ａに報知した後、ステップＳＡ１の判断を行う。従って、一実施例においては、ラベルが改竄されても、プロバイダエッジルータ９０Ａでパケット１２２が破棄されるため、従来のようにパケット１２２が顧客端末１０Ｄに誤受信されることがない。

以上説明したように、一実施例によれば、ＭＰＬＳネットワーク１０における経路を表すラベルと、送信元のネットワーク装置を一意に識別するためのＭＡＣアドレスとの対応関係等を表すＭＡＣアドレス情報データベース９３Ａを設け、受信されたパケットに含まれるラベルおよびＭＡＣアドレスとＭＡＣアドレス情報データベース９３Ａとを照合し、照合結果が一致である場合、当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、照合結果が不一致である場合、当該パケットを破棄することとしたので、ＭＰＬＳ技術を用いたパケット通信において、ラベル改竄による通信の信頼性の低下を防止することができる。

以上本発明にかかる一実施例について図面を参照して詳述してきたが、具体的な構成例はこの一実施例に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等があっても本発明に含まれる。

例えば、前述した一実施例においては、プロバイダエッジルータ９０Ａ、プロバイダエッジルータ９０Ｂ、プロバイダエッジルータ９０Ｃの各機能を実現するためのプログラムを図５に示したコンピュータ読み取り可能な記録媒体３００に記録して、この記録媒体３００に記録されたプログラムを同図に示したコンピュータ２００に読み込ませ、実行することにより各機能を実現してもよい。

同図に示したコンピュータ２００は、上記プログラムを実行するＣＰＵ（Central Processing Unit）２１０と、キーボード、マウス等の入力装置２２０と、各種データを記憶するＲＯＭ（Read Only Memory）２３０と、演算パラメータ等を記憶するＲＡＭ（Random Access Memory）２４０と、記録媒体３００からプログラムを読み取る読取装置２５０と、ディスプレイ、プリンタ等の出力装置２６０とから構成されている。

ＣＰＵ２１０は、読取装置２５０を経由して記録媒体３００に記録されているプログラムを読み込んだ後、プログラムを実行することにより、前述した機能を実現する。なお、記録媒体３００としては、光ディスク、フレキシブルディスク、ハードディスク等が挙げられる。

以上のように、本発明にかかるパケット中継装置、パケット中継方法およびパケット中継プログラムは、ＭＰＬＳ技術におけるラベル改竄に対して有用である。

本発明にかかる一実施例の構成を示す図である。図１に示したプロバイダエッジルータ９０Ａの構成を示すブロック図である。同一実施例における各パケットの構成を示す図である。図１に示したプロバイダエッジルータ９０Ａの動作を説明するフローチャートである。同一実施例における変形例の構成を示すブロック図である。従来のＭＰＬＳ技術を用いたパケット通信システムの構成を示すブロック図である。

符号の説明

９０Ａプロバイダエッジルータ
９１Ａ通信部
９２Ａ制御部
９３ＡＭＡＣアドレス情報データベース

Claims

ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースと、
前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信手段と、
受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合手段と、
前記照合手段の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御手段と、
を備えたことを特徴とするパケット中継装置。
前記制御手段は、前記照合結果が不一致である場合、前段のネットワーク装置に対して、ラベルが改竄された旨を報知することを特徴とする請求項１に記載のパケット中継装置。
前記送信元識別子は、ＭＡＣアドレスであることを特徴とする請求項１または２に記載のパケット中継装置。
ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースを格納するデータベース格納工程と、
前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信工程と、
受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合工程と、
前記照合工程の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御工程と、
を含むことを特徴とするパケット中継方法。
コンピュータに、
ＭＰＬＳネットワークにおける経路を表すラベルと、送信元のネットワーク装置を一意に識別するための送信元識別子との対応関係を表すデータベースを格納するデータベース格納工程と、
前記ラベルと、前記送信元識別子と、送信対象のデータとを含むパケットを受信する受信工程と、
受信されたパケットに含まれる前記ラベルおよび前記送信元識別子と前記データベースとを照合する照合工程と、
前記照合工程の照合結果が一致である場合、当該パケットのラベルを外して及び／又は当該パケットのラベルを別のラベルに付け替えて次段のネットワーク装置へ送信し、前記照合結果が不一致である場合、当該パケットを破棄する制御工程と、
を実行させるためのパケット中継プログラム。
前記制御工程では、前記照合結果が不一致である場合、前段のネットワーク装置に対して、ラベルが改竄された旨を報知することを特徴とする請求項５に記載のパケット中継プログラム。
前記送信元識別子は、ＭＡＣアドレスであることを特徴とする請求項５または６に記載のパケット中継プログラム。