SE523714C2 - Ett filter i ett gränssnitt inom ett öppet system av typ skikt2 för trafikseparation i minst en router för åtkomstomkoppling inom ett nät, och ett förfarande för detta - Google Patents

Description

25 30 35 . . c u » o ø a ø o uu n -~ 523 714 2 adresserna befinner sig. Därefter sker vidarebefordring av paket endast för paket som var avsedda för den utsändningsadress eller en MAC-adress som finns i ett annat segment än det segment från vilket det sändes. Men de olika segmenten utgör fortfarande en del av samma utsändningsdomän.

Vanliga växlar utgör vidareutveeklingar av bryggor. De kan sägas ha en brygga i varje port. Växeln minns/lär sig vilka MAC-adresser som finns i varje respektive port och uppnår vidarebefordran mellan portar endast om trafiken avses för en MAC-adress i en annan port. Varje port blir således ett segment, men varje port (dvs segrnenten) utgör fortfarande en del av samma utsändningsdomän när en utsändning överförs till varje port. En fördel med en växel är att den kommunicerar med höga hastigheter, vilket gör att ett antal portar kan kommunicera med varandra samtidigt med maximal hastighet.

Växeltekniken har gjort framsteg, t ex genom införandet av VLAN, trunkering och spärmviddsträd.

VLAN gör det möjligt att gruppera portar i en växel till olika utsändningsdomäner.

Det innebär att portarna som ingår i ett specifikt VLAN inte är i stånd att kommunicera med portar i ett annat VLAN. Detta gäller åtminstone genom skikt2 som kräver en router för att ansluta sådana portar.

I RFCl027 (Request For Comment dokument under kontroll av IETF; Intemet Engineering Task Force), beskrivs en teknik som är känd som "Proxy-ARP" vid vilken en routeranordning svarar på en ARP-begäran för varje adress utanför det lokala delnätet som begärs av en lokal ansluten värd, vilket på så sätt gör att värden sänder all trafik till routem utan att kräva förståelse av en IP-standardväg eller förvald väg. Detta användes i början av Intemet för att vägleda värdar i avsaknad av en fullständig förståelse av IP att kommunicera med användning av IP-protokollet. Idag används detta sällan.

Sammanfattning av den beskrivna uppfinningen Föreliggande uppfinning syftar till att lösa de problem som sammanhänger med utsändning genom OSI-skikt2 och den begränsade möjligheten att dela upp IP-adresser på undergrupper för ett flertal VLAN.

För att uppnå dess mål och syften avser föreliggande uppfinning ett filter för trafrkseparation i ett sammankopplingsskikt2 inom ett öppet system i minst en router för åtkomstomkoppling inom ett nät. Portarna i routrarna är konfigurerade för samma virtuella lokala Områdesnät. Filtret filtrerar datapakettrafik till portarna. Det innefattar dessutom: organ för uppfångande av skikt2-trafik från en till ett nät ansluten källanordning för en MAC-adress tillhörande nämnda virtuella lokala Områdesnät, som bestämmer om vidarebefordran av trafiken tillåts till andra portar; organ för uppf°angande av Adress Resolution Protokoll utsändningar i sådan trafik, vilka svarar på nämnda utsändning till nämnda källanordning oavsett om ett SkiktZ-område för en destinationsanordning är detsamma som ett skikt2-område för en källanordning, varvid närnnda källanordning på så sätt bestämmer att utsändningen har bekräftat skikt2-adressen 10 15 20 25 30 35 u o a n u u | a | ø nu o o , 523 714 3 n nu :nu hos en tänkt destinationsanordning, destinationsanordningen, varvid nämnda router tar emot nämnda överförda datapaket; varvid källanordningen överför datapaket till organ för bestärnning av utträdesporten till nämnda destinationsanordning; organ för bestämning av skikt2-adressen för nämnda destinationsanordning; organ för justering av skikt2-huvudet från nämnda mottagna datapaket, nämnda organ för inställning av skikt2-adressen för källan, inställning av nämnda routers källadress organ för bestämning av skikt2-adressen för skikt2-destinationsadressen till destinationsanordningen, överföring av datapaketet till destinationsanordningen; och för datapaketen, nänmda destinationsanordningen, inställning av adressen för på så sätt simulerande att källanordningen och destinationsanordningen är inom samma skikt2-domän, varvid routems skikt2-adress är den aktuella destinationsadressen både för källanordningen och destinationsanordningen, eller simulerande att om källanordningen och destinationsanordningen inte finns i samma skikt2domän utan i samma skikt3-delnät är routems skikt2-adress den aktuella skikt2-destinationsadressen för källan till destinationen.

Vid en utföringsform av föreliggande uppfinning förutses att en port som finns i en subrouter är försedd med nämnda skikt2-adress för routers när destinationsanordningen adresseras.

Vid en annan utföringsform förutses att routern undersöker käll- och/eller destinationsadressen för att bestämma den bästa utgångsporten för paketet, för att bestämma om paketet har en profil för taktbegränsning, eller för att utföra annan filtrering baserad på inforrnationer i sammankopplingsskikß i det öppna systemet och högre protokollskikt.

Vid ytterligare en annan utföringsforrn förutses att en router är en kombination av en skikt2-växel och en skikt3-router, vilken kombinerar möjlighetema hos SkiktZ-omkopplingen med en avancerad paketstyming och vidarebefordran av beslut i en skikt3-router.

Vid ytterligare en annan utföringsforrn förutses användning av ett IP-delnät, spridning av detsamma över flera lokaler och en multipel av en åtkomstomkopplingsrouter och samma delnät i multipla SkiktZ-domäner, varvid det täcker fler kunder. Vid ytterligare en annan utföringsform förutses en kund med multipla datorer för att ta emot fler adresser.

Föreliggande uppfinning avser även ett förfarande för ett filter för trafikseparation i ett sammankopplingsskikt2 inom ett öppet system i minst en åtkomstomkopplingsrouter i ett nät. Portama i routrama är konfigurerade efter samma virtuella lokala Områdesnät. Filtret filtrerar datapakettrafik till nänmda portar. Det innefattar dessutom följ ande steg : uppfångande av skikt2-trafik från ett nät anslutet till en källanordning (VärdA, VärdB) för en Media Access Control Adress som tillhör nänmda virtuella lokala Områdesnät, bestämning om vidarebefordran av trafiken tillåts till andra portar; uppfångande av Address Resolution Protokollutsändningar i sådan trafik, motsvarande nänmda utsändning till nänmda källanordning oavsett om en skikt2-domän för en destinationsanordning är densamma som källanordningens skikt2-domän, varvid källanordningen sålunda bestämrner att utsändningen har bekräftat skikt2-adressen för en sökt 10 15 20 25 30 35 ø o ~ u | ø u . . ; u. 523 714 4 n: »nu destinationsanordning, varvid källanordningen överför datapaket till destinationsanordningen, varvid en router tar emot nämnda överförda datapaket; bestämning av utträdesporten till nämnda destinationsanordning; bestämning av skikt2-adressen för nämnda destinationsanordning; justering av skikt2-rubiken från nämnda mottagna datapaket, organet för inställning av källans skikt2-dress, inställning av routramas källadress för datapaketen, närnnda organ för bestämning av skikt2-adressen för destinationsanordningen, inställning av destinationsskikt2- adressen till adressen för destinationsanordningen, överföring av datapaket till destinationsanordningen; och simulerande på så sätt att om källanordningen och destinationsanordningen är inom samma skikt2-domän är routems skikt2-adress den aktuella destinationsadressen både för käll- och destinationsanordningen, eller att simulera att om källanordningen och destinationsanordningen inte är inom samma skikt2-domän utan inom samma skikt3-delnät, är routems skikt2-adress den aktuella skikt2- destinationen.

Av detta framgår att förfarandet är i stånd att åstadkomma stegen i den bifogade destinationsadressen för källan till uppsättningen av underordnade förfarandekrav motsvarande de ovan beskrivna utföringsformerna.

Kortfattad beskrivning av figurerna Här nedan hänvisas till de bifogade figurema för en bättre förståelse av de givna exemplen och utföringsfonnema av föreliggande uppfinning, varvid : Figur 1 illustrerar schematískt ett bostadsområde anslutet till ett bredbandsnät enligt tidigare känd teknik; Figur 2 illustrerar schematískt en nätbrygga som är ansluten mellan två bredbandsnät enligt tidigare känd teknik; och Figur 3 illustrerar schematískt ett bredbandsnät enligt föreliggande uppfinning.

Detaljerad beskrivning av föredragna utföringsformer För att kunna förstå lösningen enligt föreliggande uppfinning på de problem som hänför sig till datatrañken i skikt2 är det även nödvändigt att förstå huvudfunktionerna vid IP- adressering. En fundamental del vid användningen av Ethemet® för IP-kommunikation är användningen av ARP-protokollet (Address Resolution Protocol). ARP används för att besluta mellan OSI-adresser av typ skikt2 och skikt3. Det gör det möjligt för värdar att bestämma skikt2-adressen för en annan anordning när skikt3-adressen redan är känd. Detta används när en värd i ett IP-delnät har för avsikt att kommunicera med en annan värd i samma delnät. ARP används sålunda för tolkning mellan skikt2-adresser (Ethernets® MAC-adresser) och skikt3-adresser (IP).

En fundamental del av IP är att inte varje anordning inom ett nät behöver känna till en anordnad global dirigeringstabell. Om en anordning har ett paket som skall vidarebefordras till en okänd destination kan anordningen konfigureras med en standardväg för erhållande av 10 15 20 25 30 35 . n u n u c u u n o nu 523 714 5 en väg för användning vid varje trafik för vilken det inte finns någon uttalad väg.

Standardvägen är alltid en IP-adress i ett delnät som värden är direkt förknippad med.

Standardvägens skikt2-adress memoreras/lärs in av AKP-protokollet om den inte är statiskt konfigurerad i värden.

Enligt Föreliggande uppfinning definieras en router eller s k router som en anordning vilken analyserar OSI-skikt3 eller högre protokollinfonnation för att fatta ett beslut avseende vidarebefordran av trafiken.

Detta innefattar men är inte begränsat till en undersökning av källan och/eller destinationsadressen för att bestämma den bästa utgångsporten för paketet, att bestämma huruvida paketet har en profil för taktbegränsning, eller för att utföra annan filtrering baserat på informationen inom OS1-förbindelsens skikt3 och högre protokollskikt. Åtkomstomkopplingsroutem (Access Switching Router; ASR) är en kombination av en skikt2-växel och en skikt3-router. Den kombinerar möjligheterna med en skikt2- omkoppling och en avancerad paketstyming samt vidarebefordran av beslut i en skikt3-router.

Denna definition passar definitionen för en router enligt föreliggande uppfinning och inbegriper även de här beskrivna unika filtrerfunktionerna.

Fördelarna med föreliggande uppfinning gör det möjligt för alla Ethernet®-portar i ASR att konfigureras efter samma VLAN, vilket gör det möjligt för portarna att dela samma IP-delnät. Sålunda behöver det inte ske någon uppdelning av delnätet, t ex en 32 bitars IP- adress. Varje gång som ett delnät skapas försvinner två adresser. Dessa är den s k nätadressen och adressen som utgör delnätets utsändningsadress. När företag, Intemettjänstleverantörer etc ansluter till Intemet ansöker de om IP-adresser. Tilldelningen av adresser beror på hur många datorer som är anslutna till nätet, hur nätet skall utformas och dess tillväxttakt under de följande åren.

Som ett exempel betecknas ett företag med 192.168.1.0/24 som adress, varvid /24 anger delnätets dimension. Eftersom IP-adresser uppvisar 32 binära bitar är det enklare att ge ett exempel i binär fonn : 192.168.1.0 = 1 1000000 10101000 00000001 00000000 /24 är lika med en decimal delnätmask med 255.255.255.0 som binärt motsvarar 111111111l11l111111ll11100000000 Den del av delnätet där delnätmasken är 0, här nedan betecknad som värddelen, är den del som tillåts att användas för inställning av en IP-adress för de enskilda datorerna. Den del där delnätmasken är 1 måste alltid vara densamma. Två adresser i denna del får aldrig användas för datorer och dessa adresser är sj älv nätnumret när värddelen endast innefattar en binär 0 och utsändningsadressen när värddelen endast innefattar en binär 1. Sålunda : 11000000 10101000 00000001 00000000 192.168.1.0 10 15 20 25 30 35 Q n a - ø n . , . . ,, 523 714 6 11000000 10101000 00000001 11111111 192.168.1.255 Det är inte sannolikt att 250 datorer är anslutna till ett och samma segment. Det består troligen av flera segment som delats in i flera utsändningsdomäner av typ skikt2 och således behöver varje skikt2-domän ett eget IP-delnät. Därför är det nödvändigt att dela upp de 256 adresserna på mindre delnät. Detta sker genom att ytterligare förlänga delnätmasken, dvs den del som innefattar en binär 1.

Exempel : 11000000 10101000 00000001 00000000 192.168.1.0 11111111111111111111111111000000255.255.255.192 Delnätmasken inkräktar nu på två bitar i den sista oktetten. Detta betyder att finns 6 bitar kvar för en värdadress som decimalt motsvarar 64. Sålunda har de 256 adresserna blivit till fyra delnät med vardera 64 adresser. 11000000 10101000 00000001 00000000 192.168.1.0 11111111111111111111111111000000255.255.255.192 11000000 10101000 00000001 01000000 192.168.1.64 11111111111111111111111111000000255.255.255.192 11000000 10101000 00000001 10000000 192.168.l.128 1111111111111111 11111111 11000000255.255.255.192 11000000 10101000 00000001 11000000192.168.1.192 1111111111111111l111111111000000255.255.255.192 Vart och ett av dessa fyra delnät har två adresser vars användning inte tillåts.

Decimalt är de enligt följande : Delnät 192.168.1.0 förbjudet 192.168.1.0 och 192.168.1.63 Delnät 192.168.1.64 förbjudet 192.168.1.64 och 192.168.1.127 Delnät 192.l68.1.128 förbjudet 192.168.1.128 och 192.168.1.191 Delnät 192.168.1.192 förbjudet 192.168.1.192 och 192.168.1.255 Binärt motsvarande : 10 15 20 25 30 35 I"Illl I 'II n man 7 11000000 10101000 00000001 00000000 192.168.1.0 1111111l111111111111111111000000255.255.255.192 1100000010101000 0000000100111111 192.168.1.63 11111111111111111111111111000000255.255.255.l92 11000000 10101000 00000001 01000000 192.168.1.64 11111111111111111111111111000000255.255.255.192 1100000010101000 0000000101111111 192.168.1.127 11111111111111111111111111000000255.255.255.192 11000000 10101000 00000001 10000000 192.168.1.128 11111111111111111111111111000000255.255.255.192 1100000010101000 00000001 10111111 192.168.1.191 111111l11l1111111111111111000000255.255.255.192 11000000 10101000 00000001 11000000192.168.1.192 1111111l111111111111111111000000255.255.255.192 11000000 10101000 00000001 11111111 192.168.1.255 11111111111111111111111111000000255.255.255.192 Det är nu möjligt att dela in ett av dessa delnät med 64 adresser i två delar som tar emot två delnät på 32 adresser, men som vardera innefattar två förbjuda adresser : 11000000 10101000 00000001 11000000 192.168.1.192 11111111111111111111111111100000255.255.255.224 11000000 10101000 00000001 11011111 192.168.1.223 11111111111111111111111111100000255.255.255.224 11000000 10101000 00000001 11100000 192.168.1.224 11111111 11111111 11111111 11100000255.255.255. 224 1100000010101000 00000001 11111111 192.168.1.255 11111111 11111111 11111111 11100000255.255.255. 224 Inom ett bredbandsnät finns 32 överskottsadresser för ett enda hushåll. Varje dator 10 15 20 25 30 35 523 714 8 I o ø ø u | .n som är förbunden med ett delnät måste ha en adress, vilken även innefattar routem för en standardnätbrygga eller förvald nätbrygga, varvid det finns ett behov av minst två adresser för varje hushåll, den ena för datorn och den andra för routem. Om hushållet innehar mer än en dator behövs ett större delnät.

Därför kräver två adresser per hushåll att det minsta delnätet måste uppvisa dimensionen med fyra adresser. Binärt : 11000000 10101000 00000001 10000000 192.168.1.0 11111111111111111111111111111100255.255.255.252 Eftersom två adresser är förbjudna : 11000000 10101000 00000001 00000000 192.168.1.0 l111111111111111111111111l111100255.255.255.252 11000000 10101000 00000001 00000011 192.168.l.3 1l1111111l11111l1111111111111100255.255.255.252 är de adresser som finns för användning 192.168.1.1 och 192.168.1.2. Inom nästa delnät är adressema 192.168.1.4 och 192.168.1.7 förbjudna. De adresser som kan användas är 192.168.1.5 och 192.168.1.6 osv.

Av de ursprungliga 256 adresserna är 256/4 = 64 delnät eller 64 kunder. Hälften av adresserna vid detta slag av små delnät väljs som utsändnings- och nätadresser, och förlusten av adressutryrnme motsvarar 50%.

Om delnät utformas med större dimensioner minskar förlusten av adressutryrnme beroende på utsändnings- och nätadressema (8 adresser per delnät ger 256/8=32 delnät, dvs 25% förlust av adressutrymmet). Men det finns 6 användbara adresser per delnät och om en enda router finns anordnad finns 5 adresser per hushåll. Om dessa 5 adresser inte helt används p g a av att det inte finns fler än två datorer i varje hushåll föreligger fortfarande en adressförlust eftersom 3 adresser inte används.

Genom lösningen enligt en utföringsform av föreliggande uppfinning möjliggörs användning av 254 adresser av de 256 adresserna som finns anordnade i delnätet och sprida dessa över flera lokaler och multipla ASR, vilket på så sätt täcker fler kunder. Om en kund har fler datorer än en annan kund medför detta inte någon extra förlust av adressutrymme eflersom kunden med större antal datorer tar emot fler adresser. Därför hålls vid föreliggande uppfinning förlusten av adressutrymme nere på några få procent om nätet är uppbyggt rör att optimera adressutrymmet.

Enligt föreliggande uppfinning tillämpas ett filter som förhindrar varje skikt2-trafik I I ø u nu o» 10 15 20 25 30 35 szs 114 rjjšijf; -: 9 o: n» mellan portarna som tillhör VLAN-nätet, förutom trafik med protokolltillval som indikerar att data som bärs fram i skikt2-paketet är IP, IPv6 eller varje annan trafik som är acceptabel för ändamålet med kommunikationen. Detta betyder att även om portarna tillhör samma skikt2- utsändningsdomän förhindras trafik mellan dessa från att kopplas om baserat på deras käll- och destinationsskikt 2-adress.

När en kund som är förknippad med en port börjar sända kommer det första paketet att gå genom Ethernet®-segmentet, inkl ASR-routem för åtkomstomkoppling.

Varje gång som kundvärden försöker kommunicera med en annan värd kommer detta att leda till en ARP-begäran om antingen standardvägen om destinationen inte ingår i kundvärdens IP-delnät, eller själva destinationen om destionationsadresserna finns i samma delnät som kundvärden. Denna ARP-begäran är en skikt2-utsändning, vilken på typiskt sätt går genom hela VLAN-nätet. ARP-meddelandet fångas upp enligt föreliggande uppfinning av routern ASR och förhindras från att vidarebefordras till någon arman port som tillhör detta VLAN-nät. Om AKP-begäran avser en destination som föreligger i någon annan port på ASR eller om destinationen är känd i ASR-routems dirigeringstabell för skikt3, svarar ASR på AKP-begäran med sin egen MAC-adress som nästa hopp. Denna procedur får kundvärden att tro - simulera - att ASR-routems skikt2 adress är destinationsskikt2-adressen som skall användas för att nå den verkliga skikt3 -destinationen. Sålunda överför kundvärden paketet till ASR-routems skikt2-adress.

Om paketet är avsett att vidarebefordras till någon arman av ASR-routems portar, baserat på destinationsskikß-adressen och innehållet i ASR-routerns dirigeringstabell och/eller adressbeslutstabell, ändras källans adress hos paketet till ASR-routems skikt2-adress i utträdesporten. Källans IP-adress kommer att fortsätta att vara kundvärdens ursprungliga adress. Mottagaren i ASR-routem memorerar/lär sig därigenom att källkundvärdens adress mappar till ASR-routems skikt2-adress och varje returtrafik till källkundvärden riktas in mot ASR snarare än direkt mot källkundens MAC-adress. På detta sätt simuleras både källkundvärden och destinationskundvärden så att de tror att ASR-routems MAC-adress är adressen för den andra värden och kommunikationsflödet upprätthålls.

För att kunna kommunicera med TCP/IP måste en värd vara konfigurerad med : - en IP-adress - en delnätmask - en standardnätbrygga - en narrmserver.

En namnserver används för att ansluta mellan nanm och IP-adresser på Internet.

Figur l illustrerar schematiskt ett bostadsområde som är anslutet till ett bredbandsnät 10 enligt tidigare känd teknik. Vid växeln 12 visas ett VLAN-nät (virtuellt lokalområdesnät) med alla portarna 14 anslutna till detsamma, vilket betyder att grarmama har skikt2-åtkomst mellan varandra. Detta gör det möjligt för en granne att t ex bläddra i en annan grannes hårddrift. Växeln 16 innebär att varje port 14 tillhör ett olika VLAN-nät, vilket kräver ett litet ~ ø » u nu 20 25 30 35 ø n ø n nu 523 714 'i 10 .v n.

IP-delnät per VLAN-nät. Detta innebär ett slöseri med adressutryrnme eftersom varje delnät tillför oanvändbara adresser för nätet och utsändningsfunktionen. Ett delnät med två användbara adresser kräver även två oanvändbara adresser, vilket innebär att 50% av adressutrymrnet går förlorat. Anordningama 18 i figur 1 är router.

Figur 2 illustrerar schematiskt en nätbrygga 30 som är ansluten mellan två bredbandsnät 32, 34 i enlighet med tidigare känd teknik, varvid figuren även återger VärdA, VärdB och VärdC.

I följande sekvens beskrivs det klassiska funktionssättet hos ARP-protokollets dirigeringsprotokoll.

Den första sekvensen med stegen 1)-9) ger ett exempel där VärdA sänder till VärdB med hänvisning till figur 2 : 1) VärdA har ett IP-paket som skall sändas 2) VärdA jämför sin adress + delnätmask med Värdens B adress 3) VärdB är inom samma nät som VärdA 4) VärdB gör en AKP-utsändning till nätl med begäran om Värdens B skikt2 adress 5) VärdB bekräftar begäran om dess skikt2-adress 6) VärdB svarar 7) VärdA har nu Värdens B skikt2-adress 8) VärdA sänder data 9) VärdB tar emot data.

Den andra sekvensen med stegen 1)-17) ger ett exempel då VärdA sänder till VärdC med hänvisning till figur 2 : l) VärdA har ett IP-paket som skall sändas 2) VärdA järnför sin adress + delnätmask med Värdens C adress 3) VärdC är inom samma nät som VärdA 4) VärdB gör en ARP-utsändning till nätl med begäran om adressen för skikt2nätbryggan 5) Nätbryggan bekräftar begäran om dess skikt2-adress 6) Nätbryggan svarar 7) VärdA har nu nätbryggans skikt2-adress 8) VärdA sänder data 9) Nätbryggan tar emot data 10) Nätbryggan tar bort SkiktZ-informationen från paketet 11) Nätbryggan letar rätt på Värdens C adress i digireringstabellen och bestämmer utträdesgränssnittet 12) Nätbryggan sänder en AKP-utsändning till nät2 med begäran om Värdens C skikt2-adress 13) VärdC bekräftar begäran om dess skikt2-adress 14) VärdC svarar Q ø - c nu u 10 15 20 25 30 35 u n o o n' 523 714 - - I ø . u | u u of 11 15) Nätbryggan har nu Värdens C skikt2-adress 16) Nätbryggan bygger upp en skikt2-huvuddel för paketet och sänder data 17) VärdC tar emot data.

Om nätbryggan 30 inte hade varit direkt ansluten till nät2, skulle steg 12 i stället ha varit "en överföring av paketet till nät2", med upprepning av stegen 9, 10 och ll och det nya steget 12 i varje nätbrygga längs vägen ända till den nätbrygga som är direktansluten till nät2, och mottagningen av paketet med stegen 12-17 enligt ovanstående flöde skulle då börja.

Figur 3 illustrerar schematiskt ett bredbandsnät 40 enligt föreliggande uppfinning, med två ASR-router 42, 44. VärdA och VärdB är anslutna till routem 42 och VärdC är ansluten till routern 44. Båda routrarna 42 och 44 är direkt förbundna med varandra, varvid routem 42 innefattar filtret enligt föreliggande uppfinning. Figur 3 återger även en VärdD som är ansluten till bredbandsnätet via Internet.

Filtret enligt föreliggande uppfinning är anordnat för en SkiktZ-trafikseparation i en sarnrnaiikoppling för öppet system i minst en ASR-router 42 i ett bredbandsnät 40. Al portar (ej visade i figuren) i routrarna 42, 44 är konfigurerade för samma VLAN-nät. ASR-routem 44 är en subrouter till routem 42 eller enbart ansluten och ger samma filtrerfördelar enligt föreliggande uppfinning. Datapakettrafiken fångas upp av routem 42 som innefattar filtret, vilket filtrerar datapakettrafiken till portarna. Filtret innefattar : organ för uppfångande av skikt2-trafik från en till ett nät ansluten källanordning (VärdA, VärdB) för en MAC-adress tillhörande nämnda virtuella lokala områdesnät, som bestämmer om vidarebefordran av trafiken tillåts till andra portar; organ för uppfångande av adress Resolution Protokollutsändningar för sådan trafik, vilka svarar på utsändningen till nämnda källanordning oavsett om ett SkiktZ-område för en destinationsanordning är detsamma som ett skikt2-oniråde för en källanordning, varvid nämnda källanordning på så sätt bestämmer att utsändningen har bekräftat skikt2-adressen hos en tänkt destinationsanordning, varvid källanordningen överför datapaket till destinationsanordningen, varvid nämnda router tar emot nämnda överförda datapaket; organ för bestäirming av utträdesporten till nämnda destinationsanordning; organ för bestämning av skikt2-adressen för nämnda destinationsanordning; organ för justering av skikt2-huvuddelen från nämnda mottagna datapaket, nämnda organ för inställning av skikt2-adressen för källan, inställning av nämnda routers källadress skikt2-adressen för inställning av skikt2-destinationsadressen till adressen för för datapaketen, nämnda organ för bestämning av destinationsanordningen, destinationsanordningen, överföring av datapaketet till destinationsanordningen.

På så sätt simulerar filtret enligt uppfinningen att källanordningen och destinationsanordningen är inom samma skikt2-domän, varvid routems skikt2-adress är den aktuella destinationsadressen både för källanordningen och destinationsanordningen, eller simulerande att om källanordningen och destinationsanordningen inte finns i samma skikt2domän utan i samma skikt3-delnät är routems skikt2-adress den aktuella skikt2- 10 15 20 25 30 35 523 714 äffsIffš. f - 12 destinationsadressen för källan till destinationen.

Här inses att organen vid föreliggande uppfinning företrädesvis utgörs av mjukvaruuppbyggande block i en router eller en kombination av hårdvara och mjukvara.

Här nedan anges tre olika scenarier för paketflödet enligt föreliggande uppfinning med hänvisning till figur 3.

Här bör noteras att vid IP-dirigering utgör inkapslingen och avkapslingen av skikt2- ett IP-paket en klassisk procedur. IP-huvudet med [P-källan och destinationsadressen lämnas orörda, medan skikt2-huvuddema för Ethernet, TokenRing, FrameRelay, ATM eller andra SkiktZ-teknologier som används ändras. Eftersom skikt2- protokollet inte kan dirigeras är källadressen alltid inställd på adressen för den anordning som sänder paketet. Detta är klassiskt.

Det första scenariot med sekvensstegen 1) till 13) beskriver paketsändning från VärdA till VärdB. Båda värdarna är anslutna till portar inom samma ASR. Portama är konfigurerade så att de tillhör samma utsändningsdomän (VLAN), men portskydd med huvudderna i ytterligare funktioner är möjligt på ASR i enlighet med föreliggande uppfinning.

Första scenariet 1) VärdA har ett IP-paket att sända iväg 2) VärdA jämför dess adress + delnätmask med VärdB och bestämmer att de inte är på samma delnät 3) VärdA gör en ARP-utsändning för Värdens B adress 4) P g a filtren mellan ASR-routerns 42 portar kan utsändningen inte nå VärdB. 5) ASR fångar upp ARP-utsändningen och bestämmer att den vet var VärdB är placerad. 6) ASR svarar på ARP-begäran om VärdB, och ställer in sin egen skikt2-adress för VärdB 7) VärdA tar emot ARP-svaret och tror att den nu känner till skikt2-adressen för VärdB 8) VärdA sänder data 9) ASR 42 tar emot data 10) ASR 42 avlägsnar skikt2-informationen och bestämmer utträdesporten för VärdB 11) ASR 42 ställer in sin egen skikt2-adress som källa för paketet och kapslar in paketet för VärdB 12) ASR 42 sänder data 13) VärdB tar emot data från VärdA.

Eftersom ASR-routems 42 skikt2-adress ställs in som källa tror VärdB att skikt2- adressen för ASR 42 är motsvarande adress för VärdA. På liknande sätt kommer p g a ARP- svaret VärdA att tro att skikt2-adressen för ASR 42 är adressen för VärdB. a a o . . Q ~ a u av n o. 523 714 v 1 | - v o o n » ,. 20 30 35 13 Det andra scenariot som innefattar sekvensstegen stegen l) till 18) beskriver paketsändningen från VärdA till VärdC. Värdama är anslutna till portar på olika ASR-router.

Men adressdelningsfuriktionema hos ASR och det centrala förvaltningssystemet har medgivit att värdama tar emot IP-adresser genom DHCP (Dynamic Host Configuration Protocol = dynamiskt värdkonfigurationsprotokoll) från samma IP-delnät. ASR-routrama har utbytt dirigeringsinformation för att informera varandra om anslutna värdar.

Andra scenariet 1) VärdA har ett IP-paket att sända 2) VärdA jämför sin + delnätmask med VärdC och bestämmer att de är på samma delnät 3) VärdA gör en ARP-utsändning avsedd för Värdens B adress 4) P g a filter mellan ASR-routems 42 portar kan utsändningen inte nå någon annan port på ASR. 5) ASR 42 fångar upp ARP-utsändningen och bestämmer att den känner till var VärdC är placerad 6) ASR 42 svarar på ARP-begäran om VärdC, och ställer in sin egen skikt2-adress som adressen för VärdC 7) VärdA tar emot ARP-svaret och tror att den nu kärmer till skikt2-adressen för VärdC 8) VärdA sänder paketet. 9) ASR 42 tar emot paketet 10) ASR 42 avlägsnar skikt2-inforrnationen och bestärrnner utträdesporten för VärdC 11) ASR 42 kapslar in paketet med lämpliga skikt2-huvud för länken till ASR 44 12) ASR 42 vidarebefordrar paketet till ASR 44 13) ASR 44 tar emot paketet 14) ASR 44 avlägsnar skikt2-inkapslingen som används i länken från ASR 42 15) ASR 44 bestämmer utträdesporten för paketet till VärdC 16) ASR 44 kapslar in paketet med lämpliga skikt2-rubiker, och ställer in sin egen skikt2-adress som källa 17) ASR 44 sänder data 18) VärdC tar emot data från VärdA.

Eftersom ASR 42 svarar på ARP-protokollets begäran kommer VärdA att tro att skikt2-adressen för ASR 42 är adressen för VärdC. Eftersom ASR 44 ställer in skikt 2-adress som källa för paketet till VärdC under de sista stegen här ovan tror VärdC sålunda att skikt2- adressen för ASR 44 är adressen för VärdA.

Det tredje scenariet med stegen 1) till 15) beskriver paketsändningen från VärdA till VärdD. VärdA är ansluten till en port på ASR 42. VärdA är ansluten någonstans inom 10 20 25 523 714 14 | » o a no Internet.

Tredje scenariet 1) VärdA har ett IP-paket att sända 2) VärdA jämför sin adress + delnätmask med VärdB och bestämmer att de inte finns inom samma delnät. 3) VärdA gör en ARP-utsändning om adressen fór en standardnätbrygga 4) P g a filtren mellan ASR-routems 42 portar kan utsändningen inte någon annan port på ASR 5) ASR fångar upp ARP-utsändningen och bestämmer att den är standardnätbryggan 6) ASR svarar på ARP-begäran om en standardnätbrygga med sin egen skikt2-adress 7) VärdA tar emot ARP-svaret och tror att den nu känner till skikt2-adressen för standardnätbryggan 8) VärdA sänder data 9) ASR 42 tar emot data 10) ASR 42 avlägsnar SkiktZ-inforrnationen och bestämmer utträdesporten för VärdD 11) ASR 42 kapslar in paketet med lämpliga skikt2-huvuden för länken till VärdD 12) Nätbryggor längs vägen mellan ASR 42 och VärdD upprepar stegen 9-11 13) Nätbryggan som ansluter VärdD tar emot paketet 14) Nätbryggan utför en ARP-uppslagning och vidarebefordrar paketet till VärdD enligt Internet-standarder 15) VärdD tar emot data.

Föreliggande uppfinning har beskrivits genom exempel och utföringsformer som inte är avsedda att begränsa skyddsomfånget, varvid en fackman är i stånd att härleda ytterligare utfóringsforrner med hjälp av den bifogade uppsättningen av patentkrav. u u n a u: n, u: uno

Claims (12)

10 15 20 25 30 35 523 714 - ' 15 Patentkrav

1. Filter för trafikseparation i ett sammankopplingsskikt2 inom ett öppet system i minst en router för åtkomstornkoppling (42, 44) inom ett nät (40), försett med portar i routrarna (42, 44) som är konfigurerade för samma virtuella lokala Områdesnät, varvid näirmda filter filtrerar datapakettrafik till nämnda portar, k ä n n e t e c k n at a v att det innefattar: organ för uppfångande av skikt2-trafik från en till ett nät ansluten källanordning (VärdA, VärdB) för en adress för mediaåtkomststyrning tillhörande nämnda virtuella lokala Områdesnät, som bestämmer om vidarebefordran av trafiken tillåts till andra portar; organ för uppfångande av adress Resolution Protokollutsändningar för sådan trafik, vilka svarar på nänmda utsändning till nämnda källanordning (VärdA, VärdB) oavsett om ett skikt2-område för en destinationsanordning är detsamma som ett skikt2-område för en källanordning, varvid närrmda källanordning (VärdA, VärdB) på så sätt bestämmer att utsändningen har bekräftat skikt2-adressen hos en tänkt destinationsanordning (VärdC, VärdD), (VärdA, VärdB) datapaket till destinationsanordningen (VärdC, HostD), varvid närrmda router tar emot närrmda överförda datapaket; organ för bestämning av utträdesporten till nämnda destinationsanordning; varvid källanordningen överför organ för bestärrming av skikt2-adressen för nämnda destinationsanordning (VärdC, VärdD); organ för justering av SkiktZ-huvuden från nämnda mottagna datapaket, nämnda organ för inställning av skikt2-adressen för källan, inställning av nämnda routers källadress för datapaketen, nämnda organ för bestämning av skikt2-adressen för destinationsanordningen (VärdC, VärdD), destinationsanordningen inställning av skikt2-destinationsadressen till adressen för (VärdC, VärdD), datapaketet till destinationsanordningen (VärdC, VärdD); och överföring av på sâ sätt (V ärdA, VärdB) och destinationsanordningen (VärdC, VärdD) är inom samma skikt2-domän, varvid routems skikt2-adress destinationsanordningen, simulerande att källanordningen är den aktuella destinationsadressen både för källanordningen och eller simulerande att om källanordningen och destinationsanordningen inte finns i samma skikt2domän utan i samma skikt3-delnät är routems skikt2-adress den aktuella skikt2-destinationsadressen för källan till destinationen.

2. Filter enligt patentkrav 1, k ä n n e te c knat av att en port som finns i en subrouter (42, 44) är försedd med nänmda skikt2-adress för router (42, 44) när destinationsanordningen (VärdC) adresseras.

3. Filter enligt patentkrav 1 eller 2, k ä n n e t e c k n at a v att routem (42, 44) undersöker käll- och/eller destinationsadressen för att bestämma den bästa utgångsporten för paketet, för att bestämma om paketet har en profil för taktbegränsning, eller för att utföra annan filtrering baserad på informationer i sammankopplingsskiktï» i det öppna systemet och a - u » o; vv u., 10 15 20 25 30 35 ø | » . ,, v 523 714 16 a - | o u n högre protokollskikt.

4. Filter enligt patentkrav 1 - 3, k ä n n e t e c k n at a v att en router (42, 44) är en kombination av en skikt2-växel och en skikt3-router, vilken kombinerar möjligheterna hos skikt2-omkopplingen med en avancerad paketstyming och vidarebefordran av beslut i en skikt3-router.

5. Filter enligt patentkrav 1 - 4, k ä n n e t e c k n at användning av ett lP-delnät, spridning av detsamma över flera lokaler och en multipel av en av att det möjliggör åtkomstomkopplingsrouter och samma delnät i multipla skikt2-domäner, varvid det täcker fler kunder.

6. Filter enligt patentkrav 5, k ä n n e t e c k n at a v att det forutser en kund med multipla datorer för att ta emot fler adresser.

7. Förfarande för ett filter för trafikseparation i ett sammankopplingsskikt2 inom ett öppet system i minst en åtkomstomkopplingsrouter (42, 44) i ett nät (40), med portar i routrarna (42, 44) konñgurerade efter sarnma virtuella lokala Områdesnät, varvid nämnda filter filtrerar datapakettrafik till närrmda portar, k ä n n e t e c k n at a v att det innefattar : uppfångande av skikt2-trafik från ett nät anslutet till en källanordning (VärdA, VärdB) för en Media Access Contro Address som tillhör nämnda virtuella lokala Områdesnät, bestämning om vidarebefordran av trafiken tillåts till andra portar; trafik, motsvarande nämnda utsändning till nämnda källanordning (VärdA, VärdB) oavsett om en uppfångande av Adress Resolution Protokollutsändningar i sådan skikt2-domän för en destinationsanordning är densamma som källanordningens skikt2- domän, varvid nämnda källanordning (VärdA, VärdB) sålunda bestämmer att utsändningen har bekräftat skikt2-adressen for en sökt destinationsanordning (VärdC, HostD), varvid källanordningen (VärdA, VärdB) överför datapaket till destinationsanordningen (VärdC, HostD), varvid nämnda router tar emot nämnda överförda datapaket; bestämning av utträdesporten till nämnda destinationsanordning; bestämning av skikt2-adressen för nämnda destinationsanordning (V ärdC, VärdD); justering av skikt2-rubiken från nämnda mottagna datapaket, närnnda organ för inställning av källans skikt2-dress, inställning av routrarnas källadress för datapaketen, nämnda organ för bestämning av skikt2-adressen för destinationsanordningen (VärdC, VärdD), inställning av destinationsskikt2-adressen till adressen för destinationsanordningen WärdC, VärdD), överföring av datapaket till destinationsanordningen (VärdC, VärdD); och sätt att om källanordningen (VärdA, VärdB) och destinationsanordningen (VärdC, VärdD) är inom samma skikt2-domän är routems skikt2- simulerande på så adress den aktuella destinationsadressen både för käll- och destinationsanordningen, eller att simulera att om källanordningen och destinationsanordningen inte är inom samma skikt2- domän utan inom samma skikt3-delnät, är routems skikt2-adress den aktuella skikt2- destinationsadressen för källan till destinationen.

8. Förfarande för ett filter enligt patentkrav 7, k ä n n et e c k n at a v att en port o < - n e. en v.. 10 15 u n - . ,, v 1525 714 17 u ~ | I c v. som finns i en subrouter (42, 44) är försedd med nämnda skikt2-adress fór nämnda router (42, 44) när destinationsanordningen (VärdC) adresseras.

9. Förfarande fór ett filter enligt patentkrav 7 eller 8, k ä n n e t e c k n at a v att routern (42, 44) undersöker käll- och/eller destinatíonsadressen för att bestämma den bästa utgångsporten för paketet, för att bestämma om paketet har en profil för taktbegränsning, eller för att utföra någon annan filtrering baserad på informationen inom det öppna systemets sammankopplingsskikß och högre protokollskikt.

10. Förfarande för ett filter enligt patentkrav 7 - 9, k ä n n e t e c k n at a v att en router (42, 44) är en kombination av en skikt2-växel och en skikt3-router, vilken kombinerar möjligheterna hos skikt2-omkopplingen med en avancerad paketstyming och vidarebefordrar beslut i en skikt3-router.

11. Förfarande för ett filter enligt patentkrav 7 - 10, k ä n n e te c k n at a V att det förutser användningen av ett IP-delnät, med utspridning av detta över flera lokaler och multipla åtkomstomkopplingsrouter och samma delnät i multipla SkiktZ-domäner, varvid det täcker fler kunder.

12. Förfarande för ett filter enligt patentkrav ll, k ä n n e t e c k n at a v att det förutser en kund med multipla datorer fór att ta emot fler adresser.