JP2011159247A

JP2011159247A - Network system, controller, and network control method

Info

Publication number: JP2011159247A
Application number: JP2010022727A
Authority: JP
Inventors: Takahide Sugita; 貴英杉田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2010-02-04
Filing date: 2010-02-04
Publication date: 2011-08-18

Abstract

<P>PROBLEM TO BE SOLVED: To provide a technology of dynamically transferring processing of an appliance to another appliance. <P>SOLUTION: A switch includes a flow table. Each entry of the flow table designates an action to be performed on a packet that matches a match condition. A controller acquires load information indicating processing loads relating to appliances, and compares the processing loads with a threshold. When the processing load relating to a first appliance becomes the threshold or greater, the controller performs transfer processing. In the transfer processing, the controller selects at least one flow being processed by the first appliance, as a selected flow, selects a second appliance different from the first appliance, and instructs the switch to set an entry designating transfer of packets belonging to the selected flow to the second appliance, in the flow table. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、アプライアンスを備えるネットワークシステムを制御する技術に関する。特に、本発明は、あるアプライアンスの処理を他のアプライアンスに委譲する技術に関する。 The present invention relates to a technique for controlling a network system including an appliance. In particular, the present invention relates to a technique for delegating the processing of one appliance to another appliance.

アプライアンス（ネットワークアプライアンス）は、ネットワークトラヒックに対して特定の処理を実行するネットワーク装置である。アプライアンスとしては、負荷分散の機能を提供するロードバランサや、セキュリティを向上させるファイヤーウォール等が挙げられる。近年の仮想化技術の発展に伴い、ゲストＯＳを対象とした仮想的なセキュリティアプライアンスにも注目が集まっている。例えば、ＷＡＦ（ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ）機能を有する仮想アプライアンスは、１台の物理サーバ上で複数のゲストＯＳのトラヒックのアプリケーションレイヤまで監視する。 An appliance (network appliance) is a network device that performs specific processing on network traffic. Examples of the appliance include a load balancer that provides a load balancing function and a firewall that improves security. With the recent development of virtualization technology, attention is also focused on virtual security appliances for guest OSs. For example, a virtual appliance having a WAF (Web Application Firewall) function monitors up to an application layer of traffic of a plurality of guest OSes on one physical server.

ここで、トラヒック量やゲストＯＳの稼働状況によっては、アプライアンスが稼働する物理サーバのリソースが不足する場合がある。その場合、アプライアンスの性能が低下し、処理がおいつかなくなる。そのような事態を回避するために、あるアプライアンスの処理を、一時的に、他のアプライアンスに委譲することが考えられる。 Here, depending on the traffic volume and the operating status of the guest OS, there may be a shortage of resources of the physical server on which the appliance operates. In that case, the performance of the appliance will be reduced and processing will not be possible. In order to avoid such a situation, it is conceivable to temporarily delegate the processing of one appliance to another appliance.

非特許文献１は、トンネリング・プロトコルに関する技術を開示している。当該技術によれば、ＧＲＥ対応ルータがＩＰパケットにヘッダを付加する。その付加ヘッダに基いて、ＩＰネットワークを透過して遠隔地の外部装置と接続することができる。 Non-Patent Document 1 discloses a technique related to a tunneling protocol. According to this technique, a GRE-compatible router adds a header to an IP packet. Based on the additional header, it is possible to connect to an external device at a remote location through the IP network.

非特許文献２に開示された技術によれば、ネットワーク上のトラヒックをサンプリングして監視する。それにより、ルータの負荷を抑えつつ監視することができる。更に、アプライアンスなどの外部装置へ監視したフローを流すことで、高度な分析を行うことが可能である。 According to the technique disclosed in Non-Patent Document 2, traffic on a network is sampled and monitored. Thus, monitoring can be performed while suppressing the load on the router. Furthermore, advanced analysis can be performed by sending the monitored flow to an external device such as an appliance.

非特許文献３に開示された技術によれば、自由にパスを設定し、トラヒックをアプライアンスなどの外部装置へ流すことができる。 According to the technique disclosed in Non-Patent Document 3, it is possible to freely set a path and flow traffic to an external device such as an appliance.

また、負荷分散やロードバランサに関連する技術として、以下のものが知られている。 Further, the following technologies are known as technologies related to load balancing and load balancer.

特許文献１は、動的構成制御装置を開示している。その動的構成制御装置は、ウェブサーバとアプリケーションサーバが接続されるウェブシステムにおいて、各サーバの負荷状況に基いてサービス構成を動的に変更する。 Patent Document 1 discloses a dynamic configuration control device. The dynamic configuration control device dynamically changes a service configuration based on the load status of each server in a web system in which a web server and an application server are connected.

特許文献２は、複数のロードバランサを介するデータ通信を行うクラスタシステムを開示している。ノードサーバが正常に動作しなくなった場合にも、複数のロードバランサは、同一のセッションまたは関連する複数のセッションに属するメッセージを、同一のクラスタノードに分配する。これにより、効率よく複数のロードバランサからのメッセージを処理することができる。 Patent Document 2 discloses a cluster system that performs data communication via a plurality of load balancers. Even when the node server does not operate normally, the plurality of load balancers distribute messages belonging to the same session or a plurality of related sessions to the same cluster node. Thereby, messages from a plurality of load balancers can be processed efficiently.

特開２００３−２８１００７号公報JP 2003-281007 A 特開２００７−１５６５６９号公報JP 2007-15669 A

ＧｅｎｅｒｉｃＲｏｕｔｉｎｇＥｎｃａｐｓｕｌａｔｉｏｎ（ＧＲＥ）ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２７８４．ｔｘｔGeneric Routing Encapsulation (GRE) http: // www. ietf. org / rfc / rfc2784. txt ｓＦｌｏｗｈｔｔｐ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ３１７６．ｔｘｔsFlow http: // tools. ietf. org / rfc / rfc3176. txt Ｄ．Ａ．Ｊｏｓｅｐｈ，Ａ．Ｔａｖａｋｏｌｉ，ａｎｄＩ．Ｓｔｏｉｃａ．ＡＰｏｌｉｃｙ−ａｗａｒｅＳｗｉｔｃｈｉｎｇＬａｙｅｒｆｏｒＤａｔａＣｅｎｔｅｒｓ．ＡＣＭＳＩＧＣＯＭＭＣｏｍｐｕｔｅｒＣｏｍｍｕｎｉｃａｔｉｏｎｓＲｅｖｉｅｗ（ＣＣＲ），３８（４）：５１−６２，２００８．ｈｔｔｐ：／／ｃｃｒ．ｓｉｇｃｏｍｍ．ｏｒｇ／ｏｎｌｉｎｅ／ｆｉｌｅｓ／ｐ５１−ｊｏｓｅｐｈＡ．ｐｄｆD. A. Joseph, A.M. Takakoli, and I.M. Stoica. A Policy-aware Switching Layer for Data Centers. ACM SIGCOMM Computer Communications Review (CCR), 38 (4): 51-62, 2008. http: // ccr. sigcomm. org / online / files / p51-josephA. pdf

あるアプライアンスの処理を、一時的に、他のアプライアンスに委譲することを考える。非特許文献１、２の場合、アプライアンスは、当該文献に記載されている特別なフォーマットに対応している必要があり、さもなければ処理を行うことができない。非特許文献３では、あるタイミングで特定の処理を委譲するといった動的な制御は考慮されていない。 Consider temporarily delegating the processing of one appliance to another appliance. In the case of Non-Patent Documents 1 and 2, the appliance needs to support a special format described in the document, otherwise processing cannot be performed. In Non-Patent Document 3, dynamic control such as delegation of specific processing at a certain timing is not considered.

本発明の１つの目的は、あるアプライアンスの処理を動的に他のアプライアンスに委譲することができる技術を提供することにある。 One object of the present invention is to provide a technology capable of dynamically delegating the processing of one appliance to another appliance.

本発明の１つの観点において、ネットワークシステムが提供される。そのネットワークシステムは、ネットワーク中に配置されたアプライアンス及びスイッチと、それらアプライアンス及びスイッチに接続されたコントローラと、を備える。スイッチは、フローテーブルを備え、フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。スイッチは、パケットを受け取るとフローテーブルを参照し、受け取ったパケットにマッチするエントリで指定されるアクションを受け取ったパケットに対して行う。コントローラは、アプライアンスに関連する処理負荷を示す負荷情報を取得し、また、処理負荷を閾値と比較する。アプライアンスの１つである第１アプライアンスに関連する処理負荷が閾値以上になった場合、コントローラは委譲処理を行う。その委譲処理において、コントローラは、第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択し、アプライアンスの１つであって第１アプライアンスと異なる第２アプライアンスを選択し、選択フローに属するパケットを第２アプライアンスに転送することを指定するエントリをフローテーブルに設定するように、スイッチに対して指示する。 In one aspect of the present invention, a network system is provided. The network system includes appliances and switches arranged in the network, and a controller connected to the appliances and switches. The switch includes a flow table, and each entry in the flow table specifies an action to be performed on a packet that matches the matching condition. When the switch receives the packet, the switch refers to the flow table and performs an action specified by the entry matching the received packet on the received packet. The controller obtains load information indicating the processing load associated with the appliance, and compares the processing load with a threshold value. When the processing load related to the first appliance, which is one of the appliances, exceeds a threshold value, the controller performs delegation processing. In the delegation process, the controller selects at least one of the flows processed by the first appliance as a selection flow, selects a second appliance that is one of the appliances and is different from the first appliance, and selects a selection flow. The switch is instructed to set, in the flow table, an entry that designates that the packet belonging to is transferred to the second appliance.

本発明の他の観点において、ネットワーク中に配置されたアプライアンス及びスイッチに接続されるコントローラが提供される。スイッチは、フローテーブルを備え、フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。スイッチは、パケットを受け取るとフローテーブルを参照し、受け取ったパケットにマッチするエントリで指定されるアクションを受け取ったパケットに対して行う。コントローラは、アプライアンスに関連する処理負荷を示す負荷情報が格納される記憶装置と、処理装置と、を備える。処理装置は、処理負荷を閾値と比較する。アプライアンスの１つである第１アプライアンスに関連する処理負荷が閾値以上になった場合、処理装置は委譲処理を行う。その委譲処理において、処理装置は、第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択し、アプライアンスの１つであって第１アプライアンスと異なる第２アプライアンスを選択し、選択フローに属するパケットを第２アプライアンスに転送することを指定するエントリをフローテーブルに設定するように、スイッチに対して指示する。 In another aspect of the present invention, a controller connected to appliances and switches located in a network is provided. The switch includes a flow table, and each entry in the flow table specifies an action to be performed on a packet that matches the matching condition. When the switch receives the packet, the switch refers to the flow table and performs an action specified by the entry matching the received packet on the received packet. The controller includes a storage device that stores load information indicating a processing load related to the appliance, and a processing device. The processing device compares the processing load with a threshold value. When the processing load related to the first appliance, which is one of the appliances, exceeds a threshold value, the processing device performs delegation processing. In the delegation process, the processing device selects at least one of the flows processed by the first appliance as a selection flow, selects a second appliance that is one of the appliances and is different from the first appliance, and selects The switch is instructed to set, in the flow table, an entry designating that a packet belonging to the flow is transferred to the second appliance.

本発明の更に他の観点において、アプライアンス及びスイッチが配置されたネットワークの制御方法が提供される。スイッチは、フローテーブルを備え、フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。スイッチは、パケットを受け取るとフローテーブルを参照し、受け取ったパケットにマッチするエントリで指定されるアクションを受け取ったパケットに対して行う。本発明に係る制御方法は、（Ａ）アプライアンスに関連する処理負荷を示す負荷情報を取得することと、（Ｂ）処理負荷を閾値と比較することと、（Ｃ）アプライアンスの１つである第１アプライアンスに関連する処理負荷が閾値以上になった場合、委譲処理を行うことと、を含む。その委譲処理は、（Ｃ１）第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択することと、（Ｃ２）アプライアンスの１つであって第１アプライアンスと異なる第２アプライアンスを選択することと、（Ｃ３）スイッチにおいて、選択フローに属するパケットを第２アプライアンスに転送することを指定するエントリをフローテーブルに設定することと、を含む。 In still another aspect of the present invention, a method for controlling a network in which appliances and switches are arranged is provided. The switch includes a flow table, and each entry in the flow table specifies an action to be performed on a packet that matches the matching condition. When the switch receives the packet, the switch refers to the flow table and performs an action specified by the entry matching the received packet on the received packet. The control method according to the present invention includes (A) acquiring load information indicating a processing load related to the appliance, (B) comparing the processing load with a threshold, and (C) a first of the appliances. Including performing delegation processing when the processing load related to one appliance is equal to or greater than a threshold value. The delegation processing includes (C1) selecting at least one of the flows processed by the first appliance as a selection flow, and (C2) selecting a second appliance that is one of the appliances and is different from the first appliance. And (C3) setting, in the switch, an entry for designating transfer of a packet belonging to the selected flow to the second appliance in the switch.

本発明の更に他の観点において、アプライアンス及びスイッチが配置されたネットワークの制御処理をコンピュータに実行させる制御プログラムが提供される。スイッチは、フローテーブルを備え、フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。スイッチは、パケットを受け取るとフローテーブルを参照し、受け取ったパケットにマッチするエントリで指定されるアクションを受け取ったパケットに対して行う。本発明に係る制御処理は、（Ａ）アプライアンスに関連する処理負荷を示す負荷情報を取得することと、（Ｂ）処理負荷を閾値と比較することと、（Ｃ）アプライアンスの１つである第１アプライアンスに関連する処理負荷が閾値以上になった場合、委譲処理を行うことと、を含む。その委譲処理は、（Ｃ１）第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択することと、（Ｃ２）アプライアンスの１つであって第１アプライアンスと異なる第２アプライアンスを選択することと、（Ｃ３）選択フローに属するパケットを第２アプライアンスに転送することを指定するエントリをフローテーブルに設定するように、スイッチに対して指示することと、を含む。 In still another aspect of the present invention, a control program for causing a computer to execute control processing of a network in which appliances and switches are arranged is provided. The switch includes a flow table, and each entry in the flow table specifies an action to be performed on a packet that matches the matching condition. When the switch receives the packet, the switch refers to the flow table and performs an action specified by the entry matching the received packet on the received packet. The control processing according to the present invention includes (A) acquiring load information indicating a processing load related to the appliance, (B) comparing the processing load with a threshold value, and (C) one of the appliances. Including performing delegation processing when the processing load related to one appliance is equal to or greater than a threshold value. The delegation processing includes (C1) selecting at least one of the flows processed by the first appliance as a selection flow, and (C2) selecting a second appliance that is one of the appliances and is different from the first appliance. And (C3) instructing the switch to set in the flow table an entry designating that a packet belonging to the selected flow is transferred to the second appliance.

本発明によれば、あるアプライアンスの処理を動的に他のアプライアンスに委譲することが可能となる。 According to the present invention, it is possible to dynamically delegate the processing of one appliance to another appliance.

図１は、本発明の実施の形態に係るネットワークシステムの構成を概略的に示すブロック図である。FIG. 1 is a block diagram schematically showing the configuration of a network system according to an embodiment of the present invention. 図２は、本実施の形態に係るスイッチの構成を概略的に示すブロック図である。FIG. 2 is a block diagram schematically showing the configuration of the switch according to the present embodiment. 図３は、本実施の形態に係るスイッチが有するフローテーブルを示す概念図である。FIG. 3 is a conceptual diagram illustrating a flow table included in the switch according to the present embodiment. 図４は、本実施の形態に係るアプライアンスの構成を概略的に示すブロック図である。FIG. 4 is a block diagram schematically showing the configuration of the appliance according to the present embodiment. 図５は、本実施の形態に係る物理サーバの構成を概略的に示すブロック図である。FIG. 5 is a block diagram schematically showing the configuration of the physical server according to the present embodiment. 図６は、本実施の形態に係るコントローラの構成を示すブロック図である。FIG. 6 is a block diagram showing a configuration of the controller according to the present embodiment. 図７は、本実施の形態に係るコントローラが有する負荷テーブルを示す概念図である。FIG. 7 is a conceptual diagram showing a load table included in the controller according to the present embodiment. 図８は、本実施の形態に係るネットワーク制御処理を説明するためのブロック図である。FIG. 8 is a block diagram for explaining network control processing according to the present embodiment. 図９は、本実施の形態に係るネットワーク制御処理を示すフローチャートである。FIG. 9 is a flowchart showing network control processing according to the present embodiment. 図１０は、本実施の形態に係るネットワーク制御処理を説明するためのブロック図である。FIG. 10 is a block diagram for explaining network control processing according to the present embodiment. 図１１は、本実施の形態に係るネットワーク制御処理を説明するためのブロック図である。FIG. 11 is a block diagram for explaining network control processing according to the present embodiment. 図１２は、本実施の形態に係る様々な構成例を要約的に示す。FIG. 12 summarizes various configuration examples according to the present embodiment. 図１３は、本実施の形態における１つの構成例を示すブロック図である。FIG. 13 is a block diagram illustrating one configuration example in the present embodiment. 図１４は、本実施の形態における他の構成例を示すブロック図である。FIG. 14 is a block diagram showing another configuration example according to the present embodiment. 図１５は、本実施の形態における更に他の構成例を示すブロック図である。FIG. 15 is a block diagram showing still another configuration example in the present embodiment.

添付図面を参照して、本発明の実施の形態を説明する。 Embodiments of the present invention will be described with reference to the accompanying drawings.

１．構成
図１は、本実施の形態に係るネットワークシステム１の構成を概略的に示すブロック図である。本実施の形態に係るネットワークシステム１は、例えば、データセンター（ＤａｔａＣｅｎｔｅｒ）に適用される。 1. Configuration FIG. 1 is a block diagram schematically showing a configuration of a network system 1 according to the present embodiment. The network system 1 according to the present embodiment is applied to, for example, a data center.

図１に示されるように、ネットワークシステム１は、スイッチ１０、アプライアンス２０、コントローラ１００、及び物理サーバ２００を備えている。アプライアンス２０は、物理アプライアンスであってもよいし、仮想化技術によって物理サーバ２００上に構築される仮想アプライアンスであってもよい。スイッチ１０、アプライアンス２０及び物理サーバ２００は、ネットワーク中に配置されている。アプライアンス２０及び物理サーバ２００は、複数のスイッチ１０からなるスイッチネットワークを介して、外部ネットワークに接続されている。コントローラ１００は、制御回線（図中、破線で表されている）を介して、各スイッチ１０、各アプライアンス２０、及び各物理サーバ２００に接続されている。以下、各構成を更に詳しく説明する。 As illustrated in FIG. 1, the network system 1 includes a switch 10, an appliance 20, a controller 100, and a physical server 200. The appliance 20 may be a physical appliance or a virtual appliance constructed on the physical server 200 by a virtualization technique. The switch 10, the appliance 20, and the physical server 200 are arranged in the network. The appliance 20 and the physical server 200 are connected to an external network via a switch network including a plurality of switches 10. The controller 100 is connected to each switch 10, each appliance 20, and each physical server 200 via a control line (represented by a broken line in the figure). Hereinafter, each configuration will be described in more detail.

１−１．スイッチ１０
スイッチ１０は、パケット転送等のスイッチ処理を行う。より詳細には、図２に示されるように、スイッチ１０は、スイッチ処理部１１、コントローラ通信部１２、記憶部１３、及び複数のポート１５を備えている。外部からパケットが入力されるポート１５は入力ポートであり、パケットが外部に出力されるポート１５は出力ポートである。スイッチ処理部１１は、入力ポートから出力ポートへのパケット転送等、主要なパケット処理を行う。コントローラ通信部１２は、制御回線を介してコントローラ１００に接続されており、コントローラ１００との間で通信を行う際のインタフェースとなる。 1-1. Switch 10
The switch 10 performs switch processing such as packet transfer. More specifically, as illustrated in FIG. 2, the switch 10 includes a switch processing unit 11, a controller communication unit 12, a storage unit 13, and a plurality of ports 15. The port 15 to which a packet is input from the outside is an input port, and the port 15 from which the packet is output to the outside is an output port. The switch processing unit 11 performs main packet processing such as packet transfer from the input port to the output port. The controller communication unit 12 is connected to the controller 100 via a control line, and serves as an interface when communicating with the controller 100.

記憶部１３には、図３に示されるようなフローテーブルＦＴＢＬが格納されている。フローテーブルＦＴＢＬの各エントリは、「マッチ条件（フロー識別情報）」と「アクション」を示している。「マッチ条件」は、パケットの入力ポート、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、ＶＬＡＮＩＤ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号などのパラメータの組み合わせで構成される。尚、フローもそれらパラメータの組み合わせで定義される。つまり、「マッチ条件」は、フローを規定するフロー識別情報でもある。「アクション」は、マッチ条件にマッチするパケットに対して行われる処理を指定する。「アクション」としては、指定ポートへのパケット出力、パケット廃棄等が挙げられる。 The storage unit 13 stores a flow table FTBL as shown in FIG. Each entry of the flow table FTBL indicates “match condition (flow identification information)” and “action”. The “match condition” includes a combination of parameters such as an input port of a packet, a source MAC address, a destination MAC address, a VLAN ID, a source IP address, a destination IP address, a source port number, and a destination port number. The flow is also defined by a combination of these parameters. That is, the “match condition” is also flow identification information that defines a flow. “Action” designates processing to be performed on a packet that matches the matching condition. Examples of “action” include packet output to a designated port, packet discard, and the like.

スイッチ処理部１１は、入力ポートを通してパケットを受信すると、記憶部１３に格納されているフローテーブルＦＴＢＬを参照する。そして、スイッチ処理部１１は、フローテーブルＦＴＢＬの中から、当該受信パケットにマッチするエントリを検索する。具体的には、スイッチ処理部１１は、受信パケットのヘッダ情報を抽出し、受信パケットの入力ポート及びヘッダ情報を検索キーとして用いることにより、フローテーブルＦＴＢＬの検索を行う。その検索キーと一致するマッチ条件を示すエントリが、受信パケットにマッチするマッチエントリである。受信パケットがいずれかのエントリのマッチ条件にマッチした場合、すなわち、マッチエントリが見つかった場合、スイッチ処理部１１は、そのマッチエントリで指定される「アクション」を受信パケットに対して行う。 When the switch processing unit 11 receives a packet through the input port, the switch processing unit 11 refers to the flow table FTBL stored in the storage unit 13. Then, the switch processing unit 11 searches the flow table FTBL for an entry that matches the received packet. Specifically, the switch processing unit 11 searches the flow table FTBL by extracting the header information of the received packet and using the input port and header information of the received packet as a search key. An entry indicating a matching condition that matches the search key is a matching entry that matches the received packet. When the received packet matches the match condition of any entry, that is, when a match entry is found, the switch processing unit 11 performs an “action” specified by the match entry on the received packet.

１−２．アプライアンス２０
アプライアンス（ネットワークアプライアンス）２０は、ネットワークトラヒックに対して特定の処理を実行するネットワーク装置である。アプライアンス２０としては、ロードバランサ、ファイヤーウォール、ＷＡＦ（ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ）、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）、ＩＰＳ（ＩｎｔｒｕｓｉｏｎＰｒｅｖｅｎｔｉｏｎＳｙｓｔｅｍ）、メールセキュリティ装置、暗号化アクセラレーション装置、コーデック変換処理装置、などが挙げられる。尚、本実施の形態において、アプライアンス２０は、物理アプライアンスであってもよいし、仮想化技術によって物理サーバ２００上に構築される仮想アプライアンスであってもよい。 1-2. Appliance 20
The appliance (network appliance) 20 is a network device that executes specific processing for network traffic. Examples of the appliance 20 include a load balancer, a firewall, a WAF (Web Application Firewall), an IDS (Intrusion Detection System), an IPS (Instruction Prevention System), a mail security device, an encryption acceleration device, and a codec conversion processing device. It is done. In the present embodiment, the appliance 20 may be a physical appliance, or a virtual appliance constructed on the physical server 200 by a virtualization technique.

図４は、本実施の形態に係るアプライアンス２０の構成を概略的に示している。アプライアンス２０は、アプライアンス処理部２１、コントローラ通信部２２、記憶部２３、及び負荷監視部２５を備えている。アプライアンス処理部２１は、アプライアンス２０としての特定の処理を実行する。コントローラ通信部２２は、制御回線を介してコントローラ１００に接続されており、コントローラ１００との間で通信を行う際のインタフェースとなる。 FIG. 4 schematically shows the configuration of the appliance 20 according to the present embodiment. The appliance 20 includes an appliance processing unit 21, a controller communication unit 22, a storage unit 23, and a load monitoring unit 25. The appliance processing unit 21 executes specific processing as the appliance 20. The controller communication unit 22 is connected to the controller 100 via a control line, and serves as an interface when communicating with the controller 100.

記憶部２３には、セッションテーブルＳＴＢＬが格納されている。セッションテーブルＳＴＢＬは、自アプライアンス２０が扱っているフロー（セッション）に関するフロー識別情報や処理ポリシを示す。フロー識別情報は、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号等である。アプライアンス処理部２１は、このセッションテーブルＳＴＢＬを参照することによって、各フローに応じたアプライアンス処理を実行する。また、後述されるように、アプライアンス処理部２１は、コントローラ１００からの要求に応じて、セッションテーブルＳＴＢＬの内容を示すセッション情報ＳＥＳをコントローラ１００に送信する機能を有する。 The storage unit 23 stores a session table STBL. The session table STBL indicates flow identification information and a processing policy regarding a flow (session) handled by the own appliance 20. The flow identification information includes a source IP address, a source port number, a destination IP address, a destination port number, and the like. The appliance processing unit 21 executes appliance processing corresponding to each flow by referring to the session table STBL. As will be described later, the appliance processing unit 21 has a function of transmitting session information SES indicating the contents of the session table STBL to the controller 100 in response to a request from the controller 100.

負荷監視部２５は、自アプライアンス２０の処理負荷を監視し、その処理負荷を示す負荷情報ＬＤを作成・更新する。処理負荷としては、ＣＰＵ使用率やトラヒック量が挙げられる。負荷監視部２５は、その負荷情報ＬＤを記憶部２３に格納する。また、負荷監視部２５は、最新の負荷情報ＬＤを、コントローラ通信部２２を介してコントローラ１００に送信する。負荷情報ＬＤの送信タイミングや送信間隔は任意に設定され得る。 The load monitoring unit 25 monitors the processing load of the own appliance 20 and creates / updates load information LD indicating the processing load. Examples of the processing load include a CPU usage rate and a traffic amount. The load monitoring unit 25 stores the load information LD in the storage unit 23. Further, the load monitoring unit 25 transmits the latest load information LD to the controller 100 via the controller communication unit 22. The transmission timing and transmission interval of the load information LD can be set arbitrarily.

１−３．物理サーバ２００
図５は、本実施の形態に係る物理サーバ２００の構成を概略的に示している。物理サーバ２００は、コントローラ通信部２２０、記憶部２３０、及び負荷監視部２５０を備えている。コントローラ通信部２２０は、制御回線を介してコントローラ１００に接続されており、コントローラ１００との間で通信を行う際のインタフェースとなる。 1-3. Physical server 200
FIG. 5 schematically shows the configuration of the physical server 200 according to the present embodiment. The physical server 200 includes a controller communication unit 220, a storage unit 230, and a load monitoring unit 250. The controller communication unit 220 is connected to the controller 100 via a control line, and serves as an interface when communicating with the controller 100.

負荷監視部２５０は、自物理サーバ２００の処理負荷を監視し、その処理負荷を示す負荷情報ＬＤを作成・更新する。処理負荷としては、ＣＰＵ使用率やトラヒック量が挙げられる。負荷監視部２５０は、その負荷情報ＬＤを記憶部２３０に格納する。また、負荷監視部２５０は、最新の負荷情報ＬＤを、コントローラ通信部２２０を介してコントローラ１００に送信する。負荷情報ＬＤの送信タイミングや送信間隔は任意に設定され得る。 The load monitoring unit 250 monitors the processing load of the own physical server 200 and creates / updates load information LD indicating the processing load. Examples of the processing load include a CPU usage rate and a traffic amount. The load monitoring unit 250 stores the load information LD in the storage unit 230. In addition, the load monitoring unit 250 transmits the latest load information LD to the controller 100 via the controller communication unit 220. The transmission timing and transmission interval of the load information LD can be set arbitrarily.

１−４．コントローラ１００
コントローラ１００は、制御回線を介して、各スイッチ１０のフローテーブルＦＴＢＬの内容を設定する機能を有する。具体的には、コントローラ１００は、エントリの設定（追加、変更、削除等）を指示する「エントリ設定データＥＮＴ」を作成し、そのエントリ設定データＥＮＴを対象スイッチ１０に送る。エントリ設定データＥＮＴを受け取った対象スイッチ１０のスイッチ処理部１１は、そのエントリ設定データＥＮＴに従って、自身のフローテーブルＦＴＢＬ内のエントリの設定（追加、変更、削除等）を行う。このように、コントローラ１００は、フローテーブルＦＴＢＬの内容の設定を通してスイッチ１０の動作を制御し、それにより、ネットワークトラフィックを適宜制御することができる。 1-4. Controller 100
The controller 100 has a function of setting the contents of the flow table FTBL of each switch 10 via the control line. Specifically, the controller 100 creates “entry setting data ENT” instructing entry setting (addition, change, deletion, etc.), and sends the entry setting data ENT to the target switch 10. The switch processing unit 11 of the target switch 10 that has received the entry setting data ENT sets (adds, changes, deletes, etc.) the entry in its own flow table FTBL in accordance with the entry setting data ENT. As described above, the controller 100 can control the operation of the switch 10 through the setting of the contents of the flow table FTBL, thereby appropriately controlling the network traffic.

このような処理を実現するためのコントローラ１００とスイッチ１０との間のインタフェース方式としては、例えば、Ｏｐｅｎｆｌｏｗ（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／を参照）が挙げられる。この場合、「ＯｐｅｎｆｌｏｗＣｏｎｔｒｏｌｌｅｒ」がコントローラ１００となり、「ＯｐｅｎｆｌｏｗＳｗｉｔｃｈ」が各スイッチ１０となる。 An example of an interface method between the controller 100 and the switch 10 for realizing such processing is Openflow (see http://www.openflowswitch.org/). In this case, “Openflow Controller” is the controller 100, and “Openflow Switch” is each switch 10.

図６は、本実施の形態に係るコントローラ１００の構成を示すブロック図である。コントローラ１００は、処理装置１０１、記憶装置１０２、及び通信装置１０３を備えている。処理装置１０１は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）を含む。記憶装置１０２は、例えば、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）やＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）を含む。通信装置１０３は、例えば、外部との通信を行うネットワークカードを含む。 FIG. 6 is a block diagram showing a configuration of the controller 100 according to the present embodiment. The controller 100 includes a processing device 101, a storage device 102, and a communication device 103. The processing device 101 includes a CPU (Central Processing Unit). The storage device 102 includes, for example, a RAM (Random Access Memory) and an HDD (Hard Disk Drive). The communication device 103 includes, for example, a network card that performs communication with the outside.

記憶装置１０２には、接続情報ＣＯＮ、負荷テーブルＬＴＢＬ、セッション情報ＳＥＳ、エントリ設定データＥＮＴ等が格納される。 The storage device 102 stores connection information CON, load table LTBL, session information SES, entry setting data ENT, and the like.

接続情報ＣＯＮは、ネットワークの接続関係を示す。つまり、接続情報ＣＯＮは、スイッチ１０、アプライアンス２０、物理サーバ２００といった構成要素間の接続関係（トポロジ）を示す。より詳細には、接続情報ＣＯＮは、各構成要素の各ポートがどの構成要素のどのポートに接続されているかを示す。各構成要素の識別情報としては、ＭＡＣアドレスやＩＰアドレスなどが挙げられる。 The connection information CON indicates the connection relation of the network. That is, the connection information CON indicates a connection relationship (topology) between components such as the switch 10, the appliance 20, and the physical server 200. More specifically, the connection information CON indicates to which port of which component each port of each component is connected. Examples of identification information of each component include a MAC address and an IP address.

負荷テーブルＬＴＢＬは、各アプライアンス２０に関連する処理負荷を示しており、各アプライアンス２０及び各物理サーバ２００から集められた上記負荷情報ＬＤに基いて作成される。アプライアンス２０が物理アプライアンスの場合、当該アプライアンス２０に関連する処理負荷は、当該物理アプライアンスの処理負荷である。アプライアンス２０が仮想アプライアンスの場合、当該アプライアンス２０に関連する処理負荷は、当該仮想アプライアンスの処理負荷、及び／あるいは、当該仮想アプライアンスが稼働する物理サーバ２００の処理負荷である。すなわち、アプライアンス２０に関連する処理負荷は、当該アプライアンス２０の処理負荷、及び、当該アプライアンス２０が稼働する物理サーバの処理負荷のうち少なくとも一方を含む。 The load table LTBL indicates a processing load related to each appliance 20 and is created based on the load information LD collected from each appliance 20 and each physical server 200. When the appliance 20 is a physical appliance, the processing load related to the appliance 20 is the processing load of the physical appliance. When the appliance 20 is a virtual appliance, the processing load related to the appliance 20 is the processing load of the virtual appliance and / or the processing load of the physical server 200 on which the virtual appliance operates. That is, the processing load related to the appliance 20 includes at least one of the processing load of the appliance 20 and the processing load of the physical server on which the appliance 20 operates.

図７は、負荷テーブルＬＴＢＬの一例を示している。図７に示されるように、負荷テーブルＬＴＢＬは、アプライアンス毎に、最新の処理負荷（例：ＣＰＵ使用率［％］）を示している。更に、負荷テーブルＬＴＢＬは、アプライアンス毎に、処理負荷に関する閾値を示している。この閾値は、後述される処理で使用される。尚、処理負荷に関する閾値は別途与えられてもよい。 FIG. 7 shows an example of the load table LTBL. As illustrated in FIG. 7, the load table LTBL indicates the latest processing load (for example, CPU usage rate [%]) for each appliance. Further, the load table LTBL indicates a threshold regarding the processing load for each appliance. This threshold value is used in processing described later. Note that a threshold regarding the processing load may be separately provided.

セッション情報ＳＥＳは、アプライアンス２０が有するセッションテーブルＳＴＢＬの内容を示す。このセッション情報ＳＥＳは、アプライアンス２０から取得することができる。詳細は後述される。 The session information SES indicates the contents of the session table STBL that the appliance 20 has. This session information SES can be acquired from the appliance 20. Details will be described later.

エントリ設定データＥＮＴは、上述の通り、対象スイッチ１０に対してエントリの設定（追加、変更、削除等）を指示する情報である。 As described above, the entry setting data ENT is information for instructing the target switch 10 to set an entry (addition, change, deletion, etc.).

処理装置１０１は、本実施の形態に係る「ネットワーク制御処理」を行う。より詳細には、図６に示されるように、処理装置１０１は、情報収集部１１０、委譲処理部１２０、及びスイッチ制御部１３０を備えている。情報収集部１１０は、制御回線を介して、アプライアンス２０及び物理サーバ２００と接続され、通信を行う。スイッチ制御部１３０は、制御回線を介して、スイッチ１０と接続され、通信を行う。これら機能ブロック１１０、１２０、１３０による処理は、後に詳述される。 The processing apparatus 101 performs “network control processing” according to the present embodiment. More specifically, as illustrated in FIG. 6, the processing apparatus 101 includes an information collection unit 110, a delegation processing unit 120, and a switch control unit 130. The information collection unit 110 is connected to the appliance 20 and the physical server 200 via a control line to perform communication. The switch control unit 130 is connected to the switch 10 via a control line and performs communication. The processing by these functional blocks 110, 120, and 130 will be described in detail later.

尚、これら機能ブロック１１０、１２０、１３０は、処理装置１０１が制御プログラムＰＲＯＧを実行することにより実現される。制御プログラムＰＲＯＧは、コンピュータ（処理装置１０１）によって実行されるコンピュータプログラムであり、記憶装置１０２に格納される。制御プログラムＰＲＯＧは、コンピュータ読み取り可能な記録媒体に格納されていてもよい。 Note that these functional blocks 110, 120, and 130 are realized by the processing apparatus 101 executing the control program PROG. The control program PROG is a computer program that is executed by a computer (processing device 101), and is stored in the storage device 102. The control program PROG may be stored in a computer readable recording medium.

２．処理フロー
以下、本実施の形態に係るネットワーク制御処理をより詳細に説明する。例として、図８で示される状態を考える。図８において、第１アプライアンス２０−１及び第２アプライアンス２０−２がスイッチ１０に接続されている。フローＦＬＯＷ１は、現在第１アプライアンス２０−１によって処理されている既存フローである。スイッチ１０のフローテーブルＦＴＢＬは、「フローＦＬＯＷ１に属するパケットを第１アプライアンス２０−１に転送すること」を指定するエントリを含んでいる。スイッチ１０は、フローＦＬＯＷ１に属するパケットを受け取ると、フローテーブルＦＴＢＬ中のマッチエントリに従って、受信パケットを第１アプライアンス２０−１に転送する。第１アプライアンス２０−１は、フローＦＬＯＷ１に属するパケットを受け取り、セッションテーブルＳＴＢＬに従って、当該受信パケットに対して所定のパケット処理（ロードバランサとしての処理、ファイヤーウォールとしての処理、等）を実施する。 2. Process Flow Hereinafter, the network control process according to the present embodiment will be described in more detail. As an example, consider the state shown in FIG. In FIG. 8, the first appliance 20-1 and the second appliance 20-2 are connected to the switch 10. The flow FLOW1 is an existing flow that is currently being processed by the first appliance 20-1. The flow table FTBL of the switch 10 includes an entry designating “forwarding a packet belonging to the flow FLOW1 to the first appliance 20-1.” When the switch 10 receives the packet belonging to the flow FLOW1, the switch 10 transfers the received packet to the first appliance 20-1 according to the match entry in the flow table FTBL. The first appliance 20-1 receives a packet belonging to the flow FLOW1, and performs predetermined packet processing (processing as a load balancer, processing as a firewall, etc.) on the received packet according to the session table STBL.

図９は、本実施の形態に係るネットワーク制御処理を示すフローチャートである。 FIG. 9 is a flowchart showing network control processing according to the present embodiment.

ステップＳ１１０：
各アプライアンス２０の負荷監視部２５は、自アプライアンス２０の処理負荷を監視し、その処理負荷を示す負荷情報ＬＤを作成・更新する。負荷監視部２５は、最新の負荷情報ＬＤをコントローラ１００に送信する。また、各物理サーバ２００の負荷監視部２５０は、自物理サーバ２００の処理負荷を監視し、その処理負荷を示す負荷情報ＬＤを作成・更新する。負荷監視部２５０は、最新の負荷情報ＬＤをコントローラ１００に送信する。 Step S110:
The load monitoring unit 25 of each appliance 20 monitors the processing load of its own appliance 20, and creates / updates load information LD indicating the processing load. The load monitoring unit 25 transmits the latest load information LD to the controller 100. In addition, the load monitoring unit 250 of each physical server 200 monitors the processing load of the own physical server 200, and creates / updates load information LD indicating the processing load. The load monitoring unit 250 transmits the latest load information LD to the controller 100.

コントローラ１００の情報収集部１１０は、各アプライアンス２０及び各物理サーバ２００から上述の負荷情報ＬＤを取得する（図１０参照）。そして、情報収集部１１０は、取得した負荷情報ＬＤに基いて、上述の負荷テーブルＬＴＢＬを作成・更新する。 The information collection unit 110 of the controller 100 acquires the load information LD described above from each appliance 20 and each physical server 200 (see FIG. 10). Then, the information collection unit 110 creates / updates the load table LTBL described above based on the acquired load information LD.

ステップＳ１２０：
続いて、コントローラ１００の委譲処理部１２０は、記憶装置１０２に格納されている負荷テーブルＬＴＢＬを参照し、「委譲処理」の要否を判定する。具体的には、委譲処理部１２０は、各アプライアンス２０に関連する処理負荷を所定の閾値と比較する。処理負荷が閾値以上となったアプライアンス２０が存在する場合（ステップＳ１３０；Ｙｅｓ）、委譲処理部１２０は、当該アプライアンス２０に関して「委譲処理」が必要と判定する。この場合、処理は次のステップＳ１４０に進む。一方、いずれのアプライアンス２０の処理負荷も閾値未満であれば（ステップＳ１３０；Ｎｏ）、委譲処理部１２０は、「委譲処理」は不要と判定する。この場合、処理はステップＳ１１０に戻る。 Step S120:
Subsequently, the delegation processing unit 120 of the controller 100 refers to the load table LTBL stored in the storage device 102 and determines whether or not “delegation processing” is necessary. Specifically, the delegation processing unit 120 compares the processing load associated with each appliance 20 with a predetermined threshold value. When there is an appliance 20 whose processing load is equal to or greater than the threshold (step S <b>130; Yes), the delegation processing unit 120 determines that “delegation processing” is necessary for the appliance 20. In this case, the process proceeds to the next step S140. On the other hand, if the processing load of any appliance 20 is less than the threshold value (step S130; No), the delegation processing unit 120 determines that the “delegation process” is unnecessary. In this case, the process returns to step S110.

例えば、図７の例に示されるように、第１アプライアンス２０−１（Ａｐｐｌｉａｎｃｅ１）に関連する処理負荷が閾値に達したとする。この場合、委譲処理部１２０は、第１アプライアンス２０−１に関して委譲処理（ステップＳ１４０）を実行する。 For example, as shown in the example of FIG. 7, it is assumed that the processing load related to the first appliance 20-1 (Appliance 1) has reached a threshold value. In this case, the delegation processing unit 120 performs delegation processing (step S140) on the first appliance 20-1.

ステップＳ１４０：
ステップＳ１４０において、コントローラ１００は、第１アプライアンス２０−１に関する「委譲処理」を行う。図１１は、その委譲処理を示している。 Step S140:
In step S140, the controller 100 performs a “delegation process” regarding the first appliance 20-1. FIG. 11 shows the delegation process.

ステップＳ１４１：
コントローラ１００は、委譲元の第１アプライアンス２０−１からセッション情報ＳＥＳを取得する。より詳細には、コントローラ１００の情報収集部１１０は、第１アプライアンス２０−１に対して、セッション情報ＳＥＳの送付を要求する。その要求に応答して、第１アプライアンス２０−１のアプライアンス処理部２１は、自身のセッションテーブルＳＴＢＬの内容を示すセッション情報ＳＥＳをコントローラ１００に送信する。情報収集部１１０は、第１アプライアンス２０−１からセッション情報ＳＥＳを受け取り、それを記憶装置１０２に格納する。そのセッション情報ＳＥＳは、第１アプライアンス２０−１が扱っている各フローに関するフロー識別情報を含んでいる。 Step S141:
The controller 100 acquires the session information SES from the first appliance 20-1 that is the delegation source. More specifically, the information collection unit 110 of the controller 100 requests the first appliance 20-1 to send session information SES. In response to the request, appliance processing unit 21 of first appliance 20-1 transmits session information SES indicating the contents of its own session table STBL to controller 100. The information collection unit 110 receives the session information SES from the first appliance 20-1 and stores it in the storage device 102. The session information SES includes flow identification information regarding each flow handled by the first appliance 20-1.

ステップＳ１４２：
次に、コントローラ１００の委譲処理部１２０は、第１アプライアンス２０−１が処理しているフローのうち少なくとも１つを「選択フロー」として選択する。このとき、委譲処理部１２０は、第１アプライアンス２０−１から取得した上記セッション情報ＳＥＳに基いて、選択フローを選択することができる。この選択フローは、第１アプライアンス２０−１から他のアプライアンスに委譲されるフローである。ここでは、フローＦＬＯＷ１が選択フローとして選択されたとする。 Step S142:
Next, the delegation processing unit 120 of the controller 100 selects at least one of the flows processed by the first appliance 20-1 as a “selection flow”. At this time, the delegation processing unit 120 can select a selection flow based on the session information SES acquired from the first appliance 20-1. This selection flow is a flow delegated from the first appliance 20-1 to another appliance. Here, it is assumed that the flow FLOW1 is selected as the selection flow.

ステップＳ１４３：
また、コントローラ１００の委譲処理部１２０は、委譲先となるアプライアンス２０を選択する。この委譲先は、委譲元の第１アプライアンス２０−１とは異なるものである。このとき、委譲処理部１２０は、負荷テーブルＬＴＢＬを参照して、処理負荷が閾値未満のアプライアンス２０を委譲先として選択してもよい。ここでは、図１１に示される第２アプライアンス２０−２が委譲先として選択されたとする。 Step S143:
In addition, the delegation processing unit 120 of the controller 100 selects the appliance 20 that is the delegation destination. This delegation destination is different from the delegation source first appliance 20-1. At this time, the delegation processing unit 120 may refer to the load table LTBL and select the appliance 20 whose processing load is less than the threshold as the delegation destination. Here, it is assumed that the second appliance 20-2 shown in FIG. 11 is selected as the delegation destination.

ステップＳ１４４：
コントローラ１００は、選択フローＦＬＯＷ１を第１アプライアンス２０−１ではなく第２アプライアンス２０−２へ流すための処理を行う。そのために、コントローラ１００の委譲処理部１２０は、“転送エントリ”の設定を指示するエントリ設定データＥＮＴを作成する。その転送エントリは、「選択フローＦＬＯＷ１に属するパケットを第２アプライアンス２０−２に転送すること」を指定する。選択フローＦＬＯＷ１に関するフロー識別情報は、セッション情報ＳＥＳから得られる。第２アプライアンス２０−２につながるポート等は、接続情報ＣＯＮから得られる。従って、委譲処理部１２０は、セッション情報ＳＥＳ及び接続情報ＣＯＮを参照することによって、転送エントリの設定を指示するエントリ設定データＥＮＴを作成することができる。委譲処理部１２０は、作成したエントリ設定データＥＮＴを記憶装置１０２に格納する。 Step S144:
The controller 100 performs a process for causing the selected flow FLOW1 to flow to the second appliance 20-2 instead of the first appliance 20-1. For this purpose, the delegation processing unit 120 of the controller 100 creates entry setting data ENT instructing the setting of “transfer entry”. The forwarding entry specifies “forwarding packets belonging to the selected flow FLOW1 to the second appliance 20-2”. The flow identification information regarding the selected flow FLOW1 is obtained from the session information SES. A port or the like connected to the second appliance 20-2 is obtained from the connection information CON. Therefore, the delegation processing unit 120 can create the entry setting data ENT instructing the setting of the transfer entry by referring to the session information SES and the connection information CON. The delegation processing unit 120 stores the created entry setting data ENT in the storage device 102.

ステップＳ１４５：
コントローラ１００のスイッチ制御部１３０は、記憶装置１０２からエントリ設定データＥＮＴを読み出し、そのエントリ設定データＥＮＴをスイッチ１０に送信する。すなわち、スイッチ制御部１３０は、スイッチ１０に対して、上述の“転送エントリ”をフローテーブルＦＴＢＬに設定するよう指示する。 Step S145:
The switch control unit 130 of the controller 100 reads the entry setting data ENT from the storage device 102 and transmits the entry setting data ENT to the switch 10. That is, the switch control unit 130 instructs the switch 10 to set the above-described “transfer entry” in the flow table FTBL.

スイッチ１０のスイッチ処理部１１は、コントローラ１００からエントリ設定データＥＮＴを受け取る。スイッチ処理部１１は、そのエントリ設定データＥＮＴに従って、上記“転送エントリ”をフローテーブルＦＴＢＬに設定する。その後、スイッチ処理部１１は、フローＦＬＯＷ１に属するパケットを受け取ると、当該転送エントリに従って、当該受信パケットを第２アプライアンス２０−２に転送する。つまり、図１１に示されるように、元々第１アプライアンス２０−１によって処理されていたフローＦＬＯＷ１は、委譲先の第２アプライアンス２０−２に転送されることになる。その結果、第１アプライアンス２０−１に関連する処理負荷が軽減される。 The switch processing unit 11 of the switch 10 receives entry setting data ENT from the controller 100. The switch processing unit 11 sets the “transfer entry” in the flow table FTBL in accordance with the entry setting data ENT. Thereafter, when receiving a packet belonging to the flow FLOW1, the switch processing unit 11 transfers the received packet to the second appliance 20-2 according to the transfer entry. That is, as shown in FIG. 11, the flow FLOW1 originally processed by the first appliance 20-1 is transferred to the second appliance 20-2 that is the delegation destination. As a result, the processing load related to the first appliance 20-1 is reduced.

変形例として、セッション情報ＳＥＳの代わりに、スイッチ１０に既に設定されているエントリに基いて、選択フローが選択され、フロー識別情報が取得されてもよい。例えば、コントローラ１００の記憶装置１０２には、過去のエントリ設定データＥＮＴが記憶される。コントローラ１００は、過去のエントリ設定データＥＮＴを参照することによって、選択フローを選択し、選択フローのフロー識別情報を把握することができる。あるいは、コントローラ１００からの問い合わせに応答して、スイッチ１０が自身のフローテーブルＦＴＢＬをコントローラ１００に通知してもよい。コントローラ１００は、そのフローテーブルＦＴＢＬを参照することによって、選択フローを選択し、選択フローのフロー識別情報を把握することができる。 As a modification, instead of the session information SES, the selected flow may be selected and the flow identification information may be acquired based on an entry already set in the switch 10. For example, past entry setting data ENT is stored in the storage device 102 of the controller 100. The controller 100 can select the selected flow by referring to the past entry setting data ENT, and can grasp the flow identification information of the selected flow. Alternatively, the switch 10 may notify the controller 100 of its own flow table FTBL in response to an inquiry from the controller 100. The controller 100 can select the selected flow by referring to the flow table FTBL, and can grasp the flow identification information of the selected flow.

以上に説明されたように、本実施の形態によれば、第１アプライアンス２０−１の処理を、“動的”に、他の第２アプライアンス２０−２に委譲することが可能である。この時、各アプライアンス２０は、非特許文献１、２に記載されているような特別なフォーマットに対応している必要はない。このような委譲処理の結果、第１アプライアンス２０−１に関連する処理負荷が軽減される。 As described above, according to the present embodiment, the processing of the first appliance 20-1 can be delegated “dynamically” to another second appliance 20-2. At this time, each appliance 20 does not need to correspond to a special format as described in Non-Patent Documents 1 and 2. As a result of such delegation processing, the processing load related to the first appliance 20-1 is reduced.

３．様々な構成例
図１２は、本実施の形態に係る様々な構成例を要約的に示している。委譲元の第１アプライアンス２０−１として、仮想アプライアンス及び物理アプライアンスが考えられる。更に、仮想アプライアンスは、ゲストＯＳと同一の物理サーバ上に構築されたものと、ゲストＯＳとは異なる物理サーバ上に構築されたものとに分類される。また、委譲先の第２アプライアンス２０−２として、仮想アプライアンス（ゲストＯＳとは異なる物理サーバ上に構築されたもの）及び物理アプライアンスが考えられる。第１アプライアンス２０−１と第２アプライアンス２０−２との組み合わせにより、様々な形態（形態１〜６）が考えられる。 3. Various Configuration Examples FIG. 12 summarizes various configuration examples according to the present embodiment. As the delegation source first appliance 20-1, a virtual appliance and a physical appliance are conceivable. Furthermore, virtual appliances are classified into those constructed on the same physical server as the guest OS and those constructed on a physical server different from the guest OS. Further, as the second appliance 20-2 to be transferred, a virtual appliance (built on a physical server different from the guest OS) and a physical appliance are conceivable. Various forms (forms 1 to 6) are conceivable depending on the combination of the first appliance 20-1 and the second appliance 20-2.

３−１．第１の構成例
図１３は、形態１及び形態２に対応する構成例を示している。つまり、委譲元の第１アプライアンス２０−１は、ゲストＯＳと同一の物理サーバ上に構築された仮想アプライアンスである。 3-1. First Configuration Example FIG. 13 shows a configuration example corresponding to the first and second embodiments. That is, the delegation source first appliance 20-1 is a virtual appliance constructed on the same physical server as the guest OS.

具体的には、仮想化技術によって、物理サーバ２００Ａ上に仮想アプライアンス２０Ａが構築されている。物理サーバ２００Ａは更に、仮想スイッチ２１０及び複数のゲストＯＳ２４０を備えている。仮想アプライアンス２０Ａは、複数のゲストＯＳ２４０間のトラヒックや、ゲストＯＳ２４０以外のホストとの間のトラヒックを処理する。 Specifically, the virtual appliance 20A is constructed on the physical server 200A by virtualization technology. The physical server 200A further includes a virtual switch 210 and a plurality of guest OSs 240. The virtual appliance 20A processes traffic between a plurality of guest OSs 240 and traffic between hosts other than the guest OS 240.

仮想アプライアンス２０Ａは、自身の処理負荷を示す負荷情報ＬＤをコントローラ１００に送信する。また、物理サーバ２００Ａの負荷監視部２５０は、物理サーバ２００Ａの処理負荷を示す負荷情報ＬＤをコントローラ１００に送信する。コントローラ１００は、それら負荷情報ＬＤに基いて、仮想アプライアンス２０Ａに関して「委譲処理」が必要であると判定する。つまり、仮想アプライアンス２０Ａが、委譲元の第１アプライアンス２０−１となる。 The virtual appliance 20A transmits load information LD indicating its processing load to the controller 100. The load monitoring unit 250 of the physical server 200A transmits load information LD indicating the processing load of the physical server 200A to the controller 100. The controller 100 determines that “delegation processing” is necessary for the virtual appliance 20A based on the load information LD. That is, the virtual appliance 20A is the first appliance 20-1 that is the delegation source.

例えば、コントローラ１００は、物理サーバ２００Ｂ上の仮想アプライアンス２０Ｂを、委譲先の第２アプライアンス２０−２として選択する。この場合は、形態１に相当する。あるいは、コントローラ１００は、物理アプライアンス２０Ｃを、委譲先の第２アプライアンス２０−２として選択してもよい。この場合は、形態２に相当する。コントローラ１００は、スイッチ１０及び仮想スイッチ２１０に対して、エントリ設定を指示する。 For example, the controller 100 selects the virtual appliance 20B on the physical server 200B as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 1. Alternatively, the controller 100 may select the physical appliance 20C as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 2. The controller 100 instructs the switch 10 and the virtual switch 210 to set an entry.

近年の仮想化技術の発展に伴い、ゲストＯＳを対象とした仮想的なセキュリティアプライアンスにも注目が集まっている。例えば、ＷＡＦ（ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ）機能を有する仮想アプライアンスは、１台の物理サーバ上で複数のゲストＯＳのトラヒックのアプリケーションレイヤまで監視する。そのような仮想アプライアンスの処理負荷が高くなった場合、より高性能な物理サーバや余裕のある物理サーバに構築された他の仮想アプライアンスへ処理を委譲することができる。 With the recent development of virtualization technology, attention is also focused on virtual security appliances for guest OSs. For example, a virtual appliance having a WAF (Web Application Firewall) function monitors up to an application layer of traffic of a plurality of guest OSes on one physical server. When the processing load of such a virtual appliance increases, the processing can be delegated to a higher-performance physical server or another virtual appliance built on a physical server with room.

３−２．第２の構成例
図１４は、形態３及び形態４に対応する構成例を示している。つまり、委譲元の第１アプライアンス２０−１は、ゲストＯＳとは異なる物理サーバ上に構築された仮想アプライアンスである。 3-2. Second Configuration Example FIG. 14 illustrates a configuration example corresponding to the third and fourth embodiments. That is, the delegation source first appliance 20-1 is a virtual appliance constructed on a physical server different from the guest OS.

具体的には、仮想化技術によって、物理サーバ２００Ａ上に仮想アプライアンス２０Ａが構築されている。仮想アプライアンス２０Ａは、自身の処理負荷を示す負荷情報ＬＤをコントローラ１００に送信する。また、物理サーバ２００Ａの負荷監視部２５０は、物理サーバ２００Ａの処理負荷を示す負荷情報ＬＤをコントローラ１００に送信する。コントローラ１００は、それら負荷情報ＬＤに基いて、仮想アプライアンス２０Ａに関して「委譲処理」が必要であると判定する。つまり、仮想アプライアンス２０Ａが、委譲元の第１アプライアンス２０−１となる。 Specifically, the virtual appliance 20A is constructed on the physical server 200A by virtualization technology. The virtual appliance 20A transmits load information LD indicating its processing load to the controller 100. The load monitoring unit 250 of the physical server 200A transmits load information LD indicating the processing load of the physical server 200A to the controller 100. The controller 100 determines that “delegation processing” is necessary for the virtual appliance 20A based on the load information LD. That is, the virtual appliance 20A is the first appliance 20-1 that is the delegation source.

例えば、コントローラ１００は、物理サーバ２００Ｂ上の仮想アプライアンス２０Ｂを、委譲先の第２アプライアンス２０−２として選択する。この場合は、形態３に相当する。あるいは、コントローラ１００は、物理アプライアンス２０Ｃを、委譲先の第２アプライアンス２０−２として選択してもよい。この場合は、形態４に相当する。コントローラ１００は、スイッチ１０に対して、エントリ設定を指示する。 For example, the controller 100 selects the virtual appliance 20B on the physical server 200B as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 3. Alternatively, the controller 100 may select the physical appliance 20C as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 4. The controller 100 instructs the switch 10 to set an entry.

３−３．第３の構成例
図１５は、形態５及び形態６に対応する構成例を示している。つまり、委譲元の第１アプライアンス２０−１は、物理アプライアンスである。 3-3. Third Configuration Example FIG. 15 illustrates a configuration example corresponding to the fifth and sixth embodiments. That is, the delegation source first appliance 20-1 is a physical appliance.

具体的には、物理アプライアンス２０Ａの負荷監視部２５は、物理アプライアンス２０Ａの処理負荷を示す負荷情報ＬＤをコントローラ１００に送信する。コントローラ１００は、その負荷情報ＬＤに基いて、物理アプライアンス２０Ａに関して「委譲処理」が必要であると判定する。つまり、物理アプライアンス２０Ａが、委譲元の第１アプライアンス２０−１となる。 Specifically, the load monitoring unit 25 of the physical appliance 20A transmits load information LD indicating the processing load of the physical appliance 20A to the controller 100. Based on the load information LD, the controller 100 determines that “delegation processing” is necessary for the physical appliance 20A. That is, the physical appliance 20A becomes the first appliance 20-1 that is the delegation source.

例えば、コントローラ１００は、物理サーバ２００Ｂ上の仮想アプライアンス２０Ｂを、委譲先の第２アプライアンス２０−２として選択する。この場合は、形態５に相当する。例えば、上述の形態４が実施された後、元の仮想アプライアンスの処理負荷が下がった場合、物理アプライアンスに委譲された処理を、元の仮想アプライアンスに戻すことができる。 For example, the controller 100 selects the virtual appliance 20B on the physical server 200B as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 5. For example, when the processing load of the original virtual appliance is reduced after the above-described form 4 is implemented, the processing delegated to the physical appliance can be returned to the original virtual appliance.

あるいは、コントローラ１００は、物理アプライアンス２０Ｃを、委譲先の第２アプライアンス２０−２として選択してもよい。この場合は、形態６に相当する。例えば、より高性能な物理アプライアンスが追加された場合、処理負荷が高くなった物理アプライアンスの処理を、追加された高性能な物理アプライアンスに委譲することができる。 Alternatively, the controller 100 may select the physical appliance 20C as the second appliance 20-2 that is the delegation destination. This case corresponds to mode 6. For example, when a higher-performance physical appliance is added, the processing of the physical appliance having a higher processing load can be delegated to the added higher-performance physical appliance.

以上、本発明の実施の形態が添付の図面を参照することにより説明された。但し、本発明は、上述の実施の形態に限定されず、要旨を逸脱しない範囲で当業者により適宜変更され得る。 The embodiments of the present invention have been described above with reference to the accompanying drawings. However, the present invention is not limited to the above-described embodiments, and can be appropriately changed by those skilled in the art without departing from the scope of the invention.

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。 A part or all of the above-described embodiment can be described as in the following supplementary notes, but is not limited thereto.

（付記１）
ネットワーク中に配置されたアプライアンス及びスイッチと、
前記アプライアンス及び前記スイッチに接続されたコントローラと
を備え、
前記スイッチは、フローテーブルを備え、
前記フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、パケットを受け取ると前記フローテーブルを参照し、前記受け取ったパケットにマッチするエントリで指定される前記アクションを前記受け取ったパケットに対して行い、
前記コントローラは、前記アプライアンスに関連する処理負荷を示す負荷情報を取得し、また、前記処理負荷を閾値と比較し、
前記アプライアンスの１つである第１アプライアンスに関連する前記処理負荷が前記閾値以上になった場合、前記コントローラは委譲処理を行い、
前記委譲処理において、前記コントローラは、
前記第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択し、
前記アプライアンスの１つであって前記第１アプライアンスと異なる第２アプライアンスを選択し、
前記選択フローに属するパケットを前記第２アプライアンスに転送することを指定するエントリを前記フローテーブルに設定するように、前記スイッチに対して指示する
ネットワークシステム。 (Appendix 1)
Appliances and switches located in the network;
A controller connected to the appliance and the switch;
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The controller obtains load information indicating a processing load associated with the appliance, and compares the processing load with a threshold;
When the processing load related to the first appliance that is one of the appliances is equal to or greater than the threshold, the controller performs delegation processing,
In the delegation process, the controller
Selecting at least one of the flows processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A network system instructing the switch to set an entry in the flow table for designating transfer of a packet belonging to the selected flow to the second appliance.

（付記２）
付記１に記載のネットワークシステムであって、
前記アプライアンスに関連する処理負荷は、前記アプライアンスの処理負荷、及び、前記アプライアンスが稼働する物理サーバの処理負荷のうち少なくとも一方を含む
ネットワークシステム。 (Appendix 2)
The network system according to attachment 1, wherein
The network system including a processing load related to the appliance includes at least one of a processing load of the appliance and a processing load of a physical server on which the appliance operates.

（付記３）
付記１又は２に記載のネットワークシステムであって、
前記第２アプライアンスに関連する前記処理負荷は、閾値未満である
ネットワークシステム。 (Appendix 3)
The network system according to appendix 1 or 2,
The network system wherein the processing load associated with the second appliance is less than a threshold.

（付記４）
付記１乃至３のいずれか一項に記載のネットワークシステムであって、
前記第１アプライアンスは、自身が処理するフローに関する情報を示すセッションテーブルを有し、
前記コントローラは、前記第１アプライアンスの前記セッションテーブルの内容を示すセッション情報を取得し、前記セッション情報に基いて前記選択フローを選択する
ネットワークシステム。 (Appendix 4)
The network system according to any one of appendices 1 to 3,
The first appliance has a session table indicating information on a flow to be processed by the first appliance,
The controller is configured to acquire session information indicating contents of the session table of the first appliance, and to select the selection flow based on the session information.

（付記５）
付記１乃至３のいずれか一項に記載のネットワークシステムであって、
前記コントローラは、前記スイッチに既に設定されているエントリに基いて、前記選択フローを選択する
ネットワークシステム。 (Appendix 5)
The network system according to any one of appendices 1 to 3,
The network system in which the controller selects the selection flow based on an entry already set in the switch.

（付記６）
ネットワーク中に配置されたアプライアンス及びスイッチに接続されるコントローラであって、
前記スイッチは、フローテーブルを備え、
前記フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、パケットを受け取ると前記フローテーブルを参照し、前記受け取ったパケットにマッチするエントリで指定される前記アクションを前記受け取ったパケットに対して行い、
前記コントローラは、
前記アプライアンスに関連する処理負荷を示す負荷情報が格納される記憶装置と、
処理装置と
を備え、
前記処理装置は、前記処理負荷を閾値と比較し、
前記アプライアンスの１つである第１アプライアンスに関連する前記処理負荷が前記閾値以上になった場合、前記処理装置は委譲処理を行い、
前記委譲処理において、前記処理装置は、
前記第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択し、
前記アプライアンスの１つであって前記第１アプライアンスと異なる第２アプライアンスを選択し、
前記選択フローに属するパケットを前記第２アプライアンスに転送することを指定するエントリを前記フローテーブルに設定するように、前記スイッチに対して指示する
コントローラ。 (Appendix 6)
A controller connected to appliances and switches located in the network,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The controller is
A storage device for storing load information indicating a processing load related to the appliance;
A processing device and
The processing device compares the processing load with a threshold value,
When the processing load related to the first appliance that is one of the appliances is equal to or greater than the threshold, the processing device performs delegation processing,
In the delegation process, the processing device
Selecting at least one of the flows processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A controller that instructs the switch to set an entry in the flow table that specifies that a packet belonging to the selected flow is transferred to the second appliance.

（付記７）
アプライアンス及びスイッチが配置されたネットワークの制御方法であって、
前記スイッチは、フローテーブルを備え、
前記フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、パケットを受け取ると前記フローテーブルを参照し、前記受け取ったパケットにマッチするエントリで指定される前記アクションを前記受け取ったパケットに対して行い、
前記制御方法は、
前記アプライアンスに関連する処理負荷を示す負荷情報を取得することと、
前記処理負荷を閾値と比較することと、
前記アプライアンスの１つである第１アプライアンスに関連する前記処理負荷が前記閾値以上になった場合、委譲処理を行うことと
を含み、
前記委譲処理は、
前記第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択することと、
前記アプライアンスの１つであって前記第１アプライアンスと異なる第２アプライアンスを選択することと、
前記スイッチにおいて、前記選択フローに属するパケットを前記第２アプライアンスに転送することを指定するエントリを前記フローテーブルに設定することと
を含む
制御方法。 (Appendix 7)
A method of controlling a network in which appliances and switches are arranged,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The control method is:
Obtaining load information indicating a processing load associated with the appliance;
Comparing the processing load to a threshold;
Performing a delegation process when the processing load related to a first appliance that is one of the appliances exceeds the threshold value,
The delegation process is
Selecting at least one of the flows being processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A control method comprising: setting an entry in the switch to specify that a packet belonging to the selected flow is transferred to the second appliance in the flow table.

（付記８）
アプライアンス及びスイッチが配置されたネットワークの制御処理をコンピュータに実行させる制御プログラムであって、
前記スイッチは、フローテーブルを備え、
前記フローテーブルの各エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、パケットを受け取ると前記フローテーブルを参照し、前記受け取ったパケットにマッチするエントリで指定される前記アクションを前記受け取ったパケットに対して行い、
前記制御処理は、
前記アプライアンスに関連する処理負荷を示す負荷情報を取得することと、
前記処理負荷を閾値と比較することと、
前記アプライアンスの１つである第１アプライアンスに関連する前記処理負荷が前記閾値以上になった場合、委譲処理を行うことと
を含み、
前記委譲処理は、
前記第１アプライアンスが処理しているフローのうち少なくとも１つを選択フローとして選択することと、
前記アプライアンスの１つであって前記第１アプライアンスと異なる第２アプライアンスを選択することと、
前記選択フローに属するパケットを前記第２アプライアンスに転送することを指定するエントリを前記フローテーブルに設定するように、前記スイッチに対して指示することと
を含む
制御プログラム。 (Appendix 8)
A control program for causing a computer to execute control processing of a network in which appliances and switches are arranged,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The control process is
Obtaining load information indicating a processing load associated with the appliance;
Comparing the processing load to a threshold;
Performing a delegation process when the processing load related to a first appliance that is one of the appliances exceeds the threshold value,
The delegation process is
Selecting at least one of the flows being processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
Instructing the switch to set, in the flow table, an entry designating transfer of a packet belonging to the selected flow to the second appliance.

１ネットワークシステム
１０スイッチ
１１スイッチ処理部
１２コントローラ通信部
１３記憶部
１５ポート
２０アプライアンス
２１アプライアンス処理部
２２コントローラ通信部
２３記憶部
２５負荷監視部
１００コントローラ
１０１処理装置
１０２記憶装置
１０３通信装置
１１０情報収集部
１２０委譲処理部
１３０スイッチ制御部
２００物理サーバ
２２０コントローラ通信部
２３０記憶部
２５０負荷監視部
ＬＤ負荷情報
ＣＯＮ接続情報
ＳＥＳセッション情報
ＥＮＴエントリ設定データ
ＦＴＢＬフローテーブル
ＳＴＢＬセッションテーブル
ＬＴＢＬ負荷テーブル
ＰＲＯＧ制御プログラム DESCRIPTION OF SYMBOLS 1 Network system 10 Switch 11 Switch process part 12 Controller communication part 13 Memory | storage part 15 Port 20 Appliance 21 Appliance process part 22 Controller communication part 23 Storage part 25 Load monitoring part 100 Controller 101 Processing apparatus 102 Storage apparatus 103 Communication apparatus 110 Information collection part 120 delegation processing unit 130 switch control unit 200 physical server 220 controller communication unit 230 storage unit 250 load monitoring unit LD load information CON connection information SES session information ENT entry setting data FTBL flow table STBL session table LTBL load table PROG control program

Claims

Appliances and switches located in the network;
A controller connected to the appliance and the switch;
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The controller obtains load information indicating a processing load associated with the appliance, and compares the processing load with a threshold;
When the processing load related to the first appliance that is one of the appliances is equal to or greater than the threshold, the controller performs delegation processing,
In the delegation process, the controller
Selecting at least one of the flows processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A network system instructing the switch to set an entry in the flow table for designating transfer of a packet belonging to the selected flow to the second appliance.

The network system according to claim 1,
The network system including a processing load related to the appliance includes at least one of a processing load of the appliance and a processing load of a physical server on which the appliance operates.

The network system according to claim 1 or 2,
The network system wherein the processing load associated with the second appliance is less than a threshold.

The network system according to any one of claims 1 to 3,
The first appliance has a session table indicating information on a flow to be processed by the first appliance,
The controller is configured to acquire session information indicating contents of the session table of the first appliance, and to select the selection flow based on the session information.

The network system according to any one of claims 1 to 3,
The network system in which the controller selects the selection flow based on an entry already set in the switch.

A controller connected to appliances and switches located in the network,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The controller is
A storage device for storing load information indicating a processing load related to the appliance;
A processing device and
The processing device compares the processing load with a threshold value,
When the processing load related to the first appliance that is one of the appliances is equal to or greater than the threshold, the processing device performs delegation processing,
In the delegation process, the processing device
Selecting at least one of the flows processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A controller that instructs the switch to set an entry in the flow table that specifies that a packet belonging to the selected flow is transferred to the second appliance.

A method of controlling a network in which appliances and switches are arranged,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The control method is:
Obtaining load information indicating a processing load associated with the appliance;
Comparing the processing load to a threshold;
Performing a delegation process when the processing load related to a first appliance that is one of the appliances exceeds the threshold value,
The delegation process is
Selecting at least one of the flows being processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
A control method comprising: setting an entry in the switch to specify that a packet belonging to the selected flow is transferred to the second appliance in the flow table.

A control program for causing a computer to execute control processing of a network in which appliances and switches are arranged,
The switch includes a flow table,
Each entry in the flow table specifies an action to be performed on a packet that matches a match condition,
When the switch receives the packet, the switch refers to the flow table, performs the action specified by the entry matching the received packet on the received packet,
The control process is
Obtaining load information indicating a processing load associated with the appliance;
Comparing the processing load to a threshold;
Performing a delegation process when the processing load related to a first appliance that is one of the appliances exceeds the threshold value,
The delegation process is
Selecting at least one of the flows being processed by the first appliance as a selected flow;
Selecting a second appliance that is one of the appliances and different from the first appliance;
Instructing the switch to set, in the flow table, an entry designating transfer of a packet belonging to the selected flow to the second appliance.