CN103299588A - 通信系统、转发节点、接收分组处理方法和程序 - Google Patents

Abstract

目的在于防止从某些转发节点向控制设备进行处理规则设定请求的泛洪传输，该控制设备响应于来自转发节点的请求确定分组处理内容。一种通信系统包括：控制设备，其设定定义适用于转发节点中接收分组的处理内容的处理规则；以及转发节点，其包括根据该处理规则对接收分组进行处理的分组处理装置。该转发节点进一步包括：请求装置，其在接收分组为未对其设定处理规则的第一分组的情况下向控制设备传送处理规则设定请求；以及限制装置，其限制针对满足从第一分组所获得的条件的第二分组的设定请求的传输。

Description

通信系统、转发节点、接收分组处理方法和程序

技术领域

（相关申请的引用）

本发明基于2010年12月28日提交的日本专利申请No.2010-291769并且要求其优先权的权益，其全部公开内容通过引用合并于此。

本发明涉及通信系统、转发节点、接收分组处理方法和程序。具体地，本发明涉及通过使用根据与接收分组相匹配的处理规则对接收分组进行处理的转发节点来实现通信的通信系统、转发节点；接收分组处理方法；以及程序。

背景技术

近年来，提出了称作开放流（OpenFlow）的技术（参见专利文献（PTL）1以及非专利文献（NPL）1和2）。在开放流中，通信被认为是端对端的流，并且针对每个流执行路由控制、故障恢复、负载分布和优化。非专利文献2中说明的开放流交换机包括用于与用作控制设备的开放流控制器进行通信的安全信道。开放流交换机根据由开放流控制器适当添加或重新写入的流表来进行操作。在该流表中，针对每个流定义了与分组报头匹配的匹配规则（报头字段）；流统计信息（计数器）；以及定义处理内容的动作的组（参见图13）。

例如，当接收到分组时，开放流交换机针对具有与接收分组的报头信息相匹配的匹配规则（参见图13中的报头字段）的条目来搜索流表。作为搜索结果，如果找到了与接收分组相匹配的条目，则开放流交换机更新流统计信息（计数器）并且对接收分组执行该条目的动作字段中所描述的处理内容（从指定端口传输分组、泛洪、丢弃等）。另一方面，作为搜索结果，没有找到与接收分组相匹配的条目，开放流交换机经由安全信道将接收分组转发至开放流控制器，以请求该开放流控制器基于接收分组的源和目的地来确定分组路由。当接收到实现该路由的流条目时，该开放流交换机更新流表。以这种方式，开放流交换机使用存储在流表中的条目作为用于转发分组的处理规则。

引用列表

专利文献

PTL1：国际公开No.WO2008/095010

非专利文献

NPL1：Nick McKeown以及其它七人的“OpenFlow:EnablingInnovation in Campus Networks”，[在线]，2010年12月1日检索，因特网<URL:http://www.openflowswitch.org//documents/openflow-wp-latest.pdf>

NPL2：“OpenFlow Switch Specification”版本1.0.0（有线协议0x01）2010年12月1日检索，因特网<URL:http://www.openflowswitch.org//documents/openflow-spec-v1.0.0.pdf>

发明内容

技术问题

以上所引用的专利和非专利文献的公开内容通过引用而全文结合与此。

基于本发明给出以下分析。

如在以上的开放流中，在控制设备响应于来自属于该控制设备的转发节点的请求而确定分组处理内容的网络中，被认为是有利优势的是，该转发节点可以被简单配置。然而，如果该控制设备在某个时间段内被来自转发节点的处理规则设定请求泛洪，则该控制设备会受到相当数量的负载的影响。此外，通过使用这样的机制而针对控制设备进行DoS攻击（拒绝服务攻击）的可能性也需要加以考虑。

已经考虑到以上问题而作出了本发明，并且本发明的目的在于提供一种能够防止从某个转发节点（或多个节点）向控制设备进行处理规则设定请求的泛洪传输并且能够提供改善针对DoS攻击的抵御性的通信系统；一种转发节点；一种接收分组处理方法；以及一种程序。

对问题的解决方案

根据本发明的第一方面，提供了一种通信系统，包括：控制设备，其在转发节点中设定定义适用于接收分组的处理内容的处理规则；以及至少一个转发节点，其包括：分组处理装置，其根据该处理规则对接收分组进行处理；请求装置，其在接收分组为未对其设定处理规则的第一分组的情况下向控制设备传送处理规则设定请求；以及限制装置，其限制针对满足从第一分组所获得的条件的第二分组的设定请求的传输。

根据本发明的第二方面，提供了一种转发节点，包括：分组处理装置，其根据定义适用于接收分组的处理内容的处理规则对接收分组进行处理；请求装置，其关于在多个接收分组中的、未对其设定处理规则的第一分组而向控制设备传送处理规则设定请求；以及限制装置，其限制针对满足从第一分组所获得的条件的第二分组的设定请求的传输。

根据本发明的第三方面，提供了一种接收分组处理方法，包括步骤：在没有设定与接收分组相匹配的处理规则的情况下，在根据定义适用于接收分组的处理内容的处理规则对接收分组进行处理时向预定控制设备传送针对未对其设定处理规则的第一分组的处理规则设定请求；并且限制针对满足从第一分组所获得的条件的第二分组的处理规则设定请求的传输。所述方法与被称为根据处理规则处理接收分组的转发节点的某种机器相关联。

根据本发明的第四方面，提供了一种程序，其使得转发节点中所包括的计算机执行以下步骤，所述转发节点包括根据定义适用于接收分组的处理内容的处理规则对接收分组进行处理的分组处理装置：向预定控制设备传送针对未对其设定处理规则的第一分组的处理规则设定请求；并且限制针对满足从第一分组所获得的条件的第二分组的处理规则设定请求。该程序可以被记录在计算机可读记录介质之中，该计算机可读记录介质可以为非临时性记录介质。也就是说，本发明能够被实现为计算机程序产品。

在特定模式中，该程序可以被用于执行/实施构成该方法的步骤的至少一部分，或者该程序可以被安装在转发单元的存储器单元中以便将该转发单元实施为通信设备或系统的实际活动元件（部件）。

本发明的有益效果

根据本发明，可能防止从某个转发节点向控制设备进行请求的泛洪传输，该控制设备响应于来自属于该控制设备的转发节点的请求而确定分组处理内容。此外，能够使得难以对控制设备进行DoS攻击。

附图说明

图1图示了本发明的概要。

图2图示了本发明的概要。

图3是图示根据本发明第一示例性实施例的转发节点的配置的框图。

图4是图示根据本发明第一示例性实施例的转发节点中的暂定处理规则设定策略存储单元中所存储的暂定处理规则设定策略。

图5图示了根据本发明第一示例性实施例的转发节点中的处理规则存储单元中所存储的处理规则。

图6是图示根据本发明第一示例性实施例的操作的序列图。

图7是图示根据本发明第一示例性实施例的操作的序列图。

图8是图示根据本发明第一示例性实施例的操作的序列图。

图9是图示图7和8中的转发节点所执行的处理的流程图。

图10是图示根据本发明第二示例性实施例的转发节点的配置的框图。

图11图示了根据本发明第二示例性实施例的转发节点中的处理规则存储单元中所存储的处理规则。

图12图示了可对其应用根据本发明的转发节点的通信系统的配置。

图13图示了非专利文献2中所描述的流条目的配置。

具体实施方式

首先，将对本发明的概要进行描述。如图1所示，本发明能够由一种通信系统实现，其包括：控制设备100，其设定定义适用于转发节点中接收分组的处理内容的处理规则；以及转发节点20，其包括：存储处理规则的处理规则存储单元22；以及对接收分组进行处理的分组处理装置24。更具体地，该转发节点20包括：请求装置21，其在接收分组为未对其设定处理规则的第一分组的情况下向控制设备传送处理规则设定请求；以及限制装置23，其限制针对满足预定条件的第二分组的处理规则设定请求的传输。该概要中的附图标记仅用作便于理解的示例而并非意在将本发明局限于所图示的模式。

具体地，如图2所示，在从外部节点接收到数据分组时（图2中的S001），转发节点20缓存所接收分组（第一分组），并且转发节点20的请求装置21向控制设备100传送针对接收分组（第一分组）的处理规则设定请求（图2中的S002）。此外，转发节点20的限制装置23停止针对满足预定条件的第二分组的处理规则设定请求（限制其传输）（图2中的S003）。

是否停止处理规则设定请求（限制其传输）可以由在图2中的S001中所接收的分组（第一分组）来确定。例如，可以在转发节点20接收到：属于接收分组（第一分组）的流的后续分组；从接收分组（第一分组）的源所传送的分组（与第一分组具有相同源信息的分组）；或者通过某个端口所接收的分组时，停止（限制）处理规则设定请求（的传输）。也就是说，该条件可以被称之为用于对停止针对其的处理规则设定请求传输的分组进行过滤的过滤条件。此外，虽然能够使用诸如第一分组的分组报头之类的特征来创建预定条件，但是预定条件的创建并不局限于使用第一分组的以上示例。例如，在接收到第一分组之后，可以针对通过不同于已经接收到第一分组的端口的端口所输入的分组停止或限制处理规则设定请求（的传输）。

以这种方式，如图2所示，即使转发节点20从外部节点接收到并未对其设定处理规则的分组，向控制设备100的处理规则设定请求的传输也被禁止。

随后，如果处理规则由控制设备100所设定（图2中的S004），则转发节点20开始根据所设定的处理规则转发在S001中接收并缓存的分组（图2中的S005）。此外，根据图2中的S004中所设定的处理规则，对从外部节点所传送的后续分组（图2中的S001中所接收分组之后的分组）进行转发（图2中的S007-1和S007-2）。

以这种方式，能够防止从某个转发节点向控制设备100进行处理规则设定请求的泛洪传输。此外，取决于图2中的S003中所设定的用于禁止处理规则设定请求的传输的设定（例如，禁止针对与已经针对其传送了处理规则设定请求的分组具有相同源地址的分组的请求），能够使得难以对控制设备100进行DoS攻击。

（第一示例性实施例）

接下来，将参考附图对本发明的第一示例性实施例进行详细描述。图3图示了根据本发明第一示例性实施例的转发节点200的配置。如图3所示，转发节点200由转发处理管理单元209和转发处理单元206所构成。

转发处理管理单元209包括通信单元201、暂定处理规则设定策略管理单元202、暂定处理规则设定策略存储单元203、处理规则管理单元204和处理规则存储单元205。

通信单元201是实现与转发节点200中设定处理规则的控制设备的通信的装置（单元）。

暂定处理规则设定策略管理单元202是对暂定处理规则设定策略存储单元203中所存储的暂定处理规则设定策略进行管理的装置（单元）。此外，当被转发处理单元206通知在处理规则存储单元205中没有登记与接收分组相匹配的处理规则时，暂定处理规则设定策略管理单元202参考暂定处理规则设定策略存储单元203中所存储的暂定处理规则设定策略，创建暂定处理规则，并且指令处理规则管理单元204设定（添加）所创建的暂定处理规则。

图4图示了暂定处理规则设定策略存储单元203中所存储的暂定处理规则设定策略的示例。图4中的示例基于能够通过转发节点200的端口#1、#2和#3生成新的流并且不能通过端口#4、#5和#6生成新的流的假设而创建。

图4中的策略#1定义了通过输入端口#1、#2或#3所输入的接收分组的暂定处理规则设定策略。特别地，基于该设定策略，转发节点200丢弃与输入端口、源MAC（媒体访问控制）地址和源IP与没有登记其处理规则的接收分组相同而其它字段为通配符的条件相匹配的分组，并且有效时间段（计时器）为10秒。在这种情况下，暂定处理规则设定策略管理单元202创建具有与该条件相对应的匹配规则、动作（丢弃）和超时数值的处理规则，并且指令处理规则管理单元204设定该处理规则。以这种方式，对于通过能够通过其生成新流的端口所输入的分组，设定详细的条件。因此，仅针对针对其请求了处理规则设定请求的流或者与这样的流相关的一个或多个流，禁止处理规则设定请求，而在其它一个或多个新流被输入的情况下，则允许处理规则设定请求。

类似地，图4中的策略#2针对通过输入端口#4、#5或#6所输入的接收分组定义了暂定处理规则设定策略。与以上的策略#1相比，优选地，可以针对通过不能通过其生成新流的端口所接收的分组全面禁止处理规则设定请求。以这种方式，例如，控制设备能够检测关于执行未授权访问的终端的信息（MAC地址、IP地址等）。结果，能够禁止未授权业务。

处理规则管理单元204是例如根据从控制设备所接收的处理规则设定消息而设定、改变和删除所存储的处理规则的装置（单元）。此外，当被转发处理单元206通知在处理规则存储单元205中没有登记与接收分组相匹配的处理规则时，处理规则管理单元204经由通信单元201向控制设备传送处理规则设定请求。此外，如果被暂定处理规则设定策略管理单元202指令以设定暂定处理规则，则处理规则管理单元204将暂定处理规则登记在处理规则存储单元205中。

图5图示了处理规则存储单元205中所存储的处理规则的示例。在图5的每个处理规则中，用于识别流的匹配规则、应用于匹配规则的处理内容（动作）、关于每个条目的优先顺序信息被关联。例如，基于这些处理规则，在接收到匹配流#1（Flow#1）的分组时，转发节点200将该分组转发至端口#1。在图5中，“暂定流#1（Tentative Flow#1）”表示以上暂定处理规则。如果其中设定有具有如图5所示的优先顺序的处理规则的转发节点接收到匹配流#1或流#2的分组，则转发节点执行相应指定的动作。然而，如果转发节点接收到匹配暂定流#1而不是流#1或流#2的分组，则转发节点丢弃该分组。如果转发节点接收到并不与这些匹配规则中的任何一个相对应的分组，则转发节点向控制设备传送处理规则设定请求。

转发处理单元206包括：处理规则搜索单元207，其参考处理规则存储单元205以对具有与接收分组相匹配的匹配规则的处理规则进行搜索；以及动作执行单元208，其执行所搜索的处理规则中定义的处理内容（动作）。当处理规则存储单元205中没有登记与接收分组相匹配的处理规则时，转发处理单元206向转发处理管理单元209发送通知。

如以上所描述的转发节点200能够通过向非专利文献1和2中的开放流交换机添加暂定处理规则设定策略管理单元202和暂定处理规则设定策略存储单元203，并且在处理规则存储单元205中没有登记与接收分组相匹配的处理规则的情况下通过使得转发处理单元206向暂定处理规则设定策略管理单元202发送通知来实现。

此外，图3所示的转发节点200的个别单元（处理装置）可以由一个或多个计算机程序来实现，该计算机程序使得转发节点200中所安装的计算机使用其硬件并且执行以上个别处理。

接下来，将参考附图对根据该示例性实施例的操作详细进行描述。首先，将对设定暂定处理规则设定策略的操作进行描述。

暂定处理规则设定策略的设定

图6是图示在转发节点200的暂定处理规则设定策略存储单元203中设定暂定处理规则设定策略的操作的序列图。

首先，如果转发节点200新连接至网络或者转发节点200的设定有所变化，则建立与控制设备的安全信道（图6中的S101）。接下来，控制设备收集关于转发节点的转发能力等的信息（图6中的S102）。在S102中，转发节点200可以向控制设备明确通知该转发节点200包括暂定处理规则设定策略管理单元202。如果控制设备和转发节点200基于非专利文献1和2中的开放流控制器和开放流交换机进行配置，则可以使用非专利文献2中的特征请求/应答消息来收集关于转发节点的转发能力等的信息。

接下来，控制设备基于所收集的信息或所准备的网络配置信息创建包括转发节点200的网络拓扑（图6中的S103）。

接下来，控制设备创建需要在每个转发节点200中进行设定的暂定处理规则设定策略。无需在每个转发节点200中设定相同的暂定处理规则设定策略。控制设备可以鉴于每个转发节点200在网络拓扑上的位置或者业务信息（例如，业务类型或相关统计信息）在每个转发节点200中设定不同的暂定处理规则设定策略。例如，如果转发节点位于可能直接从一个或多个未知外部节点接收分组之处，则对于通过对这些一个或多个外部节点可用的端口输入的分组而言，关于传送该分组的外部节点的信息被添加在匹配规则中，并且针对某个时间段具有用于停止传输处理规则设定请求的内容的暂定处理规则设定策略得以设定。与之相比，如果转发节点位于不可能直接从未知外部节点接收分组之处，则对于通过未使用端口所输入的分组而言，不在匹配规则中添加外部节点信息，并且针对某个时间段具有用于停止处理规则设定请求（的传输）的内容的暂定处理规则设定策略得以设定。此外，例如，在转发节点的组连接至提供不同服务的多个服务器设备的情况下，如果转发节点接收到并不与所连接服务器设备提供的任何服务相关联的分组，则控制设备能够设定暂定处理规则设定处理以便停止处理规则设定请求（的传输）。在这种情况下，由于连接至个别转发节点的服务器设备提供不同服务，所以能够对每个转发节点设定不同的暂定处理规则设定策略。

最后，控制设备向转发节点200通知所创建的暂定处理规则设定策略（图6中的S105）。当接收到暂定处理规则设定策略时，转发节点200将该暂定处理规则设定策略存储在暂定处理规则设定策略存储单元203中。

如以上所描述的，转发节点200每次被添加或有所变化，都能够配置暂定处理规则设定策略。以这种方式，能够设定基于所更新的网络拓扑的暂定处理规则设定策略。

在图6中的S104和S105中，对于已经在其中设定了暂定处理规则设定策略的其它转发节点而言，可以对暂定处理规则设定策略进行复查并且可以设定新的暂定处理规则设定策略。以这种方式，即使新的转发节点被添加至网络或者在转发节点的设定有所变化的情况下，也能够应用反映网络拓扑变化的暂定处理规则设定策略。

以上用于设定暂定处理规则设定策略的序列仅是用于设定暂定处理规则设定策略的方法的一个示例。因此，本发明并非特定地局限于这样的示例。例如，网络管理员可以基于已知网络拓扑在每个转发节点200中设定暂定处理规则设定策略。可替换地，可以在其发货之前事先在每个转发节点200中设定暂定处理规则设定策略作为缺省设定。

使用暂定处理规则设定策略的操作序列1

接下来，将对使用如以上所描述的暂定处理规则设定策略的转发节点的操作进行描述。图7是图示转发节点200在连续接收到作为可能的DoS攻击的分组时的操作的序列图。

在图7中，首先，当转发节点200从外部节点接收到数据分组时（图7中的S201），转发节点200的转发处理单元206针对于接收分组相匹配的处理规则搜索处理规则存储单元205。在这种情况下，由于接收分组为未知数据分组，所以转发处理单元206通知转发处理管理单元209没有找到相对应的处理规则（图7中的S202）。

在接收到该通知时，在转发处理管理单元209中，暂定处理规则设定策略管理单元202参考暂定处理规则设定策略存储单元203，选择对应于接收分组的暂定处理规则设定策略，并且创建暂定处理规则（图7中的S203；策略检查）。接下来，暂定处理规则设定策略管理单元202请求处理规则管理单元204设定所创建的暂定处理规则。

接下来，处理规则管理单元204将所创建的暂定处理规则登记在处理规则存储单元205中（图7中的S204）。此后将对该示例进行描述，假设选择了图4中的策略#1。也就是说，根据所设定的暂定处理规则，通过相同输入端口所输入并且与图7中的S201中所接收的数据分组具有相同源MAC地址和源IP地址的分组被丢弃（参见图5中的暂定流#1）。

此外，由于转发节点200已经接收到未知数据分组，所以处理规则管理单元204向控制设备传送处理规则设定请求（图7中的S205；分组进入（Packet-In））。

在图7中的S204中设定了暂定处理规则之后，转发节点200根据已有处理规则和暂定处理规则对从外部节点所接收的数据分组进行处理。因此，从外部节点所发送的一个或多个后续分组根据暂定处理规则被处理和被丢弃。

另一方面，在图7中的S205中接收到处理规则设定请求时，控制设备创建对应于从转发节点200所接收的数据分组的处理规则并且将该处理规则设定在转发节点200中（图7中的S207-1；流修改（FlowMod））。在该示例中，如在图7中的S204中所设定的暂定处理规则中那样，设定处理规则以使得通过相同输入端口所输入并且与图7中的S201中所接收的数据分组具有相同源MAC地址和源IP地址的分组被丢弃。

在从控制设备接收到处理规则时，转发节点200的处理规则管理单元204将该处理规则登记在处理规则存储单元205中（图7中的S207-2；登记处理规则）。

因此，由于从外部节点所传送的数据分组被连续丢弃（图7中的S208），所以处理规则设定请求被禁止。

使用暂定处理规则设定策略的操作序列2

图8是图示转发节点200在从授权用户终端接收到分组时的操作的序列图。从数据分组接收（S201）到处理规则设定请求（S205；分组进入），图7和8之间的操作相同。

当在图8中的S205中接收到处理规则设定请求时，控制设备创建与从转发节点200所接收的数据分组相对应的处理规则并且在转发节点200中设定该处理规则（图8中的S207-1；流修改）。在这种情况下，将对以下说明进行描述，假设已经基于数据分组的特征而认识到数据分组已经从该数据分组的授权用户终端（至少不是从未授权终端）进行传送。因此，计算数据分组到目的地的路径（路由）以及实现该路径（路由）的动作。也就是说，设定定义用于将属于图2中的数据分组的流的后续分组转发至下一跳的动作的处理规则。

当从控制设备接收到处理规则时，转发节点20的处理规则管理单元204将该处理规则登记在处理规则存储单元205中（图8中的S207-2；登记处理规则）。

结果，从外部节点所传送的后续分组根据该处理规则而被处理并且被转发至目的地（图8中的S208-1至S209-3）。

（转发节点的操作）

接下来，将参考附图对转发节点在以上序列中所执行的处理进行详细描述。图9是图示图7和8中的转发节点所执行的处理的流程图。

首先，在从外部节点或另一个转发节点接收到数据分组时（步骤S301），转发节点200针对具有与接收分组相匹配的匹配规则的处理规则搜索处理规则存储单元205。

作为搜索结果，如果找到了具有与接收分组相匹配的匹配规则的处理规则（步骤S302中为是），则转发节点200执行该处理规则中所定义的处理内容（动作）（步骤S303）。

另一方面，作为搜索结果，如果没有找到具有与接收分组相匹配的匹配规则的处理规则（步骤S302中为否），则转发节点200参考暂定处理规则设定策略存储单元203以检查所接收分组是否对应于需要针对其设定暂定处理规则的流（步骤S304）。

如果所接收分组并不对应于需要针对其设定暂定处理规则的流，例如，如果没有在暂定处理规则设定策略存储单元203中登记具有图4中与接收分组相匹配的流信息的条目（步骤S304中为否），则转发节点200向控制设备传送处理规则设定请求，而并不设定暂定处理规则（步骤S307）。

另一方面，作为检查结果，如果接收分组对应于需要针对其设定暂定处理规则的流，例如，如果在暂定处理规则设定策略存储单元203中登记有具有图4中与接收分组相匹配的流信息的条目（步骤S304中为是），则转发节点200参考暂定处理规则设定策略存储单元203中的该条目中所定义的暂定处理规则设定策略并且创建暂定处理规则（步骤S305）。接下来，转发节点200设定在处理规则存储单元205中的所创建的暂定处理规则（步骤S306）。

接下来，转发节点200向控制设备传送处理规则设定请求（步骤S307）。

如以上所描述的，根据该示例性实施例，通过使用暂定处理规则设定策略中所定义的粒度，能够针对未知分组之后的任意一个或多个分组控制向控制设备所进行的一个或多个处理规则设定请求的传输。

在以上示例性实施例中，在设定了暂定处理规则之后，传送处理规则设定请求。然而，在处理规则设定请求被传送之后，可以设定暂定处理规则。

此外，在以上示例性实施例中，作为暂定处理规则中的处理内容（动作），分组被丢弃。然而，可以定义其它处理内容（动作）以禁止向控制设备传输处理规则设定请求。处理内容的示例包括分组的缓存、在预定路由上进行转发以及分组返回。

此外，在以上示例性实施例中，已经接收到处理规则设定请求的控制设备执行处理规则设定操作。然而，当传送处理规则设定请求时，转发节点200可以向控制设备通知被设定为暂定处理规则的内容。以这种方式，取代处理规则设定操作，控制设备可以执行暂定处理规则确认操作（也就是说，能够省略处理规则的设定）。

（第二示例性实施例）

接下来，将参考附图对本发明的第二示例性实施例进行详细描述。第二示例性实施例可以通过对以上的第一示例性实施例进行修改而获得。

在以上的第一示例性实施例中，转发节点200对处理规则和暂定处理规则设定策略单独进行管理。然而，本发明的第二示例性实施例与第一示例性实施例的不同之处在于，对这些规则和策略进行整体管理。此后，将集中于与第一示例性实施例的区别而对第二示例性实施例进行描述。

图10是图示根据本发明第二示例性实施例的转发节点200A的配置的框图。转发节点200A与图3所示的第一示例性实施例的转发节点200的区别之处在于，当转发节点200从外部节点接收到数据分组并且转发节点200的转发处理单元206A针对于接收分组相匹配的处理规则搜索处理规则存储单元205A时，转发处理单元206A检查接收分组是否对应于需要对其设定暂定处理规则的流（图9中的S304）。

图11图示了根据该示例性实施例的转发节点200A的处理规则存储单元205A中所存储的条目。这些条目与图5中根据第一示例性实施例的转发节点200的处理规则存储单元205中所存储的处理规则条目的不同之处在于，在图11中的条目中添加了由流#N和流#N+1所指示的条目。流#N和流#N+1对应于图4中的流信息（例如，inport=#1或#2或#3），并且在相应动作字段中描述了需要设定的暂定处理规则设定策略的内容。

例如，如果转发节点200A接收到并不与较高优先级处理规则（流#1，#2）或暂定处理规则（暂定流#1）相匹配的，但是与匹配规则中inport=#4或#5或#6的条件相匹配的未知分组，则转发处理单元206A向暂定处理规则设定策略管理单元202A通知接收到需要对其应用策略#2的未知分组。在被通知之后，被通知的暂定处理规则设定策略管理单元202A直接参考暂定处理规则设定策略存储单元203中的得对应的暂定处理规则设定策略Policy#2，而并不搜索所要应用的暂定处理规则设定策略。接下来，被通知的暂定处理规则设定策略管理单元202A请求处理规则管理单元204A在处理规则存储单元205A中设定（添加）暂定处理规则（暂定流#2）。

随后，根据该暂定处理规则（暂定流#2）中所定义的处理内容（动作）对与该暂定处理规则（暂定流#2）的匹配规则相匹配的接收分组进行处理。

如以上所描述的，根据该示例性实施例，除了第一示例性实施例的相同有益效果之外，由转发节点200A所进行的搜索暂定处理规则设定策略的操作速度可以有所提高。此外，根据该示例性实施例，通过使用常规处理规则设定消息（例如，开放流的流修改），能够设定暂定处理规则策略。

此外，在以上示例性实施例中，暂定处理规则设定策略存储单元203和处理规则存储单元205A被单独配置和管理。然而，通过对转发节点进行扩展使得暂定处理规则能够被存储在图11的动作字段中，暂定处理规则设定策略存储单元203和处理规则存储单元205A可以被整合。

虽然已经因此对本发明的示例性实施例进行了描述，但是本发明并不局限于此。可以进行另外的变化、替换或调整而并不背离本发明的基本技术概念。例如，虽然已经基于关注单个转发节点并且应用暂定处理规则设定策略的示例对每个示例性实施例进行了描述，但是可以针对形成网络的每个转发节点设定不同的暂定处理规则设定策略。

此外，已经基于其中存在两个暂定处理规则设定策略的示例对以上示例性实施例进行了描述。然而，可以使用单个暂定处理规则设定策略。可替换地，可以准备3个或更多的暂定处理规则设定策略。此外，如果设定了多个暂定处理规则设定策略，则可以采用多级策略配置。例如，可以添加暂定处理规则直至暂定处理规则的数量超过某个数量。如果暂定处理规则的数量超过某个数量，则不添加暂定处理规则。相反，针对通过指定输入端口所输入的统一地丢弃分组的暂定处理规则被替换。

此外，虽然在每一个以上示例性实施例中并未对根据本发明的转发节点200和200A的应用字段特别进行描述，但是根据本发明的转发节点例如能够在移动回程（backhaul）的边缘适当地得以配置。以这种方式，控制设备能够对基于从各个授权基站所发送的新分组所生成的处理规则设定请求进行处置，同时避免接收来自未授权通信设备的作为DoS攻击的设定请求的泛洪。

此外，例如如图12所示，根据本发明的转发节点200和200A能够被适当配置在广域数据中心的边缘。在这种情况下，也能够避免接收丛发性业务形式的处理规则设定请求的泛洪。

以上专利文献和非专利文献的全部公开内容通过引用结合与此。可能在本发明的整个公开内容（包括权利要求）的范围内并且基于本发明的基本技术概念对示例性实施例进行修改和调整。各种公开要素的各种组合和选择都可能处于本发明权利要求的范围内。也就是说，本发明显然包括本领域技术人员根据包括权利要求和技术概念在内的整体公开而进行的各种变化和修改。

最后，将对本发明的模式示例进行概括。

（第一模式）

一种通信系统，包括：

控制设备，在转发节点中设定定义适用于接收分组的处理内容的处理规则；以及

至少一个转发节点，包括：

分组处理装置，根据该处理规则对接收分组进行处理；

请求装置，如果接收分组是没有对其设定处理规则的第一分组，则向控制设备传送处理规则设定请求；以及

限制装置，如果第一分组是满足预定条件的第二分组，则限制设定请求的传输。

（第二模式）

根据第一模式的通信系统；

其中该限制装置通过添加定义要应用于接收分组的处理的预定处理规则来禁止来自请求装置的处理规则设定请求的传输。

（第三模式）

根据第二模式的通信系统；

其中要应用于第二分组的处理为分组丢弃。

（第四模式）

根据第一至第三模式中任一项的通信系统；

其中该限制装置基于预先设定的策略来限制由请求装置进行处理规则设定请求操作。

（第五模式）

根据第二至第四模式中任一项的通信系统；

其中该转发节点基于预先设定的策略来添加预定处理规则。

（第六模式）

根据第四或第五模式的通信系统；

其中该控制设备基于转发节点在网络拓扑上的位置或者业务信息来在转发节点中设定策略。

（第七模式）

根据第六模式的通信系统；

其中该控制设备在包括转发节点的网络拓扑有所变化时更新转发节点中设定的策略。

（第八模式）

根据第四至第七模式中任一项的通信系统；

其中通过将用于识别第二分组的匹配规则与用于向控制设备传送处理规则设定请求的处理内容相关联并且添加预定处理规则来对该策略进行配置。

（第九模式）

根据第八模式的通信系统；

其中转发节点参考存储策略和处理规则的表，搜索与接收分组相匹配的条目，并且处理接收分组或者添加预定处理规则。

（第十模式）

根据第一至第九模式中任一项的通信系统；

其中在向控制设备传送处理规则设定请求时，转发节点向控制设备通知预定处理规则的内容；并且

其中该控制设备针对接收到其处理规则设定请求的第一分组来设定新的处理规则或者确认预定处理规则。

（第十一模式）

一种转发节点，包括：

分组处理装置，根据定义适用于接收分组的处理内容的处理规则对接收分组进行处理；

请求装置，针对在接收分组中的没有对其设定处理规则的第一分组来向控制设备传送处理规则设定请求；以及

限制装置，如果第一分组是满足预定条件的第二分组，则限制设定请求的传输。

（第十二模式）

根据第十一模式的转发节点；

其中该限制装置通过添加定义要应用于接收分组的处理的预定处理规则来禁止来自请求装置的处理规则设定请求的传输。

（第十三模式）

一种接收分组处理方法，包括步骤：

当根据定义适用于接收分组的处理内容的处理规则来对接收分组进行处理时，如果没有设定与接收分组相匹配的处理规则，则针对对没有对其设定处理规则的第一分组来向预定控制设备传送处理规则设定请求；以及

如果第一分组是满足预定条件的第二分组时，限制设定请求的传输。

（第十四模式）

一种程序，使得转发节点中所包括的计算机执行以下步骤，该转发节点包括根据定义适用于接收分组的处理内容的处理规则对接收分组进行处理的分组处理装置：

针对没有对其设定处理规则的第一分组，向预定控制设备传送处理规则设定请求；并且

在第一分组是满足预定条件的第二分组，则限制设定请求的传输。

（第十五模式）

一种通信系统，包括：

控制设备，设定定义适用于转发节点中接收分组的处理内容的处理规则；以及

转发节点，包括：

分组处理装置，根据处理规则来对接收分组进行处理；

请求装置，在接收分组是没有对其设定处理规则的第一分组时向控制设备传送处理规则设定请求；以及

限制装置，针对满足预定条件的第二分组来限制设定请求的传输。

附图标记列表

20、200、200A 转发节点

21 请求装置（单元）

22、205、205A 处理规则存储单元

23 限制装置（单元）

24 分组处理装置（单元）

100 控制设备

201 通信单元

202、202A 暂定处理规则设定策略管理单元

203 暂定处理规则设定策略存储单元

204、204A 处理规则管理单元

206、206A 转发处理单元

207 处理规则搜索单元

208 动作执行单元

209、209A 转发处理管理单元

Claims (14)

1.一种通信系统，包括：

控制设备，所述控制设备在转发节点中设定处理规则，所述处理规则定义适用于接收分组的处理内容；以及

至少一个转发节点，所述至少一个转发节点包括：

分组处理装置，所述分组处理装置根据所述处理规则来对接收分组进行处理；

请求装置，所述请求装置在所述接收分组是没有对其设定所述处理规则的第一分组时，向所述控制设备传送处理规则设定请求；以及

限制装置，所述限制装置针对满足从所述第一分组所获得的条件的第二分组来限制所述设定请求的传输。

2.根据权利要求1所述的通信系统；

其中，所述限制装置通过添加预定处理规则来禁止来自所述请求装置的处理规则设定请求的传输，所述预定处理规则定义要应用于所述接收分组的处理。

3.根据权利要求2所述的通信系统；

其中，要应用于所述第二分组的处理是分组丢弃。

4.根据权利要求1至3中的任何一项所述的通信系统；

其中，所述限制装置基于预先设定的策略来限制由所述请求装置进行的处理规则设定请求操作。

5.根据权利要求2至4中的任何一项所述的通信系统；

其中，所述转发节点基于预先设定的策略来添加所述预定处理规则。

6.根据权利要求4或5所述的通信系统；

其中，所述控制设备基于所述转发节点在网络拓扑上的位置或者业务信息来在所述转发节点中设定所述策略。

7.根据权利要求6所述的通信系统；

其中，当改变包括所述转发节点的网络拓扑时，所述控制设备更新在所述转发节点中设定的所述策略。

8.根据权利要求4至7中的任何一项所述的通信系统；

其中，通过使匹配规则与处理内容相关联并且添加所述预定处理规则来对所述策略进行配置，所述匹配规则用于识别所述第二分组，所述处理内容用于向所述控制设备传送处理规则设定请求。

9.根据权利要求8所述的通信系统；

其中，所述转发节点参考存储所述策略和所述处理规则的表，搜索与接收分组相匹配的条目，并且对所述接收分组进行处理或者添加所述预定处理规则。

10.根据权利要求1至9中的任何一项所述的通信系统；

其中，当向所述控制设备传送处理规则设定请求时，所述转发节点向所述控制设备通知所述预定处理规则的内容；并且

其中，所述控制设备针对接收到其所述处理规则设定请求的所述第一分组来设定新的处理规则或者确认所述预定处理规则。

11.一种转发节点，包括：

分组处理装置，所述分组处理装置根据处理规则来对接收分组进行处理，所述处理规则定义适用于所述接收分组的处理内容；

请求装置，所述请求装置针对在所述接收分组中的没有对其设定所述处理规则的第一分组来向控制设备传送处理规则设定请求；以及

限制装置，所述限制装置针对满足从所述第一分组所获得的条件的第二分组来限制所述设定请求的传输。

12.根据权利要求11所述的转发节点；

其中，所述限制装置通过添加预定处理规则来禁止来自所述请求装置的处理规则设定请求的传输，所述预定处理规则定义要应用于所述接收分组的处理。

13.一种接收分组处理方法，包括下述步骤：

当根据定义适用于接收分组的处理内容的处理规则来对接收分组进行处理时，如果没有设定与所述接收分组相匹配的处理规则，则针对没有对其设定所述处理规则的第一分组来向预定控制设备传送处理规则设定请求；以及

针对满足从所述第一分组所获得的条件的第二分组来限制所述处理规则设定请求的传输。

14.一种程序，所述程序使得包括在转发节点中的计算机执行下述步骤，所述转发节点包括分组处理装置，所述分组处理装置根据处理规则来对接收分组进行处理，所述处理规则定义适用于接收分组的处理内容：

针对没有对其设定所述处理规则的第一分组，向预定控制设备传送处理规则设定请求；以及

针对满足从所述第一分组所获得的条件的第二分组来限制所述处理规则设定请求。

Images