CN103814556A - 通信终端、通信方法、通信系统和控制设备 - Google Patents

Abstract

一种通信终端包括：第一单元，该第一单元与包括转发分组的转发设备和将规定分组处理方法的处理规则告知转发设备的控制设备的网络系统通信；第二单元，该第二单元从将由通信终端执行的分组处理操作之中确定将由网络系统执行的处理操作；以及第三单元，该第三单元请求控制设备将与所确定的分组处理操作相对应的处理规则告知转发设备。减少了由于分组处理操作而引起的通信终端上的负载。

Description

通信终端、通信方法、通信系统和控制设备

技术领域

（相关申请的交叉引用）

本申请要求来自日本专利申请号JP2011-203277（于2011年9月16日提交）的优先权，其内容通过引用被整体地结合到本说明书中。

本发明涉及一种控制设备管理对在网络系统上执行的分组处理的集中式控制的通信技术。

背景技术

诸如服务器或移动终端之类的通信终端执行多种分组处理操作。为了减少施加在通信终端上的分组处理的负载，到目前为止已提出了多种技术。例如，专利文献1示出了其中将分组过滤的处理划分成用软件的处理和用硬件的处理以减轻以其他方式施加于通信终端本身上的分组过滤的负载。通过以这种方式来划分分组过滤的处理，用专利文献1的通信终端可以减少分组过滤的负载。

引用列表

专利文献

PTL1:JP-Patent Kokai JP-A-2008-294895

非专利文献

NPL1：Nick McKeown and seven others,"OpenFlow:EnablingInnovation in Campus Networks,"[online],[retrieved on Heisei23(2011),September8],the Internet<URL:http://www.openflow.org/documents/openflow-wp-latest.pdf>。

NPL2："OpenFlow Switch Specification,"Version1.1.0Implemented(Wire Protocol0x02),[online],[retrieved on Heisei23(2011),September8],the Internet<URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf>。

发明内容

技术问题

以下分析是由本发明给出的。用在专利文献1中公开的技术，可以减少以其他方式施加于通信终端本身上的分组处理的负载。

可以确信，在专利文献1的方法中，可减少应施加于通信终端上的分组处理的负载。然而，可能并未省去通信终端中的分组过滤本身的处理。因此，在专利文献1中公开的技术中，可能并未充分地减轻由通信终端执行的分组处理的处理中的负载，使得存在改善的空间。

在不仅执行分组过滤的处理、而且执行诸如地址变更、报头重写、分组分析等各种处理的通信终端可出现类似问题。

鉴于相关技术的上述缺点，在本领域中需要提供可根据其而相当可观地减少通信终端处的处理分组的负载的通信终端、通信方法和通信系统。

问题的解决方案

根据本公开的第一方面，提供了一种通信终端，包括：

第一装置（或单元），该第一装置（或单元）与包括转发设备和控制设备的网络系统通信，所述转发设备转发分组，所述控制设备将规定分组处理方法的处理规则告知转发设备；

第二装置（或单元），该第二装置（或单元）从将由通信终端执行的分组处理操作之中确定将由网络系统执行的处理操作；以及

第三装置（或单元），该第三装置（或单元）请求所述控制设备将与所确定的分组处理操作相对应的处理规则告知转发设备。

根据本公开的第二方面，提供了一种由与网络系统通信的通信终端实现的通信方法，该网络系统包括转发设备和控制设备，该转发设备转发分组，该控制设备将规定分组处理方法的处理规则告知转发设备；该方法包括：

从将由通信终端执行的分组处理操作之中确定将由网络系统执行的处理操作；以及

请求所述控制设备将与所确定的分组处理操作相对应的处理规则告知转发设备。

本方法与特定机器密切相关，即连接到网络的上述通信终端。

根据本公开的第三方面，提供了一种通信系统，包括：

转发设备，该转发设备转发分组；

控制设备，该控制设备将规定分组处理方法的处理规则告知转发设备；以及

通信终端，其中

该通信终端包括：

从将由通信终端执行的分组处理操作之中确定将由网络系统执行的处理操作的装置（或单元）；以及

请求所述控制设备将与所确定的分组处理操作相对应的处理规则告知转发设备的装置（或单元）。

根据本公开的第四方面，提供了一种控制设备，该控制设备将规定分组处理方法的处理规则告知转发设备，包括：

从与网络通信的通信终端接收与通信终端促使网络系统执行的处理操作有关的信息的装置（或单元），该网络包括所述转发设备和所述控制设备；

将与该处理操作相对应的处理规则告知转发设备的装置（或单元）。

本发明的有益效果

根据本公开，由作为代理进行操作的网络系统侧来负责应由通信终端执行的分组处理，因此其促进了减少以其他方式由分组处理施加于通信终端侧的的负载。

附图说明

图1是示出了根据本发明的示例性实施例的示例系统配置的示意图。

图2是示出了根据本公开的第一示例性实施例的示例系统配置的示意图。

图3是示出了示例处理规则的表格化图。

图4是示出了示例访问日志的图。

图5是示出了被用于确定访问限制的决定参考表的表格化图。

图6是示出了控制设备400的示例配置的框图。

图7是示出了第一示例性实施例的示例操作的图。

图8也是示出了第一示例性实施例的示例操作的图。

图9是示出了根据本发明的第二示例性实施例的示例系统配置的示意图。

图10是示出了根据本公开的第三示例性实施例的示例系统配置的示意图。

图11是用于图示出传统技术的图。

具体实施方式

最初，将解释本公开的示例性实施例的概要。应注意的是仅仅为了方便而用附图的参考标号来表示各元件以帮助理解且其并不意图使本公开局限于图中所示的模式。

本公开的通信终端（图1中的参考标号1）可连接到网络系统（图1的参考标号2）。网络系统具有其中控制设备（图1的参考标号400）管理由转发设备进行的分组转发的集中式控制的架构，所述转发设备诸如交换机或路由器（图1的转发节点200、210、220）。本公开的通信终端（图1的参考标号1）促使网络系统（图1的参考标号2）通过代理来执行以其他方式应由通信终端（图1的参考标号1）执行的分组处理。因此，根据本公开，可相当可观地减少以其他方式施加于通信终端（图1的参考标号1）上的分组处理的负载。

作为集中式控制的示例架构，存在一种称为开源（OpenFlow）的技术。参见非专利文献1和2。用OpenFlow，将通信理解为端到端流，并且在逐个流的基础上执行路径控制以及从故障恢复。在非专利文献2中的说明书中所述的OpenFlow交换机包括用于与作为控制设备的OpenFlow控制器通信的安全信道，并被设置成根据流表的操作，向该流表的添加或该流表的修正由OpenFlow控制器命令。在流表中，从一个流到另一流定义由叙述与分组报头的匹配条件的匹配字段（匹配规则）、流统计信息（计数器）且由已定义处理内容的指令组成的集合。参见图11。

在接收到分组时，OpenFlow交换机从流表检索包括与接收分组的报头信息匹配的匹配字段的条目。如果作为检索结果发现与接收分组匹配的条目，则OpenFlow交换机更新流统计信息（计数器），同时执行在接收分组的条目的指令字段中所述的处理内容，即在指定端口处发送分组或执行分组泛洪/丢弃。如果作为检索的结果未发现与接收分组匹配的条目，则OpenFlow交换机通过安全信道向OpenFlow控制器发送接收分组。OpenFlow控制器基于关于分组的传输源以及传输目的地的信息来确定用于分组的路线，并设置与OpenFlow交换机中的这样决定的路径相对应的流条目。以这种方式，OpenFlow交换机使用存储于流表中的条目作为用以转发分组的处理规则。

应注意的是，集中式控制的架构不限于上述OpenFlow。该架构是集中式控制类型的就足够了。

下面参考图1来描述系统配置的示例。应注意的是，图1中所示的配置仅仅是示例性的，并且本公开的系统配置不限于图1中所示的配置。

网络系统2包括由控制设备400在集中式控制下控制的转发节点200、210和220。应注意的是，还可在网络系统2中包括并非由控制设备400控制的节点。

控制设备400针对转发节点200、210和220中的至少一个设置规定分组处理方法的一组处理规则。因此设置针对用于转发节点的转发处理设置的处理规则的控制设备400执行例如由转发节点进行的分组转发处理操作的集中式管理。

通信终端1包括与上述第一装置（或单元）相对应且与由转发节点构成的网络系统2通信的通信功能，该转发节点由控制设备400通过集中式控制来控制。通信终端1与网络系统2通信的系统可以是任何系统，例如有线通信系统或无线通信系统。即，通信终端1可采取多种网络器械中的任何一个的形式，诸如服务器、个人计算机、移动终端、路由器或移动路由器。

确定单元10对应于上述第二装置（或单元），并且从以其他方式由通信终端1执行的处理操作之中决定促使通信终端1执行的处理操作。例如，确定单元10将丢弃从指定传输源发送到通信终端1的分组的处理操作确定为将由网络系统2执行的处理。

请求单元11对应于上述第三装置（或单元），并将与由确定单元10确定的处理操作有关的信息发送到控制设备400。请求单元11请求控制设备400告知转发节点关于处理规则的信息。例如，请求单元11向管理网络系统2的集中式控制的控制设备400发送区别要丢弃的分组的条件以及用以丢弃与区别条件匹配的分组的指令。

例如，接收到该请求的控制设备400向转发节点200、210和220中的至少一个告知关于从通信终端1的请求单元11通知的区别条件以及关于规定丢弃与区别条件匹配的分组的处理规则。

确定单元10还基于由通信终端1发送或接收的分组的通信量（volume）来决定控制业务的处理，例如在通信量超过预先设定的阈值的情况下丢弃分组的处理，作为将由网络系统2执行的处理。在这种情况下，请求单元11向控制设备400发送与由确定单元10确定的处理操作有关的信息，并请求控制设备400向转发节点告知关于处理规则。与由确定单元10确定的处理操作有关的信息的示例包括以下各项：用于区别通信终端的信息，诸如终端地址、关于通信量（量）的条件，诸如阈值，或者关于业务控制方法，诸如分组丢弃。此信息被发送到控制设备400。

接收到该请求的控制设备400基于该请求生成以下处理规则。首先，控制设备400向转发节点200、210和220中的至少一个告知关于匹配规则，所述匹配规则指定用于区别由通信终端1发送和接收的分组的条件；以及关于规定要监视与匹配规则匹配的分组的通信量的处理规则。其次，控制设备400向转发节点200、210和220中的至少一个告知关于提供与被监视通信量一致的处理的处理规则。根据上述处理规则，在处理量已超过预先设定的阈值的情况下，其中已设置了这些处理规则的转发节点200、210和220中的至少一个执行丢弃分组或将分组通信路线变成较窄带宽路线的处理。

由确定单元10决定的上述处理操作仅仅是说明性的，使得可由确定单元10来决定任何其他适当的处理操作。

确定单元10可基于预先设定的策略来决定上述操作，诸如通信终端1的负载或通信量、使用通信终端1的时区或正在讨论中的分组是否与预先设定的条件匹配。例如，确定单元10根据通信终端1上的负载将丢弃从指定传输源发送到通信终端1的分组的处理决定为将由网络系统2执行的处理。

请求控制设备40将处理规则告知转发节点的请求被请求单元11发送到控制设备400。此请求可例如使用控制分组被发送到网络系统2，该控制分组包括与由确定单元10确定的处理操作有关的信息。在这种情况下，接收到控制分组的转发节点200、210和220中的至少一个将接收到的控制分组转发到控制设备400。

替换地，通信终端1可基于在通信终端1中预先设定的控制设备400的地址向控制设备400发送控制分组。通信终端1还可当通信终端10连接到网络系统2时基于从网络系统2通知的控制设备400的地址来向控制设备400发送控制分组。

当接收到该控制分组时，控制设备400基于控制分组来生成在转发节点中设定的处理规则并告知转发节点200、210和220中的至少一个关于所确定的处理规则。另外，还可以使控制设备400设定关于将向该转发节点200、210、220中的至少一个通知的处理规则的有效期，使得处理规则将在已经历有效期之后变成无效的。

在本公开的通信终端1中，在然后作为代理进行操作的网络上执行将由通信终端1执行的分组处理。因此用本公开可以相当可观地减少以其他方式应在通信终端1中执行的分组处理的负载。

（第一示例性实施例）

现在将参考图2来描述第一示例性实施例。在第一示例性实施例中，通信终端1促使网络系统2根据来自访问源设备100的访问状态来执行访问控制处理。

图2示出了包括多个转发节点200、210和220及控制设备400的配置。转发节点执行将从访问源设备100发送的分组传送到通信终端1的处理，同时控制设备400在这些转发节点中设置处理规则。应注意的是图2的系统配置仅仅是说明性的，并且本公开的配置不限于图2中所示的配置。

转发节点200、210和220根据处理规则来处理接收分组，所述处理规则使用于匹配接收分组的匹配规则与将应用于与匹配规则匹配的分组的处理内容相关。

图3示出了示例处理规则。转发节点200、210和220参考具有存储在其中的处理规则的表格，以确定接收到的分组是否与在匹配规则中提供的条件匹配（例如，传输源地址是A且传输目的地地址是a的条件）。如果已发现与匹配规则匹配的处理规则，则转发节点200、210和220根据与匹配规则相对应的处理内容来处理分组。

转发节点200、210和220可以是用图11的流条目作为处理规则进行操作的非专利文献2的OpenFlow交换机。

在图2的示例中，通信终端1被附着于转发节点220，访问源设备100经由转发节点200、210和220与通信终端1进行通信。

通信终端是用于访问源设备100的访问目的地。通信终端1可以是例如许多通信设备中的任何一个，诸如网络服务器、数据库、移动通信终端、PC或在PC内部运行的VM（虚拟机）。

通信终端1的确定单元10使用通过对通信终端1的访问次数或分组量例示的日志信息来识别具有大量传输滞后的访问源设备100。确定单元10识别访问源信息以唯一地确定访问源设备100，诸如正在被识别的访问源设备100的IP地址、MAC地址或机器名。

请求单元11将所识别的访问源信息发送到控制设备400。可由在通信终端1中操作的软件实现功能或由连接到通信终端1的设备来实现确定单元10。

现在将使用图4和5来举例说明确定单元10的示例操作。图4示出了用于通信终端1的示例访问日志，并且图5示出了由确定单元10在确定促使网络系统2执行的处理操作时使用的示例决定准则。

图4示出了已按时间顺序记录了对于通信终端1的访问滞后的访问日志500。例如，访问日志500的行01上的‘99.99.99.99’是访问通信终端1的设备的IP地址。同一行01上的‘15/Jun/2011:10:40:31+0900’表示从IP地址（99.99.99.99）的设备访问通信终端1的时间。同一行01上的‘GET/index.html’指示被访问源设备访问的通信终端1内的HTML页面的URL。图4的访问日志500的说明格式仅仅是说明性的，并且可以是任何其他适当格式。例如，可连同访问源的IP地址一起说明MAC地址、机器名等。

图5示出了由确定单元10在使用图4的访问日志500来确定将由网络系统2执行的处理操作时使用的示例决定准则。图5的决定准则表600是其中存在由确定单元10在确定其访问将被拒绝的访问源时所使用的预先登记值的表。例如，决定准则表600的行1示出条件：‘访问源任意；访问目的地是“/index.html”；访问次数是5；无时间间隔’。确定单元1参考图4的访问日志500以查看是否存在在此条件下击中的任何访问源设备。应注意的是，决定准则表600中的“-”指示将不设定指定的条件值，即正在讨论中的条目将不会被用作条件。还应注意的是，通信终端1的用户可重新添加、修正或删除决定准则表600的条目值。

图4的访问日志500指示反复地进行从具有IP地址‘99.99.99.99’的访问源设备到“/index.html”的访问。在这种情况下，确定单元10连续地检查来自行01的访问日志500直至其确定在访问日志500的行06处已满足图5的决定准则表的行1的条件。为了拒绝访问源对通信终端1的访问，确定单元10将其IP地址‘99.99.99.99’发送到控制设备400。

确定单元10可以不使用上述决定准则表600，在这种情况下，诸如服务管理程序之类的用户可监视访问日志以识别信息，诸如将向控制设备400发送这样识别的信息的访问源的IP地址。

在通信终端1是例如网络服务器的计算机的情况下，可不使用访问日志500，并且作为其替代，可使用IPTables（Linux的软件，注册商标）的信息、用以实现分组过滤的软件项目。在通信终端1是防火墙的情况下，可使用防火墙所拥有的访问日志信息。还可使用将帮助指定访问员的任何其他适当信息。

在从通信终端1的请求单元11接收到大意是拒绝访问的诸如IP地址之类的信息时，控制设备400形成一组处理规则以拒绝接收到的IP地址的访问源与通信终端1之间的分组转发。控制设备400在转发节点200、210和220中的至少一个中设定这样形成的处理规则。

该组处理规则是在选自转发节点200、210和220中的至少一个中设定的。例如，控制设备400可在最接近于通信终端1的转发节点（图2中的转发节点220）中设定处理规则。另外，控制设备400可在最接近于访问源设备100的转发节点（图2中的转发节点210）中设定处理规则。

控制设备400可向处理规则给予有效期且然后将其发送到转发节点。该处理规则在经历有效期之后变成无效的。控制设备400可命令转发节点在经历预定时间之后删除曾设定的处理规则。当如在转发节点中设定的处理规则变得无效或被删除时，取消施加于访问源设备100的对通信终端1的访问限制。

图6示出了第一示例性实施例的控制设备400的示例配置。参考图6，控制设备400包括用以在其与转发节点200、210和220之间建立通信的节点通信单元401。控制设备400还包括控制消息处理单元402、处理规则管理单元403、处理规则存储单元404、转发节点管理单元405、路径和动作计算单元406、拓扑管理单元407和终端位置管理单元408。

控制消息处理单元402分析从转发节点接收到的控制消息，并将关于该控制消息的信息转发至控制设备400内的处理装置中的相关的一个。

处理规则管理单元403管理已在哪个（些）转发节点中设定了哪个处理规则。处理规则管理单元403将由路径和动作计算单元406生成的处理规则登记在处理规则存储单元404中，并将它们设定在转发节点中。处理规则管理单元403还更新登记在处理规则存储单元404中的信息以例如通过从转发节点删除处理规则的通知来应对其中如在转发节点中设定的处理规则已被修改的情况。

转发节点管理单元405管理由控制设备400控制的转发节点的能力，诸如端口的数目或种类或要支持的动作的种类。

在从转发节点接收到对于设定处理规则的请求时，路径和动作计算单元406基于包含在处理规则设置请求中的分组信息来形成用于感兴趣分组的转发路径以及与该转发路径相对应的一组处理规则。

路径和动作计算单元406基于由终端位置管理单元408管理的通信终端的位置信息且基于由拓扑管理单元407构造的网络拓扑信息来计算分组转发路径。路径和动作计算单元406从转发节点管理单元405获取例如转发路径上的转发节点的端口信息。路径和动作计算单元406然后确定将由转发路径上的转发节点执行以实现所计算的转发路径的处理内容以及用于指定将应用该处理内容的流的匹配规则。

拓扑管理单元407基于如经由节点通信单元401收集的转发节点200、210和220之间的连接关系来构造网络拓扑信息。

终端位置管理单元408管理用于指定被附着于通信系统的通信终端1或访问源设备100的位置的信息。将基于这样的假设来进行本示例性实施例的解释，即，使用IP地址作为识别通信终端1或访问源设备100的信息，并且使用转发节点、通信终端1或被附着到通信终端1访问源设备100的标识符或者关于其端口的信息作为识别通信终端1或访问源设备100的位置的信息。应注意的是，用于识别通信终端1或访问源设备100的信息或者用于指定通信终端1或访问源设备的位置的信息不限于上述信息。

图6中所示的控制设备400的功能可由记录在作为非临时介质的计算机可读记录介质上的计算机程序来实现。

现在将参考示出了第一示例性实施例的示例操作的图7和8来描述本示例性实施例的操作。

首先，参考图7，将描述其中从访问源设备100发送的分组到达通信终端1的操作。

当访问源设备100向通信终端1发送分组时（图7的S001），分组到达转发节点（图2中的转发节点210）。

转发节点决定从访问源设备100接收到的分组的转发目的地（图7的S002）并将该分组转发到这样决定的转发目的地（图7的S003）。在确定分组的转发目的地时，转发节点从已从控制设备400通知的处理规则之中检索与接收分组相对应的处理规则。如果在检索时已发现与接收分组相对应的处理规则，则转发节点根据这样发现的处理规则来转发接收分组。在图2的情况下，转发节点210将从访问源设备100接收到的分组转发到转发节点220，该转发节点220将从转发节点210接收到的分组转发到通信终端1。前述是访问源设备100与通信终端1之间的分组转发操作。

现在将参考图8解释其中通信终端1识别其访问应被拒绝的访问源设备且其中通信终端1请求控制设备400在转发节点中设定与控制来自这样识别的访问源设备的访问的处理相对应的处理规则的操作。

参考图8，访问源设备100向转发节点发送分组（图8的步骤S101）。转发节点确定接收分组的转发目的地（图8的S102）。

从访问源设备100发送的分组被转发节点转发到通信终端1，如在图7的S001至S003中（图8的S103）。

通信终端1使用图4中所示的访问日志500和图5中所示的决定准则表600来确定应当拒绝来自其的访问的访问源设备100（图8的S104）。如果存在应当拒绝来自其的访问的访问源设备100，则通信终端1从访问日志500提取访问源设备100的IP地址，并且将这样提取的IP地址作为是访问源信息而发送到控制设备400（图8的S105）。

控制设备400从通信终端1接收访问源信息，并生成处理规则以丢弃从与接收到的访问源信息相对应的访问源设备100发送到通信终端1的分组（图8的S106）。

控制设备400将如上所述地生成的处理规则发送到至少一个转发节点，在本文中为图2的转发节点220（图8的S107）。控制设备400可在转发节点200或210中设定处理规则。管理从访问源设备100到通信终端1的路径上的多个转发节点的控制设备400可在任何转发节点中设定处理规则。

转发节点220从控制设备400接收处理规则以将这样接收的处理规则存储在处理规则存储单元的处理规则表中（图8的S108）。

当访问源设备100再次向通信终端1发送分组时（图8的S109），转发节点根据由控制设备400设定的处理规则来丢弃（放弃）从访问源设备100发送的分组（图8的S110）。

应注意的是，如在转发节点中设定的处理规则可包含诸如服务器管理程序之类的用户已通过参考通信终端1的访问日志而设定的所需规则。

如果例如通信终端1是防火墙，并且在防火墙中频繁地发生被拒绝的按分组访问，则可在转发节点中设定用以丢弃包括发送这样被拒绝的分组的访问源的IP地址的分组的处理规则。然后可减少防火墙上的处理负载。

此外，在通信终端1是以例如RADIUS为代表的认证服务器的情况下，可在转发节点中形成并设定用于放弃其认证在认证服务器中始终失败的访问的处理规则。然后可减少认证服务器上的处理负载。

在通信终端1是网络服务器的情况下，可提供此类决定准则，其运行：“允许高达1000视图/秒的网页浏览，并且在超过此限制时，网页浏览被拒绝以减少网络服务器上的负载”或“允许高达10视图/秒的网页浏览，并且在超过此限制时，网页浏览被拒绝以减少网络服务器上的负载”。然后可依照决定准则来进行深入设置，并且依照该深入设置，可在控制设备400中准备处理规则并在转发节点中设定，从而减少以其他方式施加于通信终端1上的处理负载。

（第二示例性实施例）

现在将解释其中通信终端被修改的第二示例性实施例。在第二示例性实施例中，通信终端1促使网络系统2响应于通信量而执行预先设定的处理。

图9示出了第二示例性实施例的示例系统配置。参考图9，示出了包括通信终端1a的配置，通信终端1a对应于由通信量测量单元12添加的通信终端1。图9的系统配置仅仅是说明性的，并且本公开的系统配置不限于图9中所示的配置。

通信量测量单元12监视通信终端1a与网络系统2之间的通信量。例如，通信量测量单元12可监视由通信终端1a发送/接收的分组的数目。通信量测量单元12还可监视由通信终端1a发送/接收的数据量。应注意的是，用于通信量测量单元12监视通信量的方法不限于这些说明性方法。

确定单元10基于如由通信量测量单元12监视的通信量来确定将由网络系统2执行的处理。

在通信量已超过预先设定的阈值的情况下，确定单元10将用于将向通信终端1a传输分组的通信路线变成窄带通信路径的处理决定为是将由网络系统2执行的处理。

请求单元11告知转发节点关于由确定单元10决定的处理规则。例如，请求单元11告知控制设备400关于通信终端1a和通信带宽的标识符（例如，IP地址）的信息。

控制设备400基于来自请求单元11的通知来确定将在转发节点200、210和220中的至少一个中设定的处理规则。例如，控制设备400生成处理规则，使得将在如请求单元11所指示的通信带宽的通信路线上转发其传输目的地或传输源是通信终端1a的分组，即，在其传输源或目的地中已设定通信终端1a的标识符的分组。控制设备400将这样生成的处理规则发送到与该通信路径相对应的转发节点。

控制设备400可向处理规则给予有效期以将它们发射到转发节点。该处理规则在经历有效期之后变成无效的。控制设备400还可指令转发节点在经历预先设定的时间之后删除曾设定的处理规则。在转发节点上设定的处理规则变得无效或被删除之后，由通信终端1a发送或接收的分组的转发路径的带宽从窄带宽恢复成正常的带宽。

在通信量已超过预先设定的阈值的情况下，确定单元10还将用于丢弃由通信终端1a发送或接收的分组的处理决定为将由网络系统2执行的处理。例如，请求单元11告知控制设备400关于通信终端1a的标识符（例如IP地址）以及关于丢弃由通信终端1a发送或接收的分组的处理内容。

控制设备400在转发节点200、210和220中的至少一个中设定一组处理规则，该组处理规则规定丢弃其传输目的地或传输源是通信终端1a的分组（其中通信终端1a的IP地址已被设定为其传输的目的地或源的分组）。在接收到其传输目的地或传输源是通信终端1a的分组时，转发节点根据已设定的处理规则来丢弃接收分组。

再次地在这种情况下，控制设备400可向处理规则给予有效期以然后将该规则发射到转发节点。该处理规则在经历有效期之后变成无效的。控制设备400还可指令转发节点在经历预先设定的时间之后删除曾设定的处理规则。在转发节点上设定的处理规则变得无效或被删除之后，其传输目的地或传输源是通信终端1的分组未被丢弃而是被转发。

另外，确定单元10可决定将由网络系统2执行的处理，因为时区以及通信量被考虑在内。例如，在通信量超过预先设定的阈值且时区是特定时区的情况下，确定单元10可促使网络系统2执行用于丢弃其传输目的地或传输源是通信终端1a的分组的处理或用于使其传输目的地或传输源是通信终端1a的分组后退至窄带传输路线的处理。

用第二示例性实施例，根据使用通信量作为用于计费的基础的测量服务计费合同而利用通信终端1a的用户可依照通信量来容易地管理计费。例如，用户已设定通信终端1a中的通信量的阈值，则通信终端1a可相对于通信终端1a的业务促使网络系统2基于这样设定的阈值来执行丢弃分组的处理。由于该处理由充当用于通信终端1a的代理的网络系统2执行，所以可减少以其他方式在丢弃分组时施加于通信终端1a上的负载。

另一方面，如果用户根据合同来使用通信终端1a，该合同基本上是测量服务计费系统（符合通信量的计费系统）的，但其在所使用路线是窄带路线的情况下向定额计划系统进行传输，则他/她可依照通信量来容易地管理计费。例如，如果用户设定了通信终端1a中的通信量的阈值，则通信终端1a可促使网络系统2基于这样设定的阈值来执行用于使在通信终端1a的业务中涉及到的分组后退至窄带通信路线的处理。由于该处理由充当代理的网络系统2执行，所以可减少以其他方式在使分组后退至窄带通信路线时施加于通信终端1a上的负载。

（第三示例性实施例）

将解释其中通信终端被修改的第三示例性实施例。在第三示例性实施例中，通信终端1促使网络系统2执行分组过滤的处理。

图10示出了第三示例性实施例的示例系统配置。参考图10，示出了包括与由策略生成单元13添加的示例性实施例1的通信终端1相对应的通信终端1b的配置。图10的系统配置仅仅是说明性的，使得本公开的系统配置不限于图10中所示的配置。

策略生成单元13生成用于分组过滤的策略。例如，策略生成单元13与用于分组识别的多种条件相结合地生成诸如通信的‘允许’或‘拒绝’之类的过滤策略，所述多种条件诸如传输源IP地址、传输目的地IP地址、端口号或协议种类，诸如TPC。例如，策略生成单元13生成用以‘允许’其传输源IP地址是“10.20.30.40”的分组的通信的策略或用以‘拒绝’其端口号是‘1024’且其传输源IP地址是“11.21.31.41”的分组的通信的策略。

确定单元10从由策略生成单元13生成的策略之中决定用于网络系统2执行分组过滤的策略。应注意的是，确定单元10还可基于由策略生成单元13生成的所有策略来决定将由网络系统2来执行分组过滤。

请求单元11告知控制设备400关于由确定单元10确定的策略。控制设备400基于来自请求单元11的接收策略而生成将在转发节点上设定的处理规则。例如，控制设备400生成一组处理规则以阻挡、例如丢弃其端口号是“1024”且其传输源IP地址是“11.21.31.41”的分组。控制设备400告知任意转发节点关于生成的处理规则。例如，控制设备400在通信终端1b所附着到的转发节点中设定处理规则。例如，控制设备400还可以分布式方式在多个转发节点中设定与多个策略相对应的处理规则。

在这种情况下，控制设备400可在转发节点中仅设定与如从请求单元11通知的策略之中的‘拒绝’分组的策略相对应的处理规则。

转发节点根据这样设定的处理规则来执行分组过滤的处理。

在第三示例性实施例的通信终端1b中，可由充当代理的网络系统2来执行其应当执行的分组过滤处理。通信终端1b因此可根据策略而免于在分组过滤处理中涉及到的负载。

虽然已进行了优选示例性实施例的描述，但此类示例性实施例仅仅是以举例说明的方式给出的且并不意图限制本发明的范围。也就是说，在不脱离本发明的基本技术概念的情况下可进行进一步的修改、替换或调整。例如，可将上述示例性实施例组合在一起。

上述专利文献和非专利文献的公开被通过引用结合到本文中。在本发明的总体公开的范围内（包括权利要求）且基于本发明的基本技术概念，可以有示例性实施例的修改和调整。在本发明的权利要求的范围内可以有各种公开元素的各种组合和选择（包括每个权利要求的每个元素、每个示例性实施例的每个元素、每个图的每个元素等）。也就是说，本发明当然包括能够由本领域的技术人员根据包括权利要求和技术概念的总体公开进行的各种变更和修改。特别地，应将本文公开的任何数值范围解释成即使在没有其特定叙述的情况下也具体地公开落在公开范围内的任何中间值或子范围。

此外，在本公开中可以有以下优选模式。

（模式1）

如在以上第一方面中提到的通信终端。

（模式2）

所述通信终端，其中

所述第二装置可基于预先设定的策略来确定将由网络系统执行的处理操作。

（模式3）

所述通信终端，其中

所述第二装置可基于通信终端上的负载来确定将由网络系统执行的处理操作。

（模式4）

所述通信终端，其中

所述第二装置可基于对于通信终端访问量来确定将由网络系统执行的处理操作。

（模式5）

所述通信终端，其中

所述第二装置可基于通信终端中的通信量来确定将由网络系统执行的处理操作。

（模式6）

所述通信终端，其中

所述第二装置可将用以限制对于通信终端的访问的处理操作确定为将由网络系统执行的处理操作。

（模式7）

所述通信终端，其中

所述第二装置可将用以控制关于通信终端的分组的通信路径的带宽的处理操作确定为将由网络系统执行的处理操作。

（模式8）

所述通信终端，其中

所述第二装置可将用以过滤与通信终端有关的分组的处理操作确定为将由网络系统执行的处理操作。

（模式9）

所述通信终端，其中

所述第三装置可请求控制设备使用包括与所确定的分组处理操作有关的信息的控制分组来将处理规则告知转发设备。

（模式10）

如在以上第二方面中提到的通信方法。

（模式11）

所述通信方法，其中

所述确定可被执行为基于预先设定的策略来确定将由网络系统执行的处理操作。

（模式12）

所述通信方法，其中

所述确定可被执行为基于通信终端上的负载来确定将由网络系统执行的处理操作。

（模式13）

所述通信方法，其中

所述确定可被执行为基于对于通信终端的访问量来确定将由网络系统执行的处理操作。

（模式14）

所述通信方法，其中，

所述确定可被执行为基于通信终端中的通信量来确定将由网络系统执行的处理操作。

（模式15）

所述通信方法，其中

所述确定可被执行为将用以限制对于通信终端的访问的处理操作确定为将由网络系统执行的处理操作。

（模式16）

所述通信方法，其中

所述确定可被执行为将用以限制关于通信终端的分组的通信路径的带宽的处理操作确定为将由网络系统执行的处理操作。

（模式17）

所述通信方法，其中

所述确定可被执行为将用以过滤与通信终端有关的分组的处理操作确定为将由网络系统执行的处理操作。

（模式18）

所述通信方法，其中

所述请求可被执行为请求控制设备使用包括与所确定的分组处理操作有关的信息的控制分组来将处理规则告知转发设备。

（模式19）

如在以上第三方面中提到的通信系统。

（模式20）

如在以上第四方面中提到的控制设备。

附图标记列表

1、1a、1b  通信终端

2  网络系统

10  确定单元

11  请求单元

12  通信量测量单元

13  策略生成单元

100  访问源设备

200、210、220  转发节点

400  控制设备

401  节点通信单元

402  控制消息处理单元

403  处理规则管理单元

404  处理规则存储单元

405  转发节点管理单元

406  路径和动作计算单元

407  拓扑管理单元

408  终端位置管理单元

500  访问日志

600  决定准则表

Claims (20)

1.一种通信终端，包括：

第一装置，所述第一装置与包括转发设备和控制设备的网络系统进行通信，所述转发设备转发分组，所述控制设备向所述转发设备告知规定分组处理方法的处理规则；

第二装置，所述第二装置从将由所述通信终端执行的分组处理操作当中确定将由所述网络系统执行的处理操作；以及

第三装置，所述第三装置请求所述控制设备向所述转发设备告知与所确定的分组处理操作相对应的处理规则。

2.根据权利要求1所述的通信终端，其中，

所述第二装置基于预先设定的策略来确定将由所述网络系统执行的处理操作。

3.根据权利要求1或2所述的通信终端，其中，

所述第二装置基于所述通信终端上的负载来确定将由所述网络系统执行的处理操作。

4.根据权利要求1至3中的任何一项所述的通信终端，其中，

所述第二装置基于对于所述通信终端的访问量来确定将由所述网络系统执行的处理操作。

5.根据权利要求1至4中的任何一项所述的通信终端，其中，

所述第二装置基于所述通信终端中的通信量来确定将由所述网络系统执行的处理操作。

6.根据权利要求1至5中的任何一项所述的通信终端，其中，

所述第二装置将用于限制对于所述通信终端的访问的处理操作确定为将由所述网络系统执行的处理操作。

7.根据权利要求1至6中的任何一项所述的通信终端，其中，

所述第二装置将用于控制关于所述通信终端的分组的通信路径的带宽的处理操作确定为将由所述网络系统执行的处理操作。

8.根据权利要求1至7中的任何一项所述的通信终端，其中，

所述第二装置将用于过滤与所述通信终端有关的分组的处理操作确定为将由所述网络系统执行的处理操作。

9.根据权利要求1至8中的任何一项所述的通信终端，其中，

所述第三装置请求所述控制设备使用包括与所确定的分组处理操作有关的信息的控制分组来向所述转发设备告知处理规则。

10.一种由通信终端进行的通信方法，所述通信终端与包括转发设备和控制设备的网络系统进行通信，所述转发设备转发分组，所述控制设备向所述转发设备告知规定分组处理方法的处理规则；

所述方法包括：

从将由所述通信终端执行的分组处理操作当中确定将由所述网络系统执行的处理操作；以及

请求所述控制设备向所述转发设备告知与所确定的分组处理操作相对应的处理规则。

11.根据权利要求10所述的通信方法，其中，

所述确定被执行为基于预先设定的策略来确定将由所述网络系统执行的处理操作。

12.根据权利要求10或11所述的通信方法，其中，

所述确定被执行为基于所述通信终端上的负载来确定将由所述网络系统执行的处理操作。

13.根据权利要求10至12中的任何一项所述的通信方法，其中，

所述确定被执行为基于对于所述通信终端的访问量来确定将由所述网络系统执行的处理操作。

14.根据权利要求10至13中的任何一项所述的通信方法，其中，

所述确定被执行为基于所述通信终端中的通信量来确定将由所述网络系统执行的处理操作。

15.根据权利要求10至14中的任何一项所述的通信方法，其中，

所述确定被执行为将用于限制对于所述通信终端的访问的处理操作确定为将由所述网络系统执行的处理操作。

16.根据权利要求10至14中的任何一项所述的通信方法，其中，

所述确定被执行为将用于限制关于所述通信终端的分组的通信路径的带宽的处理操作确定为将由所述网络系统执行的处理操作。

17.根据权利要求10或11所述的通信方法，其中，

所述确定被执行为将用于过滤与所述通信终端有关的分组的处理操作确定为将由所述网络系统执行的处理操作。

18.根据权利要求10至17中的任何一项所述的通信方法，其中，

所述请求被执行为请求所述控制设备使用包括与所确定的分组处理操作有关的信息的控制分组来向所述转发设备告知处理规则。

19.一种通信系统，包括：

转发设备，所述转发设备转发分组；

控制设备，所述控制设备向所述转发设备告知规定分组处理方法的处理规则；以及

通信终端，其中

所述通信终端包括：

从将由所述通信终端执行的分组处理操作当中确定将由所述网络系统执行的处理操作的装置；以及

请求所述控制设备向所述转发设备告知与所确定的分组处理操作相对应的处理规则的装置。

20.一种控制设备，所述控制设备向转发设备告知规定分组处理方法的处理规则，包括：

从与包括所述转发设备和所述控制设备的网络进行通信的通信终端接收与所述通信终端使得所述网络系统执行的处理操作有关的信息的装置；

向所述转发设备告知与所述处理操作相对应的处理规则的装置。

Images