JP2003198607A - パケット転送装置及びポリシーテーブルの検索方法 - Google Patents
パケット転送装置及びポリシーテーブルの検索方法Info
- Publication number
- JP2003198607A JP2003198607A JP2001391555A JP2001391555A JP2003198607A JP 2003198607 A JP2003198607 A JP 2003198607A JP 2001391555 A JP2001391555 A JP 2001391555A JP 2001391555 A JP2001391555 A JP 2001391555A JP 2003198607 A JP2003198607 A JP 2003198607A
- Authority
- JP
- Japan
- Prior art keywords
- policy
- packet
- input
- search
- policies
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
(57)【要約】
【課題】 インタフェースメモリー上に展開されたポリ
シーテーブルを、複数のポリシーにヒットできるテーブ
ル構成とし、２つ以上のポリシーにヒットするパケット
に対してそれらの各ポリシーを実行する。 【解決手段】 ポリシーテーブル１は、最も優先順位の
高いポリシーから順位の低いポリシーまでが順番にメモ
リー上に展開されている。各ポリシーは、メモリー上
で、ポリシー番号を格納する領域１１、パケットから抽
出された識別子と比較される識別子を格納する領域１
２、パケットから抽出された識別子と識別子領域の識別
子とが一致した場合にそれぞれ実行されるアクションを
格納する領域１３、比較によりヒットした場合に、次に
比較試行されるポリシー番号を示す次ポリシー番号を格
納する領域１４から構成されている。ポリシーヒット
後、設定された次ポリシー番号が示すポリシーより検索
を再開する。
シーテーブルを、複数のポリシーにヒットできるテーブ
ル構成とし、２つ以上のポリシーにヒットするパケット
に対してそれらの各ポリシーを実行する。 【解決手段】 ポリシーテーブル１は、最も優先順位の
高いポリシーから順位の低いポリシーまでが順番にメモ
リー上に展開されている。各ポリシーは、メモリー上
で、ポリシー番号を格納する領域１１、パケットから抽
出された識別子と比較される識別子を格納する領域１
２、パケットから抽出された識別子と識別子領域の識別
子とが一致した場合にそれぞれ実行されるアクションを
格納する領域１３、比較によりヒットした場合に、次に
比較試行されるポリシー番号を示す次ポリシー番号を格
納する領域１４から構成されている。ポリシーヒット
後、設定された次ポリシー番号が示すポリシーより検索
を再開する。
Description
【０００１】
【発明の属する技術分野】本発明は、パケット転送装置
及びポリシーテーブル検索方法に係り、特に、ＩＰパケ
ットに代表されるパケットの通信ネットワークに適用さ
れるネットワーク間接続装置であるパケット転送装置及
びパケット転送装置がパケット識別の際に使用するポリ
シーテーブルの検索方法に関する。
及びポリシーテーブル検索方法に係り、特に、ＩＰパケ
ットに代表されるパケットの通信ネットワークに適用さ
れるネットワーク間接続装置であるパケット転送装置及
びパケット転送装置がパケット識別の際に使用するポリ
シーテーブルの検索方法に関する。
【０００２】
【従来の技術】近年爆発的な発展を遂げているインター
ネットは、基本的に、ＩＰをベースとした多数のネット
ワークをネットワーク間接続装置であるパケット転送装
置（以下、ルータという）で接続したものである。ルー
タは、ネットワーク間のパケットの授受を制御する機能
を担っており、その基本機能は、受け取ったパケットの
宛先を抽出及び認識し、宛先あるい宛先に近いネットワ
ークにそのパケットを転送するというものである。
ネットは、基本的に、ＩＰをベースとした多数のネット
ワークをネットワーク間接続装置であるパケット転送装
置（以下、ルータという）で接続したものである。ルー
タは、ネットワーク間のパケットの授受を制御する機能
を担っており、その基本機能は、受け取ったパケットの
宛先を抽出及び認識し、宛先あるい宛先に近いネットワ
ークにそのパケットを転送するというものである。
【０００３】そして、インターネットが発展し、そこに
様々な人間がアクセスし様々なサービスが展開されるよ
うになると、ネットワーク上を流れるパケットをきめ細
かく識別してそのパケットの加工を含む様々な処理を行
いたいというニーズが現れてきている。例えば、いわゆ
るファイアーウォールにおいて、セキュリティ上の要求
からインターネットに直接アクセスすることができる内
部ネットワーク上のホストを制限するため、パケットの
発信元を認識して通過の可否を決定する、あるいは、イ
ンターネット上での情報提供サービスにおいて、パケッ
ト量に応じて課金を行うためにパケットの宛先を識別し
て課金カウンターを増加させる等のニーズである。
様々な人間がアクセスし様々なサービスが展開されるよ
うになると、ネットワーク上を流れるパケットをきめ細
かく識別してそのパケットの加工を含む様々な処理を行
いたいというニーズが現れてきている。例えば、いわゆ
るファイアーウォールにおいて、セキュリティ上の要求
からインターネットに直接アクセスすることができる内
部ネットワーク上のホストを制限するため、パケットの
発信元を認識して通過の可否を決定する、あるいは、イ
ンターネット上での情報提供サービスにおいて、パケッ
ト量に応じて課金を行うためにパケットの宛先を識別し
て課金カウンターを増加させる等のニーズである。
【０００４】前述したような機能は、独立した製品やサ
ービスを提供するサーバそのものに実装されることもあ
るが、もともと類似した機能を持ちネットワーク上で前
述のようなサービスを行うために適した場所に配置され
ることの多いルータにそのような機能の実装が行われる
場合が多い。このような機能が実装されたルータとし
て、例えば、Cisco 社製のルータが知られている。この
Cisco 社製のルータに搭載されている制御ソフトウエア
のＩＯＳは、前述したようなセキュリティ上のニーズに
答えるために柔軟なパケット転送条件の設定を提供する
アクセスリストという機能を有している。
ービスを提供するサーバそのものに実装されることもあ
るが、もともと類似した機能を持ちネットワーク上で前
述のようなサービスを行うために適した場所に配置され
ることの多いルータにそのような機能の実装が行われる
場合が多い。このような機能が実装されたルータとし
て、例えば、Cisco 社製のルータが知られている。この
Cisco 社製のルータに搭載されている制御ソフトウエア
のＩＯＳは、前述したようなセキュリティ上のニーズに
答えるために柔軟なパケット転送条件の設定を提供する
アクセスリストという機能を有している。
【０００５】前述したルータに関する技術は、Cisco IO
S Security Configuration Guide,Release 12.1に開示
されており、この文献によれば、認識すべきパケットの
特徴（プロトコル、宛先ネットワーク、宛先ホスト、送
信元ネットワーク、送信元ホスト、ポート番号）と、ヒ
ットした場合の処理（そのパケットを通過させるか否
か）の２つを指定する項目を優先順位の順に並べたアク
セスリストと呼ばれる表を作成し、この表をルータが持
つインターフェースのいづれかに適応させることにより
前述した機能を実現するというものである。そして、こ
の従来技術は、アクセスリストが適用されたインターフ
ェースをパケットが通過しようとすると、ルータがその
パケットから認識すべき特徴を抽出し、適用されたアク
セスリストの最も優先順位の高い項目から低い項目へと
探索を進め、通過パケットの特徴と指定した特徴とが一
致した最初の項目の処理が行われ、次に通過しようとす
るパケットに対して同じことを繰り返し、一致した項目
よりも優先順位の低い項目を無視するというものであ
る。
S Security Configuration Guide,Release 12.1に開示
されており、この文献によれば、認識すべきパケットの
特徴（プロトコル、宛先ネットワーク、宛先ホスト、送
信元ネットワーク、送信元ホスト、ポート番号）と、ヒ
ットした場合の処理（そのパケットを通過させるか否
か）の２つを指定する項目を優先順位の順に並べたアク
セスリストと呼ばれる表を作成し、この表をルータが持
つインターフェースのいづれかに適応させることにより
前述した機能を実現するというものである。そして、こ
の従来技術は、アクセスリストが適用されたインターフ
ェースをパケットが通過しようとすると、ルータがその
パケットから認識すべき特徴を抽出し、適用されたアク
セスリストの最も優先順位の高い項目から低い項目へと
探索を進め、通過パケットの特徴と指定した特徴とが一
致した最初の項目の処理が行われ、次に通過しようとす
るパケットに対して同じことを繰り返し、一致した項目
よりも優先順位の低い項目を無視するというものであ
る。
【０００６】前述したような優先順位を利用したパケッ
ト識別機能の実装は、Cisco ＩＯＳのアクセスリストの
みならず、いわゆるファイアーウォールの機能を提供す
る様々な機器及びソフトウエアにおいて採用されてい
る。また、これらで提供される処理は、主にパケットの
入出力を制御するいわゆるアクセス制御であることが多
いが、項目に一致した場合の処理にさまざまなものを指
定することができるようにすることにより、課金処理等
の広い用途に応用することが可能であると考えられる。
ト識別機能の実装は、Cisco ＩＯＳのアクセスリストの
みならず、いわゆるファイアーウォールの機能を提供す
る様々な機器及びソフトウエアにおいて採用されてい
る。また、これらで提供される処理は、主にパケットの
入出力を制御するいわゆるアクセス制御であることが多
いが、項目に一致した場合の処理にさまざまなものを指
定することができるようにすることにより、課金処理等
の広い用途に応用することが可能であると考えられる。
【０００７】以下に説明する本出願の明細書において、
説明の都合のため、識別されるパケットの特徴を識別
子、識別子が一致した場合に行われる処理をアクショ
ン、両者と優先順位とを組み合わせた項目をポリシーと
呼び、ポリシーが優先順位に従って並んだ表をポリシー
テーブルと呼ぶことにする。また、パケットから抽出し
た識別子とポリシーの識別子とが一致することをヒット
するということとする。
説明の都合のため、識別されるパケットの特徴を識別
子、識別子が一致した場合に行われる処理をアクショ
ン、両者と優先順位とを組み合わせた項目をポリシーと
呼び、ポリシーが優先順位に従って並んだ表をポリシー
テーブルと呼ぶことにする。また、パケットから抽出し
た識別子とポリシーの識別子とが一致することをヒット
するということとする。
【０００８】
【発明が解決しようとする課題】前述した従来技術は、
前述したような構造のポリシーテーブルがルータのイン
タフェースメモリ上にそのまま展開された場合、複数の
ポリシーに対して処理を行う必要のあるパケットを処理
する際に次のような問題を生じる。
前述したような構造のポリシーテーブルがルータのイン
タフェースメモリ上にそのまま展開された場合、複数の
ポリシーに対して処理を行う必要のあるパケットを処理
する際に次のような問題を生じる。
【０００９】すなわち、前述の従来技術は、例えば、
（１）全ＵＤＰをＱｏＳ＝３へマッピング、（２）宛先
アドレス＝１０．１０．１０．１であり、かつ、送信元
アドレス＝２０．２０．２０．１のパケットを計数す
る、という２つのポリシーにヒットするパケットが到着
した場合、ポリシーテーブル内のどちらか優先度の高い
順番にエントリされたポリシーにヒットすると、もう一
方の優先度の低い順番にエントリされたポリシーが無視
されてしまって実行することができないという問題点を
有している。
（１）全ＵＤＰをＱｏＳ＝３へマッピング、（２）宛先
アドレス＝１０．１０．１０．１であり、かつ、送信元
アドレス＝２０．２０．２０．１のパケットを計数す
る、という２つのポリシーにヒットするパケットが到着
した場合、ポリシーテーブル内のどちらか優先度の高い
順番にエントリされたポリシーにヒットすると、もう一
方の優先度の低い順番にエントリされたポリシーが無視
されてしまって実行することができないという問題点を
有している。
【００１０】本発明の目的は、前述した従来技術の問題
点を解決し、インタフェースメモリー上に展開されたポ
リシーテーブルを、複数のポリシーにヒットできる構成
のテーブル構成としたパケット転送装置及びそのポリシ
ーテーブル検索方法を提供することにある。
点を解決し、インタフェースメモリー上に展開されたポ
リシーテーブルを、複数のポリシーにヒットできる構成
のテーブル構成としたパケット転送装置及びそのポリシ
ーテーブル検索方法を提供することにある。
【００１１】
【課題を解決するための手段】本発明によれば前記目的
は、１または複数の入出力回線に接続され各入力から入
力されたパケットを識別し該当する出力回線に出力する
パケット転送装置において、各パケットを識別するため
のポリシーテーブルを備え、該ポリシーテーブルを、１
または複数のポリシーを格納して構成し、各ポリシー
を、優先順位と、パケットを識別するための識別子と、
識別されたパケットに対して行う処理動作と、次に検索
対象となるポリシーを示す次ポリシー番号とにより構成
することにより、また、ポリシーテーブルを、複数のポ
リシー群に分類された複数のポリシーを格納して構成
し、各ポリシーを、優先順位と、パケットを識別するた
めの識別子と、識別されたパケットに対して行う処理動
作と、処理を実行した後次に検索を再開すべきポリシー
群の内の１つのポリシーを示す次ポリシー番号とにより
構成することにより達成される。
は、１または複数の入出力回線に接続され各入力から入
力されたパケットを識別し該当する出力回線に出力する
パケット転送装置において、各パケットを識別するため
のポリシーテーブルを備え、該ポリシーテーブルを、１
または複数のポリシーを格納して構成し、各ポリシー
を、優先順位と、パケットを識別するための識別子と、
識別されたパケットに対して行う処理動作と、次に検索
対象となるポリシーを示す次ポリシー番号とにより構成
することにより、また、ポリシーテーブルを、複数のポ
リシー群に分類された複数のポリシーを格納して構成
し、各ポリシーを、優先順位と、パケットを識別するた
めの識別子と、識別されたパケットに対して行う処理動
作と、処理を実行した後次に検索を再開すべきポリシー
群の内の１つのポリシーを示す次ポリシー番号とにより
構成することにより達成される。
【００１２】また、前記目的は、前記ポリシーテーブル
の検索方法において、優先順位の高いポリシーから検索
を実施し、ポリシーがヒットしなかった場合、次の優先
順位のポリシーより検索を再開し、ポリシーがヒットし
て処理を実行した後、各ポリシー毎に設定されている次
ポリシー番号の示すポリシーより検索を再開することに
より、あるいは、次のポリシー群の先頭のポリシーから
検索を再開することにより達成される。
の検索方法において、優先順位の高いポリシーから検索
を実施し、ポリシーがヒットしなかった場合、次の優先
順位のポリシーより検索を再開し、ポリシーがヒットし
て処理を実行した後、各ポリシー毎に設定されている次
ポリシー番号の示すポリシーより検索を再開することに
より、あるいは、次のポリシー群の先頭のポリシーから
検索を再開することにより達成される。
【００１３】
【発明の実施の形態】以下、本発明によるパケット転送
装置及びそのポリシーテーブル検索方法の一実施形態を
図面により説明する。
装置及びそのポリシーテーブル検索方法の一実施形態を
図面により説明する。
【００１４】図５は本発明の一実施形態によるパケット
転送装置の構成例を示すブロック図、図６はパケット処
理部の構成を示すブロック図、図７はパケットのヘッダ
の構成を説明する図であり、まず、図５〜図７を参照し
て本発明によるポリシーテーブルを適用するパケット転
送装置の一例について説明する。図５、図６において、
１００はパケット転送装置、１０２−１〜１０２−Ｘは
回線インタフェース部、１０３はスイッチ部、１０４は
制御部、１０１−１−１〜１０１−１−Ｍ1 、……、１
０１−Ｘ−１〜１０１−Ｘ−ＭX は入出力回線、１１１
−１〜１１１−Ｘは物理終端部、１１２、１１２−１〜
１１２−Ｘはパケット処理部、１１３−１〜１１３−Ｘ
は入出力制御部、１２１Ａ、１２１Ｂはヘッダ抽出部、
１２２Ａ、１２２Ｂはポリシー検索部、１２３Ａ、１２
３Ｂはルーティング処理部、１２４Ａ、１２４Ｂはパケ
ット処理実行部、１４１Ａ、１４１Ｂはポリシーテーブ
ルメモリ、１４２Ａ、１４２Ｂはルーティングテーブル
メモリ、１４３Ａ、１４３ＢはＦＩＦＯメモリ、１４４
Ａ、１４４Ｂは管理テーブルである。
転送装置の構成例を示すブロック図、図６はパケット処
理部の構成を示すブロック図、図７はパケットのヘッダ
の構成を説明する図であり、まず、図５〜図７を参照し
て本発明によるポリシーテーブルを適用するパケット転
送装置の一例について説明する。図５、図６において、
１００はパケット転送装置、１０２−１〜１０２−Ｘは
回線インタフェース部、１０３はスイッチ部、１０４は
制御部、１０１−１−１〜１０１−１−Ｍ1 、……、１
０１−Ｘ−１〜１０１−Ｘ−ＭX は入出力回線、１１１
−１〜１１１−Ｘは物理終端部、１１２、１１２−１〜
１１２−Ｘはパケット処理部、１１３−１〜１１３−Ｘ
は入出力制御部、１２１Ａ、１２１Ｂはヘッダ抽出部、
１２２Ａ、１２２Ｂはポリシー検索部、１２３Ａ、１２
３Ｂはルーティング処理部、１２４Ａ、１２４Ｂはパケ
ット処理実行部、１４１Ａ、１４１Ｂはポリシーテーブ
ルメモリ、１４２Ａ、１４２Ｂはルーティングテーブル
メモリ、１４３Ａ、１４３ＢはＦＩＦＯメモリ、１４４
Ａ、１４４Ｂは管理テーブルである。
【００１５】本発明の実施形態によるパケット転送装置
１００は、図５に示すように、複数本の入出力回線１０
１−１−１〜１０１−１−Ｍ1 、……、１０１−Ｘ−１
〜１０１−Ｘ−ＭX に接続され、１または複数の入出力
回線を収容するＸ個の回線インタフェース部１０２−１
〜１０２−Ｘと、各回線インタフェース部１０２−１〜
１０２−Ｘから入力されるパケットをそれぞれ該当する
回線インタフェース部１０２−１〜１０２−Ｘへ転送す
るスイッチ部１０３と、各パケットに関するルーティン
グプロトコル処理やルーティング情報の管理、装置全体
の制御を行う制御部１０４とから構成される。そして、
各回線インタフェース部１０２−１〜１０２−Ｘは、入
力回線１０１−１−１〜１０１−１−Ｍ1 、……、１０
１−Ｘ−１〜１０１−Ｘ−ＭX から入力される信号を終
端しパケットを抽出する物理終端部１１１−１〜１１１
−Ｘと、各パケットを識別しパケット計数や廃棄処理等
を行うパケット処理部１１２−１〜１１２−Ｘと、スイ
ッチ部１０３との間でパケットの入出力を制御する入出
力制御部１１３−１〜１１３−Ｘとから構成されてい
る。また、図５には示していない本発明によるポリシー
テーブルは、制御部１０４より各回線インタフェース部
１０２−１〜１０２−Ｘ）に与えられるポリシー情報を
基にメモリ上に展開され、パケット処理部１１２−１〜
１１２−Ｘで使用される。
１００は、図５に示すように、複数本の入出力回線１０
１−１−１〜１０１−１−Ｍ1 、……、１０１−Ｘ−１
〜１０１−Ｘ−ＭX に接続され、１または複数の入出力
回線を収容するＸ個の回線インタフェース部１０２−１
〜１０２−Ｘと、各回線インタフェース部１０２−１〜
１０２−Ｘから入力されるパケットをそれぞれ該当する
回線インタフェース部１０２−１〜１０２−Ｘへ転送す
るスイッチ部１０３と、各パケットに関するルーティン
グプロトコル処理やルーティング情報の管理、装置全体
の制御を行う制御部１０４とから構成される。そして、
各回線インタフェース部１０２−１〜１０２−Ｘは、入
力回線１０１−１−１〜１０１−１−Ｍ1 、……、１０
１−Ｘ−１〜１０１−Ｘ−ＭX から入力される信号を終
端しパケットを抽出する物理終端部１１１−１〜１１１
−Ｘと、各パケットを識別しパケット計数や廃棄処理等
を行うパケット処理部１１２−１〜１１２−Ｘと、スイ
ッチ部１０３との間でパケットの入出力を制御する入出
力制御部１１３−１〜１１３−Ｘとから構成されてい
る。また、図５には示していない本発明によるポリシー
テーブルは、制御部１０４より各回線インタフェース部
１０２−１〜１０２−Ｘ）に与えられるポリシー情報を
基にメモリ上に展開され、パケット処理部１１２−１〜
１１２−Ｘで使用される。
【００１６】パケット処理部１１２は、図６に示すよう
に、ライン１３１Ａ及び１３１Ｂを介して物理終端部１
１１−１〜１１１−Ｘと、ライン１３２Ａ及び１３２Ｂ
を介して入出力制御部１１３−１〜１１３−Ｘと、ライ
ン１３５を介して制御部１０４とそれぞれ接続されてい
る。
に、ライン１３１Ａ及び１３１Ｂを介して物理終端部１
１１−１〜１１１−Ｘと、ライン１３２Ａ及び１３２Ｂ
を介して入出力制御部１１３−１〜１１３−Ｘと、ライ
ン１３５を介して制御部１０４とそれぞれ接続されてい
る。
【００１７】そして、パケット処理部１１２は、ライン
１３１Ａあるいは１３２Ｂを介して入力されたパケット
からヘッダを抽出するヘッダ抽出部１２１Ａ及び１２１
Ｂ、複数のポリシーを含むポリシーテーブル１４１Ａ及
び１４１Ｂ、ヘッダ抽出部１２１Ａ及び１２１Ｂより抽
出されたヘッダ情報に基づいてポリシーテーブル１４１
Ａ及び１４１Ｂを検索し、検索結果（廃棄指示、統計情
報カウント、ＱｏＳマッピング等）をパケット処理実行
部１２４Ａ及び１２４Ｂに通知するポリシー検索部１２
２Ａ及び１２２Ｂ、各パケットに対応する出力回線ある
いはアドレスを指示するルーティングテーブル１４２Ａ
及び１４２Ｂ、ヘッダ抽出部１２１Ａ及び１２１Ｂより
抽出されたヘッダ情報に基づいてルーティングテーブル
１４２Ａ及び１４２Ｂを検索し、検索結果（出力回線番
号等）をパケット処理実行部１２４Ａ及び１２４Ｂに通
知するルーティング処理部１２３Ａ及び１２３Ｂ、パケ
ットを一時的に格納するＦＩＦＯメモリ１４３Ａ及び１
４３Ｂ、パケット通過数や廃棄パケット数等を格納する
管理テーブル１４４Ａ及び１４４Ｂ、ポリシー検索部１
２２Ａあるいは１２２Ｂからの検索結果に基づいてパケ
ットの廃棄やパケット数カウント等を行い、ＦＩＦＯメ
モリ１４３Ａあるいは１４３Ｂよりパケットを読み出
し、ルーティング処理部１２３Ａあるいは１２３Ｂから
の検索結果に基づいて出力回線番号あるいはアドレスを
ヘッダに挿入してライン１３２Ａあるいは１３２Ｂへパ
ケットを出力するパケット処理実行部１２４Ａ及び１２
４Ｂを含んで構成されている。
１３１Ａあるいは１３２Ｂを介して入力されたパケット
からヘッダを抽出するヘッダ抽出部１２１Ａ及び１２１
Ｂ、複数のポリシーを含むポリシーテーブル１４１Ａ及
び１４１Ｂ、ヘッダ抽出部１２１Ａ及び１２１Ｂより抽
出されたヘッダ情報に基づいてポリシーテーブル１４１
Ａ及び１４１Ｂを検索し、検索結果（廃棄指示、統計情
報カウント、ＱｏＳマッピング等）をパケット処理実行
部１２４Ａ及び１２４Ｂに通知するポリシー検索部１２
２Ａ及び１２２Ｂ、各パケットに対応する出力回線ある
いはアドレスを指示するルーティングテーブル１４２Ａ
及び１４２Ｂ、ヘッダ抽出部１２１Ａ及び１２１Ｂより
抽出されたヘッダ情報に基づいてルーティングテーブル
１４２Ａ及び１４２Ｂを検索し、検索結果（出力回線番
号等）をパケット処理実行部１２４Ａ及び１２４Ｂに通
知するルーティング処理部１２３Ａ及び１２３Ｂ、パケ
ットを一時的に格納するＦＩＦＯメモリ１４３Ａ及び１
４３Ｂ、パケット通過数や廃棄パケット数等を格納する
管理テーブル１４４Ａ及び１４４Ｂ、ポリシー検索部１
２２Ａあるいは１２２Ｂからの検索結果に基づいてパケ
ットの廃棄やパケット数カウント等を行い、ＦＩＦＯメ
モリ１４３Ａあるいは１４３Ｂよりパケットを読み出
し、ルーティング処理部１２３Ａあるいは１２３Ｂから
の検索結果に基づいて出力回線番号あるいはアドレスを
ヘッダに挿入してライン１３２Ａあるいは１３２Ｂへパ
ケットを出力するパケット処理実行部１２４Ａ及び１２
４Ｂを含んで構成されている。
【００１８】ポリシーテーブル１４１Ａ、１４１Ｂ及び
ルーティングテーブル１４２Ａ、１４２Ｂに格納されて
いるエントリは、制御部１０４よりライン１３５を介し
て設定され、管理テーブル１４４Ａ、１４４Ｂの情報
は、例えば定期的に制御部１０４よりライン１３５を介
して読み出される。
ルーティングテーブル１４２Ａ、１４２Ｂに格納されて
いるエントリは、制御部１０４よりライン１３５を介し
て設定され、管理テーブル１４４Ａ、１４４Ｂの情報
は、例えば定期的に制御部１０４よりライン１３５を介
して読み出される。
【００１９】前述したような構成を備えるパケット処理
部１１２において、物理処理部１１１からライン１３１
Ａを介して送られてきたパケットは、ＦＩＦＯメモリ１
４３Ａに一時的に格納され、ヘッダ抽出部１２１Ａによ
りヘッダが抽出される。パケット処理部１１２に送られ
てくるパケットは、図７にパケット５０として示すよう
に、付加ヘッダ５１、ＭＡＣヘッダ５２、ＩＰヘッダ５
３の３種類のヘッダを持ち、このヘッダに続くＩＰデー
タ５４を持って構成される。ＩＰデータ５４の後にフレ
ームチェックシーケンス（ＦＣＳ）が付与される場合も
ある。
部１１２において、物理処理部１１１からライン１３１
Ａを介して送られてきたパケットは、ＦＩＦＯメモリ１
４３Ａに一時的に格納され、ヘッダ抽出部１２１Ａによ
りヘッダが抽出される。パケット処理部１１２に送られ
てくるパケットは、図７にパケット５０として示すよう
に、付加ヘッダ５１、ＭＡＣヘッダ５２、ＩＰヘッダ５
３の３種類のヘッダを持ち、このヘッダに続くＩＰデー
タ５４を持って構成される。ＩＰデータ５４の後にフレ
ームチェックシーケンス（ＦＣＳ）が付与される場合も
ある。
【００２０】付加ヘッダ５１は、出力回線番号５１−
１、ＱｏＳクラス５１−２、入力回線番号５１−３を含
み、ＭＡＣヘッダ５２は、宛先ＭＡＣアドレス５２−
１、送信元ＭＡＣアドレス５２−２、プロトコルタイプ
５２−３、そしてＶＬＡＮ（Virtual ＬＡＮ）サポート
時にはＶＬＡＮＩＤ５２−４及びプライオリティビット
５２−５を含み、ＩＰヘッダ５３は、サービスタイプ
（ＴＯＳ）５３−１、全長５３−２、プロトコル番号５
３−３、送信元ＩＰアドレス５３−４、宛先ＩＰアドレ
ス５３−５等を含んで構成されている。前述において、
付加ヘッダ５１内の入力回線番号５１−１は、物理終端
部１１１により挿入される。
１、ＱｏＳクラス５１−２、入力回線番号５１−３を含
み、ＭＡＣヘッダ５２は、宛先ＭＡＣアドレス５２−
１、送信元ＭＡＣアドレス５２−２、プロトコルタイプ
５２−３、そしてＶＬＡＮ（Virtual ＬＡＮ）サポート
時にはＶＬＡＮＩＤ５２−４及びプライオリティビット
５２−５を含み、ＩＰヘッダ５３は、サービスタイプ
（ＴＯＳ）５３−１、全長５３−２、プロトコル番号５
３−３、送信元ＩＰアドレス５３−４、宛先ＩＰアドレ
ス５３−５等を含んで構成されている。前述において、
付加ヘッダ５１内の入力回線番号５１−１は、物理終端
部１１１により挿入される。
【００２１】ルーティング処理部１２３Ａ、ポリシー検
索部１２２Ａのそれぞれは、ヘッダ抽出部１２１Ａによ
り抽出されたヘッダ５１、５２、５３のうち全てあるい
は一部の情報を識別子ｄp として、ルーティングテーブ
ル１４２Ａ、ポリシーテーブル１４１Ａを検索して、そ
れぞれの検索結果をパケット処理実行部１２４Ａに通知
する。パケット処理実行部１２４Ａは、ポリシー検索部
１２２Ａの検索結果によりパケットの廃棄指示が出た場
合、ＦＩＦＯメモリ１４３Ａに一時的に格納していたパ
ケットを廃棄し、廃棄パケット数をカウントアップして
管理テーブル１４４Ａに格納する。また、パケット処理
実行部１２４Ａは、パケットの廃棄指示が出ていなかっ
た場合、ＦＩＦＯメモリ１４３Ａよりそのパケットを読
み出しながら、ルーティング処理部１２３Ａから通知さ
れる出力回線番号を付加ヘッダ５１内の出力回線番号５
１−１の領域に付与し、ポリシー検索部１２２Ａより通
知されたＱｏＳマッピング方法に従ってＱｏＳクラス５
１−２の領域に値をマッピングして、ライン１３２Ａへ
パケットを送り出す。前述で付与された出力回線番号５
１−１及びＱｏＳクラス５１−２は、入出力制御部１１
３においてパケットの出力制御に使用される。また、パ
ケット処理実行部１２４Ａは、ポリシー検索部１２２Ａ
から通知された計数処理方法に従ってパケット数をカウ
ントアップして管理テーブル１４４Ａに格納する。
索部１２２Ａのそれぞれは、ヘッダ抽出部１２１Ａによ
り抽出されたヘッダ５１、５２、５３のうち全てあるい
は一部の情報を識別子ｄp として、ルーティングテーブ
ル１４２Ａ、ポリシーテーブル１４１Ａを検索して、そ
れぞれの検索結果をパケット処理実行部１２４Ａに通知
する。パケット処理実行部１２４Ａは、ポリシー検索部
１２２Ａの検索結果によりパケットの廃棄指示が出た場
合、ＦＩＦＯメモリ１４３Ａに一時的に格納していたパ
ケットを廃棄し、廃棄パケット数をカウントアップして
管理テーブル１４４Ａに格納する。また、パケット処理
実行部１２４Ａは、パケットの廃棄指示が出ていなかっ
た場合、ＦＩＦＯメモリ１４３Ａよりそのパケットを読
み出しながら、ルーティング処理部１２３Ａから通知さ
れる出力回線番号を付加ヘッダ５１内の出力回線番号５
１−１の領域に付与し、ポリシー検索部１２２Ａより通
知されたＱｏＳマッピング方法に従ってＱｏＳクラス５
１−２の領域に値をマッピングして、ライン１３２Ａへ
パケットを送り出す。前述で付与された出力回線番号５
１−１及びＱｏＳクラス５１−２は、入出力制御部１１
３においてパケットの出力制御に使用される。また、パ
ケット処理実行部１２４Ａは、ポリシー検索部１２２Ａ
から通知された計数処理方法に従ってパケット数をカウ
ントアップして管理テーブル１４４Ａに格納する。
【００２２】入出力制御部１１３よりスイッチ１０３に
出力され、入出力制御部１１３に到着したパケットは、
ライン１３２Ｂを介してパケット処理部１１２に入力さ
れると、一時的にＦＩＦＯメモリ１４３Ｂに格納され、
ヘッダ抽出部１２１Ｂによりヘッダが抽出される。
出力され、入出力制御部１１３に到着したパケットは、
ライン１３２Ｂを介してパケット処理部１１２に入力さ
れると、一時的にＦＩＦＯメモリ１４３Ｂに格納され、
ヘッダ抽出部１２１Ｂによりヘッダが抽出される。
【００２３】ルーティング処理部１２３Ｂ、ポリシー検
索部１２２Ｂのそれぞれは、ヘッダ抽出部１２１Ｂによ
り抽出されたヘッダ５１、５２、５３のうち全てあるい
は一部の情報を識別子ｄp′ として、ルーティングテー
ブル１４２Ｂ、ポリシーテーブル１４１Ｂを検索して、
それぞれの検索結果をパケット処理実行部１２４Ｂに通
知する。パケット処理実行部１２４Ｂは、ポリシー検索
部１２２Ｂの検索結果によりパケットの廃棄指示が出た
場合、ＦＩＦＯメモリ１４３Ｂに一時的に格納していた
パケットを廃棄し、廃棄パケット数をカウントアップし
て管理テーブル１４４Ｂに格納する。また、パケット処
理実行部１２４Ｂは、パケットの廃棄指示が出ていなか
った場合、ＦＩＦＯメモリ１４３Ｂよりそのパケットを
読み出しながら、ルーティング処理部１２３Ｂから通知
される宛先ＭＡＣアドレス及び送信元ＭＡＣアドレスを
ＭＡＣヘッダ５２内の宛先ＭＡＣアドレス５２−１の領
域及び送信元ＭＡＣアドレス５２−２の領域に付与し、
ライン１３１Ｂへパケットを送り出す。入力回線番号５
１−３は、物理処理部１１１においてパケットを各回線
に振り分ける際に使用される。また、パケット処理実行
部１２４Ｂは、ポリシー検索部１２２Ｂから通知された
計数処理方法に従ってパケット数をカウントアップして
管理テーブル１４４Ｂに格納する。
索部１２２Ｂのそれぞれは、ヘッダ抽出部１２１Ｂによ
り抽出されたヘッダ５１、５２、５３のうち全てあるい
は一部の情報を識別子ｄp′ として、ルーティングテー
ブル１４２Ｂ、ポリシーテーブル１４１Ｂを検索して、
それぞれの検索結果をパケット処理実行部１２４Ｂに通
知する。パケット処理実行部１２４Ｂは、ポリシー検索
部１２２Ｂの検索結果によりパケットの廃棄指示が出た
場合、ＦＩＦＯメモリ１４３Ｂに一時的に格納していた
パケットを廃棄し、廃棄パケット数をカウントアップし
て管理テーブル１４４Ｂに格納する。また、パケット処
理実行部１２４Ｂは、パケットの廃棄指示が出ていなか
った場合、ＦＩＦＯメモリ１４３Ｂよりそのパケットを
読み出しながら、ルーティング処理部１２３Ｂから通知
される宛先ＭＡＣアドレス及び送信元ＭＡＣアドレスを
ＭＡＣヘッダ５２内の宛先ＭＡＣアドレス５２−１の領
域及び送信元ＭＡＣアドレス５２−２の領域に付与し、
ライン１３１Ｂへパケットを送り出す。入力回線番号５
１−３は、物理処理部１１１においてパケットを各回線
に振り分ける際に使用される。また、パケット処理実行
部１２４Ｂは、ポリシー検索部１２２Ｂから通知された
計数処理方法に従ってパケット数をカウントアップして
管理テーブル１４４Ｂに格納する。
【００２４】図１は本発明の実施形態により使用される
ポリシーテーブルの構成を示す図であり、次に、これに
ついて説明する。
ポリシーテーブルの構成を示す図であり、次に、これに
ついて説明する。
【００２５】図１に示すポリシーテーブル１は、図６に
おけるポリシーテーブル１４１Ａ及び１４１Ｂに適用さ
れるもので、ｎ個のポリシーを含んでポリシーテーブル
１の転送部メモリー上に格納される。そして、ポリシー
テーブル１は、最も優先順位の高いポリシー〔ポリシー
番号＝ＰＮＯ（１）〕から最も優先順位の低いポリシー
〔ポリシー番号＝ＰＮＯ（ｎ）〕までが順番にメモリー
上に展開されている。ポリシー番号＝ＰＮＯ（１）〜Ｐ
ＮＯ（ｎ）の各ポリシーは、メモリー上で、ポリシー番
号ＰＮＯ（１）〜ＰＮＯ（ｎ）を格納するポリシー番号
１１の領域、パケットから抽出された識別子ｄp と比較
される識別子Ｄ（１）〜Ｄ（ｎ）を格納する識別子１２
の領域、識別子ｄp と識別子Ｄ（１）〜Ｄ（ｎ）とが一
致した場合にそれぞれ実行されるアクションＡ（１）〜
Ａ（ｎ）を格納するアクション１３の領域、比較により
ヒットした場合に、次に比較試行されるポリシー番号を
示す次ポリシー番号ＮＰＮＯ（１）〜ＮＰＮＯ（ｎ）を
格納する次ポリシー番号１４の領域から構成されてい
る。ポリシー番号ＰＮＯ（１）〜ＰＮＯ（ｎ）は、ポリ
シーテーブル１のメモリアドレスを直接示す場合、また
は、メモリアドレスの一部分を示す場合もある。
おけるポリシーテーブル１４１Ａ及び１４１Ｂに適用さ
れるもので、ｎ個のポリシーを含んでポリシーテーブル
１の転送部メモリー上に格納される。そして、ポリシー
テーブル１は、最も優先順位の高いポリシー〔ポリシー
番号＝ＰＮＯ（１）〕から最も優先順位の低いポリシー
〔ポリシー番号＝ＰＮＯ（ｎ）〕までが順番にメモリー
上に展開されている。ポリシー番号＝ＰＮＯ（１）〜Ｐ
ＮＯ（ｎ）の各ポリシーは、メモリー上で、ポリシー番
号ＰＮＯ（１）〜ＰＮＯ（ｎ）を格納するポリシー番号
１１の領域、パケットから抽出された識別子ｄp と比較
される識別子Ｄ（１）〜Ｄ（ｎ）を格納する識別子１２
の領域、識別子ｄp と識別子Ｄ（１）〜Ｄ（ｎ）とが一
致した場合にそれぞれ実行されるアクションＡ（１）〜
Ａ（ｎ）を格納するアクション１３の領域、比較により
ヒットした場合に、次に比較試行されるポリシー番号を
示す次ポリシー番号ＮＰＮＯ（１）〜ＮＰＮＯ（ｎ）を
格納する次ポリシー番号１４の領域から構成されてい
る。ポリシー番号ＰＮＯ（１）〜ＰＮＯ（ｎ）は、ポリ
シーテーブル１のメモリアドレスを直接示す場合、また
は、メモリアドレスの一部分を示す場合もある。
【００２６】図２は１つのパケットに対して実際にポリ
シーテーブル１が検索試行される場合の動作を説明する
図であり、次に、図２を参照して、ポリシーテーブル１
を検索していく動作を説明する。
シーテーブル１が検索試行される場合の動作を説明する
図であり、次に、図２を参照して、ポリシーテーブル１
を検索していく動作を説明する。
【００２７】ポリシーテーブル１の検索が開始される
と、ポリシー検索部は、まず、ポリシー番号＝ＰＮＯ
（１）のポリシーについて、パケットから抽出された識
別子ｄpと識別子１１の領域に含まれる識別子Ｄ（１）
とを比較し、一致していればアクション１３の領域に格
納されているアクションＡ（１）を読み出してそれが指
示する処理をパケット処理実行部に行わせ、処理終了
後、次ポリシー番号１４の領域に格納されている次ポリ
シー番号ＮＰＮＯ（１）を読み出し、その番号の示すポ
リシーより検索の試行を再開する。一方、識別子が一致
しなかった場合、ポリシー検索部は、次ポリシー番号１
４の領域に格納されている次ポリシー番号を無視し、ポ
リシーテーブルの次にエントリされているポリシー番号
＝ＰＮＯ（２）のポリシーより検索の試行を再開する。
と、ポリシー検索部は、まず、ポリシー番号＝ＰＮＯ
（１）のポリシーについて、パケットから抽出された識
別子ｄpと識別子１１の領域に含まれる識別子Ｄ（１）
とを比較し、一致していればアクション１３の領域に格
納されているアクションＡ（１）を読み出してそれが指
示する処理をパケット処理実行部に行わせ、処理終了
後、次ポリシー番号１４の領域に格納されている次ポリ
シー番号ＮＰＮＯ（１）を読み出し、その番号の示すポ
リシーより検索の試行を再開する。一方、識別子が一致
しなかった場合、ポリシー検索部は、次ポリシー番号１
４の領域に格納されている次ポリシー番号を無視し、ポ
リシーテーブルの次にエントリされているポリシー番号
＝ＰＮＯ（２）のポリシーより検索の試行を再開する。
【００２８】ポリシー検索部は、前述した動作をポリシ
ー番号＝ＰＮＯ（ｎ）まで行う。多くの場合、一番優先
順位の低いポリシー番号＝ＰＮＯ（ｎ）のポリシーに含
まれる識別子Ｄ（ｎ）は、全てのパケットに一致するよ
うに指定されており、また、次ポリシー番号ＮＰＮＯ
（ｎ）には存在しないポリシー番号が設定されている。
また、その他のポリシー〔ＰＮＯ（１）〜ＰＮＯ（ｎ−
１）〕に含まれる次ポリシー番号〔ＮＰＮＯ（１）〜Ｐ
ＮＯ（ｎ−１）〕についても、存在しないポリシー番号
が設定されている場合があるが、それらのポリシーにヒ
ットした場合、アクションを実行後、検索の試行を終了
することとなる。
ー番号＝ＰＮＯ（ｎ）まで行う。多くの場合、一番優先
順位の低いポリシー番号＝ＰＮＯ（ｎ）のポリシーに含
まれる識別子Ｄ（ｎ）は、全てのパケットに一致するよ
うに指定されており、また、次ポリシー番号ＮＰＮＯ
（ｎ）には存在しないポリシー番号が設定されている。
また、その他のポリシー〔ＰＮＯ（１）〜ＰＮＯ（ｎ−
１）〕に含まれる次ポリシー番号〔ＮＰＮＯ（１）〜Ｐ
ＮＯ（ｎ−１）〕についても、存在しないポリシー番号
が設定されている場合があるが、それらのポリシーにヒ
ットした場合、アクションを実行後、検索の試行を終了
することとなる。
【００２９】図２に示す例において、パケットから抽出
された識別子ｄp が、ＵＤＰ、送信元アドレス（ＳＡ）
＝１、宛先アドレス（ＤＡ）＝２を含むものとする。こ
の場合、前述した処理続けて、ポリシー番号＝ＰＮＯ
（ａ）のポリシーについて、識別子１２の領域に含まれ
る識別子Ｄ（ａ）（＝ＵＤＰ）が識別子ｄp と一致した
ので、アクション１３の領域に格納されているアクショ
ンＡ（ａ）（＝ＱｏＳを３にマッピング）が実行され
る。そして、次ポリシー番号ＮＰＮＯ（ａ）（＝ＰＮＯ
（ｂ）を読み出し、その番号〔ポリシー番号＝ＰＮＯ
（ｂ）〕のポリシーに対する試行が再開される。そし
て、さらに進んで、ポリシー番号＝ＰＮＯ（ｃ）のポリ
シーについて、識別子Ｄｃ〔＝送信元アドレス（ＳＡ）
＝１〕が識別子ｄ p と一致したのでアクションＡ（ｃ）
（＝計数）が実行される。そして、次ポリシー番号ＮＰ
ＮＯ（ｃ）（＝ＰＮＯ（ｄ））が読み出され、その番号
〔ポリシー番号＝ＰＮＯ（ｄ）〕のポリシーに対する試
行を再開される。
された識別子ｄp が、ＵＤＰ、送信元アドレス（ＳＡ）
＝１、宛先アドレス（ＤＡ）＝２を含むものとする。こ
の場合、前述した処理続けて、ポリシー番号＝ＰＮＯ
（ａ）のポリシーについて、識別子１２の領域に含まれ
る識別子Ｄ（ａ）（＝ＵＤＰ）が識別子ｄp と一致した
ので、アクション１３の領域に格納されているアクショ
ンＡ（ａ）（＝ＱｏＳを３にマッピング）が実行され
る。そして、次ポリシー番号ＮＰＮＯ（ａ）（＝ＰＮＯ
（ｂ）を読み出し、その番号〔ポリシー番号＝ＰＮＯ
（ｂ）〕のポリシーに対する試行が再開される。そし
て、さらに進んで、ポリシー番号＝ＰＮＯ（ｃ）のポリ
シーについて、識別子Ｄｃ〔＝送信元アドレス（ＳＡ）
＝１〕が識別子ｄ p と一致したのでアクションＡ（ｃ）
（＝計数）が実行される。そして、次ポリシー番号ＮＰ
ＮＯ（ｃ）（＝ＰＮＯ（ｄ））が読み出され、その番号
〔ポリシー番号＝ＰＮＯ（ｄ）〕のポリシーに対する試
行を再開される。
【００３０】前述したような動作を続け、ポリシー番号
＝ＰＮＯ（ｎ）までの検索試行が終了すれば、次のパケ
ットに対する処理が開始される。本発明の実施形態は、
図１に説明したような構成を持つポリシーテーブルを検
索していくことにより、１つのパケットに対し、２つ以
上のポリシーを実行することが可能となる。
＝ＰＮＯ（ｎ）までの検索試行が終了すれば、次のパケ
ットに対する処理が開始される。本発明の実施形態は、
図１に説明したような構成を持つポリシーテーブルを検
索していくことにより、１つのパケットに対し、２つ以
上のポリシーを実行することが可能となる。
【００３１】なお、前述した図１、図２により説明した
例は、アクション実行後検索試行を再開するポリシー番
号を、次ポリシー番号１４の領域に格納される次ポリシ
ー番号により指定するとしているが、この領域を使わず
に（テーブルに次ポリシー番号１４の領域を設けず
に）、アクション実行後次にエントリされているポリシ
ーより検索の試行を再開するようにしてもよく、これに
よっても、２つ以上のポリシーを実行することが可能で
ある。但し、この場合、検索の試行は、必ずテーブルエ
ントリー数分（ｎ回）行われることとなる。
例は、アクション実行後検索試行を再開するポリシー番
号を、次ポリシー番号１４の領域に格納される次ポリシ
ー番号により指定するとしているが、この領域を使わず
に（テーブルに次ポリシー番号１４の領域を設けず
に）、アクション実行後次にエントリされているポリシ
ーより検索の試行を再開するようにしてもよく、これに
よっても、２つ以上のポリシーを実行することが可能で
ある。但し、この場合、検索の試行は、必ずテーブルエ
ントリー数分（ｎ回）行われることとなる。
【００３２】図３は本発明の実施形態により使用される
ポリシーテーブルの他の構成を示す図であり、次に、こ
れについて説明する。
ポリシーテーブルの他の構成を示す図であり、次に、こ
れについて説明する。
【００３３】図３に示すポリシーテーブル２は、複数の
ポリシーがｍ個のポリシー群（ＰＧＮＯ１〜ＰＧＮＯ
ｍ）に分類され、各ポリシー群が１つまたは優先度順に
展開される複数のポリシーにより構成される。各ポリシ
ーは、メモリ上で次の５つの部分からなる。すなわち、
各ポリシーは、分類されたポリシー群番号（ＰＧＮＯ１
〜ＰＧＮＯｍ）を格納するポリシー群番号２１の領域、
各ポリシー群に属するポリシーのポリシー番号〔ＰＮＯ
１（１）〜ＰＮＯ１（ｎ1 ）、…、ＰＮＯｍ（１）〜Ｐ
ＮＯｍ（ｎm ）〕を格納するポリシー番号２２の領域、
パケットから抽出された識別子ｄp と比較される識別子
Ｄ１（１）〜Ｄ１（ｎ1 ）、…、Ｄｍ（１）〜Ｄｍ（ｎ
m ）を格納する識別子２３の領域、識別子ｄp と識別子
Ｄ１（１）〜Ｄ１（ｎ1 ）、…、Ｄｍ（１）〜Ｄｍ（ｎ
m ）とが一致した場合にそれぞれ実行されるアクション
Ａ１（１）〜Ａ１（ｎ1 ）、…、Ａｍ（１）〜Ａｍ（ｎ
m ）を格納するアクション２４の領域、次に検索試行さ
れるポリシー番号を示す次ポリシー番号ＮＰＮＯ１
（１）〜ＮＰＮＯ１（ｎ1 ）、…、ＮＰＮＯｍ（１）〜
ＮＰＮＯｍ（ｎm ）を格納する次ポリシー番号２５の領
域から構成される。ポリシー群番号ＰＧＮＯ１〜ＰＧＮ
Ｏｍ及びポリシー番号ＰＮＯ１（１）〜ＰＮＯ１（ｎ
1 ）、…、ＰＮＯｍ（１）〜ＰＮＯｍ（ｎm ）は、この
ポリシーテーブル２のメモリアドレスを直接示す場合、
または、メモリアドレスの一部分を示す場合がある。
ポリシーがｍ個のポリシー群（ＰＧＮＯ１〜ＰＧＮＯ
ｍ）に分類され、各ポリシー群が１つまたは優先度順に
展開される複数のポリシーにより構成される。各ポリシ
ーは、メモリ上で次の５つの部分からなる。すなわち、
各ポリシーは、分類されたポリシー群番号（ＰＧＮＯ１
〜ＰＧＮＯｍ）を格納するポリシー群番号２１の領域、
各ポリシー群に属するポリシーのポリシー番号〔ＰＮＯ
１（１）〜ＰＮＯ１（ｎ1 ）、…、ＰＮＯｍ（１）〜Ｐ
ＮＯｍ（ｎm ）〕を格納するポリシー番号２２の領域、
パケットから抽出された識別子ｄp と比較される識別子
Ｄ１（１）〜Ｄ１（ｎ1 ）、…、Ｄｍ（１）〜Ｄｍ（ｎ
m ）を格納する識別子２３の領域、識別子ｄp と識別子
Ｄ１（１）〜Ｄ１（ｎ1 ）、…、Ｄｍ（１）〜Ｄｍ（ｎ
m ）とが一致した場合にそれぞれ実行されるアクション
Ａ１（１）〜Ａ１（ｎ1 ）、…、Ａｍ（１）〜Ａｍ（ｎ
m ）を格納するアクション２４の領域、次に検索試行さ
れるポリシー番号を示す次ポリシー番号ＮＰＮＯ１
（１）〜ＮＰＮＯ１（ｎ1 ）、…、ＮＰＮＯｍ（１）〜
ＮＰＮＯｍ（ｎm ）を格納する次ポリシー番号２５の領
域から構成される。ポリシー群番号ＰＧＮＯ１〜ＰＧＮ
Ｏｍ及びポリシー番号ＰＮＯ１（１）〜ＰＮＯ１（ｎ
1 ）、…、ＰＮＯｍ（１）〜ＰＮＯｍ（ｎm ）は、この
ポリシーテーブル２のメモリアドレスを直接示す場合、
または、メモリアドレスの一部分を示す場合がある。
【００３４】図４は１つのパケットに対して実際にポリ
シーテーブル２が検索試行される場合の動作を説明する
図であり、次に、図４を参照して、ポリシーテーブル２
を検索していく動作を説明する。図４に示すポリシーテ
ーブル２において、ポリシー群番号＝ＰＧＮＯ１には廃
棄に関するポリシーが、ポリシー群番号＝ＰＧＮＯ２に
はＱｏＳマッピングに関するポリシーが、ポリシー群番
号＝ＰＧＮＯｍには計数に関するポリシーが、それぞれ
分類されエントリされている。
シーテーブル２が検索試行される場合の動作を説明する
図であり、次に、図４を参照して、ポリシーテーブル２
を検索していく動作を説明する。図４に示すポリシーテ
ーブル２において、ポリシー群番号＝ＰＧＮＯ１には廃
棄に関するポリシーが、ポリシー群番号＝ＰＧＮＯ２に
はＱｏＳマッピングに関するポリシーが、ポリシー群番
号＝ＰＧＮＯｍには計数に関するポリシーが、それぞれ
分類されエントリされている。
【００３５】ポリシーテーブル２の検索が開始される
と、ポリシー検索部は、まず、ポリシー番号＝ＰＮＯ１
（１）のポリシーについて、パケットから抽出された識
別子ｄ p と識別子２３の領域に含まれる識別子Ｄ１
（１）とを比較し、一致していればアクション２４の領
域に格納されているアクションＡ１（１）を読み出して
それが指示する処理をパケット処理実行部に行わせ、処
理終了後、次ポリシー番号領域２５に格納されている次
ポリシー番号ＮＰＮＯ１（１）を読み出し、その番号の
示すポリシーより検索試行を再開する。次ポリシー番号
２５の領域に格納される次ポリシー番号は、同一群内の
ポリシー番号であっても、次のポリシー群内のポリシー
番号であってもよく、次のポリシー群内のポリシー番号
である場合のポリシー番号は、次のポリシー群の先頭の
ポリシー番号であってもよい。一方、識別子が一致しな
かった場合、ポリシー検索部は、次ポリシー番号２５の
領域に格納されている次ポリシー番号を無視し、ポリシ
ーテーブルの次にエントリされているポリシー番号＝Ｐ
ＮＯ１（２）のポリシーより検索の試行を再開する。
と、ポリシー検索部は、まず、ポリシー番号＝ＰＮＯ１
（１）のポリシーについて、パケットから抽出された識
別子ｄ p と識別子２３の領域に含まれる識別子Ｄ１
（１）とを比較し、一致していればアクション２４の領
域に格納されているアクションＡ１（１）を読み出して
それが指示する処理をパケット処理実行部に行わせ、処
理終了後、次ポリシー番号領域２５に格納されている次
ポリシー番号ＮＰＮＯ１（１）を読み出し、その番号の
示すポリシーより検索試行を再開する。次ポリシー番号
２５の領域に格納される次ポリシー番号は、同一群内の
ポリシー番号であっても、次のポリシー群内のポリシー
番号であってもよく、次のポリシー群内のポリシー番号
である場合のポリシー番号は、次のポリシー群の先頭の
ポリシー番号であってもよい。一方、識別子が一致しな
かった場合、ポリシー検索部は、次ポリシー番号２５の
領域に格納されている次ポリシー番号を無視し、ポリシ
ーテーブルの次にエントリされているポリシー番号＝Ｐ
ＮＯ１（２）のポリシーより検索の試行を再開する。
【００３６】ポリシー検索部は、前述の動作をポリシー
番号＝ＰＮＯｍ（ｎm ）まで行う。一番優先順位の低い
ポリシー番号＝ＰＮＯｍ（ｎm ）のポリシーに含まれる
次ポリシー番号ＮＰＮＯｍ（ｎm ）には存在しないポリ
シー番号が格納されている。また、その他のポリシー
〔ＰＮＯ１（１）〜ＰＮＯｍ（ｎm −１）〕に含まれる
次ポリシー番号（ＮＰＮＯ１（１）〜ＰＮＯｎ（ｎm −
１）についても、存在しないポリシー番号を示す場合が
あるが、それらのポリシーにヒットした場合、アクショ
ンを実行後、検索試行を終了することとなる。
番号＝ＰＮＯｍ（ｎm ）まで行う。一番優先順位の低い
ポリシー番号＝ＰＮＯｍ（ｎm ）のポリシーに含まれる
次ポリシー番号ＮＰＮＯｍ（ｎm ）には存在しないポリ
シー番号が格納されている。また、その他のポリシー
〔ＰＮＯ１（１）〜ＰＮＯｍ（ｎm −１）〕に含まれる
次ポリシー番号（ＮＰＮＯ１（１）〜ＰＮＯｎ（ｎm −
１）についても、存在しないポリシー番号を示す場合が
あるが、それらのポリシーにヒットした場合、アクショ
ンを実行後、検索試行を終了することとなる。
【００３７】図４に示した例は、パケットから抽出され
た識別子ｄp が、ＵＤＰ、送信元アドレス（ＳＡ）＝１
を含むものを想定している。この場合、識別子ｄp はポ
リシー群番号＝ＰＧＮＯ１にエントリされるポリシーに
含まれる識別子には一致せず、次のポリシー群番号＝Ｐ
ＧＮＯ２にエントリされているポリシーのうち優先順位
が２番目に高いポリシー〔ＰＮＯ２（２）〕に含まれる
識別子Ｄ２（２）（＝ＵＤＰ）がｄp と一致するのでア
クション領域２４よりアクションＡ２（２）（＝ＱｏＳ
を３にマッピング）を読み出し処理（ＱｏＳを３にマッ
ピング）を実行させる。そして、次ポリシー番号領域２
５に格納されている次ポリシー番号ＮＰＮＯ２（２）
〔＝ＰＮＯｍ（１）〕を読み出し、それの示すポリシー
番号〔ＰＮＯｍ（１）〕より検索試行を再開する。前述
した動作を続け、ポリシー番号ＰＮＯｍ（ｎm ）に含ま
れる識別子Ｄｍ（ｎm ）〔＝送信元アドレス（ＳＡ）＝
１〕が識別子ｄp と一致するため、アクション２４の領
域からアクションＡｍ（ｎm）（＝計数）を読み出して
処理（計数）を実行させ、テーブルエントリの最終ポリ
シーまで検索を行い検索試行を終了する。本発明の実施
形態は、このようにして、１つのパケットに対して複数
のポリシーを実行することが可能となる。
た識別子ｄp が、ＵＤＰ、送信元アドレス（ＳＡ）＝１
を含むものを想定している。この場合、識別子ｄp はポ
リシー群番号＝ＰＧＮＯ１にエントリされるポリシーに
含まれる識別子には一致せず、次のポリシー群番号＝Ｐ
ＧＮＯ２にエントリされているポリシーのうち優先順位
が２番目に高いポリシー〔ＰＮＯ２（２）〕に含まれる
識別子Ｄ２（２）（＝ＵＤＰ）がｄp と一致するのでア
クション領域２４よりアクションＡ２（２）（＝ＱｏＳ
を３にマッピング）を読み出し処理（ＱｏＳを３にマッ
ピング）を実行させる。そして、次ポリシー番号領域２
５に格納されている次ポリシー番号ＮＰＮＯ２（２）
〔＝ＰＮＯｍ（１）〕を読み出し、それの示すポリシー
番号〔ＰＮＯｍ（１）〕より検索試行を再開する。前述
した動作を続け、ポリシー番号ＰＮＯｍ（ｎm ）に含ま
れる識別子Ｄｍ（ｎm ）〔＝送信元アドレス（ＳＡ）＝
１〕が識別子ｄp と一致するため、アクション２４の領
域からアクションＡｍ（ｎm）（＝計数）を読み出して
処理（計数）を実行させ、テーブルエントリの最終ポリ
シーまで検索を行い検索試行を終了する。本発明の実施
形態は、このようにして、１つのパケットに対して複数
のポリシーを実行することが可能となる。
【００３８】なお、前述した図３及び図４ににより説明
した例は、アクション実行後の検索試行を再開するポリ
シーを、次ポリシー番号２５の領域に格納される次ポリ
シー番号により指定するとしたが、同一ポリシー群内で
２つ以上のポリシーを実行する必要のない場合、次ポリ
シー番号２５の領域を使わずに（テーブル内にこの領域
を設けずに）、アクション実行後、次のポリシー群にエ
ントリされているポリシーから検索試行を再開すること
により、ポリシー群の異なる２つ以上のポリシーを実行
することが可能である。また、次ポリシー番号領域２５
を、次に検索試行するポリシー群番号を指定する次ポリ
シー群番号領域として使用するようにすることもでき、
これによっても、ポリシー群の異なる２つ以上のポリシ
ーを実行することが可能となる。
した例は、アクション実行後の検索試行を再開するポリ
シーを、次ポリシー番号２５の領域に格納される次ポリ
シー番号により指定するとしたが、同一ポリシー群内で
２つ以上のポリシーを実行する必要のない場合、次ポリ
シー番号２５の領域を使わずに（テーブル内にこの領域
を設けずに）、アクション実行後、次のポリシー群にエ
ントリされているポリシーから検索試行を再開すること
により、ポリシー群の異なる２つ以上のポリシーを実行
することが可能である。また、次ポリシー番号領域２５
を、次に検索試行するポリシー群番号を指定する次ポリ
シー群番号領域として使用するようにすることもでき、
これによっても、ポリシー群の異なる２つ以上のポリシ
ーを実行することが可能となる。
【００３９】前述した本発明の実施形態によれば、ポリ
シーテーブルをメモリ上に展開する際に、各ポリシー毎
にそのポリシーがヒットした後、次に検索すべきポリシ
ーを指定する次ポリシー番号を備えることにより、２つ
以上のポリシーにヒットするパケットに対してそれらの
各ポリシーを実行することが可能になる。
シーテーブルをメモリ上に展開する際に、各ポリシー毎
にそのポリシーがヒットした後、次に検索すべきポリシ
ーを指定する次ポリシー番号を備えることにより、２つ
以上のポリシーにヒットするパケットに対してそれらの
各ポリシーを実行することが可能になる。
【００４０】また、本発明の実施形態によれば、ポリシ
ーテーブルをメモリ上に展開する際に、各ポリシーを複
数のポリシー群に分類し、各ポリシー毎にそのポリシー
がヒットした後次に検索すべきポリシー群の先頭ポリシ
ーを指定する次ポリシー番号を備えることにより、２つ
以上の異なるポリシー群に属するポリシーにヒットする
パケットに対して各ポリシーを実行することが可能にな
る。
ーテーブルをメモリ上に展開する際に、各ポリシーを複
数のポリシー群に分類し、各ポリシー毎にそのポリシー
がヒットした後次に検索すべきポリシー群の先頭ポリシ
ーを指定する次ポリシー番号を備えることにより、２つ
以上の異なるポリシー群に属するポリシーにヒットする
パケットに対して各ポリシーを実行することが可能にな
る。
【００４１】
【発明の効果】以上説明したように本発明によれば、イ
ンタフェースメモリー上に展開されたポリシーテーブル
を、複数のポリシーにヒットできるテーブル構成とした
ことにより、２つ以上のポリシーにヒットするパケット
に対してそれらの各ポリシーを実行することができる。
ンタフェースメモリー上に展開されたポリシーテーブル
を、複数のポリシーにヒットできるテーブル構成とした
ことにより、２つ以上のポリシーにヒットするパケット
に対してそれらの各ポリシーを実行することができる。
【図１】本発明の実施形態により使用されるポリシーテ
ーブルの構成を示す図である。
ーブルの構成を示す図である。
【図２】１つのパケットに対して図１に示すポリシーテ
ーブルが実際に検索試行される場合の動作を説明する図
である。
ーブルが実際に検索試行される場合の動作を説明する図
である。
【図３】本発明の実施形態により使用されるポリシーテ
ーブルの他の構成を示す図である。
ーブルの他の構成を示す図である。
【図４】１つのパケットに対して図３に示すポリシーテ
ーブルが実際に検索試行される場合の動作を説明する図
である。
ーブルが実際に検索試行される場合の動作を説明する図
である。
【図５】本発明の一実施形態によるパケット転送装置の
構成例を示すブロック図である。
構成例を示すブロック図である。
【図６】パケット処理部の構成を示すブロック図であ
る。
る。
【図７】パケットのヘッダの構成を説明する図である。
１、２ ポリシーテーブル
１１、２２ ポリシー番号
１２、２３ 識別子
１３、２４ アクション
１４、２５ 次ポリシー番号
２１ ポリシー群番号
１００ パケット転送装置
１０２−１〜１０２−Ｘ 回線インタフェース部
１０３ スイッチ部
１０４ 制御部
101-1-1〜101-1-M1、101-X-1〜101-X-MX 入出力回線
１１１−１〜１１１−Ｘ 物理終端部
１１２、１１２−１〜１１２−Ｘ パケット処理部
１１３−１〜１１３−Ｘ 入出力制御部
１２１Ａ、１２１Ｂ ヘッダ抽出部
１２２Ａ、１２２Ｂ ポリシー検索部
１２３Ａ、１２３Ｂ ルーティング処理部
１２４Ａ、１２４Ｂ パケット処理実行部
１３５ ライン
１４１Ａ、１４１Ｂ ポリシーテーブルメモリ
１４２Ａ、１４２Ｂ ルーティングテーブルメモリ
１４３Ａ、１４３Ｂ ＦＩＦＯメモリ
１４４Ａ、１４４Ｂ 管理テーブル
─────────────────────────────────────────────────────
フロントページの続き
(72)発明者 牧本 明生
神奈川県横浜市戸塚区戸塚町216番地 株
式会社日立製作所通信事業部内
(72)発明者 高橋 正美
神奈川県横浜市戸塚区戸塚町216番地 株
式会社日立製作所通信事業部内
(72)発明者 龍 浩一
神奈川県横浜市戸塚区戸塚町216番地 株
式会社日立製作所通信事業部内
(72)発明者 安西 健
神奈川県横浜市戸塚区戸塚町216番地 株
式会社日立製作所通信事業部内
(72)発明者 重谷 昌昭
東京都千代田区大手町二丁目３番１号 日
本電信電話株式会社内
(72)発明者 宇賀 雅則
東京都千代田区大手町二丁目３番１号 日
本電信電話株式会社内
Ｆターム(参考） 5K030 GA15 HA08 HB17 HC01 HD03
KX12 KX24 LA00 LC13 MA04
5K033 AA08 CB08 CB17 CC02 DA06
DB16
Claims (6)
- 【請求項１】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置において、各パケットを識
別するためのポリシーテーブルを備え、該ポリシーテー
ブルは、１または複数のポリシーを格納し、各ポリシー
は、優先順位と、パケットを識別するための識別子と、
識別されたパケットに対して行う処理動作と、次に検索
対象となるポリシーを示す次ポリシー番号とにより構成
されることを特徴とするパケット転送装置。 - 【請求項２】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置において、各パケットを識
別するためのポリシーテーブルを備え、該ポリシーテー
ブルは、複数のポリシー群に分類された複数のポリシー
を格納し、各ポリシーは、優先順位と、パケットを識別
するための識別子と、識別されたパケットに対して行う
処理動作と、処理を実行した後次に検索を再開すべきポ
リシー群の内の１つのポリシーを示す次ポリシー番号と
により構成されることを特徴とするパケット転送装置。 - 【請求項３】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置における１または複数のポ
リシーを格納し、各パケットを識別してそのパケットに
対する処理を実行するために使用するポリシーテーブル
の検索方法において、優先順位の高いポリシーから検索
を実施し、ポリシーがヒットしなかった場合、次の優先
順位のポリシーより検索を再開することを特徴とするポ
リシーテーブルの検索方法。 - 【請求項４】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置における１または複数のポ
リシーを格納し、各パケットを識別してそのパケットに
対する処理を実行するために使用するポリシーテーブル
の検索方法において、優先順位の高いポリシーから検索
を実施し、ポリシーがヒットして処理を実行した後、各
ポリシー毎に設定されている次ポリシー番号の示すポリ
シーより検索を再開することを特徴とするポリシーテー
ブルの検索方法。 - 【請求項５】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置における各入力パケットを
識別し処理を実行するために使用される複数のポリシー
群に分類された複数のポリシーより構成されるポリシー
テーブルの検索方法において、優先順位の高いポリシー
から検索を実施し、ポリシーがヒットして処理を実行し
た後、次のポリシー群の先頭のポリシーから検索を再開
することを特徴とするポリシーテーブルの検索方法。 - 【請求項６】 １または複数の入出力回線に接続され各
入力から入力されたパケットを識別し該当する出力回線
に出力するパケット転送装置における各入力パケットを
識別し処理を実行するために使用される複数のポリシー
群に分類された複数のポリシーより構成されるポリシー
テーブルの検索方法において、優先順位の高いポリシー
から検索を実施し、ポリシーがヒットして処理を実行し
た後、そのポリシーに設定された次ポリシー番号の示す
ポリシーから検索を再開することを特徴とするポリシー
テーブルの検索方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001391555A JP2003198607A (ja) | 2001-12-25 | 2001-12-25 | パケット転送装置及びポリシーテーブルの検索方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001391555A JP2003198607A (ja) | 2001-12-25 | 2001-12-25 | パケット転送装置及びポリシーテーブルの検索方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2003198607A true JP2003198607A (ja) | 2003-07-11 |
Family
ID=27599112
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001391555A Pending JP2003198607A (ja) | 2001-12-25 | 2001-12-25 | パケット転送装置及びポリシーテーブルの検索方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2003198607A (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009260880A (ja) * | 2008-04-21 | 2009-11-05 | Fujitsu Ltd | パケット転送制御装置およびパケット転送制御方法 |
| WO2013180207A1 (ja) * | 2012-05-31 | 2013-12-05 | 日本電気株式会社 | 制御装置、通信システム、スイッチ制御方法及びプログラム |
| JP2023516555A (ja) * | 2020-03-02 | 2023-04-20 | シスコ テクノロジー，インコーポレイテッド | ネットワークトラフィック分類においてユニバーサルターゲットを実装するためのシステムおよび方法 |
-
2001
- 2001-12-25 JP JP2001391555A patent/JP2003198607A/ja active Pending
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009260880A (ja) * | 2008-04-21 | 2009-11-05 | Fujitsu Ltd | パケット転送制御装置およびパケット転送制御方法 |
| WO2013180207A1 (ja) * | 2012-05-31 | 2013-12-05 | 日本電気株式会社 | 制御装置、通信システム、スイッチ制御方法及びプログラム |
| JPWO2013180207A1 (ja) * | 2012-05-31 | 2016-01-21 | 日本電気株式会社 | 制御装置、通信システム、スイッチ制御方法及びプログラム |
| US9967177B2 (en) | 2012-05-31 | 2018-05-08 | Nec Corporation | Control apparatus, communication system, switch control method and program |
| JP2023516555A (ja) * | 2020-03-02 | 2023-04-20 | シスコ テクノロジー，インコーポレイテッド | ネットワークトラフィック分類においてユニバーサルターゲットを実装するためのシステムおよび方法 |
| JP7516530B2 (ja) | 2020-03-02 | 2024-07-16 | シスコ テクノロジー，インコーポレイテッド | ネットワークトラフィック分類においてユニバーサルターゲットを実装するためのシステムおよび方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7382777B2 (en) | Method for implementing actions based on packet classification and lookup results | |
| US8611350B2 (en) | Apparatus and method for layer-2 to 7 search engine for high speed network application | |
| US6904057B2 (en) | Method and apparatus for providing multi-protocol, multi-stage, real-time frame classification | |
| US7869411B2 (en) | Compact packet operation device and method | |
| US6147995A (en) | Method for establishing restricted broadcast groups in a switched network | |
| EP1158729B1 (en) | Stackable lookup engines | |
| US7355970B2 (en) | Method and apparatus for enabling access on a network switch | |
| US7801139B2 (en) | Method and apparatus for filtering packet data in a network device | |
| EP1506646B1 (en) | Method and apparatus to improve network routing | |
| US20020010869A1 (en) | MAC address-based communication restricting method | |
| US20070008962A1 (en) | Packet classification using encoded addresses | |
| US20070258462A1 (en) | Network Node Unit And Method For Forwarding Data Packets | |
| US20070150614A1 (en) | Method and apparatus for implementing filter rules in a network element | |
| JP2000156708A (ja) | ネットワ―ク・スイッチング装置 | |
| WO2001041364A2 (en) | Method and apparatus for ip multicasting | |
| WO2017181757A1 (zh) | 报文转发方法及装置 | |
| US8320249B2 (en) | Method and system for controlling network access on a per-flow basis | |
| JP2002314571A (ja) | スイッチングノードのための分類およびタグ付け規則 | |
| US7035934B1 (en) | System and method for improving traffic analysis and network modeling | |
| EP1798900A1 (en) | Access multiplexer | |
| US7352748B1 (en) | Updating of routing data in a network element | |
| WO2005036834A1 (ja) | 統計情報採取方法及び装置 | |
| JP2003198607A (ja) | パケット転送装置及びポリシーテーブルの検索方法 | |
| EP2773072A1 (en) | Control apparatus, communication system, virtual network management method, and program | |
| US7746865B2 (en) | Maskable content addressable memory |