JP2004533149A

JP2004533149A - ＩＰＱｏＳのサービス拒否攻撃に耐えるための仮想私設網を採用するシステム、方法および装置

Info

Publication number: JP2004533149A
Application number: JP2002574087A
Authority: JP
Inventors: デイビッド・イー．・マクディーサン
Original assignee: ワールドコム・インコーポレイテッド
Priority date: 2001-03-20
Filing date: 2002-03-20
Publication date: 2004-10-28
Also published as: EP1374057A1; MXPA03008421A; CA2441712A1; EP1374057A4; BR0208223A; CN1498368A; WO2002075548A1

Abstract

この発明に従うネットワーク構成（３０）は１以上のネットワークに基づく仮想私設網（ＶＰＮ）（４０，４６）をサポートする通信ネットワークを含む。通信ネットワークは、１以上のＶＰＮ（４０，４６）に属するＣＰＥエッジルータ（３４）へアクセスリンク３５によって接続された複数の境界ルータ（４０，４２）を含む。顧客のＶＰＮの外からのトラフィック（例えば別のＶＰＮまたは一般のインターネットからのトラフィック）が顧客のＶＰＮ内からのトラフィックに提供されるサービスの質（ＱｏＳ）を悪化させるのを防ぐために、この発明では余分なＶＰＮトラフィックが内部ＶＰＮトラフィックに干渉できないよう、アクセスリンク優先順位またはアクセスリンク能力割り当てを通じて各顧客のアクセスリンクに、余分なＶＰＮトラフィックに対して内部ＶＰＮトラフィックを優先する。このように、余分なＶＰＮトラフィックに対して内部ＶＰＮトラフィックを優先することによって、論理トラフィック分離を達成するためにレイヤ２多重化およびルーティングプロトコルの設定を使用した物理アクセスリンク上で内部ＶＰＮおよび余分なＶＰＮ間の分割を含む、ネットワーク要素およびプロトコルの特別の設定が行われる。アクセスネットワークを設定することによって、ＶＰＮ境界ルータ（４０、４２）およびＣＰＥエッジルータ（３４）およびこのようなエッジおよび境界ルータのルーティングプロトコルによってＤｏＳ（サービスの拒否）攻撃防御の高レベルのサービスが達成される。

Description

【０００１】
この発明は通信ネットワークに関して特に、インターネットのような公衆通信ネットワークにおけるサービス拒否攻撃の防止に関する。より特定的には、この発明は仮想私設網（ＶＰＮ）内のサイトのトラフィックに対するアクセス能力の割り当ておよび／または優先順位を、別のＶＰＮまたは公衆ネットワークにおけるサイトのアクセス能力の割り当ておよび／または優先順位から分離することによって、共有されたネットワークインフラストラクチャを有する通信ネットワークにおけるサービス拒否攻撃を防ぐための方法、システムおよび装置に関する。
【０００２】
ネットワークサービスプロバイダに対して、ネットワーク設計および管理における主要な考慮は、ＶＰＮ顧客サイトから始まるトラフィックとＶＰＮの外部から（例えば、インターネットまたは他のＶＰＮから）始まるトラフィックの間のアクセス能力とネットワーク資源の適切な割り当てをすることである。この考慮はネットワークサービスプロバイダが最低の通信帯域を提供するかまたは、特定のサービスの質（ＱｏＳ）を保証することを要求するサービスレベルアグリーメント（Service Level Agreement,ＳＬＡ）を含む予約を行っているＶＰＮ顧客のトラフィックに関して特に重要である。それらのサービスの提供はネットワークサービスプロバイダに対して特定されたＱｏＳを達成するネットワークアーキテクチャおよびプロトコルを実行するとともに十分なアクセス能力を保証し、ネットワーク資源はＶＰＮの一部ではないホストとの通信とは別の他のＶＰＮサイトとの通信のために利用可能である。
【０００３】
インターネットプロトコル（ＩＰ）ネットワークにおいては、ＱｏＳを達成し、音声または非同期転送モード（ＡＴＭ）のような、コネクション型のネットワークサービスの許可制御に匹敵する許可制御を実行するためのまっすぐなアプローチは、ＱｏＳを要求するＩＰパケット対して資源予約信号送信の実例の、同じホップごとの（hop-by-hop)切り替えをエミュレートすることである。実際、統合されたサービス（Intserv、イントサーブ）のためのインターネットエンジニアリングタスクフォース（ＩＥＴＦ）によって開発されたＩＰ信号送信標準はこのアプローチを正確に採用している。ＩＥＴＦＲＦＣ１６３３に述べられているように[R. Branden et al., "Integrated Services in the Internet Architecture: an Overview" June 1994]、イントサーブは、アプリケーションが、自分のデータパケットに対して配送サービスの多数の制御されたレベルの中から選択できるような、フローごとのＩＰＱｏＳアーキテクチャである。この能力をサポートするために、イントサーブは、パケットフローの送信器で、アプリケーションがパケットフローの受信器に対する経路に沿ったすべてのネットワーク要素から、能力の特定のレベルで所望のＱｏＳクラスを要求することを許容するために、ＩＥＴＦＲＦＣ２２０５によって規定された[R. Branden et al., "Resource ReSerVation Protocol (RSVP)-Version 1 Functional Specification" Sept. 1997]、よく知られた資源予約プロトコル（ＲＳＶＰ）の使用を許可する。資源予約を要求するＲＳＶＰＰＡＴＨメッセージおよび上流のノードから資源予約を確認するＲＳＶＰＲＥＳＶメッセージを受け取ったあと、経路に沿った個々のネットワーク要素はフロー内でパケットに配送されたＱｏＳおよび能力を制御するための機構を実行する。
【０００４】
図１は許可制御を実行するための従来のイントサーブ実施の使用を例示する。図１に示すように、模範的なＩＰネットワーク１０はＮ個の同一のノード（例えばサービスプロバイダ境界ルータ）１２を含み、各々がＬ地区の顧客のために顧客構内装置（Customer Premise Equipment,ＣＰＥ）に接続された能力ＸのＬリンクを有している。フローごとにおいては、コネクション型のアプローチは、各ノード１２が起点から宛先へのネットワークに沿ったどのリンクも過負荷ではないということを保証する。アクセス能力を見て、フローごとのアプローチはすべてのフローに対する能力の合計が任意の出口アクセスリンク（例えばノード１２ａのリンク１）の能力Ｘを超えないように、入口アクセスリンクの各々での入力フローを直接制限することができる。同様のアプローチがＩＰネットワーク１０内の例示されていないコアルータに接続するリンクに適用が可能である。
【０００５】
概念的には非常に単純ではあるが、図１に例示した許可制御技術は多くの欠点を有している。最も重要には、ＲＳＶＰを使用しているイントサーブの許可制御は、サービスプロバイダの境界およびコアルータにおいてＲＳＶＰが処理集中型の信号送信を要求するため、拡張性に限界がある。特に、ＲＳＶＰは送信器と受信器との間の各ネットワーク要素において適切な資源割り当てを要求するための端末間信号送信を要求し、どのフローを許可するかを決定するために、入口ノード１２ｂ−１２ｄによるポリシー問い合わせを行い、それに応じてトラフィックを取り締まり、同時に多くの他のハンドシェイクメッセージを取り締まる(police)。結局、イントサーブＲＳＶＰ信号によって要求される処理は電話またはＡＴＭ信号の処理に匹敵し、各境界内で高性能の（すなわち高価な）プロセッサ要素または、そのような信号によって要求される大規模な処理を行うコアになるＩＰルータを要求する。ＲＳＶＰ信号はソフト状態にある。これは、ＩＰネットワークを介した転送経路は変更するかもしれず、それゆえフローによって要求されるＱｏＳおよび能力についての情報は周期的に通信されなければならないため、信号送信処理が頻繁にリフレッシュされる（デフォルトで３０秒ごと）ということを意味する。このいわゆるソフト状態の動作モードがＡＴＭスイッチの処理負荷よりもさらに大きい追加の処理負荷をルータ上に生成する。さらに、境界ルータのプロセッサが大量の無効なＲＳＶＰ要求によって過負荷にされると、プロセッサがクラッシュし、それによって故障したプロセッサを有するルータによって処理されているすべての顧客に対するすべてのフローに対するサービスが中断される。
【０００６】
従来のイントサーブＲＳＶＰ信号送信を利用した許可制御の実施に関連した課題を認識して、ＩＥＴＦはＲＦＣ２４７５[S. Blake et al., "An Architecture for Differentiated Services" Dec.1998]において規定された、差別化されたサービス（Differentiated Service、ディフサーブまたはＤＳ）プロトコルを普及させたディフサーブは、各ＩＰ層パケットヘッダのＤＳフィールド（例えば、ＩＰｖ４型のサービス（ＴＯＳ）バイトまたはＩＰｖ６トラフィッククラスバイト）内の集合したトラフィック分類を搬送することによって拡張性を達成したＩＰＱｏＳアーキテクチャである。ＤＳフィールドの最初の６ビットは、ディフサーブドメイン内の経路に沿った各々のノードでパケットのために、特定のサービスクラスまたは、パケットに対するホップ単位動作（ＰＨＢ）を要求するディフサーブコードポイント（Diffserv Code Point,ＤＳＣＰ）を符号化する。
【０００７】
ディフサーブドメインにおいては、ネットワーク資源はサービス供給ポリシーに応じてパケットフローの集合体に割り当てられる。サービス提供ポリシーはＤＳＣＰマーキング、ディフサーブドメインへの入場のためのトラフィック条件およびディフサーブドメイン内のトラフィック転送を支配する。マーキング（すなわち分類）および条件付け操作はディフサーブネットワーク境界においてのみ実行される必要がある。このように、特定のＱｏＳを有するフローを確立するために送信器と受信器の間で端末間信号を要求するよりも、ディフサーブは各ＩＰパケットヘッダを単に検査および／またはマークすることによって入口境界ルータがＱｏＳを集合されたフローに提供することができるようにする。
【０００８】
ディフサーブ標準は、イントサーブの処理集中型信号送信をハードウエアにおいて容易に実行されうる簡単なパケットごとのマーキング操作と置き換えることによってイントサーブの拡張性の限界に対処したが、ディフサーブプロトコルの実施は別のタイプの問題を提示する。特に、ディフサーブはサービスクラスのホストのマーク付けを許容するため、ディフサーブネットワーク顧客リンクは、多くのホストがＤＳフィールドが高い優先度に設定された状態でそのリンクにパケットを送信するとサービスの拒否（ＤｏＳ）攻撃を経験しうる。ホストの組はＤＳＣＰを設定することによって直接、または、特定のＤＳＣＰへある別のルータまたは装置によって分類されたトラフィックを提出することによって間接的に、ディフサーブサービスクラスの予約された能力を超えることができる。ディフサーブにおいては、ＩＰネットワークは顧客のインターフェイスが各ディフサーブサービスクラスに対する予約された能力を超えないということを確実にするために、入口ルータで取り締まることによってその資源を保護できるだけである。しかしながら、これはＤｏＳ攻撃を防げない。
【０００９】
図２は従来のディフサーブプロトコルを実行する模範的なＩＰネットワーク１０´におけるＤＯＳ攻撃のシナリオを示す図である。図２において、多くの入口ノード（例えば入口境界ルータ）１２ｂ´−１２ｄ´の各々は、トラフィックが出口ノード（例えば出口境界ルータ）１２ａ´の単一のリンクを標的にすることを許容する。各入口ノード１２´は、顧客が各ＤＳＣＰで自分の予約した資源を超えないということを確実にするために入来パケットを取り締まるが、許可されたフローの集合はノード１２ａ´の出口リンク１の能力Ｘを超え、その結果、このリンクによって顧客サイトへのサービスの拒否となる。
【００１０】
イントサーブおよびディフサーブ標準の従来の実施に付随する限定にかんがみて、この発明は、従来のイントサーブ実施と異なって、拡張性が高く、しかも従来のディフサーブおよび他のネットワークが受けやすいＤｏＳ攻撃に対して保護できる、通信プロトコルをサポートするデータ通信のための方法、システムおよび装置を提供することが有用でありかつ望ましいということを認識する。
【００１１】
この発明に従うネットワークアーキテクチャは１以上のネットワークベースの仮想私設網（ＶＰＮ）をサポートする通信ネットワークを含む。通信ネットワークは１以上のＶＰＮに属するＣＰＥエッジルータへのアクセスリンクによって接続された複数の境界ルータを含む。外部顧客のＶＰＮからのトラフィック（例えば他のＶＰＮまたは一般のインターネットからのトラフィック）が顧客のＶＰＮ内に提供されるＱｏＳを悪化させないために、この発明は、余分なＶＰＮトラフィックが内部ＶＰＮトラフィックを妨害できないように、アクセスリンクの優先度またはアクセスリンクの能力割り当てを通じて、各顧客のアクセスリンクに対して内部ＶＰＮトラフィックを余分なＶＰＮトラフィックよりも優先する。このようにして余分なＶＰＮトラフィックに対して内部ＶＰＮトラフィックを優先することが、ネットワーク要素およびプロトコルの特別の設定を引き起こす。この特別の構成は、ＶＰＮ境界ルータおよびＣＰＥエッジルータでの、内部ＶＰＮトラフィックおよび余分なＶＰＮトラフィック間の論理的なトラフィック分離を達成するためのルーティングプロトコルの設定とともに、レイヤ２スイッチおよび多重化を使用したアクセスネットワークおよび物理的なアクセスリンクでの内部ＶＰＮおよび余分なＶＰＮトラフィック間のしきりを含む。このように、アクセスネットワーク、ＶＰＮ境界ルータおよびＣＰＥエッジルータ並びにエッジおよび境界ルータのルーティングプロトコルを構成することによって、ＤｏＳ攻撃の防止に対する高レベルのサービスが達成される。
【００１２】
この発明の追加の目的、特徴および利点は以下の詳細な記載から明らかになる。
【００１３】
発明の特徴であると信じられる新規な特性が添付のクレームで述べられている。しかしながら、この発明自体、使用の好ましいモード、更なる目的およびその利点は、添付の図面と共に読まれたとき、例示的な実施例の詳細な説明を参照することによって最もよく理解される。
【００１４】
図、特に図３を参照して、この発明に従った、仮想私設網（ＶＰＮ）顧客のアクセスを保護するとともにＤｏＳ攻撃に対して主要なネットワークリンクを保護しながら、選択されたトラフィックに対してＱｏＳを提供する拡張性のある方法を提供する模範的なネットワークアーキテクチャ２０の高レベルのブロック図が示されている。図２に例示した従来のネットワークと同様に、図３のネットワークアーキテクチャ２０は、それぞれがＬのアクセスリンクを有するＮのサービスプロバイダ境界ルータ（ＢＲ）２２を有するディフサーブネットワーク２１を含む。ネットワークアーキテクチャ２０において異なるのは、ディフサーブネットワーク２１が複数のＶＰＮ事例をサポートすることである。このうち２つの事例が図に示されており、一方は、第一ネットワークサービス顧客２４に対するＣＰＥエッジルータ（ＥＲ）に接続された境界ルータ２２のアクセスリンクであり、もう一方は、４つのサイトの各々にある、第二ネットワークサービス顧客２５に対するＥＲであって、それぞれａからｄによって特定されている。各ＣＰＥＥＲは顧客のローカルエリアネットワーク（ＬＡＮ）にネットワークサービスを提供する。サービスプロバイダネットワークに基づくＶＰＮは、この図に示されたのより多い顧客をサポートしてもよい。
【００１５】
図３において示された模範的な通信シナリオにおいては、ＣＰＥエッジルータ２４ｂ−２４ｄに接続された第一ＶＰＮ顧客のＬＡＮ内のホスト、ＣＰＥエッジルータ２５ａ−２５ｄに接続された第二ＶＰＮ顧客のＬＡＮ内のホストおよび境界ルータ２２ａ−２２ｄにリンクされた別の例示のないＣＰＥエッジルータに接続されたサイトは全て、第一ＶＰＮ顧客ＣＰＥエッジルータ２４ａに接続されたＬＡＮを目標とするパケットフローを送信してもよい。図２に関して上で述べた先行技術の従来のディフサーブネットワークがもし実行されると、ＣＰＥエッジルータ２４ａに接続された境界ルータ２２ａの出力アクセスリンク１はこれらのフロー集中によって容易に圧倒され、その結果ＤｏＳを引き起こす。しかしながら、この発明によれば、図３のディフサーブネットワーク２１は、他のＶＰＮまたは他のサイトからのトラフィックを境界ルータ２２ａの物理的アクセスリンク１の第２論理ポートに向ける一方で、内部ＶＰＮトラフィックを境界ルータ２２ａの物理的アクセスリンク１の第１論理ポート２７に向けることによって、ＶＰＮの外からのＤｏＳ攻撃を防ぐ。
【００１６】
所定の顧客団体外部（例えば他のＶＰＮまたは一般のインターネット）からのトラフィックが所定の顧客団体内からのトラフィック（例えば同じ企業内の他のホストからのトラフィック）からのトラフィックに与えられたＱｏＳを悪化させないために、この発明では内部ＶＰＮトラフィックを余分なＶＰＮトラフィックに対して優先順序づけるか、または余分のＶＰＮトラフィックが内部ＶＰＮトラフィックを妨害できないようにアクセスリンク能力を割り当てる。言い換えると、以下に詳細に述べるように、各境界ルータ２２は各顧客のアクセスリンクに顧客のＶＰＮ内で生じたトラフィックに優先権を与える。ここで、ＶＰＮは、ネットワーク資源および／または通信がノードの集合の会員資格に基づいて分割された共有ネットワークインフラストラクチャによって接続されたノードの集合として定義される。このように内部ＶＰＮトラフィックを余分なＶＰＮトラフィックに対して優先させることによって、論理的なトラフィック分離を達成するためにレイヤ２の多重化およびルーティングプロトコルの設定を使用して内部ＶＰＮと余分ＶＰＮの間で物理的なアクセスの分割を含むネットワーク要素およびプロトコルの特別の設定を実現する。要約すると、ＣＰＥエッジルータ、アクセスネットワーク、ネットワークに基づくＶＰＮ境界ルータ、およびエッジおよび境界ルータに組み込まれたルーティングプロトコルの設定が以下に詳細に説明するようにＤｏＳ攻撃を防ぐための高レベルのサービスを達成するために協同する。対照的に、従来のディフサーブおよびＣＰＥエッジルータ、ＩＰに基づくＩＰＶＰＮの実行は同じＶＰＮ内のサイト用として予定されているトラフィック（例えば内部ＶＰＮトラフィック）とインターネット（例えば余分なＶＰＮトラフィック）の他の領域から送信されたトラフィックとを分離しなかった。
【００１７】
図４−８を参照して、図３に示された一般化されたネットワークアーキテクチャ２０の少なくとも２つのクラスの実施例が可能である。特に、この発明に従うネットワークは図４−６を参照して以下に述べるようなＣＰＥに基づくＶＰＮの実施または図７および図８を参照して以下に述べるネットワークに基づくＶＰＮの実施のいずれかとして実現される。
【００１８】
まず図４を参照して、ＤｏＳ攻撃に耐えるために、ＣＰＥに基づくＶＰＮを採用した模範的なネットワークアーキテクチャ３０を例示する。示されたネットワークアーキテクチャはディフサーブ可能な（Diffserv-enabled)ＩＰＶＰＮネットワーク４４と、ベストエフォート型のＩＰ公衆ネットワーク４６と、複数の顧客ローカルエリアネットワーク（ＬＡＮｓ）３２とを含む。顧客のＬＡＮ３２は、各々が一または両方のネットワーク４４および４６にわたって通信されたパケットを送信器および／または受信器として機能できる一以上のホストを含む。図４に示した模範的な実施例においては、顧客ＬＡＮ３２ａおよび３２ｂは、企業のような所定の同じ団体（例えばＶＰＮ）に属しているものと仮定する。
【００１９】
各顧客ＬＡＮ３２はそれぞれのＣＰＥエッジルータ３４および物理的アクセスリンク３５によって、それぞれのアクセスネットワーク（例えばＬ２アクセスネットワーク）３８に接続されている。アクセスネットワーク３８ａおよび３８ｂは、各々がディフサーブ可能なＩＰＶＰＮネットワーク４４の境界ルータ（ＢＲ）４０への第一Ｌ２アクセス論理接続と、ベストエフォート型のＩＰ公衆ネットワーク４６の境界ルータ（ＢＲ）４２への第二Ｌ２アクセス論理接続とを有する。内部ＶＰＮおよび余分なＶＰＮトラフィックを異なった線で表した図４に例示されているように、ＶＰＮ承知(VPN-aware)ＣＰＥエッジルータ３４ａおよび３４ｂは、ＩＰＶＰＮに属するＩＰアドレスのプレフィックスを有するパケットのみをディフサーブ可能なＩＰＶＰＮネットワーク４４を介して送信し、他のすべてのトラフィックをベストエフォート型のＩＰ公衆ネットワーク４６を介して送信する。顧客ＬＡＮ３２の安全性を高めるために、ＣＰＥエッジルータ３４ａおよび３４ｂはすべてのトラフィックをファイアウォール３６ａおよび３６ｂのそれぞれを介してベストエフォート型のＩＰ公衆ネットワーク４６へ、またはそこからすべてのトラフィックを送信する。
【００２０】
図４に例示されているネットワークアーキテクチャにおいては、ＩＰＶＰＮの外部から生じたＤｏＳ攻撃が内部ＶＰＮトラフィックに対して優先度を許容するためにアクセスネットワーク３８ａ、３８ｂの２つの論理接続を適切に利用するために境界ルータ４０ａ−４０ｂと４２ａ−４２ｂとを設定することによって防がれる。例えば、第一の設定では、ディフサーブ可能なＩＰＶＰＮネットワーク４４とのＬ２アクセス論理接続に対してベストエフォート型の公衆ＩＰネットワーク４６へのＬ２アクセス論理接続よりも高い優先度が割り当てられる。そのようなアクセスリンク３５の優先順位をサポートするＬ２アクセスネットワークはイーサネット（例えばイーサネット優先度の利用）、ＡＴＭ（例えばＡＴＭサービス分類の利用）および多くのフレームリレー（ＦＲ）ネットワークの実施とを含む。これらの実施はよく知られた技術を利用して提供されうる。設定によって、ディフサーブ可能なＩＰＶＰＮネットワーク４４の各境界ルータ４０は、アクセスネットワーク３８への論理接続に対するパケットの送信割合を、ベストエフォート型ＩＰ公衆ネットワーク４６に対してＬ２アクセス論理接続が窮乏(starvation)しないように、アクセスリンクの値よりも小さい値に合わせる（shape)。代わりに、第二設定として、境界ルータ４０ａ−４０ｂおよび４２ａ−４２ｂは各Ｌ２アクセスネットワーク論理接続に対して予定されたトラフィックを特定の割合に合わせるよう個々に設定されてもよい。ここではこれら割合の合計はＣＰＥエッジルータ３４およびアクセスネットワーク３８にリンクした物理的なアクセス媒体の送信能力より少ないかまたは等しい。これら２つの設定のいずれにおいても、境界ルータ４０および４２はパケットのＤＳＣＰマークに基づいたスケジューリングおよび優先度を実行し、ＩＰＶＰＮトラフィックに対するアクセスネットワーク接続に対して割り当てられた能力を合わせる。
【００２１】
当業者によって理解されるように、これら代案の設定のいずれを実行するかという選択は、各設定が利点および欠点を共に有しているため、設計上の選択の問題である。例えば、最初の設定では、ネットワーク４４および４６間のアクセスネットワーク設定の調整が容易である。しかしながら、もしアクセスネットワーク３８が厳格な優先度のみを実施すると、ディフサーブ可能なＩＰＶＰＮネットワーク４４からのＩＰＶＰＮトラフィックはＩＰ公衆ネットワーク４６上で通信されるベストエフォート型のトラフィックを窮乏させるかもしれない。第二の設定はこの欠点をアクセスリンク能力の一部をネットワークアクセスの各タイプ（例えば内部ＶＰＮおよび余分ＶＰＮの両方）にこれらのアクセスリンク能力を割り当てることによって対処している。しかしながら、もし境界ルータ４０、４２が第二設定に従ってトラフィックを合わせると、ネットワーク４４、４６の一方に対する使用されないアクセス能力が別のネットワークへのアクセスのために使用できない。すなわち、シェイパ（shaper)は分離された境界ルータ４０、４２上にあるため、非作業保存(non-work-conserving)スケジュールのみが可能である。
【００２２】
図５を参照して、図４に示されたネットワークアーキテクチャ内で使用されうるＱｏＳ承知ＣＰＥエッジルータ３４のより詳細なブロック図が例示されている。例示されているように、ＣＰＥエッジルータ３４は複数のＬＡＮポート６０を含む。このＬＡＮポート６０は対応する数の顧客ＬＡＮ３２に接続を提供する。例えば、図５において、ＬＡＮポート６０ａはそれぞれが３２ビットのＩＰアドレス“ａ．ｂ．ｃ．d”、“ａ．ｂ．ｃ．ｅ”および“ａ．ｂ．ｃ．ｆ”の多数のホスト４８を含む顧客ＬＡＮ３２に接続されている。
【００２３】
各ＬＡＮポートは転送機能６２に接続され、転送機能６２はパケットを、ＬＡＮポート６０と、一以上のワイドエリアネットワーク（ＷＡＮ）の物理ポート６４（その一つのみが例示されている）に存在する一以上の論理ポート（ＬＰ）６６との間で転送する。ＬＰ６６は各々がレイヤ２のサブインターフェイスを含むが、例えば、イーサネット仮想ＬＡＮ（ＶＬＡＮ）、ＦＲデータリンク接続識別子（ＤＬＣＩ）、ＡＴＭ仮想チャンネル接続（ＶＣＣ）またはポイントツーポイントプロトコル（ＰＰＰ）／時分割多重化（ＴＤＭ）チャネルにおいて実行される高レベルのデータリンク制御（ＨＤＬＣ）として実施されてもよい。ＷＡＮ物理ポート６４は、論理ポート６６からのパケットをアクセスネットワーク３８の通信媒体上で多重化するためにスケジューラ６８を採用し、アクセスネットワーク３８から受信したパケットを転送機能７０を利用したそれぞれの論理ポートへ転送する。
【００２４】
ＣＰＥエッジルータ３４のＬＡＮポート６０が顧客ＬＡＮ３２からパケットを受信すると、パケットはまず分類器８０を通る。分類器８０は分類器テーブル８２を参照して、ＣＰＥエッジルータ３４によって各パケットがどのように処理されるかを決定する。図５に例示されているように、分類器テーブル８２は起点アドレス（ＳＡ）、宛先アドレス（ＤＡ）、起点ポート（ＳＰ）および宛先ポート（ＤＰ）、プロトコル形式（ＰＴ）、ＤＳＣＰまたはパケットのリンクからの他のフィールド、ネットワークまたは転送層ヘッダを含む多くの見出しを有してもよい。これらの見出しの一以上のパケットの値に基づいて、分類器７２はパケットを処理するために使用されるＣＰＥエッジルータ３４内のポリサ（policer,Ｐ）、マーカ（Ｍ）、宛先ＬＰ、宛先ＬＰ列(queue)（Ｑ）のための値を得る。この発明の代わりの実施例においては、宛先ＬＰおよび宛先ＬＰ列入力の検査は分類器８０よりも転送機能６２によって実行されうる。
【００２５】
示されているように、分類器表８２内のテーブル入力値はプレフィックスまたは範囲、またはナル（“−”によって示される）を利用することによって部分的に特定またはフルに特定されてもよい。例えば、ＬＡＮ３２のホスト４８のＳＡは、３２ビットのＩＰアドレスを用いてフルに特定され、多くの宛先ホストのＤＡは特定のＩＰネットワークを識別する２４ビットのＩＰアドレスプレフィックスを利用して特定され、多くの見出し値および一つの取り締まり値はナルである。一般に、同じポリサ、マーカおよび／またはシェイパ値、イントサーブフローに対するこれらの値はＲＳＶＰＲＥＳＶメッセージから取られるのであるが、これらは異なって分類されたパケットフローに対して特定されてもよい。例えば、分類器テーブル８２はポリサＰ１とマーカＭ１が、ＤＳＣＰ“０１０”でマークされたＳＡ“ａ．ｂ．ｃ．ｅ”を有するパケットと同様にＤＳＣＰ“１０１”でマークされ、任意のＳＡからのパケットを処理するということを特定する。しかしながら、分類器テーブル８２は、ＶＰＮ内のＤＡを有するトラフィック（すなわち内部ＶＰＮトラフィック）のための異なった宛先ＬＰ値を特定することによって異なる分類を有するフローとインターネットにおけるどこかのホスト（すなわち余分なＶＰＮトラフィック）に宛てられたトラフィックと区別する。このように、ＩＰアドレスプレフィックス“ｒ．ｓ．ｔ”、“ｗ．ｘ．ｙ”および“ｌ．ｍ．ｎ”のすべてがネットワーク３２として同じＶＰＮに属しているため、これらＤＡが合致したトラフィックは、すべての他のトラフィックがベストエフォート型のＩＰ公衆ネットワーク４６に対してＬＰ−２６６ｂを介して送信される間にディフサーブ可能ＩＰＶＰＮネットワーク４４を介して同じＶＰＮ内の他のサイトにＬＰ−１６６ａを介して送信される。
【００２６】
パケットが転送される論理ポート６６およびＬＰ列は静的設定によってまたはルーティングプロトコルによって動的に決定されうる。いずれの場合においても、ＶＰＮルートは、もしＣＰＥルータ３４が同じ宛先ＩＰアドレスのためにインストールされた両方のルートを有しているときは、インターネットルートについて常に優先されるべきである。そのような優先度は、（1）ＶＰＮルートをインストールするための内部ゲイトウエイプロトコル（ＩＧＰ）（すなわちＯＳＰＦおよびＩＳ−ＩＳ）、およびインターネットルートをインストールするための静的ルーティングすなわちＥＢＧＰ、または（２）ＶＰＮルートに対して与えられたより高いローカル優先度を有する、ＶＰＮルートとインターネットルートの両方をインストールするためのＥＢＧＰの使用、を含む多くの方法の任意のもので実行されうる。
【００２７】
分類後、分類器テーブル８２によって示されるように、ポリサＰ０、Ｐ１およびマーカＭ０、Ｍ１、Ｍ２によって適切にパケットが取り締まられマークされたあと、テーブル検査によって特定されるように転送機能６２によって論理ポート６６ａまたは６６ｂのいずれかに切り替えられる。特定の論理６６内で、パケットは分類器テーブル８２によって特定されたＬＰ列Ｑ０−Ｑ２に向けられる。ＬＰ列Ｑ０−Ｑ２はランダムアーリーディテクション（ＲＥＤ）のような利用可能なバッファ能力または閾値のいずれかに基づいて許可制御を実行する。スケジューラ９０は、それから先入れ先出し（ＦＩＦＯ）、優先順、重み付けされたラウンドロビン（Weighted Round Robin,ＷＲＲ）、重み付けされたフェアな列（ＷＦＱ）または級に基づいた列（ＣＢＱ）のような選択されたスケジューリングアルゴリズムに応じてＬＰ列Ｑ０−Ｑ２を処理する。例えば、例示された実施例においては、ＬＰ−２６６ａのスケジューラ９０は各ＬＰ列ｉに関連した重み付けｗ_iおよび論理ポート２に対する全体的なＷＦＱスケジューラ割合ｒ₂に基づいてＷＦＱを実施し、それによってトラフィックを割合ｒ₂に決定する。最後に、上記したように、物理的なＷＡＮポート６４のスケジューラ６８はアクセスネットワーク３８に対して送信を制御するために各種論理ポート６６を処理する。
【００２８】
ＣＰＥエッジルータ３４はＷＡＮ物理ポート６４でアクセスネットワーク３８からパケットを受信し、転送機能７０を利用して、それが論理ポートに対してマップ化しているようにアクセスネットワーク３８の設定によって指示される適切な論理ポート６６ａまたは６６ｂにパケットを転送する。各論理ポート６６において、パケットは分類器１００を通過する。分類器１００は分類器テーブル１０２にアクセスするために上で述べた同じ組の見出し内の１以上の見出しを採用している。典型的な実施においては、分類器１００の結果の検査は、取締りおよびマーキングは滅多に要求されないために分類器８０の検査よりも複雑ではない。このように示された実施例においては、パケットは転送機能６２によって論理ポート６６の分類器１００から直接パケットのＤＳＣＰに基づくテーブル検査において特定されたＬＡＮポート６０ａの特定の列Ｑ０−Ｑ２に転送される。上記したように、ＬＡＮポート６０ａの列Ｑ０−Ｑ２はＷＦＱを実施し、顧客ＬＡＮ３２にパケットを転送する、スケジューラ１０２によって処理される。
【００２９】
図６Ａを参照して、ＶＰＮ機能のないＱｏＳ承知境界ルータのより詳細なブロック図が示されている。ＶＰＮ機能は例えば境界ルータ４２を実行するために図４のネットワークアーキテクチャ内で使用されてもよい。示されているように、図６Ａの境界ルータ４２は複数の物理ポート１１６と、入来パケットのために転送機能１１２および発信パケットのためのスケジューラ１１４によってアクセスネットワーク３８に接続された複数の論理ポート１１０と、論理ポート１１０および物理ポート１１６間でパケットを転送する転送機能１１８とを含む。複数の物理ポート１１６の実施によって、ネットワークコアルータに対する障害耐性接続が許容され、アクセスネットワーク３８に接続された複数の論理ポートの実施は一つの論理ポートの実施によって、一つの論理ポート（すなわちＬＰ−１１１０ａ）をディフサーブ可能な論理ポートとして、また第二論理ポート（すなわちＬＰ−２１１０ｂ）をベストエフォート型の論理ポートとして設定することが許容される。
【００３０】
このように、アクセスネットワーク３８から境界ルータ４２のＬＰ−２１１０ｂを介してネットワークコアへ至るトラフィックに対して、ＬＰ−２１１０ｂの分類器１２４はすべてのパケットを分類器テーブル１２６に従ってマーカＭ０に向ける。マーカＭ０はＤＳＣＰ０００でＬＰ−２１１０ｂで受信したすべてのパケットについて意見を述べ(remark)、このように、パケットをベストエフォート型のトラフィックとして特定する。対照的に、ＬＰ−１１１０ａの分類器１２０は、信頼されたＣＰＥ（例えばサービスプロバイダが管理するＣＰＥエッジルータ３４）でＤＳＣＰマーキングを既に受信した入来パケットをＰＨＹ−１１１６ａ上の列Ｑ０−Ｑ２にマップ化するために分類器テーブル１２２を利用する。この列はＱｏＳの異なるレベルに各々が関連している。パケットは、信頼されたＣＰＥによって、既にマルチフィールドに分類され、マークされまた合わされて（shaped)いるため、境界ルータ４２はパケットに対して意見を述べる必要はない。しかしながら、もし送信ＣＰＥエッジルータがＣＰＥによって信頼されないのであれば、境界ルータ４２はＬＰ−１１１０ａで受信したパケットに対して意見を述べまた取り締まる必要があるであろう。
【００３１】
分類（およびＬＰ−２１１０ｂで受信したトラフィックの場合においてはマーキング）に続いて、トラフィックは転送機能１１８によって適切な物理ポート１１６または論理ポート１１０に転送される。フルの転送検査を実行するために分類器を使用している図５のエッジルータ３４と対照的に、境界ルータ４２は代わりの設計を採用しており、そこでは転送機能１１８が出力ポート、すなわち、この例においてはＬＰ−１１１０ａ、ＬＰ−２１１０ｂ、またはＰＨＹ−１１１６ａを決定するためにパケットのＤＡで転送テーブル１２８にアクセスする。非ＶＰＮルータの場合は、転送テーブル１２８には、一般的なＩＰルーティングプロトコル（例えばボーダゲートウエイプロトコル（ＢＧＰ））または静的設定（例えば、ＬＰ−２１１０ｂでの２４ビットのＩＰアドレスプリフィックス“ｄ．ｅ．ｆ．”の関連）が存在する（populated)。代わりの実施例は転送機能６２内に機能を転送するＩＰ検査を中央に位置させうる。図６に示された模範的な実施例は境界ルータ４２がネットワークコアに送られるすべてのトラフィックをコアルータに接続された物理的なポート１１６のただ一つに送信すると仮定する。別の実施例ではもちろん、物理ポート１１６を介してバランスしたトラフィックを負担させることも可能である。加えて、コアルータを削除したり、一以上のコアルータに対して一以上の論理ポートを採用する実施例も示された設計のまっすぐな拡張である。
【００３２】
境界ルータ４２を介したアクセスネットワーク３８に通信されるトラフィックに対しては、分類器１３２がパケットのＤＳＣＰによって指示されたＱｏＳに対して列Ｑ０−Ｑ２の適切な一つに各パケットを向けるためのパケットのＤＳＣＰを使用した分類器テーブル１３４にアクセスする。ディフサーブ可能な論理ポート１１０を購入した顧客に対しては、起点ＣＰＥが適切なＤＳＣＰ値でフローを取り締まりかつマークするため、これが所望のＱｏＳを配送する効果を有する。ベストエフォート型の顧客がより高い質のトラフィックを受けることができるが、そのような一方通行の差別されたサービスを防ぐことは分類器においてかなりの付加的な複雑さを要求し、サービスプロバイダネットワークにおける各エッジルータに対してルーティングプロトコルを介してＱｏＳ情報の分配を含む。
【００３３】
図６Ｂを参照して、図４に示されたネットワークアーキテクチャ内においてディフサーブ可能な、およびＤｏＳに対して保護されたＶＰＮサービスを提供するために使用されてもよい、ＱｏＳ承知(aware)ＶＰＮ境界ルータ４０のより詳細なブロック図が示されている。示されているように、境界ルータ４０はディフサーブ可能なＩＰＶＰＮネットワーク４４のコアルータに接続するための複数の物理ポート２２６と、入来パケットのための転送機能２２０によってアクセスネットワーク３８に接続された複数のディフサーブ可能な論理ポート２２４と、発信のためのスケジューラ２２２と、論理ポート２２４と物理ポート２２６の間のパケットを転送する転送機能２２８とを含む。
【００３４】
境界ルータ４０上で実行される各ディフサーブ可能な論理ポート２２４の各々は複数のＶＰＮのそれぞれの一つを処理する。例えば、ディフサーブ可能な論理ポートをＬＰ−Ａ２２４ａは、２４ビットのＩＰアドレスプレフィックス“ａ．ｂ．ｃ．”および“ａ．ｂ．ｄ．”を有する顧客サイトを含むＶＰＮＡに属する顧客サイトにサービスを提供する。同様に、ディフサーブ可能な論理ポートＬＰ−Ｂ２２４ｂは２４ビットＩＰアドレスプレフィックス“ｂ．ｃ．ｄ．”および“ｂ．ｃ．ｅ．”を有する二つの顧客サイトを含むＶＰＮＢに属する顧客サイトにサービスを提供する。ディフサーブ可能な論理ポート２２４は、ベストエフォート型のＩＰ公衆ネットワーク４６に属するサイトにはサービスを提供しない。というのは、そのようなトラフィックは図４に示されるように、境界ルータ４２に送られるからである。
【００３５】
図６Ｂにさらに例示されているように、境界ルータ４０の各コアに対面している物理ポート２２６は論理トンネル２４０として実施される複数のサブインターフェイスに論理的に分割される。当業者に理解されるように、トンネルはＩＰ−オーバ−ＩＰトンネル、一般ルーティングカプセル化（Generic Routing Encapsulation,ＧＲＥ）トンネル、トンネルモードで作動されたＩＰセック(IPsec)、多重プロトコルラベル切り替え（ＭＰＬＳ）ラベルの積み重ねられた組、レイヤ２トンネルプロトコル（Ｌ２ＴＰ）またはナル(null)トンネルを含む各種の技術の任意のものを使用して実行されうる。そのようなトンネルは、複数のＶＰＮに対するルーティング情報はネスト化された方法でトンネルに関連されうるという点で論理ポートと区別できる。例えば、ＩＥＴＦＲＦＣ２５４７[E. Rosen et al.,"BGP/MPLS VPNs" March 1999]に述べられているボーダゲートウエイプロトコル（ＢＧＰ）／ＭＰＬＳＶＰＮにおいては、最高のＭＰＬＳラベルが宛先境界ルータを決定し、一方最後のラベルが宛先ＶＰＮを決定する。
【００３６】
動作において、ディフサーブ可能な論理ポート２２４の各々の分類器２３０は、それぞれの分類器テーブル２３２を参照してパケットのＤＳＣＰ値に応じてディフサーブ可能なＩＰＶＰＮネットワーク４４のネットワークコアに対して境界ルータ４０を介してアクセスネットワーク３８からのパケットフローを分類する。示されているように、分類器テーブル２３２ａおよび２３２ｂは各パケットに対して物理ポートＰＨＹ−１２２６ａで列Ｑ０−Ｑ２の適切な一つを決定するための見出しとしてＤＳＣＰを使用してアクセスされる。物理ポート２２６によって受信されたパケットは、論理ポート２２４の一つで各パケットに対して列Ｑ０−Ｑ２の適切な一つを決定するために、分類器テーブル２５４を参照することによって分類器２５０によって同様に分類される。分類（およびＬＰ−Ｂ２２４ｂで示される選択的な（再）マーク）の後、選択機能２２８は、それぞれのＶＰＮに各々が関連するＶＰＮ転送テーブル２３４ａ−２３４ｎを参照して論理ポート２２４と物理ポート２２６との間でパケットを交換する。このように、例えば、ＶＰＮ転送テーブル２３４ａはＶＰＮＡのための転送ルートを提供し、ＶＰＮ転送テーブル２３４ｂはＶＰＮＢに対する転送ルートを提供する。
【００３７】
ＶＰＮ転送テーブル２３４は見出しとして起点ポートとＤＡを使用してアクセスされる。例えば、転送テーブル２３４ａにおいて表された模範的なネットワーク設定においては、２４ビットのＩＰアドレスプレフィックス“ａ．ｂ．ｄ．”を有するＤＡでアドレスされたＶＰＮＡ内のトラフィックはＴＮＬ−１２４０ａを妨害し(traverse)、ＴＮＬ−２４０ｂで受信されたトラフィックはＬＰ−Ａ２２４ａに向けられる。ＴＮＬ−２２４０ｂとＬＰ−Ｂ２２４ｂ間の同様の経路指定がＶＰＮルーティングテーブル２３４ｂにおいて見られうる。上で議論したように、ＶＰＮ転送テーブル２３４には静的設定またはルーティングプロトコルの動的な使用が存在する（populate)。
【００３８】
転送機能１７８による処理のあとで、各々のパケットはそれらのＤＳＣＰ値に応じた出力ポート列に向けられる。例えば、ＤＳＣＰ１０１に関連したＱｏＳクラスでマークされたパケットはＱ２内に位置され、ＤＳＣＰ０１０に関連したＱｏＳクラスでマークされたパケットはＱ１内に収納され、ＤＳＣＰ０００でマークされたトラフィックはＱ０内に収納される。スケジューラ２３６および２５２はそれから要求されたＱｏＳを達成するために列Ｑ０−Ｑ２からのパケットの出力を計画する。
【００３９】
図７を参照して、ＤｏＳ攻撃問題に対するネットワークベースのＶＰＮソリューションを提供する模範的なネットワークアーキテクチャ１５０が例示される。図７において、同様の参照符号およびトラフィック表記が図４に示されたネットワークアーキテクチャ３０の特徴に対応する特徴を特定するために使用される。
【００４０】
示されているように、図７のネットワークアーキテクチャ１５０は図４のネットワークアーキテクチャ３０と同様に、ディフサーブ可能なＩＰＶＰＮネットワーク４４と、ベストエフォート型のＩＰ公衆ネットワーク４６と、複数の顧客ローカルエリアネットワーク（ＬＡＮ）３２とを含む。上記のように、顧客ＬＡＮ３２ａおよび３２ｂは同じＶＰＮに属し、各々がパケットの送信器および／または受信器として機能しうる一以上のホスト４８を含む。各顧客ＬＡＮ３２はＣＰＥエッジルータ３４と物理アクセスリンク１５３によってそれぞれのアクセスネットワーク（例えば、Ｌ２またはＬ３アクセスネットワーク）１５４に接続される。ＱｏＳとベストエフォートトラフィックに対して別の論理接続を有している、図４のアクセスネットワーク３８と対照的に、アクセスネットワーク１５４は、ベストエフォート型のＩＰ公衆ネットワーク４６の境界ルータ４２に対して別の論理接続を有するディフサーブ可能なＩＰＶＰＮネットワーク４４の境界ルータ１５６に接続されているだけである。このように、ネットワーク４４に予定された内部ＶＰＮトラフィックとネットワーク４６に予定された余分のＶＰＮトラフィックは共に境界ルータ１５６を介して送信される。これはトラフィックの２クラス間の作業保存型計画は有利に許可されるということを意味する。しかしながら、その結果、境界ルータ１５６の複雑さは、各境界ルータ１５６が、顧客間で共有しうるフルのインターネット転送テーブルとともに、各付属の顧客に対する別の転送テーブルを実施しなければならないため、必ず増加する。
【００４１】
図８を参照して、図７において示されたネットワークアーキテクチャ内のディフサーブ可能なおよびＤｏＳ保護されたＶＰＮサービスを提供するために設定された、ポリサ(policer)、シェイパ(shaper)、スケジューラ、論理ポートアクセスネットワーク接続および転送テーブルがＱｏＳ承知ＶＰＮ境界ルータのより詳細なブロック図が示されている。示されているように、境界ルータ１５６はネットワークコアルータに接続するための複数の物理ポート１７６と、入来パケットのための転送機能１７０によってアクセスネットワーク１５４に接続された複数のディフサーブ可能な論理ポート１７４と、論理ポート１７４と物理ポート１７６との間のパケットを転送する転送機能１７８とを含む。
【００４２】
各ＣＰＥエッジルータ３４はアクセスネットワーク１５４を介して単一のアクセスリンクのみによって境界ルータ１５６に接続されているため、各ネットワーク顧客サイトは一つが内部ＶＰＮトラフィックに、一つが余分なＶＰＮトラフィックという一対のディフサーブ可能な論理ポート１７４によって境界ルータ１５６でサービスされる。例えば、ディフサーブ可能な論理ポートＬＰ−Ａ１１７４ａおよびＬＰ−Ａ２１７４は２４ビットＩＰアドレスプリフィックス“ａ．ｂ．ｃ．”と“ａ．ｂ．ｄ．”を有する少なくとも二つの顧客サイトを含むＶＰＮＡに属する単一顧客サイトにサービスを提供する。示された実施例においては、ＬＰ−Ａ１１７４ａはＶＰＮＡに属するサイトへおよびそのサイトからディフサーブ可能なＩＰＶＰＮネットワーク４４を介して通信されたＱｏＳトラフィックに対するアクセスを提供し、ＬＰ−Ａ２１７４ｂはベストエフォート型のＩＰ公衆ネットワーク４６へ、およびそこからのベストエフォートトラフィックに対するアクセスを提供する。
【００４３】
図８にさらに例示されているように、境界ルータ１５６の各コアに面した物理ポート１７６は論理トンネル１８０として実施される複数のサブインターフェイスに論理的に分割される。当業者に理解されるように、トンネルはＩＰ−オーバー−ＩＰトンネル、一般ルーティングカプセル化（ＧＲＥ）トンネル、トンネルモードにおいて操作されるＩＰセック、積層された多重プロトコルラベル切り替え（ＭＰＬＳ）ラベルの組またはナルトンネルを含む各種技術の任意のものを使用して実施されてもよい。そのようなトンネルは、多重ＶＰＮのためのルーティング情報がネスト化(nested)された方法でトンネルに関連されうるという点で、論理ポートと区別されうる。例えば、ＩＥＴＦＲＦＣ２５４７において述べられたボーダゲートウエイプロトコル（ＢＧＰ）／ＭＰＬＳＶＰＮにおいては、最高のＭＰＬＳラベルが宛先境界ルータを決定し、最後のラベルが宛先ＶＰＮを決定する。
【００４４】
動作において、ディフサーブ可能な論理ポート１７４の各々にある分類器１８２は、境界ルータ１５６を介してそれぞれの分類器テーブル１９０を参照してパケットのＤＳＣＰに応じてネットワークコアにアクセスネットワーク１５４からのパケットを分類する。示されているように、分類器テーブル１９０ａおよび１９０ｂは、各パケットに対して物理ポートＰＨＹ−１１７６ａの適切な列Ｑ０−Ｑ２の一つを決定するための見出しとしてＤＳＣＰを用いてアクセスされる。物理ポート１７６によって受信されたパケットは、論理ポート１７４の一つにおける各パケットのために列Ｑ０−Ｑ２の適切な一つを決定するために分類器テーブル１９２を参照することによって分類器１９８によって同様に分類される。分類（およびＬＰ−Ａ２１７４ｂで示されるような選択的な（再）マークの）後、転送機能１７８は、各々がそれぞれのＶＰＮおよび共有されたインターネット転送テーブル１９５に関連したＶＰＮ転送テーブル１９４ａ−１９４ｎを参照して論理ポート１７４と物理ポート１７６との間でパケットの交換を行う。このように、例えば、転送テーブル１９４ａはＶＰＮＡに対する転送ルートを提供する入口を含み、一方インターネット転送テーブル１９５は起点としてＬＰ−Ａ２またはＴＮＬ−２（すなわちインターネットアクセスに対して設定された論理インターフェイス）を特定するパケットのための転送経路を提供する入口を含む。
【００４５】
転送テーブル１９４は見出しとして起点ポートおよびＤＡを使用してアクセスされる。例えば、転送テーブル１９４ａにおいて表された模範的なネットワーク設定においては、２４ビットのＩＰアドレスプリフィックスの“ａ．ｂ．ｄ．”を有するＤＡでアドレスされた内部ＶＰＮトラフィックはＴＮＬ−１１８０ａを妨害し、一方余分なＶＰＮ（すなわちインターネット）トラフィックはＴＮＬ−２１８０ｂ（これはナルトンネルとなりうる）を妨害する。転送テーブル１９４ａは、ＴＮＬ−１１８０ａを介して受信した内部ＶＰＮトラフィックがＬＰ−Ａ１１７４ａに向けられ、２４ビットのＩＰアドレスプリフィックス“ａ．ｂ．ｃ．”を有するＤＡでアドレスされたトンネルＴＮＬ−２１８０ｂを介したインターネットから到着したすべての他のトラフィックはＬＰ−Ａ１１７４ｂに送信される。境界ルータ１５６（すなわちローカルＤＡを有するトラフィック）の他のポートで終了するトラフィックは境界ルータ１５６の他のポート（ＬＰ−ｘで示されている）に送信される。言い換えると、“ローカル”とマークされた転送テーブル１９４ａにおける入口は境界ルータ１５６のインターフェイスに割り当てられたＶＰＮ（例えばａ．ｂ．ｃ／２４）に割り当てられたプリフィックス以外のアドレスプリフィックスを特定する。
【００４６】
転送機能１７８によって処理されたあと、パケットはそれらのＤＳＣＰ値に応じた出力ポート列に向けられる。例えば、ＤＳＣＰ１０１に関連したＱｏＳクラスでマークされたパケットはＱ２内に位置され、ＤＳＣＰ０１０に関連したＱｏＳクラスでマークされたパケットはＱ１内に位置される、ＤＳＣＰ０００でマークされたベストエフォート型のトラフィックはＱ０内に位置する。スケジューラ１９６はそれから要求されたＱｏＳを達成するために列Ｑ０−Ｑ２からのパケットの出力を計画する。
【００４７】
今まで述べてきたように、この発明は、ＶＰＮの外の起点からのＤｏＳ攻撃に対してそのようなフローを保護しながら、余分なＶＰＮトラフィックにＱｏＳを提供するための改良されたネットワークアーキテクチャを提供する。この発明はネットワークに基づくＶＰＮサービスを使用した選択されたフローに対してＤｏＳで保護されたＱｏＳを、および適切に設定されたルーティングプロトコルでＬ２アクセスネットワークを用いたＣＰＥエッジルータに対して接続されたベストエフォート型のインターネットサービスを提供することである。エッジにおけるディフサーブマーキングおよびネットワークに基づくＶＰＮコアにおける処理は選択されたフローに対してＱｏＳを提供し、一方顧客ＶＰＮの外部から生じたトラフィックがサイトのアクセス能力を超えるためにＶＰＮネットワーク顧客サイトに対するＤｏＳの発生を防ぐために、内部ＶＰＮおよび余分なＶＰＮトラフィックを論理的に分割する。顧客のＶＰＮ内から生じたトラフィックからのさらなる保護さえもＩＥＴＦＲＦＣ２９９８[Y.Bernet et al., "A Framework for Intergrated Services Operation over Diffserv Networks" Nov. 2000]に記載されているようにＣＰＥエッジルータおよび／またはＱｏＳ承知境界ルータにおいて実施されたイントサーブポリシー制御を使用して可能になる。
【００４８】
この発明のネットワークアーキテクチャは、ＣＰＥに基づく、およびネットワークに基づく実施において実現されてもよい。ＣＰＥに基づく実施であれば、ＣＰＥエッジルータおよびサービスプロバイダ境界ルータにリンクしたアクセスネットワークの設定が容易になり、全サービスプロバイダネットワークを介したディフサーブを実施することなくＶＰＮサイトにＱｏＳが提供される。ネットワークに基づく設定は、余分なＶＰＮトラフィックが内部ＶＰＮトラフィックに割り当てられた余分のアクセス能力を利用することを許容する。
【００４９】
この発明の各種実施例が上記で述べられたが、それらは単なる例示であって限定と理解されるべきではない。このように、この発明の広さおよび範囲は上記の模範的な実施例によって限定されるものではなく、以下のクレームおよびその均等物に応じてのみ規定されるべきである。例えば、この発明はネットワークに基づくＶＰＮがディフサーブネットワーク内で実施された好ましい実施例に関して述べられたが、この発明はディフサーブネットワークと共に用いるものに限定されるものではなく、例えば、ＲＦＣ２５４７において教示されているＢＧＰ／ＭＰＬＳ、またはＲＦＣ２９１７において教示されている仮想ルータの使用[K. Muthkrishnan et al., "A Core MPLS IP VPN Architecture" Sept. 2000]によって実施されてもよい、他のネットワークに基づくＶＰＮと共に代わりに用いられてもよい。加えて、図３、４および７は各ＣＰＥエッジルータのＶＰＮネットワークへの接続およびあるアクセスリンクによるベストエフォート型ネットワークへの接続を例示したが、冗長化のために、ＣＰＥエッジルータがＶＰＮの各々の一以上の境界ルータおよびベストエフォート型のネットワークに論理的に接続を提供する、一以上のアクセスネットワークに多重アクセスリンクによって接続されてもよいということを理解すべきである。そのような「二重ホーム」実施においては、多重アクセスリンクはサービスプロバイダ境界ルータにおける静的経路の設立またはルーティングプロトコル（例えばＥＢＧＰ）を利用したサービスプロバイダ境界ルータの動的設定を介してプライマリ／バックアップまたは負荷共有配置のいずれかにおいて使用されうる。これは、ＣＰＥエッジルータが多重転送テーブルを実施するＶＰＮおよびインターネットのためのルーティングプロトコルの別の事例はアドレス空間にアクセスすることを要求する。そのようなＣＰＥエッジルータの実施例は図８に例示され、関連する文章で述べられたものと同様であり、単に単一のＶＰＮテーブルとインターネット経路のための単一のテーブルが設けられているだけである。
【図面の簡単な説明】
【００５０】
【図１】ＲＳＶＰを用いたフローごとのＱｏＳを実行する従来の統合サービス（イントサーブ）ネットワークを示す図である。
【図２】各パケットヘッダーにおいてＤＳＣＰマークを用いた集合トラフィックフロー上でＱｏＳを実行する従来の差別化されたサービス（ディフサーブ）ネットワークを例示する図であり、それゆえサービスの拒否（ＤｏＳ）攻撃に対して弱い。
【図３】この発明の好ましい実施例に従った、仮想私設網（ＶＰＮ）における会員資格を参照することによってアクセス能力の分割割当および／または優先順位付けを行うことによってＤｏＳ攻撃に耐えうる模範的な通信ネットワークを例示する。
【図４】ＤｏＳ攻撃問題に対してＣＰＥベースのＶＰＮソリューションを提供する模範的なネットワークアーキテクチャを例示する図である。
【図５】図４および７において例示されたネットワークアーキテクチャ内で使用されうるＱｏＳ承知（aware)ＣＰＥエッジルータのより詳細なブロック図である。
【図６Ａ】図４および図７に例示されたネットワークアーキテクチャ内で使用されてもよいＶＰＮ機能のないＱｏＳ承知境界ルータのより詳細なブロック図である。
【図６Ｂ】図４に例示されたネットワークアーキテクチャ内で使用されてもよいＶＰＮ機能を有するＱｏＳ承知境界ルータのより詳細なブロック図である。
【図７】ＤｏＳ攻撃問題に対するネットワークに基づくＶＰＮソリューションを提供する模範的なネットワークアーキテクチャを例示する図である。
【図８】図７に示されたネットワークアーキテクチャ内で使用されうるＱｏＳ承知ＶＰＮ境界ルータのより詳細なブロック図である。

Claims

仮想私設網（ＶＰＮ）に属する宛先ホストに対するアクセスリンクへのサービスの拒否攻撃に耐えるネットワークシステムであって、
前記ネットワークシステムは、
アクセスリンクを含むアクセスネットワークへの接続を有する一以上の出口境界ルータを含み、前記一以上の出口境界ルータは内部ＶＰＮおよび余分なＶＰＮトラフィックのための別々のアクセスネットワーク論理接続内で、ＶＰＮ内の起点から内部ＶＰＮトラフィックおよびＶＰＮの外部の起点からの余分なＶＰＮトラフィックを送信し、
ＶＰＮの外部の起点から生じた前記アクセスリンクへのサービスの拒否攻撃が防がれるように、内部ＶＰＮと余分なＶＰＮトラフィックを論理的に分割するネットワークに基づくＶＰＮプロトコルを使用した通信のための一以上の出口境界ルータに接続された複数の入口境界ルータを含む、ネットワークシステム。
複数の入口境界ルータの少なくとも一つおよび一以上の出口境界ルータの少なくとも一つに接続された、差別化されたサービスネットワークをさらに含む、請求項１に記載のネットワークシステム。
前記複数の入口境界ルータのそれぞれの一つに接続された複数の顧客構内装置（ＣＰＥ）エッジルータをさらに含む、請求項１に記載のネットワークシステム。
アクセスネットワークをさらに含む、請求項１に記載のネットワークシステム。
アクセスリンクへの顧客構内装置（ＣＰＥ）エッジルータをさらに含む、請求項４に記載のネットワークシステム。
前記ＣＰＥエッジルータは前記アクセスリンクに接続された物理ポートを有し、前記物理ポートは、内部ＶＰＮトラフィックに対して第一論理ポートを実施し、余分なＶＰＮトラフィックに対しては第二論理ポートを実施する、請求項５に記載のネットワークシステム。
前記複数の入口境界ルータの少なくとも一つは、内部ＶＰＮと余分なＶＰＮトラフィックを論理的に分離する複数のトンネルを実施する、請求項１に記載のネットワークシステム。
前記一以上の出口境界ルータは、前記内部ＶＰＮトラフィックへの複数の異なるサービスの質を提供する、請求項１に記載のネットワークシステム。
仮想私設網（ＶＰＮ）に属する宛先ホストにアクセスリンクを有するアクセスネットワークを含み、前記アクセスネットワークはＶＰＮ内の起点からの内部ＶＰＮトラフィックに対する第一論理接続およびＶＰＮ外の起点からの余分なＶＰＮトラフィックのための第二論理接続をサポートし、
アクセスネットワークへの接続を有する一以上の出口境界ルータを含み、前記一以上の出口境界ルータは、第一論理接続を介して内部ＶＰＮトラフィックを宛先ホストに送信し、第二論理接続を介して宛先ホストに対して余分なＶＰＮトラフィックを送信し、
ＶＰＮ外の起点から生じる前記アクセスリンクへのサービスの拒否攻撃を防ぐことができるように、内部ＶＰＮおよび余分なＶＰＮトラフィックを論理的に分割するネットワークに基づくＶＰＮプロトコルを使用して通信するための一以上の出口境界ルータに接続された複数の入口境界ルータを含む、ネットワークシステム。
複数の入口境界ルータの少なくとも一つおよび一以上の出口境界ルータの少なくとも一つに接続された差別化されたサービスネットワークをさらに含む、請求項９に記載のネットワークシステム。
前記複数の入口境界ルータのそれぞれの一つに各々が接続された複数の顧客構内装置（ＣＰＥ）エッジルータをさらに含む、請求項９に記載のネットワークシステム。
アクセスリンクへの顧客構内装置（ＣＰＥ）エッジルータをさらに含む、請求項９に記載のネットワークシステム。
前記ＣＰＥエッジルータは、前記アクセスリンクに接続された物理ポートを有し、前記物理ポートは内部ＶＰＮトラフィックに対して第一論理ポートを、外部ＶＰＮトラフィックに対しては第二論理ポートを実施する、請求項１２に記載のネットワークシステム。
前記複数の入口境界ルータの少なくとも一つは内部ＶＰＮおよび余分なＶＰＮトラフィックを論理的に分割する複数のトンネルを実施する、請求項９に記載のネットワークシステム。
前記一以上の出口境界ルータは前記内部ＶＰＮトラフィックに対して複数の異なるサービスの質を提供する、請求項９に記載のネットワークシステム。
サービスの拒否攻撃に対して、仮想私設網（ＶＰＮ）に属する宛先ホストへのアクセスリンクを保護する方法であって、
前記方法は、
アクセスリンクを含むアクセスネットワークにおいて、ＶＰＮ内の起点からの内部ＶＰＮトラフィックのための第一論理接続およびＶＰＮ外の起点からの余分なＶＰＮトラフィックのための第二論理接続を提供するステップを含み、
複数の入口境界ルータから一以上の出口境界ルータへ、前記宛先ホストに予定された内部ＶＰＮおよび余分なＶＰＮトラフィックを通信するステップを含み、前記内部ＶＰＮトラフィックおよび前記余分なＶＰＮトラフィックは内部ＶＰＮおよび余分なＶＰＮトラフィックを論理的に分割するネットワークに基づくＶＰＮプロトコルを使用して送信され、
第一論理接続を介して一以上の出口境界ルータから宛先ホストに対して内部ＶＰＮを送信し、第二論理接続を介して宛先ホストに対して前記一以上の出口境界ルータから余分なＶＰＮトラフィックを送信するステップを含み、それによって、ＶＰＮ外部の起点から発生する前記アクセスリンクに対するサービスの拒否攻撃が防がれる、方法。
前記通信は差別化されたサービスプロトコルを使用する通信を含む、請求項１６に記載の方法。
顧客構内装置（ＣＰＥ）エッジルータが前記アクセスネットワークと前記宛先ホストとの間に接続され、前記方法はさらに、
アクセスリンクに接続されたＣＰＥエッジルータの物理的ポートで、第一および第二論理ポートを提供するステップと、
第一論理ポートで内部ＶＰＮトラフィックを受信し、第二論理ポートで余分なＶＰＮトラフィックを受信するステップとを含む、請求項１６に記載の方法。
複数のトンネルを用いて前記複数の入口境界ルータの少なくとも一つによって内部ＶＰＮおよび余分なＶＰＮトラフィックを論理的に分割するステップをさらに含む、請求項１６に記載の方法。
前記一以上の出口境界ルータは前記内部ＶＰＮトラフィックに対して複数の異なるサービスの質を提供するステップをさらに含む、請求項１６に記載の方法。