JP2005117209A - ポリシ制御回路 - Google Patents

Abstract

【課題】 経済性に優れ、フレキシブルなポリシ制御を実現できるポリシ制御回路を提供する。
【解決手段】 リコンフィギュレーション可能なＤＡＰ／ＤＮＡチップ上に、ポリシ制御に必要ないくつかの機能ブロックを設計しておき、必要な機能ブロックのみをコンフィギュレーションして実装し、その基本部と応用部とを定義し、基本部から応用部にはビット情報でヘッダやプロトコルタイプ等の情報を渡し、応用部からはカウント指示や廃棄指示等ポリシにあった命令が渡される。
【選択図】 図１

Description

本発明は、ルータなどのパケット転送装置に利用する。特に、パケット転送処理のポリシ制御技術に関する。

従来のポリシ制御チップの構成と動作を図８〜図１０に示す。図８はポリシ処理チップの構成を示す図である。図９はネットワーク内の同チップの配置箇所を示す図である。図１０は各配置箇所の必要とされる機能例を示す図である。

図９に示すように、大きく分類して、ネットワークの中で４箇所にポリシ制御チップを適用する。
（１）ＶＰＮ(Virtual Private Network)の入口：ＶＰＮは特定のユーザ間で定義されたものであり、事前に許可されたＳＡ(Source
Address)／ＤＡ(Destination Address)のペア以外のパケットは通過させない。しかし、それ以外に関しては、比較的ＶＰＮの運用ポリシに基づき設定される。
（２）中継ルータ：中継ルータは高速なフォワーディングのみを行い、特別な場合を除き、他のフィールドをみることはない。
（３）エッジルータ：エッジルータは、ポリシ制御上最も重要な役割を担う。エッジでは、ＴＯＳ(Type of Service)をベースとして優先制御や禁止されているプロトコルタイプ（例えばＵＤＰ(User Datagram
Protocol)パケットの禁止）のフィルタリングを行う。エッジルータの上り（端末からネットワーク）に関しては、レート制御や禁止プロトコルの網内への流入をくいとめるためのフィルタを、エッジルータの下り（ネットワークから端末）に関しては、ユーザへの攻撃や影響を抑えるためのフィルタリングが重要である。
（４）サーバ入口：サーバへの下りは特にＤｏＳやハッカによる攻撃が多い。そのためファイヤーウォールとして、許されているポート番号やプロトコルタイプ等、また、レートに関しても詳細にフィルタリングする。
日経エレクトロニクス、２００３年１月６日、ｐｐ．１１１−１２２、「１０ｎｓで演算器間の構成を書き換えるダイナミック・リコンフィギュアブル技術を開発」 日経エレクトロニクス、２００２年１１月１８日、ｐｐ．５９−６６、「ソフトの発想が仮想回路を生む、ハードが瞬時に七変化」 日経エレクトロニクス、２００２年７月２９日、ｐｐ．１１４−１２３、「回路なんて誰でも作れる、脱ハードウェア指向へ」

図１０は、以上の説明を図にしている。ポリシ制御チップは、それぞれの機能をすべて作り込んでおき、必要に応じて用いるという手段が考えられる。もしくは、複数種類のポリシ制御チップを作り、それぞれ別のチップを必要な場所に適用するという方法もある。しかし、前者の場合は高価なチップを開発し、その一部の機能しか用いていないという問題があり、後者の場合はＬＳＩの品種が増えて経済性の問題がある。

本発明は、このような背景に行われたものであって、経済性に優れ、フレキシブルなポリシ制御を実現できるポリシ制御回路を提供することを目的とする。

本発明のポリシ制御回路は、リコンフィギュレーション可能なＤＡＰ／ＤＮＡ(Data
Application Processor/Distributed Network Architecture)チップ上に、ポリシ制御に必要ないくつかの機能ブロックを設計しておき、必要な機能ブロックのみをコンフィギュレーションして実装し、その基本部と応用部とを定義し、基本部から応用部にはビット情報でヘッダやプロトコルタイプ等の情報を渡し、応用部からはカウント指示や廃棄指示等ポリシにあった命令が渡されることを最も主要な特徴とする。

すなわち、本発明は、ＩＰパケットのヘッダの情報に基づき当該ＩＰパケットの処理に関するポリシを決定するポリシ制御回路であって、本発明の特徴とするところは、ＩＰパケットからヘッダの情報を抽出する手段と、このヘッダの情報から所定ビットの切り出しを行う手段と、この所定ビットの情報を当該ＩＰパケットの処理に関するポリシ解析手段に転送する応用部インタフェースと、このポリシ解析手段の解析結果に基づき当該ＩＰパケットの転送を制御する手段とを備えた基本部と、１以上の異なるポリシ解析を前記所定ビットの情報に基づきそれぞれ行う１以上の前記ポリシ解析手段と、このポリシ解析手段によるポリシ解析結果を前記制御する手段に転送する基本部インタフェースとを備えた応用部とを備えたところにある。

このように、基本部と応用部とがそれぞれ独立していることから、基本部はそのままにして応用部だけを変更することにより多種多様な用途に適用させることができる。

前記基本部インタフェースおよび前記応用部インタフェースには、前記基本部インタフェースと前記応用部インタフェースとの間にパケットを送受信する手段をそれぞれ備え、この送受信する手段は、前記基本部から前記応用部に向かう前記パケットに前記所定ビットの情報および当該ＩＰパケットの処理の種別を特定する識別情報を搭載する手段と、前記応用部から前記基本部に向かう前記パケットに当該ＩＰパケットの処理の種別を特定する識別情報および前記ポリシ解析結果を搭載する手段とを備えることができる。

これにより、応用部に複数のポリシ解析手段を有する場合に、基本部からのパケットをこれらのポリシ解析手段に振り分けることができるため、基本部と応用部との間の通信処理を簡単化することができる。

また、本発明のポリシ制御回路をＤＡＰ／ＤＮＡ(Data Application
Processor/Distributed Network Architecture)型コンフィギュラブルプロセッサ上に実装するときには、例えば、前記応用部は、ＤＡＰに実装され、前記基本部は、ＤＮＡに実装される。あるいは、ＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上で、前記応用部は、ＤＮＡおよびＤＡＰ上に実装され、前記基本部は、ＤＮＡ上に実装されることもできる。

ここで、ＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサについて簡単に説明すると、ＤＡＰ／ＤＮＡは、主に２つの部分から成る。１つは、ＲＩＳＣ型ＣＰＵコアのＤＡＰであり、もう１つは、「エレメント」と呼ぶ演算器がマトリクス状に並んだデータ処理部のＤＮＡである。ＤＡＰ／ＤＮＡは、アプリケーション開発時のシミュレーションさえ通過すれば、実チップでの実行が完全に保証されることを特徴とし、ＦＰＧＡやＤＳＰ向けの開発で見られるようなコードの最適化や開発工程の後戻りなどは原則として発生しない（例えば、非特許文献１〜３参照）。

これにより、応用部の機能を変更または追加する場合には、容易にこの作業を行うことができる。

本発明の他の観点は、互いに異なる機能を有するネットワーク構成装置に設けられたＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上に本発明のポリシ制御回路の前記基本部および前記応用部を実装するポリシ制御回路の実装方法であって、本発明の特徴とするところは、前記応用部の前記ポリシ解析手段を、前記ネットワーク構成装置において必要不可欠と判断されるポリシ解析手段に限定して実装するところにある。

これにより、チップにそれぞれの機能をすべて作り込んでおき、必要に応じて用いるという従来方法、もしくは、複数種類のポリシ制御チップを作り、それぞれ別のチップを必要な場所に適用するという従来方法における高価なチップ開発、もしくは、ＬＳＩの品種が増えるなどの問題を回避することができる。

本発明によれば、経済性に優れ、フレキシブルなポリシ制御を実現できる。

本発明実施例のポリシ制御回路の構成を図１ないし図３を参照して説明する。図１は本実施例のポリシ制御回路の全体構成図である。図２は本実施例のポリシ制御回路の基本部の構成図である。図３は本実施例のポリシ制御回路の応用部の構成図である。

本発明実施例は、ＩＰパケットのヘッダの情報に基づき当該ＩＰパケットの処理に関するポリシを決定するポリシ制御回路であって、本実施例の特徴とするところは、図１および図２に示すように、ＩＰパケットからヘッダの情報を抽出するヘッダ抽出部１と、このヘッダの情報から所定ビットの切り出しを行うビットセレクト部２と、この所定ビットの情報を当該ＩＰパケットの処理に関するポリシ解析ＣＰＵ４−２〜４−ｉに転送する応用部インタフェース３と、このポリシ解析ＣＰＵ４−２〜４−ｉの解析結果に基づき当該ＩＰパケットの転送を制御するデータ処理ＣＰＵ６とを備えた基本部２０と、図１および図３に示すように、１以上の異なるポリシ解析を前記所定ビットの情報に基づきそれぞれ行う１以上のポリシ解析ＣＰＵ４−２〜４−ｉと、このポリシ解析ＣＰＵ４−２〜４−ｉによるポリシ解析結果をデータ処理ＣＰＵ６に転送する基本部インタフェース５とを備えた応用部２１とを備えたところにある。

図４はＡ−インタフェース情報例を示す図である。基本部インタフェース５および応用部インタフェース３には、基本部インタフェース５と応用部インタフェース３との間にパケットを送受信する手段をそれぞれ備え、この送受信する手段は、図４に示すように、基本部２０から応用部２１に向かう前記パケットに前記所定ビットの情報である抽出ビット１０および当該ＩＰパケットの処理の種別を特定する処理ＩＤ１１を搭載する手段と、応用部２１から基本部２０に向かう前記パケットに当該ＩＰパケットの処理の種別を特定する結果ＩＤ１３および前記ポリシ解析結果としてのデータ１４を搭載する手段とを備える。

なお、基本部２０から応用部２１に向かう前記パケットの抽出ビット１０および処理ＩＤ１１によってポリシ解析ＣＰＵ４−２〜４−ｉのいずれかに前記パケットが転送されるが、データ１２には、必要に応じて添付データなどを書き込むことができる。

図５はＤＡＰ／ＤＮＡチップの構成例を示す図である。図６および図７はＤＡＰ／ＤＮＡチップ上の基本部および応用部の実装例を示す図である。本実施例のポリシ制御回路は、図５に示すＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上で、図６に示すように、応用部２１は、ＤＡＰに実装され、基本部２０は、ＤＮＡに実装される。あるいは、ＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上で、図７に示すように、応用部２１は、ＤＮＡおよびＤＡＰ上に実装され、基本部２０は、ＤＮＡ上に実装される。

また、図９に示したように、互いに異なる機能を有するＶＰＮの入口、中継ルータ、エッジルータ、サーバ入口などのネットワーク構成装置に設けられたＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上に本実施例のポリシ制御回路の基本部２０および応用部２１を実装する際には、応用部２１のポリシ解析ＣＰＵ４−２〜４−ｉを、前記ネットワーク構成装置において必要不可欠と判断されるポリシ解析ＣＰＵに限定して実装する。

以下では、本実施例をさらに詳細に説明する。

（実施例１）
実施例１のポリシ制御回路は、リコンフィギュレーションが原則的にされない汎用的かつ固定的な基本部２０と、必要な機能や変更を必要とする機能ブロックを入れる応用部２１とからなる。基本部２０と応用部２１は、Ａ−インタフェースで接続される。また、基本部２０から、例では、ＯｐＳやディスプレイへのアラームの表示や外部ＲＡＭへのアクセスができる。応用部２１は、リコンフィギュレーション可能であり、必要な機能を必要なだけ実現する。

図２に基本部２０の構成例を示す。データの内、ＩＰパケットのヘッダ部分がヘッダ抽出部１でコピーされる。ビットセレクト部２はＩＰヘッダ内の、例えば、ＳＡ、ＤＡ等のビットを切り出す。データ処理ＣＰＵ６は、主にデータの振り分けを行う。ここで述べるＣＰＵは簡易な構造のものであり、振り分けだけを行い、ワイヤーロジックを実現することも可能である。

このＣＰＵで応用部２１に転送するデータのＡ−インタフェース上のフォーマットへ加工する。例えば、ＤＡをベースにフォワーディングのポートをたずねたり、ＳＡ／ＤＡペアをベースにＶＰＮで許可されているかをたずねたりするときに、この回路が使われている。

図３は、応用部２１のブロック図である。基本部２０から渡されたデータをもとに、例えば、ＤＡをベースにフォワーディング処理ＣＰＵ４−１に宛先のポートをたずねる。フォワーディング処理ＣＰＵ４−１では、宛先のポートをつけて基本部インタフェース５へ返信する。また、例えば、ＤＡをベースにポリシ解析ＣＰＵ（＃１）４−１にたずねると、当該ＤＡは、優先であれば、優先という情報と一緒に返信されるシステムである。

このポリシ解析ＣＰＵ（＃１）〜（＃ｉ）は、解析の内容も数もリコンフィギュアブルであり、必要な数だけ必要な機能を配置することができる。個々のＣＰＵも比較的簡易なものであり、簡単なものは比較器とレジスタで実現できる。

図４に、Ａ−インタフェースの情報例を示す。Ａ−インタフェースは簡易パケットのフォーマットをしており、基本部２０から応用部２１へは抽出ビット１０および処理ＩＤ１１およびデータ１２で構成されており、例えば、ＤＡ、閾値越え処理要求（輻輳制御）、ネットワークの混雑状態のように通知する。特定ＤＡへのレートをコントロールする場合等に用いることが考えられる。

一方、応用部２１から基本部２０へは、結果ＩＤ１３とデータ１４がついており、例は図中に示したように、出力ポートの解析なら、出力ポート番号、優先か否か、廃棄の要否、カウント値等を受け渡す。

以上のように、機能は応用部２１のポリシ解析ＣＰＵ４−２〜４−ｉのコンフィグレーションによって実現できる。

（実施例２）
図５に、アイピーフレックス社のＤＡＰ／ＤＮＡ回路の構成を示す（例えば、非特許文献１〜３参照）。ＤＡＰ／ＤＮＡは、主に２つの部分から成る。１つは、ＲＩＳＣ型３２ビットＣＰＵコアのＤＡＰであり、もう１つは、「エレメント」と呼ぶ演算器がマトリクス状に１４８個並んだデータ処理部のＤＮＡである。ＤＡＰ／ＤＮＡは、アプリケーション開発時のシミュレーションさえ通過すれば、実チップでの実行が完全に保証されることを特徴とし、ＦＰＧＡやＤＳＰ向けの開発で見られるようなコードの最適化や開発工程の後戻りなどは原則として発生しない。

実施例２では、図６に示すように、ＤＮＡマトリックス上で基本部２０を実現し、基本部２０はデータのワイヤスピード（例えば２．４Ｇｂ／ｓ）で動作している。応用部２１は、ＤＡＰのソフトウェアで実現され、複雑なポリシ制御を可能としている。

（実施例３）
実施例３を図７に示す。応用部２１のうち、フォワーディングや単純なフィルタリングはＤＮＡ部で実現し、複雑なアタックの解析をＤＮＡとＤＡＰとで分担することができる。できるだけＤＮＡ上で実現することにより、ハードウェアの性能を引き出すことができる。もちろん、全ての機能をＤＮＡ上で実現することも可能な場合がある。

本発明は、ＤＡＰ／ＤＮＡのリコンフィギュアブル性を利用し、ポリシ制御方法を基本部と応用部とに分担していることを特徴とし、ネットワーク内の自由な箇所に必要な機能だけを実現することができ、経済性が優れている。また、ファイヤーウォール等は、攻撃の変化に追従できないが、本発明の方式であれば、それに対応することが可能であり、高性能でフレキシブルなポリシ制御回路を実現できる。

本実施例のポリシ制御回路の全体構成図。 本実施例のポリシ制御回路の基本部の構成図。 本実施例のポリシ制御回路の応用部の構成図。 本実施例のＡ−インタフェースの情報例を示す図。 ＤＡＰ／ＤＮＡの構成図。 実施例２のＤＡＰ／ＤＮＡへの基本部および応用部の実装を説明するための図。 実施例３のＤＡＰ／ＤＮＡへの基本部および応用部の実装を説明するための図。 従来のパケットポリシ処理を説明するための図。 ネットワーク構成とポリシ処理の必要な箇所を示す図。 ポリシ処理チップの動作例を示す図。

符号の説明

１ ヘッダ抽出部
２ ビットセレクト部
３ 応用部インタフェース
４−１ フォワーディング処理ＣＰＵ
４−２〜４−ｉ ポリシ解析ＣＰＵ
５ 基本部インタフェース
６ データ処理ＣＰＵ
７ ヘッダ処理部
８ アクセス制御部
９ カウンタ
１０ 抽出ビット
１１ 処理ＩＤ
１２、１４ データ
１３ 結果ＩＤ
２０ 基本部
２１ 応用部

Claims (5)

1. ＩＰパケットのヘッダの情報に基づき当該ＩＰパケットの処理に関するポリシを決定するポリシ制御回路において、
   ＩＰパケットからヘッダの情報を抽出する手段と、
   このヘッダの情報から所定ビットの切り出しを行う手段と、
   この所定ビットの情報を当該ＩＰパケットの処理に関するポリシ解析手段に転送する応用部インタフェースと、
   このポリシ解析手段の解析結果に基づき当該ＩＰパケットの転送を制御する手段と
   を備えた基本部と、
   １以上の異なるポリシ解析を前記所定ビットの情報に基づきそれぞれ行う１以上の前記ポリシ解析手段と、
   このポリシ解析手段によるポリシ解析結果を前記制御する手段に転送する基本部インタフェースと
   を備えた応用部と
   を備えたことを特徴とするポリシ制御回路。
2. 前記基本部インタフェースおよび前記応用部インタフェースには、前記基本部インタフェースと前記応用部インタフェースとの間にパケットを送受信する手段をそれぞれ備え、
   この送受信する手段は、
   前記基本部から前記応用部に向かう前記パケットに前記所定ビットの情報および当該ＩＰパケットの処理の種別を特定する識別情報を搭載する手段と、
   前記応用部から前記基本部に向かう前記パケットに当該ＩＰパケットの処理の種別を特定する識別情報および前記ポリシ解析結果を搭載する手段と
   を備えた請求項１記載のポリシ制御回路。
3. ＤＡＰ／ＤＮＡ(Data Application
   Processor/Distributed Network Architecture)型コンフィギュラブルプロセッサ上で、
   前記応用部は、ＤＡＰに実装され、
   前記基本部は、ＤＮＡに実装された
   請求項１または２記載のポリシ制御回路。
4. ＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上で、
   前記応用部は、ＤＮＡおよびＤＡＰ上に実装され、
   前記基本部は、ＤＮＡ上に実装された
   請求項１または２記載のポリシ制御回路。
5. 互いに異なる機能を有するネットワーク構成装置に設けられたＤＡＰ／ＤＮＡ型コンフィギュラブルプロセッサ上に請求項１ないし４のいずれかに記載のポリシ制御回路の前記基本部および前記応用部を実装するポリシ制御回路の実装方法であって、
   前記応用部の前記ポリシ解析手段を、前記ネットワーク構成装置において必要不可欠と判断されるポリシ解析手段に限定して実装する
   ことを特徴とするポリシ制御回路の実装方法。

Images