JP2006050361A - フロー制御機能を有する通信システム及びそのネットワーク機器 - Google Patents

Abstract

【課題】フロー制御機能を有する通信システム及びそのネットワーク機器に関し、Ｐａｕｓｅフレームにより、特定のトラフィックに対してのみ送信を停止又は許可するフロー制御を行うことを可能にする。
【解決手段】ＩＥＥＥ８０２．３ｘ方式のＰａｕｓｅフレームを用いたフロー制御によりトラフィック制御を行う通信システムにおいて、例えば、ネットワーク終端機器１−１は、Ｐａｕｓｅフレームの拡張領域を用い、制御対象のトラフィックを指定した拡張Ｐａｕｓｅフレームを、中継機器１−２、通信局側通信機器１−３、ユーザ側終端機器１−４、ユーザ端末１−５に配信し、制御対象のトラフィックが通過するネットワーク機器間で該拡張Ｐａｕｓｅフレームをチェーン化し、各ネットワーク機器で拡張Ｐａｕｓｅフレームにより指定されたトラフィックに対して、張Ｐａｕｓｅフレームによる指定に従って送信を拒否又は許可するトラフィック制御を行う。
【選択図】 図１

Description

本発明は、フロー制御機能を有する通信システム及びそのネットワーク機器に関し、特に、Ｅｔｈｅｒｎｅｔ（登録商標）ネットワークにおける過度のトラフィック発生時に、フロー制御によるトラフィック制御を行う通信システム及びそのネットワーク機器に関する。

従来、ＩＥＥＥ８０２．３に準拠したＥｔｈｅｒｎｅｔ（登録商標）ネットワークにおける機器間のパケット送受信において、端末から過度にトラフィックが発生された場合、ネットワークから溢れたパケットが廃棄され、パケットの損失が生じる。パケットの損失を防止するために、パケットの送信を制限するフロー制御が行われる。

ネットワーク機器がレイヤ２（Ｌ２）スイッチである場合、送受信されるパケットはパケットバッファに一時格納され、例えば１００Ｍｂｐｓのポートから１０Ｍｂｐｓのポートへ送信する場合などに発生するデータ量の差を吸収することができる。また、パケットバッファで吸収することができない量のパケットが流れ込み、バッファ・オーバーフローした場合は、フロー制御を行うことによりパケットの損失を防止している。

フロー制御は半二重通信と全二重通信とで異なる動作をし、半二重通信の場合、パケットを送信している機器に対してジャム信号を送信することによりパケットの送信を停止させる。この処理はバックプレッシャー方式と呼ばれ、Ｅｔｈｅｒｎｅｔ（登録商標）のＣＳＭＡ／ＣＤ方式に基づくフロー制御である。

全二重通信の場合、パケットを送信している機器に対してＰａｕｓｅフレームを送信することによりパケットの送信を停止させる。Ｐａｕｓｅフレームには個別に送信を停止させる時間情報が含まれており、このパケットを受信した機器は、その時間だけパケットの送信を停止する。この処理はＩＥＥＥ８０２．３ｘ方式と呼ばれている。

上述したように、ネットワーク機器間のパケット送受信において、過度のトラフィックが発生した場合、バックプレッシャー方式又はＩＥＥＥ８０２．３ｘ方式によるフロー制御によって、ネットワーク機器のパケット送信量を制限することにより、パケットの損失を防止している。

本発明に関連する先行技術文献として、バックプレッシャー方式によるフロー制御方式及びそのハブに関して下記の特許文献１に記載されている。また、データ転送を行いながら、多数の端末に対して同時に性能評価を行い、端末からの受信状況報告により通信速度を調節することにより、通信ネットワーク上や端末でのデータ溢れを軽減し、データ受信効率の良い多端末への情報配送を実現するフロー制御方法及びシステムに関して下記の特許文献２に記載されている。
特許第３４１３６９６号公報 特許第３３２６６７５号公報

従来のフロー制御は、Ｐａｕｓｅフレームが受信される全ての機器に対してパケットの送信を停止させる制御であり、或る特定のトラフィックに対してのみパケットの送信を停止させるフロー制御を行うことができない。このため、或る特定の機器（例えば悪意あるユーザの端末）がネットワークに対して過度のトラフィックを送信した場合、そのトラフィックを抑制するためにＰａｕｓｅフレームを送信すると、該Ｐａｕｓｅフレームを受信した機器は、他のユーザの端末からのパケット送信に対しても制限・停止の処理を行ってしまう。

従って、従来のフロー制御によるトラフィック制御では、Ｅｔｈｅｒｎｅｔ（登録商標）ネットワークにおいて、或る特定の機器がネットワークに対して過度のトラフィックを送信した場合、その特定の機器だけでなく、該過度のトラフィックが通過する全ての機器に対してもＰａｕｓｅフレームによるフロー制御を行うため、該Ｐａｕｓｅフレームを受信した全ての機器がパケット送信を停止してしまう。このため、ネットワーク全体のスループット低下の原因となり、他の機器の通信へ悪影響を及ぼす結果となってしまうという問題がある。

また、優先制御機能により通信サービス品質（ＱｏＳ）の制御を行っているネットワークにおいては、Ｐａｕｓｅフレームの受信によりフロー制御を行う際に、トラフィックの優先度に関わらず、全てのトラフィックを制限・停止する処理を行ってしまうため、優先度の高いトラフィックまで、一律に送信を制限・停止されてしまうという問題がある。

本発明はこのような問題を解決するものであり、或る特定の機器がネットワークに対して過度のトラフィックを送信した場合に、その特定の機器を指定してフロー制御を行うなど、特定のトラフィックに対してのみ、送信停止又は送信許可のフロー制御を行うことが可能な通信システム及びそのネットワーク機器を提供することを目的とする。

本発明のフロー制御機能を有する通信システムは、（１）ＩＥＥＥ８０２．３ｘ方式のＰａｕｓｅフレームを用いたフロー制御により、ネットワークのトラフィック制御を行う通信システムにおいて、前記Ｐａｕｓｅフレームの拡張領域を用い、制御対象のトラフィックを指定した拡張Ｐａｕｓｅフレームを、前記通信システムを構成する各ネットワーク機器に配信し、制御対象のトラフィックが通過するネットワーク機器間で該拡張Ｐａｕｓｅフレームをチェーン化し、前記各ネットワーク機器で、前記拡張Ｐａｕｓｅフレームにより指定されたトラフィックに対して、該張Ｐａｕｓｅフレームによる指定に従って送信を拒否又は許可するトラフィック制御を行うことを特徴とする。

また、（２）フロー制御の対象のトラフィックを、該トラフィックの送信元又は宛先のネットワークアドレスによって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする。また、（３）フロー制御の対象のトラフィックを、該トラフィックの通信サービス品質（ＱｏＳ）レベルによって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする。また、（４）フロー制御の対象のトラフィックを、該トラフィックのバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）によって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする。

また、（５）フロー制御の対象の複数のトラフィックを、該トラフィックの送信元又は宛先のネットワークアドレス、通信サービス品質（ＱｏＳ）レベル又はバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）によって、一つの拡張Ｐａｕｓｅフレームにまとめて指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする。また、（６）フロー制御の対象のトラフィックを、送信許可又は送信拒否を示すパラメーターと共に指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする。

また、本発明の通信システムのネットワーク機器は、（７）前述の通信システムを構成するネットワーク機器であって、前記Ｐａｕｓｅフレームの拡張領域を用いて制御対象のトラフィックを指定した拡張Ｐａｕｓｅフレームを、該制御対象のトラフィックが通過する他のネットワーク機器に送信する拡張Ｐａｕｓｅフレーム送信手段と、前記拡張Ｐａｕｓｅフレームにより指定されている制御対象トラフィックを識別し、該張Ｐａｕｓｅフレームによる指定に従って、該トラフィックの送信を拒否又は許可するトラフィック制御手段とを備えたことを特徴とする。

本発明によるトラフィック制御は、ネットワークに過度のトラフィックが発生したとき、トラフィック（パケット）の送信元又は宛先のアドレス、通信サービス品質（ＱｏＳ）レベル又はバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）等を指定した拡張Ｐａｕｓｅフレームによるフロー制御を行うため、特定のユーザ端末、特定の通信サービス品質（ＱｏＳ）又は特定のバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）のパケットの送信のみを停止させるトラフィック制御を行うことができる。このため、他の機器の通信へ影響を与えることなく、フロー制御によるトラフィック制御を行うことができ、ネットワーク全体のスループットを向上させることが可能となる。

また、送信パケットの送信元又は宛先のアドレス、通信サービス品質（ＱｏＳ）クラスを指定してトラフィックを制御することができるため、ネットワーク全体で悪意の有るユーザからのトラフィックのみに対して制限を掛け、或いは高優先度のトラフィックのみに対して制限を外して優先的に送信するといったように、特定のトラフィックを指定した規制又は優遇措置を行うフロー制御が可能となる。

なお、ＩＥＥＥ８０２．３ｘ方式による、プロトコルの下位レイヤに位置するＰａｕｓｅフレームの拡張領域を使用して、フロー制御の対象となるトラフィックを指定することにより、他の高位レイヤで行うトラフィック制御方式に比べて、簡素な構成で、かつ高速なトラフィック制御処理を行うことが可能となる。

図１は本発明によるＥｔｈｅｒｎｅｔ（登録商標）通信システムの構成例を示す。同図に示す構成例において、ブロードバンドアクセスサーバ（ＢＡＳ）であるネットワーク終端機器１−１でトラフィック制御を行う必要が生じた場合、該トラフィックの送信元に対するＰａｕｓｅフレームの送信によりフロー制御を行う。

ネットワーク終端機器１−１は、Ｐａｕｓｅフレームの拡張領域を用いて制御対象のトラフィックを指定したＰａｕｓｅフレーム（以下「拡張Ｐａｕｓｅフレーム」という）を、該トラフィックが通過する中継機器１−２に送信し、該拡張Ｐａｕｓｅフレームの受信した中継機１−２からは同様に、該トラフィックが通過する機器に該拡張Ｐａｕｓｅフレームを順々に転送し、通信局側終端機器１−３及びユーザ側終端機器１−４に該拡張Ｐａｕｓｅフレームを配送する。

この動作により、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４の間で拡張Ｐａｕｓｅフレームがチェーン化され、ネットワーク終端機器１−１が送信した拡張Ｐａｕｓｅフレームはユーザ端末１−５にまで到達する。従って、本発明によるＥｔｈｅｒｎｅｔ（登録商標）通信システムでは、ネットワーク終端機器１−１が送信した拡張Ｐａｕｓｅフレームを、制御対象トラフィックの送信元であるユーザ端末１−５まで到達させることができるので、特定のトラフィックのみに対するフロー制御によるトラフィック制御が可能となる。

本発明による拡張Ｐａｕｓｅフレームについて図２を参照して説明する。拡張Ｐａｕｓｅフレームは、ＩＥＥＥ８０２．３ｘで規定されたＰａｕｓｅフレームの拡張領域に、図２に示すように、例えば、制御対象のトラフィックのタイプを表す“Ｔａｒｇｅｔ Ｔｙｐｅ”、制御対象を指定する拡張領域の長さを表す“Ｌｅｎｇｔｈ”、及び制御対象のトラフィックのタイプに対応した個別内容を表す可変長の“Ｖａｌｕｅ”の各フィールドを定義して使用するものである。

“Ｔａｒｇｅｔ Ｔｙｐｅ”として、例えば図２に示すように、“０ｘ０００１”は通信を停止させるＭＡＣアドレスを、“０ｘ０００２”は通信を停止させるＩＰｖ４アドレスを、“０ｘ０００３”は通信を停止させるＩＰｖ６アドレスを、“０ｘ０００４”は通信を停止させるＩＥＥＥ８０２．３ｐのＱｏＳレベルを、“０ｘ０００５”は通信を停止させるＩＥＥＥ８０２．３ｑのＶＬＡＮ−ＩＤを表すものとする。

また、“０ｘ１００１”は通信を停止させないＭＡＣアドレスを、“０ｘ１００２”は通信を停止させないＩＰｖ４アドレスを、“０ｘ１００３”は通信を停止させないＩＰｖ６アドレスを、“０ｘ１００４”は通信を停止させないＩＥＥＥ８０２．３ｐのＱｏＳレベルを、“０ｘ１００５”は通信を停止させないＩＥＥＥ８０２．３ｑのＶＬＡＮ−ＩＤを表すものとする。このような拡張Ｐａｕｓｅフレームを送信することにより、制御対象のトラフィックを指定したフロー制御によるトラフィック制御が可能となる。

上述の拡張Ｐａｕｓｅフレームの“Ｔａｒｇｅｔ Ｔｙｐｅ”として、“０ｘ０００１”、“０ｘ０００２”、“０ｘ０００３”、“０ｘ１００１”、“０ｘ１００２”又は“０ｘ１００３”を指定し、“Ｖａｌｕｅ”として、トラフィック制御対象のＭＡＣアドレス、ＩＰｖ４アドレス又はＩＰｖ６アドレスを指定することにより、アドレスを指定したトラフィック制御が可能となる。

例えば、図１の中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図３（ａ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＭＡＣアドレスからのパケットを受信した場合、該パケットを廃棄し、該当するＭＡＣアドレス以外からのパケットを受信した場合は、該パケットを廃棄することなく、通常どおり転送処理を行う。

また、該当するＭＡＣアドレスのユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、パケットの送信を停止し、該当するＭＡＣアドレス以外のユーザ端末は、この拡張Ｐａｕｓｅフレームを受信しても無視し、通常どおりパケットを送信する。

次に、中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図３（ｂ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＭＡＣアドレスからのパケットを受信した場合、通常どおりに該パケットの転送処理を行うが、該当するＭＡＣアドレス以外からのパケットを受信した場合、該パケットを廃棄する。

また、該当するＭＡＣアドレスのユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信しても無視して通常どおりにパケットを送信し、該当するＭＡＣアドレス以外のユーザ端末は、この拡張Ｐａｕｓｅフレームを受信すると、パケットの送信を停止する。

また、前述の拡張Ｐａｕｓｅフレームの“Ｔａｒｇｅｔ Ｔｙｐｅ”として、“０ｘ０００４”又は“０ｘ１００４”を指定し、“Ｖａｌｕｅ”として、トラフィック制御対象のＱｏＳレベルを指定することにより、ＱｏＳレベルを指定したフロー制御によるトラフィック制御が可能となる。

例えば、中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図４（ａ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＱｏＳレベルのパケットを受信すると該パケットを廃棄し、該当するＱｏＳレベル以外のパケットを受信した場合は通常どおりに該パケットの転送処理を行う。

また、該当するＱｏＳレベルのパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、該当するＱｏＳレベルのパケットの送信のみを停止し、該当するＱｏＳレベル以外のパケットを送信しているユーザ端末１−５は、このＰａｕｓｅフレームを受信しても無視して通常時と同様に該パケットを送信する。

次に、中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図４（ｂ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＱｏＳレベルのパケットを受信すると、通常時と同様に該パケットの転送処理を行うが、該当するＱｏＳレベル以外のパケットを受信すると、該パケットを廃棄する。

また、該当するＱｏＳレベルのパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、該当するＱｏＳレベル以外のパケットの送信を停止し、該当するＱｏＳレベル以外のパケットを送信しているユーザ端末１−５は、このＰａｕｓｅフレームを受信すると、そのパケットの送信を停止する。

前述の拡張Ｐａｕｓｅフレームの“Ｔａｒｇｅｔ Ｔｙｐｅ”として“０ｘ０００５”、又は“０ｘ１００５”と指定し、“Ｖａｌｕｅ”としてトラフィック制御対象のＶＬＡＮ−ＩＤを指定することにより、ＶＬＡＮ−ＩＤを指定したフロー制御によるトラフィック制御が可能となる。

例えば、中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図５（ａ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＶＬＡＮ−ＩＤからのパケットを受信すると該パケットを廃棄し、該当するＶＬＡＮ−ＩＤ以外からのパケットを受信すると通常時と同様に該パケットの転送処理を行う。

また、該当するＶＬＡＮ−ＩＤのパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、該当するＶＬＡＮ−ＩＤのパケットの送信のみを停止し、該当するＶＬＡＮ−ＩＤ以外のパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信しても無視して通常どおりパケットを送信する。

中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図５（ｂ）に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該当するＶＬＡＮ−ＩＤからのパケットを受信すると通常どおりに該パケットの転送処理を行い、該当するＶＬＡＮ−ＩＤ以外からのパケットを受信すると該パケットを廃棄する。

また、該当するＶＬＡＮ−ＩＤのパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、該当するＶＬＡＮ−ＩＤ以外のパケットの送信を停止し、該当するＶＬＡＮ−ＩＤ以外のパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信するとパケットの送信を停止する。

このように、拡張Ｐａｕｓｅフレームの“Ｔａｒｇｅｔ Ｔｙｐｅ”フィールドに、例えば“０ｘ０ｘｘｘ”を指定したときは通信の拒否を示し、通信を停止させるアドレスを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ０００１”、“０ｘ０００２”又は“０ｘ０００３”を指定する。また、通信を停止させるＱｏＳレベルを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ０００４”を指定する。また、通信を停止させるＶＬＡＮ−ＩＤを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ０００５を指定する。

また、“Ｔａｒｇｅｔ Ｔｙｐｅ”に、例えば“０ｘ１ｘｘｘ”を指定したときは通信の許可を示し、通信を許可するアドレスを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ１００１”、“０ｘ１００２”又は“０ｘ１００３”を指定する。また、通信を許可するＱｏＳレベルを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ１００４”を指定し、通信を許可するＶＬＡＮ−ＩＤを指定する場合、“Ｔａｒｇｅｔ Ｔｙｐｅ”に“０ｘ１００５”を指定する。

このように、拡張Ｐａｕｓｅフレームを用いることにより、通信の拒否／許可の指定とその対象となるアドレス、ＱｏＳレベル又はＶＬＡＮ−ＩＤとを指定したフロー制御によるトラフィック制御が可能となる。なお、図１の中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５は、上述の拡張Ｐａｕｓｅフレームを受信すると、該拡張Ｐａｕｓｅフレームの指定内容に従ってパケット送信を停止又は許可するフロー制御を行う。

更に、本発明による拡張Ｐａｕｓｅフレームは、“Ｔａｒｇｅｔ Ｔｙｐｅ”、“Ｌｅｎｇｔｈ”及び“Ｖａｌｕｅ”から成る１組の制御対象トラフィック指定情報を、１つのＰａｕｓｅフレームの拡張領域に複数挿入することにより、複数のトラフィックに対してそのアドレス、ＱｏＳレベル又はＶＬＡＮ−ＩＤについてのフロー制御を、１つの拡張Ｐａｕｓｅフレームにより行うことができる。

例えば、中継機器１−２、通信局側終端機器１−３、ユーザ側終端機器１−４及びユーザ端末１−５が、図６に示す拡張Ｐａｕｓｅフレームを受信した場合、中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、該拡張Ｐａｕｓｅフレームで指定されたアドレス、ＱｏＳレベル及びＶＬＡＮ−ＩＤのパケットを受信すると、それらのパケットを廃棄し、拡張Ｐａｕｓｅフレームで指定されていないアドレス、ＱｏＳレベル及びＶＬＡＮ−ＩＤのパケットを受信すると、通常時と同様にそれらのパケットの転送処理を行う。

また、該当するアドレス、ＱｏＳレベル又はＶＬＡＮ−ＩＤのパケットを送信しているユーザ端末１−５は、この拡張Ｐａｕｓｅフレームを受信すると、該当するパケットの送信を停止し、それ以外のパケットを送信しているユーザ端末１−５はこの拡張Ｐａｕｓｅフレームを受信しても無視してパケットを送信する。

本発明による拡張Ｐａｕｓｅフレームの転送処理のフローの一例を図７に示す。中継機器１−２、通信局側終端機器１−３及びユーザ側終端機器１−４は、Ｐａｕｓｅフレームを受信すると、該ＰａｕｓｅフレームがＩＥＥＥ８０２．３ｘのＰａｕｓｅフレームか拡張Ｐａｕｓｅフレームかを、拡張部分があるかないかによって判別する（ステップ７−１）。

ここで、ＩＥＥＥ８０２．３ｘのＰａｕｓｅフレームであると判別された場合は、受信したＰａｕｓｅフレームを転送せず、通常のＩＥＥＥ８０２．３ｘによるフロー制御処理を行い、Ｐａｕｓｅフレームによって指定された時間だけ、受信ポートへのパケット送信を停止する（ステップ７−２）。

拡張Ｐａｕｓｅフレームと判別された場合は、以下の手順で処理を行う。最初に拡張部分の“Ｔａｒｇｅｔ Ｔｙｐｅ”のチェックを行い（ステップ７−３）、通信の拒否／許可を判別する（ステップ７−４）。“Ｔａｒｇｅｔ Ｔｙｐｅ”が“０ｘ１ｘｘｘ”である場合、通信の許可を指定した拡張Ｐａｕｓｅフレームであるため、受信した拡張Ｐａｕｓｅフレームを全ポートへ転送する（ステップ７−５）。

“Ｔａｒｇｅｔ Ｔｙｐｅ”が“０ｘ０ｘｘｘ”である場合、通信の拒否を指定した拡張Ｐａｕｓｅフレームであるため、“Ｔａｒｇｅｔ Ｔｙｐｅ”全体を識別し（ステップ７−６）、その“Ｖａｌｕｅ”と宛先を管理する管理テーブルとを照合し（ステップ７−７）、その“Ｖａｌｕｅ”が管理テーブルに登録されているか否かを判定する（ステップ７−８）。

該“Ｖａｌｕｅ”が管理テーブルに登録されている場合、受信した拡張Ｐａｕｓｅフレームを管理テーブルに従って該当ポートにのみ転送し（ステップ７−９）、該“Ｖａｌｕｅ”が管理テーブルに登録されていない場合、受信したＰａｕｓｅフレームを全ポートに転送する（ステップ７−５）。このように、宛先を管理する管理テーブルを参照して拡張Ｐａｕｓｅフレームを制御対象トラフィックが通過する機器にのみ転送することが可能となる。

次に、本発明による拡張Ｐａｕｓｅフレームの送信処理のフローの一例を図８及び図９を参照して説明する。例えば、或るユーザ端末１−５がＤｏＳ攻撃等を行っているため、ネットワーク終端機器１−１にトラフィックが集中している場合、図８に示すように、ネットワーク終端機器１−１は、ステップ８−１、８−３又は９−１により、ＤｏＳ攻撃、ＤＤｏＳ攻撃又はｌａｎｄ攻撃を検出すると、ステップ８−２、８−４又は９−２により、“Ｔａｒｇｅｔ Ｔｙｐｅ”値を“０ｘ０００２”又は“０ｘ０００３”とし、その“Ｔａｒｇｅｔ Ｔｙｐｅ”の“Ｖａｌｕｅ”値を該当するＩＰｖ４又はＩＰｖ６アドレスとした拡張Ｐａｕｓｅフレームを送信する。

また、ネットワーク終端機器１−１は、ステップ８−５又は９−３により、ＩＰ ｓｐｏｏｆｉｎｇ攻撃又はｓｍｕｒｆ攻撃を検出すると、ステップ８−６又は９−４により、“Ｔａｒｇｅｔ Ｔｙｐｅ”値を“０ｘ０００１”とし、その“Ｔａｒｇｅｔ Ｔｙｐｅ”の“Ｖａｌｕｅ”値を該当するＭＡＣアドレスとした拡張Ｐａｕｓｅフレームを送信する。

また、管理者等による拡張Ｐａｕｓｅフレームの手動送信が行われた場合（ステップ９−５）、ネットワーク終端機器１−１は、“Ｔａｒｇｅｔ Ｔｙｐｅ”値とその“Ｖａｌｕｅ”値に任意に設定された拡張Ｐａｕｓｅフレームを送信する（ステップ９−６）。上記以外の場合、ネットワーク終端機器１−１は拡張Ｐａｕｓｅフレームを送信しない（ステップ９−７）。

拡張Ｐａｕｓｅフレームを手動送信する例として、例えば、或る複数のユーザ端末がインターネットヘビーユーザであり、ネットワーク終端機器１−１にこの複数のユーザ端末のトラフィックが集中している場合、管理者等がネットワーク終端機器１−１から制御対象のＱｏＳレベルを指定した拡張Ｐａｕｓｅフレームを送信することにより、例えばＶｏＩＰで通話しているユーザのパケット転送がスムーズに行われるようになる。

なお、前述のＤｏＳ（Denial of Service）攻撃は、サービス妨害攻撃又はサービス不能攻撃などと呼ばれ、インターネット経由での不正アクセスの１つであり、大量のデータや不正パケットを送り付けるなどの不正な攻撃を指す。また、ＤＤｏＳ（Distributed Denial of Service）攻撃は、分散サービス妨害と呼ばれ、第三者のマシンに攻撃プログラムを仕掛けて踏み台にし、その踏み台とした多数のマシンから標的とするマシンに大量のパケットを同時に送信する攻撃である。このように攻撃元が複数で、標的とされたコンピュータが１つであった場合、その標的とされるコンピュータにかけられる負荷は、より大きなものになる。攻撃元が１つの場合はＤｏＳ攻撃となる。

また、Ｓｐｏｏｆｉｎｇは、他人のユーザＩＤやパスワードを盗用し、その人のふりをしてネットワーク上で活動する行為で、本人しか見ることができない機密情報を盗み出したり、悪事を働いてその人に責任を負わせたりする行為である。電子メールや多くの掲示板では認証を行わないため、他人の名前やメールアドレスでの投稿を行なうことにより、簡単になりすましが可能となってしまう。但し、ＩＰアドレス等まで完全に他人になりすますことは容易でないため、ＩＰアドレス等を基になりすましか否かの判断が可能な場合が多い。

また、ｌａｎｄ攻撃は、送信元アドレスと受信先アドレスとが同一のパケットを用いた攻撃である。ＴＣＰのプロトコルでコネクションを開始するとき、クライアントはサーバに対してＳＹＮパケットを送信する。サーバはこれに対しＡＣＫ＋ＳＹＮパケットをクライアントに投げ返す。最後にクライアントはＡＣＫパケットをサーバに送信することでコネクションが確立する（３ウェイ・ハンドシェーク）。

Ｌａｎｄ攻撃では、ＳＹＮパケットの送信元アドレスを攻撃対象のサーバのアドレスとする。つまり、送信元アドレスを偽造し、受信先アドレスと同一にする。更に送信元のポート番号も受信先のポート番号と同一にする。この偽造したパケットを攻撃対象のサーバに送信すると、サーバは送信元のアドレスに対して、ＡＣＫ＋ＳＹＮパケットを送信しようとする。しかし送信元アドレスは偽造されており、しかもサーバのアドレスであるので、サーバは自分自身に対してパケットを送信することになり無駄な負荷がかかる。つまり、攻撃者が偽造したパケットを送りつづけることにより、最終的にサーバは応答不能に陥ってしまう。

また、ｓｍｕｒｆ攻撃は、送信元アドレスを偽造したＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔパケットを送信することにより、ターゲットとなるホストにＩＣＭＰ Ｅｃｈｏ Ｒｅｐｌｙパケットを大量に送りつける攻撃である。ネットワークを介した通信確認のためのツールにｐｉｎｇコマンドがあるが、ｐｉｎｇコマンドでは通信確認したい相手に対してＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔパケットを送信する。このパケットを受け取った側は、ＩＣＭＰ Ｅｃｈｏ Ｒｅｐｌｙパケットを投げ返すことにより通信確認が行われる。しかし、ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔパケットを特定のホストではなく、ブロードキャストアドレスに対して送信した場合、そのネットワークに属するすべてのコンピュータからＩＣＭＰ Ｅｃｈｏ Ｒｅｐｌｙパケットが投げ返されてくる。Ｓｍｕｒｆ攻撃はこれを悪用した攻撃である。

本発明による通信システムの構成例を示す図である。 本発明による拡張Ｐａｕｓｅフレームを示す図である。 本発明によるＭＡＣアドレスを指定する拡張Ｐａｕｓｅフレームフォーマット例を示す図である。 本発明によるＱｏＳレベルを指定する拡張Ｐａｕｓｅフレームフォーマット例を示す図である。 本発明によるＶＬＡＮ−ＩＤを指定する拡張Ｐａｕｓｅフレームフォーマット例を示す図である。 本発明によるＭＡＣアドレス、ＱｏＳレベル及びＶＬＡＮ−ＩＤを指定する拡張Ｐａｕｓｅフレームフォーマット例を示す図である。 本発明における拡張Ｐａｕｓｅフレームの転送処理フローの例を示す図である。 本発明における拡張Ｐａｕｓｅフレームの送信処理フローの例を示す図である。 本発明における拡張Ｐａｕｓｅフレームの送信処理フローの例を示す図である。

符号の説明

１−１ ネットワーク終端機器
１−２ 中継機器
１−３ 通信局側終端機器
１−４ ユーザ側終端機器
１−５ ユーザ端末

Claims (7)

1. ＩＥＥＥ８０２．３ｘ方式のＰａｕｓｅフレームを用いたフロー制御により、ネットワークのトラフィック制御を行う通信システムにおいて、
   前記Ｐａｕｓｅフレームの拡張領域を用い、制御対象のトラフィックを指定した拡張Ｐａｕｓｅフレームを、前記通信システムを構成する各ネットワーク機器に配信し、制御対象のトラフィックが通過するネットワーク機器間で該拡張Ｐａｕｓｅフレームをチェーン化し、
   前記各ネットワーク機器で、前記拡張Ｐａｕｓｅフレームにより指定されたトラフィックに対して、該張Ｐａｕｓｅフレームによる指定に従って送信を拒否又は許可するトラフィック制御を行うことを特徴とするフロー制御機能を有する通信システム。
2. フロー制御の対象のトラフィックを、該トラフィックの送信元又は宛先のネットワークアドレスによって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする請求項１に記載のフロー制御機能を有する通信システム。
3. フロー制御の対象のトラフィックを、該トラフィックの通信サービス品質（ＱｏＳ）レベルによって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする請求項１に記載のフロー制御機能を有する通信システム。
4. フロー制御の対象のトラフィックを、該トラフィックのバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）によって指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする請求項１に記載のフロー制御機能を有する通信システム。
5. フロー制御の対象の複数のトラフィックを、該トラフィックの送信元又は宛先のネットワークアドレス、通信サービス品質（ＱｏＳ）レベル又はバーチャルローカルエリアネットワーク識別子（ＶＬＡＮ−ＩＤ）によって、一つの拡張Ｐａｕｓｅフレームにまとめて指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする請求項１に記載のフロー制御機能を有する通信システム。
6. フロー制御の対象のトラフィックを、送信許可又は送信拒否を示すパラメーターと共に指定した前記拡張Ｐａｕｓｅフレームを配信することを特徴とする請求項１乃至５の何れかに記載のフロー制御機能を有する通信システム。
7. 請求項１乃至６に記載のフロー制御機能を有する通信システムを構成するネットワーク機器であって、
   前記Ｐａｕｓｅフレームの拡張領域を用いて制御対象のトラフィックを指定した拡張Ｐａｕｓｅフレームを、該制御対象のトラフィックが通過する他のネットワーク機器に送信する拡張Ｐａｕｓｅフレーム送信手段と、
   前記拡張Ｐａｕｓｅフレームにより指定されている制御対象トラフィックを識別し、該張Ｐａｕｓｅフレームによる指定に従って、該トラフィックの送信を拒否又は許可するトラフィック制御手段と
   を備えたことを特徴とするフロー制御機能を有する通信システムのネットワーク機器。

Images