JP2007074283A - パケット転送処理装置 - Google Patents

Abstract

【課題】ファイアウォールなどの付加機能をサービスカード（サービス付加装置）によって実現できるルータ装置（パケット転送処理装置）を提供する。
【解決手段】パケット転送処理装置１０は、パケットの転送処理を行うパケット転送装置１０１、１０２と、パケットに対して付加機能のサービスを実現するサービス付加装置と１０３、パケット転送装置及びサービス付加装置とを接続するバックプレーンスイッチファブリック１００と、を有する。パケット転送装置１０１、１０２は、サービス条件を満たすパケットをサービス付加装置１０３に転送することを可能にする転送テーブルＢを備え、サービス付加装置１０３は、サービス条件を満たすパケットをそのパケットのあて先に対応するパケット転送装置に転送することを可能にする転送テーブルを備える。
【選択図】 図３

Description

本発明は、ルータ装置に代表されるパケット転送処理装置に関し、特に、サービスカードにより付加機能を追加することが可能なパケット転送処理装置に関する。

従来、ネットワークにおいては、パケット転送、パケット交換処理はルータ装置が行い、ファイアウォールやＶＰＮ（仮想プライベート網）などのパケットに対するサービスは、ルータ装置とは異なる専用装置によって提供されることが一般的であった。ファイアウォールやＶＰＮのための専用装置としては、例えば、Ｊｕｎｉｐｅｒ社のＮｅｔｓｃｒｅｅｎシリーズがある（非特許文献１）。しかしながら、ファイアウォールやＶＰＮを設定するためにルータ装置とは別の専用装置をネットワークに設けることは、コストが高くなる上にネットワークの管理や保守に手間がかかるようになる、という問題点を生ずる。

そこで、近年、ファイアウォール機能やＶＰＮ機能などの付加機能を備えたルータ装置が市場に出回るようになってきている。そのような付加機能を搭載したルータ装置としては、例えば、ＮＴＴ東日本のＷｅｂ Ｃａｓｔｅｒ Ｘ４００Ｖ（ウイルス対策機能付）がある（非特許文献２）。しかしながら、付加機能を搭載した大抵のルータ装置は、そのような付加機能をルータ装置のＯＳ（オペレーティングシステム）上で動作するソフトウェアによって実現しているので、高速動作には対応できず、高スループットを要するルータ装置としては使用できない、という問題点を有する。ここで付加機能とは、ルータを通過するパケットに対して何らかのサービスを提供する機能であって、パケットの交換、転送といったルータ装置本来の機能とは異なる機能のことである。

高速なルータ装置においてファイアウォール機能などの付加機能を搭載するためには、ルータ装置においてその付加機能をハードウェアによって実装しなくてはならない。しかしながら、ハードウェアによる実装では、ソフトウェアのように取替えや更新を行うことができないので、ルータ装置に搭載できる付加機能が限定され、他の付加機能に追加／変更することができない。
"ジュニパーネットワークス：製品＆サービス"、［online］、［2005年8月1日検索］、インターネット〈URL：http://www.juniper.co.jp/products/integrated/〉 "ＮＴＴ東日本：アンチウイルス／ウイルス対策ルータＷｅｂ Ｃａｓｔｅｒ Ｘ４００Ｖ：商品情報：イーストプラス"、［online］、［2005年7月22日検索］、インターネット〈URL：http://www.ntt-east.co.jp/ced/goods/x400v/index.html〉

高速なルータ装置において付加機能を柔軟に設定でき、かつ他の付加機能への変更や追加あるいは付加機能の削除を容易に行えるようにする構成として、ルータ装置に対してサービスカードを着脱可能に搭載できるようにしておいて、サービスカードにファイアウォール機能やＶＰＮ機能を実装しておく手法が考えられる。ある付加機能を実装したサービスカードをルータ装置に搭載することによって、ルータ装置はその付加機能のサービスを提供することができるようになる。

しかしながら、サービスカードをルータ装置に搭載することによってパケットに対するサービス（ファイアウォールなど）を実現するためには、ルータ装置の入力インタフェースから出力インタフェースへパケットを転送する機能に加え、ルータ装置内でサービスカードに対してパケットを転送し、その後、ルータ装置でのルーティング経路に沿ってそのパケットを出力先に転送する機能が必要となる。

本発明は、このような事情を考慮してなされたもので、その目的は、ファイアウォールなどの付加機能をサービスカードによって実現できるパケット転送処理装置を提供することにある。

本発明のパケット転送処理装置は、パケットの転送処理を行うパケット転送装置と、パケットに対して付加機能のサービスを実現するサービス付加装置と、パケット転送装置及びサービス付加装置とを接続するバックプレーンスイッチファブリックと、を有し、パケット転送装置は、サービス条件を満たすパケットをサービス付加装置に転送することを可能にする第１の転送テーブルを備え、サービス付加装置は、サービス条件を満たすパケットを当該パケットのあて先に対応するパケット転送装置に転送することを可能にする第２の転送テーブルを備える。

あるいは本発明のパケット転送処理装置は、パケットの転送処理を行うパケット転送装置と、パケットに対して付加機能のサービスを実現するサービス付加装置と、パケット転送装置及びサービス付加装置とを接続するバックプレーンスイッチファブリックと、を有し、パケット転送装置は、サービス条件を満たすパケットにラベルを付加する機能を有するとともに、サービス条件を満たすパケットをサービス付加装置に転送することを可能にする第１の転送テーブルを備え、サービス付加装置は、ラベルスイッチング機能を有し、サービス条件を満たすパケットを当該パケットのラベルに対応するパケット転送装置に転送することを可能にする第２の転送テーブルを備える。

本発明は、サービスカードによって付加機能のサービスを追加することが可能なルータ装置（パケット転送処理装置）を実現することができる、という効果がある。

次に、本発明の好ましい実施の形態について、図面を参照して説明する。

図１は、本発明の実施の一形態のパケット転送処理装置（すなわちルータ装置）１０の構成を示すブロック図である。

パケット転送処理装置１０は、バックプレーンスイッチファブリック（ＳＷ）１００を備えるとともに、パケット転送機能を有するパケット転送装置１０１，１０２と、このパケット転送処理装置１０を通過するパケットに対してファイアウォール機能などの付加機能サービスを提供するためにこの付加機能を実行するように構成されたサービス付加装置１０３と、パケット転送装置１０１、１０２とサービス付加装置１０３を制御する制御装置１０５と、を備えている。パケット転送装置１０１、１０２、サービス付加装置１０３及び制御装置１０５は、バックプレーンファブリックスイッチ１００によって相互に接続されており、それぞれ、バックプレーン側のインタフェースとして内部インタフェース（内部ＩＦ）１１２を備えている。

各パケット転送装置１０１，１０２には、パケットのあて先をもとに出力先を決定するための転送テーブルＡ １２１と、サービス対象条件をもとに出力先を決定する転送テーブルＢ １２２と、外部の回線やネットワークとのインタフェースとなる外部インタフェース（外部ＩＦ）１１１と、転送テーブル１２１、１２２を参照してパケット転送処理を行うパケット転送部１２３とが設けられている。

サービス付加装置１０３は、パケットの転送先を参照するための転送テーブル１２４と、転送テーブル１２４を参照してパケットの転送処理を実行するパケット転送部１２５と、付加機能のサービスのための処理を実行する付加サービス部１２６と、を備えている。本実施形態において、サービス付加装置１０３はいわゆるサービスカードとして構成されており、パケット転送処理装置１０に対して着脱可能に取り付けられる。

制御装置１０５は、パケット転送処理装置１０として経路制御を行うために必要なルーティングテーブル１２７と、パケット転送装置１０２、１０３やサービス付加装置１０４に格納されるべき転送テーブル１２１、１２２、１２４を生成する転送テーブル作成部１２８と、転送テーブル作成部１２８が作成した転送テーブルをそれぞれパケット転送装置１０１、１０２及びサービス付加装置１０３に設定する転送テーブル設定部１２９とを備えている。

本実施形態のパケット転送処理装置１０において、パケット転送装置１０２、１０３の転送テーブルＡ １２１は、ルータとしてパケットの経路制御を行うための転送テーブルであり、制御装置１０５のルーティングテーブル１２７の内容に基づいて転送テーブル作成部１２８により作成され、転送テーブル設定部１２９により図２に示すように設定される。ここではパケットがＩＰ(Internet Protocol)パケットであり、パケット転送処理装置１０はＩＰルータ装置であるものとして説明する。

図２において、パケット転送装置１０２の内部ＩＦはＢＩＦ１で示されており、アドレスＩＤ１が付与されている。パケット転送装置１０２の２つの外部ＩＦはそれぞれＩＦ１、ＩＦ２で示されており、ＩＰアドレスが１００．１．０．０と１００．２．０．０であるネットワーク（ＮＷ）に接続している。同様に、パケット転送装置１０２は、その内部ＩＦがＢＩＦ２で示されてアドレスＩＤ２を付与され、その２つの外部ＩＦがそれぞれＩＦ３、ＩＦ４で示され、ＩＰアドレスが１００．３．０．０と１００．４．０．０であるネットワークに接続している。サービス付加装置１０３の内部ＩＦはＢＩＦ３で示されておりアドレスＩＤ３が付与され、制御装置１０５の内部ＩＦはＢＩＦ５で示されてアドレスＩＤ５が付与されている。

ルーティングテーブルは、各ネットワークごとにあて先アドレスとＮｅｘｔｈｏｐ（次ホップ）とＩＦ（ＯＵＴ）の項目からなっている。あて先アドレスにはネットワークのＩＰアドレスが記載され、Ｎｅｘｔｈｏｐには、あて先となるネットワークへパケットを転送するためにこのルータ装置からどのネットワークを経由すればよいかがＩＰアドレスで示され、ＩＦ（ＯＵＴ）の欄には、あて先となるネットワークへパケットを転送するためにこのルータ装置からどの外部ＩＦを用いるかが記載される。Ｎｅｘｔｈｏｐ欄の「ｄｉｒｅｃｔ」はあて先となるネットワークがこのルータ装置に直接接続していることを示している。

転送テーブルＡは、同様に、各ネットワークごとにあて先アドレスとＮｅｘｔｈｏｐ（次ホップ）とＩＦ（ＯＵＴ）の項目からなっている。ここで、ルータ装置の他のパケット処理装置を介して接続するネットワークに対しては、Ｎｅｘｔｈｏｐ、ＩＦ（ＯＵＴ）の欄に、当該他のパケット処理装置の内部ＩＦを示す値が設定されている。

制御装置１０５のルーティングテーブルから個々のパケット転送装置の転送テーブルＡを生成する手順は、通常のルータ装置におけるものと同様である。

次に、パケット転送装置１０１，１０２における転送テーブルＢ １２２と、サービス付加装置１０３における転送テーブル１２４について、図３を用いて説明する。

転送テーブルＢは、サービス条件をもとにしたものであり、特定のＩＰアドレスあてのパケットをまずサービス付加装置１０３に転送してそのサービス付加装置１０３が提供するサービスを受けられるようにするためのものである。転送テーブルＢでは、上述した転送テーブルＡにおけるあて先ＩＰアドレスの欄をサービス条件の欄に置き換えたものである。サービス条件の欄には、サービスを提供する対象となるパケットがそのあて先アドレスで指定される。ここでは、あて先アドレスによってサービスの提供対象となるパケットを指定しているが、あて先アドレス以外に、送信元アドレス、トランスポート層でのポート番号、パケットの優先ビットなどを用いてサービスの提供対象となるパケットを指定するようにしてもよい。そして、そのようなパケットをサービス付加装置１０３に転送するために、Ｎｅｘｔｈｏｐの欄とＩＦ（ｏｕｔ）の欄には、サービス付加装置１０３が設定されている。転送テーブルＢは、サービス条件のパケットをサービス付加装置に転送するように、制御装置１０５で作成され、設定される。

また、サービス付加装置１０３における転送テーブルは、あて先ＩＰアドレス（ネットワーク）をもとにしたものであって、パケット転送装置から送られてきたパケットに対して付加機能の処理を実行した後に、本来のあて先にそのパケットが転送されるようにするためのものである。この転送テーブルは、あて先ＩＰアドレスの欄とＮｅｘｔｈｏｐの欄とを有し、あて先ＩＰアドレスごとにどのパケット転送装置へパケットを送ればよいかがＮｅｘｔｈｏｐ欄に記載されている。この転送テーブルは、制御装置１０５においてルーティングテーブルに基づいて作成され、制御装置１０５によって設定される。

次に、このようなパケット転送処理装置の動作について説明する。

パケット転送装置１０１、１０２及びサービス付加装置１０３は、上述したように転送テーブル１２１、１２２を保持し、これらの転送テーブルを参照することで、パケットの転送を行う。ここで、パケット転送装置１０１、１０２においては、転送テーブルＢ １２２に対する参照は、外部インタフェースから入力したパケットのみに対して行い、その場合、転送テーブルＢ、転送テーブルＡの順で、参照が行われる。内部インタフェースから入力したパケットについては、転送テーブルＡのみが参照される。これにより、サービス付加装置からパケット転送装置に転送されたパケットが転送テーブルＢの参照結果から再びサービス付加装置へ転送されることを防ぐことができる。

図３に示した構成では、アドレス「１００．３．０．０」のネットワークへのパケットが、このパケット転送処理装置１０内でサービス付加装置１０３を通過するようになっており、このパケットに対してサービス付加装置１０３が付加機能のサービスを提供する。

図４は、図１に示すパケット転送処理装置１０においてさらにサービス付加装置１０４を設けることにより、複数のサービス付加装置を有するように構成されたものを示している。サービス付加装置１０４は、サービス付加装置１０３とは異なる種類の付加機能サービスを提供するものであり、その内部ＩＦはＢＩＦ４で示され、アドレスＩＤ４が付与されている。サービス付加装置１０３の転送テーブルにおいて、アドレス「１００．３．０．０」に対してサービス付加装置１０４を指定することによって、サービス付加装置１０３に転送されてきたパケットは次にサービス付加装置１０４に転送され、その後、パケット転送装置１０２を経てアドレス「１００．３．０．０」のネットワークに送られることになる。

このように、転送テーブルを適切に設定することで、複数のサービスカードを通過するようにパケットを転送することも可能である。

なお、内部ＩＦのアドレスとしてＩＰアドレスを利用すると、ＩＰルーティングテーブルによって転送テーブルを実現することができる。

以上説明したパケット転送処理装置では、サービス付加装置ではあて先アドレスをもとにした出力先の検索が必要であり、そのため、サービス付加装置においてパケット転送装置と同等の転送処理負荷が発生する。そこで、図５に示したパケット転送処理装置では、装置内においてラベルパスを利用し、それによって、サービス付加装置における転送処理を軽減し、さらに転送遅延も削減できるようにしたものである。具体的には、図５に示したパケット転送処理装置は、図１に示した構成において、パケット転送装置１０１、１０２のパケット転送部１２３にラベルの付加及び削除機能を搭載し、サービス付加装置１０３へ転送するパケットに対して、パケットの出力先を指定するラベルを付加することを可能にしたものである。パケット転送装置の転送テーブルＢには、ラベルを保持するためのＬａｂｅｌの欄が設けられており、図示したものでは、サービス条件のパケットに対して、ラベルとして「Ｌａｂｅｌ２」が付加されるようになっている。これに対応して、サービス付加装置１０３の転送テーブルは、到着したパケットのラベルをもとに出力先を決定できるように構成されている。図示したものでは、転送テーブルにおいて、あて先ＩＰアドレスとしてラベルが格納されるようになっている。

上述した場合と同様に、パケット転送装置の各転送テーブルおよびサービス付加装置の転送テーブルは、制御装置１０５により作成され、設定される。図５のに示したものでは、ＩＰアドレスが「１００．３．０．０」であるネットワークへのパケットが、パケット転送処理装置内でサービス付加装置に送られるようになっている。

転送テーブルにより付加されたラベルは、サービス付加装置において削除してもよいし、あるいは、サービス付加装置において削除用ラベル（例えば図５のＬａｂｅｌ０）を付加し、パケット処理装置で削除するようにしてもよい。また、サービス付加装置においてラベルスイッチングを行い、転送テーブルのラベルパスを適切に設定することで、図６に示すように、複数のサービス付加装置１０３、１０４を通過するようにパケットを転送することも可能である。

図５に示す構成において、ラベルにＭＰＬＳ(Multi Protocol Label Switching)ラベルを利用する場合、サービス付加装置への転送テーブルおよびサービス付加装置でのラベルラベルスイッチング機能をＭＰＬＳの機能で実現することが可能である。

本発明の実施の一形態のパケット転送処理装置の構成を示すブロック図である。 図１に示すパケット転送処理装置の動作を説明する図である。 図１に示すパケット転送処理装置の動作を説明する図である。 複数のサービス付加装置を有する図１に示すパケット転送処理装置の動作を説明する図である。 本発明の別の実施の形態のパケット転送処理装置の動作を説明する図である。 複数のサービス付加装置を有する図５に示すパケット転送処理装置の動作を説明する図である。

符号の説明

１０ パケット転送処理装置（ルータ装置）
１００ バックプレーンスイッチファブリック（ＳＷ）
１０１，１０２ パケット転送装置
１０３，１０４ サービス付加装置
１０５ 制御装置
１１１ 外部インタフェース（外部ＩＦ）
１１２ 内部インタフェース（内部ＩＦ）
１２１，１２２，１２４ 転送テーブル
１２３，１２５ パケット転送部
１２６ 付加サービス部
１２７ ルーティングテーブル
１２８ 転送テーブル作成部
１２９ 転送テーブル設定部

Claims (8)

1. パケットの転送処理を行うパケット転送装置と、パケットに対して付加機能のサービスを実現するサービス付加装置と、前記パケット転送装置及び前記サービス付加装置とを接続するバックプレーンスイッチファブリックと、を有し、
   前記パケット転送装置は、サービス条件を満たすパケットを前記サービス付加装置に転送することを可能にする第１の転送テーブルを備え、
   前記サービス付加装置は、前記サービス条件を満たすパケットを当該パケットのあて先に対応するパケット転送装置に転送することを可能にする第２の転送テーブルを備える、パケット転送処理装置。
2. 複数のサービス付加装置を備え、前記パケット転送装置からいずれかのサービス付加装置に転送されたパケットは、前記複数のサービス付加装置を経由して、当該パケットのあて先に対応するパケット転送装置に転送される、請求項１に記載のパケット転送処理装置。
3. パケットの転送処理を行うパケット転送装置と、パケットに対して付加機能のサービスを実現するサービス付加装置と、前記パケット転送装置及び前記サービス付加装置とを接続するバックプレーンスイッチファブリックと、を有し、
   前記パケット転送装置は、前記サービス条件を満たすパケットにラベルを付加する機能を有するとともに、サービス条件を満たすパケットを前記サービス付加装置に転送することを可能にする第１の転送テーブルを備え、
   前記サービス付加装置は、ラベルスイッチング機能を有し、前記サービス条件を満たすパケットを当該パケットの前記ラベルに対応するパケット転送装置に転送することを可能にする第２の転送テーブルを備える、パケット転送処理装置。
4. 複数のサービス付加装置を備え、前記パケット転送装置からいずれかのサービス付加装置に転送されたパケットは、前記複数のサービス付加装置を経由して、当該パケットのラベルに対応するパケット転送装置に転送される、請求項３に記載のパケット転送処理装置。
5. ルーティングテーブルと、前記第１の転送テーブルを作成するとともに前記ルーティングテーブルに基づいて前記第２の転送テーブルを作成する転送テーブル作成部と、作成された前記第１の転送テーブルを前記パケット転送装置に設定し、作成された前記第２の転送テーブルを前記サービス付加装置に設定する転送テーブル設定部と、を有する制御装置をさらに備える、請求項１または２に記載のパケット転送処理装置。
6. ルーティングテーブルと、前記サービス条件を満たすパケットに付加されるラベルを示す前記第１の転送テーブルを作成するとともに、前記ルーティングテーブルに基づいて前記付加されるラベルに対応する前記第２の転送テーブルを作成する転送テーブル作成部と、作成された前記第１の転送テーブルを前記パケット転送装置に設定し、作成された前記第２の転送テーブルを前記サービス付加装置に設定する転送テーブル設定部と、を有する制御装置をさらに備える、請求項３または４に記載のパケット転送処理装置。
7. 前記パケット転送装置は、パケットのルーティングを行うための第３の転送テーブルを備え、外部インタフェースから入力したパケットに対しては前記第１の転送テーブルを適用してから前記第３の転送テーブルを適用して転送処理を実行し、内部インタフェースから入力したパケットに対しては前記第３の転送テーブルのみを適用して転送処理を実行する、請求項１乃至４のいずれか１項に記載のパケット転送処理装置。
8. ルーティングテーブルと、前記第１の転送テーブルを作成するとともに前記ルーティングテーブルに基づいて前記第２及び第３の転送テーブルを作成する転送テーブル作成部と、作成された前記第１及び第３の転送テーブルを前記パケット転送装置に設定し、作成された前記第２の転送テーブルを前記サービス付加装置に設定する転送テーブル設定部と、を有する制御装置をさらに備える、請求項６に記載のパケット転送処理装置。

Images