JP2008054184A

JP2008054184A - トラヒックポリシー制御ネットワークシステムおよびトラヒック制御方法

Info

Publication number: JP2008054184A
Application number: JP2006230446A
Authority: JP
Inventors: Hiroyuki Ouchi; 宏之大内; Yasuyuki Matsuoka; 康行松岡; Masaro Inami; 政朗井波; Yuji Shinozaki; 雄二篠崎; Masaru Katayama; 勝片山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2006-08-28
Filing date: 2006-08-28
Publication date: 2008-03-06
Anticipated expiration: 2026-08-28
Also published as: JP4648272B2

Abstract

【課題】トポロジー構成の変更なしに、既存の通信ネットワークにＲＡＣＳアーキテクチャを適用して、高セキュリティおよび高ＱｏＳを提供する。
【解決手段】ユーザ端末１０ａ、１０ｂ間の通信の呼制御がアプリケーションサーバ１５によって実行されるネットワークシステムにおいて、ユーザ端末１０ａ、１０ｂ間で送受信されるパケットを識別するための識別情報および該パケットに対するアクションの制御ルールであるポリシーを指定するポリシー制御サーバ１７と、ポリシー制御サーバ１７によって指定された識別情報に基づいて、ユーザ端末１０ａ、１０ｂ間で送受信されるパケットを識別するとともに、該パケットに対して、ポリシー制御サーバ１７によって指定されたポリシーに応じたアクションを施すポリシー制御装置１ａ、１ｂと、を有する。
【選択図】図１

Description

本発明は、ＮＧＮ（Next Generation Network）で提案されている転送制御機能を規定するＲＡＣＳ（Resource and Admission Control Subsystem）アーキテクチャを実現する技術に関する。

電話サービス、映像配信サービス、データ通信を統合したネットワークシステムを構築する場合、高セキュリティや高ＱｏＳ（Quality of service）を確保することが必要である。

図８に、一般的な通信ネットワークの構成を示す。図８を参照すると、ユーザ端末１０ａがアクセスネットワーク１１ａに接続され、ユーザ端末１０ｂがアクセスネットワーク１１ｂに接続されている。アクセスネットワーク１１ａは、集線スイッチ１２ａおよびエッジノード１３ａを介してコアネットワーク１４に接続されている。アクセスネットワーク１１ｂは、集線スイッチ１２ｂおよびエッジノード１３ｂを介してコアネットワーク１４に接続されている。コアネットワーク１４には、アプリケーションサーバ１５が接続されている。

高セキュリティを確保するための方法として、エッジノードに対して、宛先・送信元アドレスや宛先・送信元ポート番号といった識別情報と、通過（通信許可）・非通過（通信非許可）といったアクションとを固定的に設定する方法がある。この場合は、エッジノードが、入力パケットを識別情報に基づいて識別して、設定されたアクションを実行することによって、フィルタリングを実施する。

また、高ＱｏＳを確保するための方法として、エッジノードに対して、宛先・送信元アドレスや宛先・送信元ポート番号といった識別情報と、優先度変更などのアクションとを、固定的に設定する方法がある。この場合は、エッジノードが、入力パケットを識別情報に基づいて識別して、ＤＳＣＰ（Differential Services Code Point）値等のパケットに付与された優先度を変更したり、固定的に割り当てられた帯域以上になるとトラヒックをポリシングしたりする。

また、最近では、セキュリティやＱｏＳを向上させた統合ＩＰネットワークの実現のために、ＩＴＵ−Ｔ（電気通信標準化セクタ）やＥＴＳＩ（欧州電気通信標準化機構）でＮＧＮの標準化が行われている（非特許文献１参照）。

図９は、ＮＧＮのＲＡＣＳアーキテクチャを説明するための図である。図９を参照すると、ＵＥ（User Equipment）１０１は、アクセスノード１０２、ＩＰエッジ１０３、コアボーダーノード１０４を介してコアネットワーク１００に接続されている。ＩＰエッジ１０３は、ＲＣＥＦ（Resource Control Enforcement Function）１０３ａを備える。コアボーダーノード１０４は、Ｃ−ＢＧＦ（Core Border Gateway Function）１０４ａを備える。

ＩＰエッジ１０３およびコアボーダーノード１０４は、ＲＡＣＳ１０５を介してＡＦ（Application Function）１０６に接続されている。ＲＡＣＳ１０５は、トラヒックの制御のポリシーを決定するものであって、ＲＣＥＦ１０３ａと接続されたＡ−ＲＡＣＦ（Access Resource Admission Control Function）１０５ａと、Ｃ−ＢＧＦ１０４ａと接続されたＳＰＤＦ（Service-based Policy Decision Function）１０５ｂとを有する。ＲＣＥＦ１０３ａおよびＣ−ＢＧＦ１０４ａは、ＲＡＣＳ１０５からの制御に従って、ポリシー（パケットに対するアクションの制御ルール）に応じたＱｏＳやセキュリティを提供する。

上記のＲＡＣＳアーキテクチャによれば、ＩＰエッジ１０３およびコアボーダーノード１０４において、５−tuple（宛先アドレス、通信元アドレス、宛先ポート番号、通信元ポート番号、プロトコルタイプ）ベースでパケットを識別し、許可パケットの通過、帯域制限（ポリシング）、ＱｏＳのマーキングなどの機能を分担する。
「Final draft ETSI ES 282 003 V1.1.1 (2006-03)」、URL(http://webapp.etsi.org/action/MV/MV20060505/es_282003v010101m.pdf)

図８に示した従来の通信ネットワークでは、高セキュリティで、高ＱｏＳのＩＰネットワークを実現することは困難である。以下に、その理由を説明する。

例えば、電話のような通話先が不定の場合において、ネットワークへの不要な侵入を防御して高セキュリティを実現するためには、エッジノードに対して、通信前は、フィルタリングで通信非許可とし、通信開始後に、通信端末間のパケットフローに対してのみ通信許可とするような設定を行う必要がある。しかし、従来の通信ネットワークでは、エッジノードに対して固定的な設定が行われるため、そのような高セキュリティを実現するための設定を行うことはできない。

また、高品質な通信を実現するために、エッジノードに対して、許可のない通信を低優先とし、許可された通信を高優先とするような設定を行う場合において、通信先が不定の場合は、通信開始後に、通信端末間のパケットフローのみを高優先とするように、エッジノードを設定する必要がる。しかし、エッジノードに対して固定的な設定が行われる従来の通信ネットワークでは、そのような設定を行うことはできない。

また、高品質な通信を実現するために、エッジノードに対して、サービスに割り当てられた固定的な帯域をパケットフローごとに割り当て、その帯域を越えるパケットフローについては、トラヒックをポリシングするような設定を行う場合において、通信先や通信サービスが不定である場合は、通信開始後に、通信端末間の通信サービスに割り当てられた帯域をエッジノードに設定する必要がある。しかし、エッジノードに対して固定的な設定が行われる従来の通信ネットワークでは、そのような設定を行うことはできない。

図９に示したＲＡＣＳアーキテクチャによれば、セキュリティやＱｏＳを向上させた統合ＩＰネットワークを実現することが可能である。しかしながら、このＲＡＣＳアーキテクチャを図８に示したような通信ネットワークに適用した具体的な構成については、これまで提案されていなかった。

本発明の目的は、上記問題を解決し、トポロジー構成の変更なしに、既存の通信ネットワークにＲＡＣＳアーキテクチャを適用して、高セキュリティおよび高ＱｏＳを提供することのできるネットワークシステムを提供することにある。

上記目的を達成するため、本発明のトラヒックポリシー制御ネットワークシステムは、複数のユーザ端末が回線を介して接続される通信ネットワークにおけるユーザ端末間の通信の呼制御を実行するアプリケーションサーバと、前記アプリケーションサーバによって呼制御がなされたユーザ端末間で送受信されるパケットを識別するための識別情報および該パケットに対するアクションの制御ルールであるポリシーを指定するポリシー制御サーバと、前記通信ネットワークの回線上に配備され、前記ポリシー制御サーバによって指定された識別情報に基づいて、呼制御がなされた前記ユーザ端末間で送受信されるパケットを識別するとともに、該パケットに対して、前記ポリシー制御サーバによって指定されたポリシーに応じたアクションを施すポリシー制御装置と、を有し、前記ポリシー制御装置は、複数の第１のポートと、これら第１のポートのそれぞれと対応する複数の第２のポートとを備え、これら第１および第２のポートのうちの対となるポートを入出力ポートとして用いて、前記回線上でのパケット処理を行うことを特徴とする。

上記の構成によれば、ポリシー制御装置は、ポリシー制御サーバによって指定されたポリシーに応じたアクションを実行する。ポリシー制御サーバは、例えば、通信前は、フィルタリングで通信非許可とし、通信開始後に、通信端末間のパケットフローに対してのみ通信許可とするようなアクションを指定することが可能である。また、ポリシー制御サーバは、許可のない通信を低優先とし、許可された通信を高優先とする場合において、通信開始後に、通信端末間のパケットフローのみを高優先とするようなアクションを指定することが可能である。さらに、ポリシー制御サーバは、サービスに割り当てられた固定的な帯域をパケットフローごとに割り当て、その帯域を越えるパケットフローについては、トラヒックをポリシングする場合において、通信開始後に、通信端末間の通信サービスに割り当てられた帯域を指定することが可能である。このように、ポリシー制御サーバからの制御により、ポリシー制御装置におけるポリシーの設定を動的に行うことが可能となっており、これにより、高セキュリティで、高ＱｏＳのネットワークシステムを構築することが可能となっている。

本発明によれば、既存の通信ネットワークの任意の回線にポリシー制御装置を配備するだけで、トポロジー構成の変更なしにＲＡＣＳアーキテクチャを実現することができ、高セキュリティで、高ＱｏＳのネットワークシステムを構築することができる。

次に、本発明の実施形態について図面を参照して説明する。

（第１の実施形態）
図１は、本発明の第１の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。本実施形態のトラヒックポリシー制御ネットワークシステムは、図８に示した通信ネットワークに、ポリシー制御装置１ａ、１ｂ、制御ネットワーク１６およびポリシー制御サーバ１７を追加したものである。図１中、図８に示したものと同じ構成には、同じ符号を付してある。ポリシー制御装置（１ａ、１ｂ）、制御ネットワーク１６、ポリシー制御サーバ１７は、それぞれ図９に示したＲＣＥＦ、ＡＦ、ＲＡＣＳに相当する。

ポリシー制御装置１ａは、アクセスネットワーク１１ａと集線スイッチ１２ａの間に配置されている。ポリシー制御装置１ｂは、アクセスネットワーク１１ｂと集線スイッチ１２ｂの間に配置されている。集線スイッチ１２ａ、１２ｂには、ＩＰネットワークで知られているＬ２ＳＷやＬ３ＳＷを適用可能である。ポリシー制御装置１ａ、１ｂのそれぞれは、制御ネットワーク１６を介してポリシー制御サーバ１７に接続されており、ポリシー制御サーバ１７からの制御によりポリシー制御を実行する。ポリシー制御サーバ１７は、ユーザ端末１０ａ、１０ｂの間の通信の呼制御を実行するアプリケーションサーバ１５に接続されている。ユーザ端末１０ａ、１０ｂは、パーソナルコンピュータに代表される、通信機能を備えたコンピュータシステムである。また、ユーザ端末１０ａ、１０ｂは、ＩＰ電話器や既存の電話器をＩＰネットワークに接続するゲートウェイ（あるいはターミナルアダプタ）であってもよい。

ポリシー制御装置１ａ、１ｂは、同じ構成のものである。図２に、そのポリシー制御装置の構成を示す。図２を参照すると、ポリシー制御装置１は、ｎ個のアクセスポート２₁〜２_n、ｎ個のコアポート３₁〜３_n、制御ポート４、制御プロトコル処理部５およびパケット処理部６からなる。

アクセスポート２₁〜２_nは、アクセスネットワーク（アクセスネットワーク１１ａまたはアクセスネットワーク１１ｂ）に接続される。コアポート３₁〜３_nは、コアネットワーク１４に接続される。アクセスポート２₁〜２_nとコアポート３₁〜３_nとは互いのポートが対となるように構成されており、１対１で対応するポート同士がパケット処理部６を介して接続される。

パケット処理部６は、宛先アドレス、通信元アドレス、宛先ポート番号、通信元ポート番号、プロトコルタイプの５つのパケット識別情報のうちの１つ以上のパケット識別情報を用いてパケットを識別する。また、パケット処理部６は、パケット通過許可、パケット通過非許可、ＤＳＣＰ値の変更、ＩＥＥＥ802.1pの優先度の変更、ポリシング帯域設定、設定された帯域でのポリシングの６つのアクションのうちの１つ以上のアクションを実行可能である。ここでは、宛先アドレス、通信元アドレス、宛先ポート番号、通信元ポート番号、プロトコルタイプの５つの識別情報を5-tupleと呼ぶ。

制御ポート４は、制御ネットワーク１６に接続されている。制御プロトコル処理部５は、制御ポート４を通じてポリシー制御サーバ１７と接続されており、ポリシー制御サーバ１７からの制御指示に従って、パケット処理部６へのポリシー（パケットに対するアクションの制御ルール）の設定を行う。

ポリシー制御サーバ１７は、ポリシー制御装置１に対して、制御プロトコルにより、5-tupleのパケット識別情報のうちの１つ以上を指定し、また、パケット通過許可、パケット通過非許可、ＤＳＣＰ値の変更、ＩＥＥＥ802.1pの優先度の変更、ポリシング帯域設定といった５つのアクションのうちの１つ以上を指示する。ここでは、パケット通過の許可／非許可をフィルタリングポリシーと呼び、ＤＳＣＰ値の変更およびＩＥＥＥ802.1pの優先度の変更を優先度ポリシーと呼び、ポリシング帯域設定をポリシングポリシーと呼ぶ。また、これらフィルタリングポリシー、優先度ポリシーおよびポリシングポリシーをまとめて制御ポリシーと呼ぶ。

ポリシー制御装置１では、制御プロトコル処理部５が、ポリシー制御サーバ１７からの制御指示に従って、制御ポリシーをパケット処理部６に設定する。アクセスポートから入力されたパケットは、パケット処理部６にて、設定された制御ポリシーのアクションが施された後、コアポートから出力される。同様に、コアポートから入力されたパケットは、パケット処理部６にて、設定された制御ポリシーのアクションが施された後、アクセスポートから出力される。なお、制御ポリシーの設定がなされなかった場合、または、ポリシー制御装置１の電源が投入されていない場合は、パケット処理部６は、入力パケットを出力パケットとして、対のコアポートから出力する。

次に、本実施形態のポリシー制御ネットワークシステムの動作を具体的に説明する。

図３は、制御ポリシー設定の動作を説明するための図である。ここでは、ユーザ端末１０ａが発信端末、ユーザ端末１０ｂが着信端末と仮定する。

ユーザ端末１０ａは、通信を開始する際に、アプリケーションサーバ１５に対して呼設定要求を送信する（ステップＳ１）。呼設定要求を受けたアプリケーションサーバ１５は、ポリシー制御サーバ１７に対して呼設定通知を送信する（ステップＳ２）。呼設定要求において、アプリケーションサーバ１５は、ユーザ端末１０ａから供給される特定の情報（加入者識別情報、端末識別情報、宛先情報、要求するアクションのパラメータなど）に基づいて宛先端末や制御すべきアクションを判定する。この判定において、アプリケーションサーバ１５は、ネットワーク内の他のサーバにある情報、具体的には、加入者情報、端末識別情報、サービスやセキュリティに関するアクションの情報などが関連付けられて登録された加入者情報データベースを参照することも可能である。判定がなされると、アプリケーションサーバ１５は、呼設定通知の際に、その判定結果を含む情報（宛先アドレス、通信元アドレス、宛先ポート番号、通信元ポート番号、プロトコルタイプなどのパケット識別情報、要求するアクションの情報など）をポリシー制御サーバ１７に供給する。ポリシー制御サーバ１７は、このアプリケーションサーバ１５からの情報に基づいて、発側および着側のポリシー制御装置を特定し、設定すべき制御ポリシーを判断する。

呼設定通知を受けたポリシー制御サーバ１７は、発側のポリシー制御装置１ａに対して必要な制御ポリシーを設定するとともに、着側のポリシー制御装置１ｂに対して必要な制御ポリシーを設定する（ステップＳ３、Ｓ４）。発側および着側のポリシー制御装置におけるポリシー設定がなされた後、アプリケーションサーバ１５は、着信端末であるユーザ端末１０ｂに対して呼設定要求を送信する（ステップＳ５）。呼設定要求がユーザ端末１０ｂにて受信されて呼設定が完了すると、ユーザ端末１０ａとユーザ端末１０ｂの間で通信が開始される（ステップＳ６）。

呼を切断する場合は、切断ユーザ端末（ここでは、ユーザ端末１０ａ、１０ｂのいずれかの端末）が、アプリケーションサーバ１５に対して、リモートユーザ端末（通信相手）との呼接続を切断する旨の呼切断要求を送信する（ステップＳ７）。呼切断要求を受けたアプリケーションサーバ１５は、ポリシー制御サーバ１７に対して呼切断通知を送信する（ステップＳ８）。呼切断通知は、発側のポリシー制御装置を特定するための情報および着側のポリシー制御装置を特定するための情報を含み、ポリシー制御サーバ１７は、これら情報に基づいて、発側および着側のポリシー制御装置を特定することができる。

呼切断通知を受けたポリシー制御サーバ１７は、発側のポリシー制御装置に対して、ステップＳ３で設定した制御ポリシーを削除するとともに、着側のポリシー制御装置に対して、ステップＳ４で設定した制御ポリシーを設定する（ステップＳ９、Ｓ１０）。発側および着側のポリシー制御装置におけるポリシー削除がなされた後、アプリケーションサーバ１５は、リモートユーザ端末に対して呼切断要求を送信する（ステップＳ１１）。

上述の制御ポリシー設定の動作によれば、呼設定中に、アプリケーションサーバ１５とポリシー制御サーバ１７が連携して、発側および着側のポリシー制御装置における制御ポリシーの設定を行う。また、呼切断時は、アプリケーションサーバ１５とポリシー制御サーバ１７が連携して、発側および着側のポリシー制御装置に設定された制御ポリシーを削除する。

図４に、ポリシー制御装置のポリシーの設定および削除の動作を示す。制御プロトコル処理部は、ポリシー制御サーバ１７からの制御プロトコルメッセージ（ポリシー設定）を受信すると（ステップＳ２０）、その制御プロトコルメッセージを解釈して、パケット処理部に対してポリシー設定を行う（ステップＳ２１）。また、制御プロトコル処理部は、ポリシー制御サーバ１７からの制御プロトコルメッセージ（ポリシー削除）を受信すると（ステップＳ２２）、その制御プロトコルメッセージを解釈して、パケット処理部に対して、ステップＳ２１で設定したポリシーを削除する（ステップＳ２４）。

図３のステップＳ６で、呼設定が完了し、ユーザ端末１０ａとユーザ端末１０ｂの間で通信が開始されると、ユーザ端末１０ａとユーザ端末１０ｂの間で送受信されるパケットは、ポリシー制御装置１ａ、１ｂの各パケット処理部において、制御プロトコル処理部によって設定された制御ポリシーに応じた処理（パケット処理）が施される。図５に、パケット処理部によって行われるパケット処理の手順を示す。

図５を参照すると、パケット処理部は、入力ポートからパケットを受け取ると、入力パケットに含まれている識別情報を参照して、入力パケットを「５−tuple」ベースで識別し、この入力パケットに対する制御ポリシーの有無を判断する（ステップＳ３０、Ｓ３２、Ｓ３４）。

まず、ステップＳ３０において、フィルタリングポリシーの有無、すなわち、パケット通過許可／パケット通過非許可の判断が行われる。パケット通過非許可の場合は、入力パケットは破棄される（ステップＳ３１）。

パケット通過許可の場合は、ステップＳ３２において、ポリシングポリシーの有無が判断される。ポリシングポリシーが設定されている場合は、設定された帯域でのポリシングが行われ（ステップＳ３３）、その後、ステップＳ３４において、優先度ポリシーの有無が判断される。ポリシングポリシーが設定されていない場合は、ステップＳ３３の処理は行わずに、ステップＳ３４に移行する。ステップＳ３４で、優先度ポリシーが設定されていると判断した場合は、入力パケットの優先度を設定優先度に変更する（ステップＳ３５）。このようにして、必要なアクションが施された入力パケットは、対となる出力ポートから出力される。

図５に示したパケット処理の手順において、フィルタリングポリシー、ポリシングポリシー、優先度ポリシーの各アクションは、どのような順番で行われてもよい。

以上説明した本実施形態のシステムによれば、ポリシー制御サーバは、例えば、電話のような通話先が不定の場合において、ネットワークへの不要な侵入を防御して高セキュリティを実現するために、ポリシー制御装置に対して、通信前は、フィルタリングで通信非許可とし、通信開始後に、通信端末間のパケットフローに対してのみ通信許可とするような設定を行うことができる。

また、ポリシー制御サーバは、高品質な通信を実現するために、ポリシー制御装置に対して、許可のない通信を低優先とし、許可された通信を高優先とするような設定を行う場合において、通信開始後に、通信端末間のパケットフローのみを高優先とするようなアクションを指定することが可能である。

さらに、ポリシー制御サーバは、高品質な通信を実現するために、ポリシー制御装置に対して、サービスに割り当てられた固定的な帯域をパケットフローごとに割り当て、その帯域を越えるパケットフローについては、トラヒックをポリシングするような設定を行う場合において、通信開始後に、通信端末間の通信サービスに割り当てられた帯域を指定することが可能である。

このように、ポリシー制御サーバからの制御により、ポリシー制御装置におけるポリシーの設定を動的に行うことが可能となっており、これにより、高セキュリティで、高ＱｏＳのネットワークシステムを構築することができる。

また、ポリシー制御装置は、ポリシー制御サーバからの指示を受信していない場合、または、自装置の電源が投入されていない場合は、入力パケットをそのまま出力パケットとして回線上に送出するように構成されているので、ポリシー制御装置の機能が停止している状態でも、回線は土管として通信可能な状態を維持することができる。

なお、ポリシー制御装置の配置は、図示したような配置に限定されるものではなく、通信ネットワーク上の任意の回線上に配置することが可能である。この場合も、高セキュリティで、高ＱｏＳのネットワークシステムを構築することができる。

また、アクセスネットワークには、複数のユーザ端末を接続することも可能である。

さらに、ポリシー制御装置に接続されるアクセスネットワークの数は複数であってもよい。

さらに、集線スイッチに接続されるポリシー制御装置は複数であってもよい。

さらに、コアネットワークに接続されるエッジノードの数は３つ以上であってもよい。

（第２の実施形態）
図６は、本発明の第２の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。本実施形態のトラヒックポリシー制御ネットワークシステムは、ポリシー制御装置１ａが集線スイッチ１２ａとエッジノード１３ａの間に配置され、ポリシー制御装置１ｂが集線スイッチ１２ｂとエッジノード１３ｂの間に配置されている以外は、図１に示したシステムと同様のものである。図６中、図１に示したものと同じ構成には、同じ符号を付してある。

本実施形態のトラヒックポリシー制御ネットワークシステムにおいても、発側のユーザ端末は、通信を開始する際にアプリケーションサーバ１５にアクセスし、アプリケーションサーバ１５が、着側のユーザ端末との呼を設定する。呼設定中に、アプリケーションサーバ１５とポリシー制御サーバ１７が連携して、ポリシー制御装置１ａ、１ｂに対して制御ポリシーを設定する（図３のステップＳ１〜Ｓ５参照）。ポリシー制御装置１ａ、１ｂでは、制御プロトコル制御部が、ポリシー制御サーバ１７からの制御プロトコルメッセージ（ポリシー設定）を解釈し、パケット処理部に対して必要なポリシー設定を行う（図４のステップＳ２０、Ｓ２１参照）。呼設定が終了した後、発側および着側のユーザ端末間で通信が開始され、データパケットは、ポリシー制御装置１ａ、１ｂにて、設定された制御ポリシーに応じたアクションが施される（図５のステップＳ３０〜Ｓ３５参照）。

呼切断時は、切断ユーザ端末がアプリケーションサーバ１５にアクセスし、アプリケーションサーバ１５が、リモートユーザ端末との呼を切断する（図３のステップＳ７〜Ｓ１１参照）。そして、アプリケーションサーバ１５とポリシー制御サーバ１７が連携して、ポリシー制御装置１ａ、１ｂに対して、呼設定時に設定した制御ポリシーを削除する（図４のステップＳ２２、Ｓ２３参照）。

本実施形態のシステムにおいても、第１の実施形態のシステムと同様な作用効果を奏する。

（第３の実施形態）
図７は、本発明の第３の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。本実施形態のトラヒックポリシー制御ネットワークシステムは、ポリシー制御装置１ａがエッジノード１３ａとコアネットワーク１４の間に配置され、ポリシー制御装置１ｂがエッジノード１３ｂとコアネットワーク１４の間に配置されている以外は、図１に示したシステムと同様のものである。図７中、図１に示したものと同じ構成には、同じ符号を付してある。

本実施形態のトラヒックポリシー制御ネットワークシステムにおいても、発側のユーザ端末は、通信を開始する際にアプリケーションサーバ１５にアクセスし、アプリケーションサーバ１５が、着側のユーザ端末との呼を設定する。呼設定中に、アプリケーションサーバ１５とポリシー制御サーバ１７が連携し、ポリシー制御装置１ａ、１ｂに対して制御ポリシーを設定する（図３のステップＳ１〜Ｓ５参照）。ポリシー制御装置１ａ、１ｂでは、制御プロトコル制御部が、ポリシー制御サーバ１７からの制御プロトコルメッセージ（ポリシー設定）を解釈し、パケット処理部に対して必要なポリシー設定を行う（図４のステップＳ２０、Ｓ２１参照）。呼設定が終了した後、発側および着側のユーザ端末間で通信が開始され、データパケットは、ポリシー制御装置１ａ、１ｂにて、設定された制御ポリシーに応じたアクションが施される（図５のステップＳ３０〜Ｓ３５参照）。

以上説明した各実施形態のトラヒックポリシー制御ネットワークシステムによれば、既存の通信ネットワークの任意の回線にポリシー制御装置を配備するだけで、トポロジー構成の変更なしにＲＡＣＳアーキテクチャを実現することができ、高セキュリティで、高ＱｏＳのネットワークシステムを構築することができる。

第１の実施形態のシステムでは、ポリシー制御装置はアクセスネットワークと集線スイッチの間に配備されており、最もユーザ端末側でトラヒック制御を行うことが可能であるので、セキュリティは第２および第３の実施形態のシステムに比べて高い。ただし、ポリシー制御装置の配置数は、第２および第３の実施形態のシステムに比べて多くなるため、コストが増大し、保守性の面で不利となる。

第２の実施形態のシステムでは、ポリシー制御装置は集線スイッチとエッジノードの間に配備されているので、フロー単位またはサブネット（アクセスネットワーク）単位でのトラヒック制御が可能である。また、集線効果により、ポリシー制御装置の設置数を、第１の実施形態のシステムに比べて大幅に削減することができ、低コストで、保守性に優れたネットワークシステムを実現することができる。

第３の実施形態のシステムでは、ポリシー制御装置はエッジノードとコアネットワークの間に配備されている。この場合も、集線効果により、ポリシー制御装置の設置数を大幅に削減することができる。

なお、ポリシー制御装置の配置は、第１から第３の実施形態で説明したような配置に限定されるものではなく、通信ネットワーク上の任意の回線上に配置することが可能である。

また、ポリシー制御装置に、集線スイッチの機能を持たせることも可能である。この場合は、例えば図１に示したシステムにおいて、集線スイッチは不要となる。ポリシー制御装置は、集線スイッチ（レイヤースイッチ）の役割を果たすとともに、パケットに対してポリシー制御を行う。加えて、ポリシー制御装置は、集線スイッチの機能とポリシー制御機能との切り替えが可能な構成としてもよい。さらに、ポリシー制御装置は、集線スイッチの機能とポリシー制御機能のうち、少なくとも集線スイッチ機能のオンオフが可能な構成としてもよい。このような切り替え機能やオンオフ制御を追加することで、ポリシー制御装置の既存ネットワークへの適用形態に幅を持たせることが可能になる。

本発明の第１の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。図１に示すポリシー制御装置の構成を示すブロック図である。図１に示すポリシー制御ネットワークシステムの動作を説明するための図である。図２に示すポリシー制御装置におけるポリシーの設定および削除の動作を説明するための図である。図２に示すポリシー制御装置のパケット処理部にて行われるパケット処理の手順を示すフローチャートである。本発明の第２の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。本発明の第３の実施形態であるトラヒックポリシー制御ネットワークシステムの構成を示すブロック図である。一般的な通信ネットワークの構成を示すブロック図である。ＮＧＮのＲＡＣＳアーキテクチャを説明するための図である。

符号の説明

１ａ、１ｂポリシー制御装置
１０ａ、１０ｂユーザ端末
１１ａ、１１ｂアクセスネットワーク
１２ａ、１２ｂ集線スイッチ
１３ａ、１３ｂエッジノード
１４コアネットワーク
１５アプリケーションサーバ
１６制御ネットワーク
１７ポリシー制御サーバ

Claims

複数のユーザ端末が回線を介して接続される通信ネットワークにおけるユーザ端末間の通信の呼制御を実行するアプリケーションサーバと、
前記アプリケーションサーバによって呼制御がなされたユーザ端末間で送受信されるパケットを識別するための識別情報および該パケットに対するアクションの制御ルールであるポリシーを指定するポリシー制御サーバと、
前記通信ネットワークの回線上に配備され、前記ポリシー制御サーバによって指定された識別情報に基づいて、呼制御がなされた前記ユーザ端末間で送受信されるパケットを識別するとともに、該パケットに対して、前記ポリシー制御サーバによって指定されたポリシーに応じたアクションを施すポリシー制御装置と、を有し、
前記ポリシー制御装置は、複数の第１のポートと、これら第１のポートのそれぞれと対応する複数の第２のポートとを備え、これら第１および第２のポートのうちの対となるポートを入出力ポートとして用いて、前記回線上でのパケット処理を行う、トラヒックポリシー制御ネットワークシステム。
前記ポリシー制御装置は、前記ポリシー制御サーバからの指示を受信していない場合、または、自装置の電源が投入されていない場合は、入力パケットをそのまま出力パケットとして前記回線上に送出する、請求項１に記載のトラヒックポリシー制御ネットワークシステム。
前記ポリシー制御装置は、
入力パケットに対して、設定されたポリシーに対応するアクションを施すパケット処理部と、
前記ポリシー制御サーバからの制御プロトコルメッセージを解釈して、前記パケット処理部に対してポリシーの設定および解除を行う制御プロトコル処理部と、を有する、請求項１または２に記載のトラヒックポリシー制御ネットワークシステム。
前記通信ネットワークは、
前記複数のユーザ端末が接続される複数のアクセスネットワークと、
前記複数のアクセスネットワークが接続される複数の集線スイッチと、
前記複数の集線スイッチが個別に接続される複数のエッジノードと、
前記複数のエッジノードが接続されるコアネットワークと、を有し、
前記ポリシー制御装置は、前記複数のアクセスネットワークと前記複数の集線スイッチとの間に配備される、請求項１から３のいずれか１項に記載のトラヒックポリシー制御ネットワークシステム。
前記通信ネットワークは、
前記複数のユーザ端末が接続される複数のアクセスネットワークと、
前記複数のアクセスネットワークが接続される複数の集線スイッチと、
前記複数の集線スイッチが個別に接続される複数のエッジノードと、
前記複数のエッジノードが接続されるコアネットワークと、を有し、
前記ポリシー制御装置は、前記複数の集線スイッチと前記複数のエッジノードとの間に配備される、請求項１から３のいずれか１項に記載のトラヒックポリシー制御ネットワークシステム。
前記通信ネットワークは、
前記複数のユーザ端末が接続される複数のアクセスネットワークと、
前記複数のアクセスネットワークが接続される複数の集線スイッチと、
前記複数の集線スイッチが個別に接続される複数のエッジノードと、
前記複数のエッジノードが接続されるコアネットワークと、を有し、
前記ポリシー制御装置は、前記複数のエッジノードと前記コアネットワークの間に配備される、請求項１から３のいずれか１項に記載のトラヒックポリシー制御ネットワークシステム。
アプリケーションサーバが、複数のユーザ端末が回線を介して接続される通信ネットワークにおけるユーザ端末間の通信の呼制御を実行するステップと、
ポリシー制御サーバが、前記アプリケーションサーバによって呼制御がなされたユーザ端末間で送受信されるパケットを識別するための識別情報および該パケットに対するアクションの制御ルールであるポリシーを指定するステップと、
前記ネットワークの回線上に配備されたポリシー制御装置が、前記ポリシー制御サーバによって指定された識別情報に基づいて、呼制御がなされた前記ユーザ端末間で送受信されるパケットを識別するとともに、該パケットに対して、前記ポリシー制御サーバによって指定されたポリシーに応じたアクションを施すステップと、
前記ポリシー制御装置が、前記ポリシー制御サーバからの指示を受信していない場合、または、自装置の電源が投入されていない場合に、入力パケットをそのまま出力パケットとして前記任意の回線上に送出するステップと、を含むトラヒック制御方法。