JP2008060865A - トラヒック分析・制御システム - Google Patents

Abstract

【課題】異常トラヒック検出・分析および制御を低コストで実現する。
【解決手段】ネットワーク制御装置８は、パケット転送装置５、パケット処理装置７に転送経路設定を指示し、パケット転送装置５に転送経路に割り当てたラベルのユーザ＃５宛のパケットへの付与を指示する。パケット処理装置７は、パケット転送装置５からのパケットにパケット通過制御処理実施後、転送経路に割り当てたラベルを付与し返送する。パケット転送装置５は、パケットが入力されると、第一の転送テーブルを参照して、出力ラベルが特定できた場合には、パケットに付与された入力ラベルと出力ラベルが対を成さないか否かを判定し、対を成さないと判定された場合には、第一の転送テーブルにより特定された論理ポートにパケットに出力し、対を成すと判定された場合と第一の転送テーブルにより出力ラベルが特定できなかった場合には、第二の転送テーブルを参照してパケットを出力する。
【選択図】図１２

Description

本発明は、広域ネットワークにおいて、トラヒック変動をネットワークワイドに監視し、分析の必要がある場合のみ専用のパケット処理装置へトラヒックを転送して詳細分析を実施することで、ネットワーク内における不正アクセス監視および攻撃トラヒック防御を効率的に実施してセキュリティを低コストで向上するための技術である。

インターネットの普及に伴い、ネットワーク経由の不正アクセスによるデータなどの不正盗聴、ＤＤｏＳ（Distributed Denial of Services）攻撃などによるシステム攻撃などが多発している。

従来、これらの脅威に対処するために、ファイアウォール機能をルータ等のパケット転送装置に実装することで、ネットワークを流れるデータ内容やパケットヘッダ内容に応じて通信を制御するアクセス制御技術が用いられる。このパケット転送装置をネットワークの境界に設置することで、ユーザが設定したセキュリティポリシに従った必要最低限の通信のみを通過させることが可能である。

しかし、上記のファイアウォール機能では、セキュリティポリシに従った通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正侵入等の不正アクセスやＤＤｏＳ攻撃を完全に阻止することは困難である。

この問題を解決するために、Anomaly Detectorなどの異常トラヒック検出装置とAnomaly Guardなどの異常トラヒック分析・制御装置を組み合わせて使用する方式が採用されている（例えば、特許文献１参照）。この方式では、Anomaly Detectorで異常トラヒックの可能性を検出すると、Anomaly Guardヘ警告を送り、対象トラヒックをAnomaly Guardへ再ルーチングして分析する。Anomaly Guardは、詳細な分析を実施した後、受信トラヒックを不正トラヒックと正常トラヒックに分類し、正常トラヒックは元の宛先に転送するとともに、不正なトラヒックは削除する。

特開２００５−５９２７号公報（ネットワークシステムと不正アクセス制御方法およびプログラム）

しかし、この方式では、異常トラヒック分析・制御装置は、分析対象トラヒックを自身へ再ルーチングするため、異常トラヒック分析・制御装置がルーチング制御機能を保有し、トラヒック制御を実施する度に当該装置がネットワーク全体のルーチング情報を変更する必要がある。このため、異常トラヒック分析・制御装置は、ルーチング制御機能の保有、且つ、装置故障に対する高い信頼性が要求され、当該装置が高コスト化する。さらに、この方式では、正常トラヒックを元の宛先に転送する際に、ループ発生を回避するために、ユーザネットワークまでトンネリング（ＶＬＡＮやLabel Switch PathやＩＰ in ＩＰなど、自装置と宛先装置間でパスやＶＰＮを設定して転送する一般的な技術）してパケットを転送する必要がある。このため、異常トラヒック分析・制御装置は全ユーザネットワークへのトンネル情報を管理し、さらに、ネットワークは異常トラヒック分析・制御装置と全ユーザネットワーク間にトンネルを設定し管理することになる。ネットワーク内に設定可能なトンネル数はトンネリングの際に付与するヘッダ領域により制限される（ＶＬＡＮやLabel Switch Pathでは最大４０９６）ため、他の用途で設定されるトンネル数が制限される。

また、ルーチング情報を変更せずに当方式を適用するためには、各ルータに異常トラヒック分析・制御装置を付与する必要がある。この際は、異常トラヒック分析・制御装置がルータ台数相当必要となり、ネットワークが高コスト化する。

本発明は、特定のトラヒックを分析・制御するために、ルータ相当のパケット転送装置と異常トラヒック分析・制御装置相当のパケット処理装置間で転送経路を動的に設定して対象トラヒックを転送するよう指示する、ネットワーク制御装置を設置するとともに、パケット処理装置に、パケット転送装置への折り返し転送機能を搭載し、パケット転送装置に、入出力論理ポートを比較して複数の転送テーブルから参照すべき転送テーブルを決定する機能を搭載する。

これにより、パケット処理機能を通過させ制御を実施したいトラヒックを、パケット処理装置へ、ループを防止しつつ送信できる。その際、パケット処理装置がルーチング制御機能を保有してネットワーク全体のルーチング情報を変更する必要は無く、且つ、パケット転送装置がパケット処理装置を保有する必要も無い。また、正常トラヒックを元の宛先に転送する際に、ユーザネットワークまでトンネリングする必要も無い。

これにより、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できる。

上述の課題を解決するために、第１の発明では、ネットワーク制御装置とパケット処理装置とパケット転送装置とを有するトラヒック分析・制御システムであって、前記ネットワーク制御装置は、パケット転送装置の識別子と、宛先アドレスと送信元アドレスを含むパケットフロー情報と、で構成される制御情報の通知を受ける手段と、前記パケット転送装置の識別子に該当するパケット転送装置に対して、前記パケット処理装置への転送経路設定を指示する手段と、前記パケット処理装置に対して、前記パケット転送装置への転送経路設定を指示する手段と、前記パケット転送装置に対して、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を、前記パケットフロー情報の宛先アドレス宛のパケットへ付与するよう指示する手段と、を備え、前記パケット処理装置は、前記ネットワーク制御装置から指示されたパケット転送装置への転送経路を設定する手段と、パケット通過制御処理を実施する手段と、前記パケット転送装置から受信したパケットに対してパケット通過制御処理を実施した後、前記パケットに前記パケット転送装置への転送経路に割り当てた論理ポートの識別子を付与し、前記パケット転送装置に返送する手段と、を備え、前記パケット転送装置は、前記ネットワーク制御装置から指示されたパケット処理装置への転送経路を設定する手段と、パケットのヘッダ情報と、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を登録する第一の転送テーブルと、パケットのヘッダ情報と、前記パケット処理装置への転送経路以外のパケットを出力する転送経路を登録する第二の転送テーブルと、前記パケット処理装置からの転送経路からパケットが入力される論理ポートの識別子と、前記パケット処理装置への転送経路へパケットを出力する論理ポートの識別子の対を比較する入出力論理ポート比較手段と、を備え、パケットが入力されると、前記第一の転送テーブルを参照して、前記パケットを出力すべき論理ポートの識別子を探索し、論理ポートの識別子が特定できた場合には、前記入出力論理ポート比較手段により、前記パケットに付与された論理ポートの識別子と前記パケットを出力すべき論理ポートの識別子が対を成さないか否かを判定し、対を成さないと判定された場合には、前記第一の転送テーブルにより特定された論理ポートに、前記パケットに前記論理ポートの識別子を付与して、出力し、対を成すと判定された場合と、前記第一の転送テーブルによりパケットを出力すべき論理ポートが特定できなかった場合には、前記第二の転送テーブルを参照して、前記パケットを出力すべき転送経路を特定して、前記第二の転送テーブルにより特定された転送経路に前記パケットを出力することを特徴とする。

また、第２の発明は、前記第１の発明において、前記パケット処理装置のパケット通過制御処理を実施する手段は、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄することを特徴とする。

また、第３の発明は、前記第１の発明において、前記パケット処理装置のパケット通過制御処理を実施する手段は、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄することを特徴とする。

上述のように、本発明によれば、特定のトラヒックをパケット処理機能によって分析・制御するために、パケット転送装置とパケット処理装置間で転送経路を動的に設定して対象トラヒックを転送するよう指示するネットワーク制御装置を設置するとともに、パケット処理装置に、パケット転送装置への折り返し転送機能を搭載し、パケット転送装置に、入出力論理ポートを比較して複数の転送テーブルから参照すべき転送テーブルを決定する機能を搭載する。

これにより、パケット処理機能を通過させ制御を実施したいトラヒックを、パケット処理装置へ、ループを防止しつつ送信できる。その際、パケット処理装置がルーチング制御機能を保有してネットワーク全体のルーチング情報を変更する必要は無く、且つ、パケット転送装置がパケット処理装置を保有する必要も無い。

従って、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できる。

次に、本発明の実施の形態について、図面を用いて説明する。
図１に、本発明を適用するネットワークのネットワークモデルの一例を示す。本発明の実施例のトラヒック分析・制御システムは、パケット転送装置１〜６、パケット処理装置７およびそれらを制御するネットワーク制御装置８から構成される。ユーザ端末９から１６は、各アクセス網１７〜２０を経由して、パケット転送装置１〜４に収容されている。一般的には、パケット転送装置１〜４はエッジノードまたはエッジルータ、パケット転送装置５から６はコアノードまたはコアルータと呼ばれる。パケット転送装置１〜４は、パケット転送装置５〜６によって接続されている。パケット転送装置１〜６およびパケット処理装置からなるネットワークをコアネットワーク２１とし、ユーザ端末で構成されるネットワークをユーザネットワーク２２とする。

パケット転送装置１には、装置を識別するためのアドレスとしてコア＃１が付与されており、パケット転送装置２には、装置を識別するためのアドレスとしてコア＃２が付与されており、パケット転送装置３には、装置を識別するためのアドレスとしてコア＃３が付与されており、パケット転送装置４には、装置を識別するためのアドレスとしてコア♯４が付与されており、パケット転送装置５には、装置を識別するためのアドレスとしてコア＃５が付与されており、パケット転送装置６には、装置を識別するためのアドレスとしてコア＃６が付与されており、パケット処理装置７には、装置を識別するためのアドレスとしてコア＃７が付与されており、それぞれに到達するための経路はルーチングプロトコルにより管理されている。

コア＃１〜コア＃７は、コアネットワークがＩＰｖ４ネットワークであればＩＰｖ４アドレスとなり、その際のルーチングプロトコルとしてはＯＳＰＦ（Open Shortest Path First:RFC2328）などが挙げられる。コアネットワークがＩＰｖ６ネットワークであればＩＰｖ６アドレスとなり、その際のルーチングプロトコルとしてはＯＳＰＦｖ６（Open Shortest Path First version 6:RFC2740）などが挙げられる。また、コアネットワークがＭＰＬＳ（Multi-Protocol Label Switching）ネットワーク（RFC3031）である場合、ルーチングプロトコルで経路を特定した後、ＲＳＶＰ−ＴＥ（ReSerVation Protocol with Traffic Engineering:RFC3209）やＣＲ−ＬＤＰ（Constrain-based Label Distribution Protocol:RFC3212）などのシグナリングプロトコルで送信元と宛先のパケット転送装置間にＬＳＰ（Label Switched Path）と呼ばれるパスを設定する。

同様に、ユーザ端末９は、アドレスＩＰ＃１で識別され、ユーザ端末１０は、アドレスＩＰ＃２で識別され、ユーザ端末１１は、アドレスＩＰ＃３で識別され、ユーザ端末１２は、アドレスＩＰ＃４で識別され、ユーザ端末１３は、アドレスＩＰ＃５で識別され、ユーザ端末１４は、アドレスＩＰ＃６で識別され、ユーザ端末１５は、アドレスＩＰ＃７で識別され、ユーザ端末１６は、アドレスＩＰ＃８で識別される。

図２に、本発明を適用するネットワークの物理モデルの一例を示す。ネットワーク制御装置８は、ネットワーク内の各装置と接続されている。本実施例では、リンク１０８〜１１４により、各装置との接続性を確保している。パケット転送装置１とパケット転送装置５はリンク１０１で接続され、パケット転送装置２とパケット転送装置５はリンク１０２で接続され、パケット転送装置３とパケット転送装置６はリンク１０３で接続され、パケット転送装置４とパケット転送装置６はリンク１０４で接続され、パケット転送装置５とパケット転送装置６はリンク１０５で接続され、パケット転送装置５とパケット処理装置７はリンク１０６で接続され、パケット処理装置７と明示されていないパケット転送装置間がリンク１０７で接続されている。リンクとしては、光ファイバや光波長のような光パスや、イーサネットケーブルのような物理ケーブルを用いることができる。

本実施例では、論理ポートをラベルで識別しており、以下の説明における入力ラベル、出力ラベルは、一般的には、それぞれ、入力論理ポートの識別子、出力論理ポートの識別子ということができる。

図３に、本発明のパケット転送装置の構成例を示す。パケット転送装置は、第一転送機能２３、入出力論理ポート比較機能２４、第二転送機能２５、サーバ接続部２６で構成される。なお、図３に示されたものはパケット転送装置５の構成例であり、リンク１０１、１０２、１０５、１０６が接続されているが、他のパケット転送装置でも接続されるリンクが異なるだけで内部の構成は同様である。

第一転送機能２３は、第一転送テーブル２７および論理ポート設定機能２８を有している。
第一転送テーブル２７は、入力パケットのヘッダ情報から出力ラベル値および出力リンクを導く機能を有している。本実施例の第一転送テーブル２７は、図７に示すように、入力ラベル、宛先アドレス（宛先）、出力ラベル、出力リンク（Ｏｕｔｐｕｔ）の欄を有する。入力ラベル値が入力論理ポート、出力ラベル値が出力論理ポートを示している。本実施例では、ヘッダ情報例としてラベル値と宛先アドレスを記述している。ここで、入力ラベル値としてデフォルトとしているものは、ラベルが付与されていないことを示している。従来、ラベルが付与されていないものはＩＰネットワークのようなコネクションレスネットワーク、ラベルが付与されているものはＭＰＬＳネットワークのようなコネクションオリエンテッドネットワークである。ＩＰネットワークでは、ルーチングプロトコルにより出力先が特定され、ＭＰＬＳネットワークではルーチングプロトコルとシグナリングプロトコルで出力先が特定される。このため、ラベル値の有無で転送テーブルを分割して管理してもよい。さらに、ヘッダ情報として、送信元アドレスを記述し、特定のユーザ間フローのみを別経路に出力するよう、オペレータが設定できるようにしてもよい。

また、本実施例では、第一転送テーブル２７内に出力論理ポートの識別子（出力ラベル）と出力物理ポート（Ｏｕｔｐｕｔ）を記述しているが、これらも別テーブルとして記述してもよい。この際は、入力ラベルがデフォルトであるエントリに対しては、宛先アドレスから出力物理ポートを導くテーブルに記述される。また、入力ラベル値が指定されているエントリに関しては、入力ラベル値から出力ラベル値を導くテーブルと、出力ラベル値から出力物理ポートを導くテーブルに記述される。

論理ポート設定機能２８は、特定のアドレスを保有する宛先との間に転送経路を設定する機能と、特定のアドレスを保有する宛先との間の転送経路を削除する機能を有している。例えば、コアネットワークがＭＰＬＳネットワークである際は、論理ポート設定機能２８がシグナリングプロトコルを使用し、特定のアドレスを保有する宛先との間にＬＳＰを設定する。

第一転送機能２３は、パケットを受信した際に、第一転送テーブル２７を参照し、パケットに記述されているヘッダ情報から出力論理ポートおよび出力リンクを特定して後述の入出力論理ポート比較機能２４へ通知する機能と、第一転送テーブル２７を参照し、パケットに記述されているヘッダ情報から出力論理ポートおよび出力リンクを特定できなかった際に、当該パケットを後述の第二転送機能２５へ転送する機能と、後述のネットワーク制御装置から、特定のアドレス間に転送経路を設定して特定のパケットヘッダ情報を有するパケットを特定のアドレスあてに送信する指示を受けた際に、論理ポート設定機能２８により、指定されたアドレス間に転送経路を設定し、転送経路を設定した際に決まる当該経路に対応するラベルおよび当該経路の出力リンクを、前記特定のパケットヘッダ情報から導けるよう第一転送テーブル２７に新エントリを追加する機能と、設定した転送経路に対応するラベルと、指定されたアドレスから設定してきた転送経路に割り当てられたラベルを、後述の入出力論理ポート比較機能２４へ通知する機能を有している。

さらに、第一転送機能２３は、後述のネットワーク制御装置から、特定のアドレス間に転送経路を設定して特定のパケットヘッダ情報を有するパケットを特定のアドレス宛に送信している状況を解除する指示を受けた際に、論理ポート設定機能２８により、指定されたアドレス間の転送経路を削除し、当該経路に対応するラベルに関する第一転送テーブル２７のエントリを削除する機能と、後述の入出力論理ポート比較機能２４に当該経路に対応するラベルに関する情報の削除を通知する機能を有している。

入出力論理ポート比較機能２４は、入出力論理ポート管理テーブル２９を有している。
入出力論理ポート管理テーブル２９は、各対向パケット転送装置間に設定された入力論理ポートと出力論理ポートの対を記述する機能を有している。本実施例では、入力ラベル値と出力ラベル値の対を記述する。すなわち、本実施例の入出力論理ポート管理テーブル２９は、図７に示すように、入力ラベル、出力ラベルの欄を有している。例えば、ＶＬＡＮなどで双方向論理ポートを設定する場合は、入力論理ポートと出力論理ポートは同一となる。例えば、ＭＰＬＳネットワークでは、ＬＳＰは基本的に片方向通信であるため、各対向パケット装置間に設定される入力ＬＳＰと出力ＬＳＰは基本的に異なる。

入出力論理ポート比較機能２４は、第一転送機能２３により出力論理ポートが特定された際に、入出力論理ポート管理テーブル２９を用い、パケットを受信した際の入力論理ポートから対となる出力論理ポートを特定し、第一転送機能２３から通知された出力論理ポートと比較し、異なる際は第一転送機能２３が特定した出力情報を採用してパケットを転送し、同一の際は第一転送機能２３が特定した出力情報を無効とし、入力論理ポートも無効とした後、後述の第二転送機能２５へパケットを転送する機能を有している。前述の通り、本実施例では、論理ポートをラベル値で識別している。上記異なる際とは、入出力論理ポート管理テーブル２９を用いた際に、パケットを受信した際の入力論理ポートから特定した出力論理ポートと第一転送機能２３が特定した出力論理ポートが異なる場合と、パケットを受信した際の入力論理ポートが入出力論理ポート管理テーブル２９に記述されていない際を示している。

さらに、入出力論理ポート比較機能２４は、第一転送機能２３から、設定した転送経路に対応するラベルと指定されたアドレスから設定してきた転送経路に割り当てられたラベルを通知された際に、両ラベル値を対として入出力論理ポート管理テーブル２９に登録する機能と、後述のネットワーク制御装置から、特定のアドレス間に転送経路を設定して特定のパケットヘッダ情報を有するパケットを特定のアドレス宛に送信している状況を解除するよう指示された際に、当該経路に対応するラベルに関する情報の削除を第一転送機能２３から通知された際に、当該情報を保有するエントリを削除する機能を有している。

第二転送機能２５は、第二転送テーブル３０を有している。
第二転送テーブル３０は、入力パケットのヘッダ情報から、出力ラベル値および出力リンクを導く機能を有している。本テーブルの構成は第一転送テーブル２７と同じであり、本実施例の第二転送テーブル３０は、図７に示すように、入力ラベル、宛先アドレス（宛先）、出力ラベル、出力リンク（Ｏｕｔｐｕｔ）の欄を有する。

第二転送テーブル３０は、ルーチングプロトコルやシグナリングプロトコルによってエントリを追加および削除されるが、第一転送テーブル２７は後述のネットワーク制御装置によってエントリを追加および削除される。この際、第二転送テーブル３０は後述のネットワーク制御装置からの制御の対象にはならない。また、本実施例とは異なり、第一転送テーブル２７のエントリをルーチングプロトコルやシグナリングプロトコルによって追加および削除する実施例も考えられるが、その際でもネットワーク制御装置によるエントリ追加およびエントリ削除が優先される。

第二転送機能２５は、入出力論理ポート比較機能２４からパケットを受信した際に、第二転送テーブル３０を参照し、パケットに記述されているヘッダ情報から出力論理ポートおよび出力リンクを特定してパケットを送信する機能を有している。

サーバ接続部２６は、ネットワーク制御装置からの指示を受け付け、ネットワーク制御装置からの指示を各機能へ受け渡す機能と、ネットワーク制御装置からの指示に基づく制御が完了した際に、当該処理の完了通知をネットワーク制御装置に送信する機能を有している。これにより、パケット転送装置は、ネットワーク制御装置からの指示に基づきパケット処理装置間に転送経路を設定するとともに、パケット処理装置へ送信したいパケットを抽出して当該パケットのみを前記転送経路へ送信する。さらに、パケット転送装置は、パケット処理装置から受信したパケットに関しては、パケット抽出の対象としない。これにより、特定パケットのみをパケット処理装置へ送信するとともに、パケット処理装置へ送信するパケットのループ発生を防止する。

図４に、本発明のパケット処理装置の構成例を示す。パケット処理装置は、パケット処理機能３１、パケット返送機能３２およびサーバ接続部３３から構成される。

パケット処理機能３１は、パケット通過制御処理を実施する機能を有している。パケット通過制御処理としては、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄する制御や、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄する制御が挙げられる。これらの制御に際しては、宛先アドレスに対して転送パケット数をカウントする転送パケット数カウントテーブルや、宛先アドレスに対して転送データ量を累計する転送データ量カウントテーブルや、各テーブルのエントリを一定周期毎に保存してカウント値をリセットする機能や、上位保存値と閾値を比較する機能や、比較した際に閾値を超過したパケットを可変レートで廃棄する機能や、上記廃棄の継続判断を一定時間毎に実施する機能が必要となる。

パケット返送機能３２は、返送経路設定機能３４およびパケット返送テーブル３５を有している。
返送経路設定機能３４は、特定のアドレスを保有する宛先との間に転送経路を設定する機能と、特定のアドレスを保有する宛先との間に設定された転送経路を削除する機能を有している。例えば、コアネットワークがＭＰＬＳネットワークである際は、返送経路設定機能３４がシグナリングプロトコルを使用し、特定のアドレスを保有する宛先との間にＬＳＰを設定する。

パケット返送テーブル３５は、受信パケットの入力論理ポートから、当該パケットの送信元パケット転送装置間に設定した転送経路に相当する出力論理ポートおよび出力物理ポートを導く機能を有しており、本実施例では、パケット返送テーブル３５は、図１０に示すように、受信ラベル、送信ラベル、出力リンク（Ｏｕｔｐｕｔ）の欄を有しており、受信パケットのラベル値から、当該パケットの送信元パケット転送装置間に設定した転送経路に割り当てられているラベルおよび出力リンクを導く機能を有している。また、出力論理ポートと出力物理ポートを特定する機能を二つのテーブルに分割してもよい。この際は、入力論理ポートから出力論理ポートを特定するテーブルと、出力論理ポートから出力物理ポートを特定するテーブルを保有することになる。

パケット返送機能３２は、後述のネットワーク制御装置から、特定のアドレス間に転送経路を設定する指示を受けた際に、返送経路設定機能３４により、指定されたアドレス間に転送経路を設定するとともに、指定されたアドレスから転送経路を設定してきた際に、転送経路が設定された際に決まる当該経路に対応するラベルから、自身が転送経路を設定した際に決まる当該経路に対応するラベルを導くよう、パケット返送テーブル３５に記述し、自身が転送経路を設定した際に決まる当該経路の出力先を当該経路に割り当てられたラベルと対となるようパケット返送テーブル３５に記述する機能を有している。さらに、パケット返送機能３２は、後述のネットワーク制御装置から、特定のアドレス間の転送経路を解除する指示を受けた際に、返送経路設定機能３４により、指定されたアドレス間の転送経路を削除し、当該経路に対応するラベルに関するパケット返送テーブル３６のエントリを削除する機能を有している。

サーバ接続部３３は、ネットワーク制御装置からの指示を受け付け、ネットワーク制御装置からの指示を各機能へ受け渡す機能と、ネットワーク制御装置からの指示に基づく制御が完了した際に、当該処理の完了通知をネットワーク制御装置に送信する機能を有している。

これにより、パケット処理装置は、ネットワーク制御装置からの指示に基づきパケット転送装置間に転送経路を設定するとともに、パケット転送装置から受信したパケットを、同パケット転送装置へ返送する。

また、図３で示したとおり、パケット転送装置において当該パケットのループ発生を防止する。これにより、パケット処理装置は、ルーチング制御機能を保有してネットワーク全体のルーチング情報を変更すること無くトラヒックを受信し、分析し、制御しつつパケット転送装置へ返送することができる。

図５に、本発明のネットワーク制御装置の構成例を示す。ネットワーク制御装置は、制御フロー管理機能３６および外部装置制御部３７を有している。
制御フロー管理機能３６は、特定のパケットヘッダ情報を有するパケットに対する、当該パケットをパケット処理装置へ送信するパケット転送装置のアドレスと、当該パケット処理装置のアドレスを管理する機能と、新たに上記情報が追加になった際は、当該情報に関する制御の開始を外部装置制御部３７に通知する機能と、上記情報を削除する際は、当該情報に関する制御の終了を外部装置制御部３７に通知するとともに、外部装置制御部３７から制御の完了通知を受信した隙に当該情報を削除する機能を有している。また、複数の種類のパケットヘッダ情報に対して同一のパケット処理装置とパケット転送装置の対を指定する場合、情報の追加の際には、同一のパケット処理装置とパケット転送装置の対に経路が設定されているかどうかを自身の保有する情報から特定し、経路を設定済みである際は、経路設定が不要であることを外部装置制御部３７へ通知する。また、複数の種類のパケットヘッダ情報に対して同一のパケット処理装置とパケット転送装置の対を指定する場合、情報の削除の際には、同一のパケット処理装置とパケット転送装置間の経路を他のパケットヘッダ情報と共有しているかどうかを自身の保有する情報から特定し、経路を共有している際は、経路削除が不要であることを外部装置制御部３７へ通知する。

外部装置制御部３７は、トンネル設定指示機能３８、経路設定指示機能３９を有している。
トンネル設定指示機能３８は、制御フロー管理機能３６から制御の開始を通知されたパケット転送装置とパケット処理装置に対し、パケット転送装置に対しては、パケット処理装置を示すアドレス宛に転送経路を設定するよう指示し、パケット処理装置に対しては、パケット転送装置を示すアドレス宛に転送経路を設定するよう指示する機能と、制御フロー管理機能３６から制御の終了を通知されたパケット転送装置とパケット処理装置に対し、パケット転送装置に対しては、パケット処理装置を示すアドレス宛の転送経路を削除するよう指示し、パケット処理装置に対しては、パケット転送装置を示すアドレス宛の転送経路を削除するよう指示する機能を有している。

経路設定指示機能３９は、当該パケット転送装置と当該パケット処理装置間にされた転送経路に出力すべきパケットのヘッダ情報を制御フロー管理機能３６から特定し、当該パケットヘッダ情報を保有するパケットを当該転送経路へ出力するエントリを第一転送テーブルへ追加するよう指示する機能と、特定のパケットヘッダ情報に関する第一転送テーブルのエントリを削除するようパケット転送装置へ指示する機能を有している。

外部装置制御部３７は、制御フロー管理機能３６から、特定のパケットヘッダ情報を有するパケットに対する、当該パケットをパケット処理装置へ送信するパケット転送装置のアドレスと、当該パケット処理装置のアドレスを通知された際に、トンネル設定指示機能３８により、当該装置間に転送経路を設定するよう当該装置に指示し、経路設定指示機能３９により、当該パケット転送装置に対して、当該パケットヘッダ情報を有するパケットを新設した転送経路へ出力するためのエントリを第一転送テーブルヘ追加するよう指示する機能と、各制御の完了通知を当該装置から受信したかを管理し、一定時間通知の受信が確認できない際に、再度上記設定を試行する機能と、制御フロー管理機能３６から、情報を削除する指示を受信した際に、トンネル設定指示機能３８により、当該装置間の転送経路を削除するよう当該装置に指示し、経路設定指示機能３９により、当該装置間の転送経路ヘパケットを出力するための第一転送テーブルエントリを削除するよう当該パケット転送装置に指示する機能と、各制御の完了通知を当該装置から受信したかを管理し、一定時間通知の受信が確認できない際に、再度上記設定を試行する機能と、各制御の完了通知を当該装置から受信した際に、制御フロー管理機能３６に制御完了を通知する機能を有している。また、制御フロー管理機能３６から新規の転送経路設定が不要であることを通知された際は、トンネル設定指示機能３８による動作を省略する。また、制御フロー管理機能３６から経路削除が不要であることを通知された際は、トンネル設定指示機能３８による動作を省略する。

これにより、パケット転送装置とパケット処理装置間に動的に転送経路を設定し、パケットヘッダ条件に基づき、特定の転送パケットをパケット処理装置へ送信できる。

これにより、広域ネットワークにおける異常トラヒック検出・分析および制御を、パケット処理装置で集中的に実施することが可能となり、異常トラヒック防御を低コストで実現できる。

次に、図６のネットワークモデルを用いて、本発明の動作例を示す。初期状態において、ユーザ＃１からユーザ＃５間で、パケット転送装置１、リンク１０１、パケット転送装置５、リンク１０５、パケット転送装置６、リンク１０３、パケット転送装置３経由でパケットを転送している。当該フローをパケット処理装置７へ迂回させる制御を実施するとする。

図７に、パケット処理装置への迂回制御前のパケット転送装置５の動作例を示す。
図７に示すように、第一転送機能２３が有する第一転送テーブル２７は入力ラベル、宛先アドレス（宛先）、出力ラベル、出力リンク（Ｏｕｔｐｕｔ）の欄を有しており、入出力論理ポート比較機能２４が有する入出力論理ポート管理テーブル２９は入力ラベル、出力ラベルの欄を有しており、第二転送機能２５が有する第二転送テーブル３０は入力ラベル、宛先アドレス（宛先）、出力ラベル、出力リンク（Ｏｕｔｐｕｔ）の欄を有している。この時点では、第一転送テーブル２７および入出力論理ポート管理テーブル２９には何も登録されていないが、第二転送テーブル３０には図７に示すように入力ラベル、宛先アドレス（宛先）、出力ラベル、出力リンク（Ｏｕｔｐｕｔ）が登録されているとする。

パケット転送装置５は、図７に示すように宛先アドレス（Ｄｓｔ）がユーザ＃５であり送信元アドレス（Ｓｒｃ）がユーザ＃１であるパケットを受信した際に、第一転送機能２３において、第一転送テーブルを参照し、出力先が特定できないため、第二転送機能２５へパケットを転送し、第二転送機能２５において、第二転送テーブルを参照し、入力ラベル値がデフォルト、宛先アドレスがユーザ＃５という検索キーから出力リンク１０５を特定し、当該パケットをリンク１０５へ出力する。リンク１０５に出力されたパケットは図６に示すようにパケット転送装置６、パケット転送装置３を経由して、ユーザ＃５に転送される。

図８に、パケット処理装置への迂回開始時のネットワーク制御装置の動作例を示す。
ネットワーク制御装置８は、制御対象とするヘッダ情報（宛先アドレスと送信元アドレスを含むパケットフロー情報）、当該パケットを抽出するパケット転送装置の識別子（例えばアドレス）、当該パケットを送信するパケット処理装置の識別子（例えばアドレス）が入力された際（通知を受けた際）に、当該情報を制御フロー管理機能３６に保存する。すなわち、図８に示すように、制御フロー管理機能３６には、宛先アドレス（Ｄｓｔ）：ユーザ＃５、パケット転送装置のアドレス：コア＃５（パケット転送装置５のアドレス）、パケット処理装置のアドレス：コア＃７（パケット処理装置７のアドレス）が保存される。なお、ネットワーク制御装置へのヘッダ情報、パケット転送装置の識別子、パケット処理装置の識別子の入力は、例えば、オペレータが怪しいトラヒックを検出した際に手入力で入力することができる。また、情報転送処理装置やAnomaly Detectorなどの異常トラヒック検出装置が異常トラヒックを検出した際に、通知を送信して入力することもできる。
さらに、下記の制御を実施する。
（ａ）トンネル設定指示機能３８を用い、当該パケット転送装置を示すアドレスコア＃５に対し、迂回先のパケット処理装置を示すアドレスコア＃７への転送経路設定を指示する。
（ｂ）トンネル設定指示機能３８を用い、当該パケット処理装置を示すアドレスコア＃７に対し、迂回元のパケット転送装置を示すアドレスコア＃５への転送経路設定を指示する。
（ｃ）経路設定指示機能３９を用い、当該パケット転送装置を示すアドレスコア＃５（パケット転送装置５）に対し、迂回先のパケット処理装置を示すアドレスコア＃７（パケット処理装置７）への転送経路に割り当てられたラベルを、宛先アドレスがユーザ＃５であるパケットへ付与するよう指示する。

この際、制御フロー管理機能３６が複数のフローを管理しており、パケット転送装置コア＃５とパケット処理装置コア＃７を保有する別エントリが存在する場合、（ａ）および（ｂ）の処理は省略する。

図９に、パケット処理装置への迂回開始時のパケット転送装置５の動作例を示す。
パケット転送装置５は、ネットワーク制御装置８からの指示（ａ）に対し、論理ポート設定機能２８を用いて、パケット処理装置コア＃７に対して転送経路を設定し、ラベル＃１を付与する。この際、パケット処理装置コア＃７からも、（ｂ）に対応する転送経路が設定される。パケット転送装置５は、第一転送機能２３を用いて、前者の転送経路に付与されたラベル＃１および後者の転送経路に付与されたラベル＃２を特定し、入力ラベルをラベル＃２、出力ラベルをラベル＃１として入出力論理ポート管理テーブル２９へ登録する。また、ネットワーク制御装置からの指示（ｃ）に対し、指定されたヘッダ条件である「宛先アドレスがユーザ＃５であるパケット」に対して、前記転送経路に割り当てたラベル＃１およびラベル＃１に対応する出力リンク１０６を特定するためのエントリを第一転送テーブル２７に追加する。ここで、入力ラベル値は任意値とし、デフォルトも含めた全ての入力ラベル値に対して当該エントリを有効とする。これにより、図９に示すように、第一転送テーブル２７には、入力ラベル：ａｌｌ、宛先アドレス：ユーザ＃５、出力ラベル：ラベル＃１、出力リンク（Ｏｕｔｐｕｔ）：１０６と登録され、入出力論理ポート管理テーブル２９には、入力ラベル：ラベル＃２、出力ラベル：ラベル＃１と登録される。

この際、図７と同パケットを受信すると、第一転送機能２３において、第一転送テーブルを参照し、入力ラベル値がデフォルト、宛先アドレスがユーザ＃５という検索キーから出力ラベル＃１、出力リンク１０６を特定し、入出力論理ポート比較機能２４において、入力ラベル値がデフォルトであるため、第一転送機能２３で特定した出力先を採用し、当該パケットにラベル＃１を付与してリンク１０６へ出力する。

このように、制御対象とするヘッダ情報、当該パケットを抽出するパケット転送装置の識別子（例えばアドレス）、当該パケットを送信するパケット処理装置の識別子（例えばアドレス）がネットワーク制御装置に入力された際に、当該パケットをパケット処理装置へ送信することが可能となる。

図１０に、パケット処理装置への迂回開始時のパケット処理装置７の動作例を示す。
パケット処理装置７は、ネットワーク制御装置からの指示（ｂ）に対し、返送経路設定機能３４を用いて、パケット転送装置コア＃５に対して転送経路を設定し、ラベル＃２を付与する。この際、パケット転送装置コア＃５からも（ａ）に対応する転送経路が設定される。パケット処理装置は、パケット返送機能３２を用いて、前者の転送経路に付与されたラベル＃２および後者の転送経路に付与されたラベル＃１を特定し、ラベル＃１から返送用のラベル＃２およびラベル＃２に対する出力リンク１０６を特定するためのエントリをパケット返送テーブル３５に設定する。これにより、図１０に示すように、パケット返送テーブル３５には、受信ラベル：ラベル＃１、送信ラベル：ラベル＃２、出力リンク（Ｏｕｔｐｕｔ）：１０６と登録される。

この際、図９のパケット転送装置５から転送されたラベル＃１が付与されたパケットを受信すると、パケット処理機能３１を中継し、制御対象とならなかったパケットをパケット返送機能３２へ転送する。パケット返送機能３２では、当該パケットのラベル＃１から返送経路に出力するためのラベル＃２および出力リンク１０６を特定し、ラベル＃１を削除するとともにラベル＃２で再カプセリングしてリンク１０６へ当該パケットを送信する。

このように、制御対象とするヘッダ情報、当該パケットを抽出するパケット転送装置の識別子（例えばアドレス）、当該パケットを送信するパケット処理装置の識別子（例えばアドレス）がネットワーク制御装置に入力された際に、当該パケットは、パケット処理装置へ送信され、パケット処理装置で分析された後、正常なトラヒックに関わるパケットは、パケットが抽出されたパケット転送装置へ返送される。

これにより、パケット処理装置への迂回経路設定および異常トラヒック分析・制御が可能となる。

図１１に、パケット処理装置への迂回制御後のパケット転送装置５の動作例を示す。
パケット転送装置５は、図１０のパケット処理装置７から転送されたラベル＃２が付与されたパケットを受信すると、第一転送機能２３において、入力ラベル値がラベル＃２、宛先アドレスがユーザ＃５という検索キーを用いて第一転送テーブルを検索し、入力ラベル値任意、宛先アドレスがユーザ＃５というエントリから、出力ラベル＃１、出力リンク１０６を特定し、入出力論理ポート比較機能２４において、入力ラベル＃２から、対となるラベル＃１を特定する。

この際、入出力論理ポート比較機能２４で特定した出力ラベル値と第一転送機能２３で特定した出力ラベル値が同一であるため、入力ラベル値ラベル＃２を無効とした後、第二転送機能２５へパケットを転送し、第二転送機能２５において、入力ラベル値がデフォルト、宛先アドレスがユーザ＃５という検索キーを用いて第二転送テーブルを検索し、出力リンク１０５を特定し、当該パケットをリンク１０５へ出力する。

このように、パケット転送装置では、パケット処理装置から受信したパケットに関しては、当該パケットをパケット処理装置へ送信する際に適用した第一転送機能ではなく、通常時の転送情報を保有する第二転送機能を適用する。これにより、当該パケットが当該パケット転送装置とパケット処理装置との間でループすることを防止する。

図１２に、パケット処理装置への迂回制御後の転送経路を示す。ユーザ＃１からユーザ＃５間で、パケット転送装置１、リンク１０１、パケット転送装置５、リンク１０６、パケット処理装置７、リンク１０６、パケット転送装置５、リンク１０５、パケット転送装置６、リンク１０３、パケット転送装置３経由でパケットを転送している。

このように、本発明は、パケット転送装置５およびパケット処理装置７間でのループを防止しつつ、特定のパケットをパケット処理装置７へ迂回させることができる。

以上説明したパケット転送装置、パケット処理装置、ネットワーク制御装置は、その機能を実現する手段を有しており、その手段はコンピュータとプログラムを用いて構成できる。また、そのプログラムの一部または全部に換えてハードウェアを用いてもよい。

以上、実施例により詳細に説明したが、本実施例のトラヒック分析・制御システムを構成するネットワーク制御装置とパケット処理装置とパケット転送装置はそれぞれ次の特徴を有する。

ネットワーク制御装置は、パケット転送装置の識別子と、宛先アドレスと送信元アドレスを含むパケットフロー情報と、で構成される制御情報の通知を受ける手段と、前記パケット転送装置の識別子に該当するパケット転送装置に対して、パケット処理装置への転送経路設定を指示する手段と、前記パケット処理装置に対して、前記パケット転送装置への転送経路設定を指示する手段と、前記パケット転送装置に対して、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を、前記パケットフロー情報の宛先アドレス宛のパケットへ付与するよう指示する手段と、を備える。

パケット処理装置は、前記ネットワーク制御装置から指示されたパケット転送装置への転送経路を設定する手段と、パケット通過制御処理を実施する手段と、前記パケット転送装置から受信したパケットに対してパケット通過制御処理を実施した後、前記パケットに前記パケット転送装置への転送経路に割り当てた論理ポートの識別子を付与し、前記パケット転送装置に返送する手段と、を備える。

パケット転送装置は、前記ネットワーク制御装置から指示されたパケット処理装置への転送経路を設定する手段と、パケットのヘッダ情報と、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を登録する第一の転送テーブルと、パケットのヘッダ情報と、前記パケット処理装置への転送経路以外のパケットを出力する転送経路を登録する第二の転送テーブルと、前記パケット処理装置からの転送経路からパケットが入力される論理ポートの識別子と、前記パケット処理装置への転送経路へパケットを出力する論理ポートの識別子の対を比較する入出力論理ポート比較手段と、を備える。そして、パケットが入力されると、前記第一の転送テーブルを参照して、前記パケットを出力すべき論理ポートの識別子を探索し、論理ポートの識別子が特定できた場合には、前記入出力論理ポート比較手段により、前記パケットに付与された論理ポートの識別子と前記パケットを出力すべき論理ポートの識別子が対を成さないか否かを判定し、対を成さないと判定された場合には、前記第一の転送テーブルにより特定された論理ポートに、前記パケットに前記論理ポートの識別子を付与して、出力し、対を成すと判定された場合と、前記第一の転送テーブルによりパケットを出力すべき論理ポートが特定できなかった場合には、前記第二の転送テーブルを参照して、前記パケットを出力すべき転送経路を特定して、前記第二の転送テーブルにより特定された転送経路に前記パケットを出力する。

これにより、パケット通過制御処理を実施したいトラヒックを、パケット処理装置へループを防止しつつ送信でき、その際、パケット処理装置がルーチング制御機能を保有してネットワーク全体のルーチング情報を変更する必要は無く、且つ、パケット転送装置がパケット処理装置を保有する必要も無い。従って、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できる。

以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明を適用するネットワークのネットワークモデルの一例を示している。 本発明を適用するネットワークの物理モデルの一例を示している。 本発明のパケット転送装置の構成例を示している。 本発明のパケット処理装置の構成例を示している。 本発明のネットワーク制御装置の構成例を示している。 パケット処理装置への迂回制御前の転送経路例を示している。 パケット処理装置への迂回制御前のパケット転送装置５の動作例を示している。 パケット処理装置への迂回制御開始時のネットワーク制御装置の動作例を示している。 パケット処理装置への迂回制御開始時のパケット転送装置５の動作例を示している。 パケット処理装置への迂回制御開始時のパケット処理装置７の動作例を示している。 パケット処理装置への迂回制御後のパケット転送装置５の動作例を示している。 パケット処理装置への迂回制御後の転送経路例を示している。

符号の説明

１〜６…パケット転送装置、７…パケット処理装置、８…ネットワーク制御装置、９〜１６…ユーザ端末、１７〜２０…アクセス網、２１…コアネットワーク、２２…ユーザネットワーク、２３…第一転送機能、２４…入出力論理ポート比較機能、２５…第二転送機能、２６…サーバ接続部、２７…第一転送テーブル、２８…論理ポート設定機能、２９…入出力論理ポート管理テーブル、３０…第二転送テーブル、３１…パケット処理機能、３２…パケット返送機能、３３…サーバ接続部、３４…返送経路設定機能、３５…パケット返送テーブル、３６…制御フロー管理機能、３７…外部装置制御部、３８…トンネル設定指示機能、３９…経路設定指示機能、１０１〜１１４…リンク

Claims (3)

1. ネットワーク制御装置とパケット処理装置とパケット転送装置とを有するトラヒック分析・制御システムであって、
   前記ネットワーク制御装置は、
   パケット転送装置の識別子と、宛先アドレスと送信元アドレスを含むパケットフロー情報と、で構成される制御情報の通知を受ける手段と、
   前記パケット転送装置の識別子に該当するパケット転送装置に対して、前記パケット処理装置への転送経路設定を指示する手段と、
   前記パケット処理装置に対して、前記パケット転送装置への転送経路設定を指示する手段と、
   前記パケット転送装置に対して、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を、前記パケットフロー情報の宛先アドレス宛のパケットへ付与するよう指示する手段と、
   を備え、
   前記パケット処理装置は、
   前記ネットワーク制御装置から指示されたパケット転送装置への転送経路を設定する手段と、
   パケット通過制御処理を実施する手段と、
   前記パケット転送装置から受信したパケットに対してパケット通過制御処理を実施した後、前記パケットに前記パケット転送装置への転送経路に割り当てた論理ポートの識別子を付与し、前記パケット転送装置に返送する手段と、
   を備え、
   前記パケット転送装置は、
   前記ネットワーク制御装置から指示されたパケット処理装置への転送経路を設定する手段と、
   パケットのヘッダ情報と、前記パケット処理装置への転送経路に割り当てた論理ポートの識別子を登録する第一の転送テーブルと、
   パケットのヘッダ情報と、前記パケット処理装置への転送経路以外のパケットを出力する転送経路を登録する第二の転送テーブルと、
   前記パケット処理装置からの転送経路からパケットが入力される論理ポートの識別子と、前記パケット処理装置への転送経路へパケットを出力する論理ポートの識別子の対を比較する入出力論理ポート比較手段と、
   を備え、
   パケットが入力されると、前記第一の転送テーブルを参照して、前記パケットを出力すべき論理ポートの識別子を探索し、論理ポートの識別子が特定できた場合には、前記入出力論理ポート比較手段により、前記パケットに付与された論理ポートの識別子と前記パケットを出力すべき論理ポートの識別子が対を成さないか否かを判定し、
   対を成さないと判定された場合には、前記第一の転送テーブルにより特定された論理ポートに、前記パケットに前記論理ポートの識別子を付与して、出力し、
   対を成すと判定された場合と、前記第一の転送テーブルによりパケットを出力すべき論理ポートが特定できなかった場合には、前記第二の転送テーブルを参照して、前記パケットを出力すべき転送経路を特定して、前記第二の転送テーブルにより特定された転送経路に前記パケットを出力する
   ことを特徴とするトラヒック分析・制御システム。
2. 請求項１に記載のトラヒック分析・制御システムであって、
   前記パケット処理装置のパケット通過制御処理を実施する手段は、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄することを特徴とするトラヒック分析・制御システム。
3. 請求項１に記載のトラヒック分析・制御システムであって、
   前記パケット処理装置のパケット通過制御処理を実施する手段は、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄することを特徴とするトラヒック分析・制御システム。

Images