JP2009260880A - パケット転送制御装置およびパケット転送制御方法 - Google Patents

Abstract

【課題】情報の抽出に伴うレイテンシを抑制することを課題とする。
【解決手段】パケット転送制御装置は、パターンと深度とを対応づけて記憶する深度記憶部を備える。パケット転送制御装置は、パターンの設定を受け付けた場合に、受け付けたパターンを用いて深度記憶部を検索し、パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する。また、パケットの入力を受け付けると、パケットの先頭から順に情報を抽出する。この際、パケット転送制御装置は、抽出した情報が導出した深度を超えた場所に位置づけられる情報であるか否かを判定する。未だ深度を超えた場所に位置づけられる情報でないと判定すると、パケット転送制御装置は、情報の抽出を継続し、深度を超えた場所に位置づけられる情報であると判定すると、情報の抽出を終了する。
【選択図】 図１

Description

本発明は、パケット転送制御装置およびパケット転送制御方法に関する。

ネットワーク機器や、ネットワークに接続するコンピュータなどの装置は、一般的に、ネットワーク経由で行われる不正アクセスを防止することなどを目的として、アクセス制御リスト（ＡＣＬ：Access Control List）を設定する（例えば、特許文献１など）。また、ネットワーク機器やコンピュータなどの装置は、通信内容に応じてパケットの転送先を変更することなどを目的として、アクセス制御リストを設定する。

例えば、図７に示すように、ネットワーク機器であるスイッチ（Switch）は、ＬＡＮ（Local Area Network）に接続する受信ポート側にアクセス制御リストを設定する。この時、スイッチは、パターンに従って記述されたルールをアクセス制御リストに設定している。ここで、パターンとは、パケットに含まれる情報の内どの情報を比較対象として照合を行うかを示す種類のことであり、パケットの転送を制御する際にパケットから抽出すべき情報の種類のことである。そして、スイッチは、スイッチに入力されたパケットに含まれる情報とルールとを比較することで、不正アクセスを防止したり、転送先のサーバ（Server）を変更する。この時、スイッチは、例えば、図７に示すように、パケットの先頭から順に、ＯＳＩ（Open Systems Interconnection）でいうところのレイヤ２、レイヤ３、レイヤ４などの情報を抽出する。なお、図７は、アクセス制御リストを説明するための図である。

図８を用いて、アクセス制御リストを設定した従来のスイッチの構成を簡単に説明する。図８は、従来技術を説明するための図である。従来のスイッチは、図８に示すように、受信ポートからパケットの入力を受け付けると、パケット解析部が、パケットから、パケットに含まれる情報を抽出する。続いて、パターン照合部が、抽出された情報と、予め具体的な比較値を設定されたパターンとを照合し、抽出された情報がパターンに一致するか否かの比較結果を出力する。そして、ルール検索部が、比較結果を用いてルールを検索し、アクション検索部が、検索したルールを用いてアクションを検索する。その後、スイッチ部が、検索したアクションに基づいてパケットの転送を制御する。

特開２００４−１７３１４８号公報

ところで、上記した従来の技術では、情報の抽出に伴うレイテンシが増加してしまうという課題があった。

すなわち、上記したように、アクセス制御リストを設定した装置は、アクセス制御にあたり、パターン照合に用いられる情報をパケットから抽出しなければならない。この時、従来の装置は、パターン照合に必要な情報の深度（パケットの先頭からの深さで示す情報の位置）とは無関係に一律の深度で情報を抽出していた。このため、パターン照合に必要な深度が浅い場合であっても、従来の装置は、一律の深度まで情報を抽出し、抽出が終了しない限り、スイッチ部によるパケットの転送を行うことができなかった。結果として、従来の装置では、不要な情報を抽出している時間分、レイテンシが増加してしまうという課題があった。

そこで、本発明は、上記した従来の技術の課題を解決するためになされたものであり、情報の抽出に伴うレイテンシを抑制することが可能なパケット転送制御装置およびパケット転送制御方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、パケットの転送を制御する際に当該パケットから抽出すべき情報の種類を示すパターンと、当該パターンでパケットの転送を制御する際に当該抽出すべき情報の位置を当該パケットの先頭からの深さで示す深度とを対応づけて記憶する深度記憶手段と、前記パターンの設定を受け付けた場合に、当該パターンを用いて前記深度記憶手段を検索し、当該パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する深度導出手段と、パケットの入力を受け付けると、当該パケットの先頭から順に情報を抽出する抽出手段と、前記抽出手段によって抽出された情報が前記深度導出手段によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定し、未だ前記深度を超えた場所に位置づけられる情報でないと判定すると、前記抽出手段による情報の抽出を継続させ、前記深度を超えた場所に位置づけられる情報であると判定すると、前記抽出手段による情報の抽出を終了させる判定手段とを備える。

情報の抽出に伴うレイテンシを抑制することが可能になる。

以下に添付図面を参照して、本発明に係るパケット転送制御装置およびパケット転送制御方法の実施例を詳細に説明する。なお、以下では、まず、実施例１に係るパケット転送制御装置の概要を説明し、続いて、実施例１に係るパケット転送制御装置の構成、処理の手順および効果を説明する。その後、他の実施例を説明する。

［実施例１に係るパケット転送制御装置の概要］
まず、図１を用いて、実施例１に係るパケット転送制御装置の概要を説明する。図１は、実施例１に係るパケット転送制御装置の概要を説明するための図である。

実施例１に係るパケット転送制御装置は、従来の装置と同様、パケット解析部、パターン照合部、ルール検索部、アクション検索部およびスイッチ部を備える。もっとも、実施例１に係るパケット転送制御装置は、入力されたパケットから抽出すべき情報の深度を導出する点と、パケット解析部による情報の抽出が、導出した深度に基づいて制御される点とが、従来の装置と異なる。

具体的に説明すると、実施例１に係るパケット転送制御装置は、図１に示すように、深度記憶部を備える。深度記憶部は、パターンと深度とを対応づけて記憶する。ここで、パターンとは、パケットの転送を制御する際にパケットから抽出すべき情報の種類を示すものであり、例えば、『ＭＡＣ ＳＡ』（送信元のＭＡＣアドレス）や、『Ｓｒｃ ＩＰ』（送信元のＩＰアドレス）といったものである。また、深度とは、パケットの転送を制御する際に抽出すべき情報の位置をパケットの先頭からの深さで示すものである。例えば、『００』（２進数）（Ｌ２）や『０１』（Ｌ３）といったものである。すなわち、『ＭＡＣ ＳＡ』と『００』（Ｌ２）との対応づけは、パケットから抽出すべき情報が、送信元のＭＡＣアドレスであるため、抽出すべき情報の深度は、レイヤ２の深さであることを意味する。

また、実施例１に係るパケット転送制御装置は、図１に示すように、入力されたパケットから抽出すべき情報の深度を導出する。具体的には、パケット転送制御装置は、パターンの設定を受け付けた場合に、受け付けたパターンを用いて深度記憶部を検索し、パターンに対応づけて記憶されている深度を取得することで、深度を導出する。例えば、パケット転送制御装置は、『Ｓｒｃ ＩＰ』（送信元のＩＰアドレス）のパターンの設定を受け付けた場合に、『Ｓｒｃ ＩＰ』を用いて深度記憶部を検索し、深度『０１』を取得することで、深度『０１』を導出する。

こうして、実施例１に係るパケット転送制御装置は、導出した深度に基づいて、パケットの転送を制御する。具体的には、パケット転送制御装置のパケット解析部は、情報を抽出すると、抽出した情報が、導出した深度を超えた場所に位置づけられる情報であるか否かを判定する。そして、パケット解析部は、未だ深度を超えた場所に位置づけられる情報でないと判定すると、情報の抽出を継続し、導出した深度を超えた場所に位置づけられる情報であると判定すると、情報の抽出を終了する。

例えば、パケット解析部は、レイヤ２の情報を抽出すると、抽出した情報が、深度『０１』を超えた場所に位置づけられる情報であるか否かを判定する。パケット解析部は、未だ深度『０１』を超えた場所に位置づけられる情報でないと判定し、抽出したレイヤ２の情報をパターン照合部に送信するとともに、レイヤ３の情報の抽出に移行する。続いて、パケット解析部は、レイヤ３の情報を抽出すると、抽出した情報が、深度『０１』を超えた場所に位置づけられる情報であるか否かを判定する。パケット解析部は、未だ深度『０１』を超えた場所に位置づけられる情報でないと判定し、抽出したレイヤ３の情報をパターン照合部に送信するとともに、レイヤ４の情報の抽出に移行する。続いて、パケット解析部は、レイヤ４の情報を抽出すると、抽出した情報が、深度『０１』を超えた場所に位置づけられる情報であるか否かを判定する。パケット解析部は、深度『０１』を超えた場所に位置づけられる情報であると判定し、情報の抽出を終了する。

このようなことから、実施例１に係るパケット転送制御装置は、パターン照合に必要な情報の深度とは無関係に一律の深度で情報を抽出する従来の手法とは異なり、情報の抽出に伴うレイテンシを抑制することが可能になる。

［実施例１に係るパケット転送制御装置の構成］
次に、図２および図３を用いて、実施例１に係るパケット転送制御装置の構成を説明する。図２は、実施例１に係るパケット転送制御装置の構成を示すブロック図であり、図３は、深度導出部を説明するための図である。

パケット転送制御装置１０は、図２に示すように、特に、受信ポート１１と、送信ポート１２と、アクセス制御リスト部１００と、スイッチ部２００とを備える。

受信ポート１１は、パケットを受信する。送信ポート１２は、パケットを送信する。スイッチ部２００は、アクセス制御リスト部１００からアクションを伝達されると、伝達されたアクションに従ってパケットの転送を制御し、送信ポート１２に送出したり、廃棄する。また、スイッチ部２００は、不正パケット検出部１７０から不正パケットを検出した旨を通知されると、不正パケットを廃棄する。

アクセス制御リスト部１００は、図２に示すように、特に、パケット解析部１１０と、パターン照合部１２０と、ルール検索部１３０と、アクション検索部１４０とを備える。

パケット解析部１１０は、パケットを解析し、パケットからパケットに含まれる情報を抽出する。具体的には、パケット解析部１１０は、受信ポート１１からパケットの入力を受け付けると、パケットからパケットに含まれる情報を抽出し、パターン照合部１２０に伝達する。

ところで、パケット解析部１１０は、抽出終了判定部１１１を備える。抽出終了判定部１１１は、パケット解析部１１０によってパケットから情報が抽出されると、抽出された情報が、後述する深度導出部１６０によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定する。そして、抽出終了判定部１１１は、未だ深度を超えた場所に位置づけられる情報でないと判定すると、パケット解析部１１０による情報の抽出を継続させる。また、抽出終了判定部１１１は、深度を超えた場所に位置づけられる情報であると判定すると、パケット解析部１１０による情報の抽出を終了させる。

また、実施例１におけるパケット解析部１１０は、後述する不正パケット検出部１７０から、不正パケットを検出した旨の通知を受けると、情報の抽出を終了する。

パターン照合部１２０は、ルールを検索するための照合結果を出力する。また、パターン照合部１２０は、図２に示すように、パターン記憶部１２１を備える。

パターン記憶部１２１は、ポートに関する情報と、パターンとを対応づけて記憶する。例えば、パターン記憶部１２１は、図３に示すように、『ｐ１』と『ｐａｔ１』とを対応づけて記憶する。ここで、『ｐ１』は、パケットから抽出すべき情報の種類が『ｐａｔ１』であるポート番号を集約した情報である。例えば、『ｐ１』は、『ポート１』、『ポート２』および『ポート３』の３つのポート番号を示す。

なお、図示していないが、パターン照合部１２０は、パケットから抽出した情報と照合する具体的な比較値も記憶している。すなわち、パターン照合部１２０は、パケット解析部１１０から情報を伝達されると、予め記憶している具体的な比較値と照合することでパターン照合を行い、照合結果を出力して、ルール検索部１３０に伝達する。

ルール検索部１３０は、照合結果を用いてルールを検索する。具体的には、ルール検索部１３０は、図示していないが、ルール記憶部を備え、パターン照合部１２０による照合結果が出力されると、入力されたパケットが、ルール記憶部が記憶する複数のルールの内いずれのルールに該当するパケットであるかを検索する。この結果、ルール検索部１３０は、照合結果が等しいルール、もしくは、『Don’t Care』で記述されたルールを検索することになる。そして、ルール検索部１３０は、検索したルールを識別するルール番号を出力する。

アクション検索部１４０は、ルール番号を用いてアクションを検索する。具体的には、アクション検索部１４０は、図示していないが、アクション記憶部を備える。アクション記憶部は、例えば、ルール番号と、「パケットを転送せずに廃棄する」というアクションとの対応づけを、複数記憶する。

また、アクション検索部１４０は、ルール検索部１３０によってルール番号が出力されると、出力されたルール番号を用いてアクション記憶部を検索し、ルール番号に対応づけて記憶されているアクションを取得する。そして、アクション検索部１４０は、取得したアクションを、スイッチ部２００に伝達する。

深度記憶部１５０は、パターンと深度とを対応づけて記憶する。ここで、パターンとは、パケットの転送を制御する際にパケットから抽出すべき情報の種類を示すものであり、例えば、『ＭＡＣ ＳＡ』（送信元のＭＡＣアドレス）や、『Ｓｒｃ ＩＰ』（送信元のＩＰアドレス）といったものである。また、深度とは、パケットの転送を制御する際に抽出すべき情報の位置をパケットの先頭からの深さで示すものである。例えば、『００』（Ｌ２）や『０１』（Ｌ３）といったものである。すなわち、『ＭＡＣ ＳＡ』と『００』（Ｌ２）との対応づけは、パケットから抽出すべき情報が、送信元のＭＡＣアドレスであるため、抽出すべき情報の深度は、レイヤ２の深さであることを意味する。

深度導出部１６０は、入力されたパケットから抽出すべき情報の深度を導出する。具体的には、深度導出部１６０は、パターン記憶部１２１に記憶されているパターンを用いて深度記憶部１５０を検索し、パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する。そして、深度導出部１６０は、導出した深度を、抽出終了判定部１１１に伝達する。

深度導出部１６０による深度導出について図３を用いて説明する。図３に示すように、深度導出部１６０は、パターン『ｐａｔ１』を用いて深度記憶部１５０を検索し、パターン『ｐａｔ１』に対応づけて記憶されている深度を取得する。ここで、ポート『ｐ１』は、パケットから抽出すべき情報の種類が『ｐａｔ１』である受信ポートのポート番号を集約した情報である。このため、深度導出部１６０は、『ｐ１』に対応するポート番号に対して、取得した深度を分配する。なお、図３の例示では、「ポート１」から「ポート４」の全てのポートに分配しているように表現しているが、これに限られるものではない。あくまで『ｐ１』に対応するポート番号に対して分配する。

続いて、深度導出部１６０は、ポート番号ごとに、分配された深度の最大値を求めることで、ポートごとの深度を導出する。例えば、図３に示すように、ポート４について、深度Ｄ１、Ｄ２、Ｄ３、Ｄ４が分配されると、深度導出部１６０は、Ｄ１、Ｄ２、Ｄ３、Ｄ４の最大値をＯＲ（論理和）演算で求める。そして、深度導出部１６０は、最大値を、ポート４の深度として導出する。

不正パケット検出部１７０は、図２に示すように、不正パケット条件記憶部１７１を備え、不正パケットを検出する。

不正パケット条件記憶部１７１は、パケットが不正なパケットであることを示す条件を記憶する。例えば、不正パケット条件記憶部１７１は、送信元アドレスと送信先アドレスとが一致するパケットが不正なパケットであるとの条件を記憶する。不正パケット検出部１７０は、パケット解析部１１０によって抽出された情報を用いて不正パケット条件記憶部１７１を検索する。そして、不正パケット検出部１７０は、抽出した情報が満足する条件が検索されると、不正パケットが検出された旨を、パケット解析部１１０およびスイッチ部２００に通知する。

［実施例１に係るパケット転送制御装置による処理の手順］
続いて、図４〜図６を用いて、実施例１に係るパケット転送制御装置による処理の手順を説明する。図４は、深度導出処理の手順を示すフローチャートである。図５は、パケット解析処理の手順を示すフローチャートである。図６は、不正パケット検出処理の手順を示すフローチャートである。

［深度導出処理（図４）］
まず、深度導出部１６０は、パターン記憶部１２１に記憶されている先頭のパターンを、Ｅ（エントリ）に格納する（ステップＳ１０１）。

次に、深度導出部１６０は、Ｅに格納されているパターンを用いて深度記憶部１５０を検索し、深度を取得する（ステップＳ１０２）。

続いて、深度導出部１６０は、全てのパターンについて深度を取得したか否かを判定し（ステップＳ１０３）、取得していない場合には（ステップＳ１０３否定）、次のパターンをＥに格納し（ステップＳ１０４）、深度記憶部１５０を検索する処理に戻る。

一方、取得した場合には（ステップＳ１０３肯定）、深度導出部１６０は、ポートごとに深度の最大値を導出し（ステップＳ１０５）、処理を終了する。

［パケット解析処理（図５）］
まず、パケット解析部１１０は、パケット末尾であるか否かを判定し（ステップＳ２０１）、末尾である場合には（ステップＳ２０１肯定）、処理を終了する。

一方、末尾でない場合には（ステップＳ２０１否定）、パケット解析部１１０は、次に、不正パケットであるか否かを判定する（ステップＳ２０２）。すなわち、パケット解析部１１０は、不正パケットを検出した旨が不正パケット検出部１７０から通知されているか否かを判定する。不正パケットであると判定した場合（ステップＳ２０２肯定）、パケット解析部１１０は、処理を終了する。

一方、不正パケットであると判定しない場合（ステップＳ２０２否定）、パケット解析部１１０は、深度を満足したか否かを判定する（ステップＳ２０３）。具体的には、パケット解析部１１０は、抽出した情報が、深度導出部１６０によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定する。

パケット解析部１１０は、抽出した情報が、導出された深度を超えた場所に位置づけられる情報であると判定すると（ステップＳ２０３肯定）、処理を終了する。

一方、パケット解析部１１０は、抽出した情報が、未だ深度を超えた場所に位置づけられる情報でないと判定すると（ステップＳ２０３否定）、パケットの次のフィールドを切り出して情報を抽出し、パターン照合部１２０に出力する（ステップＳ２０４）。そして、パケット末尾であるか否かを判定する処理に戻る。

［不正パケット検出処理（図６）］
まず、不正パケット検出部１７０は、パケット末尾であるか否かを判定し（ステップＳ３０１）、末尾である場合には（ステップＳ３０１肯定）、処理を終了する。

末尾でない場合には（ステップＳ３０１否定）、不正パケット検出部１７０は、パケット解析部１１０によって抽出された情報が、不正パケットの条件に一致するか否かを判定する（ステップＳ３０２）。具体的には、不正パケット検出部１７０は、パケット解析部１１０によって抽出された情報を用いて不正パケット条件記憶部１７１を検索し、抽出された情報が満足する条件が検索されるか否かを判定する。

不正パケットの条件に一致しなかった場合（ステップＳ３０２否定）、不正パケット検出部１７０は、パケット末尾であるか否かを判定する処理に戻る。不正パケットの条件に一致した場合には（ステップＳ３０２肯定）、不正パケット検出部１７０は、不正パケットを検出した旨をパケット解析部１１０およびスイッチ部２００に通知し（ステップＳ３０３）、処理を終了する。

［実施例１の効果］
上記してきたように、実施例１によれば、パケット転送制御装置は、パターンと深度とを対応づけて記憶する深度記憶部を備える。そして、パケット転送制御装置は、パターンの設定を受け付けた場合に、受け付けたパターンを用いて深度記憶部を検索し、パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する。また、パケット転送制御装置は、パケットの入力を受け付けると、パケットの先頭から順に情報を抽出する。この際、パケット転送制御装置は、抽出した情報が導出した深度を超えた場所に位置づけられる情報であるか否かを判定する。未だ深度を超えた場所に位置づけられる情報でないと判定すると、パケット転送制御装置は、情報の抽出を継続し、深度を超えた場所に位置づけられる情報であると判定すると、情報の抽出を終了する。

このようなことから、実施例１によれば、情報の抽出に伴うレイテンシを抑制することが可能になる。すなわち、パターンの設定に応じて、必要なだけパケット解析を行うことから、パケット解析深度が浅い場合は、パケット解析処理によるレイテンシを削減することが可能になる。例えば、Ethernet（登録商標）パケットの宛先ＭＡＣ（Media Access Control）アドレスだけでパターン照合を行うことができる場合、パターン解析部は、最初の６オクテットだけを解析すればよい。しかしながら、パターン解析部が一律にＴＣＰ（Transmission Control Protocol）ヘッダの宛先ポートまで解析すると、最短でも３８オクテットの解析が必要となる。ＩＰ（Internet Protocol）ｖ６で拡張ヘッダが付加された場合には、さらに解析を深く行わなくてはならない。

また、実施例１によれば、パケット解析深度をハードウェアで自動的に算出することができることから、ソフトウェアの負担を軽減することが可能になる。

また、実施例１によれば、パケット転送制御装置は、パケットが不正なパケットであることを示す条件を記憶する不正パケット条件記憶部を備える。そして、パケット転送制御装置は、情報が抽出されると、抽出された情報を用いて不正パケット条件記憶部を検索し、抽出された情報が満足する条件が検索されると、情報の抽出を終了させる。このようなことから、不正パケットが廃棄されるという環境においてアクセス制御処理は不要であるが、実施例１によれば、このような場合にパケットの解析を終了することができ、パケット解析処理によるレイテンシを削減することが可能になる。

また、実施例１によれば、パケット転送制御装置は、深度を受信ポートごとに導出し、抽出された情報の受信ポートに基づいて、深度を超えた場所に位置づけられる情報であるか否かを判定する。このようなことから、実施例１によれば、ポート単位でパケットを解析する深度を最適化することが可能になる。すなわち、深いパケット解析を必要とするポートが存在しても、その必要のないポートでは、パケット解析処理によるレイテンシが増加しない。

［他の実施例］
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。

実施例１においては、パケット転送制御装置は、不正パケット検出部から不正パケットの検出が通知されると、パケット解析を終了するよう制御していたが、必ずしも必須なものではない。すなわち、パケット転送制御装置は、不正パケット検出部が不正パケットを検出したか否かに関わらず、とりあえず、パターンに応じて導出された深度までパケットを解析してもよい。

また、実施例１においては、パケット転送制御装置は、深度を受信ポートごとに導出していた。しかしながら、必ずしもこれに限られるものではなく、パケット転送制御装置は、装置全体としての深度を導出してもよい。

［システム構成等］
上記の実施例１においては、パケット転送制御装置が、アクセス制御リストを受信ポート側に設定する手法を説明したが、本発明はこれに限られるものではなく、送信ポート側に設定する手法にも、同様に適用することができる。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

例えば、実施例１においては、図５に示したステップＳ２０４において抽出した情報が、次に処理が行われるステップＳ２０３において判定する際の対象となる。すなわち、抽出処理が先行し、抽出された情報を判定する処理は、その後に行われている。しかしながら、本発明はこれに限られるものではなく、抽出処理の前に判定処理を行い、判定結果に従って、抽出処理を行わないといった処理の手順でもよい。言い換えると、パケットから情報を抽出する処理が、予め算出された深度に基づいて制御される手法であれば、具体的な処理の手順はいずれでもよい。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明したパケット転送制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

実施例１に係るパケット転送制御装置の概要を説明するための図である。 実施例１に係るパケット転送制御装置の構成を示すブロック図である。 深度導出部を説明するための図である。 深度導出処理の手順を示すフローチャートである。 パケット解析処理の手順を示すフローチャートである。 不正パケット検出処理の手順を示すフローチャートである。 アクセス制御リストを説明するための図である。 従来技術を説明するための図である。

符号の説明

１０ パケット転送制御装置
１１ 受信ポート
１２ 送信ポート
１００ アクセス制御リスト部
１１０ パケット解析部
１１１ 抽出終了判定部
１２０ パターン照合部
１２１ パターン記憶部
１３０ ルール検索部
１４０ アクション検索部
１５０ 深度記憶部
１６０ 深度導出部
１７０ 不正パケット検出部
１７１ 不正パケット条件記憶部

Claims (4)

1. パケットの転送を制御する際に当該パケットから抽出すべき情報の種類を示すパターンと、当該パターンでパケットの転送を制御する際に当該抽出すべき情報の位置を当該パケットの先頭からの深さで示す深度とを対応づけて記憶する深度記憶手段と、
   前記パターンの設定を受け付けた場合に、当該パターンを用いて前記深度記憶手段を検索し、当該パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する深度導出手段と、
   パケットの入力を受け付けると、当該パケットの先頭から順に情報を抽出する抽出手段と、
   前記抽出手段によって抽出された情報が前記深度導出手段によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定し、未だ前記深度を超えた場所に位置づけられる情報でないと判定すると、前記抽出手段による情報の抽出を継続させ、前記深度を超えた場所に位置づけられる情報であると判定すると、前記抽出手段による情報の抽出を終了させる判定手段と、
   を備えたことを特徴とするパケット転送制御装置。
2. パケットが不正なパケットであることを示す条件を記憶する不正パケット条件記憶手段と、
   前記抽出手段によって情報が抽出されると、当該抽出された情報を用いて前記不正パケット条件記憶手段を検索し、当該抽出された情報が満足する条件が検索されると、前記抽出手段による情報の抽出を終了させる不正パケット終了手段と、
   をさらに備えたことを特徴とする請求項１に記載のパケット転送制御装置。
3. 前記深度導出手段は、前記深度を受信ポートごとに導出し、
   前記判定手段は、前記抽出手段によって抽出された情報の受信ポートに基づいて、前記深度導出手段によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定することを特徴とする請求項１または２に記載のパケット転送制御装置。
4. パケットの転送を制御する際に当該パケットから抽出すべき情報の種類を示すパターンの設定を受け付けた場合に、パターンと当該パターンでパケットの転送を制御する際に当該抽出すべき情報の位置を当該パケットの先頭からの深さで示す深度とを対応づけて記憶する深度記憶部を、設定を受け付けたパターンを用いて検索し、当該パターンに対応づけて記憶されている深度を取得することで、入力されたパケットから抽出すべき情報の深度を導出する深度導出工程と、
   パケットの入力を受け付けると、当該パケットの先頭から順に情報を抽出する抽出工程と、
   前記抽出工程によって抽出された情報が前記深度導出工程によって導出された深度を超えた場所に位置づけられる情報であるか否かを判定し、未だ前記深度を超えた場所に位置づけられる情報でないと判定すると、前記抽出工程による情報の抽出を継続させ、前記深度を超えた場所に位置づけられる情報であると判定すると、前記抽出工程による情報の抽出を終了させる判定工程と、
   を含んだことを特徴とするパケット転送制御方法。

Images