JP2015162691A - ポリシー制御システム、および、ポリシー制御プログラム - Google Patents

Abstract

【課題】ポリシー制御システムにおいて、各装置の処理負荷を軽減するとともに、フローに適切なポリシーを適用することを課題とする。【解決手段】本発明のポリシー制御システム１００では、ポリシー管理装置４０において、アプリケーション識別制御装置３０またはパケットヘッダ識別制御装置２０からフロー検出情報（フローの５ｔｕｐｌｅ情報、通信方向）を受信した場合に、送信元ＩＰアドレスおよび宛先ＩＰアドレスに対応する両ユーザポリシーを取得し、両ユーザポリシーが競合しないときそのポリシーを当該フローへの適用ポリシーとし、両ユーザポリシーが競合するときは所定のルールに従って適用ポリシーを決定する。【選択図】図１

Description

本発明は、通信網のポリシー制御技術に関し、特に、ユーザポリシーを有するユーザ同士の間の通信に対するポリシー制御技術に関する。

近年、第３世代移動体通信システムの標準規格である３ＧＰＰ（3rd Generation Partnership Project）等で、通信網におけるポリシー制御アーキテクチャが議論されている（非特許文献１）。

３ＧＰＰでは、一般に、通信網において、５ｔｕｐｌｅ（送信元ＩＰ（Internet Protocol）アドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコル番号）ベースのフロー識別およびトラヒック制御を行うパケットヘッダ識別制御機能と、フローの高次レイヤ分析によりアプリケーションやＵＲＩ（Uniform Resource Identifier）識別を行うアプリケーション識別制御機能と、の両方を具備するＤＰＩ（Deep Packet Inspection）装置を通信網へインラインに設置して、ポリシー制御を実現している。その際、ＤＰＩ装置は、ポリシー管理装置からの指示によってパケットフローの識別や制御を実施する。

図７に示すように、ＤＰＩ装置を通信事業者網のエッジに配備した場合、ポリシー管理装置は、ＤＰＩ装置に対して、ＤＰＩ装置配下に接続されているユーザ（回線、端末など）のポリシー（以下、「ユーザポリシー」とも称する。）を設定することが一般的である。例えば、ユーザＡの端末（以下、単に「ユーザＡ」と称する場合もある。ユーザＢ、Ｘも同様）に接続するＤＰＩ装置♯１にはユーザＡをキーとするユーザポリシーを設定し、ユーザＢの端末に接続するＤＰＩ装置＃２にはユーザＢをキーとするユーザポリシーを設定し、ユーザＸのサーバに接続するＤＰＩ装置＃３にはユーザＸをキーとするユーザポリシーを設定する。そして、各ＤＰＩ装置は、通信事業者網外から通信事業者網内方向のフローには送信元ＩＰアドレスに対応するユーザポリシーを適用し、また、通信事業者網内から通信事業者網外方向のフローには宛先ＩＰアドレスに対応するユーザポリシーを適用する。

"3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Policy and charging control architecture (Release 12)", 3GPP TS 23.203 V12.2.0 (2013-09)

図７に示すように、ユーザＡ−Ｂ間通信（破線矢印）やユーザＡ−Ｘ間通信（実線矢印）のように、ユーザポリシーを有するユーザ同士の間の通信フローには、経由する２つのＤＰＩ装置で異なるユーザポリシーが適用される。そして、１つのフローに対して異なるユーザポリシーが適用されるため、例えば高品質通信を望むユーザに対して、通信相手のユーザポリシーが一致しない場合は、高品質通信サービスを提供できなくなる。

ここで、各ユーザポリシーに対して、通信相手毎に通信相手ユーザのポリシーと同じポリシーを登録すれば、そのような問題は解消する。しかし、登録する通信相手数の増加に伴い、ユーザポリシーの情報量が増え、必要な格納リソースが増加してしまう。また、あるユーザポリシーに変更があった場合、それに対応して他のユーザポリシーも変更する必要が生じる場合があり、対応が煩雑になってしまう。

一方、フローの高次レイヤ分析によるアプリケーション識別は、５ｔｕｐｌｅベースのフロー識別と比較して高コストであることから、大規模な通信事業者網の場合、ＤＰＩ装置を全ての回線に設置すると、分割損が大量に発生して高コストになる可能性がある。

そのような高コストを回避するために、図８に示すように、パケットヘッダ識別制御装置をインラインに配備し、アプリケーション識別制御機能を有するＤＰＩ装置は複数のパケットヘッダ識別制御装置で共用する装置として通信事業者網上に配備するシステムがある。

この場合、ポリシー管理装置は、図７の各ＤＰＩ装置＃１〜＃３に対するのと同様、各パケットヘッダ識別制御装置＃１〜＃３に対して、パケットヘッダ識別制御装置配下に接続されているユーザ（回線、端末など）のポリシーを設定する。また、ポリシー管理装置は、ＤＰＩ装置に対して、ＤＰＩ装置を共用するパケットヘッダ識別制御装置配下のユーザのポリシーを設定する。

パケットヘッダ識別制御装置では、ポリシー管理装置からの指示で設定したポリシーに基づき、アプリケーション識別対象フローを、通信事業者網への入出力方向（通信方向）を識別できる形態でＤＰＩ装置へ転送する。パケットヘッダ識別制御装置から双方向のフローをＤＰＩ装置へ転送する方式では、ユーザ間フローの送信元ユーザと宛先ユーザの両方のポリシーでアプリケーション識別対象となっている場合、そのフローはＤＰＩ装置へ２回転送されることとなり、通信品質の低下、ＤＰＩ装置の処理負荷の増加、およびパケットヘッダ識別制御装置−ＤＰＩ装置間のトラヒックの増加が生じてしまう。

例えば、図８で、ユーザＡからユーザＢへのフロー（破線矢印）に対して、パケットヘッダ識別制御装置＃１からポリシーに基づいてＤＰＩ装置へフロー転送し、ＤＰＩ装置で当該フローへユーザＡのポリシーを適用し、その後、パケットヘッダ識別制御装置＃２からポリシーに基づいてＤＰＩ装置へフロー転送し、ＤＰＩ装置で当該フローへユーザＢのポリシーを適用するため、当該フローはＤＰＩ装置へ２回転送される。ユーザＡからユーザＸへのフロー（実線矢印）についても同様である。

一方、ポリシーに基づき、通信事業者網への入力方向フローのみをパケットヘッダ識別制御装置からＤＰＩ装置へ転送し、ＤＰＩ装置から宛先へ転送する方式では、ユーザ間フローの送信元ユーザと宛先ユーザの両方のポリシーでアプリケーション識別対象となっている場合、ＤＰＩ装置で１つの通信に対して通信方向によって異なるユーザポリシーが適用される。両ユーザのポリシーが合致しない場合、例えば双方向フローの情報からアプリケーション識別を行う必要がある場合は正しく識別できず、ユーザ所望のサービスを提供できない。また、一方のユーザのポリシーのみでアプリケーション識別対象となっている場合、１つの通信に対して片方向のフローしかＤＰＩ装置へ転送されないため、双方向フローの情報からアプリケーション識別を行う必要がある場合は識別できない。

例えば、図８の構成において、ユーザＡからＢへのフローはパケットヘッダ識別制御装置＃１→ＤＰＩ装置→パケットヘッダ識別制御装置＃２を経由し（ＤＰＩ装置からパケットヘッダ識別制御装置＃１へは戻さない）、ユーザＢからＡへのフローはパケットヘッダ識別制御装置＃２→ＤＰＩ装置→パケットヘッダ識別制御装置＃１を経由する（ＤＰＩ装置からパケットヘッダ識別制御装置＃２へは戻さない）場合、ユーザＡからユーザＢへのフローに対して、パケットヘッダ識別制御装置＃１からポリシーに基づいてＤＰＩ装置へフロー転送し、ＤＰＩ装置で当該フローへユーザＡのポリシーを適用し、ユーザＢからユーザＡへのフローに対して、パケットヘッダ識別制御装置＃２からポリシーに基づいてＤＰＩ装置へフロー転送し、ＤＰＩ装置で当該フローへユーザＢのポリシーを適用する。当該フローに対するユーザＡとユーザＢのポリシーが合致していない場合、例えば双方向フローの情報からアプリケーション識別を行う必要がある場合は正しく識別できず、ユーザ所望のサービスを提供できない。

そこで、本発明は、このような背景に鑑みてなされたものであり、ポリシー制御システムにおいて、各装置の処理負荷を軽減するとともに、フローに適切なポリシーを適用することを課題とする。

前記した課題を解決するために、本発明は、フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、設定されたポリシーに合致するフローをアプリケーション識別制御装置へ転送して、アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、ポリシー管理装置は、ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、アプリケーション識別制御装置からフロー検出情報を受信した場合に、当該フローがユーザから通信網へ向かう通信網入力フローであるならば、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方に当該フローに対するアプリケーション識別があるとき、両方のアプリケーション識別が異なる際はアプリケーション識別制御装置に宛先ＩＰアドレスに対応するユーザポリシーのアプリケーション識別を指示するとともに、両方のアプリケーション識別が異なるか否かに関係なく当該フローをアプリケーション識別制御装置に再度転送しないポリシーを設定し、当該フローが通信網からユーザへ向かう通信網出力フローであるならば、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方に当該フローに対するアプリケーション識別があるとき、両方のアプリケーション識別が異なる際はアプリケーション識別制御装置に送信元ＩＰアドレスに対応するユーザポリシーのアプリケーション識別を指示するとともに、両方のアプリケーション識別が異なるか否かに関係なく当該フローをアプリケーション識別制御装置に再度転送しないポリシーを設定し、さらに、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、競合しないときは、そのユーザポリシーを記憶部に適用ポリシーとして登録し、競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを記憶部に適用ポリシーとして登録し、登録した適用ポリシーを、アプリケーション識別制御装置およびパケットヘッダ識別制御装置に指示する処理部と、を備えることを特徴とする。

このようにすることで、フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方でアプリケーション識別対象となっているときでも、パケットヘッダ識別制御装置からアプリケーション識別制御装置への当該フローの転送は１回で済むとともに、当該フローに適切なポリシーを適用することができる。

また、本発明は、フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、設定されたポリシーに合致するフローをアプリケーション識別制御装置へ転送して、アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、ポリシー管理装置は、ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、パケットヘッダ識別制御装置からフロー検出情報を受信した場合に、当該フローが、ユーザから通信網へ向かう通信網入力フローの場合は送信元ＩＰアドレスに対応するユーザポリシーに、通信網からユーザへ向かう通信網出力フローの場合は宛先ＩＰアドレスに対応するユーザポリシーに、アプリケーション識別が設定されておらず、かつ、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーが設定されているとき、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、競合しないときは、そのユーザポリシーを記憶部に適用ポリシーとして登録し、競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを記憶部に適用ポリシーとして登録し、登録した適用ポリシーをアプリケーション識別制御装置およびパケットヘッダ識別制御装置に指示する処理部と、を備えることを特徴とする。

このようにすることで、フローが、通信網入力フローの場合は送信元ＩＰアドレスに対応するユーザポリシーに、通信網出力フローの場合は宛先ＩＰアドレスに対応するユーザポリシーに、アプリケーション識別が設定されておらず、かつ、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーが設定されているときに、当該フローに適切なポリシーを適用することができる。

また、本発明は、フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、設定されたポリシーに合致するフローをアプリケーション識別制御装置へ転送して、アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、ポリシー管理装置は、ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、アプリケーション識別制御装置からフロー検出情報を受信した場合に、当該フローがユーザから通信網へ向かう通信網入力フローであるならば、宛先ＩＰアドレスに対応するユーザポリシーに当該対向フロー（検出したフローの対になる逆向きのフロー）に対するアプリケーション識別またはアプリケーション識別装置へのフロー転送がないときは当該対向フローをアプリケーション識別制御装置に転送するポリシーを設定し、当該フローが通信網からユーザへ向かう通信網出力フローであるならば、送信元ＩＰアドレスに対応するユーザポリシーに当該対向フローに対するアプリケーション識別またはアプリケーション識別装置へのフロー転送がないときは当該対向フローをアプリケーション識別制御装置に転送するポリシーを設定し、さらに、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、競合しないときは、そのユーザポリシーを記憶部に適用ポリシーとして登録し、競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを記憶部に適用ポリシーとして登録し、登録した適用ポリシーを、アプリケーション識別制御装置およびパケットヘッダ識別制御装置の少なくともいずれかに指示する処理部と、を備えることを特徴とする。

このようにすることで、フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーの一方のみでアプリケーション識別対象となっているときでも、当該双方向フローがいずれもアプリケーション識別制御装置へ転送されるようになる。

本発明によれば、ポリシー制御システムにおいて、各装置の処理負荷を軽減するとともに、フローに適切なポリシーを適用することができる。

本実施形態に係るポリシー制御システムの全体構成図である。 本実施形態に係るポリシー管理装置の構成図である。 本実施形態に係るポリシー利用情報キャッシュテーブルの構成図の一例である。 本実施形態に係るポリシー管理装置の処理の流れを示すフローチャートである。 本実施形態に係るポリシー管理装置の処理の流れを示すフローチャートである。 本実施形態に係るポリシー管理装置の処理の流れを示すフローチャートである。 従来技術のポリシー制御システムの全体構成図である。 従来技術の他のポリシー制御システムの全体構成図である。

次に、本発明を実施するための形態（以下、「本実施形態」と称する。）に係るポリシー制御システムについて説明する。
図１に示すように、本実施形態のポリシー制御システム１００は、物理構成が図８の場合と同様であり、通信事業者網１０に、複数のパケットヘッダ識別制御装置２０（＃１〜＃３）、アプリケーション識別制御装置３０、ポリシー管理装置４０を備えている。インラインに配置された複数のパケットヘッダ識別制御装置２０（＃１〜＃３）は、フローを構成するパケットのペイロード部分まで分析できるアプリケーション識別制御機能を有するアプリケーション識別制御装置３０を共用する。

ポリシー管理装置４０は、パケットヘッダ識別制御装置２０（＃１〜＃３）に対して、それぞれ、その配下に接続されているユーザＡの端末５０（以下、単に「ユーザＡ」とも称する。）、ユーザＢの端末５０（以下、単に「ユーザＢ」とも称する。）、ユーザＸのサーバ６０（以下、単に「ユーザＸ」とも称する。）のポリシーを設定する。また、ポリシー管理装置４０は、アプリケーション識別制御装置３０に対して、アプリケーション識別制御装置３０を共用するパケットヘッダ識別制御装置２０の配下のユーザのポリシーを設定する。

パケットヘッダ識別制御装置２０は、ポリシー管理装置４０からの指示で設定したポリシーに基づき、アプリケーション識別対象フローを、通信事業者網１０への入出力方向（通信方向）を識別できる形態でアプリケーション識別制御装置３０へ転送する。つまり、パケットヘッダ識別制御装置２０は、通信事業者網１０の外から内方向のフロー（以下、「通信事業者網入力フロー」と称する。）には送信元ＩＰアドレスに対応するユーザポリシーを適用し、また、通信事業者網１０の内から外方向のフロー（以下、「通信事業者網出力フロー」と称する。）には宛先ＩＰアドレスに対応するユーザポリシーを適用する。

アプリケーション識別制御装置３０は、パケットヘッダ識別制御装置２０から受信したアプリケーション識別対象フローに対し、ポリシーに基づいてアプリケーション識別制御、及び識別結果のポリシー管理装置４０への送信を行う。また、ユーザポリシーを有するユーザ通信の識別情報（例えばＩＰアドレス空間情報など）を保持しており、新規フローが入力されると通信事業者網入力フローの場合は宛先ＩＰアドレス、通信事業者網出力フローの場合は送信元ＩＰアドレスから対象通信であるかを識別する。対象通信である場合、フロー検出情報（５ｔｕｐｌｅ情報（プロトコル番号は必須ではない。以下同様）、通信方向）をポリシー管理装置４０へ送信する。

次に、図２を参照して、ポリシー管理装置４０の構成について説明する。図２に示すように、ポリシー管理装置４０は、入出力部４１と、記憶部４２と、処理部４３と、を備えるコンピュータ装置である。

入出力部４１は、パケットヘッダ識別制御装置２０やアプリケーション識別制御装置３０と通信回線を介して各種情報の送受信を行う通信インタフェースと、不図示のキーボード等の入力手段やモニタ等の出力手段等との間で情報の入出力を行う入出力インタフェースと、を備えて構成される。

記憶部４２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）などから構成され、ユーザ情報４２１、ポリシー利用情報キャッシュテーブル４２２、適用ポリシー決定ルール情報４２３（所定のルール）、アプリケーション識別制御装置共用情報４２４、処理部４３の動作プログラム（ポリシー制御プログラム）などの各種情報を記憶する。

ユーザ情報４２１は、ユーザごとの、ユーザ識別情報、ユーザポリシー情報、パケットヘッダ識別制御装置情報（そのユーザが所属するパケットヘッダ識別制御装置２０の識別情報）である。

ポリシー利用情報キャッシュテーブル４２２は、ユーザごとの適用ポリシー、ポリシー設定装置（適用ポリシーを設定した装置）の情報と、送信元ユーザと宛先ユーザの組ごとの、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、適用ポリシー、ポリシー設定装置の情報を格納する。ポリシー利用情報キャッシュテーブル４２２の送信元ユーザと宛先ユーザの組ごとの一例を図３に示す。なお、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号が同じ１つのフローに対して、適用ポリシーやポリシー設定装置は複数ありえる。例えば、アプリケーション識別制御装置３０とパケットヘッダ識別制御装置２０それぞれのルールに従ってポリシー設定する場合などである。

図２に戻って、適用ポリシー決定ルール情報４２３は、送信元ユーザポリシーと宛先ユーザポリシーとが競合する場合に適用すべきポリシーに関する情報であり、例えば、高品質通信優先のルールなどである。

アプリケーション識別制御装置共用情報４２４は、アプリケーション識別制御装置３０を共用する複数のパケットヘッダ識別制御装置２０の識別情報などである。

図２に戻って、処理部４３は、ポリシー管理装置４０全体の制御を司り、記憶部４２に格納された動作プログラム（ポリシー制御プログラム）をＣＰＵ（Central Processing Unit）がＲＡＭに展開し実行することで実現される。

次に、図４を参照（図１〜図３も適宜参照）して、ポリシー管理装置４０の処理について説明する。なお、ここでは、通信事業者網入力フローの場合を例にとって説明する。
ステップＳ１において、ポリシー管理装置４０の処理部４３は、アプリケーション識別制御装置３０からフロー検出情報（５ｔｕｐｌｅ情報、通信方向）を受信したか否かを判定し、Ｙｅｓの場合はステップＳ２に進み、Ｎｏの場合はステップＳ１に戻る。

ステップＳ２において、処理部４３は、フロー検出情報をその送信元のパケットヘッダ識別制御装置２０の識別情報とともに保持するとともに、ポリシー利用情報キャッシュテーブル４２２に当該フローの情報が登録されているか否かを判定し、Ｙｅｓの場合はステップＳ８に進み、Ｎｏの場合はステップＳ３に進む。

ステップＳ３において、処理部４３は、記憶部４２のユーザ情報４２１から、送信元ＩＰアドレスに対応するユーザポリシーと、宛先ＩＰアドレスに対応するユーザポリシーを取得し、ステップＳ４に進む。

ステップＳ４において、処理部４３は、記憶部４２のユーザ情報４２１を参照し、宛先ＩＰアドレスに対応するユーザポリシーに当該フローのアプリケーション識別があるか否かを判定し、Ｙｅｓの場合はステップＳ５に進み、Ｎｏの場合は処理を終了する。

ステップＳ５において、処理部４３は、宛先ＩＰアドレスに対応するユーザポリシーの識別対象アプリケーションが、送信元ＩＰアドレスのユーザポリシーと異なるか否かを判定し、Ｙｅｓの場合はステップＳ６に進み、Ｎｏの場合はステップＳ７に進む。

ステップＳ６において、処理部４３は、アプリケーション識別制御装置３０へ、宛先ＩＰアドレスに対応するユーザポリシーのアプリケーション識別を指示し、ステップＳ７に進む。

ステップＳ７において、処理部４３は、記憶部４２のユーザ情報４２１を参照して、宛先ＩＰアドレスに対応するユーザポリシーが設定されているパケットヘッダ識別制御装置情報を取得し、当該フローをアプリケーション識別制御装置３０へ再度転送しないポリシーを設定する。

ステップＳ２でＹｅｓの場合、ステップＳ８において、処理部４３は、記憶部４２のポリシー利用情報キャッシュテーブル４２２を参照して処理を行い、必要に応じて、該当するポリシー（適用ポリシー）の設定を、対応するパケットヘッダ識別制御装置２０に指示し、そのポリシー設定した装置情報（ポリシー設定装置）を記憶部４２のポリシー利用情報キャッシュテーブル４２２に登録し、処理を終了する。

なお、図４のフローチャートでは、通信事業者網入力フローの場合を例にとって説明したが、通信事業者網出力フローの場合は、送信元ＩＰアドレスと宛先ＩＰアドレスを入れ替えて同様の処理を行う。つまり、例えば、図１のパケットヘッダ識別制御装置２０（＃１）に着目した場合、ポリシー管理装置４０は、ユーザＡからユーザＸへのフローをパケットヘッダ識別制御装置２０（＃１）における通信事業者網入力フローとして図４の処理を行い、また、ユーザＸからユーザＡへのフローをパケットヘッダ識別制御装置２０（＃１）における通信事業者網出力フローとして図４の処理において送信元ＩＰアドレスと宛先ＩＰアドレスを入れ替えた同様の処理を行う。

次に、ポリシー管理装置４０が、アプリケーション識別制御装置３０からアプリケーション識別結果を受信した場合の処理について、図５を参照して説明する。

図５に示すように、ステップＳ１１において、ポリシー管理装置４０の処理部４３は、アプリケーション識別制御装置３０から当該アプリケーション識別結果を受信したか否かを判定し、Ｙｅｓの場合はステップＳ１２に進み、Ｎｏの場合はステップＳ１１に戻る。

ステップＳ１２において、処理部４３は、アプリケーション識別結果と、送信元ユーザポリシーと、宛先ユーザポリシーとに基いて、両ユーザポリシーが競合するか否かを判定し、Ｙｅｓの場合はステップＳ１３に進み、Ｎｏの場合はステップＳ１４に進む。

ステップＳ１３において、処理部４３は、適用ポリシー決定ルール情報４２３（所定のルール）に従って、当該フローおよび対向フロー（検出したフローの対になる逆向きのフロー）へ適用するポリシーを決定し、ステップＳ１５に進む。

ステップＳ１４において、処理部４３は、そのポリシーを当該フローおよび対向フローへ適用するポリシーに決定し、ステップＳ１５に進む。

ステップＳ１５において、処理部４３は、決定したポリシーを、アプリケーション識別制御装置３０および該当するパケットヘッダ識別制御装置２０へ指示し、ステップＳ１６に進む。

ステップＳ１６において、処理部４３は、当該フローおよび対向フローのフロー情報、ポリシー情報（適用ポリシー）、ポリシー設定した装置情報（ポリシー設定装置）を、ポリシー利用情報キャッシュテーブル４２２に登録し、処理を終了する。

なお、アプリケーション識別制御装置３０またはパケットヘッダ識別制御装置２０で当該フローの終了を検出すると、ポリシー管理装置４０へ通知する。それを受けて、ポリシー管理装置４０は、ポリシー利用情報キャッシュテーブル４２２から当該フロー情報を削除する。

このように、本実施形態のポリシー制御システム１００によれば、フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方でアプリケーション識別対象となっているときでも、パケットヘッダ識別制御装置２０からアプリケーション識別制御装置３０への当該フローの転送は１回で済むとともに、当該フローに適切なポリシーを適用することができる。したがって、例えば、高品質通信を望むユーザに対して、通信相手のユーザポリシーが一致しない場合でも、その高品質通信サービスを提供することができる。また、トラヒック量やアプリケーション識別制御装置３０などの処理負荷を軽減することができる。

なお、図１の構成において、ポリシーに基づき、アプリケーション識別対象の通信事業者網１０への入力方向フローのみをパケットヘッダ識別制御装置２０からアプリケーション識別制御装置３０へ転送し、アプリケーション識別制御装置３０から宛先へ転送される方式（段落００１３、００１４の方式）の場合、ポリシー管理装置４０は、図４（通信事業者網入力フローの場合）のＳ７の処理は行わず、Ｓ４でＮｏの場合で、宛先ＩＰアドレスに対応するユーザポリシーに当該フローの対向フローのアプリケーション識別制御装置３０への転送が設定されていない場合は、宛先ＩＰアドレスに対応するユーザポリシーが設定されているパケットヘッダ識別制御装置２０へ当該フローの対向フローのアプリケーション識別制御装置３０への転送を指示する。

したがって、本実施形態のポリシー制御システム１００によれば、フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーの一方のみでアプリケーション識別対象となっているときでも、双方向フローがアプリケーション識別制御装置３０へ転送されるとともに、当該フローに適切なポリシーを適用することができる。したがって、双方向フロー情報を用いてアプリケーション識別を行えるとともに、例えば、高品質通信を望むユーザに対して、通信相手のユーザポリシーが合致しない場合でも、その高品質通信サービスを提供することができる。

なお、ポリシー管理装置４０は、各種トリガを受信すると、適用中のポリシーの変更判定を行う。そして、ポリシー管理装置４０は、記憶部４２のユーザ情報４２１のユーザポリシー情報およびポリシー利用情報キャッシュテーブル４２２を参照し、変更が必要と判定し場合は、適用するポリシーを新たに決定し、新たなポリシーの設定を関連装置へ指示し、ポリシー利用情報キャッシュテーブル４２２のポリシー情報（適用ポリシー）を更新する。

次に、図１のネットワーク構成において、通信事業者網入力フローの場合は送信元ＩＰアドレスに対応するユーザポリシーに、通信事業者網出力フローの場合は宛先ＩＰアドレスに対応するユーザポリシーにアプリケーション識別が設定されておらず、ユーザポリシーを有するユーザ同士の間の通信に関連するポリシーが設定されている場合について説明する。

この場合、パケットヘッダ識別制御装置２０は、接続先リストを保持している。パケットヘッダ識別制御装置２０は、対象通信に関連するポリシーが設定されているユーザの新規フローを検出するとその接続先リストを参照し、通信事業者網入力フローの場合は宛先ＩＰアドレスが、通信事業者網出力フローの場合は送信元ＩＰアドレスが、対象通信のアドレスであるかを判定する。対象通信のアドレスである場合、パケットヘッダ識別制御装置２０は、ポリシー管理装置４０へフロー検出情報（５ｔｕｐｌｅ情報、通信方向）を送信する。

この場合、ポリシー管理装置４０は、図６のフローチャートに示す処理を行う。
図６に示すように、ステップＳ２１において、ポリシー管理装置４０の処理部４３は、パケットヘッダ識別制御装置２０からフロー検出情報（５ｔｕｐｌｅ情報、通信方向）を受信したか否かを判定し、Ｙｅｓの場合はステップＳ２２に進み、Ｎｏの場合はステップＳ２１に戻る。

ステップＳ２２において、処理部４３は、フロー検出情報をその送信元のパケットヘッダ識別制御装置２０の識別情報とともに保持するとともに、ポリシー利用情報キャッシュテーブル４２２に当該フローの情報が登録されているか否かを判定し、Ｙｅｓの場合はステップＳ２９に進み、Ｎｏの場合はステップＳ２３に進む。

ステップＳ２３において、処理部４３は、記憶部４２のユーザ情報４２１から、送信元ＩＰアドレスに対応するユーザポリシーと、宛先ＩＰアドレスに対応するユーザポリシーを取得し、ステップＳ２４に進む。

ステップＳ２４において、処理部４３は、送信元ユーザポリシーと宛先ユーザポリシーが競合するか否かを判定し、Ｙｅｓの場合はステップＳ２５に進み、Ｎｏの場合はステップＳ２６に進む。

ステップＳ２５において、処理部４３は、適用ポリシー決定ルール情報４２３（所定のルール）に従って、当該フローおよび対向フローへ適用するポリシーを決定し、ステップＳ２７に進む。

ステップＳ２６において、処理部４３は、そのポリシーを当該フローおよび対向フローへ適用するポリシーに決定し、ステップＳ２７に進む。

ステップＳ２７において、処理部４３は、決定したポリシーを、アプリケーション識別制御装置３０および該当するパケットヘッダ識別制御装置２０へ指示し、ステップＳ２８に進む。

ステップＳ２８において、処理部４３は、当該フローおよび対向フローのフロー情報、ポリシー情報（適用ポリシー）、ポリシー設定した装置情報（ポリシー設定装置）を、ポリシー利用情報キャッシュテーブル４２２に登録し、処理を終了する。

ステップＳ２２でＹｅｓの場合、ステップＳ２９において、処理部４３は、図４のステップＳ８と同様、記憶部４２のポリシー利用情報キャッシュテーブル４２２を参照して処理を行い、処理を終了する。

このように、本実施形態のポリシー制御システム１００によれば、通信事業者網入力フローの場合は送信ＩＰアドレスに対応するユーザポリシーに、通信事業者網出力フローの場合は宛先ＩＰアドレスに対応するユーザポリシーにアプリケーション識別がないときでも、当該フローに適切なポリシーを適用することができる。したがって、例えば、高品質通信を望むユーザに対して、通信相手のユーザポリシーが一致しない場合でも、その高品質通信サービスを提供することができる。

また、フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方にアプリケーション識別がないときは、図１からアプリケーション識別制御装置３０を除いたネットワーク構成においても、当該フローに適切なポリシーを適用することができる。

以上で本実施形態の説明を終えるが、本発明の態様はこれらに限定されるものではない。
例えば、本実施形態では、フロー検出情報のフローおよびその対向フローに対してポリシー判定および適用ポリシー決定を行うこととしたが、フロー検出情報のフローのみに対して上記の処理を行ってもよい。
また、パケットヘッダ識別制御装置２０は、機能をエッジルータに内蔵してもよい。
その他、具体的な構成や処理について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。

１０ 通信事業者網
２０ パケットヘッダ識別制御装置
３０ アプリケーション識別制御装置
４０ ポリシー管理装置
４１ 入出力部
４２ 記憶部
４３ 処理部
５０ 端末
６０ サーバ
１００ ポリシー制御システム
４２１ ユーザ情報
４２２ ポリシー利用情報キャッシュテーブル

Claims (4)

1. フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、
   設定されたポリシーに合致するフローを前記アプリケーション識別制御装置へ転送して、前記アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、
   前記複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、
   前記ポリシー管理装置は、
   ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、
   前記アプリケーション識別制御装置からフロー検出情報を受信した場合に、
   当該フローがユーザから前記通信網へ向かう通信網入力フローであるならば、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方に当該フローに対するアプリケーション識別があるとき、両方のアプリケーション識別が異なる際は前記アプリケーション識別制御装置に宛先ＩＰアドレスに対応するユーザポリシーのアプリケーション識別を指示するとともに、両方のアプリケーション識別が異なるか否かに関係なく当該フローを前記アプリケーション識別制御装置に再度転送しないポリシーを設定し、
   当該フローが前記通信網からユーザへ向かう通信網出力フローであるならば、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとの両方に当該フローに対するアプリケーション識別があるとき、両方のアプリケーション識別が異なる際は前記アプリケーション識別制御装置に送信元ＩＰアドレスに対応するユーザポリシーのアプリケーション識別を指示するとともに、両方のアプリケーション識別が異なるか否かに関係なく当該フローを前記アプリケーション識別制御装置に再度転送しないポリシーを設定し、
   さらに、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、
   競合しないときは、そのユーザポリシーを前記記憶部に適用ポリシーとして登録し、
   競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを前記記憶部に適用ポリシーとして登録し、
   登録した適用ポリシーを、前記アプリケーション識別制御装置および前記パケットヘッダ識別制御装置の少なくともいずれかに指示する処理部と、を備える
   ことを特徴とするポリシー制御システム。
2. フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、
   設定されたポリシーに合致するフローを前記アプリケーション識別制御装置へ転送して、前記アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、
   前記複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、
   前記ポリシー管理装置は、
   ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、
   前記パケットヘッダ識別制御装置からフロー検出情報を受信した場合に、
   当該フローが、ユーザから前記通信網へ向かう通信網入力フローの場合は送信元ＩＰアドレスに対応するユーザポリシーに、前記通信網からユーザへ向かう通信網出力フローの場合は宛先ＩＰアドレスに対応するユーザポリシーに、アプリケーション識別が設定されておらず、かつ、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーが設定されているとき、
   当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、
   競合しないときは、そのユーザポリシーを前記記憶部に適用ポリシーとして登録し、
   競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを前記記憶部に適用ポリシーとして登録し、
   登録した適用ポリシーを前記アプリケーション識別制御装置および前記パケットヘッダ識別制御装置の少なくともいずれかに指示する処理部と、を備える
   ことを特徴とするポリシー制御システム。
3. フローを構成するパケットのペイロード部分まで分析してアプリケーションやＵＲＩを識別できるアプリケーション識別制御機能を有するアプリケーション識別制御装置と、
   設定されたポリシーに合致するフローを前記アプリケーション識別制御装置へ転送して、前記アプリケーション識別制御装置を共用する複数のパケットヘッダ識別制御装置と、
   前記複数のパケットヘッダ識別制御装置それぞれの配下のユーザのポリシーを管理するポリシー管理装置と、を通信網内に備えるポリシー制御システムであって、
   前記ポリシー管理装置は、
   ユーザごとのポリシーであるユーザポリシー、および、フローごとのポリシー、これらを適用ポリシーとして記憶する記憶部と、
   前記アプリケーション識別制御装置からフロー検出情報を受信した場合に、
   当該フローがユーザから通信網へ向かう通信網入力フローであるならば、宛先ＩＰアドレスに対応するユーザポリシーに当該対向フローに対するアプリケーション識別または前記アプリケーション識別装置へのフロー転送がないときは当該対向フローを前記アプリケーション識別制御装置に転送するポリシーを設定し、
   当該フローが通信網からユーザへ向かう通信網出力フローであるならば、送信元ＩＰアドレスに対応するユーザポリシーに当該対向フローに対するアプリケーション識別または前記アプリケーション識別装置へのフロー転送がないときは当該対向フローを前記アプリケーション識別制御装置に転送するポリシーを設定し、
   さらに、当該フローの送信元ＩＰアドレスに対応するユーザポリシーと宛先ＩＰアドレスに対応するユーザポリシーとが競合するか否かを判定し、
   競合しないときは、そのユーザポリシーを前記記憶部に適用ポリシーとして登録し、
   競合するときは、所定のルールに基いて適用するポリシーを決定し、当該決定したポリシーを前記記憶部に適用ポリシーとして登録し、
   登録した適用ポリシーを、前記アプリケーション識別制御装置および前記パケットヘッダ識別制御装置の少なくともいずれかに指示する処理部と、を備える
   ことを特徴とするポリシー制御システム。
4. コンピュータを、請求項１から請求項３のいずれか一項に記載の前記ポリシー制御システムにおける前記ポリシー管理装置として機能させるためのポリシー制御プログラム。
   

Images