JP2015521391A - 通信システムと通信方法並びにプログラム - Google Patents

Abstract

【課題】例えばオープンフロー（ＯｐｅｎＦｌｏｗ）対応又はこれに類するシステムに適用可能とされ、ＳＰＩ又は等価な機能を実現可能とする通信システム、通信方法、及びプログラムの提供。【解決手段】ノード（３）にネットワークを介して接続され、前記ノード（３）の制御を行う制御装置１と、前記第１の端末（４Ａ）と前記第２の端末（４Ｂ）間の前記ノード（３）に転送されるパケットを監視する監視装置２と、を備え、前記制御装置（１）は、新規パケットの通信可否判定を前記監視装置（２）が収集した情報と、ファイアーウォール・ルールに基づき行い、通信許可する場合に、前記パケットの第１、第２の端末のうち送信元の端末から送信先の端末への転送経路、および、送信元端末から監視装置への転送経路とする転送ルールを、経路上の前記ノードに対して設定する。【選択図】図１

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１２−１０７５９６号（２０１２年５月９日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、通信システムと通信方法並びにプログラムに関する。

以下では、オープンフロー（ＯｐｅｎＦｌｏｗ）におけるフィルタリング機能にてＳＰＩ（Ｓｔａｔｅｆｕｌ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ：ステートフル・パケット・インスペクション）を実現する通信システムについて説明する。なお、オープンフローに関して、例えば非特許文献１、非特許文献２等の記載が参照される。

よく知られているように、オープンフローは通信をエンドツーエンドのフローとして捉え、フロー単位で、例えば、
・経路制御、
・障害回復、
・負荷分散、
・最適化
等を行う技術である。転送ノードとして機能するオープンフロースイッチ（ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ）は、オープンフローコントローラ（ＯｐｅｎＦｌｏｗ Ｃｏｎｔｒｏｌｌｅｒ）から追加又は書き換えを指示されるフローテーブル（例えば図１０の３０２）に従って動作する。

オープンフロースイッチのフローテーブル（図１０の３０２）には、フロー毎に、
・ルール（例えばパケットのヘッダ情報と照合するルール）、
・アクション（ルールにマッチしたパケットに対して適用する処理を定義）と、
・フロー統計情報
の組が、一つのエントリ（タプル）として定義される。このエントリは、「フローエントリ」と呼ばれ、ノードのフローテーブルには、当該ノードを通過する各フローに対応させてフローエントリを備えている。

フロー統計情報は、アクティブエントリ数、パケットルックアップ数、パケットマッチ数、フロー単位での受信パケット、受信バイト数、フローがアクティブな期間、ポート単位での受信パケット、送信パケット、受信バイト、送信バイト、受信ドロップ、送信ドロップ、受信エラー、送信エラー、受信フレームアラインエラー、受信オーバーランエラー、受信ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）エラー、コリジョン数等を含む。

オープンフローネットワークにおけるパケットヘッダ（オープンフローヘッダ）は、図１１に示すようなヘッダフォーマットとされる。
・ＭＡＣ ＤＡ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）（Ｅｔｈｅｒｎｅｔ（登録商標）送信先アドレス： ４８ビット）、
・ＭＡＣ ＳＡ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）（Ｅｔｈｅｒｎｅｔ（登録商標）送信元アドレス：４８ビット）、
・ＴＰＩＤ（Ｔｙｐｅ ＩＤ）（Ｅｔｈｅｒｎｅｔ（登録商標）タイプ：１６ビット）、
・ＶＬＡＮ ＩＤ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ ＩＤ）（１６ビット）、
・ＶＬＡＮ ＴＹＰＥ（１６ ビット）、
・Ｖｅｒ（Ｖｅｒｓｉｏｎ）（ＩＰプロトコルのバージョン：４ビット）、
・ＩＨＬ（Ｉｎｔｅｒｎｅｔ Ｈｅａｄｅｒ Ｌｅｎｇｔｈ）（４ビット）、
・Ｔｏｓ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅｓ）（８ビット）、
・Ｔｏｔａｌ Ｌｅｎｇｔｈ（１６ビット：パケット全体のサイズのオクテット表示）、
・Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ（１６ビット）、
・Ｆｌａｇ／Ｆｌａｇ Ｏｆｆｓｅｔ（１６ビット）、
・ＴＴＬ （Ｔｉｍｅ Ｔｏ Ｌｉｖｅ：８ビット）、
・Ｐｒｏｔｏｃｏｌ（プロトコル：８ビット）（上位レイヤのプロトコル：ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）等）、
・ＣｈｅｃｋＳｕｍ（ヘッダのチェックサム：１６ビット）、
・ＩＰ ＳＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｏｕｒｃｅ Ａｄｄｅｒｅｓｓ）（送信元ＩＰアドレス：例えば３２ビット）、
・ＩＰ ＤＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｅｒｅｓｓ）（送信先ＩＰアドレス：例えば３２ビット）、
・Ｓｏｕｒｃｅ Ｐｏｒｔ（ＴＣＰ送信元ポート：１６ビット）、
・Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（ＴＣＰ送信先ポート：１６ビット）、
・Ｓｅｑｕｅｎｃｅ Ｎｕｍｂｅｒ（シーケンス番号：３２ビット）、
・Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ Ｎｕｍｂｅｒ（アクノリッジ番号：３２ビット）、
・Ｏｆｆｓｅｔ／Ｆｌａｇｓ（オフセット／フラグ：１６ビット）、
・Ｗｉｎｄｏｗ Ｓｉｚｅ（ウインドウサイズ：１６ビット）、
・ＣｈｅｃｋＳｕｍ（ＴＣＰで計算するデータのチェックサム：１６ビット）、
・Ｕｒｇｅｎｔ Ｐｏｉｎｔｅｒ（緊急ポインタ：１６ビット）、
等の情報を備えている。ヘッダのあとにＰａｙｌｏａｄ（ペイロード）がつづく。これらのヘッダ情報のいくつかは、フローテーブルのルールとの照合に用いられる。

オープンフロースイッチは、パケットを受信すると、フローテーブル（図１０の３０２）の中から、受信パケットのオープンフローヘッダ（図１１参照）の情報に適合するエントリを検索する。すなわち、オープンフロースイッチは、入力した受信パケットに対して、該オープンフロースイッチ内のフローテーブルを検索し、パケットのヘッダ情報と、ルールとのマッチ（照合）を行い、マッチするルールが見つかった場合、当該ルールに対応するアクションに定義された処理（当該ルールがマッチしたときにパケットに対して実行される処理）を実行する。

フローテーブルに含まれるルールの一例として、例えば、送信先（宛先）ＩＰアドレス、送信元ＩＰアドレスと、送信元ポート、宛先ポートを含み、このルールのマッチしたときのアクションとして、受信パケット転送先の次のオープンフロースイッチが指定されている場合、ルールとマッチした受信パケットは、アクション欄に指定された転送先のオープンフロースイッチに転送される。一方、フローテーブルを検索した結果、マッチするルールが見つからなかった場合、オープンフロースイッチは、オープンフローコントローラへのリンクであるセキュアチャネルを通して、オープンフローコントローラに対してこの受信パケットを転送（ｆｏｒｗａｒｄ）する。

オープンフロースイッチから前記受信パケットを受け取ったオープンフローコントローラでは、前記受信パケットの送信元・送信先情報に基づき、例えばオープンフローコントローラで管理するネットワークトポロジー情報から、前記受信パケットの転送経路を決定し、フローセットアップ（Ｆｌｏｗ Ｓｅｔｕｐ）を行う。

フローセットアップとは、決定した転送経路上の全てのオープンフロースイッチに対して、決定した転送経路を実現するためにフローテーブルを設定することである。オープンフロースイッチでは、オープンフローコントローラからら転送された転送経路情報から、ルールと、該ルールにマッチしたときの処理を規定するアクションを含む新たなフローエントリをフローテーブルに追加する。

フローセットアップを行ったオープンフローコントローラは、前記受信パケットを、例えば、フローの出口となるオープンフロースイッチ（送信先端末に接続するオープンフロースイッチ）に転送することで送信先端末に送信する。

以降、前記受信パケットと同じフローに属するパケットのヘッダ情報は、前記フローセットアップが行われたオープンフロースイッチのフローテーブル内のルールにマッチし、設定されたフローテーブル（ルールとアクション）に従って、前記パケットの転送経路上の各オープンフロースイッチを転送され、送信先端末に送られる。

このように、オープンフロースイッチでフローテーブルを検索した結果、マッチしないパケットは、あるフローの最初に転送されるパケットである場合が多い。このようなパケットは、総称して「ファーストパケット」ともいう。なお、厳密には、フローエントリの削除により、最初に転送されるパケット以外のパケットに適合するエントリが存在しないという場合が生じ、最初に転送されるパケット以外のパケットが、オープンフローコントローラに転送される場合もある。

オープンフローネットワークにおけるフィルタリング機能の実現方法として、オープンフローコントローラが、オープンフロースイッチから受け取ったパケットから、その通信の可否を判定し、許可されたフローのみをセットアップする方法がある。

また、オープンフローネットワークにおける通信の可否判定方法として、オープンフローヘッダ情報、優先度、及び、その通信可否を事前に設定しておき、パケットイン（パケットが入力された）後に、オープンフローコントローラが、優先度順に照合する方法がある。

オープンフローコントローラは、オープンフロースイッチから、統計情報（例えばフローテーブル内のフロー統計情報）を取得することができる。フロー毎に取得可能な統計情報は、例えば、受信パケット数、受信サイズ、及び、存続時間等である。

一方、ファイアーウォール（Ｆｉｒｅｗａｌｌ）を通過するパケットのデータを読み取り、内容を判断して動的にポートを開放・閉鎖する技術として、ＳＰＩ（Ｓｔａｔｅｆｕｌ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）技術がある。ＳＰＩは、ファイアーウォールを通過するパケットデータを読み取り、通信ログに記録しておき、到着パケットが正常なものか、通信ログを参照して判断しポートの開閉を動的に行う。ＳＰＩに関して、例えば特許文献１や特許文献２の記載が参照される。

ファイアーウォールにおけるＳＰＩ処理の実現方法としては、通過パケットの読み取りから、通信状況を生成してログに保持し、新たなパケットの通過可否の判定時に、ファイアーウォール・ルール、及び通信状況のログを参照する、ことが一般的である（ＬＩＮＵＸ（登録商標） Ｎｅｔｆｉｌｔｅｒ）。

フィルタリングの条件としてパケットの接続状態が設定される。パケットの接続状態として、例えば、
・ＮＥＷ（ニュー：新規接続パケット）、
・ＥＳＴＡＢＬＩＳＨＥＤ（イスタブリッシュト：継続パケット）、
・ＲＥＬＡＴＥＤ（リレイテッド：関連パケット）、
等が挙げられる。

ＮＥＷは、ＡＣＫフラグがセットされていないパケットやＩＣＭＰエコー要求等の接続開始パケットの接続状態を示す。

ＥＳＴＡＢＬＩＳＨＥＤは、ＡＣＫフラグがセットされた既存コネクションの継続パケットの接続状態を示す。

ＲＥＬＡＴＥＤは、例えばＩＣＭＰエラーメッセージ等、既存コネクションに関連する関連パケットの接続状態を示す。なおＮＥＷ、ＥＳＴＡＢＬＩＳＨＥＤ、ＲＥＬＡＴＥＤのいずれでもないパケットを指定する場合、ＩＮＶＡＬＩＤ等が設定される。

ファイアーウォールにおけるＳＰＩ処理では、例えばファイアーウォール・ルールに、上記パケット接続状態を、フィルタフィリング条件として予め指定しておき、ファイアーウォール内で生成された通信状況と合わせて判定する。

パケットから読み取られる情報は、プロトコルによって異なる。以下では、ＴＣＰとＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を例に説明する。なお、ＦＴＰは、ＵＤＰを用いたファイル転送プロトコルである。ＴＣＰ、ＵＤＰ、ＩＣＭＰ等のプロトコルはパケットヘッダのプロトコル欄に設定される。

ＴＣＰ、ＦＴＰでは、例えばクライアントがサーバにＳＹＮパケット（ＳＹＮフラグがオンのパケット）を送り、サーバで通信を許可する場合、クライアントに対してＳＹＮ・ＡＣＫパケット（ＳＹＮフラグ・ＡＣＫフラグがともにオンのパケット）を送り、ＳＹＮ・ＡＣＫパケットを受け取ったクライアントは、ＡＣＫパケットをサーバに送信し、サーバとのセッションを開始する（ＥＳＴＡＢＬＩＳＨＥＤ）。したがって、クライアントが初めて通信を行うノードである場合、ＳＹＮパケットを送信するはずであるが、ＳＹＮパケット以外のパケットを送った場合、不正と判断する。通信状況ＮＥＷに対して、ＳＹＮパケットでないパケットは廃棄される。

ＴＣＰの場合、ＳＰＩ処理で読み取られるパケットの情報は、例えば、
・送信元ＩＰアドレス（図１１のＩＰ ＳＡ）、
・送信先ＩＰアドレス（図１１のＩＰ ＤＡ）、
・ＴＣＰ送信元ポート（図１１のＳｏｕｒｃｅ Ｐｏｒｔ）、
・ＴＣＰ送信先ポート（図１１のＤｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）、及び、
・ＴＣＰヘッダのフラグ（図１１のＦｌａｇｓ）、
である。なお、図１１において、Ｓｏｕｒｃｅ Ｐｏｒｔ、Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔから、ＣｈｅｃｋＳｕｍ、Ｕｒｇｅｎｔ Ｐｏｉｎｔｅｒまでの２０オクテット（バイト）がＴＣＰヘッダである。

ＳＰＩ処理では、前記パケットと、送信元及び送信先が逆である逆方向のパケットとから、ＳＹＮやＡＣＫといったＴＣＰヘッダの制御フラグを読み取ることで、この通信におけるセッションの確立等の状況を確認できる。

なお、上記したＳＹＮフラグ（１ビット）は、ＴＣＰ接続を要求する際に送信される最初の接続要求パケットにセットされる。ＡＣＫフラグ（１ビット）がオンのとき、ＴＣＰヘッダには有効なＡＣＫ番号（Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ Ｎｕｍｂｅｒ）が含まれていることを示す。ＡＣＫ番号（３２ビット）は、ＴＣＰ応答パケットにセットされ、受信したデータのシーケンス番号（送信したデータ１バイトごとに１つずつ昇順に設定される）に対応している（受信したデータの位置＋シーケンス番号＋１をＡＣＫ番号として返す）。ＳＹＮフラグがセットされたパケットを受信した場合、ＡＣＫ番号を受信したシーケンス番号に同期させる。パケットにＳＹＮフラグが付いている（ＳＹＮフラグがオン）場合（ＳＹＮパケットの場合）、新たな通信を開始する状況にある（ＮＥＷ）。当該パケットは、接続が確立していないときに送信される最初のパケットである。

そして、逆方向からＳＹＮ及びＡＣＫフラグの付いたパケット（ＳＹＮ・ＡＣＫパケット）があり、さらに、始めと同じ方向からＡＣＫフラグの付いたパケットが送られれば、通信が確立された状況にある（ＥＳＴＡＢＬＩＳＨＥＤ）。

ＳＰＩ処理では、このように通信状況を把握することで、確立された通信を解放するといった動作が可能になる。

ＦＴＰの場合、前記ＴＣＰの場合に加え、ＳＰＩ処理では、ＦＴＰの制御用通信に属するパケットのペイロードから、ＦＴＰのデータ転送に使用するＴＣＰポート番号を読み取る。ＳＰＩ処理は、このポート情報をもって関連ポートへの通信を動的に許可する。

なお、特許文献１には、中央演算装置におけるＳＰＩ処理を軽減するパケット通過制御装置が開示されている。また、特許文献２には、サイト外ネットワークのクライアントからサイト内ネットワークのサーバへの通信に、ＳＰＩを適用できるようにした通信制御装置を備えたゲートウェイが開示されている。特許文献１、２において、ＳＰＩ処理に必要な通信の監視と制御を一つの装置で行っている。さらに、読み取られるパケットとは一度通信を許可したパケットも含まれる。

特開２００７−２２１２４０号公報 特開２００９−２７２６５９号公報

Nick McKeown et al, "OpenFlow:Enabling Innovation in Campus Networks," ACM SIGCOMM Computer Communication Review-Volume 38, 2008, pp.69-74 OpenFlow Switch Specification Version 1.0.0 (Wire Protocol 0x01)、２００９年１２月３１日、［２０１１年３月８日検索］、インターネット＜ＵＲＬ：http://www.openflow.org/documents/openflow-spec-v1.0.0.pdf＞

以下に関連技術の分析を記載する。

非特許文献１や非特許文献２で開示／規定されているオープンフローネットワークでは、フローセットアップ後のパケットを監視する構成とされていない。このため、ＳＰＩを実現することはできない。以下、この問題について説明する。

オープンフローコントローラにおいて一度許可したフローに属する後続パケットは、オープンフローコントローラで決定された経路上の１つ又は複数のオープンフロースイッチのみを経由して、通信先（送信先の端末）へと転送される。このため、オープンフローコントローラでは、関連通信（related communication）やセッションの終了等の通常の状況を補足することができない。したがって、ＳＰＩを実現できない。

オープンフローコントローラは、各オープンフロースイッチから統計情報を取得することはできる。しかしながら、上述したように、得られる情報は限られている。オープンフローコントローラは、関連パケットの通信可否を判定するためのＴＣＰヘッダのフラグ情報や、関連ポート情報を取得することはできない。

ここで、監視対象のパケットをオープンフロースイッチからオープンフローコントローラに送るシステム（参考例）を想定し、このシステムについて検討する。一般的に、オープンフロースイッチとオープンフローコントローラ間の通信の帯域は狭い。通常、一つのオープンフローコントローラは、複数のオープンフロースイッチに接続している。監視対象のパケット全てを、オープンフロースイッチからオープンフローコントローラに転送する構成の場合、オープンフローコントローラでは、輻輳が発生する。したがって、参考例のシステム構成（監視対象のパケットをオープンフロースイッチからオープンフローコントローラに送る構成）は実用的ではない。

このため、オープンフローにＳＰＩ処理を実現することはできない。すなわち、例えば特許文献１、２等に開示された構成をオープンフロー対応の通信システムに実装することはできない。

したがって、本発明は、上記問題点に鑑み創案されたものであって、その目的は、例えばオープンフロー（ＯｐｅｎＦｌｏｗ）対応又はこれに類するシステムに適用可能とされ、ＳＰＩ（Ｓｔａｔｅｆｕｌ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）又は等価な機能を実現可能とする通信システム、通信方法、及びプログラムを提供することにある。

本発明によれば、設定された転送ルールに従いパケット転送を行う少なくとも１つのノードと、
前記パケットの送信元の端末及び送信先の端末と、
前記ノードにネットワークを介して接続され前記ノードの制御を行う制御装置と、
前記ノードと前記制御装置にネットワークを介して接続され、前記端末間の前記ノードに転送されるパケットを監視する少なくとも１つの監視装置と、
を備え、
前記制御装置は、前記ノードから転送されたパケットに対して、前記監視装置がパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、通信可否の判定を行う通信可否判定手段と、
前記通信可否判定手段で通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する転送ルール設定手段と、
を備えた通信システムが提供される。

本発明の別の側面によれば、少なくとも一つの監視装置で、設定された転送ルールに従いパケット転送を行うノードであって、パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、
前記ノードから転送されたパケットに対して、前記パケットの通信可否判の判定を行う通信可否判定手段と、
前記通信可否判定手段で通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する転送ルール設定手段と、
を備えた制御装置が提供される。

本発明の別の側面によれば、パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視する監視装置であって、
前記パケットを監視し通信状況を取得するパケット解析手段、又は、
前記パケット解析手段と通信状況を保持する通信状況保持手段、
を備え、
前記監視装置は、前記監視装置で収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記ノードから送信されたパケットに対して通信可否判の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして設定する制御装置に対して、
前記通信状況を、送信する監視装置が提供される。

本発明のさらに別の側面によれば、少なくとも１つの監視装置で、設定された転送ルールに従いパケット転送を行うノードであって、前記パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視し、
前記ノードに接続される制御装置は、前記ノードから送信されたパケットを受けると、前記監視装置でパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記パケットの通信可否判の判定を行い、
通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する通信方法が提供される。

本発明のさらに別の側面によれば、転送ルールを含むルールを記憶するフローテーブルを備え、ノード装置は前記転送ルールに従いパケット転送を行い
受信パケットをフローテーブルのルールと照合し、マッチしない場合、制御装置に前記受信パケットを転送し、前記制御装置は、前記ノードから転送された前記受信パケットに対して、監視装置がパケットを監視して収集した情報と、予め定められた通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、通信可否の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして送信し、
前記制御装置から前記転送ルールを受信して前記フローテーブルに設定し、
前記受信パケット以降に受信したパケットのうち前記フローテーブルの前記転送ルールにマッチするパケットを前記送信先の端末と前記監視装置に転送する通信処理部を備えた、ノード装置が提供される。

本発明のさらに別の側面によれば、設定された転送ルールに従いパケット転送を行う少なくとも一つのノードに接続される制御装置を構成するコンピュータに、
少なくとも一つの監視装置で、前記パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、
前記ノードから送信されたパケットの通信可否判の判定を行う処理と、
通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する処理と、
を実行させるプログラムが提供される。

本発明によれば、上記プログラムを記録した、メモリ、ディスク媒体、メモリ・ディスクユニットが提供される。

本発明によれば、例えばオープンフロー（ＯｐｅｎＦｌｏｗ）対応、又はこれに類するシステムに適用可能とされ、ＳＰＩ処理又は等価な機能を実現可能としている。

本発明の例示的な第１の実施形態のシステム構成を例示する図である。 本発明の例示的な第１の実施形態における制御装置の構成を例示する図である。 本発明の例示的な第１の実施形態における監視装置の構成を例示する図である。 本発明の例示的な第１の実施形態の動作例を説明するフローチャートである。 本発明の例示的な第２の実施形態における制御装置の構成を例示する図である。 本発明の例示的な第２の実施形態における監視装置の構成を例示する図である。 本発明の例示的な第３の実施形態の制御装置の構成を例示する図である。 本発明の例示的な第５の実施形態の構成を例示する図である。 本発明の例示的な第７の実施形態の構成を例示する図である。 本発明の例示的な第１の実施形態におけるノードの構成を例示する図である。 オープンフローのパケットのヘッダ情報を示す図である。

以下、本発明のいくつかの実施形態について図面を参照して詳細に説明する。

＜第１の実施形態＞
（システム構成）
図１は、第１の例示的な実施形態による通信システムの全体の構成を例示する図である。図１を参照すると、この通信システムは、制御装置１と、監視装置２と、ノード３と、端末４Ａ及び４Ｂと、を備えている。各端末を区別する必要がない場合には、端末４Ａ及び端末４Ｂを端末４あるいは単に「端末」ともいう。端末４Ａ、４Ｂはノード３に接続され、ユーザパケットの転送ネットワークを形成する。

ノード３は、オープンフロースイッチ、若しくは、オープンフロースイッチに類する転送ノードである。

図１では、端末４Ａ及び端末４Ｂはノード３に接続され、端末４Ａと端末４Ｂの間の経路は、ノード３を通過する経路である。

制御装置１、監視装置２、及びノード３は相互に接続され、制御用ネットワークを形成する。制御用ネットワークは、専用のネットワークで構成されていても良い。制御用ネットワークは、例えば、上述のオープンフローネットワークにおいては、セキュアチャネルによる専用ネットワークで構成される。本実施形態では、制御装置１が、監視装置２から受け取った通信状況を保持する。

（制御装置）
図２は、第１の実施形態による制御装置１の構成の一例を示す図である。図２を参照すると、制御装置１は、通信可否判定手段１０１、転送ルール設定手段１０２、通信状況保持手段１０３、ファイアーウォール・ルール１０４を含む。

通信可否判定手段１０１は、ノード(図１の３)から転送された受信パケット（例えばファーストパケット）を解析し、フロー情報（パケットの送信元と送信先のフロー）、及び、通信状況に関する情報（例えばＴＣＰヘッダのフラグ情報等）を抽出し、予め指定されたファイアーウォール・ルール１０４と、通信状況保持手段１０３に保持される通信状況（フローに関連する通信状況）を参照して、通信の可否を決定する。例えば、通信状況保持手段１０３に保持された当該フローに関連する通信状況がＮＥＷであるとき、ノード(図１の３)から転送された受信パケット（ファーストパケット）のＴＣＰヘッダのＳＹＮフラグがオンでないパケットは、ファイアーウォール・ルール１０４の設定ルールに基づき、通信を許可しない。

通信可否判定手段１０１は、通信を許可しない場合、例えば、受信パケットを廃棄する。なお、制御装置１側で、通信を許可しないと判定したパケットを廃棄した場合、該パケットを送信した送信元の端末４では送信リトライ等の結果、例えば送信エラーとなる（この場合の対応（手順）は、実装する上位レイヤ等のプロトコルに依存する）。

通信状況保持手段１０３は、半導体メモリ、磁気ディスク等の記憶手段（不図示）と、該記憶手段への書き込み（更新）と読み出し（参照）を行うアクセス手段（不図示）とを備え、各フローに関連する通信状況を、フローに対応させて記憶保持する。本実施形態では、通信状況保持手段１０３では、監視装置２からの通信情報の書き込み（更新）と、通信可否判定手段１０１からの読み出し（参照）又は書き込み（更新）が行われる。

ファイアーウォール・ルール１０４は、制御装置１において、不図示の入力手段等から入力される予め定められた所定のコマンド等によりフィルタリング条件等が設定される。例えば、通信状況がＮＥＷのとき、受信パケット（ファーストパケット）がＳＹＮパケットであれば、通信許可する等、のルールが設定される。

転送ルール設定手段１０２は、制御装置１で管理するネットワークトポロジー情報に基づく、経路計算と、経路上のノード３への転送ルール設定を行う。本実施形態では、通信可否判定手段１０１において、ノード３から転送されたパケット（例えばファーストパケット）に対して通信許可と判定した場合に、転送ルール設定手段１０２は、
・パケットの送信元の端末（例えば図１の４Ａ）から送信先の端末（例えば図１の４Ｂ）へのパケット転送経路、及び、
・前記送信元の端末（例えば図１の４Ａ）から前記監視装置（図１の２）への転送経路を、それぞれの転送経路上のノード（図１の３）に対して、転送ルールとして設定する（フローセットアップ）。

該セットアップにより、制御装置１から送信された転送ルールは、当該転送経路上のノード（図１の３）のフローテーブル（図１０の３０２）のルール・アクション欄（パケットがルールにマッチしたとき、該パケットを当該転送経路に転送するという内容のアクション）に設定され、保持される。前記パケット（ファーストパケット）以降、前記送信元の端末（例えば図１の４Ａ）から送信されたパケットは、前記転送経路上のノード（図１の３）において、フローテーブル（図１０の３０２）の設定内容に従い、送信先の端末（例えば図１の４Ｂ）へのパケット転送経路、及び、前記監視装置（図１の２）への転送経路に転送される。

なお、関連技術のオープンフローコントローラでは、前述したように、ノード３からの受信パケット（フォーストパケット等）に対して、受信パケットの送信元・送信先情報に基づき、ネットワークトポロジー情報から、パケットの経路を決定し、フローセットアップを行う。これに対して、本実施形態では、制御装置１は、当該受信パケットの通信可否の判定を、ファイアーウォール・ルール１０４と、通信状況保持手段１０３に保持される通信状況（履歴）とに基づき行い、通信を許可する場合、フローセットアップにおいて、パケットの転送経路情報に。送信先端末だけのなく、監視装置への転送を加えた上で、前記転送経路上のノードのフローテーブルに設定するようにしている。

（監視装置）
図３は、第１の例示的な実施形態による監視装置２の構成の一例を例示する図である。図３を参照すると、監視装置２は、パケット解析手段２０１を含む。監視装置２は、ノード３の監視部（あるいは、監視モジュール）としてノード３内に配置する構成としてもよい。パケット解析手段２０１は、制御装置１からのフローセットアップにより、転送ルールがフローテーブルに設定されたノード（図１の３）から転送されるパケットを監視する。

パケット解析手段２０１で監視する情報は、オープンフローヘッダ情報、及び、上位レイヤのヘッダ、あるいは、ペイロード内の関連する通信のポート番号等の少なくとも１つを含む。

（ノード）
図１０は、ノード３の構成を示す図である。通信処理部３０１と、フローテーブル３０２を備える。通信処理部３０１は、端末４Ａ、４Ｂとの間でのパケットの送受（次のオープンフロースイッチへのパケットの送信等）、制御装置１へのパケット（例えばファーストパケット）の転送、監視装置２へのパケットの転送等を行う。フローテーブル３０２は、フロー毎に、前述したルール、アクション、統計情報等を含む。監視装置２とノード３の接続はユーザパケットの転送用である。

（システムの動作）
図４は、第１の例示的な実施形態のシステムの動作を示したフローチャートである。なお、図１の第１の例示的な実施形態において、ノード３は、図１０に示した通り、前述したオープンフロースイッチに準拠した構成・機能を有し、制御装置１は、図２を参照して説明した通り、オープンフローコンローラに準拠した構成・機能を有する。

まず、端末Ａ（図１の４Ａ）が端末Ｂ（図１の４Ｂ）に向けたパケットをノード（図１の３）へ送信する（ステップＳ１）。

ノード（図１の３）では、端末Ａから受け取ったパケットの情報（例えばヘッダ情報）とマッチするルールが存在するかをノード内のフローテーブル（図１０の３０２）から検索する（ステップＳ２）。特に制限されないが、フローテーブルの各エントリのルールは、例えば宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート、宛先ポート情報を含み、受信パケットのヘッダ情報が、該ルールにマッチしたときのアクションは、当該受信パケットの転送先となる。受信パケットのオープンフローにおけるヘッダ情報の宛先ＩＰアドレス、送信元ＩＰアドレス、送信元（Ｓｏｕｒｃｅ）ポート、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ポートに一致するルールのフローエントリが存在する場合、当該フローエントリのアクション欄に指定されたパケット転送先（本実施形態では、当該受信パケットの次の転送先（端末４Ｂ）と監視装置２）に該受信パケットが転送される。

ノード（図１の３）において、受信パケットのヘッダ情報にマッチするフローエントリが見つからなかった場合（ステップＳ３のＮｏ）、ノード（図１の３）は、当該パケットを、制御装置（図１の１：オープンフローコントローラ）へセキュアチャネルで転送する（ステップＳ４）。

制御装置（図１の１）の通信可否判定手段（図２の１０１）は、ノード（図１の３）から転送された前記パケットの属するフローを許可するか否かを判定する（ステップＳ５）。その際、通信可否判定手段（図２の１０１）は、前記パケットを解析し、フロー情報（送信元端末と送信先端末間のフローに対応する経路）、及び通信状況に関する情報（例えばＴＣＰヘッダのフラグ（Ｆｌａｇｓ）情報、図１１のＦｌａｇｓ）を得る。

通信可否判定手段（図２の１０１）は、設定されたファイアーウォール・ルール１０４、及び、通信状況保持手段（図２の１０３）に保持される通信状況を参照して、前記フローに関連する通信状況のログ情報を参照し、通信の可否（当該フローを転送するパケットの通過の可否）を決定する。

通信状況としては、オープンフローにおけるヘッダに準ずるフロー情報（図１１のＦｌａｇｓ情報）とともに、前述したＮＥＷ、ＥＳＴＡＢＬＩＳＨＥＤ、ＲＥＬＡＴＥＤ等が保持される。ただし、通信状況は前述したＮＥＷ、ＥＳＴＡＢＬＩＳＨＥＤ、ＲＥＬＡＴＥＤに限定されない。

通信可否判定手段（図２の１０１）で、通信を許可しない場合、前記パケットを破棄する（ステップＳ７）。

通信可否判定手段（図２の１０１）で通信を許可する場合、制御装置（図１の１）の転送ルール設定手段（図２の１０２）は、前記パケットを転送したノード（図１の３）に対して、前記パケットの属するフローを、端末Ｂ（図１の４Ｂ）及び監視装置（図１の２）へ転送する転送ルール（転送先）を設定する（フローセットアップ）（ステップＳ８）。該フローセットアップにより、転送ルールは当該フローに属するノード（図１の３）のフローテーブル（図１０の３０２）のルール・アクション欄に設定される。

次に、制御装置（図１の１）は、前記ノード(図１の３)を介して、前記パケットを、端末Ｂ（図１の４Ｂ）に転送する（ステップＳ９）。なお、制御装置(図１の１)で前記パケットの解析を行っているため、前記パケットは、監視装置（図１の２）へは転送されず、以降転送されるパケットがノード（図１の３）で、フローテーブルに設定されている前記転送ルールと照合され、転送ルールにマッチした場合、アクション欄に設定された転送先の１つである監視装置（図１の２）へ転送されることになる。

制御装置（図１の１）は、前記フローの通信状況を更新する（ステップＳ１０）。すなわち、制御装置（図１の１）において、通信状況保持手段（図２の１０３）の通信状況が更新される。

また、ノード（図１の３）にて、入力するパケットとマッチするルールのフローエントリが見つかった場合は、マッチしたルール（転送ルール）のアクションに従い、端末Ｂ（図１の４Ｂ）及び監視装置（図１の２）へ当該パケットを転送する（ステップＳ１１）。

監視装置（図１の２）は、ノード（図１の３）から転送された前記パケットを、パケット解析手段（図３の２０１）で解析し、前記パケットから通信状況を把握するために必要な情報を抽出する（ステップＳ１２）。パケット解析手段（図３の２０１）で抽出する情報は、オープンフローヘッダ情報、及び、上位レイヤのヘッダ、データ内にある関連する通信のポート番号等の少なくとも１つを含む。

監視装置（図１の２）は、パケットから抽出した情報から、制御装置（図１の１）において、通信状況の更新が必要であるパケットであるか（例えば更新が必要なプロトコルのパケットであるか）否かを判定する（ステップＳ１３）。監視装置（図１の２）において、通信状況の更新が必要と判定した場合、該通信状況が、制御装置（図１の１）へ送られ、通信状況保持手段（図２の１０３）は、保持する通信状況を、監視装置（図１の２）から送信された通信状況に基づき、更新する。

更新された通信状況は、制御装置（図１の１）でノード（図１の３）からの新たな受信パケットを受け、通信拒否判定手段１０１で通信可否判定を行う際に参照される。

さらに、厳密なファイアーウォール動作を実現するために、通信状況の更新時に、通信許可判定を行い、既存の通信が許可されなくなった場合には、この通信（既存の通信が許可されなくなったフロー）の転送ルールを削除するようにしてもよい。

（作用効果）
例示的な第１の実施形態によれば、制御装置１の通信可否判定手段１０１において通信状況を参照する。このため、通信状況に応じて通信の可否を判定することができる。すなわち、ＳＰＩ処理を行うことができる。

また、例示的な第１の実施形態によれば、制御装置１には、ノード３から転送されるパケットインの他に、監視装置２から通信状況の更新のみが送られる。このため、全通信のパケットを制御装置１に転送して監視する構成と比べて、制御装置１へのデータ転送量及び制御装置１でのパケット解析量が削減される。

なお、図１では、代表的な構成の一例として、１つのノード３を示しているが、端末４Ａ、４Ｂ間に、以下の例示的な実施形態で説明するように、複数のノード３を備えた構成としてもよいことは勿論である。

なお、図２、図３に示した制御装置１、監視装置２の各手段の制御、処理は、制御装置１、監視装置２を構成するコンピュータで実行されるプログラムにより実現するようにしてもよい。この場合、該プログラムはメモリ、磁気／光ディスク等のストレッジ媒体、又は装置に記憶保持され、該コンピュータで読み出され実行される。以下の実施形態においても同様とされる。

＜第２の実施形態＞
例示的な第２の実施形態では、通信状況を監視装置２側で保持する。制御装置１は、監視装置２への通信状況の問合せとノード３の制御を行う。例示的な第２の実施形態のシステムの構成について、図１、図５、図６を用いて説明する。例示的な第２の実施形態のシステムの全体の構成は、図１に示す構成とされ、前記例示的な第１の実施形態と同様である。

（制御装置）
図５は、例示的な第２の実施形態の制御装置１の構成を例示する図である。図５を参照すると、制御装置１は、通信可否判定手段１０１と、転送ルール設定手段１０２と、ファイアーウォール・ルール１０４と、通信状況収集手段１０５を含む。本実施形態では、制御装置１において、図２の通信状況保持手段１０３を備えていない。

（監視装置）
図６は、第２の実施形態による監視装置２の構成を例示する図である。図６を参照すると、監視装置２は、パケット解析手段２０１と、通信状況保持手段２０２と、通信状況応答手段２０３を含む。監視装置２は、通信状況の監視と、制御装置１からの問い合わせに応答する。監視装置２は、ノード３の監視部（監視モジュール）としてノード３内に配置するようにしてもよい。

（システムの動作）
本実施形態は、図４において、通信可否判定ステップ（図４のＳ６）と、通信状況更新ステップ（図４のＳ１０）が、前記例示的な第１の実施形態と相違している。図４の他のステップは、前記例示的な第１の実施形態と同様である。

本実施形態において、通信可否判定ステップ（図４のＳ６）では、制御装置１の通信可否判定手段１０１が、パケットの属するフローの通信を許可するかを判定する。このとき、通信可否判定手段１０１は、まず、前記パケットを解析し、フロー情報、及び通信状況に関する情報を得る。

続いて、通信可否判定手段１０１は、設定されたファイアーウォール・ルール１０４と、制御装置１の通信状況保持手段１０３に保持された通信状況から、当該フローに関連する通信状況を参照し、通信の可否を決定する。

前記フローに関連する通信状況は、制御装置１の通信状況収集手段１０５によって、通信状況を監視装置２に問い合わせる。監視装置２では、制御装置１からの前記問合せを受けて、通信状況応答手段２０３が通信状況保持手段２０２から関連する通信状況を得て制御装置１へ返す。

通信状況の更新は、監視装置２の通信状況保持手段２０２に対して行われる。

ノード３において、受信パケットのヘッダとマッチするフローエントリが無かった受信パケットについては、監視装置２から通信状況の更新情報を制御装置１へ転送する。ただし、ノード３から直接、監視装置２にパケットを転送し、フローエントリがあった場合と同じようにパケット解析し、通信状況を更新するようにしてもよい。

端末４Ａ、４Ｂ間の双方向通信の状況は前記パケットと逆向きのパケットに関する通信状況を参照し、通信状況を更新・保持する。

（作用効果）
例示的な第２の実施形態によれば、通信状況は、監視装置２で更新され、通信可否判定時にのみ、監視装置２から制御装置１に送られる。例示的な第２の実施形態によれば、前記例示的な第１の実施形態と同様の効果に加えて、監視装置２から制御装置１への送信頻度と、送信データ量を削減することができる。

＜第３の実施形態＞
例示的な第３の実施形態では、通信状況を制御装置１と監視装置２で両方で保持するようにしたものである。本実施形態のシステムの構成は、前記第１、２の実施形態の説明で参照した図１と基本的に同一である。監視装置２の構成は、図６に示した構成と基本的に同一である。監視装置２は、通信状況保持手段２０２を備えている。

（制御装置）
図７は、制御装置１の構成を示す図である。図７を参照すると、制御装置１は、通信可否判定手段１０１と、転送ルール設定手段１０２と、通信状況保持手段１０３と、ファイアーウォール・ルール１０４と、通信状況収集手段１０５を含む。

通信状況保持手段１０３、２０２は、制御装置１と監視装置２にそれぞれ配設される。

制御装置１の通信状況保持手段１０３は、ファーストパケットとして、制御装置１へ転送されたパケットから抽出した通信状況を保持する。

（システムの動作）
本実施形態では、前記例示的な第１、第２の実施形態とは、通信可否判定ステップ（図４のＳ６）、通信状況更新（図４のＳ１３）のステップが相違している。図４の他のステップは前記例示的な第１、第２の実施形態と同様とされる。

通信状況の更新は、制御装置１の通信状況保持手段１０３あるいは監視装置２の通信状況保持手段２０２で行われる。

ノード３において受信パケットのヘッダ情報にマッチするルールのエントリが存在しない場合（例えばファーストパケットの場合）、ノード３から制御装置１にパケットが転送され、制御装置１にて通信可否の判定をした後に、抽出した通信状況の情報を制御装置１の通信状況保持手段１０３に渡す。

ノード３のフローテーブルに、受信パケットとマッチしたルール（転送ルール）がある場合、ノード３から、監視装置２に該受信パケットが転送され、監視装置２のパケット解析手段２０１で該受信パケットを解析した後に、抽出した通信状況の情報を通信状況保持手段２０２に渡す。

制御装置１の通信可否判定手段１０１において、前記パケットが転送されるフローに関連する通信状況は、制御装置１の通信状況収集手段１０５に問い合わせる。

制御装置１の通信状況収集手段１０５は、制御装置１及び監視装置２の通信状況保持手段１０３、２０２から、前記パケット（フロー）に関連する通信状況を取得する。このとき、通信状況保持手段１０３、２０２とで異なる値が保持されている場合がある。この場合、通信状況収集手段１０５は、制御装置１の通信状況保持手段１０３と監視装置２の通信状況保持手段２０２から取得した通信状況に基づき、該当するパケット（フロー）に関する通信状況を新たに生成し、生成した通信状況を通信可否判定手段１０１に返す。通信可否判定手段１０１では、通信状況収集手段１０５で生成された通信状況と、設定されたファイアーウォール・ルール１０４に基づき、受信パケットの通過の可否を判定する。

例えば、端末４Ａ、４Ｂ間の双方向通信における正方向（送信元端末から送信先端末）と逆方向（前記送信先端末から前記送信先端末）の経路が異なっている場合等（例えば、フローの集約（アグリゲーション）等により経路が変更された場合等）において、逆方向の通信状況が、別の装置の通信状況保持手段に保持され、通信状況をそのまま参照・更新することができない場合がある。端末４Ａ、４Ｂ間の双方向通信における正方向の経路の通信状況を制御装置１の通信状況保持手段１０３で保持し、逆方向の経路の通信状況を監視装置２の通信状況保持手段２０２にて保持している場合等、例えば正方向／逆方向の経路の通信の可否判定に、逆方向／正方向の経路の通信状況を参照することはできない。あるいは、正方向／逆方向の経路の通信状況を逆方向／正方向の経路の通信状況で更新することはできない。このような場合、監視装置２の通信状況保持手段２０２では、通信状況は、保持せず、他の情報、例えば、パケット情報（ヘッダ情報、あるいはペイロード内のＩＰアドレス又はポート情報）、及び時刻(パケット受信時刻)を保持するようにしてもよい。制御装置１の通信状況収集手段１０５は、制御装置１の通信状況保持手段１０３の情報と、監視装置２の通信状況保持手段２０２からの情報（パケット情報、受信時刻）に基づき、該当するフローの通信状況を生成する。

（作用効果）
例示的な第３の実施形態によれば、通信状況の更新処理が、パケットの解析を行う制御装置１、監視装置２内で閉じている。例示的な第３の実施形態によれば、前記例示的な第１、２の実施形態と比べて、通信状況更新における制御装置１と監視装置２間の通信を削減することができる。

＜第４の実施形態＞
例示的な第４の実施形態では、制御装置１が、監視装置２に対して、監視対象とする通信（パケット）を指示する。制御装置１にて、ファイアーウォール・ルール及び通信の種類からフロー毎に監視が必要か否かを判定し、ノードに対し、このフローを監視装置へ転送するルールを設定する。

特に制限されないが、監視が必要となる条件としては、例えば
・状態（ステート）を指定したファイアーウォール・ルール１０４があること、
・ＴＣＰ等伝送制御される通信であること、
・ＦＴＰ制御等他の通信を制御する通信であること、
が挙げられる。

さらに、ノード３を、前述したオープンフローのヘッダ情報に加え、ＴＣＰフラグ等をノード３のフローテーブルに指定できるように拡張し、監視対象のパケットを絞るようにしてもよい。特に制限されないが、この動作は、例えばフローのフローセットアップ時に行うようにしてもよい。あるいは、ファイアーウォール・ルール変更時も挙げられる。

（作用効果）
本実施形態によれば、監視装置２は制御装置１から指示された通信のみを監視対象とする。このため、前記例示的な第１乃至第の３の実施形態と同様の効果に加えて、不要な通信の解析処理を削減することができる、という効果を奏する。

＜第５の実施形態＞
例示的な第５の実施形態は複数ノードと、一つの監視装置で構成される。図８は、第５の実施形態のシステムの全体構成を例示する図である。図８によれば、システムは、制御装置１、監視装置２、ノード３Ａ、３Ｂ、及び端末４Ａ、４Ｂを備えている。なお、監視装置２は１つであり、ノード３及び端末４は複数ある（２個に限定されない）。ノード３が複数ある場合、全てのノード３は他の１つあるいは複数のノードに接続されており、ユーザパケットの転送ネットワークを形成する。説明の上で各ノード及び各端末を区別する必要がない場合には、ノード３Ａ及びノード３Ｂをノード、端末４Ａ、端末４Ｂを端末という。

ノード３Ａとノード３Ｂの間と、ノード３Ａと端末４Ａ、ノード３Ｂと端末４Ｂとの間はネットワークで接続され、ユーザパケットの転送ネットワークを形成する。

端末４Ａはノード３Ａに、端末４Ｂはノード３Ｂにそれぞれ接続され、端末４Ａと端末４Ｂの間の経路は、ノード３Ａ及びノード３Ｂを通過する経路である。ファーストパケットを除くユーザパケットはこの経路を辿って転送される。ノード３Ａ、３Ｂは、それぞれ制御装置１及び監視装置２に接続され、前述した制御用ネットワークを形成する。なお、複数ノード３の一部のノードが、監視装置２に接続される構成としてもよい。例えば、ノード３間を中継するノードについては監視装置２に接続しない構成としてもよい。

ノード３から監視装置２へのパケット転送は、経路上のいずれかのノードから行えばよい。

したがって、ノード３から監視装置２へのパケット転送方法は、例えば以下の方法がある。例えば、端末４Ａ又は４Ｂと接続されているノード３Ａ又は３Ｂ（エッジノード）において端末４Ａ又は４Ｂから受信したパケットを制御装置１に転送する。

若しくは、予め特定のノードを転送ノードとして決めておき、フローの経路上に、この転送ノードが無い場合、フロー経路上のノードからこの転送ノードまでのパケット転送ルールを設定する構成としてもよい。対象のパケットは各々のノードの転送ルールに従い、通信先の端末、及び監視装置に転送される。

本実施形態においては、複数のノードが存在する構成において、監視装置２若しくは制御装置１の通信状況保持手段２０２、１０３を用いる。さらに、制御装置１は、前記例示的な第１〜第４の実施形態と同様にして、通信状況保持手段１０３を参照して、通信の可否を判定する。

（作用効果）
本実施形態によれば、複数のノードが存在する構成において、前記例示的な第１乃至第４の実施形態と同様の作用効果を奏する。

＜第６の実施形態＞
例示的な第６の実施形態のシステム構成は、図８を参照して説明した前記例示的な第５の実施形態と同様に、複数ノードと一つの監視装置を備えている。例示的な第６の実施形態では、負荷を分散する構成とされる。

図８において、制御装置１は、フロー毎にどのノード３から監視装置２へパケットを転送するか決定する。より詳細には、本実施形態においては、制御装置１は、フローセットアップ毎に、転送経路上のノード３のフローテーブル若しくはそれに準ずる情報を基に、ノード３の負荷を考慮し、監視装置２へパケットを転送するノード３を決定し、この転送ルールを設定する。

（作用効果）
本実施形態によれば、上記の動作により、前記例示的な第１〜第５の実施形態と同様の効果に加えて、ノードにおける監視装置２へのパケット転送の負荷を分散させることができる。

＜第７の実施形態＞
例示的な第７の実施形態では、複数のノードと複数の監視装置を備えている。図９は、本実施形態のシステム構成を示す図である。

図９を参照すると、本実施形態のシステムは、制御装置１と、複数の監視装置２と複数のノード３Ａ、３Ｂと、複数の端末４Ａ、４Ｂを含む。本実施形態において、制御装置１と各監視装置２は、図６及び図７をそれぞれ参照して説明した前記第３の実施形態の制御装置１及び監視装置２と同様であるため、構成と動作の説明は省略する。

本実施形態によれば、前記例示的な第３の実施形態と同様の効果に加えて、複数の監視装置２を備え、監視装置２のパケット解析手段２０１と通信状況保持手段２０２の負荷を複数の監視装置２に分散させる。その結果、監視装置２の処理性能、及び、システム全体の処理性能を向上させることができる。

前記例示的な第３の実施形態から第７の実施形態に関して、第２の実施形態との比較を行いながら説明したが、上述の実施形態を適宜組み合わせて実施することも可能である。

また、上述の実施形態では、オープンフローを適用したネットワークについて説明したが、これに限られるものではない。オープンフロー以外であっても、制御サーバ等がネットワークの集中管理を行うようなネットワークであれば、適用可能である。

また、上記の実施形態による制御装置は、その有する機能をハードウェアで実現することも可能であるし、コンピュータと、コンピュータ上で実行されるプログラムとで実現することも可能である。プログラムは、磁気ディスクや半導体メモリ等の記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。このようにコンピュータの動作を制御し、コンピュータを上述の各実施形態における制御装置として機能させ、前述した処理を行わせる。

さらに、上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。

（付記１）
設定された転送ルールに従いパケット転送を行う少なくとも１つのノードと、
前記パケットの送信元の端末及び送信先の端末と、
前記ノードにネットワークを介して接続され前記ノードの制御を行う制御装置と、
前記端末間の前記ノードに転送されるパケットを監視する少なくとも１つの監視装置と、
を備え、
前記制御装置は、前記ノードから転送されたパケットに対して、前記監視装置がパケットを監視して収集した情報と、予め定められた通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、通信可否の判定を行う通信可否判定手段と、
前記通信可否判定手段で通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、転送ルールとして設定する転送ルール設定手段と、
を備えたことする通信システム。

（付記２）
前記制御装置及び／又は前記監視装置は、通信状況を保持する通信状況保持手段を備えている、ことを特徴とする付記１に記載の通信システム。

（付記３）
前記監視装置が、前記ノードから転送されたパケットの情報を抽出し通信状況を取得するパケット解析手段と、
前記通信状況を保持する通信状況保持手段と、
を備え、
前記制御装置は、
前記監視装置が前記パケットを関して取得した通信状況を保持する通信状況保持手段、及び／又は、
前記監視装置に対して通信状況の問い合わせを行う通信状況収集手段を備え、
前記監視装置は、前記通信状況を前記制御装置に送信する、ことを特徴とする付記１又は２に記載の通信システム。

（付記４）
前記制御装置及び前記監視装置は、通信状況を保持する通信状況保持手段をそれぞれ備え、
前記通信状況収集手段は、前記制御装置及び前記監視装置の前記通信状況保持手段からの通信状況に基づき、該当するフローに関する通信状況を生成する、ことを特徴とする付記３に記載の通信システム。

（付記５）
前記監視装置は、前記ノードからのパケットに対して通信状況を取得するかわりに、前記パケットの情報と受信時刻を保持することを特徴とする付記４に記載の通信システム。

（付記６）
前記制御装置が、監視対象となる通信を、前記監視装置に指示する、ことを特徴とする付記１乃至３のいずれか一に記載の通信システム。

（付記７）
複数のノードを備え、前記複数のノードのうち、予め定められたノードが、前記監視装置へパケットを送信する、ことを特徴とする付記１乃至３のいずれか一に記載の通信システム。

（付記８）
前記制御装置が、前記複数のノードのうち、前記監視装置へパケットを送信するノードを決定する、ことを特徴とする付記１乃至７のいずれか一に記載の通信システム。

（付記９）
前記監視装置を複数備えたことを特徴とする付記１乃至８のいずれか一に記載の通信システム。

（付記１０）
少なくとも一つの監視装置で、パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視して収集した情報と、通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、
前記ノードから転送されたパケットに対して、前記パケットの通信可否判の判定を行う通信可否判定手段と、
前記通信可否判定手段で通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、転送ルールとして設定する転送ルール設定手段と、
を備えた、ことを特徴とする制御装置。

（付記１１）
前記監視装置で取得された通信状況を保持する通信状況保持手段を備えている、ことを特徴とする付記１０に記載の制御装置。

（付記１２）
前記監視装置が前記パケットを関して取得した通信状況を保持する通信状況保持手段、及び／又は、
前記監視装置に対して通信状況の問い合わせを行う通信状況収集手段を、
備えたことを特徴とする付記１０又は１１に記載の制御装置。

（付記１３）
監視対象となる通信を、前記監視装置に指示する、ことを特徴とする付記１０又は１１に記載の制御装置。

（付記１４）
複数のノードのうち、前記監視装置へパケットを送信するノードを決定する、ことを特徴とする付記１０乃至１３のいずれか一に記載の制御装置。

（付記１５）
パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視する監視装置であって、
前記パケットを監視し通信状況を取得するパケット解析手段、又は、
前記パケット解析手段と通信状況を保持する通信状況保持手段、
を備え、
前記監視装置は、前記監視装置で収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記ノードから送信されたパケットに対して通信可否判の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして設定する制御装置に対して、
前記通信状況を、送信する、ことを特徴とする監視装置。

（付記１６）
前記制御装置及び前記監視装置が、前記通信状況を保持する通信状況保持手段を備え、
前記ノードからのパケットに対して通信状況を取得するかわりに、前記パケットの情報と受信時刻を保持する、ことを特徴とする付記１５に記載の監視装置。

（付記１７）
少なくとも１つの監視装置で、設定された転送ルールに従いパケット転送を行うノードであって、前記パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視し、
前記ノードに接続される制御装置は、前記ノードから送信されたパケットを受けると、前記監視装置でパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記パケットの通信可否判の判定を行い、
通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する、ことを特徴とする通信方法。

（付記１８）
前記制御装置及び／又は前記監視装置は、通信状況を保持する、ことを特徴とする付記１７に記載の通信方法。

（付記１９）
前記監視装置が、前記ノードから転送されたパケットの情報を抽出し通信状況を取得して通信状況を保持し、
前記制御装置は、前記監視装置に対して通信状況の問い合わせを行い、
前記監視装置は、前記制御装置からの問い合わせに対して通信状況を、前記制御装置に送信する、ことを特徴とする付記１７又は１８に記載の通信方法。

（付記２０）
前記制御装置及び前記監視装置は通信状況をそれぞれ保持し、
前記制御装置は、前記制御装置及び前記監視装置に保持される前記通信状況に基づき、該当するフローに関する通信状況を生成する、ことを特徴とする付記１７に記載の通信方法。

（付記２１）
前記監視装置では、前記ノードからのパケットに対して通信状況を取得するかわりに、前記パケットの情報と受信時刻を保持することを特徴とする付記２０に記載の通信方法。

（付記２２）
前記制御装置が、監視対象となる通信を、前記監視装置に指示する、ことを特徴とする付記１７又は１８に記載の通信方法。

（付記２３）
複数のノードを備え、前記複数のノードのうち、予め定められたノードが、前記監視装置へパケットを送信する、ことを特徴とする付記１７乃至１９のいずれか一に記載の通信方法。

（付記２４）
前記制御装置が、前記複数のノードのうち、前記監視装置へパケットを送信するノードを決定する、ことを特徴とする付記１７乃至２３のいずれか一に記載の通信方法。

（付記２５）
設定された転送ルールに従いパケット転送を行う少なくとも一つのノードに接続される制御装置を構成するコンピュータに、
少なくとも一つの監視装置で、前記パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視して収集した情報と、通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、
前記ノードから送信されたパケットの通信可否判の判定を行う処理と、
通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、転送ルールとして設定する処理と、
を実行させるプログラム。

（付記２６）
前記制御装置が、監視対象となる通信を前記監視装置に指示する処理を前記コンピュータに実行させる付記２５記載のプログラム。

（付記２７）
転送ルールを含むルールを記憶するフローテーブルを備え、ノード装置は前記転送ルールに従いパケット転送を行い、
受信パケットを前記フローテーブルのルールと照合し、マッチしない場合、制御装置に前記受信パケットを転送し、前記制御装置は、前記ノードから転送された前記受信パケットに対して、監視装置がパケットを監視して収集した情報と、予め定められた通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、通信可否の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして送信し、
前記制御装置から前記転送ルールを受信して前記フローテーブルに設定し、
前記受信パケット以降に受信したパケットのうち前記フローテーブルの前記転送ルールにマッチするパケットを前記送信先の端末と前記監視装置に転送する通信処理部を備えた、ことを特徴とするノード装置。

（付記２８）
前記監視装置を備えたことを特徴とする付記２７記載のノード装置。

（付記２９）
付記１乃至９の通信システムの前記ノードに接続される端末。

なお、上記の特許文献、非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各付記の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

１、１Ａ、１Ｂ、制御装置
２、２Ａ、２Ｂ、監視装置
３、３Ａ、３Ｂ ノード
４、４Ａ、４Ｂ 端末
１０１ 通信可否判定手段
１０２ 転送ルール設定手段
１０３ 通信状況保持手段
１０４ ファイアーウォール・ルール
１０５ 通信状況収集手段
２０１ パケット解析手段
２０２ 通信状況保持手段
２０３ 通信状況応答手段
３０１ 通信処理部
３０２ フローテーブル

Claims (10)

1. 設定された転送ルールに従いパケット転送を行う少なくとも１つのノードと、
   前記パケットの送信元の端末及び送信先の端末と、
   前記ノードにネットワークを介して接続され前記ノードの制御を行う制御装置と、
   前記ノードと前記制御装置にネットワークを介して接続され、前記端末間の前記ノードに転送されるパケットを監視する少なくとも１つの監視装置と、
   を備え、
   前記制御装置は、前記監視装置が前記パケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記ノードから転送されたパケットに対して通信可否の判定を行う通信可否判定手段と、
   前記通信可否判定手段での通信許可の判定に応じて、前記パケットの送信元の端末から送信先の端末へのパケットの転送経路、及び、前記送信元の端末から前記監視装置へのパケットの転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する転送ルール設定手段と、
   を備えた、ことを特徴とする通信システム。
2. 前記制御装置及び前記監視装置の少なくとも一方は、前記監視装置が前記パケットを監視して取得した通信状況を保持する通信状況保持手段を備えている、ことを特徴とする請求項１に記載の通信システム。
3. 前記監視装置が、前記ノードから転送されたパケットの情報を抽出し通信状況を取得するパケット解析手段と、
   前記パケット解析手段で取得した通信状況を保持する通信状況保持手段と、
   を備え、
   前記制御装置は、
   前記監視装置が前記パケットを監視して取得した通信状況を保持する通信状況保持手段、及び／又は、
   前記監視装置に対して通信状況の問い合わせを行う通信状況収集手段を備え、
   前記監視装置は、前記通信状況を前記制御装置に送信する、ことを特徴とする請求項１記載の通信システム。
4. 前記制御装置が、監視対象となる通信を前記監視装置に指示する、ことを特徴とする請求項１または２に記載の通信システム。
5. 複数の前記ノードを備え、複数の前記ノードのうち予め定められた少なくとも１つのノードが前記監視装置へパケットを送信する、ことを特徴とする請求項１乃至３のいずれか１項に記載の通信システム。
6. 少なくとも一つの監視装置で、設定された転送ルールに従いパケット転送を行うノードであって、パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、
   前記ノードから転送されたパケットに対して、前記パケットの通信可否判の判定を行う通信可否判定手段と、
   前記通信可否判定手段で通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する転送ルール設定手段と、
   を備えた、ことを特徴とする制御装置。
7. パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視する監視装置であって、
   前記パケットを監視し通信状況を取得するパケット解析手段、又は、
   前記パケット解析手段と通信状況を保持する通信状況保持手段、
   を備え、
   前記監視装置は、前記監視装置で収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記ノードから送信されたパケットに対して通信可否判の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして設定する制御装置に対して、
   前記通信状況を、送信する、ことを特徴とする監視装置。
8. 転送ルールを含むルールを記憶するフローテーブルを備え、ノード装置は、前記転送ルールに従いパケット転送を行い、
   受信パケットを前記フローテーブルのルールと照合し、マッチしない場合、制御装置に前記受信パケットを転送し、前記制御装置は、前記ノードから転送された前記受信パケットに対して、監視装置がパケットを監視して収集した情報と、予め定められた通信状況をフィルタリング条件として指定したファイアーウォール・ルールとに従って、通信可否の判定を行い、通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して転送ルールとして送信し、
   前記制御装置から前記転送ルールを受信して前記フローテーブルに設定し、
   前記受信パケット以降に受信したパケットのうち前記フローテーブルの前記転送ルールにマッチするパケットを前記送信先の端末と前記監視装置に転送する通信処理部を備えた、ことを特徴とするノード装置。
9. 少なくとも１つの監視装置で、設定された転送ルールに従いパケット転送を行うノードであって、前記パケットの送信元の端末及び送信先の端末間の少なくとも１つのノードに転送されるパケットを監視し、
   前記ノードに接続される制御装置は、前記ノードから送信されたパケットを受けると、前記監視装置でパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、前記パケットの通信可否判の判定を行い、
   通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する、ことを特徴とする通信方法。
10. 設定された転送ルールに従いパケット転送を行う少なくとも一つのノードに接続される制御装置を構成するコンピュータに、
    少なくとも一つの監視装置で、前記パケットの送信元の端末及び送信先の端末間の少なくとも一つのノードに転送されるパケットを監視して収集した情報と、予め定められたフィルタリング条件が設定されたファイアーウォール・ルールとに従って、
    前記ノードから送信されたパケットの通信可否判の判定を行う処理と、
    通信許可する場合に、前記パケットの送信元の端末から送信先の端末へのパケット転送経路、及び、前記送信元の端末から前記監視装置への転送経路を、それぞれの前記転送経路上の前記ノードに対して、前記転送ルールとして設定する処理と、
    を実行させるプログラム。

Images