JP2017163437A - 通信装置および通信方法 - Google Patents

Abstract

【課題】エッジルータが受信したユーザからのパケットを、コアネットワークに接続されたＤＰＩ装置に転送するための技術を提供する。
【解決手段】トンネリングプロトコルを使用する２台のネットワーク装置のうち、ユーザを収容するネットワーク装置において、トンネリングプロトコルのヘッダ内識別子を、ネットワーク運用管理者による設定により一意に決定し、決定した識別子にてパケットをカプセル化して送信する機能を備え、ＤＰＩ装置と接続する他方のネットワーク装置において、デカプセル処理を実施し、トンネリングプロトコルヘッダ内の識別子から出力先インタフェースに対応する識別子に変換し、変換結果を内部制御タグとしてデカプセル化したパケットに付与し、パケット転送処理を実施するハードウェアに転送する機能を備える。
【選択図】 図１

Description

本発明は、ネットワークに接続されパケットを転送する通信装置および通信方法に関する。

ネットワークトラフィックの多様化により、ネットワーク上を流れるパケットをパケットのペイロード情報も含めて詳細に検査するニーズが高まっており、ＤＰＩ（Deep Packet Inspection）装置の導入が進められている。ＤＰＩ装置は、ユーザが送信したオリジナル形式のパケットを検査することを目的とした専用の装置であり、ＤＰＩ装置にパケットを送信するためのネットワーク装置をＤＰＩ装置に接続し、ネットワーク装置において、ポートミラーリング機能を動作させ、ＤＰＩ装置にミラーリングしたパケットを転送して検査を実施する手法が一般的である。

一方、ネットワーク上の各回線に設置すると高コストとなるアプリケーション識別装置を、大規模ネットワーク上で共有し、アプリケーション単位の制御を共有のアプリケーション識別装置へ転送するためのネットワーク構成が特許文献１に記載されている。特許文献１は、複数のパケットヘッダ識別制御部がステアリングポリシに合致するフローを抽出してアプリケーション識別接続インタフェースから転送したパケットを、アプリケーション識別装置に送信するパケットの中継を専用に行う中継装置を介してアプリケーション識別装置に送信する構成としたことで、アプリケーション識別装置の共用化を実現している。

特開2015-162693号公報

特許文献１に記載された発明には、大規模ネットワーク上でアプリケーション識別装置を共有するネットワーク構成の一例が示されている。

一方、本発明は、ユーザを収容するアクセスネットワークとコアネットワークを有し、アクセスネットワークとコアネットワークはコアネットワークのエッジ部分に設けられたエッジルータを介して接続されるネットワーク構成において、エッジルータが受信したユーザからのパケットを、コアネットワークに接続されたＤＰＩ装置に転送するための技術を提供することを目的とする。

上記課題を解決するために、本発明においては、一例としてネットワークとパケットの送受信およびパケットに対する処理を行い、経路テーブルに基づいて転送処理を行う通信装置において、予めトンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報が入力されると、前記パケットに対する処理を行う際に参照する情報記憶部および経路テーブルに前記トンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を設定しておき、受信したパケットをデカプセルしたパケットが有するトンネリングプロトコルの識別子が特定の識別子の場合には、パケットのヘッダ部分に内部制御用のタグを付与し、内部制御用のタグから経路テーブルに設定されたトンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を読み出して、設定された出力インタフェースへ内部制御用のタグを削除した前記パケットを転送するようにしたものである。

本発明によれば、ユーザを収容するアクセスネットワークとコアネットワークから構成され、アクセスネットワークとコアネットワークはコアネットワークのエッジ部分に設けられたエッジルータを介して接続されるネットワーク構成において、エッジルータが受信したユーザからのパケットを、コアネットワークに接続されたＤＰＩ装置に転送するための技術を提供することができる。
上記以外の課題、及び構成は、以下の実施形態の説明により明らかにされる。

本発明の一実施例におけるネットワークの構成例を示す図である。 本発明の一実施例におけるエッジルータおよびゲートウェイルータの構成を示す図である。 本発明の一実施例におけるゲートウェイルータとＤＰＩ装置におけるインタフェースを示す図である。 エッジルータにおけるＤＰＩ検査対象パケットを検出するためのアクセスリストの例を示す図である。 エッジルータにおけるＤＰＩ検査対象パケットフローに対する出力ポリシー例を示す図である。 運用管理者によるゲートウェイルータからＤＰＩ装置への出力先インタフェースを設定するための設定情報の入力イメージである。 ゲートウェイルータにおける変換情報記憶部のフォーマットの例を示す図である。 ゲートウェイルータが受信する、カプセル化されたパケットのフォーマット例を示す図である。 ゲートウェイルータのパケット操作部でデカプセル化されたパケットのフォーマット例を示す図である。 ゲートウェイルータゲートウェイルータがデカプセル化後に送信するパケットのフォーマット例を示す図である。 エッジルータにおける、コアネットワークの出力先ＶＲＦの設定例を示す図である。 エッジルータにおける変換情報記憶部のフォーマット例を示す図である。 エッジルータで受信する、カプセル化されたパケットのフォーマット例を示す図である。 エッジルータのパケット操作部でデカプセル化されたパケットのフォーマット例を示す図である。 エッジルータにおける、アクセスリストの例を示す図である。 エッジルータにおける、出力ポリシーの例を示す図である。 ゲートウェイルータにおける、ＤＰＩ装置への出力先インタフェース設定例を示す図である。 ゲートウェイルータにおける、変換情報記憶部のフォーマット例を示す図である。 エッジルータにおける、アクセスネットワークへの出力先ＶＲＦの設定例を示す図である。 エッジルータにおける、変換情報記憶部のフォーマット例を示す図である。 第２の実施例の本発明の一実施例におけるネットワーク構成を示す図である。

以下、図を用いて本発明を実施する形態の例を説明する。ただし、本発明は本実施形態に限定されるものではない。また、実質的に同一な箇所には同じ符号を付与し、説明を繰り返さないこととする。

本発明の第１の実施例について、図を用いて以下に説明する。

図１は、本発明の一実施例におけるネットワークの構成例を示す図である。
本実施例のネットワークは、コアネットワークＮ２００とユーザを収容するアクセスネットワークＮ１００、Ｎ３００がコアネットワークのエッジ位置に設置されたエッジルータＡ１０１、エッジルータＢ１０２を介して接続されている。また、ＤＰＩ装置１０は、ゲートウェイルータ１０３に直接接続され、ゲートウェイルータ１０３を介してコアネットワークＮ２００に接続されている。

本実施例は、図１に示すようなネットワーク構成において、エッジルータが受信したユーザからのパケット、またはユーザへ送信するパケットを、コアネットワークに接続されたＤＰＩ装置に転送し、ＤＰＩ装置において検査済のパケットをコアネットワークを介してユーザが送信したパケットの宛先、またはユーザ宛に送信できるようにするものである。

ここで、図１に示すゲートウェイルータ１０３において、エッジルータＡ１０１から上りトンネルＴ２０、および、下りトンネルＴ３０を経由して送信されたパケットをデカプセル化した際に得られるパケットは、アクセスネットワークＮ１００に属するユーザが送信したオリジナル形式のパケット、あるいは、コアネットワークＮ２００を経由してエッジルータＡ１０１宛に送信されたパケットであり、これらのパケットには、アクセスネットワークＮ１００に属するユーザに応じたＶＬＡＮ（Virtual Local Area Network）タグ、あるいは、コアネットワークＮ２００内にて付与されたＶＬＡＮタグが付与されていることが想定される。加えて、ＤＰＩ装置１０は、その特性上、ユーザが送信したオリジナルのパケットを受信する必要があり、また、ユーザが送信したパケットの宛先に対して、オリジナルのパケットを送信する必要がある。

即ち、上り回線Ｌ２０、および、下り回線Ｌ３０が接続されたゲートウェイルータ１０３のインタフェースは、アクセスポートインタフェース以外のインタフェースを指定できないことを意味する。このため、アクセスネットワークＮ１００において、複数のＶＬＡＮを使用してユーザを収容する環境においては、宛先ＭＡＣアドレスフィールド、および、ＶＬＡＮタグを参照して、受信パケットと同一ＶＬＡＮを出力先と判定してパケット転送処理を行う既存のレイヤ２パケット転送方式を用いた場合、ゲートウェイルータ１０３は、受信したパケットに対して、ＶＬＡＮタグの追加、および、付け替え処理を伴わずにＤＰＩ装置１０に対してパケットを送信することができないため、ユーザが送信した形式、即ち、オリジナルパケットをＤＰＩ装置１０に転送できない課題（課題（１））がある。

また、同様に図１に示すエッジルータＡ１０１において、アクセスネットワークＮ１００、および、コアネットワークＮ２００からパケットを受信する際に、ＶＲＦ（Virtual Routing and Forwarding）を使用するインタフェースでパケットを受信していた場合、エッジルータＡ１０１は、ゲートウェイルータ１０３から上りトンネルＴ２０、および、下りトンネルＴ３０を経由して送信されたパケットを、エッジルータＡ１０１がゲートウェイルータ１０３とトンネル接続しているインタフェースで受信する。しかし、エッジルータＡ１０１は、受信したパケットに対してデカプセル処理を実施してルーティング処理を実施する際に、アクセスネットワークＮ１００、および、コアネットワークＮ２００から受信したインタフェースと異なるインタフェース、即ち、上りトンネルＴ２０、および、下りトンネルＴ３０のインタフェースでパケットを受信しているため、アクセスネットワークＮ１００、および、コアネットワークＮ２００からパケットを受信したときの受信ＶＲＦの情報が欠損する。このため、エッジルータＡ１０１において、ＤＰＩ検査対象パケットに対してＶＲＦを用いたルーティング処理が実施できない課題（課題（２））がある。

以下、上記課題（１）（２）を解決し、図１に示すようなネットワーク構成において、エッジルータが受信したユーザからのパケット、またはユーザへ送信するパケットを、コアネットワークに接続されたＤＰＩ装置に転送し、ＤＰＩ装置において検査済のパケットをコアネットワークを介してユーザが送信したパケットの宛先、またはユーザ宛に送信する本実施例の構成、動作について説明する。

エッジルータＡ１０１はユーザ１、および、ユーザ４をアクセスネットワークＮ１００に収容し、エッジルータＢ１０２はユーザ２、および、ユーザ３をアクセスネットワークＮ３００に収容するものとする。
ゲートウェイルータ１０３は、上り回線Ｌ２０、および、下り回線Ｌ３０によりＤＰＩ装置１０と直接接続する。ＤＰＩ装置１０は、ユーザが送信したオリジナル形式のパケットを検査することを目的とした専用の装置である。そのため、コアネットワークＮ２００からエッジルータＡ１０１に収容するユーザ宛に送信されるパケット、および、エッジルータＡ１０１に収容するユーザが送信するパケットを、ゲートウェイルータ１０３を介してＤＰＩ装置と送受信するときには、ゲートウェイルータ１０３の上り回線Ｌ２０、および、下り回線Ｌ３０を接続するインタフェースは、ＶＬＡＮタグの追加、または付け替えを行わないインタフェースとする必要がある。

上り回線Ｌ２０は、アクセスネットワークＮ１００からコアネットワークＮ２００の方向へ転送されるパケットをＤＰＩ装置１０が受信、または、コアネットワークＮ２００からアクセスネットワークＮ１００の方向へ転送されるパケットをＤＰＩ装置１０が送信する回線を示すものであり、下り回線Ｌ３０は、コアネットワークＮ２００からアクセスネットワークＮ１００の方向へ転送されるパケットをＤＰＩ装置１０が受信、または、アクセスネットワークＮ１００からコアネットワークＮ２００の方向へ転送されるパケットをＤＰＩ装置１０が送信する回線を示すものである。
また、ゲートウェイルータ１０３は、エッジルータＡ１０１とトンネリングプロトコルを使用して上りトンネルＴ２０、および、下りトンネルＴ３０により接続する。本実施例では、接続に用いるトンネリングプロトコルは、便宜上ＶＸＬＡＮ（Virtual eXtensible Local Area Network）プロトコルを使用するものとして説明するが、あくまで一例であり、使用するトンネリングプロトコルに制限は無く、他のトンネリングプロトコルを使用してもよい。また、使用するＶＸＬＡＮプロトコルの詳細動作は割愛する。
加えて、上りトンネルＴ２０、および、下りトンネルＴ３０は論理的に多重化可能で、１回線内に複数のトンネルを同時に収容する構成としてもよい。なお、上りトンネルＴ２０は、アクセスネットワークＮ１００からコアネットワークＮ２００の方向へ送信されるパケットを通過させるトンネルを示すものであり、下りトンネルＴ３０は、コアネットワークＮ２００からアクセスネットワークＮ１００の方向へ送信されるパケットを通過させるトンネルを示すものである。

図１において、アクセスネットワークＮ１００に収容されるユーザ１からアクセスネットワークＮ３００に収容されるユーザ２にパケットを送信した際のパケットフローをＦ１２で示し、アクセスネットワークＮ３００に収容されるユーザ３からアクセスネットワークＮ１００に収容されるユーザ４にパケットを送信した際のパケットフローをＦ３４で示している。
ＤＰＩ装置１０が検査対象とするパケットは、パケットフローＦ１２のうち、エッジルータＡ１０１がアクセスネットワークＮ１００から受信したパケット、および、パケットフローＦ３４のうち、エッジルータ１０１がユーザ４へ送信するパケットである。

図２は、本発明の一実施例におけるエッジルータおよびゲートウェイルータの構成を示す図である。
図２には、エッジルータＡ１０１、エッジルータＢ１０２、および、ゲートウェイルータ１０３の内部構造を示し、特に記載が無い場合、エッジルータＡ１０１、エッジルータＢ１０２、およびゲートウェイルータ１０３を総称して、エッジルータ／ゲートウェイルータ１００と記載する。
エッジルータ／ゲートウェイルータ１００は、ネットワーク運用管理者による装置設定の変更や運用情報等を取得するためのユーザインタフェース（図示せず）、および、各種ネットワークプロトコル処理を行う機能を備える装置制御部１１０を有し、装置制御部１１０とバス接続されるパケット転送ハードウェア１２０を有し、パケット転送ハードウェア１２０とバス接続されるネットワークインタフェース部Ａ１３０、および、ネットワークインタフェース部Ｂ１４０を有する。

ネットワークインタフェース部Ａ１３０およびネットワークインタフェース部Ｂ１４０には、エッジルータＡ１０１においては、ユーザ１を収容する回線、および、上りトンネルＴ２０と下りトンネルＴ３０に使用する回線を収容し、ゲートウェイルータ１０３においては、上りトンネルＴ２０と下りトンネルＴ３０に使用する回線を収容する。
また、ネットワークインタフェース部Ａ１３０およびネットワークインタフェース部Ｂ１４０は、エッジルータＡ１０１においては、コアネットワークＮ２００に接続される回線、および、ユーザ４を収容する回線を収容しているものとし、ゲートウェイルータ１０３においては、上り回線Ｌ２０、および、
下り回線Ｌ３０を収容しているものとする。

図３は、ゲートウェイルータ、および、ＤＰＩ装置における、回線が接続されるインタフェースの説明図である。
ゲートウェイルータ１０３において、上りトンネルＴ２０はインタフェースＩ２１に接続され、上り回線Ｌ２０はインタフェースＩ２２に接続される。また、下りトンネルＴ３０はインタフェースＩ３１に接続され、下り回線Ｌ３０はインタフェースＩ３２に接続される。ＤＰＩ装置１０において、上り回線Ｌ２０はインタフェースＩ２３に接続され、下り回線Ｌ３０はインタフェースＩ３３に接続される。

図２に戻り、便宜上、本実施例、および、図２の記載においては、装置制御部１１０および装置制御部１１０に接続されるパケット転送ハードウェアの数は１であるが、クロスバスイッチ等を用いることにより、複数のパケット転送ハードウェアを、装置制御部１１０、あるいは、装置制御部１１０を含む複数の装置制御部に接続することも可能である。
また、同様に、パケット転送ハードウェアに接続されるネットワークインタフェース部についても、接続数の制限は無い。

パケット転送ハードウェア１２０は、送受信するパケットの出力先を検索するパケット検索部１２１と、パケット検索部１２１が検索対象とする経路テーブル１２２と、パケット検索部１２１の検索結果により決定された転送先へパケットを転送するパケット転送部１２３を有する。
ネットワークインタフェース部Ａ１３０は、パケットを送受信するインタフェースであるパケット送受信インタフェース部１３１と、ネットワーク運用管理者により設定される情報を記憶する変換情報記憶部１３２と、送受信するパケットを解析するプロセッサであるパケット解析プロセッサ１３３を有する。パケット解析プロセッサ１３３は、プロセッサの代替としてＡＳＩＣ(Application Specific Integration Circuit)、および、ＦＰＧＡ(Field Programmable Gate Array)を使用することも可能である。
パケット解析プロセッサ１３３は、送受信するパケットのヘッダ情報を解析するパケット解析部１３４と、パケット解析部１３４により解析されたパケットのヘッダを、プロトコル、および、ネットワーク運用管理者の設定する情報に従って処理するパケット操作部１３５を有する。

以降、本実施例では、図１のＦ１２で示すフローに焦点を当て、ユーザ１からユーザ２に対して送信されたパケットを図１に示す各装置で受信した際の詳細動作を説明する。
まず、図１のユーザ１から送信されたパケットは、ユーザを収容するエッジルータＡ１０１で受信される。
エッジルータＡ１０１のパケット解析部１３４は、受信したパケットがＤＰＩ検査対象パケット、即ちＤＰＩ装置へ転送すべきパケットであることを識別する。検査対象パケットの識別方法の詳細については本実施例では割愛するが、識別方法の一例としてはアクセスリストによりパケット条件を指定して識別する方法が挙げられる。

図４は、エッジルータにおいてＤＰＩ検査対象パケットの識別に用いるアクセスリストの例を示す図である。
本実施例では図４に示すアクセスリストＡ４００を、ユーザ１からのパケットを受信するインタフェースに適用し、パケット解析部１３４において検査対象パケットを識別するものとしてパケットフローに対する以降の処理を説明する。

図５は、エッジルータにおけるＤＰＩ検査対象パケットに対する出力ポリシーの例を示す図である。
パケット操作部１３５は、アクセスリストＡ４００に合致したパケットに対して、図５に示すネットワーク運用管理者の設定する出力ポリシーＰ５００に従い、ＶＸＬＡＮプロトコルによるカプセル化を実施する。カプセル化処理では、本実施例においては例としてＶＸＬＡＮヘッダ中のＶＮＩ（VXLAN Network Identifier）値を１０に設定してカプセル化を実施する。
パケット解析プロセッサ１３３は、この処理によりカプセル化したパケットを、パケット転送ハードウェア１２０に転送する。
パケット転送ハードウェア１２０は、経路テーブル１２２に従いパケット転送処理を行い、ネットワークインタフェース部Ｂ１４０から上りトンネルＴ２０にパケットを転送する。
上りトンネルＴ２０に出力されたパケットは、コアネットワークＮ２００を経由し、ゲートウェイルータ１０３に到達する。

ここで、図６と図７について説明する。

図６に示すＣ６００は、ゲートウェイルータ１０３のネットワーク運用管理者による、ＤＰＩ装置への出力先インタフェースを設定するための設定情報の入力イメージである。本設定Ｃ６００により、受信パケット中のＶＮＩ値と、上り回線Ｌ２０に対応する出力先インタフェースＩ２２の紐付けを実施する。なお、設定例Ｃ６００は本実施例における一例であり、本形式以外の設定形式であっても、受信パケットのＶＮＩ値と出力先インタフェースが紐付けされる設定形式であればよい。
図６に示す設定が実施されると、ゲートウェイルータ１０３の装置制御部１１０は、内部バスを経由してパケット解析プロセッサ１３３に設定情報を伝達する。

図７は、ゲートウェイルータにおける変換情報記憶部のフォーマットの例を示す図である。
パケット解析プロセッサ１３３は、例えば図７に示すＰ７００のフォーマットで、変換情報記憶部１３２に設定情報を記憶する。Ｐ７００は受信ＶＮＩ値と内部識別子の組み合わせにより構成される。本実施例では、内部識別子はインタフェースＩ２２に対応する値Ｘを使用するものとする。なお、Ｘは、インタフェースＩ２２のみに対応する内部的なＶＬＡＮＩＤである。
ゲートウェイルータ１０３の装置制御部１１０は、Ｃ６００により設定された受信パケット中のＶＮＩ値と、上り回線Ｌ２０に対応する出力先インタフェースＩ２２の対応を示す設定情報を、パケット転送ハードウェア１２０の経路テーブル１２２にも伝達し、経路テーブル１２０にも図６に示す設定を実施する。

ここで、パケットフローＦ１２の説明に戻る。
図８は、ゲートウェイルータが受信するカプセル化されたパケットのフォーマットを示す図である。
上りトンネルＴ２０を経由してゲートウェイルータ１０３に到達したパケットは、パケット送受信インタフェース部１３１にて、図８に示すフォーマットで受信する。パケット解析部１３４は、パケット解析の結果、ＶＸＬＡＮフォーマットのパケットを受信したことにより、受信したパケットがデカプセル化対象であることを識別する。

受信したパケットがデカプセル化対象であることを識別したパケット解析プロセッサ１３３は、パケット操作部１３５にて、受信パケットのデカプセル処理を実施する。このデカプセル処理の際、パケット操作部１３５は変換情報記憶部１３２を参照する。このとき、受信ＶＮＩ値が１０である場合には、受信ＶＮＩ値から出力先インタフェースの内部ＶＬＡＮＩＤであるＸへの変換処理を実施し、さらにＸをＶＬＡＮＩＤとする内部制御タグを生成する。内部制御タグは、ＩＥＥＥ８０２．１Ｑにて規定される形式のＶＬＡＮタグである必要はなく、パケット転送ハードウェア１２０において、入力ＶＬＡＮＩＤがＸであることを認識できる形式であればよい。パケット操作部１３５は、生成した内部制御タグを、デカプセル処理を実施したパケットのＭＡＣアドレスフィールドとＶＬＡＮタグフィールドの間に付与する。

図９は、ゲートウェイルータのパケット操作部でデカプセル化されたパケットのフォーマット例を示す図である。
例えば、パケット操作部１３５が生成した内部制御タグをデカプセル処理を実施したパケットのＭＡＣアドレスフィールドとＶＬＡＮタグフィールドの間に付与することにより、受信したパケットは図９に示すパケット形式となる。

図９に示すパケットは、ネットワークインタフェース部Ａ１３０により、内部バスを経由してパケット転送ハードウェア１２０が備えるパケット検索部１２１に転送される。
パケット検索部１２１は、受信したパケットの宛先ＭＡＣアドレスフィールドを参照し、受信パケットがレイヤ２転送対象のパケットであることを識別する。これは、デカプセルしたパケットは、アクセスネットワークＮ１００にてユーザ１がエッジルータＡ１０１に送信したパケットであるため、宛先ＭＡＣアドレスがエッジルータＡ１０１となっている、即ち、ゲートウェイルータ１０３宛ではないと判断するためである。
パケット検索部１２１は、レイヤ２転送を実施するために、経路テーブル１２２を検索対象として、パケットが入力されたインタフェースのＶＬＡＮＩＤ、および、同ＶＬＡＮＩＤが属する出力先インタフェースの検索を実施する。この処理において、パケットが入力されたインタフェースのＶＬＡＮＩＤは、ネットワークインタフェース部Ａ１３０のパケット操作処理により挿入された１段目のＶＬＡＮタグのＶＬＡＮＩＤであるＸであると認識される。即ち、パケット検索部１２１はＶＬＡＮＩＤ＝Ｘに属するインタフェースの検索を実施する。経路テーブル１２２には、図６で説明したＸはインタフェースＩ２２のみに対応する内部的なＶＬＡＮＩＤであるという設定情報が反映されており、検索結果としてインタフェースＩ２２が返される。この検索結果を元に、パケット検索部１２１はパケット転送部１２３へとパケットを転送する。

パケット転送部１２３は、パケットの出力先インタフェースが上り回線Ｌ２０であることを認識する。この時、インタフェースＩ２２はアクセスポートインタフェースであるため、パケットに付与されている先頭のＶＬＡＮタグ、即ち、内部制御タグを削除した後、内部パスを経由して、上り回線Ｌ２０が収容されているネットワークインタフェース部Ｂ１４０へパケットを転送する。

図１０は、ゲートウェイルータのインタフェースＩ２２から送信されるパケットのフォーマットを示す図である。
ネットワークインタフェース部Ｂ１４０は、上り回線Ｌ２０からパケットを送信する。このときのパケットのフォーマットは、図１０に示すフォーマットとなり、ユーザ１が送信したオリジナルのパケットと同じ形式となる。

以上の手続きにより、ユーザ１から送信されたパケットは、オリジナルの形式を保持したままＤＰＩ装置１０に到達可能となり、課題（１）は解決される。
ＤＰＩ装置１０に到達したパケットは、ＤＰＩ装置１０が持つ機能により検査され、オリジナル形式を保持したまま下り回線Ｌ３０から送信され、ゲートウェイルータ１０３のインタフェースＩ３２にて受信後、再度ＶＸＬＡＮカプセル化される。このとき、ＶＸＬＡＮヘッダ中のＶＮＩ値は、ＤＰＩ装置１０により検査前と同じ１０を使用してカプセル化を実施する。カプセル化されたパケットは、インタフェースＩ２１から再度上りトンネルＴ２０を経由して、エッジルータＡ１０１に向けて送信される。

次に、エッジルータにおいて、ＤＰＩ検査対象パケットに対してＶＲＦを用いたルーティング処理を行うための構成および動作について説明する。
図１１は、ネットワーク運用管理者によるエッジルータにおける、コアネットワーク、またはアクセスネットワークの出力先ＶＲＦを設定するための設定情報の入力イメージである。
図１１に示すＣ６０１は、エッジルータＡ１０１のネットワーク運用管理者による、コアネットワークＮ２００へのＶＲＦ転送設定例である。本設定Ｃ６０１により、受信パケット中のＶＮＩ値と、コアネットワークＮ２００への出力時における出力先ＶＲＦ番号の紐付けを実施する。なお、設定例Ｃ６０１は本実施例における一例であり、本形式以外の設定形式であっても、受信パケットのＶＮＩ値と出力先ＶＲＦ番号が紐付けされる設定形式であればよい。
図１１に示す設定が実施されると、エッジルータＡ１０１の装置制御部１１０は、内部バスを経由してパケット解析プロセッサ１３３に設定情報を伝達する。

図１２は、エッジルータにおける変換情報記憶部のフォーマット例を示す図である。
パケット解析プロセッサ１３３は、図１２に示すＰ７０１のフォーマットで変換情報記憶部１３２に設定情報を記憶する。Ｐ７０１は受信ＶＮＩ値と内部識別子の組み合わせにより構成される。本実施例では、内部識別子はＶＲＦ１０に対応する値Ｙを使用するものとする。なお、Ｙは、ＶＲＦ１０に属する内部的なＶＬＡＮＩＤである。
エッジルータＡ１０１の装置制御部１１０は、Ｃ６０１により設定された受信パケット中のＶＮＩ値と出力先ＶＲＦ番号の対応を示す設定情報を、パケット転送ハードウェア１２０の経路テーブル１２２にも伝達し、経路テーブル１２０にも図１１に示す設定を実施する。

ここで、パケットフローＦ１２の説明に戻る。
図１３は、エッジルータで受信する、カプセル化されたパケットのフォーマットを示す図である。
上りトンネルＴ２０を経由してエッジルータＡ１０１に到達したパケットは、パケット送受信インタフェース部１３１にて、図１３に示すフォーマットで受信する。
パケット解析部１３４は、パケット解析の結果、ＶＸＬＡＮフォーマットのパケットを受信したことにより、受信したパケットがデカプセル化対象であることを識別する。

受信したパケットがデカプセル化対象であることを識別したパケット解析プロセッサ１３３は、パケット操作部１３５にて、受信パケットのデカプセル処理を実施する。このデカプセル処理の際、パケット操作部１３５は変換情報記憶部１３２を参照する。このとき、受信ＶＮＩ値から出力ＶＲＦ番号に属する内部ＶＬＡＮ番号であるＹへの変換処理を実施し、さらにＹをＶＬＡＮＩＤとする内部制御タグを生成する。内部制御タグは、ＩＥＥＥ８０２．１Ｑにて規定される形式のＶＬＡＮタグである必要はなく、パケット転送ハードウェア１２０において、入力ＶＬＡＮがＹであることを認識できる形式であればよい。パケット操作部１３５は、生成した内部制御タグを、デカプセル処理を実施したパケットのＭＡＣアドレスフィールドとＶＬＡＮタグフィールドの間に付与する。

図１４は、エッジルータのパケット操作部でデカプセル化されたパケットのフォーマット例を示す図である。
パケット操作部１３５が、生成した内部制御タグを、デカプセル処理を実施したパケットのＭＡＣアドレスフィールドとＶＬＡＮタグフィールドの間に付与する処理により、受信したパケットは図１４に示すパケット形式となる。
内部制御タグを付与する処理に加え、パケット操作部１３５は、パケットの宛先ＭＡＣアドレスフィールドをエッジルータＡ１０１のＭＡＣアドレスに変更する。
パケット解析プロセッサ１３３は、内部バスを経由してパケット転送ハードウェア１２０が備えるパケット検索部１２１に受信したパケットを、転送する。

パケット検索部１２１は、受信したパケットの宛先ＭＡＣアドレスフィールドを参照し、受信パケットがレイヤ３転送対象のパケットであることを識別する。これは、パケット操作部１３５の処理により、宛先ＭＡＣアドレスがエッジルータＡ１０１となっているためである。
パケット検索部１２１は、レイヤ３転送を実施するために、経路テーブル１２２を検索対象として、パケットが入力されたインタフェースのＶＬＡＮＩＤ、および、宛先ＩＰアドレスから、レイヤ３経路、および、出力先インタフェースの検索を実施する。この処理において、パケットが入力されたインタフェースのＶＬＡＮＩＤは、パケット操作部１３５のパケット操作処理により挿入された１段目のＶＬＡＮＩＤであるＹであると認識される。即ち、パケット検索部１２１はＶＬＡＮＩＤ＝Ｙに属するＶＲＦ番号１０の経路を検索対象とし、出力先インタフェースの検索を実施する。前述のとおり、ＹはＶＲＦ１０に対応する内部的なＶＬＡＮＩＤであるため、検索結果としてＶＲＦ番号１０における出力先インタフェースが返される。この検索結果を元に、パケット検索部１２１はパケット転送部１２３へとパケットを転送する。

パケット転送部１２３は、パケットの出力先インタフェースが、コアネットワークＮ２００への出力先インタフェースであることを認識する。この時、コアネットワークＮ２００への出力先インタフェースは、アクセスポートインタフェース、またはトランクポートインタフェースである。コアネットワークＮ２００への出力先インタフェースがアクセスポートインタフェースの場合、パケット中の先頭のＶＬＡＮタグ、即ち、内部制御タグを削除した後、内部パスを経由して、コアネットワークＮ２００に接続する回線が収容されているネットワークインタフェース部Ｂ１４０へパケットを転送する。コアネットワークＮ２００への出力先インタフェースがトランクポートインタフェースの場合、先頭のＶＬＡＮタグ、即ち、内部制御タグを削除した後、出力先インタフェースが扱うＶＬＡＮタグを付与し、内部パスを経由して、コアネットワークＮ２００に接続する回線が収容されているネットワークインタフェース部Ｂ１４０へパケットを転送する。
ネットワークインタフェース部Ｂ１４０は、コアネットワークＮ２００に接続する回線からパケットを送信する。

以上の手続きにより、ユーザ１から送信されたパケットは、ＤＰＩ装置１０を経由して再度エッジルータＡ１０１にて受信した際に、ＶＲＦ１０でコアネットワークＮ２００に転送され、課題（２）は解決される。
エッジルータＡ１０１に着目した場合、パケットフローＦ１２はアクセスネットワークＮ１００からコアネットワークＮ２００の方向にパケットを転送する上りパケットフローであるのに対し、パケットフローＦ３４は、コアネットワークＮ２００からアクセスネットワークＮ１００の方向にパケットを転送する下りパケットフローである。即ち、パケットフローＦ３４は、下りトンネルＴ３０を使用すること、および、上り回線Ｌ２０と下り回線Ｌ３０上のパケット転送方向が逆であることを除き、パケットフローＦ１２と差分が無く、パケットフローＦ１２と同等の方式が適用可能である。
パケットフローＦ３４に関する処理については、パケットフローＦ１２と同様の処理となるため、以下にて図面の説明のみ行い、詳細は割愛する。

図１５は、エッジルータにおいてＤＰＩ検査対象パケットの識別に用いるアクセスリストの例を示す図である。
本実施例では図１５に示すアクセスリストＡ４０１を、ユーザ３からのパケットを受信するインタフェース、即ち、コアネットワークＮ２００に接続するインタフェースに適用し、パケット解析部１３４において検査対象パケットを識別する。

図１６は、エッジルータにおけるＤＰＩ検査対象パケットに対する出力ポリシーの例を示す図である。パケット操作部１３５は、アクセスリストＡ４０１に合致したパケットに対して、図１６に示すネットワーク運用管理者の設定する出力ポリシーＰ５０１に従い、ＶＸＬＡＮヘッダ中のＶＮＩ値を２０に設定してカプセル化を実施する。

図１７に示すＣ６０２は、ゲートウェイルータ１０３のネットワーク運用管理者による、ＤＰＩ装置への出力先インタフェースを設定するための設定情報の入力イメージ例である。本設定Ｃ６０２により、受信パケット中のＶＮＩ値と、下り回線Ｌ３０に対応する出力先インタフェースＩ３２の紐付けを実施する。なお、設定例Ｃ６０２は本実施例における一例であり、本形式以外の設定形式であっても、受信パケットのＶＮＩ値と出力先インタフェースが紐付けされる設定形式であればよい。
図１７に示す設定が実施されると、ゲートウェイルータ１０３の装置制御部１１０は、内部バスを経由してパケット解析プロセッサ１３３に設定情報を伝達する。

図１８は、ゲートウェイルータにおける変換情報記憶部のフォーマットの例を示す図である。
パケット解析プロセッサ１３３は、例えば図１８に示すＰ７０２のフォーマットで、変換情報記憶部１３２に設定情報を記憶する。Ｐ７０２は受信ＶＮＩ値と内部識別子の組み合わせにより構成される。本実施例では、内部識別子はインタフェースＩ３２に対応する値Ｚを使用するものとする。なお、前記Ｚは、インタフェースＩ３２のみに対応する内部的なＶＬＡＮＩＤである。

図１９に示すＣ６０３は、エッジルータＡ１０１のネットワーク運用管理者による、アクセスネットワークＮ１００へのＶＲＦ転送設定例である。本設定Ｃ６０３により、受信パケット中のＶＮＩ値と、アクセスネットワークＮ１００への出力時における出力先ＶＲＦ番号の紐付けを実施する。なお、前記設定例Ｃ６０３は本実施例における一例であり、本形式以外の設定形式であっても、受信パケットのＶＮＩ値と出力先ＶＲＦ番号が紐付けされる設定形式であればよい。
図１９に示す設定が実施されると、エッジルータＡ１０１の装置制御部１１０は、内部バスを経由してパケット解析プロセッサ１３３に設定情報を伝達する。

図２０は、エッジルータにおける変換情報記憶部のフォーマット例を示す図である。
パケット解析プロセッサ１３３は、図２０に示すＰ７０３のフォーマットで変換情報記憶部１３２に設定情報を記憶する。Ｐ７０３は受信ＶＮＩ値と内部識別子の組み合わせにより構成される。本実施例では、内部識別子はＶＲＦ１０に対応する値Ｙを使用するものとする。なお、前記Ｙは、ＶＲＦ１０に属する内部的なＶＬＡＮＩＤである。
エッジルータＡ１０１の装置制御部１１０は、Ｃ６０３により設定された受信パケット中のＶＮＩ値と出力先ＶＲＦ番号の対応を示す設定情報を、パケット転送ハードウェア１２０の経路テーブル１２２にも伝達し、経路テーブル１２０にも図１９に示す設定を実施する。

本実施例によれば、ネットワーク内に専用の装置を設けることなく、エッジルータと、ゲートウェイルータを用いて、エッジルータが受信したユーザからのパケットを、コアネットワークに接続された共用のＤＰＩ装置に転送し、共用のＤＰＩ装置において検査済のパケットをコアネットワークを介してユーザが送信したパケットの宛先、またはユーザ宛に送信することができる。

本発明の第２の実施例について、図を用いて以下に説明する。
図２１は本発明の第２の実施形態例を示す図である。
エッジルータＣ１０４は、ネットワークＮ４００ａにユーザ１とユーザ２を収容し、ネットワークＮ５００ａにユーザ３とユーザ４を収容する。
エッジルータＤ１０５は、ネットワークＮ４００ｂにユーザ５とユーザ６を収容し、ネットワークＮ５００ｂにユーザ７とユーザ８を収容する。
エッジルータＣ１０４、および、エッジルータＤ１０５の内部構成は、第１の実施例で示したように図２に示す構成とする。
エッジルータＣ１０４とエッジルータＤ１０５間は、コアネットワークＮ２００を介してトンネリングプロトコルを使用してトンネルＴ５０で接続される。
パケットフローＦ１５は、ユーザ１からユーザ５にパケットを送信した際のフローを示し、パケットフローＦ４８は、ユーザ４からユーザ８にパケットを送信した際のフローを示している。

エッジルータＣ１０４は、ネットワークＮ４００ｂ宛のパケットをネットワークＮ４００ａから受信した場合、トンネルＴ５０にパケットを出力する際に、レイヤ２トンネリングプロトコルを使用し、パケットをカプセル化して出力するものとする。また、エッジルータＣ１０４は、ネットワークＮ５００ｂ宛のパケットをネットワークＮ５００ａから受信した場合、トンネルＴ５０にパケットを出力する際に、レイヤ３トンネリングプロトコルを使用し、パケットをカプセル化して出力するものとする。

図２１に示すネットワークシステムにおいて、第１の実施例に示す本発明をエッジルータＤ１０５に適用することにより、エッジルータＤ１０５においてカプセル化されたパケットを受信した際に、カプセル化されたパケット中のトンネリングプロトコル識別子から出力先インタフェースへの変換処理を行い、出力先インタフェースを強制的に指定することが可能となる。詳細な処理は第１の実施例に記載済みのため割愛する。
エッジルータＤ１０５は、第１の実施例を適用することで、カプセル化されたパケット中のトンネリングプロトコル識別子から出力先インタフェースへの変換処理を行い、出力先インタフェースを強制的に指定したレイヤ２転送処理、およびトンネリングプロトコル識別子から出力ＶＲＦへの変換処理を行い、ＶＲＦ経路に従ったレイヤ３転送処理が可能となる。

１ ユーザ１
２ ユーザ２
３ ユーザ３
４ ユーザ４
５ ユーザ５
６ ユーザ６
７ ユーザ７
８ ユーザ８
１０ ＤＰＩ装置１０
Ｆ１２ パケットフローＦ１２
Ｆ１５ パケットフローＦ１５
Ｌ２０ 上り回線２０
Ｔ２０ 上りトンネル２０
Ｉ２１ インタフェースＩ２１
Ｉ２１ インタフェースＩ２２
Ｉ２１ インタフェースＩ２３
Ｌ３０ 下り回線３０
Ｔ３０ 下りトンネル３０
Ｆ３１ パケットフローＦ３１
Ｉ３１ インタフェースＩ３１
Ｉ３２ インタフェースＩ３２
Ｉ３３ インタフェースＩ３３
Ｆ３４ パケットフローＦ３４
Ｆ４８ パケットフローＦ４８
Ｔ５０ トンネルＴ５０
１００ エッジルータ／ゲートウェイルータ
Ｎ１００ アクセスネットワークＮ１００
１０１ エッジルータＡ１０１
１０２ エッジルータＢ１０２
１０３ ゲートウェイルータ１０３
１０４ エッジルータＣ１０４
１０５ エッジルータＤ１０５
１１０ 装置制御部
１２０ パケット転送ハードウェア
１２１ パケット検索部
１２２ 経路テーブル
１２３ パケット転送部
１３０ ネットワークインタフェース部Ａ
１３１ パケット送受信インタフェース部
１３２ 変換情報記憶部
１３３ パケット解析プロセッサ
１３４ パケット解析部
１３５ パケット操作部
１４０ ネットワークインタフェース部Ｂ
Ｎ２００ コアネットワークＮ２００
Ｎ３００ アクセスネットワークＮ３００
Ａ４００ アクセスリストＡ４００
Ｎ４００ａ アクセスネットワークＮ４００ａ
Ｎ４００ｂ アクセスネットワークＮ４００ｂ
Ａ４０１ アクセスリストＡ４０１
Ｐ５００ 出力ポリシーＰ５００
Ｎ５００ａ アクセスネットワークＮ５００ａ
Ｎ５００ｂ アクセスネットワークＮ５００ｂ
Ｐ５０１ 出力ポリシーＰ５０１
Ｃ６００ 出力先インタフェース設定例Ｃ６００
Ｃ６０１ 出力先インタフェース設定例Ｃ６０１
Ｃ６０２ 出力先インタフェース設定例Ｃ６０２
Ｐ７００ 変換情報記憶部１３２フォーマットＰ７００
Ｐ７０１ 変換情報記憶部１３２フォーマットＰ７０１
Ｐ７０２ 変換情報記憶部１３２フォーマットＰ７０２

Claims (8)

1. ネットワーク上でパケットの送受信を行う通信装置であって、
   ネットワークとパケットの送受信およびパケットに対する処理を行う複数のネットワークインタフェース部と、
   前記ネットワークインタフェース部から出力されたパケットに対し、経路テーブルに基づいて転送処理を行う1つ以上のパケット転送部と、通信装置の各部を制御する制御部とを有し、
   予めトンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報が入力されると、前記制御部は前記ネットワークインタフェース部の情報記憶部および前記パケット転送部の経路テーブルに前記トンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を設定しておき、
   前記ネットワークインタフェース部は、受信したパケットをデカプセルしたパケットが有するトンネリングプロトコルの識別子が前記特定の識別子の場合には、前記パケットのヘッダ部分に内部制御用のタグを付与して前記パケット転送部に出力し、
   前記パケット転送部は、前記内部制御用のタグから経路テーブルに設定された前記トンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を読み出して、設定された出力インタフェースへ前記内部制御用のタグを削除した前記パケットを転送することを特徴とする通信装置。
2. 前記特定の識別子は、前記通信装置に予め設定されている検出条件を満たすパケットに対して、予め設定されたポリシーに基づき前記通信装置の出力インタフェースと対応づけられているものであることを特徴とする請求項１に記載の通信装置。
3. 前記トンネリングプロトコルはＶＸＬＡＮプロトコルであり、前記特定の識別子はＶＮＩであることを特徴とする請求項１に記載の通信装置。
4. 前記特定の識別子と対応づける出力先インタフェースの情報は、ＶＲＦと関連付けられたインタフェース情報であることを特徴とする請求項３に記載の通信装置。
5. ネットワークとパケットの送受信およびパケットに対する処理を行い、経路テーブルに基づいて転送処理を行う通信装置における通信方法であって、
   予めトンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報が入力されると、前記パケットに対する処理を行う際に参照する情報記憶部および前記経路テーブルに前記トンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を設定しておき、
   受信したパケットをデカプセルしたパケットが有するトンネリングプロトコルの識別子が前記特定の識別子の場合には、前記パケットのヘッダ部分に内部制御用のタグを付与し、前記内部制御用のタグから経路テーブルに設定された前記トンネリングプロトコルの特定の識別子と、出力先インタフェースとの対応情報を読み出して、設定された出力インタフェースへ前記内部制御用のタグを削除した前記パケットを転送することを特徴とする通信方法。
6. 前記特定の識別子は、予め設定されている検出条件を満たすパケットに対して、予め設定されたポリシーに基づき前記通信装置の出力インタフェースと対応づけられているものであることを特徴とする請求項５に記載の通信方法。
7. 前記トンネリングプロトコルはＶＸＬＡＮプロトコルであり、前記特定の識別子はＶＮＩであることを特徴とする請求項５に記載の通信方法。
8. 前記特定の識別子と対応づける出力先インタフェースの情報は、ＶＲＦと関連付けられたインタフェース情報であることを特徴とする請求項７に記載の通信方法。

Images