JP2018056849A - 通信制御方法、通信制御装置及びコンピュータプログラム - Google Patents

Abstract

【課題】特定の装置からインターネットへのトラヒックに対する引き込みを容易に行うこと。
【解決手段】インターネットを構成する特定のネットワークと、特定のネットワークと接続する特定の装置を収容する第１ネットワークと、特定のネットワークと第１ネットワークとの間に設けられた第２ネットワークと、特定のネットワークと第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、を含む通信システムにおいて、経路制御をする通信制御方法であって第１ネットワークから特定のネットワークに向かう経路を第２ネットワークにおいて分岐させるように定めた第１の経路情報により分岐させ、分岐させた経路の第１経路を、処理部を経由する経路にし、分岐させた経路の第２経路を、特定のネットワークに向かう経路にするように経路を制御する通信経路設定過程を通信システムの経路設定部に実施させる通信制御方法。
【選択図】図１

Description

本発明は、ＩＰ通信における経路引き込み技術に関する。

インターネットの拡大に伴い、不祥事発生時の企業サイトへのアクセス集中やＤＤｏＳ（Distributed Denial of Service）攻撃に代表されるような一時的なトラヒック増の発生が顕在化しており、企業ネットワーク等のインターネット利用者網の可用性確保に問題を与えている（例えば、特許文献１参照）。このような一時的なバーストトラヒックからユーザ網を守るための手段として、ユーザ網の外にトラヒックをオフロードするためのＣＤＮ（Content Delivery Network）や、クラウド型ＤＤｏＳ防御サービス等のネットワークサービスが一般化している。

これらのネットワークサービスは、ＤＮＳ（Domain Name System）や、ＢＧＰ（Border Gateway Protocol）を利用し、本来インターネット利用者網内の特定の装置に向かうべきトラヒックをネットワークサービス提供事業者網に意図的に引き込み、網内に配備された攻撃緩和装置等にトラヒックを充てることによりサービスを実現している。
ＤＮＳを利用した引き込みの場合には、ユーザのホスト名に相対するＩＰアドレスをサービス提供事業者網内に設置したＮＡＴ（Network Address Translation）やプロキシのＩＰアドレスにマップし、事業者網へトラヒックを誘導する。ＢＧＰを利用した引き込みの場合には、より詳細な経路を優先的に選択するＢＧＰの仕組みを利用し、ユーザが通常広告しているより細かいアドレスブロックを経路広告することによってサービス事業者網へトラヒックを引き込んでいる。

上述の事業者網でのネットワークオフロードを目的としたＤＮＳ及びＢＧＰによる引き込みとは異なるが、網内に到達したトラヒックを意図的に通常の経路とは異なる方向に誘導する手法としてＰＢＲ（Policy-Based Routing）がある。ＰＢＲでは、対象トラヒックが通過するルータのインタフェースに、対象トラヒックにマッチするようポリシーを指定し、同一ルータに所属する任意の別インタフェースへ転送するよう指示することが可能である。

特開２０１４−２２９９８２号公報

ＤＮＳを利用した引き込み手法においては、実際の送信先であるユーザホストとの間にサービス事業者のＮＡＴやプロキシが介在する際に、送信先、送信元のアドレスをサービス事業者のアドレスに変換する。このため、送信先に到達するパケットの送信元はサービス事業者となり、この通信に対する戻りも自ずとサービス事業者網に引込まれることになる。このように、ユーザからのインターネットへのトラヒックもサービス事業者網に引き込むことが可能である。それに対して、元のアドレス情報がＮＡＴやプロキシによって隠蔽されるため、ユーザ側でのアクセス解析が困難になる。また、トラヒックの誘導がＤＮＳの名前解決に依存しているため、ＤＮＳを利用せずにユーザのＩＰアドレスを直接指定してアクセスするトラヒックに対しては無効である。

これに対し、ＢＧＰによる引き込みは、ユーザのＩＰアドレスをそのまま利用するため、オリジナルのアドレス情報が不明となる点やＩＰアドレスを直接指定するアクセスに対して無効となるという問題はない。ただし、ＢＧＰによる経路制御がトラヒックの送信先に対してのみ有効であるため、ユーザからのインターネットへのトラヒックをサービス事業者網に引き込むことができない。したがって、この手法をステートフルファイアーウォールのような通信の双方向を意識したネットワークサービスへ利用することが困難であり、ネットワークサービス事業者が提供可能なサービスの制約となっている。

ＤＮＳ及びＢＧＰによるいずれの手法も不特定多数のインターネットから特定の装置宛てのアクセスに対するトラヒック引き込み手法であり、特定の装置から不特定多数のインターネットへのトラヒックに対する引き込みはできない。
また、ＰＢＲを用いて特定トラヒックを誘導する手法であるが、ＰＢＲでは該当トラヒックが通過するインタフェースにポリシーを設定する必要があるため、多拠点もしくは動的な設定変更が困難である。

上記のように、従来の技術では、特定の装置から不特定多数のインターネットへのトラヒックに対する引き込みを容易に行うことができないという問題があった。
上記事情に鑑み、本発明は、特定の装置からインターネットへのトラヒックに対する引き込みを容易に行うことができる技術の提供を目的としている。

本発明の一態様は、インターネットを構成する特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、を含む通信システムにおいて、経路制御をする通信制御方法であって、前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた第１の経路情報により分岐させ、分岐させた経路の第１経路を、前記処理部を経由する経路にし、分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する通信経路設定過程を前記通信システムの経路設定部に実施させる通信制御方法である。

本発明の一態様は、上記の通信制御方法であって、前記処理部は、前記特定のネットワーク及び前記第１ネットワーク以外のネットワークに収容されており、前記第１経路を介して前記特定のネットワークに向かう通信が前記処理部に向かうように前記経路設定部が制御する過程をさらに含む。

本発明の一態様は、上記の通信制御方法であって、前記通信経路設定過程において、前記特定のネットワークと前記第１ネットワークとの間の経路を制御する第１の経路制御プロトコルを利用して、以下に示す第１の経路情報を前記経路設定部が出力させる過程をさらに含み、前記第１の経路情報には、前記特定の装置からの通信の少なくとも一部が前記第１経路に設けられた中継装置に転送されるように転送先を指定する情報が含まれている。

本発明の一態様は、上記の通信制御方法であって、前記第１経路の一部の経路においてトンネルを形成するように前記経路設定部が制御する過程をさらに含み、前記処理部を経由する通信のパケットは、前記トンネルを経由して転送される。

本発明の一態様は、上記の通信制御方法であって、前記処理部が設けられたネットワークには、前記特定の装置からの通信の少なくとも一部の引き込み先が複数備えられ、前記引き込み先毎にトンネルを形成するように前記経路設定部が制御する過程をさらに含む。

本発明の一態様は、上記の通信制御方法であって、前記通信経路設定過程において、前記特定のネットワークから前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた第２の経路情報により分岐させ、分岐させた経路の第３経路を、前記処理部を経由する経路にし、分岐させた経路の第４経路を、前記第１ネットワークに向かう経路にするように経路を制御する制御過程をさらに含む。

本発明の一態様は、上記の通信制御方法であって、前記制御過程において、前記第３経路を、前記処理部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、前記第４経路を、前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する。

本発明の一態様は、上記の通信制御方法であって、前記第３経路を介して前記特定の装置に向かう通信が前記処理部に向かうように前記経路設定部が制御する過程をさらに含む。

本発明の一態様は、上記の通信制御方法であって、前記通信経路設定過程において、前記特定のネットワークと前記第１ネットワークとの間の経路を制御する第２の経路制御プロトコルを利用して、次に示す第２の経路情報及び第３の経路情報を前記経路設定部が出力させる過程をさらに含み、第２の経路情報には、前記第１ネットワークのアドレス空間を示すアドレス情報が含まれ、第３の経路情報には、前記第１ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれている、請求項６から８のいずれか一項に記載の通信制御方法。

本発明の一態様は、インターネットを構成する特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、を含む通信システムにおいて、経路制御をする通信制御装置であって、前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により分岐させ、分岐させた経路の第１経路を、前記処理部を経由する経路にし、分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する経路設定部を備える通信制御装置である。

本発明の一態様は、インターネットを構成する特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、を含む通信システムのコンピュータに、前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により分岐させ、分岐させた経路の第１経路を、前記処理部を経由する経路にし、分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する通信経路設定ステップを実行させるためのコンピュータプログラムである。

本発明により、特定の装置からインターネットへのトラヒックに対する引き込みを容易に行うことが可能となる。

本実施形態に係る通信システム１の構成図である。 ＡＳＹ２１０内の処理の流れを示すフローチャートである。 本実施形態に係る通信システム１による下り経路における対策機能の動作を示すシーケンス図である。 本実施形態に係る通信システム１による下り経路における対策機能を起動中の通信経路を示す説明図である。 本実施形態に係る通信システム１による上り経路における対策機能の動作を示すシーケンス図である。 本実施形態に係る通信システム１による上り経路における対策機能を起動中の通信経路を示す説明図である。 変形例における通信システム１による上り経路における対策機能を起動中の通信経路を示す説明図である。

以下、本発明の一実施形態を、図面を参照しながら説明する。
図１は、本実施形態に係る通信システム１の構成図である。図１に示す通信システム１には、ＡＳ（Autonomous System：自律システム）Ｘ１１０、ＡＳＹ２１０、ＡＳＺ３１０及びネットワーク４００（特定のネットワーク）が含まれている。ネットワーク４００は、インターネットを構成する特定のネットワークであり１又は複数の自律システムにより構成される。ネットワーク４００は、例えばルータ４０１を備えて構成されており、ネットワーク４００が備える他のルータ（不図示）間で経路情報が共有される。

ＡＳＸ１１０、ＡＳＹ２１０及びＡＳＺ３１０のそれぞれは、自律システム（ＡＳ）である。ＡＳＸ１１０、ＡＳＹ２１０及びＡＳＺ３１０のそれぞれには、ネットワーク１００（第１ネットワーク）、ネットワーク２００及びネットワーク３００（第２ネットワーク）が対応づけられている。

ここで、ＡＳＸ１１０に対応するネットワーク１００は、ネットワークアドレス（プレフィクス）「１０．０．０．０／２１」で識別されるものとする。ネットワーク１００内にネットワーク１０１が設けられており、ネットワーク１０１は、ネットワークアドレス（プレフィクス）「１０．０．０．０／２４」で識別されるものとする。

ＡＳＸ１１０は、ルータ１１１及び対象装置１２０（特定の装置）を備える。
対象装置１２０は、例えば攻撃的なトラヒックを成す通信の送信先にあたる被攻撃対象の通信装置である。また、対象装置１２０は、例えばネットワーク４００に向けて通信を行う通信装置である。対象装置１２０は、ネットワーク１０１内のＩＰアドレス（ネットワークアドレス）が割り付けられており、例えば、そのアドレスが「１０．０．０．１」で識別されるものとする。

ルータ１１１は、ネットワーク１００が備える他のルータ（不図示）間で経路情報を共有し、ＡＳＸ１１０内の通信の経路制御を実施する。ルータ１１１は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ１１１は、論理パスＬ１３を介してＡＳＺ３１０に接続される。ルータ１１１は、対象装置１２０宛てのトラヒックを対象装置１２０に転送し、対象装置１２０から送信されたトラヒックをＡＳＺ３１０に転送する。

ＡＳＺ３１０は、ルータ３１１及びルータ３１２を備える。ルータ３１１及びルータ３１２のそれぞれは、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ３１１は、論理パスＬ３４を介してネットワーク４００のルータ４０１に接続される。また、ルータ３１１は、論理パスＬ２３を介してＡＳＹ２１０に接続される。

ルータ３１２は、論理パスＬ１３を介してＡＳＸ１１０に接続される。また、ルータ３１２は、論理パスを成すトンネルＴ２３を介してＡＳＹ２１０に接続される。なお、トンネルＴ２３は、ＡＳＹ２１０とＡＳＺ３１０との間でＩＰパケットを透過的に中継させるものであり、例えば、カプセル化されたＩＰパケットを中継する方式（例えば、ＧＲＥ：Generic Routing Encapsulation）で構成されてもよい。ルータ３１２は、メインルーティングテーブルと、サービス提供装置２２２に対応するＶＲＦ（Virtual Routing and Forwarding）テーブルを有する。

なお、ルータ３１２のＶＲＦテーブルには、対象装置１２０からのパケットがＡＳＹ２１０に流れるようにデフォルトルートに「ルータ２１２」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ１１１」をそれぞれ指定するように設定されているものとする。対象装置１２０宛ての経路の指定方法としては、ルータ３１２のメインルーティングテーブルから該当する対象装置１２０の経路を動的にコピー、もしくは静的に設定することが考えられる。
ルータ３１１及びルータ３１２の各ルータは、互いに経路情報を共有し、ＡＳＺ３１０内の通信の経路制御を実施する。

ＡＳＹ２１０は、ルータ２１１、ルータ２１２、通信制御装置２２１、及びサービス提供装置２２２（処理部）を備える。ルータ２１１とルータ２１２は、外部のネットワークであるネットワーク３００に接続されており、接続先のネットワーク３００に対応するＡＳＺ３１０に対して経路情報を広告する。例えば、ルータ２１１は、論理パスＬ２３を介してＡＳＺ３１０に接続される。ルータ２１２は、論理パスを成すトンネルＴ２３を介してＡＳＺ３１０に接続される。

なお、ルータ２１２には、サービス提供装置２２２にパケットが流れるようにデフォルトルートに「サービス提供装置２２２」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ３１２」をそれぞれ指定するようにルーティングテーブルが設定されているものとする。ここで、サービス提供装置２２２がＬ３装置の場合には、デフォルトルートがサービス提供装置２２２と設定されるが、サービス提供装置２２２がＬ２装置の場合には、デフォルトルートにサービス提供装置２２２の先にあるルータが設定される。なお、図１では、ルータ２１１とルータ２１２を分けて構成した場合を示しているが、一体の装置で構成することを制限するものではなく、ネットワーク２００内の接続は図示する以外の構成にしてもよい。

通信制御装置２２１は、通信システム１における通信経路を制御して、対象装置１２０宛ての攻撃的なトラヒックによる影響を軽減させるように制御する。また、通信制御装置２２１は、通信システム１における通信経路を制御して、対象装置１２０からネットワーク４００へのトラヒックを自ネットワークに引き込むように制御する。

例えば、通信制御装置２２１は、経路設定部２２１１及び通信制御部２２１２を備える。経路設定部２２１１は、ネットワーク４００からネットワーク１０１に向かう通信の経路（以下「下り経路」という。）と、ネットワーク１０１からネットワーク４００に向かう通信の経路（以下「上り経路」という。）の設定を行う。

具体的には、経路設定部２２１１は、ネットワーク４００とネットワーク１０１との間の通信経路にあるネットワーク３００において、上り経路を分岐させるようにＡＳＺ３１０を制御する。経路設定部２２１１は、分岐させた経路の第１経路を、ＡＳＹ２１０が備えるルータ２１２に向かう経路にする。また、経路設定部２２１１は、分岐させた経路の第２経路を、ルータ３１１を介して、ネットワーク４００に向かう経路にする。経路設定部２２１１は、上記のように定めた経路情報（第１の経路情報）を利用して、上り経路を動的に制御する。例えば、経路設定部２２１１は、上り経路においてＢＧＰ Ｆｌｏｗｓｐｅｃ（第１の経路制御プロトコル）を利用する。

また、経路設定部２２１１は、第１経路の一部の経路においてトンネルを形成するように制御する。具体的には、経路設定部２２１１は、ルータ２１２に対してトンネルを形成するように制御する。これにより、ルータ２１２と、ルータ３１２との間にトンネルが形成される。

また、経路設定部２２１１は、ネットワーク４００とネットワーク１０１との間の通信経路にあるネットワーク３００において、下り経路を分岐させるようにＡＳＺ３１０を制御する。経路設定部２２１１は、分岐させた経路の第３経路を、対象装置１２０に向かう経路にする。また、経路設定部２２１１は、分岐させた経路の第４経路を、ネットワーク１０１のアドレス空間から対象装置１２０のアドレス空間が除かれたネットワーク１０１に向かう経路にする。すなわち、経路設定部２２１１は、第４経路を、ネットワーク１０１のアドレス空間（１０．０．０．０／２４）から対象装置１２０のアドレス空間（１０．０．０．１）を除いた残りのアドレス空間のいずれかに向かう経路にする。経路設定部２２１１は、上記のように定めた経路情報を利用して、下り経路を動的に制御する。

例えば、経路設定部２２１１は、下り経路においてＢＧＰ（第２の経路制御プロトコル）を利用する。ＢＧＰを利用した手法としては、段落０００７に記載の公知の技術（例えば、特開２０１４−２２９９８２号公報に記載の技術）が用いられてもよいし、上記のようにＢＧＰを利用して、分岐させた経路の第３経路が所定のアドレス空間に割り付けられた対象装置１２０に向かう経路、分岐させた経路の第４経路がネットワーク１０１のアドレス空間から対象装置１２０のアドレス空間を除いたネットワーク１０１のアドレス空間に向かう経路とする技術が用いられてもよい。

前記第３経路には、前記所定のアドレス空間に向かう通信を制限するサービス提供装置２２２が設けられており、予め定められた制約条件を満たす場合に前記第３経路を介して前記所定のアドレス空間に向かう通信をサービス提供装置２２２により制限し、前記制約条件を満たさない場合に前記第３経路を介して前記所定のアドレス空間に向かう通信を許可するように、通信制御部２２１２は、サービス提供装置２２２を制御する。

サービス提供装置２２２は、ＡＳＹ２１０に設けられており、ＡＳＺ３１０から引き込んだパケットに対して所定の処理を行う。所定の処理の一例として、例えばＷｅｂフィルタリング、アンチウイルス、アンチスパム及びＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）等のセキュリティ処理が挙げられる。ここで、セキュリティ処理による処理の一例として、サービス提供装置２２２は、所定の条件に従い通信を制限する。サービス提供装置２２２は、予め定められた制約条件を満たす場合に、対象装置１２０に向かう通信を制限し、制約条件を満たさない場合に、対象装置１２０に向かう通信を許可する。

サービス提供装置２２２における上記の処理は、通信制御装置２２１からの制御に応じて実施されるように構成してもよい。サービス提供装置２２２は、例えばＵＴＭ（Unified Threat Management）であってもよいし、ステートフルファイアーウォール、トランスペアレントキャッシュ、ＤＰＩ（Deep Packet Inspection）、ＵＲＬフィルタ及びＷＰＡ等の何れかの機能を有していてもよい。本実施形態では、サービス提供装置２２２が、所定の処理としてセキュリティ処理を行う場合を例に説明する。

次に、ＡＳＹ２１０内の処理について説明する。図２は、ＡＳＹ２１０内の処理の流れを示すフローチャートである。
通信制御装置２２１は、ＡＳＸ１１０において検出された通信状態をそれぞれ指定するデータと、サービス提供装置２２２において検出された通信状態をそれぞれ指定するデータと、を取得する（ステップＳ１０）。通信制御装置２２１は、取得したデータによりＡＳＸ１１０の通信状態を判定する（ステップＳ２０）。

ステップＳ２０の判定において、異常なトラヒックが検出され、かつ、対策機能が起動していない場合、通信制御装置２２１は、サービス提供装置２２２とＡＳＺ３１０における通信経路の状態を制御して対策機能を起動させる（ステップＳ２０−起動）。対策機能の起動方法の詳細については後述する（ステップＳ３０）。サービス提供装置２２２は、上り経路又は下り経路においてＡＳＺ３１０を経て供給されるパケットをそれぞれ判定し、判定結果に応じてセキュリティ処理を行う（ステップＳ４０）。例えば、下り経路においては、サービス提供装置２２２は、予め定められた制約条件を満たす場合に当該パケットを制限し、制約条件を満たさない場合に当該パケットを許可するというフィルタ処理を実施する。

一方、対策機能が起動中にあり、ステップＳ２０の判定において、異常なトラヒックが検出され続けている場合、ステップＳ４０の処理により、通信制御装置２２１は、対策機能を継続させる（ステップＳ２０−継続）。
さらに、対策機能が起動中にあり、ステップＳ２０の判定において、異常なトラヒックが検出されなくなった場合、通信制御装置２２１は、起動中の対策機能を解除させて（ステップＳ２０−終了）、通信経路を、対策機能を起動させる前の平常時の状態に戻し、サービス提供装置２２２による処理を終了させる（ステップＳ５０）。

上記の手順により、通信システム１は、攻撃的な通信のトラヒックを軽減させることができる。なお、上記の手順では、平常時と対策時を切り替える手順を含めているが、恒常的に対策を実施することを制限するものではない。

次に、図３及び図４を参照して、通信システム１による下り経路における対策機能について説明する。図３は、本実施形態に係る通信システム１による下り経路における対策機能の動作を示すシーケンス図である。

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ＡＳＸ１１０は、ＡＳＺ３１０に経路情報Ｍ２１Ａ１を広告する。ＡＳＸ１１０が広告する経路情報Ｍ２１Ａ１は、例えばプレフィクスに「１０．０．０．０／２１」、ＡＳパス（ＡＳ−ＰＡＴＨ）に「Ｘ」、ネクストホップ（Ｎｅｘｔ−ｈｏｐ）に「ルータ１１１」をそれぞれ指定するデータを含む。ＡＳＺ３１０は、経路情報Ｍ２１Ａ１の受信に応じて、ＡＳＺ３１０内で経路情報を共有するとともに、ネットワーク４００に経路情報Ｍ２１Ａ２を広告する。

ＡＳＺ３１０が広告する経路情報Ｍ２１Ａ２は、例えばプレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＺＸ」、ネクストホップに「ルータ３１１」をそれぞれ指定するデータを含む。なお、ＡＳパスで指定する「Ｘ」、「Ｙ」、「Ｚ」のそれぞれは、ＡＳＸ１１０、ＡＳＹ２１０、ＡＳＺ３１０を示す。例えば、上記のように「ＺＸ」と記載したＡＳパスは、「Ｘ」、「Ｚ」の順にリスト化されるものとする。以下の説明においても同様とする。
ネットワーク４００内のルータは、上記の経路情報Ｍ２１Ａ２を取得して、保持している経路情報を更新する。

（対策機能を起動させるパス設定）
通信制御装置２２１は、ルータ２１１又はサービス提供装置２２２を制御して、経路情報Ｍ３２ＤＦを生成させる。経路情報Ｍ３２ＤＦは、プレフィクスに「１０．０．０．１／３２」、ＡＳパスに「ＹＸ」、ネクストホップに「ルータ２１１」をそれぞれ指定するデータを含む。さらに、通信制御装置２２１は、経路情報Ｍ２４ＤＦを生成する。例えば、経路情報Ｍ２４ＤＦは、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＹＸ」、ネクストホップに「ルータ１１１」をそれぞれ指定するデータを含む。上記のＡＳパスの指定において、「Ｘ」をＡＳパスの先頭につけることで、ＡＳＸ１１０側からＡＳパスを広告することなく、対策用のパスを設定する。

そして、通信制御装置２２１は、経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦとをルータ２１１からＡＳＺ３１０に広告させる。
なお、上記の経路情報Ｍ３２ＤＦには、プレフィクスに例えば「１０．０．０．１／３２」と指定した所定のアドレス空間を示すアドレス情報が含まれ、所定のアドレス空間がネットワーク１０１（又はネットワーク１００）のアドレス空間より狭くなるように設定される。経路情報Ｍ２４ＤＦには、ネットワーク１０１（又はネットワーク１００）のアドレス空間を示すアドレス情報が含まれている。経路情報Ｍ２４ＤＦに、さらに経路情報Ｍ３２ＤＦが優先的に選択されるようにする情報を含むように構成してもよい。

ＡＳＺ３１０は、経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦの受信に応じて、ＡＳＺ３１０内で経路情報を共有するとともに、ネットワーク４００に経路情報Ｍ２４ＤＦ１を広告する。例えば、経路情報Ｍ２４ＤＦ１は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＹＸ」、ネクストホップに「ルータ３１１」をそれぞれ指定するデータを含む。
ネットワーク４００内のルータは、上記の経路情報Ｍ２４ＤＦ１を取得して、保持している経路情報を更新する。

（ネットワーク４００から受信するパケットの転送）
図４は、本実施形態に係る通信システム１による下り経路における対策機能を起動中の通信経路を示す説明図である。図３と図４を参照して説明する。
ＡＳＺ３１０は、ネットワーク４００のルータ４０１からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。

ケースＡ１：対象装置１２０宛の攻撃的な通信ではないパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２Ａを受信した場合に、受信したパケットＰ３２ＡをＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰ３２Ａを取得してサービス提供装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、サービス提供装置２２２は、トンネルＴ２３を介して、ＡＳＺ３１０にパケットＰ３２Ａを転送する。ＡＳＺ３１０は、論理パスＬ１３を介して、ＡＳＸ１１０にパケットＰ３２Ａを転送する。ＡＳＸ１１０は転送されたパケットＰ３２Ａを取得して、対象装置１２０がパケットＰ３２Ａを受信する。

ケースＡ１Ｄ：対象装置１２０宛の攻撃的な通信のパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２ＤＤＡを受信した場合に、上記のケースＡ１の場合と同様に、受信したパケットＰ３２ＤＤＡをＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰ３２ＤＤＡを取得してサービス提供装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、サービス提供装置２２２は、当該パケットＰ３２ＤＤＡを破棄する。

ケースＡ３：対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットＰ２４Ａを受信した場合に、受信したパケットＰ２４ＡをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２４Ａを取得する。

ケースＡ４：「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ａを受信した場合に、受信したパケットＰ２１ＡをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２１Ａを取得する。

上記のとおり、上記の実施形態の通信システム１は、下り経路において以下の２つの経路についてＢＧＰを利用して経路広告する。
１．ネクストホップを、サービス提供装置２２２又はＡＳＹ２１０のＩＰアドレスを指定した、「／３２」（対象装置１２０のＩＰアドレス）の経路。
２．ＡＳパスにＡＳＸ１１０を追加し、ネクストホップをＡＳＸ１１０のルータ１１２のＩＰアドレスを指定した「／２４（対象装置１２０を含む、プレフィクスを「／２４」以上で指定するＩＰアドレス空間）」の経路。

次に、図５及び図６を参照して、通信システム１による上り経路における対策機能について説明する。図５は、本実施形態に係る通信システム１による上り経路における対策機能の動作を示すシーケンス図である。

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ネットワーク４００は、ＡＳＺ３１０に経路情報Ｍ３４Ａ１を広告する。ＡＳＺ３１０は、経路情報Ｍ３４Ａ１の受信に応じて、ＡＳＺ３１０内で経路情報を共有するとともに、ＡＳＸ１１０に経路情報Ｍ３４Ａ２を広告する。ＡＳＸ１１０内のルータは、上記の経路情報Ｍ３４Ａ２を取得して、保持している経路情報を更新する。
（対策機能を起動させるパス設定）
通信制御装置２２１は、ルータ２１１又はサービス提供装置２２２を制御して、経路情報ＦＳ１を生成させる。経路情報ＦＳ１は、ルータ２１２への転送対象となるパケットを指定するデータを含む。例えば、経路情報ＦＳ１は、送信元ＩＰアドレス（ｓｒｃＩＰ）、送信先ＩＰアドレス（ｄｓｔ ＩＰ）、送信元ポート番号（ｓｒｃ Ｐｏｒｔ）、送信先ポート番号（ｄｓｔ Ｐｏｒｔ）のいずれか又はこれらの組み合わせで指定が可能である。このようにして、上り経路における対策用のパスを設定する。そして、通信制御装置２２１は、経路情報ＦＳ１をルータ２１１からＡＳＺ３１０に広告させる。ＡＳＺ３１０は、経路情報ＦＳ１の受信に応じて、ＡＳＺ３１０内で経路情報を共有する。

（ネットワーク１００から受信するパケットの転送）
図６は、本実施形態に係る通信システム１による上り経路における対策機能を起動中の通信経路を示す説明図である。図５と図６を参照して説明する。
ＡＳＺ３１０は、ネットワーク１００のルータ１１１からパケットを受信すると、当該パケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号のいずれか又はこれらの組み合わせに応じて以下に示すように転送処理をする。なお、図５及び図６の説明では、ＡＳＺ３１０が、受信したパケットの送信元ＩＰアドレスに応じて転送処理を行う場合について説明する。

ケースＢ１：経路情報で転送が指定されていないパケット（送信元ＩＰアドレスが対象装置１２０でないパケット）を、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、送信元ＩＰアドレスが対象装置１２０でないパケットＰＡを受信した場合には、通常の経路（メインルーティングテーブルに従った経路）でパケットＰＡをネットワーク４００に転送する。ネットワーク４００は転送されたパケットＰＡを取得して、送信先の装置がパケットＰＡを受信する。

ケースＢ２：経路情報で転送が指定されているパケット（送信元ＩＰアドレスが対象装置１２０のパケット）を、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、送信元ＩＰアドレスが対象装置１２０のパケットＰＡ１を受信した場合には、受信したパケットＰＡ１をＶＲＦに転送する。ＶＲＦは、ＶＲＦルーティングテーブルに従って、転送されたパケットＰＡ１をＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰＡ１を取得してサービス提供装置２２２においてセキュリティ処理を行う。

セキュリティ処理の結果、正当なパケット（例えば、攻撃的な通信のパケットではないパケット）と判定された場合、サービス提供装置２２２は、パケットＰＡ１をルータ２１１に転送する。なお、正当なパケット（例えば、攻撃的な通信のパケットではないパケット）と判定されなかった場合、サービス提供装置２２２はパケットＰＡ１を破棄する。ルータ２１１は、論理パスＬ２３を介して、ＡＳＺ３１０にパケットＰＡ１を転送する。ＡＳＺ３１０は転送されたパケットＰＡ１を取得して、取得したパケットＰＡ１をネットワーク４００に転送する。ネットワーク４００は転送されたパケットＰＡ１を取得して、送信先の装置がパケットＰＡ１を受信する。

以上のように構成された通信システム１によれば、特定の装置からインターネットへのトラヒックに対する引き込みを容易に行うことができる。具体的には、ＢＧＰ Ｆｌｏｗｓｐｅｃの機能を利用して、通信制御装置２２１が、対象装置１２０からの通信をＡＳＺ３１０に向かうように経路広告を行う。これにより、特定の装置からインターネットへのトラヒックに対する引き込みを容易に行うことが可能になる。

また、ＤＮＳにＮＡＴやプロキシを組み合わせて利用した時の課題であったオリジナルのＩＰアドレスの透過性を確保、ユーザＩＰアドレスを指定した直接アクセスへの対策が可能になる。また、ＢＧＰ利用では実現できなかったユーザからインターネットに向かうトラヒックの引き込み、ＤＮＳ及びＢＧＰのいずれを利用しても実現できなかった特定の装置からインターネット向けの通信の引き込みが可能になる。

この透過的、かつ、双方向で引き込んだトラヒック経路上であればステートフルファイアーウォール等の通信の双方向を意識する装置の導入が可能であり、あたかもユーザ網内の当該ホストに対してインラインで装置を組み込むのと同様の構成をユーザ網外で実現することができる。すなわち、現状ユーザ宅内に配備することでしか利用できなかった装置やサービスをユーザ網外のネットワーク上への展開が可能になり、ユーザにとっては宅内に装置を持たない利点を享受できるとともに物理的な宅内工事から解放されるという利点がある。

また、通信システム１では、下り経路において２つの経路を設けたことにより、上記図３に示すように通信経路を指定する経路制御が可能となる。このように、通信システム１は、ＡＳＸ１１０におけるルータの設定変更を必要とすることなく、低遅延のＤＤｏＳ対策サービスの提供を可能にする。これにより、通信システム１は、通信システムの利便性を高めることができる。

＜変形例＞
通信システム１において、トラヒックのループを回避するために、ルータ３１２にて上位ルータ（例えば、ルータ３１１）に接続するインタフェースにおいてＢＧＰ Ｆｌｏｗｓｐｅｃで広告された経路が有効とならないようにフィルタを設定してもよい。
図１では、対象装置１２０が一台であるが、対象装置１２０は複数台であってもよい。
通信制御装置２２１は、通信制御部２２１２を備えないように構成されてもよい。
本実施形態では、対象装置１２０のネットワークが一つのＡＳである場合を例に説明したが、対象装置１２０のネットワークはＡＳでなくてもよい。
本実施形態では、ＡＳＹ２１０と、ＡＳＺ３１０と、がそれぞれ独立のＡＳである場合を例に説明したが、ＡＳＹ２１０と、ＡＳＺ３１０とが一つのＡＳとして構成されてもよい。
本実施形態では、各ルータ（例えば、ルータ、ＶＲ及びＶＲＦ）のルーティングテーブルが静的に設定されている場合を例に説明したが、各ルータのルーティングテーブルは動的に設定されてもよい。

本実施形態では、対策機能の起動条件として、異常なトラヒックが検出され、かつ、対策機能が起動していない場合に起動させる構成を示したが、対策機能の起動条件はこれに限定される必要はない。例えば、通信制御装置２２１が外部ＡＰＩ（Application Programming Interface）を備えている場合には、ＡＰＩ経由での外部プログラムからの起動指示を対策機能の起動条件としてもよいし、手動による起動指示を対策機能の起動条件としてもよい。これにより、必ずしも異常なトラヒックが検出された場合に限らず、正常トラヒックに対しても対策機能の起動が可能になる。

サービス提供装置２２２は、所定の処理として、セキュリティ処理以外の処理を行うように構成されてもよい。例えば、サービス提供装置２２２は、トランスペアレントキャッシュの処理を行ってもよいし、ＷＰＡの処理を行ってもよい。サービス提供装置２２２がトランスペアレントキャッシュの処理を行う場合、サービス提供装置２２２は対象装置１２０と、ネットワーク４００との間でキャッシュ装置として機能する。また、サービス提供装置２２２がＷＰＡの処理を行う場合、サービス提供装置２２２は対象装置１２０と、ネットワーク４００との間で行われる通信の少なくとも一部の通信におけるパケットを暗号化する装置として機能する。
上記のように、サービス提供装置２２２は、セキュリティ以外の用途に利用することができる。これにより、利便性を向上させることができる。

通信システム１において、サービス提供装置２２２は、ＡＳＹ２１０内に複数台備えられてもよい。このように構成される場合、ＡＳＹ２１０内においてサービス提供装置２２２毎に一台のルータ２１２、又は、一台のバーチャルルータが備えられる。ＡＳＹ２１０内においてサービス提供装置２２２毎に一台のルータ２１２、又は、一台のバーチャルルータが備えられることに応じて、ＡＳＺ３１０内において、ルータ２１２毎、又は、バーチャルルータ毎に対応付けられたルータ３１２、又は、バーチャルルータが備えられる。そして、対応付けられたルータ間はそれぞれ、トンネルで接続される。図７に具体的な構成を示す。なお、図７では、ＡＳＹ２１０内及びＡＳＺ３１０内にバーチャルルータが備えられる場合を例に説明する。

図７は、変形例における通信システム１による上り経路における対策機能を起動中の通信経路を示す説明図である。図７に示すように、ＡＳＹ２１０は、ルータ２１１、ルータ２１２、通信制御装置２２１、及び複数のサービス提供装置２２２−１、２２２−２を備える。ここで、ルータ２１２は複数のＶＲ（バーチャルルータ）２１２−１及び２１２−２を有する。ＡＳＺ３１０は、ルータ３１１及びルータ３１２を備える。ここで、ルータ３１２は複数のＶＲＦ３１２−１及び３１２−２を有する。ＶＲ２１２−１と、ＶＲＦ３１２−１は、トンネルＴ２３−１を介して接続される。ＶＲ２１２−２と、ＶＲＦ３１２−２は、トンネルＴ２３−２を介して接続される。

ＶＲ２１２−１のルーティングテーブルには、対象装置１２０からのパケットがサービス提供装置２２２−１に流れるようにデフォルトルートに「サービス提供装置２２２−１」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ３１２」をそれぞれ指定するように設定されているものとする。また、ＶＲ２１２−２のルーティングテーブルには、対象装置１２０からのパケットがサービス提供装置２２２−２に流れるようにデフォルトルートに「サービス提供装置２２２−２」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ３１２」をそれぞれ指定するように設定されているものとする。

ＶＲＦ３１２−１のルーティングテーブルには、対象装置１２０からのパケットがＡＳＹ２１０に流れるようにデフォルトルートに「ルータ２１２」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ１１１」をそれぞれ指定するように設定されているものとする。また、ＶＲＦ３１２−２のルーティングテーブルには、対象装置１２０からのパケットがＡＳＹ２１０に流れるようにデフォルトルートに「ルータ２１２」、対象装置１２０宛てのパケットが対象装置１２０に転送されるように「ルータ１１１」をそれぞれ指定するように設定されているものとする。

ここで、経路情報ＦＳ１には、送信元ＩＰアドレスが対象装置１２０である場合には、ＶＲＦ３１２−１にパケットを転送することが示されているものとする。この場合、ルータ３１２は、ネットワーク１００のルータ１１１から、対象装置１２０からのパケットＰを受信すると、受信したパケットＰをＶＲＦ３１２−１に転送する。ＶＲＦ３１２−１は、ルーティングテーブルに従って、トンネルＴ２３−１を介して、パケットＰをＶＲ２１２−１に転送する。ＶＲ２１２−１は、転送されたパケットＰをサービス提供装置２２２−１においてセキュリティ処理を行う。

セキュリティ処理の結果、正当なパケット（例えば、攻撃的な通信のパケットではないパケット）と判定された場合、サービス提供装置２２２−１は、パケットＰをルータ２１１に転送する。なお、正当なパケット（例えば、攻撃的な通信のパケットではないパケット）と判定されなかった場合、サービス提供装置２２２−１はパケットＰを破棄する。ルータ２１１は、論理パスＬ２３を介して、ＡＳＺ３１０にパケットＰを転送する。ＡＳＺ３１０は転送されたパケットＰを取得して、取得したパケットＰをネットワーク４００に転送する。ネットワーク４００は転送されたパケットＰを取得して、送信先の装置がパケットＰを受信する。

このように構成されることによって、同一の対象装置１２０から異なるサービス提供装置を利用することができる。例えば、１つのサービス提供装置（例えば、サービス提供装置２２２−１）がＤＰＩの機能を有する装置であり、別のサービス提供装置（例えば、サービス提供装置２２２−２）がＷＰＡの機能を有する装置である場合に、必要に応じて同一の対象装置１２０からそれぞれのサービス提供装置を利用することによってそれぞれのサービスを利用することができる。
なお、サービス提供装置２２２−２を利用する際には、経路情報ＦＳ１においてＶＲＦ３１２−２への転送を指定すればよい。

上述した実施形態における機能をコンピュータで実現するようにしても良い。その場合、この機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。なお、通信システム１を構成する各処理部は専用のハードウェアにより実現されるものであってもよい。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１００、２００、３００、４００…ネットワーク， １１０…ＡＳＸ， ２１０…ＡＳＹ， ３１０…ＡＳＺ， １１１、２１１、２１２、３１１、３１２、４０１…ルータ， １２０…対象装置， ２２１…通信制御装置， ２２１１…経路設定部， ２２１２…通信制御部２２１２， ２２２、２２２−１、２２２−２…サービス提供装置， ２１２−１、２１２−２…ＶＲ， ３１２−１、３１２−２…ＶＲＦ

本発明の一態様は、上記の通信制御方法であって、前記通信経路設定過程において、前記特定のネットワークと前記第１ネットワークとの間の経路を制御する第２の経路制御プロトコルを利用して、次に示す第２の経路情報及び第３の経路情報を前記経路設定部が出力させる過程をさらに含み、第２の経路情報には、前記第１ネットワークのアドレス空間を示すアドレス情報が含まれ、第３の経路情報には、前記第１ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれている。

Claims (11)

1. インターネットを構成する特定のネットワークと、
   前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
   前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
   前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、
   を含む通信システムにおいて、経路制御をする通信制御方法であって、
   前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた第１の経路情報により分岐させ、
   分岐させた経路の第１経路を、前記処理部を経由する経路にし、
   分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する通信経路設定過程
   を前記通信システムの経路設定部に実施させる通信制御方法。
2. 前記処理部は、前記特定のネットワーク及び前記第１ネットワーク以外のネットワークに収容されており、
   前記第１経路を介して前記特定のネットワークに向かう通信が前記処理部に向かうように前記経路設定部が制御する過程をさらに含む、請求項１に記載の通信制御方法。
3. 前記通信経路設定過程において、
   前記特定のネットワークと前記第１ネットワークとの間の経路を制御する第１の経路制御プロトコルを利用して、以下に示す第１の経路情報を前記経路設定部が出力させる過程をさらに含み、
   前記第１の経路情報には、前記特定の装置からの通信の少なくとも一部が前記第１経路に設けられた中継装置に転送されるように転送先を指定する情報が含まれている、請求項１又は２に記載の通信制御方法。
4. 前記第１経路の一部の経路においてトンネルを形成するように前記経路設定部が制御する過程をさらに含み、前記処理部を経由する通信のパケットは、前記トンネルを経由して転送される、請求項１から３のいずれか一項に記載の通信制御方法。
5. 前記処理部が設けられたネットワークには、前記特定の装置からの通信の少なくとも一部の引き込み先が複数備えられ、
   前記引き込み先毎にトンネルを形成するように前記経路設定部が制御する過程をさらに含む、請求項１から４のいずれか一項に記載の通信制御方法。
6. 前記通信経路設定過程において、
   前記特定のネットワークから前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた第２の経路情報により分岐させ、
   分岐させた経路の第３経路を、前記処理部を経由する経路にし、
   分岐させた経路の第４経路を、前記第１ネットワークに向かう経路にするように経路を制御する制御過程をさらに含む、請求項１から５のいずれか一項に記載の通信制御方法。
7. 前記制御過程において、前記第３経路を、前記処理部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
   前記第４経路を、前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する、請求項６に記載の通信制御方法。
8. 前記第３経路を介して前記特定の装置に向かう通信が前記処理部に向かうように前記経路設定部が制御する過程をさらに含む、請求項７に記載の通信制御方法。
9. 前記通信経路設定過程において、
   前記特定のネットワークと前記第１ネットワークとの間の経路を制御する第２の経路制御プロトコルを利用して、次に示す第２の経路情報及び第３の経路情報を前記経路設定部が出力させる過程をさらに含み、
   第２の経路情報には、前記第１ネットワークのアドレス空間を示すアドレス情報が含まれ、第３の経路情報には、前記第１ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれている、請求項６から８のいずれか一項に記載の通信制御方法。
10. インターネットを構成する特定のネットワークと、
    前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
    前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
    前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、
    を含む通信システムにおいて、経路制御をする通信制御装置であって、
    前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により分岐させ、
    分岐させた経路の第１経路を、前記処理部を経由する経路にし、
    分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する経路設定部
    を備える通信制御装置。
11. インターネットを構成する特定のネットワークと、
    前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
    前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
    前記特定のネットワークと前記第１ネットワークとの間で送信されるパケットに基づいて所定の処理を行う処理部と、
    を含む通信システムのコンピュータに、
    前記第１ネットワークから前記特定のネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により分岐させ、
    分岐させた経路の第１経路を、前記処理部を経由する経路にし、
    分岐させた経路の第２経路を、前記特定のネットワークに向かう経路にするように経路を制御する通信経路設定ステップ
    を実行させるためのコンピュータプログラム。

Images