JP2018125745A - 転送装置及び転送方法 - Google Patents

Abstract

【課題】特定のトラフィックに対する制御のための作業負担を軽減すること。【解決手段】ＢＧＰ Ｆｌｏｗｓｐｅｃを実装した転送装置は、ＢＧＰ ＦｌｏｗｓｐｅｃのアクションルールをｅＢＧＰセッション経由で受信する受信部と、前記アクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する伝搬部と、を有する。【選択図】図７

Description

本発明は、転送装置及び転送方法に関する。

図１には、Ｔｈｅ Ｉｎｔｅｒｎｅｔにおいて、ＩＳＰ−ＸとＩＳＰ−Ｙとが接続されており、その他ＩＳＰからのＤＤｏＳ攻撃がＩＳＰ−Ｘを経由して、ＩＳＰ−Ｙ向けに攻撃トラフィックが流入している状態において、ＩＳＰ−Ｘ側で遮断等の対処が実行されている状況が示されている。

従来、このような状況においてＩＳＰ―Ｙ側でＤＤｏＳ攻撃が検知されると（Ｓ１）、ＩＳＰ−Ｙのオペレータが、当該ＤＤｏＳ攻撃の対処をＩＳＰ−Ｘへ依頼する（Ｓ２）。ＩＳＰ−Ｘのオペレータは、当該依頼に応じ、ＩＳＰ−Ｙに接続するルータに対して、遮断等の対処を行う（Ｓ３）。

この場合、ＩＳＰ−Ｙにおいては、ＤＤｏＳによるネットワークの帯域消費は回避されるが、ＩＳＰ−Ｘにおいては帯域消費が継続したままである（Ｓ４）。

そこで、従来、図２に示されるように、ＩＳＰ−Ｘのオペレータが、Ｓ３での対処の設定情報から、当該ＤＤｏＳ攻撃の流入元を調査し（Ｓ５）、流入元のルータに対して、当該ＤＤｏＳ攻撃の対処設定（遮断等）を実施している（Ｓ６）。

ＲＦＣ７６７４

上記のように、従来の対処方法では、ＤＤｏＳ攻撃の経由ネットワークであるＩＳＰ−Ｘにおいてもオペレータに稼働が発生している。特に、ＩＰ通信のネットワークにおいて、トラフィックの流入元を特定する為には、一般的に何らかのシステム対応（フロー分析システム等）が必要である。

仮に、何らかのツールやシステムにて分析や設定稼働を軽減できたとしても、そのツールやシステムの開発やメンテナンスにコストがかかる。

本発明は、上記の点に鑑みてなされたものであって、特定のトラフィックに対する制御のための作業負担を軽減することを目的とする。

そこで上記課題を解決するため、ＢＧＰ Ｆｌｏｗｓｐｅｃを実装した転送装置は、ＢＧＰ ＦｌｏｗｓｐｅｃのアクションルールをｅＢＧＰセッション経由で受信する受信部と、前記アクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する伝搬部と、を有する。

特定のトラフィックに対する制御のための作業負担を軽減することができる。

ＤＤｏＳ攻撃先のネットワークに対する対処の一例を示す図である。 ＤＤｏＳ攻撃の経由ネットワークに対する対処の一例を示す図である。 本発明の実施の形態におけるネットワーク構成例を示す図である。 本発明の実施の形態におけるルータのハードウェア構成例を示す図である。 Ｆｌｏｗｓｐｅｃで規定されているアクションルールを示す図である。 本実施の形態において定義されるアクションルールの一例を示す図である。 本実施の形態におけるルータａの機能構成例を示す図である。 ルータａ１が実行する処理手順の一例を説明するためのフローチャートである。 ＤＤｏＳ攻撃に対して本実施の形態において可能となる制御を説明するための図である。

以下、図面に基づいて本発明の実施の形態を説明する。図３は、本発明の実施の形態におけるネットワーク構成例を示す図である。図３において、ＩＳＰ−Ａ、ＩＳＰ−Ｂ、及び複数のその他ＩＳＰは、それぞれ、異なるＡＳ（Autonomous System）号によって識別されるＩＳＰ（Internet Service Provider）である。

ＩＳＰ−Ａは、ルータａ１〜ａ６（以下、それぞれを区別しない場合「ルータａ」という）を含む。ＩＳＰ−Ｂは、ルータｂ１を含む。各ルータは、それぞれに設定された設定情報に従って、パケットを転送する装置である。

ルータａ１とルータｂ１との間では、ＢＧＰピアが張られ、ＢＧＰ（Border Gateway Protocol）を利用した通信が行われる。すなわち、ルータａ１とルータｂ１とは、ｅＢＧＰ（外部ＢＧＰ）セッションによって接続される。また、各ルータａの間では、ＢＧＰピアが張られ、ＢＧＰを利用した通信が行われる。すなわち、各ルータａは、ｉＢＧＰ（内部ＢＧＰ）セッションによって接続される。なお、同一ＩＳＰ内における各ＢＧＰルータは、ｉＢＧＰフルメッシュ構成、又はＲＲ（ルートリフレクタ）構成にて、ｉＢＧＰルート情報を交換する。図３では、ＩＳＰ−Ａ内においてｉＢＧＰフルメッシュ構成が採用されている例が示されているが、ＲＲ構成が採用されてもよい。

図４は、本発明の実施の形態におけるルータのハードウェア構成例を示す図である。図４のルータは、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０１、メモリ装置１０２、ＣＰＵ１０３、及びインタフェース装置１０４等を有する。

ルータでの処理を実現するプログラムは、補助記憶装置１０１に記憶される。メモリ装置１０２は、補助記憶装置１０１に記憶されているプログラムを読み出して格納する。ＣＰＵ１０３は、メモリ装置１０２に格納されたプログラムに従ってルータに係る機能を実行する。インタフェース装置１０４は、ネットワークに接続するためのインタフェースとして用いられる。

本実施の形態において、各ルータａ及びルータｂ１は、ＢＧＰ Ｆｌｏｗｓｐｅｃ（以下、単に「Ｆｌｏｗｓｐｅｃ」という。）を実装したルータである。Ｆｌｏｗｓｐｅｃは、特定のトラフィックに対する遮断等のアクションを、ＢＧＰピアを張った対向ルータに実行させるプロトコルである。したがって、ルータｂ１にＦｌｏｗｓｐｅｃの拡張コミュニティ（ＲＦＣ４３６０）においてアクションルールが設定されると、当該アクションルールに従った制御が、ルータａ１によって実行される。

Ｆｌｏｗｓｐｅｃでは、図５に示される４種類のアクションルールが規定されている。ｔｒａｆｆｉｃ−ｒａｔｅは、レート制限または遮断を実行するためのアクションルールである。ｔｒａｆｆｉｃ−ａｃｔｉｏｎは、サンプリングやロギング等を実行するためのアクションルールである。ｒｅｄｉｒｅｃｔは、指定方向への転送を実行するためのアクションルールである。ｔｒａｆｆｉｃ−ｍａｒｋｉｎｇは、ＤＳＣＰ値の書き換えを実行するためのアクションルールである。図５におけるＴｙｐｅは、各アクションルールの識別情報である。なお、アクションルールは、当該アクションルールの適用対象とされるトラフィック又はフローを特定するための情報（宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号等）に対応付けられる。

例えば、その他ＩＳＰからのＤＤｏＳ攻撃がＩＳＰ−Ａを経由して、ＩＳＰ−Ｂ向けに攻撃トラフィックが流入している状態において、当該攻撃トラフィックに対してｔｒａｆｆｉｃ−ｒａｔｅがルータｂ１に設定されると、当該ｔｒａｆｆｉｃ−ｒａｔｅに基づいて、ルータａ１が当該攻撃トラフィックを制限又は遮断する。その結果、ルータａ１に関する設定について、ＩＳＰ−Ａのオペレータによる稼動が削減される。

しかし、ＩＳＰ−Ａにおいては帯域消費が継続したままであるため、ＩＳＰ−Ａのオペレータは、ＤＤｏＳ攻撃の流入元を調査や、流入元のルータに対する当該ＤＤｏＳ攻撃の対処設定等の実施を行う必要が有る。Ｆｌｏｗｓｐｅｃでは、ルータｂ１に対して設定されたアクションルールは、ルータａ１のみによって実行され、他のルータａによって実行されないからである。

そこで、本実施の形態では、新たなアクションルールが定義される。図６は、本実施の形態において定義されるアクションルールの一例を示す図である。図６に示されるように、本実施の形態では、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」が定義される。「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」のＴｙｐｅの値は、他のアクションルールと重複しない値であればよい。

「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」は、ＤＤｏＳ対処に主に用いられる「ｔｒａｆｆｉｃ−ｒａｔｅ」が示すアクションルールに加え、ｉＢＧＰセッションによって接続される他のルータへの当該アクションルールの伝搬の実行をも含むアクションルールである。したがって、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」は、フレームフォーマットを踏襲する。すなわち、最後の４バイトにおいて、レートが設定される。当該レートが０に設定されると、当該アクションルールに対応するトラフィックが遮断される。

例えば、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」がルータｂ１に設定されると、ルータａ１は、当該「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」に基づいて、特定のトラフィックについてレート制限又は遮断を実行すると共に、当該「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」を、ｉＢＧＰセッションによって接続される他のルータａに伝搬（転送）する。当該「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」が伝搬された他のルータａは、同じトラフィックに対して同様のレート制限又は遮断を実行する。その結果、ＩＳＰ−Ａにおけるオペレータによる、ＤＤｏＳ攻撃の流入元を調査や、流入元のルータに対する当該ＤＤｏＳ攻撃の対処設定等の実施のための稼動を削減することができる。

このような「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」に対応可能とするため、各ルータａは、図７に示されるような機能構成を有する。

図７は、本実施の形態におけるルータａの機能構成例を示す図である。図７において、ルータａは、受信部１１、伝搬部１２及び実行部１３等を有する。これら各部は、ルータａにインストールされたプログラムがＣＰＵ１０３に実行させる処理によって実現されてもよいし、回路（ハードウェア）によって実現されてもよい。

受信部１１は、ｅＢＧＰセッション又はｉＢＧＰセッションで接続される対向ルータからアクションルールを受信する。

伝搬部１２は、受信部１１によって受信されたアクションルールが「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」である場合に、当該アクションルールをｉＢＧＰセッションで接続される他のルータａに伝搬（転送）する。

実行部１３は、受信部１１によって受信されたアクションルールに対応するトラフィックについて、当該アクションルールに従った制御を実行する。当該アクションルールが「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」であれば、実行部１３は、トラフィックのレート制限又は遮断等を実行する。

以下、ルータａ１が実行する処理手順について説明する。図８は、ルータａ１が実行する処理手順の一例を説明するためのフローチャートである。

例えば、ＩＳＰ−Ｂのオペレータによって、ルータｂ１に対して、特定のトラフィックに対するアクションルール「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」が設定されると、ルータａ１の受信部１１は、当該アクションルールをＦｌｏｗｓｐｅｃに従って、ｅＢＧＰセッション経由で受信する（Ｓ２０１）。

続いて、伝搬部１２は、ルータａ１とｉＢＧＰセッションによって接続されるルータａ２〜ａ６へ、当該「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」を伝搬（転送）する（Ｓ２０２）。

続いて、実行部１３は、当該「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」に従って、当該特定のトラフィックについてレート制限又は遮断を実行する（Ｓ２０３）。

なお、ステップＳ２０２において伝搬された「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」の受信先のルータａ２〜ａ６は、図８のステップＳ２０１及びＳ２０３を実行する。

その結果、その他ＩＳＰからのＤＤｏＳ攻撃がＩＳＰ−Ａを経由して、ＩＳＰ−Ｂ向けに攻撃トラフィックが流入している状態において、図９に示されるような制御が可能となる。

図９は、ＤＤｏＳ攻撃に対して本実施の形態において可能となる制御を説明するための図である。

図９に示されるように、攻撃トラフィックに対する「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」がルータｂ１に設定されると、当該アクションルールが各ルータａに伝搬する。その結果、攻撃トラフィックの流入元のルータであるルータａ２〜ａ５においても自動的に攻撃トラフィックを遮断可能とすることができる。

したがって、ＩＳＰ−Ａにおける各ルータに対する設定作業等の作業負担を軽減することができる。すなわち、特定のトラフィックに対する制御のための作業負担を軽減することができる。

また、本実施の形態は、既存のＦｌｏｗｓｐｅｃ仕組みに拡張を加えることで実現することができる。

なお、攻撃トラフィックの流入元のルータａ２〜ａ５において、当該攻撃トラフィックが遮断されるのであれば、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」の伝搬元であるルータａ１においては、図８のステップＳ２０３は実行されなくてもよい。

また、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」の伝搬先の各ルータａが、ｅＢＧＰセッションで接続されるその他ＩＳＰのルータへ、当該アクションルールを伝搬するようにしてもよい。

更に、ルータａ１は、ルータｂ１から「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」を受信した場合、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」を「ｔｒａｆｆｉｃ−ｒａｔｅ」に置換して、置換後のアクションルールを他のルータａに伝搬してもよい。「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」のフォーマットは、「ｔｒａｆｆｉｃ−ｒａｔｅ」のフォーマットを踏襲しているため、Ｔｙｐｅの値を置換することで、「ａｃｔｉｏｎ−ｄｉｓｔｒｉｂｕｔｉｏｎ」から「ｔｒａｆｆｉｃ−ｒａｔｅ」への置換は可能である。

更に、アクションルールの伝搬は、新たなアクションルールの定義以外の方法によって実現されてもよい。例えば、「ｔｒａｆｆｉｃ−ｒａｔｅ」に対して、当該アクションルールの伝搬を示す所定の情報が付随されるようにしてもよい。ルータａ１の伝搬部１２は、当該所定の情報が「ｔｒａｆｆｉｃ−ｒａｔｅ」に付随している場合には、当該「ｔｒａｆｆｉｃ−ｒａｔｅ」を他のルータａに伝搬するようにしてもよい。

なお、本実施の形態において、ルータは、転送装置の一例である。

以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１１ 受信部
１２ 伝搬部
１３ 実行部
１０１ 補助記憶装置
１０２ メモリ装置
１０３ ＣＰＵ
１０４ インタフェース装置
ａ１、ａ２、ａ３、ａ４、ａ５、ａ６、ｂ１ ルータ
Ｂ バス

Claims (6)

1. ＢＧＰ Ｆｌｏｗｓｐｅｃを実装した転送装置であって、
   ＢＧＰ ＦｌｏｗｓｐｅｃのアクションルールをｅＢＧＰセッション経由で受信する受信部と、
   前記アクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する伝搬部と、
   を有することを特徴とする転送装置。
2. 前記伝搬部は、特定のアクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する、
   ことを特徴とする請求項１記載の転送装置。
3. 前記特定のアクションルールのフォーマットは、「ｔｒａｆｆｉｃ−ｒａｔｅ」のフォーマットを踏襲する、
   ことを特徴とする請求項２記載の転送装置。
4. ＢＧＰ Ｆｌｏｗｓｐｅｃを実装した転送装置が、
   ＢＧＰ ＦｌｏｗｓｐｅｃのアクションルールをｅＢＧＰセッション経由で受信する受信手順と、
   前記アクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する伝搬手順と、
   を実行することを特徴とする転送方法。
5. 前記伝搬手順は、特定のアクションルールを、ｉＢＧＰセッションによって接続される他の転送装置に伝搬する、
   ことを特徴とする請求項４記載の転送方法。
6. 前記特定のアクションルールのフォーマットは、「ｔｒａｆｆｉｃ−ｒａｔｅ」のフォーマットを踏襲する、
   ことを特徴とする請求項５記載の転送方法。

Images