JP2019201374A - 情報処理システム - Google Patents

Abstract

【課題】ＳＤＮにおいて用いられるネットワークを制御するための情報処理システムを提供することを目的とする。【解決手段】コントローラとスイッチとを用いる情報処理システムであって，スイッチは，接続する端末からのパケットに対するフローエントリがフローテーブルにないことを判定すると，所定のメッセージを，接続するすべてのコントローラに送り，コントローラは，スイッチから受け付けた所定のメッセージがあらかじめ定めた条件を充足していないことを判定した場合には，スイッチのフローテーブルに，パケットを破棄するフローエントリを低い優先度で設定する，情報処理システムである。【選択図】 図１

Description

本発明は，ＳＤＮ（Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）において用いられるネットワークを制御するための情報処理システムに関する。

企業や自治体などの組織体においては，ネットワークセキュリティを確保することが重要な課題となっている。組織体では複数の業務を行っていることがあるが，取り扱う情報の重要度に応じてセキュリティのレベルが相違することがある。そのため，特に重要な情報を取り扱うネットワークについては，ほかのネットワークから分離することが求められる場合もある。

たとえば，地方自治体では，マイナンバーを管理するネットワークと，それ以外の事務系業務を行うネットワークとを分離した上で，ネットワーク間をまたぐ通信は行うことができないようにすることが求められている。そのため，物理的にネットワークを分離する方法が考えられるが，ネットワーク管理などの負担が大きい。

近年，ネットワーク構成は複雑化しており，その複雑化したネットワーク構成やマシン構成の管理を容易にするため，ＳＤＮと呼ばれる技術が用いられることがある（特許文献１）。特許文献１におけるＯｐｅｎＦｌｏｗはＳＤＮの標準仕様の一種である。そこで，組織体のネットワークを物理的に分離するのではなく，ＳＤＮを利用して論理的に分離することが考えられる。これを模式的に示すのが図９である。

分離したネットワークにＳＤＮ環境を導入するためには，ネットワークごとにＳＤＮコントローラとスイッチを配置する必要がある。そしてＳＤＮコントローラは，ネットワークごとに最適化した設定がなされ，当該ネットワーク内のスイッチに対してフローエントリを，フローテーブルに設定する。フローエントリとは，端末から受け取ったパケットをどのように制御するかを示すルールであり，フローテーブルとはフローエントリの集合（テーブル）である。

ＳＤＮを利用して分離したネットワークでは，個々のネットワークごとにスイッチを配置しなければならないので，ネットワーク数に応じたスイッチが必要となる。

しかし，ネットワーク数に応じてスイッチを配置する場合，スイッチを複数配置しなければならないので，一台のスイッチで複数のネットワークが利用できるようになれば好ましい。

異なるネットワークを管理する複数のＳＤＮコントローラが一台のスイッチを利用するように構成すると，そのスイッチは，複数のネットワークの境界に位置することとなる。しかし，そのままでは，各ネットワークのフローエントリがスイッチに同時に設定されるため，期待通りの動作を得ることができない。これを模式的に示すのが図１０である。

そこで，一台のスイッチで複数のネットワークのＳＤＮコントローラを利用可能とするシステムとして特許文献２がある。

ＷＯ２０１０／１０３９０９号 特開２０１５−１５４１４９号公報

特許文献２に示すシステムの場合，クラウド業者が提供するＯｐｅｎＦｌｏｗコントローラと，自社で制御をさせるＯｐｅｎＦｌｏｗコントローラとを共存させることを目的としている。このシステムでは，従来のＯｐｅｎＦｌｏｗスイッチでは，複数のＯｐｅｎＦｌｏｗコントローラがあると，フローテーブルがそのまま上書きされてしまい，ネットワーク制御の整合性を保つことができないところ，フローテーブルの排他制御を行うことで，複数のＯｐｅｎＦｌｏｗコントローラの共存を図っている。

しかし，特許文献２に示すシステムを用いた場合，どのＯｐｅｎＦｌｏｗコントローラにも登録されていない端末がＯｐｅｎＦｌｏｗスイッチに登録されたとき，その端末からのＦｉｒｓｔ Ｐａｃｋｅｔ（最初のパケット）がＯｐｅｎＦｌｏｗスイッチに送られると，Ｐａｃｋｅｔ−Ｉｎメッセージ（フローテーブルに該当するフローエントリがなかったことを示すメッセージ）を，当該スイッチに接続するすべてのＳＤＮコントローラに送り続けることとなる。

すなわち，ＯｐｅｎＦｌｏｗスイッチに接続するＯｐｅｎＦｌｏｗコントローラが一つであれば，そのＯｐｅｎＦｌｏｗコントローラに登録されていない端末からのＰａｃｋｅｔについては，Ｄｒｏｐ（パケットを破棄）するフローエントリをＯｐｅｎＦｌｏｗスイッチのフローテーブルに設定することができる。しかし，ＯｐｅｎＦｌｏｗスイッチに接続するＯｐｅｎＦｌｏｗコントローラが複数になると，自らの管理するネットワークに属する端末ではないが，ほかのＯｐｅｎＦｌｏｗコントローラが管理するネットワークに属する端末である可能性があるため，パケットをＤｒｏｐするフローエントリをＯｐｅｎＦｌｏｗスイッチのフローテーブルに設定することができない。すなわち，自らが処理可能なフローエントリのみをフローテーブルに設定することとなる。この状態のフローテーブルを示すのが図１１である。そのため，ＯｐｅｎＦｌｏｗスイッチから，すべてのＯｐｅｎＦｌｏｗコントローラに対して，Ｐａｃｋｅｔ−Ｉｎメッセージを送り続けることとなり，ＯｐｅｎＦｌｏｗスイッチ，ＯｐｅｎＦｌｏｗコントローラの負荷の原因となる課題がある。これを模式的に示すのが図１２である。

本発明者は上記課題に鑑み，スイッチに接続するどのＳＤＮコントローラでも管理しない新たな端末が登録された場合であっても，スイッチがＰａｃｋｅｔ−Ｉｎメッセージを送り続けないようにする情報処理システムを発明した。

第１の発明は，コントローラとスイッチとを用いる情報処理システムであって，前記スイッチは，接続する端末からのパケットに対するフローエントリがフローテーブルにないことを判定すると，所定のメッセージを，接続するすべてのコントローラに送り，前記コントローラは，前記スイッチから受け付けた前記所定のメッセージがあらかじめ定めた条件を充足していないことを判定した場合には，前記スイッチの前記フローテーブルに，パケットを破棄するフローエントリを低い優先度で設定する，情報処理システムである。

本発明のように構成することで，スイッチに接続するどのＳＤＮコントローラでも管理しない新たな端末が登録された場合には，パケットを破棄する低い優先度のフローエントリによって処理が実行されるので，スイッチがＰａｃｋｅｔ−Ｉｎメッセージを送り続けることを防止することができる。その結果，コントローラやスイッチの負荷の軽減につなげることができる。

上述の発明において，前記所定条件は，登録しているスイッチからの前記所定のメッセージであるか，登録しているポートからの前記所定のメッセージであるか，接続を許可している端末からのパケットに対する前記所定のメッセージであるか，のいずれか一以上である，情報処理システムのように構成することができる。

所定条件としては，本発明のように設定することが好ましい。

上述の発明において，前記コントローラは，前記スイッチから受け付けた前記所定のメッセージがあらかじめ定めた条件を充足していることを判定した場合には，前記スイッチのフローテーブルに，そのＳＤＮコントローラが制御するネットワークにパケットを転送するフローエントリを通常の優先度で設定する，情報処理システムのように構成することができる。

所定条件を充足している場合には，通常のパケットとして処理を行えばよいので，本発明のように，通常の優先度としてフローエントリを設定すればよい。

第１の発明は，本発明のＳＤＮコントローラを用いることでも実現することができる。すなわち，ＳＤＮによって構築されたネットワークで用いるＳＤＮコントローラであって，前記ＳＤＮコントローラは，スイッチに接続する端末からのパケットに対するフローエントリがフローテーブルにないことを示すメッセージを，前記スイッチから受け付け，前記スイッチから受け付けた前記メッセージがあらかじめ定めた条件を充足していないことを判定した場合には，前記スイッチの前記フローテーブルに，パケットを破棄するフローエントリを低い優先度で設定する，ＳＤＮコントローラである。

第１の発明は，本発明のスイッチを用いることでも実現することができる。すなわち，ＳＤＮによって構築されたネットワークで用いるスイッチであって，前記スイッチは，接続する端末からのパケットに対するフローエントリがフローテーブルにないことを判定すると，所定のメッセージを，接続するすべてのコントローラに送り，前記コントローラにおいて，前記メッセージがあらかじめ定めた条件を充足していないことが判定された場合には，パケットを破棄する低い優先度のフローエントリを，前記コントローラから受け付け，前記フローテーブルに，前記受け付けたフローエントリを設定する，スイッチである。

本発明の情報処理システムを用いることによって，スイッチに接続するどのＳＤＮコントローラでも管理しない新たな端末が登録された場合であっても，スイッチがＰａｃｋｅｔ−Ｉｎメッセージを送り続けないようにすることが可能となる。これによって，ＳＤＮコントローラやスイッチの負荷の軽減につなげることができる。

本発明の情報処理システムの全体の構成の一例を示す図である。 本発明の情報処理システムで用いるコンピュータのハードウェア構成の一例を示す図である。 本発明の情報処理システムの処理プロセスの一例を示すフローチャートの一例である。 本発明の情報処理システムにおける各端末のＦｉｒｓｔ Ｐａｃｋｅｔに対するシーケンス図を示す。 フローテーブルの初期状態を模式的に示す図である。 端末（ＰＣ−１）からのＦｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−Ｉｎメッセージを受け取ったことによるフローエントリが登録された状態を模式的に示す図である。 端末（ＰＣ−２）からのＦｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−Ｉｎメッセージを受け取ったことによるフローエントリが登録された状態を模式的に示す図である。 端末（ＰＣ−３）からのＦｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−Ｉｎメッセージを受け取ったことによるフローエントリが登録された状態を模式的に示す図である。 ＳＤＮを利用してネットワークを論理的に分離することを模式的に示す図である。 異なるネットワークを管理するＳＤＮコントローラが一つのスイッチに接続した場合を模式的に示す図である。 従来例におけるフローテーブルの状態を模式的に示す図である。 従来例における各端末のＦｉｒｓｔ Ｐａｃｋｅｔに対するシーケンス図を示す。

本発明の情報処理システム１の全体の構成の一例を模式的に図１に示す。図１では，企業，官公庁あるいは任意の団体などの組織体でＳＤＮを利用して複数のネットワーク（たとえばプライベートネットワーク）を構築している状態を模式的に示す。本発明の情報処理システム１では，ＳＤＮを利用してネットワーク制御を行うため，ＳＤＮコントローラ２とスイッチ３とを用いる。そして各ネットワークには，スイッチ３と端末４（ホスト）が接続している。

本発明の情報処理システム１では，ＳＤＮによるネットワーク管理技術を用いており，一つまたは複数のネットワークはＳＤＮコントローラ２によってその通信が制御されている。ＳＤＮコントローラ２は，ＳＤＮによって構築されたネットワークにおいて，その通信を管理しており，スイッチ３の管理単位をポートレベルで管理している。ＳＤＮコントローラ２は，ネットワークの制御や管理を行うソフトウェアおよびそのソフトウェアが稼働するコンピュータを指すものとする。ＳＤＮとしてＯｐｅｎＦｌｏｗが用いられる場合，ＯｐｅｎＦｌｏｗコントローラがＳＤＮコントローラ２となる。

またＳＤＮによって構築されたネットワークでは，スイッチ３を介して端末４が接続している。スイッチ３はデータを転送するネットワーク機器である。なお，図示していないが，ネットワーク通信を行うために必要なスイッチ３以外のネットワーク機器，たとえばゲートウェイなどの機器を，適宜，備えている。

スイッチ３には，端末４から受け取ったパケットをどのように制御するのかを示すルールであるフローエントリの集合（フローテーブル）が記憶されており，それにしたがってパケットを処理する。フローテーブルは，フローエントリを識別するためのテーブルＩＤ（識別情報）と，端末４から受け取ったパケットに対して，どのフローエントリで処理するかを判定するための条件と，フローエントリの優先度と，条件を充足した場合の制御とを対応づけて記憶している。

スイッチ３は，新規に接続された端末４からＦｉｒｓｔ Ｐａｃｋｅｔを受け取ると，当該パケットの処理を一時保留し，当該スイッチ３に接続するすべてのＳＤＮコントローラ２に問い合わせをするＰａｃｋｅｔ−Ｉｎメッセージを送る。そして，当該端末４を管理するＳＤＮコントローラ２が，当該端末４のパケットの処理に対するフローエントリを，スイッチ３のフローテーブルに設定する。そして，一時保留したパケットを，当該フローエントリに基づいて処理をする。

本発明の情報処理システム１におけるスイッチ３は，異なるネットワークを管理する複数のＳＤＮコントローラ２と接続している。ＳＤＮとしてＯｐｅｎＦｌｏｗが用いられる場合，ＯｐｅｎＦｌｏｗスイッチがスイッチ３に相当する。

図１では，ＳＤＮコントローラ２ＡがネットワークＸを，ＳＤＮコントローラ２ＢがネットワークＹを，同一のスイッチ３を用いてそれぞれ制御する場合を示している。スイッチ３のポートＰ１乃至Ｐ３はネットワークＸを管理するＳＤＮコントローラ２Ａが，ポートＰ４乃至Ｐ６はネットワークＹを管理するＳＤＮコントローラ２Ｂが，それぞれ管理をしている。また，ポートＰ１には端末４（ＰＣ−１）が，ポートＰ４には端末４（ＰＣ−２）が，それぞれ許可された端末４として接続されている。そしてポートＰ６には，いずれのＳＤＮコントローラ２でも未許可の端末４（ＰＣ−３）が新たに接続された状態を示している。

本発明の情報処理システム１は，サーバやパーソナルコンピュータなどの各種のコンピュータにより実現される。図２にコンピュータのハードウェア構成の一例を示す。コンピュータは，プログラムの演算処理を実行するＣＰＵなどの演算装置７０と，情報を記憶するＲＡＭやハードディスクなどの記憶装置７１と，ディスプレイなどの表示装置７２と，キーボードやポインティングデバイス（マウスやテンキーなど）などの入力装置７３と，演算装置７０の処理結果や記憶装置７１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置７４とを有している。

なお，図１ではそれぞれが一台のコンピュータで実現される場合を示したが，複数台のコンピュータにその機能が分散配置され，実現されても良い。また，本発明における各処理部は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域をなしていても良い。

つぎに本発明の情報処理システム１における処理プロセスの一例を図３のフローチャートを用いて説明をする。本発明の情報処理システム１における各端末４のＦｉｒｓｔ Ｐａｃｋｅｔに対するシーケンス図を図４に示す。

スイッチ３のポートに新たに端末４が接続され，その端末４からの最初のパケット（Ｆｉｒｓｔ Ｐａｃｋｅｔ）をスイッチ３で受け付けると，スイッチ３は，当該スイッチ３のフローテーブルを参照する。新規に接続された端末４のパケットのフローエントリはフローテーブルに登録されていないので，当該スイッチ３は，フローテーブルに該当するフローエントリがなかったことを示すＰａｃｋｅｔ−Ｉｎメッセージを，接続しているすべてのＳＤＮコントローラ２，ここではＳＤＮコントローラ２Ａ，ＳＤＮコントローラ２Ｂに送る。

Ｐａｃｋｅｔ−Ｉｎメッセージを受信した各ＳＤＮコントローラ２は，登録しているスイッチ３からのＰａｃｋｅｔ−Ｉｎメッセージであるか（Ｓ１１０），登録しているポートからのＰａｃｋｅｔ−Ｉｎメッセージであるか（Ｓ１２０），接続を許可している端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージであるか（Ｓ１３０）を判定する。

すなわち，ＳＤＮコントローラ２は，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージであることを判定すると，スイッチ３に対して，どのネットワークに接続するかを決定するフローエントリを，通常の優先度で当該スイッチ３のフローテーブルに設定する。（Ｓ１４０）。

一方，ＳＤＮコントローラ２は，登録していないスイッチ３から（Ｓ１１０），登録していないポートから（Ｓ１２０），または接続を許可していない端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージであることを判定すると（Ｓ１３０），スイッチ３に対して，通常の優先度のフローエントリよりも低い優先度のＤｒｏｐフロー（パケットを破棄するフローエントリ）を，当該スイッチ３のフローテーブルに設定する（Ｓ１５０）。

たとえば，スイッチ３のフローテーブルの初期状態が図５であったとする。そしてスイッチ３が端末４（ＰＣ−１）からのＦｉｒｓｔ Ｐａｃｋｅｔを受け取ると，フローテーブルを参照しても，対応するフローエントリがないので，スイッチ３は，当該Ｆｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−ＩｎメッセージをＳＤＮコントローラ２Ａ，ＳＤＮコントローラ２Ｂに送ることになる。ＳＤＮコントローラ２Ａは，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージであることを判定するので，ネットワークＸに転送することを示すフローエントリを，スイッチ３のフローテーブルに設定する。一方，ＳＤＮコントローラ２Ｂは，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージではないことを判定するので，通常の優先度のフローエントリよりも低い優先度のＤｒｏｐフローを，当該スイッチ３のフローテーブルに登録をする。この状態のスイッチ３のフローテーブルを示すのが図６である。

同様に，スイッチ３が端末４（ＰＣ−２）からのＦｉｒｓｔ Ｐａｃｋｅｔを受け取ると，フローテーブルを参照しても，対応するフローエントリがないので，スイッチ３は，当該Ｆｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−ＩｎメッセージをＳＤＮコントローラ２Ａ，ＳＤＮコントローラ２Ｂに送ることになる。ＳＤＮコントローラ２Ｂは，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージであることを判定するので，ネットワークＹに転送することを示すフローエントリを，スイッチ３のフローテーブルに登録する。一方，ＳＤＮコントローラ２Ａは，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージではないことを判定するので，通常の優先度のフローエントリよりも低い優先度のＤｒｏｐフローを，当該スイッチ３のフローテーブルに設定する。この状態のスイッチ３のフローテーブルを示すのが図７である。

さらに，スイッチ３が端末４（ＰＣ−３）からのＦｉｒｓｔ Ｐａｃｋｅｔを受け取ると，フローテーブルを参照しても，対応するフローエントリがないので，スイッチ３は，当該Ｆｉｒｓｔ Ｐａｃｋｅｔに対するＰａｃｋｅｔ−ＩｎメッセージをＳＤＮコントローラ２Ａ，ＳＤＮコントローラ２Ｂに送ることになる。ＳＤＮコントローラ２ＡおよびＳＤＮコントローラ２Ｂは，いずれも，登録しているスイッチ３の登録しているポートに接続した許可端末４からのパケットに対するＰａｃｋｅｔ−Ｉｎメッセージではないことを判定するので，通常の優先度のフローエントリよりも低い優先度のＤｒｏｐフローを，当該スイッチ３のフローテーブルに設定する。この状態のスイッチ３のフローテーブルを示すのが図８である。なお，ＳＤＮコントローラ２Ａ，ＳＤＮコントローラ２Ｂから同一のフローエントリの登録することになるので，いずれか一方を登録すればよいが，重複して登録することを排除するものではない。

これらの処理によって，端末４（ＰＣ−１）からのＦｉｒｓｔ Ｐａｃｋｅｔ以降のパケットを受け付けたスイッチ３は，フローテーブルのフローエントリ（テーブルＩＤ：１）を参照し，Ｄｒｏｐフローよりも優先度が高い（通常の優先度である）ネットワークＸに転送するフローエントリを実行するので，当該パケットをネットワークＸに転送する処理を実行できる。また，端末４（ＰＣ−２）からのＦｉｒｓｔ Ｐａｃｋｅｔ以降のパケットを受け付けたスイッチ３は，フローテーブルのフローエントリ（テーブルＩＤ：３）を参照し，Ｄｒｏｐフローよりも優先度が高い（通常の優先度である）ネットワークＹに転送するフローエントリを実行するので，当該パケットをネットワークＹに転送する処理を実行できる。そして，許可されていない端末４（ＰＣ−３）からのＦｉｒｓｔ Ｐａｃｋｅｔ以降のパケットを受け付けたスイッチ３は，フローテーブルのフローエントリ（テーブルＩＤ：１，３）を参照すると，通常の優先度のフローエントリには該当するものはないが，低い優先度のフローエントリ（テーブルＩＤ：５）としてＤｒｏｐフローがあるので，それに基づいてＤｒｏｐフローを実行し，当該パケットを破棄する処理を実行することができる。

新たに接続された端末４からＦｉｒｓｔ Ｐａｃｋｅｔを受け付けると，以上のような処理を実行することで，どのＳＤＮコントローラ２にも登録されていない新たな端末４がスイッチ３に接続された場合に，スイッチ３がＰａｃｋｅｔ−Ｉｎメッセージが送り続けることを防止することができる。

図１１に示すように，従来のシステムによるフローテーブルでは，端末４（ＰＣ−１）からのネットワークＸにパケットを転送することを示すフローエントリ，端末４（ＰＣ−２）からのネットワークＹにパケットを転送することを示すフローエントリのみが登録されることになるので，どのＳＤＮコントローラ２にも登録されていない新たな端末４（ＰＣ−３）からのＦｉｓｔ Ｐａｃｋｅｔを受け付けた場合，つねにＰａｃｋｅｔ−ＩｎメッセージがすべてのＳＤＮコントローラに送られることとなってしまう。

しかし，本発明の情報処理システム１を用いることによって，どのＳＤＮコントローラ２にも登録されていない新たな端末４がスイッチ３に接続された場合，通常の優先度よりも低い優先度でＤｒｏｐフローがフローテーブルに設定されているため，パケットが破棄されることとなり，スイッチ３はＳＤＮコントローラ２に対して，Ｐａｃｋｅｔ−Ｉｎメッセージを送らずにすむ。そのため，Ｐａｃｋｅｔ−Ｉｎメッセージを送り続ける状況を回避することができる。

なお，Ｆｉｒｓｔ Ｐａｃｋｅｔを受け付けた場合に限定するのではなく，任意のパケットを受け付けた場合に，以上の処理を実行するのでもよい。また，条件が同一であって，通常の優先度のフローエントリと，低い優先度のＤｒｏｐフローとがフローテーブルにある場合，低い優先度のＤｒｏｐフローを削除するようにしてもよい。

本発明の情報処理システム１を用いることによって，スイッチ３に接続するどのＳＤＮコントローラ２でも管理しない新たな端末４が登録された場合であっても，スイッチ３がＰａｃｋｅｔ−Ｉｎメッセージを送り続けないようにすることが可能となる。これによって，ＳＤＮコントローラ２やスイッチ３の負荷の軽減につなげることができる。

１：情報処理システム
２：ＳＤＮコントローラ
３：スイッチ
４：端末
７０：演算装置
７１：記憶装置
７２：表示装置
７３：入力装置
７４：通信装置

Claims (5)

1. コントローラとスイッチとを用いる情報処理システムであって，
   前記スイッチは，
   接続する端末からのパケットに対するフローエントリがフローテーブルにないことを判定すると，所定のメッセージを，接続するすべてのコントローラに送り，
   前記コントローラは，
   前記スイッチから受け付けた前記所定のメッセージがあらかじめ定めた条件を充足していないことを判定した場合には，前記スイッチの前記フローテーブルに，パケットを破棄するフローエントリを低い優先度で設定する，
   ことを特徴とする情報処理システム。
2. 前記所定条件は，
   登録しているスイッチからの前記所定のメッセージであるか，登録しているポートからの前記所定のメッセージであるか，接続を許可している端末からのパケットに対する前記所定のメッセージであるか，のいずれか一以上である，
   ことを特徴とする請求項１に記載の情報処理システム。
3. 前記コントローラは，
   前記スイッチから受け付けた前記所定のメッセージがあらかじめ定めた条件を充足していることを判定した場合には，前記スイッチのフローテーブルに，そのＳＤＮコントローラが制御するネットワークにパケットを転送するフローエントリを通常の優先度で設定する，
   ことを特徴とする請求項１または請求項２に記載の情報処理システム。
4. ＳＤＮによって構築されたネットワークで用いるＳＤＮコントローラであって，
   前記ＳＤＮコントローラは，
   スイッチに接続する端末からのパケットに対するフローエントリがフローテーブルにないことを示すメッセージを，前記スイッチから受け付け，
   前記スイッチから受け付けた前記メッセージがあらかじめ定めた条件を充足していないことを判定した場合には，前記スイッチの前記フローテーブルに，パケットを破棄するフローエントリを低い優先度で設定する，
   ことを特徴とするＳＤＮコントローラ。
5. ＳＤＮによって構築されたネットワークで用いるスイッチであって，
   前記スイッチは，
   接続する端末からのパケットに対するフローエントリがフローテーブルにないことを判定すると，所定のメッセージを，接続するすべてのコントローラに送り，
   前記コントローラにおいて，前記メッセージがあらかじめ定めた条件を充足していないことが判定された場合には，パケットを破棄する低い優先度のフローエントリを，前記コントローラから受け付け，
   前記フローテーブルに，前記受け付けたフローエントリを設定する，
   ことを特徴とするスイッチ。

Images