このように、本発明を例示的な実施形態を参照しながら具体的に図示・説明してきたが、当業者であれば、添付の特許請求の範囲に包含される本発明の範囲を逸脱しない範疇で、形態や細部に様々な変更が施されてもよいことを理解するであろう。
なお、本発明は、実施の態様として以下の内容を含む。
［態様１］
第１のエンドポイントと第２のエンドポイントとの間に確立された双方向ネットワークセッション中に、
パケットのストリームを検査する過程と、
前記第１のエンドポイントから送信された所与のパケット内のメッセージが変更されるべきであると判断すると、
前記所与のパケット内の前記メッセージを変更して変更後パケットを生成する過程と、
前記メッセージの変更を考慮して変更後のシーケンス番号を決定する過程と、
前記変更後パケットを前記第２のエンドポイントに送信する過程と、
返信メッセージを前記第１のエンドポイントに送信し、元のメッセージが変更されたことを知らせる過程と、
を備える、方法。
［態様２］
態様１に記載の方法において、変更後のシーケンス番号を決定する前記過程が、
変更された前記パケットのシーケンス番号に基づいてシーケンスマーカー値を決定すること、
アキュムレータ値を維持すること、
元の前記所与のパケットと前記変更後パケットとのバイト数の差分を表すデルタ値を記憶すること、
前記第２のエンドポイントからの前記変更後パケットの確認応答を検出すること、および
前記デルタ値を前記アキュムレータ値に加算すること、
を含む、方法。
［態様３］
態様２に記載の方法において、さらに、
受信した後続のパケットのシーケンス番号が前記シーケンスマーカー値以上である場合、
前記第１のエンドポイントから受信した後続のパケットのシーケンス番号を前記アキュムレータ値だけ変更する過程、
を備える、方法。
［態様４］
態様３に記載の方法において、さらに、
前記第２のエンドポイントから受信した別のパケットの確認応答シーケンス番号を前記アキュムレータ値に基づいて調節する過程、
を備える、方法。
［態様５］
態様１に記載の方法において、前記所与のパケット内の前記メッセージを変更する過程が、当該パケット内の当該メッセージを、異なる長さの第２のメッセージに置き換えることを含む、方法。
［態様６］
態様５に記載の方法において、前記第２のメッセージが、ハートビートメッセージ、テストメッセージ、またはシーケンスフィルタメッセージを含む、方法。
［態様７］
態様１に記載の方法において、前記所与のパケット内の前記メッセージを変更する過程が、当該パケットから当該メッセージを除去することを含む、方法。
［態様８］
態様１に記載の方法において、前記第１のエンドポイントが取引業者に対応付けられたクライアント装置であり、前記第２のエンドポイントが証券取引システムに対応付けられた市場装置であり、前記メッセージが証券を売買する注文である、方法。
［態様９］
態様８に記載の方法において、前記返信メッセージが、前記メッセージを変更した理由を含む、方法。
［態様１０］
態様８に記載の方法において、前記メッセージを変更した前記理由が、取引ルールへの準拠、セキュリティリスク又は証券リスク、及びパケットコンテンツフィルタリングのうちの少なくとも一つに関する、方法。
［態様１１］
態様２に記載の方法において、さらに、
前記第２のエンドポイントから前記変更後パケットのＡＣＫを受信したか否かを判断する過程と、
前記変更後パケットのＡＣＫを受信していないと判断した場合、
前記変更後パケットを再送する過程と、
タイムアウト時間後に前記セッションを切断する過程と、
を備える、方法。
［態様１２］
態様１１に記載の方法において、前記変更後パケットのＡＣＫを受信したか否かを判断する過程が、一定間隔で実行される、方法。
［態様１３］
態様１１に記載の方法において、さらに、
前記第２のエンドポイントから受信した前記ＡＣＫのシーケンス番号が前記シーケンスマーカー以上である場合、
変更ペンディング値をクリアする過程、
を備える、方法。
［態様１４］
態様１１に記載の方法において、変更された前記メッセージのＡＣＫを受信したか否かを判断する過程が、前記デルタ値を定期的にポーリングすることを含む、方法。
［態様１５］
態様１に記載の方法において、さらに、
前記変更後パケットのＡＣＫを未だ受信しておらず、かつ、後続のパケットについても変更して第２の変更後パケットを生成する必要がある場合、
前記変更後パケットの前記ＡＣＫを受信するまで前記第２の変更後パケットをストールする過程、
を備える、方法。
［態様１６］
態様１５に記載の方法において、さらに、
前記デルタ値をポーリングして、前記変更後パケットの前記ＡＣＫをいつ受信したかを判断する過程と、
所定の時間間隔で前記変更後パケットを再送する過程と、
前記変更後パケットの前記ＡＣＫを受信することなく所定の時間が経過すると、前記セッションを切断する過程と、
を備える、方法。
［態様１７］
第１のＴＣＰエンドポイントと第２のＴＣＰエンドポイントとの間に確立された双方向ＴＣＰセッション中に、
前記第１のＴＣＰエンドポイントから受信したＴＣＰパケットを検査する過程と、
所与のＴＣＰパケットからＴＣＰシーケンス番号を抽出する過程と、
前記所与のＴＣＰパケットに対応するＴＣＰセッションを特定する過程と、
前記所与のＴＣＰパケット内のコンテンツがルールに準拠しているか否かを判断する過程と、
前記所与のＴＣＰパケットが前記ルールに準拠している場合、
前記所与のＴＣＰパケットを前記第２のＴＣＰエンドポイントに到達させる過程と、
前記所与のＴＣＰパケットが前記ルールに準拠していない場合、
拒絶理由データ値を決定する過程と、
前記所与のＴＣＰパケットの少なくとも一部が前記第２のＴＣＰポイントに到達するのを阻止する過程と、
前記所与のＴＣＰパケットの少なくとも一部を除去して変更後ＴＣＰパケットを形成する過程と、
デルタ値を、そのようにして除去された前記一部のサイズに依存する数値に設定する過程と、
前記デルタ値を、前記ＴＣＰセッションに対応付けられた各セッション用のＴＣＰアキュムレータに適用する過程と、
前記変更後ＴＣＰパケットのＴＣＰシーケンス番号を、前記各セッション用のＴＣＰアキュムレータのサイズに依存する数値だけ調節する過程と、
前記変更後ＴＣＰパケットを前記第２のＴＣＰエンドポイントに送信する過程と、
前記拒絶の理由を表す数値を有する返信パケットを生成する過程と、
前記返信パケットを前記第１のＴＣＰエンドポイントに送信する過程と、
を備える、方法。
［態様１８］
互いに独立して動作する第１のネットワークインターフェース及び第２のネットワークインターフェースを有するカットスルー方式の固定ロジックデバイスであって、１つ又は複数のＴＣＰパケットストリームが前記第１および第２のネットワークインターフェース間を移動することのできる、カットスルー方式の固定ロジックデバイスと、
前記ＴＣＰパケットストリームを検査するパケット検査デバイスであって、
所与のＴＣＰパケットからＴＣＰシーケンス番号を抽出し、
前記所与のＴＣＰパケットに対応するセッションを特定し、
前記所与のＴＣＰパケットが、ルールに準拠していないコンテンツを含んでいるか否かを判断し、
前記所与のＴＣＰパケットが準拠していない場合、
前記所与のＴＣＰパケットの少なくとも一部が前記第２のネットワークインターフェースに到達するのを阻止する、
パケット検査デバイスと、
固定ロジック及び少なくとも１つのプログラマブルなデータプロセッサを含むコントローラであって、
前記パケット検査デバイスから前記所与のＴＣＰパケット及び拒絶理由データ値を受け取り、
前記所与のＴＣＰパケットの前記シーケンス番号に基づく数値を、各セッション用のＴＣＰシーケンスマーカーとして記憶し、
前記ＴＣＰパケットから、拒絶された前記コンテンツをトリミングして、変更後ＴＣＰパケットを形成し、
前記変更後パケットを前記第２のネットワークインターフェースを介して送信できるように、当該変更後パケットを、前記カットスルー方式の固定デバイスと共有するメモリに書き込み、
各セッション用のデルタ値を、トリミングされた前記コンテンツのサイズに依存する数値に設定し、
前記変更後ＴＣＰパケットの前記ＴＣＰシーケンス番号を、各セッション用のＴＣＰアキュムレータの数値に従って調節し、
前記第２のネットワークインターフェースを介して届いた後続のＴＣＰパケットの、シーケンス番号及びセッション識別子を抽出し、
前記第２のネットワークインターフェースを介して届いた後続のＴＣＰパケットのＡＣＫシーケンス番号が、前記対応するセッションのＴＣＰシーケンスマーカー以上である場合、各セッション用の対応付けられた前記デルタ値を、当該セッションに対応付けられた前記ＴＣＰアキュムレータに適用し、
前記第２のネットワークインターフェースを介して届いた前記後続のパケットの前記ＡＣＫシーケンス番号を、前記セッションに対応付けられた前記ＴＣＰアキュムレータの数値だけ調節し、
前記拒絶の理由を表す数値を含む、前記第１のネットワークインターフェースを介して送信する返信パケットを生成する、
コントローラと、
を備える、装置。
［態様１９］
態様１８に記載の装置において、前記コントローラが、さらに、
ルールに準拠していない前記所与のパケットに対応する前記セッションについて、コネクションストールモードを設定し、
前記第２のネットワークインターフェースから受信した後続のパケットが、前記コネクションストールモードを設定した前記セッションに属するものである場合、
生成された前記返信パケットを前記第１のインターフェースに転送し、
前記生成された返信パケットを前記第１のインターフェースに転送した後、前記後続のパケットを前記第１のインターフェースに転送し、
前記セッションの前記コネクションストールモードをクリアする、装置。
［態様２０］
態様１８に記載の装置において、前記コントローラの前記固定ロジックが、
前記パケット検査デバイスから前記所与のＴＣＰパケット及び拒絶理由データ値を受け取る手順、
前記所与のＴＣＰパケットの前記シーケンス番号に基づく数値を、各セッション用のＴＣＰシーケンスマーカーとして記憶する手順、
前記変更後ＴＣＰパケットの前記ＴＣＰシーケンス番号を、各セッション用のＴＣＰアキュムレータの数値に従って調節する手順、
前記第２のネットワークインターフェースを介して届いた後続のＴＣＰパケットの、シーケンス番号及びセッション識別子を抽出する手順、
前記第２のネットワークインターフェースを介して届いた後続のＴＣＰパケットのＡＣＫシーケンス番号が、前記対応するセッションのＴＣＰシーケンスマーカー以上である場合、各セッション用の対応付けられた前記デルタ値を、当該セッションに対応付けられた前記ＴＣＰアキュムレータに適用する手順、ならびに
前記第２のネットワークインターフェースを介して届いた前記後続のパケットの前記ＡＣＫシーケンス番号を、前記セッションに対応付けられた前記ＴＣＰアキュムレータの数値だけ調節する手順、
のうちの少なくとも一つを実行する、装置。
［態様２１］
態様２０に記載の装置において、前記プログラマブルなデータプロセッサが、プログラムコードを実行して、
前記ＴＣＰパケットから、拒絶された前記コンテンツをトリミングして、変更後ＴＣＰパケットを形成する手順、
前記変更後パケットを、前記カットスルー方式の固定デバイスと共有するメモリに書き込む手順、
各セッション用のデルタ値を、トリミングされた前記コンテンツのサイズに依存する数値に設定する手順、
前記第２のネットワークインターフェースを介して届いた後続のＴＣＰパケットの、シーケンス番号及びセッション識別子を抽出する手順、ならびに
前記拒絶の理由を表す数値を含む、前記第１のネットワークインターフェースを介して送信する返信パケットを生成する手順、
のうちの少なくとも一つを実行する、装置。
［態様２２］
態様１８に記載の装置において、前記コントローラが、さらに、
ルールに準拠していない前記所与のＴＣＰパケットに対応する前記セッションについて、阻止モードインジケータ値を設定し、
前記第１のネットワークインターフェースを介して届いた後続のパケットに関連付けられている情報を、処理キューに格納し、
前記処理キュー内の、前記パケットに関連付けられている前記情報が処理されたか否かを判断し、
前記処理キュー内の、前記パケットに関連付けられている前記情報が処理されたと判断すると、前記阻止モードインジケータをクリアする、装置。
As described above, the present invention has been specifically illustrated and described with reference to an exemplary embodiment, but those skilled in the art will not deviate from the scope of the present invention included in the appended claims. You will understand that various changes may be made to the form and details.
The present invention includes the following contents as an embodiment.
[Aspect 1]
During a bidirectional network session established between the first and second endpoints,
The process of inspecting the packet stream and
When it is determined that the message in a given packet sent from the first endpoint should be modified,
The process of modifying the message in a given packet to generate a modified packet,
The process of determining the changed sequence number in consideration of the change in the message, and
The process of transmitting the modified packet to the second endpoint, and
The process of sending a reply message to the first endpoint and notifying that the original message has changed,
A method.
[Aspect 2]
In the method according to aspect 1, the process of determining the modified sequence number is
Determining the sequence marker value based on the modified sequence number of the packet,
Maintaining accumulator values,
To store a delta value that represents the difference in the number of bytes between the original given packet and the modified packet.
Detecting the acknowledgment of the modified packet from the second endpoint, and
Adding the delta value to the accumulator value,
Including methods.
[Aspect 3]
In the method according to aspect 2, further
When the sequence number of the subsequent packet received is equal to or greater than the sequence marker value,
The process of changing the sequence number of subsequent packets received from the first endpoint by the accumulator value,
A method.
[Aspect 4]
In the method according to aspect 3, further
The process of adjusting the acknowledgment sequence number of another packet received from the second endpoint based on the accumulator value,
A method.
[Aspect 5]
A method according to aspect 1, wherein the process of modifying the message in a given packet comprises replacing the message in the packet with a second message of a different length.
[Aspect 6]
The method of aspect 5, wherein the second message comprises a heartbeat message, a test message, or a sequence filter message.
[Aspect 7]
A method according to aspect 1, wherein the process of modifying the message in the given packet comprises removing the message from the packet.
[Aspect 8]
In the method according to aspect 1, the first endpoint is a client device associated with a trader, the second endpoint is a market device associated with a securities trading system, and the message is A method that is an order to buy or sell securities.
[Aspect 9]
A method according to aspect 8, wherein the reply message includes a reason for changing the message.
[Aspect 10]
The method according to aspect 8, wherein the reason for modifying the message relates to at least one of transaction rule compliance, security or securities risk, and packet content filtering.
[Aspect 11]
In the method according to aspect 2, further
The process of determining whether or not the ACK of the modified packet has been received from the second endpoint, and
If it is determined that the ACK of the changed packet has not been received,
The process of retransmitting the modified packet and
The process of disconnecting the session after the timeout period and
A method.
[Aspect 12]
The method according to aspect 11, wherein the process of determining whether or not the ACK of the modified packet is received is executed at regular intervals.
[Aspect 13]
In the method according to aspect 11, further
When the sequence number of the ACK received from the second endpoint is equal to or higher than the sequence marker,
The process of clearing the changed pending value,
A method.
[Aspect 14]
A method according to aspect 11, wherein the process of determining whether or not an ACK of the modified message has been received comprises polling the delta value on a regular basis.
[Aspect 15]
In the method according to aspect 1, further
When the ACK of the modified packet has not been received yet, and it is necessary to modify the subsequent packet to generate the second modified packet.
The process of stalling the second modified packet until the ACK of the modified packet is received,
A method.
[Aspect 16]
In the method according to aspect 15, further
The process of polling the delta value to determine when the ACK of the modified packet was received, and
The process of retransmitting the modified packet at predetermined time intervals and
The process of disconnecting the session and the process of disconnecting the session when a predetermined time elapses without receiving the ACK of the modified packet.
A method.
[Aspect 17]
During a bidirectional TCP session established between the first TCP endpoint and the second TCP endpoint,
The process of inspecting the TCP packet received from the first TCP endpoint and
The process of extracting TCP sequence numbers from a given TCP packet,
The process of identifying the TCP session corresponding to the given TCP packet, and
The process of determining whether the content in a given TCP packet complies with the rules,
If the given TCP packet complies with the rule
The process of bringing the given TCP packet to the second TCP endpoint,
If the given TCP packet does not comply with the rule
Reason for refusal The process of determining the data value and
The process of preventing at least a portion of the given TCP packet from reaching the second TCP point, and
The process of removing at least a part of a given TCP packet to form a modified TCP packet,
The process of setting the delta value to a number that depends on the size of the part so removed,
The process of applying the delta value to the TCP accumulator for each session associated with the TCP session, and
The process of adjusting the TCP sequence number of the changed TCP packet by a numerical value depending on the size of the TCP accumulator for each session, and
The process of transmitting the modified TCP packet to the second TCP endpoint, and
The process of generating a reply packet having a numerical value indicating the reason for the refusal, and
The process of transmitting the reply packet to the first TCP endpoint and
A method.
[Aspect 18]
A cut-through fixed logic device having a first network interface and a second network interface that operate independently of each other, and one or more TCP packet streams are placed between the first and second network interfaces. A cut-through fixed logic device that can be moved,
A packet inspection device that inspects the TCP packet stream.
Extract the TCP sequence number from a given TCP packet
Identify the session corresponding to the given TCP packet and
Determine if the given TCP packet contains content that does not comply with the rules.
If the given TCP packet is not compliant
Preventing at least a portion of the given TCP packet from reaching the second network interface.
With packet inspection devices
A controller that includes fixed logic and at least one programmable data processor.
Upon receiving the given TCP packet and rejection reason data value from the packet inspection device,
A numerical value based on the sequence number of the given TCP packet is stored as a TCP sequence marker for each session.
From the TCP packet, the rejected content is trimmed to form a modified TCP packet.
The modified packet is written to a memory shared with the cut-through fixed device so that the modified packet can be transmitted via the second network interface.
Set the delta value for each session to a number that depends on the size of the trimmed content.
The TCP sequence number of the modified TCP packet is adjusted according to the numerical value of the TCP accumulator for each session.
The sequence number and session identifier of the subsequent TCP packet arriving via the second network interface are extracted.
When the ACK sequence number of the subsequent TCP packet delivered via the second network interface is equal to or higher than the TCP sequence marker of the corresponding session, the associated delta value for each session is given to the session. Apply to the associated TCP accumulator
The ACK sequence number of the subsequent packet arriving via the second network interface is adjusted by the numerical value of the TCP accumulator associated with the session.
Generate a reply packet to be transmitted over the first network interface, including a number representing the reason for the rejection.
With the controller
A device that comprises.
[Aspect 19]
In the apparatus of aspect 18, the controller further comprises.
Set the connection stall mode for the session corresponding to the given packet that does not comply with the rules.
When the subsequent packet received from the second network interface belongs to the session in which the connection stall mode is set.
The generated reply packet is forwarded to the first interface and
After forwarding the generated reply packet to the first interface, the subsequent packet is forwarded to the first interface.
A device that clears the connection stall mode of the session.
[Aspect 20]
In the apparatus of aspect 18, the fixed logic of the controller
Procedure for receiving the given TCP packet and rejection reason data value from the packet inspection device,
A procedure for storing a numerical value based on the sequence number of a given TCP packet as a TCP sequence marker for each session.
A procedure for adjusting the TCP sequence number of the modified TCP packet according to the numerical value of the TCP accumulator for each session.
A procedure for extracting a sequence number and a session identifier of a subsequent TCP packet arriving via the second network interface.
When the ACK sequence number of the subsequent TCP packet delivered via the second network interface is equal to or higher than the TCP sequence marker of the corresponding session, the associated delta value for each session is given to the session. The procedure to apply to the associated TCP accumulator, as well as
A procedure for adjusting the ACK sequence number of the subsequent packet delivered via the second network interface by the numerical value of the TCP accumulator associated with the session.
A device that performs at least one of them.
[Aspect 21]
In the apparatus of aspect 20, the programmable data processor executes program code.
A procedure for trimming the rejected content from the TCP packet to form a modified TCP packet.
A procedure for writing the modified packet to a memory shared with the cut-through fixed device,
Steps to set the delta value for each session to a number that depends on the size of the trimmed content.
The procedure for extracting the sequence number and session identifier of subsequent TCP packets arriving via the second network interface, and
A procedure for generating a reply packet to be transmitted over the first network interface, including a number representing the reason for the rejection.
A device that performs at least one of them.
[Aspect 22]
In the apparatus of aspect 18, the controller further comprises.
A blocking mode indicator value is set for the session corresponding to the given TCP packet that does not comply with the rules.
Information associated with subsequent packets arriving via the first network interface is stored in the processing queue.
It is determined whether or not the information associated with the packet in the processing queue has been processed.
A device that clears the blocking mode indicator when it determines that the information associated with the packet in the processing queue has been processed.