JP4279324B2 - Network control method - Google Patents
Network control method Download PDFInfo
- Publication number
- JP4279324B2 JP4279324B2 JP2007048246A JP2007048246A JP4279324B2 JP 4279324 B2 JP4279324 B2 JP 4279324B2 JP 2007048246 A JP2007048246 A JP 2007048246A JP 2007048246 A JP2007048246 A JP 2007048246A JP 4279324 B2 JP4279324 B2 JP 4279324B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- destination
- processing device
- packet processing
- subscriber user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、広域ネットワークにおいて、トラヒック変動をネットワークワイドに監視し、分析の必要がある場合のみ専用のパケット処理装置ヘトラヒックを転送して詳細分析を実施する際に、大規模な分析対象が発生した際でも、負荷分散を実施することで、ネットワーク内における不正アクセス監視および攻撃トラヒック防御を効率的に実施してセキュリティを低コストで向上するための技術である。 In the present invention, in a wide area network, traffic fluctuations are monitored over a wide area, and when a detailed analysis is performed by transferring traffic to a dedicated packet processing device only when analysis is necessary, a large-scale analysis target is generated. Even in such a case, it is a technique for improving security at a low cost by efficiently implementing illegal access monitoring and attack traffic defense in the network by implementing load balancing.
インターネットの普及に伴い、ネットワーク経由の不正アクセスによるデータなどの不正盗聴、DDoS(Distributed Denial of Services)攻撃などによるシステム攻撃などが多発している。 With the spread of the Internet, illegal eavesdropping of data and the like due to unauthorized access via a network, system attacks such as DDoS (Distributed Denial of Services) attacks, etc. are frequently occurring.
従来、これらの脅威に対処するために、ファイアウォール機能をルータ等のパケット転送装置に実装することで、ネットワークを流れるデータ内容やパケットヘッダ内容に応じて通信を制御するアクセス制御技術が用いられる。このパケット転送装置をネットワークの境界に設置することで、ユーザが設定したセキュリティポリシに従った必要最低限の通信のみを通過させることが可能である。 Conventionally, in order to cope with these threats, an access control technique is used in which a firewall function is installed in a packet transfer device such as a router to control communication according to data contents flowing through a network and packet header contents. By installing this packet transfer device at the boundary of the network, it is possible to pass only the minimum necessary communication in accordance with the security policy set by the user.
しかし、上記のファイアウォール機能では、セキュリティポリシに従った通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正侵入等の不正アクセスやDDoS攻撃を完全に阻止することは困難である。 However, since the firewall function allows communication according to the security policy to pass through the network, it is difficult to completely prevent unauthorized access such as unauthorized intrusion or DDoS attack using this allowed communication service. It is.
この問題を解決するために、Anomaly Detectorなどの異常トラヒック検出装置とAnomaly Guardなどの異常トラヒック分析・制御装置を組み合わせて使用する方式が採用されている[特許文献1]。この方式では、Anomaly Detectorで異常トラヒックの可能性を検出すると、Anomaly Guardへ警告を送り、対象トラヒックをAnomaly Guardへ再ルーチングして分析するAnomaly Guardは、詳細な分析を実施した後、受信トラヒックを不正トラヒックと正常トラヒックに分類し、正常トラヒックは元の宛先に転送するとともに、不正なトラヒックは削除する。 In order to solve this problem, a method of using an abnormal traffic detection device such as Anomaly Detector and an abnormal traffic analysis / control device such as Anomaly Guard is used [Patent Document 1]. In this method, when Anomaly Detector detects the possibility of abnormal traffic, Anomaly Guard sends an alert to Anomaly Guard, reroutes the target traffic to Anomaly Guard, and analyzes it. The traffic is classified into illegal traffic and normal traffic, and the normal traffic is transferred to the original destination, and the illegal traffic is deleted.
この方式には、異常トラヒック分析・制御装置が、ネットワーク内のルーチング情報を変更して異常トラヒックの可能性があるフローの宛先アドレスの次ホップを自身とすることで、当該フローを自身へ誘導する方式[非特許文献2]と、ネットワーク内のエッジルータと異常トラヒック分析・制御装置間にトンネルと呼ばれる論理ポートを設定して異常トラヒックの可能性があるフローを異常トラヒック分析・制御装置へ転送する方式がある[非特許文献1]。後者の方式では、特定のルータと異常トラヒック分析・制御装置間に双方向の論理的なトンネルを設定するとともに、当該ルータに対してループを防止するためのアクセスコントロールリストを設定することで、特定トラヒックを異常トラヒック分析・制御装置へ誘導すると同時にループ発生を回避している。 In this method, the abnormal traffic analysis / control device changes the routing information in the network to set the next hop of the destination address of the flow with the possibility of abnormal traffic as its own, thereby guiding the flow to itself. The system [Non-Patent Document 2] and a logical port called a tunnel are set between the edge router in the network and the abnormal traffic analysis / control device, and a flow having a possibility of abnormal traffic is transferred to the abnormal traffic analysis / control device. There is a method [Non-Patent Document 1]. In the latter method, a two-way logical tunnel is set between a specific router and anomaly traffic analysis / control device, and an access control list for preventing a loop is set for the router. Loops are avoided at the same time that traffic is directed to the abnormal traffic analysis and control device.
しかし、これらの方式では、フローが誘導される異常トラヒック分析・制御装置は、宛先アドレス単位に予め決められている。このため、ある装置に対応づけられた宛先アドレスに対する大量の攻撃が発生した際に、異常トラヒック分析・制御装置に大量のトラヒックが流入して輻輳する可能性がある。このため、各異常トラヒック分析・制御装置は、対応づけられた宛先アドレスヘの攻撃トラヒックが最大になった際でも確実に分析・制御できるよう、通常時には過剰といえる処理性能を保有しなければならず、結果的に、装置が高コスト化する。 However, in these systems, the abnormal traffic analysis / control apparatus to which the flow is induced is determined in advance for each destination address. For this reason, when a large amount of attacks against a destination address associated with a certain device occurs, there is a possibility that a large amount of traffic flows into the abnormal traffic analysis / control device and becomes congested. For this reason, each abnormal traffic analysis / control device must have processing performance that can be said to be excessive during normal times so that it can be reliably analyzed and controlled even when the attack traffic to the associated destination address becomes maximum. As a result, the cost of the apparatus increases.
また、トラヒックエンジニアリングのような従来の負荷分散方式では、経路毎にしか負荷分散を実施することができないため、異常トラヒック分析・制御装置のような装置間での負荷分散を実施するためには、各経路上に設置されている全装置を負荷分散制御装置が管理する必要がある。このため、ネットワーク規模の大規模化に伴い、各経路上の全装置管理負荷が急増し、結果的に、負荷分散制御装置が高コスト化する。さらに、トラヒックエンジニアリングを使用した際は、同一のエッジルータ配下に攻撃者と被攻撃者が存在する場合、トラヒックを特定装置へ誘導することができない。このため、対応できない攻撃パターンが存在する。 In addition, in a conventional load distribution method such as traffic engineering, load distribution can be performed only for each route. Therefore, in order to perform load distribution between devices such as an abnormal traffic analysis / control device, It is necessary for the load distribution control device to manage all devices installed on each route. For this reason, as the network scale increases, the total device management load on each path increases rapidly, resulting in an increase in cost of the load distribution control device. Further, when traffic engineering is used, traffic cannot be directed to a specific device if an attacker and an attacked person exist under the same edge router. For this reason, there are attack patterns that cannot be handled.
本発明の目的は、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できるネットワーク制御技術を提供することにある。 An object of the present invention is to provide a network control technique capable of realizing anomaly traffic detection / analysis and control in a wide area network at a low cost.
本発明は、特定のトラヒックを分析・制御するために、エッジルータ相当の加入者ユーザ収容装置と、異常トラヒック分析・制御装置相当の複数のパケット処理装置間で、転送経路を動的に設定して対象トラヒックを転送するよう指示するネットワーク制御装置が設置されたネットワークにおいて、加入者ユーザ収容装置に対してループを防止するためのアクセスコントロールリストを設定することで、特定トラヒックを異常トラヒック分析・制御装置へ誘導すると同時にループ発生を回避する従来技術を利用するネットワーク制御において、宛先加入者ユーザ収容装置毎に、順位付けされた複数の迂回先パケット処理装置を規定するリストを作成し、パケット処理装置へトラヒックを迂回する際に、優先度が最も高いパケット処理装置の現在の転送データ量などの処理負荷をチェックし、処理負荷が予め定めた閾値以上であれば、次に優先度の高いパケット処理装置の現処理負荷をチェックし、処理負荷が閾値以下のパケット処理装置を検出した際に、当該パケット処理装置と当該宛先加入者ユーザ収容装置間に論理ポートを設定する。その後は、従来技術を適用し、加入者ユーザ収容装置に対してループを防止するためのアクセスコントロールリストを設定する。また、パケット処理装置へ誘導中のパケットフローの転送データ量が動的に増加した際も、当該パケット処理装置上の一部のパケットフローに対して次候補の誘導先パケット処理装置を特定して誘導先を動的に変更する。 In order to analyze and control specific traffic, the present invention dynamically sets a transfer path between a subscriber user accommodation device equivalent to an edge router and a plurality of packet processing devices equivalent to abnormal traffic analysis and control devices. In the network where the network control device that instructs to transfer the target traffic is installed, by setting an access control list for preventing loops for the subscriber user accommodation device, the specific traffic is analyzed and controlled as abnormal traffic. In network control using the prior art that guides to a device and avoids the occurrence of a loop, a list for defining a plurality of detour destination packet processing devices ranked for each destination subscriber user accommodation device is created, and the packet processing device When detouring traffic, the current packet processing device with the highest priority The processing load such as the amount of transferred data is checked, and if the processing load is equal to or greater than a predetermined threshold, the current processing load of the next highest priority packet processing device is checked, and the packet processing device whose processing load is equal to or less than the threshold Is detected, a logical port is set between the packet processing device and the destination subscriber user accommodation device. Thereafter, the conventional technology is applied, and an access control list for preventing a loop is set for the subscriber user accommodation device. Also, when the amount of data transferred in the packet flow being guided to the packet processing device dynamically increases, the next candidate guidance destination packet processing device is specified for some packet flows on the packet processing device. Change the destination dynamically.
これにより、パケット処理機能を通過させ制御を実施したいトラヒックを、複数のパケット処理装置間で負荷分散しつつ、かつ、従来技術を併用することでループを防止しつつ、送信できる。その際、パケット処理装置は、過剰な処理性能を保有する必要はなく、ネットワーク制御装置は、ネットワーク内の各経路上に設置されている全装置を管理する必要も無い。さらに、同一のエッジルータ配下に攻撃者と被攻撃者が存在する場合でも、パケット処理装置間で負荷分散しつつトラヒックをパケット処理装置へ誘導することができる。 As a result, it is possible to transmit traffic that wants to be controlled by passing through the packet processing function while distributing the load among a plurality of packet processing apparatuses and using the conventional technology together while preventing a loop. At this time, the packet processing device does not need to have excessive processing performance, and the network control device does not need to manage all devices installed on each path in the network. Furthermore, even when an attacker and an attacked person exist under the same edge router, it is possible to guide traffic to the packet processing device while distributing the load among the packet processing devices.
これにより、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できる。 This makes it possible to detect and analyze abnormal traffic and control in a wide area network at a low cost.
本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。 Of the inventions disclosed in this specification, the outline of typical ones will be briefly described as follows.
上述の課題を解決するために、本発明では、請求項1では、ネットワーク制御方法において、ネットワーク制御装置が、加入者ユーザ収容装置毎に、優先順位付けされた複数のパケット処理装置リストを管理するとともに、通知されたパケットフローの転送データ量と、通知に記述された宛先加入者ユーザ収容装置に対する第一優先パケット処理装置の転送データ量を加算し、予め定めた一定値を超過するか否かを確認し、一定値を超過しない際は、当該加入者ユーザ収容装置と当該パケット処理装置間に論理ポートを設定し、一定値を超過する際は、優先度が高いパケット処理装置から上記処理を試行して、あるパケット処理装置と当該加入者ユーザ収容装置間に論理ポートを設定するよう試行するネットワーク制御方法を採用する。
In order to solve the above-mentioned problems, according to the present invention, in
さらに、請求項2では、請求項1のネットワーク制御方法において、パケット処理装置は、通過パケットフローの一定時間毎の転送データ量をカウントし、ネットワーク制御装置は、各パケット処理装置に転送されているパケットフローを送信元加入者ユーザ収容装置と宛先加入者ユーザ収容装置と共にフロー管理リストとして管理するとともに、パケット処理装置の一定時間毎の総転送データ量を参照し、転送データ量が予め定めた一定値を超過したパケット処理装置を検出した際に、当該パケット処理装置について、超過分以上の転送データが観測されている単数または複数のパケットフローを特定し、特定したパケットフローに対し、フロー管理リストから、当該パケットフローの宛先加入者ユーザ収容装置を特定し、当該宛先加入者ユーザ収容装置に対する第一優先パケット処理装置の転送データ量と、特定したパケットフローの転送データ量を加算し、予め定めた一定値を超過するか否かを確認し、一定値を超過しない際は、当該パケット処理装置を新たなパケットフロー転送先とし、一定値を超過する際は、優先度が高いパケット処理装置から上記処理を試行して、あるパケット処理装置を新たなパケットフロー転送先と特定するよう試行するネットワーク制御方法を採用する。
Further, according to
さらに、請求項3では、請求項1または2のネットワーク制御方法において、ネットワーク制御装置が、アドレスから当該アドレスを収容する加入者ユーザ収容装置を特定する機能を保有し、宛先アドレスと送信元アドレスで構成されるパケットフロー情報および当該パケットフローの転送データ量で構成される制御情報の通知を受けた際に、宛先アドレスから宛先加入者ユーザ収容装置を特定し、送信元アドレスから送信元加入者ユーザ収容装置を特定し、特定した加入者ユーザ収容装置を、通知に記述された加入者ユーザ収容装置として用いるネットワーク制御方法を採用する。
Furthermore, according to
さらに、請求項4では、請求項1ないし3のうちいずれか1項のネットワーク制御方法において、転送データ量の代わりに、転送データ量と転送パケット数および転送パケットフロー数から構成される転送負荷を用いるネットワーク制御方法を採用する。
Further, according to
さらに、請求項5では、請求項1ないし4のうちいずれか1項のネットワーク制御方法において、パケット処理装置のパケット通過制御機能において、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄するネットワーク制御方法を採用する。
Further, according to
さらに、請求項6では、請求項1ないし4のうちいずれか1項のネットワーク制御方法において、パケット処理装置のパケット通過制御機能において、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄するネットワーク制御方法を採用する。
Furthermore, according to
本発明によれば、パケット処理装置間での負荷分散を実現するために、宛先加入者ユーザ収容装置毎に、順位付けされた複数の迂回先パケット処理装置を規定するリストを作成し、パケット処理装置ヘトラヒックを迂回する際に、優先度が最も高いパケット処理装置の現在の転送データ量などの処理負荷をチェックし、処理負荷が予め定めた閾値以上であれば、次に優先度の高いパケット処理装置の現処理負荷をチェックし、処理負荷が閾値以下のパケット処理装置を検出した際に、当該パケット処理装置と当該宛先加入者ユーザ収容装置間に論理ポートを設定する。その後は、従来技術を適用し、加入者ユーザ収容装置に対してループを防止するためのアクセスコントロールリストを設定する。また、パケット処理装置へ誘導中のパケットフローの転送データ量が動的に増加した際も、当該パケット処理装置上の一部のパケットフローに対して次候補の誘導先パケット処理装置を特定して誘導先を動的に変更する。 According to the present invention, in order to realize load distribution among packet processing devices, a list that defines a plurality of detour destination packet processing devices ranked for each destination subscriber user accommodation device is created, and packet processing is performed. When bypassing device traffic, check the processing load such as the current transfer data amount of the packet processing device with the highest priority, and if the processing load is equal to or greater than a predetermined threshold, the next highest priority packet The current processing load of the processing device is checked, and when a packet processing device having a processing load equal to or less than a threshold is detected, a logical port is set between the packet processing device and the destination subscriber user accommodation device. Thereafter, the conventional technology is applied, and an access control list for preventing a loop is set for the subscriber user accommodation device. Also, when the amount of data transferred in the packet flow being guided to the packet processing device dynamically increases, the next candidate guidance destination packet processing device is specified for some packet flows on the packet processing device. Change the destination dynamically.
これにより、パケット処理機能 を通過させ制御を実施したいトラヒックを、複数のパケット処理装置間で負荷分散しつつ、かつ、従来技術を併用することでループを防止しつつ、送信できる。その際、パケット処理装置は、過剰な処理性能を保有する必要はなく、ネットワーク制御装置は、ネットワーク内の各経路上に設置されている全装置を管理する必要も無い。さらに、同一のエッジルータ配下に攻撃者と被攻撃者が存在する場合でも、パケット処理装置間で負荷分散しつつトラヒックをパケット処理装置へ誘導することができる。 As a result, it is possible to transmit the traffic to be controlled by passing the packet processing function while distributing the load among a plurality of packet processing apparatuses and preventing the loop by using the conventional technique together. At this time, the packet processing device does not need to have excessive processing performance, and the network control device does not need to manage all devices installed on each path in the network. Furthermore, even when an attacker and an attacked person exist under the same edge router, it is possible to guide traffic to the packet processing device while distributing the load among the packet processing devices.
これにより、広域ネットワークにおける異常トラヒック検出・分析および制御を低コストで実現できる。 This makes it possible to detect and analyze abnormal traffic and control in a wide area network at a low cost.
次に、本発明の実施の形態について、図面を用いて説明する。
図1に、本発明を適用するネットワークのネットワークモデルの一例を示す。ネットワークは、加入者ユーザ収容装置1〜4、パケット転送装置5〜6、パケット処理装置7〜8およびそれらを制御するネットワーク制御装置9から構成され、ユーザ端末10から17は、各アクセス網18〜21を経由して、加入者ユーザ収容装置1〜4に収容されている。一般的には、加入者ユーザ収容装置1〜4はエッジノードまたはエッジルータ、パケット転送装置5〜6はコアノードまたはコアルータと呼ばれる。加入者ユーザ収容装置1〜4は、パケット転送装置5〜6によって接続されている。加入者ユーザ収容装置1〜4とパケット転送装置5〜6およびパケット処理装置7〜8からなるネットワークをコアネットワーク22とし、ユーザ端末で構成されるネットワークをユーザネットワーク23とする。
Next, embodiments of the present invention will be described with reference to the drawings.
FIG. 1 shows an example of a network model of a network to which the present invention is applied. The network includes subscriber
加入者ユーザ収容装置1には、装置を識別するためのアドレスとしてコア#1が付与されており、加入者ユーザ収容装置2には、装置を識別するためのアドレスとしてコア#2が付与されており、加入者ユーザ収容装置3には、装置を識別するためのアドレスとしてコア#3が付与されており、加入者ユーザ収容装置4には、装置を識別するためのアドレスとしてコア#4が付与されており、パケット転送装置5には、装置を識別するためのアドレスとしてコア#5が付与されており、パケット転送装置6には、装置を識別するためのアドレスとしてコア#6が付与されており、パケット処理装置7には、装置を識別するためのアドレスとしてコア#7が付与されており、パケット処理装置8には、装置を識別するためのアドレスとしてコア#8が付与されており、それぞれに到達するための経路はルーチングプロトコルにより管理されている。
The subscriber
コア#1〜コア#8は、コアネットワークがIPv4ネットワークであればIPv4アドレスとなり、その際のルーチングプロトコルとしてはOSPF(Open Shortest Path First:RFC2328)などが挙げられる。コアネットワークがIPv6ネットワークであればIPv6アドレスとなり、その際のルーチングプロトコルとしてはOSPFv6(Open Shortest Path First version6:RFC2740)などが挙げられる。また、コアネットワークがMPLS(Multi-Protocol Label Switching)ネットワーク(RFC3031)である場合、ルーチングプロトコルで経路を特定した後、RSVP−TE(Reservation Protocol with Traffic Engineering:RFC3209)やCR−LDP(Constrain−based Label Distribution Protocol:RFC3212)などのシグナリングプロトコルで送信元と宛先のパケット転送装置間にLSP(Label Switched Path)と呼ばれるパスを設定する。
同様に、ユーザ端末10は、アドレスIP#1で識別され、ユーザ端末11は、アドレスIP#2で識別され、ユーザ端末12は、アドレスIP#3で識別され、ユーザ端末13は、アドレスIP#4で識別され、ユーザ端末14は、アドレスIP#5で識別され、ユーザ端末15は、アドレスIP#6で識別され、ユーザ端末16は、アドレスIP#7で識別され、ユーザ端末17は、アドレスIP#8で識別される。
Similarly,
図2に、本発明を適用するネットワークの物理モデルの一例を示す。ネットワーク制御装置9は、ネットワーク内の各装置と接続されている。本実施例では、リンク108〜115により、各装置との接続性を確保している。加入者ユーザ収容装置1とパケット転送装置5はリンク101で接続され、加入者ユーザ収容装置2とパケット転送装置5はリンク102で接続され、加入者ユーザ収容装置3とパケット転送装置6はリンク103で接続され、加入者ユーザ収容装置4とパケット転送装置6はリンク104で接続され、パケット転送装置5とパケット転送装置6はリンク105で接続され、パケット転送装置5とパケット処理装置7はリンク106で接続され、パケット転送装置6とパケット処理装置8はリンク107で接続されている。リンクとしては、光ファイバや光波長のような光パスや、イーサネットケーブルのような物理ケーブルを示している。
FIG. 2 shows an example of a physical model of a network to which the present invention is applied. The network control device 9 is connected to each device in the network. In this embodiment, the
図3に、本発明のネットワーク制御方法を実装する通信ネットワークに設置されるネットワーク制御装置の構成例を示す。ネットワーク制御装置は、制御フロー管理機能24および外部装置制御部25を有している。 FIG. 3 shows a configuration example of a network control apparatus installed in a communication network that implements the network control method of the present invention. The network control device has a control flow management function 24 and an external device control unit 25.
制御フロー管理機能24は、誘導先管理リスト26と、誘導先トラヒック管理機能27と、フロー誘導先管理機能28を保有する。
The control flow management function 24 has a guide
誘導先管理リスト26は、加入者ユーザ収容装置毎に、トラヒック誘導先となる複数のパケット処理装置の候補を優先順位づけして管理する機能を有している。本リストは、加入者ユーザ収容装置と各パケット処理装置との位置関係や両装置間の中継路上のホップ数などに基づき、オペレータが静的に設定することを想定するが、ネットワーク制御装置が、両装置間の中継路上の装置のトラヒック負荷状況などから動的に設定してもよい。
The guide
誘導先トラヒック管理機能27は、各パケット処理装置の現在の転送データ量情報を収集して管理する機能と、各パケット処理装置の転送データ量の許容上限値を示す閾値を設定して管理する機能を保有する。ネットワーク制御装置は、パケット処理装置の保有するトラヒックカウンタやMIB情報を、コマンドラインインタフェースやSNMP(Simple Network Management Protocol)を用いて収集する。また、閾値は、各パケット処理装置の性能に応じてオペレータにより設定される。なお、誘導先トラヒック管理機能27が、転送データ量情報の代わりに、転送データ量と転送パケット数および転送パケットフロー数から構成される転送負荷情報を収集して管理し、これを用いるようにしてもよい。
The destination
フロー誘導先管理機能28は、現在各パケット処理装置へ誘導されているパケットフローの、宛先アドレスおよび送信元アドレスと、宛先加入者ユーザ収容装置のアドレスと、送信元加入者ユーザ収容装置のアドレスと、誘導先パケット処理装置と、転送データ量を管理するフロー管理リストを有している。また、パケット処理装置がパケットフローごとの転送データ量を収集できる場合、本機能で管理されている各パケットフローの転送データ量は、誘導先トラヒック管理機能27が転送データ量を収集する際に、当該装置上のパケットフローの転送データ量も収集することで定期的に更新される。
The flow guide
制御フロー管理機能24は、宛先加入者ユーザ収容装置のアドレスと、送信元加入者ユーザ収容装置のアドレスと、宛先アドレスと送信元アドレスで構成されるパケットフロー情報および、当該パケットフローの転送データ量で構成される制御情報の通知を受信した際に、誘導先管理リストから、宛先加入者ユーザ収容装置に対して第一誘導先候補とされているパケット処理装置を特定する機能と、誘導先トラヒック管理機能27から、特定したパケット処理装置の現転送データ量に当該パケットフローの転送データ量を加算した際に当該パケット処理装置における閾値を超過するか否かを指定する機能と、閾値を超過しなかった際に、トラヒック誘導先を第一誘導先候補であるパケット処理装置へ迂回することを決定して後述の外部装置制御部25に対して宛先加入者ユーザ収容装置と当該パケット処理装置間へ論理ポートを設定するよう指示する機能と、閾値を超過した際に、誘導先管理リスト26から、宛先加入者ユーザ収容装置に対して第二誘導先候補とされているパケット処理装置を特定し、誘導先トラヒック管理機能27から、特定したパケット処理装置の現転送データ量に当該パケットフローの転送データ量を加算した際に当該パケット処理装置における閾値を超過するか否かを特定し、超過した際は制御を断念して制御が不可能な旨をユーザヘ通知し、閾値を超過しなかった際は宛先加入者ユーザ収容装置と当該パケット処理装置間へ論理ポートを設定するよう外部装置制御部25に依頼する機能と、ループを防止しつつ当該論理ポートに当該パケットフローを出力する経路設定を宛先加入者ユーザ収容装置に指示するよう外部装置制御部25に依頼する機能を有している。
The control flow management function 24 includes the address of the destination subscriber user accommodation device, the address of the transmission source subscriber user accommodation device, the packet flow information composed of the destination address and the transmission source address, and the transfer data amount of the packet flow. A function for identifying a packet processing device that is a first guide destination candidate for the destination subscriber user accommodation device from the guide destination management list when receiving a control information notification comprising: From the
また、この機能では、論理ポート設定を指示する前に、フロー誘導先管理機能28を参照し、当該装置間でパケットフローが誘導されているか否かを確認し、誘導されているパケットフローが存在する際は、既に論理ポートが設定されているとして論理ポート設定指示を出さない。また、この機能では、第二誘導先候補のパケット処理装置まで誘導を試行しているが、試行先台数を制限することも可能だが、基本的に誘導先管理リストに記載された全誘導先候補に対して制御を試行する。
Also, with this function, before instructing logical port setting, the flow guidance
なお、宛先加入者ユーザ収容装置のアドレスと、送信元加入者ユーザ収容装置のアドレスと、宛先アドレスと送信元アドレスで構成されるパケットフロー情報および、当該パケットフローの転送データ量で構成される制御情報の通知を受信する代わりに、アドレスから当該アドレスを収容する加入者ユーザ収容装置を特定する機能を保有し、宛先アドレスと送信元アドレスで構成されるパケットフロー情報および当該パケットフローの転送データ量で構成される制御情報の通知を受信した際に、宛先アドレスから宛先加入者ユーザ収容装置を特定し、送信元アドレスから送信元加入者ユーザ収容装置を特定するようにしてもよい。 Note that the destination subscriber user accommodation device address, the transmission source subscriber user accommodation device address, the packet flow information composed of the destination address and the transmission source address, and the control composed of the transfer data amount of the packet flow. Instead of receiving notification of information, it has the function of identifying the subscriber user accommodation device that accommodates the address from the address, and the packet flow information composed of the destination address and the source address and the amount of transfer data of the packet flow When the control information notification is configured, the destination subscriber user accommodation device may be identified from the destination address, and the transmission source subscriber user accommodation device may be identified from the transmission source address.
上記に加え、制御フロー管理機能24は、パケットフロー情報で構成される誘導解除を通知された際に、フロー誘導先管理機能28からトラヒック誘導先のパケット処理装置を特定し、当該パケットフローを論理ポートに出力している経路を削除するよう外部装置制御部25に依頼する機能と、宛先加入者ユーザ収容装置と当該パケット処理装置間に設定されている論理ポートを削除するよう外部装置制御部25に依頼する機能と、フロー誘導先管理機能28から当該パケットフロー情報を削除する機能を有している。
In addition to the above, when the control flow management function 24 is notified of the guidance release configured by the packet flow information, the control flow management function 24 specifies the traffic processing destination packet processing device from the flow guidance
また、この機能では、論理ポート削除を指示する前に、フロー誘導先管理機能28を参照し、当該装置間でパケットフローが誘導されているか否かを確認し、誘導されているパケットフローが存在する際は、論理ポート削除指示を省略する。
Also, with this function, before instructing the logical port deletion, the flow guidance
上記に加え、制御フロー管理機能24は、誘導先トラヒック管理機能27が定期的に収集している各パケット処理装置の転送データ量が閾値を超過した際に、フロー誘導先管理機能28から、当該パケット処理装置へ誘導されているパケットフローを特定し、転送データ量を閾値以下に抑制するよう再誘導候補となる単数または複数のパケットフローを抽出し、抽出したパケットフローの宛先加入者ユーザ収容装置から、誘導先管理リストを検索し、他のパケット処理装置を再誘導先として特定する機能と、特定したパケット処理装置の現転送データ量に当該パケットフローの転送データ量を加算した際に当該パケット処理装置における閾値を超過するか否かを特定する機能と、閾値を超過しなかった際に、トラヒック誘導先を再誘導先候補であるパケット処理装置へ迂回することを決定して外部装置制御部25に対して宛先加入者ユーザ収容装置と当該パケット処理装置間へ論理ポートを設定するよう指示する機能と、閾値を超過した際に、誘導先管理リストから、宛先加入者ユーザ収容装置に対してさらに他の再誘導先候補のパケット処理装置を特定し、誘導先トラヒック管理機能27から、特定したパケット処理装置の現転送データ量に当該パケットフローの転送データ量を加算した際に当該パケット処理装置における閾値を超過するか否かを特定し、超過した際は制御を断念し、閾値を超過しなかった際は宛先加入者ユーザ収容装置と当該パケット処理装置間へ論理ポートを設定するよう外部装置制御部25に依頼する機能と、ループを防止しつつ当該論理ポートに当該パケットフローを出力する経路設定を宛先加入者ユーザ収容装置に指示するよう外部装置制御部25に依頼する機能を有している。また、これら機能では、再誘導先のパケット処理装置として、現誘導先以外のパケット処理装置であって、優先順位の高いパケット処理装置から、候補として試行する。 In addition to the above, when the transfer data amount of each packet processing device periodically collected by the guidance destination traffic management function 27 exceeds the threshold, the control flow management function 24 The packet flow guided to the packet processing device is identified, and one or a plurality of packet flows as redirection candidates are extracted so as to suppress the transfer data amount to a threshold value or less, and the destination subscriber user accommodation device of the extracted packet flow From the destination management list and specifying the other packet processing device as the redirection destination, and the packet data when the transfer data amount of the packet flow is added to the current transfer data amount of the specified packet processing device A function for specifying whether or not the threshold value in the processing device is exceeded, and when the threshold value is not exceeded, the traffic guide destination is a re-direct destination candidate A function to instruct the external device controller 25 to set a logical port between the destination subscriber user accommodation device and the packet processing device by deciding to make a detour to a certain packet processing device, and when a threshold value is exceeded Then, another redirection destination candidate packet processing device is identified for the destination subscriber user accommodation device from the guidance destination management list, and the current transfer data amount of the identified packet processing device is determined from the guidance destination traffic management function 27. Identifies whether or not the packet processing device threshold is exceeded when the amount of data transferred for the packet flow is added. If it exceeds, the control is abandoned. If the threshold is not exceeded, the destination subscriber user is accommodated. A function for requesting the external device control unit 25 to set a logical port between the device and the packet processing device, and the logical port while preventing a loop. The route setting for outputting Ttofuro has a function of requesting the external apparatus controller 25 so as to instruct the destination subscriber user accommodation apparatus. In addition, in these functions, a packet processing device other than the current guidance destination and a packet processing device with a higher priority is tried as a candidate packet processing device as a redirecting destination packet processing device.
外部装置制御機能25は、論理ポート設定指示機能29、経路設定指示機能30を有している。
The external device control function 25 has a logical port setting instruction function 29 and a path setting
論理ポート設定指示機能29は、制御フロー管理機能24から論理ポートを設定するよう指示された加入者ユーザ収容装置とパケット処理装置に対し、加入者ユーザ収容装置に対しては、パケット処理装置を示すアドレス宛に論理ポートを設定して転送経路を生成するよう指示し、パケット処理装置に対しては、加入者ユーザ収容装置を示すアドレス宛に論理ポートを設定して転送経路を設定するよう指示する機能と、制御フロー管理機能24から論理ポートを削除するよう指示された加入者ユーザ収容装置とパケット処理装置に対し、加入者ユーザ収容装置に対しては、パケット処理装置を示すアドレス宛に設定していた論理ポートを削除して転送経路を削除するよう指示し、パケット処理装置に対しては、加入者ユーザ収容装置を示すアドレス宛に設定していた論理ポートを削除して転送経路を削除するよう指示する機能を有している。 The logical port setting instruction function 29 indicates a packet processing apparatus for the subscriber user accommodation apparatus, for the subscriber user accommodation apparatus and the packet processing apparatus instructed by the control flow management function 24 to set a logical port. Instruct the packet processing device to set the logical port to the address and generate the transfer route, and instruct the packet processing device to set the logical port to the address indicating the subscriber user accommodation device and set the transfer route. For the subscriber user accommodation device and the packet processing device instructed to delete the logical port from the function and the control flow management function 24, the subscriber user accommodation device is set to the address indicating the packet processing device. The packet processing device is instructed to delete the transferred logical port and the transfer route is deleted. It has a function to instruct to delete the transfer path to remove the logical port that has been set in the addressed less.
経路設定指示機能30は、宛先加入者ユーザ収容装置とパケット処理装置間に設定された論理ポートに出力すべきパケットのヘッダ情報を通知情報もしくはフロー誘導先管理機能28から指定し、当該パケットヘッダ情報を保有するパケットを当該装置間に設定された論理ポート以外から受信した際に当該論理ポートヘ出力するようACL(Access Control List)ヘエントリ追加するよう指示する機能と、前記ACLエントリを削除するよう指示する機能を有している。
The route
外部装置制御機能25は、各制御の完了通知を当該装置から受信したかを管理し、一定時間通知の受信が確認できない際に、再度上記設定を試行する機能と、各制御の完了通知を当該装置から受信した際に、制御フロー管理機能24に制御完了を通知する機能を有している。 The external device control function 25 manages whether or not the notification of completion of each control has been received from the device. When the reception of the notification for a certain time cannot be confirmed, the external device control function 25 It has a function of notifying the control flow management function 24 of the completion of control when it is received from the apparatus.
これにより、各パケット処理装置の転送データ量に応じてパケットフローの誘導先を動的に設定でき、パケットヘッダ条件に基づき、特定の転送パケットをパケット処理装置へ送信できる。 Thereby, the destination of the packet flow can be dynamically set according to the amount of transfer data of each packet processing device, and a specific transfer packet can be transmitted to the packet processing device based on the packet header condition.
これにより、広域ネットワークにおける異常トラヒック検出・分析および制御を、複数のパケット処理装置で負荷分散して実施することが可能となり、異常トラヒック防御を低コストで実現できる。 As a result, abnormal traffic detection / analysis and control in a wide area network can be carried out by distributing the load among a plurality of packet processing devices, and abnormal traffic protection can be realized at low cost.
図4に、本発明のネットワーク制御方法を実装する通信ネットワークに設置される加入者ユーザ収容装置の構成例を示す。加入者ユーザ収容装置は、パケット転送部31とサーバ接続部32で構成される。 FIG. 4 shows a configuration example of a subscriber user accommodation device installed in a communication network that implements the network control method of the present invention. The subscriber user accommodation device includes a packet transfer unit 31 and a server connection unit 32.
パケット転送部31は、転送テーブル33と、アクセスコントロールリスト34と、論理ポート設定機能35を有している。
The packet transfer unit 31 has a transfer table 33, an
転送テーブル33は、入力パケットのヘッダ情報から出力ラベル値および出力リンクを導く機能を有している。請求項と比較すると、ラベル値が論理ポートを示している。本実施例では、ヘッダ情報例としてラベル値と宛先アドレスを記述している(転送テーブル33の具体例については図7、図9参照)。ここで、入力ラベル値としてデフォルトとしているものは、ラベルが付与されていないことを示している。従来、ラベルが付与されていないものはIPネットワークのようなコネクションレスネットワーク、ラベルが付与されているものはMPLSネットワークのようなコネクションオリエンテッドネットワークである。IPネットワークでは、ルーチングプロトコルにより出力先が特定され、MPLSネットワークではルーチングプロトコルとシグナリングプロトコルで出力先が特定される。このため、ラベル値の有無で転送テーブルを分割して管理してもよい。さらに、ヘッダ情報として、送信元アドレスを記述し、特定のユーザ間フローのみを別経路に出力するよう、オペレータが設定できるようにしてもよい。 The forwarding table 33 has a function of deriving an output label value and an output link from header information of the input packet. Compared to the claims, the label value indicates the logical port. In the present embodiment, a label value and a destination address are described as header information examples (see FIGS. 7 and 9 for specific examples of the transfer table 33). Here, the default input label value indicates that no label is given. Conventionally, a network without a label is a connectionless network such as an IP network, and a network with a label is a connection-oriented network such as an MPLS network. In an IP network, an output destination is specified by a routing protocol, and in an MPLS network, an output destination is specified by a routing protocol and a signaling protocol. For this reason, the transfer table may be divided and managed based on the presence or absence of a label value. Furthermore, a transmission source address may be described as header information, and the operator may be set to output only a specific inter-user flow to another route.
また、本実施例では、転送テーブル33内に出力論理ポートと出力物理ポートを記述しているが、これらも別テーブルとして記述してもよい。この際は、入力ラベルがデフォルトであるエントリに対しては、宛先アドレスから出力物理ポートを導くテーブルに記述される。また、入力ラベル値が指定されているエントリに関しては、入力ラベル値から出力ラベル値を導くテーブルと、出力ラベル値から出力物理ポートを導くテーブルに記述される。 In this embodiment, the output logical port and the output physical port are described in the transfer table 33. However, these may be described as separate tables. In this case, the entry whose input label is default is described in a table for deriving the output physical port from the destination address. In addition, entries for which input label values are specified are described in a table for deriving output label values from input label values and a table for deriving output physical ports from output label values.
アクセスコントロールリスト34は、転送テーブル33より優先的に適用したい転送情報を管理する機能と、転送テーブル33を参照する前に本機能が保有する転送情報を適用する機能を有している。本実施例では、転送情報として、入力パケットのヘッダ情報と、出力ラベル値および、出力リンクが該当する。また、例えば、入力パケットのヘッダ情報が一部しか記述されていない場合、記述されている情報のみが適用条件となる。
The
論理ポート設定機能35は、特定のアドレスを保有する宛先との間に論理ポートを設定する機能と、特定のアドレスを保有する宛先との間の論理ポートを削除する機能を有している。例えば、コアネットワークがMPLSネットワークである際は、論理ポート設定機能35がシグナリングプロトコルを使用し、特定のアドレスを保有する宛先との間にLSPを設定する。 The logical port setting function 35 has a function of setting a logical port between a destination having a specific address and a function of deleting a logical port between the destination having a specific address. For example, when the core network is an MPLS network, the logical port setting function 35 uses a signaling protocol to set an LSP with a destination having a specific address.
サーバ接続部32は、ネットワーク制御装置からの指示を受け付け、ネットワーク制御装置からの指示を各機能へ受け渡す機能と、ネットワーク制御装置からの指示に基づく制御が完了した際に、当該処理の完了通知をネットワーク制御装置に送信する機能を有している。 When the server connection unit 32 receives an instruction from the network control device, passes the instruction from the network control device to each function, and completes the control based on the instruction from the network control device, the server connection unit 32 notifies the completion of the processing. Is transmitted to the network control device.
これにより、加入者ユーザ収容装置は、ネットワーク制御装置からの指示に基づきパケット処理装置間に論理ポートを設定するとともに、パケット処理装置へ送信したいパケットを抽出して当該パケットのみを前記論理ポートへ送信する。さらに、パケット処理装置から受信したパケットに関しては、パケット抽出の対象としない。 Thereby, the subscriber user accommodation device sets a logical port between the packet processing devices based on an instruction from the network control device, extracts a packet to be transmitted to the packet processing device, and transmits only the packet to the logical port. To do. Furthermore, packets received from the packet processing device are not subject to packet extraction.
これにより、特定パケットのみをパケット処理装置へ送信するとともに、パケット処理装置へ送信するパケットのループ発生を防止する。 Thus, only a specific packet is transmitted to the packet processing device, and a loop of a packet transmitted to the packet processing device is prevented.
図5に、本発明のネットワーク制御方法を実装する通信ネットワークに設置されるパケット処理装置の構成例を示す。パケット処理装置は、転送データ量観測機能39と、パケット処理機能40と、パケット返送機能41およびサーバ接続部42で構成される。 FIG. 5 shows a configuration example of a packet processing apparatus installed in a communication network that implements the network control method of the present invention. The packet processing apparatus includes a transfer data amount observation function 39, a packet processing function 40, a packet return function 41, and a server connection unit.
転送データ量観測機能39は、宛先アドレスと送信元アドレスなどのパケットフローのヘッダ情報に対する一定時間毎の転送データ量や総転送データ量をカウントする機能と、ネットワーク制御装置からの転送データ量参照要求に対して現転送データ量を通知する機能を有している。 The transfer data amount observation function 39 includes a function for counting the transfer data amount and the total transfer data amount per fixed time for the packet flow header information such as the destination address and the source address, and a transfer data amount reference request from the network control device. Has a function of notifying the current transfer data amount.
パケット処理機能40は、単一のパケット通過制御処理を実施する機能を有している。パケット通過制御処理としては、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄する制御や、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄する制御が挙げられる。これらの制御に際しては、宛先アドレスに対して転送パケット数をカウントする転送パケット数カウントテーブルや、宛先アドレスに対して転送データ量を累計する転送データ量カウントテーブルや、各テーブルのエントリを一定周期毎に保存してカウント値をリセットする機能や、上記保存値と閾値を比較する機能や、比較した際に閾値を超過したパケットを可変レートで廃棄する機能や、上記廃棄の継続判断を一定時間毎に実施する機能が必要となる。また、送受信データ量に基づき課金する機能、通過パケットのログを収集管理する機能などもパケット通過処理に含まれる。 The packet processing function 40 has a function of performing a single packet passage control process. As the packet passing control process, the cumulative value of the transfer data amount for each destination address of the transfer packet is measured at regular intervals, and when the cumulative value of the transfer data amount of a certain destination address is equal to or greater than a predetermined threshold, Regarding the packet having the destination address, in the next cycle, the control corresponding to the threshold excess amount is discarded, the total number of transfer packets and the transfer data amount for each header information of the received packet are observed at regular intervals, When the increase value of the number of transfer packets of certain header information and the cumulative value of the transfer data amount exceeds a predetermined threshold value, a control for discarding the packet holding the header information from the next period is given. In these controls, a transfer packet count table that counts the number of transfer packets with respect to the destination address, a transfer data amount count table that accumulates the transfer data amount with respect to the destination address, and an entry in each table at regular intervals. A function to save the count value and save the count value, a function to compare the stored value with the threshold value, a function to discard packets that exceed the threshold value at the time of comparison at a variable rate, It is necessary to have a function to be implemented. The packet passing process also includes a function for charging based on the amount of transmitted / received data and a function for collecting and managing a log of passing packets.
パケット返送機能41は、返送経路設定機能43およびパケット返送テーブル44を有している。
The packet return function 41 has a return
返送経路設定機能43は、特定のアドレスを保有する宛先との間に論理ポートを設定する機能と、特定のアドレスを保有する宛先との間に設定された論理ポートを削除する機能を有している。例えば、コアネットワークがMPLSネットワークである際は、返送経路設定機能43がシグナリングプロトコルを使用し、特定のアドレスを保有する宛先との間にLSPを設定する。
The return
パケット返送テーブル44は、受信パケットの入力論理ポートから、当該パケットの誘導元加入者ユーザ収容装置間に設定した出力論理ポートおよび出力物理ポートを導く機能を有しており、本実施例では、受信パケットのラベル値から、当該パケットの誘導元加入者ユーザ収容装置間に設定した論理ポートに割り当てられているラベルおよび出力リンクを導く機能を有している。また、出力論理ポートと出力物理ポートを特定する機能を二つのテーブルに分割してもよい。この際は、入力論理ポートから出力論理ポートを特定するテーブルと、出力論理ポートから出力物理ポートを特定するテーブルを保有することになる。 The packet return table 44 has a function of deriving an output logical port and an output physical port set between the receiving subscriber user accommodation devices of the packet from the input logical port of the received packet. From the label value of the packet, it has the function of deriving the label and output link assigned to the logical port set between the guide subscriber user accommodation devices of the packet. The function for specifying the output logical port and the output physical port may be divided into two tables. In this case, a table for specifying the output logical port from the input logical port and a table for specifying the output physical port from the output logical port are held.
パケット返送機能41は、前述のネットワーク制御装置から、特定のアドレス間に論理ポートを設定する指示を受けた際に、返送経路設定機能43により、指定されたアドレス間に論理ポートを設定するとともに、指定されたアドレスから論理ポートを設定してきた際に、論理ポートが設定された際に決まる当該経路に対応するラベルから、自身が論理ポートを設定した際に決まる当該経路に対応するラベルを導くよう、パケット返送テーブル44に記述し、自身が論理ポートを設定した際に決まる当該経路の出力先を当該経路に割り当てられたラベルと対となるようパケット返送テーブル44に記述する機能を有している。
When the packet return function 41 receives an instruction to set a logical port between specific addresses from the above-mentioned network control device, the return
さらに、パケット返送機能41は、前述のネットワーク制御装置から、特定のアドレス間の論理ポートを解除する指示を受けた際に、返送経路設定機能43により、指定されたアドレス間の論理ポートを削除し、当該経路に対応するラベルに関するパケット返送テーブル44のエントリを削除する機能を有している。
Further, the packet return function 41 deletes the logical port between the designated addresses by the return
サーバ接続部42は、ネットワーク制御装置からの指示を受け付け、ネットワーク制御装置からの指示を各機能へ受け渡す機能と、ネットワーク制御装置からの指示に基づく制御が完了した際に、当該処理の完了通知をネットワーク制御装置に送信する機能を有している。 When the server connection unit 42 receives an instruction from the network control device, passes the instruction from the network control device to each function, and completes the control based on the instruction from the network control device, the server connection unit 42 notifies the completion of the processing. Is transmitted to the network control device.
これにより、パケット処理装置は、転送パケットフローの転送データ量を観測するとともに、ネットワーク制御装置からの指示に基づき加入者ユーザ収容装置間に論理ポートを設定し、加入者ユーザ収容装置から受信したパケットを、同加入者ユーザ収容装置へ返送する。 As a result, the packet processing device observes the transfer data amount of the transfer packet flow, sets the logical port between the subscriber user accommodation devices based on the instruction from the network control device, and receives the packet received from the subscriber user accommodation device. Is returned to the subscriber user accommodation device.
これにより、パケット処理装置は、トラヒックを受信し、分析し、制御しつつ加入者ユーザ収容装置へ返送しつつ、自身の転送データ量を観測してネットワーク制御装置に参照させることができる。 As a result, the packet processing apparatus can receive the traffic, analyze it, and return it to the subscriber user accommodation apparatus while controlling it, and observe the transfer data amount of the packet processing apparatus and refer to the network control apparatus.
(動作の説明)
図6のネットワークモデルを用いて、本発明の動作例を示す。初期状態において、ユーザ#1からユーザ#5間で、加入者ユーザ収容装置1、リンク101、パケット転送装置5、リンク105、パケット転送装置6、リンク103、加入者ユーザ収容装置3経由でパケットを転送している。当該フローをパケット処理装置へ迂回させる制御を実施するとする。
(Description of operation)
An operation example of the present invention will be described using the network model of FIG. In an initial state, a packet is transmitted between the
図7に、パケット処理装置への迂回制御前の加入者ユーザ収容装置3の動作例を示す。転送テーブル33は、前述のように、入力パケットのヘッダ情報から出力ラベル値および出力リンクを導く機能を有しており、本実施例では、図7に示すように、入力パケットのヘッダ情報として入力ラベル値と宛先アドレスを記述している。入力ラベル値としてデフォルトとしているものは、ラベルが付与されていないことを示している。
FIG. 7 shows an operation example of the subscriber
図7は、加入者ユーザ収容装置3が、送信元アドレスがユーザ#1で宛先アドレスがユーザ#5であるパケットをリンク103から受信した場合を示している。加入者ユーザ収容装置3は、パケットを受信した際に、パケット転送部31において、転送テーブル33を参照し、入力ラベル値がデフォルト、宛先アドレスがユーザ#5という検索キーから出力リンク116を特定し、当該パケットをリンク116へ出力する。
FIG. 7 shows a case where the subscriber user
図8に、パケット処理装置への迂回開始時のネットワーク制御装置9の動作例を示す。誘導先管理リスト26は、前述のように、加入者ユーザ収容装置毎に、トラヒック誘導先となる複数のパケット処理装置の候補を優先順位づけして管理する機能を有しており、図8の例では、例えば3行目はコア#3(加入者ユーザ収容収容装置3)のトラヒック誘導先の候補1がコア#8(パケット処理装置8)であり、候補2がコア#7(パケット処理装置7)であることを示している。誘導先トラヒック管理機能27は、前述のように、各パケット処理装置の現在の転送データ量情報を収集して管理する機能と、各パケット処理装置の転送データ量の許容上限値を示す閾値を設定して管理する機能を保有しており、図8の例では、例えば2行目に示すように、コア#8(パケット処理装置8)の現在の転送データ量は100Mb/s(byte per second)であり、転送データ量の許容上限値を示す閾値は500Mb/sである。
FIG. 8 shows an operation example of the network control device 9 at the start of detouring to the packet processing device. As described above, the guide
ネットワーク制御装置9は、制御対象とするパケットフローのヘッダ情報、当該パケットの送信元加入者ユーザ収容装置、宛先加入者ユーザ収容装置および当該パケットフローの転送データ量からなる制御情報(図8の例では、宛先アドレス:ユーザ#5、宛先加入者ユーザ収容装置:コア#3、送信元加入者ユーザ収容装置:コア#1、転送データ量:200Mb/s)を受信した際、宛先加入者ユーザ収容装置コア#3を検索キーとして誘導先管理リスト26を検索し誘導先候補1であるコア#8を特定し、誘導先トラヒック管理機能27を用いて、コア#8の現転送データ量100Mb/s(byte per second)に当該パケットフローの転送データ量200Mb/sを加えた際に閾値500Mb/sを下回ることを確認した後、当該パケットフローの誘導先パケット処理装置をコア#8に決定し、誘導先トラヒック管理機能27に当該パケットフロー情報を追加するとともに、下記の制御を実施する。
The network control device 9 controls the packet flow header information to be controlled, the source subscriber user accommodation device of the packet, the destination subscriber user accommodation device, and the control information including the transfer data amount of the packet flow (example in FIG. 8). Then, when receiving destination address:
(a)論理ポート設定指示機能29を用い、当該宛先加入者ユーザ収容装置を示すアドレスコア#3に対し、迂回先のパケット処理装置を示すアドレスコア#8への論理ポート設定を指示する。
(b)論理ポート設定指示機能29を用い、当該パケット処理装置を示すアドレスコア#8に対し、迂回元の加入者ユーザ収容装置を示すアドレスコア#3への論理ポート設定を指示する。
(c)経路設定指示機能30を用い、当該加入者ユーザ収容装置を示すアドレスコア#3に対し、迂回先のパケット処理装置を示すアドレスコア#8への論理ポートに割り当てられたラベルを、宛先アドレスがユーザ#5であるパケットヘ付与するよう指示する。
この際、誘導先トラヒック管理機能27が複数のフローを管理しており、加入者ユーザ収容装置コア#3とパケット処理装置コア#8を保有する別エントリが存在する場合、(a)および(b)の処理は省略する。
(A) The logical port setting instruction function 29 is used to instruct the
(B) The logical port setting instruction function 29 is used to instruct the
(C) Using the route setting
At this time, when the destination
図9に、パケット処理装置への迂回開始時の加入者ユーザ収容装置3の動作例を示す。 加入者ユーザ収容装置3は、ネットワーク制御装置9からの指示(a)に対し、論理ポート設定機能35を用いて、パケット処理装置コア#8に対して論理ポートを設定する。この際、パケット処理装置コア#8からも、(b)に対応する論理ポートが設定される。加入者ユーザ収容装置3は、前記論理ポートに付与されたラベル#1および後記論理ポートに付与されたラベル#2を特定する。また、ネットワーク制御装置9からの指示(c)に対し、指定されたヘッダ条件である「宛先アドレスがユーザ#5であるパケット」に対して、前記論理ポートに割り当てたラベル#1およびラベル#1に対応する出力リンク103を特定するためのエントリをアクセスコントロールリスト34に追加する。ここで、入力ラベル値は、パケット処理装置コア#8間に設置した論理ポートに割り当てたラベル#2以外の任意値とし、デフォルトも含めた全ての入力ラベル値に対して当該エントリを有効とする。
FIG. 9 shows an operation example of the subscriber
この際、図7と同パケットを受信すると、アクセスコントロールリスト34にヒットし、入力ラベル値がデフォルト、宛先アドレスがユーザ#5という検索キーから出力ラベル#1、出力リンク103を特定し、当該パケットをリンク103へ出力する。
At this time, when the same packet as in FIG. 7 is received, the
このように、制御対象とするヘッダ情報、当該パケットの宛先加入者ユーザ収容装置、当該パケットを送信するパケット処理装置がネットワーク制御装置に入力された際に、当該パケットをパケット処理装置へ送信することが可能となる。 As described above, when the header information to be controlled, the destination subscriber user accommodation device of the packet, and the packet processing device that transmits the packet are input to the network control device, the packet is transmitted to the packet processing device. Is possible.
図10に、パケット処理装置への迂回開始時のパケット処理装置8の動作例を示す。
パケット処理装置8は、ネットワーク制御装置9からの指示(b)に対し、返送経路設定機能43を用いて、パケット転送装置コア#3に対して論理ポートを設定する。この際、加入者ユーザ収容装置コア#3からも(a)に対応する論理ポートが設定される。
FIG. 10 shows an operation example of the
In response to the instruction (b) from the network control device 9, the
パケット処理装置8は、前記論理ポートに付与されたラベル#2および後記論理ポートに付与されたラベル#1を特定し、ラベル#1から返送用のラベル#2およびラベル#2に対する出力リンク107を特定するためのエントリをパケット返送テーブル44に設定する。パケット返送テーブル44は、受信パケットの入力論理ポートから当該パケットの誘導元加入者ユーザ収容装置間に設定した出力論理ポートおよび出力物理ポートを導くためのテーブルである。
The
この際、図9の加入者ユーザ収容装置3から転送されたパケットを受信すると、パケット処理機能40を中継し、制御後のパケットをパケット返送機能41へ転送する。パケット返送機能41では、パケット返送テーブル44を参照して、当該パケットのラベル#1から返送経路に出力するためのラベル#2および出力リンク107を特定し、ラベル#1を削除するとともにラベル#2で再カプセリングしてリンク107へ当該パケットを送信する。
At this time, when the packet transferred from the subscriber
また、パケット処理装置8は、転送データ量観測機能39により、受信パケットの送信元アドレスと宛先アドレスに対する転送データ量をカウントする。カウントデータは、一定周期毎に集計し、ネットワーク制御装置9が各パケット処理装置のカウントデータをSNMP参照要求で参照するか、各パケット処理装置がネットワーク制御装置9へSNMPトラップ通知で通知する。
Further, the
このように、制御対象とするヘッダ情報、当該パケットの宛先加入者ユーザ収容装置、当該パケットを送信するパケット処理装置がネットワーク制御装置に入力された際に、当該パケットは、パケット処理装置へ送信され、パケット処理装置でヘッダ情報ごとの転送データ量を集計された後、分析され、正常なトラヒックに関わるパケットは、パケットが抽出された加入者ユーザ収容装置へ返送される。 As described above, when the header information to be controlled, the destination subscriber user accommodation device of the packet, and the packet processing device that transmits the packet are input to the network control device, the packet is transmitted to the packet processing device. After the transfer data amount for each header information is aggregated by the packet processing device, it is analyzed, and the packet related to normal traffic is returned to the subscriber user accommodation device from which the packet is extracted.
これにより、パケット処理装置の転送データ量を観測しつつ、パケット処理装置への迂回経路設定および異常トラヒック分析・制御が可能となる。 This makes it possible to set a detour path to the packet processing device and to analyze and control abnormal traffic while observing the amount of data transferred by the packet processing device.
図11に、パケット処理装置への迂回制御後の転送経路を示す。ユーザ#1からユーザ#5間で、加入者ユーザ収容装置1、リンク101、パケット転送装置5、リンク105、パケット転送装置6、リンク103、加入者ユーザ収容装置3、リンク103、パケット転送装置6、リンク107、パケット処理装置8、リンク107、パケット転送装置6、リンク103、加入者ユーザ収容装置3経由でパケットを転送している。
FIG. 11 shows a transfer path after detour control to the packet processing apparatus. Between
このように、本発明は、制御対象パケットフローが発生した際に、加入者ユーザ収容装置毎に決められている、優先順位された複数のパケット処理装置から、パケットフロー誘導先のパケット処理装置を特定し、加入者ユーザ処理装置3およびパケット処理装置8間でのループを防止しつつ、特定のパケットをパケット処理装置8へ迂回させることができる。
As described above, according to the present invention, when a control target packet flow occurs, a packet flow guidance destination packet processing device is determined from a plurality of prioritized packet processing devices determined for each subscriber user accommodation device. It is possible to identify and bypass a specific packet to the
図12に、複数パケット処理装置間での負荷分散が必要となる、パケット処理装置への迂回開始時のネットワーク制御装置9の動作例を示す。
ネットワーク制御装置9は、制御対象とするパケットフローのヘッダ情報、当該パケットの送信元加入者ユーザ収容装置、宛先加入者ユーザ収容装置および当該パケットフローの転送データ量からなる制御情報(図12の例では、宛先アドレス:ユーザ#5、宛先加入者ユーザ収容装置:コア#3、送信元加入者ユーザ収容装置:コア#1、転送データ量:200Mb/s)を受信した際、宛先加入者ユーザ収容装置コア#3を検索キーとして誘導先管理リスト26を検索し誘導先候補1であるコア#8を特定し、コア#8の現転送データ量400Mb/s(byte per second)に当該パケットフローの転送データ量200Mb/sを加えた際に閾値500Mb/sを上回るため、誘導先候補2であるコア#7を特定し、コア#7の現転送データ量100Mb/s に当該パケットフローの転送データ量200Mb/sを加えた際に閾値400Mb/sを下回ることを確認し、当該パケットフローの誘導先パケット処理装置をコア#7に決定し、フロー誘導先管理機能に当該パケットフロー情報を追加するとともに、図8に記載した(a)以降の制御を実施する。
FIG. 12 shows an operation example of the network control device 9 at the start of detouring to a packet processing device that requires load distribution among a plurality of packet processing devices.
The network control device 9 controls the packet flow header information to be controlled, the source subscriber user accommodation device of the packet, the destination subscriber user accommodation device, and the control information including the transfer data amount of the packet flow (example in FIG. 12). Then, when receiving destination address:
このように、本発明は、制御対象パケットフローが発生した際に、加入者ユーザ収容装置毎に決められている、優先順位された複数のパケット処理装置から、パケットフロー誘導先のパケット処理装置を特定するが、その際に、制御後に輻輳が発生する可能性があると判断された際、次候補のパケット処理装置を特定する。 As described above, according to the present invention, when a control target packet flow occurs, a packet flow guidance destination packet processing device is determined from a plurality of prioritized packet processing devices determined for each subscriber user accommodation device. In this case, when it is determined that there is a possibility of congestion after the control, the next candidate packet processing device is specified.
これにより、複数のパケット処理装置間での負荷分散を実現し、異常トラヒック分析・制御を低コストで実現可能となる。 As a result, load distribution among a plurality of packet processing apparatuses can be realized, and abnormal traffic analysis / control can be realized at low cost.
図13に、図12に記載の負荷分散を適用した制御後の転送経路を示す。図11の制御時と同じ制御情報を受信しているが、本図では、ユーザ#1からユーザ#5間で、加入者ユーザ収容装置1、リンク101、パケット転送装置5、リンク105、パケット転送装置6、リンク103、加入者ユーザ収容装置3、リンク103、パケット転送装置6、リンク105、パケット転送装置5、リンク106、パケット処理装置7、リンク106、パケット転送装置5、リンク105、パケット転送装置6、リンク103、加入者ユーザ収容装置3経由でパケットを転送している。
FIG. 13 shows a transfer path after control to which the load distribution shown in FIG. 12 is applied. Although the same control information as that at the time of control in FIG. 11 is received, in this figure, the subscriber
また、図14に、制御情報を受信した際以外に、複数のパケット処理装置間で動的負荷分散を実施する際のネットワーク制御装置の動作例を示す。フロー誘導先管理機能28は、誘導先パケット処理装置と、現在誘導先パケット処理装置へ誘導されているパケットフローの、宛先アドレスおよび送信元アドレスと、宛先加入者ユーザ収容装置のアドレスと、送信元加入者ユーザ収容装置のアドレスと、転送データ量を管理するフロー管理リストを有している。
FIG. 14 shows an operation example of the network control apparatus when performing dynamic load balancing among a plurality of packet processing apparatuses other than when control information is received. The flow guide
ネットワーク制御装置9は、各パケット処理装置の転送データ量を定期的に収集する。この際に、収集時の転送データ量と誘導先トラヒック管理機能27が管理する閾値を比較する。ここで、パケット処理装置コア#8の総転送データ量が閾値を100Mb/s上回ったことを検出した場合(図14の例では、600Mb/s(コア#8の総転送データ量)−500Mb/s(コア#8の閾値)=100Mb/sだけコア#8の総転送データ量がコア#8の閾値を超過している)、当該パケット処理装置へ誘導されている単数または複数のパケットフローを、誘導先トラヒック管理機能27から特定し、閾値超過分の100Mb/s以上の転送データ量を保有する単数または複数のパケットフローを抽出する。本実施例では、単数の場合を例とするが、複数の場合は、単数の場合を複数回繰り返すことで対応できる。本実施例では、宛先ユーザアドレスがユーザ#5、送信元アドレスがユーザ#1のパケットフローが制御対象パケットフローとして特定される。
The network control device 9 periodically collects the transfer data amount of each packet processing device. At this time, the transfer data amount at the time of collection is compared with the threshold value managed by the guide destination
このパケットフローの宛先加入者ユーザ収容装置はコア#3であることから、コア#3を検索キーとして誘導先管理リスト26を検索し、候補1のパケット処理装置コア#8を特定するが、コア#8が現誘導先パケット処理装置であることから、候補2のパケット処理装置コア#7を新規誘導先として仮定する。また、候補1が現誘導先でない場合は、候補1を新規迂回先として仮定する。
Since the destination subscriber user accommodation apparatus of this packet flow is the
ネットワーク制御装置9は、誘導先トラヒック管理機能27から、仮定したパケット処理装置コア#7の現転送データ量100Mb/sを特定し、制御対象パケットフローの転送データ量200Mb/sと加算した際に閾値400Mb/sを下回ることを確認した後、当該パケット処理装置コア#7を新規誘導先として決定する。また、閾値を上回ることが確認された際は、誘導先管理リスト26から次候補を特定する。パケット処理装置コア#7を新規誘導先として決定した後は、フロー誘導先管理機能の当該パケットフロー情報の誘導先パケット処理装置をコア#7に更新するとともに、下記の制御を実施する。
When the network control device 9 identifies the current transfer data amount 100 Mb / s of the assumed packet
(a)論理ポート設定指示機能29を用い、当該宛先加入者ユーザ収容装置を示すアドレスコア#3に対し、迂回先のパケット処理装置を示すアドレスコア#7への論理ポート設定を指示する。
(b)論理ポート設定指示機能29を用い、当該パケット処理装置を示すアドレスコア#7に対し、迂回元の加入者ユーザ収容装置を示すアドレスコア#3への論理ポート設定を指示する。
(c)経路設定指示機能30を用い、当該加入者ユーザ収容装置を示すアドレスコア#3に対し、宛先アドレスがユーザ#5であるパケットヘ付与するラベルを、コア#8への論理ポートに割り当てられたラベルから、コア#7への論理ポートに割り当てられたラベルに変更するよう指示する。
この際、誘導先トラヒック管理機能27が複数のフローを管理しており、加入者ユーザ収容装置コア#3とパケット処理装置コア#7を保有する別エントリが存在する場合、(a)および(b)の処理は省略する。
(A) The logical port setting instruction function 29 is used to instruct the
(B) The logical port setting instruction function 29 is used to instruct the
(C) Using the route setting
At this time, when the destination
このように、本発明は、パケット処理装置へ誘導中のパケットフローの転送データ量が動的に増加してパケット処理装置で輻輳が発生する可能性がある場合でも、加入者ユーザ収容装置毎に決められている、優先順位付けされた複数のパケット処理装置から、制御後に輻輳が発生しない新規誘導先パケット処理装置を特定する。 As described above, according to the present invention, even when there is a possibility that the transfer data amount of the packet flow being guided to the packet processing device dynamically increases and congestion occurs in the packet processing device, each subscriber user accommodating device A new guidance destination packet processing device in which congestion does not occur after control is specified from a plurality of predetermined prioritized packet processing devices.
これにより、複数のパケット処理装置間での動的な負荷分散を実現し、異常トラヒック分析・制御を低コストで実現可能となる。 As a result, dynamic load distribution among a plurality of packet processing devices can be realized, and abnormal traffic analysis / control can be realized at low cost.
以上説明した各装置は、その機能を実現するための手段を有しており、その手段はコンピュータと記憶装置に記憶されたプログラムで構成できる。また、そのプログラムの一部または全部に代えてハードウェアで構成することもできる。 Each device described above has means for realizing the function, and the means can be constituted by a computer and a program stored in a storage device. Moreover, it can replace with a part or all of the program, and can also be comprised with a hardware.
以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。 As mentioned above, the invention made by the present inventor has been specifically described based on the embodiment. However, the invention is not limited to the embodiment, and various modifications can be made without departing from the scope of the invention. Of course.
1〜4…加入者ユーザ収容装置、5〜6…パケット転送装置、7〜8…パケット処理装置、9…ネットワーク制御装置、10〜17…ユーザ端末、18〜21…アクセス網、22…コアネットワーク、23…ユーザネットワーク、24…制御フロー管理機能、25…外部装置制御部、26…接続先管理リスト、27…誘導先トラヒック管理機能、28…フロー接続先管理機能、29…論理ポート設定指示機能、30…経路設定指示機能、31…パケット転送部、32…サーバ接続部、33…転送テーブル、34…アクセスコントロールリスト、35…論理ポート設定機能、39…転送データ量観測機能、40…パケット処理機能、41…パケット返送機能、42…サーバ接続部、43…返送経路設定機能、44…パケット返送テーブル、101〜116…リンク
DESCRIPTION OF SYMBOLS 1-4 ... Subscriber user accommodation apparatus, 5-6 ... Packet transfer apparatus, 7-8 ... Packet processing apparatus, 9 ... Network control apparatus, 10-17 ... User terminal, 18-21 ... Access network, 22 ... Core network , 23 ... User network, 24 ... Control flow management function, 25 ... External device control unit, 26 ... Connection destination management list, 27 ... Guide destination traffic management function, 28 ... Flow connection destination management function, 29 ... Logical port setting instruction function , 30 ... Path setting instruction function, 31 ... Packet transfer unit, 32 ... Server connection unit, 33 ... Transfer table, 34 ... Access control list, 35 ... Logical port setting function, 39 ... Transfer data amount observation function, 40 ... Packet processing Function 41 ... Packet return function 42 ...
Claims (6)
前記ネットワーク制御装置が、
前記加入者ユーザ収容装置毎に、優先順位付けされた複数のパケット処理装置リストを管理するとともに、
通知されたパケットフローの転送データ量と、通知に記述された宛先加入者ユーザ収容装置に対する第一優先パケット処理装置の転送データ量を加算し、予め定めた一定値を超過するか否かを確認し、
一定値を超過しない際は、当該加入者ユーザ収容装置と当該パケット処理装置間に論理ポートを設定し、
一定値を超過する際は、優先度が高いパケット処理装置から上記処理を試行して、あるパケット処理装置と当該加入者ユーザ収容装置間に論理ポートを設定するよう試行する
ことを特徴とするネットワーク制御方法。 Multiple subscriber user accommodation devices capable of setting logical ports, multiple packet processing devices capable of setting logical ports and equipped with a packet passage control function, destination subscriber user accommodation device addresses and transmission source subscriptions A network in a packet transfer network having a network control device that receives notification of packet flow information composed of an address, a destination address and a source address of a user user accommodating device and control information composed of a transfer data amount of the packet flow A control method,
The network controller is
For each subscriber user accommodation device, managing a plurality of prioritized packet processing device lists,
Add the amount of transfer data of the notified packet flow and the amount of transfer data of the first priority packet processing device for the destination subscriber user accommodation device described in the notification, and check whether it exceeds a predetermined value And
If it does not exceed a certain value, set a logical port between the subscriber user accommodation device and the packet processing device,
A network characterized in that when a certain value is exceeded, the above processing is tried from a packet processing device having a high priority and a logical port is set between a certain packet processing device and the subscriber user accommodation device. Control method.
前記パケット処理装置は、
通過パケットフローの一定時間毎の転送データ量をカウントし、
前記ネットワーク制御装置は、
各パケット処理装置に転送されているパケットフローを送信元加入者ユーザ収容装置と宛先加入者ユーザ収容装置と共にフロー管理リストとして管理するとともに、
パケット処理装置の一定時間毎の総転送データ量を参照し、転送データ量が予め定めた一定値を超過したパケット処理装置を検出した際に、当該パケット処理装置について、超過分以上の転送データが観測されている単数または複数のパケットフローを特定し、特定したパケットフローに対し、前記フロー管理リストから、当該パケットフローの宛先加入者ユーザ収容装置を特定し、当該宛先加入者ユーザ収容装置に対する第一優先パケット処理装置の転送データ量と、特定したパケットフローの転送データ量を加算し、予め定めた一定値を超過するか否かを確認し、
一定値を超過しない際は、当該パケット処理装置を新たなパケットフロー転送先とし、
一定値を超過する際は、優先度が高いパケット処理装置から上記処理を試行して、あるパケット処理装置を新たなパケットフロー転送先と特定するよう試行する
ことを特徴とするネットワーク制御方法。 The network control method according to claim 1,
The packet processing device
Count the amount of transfer data per fixed time of the passing packet flow,
The network controller is
While managing the packet flow transferred to each packet processing device as a flow management list together with the source subscriber user accommodation device and the destination subscriber user accommodation device,
By referring to the total amount of transfer data for each fixed time of the packet processing device and detecting a packet processing device whose transfer data amount exceeds a predetermined value, transfer data exceeding the excess amount is detected for the packet processing device. Identify one or more observed packet flows, identify the destination subscriber user accommodation device of the packet flow from the flow management list for the identified packet flow, and specify the first packet flow for the destination subscriber user accommodation device. Add the transfer data amount of the one-priority packet processing device and the transfer data amount of the specified packet flow, and check whether it exceeds a predetermined value,
When it does not exceed a certain value, the packet processing device is set as a new packet flow transfer destination,
A network control method, characterized in that when a certain value is exceeded, the above processing is tried from a packet processing device having a high priority, and a certain packet processing device is identified as a new packet flow transfer destination.
前記ネットワーク制御装置が、
宛先加入者ユーザ収容装置のアドレスと送信元加入者ユーザ収容装置のアドレスと宛先アドレスと送信元アドレスで構成されるパケットフロー情報および当該パケットフローの転送データ量で構成される制御情報の通知を受ける代わりに、
アドレスから当該アドレスを収容する加入者ユーザ収容装置を特定する機能を保有し、宛先アドレスと送信元アドレスで構成されるパケットフロー情報および当該パケットフローの転送データ量で構成される制御情報の通知を受けた際に、宛先アドレスから宛先加入者ユーザ収容装置を特定し、送信元アドレスから送信元加入者ユーザ収容装置を特定し、特定した加入者ユーザ収容装置を、通知に記述された加入者ユーザ収容装置として用いることを特徴とするネットワーク制御方法。 The network control method according to claim 1 or 2,
The network controller is
Receives notification of the address of the destination subscriber user accommodation device, the address of the transmission source subscriber user accommodation device, the packet flow information composed of the destination address and the transmission source address, and the control information composed of the transfer data amount of the packet flow. instead,
It has a function to identify the subscriber user accommodation device that accommodates the address from the address, and notifies the packet flow information composed of the destination address and the source address and the control information composed of the transfer data amount of the packet flow. Upon receipt, the destination subscriber user accommodation device is identified from the destination address, the transmission source subscriber user accommodation device is identified from the transmission source address, and the identified subscriber user accommodation device is designated as the subscriber user described in the notification. A network control method characterized by being used as a storage device.
転送データ量の代わりに、転送データ量と転送パケット数および転送パケットフロー数から構成される転送負荷を用いることを特徴とするネットワーク制御方法。 The network control method according to any one of claims 1 to 3,
A network control method characterized by using a transfer load composed of a transfer data amount, a transfer packet number, and a transfer packet flow number instead of the transfer data amount.
前記パケット処理装置が、
前記パケット通過制御機能のパケット通過処理として、転送パケットの宛先アドレス毎の転送データ量の累計値を一定周期毎に計測し、ある宛先アドレスの転送データ量の累計値が予め定めた閾値以上となった際は、当該宛先アドレスを保有するパケットに関して、次周期では閾値超過量に相当するパケットを廃棄することを特徴とするネットワーク制御方法。 In the network control method according to any one of claims 1 to 4,
The packet processing device is
As the packet passing process of the packet passing control function, the cumulative value of the transfer data amount for each destination address of the transfer packet is measured at a certain period, and the cumulative value of the transfer data amount of a certain destination address is equal to or greater than a predetermined threshold value. A network control method characterized by discarding a packet corresponding to a threshold excess amount in the next period with respect to a packet having the destination address.
前記パケット処理装置が、
前記パケット通過制御機能のパケット通過処理として、受信パケットのヘッダ情報毎の転送パケット数および転送データ量の累計値を一定周期毎に観測し、あるヘッダ情報の転送パケット数および転送データ量の累計値の増加値が予め定めた閾値以上となった際は、次周期から当該ヘッダ情報を保有するパケットを廃棄することを特徴とするネットワーク制御方法。 In the network control method according to any one of claims 1 to 4,
The packet processing device is
As the packet passing process of the packet passing control function, the cumulative value of the transfer packet number and the transfer data amount for each header information of the received packet is observed at regular intervals, and the transfer packet number of the header information and the cumulative value of the transfer data amount are observed. A network control method characterized by discarding a packet having the header information from the next cycle when the increase value of the value exceeds a predetermined threshold value.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007048246A JP4279324B2 (en) | 2007-02-28 | 2007-02-28 | Network control method |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007048246A JP4279324B2 (en) | 2007-02-28 | 2007-02-28 | Network control method |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2008211690A JP2008211690A (en) | 2008-09-11 |
JP4279324B2 true JP4279324B2 (en) | 2009-06-17 |
Family
ID=39787606
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007048246A Expired - Fee Related JP4279324B2 (en) | 2007-02-28 | 2007-02-28 | Network control method |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4279324B2 (en) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102712155B (en) * | 2010-01-18 | 2015-03-04 | 株式会社普利司通 | Tire manufacturing device |
Families Citing this family (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4592800B2 (en) * | 2009-03-12 | 2010-12-08 | パナソニック株式会社 | Route selection device, route selection method, and program |
CN102148751B (en) * | 2010-12-16 | 2014-04-23 | 福建星网锐捷网络有限公司 | Method and device as well as network equipment for managing logical interface |
JP2012130223A (en) | 2010-12-17 | 2012-07-05 | Samsung Electronics Co Ltd | Synchronous motor |
-
2007
- 2007-02-28 JP JP2007048246A patent/JP4279324B2/en not_active Expired - Fee Related
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102712155B (en) * | 2010-01-18 | 2015-03-04 | 株式会社普利司通 | Tire manufacturing device |
Also Published As
Publication number | Publication date |
---|---|
JP2008211690A (en) | 2008-09-11 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9276852B2 (en) | Communication system, forwarding node, received packet process method, and program | |
Ioannidis et al. | Implementing pushback: Router-based defense against DDoS attacks | |
CN108040057B (en) | Working method of SDN system suitable for guaranteeing network security and network communication quality | |
KR101900154B1 (en) | SDN capable of detection DDoS attacks and switch including the same | |
US20190297017A1 (en) | Managing network congestion using segment routing | |
US20110138463A1 (en) | Method and system for ddos traffic detection and traffic mitigation using flow statistics | |
JP4547340B2 (en) | Traffic control method, apparatus and system | |
US20070055789A1 (en) | Method and apparatus for managing routing of data elements | |
US8339971B2 (en) | Network protection via embedded controls | |
US10986018B2 (en) | Reducing traffic overload in software defined network | |
JP6599819B2 (en) | Packet relay device | |
JP4380710B2 (en) | Traffic anomaly detection system, traffic information observation device, and traffic information observation program | |
Afaq et al. | Large flows detection, marking, and mitigation based on sFlow standard in SDN | |
JP6939726B2 (en) | Attack response location selection device and attack response location selection method | |
Gkounis | Cross-domain DoS link-flooding attack detection and mitigation using SDN principles | |
Agarwal et al. | DDoS mitigation via regional cleaning centers | |
JP4279324B2 (en) | Network control method | |
KR20110065273A (en) | Method and system for ddos traffic detection and traffic mitigation using flow statistic | |
JP4260848B2 (en) | Network control method | |
JP4244356B2 (en) | Traffic analysis and control system | |
KR101065800B1 (en) | Network management apparatus and method thereof, user terminal for managing network and recoding medium thereof | |
JP4222567B2 (en) | Congestion control method and congestion control apparatus | |
JP2004328307A (en) | Attack defense system, attack defense control server, and attack defense method | |
JP2006050442A (en) | Traffic monitoring method and system | |
US20190230115A1 (en) | Fatigue-based segment routing |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090126 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090310 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090311 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120319 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 4279324 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130319 Year of fee payment: 4 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
LAPS | Cancellation because of no payment of annual fees |