JP4615504B2 - ネットワーク中継システム、および、ネットワーク中継システムにおける方法 - Google Patents

Description

本発明は、ネットワーク中継システム、および、ネットワーク中継システムにおける方法に関する。

インターネット等のネットワークにおいて、ネットワーク経由で異常なデータを送信することによりネットワーク機器やサーバシステムを攻撃する行為が脅威となっている。こうした脅威に対処するため、ネットワークを相互接続するネットワーク中継システムにおいて、異常なデータの可能性の有無を検出すると、当該可能性のあるデータを、当該データが異常なデータであるか否かを精査する検査装置に転送することが開示されている（例えば、特許文献１）。

特開２００５−５９２７号公報

しかしながら、上記技術では、具体的に異常である可能性があるデータを、どのように検査装置に転送するかについて開示されていない。このように、異常である可能性のあるデータを効率良く検査装置に転送する技術は、確立されていない。このため、異常である可能性のあるデータを検査装置に転送するために、多くの時間やリソースを要したり、回線の帯域を無駄遣いしてしまうおそれがあった。なお、このような課題は、異常である可能性のあるデータを検査装置に転送する場合に限らず、特定の処理の対象であるデータをデータ収集装置に転送する際に共通する課題であった。

本発明は、上記課題を解決するためになされたものであり、ネットワーク中継システムにおいて、特定の処理の対象であるデータを、効率良く検査装置などの収集装置に転送することを目的とする。

上記課題の少なくとも一部を解決するため、本発明の第１の態様は、宛先を指定する宛先情報を有するデータの中継を行うネットワーク中継システムを提供する。第１の態様にかかるネットワーク中継システムは、前記データのうち、特定の処理の対象である第１のデータを収集するためのデータ収集装置と、前記データ収集装置と直接または間接に接続された１または複数のネットワーク中継装置と、を備える。前記１または複数のネットワーク中継装置のうち少なくとも一つは、受信された前記データが、前記第１のデータであるか、前記特定の処理の対象でない第２のデータであるかを判定する判定部と、前記第１のデータであると判定されたデータに、第１のマーキングを行うマーキング部と、を備える。前記１または複数のネットワーク中継装置は、それぞれに、受信された前記データに前記第１のマーキングがされている場合には、受信された前記データを、前記データ収集装置に送るための第１の転送処理を実行し、受信された前記データに前記第１のマーキングがされていない場合には、受信された前記データを、前記指定された宛先に送るための第２の転送処理を実行する転送処理部を備える。

第１の態様に係るネットワーク中継システムによれば、特定の処理の対象であるデータに第１のマーキングを行い、各ネットワーク中継装置は、第１のマーキングの有無に応じて異なる転送処理を実行する。この結果、ネットワーク中継装置全てが、特定の処理の対象であるか否かを判定する必要がなく、効率良く特定の処理の対象であるデータをデータ収集装置に転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記１または複数のネットワーク中継装置は、それぞれに、第１の経路情報と、第２の経路情報とを格納した格納部を備え、前記転送処理部は、前記第１の経路情報を参照して前記第１の転送処理を実行し、前記第２の経路情報を参照して前記第２の転送処理を実行しても良い。こうすれば、各ネットワーク中継装置は、第１のマーキングがなされたデータを転送するための第１の経路情報を予め持っているので、速やかに第１のマーキングがなされたデータをデータ収集装置に転送することができる。

第１の態様に係るネットワーク中継システムは、複数の前記データ収集装置を備え、前記第１の経路情報は、各データ収集装置にデータを転送するための複数種類の経路情報を含んでも良い。こうすれば、各データ収集装置に速やかに第１のマーキングがなされたデータを転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記第１の経路情報に含まれる複数種類の経路情報に対応する複数種類の前記第１のマーキングが用いられ、前記転送処理部は、前記第１の経路情報に含まれる複数種類の経路情報のうち、受信されたデータにされている前記第１のマーキングの種類に対応する経路情報を参照して前記第１の処理を実行しても良い。こうすれば、第１のマーキングの種類に応じて、すみやかに複数のデータ収集装置のいずれかに第１のマーキングがなされたデータを転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記第１の経路情報は静的に設定される。こうすれば、ネットワーク中継システムにおけるデータ収集装置の配置に合わせて、第１の経路情報を自由に設定できるので、データ収集装置をネットワーク中継システム内に最適配置することができる。

第１の態様に係るネットワーク中継システムにおいて、前記１または複数のネットワーク中継装置は、レイヤ３中継装置であり、前記１または複数のネットワーク中継装置の前記転送処理部は、前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想プライベートネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行する。こうすれば、仮想プライベートネットワークの仕組みを用いて、容易に、第１のマーキングがなされたデータをデータ収集装置に転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記第１のマーキングは、ネットワーク層のヘッダに行われても良く、データリンク層のヘッダに行われても良い。こうすれば、第１のマーキングによるデータ量の増加を抑制できるので、マーキングのために通信帯域を無駄に使用することを抑制することができる。

第１の態様に係るネットワーク中継システムにおいて、前記１または複数のネットワーク中継装置は、レイヤ２中継装置であり、前記１または複数のネットワーク中継装置の前記転送処理部は、前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想ローカルエリアネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行しても良い。こうすれば、仮想ローカルエリアネットワークの仕組みを用いて、容易に、第１のマーキングがなされたデータをデータ収集装置に転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記第１のデータは、異常である可能性があるデータであり、前記特定の処理は、前記第１のデータが異常であるか否かを判断する処理であっても良い。こうすれば、異常である可能性があるデータを効率良くデータ収集装置に転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記データ収集装置は、収集された前記第１のデータを検査して、前記第１のデータが異常であるか否かを判断する検査部を備え、異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除して、前記異常でないと判断された前記第１のデータを前記１または複数のネットワーク中継装置のいずれかに転送しても良い。こうすれば、検査の結果、異常でなかったデータについては、指定された宛先に正しく転送することができる。

第１の態様に係るネットワーク中継システムにおいて、前記異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除すると共に、異常でないことを示す第２のマーキングを行っても良い。こうすれば、各ネットワーク中継装置は、当該データが異常でないことを認識して処理を進めることができる。

本発明の第２の態様は、宛先を指定する宛先情報を有するデータの中継を行うネットワーク中継システムであって、前記データのうち、異常である可能性がある第１のデータを収集するためのデータ収集装置と、前記データ収集装置と直接または間接に接続された１または複数のネットワーク中継装置と、を備えるネットワーク中継システムにおける方法を提供する。第２の態様に係る方法は、前記１または複数のネットワーク中継装置のうち少なくとも一つにおいて、受信された前記データが、前記第１のデータであるか、異常である可能性がない第２のデータであるかを判定し、前記第１のデータであると判定されたデータに、第１のマーキングを行い、前記１または複数のネットワーク中継装置のそれぞれにおいて、受信された前記データに前記第１のマーキングがされている場合には、受信された前記データを、前記データ収集装置に送るための第１の転送処理を実行し、受信された前記データに前記第１のマーキングがされていない場合には、受信された前記データを、前記指定された宛先に送るための第２の転送処理を実行する。

第２の態様に係る方法によれば、第１の態様に係るネットワーク中継システムと同様の作用・効果を得ることができる。また、第２の態様に係る方法は、第１の態様に係るネットワーク中継システムと同様に、種々の態様で実現され得る。

なお、本発明は、さらに、種々の態様で実現することが可能であり、例えば、上記第１の態様に係るネットワーク中継システムを構成するネットワーク中継装置や、上記第１の態様に係るネットワーク中継システムを構成するデータ収集装置として実現することができる。また、これらのシステムや装置、方法の態様に加えて、システム、装置または方法を構築するためのコンピュータプログラム、そのコンピュータプログラムを記録した記録媒体、そのコンピュータプログラムを含み搬送波内に具現化されたデータ信号、等の態様で実現することができる。

Ａ．実施例：
・ネットワーク中継システムの構成：
次に、本発明の実施の形態を実施例に基づき説明する。図１〜図４を参照して、実施例に係るネットワーク中継システムの構成について説明する。図１は、実施例に係るネットワーク中継システムの概略構成を示すブロック図である。図２は、実施例に係るネットワーク中継システムに含まれるネットワーク中継装置の内部構成を示すブロック図である。図３は、実施例に係るネットワーク中継システムに含まれる収集装置２００の内部構成を示すブロック図である。図４は、実施例において各ネットワーク中継装置に格納されたルーティングテーブルを概念的に示す図である。図５は、実施例において第２の中継装置に格納されたＡＣＬテーブルの一例を概念的に示す図である。図６は、イーサネットフレームのデータ構造を概念的に示す図である。

図１に示すように、本実施例に係るネットワーク中継システム１０００は、３つのネットワーク中継装置、すなわち、第１の中継装置１００ａと第２の中継装置１００ｂと第３の中継装置１００ｃとを含んでいる。以下では、３つのネットワーク中継装置を区別する必要がない場合は、符号の末尾のアルファベットを省略し、ネットワーク中継装置１００と記述する。さらに、ネットワーク中継システム１０００は、収集装置２００を含んでいる。

ネットワーク中継装置１００は、図２に示すように、複数の物理ポート１１０と、送受信処理回路１２０と、フレーム処理回路１３０と、装置制御部１４０とを含んでいる。

物理ポート１１０は、同軸ケーブルや光ファイバなどの回線ＣＶを介してネットワークに接続するためのインタフェースである。物理ポート１１０は、本実施例では、イーサネット（登録商標）規格に準拠したポートである。

送受信処理回路１２０は、各物理ポート１１０と接続され、物理ポート１１０を介して受信された電気信号を解釈して、データリンク層において用いられるデータの固まり（以下、フレームと呼ぶ。本実施例では、イーサネット（登録商標）・フレームである。）に変換する受信処理を行う。送受信処理回路１２０は、変換したイーサネットフレームをフレーム処理回路１３０に送る。また、送受信処理回路１２０は、フレーム処理回路１３０から転送すべきイーサネットフレームを受け取り、イーサネットフレームを電気信号に変換して後述する対応ポートから送信する送信処理を行う。

ここで、図６を参照してイーサネットフレームについて説明する。イーサネットフレーム８００は、ペイロード８３０と、ＩＰヘッダ８２０と、イーサネットヘッダ８１０を含んでいる。ペイロード８３０は、転送対象であるデータ本体である。ＩＰヘッダ８２０は、ネットワーク層における処理に用いられる情報が記述されたヘッダである。ＩＰヘッダ８２０は、図６に示すように、ＴＯＳ（Type of Service）フィールドと、送信元ＩＰアドレス（以下、ＳＩＰとも呼ぶ。）と、宛先ＩＰアドレス（以下、ＤＩＰとも呼ぶ。）を含んでいる。ＴＯＳフィールドには、例えば、そのＩＰパケットの優先度を指定する情報を始め、ＩＰパケットのタイプを指定する情報が記述される。イーサネットヘッダ８１０は、宛先ＭＡＣアドレス（以下、ＤＭＡＣとも呼ぶ。）と、送信元ＭＡＣアドレス（以下、ＳＭＡＣとも呼ぶ。）と、ＣＯＳ（Class of Service）フィールドと、ＶＬＡＮーＩＤを含んでいる。ＣＯＳ（Class of Service）フィールドや、ＶＬＡＮーＩＤは、省略される場合もある。

フレーム処理回路１３０は、転送処理部１３１と、フィルタ処理部１３２と、メモリ１３４とを備えている。メモリ１３４には、ルーティングテーブル１３５と、ＡＣＬ（Access Control List）テーブル１３６が格納されている。ルーティングテーブル１３５は、宛先ＩＰアドレスと転送先装置を対応付ける情報が記述されたテーブルである。ＡＣＬテーブル１３６は、フィルタ処理部１３２がイーサネットフレームをフィルタリングする際に用いるテーブルである。ＡＣＬテーブル１３６は、全てのネットワーク中継装置１００に設定される必要はなく、設定されていない場合もある。ルーティングテーブル１３５と、ＡＣＬテーブル１３６については、さらに、後述する。

転送処理部１３１およびフィルタ処理部１３２は、後述する本回路の機能を実現するために設計されたＡＳＩＣ（Application Specific Integrated Circuit：特定用途向け集積回路）であり、後述する本回路の機能をハードウエア処理により実行する。転送処理部１３１は、送受信処理回路１２０から受け取ったイーサネットフレームを転送するための転送処理を行う回路である。具体的には、転送処理部１３１は、そのイーサネットフレームに含まれる宛先ＩＰアドレスに基づいて、イーサネットフレームを転送する転送先装置を特定する。転送先装置の特定は、後述するように、メモリ１３４に格納されたルーティングテーブル１３５を参照して実行される。転送処理部１３１は、さらに、特定された転送先装置のＭＡＣアドレスを特定すると共に、特定された転送先装置にイーサネットフレームを転送するための対応ポートを特定する。かかるＭＡＣアドレスおよび対応ポートの特定は、転送先装置のＭＡＣアドレスと対応ポートを対応付ける情報が記述されたＡＲＰテーブル（図示省略）を参照して実行される。転送処理部１３１は、イーサネットフレームに含まれる宛先ＭＡＣアドレスを特定された転送先装置のＭＡＣアドレスに変更し、変更後のイーサネットフレームを、特定された対応ポートを指定して送受信処理回路１２０に送信する。この結果、イーサネットフレームは、対応ポートから転送先装置へと転送される。転送処理部１３１により対応ポートを特定して行われる転送は、ＯＳＩ（Open Systems Interconnection）参照モデルの第３層であるネットワーク層のアドレスであるＩＰアドレスに基づいて行われるため、以下、レイヤ３転送と呼ぶ。

フィルタ処理部１３２は、上述したＡＣＬテーブル１３６が設定されている場合に、ＡＣＬテーブル１３６を参照して、イーサネットフレームのフィルタリングを行う回路である。また、フィルタ処理部１３２は、ＡＣＬテーブル１３６に記述された条件に合致したイーサネットフレームに後述するマークキングを行う。

装置制御部１４０は、ネットワーク中継装置１００全体を制御する。装置制御部１４０は、周知の計算機であり、制御プログラムを実行することにより、装置制御部としての機能を実現する。装置制御部１４０は、ＲＩＰ（Routing Information Protocol）や、ＯＳＰＦ（Open Shortest Path First）などのルーティングプロトコルの処理を行う機能や、ルーティングテーブルを作成して、フレーム処理回路１３０のメモリ１３４に格納する機能などを実行する。

収集装置２００は、異常なデータである可能性があるイーサネットフレーム（以下、第１のイーサネットフレームと呼ぶ。）を収集し、収集された第１のイーサネットフレームが、本当に異常なデータであるか否かを精査するための装置である。収集装置２００は、ネットワーク中継装置１００と類似した構成を有している。収集装置２００は、図３に示すように、複数の物理ポート２１０と、送受信処理回路２２０と、フレーム検査回路２３０と、装置制御部１４０とを含んでいる。

物理ポート２１０は、ネットワーク中継装置１００の物理ポート１１０と同一であるのでその説明を省略する。

送受信処理回路２２０は、ネットワーク中継装置１００の送受信処理回路１２０と同様に、物理ポート２１０を介して受信された電気信号を解釈して、イーサネットフレームに変換し、フレーム検査回路２３０に送る。また、送受信処理回路１２０は、フレーム検査回路２３０から転送すべきイーサネットフレームを受け取り、イーサネットフレームを電気信号に変換して対応ポートから送信する送信処理を行う。

フレーム検査回路２３０は、異常データ検査部２３１と、メモリ２３４とを備えている。メモリ２３４には、異常データパターンテーブル２３５が格納されている。異常データパターンテーブルには、トロイの木馬などの悪質なコード、ウイルス、ＤＤＯＳ（Distributed Denial of Service）攻撃のためのフレームのパターンなど、異常なイーサネットフレームの特徴が記録されたテーブルである。

異常データ検査部２３１は、ネットワーク中継装置１００の転送処理部１３１と同様に、本回路の機能を実現するために設計されたＡＳＩＣである。異常データ検査部２３１は、送受信処理回路２２０から受け取った第１のイーサネットフレームの内容を精査して、第１のイーサネットフレームが、異常なイーサネットフレームであるか否かを判断する。また、異常データ検査部２３１は、後述するように、異常なイーサネットフレームであると判断した第１のイーサネットフレームを廃棄や、異常なイーサネットフレームでないと判断した第１のイーサネットフレームのマーキングの解除、再転送を行う。

装置制御部２４０は、収集装置２００全体を制御する。装置制御部２４０は、周知の計算機であり、制御プログラムを実行することにより、装置制御部としての機能を実現する。装置制御部２４０は、例えば、異常データパターンテーブル２３５のアップデートなどを実行する。

図１に戻って、説明を続ける。図１において、黒丸は各装置が備えるポートを示している。例えば、各ネットワーク中継装置１００ａ〜１００ｃのポートＰ１〜Ｐ３は、図２における物理ポート１１０のいずれかに対応しており、収集装置２００のポートＰ１は、図３における物理ポート２１０のいずれかに対応している。

図１に示すように、ネットワーク中継システム１０００に含まれる３つのネットワーク中継装置１００のうち、第１の中継装置１００ａのポートＰ１は、システム外部の端末５００Ａ（端末Ａ）と、外部ネットワークＯＮＴ１を介して接続されている。同様に、第３の中継装置１００ｃのポートＰ２は、システム外部の端末５００Ｂ（端末Ｂ）と、外部ネットワークＯＮＴ２を介して接続されている。端末５００Ａ、５００Ｂに代えて、周知のルータや、スイッチと接続されていても良い。

第１の中継装置１００ａのポートＰ１と第２の中継装置１００ｂのポートＰ３、第２の中継装置１００ｂのポートＰ２と第３の中継装置１００ｃのポートＰ１、第１の中継装置１００ａのポートＰ２と第３の中継装置１００ｃのポートＰ３は、それぞれ内部ネットワークＩＮＴ１、ＩＮＴ２、ＩＮＴ３を介して接続されている。また、第１の中継装置１００ａのポートＰ３は、内部ネットワークＩＮＴ４を介して収集装置２００のポートＰ１と接続されている。このように、第１の中継装置１００ａは、直接的に、収集装置２００と接続されている。一方、第２の中継装置１００ｂおよび第３の中継装置１００ｃは、間接的に、すなわち、１または複数の他のネットワーク中継装置を介して（本実施例では、第１の中継装置１００ａを介して）、収集装置２００と接続されている。

次に、図４を参照して、各ネットワーク中継装置１００に格納されているルーティングテーブル１３５の内容について説明する。第１の中継装置１００ａ、第２の中継装置１００ｂ、第３の中継装置１００ｃに格納されているルーティングテーブルをそれぞれ、符号１３５ａ、１３５ｂ、１３５ｃを用いて表す。図４に示すように、ルーティングテーブル１３５ａ、１３５ｂ、１３５ｃには、宛先ＩＰアドレスと転送先との対応関係を示す経路情報が記述されている。転送先としては、実際は、転送先装置のポートのＩＰアドレスが記述されることが多いが、図４では、理解の容易のため転送先装置の符号を記述している。図４に示すように、各ルーティングテーブル１３５ａ〜１３５ｃは、それぞれ、２つの仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）用に、２種類の経路情報を含んでいる。すなわち、識別ＩＤ１のＶＰＮ用の第１の経路情報と、識別ＩＤ０のＶＰＮ用の第２の経路情報である。

第１の経路情報は、宛先ＩＰアドレスに関わらず、処理対象のイーサネットフレームが収集装置２００に転送されるように記述された特殊な経路情報である。第１の経路情報は、例えば、システム管理者により静的に設定される。

第２の経路情報は、宛先ＩＰアドレスに応じて、最終的に宛先ＩＰアドレスを有する装置に転送されるように記述された通常の経路情報である。図４において、ＩＰ＿Ａは、端末５００ＡのＩＰアドレスを表し、ＩＰ＿Ｂは、端末５００ＢのＩＰアドレスを示している。第２の経路情報は、静的に設定されても良いし、各種ルーティングプロトコルにより動的に設定されても良い。

次に、図５を参照して、ＡＣＬテーブル１３６について説明する。ＡＣＬテーブル１３６は、上述したように全てのネットワーク中継装置１００ａ〜１００ｃに設定されている必要はなく、本実施例では、第２の中継装置１００ｂにのみ設定されているものとする。図５には、第２の中継装置１００ｂに設定されているＡＣＬテーブル１３６ｂを示している。ＡＣＬテーブル１３６ｂは、ルール（条件）を記述するエントリと、そのルールに合致した場合に行うアクションを記述するエントリとを含んでいる。ルールを記述するエントリには、異常である可能性があるイーサネットフレームを判定するためのルールが記述される。記述されるルールには、例えば、送信元ＩＰアドレス（ＳＩＰ）が、詐称送信元ＩＰアドレスとして用いられることがあるもの（例えば、０．０．０．０や、ブロードキャストアドレスなど）であること、宛先ＩＰアドレス（ＤＩＰ）が、特定のアドレス（例えば、ＤＤｏＳ攻撃を頻繁に受けるサーバのＩＰアドレス）であることなどがある。また、記述されるルールは、許可されていないアクセスのフレームであること（例えば、宛先ＩＰアドレスと送信元ＩＰアドレスによりルールを記述）、ＤＤｏＳ攻撃の可能性のあるフレームであること（例えば、ＩＣＭＰを利用しているフレーム）、特定アプリケーション宛または特定アプリケーションからのフレームであること（例えば、ＴＣＰヘッダの送信元ポート番号、宛先ポート番号などでルールを記述）などであっても良い。そして、これらのルールに合致した場合に行われるアクションは、本実施例では、マーキングと記述される。マーキングについては、後述する。

・ネットワーク中継システムの動作：
図７〜図１１を参照して、ネットワーク中継システム１０００の動作について説明する。図７は、各ネットワーク中継装置の動作ステップを示すフローチャートである。図８は、各ネットワーク中継装置における転送処理の処理ステップを示すフローチャートである。図９は、収集装置の動作ステップを示すフローチャートである。図１０は、実施例におけるネットワーク中継システムの動作例を示す第１の図である。図１１は、実施例におけるネットワーク中継システムの動作例を示す第２の図である。

まず、各ネットワーク中継装置１００ａ〜１００ｃにおける動作を説明する。どのネットワーク中継装置１００ａ〜１００ｃも動作は同一であるので、各ネットワーク中継装置を区別するアルファベットを省略し、ネットワーク中継装置１００の動作として説明する。図７に示すように、ネットワーク中継装置１００が自身を宛先とするＭＡＣアドレスを有するイーサネットフレームを物理ポート１１０のいずれかを介して受信する（ステップＳ１１０）。イーサネットフレームを受信すると、ネットワーク中継装置１００のフレーム処理回路１３０において、フィルタ処理部１３２は、メモリ１３４にＡＣＬテーブル１３６が設定されているか否かを判断する（ステップＳ１２０）。ＡＣＬテーブル１３６が設定されていない場合には（ステップＳ１２０：ＮＯ）、フレーム処理回路１３０の転送処理部１３１による転送処理に移る（ステップＳ１５０）。

一方、メモリ１３４にＡＣＬテーブル１３６が設定されていると判断すると（ステップＳ１２０：ＹＥＳ）、フィルタ処理部１３２は、受信されたイーサネットフレームがマーキングの条件に合致するか否かを判定する（ステップＳ１３０）。すなわち、フィルタ処理部１３２は、図５を参照して説明したＡＣＬテーブル１３６に記述されたルールに合致するか否かを判定する。

受信されたイーサネットフレームがマーキングの条件に合致しないと判定されると（ステップＳ１３０：ＮＯ）、フレーム処理回路１３０の転送処理部１３１による転送処理に移る（ステップＳ１５０）。

一方、受信されたイーサネットフレームがマーキングの条件に合致しないと判定されると（ステップＳ１３０：ＹＥＳ）、すなわち、受信されたイーサネットフレームが異常である可能性があると判断されると、フィルタ処理部１３２は、当該イーサネットフレームに異常の可能性があることを示すマーキング（以下、異常マーキングと呼ぶ。）を行う。本実施例では、異常マーキングは、当該イーサネットフレームの送信元ＭＡＣアドレスの全部または一部を所定の値に書き換えることにより行う。異常マーキングがなされると、転送処理部１３１による転送処理に移る（ステップＳ１５０）。

転送処理部１３１による転送処理について、図８を参照して説明する。まず、転送処理部１３１は、当該イーサネットフレームに異常マーキングがされているか否かを判断する（ステップＳ２１０）。すなわち、本実施例では、当該イーサネットフレームの送信元ＭＡＣアドレスに所定の書換が行われているか否かを判断する。

転送処理部１３１は、当該イーサネットフレームに異常マーキングがされていると判断すると（ステップＳ２１０：ＹＥＳ）、当該イーサネットフレームを、識別ＩＤ１のＶＰＮ（ＶＰＮ−１）に属するフレームとして転送処理を行う（ステップＳ２２０）。すなわち、転送処理部１３１は、図４を参照して説明したルーティングテーブル１３５のうち、静的に設定された第１の経路情報に従って、ルーティングを行い、イーサネットフレームの転送を行う。この結果、当該イーサネットフレームは、最終的に収集装置２００に転送されるようにルーティングされる。

一方、当該イーサネットフレームに異常マーキングがされていないと判断すると（ステップＳ２１０：ＮＯ）、当該イーサネットフレームを、識別ＩＤ０のＶＰＮ（ＶＰＮ−０）に属するフレームとして転送処理を行う（ステップＳ２３０）。すなわち、転送処理部１３１は、図４を参照して説明したルーティングテーブル１３５のうち、通常の経路情報である第２の経路情報に従って、ルーティングを行い、イーサネットフレームの転送を行う。この結果、当該イーサネットフレームは、最終的に宛先ＩＰアドレスとして記述されたＩＰアドレスを有する装置に転送されるようにルーティングされる。

次に、収集装置２００の動作について、図９を参照して説明する。収集装置２００は、自身を宛先とするＭＡＣアドレスを有するイーサネットフレームを物理ポート２１０のいずれかを介して受信する（ステップＳ３１０）。ここで、収集装置２００に転送されてくるイーサネットフレームは、上述したネットワーク中継装置１００の動作から解るように、異常マーキングがされているイーサネットフレームである。

イーサネットフレームを受信すると、収集装置２００のフレーム検査回路２３０において、異常データ検査部２３１は、当該イーサネットフレームが異常なイーサネットフレームであるか否かを判断する（ステップＳ３２０）。具体的には、異常データ検査部２３１は、当該イーサネットフレームの内容を精査して、上述した異常データパターンテーブル２３５と比較することにより、異常なイーサネットフレームであるか否かを判断する。

異常データ検査部２３１は、当該イーサネットフレームが異常なイーサネットフレームであると判断すると（ステップＳ３２０：ＹＥＳ）、当該イーサネットフレームを廃棄し（ステップＳ３４０）、処理を終了する。

一方、異常データ検査部２３１は、当該イーサネットフレームが異常なイーサネットフレームでないと判断すると（ステップＳ３２０：ＮＯ）、当該イーサネットフレームの異常マーキングを解除する（ステップＳ３３０）。具体的には、当該イーサネットフレームの送信元ＭＡＣアドレスを自身に割り当てられた通常のＭＡＣアドレスに書き換える。

異常データ検査部２３１は、当該当該イーサネットフレームの異常マーキングを解除すると、当該イーサネットフレームを受信したポートから転送する（ステップＳ３５０）。この結果、本実施例では、収集装置２００から第１の中継装置１００ａに異常マーキングが解除されたイーサネットフレームが戻される。

ついで、理解の容易のため、ネットワーク中継システム１０００の動作例を、図１０および図１１を参照して説明する。動作例として、端末５００Ａから端末５００Ｂ宛にフレームＰ（宛先ＩＰアドレスがＩＰ＿Ｂであるフレーム）が送られた場合を例として説明する。図１０および図１１において、白抜きの矢印は、通常の転送、例えば、ＶＰＮ−０に属するフレームとしてルーティングされた転送、すなわち、第２の経路情報に従ってルーティングされた転送であることを示す。一方、黒塗りの矢印は、ＶＰＮ−１に属するフレームとしてルーティングされた転送、すなわち、第１の経路情報に従ってルーティングされた転送であることを示す。

図１０は、第２の中継装置１００ｂにおいて、ＡＣＬテーブル１３６ｂ（図５）の異常マーキングの条件に該当せずに、通常のルーティングが行われた場合を示している。図１０において、白抜きの矢印で示すように、フレームＰは、送信元ＭＡＣアドレス（ＳＭＡＣ）になにもマーキングされず、第２の中継装置１００ｂと第３の中継装置１００ｃにおいて、第２の経路情報（図４）に従ってルーティングされ、最終的に端末Ｂに送られる。

図１１は、第２の中継装置１００ｂにおいて、ＡＣＬテーブル１３６ｂ（図５）の異常マーキングの条件に該当し、異常マーキングがされた場合を示している。図１１において、送信元ＭＡＣアドレス（ＳＭＡＣ）の末尾に付された「−１」は、異常マーキングがなされていることを示している。図１０に示すようにフレームＰは、第２の中継装置１００ｂにおいて異常マーキングがなされ、第２の中継装置１００ｂと第１の中継装置１００ａにおいて、第１の経路情報（図４）に従ってルーティングされ、収集装置２００へと転送される。ここで、フレームＰは、収集装置２００において異常なフレームであると判断されると、収集装置２００において廃棄されてしまう。一方、収集装置２００において異常なフレームでないと判断されると、フレームＰは、図１１において白抜きの矢印で示すように、第１の中継装置１００ａに戻され、第１の中継装置１００ａと第３の中継装置１００ｃにおいて、第２の経路情報（図４）に従ってルーティングされ、最終的に端末Ｂに送られる。

以上説明した本実施例におけるネットワーク中継システム１０００によれば、各ネットワーク中継装置１００ａ〜１００ｃに、予め収集装置２００に転送するための第１の経路情報（図４）が静的に設定されているため、異常の可能性のあるトラフィック（イーサネットフレーム）が検出されたら、当該トラフィックを瞬時に収集装置２００に迂回させることができる。例えば、異常の可能性のあるトラフィックが検出された後に、ルーティングテーブルを動的に変更する構成とすると、各ネットワーク中継装置のルーティングテーブルを変更して、迂回が可能になるまでに時間がかかるおそれがあるが、本実施例では、そのような不都合はない。

さらに、本実施例では、送信元ＭＡＣアドレスに異常マーキングをしているので、帯域を無駄にすることがない。例えば、異常の可能性のあるトラフィックが検出された場合に、そのトラフィックを構成するフレームをカプセリングすることにより、迂回を行う構成とすると、カプセリングの分だけフレームのデータ量が大きくなり、帯域を無駄に使用するおそれがあるが、本実施例では、そのような不具合はない。

さらに、収集装置２００の配置位置に応じて、各ネットワーク中継装置１００ａ〜１００ｃに、予め収集装置２００に転送するための第１の経路情報（図４）を静的に設定すれば良いため、収集装置２００を最適な配置を容易に実現可能である。

また、異常の可能性のあるイーサネットフレームを検出するためのフィルタ（本実施例では、ＡＣＬテーブル１３６）を全てのネットワーク中継装置１００に設定する必要がなく、各ネットワーク中継装置１００で異なるフィルタを設定することも可能であるため、ネットワーク中継装置１００のリソースを有効に活用できる。例えば、いわゆるポリシールーティングにより、収集装置へ異常な可能性のあるトラフィックを迂回する構成とすると、全てのネットワーク中継装置に同じルールを設定したフィルタを設定する必要が生じ、効率的でない。

Ｂ．変形例：
・第１変形例：
上記実施例では、宛先ＭＡＣアドレスに対して、異常マーキングを行うこととしたが、これは一例であって、異常マーキングは様々な手法で行うことができる。例えば、図６に示すイーサネットフレーム８００のうち、ＩＰヘッダ８２０のＴＯＳフィールドに異常マーキングを行っても良い。例えば、ＴＯＳフィールドは、８ビット用意されているが、そのうちの最後の１ビットを異常マーキング用とし、当該ビットが「０」である場合は、異常マーキング無し、「１」である場合は異常マーキング有りとすることができる。また、イーサネットフレーム８００のうち、イーサネットヘッダ８１０のＣＯＳフィールドや、ＶＬＡＮ−ＩＤを記述するフィールドの一部に、異常マーキングを行うこととしても良い。また、宛先ＭＡＣアドレスに異常マーキングを行うこととしても良い。カプセリングのように新たなデータを追加するようなことは、データ量の増大による帯域の無駄な使用を招くため、上述した各種の例のように、既存のフィールドにマーキングすることが好ましい。

・第２変形例：
収集装置２００において、異常なイーサネットフレームでないと判断された場合、上記実施例では、異常マーキングを解除しているのみであるが、これに加えて、異常であるか否かの精査が済んでいることを示すマーキング（以下、検査済マーキングと呼ぶ。）を行っても良い。図１２は、第２変形例における収集装置の動作ステップを示すフローチャートである。図９を参照して説明した実施例における収集装置の動作ステップと異なる点は、検査済マーキングを行うステップＳ３３５が追加されている点のみである。他のステップは、同一であるので、説明を省略する。

検査済マーキングは、例えば、ＩＰヘッダ８２０のＴＯＳフィールドや、イーサネットヘッダ８１０のＣＯＳフィールドを始め、異常マーキングと同様に様々な手法で行うことができる。異常マーキングと同様に、検査済マーキングについても、データ量の増大による帯域の無駄な使用を抑制するため、既存のフィールドにマーキングすることが好ましい。

このように検査済マーキングをする場合、各ネットワーク中継装置１００は、検査済マーキングがなされたイーサネットフレームを、フィルタ処理部１３２による異常な可能性があるか否かの判定の対象としないこととする。あるいは、各ネットワーク中継装置１００は、検査済マーキングがなされたイーサネットフレームを、異常な可能性があると判定しても、異常マーキングを行わないこととする。あるいは、各ネットワーク中継装置１００は、検査済マーキングがなされたイーサネットフレームを、無条件に第２の経路情報に従って、ルーティングすることとする。

第２変形例によれば、収集装置２００において、一度、異常でないと判断されたイーサネットフレームが、再びいずれかのネットワーク中継装置１００において異常マーキングされ、再び収集装置２００に戻ってしまうことを抑制することができる。ネットワーク中継システム１０００を構成する複数のネットワーク中継装置１００にＡＣＬテーブル１３６を設定する場合、特に、重複した内容のルールを複数のネットワーク中継装置１００のＡＣＬテーブル１３６に設定する場合などに有効である。

・第３変形例：
上記実施例では、３台のネットワーク中継装置１００が相互に接続されている例を示したが、ネットワーク中継システムに含まれるネットワーク中継装置１００の台数は、任意に変更することができ、ネットワーク中継装置１００の接続態様も任意に変更することができる。例えば、４台のネットワーク中継装置１００を直線状に接続しても良いし、環状に接続しても良いし、スター状に接続しても良い。

最小の構成例として、第１の中継装置１００ａと収集装置２００のみからなるネットワーク中継システム１０００ｂを、第３変形例として図１３を参照して説明する。図１３は、本変形例におけるネットワーク中継システムの概略構成を示すブロック図である。本構成では、図５に示すようなＡＣＬテーブル１３６が第１の中継装置１００ａに設定されている。また、第１の中継装置１００ａには実施例と同様に、通常の経路情報である第２の経路情報と、収集装置２００に転送するための第１の経路情報が、ルーティングテーブル１３５に記述されている。

このような構成においても、図１３において白抜きの矢印で示すように、異常の可能性のないフレームは、第２の経路情報に従って通常のルーティングが行われ、図１３において黒塗りの矢印でしめすように、異常の可能性のあるフレームは、収集装置２００に迂回するようにルーティングされる。

・第４変形例：
上記実施例では、各ネットワーク中継装置１００ａ〜１００ｃは、レイヤ３転送を行う装置であるが、ネットワーク中継装置１００ａ〜１００ｃは、レイヤ２転送を行うレイヤ２スイッチであっても良い。図１４〜図１５を参照して、レイヤ２スイッチにより構成されたネットワーク中継システムについて説明する。図１４は、本変形例におけるネットワーク中継装置に格納されたＭＡＣアドレステーブルを概念的に示す図である。図１５は、本変形例における転送処理の処理ステップを示すフローチャートである。レイヤ２スイッチとしてのネットワーク中継装置１００では、図２におけるメモリ１３４には、ルーティングテーブル１３５に代えて、ＭＡＣアドレステーブル１３７が格納されている。

図１４を参照してＭＡＣアドレステーブル１３７の内容について説明する。レイヤ２スイッチである第１の中継装置１００ａ、第２の中継装置１００ｂ、第３の中継装置１００ｃに格納されているＭＡＣアドレステーブルをそれぞれ、符号１３７ａ、１３７ｂ、１３７ｃを用いて表す。図１４に示すように、ＭＡＣアドレステーブル１３７ａ、１３７ｂ、１３７ｃには、宛先ＭＡＣアドレスと、送出ポートとの対応関係を示す経路情報が記述されている。送出ポートとしては、理解の容易のため、図１においてポートを示す黒丸に付された符号を記述している。図１４に示すように、各ＭＡＣアドレステーブル１３７ａ〜１３７ｃは、それぞれ、２つの仮想ローカルエリアネットワーク（ＶＬＡＮ：Virtual Local Area Network）用に、２種類の経路情報を含んでいる。すなわち、識別ＩＤ１のＶＬＡＮ用の第１の経路情報と、識別ＩＤ０のＶＬＡＮ用の第２の経路情報である。

第１の経路情報は、宛先ＭＡＣアドレスに関わらず、処理対象のイーサネットフレームが収集装置２００に転送されるように記述された特殊な経路情報である。第１の経路情報は、例えば、システム管理者により静的に設定される。

第２の経路情報は、宛先ＭＡＣアドレスごとに、当該宛先ＭＡＣアドレスを有する装置が、どのポートの先に存在するかを記述した通常の経路情報である。図１４において、ＭＡＣ＿Ａは、端末５００ＡのＭＡＣアドレスを表し、ＭＡＣ＿Ｂは、端末５００ＢのＭＡＣアドレスを示している。第２の経路情報は、静的に設定されても良いし、動的な学習により設定されても良い。

本変形例におけるレイヤ２スイッチとしてのネットワーク中継装置１００の動作は、基本的には、図７を参照して説明した実施例におけるネットワーク中継装置１００の動作と同じである。ただし、図７における異常マーキング（ステップＳ１４０）は、イーサネットヘッダ８１０のＣＯＳフィールドに行われる。例えば、ＣＯＳフィールドは、３ビット用意されているが、そのうちの最後の１ビットを異常マーキング用とし、当該ビットが「０」である場合は、異常マーキング無し、「１」である場合は異常マーキング有りとする。

また、レイヤ２スイッチとしてのネットワーク中継装置１００の転送処理は、実施例における転送処理（図８）と異なるので、図１５を参照して説明する。まず、転送処理部１３１は、当該イーサネットフレームに異常マーキングがされているか否かを判断する（ステップＳ４１０）。すなわち、本変形例では、当該イーサネットフレームのＣＯＳフィールドを調べ、異常マーキングがなされているか否かを判断する。

転送処理部１３１は、当該イーサネットフレームに異常マーキングがされていると判断すると（ステップＳ４１０：ＹＥＳ）、当該イーサネットフレームを、識別ＩＤ１のＶＬＡＮ（ＶＬＡＮ−１）に属するフレームとして転送処理を行う（ステップＳ４２０）。すなわち、転送処理部１３１は、図１４を参照して説明したＭＡＣアドレステーブル１３７のうち、静的に設定された第１の経路情報に従って、送出ポートを特定し、イーサネットフレームの転送を行う。この結果、当該イーサネットフレームは、最終的に収集装置２００に転送される。

一方、当該イーサネットフレームに異常マーキングがされていないと判断すると（ステップＳ４１０：ＮＯ）、当該イーサネットフレームを、識別ＩＤ０のＶＬＡＮ（ＶＬＡＮ−１）に属するフレームとして転送処理を行う（ステップＳ４３０）。すなわち、転送処理部１３１は、図１４を参照して説明したＭＡＣアドレステーブル１３７のうち、通常の経路情報である第２の経路情報に従って、送出ポートを特定し、イーサネットフレームの転送を行う。この結果、当該イーサネットフレームは、最終的に宛先ＭＡＣアドレスとして記述されたＭＡＣアドレスを有する装置に転送される。

収集装置２００の動作は、実施例と同様であるのでその説明を省略する。

以上説明した本変形例によれば、レイヤ２転送のためのネットワーク中継システムにおいても、実施例同様に、異常の可能性のあるトラフィック（イーサネットフレーム）が検出されたら、当該トラフィックを瞬時に収集装置２００に迂回させることができる。また、ＣＯＳフィールドに異常マーキングをしているので、帯域を無駄にすることがない。また、収集装置２００を最適な配置を容易に実現可能である。また、フィルタ（本実施例では、ＡＣＬテーブル１３６）を全てのネットワーク中継装置１００に設定する必要がなく、ネットワーク中継装置１００のリソースを有効に活用できる。

なお、本変形例において、ＣＯＳフィールド以外には、イーサネットヘッダにおける宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、ＶＬＡＮ−ＩＤを記述するフィールドに異常マーキングすることも可能ではあるが、これらを書き換えると、収集装置２００が異常でないと判断したイーサネットフレームを、本来のルートに戻せない場合があり得るので、使用できる場合は限定される。例えば、レイヤ２転送のためのネットワーク中継システムが、外部から転送されてきたイーサネットフレームに、さらに、別のイーサネットヘッダを付与して、システム内では新たに付与したイーサネットヘッダを利用するいわゆるＭＡＣｉｎＭＡＣ技術を利用するシステムである場合がある。かかる場合には、オリジナルのイーサネットヘッダを参照することにより、収集装置２００は異常でないと判断したイーサネットフレームを、本来のルートに戻せるので、新たに付与したイーサネットヘッダにおける宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、ＶＬＡＮ−ＩＤを記述するフィールドに異常マーキングしても良い。

・第５変形例：
上記実施例および変形例では、ネットワーク中継システム内に１つの収集装置のみを備えているが、複数の収集装置を備えても良い。一例として、図１６〜図１９を参照して、３つの収集装置を備えるシステムについて説明する。図１６は、第５変形例に係るネットワーク中継システムの概略構成を示すブロック図である。図１７は、第５変形例において各ネットワーク中継装置に格納されたルーティングテーブルを概念的に示す図である。図１８は、第５変形例において各ネットワーク中継装置に格納されたＡＣＬテーブルの一例を概念的に示す図である。図１９は、第５変形例におけるネットワーク中継システムの動作例を示す図である。

図１６に示すように、本変形例に係るネットワーク中継システム１０００ｃは、４つのネットワーク中継装置、すなわち、第１の中継装置１００ａと第２の中継装置１００ｂと第３の中継装置１００ｃと第４の中継装置１００ｄを含んでいる。ネットワーク中継システム１０００ｃは、さらに、３つの収集装置、すなわち、第１の収集装置２００ａと第２の収集装置２００ｂと第３の収集装置２００ｃを含んでいる。各ネットワーク中継装置および収集装置の基本的構成および動作は、実施例と同様であるので説明を省略する。

図１６に示すように、ネットワーク中継システム１０００ｃにおいて、第２の中継装置１００ｂのポートＰ１は、外部ネットワークＯＮＴ１を介して、システム外部の端末５００Ａ（端末Ａ）と接続されている。同様に、第４の中継装置１００ｄのポートＰ４は、外部ネットワークＯＮＴ２を介して、システム外部の端末５００Ｂ（端末Ｂ）と接続されている。第１の中継装置１００ａのポートＰ１と第２の中継装置１００ｂのポートＰ３、第２の中継装置１００ｂのポートＰ２と第３の中継装置１００ｃのポートＰ１、第３の中継装置１００ｃのポートＰ３と第４の中継装置１００ｄのポートＰ２、第１の中継装置１００ａのポートＰ２と第４の中継装置１００ｄのポートＰ１は、それぞれ内部ネットワークＩＮＴ１、ＩＮＴ２、ＩＮＴ３、ＩＮＴ４を介して接続されている。

また、第１の収集装置２００ａのポートＰ１と第１の中継装置１００ａのポートＰ３、第２の収集装置２００ｂのポートＰ１と第４の中継装置１００ｄのポートＰ３、第３の収集装置２００ｃのポートＰ１と第３の中継装置１００ｃのポートＰ２は、それぞれ内部ネットワークＩＮＴ５、ＩＮＴ６、ＩＮＴ７を介して接続されている。

次に、図１７を参照して、本変形例において各ネットワーク中継装置１００に格納されているルーティングテーブル１３５の内容について説明する。第１の中継装置１００ａ、第２の中継装置１００ｂ、第３の中継装置１００ｃ、第４の中継装置１００ｄに格納されているルーティングテーブルをそれぞれ、符号１３５ａ、１３５ｂ、１３５ｃ、１３５ｄを用いて表す。図１７に示すように、ルーティングテーブル１３５ａ、１３５ｂ、１３５ｃには、実施例と同様に、第１の経路情報と、第２の経路情報を含んでいる。第２の経路情報は、実施例と同様に、宛先ＩＰアドレスに応じて、最終的に宛先ＩＰアドレスを有する装置に転送されるように記述された通常の経路情報であり、識別ＩＤ「０」のＶＰＮ用の経路情報として記述されている。第１の経路情報は、実施例と同様に、宛先ＩＰアドレスに関わらず、処理対象のイーサネットフレームが収集装置に転送されるように記述された特殊な経路情報である。第１の経路情報は、実施例と異なり、３種類の経路情報を含んでいる。３種類の経路情報は、イーサネットフレームを、第２の収集装置２００ｂに転送するための経路情報と、第２の収集装置２００ｂに転送するための経路情報と、第３の収集装置２００ｃに転送するための経路情報であり、それぞれ識別ＩＤ「１」「２」「３」のＶＰＮ用の経路情報として記述されている。第１の経路情報は、実施例と同様に、例えば、システム管理者により静的に設定される。

次に、図１８を参照して、本変形例におけるＡＣＬテーブルについて説明する。本変形例では、第２の中継装置１００ｂと第３の中継装置１００ｃと第４の中継装置１００ｄとに設定されている。図１８には、第２の中継装置１００ｂ、第３の中継装置１００ｃ、第４の中継装置１００ｄにそれぞれ設定されているＡＣＬテーブル１３６ｂ、１３６ｃ、１３６ｄを示している。ＡＣＬテーブル１３６ｂ、１３６ｃ、１３６ｄには、実施例と同様に、異常である可能性があるイーサネットフレームを判定するためのルールと、ルールに合致した場合に異常マーキングが行われることが記述されている。ここで、各ＡＣＬテーブル１３６ｂ、１３６ｃ、１３６ｄには、それぞれ異なるルールが記述されている。また、実施例と異なり、本変形例では、複数種類の異常マーキング、すなわち、マーキング１〜３が用いられる。３種類の異常マーキングは、上記実施例および変形例に記載したいずれのタイプであっても良く、各ネットワーク中継装置１００において、それぞれ異なるマーキングであることが識別できるものであれば良い。本変形例では、ＡＣＬテーブル１３６ｂには、異常マーキングとしてマーキング１を行うことが記述され、ＡＣＬテーブル１３６ｃには、異常マーキングとしてマーキング３を行うことが記述され、ＡＣＬテーブル１３６ｄには、異常マーキングとしてマーキング２を行うことが記述されている。

・本変形例に係るネットワーク中継システムの動作：
・異常マーキング処理：
本変形例では、図１８に示すＡＣＬテーブルから解るように、第２の中継装置１００ｂと、第３の中継装置１００ｃと、第４の中継装置１００ｄとにおいて、イーサネットフレームに対する異常マーキングが行われ得る。具体的には、第２の中継装置１００ｂにおいてマーキング条件に合致すると判断されればマーキング１がなされ、第３の中継装置１００ｃにおいてマーキング条件に合致すると判断されればマーキング３がなされ、第４の中継装置１００ｄにおいてマーキング条件に合致すると判断されればマーキング２がなされる。

・転送処理：
本変形例では、各ネットワーク中継装置１００ａ〜１００ｄにおいて、転送対象のイーサネットフレームに異常マーキングがなされていない場合には、転送処理部１３１は、実施例と同様に、識別ＩＤ０のＶＰＮ（ＶＰＮ−０）に属するフレームとして転送処理を行う。この結果、当該イーサネットフレームは、第２の経路情報に従って、最終的に宛先ＩＰアドレスとして記述されたＩＰアドレスを有する装置に転送されるようにルーティングされる。

一方、本変形例では、各ネットワーク中継装置１００ａ〜１００ｄにおいて、転送対象のイーサネットフレームに異常マーキングがなされている場合には、転送処理部１３１は、異常マーキングの種類に応じて、第１の経路情報に含まれる３種類の経路情報うちの１つに従って、転送処理を行う。具体的には、転送処理部１３１は、当該イーサネットフレームに異常マーキングとしてマーキング１がなされている場合には、識別ＩＤ１のＶＰＮ（ＶＰＮ−１）に属するフレームとして転送処理を行う。また、転送処理部１３１は、当該イーサネットフレームに異常マーキングとしてマーキング２がなされている場合には、識別ＩＤ２のＶＰＮ（ＶＰＮ−２）に属するフレームとして転送処理を行う。そして、転送処理部１３１は、当該イーサネットフレームに異常マーキングとしてマーキング３がなされている場合には、識別ＩＤ３のＶＰＮ（ＶＰＮ−３）に属するフレームとして転送処理を行う。この結果、マーキング１がなされているイーサネットフレームは、最終的に第１の収集装置２００ａに、マーキング２がなされているイーサネットフレームは、最終的に第２の収集装置２００ｂに、マーキング３がなされているイーサネットフレームは、最終的に第３の収集装置２００ｃに、それぞれ転送されるようにルーティングされる。

・具体的動作例：
理解の容易のため、ネットワーク中継システム１０００ｃの動作例を、図１９を参照して説明する。動作例として、端末５００Ａから端末５００Ｂ宛にフレームＰ（宛先ＩＰアドレスがＩＰ＿Ｂであるフレーム）が送られた場合を例として説明する。図１０において、白抜きの矢印は、第２の中継装置１００ｂ、第３の中継装置１００ｃ、第４の中継装置１００ｄのいずれにおいても、異常マーキングの条件に合致せず、通常のルーティングが行われた場合の転送ルートを示している。かかる場合には、フレームＰは、何もマーキングされず、最終的に端末Ｂに送られる。

図１９において、黒塗りの矢印は、第２の中継装置１００ｂにおいて異常マーキングの条件に合致した場合の転送ルートを示している。かかる場合には、フレームＰは、第２の中継装置１００ｂにおいてマーキング１がなされる。この結果、図１９に示すように、フレームＰは、ＶＰＮ−１に属するフレームとして第２の中継装置１００ｂから第１の中継装置１００ａを経由して第１の収集装置２００ａに転送される。そして、第１の収集装置２００ａにおいて異常なフレームでないと判断されると、マーキング１が解除される。この結果、フレームＰは、ＶＰＮ−０に属するフレームとして第１の収集装置２００ａから第１の中継装置１００ａと第４の中継装置１００ｄを経由して最終的に端末Ｂに送られる。

図１９において、シングルハッチングされた矢印は、第３の中継装置１００ｃにおいて異常マーキングの条件に合致した場合の転送ルートを示している。かかる場合には、フレームＰは、第３の中継装置１００ｃにおいてマーキング３がなされる。この結果、図１９に示すように、フレームＰは、ＶＰＮ−３に属するフレームとして第３の中継装置１００ｃから第３の収集装置２００ｃに転送される。そして、第３の収集装置２００ｃにおいて異常なフレームでないと判断されると、マーキング３が解除される。この結果、フレームＰは、ＶＰＮ−０に属するフレームとして第３の収集装置２００ｃから第３の中継装置１００ｃと第４の中継装置１００ｄを経由して最終的に端末Ｂに送られる。

図１９において、クロスハッチングされた矢印は、第４の中継装置１００ｄにおいて異常マーキングの条件に合致した場合の転送ルートを示している。かかる場合には、フレームＰは、第４の中継装置１００ｄにおいてマーキング２がなされる。この結果、図１９に示すように、フレームＰは、ＶＰＮ−２に属するフレームとして第４の中継装置１００ｄから第２の収集装置２００ｂに転送される。そして、第２の収集装置２００ｂにおいて異常なフレームでないと判断されると、マーキング２が解除される。この結果、フレームＰは、ＶＰＮ−０に属するフレームとして第２の収集装置２００ｂから第４の中継装置１００ｄを経由して最終的に端末Ｂに送られる。

以上説明した第５変形例に係るネットワーク中継システム１０００ｃによれば、３つの収集装置２００ａ〜ｃに異常な可能性のあるデータを分散し、３つの収集装置において異常なデータであるか否かを検査する。この結果、３つの収集装置２００ａ〜ｃに異常なデータであるか否かを検査する負荷を分散することができる。また、３つのネットワーク中継装置１００ｂ、１００ｄ、１００ｃにそれぞれ異なるＡＣＬテーブルを設定している。この結果、異常な可能性が有るか否かを判定するフィルタリング処理の負荷を、３つのネットワーク中継装置１００ｂ、１００ｄ、１００ｃに分散することができる。

ただし、ＡＣＬテーブル１３６は、３種類のマーキング１〜３を用いる場合であっても、必ずしも３つのネットワーク中継装置１００に設定される必要はなく、１つのネットワーク中継装置１００に設定されても良い。図２０は、第５変形例に係るネットワーク中継システムにおけるＡＣＬテーブルの別の例を概念的に示す図である。この例では、第２の中継装置１００ｂにのみＡＣＬテーブル１３６ｂを設定している。かかる場合には、第２の中継装置１００ｂにおいて、図１８に示した３つのＡＣＬテーブルに記述された異常マーキングの条件について判断し、３種類のマーキング１〜３が行われる。

・第６変形例：
上記実施例では、異常な可能性のあるフレームを、異常か否かを検査する処理を実行するために収集装置に迂回させているが、これに限らず、他の特定の処理の対象であるフレーム（特定トラフィックを構成するフレーム）を、収集装置に迂回させるために、本発明を適用しても良い。例えば、認証処理の対象であるフレームを、収集装置に迂回させる構成を採用しても良い。具体的には、アクセスするために認証が必要なネットワーク（認証要ネットワーク）宛のフレームをマーキングするように、いずれかのネットワーク中継装置１００におけるＡＣＬテーブル１３６を設定する。認証要ネットワークのネットワークアドレスを宛先ＩＰアドレスとするフレームにマーキングするようにＡＣＬテーブル１３６を記述すれば良い。こうすれば、認証要ネットワークにアクセスしようとするフレームは、収集装置２００に転送される。そして、収集装置２００に認証サーバ機能を持たせ、認証されたフレームについてはマーキングを解除して、認証要ネットワークに転送し、認証されなかったフレームは廃棄することしても良い。

・その他の変形例：
上記実施例および変形例では、データリンク層のアドレスとしてＭＡＣアドレスを用いており、ネットワーク層のアドレスとしてＩＰアドレスを用いているが、これは、本実施例において各装置を接続するネットワークが、データリンク層のプロトコルとしてEthernet（登録商標）を用い、ネットワーク層のプロトコルとしてIP(internet protocol)を用いているからである。もちろん、データリンク層およびネットワーク層のプロトコルに他のプロトコルを用いる場合には、それらのプロトコルにおいて用いられるアドレスを用いても良い。かかる場合は、転送されるデータはイーサネットフレームではなく、データリンク層のプロトコルに用いられるデータとなる。

上記実施例では、異常マーキングされたイーサネットフレームを通常のイーサネットフレームとは、異なるＶＰＮに属するフレームとして扱うことにより、収集装置２００に転送しており、上記第４変形例では、異常マーキングされたイーサネットフレームを通常のイーサネットフレームとは、異なるＶＬＡＮに属するフレームとして扱うことにより、収集装置２００に転送しているが、これはＶＰＮやＶＬＡＮといった既存技術を利用することにより、既存のネットワーク中継装置との親和性を高めるためである。これに限られることなく、通常のフレームは、宛先情報（レイヤ３転送の場合は宛先ＩＰアドレス、レイヤ２転送の場合は宛先ＭＡＣアドレス）により指定された宛先に転送され、異常マーキングされたフレームは、収集装置２００に転送する仕組みであれば良い。

上記実施例では、収集装置２００は、異常である可能性のあるフレームを精査して、異常であるか否かを検査する機能を備えているが、収集装置２００は、異常である可能性のあるフレームを収集するためだけの装置であっても良い。例えば、収集装置２００から異常である可能性のあるフレームを精査して、異常であるか否かを検査する専用装置に、収集されたフレームを転送する構成であっても良い。

上記実施例では、収集装置２００は、異常であると判断されたフレームを廃棄しているのみであるが、これに代えて、または、これに加えて、様々な処理を行っても良い。例えば、異常であると判断されたフレームの情報を、各ネットワーク中継装置１００にフィードバックして、以後は同じ内容のフレームは、各ネットワーク中継装置１００において廃棄することとしても良い。

上記実施例では、異常である可能性が有るか否かの判定を、ＡＣＬテーブル１３６とフィルタ処理部１３２により行っているが、このような判定は、周知の他の種々のフィルタリング技術により行っても良い。例えば、同一の宛先ＩＰアドレスを有するイーサネットフレームが、所定の流量以上になった場合に、異常な可能性があると判定しても良い。

上記実施例および変形例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えてもよい。

以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。

実施例に係るネットワーク中継システムの概略構成を示すブロック図である。 実施例に係るネットワーク中継システムに含まれるネットワーク中継装置の内部構成を示すブロック図である。 実施例に係るネットワーク中継システムに含まれる収集装置２００の内部構成を示すブロック図である。 実施例において各ネットワーク中継装置に格納されたルーティングテーブルを概念的に示す図である。 実施例において第２の中継装置に格納されたＡＣＬテーブルの一例を概念的に示す図である。 イーサネットフレームのデータ構造を概念的に示す図である。 各ネットワーク中継装置の動作ステップを示すフローチャートである。 各ネットワーク中継装置における転送処理の処理ステップを示すフローチャートである。 収集装置の動作ステップを示すフローチャートである。 実施例におけるネットワーク中継システムの動作例を示す第１の図である。 実施例におけるネットワーク中継システムの動作例を示す第２の図である。 第２変形例における収集装置の動作ステップを示すフローチャートである。 第３変形例におけるネットワーク中継システムの概略構成を示すブロック図である。 第４変形例におけるネットワーク中継装置に格納されたＭＡＣアドレステーブルを概念的に示す図である。 第４変形例における転送処理の処理ステップを示すフローチャートである。 第５変形例に係るネットワーク中継システムの概略構成を示すブロック図である。 第５変形例において各ネットワーク中継装置に格納されたルーティングテーブルを概念的に示す図である。 第５変形例において各ネットワーク中継装置に格納されたＡＣＬテーブルの一例を概念的に示す図である。 第５変形例におけるネットワーク中継システムの動作例を示す図である。 第５変形例に係るネットワーク中継システムにおけるＡＣＬテーブルの別の例を概念的に示す図である。

符号の説明

１００、１００ａ〜１００ｄ…ネットワーク中継装置
１１０…物理ポート
１２０…送受信処理回路
１３０…フレーム処理回路
１３１…転送処理部
１３２…フィルタ処理部
１３４…メモリ
１３５…ルーティングテーブル
１３６…ＡＣＬテーブル
１３７…ＭＡＣアドレステーブル
１４０…装置制御部
２００…収集装置
２１０…物理ポート
２２０…送受信処理回路
２３０…フレーム検査回路
２３１…異常データ検査部
２３４…メモリ
２３５…異常データパターンテーブル
２４０…装置制御部
８００…イーサネットフレーム
８１０…イーサネットヘッダ
８２０…ＩＰヘッダ
８３０…ペイロード
１０００、１０００ｂ、１０００ｃ…ネットワーク中継システム
ＯＮＴ１、ＯＮＴ２…外部ネットワーク
ＩＮＴ１〜ＩＮＴ７…内部ネットワーク
ＣＶ…回線

Claims (26)

1. 宛先を指定する宛先情報を有するデータの中継を行うネットワーク中継システムであって、
   前記データのうち、特定の処理の対象である第１のデータを収集するためのデータ収集装置と、
   前記データ収集装置と直接的または間接的に接続された１または複数のネットワーク中継装置と、を備え、
   前記１または複数のネットワーク中継装置のうち少なくとも一つは、
   受信された前記データが、前記第１のデータであるか、前記特定の処理の対象でない第２のデータであるかを判定する判定部と、
   前記第１のデータであると判定されたデータに、第１のマーキングを行うマーキング部と、を備え、
   前記１または複数のネットワーク中継装置は、それぞれに、
   受信された前記データに前記第１のマーキングがされている場合には、受信された前記データを、前記データ収集装置に送るための第１の転送処理を実行し、受信された前記データに前記第１のマーキングがされていない場合には、受信された前記データを、前記指定された宛先に送るための第２の転送処理を実行する転送処理部を備える、ネットワーク中継システム。
2. 請求項１に記載のネットワーク中継システムにおいて、
   前記１または複数のネットワーク中継装置は、それぞれに、
   第１の経路情報と、第２の経路情報とを格納した格納部を備え、
   前記転送処理部は、前記第１の経路情報を参照して前記第１の転送処理を実行し、前記第２の経路情報を参照して前記第２の転送処理を実行する、ネットワーク中継システム。
3. 請求項２に記載のネットワーク中継システムは、複数の前記データ収集装置を備え、
   前記第１の経路情報は、各データ収集装置にデータを転送するための複数種類の経路情報を含む、ネットワーク中継システム。
4. 請求項３に記載のネットワーク中継システムにおいて、
   前記第１の経路情報に含まれる複数種類の経路情報に対応する複数種類の前記第１のマーキングが用いられ、
   前記転送処理部は、前記第１の経路情報に含まれる複数種類の経路情報のうち、受信されたデータにされている前記第１のマーキングの種類に対応する経路情報を参照して前記第１の処理を実行する、ネットワーク中継装置。
5. 請求項２ないし請求項４のいずれかに記載のネットワーク中継システムにおいて、
   前記第１の経路情報は静的に設定される、ネットワーク中継システム。
6. 請求項１ないし請求項５のいずれかに記載のネットワーク中継システムにおいて、
   前記１または複数のネットワーク中継装置は、レイヤ３中継装置であり、
   前記１または複数のネットワーク中継装置の前記転送処理部は、前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想プライベートネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行する、ネットワーク中継システム。
7. 請求項６に記載のネットワーク中継システムにおいて、
   前記第１のマーキングは、ネットワーク層のヘッダに行われる、ネットワーク中継装置。
8. 請求項６に記載のネットワーク中継システムにおいて、
   前記第１のマーキングは、データリンク層のヘッダに行われる、ネットワーク中継装置。
9. 請求項１ないし請求項５のいずれかに記載のネットワーク中継システムにおいて、
   前記１または複数のネットワーク中継装置は、レイヤ２中継装置であり、
   前記１または複数のネットワーク中継装置の前記転送処理部は、前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想ローカルエリアネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行する、ネットワーク中継システム。
10. 請求項９に記載のネットワーク中継システムにおいて、
    前記第１のマーキングは、データリンク層のヘッダに行われる、ネットワーク中継装置。
11. 請求項１ないし請求項１０のいずれかに記載のネットワーク中継システムにおいて、
    前記第１のデータは、異常である可能性があるデータであり、
    前記特定の処理は、前記第１のデータが異常であるか否かを判断する処理である、ネットワーク中継システム。
12. 請求項１１に記載のネットワーク中継システムにおいて、
    前記データ収集装置は、
    収集された前記第１のデータを検査して、前記第１のデータが異常であるか否かを判断する検査部を備え、
    異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除して、前記異常でないと判断された前記第１のデータを前記１または複数のネットワーク中継装置のいずれかに転送する、ネットワーク中継システム。
13. 請求項１２に記載のネットワーク中継システムにおいて、
    前記データ収集装置は、前記異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除すると共に、異常でないことを示す第２のマーキングを行う、ネットワーク中継システム。
14. 宛先を指定する宛先情報を有するデータの中継を行うネットワーク中継システムであって、前記データのうち、特定の処理の対象である第１のデータを収集するためのデータ収集装置と、前記データ収集装置と直接または間接に接続された１または複数のネットワーク中継装置と、を備えるネットワーク中継システムにおける方法であって、
    前記１または複数のネットワーク中継装置のうち少なくとも一つにおいて、
    受信された前記データが、前記第１のデータであるか、前記特定の処理の対象でない第２のデータであるかを判定し、
    前記第１のデータであると判定されたデータに、第１のマーキングを行い、
    前記１または複数のネットワーク中継装置のそれぞれにおいて、
    受信された前記データに前記第１のマーキングがされている場合には、受信された前記データを、前記データ収集装置に送るための第１の転送処理を実行し、
    受信された前記データに前記第１のマーキングがされていない場合には、受信された前記データを、前記指定された宛先に送るための第２の転送処理を実行する、方法。
15. 請求項１４に記載の方法において、
    前記１または複数のネットワーク中継装置は、それぞれに、
    第１の経路情報と、第２の経路情報とを格納した格納部を備え、
    前記第１の経路情報を参照して前記第１の転送処理を実行し、前記第２の経路情報を参照して前記第２の転送処理を実行する、方法。
16. 請求項１５に記載の方法において、
    前記ネットワーク中継システムは、複数の前記データ収集装置を備え、
    前記第１の経路情報は、各データ収集装置にデータを転送するための複数種類の経路情報を含む、方法。
17. 請求項１６に記載の方法において、
    前記第１の経路情報に含まれる複数種類の経路情報に対応する複数種類の前記第１のマーキングが用いられ、
    前記第１の処理は、前記第１の経路情報に含まれる複数種類の経路情報のうち、受信されたデータにされている前記第１のマーキングの種類に対応する経路情報を参照して実行される、方法。
18. 請求項１５ないし請求項１７のいずれかに記載の方法において、
    前記第２の経路情報は静的に設定される、方法。
19. 請求項１４ないし請求項１８のいずれかに記載の方法において、
    前記１または複数のネットワーク中継装置は、レイヤ３中継装置であり、
    前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想プライベートネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行する、方法。
20. 請求項１９に記載の方法において、
    前記第１のマーキングは、ネットワーク層のヘッダに行われる、方法。
21. 請求項１９に記載の方法において、
    前記第１のマーキングは、データリンク層のヘッダに行われる、方法。
22. 請求項１４ないし請求項１８のいずれかに記載の方法において、
    前記１または複数のネットワーク中継装置は、レイヤ２中継装置であり、
    前記１または複数のネットワーク中継装置の前記転送処理部は、前記第１のマーキングがされているデータと、前記第１のマーキングがされていないデータとを、異なる仮想ローカルエリアネットワークに属するデータとして扱うことにより、前記第１の転送処理および前記第２の転送処理を実行する、方法。
23. 請求項２２に記載の方法において、
    前記第１のマーキングは、データリンク層のヘッダに行われる、方法。
24. 請求項１４ないし請求項２３のいずれかに記載の方法において、
    前記第１のデータは、異常である可能性があるデータであり、
    前記特定の処理は、前記第１のデータが異常であるか否かを判断する処理である、方法。
25. 請求項２４に記載の方法は、さらに、
    前記データ収集装置において、収集された前記第１のデータを検査して、前記第１のデータが前記異常であるか否かを判断し、
    前記異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除し、
    前記異常でないと判断された前記第１のデータを前記１または複数のネットワーク中継装置のいずれかに転送する、方法。
26. 請求項２５に記載の方法において、
    前記データ収集装置において、前記異常でないと判断された前記第１のデータについて、前記第１のマーキングを解除すると共に、異常でないことを示す第２のマーキングを行う、方法。

Images