JP4630225B2 - 通信制御システム - Google Patents

Description

本発明は、ネットワークを介しておこなわれる通信の制御をおこなう通信制御システムに関し、特に、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、プレフィックスが変更された場合でも経路制御を効率的におこなうことができる通信制御システムに関する。

従来、複数のネットワーク間でデータ通信をおこなう場合には、ルータやゲートウェイなどの通信装置がネットワーク間におけるデータの中継処理をおこなっている。

図２０は、複数のネットワーク間でおこなわれるデータ通信の例を示す図である。図２０に示すように、複数のネットワーク間でおこなわれるデータ通信の例としては、ある企業のネットワーク（企業網１）とインターネット２ａ、他の企業との間で構築したエクストラネット２ｂ、通信の実験用に一時的に設けられた実験網２ｃとの間のデータ通信などが挙げられる。

このように、企業網１を外部のネットワークと接続する場合には、特定のネットワークとの間でのみデータ通信をおこなえるように制限したいという要求がある。そのため、パケットのフィルタリングをおこなうルータが、端末装置の認証をおこなうサーバ装置により認証された端末装置にＩＰアドレスの割り当てをおこない、認証された端末装置以外の端末装置のパケットを棄却するサービス制御ネットワークが開示されている（特許文献１を参照）。

ところが、この方法は、ルータがＩＰアドレスの割り当てをおこなうものであり、アドレスの割り当てがネットワークの管理者によりなされたり、ルータ以外の装置によってなされる場合には、アドレスが割り当てられたことを効率的に検出することが難しいという問題がある。

一方、パケットの通信制御をおこなうためのプロトコルとしてＩＧＰ（Interior Gateway Protocol）が開発されている。このＩＧＰでは、プレフィックス情報を含んだ経路情報をルータ間でやり取りする。ここでプレフィックスとは、パケットの送信宛て先となるネットワークアドレスである。

図２１は、ＩＧＰを用いた従来のネットワークについて説明する図である。図２１に示すように、このネットワークにおいては、ＩＧＰルータ３ａ〜３ｄ間で配下にあるネットワークのプレフィックス情報を含んだ経路情報（ＲＩＰ（Routing Information Protocol）メッセージ５）をやり取りしている。

そして、ネットワークの管理者は、ネットワーク管理サーバ４を用いて、転送を許可する経路情報の宛て先アドレスを登録したプレフィックスフィルタ５ａ，５ｃ，５ｄを各ＩＧＰルータ３ａ〜３ｄに設定して経路情報のフィルタリングをおこなうことにより、各ＩＧＰルータ３ａ〜３ｄへの経路情報の配布を制御し、データ通信をおこなうネットワークを制限することができる。

なお、図２１に示したプレフィックスフィルタ５ａ，５ｃ，５ｄにおいては、デフォルトではすべての経路情報を破棄するように設定されている（「default deny」）。そして、所定のプレフックス「prefix」に対応する経路情報の通過を所定の通信インターフェース「IF」において許可する場合には、そのプレフィックスの情報と通信インターフェースの情報とがプレフィックスフィルタ５ａ，５ｃ，５ｄに登録される（「permit prefix for IF」）。

ただし、この場合でも、ネットワークの構成を変更した場合には、管理者がプレフィックスフィルタ５ａ，５ｃ，５ｄを再設定する必要があって管理に労力を要するという問題が残っている。特に、企業網の外部にあるネットワークにおいては、当該企業に断り無くネットワーク構成の変更がおこなわれる場合があり、そのような場合にはネットワークに新しく割り当てられたプレフィックスを管理者が把握するのは困難である。

また、ネットワークのプレフィックスの変更に影響を受けずに経路制御をおこなうことができる経路制御プロトコルとして、ＢＧＰ（Border Gateway Protocol）がある。このＢＧＰでは、ＲＦＣ（Request For Comments）２５４７で導入された拡張コミュニティ属性を用いることで、経路情報を配布する配布先を特定のコミュニティに制限することができる。ここで、コミュニティとは、ＢＧＰルータ配下のグループ化されたネットワークの宛て先アドレスのことである。

図２２は、ＢＧＰを用いた従来のネットワークについて説明する図である。図２２に示すように、このネットワークにおいては、ＢＧＰルータ７ａ〜７ｃ間で、配下にあるネットワークのプレフィックス情報を含んだ経路情報（ＢＧＰアップデートメッセージ８）をやり取りしている。

たとえば、ＢＧＰルータ７ａ〜７ｃは、あるコミュニティからＢＧＰアップデートメッセージ８を受信した場合に、ＢＧＰアップデートメッセージ８にコミュニティ属性を付加したＢＧＰアップデートメッセージ８を他のＢＧＰルータ７ａ〜７ｃに送信する。ここで、このコミュニティ属性とは、コミュニティ属性フィルタ９ａ〜９ｃのエクスポートターゲット（Export target）ポリシに登録されているコミュニティ名（「１０：１」など）の情報である。

また、ＢＧＰルータ７ａ〜７ｃは、ＢＧＰアップデートメッセージ８に含まれるコミュニティ属性をインポートターゲット（Import target）として設定し、どの経路からの経路情報を通過させるかを定義したコミュニティ属性フィルタを予め設定しておく。

このように、ＢＧＰを用いたネットワークでは、プレフィックスの情報の代わりにコミュニティ属性の情報を用いて経路情報の通過の可否に係る情報を登録したフィルタを設定するため、経路情報を配布する配布先の制限を容易におこなうことができる。

特開２００３−１３４１４５号公報

しかしながら、上述したＢＧＰを用いた従来技術では、コミュニティ属性を用いることによりネットワークのプレフィックスの変更に影響を受けない経路制御をおこなうことができるものの、ＢＧＰを企業網に導入しようとすると多大なコストがかかってしまうという問題があった。

すなわち、ＢＧＰは、プロバイダ間における通信など、大きな組織のネットワークをまたがって経路情報を配布するために設計されたプロトコルであり、企業網など単一の経路制御ポリシーを持つネットワークとはネットワークの管理単位が異なる。

そのため、企業網においては単一の経路制御ポリシーを持つネットワークに適したＩＧＰによる運用が一般的となっており、ＢＧＰを利用するためにはＩＧＰルータをＢＧＰルータに入れ替える必要があるなど、多大なコストがかかってしまうという問題があった。

このようなことから、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、ネットワークのプレフィックスが変更された場合でも経路制御を効率的におこなうことができる技術の開発が強く望まれていた。

本発明は、上述した従来技術による問題点を解消するためになされたものであり、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、ネットワークのプレフィックスが変更された場合でも経路制御を効率的におこなうことができる通信制御システムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、宛先となるネットワークのアドレス（実施例におけるプレフィックスに対応する）と、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置（図１に示すＩＧＰルータ１０ａ，１０ｃ，１０ｄに対応する）とサーバ（図１に示すコミュニティ管理サーバ２０に対応する）とから構成される通信制御システムであって、第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合（実施例におけるコミュニティに対応する）を表す集合名と該集合に加える経路情報の追加ルールの定義（図３に示すコミュニティ定義テーブル２４ｂに対応する）を記憶する記憶手段（図５に示すコミュニティ管理サーバ２０の記憶部２４に対応する）と、前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集手段（図５に示すコミュニティ管理サーバ２０のプレフィックス検出部２５ｃに対応する）と、前記記憶手段により記憶された集合名と該集合に加える経路情報の追加ルールと、前記収集手段により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報（図４に示すプレフィックス管理テーブル２４ｃに対応する）を作成する対応情報作成手段と、前記集合に含まれる経路情報の第三のネットワークへの経路配布規則（図２に示すポリシ定義テーブル２４ａに対応する）を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成手段で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件（図６に示すフィルタ管理テーブル２４ｄに対応する）に変換するフィルタ条件生成手段と、前記フィルタ条件生成手段により生成した経路情報のフィルタ条件を通信装置に設定する設定手段と、を備えたことを特徴とする。

また、本発明は、上記発明において、前記対応情報作成手段は、前記収集手段により経路情報が収集されてから所定の時間以上経過した場合、該経路情報から生成した、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を破棄することを特徴とする。

また、本発明は、上記発明において、前記設定手段は、第二のネットワークにおいて、第一のネットワークに接続された第一の通信装置から第三のネットワークに接続された第三の通信装置へと経路情報が送信される通信経路に第二の通信装置（図１５に示す経由ルータ管理テーブル２４ｆに登録される経由ルータに対応する）がある場合に、前記フィルタ条件生成手段により生成された経路情報のフィルタ条件を第二の通信装置に設定することを特徴とする。

また、本発明は、上記発明において、前記設定手段は宛先ネットワークアドレスの情報を送信することにより経路情報のフィルタ条件を通信装置に設定し、通信装置は受信した情報に基づいてユーザデータのパケットのフィルタリングをおこなうフィルタリング手段（図７に示すＩＧＰルータ１０ｃのパケットフィルタ部１６に対応する）をさらに備えたことを特徴とする。

また、本発明は、上記発明において、前記通信装置とは別に設置され、宛先ネットワークアドレスを経路メッセージから検出する宛先ネットワークアドレス検出手段（実施例１におけるＩＧＰルータ１０ｃとは別に設けられたプレフィックス検出装置に対応する）をさらに備え、前記収集手段は、前記宛先ネットワークアドレス検出手段により検出された宛先ネットワークアドレスに係る情報と当該宛先ネットワークアドレスの情報を含んだ経路メッセージを受信した通信装置及び受信インタフェースの識別情報とを収集することを特徴とする。

また、本発明は、宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムが通信制御をおこなう通信制御方法であって、前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集工程と、第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールのあらかじめ記憶された定義の情報と、前記収集工程により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成工程と、前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成工程で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成工程と、前記フィルタ条件生成工程により生成した経路情報のフィルタ条件を通信装置に設定する設定工程と、を含んだことを特徴とする。

また、本発明は、宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムが通信制御をおこなう通信制御プログラムであって、前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集手順と、第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールのあらかじめ記憶された定義の情報と、前記収集手順により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成手順と、前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成手順で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成手順と、前記フィルタ条件生成手順により生成した経路情報のフィルタ条件を通信装置に設定する設定手順と、をコンピュータに実行させることを特徴とする。

本発明によれば、第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールの定義を記憶し、通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集し、記憶した集合名と該集合に加える経路情報の追加ルールと、収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成し、集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換し、生成した経路情報のフィルタ条件を通信装置に設定することとしたので、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、宛て先アドレスが変更された場合でも経路制御を効率的におこなうことができるという効果を奏する。

また、本発明によれば、経路情報が収集されてから所定の時間以上経過した場合、該経路情報から生成した、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を破棄することとしたので、古い情報を破棄することにより誤った情報に基づいて経路制御をおこなうことを防止することができるという効果を奏する。

また、本発明によれば、第二のネットワークにおいて、第一のネットワークに接続された第一の通信装置から第三のネットワークに接続された第三の通信装置へと経路情報が送信される通信経路に第二の通信装置がある場合に、生成された経路情報のフィルタ条件を第二の通信装置に設定することとしたので、ネットワーク内に無駄な経路情報が送信されることを抑制することができるという効果を奏する。

また、本発明によれば、通信装置は、送信された宛て先アドレスの情報を受信し、受信した情報に基づいて経路情報のフィルタリングをおこなうこととしたので、何らかの方法で宛て先アドレスの情報が第三者に流出してしまった場合でも、通信が許可されていないネットワークからユーザデータのパケットが該宛て先アドレスのネットワークに送信されることを防止することができるという効果を奏する。

また、本発明によれば、通信装置とは別に設置された装置が、宛て先アドレスを経路情報から検出し、当該装置により検出された宛て先アドレスに係る情報と当該宛て先アドレスの情報を含んだ経路情報を受信した通信装置の情報とを収集することとしたので、通信装置と宛て先アドレスの検出装置とを別装置とすることにより、宛て先アドレスの検出機能を持たない通信装置を利用することができるという効果を奏する。

以下に添付図面を参照して、本発明に係る通信制御システムの好適な実施例を詳細に説明する。

まず、本発明に係る通信制御処理の概念について説明する。図１は、本発明に係る通信制御処理の概念について説明する図である。図１には、コミュニティ名が「１０：１」であるコミュニティ、および、コミュニティ名が「１０：２」であるコミュニティを配下のネットワークとして有するＩＧＰルータ１０ａと、コミュニティ名が「２０：１」であるコミュニティを配下のネットワークとして有するＩＧＰルータ１０ｃと、コミュニティ名が「３０：１」であるコミュニティを配下のネットワークとして有するＩＧＰルータ１０ｄと、ＩＧＰルータ１０ａ，１０ｃ，１０ｄ間を接続する通信経路上にあるＩＧＰルータ１０ｂとが示されている。

ここで、コミュニティ「１０：１」（以下では、コミュニティ名が「１０：１」であるコミュニティをこのように呼ぶ。コミュニティ名が「１０：２」、「２０：１」、「３０：１」であるコミュニティについても同様である。）は、プレフィックス「prefix1」、「prefix2」、「prefix3」、「prefix4」に対応する各ネットワークを含んでいる。

同様に、コミュニティ「１０：２」は、プレフィックス「prefix5」、「prefix6」、「prefix7」、「prefix8」に対応する各ネットワークを含んでいる。コミュニティ「２０：１」は、プレフィックス「prefixA1」、「prefixA2」に対応する各ネットワークを含んでいる。コミュニティ「３０：１」は、プレフィックス「prefixB1」、「prefixB2」に対応する各ネットワークを含んでいる。

たとえば、コミュニティ「２０：１」は、企業の販売部門が利用するネットワークに対応し、コミュニティ「３０：１」は、企業の研究部門が利用するネットワークに対応し、コミュニティ「１０：１」は、企業網外のエクストラネットに対応し、コミュニティ「１０：２」は、通信実験をおこなう実験網に対応するものとする。

また、販売部門はエクストラネットを利用して通信をおこなうが、実験網を利用することはなく、研究部門は実験網を利用して通信をおこなうが、エクストラネットを利用することはないものとする。

このような場合に、エクストラネットの経路情報を研究部門が利用するネットワークに送信したり、実験網の経路情報を販売部門が利用するネットワークに送信したりすることは望ましくない。これは、経路情報は宛て先アドレスとなる情報を含んでいるため、むやみに経路情報を配布すると、経路情報の送信元のネットワーク構成や通信装置のアドレスが予想され、攻撃される可能性が生じるためである。

そのため、以下では、エクストラネットの経路情報は販売部門のネットワークにのみ配布し、実験網の経路情報は研究部門のネットワークのみに配布するなどして、経路情報の配布を制御することを考える。

図１に示すように、各ＩＧＰルータ１０ａ〜１０ｄには、コミュニティ管理サーバ２０がネットワークを介して接続されている。このコミュニティ管理サーバ２０は、経路情報の通過または廃棄条件を各ＩＧＰルータ１０ａ〜１０ｄに設定するサーバである。

具体的には、このコミュニティ管理サーバ２０は、ネットワークの管理者からＩＧＰルータ１０ａ〜１０ｄにおいて経路情報の配布を許可するコミュニティの設定を受け付け、受け付けた設定をポリシ定義テーブル２４ａとして記憶する。

図２は、ポリシ定義テーブル２４ａの一例を示す図である。図２に示すように、このポリシ定義テーブル２４ａは、ポリシ名および内容の情報を記憶している。ポリシ名は、設定された各ポリシを識別するための名称である。内容は、経路情報の配布を許可するコミュニティの設定内容である。ここで、「Put x to y」は、コミュニティ「ｘ」からコミュニティ「ｙ」への経路情報の配布を許可することを示す。

また、コミュニティ管理サーバ２０は、各コミュニティが接続されているＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報の入力をネットワークの管理者から受け付け、受け付けた情報をコミュニティ定義テーブル２４ｂとして記憶する。

図３は、コミュニティ定義テーブル２４ｂの一例を示す図である。図３に示すように、このコミュニティ定義テーブル２４ｂは、コミュニティ名および位置の情報を記憶している。コミュニティ名とは、定義されたコミュニティの名称である。位置とは、定義されたコミュニティが収容されているＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報である。

図３の例では、「ルータ１」はＩＧＰルータ１０ａを指しており、ＩＧＰルータ１０ａの通信インターフェース「ＩＦ−０」にコミュニティ「１０：１」が、ＩＧＰルータ１０ａの通信インターフェース「ＩＦ−１」にコミュニティ「１０：２」が収容されていることを示している。

また、「ルータ３」はＩＧＰルータ１０ｃを指しており、ＩＧＰルータ１０ｃの通信インターフェース「ＩＦ−１」にコミュニティ「２０：１」が収容されていることを示している。また、「ルータ４」はＩＧＰルータ１０ｄを指しており、ＩＧＰルータ１０ｄの通信インターフェース「ＩＦ−１」にコミュニティ「３０：１」が収容されていることを示している。

以下の説明では、「ルータ１」、「ルータ２」、「ルータ３」、「ルータ４」は、それぞれＩＧＰルータ１０ａ、ＩＧＰルータ１０ｂ、ＩＧＰルータ１０ｃ、ＩＧＰルータ１０ｄを指すものとする。

さらに、コミュニティ管理サーバ２０は、各ＩＧＰルータ１０ａ〜１０ｄのプレフィックス検出部１４ａ〜１４ｃがＲＩＰメッセージ３０から検出したプレフィックスの情報を受信する。なお、この情報には、ＩＧＰルータ１０ａ〜１０ｄがどの通信インターフェースでＲＩＰメッセージ３０を受信したかを示す情報も含まれている。ＲＩＰメッセージ３０は、宛先となるネットワークに対応するプレフィックスの情報と、該ネットワークへの経由ＩＧＰルータ１０ａ〜１０ｄの識別情報とからなる経路情報を含んでいる。

そして、コミュニティ管理サーバ２０は、コミュニティ定義テーブル２４ｂを参照し、プレフィックスが検出された通信インターフェースに対応するコミュニティを特定する。さらに、コミュニティ管理サーバ２０は、特定したコミュニティとプレフィックスとの間の対応関係の情報をプレフィックス管理テーブル２４ｃとして記憶する。

図４は、プレフィックス管理テーブル２４ｃの一例を示す図である。図４に示すように、このプレフィックス管理テーブル２４ｃには、コミュニティ名、プレフィックス、登録時刻の情報が登録される。

コミュニティ名は、各コミュニティの名称である。プレフィックスは、各コミュニティに含まれるサブネットに対応するプレフィックスの情報である。登録時刻は、コミュニティ名とプレフィックスとの対応関係の情報が登録された日時の情報である。

ここで、ＩＧＰルータ１０ａ〜１０ｄは、ＲＩＰメッセージ３０から検出したプレフィックスの情報に変化があった場合に、そのプレフィックスの情報をコミュニティ管理サーバ２０に送信する。そして、コミュニティ管理サーバ２０は、ＩＧＰルータ１０ａ〜１０ｄからプレフィックスの情報を受信するたびにプレフィックス管理テーブル２４ｃを更新する。

また、コミュニティ管理サーバ２０は、プレフィックス管理テーブル２４ｃを参照し、ポリシ定義テーブル２４ａにコミュニティ名が登録されたコミュニティに対応するプレフィックスを特定する。

そして、コミュニティ管理サーバ２０は、コミュニティ定義テーブル２４ｂからそのコミュニティ名に対応する通信インターフェースの位置の情報を検索し、位置の情報により特定されるＩＧＰルータ１０ａ〜１０ｄの通信インターフェースにプレフィックスフィルタ１９ａ〜１９ｃを設定する処理をおこなう。

たとえば、図２に示したポリシ定義テーブル２４ａにおけるポリシ「Ｃｏｍ１」の「Put 10:1 to 20:1」では、コミュニティ「１０：１」からコミュニティ「２０：１」へのＲＩＰメッセージ３０の送信が許可されている。

このような場合、コミュニティ管理サーバ２０は、プレフィックス管理テーブル２４ｃを参照し、ＲＩＰメッセージ３０の送信元であるコミュニティ「１０：１」に対応するプレフィックス「prefix1」、「prefix2」、「prefix3」、「prefix4」を検出する。

そして、コミュニティ管理サーバ２０は、コミュニティ定義テーブル２４ｂを参照し、ＲＩＰメッセージ３０の送信先であるコミュニティ「２０：１」に対応する位置「ルータ３，ＩＦ−１」を検出する。

その後、コミュニティ管理サーバ２０は、検出された位置に対応するＩＧＰルータ１０ｃ（「ルータ３」）の通信インターフェース「ＩＦ−１」に、プレフィックスが「prefix1」、「prefix2」、「prefix3」、「prefix4」であるＲＩＰメッセージ３０のみを通過させるプレフィックスフィルタ１９ｂを設定する。

同様に、コミュニティ管理サーバ２０は、コミュニティ定義テーブル２４ｂを参照し、ＲＩＰメッセージ３０の送信元であるコミュニティ「１０：１」に対応する位置「ルータ１，ＩＦ−０」を検出する。

そして、コミュニティ管理サーバ２０は、検出された位置に対応するＩＧＰルータ１０ａ（「ルータ１」）の通信インターフェース「ＩＦ−０」に、プレフィックスが「prefix1」、「prefix2」、「prefix3」、「prefix4」であるＲＩＰメッセージ３０のみを通過させるプレフィックスフィルタを設定する。

また、コミュニティ管理サーバ２０は、ポリシ「Ｃｏｍ１」の「Put 20:1 to 10:1」や、ポリシ「Ｃｏｍ２」の「Put 10:2 to 30:1」、「Put 30:1 to 10:2」に対しても同様の処理をおこない、各ＩＧＰルータ１０ａ，１０ｃ，１０ｄに所定のプレフィックスを含んだ制御情報のみを通過させるプレフィックスフィルタを設定する。

このように、この通信制御処理では、コミュニティ管理サーバ２０が、コミュニティとコミュニティに含まれるサブネットのプレフィックスとの間の対応関係の情報を常に更新しつつ管理し、経路情報の送信を許可するコミュニティの指定をネットワークの管理者から受け付けた場合に、上記対応関係の情報に基づいてプレフィックスフィルタ１９ａ〜１９ｃを各ＩＧＰルータ１０ａ〜１０ｄに設定するので、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、プレフィックスが変更された場合でも経路制御を効率的におこなうことができる。

つぎに、実施例１に係るコミュニティ管理サーバ２０の機能構成について説明する。図５は、実施例１に係るコミュニティ管理サーバ２０の機能構成を示す図である。図５に示すように、このコミュニティ管理サーバ２０は、通信処理部２１、入力部２２、表示部２３、記憶部２４、制御部２５を有する。

通信処理部２１は、各ＩＧＰルータ１０ａ〜１０ｄとの間で情報通信をおこなうネットワークインターフェースである。入力部２２は、キーボードやマウスなどの入力デバイスである。表示部２３は、ディスプレイなどの表示デバイスである。

記憶部２４は、ハードディスク装置などの記憶デバイスである。この記憶部２４は、ポリシ定義テーブル２４ａ、コミュニティ定義テーブル２４ｂ、プレフィックス管理テーブル２４ｃ、フィルタ管理テーブル２４ｄを記憶している。

ポリシ定義テーブル２４ａ、コミュニティ定義テーブル２４ｂ、プレフィックス管理テーブル２４ｃは、それぞれ図２、図３、図４で説明したテーブルである。フィルタ管理テーブル２４ｄは、ＩＧＰルータ１０ａ〜１０ｄに設定するプレフィックスフィルタ１９ａ〜１９ｃの設定情報を記憶したデータである。

図６は、フィルタ管理テーブル２４ｄの一例を示す図である。図６に示すように、このフィルタ管理テーブル２４ｄは、ルータ名、インターフェース、フィルタルール、フィルタ生成ポリシの情報を記憶している。

ここで、ルータ名は、プレフィックスフィルタ１９ａ〜１９ｃを設定するルータの名称である。インターフェースは、各ＩＧＰルータ１０ａ〜１０ｄにおいて、プレフィックスフィルタ１９ａ〜１９ｃの設定対象となる通信インターフェースである。フィルタルールは、各通信インターフェースに設定されるフィルタリングのルールである。

デフォルトでは、すべての経路メッセージの通過が拒否に設定される（「All deny」）。そして、通過を許可されるプレフィックスの情報を含んだ経路情報がある場合には、そのプレフィックスの情報が登録される。たとえば、プレフィックス「prefixA1」の情報を含んだ経路情報の通過が許可される場合には、フィルタルールに「prefixA1 accept」が登録される。

フィルタ生成ポリシは、各フィルタルールの生成に関連したポリシ名の情報である。このフィルタ生成ポリシは、図２に示したポリシ定義テーブル２４ａに登録されたポリシ名に対応する情報である。

図５の説明に戻ると、制御部２５は、コミュニティ管理サーバ２４を全体制御する制御部であり、各機能部間のデータの授受などを司る。この制御部２５は、ポリシ設定受付部２５ａ、コミュニティ管理部２５ｂ、プレフィックス検出部２５ｃ、コミュニティ／プレフィックス変換部２５ｄ、フィルタ設定部２５ｅを有する。

ポリシ設定受付部２５ａは、ＩＧＰルータ１０ａ〜１０ｄにおいて経路情報の配布を許可するコミュニティの設定情報の入力をネットワークの管理者から受け付け、受け付けた設定情報をポリシ定義テーブル２４ａとして記憶部２４に記憶する処理部である。

コミュニティ管理部２５ｂは、コミュニティと接続されているＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報の入力をネットワークの管理者から受け付け、受け付けた情報をコミュニティ定義テーブル２４ｂとして記憶部２４に記憶する処理部である。

プレフィックス検出部２５ｃは、各ＩＧＰルータ１０ａ〜１０ｄが受信した経路情報に含まれているプレフィックスの情報とその経路情報を受信した通信インターフェースの情報とをＩＧＰルータ１０ａ〜１０ｄから受信して、それらの情報をプレフィックス管理テーブル２４ｃに登録する処理部である。

具体的には、プレフィックス検出部２５ｃは、コミュニティ定義テーブル２４ｂを参照し、ＩＧＰルータ１０ａ〜１０ｄから受信した通信インターフェースの情報を基にして、通信インターフェースに接続されているコミュニティのコミュニティ名を特定する。

そして、プレフィックス検出部２５ｃは、特定したコミュニティ名に対応付けて、ＩＧＰルータ１０ａ〜１０ｄから受信したプレフィックスの情報をプレフィックス管理テーブル２４ｃに登録する。また、プレフィックス検出部２５ｃは、プレフィックスの情報の登録時刻の情報をプレフィックス管理テーブル２４ｃに登録する。なお、プレフィックス検出部２５ｃは、プレフィックスの情報を登録してから所定の時間が経過した場合には、その情報を破棄する。

コミュニティ／プレフィックス変換部２５ｄは、フィルタ管理テーブル２４ｄに各ＩＧＰルータ１０ａ〜１０ｄに設定するプレフィックスフィルタ１９ａ〜１９ｃの情報を登録する処理部である。

具体的には、コミュニティ／プレフィックス変換部２５ｄは、ポリシ定義テーブル２４ａに登録された経路情報の配布を許可するコミュニティの情報を、プレフィックス管理テーブル２４ｃを参照してプレフィックスの情報に変換し、フィルタ管理テーブル２４ｄに登録されるフィルタルールおよびフィルタ生成ポリシの情報を生成する。

さらに、コミュニティ／プレフィックス変換部２５ｄは、コミュニティ定義テーブル２４ｂを参照して、フィルタルールを設定するＩＧＰルータ１０ａ〜１０ｄおよび通信インターフェースを特定し、フィルタ管理テーブル２４ｄに登録されるルータ名およびインターフェースの情報を生成する。そして、コミュニティ／プレフィックス変換部２５ｄは、フィルタ管理テーブル２４ｄにルータ名、インターフェース、フィルタルール、フィルタ生成ポリシの各情報を登録する。

フィルタ設定部２５ｅは、フィルタ管理テーブル２４ｄを参照し、プレフィックスフィルタ１９ａ〜１９ｃとして設定されるプレフィックスのフィルタルールの情報を各ＩＧＰルータ１０ａ〜１０ｄに送信し、ＩＧＰルータ１０ａ〜１０ｄにプレフィックスフィルタ１９ａ〜１９ｃを設定させる処理部である。

つぎに、ＩＧＰルータの機能構成について説明する。図７は、ＩＧＰルータ１０ｃの機能構成を示す図である。なお、ＩＧＰルータ１０ａ，１０ｂ，１０ｄの機能構成はＩＧＰルータ１０ｃと同一であるので、ここではＩＧＰルータ１０ｃの機能構成について説明する。

図７に示すように、このＩＧＰルータ１０ｃは、通信インターフェース１１ａ〜１１ｃ、記憶部１２、構成定義部１３、プレフィックス検出部１４ｃ、プレフィックス情報送信部１５、パケットフィルタ部１６、パケット中継処理部１７、経路制御部１８を有する。

通信インターフェース１１ａ〜１１ｃは、他の装置との間で通信をおこなうネットワークインターフェースである。記憶部１２は、メモリなどの記憶デバイスである。この記憶部１２は、プレフィックスフィルタテーブル１２ａ、中継テーブル１２ｂ、検査パケットテーブル１２ｃ、パケットフィルタテーブル１２ｄを有する。

プレフィックスフィルタテーブル１２ａは、プレフィックスによる経路情報のフィルタリングをおこなう場合のフィルタルールを記憶したデータである。図８は、プレフィックスフィルタテーブル１２ａの一例を示す図である。図８に示すように、このプレフィックスフィルタテーブル１２ａには、インターフェースおよびフィルタルールの情報が登録されている。

インターフェースは、経路情報やユーザデータの送受信をおこなう通信インターフェース１１ａ，１１ｂの名称の情報である。フィルタルールは、通信インターフェース１１ａ，１１ｂに設定された経路情報のフィルタリングのルールである。

ここで、フィルタルールには、デフォルトでは、すべての経路情報が通過拒否に設定される（「All deny」）。そして、通過を許可されるプレフィックスの情報を含んだ経路情報がある場合には、そのプレフィックスの情報が登録される。たとえば、プレフィックス「prefixA1」の情報を含んだ経路情報の通過が許可される場合には、フィルタルールに「prefixA1 accept」が登録される。

中継テーブル１２ｂは、経路情報やユーザデータのパケットを転送する際の宛て先ネットワークとその宛て先ネットワークにパケットを転送するために用いる通信インターフェース１１ａ，１１ｂとの間の対応関係の情報を記憶したルーティングテーブルである。

検査パケットテーブル１２ｃは、プレフィックスの検出をおこなうパケットの情報を記憶したデータである。図９は、検査パケットテーブル１２ｃの一例を示す図である。図９に示すように、この検査パケットテーブル１２ｃには、インターフェースおよび検査パケットの情報が登録されている。

インターフェースは、ＩＧＰルータ１０ｃが有する通信インターフェース１１ａ，１１ｂの名称の情報である。検査パケットは、検査対象となるパケットの種類である。図９の例では、通信インターフェース「ＩＦ−０」および「ＩＦ−１」において、「経路情報」に含まれるプレフィックスの検出がおこなわれるように検査パケットが設定されている。

パケットフィルタテーブル１２ｄは、プレフィックスによるユーザデータのパケットのフィルタリングをおこなう場合のフィルタルールを記憶したデータである。このパケットフィルタテーブル１２ｄは、図８に示したプレフィックスフィルタテーブル１２ａと同様の構成となっており、通信インターフェース１１ａ，１１ｂの名称であるインターフェースおよび通信インターフェース１１ａ，１１ｂに設定されるフィルタルールの情報を記憶している。

構成定義部１３は、コミュニティ管理サーバ２０からプレフィックスの検査をおこなう検査パケットの情報や、通信インターフェース１１ａ，１１ｂに設定するフィルタルールの情報を通信インターフェース１１ｃを介して受信して、受信した情報を検査パケットテーブル１２ｃやプレフィックスフィルタテーブル１２ａ、パケットフィルタテーブル１２ｄに登録する処理部である。

プレフィックス検出部１４ｃは、通信インターフェース１１ａ，１１ｂが受信した経路情報に含まれるプレフィックス、および、ユーザデータに含まれるプレフィックスを検出する検出部である。このプレフィックス検出部１４ｃの機能は、近年多くのＩＧＰルータに実装されるようになってきている。

具体的には、このプレフィックス検出部１４ｃは、検査パケットテーブル１２ｃに登録された検査パケットに含まれるプレフィックスを検出した場合に、検出したプレフィックスの情報を記憶しておく。

そして、プレフィックス検出部１４ｃは、記憶していたプレフィックスの情報に含まれない新規のプレフィックスを検出した場合に、新規のプレフィックスの情報を含んだ要約レポートメッセージを生成する処理をおこなう。

図１０は、要約レポートメッセージ４０の一例を示す図である。図１０に示すように、この要約レポートメッセージ４０には、ルータ、メッセージ数、経路１受信ＩＦ、経路１プレフィックス、経路２受信ＩＦ、経路２プレフィックス、経路３受信ＩＦ、経路３プレフィックス、経路４受信ＩＦ、経路４プレフィックスの情報が登録されている。

ルータは、要約レポートメッセージ４０を生成したＩＧＰルータ１０ａ〜１０ｄを識別する識別情報である。メッセージ数は、要約レポートメッセージ４０に含まれるプレフィックスの情報の数である。この例では、「４」つのプレフィックスの情報が要約レポートメッセージ４０に含まれている。

経路１受信ＩＦ、経路２受信ＩＦ、経路３受信ＩＦ、経路４受信ＩＦは、それぞれ各プレフィックスの情報を含んだ経路情報を受信した通信インターフェース１１ａ，１１ｂの情報である。経路１プレフィックス、経路２プレフィックス、経路３プレフィックス、経路４プレフィックスは、それぞれ経路情報に含まれていたプレフィックスの情報である。

図７の説明に戻ると、プレフィックス情報送信部１５は、プレフィックス検出部１４ｃにより要約レポートメッセージ４０が生成された場合に、その要約レポートメッセージ４０をコミュニティ管理サーバ２０に送信する処理部である。

パケットフィルタ部１６は、パケットフィルタテーブル１２ｄを参照して、通信インターフェース１１ａ，１１ｂが受信したユーザデータのパケットのフィルタリングをおこなう処理部である。

パケット中継処理部１７は、経路情報やユーザデータを通信インターフェース１１ａ，１１ｂが受信した場合に、中継テーブル１２ｂを参照して、経路情報やユーザデータを転送する通信インターフェース１１ａ，１１ｂを判定し、経路情報やユーザデータを通信インターフェース１１ａ，１１ｂを介して送信する処理部である。なお、このパケット中継処理部１７は、受信した経路情報が自装置宛ての経路情報であった場合には、その経路情報を経路制御部１８に出力する。

経路制御部１８は、他のＩＧＰルータ１０ａ，１０ｂ，１０ｄとの間で経路情報やユーザデータをやり取りする場合の通信経路を制御する処理部である。この経路制御部１８は、経路計算部１８ａおよびプレフィックスフィルタ部１８ｂを有する。

経路計算部１８ａは、他のＩＧＰルータ１０ａ，１０ｂ，１０ｄとの間で経路情報をやり取りし、その経路情報に基づいて中継テーブル１２ｂに経路情報やユーザデータのパケットを転送する際の宛て先ネットワークとその宛て先ネットワークにパケットを転送するために用いる通信インターフェース１１ａ，１１ｂとの間の対応関係の情報を登録する。

また、経路計算部１８ａは、ネットワークの管理者が入力部（図示せず）を用いておこなった上記対応関係の設定情報を受け付けて、その設定情報を中継テーブル１２ｂに登録することとしてもよい。

プレフィックスフィルタ部１８ｂは、プレフィックスフィルタテーブル１２ａを参照し、プレフィックスフィルタテーブル１２ａに登録されたプレフィックス以外のプレフィックスの情報を含んだ経路情報を経路情報を運ぶメッセージ中から取り除くフィルタリング処理をおこなう処理部である。

つぎに、コミュニティ管理サーバ２０がおこなう通信制御処理の処理手順について説明する。図１１は、コミュニティ管理サーバ２０がおこなう通信制御処理の処理手順を示すフローチャートである。

図１１に示すように、まず、コミュニティ管理サーバ２０のコミュニティ管理部２５ｂは、ネットワークの管理者が入力部２２を介して入力したコミュニティの設定を受け付ける（ステップＳ１０１）。具体的には、コミュニティ管理部２５ｂは、コミュニティの名称と、そのコミュニティが収容されているＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報とを受け付け、それらの情報をコミュニティ定義テーブル２４ｂに登録する。

続いて、ポリシ設定受付部２５ａは、ネットワークの管理者が入力部２２を介して入力した経路情報のフィルタリングポリシの設定を受け付ける（ステップＳ１０２）。具体的には、ポリシ設定受付部２５ａは、ポリシの名称と、経路情報の配布を許可するコミュニティの情報とを受け付け、それらの情報をポリシ定義テーブル２４ａに登録する。

そして、プレフィックス検出部２５ｃは、ＩＧＰルータ１０ａ〜１０ｄにプレフィックス情報を送信を開始するよう要求する（ステップＳ１０３）。ここで、プレフィックスの情報とは、図１０で説明した要約レポートメッセージ４０のことである。

その後、プレフィックス検出部２５ｃは、ＩＧＰルータ１０ａ〜１０ｄからのプレフィックス情報の受信を待ち受ける（ステップＳ１０４）。続いて、プレフィックス検出部２５ｃは、プレフィックス管理テーブル２４ｃを参照し、プレフィックス管理テーブル２４ｃに登録されたプレフィックスのうちタイムアウトしたプレフィックスがあるか否かを調べる（ステップＳ１０５）。

具体的には、プレフィックス検出部２５ｃは、プレフィックス管理テーブル２４ｃの登録時刻の情報を読み出して、プレフィックス管理テーブル２４ｃに登録されてから所定の時間以上経過したプレフィックスがあるか否かを調べる。

そして、タイムアウトしたプレフィックスがある場合には（ステップＳ１０５，Ｙｅｓ）、プレフィックス検出部２５ｃは、当該プレフィックスおよび登録時刻の情報をプレフィックス管理テーブル２４ｃから削除する（ステップＳ１０６）。

さらに、プレフィックス検出部２５ｃは、削除されたプレフィックスに対応する情報をＩＧＰルータ１０ａ〜１０ｄのプレフィックスフィルタテーブル１２ａから削除させるため、プレフィックスの情報の削除を通知するフィルタ情報をＩＧＰルータ１０ａ〜１０ｄに送信する（ステップＳ１０７）。

ここで、コミュニティ管理サーバ２０は、フィルタ情報を送信する対象であるＩＧＰルータ１０ａ〜１０ｄを、プレフィックス管理テーブル２４ｃにおいて削除したプレフィックスに対応するコミュニティ名を調べ、そのコミュニティ名に対応するＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報をコミュニティ定義テーブル２４ｂから調べることにより特定することができる。

ステップＳ１０５あるいはステップＳ１０７の後、プレフィックス検出部２５ｃは、プレフィックス管理テーブル２４ｃに登録されていない新規のプレフィックスの情報をＩＧＰルータ１０ａ〜１０ｄから受信したか否かを調べる（ステップＳ１０８）。

そして、新規のプレフィックスの情報を受信していない場合には（ステップＳ１０８，Ｎｏ）、ステップＳ１０４に移行して、それ以後の処理を継続する。新規のプレフィックスの情報を受信した場合には（ステップＳ１０８，Ｙｅｓ）、プレフィックス検出部２５ｃは、受信したプレフィックスの情報をプレフィックス管理テーブル２４ｃに登録する（ステップＳ１０９）。

具体的には、プレフィックス検出部２５ｃは、コミュニティ定義テーブル２４ｂを参照し、ＩＧＰルータ１０ａ〜１０ｄから受信したプレフィックス情報からＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報を抽出し、抽出した情報に対応するコミュニティ名の情報を取得する。

そして、プレフィックス検出部２５ｃは、プレフィックス管理テーブル２４ｃにおいて、取得したコミュニティ名に対応付けて、プレフィックスと登録時刻の情報を登録する処理をおこなう。

その後、コミュニティ／プレフィックス変換部２５ｄは、フィルタ管理テーブル２４ｄにＩＧＰルータ１０ａ〜１０ｄから新規に受信したプレフィックスの情報を登録する（ステップＳ１１０）。

具体的には、コミュニティ／プレフィックス変換部２５ｄは、ポリシ定義テーブル２４ａに登録された経路情報の配布を許可するコミュニティの情報を、プレフィックス管理テーブル２４ｃを参照してプレフィックスの情報に変換し、フィルタ管理テーブル２４ｄに登録されるフィルタルールおよびフィルタ生成ポリシの情報を生成する。

さらに、コミュニティ／プレフィックス変換部２５ｄは、コミュニティ定義テーブル２４ｂを参照して、フィルタルールを設定するＩＧＰルータ１０ａ〜１０ｄおよび通信インターフェースを特定し、フィルタ管理テーブル２４ｄに登録されるルータ名およびインターフェースの情報を生成する。そして、コミュニティ／プレフィックス変換部２５ｄは、フィルタ管理テーブル２４ｄにルータ名、インターフェース、フィルタルール、フィルタ生成ポリシの各情報を登録する。

その後、フィルタ設定部２５ｅは、フィルタ管理テーブル２４ｄに情報が登録されたプレフィックスに対応する情報をＩＧＰルータ１０ａ〜１０ｄのプレフィックスフィルタテーブル１２ａに登録させるため、フィルタ管理テーブル２４ｄのルータ名により特定されるＩＧＰルータ１０ａ〜１０ｄに、プレフィックスの情報の登録を通知するフィルタ情報を送信する（ステップＳ１１１）。

そして、プレフィックス検出部２５ｃは、この通信制御処理を終了する入力をネットワークの管理者から受け付けたか否かを調べ（ステップＳ１１２）、通信制御処理を終了する入力を受け付けていない場合には（ステップＳ１１２，Ｎｏ）、ステップＳ１０４に移行してそれ以後の処理を継続する。通信制御処理を終了する入力を受け付けた場合には（ステップＳ１１２，Ｙｅｓ）、そのままこの通信制御処理を終了する。

つぎに、ＩＧＰルータ１０ｃがおこなう通信制御処理の処理手順について説明する。図１２は、ＩＧＰルータ１０ｃがおこなう通信制御処理の処理手順を示すフローチャートである。

図１２に示すように、まず、ＩＧＰルータ１０ｃの構成定義部１３は、コミュニティ管理サーバ２０からのプレフィックス情報の送信要求を待ち受け（ステップＳ２０１）、プレフィックス情報の送信要求を受信したか否かを調べる（ステップＳ２０２）。

プレフィックス情報の送信要求を受信していない場合には（ステップＳ２０２，Ｎｏ）、ステップＳ２０１に移行して、構成定義部１３は、プレフィックス情報の送信要求を待ち受ける。

プレフィックス情報の送信要求を受信した場合には（ステップＳ２０２，Ｙｅｓ）、プレフィックス検出部１４ｃは、経路情報に含まれるプレフィックスの情報を検出するため、経路情報の監視を開始する（ステップＳ２０３）。

そして、プレフィックス情報送信部１５は、コミュニティ管理サーバ２０に送信するプレフィックス情報を生成する（ステップＳ２０４）。ここで、プレフィックスの情報とは、図１０で説明した要約レポートメッセージ４０のことである。

その後、プレフィックス情報送信部１５は、コミュニティ管理サーバ２０にプレフィックス情報を送信する（ステップＳ２０５）。そして、構成定義部１３は、コミュニティ管理サーバ２０からプレフィックスフィルタテーブル１２ａおよびパケットフィルタテーブル１２ｂに登録するフィルタ情報の受信を待ち受け（ステップＳ２０６）、フィルタ情報を受信したか否かを調べる（ステップＳ２０７）。

フィルタ情報を受信していない場合には（ステップＳ２０７，Ｎｏ）、ステップＳ２０６に移行して、構成定義部１３は、フィルタ情報の受信を待ち受ける。フィルタ情報を受信した場合には（ステップＳ２０７，Ｙｅｓ）、構成定義部１３は、そのフィルタ情報に基づいて、プレフィックスフィルタテーブル１２ａおよびパケットフィルタテーブル１２ｂにおけるフィルタルールの設定・更新をおこなう（ステップＳ２０８）。

その後、プレフィックス検出部１４ｃは、この通信制御処理を終了する入力をネットワークの管理者から受け付けたか否かを調べ（ステップＳ２０９）、通信制御処理を終了する入力を受け付けていない場合には（ステップＳ２０９，Ｎｏ）、ステップＳ２０３に移行してそれ以後の処理を継続する。通信制御処理を終了する入力を受け付けた場合には（ステップＳ２０９，Ｙｅｓ）、そのままこの通信制御処理を終了する。

なお、ここでは、プレフィックス検出部１４ｃおよびプレフィックス情報送信部１５をＩＧＰルータ１０ｃに設けることとしたが、プレフィックス検出部１４ｃおよびプレフィックス情報送信部１５をＩＧＰルータ１０ｃとは別のプレフィックス検出装置に設けることにより、プレフィックス検出部１４ｃおよびプレフィックス情報送信部１５を持たない安価なＩＧＰルータをそのまま用いることができる。

このプレフィックス検出装置は、プレフィックス検出部１４ｃおよびプレフィックス情報送信部１５を持たないＩＧＰルータと接続され、コミュニティから経路情報を受信した場合に、経路情報に含まれるプレフィックスを検出する。そして、ＩＧＰルータは、プレフィックス検出装置から転送された経路情報を受信する。

また、この場合には、プレフィックス検出装置の記憶部には、検査パケットテーブル１２ｃが記憶され、プレフィックス検出装置のプレフィックス情報送信部１５は、検査パケットテーブル１２ｃに登録された検査パケットに含まれるプレフィックスがプレフィックス検出部１４ｃにより検出された場合に、検出されたプレフィックスの情報を含んだ要約レポートメッセージ４０を生成し、その要約レポートメッセージをコミュニティ管理サーバ２０に送信する。

上述してきたように、本実施例１では、コミュニティ管理サーバ２０の記憶部２４が、コミュニティと当該コミュニティに接続されたＩＧＰルータ１０ａ，１０ｃ，１０ｄとの間の対応関係に係る情報をコミュニティ定義テーブル２４ｂとして記憶し、プレフィックス検出部２５ｃが、ＩＧＰルータ１０ａ，１０ｃ，１０ｄが受信した経路情報に含まれるプレフィックスに係る情報および当該ＩＧＰルータ１０ａ，１０ｃ，１０ｄの識別情報を収集し、さらに、コミュニティ定義テーブル２４ｂに記憶した情報に基づいて、収集したプレフィックスに対応するコミュニティを検出し、ポリシ設定受付部２５ａが経路情報に対する送信可否の情報を経路情報の送信元のコミュニティの指定とともに受け付けた場合に、コミュニティ／プレフィックス変換部２５ｄが、プレフィックス検出部２５ｃにより検出されたコミュニティの情報に基づいて、指定を受け付けたコミュニティに対応するプレフィックスを判定し、フィルタ設定部２５ｅが、判定の結果得られたプレフィックスの情報をＩＧＰルータ１０ａ，１０ｃ，１０ｄに送信することとしたので、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、ネットワークのプレフィックスが変更された場合でも経路制御を効率的におこなうことができる。

また、本実施例１では、プレフィックス検出部２５ｃが、収集されてから所定の時間以上経過したプレフィックスの情報を破棄することとしたので、古い情報を破棄することにより誤った情報に基づいて経路制御をおこなうことを防止することができる。

また、本実施例１では、ＩＧＰルータ１０ｃのパケットフィルタ部１６が、コミュニティ管理サーバ２０により送信されたプレフィックスの情報を受信し、受信した情報に基づいて経路情報のフィルタリングをおこなうこととしたので、何らかの方法で宛先アドレスの情報が第三者に流出してしまった場合でも、通信が許可されていないネットワークからユーザデータのパケットが該宛て先アドレスのネットワークに送信されることを防止することができる。

また、本実施例１では、ＩＧＰルータとは別に設置されたプレフィックス検出装置が、プレフィックスの情報を経路情報から検出し、コミュニティ管理サーバ２０のプレフィックス検出部２５ｃが、プレフィックス検出装置により検出されたプレフィックスの情報と当該プレフィックスの情報を含んだ経路情報を受信したＩＧＰルータの情報とを収集することとしたので、ＩＧＰルータとプレフィックス検出装置とを別装置とすることにより、宛て先アドレスの検出機能を持たないＩＧＰルータを利用することができる。

ところで、上記実施例１では、コミュニティに接続されたＩＧＰルータ１０ａ，１０ｃ，１０ｄにプレフィックスフィルタ１９ａ〜１９ｃを設定することとしたが、コミュニティに接続されたＩＧＰルータ１０ａ，１０ｃ，１０ｄ間にあって、経路情報の中継をおこなうＩＧＰルータ１０ｂにプレフィックスフィルタを設定することとしてもよい。

そこで、本実施例２では、コミュニティに接続されたＩＧＰルータ１０ａ，１０ｃ，１０ｄ間にあるＩＧＰルータ１０ｂにプレフィックスフィルタを設定する場合について説明する。なお、以下では、実施例１と同様の装置や機能部には、実施例１と同一の符号を付すこととし、詳しい説明を省略する。

図１３は、実施例２に係るコミュニティ管理サーバ５０の機能構成を示す図である。図１３に示すように、このコミュニティ管理サーバ５０は、実施例１におけるコミュニティ管理サーバ２０と同様に、通信処理部２１、入力部２２、表示部２３、記憶部２４、制御部２５を有する。

ただし、実施例２におけるコミュニティ管理サーバ４０の記憶部２４は、実施例１で説明したポリシ定義テーブル２４ａ、コミュニティ定義テーブル２４ｂ、プレフィックス管理テーブル２４ｃ、フィルタ管理テーブル２４ｄに加えて、ルータＩＦ管理テーブル２４ｅ、経由ルータ管理テーブル２４ｆを記憶している。

ルータＩＦ管理テーブル２４ｅは、各ＩＧＰルータ１０ａ〜１０ｄが有する通信インターフェースに係る情報を登録したデータである。図１４は、ルータＩＦ管理テーブル２４ｅの一例を示す図である。図１４に示すように、このルータＩＦ管理テーブル２４ｅは、ルータ名、インターフェース名、インターフェースアドレスの情報が登録されている。

ルータ名は、各ＩＧＰルータ１０ａ〜１０ｄの名称の情報である。この例では、「ルータ１」、「ルータ２」、「ルータ３」、「ルータ４」は、図１に示したＩＧＰルータ１０ａ、ＩＧＰルータ１０ｂ、ＩＧＰルータ１０ｃ、ＩＧＰルータ１０ｄをそれぞれ指している。インターフェース名は、ＩＧＰルータ１０ａ〜１０ｄが有する各通信インターフェースの名称である。インターフェースアドレスは、各通信インターフェースに割り当てられたアドレスの情報である。

図１３の説明に戻ると、経由ルータ管理テーブル２４ｆは、あるコミュニティから別のコミュニティに経路情報を送信する場合に経由するＩＧＰルータ１０ａ〜１０ｄの情報を記憶したデータである。

図１５は、経由ルータ管理テーブル２４ｆの一例を示す図である。図１５に示すように、この経由ルータ管理テーブル２４ｆには、ＳＲＣコミュニティ、ＤＳＴコミュニティ、経由ルータ、インターフェースの情報が登録されている。

ＳＲＣコミュニティは、経路情報の送信元となるコミュニティのコミュニティ名である。ＤＳＴコミュニティは、経路情報の送信先となるコミュニティのコミュニティ名である。経由ルータは、ＳＲＣコミュニティとして登録されたコミュニティからＤＳＴコミュニティとして登録されたコミュニティに経路情報が送信された場合に経由するＩＧＰルータ１０ａ〜１０ｄのルータ名の情報である。インターフェースは、上記経路情報が送信された場合に経由するＩＧＰルータ１０ａ〜１０ｄの通信インターフェースの情報である。

図１３の説明に戻ると、制御部２５は、実施例１で説明したポリシ設定受付部２５ａ、コミュニティ管理部２５ｂ、プレフィックス検出部２５ｃ、コミュニティ／プレフィックス変換部２５ｄ、フィルタ設定部２５ｅに加えて、経由ルータ検出部２５ｆを有している。

経由ルータ検出部２５ｆは、あるコミュニティから別のコミュニティに経路情報を送信する場合に経由するＩＧＰルータ１０ａ〜１０ｄを検出する処理部である。具体的には、経由ルータ検出部２５ｄは、図２に示したポリシ定義テーブル２４ａにおける経路情報の配布元のコミュニティをＳＲＣコミュニティとし、経路情報の配布先のコミュニティをＤＳＴコミュニティとして、ＤＳＴコミュニティを収容するＩＧＰルータ１０ａ〜１０ｄからＳＲＣコミュニティを収容するＩＧＰルータ１０ａ〜１０ｄに向けたトレースルートを実行する。

ここで、トレースルートとは、パケットを所定の宛て先アドレスを有する通信装置に送信し、その途中でパケットが通過したＩＧＰルータ１０ａ〜１０ｄの通信インターフェースに割り当てられたアドレスの情報を通知させる従来技術である。

図１６は、このトレースルートについて説明する図であり、図１７は、トレースルートの実行結果の一例を示す図である。図１６には、コミュニティ「２０：１」を収容するＩＧＰルータ１０ｃの通信インターフェース「ＩＦ−１」からコミュニテイ「１０：１」を収容するＩＧＰルータ１０ａの通信インターフェース「ＩＦ−０」に向けてのトレースルートが実行された例について示してある。

この例では、ＩＧＰルータ１０ｃの通信インターフェース「ＩＦ−１」から送信されたパケットは、ＩＧＰルータ１０ｂの通信インターフェース「ＩＦ−１」により受信され、さらに、ＩＧＰルータ１０ａの通信インターフェース「ＩＦ−２」により受信される。

この場合、図１７に示すように、トレースルートの実行結果６０として、ＩＧＰルータ１０ｂの通信インターフェース「ＩＦ−１」のアドレス「１０．２５．１７０．１」、および、ＩＧＰルータ１０ａの通信インターフェース「ＩＦ−２」のアドレス「１０．２５．１６０．１」が得られる。

そして、経由ルータ検出部２５ｆは、ルータＩＦ管理テーブル２４ｅを参照して、上述したようにして得られたアドレスの情報を、経由ルータ管理テーブル２４ｆにおける経由ルータおよび通信インターフェースの情報に変換し、それらの情報を経由ルータ管理テーブル２４ｆにＳＲＣコミュニテイおよびＤＳＴコミュニティに対応付けて登録する。

この場合、コミュニティ／プレフィックス変換部２５ｄは、ポリシ定義テーブル２４ａに登録された経路情報の配布を許可するコミュニティの情報を、プレフィックス管理テーブル２４ｃを参照してプレフィックスの情報に変換し、フィルタ管理テーブル２４ｄに登録されるフィルタルールおよびフィルタ生成ポリシの情報を生成する。

さらに、コミュニティ／プレフィックス変換部２５ｄは、経由ルータ管理テーブル２４ｆを参照し、ポリシ定義テーブル２４ａに登録されたポリシに対応する経由ルータおよび通信インターフェースを特定し、フィルタ管理テーブル２４ｄに登録されるルータ名およびインターフェースの情報を生成する。そして、コミュニティ／プレフィックス変換部２５ｄは、フィルタ管理テーブル２４ｄにルータ名、インターフェース、フィルタルール、フィルタ生成ポリシの各情報を登録する。

図１８は、経由ルータのフィルタ情報を含んだフィルタ管理テーブル２４ｄの一例を示す図である。ここで、「ルータ２」が、図１に示した経由ルータであるＩＧＰルータ１０ｂに対応している。図１８において、たとえば、ポリシ定義テーブル２４ａのポリシ「Put 10:1 to 20:1」に関して、「ルータ３」（ＩＧＰルータ１０ｃ）の通信インターフェース「ＩＦ−１」に登録されたフィルタルールと同じフィルタルールが、「ルータ２」の通信インターフェース「ＩＦ−１」のフィルタルールとして登録される。

そして、フィルタ設定部２５ｅは、フィルタ管理テーブル２４ｄを参照し、プレフィックスのフィルタルールの情報を経由ルータを含む各ＩＧＰルータ１０ａ〜１０ｄに送信し、各ＩＧＰルータ１０ａ〜１０ｄにプレフィックスフィルタ１９ａ〜１９ｃを設定させ、経路情報およびユーザデータのフィルタリングを実行させる。

上述してきたように、本実施例２では、第１のコミュニティに接続された第１のＩＧＰルータ１０ａ，１０ｃ，１０ｄから第２のコミュニティに接続された第２のＩＧＰルータ１０ａ，１０ｃ，１０ｄへと経路情報が送信される通信経路に第３のＩＧＰルータ１０ｂがある場合に、通過が許可される経路情報のプレフィックスの情報を第３のＩＧＰルータ１０ｂに送信することとしたので、ネットワーク内に無駄な経路情報が送信されることを抑制することができる。

ところで、上記実施例で説明した通信制御処理は、あらかじめ用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図１９を用いて、上記通信制御処理を実現するプログラムを実行するコンピュータの一例について説明する。

図１９は、通信制御処理をおこなうコンピュータのハードウェア構成を示す図である。このコンピュータは、ユーザからのデータの入力を受け付ける入力装置１００、情報を表示する表示装置１０１、各種プログラムを記録した記録媒体からプログラムを読み取る媒体読取装置１０２、ネットワークを介して他のコンピュータとの間でデータの授受をおこなうネットワークインターフェース１０３、ＲＡＭ（Random Access Memory）１０４、ＲＯＭ（Read Only Memory）１０５、ＣＰＵ（Central Processing Unit）１０６およびＨＤ（Hard Disk）１０７をバス１０８で接続して構成される。

そして、ＨＤ１０７は、コミュニティ管理サーバ２０の機能と同様の機能を発揮するプログラム、すなわち、図１８に示すポリシ設定受付プログラム１０７ｂ、コミュニティ管理プログラム１０７ｃ、プレフィックス検出プログラム１０７ｄ、コミュニティ／プレフィックス変換プログラム１０７ｅ、フィルタ設定プログラム１０７ｆ、経由ルータ検出プログラム１０７ｇを記憶している。

なお、ポリシ設定受付プログラム１０７ｂ、コミュニティ管理プログラム１０７ｃ、プレフィックス検出プログラム１０７ｄ、コミュニティ／プレフィックス変換プログラム１０７ｅ、フィルタ設定プログラム１０７ｆ、経由ルータ検出プログラム１０７ｇは、適宜統合または分散して記憶することとしてもよい。

そして、ＣＰＵ１０６が、ポリシ設定受付プログラム１０７ｂ、コミュニティ管理プログラム１０７ｃ、プレフィックス検出プログラム１０７ｄ、コミュニティ／プレフィックス変換プログラム１０７ｅ、フィルタ設定プログラム１０７ｆ、経由ルータ検出プログラム１０７ｇをＨＤ１０７から読み出して実行することにより、ポリシ設定受付プロセス１０６ａ、コミュニティ管理プロセス１０６ｂ、プレフィックス検出プロセス１０６ｃ、コミュニティ／プレフィックス変換プロセス１０６ｄ、フィルタ設定プロセス１０６ｅ、経由ルータ検出プロセス１０６ｆが機能するようになる。

ここで、ポリシ設定受付プロセス１０６ａ、コミュニティ管理プロセス１０６ｂ、プレフィックス検出プロセス１０６ｃ、コミュニティ／プレフィックス変換プロセス１０６ｄ、フィルタ設定プロセス１０６ｅ、経由ルータ検出プロセス１０６ｆは、図５あるいは図１３に示したポリシ設定受付部２５ａ、コミュニティ管理部２５ｂ、プレフィックス検出部２５ｃ、コミュニティ／プレフィックス変換部２５ｄ、フィルタ設定部２５ｅ、図１３に示した経由ルータ検出部２５ｆに対応する。

また、ＨＤ１０７には、各種テーブル１０７ａが記憶される。この各種テーブル１０７ａは、図５あるいは図１３に示したポリシ定義テーブル２４ａ、コミュニティ定義テーブル２４ｂ、プレフィックス管理テーブル２４ｃ、フィルタ管理テーブル２４ｄ、図１３に示したルータＩＦ管理テーブル２４ｅ、経由ルータ管理テーブル２４ｆに対応する。

そして、ＣＰＵ１０６は、各種テーブル１０７ａをＨＤ１０７に記憶させるとともに、各種テーブル１０７ａをＨＤ１０７から読み出してＲＡＭ１０４に格納し、ＲＡＭ１０４に格納された各種テーブル１０４ａに基づいてデータ処理を実行する。

ところで、ポリシ設定受付プログラム１０７ｂ、コミュニティ管理プログラム１０７ｃ、プレフィックス検出プログラム１０７ｄ、コミュニティ／プレフィックス変換プログラム１０７ｅ、フィルタ設定プログラム１０７ｆ、経由ルータ検出プログラム１０７ｇは、必ずしも最初からＨＤ１０７に記憶させておく必要はない。

たとえば、コンピュータに挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、コンピュータの内外に備えられるハードディスクドライブ（ＨＤＤ）などの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータに接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶しておき、コンピュータがこれらから各プログラムを読み出して実行するようにしてもよい。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、特許請求の範囲に記載した技術的思想の範囲内において種々の異なる実施例にて実施されてもよいものである。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。

この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（付記１）宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムであって、
第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールの定義を記憶する記憶手段と、
前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集手段と、
前記記憶手段により記憶された集合名と該集合に加える経路情報の追加ルールと、前記収集手段により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成手段と、
前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成手段で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成手段と、
前記フィルタ条件生成手段により生成した経路情報のフィルタ条件を通信装置に設定する設定手段と、
を備えたことを特徴とする通信制御システム。

（付記２）前記対応情報作成手段は、前記収集手段により経路情報が収集されてから所定の時間以上経過した場合、該経路情報から生成した、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を破棄することを特徴とする付記１に記載の通信制御システム。

（付記３）前記設定手段は、第二のネットワークにおいて、第一のネットワークに接続された第一の通信装置から第三のネットワークに接続された第三の通信装置へと経路情報が送信される通信経路に第二の通信装置がある場合に、前記フィルタ条件生成手段により生成された経路情報のフィルタ条件を第二の通信装置に設定することを特徴とする付記１または２に記載の通信制御システム。

（付記４）前記設定手段は宛先ネットワークアドレスの情報を送信することにより経路情報のフィルタ条件を通信装置に設定し、通信装置は受信した情報に基づいてユーザデータのパケットのフィルタリングをおこなうフィルタリング手段をさらに備えたことを特徴とする付記１、２または３に記載の通信制御システム。

（付記５）前記通信装置とは別に設置され、宛先ネットワークアドレスを経路メッセージから検出する宛先ネットワークアドレス検出手段をさらに備え、前記収集手段は、前記宛先ネットワークアドレス検出手段により検出された宛先ネットワークアドレスに係る情報と当該宛先ネットワークアドレスの情報を含んだ経路メッセージを受信した通信装置及び受信インタフェースの識別情報とを収集することを特徴とする付記１〜４のいずれか１つに記載の通信制御システム。

（付記６）宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムが通信制御をおこなう通信制御方法であって、
前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集工程と、
第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールのあらかじめ記憶された定義の情報と、前記収集工程により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成工程と、
前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成工程で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成工程と、
前記フィルタ条件生成工程により生成した経路情報のフィルタ条件を通信装置に設定する設定工程と、
を含んだことを特徴とする通信制御方法。

（付記７）宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムが通信制御をおこなう通信制御プログラムであって、
前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集手順と、
第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールのあらかじめ記憶された定義の情報と、前記収集手順により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成手順と、
前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成手順で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成手順と、
前記フィルタ条件生成手順により生成した経路情報のフィルタ条件を通信装置に設定する設定手順と、
をコンピュータに実行させることを特徴とする通信制御プログラム。

以上のように、本発明に係る通信制御システムは、企業網において一般に用いられているＩＧＰなどの技術を利用しつつ、ネットワークのプレフィックスが変更された場合でも経路制御を効率的におこなうことが必要な通信制御システムに有用である。

本発明に係る通信制御処理の概念について説明する図である。 ポリシ定義テーブル２４ａの一例を示す図である。 コミュニティ定義テーブル２４ｂの一例を示す図である。 プレフィックス管理テーブル２４ｃの一例を示す図である。 実施例１に係るコミュニティ管理サーバ２０の機能構成を示す図である。 フィルタ管理テーブル２４ｄの一例を示す図である。 ＩＧＰルータ１０ｃの機能構成を示す図である。 プレフィックスフィルタテーブル１２ａの一例を示す図である。 検査パケットテーブル１２ｃの一例を示す図である。 要約レポートメッセージ４０の一例を示す図である。 コミュニティ管理サーバ２０がおこなう通信制御処理の処理手順を示すフローチャートである。 ＩＧＰルータ１０ｃがおこなう通信制御処理の処理手順を示すフローチャートである。 実施例２に係るコミュニティ管理サーバ５０の機能構成を示す図である。 ルータＩＦ管理テーブル２４ｅの一例を示す図である。 経由ルータ管理テーブル２４ｆの一例を示す図である。 トレースルートについて説明する図である。 トレースルートの実行結果の一例を示す図である。 経由ルータのフィルタ情報を含んだフィルタ管理テーブル２４ｄの一例を示す図である。 通信制御処理をおこなうコンピュータのハードウェア構成を示す図である。 複数のネットワーク間でおこなわれるデータ通信の例を示す図である。 ＩＧＰを用いた従来のネットワークについて説明する図である。 ＢＧＰを用いた従来のネットワークについて説明する図である。

符号の説明

１ 企業網
２ａ インタネット
２ｂ エクストラネット
２ｃ 実験網
３ａ〜３ｄ，１０ａ〜１０ｄ ＩＧＰルータ
４ ネットワーク管理サーバ
５ａ〜５ｄ，１９ａ〜１９ｃ プレフィックスフィルタ
６，３０ ＲＩＰメッセージ
７ａ〜７ｃ ＢＧＰルータ
８ ＢＧＰアップデートメッセージ
９ａ〜９ｄ コミュニティ属性フィルタ
１１ａ〜１１ｃ 通信インターフェース
１２ 記憶部
１２ａ プレフィックスフィルタテーブル
１２ｂ 中継テーブル
１２ｃ 検査パケットテーブル
１２ｄ パケットフィルタテーブル
１３ 構成定義部
１４ａ〜１４ｃ プレフィックス検出部
１５ 情報転送部
１６ パケットフィルタ部
１７ パケット中継処理部
１８ 経路選択部
１８ａ 経路計算部
１８ｂ プレフィックスフィルタ部
２０，５０ コミュニテイ管理サーバ
２１ 通信処理部
２２ 入力部
２３ 表示部
２４ 記憶部
２４ａ ポリシ定義テーブル
２４ｂ コミュニティ定義テーブル
２４ｃ プレフィックス管理テーブル
２４ｄ フィルタ管理テーブル
２４ｅ ルータＩＦ管理テーブル
２４ｆ 経由ルータ管理テーブル
２５ 制御部
２５ａ ポリシ設定受付部
２５ｂ コミュニティ管理部
２５ｃ プレフィックス検出部
２５ｄ コミュニティ／プレフィックス変換部
２５ｅ フィルタ設定部
２５ｆ 経由ルータ検出部
４０ 要約レポートメッセージ
６０ トレースルート実行結果

Claims (5)

1. 宛先となるネットワークのアドレスと、該ネットワークへの経由通信装置の識別情報とからなる経路情報を含んだ経路メッセージを配布している第一のネットワーク、第二のネットワーク、第三のネットワークから構成され、第二のネットワークが第一のネットワークと第三のネットワークとの間の通信パケットを中継する形態の通信網において、一つ以上の通信装置とサーバとから構成される通信制御システムであって、
   第一と第二のネットワークに接続した通信装置が第一のネットワークから宛先ネットワークに対する経路情報を含む経路メッセージを受信する場合において第二のネットワーク内で同じ扱いをする宛先ネットワークアドレスの集合を表す集合名と該集合に加える経路情報の追加ルールの定義を記憶する記憶手段と、
   前記通信装置が第一のネットワークから受信した経路メッセージに含まれる宛先ネットワークアドレス、当該経路メッセージを受信した通信装置およびインタフェースの識別情報を通信装置から収集する収集手段と、
   前記記憶手段により記憶された集合名と該集合に加える経路情報の追加ルールと、前記収集手段により収集した情報から、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を作成する対応情報作成手段と、
   前記集合に含まれる経路情報の第三のネットワークへの経路配布規則を集合に対する条件として受け付け、該経路配布規則を、前記対応情報作成手段で作成した対応情報に基づき、第二のネットワーク内に含まれる通信装置のインタフェースにおける経路情報のフィルタ条件に変換するフィルタ条件生成手段と、
   前記フィルタ条件生成手段により生成した経路情報のフィルタ条件を通信装置に設定する設定手段と、
   を備えたことを特徴とする通信制御システム。
2. 前記対応情報作成手段は、前記収集手段により経路情報が収集されてから所定の時間以上経過した場合、該経路情報から生成した、集合名と集合への追加ルールを満たす宛先ネットワークアドレスの対応情報を破棄することを特徴とする請求項１に記載の通信制御システム。
3. 前記設定手段は、第二のネットワークにおいて、第一のネットワークに接続された第一の通信装置から第三のネットワークに接続された第三の通信装置へと経路情報が送信される通信経路に第二の通信装置がある場合に、前記フィルタ条件生成手段により生成された経路情報のフィルタ条件を第二の通信装置に設定することを特徴とする請求項１または２に記載の通信制御システム。
4. 前記設定手段は宛先ネットワークアドレスの情報を送信することにより経路情報のフィルタ条件を通信装置に設定し、通信装置は受信した情報に基づいてユーザデータのパケットのフィルタリングをおこなうフィルタリング手段をさらに備えたことを特徴とする請求項１、２または３に記載の通信制御システム。
5. 前記通信装置とは別に設置され、宛先ネットワークアドレスを経路メッセージから検出する宛先ネットワークアドレス検出手段をさらに備え、前記収集手段は、前記宛先ネットワークアドレス検出手段により検出された宛先ネットワークアドレスに係る情報と当該宛先ネットワークアドレスの情報を含んだ経路メッセージを受信した通信装置及び受信インタフェースの識別情報とを収集することを特徴とする請求項１〜４のいずれか１つに記載の通信制御システム。

Images