JP5505707B2 - ネットワークシステム及びその運用方法 - Google Patents

Description

本発明は、仮想ネットワークが導入されたネットワークシステムであって、アプライアンスを備えるネットワークシステムに関する。

ネットワークを仮想化するための技術として、ＶＬＡＮ（ＩＥＥＥ ８０２．１Ｑ）やＶＲＦ（Ｖｉｒｔｕａｌ Ｒｏｕｔｉｎｇ ａｎｄ Ｆｏｒｗａｒｄｉｎｇ）などが知られており、それらはエンタープライズやデータセンターのネットワークにおいて広く用いられている。

また、特定の機能に特化した「アプライアンス（ネットワークアプライアンス）」が知られている。アプライアンスの例としては、侵入検知／進入防御システム（ＩＤＳ／ＩＰＳ）、セッション負荷分散装置、ＳＳＬアクセラレータ、ＷＡＮ高速化装置などが挙げられる。アプライアンスは、汎用サーバ上のソフトウェアで同等機能が実現された場合と比較して性能面で有利であり、高い処理能力（トラフィックのスループットなど）が求められる場面ではアプライアンスが利用されることが多い。

但し、ネットワークの仮想化に対応していないアプライアンスも少なくない。ネットワークの仮想化の対応していないアプライアンスを、仮想ネットワークが導入された環境で利用するためには、アプライアンスを仮想ネットワーク単位に用意する必要がある。つまり、仮想ネットワークの数だけアプライアンスが必要となる。しかし、アプライアンスは一般に高価であり、仮想ネットワークの数だけアプライアンスを用意することは現実的ではない。

文献（Ｎｏｒｔｅｌ Ｖｉｒｔｕａｌ Ｓｅｒｖｉｃｅｓ Ｓｗｉｔｃｈ ５０００，Ｎｏｒｔｅｌ Ｎｅｔｗｏｒｋｓ，２００８年９月１２日，ｈｔｔｐ：／／ｗｗｗ．ｎｏｒｔｅｌ．ｃｏｍ／ｐｒｏｄｕｃｔｓ／０１／ｖｓｓ／ｎｎ１２３９７４．ｐｄｆ）によれば、従来アプライアンス装置により実現されていた機能が、ソフトウェアモジュールにより実装される。そのソフトウェアモジュールは仮想化したソフトウェア実行環境上で実行され、それにより、アプライアンスと同等の機能が仮想ネットワーク単位で実現される。しかしながら、機能がソフトウェアにより実現されるため、それがアプライアンス装置により実現される場合と比較して、処理性能が劣ることが多い。

特許文献１（特開２００５−１５１５０９号公報）には、ＶＬＡＮサーバが開示されている。このＶＬＡＮサーバは、複数のＶＬＡＮと接続され、ＶＬＡＮ毎のアプリケーションサービスを提供する。このＶＬＡＮサーバは、外部向けのＩＰアドレスと内部向けのＩＰアドレスとの間のアドレス変換を行うことにより、複数のＶＬＡＮに対応する。内部向けのＩＰアドレスとしては、ＶＬＡＮ単位に起動されるサーバプロセス毎に独立したアドレスが付与される。この内部向けのＩＰアドレスは、外部向けのＶＬＡＮタグ番号と外部向けのＩＰアドレスの組と１対１に対応させておく必要がある。この対応関係（アドレス変換ルール）は固定されている。対応可能な仮想ネットワークの数を増やしたい場合には、ＶＬＡＮサーバ自体の機能拡張を行う必要がある。

特許文献２（特開２００４−３０３０９号公報）には、共有キャッシュサーバが開示されている。この共有キャッシュサーバも、上記特許文献１のＶＬＡＮサーバと同様のアドレス変換を行う。

特開２００５−１５１５０９号公報 特開２００４−３０３０９号公報

上述の通り、ネットワークの仮想化の対応していないアプライアンスを、仮想ネットワークが導入された環境で利用するためには、アプライアンスを仮想ネットワーク単位に用意する必要がある。つまり、仮想ネットワークの数だけアプライアンスが必要となる。しかし、アプライアンスは一般に高価であり、仮想ネットワークの数だけアプライアンスを用意することは現実的ではない。

本発明の１つの目的は、複数の仮想ネットワークが収容されるネットワークシステムにおいて、それら複数の仮想ネットワーク間でアプライアンスを共有することができる技術を提供することにある。

本発明の１つの観点において、ネットワークシステムが提供される。ネットワークシステムは、アプライアンスと、ネットワークを介してアプライアンスに接続されたスイッチと、アプライアンス及びスイッチに接続された管理計算機と、を備える。

管理計算機は、変換ポリシーテーブルを備える。変換ポリシーテーブルの各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示す。変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含むパケット識別情報である。変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定されるパケット識別情報である。

アプライアンスは、処理ルールテーブルを備える。処理ルールテーブルの各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定する。アプライアンスは、パケットを受け取ると処理ルールテーブルを参照し、受け取ったパケットにマッチするルールエントリで指定されたアプライアンス処理を実行する。

スイッチは、転送テーブルを備える。転送テーブルの各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。スイッチは、受信パケットを受け取ると転送テーブルを参照し、受信パケットにマッチする転送エントリで指定されるアクションを受信パケットに対して行う。

管理計算機は、スイッチが変換前パケット識別情報にマッチする受信パケットのパケット識別情報を変換後パケット識別情報に書き換えるように、スイッチの転送テーブルを設定する。また、管理計算機は、アプライアンスの処理ルールテーブルのマッチ条件を、変換後パケット識別情報に設定する。

本発明の他の観点において、ネットワークシステムの運用方法が提供される。その運用方法は、（Ａ）管理計算機によって、スイッチが変換前パケット識別情報にマッチする受信パケットのパケット識別情報を変換後パケット識別情報に書き換えるように、スイッチの転送テーブルを設定することと、（Ｂ）管理計算機によって、アプライアンスの処理ルールテーブルのマッチ条件を、変換後パケット識別情報に設定することと、を含む。

本発明によれば、複数の仮想ネットワークが収容されるネットワークシステムにおいて、それら複数の仮想ネットワーク間でアプライアンスを共有することが可能となる。

図１は、本発明の実施の形態に係るネットワークシステムを概略的に示すブロック図である。 図２は、本発明の実施の形態に係るネットワークシステムの構成例を示すブロック図である。 図３は、本発明の実施の形態に係る拡張スイッチの構成例を示すブロック図である。 図４は、本発明の実施の形態における拡張スイッチの転送テーブルの例を示す概念図である。 図５は、本発明の実施の形態に係るアプライアンスの構成例を示すブロック図である。 図６Ａは、本発明の実施の形態におけるアプライアンスの処理ルールテーブルの例を示す概念図である。 図６Ｂは、本発明の実施の形態におけるアプライアンスの処理ルールテーブルの例を示す概念図である。 図６Ｃは、本発明の実施の形態におけるアプライアンスの処理ルールテーブルの例を示す概念図である。 図７は、本発明の実施の形態に係る管理ホストの構成例を示すブロック図である。 図８は、本発明の実施の形態における登録ルールの一例を示す概念図である。 図９Ａは、本発明の実施の形態における管理ホストの変換ポリシーテーブルの例を示す概念図である。 図９Ｂは、本発明の実施の形態における管理ホストの変換ポリシーテーブルの例を示す概念図である。 図９Ｃは、本発明の実施の形態における管理ホストの変換ポリシーテーブルの例を示す概念図である。 図１０Ａは、本発明の実施の形態における管理ホストの登録ルールテーブルの例を示す概念図である。 図１０Ｂは、本発明の実施の形態における管理ホストの登録ルールテーブルの例を示す概念図である。 図１０Ｃは、本発明の実施の形態における管理ホストの登録ルールテーブルの例を示す概念図である。 図１１は、本発明の実施の形態に係るネットワークシステムの動作を説明するための図である。 図１２Ａは、本発明の実施の形態における管理ホストによるルール登録処理を示すフローチャートである。 図１２Ｂは、本発明の実施の形態における管理ホストによるルール登録処理を示すフローチャートである。 図１３Ａは、図１２Ｂ中の登録フローを示すフローチャートである。 図１３Ｂは、図１２Ｂ中の登録フローを示すフローチャートである。 図１４は、図１２Ｂ中の削除フローを示すフローチャートである。 図１５は、本発明の実施の形態における拡張スイッチによるパケット転送処理を示すフローチャートである。 図１６は、本発明の実施の形態における管理ホストによる転送テーブル設定指示処理を示すフローチャートである。 図１７は、本発明の実施の形態における拡張スイッチによる転送テーブル設定処理を示すフローチャートである。

添付図面を参照して、本発明の実施の形態を説明する。

１．概要
図１は、本実施の形態に係るネットワークシステム１を概略的に示すブロック図である。ネットワークシステム１は、拡張スイッチ１１、アプライアンス１４、及び管理ホスト（管理計算機）１５を備えている。拡張スイッチ１１とアプライアンス１４は、ネットワークを介して互いに通信可能に接続されている。管理ホスト１５は、制御回線を介して、拡張スイッチ１１とアプライアンス１４のそれぞれに接続されている。管理ホスト１５は、拡張スイッチ１１やアプライアンス１４を含むネットワークを集中管理する管理計算機であり、ネットワークの接続情報等を有している。

このネットワークシステム１には、複数の仮想ネットワークが収容される。但し、アプライアンス１４は、ネットワークの仮想化に対応していなくてもよい。また、アプライアンス１４は、ネットワークの仮想化に対応しているが、サポートしている仮想ネットワークの数が十分でなくてもよい。

拡張スイッチ１１は、転送テーブル２５を備えている。転送テーブル２５は、記憶装置に格納されている。転送テーブル２５は、０以上の転送エントリを有する。各転送エントリは、「マッチ条件」と「アクション」との対応関係を示す。「マッチ条件」は、パケットを識別するためのパケット識別情報を含む。例えば、パケット識別情報は、パケットの入力ポート、ＶＬＡＮ−ＩＤ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号などのパラメータのうち１つ又は複数の組み合わせで構成される。「アクション」は、マッチ条件にマッチするパケットに対して行われる処理（ヘッダ書き換え、ポート出力等）を示す。つまり、各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定する。拡張スイッチ１１は、ネットワークからパケットを受信すると、転送テーブル２５を参照し、当該受信パケットにマッチする転送エントリを検索する。そして、拡張スイッチ１１は、マッチする転送エントリ（ヒットエントリ）で指定されるアクションを、当該受信パケットに対して行う。

アプライアンス１４は、処理ルールテーブル３３を備えている。処理ルールテーブル３３は、記憶装置に格納されている。処理ルールテーブル３３は、０以上のルールエントリを有する。各ルールエントリは、「マッチ条件」と「処理ルール」との対応関係を示す。「マッチ条件」は、パケットを識別するためのパケット識別情報を含む。例えば、パケット識別情報は、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号などのパラメータのうち１つ又は複数の組み合わせで構成される。「処理ルール」は、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を示す。つまり、各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定する。アプライアンス１４は、パケットを受け取ると、処理ルールテーブル３３を参照し、当該受け取ったパケットにマッチするルールエントリを検索する。そして、アプライアンス１４は、マッチするルールエントリ（ヒットエントリ）で指定されるアプライアンス処理を実行する。

管理ホスト１５には、登録ルール４６が入力される。この登録ルール４６は、各仮想ネットワークに属するパケットに対してアプライアンス１４によって実行されるアプライアンス処理を規定する情報である。より詳細には、登録ルール４６は、パケット識別情報と処理ルールとの対応関係を示している。登録ルール４６中のパケット識別情報は、パケットが属する仮想ネットワークの識別子を含む。登録ルール４６中の処理ルールは、パケット識別情報にマッチするパケットに対してアプライアンス１４が実行するアプライアンス処理を示す。図１の例において、処理ルールＸは、パケット識別情報ＰＡにマッチするパケットに対してアプライアンス１４が実行するアプライアンス処理である。

管理ホスト１５は、登録ルール４６を受け取ると、「登録処理」を行う。登録処理において、管理ホスト１５は、受け取った登録ルール４６をアプライアンス１４に登録する。但し、登録ルール４６中のパケット識別情報は、仮想ネットワークの識別子を含んでおり、アプライアンス１４が解釈できない可能性がある。そこで、管理ホスト１５は、仮想ネットワークの識別子を含まないパケット識別情報、すなわち、アプライアンス１４が解釈可能なパケット識別情報を生成する。このパケット識別情報は、以下「変換後パケット識別情報」と参照される。一方、登録ルール４６で示されるパケット識別情報は、以下「変換前パケット識別情報」と参照される。

このように、管理ホスト１５は、登録ルール４６で示される「変換前パケット識別情報」に対応する「変換後パケット識別情報」を生成する。この変換後パケット識別情報は、仮想ネットワークの識別子を含まないが、異なる仮想ネットワーク間で重複しないように決定される。すなわち、管理ホスト１５は、仮想ネットワーク毎に異なる変換後パケット識別情報を決定する。図１の例において、変換前パケット識別情報ＰＡに対応する変換後パケット識別情報ＰＢが決定される。

登録処理において、管理ホスト１５は、アプライアンス１４の処理ルールテーブル３３に新たなルールエントリを追加する。このとき、管理ホスト１５は、新たなルールエントリの「マッチ条件」を、上記登録処理で得られた変換後パケット識別情報に設定する。また、管理ホスト１５は、新たなルールエントリの「処理ルール」を、登録ルール４６で示されるものに設定する。すなわち、追加される新たなルールエントリは、登録処理で得られた変換後パケット識別情報と、登録ルール４６で示される処理ルール（アプライアンス処理）との対応関係を示す。図１の例において、処理ルールテーブル３３の第１ルールエントリＥＲ１は、変換後パケット識別情報ＰＢと処理ルールＸとの対応関係を示している。

また、図１に示されるように、管理ホスト１５は、変換ポリシーテーブル４４を備えている。変換ポリシーテーブル４４は、記憶装置に格納されている。変換ポリシーテーブル４４は、０以上の変換エントリを有する。各変換エントリは、登録ルール４６で示される変換前パケット識別情報と、上記登録処理により決定された変換後パケット識別情報との対応関係を示す。管理ホスト１５は、登録ルール４６が入力されるたびに、新たな変換エントリを変換ポリシーテーブル４４に追加する。図１の例において、変換ポリシーテーブル４４の第１変換エントリＥＰ１は、変換前パケット識別情報ＰＡと変換後パケット識別情報ＰＢとの対応関係を示している。

以上に説明された状況で拡張スイッチ１１がネットワークから第１パケットＰＫＴ１を受信した場合を考える。第１パケットＰＫＴ１のパケット識別情報は、第１パケット識別情報Ｐ１である。このとき、第１パケットＰＫＴ１にマッチする転送エントリは未だ転送テーブル２５に設定されていないとする。この場合、拡張スイッチ１１は、第１パケット識別情報Ｐ１を管理ホスト１５に通知する。拡張スイッチ１１は、第１パケットＰＫＴ１そのものを管理ホスト１５に送ってもよい。

管理ホスト１５は、第１パケット識別情報Ｐ１を取得する。すると、管理ホスト１５は、第１パケット識別情報Ｐ１にマッチする変換前パケット識別情報を有する変換エントリを、変換ポリシーテーブル４４の中から検索する。言い換えれば、管理ホスト１５は、第１パケット識別情報Ｐ１を検索キーとして用いることによって、変換ポリシーテーブル４４の検索を行う。本例において、第１パケット識別情報Ｐ１は、上述の第１変換エントリＥＰ１の変換前パケット識別情報ＰＡにマッチするとする。この第１変換エントリＥＰ１の変換後パケット識別情報ＰＢは、以下、「第１変換後パケット識別情報ＰＢ」と参照される。

続いて、管理ホスト１５は、取得した第１パケット識別情報Ｐ１及び検索した第１変換エントリＥＰ１に基いて、拡張スイッチ１１の転送テーブル２５の設定を行う。具体的には、管理ホスト１５は、パケット識別情報（パケットヘッダ）の書き換えを行う転送エントリを転送テーブル２５に追加する。本例において追加される転送エントリは、第１転送エントリＥＴ１及び第２転送エントリＥＴ２である。

第１転送エントリＥＴ１の「マッチ条件」は、第１パケットＰＫＴ１の第１パケット識別情報Ｐ１にマッチする。第１転送エントリＥＴ１の「アクション」は、受信パケットに含まれる第１パケット識別情報Ｐ１を第１変換後パケット識別情報ＰＢに書き換え、且つ、当該書き換えにより得られるパケットをアプライアンス１４に向けて送信（転送）することである。

一方、第２転送エントリＥＴ２の「マッチ条件」は、第１変換後パケット識別情報ＰＢにマッチする。第２転送エントリＥＴ２の「アクション」は、受信パケットに含まれる第１変換後パケット識別情報ＰＢを第１パケット識別情報Ｐ１に書き換え、且つ、当該書き換えにより得られるパケットを第１パケットＰＫＴ１の宛先に向けて送信（転送）することである。

管理ホスト１５は、このような第１転送エントリＥＴ１及び第２転送エントリＥＴ２を設定するための「転送テーブル設定データ」を作成する。そして、管理ホスト１５は、その転送テーブル設定データを拡張スイッチ１１に送信する。拡張スイッチ１１は、管理ホスト１５から転送テーブル設定データを受け取る。拡張スイッチ１１は、その転送テーブル設定データに従って、第１転送エントリＥＴ１及び第２転送エントリＥＴ２を転送テーブル２５に設定する。

このようにして、拡張スイッチ１１の転送テーブル２５は、第１転送エントリＥＴ１及び第２転送エントリＥＴ２を有するようになる。この場合、拡張スイッチ１１が受信する第１パケットＰＫＴ１は、第１転送エントリＥＴ１のマッチ条件（Ｐ１）にマッチする。従って、拡張スイッチ１１は、第１転送エントリＥＴ１に従ってパケット処理を行う。具体的には、拡張スイッチ１１は、第１パケットＰＫＴ１の第１パケット識別情報Ｐ１を第１変換後パケット識別情報ＰＢに書き換え、それにより第１変換後パケットＰＫＴＢを生成する。更に、拡張スイッチ１１は、得られた第１変換後パケットＰＫＴＢを、アプライアンス１４に向けて送信（転送）する。

アプライアンス１４は、第１変換後パケットＰＫＴＢを受け取る。その第１変換後パケットＰＫＴＢは、処理ルールテーブル３３の第１ルールエントリＥＲ１のマッチ条件（ＰＢ）にマッチする。従って、アプライアンス１４は、第１ルールエントリＥＲ１に従って、第１変換後パケットＰＫＴＢに対してアプライアンス処理Ｘを実行する。その後、アプライアンス１４は、第１変換後パケットＰＫＴＢを拡張スイッチ１１に返送する。

拡張スイッチ１１は、第１変換後パケットＰＫＴＢを受信する。その第１変換後パケットＰＫＴＢは、第２転送エントリＥＴ２のマッチ条件（ＰＢ）にマッチする。従って、拡張スイッチ１１は、第２転送エントリＥＴ２に従ってパケット処理を行う。具体的には、拡張スイッチ１１は、第１変換後パケットＰＫＴＢの第１変換後パケット識別情報ＰＢを第１パケット識別情報Ｐ１に書き換え、それにより第１再生パケットＰＫＴ１’を生成する。この第１再生パケットＰＫＴ１’は、第１パケットＰＫＴ１と実質的に同じである。更に、拡張スイッチ１１は、得られた第１再生パケットＰＫＴ１’を、第１パケットＰＫＴ１の宛先に向けて送信（転送）する。

以上に説明されたように、本実施の形態によれば、アプライアンス１４の処理ルールテーブル３３では、異なる仮想ネットワーク間で重複しないように決定された「変換後パケット識別情報」が用いられる。「変換前パケット識別情報」と「変換後パケット識別情報」との間の変換処理は、転送テーブル２５中の転送エントリ（ＥＴ１、ＥＴ２）に組み込まれ、拡張スイッチ１１によって実行される。これにより、複数の仮想ネットワーク間でアプライアンス１４を共有することが可能となる。アプライアンス１４自体は、ネットワークの仮想化に対応していなくてもよい。また、アプライアンス１４は、ネットワークの仮想化に対応しているが、サポートしている仮想ネットワークの数が十分でなくてもよい。

また、アプライアンス１４は、一般的に、装置ベンダー独自のハードウェアプラットフォーム及びソフトウェア環境上で実現される。従って、アプライアンス１４のハードウェアやソフトウェアをユーザが変更することは一般的に不可能である。本実施の形態によれば、アプライアンス１４のハードウェア及びソフトウェアに変更を一切加える必要はない。変更を加えることなく、所望の数の仮想ネットワーク間でアプライアンス１４を共有することが可能である。

以下、本実施の形態を更に詳しく説明する。

２．構成例
２−１．全体構成
図２は、本実施の形態に係るネットワークシステム１の構成例を示している。ネットワークシステム１は、拡張スイッチ１１、アプライアンス１４、管理ホスト１５、ユーザ群１７１〜１７３、サーバ群１８１〜１８３、及びスイッチ１６１〜１６３を備えている。

ユーザ群１７１〜１７３の各々は、１つ以上のユーザ端末を含んでいる。図２では、各ユーザ群（１７１〜１７３）に関して、代表の１つのユーザ端末（１３１〜１３３）が示されている。また、サーバ群１８１〜１８３の各々は、１つ以上のサーバを含んでいる。図２では、各サーバ群（１８１〜１８３）に関して、代表の１つのサーバ（１２１〜１２３）が示されている。

ユーザ群１７１とサーバ群１８１は、仮想ネットワークＡに属している。ユーザ群１７２とサーバ群１８２は、仮想ネットワークＢに属している。ユーザ群１７３とサーバ群１８３は、仮想ネットワークＣに属している。異なる仮想ネットワーク間では、パケット識別情報（ＩＰアドレス等）が重複していてもよい。

スイッチ１６１〜１６３の各々は、既存のレイヤー２スイッチもしくはレイヤー３スイッチである。スイッチ１６１〜１６３の各々は、１台の物理的なスイッチである必要はなく、複数の物理的なスイッチから構成されるスイッチ群であってもよい。

２−２．拡張スイッチ１１
図３は、拡張スイッチ１１の構成例を示している。拡張スイッチ１１は、ネットワークインタフェース部２２１〜２２３、転送部２１、ホスト通信部２３、テーブル書き換え部２４、及び転送テーブル２５を備えている。ネットワークインタフェース部２２１〜２２３は、それぞれ、スイッチ１６１〜１６３に接続されており、スイッチ１６１〜１６３とのパケット送受信に使用される。ネットワークインタフェース部２２１、２２２、２２３には、それぞれ、ポート番号１、２、３が割り当てられているとする。

ネットワークインタフェース部によって受信されたパケットは、転送部２１に送られる。転送部２１は、受信パケットのパケット識別情報を検索キーとして用い、転送テーブル２５の検索を行う。検索キーにマッチする転送エントリが見つかった場合、転送部２１は、当該ヒットエントリに従って、パケットヘッダの書き換え及び指定された出力ポートへの出力を行う。一方、検索キーにマッチする転送エントリが見つからなかった場合、転送部２１は、ホスト通信部２３を介して、管理ホスト１５にパケット識別情報を送信する。

ホスト通信部２３は、管理ホスト１５とのデータ送受信を行う。管理ホスト１５から受信したデータに転送テーブル設定データが含まれている場合、ホスト通信部２３は、テーブル書き換え部２４に転送テーブル２５に登録すべきデータを渡す。テーブル書き換え部２４は、ホスト通信部２３からの指示に従って、転送テーブル２５の内容を更新する。また、管理ホスト１５から受信したデータにパケット送信指示が含まれている場合、ホスト通信部２３は、そのパケット情報を転送部２１に通知する。その場合、転送部２１は、ネットワークインタフェース部からパケットを受信した場合と同じ処理を行う。

図４は、転送テーブル２５の一例を示している。受信パケット情報を構成する各フィールドは、ネットワークシステム１において仮想ネットワークを識別するに足るフィールドの組み合わせであれば、任意の組み合わせを取ることが可能である。本実施の形態の説明では、受信パケット情報は、拡張スイッチ１１の受信ポート番号、ＶＬＡＮ−ＩＤ、ＳｒｃＩＰ（送信元ＩＰアドレス）、ＤｓｔＩＰ（宛先ＩＰアドレス）、ＳｒｃＰｏｒｔ（送信元ＴＣＰ／ＵＤＰポート）、ＤｓｔＰｏｒｔ（宛先ＴＣＰ／ＵＤＰポート）の組み合わせで表現されるものとする。「マッチ条件」として、図４で示されているもの以外にも、データリンク層のパケットヘッダ（送信元ＭＡＣアドレス、宛先ＭＡＣアドレス）、ＩＰヘッダのＩＰプロトコル番号等を利用してもよい。ヘッダ書き換えルールについても、図４で示されているものに限られない。出力ポート番号は、拡張スイッチ１１のネットワークインタフェース部２２１〜２２３に割り当てられたポート番号である。ヘッダ書き換えルールと出力ポート番号は、上述の「アクション」に相当する。

２−３．アプライアンス１４
アプライアンス１４は、ネットワークからパケットを受信すると、受信パケットのトランスポート層以下のパケット識別情報に基づいて、アプライアンス処理を行う。また、アプライアンス１４は、受信パケットの「５タプル情報（送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ＴＣＰ／ＵＤＰポート番号、宛先ＴＣＰ／ＵＤＰポート番号、ＩＰプロトコル番号）」を変更せずに、当該パケットをネットワークに送出する。本例におけるアプライアンス１４は、仮想ネットワークに対応していない。ここで「仮想ネットワークに対応していない」とは、仮想ネットワーク毎に独立したアプライアンス処理を指定できないことを意味する。アプライアンス１４の具体例としては、侵入検知防止システム（ＩＤＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ＆ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）やＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）高速化装置などが挙げられる。

図５は、アプライアンス１４の構成例を示している。アプライアンス１４は、ネットワークインタフェース部３１、アプライアンス処理部３２、処理ルールテーブル３３、及びホスト通信部３４を備えている。ネットワークインタフェース部３１は、スイッチ１６３経由で拡張スイッチ１１に接続されている。ネットワークインタフェース部３１により受信されたパケットは、アプライアンス処理部３２に送られる。

アプライアンス処理部３２は、アプライアンス１４が提供する機能（前述のＩＤＰＳやＷＡＮ高速化装置の機能）に応じたアプライアンス処理を行う。このアプライアンス処理部３２は、必要に応じて、受信パケットのパケット識別情報を検索キーとして用い、処理ルールテーブル３３の参照を行う。例えばＩＤＰＳの場合、アプライアンス処理部３２は、受信パケットのヘッダ情報に基づき、検査すべきシグネチャを取得する。ＷＡＮ高速化装置の場合、アプライアンス処理部３２は、受信パケットのヘッダ情報に基づき、受信パケットが属するフローのパラメータを取得したり、フロー状態を取得・更新したりする。

ホスト通信部３４は、管理ホスト１５に接続されている。ホスト通信部３４は、管理ホスト１５から登録すべきルールエントリを受信すると、受信したルールエントリを処理ルールテーブル３３に登録する。

図６Ａ〜図６Ｃは、処理ルールテーブル３３の例を示している。図６Ａ〜図６Ｃの例では、各ルールエントリの「マッチ条件」として、ＳｒｃＩＰ、ＤｓｔＩＰ、ＳｒｃＰｏｒｔ、及びＤｓｔＰｏｒｔの組み合わせが用いられている。但し、マッチ条件はそれに限られず、５タプル情報、データリンク層のヘッダや任意のパケットヘッダなどが用いられてもよい。尚、「固定フィールド」及び「可変フィールド」については、後に詳しく説明される。

２−４．管理ホスト１５
図７は、管理ホスト１５の構成例を示している。管理ホスト１５は、スイッチ通信部４１、フロー判定部４２、可変フィールド割り当てブロック４３、変換ポリシーテーブル４４、ルール設定部４５、アプライアンス通信部４７、登録ルールテーブル４８、及び固定フィールド割り当てブロック４９を備えている。

管理ホスト１５は、アプライアンス１４の処理ルールテーブル３３へのルール登録処理を行う。具体的には、ルール設定部４５は、各々の仮想ネットワークに関する登録ルール４６を受け取る。登録ルール４６は、例えば、キーボード等の入力デバイスにより入力される。また、登録ルール４６が記述された電子ファイルが、ディスクから読み込まれたり、ネットワーク経由で提供されてもよい。

図８は、登録ルール４６の例を示している。図８の例において、パケット識別情報は、仮想ネットワーク番号、ＳｒｃＩＰ、ＤｓｔＩＰ、ＳｒｃＰｏｒｔ、及びＤｓｔＰｏｒｔを含んでいる。仮想ネットワーク番号は、どの仮想ネットワークからの登録ルール４６であるかを示す。処理ルールは、アプライアンス１４に指定可能なアプライアンス処理であり、その内容はアプライアンス１４の機能に依存する。

ルール設定部４５は、受け取った登録ルール４６に基いて、仮想ネットワークに対応していないアプライアンス１４が解釈可能な処理ルールテーブル３３のルールエントリ（変換後パケット識別情報）を生成する。ルールエントリは、仮想ネットワークの区別も含めて、一意に識別される必要がある。ルールエントリの処理ルールは、上記登録ルール４６で指定された処理ルールと同じである。

本実施の形態では、ルールエントリのマッチ条件の構成要素は、「固定フィールド」と「可変フィールド」とに分類される。固定フィールドは、１以上の構成要素から成り、可変フィールドは、その他の構成要素から成る。図６Ａ〜図６Ｃで示された例では、ＤｓｔＩＰ、ＳｒｃＰｏｒｔ、ＤｓｔＰｏｒｔの３つのフィールドが固定フィールドであり、ＳｒｃＩＰが可変フィールドである。このような固定フィールドと可変フィールドの分類は、管理ホスト１５の動作開始時に決定され、管理ホスト１５の動作中は変更されることはない。尚、構成要素の１つがビット単位で分割され、当該１つの構成要素が固定フィールドと可変フィールドに分割されてもよい。例えば、ＤｓｔＩＰの上位２４ビットを固定フィールド、下位８ビットを可変フィールドに割り当てることもできる（ＤｓｔＩＰがＩＰｖ４のＩＰアドレスの場合）。

固定フィールドの値は、ルール設定部４５に登録ルール４６が入力された際に決定される。この固定フィールドには、仮想ネットワークの区別も含めて一意な値が割り当てる。つまり、固定フィールドには、異なる仮想ネットワーク間で重複しない値が割り当てられる。この割り当て処理を行うのが、固定フィールド割り当てブロック４９である。固定フィールド割り当てブロック４９は、他のルールエントリと重複しない一意な値を固定フィールドに割り当てる。一方、ルール設定部４５は、可変フィールドを、任意の値とマッチする“Ａｎｙ”に設定する。

このようにして、ルール設定部４５は、他と重複しない一意なルールエントリを、入力された登録ルール４６に対応するルールエントリとして決定する。そして、ルール設定部４５は、決定したルールエントリを、アプライアンス通信部４７を介してアプライアンス１４に送信し、それにより、当該ルールエントリをアプライアンス１４の処理ルールテーブル３３に登録する。更に、ルール設定部４５は、登録ルール４６のパケット識別情報（変換前パケット識別情報）と決定したルールエントリのマッチ条件（変換後パケット識別情報）との対応関係を、変換ポリシーテーブル４４に登録する。

図９Ａ〜図９Ｃは、変換ポリシーテーブル４４の例を示している。変換ポリシーテーブル４４の各変換エントリは、変換前パケット識別情報、変換後パケット識別情報、登録ルール番号（登録ルールテーブル４８（後述される）に登録されたエントリの番号）、及び処理ルールエントリ番号（アプライアンス１４の処理ルールテーブル３３に登録されたルールエントリの番号）を含んでいる。

変換ポリシーテーブル４４の検索では、変換前パケット識別情報が検索キーとして用いられ、検索結果として変換後パケット情報が得られる。仮想ネットワーク番号は、スイッチ通信部４１が受信するパケット識別情報から決定することができる。例えば、タグ付きＶＬＡＮで仮想ネットワークが識別されている場合には、ＶＬＡＮ−ＩＤを用いて仮想ネットワーク番号を決定することができる。また、パケット識別情報と仮想ネットワーク番号との対応テーブルが別途用意され、参照されてもよい。この変換ポリシーテーブル４４の検索では、優先度が設けられている。具体的には、図９Ａ〜図９Ｃにおいて上位のエントリから順にマッチングが行われ、最初に一致するエントリが見つかった場合に検索を終了する。

更に、ルール設定部４５は、入力された登録ルール４６を登録ルールテーブル４８に追加登録する。図１０Ａ〜図１０Ｃは、登録ルールテーブル４８の例を示している。登録ルールテーブル４８の各エントリは、ルール設定部４５に入力された登録ルール４６そのものと、上記変換ポリシーテーブル４４に登録された対応する変換エントリの番号とを含んでいる。

また、管理ホスト１５は、拡張スイッチ１１からの要求に応答して、拡張スイッチ１１の転送テーブル２５の設定を行う。具体的には次の通りである。

スイッチ通信部４１は、拡張スイッチ１１と接続されており、拡張スイッチ１１との間でデータ送受信を行う。スイッチ通信部４１は、拡張スイッチ１１から、受信パケットのパケット識別情報を受け取り、そのパケット識別情報をフロー判定部４２に渡す。

フロー判定部４２は、受け取ったパケット識別情報を検索キーとして用いることにより、上述の変換ポリシーテーブル４４の検索を行う。それにより、フロー判定部４２は、パケット識別情報に対応した「変換後パケット識別情報」を取得する。上述の通り、変換後パケット識別情報には、可変フィールド（Ａｎｙ）が含まれている。この段階で、可変フィールドには、割り当て済みの値と重複しない一意な値が割り当てられる。この割り当て処理を行うのが、可変フィールド割り当てブロック４３である。

可変フィールド割り当てブロック４３は、各仮想ネットワークに関して割り当て済みの可変フィールドの値を管理する。そして、可変フィールド割り当てブロック４３は、フロー判定部４２からの要求に応じて、同一仮想ネットワーク内で他と重複しない値を可変フィールドに割り当てる。本例では、可変フィールドはＳｒｃＩＰであり、可変フィールド割り当てブロック４３は、仮想ネットワーク内で他と重複しない値をＳｒｃＩＰに割り当てられる。

フロー判定部４２は、このようにして得られた変換後パケット識別情報に基いて、拡張スイッチ１１の転送テーブル２５に登録する転送エントリを生成する。その転送エントリは、受信パケットのパケット識別情報を変換後パケット識別情報に書き換えること、あるいは、その逆を指示する。そして、フロー判定部４２は、転送エントリの設定を指示する転送エントリ設定データを生成する。フロー判定部４２は、転送エントリ設定データとパケット送出指示を、スイッチ通信部４１を通して拡張スイッチ１１に送信する。

このように、本実施の形態によれば、管理ホスト１５がアプライアンス１４及び拡張スイッチ１１のテーブル設定を行う。それにより、複数の仮想ネットワークが収容されるネットワーク環境において、ネットワークの仮想化の対応していないアプライアンスであっても、複数の仮想ネットワークで共有することが可能となる。

３．処理フロー
以上に説明された構成例の場合の処理の一例を説明する。本例では、図１１に示されるように、各仮想ネットワークのユーザ群からサーバ群に向かう方向のパケット列に対して、アプライアンス１４によるアプライアンス処理が適用され、逆方向のパケット列に対しては、アプライアンス処理が適用されないとする。

異なる仮想ネットワーク間では、ＩＰアドレス等、ネットワーク層の端末識別情報が重複していてもよい。本例では、仮想ネットワークＡ〜Ｃのそれぞれに属するユーザ端末１３１〜１３３はいずれも同じＩＰアドレス１９２．１６８．０．１を持っている。同様に、仮想ネットワークＡ〜Ｃのそれぞれに属するサーバ１２１〜１２３はいずれも同じＩＰアドレス１７２．１６．１．１を持っている。また、仮想ネットワークの識別はＶＬＡＮ−ＩＤで行われ、仮想ネットワークＡ、Ｂ、ＣのそれぞれにＶＬＡＮ−ＩＤとして１、２、３が割り当てられている。

３−１．ルール登録
以下、管理ホスト１５によるルール登録処理を説明する。初期状態では、管理ホスト１５の登録ルールテーブル４８と変換ポリシーテーブル４４、アプライアンス１４の処理ルールテーブル３３、及び拡張スイッチ１１の転送テーブル２５のいずれにもエントリは登録されていない。図１２Ａ及び図１２Ｂは、登録ルール４６が管理ホスト１５に入力された場合の処理フローを示している。

＜登録エントリ４６１＞
まず、図８中に示される「仮想ネットワークＡに関する登録エントリ４６１」が管理ホスト１５に入力された場合を説明する。

ルール設定部４５は、登録エントリ４６１を受け取る（ステップＳ８０１）。ルール設定部４５は、受け取った登録エントリ４６１を、登録ルールテーブル４８に登録する（ステップＳ８０２）。ここでは、図１０Ａ中のエントリ４８１が登録される。但しこの段階では、エントリ４８１の変換ポリシーテーブルエントリ番号はまだ確定していない。

次に、ルール設定部４５は、登録ルールテーブル４８を参照して、登録エントリ４６１と登録済みの既存エントリとの間で検索キー（パケット識別情報）の重なりがあるか否かを判定する（ステップＳ８０３）。ここでは、仮想ネットワーク番号も比較対象とする。登録エントリ４６１の登録時には既存エントリはまだ無いため、判定結果はＮＯとなる（ステップＳ８０３；ＮＯ）。この場合、ルール設定部４５は、登録エントリ４６１を登録対象ルールリストに追加する（ステップＳ８０８）。また、ルール設定部４５は、削除対象ルールリストを空に設定する（ステップＳ８０９）。その後、処理は、登録フロー（ステップＳ８１）に進む。

図１３Ａ及び図１３Ｂは、登録フロー（ステップＳ８１）を示している。登録フローでは、登録対象ルールリストに含まれる全てのエントリの各々に関して、処理ルールテーブル３３のエントリ生成、変換ポリシーテーブル４４のエントリ生成、及び登録ルールテーブル４８の更新が行われる。

ルール設定部４５は、登録対象ルールリストの先頭エントリを取り出す（ステップＳ８１０）。本例では、登録エントリ４６１が対象エントリとなる。ステップＳ８１１〜Ｓ８１４において、ルール設定部４５は、登録エントリ４６１に対応するルールエントリを生成し、そのルールエントリをアプライアンス１４の処理ルールテーブル３３に設定する。ここでは、図６Ａに示されるルールエントリ３３１が設定される。登録エントリ４６１の処理ルール（Ｘ）が、ルールエントリ３３１の処理ルールにそのままコピーされている（ステップＳ８１１）。固定フィールド（ＤｓｔＩＰ、ＳｒｃＰｏｒｔ、ＤｓｔＰｏｒｔ）には、固定フィールド割り当てブロック４９によって、（１０．０．１．１，１００００，８０）が割り当てられている（ステップＳ８１２）。可変フィールド（ＳｒｃＩＰ）は、Ａｎｙに設定されている（ステップＳ８１３）。このようにして決定されたルールエントリ３３１が、アプライアンス１４の処理テーブル３３に設定される（ステップＳ８１４）。

ステップＳ８１５〜Ｓ８１９において、ルール設定部４５は、変換ポリシーテーブル４４に新たな変換エントリを登録する。ここでは、図９Ａに示される変換エントリ４４１が登録される。登録ルール番号は、登録ルールテーブル４８に登録されたエントリ番号４８１に設定されている（ステップＳ８１５）。登録エントリ４６１のパケット識別情報が、変換前フィールドにコピーされている（ステップＳ８１６）。上記ステップＳ８１１〜Ｓ８１４で決定されたルールエントリ３３１の検索キー（マッチ条件）が、変換後フィールドにコピーされている（ステップＳ８１７）。また、そのルールエントリの番号３３１が、処理ルールエントリ番号に設定されている（ステップＳ８１８）。このようにして決定された変換エントリ４４１が、エントリを変換ポリシーテーブル４４に登録される（ステップＳ８１９）。

更に、ルール設定部４５は、登録ルールテーブル４８中のエントリ４８１の変換ポリシーテーブルエントリ番号を、ステップＳ８１９で登録された変換エントリの番号４４１に設定する（ステップＳ８２０）。

再度図１２Ｂを参照して、登録対象ルールリストに他の登録エントリは含まれていない（ステップＳ８２１；Ｎｏ）。従って、登録フローは完了し、処理はステップＳ８２２に進む。この時点では、削除対象ルールリストは空である（ステップＳ８２２；Ｎｏ）。従って、処理は終了する。

＜登録エントリ４６２、４６３＞
次に、図８中に示される「仮想ネットワークＢに関する登録エントリ４６２」が管理ホスト１５に入力される。このとき、上述の登録エントリ４６１の場合と同様に、ルール登録処理が行われる。続いて、図８中に示される「仮想ネットワークＣに関する登録エントリ４６３」が管理ホスト１５に入力される。このときも、上述の登録エントリ４６１の場合と同様に、ルール登録処理が行われる。結果として、アプライアンス１４の処理ルールテーブル３３の内容は、図６Ａで示されるようになる。管理ホスト１５の変換ポリシーテーブル４４及び登録ルールテーブル４８の内容は、それぞれ図９Ａ及び図１０Ａに示されるようになる。

＜登録エントリ４６４＞
次に、図８中に示される「仮想ネットワークＡに関する登録エントリ４６４」が管理ホスト１５に入力される。ステップＳ８０２において、登録エントリ４６４に対応するエントリ４８４（図１０Ｂ参照）が登録ルールテーブル４８に登録される。

ルール設定部４５は、登録ルールテーブル４８を参照して、登録エントリ４６４と登録済みの既存エントリ４８１〜４８３との間で検索キー（パケット識別情報）の重なりがあるか否かを判定する（ステップＳ８０３）。このとき、検索キーのＮ個の構成要素からなるＮ次元空間における重なりが判定される。本例では、仮想ネットワーク番号、ＳｒｃＩＰ、ＤｓｔＩＰ、ＳｒｃＰｏｒｔ、ＤｓｔＰｏｒｔの５次元空間における重なりが判定される。本例では、登録エントリ４６４と既存エントリ４８１とは、重複空間「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４、ＤｓｔＩＰ＝１７２．１６．１．２、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０」において重なっている（ステップＳ８０３；Ｙｅｓ）。この場合、処理はステップＳ８０４に進む。

ルール設定部４５は、重複関係にある登録エントリ４６４と既存エントリ４８１に関して、分解処理を行う（ステップＳ８０４）。具体的には、登録エントリ４６４及び既存エントリ４８１の検索キーの空間が、重複空間と非重複空間に分割される。本例の場合、分解処理の結果は次の通りである。

（１）登録エントリ４６４と既存エントリ４８１の重複空間＝「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４、ＤｓｔＩＰ＝１７２．１６．１．２、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０」
（２）登録エントリ４６４の非重複空間＝「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４、ＤｓｔＩＰ＝１７２．１６．１．２以外の１７２．１６．１．０／２４、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０」
（３）既存エントリ４８１の非重複空間＝「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４以外のＡｎｙ、ＤｓｔＩＰ＝１７２．１６．１．２、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０」

ルール設定部４５は、上記分解処理により得られた３つの空間（１）〜（３）のそれぞれに対応する分解エントリ＜１＞〜＜３＞を生成する。それら分解エントリ＜１＞〜＜３＞は、次の通りである。

＜１＞「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４、ＤｓｔＩＰ＝１７２．１６．１．２、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０、処理ルール＝Ｘ，Ｘ２、登録ルール番号＝４８１、４８４」
＜２＞「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４、ＤｓｔＩＰ＝１７２．１６．１．２以外の１７２．１６．１．０／２４、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０、処理ルール＝Ｘ２、登録ルール番号＝４８４」
＜３＞「仮想ＮＷ番号＝Ａ、ＳｒｃＩＰ＝１９２．１６８．０．０／２４以外のＡｎｙ、ＤｓｔＩＰ＝１７２．１６．１．２、ＳｒｃＰｏｒｔ＝Ａｎｙ、ＤｓｔＰｏｒｔ＝８０、処理ルール＝Ｘ、登録ルール番号＝４８１」

ルール設定部４５は、これら分解エントリ＜１＞〜＜３＞を登録対象ルールリストに追加する（ステップＳ８０６）。また、ルール設定部４５は、重複空間を有していた既存エントリ４８１を、削除対象ルールリストに追加する（ステップＳ８０７）。その後、処理は、登録フロー（ステップＳ８１）に進む。

ステップＳ８１において、分解エントリ＜１＞〜＜３＞の各々に対して、図１３Ａ及び図１３Ｂで示された登録処理が実施される。その結果、アプライアンス１４の処理ルールテーブル３３には、図６Ｂに示されるようなルールエントリ３３４〜３３６が登録される。また、変換ポリシーテーブル４４には、図９Ｂに示されるような変換エントリ４４４〜４４６が登録される。

その後、処理はステップＳ８２２に進む。今回は、削除対象ルールリストに対象エントリ４８１が含まれている（ステップＳ８２２；Ｙｅｓ）。この場合、処理は、削除フロー（ステップＳ８２）に進む。削除フローでは、削除対象ルールリストに含まれる全てのエントリの各々に関して、次の処理が実施される。

図１４は、削除フロー（ステップＳ８２）を示している。ルール設定部４５は、削除対象ルールリストの先頭エントリを取り出す（ステップＳ８２３）。本例では、既存エントリ４８１が対象エントリとなる。登録ルールテーブル４８に示されるように、この対象エントリ４８１に対応する変換エントリは、変換エントリ４４１である。ルール設定部４５は、この変換エントリ４４１を変換ポリシーテーブル４４から削除する（ステップＳ８２４）。削除された変換エントリ４４１の固定フィールドの値は、固定フィールド割り当てブロック４９に通知され、未使用に戻される。

ステップＳ８２５では、ルール設定部４５は、拡張スイッチ１１に対して、転送テーブル２５中の対応する転送エントリを削除するよう指示する。具体的には、ルール設定部４５は、削除された変換エントリ４４１の変換前パケット識別情報及び変換後パケット識別情報にマッチする転送エントリを削除するよう指示する。

ステップＳ８２６では、ルール設定部４５は、アプライアンス１４に対して、処理ルールテーブル３３中の対応するルールエントリを削除するよう指示する。図９Ａに示されるように、削除された変換エントリ４４１に対応するルールエントリは、ルールエントリ３３１である。従って、ルール設定部４５は、アプライアンス１４に対してルールエントリ３３１を削除するよう指示する。

対象エントリ４８１に関する削除処理が完了すると、削除対象ルールリストは空になる（ステップＳ８２２；Ｎｏ）。従って、処理は終了する。結果として、アプライアンス１４の処理ルールテーブル３３の内容は、図６Ｂで示されるようになる。管理ホスト１５の変換ポリシーテーブル４４及び登録ルールテーブル４８の内容は、それぞれ図９Ｂ及び図１０Ｂで示されるようになる。

＜登録エントリ４６５＞
最後に、図８中に示される「仮想ネットワークＡに関する登録エントリ４６５」が管理ホスト１５に入力される。このとき、上述の登録エントリ４６１の場合と同様に、ルール登録処理が行われる。結果として、アプライアンス１４の処理ルールテーブル３３の内容は、図６Ｃで示されるようになる。管理ホスト１５の変換ポリシーテーブル４４及び登録ルールテーブル４８の内容は、それぞれ図９Ｃ及び図１０Ｃに示されるようになる。

３−２．パケット処理
次に、パケット処理を説明する。例として、仮想ネットワークＢにおいて、ユーザ端末１３２がサーバ１２２へパケットを送信する場合を考える。この時点で、拡張スイッチ１１の転送テーブル２５には転送エントリが登録されていないとする。また、処理ルールテーブル３３、変換ポリシーテーブル４４、及び登録ルールテーブル４８は、それぞれ図６Ｃ、図９Ｃ、及び図１０Ｃで示されるようになっているとする。

ユーザ端末１３２からサーバ１２２に向けて送信されたパケットのヘッダは、「ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１９２．１６８．０．１、ＤｓｔＩＰ＝１７２．１６．１．１、ＳｒｃＰｏｒｔ＝２３４５６、ＤｓｔＰｏｒｔ＝８０」である。このパケットが、ユーザ端末１３２からスイッチ１６１を経由し、拡張スイッチ１１のポート１に到着する。

図１５は、拡張スイッチ１１によるパケット転送処理を示すフローチャートである。拡張スイッチ１１の転送部２１は、ネットワークインタフェース部２２１（ポート１）からパケットを受信する。転送部２１は、受信パケット情報を検索キーとして用いることにより、転送テーブル２５の検索を行う（ステップＳ５１）。ここでの検索キーは、「受信ポート＝１、ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１９２．１６８．０．１、ＤｓｔＩＰ＝１７２．１６．１．１、ＳｒｃＰｏｒｔ＝２３４５６、ＤｓｔＰｏｒｔ＝８０」である。最初の段階では、ヒットエントリは存在しない（ステップＳ５２；Ｎｏ）。この場合、処理はステップＳ５６に進む。ステップＳ５６において、転送部２１は、受信パケット情報を、ホスト通信部２３を介して管理ホスト１５に送信する。

図１６は、管理ホスト１５による転送テーブル設定指示処理を示すフローチャートである。管理ホスト１５のフロー判定部４２は、スイッチ通信部４１を通して受信パケット情報を受け取る（ステップＳ７０）。フロー判定部４２は、最初に受信パケット情報に含まれるパケット識別情報を元に仮想ネットワーク番号を決定する（ステップＳ７１）。ここでは、受信パケット情報に含まれるＶＬＡＮ−ＩＤと仮想ネットワーク番号の対応付けを保持したテーブルがあらかじめ用意されているものとし、このテーブルを参照すると、受信パケット情報に含まれるＶＬＡＮ−ＩＤが１であれば仮想ネットワーク番号としてＡが、２であればＢが、３であればＣが得られるものとする。但し、受信パケット情報に含まれるパケット識別情報から仮想ネットワーク番号を決定するための方法は、これに限定されない。

次に、フロー判定部４２は、受信パケット情報を検索キーとして用いることにより、変換ポリシーテーブル４４（図９Ｃ参照）の検索を行う（ステップＳ７２）。ここでの検索キーは、「仮想ネットワーク番号＝Ｂ、ＳｒｃＩＰ＝１９２．１６８．０．１、ＤｓｔＩＰ＝１７２．１６．１．１、ＳｒｃＰｏｒｔ＝２３４５６、ＤｓｔＰｏｒｔ＝８０」である。本例では、変換エントリ４４２がヒットする（ステップＳ７３；Ｙｅｓ）。この場合、処理はステップＳ７５に進む。

ヒットした変換エントリ４４２の変換後パケット識別情報は、可変フィールド（ＳｒｃＩＰ＝Ａｎｙ）と固定フィールド（ＤｓｔＩＰ＝１０．０．２．１、ＳｒｃＰｏｒｔ＝２００００、ＤｓｔＰｏｒｔ＝８０）を有している。ステップＳ７５において、フロー判定部４２は、可変フィールド割り当てブロック４３に対して、可変フィールドに一意の値を割り当てるよう要求する。本例では、「ＳｒｃＩＰ＝１．２．３．４」が可変フィールドに割り当てられたとする。この段階で、変換後パケット識別情報は、「ＳｒｃＩＰ＝１．２．３．４、ＤｓｔＩＰ＝１０．０．２．１、ＳｒｃＰｏｒｔ＝２００００、ＤｓｔＰｏｒｔ＝８０」となる。

次に、ステップＳ７６において、フロー判定部４２は、拡張スイッチ１１の転送テーブル２５に設定すべき転送エントリの情報を作成する。このとき、既出の図１で示されたように、第１転送エントリＥＴ１（順方向エントリ）と第２転送エントリＥＴ２（逆方向エントリ）が作成される。本例の場合、図４中の転送エントリ２５２１が第１転送エントリＥＴ１であり、転送エントリ２５２２が第２転送エントリＥＴ２である。

第１転送エントリＥＴ１としての転送エントリ２５２１は、次の通りである。マッチ条件には、拡張スイッチ１１から送られてきた受信パケット情報がコピーされている。ヘッダ書き換えルールには、ステップＳ７５で決定された変換後パケット情報がコピーされている。出力ポート番号は、アプライアンス１４に向かうポート３に設定されている。

第２転送エントリＥＴ２としての転送エントリ２５２２は、次の通りである。受信ポートは、アプライアンス１４に向かうポート３に設定されている。仮想ネットワーク番号は“Ａｎｙ（Ｄｏｎ’ｔ Ｃａｒｅ）”に設定されている。その他のマッチ条件は、ステップＳ７５で決定された変換後パケット情報に設定されている。ヘッダ書き換えルールには、拡張スイッチ１１から送られてきた受信パケット情報がコピーされている。出力ポート番号は、宛先サーバ１２２に向かうポート２に設定されている。

フロー判定部４２は、このような転送エントリ２５２１、２５２２の設定を指示する転送テーブル設定データを作成する（ステップＳ７６）。そして、フロー判定部４２は、転送テーブル設定データ及びパケット送信指示を、スイッチ通信部４１を通して拡張スイッチ１１に送信する（ステップＳ７８）。パケット送信指示は、拡張スイッチ１１から受信したパケット情報に対応するパケットを送出することを指示する。

図１７は、拡張スイッチ１１による転送テーブル設定処理を示すフローチャートである。拡張スイッチ１１のホスト通信部２３は、管理ホスト１５からデータを受け取る。管理ホスト１５から受け取ったデータには、転送テーブル設定データが含まれている（ステップＳ６１；Ｙｅｓ）。従って、テーブル書き換え部２４は、その転送テーブル設定データに従って、転送エントリ２５２１、２５２２を転送テーブル２５に登録する（ステップＳ６２）。また、管理ホスト１５から受け取ったデータには、パケット送信指示が含まれている（ステップＳ６３；Ｙｅｓ）。従って、転送部２１は、そのパケット送信指示に従って、パケット送信処理を行う（ステップＳ６４）。

パケット送信処理（ステップＳ６４）は、既出の図１５で示されたフローに従って実行される。この段階では、検索キー「受信ポート＝１、ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１９２．１６８．０．１、ＤｓｔＩＰ＝１７２．１６．１．１、ＳｒｃＰｏｒｔ＝２３４５６、ＤｓｔＰｏｒｔ＝８０」にマッチする転送エントリ２５２１が、転送テーブル２５中に存在する。すなわち、転送エントリ２５２１がヒットする（ステップＳ５２；Ｙｅｓ）。この場合、処理はステップＳ５３に進む。

ステップＳ５３において、転送部２１は、ヒットエントリ２５２１で指定されたヘッダ書き換えを行う。ヒットエントリ２５２１に従って、書き換え後のヘッダは、「ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１．２．３．４、ＤｓｔＩＰ＝１０．０．２．１、ＳｒｃＰｏｒｔ＝２００００、ＤｓｔＰｏｒｔ＝８０」となる。また、ステップＳ５４において、転送部２１は、ヒットエントリ２５２１で指定された出力ポート番号＝３を取得する。そして、ステップＳ５５において、転送部２１は、ヘッダ書き換え後のパケット（図１中の第１変換後パケットＰＫＴＢに相当）を、ポート３（ネットワークインタフェース部２２３）から送信する。

アプライアンス１４のネットワークインタフェース部３１は、拡張スイッチ１１から転送されたパケットを受け取る。アプライアンス処理部３２は、受け取ったパケットのヘッダを検索キーとして用いることにより、処理ルールテーブル３３の検索を行う。ここでの検索キーは、「ＳｒｃＩＰ＝１．２．３．４、ＤｓｔＩＰ＝１０．０．２．１、ＳｒｃＰｏｒｔ＝２００００、ＤｓｔＰｏｒｔ＝８０」である。従って、図６Ｃ中のルールエントリ３３２がヒットする。アプライアンス処理部３２は、ルールエントリ３３２で指定された処理ルールＹに基づき、アプライアンス処理を実行する。その後、アプライアンス処理部３２は、ネットワークインタフェース部３１を通してパケットをネットワークに送出する。このとき、５タプル情報（送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ＴＣＰ／ＵＤＰポート番号、宛先ＴＣＰ／ＵＤＰポート番号、ＩＰプロトコル番号）は変更されない。

アプライアンス１４から送出されたパケットは、スイッチ１６３を経由して、拡張スイッチ１１のポート３に到達する。拡張スイッチ１１の転送部２１は、ネットワークインタフェース部２２３（ポート３）からパケットを受信する。転送部２１は、受信パケット情報を検索キーとして用いることにより、転送テーブル２５の検索を行う（ステップＳ５１）。ここでの検索キーは、「受信ポート＝３、ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１．２．３．４、ＤｓｔＩＰ＝１０．０．２．１、ＳｒｃＰｏｒｔ＝２００００、ＤｓｔＰｏｒｔ＝８０」である。この場合、転送エントリ２５２２（逆方向エントリ）がヒットする（ステップＳ５２；Ｙｅｓ）。従って、処理はステップＳ５３に進む。

ステップＳ５３において、転送部２１は、ヒットエントリ２５２２で指定されたヘッダ書き換えを行う。ヒットエントリ２５２２に従って、書き換え後のヘッダは、「ＶＬＡＮ−ＩＤ＝２、ＳｒｃＩＰ＝１９２．１６８．０．１、ＤｓｔＩＰ＝１７２．１６．１．１、ＳｒｃＰｏｒｔ＝２３４５６、ＤｓｔＰｏｒｔ＝８０」となる。また、ステップＳ５４において、転送部２１は、ヒットエントリ２５２２で指定された出力ポート番号＝２を取得する。そして、ステップＳ５５において、転送部２１は、ヘッダ書き換え後のパケット（図１中の第１再生パケットＰＫＴ１’に相当）を、ポート２（ネットワークインタフェース部２２２）から送信する。そのパケットは、スイッチ１６２を経由して宛先サーバ１２２に到達する。

仮想ネットワークＡや仮想ネットワークＣの場合の処理も、基本的には同様である。但し、変換後パケット情報は他と重複しないように一意に決定される。異なる仮想ネットワーク間で端末やサーバのＩＰアドレスが同じであっても、拡張スイッチ１１におけるヘッダ書き換え処理により、アプライアンス１４に到達するパケットではＩＰアドレスが仮想ネットワーク毎に異なっている。従って、仮想ネットワークに対応していないアプライアンス１４を、複数の仮想ネットワークで共有することが可能となる。このとき、アプライアンス１４に対して変更を加える必要は一切ない。

尚、通常のＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置やＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）装置では、外部からアドレス変換ルールを設定することができない。そのため、本実施の形態のように管理ホスト１５においてアプライアンス１４に応じたアドレス変換ルール（変換ポリシーテーブル４４）を生成し、そのアドレス変換ルールに基づいて拡張スイッチ１１においてアドレス変換を行うことができない。

また、上記実施の形態では、アプライアンス１４が仮想ネットワークに対応していない場合を例として説明を行ったが、アプライアンス１４が仮想ネットワークには対応している場合には、次のように拡張することで、上記実施の形態を適用することが可能である。アプライアンス１４において、パケットヘッダ内に含まれるＶＬＡＮ−ＩＤなどの仮想ネットワーク識別用に専用に用意された仮想ネットワーク識別子により仮想ネットワークが識別される場合は、一般に処理ルールテーブル３３（図６Ａ〜６Ｃ）の検索キーとして仮想ネットワーク識別子を指定することができる。処理ルールテーブル３３の検索キーとして仮想ネットワーク識別子としてＶＬＡＮ−ＩＤを追加で用いる場合には、管理ホスト１５の変換ポリシーテーブル４４の変換後フィールドおよび拡張スイッチ１１のヘッダ書き換えルールにＶＬＡＮ−ＩＤフィールドを追加する。なお、管理ホスト１５の変換ポリシーテーブル４４の変換後フィールドに追加したＶＬＡＮ−ＩＤフィールドは、可変フィールド、固定フィールドのいずれに含めてもよい。また、アプライアンス１４が、パケットヘッダ内に含まれるＶＬＡＮ−ＩＤなどの仮想ネットワーク識別用に専用に用意された仮想ネットワーク識別子による仮想ネットワークの識別を行わない場合は、上記の実施の形態を変更することなく適用することが可能である。前記の拡張を行うことで、アプライアンス１４が仮想ネットワークに対応していない場合だけでなく、仮想ネットワークに対応しているが対応する仮想ネットワーク数が十分でない場合についても本発明を適用することが可能となる。

以上、本発明の実施の形態が添付の図面を参照することにより説明された。但し、本発明は、上述の実施の形態に限定されず、要旨を逸脱しない範囲で当業者により適宜変更され得る。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
アプライアンスと、
ネットワークを介して前記アプライアンスに接続されたスイッチと、
前記アプライアンス及び前記スイッチに接続された管理計算機と
を備え、
パケット識別情報は、パケットを識別するための情報であり、
前記管理計算機は、変換ポリシーテーブルを備え、
前記変換ポリシーテーブルの各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示し、
前記変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含む前記パケット識別情報であり、
前記変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定される前記パケット識別情報であり、
前記アプライアンスは、処理ルールテーブルを備え、
前記処理ルールテーブルの各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定し、
前記アプライアンスは、パケットを受け取ると前記処理ルールテーブルを参照し、前記受け取ったパケットにマッチするルールエントリで指定された前記アプライアンス処理を実行し、
前記スイッチは、転送テーブルを備え、
前記転送テーブルの各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、受信パケットを受け取ると前記転送テーブルを参照し、前記受信パケットにマッチする転送エントリで指定される前記アクションを前記受信パケットに対して行い、
前記管理計算機は、前記スイッチが前記変換前パケット識別情報にマッチする前記受信パケットの前記パケット識別情報を前記変換後パケット識別情報に書き換えるように、前記スイッチの前記転送テーブルを設定し、
前記管理計算機は、前記アプライアンスの前記処理ルールテーブルの前記マッチ条件を、前記変換後パケット識別情報に設定する
ネットワークシステム。

（付記２）
付記１に記載のネットワークシステムであって、
前記管理計算機は、前記変換前パケット識別情報と前記アプライアンス処理との対応関係を示す登録ルールを受け取ると登録処理を行い、
前記登録処理は、
前記登録ルールで示される前記変換前パケット識別情報に対応する前記変換後パケット識別情報を決定することと、
前記登録ルールで示される前記変換前パケット識別情報と前記決定された変換後パケット識別情報との対応関係を示す新たな変換エントリを、前記変換ポリシーテーブルに追加することと、
前記決定された変換後パケット識別情報と前記登録ルールで示される前記アプライアンス処理との対応関係を示す新たなルールエントリを、前記アプライアンスの前記処理ルールテーブルに追加することと
を含む
ネットワークシステム。

（付記３）
付記２に記載のネットワークシステムであって、
第１パケットの前記パケット識別情報は、第１パケット識別情報であり、
前記第１パケット識別情報は、前記変換ポリシーテーブルの第１変換エントリの前記変換前パケット識別情報にマッチし、
前記第１変換エントリの前記変換後パケット識別情報は、第１変換後パケット識別情報であり、
前記処理ルールテーブルは、第１ルールエントリを有し、
前記第１ルールエントリの前記マッチ条件は、前記第１変換後パケット識別情報にマッチし、
前記転送テーブルは、第１転送エントリを有し、
前記第１転送エントリの前記マッチ条件は、前記第１パケット識別情報にマッチし、
前記第１転送エントリの前記アクションは、前記受信パケットに含まれる前記第１パケット識別情報を前記第１変換後パケット識別情報に書き換え、且つ、当該書き換えにより得られる第１変換後パケットを前記アプライアンスに向けて送信することであり、
前記スイッチは、前記第１パケットを受け取ると、前記第１転送エントリに従って前記第１パケットを処理し、前記第１変換後パケットを前記アプライアンスに向けて送信し、
前記アプライアンスは、前記第１変換後パケットを受け取ると、前記第１ルールエントリに従って、前記第１変換後パケットに対して前記アプライアンス処理を実行する
ネットワークシステム。

（付記４）
付記３に記載のネットワークシステムであって、
前記転送テーブルは更に、第２転送エントリを有し、
前記第２転送エントリの前記マッチ条件は、前記第１変換後パケット識別情報にマッチし、
前記第２転送エントリの前記アクションは、前記受信パケットに含まれる前記第１変換後パケット識別情報を前記第１パケット識別情報に書き換え、且つ、当該書き換えにより得られる第１再生パケットを前記第１パケットの宛先に向けて送信することであり、
前記アプライアンスは、前記第１変換後パケットに対する前記アプライアンス処理の後、前記第１変換後パケットを前記スイッチに送信し、
前記スイッチは、前記第１変換後パケットを受け取ると、前記第２転送エントリに従って前記第１変換後パケットを処理し、前記第１再生パケットを前記宛先に向けて送信する
ネットワークシステム。

（付記５）
付記４に記載のネットワークシステムであって、
前記第１転送エントリ及び前記第２転送エントリが前記転送テーブルに未設定である状況で、前記スイッチが前記第１パケットを受け取った場合、前記スイッチは、前記第１パケット識別情報を前記管理計算機に通知し、
前記管理計算機は、前記第１パケット識別情報を検索キーとして用いることによって、前記変換ポリシーテーブルの中から前記第１変換エントリを検索し、
前記管理計算機は、前記第１パケット識別情報及び前記第１変換エントリに基いて、前記第１転送エントリ及び前記第２転送エントリを設定するための転送テーブル設定データを作成し、
前記管理計算機は、前記転送テーブル設定データを前記スイッチに送信し、
前記スイッチは、前記転送テーブル設定データに従って、前記第１転送エントリ及び前記第２転送エントリを前記転送テーブルに設定する
ネットワークシステム。

（付記６）
付記２乃至５のいずれか一項に記載のネットワークシステムであって、
前記変換後パケット識別情報は、固定フィールド及び可変フィールドを含み、
前記登録処理において、前記管理計算機は、異なる仮想ネットワーク間で重複しない値を前記固定フィールドに割り当て、一方、前記可変フィールドを任意の値とマッチする値に設定する
ネットワークシステム。

（付記７）
付記５に記載のネットワークシステムであって、
前記変換後パケット識別情報は、固定フィールド及び可変フィールドを含み、
前記登録処理において、前記管理計算機は、異なる仮想ネットワーク間で重複しない値を前記固定フィールドに割り当て、一方、前記可変フィールドを任意の値とマッチする値に設定し、
前記転送エントリ設定データを作成する際、前記管理計算機は、割り当て済みの値と異なる値を前記可変フィールドに割り当てる
ネットワークシステム。

（付記８）
ネットワークシステムの運用方法であって、
前記ネットワークシステムは、
アプライアンスと、
ネットワークを介して前記アプライアンスに接続されたスイッチと、
前記アプライアンス及び前記スイッチに接続された管理計算機と
を備え、
パケット識別情報は、パケットを識別するための情報であり、
前記管理計算機は、変換ポリシーテーブルを備え、
前記変換ポリシーテーブルの各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示し、
前記変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含む前記パケット識別情報であり、
前記変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定される前記パケット識別情報であり、
前記アプライアンスは、処理ルールテーブルを備え、
前記処理ルールテーブルの各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定し、
前記アプライアンスは、パケットを受け取ると前記処理ルールテーブルを参照し、前記受け取ったパケットにマッチするルールエントリで指定された前記アプライアンス処理を実行し、
前記スイッチは、転送テーブルを備え、
前記転送テーブルの各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
前記スイッチは、受信パケットを受け取ると前記転送テーブルを参照し、前記受信パケットにマッチする転送エントリで指定される前記アクションを前記受信パケットに対して行い、
前記運用方法は、
前記管理計算機によって、前記スイッチが前記変換前パケット識別情報にマッチする前記受信パケットの前記パケット識別情報を前記変換後パケット識別情報に書き換えるように、前記スイッチの前記転送テーブルを設定することと、
前記管理計算機によって、前記アプライアンスの前記処理ルールテーブルの前記マッチ条件を、前記変換後パケット識別情報に設定することと
を含む
ネットワークシステムの運用方法。

１ ネットワークシステム
１１ 拡張スイッチ
１４ アプライアンス
１５ 管理ホスト
１２１〜１２３ サーバ
１３１〜１３３ ユーザ端末
１６１〜１６３ スイッチ
１７１〜１７３ ユーザ群
１８１〜１８３ サーバ群
２１ 転送部
２２１〜２２３ ネットワークインタフェース部
２３ ホスト通信部
２４ テーブル書き換え部
２５ 転送テーブル
３１ ネットワークインタフェース部
３２ アプライアンス処理部
３３ 処理ルールテーブル
３４ ホスト通信部
４１ スイッチ通信部
４２ フロー判定部
４３ 可変フィールド割り当てブロック
４４ 変換ポリシーテーブル
４５ ルール設定部
４６ 登録ルール
４７ アプライアンス通信部
４８ 登録ルールテーブル
４９ 固定フィールド割り当てブロック

Claims (8)

1. アプライアンスと、
   ネットワークを介して前記アプライアンスに接続されたスイッチと、
   前記アプライアンス及び前記スイッチに接続された管理計算機であって、仮想ネットワーク単位のアプライアンスの処理ルールを登録ルールとして保持する前記管理計算機と、
   を備え、
   パケット識別情報は、パケットを識別するための情報であり、
   前記管理計算機は、
   変換ポリシーテーブル
   を備え、前記登録ルールに基づいて前記変換ポリシーテーブルの内容を生成し、
   ここで、前記変換ポリシーテーブルの内容である各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示し、
   前記変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含む前記パケット識別情報であり、
   前記変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定される前記パケット識別情報であり、
   前記アプライアンスは、
   処理ルールテーブル
   を備え、
   前記処理ルールテーブルの各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定し、
   前記アプライアンスは、パケットを受け取ると前記処理ルールテーブルを参照し、前記受け取ったパケットにマッチするルールエントリで指定された前記アプライアンス処理を実行し、
   前記スイッチは、
   転送テーブル
   を備え、
   前記転送テーブルの各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
   前記スイッチは、受信パケットを受け取ると前記転送テーブルを参照し、前記受信パケットにマッチする転送エントリで指定される前記アクションを前記受信パケットに対して行い、
   前記管理計算機は、前記スイッチが前記変換前パケット識別情報にマッチする前記受信パケットの前記パケット識別情報を前記変換後パケット識別情報に書き換えるように、前記スイッチの前記転送テーブルを設定し、
   前記管理計算機は、前記アプライアンスの前記処理ルールテーブルの前記マッチ条件を、前記変換後パケット識別情報に設定する
   ネットワークシステム。
2. 請求項１に記載のネットワークシステムであって、
   前記管理計算機は、前記変換前パケット識別情報と前記アプライアンス処理との対応関係を示す登録ルールを受け取ると登録処理を行い、
   前記登録処理は、
   前記登録ルールで示される前記変換前パケット識別情報に対応する前記変換後パケット識別情報を決定することと、
   前記登録ルールで示される前記変換前パケット識別情報と前記決定された変換後パケット識別情報との対応関係を示す新たな変換エントリを、前記変換ポリシーテーブルに追加することと、
   前記決定された変換後パケット識別情報と前記登録ルールで示される前記アプライアンス処理との対応関係を示す新たなルールエントリを、前記アプライアンスの前記処理ルールテーブルに追加することと
   を含む
   ネットワークシステム。
3. 請求項２に記載のネットワークシステムであって、
   第１パケットの前記パケット識別情報は、第１パケット識別情報であり、
   前記第１パケット識別情報は、前記変換ポリシーテーブルの第１変換エントリの前記変換前パケット識別情報にマッチし、
   前記第１変換エントリの前記変換後パケット識別情報は、第１変換後パケット識別情報であり、
   前記処理ルールテーブルは、第１ルールエントリを有し、
   前記第１ルールエントリの前記マッチ条件は、前記第１変換後パケット識別情報にマッチし、
   前記転送テーブルは、第１転送エントリを有し、
   前記第１転送エントリの前記マッチ条件は、前記第１パケット識別情報にマッチし、
   前記第１転送エントリの前記アクションは、前記受信パケットに含まれる前記第１パケット識別情報を前記第１変換後パケット識別情報に書き換え、且つ、当該書き換えにより得られる第１変換後パケットを前記アプライアンスに向けて送信することであり、
   前記スイッチは、前記第１パケットを受け取ると、前記第１転送エントリに従って前記第１パケットを処理し、前記第１変換後パケットを前記アプライアンスに向けて送信し、
   前記アプライアンスは、前記第１変換後パケットを受け取ると、前記第１ルールエントリに従って、前記第１変換後パケットに対して前記アプライアンス処理を実行する
   ネットワークシステム。
4. 請求項３に記載のネットワークシステムであって、
   前記転送テーブルは更に、第２転送エントリを有し、
   前記第２転送エントリの前記マッチ条件は、前記第１変換後パケット識別情報にマッチし、
   前記第２転送エントリの前記アクションは、前記受信パケットに含まれる前記第１変換後パケット識別情報を前記第１パケット識別情報に書き換え、且つ、当該書き換えにより得られる第１再生パケットを前記第１パケットの宛先に向けて送信することであり、
   前記アプライアンスは、前記第１変換後パケットに対する前記アプライアンス処理の後、前記第１変換後パケットを前記スイッチに送信し、
   前記スイッチは、前記第１変換後パケットを受け取ると、前記第２転送エントリに従って前記第１変換後パケットを処理し、前記第１再生パケットを前記宛先に向けて送信する
   ネットワークシステム。
5. 請求項４に記載のネットワークシステムであって、
   前記第１転送エントリ及び前記第２転送エントリが前記転送テーブルに未設定である状況で、前記スイッチが前記第１パケットを受け取った場合、前記スイッチは、前記第１パケット識別情報を前記管理計算機に通知し、
   前記管理計算機は、前記第１パケット識別情報を検索キーとして用いることによって、前記変換ポリシーテーブルの中から前記第１変換エントリを検索し、
   前記管理計算機は、前記第１パケット識別情報及び前記第１変換エントリに基いて、前記第１転送エントリ及び前記第２転送エントリを設定するための転送テーブル設定データを作成し、
   前記管理計算機は、前記転送テーブル設定データを前記スイッチに送信し、
   前記スイッチは、前記転送テーブル設定データに従って、前記第１転送エントリ及び前記第２転送エントリを前記転送テーブルに設定する
   ネットワークシステム。
6. 請求項２乃至５のいずれか一項に記載のネットワークシステムであって、
   前記変換後パケット識別情報は、固定フィールド及び可変フィールドを含み、
   前記登録処理において、前記管理計算機は、異なる仮想ネットワーク間で重複しない値を前記固定フィールドに割り当て、一方、前記可変フィールドを任意の値とマッチする値に設定する
   ネットワークシステム。
7. 請求項５に記載のネットワークシステムであって、
   前記変換後パケット識別情報は、固定フィールド及び可変フィールドを含み、
   前記登録処理において、前記管理計算機は、異なる仮想ネットワーク間で重複しない値を前記固定フィールドに割り当て、一方、前記可変フィールドを任意の値とマッチする値に設定し、
   前記転送エントリ設定データを作成する際、前記管理計算機は、割り当て済みの値と異なる値を前記可変フィールドに割り当てる
   ネットワークシステム。
8. ネットワークシステムの運用方法であって、
   前記ネットワークシステムは、
   アプライアンスと、
   ネットワークを介して前記アプライアンスに接続されたスイッチと、
   前記アプライアンス及び前記スイッチに接続された管理計算機であって、仮想ネットワーク単位のアプライアンスの処理ルールを登録ルールとして保持する前記管理計算機と、
   を備え、
   パケット識別情報は、パケットを識別するための情報であり、
   前記管理計算機は、
   変換ポリシーテーブル
   を備え、前記登録ルールに基づいて前記変換ポリシーテーブルの内容を生成し、
   ここで、前記変換ポリシーテーブルの内容である各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示し、
   前記変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含む前記パケット識別情報であり、
   前記変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定される前記パケット識別情報であり、
   前記アプライアンスは、処理ルールテーブルを備え、
   前記処理ルールテーブルの各ルールエントリは、マッチ条件にマッチするパケットに対して行われるアプライアンス処理を指定し、
   前記アプライアンスは、パケットを受け取ると前記処理ルールテーブルを参照し、前記受け取ったパケットにマッチするルールエントリで指定された前記アプライアンス処理を実行し、
   前記スイッチは、転送テーブルを備え、
   前記転送テーブルの各転送エントリは、マッチ条件にマッチするパケットに対して行われるアクションを指定し、
   前記スイッチは、受信パケットを受け取ると前記転送テーブルを参照し、前記受信パケットにマッチする転送エントリで指定される前記アクションを前記受信パケットに対して行い、
   前記運用方法は、
   前記管理計算機によって、前記スイッチが前記変換前パケット識別情報にマッチする前記受信パケットの前記パケット識別情報を前記変換後パケット識別情報に書き換えるように、前記スイッチの前記転送テーブルを設定することと、
   前記管理計算機によって、前記アプライアンスの前記処理ルールテーブルの前記マッチ条件を、前記変換後パケット識別情報に設定することと
   を含む
   ネットワークシステムの運用方法。

Images