JP5862706B2 - ネットワークシステム、及びネットワークフロー追跡方法 - Google Patents

Description

本発明は、ネットワークシステムに関し、特にネットワークシステムにおけるネットワークフロー追跡方法に関する。

ネットワークシステムの制御方式の１つとして、外部の制御装置（コントロールプレーン）からノード装置（ユーザプレーン）を制御するＣＵ（Ｃ：コントロールプレーン／Ｕ：ユーザプレーン）分離型ネットワークシステムが提案されている。

ＣＵ分離型ネットワークシステムの一例として、コントローラからスイッチを制御してネットワークの経路制御を行うオープンフロー（ＯｐｅｎＦｌｏｗ）技術を利用したオープンフローネットワークシステムが挙げられる。オープンフロー技術の詳細については、非特許文献１に記載されている。なお、オープンフローネットワークシステムは一例に過ぎない。

［オープンフローネットワークシステムの説明］
オープンフローネットワークシステムでは、ＯＦＣ（ＯｐｅｎＦｌｏｗ Ｃｏｎｔｒｏｌｌｅｒ）等のコントローラが、ＯＦＳ（ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ）等のスイッチのフローテーブルを操作することによりスイッチの挙動を制御する。コントローラとスイッチは、セキュアチャネル（Ｓｅｃｕｒｅ Ｃｈａｎｎｅｌ）で接続されている。

オープンフローネットワークシステムにおけるスイッチとは、オープンフローネットワークを形成し、コントローラの制御下にあるエッジスイッチ及びコアスイッチのことである。オープンフローネットワークにおける入力側エッジスイッチでのパケット（ｐａｃｋｅｔ）の受信から出力側エッジスイッチでの送信までのパケットの一連の流れをフロー（Ｆｌｏｗ）と呼ぶ。

パケットは、フレーム（ｆｒａｍｅ）と読み替えても良い。パケットとフレームの違いは、プロトコルが扱うデータの単位（ＰＤＵ：Ｐｒｏｔｏｃｏｌ Ｄａｔａ Ｕｎｉｔ）の違いに過ぎない。パケットは、「ＴＣＰ／ＩＰ」（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のＰＤＵである。一方、フレームは、「Ｅｔｈｅｒｎｅｔ（登録商標）」のＰＤＵである。

フローテーブルとは、所定のマッチ条件（ルール）に適合するパケット（通信データ）に対して行うべき所定の動作（アクション）を定義したフローエントリ（Ｆｌｏｗ ｅｎｔｒｙ）が登録されたテーブルである。

フローエントリのルールは、パケットの各プロトコル階層のヘッダ領域に含まれる宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）、送信元アドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）、宛先ポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）、送信元ポート（Ｓｏｕｒｃｅ Ｐｏｒｔ）のいずれか又は全てを用いた様々な組み合わせにより定義され、区別可能である。なお、上記のアドレスには、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）やＩＰアドレス（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ）を含むものとする。また、上記に加えて、入口ポート（Ｉｎｇｒｅｓｓ Ｐｏｒｔ）の情報も、フローエントリのルールとして使用可能である。また、フローエントリのルールとして、フローを示すパケットのヘッダ領域の値の一部（又は全部）を、正規表現やワイルドカード「＊」等で表現したものを設定することもできる。

フローエントリのアクションは、「特定のポートに出力する」、「廃棄する」、「ヘッダを書き換える」といった動作である。例えば、スイッチは、フローエントリのアクションに出力ポートの識別情報（出力ポート番号等）が示されていれば、これに該当するポートにパケットを出力し、出力ポートの識別情報が示されていなければ、パケットを破棄する。或いは、スイッチは、フローエントリのアクションにヘッダ情報が示されていれば、当該ヘッダ情報に基づいてパケットのヘッダを書き換える。

オープンフローネットワークシステムにおけるスイッチは、フローエントリのルールに適合するパケット群（パケット系列）に対して、フローエントリのアクションを実行する。

オープンフローネットワークシステムのようなフローベースのネットワークでは、フローエントリのルール（所定のヘッダ条件等）にマッチするパケット群（パケット系列）をフロー（Ｆｌｏｗ）として扱う。フロー単位でトラヒックの監視や制御を行うことで、従来のネットワークよりも柔軟にネットワークを制御することができる。

例えば、サーバとクライアント間のトラヒックをユーザ毎に制御したい場合、サーバとクライアントのＩＰアドレスを組み合わせてエンド・ツー・エンドでフローを監視したり、トラヒック量を制御したりすることが可能となる。

なお、現在のネットワークは非常に複雑な構成となっており、サーバやクライアントマシンの前段にはファイアウォール（ｆｉｒｅｗａｌｌ）やロードバランサ（負荷分散装置）といった様々な機能を持った機器が配置されていることが多く、これらの装置によってフローベースのネットワーク制御の利点が失われることがある。

中でも、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）やＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）の機能を持つ装置は、パケットヘッダの変換を行う。例えば、ＮＡＴの機能を持つ装置は、ＩＰヘッダを書換え、ＮＡＰＴの機能を持つ装置は、ＩＰヘッダ、及び、レイヤ４ヘッダをも書き換える。

このような装置（以後、ヘッダ変換装置と称する）を経由した場合、パケットヘッダが変換されてしまうため、経由前のフローと経由後のフローが別のフローになる。

したがって、このようなヘッダ変換装置を中継した場合は、エンド・ツー・エンドのフロー毎の監視や制御ができない。

このような課題を解決する手法として、例えば、ヘッダ変換装置が保持するヘッダ変換情報を利用する方法がある。

具体的には、ヘッダ変換装置に問い合わせてアドレス変換テーブルを参照し、変換後のパケットヘッダの情報から変換前のパケットヘッダの情報を取得して、対応するフローを見つける、という方法が考えられる。

しかしながら、こういった方法は、ヘッダ変換装置が装置の外部から問い合わせ可能なインターフェースを持っており、かつ、アドレス変換テーブルの情報を参照可能な場合にのみ実現できる。もし、このような条件が揃っていなければ、ヘッダ変換装置を改造して条件を揃える必要がある。

また、別の手法として、特許文献１（特開２００５−２１０５１８号公報）では、ＩＰトレースバックを行う装置である発信源追跡情報提供装置及び発信源追跡装置が開示されている。

このＩＰトレースバック技術の代表例として、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＩＣＭＰトレースバックワーキンググループが提唱するＩＣＭＰトレースバック（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ Ｔｒａｃｅｂａｃｋ）がある。

ＩＣＭＰトレースバックは、途中経路上のルータ装置が一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成し、この追跡情報をＩＣＭＰメッセージでＩＰパケットの宛先に送信し、そして、宛先の装置がこの追跡情報を表示するものである。

これと同様な手法を適用することで、分断されたフローの対応関係を取得できる可能性もある。

しかし、このような手法を実現するには、ヘッダ変換装置にアドレス変換情報を外部に送信する仕組みが必要である。

したがって、ヘッダ変換装置を改造せずに実現することは難しい。

特開２００５−２１０５１８号公報

"ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ， Ｖｅｒｓｉｏｎ １．０．０"，［ｏｎｌｉｎｅ］，Ｄｅｃｅｍｂｅｒ ３１，２００９，インターネット（ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ）

本発明の目的は、スイッチにて、パケットを、現在のヘッダと同じヘッダでカプセル化することにより、ネットワーク・アプライアンス通過後には、パケットに変換前と変換後の２種類のヘッダが付属している状態となるネットワークシステム及びネットワークフロー追跡方法を提供することである。なお、ヘッダは、レイヤ２からレイヤ４までの全てのヘッダを含む。具体的には、上記のヘッダは、「フローエントリのルールとなり得る情報の全部又は一部」と読み替える。

本発明に係るネットワークシステムは、設定されたフローテーブルのエントリ（フローエントリ）の内容に従って受信パケットを処理する機能を持つスイッチと、該スイッチからパケットの問い合わせを受け、該パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定する機能を持つコントローラと、該スイッチ及び該コントローラのうち少なくとも一方からパケットを受け取り、該パケットのヘッダと同じヘッダを使ってパケットをカプセル化する機能を持つカプセル化モジュールとを含む。

本発明に係る計算機は、カプセル化モジュールとしての機能を持つ計算機であって、設定されたフローテーブルのエントリの内容に従って受信パケットを処理する機能を持つスイッチと、該スイッチからパケットの問い合わせを受け、該パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定する機能を持つコントローラと、のうち少なくとも一方からパケットを受け取る装置と、該パケットに対し、該パケットのヘッダと同じヘッダを使ってパケットをカプセル化する装置とを具備する。

本発明に係るネットワークフロー追跡方法では、スイッチにおいて、設定されたフローテーブルのエントリの内容に従って受信パケットを処理する。また、コントローラにおいて、該スイッチからパケットの問い合わせを受け、該パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定する。また、カプセル化モジュールにおいて、該スイッチ及びコントローラのうち少なくとも一方からパケットを受け取り、該パケットのヘッダと同じヘッダを使ってパケットをカプセル化する。

本発明に係るプログラムは、カプセル化モジュールとしての機能を持つ計算機により実行されるプログラムであって、設定されたフローテーブルのエントリの内容に従って受信パケットを処理する機能を持つスイッチと、該スイッチからパケットの問い合わせを受けて該パケットを一律に制御するためのルールと動作が定義されたエントリを該スイッチのフローテーブルに設定する機能を持つコントローラと、のうち少なくとも一方からパケットを受け取るステップと、該パケットに対し、該パケットのヘッダと同じヘッダを使ってパケットをカプセル化するステップとを計算機に実行させるためのプログラムである。すなわち、本発明に係るプログラムは、上記のネットワークフロー追跡方法における処理を、計算機に実行させるためのプログラムである。なお、本発明に係るプログラムは、記憶装置や記憶媒体に格納することが可能である。

オープンフローネットワークシステムのようなフローベースのネットワークにおいて、ＮＡＴや、ＮＡＰＴ等のパケットヘッダを変換するようなネットワーク・アプライアンスを経由した場合にも、その前後での２つのフローの対応関係が把握でき、エンド・ツー・エンドでのフローの追跡が可能となる。

本発明に係るネットワークシステムの基本的な構成例、及び当該システムにおけるパケットの変化を説明するための図である。 ヘッダ変換装置の前段にあるスイッチに対するカプセル化モジュールの処理を説明するためのフローチャートである。 ヘッダ変換装置の後段にあるスイッチに対するカプセル化モジュールの処理を説明するためのフローチャートである。 本発明に係るネットワークシステムの概念及び実施例を説明するための図である。

本発明は、ＣＵ分離型ネットワークシステムを対象としている。ここでは、ＣＵ分離型ネットワークシステムの１つであるオープンフローネットワークシステムを例に説明する。但し、実際には、オープンフローネットワークシステムに限定されない。

＜実施形態＞
以下に、本発明の実施形態について添付図面を参照して説明する。

［基本構成］
図１に示すように、本発明に係るネットワークシステムは、コントローラ１０と、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ：ｎは台数）と、ヘッダ変換装置３０を含む。

［コントローラ］
コントローラ１０は、ネットワークの接続状態を示すトポロジ情報（ｔｏｐｏｌｏｇｙ）を基に、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）を検知した際、パケット転送経路を計算し、当該経路に関連するスイッチのフローテーブルにエントリ（フローエントリ）の登録を行う。

［スイッチ］
スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、受信したパケットを、自身のフローテーブルに登録されたエントリに従って転送する。

ここでは、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、仮想スイッチであるものとする。仮想スイッチとは、物理マシン上で稼働する仮想マシンにより実現されるスイッチである。但し、実際には、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、本発明に係るスイッチとしての機能を実現するためのソフトウェアがインストールされた物理スイッチでも良い。

また、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）は、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）と連携する。

カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、ＩＰパケットのカプセル化処理（ｅｎｃａｐｓｕｌａｔｉｏｎ）を行う。

なお、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）が稼働する物理マシンに内蔵されていても良いし、当該物理マシンに外部接続されていても良い。例えば、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、当該物理マシンと通信可能な計算機上で稼働していても良い。

［ヘッダ変換装置］
ヘッダ変換装置３０は、所定のスイッチ２０から受信したパケットのヘッダ情報の変換を行い、他のスイッチ２０に転送する。

［ハードウェアの例示］
以下に、本発明に係るネットワークシステムを実現するための具体的なハードウェアの例について説明する。

コントローラ１０の例として、ＰＣ（パソコン）、アプライアンス（ａｐｐｌｉａｎｃｅ）、シンクライアント端末／サーバ、ワークステーション、メインフレーム、スーパーコンピュータ等の計算機を想定している。また、コントローラ１０は、計算機に搭載される拡張ボードや、物理マシン上に構築された仮想マシン（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＶＭ））でも良い。

仮想スイッチとしてスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）が動作する物理マシン、及びヘッダ変換装置３０の例として、ネットワークスイッチ（ｎｅｔｗｏｒｋ ｓｗｉｔｃｈ）、ルータ（ｒｏｕｔｅｒ）、プロキシ（ｐｒｏｘｙ）、ゲートウェイ（ｇａｔｅｗａｙ）、ファイアウォール、ロードバランサ、基地局、アクセスポイント、或いは、複数の通信ポートを有する計算機等が考えられる。

コントローラ１０、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）が動作する物理マシン、及びヘッダ変換装置３０は、プログラムに基づいて駆動し所定の処理を実行するプロセッサと、当該プログラムや各種データを記憶するメモリと、ネットワークに接続するための通信用インターフェースによって実現される。

上記のプロセッサの例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ネットワークプロセッサ（ＮＰ：Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ（ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ）、或いは、専用の機能を有する半導体集積回路（ＬＳＩ：Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）等が考えられる。

上記のメモリの例として、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ等の半導体記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の補助記憶装置、又は、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のリムーバブルディスクや、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）等の記憶媒体（メディア）等が考えられる。

なお、上記のプロセッサ及び上記のメモリは、一体化していても良い。例えば、近年では、マイコン等の１チップ化が進んでいる。したがって、計算機等に搭載される１チップマイコンが、プロセッサ及びメモリを備えている事例が考えられる。

上記の通信用インターフェースの例として、ネットワーク通信に対応した基板（マザーボード、Ｉ／Ｏボード）やチップ等の半導体集積回路、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタや同様の拡張カード、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。

また、ネットワークの例として、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ ＬＡＮ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、ＷｉＭＡＸ（ＩＥＥＥ ８０２．１６ａ）、３Ｇ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ）、専用線（ｌｅａｓｅ ｌｉｎｅ）、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線、データバス等が考えられる。

カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）の例として、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）と同じ物理マシン上で稼働するソフトウェア又は仮想マシンを想定している。但し、実際には、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々がアクセス可能な外部サーバ上で稼働するソフトウェア又は仮想マシンでも良い。また、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、ソフトウェアに限らず、専用デバイス、物理マシンに搭載される拡張ボード又は周辺機器、或いはネットワーク上の中間装置（ミドルボックス）でも良い。

但し、実際には、これらの例に限定されない。

［コントローラの動作］
コントローラ１０は、事前に、スイッチ２０−１のカプセル化モジュール２１−１に対して、「所定のフローに関するパケットのカプセル化を行う」ように設定しておく。

具体的には、コントローラ１０は、事前に、スイッチ２０−１のカプセル化モジュール２１−１に対して、「所定のフローに関するパケットのＩＰヘッダを複製（コピー）し、当該ＩＰヘッダと同じヘッダでパケットをカプセル化し、カプセル化されたパケットを転送する」ように設定しておく。ここでは、ＩＰヘッダを例に説明するが、ＩＰヘッダはヘッダの一例に過ぎない。実際には、レイヤ３のＩＰヘッダに限らず、レイヤ２からレイヤ４までの全てのヘッダを対象としても良い。具体的には、「ＩＰヘッダ」を「フローエントリのルールとなり得る情報の全部又は一部」と読み替える。

また、コントローラ１０は、事前に、スイッチ２０−２のカプセル化モジュール２１−２に対して、「変換前ヘッダと変換後ヘッダのペア（組）をヘッダ変換情報としてコントローラに送信すると共に、受信パケットのカプセル化を解除するため、受信パケットに変換後ヘッダがあれば除去し、変換前ヘッダがあれば変換後ヘッダに置き換える処理を行う」ように設定しておく。なお、「受信パケットから一旦ヘッダを全て除去した後、変換後ヘッダのみ付与する処理を行う」ように設定しても良い。また、「受信パケットに２段目のヘッダ（変換前ヘッダ）があれば除去する処理を行う」ように設定しても良い。

［第１スイッチの動作］
次に、スイッチ２０−１は、入力されたパケットをカプセル化モジュール２１−１に渡す。ここでは、入力されたパケットの構成は、「ＩＰヘッダ１−ペイロード」とする。

カプセル化モジュール２１−１は、コントローラ１０から設定された通り、パケットのＩＰヘッダ１を複製し、ＩＰヘッダ１と同じヘッダでパケットをカプセル化し、パケットを転送する。すなわち、転送されるパケットは、ペイロードにＩＰヘッダ１が二重（二段）に付与されている。したがって、スイッチ２０−１から転送されるパケットの構成は、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」となる。

この場合、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」のうち、先頭の「ＩＰヘッダ１」の部分がカプセル化されたパケットのＩＰヘッダとなり、残りの「ＩＰヘッダ１−ペイロード」の部分（本来のパケット）がカプセル化されたパケットのペイロードとなる。

なお、パケットのカプセル化の処理については、例えば、ＲＦＣ１７０１、ＲＦＣ２７８４で提示されているＧＲＥ（Ｇｅｎｅｒｉｃ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ）のような方式を用いれば良い。

［ヘッダ変換装置の動作］
次に、ヘッダ変換装置３０は、入力されたパケットのＩＰヘッダ１を参照し、アドレス変換処理を行い、ＩＰヘッダ１をＩＰヘッダ２に変換する。

例えば、ヘッダ変換装置３０は、入力されたパケットのＩＰヘッダ１において、送信先ＩＰアドレスがプライベートアドレス「１９２．１６８．０．１０」の場合、このＩＰヘッダ１を、送信先ＩＰアドレスがグローバルアドレス「１０．０．０．１０」のＩＰヘッダ２に変換する。

このようにして、ヘッダ変換装置３０は、入力されたパケットのＩＰヘッダ１を、異なる値を持つＩＰヘッダ２に変換し、パケットを転送する。ここでは、ヘッダ変換装置３０は、二重（二段）に付与されているＩＰヘッダ１のうち先頭のものを除去／変換して、代わりにＩＰヘッダ２をペイロードに付与した後、パケットを転送する。したがって、転送されるパケットの構成は、「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」となる。

すなわち、ヘッダ変換装置３０は、スイッチ２０−１からカプセル化されたパケットを受信した際、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」のうち、カプセル化されたパケットのＩＰヘッダである先頭の「ＩＰヘッダ１」の部分を、「ＩＰヘッダ２」に変換する。

この場合、「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」のうち、先頭の「ＩＰヘッダ２」の部分が転送されるパケットのＩＰヘッダとなり、残りの「ＩＰヘッダ１−ペイロード」の部分（本来のパケット）が転送されるパケットのペイロードとなる。

［第２スイッチの動作］
次に、スイッチ２０−２は、入力されたパケットをカプセル化モジュール２１−２に渡す。

カプセル化モジュール２１−２は、コントローラ１０から設定された通り、「変換前ヘッダと変換後ヘッダのペア（組）をヘッダ変換情報としてコントローラに送信すると共に、受信パケットに変換後ヘッダがあれば除去し、変換前ヘッダがあれば変換後ヘッダに置き換える処理を行う」ように設定しておく。或いは、「受信パケットから一旦ヘッダを全て除去した後、変換後ヘッダのみ付与する処理を行う」ように設定しても良い。又は、「受信パケットに２段目のヘッダ（変換前ヘッダ）があれば除去する処理を行う」ように設定しても良い。

ここでは、カプセル化モジュール２１−２は、入力されたパケットがカプセル化されたパケットであるか確認し、カプセル化されたパケットであれば、「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」のうち、ＩＰヘッダ２とＩＰヘッダ１を参照して、これらのペア（組）を基にヘッダ変換情報を作成し、コントローラ１０に送信する。

上述の例であれば、ヘッダ変換情報は、「送信元ＩＰアドレスが「１９２．１６８．０．１０」が「１０．０．０．１０」に変換された」ということを表す情報になる。

また、カプセル化モジュール２１−２は、入力されたパケットについて、カプセル化を解除するため、「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」のうち、先頭のＩＰヘッダ２を除去し、残りの「ＩＰヘッダ１−ペイロード」の部分（本来のパケット）のうち、「ＩＰヘッダ１」を「ＩＰヘッダ２」に置き換える。

このようにして、カプセル化モジュール２１−２は、本来のパケットに対して、ＩＰヘッダ１を除去してＩＰヘッダ２をペイロードに付与した後、パケットを転送する。したがって、転送されるパケットの構成は、「ＩＰヘッダ２−ペイロード」となる。

以上のように動作することで、ヘッダ変換装置３０を一切改良・変更することなく、コントローラ１０は、ヘッダ変換情報を取得することができ、その情報を用いてフローの追跡が可能となる。

［応用例］
なお、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）における処理（送信側での「カプセル化」、及び受信側での「カプセル化の解除」）は、コントローラ１０自身が行っても良い。この場合、コントローラ１０は、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）と連携する。また、コントローラ１０と、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）が、同一の装置であっても良い。スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）は、入力されたパケット全体をコントローラ１０に送信し、応答として処理結果を受信する。例えば、図１において、コントローラ１０は、カプセル化モジュール２１−１及びカプセル化モジュール２１−２と連携又は一体化しているものとする。スイッチ２０−１は、「受信パケット」をコントローラ１０に送信し、応答としてコントローラ１０から「カプセル化されたパケット」を受信する。また、スイッチ２０−２は、「カプセル化されたパケット」をコントローラ１０に送信し、応答としてコントローラ１０から「変換後ヘッダのみ付与されたパケット」を受信する。したがって、必要な場所で必要な処理を行うことができるならば、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）の配置（所在）は、コントローラ１０側及びスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）側のいずれでも良い。無論、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）とコントローラ１０の両方で処理を行うことも可能である。例えば、通常のパケットはスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）上で処理を行い、重要フローのパケットはコントローラ１０上で処理を行うようにしても良い。

このとき、カプセル化モジュール２１（２１−ｉ、ｉ＝１〜ｎ）は、コントローラ１０及びスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々と通信可能な計算機上で稼働していても良い。

また、ここでは、説明の簡略化のため、ＩＰパケットをＮＡＴで変換する事例について説明しているが、ＭＡＣフレームをＭＡＴ（ＭＡＣ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）で変換する事例や、ＴＣＰ／ＵＤＰパケットをＮＡＰＴで変換する事例についても、同様の方法で実施することができる。実際には、レイヤ３のＩＰヘッダに限らず、レイヤ２からレイヤ４までの全てのヘッダを変換の対象とすることができる。具体的には、本発明の説明における「ＩＰヘッダ（又はヘッダ）」を「フローエントリのルールとなり得る情報の全部又は一部」と読み替える。

［第１のカプセル化モジュールの動作］
図２のフローチャートを用いて、カプセル化モジュール２１−１の処理について説明する。

（１）ステップＳ１０１
カプセル化モジュール２１−１は、パケットを受信する。ここでは、受信パケットの構成は、「ＩＰヘッダ１−ペイロード」とする。

（２）ステップＳ１０２
次に、カプセル化モジュール２１−１は、受信パケットがカプセル化対象のパケットであるかどうかを確認する。

（３）ステップＳ１０３
カプセル化対象のパケットである場合、カプセル化モジュール２１−１は、ＩＰヘッダ１を参照し、ＩＰヘッダ１を複製して、同じＩＰヘッダ１でカプセル化を行う。この場合、パケットの構成は、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」となる。

（４）ステップＳ１０４
カプセル化モジュール２１−１は、スイッチ２０−１を介してパケットを転送する。カプセル化対象のパケットである場合、パケットの構成は、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」である。カプセル化対象のパケットでない場合、パケットの構成は、「ＩＰヘッダ１−ペイロード」である。

［ヘッダ変換装置の動作］
ヘッダ変換装置３０は、転送されたパケットのＩＰヘッダを変換する。カプセル化されたパケットである場合、ヘッダ変換装置３０は、パケットの構成を、「ＩＰヘッダ１−ＩＰヘッダ１−ペイロード」から「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」に変換する。カプセル化されたパケットでない場合、ヘッダ変換装置３０は、パケットの構成を、「ＩＰヘッダ１−ペイロード」から「ＩＰヘッダ２−ペイロード」に変換する。

ヘッダ変換装置３０の処理については、本発明独自の処理ではなく、一般的なヘッダ変換であるため、説明を省略する。

［第２のカプセル化モジュールの動作］
次に、図３のフローチャートを用いて、カプセル化モジュール２１−２の処理について説明する。

（１）ステップＳ２０１
カプセル化モジュール２１−２は、パケットを受信する。

（２）ステップＳ２０２
次に、カプセル化モジュール２１−２は、受信パケットがカプセル化されたパケットであるかどうかを確認する。カプセル化されたパケットである場合、パケットの構成は、「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」である。カプセル化されたパケットでない場合、パケットの構成は、「ＩＰヘッダ２−ペイロード」である。

（３）ステップＳ２０３
カプセル化されたパケットである場合、カプセル化モジュール２１−２は、ＩＰヘッダ２とＩＰヘッダ１の二つを参照し、ヘッダ変換情報を作成する。ヘッダ変換情報は、変換前ヘッダ「ＩＰヘッダ１」と、変換後ヘッダ「ＩＰヘッダ２」のペア（組）となる。

（４）ステップＳ２０４
次に、カプセル化モジュール２１−２は、作成されたヘッダ変換情報をコントローラ１０に送信する。

（５）ステップＳ２０５
次に、カプセル化モジュール２１−２は、カプセル化されたパケット「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」から「ＩＰヘッダ２」を除去し、残りの「ＩＰヘッダ１−ペイロード」の部分に対して、「ＩＰヘッダ１」と「ＩＰヘッダ２」を置き換える。このとき、カプセル化モジュール２１−２は、最初に除去した「ＩＰヘッダ２」を変換後ヘッダとして保持しておき、残りの「ＩＰヘッダ１−ペイロード」の部分から変換前ヘッダ「ＩＰヘッダ１」を除去し、変換後ヘッダ「ＩＰヘッダ２」をペイロードに付け替える。すなわち、変換前ヘッダ「ＩＰヘッダ１」を変換後ヘッダ「ＩＰヘッダ２」に置換する。或いは、カプセル化されたパケット「ＩＰヘッダ２−ＩＰヘッダ１−ペイロード」から一旦全てのヘッダ「ＩＰヘッダ２−ＩＰヘッダ１」を除去した後、変換後ヘッダ「ＩＰヘッダ２」のみペイロードに付与する。又は、受信パケットに付与された２段目のヘッダ（変換前ヘッダ「ＩＰヘッダ１」）を除去する処理を行う。これにより、パケットの構成は、「ＩＰヘッダ２−ペイロード」となる。

（６）ステップＳ２０６
カプセル化モジュール２１−２は、スイッチ２０−２を介してパケットを転送する。パケットの構成は、「ＩＰヘッダ２−ペイロード」である。

［補足］
なお、コントローラ１０は、ヘッダ変換情報を一度取得できれば良く、取得後はパケットのカプセル化を停止するように処理しても良い。

以上のように、カプセル化モジュール２１−１とカプセル化モジュール２１−２がそれぞれ、パケットのカプセル化、及びヘッダ変換情報の取得を行うことにより、コントローラは変換前と変換後のフローの対応関係を把握することができ、ヘッダ変換装置を経由した場合でもフローの追跡が可能となる。

＜本発明の要点＞
本発明では、オープンフローにおけるスイッチの一つである「ＯｐｅｎＶＳｗｉｔｃｈ」等が実装しているパケットのカプセル化機能を利用して、ヘッダ変換装置の前後でフローを識別する手法を開示する。

本発明では、図４に示すように、パケットのヘッダ変換装置の前段にあるスイッチは、パケットが持つヘッダと同じヘッダを複製してパケットをカプセル化する。

ここでは、パケットＰＫＴ０がヘッダＨ０、ペイロードＰ０を持っていることを、「パケットＰＫＴ０＝（Ｈ０、Ｐ０）」と表すことにする。

スイッチＳ０は、パケットＰＫＴ０を受信すると、ヘッダＨ０を参照して同じヘッダＨ０を複製し、パケットＰＫＴ０をカプセル化してパケットＰＫＴ１を作成する。すなわち、パケットＰＫＴ１はヘッダＨ０、ペイロード（Ｈ０、Ｐ０）を持つことになるため、「パケットＰＫＴ１＝（Ｈ０、（Ｈ０、Ｐ０））」となる。

このパケットＰＫＴ１がヘッダ変換装置Ｔ０を経由した後のパケットをＰＫＴ２とすると、パケットＰＫＴ２のヘッダはヘッダＨ０からヘッダＨ１に変換されることになるため、「パケットＰＫＴ２＝（Ｈ１、（Ｈ０、Ｐ０））」となる。

次に、スイッチＳ１は、パケットＰＫＴ２を受信すると、ヘッダＨ１と、ペイロード内のヘッダＨ０を見比べる（比較参照する）。これにより、スイッチＳ１は、ヘッダ変換装置Ｔ０によって元のヘッダＨ０がヘッダＨ１に変換されたことを認識する。

スイッチＳ１は、パケットＰＫＴ２のカプセル化を解除し、パケットＰＫＴ２からヘッダＨ１を除去して、ペイロード内のヘッダＨ０をヘッダＨ１に置き換えてパケットＰＫＴ３を生成する。すなわち、スイッチＳ１は、「パケットＰＫＴ２＝（Ｈ１、（Ｈ０、Ｐ０））」を「パケットＰＫＴ３＝（Ｈ１、Ｐ０）」に置き換える。

その後、スイッチＳ１は、パケットＰＫＴ３を送信する。

このようにすることで、ヘッダ変換装置Ｔ０に改造を加えることなく、ヘッダ変換装置の前後でフローの対応関係を取得することができ、フローの追跡が可能となる。

以上のように、本発明では、スイッチにて（又はスイッチから要求を受けたコントローラにて）、パケットをカプセル化する。その際に、現在のヘッダと同じヘッダでカプセル化することにより、ネットワーク・アプライアンス通過後には、パケットに変換前と変換後の２種類のヘッダが付属していることになる。これを利用して、フローの追跡が可能となる。

＜まとめ＞
本発明では、オープンフローネットワークシステムのようなフローベースのネットワークにおいて、現在のパケットヘッダと同じヘッダを使ってパケットをカプセル化することにより、ＮＡＴや、ＮＡＰＴ等のパケットヘッダを変換するようなネットワーク・アプライアンスを経由した場合にも、その前後での２つのフローの対応関係が把握でき、エンド・ツー・エンドでのフローの追跡が可能となる。

また、本発明では、カプセル化によって付与されたパケットヘッダのみが変換され、その変換前のパケットヘッダと比較することで変換情報が取得できるため、パケットヘッダの変換を行うネットワーク・アプライアンス装置を改造することなく、パケットヘッダの変換情報の取得や、フローの追跡が可能となる。

＜付記＞
上記の実施形態の一部又は全部は、以下の付記のように記載することも可能である。但し、実際には、以下の記載例に限定されない。

（付記１）
パケット受信時に、フローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリが設定されたフローテーブルを検索して、エントリに定義されたルールに適合する受信パケットに対して、エントリに定義された動作を行う機能を持つスイッチと、
スイッチからパケットの問い合わせを受け、当該パケットを一律に制御するためのルールと動作が定義されたエントリを、スイッチのフローテーブルに設定する機能を持つコントローラと、
パケット受信時に、受信パケットの先頭のヘッダ情報の変換を行って転送する機能を持つヘッダ変換装置と、
スイッチが受信したパケットがカプセル化されたパケットかどうか確認し、カプセル化されたパケットでない場合、該パケットのヘッダ情報を複製し、複製したヘッダ情報を該受信パケットに付与してカプセル化してスイッチに渡し、カプセル化されたパケットである場合、該カプセル化されたパケットの先頭のヘッダ情報を除去し、残りの部分にあるヘッダ情報を該除去したヘッダ情報と置き換えてスイッチに渡し、該残りの部分にあるヘッダ情報と該除去したヘッダ情報との組をヘッダ変換情報としてコントローラに通知する機能を持つカプセル化モジュールと
を含む
ネットワークシステム。

（付記２）
付記１に記載のネットワークシステムであって、
カプセル化モジュールは、スイッチがヘッダ変換装置の前段にある第１スイッチである場合、第１スイッチの受信パケットのヘッダ情報である第１ヘッダを複製し、第１ヘッダを該受信パケットに付与して、ペイロードに第１ヘッダが二重に付与されている「第１ヘッダ−第１ヘッダ−ペイロード」という構成のパケットを、カプセル化されたパケットとして第１スイッチ経由で転送する機能を持ち、
ヘッダ変換装置は、第１スイッチからのパケットを受信した際、カプセル化されたパケットの先頭の第１ヘッダを第２ヘッダに変換して、「第２ヘッダ−第１ヘッダ−ペイロード」という構成のパケットにして転送する機能を持ち、
カプセル化モジュールは、スイッチがヘッダ変換装置の後段にある第２スイッチである場合、第２スイッチの受信パケットのヘッダ情報を参照し、第１ヘッダと第２ヘッダとの組をヘッダ変換情報としてコントローラに通知し、該受信パケットの先頭の第２ヘッダを除去し、残りの部分にある第１ヘッダを第２ヘッダ２と置き換えて、「第２ヘッダ−ペイロード」という構成のパケットにした上で、第２スイッチ経由で転送する機能を持つ
ネットワークシステム。

（付記３）
付記１に記載のネットワークシステムであって、
カプセル化モジュールは、スイッチ及びコントローラのうち少なくとも一方の側に設けられ、スイッチの側に設けられた場合、スイッチから直接パケットを受け取り、コントローラの側に設けられた場合、スイッチからコントローラ経由でパケットを受け取る機能を持つ
ネットワークシステム。

（付記４）
カプセル化モジュールとしての機能を持つ計算機であって、
受信パケットがカプセル化されたパケットかどうか確認する手段と、
受信パケットがカプセル化されたパケットでない場合、該パケットのヘッダ情報を複製する手段と、
複製したヘッダ情報を該受信パケットに付与してカプセル化する手段と、
受信パケットがカプセル化されたパケットである場合、該カプセル化されたパケットの先頭のヘッダ情報を除去する手段と、
該カプセル化されたパケットの残りの部分にあるヘッダ情報を該除去したヘッダ情報と置き換える手段と、
該残りの部分にあるヘッダ情報と該除去したヘッダ情報との組を基にヘッダ変換情報を生成する手段と
を具備する
計算機。

＜備考＞
以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。

なお、本出願は、日本出願番号２０１１−０３１７５２に基づく優先権を主張するものであり、日本出願番号２０１１−０３１７５２における開示内容は引用により本出願に組み込まれる。

Claims (8)

1. 設定された処理規則に従って、受信パケットの処理を行うスイッチと、前記スイッチを制御する制御装置と、を含む通信システムであって、
   前記制御装置は、
   前記スイッチに対して、前記処理規則を設定する手段と、
   受信パケットのヘッダ領域に含まれる情報を複製し、当該複製した情報を含む追加ヘッダにより前記カプセル化された受信パケットのヘッダを変換することを示す命令を、前記スイッチに通知する手段と、
   を備え、
   前記スイッチは、
   前記制御装置から通知された命令に応じて受信パケットをカプセル化する手段と、
   前記カプセル化したパケットのヘッダ情報を前記制御装置に対して送信する手段と
   を含むことを特徴とする通信システム。
2. 前記制御装置は、前記追加ヘッダによりカプセル化されたパケットから、前記追加ヘッダを除去することを示す命令を、前記スイッチに通知する
   ことを特徴とする請求項１の通信システム。
3. 制御装置から通知された命令に応じて受信パケットをカプセル化する手段と、設定された処理規則に従って、受信パケットの処理を行う手段とを有するスイッチに対して、前記処理規則を設定する第一の手段と、
   前記スイッチがカプセル化したパケットのヘッダ情報を受信する第二の手段と、
   前記ヘッダ情報のうち、受信パケットのヘッダ領域に含まれる情報を複製し、当該複製した情報を含む追加ヘッダにより前記受信パケットをカプセル化することを示す命令を、前記スイッチに通知する第三の手段と
   を含む制御装置。
4. 前記第二の手段は、前記追加ヘッダによりカプセル化されたパケットから、前記追加ヘッダを除去することを示す命令を、前記スイッチに通知する
   ことを特徴とする請求項３の制御装置。
5. 設定された処理規則に従って、受信パケットを処理するスイッチであって、
   前記スイッチによるパケットの処理を制御する制御装置と通信する第一の手段と、
   カプセル化したパケットのヘッダ情報を前記制御装置に対して送信する第二の手段と、
   前記制御装置から受信した命令に基づいて、前記ヘッダ情報のうち、受信パケットのヘッダ領域に含まれる情報を複製し、当該複製した情報を含む追加ヘッダにより前記受信パケットをカプセル化する第三の手段と
   を含むことを特徴とするスイッチ。
6. 前記第三の手段は、前記前記制御装置から受信した命令に基づいて、前記追加ヘッダによりカプセル化されたパケットから、前記追加ヘッダを除去する
   ことを特徴とする請求項５のスイッチ。
7. 受信パケットをカプセル化する手段と、設定された処理規則に従って、受信パケットの処理を行う手段と、を有するスイッチに対して、前記処理規則を設定し、
   前記スイッチがカプセル化したパケットのヘッダ情報のうち、受信パケットのヘッダ領域に含まれる情報を複製し、当該複製した情報を含む追加ヘッダにより前記受信パケットをカプセル化することを示す命令を、前記スイッチに通知する
   ことを特徴とする制御方法。
8. 設定された処理規則に従ってパケットを処理するスイッチによる通信方法であって、
   前記スイッチによるパケットの処理を制御する制御装置と通信し、
   カプセル化したパケットのヘッダ情報を前記制御装置に対して送信し、
   前記制御装置から受信した命令に基づいて、前記ヘッダ情報のうち、受信パケットのヘッダ領域に含まれる情報を複製し、当該複製した情報を含む追加ヘッダにより前記受信パケットをカプセル化する
   ことを特徴とする通信方法。

Images