JP5880560B2 - 通信システム、転送ノード、受信パケット処理方法およびプログラム - Google Patents

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１０−２９１７６９号（２０１０年１２月２８日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、通信システム、転送ノード、受信パケット処理方法およびプログラムに関し、特に、受信パケットに適合する処理規則に従って、受信パケットを処理する転送ノードを用いて通信を実現する通信システム、転送ノード、受信パケット処理方法およびプログラムに関する。

近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置と位置付けられるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図１３参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図１３のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。

国際公開第２００８／０９５０１０号

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２２年１２月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．０．０． （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０１） ［平成２２年１２月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉

上記の特許文献及び非特許文献の全開示事項は、引用をもって本書に繰込み記載されているものとする。
以下の分析は、本発明によって与えられたものである。
上記オープンフローのように、制御装置が配下の転送ノードからの要求に応じてパケット処理内容を決定するネットワークでは、転送ノードを簡素な仕組みにできるという利点があるものの、一定期間に転送ノードから処理規則の設定要求が集中すると、制御装置に相応の負荷が掛かってしまう可能性がある。また、このような仕組みを利用した制御装置へのＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）が行われる可能性も考慮しておく必要がある。

本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、特定の転送ノードから制御装置への処理規則の設定要求が集中しないようにし、また、ＤｏＳ攻撃への耐性を向上させることのできる通信システム、転送ノード、受信パケット処理方法およびプログラムを提供することにある。

本発明の第１の視点によれば、異なるサービスを提供する複数のサーバに接続し、受信パケットに応じた処理内容を定めた処理規則に従って前記受信パケットを処理する複数の転送ノードと、受信パケットに応じた処理内容を定めた処理規則を前記転送ノードに設定する制御装置と、を含み、前記複数の転送ノードは、前記処理規則に従って受信パケットを処理するパケット処理手段と、前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限する制限手段と、を備える通信システムが提供される。

本発明の第２の視点によれば、受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段と、前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、を備え、異なるサービスを提供する複数のサーバに接続する転送ノードであって、さらに、前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限する制限手段と、を備える転送ノードが提供される。

本発明の第３の視点によれば、受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理する際に、前記受信パケットに適合する処理規則が設定されていない場合、所定の制御装置に対して、前記処理規則が設定されていない第１のパケットについて処理規則の設定要求を送信するステップと、前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限するステップと、を含む受信パケット処理方法が提供される。本方法は、前記処理規則に従って受信パケットを処理する転送ノードという、特定の機械に結びつけられている。

本発明の第４の視点によれば、受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段を備えた転送ノードに搭載されたコンピュータに、前記処理規則が設定されていない第１のパケットについて、所定の制御装置に対して処理規則の設定要求を送信する処理と、前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、配下の転送ノードからの要求に応じてパケット処理内容を決定する制御装置に、特定の転送ノードからの要求が集中しないようにすることができる。また、制御装置のＤｏＳ攻撃も困難化される。

本発明の概要を説明するための図である。 本発明の概要を説明するための図である。 本発明の第１の実施形態の転送ノードの構成を表したブロック図である。 本発明の第１の実施形態の転送ノードの暫定処理規則設定ポリシー記憶部に保持される暫定処理規則設定ポリシーを説明するための図である。 本発明の第１の実施形態の転送ノードの処理規則記憶部に保持される処理規則を説明するための図である。 本発明の第１の実施形態の動作を説明するためのシーケンス図である。 本発明の第１の実施形態の動作を説明するためのシーケンス図である。 本発明の第１の実施形態の動作を説明するためのシーケンス図である。 図７、図８における転送ノードの処理の流れを表した流れ図である。 本発明の第２の実施形態の転送ノードの構成を表したブロック図である。 本発明の第２の実施形態の転送ノードの処理規則記憶部に保持される処理規則を説明するための図である。 本発明の転送ノードを適用可能な通信システムの構成を表した図である。 非特許文献２に記載のフローエントリの構成を表した図である。

はじめに本発明の概要について説明する。本発明は、図１に示すように、受信パケットに応じた処理内容を定めた処理規則を転送ノードに設定する制御装置１００と、前記処理規則を格納する処理規則記憶部２２を備えて受信パケットを処理するパケット処理手段２４を備える転送ノード２０と、を含む通信システムにより実現できる。より具体的には、前記転送ノード２０は、前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段２１と、所定の条件に該当する第２のパケットについて、前記処理規則の設定要求の送信を制限する制限手段２３と、を備える。なお、この概要に付記した図面参照符号は、専ら理解を助けるための例示であり、図示の態様に限定することを意図するものではない。

具体的には、図２に示すように、転送ノード２０が、外部ノードからデータパケットを受信すると（図２のＳ００１）、受信したパケット（第１のパケット）をバッファリングし、転送ノード２０の前記要求手段２１が、制御装置１００に対して、受信したパケット（第１のパケット）についての処理規則の設定要求を行う（図２のＳ００２）。また、転送ノード２０の前記制限手段２３が、所定の条件に適合する第２のパケットの受信による処理規則の設定要求を停止（制限）する（図２のＳ００３）。

前記処理規則の設定要求の停止対象（制限対象）としては、図２のＳ００１で受信したパケット（第１のパケット）から求めることができる。例えば、受信したパケット（第１のパケット）と同一フローに属する後続パケット、受信したパケット（第１のパケット）と送信元が同一であるパケット（第１のパケットと送信元情報が一致するパケット）、あるいは、特定のポートから受信したパケットなどを前記処理規則の設定要求の停止対象（制限対象）とすることができる。即ち、前記条件は、処理規則の設定要求の停止対象となるパケットをフィルタリングするフィルタリング条件ということもできる。また、前記所定の条件は、第１のパケットのパケットヘッダ等の特徴を用いて作成することが可能であるが、上述のように第１のパケットから求めることに限定されるものではない。例えば、第１のパケットの受信を契機に第１のパケットの受信ポートとは別のポートから入ってくるパケットを処理規則の設定要求の停止対象（制限対象）としてもよい。

これにより、図２に示すように、外部ノードから未設定のデータパケットを受信しても、制御装置１００への処理規則の設定要求が抑止される。

その後、制御装置１００から処理規則が設定されると（図２のＳ００４）、転送ノード２０は、前記設定された処理規則に従って、Ｓ００１で受信、バッファしたパケットの転送を開始する（図２のＳ００５）。また、その後外部ノードから送信される後続パケット（図２のＳ００１で受信したパケットの後続パケット）も、図２のＳ００４で設定された処理規則に従って、転送が行われる（図２のＳ００７−１〜Ｓ００７−２）。

以上のようにすることで、制御装置１００に対し、特定の転送ノードから処理規則の設定要求が集中しないようにすることができる。また、上記図２のＳ００３で設定する処理規則の設定要求を抑止する対象の設定次第（例えば、処理規則の設定要求をしたパケットと同一の送信元アドレスを持つパケットの設定要求を抑止する。）で制御装置１００へのＤｏＳ攻撃も困難化される。

［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図３は、本発明の第１の実施形態の転送ノード２００の構成を表わした図である。図３を参照すると、大きく分けて転送処理管理部２０９と、転送処理部２０６とを含んだ構成が示されている。

転送処理管理部２０９は、通信部２０１と、暫定処理規則設定ポリシー管理部２０２と、暫定処理規則設定ポリシー記憶部２０３と、処理規則管理部２０４と、処理規則記憶部２０５とで構成されている。

通信部２０１は、転送ノード２００に処理規則を設定する制御装置との通信を実現する手段である。

暫定処理規則設定ポリシー管理部２０２は、暫定処理規則設定ポリシー記憶部２０３に格納された暫定処理規則設定ポリシーを管理する手段である。また、暫定処理規則設定ポリシー管理部２０２は、転送処理部２０６から受信パケットに適合する処理規則が処理規則記憶部２０５に登録されていないことが通知されると、暫定処理規則設定ポリシー記憶部２０３に格納された暫定処理規則設定ポリシーを参照して暫定処理規則を作成し、処理規則管理部２０４に、前記作成した暫定処理規則の設定（追加）を指示する。

図４は、暫定処理規則設定ポリシー記憶部２０３に格納された暫定処理規則設定ポリシーの一例である。図４の例では、転送ノード２００のポート＃１、＃２、＃３は、新規フローの発生がありうるポートであり、ポート＃４、＃５、＃６は、新規フローの発生がありえないポートであることを想定している。

図４のポリシー＃１には、受信パケットがポート＃１、＃２、＃３を入力ポートとするパケットである場合の暫定処理規則の設定ポリシーが定められている。具体的には、入力ポート、送信元ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、送信元ＩＰを限定し（即ち、これらが処理規則が登録されていない受信パケットのそれらと同じであって）、その他フィールドはワイルドカードとした条件に適合するパケットを廃棄する、有効期間（タイマー）は１０秒とする、とのポリシーが設定されている。この場合、暫定処理規則設定ポリシー管理部２０２は、前記条件に相当する照合規則、アクション（廃棄）、タイムアウト値を持つ処理規則を作成し、処理規則管理部２０４にその設定を指示する。このように、新規フローの発生がありうるポートからの受信パケットについては、細かく条件を設定し、処理規則の設定要求中のフローやこれに関連するフローだけを処理規則の設定要求の抑止対象とすることで、その他新規フローの受信時に、処理規則の設定要求を行うことが可能となる。

同様に、図４のポリシー＃２には、受信パケットがポート＃４、＃５、＃６を入力ポートとするパケットである場合の暫定処理規則の設定ポリシーが定められている。上記ポリシー＃１とは反対に、新規フローの発生がありえないポートからの受信パケットについては、包括的に処理規則の設定要求の抑止対象とすることが好ましい。このようにすることで、例えば、不正にアクセスした端末の情報（ＭＡＣアドレスやＩＰアドレスなど）をリアルタイムに制御装置で検知しつつ、不正なトラフィックを抑止することが可能となる。

処理規則管理部２０４は、制御装置から受信した処理規則の設定メッセージに従い、格納された処理規則の設定、変更や削除等を行う手段である。また、処理規則管理部２０４は、転送処理部２０６から受信パケットに適合する処理規則が処理規則記憶部２０５に登録されていないことが通知されると、通信部２０１を介して制御装置に処理規則の設定要求を行う。また、処理規則管理部２０４は、暫定処理規則設定ポリシー管理部２０２から設定指示を受けた暫定処理規則を処理規則記憶部２０５に登録する。

図５は、処理規則記憶部２０５に保持される処理規則の一例である。図５の処理規則は、フローを特定するための照合規則と、前記照合規則に適用する処理内容（アクション）と、各エントリの優先順位情報とを対応付けた構成となっている。このような処理規則により例えば、Ｆｌｏｗ＃１に適合するパケットを受信すると、転送ノード２００は、ポート＃１へ転送する処理を行う。なお、図５の中の「Ｔｅｎｔａｔｉｖｅ Ｆｌｏｗ＃１」が上記した暫定処理規則である。図５のような優先順位が付けられた処理規則が設定された転送ノードは、Ｆｌｏｗ＃１やＦｌｏｗ＃２に適合するパケットについては、それぞれ定められたアクションを実行し、Ｆｌｏｗ＃１やＦｌｏｗ＃２には適合しないがＴｅｎｔａｔｉｖｅ Ｆｌｏｗ＃１に適合するパケットは廃棄し、これらいずれにも該当しないパケットについて制御装置に、処理規則の設定要求を行う。

転送処理部２０６は、処理規則記憶部２０５を参照して受信パケットに適合する照合規則を持つ処理規則を検索する処理規則検索部２０７と、前記検索された処理規則に定められた処理内容（アクション）を実行するアクション実行部２０８とを含んで構成される。また、転送処理部２０６は、受信パケットに適合する処理規則が処理規則記憶部２０５に登録されていない場合、その旨を転送処理管理部２０９に通知する処理を行う。

なお、上記のような転送ノード２００は、非特許文献１、２のオープンフロースイッチに、暫定処理規則設定ポリシー管理部２０２および暫定処理規則設定ポリシー記憶部２０３を追加し、処理規則記憶部２０５に受信パケットに適合する処理規則が登録されていない場合、暫定処理規則設定ポリシー管理部２０２にその旨を通知させるようにした構成にて実現できる。

また、図３に示した転送ノード２００の各部（処理手段）は、転送ノード２００に登載されたコンピュータに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。はじめに暫定処理規則設定ポリシーが設定されるまでの過程を説明する。

［暫定処理規則設定ポリシーの設定］
図６は、上記転送ノード２００の暫定処理規則設定ポリシー記憶部２０３に暫定処理規則設定ポリシーが設定されるまでの過程を表わしたシーケンス図である。

まず、転送ノード２００が新たにネットワークに接続あるいは設定変更が行われて、制御装置との間でセキュアチャネルが構築されると（図６のＳ１０１）、制御装置は転送ノード２００の転送能力等の情報を収集する（図６のＳ１０２）。なお、この際に、転送ノード２００が明示的に暫定処理規則設定ポリシー管理部２０２を具備していることを制御装置に通知するようにしても良い。制御装置および転送ノード２００が、非特許文献１、２のオープンフローコントローラとオープンフロースイッチをベースとしている場合、転送ノードの転送能力等の情報の収集には、非特許文献２のＦｅａｔｕｒｅ Ｒｅｑｕｅｓｔ／Ｒｅｐｌｙメッセージを用いることができる。

次に、制御装置は、前記収集した情報や予め用意したネットワーク構成情報を元に、転送ノード２００で構成されたネットワークトポロジを構築する（図６のＳ１０３）。

次に、制御装置は、各転送ノード２００に設定すべき暫定処理規則設定ポリシーを作成する。前記暫定処理規則設定ポリシーは、各転送ノード２００に同一のものを設定する必要はなく、各転送ノード２００のネットワークトポロジ上における位置やトラヒック情報（例えば、トラフィック種別や関連統計情報）を考慮して、異なるものを設定することができる。例えば、未知の外部ノードから直接パケットを受信する可能性がある位置にある転送ノードには、これら外部ノードが利用可能なポートからのパケットについては、照合規則にパケットの送信元となる外部ノード情報を加味して、一定期間処理規則の設定要求を停止する内容の暫定処理規則設定ポリシーが設定される。一方、未知の外部ノードから直接パケットを受信する可能性がない位置にある転送ノードには、未使用なポートからのパケットについては、照合規則に外部ノード情報を加味せず、一定期間処理規則の設定要求を停止する内容の暫定処理規則設定ポリシーが設定される。また例えば、異なるサービスを提供する複数のサーバ装置が接続している転送ノード群の場合、転送ノードに、接続しているサーバ装置が提供するサービスに紐づいていないパケットであれば、処理規則の設定要求を停止するといった暫定処理規則設定ポリシーを設定することができる。この場合、各転送ノードに接続しているサーバ装置が提供するサービスが異なるため、設定される暫定処理規則設定ポリシーも転送ノード毎に異なるものを設定することができる。

最後に、制御装置は、転送ノード２００に、前記作成した暫定処理規則設定ポリシーを通知する（図６のＳ１０５）。暫定処理規則設定ポリシーを受け取った転送ノード２００は、暫定処理規則設定ポリシーを暫定処理規則設定ポリシー記憶部２０３に格納する。

上記のように、転送ノード２００の追加や変更の都度、暫定処理規則設定ポリシーを設定するようにすることで、最新のネットワークトポロジに基づいた暫定処理規則設定ポリシーを設定することが可能となる。

また、図６のＳ１０４、Ｓ１０５で、暫定処理規則設定ポリシーを設定済みのその他転送ノードについても暫定処理規則設定ポリシーを見直し、新しい暫定処理規則設定ポリシーを設定するようにしてもよい。このようにすれば、ネットワークへの新規の転送ノードの追加や設定変更によるネットワークトポロジの変化を反映した暫定処理規則設定ポリシーを適用することが可能になる。

なお、上記の暫定処理規則設定ポリシーの設定シーケンスは、あくまで、暫定処理規則設定ポリシーの設定方法の一つであり、特に限定するものではない。例えば、既知のネットワークトポロジに基づいてネットワーク管理者が個々の転送ノード２００に暫定処理規則設定ポリシーを設定するようにしてもよいし、転送ノード２００の出荷時の初期設定として予め定めておいてもよい。

［暫定処理規則設定ポリシーを用いた動作シーケンス１］
続いて、上記のように設定された暫定処理規則設定ポリシーを用いた転送ノードの動作について説明する。図７は、転送ノード２００がＤｏＳ攻撃のような連続的にパケットを受信した場合の動作を表わしたシーケンスである。

図７を参照すると、まず、外部ノードからデータパケットを受信すると（図７のＳ２０１）、転送ノード２００の転送処理部２０６は、処理規則記憶部２０５から、受信パケットに適合する処理規則を検索する。ここでは、未知のデータパケットであるので、転送処理部２０６は、転送処理管理部２０９に対し、該当処理規則が無かった旨を通知する（図７のＳ２０２）。

前記通知を受けた転送処理管理部２０９は、暫定処理規則設定ポリシー管理部２０２を介して、暫定処理規則設定ポリシー記憶部２０３を参照し、受信パケットに対応する暫定処理規則設定ポリシーを選択し、暫定処理規則を作成する（図７のＳ２０３；ポリシーチェック）。そして、暫定処理規則設定ポリシー管理部２０２は処理規則管理部２０４に作成した暫定処理規則の設定を依頼する。

次に、処理規則管理部２０４は、前記設定依頼された暫定処理規則を処理規則記憶部２０５に登録する（図７のＳ２０４）。ここでは、図４のポリシー＃１が選択され、図７のＳ２０１で受信したデータパケットと同一の入力ポート、送信元ＭＡＣアドレスおよび送信元ＩＰアドレスを持つパケットを廃棄する暫定処理規則が設定されたものとする（図５のＴｅｎｔｉｔｉｖｅ Ｆｌｏｗ＃１参照）。

また、転送ノード２００の処理規則管理部２０４は、未知のデータパケットを受信したため、制御装置に対して、処理規則の設定要求を行う（図７のＳ２０５；Ｐａｃｋｅｔ−Ｉｎ）。

図７のＳ２０４で暫定処理規則が設定された後、転送ノード２００は、既存の処理規則および暫定処理規則に従って、外部ノードから受信したデータパケットを処理する。このため、外部ノードから送信された後続パケットは、暫定処理規則に従って処理され、廃棄されることになる。

他方、図７のＳ２０５で処理規則の設定要求を受けた制御装置は、転送ノード２００から受信したデータパケットに対応する処理規則を作成し、転送ノード２００に設定する（図７のＳ２０７−１；ＦｌｏｗＭｏｄ）。ここでは、図７のＳ２０４で設定された暫定処理規則と同様に、図７のＳ２０１で受信したデータパケットと同一の入力ポート、送信元ＭＡＣアドレスおよび送信元ＩＰアドレスを持つパケットを廃棄する処理規則が設定されたものとする。

転送ノード２００は制御装置から処理規則を受信すると、処理規則管理部２０４を介して、処理規則記憶部２０５に登録する（図７のＳ２０７−２；処理規則を登録）。

以上により、外部ノードから送られるデータパケットの廃棄処理が継続され（図７のＳ２０８）、処理規則の設定要求は抑止される。

［暫定処理規則設定ポリシーを用いた動作シーケンス２］
図８は、転送ノード２００が、正規のユーザ端末からのパケットを受信した場合の動作を表わしたシーケンスである。図８のデータパケット受信（Ｓ２０１）から処理規則の設定要求（Ｓ２０５；Ｐａｃｋｅｔ−Ｉｎ）までの動作は図７と同様である。

図８のＳ２０５で処理規則の設定要求を受けた制御装置は、転送ノード２００から受信したデータパケットに対応する処理規則を作成し、転送ノード２００に設定する（図８のＳ２０７−１；ＦｌｏｗＭｏｄ）。ここでは、データパケットの特徴から、正規のユーザ端末である（少なくとも不正な端末ではない。）と認識できたものとする。従って、当該データパケットの宛先までのパス（経路）の計算と、当該パス（経路）を実現するアクションが計算され、図２のデータパケットと同一のフローに属する後続パケットを次ホップに転送するアクションを定めた処理規則が設定されたものとする。

転送ノード２００は制御装置から処理規則を受信すると、処理規則管理部２０４を介して、処理規則記憶部２０５に登録する（図８のＳ２０７−２；処理規則を登録）。

この結果、外部ノードから送信された後続パケットは、処理規則に従って処理され、宛先へと転送されることになる（図７のＳ２０８−１〜Ｓ２０９−３）。

［転送ノードの動作］
ここで、上記したシーケンスにおける転送ノードの処理の流れを図面を参照して詳細に説明する。図９は、図７、図８における転送ノードの処理の流れを表わした流れ図である。

まず、転送ノード２００は、外部ノードまたは他の転送ノードからデータパケットを受信すると（ステップＳ３０１）、処理規則記憶部２０５から、受信パケットに適合する照合規則を持つ処理規則を検索する。

前記検索の結果、受信パケットに適合する照合規則を持つ処理規則が見つかった場合（ステップＳ３０２のＹｅｓ）、転送ノード２００は、当該処理規則に定められた処理内容（アクション）を実行する（ステップＳ３０３）。

他方、前記検索の結果、受信パケットに適合する照合規則を持つ処理規則が見つからなかった場合（ステップＳ３０２のＮｏ）、転送ノード２００は、暫定処理規則設定ポリシー記憶部２０３を参照し、受信パケットが暫定処理規則の設定対象フローであるか否かを確認する（ステップＳ３０４）。

ここで、受信パケットが暫定処理規則の設定対象フローでない場合、例えば、受信パケットと図４のフロー情報が適合するエントリが暫定処理規則設定ポリシー記憶部２０３に登録されていない場合（ステップＳ３０４のＮｏ）、転送ノード２００は、暫定処理規則を設定することなく、制御装置に処理規則の設定要求を行う（ステップＳ３０７）。

他方、前記確認の結果、受信パケットが暫定処理規則の設定対象フローである場合、例えば、受信パケットと図４のフロー情報が適合するエントリが、暫定処理規則設定ポリシー記憶部２０３に登録されている場合（ステップＳ３０４のＹｅｓ）、転送ノード２００は、暫定処理規則設定ポリシー記憶部２０３の該当するエントリに定められた暫定処理規則設定ポリシーを参照し、暫定処理規則を作成する（ステップＳ３０５）。そして、転送ノード２００は、前記作成した暫定処理規則を処理規則記憶部２０５に設定する（ステップＳ３０６）。

その後、転送ノード２００は、制御装置に処理規則の設定要求を行う（ステップＳ３０７）。

以上のように本実施形態によれば、暫定処理規則設定ポリシーに定めた粒度で、未知パケット受領後の後続パケットによる制御装置への処理規則の設定要求を制御することが可能となる。

なお、上記した実施形態では、暫定処理規則の設定後に、処理規則の設定要求を行うものとして説明したが、処理規則の設定要求を行ってから、暫定処理規則の設定を行ってもよい。

また、上記した実施形態では、暫定処理規則の処理内容（アクション）として、パケットの廃棄を行うものとして説明したが、パケットのバッファ、予め定められた経路による転送、パケットの返送等、制御装置への処理規則の設定要求を抑止できるその他の処理内容（アクション）を定めることも可能である。

また、上記した実施形態では、処理規則の設定要求を受けた制御装置が処理規則の設定動作を行うものとして説明したが、処理規則の設定要求時に、転送ノード２００が、暫定処理規則として設定した内容を制御装置に通知するようにしてもよい。このようにすれば、制御装置が、処理規則の設定動作に代えて、暫定処理規則の承認動作（即ち、処理規則の設定を省略する。）を行うことが可能になる。

［第２の実施形態］
続いて、上記した第１の実施形態に変更を加えた本発明の第２の実施形態について図面を参照して詳細に説明する。

上記した第１の実施形態では、転送ノード２００が、処理規則と、暫定処理規則設定ポリシーとをそれぞれ別に管理するものとして説明したが、本発明の第２の実施形態は、これらを統合して管理するようにした点で相違している。以下、第１の実施形態との相違点を中心に説明する。

図１０は、本発明の第２の実施形態の転送ノード２００Ａの構成を表したブロック図である。図３に示した第１の実施形態の転送ノードとの相違点は、外部ノードからデータパケットを受信した際に、転送ノード２００の転送処理部２０６Ａが、処理規則記憶部２０５Ａを参照して受信パケットに適合する処理規則を検索する際に、受信パケットが暫定処理規則の設定対象フローであるか否かを確認する処理（図９のＳ３０４）を行うようにした点である。

図１１は、本実施形態の転送ノード２００Ａの処理規則記憶部２０５Ａに格納されているエントリを示す図である。図５に示した第１の実施形態の転送ノード２００の処理規則記憶部２０５に保持される処理規則エントリとの相違点は、Ｆｌｏｗ＃Ｎ、Ｆｌｏｗ＃Ｎ＋１で示されるエントリが追加されている点である。Ｆｌｏｗ＃Ｎ、Ｆｌｏｗ＃Ｎ＋１の部分は、図４に示したフロー情報（ｉｎｐｏｒｔ＝＃１ ｏｒ ＃２ ｏｒ ＃３、等）に相当し、アクションフィールドには設定すべき内容が暫定処理規則設定ポリシーが記載してある。

例えば、優先順位が上位の処理規則（Ｆｌｏｗ＃１、＃２）や暫定処理規則（Ｔｅｎｔａｔｉｖｅ Ｆｌｏｗ＃１）に適合しないが、照合規則中のｉｎｐｏｒｔ＝＃４ ｏｒ ＃５ ｏｒ ＃６に適合する未知のパケットを受信した場合、転送処理部２０６Ａから暫定処理規則設定ポリシー管理部２０２ＡにＰｏｌｉｃｙ＃２を適用すべき未知のパケットを受信した旨が通知される。前記通知を受けた暫定処理規則設定ポリシー管理部２０２Ａは、適用すべき暫定処理規則設定ポリシーを検索することなく、暫定処理規則設定ポリシー記憶部２０３から該当する暫定処理規則設定ポリシーであるＰｏｌｉｃｙ＃２を直接参照して、処理規則管理部２０４Ａを介して、暫定処理規則（Ｔｅｎｔａｔｉｖｅ Ｆｌｏｗ＃２）を処理規則記憶部２０５Ａに設定（追加）する動作を行う。

これにより、以降、暫定処理規則（Ｔｅｎｔａｔｉｖｅ Ｆｌｏｗ＃２）の照合規則に適合する受信パケットは、暫定処理規則（Ｔｅｎｔａｔｉｖｅ Ｆｌｏｗ＃２）に定められた処理内容（アクション）に従って処理される。

以上のように、本実施形態によれば、第１の実施形態と同様の効果に加え、転送ノード２００Ａの暫定処理規則設定ポリシーの検索動作を高速化することができる。また、本実施形態によれば、通常の処理規則の設定メッセージ（例えば、オープンフローのＦｌｏｗ Ｍｏｄ）を用いて、暫定処理規則設定ポリシーを設定することが可能となる。

また、上記した実施形態では、暫定処理規則設定ポリシー記憶部２０３と処理規則記憶部２０５Ａとをそれぞれ別個に設けて管理するものとして説明したが、図１１のアクションフィールドに暫定処理規則そのものを格納できるように拡張することで、暫定処理規則設定ポリシー記憶部２０３と処理規則記憶部２０５Ａとを統合することも可能である。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、１つの転送ノードに着目して暫定処理規則設定ポリシーを適用させる例を挙げて説明したが、ネットワークを構成する個々の転送ノードにそれぞれ異なる暫定処理規則設定ポリシーを設定することが可能である。

また、上記した各実施形態では、２つの暫定処理規則設定ポリシーがあるものとして説明したが、暫定処理規則設定ポリシーは１つでも良いし、３つ以上用意してもよい。また、暫定処理規則設定ポリシーを複数設定する場合において、暫定処理規則の数が一定数を超えるまでは、暫定処理規則の追加動作を行い、暫定処理規則の数が一定数を超えたら、暫定処理規則の追加はせずに、一律に入力ポート指定でパケットを廃棄する暫定処理規則に置き換えるなどの多段のポリシー構成を採用することも可能である。

また、上記した各実施形態では、本発明に係る転送ノード２００、２００Ａの適用分野を特に触れなかったが、本発明に係る転送ノードを、モバイルバックホールのエッジなどに好適に配置することで、不正な通信装置からのＤｏＳ攻撃による設定要求の集中発生を回避しつつ、種々の正当な基地局から受信する新規パケットによる処理規則の設定要求に対処させることができる。

また例えば、図１２に示すように、本発明に係る転送ノード２００、２００Ａは、広域データセンタのエッジにも好適に配置することが可能である。この場合も、バースト的なトラヒックによる処理規則の設定要求の集中発生を回避することができる。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

最後に、本発明の形態例を要約する。
［第１の形態］
受信パケットに応じた処理内容を定めた処理規則を転送ノードに設定する制御装置と、
前記処理規則に従って受信パケットを処理するパケット処理手段と、
前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、
前記第１のパケットのうち、所定の条件を満たす第２のパケットについて、前記設定要求の送信を制限する制限手段と、を備える転送ノードと、
を含む通信システム。
［第２の形態］
第１の形態において、
前記制限手段は、前記受信パケットに適用する処理を規定した所定の処理規則を追加することにより、前記要求手段による処理規則の設定要求の送信を抑止させる通信システム。
［第３の形態］
第２の形態において、
前記第２のパケットに適用する処理は、パケットの廃棄である通信システム。
［第４の形態］
第１から第３いずれか一の形態において、
前記制限手段は、予め設定されたポリシーに基づいて、前記要求手段による処理規則の設定要求動作を制限する通信システム。
［第５の形態］
第２から第４いずれか一の形態において、
前記転送ノードは、予め設定されたポリシーに基づいて、前記所定の処理規則を追加する通信システム。
［第６の形態］
第４または第５の形態において、
前記制御装置は、前記転送ノードのネットワークトポロジ上の位置またはトラヒック情報に基づいて、前記転送ノードに前記ポリシーを設定する通信システム。
［第７の形態］
第６の形態において、
前記制御装置は、前記転送ノードによって構成されたネットワークトポロジに変化が生じた場合に、前記転送ノードに設定した前記ポリシーを更新する通信システム。
［第８の形態］
第４から第７いずれか一の形態において、
前記ポリシーは、前記第２のパケットを特定するための照合規則と、前記制御装置に対して処理規則の設定要求を送信するとともに前記所定の処理規則を追加する処理内容と、を対応付けて構成されている通信システム。
［第９の形態］
第８の形態において、
前記転送ノードは、前記ポリシーおよび前記処理規則を格納したテーブルを参照して、受信パケットに適合するエントリを検索し、受信パケットの処理または前記所定の処理規則の追加処理を行う通信システム。
［第１０の形態］
第１から第９いずれか一の形態において、
前記転送ノードは、前記制御装置に処理規則の設定を要求する際に、前記所定の処理規則の内容を通知し、
前記制御装置は、前記処理規則の設定要求を受けた前記第１のパケットについて、新しい処理規則の設定または前記所定の処理規則の承認のいずれかを行う通信システム。
［第１１の形態］
受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段と、
前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、
前記第１のパケットのうち、所定の条件を満たす第２のパケットについて、前記設定要求の送信を制限する制限手段と、を備える転送ノード。
［第１２の形態］
第１１の形態において、
前記制限手段は、前記受信パケットに適用する処理を規定した所定の処理規則を追加することにより、前記要求手段による処理規則の設定要求の送信を抑止させる転送ノード。
［第１３の形態］
受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理する際に、前記受信パケットに適合する処理規則が設定されていない場合、所定の制御装置に対して、前記処理規則が設定されていない第１のパケットについて処理規則の設定要求を送信するステップと、
前記第１のパケットのうち、所定の条件を満たす第２のパケットについて、前記設定要求の送信を制限するステップと、を含む受信パケット処理方法。
［第１４の形態］
受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段を備えた転送ノードに搭載されたコンピュータに、
前記処理規則が設定されていない第１のパケットについて、所定の制御装置に対して処理規則の設定要求を送信する処理と、
前記第１のパケットのうち、所定の条件を満たす第２のパケットについて、前記設定要求の送信を制限する処理と、を実行させるプログラム。
［第１５の形態］
受信パケットに応じた処理内容を定めた処理規則を転送ノードに設定する制御装置と、
前記処理規則に従って受信パケットを処理するパケット処理手段と、
前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、
所定の条件を満たす第２のパケットについて、前記設定要求の送信を制限する制限手段と、を備える転送ノードと、
を含む通信システム。

２０、２００、２００Ａ 転送ノード
２１ 要求手段
２２、２０５、２０５Ａ 処理規則記憶部
２３ 制限手段
２４ パケット処理手段
１００ 制御装置
２０１ 通信部
２０２、２０２Ａ 暫定処理規則設定ポリシー管理部
２０３ 暫定処理規則設定ポリシー記憶部
２０４、２０４Ａ 処理規則管理部
２０６、２０６Ａ 転送処理部
２０７ 処理規則検索部
２０８ アクション実行部
２０９、２０９Ａ 転送処理管理部

Claims (13)

1. 異なるサービスを提供する複数のサーバに接続し、受信パケットに応じた処理内容を定めた処理規則に従って前記受信パケットを処理する複数の転送ノードと、
   受信パケットに応じた処理内容を定めた処理規則を前記転送ノードに設定する制御装置と、を含み、
   前記複数の転送ノードは、
   前記処理規則に従って受信パケットを処理するパケット処理手段と、
   前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、前記制御装置に対して処理規則の設定要求を送信する要求手段と、
   前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限する制限手段と、を備えることを特徴とする通信システム。
2. 前記制限手段は、前記受信パケットに適用する処理を規定した所定の処理規則を追加することにより、前記要求手段による処理規則の設定要求の送信を抑止させる請求項１の通信システム。
3. 前記第２のパケットに適用する処理は、パケットの廃棄である請求項２の通信システム。
4. 前記転送ノードは、予め設定されたポリシーに基づいて、前記所定の処理規則を追加する請求項２又は３の通信システム。
5. 前記制御装置は、前記転送ノードのネットワークトポロジ上の位置またはトラヒック情報に基づいて、前記転送ノードに前記ポリシーを設定する請求項４の通信システム。
6. 前記制御装置は、前記転送ノードによって構成されたネットワークトポロジに変化が生じた場合に、前記転送ノードに設定した前記ポリシーを更新する請求項５の通信システム。
7. 前記ポリシーは、前記第２のパケットを特定するための照合規則と、前記制御装置に対して処理規則の設定要求を送信するとともに前記所定の処理規則を追加する処理内容と、を対応付けて構成されている請求項４から６いずれか一の通信システム。
8. 前記転送ノードは、前記ポリシーおよび前記処理規則を格納したテーブルを参照して、受信パケットに適合するエントリを検索し、受信パケットの処理または前記所定の処理規則の追加処理を行う請求項７の通信システム。
9. 前記転送ノードは、前記制御装置に処理規則の設定を要求する際に、前記所定の処理規則の内容を通知し、
   前記制御装置は、前記処理規則の設定要求を受けた前記第１のパケットについて、新しい処理規則の設定または前記所定の処理規則の承認のいずれかを行う請求項２から８いずれか一の通信システム。
   
10. 受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段と、
    前記受信パケットのうち、前記処理規則が設定されていない第１のパケットについて、制御装置に対して処理規則の設定要求を送信する要求手段と、
    を備え、異なるサービスを提供する複数のサーバに接続する転送ノードであって、さらに、
    前記第１のパケットのうち、前記サーバが提供するサービスに対応付いていない第２のパケットに対して、前記要求手段による処理規則の設定要求動作を制限する制限手段と、を備えることを特徴とする転送ノード。
11. 前記制限手段は、前記受信パケットに適用する処理を規定した所定の処理規則を追加することにより、前記要求手段による処理規則の設定要求の送信を抑止させる請求項１０の転送ノード。
12. 受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理する際に、前記受信パケットに適合する処理規則が設定されていない場合、所定の制御装置に対して、前記処理規則が設定されていない第１のパケットについて処理規則の設定要求を送信するステップと、
    前記第１のパケットのうち、サーバが提供するサービスに対応付いていない第２のパケットに対して、前記による処理規則の設定要求動作を制限するステップと、を含む受信パケット処理方法。
13. 受信パケットに応じた処理内容を定めた処理規則に従って受信パケットを処理するパケット処理手段を備えた転送ノードに搭載されたコンピュータに、
    前記処理規則が設定されていない第１のパケットについて、所定の制御装置に対して処理規則の設定要求を送信する処理と、
    前記第１のパケットのうち、サーバが提供するサービスに対応付いていない第２のパケットに対して、前記による処理規則の設定要求動作を制限する処理と、を実行させるプログラム。