JP5939298B2 - 通信端末、通信方法および通信システム - Google Patents

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−２０３２７６号（２０１１年９月１６日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、制御装置がネットワーク上のパケット処理を集中制御する通信技術に関する。

サーバやモバイル端末等の通信端末は、様々なパケット処理を実行する。通信端末が実行するパケット処理の負荷を軽減するための様々な技術が提案されている。例えば、特許文献１に開示されているように、通信端末は、パケットフィルタリング処理を、ソフトウェアによる処理とハードウェアによる処理とに分割することにより、自身が実行するパケットフィルタリング処理の負荷を軽減している。特許文献１の通信端末は、このようにパケットフィルタリング処理を分割することにより、パケットフィルタリング処理の負荷を軽減している。

特開２００８−２９４８９５号

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年９月８日検索］、インターネット〈URL: http://www.openflow.org/documents/openflow-wp-latest.pdf〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２）、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年９月８日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉

以下の分析は、本発明によって与えられたものである。特許文献１に開示されている技術により、通信端末自体で実行されるパケットフィルタリング処理に要する負荷を軽減することはできる。

しかしながら、特許文献１の方法では、通信端末におけるパケットフィルタリング処理の負荷は軽減されるが、通信端末におけるパケットフィルタリング処理自体を避けることはできない。よって、特許文献１に開示される技術では、通信端末で実行されるパケット処理の負荷軽減としては十分ではなく、改善の余地がある。

同様の問題は、パケットフィルタリング処理だけではなく、アドレス付け替え、ヘッダの書き換えやパケット解析等の各種のパケット処理を行う通信端末においても起こりうる。

本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、通信端末におけるパケット処理の負荷をより大きく削減できる通信端末、通信方法および通信システムを提供することにある。

本発明の第１の視点によれば、パケットを転送する転送装置と、該転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置とを含むネットワークと通信する第一の手段と、前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定する第二の手段と、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する第三の手段とを備える通信端末が提供される。

本発明の第２の視点によれば、パケットを転送する転送装置と、該転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置とを含むネットワークと通信する通信端末による通信方法であって、前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定し、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する通信方法が提供される。本方法は、上記したネットワークに接続された通信端末という、特定の機械に結びつけられている。

本発明の第３の視点によれば、パケットを転送する転送装置と、前記転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置と、前記ネットワークと通信するための第一の手段と、前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定する第二の手段と、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する第三の手段とを備える通信端末と、を含むことを特徴とする通信システムが提供される。

本発明によれば、通信端末で実行されるべきパケット処理を、ネットワーク側に代行させ、通信端末側のパケット処理による負荷を大幅に削減できる。

本発明の一実施形態のシステム構成の例を示す図である。 本発明の第１の実施形態のシステム構成の例を示す図である。 処理規則の例を示す図である。 アクセスログの例を示す図である。 アクセス制限の判定に用いる判定基準表の例を示す図である。 制御装置４００の構成例を示す図である。 第１の実施形態の動作例を示す図である。 第１の実施形態の動作例を示す図である。 本発明の第２の実施形態のシステム構成の例を示す図である。 本発明の第３の実施形態のシステム構成の例を示す図である。 関連技術を説明するための図である。

はじめに本発明の一実施形態の概要を説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

本発明の通信端末（図１の符号１）は、制御装置（図１の符号４００）がスイッチやルータ等の転送装置（図１の転送ノード２００〜２２０）によるパケット転送を集中制御するアーキテクチャを有するネットワーク（図１の符号２）に接続可能となっている。そして、本発明の通信端末（図１の符号１）は、ネットワーク（図１の符号２）に、通信端末（図１の符号１）で実行されるべきパケット処理を代理で実行させる。よって、本発明により、通信端末（図１の符号１）上で実行されるパケット処理の負荷が、大幅に削減される。

集中制御型のアーキテクチャの一例として、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術がある（非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復等を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置であるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合する条件が定められたマッチフィールド（Ｍａｔｃｈ Ｆｉｅｌｄｓ；照合規則）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したインストラクション（Ｉｎｓｔｒｕｃｔｉｏｎｓ；指示）と、の組が定義される（図１１参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチフィールドを持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、該エントリのインストラクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送する。オープンフローコントローラは、受信パケットの送信元・送信先等の情報に基づいたパケットの経路の決定し、決定した経路に対応するフローエントリをオープンフロースイッチに設定する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。

なお、集中制御型のアーキテクチャとしては上記オープンフローに限定されない。本発明は、集中管理型のネットワークアーキテクチャであれば実施可能である。

図１を参照し、本発明のシステム構成例を説明する。図１は例示であり、本発明のシステム構成は、図１の記載に限定されない。

ネットワーク２は、制御装置４００に集中制御される転送ノード２００〜２２０で構成される。なお、ネットワーク２は、制御装置４００により制御されないノードを含んでいてもよい。

制御装置４００は、転送ノード２００〜２２０の少なくとも１つに対して、パケットの処理方法を規定した処理規則を設定する。制御装置４００は、転送ノードに対して処理規則を設定することで、転送ノードによるパケットの転送処理等を集中管理する。

通信端末１は、上記した第一の手段に相当する通信機能を備え、制御装置４００による集中制御される転送ノードで構成されるネットワーク２と通信を行う。通信端末１がネットワーク２と通信する方式は、有線、無線を問わずどのような方式であってもよい。即ち、通信端末１は、サーバ、パーソナルコンピュータ、モバイル端末、ルータ、モバイルルータ等の様々なネットワークアプライアンスの形態を採ることができる。

決定部１０は、上記した第二の手段に相当し、通信端末１で実行すべきパケット処理のうち、ネットワーク２に実行させる処理を決定する。例えば、決定部１０は、特定の送信元から通信端末１宛てに送信されたパケットを廃棄する処理を、ネットワーク２に実行させる処理として決定する。

通知部１１は、上記した第三の手段に相当し、決定部１０が決定した処理に関連する処理規則を、転送ノード２００〜２２０の少なくとも１つに通知する。通知部１１は、例えば、ある識別条件に合致するパケットを廃棄するという処理が決定されている場合、転送ノード２００〜２２０の少なくとも１つに、廃棄するパケットの識別条件と、その識別条件に合致するパケットを廃棄する指示とを含む処理規則を、通知する。

また、例えば、決定部１０は、通信端末１が送受信するパケットの通信量に基づいてトラフィックを制御する処理（例えば、通信量が所定の閾値を超過した場合にパケットを廃棄する処理）を、ネットワーク２に実行させる処理と決定する。この場合、通知部１１は、通信端末１の識別情報（端末のアドレス等）、通信量に関する条件（閾値等）及びトラフィック制御方法（パケットの廃棄等）に基づいて、以下のような処理規則を生成する。第１に、通知部１１は、例えば、転送ノード２００〜２２０の少なくとも１つに対して、通信端末１が送受信するパケットの識別条件を特定した照合規則と、その照合規則に合致するパケットの通信量をモニタすることを規定した処理規則を通知する。第２に、通知部１１は、転送ノード２００〜２２０の少なくとも１つに対して、モニタした通信量に応じた処理を規定した処理規則を通知する。これら処理規則が設定された転送ノード２００〜２２０の少なくとも１つは、前記処理規則に従って、通信量が所定の閾値を超過した場合に、パケットを廃棄する処理や、パケットの通信経路を狭帯域の経路に変更する、等の処理を実行する。

決定部１０が決定する例として記載した上記の処理は例示であり、決定部１０が決定する処理は上記に限らない。

決定部１０は、上記の処理を、所定のポリシ（通信端末１の負荷、通信端末１の通信量、通信端末１を使用している時間帯、所定の条件に合致するパケット等）に基づいて決定してもよい。例えば、決定部１０は、通信端末１の負荷に応じて、特定の送信元から通信端末１宛てに送信されたパケットを廃棄する処理を、ネットワーク２に実行させる処理として決定する。

通知部１１は、転送ノード２００〜２２０の少なくとも１つに通知する処理規則に有効期限を設定し、有効期限が経過後は処理規則が無効になるようにしてもよい。

以上説明したように、本発明の通信端末１は、通信端末１で実行されるべきパケット処理をネットワーク上で代替実行させる。よって、本発明により、通信端末１上で実行されるパケット処理の負荷が、大幅に削減される。

また、通信端末１が、制御装置４００に代わって処理規則を生成し、生成した処理規則を転送ノードに通知するので、制御装置４００の負荷も削減される。

［第１の実施形態］
本発明の第１の実施形態について、図２を用いて説明する。本発明の第１の実施形態では、通信端末１が、アクセス元装置１００からのアクセス状況に応じて、ネットワーク２にアクセス制御処理を実行させる。

図２を参照すると、アクセス元装置１００から通信端末１に送信されるパケットの転送処理を行う複数の転送ノード２００、２１０、２２０と、これらの転送ノードに処理規則を設定する制御装置４００を含む構成が示されている。なお、図２のシステム構成は例示であり、本発明の構成は図２に記載されたものに限定されない。

転送ノード２００、２１０、２２０は、例えば、受信パケットと照合する照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する。

図３に処理規則の例を示す。転送ノード２００、２１０、２２０は、例えば、受信したパケットが照合規則に規定された条件（例えば、送信元アドレスがＡで、宛先アドレスがａ）に合致するパケットか否かを、処理規則が格納されたテーブルを参照して判定する。転送ノード２００、２１０、２２０は、照合規則に合致する処理規則が見つかった場合、その照合規則に対応する処理内容に従ってパケットを処理する。

転送ノード２００、２１０、２２０としては、図１１に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いてもよい。

図２の例では、通信端末１は転送ノード２２０に接続し、アクセス元装置１００は、転送ノード２００、２１０、２２０を介して、通信端末１と通信する。

通信端末１は、アクセス元装置１００のアクセス先である。例えば、通信端末１は、Ｗｅｂサーバやデータベース、移動体通信端末、ＰＣ、およびＰＣ内部で稼働するＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）等、あらゆる通信機器が該当する。

通信端末１の決定部１０は、通信端末１に対するアクセス数やパケット量等のログ情報等を用いて、多量の送信履歴があるアクセス元装置１００を特定する。決定部１０は、特定されたアクセス元装置１００のＩＰアドレス、およびＭＡＣアドレス、マシン名等、アクセス元装置１００を一意に特定するためのアクセス元情報を特定する。

通知部１１は、特定されたアクセス元情報に基づいて、転送ノードに通知する処理規則を生成する。

図４と図５とを用いて、決定部１０の動作例を示す。図４は、通信装置１に対するアクセスログの一例を示す。図５は、決定部１０がネットワーク２に実行させる処理を決定するための判定基準の例を示す。

図４を参照すると、通信端末１に対するアクセスの履歴を時系列に記録したアクセスログ５００が示されている。例えば、アクセスログ５００の０１行目の「９９．９９．９９．９９」は、通信端末１にアクセスする装置のＩＰアドレスである。また、０１行目の「［１５／Ｊｕｎ／２０１１：１０：４０：３１ ＋０９００］は、通信端末１がＩＰアドレス（９９．９９．９９．９９）の装置からアクセスされた時刻である。０１行目の“ＧＥＴ ／ｉｎｄｅｘ．ｈｔｍｌ”は、アクセス元の装置がアクセスした通信端末１内のＨＴＭＬページのＵＲＬを表す。図４のアクセスログ５００の記載フォーマットは一例であり、他のどのようなフォーマットであってもよい。例えば、アクセス元のＩＰアドレスに加えて、アクセス元のＭＡＣアドレスやマシン名等が一緒に記載されていてもよい。

図５は、決定部１０が、図４のアクセスログ５００を用いて、ネットワーク２に実行させる処理を決定するための判定基準の例を示す。図５の判定基準表６００は、決定部１０がアクセスを拒否するアクセス元を判定するために用いる基準値を予め登録した表である。例えば、判定基準表６００の１行目は、「アクセス元は任意、アクセス先が“／ｉｎｄｅｘ．ｈｔｍｌ”、アクセス数は５回、時間範囲はなし」という条件である。決定部１０は、この条件にヒットするアクセス元装置が存在するか否かを図４のアクセスログ５００を参照して調べる。なお、判定基準表６００の“−”は、条件となる特定の値を設定しない（つまり、条件には用いない）という意味である。なお、通信端末１のユーザが判定基準表６００の値を自由に追加・修正・削除できるようにしてもよい。

図４のアクセスログ５００によると、ＩＰアドレス“９９．９９．９９．９９”を有するアクセス元装置から“／ｉｎｄｅｘ．ｈｔｍｌ”に対するアクセスが繰り返し行われている。この場合、決定部１０は、アクセスログ５００を０１行目から順に調査し、アクセスログ５００の０６行目において、図５の判定基準表の１行目の条件に合致すると判定する。決定部１０は、通信端末１へのアクセスを拒否するために、アクセス元のＩＰアドレス「９９．９９．９９．９９」を通知部１１へ送信する。

決定部１０は、上記のような判定基準表６００を用いる代わりに、サーバ管理者等のユーザがアクセスログを監視して特定したアクセス元のＩＰアドレス等の情報を、制御装置４００に送信してもよい。

通信端末１がＷｅｂサーバ等のコンピュータである場合、アクセスログ５００に代わり、パケットフィルタリングを実現するためのソフトウェアであるＩＰＴａｂｌｅｓ（Ｌｉｎｕｘ(登録商標)のソフトウェア）の情報を用いてもよい。通信端末１がファイアウォールである場合、ファイアウォールが持つアクセスログ情報を用いてもよいし、その他、アクセス元を特定するためのどのような情報を用いてもよい。

通知部１１は、決定部１０からアクセスを拒否するＩＰアドレス等の情報を受信すると、受信したＩＰアドレスのアクセス元と通信端末１との間のパケットの転送を拒否する処理規則を作成し、転送ノード２００、２１０、２２０の少なくとも一つに設定する。

前記作成した処理規則は、転送ノード２００、２１０、２２０の中から適宜選択された１つ以上の転送ノードに設定される。例えば、通知部１１は、通信端末１に最も近い転送ノード（図２では、転送ノード２２０）に処理規則を設定してもよい。また、各転送ノードの位置関係を把握できている場合、通知部１１は、アクセス元装置１００に最も近い転送ノード（図２では、転送ノード２１０）に処理規則を設定してもよい。

通知部１１は、処理規則に有効期限を付与して、転送ノードに送信してもよい。処理規則は、有効期限経過後、無効となる。また、通知部１１は、所定の期間経過後、転送ノードに対して、設定した処理規則の削除を指示してもよい。転送ノードに設定された処理規則が無効化若しくは削除されることにより、アクセス元装置１００の通信端末１に対するアクセス制限が解除される。

図６は、本発明の第１の実施形態の制御装置４００の構成例を示す図である。図６を参照すると、制御装置４００は、転送ノード２００、２１０、２２０との通信を行うノード通信部４０１と、制御メッセージ処理部４０２と、処理規則管理部４０３と、処理規則記憶部４０４と、転送ノード管理部４０５と、経路・アクション計算部４０６と、トポロジ管理部４０７と、端末位置管理部４０８を含む。

制御メッセージ処理部４０２は、転送ノードから受信した制御メッセージを解析して、制御装置４００内の該当する処理手段に制御メッセージ情報を引き渡す。

処理規則管理部４０３は、どの転送ノードにどのような処理規則が設定されているかを管理する。経路・アクション計算部４０６にて作成された処理規則を処理規則記憶部４０４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部４０４の登録情報をアップデートする。

転送ノード管理部４０５は、制御装置４００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。

経路・アクション計算部４０６は、転送ノードから処理規則の設定要求を受けると、処理規則の設定要求に含まれるパケット情報に基づいて、該パケットの転送経路および該転送経路に対応する処理規則を作成する。

経路・アクション計算部４０６は、端末位置管理部４０８にて管理されている通信端末の位置情報とトポロジ管理部４０７にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。経路・アクション計算部４０６は、転送ノード管理部４０５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させる処理内容と、該処理内容を適用するフローを特定するための照合規則を決定する。

トポロジ管理部４０７は、ノード通信部４０１を介して収集された転送ノード２００、２１０、２２０の接続関係に基づいてネットワークトポロジ情報を構築する。

端末位置管理部４０８は、通信システムに接続している通信端末１やアクセス元装置１００の位置を特定するための情報を管理する。本実施形態では、通信端末１やアクセス元装置１００を識別する情報としてＩＰアドレスを、通信端末１やアクセス元装置１００の位置を特定するための情報として、通信端末１やアクセス元装置１００が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。通信端末１やアクセス元装置を識別するための情報や、通信端末１やアクセス元装置１００の位置を特定するための情報は、上記の情報に限らない。

図６に示した制御装置４００の機能は、コンピュータプログラムにより実現することもできる。コンピュータプログラムは非一時的（non-transitory）な媒体としてコンピュータ読み取り可能な記録媒体に記録することができる。

通知部１１は、以下に示すような種々の形態に変更することができる。例えば、通知部１１は、図６に示した制御装置４００と同等の機能を備える処理手段によって構成することもできる。また例えば、通知部１１が、制御装置４００から転送ノードに通知することを許可された処理規則を、転送ノードに通知することとしてもよい。また例えば、通知部１１は、転送ノードに処理規則を通知する際、制御装置４００に対し処理規則を通知することの許可を要求し、制御装置４００が許可した場合に、転送ノードに処理規則を通知することとしてもよい。制御装置４００に対し許可を要求した結果、決定部１０が決定した処理規則が許可されなかった場合、通知部１１は、決定部１０に対し、決定部１０が決定した処理が許可されなかったことを通知してもよい。決定した処理が許可されなかった場合、決定部１０が改めて別の処理を決定することとしてもよい。

また例えば、通知部１１は、制御装置４００から予め通知された処理規則の候補から、転送ノードに設定する処理規則を選択し、転送ノードに対し前記選択した処理規則を通知することとしてもよい。なお、制御装置４００から予め通知された処理規則の候補の中に、決定部１０が決定した処理に対応する処理規則が候補に含まれていない場合、通知部１１は、決定部１０に対して対応する処理規則が存在しないことを通知してもよい。この場合も、決定部１０が、改めて別の処理を決定することとしてもよい。

また例えば、通知部１１は、予め制御装置４００から権限委譲された範囲内で、決定部１０が決定した処理に対応する処理規則を生成してよい。

通信端末１は、通知部１１に相当する機能を有するソフトウェアモジュールをダウンロードし、ダウンロードしたモジュールを用いて転送ノードに処理規則を通知してもよい。

続いて、本実施形態の動作について図７及び図８を参照して説明する。図７及び図８は、本発明の第１の実施形態の動作例を示す。

はじめに、図７を参照し、アクセス元装置１００から送信されたパケットが通信端末１へ到達する動作を説明する。

アクセス元装置１００が通信端末１へパケット送信を行うと（図７のＳ００１）、該パケットは、転送ノード（図２の場合、転送ノード２１０）に届く。

転送ノードは、アクセス元装置１００から受信したパケットの転送先を判定し（図７のＳ００２）、判定した転送先へパケットを転送する（図７のＳ００３）。前記パケットの転送先を判定する際に、転送ノードは、制御装置４００から通知された処理規則から、受信パケットに対応する処理規則を検索する。転送ノードは、受信パケットに対応する処理規則が検索された場合、検索された処理規則に従って受信パケットを転送する。図２の場合、転送ノード２１０はアクセス元装置１００から受信したパケットを転送ノード２２０へ転送し、転送ノード２２０は、転送ノード２１０から転送されたパケットを通信端末１に転送する。以上が、アクセス元装置１００と通信端末１との間のパケット転送動作である。

次に、通信端末１が、アクセスを拒否するアクセス元装置を特定し、特定したアクセス元装置からのアクセスを制御する処理に対応する処理規則を転送ノードに設定する動作を、図８を用いて説明する。

図８を参照すると、アクセス元装置１００が転送ノードへパケットを送信し（図８のＳ１０１）、転送ノードは受信したパケットの転送先を判定する（図８のＳ１０２）。

アクセス元装置１００が送信したパケットは、図７のＳ００１〜Ｓ００３と同様に、転送ノードにより通信端末１まで転送される（図８のＳ１０３）。

通信端末１は、図４に示したアクセスログ５００と、図５に示した判定基準表６００とを用いて、アクセスを拒否すべきアクセス元装置１００を判定する（図８のＳ１０４）。アクセスを拒否すべきアクセス元装置１００がある場合、通信端末１は、アクセスログ５００からアクセス元装置１００のＩＰアドレスを抽出し、抽出したＩＰアドレスをアクセス元情報として通知部１１へ送信する。通知部１１は、受信したアクセス元情報に基づいて、転送ノードに設定する処理規則を生成する（図８のＳ１０５）。通知部１１は、例えば、受信したアクセス元情報に対応するアクセス元装置１００から通信端末１に送信されるパケットを破棄する処理規則を生成する。

通知部１１は、少なくとも１つの転送ノード（ここでは、図２の転送ノード２２０とする。）に対し、前記生成した処理規則を送信する（図８のＳ１０６）。通知部１１は、前記処理規則を転送ノード２００または転送ノード２１０へ設定してもよい。アクセス元装置１００から通信端末１１までの経路上に複数の転送ノードがある場合、通知部１１は、それらの転送ノードのどれに処理規則を設定してもよい。

転送ノード２２０は、通知部１１から処理規則を受信し、受信した処理規則を記憶部の処理規則テーブルに格納する（図８のＳ１０７）。

アクセス元装置１００が、再度、通信端末１宛てにパケットを送信すると（図８のＳ１０８）、転送ノードには、通信端末１により設定された処理規則に従って、アクセス元装置１００から送信されたパケットを破棄する（図８のＳ１０９）。

なお、転送ノードに設定されている処理規則には、通信端末１のアクセスログを参照して、サーバ管理者等のユーザ自身が設定した処理規則が含まれていてもよい。

例えば、通信端末１がファイアウォールである時、ファイアウォールにおいてパケットを拒否しているアクセスが頻発している場合、拒否されているパケットを送信しているアクセス元のＩＰアドレスを含むパケットを破棄する処理規則を転送ノードに設定することで、ファイアウォールの処理負荷を低減することができる。

また、例えば、通信端末１がＲＡＤＩＵＳ等に代表される認証サーバである場合、該認証サーバにおいて常に認証に失敗しているアクセスを破棄する処理規則を作成して転送ノードに設定することで、認証サーバである通信端末１の処理負荷を低減することができる。

また例えば、通信端末１がＷｅｂサーバの場合、「Ｗｅｂページの閲覧処理は、１，０００ビュー／秒まで認めて、それを超える場合は、Ｗｅｂサーバの負荷を低減するために、Ｗｅｂページの閲覧を拒否する」や、「Ｗｅｂページの更新処理は、１０ビュー／秒まで認めて、それを超える場合は、Ｗｅｂサーバの負荷を低減するために、Ｗｅｂページの更新を拒否する」といった判定基準を設け、該判定基準に応じた細かな設定、および該設定に応じた制御装置４００での処理規則作成と転送ノードへの設定を行うことで、通信端末１の処理負荷を低減することができる。

［第２の実施形態］
続いて、通信端末に変更を加えた本発明の第２の実施形態を説明する。本発明の第２の実施形態において、通信端末１は、通信量に基づいて、ネットワーク２に所定の処理を実行させる。

図９は、第２の実施形態のシステム構成の例を示す。図９を参照すると、第１の実施形態の通信端末１と比較して通信量測定部１２が追加された通信端末１ａを含む構成が示されている。図９のシステム構成は例示であり、本発明のシステム構成は図９に記載の構成に限定されない。

通信量測定部１２は、通信端末１ａとネットワーク２との間の通信量をモニタする。例えば、通信量測定部１２は、通信端末１ａが送受信するパケット数をモニタする。また、例えば、通信量測定部１２は、通信端末１ａが送受信したデータ量をモニタする。なお、通信量測定部１２が通信量をモニタする方法は、これらの方法に限定されない。

決定部１０は、通信量測定部１２がモニタした通信量に基づいて、ネットワーク２に実行させる処理を決定する。

例えば、決定部１０は、通信量が所定の閾値を超過した場合、ネットワーク２に実行させる処理として、パケットが通信端末１ａに対して送信される通信経路を、狭帯域の通信経路に変更する処理を決定する。

通知部１１は、決定部１０が決定した処理に対応する処理規則を転送ノードに通知する。通知部１１は、例えば、決定部１０から通知された通信端末１ａの識別子（例えば、ＩＰアドレス）と通信帯域に基づいて、転送ノード２００〜２２０の少なくとも１つに設定する処理規則を決定する。例えば、通知部１１は、宛先若しくは送信元が通信端末１ａであるパケット（通信端末１ａの識別子が送信元若しくは宛先に設定されているパケット）が、決定部１０から通知された通信帯域の通信経路で転送されるように処理規則を生成し、通信経路に対応する転送ノードに対して生成した処理規則を通知する。

通知部１１は、処理規則に有効期限を付与して、転送ノードに送信してもよい。処理規則は、有効期限経過後、無効となる。また、通知部１１は、所定の期間経過後、転送ノードに対して、設定した処理規則の削除を指示してもよい。転送ノードに設定された処理規則が無効化若しくは削除されることにより、通信端末１ａが送受信するパケットの転送経路の帯域が、狭帯域から通常の帯域に戻る。

また例えば、決定部１０は、通信量が所定の閾値を超過した場合、ネットワーク２に実行させる処理として、通信端末１ａが送受信するパケットを廃棄する処理を決定してもよい。通知部１１は、決定部１０が決定した処理に対応する処理規則を生成する。例えば、通知部１１は、通信端末１ａの識別子（例えば、ＩＰアドレス）に対応するパケットの廃棄する処理内容を規定した処理規則を生成する。

通知部１１は、例えば、宛先若しくは送信元が通信端末１ａであるパケット（通信端末１ａのＩＰアドレスが宛先若しくは送信元に設定されたパケット）を廃棄することを規定した処理規則を転送ノード２００〜２２０の少なくとも１つに設定する。転送ノードは、宛先若しくは送信元が通信端末１ａであるパケットを受信した場合、設定された処理規則に従って、受信パケットを廃棄する。

この場合においても通知部１１は、処理規則に有効期限を付与して、転送ノードに送信してもよい。処理規則は、有効期限経過後、無効となる。また、通知部１１は、所定の期間経過後、転送ノードに対して、設定した処理規則の削除を指示してもよい。転送ノードに設定された処理規則が無効化若しくは削除されることにより、宛先若しくは送信元が通信端末１であるパケットが廃棄されずに転送される。

そのほか、決定部１０は、通信量と共に、時間帯も考慮してネットワーク２に処理を実行させる処理を決定してもよい。例えば、決定部１０は、通信量が所定の閾値を超過し、かつ、特定の時間帯である場合に、宛先若しくは送信元が通信端末１であるパケットを廃棄する処理や、宛先若しくは送信元が通信端末１ａであるパケットを狭帯域の通信経路に退避する処理をネットワーク２に実行させてもよい。

第２の実施形態により、例えば、通信量に応じた従量制の課金契約に基づいて通信端末１ａを使用するユーザは、通信量に応じた課金を容易に管理できる。例えば、ユーザが通信端末１ａに通信量の閾値を設定しておけば、通信端末１ａは、設定された閾値に基づいて、通信端末１ａのトラフィックに関するパケットを廃棄する処理をネットワーク２に実行させることができる。ネットワーク２が通信端末１ａに代わって処理を実行するので、通信端末１ａは、パケットを廃棄する処理に要する負荷を軽減できる。

また、例えば、基本は通信量に応じた従量制の課金であるが、狭帯域の経路を使用する場合には定額制の課金となる契約に基づいて通信端末１ａを使用するユーザは、通信量に応じた課金を容易に管理できる。例えば、ユーザが通信端末１ａに通信量の閾値を設定しておけば、通信端末１ａは、設定された閾値に基づいて、通信端末１ａのトラフィックに関するパケットを狭帯域の通信経路に退避させる処理をネットワーク２に実行させることができる。ネットワーク２が通信端末１ａに代わって処理を実行するので、通信端末１ａは、パケットを廃棄する処理に要する負荷を軽減できる。

[第３の実施形態]
続いて、通信端末に変更を加えた本発明の第３の実施形態を説明する。本発明の第３の実施形態では、通信端末１は、パケットフィルタリング処理を、ネットワーク２に実行させる。

図１０は、第３の実施形態のシステム構成の例を示す。図１０を参照すると、第１の実施形態の通信端末１と比較してポリシ生成部１３が追加された通信端末１ｂを含む構成が示されている。図１０のシステム構成は例示であり、本発明のシステム構成は図１０に記載の構成に限定されない。

ポリシ生成部１３は、パケットフィルタリングのためのポリシを生成する。ポリシ生成部１３は、例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別（例えばＴＰＣ）等のパケット識別条件について、通信の「許可」や「拒否」というフィルタリングポリシを生成する。例えば、ポリシ生成部１３は、送信元ＩＰアドレスが“１０．２０．３０．４０”であるパケットの通信を「許可」するポリシや、ポート番号が“１０２４”であり、かつ、送信元ＩＰアドレスが“１１．２１．３１．４１”であるパケットの通信を「拒否」するポリシを生成する。

決定部１０は、ポリシ生成部１３が生成したポリシのうち、ネットワーク２にパケットフィルタリングを実行させるためのポリシを決定する。なお、決定部１０は、ポリシ生成部１３が生成したすべてのポリシに基づいて、ネットワーク２にパケットフィルタリング処理を実行させると決定してもよい。

通知部１１は、決定部１０が決定したポリシに基づいて、転送ノードに設定する処理規則を生成する。例えば、通知部１１は、ポート番号が“１０２４”であり、かつ、送信元ＩＰアドレスが“１１．２１．３１．４１”であるパケットをブロックする（例えば、パケットの廃棄）処理規則を生成する。通知部１１は、任意の転送ノードに対し、前記生成した処理規則を通知する。例えば、通知部１１は、通信端末１が接続する転送ノードに処理規則を設定する。また、例えば、通知部１１は、複数のポリシの各々に対応する処理規則を複数の転送ノードに分散して設定してもよい。

またこのとき、通知部１１は、決定部１０が決定したポリシのうち、パケットを「拒否」するポリシに対応する処理規則のみを転送ノードに設定してもよい。

転送ノードは、設定された処理規則に従って、パケットフィルタリング処理を実行する。

以上のように、本発明の第３の実施形態では、通信端末１は、通信端末１で実行すべきパケットフィルタリング処理を、ネットワーク２に代理で実行させることができる。よって、通信端末１は、ポリシに基づいてパケットをフィルタする処理に要する負荷をオフロードすることができる。

以上、本発明の各実施形態を説明したが、本発明は、上記した各実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。また、各実施形態を適宜組み合わせて実施してもよい。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１、１ａ、１ｂ 通信端末
２ ネットワーク
１０ 決定部
１１ 通知部
１２ 通信量測定部
１３ ポリシ生成部
１００ アクセス元装置
２００、２１０、２２０ 転送ノード
４００ 制御装置
４０１ ノード通信部
４０２ 制御メッセージ処理部
４０３ 処理規則管理部
４０４ 処理規則記憶部
４０５ 転送ノード管理部
４０６ 経路・アクション計算部
４０７ トポロジ管理部
４０８ 端末位置管理部
５００ アクセスログ
６００ 判定基準表

Claims (27)

1. パケットを転送する転送装置と、該転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置とを含むネットワークと通信する第一の手段と、
   前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定する第二の手段と、
   前記転送装置に対し、前記決定した処理に対応する処理規則を通知する第三の手段と
   を備えることを特徴とする通信端末。
2. 前記第三の手段は、前記制御装置からの許可に応じて、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する
   ことを特徴とする請求項１に記載の通信端末。
3. 前記第三の手段は、前記転送装置に対し、前記制御装置から前記転送装置への設定を許可された所定の処理規則を通知する
   ことを特徴とする請求項１または２に記載の通信端末。
4. 前記第三の手段は、前記制御装置から通知された所定の処理規則から、前記決定した処理に対応する処理規則を選択し、前記転送装置に対して前記選択した処理規則を通知する
   ことを特徴とする請求項１から３いずれか一に記載の通信端末。
5. 前記第三の手段は、前記制御装置から委譲された権限に基づいて、前記転送装置に対して処理規則を通知する
   ことを特徴とする請求項１から４いずれか一に記載の通信端末。
6. 前記第三の手段は、前記転送装置へ処理規則を設定するためのモジュールを受信し、該モジュールを用いて前記転送装置に対して処理規則を通知する
   ことを特徴とする請求項１から５いずれか一に記載の通信端末。
7. 前記第二の手段は、所定のポリシに基づいて、前記ネットワークに実行させる処理を決定する
   ことを特徴とする請求項１から６いずれか一に記載の通信端末。
8. 前記第二の手段は、前記通信端末の負荷に基づいて、前記ネットワークに実行させる処理を決定する
   ことを特徴とする請求項１から７いずれか一に記載の通信端末。
9. 前記第二の手段は、前記通信端末に対するアクセス量に基づいて、前記ネットワークに実行させる処理を決定する
   ことを特徴とする請求項１から８いずれか一に記載の通信端末。
10. 前記第二の手段は、前記通信端末の通信量に基づいて、前記ネットワークに実行させる処理を決定する
    ことを特徴とする請求項１から９いずれか一に記載の通信端末。
11. 前記第二の手段は、前記通信端末へのアクセスを制限するための処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１から１０いずれか一に記載の通信端末。
12. 前記第二の手段は、前記通信端末に関するパケットの通信経路の帯域を制御する処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１から１１いずれか一に記載の通信端末。
13. 前記第二の手段は、前記通信端末に関するパケットをフィルタリングする処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１から１２いずれか一に記載の通信端末。
14. パケットを転送する転送装置と、該転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置とを含むネットワークと通信する通信端末による通信方法であって、
    前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定し、
    前記転送装置に対し、前記決定した処理に対応する処理規則を通知する
    ことを特徴とする通信方法。
15. 前記制御装置からの許可に応じて、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する
    ことを特徴とする請求項１４に記載の通信方法。
16. 前記転送装置に対し、前記制御装置から前記転送装置への設定を許可された所定の処理規則を通知する
    ことを特徴とする請求項１４または１５に記載の通信方法。
17. 前記制御装置から通知された所定の処理規則から、前記決定した処理に対応する処理規則を選択し、前記転送装置に対して前記選択した処理規則を通知する
    ことを特徴とする請求項１４から１６いずれか一に記載の通信方法。
18. 前記制御装置から委譲された権限に基づいて、前記転送装置に対して処理規則を通知する
    ことを特徴とする請求項１４から１７いずれか一に記載の通信方法。
19. 前記転送装置へ処理規則を設定するためのモジュールを受信し、該モジュールを用いて前記転送装置に対して処理規則を通知する
    ことを特徴とする請求項１４から１８いずれか一に記載の通信方法。
20. 所定のポリシに基づいて、前記ネットワークに実行させる処理を決定する
    ことを特徴とする請求項１４から１９いずれか一に記載の通信方法。
21. 前記通信端末の負荷に基づいて、前記ネットワークに実行させる処理を決定する
    ことを特徴とする請求項１４から２０いずれか一に記載の通信方法。
22. 前記通信端末に対するアクセス量に基づいて、前記ネットワークに実行させる処理を決定する
    ことを特徴とする請求項１４から２１いずれか一に記載の通信方法。
23. 前記通信端末の通信量に基づいて、前記ネットワークに実行させる処理を決定する
    ことを特徴とする請求項１４から２２いずれか一に記載の通信方法。
24. 前記通信端末へのアクセスを制限するための処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１４から２３いずれか一に記載の通信方法。
25. 前記通信端末に関するパケットの通信経路の帯域を制御する処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１４から２４いずれか一に記載の通信方法。
26. 前記通信端末に関するパケットをフィルタリングする処理を、前記ネットワークに実行させる処理として決定する
    ことを特徴とする請求項１４から２５いずれか一に記載の通信方法。
27. パケットを転送する転送装置と、
    前記転送装置に対して、パケットの処理方法を規定した処理規則を通知する制御装置と、
    前記転送装置および前記制御装置を含むネットワークと通信するための第一の手段と、前記通信端末で実行すべきパケット処理のうち、前記ネットワークに実行させる処理を決定する第二の手段と、前記転送装置に対し、前記決定した処理に対応する処理規則を通知する第三の手段とを備える通信端末と、を含むことを特徴とする通信システム。

Images