JP6069236B2 - アプリケーション識別システムの転送削減方法、アプリケーション識別装置およびアプリケーション識別プログラム - Google Patents

Description

本発明は、ＩＰネットワークにおけるデータパケットのアプリケーション識別を行うアプリケーション識別システムの転送削減方法、アプリケーション識別装置およびアプリケーション識別プログラムに関する。

近年では、アプリケーションを意識したサービスの提供や、プロビジョニングのための詳細なネットワーク状況把握を目的として、ＩＰパケットのペイロード部を解析するＤＰＩ（Deep Packet Inspection）装置の導入が進んでいる。ＤＰＩ装置は、フローの高次レイヤ分析によりアプリケーション識別を実現するアプリケーション識別機能と、５ｔｕｐｌｅベースのフロー制御を実現するパケットヘッダ識別制御機能の両方を具備している。ＤＰＩ装置は、ポリシ管理機能からの指示によって識別や制御を実施する。

図８は、第１比較例のＤＰＩ装置をインラインに設置したアプリケーション識別システム１Ｅの概略の構成図である。
第１比較例のアプリケーション識別システム１Ｅは、コア網９にポリシ管理装置４と、ＤＰＩ装置２Ｅ−１，２Ｅ−２とが、それぞれ相互に通信可能に接続されている。

ＤＰＩ装置２Ｅ−１は、Ｌ７（Layer 7）分析によりアプリケーション識別を実現するアプリケーション識別部３Ｅ−１と、５ｔｕｐｌｅベースのフロー制御を実現するパケットヘッダ識別制御部２１−１の両方を備えている。５ｔｕｐｌｅとは、送信元ＩＰアドレス・宛先ＩＰアドレス・送信元ポート番号・宛先ポート番号・プロトコル番号のことをいう。

ＤＰＩ装置２Ｅ−２は、同様なアプリケーション識別部３Ｅ−２と、パケットヘッダ識別制御部２１−２とを備えている。ＤＰＩ装置２Ｅ−１，２Ｅ−２は、それぞれユーザ端末５−１，５−２をコア網９に接続するエッジルータである。
ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ポリシ管理装置４からの指示によってデータパケットのアプリケーション識別や制御を実施する。

3GPP、「3GPP TS 23.203: 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Policy and charging control architecture」、２０１３年９月、Release 12

第１比較例に示す、フローのＬ７（Layer 7）分析などの高次レイヤ分析は、５ｔｕｐｌｅ識別と比較して高コストである。次世代ネットワーク（ＮＧＮ）のような大規模ネットワークの全回線にＤＰＩ装置を設置すると、分割損が多量に発生して高コストになる虞がある。よって、大規模ネットワークの回線において、アプリケーション単位の制御を低コストで効率的に実現することが求められている。

本発明は、前記した問題を解決し、ＩＰネットワークにおけるフローのアプリケーション識別を効率的に行うことを課題とする。

前記課題を解決するため、フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、設定されたポリシに合致するフローをこのアプリケーション識別装置へ転送して共用する複数のパケットヘッダ識別制御部とを備えるアプリケーション識別システムの転送削減方法の発明とした。アプリケーション識別装置は、フローの宛先に合致するポリシをフローに適用したならば、このフローに宛先ポリシ適用済みタグを付与する。パケットヘッダ識別制御部は、フローを構成するパケットに宛先ポリシ適用済みタグが付与されていたならば、この宛先ポリシ適用済みタグを削除して、このフローをルーティングに基づき転送し、フローを構成するパケットにこの宛先ポリシ適用済みタグが付与されていなかったならば、このフローが設定されたポリシに合致するか否かを判断し、設定されたポリシに合致するならば、このアプリケーション識別装置へ転送する。

アプリケーション識別装置では、パケットヘッダ識別制御部から転送されるフローを受信し、このパケットヘッダ識別制御部にフローを転送する通信部と、このフローの送信元に関するポリシが設定されていたならば、このポリシをこのフローに適用し、このフローの宛元に関するポリシが設定されていたならば、このポリシをこのフローに適用するポリシ適用処理部と、宛元に関するポリシを適用したフローに、宛先ポリシ適用済みタグを付与するタグ付与部と、各ポリシを格納する記憶部とを備える。

アプリケーション識別プログラムの発明では、パケットヘッダ識別制御部から転送されるフローを受信し、このフローの送信元に関するポリシが設定されていたならば、このポリシをこのフローに適用し、このフローの宛先に関するポリシが設定されていたならば、このポリシをこのフローに適用して宛先ポリシ適用済みタグを付与し、このフローをこのパケットヘッダ識別制御部に転送する処理をアプリケーション識別装置に実行させることとした。

このようにすることで、パケットヘッダ識別制御部がアプリケーション識別装置を共用し、かつ、このアプリケーション識別装置への転送を一度で済ませることができる。これにより、ＩＰネットワークにおけるフローのアプリケーション識別を効率的に行うことができる。

本発明によれば、ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行うことが可能となる。

第１の実施形態におけるアプリケーション識別システムを示す概略の構成図である。 第１の実施形態におけるアプリケーション識別システムのフローの転送経路例を示す図である。 第１の実施形態におけるパケットヘッダ識別制御部の処理を示すフローチャートである。 第１の実施形態におけるアプリケーション識別装置の処理を示すフローチャートである。 第２の実施形態におけるアプリケーション識別装置の処理を示すフローチャートである。 第３の実施形態におけるアプリケーション識別システムを示す概略の構成図である。 第３の実施形態におけるポリシ管理装置の処理を示すフローチャートである。 第１比較例のＤＰＩ装置をインラインに設置したアプリケーション識別システムの概略の構成図である。 第２比較例のアプリケーション識別システムを示す概略の構成図である。 第２比較例の送信元と宛先のパケットヘッダ識別制御部にポリシ設定した例を示す図である。

次に、第２比較例と本発明を実施するための形態（「実施形態」という）とについて、適宜図面を参照しながら詳細に説明する。
＜第２比較例＞
図９は、第２比較例のアプリケーション識別システム１Ｃを示す概略の構成図である。
アプリケーション識別システム１Ｃは、アプリケーション識別装置３Ｃを、複数のパケットヘッダ識別制御部２１Ｃ−１〜２１Ｃ−３で共用するように、ネットワーク上に配置している。これによりアプリケーション識別システム１Ｃは、アプリケーション識別装置３Ｃの利用効率を向上させることが可能である。
アプリケーション識別装置３Ｃは、フローを構成するパケットのデータ部分を識別する。

アプリケーション識別システム１Ｃにおいて、パケットヘッダ識別制御部２１Ｃ−１〜２１Ｃ−３は、コア網９のエッジとしてインラインに設置される。パケットヘッダ識別制御部２１Ｃ−１〜２１Ｃ−３は、設定されたポリシに合致するフローをアプリケーション識別装置３Ｃへ転送して、アプリケーション識別装置３Ｃを共用する。以下、パケットヘッダ識別制御部２１Ｃ−１〜２１−３を特に区別しない場合には、単に「パケットヘッダ識別制御部２１Ｃ」と記載している場合がある。

図１０は、第２比較例の送信元と宛先のパケットヘッダ識別制御部２１Ｃにポリシ設定した例を示す図である。
大規模ネットワークでは、コア網９内の全ての装置に、このコア網９内で使用する全てのポリシを適用することは困難である。そのため、ポリシ管理装置４は、パケットヘッダ識別制御部２１Ｃに対して、このパケットヘッダ識別制御部２１Ｃが直接接続する外部ネットワークに関するポリシを設定することが一般的である。

例えば、ユーザ端末５−１（ユーザＡ）に接続するパケットヘッダ識別制御部２１Ｃ−１には、ユーザＡをキーとするポリシＡが設定される。
ユーザ端末５−２（ユーザＢ）に接続するパケットヘッダ識別制御部２１Ｃ−２には、ユーザＢをキーとするポリシＢが設定される。
サーバ７（サーバＸ）に接続するパケットヘッダ識別制御部２１Ｃ−４には、サーバＸをキーとするポリシＸが設定される。
フローＦ２０は、サーバ７（サーバＸ）が送信元であり、ユーザ端末５−１（ユーザＡ）が宛先である。

パケットヘッダ識別制御部２１Ｃ−４は、コア網９外からコア網９内への入力のフローＦ２０を受信すると、その送信元ＩＰアドレスにより、送信元がアプリケーション識別対象の装置であるか否かを判定する。パケットヘッダ識別制御部２１Ｃ−４は、フローＦ２０の送信元がサーバ７（サーバＸ）であり、アプリケーション識別対象の装置なので、このフローＦ２０をアプリケーション識別装置３Ｃへ転送する。このフローＦ２０は、アプリケーション識別装置３Ｃで処理されると、パケットヘッダ識別制御部２１Ｃ−４に返送される。
パケットヘッダ識別制御部２１Ｃ−４は、アプリケーション識別装置３Ｃから返送されたフローＦ２０を受信すると、通常のルーティング処理を行う。このフローＦ２０は、パケットヘッダ識別制御部２１Ｃ−１にルーティングされる。

パケットヘッダ識別制御部２１Ｃ−１は、コア網９内からコア網９外への出力のフローＦ２０を受信すると、その宛先ＩＰアドレスにより、宛先がアプリケーション識別対象の装置であるか否かを判定する。パケットヘッダ識別制御部２１Ｃ−１は、出力フローＦ２０の宛先がユーザ端末５−１（ユーザＡ）であり、アプリケーション識別対象の装置なので、このフローＦ２０をアプリケーション識別装置３Ｃへ転送する。このフローＦ２０は、アプリケーション識別装置３Ｃで処理されると、パケットヘッダ識別制御部２１Ｃ−１に返送される。
パケットヘッダ識別制御部２１Ｃ−１は、アプリケーション識別装置３Ｃから返送されたフローＦ２０を受信すると、通常のルーティング処理を行う。このフローＦ２０は、ユーザ端末５−１（ユーザＡ）にルーティングされる。

フローＦ２１は、ユーザ端末５−１（ユーザＡ）が送信元であり、ユーザ端末５−２（ユーザＢ）が宛先である。
パケットヘッダ識別制御部２１Ｃ−１は、コア網９外からコア網９内への入力のフローＦ２１を受信すると、その送信元ＩＰアドレスにより、送信元がアプリケーション識別対象の装置であるか否かを判定する。パケットヘッダ識別制御部２１Ｃ−１は、フローＦ２１の送信元がユーザ端末５−１（ユーザＡ）であり、アプリケーション識別対象の装置なので、このフローＦ２１をアプリケーション識別装置３Ｃへ転送する。このフローＦ２１は、アプリケーション識別装置３Ｃで処理されると、パケットヘッダ識別制御部２１Ｃ−１に返送される。
パケットヘッダ識別制御部２１Ｃ−１は、アプリケーション識別装置３Ｃから返送されたフローＦ２１を受信すると、通常のルーティング処理を行う。このフローＦ２１は、パケットヘッダ識別制御部２１Ｃ−２にルーティングされる。

パケットヘッダ識別制御部２１Ｃ−２は、コア網９内からコア網９外への出力のフローＦ２１を受信すると、その宛先ＩＰアドレスにより、宛先がアプリケーション識別対象の装置であるか否かを判定する。パケットヘッダ識別制御部２１Ｃ−２は、出力フローＦ２１の宛先がユーザ端末５−２（ユーザＢ）であり、アプリケーション識別対象の装置なので、このフローＦ２１をアプリケーション識別装置３Ｃへ転送する。このフローＦ２１は、アプリケーション識別装置３Ｃで処理されると、パケットヘッダ識別制御部２１Ｃ−２に返送される。
パケットヘッダ識別制御部２１Ｃ−２は、アプリケーション識別装置３Ｃから返送されたフローＦ２１を受信すると、通常のルーティング処理を行う。このフローＦ２１は、ユーザ端末５−２（ユーザＢ）にルーティングされる。

第２比較例のように、ネットワークを流れるフローをアプリケーション単位で制御する場合に、パケットヘッダ識別制御部２１Ｃ−１，２１Ｃ−２，２１Ｃ−４において、アプリケーション識別装置３Ｃに転送するフローを絞り込むことで、アプリケーション識別リソースを削減する方式が検討されている。

第２比較例では、パケットヘッダ識別制御部２１が直接接続する外部ネットワークに関するポリシを設定する構成である。フローＦ２０，Ｆ２１のように、送信元と宛先の双方がアプリケーション識別対象の装置であった場合、フローは、アプリケーション識別装置３Ｃへ２度転送される。よって、通信品質の低下やアプリケーション識別装置３Ｃのリソースの２重消費が発生し、効率が低下する。

第１の実施形態のアプリケーション識別装置３は、送信元と宛先の処理を一度に行い、宛先ポリシ適用済みタグを付与する。アプリケーション識別装置３がタグを付与することで、１つのフローがアプリケーション識別装置３に２度転送されることを防止する。これにより、アプリケーション識別処理に必要なリソースを大幅に削減することが可能である。

＜第１の実施形態＞
図１は、第１の実施形態におけるアプリケーション識別システム１を示す概略の構成図である。
図１に示すように、アプリケーション識別システム１は、コア網９に、アプリケーション識別装置３と、ポリシ管理装置４と、パケットヘッダ識別制御部２１−１，２１−２とを備えている。パケットヘッダ識別制御部２１−１，２１−２は、コア網９のエッジとしてインラインに設置される。

アプリケーション識別装置３は、通信部３１と、ポリシ適用処理部３２と、タグ付与部３３と、記憶部３４とを備える。アプリケーション識別装置３は、パケットヘッダ識別制御部２１からフローを受信すると、フローの宛先に合致するポリシを検索して適用し、フローを構成するパケットのデータ部分を識別する。
通信部３１は、各パケットヘッダ識別制御部２１から転送されるフローを受信し、このフローをパケットヘッダ識別制御部２１に返送する。

記憶部３４は、各パケットヘッダ識別制御部２１と同様なアプリケーション識別ポリシを保持する。記憶部３４には、ユーザ端末５−１（ユーザＡ）に係るポリシＡと、ユーザ端末５−３（ユーザＣ）に係るポリシＣと、ユーザ端末５−４（ユーザＤ）に係るポリシＤとが格納される。なお、記憶部３４には、ユーザ端末５−２（ユーザＢ）に係るポリシＡは格納されていない。
ポリシ適用処理部３２は、フローを構成するパケットに、各アプリケーション識別ポリシを適用する。ポリシ適用処理部３２は、このフローの送信元に関するポリシが自身に設定されていたならば、このポリシをこのフローに適用し、このフローの宛先に関するポリシが自身に設定されていたならば、このポリシをこのフローに適用する。ポリシ適用処理部３２は、フローを構成するパケットのデータ部分を識別することにより、該当するアプリケーション識別ポリシを適用する。
タグ付与部３３は、宛先に関するポリシを適用したフローに、宛先ポリシ適用済みタグを付与する。

ポリシ管理装置４と、パケットヘッダ識別制御部２１−１，２１−２と、アプリケーション識別装置３とは、相互に通信可能に接続されている。ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＡのアプリケーション識別を実施するポリシＡと、ユーザＣのアプリケーション識別を実施するポリシＣと、ユーザＤのアプリケーション識別を実施するポリシＤとを設定している。

アプリケーション識別システム１は、パケットヘッダ識別制御部２１−１を介してユーザ端末５−１，５−２に接続され、更にパケットヘッダ識別制御部２１−２を介してユーザ端末５−３，５−４に接続される。すなわち、ユーザ端末５−１（ユーザＡ）とユーザ端末５−２（ユーザＢ）とは、パケットヘッダ識別制御部２１−１を介してコア網９に接続している。ユーザ端末５−３（ユーザＣ）とユーザ端末５−４（ユーザＤ）とは、パケットヘッダ識別制御部２１−２を介してコア網９に接続している。
パケットヘッダ識別制御部２１−１，２１−２には、何らポリシが設定されていない。

ユーザＡとユーザＣは、フローＦ０によりユニキャストで通信している。フローＦ０は、ユーザ端末５−１からパケットヘッダ識別制御部２１−１とコア網９とパケットヘッダ識別制御部２１−２とを介してユーザ端末５−３に至るフローと、その逆のフローとである。

ユーザＢとユーザＤは、フローＦ１によりユニキャストで通信している。フローＦ１は、ユーザ端末５−２からパケットヘッダ識別制御部２１−１とコア網９とパケットヘッダ識別制御部２１−２とを介してユーザ端末５−４に至るフローと、その逆のフローとである。

図２は、第１の実施形態におけるアプリケーション識別システム１のフローの転送経路例を示す図である。
図１で示した状態の後、ポリシ管理装置４は、フローをアプリケーション識別装置３に転送するために、パケットヘッダ識別制御部２１−１に、ユーザ端末５−１（ユーザＡ）が送信元または宛先のフローをアプリケーション識別装置３へ転送させるポリシＡを設定する。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−２に、ユーザ端末５−３（ユーザＣ）が送信元または宛先のフローをアプリケーション識別装置３へ転送させるポリシＣを設定する。ポリシ管理装置４は、パケットヘッダ識別制御部２１−２に、ユーザ端末５−４（ユーザＤ）が送信元または宛先のフローをアプリケーション識別装置３へ転送させるポリシＤを設定する。
パケットヘッダ識別制御部２１−１には、ポリシＡが設定される。パケットヘッダ識別制御部２１−２には、ポリシＣ・ポリシＤが設定される。
なお、各ポリシは、該当する装置が送信元のみであるフローや、該当する装置が宛先のみであるフローに対するポリシであってもよい。

フローＦ２は、ユーザＡからユーザＣへ通信するフローである。
ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−３（ユーザＣ）を宛先とするフローＦ２を、パケットヘッダ識別制御部２１−１を介して送信する。

パケットヘッダ識別制御部２１−１は、ユーザ端末５−１（ユーザＡ）からフローＦ２を受信すると、自身に設定されたポリシＡに基づき、このフローＦ２をアプリケーション識別装置３へ転送する。

アプリケーション識別装置３は、受信したフローＦ２に合致するポリシを検索する。アプリケーション識別装置３は、ポリシＡおよびポリシＣを適用する。アプリケーション識別装置３は、フローＦ２の宛先であるユーザ端末５−３（ユーザＣ）のポリシＣを適用したため、フローＦ２に宛先ポリシ適用済みタグを付与する。アプリケーション識別装置３は、このフローＦ２をパケットヘッダ識別制御部２１−１へ返送する。パケットヘッダ識別制御部２１−１は、返送されたフローＦ２に通常のルーティング処理を行う。このフローＦ２は、パケットヘッダ識別制御部２１−２にルーティングされる。

パケットヘッダ識別制御部２１−２は、受信したフローＦ２に宛先ポリシ適用済みタグが付与されていることから、宛先のユーザ端末５−３（ユーザＣ）に関するポリシＣが適用済みであることを検知する。パケットヘッダ識別制御部２１−２は、このフローＦ２をアプリケーション識別装置３へ転送せず、通常のルーティング処理を行う。このフローＦ２は、ユーザ端末５−３（ユーザＣ）にルーティングされる。

フローＦ３は、ユーザＣからユーザＡへ通信するフローである。
ユーザ端末５−３（ユーザＣ）は、ユーザ端末５−１（ユーザＡ）を宛先とするフローＦ３を、パケットヘッダ識別制御部２１−２を介して送信する。
パケットヘッダ識別制御部２１−２は、ユーザ端末５−３（ユーザＣ）からフローＦ３を受信すると、自身に設定されたポリシＣに基づき、このフローＦ３をアプリケーション識別装置３へ転送する。

アプリケーション識別装置３は、受信したフローＦ３に合致するポリシを検索し、ポリシＣおよびポリシＡを適用する。アプリケーション識別装置３は、フローＦ３の宛先であるユーザ端末５−１（ユーザＡ）のポリシＡを適用したため、フローＦ３に宛先ポリシ適用済みタグを付与する。アプリケーション識別装置３は、このフローＦ３をパケットヘッダ識別制御部２１−２へ返送する。パケットヘッダ識別制御部２１−２は、返送されたフローＦ３に通常のルーティング処理を行う。このフローＦ３は、パケットヘッダ識別制御部２１−１にルーティングされる。

パケットヘッダ識別制御部２１−１は、受信したフローＦ３に宛先ポリシ適用済みタグが付与されていることから、宛先のユーザ端末５−１（ユーザＡ）に関するポリシが適用済みであることを検知する。パケットヘッダ識別制御部２１−１は、このフローＦ３を、アプリケーション識別装置３へ転送せずに通常のルーティング処理を行う。このフローＦ３は、ユーザ端末５−１（ユーザＡ）にルーティングされる。

フローＦ４は、ユーザＢからユーザＤへ通信するフローである。
ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−４（ユーザＤ）を宛先とするフローＦ４を、パケットヘッダ識別制御部２１−１を介して送信する。

パケットヘッダ識別制御部２１−１は、ユーザ端末５−２（ユーザＢ）からフローＦ４を受信すると、ユーザ端末５−２（ユーザＢ）に関するポリシが無いことを確認し、このフローＦ４に通常のルーティング処理を行う。このフローＦ４は、パケットヘッダ識別制御部２１−２にルーティングされる。

パケットヘッダ識別制御部２１−２は、受信したフローＦ４に宛先ポリシ適用済みタグが付与されていないことから、自身に設定されたポリシＤに基づき、このフローＦ４をアプリケーション識別装置３へ転送する。

アプリケーション識別装置３は、受信したフローＦ４に合致するポリシを検索し、ポリシＤを適用する。アプリケーション識別装置３は、フローＦ４をパケットヘッダ識別制御部２１−２へ返送する。
パケットヘッダ識別制御部２１−２は、返送されたフローＦ４に通常のルーティング処理を行う。このフローＦ４は、ユーザ端末５−４（ユーザＤ）にルーティングされる。

フローＦ５は、ユーザＤからユーザＢへ通信するフローである。
ユーザ端末５−４（ユーザＤ）は、ユーザ端末５−２（ユーザＢ）を宛先とするフローＦ５を、パケットヘッダ識別制御部２１−２を介して送信する。
パケットヘッダ識別制御部２１−２は、ユーザ端末５−４（ユーザＤ）からフローＦ５を受信すると、自身に設定されたポリシＤに基づき、このフローＦ５をアプリケーション識別装置３へ転送する。

アプリケーション識別装置３は、受信したフローＦ５に合致するポリシを検索し、ポリシＤを適用する。アプリケーション識別装置３は、このフローＦ５をパケットヘッダ識別制御部２１−２へ返送する。パケットヘッダ識別制御部２１−２は、返送されたフローＦ５に通常のルーティング処理を行う。このフローＦ５は、パケットヘッダ識別制御部２１−１にルーティングされる。

パケットヘッダ識別制御部２１−１は、受信したフローＦ５に宛先ポリシ適用済みタグが付与されていないことから、自身に設定されたポリシを確認し、ポリシＢが無いことを確認する。パケットヘッダ識別制御部２１−１は、このフローＦ５をアプリケーション識別装置３へ転送せずに、通常のルーティング処理を行う。このフローＦ５は、ユーザ端末５−２（ユーザＢ）にルーティングされる。

図３は、第１の実施形態におけるパケットヘッダ識別制御部２１の処理を示すフローチャートである。
パケットヘッダ識別制御部２１に、コア網９内からフローが到着すると、図３の処理が開始する。
ステップＳ１０において、パケットヘッダ識別制御部２１は、コア網９内から到着したフローを受信する。

ステップＳ１１において、パケットヘッダ識別制御部２１は、このフローが宛先ポリシ適用済みタグ付きであるか否かを判断する。パケットヘッダ識別制御部２１は、このフローが宛先ポリシ適用済みタグ付きであったならば（Ｙｅｓ）、ステップＳ１２の処理を行い、このフローが宛先ポリシ適用済みタグ付きではなかったならば（Ｎｏ）、ステップＳ１３の処理を行う。
ステップＳ１２において、パケットヘッダ識別制御部２１は、このフローから宛先ポリシ適用済みタグを削除して、ステップＳ１６の処理を行う。

ステップＳ１３において、パケットヘッダ識別制御部２１は、このフローがアプリケーション識別対象のフローであるか否かを判断する。パケットヘッダ識別制御部２１は、このフローがアプリケーション識別対象のフローであったならば（Ｙｅｓ）、ステップＳ１４の処理を行い、このフローがアプリケーション識別対象のフローではなかったならば（Ｎｏ）、ステップＳ１６の処理を行う。
ステップＳ１４において、パケットヘッダ識別制御部２１は、このフローを、アプリケーション識別装置３へ転送する。
ステップＳ１５において、パケットヘッダ識別制御部２１は、アプリケーション識別装置３からフローが返送されるまで待ち、このフローを受信する。
ステップＳ１６において、パケットヘッダ識別制御部２１は、このフローを通常のルーティングに基づいて転送し、図３の処理を終了する。

このようにすることで、パケットヘッダ識別制御部２１は、フローをアプリケーション識別装置３に転送する回数を１回とすることができるので、アプリケーション識別処理を効率化することができる。

図４は、第１の実施形態におけるアプリケーション識別装置３の処理を示すフローチャートである。
アプリケーション識別装置３に、パケットヘッダ識別制御部２１が転送したフローが到着すると、図４の処理が開始する。
ステップＳ２０において、アプリケーション識別装置３は、パケットヘッダ識別制御部２１から到着したフローを受信する。アプリケーション識別装置３は、このフローの送信元ポリシを格納している。
ステップＳ２１において、アプリケーション識別装置３は、送信元ポリシのアプリケーション識別処理を行う。

ステップＳ２２において、アプリケーション識別装置３は、このフローの宛先ポリシを格納しているか否かを判断する。アプリケーション識別装置３は、このフローの宛先ポリシを格納していたならば（Ｙｅｓ）、ステップＳ２３の処理を行い、このフローの宛先ポリシを格納していなかったならば（Ｎｏ）、ステップＳ２５の処理を行う。
ステップＳ２３において、アプリケーション識別装置３は、宛先ポリシのアプリケーション識別処理を行う。
ステップＳ２４において、アプリケーション識別装置３は、このフローを構成するパケットに、宛先ポリシ適用済みタグを付与する。
ステップＳ２５において、アプリケーション識別装置３は、このフローをパケットヘッダ識別制御部２１へ返送し、図４の処理を終了する。

アプリケーション識別装置３は、一度のフローの転送で、送信元ポリシと宛先ポリシの両方を適用するので、フローのアプリケーション識別を効率的に行うことができる。

＜第２の実施形態＞
図５は、第２の実施形態におけるアプリケーション識別装置３の処理を示すフローチャートである。
ステップＳ３０において、アプリケーション識別装置３は、パケットヘッダ識別制御部２１から到着したフローを受信する。アプリケーション識別装置３は、このフローの送信元ポリシを格納している。

ステップＳ３１において、アプリケーション識別装置３は、このフローの宛先ポリシを格納しているか否かを判断する。アプリケーション識別装置３は、このフローの宛先ポリシを格納していたならば（Ｙｅｓ）、ステップＳ３２の処理を行い、このフローの宛先ポリシを格納していなかったならば（Ｎｏ）、ステップＳ３５の処理を行う。
ステップＳ３２において、アプリケーション識別装置３は、送信元ポリシと宛先ポリシとをマージする。ここで、ポリシのマージとは、例えば両ポリシに共通する処理を１回の処理に纏めることをいう。
ステップＳ３３において、アプリケーション識別装置３は、マージしたポリシのアプリケーション識別処理を行う。

ステップＳ３４において、アプリケーション識別装置３は、このフローを構成するパケットに、宛先ポリシ適用済みタグを付与し、ステップＳ３６の処理を行う。
ステップＳ３５において、アプリケーション識別装置３は、送信元ポリシのアプリケーション識別処理を行う。
ステップＳ３６において、アプリケーション識別装置３は、このフローをパケットヘッダ識別制御部２１へ返送し、図５の処理を終了する。

第２の実施形態のアプリケーション識別装置３は、送信元に関するポリシと宛先に関するポリシとをマージして適用し、宛先ポリシ適用済みタグを付与する。例えば、送信元ポリシと宛先ポリシの両方に、ウイルスチェックの処理が含まれていたならば、２回のウイルスチェックの処理をマージして１回に纏める。これにより、フローのアプリケーション識別を、更に効率的に行うことができる。

＜第３の実施形態＞
図６は、第３の実施形態におけるアプリケーション識別システム１Ｂを示す概略の構成図である。図１に示す第１の実施形態のアプリケーション識別システム１と同一の要素には同一の符号を付与している。
アプリケーション識別システム１Ｂは、第１の実施形態とは異なるアプリケーション識別装置３Ｂと、ポリシ管理装置４Ｂとを備えている。アプリケーション識別装置３Ｂは、第１の実施形態とは異なるポリシ適用処理部３２Ｂを備えている。

アプリケーション識別装置３Ｂの記憶部３４には、ポリシＡ・ポリシＣ・ポリシＤに加えて、ポリシＡとポリシＣとがマージされたポリシＡＣと、ポリシＡとポリシＤとがマージされたポリシＡＤと、ポリシＣとポリシＤとがマージされたポリシＣＤとが格納されている。
ポリシ適用処理部３２Ｂは、パケットの送信元ポリシと、パケットの宛先ポリシとを適用することに加えて、パケットの送信元と宛先とをマージしたポリシを適用する機能を有している。ポリシ適用処理部３２Ｂは、フローの宛先に関するポリシおよびこのフローの送信元に関するポリシが設定されていたならば、これらをマージしたポリシをこのフローに適用する。
ポリシ管理装置４は、送信元と宛先のポリシをマージしてアプリケーション識別装置３Ｂに設定する。アプリケーション識別装置３Ｂは、ポリシ適用処理部３２Ｂにより、マージされたポリシを適用することができる。

図７は、第３の実施形態におけるポリシ管理装置４Ｂの処理を示すフローチャートである。
ステップＳ４０において、ポリシ管理装置４Ｂは、設定する各ポリシをアプリケーション識別装置３Ｂに設定する。ここでポリシ管理装置４Ｂが設定するのは、送信元ポリシと宛先ポリシとである。
ステップＳ４１において、ポリシ管理装置４Ｂは、設定する各ポリシのうち２個の組合せを抽出する。例えば図６の例で、ポリシ管理装置４Ｂは、ポリシＡとポリシＣの組合せ、ポリシＣとポリシＤの組合せ、ポリシＣとポリシＤの組合せの３個を抽出する。
ステップＳ４２において、ポリシ管理装置４Ｂは、抽出した２個のポリシをマージする。
ステップＳ４３において、ポリシ管理装置４Ｂは、マージした各ポリシを、アプリケーション識別装置３Ｂに設定する。

ステップＳ４４において、ポリシ管理装置４Ｂは、２個の組合せを全て抽出したかを判断する。ポリシ管理装置４Ｂは、２個の組合せを全て抽出していなかったならば、ステップＳ４１に戻り、ポリシ管理装置４Ｂは、２個の組合せを全て抽出していたならば、図７の処理を終了する。

ユーザ端末５は、一般的に同一のポリシを選択することが多い。つまり、フローの送信元ポリシと宛先ポリシとが同一である頻度は高い。第３の実施形態のアプリケーション識別装置３Ｂは、同一のポリシの多重適用を予め抑止して、アプリケーション識別を効率的に行うことができる。

本発明の各装置は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。

１，１Ｂ，１Ｃ，１Ｅ アプリケーション識別システム
２Ｅ−１，２Ｅ−２ ＤＰＩ装置
２１−１，２１−２，２１Ｃ−１，２１Ｃ−２，２１Ｃ-３，２１Ｃ−４ パケットヘッダ識別制御部
３，３Ｂ，３Ｃ アプリケーション識別装置
３Ｅ−１，３Ｅ−２ アプリケーション識別部
３１ 通信部
３２，３２Ｂ ポリシ適用処理部
３３ タグ付与部
３４ 記憶部
４，４Ｂ ポリシ管理装置
５−１，５−２，５−３，５−４ ユーザ端末
７ サーバ
９ コア網

Claims (6)

1. フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、
   設定されたポリシに合致するフローを前記アプリケーション識別装置へ転送して、前記アプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
   を備えるアプリケーション識別システムの転送削減方法であって、
   前記アプリケーション識別装置は、
   フローの宛先に合致するポリシを当該フローに適用したならば、当該フローに宛先ポリシ適用済みタグを付与し、
   前記パケットヘッダ識別制御部は、
   フローを構成するパケットに前記宛先ポリシ適用済みタグが付与されていたならば、当該宛先ポリシ適用済みタグを削除して、当該フローをルーティングに基づき転送し、
   フローを構成するパケットに前記宛先ポリシ適用済みタグが付与されていなかったならば、当該フローが設定されたポリシに合致するか否かを判断し、設定されたポリシに合致するならば、前記アプリケーション識別装置へ転送する、
   ことを特徴とするアプリケーション識別システムの転送削減方法。
2. 前記アプリケーション識別装置は、
   送信元に関するポリシと宛先に関するポリシとをマージして適用する、
   ことを特徴とする請求項１に記載のアプリケーション識別システムの転送削減方法。
3. 前記アプリケーション識別システムは、送信元に関するポリシと宛先に関するポリシとを予めマージして、前記アプリケーション識別装置に設定するポリシ管理装置を備えており、
   前記アプリケーション識別装置は、予めマージされたポリシをフローに適用する、
   ことを特徴とする請求項１に記載のアプリケーション識別システムの転送削減方法。
4. パケットヘッダ識別制御部から転送されるフローを受信し、前記パケットヘッダ識別制御部にフローを転送する通信部と、
   当該フローの送信元に関するポリシが設定されていたならば、このポリシを当該フローに適用し、当該フローの宛先に関するポリシが設定されていたならば、このポリシを当該フローに適用するポリシ適用処理部と、
   宛先に関するポリシを適用したフローに、宛先ポリシ適用済みタグを付与するタグ付与部と、
   各ポリシを格納する記憶部と、
   を備えるアプリケーション識別装置。
5. 前記ポリシ適用処理部は、
   前記フローの宛先に関するポリシおよび当該フローの送信元に関するポリシが設定されていたならば、これらをマージしたポリシを当該フローに適用する、
   ことを特徴とする請求項４に記載のアプリケーション識別装置。
6. パケットヘッダ識別制御部から転送されるフローを受信し、
   当該フローの送信元に関するポリシが設定されていたならば、このポリシを当該フローに適用し、当該フローの宛先に関するポリシが設定されていたならば、このポリシを当該フローに適用して宛先ポリシ適用済みタグを付与し、
   当該フローを前記パケットヘッダ識別制御部に転送する処理を、
   アプリケーション識別装置に実行させるためのアプリケーション識別プログラム。

Images