JP6200348B2 - アプリケーション識別システム - Google Patents
アプリケーション識別システム Download PDFInfo
- Publication number
- JP6200348B2 JP6200348B2 JP2014034742A JP2014034742A JP6200348B2 JP 6200348 B2 JP6200348 B2 JP 6200348B2 JP 2014034742 A JP2014034742 A JP 2014034742A JP 2014034742 A JP2014034742 A JP 2014034742A JP 6200348 B2 JP6200348 B2 JP 6200348B2
- Authority
- JP
- Japan
- Prior art keywords
- application identification
- packet
- flow
- packet header
- control unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、ＩＰネットワークにおけるデータパケットのアプリケーション識別を行うアプリケーション識別システムに関する。
近年では、アプリケーションを意識したサービスの提供や、プロビジョニングのための詳細なネットワーク状況把握を目的として、ＩＰパケットのペイロード部を解析するＤＰＩ（Deep Packet Inspection）装置の導入が進んでいる。ネットワークを流れるフローをアプリケーション単位で制御するためには、ＤＰＩ装置をインラインに設置する方法が一般的である。
図１６は、比較例のＤＰＩ装置をインラインに設置したアプリケーション識別システム１Ｅの概略の構成図である。
比較例のアプリケーション識別システム１Ｅは、コア網９にポリシ管理装置４と、ＤＰＩ装置２Ｅ−１，２Ｅ−２とが、それぞれ相互に通信可能に接続されている。
比較例のアプリケーション識別システム１Ｅは、コア網９にポリシ管理装置４と、ＤＰＩ装置２Ｅ−１，２Ｅ−２とが、それぞれ相互に通信可能に接続されている。
ＤＰＩ装置２Ｅ−１は、Ｌ７（Layer 7）分析によりアプリケーション検知を実現するアプリケーション識別部３Ｅ−１と、５ｔｕｐｌｅベースのフロー制御を実現するパケットヘッダ識別制御部２１−１の両方を備えている。５ｔｕｐｌｅとは、送信元ＩＰアドレス・宛先ＩＰアドレス・送信元ポート番号・宛先ポート番号・プロトコル番号のことをいう。
ＤＰＩ装置２Ｅ−２は、同様なアプリケーション識別部３Ｅ−２と、パケットヘッダ識別制御部２１−２とを備えている。ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ユーザ端末５−１，５−２をコア網９に接続するエッジルータである。
ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ポリシ管理装置４からの指示によってデータパケットのアプリケーション識別や制御を実施する。
ＤＰＩ装置２Ｅ−２は、同様なアプリケーション識別部３Ｅ−２と、パケットヘッダ識別制御部２１−２とを備えている。ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ユーザ端末５−１，５−２をコア網９に接続するエッジルータである。
ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ポリシ管理装置４からの指示によってデータパケットのアプリケーション識別や制御を実施する。
3GPP、「3GPP TS 23.203: 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Policy and charging control architecture」、２０１３年９月、Release 12
しかし、Ｌ７分析は、５ｔｕｐｌｅ識別と比較して高コストである。次世代ネットワークのような大規模ネットワークの全回線にＤＰＩ装置を設置すると、分割損が多量に発生して高コストになる虞がある。よって、大規模ネットワークの回線において、アプリケーション単位の制御を低コストで効率的に実現することが求められている。
本発明は、前記した問題を解決し、ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行うアプリケーション識別システムを提供することを課題とする。
前記課題を解決するため、アプリケーション識別システムの発明は、入力フロー用インタフェースと出力フロー用インタフェースとを備え、フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、
各端末と接続されたコア網のエッジに設置されており、設定されたステアリングポリシに合致するフローをこのアプリケーション識別装置へ転送して、このアプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
複数のパケットヘッダ識別制御部が転送したフローを、当該フローが前記端末から前記コア網への入力フローならば前記入力フロー用インタフェースに入力し、当該フローが前記コア網から前記端末への出力フローならば前記出力フロー用インタフェースに入力することにより、アプリケーション識別装置に中継する中継装置と、各パケットヘッダ識別制御部に対して、アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、を備える。
前記アプリケーション識別装置は、前記入力フロー用インタフェースと前記出力フロー用インタフェースのうちいずれから入力されたフローであるかにより、当該フローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこむ。
各端末と接続されたコア網のエッジに設置されており、設定されたステアリングポリシに合致するフローをこのアプリケーション識別装置へ転送して、このアプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
複数のパケットヘッダ識別制御部が転送したフローを、当該フローが前記端末から前記コア網への入力フローならば前記入力フロー用インタフェースに入力し、当該フローが前記コア網から前記端末への出力フローならば前記出力フロー用インタフェースに入力することにより、アプリケーション識別装置に中継する中継装置と、各パケットヘッダ識別制御部に対して、アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、を備える。
前記アプリケーション識別装置は、前記入力フロー用インタフェースと前記出力フロー用インタフェースのうちいずれから入力されたフローであるかにより、当該フローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこむ。
このようにすることで、アプリケーション識別システムは、アプリケーション識別装置を複数のパケットヘッダ識別制御部で共用し、アプリケーション単位の制御を効率的に実現可能である。
本発明によれば、ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行うアプリケーション識別システムを提供することが可能となる。
次に、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。ここでは、アプリケーション識別機能を複数のパケットヘッダ識別制御機能で共有する構成を提案している。
図１は、パケットヘッダ識別制御部２１におけるフローを示す図である。
アプリケーション識別システム１において、パケットヘッダ識別制御部２１−１，２１−２は、コア網９のエッジとしてインラインに設置される。これにより、パケットヘッダ識別制御部２１−１，２１−２は、自身に接続されるユーザ端末５などが転送したフローのみを監視すればよいので、自身が保持するステアリングポリシを自身に接続されるユーザ端末５などに限定して、効率的に処理することができる。ステアリングポリシとは、特定のフローをパケット識別制御部２１−１，２１−２からアプリケーション識別装置３へ転送するためのポリシである。以下、パケットヘッダ識別制御部２１−１，２１−２を特に区別しない場合には、単に「パケットヘッダ識別制御部２１」と記載している場合がある。
図１は、パケットヘッダ識別制御部２１におけるフローを示す図である。
アプリケーション識別システム１において、パケットヘッダ識別制御部２１−１，２１−２は、コア網９のエッジとしてインラインに設置される。これにより、パケットヘッダ識別制御部２１−１，２１−２は、自身に接続されるユーザ端末５などが転送したフローのみを監視すればよいので、自身が保持するステアリングポリシを自身に接続されるユーザ端末５などに限定して、効率的に処理することができる。ステアリングポリシとは、特定のフローをパケット識別制御部２１−１，２１−２からアプリケーション識別装置３へ転送するためのポリシである。以下、パケットヘッダ識別制御部２１−１，２１−２を特に区別しない場合には、単に「パケットヘッダ識別制御部２１」と記載している場合がある。
パケットヘッダ識別制御部２１−１，２１−２は、自装置に設定されたステアリングポリシに合致するフローをアプリケーション識別装置３へ転送する。
中継装置６は、複数のパケットヘッダ識別制御部２１−１，２１−２が転送したフローをアプリケーション識別装置３に中継する。
アプリケーション識別装置３は、複数のパケットヘッダ識別制御部２１で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを保持するポリシテーブル３３を備える。これにより、アプリケーション識別装置３は、フローを構成するパケットのデータ部分を識別することができる。
中継装置６は、複数のパケットヘッダ識別制御部２１−１，２１−２が転送したフローをアプリケーション識別装置３に中継する。
アプリケーション識別装置３は、複数のパケットヘッダ識別制御部２１で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを保持するポリシテーブル３３を備える。これにより、アプリケーション識別装置３は、フローを構成するパケットのデータ部分を識別することができる。
ポリシ管理装置４は、コア網９のネットワーク上に設置され、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３へ転送するためのステアリングポリシを設定する。ステアリングポリシは、転送するフローの５ｔｕｐｌｅ情報（送信元ＩＰアドレス・宛先ＩＰアドレス・送信元ポート番号・宛先ポート番号・プロトコル番号）と、転送先のアプリケーション識別装置３を示す情報と、このフローの識別子との組み合わせとして定義している。
ここで転送先のアプリケーション識別装置３を示す情報とは、アプリケーション識別装置３のＩＰアドレス、または、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３（図３参照）である。フローの識別子とは、このフローの転送元のパケットヘッダ識別制御部２１およびこのフローの方向を識別する情報である。フローの方向とは、コア網９外からコア網９内への方向と、コア網９内からコア網９外への方向とである。フローの識別子は、アプリケーション識別装置３および中継装置６において、フローの転送元のパケットヘッダ識別制御部２１およびフローの方向を識別するために用いられる。
ポリシ管理装置４は更に、アプリケーション識別装置３に、アプリケーション識別ボリシを設定する。アプリケーション識別ボリシとは、特定のフローをアプリケーション識別するためのポリシであり、パケットヘッダ識別制御部２１に設定される各ステアリングポリシのうちいずれかに対応している。
ここで転送先のアプリケーション識別装置３を示す情報とは、アプリケーション識別装置３のＩＰアドレス、または、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３（図３参照）である。フローの識別子とは、このフローの転送元のパケットヘッダ識別制御部２１およびこのフローの方向を識別する情報である。フローの方向とは、コア網９外からコア網９内への方向と、コア網９内からコア網９外への方向とである。フローの識別子は、アプリケーション識別装置３および中継装置６において、フローの転送元のパケットヘッダ識別制御部２１およびフローの方向を識別するために用いられる。
ポリシ管理装置４は更に、アプリケーション識別装置３に、アプリケーション識別ボリシを設定する。アプリケーション識別ボリシとは、特定のフローをアプリケーション識別するためのポリシであり、パケットヘッダ識別制御部２１に設定される各ステアリングポリシのうちいずれかに対応している。
図２（ａ），（ｂ）は、中継装置６とアプリケーション識別装置３との接続構成と動作とを示す図である。
図２（ａ）は、コア網９への入力フローを転送する動作を示す図である。
アプリケーション識別装置３は、インタフェース３１とインタフェース３２とを備え、インタフェース３１，３２により中継装置６と直接接続する。パケットヘッダ識別制御部２１は、特定のフローを、中継装置６を介してアプリケーション識別装置３へ転送する。
中継装置６は、パケットヘッダ識別制御部２１から転送されたフローを、その識別子の各フローの方向を参照して、アプリケーション識別装置３のインタフェース３１，３２のうち対応するインタフェースに入力する。インタフェース３１，３２を区別するため、図面では、それぞれ「ＩＦ＃１」、「ＩＦ＃２」と記載している。
中継装置６は、転送されたフローがコア網９への入力フローならば、アプリケーション識別装置３のインタフェース３１に入力する。
図２（ｂ）は、コア網９からの出力フローを転送する動作を示す図である。
中継装置６は、転送されたフローがコア網９からの出力フローならば、アプリケーション識別装置３のインタフェース３２に入力する。
このようにすることで、アプリケーション識別装置３は、フローを受信したインタフェースによって、このフローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこみ、効率的に処理することができる。
図２（ａ）は、コア網９への入力フローを転送する動作を示す図である。
アプリケーション識別装置３は、インタフェース３１とインタフェース３２とを備え、インタフェース３１，３２により中継装置６と直接接続する。パケットヘッダ識別制御部２１は、特定のフローを、中継装置６を介してアプリケーション識別装置３へ転送する。
中継装置６は、パケットヘッダ識別制御部２１から転送されたフローを、その識別子の各フローの方向を参照して、アプリケーション識別装置３のインタフェース３１，３２のうち対応するインタフェースに入力する。インタフェース３１，３２を区別するため、図面では、それぞれ「ＩＦ＃１」、「ＩＦ＃２」と記載している。
中継装置６は、転送されたフローがコア網９への入力フローならば、アプリケーション識別装置３のインタフェース３１に入力する。
図２（ｂ）は、コア網９からの出力フローを転送する動作を示す図である。
中継装置６は、転送されたフローがコア網９からの出力フローならば、アプリケーション識別装置３のインタフェース３２に入力する。
このようにすることで、アプリケーション識別装置３は、フローを受信したインタフェースによって、このフローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこみ、効率的に処理することができる。
（ケース＃１）
このケース＃１は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローとコア網出力フローの双方に適用する場合である。
図３は、ケース＃１のパケットヘッダ識別制御部２１におけるフローを示す図である。
コア網９からの出力フローＦ０は、パケットヘッダ識別制御部２１のコア網内接続インタフェース２１１に入力される。このフローＦ０は、パケットヘッダ識別制御部２１により識別子を付与され、かつカプセリングされて、アプリケーション識別接続インタフェース２１３から中継装置６に転送される。中継装置６は、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３に直接に接続されており、転送されたフローをデカプセリングしてアプリケーション識別装置３に中継する。これにより、パケットヘッダ識別制御部２１は、ＩＰトンネルを構築することなく、効率的にフローをアプリケーション識別装置３へ転送することができる。
このケース＃１は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローとコア網出力フローの双方に適用する場合である。
図３は、ケース＃１のパケットヘッダ識別制御部２１におけるフローを示す図である。
コア網９からの出力フローＦ０は、パケットヘッダ識別制御部２１のコア網内接続インタフェース２１１に入力される。このフローＦ０は、パケットヘッダ識別制御部２１により識別子を付与され、かつカプセリングされて、アプリケーション識別接続インタフェース２１３から中継装置６に転送される。中継装置６は、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３に直接に接続されており、転送されたフローをデカプセリングしてアプリケーション識別装置３に中継する。これにより、パケットヘッダ識別制御部２１は、ＩＰトンネルを構築することなく、効率的にフローをアプリケーション識別装置３へ転送することができる。
中継装置６は、フローＦ０をデカプセリングしたのち、ＶＬＡＮ＿Ｔａｇまたは独自仕様プロトコルに識別子を付与して、アプリケーション識別装置３に中継する。
アプリケーション識別装置３は、受信したフローＦ０の識別子から送信元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ０は、中継装置６でカプセリングされ、元のパケットヘッダ識別制御部２１に返送される。このフローＦ０は、パケットヘッダ識別制御部２１でデカプセリングされたのち、宛先ＩＰアドレスで指定される本来の宛先へと転送される。
アプリケーション識別装置３は、受信したフローＦ０の識別子から送信元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ０は、中継装置６でカプセリングされ、元のパケットヘッダ識別制御部２１に返送される。このフローＦ０は、パケットヘッダ識別制御部２１でデカプセリングされたのち、宛先ＩＰアドレスで指定される本来の宛先へと転送される。
コア網９への入力フローＦ１は、ユーザ端末５から、パケットヘッダ識別制御部２１のコア網外接続インタフェース２１２とアプリケーション識別接続インタフェース２１３とを介して、中継装置６に転送される。
中継装置６は、フローＦ１を必要に応じてデカプセリングし、ＶＬＡＮ＿Ｔａｇまたは独自仕様プロトコルに識別子を付与して、アプリケーション識別装置３に中継する。
アプリケーション識別装置３は、受信したフローＦ１の識別子から転送元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ１は、中継装置６を介して元のパケットヘッダ識別制御部２１に返送される。
パケットヘッダ識別制御部２１では、アプリケーション識別接続インタフェース２１３を介して返送されたフローＦ１について、識別子を削除し、宛先ＩＰアドレスで指定される本来の宛先へ送信する。
中継装置６は、フローＦ１を必要に応じてデカプセリングし、ＶＬＡＮ＿Ｔａｇまたは独自仕様プロトコルに識別子を付与して、アプリケーション識別装置３に中継する。
アプリケーション識別装置３は、受信したフローＦ１の識別子から転送元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ１は、中継装置６を介して元のパケットヘッダ識別制御部２１に返送される。
パケットヘッダ識別制御部２１では、アプリケーション識別接続インタフェース２１３を介して返送されたフローＦ１について、識別子を削除し、宛先ＩＰアドレスで指定される本来の宛先へ送信する。
図４は、ケース＃１のアプリケーション識別システムにおけるフローと識別子とを示す図である。
各フローＦ１Ａ，Ｆ１Ｂ，Ｆ２Ａ，Ｆ２Ｂを構成するパケットには、パケットヘッダ識別制御部２１にて、それぞれ識別子が付与されて転送される。転送されたパケットは、アプリケーション識別装置３で識別処理されたのち、再び中継装置６を経由して、パケットヘッダ識別制御部２１に戻る。
各フローＦ１Ａ，Ｆ１Ｂ，Ｆ２Ａ，Ｆ２Ｂを構成するパケットには、パケットヘッダ識別制御部２１にて、それぞれ識別子が付与されて転送される。転送されたパケットは、アプリケーション識別装置３で識別処理されたのち、再び中継装置６を経由して、パケットヘッダ識別制御部２１に戻る。
パケットヘッダ識別制御部２１は、フローＦ１Ａを構成するパケットに、識別子「１Ａ」を付与し、フローＦ１Ｂを構成するパケットに、識別子「１Ｂ」を付与する。
パケットヘッダ識別制御部２１は、フローＦ２Ａを構成するパケットに、識別子「２Ａ」を付与し、フローＦ２Ｂを構成するパケットに、識別子「２Ｂ」を付与する。このようにすることで、アプリケーション識別装置３および中継装置６は、各フローを構成するパケットの識別子により、このフローの送信元のパケットヘッダ識別制御部２１およびフローの方向を識別することができる。
パケットヘッダ識別制御部２１は、フローＦ２Ａを構成するパケットに、識別子「２Ａ」を付与し、フローＦ２Ｂを構成するパケットに、識別子「２Ｂ」を付与する。このようにすることで、アプリケーション識別装置３および中継装置６は、各フローを構成するパケットの識別子により、このフローの送信元のパケットヘッダ識別制御部２１およびフローの方向を識別することができる。
各フローに対する識別子の付与は、以下のいずれかの方法で実現する。
第１の方法は、ＩＰヘッダの未使用フィールドに設定する方法である。ＩＰヘッダの未使用フィールドには、例えばＩＰｖ６（Internet Protocol Version 6）ヘッダのFlowLabelがある。
第２の方法は、パケットにＶＬＡＮ＿Ｔａｇを追加して転送し、ＶＬＡＮ＿ＩＤに識別子を設定する方法である。
第３の方法は、パケットにＩＰｓｅｃ（Security Architecture for Internet Protocol）を使用して転送し、ＥＳＰ（Encapsulated Security Payload）ヘッダのＳＰＩ（Security Parameters Index）値に識別子を設定する方法である。
第４の方法は、パケットをＧＲＥ（Generic Routing Encapsulation）を使用して転送し、ＧＲＥヘッダのキーＩＤに識別子を設定する方法である。
第５の方法は、パケットに独自仕様プロトコルを使用し、プロトコルヘッダの特定の１フィールドに設定する。
なお、パケットヘッダ識別制御部２１に対して設定するステアリングポリシは、コア網入力フローとコア網出力フローの双方向か、または、コア網入力フローのみに適用する。
第１の方法は、ＩＰヘッダの未使用フィールドに設定する方法である。ＩＰヘッダの未使用フィールドには、例えばＩＰｖ６（Internet Protocol Version 6）ヘッダのFlowLabelがある。
第２の方法は、パケットにＶＬＡＮ＿Ｔａｇを追加して転送し、ＶＬＡＮ＿ＩＤに識別子を設定する方法である。
第３の方法は、パケットにＩＰｓｅｃ（Security Architecture for Internet Protocol）を使用して転送し、ＥＳＰ（Encapsulated Security Payload）ヘッダのＳＰＩ（Security Parameters Index）値に識別子を設定する方法である。
第４の方法は、パケットをＧＲＥ（Generic Routing Encapsulation）を使用して転送し、ＧＲＥヘッダのキーＩＤに識別子を設定する方法である。
第５の方法は、パケットに独自仕様プロトコルを使用し、プロトコルヘッダの特定の１フィールドに設定する。
なお、パケットヘッダ識別制御部２１に対して設定するステアリングポリシは、コア網入力フローとコア網出力フローの双方向か、または、コア網入力フローのみに適用する。
（ケース＃２）
このケース＃２は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローのみに適用する場合である。
図５は、ケース＃２の中継装置６Ａにおけるフローを示す図である。
フローＦ１Ａは、ユーザ端末５から、パケットヘッダ識別制御部２１のコア網外接続インタフェース２１２とアプリケーション識別接続インタフェース２１３とを介して、中継装置６Ａに転送される。
このフローＦ１Ａは、中継装置６Ａを経由してアプリケーション識別装置３で識別処理されたのち、中継装置６Ａに返送される。
中継装置６Ａは、アプリケーション識別装置３から返送されたフローＦ１Ａについて、識別子を削除して、宛先ＩＰアドレスで指定される本来の宛先へ転送する。
ケース＃２によれば、中継装置６Ａは、コア網入力フローをパケットヘッダ識別制御部２１に返送せずに、本来の宛先へ転送するので、ケース＃１と比べてアプリケーション識別を効率的に実施可能である。
このケース＃２は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローのみに適用する場合である。
図５は、ケース＃２の中継装置６Ａにおけるフローを示す図である。
フローＦ１Ａは、ユーザ端末５から、パケットヘッダ識別制御部２１のコア網外接続インタフェース２１２とアプリケーション識別接続インタフェース２１３とを介して、中継装置６Ａに転送される。
このフローＦ１Ａは、中継装置６Ａを経由してアプリケーション識別装置３で識別処理されたのち、中継装置６Ａに返送される。
中継装置６Ａは、アプリケーション識別装置３から返送されたフローＦ１Ａについて、識別子を削除して、宛先ＩＰアドレスで指定される本来の宛先へ転送する。
ケース＃２によれば、中継装置６Ａは、コア網入力フローをパケットヘッダ識別制御部２１に返送せずに、本来の宛先へ転送するので、ケース＃１と比べてアプリケーション識別を効率的に実施可能である。
また、ポリシ管理装置４は、アプリケーション識別装置３を監視し、アプリケーション識別装置３に故障が発生した場合は、パケットヘッダ識別制御部２１に対して、転送先のアプリケーション識別装置３を変更するように、ステアリングポリシを設定してもよい。
図６は、アプリケーション識別装置３を多重化したアプリケーション識別システム１を示す概略の構成図である。
アプリケーション識別システム１において、アプリケーション識別装置３−１，３−２は、パケットヘッダ識別制御部２１−１，２１−２で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３−１，３−２は、各パケットヘッダ識別制御部２１−１，２１−２に関するアプリケーション識別ポリシを保持する。アプリケーション識別装置３−１は、通常時に動作する現用装置である。アプリケーション識別装置３−２は、現用装置の故障時に動作する予備装置である。各アプリケーション識別装置３−１，３−２を区別するため、図面に＃１，＃２の番号を付与している。
アプリケーション識別システム１において、アプリケーション識別装置３−１，３−２は、パケットヘッダ識別制御部２１−１，２１−２で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３−１，３−２は、各パケットヘッダ識別制御部２１−１，２１−２に関するアプリケーション識別ポリシを保持する。アプリケーション識別装置３−１は、通常時に動作する現用装置である。アプリケーション識別装置３−２は、現用装置の故障時に動作する予備装置である。各アプリケーション識別装置３−１，３−２を区別するため、図面に＃１，＃２の番号を付与している。
ポリシ管理装置４は、コア網９のネットワーク上に設置され、各パケットヘッダ識別制御部２１−１，２１−２に対して、特定のフローをアプリケーション識別装置３−１へ転送するためのステアリングポリシを設定する。ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を検知すると、予備のアプリケーション識別装置３−２に切り替えるようにパケットヘッダ識別制御部２１−１，２１−２を制御する。
図７は、アプリケーション識別装置３を多重化したアプリケーション識別システム１の障害発生時の動作を示すシーケンス図である。
アプリケーション識別システム１が動作を開始すると、ポリシ管理装置４は、シーケンスＱ１０の処理を開始する。
シーケンスＱ１０において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−１へ転送させるためのステアリングポリシを設定する。
アプリケーション識別システム１が動作を開始すると、ポリシ管理装置４は、シーケンスＱ１０の処理を開始する。
シーケンスＱ１０において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−１へ転送させるためのステアリングポリシを設定する。
シーケンスＱ１１において、ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を監視する。
シーケンスＱ１２において、ポリシ管理装置４は、予備のアプリケーション識別装置３−２の故障を監視する。以降、ポリシ管理装置４は、シーケンスＱ１１，Ｑ１２を繰り返し行う。
シーケンスＱ２０において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−１へ転送する。以降、パケットヘッダ識別制御部２１は、同様なフロー転送処理を行う。
シーケンスＱ１２において、ポリシ管理装置４は、予備のアプリケーション識別装置３−２の故障を監視する。以降、ポリシ管理装置４は、シーケンスＱ１１，Ｑ１２を繰り返し行う。
シーケンスＱ２０において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−１へ転送する。以降、パケットヘッダ識別制御部２１は、同様なフロー転送処理を行う。
シーケンスＱ３０において、現用のアプリケーション識別装置３−１には、故障が発生する。
シーケンスＱ３１において、ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を検知する。
シーケンスＱ３２において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−２へ転送させるためのステアリングポリシを設定する。これにより、アプリケーション識別装置３−２は、現用装置となる。
シーケンスＱ３３において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−２へ転送する。
これにより、アプリケーション識別システム１は、現用のアプリケーション識別装置３−１が故障した場合でも、予備のアプリケーション識別装置３−２に切り替えて動作を継続可能である。
シーケンスＱ３１において、ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を検知する。
シーケンスＱ３２において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−２へ転送させるためのステアリングポリシを設定する。これにより、アプリケーション識別装置３−２は、現用装置となる。
シーケンスＱ３３において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−２へ転送する。
これにより、アプリケーション識別システム１は、現用のアプリケーション識別装置３−１が故障した場合でも、予備のアプリケーション識別装置３−２に切り替えて動作を継続可能である。
＜第１の実施形態＞
図８は、第１の実施形態におけるアプリケーション識別システム１を示す概略の構成図である。
図８に示すように、アプリケーション識別システム１は、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、Ｌ２スイッチ６Ｃ（各図では「Ｌ２ＳＷ」と記載されている。）と、コアルータ９１−１，９１−２と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１のアプリケーション識別ポリシを保持するポリシテーブル３３を備える。各パケットヘッダ識別制御部２１−１〜２１−３は、それぞれポリシテーブル２２−１〜２２−３を備えている。なお、各ポリシテーブル２２−１〜２２−３を特に区別しない場合には、単に「ポリシテーブル２２」と記載している場合がある。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
図８は、第１の実施形態におけるアプリケーション識別システム１を示す概略の構成図である。
図８に示すように、アプリケーション識別システム１は、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、Ｌ２スイッチ６Ｃ（各図では「Ｌ２ＳＷ」と記載されている。）と、コアルータ９１−１，９１−２と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１のアプリケーション識別ポリシを保持するポリシテーブル３３を備える。各パケットヘッダ識別制御部２１−１〜２１−３は、それぞれポリシテーブル２２−１〜２２−３を備えている。なお、各ポリシテーブル２２−１〜２２−３を特に区別しない場合には、単に「ポリシテーブル２２」と記載している場合がある。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
ポリシ管理装置４と、コアルータ９１−１，９１−２と、パケットヘッダ識別制御部２１−１〜２１−３とは、相互に通信可能に接続されている。パケットヘッダ識別制御部２１−１，２１−２は、アプリケーション識別接続インタフェース２１３により、Ｌ２スイッチ６Ｃを介してアプリケーション識別装置３に接続される。
アプリケーション識別システム１は、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。
ユーザＡのユーザ端末５−１には、ＩＰアドレス（１．１．１．１）が払い出されている。ユーザＢのユーザ端末５−２には、ＩＰアドレス（２．２．２．２）が払い出されている。サーバ７（サーバＸ）には、ＩＰアドレス（３．３．３．３）が払い出されている。アプリケーション識別装置３には、ＩＰアドレス（４．４．４．４）が払い出されている。
アプリケーション識別システム１は、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。
ユーザＡのユーザ端末５−１には、ＩＰアドレス（１．１．１．１）が払い出されている。ユーザＢのユーザ端末５−２には、ＩＰアドレス（２．２．２．２）が払い出されている。サーバ７（サーバＸ）には、ＩＰアドレス（３．３．３．３）が払い出されている。アプリケーション識別装置３には、ＩＰアドレス（４．４．４．４）が払い出されている。
ユーザＡのユーザ端末５−１は、サーバ７（サーバＸ）およびユーザＢのユーザ端末５−２とユニキャストで通信可能である。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−１に対して、ユーザＡのステアリングポリシを設定し、ユーザＡのフローをアプリケーション識別装置３に転送させる。
パケットヘッダ識別制御部２１−１は、設定されたステアリングポリシを、ポリシテーブル２２−１に保持する。
ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＡのアプリケーション識別ポリシを設定し、転送されたユーザＡのフローにアプリケーション識別ポリシを適用させる。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−１に対して、ユーザＡのステアリングポリシを設定し、ユーザＡのフローをアプリケーション識別装置３に転送させる。
パケットヘッダ識別制御部２１−１は、設定されたステアリングポリシを、ポリシテーブル２２−１に保持する。
ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＡのアプリケーション識別ポリシを設定し、転送されたユーザＡのフローにアプリケーション識別ポリシを適用させる。
ユーザＢのユーザ端末５−２は、ユーザＡのユーザ端末５−１とユニキャストで通信する。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−２に対して、ユーザＢのステアリングポリシを設定し、ユーザＢのフローをアプリケーション識別装置３へ転送させる。
パケットヘッダ識別制御部２１−２は、設定されたステアリングポリシを、ポリシテーブル２２−２に保持する。ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＢのアプリケーション識別ポリシを設定し、転送されたユーザＢのフローにアプリケーション識別ポリシを適用させる。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−２に対して、ユーザＢのステアリングポリシを設定し、ユーザＢのフローをアプリケーション識別装置３へ転送させる。
パケットヘッダ識別制御部２１−２は、設定されたステアリングポリシを、ポリシテーブル２２−２に保持する。ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＢのアプリケーション識別ポリシを設定し、転送されたユーザＢのフローにアプリケーション識別ポリシを適用させる。
図９（ａ），（ｂ）は、第１の実施形態におけるポリシテーブル２２を示す図である。図９（ａ）は、パケットヘッダ識別制御部２１−１（＃１）が保持するポリシテーブル２２−１を示す図である。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
ＶＬＡＮ＿ＩＤ欄には、このルールに合致するフローに付与するＶＬＡＮ＿ＩＤの値が格納される。第１の実施形態では、フローの識別子としてIEEE802.1Qで定義されるタグＶＬＡＮを使用し、このＶＬＡＮ＿ＩＤの値が設定される。このＶＬＡＮ＿ＩＤにより、アプリケーション識別装置３は、このフローに適用するアプリケーション識別ポリシを特定することができる。
ＶＬＡＮ＿ＩＤの第１桁は、フローの方向を示している。ＶＬＡＮ＿ＩＤの第１桁（以下、１の位を第１桁とする。）が「１」の場合は、フローの方向がコア網への入力方向であることを示している。ＶＬＡＮ＿ＩＤの第１桁が「２」の場合は、フローの方向がコア網からの出力方向であることを示している。
ＶＬＡＮ＿ＩＤの第３桁は、フローの転送元を示している。ＶＬＡＮ＿ＩＤの第３桁が「１」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＶＬＡＮ＿ＩＤの第３桁が「２」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
ＶＬＡＮ＿ＩＤの第１桁は、フローの方向を示している。ＶＬＡＮ＿ＩＤの第１桁（以下、１の位を第１桁とする。）が「１」の場合は、フローの方向がコア網への入力方向であることを示している。ＶＬＡＮ＿ＩＤの第１桁が「２」の場合は、フローの方向がコア網からの出力方向であることを示している。
ＶＬＡＮ＿ＩＤの第３桁は、フローの転送元を示している。ＶＬＡＮ＿ＩＤの第３桁が「１」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＶＬＡＮ＿ＩＤの第３桁が「２」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
インタフェース欄には、このルールに合致するフローを出力するアプリケーション識別接続インタフェース２１３の番号が格納される。アプリケーション識別接続インタフェース２１３の番号でフローの出力先を指定することにより、アプリケーション識別装置３がＩＰアドレスを持たない場合であっても、フローを出力することが可能である。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
図９（ｂ）は、パケットヘッダ識別制御部２１−２（＃２）が保持するポリシテーブル２２−２を示す図である。パケットヘッダ識別制御部２１−２は、ユーザＡ・ユーザＢ間の通信のポリシルールを、自身のポリシテーブル２２−２に保持している。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
図９（ｂ）は、パケットヘッダ識別制御部２１−２（＃２）が保持するポリシテーブル２２−２を示す図である。パケットヘッダ識別制御部２１−２は、ユーザＡ・ユーザＢ間の通信のポリシルールを、自身のポリシテーブル２２−２に保持している。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
図１０は、第１の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。以下の図面では、各パケットヘッダ識別制御部２１のことを「ＰＨ識別制御部」と省略して記載している場合がある。
（ユーザＡからサーバＸへの通信）
シーケンスＱ４０〜Ｑ４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
シーケンスＱ４１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＸ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ４２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ４０〜Ｑ４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
シーケンスＱ４１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＸ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ４２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ４３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ４４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ４６において、コアルータ９１−１は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ４７において、コアルータ９１−２は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−３に転送する。
シーケンスＱ４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、このパケットをサーバ７（サーバＸ）に転送する。
シーケンスＱ４４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ４６において、コアルータ９１−１は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ４７において、コアルータ９１−２は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−３に転送する。
シーケンスＱ４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、このパケットをサーバ７（サーバＸ）に転送する。
（サーバＸからユーザＡへの通信）
シーケンスＱ５０〜Ｑ５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ５１において、パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ５２において、コアルータ９１−２は、このパケットのルーティングに基づき、コアルータ９１−１に転送する。
シーケンスＱ５０〜Ｑ５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ５１において、パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ５２において、コアルータ９１−２は、このパケットのルーティングに基づき、コアルータ９１−１に転送する。
シーケンスＱ５３において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＸｔｏＡ」に合致することを検知する。
シーケンスＱ５４において、パケットヘッダ識別制御部２１−１は、ルール名「ＸｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ５５において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ５４において、パケットヘッダ識別制御部２１−１は、ルール名「ＸｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ５５において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ５６において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ５７において、Ｌ２スイッチ６Ｃは、このパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ５８において、パケットヘッダ識別制御部２１−１は、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
シーケンスＱ５７において、Ｌ２スイッチ６Ｃは、このパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ５８において、パケットヘッダ識別制御部２１−１は、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
図１１は、第１の実施形態におけるユーザ間のフローを示すシーケンス図である。
（ユーザＡからユーザＢへの通信）
シーケンスＱ６０〜Ｑ７１は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ６０において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
（ユーザＡからユーザＢへの通信）
シーケンスＱ６０〜Ｑ７１は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ６０において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ６２において、Ｌ２スイッチ６Ｃは、ＶＬＡＮ＿ＩＤに基づいてコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ６３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ６３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ６４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ６５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ６６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２はパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６７において、パケットヘッダ識別制御部２１−２は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ６５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ６６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２はパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６７において、パケットヘッダ識別制御部２１−２は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ６８において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２を転送元とするアプリケーション識別ポリシからユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ６９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ７０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ７１において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
シーケンスＱ６９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ７０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ７１において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
（ユーザＢからユーザＡへの通信）
シーケンスＱ８０〜Ｑ９１は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ８０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ８１において、パケットヘッダ識別制御部２１−２は、ルール名「ＢｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ８２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシからユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ８０〜Ｑ９１は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ８０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ８１において、パケットヘッダ識別制御部２１−２は、ルール名「ＢｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ８２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシからユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ８３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ８４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ８５において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ８６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ８４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ８５において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ８６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ８７において、パケットヘッダ識別制御部２１−１は、ルール名「ＢｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ８８において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ８９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ９０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ９１において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
シーケンスＱ８８において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ８９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ９０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ９１において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
＜第２の実施形態＞
第２の実施形態では、パケットヘッダ識別制御部２１と中継装置６間の識別子の転送にＩＰｓｅｃのＳＰＩ値を使用し、中継装置６でＶＬＡＮ＿Ｔａｇに付け替えている。このようにすることで、中継装置６の接続トポロジや設置位置の制約が少なくなる。
第２の実施形態では、パケットヘッダ識別制御部２１と中継装置６間の識別子の転送にＩＰｓｅｃのＳＰＩ値を使用し、中継装置６でＶＬＡＮ＿Ｔａｇに付け替えている。このようにすることで、中継装置６の接続トポロジや設置位置の制約が少なくなる。
図１２は、第２の実施形態におけるアプリケーション識別システム１Ｄを示す概略の構成図である。
図１２に示すように、アプリケーション識別システム１Ｄは、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、トンネル終端部６Ｄ（中継装置）と、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。ポリシ管理装置４と、トンネル終端部６Ｄと、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とは、相互に通信可能に接続されている。
パケットヘッダ識別制御部２１−１，２１−２は、ＩＰトンネルとトンネル終端部６Ｄとを介してアプリケーション識別装置３に接続される。
アプリケーション識別システム１Ｄは、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
図１２に示すように、アプリケーション識別システム１Ｄは、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、トンネル終端部６Ｄ（中継装置）と、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。ポリシ管理装置４と、トンネル終端部６Ｄと、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とは、相互に通信可能に接続されている。
パケットヘッダ識別制御部２１−１，２１−２は、ＩＰトンネルとトンネル終端部６Ｄとを介してアプリケーション識別装置３に接続される。
アプリケーション識別システム１Ｄは、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
ユーザＡのユーザ端末５−１には、ＩＰアドレス（１．１．１．１）が払い出されている。ユーザＢのユーザ端末５−２には、ＩＰアドレス（２．２．２．２）が払い出されている。サーバ７（サーバＸ）には、ＩＰアドレス（３．３．３．３）が払い出されている。アプリケーション識別装置３には、ＩＰアドレス（４．４．４．４）が払い出されている。
第２の実施形態のユーザ端末５−１（ユーザＡ）は、第１の実施形態と同様に、サーバ７（サーバＸ）およびユーザ端末５−２（ユーザＢ）とユニキャストで通信する。
第２の実施形態のユーザ端末５−１（ユーザＡ）は、第１の実施形態と同様に、サーバ７（サーバＸ）およびユーザ端末５−２（ユーザＢ）とユニキャストで通信する。
図１３（ａ），（ｂ）は、第２の実施形態におけるポリシテーブル２２を示す図である。
図１３（ａ）は、パケットヘッダ識別制御部２１−１（＃１）が保持するポリシテーブル２２−１を示す図である。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
ＳＰＩ値欄には、このルールに合致するフローを転送するＩＰｓｅｃのＳＰＩ値が格納される。第２の実施形態では、フローの識別子としてＩＰｓｅｃのＳＰＩ値を使用する。中継装置６がＩＰｓｅｃのＳＰＩ値をＶＬＡＮ＿ＴａｇのＶＬＡＮ＿ＩＤに付け変えることで、アプリケーション識別装置３は、このフローに適用するアプリケーション識別ポリシを特定することができる。
なお、中継装置６は、ＳＰＩ値とＶＬＡＮ＿ＩＤとの変換表を保持し、この変換表に基づきＳＰＩ値とＶＬＡＮ＿ＩＤとを異なる値に付け変えるようにしてもよい。
図１３（ａ）は、パケットヘッダ識別制御部２１−１（＃１）が保持するポリシテーブル２２−１を示す図である。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
ＳＰＩ値欄には、このルールに合致するフローを転送するＩＰｓｅｃのＳＰＩ値が格納される。第２の実施形態では、フローの識別子としてＩＰｓｅｃのＳＰＩ値を使用する。中継装置６がＩＰｓｅｃのＳＰＩ値をＶＬＡＮ＿ＴａｇのＶＬＡＮ＿ＩＤに付け変えることで、アプリケーション識別装置３は、このフローに適用するアプリケーション識別ポリシを特定することができる。
なお、中継装置６は、ＳＰＩ値とＶＬＡＮ＿ＩＤとの変換表を保持し、この変換表に基づきＳＰＩ値とＶＬＡＮ＿ＩＤとを異なる値に付け変えるようにしてもよい。
ＳＰＩの第１桁は、フローの方向を示している。ＳＰＩの第１桁が「１」の場合は、フローの方向がコア網への入力方向であることを示している。ＳＰＩ値の第１桁が「２」の場合は、フローの方向がコア網からの出力方向であることを示している。
ＳＰＩの第２〜４桁は、フローの転送元を示している。ＳＰＩの第２〜４桁が「１２３」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＳＰＩの第２〜４桁が「２３４」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
ＳＰＩの第２〜４桁は、フローの転送元を示している。ＳＰＩの第２〜４桁が「１２３」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＳＰＩの第２〜４桁が「２３４」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
転送先のアプリケーション識別装置欄には、このルールに合致するフローの転送先のアプリケーション識別装置３のＩＰアドレスが格納される。
各パケットヘッダ識別制御部２１と、アプリケーション識別装置３に隣接するトンネル終端部６Ｄとは、ＳＰＩ値欄と転送先のアプリケーション識別装置欄を参照して、コア網入力フロー用トンネルやコア網出力フロー用トンネルを確立する。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
各パケットヘッダ識別制御部２１と、アプリケーション識別装置３に隣接するトンネル終端部６Ｄとは、ＳＰＩ値欄と転送先のアプリケーション識別装置欄を参照して、コア網入力フロー用トンネルやコア網出力フロー用トンネルを確立する。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
図１３（ｂ）は、パケットヘッダ識別制御部２１−２（＃２）が保持するポリシテーブル２２−２を示す図である。パケットヘッダ識別制御部２１−２は、ユーザＡ・ユーザＢ間の通信のポリシルールを、自身のポリシテーブル２２−２に保持している。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
図１４は、第２の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。
（ユーザＡからサーバＸへの通信）
シーケンスＱ１４０〜Ｑ１４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ１４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
（ユーザＡからサーバＸへの通信）
シーケンスＱ１４０〜Ｑ１４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ１４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
シーケンスＱ１４１において、パケットヘッダ識別制御部２１−１は、このパケットをカプセリングし、ルール名「ＡｔｏＸ」に基づくＳＰＩ値の「１２３１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１４１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
シーケンスＱ１４２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１４２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１４３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１４４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１４６において、コアルータ９１−１は、このパケットをコアルータ９１−２に転送する。
シーケンスＱ１４４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１４６において、コアルータ９１−１は、このパケットをコアルータ９１−２に転送する。
シーケンスＱ１４７において、コアルータ９１−２は、このパケットをパケットヘッダ識別制御部２１−３に転送する。
シーケンスＱ１４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットをサーバ７（サーバＸ）に転送する。
シーケンスＱ１４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットをサーバ７（サーバＸ）に転送する。
（サーバＸからユーザＡへの通信）
シーケンスＱ１５０〜Ｑ１５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ１５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ１５１において、パケットヘッダ識別制御部２１−３は、このパケットをコアルータ９１−２に転送する。
シーケンスＱ１５２において、コアルータ９１−２は、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１５０〜Ｑ１５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ１５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ１５１において、パケットヘッダ識別制御部２１−３は、このパケットをコアルータ９１−２に転送する。
シーケンスＱ１５２において、コアルータ９１−２は、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１５３において、コアルータ９１−１は、このパケットをパケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＸｔｏＡ」に合致することを検知する。
シーケンスＱ１５４において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングして、ルール名「ＸｔｏＡ」に基づきＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１５４は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
シーケンスＱ１５４において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングして、ルール名「ＸｔｏＡ」に基づきＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１５４は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
シーケンスＱ１５５において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１５６において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１５７において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１５８において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
シーケンスＱ１５７において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１５８において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
図１５は、第２の実施形態におけるユーザ間のフローを示すシーケンス図である。
（ユーザＡからユーザＢへの通信）
シーケンスＱ１００〜Ｑ１１２は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ１００において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０１において、パケットヘッダ識別制御部２１−１は、このパケットをカプセリングして、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「１２３１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
（ユーザＡからユーザＢへの通信）
シーケンスＱ１００〜Ｑ１１２は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ１００において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０１において、パケットヘッダ識別制御部２１−１は、このパケットをカプセリングして、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「１２３１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
シーケンスＱ１０２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットを受信したインタフェース３１から、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１０３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
シーケンスＱ１０４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１０３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
シーケンスＱ１０４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１０５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１０６において、コアルータ９１−１は、このパケットをコアルータ９１−３に転送する。
シーケンスＱ１０７において、コアルータ９１−３は、このパケットをパケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０８において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングし、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「２３４２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
シーケンスＱ１０６において、コアルータ９１−１は、このパケットをコアルータ９１−３に転送する。
シーケンスＱ１０７において、コアルータ９１−３は、このパケットをパケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０８において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングし、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「２３４２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
シーケンスＱ１０９において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「２３４２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、インタフェース３２から、このバケットのフローの方向がコア網からの出力方向であることを識別し、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシから、ユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１１０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１１０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１１１において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１１２において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
シーケンスＱ１１２において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
（ユーザＢからユーザＡへの通信）
シーケンスＱ１２０〜Ｑ１３２は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ１２０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２１において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングして、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「２３４１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、ＩＰトンネルのＳＰＩ値に基づきコア網入力フローであることを認識して、デカプセリングする。
シーケンスＱ１２０〜Ｑ１３２は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ１２０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２１において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングして、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「２３４１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、ＩＰトンネルのＳＰＩ値に基づきコア網入力フローであることを認識して、デカプセリングする。
シーケンスＱ１２２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤにＳＰＩ値の「２３４１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、このパケットを受信したインタフェース３１から、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシから、ユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１２３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１２４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１２３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１２４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１２５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−３に転送する。
シーケンスＱ１２６において、コアルータ９１−３は、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１２７において、コアルータ９１−２は、このパケットをパケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２８において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングし、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
シーケンスＱ１２６において、コアルータ９１−３は、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１２７において、コアルータ９１−２は、このパケットをパケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２８において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングし、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
シーケンスＱ１２９において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、このパケットを受信したインタフェース３２から、フローの方向がコア網からの出力方向であることを識別し、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１３０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
シーケンスＱ１３０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
シーケンスＱ１３１において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１３２において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
シーケンスＱ１３２において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
ネットワークを流れるパケット（フロー）をアプリケーション単位で制御するためには、ＤＰＩ装置をインラインに設置することが一般的である。しかし、ＮＧＮ（Next Generation Network）のような大規模ネットワークの場合、ＤＰＩ装置を全回線に設置すると高コストになる虞がある。そこで、本発明では、複数のパケットヘッダ識別制御部２１がアプリケーション識別装置３を共有することとした。本発明では、ポリシ管理装置４がパケットヘッダ識別制御部２１に対して特定フローをアプリケーション識別装置３へ転送するためのステアリングポリシを設定し、パケットヘッダ識別制御部２１が識別子を付与してフローを転送する。この発明によれば、アプリケーション識別に必要なリソースを大幅に削減することが可能である。
本発明の装置は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。
１，１Ｄ，１Ｅ アプリケーション識別システム
２Ｅ−１，２Ｅ−２ ＤＰＩ装置
２１，２１−１，２１−２，２１−３ パケットヘッダ識別制御部
２１１ コア網内接続インタフェース
２１２ コア網外接続インタフェース
２１３ アプリケーション識別接続インタフェース
２２−１，２２−２，２２−３ ポリシテーブル
３，３−１，３−２ アプリケーション識別装置
３Ｅ−１，３Ｅ−２ アプリケーション識別部
３１，３２ インタフェース
３３ ポリシテーブル
４ ポリシ管理装置
５，５−１，５−２ ユーザ端末
６，６Ａ 中継装置
６Ｃ Ｌ２スイッチ （中継装置の一例）
６Ｄ トンネル終端部 （中継装置の一例）
７ サーバ
９ コア網
９１−１，９１−２，９１−３ コアルータ
２Ｅ−１，２Ｅ−２ ＤＰＩ装置
２１，２１−１，２１−２，２１−３ パケットヘッダ識別制御部
２１１ コア網内接続インタフェース
２１２ コア網外接続インタフェース
２１３ アプリケーション識別接続インタフェース
２２−１，２２−２，２２−３ ポリシテーブル
３，３−１，３−２ アプリケーション識別装置
３Ｅ−１，３Ｅ−２ アプリケーション識別部
３１，３２ インタフェース
３３ ポリシテーブル
４ ポリシ管理装置
５，５−１，５−２ ユーザ端末
６，６Ａ 中継装置
６Ｃ Ｌ２スイッチ （中継装置の一例）
６Ｄ トンネル終端部 （中継装置の一例）
７ サーバ
９ コア網
９１−１，９１−２，９１−３ コアルータ
Claims (7)
- 入力フロー用インタフェースと出力フロー用インタフェースとを備え、フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、
各端末と接続されたコア網のエッジに設置されており、設定されたステアリングポリシに合致するフローを前記アプリケーション識別装置へ転送して、前記アプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
複数の前記パケットヘッダ識別制御部が転送したフローを、当該フローが前記端末から前記コア網への入力フローならば前記入力フロー用インタフェースに入力し、当該フローが前記コア網から前記端末への出力フローならば前記出力フロー用インタフェースに入力することにより、前記アプリケーション識別装置に中継する中継装置と、
各前記パケットヘッダ識別制御部に対して、前記アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、
を備え、
前記アプリケーション識別装置は、前記入力フロー用インタフェースと前記出力フロー用インタフェースのうちいずれから入力されたフローであるかにより、当該フローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこむ、
ことを特徴とするアプリケーション識別システム。 - 前記パケットヘッダ識別制御部は、前記フローを前記アプリケーション識別装置へ転送する前記ステアリングポリシを保持するポリシテーブルを備える、
ことを特徴とする請求項１に記載のアプリケーション識別システム。 - 前記アプリケーション識別装置は、各アプリケーションを識別するアプリケーション識別ポリシを保持するポリシテープルを備える、
ことを特徴とする請求項１に記載のアプリケーション識別システム。 - 前記パケットヘッダ識別制御部が保持するステアリングポリシは、転送するフローの５ｔｕｐｌｅ情報と、転送先の前記アプリケーション識別装置を示す情報と、識別子との組み合わせを含み、
前記識別子は、転送元の前記パケットヘッダ識別制御部の情報、および、転送するフローの方向情報を含む、
ことを特徴とする請求項３に記載のアプリケーション識別システム。 - 前記中継装置は、複数の前記パケットヘッダ識別制御部との間で、ＩＰトンネルを介してフローを転送する、
ことを特徴とする請求項１に記載のアプリケーション識別システム。 - 前記アプリケーション識別装置を少なくとも２台以上備え、
前記ポリシ管理装置は、一のアプリケーション識別装置を稼働させつつ当該一のアプリケーション識別装置を監視し、当該一のアプリケーション識別装置が故障した場合には、他のアプリケーション識別装置を稼働させ、各前記パケットヘッダ識別制御部に対して、当該他のアプリケーション識別装置を転送先とするステアリングポリシを設定する、
ことを特徴とする請求項１に記載のアプリケーション識別システム。 - フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、
各端末と接続されたコア網のエッジに設置されており、各前記端末から前記コア網への入力フローかつ当該フローが設定されたステアリングポリシに合致するならば、前記アプリケーション識別装置へ転送して、前記アプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
複数の前記パケットヘッダ識別制御部が転送したフローを前記アプリケーション識別装置に中継する中継装置と、
各前記パケットヘッダ識別制御部に対して、前記アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、
を備えることを特徴とするアプリケーション識別システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014034742A JP6200348B2 (ja) | 2014-02-25 | 2014-02-25 | アプリケーション識別システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014034742A JP6200348B2 (ja) | 2014-02-25 | 2014-02-25 | アプリケーション識別システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2015162693A JP2015162693A (ja) | 2015-09-07 |
| JP6200348B2 true JP6200348B2 (ja) | 2017-09-20 |
Family
ID=54185551
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014034742A Active JP6200348B2 (ja) | 2014-02-25 | 2014-02-25 | アプリケーション識別システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6200348B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6499100B2 (ja) * | 2016-02-26 | 2019-04-10 | 日本電信電話株式会社 | 通信システム、及びパケット転送方法 |
| WO2023021635A1 (ja) * | 2021-08-18 | 2023-02-23 | 日本電信電話株式会社 | トラヒック識別装置、スイッチ、ルータ、トラヒック識別方法及びトラヒック識別プログラム |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2013168207A1 (en) * | 2012-05-09 | 2013-11-14 | Nec Corporation | Communication system, communication method, and program |
-
2014
- 2014-02-25 JP JP2014034742A patent/JP6200348B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2015162693A (ja) | 2015-09-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4886788B2 (ja) | 仮想ネットワーク、データ・ネットワーク・システム、コンピュータ・プログラム、およびコンピュータ・プログラムを運用する方法 | |
| US8804723B2 (en) | Efficient control packet replication in data plane | |
| CN107231307B (zh) | 用于防止数据中心架构内子网间流量转接的方法、系统和装置 | |
| CN114073043B (zh) | 以太网网桥端口管理的方法和装置 | |
| US10673737B2 (en) | Multi-VRF universal device internet protocol address for fabric edge devices | |
| EP1858205A1 (en) | Tunneling device, tunnel frame sorting method used for the device, and its program | |
| EP2548346B1 (en) | Packet node for applying service path routing at the mac layer | |
| CN110661714B (zh) | 发送bgp消息的方法、接收bgp消息的方法以及设备 | |
| CN107547340B (zh) | 一种报文转发方法和装置 | |
| JP2007104440A (ja) | パケット伝送システム、トンネリング装置およびパケット伝送方法 | |
| CN112039920A (zh) | 通信方法、装置、电子设备及存储介质 | |
| CN111835645B (zh) | 用于跨网络内的多个接口代理子网内流量的方法、系统和装置 | |
| WO2014062629A1 (en) | System and method for correlating security events with subscriber information in a mobile network environment | |
| US20150319092A1 (en) | CONTENT AWARE WI-FI QoS | |
| CN113395212B (zh) | 网络装置及其操作方法和非暂时性计算机可读介质 | |
| US20170222998A1 (en) | Network service header used to relay authenticated session information | |
| JP6200348B2 (ja) | アプリケーション識別システム | |
| CN112385194B (zh) | 远程网络之间的状态分组传输 | |
| EP4248631A1 (en) | Traffic flow based map-cache refresh to support devices and their dynamic policy updates | |
| CN112217783A (zh) | 用于在通信网络中的攻击识别的设备和方法 | |
| JP2016019031A (ja) | フィルタリング装置およびフィルタリング方法 | |
| CN113556345B (zh) | 一种报文处理方法、装置、设备及介质 | |
| WO2008083572A1 (en) | A method for transfering the ip transmission session and the equipment whereto | |
| Jeuk et al. | Network segmentation in the cloud a novel architecture based on UCC and IID | |
| JP5733473B2 (ja) | インターワーク装置、方法、及びプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20160226 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20170118 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20170131 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20170323 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170822 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170825 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6200348 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |