JP6276358B2

JP6276358B2 - ミドルウェアマシン環境においてサブマネジメントパケット（ｓｍｐ）のトラフィックの保護をサポートするためのシステムおよび方法

Info

Publication number: JP6276358B2
Application number: JP2016186926A
Authority: JP
Inventors: ヨンセン，ビョルン−ダグ; アルンツェン，ロイ; フセ，ラーズ・ポール; ブリーン，デイビッド; トルドバッケン，オラ
Original assignee: オラクル・インターナショナル・コーポレイション
Priority date: 2011-07-11
Filing date: 2016-09-26
Publication date: 2018-02-07
Anticipated expiration: 2032-07-11
Also published as: EP2754278A2; US20130019302A1; WO2013009846A9; US20130019303A1; JP6043349B2; CN103621038B; US8739273B2; CN103621038A; WO2013009846A1; EP2754278B1; US9332005B2; JP2014529370A; JP2017059242A

Description

著作権に関する注意
本特許文献の開示の一部には、著作権保護の対象となるものが含まれている。著作権者は、この特許文献または特許開示の何人かによる複製が、特許商標庁の特許ファイルまたは記録にある限り、それに対して異議を唱えないが、そうでなければ、いかなる場合もすべての著作権を保有する。

発明の分野：
本発明は、概してコンピュータシステムおよびミドルウェアのようなソフトウェアに関し、特にミドルウェアマシン環境をサポートすることに関する。

背景：
相互接続ネットワークは、次世代のスーパコンピュータ、クラスタ、およびデータセンタにおいて有益な役割を果たす。インフィニバンド（登録商標）（InfiniBand：ＩＢ）技術のような高性能のネットワーク技術は、高帯域幅および少ない待ち時間が重要な要件である高性能コンピューティングドメインにおいて独自のまたは低性能の解決手段に取って代わりつつある。たとえば、ＩＢ装置は、ロスアラモス国立研究所（Los Alamos National Laboratory）のロードランナー（Roadrunner）、テキサスアドバンスコンピュータセンタ（Texas Advanced Computing Center）のレンジャー（Ranger）、およびユーリヒ総合研究機構（Forschungszcntrum Juelich）のジュロパ（JuRoPa）のようなスーパコンピュータに用いられる。

ＩＢは、フューチャ（Future）Ｉ／Ｏおよびネクストジェネレーション（Next Generation）Ｉ／Ｏと呼ばれる２つの古い技術を統合して２０００年１０月に最初に標準化された。その少ない待ち時間、高帯域幅、およびホスト側のプロセス資源の効率的な利用のために、大型で拡張可能なコンピュータクラスタを構築するための解決手段として高性能コンピューティング（High Performance Computing：：ＨＰＣ）コミュニティで受け入れられつつある。事実上のＩＢのためのシステムソフトウェアは、オープンファブリクス企業配布（OpenFabrics Eenterprise Distribution：ＯＦＥＤ）であり、それは、献身的な専門家によって開発され、オープンファブリクス提携（OpenFabrics Alliance）によって維持される。ＯＦＥＤは、オープンソースであり、ＧＮＵ／リナックス（Linux）（登録商標）とマイクロソフトウィンドウズ（Microsoft Windows）（登録商標）との両方で使用できる。

要約：
本明細書では、ミドルウェアマシン環境におけるサブネットマネジメントパケット（ＳＭＰ：subnet management packet）のファイアウォールの制限をもたらすためのシステムおよび方法について説明する。安全なファームウェアの実装は、ホストチャンネルアダプタ（ＨＣＡ：Host Channel Adaptor）で提供され得、ＨＣＡは、ミドルウェアマシン環境のホストに関連付けられる。安全なファームウェアの実装は、ホストからの、またはホストに宛てられた少なくとも１つのＳＭＰを受信するように動作し、ホストが少なくとも１つのＳＭＰを送信または受信することを防止するように動作する。さらに、安全なファームウェアの実装は、ホストの代わりに外部マネジメントコンポーネントと通信できるプロキシ機能を含んでもよい。

また、本明細書では、ミドルウェアマシン環境におけるスイッチベースのサブネットマネジメントパケット（ＳＭＰ）のトラフィックの保護をもたらすためのシステムおよび方法について説明する。ミドルウェアマシン環境は、サブネットマネジメントエージェント（ＳＭＡ）のコンポーネントに宛てられた少なくとも１つのＳＭＰを受信するように動作するネットワークスイッチを含む。ネットワークスイッチは、少なくとも１つのＳＭＰが正確なマネジメントキーを含んでいるかどうかをチェックでき、少なくとも１つのＳＭＰが正確なマネジメントキーを含まない場合に、少なくとも１つのＳＭＰが宛てられたＳＭＡに転送されることを防止する。さらに、ネットワークスイッチは、外部ポートごとに異なるマネジメントキーを特定でき、入口および出口のＳＭＰのトラフィックの別個の制限を固有の外部ポートで強制できる。

本発明の一実施の形態に従うミドルウェアマシンのプラットフォームにおけるマネジメントキーの保護モデルをサポートしていることを示す図である。本発明の一実施の形態に従うミドルウェアマシン環境におけるＳＭＰのファイアウォール制限をもたらしていることを示す図である。本発明の一実施の形態に従うミドルウェアマシン環境におけるＳＭＰのファイアウォール制限をもたらすためのフローチャートの一例を示す。本発明の一実施の形態に従うミドルウェアマシン環境におけるスイッチベースのＳＭＰのトラフィックの保護をもたらしていることを示す図である。本発明の一実施の形態に従うミドルウェアマシン環境におけるスイッチベースのＳＭＰのトラフィックの保護を提供するためのフローチャートの一例を示す。

詳細な説明：
本明細書では、ミドルウェアマシンまたは同様のプラットフォームを提供するためのシステムおよび方法について説明する。本発明の一実施の形態に従うと、本システムは、たとえば６４ビットプロセッサ技術、高性能大型メモリ、ならびに冗長インフィニバンドおよびイーサネット（登録商標）ネットワーキングといった高性能ハードウェアと、ウェブロジックスイート（WebLogic Suite）といったアプリケーションサーバまたはミドルウェア環境との組合せを備えることにより、完全なＪａｖａ（登録商標）ＥＥアプリケーションサーバ複合体を提供する。この複合体は、大規模並列処理インメモリグリッド（massively parallel in-memory grid）を含み、素早くプロビジョニングすることができ、要求に応じて拡大縮小できる。一実施の形態に従うと、本システムは、アプリケーションサーバグリッド、ストレージエリアネットワーク、およびインフィニバンド（ＩＢ）ネットワークを提供する、フルの、２分の１の、もしくは４分の１のラックまたはその他の構成として準備できる。ミドルウェアマシンソフトウェアは、アプリケーションサーバの、ミドルウェアの、または、たとえばウェブロジック（WebLogic）サーバ、ジェイロキット（JRockit）もしくはホストポット（Hostpot）ＪＶＭ、オラクルリナックス（Linux）（登録商標）もしくはソラリス（Solaris）、およびオラクルＶＭといった他の機能の実行を提供できる。一実施の形態に従うと、本システムは、ＩＢネットワークを介して互いに通信する、複数のコンピュータノード、ＩＢスイッチゲートウェイ、およびストレージノードまたはユニットを含んでもよい。ラック構成として実装された場合には、その未使用部分は、空のままであってもよく、または、フィラー（filler）によって占められてもよい。

本願明細書において「サンオラクルエクサロジック（Sun Oracle Exalogic」または「エクサロジック（Exalogic）」と称される本発明の一実施の形態に従うと、本システムは、オラクルミドルウェアＳＷスイート（Oracle Middleware SW suite）またはウェブロジック（Weblogic）といったミドルウェアまたはアプリケーションサーバソフトウェアをホスティングするための、展開が容易なソリューションである。本明細書に記載されるように、一実施の形態に従うと、本システムは、１つ以上のサーバと、ストレージユニットと、ストレージネットワーキングのためのＩＢファブリックと、ミドルウェアアプリケーションをホストするために要求されるすべての他のコンポーネントとを備える「グリッド・イン・ア・ボックス（grid in a box)」である。たとえば、リアルアプリケーションクラスタ（Real Application Clusters）およびエクサロジックオープンストレージ（Exalogic open storage）を用いて大規模並列グリッドアーキテクチャを活用することにより、すべてのタイプのミドルウェアアプリケーションのために有意な性能が与えられ得る。本システムは、リニアＩ／Ｏスケーラビリティ（linerar I/O scalability）とともに向上した性能を与え、使用および管理が簡易であり、重要な役割を担う（mission-critical）可用性および信頼性を与える。

Ｍ＿キーの保護モデル
図１は、本発明の一実施の形態に従うミドルウェアマシンのプラットフォームにおけるマネジメントキーの保護モデルのサポートを示す図である。図１に示されるように、Ｍ＿キー１０２のようなマネジメントキーは、ＩＢファブリック（またはＩＢサブネット）１００を保護するために用いられ得る。Ｍ＿キー１０２の値は、ファブリックアドミニストレイタ１１０しか知らないことがあり、ファブリックアドミニストレイタ１１０は、ＩＢサブネット／ファブリック１００の、スイッチ１０３−１０４と、指定されたサブネットマネージャ（ＳＭ）ノード１０１とへのアドミニストレイタアクセスをすることができる。Ｍ＿キー１０２の完全性は、たとえばデータセンタにおけるＩＢサブネット／ファブリック１００のスイッチ１０３−１０４の物理的なアクセス保護と、ファブリックアドミニストレイタ１１０によって用いられるファブリックレベルのアドミニストレイタパスワードの完全性とに依存する。

ＩＢファブリック１００において、ＨＣＡ１２１−１２４における安全なＨＣＡファームウェアの実装により、適切に定義された様々なファブリックノードのタイプおよび識別（identity）を保持することができる。ＨＣＡ１２１−１２４の各々は、サブネットマネジメントエージェント（ＳＭＡ）のコンポーネント１３１−１３４を実装でき、各ＳＭＡのコンポーネントは、Ｍ＿キー１４１−１４４に関連付けられ得る。さらに、接続されたスイッチＡ１０３およびＢ１０４は、ファブリックアドミニストレイタ１１０によってコントロールされ得る。それゆえに、任意の不正なＳＭＡの実装１３１−１３４は、ファブリックアドミニストレイタ１１０が定義し、ＩＢサブネット／ファブリック１００で用いられるＭ＿キー１０２値を危殆化しないかもしれない。

ミドルウェアマシンのプラットフォームにおける安全なＨＣＡファームウェアの実装を用いる様々な実施の形態のさらに他の説明が、２０１２年６月４日に出願された「インフィニバンド（ＩＢ）ネットワークにおける安全なサブネットマネジメントエージェント（ＳＭＡ）を提供するためのシステムおよび方法」と題された米国特許出願第１３／４８７，９７３号において提供され、その出願は、引用により本出願に援用される。

さらに、ファブリックアドミニストレイタ１１０は、ＩＢサブネット／ファブリック１００の新しいＭ＿キー値１０２がスイッチ１０３−１０４に帯域外でインストールされることを確実にできる（対応するサブネットマネージャインスタンス１０１のためにも）。さらに、ファブリックアドミニストレイタ１１０は、無限のＭ＿キー１０２のリース時間（lease time）がスイッチ１０３−１０４に存在することを確実にする。それゆえに、ホストベースのソフトウェア１６１−１６４、たとえば、（オペレーティングシステム１５１−１５４を含む）異なるホスト１１１−１１４のホストベースのサブネットマネージャは、ＩＢサブネット／ファブリック１００の任意のスイッチ１０３−１０４のコントロールをハイジャック（hijack）できない。

本発明の一実施の形態に従えば、単一のＭ＿キー１０２の値（または、Ｍ＿キー値の単一の組）は、ＩＢ仕様で定義されたアクセス制限に基づいて、ＩＢサブネット／ファブリック１００における様々なノードのために用いられ得る。現在のＭ＿キー１０２の正確な値は、Ｍ＿キー１０２を読み込む前、または更新する前に特定される必要があるかもしれない。なぜならば、安全なＨＣＡファームウェアは、ローカルＨＣＡ１２１−１２４に割り当てられ「読み込み保護された」Ｍ＿キーがローカルホストベースのソフトウェアから見えないことを確実にできるからである。

さらに、ＨＣＡポートの現在のＭ＿キー値がランタイム（run-time）で定義されている場合には、異なるホスト１１１−１１４上のローカルソフトウェア１６１−１６４は、それ自身のＭ＿キー値をセットアップすることによって、ＨＣＡポートをハイジャックできる可能性がある。また、ホストローカルソフトウェア１６１−１６４は、たとえば、指定されたサブネットマネージャ１０１がＨＣＡ１２１−１２４のために任意のＭ＿キー１０２をセットアップする前に、指定されたサブネットマネージャ１０１のためにＨＣＡポートをマネジメントできないようにする。

本発明の一実施の形態に従えば、指定されたサブネットマネージャ１０１は、未知のＭ＿キー値を有する任意のＨＣＡを無視でき、対応するリンクを初期化されないままにできる。ハイジャックされたＨＣＡポートのＭ＿キーにおけるただ１つの影響は、ＨＣＡポートが動作できないようになる可能性があることであり、指定されたサブネットマネージャ１０１は、通常の通信、すなわち、ＳＭＰ／ＶＬ１５を基にしない通信、を用いるこのＨＣＡポートを介してホストベースのソフトウェアが通信することを妨げ得る。

さらに、ホストソフトウェア１１１−１１４がローカルＨＣＡのＭ＿キー値を危殆化する場合には、問題を起こしているホストソフトウェアは、ＨＣＡポートを、活性化されたローカル識別子（ＬＩＤ）およびパーティションメンバシップ（partition membership）を有する動作状態にさせることができ得る。そのような場合において、もしＨＣＡ１２１−１２４に接続するスイッチ１０３−１０４のスイッチポートが、ローカルＨＣＡＭ＿キー値を危殆化したホストソフトウェア１１１−１１４に知られていない異なるＭ＿キー値によってコントロールされるならば、その時には、問題を起こしているホストソフトウェア１１１−１１４は、リンクを、通常のデータトラフィックを可能にする完全な動作状態にできない可能性がある。

本発明の一実施の形態に従えば、ＩＢファブリック１００は、様々な潜在的に脅威的な状況を回避するために、様々なホスト１１１−１１４の間の直接ルート（direct route）のＳＭＰを防止できる。ある状況において、ホスト、たとえば、ホスト１１１は、遠隔のホスト１１２および／または遠隔のＨＣＡ１２２がリセットされた後に、遠隔のホスト、たとえば、１１２のＨＣＡポートのＭ＿キーをハイジャックするために直接ルートのＳＭＰを使用できる。これにより、遠隔のＨＣＡ１２２ポートは、ＳＭ１０１からアクセスできなくなり、それによって、遠隔のホスト１１２が通常のＩＢ通信に加わること、すなわち、サービス妨害（Ｄｏｓ）攻撃、を防止できる。別の状況において、２つのホスト、たとえば、ホスト１１１およびホスト１１４、がハッカーによって危殆化された場合において、直接ルートのＳＭＰに依存するＩＢファブリック１００における協同管理は、２つの危殆化されたホストが直接ルートのＳＭＰを用いる情報を交換することを可能にしてもよい。

ＩＢファブリック１００は、直接ルートのＳＭＰに依存することなしに異なるホスト１１１−１１４間で情報を交換するために共同管理をサポートしてもよい。たとえば、ホストのためのアドミニストレイタは、ＩＢファブリック１００における直接ルートのＳＭＰに依存する代わりに、インターネットの共有ウェブページにアクセスできる。ファブリックのセキュリティの観点から、直接ルートのＳＭＰをＩＢファブリック上のセキュリティホールのままにすることは、両方のホストアドミニストレイタがインターネットの共有ウェブページにアクセスすることを可能にするよりもより悪い状況と考えられ得る。

本発明の一実施の形態に従えば、たとえば、Ｍ＿キー１０２のリース期間を維持するサブネットマネージャ１０１についての高い有効性に起因して、ＨＣＡポートは、Ｍ＿キー１０２に有限のリース時間をセットアップされ得る。それゆえに、Ｍ＿キー１０２は、関連付けられたリンクがダウンすることなしに失効し得る。その結果、ＨＣＡ１２１−１２４の状態、たとえば、パーティションメンバシップは、リンクがいまでもアクティブモードであり、関係するポートのためのＬＩＤルートがいまでも動作可能な間に更新され得る。その後、Ｍ＿キーによる保護がないＩＢファブリック１００は、ハイジャックされたホストと他のパーティションのホストとの間の通常のＩＢトラフィックを誤って可能にする可能性がある。

さらに、もしリンクがダウンする前にＭ＿キー１０２が失効すると、ローカルＨＣＡ、たとえば、ＨＣＡ１２１、と任意の遠隔のＨＣＡ、ＨＣＡ１２４、との両方はハイジャックされ得、パーティションメンバシップは修正され得る。もし、たとえば、スイッチ１０３−１０４などの関連付けられたスイッチポートが、パーティション強制（partition enforcement）を実行するためにセットアップされないならば、要求されていないパーティションメンバシップを有するトラフィックは、ファブリックにおける任意の他のノードに到達できる。

さらに、ＩＢファブリック１００内のサブネットマネージャ１０１は、指定された仮想レーン（ＶＬ）、たとえば、ＶＬ１５バッファリング、に依存して、ＩＢファブリック１００を正確にモニターおよびコントロールし、かつＩＢファブリック１００の他のサブネットマネージャと交渉することができる。ＩＢファブリック１００内のＶＬ１５のバッファリングは共有資源であるので、任意のホストからのＳＭＰのコントロールされていない使用は、ＤｏＳ攻撃を示し得る。これは、サブネットマネージャ１０１の動作に影響し得る。なぜならば、ＩＢファブリック１００内のＭ＿キーの保護により、ホストが任意のノード上の任意のＳＭＡの状態を変化させることを防止できるからである。それゆえに、ＩＢファブリック１００におけるＳＭＰのトラフィックを保護する必要がある。

本発明の一実施の形態に従えば、Ｍ＿キー１０２は、ファブリックアドミニストレイタ１１０によって作成および管理され、スイッチＡ１０３およびＢ１０４および／またはＨＣＡ１２１−１２４の安全なメモリに格納され得る。ＨＣＡ１２１−１２４またはスイッチＡ１０３およびＢ１０４のマイクロプロセッサは、Ｍ＿キー１０２を読み出すため、またはＭ＿キー１０２をメモリに書き込むためにメモリにアクセスできる。

ＳＭＰのファイアウォール制限
本発明の一実施の形態に従えば、安全なＨＣＡファームウェアは、ＳＭＰのファイアウォール制限を使用して、ホストベースのソフトウェアがローカルまたは遠隔のＨＣＡポートのいずれかをハイジャックすることを防止できる。ＳＭＰのファイアウォール制限は、ホストソフトウェアがＳＭＰリクエストをファブリックに送信することを防止でき、さもなければホストソフトウェアに転送されるであろういずれのＳＭＰも拒否できる。

図２は、本発明の一実施の形態に従うミドルウェアマシン環境におけるＳＭＰのファイアウォール制限をもたらしていることを示す。図２に示されるように、ミドルウェアマシン環境２００は、１つ以上のホスト２０３−２０４と、サブネットマネージャ２０１に関連付けられるＩＢファブリック２１０とを備え得る。ホスト２０３−２０４の各々は、ＨＣＡファームウェア２１５−２１６を実装するＨＣＡ２１１−２１２を介してＩＢファブリック２１０に接続する。

ＨＣＡファームウェア２１５−２１６は、任意のＳＭＰベースのサービス妨害（ＤｏＳ）攻撃、たとえば、サブネットマネージャ２０１の動作を標的にすること、を効果的に防止し、ファブリック２００の信頼性のあるノードによるＳＭＰベースのツールを適法に使用することを許可することができるＳＭＰのファイアウォールコンポーネント２１３−２１４を含み得る。ＨＣＡのＳＭＰファイアウォールコンポーネント２１３−２１４は、ホストスタックソフトウェア２０５−２０６がＳＭＰ２２０をＩＢファブリック２１０に送信することを防止する。さらに、遠隔のノード、たとえば、ホスト２０４の情報がローカルホストソフトウェア、たとえば、ホストソフトウェア２０５に不当に提供されることを防止するために、安全なＨＣＡファームウェア２１５は、さもなければホストソフトウェア２０５に転送されるであろうＩＢファブリック２１０から受信されたＳＭＰ２３０を拒否できる。

さらに、ＳＭＰのファイアウォールコンポーネント２１３−２１４は、サブネットマネージャ２０１が動作しない場合に、たとえば、ローカルに接続されたスイッチポートの識別を監視することで、ホストスタックソフトウェア２０５−２０６による様々なＳＭＰベースの動作を防止できる。さらに、サブネットマネージャ２０１からの、ホストスタックソフトウェア２０５−２０６、または、ファブリックにおける他の正当なコンポーネントとの任意のＳＭＰベースの通信が防止され得る。

本発明の一実施の形態に従えば、安全なＨＣＡファームウェア２１５−２１６は、ＳＭＰファイアウォールコンポーネント２１３−２１４の一部として、特定のルールを実装し、正当な動作がホストスタックソフトウェア２０５−２０６のために可能にされることを確実にできる。これらのルールは、特定のＳＭＰベースのリクエストおよび応答のタイプがタイトにコントロールされた速度で送信され、受信されることを可能にする。さらに、これらのルールは、直接ルートとＬＩＤルートとの両方のＳＭＰの送信元および送信先の制限を定義できる。

さらに、これらのルールは、ＨＣＡインスタンス２１１−２１２に関連付けられている物理的なホスト２０３および２０４を現在コントロールしているハイパーバイザインスタンス、またはＯＳ２０７および２０８のＳＭＰベースの認証を可能にできる。ミドルウェアマシンのプラットフォームにおいて、発見されたコンポーネントの認証の様々な実施の形態のさらに他の説明が、２０１２年６月４日に出願された「インフィニバンド（ＩＢ）ネットワークにおいて発見されたコンポーネントの識別を認証するためのシステムおよび方法」と題された米国特許出願第１３／４８８，０４０号において提供され、その出願は、引用により本出願に援用される。

本発明の一実施の形態に従えば、安全なＨＣＡファームウェア２１５は、プロキシ機能２１７−２１８を実装して、正当な動作がホストスタックソフトウェア２０５−２０６のために可能にされることを確実にすることができる。サブネットマネージャ２０１のような外部マネジメントコンポーネントは、プロキシ機能２１７−２１８を介してベンダーのＳＭＰ２２１をホストスタックソフトウェア２０５−２０６に送信できる。ホストスタックソフトウェア２０５−２０６は、ＨＣＡファームウェア２１５−２１６とホストスタックソフトウェア２０５−２０６との間のローカルの帯域外のインタフェイス２２３−２２４を介してプロキシ機能２１７−２１８と通信できる。そして、このプロキシ機能２１７−２１８は、ホストスタックソフトウェア２０５−２０６の代わりに特定の適法な動作を実装する責任を負い、遠隔のファブリックマネジメントコンポーネント、たとえば、サブネットマネージャ２０１、の代わりにホストスタックソフトウェア２０５−２０６と通信する責任を負うことができる。

安全なＨＣＡファームウェア２１５−２１６は、認証されていない構成情報の検索からＩＢファブリック２１０を保護することができる、たとえば、ローカルホストソフトウェアがグローバルに一意な識別子（ＧＵＩＤ）、ＬＩＤ、および、遠隔のＩＢノードに対するＤＯＳ攻撃のための基礎として潜在的に用いられ得るパーティションメンバシップのような遠隔のＩＢノードについての情報を監視することを防止する）。また、安全なＨＣＡファームウェア２１５−２１６は、アクティブなサブネットマネージャのバックで、遠隔のノードに対する正常なデータ通信を可能にするために用いられ得る遠隔のノードについての情報を監視する能力を制限することによって、ローカルホストのアクセスからの、そのローカルＭ＿キー２０２の設定をローカルＨＣＡ２１１−２１２が十分に保護することを可能にする。

さらに、安全なＨＣＡファームウェア２１５−２１６は、レガシーＳＭＰを基にする診断およびモニタリングツールが信頼性のないホストに用いられるのを防止し得る（または作動しないことがある）。なぜならば、安全なＨＣＡは、信頼性のないホストから送信された任意のＳＭＰ動作をブロックできるからである。また、Ｍ＿キー方式（scheme）は、ＳＭＰに依存してレガシーツールを使用する能力を限定し得る、完全な読み込み保護と共に用いられ得る。

さらに、安全なＨＣＡファームウェア２１５は、信頼性のないホスト間の、認証されていないＳＭＰベースの通信からＩＢファブリック２００を保護できる。安全なＨＣＡファームウェア２１５は、たとえば、ＳＭ２０１の動作を標的にするＤｏＳ攻撃に対して脆弱な認証されていないＳＭＰトラフィックからＩＢファブリックを保護できる。様々なアドミッションコントロールポリシが異なるホスト２０３−２０４のためのＳＭＰ注入率（injection rates）を許容レベルに制限できる。代わりに、ＤＯＳ攻撃をさらに防止するために、たとえば、安全なＨＣＡファームウェアのＳＭＰブロック特徴を活用して、単一のサブネット構成によって、信頼性のないホストからの全てのＳＭＰの動作がブロックされてもよい。

さらに、安全なＨＣＡファームウェア２１５は、サブネットアドミニストレイタ（ＳＡ)のアクセスを標的にするＤｏＳ攻撃からＩＢファブリック２１０を保護できる。安全なＨＣＡファームウェア２１５は、ＳＡにアクセスするために、ＱｏＳ／公正（fairness）および拡張性を保証できる。また、ＤｏＳを防止するために、ＳＭ２０１は、たとえば、ある時間間隔のリクエスト速度の閾値を越える、ＳＡリクエストの「過負荷」を生じさせているＨＣＡポートをシャットダウンすることを許され得る。

図３は、本発明の一実施の形態に従うミドルウェアマシン環境におけるＳＭＰのファイアウォール制限をもたらすためのフローチャートの一例を示す。図３に示されるように、ステップ３０１で、安全なファームウェアの実装が、インフィニバンド（ＩＢ）ファブリックに接続するホストチャンネルアダプタ（ＨＣＡ）で提供され得、ＨＣＡは、１つのホストに関連付けられる。その後、ステップ３０２で、安全なファームウェアの実装は、少なくとも１つのＳＭＰを受信でき、少なくとも１つのＳＭＰは、ホストから受信されるか、ホストに宛てられる。さらに、ステップ３０３で、安全なファームウェアの実装は、ホストが、少なくとも１つのＳＭＰをＩＢファブリックに送信すること、またはホストに宛てられた少なくとも１つのＳＭＰを受信することを防止する。

スイッチベースのプロキシＭ＿キー保護
本発明の一実施の形態に従えば、ＳＭＰのＭ＿キーチェックは、ＩＢファブリックにおける中間スイッチノードで実行されて、Ｍ＿キーをセットアップさせない遠隔のＨＣＡポートをローカルスイッチのＭ＿キーの設定が保護できることを確実にすることができる。

図４は、本発明の一実施の形態に従うミドルウェアマシン環境におけるスイッチベースのＳＭＰのトラフィックの保護をもたらしていることを示す。図４に示されるように、ミドルウェアマシン環境４００は、ＨＣＡ４０２を介してホスト４０３に接続するＩＢスイッチ４０１を含み得る。ホスト４０３は、オペレーティングシステム４０７上で動作するホストスタックソフトウェア４０５を含み得る。ＩＢスイッチ４０１は、１つ以上のスイッチポート４１１−４１６を含んでもよく、各スイッチポートは、個別のノード、またはＩＢファブリック４００におけるエンティティと接続するために用いられ得る、たとえば、スイッチポート４１１は、ＨＣＡ４０２に接続される。

サブネットマネジメントエージェント（ＳＭＡ）のコンポーネント４０６は、ＨＣＡ４０２のファームウェア４０４で実装され、スイッチポート４１１を介してＩＢファブリック４００における他のノードと通信できる。また、ＩＢファブリック４００における指定されたサブネットマネージャ４０８は、直接ルートのＳＭＰリクエストを任意のＳＭＡ４０６に送信することと、ＳＭＡ４０６からの直接ルートのＳＭＰ応答を受信することとの両方のために、特定のスイッチポート（たとえば、ポート４１１）を使用できる。

スイッチ４０１は、全てのＨＣＡがＳＭＰコントロールを有する信頼性のあるファームウェアを有することを要件とすることに依存することなしに、ＩＢファブリック４００で生じる意図されていないＳＭＰトラフィックを防止できる。たとえば、スイッチ４０１は、ＩＢファブリック４００のためのファブリックポリシに一致しない直接ルートのＳＭＰトラフィックを除去できる。

スイッチ４０１は、遠隔のＨＣＡポート４０２が侵入者によってハイジャックされることを防止するための除去方式（filtering scheme）を使用できる。除去方式は、ＳＭＡ４０６の属性を設定することを標的にする任意の直接ルートのＳＭＰリクエストを識別することに基づき得る。さらに、除去方式は、送り先とは独立して、全ての直接ルートのＳＭＰリクエストのために同一のＭ＿キーのチェックを実行でき、ＳＭＰがどの宛先を標的にしているかとは独立して直接ルートのＳＭＰリクエストがローカルスイッチ４０１のために正確なＭ＿キー４０９を含むことを要件とし得る。

単一のＭ＿キー４０９は、ＩＢファブリック４００で使用され得、ＩＢファブリック４００は、スイッチ４０１と、スイッチ４０１に直接的に接続するＨＣＡポート４０２とを含む。もし、ホストスタックソフトウェア４０５がローカルＨＣＡ４０２を保護するＭ＿キー４１９を危殆化し得ると、ホストスタックソフトウェア４０５は、ローカルスイッチ４０１を保護するＭ＿キー４０９も危殆化し得る。なぜならば、ＩＢファブリック４００における全てのＳＭＰトラフィックは、ローカルスイッチのＭ＿キー４０９を含むからである。

本発明の一実施の形態に従えば、スイッチ４０１の実装は、各外部ポートのためのオプションのＭ＿キー値、たとえば、外部ポート４１１−４１６のためのＭ＿キー４２１−４２６、を特定できる。さらに、スイッチ４０１の実装は、スイッチポート、たとえば、スイッチポート４１１、から送信された任意のＳＭＰと、このポートから受信した任意のＳＭＰとが、全て、スイッチポート４１１のために特定されたＭ＿キー４２１に一致するＭ＿キー値を有することを確実にできる。さらに、ネットワークスイッチ４０１は、ＳＭＰ４２０が外部ポート４１４から送信することと、ＳＭＰ４１０が外部ポート４１４で受信することとの個別の制限を強制できる。

このメカニズムを用いることで、スイッチポートに関連付けられている正確なローカルＭ＿キーが特定された場合に、正当なサブネットマネージャ４０８は、全ての潜在的に信頼性のない遠隔のＨＣＡポートまたは他の潜在的に信頼性のない遠隔ポートがＳＭＰを送信することのみを許され得ることを確実にできる。また、遠隔のポートにアクセスする試みは、遠隔のポートのＭ＿キーがハイジャックされたかどうかとは独立して、そのポートについてサブネットマネージャ４０８の定義されたＭ＿キーを有することを必要とし得る。さらに、このメカニズムは、ファブリックにおいて信頼性のないポートからＳＭＰベースのＤｏＳ攻撃の機会を防止するか、減らすために、どれくらいの速さで遠隔のポートがＳＭＰを生じさせ得るのかを定義するＳＭＰの速度も特定できる。

ミドルウェアマシンのプラットフォームにおけるＳＭＰ除去を用いる様々な実施の形態の付加的な説明が、２００４年６月２日に出願され、２００８年７月８日に発行された「通信ネットワークにおいてノードを認証するためのシステムおよび方法」と題された米国特許第７，３９８，３９４号において提供され、その出願は、引用により本出願に援用される。

本発明の一実施の形態に従えば、除去方式は、スイッチポートが「信頼性がある」または「信頼性がない」と明らかにしたことに基づく、ホスト−ホストベースの直接ルートの不適法なＳＭＰトラフィックを防止できる。スイッチポート、またはスイッチポートに接続するエンティティが信頼性を有するか否かの判断は、ローカルスイッチ４０１に対する明示的なポリシの入力または遠隔のポートの自動的な認証に基づき得る。

図４に示されるように、スイッチポート４１１、４１３−４１４、および４１６は、信頼性のあるスイッチポートであり、一方で、スイッチポート４１２および４１５は信頼性がない。除去方式は、信頼性のあるポート（スイッチからの出口）からＳＭＰリクエストが送信されること、および、信頼性のあるポート（スイッチへの入口）によってＳＭＰ応答が受信されることのみを可能にし得る。さらに、第１の場所における信頼性のあるポートからサブネットに入ったただ１つのＳＭＡリクエストは、信頼性のないポートに向けて出ることを許され得る。それゆえに、除去方式は、任意の現在のＭ＿キー設定とは独立してなされ得、上記のＭ＿キーベースの除去方式と共に用いられ得る。

本発明の一実施の形態に従えば、単一のＭ＿キー４０９、または単一の組のＭ＿キーを使用できることは、ＩＢサブネット／ファブリック４００を通して、ＩＢファブリック４００における全てのノードが信頼されるかどうか、および、要求される特権を有さない任意のエンティティに対して使用中のＭ＿キーを露出しないかどうかに依存する。サブネットマネージャ４０８がリクエスト中に現在のＭ＿キーを含むための必要条件は、標的および任意の中間エージェントがＭ＿キーの完全性を危殆化し得ないことをサブネットマネージャ４０８が保証され得るようにすることである。一例では、そのような全面的な信頼性は、任意のＳＭＰにおける現在のＭ＿キーを含むよりも前に確立され得る。それゆえに、ファブリックの構成は、ＨＣＡを含む、ＩＢファブリック中の全てのノードが、全てのＳＭＡインスタンスが全面的に信頼性のあることを推測的に仮定する代わりに、任意のＭ＿キーを基にする通信が起こり得る前に、信頼性があるものとして認証される（または明らかにされる）ことを要件とし得る。

本発明の一実施の形態に従えば、ベンダーを基にするＳＭＰを、スイッチマネジメントインタフェイスを介して送信および受信するためのメカニズムが提供され得る。そのようなメカニズムは、スイッチ内蔵認証メカニズムがスイッチのローカルソフトウェアの一部として動作し、それによって、内蔵サブネットマネージャおよび内蔵スイッチドライバおよびＳＭＡと協力して動作をすることを可能にする。

図５は、本発明の一実施の形態に従うミドルウェアマシン環境におけるスイッチベースのＳＭＰのトラフィックを保護するためのフローチャートの一例を示す。図５に示されるように、ステップ５０１で、ネットワークスイッチは、サブネットマネジメントエージェント（ＳＭＡ）に宛てられた１つ以上のＳＭＰを受信できる。その後、ステップ５０２で、ネットワークスイッチは、１つ以上のＳＭＰが正確なマネジメントキーを含むかどうかをチェックできる。さらに、ステップ５０３で、ネットワークスイッチは、１つ以上のＳＭＰが正確なマネジメントキーを含まない場合に、１つ以上のＳＭＰが宛てられたＳＭＡに転送されることを防止できる。

概して、本発明は、１つ以上のマイクロプロセッサで動作可能なミドルウェアマシン環境におけるサブネットマネジメントパケット（ＳＭＰ）のファイアウォール制限を提供するためのシステムに関し、システムは、
インフィニバンド（ＩＢ）ファブリックに接続するホストチャンネルアダプタ（ＨＣＡ）に安全なファームウェアの実装を提供するための手段を含み、ＨＣＡは、ホストに関連付けられており、さらに、
安全なファームウェアの実装を介して少なくとも１つのＳＭＰを受信するための手段を含み、少なくとも１つのＳＭＰは、ホストから受信されるか、ホストに宛てられ、さらに、
安全なファームウェアの実装を介して、ホストが少なくとも１つのＳＭＰをＩＢファブリックに送信すること、またはホストに宛てられた少なくとも１つのＳＭＰを受信することを防止するための手段を含む。

上記システムは、さらに、安全なファームウェアの実装においてＳＭＰのファイアウォールコンポーネントを含むための手段を含む。

上記システムは、さらに、ＳＭＰのファイアウォールコンポーネントが１つ以上のＳＭＰベースの動作を防止することを可能にするための手段を含む。

上記システムは、さらに、ＳＭＰのファイアウォールコンポーネントがホストソフトウェアとサブネットマネージャとの間のＳＭＰベースの通信を防止することを可能にするための手段を含む。

上記システムは、さらに、ＳＭＰのファイアウォールコンポーネントの一部として特別なルールを実装するための手段を含む。

上記システムは、さらに、特別なルールが特定のＳＭＰベースのリクエストおよび応答タイプがタイトにコントロールされた速度で送信され、受信されることを定義する、および／または、直接ルートのＳＭＰとローカルの識別子ルートのＳＭＰとの両方のための送信元および送信先の制限を定義することを可能にするための手段を含む。

上記システムは、さらに、安全なファームウェアの実装がプロキシ機能を含むことを可能にするための手段を含み、プロキシ機能は、ローカルの帯域外のインタフェイスを通して、ホストソフトウェアとの通信を受信できる。

上記システムは、さらに、サブネットマネージャがプロキシ機能を介してホストソフトウェアにＳＭＰを送信することを可能にするための手段を含む。

上記システムは、さらに、遠隔のＩＢノードからの構成情報の、認証されていない検索を防止するための手段を含む。

上記システムは、さらに、サブネットマネージャが、サブネットアドミニストレイタ（ＳＡ）のリクエストの過負荷を生じさせているＨＣＡポートをシャットダウンすることを可能にするための手段を含む。

概して、本発明は、サブネットマネジメントパケット（ＳＭＰ）ベースの攻撃を防止するための方法に関し、当該方法は、
安全なファームウェアの実装を介して少なくとも１つのＳＭＰを受信することを含み、少なくとも１つのＳＭＰは、ホストから受信されるか、ホストに宛てられ、さらに、
安全なファームウェアの実装を介して、ホストが少なくとも１つのＳＭＰをＩＢファブリックに送信すること、または、ホストに宛てられた少なくとも１つのＳＭＰを受信することを防止することを含む。

上記方法は、さらに、ＳＭＰのファイアウォールコンポーネントを安全なファームウェアの実装に含めることを含む。

上記方法は、さらに、ＳＭＰのファイアウォールコンポーネントが１つ以上のＳＭＰベースの動作を防止するのを可能にすることを含む。

上記方法は、さらに、ＳＭＰのファイアウォールコンポーネントがホストソフトウェアとサブネットマネージャとの間のＳＭＰベースの通信を防止するのを可能にすることを含む。

上記方法は、さらに、ＳＭＰのファイアウォールコンポーネントの一部として特別なルールを実装することを含む。

上記方法は、さらに、特別なルールが、特定のＳＭＰベースのリクエストおよび応答タイプがタイトにコントロールされた速度で送信され、受信されることを定義する、および／または、直接ルートのＳＭＰとローカルの識別子ルートのＳＭＰとの両方のための送信元および送信先の制限を定義することを可能にすることを含む。

上記方法は、さらに、安全なファームウェアの実装がプロキシ機能を含むのを可能にすることを含み、プロキシ機能は、ローカルの帯域外のインタフェイスを通してホストソフトウェアとの通信を受信できる。

概して、本発明は、サブネットマネジメントパケット（ＳＭＰ）ベースの攻撃を防止するためのシステムに関し、当該システムは、
安全なファームウェアの実装を介して、少なくとも１つのＳＭＰを受信するための手段を含み、少なくとも１つのＳＭＰは、ホストから受信されるか、ホストに宛てられ、さらに、
安全なファームウェアの実装を介して、ホストが、少なくとも１つのＳＭＰをＩＢファブリックに送信すること、または、ホストに宛てられた少なくとも１つのＳＭＰを受信することを妨げるための手段を含む。

上記システムは、さらに、安全なファームウェアの実装にＳＭＰのファイアウォールコンポーネントを含むための手段を含む。

上記システムは、さらに、ＳＭＰのファイアウォールコンポーネントの一部として特別なルールを実装にするための手段を含む。

概して、本発明は、１つ以上のマイクロプロセッサで動作可能なミドルウェアマシン環境におけるスイッチベースのサブネットマネジメントパケット（ＳＭＰ）のトラフィック保護を提供するための方法に関し、当該方法は、
ネットワークスイッチを介して、サブネットマネジメントエージェント（ＳＭＡ）のコンポーネントに宛てられた１つ以上のＳＭＰを受信するための手段と、
ネットワークスイッチを介して、１つ以上のＳＭＰが正確なマネジメントキーを含むかどうかをチェックするための手段と、
ネットワークスイッチを介して、１つ以上のＳＭＰが正確なマネジメントキーを含まない場合に、１つ以上のＳＭＰが宛てられたＳＭＡコンポーネントに転送されることを防止するための手段とを含む。

上記システムは、さらに、ファブリックポリシに従って１つ以上のＳＭＰを除去するための手段を含む。

上記システムは、さらに、１つ以上のＳＭＰの各々が直接ルートのＳＭＰであることを可能にするための手段を含む。

上記システムは、さらに、サブネットマネージャが、ネットワークスイッチの特有のスイッチポートを介してサブネットマネジメントエージェント（ＳＭＡ）のコンポーネントと通信するために、１つ以上のＳＭＰを用いるのを可能にするための手段を含む。

上記システムは、さらに、ネットワークスイッチの各外部ポートのための異なるマネジメントキーを定義するための手段を含む。

上記システムは、さらに、ネットワークスイッチが、外部ポートからＳＭＡコンポーネントに送信されたＳＭＰ、およびＳＭＡコンポーネントからの、外部ポートで受信されたＳＭＰに個別の制限を強制するのを可能にするための手段を含む。

上記システムは、さらに、正確なマネジメントキーが特定された場合に、サブネットマネージャを介して、ＳＭＡコンポーネントに関連付けられている信頼性のない遠隔のホストチャンネルアダプタ（ＨＣＡ）が１つ以上のＳＭＰを送信することのみを確実にするための手段を含む。

上記システムは、さらに、どれくらいの速さで遠隔のＨＣＡのポートがＳＭＰを生じさせ得るのかを定義するＳＭＰの速度を特定するための手段を含む。

上記システムは、さらに、１つ以上のスイッチポートが信頼性のあることを明らかにし、かつ、
ＳＭＰリクエストが信頼性のあるポートから送信され、
ＳＭＰ応答が信頼性のあるポートで受信されることを可能にする手段を含む。

上記システムは、さらに、ただ１つのＳＭＡコンポーネントのリクエストが、信頼性のあるポートから信頼性のないポートに送信されることを可能にするための手段を含む。

概して、本発明は、１つ以上のマイクロプロセッサで動作するネットワークスイッチに関し、当該ネットワークスイッチは、
サブネットマネジメントエージェント（ＳＭＡ）のコンポーネントに宛てられた１つ以上のＳＭＰを受信するための手段と、
１つ以上のＳＭＰが正確なマネジメントキーを含むかどうかをチェックするための手段と、
少なくとも１つのＳＭＰが正確なマネジメントキーを含まない場合に、１つ以上のＳＭＰが、宛てられたＳＭＡコンポーネントに転送されることを防止するための手段とを含む。

本発明は、１つ以上のプロセッサ、メモリ、および／または本開示の教示に従いプログラムされたコンピュータ可読記憶媒体を含む、従来の汎用または専用デジタルコンピュータ、コンピューティングデバイス、マシン、またはマイクロプロセッサを１つ以上用いて、適宜実現し得る。適切なソフトウェアコーディングは、ソフトウェア技術の当業者には明らかであるように、熟練したプログラマが本開示の教示に基づいて容易に準備できる。

実施の形態によっては、本発明は、本発明のプロセスのうちいずれかを実行するためにコンピュータをプログラムするのに使用できる命令がその上に／中に格納された記憶媒体または１つもしくは複数のコンピュータ可読媒体であるコンピュータプログラムプロダクトを含む。この記憶媒体は、フロッピー（登録商標）ディスク、光ディスク、ＤＶＤ、ＣＤ−ＲＯＭ、マイクロドライブ、および光磁気ディスクを含む、任意の種類のディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＤＲＡＭ、ＶＲＡＭ、フラッシュメモリデバイス、磁気もしくは光カード、ナノシステム（分子メモリＩＣを含む）、または、命令および／もしくはデータを格納するのに適した任意の種類の媒体もしくはデバイスを含み得るものの、これらに限定されない。

本発明のこれまでの記載は例示および説明を目的として提供されている。すべてを網羅するよう意図されておらず、または本発明を開示された形態そのものに限定するよう意図されていない。当業者には数多くの変更および変形が明らかであろう。実施の形態は、本発明の原理およびその実際の応用を最もうまく説明することによって当業者がさまざまな実施の形態および意図している特定の用途に適したさまざまな変形を用いて本発明を理解できるようにするために、選択され説明された。本発明の範囲は、添付の特許請求の範囲およびその均等物によって定められることが意図されている。

Claims

１つ以上のマイクロプロセッサで動作するミドルウェアマシン環境におけるスイッチベースのサブネットマネジメントパケット（ＳＭＰ）のトラフィック保護を提供するための方法であって、
ネットワークスイッチを介して、サブネットマネジメントエージェント（ＳＭＡ）に宛てられた１つ以上のＳＭＰを受信することと、
前記ネットワークスイッチを介して、前記１つ以上のＳＭＰが正確なマネジメントキーを含むかどうかをチェックすることと、
前記ネットワークスイッチを介して、前記１つ以上のＳＭＰが前記正確なマネジメントキーを含まない場合に、前記１つ以上のＳＭＰが前記宛てられたＳＭＡに転送されることを防止することとを含む、方法。
ファブリックポリシに従って前記１つ以上のＳＭＰを除去することをさらに含む、請求項１に記載の方法。
前記１つ以上のＳＭＰの各々が直接ルートのＳＭＰであるのを可能にすることをさらに含む、請求項１または２に記載の方法。
サブネットマネージャが、前記ネットワークスイッチの固有のスイッチポートを介してサブネットマネジメントエージェント（ＳＭＡ）と通信するために、１つ以上のＳＭＰを用いるのを可能にすることをさらに含む、請求項１〜３のいずれか１項に記載の方法。
前記ネットワークスイッチの外部ポートごとに異なるマネジメントキーを定義することをさらに含む、請求項１〜４のいずれか１項に記載の方法。
ミドルウェアマシン環境におけるスイッチベースのサブネットマネジメントパケットのトラフィック保護を提供するためのシステムであって、
サブネットマネジメントエージェント（ＳＭＡ）コンポーネントと、
１つ以上のマイクロプロセッサで動作するネットワークスイッチとを備え、
前記ネットワークスイッチは、
前記ＳＭＡコンポーネントに宛てられた１つ以上のＳＭＰを受信するように動作し、
前記１つ以上のＳＭＰが正確なマネジメントキーを含むかどうかをチェックするように動作し、
少なくとも１つのＳＭＰが前記正確なマネジメントキーを含まない場合に、前記１つ以上のＳＭＰが前記宛てられたＳＭＡに転送されることを防止するように動作する、システム。
請求項１〜５のいずれか１項に記載の方法を実行するための、１つ以上のプロセッサによって実行するための命令を備える、コンピュータプログラム。