JP6499098B2 - 転送制御装置、アプリケーション分析制御システム、転送制御方法及びアプリケーション分析制御方法 - Google Patents

Description

本発明は、転送制御装置、アプリケーション分析制御システム、転送制御方法及びアプリケーション分析制御方法に関するものであり、特に、IP（Internet Protocol）ネットワークにおけるパケットフローのアプリケーション分析について、分散配備された転送制御装置からアプリケーション分析制御装置へのコピーフローからステアリングフローへのスイッチング方式に関するものである。

ユーザの要望を踏まえ、パケットのペイロードまで分析し、アプリケーションレベルのセキュリティ攻撃（例えば、Slow Read DoS攻撃の様なサーバとクライント間のHTTP（Hypertext Transfer Protocol）レスポンスを長時間化することでサーバ側の負荷を増加させる攻撃）の検知や、アプリケーション単位でフロー制御するニーズが高まってきている。これらのサービス提供に向け、DPI（Deep Packet Inspection）装置など、アプリケーションレベルで分析制御するシステムを大規模なキャリアネットワーク（NW）で活用する検討がなされている。

アプリケーションレベルでユーザフローを分析制御する場合、処理コストが高く、大規模キャリアNWでは非常にコストが高くなる。現在、大規模キャリアNWにて、低コストでアプリケーション単位に分析制御を可能とする方式として、高度な分析が必要なフローを、転送制御装置から遠隔のデータセンタ（DC）などへ集約配備したアプリケーション分析制御装置へ転送する方式が検討されている（非特許文献１参照）。

アプリケーション分析制御装置では、管理装置から設定を指示されたユーザポリシに基づき、入力されるフロー（以下、分析対象フロー）に対して分析を行い、ユーザポリシの制御対象条件に合致したフロー（以下、制御対象フロー）を検出すると制御を行い、条件に合致しないフロー（以下、制御対象外フロー）に対しては制御を行わない。

久保庭，本間，福岡，森岡，吉川，"経済的なアプリケーション識別制御基盤アーキテクチャの検討,"2014年電子情報通信学会総合大会，B-6-65，2014年3月

従来方式では、アプリケーション分析制御装置でアプリケーション分析して、制御対象フローであるかどうかを判定した結果は、転送制御装置に通知されない。そのため、転送制御装置は、制御対象フローであるかどうかにかかわらず、フロー終了まで分析対象フローをアプリケーション分析制御装置へ転送する。制御対象フローだけでなく、制御対象外フローも、フロー終了まで転送され続けるため、アプリケーション分析制御装置でフロー終了まで制御対象フローであるかを識別する処理が必要であるだけでなく、それらをアプリケーション分析制御装置から宛先へ転送し続ける必要があり、アプリケーション分析制御装置での処理負荷が大きくなっている。

本発明は、アプリケーション分析制御装置でのフロー識別処理又は転送処理負荷を削減することを目的とする。

本発明の一形態に係る転送制御装置は、
ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置に、転送ポリシに従って、受信したパケットを転送する転送制御装置であって、
前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
を有し、
前記パケットヘッダ識別機能部は、前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送することを特徴とする。

また、本発明の一形態に係るアプリケーション分析制御システムは、
ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムであって、
前記アプリケーション分析制御装置は、
ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定する分析部と、
前記分析部における制御対象フローであるか否かを示す制御対象結果を前記転送制御装置に通知する分析結果通知部と、
を有し、
前記転送制御装置は、
前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
を有し、
前記パケットヘッダ識別機能部は、前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送することを特徴とする。

また、本発明の一形態に係るアプリケーション分析制御システムは、
アプリケーション分析制御装置に設定するユーザポリシ及び転送制御装置に設定する転送ポリシを管理する管理装置と、前記管理装置により設定されたユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、前記管理装置により設定された転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムであって、
前記アプリケーション分析制御装置は、
ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定する分析部と、
前記分析部における制御対象フローであるか否かを示す制御対象結果を前記管理装置に通知する分析結果通知部と、
を有し、
前記管理装置は、
前記アプリケーション分析制御装置から制御対象結果を受信し、受信した制御対象結果を前記転送制御装置に転送する分析結果転送部を有し、
前記転送制御装置は、
前記管理装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
前記分析結果受信部が前記管理装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
を有し、
前記パケットヘッダ識別機能部は、前記分析結果受信部が前記管理装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送することを特徴とする。

また、本発明の一形態に係る転送制御方法は、
ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置に、転送ポリシに従って、受信したパケットを転送する転送制御装置における転送制御方法であって、
前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
前記アプリケーション分析制御装置から制御対象結果が受信されるまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
を有することを特徴とする。

また、本発明の一形態に係るアプリケーション分析制御方法は、
ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムにおけるアプリケーション分析制御方法であって、
前記アプリケーション分析制御装置が、ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定するステップと、
前記アプリケーション分析制御装置が、制御対象フローであるか否かを示す制御対象結果を前記転送制御装置に通知するステップと、
前記転送制御装置が、前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
前記転送制御装置が、前記アプリケーション分析制御装置から制御対象結果が受信されるまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
前記転送制御装置が、前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
前記転送制御装置が、前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
を有することを特徴とする。

また、本発明の一形態に係るアプリケーション分析制御方法は、
アプリケーション分析制御装置に設定するユーザポリシ及び転送制御装置に設定する転送ポリシを管理する管理装置と、前記管理装置により設定されたユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、前記管理装置により設定された転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムにおけるアプリケーション分析制御方法であって、
前記アプリケーション分析制御装置が、ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定するステップと、
前記アプリケーション分析制御装置が、制御対象フローであるか否かを示す制御対象結果を前記管理装置に通知するステップと、
前記管理装置が、前記アプリケーション分析制御装置から制御対象結果を受信し、受信した制御対象結果を前記転送制御装置に転送するステップと、
前記転送制御装置が、前記管理装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
前記転送制御装置が、前記管理装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
前記転送制御装置が、前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
前記転送制御装置が、前記管理装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
を有することを特徴とする。

本発明によれば、アプリケーション分析制御装置でのフロー識別処理又は転送処理負荷を削減することが可能になる。

本発明の実施例１に係るアプリケーション分析制御システムの構成例を示す図 本発明の実施例１に係る転送制御装置の機能ブロック図 転送ポリシの例を示す図 コピー管理テーブルの例を示す図 本発明の実施例１に係るアプリケーション分析制御装置の機能ブロック図 本発明の実施例１に係るアプリケーション分析制御方法のシーケンス図 本発明の実施例２に係るアプリケーション分析制御システムの構成例を示す図 本発明の実施例２に係る転送制御装置の機能ブロック図 本発明の実施例２に係るアプリケーション分析制御装置の機能ブロック図 本発明の実施例２に係る管理装置の機能ブロック図 本発明の実施例２に係るアプリケーション分析制御方法のシーケンス図 本発明の実施例３に係るアプリケーション分析制御システムの構成例を示す図 本発明の実施例３に係る転送制御装置の機能ブロック図 本発明の実施例３に係るアプリケーション分析制御装置の機能ブロック図 本発明の実施例３に係る管理装置の機能ブロック図 本発明の実施例３に係る中継装置の機能ブロック図 本発明の実施例３に係るアプリケーション分析制御方法のシーケンス図

以下、図面を参照して本発明の実施例について説明する。

本発明の実施例では、ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムにおいて、以下の２つを実現することで、アプリケーション分析制御装置でのフロー識別処理及び転送処理負荷を削減する。

（１）アプリケーション分析制御装置にてユーザポリシに基づき、制御対象フローであるか否かを判定するまでの間は、転送制御装置にてパケットをコピーし、コピー元パケット（以下、主信号）は宛先アドレスに基づいて通常の経路へ転送する。コピーされたパケット（以下、コピーパケット）はアプリケーション分析制御装置へ転送し分析後に破棄することにより、アプリケーション分析制御装置における転送処理を削減する。

（２）更に、アプリケーション分析制御装置で制御対象フローであるかを判定した後は、転送制御装置から制御対象フローのみをアプリケーション分析制御装置へ転送して制御し、制御対象外フローはアプリケーション分析制御装置を経由せず転送制御装置から宛先へ転送することにより、アプリケーション分析制御装置のフロー識別処理を削減する。

なお、アプリケーション分析制御システムは、ユーザポリシ、転送ポリシ、ネットワークトポロジ情報等を管理する管理装置を更に含んでもよい。以下では、まず、管理装置がない場合の実施例（実施例１）を記載し、その後、管理装置がある場合の実施例（実施例２、実施例３）を記載する。

＜実施例１＞
図１に、本発明の実施例１に係るアプリケーション分析制御システムの構成例を示す。図１には、管理装置がない場合のネットワーク構成が示されている。アプリケーション分析制御システムは、転送制御装置１０と、アプリケーション分析制御装置２０とを有する。

アプリケーション分析制御装置２０にてアプリケーションレベルで分析制御することを希望するユーザ（契約ユーザ）は、どのようなフローをアプリケーション分析制御装置２０にて分析制御するかという転送ポリシと、どのような制御をアプリケーション分析制御装置２０にて行うかというユーザポリシをあらかじめ設定する。

転送制御装置１０は、パケットを宛先に転送するルータ等のネットワーク装置であり、あらかじめ設定された転送ポリシに合致するパケットのフローをアプリケーション分析制御装置２０に転送する。

アプリケーション分析制御装置２０は、あらかじめ設定されたユーザポリシに基づき制御を行う制御装置であり、転送制御装置１０から転送されたパケットのフローが制御対象フローである場合には制御を行い、制御対象外フローである場合には制御を行わない。例えば、アプリケーション分析制御装置２０は、特定のフローに対して帯域制御を行ったり、通信不能にしたりする制御を行う。

転送制御装置１０及びアプリケーション分析制御装置２０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリ装置、ハードディスク等の記憶装置等から構成されたコンピュータでもよい。例えば、転送制御装置１０及びアプリケーション分析制御装置２０の機能及び処理は、記憶装置又はメモリ装置に格納されているデータやプログラムをプロセッサが実行することによって実現されてもよい。

図２に、本発明の実施例１に係る転送制御装置１０の機能ブロック図を示す。転送制御装置１０は、パケットヘッダ識別機能部１０１、宛先制御機能部１０３、及び分析結果受信部１０５を具備している。転送制御装置１０は、あらかじめ、転送ポリシを保持している。図３に、転送ポリシの例を示す。転送ポリシは、転送フロー条件と転送先情報を保持している。転送フロー条件は、例えば、送信元アドレス（Src IP）、宛先アドレス（Dst IP）、送信元ポート（Src Port）、宛先ポート（Dst Port）、及びプロトコル（Protocol）を示す5tuple情報で構成される。転送先情報は、転送フロー条件に合致する場合のパケットの転送先のアプリケーション分析制御装置を示す。なお、制御対象外フローをアプリケーション分析制御装置に転送しないようにするため、以下では「装置#0」の転送先情報が用いられる。

パケットヘッダ識別機能部１０１は、アプリケーション分析制御装置２０から制御対象フローであるか否かを判定した結果を受信するまで、受信したパケットをコピーし、転送ポリシに従って、コピーされたパケットをアプリケーション分析制御装置２０に転送する。また、パケットヘッダ識別機能部１０１は、アプリケーション分析制御装置２０から制御対象フローであるか否かを判定した結果を受信した場合、制御対象フローに対応するパケットをアプリケーション分析制御装置２０に転送し、制御対象外フローに対応するパケットを宛先制御機能部１０３に転送する。

パケットヘッダ識別機能部１０１は、パケットヘッダ識別部１１１とパケットコピー部１１３で構成される。パケットヘッダ識別部１１１は、入力するフローを、転送ポリシに基づき指定されたアプリケーション分析制御装置へ転送する。転送ポリシの転送先情報が「装置♯0」の場合は、宛先制御機能部１０３へ入力フローを転送する。

パケットコピー部１１３では、転送ポリシの転送フロー条件に合致したフロー情報と当該フローに対してパケットコピーするか否かを識別するフラグ（以下、パケットコピーフラグ）で構成されるテーブル（以下、コピー管理テーブル）を保持している。図４に、コピー管理テーブルの例を示す。フロー条件は、例えば、送信元アドレス（Src IP）、宛先アドレス（Dst IP）、送信元ポート（Src Port）、宛先ポート（Dst Port）、及びプロトコル（Protocol）を示す5tuple情報で構成される。パケットコピーフラグは、「0」又は「1」で表され、「0」はパケットコピー部１１３においてパケットがコピーされないことを示し、「1」はパケットコピー部１１３においてパケットがコピーされることを示す。パケットヘッダ識別部１１１に入力されたフローが、転送ポリシの転送フロー条件に合致した場合は、コピー管理テーブルを参照し、新規にフロー情報を登録する。既にフロー情報が登録されている場合、何も行わない。コピーパケットフラグの初期値は「1」に設定される。一定時間適用されないフロー情報については、コピー管理テーブルから削除される。パケットコピー部１１３は、パケットヘッダ識別部１１１より入力されたフローに対しコピー管理テーブルを参照し、コピーパケットフラグが「1」であればパケットをコピーし、転送ポリシを参照してコピーパケットを当該フローの転送先であるアプリケーション分析制御装置へ転送し、主信号を装置内の宛先制御機能部１０３へ転送する。コピーパケットフラグが「0」であれば、パケットコピーは行わず、転送ポリシに基づき、入力フローを転送先であるアプリケーション分析制御装置へ転送する。

宛先制御機能部１０３は、従来のルータ機能であり、パケットヘッダの宛先アドレスに基づいてパケットを転送する。

分析結果受信部１０５は、アプリケーション分析制御装置から、分析対象フローが制御対象フローであるか否かを判定した結果を受信する。分析結果受信部１０５は、アプリケーション分析制御装置から、分析対象フローが制御対象フローか否かを判定した結果と当該フローの5tuple情報（以下、制御対象結果）を受信すると、コピー管理テーブルの当該フローのコピーパケットフラグを「0」に変更する。さらに、制御対象結果が、制御対象外フローの場合は、転送ポリシの当該フローの転送先情報を「装置♯0」に変更する。制御対象結果が、制御対象フローの場合は、転送先情報を変更しない。

図５に、本発明の実施例１に係るアプリケーション分析制御装置２０の機能ブロック図を示す。アプリケーション分析制御装置２０は、分析制御機能部２０１を具備する。分析制御機能部２０１は、フロー識別部２１１、分析部２１３、分析結果通知部２１５、及び制御部２１７で構成される。アプリケーション分析制御装置２０は、あらかじめ、ユーザ毎に、ユーザ識別情報とユーザポリシを保持している。ユーザポリシは、制御対象フロー条件と当該フローに適用する制御内容の情報を有する。ユーザ識別情報は、例えば、ユーザのIPアドレス、VLAN情報、端末識別情報、回線情報、及び当該ユーザを収容している転送制御装置情報である。

フロー識別部２１１は、制御対象フロー情報が登録されているテーブル（以下、制御フローテーブル）を保持している。制御対象フロー情報は、例えば、送信元アドレス（Src IP）、宛先アドレス（Dst IP）、送信元ポート（Src Port）、宛先ポート（Dst Port）、及びプロトコル（Protocol）を示す5tuple情報で構成される。フロー識別部２１１は、フローが入力されると、制御フローテーブルを参照し、制御フローテーブルに存在しない場合は分析部２１３へ転送し、制御フローテーブルに存在する場合は制御部２１７へ転送する。

分析部２１３では、入力されたフローに対してユーザポリシに基づき分析を行い、制御対象か否かを判定する。分析部２１３での処理後、入力フローのパケットは転送されず破棄される。判定完了後、制御対象結果は分析結果通知部２１５へ送信される。

分析結果通知部２１５は、分析部２１３から制御対象結果を受信すると、当該フローのフロー情報からユーザ識別情報を特定し、当該ユーザが収容されている転送制御装置１０の分析結果受信部１０５へ制御対象結果を送信する。さらに、制御対象結果が制御対象フローの場合、分析結果通知部２１５は、当該フローのフロー情報をフロー識別部２１１が保持する制御フローテーブルに新規フローとして登録する。既にフロー情報が登録されている場合は、何も行わない。制御対象外フローの場合は、特に実施しない。フロー識別部２１１で一定時間適用されないフロー情報については制御フローテーブルから削除される。

制御部２１７では、入力されたフローに対し、ユーザポリシに基づき、条件に合致したフローに対して制御を行い、その後、転送元の転送制御装置へフローを転送する。
次に、装置間の処理フローについて説明する。図６に、本発明の実施例１に係るアプリケーション分析制御方法のシーケンス図を示す。本実施例では、同一の転送制御装置１０から上り方向及び下り方向のトラヒックをアプリケーション分析制御装置２０へ転送する。

転送制御装置１０に入力されたフローは、パケットヘッダ識別機能部１０１に入力される。パケットヘッダ識別機能部１０１にフローが入力されると、当該ユーザの転送ポリシに基づき、転送フロー条件に合致するか検索する。転送フロー条件に合致し、かつ、コピー管理テーブルに記載されているパケットコピーフラグが「1」の場合は、パケットコピー部１１３でパケットをコピーする（Ｓ１１１）。コピーパケットは、当該ユーザの転送ポリシに基づき、転送先として指定されたアプリケーション分析制御装置２０へ転送される（Ｓ１１３）。主信号は宛先制御機能部１０３へ転送され、本来の宛先へ転送される（Ｓ１１５）。

アプリケーション分析制御装置２０に入力されたコピーパケットは、フロー識別部２１１に入力される。フロー識別部２１１では、制御フローテーブルに基づき、フロー条件に合致するか検索する。合致しない場合は、分析部２１３にパケットを転送する。合致する場合は、制御部２１７にパケットを転送する。

分析部２１３にコピーパケットが入力すると、ユーザポリシに基づいて分析し、制御対象か否かを判定する（Ｓ１１７）。分析部２１３での処理後、コピーパケットは転送されず破棄される。

分析結果通知部２１５は、分析部２１３から制御対象結果を受信すると、制御対象フローの場合は当該フロー情報をフロー識別部２１１が保持する制御フローテーブルに登録する。制御対象外フローの場合は、何も行わない。

アプリケーション分析制御装置２０の分析結果通知部２１５は、制御対象結果の当該フロー情報とアプリケーション分析制御装置２０が保持するユーザ識別情報から、当該ユーザが収容されている転送制御装置へ制御対象結果を通知する（Ｓ１１９）。

転送制御装置１０の分析結果受信部１０５は、制御対象結果を受信する。

転送制御装置１０の分析結果受信部１０５で受信した制御対象結果が、制御対象外フローの場合、分析結果受信部１０５はコピー管理テーブルの当該フローのコピーパケットフラグを「0」に、転送ポリシの転送先情報を「装置♯0」に書き換える（Ｓ１３１）。パケットコピーが停止し、当該フローは宛先制御機能部１０３へ転送され、本来の宛先へ転送される（Ｓ１３３）。

制御対象結果が、制御対象フローの場合、分析結果受信部１０５はコピー管理テーブルの当該フローのコピーパケットフラグを「0」に書き換える（Ｓ１３１）。パケットコピーが停止し、転送先のアプリケーション分析制御装置２０へ主信号を転送する（Ｓ１３５）。

アプリケーション分析制御装置２０に入力された主信号は、フロー識別部２１１に入力され、制御フローテーブルに基づき、制御部２１７に入力される。制御部２１７では、ユーザポリシに基づき、入力された主信号に対して制御を行う（Ｓ１３７）。

ユーザポリシに基づく制御後のフローは、アプリケーション分析制御装置２０から、転送制御装置１０へ転送され、宛先制御機能部１０３を経由して、本来の宛先へ転送される。

＜実施例２＞
図７に、本発明の実施例２に係るアプリケーション分析制御システムの構成例を示す。図７には、管理装置がある場合のネットワーク構成が示されている。アプリケーション分析制御システムは、転送制御装置１０と、アプリケーション分析制御装置２０と、管理装置３０とを有する。

管理装置３０は、契約ユーザ毎に、ユーザ識別情報、ユーザポリシ、及び転送ポリシを保持している。管理装置３０は、アプリケーション分析制御装置２０に対してユーザポリシの設定を指示し、転送制御装置１０に対して転送ポリシの設定を指示する。管理装置３０は、アプリケーション分析制御装置２０から制御対象結果を受信すると、該当フローのフロー情報と管理装置が保持するユーザ識別情報から、該当ユーザが収容される転送制御装置へ制御対象結果を通知する。

管理装置３０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリ装置、ハードディスク等の記憶装置等から構成されたコンピュータでもよい。例えば、管理装置３０の機能及び処理は、記憶装置又はメモリ装置に格納されているデータやプログラムをプロセッサが実行することによって実現されてもよい。

図８に、本発明の実施例２に係る転送制御装置１０の機能ブロック図を示す。転送制御装置１０は、パケットヘッダ識別機能部１０１、宛先制御機能部１０３、及び分析結果受信部１０５を具備している。

パケットヘッダ識別機能部１０１では、契約ユーザの通信開始契機で、管理装置３０へ通信開始通知を送信する。通信開始通知には、ユーザ識別情報が含まれる。管理装置３０は通信開始通知を受信すると、送信元の転送制御装置１０に当該ユーザの転送ポリシの設定を指示し、アプリケーション分析制御装置２０に当該ユーザポリシの設定を指示する。図３に示す通り、転送ポリシは、転送フロー条件と転送先情報を保持している。また、ユーザポリシは、制御対象フロー条件と当該フローに適用する制御内容の情報を有する。

分析結果受信部１０５は、管理装置３０から制御対象結果を受信すると、コピー管理テーブルの、当該フローのコピーパケットフラグを「0」に変更する。さらに、制御対象結果が、制御対象外フローであれば当該フローの転送先情報を「装置♯0」に変更する。制御対象フローの場合は、転送先を変更しない。

パケットコピー部１１３及び宛先制御機能部１０３の機能については、実施例１と同様である。

図９に、本発明の実施例２に係るアプリケーション分析制御装置２０の機能ブロック図を示す。アプリケーション分析制御装置２０は、フロー識別部２１１、分析部２１３、分析結果通知部、及び制御部２１７を具備している。

分析結果通知部２１５は、分析部２１３から制御対象結果を受信すると、その結果を管理装置３０へ送信する。上記以外の分析結果通知部２１５の機能、並びにフロー識別部２１１、分析部２１３、及び制御部２１７の機能については、実施例１と同様である。

図１０に、本発明の実施例２に係る管理装置３０の機能ブロック図を示す。管理装置３０は、管理機能部３０１を具備している。管理機能部３０１は、ポリシ設定部３１１及び分析結果転送部３１３で構成される。

ポリシ設定部３１１は、アプリケーション分析制御装置２０にユーザポリシの設定を指示し、転送制御装置１０に転送ポリシの設定を指示する。

分析結果転送部３１３は、アプリケーション分析制御装置２０から制御対象結果を受信し、受信した制御対象結果を転送制御装置１０に転送する。分析結果転送部３１３は、制御対象結果を受信すると、該当フロー情報と管理装置が保持するユーザ識別情報から、当該フローが経由する転送制御装置１０の分析結果受信部１０５へ制御対象結果を送信する。

次に、装置間の処理フローについて説明する。図１１に、本発明の実施例２に係るアプリケーション分析制御方法のシーケンス図を示す。本実施例では、上り方向及び下り方向のトラヒックを、同一の転送制御装置からアプリケーション分析制御装置へ転送する。

管理装置３０のポリシ設定部３１１は、契約ユーザの通信開始契機で通信開始通知を受信すると、アプリケーション分析制御装置２０に当該ユーザポリシの設定を指示し（Ｓ２０１）、送信元の転送制御装置１０に当該ユーザの転送ポリシの設定を指示する（Ｓ２０３）。

ステップＳ２１１〜Ｓ２１７については、実施例１のステップＳ１１１〜Ｓ１１７と同様である。

アプリケーション分析制御装置２０の分析結果通知部２１５は、制御対象結果を分析結果通知部２１５から管理装置３０へ通知する（Ｓ２１９）。

管理装置３０の分析結果転送部３１３は、制御対象結果を受信すると、該当フロー情報と管理装置３０が保持するユーザ識別情報から、当該フローが経由する転送制御装置１０の分析結果受信部１０５へ制御対象結果を送信する（Ｓ２２１）。

転送制御装置１０の分析結果受信部１０５は、管理装置３０より制御対象結果を受信する。

以降のステップＳ２３１〜Ｓ２３７については、実施例１のステップＳ１３１〜Ｓ１３７と同様である。

＜実施例３＞
図１２に、本発明の実施例３に係るアプリケーション分析制御システムの構成例を示す。図１２には、管理装置があり、かつ中継装置がある場合のネットワーク構成が示されている。アプリケーション分析制御システムは、転送制御装置１０と、アプリケーション分析制御装置２０と、管理装置３０と、中継装置４０とを有する。

中継装置４０は、パケットを中継するルータ等のネットワーク装置であり、管理装置３０により設定された中継転送ポリシに従って、入力フローを転送先に転送する。

中継装置４０は、ＣＰＵ（Central Processing Unit）等のプロセッサ、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等のメモリ装置、ハードディスク等の記憶装置等から構成されたコンピュータでもよい。例えば、転送制御装置１０及びアプリケーション分析制御装置２０の機能及び処理は、記憶装置又はメモリ装置に格納されているデータやプログラムをプロセッサが実行することによって実現されてもよい。

図１３に、本発明の実施例３に係る転送制御装置１０の機能ブロック図を示す。転送制御装置１０は、パケットヘッダ識別機能部１０１、宛先制御機能部１０３、及び分析結果受信部１０５を具備している。これらは、実施例２と同様である。

図１４に、本発明の実施例３に係るアプリケーション分析制御装置２０の機能ブロック図を示す。アプリケーション分析制御装置２０は、フロー識別部２１１、分析部２１３、分析結果通知部２１５、及び制御部２１７を具備している。フロー識別部２１１、分析部２１３及び分析結果通知部２１５については、実施例２と同様である。

制御部２１７では、入力されたフローに対し、ユーザポリシに基づき、条件に合致した制御対象フローを検知すると制御を行い、その後、中継装置４０へフローを転送する。

図１５に、本発明の実施例３に係る管理装置３０の機能ブロック図を示す。管理装置３０は、管理機能部３０１を具備している。管理機能部３０１は、ポリシ設定部３１１及び分析結果転送部３１３で構成される。管理装置３０は、実施例２で記載した保持情報以外に、ネットワークトポロジ情報と中継装置に設定する転送ポリシ（以下、中継転送ポリシ）を保持している。

ポリシ設定部３１１は、アプリケーション分析制御装置２０に対してユーザポリシの設定を指示し、転送制御装置１０に転送ポリシ、中継装置４０に中継転送ポリシの設定を指示する。設定する転送制御装置及び中継装置を指定する際には、当該フロー情報とネットワークトポロジ情報を参照し、当該フローが経由する転送制御装置及び中継装置を指定する。上記以外の機能については、実施例２と同様である。
図１６に、本発明の実施例３に係る中継装置４０の機能ブロック図を示す。中継装置４０は、パケットヘッダ識別部４０１を具備している。アプリケーション分析制御装置２０からパケットヘッダ識別部４０１へフローが入力されると、パケットヘッダ識別部４０１は、中継転送ポリシに基づき、転送先の転送制御装置へ送信する。転送制御装置１０から入力されるフローは透過し、アプリケーション分析制御装置２０へ送信する。

次に、装置間の処理フローについて説明する。図１７に、本発明の実施例３に係るアプリケーション分析制御方法のシーケンス図を示す。本実施例では、上り方向及び下り方向のトラヒックを、それぞれキャリア網の入り口の転送制御装置からアプリケーション分析制御装置へ転送する。

ステップＳ３０１〜Ｓ３０３、Ｓ３１１〜Ｓ３１７については、実施例２のステップＳ２０１〜Ｓ２０３、Ｓ２１１〜Ｓ２１７と同様である。

アプリケーション分析制御装置２０の分析結果通知部２１５は、制御対象結果を分析結果通知部２１５から管理装置３０へ通知する（Ｓ３１９）。

管理装置３０は、制御対象結果を受信する。

制御対象結果が制御対象フローの場合、管理装置３０は、当該フロー情報と管理装置が保持するネットワークトポロジ情報を参照し、当該フローが経由する転送制御装置１０及び中継装置４０を特定する。そして、転送制御装置１０に制御対象結果を通知し（Ｓ３２１）、中継装置４０に中継転送ポリシの設定を指示する（Ｓ３２３）。

制御対象結果が制御対象外フローの場合、管理装置３０は、当該フロー情報と管理装置３０が保持するネットワークトポロジ情報を参照し、当該フローが経由する転送制御装置を特定し、転送制御装置１０に制御対象結果を送信する（Ｓ３２１）。

以降のステップＳ３３１〜Ｓ３３７については、実施例２のステップＳ２３１〜Ｓ２３７と同様である。

ユーザポリシに基づく制御後は、アプリケーション分析制御装置２０から、中継装置４０へ主信号が転送される。

中継装置４０に主信号が入力されると、中継装置４０のパケットヘッダ識別部４０１に入力する。パケットヘッダ識別部４０１では、当該ユーザの中継転送ポリシに基づき、指定された転送制御装置へ転送される。

当該転送制御装置１０に主信号が入力された後は、宛先制御機能部１０３を経由して、本来の宛先へ転送される。

＜本発明の実施例の効果＞
以上のように、本発明の実施例では、制御対象フローか否かを判定後は、転送制御装置から制御対象フローのみをアプリケーション分析制御装置へ転送して制御し、制御対象外フローはアプリケーション分析制御装置を経由せず転送制御装置から本来の宛先へ転送することにより、アプリケーション分析制御装置のフロー識別処理及び転送処理を削減することができる。

また、制御対象か否かを判定している間は、主信号のパケットはアプリケーション分析制御装置へ転送されないため、アプリケーション分析制御装置における転送処理を削減することができる。

このように、本発明の実施例では、アプリケーション分析制御装置での制御対象結果を転送制御装置へ通知することで、制御対象フローのみをアプリケーション分析制御装置へ転送することができる。なお、転送制御装置への制御対象結果の通知は、管理装置を介して行うこともできる。そのため、制御対象フローか否かを判定した後は、転送制御装置は、制御対象外フローをアプリケーション分析制御装置へ転送する必要がない。従って、アプリケーション分析制御装置でのフロー識別処理及び転送処理負荷を削減することが可能となる。

説明の便宜上、本発明の実施例に係る転送制御装置、アプリケーション分析制御装置、管理装置及び中継装置は機能的なブロック図を用いて説明しているが、本発明の実施例に係る転送制御装置、アプリケーション分析制御装置、管理装置及び中継装置は、ハードウェア、ソフトウェア又はそれらの組み合わせで実現されてもよい。例えば、本発明の実施例は、コンピュータに対して本発明の実施例に係る転送制御装置、アプリケーション分析制御装置、管理装置及び中継装置の各機能を実現させるプログラム、コンピュータに対して本発明の実施例に係る方法の各手順を実行させるプログラム等により、実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。また、本発明の実施例に係る方法は、実施例に示す順序と異なる順序で実施されてもよい。

以上、アプリケーション分析制御装置でのフロー識別処理又は転送処理負荷を削減するための手法について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。

１０ 転送制御装置
１０１ パケットヘッダ識別機能部
１０３ 宛先制御機能部
１０５ 分析結果受信部
１１１ パケットヘッダ識別部
１１３ パケットコピー部
２０ アプリケーション分析制御装置
２０１ 分析制御機能部
２１１ フロー識別部
２１３ 分析部
２１５ 分析結果通知部
２１７ 制御部
３０ 管理装置
３０１ 管理機能部
３１１ ポリシ設定部
３１３ 分析結果転送部
４０ 中継装置
４０１ パケットヘッダ識別部

Claims (7)

1. ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置に、転送ポリシに従って、受信したパケットを転送する転送制御装置であって、
   前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
   前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
   前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
   を有し、
   前記パケットヘッダ識別機能部は、前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送する、転送制御装置。
2. ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムであって、
   前記アプリケーション分析制御装置は、
   ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定する分析部と、
   前記分析部における制御対象フローであるか否かを示す制御対象結果を前記転送制御装置に通知する分析結果通知部と、
   を有し、
   前記転送制御装置は、
   前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
   前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
   前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
   を有し、
   前記パケットヘッダ識別機能部は、前記分析結果受信部が前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送する、アプリケーション分析制御システム。
3. アプリケーション分析制御装置に設定するユーザポリシ及び転送制御装置に設定する転送ポリシを管理する管理装置と、前記管理装置により設定されたユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、前記管理装置により設定された転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムであって、
   前記アプリケーション分析制御装置は、
   ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定する分析部と、
   前記分析部における制御対象フローであるか否かを示す制御対象結果を前記管理装置に通知する分析結果通知部と、
   を有し、
   前記管理装置は、
   前記アプリケーション分析制御装置から制御対象結果を受信し、受信した制御対象結果を前記転送制御装置に転送する分析結果転送部を有し、
   前記転送制御装置は、
   前記管理装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信する分析結果受信部と、
   前記分析結果受信部が前記管理装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するパケットヘッダ識別機能部と、
   前記パケットの宛先アドレスに基づいて前記パケットを転送する宛先制御機能部と、
   を有し、
   前記パケットヘッダ識別機能部は、前記分析結果受信部が前記管理装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを前記宛先制御機能部に転送する、アプリケーション分析制御システム。
4. 前記管理装置は、ネットワークトポロジ情報と、中継装置に設定する中継転送ポリシとを更に管理し、
   前記管理装置の前記分析結果転送部は、前記ネットワークトポロジ情報を参照して、制御対象結果の制御対象フローが経由する中継装置に中継転送ポリシの設定を更に指示する、請求項３に記載のアプリケーション分析制御システム。
5. ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置に、転送ポリシに従って、受信したパケットを転送する転送制御装置における転送制御方法であって、
   前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
   前記アプリケーション分析制御装置から制御対象結果が受信されるまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
   前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
   前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
   を有する転送制御方法。
6. ユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムにおけるアプリケーション分析制御方法であって、
   前記アプリケーション分析制御装置が、ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定するステップと、
   前記アプリケーション分析制御装置が、制御対象フローであるか否かを示す制御対象結果を前記転送制御装置に通知するステップと、
   前記転送制御装置が、前記アプリケーション分析制御装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
   前記転送制御装置が、前記アプリケーション分析制御装置から制御対象結果が受信されるまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
   前記転送制御装置が、前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
   前記転送制御装置が、前記アプリケーション分析制御装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
   を有するアプリケーション分析制御方法。
7. アプリケーション分析制御装置に設定するユーザポリシ及び転送制御装置に設定する転送ポリシを管理する管理装置と、前記管理装置により設定されたユーザポリシに基づき制御対象フローに対して制御を行うアプリケーション分析制御装置と、前記管理装置により設定された転送ポリシに従って、受信したパケットをアプリケーション分析制御装置に転送する転送制御装置とを有するアプリケーション分析制御システムにおけるアプリケーション分析制御方法であって、
   前記アプリケーション分析制御装置が、ユーザポリシに基づき、転送制御装置から転送されたパケットのフローが制御対象フローであるか否かを判定するステップと、
   前記アプリケーション分析制御装置が、制御対象フローであるか否かを示す制御対象結果を前記管理装置に通知するステップと、
   前記管理装置が、前記アプリケーション分析制御装置から制御対象結果を受信し、受信した制御対象結果を前記転送制御装置に転送するステップと、
   前記転送制御装置が、前記管理装置から、受信したパケットのフローが制御対象フローであるか否かを示す制御対象結果を受信するステップと、
   前記転送制御装置が、前記管理装置から制御対象結果を受信するまで、前記パケットをコピーし、転送ポリシに従って、コピーされたパケットを前記アプリケーション分析制御装置に転送するステップと、
   前記転送制御装置が、前記パケットの宛先アドレスに基づいて前記パケットを転送するステップと、
   前記転送制御装置が、前記管理装置から制御対象結果を受信した場合、制御対象フローに対応するパケットを前記アプリケーション分析制御装置に転送し、制御対象外フローに対応するパケットを、前記パケットの宛先アドレスに基づいて転送するステップと、
   を有するアプリケーション分析制御方法。

Images