JP7391727B2

JP7391727B2 - 中継装置

Info

Publication number: JP7391727B2
Application number: JP2020041506A
Authority: JP
Inventors: 明剛増永
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2020-03-11
Filing date: 2020-03-11
Publication date: 2023-12-05
Anticipated expiration: 2040-03-11
Also published as: JP2021145201A

Description

本発明は、中継装置に関する。

ネットワーク運用者が、自身が運用しているネットワークから提供しているサービスを停止させる場合、一般的には、特段、技術的な工夫は必要ない。しかし、サービスを停止したくてもできないケースも存在し得る。

クライアントが定常的にリクエストを送信するようなサービスを提供する場合、このようなサービスを利用するクライアントはネットワークに接続された機器やその機器で動作するソフトウェアである。このため、サービスを停止してもすぐにはリクエストの送信をやめない。リクエストの無応答に対してエラー処理で高頻度にリクエストを送信する場合もある。

このようなサービスを提供しているネットワーク運用者が、同サービスを利用するクライアントを大量に抱えてしまった場合、さらに、クライアントが増加し続ける場合、サービスを停止することは容易ではない。単純にサービスを停止させた場合、かつ、クライアントが要求の無応答に対して高頻度にリトライを行う場合には、ネットワークが過負荷となり障害を発生させてしまうこともある。

ネットワーク運用者は、自身が運用するネットワークを安定させるため、サービスを停止させたくてもできず、高負荷に耐えるネットワークを構築、管理し、そのコストを払い続けなければならない。このようなケースでサービスを停止させるためには、サービスを安定して提供しつつ、サービス停止のための対策を実施する必要がある。

これまで、前述の状況でサービスを恒久的に停止させるための技術は積極的に発明されてこなかったが、部分的に解決できる技術は存在する。ホワイトリストはそのような技術の一つである。ホワイトリストは、中継装置にネットワークを中継可能なパケットを学習させ、学習したもの以外のパケットの中継を抑止することで意図しないパケットがネットワーク内を流れることを防止するネットワークセキュリティのための技術である（例えば、特許文献１参照）。

特開２００９－２３９５２５号公報

上記ホワイトリストの技術を、前述の状況に置かれたネットワーク運用者が運用するロールエリアネットワーク（以降、ＬＡＮと称す）と、クライアントが存在するワイドエリアネットワーク（以降、ＷＡＮと称す）を中継するゲートウェイに適用することが考えられる。

この場合、ゲートウェイにある時点のクライアントを学習させ、それ以外のアクセスを禁止させることにより、サービスを安定して供給しつつ、クライアントの増加によるネットワーク負荷の上昇を防ぐことは可能である。

しかし、上記ホワイトリストの技術では、クライアントのアクセスをサービスによらず遮断してしまい、提供するサービスを考慮した上でネットワーク負荷の上昇を防ぐことは困難である。

本発明の目的は、中継装置において、提供するサービスを考慮した上でネットワーク負荷の上昇を防ぐことにある。

本発明の一態様の中継装置は、動作モードとして学習モードとエージングモードを有し、ＬＡＮとＷＡＮの間に設置されたゲートウェイとして機能する中継装置であって、前記中継装置は、前記ＷＡＮから前記ＬＡＮへのパケットの中継を許可するため通過許可リストテーブルを有し、前記学習モードにおいては、前記ＬＡＮ内に存在する停止対象サービスのポートを宛先にする前記パケットの送信元ＩＰアドレスを前記通過許可リストテーブルに登録し、前記エージングモードにおいては、前記停止対象サービス宛の前記パケットに対し、前記通過許可リストテーブルを参照し、前記通過許可リストテーブルに登録された前記送信元ＩＰアドレスをソースＩＰアドレスとする前記パケットを中継し、前記通過許可リストテーブルに登録されていない前記送信元ＩＰアドレスを前記ソースＩＰアドレスとする前記パケットを廃棄する。

本発明の一態様によれば、中継装置において、提供するサービスを考慮した上でネットワーク負荷の上昇を防ぐことができる。

実施例におけるネットワークの構成を示すネットワーク図である。実施例における中継装置の機能ブロックの構成図である。通過許可リストのテーブル構造を示す図である。通過許可リスト管理テーブルのテーブル構造を示す図である。通過許可リストの作成からサービス停止までのフローチャートである。通過許可リストの作成時の装置内シーケンスである。ＡＳＩＣの動作モードを学習からエージングへ切り替える際の装置内シーケンスである。サービス停止に向けてエージングを行っている際の装置内シーケンスの内、パケット受信時のシーケンスである。サービス停止に向けてエージングを行っている際の装置内シーケンスの内、ソフトウェア制御部が定期的に実施する処理のシーケンスである。

（実施形態）
ホワイトリストの技術では、クライアントのアクセスをサービスによらず遮断してしまう。また、ＩＰアドレスが同一であるが新規にクライアントとなった端末からのアクセスを防止できず、サービス停止に向けてクライアントの数を削減できない。

実施形態は、これらのホワイトリストをネットワークサービスの停止に適用した際に生じる課題を解決する仕組みを提供する。具体的には、突然サービス停止した場合の高負荷状態を避けるため、当分の間はサービスを安定供給する。そして、将来的にはサービスを停止させる。その際、サービス停止によるリクエストの増加を起こさないようにする。

このように、実施形態は、ＬＡＮとＷＡＮを中継するゲートウェイとして機能する中継装置に対して、ホワイトリストを応用した手法でサービスを安定供給しつつ停止に向けて縮退させる仕組みを提供する。

これを実現するため、中継装置は、パケットからサービスを判定するためにＬＡＮ内に流入するパケットの宛先ポート番号をチェックする能力を持つ。また、ある宛先ポートにアクセスしてきたパケットの内、サーバへ中継する送信元ＩＰアドレスを記録するテーブル（以降、通過許可リストと称す）を持つ。
中継装置は、学習期間とエージング期間の２種類の運用状態を持つ。学習期間はクライアントの送信元ＩＰアドレスを通過許可リストに記録する。また、すべてのパケットを中継する。エージング期間はテーブルを通過許可リストとして使用し、通過許可リストに存在しない送信元ＩＰアドレスを持つパケットは廃棄する。

また、一定期間アクセスの無かったクライアントは通過許可リストから削除し、クライアントがアクセスをやめない場合でも、徐々に通過許可リストから削除してゆく。これにより緩やかにサービスを停止でき、かつサービス停止によるリスエストの増加を起こさない。

実施形態によれば、サービスを使用中のユーザに限定してサービスの提供を継続する。また、サービスを使用しなくなったユーザのリクエストを遮断し、サービス使用中のユーザを徐々に遮断することで、サービス利用者を徐々に削減し、緩やかにサービスを停止する。
以下、図面を用いて、実施例について説明する。

（ネットワークの構成）
図１は、実施形態として想定するネットワークの構成図である。
実施形態は、ＬＡＮ１０７とＷＡＮ１０６の間に設置されたゲートウェイとして機能する中継装置１０１を対象とする。中継装置１０１は、ネットワークサービス停止機能を有する。ＬＡＮ（ロールエリアネットワーク）１０７には、ＮＴＰサーバ１０２、ＨＴＴＰサーバ１０３、端末１０４、端末１０５が存在する。ＮＴＰサーバ１０２とＨＴＴＰサーバ１０３は、ＷＡＮ（ワイドエリアネットワーク）１０６に対して、中継装置１０１を経由してサービスを提供している。

（ゲートウェイとなる中継装置の構成）
図２は、図１に示した中継装置１０１のモジュール構成例を示すブロック図である。
中継装置１０１はソフトウェア制御部２１０、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）（転送エンジン）２２０、ＣＡＭ（ＣｏｎｔｅｎｔＡｄｄｒｅｓｓａｂｌｅＭｅｍｏｒｙ）２３０、パケット送受信部２４１、２４２、２４３から構成される。

ＡＳＩＣ（転送エンジン）２２０は、ＣＡＭ２３０とともに、パケットの中継を担う。また、ネットワークサービス停止機能を実現するために、パケットのポート番号を検索する機能、ＣＡＭ２３０に存在する通過許可リスト２３１を検索し、動作モードに応じてパケットを処理する機能を有する。

通過許可リスト２３１は、ＡＳＩＣ（転送エンジン）２２０が、ＷＡＮ１０６上のクライアントからサーバ１０２または１０３へのリクエストパケットについて、ＬＡＮ１０７内への中継または廃棄の判定に使用する。動作モードは学習期間とエージング期間の２種類存在し、学習期間は通過許可リスト２３１の作成、エージング期間は通過許可リスト２３１からエントリを削除する。加えて、ネットワークサービス停止機能は時刻情報を利用するため、時計機能２２１を有する。

ソフトウェア制御部２１０は、主にハードウェアの制御を担い、ネットワークサービス停止機能のＡＳＩＣ（転送エンジン）２２０の処理の補完と、動作モードの変更を行う。ソフトウェア制御部２１０は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）２１１とメモリ２１２から構成される。メモリ２１２には機能制御プログラム２１３が展開されている。機能制御プログラム２１３は通過許可リスト管理テーブル２１４を持つ。機能制御プログラム２１３も時刻情報を使用するため、ＣＰＵ２１１も時計機能２１５を有する。パケット送受信部２４１、２４２、２４３は中継装置１０１の外部とのインターフェースであり、他の通信装置とのフレーム送受信を行う。

（通過許可リスト）
図３Ａは、通過許可リスト２３１のテーブル構造である。テーブルはクライアントの送信元ＩＰアドレスとパケットの最終受信時刻の一覧になる。

図３Ｂは、通過許可リスト管理テーブル２１４のテーブル構造である。テーブルはクライアントの送信元ＩＰアドレスの一覧になる。

（全体の処理）
中継装置１０１が行う処理は、サービス停止時に、サービスの提供を継続するクライアントの学習と、サービス停止に向けてクライアントの数を徐々に削減（エージング）していくことである。図４を用いて全体の処理を説明する。

中継装置１０１は、停止したいサービスのポートを宛先にするパケットの送信元ＩＰアドレスを通過許可リストに登録する（４０１）。

中継装置１０１は任意のタイミングで動作モードを学習からエージングへ切り替える（４０２）。中継装置１０１は、ＷＡＮ側からの受信パケットの宛先ポートを確認し、宛先ポートが停止したいサービス宛のパケットだった場合、通過許可リストを参照し、そこに記録されたＩＰをソースＩＰとするパケットのみを中継し、該当しないパケットは廃棄する（４０３）。また、一定期間アクセスされなかったＩＰアドレスは通過許可リストから削除する（４０４）。

（通過許可リストの作成）
図５は通過許可リスト作成時４０１の装置内のシーケンスである。
中継装置１０１はＷＡＮ側のパケット送受信部２４１からパケットを受信する（Ｓ５０１）。ＡＳＩＣ（転送エンジン）２２０は受信パケットの宛先ポート番号をチェックする（Ｓ５０２）。宛先ポートが停止対象のサービス以外を宛先ポートにしている場合、パケットを中継する（Ｓ５０７）。

宛先ポートが停止対象のサービス宛ての場合、ＡＳＩＣ（転送エンジン）２２０は通過許可リストからパケットの送信元ＩＰアドレスを検索する（Ｓ５０３）。通過許可リストにパケットの送信元ＩＰアドレスが存在する場合、パケットを中継する（Ｓ５０７）。

通過許可リストに送信元ＩＰアドレスが存在しない場合、パケットをソフトウェア制御部２１０（図５～図８では、「ソフト制御部」と略す）へ転送した後（Ｓ５０４）、パケット中継する（Ｓ５０７）。ソフトウェア制御部２１０は通過許可リスト管理テーブルにパケットの送信元ＩＰアドレスを追加する（Ｓ５０５）。次に、ＡＳＩＣ（転送エンジン）の通過許可リストにＩＰアドレスを登録する。

（学習期間とエージング期間の切替え）
図６は動作モードを学習からエージングへ切り替える際の装置内のシーケンスである。ソフトウェア制御部２１０は、ＡＳＩＣ（転送エンジン）２２０の動作モードをエージングへ設定することで切り替えを行う。

（パケット受信時における通過許可リストのエージング）
図７はパケット受信時における通過許可リストのエージングの装置内シーケンスである。
中継装置１０１はＷＡＮ側のパケット送受信部２４１からパケットを受信する（Ｓ７０１）。ＡＳＩＣ（転送エンジン）２２０は受信パケットの宛先ポート番号をチェックする（Ｓ７０２）。宛先ポートが停止対象のサービス以外を宛先ポートにしている場合、パケットを中継する（Ｓ７０６）。

宛先ポートが停止対象のサービス宛ての場合、ＡＳＩＣ（転送エンジン）２２０は通過許可リストからパケットの送信元ＩＰアドレスを検索する（Ｓ７０３）。通過許可リストに送信元ＩＰアドレスが存在しない場合、パケットをソフトウェア制御部２１０へ転送してから（Ｓ７１０）、パケットを廃棄する（Ｓ７１１）。

ソフトウェア制御部２１０は、Ｓ７１０で受け取ったパケットの内容に基づいて偽の応答パケットを生成し、ＡＳＣＩ（転送エンジン）２２０にその応答パケットを転送し（Ｓ７１２）、ＡＳＩＣ（転送エンジン）２２０がパケットを送信してきたクライアントに対して偽の応答を送信する（Ｓ７１３）。

ここで、偽の応答とは、パケットの送信先となるサーバが、そのパケットの宛先ポート番号で示されるサービスを提供していないことをパケットの送信元に通知するための応答を、中継装置１０１０がサーバに成り代わって生成して送信することである。

サービスを提供していないことを示す応答の具体例としては、例えばサービスに使われているプロトコルがＵＤＰであった場合は、ＩＣＭＰエラーパケットである。このような応答を返すことで、パケットの送信元はサーバ無応答に対する再送パケットの送信を抑制する。このため、サービス停止による再送パケットの増加を抑える効果が得られる。

Ｓ７０３で通過許可リストに送信元ＩＰアドレスが存在した場合、パケットの受信時刻と通過許可リストに記録された最終受信時刻を比較する（Ｓ７０４）。時刻の差分が閾値以上であればパケットをソフトウェア制御部２１０へ転送する（Ｓ７０７）。

ＡＳＩＣ（転送エンジン）２２０からパケットを転送されたソフトウェア制御部２１０は通過許可リスト管理テーブルから通知されたパケットの送信元ＩＰアドレスを削除した後（Ｓ７０８）、ＡＳＩＣ（転送エンジン）の通過許可リストからもパケットの送信元ＩＰアドレスを削除する（Ｓ７０９）。その後、ＡＳＩＣ（転送エンジン）２１０は、先に説明したＳ７１０以降の処理に入り、パケットの廃棄と偽の応答の送信を行う。

ＡＳＩＣ（転送エンジン）２２０は時刻比較Ｓ７０４の結果、時刻の差分が閾値未満であれば、通過許可リストからの削除判定を行う（Ｓ７０５）。この判定は、通過許可リストから送信元ＩＰアドレスの削除を行うか否かをランダムに決定するものである。具体的な決定方法としては、例えば０から９９の範囲の乱数を生成し、生成した乱数が４以下であった場合に通過許可リストから送信元ＩＰアドレスの削除を行うと決定すれば、５％の確率でランダムに削除処理が行われることになる。

この処理を行うことで、クライアントからのアクセス時間のタイムアウトによるサービス受付停止が期待できない場合に、サービス受付対象のクライアントを削減する。この判定の結果、通過許可リストからの削除対象外とされたパケットは中継する（Ｓ７０６）。通過許可リストからの削除対象とされたパケットは、時刻比較Ｓ７０４の時刻差分が閾値以上となった場合と同一の処理を行う（Ｓ７０７、Ｓ７０８、Ｓ７０９、Ｓ７１０、Ｓ７１１、Ｓ７１２、Ｓ７１３）。

（定期的な通過許可リストのエージング）
図８はソフトウェア制御部２１０が定期的に行う通過許可リストのエージングの装置内シーケンスである。
図７で説明したエージング処理は、パケットの受信を契機として行われるエージング処理なので、通過許可リストに登録されている送信元ＩＰアドレスからのパケットが全く受信されなくなった場合、通過許可リストから削除されないことになってしまう。このように、パケットが全く受信されなくなった場合でも、一定期間経過後に通過許可リストから強制的に削除するため、図７のエージング処理と並列に図８に示すエージング処理を定期的に実行する。

ソフトウェア制御部２１０は、転送エンジンの通過許可リストからエントリ情報を取得する（Ｓ８０１）。取得したエントリの最終受信時刻と、現在時刻を比較し（Ｓ８０２）、最終受信時刻と現在時刻との時刻の差分が閾値未満であれば何もしない。最終受信時刻と現在時刻との時刻の差分が閾値以上であれば、通過許可リスト管理テーブルから送信元ＩＰアドレスを削除した後（Ｓ８０３）、ＡＳＩＣ（転送エンジン）の通過許可リストからもパケットの送信元ＩＰアドレスを削除する（Ｓ８０４）。

上記実施例では、ゲートウェイとして機能する中継装置に、サービスを停止するにあたり当分の間、継続してサービスを提供するクライアントを通過許可リストとして学習する。その後、サービス停止に向け、一定時間以上停止対象のサービスにアクセスのなかったクライアントを通過許可リストから削除する。また、経過時間によらず強制的にクライアントを通過許可リストから削除する。このようにして、ＷＡＮに提供しているサービスを徐々に縮退させ、最終的にサービスの提供を停止させる。

１０１中継装置（ゲートウェイ）
１０２ＮＴＰサーバ
１０３ＨＴＴＰサーバ
１０４端末
１０５端末
１０６ＷＡＮ
１０７ＬＡＮ
２１０ソフトウェア制御部
２１１ＣＰＵ
２１２メモリ
２１３機能制御プログラム
２１４通過許可リスト管理テーブル
２１５時計
２２０ＡＳＩＣ（転送エンジン）
２２１時計
２３０ＣＡＭ
２３１通過許可リスト
２４１パケット送受信部
２４２パケット送受信部
２４３パケット送受信部

Claims

動作モードとして学習モードとエージングモードを有し、ＬＡＮとＷＡＮの間に設置されたゲートウェイとして機能する中継装置であって、
前記中継装置は、
前記ＷＡＮから前記ＬＡＮへのパケットの中継を許可するため通過許可リストテーブルを有し、
前記学習モードにおいては、
前記ＬＡＮ内に存在する停止対象サービスのポートを宛先にする前記パケットの送信元ＩＰアドレスを前記通過許可リストテーブルに登録し、
前記エージングモードにおいては、
前記停止対象サービス宛の前記パケットに対し、前記通過許可リストテーブルを参照し、
前記通過許可リストテーブルに登録された前記送信元ＩＰアドレスをソースＩＰアドレスとする前記パケットを中継し、前記通過許可リストテーブルに登録されていない前記送信元ＩＰアドレスを前記ソースＩＰアドレスとする前記パケットを廃棄することを特徴とする中継装置。
前記中継装置は、
前記動作モードに応じて前記パケットを処理する転送部と、
所定の制御を行う制御部と、
前記通過許可リストテーブルを記憶する記憶部と、
前記パケットを送受信するパケット送受信部と、
を有することを特徴とする請求項１に記載の中継装置。
前記学習モードにおいては、
前記パケット送受信部は、
前記ＷＡＮから前記ＬＡＮ内への前記パケットを受信し、
前記転送部は、
受信した前記パケットの宛先ポート番号をチェックし、
前記宛先ポート番号が前記停止対象サービス以外を宛先ポートにしている場合は、前記パケットを前記ＬＡＮへ中継し、
前記宛先ポート番号が前記停止対象サービスを前記宛先ポートにしている場合は、前記通過許可リストテーブルから前記パケットの前記送信元ＩＰアドレスを検索し、
前記通過許可リストテーブルに前記パケットの前記送信元ＩＰアドレスが存在する場合は、前記パケットを前記ＬＡＮへ中継し、
前記通過許可リストテーブルに前記送信元ＩＰアドレスが存在しない場合、前記パケットを前記制御部へ転送した後、前記パケットを前記ＬＡＮへ中継し、
前記制御部は、
転送された前記パケットの前記送信元ＩＰアドレスを前記通過許可リストテーブルに追加登録することを特徴とする請求項２に記載の中継装置。
前記エージングモードにおいては、
前記パケット送受信部は、
前記ＷＡＮから前記ＬＡＮ内への前記パケットを受信し、
前記転送部は、
受信した前記パケットの前記宛先ポート番号をチェックし、
前記宛先ポート番号が前記停止対象サービス以外を前記宛先ポートにしている場合、前記パケットを前記ＬＡＮへ中継し、
前記宛先ポート番号が前記停止対象サービスを前記宛先ポートにしている場合、前記通過許可リストテーブルから前記パケットの前記送信元ＩＰアドレスを検索し、
前記通過許可リストに前記送信元ＩＰアドレスが存在しない場合、前記パケットを廃棄した後、前記パケットを送信してきたクライアントに対して、前記停止対象サービスを提供していないことを表す偽の応答パケットを送信することを特徴とする請求項３に記載の中継装置。
前記エージングモードにおいては、
前記転送部は、
前記通過許可リストに前記送信元ＩＰアドレスが存在しない場合、前記パケットを前記制御部へ転送し、
前記制御部は、
転送された前記パケットの内容に基づいて、前記偽の応答パケットを生成して前記転送部へ送ることを特徴とする請求項４に記載の中継装置。
前記通過許可リストテーブルには、
前記送信元ＩＰアドレスに対応して前記パケットの最終受信時刻が登録されており、
前記エージングモードにおいては、
前記転送部は、
前記通過許可リストテーブルに前記送信元ＩＰアドレスが存在した場合、前記パケットの受信時刻と前記通過許可リストテーブルに登録された前記最終受信時刻とを比較し、
前記比較の結果、前記受信時刻と前記最終受信時刻との時刻差分が所定の閾値以上の場合、前記パケットを廃棄した後に、前記偽の応答パケットを送信することを特徴とする請求項４に記載の中継装置。
前記エージングモードにおいては、
前記転送部は、
前記比較の結果、前記時刻差分が所定の前記閾値以上の場合、前記パケットを前記制御部へ転送し、
前記制御部は、
転送された前記パケットの内容に基づいて、前記偽の応答パケットを生成して前記転送部へ送り、
前記通過許可リストテーブルから前記パケットの前記送信元ＩＰアドレスを削除することを特徴とする請求項６に記載の中継装置。
前記エージングモードにおいては、
前記比較の結果、前記時刻差分が前記所定の閾値未満の場合、前記通過許可リストテーブルからの削除判定処理を行うことを特徴とする請求項６に記載の中継装置。
前記エージングモードにおいては、
前記転送部は、
前記削除判定処理として、前記通過許可リストテーブルから前記送信元ＩＰアドレスの削除を行うか否かをランダムに決定し、
前記決定の結果、前記通過許可リストテーブルからの削除対象外とされた場合、前記パケットを前記ＬＡＮへ中継し、
前記決定の結果、前記通過許可リストテーブルからの削除対象とされた場合、前記パケットを廃棄した後に、前記偽の応答パケットを送信することを特徴とする請求項８に記載の中継装置。
前記エージングモードにおいては、
前記転送部は、
前記決定の結果、前記通過許可リストテーブルからの削除対象とされた場合、前記パケットを前記制御部へ転送し、
前記制御部は、
転送された前記パケットの内容に基づいて、前記偽の応答パケットを生成して前記転送部へ送り、
前記通過許可リストテーブルから前記パケットの前記送信元ＩＰアドレスを削除することを特徴とする請求項９に記載の中継装置。
前記通過許可リストテーブルには、
前記送信元ＩＰアドレスに対応して前記パケットの最終受信時刻が登録されており、
前記エージングモードにおいては、
前記パケット送受信部が前記ＷＡＮから前記ＬＡＮ内への前記パケットを受信しない場合、
前記制御部は、
前記通過許可リストテーブルに登録されている前記最終受信時刻と現在時刻とを比較し、
前記比較の結果、前記現在時刻と前記最終受信時刻との時刻差分が所定の閾値以上の場合、前記通過許可リストテーブルから前記パケットの前記送信元ＩＰアドレスを削除することを特徴とする請求項２に記載の中継装置。