KR102288605B1

KR102288605B1 - Automatic Route Learning Method for Proxy Equipment with IP Network Transparency in Inline Network Topology and System Therefore

Info

Publication number: KR102288605B1
Application number: KR1020200032569A
Authority: KR
Inventors: 박경민; 김정우; 양철웅; 양우석
Original assignee: 주식회사 수산아이앤티
Priority date: 2020-03-17
Filing date: 2020-03-17
Publication date: 2021-08-11
Also published as: WO2021187788A1

Abstract

Disclosed are an automatic route learning method for a proxy device having IP network transparency in an inline network topology, and a system thereof. In accordance with an embodiment of the present invention, the automatic route learning method comprises the steps of: receiving a first packet through an external interface; determining whether route information on the first packet exists in a forwarding information base (FIB) if the first packet is an IP packet; and automatically learning the FIB using the route information when the route information does not exist in the FIB, and updating time-to-live (TTL) of the first packet. Accordingly, network security can be improved.

Description

Automatic Route Learning Method for Proxy Equipment with IP Network Transparency in Inline Network Topology and System Therefore

본 발명은 인라인 네트워크 토폴로지(Inline Network Topology)에서 IP 네트워크 투명성을 갖는 프록시 장비를 위한 자동 경로 학습 기술에 관한 것으로, 보다 구체적으로는 인라인 네트워크 토폴로지에서 IP 네트워크 투명성을 갖는 프록시 장비를 위하여 입력 또는 수신된 패킷(또는 트래픽)에 대한 경로를 자동으로 학습시킬 수 있는 자동 경로 학습 방법 및 그 시스템에 관한 것이다.The present invention relates to an automatic path learning technique for a proxy device having IP network transparency in an inline network topology, and more particularly, to a proxy device having IP network transparency in an inline network topology. It relates to an automatic path learning method and system capable of automatically learning a path for a packet (or traffic).

일부 프록시 장비는 IP 네트워크 투명성(Transparency)을 갖고 사용자의 트래픽을 감시하여 네트워크 관리자가 설정한 차단, 로깅, 캐싱 등의 내부 자원에 대한 보안 및 효율성을 증대를 위한 정책을 적용한다. 그 트래픽들을 투명하게 처리하기 위해서는 네트워크 상의 경로 선택이 매우 중요한데, 복잡한 네트워크일 수록 다양한 경로가 존재하게 된다.Some proxy devices have IP network transparency and monitor user traffic and apply policies to increase security and efficiency of internal resources such as blocking, logging, and caching set by the network administrator. In order to transparently process the traffic, path selection on the network is very important, and the more complex the network, the more diverse paths exist.

이 경로들을 적절하게 제어 및 관리하지 못한다면, 투명성을 갖는 장비를 전개할 때 설치, 유지 및 보수에 들어가는 비용이 네트워크 복잡도에 비례하여 많이 발생하게 된다.If these paths are not properly controlled and managed, the cost of installation, maintenance and repair will be in proportion to the network complexity when deploying equipment with transparency.

본 발명의 실시예들은, 인라인 네트워크 토폴로지에서 IP 네트워크 투명성을 갖는 프록시 장비를 위하여 입력 또는 수신된 패킷(또는 트래픽)에 대한 경로를 자동으로 학습시킬 수 있는 자동 경로 학습 방법 및 그 시스템을 제공한다.Embodiments of the present invention provide an automatic path learning method and system capable of automatically learning a path for an input or received packet (or traffic) for a proxy device having IP network transparency in an inline network topology.

본 발명의 일 실시예에 따른 자동 경로 학습 방법은 IP 네트워크 투명성을 갖는 프록시 장비를 위한 자동 경로 학습 방법에 있어서, 외부 인터페이스를 통해 제1 패킷을 수신하는 단계; 상기 제1 패킷이 IP 패킷이면 상기 제1 패킷의 경로 정보가 정보 전달 베이스(FIB; Forwarding Information Base)에 존재하는지 판단하는 단계; 및 상기 경로 정보가 상기 정보 전달 베이스에 존재하지 않는 경우 상기 경로 정보를 이용하여 상기 정보 전달 베이스를 자동으로 학습하고, 상기 제1 패킷의 타임 투 리브(TTL; Time to Live)를 갱신하는 단계를 포함한다.An automatic path learning method according to an embodiment of the present invention is an automatic path learning method for a proxy device having IP network transparency, the method comprising: receiving a first packet through an external interface; determining whether path information of the first packet exists in a Forwarding Information Base (FIB) if the first packet is an IP packet; and automatically learning the information delivery base using the route information when the route information does not exist in the information delivery base, and updating Time to Live (TTL) of the first packet. include

나아가, 본 발명의 일 실시예에 따른 자동 경로 학습 방법은 타임 투 리브가 갱신된 상기 제1 패킷을 내부 인터페이스를 통해 투명 프록시(transparent proxy)로 출력하는 단계를 더 포함할 수 있다.Furthermore, the automatic path learning method according to an embodiment of the present invention may further include outputting the time-to-live updated first packet to a transparent proxy through an internal interface.

상기 타임 투 리브를 갱신하는 단계는 상기 경로 정보가 상기 정보 전달 베이스에 존재하지 않고 상기 정보 전달 베이스가 비어있는 경우 상기 경로 정보를 이용하여 상기 정보 전달 베이스를 자동으로 학습할 수 있다.In the updating of the time-to-live, when the route information does not exist in the information delivery base and the information delivery base is empty, the information delivery base may be automatically learned by using the route information.

더 나아가, 본 발명의 일 실시예에 따른 자동 경로 학습 방법은 내부 인터페이스를 통해 제2 패킷을 수신하는 단계; 상기 제2 패킷의 경로 정보가 상기 자동으로 학습된 정보 전달 베이스에 존재하는지 판단하는 단계; 및 상기 제2 패킷의 경로 정보가 상기 자동으로 학습된 정보 전달 베이스에 존재하는 경우 상기 제2 패킷의 타임 투 리브를 갱신하는 단계를 더 포함할 수 있다.Furthermore, an automatic path learning method according to an embodiment of the present invention includes: receiving a second packet through an internal interface; determining whether the path information of the second packet exists in the automatically learned information transfer base; and updating the time-to-live of the second packet when the path information of the second packet exists in the automatically learned information transfer base.

더 나아가, 본 발명의 일 실시예에 따른 자동 경로 학습 방법은 타임 투 리브가 갱신된 상기 제2 패킷을 외부 인터페이스들 중 어느 하나의 외부 인터페이스로 출력하는 단계를 더 포함할 수 있다.Furthermore, the automatic path learning method according to an embodiment of the present invention may further include outputting the second packet having the time-to-live updated to one of the external interfaces.

더 나아가, 본 발명의 일 실시예에 따른 자동 경로 학습 방법은 상기 제2 패킷의 경로 정보가 상기 정보 전달 베이스에 존재하지 않는 경우 상기 제2 패킷을 폐기하는 단계를 더 포함할 수 있다.Furthermore, the automatic path learning method according to an embodiment of the present invention may further include discarding the second packet when the path information of the second packet does not exist in the information delivery base.

본 발명의 일 실시예에 따른 자동 경로 학습 시스템은 IP 네트워크 투명성을 갖는 프록시 장비를 위한 자동 경로 학습 시스템에 있어서, 외부 인터페이스를 통해 제1 패킷을 수신하는 수신부; 상기 제1 패킷이 IP 패킷이면 상기 제1 패킷의 경로 정보가 정보 전달 베이스(FIB; Forwarding Information Base)에 존재하는지 판단하는 판단부; 및 상기 경로 정보가 상기 정보 전달 베이스에 존재하지 않는 경우 상기 경로 정보를 이용하여 상기 정보 전달 베이스를 자동으로 학습하고, 상기 제1 패킷의 타임 투 리브(TTL; Time to Live)를 갱신하는 제어부를 포함한다.An automatic route learning system according to an embodiment of the present invention is an automatic route learning system for a proxy device having IP network transparency, the automatic route learning system comprising: a receiver configured to receive a first packet through an external interface; a determination unit for determining whether path information of the first packet exists in a Forwarding Information Base (FIB) if the first packet is an IP packet; and a controller configured to automatically learn the information delivery base using the route information when the route information does not exist in the information delivery base, and to update Time to Live (TTL) of the first packet. include

상기 제어부는 타임 투 리브가 갱신된 상기 제1 패킷을 내부 인터페이스를 통해 투명 프록시(transparent proxy)로 출력할 수 있다.The controller may output the time-to-live updated first packet to a transparent proxy through an internal interface.

상기 제어부는 상기 경로 정보가 상기 정보 전달 베이스에 존재하지 않고 상기 정보 전달 베이스가 비어있는 경우 상기 경로 정보를 이용하여 상기 정보 전달 베이스를 자동으로 학습할 수 있다.When the route information does not exist in the information delivery base and the information delivery base is empty, the controller may automatically learn the information delivery base using the route information.

상기 판단부는 내부 인터페이스를 통해 제2 패킷이 수신되는 경우 상기 제2 패킷의 경로 정보가 상기 자동으로 학습된 정보 전달 베이스에 존재하는지 판단하고, 상기 제어부는 상기 제2 패킷의 경로 정보가 상기 자동으로 학습된 정보 전달 베이스에 존재하는 경우 상기 제2 패킷의 타임 투 리브를 갱신할 수 있다.When the second packet is received through the internal interface, the determination unit determines whether the path information of the second packet exists in the automatically learned information transfer base, and the control unit determines whether the path information of the second packet is automatically If it exists in the learned information transfer base, the time-to-live of the second packet may be updated.

상기 제어부는 타임 투 리브가 갱신된 상기 제2 패킷을 외부 인터페이스들 중 어느 하나의 외부 인터페이스로 출력할 수 있다.The control unit may output the second packet of which the time-to-live is updated to one of the external interfaces.

상기 제어부는 상기 제2 패킷의 경로 정보가 상기 정보 전달 베이스에 존재하지 않는 경우 상기 제2 패킷을 폐기할 수 있다.The controller may discard the second packet when the path information of the second packet does not exist in the information transfer base.

본 발명의 실시예들에 따르면, 인라인 네트워크 토폴로지에서 IP 네트워크 투명성을 갖는 프록시 장비를 위하여 입력 또는 수신된 패킷(또는 트래픽)에 대한 경로를 자동으로 학습하게 함으로써, 네트워크 보안성을 향상시킬 수 있다. According to embodiments of the present invention, network security can be improved by automatically learning a path for an input or received packet (or traffic) for a proxy device having IP network transparency in an inline network topology.

이러한 본 발명은 네트워크 보안용으로 사용될 수 있다.This invention can be used for network security.

도 1은 네트워크에서 트래픽을 입출력하는 연결 방식 중 원-암 모드 연결 방식을 설명하기 위한 일 예시도를 나타낸 것이다.
도 2는 네트워크에서 트래픽을 입출력하는 연결 방식 중 투-암 모드 연결 방식을 설명하기 위한 일 예시도를 나타낸 것이다.
도 3은 본 발명의 일 실시예에 따른 자동 경로 학습 방법에 대한 동작 흐름도를 나타낸 것이다.
도 4는 본 발명의 다른 일 실시예에 따른 자동 경로 학습 방법에 대한 동작 흐름도를 나타낸 것이다.
도 5는 본 발명의 자동 경로 학습에 대한 일 예시도를 나타낸 것이다.
도 6은 본 발명의 일 실시예에 따른 자동 경로 학습 시스템에 대한 구성을 나타낸 것이다.1 shows an exemplary diagram for explaining a one-arm mode connection method among connection methods for inputting and outputting traffic in a network.
2 is a diagram illustrating an example for explaining a two-arm mode connection method among connection methods for inputting and outputting traffic in a network.
3 is a flowchart illustrating an automatic path learning method according to an embodiment of the present invention.
4 is a flowchart illustrating an automatic path learning method according to another embodiment of the present invention.
5 shows an exemplary diagram for automatic path learning of the present invention.
6 shows the configuration of an automatic path learning system according to an embodiment of the present invention.

본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 것이며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하며, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.Advantages and features of the present invention and methods of achieving them will become apparent with reference to the embodiments described below in detail in conjunction with the accompanying drawings. However, the present invention is not limited to the embodiments disclosed below, but will be implemented in various different forms, and only these embodiments allow the disclosure of the present invention to be complete, and common knowledge in the art to which the present invention pertains It is provided to fully inform those who have the scope of the invention, and the present invention is only defined by the scope of the claims.

본 명세서에서 사용된 용어는 실시예들을 설명하기 위한 것이며, 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 및/또는 "포함하는(comprising)"은 언급된 구성요소, 단계, 동작 및/또는 소자는 하나 이상의 다른 구성요소, 단계, 동작 및/또는 소자의 존재 또는 추가를 배제하지 않는다.The terminology used herein is for the purpose of describing the embodiments, and is not intended to limit the present invention. As used herein, the singular also includes the plural unless specifically stated otherwise in the phrase. As used herein, "comprises" and/or "comprising" refers to the presence of one or more other components, steps, operations and/or elements mentioned. or addition is not excluded.

다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.Unless otherwise defined, all terms (including technical and scientific terms) used herein may be used with the meaning commonly understood by those of ordinary skill in the art to which the present invention belongs. In addition, terms defined in a commonly used dictionary are not to be interpreted ideally or excessively unless specifically defined explicitly.

이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시예들을 보다 상세하게 설명하고자 한다. 도면 상의 동일한 구성요소에 대해서는 동일한 참조 부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.Hereinafter, preferred embodiments of the present invention will be described in more detail with reference to the accompanying drawings. The same reference numerals are used for the same components in the drawings, and repeated descriptions of the same components are omitted.

본 발명의 실시예들은, 인라인 네트워크 토폴로지에서 IP 네트워크 투명성을 갖는 프록시 장비를 위하여 입력 또는 수신된 패킷(또는 트래픽)에 대한 경로를 자동으로 학습하게 함으로써, 네트워크 보안성을 향상시키는 것을 그 요지로 한다.Embodiments of the present invention are directed to improving network security by automatically learning a path for an input or received packet (or traffic) for a proxy device having IP network transparency in an inline network topology. .

즉, 본 발명은 정보 전달 베이스(FIB; Forwarding Information Base)를 자동으로 학습하고, 학습된 FIB를 기반으로 투명 프록시(Transparent Proxy) 서비스를 받는 패킷들이 외부로 출력됨으로써, 네트워크 보안성을 유지할 수 있다.That is, the present invention automatically learns a Forwarding Information Base (FIB), and packets receiving a transparent proxy service based on the learned FIB are output to the outside, thereby maintaining network security. .

이러한 본 발명의 인라인 네트워크 토폴로지에서 자동 경로 학습 즉, FIB의 자동 학습은 보안성을 유지시키는 투명 프록시 서비스의 네트워크 인프라스트럭쳐(Network Infrastructure)이며, 본 발명은 경로를 자동으로 학습함으로써, 투명성을 가진 장비 예를 들어, 투명 프록시 등의 장비를 보다 쉽게 전개할 수 있다.In the inline network topology of the present invention, automatic path learning, that is, automatic learning of FIB, is a network infrastructure of a transparent proxy service that maintains security, and the present invention automatically learns a path, thereby providing a device with transparency For example, it is easier to deploy equipment such as transparent proxies.

IP 네트워크의 투명성이 있다는 것은 중간 프록시 장비가 특정 목적을 위해 새로 생성한 트래픽을 마치 원래 출발지에서 생성된 트래픽인 것처럼 출발 및 목적지의 주소로 IP 스푸핑(Spoofing)하는 것을 말한다. 만약 이것이 부재할 경우 이 후 경로의 네트워크 장비들이 새로 생성된 트래픽의 원래 출발지 또는 목적지를 온전히 식별할 수 없게 되어, 해당 장비들의 정책을 올바르게 적용할 수 없게 된다. 예를 들어, A에서 B 방향으로 트래픽이 발생하고, 중간 프록시 장비가 그 트래픽에 대해 로깅을 하고 B 대신 A에게 응답한다. 그리고 그 장비는 보안을 위해 약간 내용이 변경된 트래픽을 새로 생성하여 B 방향으로 IP Spoofing없이 그대로 보낸다. 이 때, 생성된 트래픽의 출발지 주소는 원래 주소인 A가 아니라 장비의 주소 A"로 변하여 이후 경로의 네트워크 장비들 또는 목적지 서버에서 A"에서 B 방향으로 발생된 트래픽으로 식별되게 된다. 따라서, 그 장비들은 원래 트래픽을 대상으로 설정한 정책들을 올바르게 적용하지 못하게 되어 보안에 구멍이 발생하게 된다. 이러한 이유 때문에 투명성을 가진 프록시 장비가 보안을 위해 필요하다.Transparency of an IP network means that an intermediate proxy device IP spoofs newly created traffic for a specific purpose with the addresses of the source and destination as if the traffic was originally generated from the source. If this is absent, network devices in the subsequent path cannot fully identify the original source or destination of the newly generated traffic, and thus the policies of the devices cannot be applied correctly. For example, traffic is generated from A to B, and an intermediate proxy device logs the traffic and responds to A instead of B. And for security, the device creates new traffic with slightly changed content and sends it to B-direction without IP spoofing. At this time, the source address of the generated traffic is changed to the address A" of the device instead of the original address A, and is identified as traffic generated from A" to B in the network devices or the destination server of the subsequent path. Therefore, the devices cannot properly apply the policies originally set for the traffic, thereby creating a security hole. For this reason, a proxy device with transparency is necessary for security.

IP 네트워크 투명성을 갖는 프록시 장비는 외부에서 트래픽을 입력해줘야 하며, 프록시 장비는 새로 생성된 또는 입력 받은 트래픽에 대해서 올바른 경로를 선택하여 출력해야 한다. 그것을 위해 네트워크에서 트래픽을 입출력하는 두 가지 연결 방식 예를 들어, 원-암 모드(One-Arm Mode)와 투-암 모드(Two-Arm Mode)가 존재한다. 이 중 기존 네트워크 환경과의 연결 호환성을 위해서 Two-Arm Mode (In-line Mode)가 주로 사용된다.A proxy device with IP network transparency must input traffic from the outside, and the proxy device must select and output the correct route for newly created or input traffic. For this, there are two connection methods for inputting and outputting traffic from the network, for example, One-Arm Mode and Two-Arm Mode. Among them, Two-Arm Mode (In-line Mode) is mainly used for connection compatibility with the existing network environment.

도 1은 네트워크에서 트래픽을 입출력하는 연결 방식 중 원-암 모드 연결 방식을 설명하기 위한 일 예시도를 나타낸 것으로, 도 1에 도시된 바와 같이, One-Arm Mode에서는 프록시 장비와 라우터를 직접 연결한다. 이 방식은 트래픽의 경로 결정을 프록시가 아닌 직결된 인접 라우터가 처리하는 방식으로, 프록시와 라우터는 각각 1개의 인터페이스로 직결되어 마치 한 개의 팔만 벌리고 있는 모습처럼 보인다. 이 후 라우터에서 Policy Based Routing(PBR)을 통해 원하는 트래픽이 프록시로 출력되거나 그 장비로부터 입력(또는 수신) 받은 것을 목적지로 전달될 수 있도록 경로를 각각 설정한다. 이 때문에 경로가 새로 생기거나 없어질 때, 네트워크 관리자는 라우터에 이 내용을 매번 수동으로 반영해야 된다는 유지/보수의 이슈가 발생하게 된다. 이 방식에서 장비의 장애가 발생하면, 라우터가 트래픽의 경로를 다시 재조정해줘야 하며, 인접 네트워크 자원들이 새로 설치되는 프록시 장비를 인식하고 재구성해야 되는 문제가 발생한다. 네트워크 연결 호환성 때문에 소규모 네트워크 환경에서는 유효하게 사용될 수 있으나, 중/대규모에서는 유지/보수의 어려움 때문에 적용하기 힘든 방식이다.1 shows an exemplary diagram for explaining a one-arm mode connection method among connection methods for inputting and outputting traffic in a network. As shown in FIG. 1, in One-Arm Mode, a proxy device and a router are directly connected. . In this method, not the proxy but the directly connected neighboring router handles the routing of the traffic, and the proxy and the router are directly connected to one interface each, so it looks as if only one arm is open. After that, routes are set so that the desired traffic can be output to the proxy through Policy Based Routing (PBR) in the router or input (or received) received from the device can be delivered to the destination. Because of this, when a route is newly created or lost, a maintenance issue arises that the network administrator must manually reflect this information to the router every time. In this way, if a device fails, the router needs to re-route the traffic, and adjacent network resources need to recognize and reconfigure the newly installed proxy device. It can be effectively used in a small network environment due to network connection compatibility, but it is difficult to apply in a medium/large scale due to difficulties in maintenance/maintenance.

도 2는 네트워크에서 트래픽을 입출력하는 연결 방식 중 투-암 모드 연결 방식을 설명하기 위한 일 예시도를 나타낸 것으로, 도 2에 도시된 바와 같이 Two-Arm Mode(In-line Mode)는 라우터가 프록시 장비를 인식하지 않아도 되며, 프록시가 트래픽의 경로를 자동으로 학습하고 이를 기반으로 경로를 결정할 수 구조다. 이 때, 프록시는 양 쪽 라우터 사이에 각각 양팔을 벌린 모습으로 연결되어 있다. 프록시는 기본적으로 L2 스위치 같이 동작하며 처리에 필요한 트래픽에 한해 프록시 기능을 동작 시킨다. 이 방식에서는 장비의 장애가 발생할 때 트래픽을 우회 시킬 대안을 직접 마련해야 한다. 네트워크 연결 호환성이 비교적 높기 때문에 트래픽 처리량만 받쳐준다면 어떠한 사이트에서도 트래픽이 집중되는 길목에 설치되어 모든 트래픽을 처리할 수 있는 구조다. 따라서 이 방식을 이용하려면 필수적으로 프록시가 자동 경로 학습을 할 수 있어야 되거나, 직접 라우터가 되어야 된다. 후자의 방식은 결국 One-Arm Mode와 다름이 없기에 본 발명의 자동 경로 학습을 이용해야 한다.FIG. 2 shows an exemplary diagram for explaining a two-arm mode connection method among connection methods for inputting and outputting traffic from a network. There is no need to recognize the device, and the proxy automatically learns the route of the traffic and determines the route based on it. At this time, the proxy is connected between both routers in the form of open arms. The proxy basically operates like an L2 switch and operates the proxy function only for traffic required for processing. In this way, you have to come up with an alternative to bypass the traffic when the equipment fails. Since network connection compatibility is relatively high, it is a structure that can handle all traffic by installing it on the road where traffic is concentrated at any site if only the traffic throughput is supported. Therefore, in order to use this method, the proxy must be able to automatically learn the route, or it must be a router directly. Since the latter method is no different from the One-Arm Mode, the automatic path learning of the present invention must be used.

도 3은 본 발명의 일 실시예에 따른 자동 경로 학습 방법에 대한 동작 흐름도를 나타낸 것으로, 외부 인터페이스를 통해 입력(또는 수신)되는 외부 패킷을 기반으로 경로를 자동으로 학습하는 과정을 나타낸 것이다.3 is a flowchart illustrating an automatic path learning method according to an embodiment of the present invention, and shows a process of automatically learning a path based on an external packet input (or received) through an external interface.

도 3을 참조하면, 본 발명의 일 실시예에 따른 방법은 외부 인터페이스들 중 어느 하나의 외부 인터페이스를 통해 제1 패킷이 입력(또는 수신)되면 입력된 제1 패킷이 IP 패킷인지 판단하고, IP 패킷이 아닌 경우 예를 들어, 알 수 없는 프로토콜의 트래픽이 입력되었을 경우 입력 인터페이스(예를 들어, 제1 외부 인터페이스)의 반대편 인터페이스(예를 들어, 제2 외부 인터페이스)를 선택하여 반대편 인터페이스로 출력함으로써, 통신에 지장이 없도록 처리한다(S310, S320).Referring to FIG. 3 , in the method according to an embodiment of the present invention, when a first packet is input (or received) through one of the external interfaces, it is determined whether the inputted first packet is an IP packet, and the IP When it is not a packet, for example, when traffic of an unknown protocol is input, the other interface (eg, the second external interface) of the input interface (eg, the first external interface) is selected and output to the other interface By doing so, there is no interference with communication (S310, S320).

경로는 IP Routing Entry로 표현되며, 이러한 경로 정보는 FIB에서 관리된다. FIB는 L2 MAC, L3 IP, Output Interface, Time to live(TTL)의 4가지 필드를 하나의 레코드로 관리하는 테이블이다.A route is expressed as an IP Routing Entry, and this route information is managed in the FIB. FIB is a table that manages four fields of L2 MAC, L3 IP, Output Interface, and Time to live (TTL) as one record.

반면, 단계 S320 판단 결과, 제1 패킷이 IP 패킷인 것으로 판단되면, 제1 패킷의 경로 정보가 FIB에 존재하는지 판단하고, 제1 패킷의 경로 정보가 FIB에 존재하는 것으로 판단되면 제1 패킷의 타임 투 리브(TTL; Time to Live)를 갱신한 후 내부 인터페이스를 통해 제1 패킷을 출력한다(S330, S360, S370).On the other hand, if it is determined in step S320 that the first packet is an IP packet, it is determined whether the path information of the first packet exists in the FIB, and if it is determined that the path information of the first packet exists in the FIB, the After updating Time to Live (TTL), the first packet is output through the internal interface (S330, S360, and S370).

이 때, 제1 패킷은 내부 인터페이스를 통해 투명 프록시(transparent proxy)로 출력될 수 있다.In this case, the first packet may be output to a transparent proxy through the internal interface.

단계 S330의 판단 결과, 제1 패킷의 경로 정보가 FIB에 존재하지 않는 경우에는 FIB가 가득차 있는지 확인하여 FIB가 가득차 있지 않으면 FIB에 저장함으로써, FIB를 자동 학습하고, 제1 패킷의 TTL의 갱신한 후 내부 인터페이스를 통해 제1 패킷을 투명 프록시로 출력한다(S340 내지 S370).As a result of the determination in step S330, if the path information of the first packet does not exist in the FIB, it is checked whether the FIB is full, and if the FIB is not full, the FIB is automatically learned by storing it in the FIB, and the TTL of the first packet is updated. Then, the first packet is output to the transparent proxy through the internal interface (S340 to S370).

반면, 단계 S340 판단 결과 FIB가 가득차 있는 경우에는 입력 인터페이스(예를 들어, 제1 외부 인터페이스)의 반대편 인터페이스(예를 들어, 제2 외부 인터페이스)를 선택하여 반대편 인터페이스로 출력함으로써, 통신에 지장이 없도록 처리한다.On the other hand, when it is determined in step S340 that the FIB is full, by selecting the opposite interface (eg, the second external interface) of the input interface (eg, the first external interface) and outputting it to the other interface, communication is disturbed take care not to

도 4는 본 발명의 다른 일 실시예에 따른 자동 경로 학습 방법에 대한 동작 흐름도를 나타낸 것으로, 내부 인터페이스를 통해 입력(또는 수신)되는 패킷을 학습된 FIB를 기반으로 출력하는 과정을 나타낸 것이다.4 is a flowchart illustrating an automatic path learning method according to another embodiment of the present invention, and shows a process of outputting a packet input (or received) through an internal interface based on the learned FIB.

도 4를 참조하면, 본 발명의 방법은 내부 인터페이스를 통해 제2 패킷이 수신되면 즉, 투명 프록시를 통해 제2 패킷이 수신되면 제2 패킷의 경로 정보가 학습된 FIB에 존재하는지 판단한다(S410, S420).Referring to FIG. 4 , in the method of the present invention, when the second packet is received through the internal interface, that is, when the second packet is received through the transparent proxy, it is determined whether the path information of the second packet exists in the learned FIB (S410). , S420).

단계 S420 판단 결과, 제2 패킷의 경로 정보가 학습된 FIB에 존재하는 경우 제2 패킷의 TTL을 갱신한 후 경로 정보를 바탕으로 외부 인터페이스들 중 어느 하나의 외부 인터페이스를 선택하여 TTL이 갱신된 제2 패킷을 선택된 외부 인터페이스를 통해 출력한다(S430, S440).As a result of the determination in step S420, if the path information of the second packet exists in the learned FIB, after updating the TTL of the second packet, any one of the external interfaces is selected based on the path information and the TTL is updated. 2 packets are output through the selected external interface (S430, S440).

반면, 단계 S420 판단 결과 제2 패킷의 경로 정보가 학습된 FIB에 존재하지 않는 경우에는 제2 패킷을 폐기한다(S450).On the other hand, if it is determined in step S420 that the path information of the second packet does not exist in the learned FIB, the second packet is discarded (S450).

도 4는 내부 인터페이스를 통해 입력되는 트래픽에 관한 것으로, 투명 프록시 내부로부터 시작되는 트래픽은 학습된 FIB의 경로를 기반으로 출력하기만 하면 된다. 이 때, Default Routing을 수행하지 않기 때문에 FIB에 없는 경로의 트래픽은 모두 폐기할 수 있다.FIG. 4 relates to traffic input through the internal interface, and traffic starting from inside the transparent proxy only needs to be output based on the learned FIB path. At this time, since Default Routing is not performed, all traffic of routes not in the FIB can be discarded.

이와 같이, 본 발명의 자동 경로 학습 방법은 외부 인터페이스 즉, 외부 네트워크와 연결된 인터페이스에서만 수행하면 된다. 투명 프록시는 관리하는 네트워크의 보안성 유지 목적으로 존재하는데, 본 발명은 이러한 시스템을 구성할 수 있게 도와줄 수 있는 기술이다. 도 3과 도 4의 동작에 대해 도 5를 참조하여 조금 더 설명하면 다음과 같다.As described above, the automatic path learning method of the present invention only needs to be performed on an external interface, that is, an interface connected to an external network. A transparent proxy exists for the purpose of maintaining the security of a managed network, and the present invention is a technology that can help configure such a system. The operation of FIGS. 3 and 4 will be described a little more with reference to FIG. 5 as follows.

도 5는 본 발명의 자동 경로 학습에 대한 일 예시도를 나타낸 것으로, 도 5에 도시된 바와 같이, A1에서 외부 인터페이스 예를 들어, 1번 외부 인터페이스를 통해 A1의 IP 패킷 예를 들어, 제1 패킷이 입력되고, FIB가 가득차 있지 않은 상태로 제1 패킷의 경로 정보가 FIB에 존재하지 않은 경우에는 FIB에 해당 패킷의 경로 정보를 저장하여 FIB를 자동으로 학습시킨 후 TTL을 갱신하여 내부 인터페이스(internal interface)를 통해 투명 프록시 예를 들어, 제1 투명 프록시(Transparent Proxy #1)로 출력한다.5 shows an exemplary diagram for automatic path learning of the present invention, as shown in FIG. 5, the IP packet of A1 through the external interface, for example, the first external interface in A1, for example, the first When a packet is input and the FIB is not full and the path information of the first packet does not exist in the FIB, the FIB is automatically learned by storing the path information of the packet in the FIB, and then TTL is updated to update the internal interface ( internal interface) through the transparent proxy, for example, the first transparent proxy (Transparent Proxy #1).

그리고, 제1 투명 프록시에서 생성된 IP 패킷 예를 들어, 제2 패킷이 내부 인터페이스를 통해 입력되고, 제2 패킷의 경로 정보가 학습된 FIB에 존재하면 제2 패킷의 TTL을 갱신한 후 제2 패킷을 출력할 외부 인터페이스 예를 들어, 2번 외부 인터페이스를 선택하여 출력함으로써, 제2 패킷을 B1으로 전달한다.Then, if the IP packet generated by the first transparent proxy, for example, the second packet is input through the internal interface, and the path information of the second packet exists in the learned FIB, after updating the TTL of the second packet, the second packet The second packet is transferred to B1 by selecting and outputting the external interface to which the packet is to be output, for example, the second external interface.

반면, B3의 경우 소스 경로는 FIB에 공간이 있어 학습이 잘 되었으나, 목적지 경로를 학습 시도할 때 FIB 공간 부족으로 플러딩(flooding)되는 것을 나타낸 것으로, "No more room"이 1번 외부 인터페이스에서 A3으로 향하는 것을 알 수 있다. 이는 1개의 트래픽에 존재하는 2개의 방향(forward/reverse 또는 original/reply)을 모두 자동 학습해야 하기 때문에 발생하는 문제이다. 따라서, IP 패킷이 아닌 경우 또는 FIB 공간이 없을 경우 올바른 통신을 목적으로 패킷을 바이패스(bypass)시키기 위해 플러딩(flooding)을 수행한다.On the other hand, in the case of B3, the source path had a space in the FIB, so it was learned well, but when trying to learn the destination path, it was flooded due to lack of FIB space. It can be seen that heading towards This is a problem that occurs because both directions (forward/reverse or original/reply) in one traffic need to be automatically learned. Therefore, in the case of not an IP packet or when there is no FIB space, flooding is performed to bypass the packet for the purpose of correct communication.

이와 같이, 본 발명의 실시예에 따른 방법은 인라인 네트워크 토폴로지에서 IP 네트워크 투명성을 갖는 프록시 장비를 위하여 외부 인터페이슬 통해 입력된 패킷(또는 트래픽)에 대한 경로를 이용하여 FIB를 자동으로 학습시킴으로써, 네트워크 보안성을 향상시키고, 이를 통해 네트워크의 보안성 유지를 목적으로 존재하는 투명 프록시를 포함하는 시스템을 구성할 수 있다.As described above, the method according to an embodiment of the present invention automatically learns the FIB using a path for a packet (or traffic) input through an external interface for a proxy device having IP network transparency in an inline network topology, It is possible to configure a system including a transparent proxy that exists for the purpose of improving security and maintaining network security through this.

도 6은 본 발명의 일 실시예에 따른 자동 경로 학습 시스템에 대한 구성을 나타낸 것으로, 도 1 내지 도 5의 방법을 수행하는 시스템에 대한 개념적인 구성을 나타낸 것이다.6 shows a configuration of an automatic path learning system according to an embodiment of the present invention, and shows a conceptual configuration of a system for performing the method of FIGS. 1 to 5 .

도 6을 참조하면, 본 발명의 일 실시예에 따른 자동 경로 학습 시스템(600)은 수신부(610), 판단부(620), 제어부(630) 및 저장부(640)를 포함한다.Referring to FIG. 6 , the automatic path learning system 600 according to an embodiment of the present invention includes a receiving unit 610 , a determining unit 620 , a control unit 630 , and a storage unit 640 .

저장부(640)는 본 발명과 관련된 모든 데이터를 저장하는 수단으로, 경로 정보를 저장하는 FIB를 저장할 수 있으며, 이 뿐만 아니라 자동 경로 학습을 위하여 필요로 하는 모든 데이터와 본 발명의 방법에 대한 알고리즘을 저장할 수도 있다.The storage unit 640 is a means for storing all data related to the present invention, and may store an FIB for storing path information, as well as all data required for automatic path learning and an algorithm for the method of the present invention. can also be saved.

수신부(610)는 외부 인터페이스를 통해 입력되는 트래픽(또는 패킷)을 수신한다.The receiver 610 receives traffic (or packets) input through an external interface.

이 때, 수신부(610)는 투명 프록시로부터 전송되는 트래픽을 내부 인터페이스를 통해 수신할 수도 있다.In this case, the receiver 610 may receive traffic transmitted from the transparent proxy through the internal interface.

판단부(620)는 외부 인터페이스를 통해 수신되는 패킷이 IP 패킷인 경우 IP 패킷의 경로 정보가 FIB에 존재하는지 판단한다.When the packet received through the external interface is an IP packet, the determination unit 620 determines whether path information of the IP packet exists in the FIB.

이 때, 판단부(620)는 IP 패킷의 경로 정보가 FIB에 존재하지 않는 것으로 판단되면 FIB가 가득차 있는지 판단할 수 있다.At this time, if it is determined that the path information of the IP packet does not exist in the FIB, the determination unit 620 may determine whether the FIB is full.

나아가, 판단부(620)는 내부 인터페이스를 통해 입력되는 IP 패킷의 경로 정보가 FIB에 존재하는지 판단할 수도 있다.Furthermore, the determination unit 620 may determine whether path information of an IP packet input through the internal interface exists in the FIB.

제어부(630)는 외부 인터페이스를 통해 입력되는 IP 패킷의 경로 정보가 FIB에 존재하지 않고 FIB가 가득차 있지 않는 경우에는 해당 IP 패킷의 경로 정보를 이용하여 FIB를 자동으로 학습하고, 해당 IP 패킷의 TTL을 갱신한 후 내부 인터페이스를 통해 투명 프록시로 출력한다.When the path information of the IP packet input through the external interface does not exist in the FIB and the FIB is not full, the control unit 630 automatically learns the FIB using the path information of the corresponding IP packet, and the TTL of the corresponding IP packet. After updating , output as a transparent proxy through the internal interface.

이 때, 제어부(630)는 외부 인터페이스를 통해 입력되는 패킷이 IP 패킷이 아니거나 IP 패킷이고 IP 패킷의 경로 정보가 FIB에 존재하지 않지만 FIB가 가득차 있는 경우에는 다른 외부 인터페이스를 통해 해당 패킷을 출력함으로써, 통신에 지장이 없도록 처리할 수도 있다.At this time, if the packet input through the external interface is not an IP packet or an IP packet and the path information of the IP packet does not exist in the FIB but the FIB is full, the controller 630 outputs the corresponding packet through another external interface. By doing so, it is possible to process so as not to interfere with communication.

나아가, 제어부(630)는 내부 인터페이스를 통해 입력된 IP 패킷의 경로 정보가 FIB에 존재하지 않는 경우에는 해당 IP 패킷을 폐기할 수도 있다. Furthermore, when the path information of the IP packet input through the internal interface does not exist in the FIB, the controller 630 may discard the corresponding IP packet.

비록, 도 6의 시스템에서 그 설명이 생략되었더라도, 도 6을 구성하는 각 구성 수단은 도 1 내지 도 5에서 설명한 모든 내용을 포함할 수 있으며, 이는 이 기술 분야에 종사하는 당업자에게 있어서 자명하다.Although the description is omitted from the system of FIG. 6 , each component constituting FIG. 6 may include all the contents described in FIGS. 1 to 5 , which is apparent to those skilled in the art.

이상에서 설명된 장치는 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 컨트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPA(field programmable array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다.　 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다.　 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다.　 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 컨트롤러를 포함할 수 있다.　 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.The device described above may be implemented as a hardware component, a software component, and/or a combination of the hardware component and the software component. For example, devices and components described in the embodiments may include, for example, a processor, a controller, an arithmetic logic unit (ALU), a digital signal processor, a microcomputer, a field programmable array (FPA), It may be implemented using one or more general purpose or special purpose computers, such as a programmable logic unit (PLU), microprocessor, or any other device capable of executing and responding to instructions. The processing device may execute an operating system (OS) and one or more software applications running on the operating system. The processing device may also access, store, manipulate, process, and generate data in response to execution of the software. For convenience of understanding, although one processing device is sometimes described as being used, one of ordinary skill in the art will recognize that the processing device includes a plurality of processing elements and/or a plurality of types of processing elements. It can be seen that can include For example, the processing device may include a plurality of processors or one processor and one controller. Other processing configurations are also possible, such as parallel processors.

소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다.　 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치에 구체화(embody)될 수 있다.　 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.The software may comprise a computer program, code, instructions, or a combination of one or more thereof, which configures a processing device to operate as desired or is independently or collectively processed You can command the device. The software and/or data may be any kind of machine, component, physical device, virtual equipment, computer storage medium or device, to be interpreted by or to provide instructions or data to the processing device. may be embodied in The software may be distributed over networked computer systems, and stored or executed in a distributed manner. Software and data may be stored in one or more computer-readable recording media.

실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다.　 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다.　 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다.　 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다.　 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다.　 The method according to the embodiment may be implemented in the form of program instructions that can be executed through various computer means and recorded in a computer-readable medium. The computer-readable medium may include program instructions, data files, data structures, etc. alone or in combination. The program instructions recorded on the medium may be specially designed and configured for the embodiment, or may be known and available to those skilled in the art of computer software. Examples of the computer-readable recording medium include magnetic media such as hard disks, floppy disks and magnetic tapes, optical media such as CD-ROMs and DVDs, and magnetic such as floppy disks. - includes magneto-optical media, and hardware devices specially configured to store and carry out program instructions, such as ROM, RAM, flash memory, and the like. Examples of program instructions include not only machine language codes such as those generated by a compiler, but also high-level language codes that can be executed by a computer using an interpreter or the like.

이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다.　 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.As described above, although the embodiments have been described with reference to the limited embodiments and drawings, various modifications and variations are possible from the above description by those skilled in the art. For example, the described techniques are performed in a different order than the described method, and/or the described components of the system, structure, apparatus, circuit, etc. are combined or combined in a different form than the described method, or other components Or substituted or substituted by equivalents may achieve an appropriate result.

그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.Therefore, other implementations, other embodiments, and equivalents to the claims are also within the scope of the following claims.

Claims

In the automatic path learning method for a proxy device having IP network transparency,
receiving a first packet through an external interface;
determining whether path information of the first packet exists in a Forwarding Information Base (FIB) if the first packet is an IP packet; and
automatically learning the information delivery base using the route information when the route information does not exist in the information delivery base, and updating Time to Live (TTL) of the first packet;
including,
Outputting the time-to-live updated first packet to a transparent proxy having IP network transparency through an internal interface
further comprising,
The step of updating the time-to-live is
When the route information does not exist in the information delivery base and the information delivery base is empty, by storing the route information in the information delivery base, the information delivery base is automatically learned using the route information, Automatic updating the time-to-live of one packet and performing flooding to bypass the first packet when the path information does not exist in the information transfer base and the information transfer base is full How to learn a path.

delete

According to claim 1,
receiving a second packet through the internal interface;
determining whether the path information of the second packet exists in the automatically learned information transfer base; and
updating the time-to-live of the second packet when the path information of the second packet exists in the automatically learned information transfer base
Automatic path learning method, characterized in that it further comprises.

5. The method of claim 4,
outputting the second packet with the updated time-to-live to one of the external interfaces
Automatic path learning method, characterized in that it further comprises.

5. The method of claim 4,
Discarding the second packet when the path information of the second packet does not exist in the information delivery base
Automatic path learning method, characterized in that it further comprises.

In the automatic path learning system for a proxy device having IP network transparency,
a receiver for receiving the first packet through an external interface;
a determination unit for determining whether path information of the first packet exists in a Forwarding Information Base (FIB) if the first packet is an IP packet; and
When the route information does not exist in the information delivery base, the controller automatically learns the information delivery base by using the route information and updates Time to Live (TTL) of the first packet.
including,
the control unit
Outputs the first packet with updated time-to-live to a transparent proxy having IP network transparency through an internal interface,
the control unit
When the route information does not exist in the information delivery base and the information delivery base is empty, by storing the route information in the information delivery base, the information delivery base is automatically learned using the route information, Automatic updating the time-to-live of one packet and performing flooding to bypass the first packet when the path information does not exist in the information transfer base and the information transfer base is full path learning system.

delete

8. The method of claim 7,
the judging unit
When a second packet is received through the internal interface, it is determined whether the path information of the second packet exists in the automatically learned information transfer base;
the control unit
and updating the time-to-live of the second packet when the path information of the second packet exists in the automatically learned information transfer base.

11. The method of claim 10,
the control unit
The automatic path learning system, characterized in that the time-to-live updated second packet is outputted to one of the external interfaces.

11. The method of claim 10,
the control unit
The automatic path learning system, characterized in that the second packet is discarded when the path information of the second packet does not exist in the information delivery base.