WO2012141086A1 - コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法 - Google Patents

コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法 Download PDF

Info

Publication number
WO2012141086A1
WO2012141086A1 PCT/JP2012/059471 JP2012059471W WO2012141086A1 WO 2012141086 A1 WO2012141086 A1 WO 2012141086A1 JP 2012059471 W JP2012059471 W JP 2012059471W WO 2012141086 A1 WO2012141086 A1 WO 2012141086A1
Authority
WO
WIPO (PCT)
Prior art keywords
policy
information
received packet
controller
authentication
Prior art date
Application number
PCT/JP2012/059471
Other languages
English (en)
French (fr)
Inventor
雅也 川本
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to EP12770700.8A priority Critical patent/EP2698952A4/en
Priority to JP2013509875A priority patent/JP5660202B2/ja
Priority to US14/110,917 priority patent/US9065815B2/en
Priority to CN201280018455.5A priority patent/CN103621028B/zh
Publication of WO2012141086A1 publication Critical patent/WO2012141086A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/38—Flow based routing

Definitions

  • the present invention relates to a computer system, a controller, a network access policy control method, and a program, and more particularly, to a computer system and a network policy control method using open flow technology.
  • networks such as IP networks have become large and complex, and in addition, high flexibility is required. For this reason, setting of network devices is complicated, and the number to be set is enormous, which increases the burden of network design management.
  • a MAC-based VLAN Virtual Local Area Network
  • MAC-based VLAN Virtual Local Area Network
  • a computer system includes an open flow controller 100 (hereinafter referred to as OFC 100), a plurality of open switches 2-1 to 2-n (hereinafter referred to as OFS 2-1 to 2-n). And a host group 30 having a plurality of host computers 3-1 to 3-i (hereinafter referred to as hosts 3-1 to 3-i).
  • n and i are natural numbers of 2 or more.
  • the OFSs 2-1 to 2-n are collectively referred to as OFS2 when they are collectively referred to without distinction
  • the hosts 3 are referred to as hosts 3 when they are collectively referred to without distinction.
  • the OFC 100 sets a communication path between the hosts 3 and a transfer operation (relay operation) for the OFS 2 on the path.
  • the OFC 100 sets a flow entry in which a rule for specifying a flow (packet data) and an action for defining an operation for the flow are associated with each other in the flow table held by the OFS 2.
  • the OFS 2 on the communication path determines the transfer destination of the received packet data according to the flow entry set by the OFC 100, and performs transfer processing.
  • the host 3 can transmit and receive packet data to and from other hosts 3 using the communication path set by the OFC 100. That is, in the computer system using OpenFlow, the OFC 100 that sets the communication path and the OFS 2 that performs the transfer process are separated, so that communication of the entire system can be controlled and managed centrally.
  • the OFS 2-1 when performing packet transmission from the host 3-1 to the host 3-i, the OFS 2-1 sends destination information (header information: for example, destination MAC address, The destination IP address) is referred to, and an entry that matches the header information is searched from the flow table held in the OFS 2-1.
  • destination information for example, destination MAC address, The destination IP address
  • An entry that matches the header information is searched from the flow table held in the OFS 2-1.
  • the contents of entries set in the flow table are defined in Non-Patent Document 1, for example.
  • the OFS 2-1 transfers the packet data (hereinafter referred to as the first packet) or the header information of the first packet (or the first packet itself) to the OFC 100. .
  • the OFC 100 that has received the first packet from the OFS 2-1 determines the path 40 based on the information of the transmission source host and the transmission destination host included in the packet.
  • the OFC 100 instructs all OFSs 2 on the path 40 to set a flow entry that defines a packet transfer destination (issues a flow table update instruction).
  • the OFS 2 on the path 40 updates the flow table managed by itself in response to the flow table update instruction. After that, the OFS 2 starts packet transfer according to the updated flow table, so that the packet reaches the destination host 3-i via the path 40 determined by the OFC 100.
  • a host terminal such as a PC (Personal Computer) connected to the OpenFlow system is identified by an IP address or a MAC address.
  • IP addresses and MAC addresses can be camouflaged, there is a risk of unauthorized access and countermeasures are required.
  • Patent Document 1 describes a policy server having a function of controlling access to network devices and application servers based on a security policy held by itself, but does not disclose policy control in an open flow environment system. .
  • an object of the present invention is to provide a computer system in an OpenFlow protocol environment capable of easily performing network access policy control.
  • Another object of the present invention is to improve the security strength against unauthorized access in the network of the OpenFlow protocol environment.
  • a computer system includes a controller and a switch that performs a relay operation defined by the flow entry for a received packet that conforms to the flow entry set by the controller.
  • the switch transmits a received packet that does not match the flow entry set in the switch to the controller.
  • the controller authenticates the received packet with reference to the authentication information included in the received packet.
  • the controller sets, in the switch, a flow entry that defines a relay operation for a packet including information specifying the transmission source of the received packet among the header information of the received packet determined to be valid.
  • a policy control method includes a step in which a controller receives a received packet that does not conform to a flow entry set in a switch from the switch, and the controller refers to authentication information included in the received packet.
  • Set the flow entry that specifies the relay operation for the packet that includes the step of authenticating the received packet and the header information of the received packet that the controller determines to be valid in the information that identifies the source of the received packet.
  • the policy control method described above is preferably realized by a program executed by a computer.
  • FIG. 1 is a diagram illustrating an example of a configuration of a computer system using an open flow protocol.
  • FIG. 2 is a diagram showing an example of the configuration of a computer system according to the present invention.
  • FIG. 3 is a diagram showing an example of policy information according to the present invention.
  • FIG. 4 is a diagram showing a specific example of policy information according to the present invention.
  • FIG. 5A is a diagram showing a specific example of a flow entry according to the present invention.
  • FIG. 5B is a diagram showing a specific example of a flow entry according to the present invention.
  • FIG. 6 is a sequence diagram showing an example of policy setting and communication operation in the computer system according to the present invention.
  • FIG. 7 is a flowchart showing an example of a policy control operation by the OpenFlow controller according to the present invention.
  • FIG. 2 is a diagram showing an example of the configuration of a computer system according to the present invention.
  • the computer system according to the present invention is different from the system shown in FIG. 1 in the configuration of the OpenFlow controller (OFC) and the host terminal (for example, PC), and the other configurations (for example, OFS) are the same.
  • OFC OpenFlow controller
  • PC host terminal
  • OFS OFS
  • a computer system according to the present invention includes an OpenFlow controller 1 (OpenFlow Controller: hereinafter referred to as OFC1), a plurality of OpenFlow switches 2 (OpenFlow Switch: hereinafter referred to as OFS2), and a plurality of hosts.
  • a terminal 3 (example: PC) and an input terminal 4 are provided.
  • the OFC 1 is connected to a plurality of OFS 2 via a secure channel network, and updates the flow table 21 of the OFS 2 via the network. Thereby, communication between the plurality of host terminals 3 connected via the OFS 2 is controlled.
  • the OFS 2 is provided between the plurality of host terminals 3 and relays a packet transferred from the host terminal 3 or another network (not shown) to a transfer destination according to the flow entry set in the flow table 21.
  • OFC1 controls the construction of a communication path related to packet transfer in the system and the packet transfer process by open flow technology.
  • the open flow technology is that OFC1 sets multi-layer and flow unit route information in OFS2 and OFVS33 on the communication route according to the routing policy (flow entry: flow + action), and performs route control and node control.
  • the technique to perform is shown (for details, refer nonpatent literature 1).
  • the route control function is separated from the routers and switches, and optimal routing and traffic management are possible through centralized control by the controller.
  • OFS2 and OFVS33 to which the open flow technology is applied handle communication as a flow of END2END, not as a unit of packet or frame as in a conventional router or switch.
  • the OFC 1 is preferably realized by a computer including a CPU and a storage device.
  • each function of the flow control unit 11 and the policy management unit 12 illustrated in FIG. 2 is realized by a CPU (not shown) executing a program stored in a storage device.
  • the flow control unit 11 sets or deletes a flow entry (rule + action) for a switch (here, OFS2) according to the open flow protocol.
  • a switch here, OFS2
  • an action for example, relay or discard of packet data
  • a combination of layer 1 to layer 4 addresses and identifiers of the OSI (Open Systems Interconnection) reference model included in header information in TCP / IP packet data is defined.
  • OSI Open Systems Interconnection
  • each combination of a layer 1 physical port, a layer 2 MAC address, a VLAN tag (VLAN id), a layer 3 IP address, and a layer 4 port number is set as a rule.
  • the VLAN tag may be given a priority (VLAN priority).
  • an identifier such as a port number or an address set in the rule by the flow control unit 11 may be set within a predetermined range. Further, it is preferable that the destination and the address of the transmission source are distinguished and set as a rule. For example, a range of a MAC destination address, a range of a destination port number that specifies a connection destination application, and a range of a transmission source port number that specifies a connection source application are set as rules. Furthermore, an identifier for specifying the data transfer protocol may be set as a rule.
  • a method for processing TCP / IP packet data is defined in the action set in the flow entry. For example, information indicating whether or not the received packet data is to be relayed and the transmission destination in the case of relaying are set. Further, as an action, information for instructing to copy or discard the packet data may be set.
  • the flow control unit 11 sets the flow entry corresponding to the instruction from the policy management unit 12 to the OFS 2 specified by the instruction.
  • the policy management unit 12 converts the policy information 130 supplied from the input terminal 4 into a format that is easy to search and records it in the policy information storage unit 13.
  • FIG. 3 is a diagram showing the structure of the policy information 130 recorded in the policy information storage unit 13. Referring to FIG. 3, policy ID 131, authentication ID 132, and policy 133 are associated with each other and recorded as policy information 130 in policy information storage unit 13.
  • Policy ID 131 is an identifier for uniquely identifying policy information 130.
  • the authentication ID 132 is information (example: password) for authenticating whether the policy 133 may be applied to the first packet (the transmission source host or the destination host).
  • the policy 133 is information that defines the network access policy of the host terminal 3.
  • the policy 133 defines conditions for defining a transmission source host or a transmission destination host, a protocol for defining an access method, priority, and the like.
  • FIG. 4 is a diagram showing a specific example of the policy information 130.
  • an identifier “Accounting Department General Staff Policy” that identifies a terminal to which a plurality of policies 133 “Policy 1 to Policy 3,...” Is applied is set as the policy ID 131.
  • An authentication ID 132 “XXXX” used for authentication as to whether to apply the policy 133 is set.
  • policy 1 indicates that packet transfer to IP address 10.11.12.1 using HTTP (Hypertext Transfer Protocol) is permitted and its priority is set to “10”.
  • Policy 2 indicates that packet transfer addressed to IP address 10.11.12.2 using FTP (File Transfer Protocol) is permitted and its priority is set to “20”.
  • Policy 3 indicates that packet forwarding addressed to IP address 10.11.12.0/24 using RDP (Remote Desktop Protocol) is permitted and the priority is set to “30”.
  • the policy management unit 12 compares the authentication information 140 included in the first packet notified from the OFS 2 with the policy information 130 recorded in the policy information storage unit 13 to authenticate the first packet.
  • the host terminal 3 includes the authentication information 140 having the policy ID and the authentication ID in the data area of the packet and transmits the packet to the destination host.
  • the policy management unit 12 searches the policy information storage unit 13 using the policy ID of the authentication information 140 included in the first packet notified from the OFS 2 as a key, and extracts the policy information 130 of the policy ID 131 that matches the policy ID. Then, the policy management unit 12 authenticates the first packet by comparing the authentication ID of the authentication information 140 with the authentication ID 132 in the policy information 130.
  • the policy management unit 12 instructs the flow control unit 11 to set a flow entry for transferring the first packet.
  • the flow control unit 11 sets a flow entry according to the policy 133 according to the header information of the first packet in the OFS 2 on the communication path calculated according to the header information.
  • the policy management unit 12 determines that the authentication has failed. In this case, the policy management unit 12 instructs the flow control unit 11 to set a flow entry for discarding the first packet. In response to the instruction, the flow control unit 11 sets a flow entry in which at least a part of the header information of the first packet is a rule and the packet discard is an action in the OFS 2 that is the notification source of the first packet. It should be noted that the OFS 2 selection method, the communication path calculation method, and the flow entry setting and management method performed by the flow control unit 11 are performed in accordance with the open flow protocol described in Non-Patent Document 1. .
  • FIG. 5A and FIG. 5B show an example of a flow entry set in the switch when the policy management unit 12 successfully authenticates the terminal A (first packet from) and applies the policy 1 shown in FIG.
  • a flow entry set in OFS 2 in which terminal A is connected to port 0/1 and a Web server is connected to port 0/2 will be described.
  • a match field (Match Field) and a match field value (Match Value) are defined as a rule 211 in the flow entry.
  • the action information 212 defines an action and a priority.
  • Policy 1 defines “Allow HTTP connection to 10.11.12.1, priority 10”.
  • the OFS 2 includes a flow entry (FIG. 5A) that defines a relay process for a packet destined for the IP address “10.11.12.1” from the authenticated terminal A, and an IP address “10.11.12.1.
  • a flow entry (FIG. 5B) that defines a relay process for a packet destined for the authenticated terminal A is set from the Web server to which “is assigned.
  • rule 211 includes an input port “0/1”, a source MAC address “terminal A MAC address”, an input VLAN ID “terminal A VLAN ID”, and Ether Type “ 0x0800 (IPv4) ", IP protocol (protocol number) is” 6 (TCP) ", source IP address is” IP address of terminal A “, destination IP address is” 10.11.12.1 “, destination port number “80 (HTTP)” is defined, and “ANY” is defined for the other match fields.
  • the action information 212 defines “output received packet to port“ 0/2 ”” and its priority “10”.
  • the OFS 2 follows the flow entry shown in FIG. 5A, and transmits the packet addressed to the IP address “10.11.12.1” transmitted from the authenticated terminal A by the HTTP communication to the port “ Output to 0/2 ".
  • the rule 211 includes an input port “0/2”, a destination MAC address “terminal A MAC address”, an Ether Type “0x0800 (IPv4)”, and an IP protocol (protocol number). ) Is defined as “6 (TCP)”, the source IP address is “10.11.12.1”, the destination IP address is “IP address of terminal A”, and the destination port number is “80 (HTTP)”. Other match fields are defined as “ANY”.
  • the action information 212 defines “output received packet to port“ 0/1 ”” and its priority “10”.
  • the OFS 2 follows the flow entry shown in FIG. 5B to send a packet addressed to the IP address “IP address of terminal A” transmitted from the Web server with the IP address “10.11.12.1” to the terminal. Output to port “0/1” connected to A.
  • the flow entry according to the policy corresponding to the first packet (host terminal 3) that has been successfully authenticated is set in OFS2.
  • the setting of the flow entry for the policy 1 has been described.
  • the corresponding flow entry is set.
  • the OFS 2 includes a flow table 21 in which a flow entry is set by the OFC 1 and a packet control unit 22 that forwards or discards a received packet according to the flow entry set in the flow table 21.
  • the setting of the flow entry for the OFS 2 is performed by a Flow-mod request from the OFC 1 as in the conventional case.
  • the packet control unit 22 transmits the received packet to the OFC 1 as a first packet.
  • the OFS 2 transmits the authentication information 140 transmitted from the host terminal 3 to the OFC 1.
  • the packet control unit 22 performs processing on the packet according to the action of the flow entry.
  • an action for the received packet there are, for example, transfer to another OFS 2 or host terminal 3 and packet discard. 2 shows only the end switches connected to the two host terminals 3, but as in FIG. 1, it is connected to the other host terminals 3 via other OFS 2. Needless to say.
  • the OFS 2 is preferably a physical switch, but may be realized by a virtual switch as long as it operates according to the OpenFlow protocol.
  • the host terminal 3 is preferably a computer device (physical server) including a CPU and RAM (not shown), and includes a storage device (not shown) in which authentication information 140 is recorded. Alternatively, the host terminal 3 may be realized by a virtual machine. The host terminal 3 transmits the authentication information 140 held by itself in the packet data area. Other configurations are the same as those of a conventional computer device or virtual machine capable of packet communication. Although only two host terminals 3 are shown in FIG. 2, it goes without saying that this system includes other host terminals 3 connected via a plurality of OFSs 2 as in FIG.
  • FIG. 2 only one host terminal 3 is provided in the system, but the present invention is not limited to this, and a plurality of host terminals 3 are usually provided.
  • the input terminal 4 is a computer device provided with a policy setting UI (User Interface) 41.
  • the policy setting UI 41 is a user interface for setting policy information in the OFC 1, and outputs an instruction from the user to the policy management unit 12 of the OFC 1.
  • arbitrary policy information 130 is set in OFC1.
  • the setting method of the policy information 130 is not limited to this, and the policy information 130 may be set using a portable recording medium.
  • an output device exemplified by a monitor or a printer may be connected to the OFC 1.
  • the policy management unit 12 can identify the OFS 2 that is the notification source of the packet and the host terminal 3 that is the transmission source based on the header information (the transmission source port number and the transmission source MAC address) of the first packet that has failed authentication. By outputting this identification result so as to be visible through the output device, it is possible to identify not only unauthorized access monitoring but also an unauthorized access source.
  • the authentication of the packet (access) is performed on the controller side using the first packet according to the OpenFlow protocol, and the packet transfer operation ( Access destination) is controlled.
  • the authentication information inserted in the packet by the host terminal 3 is authenticated by the control OFC1
  • the communication from the host terminal 3 having a different network access policy can be centrally controlled by the OFC1.
  • the host terminal 3 to which the policy 133 is applied can be specified by the authentication ID 132 assigned for each policy information 130. Therefore, it is not necessary to set a policy for each IP address or MAC address, and it is possible to easily change or manage the policy.
  • OFC1 controls access by packet authentication using the first packet
  • OFS2 at the end of the host side that is, unauthorized access (example: intrusion of packet with spoofed address) at the network entrance is blocked. can do.
  • FIG. 6 is a sequence diagram showing an example of policy setting and communication operation in the computer system according to the present invention.
  • FIG. 7 is a flowchart showing an example of a policy control operation by the OFC 1 according to the present invention.
  • policy information 130 is recorded in advance in policy information storage unit 13 of OFC 1 from input terminal 4 (steps S11 and S12). Specifically, the policy information 130 given from the input terminal 4 is supplied to the policy management unit 12, converted into a database, and stored in the policy information storage unit 13. As a result, the policy information storage unit 13 is updated with the latest policy information 130. Here, the policy information storage unit 13 can always be searched by the policy management unit 12. In addition, the updating of the policy information storage unit 13 in steps S11 and S12 may be performed during operation of the system.
  • the host terminal 3 transmits a packet including the encrypted policy ID and the authentication information 140 assigned with the authentication ID into the network (step S21). At this time, the packet from the host terminal 3 is transferred to the OFS 2.
  • the OFS 2 determines whether or not the header information of the packet received from the host terminal 3 matches (matches) the rule of the flow entry set in the flow table 21.
  • the received packet is processed (for example, transferred to another OFS 2 or discarded) according to the action to be performed (not shown).
  • the OFS 2 extracts the header information (transmission / reception IP address, MAC address, port number, protocol, etc.) of the packet received from the host terminal 3.
  • the OFS 2 compares the header information with the flow table 21 and confirms whether there is a matching flow entry. If there is a matching flow entry, the OFS 2 executes the action (transfer or discard) described in the flow entry and ends the transfer process.
  • the OFS 2 notifies the policy management unit 12 of the OFC 1 as the received packet. (Step S22, PacketIN).
  • the policy management unit 12 that is PacketIN authenticates the first packet and instructs the flow control unit 11 on a packet processing method according to the authentication result (steps S23 and S24).
  • the flow control unit 11 sets a flow entry according to the instruction from the policy management unit 12 in the flow table 21 of the OFS 2 to be controlled (step S25).
  • OFS2 performs the process according to the flow entry newly set to the flow table 21 with respect to the packet received in step S21.
  • step S23 to S25 in FIG. 6 the details of the operation of the policy management unit 12 that has received the first packet (steps S23 to S25 in FIG. 6) will be described.
  • the OFC 1 analyzes the data area of the first packet received from the OFS 2 and acquires the authentication information 140 (policy ID and authentication ID) (step S101). Subsequently, the OFC 1 performs authentication by comparing the acquired authentication information 140 (policy ID and authentication ID) with the policy information 130 stored in the policy information storage unit 13 (step S102). Specifically, the policy management unit 12 searches the policy information storage unit 13 for policy information 130 that matches the authentication information 140 (policy ID and authentication ID). At this time, if the policy information 130 matching the authentication information 140 is recorded in the policy information storage unit 13, the policy management unit 12 determines that the authentication is successful, and if not recorded, determines that the authentication fails (step S102). ).
  • step S102 when the authentication is successful, the policy management unit 12 acquires the policy information 130 corresponding to the policy ID in the authentication information 140 from the policy information storage unit 13 (step S103).
  • the OFC 1 sets a flow entry corresponding to the acquired policy information 130 in the OFS 2 to be controlled (step S104).
  • the policy management unit 12 refers to the policy information 130 corresponding to the authentication information 140 that has been successfully authenticated, and sets the flow entry based on the policy 133 corresponding to the header information of the first packet. To instruct. At this time, as in the conventional OpenFlow system, the communication path is calculated and the OFS 2 to be set as the flow entry is designated.
  • the flow control unit 11 sets a flow entry corresponding to an instruction from the policy management unit 12 in the designated OFS 2 by a Flow-mod request via the secure channel.
  • a flow entry including a rule including the source MAC address and an action corresponding to the policy 133 is set.
  • the communication of the transmission source host of the packet authenticated by OFC1 (that is, the authenticated host terminal) is controlled based on the policy set in advance in OFC1.
  • a destination address and a destination port number may be defined as a flow entry rule set here. Thereby, control according to the access destination of the authenticated host terminal is also possible.
  • the policy management unit 12 acquires the policy information 130 shown in FIG. 4 according to the authentication information 140, and the source packet MAC address: “0000.000.0001” and the destination IP address in the header information of the first packet. : Setting of flow entry when “10.11.12.1” and protocol: “HTTP” are included will be described. In this case, the policy management unit 12 instructs the setting of the flow entry according to the policy 1 shown in FIG. As a result, the flow control unit 11 sets the policy management transmission source MAC address as “0000.000.0001”, the destination IP address as “10.11.12.1”, and the protocol as “HTTP”. A flow entry whose action is to transfer a packet to a port to which “10.11.12.1” is connected is set in OFS2 on the communication path. Further, the flow control unit 11 sets the priority when the flow entry is applied in the OFS 2 to “10”.
  • the OFS 2 in which the flow table 21 has been updated performs packet control according to the flow table.
  • the OFC 1 sets a flow entry in which at least part of the header information of the first packet is a rule and packet discard is defined as an action as a flow table of the OFS 2 that is the notification source of the first packet. 21 is set (step S105).
  • a rule including a transmission source MAC address is defined, and a flow entry having packet discard as an action is set.
  • communication of the transmission source host of the packet that is not authenticated by the OFC 1 (that is, the host terminal that is not authenticated) is blocked at the OFS 2 at the entrance of the network.
  • a destination address and a destination port number may be specified as a flow entry rule that specifies packet discard. This makes it possible to restrict access for each access destination of an unauthenticated host terminal.
  • the OFC 1 receives and authenticates the authentication information 140 from the host terminal 3 by notification of the first packet, and sets the rule that the transmission source is the host terminal, and performs an action according to the policy. Set the specified flow entry. For this reason, in the system according to the present invention, it is possible to control the policy for each terminal by providing the authentication information 140 in advance to the host terminal 3 to which the policy is applied. That is, in the present invention, it is not necessary to prepare a configuration (policy information) for applying a policy for each host terminal. For example, in a network to which tens of thousands of PCs are connected, tens of thousands of configurations are necessary to design flexible policy control. However, in the present invention, configuration for each PC is not necessary, and design is easy. It can be operated.
  • authentication using authentication information is performed in the first connection from the host terminal 3 to the network. For this reason, since unauthorized access due to IP address or MAC address spoofing can be blocked at the initial stage of access, the safety of the OpenFlow system can be improved.
  • the OFS used in the computer system according to the present invention only needs to follow a conventional open flow protocol (for example, a protocol defined by OpenFlow Switch Specification version 1.0), and only the functions of the OFC and the host terminal are performed as described above.
  • a conventional open flow protocol for example, a protocol defined by OpenFlow Switch Specification version 1.0
  • network policy control and prevention of unauthorized access can be realized. That is, according to the present invention, in the existing OpenFlow system, the above-described network policy control and prevention of unauthorized access can be realized by changing only the functions of the OFC and the host terminal. For this reason, functions such as network policy control can be easily added to an existing system at low cost.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　本発明によるコンピュータシステムは、コントローラと、コントローラによって設定されたフローエントリに適合する受信パケットに対し、フローエントリで規定された中継動作を行うスイッチとを具備する。スイッチは、自身に設定されたフローエントリに適合しない受信パケットを、コントローラに送信する。コントローラは、受信パケットに含まれる認証情報を参照して当該受信パケットを認証する。ここで、コントローラは、正当と判断した受信パケットのヘッダ情報のうち、受信パケットの送信元を特定する情報を含むパケットに対する中継動作を規定したフローエントリを、スイッチに設定する。これにより、オープンフロープロトコル環境のコンピュータシステムにおけるネットワークアクセスポリシ制御が容易となる。

Description

コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法
　本発明は、コンピュータシステム、コントローラ、ネットワークアクセスポリシ制御方法、及びプログラムに関し、特に、オープンフロー（オープンフロー）技術を利用したコンピュータシステム、及びネットワークポリシ制御方法に関する。
　ネットワークを利用した情報システムの普及により、ＩＰ網などのネットワークは大規模かつ複雑になり、加えて高い柔軟性が求められている。このため、ネットワーク機器の設定は複雑になり、さらに設定すべき台数も膨大な数になっているため、ネットワークの設計管理の負担が大きくなっている。
　例えば、広く普及しているパーソナルコンピュータ（以下、ＰＣと称す）に対するアクセス制御方法の１つに、ＰＣに隣接する末端のＬ２スイッチにＭＡＣベースＶＬＡＮ（Ｖｉｒｔｕａｌ　Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）を作成し、指定したＭＡＣアドレスを持つＰＣからの接続のみを許可するという方法がある。しかしこの方法では、数十万台のＰＣが接続される環境において、数千台のＬ２スイッチと数十万のＭＡＣアドレスの追加や削除を日々メンテナンスする必要があり、管理者に大きな負担がかかってしまう。
　このような問題を解決するため記述として、ＯｐｅｎＦｌｏｗ　Ｃｏｎｓｏｒｔｉｕｍ（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／）が提案しているオープンフロー技術がある（非特許文献１参照）。この技術に対応したオープンフローシステムでは、オープンフローコントローラ（ＯＦＣ：Ｏｐｅｎ　Ｆｌｏｗ　Ｃｏｎｔｒｏｌｌｅｒ）と呼ばれるサーバが、オープンフロースイッチ（ＯＦＳ：Ｏｐｅｎ　Ｆｌｏｗ　Ｓｗｉｔｃｈ）と呼ばれるネットワークスイッチを一元的に設定管理することが可能である。このため、ＯＦＣに対し、ＯｐｅｎＦｌｏｗシステム全体のネットワークアクセスポリシ（以下、ポリシと称す）を設定することで、全てのＯＦＳの制御が可能となる。
　図１を参照して、オープンフロープロトコルを利用したコンピュータシステムの構成及び動作を説明する。図１を参照して、本発明の関連技術によるコンピュータシステムは、オープンフローコントローラ１００（以下、ＯＦＣ１００と称す）、複数のオープンスイッチ２－１～２－ｎ（以下、ＯＦＳ２－１～２－ｎと称す）を有するスイッチ群２０、複数のホストコンピュータ３－１～３－ｉ（以下、ホスト３－１～３－ｉと称す）を有するホスト群３０を具備する。ただし、ｎ、ｉは２以上の自然数である。以下、ＯＦＳ２－１～２－ｎを区別せずに総称する場合はＯＦＳ２と称し、ホスト３－１～３－ｉを区別せずに総称する場合はホスト３と称して説明する。
　ＯＦＣ１００は、ホスト３間の通信経路の設定や、経路上におけるＯＦＳ２に対する転送動作（中継動作）等の設定を行う。この際、ＯＦＣ１００は、ＯＦＳ２が保持するフローテーブルに、フロー（パケットデータ）を特定するルールと、当該フローに対する動作を規定するアクションとを対応付けたフローエントリを設定する。通信経路上のＯＦＳ２は、ＯＦＣ１００によって設定されたフローエントリに従って受信パケットデータの転送先を決定し、転送処理を行う。これにより、ホスト３は、ＯＦＣ１００によって設定された通信経路を利用して他のホスト３との間でパケットデータの送受信が可能となる。すなわち、オープンフローを利用したコンピュータシステムでは、通信経路を設定するＯＦＣ１００と、転送処理を行うＯＦＳ２とが分離されているため、システム全体の通信を一元的に制御及び管理することが可能となる。
　図１を参照して、ホスト３－１からホスト３－ｉへパケット送信を行う場合、ＯＦＳ２－１はホスト３－１から受け取ったパケット内にある送信先情報（ヘッダ情報：例えば宛先ＭＡＣアドレスや宛先ＩＰアドレス）を参照し、ＯＦＳ２－１内部で保持しているフローテーブルから当該ヘッダ情報に適合するエントリを探す。フローテーブルに設定されるエントリの内容については、例えば非特許文献１で規定されている。
　ＯＦＳ２－１は、受信パケットデータについてのエントリがフローテーブルに記載されていない場合、当該パケットデータ（以下、ファーストパケットと称す）、又はファーストパケットのヘッダ情報（あるいはファーストパケットそのもの）をＯＦＣ１００に転送する。ＯＦＳ２－１からファーストパケットを受け取ったＯＦＣ１００はパケット内に含まれている送信元ホストや送信先ホストという情報を元に経路４０を決定する。
　ＯＦＣ１００は、経路４０上の全てのＯＦＳ２に対して、パケットの転送先を規定するフローエントリの設定を指示する（フローテーブル更新指示を発行）。経路４０上のＯＦＳ２は、フローテーブル更新指示に応じて、自身で管理しているフローテーブルを更新する。この後ＯＦＳ２は、更新したフローテーブルに従い、パケットの転送を開始することで、ＯＦＣ１００が決定した経路４０を経由して、宛先のホスト３－ｉへパケットが到達するようになる。
　しかし、上記のＯｐｅｎＦｌｏｗ技術では、ＯｐｅｎＦｌｏｗシステムに接続するＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）等のホスト端末を、ＩＰアドレスやＭＡＣアドレスで識別している。このため、数十万台のＰＣが接続されるような環境では、数十万のＩＰアドレスやＭＡＣアドレスの１つ１つに対してポリシを設定する必要があり、大きな負担となっている。又、ＩＰアドレスやＭＡＣアドレスは偽装することが可能であるため、不正アクセスの危険があり対策が求められている。
　ポリシ制御に関するシステムが、例えば特開２００５－４５４９に記載されている（特許文献１参照）。特許文献１には、自身が保持するセキュリティポリシに基づいてネットワーク機器やアプリケーションサーバへのアクセス制御機能を有するポリシサーバが記載されているが、オープンフロー環境のシステムにおけるポリシ制御については開示されていない。
特開２００５－４５４９
ＯｐｅｎＦｌｏｗ　Ｓｗｉｔｃｈ　Ｓｐｅｃｉｆｉｃａｔｉｏｎ　Ｖｅｒｓｉｏｎ　１．０．０　（Ｗｉｒｅ　Ｐｒｏｔｏｃｏｌ　０ｘ０１）　Ｄｅｃｅｍｂｅｒ　３１，　２００９
　以上のことから、本発明による目的は、ネットワークアクセスポリシ制御を容易に行うことが可能なオープンフロープロトコル環境のコンピュータシステムを提供することにある。
　又、本発明による他の目的は、オープンフロープロトコル環境のネットワークにおける不正アクセスに対するセキュリティ強度を向上させることにある。
　一の観点において、本発明によるコンピュータシステムは、コントローラと、コントローラによって設定されたフローエントリに適合する受信パケットに対し、フローエントリで規定された中継動作を行うスイッチとを具備する。スイッチは、自身に設定されたフローエントリに適合しない受信パケットを、コントローラに送信する。コントローラは、受信パケットに含まれる認証情報を参照して当該受信パケットを認証する。ここで、コントローラは、正当と判断した受信パケットのヘッダ情報のうち、受信パケットの送信元を特定する情報を含むパケットに対する中継動作を規定したフローエントリを、スイッチに設定する。
　他の観点において、本発明によるポリシ制御方法は、スイッチに設定されたフローエントリに適合しない受信パケットを当該スイッチからコントローラが受信するステップと、コントローラが、受信パケットに含まれる認証情報を参照して受信パケットを認証するステップと、コントローラが、認証において正当と判断した受信パケットのヘッダ情報のうち、受信パケットの送信元を特定する情報を含むパケットに対する中継動作を規定したフローエントリを、スイッチに設定するステップとを具備する。
　更に他の観点おいて、上述のポリシ制御方法は、コンピュータによって実行されるプログラムによって実現されることが好ましい。
　本発明によれば、オープンフロープロトコル環境のコンピュータシステムにおけるネットワークアクセスポリシ制御を容易に行うことが可能となる。
　又、詐称アドレスを利用した不正アクセスや妨害に対するセキュリティ強度を向上させることができる。
　上記発明の目的、効果、特徴は、添付される図面と連携して実施の形態の記述から、より明らかになる。
図１は、オープンフロープロトコルを利用したコンピュータシステムの構成の一例を示す図である。 図２は、本発明によるコンピュータシステムの構成の一例を示す図である。 図３は、本発明に係るポリシ情報の一例を示す図である。 図４は、本発明に係るポリシ情報の具体例を示す図である。 図５Ａは、本発明に係るフローエントリの具体例を示す図である。 図５Ｂは、本発明に係るフローエントリの具体例を示す図である。 図６は、本発明によるコンピュータシステムにおけるポリシ設定及び通信動作の一例を示すシーケンス図である。 図７は、本発明によるオープンフローコントローラよるポリシ制御動作の一例を示すフロー図である。
　以下、添付図面を参照しながら本発明の実施の形態を説明する。図面において同一、又は類似の参照符号は、同一、類似、又は等価な構成要素を示す。
　（コンピュータシステムの構成）
　本発明によるコンピュータシステムは、図１に示すシステムと同様にオープンフロー技術を利用して通信経路の構築及びパケットデータの転送制御を行う。図２は、本発明によるコンピュータシステムの構成の一例を示す図である。本発明によるコンピュータシステムは、図１に示すシステムとは、オープンフローコントローラ（ＯＦＣ）とホスト端末（例えばＰＣ）の構成が相違し、他の構成（例えばＯＦＳ）は同様である。
　図２を参照して、本発明によるコンピュータシステムの第１の実施の形態における構成を説明する。図２を参照して、本発明によるコンピュータシステムは、オープンフローコントローラ１（ＯｐｅｎＦｌｏｗ　Ｃｏｎｔｒｏｌｌｅｒ：以下、ＯＦＣ１と称す）、複数のオープンフロースイッチ２（Ｏｐｅｎ　Ｆｌｏｗ　Ｓｗｉｔｃｈ：以下、ＯＦＳ２と称す）、複数のホスト端末３（例示：ＰＣ）、入力端末４を具備する。
　ＯＦＣ１は、セキュアチャネルネットワークを介して複数のＯＦＳ２に接続され、当該ネットワークを介してＯＦＳ２のフローテーブル２１を更新する。これにより、ＯＦＳ２を介して接続される複数のホスト端末３間の通信は制御される。ＯＦＳ２は、複数のホスト端末３間に設けられ、ホスト端末３や図示しない他のネットワークから転送されるパケットを、フローテーブル２１に設定されたフローエントリに従った転送先に中継する。
　ＯＦＣ１は、オープンフロー技術により、システム内におけるパケット転送に係る通信経路の構築及びパケット転送処理を制御する。ここで、オープンフロー技術とは、ＯＦＣ１が、ルーティングポリシ（フローエントリ：フロー＋アクション）に従い、マルチレイヤ及びフロー単位の経路情報を通信経路上のＯＦＳ２やＯＦＶＳ３３に設定し、経路制御やノード制御を行う技術を示す（詳細は、非特許文献１を参照）。これにより、経路制御機能がルータやスイッチから分離され、コントローラによる集中制御によって最適なルーティング、トラフィック管理が可能となる。オープンフロー技術が適用されるＯＦＳ２やＯＦＶＳ３３は、従来のルータやスイッチのようにパケットやフレームの単位ではなく、ＥＮＤ２ＥＮＤのフローとして通信を取り扱う。
　図２を参照して、本発明によるＯＦＣ１の構成の詳細を説明する。ＯＦＣ１は、ＣＰＵ及び記憶装置を備えるコンピュータによって実現されることが好適である。ＯＦＣ１では、図示しないＣＰＵが記憶装置に格納されたプログラムを実行することで、図２に示すフロー制御部１１及びポリシ管理部１２の各機能が実現される。
　フロー制御部１１は、オープンフロープロトコルに従ったスイッチ（ここではＯＦＳ２）に対してフローエントリ（ルール＋アクション）の設定又は削除を行う。これにより、ＯＦＳ２は、受信パケットのヘッダ情報に応じたルールに対応するアクション（例えばパケットデータの中継や破棄）を実行する。
　フローエントリに設定されるルールには、例えば、ＴＣＰ／ＩＰのパケットデータにおけるヘッダ情報に含まれる、ＯＳＩ（Ｏｐｅｎ　Ｓｙｓｔｅｍｓ　Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ１からレイヤ４のアドレスや識別子の組み合わせが規定される。例えば、レイヤ１の物理ポート、レイヤ２のＭＡＣアドレス、ＶＬＡＮタグ（ＶＬＡＮ　ｉｄ）、レイヤ３のＩＰアドレス、レイヤ４のポート番号のそれぞれの組み合わせがルールとして設定される。尚、ＶＬＡＮタグには、優先順位（ＶＬＡＮ　Ｐｒｉｏｒｉｔｙ）が付与されていても良い。
　ここで、フロー制御部１１によってルールに設定されるポート番号等の識別子やアドレス等は、所定の範囲で設定されても構わない。又、宛先や送信元のアドレス等を区別してルールとして設定されルことが好ましい。例えば、ＭＡＣ宛先アドレスの範囲や、接続先のアプリケーションを特定する宛先ポート番号の範囲、接続元のアプリケーションを特定する送信元ポート番号の範囲がルールとして設定される。更に、データ転送プロトコルを特定する識別子をルールとして設定してもよい。
　フローエントリに設定されるアクションには、例えばＴＣＰ／ＩＰのパケットデータを処理する方法が規定される。例えば、受信パケットデータを中継するか否かを示す情報や、中継する場合はその送信先が設定される。又、アクションとして、パケットデータの複製や、破棄することを指示する情報が設定されてもよい。
　本発明に係るフロー制御部１１は、ポリシ管理部１２からの指示に応じたフローエントリを、当該指示によって指定されたＯＦＳ２に設定する。
　ポリシ管理部１２は、入力端末４から供給されたポリシ情報１３０を、検索し易い形式に変換してポリシ情報記憶部１３に記録する。図３は、ポリシ情報記憶部１３に記録されるポリシ情報１３０の構造を示す図である。図３を参照して、ポリシ情報記憶部１３には、ポリシＩＤ１３１、認証ＩＤ１３２、ポリシ１３３が対応付けられてポリシ情報１３０として記録される。
　ポリシＩＤ１３１は、ポリシ情報１３０を一意に特定するための識別子である。認証ＩＤ１３２は、ファーストパケット（の送信元ホスト又は宛先ホスト）に対しポリシ１３３を適用してよいかを認証するための情報（例示：パスワード）である。ポリシ１３３は、ホスト端末３のネットワークアクセスポリシを規定する情報である。ポリシ１３３には、送信元ホスト又は送信先ホストを規定する条件、アクセス方法を規定するプロトコル、優先度等が規定される。
　図４は、ポリシ情報１３０の具体例を示す図である。図３に示すポリシ情報１３０は、ポリシＩＤ１３１として、複数のポリシ１３３“ポリシ１～ポリシ３、・・・”の適用対象となる端末を特定する識別子“経理部一般職員用ポリシ”が設定され、当該ポリシ１３３を適用するか否かの認証に用いられる認証ＩＤ１３２“ＸＸＸＸＸ”が設定される。ここで、ポリシ１は、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）を利用したＩＰアドレス１０．１１．１２．１宛のパケット転送を許可するとともにその優先度を“１０”とすることを示す。ポリシ２は、ＦＴＰ（Ｆｉｌｅ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ　）を利用したＩＰアドレス１０．１１．１２．２宛のパケット転送を許可するとともにその優先度を“２０”とすることを示す。ポリシ３は、ＲＤＰ（Ｒｅｍｏｔｅ　Ｄｅｓｋｔｏｐ　Ｐｒｏｔｏｃｏｌ　）を利用したＩＰアドレス１０．１１．１２．０／２４宛のパケット転送を許可するとともにその優先度を“３０”とすることを示す。
　ポリシ管理部１２は、ＯＦＳ２から通知されたファーストパケットに含まれる認証情報１４０とポリシ情報記憶部１３に記録されたポリシ情報１３０とを照合し、ファーストパケットの認証を行う。
　詳細には、ホスト端末３は、ポリシＩＤと認証ＩＤを有する認証情報１４０を、パケットのデータ領域に含めて宛先ホストに送信する。ポリシ管理部１２は、ＯＦＳ２から通知されたファーストパケットに含まれる認証情報１４０のポリシＩＤをキーとしてポリシ情報記憶部１３を検索し、当該ポリシＩＤに一致するポリシＩＤ１３１のポリシ情報１３０を抽出する。そして、ポリシ管理部１２は、認証情報１４０の認証ＩＤとポリシ情報１３０内の認証ＩＤ１３２とを照合することで、当該ファーストパケットの認証を行う。
　ポリシ管理部１２は、ファーストパケットの認証に成功（認証ＩＤが一致）すると、当該ファーストパケットを転送するためのフローエントリの設定指示をフロー制御部１１に指示する。この場合、フロー制御部１１は、当該ファーストパケットのヘッダ情報に応じたポリシ１３３に従ったフローエントリを、当該ヘッダ情報に応じて算出した通信経路上のＯＦＳ２に設定する。
　一方、ファーストパケットに含まれるポリシＩＤに一致するポリシＩＤ１３１がポリシ情報記憶部１３に登録されていない場合や、認証情報ＩＤが一致しない場合、ポリシ管理部１２は認証失敗と判定する。この場合、ポリシ管理部１２は、当該ファーストパケットを破棄するためのフローエントリの設定をフロー制御部１１に指示する。フロー制御部１１は、当該指示に応じて、当該ファーストパケットのヘッダ情報の少なくとも一部をルールとし、パケット破棄をアクションとするフローエントリを、ファーストパケットの通知元のＯＦＳ２に設定する。尚、フローエントリの設定対象となるＯＦＳ２の選択方法、通信経路の算出方法、フロー制御部１１によるフローエントリの設定及び管理方法は、非特許文献１に記載のオープンフロープロトコルに準拠して行われる。
　ポリシ管理部１２によって端末Ａ（からのファーストパケット）の認証が成功し、図４に示すポリシ１を適用するときのスイッチに設定するフローエントリの一例を図５Ａ及び図５Ｂに示す。ここでは、ポート０／１に端末Ａが接続され、ポート０／２にＷｅｂサーバが接続されたＯＦＳ２に設定されるフローエントリについて説明する。
　図５Ａ及び図５Ｂを参照して、フローエントリには、ルール２１１として、マッチフィールド（Ｍａｔｃｈ　Ｆｉｅｌｄ）とマッチフィールドの値（Ｍａｔｃｈ　Ｖａｌｕｅ）とが規定される。又、アクション情報２１２としてアクション（Ａｃｔｉｏｎ）と優先度（Ｐｒｉｏｒｉｔｙ）が規定される。ポリシ１には、“１０．１１．１２．１へのＨＴＴＰ接続を許可、優先度１０”が規定されている。ＯＦＳ２には、認証された端末ＡからＩＰアドレス“１０．１１．１２．１”を宛先としたパケットに対する中継処理を規定するフローエントリ（図５Ａ）と、ＩＰアドレス“１０．１１．１２．１”が割り当てられたＷｅｂサーバから、認証された端末Ａを宛先としたパケットに対する中継処理を規定するフローエントリ（図５Ｂ）が設定される。
　図５Ａを参照して、ルール２１１には、入力ポートが“０/１”、送信元ＭＡＣアドレスが“端末ＡのＭＡＣアドレス”、入力ＶＬＡＮ　ＩＤが“端末ＡのＶＬＡＮ　ＩＤ”、Ｅｔｈｅｒ　Ｔｙｐｅが“０ｘ０８００（ＩＰｖ４）”、ＩＰ　プロトコル（プロトコル番号）が“６（ＴＣＰ）”、送信元ＩＰアドレスが“端末ＡのＩＰアドレス”、宛先ＩＰアドレスが“１０．１１．１２．１”、宛先ポート番号が“８０（ＨＴＴＰ）”が規定され、他のマッチフィールドは“ＡＮＹ”が規定される。又、アクション情報２１２には、“受信パケットをポート“０／２”へ出力する”ことと、その優先度“１０”が規定される。
　ＯＦＳ２は、図５Ａに示すフローエントリに従うことで、認証された端末ＡからＨＴＴＰ通信により送信された、ＩＰアドレス“１０．１１．１２．１”宛てのパケットを、Ｗｅｂサーバに接続されたポート“０／２”に出力する。
　又、図５Ｂを参照して、ルール２１１には、入力ポートが“０/２”、宛先ＭＡＣアドレスが“端末ＡのＭＡＣアドレス”、Ｅｔｈｅｒ　Ｔｙｐｅが“０ｘ０８００（ＩＰｖ４）”、ＩＰ　プロトコル（プロトコル番号）が“６（ＴＣＰ）”、送信元ＩＰアドレスが“１０．１１．１２．１”、宛先ＩＰアドレスが“端末ＡのＩＰアドレス”、宛先ポート番号が“８０（ＨＴＴＰ）”が規定され、他のマッチフィールドは“ＡＮＹ”が規定される。又、アクション情報２１２には、“受信パケットをポート“０／１”へ出力する”ことと、その優先度“１０”が規定される。
　ＯＦＳ２は、図５Ｂに示すフローエントリに従うことで、ＩＰアドレス“１０．１１．１２．１”のＷｅｂサーバからＨＴＴＰ通信により送信された、ＩＰアドレス“端末ＡのＩＰアドレス”宛てのパケットを、端末Ａに接続されたポート“０／１”に出力する。
　このように、本発明では、認証に成功したファーストパケット（ホスト端末３）に対応するポリシに従ったフローエントリが、ＯＦＳ２に設定される。尚、上述の一例では、ポリシ１に対するフローエントリの設定について説明したが、認証されるポリシが複数ある場合は、それぞれに対応するフローエントリが設定される。
　ＯＦＳ２は、ＯＦＣ１によってフローエントリが設定されるフローテーブル２１と、フローテーブル２１に設定されたフローエントリに従って受信パケットの転送や破棄を行うパケット制御部２２を備える。ＯＦＳ２に対するフローエントリの設定は、従来と同様にＯＦＣ１からのＦｌｏｗ－ｍｏｄ要求によって行われる。パケット制御部２２は、受信パケットのヘッダ情報に適合するフローエントリ（ルール）がフローテーブル２１に無い場合、当該受信パケットをファーストパケットとしてＯＦＣ１に送信する。これにより、ＯＦＳ２は、ホスト端末３から送信された認証情報１４０をＯＦＣ１に送信することとなる。一方、パケット制御部２２は、受信パケットのヘッダ情報に適合するフローエントリがある場合、当該フローエントリのアクションに従った処理を当該パケットに対して行う。受信パケットに対するアクションとして、例えば、他のＯＦＳ２やホスト端末３への転送や、パケット破棄がある。尚、図２には、２つのホスト端末３に接続されたエンドスイッチのみが図示されているが、図１と同様に、他のＯＦＳ２を介して他のホスト端末３に接続されていることは言うまでもない。又、ＯＦＳ２は物理スイッチが好適であるが、オープンフロープロトコルに従って動作すれば仮想スイッチによって実現されても構わない。
　ホスト端末３は、図示しないＣＰＵやＲＡＭを備えるコンピュータ装置（物理サーバ）が好適であり、認証情報１４０が記録された記憶装置（図示なし）を備える。あるいは、ホスト端末３は、仮想マシンにより実現されても構わない。ホスト端末３は自身が保有する認証情報１４０をパケットのデータ領域に含めて送信する。その他の構成は、パケット通信可能な従来のコンピュータ装置や仮想マシンと同様である。尚、図２には、２つのホスト端末３のみが記載されているが、本システムは、図１と同様に複数のＯＦＳ２を介して接続された他のホスト端末３を備えることは言うまでもない。
　図２には、システム内にホスト端末３が１つしか設けられていないが、これに限らず、通常、複数のホスト端末３が設けられる。
　入力端末４は、ポリシ設定ＵＩ（Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）４１を備えるコンピュータ装置である。ポリシ設定ＵＩ４１は、ＯＦＣ１にポリシ情報を設定するためのユーザインターフェースであり、ユーザからの指示をＯＦＣ１のポリシ管理部１２に出力する。これにより、ＯＦＣ１に任意のポリシ情報１３０が設定される。尚、ポリシ情報１３０の設定方法はこれに限らず、携帯可能な記録媒体を利用して設定されても良い。
　更に、ＯＦＣ１にはモニタやプリンタに例示される出力装置が接続されていても良い。ポリシ管理部１２は、認証に失敗しファーストパケットのヘッダ情報（送信元ポート番号や送信元ＭＡＣアドレス）に基づいて当該パケットの通知元のＯＦＳ２や送信元のホスト端末３を特定することができる。この特定結果を、出力装置を介して視認可能に出力することで、不正アクセスの監視のみならず不正アクセス元を特定することが可能となる。
　以上のような構成により、本発明によるコンピュータシステムでは、オープンフロープロトコルに従ったファーストパケットを利用して、コントローラ側でパケット（アクセス）の認証が行われ、認証結果に応じてパケットの転送動作（アクセス先）が制御される。本発明では、ホスト端末３によってパケットに挿入された認証情報を、フローを制御ＯＦＣ１において認証しているため、ネットワークアクセスポリシが異なるホスト端末３からの通信をＯＦＣ１において一元的に制御することができる。又、本発明では、ポリシ情報１３０毎に付与した認証ＩＤ１３２によってポリシ１３３を適用するホスト端末３を特定できる。このため、ＩＰアドレスやＭＡＣアドレスの１つ１つに対してポリシを設定する必要がなく、容易にポリシの変更や管理を行うことが可能となる。更に、本発明によるＯＦＣ１は、ファーストパケットを利用したパケット認証によってアクセス制御しているため、ホスト側の末端のＯＦＳ２、すなわちネットワークの入口において不正アクセス（例示：アドレスを詐称したパケットの侵入）を遮断することができる。
　（動作）
　次に、図６及び図７を参照して、本発明によるコンピュータシステムにおける通信動作及びアクセス制御動作の詳細を説明する。
　図６は、本発明によるコンピュータシステムにおけるポリシ設定及び通信動作の一例を示すシーケンス図である。図７は、本発明によるＯＦＣ１によるポリシ制御動作の一例を示すフロー図である。
　図６を参照して、先ず、コンピュータシステムの起動に際し、予め、入力端末４からポリシ情報１３０がＯＦＣ１のポリシ情報記憶部１３に記録される（ステップＳ１１、Ｓ１２）。詳細には、入力端末４から与えられたポリシ情報１３０は、ポリシ管理部１２に供給され、データベース化されてポリシ情報記憶部１３に格納される。これにより、ポリシ情報記憶部１３は、最新のポリシ情報１３０によって更新される。ここで、ポリシ情報記憶部１３は、ポリシ管理部１２によって常時検索が可能である。又、ステップＳ１１、Ｓ１２におけるポリシ情報記憶部１３の更新は、システムの運用中に行われても良い。
　続いて、ホスト端末３からシステム内にパケット転送が行われたときのアクセス制御及び通信動作について説明する。ホスト端末３は、暗号化したポリシＩＤと認証ＩＤを付与した認証情報１４０を含めたパケットを、ネットワーク内に送信する（ステップＳ２１）。このとき、ホスト端末３からのパケットはＯＦＳ２に転送される。
　ＯＦＳ２は、ホスト端末３から受信したパケットのヘッダ情報が、フローテーブル２１に設定されたフローエントリのルールに適合（一致）するか否かを判定し、適合するルールがある場合、当該ルールに対応するアクションに従い受信パケットを処理（例えば、他のＯＦＳ２への転送や破棄）する（図示なし）。詳細には、ＯＦＳ２は、ホスト端末３から受信したパケットのヘッダ情報（送受信ＩＰアドレス、ＭＡＣアドレス、ポート番号、又はプロトコル等）を抽出する。そしてＯＦＳ２は、ヘッダ情報とフローテーブル２１を比較し、マッチするフローエントリがあるかを確認する。マッチするフローエントリがある場合、ＯＦＳ２は当該フローエントリに記載されたアクション（転送や破棄）を実行し、転送処理を終了する。
　一方、受信パケットのヘッダ情報に適合（一致する）フローエントリ（内のルール）がフローテーブル２１に設定されていない場合、ＯＦＳ２は、当該受信パケットをファーストパケットとしてＯＦＣ１のポリシ管理部１２に通知する（ステップＳ２２、ＰａｃｋｅｔＩＮ）。
　ＰａｃｋｅｔＩＮされたポリシ管理部１２は、ファーストパケットの認証を行い、認証結果に応じたパケット処理方法をフロー制御部１１に指示する（ステップＳ２３、Ｓ２４）。フロー制御部１１は、ポリシ管理部１２の指示に従ったフローエントリを制御対象のＯＦＳ２のフローテーブル２１に設定する（ステップＳ２５）。これにより、ＯＦＳ２は、新たにフローテーブル２１に設定されたフローエントリに従った処理を、ステップＳ２１において受信したパケットに対して実行する。
　図７を参照して、ファーストパケットを受信したポリシ管理部１２の動作（図６におけるステップＳ２３～Ｓ２５）の詳細を説明する。
　ＯＦＣ１は、ＯＦＳ２から受信したファーストパケットのデータ領域を解析し、認証情報１４０（ポリシＩＤと認証ＩＤ）を取得する（ステップＳ１０１）。続いて、ＯＦＣ１は、取得した認証情報１４０（ポリシＩＤと認証ＩＤ）とポリシ情報記憶部１３に保存されたポリシ情報１３０と比較し、認証を行う（ステップＳ１０２）。詳細には、ポリシ管理部１２は、認証情報１４０（ポリシＩＤ及び認証ＩＤ）に一致するポリシ情報１３０がポリシ情報記憶部１３内にあるかを検索する。このとき、認証情報１４０に一致するポリシ情報１３０がポリシ情報記憶部１３に記録されている場合、ポリシ管理部１２は認証成功と判定し、記録されていない場合、認証失敗と判定する（ステップＳ１０２）。
　ステップＳ１０２において、認証に成功した場合、ポリシ管理部１２は、認証情報１４０内のポリシＩＤに該当するポリシ情報１３０をポリシ情報記憶部１３から取得する（ステップＳ１０３）。ＯＦＣ１は、取得したポリシ情報１３０に応じたフローエントリを制御対象のＯＦＳ２に設定する（ステップＳ１０４）。
　詳細には、ポリシ管理部１２は、認証に成功した認証情報１４０に対応するポリシ情報１３０を参照し、ファーストパケットのヘッダ情報に対応するポリシ１３３に基づいたフローエントリの設定を、フロー制御部１１に指示する。この際、従来のオープンフローシステムと同様に、通信経路の算出が行われ、フローエントリの設定対象となるＯＦＳ２が指定される。フロー制御部１１は、セキュアチャネルを介したＦｌｏｗ－ｍｏｄ要求によって、ポリシ管理部１２からの指示に応じたフローエントリを指定されたＯＦＳ２に設定する。ここでは、送信元ＭＡＣアドレスを含むルールと、ポリシ１３３に対応するアクションとを含むフローエントリが設定されることが好適である。これにより、ＯＦＣ１によって認証されたパケットの送信元ホスト（すなわち認証されたホスト端末）の通信が、予めＯＦＣ１に設定されたポリシに基づいて制御されることとなる。尚、ここで設定されるフローエントリのルールとして、送信元ＭＡＣアドレスに加えて宛先アドレスや宛先ポート番号が規定されてもよい。これにより、認証されたホスト端末のアクセス先に応じた制御も可能となる。
　具体例として、ポリシ管理部１２が認証情報１４０に応じて図４に示すポリシ情報１３０を取得し、ファーストパケットのヘッダ情報に、送信元ＭＡＣアドレス：“００００．００００．０００１”、宛て先ＩＰアドレス：“１０．１１．１２．１”、プロトコル：“ＨＴＴＰ”が含まれる場合のフローエントリの設定について説明する。この場合、ポリシ管理部１２は、図４に示すポリシ１に応じたフローエントリの設定を指示する。これにより、フロー制御部１１は、ポリシ管理送信元ＭＡＣアドレスが“００００．００００．０００１”、あて先ＩＰアドレスが“１０．１１．１２．１”、プロトコルが“ＨＴＴＰ”であることをルールとし、“１０．１１．１２．１”が接続されたポートへパケットを転送することをアクションとするフローエントリを、通信経路上のＯＦＳ２に設定する。又、フロー制御部１１は、ＯＦＳ２において当該フローエントリが適用されるときの優先度を“１０”に設定する。
　以降、フローテーブル２１が更新されたＯＦＳ２は、当該フローテーブルに従いパケット制御を行う。
　一方、ステップＳ１０２において、認証に失敗した場合、ＯＦＣ１は、ファーストパケットのヘッダ情報に含まれる少なくとも一部をルールとしパケット破棄をアクションとして規定したフローエントリを、ファーストパケットの通知元のＯＦＳ２のフローテーブル２１へ設定する（ステップＳ１０５）。ここでは、送信元ＭＡＣアドレスを含むルールが規定され、パケット破棄をアクションとするフローエントリが設定されることが好適である。これにより、ＯＦＣ１によって認証されないパケットの送信元ホスト（すなわち認証されないホスト端末）の通信が、ネットワークの入口のＯＦＳ２において遮断されることとなる。尚、パケット破棄を規定するフローエントリのルールとして、送信元ＭＡＣアドレスに加えて宛先アドレスや宛先ポート番号が規定されてもよい。これにより、認証されないホスト端末のアクセス先毎に、アクセスを制限することが可能となる。
　以上のように本発明によるＯＦＣ１は、ホスト端末３からの認証情報１４０を、ファーストパケットの通知により受け取って認証するとともに、送信元が当該ホスト端末であることをルールとし、ポリシに応じたアクションを規定したフローエントリを設定する。このため、本発明によるシステムでは、ポリシを適用するホスト端末３に予め認証情報１４０を付与することで、端末毎のポリシ制御が可能となる。すなわち、本発明では、ポリシ適用のためのコンフィグ（ポリシ情報）をホスト端末毎に用意する必要はない。例えば、数万台規模のＰＣが接続されるネットワークでは、柔軟なポリシ制御を設計するために数万台分のコンフィグが必要であるが、本発明ではＰＣ毎のコンフィグは必要ないため容易に設計運用することができる。
　又、本発明では、ホスト端末３からネットワークに対する最初の接続において認証情報を用いた認証が行われる。このため、ＩＰアドレスやＭＡＣアドレスの詐称による不正アクセスを、アクセスの最初の段階で遮断することができるため、オープンフローシステムの安全性を向上することができる。
　更に、本発明によるコンピュータシステムで利用されるＯＦＳは、従来のオープンフロープロトコル（例えばＯｐｅｎＦｌｏｗ　Ｓｗｉｔｃｈ　Ｓｐｅｃｉｆｉｃａｔｉｏｎ　ｖｅｒｓｉｏｎ１．０によって規定されるプロトコル）に従っていればよく、ＯＦＣやホスト端末の機能のみを上述の実施の形態のように変更することで、ネットワークポリシ制御や不正アクセスの防止を実現できる。すなわち、本発明によれば、既存のオープンフローシステムにおいて、ＯＦＣ及びホスト端末の機能のみを変更することで、上述したネットワークポリシ制御や不正アクセスの防止を実現できる。このため、低コスト且つ容易に既存のシステムにネットワークポリシ制御等の機能を追加することが可能となる。
　以上、本発明の実施の形態を詳述してきたが、具体的な構成は上記実施の形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。上述では、認証処理後に設定されるフローエントリのルールとして送信元ＭＡＣアドレスを含む一例について説明したが、送信元ホスト端末を特定できればこれに限らない。例えば、送信元のＩＰアドレスや、送信元のホスト端末が接続するポート番号がルールとして規定されても良い。
　尚、本出願は、日本出願番号２０１１－９１１０５に基づき、日本出願番号２０１１－９１１０５における開示内容は引用により本出願に組み込まれる。

Claims (12)

  1. 　コントローラと、
    　前記コントローラによって設定されたフローエントリに適合する受信パケットに対し、前記フローエントリで規定された中継動作を行うスイッチと
    　を具備し、
    　前記スイッチは、自身に設定されたフローエントリに適合しない受信パケットを、前記コントローラに送信し、
    　前記コントローラは、前記受信パケットに含まれる認証情報を参照して前記受信パケットを認証し、正当と判断した前記受信パケットのヘッダ情報のうち、前記受信パケットの送信元を特定する情報を含むパケットに対する中継動作を規定したフローエントリを、前記スイッチに設定する
    　コンピュータシステム。
  2. 　請求項１に記載のコンピュータシステムにおいて、
    　前記コントローラは、前記認証情報を参照して前記受信パケットを認証し、不正と判断した前記受信パケットのヘッダ情報のうち、前記受信パケットの送信元を特定する情報を含むパケットを破棄することを規定したフローエントリを、前記スイッチに設定する
    　コンピュータシステム。
  3. 　請求項１又は２に記載のコンピュータシステムにおいて、
    　前記コントローラは、中継動作ポリシを規定したポリシ情報が記録された記憶装置を備え、前記正当と判断した受信パケットに含まれる認証情報に対応するポリシ情報に従ったフローエントリを、前記スイッチに設定する
    　コンピュータシステム。
  4. 　請求項３に記載のコンピュータシステムにおいて、
    　認証情報は、前記ポリシ情報を識別するポリシＩＤと、認証に利用される第１認証ＩＤを含み、
    　前記ポリシ情報は、前記ポリシ情報を識別するポリシＩＤと、第２認証ＩＤとが対応付けられて前記記憶装置に記録され、
    　前記コントローラは、前記認証情報に含まれるポリシＩＤに対応する前記第２認証ＩＤと、前記第１認証ＩＤとが一致する受信パケットを正当な受信パケットと判断する
    　コンピュータシステム。
  5. 　請求項４に記載のコンピュータシステムにおいて、
    　前記ポリシ情報は、前記ポリシ情報を識別するポリシＩＤに対応付けられた複数のポリシを含み、
    　前記コントローラは、前記認証情報に含まれるポリシＩＤに対応する複数のポリシの中で、前記正当と判断した受信パケットのヘッダ情報に適合するポリシを前記記憶装置から抽出し、抽出されたポリシに従ったフローエントリを前記スイッチに設定する
    　コンピュータシステム。
  6. 　請求項１から５のいずれか１項に記載のコンピュータシステムで利用されるサーバ。
  7. 　スイッチに設定されたフローエントリに適合しない受信パケットを前記スイッチからコントローラが受信するステップと、
    　前記コントローラが、前記受信パケットに含まれる認証情報を参照して前記受信パケットを認証するステップと、
    　前記コントローラが、前記認証するステップにおいて正当と判断した前記受信パケットのヘッダ情報のうち、前記受信パケットの送信元を特定する情報を含むパケットに対する中継動作を規定したフローエントリを、前記スイッチに設定するステップと
    　を具備する
    　ポリシ制御方法。
  8. 　請求項７に記載のポリシ制御方法において、
    　コントローラが、前記認証するステップにおいて不正と判断した前記受信パケットのヘッダ情報のうち、前記受信パケットの送信元を特定する情報を含むパケットを破棄することを規定したフローエントリを、前記スイッチに設定するステップを更に具備する
    　ポリシ制御方法。
  9. 　請求項７又は８に記載のポリシ制御方法において、
    　前記コントローラが、中継動作ポリシを規定したポリシ情報を保持するステップと、
    　前記中継動作を規定したフローエントリを設定するステップは、前記コントローラが、前記正当と判断された受信パケットに含まれる認証情報に対応するポリシ情報に従ったフローエントリを前記スイッチに設定するステップを備える
    　ポリシ制御方法。
  10. 　請求項９に記載のポリシ制御方法において、
    　認証情報は、前記ポリシ情報を識別するポリシＩＤと、認証に利用される第１認証ＩＤを含み、
    　前記ポリシ情報は、前記ポリシ情報を識別するポリシＩＤと、第２認証ＩＤとが対応付けられて前記コントローラに保持され、
    　前記認証するステップにおいて、前記コントローラは、前記認証情報に含まれるポリシＩＤに対応する前記第２認証ＩＤと、前記第１認証ＩＤとが一致する受信パケットを正当な受信パケットと判断する
    　ポリシ制御方法。
  11. 　請求項１０に記載のポリシ制御方法において、
    　前記ポリシ情報は、前記ポリシ情報を識別するポリシＩＤに対応付けられた複数のポリシを含み、
    　前記中継動作を規定したフローエントリを設定するステップは、
    　前記コントローラが、前記認証情報に含まれるポリシＩＤに対応する複数のポリシの中で、前記正当と判断した受信パケットのヘッダ情報に適合するポリシを前記記憶装置から抽出するステップと、
    　前記コントローラが、前記抽出されたポリシに従ったフローエントリを前記スイッチに設定するステップと
    　を備える
    　ポリシ制御方法。
  12. 　請求項７から１１のいずれか１項に記載のポリシ制御方法をコンピュータに実行させるポリシ制御プログラムが記録された記録媒体。
PCT/JP2012/059471 2011-04-15 2012-04-06 コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法 WO2012141086A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP12770700.8A EP2698952A4 (en) 2011-04-15 2012-04-06 COMPUTER SYSTEM, CONTROL DEVICE AND NETWORK ACCESS POLICY CONTROL PROCEDURE
JP2013509875A JP5660202B2 (ja) 2011-04-15 2012-04-06 コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法
US14/110,917 US9065815B2 (en) 2011-04-15 2012-04-06 Computer system, controller, and method of controlling network access policy
CN201280018455.5A CN103621028B (zh) 2011-04-15 2012-04-06 控制网络访问策略的计算机系统、控制器和方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011-091105 2011-04-15
JP2011091105 2011-04-15

Publications (1)

Publication Number Publication Date
WO2012141086A1 true WO2012141086A1 (ja) 2012-10-18

Family

ID=47009261

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/059471 WO2012141086A1 (ja) 2011-04-15 2012-04-06 コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法

Country Status (5)

Country Link
US (1) US9065815B2 (ja)
EP (1) EP2698952A4 (ja)
JP (1) JP5660202B2 (ja)
CN (1) CN103621028B (ja)
WO (1) WO2012141086A1 (ja)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014110462A (ja) * 2012-11-30 2014-06-12 Toshiba Corp 認証装置およびその方法、ならびにコンピュータプログラム
US20150009828A1 (en) * 2012-03-05 2015-01-08 Takahiko Murakami Network System, Switch and Method of Network Configuration
WO2015025848A1 (ja) * 2013-08-21 2015-02-26 日本電気株式会社 通信システム、制御指示装置、通信制御方法及びプログラム
CN104937572A (zh) * 2013-01-28 2015-09-23 英特尔公司 业务和/或工作负荷处理
JP2015192399A (ja) * 2014-03-28 2015-11-02 株式会社日立製作所 パケット伝送システムおよびネットワークコントローラ
JP2016528809A (ja) * 2013-07-18 2016-09-15 パロ・アルト・ネットワークス・インコーポレーテッドＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ Ｉｎｃｏｒｐｏｒａｔｅｄ ネットワークルーティングのためのパケット分類
US20160352731A1 (en) * 2014-05-13 2016-12-01 Hewlett Packard Enterprise Development Lp Network access control at controller
JP2016537898A (ja) * 2013-11-22 2016-12-01 華為技術有限公司Ｈｕａｗｅｉ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．，Ｌｔｄ． 悪意ある攻撃の検出方法および装置
JP2017520194A (ja) * 2014-06-30 2017-07-20 アルカテル−ルーセント ソフトウェア定義ネットワークにおけるセキュリティ
US9935841B2 (en) 2013-01-28 2018-04-03 Intel Corporation Traffic forwarding for processing in network environment
JP2019201374A (ja) * 2018-05-18 2019-11-21 アライドテレシスホールディングス株式会社 情報処理システム

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9571523B2 (en) 2012-05-22 2017-02-14 Sri International Security actuator for a dynamically programmable computer network
US9705918B2 (en) 2012-05-22 2017-07-11 Sri International Security mediation for dynamically programmable network
US9282118B2 (en) 2012-11-13 2016-03-08 Intel Corporation Policy enforcement in computing environment
US9794288B1 (en) * 2012-12-19 2017-10-17 EMC IP Holding Company LLC Managing policy
US20150063110A1 (en) * 2013-09-04 2015-03-05 Electronics And Telecommunications Research Institute Programmable sensor networking apparatus and sensor networking service method using the same
WO2015041706A1 (en) * 2013-09-23 2015-03-26 Mcafee, Inc. Providing a fast path between two entities
CN106506439A (zh) * 2015-11-30 2017-03-15 杭州华三通信技术有限公司 一种认证终端接入网络的方法和装置
CN115190105B (zh) * 2021-04-06 2024-03-29 维沃移动通信有限公司 信息处理方法、装置和通信设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005004549A (ja) 2003-06-12 2005-01-06 Fuji Electric Holdings Co Ltd ポリシーサーバ、そのポリシー設定方法、アクセス制御方法、プログラム
WO2011030490A1 (ja) * 2009-09-10 2011-03-17 日本電気株式会社 中継制御装置、中継制御システム、中継制御方法及び中継制御プログラム
WO2011037105A1 (ja) * 2009-09-25 2011-03-31 日本電気株式会社 コンテンツベーススイッチシステム、及びコンテンツベーススイッチ方法
JP2011091105A (ja) 2009-10-20 2011-05-06 Shinko Electric Ind Co Ltd 半導体レーザ用パッケージ、半導体レーザ装置及び製造方法

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6141755A (en) * 1998-04-13 2000-10-31 The United States Of America As Represented By The Director Of The National Security Agency Firewall security apparatus for high-speed circuit switched networks
US8238241B2 (en) * 2003-07-29 2012-08-07 Citrix Systems, Inc. Automatic detection and window virtualization for flow control
US7836488B2 (en) * 2005-08-18 2010-11-16 Hong Kong Applied Science And Technology Research Institute Co. Ltd. Authentic device admission scheme for a secure communication network, especially a secure IP telephony network
US8266696B2 (en) * 2005-11-14 2012-09-11 Cisco Technology, Inc. Techniques for network protection based on subscriber-aware application proxies
US20080189769A1 (en) * 2007-02-01 2008-08-07 Martin Casado Secure network switching infrastructure
US8325733B2 (en) * 2009-09-09 2012-12-04 Exafer Ltd Method and system for layer 2 manipulator and forwarder
US8675601B2 (en) * 2010-05-17 2014-03-18 Cisco Technology, Inc. Guest access support for wired and wireless clients in distributed wireless controller system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005004549A (ja) 2003-06-12 2005-01-06 Fuji Electric Holdings Co Ltd ポリシーサーバ、そのポリシー設定方法、アクセス制御方法、プログラム
WO2011030490A1 (ja) * 2009-09-10 2011-03-17 日本電気株式会社 中継制御装置、中継制御システム、中継制御方法及び中継制御プログラム
WO2011037105A1 (ja) * 2009-09-25 2011-03-31 日本電気株式会社 コンテンツベーススイッチシステム、及びコンテンツベーススイッチ方法
JP2011091105A (ja) 2009-10-20 2011-05-06 Shinko Electric Ind Co Ltd 半導体レーザ用パッケージ、半導体レーザ装置及び製造方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
"OpenFlow Switch Specification Version 1.0.0", WIRE PROTOCOL 0X01, 31 December 2009 (2009-12-31)
MARTIN CASADO ET AL.: "Ethane: Taking Control of the Enterprise", ACM SIGCOMM COMPUTER COMMUNICATION REVIEW, vol. 37, no. 4, October 2007 (2007-10-01), pages 1 - 12, XP002531272 *
See also references of EP2698952A4

Cited By (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9548933B2 (en) * 2012-03-05 2017-01-17 Nec Corporation Network system, switch, and methods of network configuration
US20150009828A1 (en) * 2012-03-05 2015-01-08 Takahiko Murakami Network System, Switch and Method of Network Configuration
JP2014110462A (ja) * 2012-11-30 2014-06-12 Toshiba Corp 認証装置およびその方法、ならびにコンピュータプログラム
US9935841B2 (en) 2013-01-28 2018-04-03 Intel Corporation Traffic forwarding for processing in network environment
CN104937572A (zh) * 2013-01-28 2015-09-23 英特尔公司 业务和/或工作负荷处理
EP2948856A4 (en) * 2013-01-28 2017-04-26 Intel Corporation Traffic and/or workload processing
JP2016528809A (ja) * 2013-07-18 2016-09-15 パロ・アルト・ネットワークス・インコーポレーテッドＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ Ｉｎｃｏｒｐｏｒａｔｅｄ ネットワークルーティングのためのパケット分類
US10757074B2 (en) 2013-07-18 2020-08-25 Palo Alto Networks, Inc. Packet classification for network routing
US11811731B2 (en) 2013-07-18 2023-11-07 Palo Alto Networks, Inc. Packet classification for network routing
US11394688B2 (en) 2013-07-18 2022-07-19 Palo Alto Networks, Inc. Packet classification for network routing
JPWO2015025848A1 (ja) * 2013-08-21 2017-03-02 日本電気株式会社 通信システム、制御指示装置、通信制御方法及びプログラム
WO2015025848A1 (ja) * 2013-08-21 2015-02-26 日本電気株式会社 通信システム、制御指示装置、通信制御方法及びプログラム
US10469498B2 (en) 2013-08-21 2019-11-05 Nec Corporation Communication system, control instruction apparatus, communication control method and program
JP2016537898A (ja) * 2013-11-22 2016-12-01 華為技術有限公司Ｈｕａｗｅｉ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．，Ｌｔｄ． 悪意ある攻撃の検出方法および装置
US11637845B2 (en) 2013-11-22 2023-04-25 Huawei Technologies Co., Ltd. Method and apparatus for malicious attack detection in a software defined network (SDN)
US10313375B2 (en) 2013-11-22 2019-06-04 Huawei Technologies Co., Ltd Method and apparatus for malicious attack detection in an SDN network
JP2015192399A (ja) * 2014-03-28 2015-11-02 株式会社日立製作所 パケット伝送システムおよびネットワークコントローラ
US20160352731A1 (en) * 2014-05-13 2016-12-01 Hewlett Packard Enterprise Development Lp Network access control at controller
US10666689B2 (en) 2014-06-30 2020-05-26 Alcatel Lucent Security in software defined network
JP2017520194A (ja) * 2014-06-30 2017-07-20 アルカテル−ルーセント ソフトウェア定義ネットワークにおけるセキュリティ
JP7083275B2 (ja) 2018-05-18 2022-06-10 アライドテレシスホールディングス株式会社 情報処理システム
JP2019201374A (ja) * 2018-05-18 2019-11-21 アライドテレシスホールディングス株式会社 情報処理システム

Also Published As

Publication number Publication date
JP5660202B2 (ja) 2015-01-28
JPWO2012141086A1 (ja) 2014-07-28
CN103621028B (zh) 2016-05-11
EP2698952A4 (en) 2014-12-03
CN103621028A (zh) 2014-03-05
US9065815B2 (en) 2015-06-23
EP2698952A1 (en) 2014-02-19
US20140033275A1 (en) 2014-01-30

Similar Documents

Publication Publication Date Title
JP5660202B2 (ja) コンピュータシステム、コントローラ、及びネットワークアクセスポリシ制御方法
JP5790827B2 (ja) 制御装置、制御方法、及び通信システム
JP5062967B2 (ja) ネットワークアクセス制御方法、およびシステム
JP5862577B2 (ja) 通信システム、制御装置、ポリシ管理装置、通信方法およびプログラム
JP5811179B2 (ja) 通信システム、制御装置、ポリシ管理装置、通信方法およびプログラム
US9215237B2 (en) Communication system, control device, communication method, and program
JP5880560B2 (ja) 通信システム、転送ノード、受信パケット処理方法およびプログラム
US8713087B2 (en) Communication system, authentication device, control server, communication method, and program
US10044830B2 (en) Information system, control apparatus, method of providing virtual network, and program
JP5811171B2 (ja) 通信システム、データベース、制御装置、通信方法およびプログラム
WO2013042634A1 (ja) 通信システム、ポリシー管理装置、通信方法およびプログラム
US20120054358A1 (en) Network Relay Device and Frame Relaying Control Method
US20120054359A1 (en) Network Relay Device and Frame Relaying Control Method
US20130275620A1 (en) Communication system, control apparatus, communication method, and program
JP2008066907A (ja) パケット通信装置
JP6440191B2 (ja) スイッチ装置、ｖｌａｎ設定管理方法及びプログラム
WO2014034119A1 (en) Access control system, access control method, and program
JP2017208718A (ja) 通信装置および通信方法
WO2014119602A1 (ja) 制御装置、スイッチ、通信システム、スイッチの制御方法及びプログラム
JP6213028B2 (ja) 通信システム、通信方法、通信プログラムおよび通信装置

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201280018455.5

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12770700

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14110917

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2012770700

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2013509875

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE