WO2022049768A1 - パケット通信装置、パケット処理ルール設定方法、及びプログラム - Google Patents

パケット通信装置、パケット処理ルール設定方法、及びプログラム Download PDF

Info

Publication number
WO2022049768A1
WO2022049768A1 PCT/JP2020/033781 JP2020033781W WO2022049768A1 WO 2022049768 A1 WO2022049768 A1 WO 2022049768A1 JP 2020033781 W JP2020033781 W JP 2020033781W WO 2022049768 A1 WO2022049768 A1 WO 2022049768A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
terminal
packet
communication device
rule
Prior art date
Application number
PCT/JP2020/033781
Other languages
English (en)
French (fr)
Inventor
克真 宮本
明寛 木村
伸也 河野
幸司 杉園
浩輝 加納
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2022546854A priority Critical patent/JPWO2022049768A1/ja
Priority to US18/024,707 priority patent/US20230344761A1/en
Priority to PCT/JP2020/033781 priority patent/WO2022049768A1/ja
Publication of WO2022049768A1 publication Critical patent/WO2022049768A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/24—Multipath
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses

Definitions

  • the present invention relates to a technique for distributing packets to any one of one or more paths and a technique for performing packet processing (filtering, traffic control, etc.) at the time of distribution.
  • NW network
  • Terminals such as IoT devices and PCs are connected to the CPE (Customer Premises Equipment) provided at the base. Further, the CPE is connected to one or more NWs via one or more paths, and performs a process of distributing packets from the terminal to the destination NW.
  • CPE Customer Premises Equipment
  • Non-Patent Documents 1 and 2 As a technique for realizing packet distribution, there is a technique for routing packets based on an input I / F, a source IP address, a port number, etc. (for example, Non-Patent Documents 1 and 2).
  • the present invention has been made in view of the above points, and it is possible to appropriately perform packet processing in a packet communication device that distributes a packet received from a terminal to any one of the above-mentioned one or more paths.
  • the purpose is to provide the technology.
  • a packet communication device connected to one or more paths.
  • a routing unit that distributes packets received from the terminal to one of the above-mentioned one or more paths, and
  • FIG. 1 It is a figure for demonstrating an example of a related technique. It is a figure for demonstrating an example of a related technique. It is a figure for demonstrating an example of a related technique. It is a figure for demonstrating an example of a related technique. It is a figure which shows the whole structure example of the system in embodiment of this invention. It is a figure for demonstrating the operation outline of the system in Embodiment of this invention. It is a flowchart which shows the processing procedure. It is a figure which shows the example of a table. It is a figure which shows the example of a table. It is a figure for demonstrating Example 1. FIG. It is a figure for demonstrating Example 1. FIG. It is a figure for demonstrating Example 1. FIG. It is a figure which shows the example of the monitoring method of DHCP payout. It is a figure for demonstrating Example 2. FIG.
  • FIG. It is a figure for demonstrating Example 2.
  • FIG. It is a figure for demonstrating a modification. It is a figure which shows the functional structure example of CPE. It is a figure which shows the functional composition example of an orchestrator. It is a figure which shows the hardware configuration example of the apparatus.
  • FIG. 1 shows a configuration example of a communication system in a related technology.
  • the CPE 10 is provided at the base.
  • the terminal A is connected to the interface (eth1) of the CPE10 via the NW1
  • the terminal B is connected to the interface (eth2) of the CPE10 via the NW2.
  • the interface will be referred to as I / F.
  • the CPE 10 is connected to the virtual router A and the virtual router A via the carrier network 20. It should be noted that the use of a “virtual router” is an example, and a “router” may be used instead of the “virtual router”. The same applies to the description of the embodiments of the present invention described later.
  • Tunnels are constructed between the tunnel I / F (tun0) on the CPE eth0 and the virtual router A, and between the tunnel I / F (tun1) and the virtual router B, respectively.
  • the tunnel is a virtual path, and the tunnel may be called a "path".
  • the tunnel may be a tunnel that encapsulates a packet or a tunnel that does not encapsulate a packet.
  • the communication of the packet may be a tunnel.
  • the CPE 10 has a routing unit 11 in addition to each I / F.
  • the routing unit 11 can perform routing based on a packet input I / F, a packet source IP address, a packet source port number, and the like by using PBR (Police-Based Routing).
  • the packet can be distributed to the designated tunnel.
  • FIG. 2 shows an example of the PBR routing rule set in the routing unit 11.
  • the output I / F is determined based on the input I / F of the packet.
  • FIG. 3 shows other configuration examples of related technologies. Compared to FIG. 2, the example shown in FIG. 3 has a different configuration within the base.
  • the base is assumed to be a mass user, SOHO, etc., and its NW is small.
  • NW NW1
  • IP address issuance is managed by DHCP. This configuration has the following problems.
  • the input I / F is common among the plurality of terminals. Therefore, it becomes impossible to distribute packets for each terminal based on the input I / F described with reference to FIG.
  • the subnet is also common between terminals, it is not possible to sort by the source subnet.
  • IP address of the terminal is dynamically changed by DHCP, when packet distribution is performed by the source IP address, the change cannot be followed and the desired packet distribution may not be possible.
  • FIG. 4 shows an example of the overall configuration of the communication system according to the present embodiment.
  • the base in this communication system is a base having a small-scale NW such as a mass user or SOHO, as in the case of FIG. 3, a plurality of terminals belong to one NW, and IP is performed by DHCP. It is assumed that an address will be assigned to each terminal.
  • NW such as a mass user or SOHO
  • the technique according to the present invention can be applied regardless of the configuration of the NW of the base.
  • the technique according to the present invention can be applied to the configuration shown in FIG.
  • the communication system in the present embodiment is a system that communicates IP packets on Ethernet (registered trademark), and is assumed to have at least general functions such as ARP. Is an example.
  • a CPE 100 is provided at a base in the communication system according to the present embodiment.
  • the CPE100 may be referred to as an in-home customer device, a home gateway, or the like. Further, the CPE 100 may be referred to as a packet communication device.
  • An AP (access point) 30 is connected to the CPE 100, and terminals 40 to 60 are connected under the AP 30.
  • the AP30 is, for example, a wireless LAN access point.
  • FIG. 4 shows IoT devices 40, corporate loan terminals 50, and personal terminals 60 as specific examples of terminals 40 to 60.
  • the CPE 100 is connected to the virtual router 610, the virtual router 620, and the virtual router 630 by each tunnel constructed on the carrier network 20.
  • the virtual router 610 is connected to the Internet 710
  • the virtual router 620 is connected to the corporate NW720
  • the virtual router 630 is connected to the MEC730.
  • the packet from the personal terminal 60 is sent to the tunnel for best effort transfer, and is transmitted to the Internet 710 via the tunnel.
  • the packet from the corporate lending terminal 50 is sent to the VPN tunnel that performs priority control, and is transmitted to the corporate NW720 via the tunnel.
  • the packet from the IoT device 40 is sent to a low-delay tunnel for priority control, and is transmitted to the MEC (Multi-access Edge Computing) network 730 via the tunnel.
  • MEC Multi-access Edge Computing
  • the routing unit 140 of the CPE 100 can distribute packets for each terminal. Details of the CPE 100 that make this possible will be described later.
  • An orchestrator 200 is provided for registering information in the CPE 100 or the like in order to perform the above processing. Further, the service order DB 500 is provided, and the orchestrator 200 can access the service order DB 500.
  • the service order DB 500 may be provided inside the orchestrator 200 or may be provided outside the orchestra 200.
  • the account name of the portal site, the service subscription status, the IP address and API information of the CPE and the virtual router, the IP address of the VPN connection destination, the I / F information of the CPE (I / F name and the like) are provided for each user. (Set value) etc. are stored.
  • User 400 can input setting information by accessing the portal site 300 (Web server, etc.).
  • the user 400 accesses the portal site 300 (customer setting page, etc.) and sets terminal information, service information, and the like.
  • the terminal information is, for example, information (MAC address, etc.) of the terminal that the user wants to set.
  • the service information is, for example, information on the service (VPN connection destination, priority, etc.) that the user wants to set.
  • the user when the user wants to connect the corporate rental terminal 50 to the business server on the corporate NW with high priority via the VPN tunnel, the user can use the MAC address of the corporate rental terminal 50, the connection destination (corporate NW), and so on.
  • access to the portal site 300 and set information instructing a high-priority connection when the user wants to connect the corporate rental terminal 50 to the business server on the corporate NW with high priority via the VPN tunnel, the user can use the MAC address of the corporate rental terminal 50, the connection destination (corporate NW), and so on.
  • access to the portal site 300 and set information instructing a high-priority connection.
  • the setting information set by the user is sent from the portal site 300 to the orchestra 200.
  • the orchestrator 200 has user information (CPE IP address, API information, authentication information) necessary for setting from the service order DB 500 to the CPE 100 based on the account name of the set user, the setting information input by the user, and the like. Etc.), CPE setting input information (tunnel interface name, DCSP value, etc.) of the connection destination service is acquired, and terminal information (MAC address) and CPE setting input information are set in CPE100.
  • the information set here corresponds to the information associated with the terminal identifier and the connection destination, which will be described later. Make the necessary settings for the virtual router as well.
  • the user 400 can receive the service ordered via the portal site 300.
  • FIG. 5 is a diagram showing a configuration example of the communication system according to the present embodiment, including the internal configuration of the CPE 100.
  • the base is equipped with CPE10.
  • Both the terminal A and the terminal B are connected to the I / F (eth1) of the CPE100 via the NW1.
  • Tunnels are constructed between the tunnel I / F (tun0) and the virtual router A on eth0 of the CPE100, and between the tunnel I / F (tun1) and the virtual router B, respectively.
  • the CPE 100 has a process 110, a terminal information DB 120, an address information DB 130, and a routing unit 140 in addition to the above-mentioned I / Fs.
  • the process 110 corresponds to a program executed in the CPE 100.
  • the process 110 corresponds to a functional unit realized by executing the program in the CPE 100.
  • the routing unit 140 holds application rules for packet processing such as PBR routing rules, and distributes packets received from terminals to paths, packet filtering, traffic control, and other packet processing in accordance with the application rules. ..
  • the address information DB 130 is, for example, a DHCP lease table, an ARP table, a radius server database, or the like.
  • the address information DB 130 is not limited to the DHCP lease table, ARP table, RADIUS server database, and the like, and may be a table or database other than these.
  • the address information DB 130 may be provided outside the CPE 100 instead of inside the CPE 100.
  • the process 110 has a REST API, and the setting information from the orchestrator 200 is mediated by the REST API and input to each DB or the like.
  • the orchestrator 200 may be set and input directly to the CPE 100 by SSH instead of API. The process executed by the process 110 will be described with reference to the flowchart of FIG.
  • the address information DB 130 stores the association information between the IP address of the terminal and the terminal identifier for each terminal.
  • the association information is updated when the IP address of the terminal is changed.
  • a PBR routing rule is set for each terminal based on the IP address acquired by the process 110.
  • the application rule for packet processing in the routing unit 140 is only an example.
  • ACL filtering rule (eg iptables, firewall), traffic control such as bandwidth control and priority control (eg traffic control of Linux (registered trademark)) may be used. .. Rules other than these may be used as application rules for packet processing in the routing unit 140. Further, the application rule of packet processing in the routing unit 140 may be one or a plurality.
  • the MAC address of the terminal is used as the terminal identifier.
  • FIG. 7 shows an example of the association information stored in the address information DB 130. An example of a method of acquiring (updating) information associated with an IP address and a terminal identifier will be described in Examples 1 and 2 described later.
  • the procedure of FIG. 6 is repeatedly executed, for example, at predetermined time intervals.
  • the process 110 acquires the association information of the MAC address of the terminal and the connection destination (I / F name, etc.) of the terminal from the orchestra 200, and stores the acquired association information in the terminal information DB 120.
  • FIG. 8 shows an example of the information stored in the terminal information DB 120. In FIG. 8, for example, entry 100 shows that the MAC address of a certain terminal is associated with tun0.
  • the process 110 acquires the corresponding IP address by referring to the address information DB 130 for each of the terminal identifiers (MAC addresses) stored in the terminal information DB 120. That is, the IP address assigned to the terminal of the terminal identifier (MAC address) is acquired. It should be noted that acquiring an IP address by referring to the address information DB 130 is an example.
  • the process 110 detects that the IP address acquired in S2 is different from the IP address acquired in the previous S2 for a certain terminal, the process 110 updates the packet processing application rule for the terminal. Specifically, for example, the routing rule of PBR is updated.
  • the process 110 is the IP of the terminal A.
  • examples 1 and 2 will be described in which the method of acquiring the association information between the IP address and the terminal identifier (here, the MAC address) is described more specifically.
  • FIG. 9 shows a configuration example of the communication system according to the first embodiment.
  • the CPE 100 of the first embodiment includes a DHCP server 150 and a lease table 160 in addition to the I / F, the process 110, the terminal information DB 120, and the routing 140 described with reference to FIG.
  • the lease table 160 is an example of the address information DB 130 shown in FIG.
  • FIG. 9 shows, as an example, an example in which the CPE 100 includes a DHCP server 150 and a lease table 160.
  • the DHCP server 150 (and the lease table 160) may be provided outside the CPE 100.
  • the process 110 acquires the IP address assigned to the terminal from the MAC address by using the function of the DHCP server 150, and updates the PBR when the IP address is changed. More specifically, there are the following Examples 1-1 to 1-3.
  • Example 1-1 As shown as “Example 1-1" in FIG. 9, the process 110 is assigned out for each MAC address by monitoring the lease table 160 of the DHCP server 150. Determine if there is a change in the IP address.
  • FIG. 10 shows an example of information stored in the lease table 160.
  • Example 1-2 the DHCP server 150 may be inside the CPE 100 or outside the CPE 100. However, Example 1-2 depends on the function of the DHCP server 150. Here, it is assumed that the DHCP server 150 has the following functions.
  • Example 1-2 the process 110 acquires the IP address corresponding to the MAC address of the terminal by using the API provided by the DHCP server 150.
  • Process 110 may refer to DHCP fixed IP settings.
  • the process 110 may have the DHCP server 150 notify the MAC address of the terminal and the assigned IP address when the DHCP server 150 issues the IP address to the terminal.
  • Example 1-3 the DHCP server 150 may be inside the CPE 100 or outside the CPE 100.
  • the process 110 detects the allocation of the IP address to the terminal by snooping the messages sent and received between the DHCP server 150 and the terminal (DHCP client).
  • FIG. 11 shows an example of exchanging messages between the terminal A and the DHCP server 150.
  • the terminal A transmits DHCP-Discovery by broadcasting.
  • the DHCP server 150 Upon receiving the DHCP-Discovery, the DHCP server 150 transmits the DHCP-Offer including the proposed IP address to the terminal A in S102.
  • the terminal A sends a DHCP-Request to the DHCP server 150 so that the proposed IP address can be paid out.
  • the DHCP server 150 transmits a DHCP-Acknowledge to approve the IP payout to the terminal A.
  • the process 110 when the process 110 detects that DHCP-Discovery is transmitted from a certain terminal, the process 110 monitors the DHCP-Request transmitted from the terminal in S103, and sets the request IP address included in the DHCP-Request to the DHCP server 150. It is acquired as the IP address assigned to the terminal.
  • FIG. 12 shows a configuration example of the communication system according to the second embodiment.
  • the CPE 100 of the second embodiment includes an ARP table 170 in addition to the I / F, the process 110, the terminal information DB 120, and the routing 140 described with reference to FIG.
  • the ARP table 170 is an example of the address information DB 130 shown in FIG.
  • FIG. 13 shows an example of information stored in the ARP table 170.
  • the ARP table 170 stores the I / F, the IP address, and the MAC address in association with each other.
  • An ether frame (including an IP packet) destined for a MAC address is transmitted from eth1.
  • the process 110 acquires an IP address from the MAC address by using ARP. More specifically, there are the following Examples 2-1 to 2-2.
  • Example 2-1 the process 110 monitors and updates whether the IP address corresponding to the MAC address has been updated (changed) by referring to the ARP table 170 for each MAC address in the terminal information DB 120. When it is detected, the PBR routing rule is updated.
  • Example 2-2 the process 110 has a function of RARP (Reverse Address Resolution Protocol).
  • the process 110 broadcasts a request including a MAC address for which the corresponding IP address is to be known, and when the terminal (or server) receiving the request knows the IP address corresponding to the MAC address, the process 110 uses the IP address. Return to process 110.
  • RARP Reverse Address Resolution Protocol
  • the process 110 periodically acquires the corresponding IP address for each MAC address in the terminal information DB 120 by using RARP, for example, and updates the PBR routing rule when the IP address is changed.
  • procedure is such that the IP address can be known from the MAC address
  • a procedure other than RARP may be used.
  • the routing unit 140 of the CPE 100 installed at the base performs the packet distribution processing, but such a configuration is an example.
  • the routing unit 740 in the virtual CPE 700 on the cloud service connected to the CPE 100 of the base by the L2 tunnel may perform the packet distribution processing.
  • the L2 tunnel is, for example, an L2VPN tunnel such as L2TP or VXLAN, and the virtual CPE 700 exists in the same NW as the CPE 100.
  • the virtual CPE 700 has the same configuration (process, terminal information DB, etc.) as the CPE 100 described so far, and executes the same processing as the CPE 100 described so far.
  • the terminal may have the same configuration (process, terminal information DB, etc.) as the CPE100 described so far, and may include a functional unit that executes the same processing as the CPE100 described so far.
  • Packet communication devices such as CPE100, virtual CPE700, and functional parts of terminals that perform packet distribution processing and setting and changing application rules may be collectively referred to as "packet communication devices”.
  • FIG. 15 shows an example of the functional configuration of the CPE 100 focusing on the functions of the CPE 100.
  • the CPE 100 has a communication unit 101, a routing unit 102, a control unit 103, and a storage unit 104.
  • the virtual CPE 700 has a similar configuration.
  • the communication unit 101 corresponds to the I / F shown in FIG. 5 and the like, and transmits / receives packets.
  • the routing unit 102 corresponds to the routing unit 140 shown in FIG. 5 and the like, and performs packet distribution processing based on the routing rule of PBR.
  • the control unit 103 corresponds to the process 110 shown in FIG. 5 and the like, and as described in Examples 1 and 2, checks whether or not the IP address has been changed, and if there is a change, the PBR in the routing unit 140. Update the routing rules for.
  • the storage unit 104 corresponds to the terminal information DB 120 and the address information DB 130 shown in FIG. 5 and the like, and stores various data.
  • FIG. 16 is a diagram showing a functional configuration example of the orchestra 200.
  • the orchestrator 200 has a setting information acquisition unit 201, a storage unit 202, and a registration unit 203.
  • the setting information acquisition unit 201 acquires the information set by the user 400 from the portal site 300.
  • the storage unit 202 corresponds to the service order DB 500 shown in FIG.
  • the registration unit 203 is based on, for example, the information acquired by the setting information acquisition unit 201 (terminal identifier (MAC address, etc.)) and the information read from the storage unit 202 (connection destination (I / F name, etc.)).
  • the terminal identifier (MAC address, etc.) and the connection destination (I / F name, etc.) are transmitted (registered) to the CPE100 (or virtual CPE700).
  • the CPE 100, the virtual CPE 700, the orchestrator 200, and the terminal can all be realized by, for example, causing a computer to execute a program.
  • This computer may be a physical computer or a virtual machine.
  • the device uses hardware resources such as a CPU and memory built in the computer to execute a program corresponding to the processing performed by the device. It can be realized by.
  • the above program can be recorded on a computer-readable recording medium (portable memory, etc.), stored, and distributed. It is also possible to provide the above program through a network such as the Internet or e-mail.
  • FIG. 17 is a diagram showing an example of the hardware configuration of the computer.
  • the computer of FIG. 16 has a drive device 1000, an auxiliary storage device 1002, a memory device 1003, a CPU 1004, an interface device 1005, a display device 1006, an input device 1007, an output device 1008, and the like, which are connected to each other by a bus B, respectively.
  • the program that realizes the processing on the computer is provided by, for example, a recording medium 1001 such as a CD-ROM or a memory card.
  • a recording medium 1001 such as a CD-ROM or a memory card.
  • the program is installed in the auxiliary storage device 1002 from the recording medium 1001 via the drive device 1000.
  • the program does not necessarily have to be installed from the computer-readable recording medium 1001, and may be downloaded from another computer via the network.
  • the auxiliary storage device 1002 stores the installed program and also stores necessary files, data, and the like.
  • the memory device 1003 reads and stores the program from the auxiliary storage device 1002 when the program is instructed to start.
  • the CPU 1004 realizes the function related to the device according to the program stored in the memory device 1003.
  • the interface device 1005 is used as an interface for connecting to a network and functions as a communication unit.
  • the display device 1006 displays a GUI (Graphical User Interface) or the like by a program.
  • the input device 1007 is composed of a keyboard, a mouse, buttons, a touch panel, and the like, and is used for inputting various operation instructions.
  • the output device 1008 outputs the calculation result.
  • a computer-readable recording medium is a medium that dynamically holds a program for a short period of time, such as a communication line when a program is transmitted via a network such as the Internet or a communication line such as a telephone line.
  • a program may be held for a certain period of time, such as a volatile memory inside a computer system serving as a server or a client. Further, the above program may be for realizing a part of the function of the device.
  • This specification discloses at least the packet communication device, the packet processing rule setting method, and the program described in the following items.
  • (Section 1) A packet communication device connected to one or more paths.
  • a routing unit that distributes packets received from the terminal to one of the above-mentioned one or more paths, and
  • the packet processing application rule is any one or more of a routing rule, a filtering rule, and a traffic control rule in PBR.
  • the control unit monitors whether or not the IP address corresponding to the terminal identifier of the terminal has been changed by referring to the database holding the IP address and the terminal identifier, and when the IP address is changed, the control unit monitors whether or not the IP address corresponding to the terminal identifier of the terminal has been changed.
  • the packet communication device according to paragraph 1 or 2 for updating the application rule.
  • the control unit acquires an IP address corresponding to the terminal identifier of the terminal from the DHCP server, monitors whether or not the IP address has been changed, and updates the application rule when the IP address is changed.
  • the packet communication device according to the first or second paragraph.
  • the control unit acquires the IP address of the terminal by snooping the communication between the DHCP server and the terminal, monitors whether or not the IP address has been changed, and the IP address has been changed.
  • the control unit uses RARP to acquire an IP address corresponding to the terminal identifier of the terminal, monitors whether or not the IP address has been changed, and if the IP address is changed, the application rule.
  • the packet communication device according to the first or second paragraph.
  • (Section 7) It is a packet processing rule setting method executed by a packet communication device connected to one or more paths.
  • the packet communication device includes a routing unit that distributes a packet received from a terminal to any one of the one or more paths.
  • a packet processing rule setting method for acquiring an IP address of the terminal and setting an application rule for packet processing in the routing unit based on the IP address.
  • (Section 8) A program for making a computer function as each part in the packet communication device according to any one of the items 1 to 6.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

１以上のパスに接続されるパケット通信装置であって、端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部と、前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する制御部とを備える。

Description

パケット通信装置、パケット処理ルール設定方法、及びプログラム
　本発明は、パケットを、１以上のパスのうちのいずれかのパスに振り分ける技術及び振り分け時におけるパケット処理（フィルタリングやトラフィック制御等）を実施する技術に関連するものである。
　近年、ＩｏＴ機器の普及により、様々なＩｏＴ機器がネットワーク（ＮＷ）に接続されている。また、テレワーク等、ユーザが家庭用ＮＷにＰＣを接続して業務を行うケースも増えている。
　ＩｏＴ機器やＰＣ等の端末は、拠点に備えられるＣＰＥ（Customer Premises Equipment）に接続される。また、ＣＰＥは、１以上のパスを介して１以上のＮＷに接続され、端末からのパケットを宛先のＮＷに振り分ける処理を行う。
　パケットの振り分けを実現する技術として、入力Ｉ／Ｆ、送信元ＩＰアドレス、ポート番号等に基づいてパケットのルーティングを行う技術がある（例えば非特許文献１，２）。
Cisco, "Understanding Policy Routing" https://www.cisco.com/c/en/us/support/docs/ip/border-gateway-protocol-bgp/10116-36.html?dtid=osscdc000283 Linux（登録商標） IP-ROUTE https://manpages.debian.org/experimental/iproute2/ip-route.8.en.html
　一般家庭やＳＯＨＯ等の小規模ＮＷを有する拠点では、拠点内のＮＷが端末毎に分離されていないことが一般的である。このようなＮＷでは、入力Ｉ／Ｆ、ポート番号等に基づいて端末を区別することが難しく、また、ＤＨＣＰにより送信元ＩＰアドレスが動的に変わる場合が多い。そのため、端末毎に端末に応じたパケット処理を適切に行うことが難しいという課題がある。なお、本明細書における「パケット処理」は、その意味として、少なくとも「パケット振り分け」と「パケットフィルタリング」と「トラフィック制御」を含む。
　本発明は上記の点に鑑みてなされたものであり、端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるパケット通信装置において、パケット処理を適切に行うことを可能とする技術を提供することを目的とする。
　開示の技術によれば、１以上のパスに接続されるパケット通信装置であって、
　端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部と、
　前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する制御部と
　を備えるパケット通信装置が提供される。
　開示の技術によれば、端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるパケット通信装置において、パケット処理を適切に行うことが可能となる。
関連技術の例を説明するための図である。 関連技術の例を説明するための図である。 関連技術の例を説明するための図である。 本発明の実施の形態におけるシステムの全体構成例を示す図である。 本発明の実施の形態におけるシステムの動作概要を説明するための図である。 処理手順を示すフローチャートである。 テーブルの例を示す図である。 テーブルの例を示す図である。 実施例１を説明するための図である。 実施例１を説明するための図である。 ＤＨＣＰ払出の監視方法の例を示す図である。 実施例２を説明するための図である。 実施例２を説明するための図である。 変形例を説明するための図である。 ＣＰＥの機能構成例を示す図である。 オーケストレータの機能構成例を示す図である。 装置のハードウェア構成例を示す図である。
　以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
　（関連技術について）
　本実施の形態に係る技術を説明する前に、関連技術について説明する。図１は、関連技術における通信システムの構成例を示す。
　図１に示すように、本通信システムにおいて、拠点には、ＣＰＥ１０が備えられている。端末ＡがＮＷ１を介してＣＰＥ１０のインターフェース（ｅｔｈ１）に接続され、端末ＢがＮＷ２を介してＣＰＥ１０のインターフェース（ｅｔｈ２）に接続されている。なお、以降、インタフェースをＩ／Ｆと記載する。
　ＣＰＥ１０は、キャリア網２０を介して仮想ルータＡ、仮想ルータＡに接続されている。なお、「仮想ルータ」が使用されることは一例であり、「仮想ルータ」に代えて、「ルータ」が使用されてもよい。後述する本発明の実施の形態の説明でも同様である。
　ＣＰＥのｅｔｈ０上のトンネルＩ／Ｆ（ｔｕｎ０）と仮想ルータＡとの間、及び、トンネルＩ／Ｆ（ｔｕｎ１）と仮想ルータＢとの間のそれぞれに、トンネルが構築されている。トンネルは、仮想的なパスであり、トンネルを「パス」と呼んでもよい。関連技術、及び後述する本発明の実施の形態の説明において、トンネルは、パケットのカプセル化を行うトンネルであってもよいし、パケットのカプセル化を行わないトンネルであってもよい。例えば、パケットにＤＳＣＰ値等を付与することでＱｏＳ制御や優先制御を行う場合における当該パケットの通信がトンネルであってもよい。
　図１に示すとおり、ＣＰＥ１０は、各Ｉ／Ｆに加えて、ルーティング部１１を有している。ルーティング部１１は、ＰＢＲ（Ｐｏｌｉｃｙ－Ｂａｓｅｄ　Ｒｏｕｔｉｎｇ）によって、パケットの入力Ｉ／Ｆ、パケットの送信元ＩＰアドレス、パケットの送信元ポート番号等に基づいたルーティングを行うことが可能である。
　例えば、ルーティング部１１において、特定の送信元ＩＰアドレスを持つパケットの出力Ｉ／ＦとしてトンネルＩ／Ｆを指定することで、当該パケットを指定のトンネルへ振り分けることが可能である。
　図２に、ルーティング部１１に設定されるＰＢＲのルーティングルールの例を示す。図２に示す例では、パケットの入力Ｉ／Ｆに基づいて、出力Ｉ／Ｆが決定される。
　図３に、関連技術の他の構成例を示す。図２と比べて、図３に示す例は、拠点内構成が異なる。
　図３に示す例では、拠点は、マスユーザやＳＯＨＯ等を想定しており、そのＮＷは小規模なものである。ＣＰＥやＡＰの機能及び設置に制約があるため、図３に示すように、複数の端末が同一ＮＷ（ＮＷ１）に所属する。また、ＩＰアドレス払い出しはＤＨＣＰによって管理される。この構成には下記のような課題がある。
　すなわち、図３に示す構成では、複数端末が同一ＮＷに所属するため、入力Ｉ／Ｆが複数端末間で共通となる。よって、図２を参照して説明した入力Ｉ／Ｆに基づく端末毎のパケット振り分けができなくなる。また、サブネットも端末間で共通となるため、送信元サブネットによる振り分けもできなくなる。
　また、ＤＨＣＰにより端末のＩＰアドレスが動的に変更されるので、送信元ＩＰアドレスによるパケット振り分けを行う場合において、その変更に追随できず、所望したパケット振り分けができなくなる可能性がある。
　なお、パケットのポート番号やペイロードでＡＰＬ（アプリケーション）を大まかに特定することは可能であるが、端末の識別には不適であり、ポート番号やペイロードによる端末毎のパケット振り分けは困難である。
　以下、本発明の実施の形態に係る技術として、複数端末が同一ＮＷに接続され、ＩＰアドレスが動的に変更される場合でも、適切にパケットの振り分けを行うことを可能とする技術について説明する。
　（システムの構成例）
　図４に、本実施の形態における通信システムの全体の構成例を示す。図４に示すように、本通信システムにおける拠点は、図３の場合と同様に、マスユーザやＳＯＨＯ等の小規模ＮＷを有する拠点であり、複数端末が１つのＮＷに所属し、ＤＨＣＰによりＩＰアドレスが各端末に割り当てられることを想定している。
　ただし、このような想定は一例であり、本発明に係る技術は、拠点のＮＷの構成に依らずに適用可能である。例えば、図２に示す構成においても本発明に係る技術を適用することが可能である。
　本実施の形態における通信システムは、イーサネット（登録商標）上でＩＰパケットの通信を行うシステムであり、ＡＲＰ等の一般的な機能を少なくとも備えていることを想定しているが、このような想定は一例である。
　図４に示すように、本実施の形態における通信システムにおける拠点には、ＣＰＥ１００が備えられている。ＣＰＥ１００を宅内顧客装置、ホームゲートウェイ等と呼んでもよい。また、ＣＰＥ１００をパケット通信装置と呼んでもよい。
　ＣＰＥ１００には、ＡＰ（アクセスポイント）３０が接続され、ＡＰ３０の配下に端末４０～６０が接続されている。ＡＰ３０は、例えば、無線ＬＡＮのアクセスポイントである。図４には、端末４０～６０の具体例として、ＩｏＴ機器４０、企業貸与端末５０、個人用端末６０が示されている。
　ＣＰＥ１００は、キャリア網２０上に構築される各トンネルにより、仮想ルータ６１０、仮想ルータ６２０、及び仮想ルータ６３０に接続されている。仮想ルータ６１０はインターネット７１０に接続され、仮想ルータ６２０は企業ＮＷ７２０に接続され、仮想ルータ６３０はＭＥＣ７３０に接続されている。
　図４の例では、一例として、個人用端末６０からのパケットは、ベストエフォートの転送を行うトンネルに送出され、当該トンネルを介してインターネット７１０に送信される。また、企業貸与端末５０からのパケットは、優先制御を行うＶＰＮトンネルに送出され、当該トンネルを介して企業ＮＷ７２０に送信される。また、ＩｏＴ機器４０からのパケットは、優先制御を行う低遅延トンネルに送出され、当該トンネルを介してＭＥＣ（Multi-access Edge Computing）のネットワーク７３０に送信される。
　本実施の形態では、ＩＰアドレスが動的に変更される場合であっても、ＣＰＥ１００のルーティング部１４０は、端末毎のパケット振り分けを行うことが可能である。これを可能とするＣＰＥ１００の詳細については後述する。
　上記の処理を行うためにＣＰＥ１００等への情報登録のために、オーケストレータ２００が備えられている。また、サービスオーダＤＢ５００が備えられており、オーケストレータ２００はサービスオーダＤＢ５００にアクセス可能である。サービスオーダＤＢ５００は、オーケストレータ２００の内部に備えられていてもよいし、オーケストレータ２００の外部に備えられていてもよい。
　サービスオーダＤＢ５００には、ユーザ毎に、ポータルサイトのアカウント名、サービス加入状況、ＣＰＥと仮想ルータのＩＰアドレス及びＡＰＩ情報、ＶＰＮ接続先のＩＰアドレス、ＣＰＥのＩ／Ｆ情報（Ｉ／Ｆ名や設定値）等が格納されている。
　ユーザ４００（ユーザの端末等）は、ポータルサイト３００（Ｗｅｂサーバ等）にアクセスすることで、設定情報を投入することができる。
　すなわち、ユーザ４００は、ポータルサイト３００（お客様設定ページ等）にアクセスして、端末情報、サービス情報等を設定する。端末情報は、例えば、ユーザが設定したい端末の情報（ＭＡＣアドレス等）である。サービス情報は、例えば、ユーザが設定したいサービスの情報（ＶＰＮ接続先、優先度等）である。
　例えば、ユーザが、企業貸与端末５０を、ＶＰＮトンネルを介して高優先で企業ＮＷ上の業務サーバに接続させたい場合において、ユーザは、企業貸与端末５０のＭＡＣアドレス、接続先（企業ＮＷ）、及び、高優先の接続を指示する情報をポータルサイト３００にアクセスして設定する。
　ポータルサイト３００からオーケストレータ２００に対して、ユーザが設定した設定情報が送られる。オーケストレータ２００は、設定をしたユーザのアカウント名、及びユーザが入力した設定情報等に基づいて、サービスオーダＤＢ５００から、ＣＰＥ１００への設定に必要なユーザ情報（ＣＰＥのＩＰアドレス、ＡＰＩ情報、認証情報等）、接続先サービスのＣＰＥ設定投入情報（トンネルインターフェイス名やＤＳＣＰ値等）等を取得して、端末情報（ＭＡＣアドレス）及びＣＰＥ設定投入情報をＣＰＥ１００に設定する。ここで設定される情報は、後述する端末識別子と接続先との紐付け情報に相当する。仮想ルータに対しても必要な設定を行う。
　上記のようにして、ＣＰＥ１００等への設定を行うことで、ユーザ４００は、ポータルサイト３００経由でオーダしたサービスを受けることができる。
　（ＣＰＥ１００の構成、動作等）
　図５は、ＣＰＥ１００の内部構成を含む、本実施の形態における通信システムの構成例を示す図である。図５に示す例において、拠点にはＣＰＥ１０が備えられている。端末Ａと端末ＢはいずれもＮＷ１を介してＣＰＥ１００のＩ／Ｆ（ｅｔｈ１）に接続されている。
　ＣＰＥ１００のｅｔｈ０上のトンネルＩ／Ｆ（ｔｕｎ０）と仮想ルータＡとの間、及び、トンネルＩ／Ｆ（ｔｕｎ１）と仮想ルータＢとの間のそれぞれに、トンネルが構築されている。
　図５に示すように、ＣＰＥ１００は、上述した各Ｉ／Ｆに加えて、プロセス１１０、端末情報ＤＢ１２０、アドレス情報ＤＢ１３０、ルーティング部１４０を有する。なお、プロセス１１０は、ＣＰＥ１００内で実行されるプログラムに相当する。あるいは、プロセス１１０は、ＣＰＥ１００内でプログラムが実行されることにより実現される機能部に相当する。
　ルーティング部１４０は、ＰＢＲのルーティングルール等のパケット処理の適用ルールを保持しており、当該適用ルールに従って、端末から受信したパケットのパスへの振り分けや、パケットフィルタリング、トラフィック制御等のパケット処理を行う。アドレス情報ＤＢ１３０は、例えば、ＤＨＣＰのリーステーブル、ＡＲＰテーブル、Ｒａｄｉｕｓサーバのデータベース等である。アドレス情報ＤＢ１３０は、ＤＨＣＰのリーステーブル、ＡＲＰテーブル、Ｒａｄｉｕｓサーバのデータベース等に限定されるわけではなく、これら以外のテーブルやデータベースであってもよい。アドレス情報ＤＢ１３０は、ＣＰＥ１００の内部ではなく、ＣＰＥ１００の外部に備えられてもよい。
　プロセス１１０は、ＲＥＳＴ　ＡＰＩを有しており、オーケストレータ２００からの設定情報をＲＥＳＴ　ＡＰＩが仲介して各ＤＢ等へ投入がなされる。ＡＰＩではなくＳＳＨでオーケストレータ２００が直接にＣＰＥ１００に設定投入することとしてもよい。プロセス１１０が実行する処理を図６のフローチャートを参照して説明する。
　下記の処理の前提として、アドレス情報ＤＢ１３０には、端末毎に、端末のＩＰアドレスと端末識別子との紐付け情報が格納されている。紐付け情報は、端末のＩＰアドレスが変更になれば更新される。また、ルーティング部１４０には、各端末について、プロセス１１０により取得されたＩＰアドレスに基づいて、ＰＢＲのルーティングルールが設定されている。
　ルーティング部１４０におけるパケット処理の適用ルールとしてＰＢＲのルーティングルールを使用することは一例に過ぎない。ルーティング部１４０におけるパケット処理の適用ルールとして、ＡＣＬ、フィルタリングルール（例：ｉｐｔａｂｌｅｓ、ｆｉｒｅｗａｌｌ）、帯域制御や優先制御等のトラフィック制御（例：Ｌｉｎｕｘ（登録商標）のｔｒａｆｆｉｃ　ｃｏｎｔｒｏｌ）を使用してもよい。ルーティング部１４０におけるパケット処理の適用ルールとして、これら以外のルールを使用してもよい。また、ルーティング部１４０におけるパケット処理の適用ルールは、１つであってもよいし、複数であってもよい。
　なお、ｉｐｔａｂｌｅｓコマンドに基づくフィルタリングルールにより、送信元／送信先ＩＰアドレスに基づいたパケット処理（許可、拒否、ＮＡＰＴ実施等）を実行することが可能である。また、ｔｃ（ｔｒａｆｆｉｃ　ｃｏｎｔｒｏｌ）コマンドに基づくトラフィック制御のルールにより、送信元／送信先ＩＰアドレスに基づいたパケット処理（シェーピング、遅延、順序変更等）を実行することが可能である。
　本実施の形態では、端末識別子として端末のＭＡＣアドレスを使用している。アドレス情報ＤＢ１３０に格納されている紐付け情報の例を図７に示す。ＩＰアドレスと端末識別子との紐付け情報の取得（更新）方法の例については、後述する実施例１、２において説明する。
　なお、端末識別子として端末のＭＡＣアドレスを使用することは一例である。ＭＡＣアドレス以外の端末識別子として、ＳＩＭのＩＭＳＩあるいはＩＭＥＩ、端末ホスト名等を用いてもよい。ＭＡＣアドレス以外のこれら識別子とＩＰアドレスを管理するプロトコル（ＲａｄｉｕｓやＩｏＴ　Ｄｅｖｉｃｅ　ｄｉｓｃｏｖｅｒｙ等）とを連携させることが可能である。以下、図６の手順に沿って説明する。なお、図６に示す手順は、例えば、所定の時間間隔で繰り返し実行される。
　＜Ｓ１＞
　Ｓ１において、プロセス１１０は、端末のＭＡＣアドレスと、当該端末の接続先（Ｉ／Ｆ名等）の紐付け情報をオーケストレータ２００から取得し、取得した紐付け情報を端末情報ＤＢ１２０に格納する。端末情報ＤＢ１２０に格納される情報の例を図８に示す。図８において、例えば、エントリ１００には、ある端末のＭＡＣアドレスがｔｕｎ０に紐付けられていることが示されている。
　＜Ｓ２＞
　Ｓ２において、プロセス１１０は、端末情報ＤＢ１２０に格納されている端末識別子（ＭＡＣアドレス）のそれぞれについて、アドレス情報ＤＢ１３０を参照することにより、対応するＩＰアドレスを取得する。つまり、端末識別子（ＭＡＣアドレス）の端末に払い出されているＩＰアドレスを取得する。なお、アドレス情報ＤＢ１３０を参照することによりＩＰアドレスを取得することは一例である。
　＜Ｓ３＞
　プロセス１１０は、ある端末について、Ｓ２で取得したＩＰアドレスが、前回のＳ２で取得したＩＰアドレスと異なることを検知した場合に、当該端末についての、パケット処理の適用ルールを更新する。具体的には、例えば、ＰＢＲのルーティングルールを更新する。
　例えば、端末Ａに関して、「送信元ＩＰアドレス＝ＡＡＡＡ．ＢＢＢＢ．ＣＣＣＣ．ＤＤＤＤのパケットはｔｕｎ０から送信する」というルーティングルールがルーティング部１４０に設定されている場合において、プロセス１１０が、端末ＡのＩＰアドレスが"ＡＡＡＡ．ＢＢＢＢ．ＣＣＣＣ．ＤＤＤＤ"から"ＡＡＡＡ．ＢＢＢＢ．ＣＣＣＣ．ＥＥＥＥ"に変更されたことを検知した場合に、プロセス１１０は、ルーティングルールを「送信元ＩＰアドレス＝ＡＡＡＡ．ＢＢＢＢ．ＣＣＣＣ．ＥＥＥＥのパケットはｔｕｎ０から送信する」に更新する。
　以下、上述した構成において、ＩＰアドレスと端末識別子（ここではＭＡＣアドレス）との紐付け情報の取得方法をより具体的に説明した実施例を、実施例１、２として説明する。
　（実施例１）
　図９に、実施例１における通信システムの構成例を示す。図９に示すように、実施例１のＣＰＥ１００は、図５を参照して説明した各Ｉ／Ｆ、プロセス１１０、端末情報ＤＢ１２０、ルーティング１４０に加えて、ＤＨＣＰサーバ１５０、リーステーブル１６０を備える。リーステーブル１６０は、図５に示したアドレス情報ＤＢ１３０の例である。
　なお、図９は、一例として、ＣＰＥ１００が、ＤＨＣＰサーバ１５０、リーステーブル１６０を備える場合の例を示している。実施例１において、ＤＨＣＰサーバ１５０（及びリーステーブル１６０）は、ＣＰＥ１００の外部に備えられていてもよい。
　実施例１では、プロセス１１０は、ＤＨＣＰサーバ１５０の機能を用いて、ＭＡＣアドレスから、端末に払い出されているＩＰアドレスを取得し、ＩＰアドレスに変更がある場合にＰＢＲを更新する。より詳細には、下記の例１－１～例１－３がある。
　＜例１－１＞
　例１－１では、図９において「例１－１」として示されているように、プロセス１１０は、ＤＨＣＰサーバ１５０のリーステーブル１６０を監視することで、各ＭＡＣアドレスについて、払い出されているＩＰアドレスに変更があるか否かを判定する。図１０に、リーステーブル１６０に格納される情報の例を示す。
　＜例１－２＞
　例１－２では、ＤＨＣＰサーバ１５０はＣＰＥ１００の内部にあってもよいし、ＣＰＥ１００の外部にあってもよい。ただし、例１－２は、ＤＨＣＰサーバ１５０の機能に依存する。ここでは、下記の機能をＤＨＣＰサーバ１５０が有しているものと想定する。
　例１－２では、プロセス１１０は、ＤＨＣＰサーバ１５０により提供されるＡＰＩを利用することにより、端末のＭＡＣアドレスに対応するＩＰアドレスを取得する。プロセス１１０は、ＤＨＣＰの固定ＩＰの設定を参照してもよい。
　また、プロセス１１０は、ＤＨＣＰサーバ１５０が端末にＩＰアドレスを払い出した場合に、当該端末のＭＡＣアドレスと、払い出したＩＰアドレスとをＤＨＣＰサーバ１５０から通知してもらうこととしてもよい。
　＜例１－３＞
　例１－３でも、ＤＨＣＰサーバ１５０はＣＰＥ１００の内部にあってもよいし、ＣＰＥ１００の外部にあってもよい。例１－３では、プロセス１１０が、ＤＨＣＰサーバ１５０と端末（ＤＨＣＰクライアント）との間で送受信されるメッセージをスヌーピングすることにより、当該端末へのＩＰアドレスの払い出しを検知する。
　図１１に、端末ＡとＤＨＣＰサーバ１５０との間のメッセージのやりとりの例を示す。
　Ｓ１０１において、端末Ａが、ブロードキャストでＤＨＣＰ－Ｄｉｓｃｏｖｅｒｙを送信する。ＤＨＣＰ－Ｄｉｓｃｏｖｅｒｙを受信したＤＨＣＰサーバ１５０は、Ｓ１０２において、端末Ａに対して、提案ＩＰアドレスを含むＤＨＣＰ－Ｏｆｆｅｒを送信する。
　Ｓ１０３において、端末Ａは、提案を受けたＩＰアドレスの払い出しをしてもらうよう、ＤＨＣＰ－ＲｅｑｕｅｓｔをＤＨＣＰサーバ１５０に送信する。Ｓ１０４において、ＤＨＣＰサーバ１５０は、ＩＰ払い出しの承認をするＤＨＣＰ－Ａｃｋｎｏｗｌｅｄｇｅを端末Ａに送信する。
　プロセス１１０は、例えば、ある端末からＤＨＣＰ－Ｄｉｓｃｏｖｅｒｙが送信されたことを検知すると、Ｓ１０３において当該端末から送信されるＤＨＣＰ－Ｒｅｑｕｅｓｔを監視し、ＤＨＣＰ－Ｒｅｑｕｅｓｔに含まる要求ＩＰアドレスを、ＤＨＣＰサーバ１５０により当該端末に払い出されたＩＰアドレスとして取得する。
　（実施例２）
　図１２に、実施例２における通信システムの構成例を示す。図１２に示すように、実施例２のＣＰＥ１００は、図５を参照して説明した各Ｉ／Ｆ、プロセス１１０、端末情報ＤＢ１２０、ルーティング１４０に加えて、ＡＲＰテーブル１７０を備える。ＡＲＰテーブル１７０は、図５に示したアドレス情報ＤＢ１３０の例である。
　図１３に、ＡＲＰテーブル１７０に格納される情報の例を示す。図１３に示すように、ＡＲＰテーブル１７０には、Ｉ／Ｆ、ＩＰアドレス、ＭＡＣアドレスが対応付けて格納されている。例えば、ＣＰＥ１００のルーティング部１４０は、ＩＰアドレス＝１９２．１６８．０．１０の端末にＩＰパケットを送信する場合、ＡＲＰテーブル１７０を参照して、ＩＰアドレス＝１９２．１６８．０．１０に対応するＭＡＣアドレスを宛先とするイーサフレーム（ＩＰパケットを含む）をｅｔｈ１から送信する。
　実施例２では、プロセス１１０は、ＡＲＰを用いて、ＭＡＣアドレスからＩＰアドレスを取得する。より詳細には、下記の例２－１～例２－２がある。
　＜例２－１＞
　例２－１では、プロセス１１０は、端末情報ＤＢ１２０における各ＭＡＣアドレスについて、ＡＲＰテーブル１７０を参照することにより、ＭＡＣアドレスに対応するＩＰアドレスが更新（変更）されたかどうかを監視して、更新されたことを検知した場合に、ＰＢＲのルーティングルールを更新する。
　＜例２－２＞
　例２－２において、プロセス１１０は、ＲＡＲＰ（Reverse Address Resolution Protocol）の機能を有している。プロセス１１０は、対応するＩＰアドレスを知りたいＭＡＣアドレスを含むリクエストをブロードキャストし、リクエストを受信した端末（あるいはサーバ）において、当該ＭＡＣアドレスに対応するＩＰアドレスを知っている場合に、当該ＩＰアドレスをプロセス１１０に返す。
　プロセス１１０は、端末情報ＤＢ１２０における各ＭＡＣアドレスについて、例えば定期的にＲＡＲＰを用いて対応するＩＰアドレスを取得し、ＩＰアドレスに変更があった場合に、ＰＢＲのルーティングルールを更新する。
　なお、ＭＡＣアドレスからＩＰアドレスを知ることができる手順（プロトコル）であれば、ＲＡＲＰ以外の手順を使用してもよい。
　（変形例）
　これまでの説明では、拠点に設置されたＣＰＥ１００のルーティング部１４０がパケットの振り分け処理を行っていたが、このような構成は一例である。
　例えば、図１４に示すように、拠点のＣＰＥ１００とＬ２トンネルで接続されたクラウドサービス上の仮想ＣＰＥ７００におけるルーティング部７４０が、パケットの振り分け処理を行うこととしてもよい。図１４に示す例において、Ｌ２トンネルは、例えば、Ｌ２ＴＰやＶＸＬＡＮ等のＬ２ＶＰＮのトンネルであり、仮想ＣＰＥ７００は、ＣＰＥ１００と同一ＮＷに存在する。
　この例において、仮想ＣＰＥ７００が、これまでに説明したＣＰＥ１００と同じ構成（プロセス、端末情報ＤＢ等）を有し、これまでに説明したＣＰＥ１００と同じ処理を実行する。また、端末が、これまでに説明したＣＰＥ１００と同じ構成（プロセス、端末情報ＤＢ等）を有し、これまでに説明したＣＰＥ１００と同じ処理を実行する機能部を備えることとしてもよい。
　パケット振り分け処理、及び適用ルールの設定及び変更を行うＣＰＥ１００、仮想ＣＰＥ７００、端末の機能部等の装置を総称して「パケット通信装置」と呼んでもよい。
　（装置構成例）
　図１５に、ＣＰＥ１００が有する機能に着目したＣＰＥ１００の機能構成例を示す。図１５に示すように、ＣＰＥ１００は、通信部１０１、ルーティング部１０２、制御部１０３、記憶部１０４を有する。仮想ＣＰＥ７００についても同様の構成を備える。
　通信部１０１は、図５等に示したＩ／Ｆに相当し、パケットの送受信を行う。ルーティング部１０２は、図５等に示したルーティング部１４０に相当し、ＰＢＲのルーティングルールに基づいてパケットの振り分け処理を行う。制御部１０３は、図５等に示したプロセス１１０に相当し、実施例１，２等で説明したように、ＩＰアドレスの変更有無をチェックして、変更がある場合に、ルーティング部１４０におけるＰＢＲのルーティングルールを更新する。記憶部１０４は、図５等に示した端末情報ＤＢ１２０及びアドレス情報ＤＢ１３０に相当し、各種データを格納する。
　図１６は、オーケストレータ２００の機能構成例を示す図である。図１６に示すように、オーケストレータ２００は、設定情報取得部２０１、記憶部２０２、登録部２０３を有する。
　設定情報取得部２０１は、ポータルサイト３００から、ユーザ４００により設定された情報を取得する。記憶部２０２は、図４に示したサービスオーダＤＢ５００に相当する。登録部２０３は、例えば、設定情報取得部２０１により取得した情報（端末識別子（ＭＡＣアドレス等））と、記憶部２０２から読み出した情報（接続先（Ｉ／Ｆ名等））とに基づいて、端末識別子（ＭＡＣアドレス等）と接続先（Ｉ／Ｆ名等）をＣＰＥ１００（あるいは仮想ＣＰＥ７００）に送信（登録）する。
　＜ハードウェア構成例＞
　ＣＰＥ１００、仮想ＣＰＥ７００、オーケストレータ２００、端末はいずれも、例えば、コンピュータにプログラムを実行させることにより実現できる。このコンピュータは、物理的なコンピュータであってもよいし、仮想マシンであってもよい。
　すなわち、当該装置（ＣＰＥ１００、仮想ＣＰＥ７００、オーケストレータ２００、端末）は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。
　図１７は、上記コンピュータのハードウェア構成例を示す図である。図１６のコンピュータは、それぞれバスＢで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。
　当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしもコンピュータ読み取り可能な記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、当該装置に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられ、通信部として機能する。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。
　なお、コンピュータ読み取り可能な記録媒体とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでもよい。また上記プログラムは、当該装置の機能の一部を実現するためのものであっても良い。
　（実施の形態の効果）
　本実施の形態に係る技術により、端末毎のパケット処理（トンネル振り分け等）を実現する際に、同一ＮＷに所属する端末であっても、ＩＰアドレスの変更に常時追従しながらルールを更新することで、ＮＷの規模やＤＨＣＰサーバなどの設置箇所に依らない端末毎のパケット処理や制御が可能となる。
　（実施の形態のまとめ）
　本明細書には、少なくとも下記各項に記載のパケット通信装置、パケット処理ルール設定方法、及びプログラムが開示されている。
（第１項）
　１以上のパスに接続されるパケット通信装置であって、
　端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部と、
　前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する制御部と
　を備えるパケット通信装置。
（第２項）
　前記パケット処理の適用ルールは、ＰＢＲにおけるルーティングルール、フィルタリングルール、及びトラフィック制御のルールのうちのいずれか１つ又は複数である
　第１項に記載のパケット通信装置。
（第３項）
　前記制御部は、ＩＰアドレスと端末識別子を保持するデータベースを参照することにより、前記端末の端末識別子に対応するＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
　第１項又は第２項に記載のパケット通信装置。
（第４項）
　前記制御部は、ＤＨＣＰサーバから前記端末の端末識別子に対応するＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
　第１項又は第２項に記載のパケット通信装置。
（第５項）
　前記制御部は、ＤＨＣＰサーバと前記端末との間の通信をスヌーピングすることにより、前記端末のＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
　第１項又は第２項に記載のパケット通信装置。
（第６項）
　前記制御部は、ＲＡＲＰを用いて、前記端末の端末識別子に対応するＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
　第１項又は第２項に記載のパケット通信装置。
（第７項）
　１以上のパスに接続されるパケット通信装置が実行するパケット処理ルール設定方法であって、
　前記パケット通信装置は、端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部を備えており、
　前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する
　パケット処理ルール設定方法。
（第８項）
　コンピュータを、第１項ないし第６項のうちいずれか１項に記載のパケット通信装置における各部として機能させるためのプログラム。
　以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１０、１００　ＣＰＥ
２０　キャリア網
３０　ＡＰ
４０～６０　端末
１０１　通信部
１０２　ルーティング部
１０３　制御部
１０４　記憶部
１１０　プロセス
１２０　端末情報ＤＢ
１３０　アドレス情報ＤＢ
１１、１４０、７４０　ルーティング部
１５０　ＤＨＣＰサーバ
１６０　リーステーブル
１７０　ＡＲＰテーブル
２００　オーケストレータ
２０１　設定情報取得部
２０２　記憶部
２０３　登録部
３００　ポータルサイト
４００　ユーザ
５００　サービスオーダＤＢ
６１０～６３０　仮想ルータ
７００　仮想ＣＰＥ
７１０　インターネット
７２０　企業ＮＷ
７３０　ＭＥＣ
１０００　ドライブ装置
１００１　記録媒体
１００２　補助記憶装置
１００３　メモリ装置
１００４　ＣＰＵ
１００５　インタフェース装置
１００６　表示装置
１００７　入力装置
１００８　出力装置

Claims (8)

  1. 　１以上のパスに接続されるパケット通信装置であって、
    　端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部と、
    　前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する制御部と
    　を備えるパケット通信装置。
  2. 　前記パケット処理の適用ルールは、ＰＢＲにおけるルーティングルール、フィルタリングルール、及びトラフィック制御のルールのうちのいずれか１つ又は複数である
    　請求項１に記載のパケット通信装置。
  3. 　前記制御部は、ＩＰアドレスと端末識別子を保持するデータベースを参照することにより、前記端末の端末識別子に対応するＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
    　請求項１又は２に記載のパケット通信装置。
  4. 　前記制御部は、ＤＨＣＰサーバから前記端末の端末識別子に対応するＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
    　請求項１又は２に記載のパケット通信装置。
  5. 　前記制御部は、ＤＨＣＰサーバと前記端末との間の通信をスヌーピングすることにより、前記端末のＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
    　請求項１又は２に記載のパケット通信装置。
  6. 　前記制御部は、ＲＡＲＰを用いて、前記端末の端末識別子に対応するＩＰアドレスを取得し、当該ＩＰアドレスが変更されたか否かを監視し、当該ＩＰアドレスが変更された場合に、前記適用ルールを更新する
    　請求項１又は２に記載のパケット通信装置。
  7. 　１以上のパスに接続されるパケット通信装置が実行するパケット処理ルール設定方法であって、
    　前記パケット通信装置は、端末から受信したパケットを、前記１以上のパスのうちのいずれかのパスに振り分けるルーティング部を備えており、
    　前記端末のＩＰアドレスを取得し、当該ＩＰアドレスに基づいて、前記ルーティング部におけるパケット処理の適用ルールを設定する
    　パケット処理ルール設定方法。
  8. 　コンピュータを、請求項１ないし６のうちいずれか１項に記載のパケット通信装置における各部として機能させるためのプログラム。
PCT/JP2020/033781 2020-09-07 2020-09-07 パケット通信装置、パケット処理ルール設定方法、及びプログラム WO2022049768A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022546854A JPWO2022049768A1 (ja) 2020-09-07 2020-09-07
US18/024,707 US20230344761A1 (en) 2020-09-07 2020-09-07 Packet communication apparatus, packet processing rule setting method and program
PCT/JP2020/033781 WO2022049768A1 (ja) 2020-09-07 2020-09-07 パケット通信装置、パケット処理ルール設定方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/033781 WO2022049768A1 (ja) 2020-09-07 2020-09-07 パケット通信装置、パケット処理ルール設定方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2022049768A1 true WO2022049768A1 (ja) 2022-03-10

Family

ID=80490870

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/033781 WO2022049768A1 (ja) 2020-09-07 2020-09-07 パケット通信装置、パケット処理ルール設定方法、及びプログラム

Country Status (3)

Country Link
US (1) US20230344761A1 (ja)
JP (1) JPWO2022049768A1 (ja)
WO (1) WO2022049768A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002101120A (ja) * 2000-09-20 2002-04-05 Toshiba Corp 通信方法および情報処理装置
JP2010161499A (ja) * 2009-01-06 2010-07-22 Fujitsu Ltd パケット送信システム、送信端末、受信端末、送信プログラム、受信プログラム
JP2011082593A (ja) * 2009-10-02 2011-04-21 Nippon Telegr & Teleph Corp <Ntt> 通信システム及び通信プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002101120A (ja) * 2000-09-20 2002-04-05 Toshiba Corp 通信方法および情報処理装置
JP2010161499A (ja) * 2009-01-06 2010-07-22 Fujitsu Ltd パケット送信システム、送信端末、受信端末、送信プログラム、受信プログラム
JP2011082593A (ja) * 2009-10-02 2011-04-21 Nippon Telegr & Teleph Corp <Ntt> 通信システム及び通信プログラム

Also Published As

Publication number Publication date
US20230344761A1 (en) 2023-10-26
JPWO2022049768A1 (ja) 2022-03-10

Similar Documents

Publication Publication Date Title
EP3466037B1 (en) Subnet stretching via layer three communications
US9485147B2 (en) Method and device thereof for automatically finding and configuring virtual network
CN116057910B (zh) 虚拟私有云通信及配置方法以及相关装置
US9712383B2 (en) Device abstraction in autonomous wireless local area networks
US8380819B2 (en) Method to allow seamless connectivity for wireless devices in DHCP snooping/dynamic ARP inspection/IP source guard enabled unified network
US8108496B2 (en) Method and apparatus for selecting forwarding modes
US9559891B2 (en) System and method for hosted network management
US8605582B2 (en) IP network system and its access control method, IP address distributing device, and IP address distributing method
US9025533B1 (en) System and method for dynamic VLAN assignment
US11895092B2 (en) Network access controller operation
CN107517129B (zh) 一种基于OpenStack配置设备上行接口的方法和装置
WO2018161795A1 (zh) 一种路由优先级配置方法、设备以及控制器
US20060193330A1 (en) Communication apparatus, router apparatus, communication method and computer program product
WO2022049768A1 (ja) パケット通信装置、パケット処理ルール設定方法、及びプログラム
JP5937563B2 (ja) 通信基地局およびその制御方法
US11997067B2 (en) Managing internet protocol (IP) address allocation to tenants in a computing environment
JP6360012B2 (ja) ネットワーク統合システムおよびネットワーク統合方法
KR101538737B1 (ko) 동적 호스트 구성 프로토콜을 이용한 ip 할당 방법
JP6417799B2 (ja) ネットワークコントローラ、ネットワーク制御方法、およびプログラム
JP6600606B2 (ja) サーバ装置およびネットワークシステム
CN114765601A (zh) 一种地址前缀获取方法及装置
CN114079649A (zh) 地址分配方法、设备及系统
US20230006998A1 (en) Management of private networks over multiple local networks
US11552928B2 (en) Remote controller source address verification and retention for access devices
CN117812046A (zh) 隔离终端dhcp准入管控方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2022546854

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20952502

Country of ref document: EP

Kind code of ref document: A1