(57)【要約】【課題】  本発明は、フォワーディングエンジンが搭載されたパケット中継装置と、このパケット中継装置を実現するソフトウエアと、そのソフトウエアが格納された記録媒体とに関し、構成が大幅に変更されることなく、過負荷状態が抑制され、あるいは回避されることを目的とする。【解決手段】  予め登録された種類のパケットのフィルタリングを行うフィルタリング手段と、フィルタリング手段にパケットが入力される前に、パケットを処理するアプリケーションによって指定された種類を予め登録された種類とする制御手段とを備えて構成される。【選択図】    図１
2006345366.tif 000002
【特許請求の範囲】
【請求項１】
予め登録された種類のパケットのフィルタリングを行うフィルタリング手段と、
前記フィルタリング手段に前記パケットが入力される前に、前記パケットを処理するアプリケーションによって指定された種類を前記予め登録された種類とする制御手段と
を備えたことを特徴とするパケット中継装置。
【請求項２】
予め登録された種類のパケットのフィルタリングを行うフィルタリング手段と、
前記フィルタリング手段に前記パケットが入力される前に、前記パケットの受信もしくは転送に用いられるプロトコルに基づいて定まる種類を特定し、その種類を前記予め登録された種類とする制御手段と
を備えたことを特徴とするパケット中継装置。
【請求項３】
請求項１または請求項２に記載のパケット中継装置において、
前記制御手段は、
前記パケットの宛先が属する特定の拠点で用いられるアドレスが含まれる種類を始動時に前記予め登録された種類とする
ことを特徴とするパケット中継装置。
【請求項４】
請求項１ないし請求項３の何れか１項に記載のパケット中継装置において、
前記制御手段は、
前記パケット中継装置に収容された端末のアドレスが含まれる種類を始動時に前記予め登録された種類とする
ことを特徴とするパケット中継装置。
【請求項５】
請求項１ないし請求項４の何れか１項に記載のパケット中継装置において、
前記制御手段は、
全ての端末を意味する特定のアドレスが含まれる種類を始動時に前記予め登録された種類とする
ことを特徴とするパケット中継装置。
【請求項６】
請求項１ないし請求項４の何れか１項に記載のパケット中継装置を構成する制御手段としてコンピュータを機能させるプログラム。
【請求項７】
請求項１ないし請求項４の何れか１項に記載のパケット中継装置を構成する制御手段としてコンピュータを機能させるプログラムが格納され、かつコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ハードウエアとして構成されフォワーディングエンジンによってパケットのフィルタリングその他の通信制御が行われるパケット中継装置と、このパケット中継装置を実現するソフトウエアと、そのソフトウエアが格納された記録媒体とに関する。
【背景技術】
【０００２】
近年、ルータ等のパケット中継装置には、高いスループットの安価な実現を目的として、パケットフィルタリングを高速に行う専用のハードウェアであるフォワーディングエンジンが搭載されつつある。
図３は、フォワーディングエンジンが搭載されたルータの構成例を示す図である。
図において、ルータ１０は、ＬＡＮ(Local Area Network)２１を介して情報端末装置２２に接続され、かつＷＡＮ(Wide Area Network)２３にも接続される。
【０００３】
ルータ１０には、ＬＡＮ２１に接続された網インタフェース部１１-1と、ＷＡＮ２３に接続された網インタフェース部１１-2とが備えられ、これらの網インタフェース部１１-1、１１-2の段間にフォワーディングエンジン１２が配置される。このフォワーディングエンジン１２には、テーブル１２Ｔが内蔵される。さらに、網インタフェース部１１-1、１１-2およびフォワーディングエンジン１２は、プロセッサ１３の対応する入出力ポートに接続される。
【０００４】
このような構成のルータ１０では、網インタフェース部１１-1は、例えば、情報端末装置２２からＬＡＮ２１を介してパケット（ここでは、プロトコルＭＬＤ（Multicast Listener Discovery）に準拠した「マルチキャスト要求」に該当すると仮定し、以下では、「要求パケット」と称する。）が与えられる（図４(1))と、フォワーディングエンジン１２にそのパケットを引き渡す。
【０００５】
なお、上述したプロトコルＭＬＤによれば、マルチキャストを希望する端末がネットワークに対して事前に所望のマルチキャストグループを申告し、その申告を行った端末のポートに対してネットワーク機器が該当するマルチキャストグループのパケット（ユニキャストの対象であるパケットと異なり、宛先が単一のアドレスとしては指定されないために、ルータやスイッチ等のネットワーク機器では、この単一のアドレスに応じて定まるポートに対する振り分けを行うことができない。）を引き渡すことによって、ネットワークの負荷の低減が図られる。以下、このようなマルチキャストグループのパケットについては、「マルチキャストパケット」と称する。
【０００６】
フォワーディングエンジン１２は、上述した要求パケットを内蔵されたバッファメモリ（図示されない。）に登録する。さらに、フォワーディングエンジン１２は、その要求パケットのヘッダに含まれる情報の内、所定のパケットフィルタリングその他の通信制御に必要な制御情報（例えば、「マルチキャストパケットの種類や転送先」を示す。）が上述したテーブル１２Ｔに登録されていない場合には、該当する要求パケットをプロセッサ１３に引き渡す。
【０００７】
プロセッサ１３は、この要求パケットから上述した制御情報を抽出し、その制御情報をテーブル１２Ｔに登録する（図４(2),図５ステップＳ１))。
また、フォワーディングエンジン１２は、バッファメモリに登録された要求パケットがそのバッファメモリから読み出されるまでに上記の制御情報がテーブル１２Ｔに登録された場合には、この制御情報に基づいて該当する要求パケットのフィルタリング（フォワーディング）を行う。
【０００８】
このようなフィルタリングの過程では、要求パケットは、例えば、網インタフェース部１１-2宛に引き渡され、さらに、網インタフェース部１１-2を介してＷＡＮ２３に引き渡される（図４(3))。
しかし、既述の通りに網インタフェース部１１-1から引き渡された制御パケットに含まれる制御情報がテーブル１２Ｔに既に登録されている場合には、フォワーディングエンジン１２は、この制御パケットをプロセッサ１３に引き渡すことなく、その制御情報に基づいてパケットフィルタリング（フォワーディング）を行う。
【０００９】
なお、このようなパケットフィルタリングは、上述した制御パケットだけではなく、例えば、既述の「マルチキャスト要求」に応じて図４に示すようにＷＡＮ２３側から配信されたマルチキャストパケットの列のように、引き渡し元と引き渡し先との何れもがＷＡＮ２３とＬＡＮ２１の何れかに該当する全てのパケットに対しても施される。
また、上述したパケットフィルタリングの過程では、既述のパケットの引き渡しや転送だけではなく、例えば、「ＩＰアドレス、プロトコルその他が特定の条件を満たすパケットを廃棄することによって、情報端末装置２２のセキュリティを確保する処理」も行われる。
【００１０】
さらに、上述した制御情報は、例えば、ＩＰｖ６(Internet Protocol Version 6) が適用された場合には、図６(a)、(b)に示すようにパケットのヘッダに配置され、かつ図６(c) 〜(h) に示すように、該当するパケットの種類に応じた多様な形式で与えられる。
なお、本願発明に関連する先行技術としては、例えば、後述する特許文献１、２に記載されるように、「パケットの通過時にネットワーク内存続時間情報（ＴＴＬ: Time To Live）の妥当性をチェックすることによって、ネットワーク内に構成されている論理グループの内外間におけるパケットのフィルタリングを行う点に特徴がある不正アクセス防止方法」と、「ＩＰパケットのフィルタリングを高速かつ高度に行うために、パケットに適用可能なバイトコードを使用して当該パケットの通過の可否を判定する点に特徴がある通信制御装置」とがある。
【特許文献１】特開平１０−２７１１５４号公報
【特許文献２】特開２００４−１８０１５９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ところで、上述した従来例では、テーブル１２Ｔに登録されていない制御情報を含む全てのパケットがフォワーディングエンジン１２によってプロセッサ１３に引き渡される。しかも、プロセッサ１３は、採用されたプロトコルによっては頻繁にこのようなパケットが引き渡されるために、過負荷状態に陥る可能性が高かった。
本発明は、構成が大幅に変更されることなく、上記の過負荷状態が抑制され、あるいは回避されるパケット中継装置、プログラムおよび記録媒体を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明に係るパケット中継装置では、フィルタリング手段は、予め登録された種類のパケットのフィルタリングを行う。制御手段は、前記フィルタリング手段に前記パケットが入力される前に、前記パケットを処理するアプリケーションによって指定された種類を前記予め登録された種類とする。
すなわち、上述したフィルタリングの対象となるパケットの種類は、そのパケットがフィルタリング手段に入力される前に自動的に指定される。
【００１３】
したがって、フィルタリングの対象となるパケットがフィルタリング手段に実際に入力されるまで上記の種類の指定が行われない従来例に比べて、構成が大幅に変更されることなく、その指定が確実に行われるために必要な処理速度の低減が可能となる。
本発明にかかわるパケット中継装置では、フィルタリング手段は、予め登録された種類のパケットのフィルタリングを行う。制御手段は、前記フィルタリング手段に前記パケットが入力される前に、前記パケットの受信もしくは転送に用いられるプロトコルに基づいて定まる種類を特定し、その種類を前記予め登録された種類とする。
【００１４】
すなわち、上述したフィルタリングの対象となるパケットの種類は、そのパケットがフィルタリング手段に入力される前に自動的に指定される。
したがって、フィルタリングの対象となるパケットがフィルタリング手段に実際に入力されるまで上記の種類の指定が行われない従来例に比べて、構成が大幅に変更されることなく、その指定が確実に行われるために必要な処理速度の低減が可能となる。
【００１５】
本発明にかかわるパケット中継装置では、前記制御手段は、前記パケットの宛先が属する特定の拠点で用いられるアドレスが含まれる種類を始動時に前記予め登録された種類とする。
このようなアドレスで示される宛先に引き渡されるべきパケットは、本発明にかかわるパケット中継装置の運用者が特別な設定をすることなく、かつネットワークの構成が変更されることなく、フィルタリンク手段によるフィルタリングの対象に自動的に設定される。
【００１６】
したがって、多様なプロトコルに対する適応が可能となる。
本発明かかわるパケット中継装置では、前記制御手段は、前記パケット中継装置に収容された端末のアドレスが含まれる種類を始動時に前記予め登録された種類とする。
このようなアドレスで示される宛先に引き渡されるべきパケットは、本発明にかかわるパケット中継装置の運用者が特別な設定をすることなく、かつネットワークの構成が変更されることなく、フィルタリンク手段によるフィルタリングの対象に自動的に設定される。
【００１７】
したがって、多様なプロトコルに対する適応が可能となる。
本発明にかかわるパケット中継装置では、前記制御手段は、全ての端末を意味する特定のアドレスが含まれる種類を始動時に前記予め登録された種類とする。
このようなアドレスで示される宛先に引き渡されるべきパケットは、本発明にかかわるパケット中継装置の運用者が特別な設定をすることなく、かつネットワークの構成が変更されることなく、フィルタリンク手段によるフィルタリングの対象に自動的に設定される。
【００１８】
したがって、多様なプロトコルに対する適応が可能となる。
【発明の効果】
【００１９】
本発明では、従来例に比べて、構成が大幅に変更されることなく、フィルタリングの対象となるパケットの種類の指定に必要な処理速度の削減が可能となる。
また、本発明では、多様なプロトコルに対する適応が可能となる。
したがって、本発明が適用された通信システムでは、コストが大幅に増加することなく過負荷状態の軽減または回避が図られ、かつ信頼性およびサービス品質の向上が図られる。
【発明を実施するための最良の形態】
【００２０】
以下、図面に基づいて本発明の実施形態について詳細に説明する。
以下に示す実施形態のハードウエアの構成は、図３に示される通りであるので、ここではその説明を省略する。
［第一の実施形態］
図１は、本発明の第一の実施形態における情報端末装置の動作フローチャートである。
【００２１】
図２は、本発明の第一の実施形態の動作を説明する図である。
以下、図１〜図３および図５を参照して本発明の第一の実施形態の動作を説明する。
本実施形態の特徴は、図３に示す情報端末装置２２およびプロセッサ１３が連係することによって行われる以下の処理の手順にある。
情報端末装置２２は、例えば、所定のアプリケーションシステムの実行の過程で、ＷＡＮ２３側からやがて配信されるマルチキャストパケットの列を受信する必要がある（すなわち、制御情報がテーブル１２Ｔに登録されていない新たな種類のパケットがフィルタリングの対象となる）ことを識別すると、ＬＡＮ２１を介してルータ１０宛に、これらのマルチキャストパケットの列の受信に必要な制御情報（該当するマルチキャストグループを示すマルチキャストグループＩＤを含む。）を含んだ制御パケットを送出する（図１ステップＳ１、図２(a))。なお、このような制御パケットは、既述の「マルチキャスト要求」に該当するパケットに併合されてもよい。
【００２２】
ルータ１０では、網インタフェース部１１-1は、この制御パケットをフォワーディングエンジン１２に引き渡す（図２(b))。
フォワーディングエンジン１２は、この制御パケットを既述のバッファメモリに登録する。さらに、フォワーディングエンジン１２は、その制御パケットのヘッダに含まれる情報の内、既述のマルチキャストパケットの列のパケットフィルタリングに必要な制御情報が上述したテーブル１２Ｔに登録されていない場合には、該当する制御パケットをプロセッサ１３にも引き渡す。
【００２３】
プロセッサ１３は、この制御パケットから上述した制御情報を抽出し、これらの制御情報をテーブル１２Ｔに登録する（図５ステップＳ１、図２(c))。
また、フォワーディングエンジン１２は、バッファメモリに登録された制御パケットがそのバッファメモリから読み出されるまでに上記の制御情報がテーブル１２Ｔに登録された場合には、この制御情報に基づいて該当する制御パケットのフィルタリング（ここでは、通過の対象から除く処理であると仮定する。）を行う。
【００２４】
さらに、情報端末装置２２は、ＬＡＮ２１を介してルータ１０に、従来例と同様に既述の「マルチキャスト要求」に該当する要求パケットを送出する。
ルータ１０では、網インタフェース部１１-1は、この要求パケットをフォワーディングエンジン１２に引き渡す（図２(d))。フォワーディングエンジン１２は、その要求パケットを内蔵されたバッファメモリ（図示されない。）に登録するが、この要求パケットのヘッダに含まれる制御情報（「マルチキャストパケットの種類や転送先」等を示す。）が上述したようにテーブル１２Ｔに既に登録されているので、該当する要求パケットをプロセッサ１３には引き渡さない。
【００２５】
さらに、フォワーディングエンジン１２は、バッファメモリに登録された要求パケットがそのバッファメモリから読み出される時点には上記の制御情報がテーブル１２Ｔに登録されているので、この制御情報に基づいて該当する要求パケットのフィルタリングを行う。したがって、このようなフィルタリングに基づいて網インタフェース部１１-2宛に引き渡された要求パケットは、網インタフェース部１１-2を介してＷＡＮ２３に引き渡される（図２(3))。
【００２６】
なお、上述した「マルチキャスト要求」に応じて図２に示すようにＷＡＮ２３からマルチキャストパケットの列が配信されるが、このマルチキャストパケットの列に対してフォワーディングエンジン１２によって行われるパケットフィルタリングについては、従来例と同様であるので、ここではその記載を省略する。
すなわち、要求パケットと「マルチキャストパケットの列」との何れもが実際にルータ１０に与えられる前に、テーブル１２Ｔには、これらのパケットのフィルタリングに必要な制御情報が自動的に、しかも、ルータ１０の運用者によって無用な作業が行われることなく登録される。
【００２７】
したがって、本実施形態によれば、ハードウエアの構成の変更とソフトウエアの構成の大幅な変更とが伴わないにもかかわらず、テーブル１２Ｔに制御情報が確実に登録されるために必要であるプロセッサ１３の処理速度の低減が可能となり、かつプロセッサ１３が過負荷状態に陥る可能性が低くなる。
［第二の実施形態］
以下、図３を参照して本発明の第二の実施形態の動作を説明する。
【００２８】
本実施形態の特徴は、ルータ１０に備えられたプロセッサ１３によって行われる以下の処理の手順にある。
プロセッサ１３は、始動時には、図６(e) に示すように、ルータ１０のＭＡＣアドレスを規定の形式に変換することによって６４ビット長のインターフェースＩＤを生成し、そのインタフェースＩＤをＬＳＢ側に配置すると共に、残りの上位ビットに規定のプリフィックス（フィラー）を配置することによって、既述のＩＰｖ６の下で特定の拠点内で用いられるアドレスである「サイトローカルアドレス」と、単一のリンクであってルータ１０を越えない範囲内において用いられる「リンクローカルアドレス」とを生成する。
【００２９】
さらに、プロセッサ１３は、これらの「サイトローカルアドレス」および「リンクローカルアドレス」を含む制御情報をテーブル１２Ｔに登録する。
なお、このような制御情報は、例えば、上記の「リンクローカルアドレス」が宛先アドレスとして含まれ、かつＬＳＢ側に既述のインタフェースＩＤが配置されると共に、残りの上位オーダにプリフィックス「11111110100」が配置された送信元アドレスが含まれることによって構成される。
【００３０】
また、ＩＰｖ６では、ローカルエリアの間における上述した「サイトローカルアドレス」および「リンクローカルアドレス」の引き渡しは、何れもプロトコルとして許容（規定）されていない。
すなわち、上記の特定の拠点内またはルータ１０を越えない範囲内に配置された端末が宛先に該当するパケットは、そのルータ１０の運用者が特別な設定をすることなく、かつネットワーク全体の構成が無用に変更されることなく、フォワーディングエンジン１２による通過の対象に設定される。
【００３１】
したがって、本実施形態によれば、上述した「サイトローカルアドレス」や「リンクローカルアドレス」に適応したＤＨＣＰ（Dynamic Host Configuration Protocol)、ＮＤＰ(Neighbour Discovery Protocol)、ＭＬＤ(Multicast Listener Discovery)等のＩＣＭＰ(Internet Control Message Protocol)の実現が可能となる。
［第三の実施形態］
以下、図３を参照して本発明の第三の実施形態の動作を説明する。
【００３２】
本実施形態の特徴は、ルータ１０に備えられたプロセッサ１３によって行われる以下の処理の手順にある。
プロセッサ１３は、始動時には、ウエルノウンマルチキャストアドレス（全てのノードで受信可能であることが要求されるパケットの種別を意味する。）を含む制御情報をテーブル１２Ｔに登録する。
【００３３】
なお、このような制御情報は、ＬＳＢ側に既述のインタフェースＩＤが配置され、残りの上位オーダーに「111111110000001」 、「111111110000010」 、「111111110000101」 の何れかが配置されてなる宛先アドレスが含まれ、かつ送信元アドレスとして有効な情報が含まれることなく構成される。また、上述した「ウエルノウンマルチキャストアドレス」は、ＩＰｖ６では、各種アドレスの取得や近隣検索等を可能とするＩＣＭＰの実現に必須のアドレスである。
【００３４】
すなわち、上記のＩＣＭＰである種々のプロトコルに基づいてＷＡＮ２３やＬＡＮ２１から引き渡され、かつ宛先が「ウエルノウンマルチキャストアドレス」で示されるパケットは、ネットワークの構成が変更されることなく、かつルータ１０の運用者が特別な設定をしなくても、自動的にフォワーディングエンジン１２による通過の対象に設定される。
したがって、本実施形態によれば、上述した「ウエルノウンマルチキャストアドレス」に適応したＤＨＣＰ、ＮＤＰ、ＭＬＤ等の多様なＩＣＭＰの実現が可能となる。
【００３５】
なお、上述した各実施形態では、ＩＰｖ６が用いられたコンピュータネットワークに本発明が適用されている。
しかし、このようなコンピュータネットワークに限定されず、ＩＰｖ４が用いられた場合にも、本発明は適用可能である。
また、上述した各実施形態では、ＭＬＤに基づくマルチキャストに本発明が適用されている。
【００３６】
しかし、テーブル１２Ｔに登録されていない制御情報を含むパケットまたはパケットの列がフォワーディングエンジン１２に入力される前に、既述のアプリケーションの手順に基づいて制御パケットがルータ１０に与えられるならば、どのようなプロトコルに基づいてルータ１０に入力されるパケットのフィルタリング（フォワーディング）にも、本発明は適用可能である。
【００３７】
さらに、上述した各実施形態では、プロセッサ１３がテーブル１２Ｔに制御情報を登録する処理は、情報端末装置２２がアプリケーションシステムの実行の手順に基づいて送出した制御パケットがフォワーディングエンジン１２を介して引き渡されたときに起動されている。
しかし、このような処理は、例えば、プロセッサ１３が所定のプロトコルに基づいて自立的に識別したときにそのプロセッサ１３によって起動されてもよい。
【００３８】
また、上述した各実施形態では、フォワーディングエンジン１２の詳細な構成と、そのフォワーディングエンジン１２とプロセッサ１３との間におけるインタフェースの方式とが詳細に示されていない。
しかし、フォワーディングエンジン１２は、プロセッサ１３および網インタフェース１１-1、１１-2との連係が既述の通りに実現されるならば、どのように構成されてもよい。
【００３９】
さらに、上述した各実施形態では、１つのセグメントからなるＬＡＮ２１が網インタフェース部１１-1に接続されている。
しかし、ＬＡＮ２１が複数のセグメントで構成され、かつ網インタフェース部１１-1がこれらのセグメントに個別に対応した方路を有してもよい。
また、上述した各実施形態では、ルータ１０は、単体の装置として構成されている。
【００４０】
しかし、ルータ１０は、例えば、一般的な情報端末装置に実装されるパッケージとして構成されてもよく、このような場合には、プロセッサ１３の機能の一部、あるいはそのプロセッサ１３と情報端末装置との連係を実現する処理が該当するパッケージのドライバやＢＩＯＳ(Basic Input Output System）として構成されてもよい。
さらに、フォワーディングエンジン１２によって実現されるパケットフィルタリングの形態は、例えば、ＮＡＴ（Network Address Translation)であってもよく、あるいは「多数のプロトコルをサポートするＬ３スイッチ」と、「レイヤ３およびレイヤ４の情報に基づいてパケットのスイッチングおよびルーティングを行い、かつアプリケーションのフロー毎にＱｏＳの設定が可能なＬ４スイッチ」との何れとして機能するものであってもよい。
【００４１】
また、本発明は、上述した実施形態に限定されるものではなく、本発明の範囲において多様な構成の実施形態が可能であり、かつ構成装置の一部または全てに如何なる改良が施されてもよい。
【図面の簡単な説明】
【００４２】
【図１】本発明の第一の実施形態における情報端末装置の動作フローチャートである。
【図２】本発明の第一の実施形態の動作を説明する図である。
【図３】フォワーディングエンジンが搭載されたルータの構成例を示す図である。
【図４】従来例の動作を説明する図である。
【図５】プロセッサの動作フローチャートである。
【図６】パケットのヘッダに配置される種々の制御情報を示す図である。
【符号の説明】
【００４３】
１０  ルータ
１１  網インタフェース部
１２  フォワーディングエンジン
１２Ｔ  テーブル
１３  プロセッサ
２１  ＬＡＮ
２２  情報端末装置
２３  ＷＡＮ
【図１】
2006345366.tif 000003
【図２】
2006345366.tif 000004
【図３】
2006345366.tif 000005
【図４】
2006345366.tif 000006
【図５】
2006345366.tif 000007
【図６】
2006345366.tif 000008