(57)【要約】【課題】カプセル化したパケットをトンネル技術を用いて転送する場合に、トンネルプロトコルのヘッダ部分にエラーが発生した場合のパケットの誤配送、誤課金、誤配送による情報漏洩を、転送性能の低下を抑えつつ防止する。【解決手段】受信したパケットに外部ヘッダを付加してカプセル化して送信およびカプセル化して送信されてきたカプセル化パケットを受信してカプセル化解除を行うパケット処理装置において、送受信するカプセル化パケットにチェックサムが設定されている場合、予め設定されたチェックサム範囲制限設定を参照し、チェックサム範囲制限設定に設定されている範囲をチェックサム計算の対象とする【選択図】  図２
2018085547.tif 000002
【特許請求の範囲】
【請求項１】
受信したパケットに外部ヘッダを付加してカプセル化して送信およびカプセル化して送信されてきたカプセル化パケットを受信してカプセル化解除を行うパケット処理装置であって、
前記送受信するカプセル化パケットにチェックサムが設定されている場合、
予め設定されたチェックサム範囲制限設定を参照し、前記チェックサム範囲制限設定に設定されている範囲をチェックサム計算の対象とすることを特徴とするパケット処理装置。
【請求項２】
請求項１に記載のパケット処理装置であって、前記チェックサム範囲制限設定は、少なくとも前記カプセル化パケットの送信先フィールドを含む範囲をチェックサム計算対象とするように設定することを特徴とするパケット処理装置。
【請求項３】
請求項２に記載のパケット処理装置であって、前記チェックサム範囲制限設定は、前記カプセル化に用いるプロトコルと対応づけて、チェックサム範囲制限情報を設定することを特徴とするパケット処理装置。
【請求項４】
請求項２に記載のパケット処理装置であって、前記チェックサム範囲制限設定は、前記カプセル化パケットの送信先アドレスと対応づけて、チェックサム範囲制限情報を設定することを特徴とするパケット処理装置。
【請求項５】
請求項２に記載のパケット処理装置であって、前記チェックサム範囲制限設定の設定値は、前記パケット処理装置に予め設定されていることを特徴とするパケット処理装置。
【請求項６】
請求項２に記載のパケット処理装置であって、前記チェックサム範囲制限設定の設定値は、前記カプセル化パケットのヘッダ領域に設定されていることを特徴とするパケット処理装置。
【請求項７】
受信したパケットに外部ヘッダを付加してカプセル化して送信およびカプセル化して送信されてきたカプセル化パケットを受信してカプセル化解除を行うパケット処理方法であって、
前記送受信するカプセル化パケットにチェックサムが設定されている場合、
予め設定されたチェックサム範囲制限設定を参照し、前記チェックサム範囲制限設定に設定されている範囲をチェックサム計算の対象とすることを特徴とするパケット処理方法。
【請求項８】
請求項７に記載のパケット処理方法であって、前記チェックサム範囲制限設定は、少なくとも前記カプセル化パケットの送信先フィールドを含む範囲をチェックサム計算対象とするように設定することを特徴とするパケット処理方法。
【請求項９】
請求項８に記載のパケット処理方法であって、前記チェックサム範囲制限設定は、前記カプセル化に用いるプロトコルと対応づけて、チェックサム範囲制限情報を設定することを特徴とするパケット処理方法。
【請求項１０】
請求項８に記載のパケット処理方法であって、前記チェックサム範囲制限設定は、前記カプセル化パケットの送信先アドレスと対応づけて、チェックサム範囲制限情報を設定することを特徴とするパケット処理方法。
【請求項１１】
請求項８に記載のパケット処理方法であって、前記チェックサム範囲制限設定の設定値は、前記パケット処理装置に予め設定されていることを特徴とするパケット処理方法。
【請求項１２】
請求項８に記載のパケット処理方法であって、前記チェックサム範囲制限設定の設定値は、前記カプセル化パケットのヘッダ領域に設定されていることを特徴とするパケット処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット処理技術に関し、特に、転送パケットデータ含んだトンネルパケットの外部ヘッダにおけるチェックサム計算技術に関する。
【背景技術】
【０００２】
地理的に分散した拠点間を、専用線を敷設することなく、IP網を介してあたかも専用線で接続されているかのように接続する仮想プライベートネットワーク(Virtual Private Network:以下VPNと称す)技術がある。VPNでは、拠点間を仮想的なトンネルで接続し、そのトンネルを通じてパケットのやり取りを行うトンネル接続技術が使われている。トンネル接続では、転送対象のパケットに外部ヘッダを付加して別のプロトコルのパケットとしてカプセル化し、カプセル化とデカプセル化をトンネルの両端の装置が行うことで、新たに専用線を敷設することなく汎用のネットワークを経由して目的の宛先にパケットを転送することができる。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】RFC7348 Virtual eXtensible Local Area Network (VXLAN): A Framework for Overlaying Virtualized Layer 2 Networks over Layer 3 Networks
【発明の概要】
【発明が解決しようとする課題】
【０００４】
VPNは、カプセル化したパケットをトンネル技術を用いて転送することで、専用線を敷設することなく、IP網を介してあたかも専用線のように拠点間を接続することができるが、汎用のネットワークを経由しているため、カプセル化に用いるプロトコルが暗号化や改ざんの検出機能を備えるものがある。この暗号化や改ざん検出機能は、カプセル化前のオリジナルのパケットを対象としている。また、カプセル化前のオリジナルのパケットが、ヘッダにチェックサムを有し、パケットのヘッダ部分やペイロードを含む範囲がチェックサム計算の対象となっているプロトコルのパケットである場合もある。
【０００５】
VPNでは、トンネルの両端のトンネルエンドポイント装置が、カプセル化前のオリジナルのパケットに送信側のトンネルエンドポイント装置を送信元とし、また、他端のトンネルエンドポイント装置を宛先とするヘッダ情報を付与する。VPNの宛先に改ざんや誤りが発生した場合には、目的の宛先に転送することができなくなる。
【０００６】
本発明は、上記課題を解決するためになされたもので、カプセル化したパケットをトンネル技術を用いて転送する場合に、トンネルプロトコルのヘッダ部分にエラーが発生した場合のパケットの誤配送、誤課金、誤配送による情報漏洩を、転送性能の低下を抑えつつ防止することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明においては、一例として、受信したパケットに外部ヘッダを付加してカプセル化して送信およびカプセル化して送信されてきたカプセル化パケットを受信してカプセル化解除を行うパケット処理装置において、送受信するカプセル化パケットにチェックサムが設定されている場合、予め設定されたチェックサム範囲制限設定を参照し、チェックサム範囲制限設定に設定されている範囲をチェックサム計算の対象とすることを特徴とするようにしたものである。
【０００８】
より詳しくは、チェックサム範囲制限設定は、少なくともカプセル化パケットの送信先フィールドを含む範囲をチェックサム計算対象とするように設定するようにしたものである。
【０００９】
また、チェックサム範囲制限設定は、カプセル化に用いるプロトコルと対応づけて、チェックサム範囲制限情報を設定するようにしたものである。
【００１０】
また。チェックサム範囲制限設定は、カプセル化パケットの送信先アドレスと対応づけて、チェックサム範囲制限情報を設定するようにしたものである。
【発明の効果】
【００１１】
本発明によれば、カプセル化したパケットをトンネル技術を用いて転送する場合に、トンネルプロトコルのヘッダ部分にエラーが発生した場合のパケットの誤配送、誤課金、誤配送による情報漏洩を、転送性能の低下を抑えつつ防止することができる。
【図面の簡単な説明】
【００１２】
【図１（ａ）】カプセル化したパケットをトンネル技術を用いて転送する通信システムの構成を示す図である。
【図１（ｂ）】カプセル化したパケットをトンネル技術を用いて転送する通信システムにおいて、転送途中でパケットにエラーが発生した場合を示す図である。
【図２】本発明の一実施例におけるトンネルエンドポイント装置の構成を示す図である。
【図３】VXLANのパケット構成を示す図である。
【図４】トンネルエンドポイント装置のチェックサム範囲制限設定の構成を示す図である。
【図５】本発明の一実施例におけるVXLANのパケット構成を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施形態を図面を用いて説明する。
【実施例１】
【００１４】
第１の実施例の詳細な説明の前に、まずVPNのセキュリティについて説明する。
【００１５】
図１（ａ）は、カプセル化したパケットをトンネル技術を用いて転送する通信システムの構成を示す図である。
図１（ａ）の通信システムは、送信装置1001と、受信装置1002が送信装置側のトンネルエンドポイント装置1011と受信装置側のトンネルエンドポイント装置1012を介して、外部ネットワーク1021で接続された構成である。送信装置1001と受信装置1002は、送信装置側および受信装置側のトンネルエンドポイント装置1011、1012がパケットのカプセル化およびカプセル化解除を行うことで、外部ネットワーク1021を介してあたかも専用線で接続されているかのように送信装置1001と受信装置1002間を接続することができる。送信装置1001から送信したパケットはトンネルエンドポイント装置1011を経由してカプセル化されたトンネルパケットにより外部ネットワーク1021を経由してトンネルエンドポイント装置1012に到達してカプセル化解除され、受信装置1002に到達する。
【００１６】
図１（ｂ）は、カプセル化したパケットをトンネル技術を用いて転送する通信システムにおいて、転送途中てカプセル化したパケットにエラーが発生した場合を示す図である。
カプセル化したパケットが外部ネットワーク1021を経由して送信される途中で、転送エラーが発生し、エラーの箇所がカプセル化に用いられた外部ヘッダの宛先を示す部分であった場合、トンネルエンドポイント装置1012に到達してカプセル化解除された後、パケットが本来の受信装置1002ではなく、誤った受信装置1003に転送されてしまう可能性がある。この誤配送により、本来の受信装置にパケットが届かないだけでなく、誤課金、情報漏洩が発生する。
【００１７】
発明の概要で説明したように、VPNにおいてカプセル化に用いるプロトコルは暗号化や改ざんの検出機能を備えている場合がある。この暗号化や改ざん検出機能は、カプセル化前のオリジナルのパケットを対象としている。また、カプセル化前のオリジナルのパケットが、ヘッダにチェックサムを有し、ヘッダ部分やペイロードを含む範囲がチェックサム計算の対象となっているプロトコルである場合もある。
【００１８】
以下で説明する本発明の実施形態では、一例として、VXLAN（Virtual eXtensible Local Area Network）を例にとって説明する。VXLANは、送信元のトンネルエンドポイント装置において、レイヤ2（L2）のパケットをUDP/IP（User Datagram Protocol/IP）でカプセリングし、トンネルの他端のトンネルエンドポイント装置において、デカプセリングすることで、途中経路にあるスイッチやルータからは単なるUDP/IPパケットに見えるようにして特別な処理を行わずに転送されるようにし、L2 over L3の通信を実現している。UDPのチェックサムはペイロード部分もチェックサム計算の対象となっており、UDPでカプセリングする前の内部パケットは、既にチェックサム計算が行われていてチェックサム再計算の必要がない場合でも、トンネルエンドポイント装置においては、UDPのチェックサムの機能が働き内部パケットの情報を含めてチェックサムが計算されてしまう。
【００１９】
このため非特許文献１RFC7348では、VXLANトンネルの外部ヘッダのUDP(User Datagram Protocol)チェックサムを0として検証を行わないことが推奨されている。検証を行わない場合、外部ヘッダ情報の宛先を示す部分に転送エラーが発生した場合、本来の宛先でない宛先に転送され、情報漏えいおよび誤課金が発生する。チェックサムを0とせずに全てのパケットを走査して計算した場合、転送処理の負荷が増大して転送速度の低下、転送遅延の増大が懸念される。
【００２０】
以下で説明する実施例では、カプセル化前のオリジナルのパケットが、ヘッダにチェックサムを有し、ヘッダ部分やペイロードを含む範囲がチェックサム計算の対象となっているプロトコルである場合において、チェックサム範囲を限定することで、転送速度の低下、転送遅延の増大なく外部ヘッダに転送エラーを防止する構成を説明する。
【００２１】
まず、第１の実施例では、チェックサム範囲制限設定をトンネルエンドポイント装置に持つ構成について説明する。
【００２２】
図２は、本発明の第１の実施例におけるトンネルエンドポイント装置の構成を示す図である。
【００２３】
図３は、VXLANのパケット構成を示す図である。
本実施例のトンネルエンドポイント装置1011は、基本構成はルータであり、物理的にはネットワークと接続するための物理インタフェース、CPU、メモリ、電源モジュールなどを備える。トンネルエンドポイント装置1011は、パケット解析やルーティングの機能を有するルータの基本機能に以下で説明する機能を追加して実現する。図２ではカプセル化に関する処理部を示して説明する。
【００２４】
まず、カプセル化時は、パケット受信部2021は受信したパケットがトンネル対象パケットであった場合、予め装置に設定されているトンネル設定に基づいてトンネル宛先と使用するトンネルの種別を決定し、カプセル化処理部2011へトンネル対象パケット、トンネル宛先、トンネル種別情報を渡す。カプセル化処理部2011は、例えばトンネル種別情報がVXLANの場合には、トンネル対象パケットの外側にIPヘッダ、UDPヘッダ、VXLANヘッダを追加してカプセル化する。IPヘッダの宛先アドレス、VXLANヘッダの仮想ネットワーク識別子VNI3012は前述の予め装置設定されたトンネル宛先を設定する。パケット送信部2022はカプセル化処理部2011でカプセル化されたパケットを受けて、チェックサム範囲制限設定2031を参照し、トンネル宛先とトンネル種別がチェックサム制限対象であった場合、設定に従い対象パケットのチェックサムの計算範囲を決定し、その範囲のチェックサムを計算して図３のUDPヘッダ3002のチェックサムフィールド3011に格納し送信する。チェックサム範囲制限設定2031の設定内容については、図４を用いて後述する。
【００２５】
次に、カプセル化解除時の処理について説明する。受信側のトンネルエンドポイント装置1012も、図２に示したトンネルエンドポイント装置1011と同様の構成を備える。トンネルエンドポイント装置1012のパケット受信部2021は、受信したパケットがトンネルパケットであった場合、チェックサム範囲制限設定2031を参照し、トンネル宛先とトンネル種別に基づいて受信したパケットがチェックサム範囲制限対象パケットであるかどうかを判断する。受信したパケットがチェックサム範囲制限対象パケットであった場合、パケット受信部2021は、UDPのチェックサム計算処理の際、チェックサム範囲制限設定2031に設定されたチェックサム計算範囲に従い計算範囲を制限してチェックサム計算を行う。受信側のトンネルエンドポイント装置1012のチェックサム計算範囲と、カプセル化処理を行ったトンネルエンドポイント装置1011のチェックサム計算範囲が等しく、外部ネットワークを経由したパケット転送経路上でチェックサム計算範囲にエラーが発生していない場合、パケット受信部2021において計算したチェックサム値は、受信したパケットのチェックサムフィールド3011のチェックサム値と同一となり、トンネルエンドポイント装置1012は、受信したパケットは問題なく受信可能と判断し、カプセル化解除処理部2012に送信する。
【００２６】
受信側のトンネルエンドポイント装置1012のチェックサム計算範囲と、カプセル化処理を行ったトンネルエンドポイント装置1011のチェックサム計算範囲が等しくない場合、または、外部ネットワークを経由したパケット転送経路上でチェックサム計算範囲にエラーが発生した場合には、パケット受信部2021において計算したチェックサム値は、受信したパケットのチェックサムフィールド3011のチェックサム値と一致せず、トンネルエンドポイント装置1012は、受信したパケットのチェックサム計算範囲にエラーが発生していると判断し、受信したパケットを廃棄する。
【００２７】
受信可能と判断し、カプセル化解除処理部2012に送信したトンネルパケットはカプセル化解除処理部2012が、予め装置に設定されているトンネル設定に従ってカプセル化解除処理を行い、仮想ネットワーク識別子VNI3012に従って決定した宛先にパケット送信部2022から送信する。
【００２８】
図４は、トンネルエンドポイント装置のチェックサム範囲制限設定の構成を示す図である。
チェックサム範囲制限設定2031の詳細な構成を図４に示す。チェックサム範囲制限設定はトンネル宛先のリストである対向トンネルエンドポイント装置アドレスリスト4001とトンネル種別に対応する各プロトコルについて、プロトコルとチェックサム範囲の制限長とを対応づけた組み合わせリストから構成される。プロトコルとチェックサム範囲の制限長の組み合わせリストは、アドレス固有に設定された個別対象プロトコルと制限長の組み合わせリスト4003と、そのアドレスに固有の値を設定しない場合に参照する、デフォルト対象プロトコルと制限長の組み合わせリスト4002を用意している。
【００２９】
トンネルエンドポイント装置は双方向通信を行うため、トンネル宛先はトンネルパケット送信時にはトンネルパケット送信先、トンネルパケット受信時にはトンネルパケット送信元と対向トンネルエンドポイント装置アドレスリスト4001とを比較し、合致した際にそのアドレスと対応づけられた、プロトコルとチェックサム範囲の制限長の組み合わせリストを参照し、トンネルパケットのトンネル種別に対応する対象プロトコルのチェックサム範囲制限長を適用する。
【００３０】
図４では図示していないが、対向トンネルエンドポイント装置アドレスリスト4001の各アドレスには、それぞれのアドレスに個別の組み合わせリストが設定されているかどうかの情報を有し、そのアドレス個別の組み合わせリストが設定されている場合はアドレスに紐づけられた個別の対象プロトコルと制限長の組み合わせリスト4003を参照する。アドレスに個別の組み合わせリストが設定されていない場合には、デフォルトの対象プロトコルと制限長の組み合わせリスト4002を参照し、トンネルパケットのプロトコルに応じた制限長を決定する。
【００３１】
チェックサム範囲の開始位置をUDPヘッダの後からとし、制限長をUDPヘッダの後からのバイト数で設定することで、IPヘッダ長がオプションによって変化した場合にも、対象トンネルプロトコルが例えば図３にしめしたVXLANのようなパケット構成の場合に、VXLANヘッダ部分を計算範囲に含めることが可能となる。制限長を自動とした場合は、そのプロトコルに対して予めトンネルエンドポイント装置に制限長を設定しておくのではなく、例えば図示していないが外部ネットワークを介して接続されたシステムの管理装置から、そのシステムに規定された各プロトコルの制限長の情報を受信し、制限長を適用するようにしてもよい。また、対象のプロトコルのチェックサム計算がヘッダサイズ可変である場合、対象プロトコルのヘッダサイズを認識してその範囲を制限長とする。
【００３２】
本実施例のチェックサム計算方法を図３を用いて説明する。
図３は、トンネル種別がVXLANである場合の例を示している。チェックサム計算方法はUDPのチェックサム計算方法を使用する。
【００３３】
通常のUDPチェックサムでは、IPヘッダ3001のうち疑似ヘッダ部と、UDPヘッダ3002、およびUDPペイロード（図３においてはVXLANヘッダ3003とトンネル対象の内部パケット3004）がチェックサムの範囲に含まれる。UDPにおいては、IPヘッダ3001は、その中から擬似ヘッダとして、4byteのSource IP Address (送信元IPアドレス)、4byteのDestination IP Address(宛先IPアドレス)、1byteの0、1byteのProtocol(プロトコル番号)、2byteのTotal Length(パケット長)のみ使用する。UDPヘッダ3002は2byteのチェックサム値3011を0として計算し、他の各2byteの送信元ポート番号、宛先ポート番号、長さはパケット中のものを使用する。
【００３４】
これに対し、本実施例においては、チェックサム計算の対象となるのは、IPヘッダ3001のうち疑似ヘッダ部と、UDPヘッダ3002、およびチェックサム範囲制限設定2031により決定した制限長のUDPペイロードである。図３においてはVXLANヘッダ3003が位置するUDPヘッダの後のUDPペイロード部分が、チェックサム範囲制限長で指定した制限長の適用範囲となる。パケット長にかかわらず、チェックサム範囲制限設定2031で設定した制限長分のUDPペイロードがチェックサム計算範囲となり、それ以降のトンネル内部パケット部分3004はチェックサム保護対象外としチェックサムの計算を行わない。
【実施例２】
【００３５】
次に、第２の実施例を説明する。第２の実施例においては、チェックサム範囲制限をトンネルパケット内部に持つ構成とする。
【００３６】
第１の実施例と同様に送信装置1001と、受信装置1002が送信装置側のトンネルエンドポイント装置1011と受信装置側のトンネルエンドポイント装置1012を介して、外部ネットワーク1021で接続された構成でトンネル通信を行う。第１の実施例ではトンネルエンドポイント装置にチェックサム範囲制限設定2031を持ちチェックサム範囲制限設定2031に設定されたチェックサム範囲の制限値を参照してプロトコルごとのチェックサム計算範囲を決定する構成としたが、本実施例ではトンネルパケットにチェックサム範囲を示す情報を持たせる。本実施例では、トンネルプロトコルであるVXLANヘッダにチェックサム計算範囲を埋め込む場合を例にとって以下で説明する。
【００３７】
第２の実施例の通信システムも、図１(ａ)に示した通信システムの構成を示す図および図２に示したトンネルエンドポイント装置の構成を示す図を用いて説明する。
第２の実施例において、送信装置1001から送信したパケットはトンネルエンドポイント装置1011を経由してカプセル化されたトンネルパケットにより外部ネットワーク1021を経由してトンネルエンドポイント装置1012に到達してカプセル化解除され、本来の受信装置1002に到達する。
【００３８】
カプセル化時は、トンネルエンドポイント装置1011におけるカプセル化の処理部を示した図２において、パケット受信部2021は受信したパケットがトンネル対象パケットであった場合、予め装置に設定されているトンネル設定に基づいてトンネル宛先と使用するトンネルの種別を決定し、カプセル化処理部2011へトンネル対象パケット、トンネル宛先、トンネル種別情報を渡す。カプセル化処理部2011はトンネル対象パケットをカプセル化する。パケット送信部2022はカプセル化されたパケットを受けて、チェックサム範囲制限設定2031を参照する。トンネル宛先である対向トンネルエンドポイント装置のアドレスが対向トンネル装置アドレリストにあり、トンネル種別であるプロトコルがそのアドレスに対応するプロトコルと制限長の組み合わせリストに存在しチェックサム範囲の制限対象であった場合、チェックサム範囲制限設定に従い対象パケットのチェックサムの計算範囲を決定し、その範囲のチェックサムを計算する。チェックサム計算結果は、図５のUDPヘッダ5002のチェックサムフィールド5011に格納し、さらにVXLANヘッダ5003の制限長5013にチェックサム計算範囲の制限長を入れて送信する。
【００３９】
カプセル化解除時は、パケット受信部2021は受信したパケットがトンネルパケットであった場合、図５におけるVXLANヘッダ5003の制限長5013フィールドを参照する。制限長5013が0でない場合、制限長の値をチェックサム計算範囲としてチェックサム計算を行う。受信側のトンネルエンドポイント装置1012のチェックサム計算範囲と、カプセル化処理を行ったトンネルエンドポイント装置1011のチェックサム計算範囲が等しく、外部ネットワークを経由したパケット転送経路上でチェックサム計算範囲にエラーが発生していない場合、パケット受信部2021において計算したチェックサム値は、受信したパケットのチェックサムフィールド3011のチェックサム値と同一となり、トンネルエンドポイント装置1012は、受信したパケットに問題はなく受信可能と判断する。
受信したトンネルパケットは制限長を0に書き換えてカプセル化解除処理部2012が処理できる標準のVXLANのパケットに変更してからカプセル化解除処理部2012に送信する。カプセル化解除処理部2012はカプセル化解除し、VNI3012に従って決定した宛先にパケット送信部2022から送信する。
【００４０】
受信側のトンネルエンドポイント装置1012のチェックサム計算範囲と、カプセル化処理を行ったトンネルエンドポイント装置1011のチェックサム計算範囲が等しくない場合、または、外部ネットワークを経由したパケット転送経路上でチェックサム計算範囲にエラーが発生した場合には、パケット受信部2021において計算したチェックサム値は、受信したパケットのチェックサムフィールド3011のチェックサム値と一致せず、トンネルエンドポイント装置1012は、受信したパケットのチェックサム計算範囲にエラーが発生していると判断し、受信したパケットを廃棄する。
【００４１】
上記実施例はVXLANを例として説明したが、VXLAN以外のGREやL2TPなどのトンネルプロトコルにも適用することができる。
【００４２】
上記の実施例によれば、カプセル化前のパケットのレイヤでの処理を変更せずにチェックサム範囲を制限してチェックサム計算を行うことができる。また、チェックサム計算後にチェックサム値を0にして以降のカプセル化解除等の処理を行うようにすることで、カプセル化前のパケットのレイヤでの処理時に、誤りパケットと認識されるのを防ぐこともできる。
【００４３】
また、上記実施例によれば、転送性能の低下を抑えつつ、トンネルの外部ヘッダのエラーチェックを行うことができ、トンネルの外部ヘッダのエラーによる、トンネルパケットの誤配送、配送不達、誤課金、情報漏洩を防ぐことが可能となる。
【符号の説明】
【００４４】
1001、1002、1003  パケットを送受信する装置
1011、1012  トンネルエンドポイント装置
1021  外部ネットワーク
2021  パケット受信部。
2022  パケット送信部。
2011  カプセル化処理部。
2012  カプセル化解除処理部。
2031  チェックサム範囲制限設定
3001  IP(Internet Protocol)ヘッダ
3002  UDP(User Datagram Protocol)ヘッダ
3003  VXLAN(Virtual eXtensible Local Area Network)ヘッダ
3004  トンネル対象の内部パケット
3011  UDPチェックサム。
3012  VNI(Virtual Network Identifier  仮想ネットワーク識別子)値
4001  対向トンネルエンドポイント装置アドレスリスト
4002  デフォルトの対象プロトコルと制限長の組み合わせリスト
4003  個別対象プロトコルと制限長の組み合わせリスト
5001  IP(Internet Protocol)ヘッダ
5002  UDP(User Datagram Protocol)ヘッダ
5003  VXLAN(Virtual eXtensible Local Area Network)ヘッダ
5004  トンネル対象の内部パケット
5011  UDPチェックサム。
5012  VNI(Virtual Network Identifier)値
5013  VXLANヘッダに独自に埋め込んだチェックサム範囲制限長
【図１（ａ）】
2018085547.tif 000003
【図１（ｂ）】
2018085547.tif 000004
【図２】
2018085547.tif 000005
【図３】
2018085547.tif 000006
【図４】
2018085547.tif 000007
【図５】
2018085547.tif 000008