(57)【要約】【課題】ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行う。【解決手段】アプリケーション識別システム１は、フローを構成するパケットのデータ部分を識別するアプリケーション識別装置３と、設定されたステアリングポリシに合致するフローをアプリケーション識別装置３へ転送して、このアプリケーション識別装置３を共用する複数のパケットヘッダ識別制御部２１−１，２１−２と、複数のパケットヘッダ識別制御部２１−１，２１−２が転送したフローをアプリケーション識別装置３に中継する中継装置６と、各パケットヘッダ識別制御部２１−１，２１−２に対して、アプリケーション識別装置３へ転送するステアリングポリシを設定するポリシ管理装置４とを備える。【選択図】図１
2015162693.tif 000002
【特許請求の範囲】
【請求項１】
フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、
設定されたステアリングポリシに合致するフローを前記アプリケーション識別装置へ転送して、前記アプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、
複数の前記パケットヘッダ識別制御部が転送したフローを前記アプリケーション識別装置に中継する中継装置と、
各前記パケットヘッダ識別制御部に対して、前記アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、
を備えることを特徴とするアプリケーション識別システム。
【請求項２】
前記パケットヘッダ識別制御部は、コア網のエッジに設置され、フローを前記アプリケーション識別装置へ転送する前記ステアリングポリシを保持するポリシテーブルを備える、
ことを特徴とする請求項１に記載のアプリケーション識別システム。
【請求項３】
前記アプリケーション識別装置は、各アプリケーションを識別するアプリケーション識別ポリシを保持するポリシテープルを備える、
ことを特徴とする請求項１に記載のアプリケーション識別システム。
【請求項４】
前記パケットヘッダ識別制御部が保持するステアリングポリシは、転送するフローの５ｔｕｐｌｅ情報と、転送先の前記アプリケーション識別装置を示す情報と、識別子との組み合わせを含み、
前記識別子は、転送元の前記パケットヘッダ識別制御部の情報、および、転送するフローの方向情報を含む、
ことを特徴とする請求項３に記載のアプリケーション識別システム。
【請求項５】
前記中継装置は、前記パケットヘッダ識別制御部に直接に接続されて、前記パケットヘッダ識別制御部から転送されたフローを、この識別子を参照して、このフローの方向情報に対応する前記アプリケーション識別装置のインタフェースに入力する、
ことを特徴とする請求項１に記載のアプリケーション識別システム。
【請求項６】
前記中継装置は、複数の前記パケットヘッダ識別制御部との間で、ＩＰトンネルを介してフローを転送する、
ことを特徴とする請求項１に記載のアプリケーション識別システム。
【請求項７】
前記アプリケーション識別装置を少なくとも２台以上備え、
前記ポリシ管理装置は、一のアプリケーション識別装置を稼働させつつ当該一のアプリケーション識別装置を監視し、当該一のアプリケーション識別装置が故障した場合には、他のアプリケーション識別装置を稼働させ、各前記パケットヘッダ識別制御部に対して、当該他のアプリケーション識別装置を転送先とするステアリングポリシを設定する、
ことを特徴とする請求項１に記載のアプリケーション識別システム。
【請求項８】
ポリシ管理装置から受信したステアリングポリシを設定するステップと、
前記ステアリングポリシにおける転送先のアプリケーション識別装置にフローを中継する中継装置との間で、ＩＰトンネルを構築するステップと、
前記ステアリングポリシに合致するフローを前記ＩＰトンネルを介して前記アプリケーション識別装置へ転送するステップと、
をコンピュータに実行させるためのパケットヘッダ識別制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰネットワークにおけるデータパケットのアプリケーション識別を行うアプリケーション識別システムおよびパケットヘッダ識別制御プログラムに関する。
【背景技術】
【０００２】
近年では、アプリケーションを意識したサービスの提供や、プロビジョニングのための詳細なネットワーク状況把握を目的として、ＩＰパケットのペイロード部を解析するＤＰＩ（Deep Packet Inspection）装置の導入が進んでいる。ネットワークを流れるフローをアプリケーション単位で制御するためには、ＤＰＩ装置をインラインに設置する方法が一般的である。
【０００３】
図１６は、比較例のＤＰＩ装置をインラインに設置したアプリケーション識別システム１Ｅの概略の構成図である。
比較例のアプリケーション識別システム１Ｅは、コア網９にポリシ管理装置４と、ＤＰＩ装置２Ｅ−１，２Ｅ−２とが、それぞれ相互に通信可能に接続されている。
【０００４】
ＤＰＩ装置２Ｅ−１は、Ｌ７（Layer 7）分析によりアプリケーション検知を実現するアプリケーション識別部３Ｅ−１と、５ｔｕｐｌｅベースのフロー制御を実現するパケットヘッダ識別制御部２１−１の両方を備えている。５ｔｕｐｌｅとは、送信元ＩＰアドレス・宛先ＩＰアドレス・送信元ポート番号・宛先ポート番号・プロトコル番号のことをいう。
ＤＰＩ装置２Ｅ−２は、同様なアプリケーション識別部３Ｅ−２と、パケットヘッダ識別制御部２１−２とを備えている。ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ユーザ端末５−１，５−２をコア網９に接続するエッジルータである。
ＤＰＩ装置２Ｅ−１，２Ｅ−２は、ポリシ管理装置４からの指示によってデータパケットのアプリケーション識別や制御を実施する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】3GPP、「3GPP TS 23.203: 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Policy and charging control architecture」、２０１３年９月、Release 12
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、Ｌ７分析は、５ｔｕｐｌｅ識別と比較して高コストである。次世代ネットワークのような大規模ネットワークの全回線にＤＰＩ装置を設置すると、分割損が多量に発生して高コストになる虞がある。よって、大規模ネットワークの回線において、アプリケーション単位の制御を低コストで効率的に実現することが求められている。
【０００７】
本発明は、前記した問題を解決し、ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行うアプリケーション識別システムおよびパケットヘッダ識別制御プログラムを提供することを課題とする。
【課題を解決するための手段】
【０００８】
前記課題を解決するため、アプリケーション識別システムの発明は、フローを構成するパケットのデータ部分を識別するアプリケーション識別装置と、設定されたステアリングポリシに合致するフローをこのアプリケーション識別装置へ転送して、このアプリケーション識別装置を共用する複数のパケットヘッダ識別制御部と、複数のパケットヘッダ識別制御部が転送したフローをアプリケーション識別装置に中継する中継装置と、各パケットヘッダ識別制御部に対して、アプリケーション識別装置へ転送するステアリングポリシを設定するポリシ管理装置と、を備える。
【０００９】
このようにすることで、アプリケーション識別システムは、アプリケーション識別装置を複数のパケットヘッダ識別制御部で共用し、アプリケーション単位の制御を効率的に実現可能である。
【００１０】
パケットヘッダ識別制御プログラムの発明では、ポリシ管理装置から受信したステアリングポリシを設定するステップと、このステアリングポリシにおける転送先のアプリケーション識別装置にフローを中継する中継装置との間で、ＩＰトンネルを構築するステップと、このステアリングポリシに合致するフローをＩＰトンネルを介してアプリケーション識別装置へ転送するステップと、をコンピュータに実行させる。
【００１１】
このようにすることで、パケットヘッダ識別制御プログラムは、アプリケーション識別装置を共用し、アプリケーション単位の制御を効率的に実現可能である。
【発明の効果】
【００１２】
本発明によれば、ＩＰネットワークにおけるデータパケットのアプリケーション識別を効率的に行うアプリケーション識別システムおよびパケットヘッダ識別制御プログラムを提供することが可能となる。
【図面の簡単な説明】
【００１３】
【図１】ケース＃１のパケットヘッダ識別制御部におけるフローを示す図である。
【図２】中継装置とアプリケーション識別装置との接続構成と動作とを示す図である。
【図３】ケース＃１のパケットヘッダ識別制御部におけるフローを示す図である。
【図４】ケース＃１のアプリケーション識別システムの構成とフローとを示す図である。
【図５】ケース＃２の中継装置におけるフローを示す図である。
【図６】多重化したアプリケーション識別システムを示す概略の構成図である。
【図７】障害発生時の動作を示すシーケンス図である。
【図８】第１の実施形態におけるアプリケーション識別システムを示す概略の構成図である。
【図９】第１の実施形態におけるポリシテーブルを示す図である。
【図１０】第１の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。
【図１１】第１の実施形態におけるユーザ間のフローを示すシーケンス図である。
【図１２】第２の実施形態におけるアプリケーション識別システムを示す概略の構成図である。
【図１３】第２の実施形態におけるポリシテーブルを示す図である。
【図１４】第２の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。
【図１５】第２の実施形態におけるユーザ間のフローを示すシーケンス図である。
【図１６】比較例のＤＰＩ装置をインラインに設置したアプリケーション識別システムの概略の構成図である。
【発明を実施するための形態】
【００１４】
次に、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。ここでは、アプリケーション識別機能を複数のパケットヘッダ識別制御機能で共有する構成を提案している。
図１は、パケットヘッダ識別制御部２１におけるフローを示す図である。
アプリケーション識別システム１において、パケットヘッダ識別制御部２１−１，２１−２は、コア網９のエッジとしてインラインに設置される。これにより、パケットヘッダ識別制御部２１−１，２１−２は、自身に接続されるユーザ端末５などが転送したフローのみを監視すればよいので、自身が保持するステアリングポリシを自身に接続されるユーザ端末５などに限定して、効率的に処理することができる。ステアリングポリシとは、特定のフローをパケット識別制御部２１−１，２１−２からアプリケーション識別装置３へ転送するためのポリシである。以下、パケットヘッダ識別制御部２１−１，２１−２を特に区別しない場合には、単に「パケットヘッダ識別制御部２１」と記載している場合がある。
【００１５】
パケットヘッダ識別制御部２１−１，２１−２は、自装置に設定されたステアリングポリシに合致するフローをアプリケーション識別装置３へ転送する。
中継装置６は、複数のパケットヘッダ識別制御部２１−１，２１−２が転送したフローをアプリケーション識別装置３に中継する。
アプリケーション識別装置３は、複数のパケットヘッダ識別制御部２１で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを保持するポリシテーブル３３を備える。これにより、アプリケーション識別装置３は、フローを構成するパケットのデータ部分を識別することができる。
【００１６】
ポリシ管理装置４は、コア網９のネットワーク上に設置され、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３へ転送するためのステアリングポリシを設定する。ステアリングポリシは、転送するフローの５ｔｕｐｌｅ情報（送信元ＩＰアドレス・宛先ＩＰアドレス・送信元ポート番号・宛先ポート番号・プロトコル番号）と、転送先のアプリケーション識別装置３を示す情報と、このフローの識別子との組み合わせとして定義している。
ここで転送先のアプリケーション識別装置３を示す情報とは、アプリケーション識別装置３のＩＰアドレス、または、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３（図３参照）である。フローの識別子とは、このフローの転送元のパケットヘッダ識別制御部２１およびこのフローの方向を識別する情報である。フローの方向とは、コア網９外からコア網９内への方向と、コア網９内からコア網９外への方向とである。フローの識別子は、アプリケーション識別装置３および中継装置６において、フローの転送元のパケットヘッダ識別制御部２１およびフローの方向を識別するために用いられる。
ポリシ管理装置４は更に、アプリケーション識別装置３に、アプリケーション識別ボリシを設定する。アプリケーション識別ボリシとは、特定のフローをアプリケーション識別するためのポリシであり、パケットヘッダ識別制御部２１に設定される各ステアリングポリシのうちいずれかに対応している。
【００１７】
図２（ａ），（ｂ）は、中継装置６とアプリケーション識別装置３との接続構成と動作とを示す図である。
図２（ａ）は、コア網９への入力フローを転送する動作を示す図である。
アプリケーション識別装置３は、インタフェース３１とインタフェース３２とを備え、インタフェース３１，３２により中継装置６と直接接続する。パケットヘッダ識別制御部２１は、特定のフローを、中継装置６を介してアプリケーション識別装置３へ転送する。
中継装置６は、パケットヘッダ識別制御部２１から転送されたフローを、その識別子の各フローの方向を参照して、アプリケーション識別装置３のインタフェース３１，３２のうち対応するインタフェースに入力する。インタフェース３１，３２を区別するため、図面では、それぞれ「ＩＦ＃１」、「ＩＦ＃２」と記載している。
中継装置６は、転送されたフローがコア網９への入力フローならば、アプリケーション識別装置３のインタフェース３１に入力する。
図２（ｂ）は、コア網９からの出力フローを転送する動作を示す図である。
中継装置６は、転送されたフローがコア網９からの出力フローならば、アプリケーション識別装置３のインタフェース３２に入力する。
このようにすることで、アプリケーション識別装置３は、フローを受信したインタフェースによって、このフローの属性を判断して適用可能なアプリケーション識別ポリシを絞りこみ、効率的に処理することができる。
【００１８】
（ケース＃１）
このケース＃１は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローとコア網出力フローの双方に適用する場合である。
図３は、ケース＃１のパケットヘッダ識別制御部２１におけるフローを示す図である。
コア網９からの出力フローＦ０は、パケットヘッダ識別制御部２１のコア網内接続インタフェース２１１に入力される。このフローＦ０は、パケットヘッダ識別制御部２１により識別子を付与され、かつカプセリングされて、アプリケーション識別接続インタフェース２１３から中継装置６に転送される。中継装置６は、パケットヘッダ識別制御部２１のアプリケーション識別接続インタフェース２１３に直接に接続されており、転送されたフローをデカプセリングしてアプリケーション識別装置３に中継する。これにより、パケットヘッダ識別制御部２１は、ＩＰトンネルを構築することなく、効率的にフローをアプリケーション識別装置３へ転送することができる。
【００１９】
中継装置６は、フローＦ０をデカプセリングしたのち、ＶＬＡＮ＿Ｔａｇまたは独自仕様プロトコルに識別子を付与して、アプリケーション識別装置３に中継する。
アプリケーション識別装置３は、受信したフローＦ０の識別子から送信元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ０は、中継装置６でカプセリングされ、元のパケットヘッダ識別制御部２１に返送される。このフローＦ０は、パケットヘッダ識別制御部２１でデカプセリングされたのち、宛先ＩＰアドレスで指定される本来の宛先へと転送される。
【００２０】
コア網９への入力フローＦ１は、ユーザ端末５から、パケットヘッダ識別制御部２１のコア網外接続インタフェース２１２とアプリケーション識別接続インタフェース２１３とを介して、中継装置６に転送される。
中継装置６は、フローＦ１を必要に応じてデカプセリングし、ＶＬＡＮ＿Ｔａｇまたは独自仕様プロトコルに識別子を付与して、アプリケーション識別装置３に中継する。
アプリケーション識別装置３は、受信したフローＦ１の識別子から転送元のパケットヘッダ識別制御部２１を認識し、該当するパケットヘッダ識別制御部２１に関するアプリケーション識別ポリシを適用する。アプリケーション識別装置３がアプリケーション識別ポリシを適用したフローＦ１は、中継装置６を介して元のパケットヘッダ識別制御部２１に返送される。
パケットヘッダ識別制御部２１では、アプリケーション識別接続インタフェース２１３を介して返送されたフローＦ１について、識別子を削除し、宛先ＩＰアドレスで指定される本来の宛先へ送信する。
【００２１】
図４は、ケース＃１のアプリケーション識別システムにおけるフローと識別子とを示す図である。
各フローＦ１Ａ，Ｆ１Ｂ，Ｆ２Ａ，Ｆ２Ｂを構成するパケットには、パケットヘッダ識別制御部２１にて、それぞれ識別子が付与されて転送される。転送されたパケットは、アプリケーション識別装置３で識別処理されたのち、再び中継装置６を経由して、パケットヘッダ識別制御部２１に戻る。
【００２２】
パケットヘッダ識別制御部２１は、フローＦ１Ａを構成するパケットに、識別子「１Ａ」を付与し、フローＦ１Ｂを構成するパケットに、識別子「１Ｂ」を付与する。
パケットヘッダ識別制御部２１は、フローＦ２Ａを構成するパケットに、識別子「２Ａ」を付与し、フローＦ２Ｂを構成するパケットに、識別子「２Ｂ」を付与する。このようにすることで、アプリケーション識別装置３および中継装置６は、各フローを構成するパケットの識別子により、このフローの送信元のパケットヘッダ識別制御部２１およびフローの方向を識別することができる。
【００２３】
各フローに対する識別子の付与は、以下のいずれかの方法で実現する。
第１の方法は、ＩＰヘッダの未使用フィールドに設定する方法である。ＩＰヘッダの未使用フィールドには、例えばＩＰｖ６（Internet Protocol Version 6）ヘッダのFlowLabelがある。
第２の方法は、パケットにＶＬＡＮ＿Ｔａｇを追加して転送し、ＶＬＡＮ＿ＩＤに識別子を設定する方法である。
第３の方法は、パケットにＩＰｓｅｃ（Security Architecture for Internet Protocol）を使用して転送し、ＥＳＰ（Encapsulated Security Payload）ヘッダのＳＰＩ（Security Parameters Index）値に識別子を設定する方法である。
第４の方法は、パケットをＧＲＥ（Generic Routing Encapsulation）を使用して転送し、ＧＲＥヘッダのキーＩＤに識別子を設定する方法である。
第５の方法は、パケットに独自仕様プロトコルを使用し、プロトコルヘッダの特定の１フィールドに設定する。
なお、パケットヘッダ識別制御部２１に対して設定するステアリングポリシは、コア網入力フローとコア網出力フローの双方向か、または、コア網入力フローのみに適用する。
【００２４】
（ケース＃２）
このケース＃２は、パケットヘッダ識別制御部２１に対して設定するステアリングポリシをコア網入力フローのみに適用する場合である。
図５は、ケース＃２の中継装置６Ａにおけるフローを示す図である。
フローＦ１Ａは、ユーザ端末５から、パケットヘッダ識別制御部２１のコア網外接続インタフェース２１２とアプリケーション識別接続インタフェース２１３とを介して、中継装置６Ａに転送される。
このフローＦ１Ａは、中継装置６Ａを経由してアプリケーション識別装置３で識別処理されたのち、中継装置６Ａに返送される。
中継装置６Ａは、アプリケーション識別装置３から返送されたフローＦ１Ａについて、識別子を削除して、宛先ＩＰアドレスで指定される本来の宛先へ転送する。
ケース＃２によれば、中継装置６Ａは、コア網入力フローをパケットヘッダ識別制御部２１に返送せずに、本来の宛先へ転送するので、ケース＃１と比べてアプリケーション識別を効率的に実施可能である。
【００２５】
また、ポリシ管理装置４は、アプリケーション識別装置３を監視し、アプリケーション識別装置３に故障が発生した場合は、パケットヘッダ識別制御部２１に対して、転送先のアプリケーション識別装置３を変更するように、ステアリングポリシを設定してもよい。
【００２６】
図６は、アプリケーション識別装置３を多重化したアプリケーション識別システム１を示す概略の構成図である。
アプリケーション識別システム１において、アプリケーション識別装置３−１，３−２は、パケットヘッダ識別制御部２１−１，２１−２で共用する装置として、中継装置６と共にコア網９のネットワーク上に設置される。アプリケーション識別装置３−１，３−２は、各パケットヘッダ識別制御部２１−１，２１−２に関するアプリケーション識別ポリシを保持する。アプリケーション識別装置３−１は、通常時に動作する現用装置である。アプリケーション識別装置３−２は、現用装置の故障時に動作する予備装置である。各アプリケーション識別装置３−１，３−２を区別するため、図面に＃１，＃２の番号を付与している。
【００２７】
ポリシ管理装置４は、コア網９のネットワーク上に設置され、各パケットヘッダ識別制御部２１−１，２１−２に対して、特定のフローをアプリケーション識別装置３−１へ転送するためのステアリングポリシを設定する。ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を検知すると、予備のアプリケーション識別装置３−２に切り替えるようにパケットヘッダ識別制御部２１−１，２１−２を制御する。
【００２８】
図７は、アプリケーション識別装置３を多重化したアプリケーション識別システム１の障害発生時の動作を示すシーケンス図である。
アプリケーション識別システム１が動作を開始すると、ポリシ管理装置４は、シーケンスＱ１０の処理を開始する。
シーケンスＱ１０において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−１へ転送させるためのステアリングポリシを設定する。
【００２９】
シーケンスＱ１１において、ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を監視する。
シーケンスＱ１２において、ポリシ管理装置４は、予備のアプリケーション識別装置３−２の故障を監視する。以降、ポリシ管理装置４は、シーケンスＱ１１，Ｑ１２を繰り返し行う。
シーケンスＱ２０において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−１へ転送する。以降、パケットヘッダ識別制御部２１は、同様なフロー転送処理を行う。
【００３０】
シーケンスＱ３０において、現用のアプリケーション識別装置３−１には、故障が発生する。
シーケンスＱ３１において、ポリシ管理装置４は、現用のアプリケーション識別装置３−１の故障を検知する。
シーケンスＱ３２において、ポリシ管理装置４は、各パケットヘッダ識別制御部２１に対して、特定のフローをアプリケーション識別装置３−２へ転送させるためのステアリングポリシを設定する。これにより、アプリケーション識別装置３−２は、現用装置となる。
シーケンスＱ３３において、パケットヘッダ識別制御部２１は、ステアリングポリシで指定された５ｔｕｐｌｅ情報に合致するフローを検知すると、指定された識別子を付与して、指定されたアプリケーション識別装置３−２へ転送する。
これにより、アプリケーション識別システム１は、現用のアプリケーション識別装置３−１が故障した場合でも、予備のアプリケーション識別装置３−２に切り替えて動作を継続可能である。
【００３１】
＜第１の実施形態＞
図８は、第１の実施形態におけるアプリケーション識別システム１を示す概略の構成図である。
図８に示すように、アプリケーション識別システム１は、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、Ｌ２スイッチ６Ｃ（各図では「Ｌ２ＳＷ」と記載されている。）と、コアルータ９１−１，９１−２と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。アプリケーション識別装置３は、各パケットヘッダ識別制御部２１のアプリケーション識別ポリシを保持するポリシテーブル３３を備える。各パケットヘッダ識別制御部２１−１〜２１−３は、それぞれポリシテーブル２２−１〜２２−３を備えている。なお、各ポリシテーブル２２−１〜２２−３を特に区別しない場合には、単に「ポリシテーブル２２」と記載している場合がある。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
【００３２】
ポリシ管理装置４と、コアルータ９１−１，９１−２と、パケットヘッダ識別制御部２１−１〜２１−３とは、相互に通信可能に接続されている。パケットヘッダ識別制御部２１−１，２１−２は、アプリケーション識別接続インタフェース２１３により、Ｌ２スイッチ６Ｃを介してアプリケーション識別装置３に接続される。
アプリケーション識別システム１は、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。
ユーザＡのユーザ端末５−１には、ＩＰアドレス（１．１．１．１）が払い出されている。ユーザＢのユーザ端末５−２には、ＩＰアドレス（２．２．２．２）が払い出されている。サーバ７（サーバＸ）には、ＩＰアドレス（３．３．３．３）が払い出されている。アプリケーション識別装置３には、ＩＰアドレス（４．４．４．４）が払い出されている。
【００３３】
ユーザＡのユーザ端末５−１は、サーバ７（サーバＸ）およびユーザＢのユーザ端末５−２とユニキャストで通信可能である。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−１に対して、ユーザＡのステアリングポリシを設定し、ユーザＡのフローをアプリケーション識別装置３に転送させる。
パケットヘッダ識別制御部２１−１は、設定されたステアリングポリシを、ポリシテーブル２２−１に保持する。
ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＡのアプリケーション識別ポリシを設定し、転送されたユーザＡのフローにアプリケーション識別ポリシを適用させる。
【００３４】
ユーザＢのユーザ端末５−２は、ユーザＡのユーザ端末５−１とユニキャストで通信する。
ポリシ管理装置４は、パケットヘッダ識別制御部２１−２に対して、ユーザＢのステアリングポリシを設定し、ユーザＢのフローをアプリケーション識別装置３へ転送させる。
パケットヘッダ識別制御部２１−２は、設定されたステアリングポリシを、ポリシテーブル２２−２に保持する。ポリシ管理装置４は、アプリケーション識別装置３に対して、ユーザＢのアプリケーション識別ポリシを設定し、転送されたユーザＢのフローにアプリケーション識別ポリシを適用させる。
【００３５】
図９（ａ），（ｂ）は、第１の実施形態におけるポリシテーブル２２を示す図である。図９（ａ）は、パケットヘッダ識別制御部２１−１（＃１）が保持するポリシテーブル２２−１を示す図である。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
【００３６】
ＶＬＡＮ＿ＩＤ欄には、このルールに合致するフローに付与するＶＬＡＮ＿ＩＤの値が格納される。第１の実施形態では、フローの識別子としてIEEE802.1Qで定義されるタグＶＬＡＮを使用し、このＶＬＡＮ＿ＩＤの値が設定される。このＶＬＡＮ＿ＩＤにより、アプリケーション識別装置３は、このフローに適用するアプリケーション識別ポリシを特定することができる。
ＶＬＡＮ＿ＩＤの第１桁は、フローの方向を示している。ＶＬＡＮ＿ＩＤの第１桁（以下、１の位を第１桁とする。）が「１」の場合は、フローの方向がコア網への入力方向であることを示している。ＶＬＡＮ＿ＩＤの第１桁が「２」の場合は、フローの方向がコア網からの出力方向であることを示している。
ＶＬＡＮ＿ＩＤの第３桁は、フローの転送元を示している。ＶＬＡＮ＿ＩＤの第３桁が「１」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＶＬＡＮ＿ＩＤの第３桁が「２」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
【００３７】
インタフェース欄には、このルールに合致するフローを出力するアプリケーション識別接続インタフェース２１３の番号が格納される。アプリケーション識別接続インタフェース２１３の番号でフローの出力先を指定することにより、アプリケーション識別装置３がＩＰアドレスを持たない場合であっても、フローを出力することが可能である。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
図９（ｂ）は、パケットヘッダ識別制御部２１−２（＃２）が保持するポリシテーブル２２−２を示す図である。パケットヘッダ識別制御部２１−２は、ユーザＡ・ユーザＢ間の通信のポリシルールを、自身のポリシテーブル２２−２に保持している。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
【００３８】
図１０は、第１の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。以下の図面では、各パケットヘッダ識別制御部２１のことを「ＰＨ識別制御部」と省略して記載している場合がある。
【００３９】
（ユーザＡからサーバＸへの通信）
シーケンスＱ４０〜Ｑ４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
シーケンスＱ４１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＸ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ４２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
【００４０】
シーケンスＱ４３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ４４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ４６において、コアルータ９１−１は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ４７において、コアルータ９１−２は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−３に転送する。
シーケンスＱ４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、このパケットをサーバ７（サーバＸ）に転送する。
【００４１】
（サーバＸからユーザＡへの通信）
シーケンスＱ５０〜Ｑ５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、パケットがポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ５１において、パケットヘッダ識別制御部２１−３は、このパケットのルーティングに基づき、コアルータ９１−２に転送する。
シーケンスＱ５２において、コアルータ９１−２は、このパケットのルーティングに基づき、コアルータ９１−１に転送する。
【００４２】
シーケンスＱ５３において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＸｔｏＡ」に合致することを検知する。
シーケンスＱ５４において、パケットヘッダ識別制御部２１−１は、ルール名「ＸｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ５５において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
【００４３】
シーケンスＱ５６において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ５７において、Ｌ２スイッチ６Ｃは、このパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ５８において、パケットヘッダ識別制御部２１−１は、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
【００４４】
図１１は、第１の実施形態におけるユーザ間のフローを示すシーケンス図である。
（ユーザＡからユーザＢへの通信）
シーケンスＱ６０〜Ｑ７１は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ６０において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６１において、パケットヘッダ識別制御部２１−１は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
【００４５】
シーケンスＱ６２において、Ｌ２スイッチ６Ｃは、ＶＬＡＮ＿ＩＤに基づいてコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ６３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
【００４６】
シーケンスＱ６４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ６５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、パケットをコアルータ９１−１に転送する。
シーケンスＱ６６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２はパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ６７において、パケットヘッダ識別制御部２１−２は、ルール名「ＡｔｏＢ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
【００４７】
シーケンスＱ６８において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２を転送元とするアプリケーション識別ポリシからユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ６９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ７０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ７１において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
【００４８】
（ユーザＢからユーザＡへの通信）
シーケンスＱ８０〜Ｑ９１は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ８０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図９（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ８１において、パケットヘッダ識別制御部２１−２は、ルール名「ＢｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「２０１」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ８２において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網入力フローであることを認識し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシからユーザＢに関するアプリケーション識別ポリシを選択して適用する。
【００４９】
シーケンスＱ８３において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ８４において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ８５において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ８６において、コアルータ９１−１は、このパケットのルーティングに基づき、パケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図９（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
【００５０】
シーケンスＱ８７において、パケットヘッダ識別制御部２１−１は、ルール名「ＢｔｏＡ」に基づき、このパケットにＶＬＡＮ＿ＩＤの「１０２」を付与し、アプリケーション識別接続インタフェース２１３から出力する。Ｌ２スイッチ６Ｃは、このパケットを受信する。
シーケンスＱ８８において、Ｌ２スイッチ６Ｃは、このパケットに付与されたＶＬＡＮ＿ＩＤに基づきコア網出力フローであることを認識し、アプリケーション識別装置３のインタフェース３２へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシからユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ８９において、アプリケーション識別装置３は、処理したパケットを、Ｌ２スイッチ６Ｃに返送する。
シーケンスＱ９０において、Ｌ２スイッチ６Ｃは、このパケットを、パケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットからＶＬＡＮタグを取り除く。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ９１において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
【００５１】
＜第２の実施形態＞
第２の実施形態では、パケットヘッダ識別制御部２１と中継装置６間の識別子の転送にＩＰｓｅｃのＳＰＩ値を使用し、中継装置６でＶＬＡＮ＿Ｔａｇに付け替えている。このようにすることで、中継装置６の接続トポロジや設置位置の制約が少なくなる。
【００５２】
図１２は、第２の実施形態におけるアプリケーション識別システム１Ｄを示す概略の構成図である。
図１２に示すように、アプリケーション識別システム１Ｄは、コア網９にアプリケーション識別装置３と、ポリシ管理装置４と、トンネル終端部６Ｄ（中継装置）と、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とを備えている。ポリシ管理装置４と、トンネル終端部６Ｄと、コアルータ９１−１〜９１−３と、パケットヘッダ識別制御部２１−１〜２１−３とは、相互に通信可能に接続されている。
パケットヘッダ識別制御部２１−１，２１−２は、ＩＰトンネルとトンネル終端部６Ｄとを介してアプリケーション識別装置３に接続される。
アプリケーション識別システム１Ｄは、パケットヘッダ識別制御部２１−１を介してユーザＡのユーザ端末５−１に接続され、パケットヘッダ識別制御部２１−２を介してユーザＢのユーザ端末５−２に接続され、パケットヘッダ識別制御部２１−３を介してサーバ７（サーバＸ）に接続される。各パケットヘッダ識別制御部２１−１〜２１−３を区別するため、図面に＃１〜＃３の番号を付与している。
【００５３】
ユーザＡのユーザ端末５−１には、ＩＰアドレス（１．１．１．１）が払い出されている。ユーザＢのユーザ端末５−２には、ＩＰアドレス（２．２．２．２）が払い出されている。サーバ７（サーバＸ）には、ＩＰアドレス（３．３．３．３）が払い出されている。アプリケーション識別装置３には、ＩＰアドレス（４．４．４．４）が払い出されている。
第２の実施形態のユーザ端末５−１（ユーザＡ）は、第１の実施形態と同様に、サーバ７（サーバＸ）およびユーザ端末５−２（ユーザＢ）とユニキャストで通信する。
【００５４】
図１３（ａ），（ｂ）は、第２の実施形態におけるポリシテーブル２２を示す図である。
図１３（ａ）は、パケットヘッダ識別制御部２１−１（＃１）が保持するポリシテーブル２２−１を示す図である。
ルール名欄には、各ポリシルールの名称が格納される。
対象フロー欄には、このポリシルールとして、送信元ＩＰアドレスと宛先ＩＰアドレスの組合せが格納される。パケットヘッダ識別制御部２１−１は、各フローの送信元ＩＰアドレスと宛先ＩＰアドレスとが、この対象フロー欄に格納された値と合致したならば、このルールに合致すると判断する。すなわち、この対象フロー欄には、転送するフローの５ｔｕｐｌｅ情報が格納される。
ＳＰＩ値欄には、このルールに合致するフローを転送するＩＰｓｅｃのＳＰＩ値が格納される。第２の実施形態では、フローの識別子としてＩＰｓｅｃのＳＰＩ値を使用する。中継装置６がＩＰｓｅｃのＳＰＩ値をＶＬＡＮ＿ＴａｇのＶＬＡＮ＿ＩＤに付け変えることで、アプリケーション識別装置３は、このフローに適用するアプリケーション識別ポリシを特定することができる。
なお、中継装置６は、ＳＰＩ値とＶＬＡＮ＿ＩＤとの変換表を保持し、この変換表に基づきＳＰＩ値とＶＬＡＮ＿ＩＤとを異なる値に付け変えるようにしてもよい。
【００５５】
ＳＰＩの第１桁は、フローの方向を示している。ＳＰＩの第１桁が「１」の場合は、フローの方向がコア網への入力方向であることを示している。ＳＰＩ値の第１桁が「２」の場合は、フローの方向がコア網からの出力方向であることを示している。
ＳＰＩの第２〜４桁は、フローの転送元を示している。ＳＰＩの第２〜４桁が「１２３」の場合は、フローの転送元がパケットヘッダ識別制御部２１−１であることを示している。ＳＰＩの第２〜４桁が「２３４」の場合は、フローの転送元がパケットヘッダ識別制御部２１−２であることを示している。
【００５６】
転送先のアプリケーション識別装置欄には、このルールに合致するフローの転送先のアプリケーション識別装置３のＩＰアドレスが格納される。
各パケットヘッダ識別制御部２１と、アプリケーション識別装置３に隣接するトンネル終端部６Ｄとは、ＳＰＩ値欄と転送先のアプリケーション識別装置欄を参照して、コア網入力フロー用トンネルやコア網出力フロー用トンネルを確立する。
パケットヘッダ識別制御部２１−１は、ユーザＡとサーバＸ間の通信のポリシルールと、ユーザＡ・ユーザＢ間の通信のポリシルールとを、自身のポリシテーブル２２−１に保持している。
【００５７】
図１３（ｂ）は、パケットヘッダ識別制御部２１−２（＃２）が保持するポリシテーブル２２−２を示す図である。パケットヘッダ識別制御部２１−２は、ユーザＡ・ユーザＢ間の通信のポリシルールを、自身のポリシテーブル２２−２に保持している。
なお、パケットヘッダ識別制御部２１−３のポリシテーブル２２−３には、ポリシルールが保持されていない。
【００５８】
図１４は、第２の実施形態におけるユーザ・サーバ間のフローを示すシーケンス図である。
（ユーザＡからサーバＸへの通信）
シーケンスＱ１４０〜Ｑ１４８は、ユーザＡからサーバＸへの通信を示している。
シーケンスＱ１４０において、ユーザ端末５−１（ユーザＡ）は、サーバ７（サーバＸ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＸ」に合致することを検知する。
【００５９】
シーケンスＱ１４１において、パケットヘッダ識別制御部２１−１は、このパケットをカプセリングし、ルール名「ＡｔｏＸ」に基づくＳＰＩ値の「１２３１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１４１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
シーケンスＱ１４２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
【００６０】
シーケンスＱ１４３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１４４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１４５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１４６において、コアルータ９１−１は、このパケットをコアルータ９１−２に転送する。
【００６１】
シーケンスＱ１４７において、コアルータ９１−２は、このパケットをパケットヘッダ識別制御部２１−３に転送する。
シーケンスＱ１４８において、パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。パケットヘッダ識別制御部２１−３は、このパケットをサーバ７（サーバＸ）に転送する。
【００６２】
（サーバＸからユーザＡへの通信）
シーケンスＱ１５０〜Ｑ１５８は、サーバＸからユーザＡへの通信を示している。
シーケンスＱ１５０において、サーバ７（サーバＸ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−３を介して送信する。パケットヘッダ識別制御部２１−３は、このパケットを受信すると、ポリシテーブル２２−３のエントリに合致するか確認し、いずれにも合致しないことを検知する。
シーケンスＱ１５１において、パケットヘッダ識別制御部２１−３は、このパケットをコアルータ９１−２に転送する。
シーケンスＱ１５２において、コアルータ９１−２は、このパケットをコアルータ９１−１に転送する。
【００６３】
シーケンスＱ１５３において、コアルータ９１−１は、このパケットをパケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＸｔｏＡ」に合致することを検知する。
シーケンスＱ１５４において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングして、ルール名「ＸｔｏＡ」に基づきＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１５４は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
【００６４】
シーケンスＱ１５５において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットが流れる方向がコア網からの出力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
【００６５】
シーケンスＱ１５６において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１５７において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、パケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１５８において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
【００６６】
図１５は、第２の実施形態におけるユーザ間のフローを示すシーケンス図である。
（ユーザＡからユーザＢへの通信）
シーケンスＱ１００〜Ｑ１１２は、ユーザＡからユーザＢへの通信を示している。
シーケンスＱ１００において、ユーザ端末５−１（ユーザＡ）は、ユーザ端末５−２（ユーザＢ）を宛先とするパケットを、パケットヘッダ識別制御部２１−１を介して送信する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、パケットがポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０１において、パケットヘッダ識別制御部２１−１は、このパケットをカプセリングして、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「１２３１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、デカプセリングする。
【００６７】
シーケンスＱ１０２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であること、および、このパケットを受信したインタフェース３１から、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１０３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
シーケンスＱ１０４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
【００６８】
シーケンスＱ１０５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１０６において、コアルータ９１−１は、このパケットをコアルータ９１−３に転送する。
シーケンスＱ１０７において、コアルータ９１−３は、このパケットをパケットヘッダ識別制御部２１−２に転送する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＡｔｏＢ」に合致することを検知する。
シーケンスＱ１０８において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングし、ルール名「ＡｔｏＢ」に基づくＳＰＩ値の「２３４２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１０８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
【００６９】
シーケンスＱ１０９において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「２３４２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、インタフェース３２から、このバケットのフローの方向がコア網からの出力方向であることを識別し、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシから、ユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１１０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
【００７０】
シーケンスＱ１１１において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１１２において、パケットヘッダ識別制御部２１−２は、通常のルーティング処理を行い、このパケットをユーザ端末５−２（ユーザＢ）に転送する。
【００７１】
（ユーザＢからユーザＡへの通信）
シーケンスＱ１２０〜Ｑ１３２は、ユーザＢからユーザＡへの通信を示している。
シーケンスＱ１２０において、ユーザ端末５−２（ユーザＢ）は、ユーザ端末５−１（ユーザＡ）を宛先とするパケットを、パケットヘッダ識別制御部２１−２を介して送信する。パケットヘッダ識別制御部２１−２は、このパケットを受信すると、パケットがポリシテーブル２２−２（図１３（ｂ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２１において、パケットヘッダ識別制御部２１−２は、このパケットをカプセリングして、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「２３４１」を設定し、コア網入力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２１は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、ＩＰトンネルのＳＰＩ値に基づきコア網入力フローであることを認識して、デカプセリングする。
【００７２】
シーケンスＱ１２２において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤにＳＰＩ値の「２３４１」を設定し、アプリケーション識別装置３のインタフェース３１へ転送する。アプリケーション識別装置３は、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−２であること、および、このパケットを受信したインタフェース３１から、フローの方向がコア網への入力方向であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−２に関する各アプリケーション識別ポリシから、ユーザＢに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１２３において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除しカプセリングする。
シーケンスＱ１２４において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−２に返送する。パケットヘッダ識別制御部２１−２は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
【００７３】
シーケンスＱ１２５において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをコアルータ９１−３に転送する。
シーケンスＱ１２６において、コアルータ９１−３は、このパケットをコアルータ９１−１に転送する。
シーケンスＱ１２７において、コアルータ９１−２は、このパケットをパケットヘッダ識別制御部２１−１に転送する。パケットヘッダ識別制御部２１−１は、このパケットを受信すると、ポリシテーブル２２−１（図１３（ａ）参照）のエントリに合致するか確認し、ルール名「ＢｔｏＡ」に合致することを検知する。
シーケンスＱ１２８において、パケットヘッダ識別制御部２１−１は、パケットをカプセリングし、ルール名「ＢｔｏＡ」に基づくＳＰＩ値の「１２３２」を設定し、コア網出力フロー用トンネルを介してトンネル終端部６Ｄに転送する。シーケンスＱ１２８は、ＩＰトンネルを介していることを示すため、破線矢印で示されている。トンネル終端部６Ｄは、このパケットを受信すると、コア網出力フロー用トンネルのＳＰＩ値に基づき、コア網出力フローであることを認識してデカプセリングする。
【００７４】
シーケンスＱ１２９において、トンネル終端部６Ｄは、デカプセリングしたパケットにＶＬＡＮ＿Ｔａｇを付与してＶＬＡＮ＿ＩＤに「１２３２」を設定し、アプリケーション識別装置３のインタフェース３２へ転送する。トンネル終端部６ＤがＶＬＡＮ＿ＩＤに設定する値は、このパケットをカプセリングした際のＳＰＩ値である。アプリケーション識別装置３は、このパケットを受信したインタフェース３２から、フローの方向がコア網からの出力方向であることを識別し、ＶＬＡＮ＿ＩＤから転送元がパケットヘッダ識別制御部２１−１であることを識別する。アプリケーション識別装置３は、パケットヘッダ識別制御部２１−１に関する各アプリケーション識別ポリシから、ユーザＡに関するアプリケーション識別ポリシを選択して適用する。
シーケンスＱ１３０において、アプリケーション識別装置３は、処理したパケットを、トンネル終端部６Ｄに返送する。トンネル終端部６Ｄは、返送されたパケットのＶＬＡＮ＿Ｔａｇを削除してカプセリングする。
【００７５】
シーケンスＱ１３１において、トンネル終端部６Ｄは、ＩＰトンネルを介してパケットをパケットヘッダ識別制御部２１−１に返送する。パケットヘッダ識別制御部２１−１は、このパケットをデカプセリングする。以降このパケットは、通常のルーティング処理が行われる。
シーケンスＱ１３２において、パケットヘッダ識別制御部２１−１は、通常のルーティング処理を行い、このパケットをユーザ端末５−１（ユーザＡ）に転送する。
【００７６】
ネットワークを流れるパケット（フロー）をアプリケーション単位で制御するためには、ＤＰＩ装置をインラインに設置することが一般的である。しかし、ＮＧＮ（Next Generation Network）のような大規模ネットワークの場合、ＤＰＩ装置を全回線に設置すると高コストになる虞がある。そこで、本発明では、複数のパケットヘッダ識別制御部２１がアプリケーション識別装置３を共有することとした。本発明では、ポリシ管理装置４がパケットヘッダ識別制御部２１に対して特定フローをアプリケーション識別装置３へ転送するためのステアリングポリシを設定し、パケットヘッダ識別制御部２１が識別子を付与してフローを転送する。この発明によれば、アプリケーション識別に必要なリソースを大幅に削減することが可能である。
【００７７】
本発明の装置は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。
【符号の説明】
【００７８】
１，１Ｄ，１Ｅ  アプリケーション識別システム
２Ｅ−１，２Ｅ−２  ＤＰＩ装置
２１，２１−１，２１−２，２１−３  パケットヘッダ識別制御部
２１１  コア網内接続インタフェース
２１２  コア網外接続インタフェース
２１３  アプリケーション識別接続インタフェース
２２−１，２２−２，２２−３  ポリシテーブル
３，３−１，３−２  アプリケーション識別装置
３Ｅ−１，３Ｅ−２  アプリケーション識別部
３１，３２  インタフェース
３３  ポリシテーブル
４  ポリシ管理装置
５，５−１，５−２  ユーザ端末
６，６Ａ  中継装置
６Ｃ  Ｌ２スイッチ  （中継装置の一例）
６Ｄ  トンネル終端部  （中継装置の一例）
７  サーバ
９  コア網
９１−１，９１−２，９１−３  コアルータ
【図１】
2015162693.tif 000003
【図２】
2015162693.tif 000004
【図３】
2015162693.tif 000005
【図４】
2015162693.tif 000006
【図５】
2015162693.tif 000007
【図６】
2015162693.tif 000008
【図７】
2015162693.tif 000009
【図８】
2015162693.tif 000010
【図９】
2015162693.tif 000011
【図１０】
2015162693.tif 000012
【図１１】
2015162693.tif 000013
【図１２】
2015162693.tif 000014
【図１３】
2015162693.tif 000015
【図１４】
2015162693.tif 000016
【図１５】
2015162693.tif 000017
【図１６】
2015162693.tif 000018