(57)【要約】この出願は、ＢＧＰメッセージ送信方法を提供する。方法は、第１のネットワークデバイスによって、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを決定するステップと、第１のネットワークデバイスによって、ＢＧＰメッセージを生成するステップであって、ＢＧＰメッセージは、第１のＭＡＣアドレスと指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために利用される、ステップと、第１のネットワークデバイスによって、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップとを含む。また、他の方法及び他のデバイスがさらに提供される。上記の技術的解決策は、ネットワークデバイスのマニュアル設定を実行する上で技術者の作業負荷を抑制する助けとなる。
2021530158.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークデバイスによって、第１のメディアアクセス制御ＭＡＣアドレスによって識別されるホストが攻撃者であることを決定するステップと、
前記第１のネットワークデバイスによって、ＢＧＰメッセージを生成するステップであって、前記ＢＧＰメッセージは、前記第１のＭＡＣアドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別される前記ホストが前記攻撃者であることを示すために利用される、ステップと、
前記第１のネットワークデバイスによって、前記ＢＧＰメッセージを第２のネットワークデバイスに送信するステップと、
を含む、ボーダーゲートウェイプロトコルＢＧＰメッセージ送信方法。
【請求項２】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰを含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
前記第１のネットワークデバイスによって、前記ＢＧＰメッセージを第２のネットワークデバイスに送信する前記ステップは、前記第１のＶＴＥＰによって、前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信するステップを含む、
請求項１に記載の方法。
【請求項３】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ広告ルートと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣモビリティ拡張コミュニティとを含み、
前記第１のＭＡＣアドレスは、前記ＭＡＣ／ＩＰ広告ルートにおいて搬送され、前記指示情報は、前記ＭＡＣモビリティ拡張コミュニティにおいて搬送される、
請求項１又は２に記載の方法。
【請求項４】
前記ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、前記指示情報は、前記フラグの最上位ビットＭＳＢ上で搬送される、
請求項３に記載の方法。
【請求項５】
前記ＢＧＰメッセージは、ＢＧＰ更新メッセージである、
請求項１〜４のいずれか１項に記載の方法。
【請求項６】
第２のネットワークデバイスによって、第１のネットワークデバイスからＢＧＰメッセージを受信するステップであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために利用される、ステップと、
前記第２のネットワークデバイスによって、第１のパケットを受信するステップであって、前記第１のパケットの送信先ＭＡＣアドレスが前記第１のＭＡＣアドレスに等しい、ステップと、
前記第２のネットワークデバイスによって、前記ＢＧＰメッセージ内の前記第１のＭＡＣアドレスと、前記ＢＧＰメッセージ内の前記指示情報と、前記第１のパケットの前記送信先ＭＡＣアドレスとに基づいて、前記第１のパケットを、前記第１のＭＡＣアドレスによって識別される前記ホストに転送することを回避するステップと、
を含む、ボーダーゲートウェイプロトコルＢＧＰメッセージ受信方法。
【請求項７】
前記方法は、
前記第２のネットワークデバイスによって、第２のパケットを受信するステップであって、また、前記第２のパケットの送信元ＭＡＣアドレスは、前記第１のＭＡＣアドレスに等しい、ステップと、
前記第２のネットワークデバイスによって、前記ＢＧＰメッセージ内の前記第１のＭＡＣアドレスと、前記ＢＧＰメッセージ内の前記指示情報と、前記第２のパケットの前記送信元ＭＡＣアドレスとに基づいて、前記第２のパケットを転送することを回避するステップと、
をさらに含む、請求項６に記載の方法。
【請求項８】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰを含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
第２のネットワークデバイスによって、第１のネットワークデバイスからＢＧＰメッセージを受信する前記ステップは、前記第２のＶＴＥＰによって、前記第１のＶＴＥＰからの前記ルーティング情報を受信するステップを含む、
請求項６又は７に記載の方法。
【請求項９】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ広告ルートと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣモビリティ拡張コミュニティとを含み、前記第１のＭＡＣアドレスは、前記ＭＡＣ／ＩＰ広告ルートにおいて搬送され、前記指示情報は、前記ＭＡＣモビリティ拡張コミュニティにおいて搬送される、
請求項６〜８のいずれか１項に記載の方法。
【請求項１０】
前記ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、前記指示情報は、前記フラグの最上位ビットＭＳＢ上で搬送される、
請求項９に記載の方法。
【請求項１１】
プロセッサと、前記プロセッサに接続されたトランシーバとを含む第１のネットワークデバイスであって、
前記プロセッサは、第１のメディアアクセス制御ＭＡＣアドレスによって識別されるホストが攻撃者であることを決定するように構成され、
前記プロセッサは、ボーダーゲートウェイプロトコルＢＧＰメッセージを生成することであって、前記ＢＧＰメッセージは、前記第１のＭＡＣアドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別される前記ホストが前記攻撃者であることを示すために利用される、ことを行うようにさらに構成され、
前記トランシーバは、前記プロセッサによって生成された前記ＢＧＰメッセージを第２のネットワークデバイスに送信するように構成される、
第１のネットワークデバイス。
【請求項１２】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰを含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
前記トランシーバは、前記第１のＶＴＥＰからの前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信するように構成される、
請求項１１に記載の第１のネットワークデバイス。
【請求項１３】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ広告ルートと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣモビリティ拡張コミュニティとを含み、前記第１のＭＡＣアドレスは、前記ＭＡＣ／ＩＰ広告ルートにおいて搬送され、前記指示情報は、前記ＭＡＣモビリティ拡張コミュニティにおいて搬送される、
請求項１１又は１２に記載の第１のネットワークデバイス。
【請求項１４】
前記ＭＡＣモビリティ拡張コミュニティは、８つのビットを有するフラグを含み、前記指示情報は、前記フラグの最上位ビットＭＳＢ上で搬送される、
請求項１３に記載の第１のネットワークデバイス。
【請求項１５】
前記ＢＧＰメッセージは、ＢＧＰ更新メッセージである、
請求項１１〜１４のいずれか１項に記載の第１のネットワークデバイス。
【請求項１６】
第１のトランシーバと、第２のトランシーバと、前記第１のトランシーバ及び前記第２のトランシーバに接続されたプロセッサとを含む第２のネットワークデバイスであって、
前記第１のトランシーバは、第１のネットワークデバイスからボーダーゲートウェイプロトコルＢＧＰメッセージを受信することであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために利用される、ことを行うように構成され、
前記第２のトランシーバは、第１のパケットを受信することであって、前記第１のパケットの送信先ＭＡＣアドレスが前記第１のＭＡＣアドレスに等しい、ことを行うように構成され、
前記プロセッサは、前記ＢＧＰメッセージ内の前記第１のＭＡＣアドレスと、前記ＢＧＰメッセージ内の前記指示情報と、前記第１のパケットの前記送信先ＭＡＣアドレスとに基づいて、前記第１のパケットを、前記第１のＭＡＣアドレスによって識別される前記ホストに転送することを回避するように構成される、
第２のネットワークデバイス。
【請求項１７】
前記第２のトランシーバは、第２のパケットを受信するようにさらに構成され、前記第２のパケットの送信元ＭＡＣアドレスは、前記第１のＭＡＣアドレスに等しく、
前記プロセッサは、前記ＢＧＰメッセージ内の前記第１のＭＡＣアドレスと、前記ＢＧＰメッセージ内の前記指示情報と、前記第２のパケットの前記送信元ＭＡＣアドレスとに基づいて、前記第２のパケットを転送することを回避するようにさらに構成される、
請求項１６に記載の第２のネットワークデバイス。
【請求項１８】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰを含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
前記第１のトランシーバは、前記第１のＶＴＥＰからの前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信するように構成される、
請求項１６又は１７に記載の第２のネットワークデバイス。
【請求項１９】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ広告ルートと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣモビリティ拡張コミュニティとを含み、前記第１のＭＡＣアドレスは、前記ＭＡＣ／ＩＰ広告ルートにおいて搬送され、前記指示情報は、前記ＭＡＣモビリティ拡張コミュニティにおいて搬送される、
請求項１６〜１８のいずれか１項に記載の第２のネットワークデバイス。
【請求項２０】
前記ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、前記指示情報は、前記フラグの最上位ビットＭＳＢ上で搬送される、
請求項１９に記載の第２のネットワークデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、通信技術の分野に関し、詳細には、ボーダーゲートウェイプロトコル（Ｂｏｒｄｅｒ  Ｇａｔｅｗａｙ  Ｐｒｏｔｏｃｏｌ、ＢＧＰ）メッセージ送信方法、ＢＧＰメッセージ受信方法、及び関連するデバイスに関する。
【背景技術】
【０００２】
本出願は、その全体が参照によって本明細書に組み込まれる、２０１８年６月３０日に中国国家知識産権局に出願された、「ＢＧＰ  ＭＥＳＳＡＧＥ  ＳＥＮＤＩＮＧ  ＭＥＴＨＯＤ，  ＢＧＰ  ＭＥＳＳＡＧＥ  ＲＥＣＥＩＶＩＮＧ  ＭＥＴＨＯＤ，  ＡＮＤ  ＤＥＶＩＣＥ」と題する、中国特許出願第２０１８１０７０３１１２．１号に基づく優先権を主張する。
【０００３】
ネットワークデバイスは、複数のホストに接続され得る。例えば、ネットワークデバイスは、スイッチであり得る。ネットワークデバイスが、ホストからパケットを受信したとき、ネットワークデバイスは、パケットを転送し得る。複数のホストが、攻撃者を含み得る。例えば、ホスト１が攻撃者である。技術者は、ネットワークデバイス上において、ホスト１の転送ルールを手動で構成し得る。転送ルールは、ホスト１のメディアアクセス制御（ｍｅｄｉａ  ａｃｃｅｓｓ  ｃｏｎｔｒｏｌ、ＭＡＣ）アドレスを含む。例えば、ＭＡＣアドレスは、４８ビットを有する。ネットワークデバイスは、ネットワークデバイスによって受信されたパケットの送信元ＭＡＣアドレスが、ホスト１のＭＡＣアドレスであることを検出したとき、ネットワークデバイスは、転送ルールに従って、パケットを破棄し得る。
【０００４】
上述の技術的ソリューションにおいては、技術者は、攻撃者の転送ルールを手動で構成する必要があり、手動構成の作業負荷は相対的に重い。
【発明の概要】
【０００５】
本出願は、手動構成の作業負荷を低減させる助けとなる、ＢＧＰメッセージ送信方法、ＢＧＰメッセージ受信方法、及び関連するデバイスを提供する。
【０００６】
本出願は、以下の技術的ソリューションを提供する。
【０００７】
第１の態様に従うと、ＢＧＰメッセージ送信方法が提供される。方法は、第１のネットワークデバイスが、第１のメディアアクセス制御ＭＡＣアドレスによって識別されるホストが攻撃者であると決定するステップと、第１のネットワークデバイスが、ＢＧＰメッセージを生成するステップであって、ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される、ステップと、第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップとを含む。
【０００８】
上述の技術的ソリューションにおいては、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定した後、第１のネットワークデバイスは、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを生成し、ＢＧＰメッセージを第２のネットワークデバイスに送信し得る。さらに、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、指示情報とに基づいて、第２のネットワークデバイスが、第２のネットワークデバイスによって受信されたパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを防ぐために使用される、転送ルールを生成し得る。言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージに基づいて、転送ルールを生成し得るし、技術者は、第２のネットワークデバイス上において、転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【０００９】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップは、第１のＶＴＥＰが、ＢＧＰメッセージを第２のＶＴＥＰに送信するステップを含む。
【００１０】
上述の技術的ソリューションにおいては、ＶＴＥＰは、ＢＧＰメッセージの送信を実装するために使用され得る。
【００１１】
可能な設計においては、第１のＶＴＥＰアドレスが、第１のＶＴＥＰを識別し、第２のＶＴＥＰアドレスが、第２のＶＴＥＰを識別する。ＢＧＰメッセージは、インターネットプロトコル（ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ、ＩＰ）ヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００１２】
可能な設計においては、第１のＶＴＥＰは、トンネルを通して、ＢＧＰメッセージを第２のＶＴＥＰに送信する。トンネルは、ＶＸＬＡＮトンネル、又はＬＳＰである。
【００１３】
可能な設計においては、第１のネットワークデバイスが、ＢＧＰメッセージを生成するステップは、第１のネットワークデバイスが、ＭＡＣアドレスが第１のＭＡＣアドレスであるホストが攻撃者であると決定するステップと、第１のネットワークデバイスが、データパケットを受信するステップであって、データパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスである、ステップと、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成するステップとを含む。
【００１４】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、データパケットのトリガリングに基づいて、ＢＧＰメッセージを生成する。言い換えると、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイスは、ＢＧＰメッセージを直ちに生成し、第２のネットワークデバイスに通知する必要がない。第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のＭＡＣアドレスによって識別されるホストが、第１のネットワークデバイスによって管理されるネットワークにアクセスしないことが可能である。例えば、第１のＭＡＣアドレスによって識別されるホストは、オフラインになっていることがあり得るし、又は第１のＭＡＣアドレスによって識別されるホストは、別のネットワークにローミングしていることがあり得る。従って、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイス及び第２のネットワークデバイスは、攻撃者によって攻撃され得ない。第１のネットワークデバイスが、攻撃者によって攻撃されないとき、第１のネットワークデバイスは、一時的に、ＢＧＰメッセージを生成又は送信しない。これは、第１のネットワークデバイス及び第２のネットワークデバイスのオーバヘッドを低減させる助けとなる。第１のネットワークデバイスが、送信元ＭＡＣアドレスが第１のＭＡＣアドレスであるデータパケットを受信したとき、それは、第１のネットワークデバイスが攻撃者によって攻撃され始めたことを示す。第１のネットワークデバイスが攻撃者によって攻撃され始めたとき、第１のネットワークデバイスは、攻撃者のＭＡＣアドレスを第２のネットワークデバイスに通知する。これは、オーバヘッドの低減と攻撃者からの攻撃の防止との間の妥協点を獲得する助けとなる。
【００１５】
可能な設計においては、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成するステップは、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップであって、第１の仮想拡張可能ローカルエリアネットワークネットワーク識別子ＶＮＩは、第１のＶＸＬＡＮを識別する、ステップと、第１のネットワークデバイスが、データパケットで搬送される送信元ＭＡＣアドレスと、データパケットが第１のＶＸＬＡＮからのものであることとに基づいて、第１のＭＡＣアドレスによって識別されるホストが第１のＶＸＬＡＮ上に置かれていると決定するステップと、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであることに基づいて、ＢＧＰメッセージを生成するステップであって、ＢＧＰメッセージは、第１のＶＮＩを含む、ステップとを含む。
【００１６】
可能な設計においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップは、第１のネットワークデバイスが、第１のポートを通して、データパケットを受信するステップであって、第１のポートは、第１のＶＮＩを用いて構成される、ステップと、第１のネットワークデバイスが、データパケットを受信するように構成された第１のポートは、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定するステップとを含む。
【００１７】
可能な設計においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップは、第１のネットワークデバイスが、データパケット内に含まれる第１の仮想ローカルエリアネットワーク識別子ＶＬＡＮ  ＩＤは、第１のＶＮＩを用いて構成されると決定するステップと、第１のネットワークデバイスが、データパケット内に含まれる第１のＶＬＡＮ  ＩＤが第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定するステップとを含む。
【００１８】
第２の態様に従うと、ＢＧＰメッセージ受信方法が提供される。方法は、第２のネットワークデバイスが、第１のネットワークデバイスからＢＧＰメッセージを受信するステップであって、ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される、ステップと、第２のネットワークデバイスが、第１のパケットを受信するステップであって、第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい、ステップと、第２のネットワークデバイスが、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避するステップとを含む。
【００１９】
可能な設計においては、第２のネットワークデバイスは、第２のパケットを受信する。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避する。
【００２０】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第２のネットワークデバイスが、第１のネットワークデバイスからＢＧＰメッセージを受信するステップは、第２のＶＴＥＰが、第１のＶＴＥＰからルーティング情報を受信するステップを含む。
【００２１】
可能な設計においては、第２のＶＴＥＰは、第２のＶＴＥＰからＢＧＰ更新メッセージを受信する。ＢＧＰメッセージは、ＢＧＰ更新メッセージで搬送され、ＢＧＰ更新メッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００２２】
可能な設計においては、第２のＶＴＥＰは、トンネルを通して、第２のＶＴＥＰからＢＧＰ更新メッセージを受信する。トンネルは、ＶＸＬＡＮトンネル、又はＬＳＰである。
【００２３】
第３の態様に従うと、第１のネットワークデバイスが提供される。第１のネットワークデバイスは、プロセッサと、プロセッサに結合されたトランシーバとを含む。プロセッサは、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定するように構成される。プロセッサは、さらに、ボーダーゲートウェイプロトコルＢＧＰメッセージを生成するように構成される。ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。トランシーバは、プロセッサによって生成されたＢＧＰメッセージを第２のネットワークデバイスに送信するように構成される。
【００２４】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。トランシーバは、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【００２５】
第４の態様に従うと、第２のネットワークデバイスが提供される。第２のネットワークデバイスは、第１のトランシーバと、第２のトランシーバと、第１のトランシーバ及び第２のトランシーバに結合されたプロセッサとを含む。第１のトランシーバは、第１のネットワークデバイスからボーダーゲートウェイプロトコルＢＧＰメッセージを受信するように構成される。ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。第２のトランシーバは、第１のパケットを受信するように構成される。第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。プロセッサは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避するように構成される。
【００２６】
可能な設計においては、第２の受信機は、さらに、第２のパケットを受信するように構成される。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。プロセッサは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避するようにさらに構成される。
【００２７】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第１のトランシーバは、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【００２８】
第５の態様に従うと、システムが提供される。システムは、第３の態様において提供される第１のネットワークデバイスと、第４の態様において提供される第２のネットワークデバイスとを含む。
【００２９】
第６の態様に従うと、コンピュータ可読記憶媒体が提供される。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、第１の態様において提供される方法、又は第２の態様において提供される方法を実行することを可能にされる。例えば、ネットワークデバイスは、第１の態様における第１のネットワークデバイス、又は第２の態様における第２のネットワークデバイスであり得る。
【００３０】
第７の態様に従うと、コンピュータプログラム製品が提供される。コンピュータプログラム製品は、コンピュータプログラムを含む。コンピュータプログラムは、コンピュータ可読記憶媒体内に格納され得る。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、第１の態様において提供される方法、又は第２の態様において提供される方法を実行することを可能にされる。例えば、ネットワークデバイスは、第１の態様における第１のネットワークデバイス、又は第２の態様における第２のネットワークデバイスであり得る。
【００３１】
第１の態様から第７の態様の可能な設計においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【００３２】
上述の技術的ソリューションにおいては、攻撃者のＭＡＣアドレスを広告するために、ＩＥＴＦによって定義されたＥＶＮＰルーティングメッセージが使用され得る。これは、本出願において提供される技術的ソリューションが、既存のネットワークに適合することを可能にし、それによって、実装コストを低減させる助けとなる。
【００３３】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグの最上位ビット（ｍｏｓｔ  ｓｉｇｎｉｆｉｃａｎｔ  ｂｉｔ、ＭＳＢ）上で搬送される。
【００３４】
上述の技術的ソリューションにおいては、指示情報を搬送するために、ＩＥＴＦによって定義されたＥＶＮＰルーティングメッセージ内のフィールドが使用される。これは、本出願において提供される技術的ソリューションが、既存のネットワークに適合することを可能にし、それによって、実装コストを低減させる助けとなる。
【００３５】
第１の態様から第７の態様の可能な設計においては、ＢＧＰメッセージは、ＢＧＰ更新（ｕｐｄａｔｅ）メッセージである。
【図面の簡単な説明】
【００３６】
【図１】本出願に従った、データセンタネットワークの概略構造図である。
【図１ａ】本出願に従った、スイッチの概略構造図である。
【図１ｂ】本出願に従った、サーバの概略構造図である。
【図２】本出願に従った、ＢＧＰメッセージ送信方法の概略フローチャートである。
【図３】本出願に従った、ＢＧＰメッセージ受信方法の概略フローチャートである。
【図４】本出願に従った、第１のネットワークデバイスの概略構造図である。
【図５】本出願に従った、第２のネットワークデバイスの概略構造図である。
【図６】本出願に従った、システムの概略構造図である。
【発明を実施するための形態】
【００３７】
図１は、本出願に従った、データセンタネットワークの概略構造図である。図１を参照すると、データセンタネットワークは、サーバ１からサーバ６と、リーフスイッチ（ｌｅａｆ  ｓｗｉｔｃｈ、ＬＳ）１、ＬＳ１、ＬＳ３と、スパインスイッチ（ｓｐｉｎｅ  ｓｗｉｔｃｈ、ＳＳ）１、ＳＳ２、ＳＳ３とを含む。サーバ１及びサーバ２は、ＬＳ１に接続され、サーバ３及びサーバ４は、ＬＳ２に接続され、サーバ５及びサーバ６は、ＬＳ３に接続される。ＬＳ１は、ＳＳ１、ＳＳ２、及びＳＳ３に接続され、ＬＳ２は、ＳＳ１、ＳＳ２、及びＳＳ３に接続され、ＬＳ３は、ＳＳ１、ＳＳ２、及びＳＳ３に接続される。サーバ１は、ＬＳ１を通して、別のサーバと通信する必要があり、サーバ６は、ＬＳ３を通して、別のサーバと通信する必要がある。サーバ１が、サーバ６と通信するとき、サーバ１によって送信されたデータストリームは、異なる経路を通して、サーバ６に到達し得る。異なる経路は、経路１（ＬＳ１−ＳＳ１−ＬＳ３）、経路２（ＬＳ１−ＳＳ２−ＬＳ３）、及び経路３（ＬＳ１−ＳＳ３−ＬＳ３）を含む。
【００３８】
図１ａは、本出願に従った、スイッチの概略構造図である。図１におけるＬＳは、スイッチ１００であり得るし、図１におけるＳＳは、スイッチ１００であり得る。図１におけるＬＳ及びＳＳの具体的な実装については、本出願におけるスイッチ１００の説明を参照されたい。
【００３９】
図１ａを参照すると、スイッチ１００は、ポートａからｆと、ネットワークプロセッサ１１０と、メモリ１２０と、トラフィックマネージャ１３０と、メモリ１４０とを含む。ポートａ、ポートｂ、及びポートｃは、ネットワークプロセッサ１１０に結合され、ポートａ、ポートｂ、及びポートｃは、送信ポートであり、受信されたパケットをネットワークプロセッサ１１０に送信し得る。スイッチ１００は、より多い又はより少ない受信ポートを含み得る。ポートｄ、ポートｅ、及びポートｆは、トラフィックマネージャ１３０に結合され、ネットワークプロセッサ１１０は、メモリ１２０に結合される。メモリ１２０は、コンピュータプログラムと、転送テーブルとを記憶し得るし、転送テーブルは、ハッシュテーブルであり得る。ネットワークプロセッサ１１０は、メモリ１２０内に格納されたコンピュータプログラムを実行すること、及び／又は転送テーブルを検索することによって、受信ポートからのパケットを処理し得る。例えば、ネットワークプロセッサ１１０は、ハッシュ値を獲得するために、コンピュータプログラムを実行することによって、パケット内のハッシュキーに対してハッシュアルゴリズムを実行することができる。別の例については、ネットワークプロセッサ１１０は、ハッシュテーブルを検索することによって、ハッシュ値にマッチするエントリを決定し得る。ネットワークプロセッサ１１０は、ハッシュ値にマッチするエントリに基づいて、パケットを転送するように構成された送信ポートを決定する。送信ポートは、ポートｄ、ポートｅ、又はポートｆであり得る。ネットワークプロセッサ１１０は、トラフィックマネージャ１３０に結合され、トラフィックマネージャ１３０は、メモリ１４０に結合される。例えば、パケットを転送するように構成された送信ポートを決定した後、ネットワークプロセッサ１１０は、パケットをトラフィックマネージャ１３０に送信し得る。トラフィックマネージャ１３０は、スケジューラと呼ばれることもあり、トラフィックマネージャ１３０は、ポートｄ、ポートｅ、及びポートｆと１対１に対応する、３つの送信キャッシュ待ち行列を維持し得る。ネットワークプロセッサ１１０からパケットを受信した後、トラフィックマネージャ１３０は、パケットを転送するように構成された送信ポートに基づいて、パケットを転送するように構成された送信ポートに対応する送信キャッシュ待ち行列上にパケットを配置し得る。トラフィックマネージャ１３０は、送信ポートを通してパケットを送信するために、送信キャッシュ待ち行列内に配置されたパケットをスケジュールし得る。具体的には、トラフィックマネージャ１３０は、３つの送信キャッシュ待ち行列と１対１に対応する、３つのパケット記述子待ち行列を維持し得る。パケット記述子待ち行列は、複数のパケット記述子を含み、各パケット記述子は、送信キャッシュ待ち行列内に格納されたパケットのアドレスを含む。トラフィックマネージャ１３０が、パケットを送信キャッシュ待ち行列上に配置する必要があるとき、トラフィックマネージャ１３０は、パケットの格納アドレスをパケット記述子待ち行列に追加し得る。トラフィックマネージャ１３０は、パケットを送信キャッシュ待ち行列上に配置するために、メモリ１４０に対して書き込み操作を実行し得る。送信キャッシュ待ち行列からパケットを取り出す必要がある場合、トラフィックマネージャ１３０は、パケット記述子待ち行列からパケットの格納アドレスを削除し得る。トラフィックマネージャ１３０は、送信キャッシュ待ち行列からパケットを取り出すために、メモリ１４０に対して読み取り操作を実行し得る。待ち行列から出た後、パケットは、送信ポートを通して送信される。
【００４０】
図１ａに示されるスイッチは、コントロールプレーンと、転送プレーンとを含み得ることに留意されたい。コントロールプレーンは、ルートを学習し、ルートを広告し、転送ルールを生成し、転送プレーンの転送テーブルを更新するように構成され得る。転送プレーンは、転送テーブルに基づいて、パケットを転送するように構成され得る。転送プレーンは、ネットワークプロセッサ１１０と、メモリ１２０と、トラフィックマネージャ１３０と、メモリ１４０とを含み得る。コントロールプレーンは、中央処理ユニット（ｃｅｎｔｒａｌ  ｐｒｏｃｅｓｓｉｎｇ  ｕｎｉｔ、ＣＰＵ）と、中央処理ユニットに結合されたメモリとを含み得る。中央処理ユニットに結合されたメモリは、ネットワークプロトコルを実行するために使用されるコンピュータプログラムを記憶し得るし、ネットワークプロトコルは、ＢＧＰであり得る。中央処理ユニットは、コンピュータプログラムを実行することによって、ＢＧＰによって定義された機能を実装し得る。例えば、中央処理ユニットは、サーバのＭＡＣアドレスを学習し得るし、サーバのＭＡＣアドレスに基づいて、ルーティングメッセージを生成し得るし、ルーティングメッセージをリモートスイッチに送信し得る。加えて、リモートスイッチからルーティングメッセージを受信した後、スイッチは、リモートスイッチからのルーティングメッセージに基づいて、転送プレーンの転送テーブルを更新し得る。例えば、リモートスイッチからのルーティングメッセージは、リモートサーバのＭＡＣアドレスを含む。中央処理ユニットは、リモートサーバについてのエントリを転送テーブルに追加し得る。従って、サーバが、送信先ＭＡＣアドレスがリモートサーバのＭＡＣアドレスであるパケットを受信したとき、スイッチの転送プレーンは、リモートサーバについてのエントリに基づいて、パケットを転送し得る。
【００４１】
図１ｂは、本出願に従った、サーバの概略構造図である。図１におけるサーバは、サーバ１０００であり得る。図１におけるサーバの具体的な実装については、本出願におけるサーバ１０００の説明を参照されたい。
【００４２】
図１ｂを参照すると、サーバ１０００は、中央処理ユニット１１００と、メモリ１２００と、ポート１３００と、バスとを含む。処理ユニット１１００、メモリ１２００、及びポート１３００は、バスを通して結合される。メモリ１２００は、ソフトウェアを記憶し、ソフトウェアは、オペレーティングシステムと、複数のアプリケーションプログラムとを含む。中央処理ユニット１１００は、メモリ１２００にアクセスすることによって、オペレーティングシステム及び複数のアプリケーションプログラムを実行する。オペレーティングシステムは、Ｗｉｎｄｏｗｓ、又はＬｉｎｕｘであり得る。中央処理ユニット１１００は、オペレーティングシステムに基づいて、複数のアプリケーションプログラムを実行する。ポート１３００は、パケットを受信し、パケットを送信するように構成され得る。例えば、ポート１３００が、スイッチ１００からパケットを受信した後、メモリ１２００は、パケットを記憶し得る。中央処理ユニット１１００は、アプリケーションプログラムに基づいて、パケットを処理し得る。加えて、中央処理ユニット１１００は、アプリケーションプログラムに基づいて、パケットを生成し、ポート１３００を通して、パケットをスイッチ１００に送信し得る。
【００４３】
加えて、図１ｂにおける中央処理ユニット１１００は、別のプロセッサで置き換えられ得る。別のプロセッサは、デジタル信号プロセッサ（ｄｉｇｉｔａｌ  ｓｉｇｎａｌ  ｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ  ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ、ＦＰＧＡ）若しくは別のプログラマブル論理デバイス、トランジスタ論理デバイス、ハードウェアコンポーネント、又はそれらの任意の組み合わせであり得る。別のプロセッサは、本発明の実施形態において開示される内容を参照して説明される、様々な例示的な論理ブロック、モジュール、及び回路を実装又は実行し得る。代替的に、プロセッサは、コンピューティング機能を実装するプロセッサの組み合わせ、例えば、１つ又は複数のマイクロプロセッサの組み合わせ、及び／又はＤＳＰとマイクロプロセッサの組み合わせなどであり得る。
【００４４】
図１に示されるデータセンタネットワークは、具体的にはイーサネット仮想プライベートネットワーク（Ｅｔｈｅｒｎｅｔ  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ、ＥＶＰＮ）であり得る。ＥＶＰＮについては、インターネットエンジニアリングタスクフォース（英語：Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ、略して、ＩＥＴＦ）によって発行されたリクエストフォーコメンツ（英語：Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ、略して、ＲＦＣ）７４３２の説明を参照されたい。ＲＦＣ７４３２は、その全体が参照によって本出願に組み込まれる。特に明記されない限り、「ＲＦＣ」で始まり、本出願において言及される、全ての文書は、ＩＥＴＦによってリリースされたものである。例えば、ＲＦＣ７３４８も、ＩＥＴＦによってリリースされたものである。
例えば、ＬＳ１及びＬＳ２は、ＲＦＣ７３４８を実行し得る。具体的には、ＬＳ１及びＬＳ２は、各々、仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＸＬＡＮ  Ｔｕｎｎｅｌ  Ｅｎｄ  Ｐｏｉｎｔ、ＶＴＥＰ）を含み得る。ＶＴＥＰは、ＶＸＬＡＮトンネルの起点となり（ｏｒｉｇｉｎａｔｅ）、及び／又は終点となる（ｔｅｒｍｉｎａｔｅ）ように構成された、エンティティである。ＶＴＥＰについての詳細については、ＲＦＣ７３４８における関連する説明を参照されたい。本出願においては、ＬＳ１内に含まれるＶＴＥＰは、ＶＴＥＰ１と呼ばれ、ＬＳ２内に含まれるＶＴＥＰは、ＶＴＥＰ２と呼ばれる。ＶＴＥＰ１は、ＶＴＥＰ  ＩＰアドレス１に対応しており、ＶＴＥＰ２は、ＶＴＥＰ  ＩＰアドレス２に対応している。技術者は、ＬＳ１が、ＶＴＥＰ１を含むことを可能にするために、ＬＳ１を手動で構成し得る。技術者は、ＬＳ２が、ＶＴＥＰ２を含むことを可能にするために、ＬＳ２を手動で構成し得る。例えば、技術者は、ＬＳ１上において、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）を構成し得る。加えて、ＬＳ１とＬＳ２は、同じＶＸＬＡＮ上に配置され得るし、例えば、ＬＳ１及びＬＳ２の両方は、仮想拡張可能ローカルエリアネットワークネットワーク識別子（ＶＸＬＡＮ  Ｎｅｔｗｏｒｋ  Ｉｄｅｎｔｉｆｉｅｒ、ＶＮＩ）によって示されるＶＸＬＡＮ上に配置される。ＶＮＩの値は、１００であり得る。技術者は、ＬＳ１上におけるＶＮＩ（例えば、１００）、ＬＳ１上におけるＲＤ（例えば、１：１）、ＬＳ１上におけるＲＴ（例えば、１：１）を構成し得る。技術者は、ＬＳ２上において、ＶＴＥＰ  ＩＰアドレス２（例えば、２．２．２．９）を構成し、ＬＳ２上において、ＶＮＩ（例えば、１００）を構成する。加えて、技術者は、ＬＳ２上において、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを構成し得る。例えば、技術者は、ＬＳ２上において、ＶＸＬＡＮトンネルについての情報を構成する。情報は、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含み得る。送信元ＩＰアドレスは、ＶＸＬＡＮトンネルの入口ノード（例えば、ＶＴＥＰ２）のものであり、かつＬＳ２からＬＳ１に向かう方向の、ＩＰアドレスである。送信先ＩＰアドレスは、ＶＸＬＡＮトンネルの出口ノード（例えば、ＶＴＥＰ１）のものであり、かつＬＳ２からＬＳ１に向かう方向の、ＩＰアドレスである。技術者は、ＬＳ１上において、ＶＸＬＡＮトンネルについての情報を構成する。情報は、トンネルタイプ（ＴｕｎｎｅｌＴｙｐｅ）を含み得る。例えば、トンネルタイプの値が、８に等しいとき、トンネルタイプは、ＶＸＬＡＮトンネルのトンネルタイプが、ＶＸＬＡＮであることを示す。可能な設計においては、ＶＸＬＡＮトンネルは、ＳＳ１、ＳＳ２、及びＳＳ３のうちの少なくとも１つを通過し得る。言い換えると、ＳＳ１、ＳＳ２、及びＳＳ３のうちの少なくとも１つは、ＶＸＬＡＮトンネルのトランジットノードであり得る。
【００４５】
ＬＳ１は、ＢＧＰを実行し、ＬＳ２は、ＢＧＰを実行する。具体的には、ＬＳ１は、プロセッサと、メモリとを含み、メモリは、ＢＧＰ機能を実装するためのコードを記憶する。ＬＳ１内のプロセッサ（例えば、中央処理ユニット）は、コードを実行することによって、ＢＧＰを実行し、ＬＳ２も、上述のメカニズムを通して、ＢＧＰを実行し得る。ＬＳ２は、ＬＳ１のＢＧＰピアであり、ＬＳ１とＬＳ２は、ＢＧＰピアのペアと呼ばれることもある。ＬＳ１は、ＬＳ１によって管理されるネットワーク上のサーバのＭＡＣアドレスを学習することができ、例えば、ＬＳ１は、サーバ１のＭＡＣアドレス、及びサーバ２のＭＡＣアドレスを学習することができる。ＬＳ２は、ＬＳ２によって管理されるネットワーク上のサーバのＭＡＣアドレスを学習することができ、例えば、ＬＳ２は、サーバ３のＭＡＣアドレス、及びサーバ４のＭＡＣアドレスを学習することができる。ＬＳ１は、ＶＸＬＡＮトンネルを通して、ＥＶＰＮルートをＬＳ２に送信し得るし、ＬＳ１によって送信されるＥＶＰＮルートは、サーバ１のＭＡＣアドレス、及びサーバ２のＭＡＣアドレスを含み得る。ＬＳ２は、ＶＸＬＡＮトンネルを通して、ＥＶＰＮルートをＬＳ１に送信し得るし、ＬＳ２によって送信されるＥＶＰＮルートは、サーバ３のＭＡＣアドレス、及びサーバ４のＭＡＣアドレスを含み得る。
【００４６】
以下においては、例を使用して、ＬＳ１がどのようにしてサーバ１のＭＡＣアドレスを学習し、サーバ１のＭＡＣアドレスを搬送するＥＶＰＮルートをＬＳ２に送信するかを説明する。
【００４７】
ＬＳ１は、インターフェース１を含み、インターフェース１は、イーサネットインターフェースである。ＬＳ１は、インターフェース１を通して、サーバ１に接続される。技術者は、ＬＳ１上において、インターフェース１と関連付けられたＶＮＩ（例えば、１００）を構成する。サーバ１は、イーサネットフレーム１を生成し、インターフェース１を通して、イーサネットフレーム１をＬＳ１に送信し、イーサネットフレーム１の送信元ＭＡＣアドレスは、サーバ１のＭＡＣアドレスである。インターフェース１を通して、イーサネットフレーム１を受信した後、ＬＳ１は、イーサネットフレーム１を受信したインターフェースは、インターフェース１であると決定し、その後、ＬＳ１は、インターフェース１によって管理されるＶＮＩの値は、１００に等しいと決定する。加えて、ＬＳ１は、サーバ１のＭＡＣアドレスを獲得するために、イーサネットフレーム１を解析する。ＲＦＣ７４３２に従うと、ＬＳ１は、ＬＳ１によって格納された構成情報と、ＬＳ１によってイーサネットフレーム１から獲得された情報とに基づいて、ルーティングメッセージ１を生成する。具体的には、ＬＳ１内のプロセッサ（例えば、中央処理ユニット）は、ＢＧＰ機能を実装するためのコードを実行することによって、ルーティングメッセージ１を生成し得る。以下においては、例を使用して、ルーティングメッセージ１を説明する。
【００４８】
具体的には、ルーティングメッセージ１は、ＩＰパケットで搬送され得るし、ＩＰパケットは、ＩＰヘッダと、ＩＰペイロードとを含む。ＩＰヘッダは、ＩＰペイロードに隣接しており、ＩＰペイロードは、ＩＰヘッダの後ろにある。ＩＰヘッダは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、プロトコル（ｐｒｏｔｏｃｏｌ）とを含む。送信元ＩＰアドレスの値は、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）と等しくなり得るし、送信先ＩＰアドレスの値は、ＶＴＥＰ  ＩＰアドレス２（例えば、２．２．２．９）と等しくなり得る。ＩＰヘッダ内のプロトコルは、ＩＰヘッダの次のヘッダのタイプを示すために使用される。例えば、プロトコルの値が６に等しいとき、ＩＰヘッダのプロトコルは、ＩＰパケット内において、ＩＰヘッダの次のヘッダが伝送制御プロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ、ＴＣＰ）ヘッダであることを示す。ＩＰペイロードは、ＴＣＰヘッダと、ＴＣＰペイロードとを含む。ＴＣＰヘッダは、ＴＣＰペイロードに隣接しており、ＴＣＰペイロードは、ＴＣＰヘッダの後ろにある。ＴＣＰヘッダは、ＩＰヘッダに隣接しており、ＴＣＰヘッダは、送信元ポート（ｓｏｕｒｃｅ  ｐｏｒｔ）を含み、ＴＣＰヘッダ内の送信元ポートは、ＴＣＰペイロードのタイプを示すために使用され得る。例えば、送信元ポートの値が１７９に等しいとき、ＴＣＰヘッダの送信元ポートは、ＴＣＰペイロードがＢＧＰメッセージであることを示す。
【００４９】
ルーティングメッセージ１は、ＢＧＰメッセージであり得るし、具体的には、ＢＧＰメッセージは、ＢＧＰ更新メッセージであり得る。ルーティングメッセージ１は、マルチプロトコル到達可能ネットワークレイヤ到達可能性情報（Ｍｕｌｔｉｐｒｏｔｏｃｏｌ  Ｒｅａｃｈａｂｌｅ  Ｎｅｔｗｏｒｋ  Ｌａｙｅｒ  Ｒｅａｃｈａｂｉｌｉｔｙ  Ｉｎｆｏｒｍａｔｉｏｎ、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩ）を含み得るし、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、経路属性（ｐａｔｈ  ａｔｔｒｉｂｕｔｅ）である。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩについての詳細については、ＲＦＣ４７６０における関連する説明を参照されたい。ルーティングメッセージ１は、さらに、別の経路属性を搬送し得る。例えば、ルーティングメッセージ１は、さらに、ローカルプリファレンス（ｌｏｃａｌ  ｐｒｅｆｅｒｅｎｃｅ）を搬送し得るし、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレス（ｎｅｘｔ  ｈｏｐ  ｎｅｔｗｏｒｋ  ａｄｄｒｅｓｓ）フィールドを含み、ネクストホップネットワークアドレスフィールドは、ＬＳ１上に格納された、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）を搬送し得る。
【００５０】
ルーティングメッセージ１は、メディアアクセス制御／インターネットプロトコル広告ルート（ＭＡＣ／ＩＰ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅ）を含む。ＭＡＣ／ＩＰ広告ルートについての詳細については、ＲＦＣ７４３２における関連する説明を参照されたい。加えて、ルーティングメッセージは、さらに、メディアアクセス制御モビリティ拡張コミュニティ（ＭＡＣ  Ｍｏｂｉｌｉｔｙ  Ｅｘｔｅｎｄｅｄ  Ｃｏｍｍｕｎｉｔｙ）を含み得る。ＭＡＣモビリティ拡張コミュニティについての詳細については、ＲＦＣ７４３２における関連する説明を参照されたい。
【００５１】
サーバ１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され得る。具体的には、ＭＡＣ／ＩＰ広告ルートは、ＭＡＣアドレスフィールドを含み、ＭＡＣアドレスフィールドは、６バイトを有し、サーバ１のＭＡＣアドレスは、ＭＡＣアドレスフィールドで搬送され得る。ＭＡＣ／ＩＰ広告ルートは、マルチプロトコルラベルスイッチングラベル（ＭＰＬＳ  Ｌａｂｅｌ）１フィールドを含む。ＭＰＬＳラベル１フィールドは、３バイトを有し、ＭＰＬＳラベル１フィールドは、ＬＳ１上に格納された、ＶＮＩ（例えば、１００）を搬送し得る。ＭＡＣ／ＩＰ広告ルートは、ＲＤフィールドを含む。ＲＤフィールドは、８バイトを含み、ＲＤフィールドは、ＬＳ１上に格納された、ＲＤ（例えば、１：１）を搬送し得る。加えて、ＭＡＣ／ＩＰ広告ルートは、さらに、ＭＰＬＳラベル２フィールドを含み、ルーティングメッセージ１は、拡張コミュニティ属性（Ｅｘｔｅｎｄｅｄ  Ｃｏｍｍｕｎｉｔｉｅｓ  Ａｔｔｒｉｂｕｔｅ）を含み得る。拡張コミュニティ属性についての詳細については、ＲＦＣ４３６０におけるＢＧＰ拡張コミュニティ属性の説明を参照されたい。具体的には、拡張コミュニティ属性は、ＴｕｎｎｅｌＴｙｐｅフィールドと、ＲＴフィールドとを含み得る。ＴｕｎｎｅｌＴｙｐｅフィールドは、ＬＳ１上に格納された、トンネルタイプ（例えば、８）を搬送し得るし、ＲＴフィールドは、ＬＳ１上に格納された、ＲＴ（例えば、１：１）を搬送し得る。
【００５２】
ルーティングメッセージ１を生成した後、ＬＳ１は、ＶＸＬＡＮトンネルを通して、ルーティングメッセージ１をＬＳ２に送信し得る。
【００５３】
ルーティングメッセージ１を受信した後、ＬＳ２は、ルーティングメッセージ１内のネクストホップネットワークアドレスフィールドの値を獲得するために、ルーティングメッセージ１を解析する。ネクストホップネットワークアドレスフィールドの値は、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）と等しい。ＬＳ２は、ルーティングメッセージ１から獲得されたネクストホップネットワークアドレスフィールドの値と、ＬＳ２上に格納された、ＶＸＬＡＮトンネルについての情報とに基づいて、ＬＳ２が、ＶＸＬＡＮトンネルを通して、送信先アドレスがサーバ１のＭＡＣアドレスであるイーサネットフレームを、ＬＳ１に送信することができると決定する。情報は、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含む。具体的には、ＬＳ２は、ＶＸＬＡＮトンネルの送信先ＩＰアドレスと等しいネクストホップネットワークアドレスフィールドの値に基づいて、ルーティングメッセージ１は、ＶＸＬＡＮトンネルとマッチすると決定し、その後、ＬＳ２は、転送エントリを生成し得る。転送エントリは、ＭＡＣアドレス（例えば、サーバ１のＭＡＣアドレス）と、ＶＮＩ（例えば、１００）と、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含む。
【００５４】
以下においては、例を使用して、ＬＳ２が、イーサネットフレームを転送するために、どのように転送エントリを使用するかを説明する。
【００５５】
送信先ＭＡＣアドレスがサーバ１のＭＡＣアドレスであるイーサネットフレーム（イーサネットフレーム２）を受信したとき、ＬＳ２は、イーサネットフレーム２内の送信先ＭＡＣアドレスが、転送エントリ内のＭＡＣアドレスと等しいことに基づいて、イーサネットフレーム２が転送エントリとマッチすると決定し得る。その後、ＬＳ２は、カプセル化されたパケットを獲得するために、イーサネットフレーム２をカプセル化し得る。具体的には、ＬＳ２は、トンネルヘッダをイーサネットフレーム２に追加し得るし、トンネルヘッダは、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）と、ＶＮＩ（例えば、１００）とを含み得る。ＬＳ２は、イーサネットフレーム２のカプセル化を実装するために、転送エントリから、トンネルヘッダ内のフィールドの値を獲得し得る。カプセル化されたパケットを生成した後、ＬＳ２は、ＶＸＬＡＮトンネルを通して、カプセル化されたパケットをＬＳ１に送信し得る。上述の例においては、ＬＳ１とＬＳ２との間のトンネルは、ＶＸＬＡＮトンネルであり、代替的に、ＬＳ１とＬＳ２との間のトンネルは、別のトンネルであり得る。例えば、ＬＳ１とＬＳ２の間のトンネルは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【００５６】
ＬＳ１が、サーバ１のＭＡＣアドレスを学習し、ルーティングメッセージを通して、サーバ１のＭＡＣアドレスをＬＳ２に送信することが、上述の例において説明された。図１におけるいずれのＬＳも、ＬＳによって管理されるネットワーク上のサーバのＭＡＣアドレスを同様の方式で学習し、ルーティングメッセージを通して、サーバのＭＡＣアドレスをリモートＬＳに送信し得る。例えば、ＶＸＬＡＮトンネルが、ＬＳ３とＬＳ２との間に存在し得る。ＬＳ３は、サーバ５のＭＡＣアドレスを学習し得るし、ＬＳ３は、ＬＳ３とＬＳ２との間のＶＸＬＡＮトンネルを通して、サーバ５のＭＡＣアドレスを搬送するルーティングメッセージをＬＳ２に送信し得る。
【００５７】
上述の例においては、図１におけるＬＳ及びＳＳはスイッチである。代替的に、図１におけるＬＳ及びＳＳは、他のネットワークデバイスであり得るし、例えば、図１におけるＬＳ及びＳＳは、ルータであり得る。可能な設計においては、ＬＳ及びＳＳは、プロバイダエッジ（ｐｒｏｖｉｄｅｒ  ｅｄｇｅ、ＰＥ）ルータであり得る。ＰＥルータは、コアネットワーク（ｃｏｒｅ  ｎｅｔｗｏｒｋ）のエッジに配置され、ＰＥルータは、ＣＥルータに接続するように構成され得る。別の可能な設計においては、ＬＳは、ＰＥルータであり得るし、ＳＳは、プロバイダ（ｐｒｏｖｉｄｅｒ、Ｐ）ルータであり得る。Ｐルータは、ラベルスイッチングルータ（Ｌａｂｅｌ  Ｓｗｉｔｃｈ  Ｒｏｕｔｅｒ、ＬＳＲ）であり、Ｐルータは、コアネットワーク上のトランジットルータ（ｔｒａｎｓｉｔ  ｒｏｕｔｅｒ）であり、Ｐルータは、１つ又は複数のＰＥルータに接続するように構成され得る。図１ａは、スイッチの概略構造図であり、図１ａは、別のネットワークデバイスの概略構造図でもあり得る。例えば、図１ａは、ルータの概略構造図でもあり得る。
【００５８】
上述の例においては、図１におけるＬＳ１は、サーバに接続するように構成される。可能な設計においては、ＬＳは、ケーブル又は光ケーブルを通して、サーバに直接的に接続され得る。別の可能な設計においては、ＬＳは、中間デバイスを通して、サーバに間接的に接続され得るし、中間デバイスは、ルータ、イーサネットスイッチ、又はゲートウェイであり得る。代替的に、図１におけるＬＳは、別のタイプのホストに接続され得るし、別のタイプのホストは、パーソナルコンピュータ、又は仮想マシン（ｖｉｒｔｕａｌ  ｍａｃｈｉｎｅ、ＶＭ）であり得る。仮想マシンは、物理サーバ上において動作し得る。可能な設計においては、ＬＳは、アクセスデバイスを通して、物理サーバに接続され得るし、アクセスデバイスは、ゲートウェイ、又はイーサネットスイッチであり得る。図１ｂは、サーバの概略構造図であり、図１ｂは、別のホストの概略構造図でもあり得る。例えば、図１ｂは、パーソナルコンピュータの概略構造図でもあり得る。上述の実施形態においては、図１におけるサーバ１は、権限を与えられたユーザであることが仮定される。サーバ１、即ち、権限を与えられたユーザのＭＡＣアドレスを学習した後、ＬＳ１は、サーバ１のＭＡＣアドレスを含むルーティングメッセージをＬＳ２に送信する。ＬＳ２は、ＬＳ２によって管理されるネットワーク上のサーバ（例えば、サーバ３）が、転送エントリを使用することによって、サーバ１と通信することができるように、ルーティングメッセージに基づいて、転送エントリを生成する。
【００５９】
可能なシナリオにおいては、図１におけるサーバ１は、権限を与えられていないユーザである。具体的には、サーバ１は、攻撃者であり得る。例えば、サーバ１は、サイバー攻撃（ｃｙｂｅｒａｔｔａｃｋ）を開始し得るし、サイバー攻撃は、サービス拒否（ｄｅｎｉａｌ−ｏｆ−ｓｅｒｖｉｃｅ、ＤＤｏＳ）攻撃、中間者（ｍａｎ  ｉｎ  ｔｈｅ  ｍｉｄｄｌｅ）攻撃、アドレス解決プロトコルポイズニング（ＡＲＰ  ｐｏｉｓｏｎｉｎｇ）、ｐｉｎｇフラッド（Ｐｉｎｇ  ｆｌｏｏｄ）、盗聴（ｗｉｒｅｔａｐｐｉｎｇ）、アイドルスキャン（ｉｄｌｅ  ｓｃａｎ）、又はポートスキャン（ｐｏｒｔ  ｓｃａｎ）であり得る。
【００６０】
以下においては、サイバー攻撃がＤＤｏＳ攻撃である例を使用して、サーバ１の攻撃行動と、ＬＳ１がサーバ１を攻撃者として識別する処理を説明する。
【００６１】
可能な設計においては、サーバ１のユーザは、ソフトウェアがＤＤｏＳ攻撃を開始することができることを知っているとき、サーバ１上にソフトウェアをインストールし、実行する。ソフトウェアの制御下において、サーバ１は、ＤＤｏＳ攻撃を開始するために、複数のパケットを送信する。ＬＳ１は、ＤＤｏＳ攻撃を識別することができる。例えば、ＬＳ１は、プロセッサと、メモリとを含み、メモリは、ＤＤｏＳ攻撃を識別するために使用される、コンピュータプログラムを記憶する。ＬＳ１は、複数のパケットを受信し、ＬＳ１におけるプロセッサは、コンピュータプログラムを実行することによって、複数のパケットの特徴を分析し、サーバ１が攻撃者であると決定する。さらに、ＬＳ１は、複数のパケットの送信元ＭＡＣアドレスを解析することによって、サーバ１のＭＡＣアドレス（例えば、ＭＡＣアドレス１）を獲得し、ＬＳ１は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）が攻撃者であると決定する。
【００６２】
別の可能な設計においては、サーバ１は、ユーザの誤操作のせいでコンピュータウイルスに感染しており、コンピュータウイルスは、ＤＤｏＳ攻撃を開始することができる。コンピュータウイルス監視ソフトウェアが、サーバ１上にプリインストールされ、実行される。コンピュータウイルス監視ソフトウェアは、コンピュータウイルス（サーバ１上の処理）の行動を識別し、サーバ１がコンピュータウイルスに感染していると決定する。さらに、サーバ１は、コンピュータウイルス監視ソフトウェアの制御下において、サーバ１が攻撃者であると決定する。サーバ１は、メッセージ１をネットワーク管理サーバ（図１には示されず）に送信し、メッセージ１は、サーバ１が攻撃者であることをネットワーク管理サーバに通知するために使用される。例えば、メッセージ１は、サーバ１のＭＡＣアドレス（例えば、ＭＡＣアドレス１）を搬送する。メッセージ１に基づいて、サーバ１が攻撃者であると決定した後、ネットワーク管理サーバは、メッセージ２を生成し、ネットワーク管理サーバは、メッセージ２をＬＳ１に送信する。メッセージ２は、サーバ１が攻撃者であることをＬＳ１に通知するために使用される。例えば、メッセージ２は、ＭＡＣアドレス１を搬送する。メッセージ２を受信した後、ＬＳ１は、メッセージ２で搬送されたＭＡＣアドレス１に基づいて、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定する。
【００６３】
ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定した後、ＬＳ１は、ルーティングメッセージ２を生成する。ＬＳ１におけるプロセッサ（例えば、中央処理ユニット）は、ＢＧＰ機能を実装するためのコードを実行することによって、ルーティングメッセージ２を生成し得る。ルーティングメッセージ２は、ＭＡＣアドレス１と、指示情報１とを含み、指示情報１は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示すために使用される。ＬＳ１は、ルーティングメッセージ２をＬＳ２に送信し、ＬＳ１は、ＬＳ１によって格納された構成情報と、サーバ１のＭＡＣアドレスとに基づいて、ルーティングメッセージ２を生成し得る。ＬＳ１が、サーバ１のＭＡＣアドレスに基づいて、ルーティングメッセージ２を生成する処理については、ルーティングメッセージ１の生成処理についての上述の説明を参照されたい。ＭＡＣアドレス１は、ルーティングメッセージ２内に含まれる、ＭＡＣ／ＩＰ広告ルートで搬送され得る。具体的には、ＭＡＣアドレス１は、ＭＡＣ／ＩＰ広告ルートのＭＡＣアドレスフィールドで搬送され得る。ルーティングメッセージ２のフォーマットについては、ルーティングメッセージ１のフォーマットについての上述の説明を参照されたい。
【００６４】
ルーティングメッセージ１は、ＬＳ１が、サーバ１は権限を与えられたユーザであると決定したとき、ＬＳ１によって生成されることに留意されたい。ＬＳ１は、ＬＳ２が、転送エントリを生成することを可能にするために、サーバ１のＭＡＣアドレスをＬＳ２に広告する。さらに、ＬＳ２によって管理されるサーバ（例えば、サーバ３）は、ＬＳ２を通して、サーバ１と通信し得る。ルーティングメッセージ２は、ＬＳ１が、サーバ１は攻撃者であると決定したとき、生成される。ＬＳ１は、ＬＳ２が、転送ルールを生成することを可能にするために、サーバ１のＭＡＣアドレスをＬＳ２に広告する。さらに、ＬＳ２によって管理されるサーバ（例えば、サーバ３）は、ＬＳ２を通したサーバ１との通信を回避する。
【００６５】
ルーティングメッセージ２の機能は、ルーティングメッセージ１の機能と異なり、ルーティングメッセージ２の内容は、ルーティングメッセージ１の内容と異なる。具体的には、ルーティングメッセージ２は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示すために使用される、指示情報１を含み、ルーティングメッセージ１は、指示情報１を含まない。可能な設計においては、指示情報１は、ルーティングメッセージ２内のＭＡＣモビリティ拡張コミュニティで搬送される。ＭＡＣモビリティ拡張コミュニティは、フラグ（ｆｌａｇｓ）フィールドを含み、フラグフィールドは、８ビットを有する。指示情報１は、フラグフィールドのＭＳＢ上で搬送され得る。例えば、１に等しい場合、フラグフィールドのＭＳＢは、ルーティングメッセージ２内のＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示す。
【００６６】
ＬＳ１からルーティングメッセージ２を受信した後、ＬＳ２は、ルーティングメッセージ２に基づいて、転送ルール１及び転送ルール２を生成し得る。ＬＳ２は、転送ルール１に従って、ＬＳ２によって受信された、送信先ＭＡＣアドレスがＭＡＣアドレス１であるパケットを、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）に転送することを回避する。ＬＳ２は、転送ルール２に従って、ＬＳ２によって受信された、送信元ＭＡＣアドレスがＭＡＣアドレス１であるパケットを転送することを回避する。
【００６７】
転送ルール１は、具体的には、転送エントリ１であり得るし、転送ルール２は、具体的には、転送エントリ２であり得る。ＬＳ２の転送プレーンは、転送テーブルを含み得る。転送テーブルは、転送エントリ１と、転送エントリ２とを含み得るし、転送プレーンのプロセッサ（例えば、ネットワークプロセッサ）は、転送テーブルに基づいて、受信されたパケットを処理し得る。
【００６８】
転送エントリ１は、マッチフィールドと、アクションフィールドとを含む。転送エントリ１のマッチフィールドの値は、ＭＡＣアドレス１と等しく、転送エントリ１のアクションフィールドは、破棄命令を含み得るし、転送エントリ１のマッチフィールドは、ＬＳ２によって受信されたパケット（例えば、パケット１）の送信先ＭＡＣアドレスと照合するために使用される。パケット１の送信先ＭＡＣアドレスが、転送エントリ１のマッチフィールドの値と等しいと決定したとき、ＬＳ２は、パケット１は、転送エントリ１とマッチすると決定する。さらに、ＬＳ２は、転送エントリ１のアクションフィールドの破棄命令に従って、パケット１に対して破棄処理を実行し得る。もちろん、転送エントリ１のアクションフィールドは、別の命令を含み得るし、別の命令は、パケット１をＬＳ２のコントロールプレーンに送信するように、ＬＳ１に命令し得る。コントロールプレーンのプロセッサは、ＣＰＵであり得るし、転送プレーンからパケット１を受信した後、ＣＰＵは、パケット１を分析し得る。加えて、ＣＰＵの制御下において、ＬＳ２は、ネットワーク管理サーバが、パケット１を分析するように、さらに、パケット１をネットワーク管理サーバに送信し得る。ＬＳ２が、転送ルール１に従って、パケット１を処理するとき、それは、ＬＳ２が、パケット１に対して廃棄処理しか実行することができないことを意味しない。ＬＳ２が、パケット１を、ＭＡＣアドレス１によって識別されるホスト、例えば、サーバ１に転送しない限り、ＬＳ２は、パケット１に対して他の処理を実行してもまたよい。
【００６９】
転送エントリ２は、マッチフィールドと、アクションフィールドとを含む。転送エントリ２のマッチフィールドの値は、ＭＡＣアドレス１と等しく、転送エントリ２のアクションフィールドは、破棄命令を含み得るし、転送エントリ２のマッチフィールドは、ＬＳ２によって受信されたパケット（例えば、パケット２）の送信元ＭＡＣアドレスと照合するために使用される。パケット２の送信元ＭＡＣアドレスが、転送エントリ２のマッチフィールドの値と等しいと決定したとき、ＬＳ２は、パケット２は、転送エントリ２とマッチすると決定する。さらに、ＬＳ２は、転送エントリ２のアクションフィールドの破棄命令に従って、パケット２に対して破棄処理を実行し得る。ＬＳ２によって受信されたパケット２の送信元ＭＡＣアドレスが、ＭＡＣアドレス１と等しいのは、サーバ１が、ＬＳ１によって管理されるネットワークから、ＬＳ２によって管理されるネットワークにローミングしたためであり得ることが理解され得る。別の可能性は、ＬＳ２によって管理されるネットワーク上のホストが、サーバ１のＭＡＣアドレスを盗用したことである。例えば、イーサネットフレームを構築するとき、サーバ４が、サーバ１のＭＡＣアドレスを盗用し、サーバ１のＭＡＣアドレスを、構築されたイーサネットフレームの送信元ＭＡＣアドレスとして使用する。
【００７０】
図２は、本出願に従った、ＢＧＰメッセージ送信方式の概略フローチャートである。図２に示される方法は、第１のネットワークデバイスによって実行される。例えば、第１のネットワークデバイスは、図１におけるＬＳ１であり得る。第１のネットワークデバイスの構造及び機能については、上述の実施形態におけるＬＳ１の構造及び機能についての説明を参照されたい。第１のネットワークデバイスは、上述の実施形態において説明された、ＬＳ１によって実行されるアクションを実行し得る。図２に示される方法の具体的な実装については、上述の実施形態における関連する説明を参照されたい。図２を参照すると、方法は、Ｓ２０１と、Ｓ２０２と、Ｓ２０３とを含む。
【００７１】
Ｓ２０１：第１のネットワークデバイスは、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定する。
【００７２】
例えば、第１のＭＡＣアドレスは、ＭＡＣアドレス１であり得るし、第１のＭＡＣアドレスによって識別されるホストは、サーバ１であり得る。
【００７３】
Ｓ２０２：第１のネットワークデバイスは、ＢＧＰメッセージを生成する。
【００７４】
ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【００７５】
例えば、ＢＧＰメッセージは、ルーティングメッセージ２であり得るし、指示情報は、指示情報１であり得る。
【００７６】
Ｓ２０３：第１のネットワークデバイスは、ＢＧＰメッセージを第２のネットワークデバイスに送信する。
【００７７】
例えば、第２のネットワークデバイスは、ＬＳ２であり得るし、ＬＳ１は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ＢＧＰメッセージをＬＳ２に送信し得る。
【００７８】
上述の技術的ソリューションにおいては、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定した後、第１のネットワークデバイスは、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを生成し、ＢＧＰメッセージを第２のネットワークデバイスに送信し得る。さらに、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、指示情報とに基づいて、第２のネットワークデバイスが、第２のネットワークデバイスによって受信されたパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを防ぐために使用される、転送ルールを生成し得る。言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージに基づいて、転送ルールを生成し得るし、技術者は、第２のネットワークデバイス上において、転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【００７９】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【００８０】
第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップは、第１のＶＴＥＰが、ＢＧＰメッセージを第２のＶＴＥＰに送信するステップを含む。
【００８１】
例えば、第１のＶＴＥＰは、ＶＴＥＰ１であり得るし、第２のＶＴＥＰは、ＶＴＥＰ２であり得る。ＶＴＥＰ１は、ＬＳ１の送信インターフェースを含み得るし、送信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ２の受信インターフェースを含み得るし、受信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ１は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ルーティングメッセージ２をＶＴＥＰ２に送信し得る。
【００８２】
可能な設計においては、第１のＶＴＥＰアドレスは、第１のＶＴＥＰを識別し、第２のＶＴＥＰアドレスは、第２のＶＴＥＰを識別する。ＢＧＰメッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００８３】
例えば、第１のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス１であり得るし、第２のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス２であり得る。
【００８４】
可能な設計においては、第１のＶＴＥＰは、トンネルを通して、ＢＧＰ更新メッセージを第２のＶＴＥＰに送信する。トンネルは、ＶＸＬＡＮトンネル、又はラベルスイッチドパス（ｌａｂｅｌ  ｓｗｉｔｃｈｅｄ  ｐａｔｈ、ＬＳＰ）である。ＬＳＰは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【００８５】
任意選択で、図２に示される方法においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【００８６】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【００８７】
さらに、図２に示される方法においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【００８８】
可能な設計においては、Ｓ２０２は、第１のネットワークデバイスが、データパケットを受信することであって、データパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスである、受信することと、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成することとを含む。
【００８９】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、データパケットのトリガリングに基づいて、ＢＧＰメッセージを生成する。言い換えると、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイスは、ＢＧＰメッセージを直ちに生成し、第２のネットワークデバイスに通知する必要がない。第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のＭＡＣアドレスによって識別されるホストが、第１のネットワークデバイスによって管理されるネットワークにアクセスしないことが可能である。例えば、第１のＭＡＣアドレスによって識別されるホストは、オフラインになっていることがあり得るし、又は第１のＭＡＣアドレスによって識別されるホストは、別のネットワークにローミングしていることがあり得る。従って、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイス及び第２のネットワークデバイスは、攻撃者によって攻撃され得ない。第１のネットワークデバイスが、攻撃者によって攻撃されないとき、第１のネットワークデバイスは、一時的に、ＢＧＰメッセージを生成又は送信しない。これは、第１のネットワークデバイス及び第２のネットワークデバイスのオーバヘッドを低減させる助けとなる。第１のネットワークデバイスが、送信元ＭＡＣアドレスが第１のＭＡＣアドレスであるデータパケットを受信したとき、それは、第１のネットワークデバイスが、攻撃者によって攻撃され始めたことを示す。第１のネットワークデバイスが、攻撃者によって攻撃され始めたとき、第１のネットワークデバイスは、攻撃者のＭＡＣアドレスを第２のネットワークデバイスに通知する。これは、オーバヘッドの低減と攻撃者からの攻撃の防止との間の妥協点を獲得する助けとなる。
【００９０】
可能な設計においては、Ｓ２０２は、以下を含む。第１のネットワークデバイスは、データパケットが第１のＶＸＬＡＮからのものであると決定し、第１のＶＮＩは、第１のＶＸＬＡＮを識別する。第１のネットワークデバイスは、データパケットで搬送される送信元ＭＡＣアドレスと、データパケットが第１のＶＸＬＡＮからのものであることとに基づいて、第１のＭＡＣアドレスによって識別されるホストが第１のＶＸＬＡＮ上に置かれていると決定する。第１のネットワークデバイスは、データパケットが第１のＶＸＬＡＮからのものであることに基づいて、ＢＧＰメッセージを生成する。ＢＧＰメッセージは、第１のＶＮＩを含む。
【００９１】
可能な実装においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定することは、以下を含む。第１のネットワークデバイスは、第１のポートを通して、データパケットを受信し、第１のポートは、第１のＶＮＩを用いて構成される。第１のネットワークデバイスは、データパケットを受信するように構成された第１のポートは、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。
【００９２】
別の可能な実装においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定することは、以下を含む。第１のネットワークデバイスは、データパケット内に含まれる第１の仮想ローカルエリアネットワーク識別子（ＶＬＡＮ  ＩＤ）は、第１のＶＮＩを用いて構成されると決定する。第１のネットワークデバイスは、データパケット内に含まれる第１のＶＬＡＮ  ＩＤが、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。
【００９３】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、構成情報に基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。さらに、第１のネットワークデバイスは、ＢＧＰメッセージで、第１のＶＸＬＡＮを識別するために使用される第１のＶＮＩを搬送する。第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＶＮＩに基づいて、対応するＥＶＰＮルートを学習する。
【００９４】
図３は、本出願に従った、ＢＧＰメッセージ受信方法の概略フローチャートである。図３に示される方法は、第２のネットワークデバイスによって実行される。例えば、第２のネットワークデバイスは、図１におけるＬＳ２であり得る。第２のネットワークデバイスの構造及び機能については、上述の実施形態におけるＬＳ２の構造及び機能についての説明を参照されたい。第２のネットワークデバイスは、上述の実施形態において説明された、ＬＳ２によって実行されるアクションを実行し得る。図３に示される方法の具体的な実装については、上述の実施形態における関連する説明を参照されたい。図３を参照すると、方法は、Ｓ３０１と、Ｓ３０２と、Ｓ３０３とを含む。
【００９５】
Ｓ３０１：第２のネットワークデバイスは、第１のネットワークデバイスからＢＧＰメッセージを受信する。
【００９６】
ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【００９７】
例えば、第１のネットワークデバイスは、ＬＳ１であり得るし、第１のＭＡＣアドレスは、ＭＡＣアドレス１であり得るし、第１のＭＡＣアドレスによって識別されるホストは、サーバ１であり得る。ＢＧＰメッセージは、ルーティングメッセージ２であり得るし、指示情報は、指示情報１であり得る。
【００９８】
Ｓ３０２：第２のネットワークデバイスは、第１のパケットを受信する。
【００９９】
第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１００】
例えば、第１のパケットは、ＬＳ２によって管理されるネットワーク上のホストによって生成された、イーサネットフレームであり得る。例えば、第１のパケットは、サーバ３によって生成されたイーサネットフレーム、又はサーバ４によって生成されたイーサネットフレームであり得る。ＬＳ２は、ＬＳ２のイーサネットインターフェースを通して、第１のパケットを受信し得る。第１のパケットの送信先ＭＡＣアドレスが、第１のＭＡＣアドレスと等しいことは、第１のパケットのジェネレータ（例えば、サーバ３）が、第１のＭＡＣアドレスによって識別されるホスト（例えば、サーバ１）と通信することを望んでいることを示す。
【０１０１】
Ｓ３０３：第２のネットワークデバイスは、第１のパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０２】
具体的には、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０３】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ１を生成し得るし、第１のパケットは、パケット１であり得る。ＬＳ２は、転送エントリ１に基づいて、パケット１に対して破棄処理又は他の処理を実行し得る。転送エントリ１の生成処理、転送エントリ１の構造、及びパケット１が、転送エントリ１に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１０４】
上述の技術的ソリューションにおいては、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを受信した後、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０５】
言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージを使用することによって、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する、転送メカニズムを形成し得る。従って、技術者は、第２のネットワークデバイス上において、送信先ＭＡＣアドレスが第１のＭＡＣアドレスである場合の転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【０１０６】
可能な設計においては、図３に示される技術的ソリューションは、さらに以下を含み得る。
【０１０７】
第２のネットワークデバイスは、第２のパケットを受信し、第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１０８】
第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避する。
【０１０９】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ２を生成し得るし、第２のパケットは、パケット２であり得る。ＬＳ２は、転送エントリ２に基づいて、パケット２に対して廃棄処理を実行し得る。転送エントリ２の生成処理、転送エントリ２の構造、及びパケット２が、転送エントリ２に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１１０】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。Ｓ３０１は：第２のＶＴＥＰが、第２のＶＴＥＰから、ボーダーゲートウェイプロトコルＢＧＰ更新メッセージを受信することを含む。
【０１１１】
ＢＧＰメッセージは、ＢＧＰ更新メッセージで搬送され、ＢＧＰ更新メッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【０１１２】
例えば、第１のＶＴＥＰは、ＶＴＥＰ１であり得るし、第２のＶＴＥＰは、ＶＴＥＰ２であり得る。ＶＴＥＰ１は、ＬＳ１の送信インターフェースを含み得るし、送信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ２の受信インターフェースを含み得るし、受信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ＶＴＥＰ１によって送信されたルーティングメッセージ２を受信し得る。
【０１１３】
例えば、第１のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス１であり得るし、第２のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス２であり得る。
【０１１４】
可能な設計においては、第２のＶＴＥＰは、トンネルを通して、第１のＶＴＥＰによって送信されたＢＧＰ更新メッセージを受信する。トンネルは、ＶＸＬＡＮトンネル、又はラベルスイッチドパス（ｌａｂｅｌ  ｓｗｉｔｃｈｅｄ  ｐａｔｈ、ＬＳＰ）である。ＬＳＰは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【０１１５】
任意選択で、図３に示される方法においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１１６】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１１７】
さらに、図３に示される方法においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【０１１８】
図４は、本出願に従った、第１のネットワークデバイス４００の概略構造図である。第１のネットワークデバイス４００は、プロセッサ４１０と、トランシーバ４２０とを含み、プロセッサ４１０は、トランシーバ４２０に結合される。図４に示される第１のネットワークデバイス４００は、図２に示される方法を実行し得る。例えば、第１のネットワークデバイス４００は、図１におけるＬＳ１であり得る。第１のネットワークデバイス４００の具体的な実装については、図２に示される実施形態を参照するか、又は本出願におけるＬＳ１の説明を参照されたい。
【０１１９】
プロセッサ４１０は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定するように構成される。
【０１２０】
例えば、プロセッサ４１０は、プロセッサ、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ、ＡＳＩＣ）、又はフィールドプログラマブルゲートアレイ（ｆｉｅｌｄ  ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ、ＦＰＧＡ）であり得る。
【０１２１】
プロセッサ４１０は、さらに、ＢＧＰメッセージを生成するように構成される。ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【０１２２】
例えば、プロセッサ４１０は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成する。
【０１２３】
トランシーバ４２０は、プロセッサ４１０によって生成されたＢＧＰメッセージを、第２のネットワークデバイスに送信するように構成される。
【０１２４】
例えば、第２のネットワークデバイスは、図１におけるＬＳ２であり得る。
【０１２５】
可能な設計においては、第１のネットワークデバイス４００は、メモリ４３０を含み得る。メモリ４３０は、プロセッサ４１０に結合され、メモリ４３０は、コンピュータプログラムを記憶し得る。例えば、メモリ４３０は、ＤＤｏＳ攻撃を識別するために使用される、コンピュータプログラムを記憶する。プロセッサ４１０は、複数のパケットがＤＤｏＳ攻撃に属することを決定するために、コンピュータプログラムを実行することによって、攻撃者からの複数のパケットの特徴を分析する。複数のパケットの送信元ＭＡＣアドレスは、ＭＡＣアドレス１である。プロセッサ４１０は、複数のパケットの送信元ＭＡＣアドレスに基づいて、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定する。
【０１２６】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【０１２７】
トランシーバ４２０は、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【０１２８】
例えば、ＶＸＬＡＮトンネルが、第１のＶＴＥＰと第２のＶＴＥＰとの間に存在し、トランシーバ４２０は、ＶＸＬＡＮトンネル上に配置される。例えば、トランシーバ４２０は、イーサネットインターフェースを含み、トランシーバ４２０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。
【０１２９】
可能な設計においては、ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ  ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣ  ｍｏｂｉｌｉｔｙ  ｅｘｔｅｎｄｅｄ  ｃｏｍｍｕｎｉｔｙとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１３０】
可能な設計においては、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１３１】
可能な設計においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【０１３２】
図５は、本出願に従った、第２のネットワークデバイス５００の概略構造図である。第２のネットワークデバイス５００は、第１のトランシーバ５１０と、第２のトランシーバ５２０と、プロセッサ５３０とを含む。第１のトランシーバ５１０は、プロセッサ５３０に結合され、第２のトランシーバ５２０は、プロセッサ５３０に結合される。図５に示される第２のネットワークデバイス５００は、図３に示される方法を実行し得る。例えば、第２のネットワークデバイス５００は、図１におけるＬＳ２であり得る。第２のネットワークデバイス５００の具体的な実装については、図３に示される実施形態を参照するか、又は本出願におけるＬＳ２の説明を参照されたい。
【０１３３】
第１のトランシーバ５１０は、第１のネットワークデバイスからＢＧＰメッセージを受信するように構成される。ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【０１３４】
第２のトランシーバ５２０は、第１のパケットを受信するように構成される。第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１３５】
例えば、第１のトランシーバ５１０は、イーサネットインターフェースを含み得るし、第１のトランシーバ５１０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。第２のトランシーバ５２０は、イーサネットインターフェースを含み得るし、第２のトランシーバ５２０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。
【０１３６】
例えば、第１のトランシーバ５１０は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネル上に配置され得る。第２のトランシーバ５２０は、ＬＳ２によって管理されるネットワークに接続するように構成され得るし、第２のトランシーバ５２０は、サーバ３及びサーバ４に接続するように構成され得る。
【０１３７】
プロセッサ５３０は、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを回避するように構成される。
【０１３８】
例えば、プロセッサ５３０は、中央処理ユニット、ＡＳＩＣ、又はＦＰＧＡであり得る。
【０１３９】
可能な設計においては、第２のネットワークデバイス５００は、メモリ５４０を含み得る。メモリ５４０は、プロセッサ５３０に結合され、メモリ５４０は、コンピュータプログラムを記憶し得る。例えば、メモリ５４０は、ＢＧＰ機能を実装するために使用される、コンピュータプログラムを記憶する。プロセッサ５３０は、コンピュータプログラムを実行することによって、ＢＧＰメッセージと、第２のネットワークデバイス５００の構成情報とに基づいて、転送エントリ１を生成する。第１のパケットは、パケット１であり得る。ＬＳ２は、転送エントリ１に基づいて、パケット１に対して破棄処理又は他の処理を実行し得る。転送エントリ１の生成処理、転送エントリ１の構造、及びパケット１が、転送エントリ１に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１４０】
可能な設計においては、第２の受信機５２０は、さらに、第２のパケットを受信するように構成される。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１４１】
プロセッサ５３０は、さらに、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避するように構成される。
【０１４２】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ２を生成し得るし、第２のパケットは、パケット２であり得る。ＬＳ２は、転送エントリ２に基づいて、パケット２に対して廃棄処理を実行し得る。転送エントリ２の生成処理、転送エントリ２の構造、及びパケット２が、転送エントリ２に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１４３】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【０１４４】
第１のトランシーバ５１０は、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【０１４５】
第１のトランシーバ５１０は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネル上に配置され得る。ＶＸＬＡＮトンネルを通して、（第１のネットワークデバイス内に含まれる）第１のＶＴＥＰからＢＧＰメッセージを受信した後、第１のトランシーバ５１０は、ＢＧＰメッセージを第２のネットワークデバイス内の第２のＶＴＥＰに送信し得る。
【０１４６】
可能な設計においては、ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ  ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣ  ｍｏｂｉｌｉｔｙ  ｅｘｔｅｎｄｅｄ  ｃｏｍｍｕｎｉｔｙとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１４７】
可能な設計においては、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１４８】
図６は、本出願に従った、システムを示している。図６を参照すると、システム６００は、第１のネットワークデバイス６０１と、第２のネットワークデバイス６０２とを含む。第１のネットワークデバイス６０１は、図４に示される第１のネットワークデバイス４００であり得るし、第２のネットワークデバイス６０２は、図５に示される第２のネットワークデバイス５００であり得る。例えば、第１のネットワークデバイス６０１は、図２に示される方法を実行し得るし、第２のネットワークデバイス６０２は、図３に示される方法を実行し得る。具体的には、第１のネットワークデバイス６０１は、図１におけるＬＳ１であり得るし、第２のネットワークデバイス６０２は、図１におけるＬＳ２であり得る。第１のネットワークデバイス６０１の具体的な実装については、図２に示される実施形態、又は本出願におけるＬＳ１の説明を参照されたい。第２のネットワークデバイス６０２の具体的な実装については、図３に示される実施形態、又は本出願におけるＬＳ２の説明を参照されたい。
【０１４９】
本出願は、さらに、コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、図２に示される方法、又は図３に示される方法を実行することを可能にされる。例えば、ネットワークデバイスは、図２に示される方法における第１のネットワークデバイス、又は図３に示される方法における第２のネットワークデバイスであり得る。
【０１５０】
本出願はさらに、コンピュータプログラム製品を提供する。コンピュータプログラム製品は、コンピュータプログラムを含む。コンピュータプログラムは、コンピュータ可読記憶媒体内に格納され得る。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、図２に示される方法、又は図３に示される方法を実行することを可能にされる。例えば、ネットワークデバイスは、図２に示される方法における第１のネットワークデバイス、又は図３に示される方法における第２のネットワークデバイスであり得る。
【０１５１】
本出願で説明される方法又は方法におけるステップは、ハードウェアによって実装され得るし、又はソフトウェア命令を実行することによって、プロセッサによって実装され得る。ソフトウェア命令は、対応するソフトウェアモジュールを含み得る。ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、リムーバブルハードディスク、ＣＤ−ＲＯＭ、又は当技術分野において知られた他の任意の形態の記憶媒体内に格納され得る。例えば、記憶媒体は、プロセッサが、記憶媒体から情報を読み取ること、又は記憶媒体に情報を書き込むことができるように、プロセッサに結合される。もちろん、記憶媒体は、プロセッサの構成要素であり得る。プロセッサ及び記憶媒体は、ＡＳＩＣ内に配置され得る。加えて、ＡＳＩＣは、ユーザ機器内に配置され得る。もちろん、プロセッサと記憶媒体は、個別の構成要素として、ユーザ機器内に存在し得る。
【０１５２】
本出願において説明される機能は、ハードウェア、ソフトウェア、ファームウェア、又はそれらの任意の組み合わせによって実装され得ることを当業者は認識されたい。本出願において説明される機能は、ソフトウェアとハードウェアの組み合わせによって実装されてもまたよい。ソフトウェアは、コンピュータ可読媒体内に格納され得る。コンピュータ可読媒体は、コンピュータ記憶媒体と、通信媒体とを含む。通信媒体は、コンピュータプログラムが、１つの場所から別の場所に送信されることを可能にする媒体を含む。記憶媒体は、汎用又は専用コンピュータがアクセス可能な媒体であり得る。
【０１５３】
本出願の目的、技術的ソリューション、及び有益な効果が、さらに、上述の具体的な実装において詳細に説明された。上述の説明は、本出願の具体的な実装にすぎないことを理解されたい。
【図１】
2021530158.tif 000003
【図１ａ】
2021530158.tif 000004
【図１ｂ】
2021530158.tif 000005
【図２】
2021530158.tif 000006
【図３】
2021530158.tif 000007
【図４】
2021530158.tif 000008
【図５】
2021530158.tif 000009
【図６】
2021530158.tif 000010
【手続補正書】
【提出日】令和3年1月28日(2021.1.28)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１のネットワークデバイスによって、ＢＧＰメッセージを生成するステップであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御（ＭＡＣ）アドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示す、ステップと、
前記第１のネットワークデバイスによって、前記ＢＧＰメッセージを第２のネットワークデバイスに送信するステップと、
を含む、ボーダーゲートウェイプロトコル（ＢＧＰ）メッセージ送信方法。
【請求項２】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＴＥＰ）を含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
前記第１のネットワークデバイスによって、前記ＢＧＰメッセージを第２のネットワークデバイスに送信する前記ステップは、前記第１のＶＴＥＰによって、前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信するステップを含む、
請求項１に記載の方法。
【請求項３】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル（ＭＡＣ／ＩＰ）広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含み、
前記ＭＡＣ／ＩＰ広告ルートは、前記第１のＭＡＣアドレスを含み、前記ＭＡＣモビリティ拡張コミュニティは、前記指示情報を含む、
請求項１又は２に記載の方法。
【請求項４】
前記ＭＡＣモビリティ拡張コミュニティは、フラグを含み、前記指示情報は、前記フラグの最上位ビット（ＭＳＢ）上で搬送される、
請求項３に記載の方法。
【請求項５】
前記ＢＧＰメッセージは、ＢＧＰ更新メッセージである、
請求項１〜４のいずれか１項に記載の方法。
【請求項６】
第２のネットワークデバイスによって、第１のネットワークデバイスからＢＧＰメッセージを受信するステップであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御（ＭＡＣ）アドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示す、ステップと、
前記第２のネットワークデバイスによって、第１のパケットを受信するステップであって、前記第１のパケットの送信先ＭＡＣアドレスが前記第１のＭＡＣアドレスである、ステップと、
前記第１のパケットを、前記第１のＭＡＣアドレスによって識別される前記ホストに転送することを回避するステップと、
を含む、ボーダーゲートウェイプロトコル（ＢＧＰ）メッセージ受信方法。
【請求項７】
前記方法は、
前記第２のネットワークデバイスによって、第２のパケットを受信するステップであって、前記第２のパケットの送信元ＭＡＣアドレスは、前記第１のＭＡＣアドレスである、ステップと、
前記第２のパケットを転送することを回避するステップと、
をさらに含む、請求項６に記載の方法。
【請求項８】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＴＥＰ）を含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
第２のネットワークデバイスによって、第１のネットワークデバイスからＢＧＰメッセージを受信する前記ステップは、前記第２のＶＴＥＰによって、前記第１のＶＴＥＰからのルーティング情報を受信するステップを含む、
請求項６又は７に記載の方法。
【請求項９】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル（ＭＡＣ／ＩＰ）広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含み、前記ＭＡＣ／ＩＰ広告ルートは、前記第１のＭＡＣアドレスを含み、前記ＭＡＣモビリティ拡張コミュニティは、前記指示情報を含む、
請求項６〜８のいずれか１項に記載の方法。
【請求項１０】
前記ＭＡＣモビリティ拡張コミュニティは、フラグを含み、前記指示情報は、前記フラグの最上位ビット（ＭＳＢ）上で搬送される、
請求項９に記載の方法。
【請求項１１】
命令を含むメモリと、前記メモリに接続されたプロセッサとを含む、第１のネットワークデバイスであって、前記プロセッサによって実行される前記命令は、前記第１のネットワークデバイスに、
ボーダーゲートウェイプロトコル（ＢＧＰ）メッセージを生成することであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御（ＭＡＣ）アドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示す、ことを行わせ、
前記ＢＧＰメッセージを第２のネットワークデバイスに送信させる、
第１のネットワークデバイス。
【請求項１２】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＴＥＰ）を含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、前記プロセッサによって実行される前記命令は、前記第１のネットワークデバイスに、
前記第１のＶＴＥＰからの前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信させる、
請求項１１に記載の第１のネットワークデバイス。
【請求項１３】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル（ＭＡＣ／ＩＰ）広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含み、前記ＭＡＣ／ＩＰ広告ルートは、前記第１のＭＡＣアドレスを含み、前記ＭＡＣモビリティ拡張コミュニティは、前記指示情報を含む、
請求項１１又は１２に記載の第１のネットワークデバイス。
【請求項１４】
前記ＭＡＣモビリティ拡張コミュニティは、フラグを含み、前記指示情報は、前記フラグの最上位ビット（ＭＳＢ）上で搬送される、
請求項１３に記載の第１のネットワークデバイス。
【請求項１５】
前記ＢＧＰメッセージは、ＢＧＰ更新メッセージである、
請求項１１〜１４のいずれか１項に記載の第１のネットワークデバイス。
【請求項１６】
命令を含むメモリと、前記メモリに接続されたプロセッサとを含む、第２のネットワークデバイスであって、前記プロセッサによって実行される前記命令は、前記第２のネットワークデバイスに、
第１のネットワークデバイスからのボーダーゲートウェイプロトコル（ＢＧＰ）メッセージを受信することであって、前記ＢＧＰメッセージは、第１のメディアアクセス制御（ＭＡＣ）アドレスと指示情報とを含み、前記指示情報は、前記第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示す、ことを行わせ、
第１のパケットを受信することであって、前記第１のパケットの送信先ＭＡＣアドレスが前記第１のＭＡＣアドレスである、ことを行わせ、
前記第１のパケットを、前記第１のＭＡＣアドレスによって識別される前記ホストに転送することを回避させる、
第２のネットワークデバイス。
【請求項１７】
前記プロセッサによって実行される前記命令は、前記第２のネットワークデバイスに、
第２のパケットを受信することであって、前記第２のパケットの送信元ＭＡＣアドレスは、前記第１のＭＡＣアドレスである、ことを行わせ、
前記第２のパケットを転送することを回避させる、
請求項１６に記載の第２のネットワークデバイス。
【請求項１８】
前記第１のネットワークデバイスは、第１の仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＴＥＰ）を含み、前記第２のネットワークデバイスは、第２のＶＴＥＰを含み、
前記プロセッサによって実行される前記命令は、前記第２のネットワークデバイスに、
前記第１のＶＴＥＰからの前記ＢＧＰメッセージを前記第２のＶＴＥＰに送信させる、
請求項１６又は１７に記載の第２のネットワークデバイス。
【請求項１９】
前記ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル（ＭＡＣ／ＩＰ）広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含み、前記ＭＡＣ／ＩＰ広告ルートは、前記第１のＭＡＣアドレスを含み、前記ＭＡＣモビリティ拡張コミュニティは、前記指示情報を含む、
請求項１６〜１８のいずれか１項に記載の第２のネットワークデバイス。
【請求項２０】
前記ＭＡＣモビリティ拡張コミュニティは、フラグを含み、前記指示情報は、前記フラグの最上位ビット（ＭＳＢ）上で搬送される、
請求項１９に記載の第２のネットワークデバイス。
【請求項２１】
コンピュータ可読命令を含むコンピュータ可読記憶媒体であって、前記命令がプロセッサ上で実行されるとき、前記プロセッサは、請求項１〜１０のいずれか１項に記載の前記方法を実行できるようにされる、コンピュータ可読記憶媒体。
【請求項２２】
請求項１１〜１５のいずれか１項の第１のネットワークデバイスと、請求項１６〜２０のいずれか１項の第２のネットワークデバイスとを含む、システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、通信技術の分野に関し、詳細には、ボーダーゲートウェイプロトコル（Ｂｏｒｄｅｒ  Ｇａｔｅｗａｙ  Ｐｒｏｔｏｃｏｌ、ＢＧＰ）メッセージ送信方法、ＢＧＰメッセージ受信方法、及び関連するデバイスに関する。
【背景技術】
【０００２】
本出願は、その全体が参照によって本明細書に組み込まれる、２０１８年６月３０日に中国国家知識産権局に出願された、「ＢＧＰ  ＭＥＳＳＡＧＥ  ＳＥＮＤＩＮＧ  ＭＥＴＨＯＤ，  ＢＧＰ  ＭＥＳＳＡＧＥ  ＲＥＣＥＩＶＩＮＧ  ＭＥＴＨＯＤ，  ＡＮＤ  ＤＥＶＩＣＥ」と題する、中国特許出願第２０１８１０７０３１１２．１号に基づく優先権を主張する。
【０００３】
ネットワークデバイスは、複数のホストに接続され得る。例えば、ネットワークデバイスは、スイッチであり得る。ネットワークデバイスが、ホストからパケットを受信したとき、ネットワークデバイスは、パケットを転送し得る。複数のホストが、攻撃者を含み得る。例えば、ホスト１が攻撃者である。技術者は、ネットワークデバイス上において、ホスト１の転送ルールを手動で構成し得る。転送ルールは、ホスト１のメディアアクセス制御（ｍｅｄｉａ  ａｃｃｅｓｓ  ｃｏｎｔｒｏｌ、ＭＡＣ）アドレスを含む。例えば、ＭＡＣアドレスは、４８ビットを有する。ネットワークデバイスは、ネットワークデバイスによって受信されたパケットの送信元ＭＡＣアドレスが、ホスト１のＭＡＣアドレスであることを検出したとき、ネットワークデバイスは、転送ルールに従って、パケットを破棄し得る。
【０００４】
上述の技術的ソリューションにおいては、技術者は、攻撃者の転送ルールを手動で構成する必要があり、手動構成の作業負荷は相対的に重い。
【発明の概要】
【０００５】
本出願は、手動構成の作業負荷を低減させる助けとなる、ＢＧＰメッセージ送信方法、ＢＧＰメッセージ受信方法、及び関連するデバイスを提供する。
【０００６】
本出願は、以下の技術的ソリューションを提供する。
【０００７】
第１の態様に従うと、ＢＧＰメッセージ送信方法が提供される。方法は、第１のネットワークデバイスが、第１のメディアアクセス制御ＭＡＣアドレスによって識別されるホストが攻撃者であると決定するステップと、第１のネットワークデバイスが、ＢＧＰメッセージを生成するステップであって、ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される、ステップと、第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップとを含む。
【０００８】
上述の技術的ソリューションにおいては、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定した後、第１のネットワークデバイスは、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを生成し、ＢＧＰメッセージを第２のネットワークデバイスに送信し得る。さらに、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、指示情報とに基づいて、第２のネットワークデバイスが、第２のネットワークデバイスによって受信されたパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを防ぐために使用される、転送ルールを生成し得る。言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージに基づいて、転送ルールを生成し得るし、技術者は、第２のネットワークデバイス上において、転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【０００９】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップは、第１のＶＴＥＰが、ＢＧＰメッセージを第２のＶＴＥＰに送信するステップを含む。
【００１０】
上述の技術的ソリューションにおいては、ＶＴＥＰは、ＢＧＰメッセージの送信を実装するために使用され得る。
【００１１】
可能な設計においては、第１のＶＴＥＰアドレスが、第１のＶＴＥＰを識別し、第２のＶＴＥＰアドレスが、第２のＶＴＥＰを識別する。ＢＧＰメッセージは、インターネットプロトコル（ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ、ＩＰ）ヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００１２】
可能な設計においては、第１のＶＴＥＰは、トンネルを通して、ＢＧＰメッセージを第２のＶＴＥＰに送信する。トンネルは、ＶＸＬＡＮトンネル、又はＬＳＰである。
【００１３】
可能な設計においては、第１のネットワークデバイスが、ＢＧＰメッセージを生成するステップは、第１のネットワークデバイスが、ＭＡＣアドレスが第１のＭＡＣアドレスであるホストが攻撃者であると決定するステップと、第１のネットワークデバイスが、データパケットを受信するステップであって、データパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスである、ステップと、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成するステップとを含む。
【００１４】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、データパケットのトリガリングに基づいて、ＢＧＰメッセージを生成する。言い換えると、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイスは、ＢＧＰメッセージを直ちに生成し、第２のネットワークデバイスに通知する必要がない。第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のＭＡＣアドレスによって識別されるホストが、第１のネットワークデバイスによって管理されるネットワークにアクセスしないことが可能である。例えば、第１のＭＡＣアドレスによって識別されるホストは、オフラインになっていることがあり得るし、又は第１のＭＡＣアドレスによって識別されるホストは、別のネットワークにローミングしていることがあり得る。従って、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイス及び第２のネットワークデバイスは、攻撃者によって攻撃され得ない。第１のネットワークデバイスが、攻撃者によって攻撃されないとき、第１のネットワークデバイスは、一時的に、ＢＧＰメッセージを生成又は送信しない。これは、第１のネットワークデバイス及び第２のネットワークデバイスのオーバヘッドを低減させる助けとなる。第１のネットワークデバイスが、送信元ＭＡＣアドレスが第１のＭＡＣアドレスであるデータパケットを受信したとき、それは、第１のネットワークデバイスが攻撃者によって攻撃され始めたことを示す。第１のネットワークデバイスが攻撃者によって攻撃され始めたとき、第１のネットワークデバイスは、攻撃者のＭＡＣアドレスを第２のネットワークデバイスに通知する。これは、オーバヘッドの低減と攻撃者からの攻撃の防止との間の妥協点を獲得する助けとなる。
【００１５】
可能な設計においては、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成するステップは、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップであって、第１の仮想拡張可能ローカルエリアネットワークネットワーク識別子ＶＮＩは、第１のＶＸＬＡＮを識別する、ステップと、第１のネットワークデバイスが、データパケットで搬送される送信元ＭＡＣアドレスと、データパケットが第１のＶＸＬＡＮからのものであることとに基づいて、第１のＭＡＣアドレスによって識別されるホストが第１のＶＸＬＡＮ上に置かれていると決定するステップと、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであることに基づいて、ＢＧＰメッセージを生成するステップであって、ＢＧＰメッセージは、第１のＶＮＩを含む、ステップとを含む。
【００１６】
可能な設計においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップは、第１のネットワークデバイスが、第１のポートを通して、データパケットを受信するステップであって、第１のポートは、第１のＶＮＩを用いて構成される、ステップと、第１のネットワークデバイスが、データパケットを受信するように構成された第１のポートは、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定するステップとを含む。
【００１７】
可能な設計においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定するステップは、第１のネットワークデバイスが、データパケット内に含まれる第１の仮想ローカルエリアネットワーク識別子ＶＬＡＮ  ＩＤは、第１のＶＮＩを用いて構成されると決定するステップと、第１のネットワークデバイスが、データパケット内に含まれる第１のＶＬＡＮ  ＩＤが第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定するステップとを含む。
【００１８】
第２の態様に従うと、ＢＧＰメッセージ受信方法が提供される。方法は、第２のネットワークデバイスが、第１のネットワークデバイスからＢＧＰメッセージを受信するステップであって、ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される、ステップと、第２のネットワークデバイスが、第１のパケットを受信するステップであって、第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい、ステップと、第２のネットワークデバイスが、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避するステップとを含む。
【００１９】
可能な設計においては、第２のネットワークデバイスは、第２のパケットを受信する。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避する。
【００２０】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第２のネットワークデバイスが、第１のネットワークデバイスからＢＧＰメッセージを受信するステップは、第２のＶＴＥＰが、第１のＶＴＥＰからルーティング情報を受信するステップを含む。
【００２１】
可能な設計においては、第２のＶＴＥＰは、第２のＶＴＥＰからＢＧＰ更新メッセージを受信する。ＢＧＰメッセージは、ＢＧＰ更新メッセージで搬送され、ＢＧＰ更新メッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００２２】
可能な設計においては、第２のＶＴＥＰは、トンネルを通して、第２のＶＴＥＰからＢＧＰ更新メッセージを受信する。トンネルは、ＶＸＬＡＮトンネル、又はＬＳＰである。
【００２３】
第３の態様に従うと、第１のネットワークデバイスが提供される。第１のネットワークデバイスは、プロセッサと、プロセッサに結合されたトランシーバとを含む。プロセッサは、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定するように構成される。プロセッサは、さらに、ボーダーゲートウェイプロトコルＢＧＰメッセージを生成するように構成される。ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。トランシーバは、プロセッサによって生成されたＢＧＰメッセージを第２のネットワークデバイスに送信するように構成される。
【００２４】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。トランシーバは、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【００２５】
第４の態様に従うと、第２のネットワークデバイスが提供される。第２のネットワークデバイスは、第１のトランシーバと、第２のトランシーバと、第１のトランシーバ及び第２のトランシーバに結合されたプロセッサとを含む。第１のトランシーバは、第１のネットワークデバイスからボーダーゲートウェイプロトコルＢＧＰメッセージを受信するように構成される。ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。第２のトランシーバは、第１のパケットを受信するように構成される。第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。プロセッサは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避するように構成される。
【００２６】
可能な設計においては、第２のトランシーバは、さらに、第２のパケットを受信するように構成される。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。プロセッサは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避するようにさらに構成される。
【００２７】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。第１のトランシーバは、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【００２８】
第５の態様に従うと、システムが提供される。システムは、第３の態様において提供される第１のネットワークデバイスと、第４の態様において提供される第２のネットワークデバイスとを含む。
【００２９】
第６の態様に従うと、コンピュータ可読記憶媒体が提供される。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、第１の態様において提供される方法、又は第２の態様において提供される方法を実行することを可能にされる。例えば、ネットワークデバイスは、第１の態様における第１のネットワークデバイス、又は第２の態様における第２のネットワークデバイスであり得る。
【００３０】
第７の態様に従うと、コンピュータプログラム製品が提供される。コンピュータプログラム製品は、コンピュータプログラムを含む。コンピュータプログラムは、コンピュータ可読記憶媒体内に格納され得る。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、第１の態様において提供される方法、又は第２の態様において提供される方法を実行することを可能にされる。例えば、ネットワークデバイスは、第１の態様における第１のネットワークデバイス、又は第２の態様における第２のネットワークデバイスであり得る。
【００３１】
第１の態様から第７の態様の可能な設計においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【００３２】
上述の技術的ソリューションにおいては、攻撃者のＭＡＣアドレスを広告するために、ＩＥＴＦによって定義されたＥＶＮＰルーティングメッセージが使用され得る。これは、本出願において提供される技術的ソリューションが、既存のネットワークに適合することを可能にし、それによって、実装コストを低減させる助けとなる。
【００３３】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグの最上位ビット（ｍｏｓｔ  ｓｉｇｎｉｆｉｃａｎｔ  ｂｉｔ、ＭＳＢ）上で搬送される。
【００３４】
上述の技術的ソリューションにおいては、指示情報を搬送するために、ＩＥＴＦによって定義されたＥＶＮＰルーティングメッセージ内のフィールドが使用される。これは、本出願において提供される技術的ソリューションが、既存のネットワークに適合することを可能にし、それによって、実装コストを低減させる助けとなる。
【００３５】
第１の態様から第７の態様の可能な設計においては、ＢＧＰメッセージは、ＢＧＰ更新（ｕｐｄａｔｅ）メッセージである。
【図面の簡単な説明】
【００３６】
【図１】本出願に従った、データセンタネットワークの概略構造図である。
【図１ａ】本出願に従った、スイッチの概略構造図である。
【図１ｂ】本出願に従った、サーバの概略構造図である。
【図２】本出願に従った、ＢＧＰメッセージ送信方法の概略フローチャートである。
【図３】本出願に従った、ＢＧＰメッセージ受信方法の概略フローチャートである。
【図４】本出願に従った、第１のネットワークデバイスの概略構造図である。
【図５】本出願に従った、第２のネットワークデバイスの概略構造図である。
【図６】本出願に従った、システムの概略構造図である。
【発明を実施するための形態】
【００３７】
図１は、本出願に従った、データセンタネットワークの概略構造図である。図１を参照すると、データセンタネットワークは、サーバ１からサーバ６と、リーフスイッチ（ｌｅａｆ  ｓｗｉｔｃｈ、ＬＳ）１、ＬＳ２、ＬＳ３と、スパインスイッチ（ｓｐｉｎｅ  ｓｗｉｔｃｈ、ＳＳ）１、ＳＳ２、ＳＳ３とを含む。サーバ１及びサーバ２は、ＬＳ１に接続され、サーバ３及びサーバ４は、ＬＳ２に接続され、サーバ５及びサーバ６は、ＬＳ３に接続される。ＬＳ１は、ＳＳ１、ＳＳ２、及びＳＳ３に接続され、ＬＳ２は、ＳＳ１、ＳＳ２、及びＳＳ３に接続され、ＬＳ３は、ＳＳ１、ＳＳ２、及びＳＳ３に接続される。サーバ１は、ＬＳ１を通して、別のサーバと通信する必要があり、サーバ６は、ＬＳ３を通して、別のサーバと通信する必要がある。サーバ１が、サーバ６と通信するとき、サーバ１によって送信されたデータストリームは、異なる経路を通して、サーバ６に到達し得る。異なる経路は、経路１（ＬＳ１−ＳＳ１−ＬＳ３）、経路２（ＬＳ１−ＳＳ２−ＬＳ３）、及び経路３（ＬＳ１−ＳＳ３−ＬＳ３）を含む。
【００３８】
図１ａは、本出願に従った、スイッチの概略構造図である。図１におけるＬＳは、スイッチ１００であり得るし、図１におけるＳＳは、スイッチ１００であり得る。図１におけるＬＳ及びＳＳの具体的な実装については、本出願におけるスイッチ１００の説明を参照されたい。
【００３９】
図１ａを参照すると、スイッチ１００は、ポートａからｆと、ネットワークプロセッサ１１０と、メモリ１２０と、トラフィックマネージャ１３０と、メモリ１４０とを含む。ポートａ、ポートｂ、及びポートｃは、ネットワークプロセッサ１１０に結合され、ポートａ、ポートｂ、及びポートｃは、送信ポートであり、受信されたパケットをネットワークプロセッサ１１０に送信し得る。スイッチ１００は、より多い又はより少ない受信ポートを含み得る。ポートｄ、ポートｅ、及びポートｆは、トラフィックマネージャ１３０に結合され、ネットワークプロセッサ１１０は、メモリ１２０に結合される。メモリ１２０は、コンピュータプログラムと、転送テーブルとを記憶し得るし、転送テーブルは、ハッシュテーブルであり得る。ネットワークプロセッサ１１０は、メモリ１２０内に格納されたコンピュータプログラムを実行すること、及び／又は転送テーブルを検索することによって、受信ポートからのパケットを処理し得る。例えば、ネットワークプロセッサ１１０は、ハッシュ値を獲得するために、コンピュータプログラムを実行することによって、パケット内のハッシュキーに対してハッシュアルゴリズムを実行することができる。別の例については、ネットワークプロセッサ１１０は、ハッシュテーブルを検索することによって、ハッシュ値にマッチするエントリを決定し得る。ネットワークプロセッサ１１０は、ハッシュ値にマッチするエントリに基づいて、パケットを転送するように構成された送信ポートを決定する。送信ポートは、ポートｄ、ポートｅ、又はポートｆであり得る。ネットワークプロセッサ１１０は、トラフィックマネージャ１３０に結合され、トラフィックマネージャ１３０は、メモリ１４０に結合される。例えば、パケットを転送するように構成された送信ポートを決定した後、ネットワークプロセッサ１１０は、パケットをトラフィックマネージャ１３０に送信し得る。トラフィックマネージャ１３０は、スケジューラと呼ばれることもあり、トラフィックマネージャ１３０は、ポートｄ、ポートｅ、及びポートｆと１対１に対応する、３つの送信キャッシュ待ち行列を維持し得る。ネットワークプロセッサ１１０からパケットを受信した後、トラフィックマネージャ１３０は、パケットを転送するように構成された送信ポートに基づいて、パケットを転送するように構成された送信ポートに対応する送信キャッシュ待ち行列上にパケットを配置し得る。トラフィックマネージャ１３０は、送信ポートを通してパケットを送信するために、送信キャッシュ待ち行列内に配置されたパケットをスケジュールし得る。具体的には、トラフィックマネージャ１３０は、３つの送信キャッシュ待ち行列と１対１に対応する、３つのパケット記述子待ち行列を維持し得る。パケット記述子待ち行列は、複数のパケット記述子を含み、各パケット記述子は、送信キャッシュ待ち行列内に格納されたパケットのアドレスを含む。トラフィックマネージャ１３０が、パケットを送信キャッシュ待ち行列上に配置する必要があるとき、トラフィックマネージャ１３０は、パケットの格納アドレスをパケット記述子待ち行列に追加し得る。トラフィックマネージャ１３０は、パケットを送信キャッシュ待ち行列上に配置するために、メモリ１４０に対して書き込み操作を実行し得る。送信キャッシュ待ち行列からパケットを取り出す必要がある場合、トラフィックマネージャ１３０は、パケット記述子待ち行列からパケットの格納アドレスを削除し得る。トラフィックマネージャ１３０は、送信キャッシュ待ち行列からパケットを取り出すために、メモリ１４０に対して読み取り操作を実行し得る。待ち行列から出た後、パケットは、送信ポートを通して送信される。
【００４０】
図１ａに示されるスイッチは、コントロールプレーンと、転送プレーンとを含み得ることに留意されたい。コントロールプレーンは、ルートを学習し、ルートを広告し、転送ルールを生成し、転送プレーンの転送テーブルを更新するように構成され得る。転送プレーンは、転送テーブルに基づいて、パケットを転送するように構成され得る。転送プレーンは、ネットワークプロセッサ１１０と、メモリ１２０と、トラフィックマネージャ１３０と、メモリ１４０とを含み得る。コントロールプレーンは、中央処理ユニット（ｃｅｎｔｒａｌ  ｐｒｏｃｅｓｓｉｎｇ  ｕｎｉｔ、ＣＰＵ）と、中央処理ユニットに結合されたメモリとを含み得る。中央処理ユニットに結合されたメモリは、ネットワークプロトコルを実行するために使用されるコンピュータプログラムを記憶し得るし、ネットワークプロトコルは、ＢＧＰであり得る。中央処理ユニットは、コンピュータプログラムを実行することによって、ＢＧＰによって定義された機能を実装し得る。例えば、中央処理ユニットは、サーバのＭＡＣアドレスを学習し得るし、サーバのＭＡＣアドレスに基づいて、ルーティングメッセージを生成し得るし、ルーティングメッセージをリモートスイッチに送信し得る。加えて、リモートスイッチからルーティングメッセージを受信した後、スイッチは、リモートスイッチからのルーティングメッセージに基づいて、転送プレーンの転送テーブルを更新し得る。例えば、リモートスイッチからのルーティングメッセージは、リモートサーバのＭＡＣアドレスを含む。中央処理ユニットは、リモートサーバについてのエントリを転送テーブルに追加し得る。従って、サーバが、送信先ＭＡＣアドレスがリモートサーバのＭＡＣアドレスであるパケットを受信したとき、スイッチの転送プレーンは、リモートサーバについてのエントリに基づいて、パケットを転送し得る。
【００４１】
図１ｂは、本出願に従った、サーバの概略構造図である。図１におけるサーバは、サーバ１０００であり得る。図１におけるサーバの具体的な実装については、本出願におけるサーバ１０００の説明を参照されたい。
【００４２】
図１ｂを参照すると、サーバ１０００は、中央処理ユニット１１００と、メモリ１２００と、ポート１３００と、バスとを含む。処理ユニット１１００、メモリ１２００、及びポート１３００は、バスを通して結合される。メモリ１２００は、ソフトウェアを記憶し、ソフトウェアは、オペレーティングシステムと、複数のアプリケーションプログラムとを含む。中央処理ユニット１１００は、メモリ１２００にアクセスすることによって、オペレーティングシステム及び複数のアプリケーションプログラムを実行する。オペレーティングシステムは、Ｗｉｎｄｏｗｓ、又はＬｉｎｕｘであり得る。中央処理ユニット１１００は、オペレーティングシステムに基づいて、複数のアプリケーションプログラムを実行する。ポート１３００は、パケットを受信し、パケットを送信するように構成され得る。例えば、ポート１３００が、スイッチ１００からパケットを受信した後、メモリ１２００は、パケットを記憶し得る。中央処理ユニット１１００は、アプリケーションプログラムに基づいて、パケットを処理し得る。加えて、中央処理ユニット１１００は、アプリケーションプログラムに基づいて、パケットを生成し、ポート１３００を通して、パケットをスイッチ１００に送信し得る。
【００４３】
加えて、図１ｂにおける中央処理ユニット１１００は、別のプロセッサで置き換えられ得る。別のプロセッサは、デジタル信号プロセッサ（ｄｉｇｉｔａｌ  ｓｉｇｎａｌ  ｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ  ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ、ＦＰＧＡ）若しくは別のプログラマブル論理デバイス、トランジスタ論理デバイス、ハードウェアコンポーネント、又はそれらの任意の組み合わせであり得る。別のプロセッサは、本発明の実施形態において開示される内容を参照して説明される、様々な例示的な論理ブロック、モジュール、及び回路を実装又は実行し得る。代替的に、プロセッサは、コンピューティング機能を実装するプロセッサの組み合わせ、例えば、１つ又は複数のマイクロプロセッサの組み合わせ、及び／又はＤＳＰとマイクロプロセッサの組み合わせなどであり得る。
【００４４】
図１に示されるデータセンタネットワークは、具体的にはイーサネット仮想プライベートネットワーク（Ｅｔｈｅｒｎｅｔ  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ、ＥＶＰＮ）であり得る。ＥＶＰＮについては、インターネットエンジニアリングタスクフォース（英語：Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ、略して、ＩＥＴＦ）によって発行されたリクエストフォーコメンツ（英語：Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ、略して、ＲＦＣ）７４３２の説明を参照されたい。ＲＦＣ７４３２は、その全体が参照によって本出願に組み込まれる。特に明記されない限り、「ＲＦＣ」で始まり、本出願において言及される、全ての文書は、ＩＥＴＦによってリリースされたものである。例えば、ＲＦＣ７３４８も、ＩＥＴＦによってリリースされたものである。
例えば、ＬＳ１及びＬＳ２は、ＲＦＣ７３４８を実行し得る。具体的には、ＬＳ１及びＬＳ２は、各々、仮想拡張可能ローカルエリアネットワークトンネルエンドポイント（ＶＸＬＡＮ  Ｔｕｎｎｅｌ  Ｅｎｄ  Ｐｏｉｎｔ、ＶＴＥＰ）を含み得る。ＶＴＥＰは、ＶＸＬＡＮトンネルの起点となり（ｏｒｉｇｉｎａｔｅ）、及び／又は終点となる（ｔｅｒｍｉｎａｔｅ）ように構成された、エンティティである。ＶＴＥＰについての詳細については、ＲＦＣ７３４８における関連する説明を参照されたい。本出願においては、ＬＳ１内に含まれるＶＴＥＰは、ＶＴＥＰ１と呼ばれ、ＬＳ２内に含まれるＶＴＥＰは、ＶＴＥＰ２と呼ばれる。ＶＴＥＰ１は、ＶＴＥＰ  ＩＰアドレス１に対応しており、ＶＴＥＰ２は、ＶＴＥＰ  ＩＰアドレス２に対応している。技術者は、ＬＳ１が、ＶＴＥＰ１を含むことを可能にするために、ＬＳ１を手動で構成し得る。技術者は、ＬＳ２が、ＶＴＥＰ２を含むことを可能にするために、ＬＳ２を手動で構成し得る。例えば、技術者は、ＬＳ１上において、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）を構成し得る。加えて、ＬＳ１とＬＳ２は、同じＶＸＬＡＮ上に配置され得るし、例えば、ＬＳ１及びＬＳ２の両方は、仮想拡張可能ローカルエリアネットワークネットワーク識別子（ＶＸＬＡＮ  Ｎｅｔｗｏｒｋ  Ｉｄｅｎｔｉｆｉｅｒ、ＶＮＩ）によって示されるＶＸＬＡＮ上に配置される。ＶＮＩの値は、１００であり得る。技術者は、ＬＳ１上におけるＶＮＩ（例えば、１００）、ＬＳ１上におけるＲＤ（例えば、１：１）、ＬＳ１上におけるＲＴ（例えば、１：１）を構成し得る。技術者は、ＬＳ２上において、ＶＴＥＰ  ＩＰアドレス２（例えば、２．２．２．９）を構成し、ＬＳ２上において、ＶＮＩ（例えば、１００）を構成する。加えて、技術者は、ＬＳ２上において、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを構成し得る。例えば、技術者は、ＬＳ２上において、ＶＸＬＡＮトンネルについての情報を構成する。情報は、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含み得る。送信元ＩＰアドレスは、ＶＸＬＡＮトンネルの入口ノード（例えば、ＶＴＥＰ２）のものであり、かつＬＳ２からＬＳ１に向かう方向の、ＩＰアドレスである。送信先ＩＰアドレスは、ＶＸＬＡＮトンネルの出口ノード（例えば、ＶＴＥＰ１）のものであり、かつＬＳ２からＬＳ１に向かう方向の、ＩＰアドレスである。技術者は、ＬＳ１上において、ＶＸＬＡＮトンネルについての情報を構成する。情報は、トンネルタイプ（ＴｕｎｎｅｌＴｙｐｅ）を含み得る。例えば、トンネルタイプの値が、８に等しいとき、トンネルタイプは、ＶＸＬＡＮトンネルのトンネルタイプが、ＶＸＬＡＮであることを示す。可能な設計においては、ＶＸＬＡＮトンネルは、ＳＳ１、ＳＳ２、及びＳＳ３のうちの少なくとも１つを通過し得る。言い換えると、ＳＳ１、ＳＳ２、及びＳＳ３のうちの少なくとも１つは、ＶＸＬＡＮトンネルのトランジットノードであり得る。
【００４５】
ＬＳ１は、ＢＧＰを実行し、ＬＳ２は、ＢＧＰを実行する。具体的には、ＬＳ１は、プロセッサと、メモリとを含み、メモリは、ＢＧＰ機能を実装するためのコードを記憶する。ＬＳ１内のプロセッサ（例えば、中央処理ユニット）は、コードを実行することによって、ＢＧＰを実行し、ＬＳ２も、上述のメカニズムを通して、ＢＧＰを実行し得る。ＬＳ２は、ＬＳ１のＢＧＰピアであり、ＬＳ１とＬＳ２は、ＢＧＰピアのペアと呼ばれることもある。ＬＳ１は、ＬＳ１によって管理されるネットワーク上のサーバのＭＡＣアドレスを学習することができ、例えば、ＬＳ１は、サーバ１のＭＡＣアドレス、及びサーバ２のＭＡＣアドレスを学習することができる。ＬＳ２は、ＬＳ２によって管理されるネットワーク上のサーバのＭＡＣアドレスを学習することができ、例えば、ＬＳ２は、サーバ３のＭＡＣアドレス、及びサーバ４のＭＡＣアドレスを学習することができる。ＬＳ１は、ＶＸＬＡＮトンネルを通して、ＥＶＰＮルートをＬＳ２に送信し得るし、ＬＳ１によって送信されるＥＶＰＮルートは、サーバ１のＭＡＣアドレス、及びサーバ２のＭＡＣアドレスを含み得る。ＬＳ２は、ＶＸＬＡＮトンネルを通して、ＥＶＰＮルートをＬＳ１に送信し得るし、ＬＳ２によって送信されるＥＶＰＮルートは、サーバ３のＭＡＣアドレス、及びサーバ４のＭＡＣアドレスを含み得る。
【００４６】
以下においては、例を使用して、ＬＳ１がどのようにしてサーバ１のＭＡＣアドレスを学習し、サーバ１のＭＡＣアドレスを搬送するＥＶＰＮルートをＬＳ２に送信するかを説明する。
【００４７】
ＬＳ１は、インターフェース１を含み、インターフェース１は、イーサネットインターフェースである。ＬＳ１は、インターフェース１を通して、サーバ１に接続される。技術者は、ＬＳ１上において、インターフェース１と関連付けられたＶＮＩ（例えば、１００）を構成する。サーバ１は、イーサネットフレーム１を生成し、インターフェース１を通して、イーサネットフレーム１をＬＳ１に送信し、イーサネットフレーム１の送信元ＭＡＣアドレスは、サーバ１のＭＡＣアドレスである。インターフェース１を通して、イーサネットフレーム１を受信した後、ＬＳ１は、イーサネットフレーム１を受信したインターフェースは、インターフェース１であると決定し、その後、ＬＳ１は、インターフェース１によって管理されるＶＮＩの値は、１００に等しいと決定する。加えて、ＬＳ１は、サーバ１のＭＡＣアドレスを獲得するために、イーサネットフレーム１を解析する。ＲＦＣ７４３２に従うと、ＬＳ１は、ＬＳ１によって格納された構成情報と、ＬＳ１によってイーサネットフレーム１から獲得された情報とに基づいて、ルーティングメッセージ１を生成する。具体的には、ＬＳ１内のプロセッサ（例えば、中央処理ユニット）は、ＢＧＰ機能を実装するためのコードを実行することによって、ルーティングメッセージ１を生成し得る。以下においては、例を使用して、ルーティングメッセージ１を説明する。
【００４８】
具体的には、ルーティングメッセージ１は、ＩＰパケットで搬送され得るし、ＩＰパケットは、ＩＰヘッダと、ＩＰペイロードとを含む。ＩＰヘッダは、ＩＰペイロードに隣接しており、ＩＰペイロードは、ＩＰヘッダの後ろにある。ＩＰヘッダは、送信元ＩＰアドレスと、送信先ＩＰアドレスと、プロトコル（ｐｒｏｔｏｃｏｌ）とを含む。送信元ＩＰアドレスの値は、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）と等しくなり得るし、送信先ＩＰアドレスの値は、ＶＴＥＰ  ＩＰアドレス２（例えば、２．２．２．９）と等しくなり得る。ＩＰヘッダ内のプロトコルは、ＩＰヘッダの次のヘッダのタイプを示すために使用される。例えば、プロトコルの値が６に等しいとき、ＩＰヘッダのプロトコルは、ＩＰパケット内において、ＩＰヘッダの次のヘッダが伝送制御プロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ、ＴＣＰ）ヘッダであることを示す。ＩＰペイロードは、ＴＣＰヘッダと、ＴＣＰペイロードとを含む。ＴＣＰヘッダは、ＴＣＰペイロードに隣接しており、ＴＣＰペイロードは、ＴＣＰヘッダの後ろにある。ＴＣＰヘッダは、ＩＰヘッダに隣接しており、ＴＣＰヘッダは、送信元ポート（ｓｏｕｒｃｅ  ｐｏｒｔ）を含み、ＴＣＰヘッダ内の送信元ポートは、ＴＣＰペイロードのタイプを示すために使用され得る。例えば、送信元ポートの値が１７９に等しいとき、ＴＣＰヘッダの送信元ポートは、ＴＣＰペイロードがＢＧＰメッセージであることを示す。
【００４９】
ルーティングメッセージ１は、ＢＧＰメッセージであり得るし、具体的には、ＢＧＰメッセージは、ＢＧＰ更新メッセージであり得る。ルーティングメッセージ１は、マルチプロトコル到達可能ネットワークレイヤ到達可能性情報（Ｍｕｌｔｉｐｒｏｔｏｃｏｌ  Ｒｅａｃｈａｂｌｅ  Ｎｅｔｗｏｒｋ  Ｌａｙｅｒ  Ｒｅａｃｈａｂｉｌｉｔｙ  Ｉｎｆｏｒｍａｔｉｏｎ、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩ）を含み得るし、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、経路属性（ｐａｔｈ  ａｔｔｒｉｂｕｔｅ）である。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩについての詳細については、ＲＦＣ４７６０における関連する説明を参照されたい。ルーティングメッセージ１は、さらに、別の経路属性を搬送し得る。例えば、ルーティングメッセージ１は、さらに、ローカルプリファレンス（ｌｏｃａｌ  ｐｒｅｆｅｒｅｎｃｅ）を搬送し得るし、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレス（ｎｅｘｔ  ｈｏｐ  ｎｅｔｗｏｒｋ  ａｄｄｒｅｓｓ）フィールドを含み、ネクストホップネットワークアドレスフィールドは、ＬＳ１上に格納された、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）を搬送し得る。
【００５０】
ルーティングメッセージ１は、メディアアクセス制御／インターネットプロトコル広告ルート（ＭＡＣ／ＩＰ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅ）を含む。ＭＡＣ／ＩＰ広告ルートについての詳細については、ＲＦＣ７４３２における関連する説明を参照されたい。加えて、ルーティングメッセージは、さらに、メディアアクセス制御モビリティ拡張コミュニティ（ＭＡＣ  Ｍｏｂｉｌｉｔｙ  Ｅｘｔｅｎｄｅｄ  Ｃｏｍｍｕｎｉｔｙ）を含み得る。ＭＡＣモビリティ拡張コミュニティについての詳細については、ＲＦＣ７４３２における関連する説明を参照されたい。
【００５１】
サーバ１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され得る。具体的には、ＭＡＣ／ＩＰ広告ルートは、ＭＡＣアドレスフィールドを含み、ＭＡＣアドレスフィールドは、６バイトを有し、サーバ１のＭＡＣアドレスは、ＭＡＣアドレスフィールドで搬送され得る。ＭＡＣ／ＩＰ広告ルートは、マルチプロトコルラベルスイッチングラベル（ＭＰＬＳ  Ｌａｂｅｌ）１フィールドを含む。ＭＰＬＳラベル１フィールドは、３バイトを有し、ＭＰＬＳラベル１フィールドは、ＬＳ１上に格納された、ＶＮＩ（例えば、１００）を搬送し得る。ＭＡＣ／ＩＰ広告ルートは、ＲＤフィールドを含む。ＲＤフィールドは、８バイトを含み、ＲＤフィールドは、ＬＳ１上に格納された、ＲＤ（例えば、１：１）を搬送し得る。加えて、ＭＡＣ／ＩＰ広告ルートは、さらに、ＭＰＬＳラベル２フィールドを含み、ルーティングメッセージ１は、拡張コミュニティ属性（Ｅｘｔｅｎｄｅｄ  Ｃｏｍｍｕｎｉｔｉｅｓ  Ａｔｔｒｉｂｕｔｅ）を含み得る。拡張コミュニティ属性についての詳細については、ＲＦＣ４３６０におけるＢＧＰ拡張コミュニティ属性の説明を参照されたい。具体的には、拡張コミュニティ属性は、ＴｕｎｎｅｌＴｙｐｅフィールドと、ＲＴフィールドとを含み得る。ＴｕｎｎｅｌＴｙｐｅフィールドは、ＬＳ１上に格納された、トンネルタイプ（例えば、８）を搬送し得るし、ＲＴフィールドは、ＬＳ１上に格納された、ＲＴ（例えば、１：１）を搬送し得る。
【００５２】
ルーティングメッセージ１を生成した後、ＬＳ１は、ＶＸＬＡＮトンネルを通して、ルーティングメッセージ１をＬＳ２に送信し得る。
【００５３】
ルーティングメッセージ１を受信した後、ＬＳ２は、ルーティングメッセージ１内のネクストホップネットワークアドレスフィールドの値を獲得するために、ルーティングメッセージ１を解析する。ネクストホップネットワークアドレスフィールドの値は、ＶＴＥＰ  ＩＰアドレス１（例えば、１．１．１．９）と等しい。ＬＳ２は、ルーティングメッセージ１から獲得されたネクストホップネットワークアドレスフィールドの値と、ＬＳ２上に格納された、ＶＸＬＡＮトンネルについての情報とに基づいて、ＬＳ２が、ＶＸＬＡＮトンネルを通して、送信先アドレスがサーバ１のＭＡＣアドレスであるイーサネットフレームを、ＬＳ１に送信することができると決定する。情報は、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含む。具体的には、ＬＳ２は、ＶＸＬＡＮトンネルの送信先ＩＰアドレスと等しいネクストホップネットワークアドレスフィールドの値に基づいて、ルーティングメッセージ１は、ＶＸＬＡＮトンネルとマッチすると決定し、その後、ＬＳ２は、転送エントリを生成し得る。転送エントリは、ＭＡＣアドレス（例えば、サーバ１のＭＡＣアドレス）と、ＶＮＩ（例えば、１００）と、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）とを含む。
【００５４】
以下においては、例を使用して、ＬＳ２が、イーサネットフレームを転送するために、どのように転送エントリを使用するかを説明する。
【００５５】
送信先ＭＡＣアドレスがサーバ１のＭＡＣアドレスであるイーサネットフレーム（イーサネットフレーム２）を受信したとき、ＬＳ２は、イーサネットフレーム２内の送信先ＭＡＣアドレスが、転送エントリ内のＭＡＣアドレスと等しいことに基づいて、イーサネットフレーム２が転送エントリとマッチすると決定し得る。その後、ＬＳ２は、カプセル化されたパケットを獲得するために、イーサネットフレーム２をカプセル化し得る。具体的には、ＬＳ２は、トンネルヘッダをイーサネットフレーム２に追加し得るし、トンネルヘッダは、送信元ＩＰアドレス（例えば、２．２．２．９）と、送信先ＩＰアドレス（例えば、１．１．１．９）と、ＶＮＩ（例えば、１００）とを含み得る。ＬＳ２は、イーサネットフレーム２のカプセル化を実装するために、転送エントリから、トンネルヘッダ内のフィールドの値を獲得し得る。カプセル化されたパケットを生成した後、ＬＳ２は、ＶＸＬＡＮトンネルを通して、カプセル化されたパケットをＬＳ１に送信し得る。上述の例においては、ＬＳ１とＬＳ２との間のトンネルは、ＶＸＬＡＮトンネルであり、代替的に、ＬＳ１とＬＳ２との間のトンネルは、別のトンネルであり得る。例えば、ＬＳ１とＬＳ２の間のトンネルは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【００５６】
ＬＳ１が、サーバ１のＭＡＣアドレスを学習し、ルーティングメッセージを通して、サーバ１のＭＡＣアドレスをＬＳ２に送信することが、上述の例において説明された。図１におけるいずれのＬＳも、ＬＳによって管理されるネットワーク上のサーバのＭＡＣアドレスを同様の方式で学習し、ルーティングメッセージを通して、サーバのＭＡＣアドレスをリモートＬＳに送信し得る。例えば、ＶＸＬＡＮトンネルが、ＬＳ３とＬＳ２との間に存在し得る。ＬＳ３は、サーバ５のＭＡＣアドレスを学習し得るし、ＬＳ３は、ＬＳ３とＬＳ２との間のＶＸＬＡＮトンネルを通して、サーバ５のＭＡＣアドレスを搬送するルーティングメッセージをＬＳ２に送信し得る。
【００５７】
上述の例においては、図１におけるＬＳ及びＳＳはスイッチである。代替的に、図１におけるＬＳ及びＳＳは、他のネットワークデバイスであり得るし、例えば、図１におけるＬＳ及びＳＳは、ルータであり得る。可能な設計においては、ＬＳ及びＳＳは、プロバイダエッジ（ｐｒｏｖｉｄｅｒ  ｅｄｇｅ、ＰＥ）ルータであり得る。ＰＥルータは、コアネットワーク（ｃｏｒｅ  ｎｅｔｗｏｒｋ）のエッジに配置され、ＰＥルータは、ＣＥルータに接続するように構成され得る。別の可能な設計においては、ＬＳは、ＰＥルータであり得るし、ＳＳは、プロバイダ（ｐｒｏｖｉｄｅｒ、Ｐ）ルータであり得る。Ｐルータは、ラベルスイッチングルータ（Ｌａｂｅｌ  Ｓｗｉｔｃｈ  Ｒｏｕｔｅｒ、ＬＳＲ）であり、Ｐルータは、コアネットワーク上のトランジットルータ（ｔｒａｎｓｉｔ  ｒｏｕｔｅｒ）であり、Ｐルータは、１つ又は複数のＰＥルータに接続するように構成され得る。図１ａは、スイッチの概略構造図であり、図１ａは、別のネットワークデバイスの概略構造図でもあり得る。例えば、図１ａは、ルータの概略構造図でもあり得る。
【００５８】
上述の例においては、図１におけるＬＳ１は、サーバに接続するように構成される。可能な設計においては、ＬＳは、ケーブル又は光ケーブルを通して、サーバに直接的に接続され得る。別の可能な設計においては、ＬＳは、中間デバイスを通して、サーバに間接的に接続され得るし、中間デバイスは、ルータ、イーサネットスイッチ、又はゲートウェイであり得る。代替的に、図１におけるＬＳは、別のタイプのホストに接続され得るし、別のタイプのホストは、パーソナルコンピュータ、又は仮想マシン（ｖｉｒｔｕａｌ  ｍａｃｈｉｎｅ、ＶＭ）であり得る。仮想マシンは、物理サーバ上において動作し得る。可能な設計においては、ＬＳは、アクセスデバイスを通して、物理サーバに接続され得るし、アクセスデバイスは、ゲートウェイ、又はイーサネットスイッチであり得る。図１ｂは、サーバの概略構造図であり、図１ｂは、別のホストの概略構造図でもあり得る。例えば、図１ｂは、パーソナルコンピュータの概略構造図でもあり得る。上述の実施形態においては、図１におけるサーバ１は、権限を与えられたユーザであることが仮定される。サーバ１、即ち、権限を与えられたユーザのＭＡＣアドレスを学習した後、ＬＳ１は、サーバ１のＭＡＣアドレスを含むルーティングメッセージをＬＳ２に送信する。ＬＳ２は、ＬＳ２によって管理されるネットワーク上のサーバ（例えば、サーバ３）が、転送エントリを使用することによって、サーバ１と通信することができるように、ルーティングメッセージに基づいて、転送エントリを生成する。
【００５９】
可能なシナリオにおいては、図１におけるサーバ１は、権限を与えられていないユーザである。具体的には、サーバ１は、攻撃者であり得る。例えば、サーバ１は、サイバー攻撃（ｃｙｂｅｒａｔｔａｃｋ）を開始し得るし、サイバー攻撃は、サービス拒否（ｄｅｎｉａｌ−ｏｆ−ｓｅｒｖｉｃｅ、ＤＤｏＳ）攻撃、中間者（ｍａｎ  ｉｎ  ｔｈｅ  ｍｉｄｄｌｅ）攻撃、アドレス解決プロトコルポイズニング（ＡＲＰ  ｐｏｉｓｏｎｉｎｇ）、ｐｉｎｇフラッド（Ｐｉｎｇ  ｆｌｏｏｄ）、盗聴（ｗｉｒｅｔａｐｐｉｎｇ）、アイドルスキャン（ｉｄｌｅ  ｓｃａｎ）、又はポートスキャン（ｐｏｒｔ  ｓｃａｎ）であり得る。
【００６０】
以下においては、サイバー攻撃がＤＤｏＳ攻撃である例を使用して、サーバ１の攻撃行動と、ＬＳ１がサーバ１を攻撃者として識別する処理を説明する。
【００６１】
可能な設計においては、サーバ１のユーザは、ソフトウェアがＤＤｏＳ攻撃を開始することができることを知っているとき、サーバ１上にソフトウェアをインストールし、実行する。ソフトウェアの制御下において、サーバ１は、ＤＤｏＳ攻撃を開始するために、複数のパケットを送信する。ＬＳ１は、ＤＤｏＳ攻撃を識別することができる。例えば、ＬＳ１は、プロセッサと、メモリとを含み、メモリは、ＤＤｏＳ攻撃を識別するために使用される、コンピュータプログラムを記憶する。ＬＳ１は、複数のパケットを受信し、ＬＳ１におけるプロセッサは、コンピュータプログラムを実行することによって、複数のパケットの特徴を分析し、サーバ１が攻撃者であると決定する。さらに、ＬＳ１は、複数のパケットの送信元ＭＡＣアドレスを解析することによって、サーバ１のＭＡＣアドレス（例えば、ＭＡＣアドレス１）を獲得し、ＬＳ１は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）が攻撃者であると決定する。
【００６２】
別の可能な設計においては、サーバ１は、ユーザの誤操作のせいでコンピュータウイルスに感染しており、コンピュータウイルスは、ＤＤｏＳ攻撃を開始することができる。コンピュータウイルス監視ソフトウェアが、サーバ１上にプリインストールされ、実行される。コンピュータウイルス監視ソフトウェアは、コンピュータウイルス（サーバ１上の処理）の行動を識別し、サーバ１がコンピュータウイルスに感染していると決定する。さらに、サーバ１は、コンピュータウイルス監視ソフトウェアの制御下において、サーバ１が攻撃者であると決定する。サーバ１は、メッセージ１をネットワーク管理サーバ（図１には示されず）に送信し、メッセージ１は、サーバ１が攻撃者であることをネットワーク管理サーバに通知するために使用される。例えば、メッセージ１は、サーバ１のＭＡＣアドレス（例えば、ＭＡＣアドレス１）を搬送する。メッセージ１に基づいて、サーバ１が攻撃者であると決定した後、ネットワーク管理サーバは、メッセージ２を生成し、ネットワーク管理サーバは、メッセージ２をＬＳ１に送信する。メッセージ２は、サーバ１が攻撃者であることをＬＳ１に通知するために使用される。例えば、メッセージ２は、ＭＡＣアドレス１を搬送する。メッセージ２を受信した後、ＬＳ１は、メッセージ２で搬送されたＭＡＣアドレス１に基づいて、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定する。
【００６３】
ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定した後、ＬＳ１は、ルーティングメッセージ２を生成する。ＬＳ１におけるプロセッサ（例えば、中央処理ユニット）は、ＢＧＰ機能を実装するためのコードを実行することによって、ルーティングメッセージ２を生成し得る。ルーティングメッセージ２は、ＭＡＣアドレス１と、指示情報１とを含み、指示情報１は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示すために使用される。ＬＳ１は、ルーティングメッセージ２をＬＳ２に送信し、ＬＳ１は、ＬＳ１によって格納された構成情報と、サーバ１のＭＡＣアドレスとに基づいて、ルーティングメッセージ２を生成し得る。ＬＳ１が、サーバ１のＭＡＣアドレスに基づいて、ルーティングメッセージ２を生成する処理については、ルーティングメッセージ１の生成処理についての上述の説明を参照されたい。ＭＡＣアドレス１は、ルーティングメッセージ２内に含まれる、ＭＡＣ／ＩＰ広告ルートで搬送され得る。具体的には、ＭＡＣアドレス１は、ＭＡＣ／ＩＰ広告ルートのＭＡＣアドレスフィールドで搬送され得る。ルーティングメッセージ２のフォーマットについては、ルーティングメッセージ１のフォーマットについての上述の説明を参照されたい。
【００６４】
ルーティングメッセージ１は、ＬＳ１が、サーバ１は権限を与えられたユーザであると決定したとき、ＬＳ１によって生成されることに留意されたい。ＬＳ１は、ＬＳ２が、転送エントリを生成することを可能にするために、サーバ１のＭＡＣアドレスをＬＳ２に広告する。さらに、ＬＳ２によって管理されるサーバ（例えば、サーバ３）は、ＬＳ２を通して、サーバ１と通信し得る。ルーティングメッセージ２は、ＬＳ１が、サーバ１は攻撃者であると決定したとき、生成される。ＬＳ１は、ＬＳ２が、転送ルールを生成することを可能にするために、サーバ１のＭＡＣアドレスをＬＳ２に広告する。さらに、ＬＳ２によって管理されるサーバ（例えば、サーバ３）は、ＬＳ２を通したサーバ１との通信を回避する。
【００６５】
ルーティングメッセージ２の機能は、ルーティングメッセージ１の機能と異なり、ルーティングメッセージ２の内容は、ルーティングメッセージ１の内容と異なる。具体的には、ルーティングメッセージ２は、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示すために使用される、指示情報１を含み、ルーティングメッセージ１は、指示情報１を含まない。可能な設計においては、指示情報１は、ルーティングメッセージ２内のＭＡＣモビリティ拡張コミュニティで搬送される。ＭＡＣモビリティ拡張コミュニティは、フラグ（ｆｌａｇｓ）フィールドを含み、フラグフィールドは、８ビットを有する。指示情報１は、フラグフィールドのＭＳＢ上で搬送され得る。例えば、１に等しい場合、フラグフィールドのＭＳＢは、ルーティングメッセージ２内のＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であることを示す。
【００６６】
ＬＳ１からルーティングメッセージ２を受信した後、ＬＳ２は、ルーティングメッセージ２に基づいて、転送ルール１及び転送ルール２を生成し得る。ＬＳ２は、転送ルール１に従って、ＬＳ２によって受信された、送信先ＭＡＣアドレスがＭＡＣアドレス１であるパケットを、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）に転送することを回避する。ＬＳ２は、転送ルール２に従って、ＬＳ２によって受信された、送信元ＭＡＣアドレスがＭＡＣアドレス１であるパケットを転送することを回避する。
【００６７】
転送ルール１は、具体的には、転送エントリ１であり得るし、転送ルール２は、具体的には、転送エントリ２であり得る。ＬＳ２の転送プレーンは、転送テーブルを含み得る。転送テーブルは、転送エントリ１と、転送エントリ２とを含み得るし、転送プレーンのプロセッサ（例えば、ネットワークプロセッサ）は、転送テーブルに基づいて、受信されたパケットを処理し得る。
【００６８】
転送エントリ１は、マッチフィールドと、アクションフィールドとを含む。転送エントリ１のマッチフィールドの値は、ＭＡＣアドレス１と等しく、転送エントリ１のアクションフィールドは、破棄命令を含み得るし、転送エントリ１のマッチフィールドは、ＬＳ２によって受信されたパケット（例えば、パケット１）の送信先ＭＡＣアドレスと照合するために使用される。パケット１の送信先ＭＡＣアドレスが、転送エントリ１のマッチフィールドの値と等しいと決定したとき、ＬＳ２は、パケット１は、転送エントリ１とマッチすると決定する。さらに、ＬＳ２は、転送エントリ１のアクションフィールドの破棄命令に従って、パケット１に対して破棄処理を実行し得る。もちろん、転送エントリ１のアクションフィールドは、別の命令を含み得るし、別の命令は、パケット１をＬＳ２のコントロールプレーンに送信するように、ＬＳ１に命令し得る。コントロールプレーンのプロセッサは、ＣＰＵであり得るし、転送プレーンからパケット１を受信した後、ＣＰＵは、パケット１を分析し得る。加えて、ＣＰＵの制御下において、ＬＳ２は、ネットワーク管理サーバが、パケット１を分析するように、さらに、パケット１をネットワーク管理サーバに送信し得る。ＬＳ２が、転送ルール１に従って、パケット１を処理するとき、それは、ＬＳ２が、パケット１に対して廃棄処理しか実行することができないことを意味しない。ＬＳ２が、パケット１を、ＭＡＣアドレス１によって識別されるホスト、例えば、サーバ１に転送しない限り、ＬＳ２は、パケット１に対して他の処理を実行してもまたよい。
【００６９】
転送エントリ２は、マッチフィールドと、アクションフィールドとを含む。転送エントリ２のマッチフィールドの値は、ＭＡＣアドレス１と等しく、転送エントリ２のアクションフィールドは、破棄命令を含み得るし、転送エントリ２のマッチフィールドは、ＬＳ２によって受信されたパケット（例えば、パケット２）の送信元ＭＡＣアドレスと照合するために使用される。パケット２の送信元ＭＡＣアドレスが、転送エントリ２のマッチフィールドの値と等しいと決定したとき、ＬＳ２は、パケット２は、転送エントリ２とマッチすると決定する。さらに、ＬＳ２は、転送エントリ２のアクションフィールドの破棄命令に従って、パケット２に対して破棄処理を実行し得る。ＬＳ２によって受信されたパケット２の送信元ＭＡＣアドレスが、ＭＡＣアドレス１と等しいのは、サーバ１が、ＬＳ１によって管理されるネットワークから、ＬＳ２によって管理されるネットワークにローミングしたためであり得ることが理解され得る。別の可能性は、ＬＳ２によって管理されるネットワーク上のホストが、サーバ１のＭＡＣアドレスを盗用したことである。例えば、イーサネットフレームを構築するとき、サーバ４が、サーバ１のＭＡＣアドレスを盗用し、サーバ１のＭＡＣアドレスを、構築されたイーサネットフレームの送信元ＭＡＣアドレスとして使用する。
【００７０】
図２は、本出願に従った、ＢＧＰメッセージ送信方式の概略フローチャートである。図２に示される方法は、第１のネットワークデバイスによって実行される。例えば、第１のネットワークデバイスは、図１におけるＬＳ１であり得る。第１のネットワークデバイスの構造及び機能については、上述の実施形態におけるＬＳ１の構造及び機能についての説明を参照されたい。第１のネットワークデバイスは、上述の実施形態において説明された、ＬＳ１によって実行されるアクションを実行し得る。図２に示される方法の具体的な実装については、上述の実施形態における関連する説明を参照されたい。図２を参照すると、方法は、Ｓ２０１と、Ｓ２０２と、Ｓ２０３とを含む。
【００７１】
Ｓ２０１：第１のネットワークデバイスは、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定する。
【００７２】
例えば、第１のＭＡＣアドレスは、ＭＡＣアドレス１であり得るし、第１のＭＡＣアドレスによって識別されるホストは、サーバ１であり得る。
【００７３】
Ｓ２０２：第１のネットワークデバイスは、ＢＧＰメッセージを生成する。
【００７４】
ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【００７５】
例えば、ＢＧＰメッセージは、ルーティングメッセージ２であり得るし、指示情報は、指示情報１であり得る。
【００７６】
Ｓ２０３：第１のネットワークデバイスは、ＢＧＰメッセージを第２のネットワークデバイスに送信する。
【００７７】
例えば、第２のネットワークデバイスは、ＬＳ２であり得るし、ＬＳ１は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ＢＧＰメッセージをＬＳ２に送信し得る。
【００７８】
上述の技術的ソリューションにおいては、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定した後、第１のネットワークデバイスは、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを生成し、ＢＧＰメッセージを第２のネットワークデバイスに送信し得る。さらに、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、指示情報とに基づいて、第２のネットワークデバイスが、第２のネットワークデバイスによって受信されたパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを防ぐために使用される、転送ルールを生成し得る。言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージに基づいて、転送ルールを生成し得るし、技術者は、第２のネットワークデバイス上において、転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【００７９】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【００８０】
第１のネットワークデバイスが、ＢＧＰメッセージを第２のネットワークデバイスに送信するステップは、第１のＶＴＥＰが、ＢＧＰメッセージを第２のＶＴＥＰに送信するステップを含む。
【００８１】
例えば、第１のＶＴＥＰは、ＶＴＥＰ１であり得るし、第２のＶＴＥＰは、ＶＴＥＰ２であり得る。ＶＴＥＰ１は、ＬＳ１の送信インターフェースを含み得るし、送信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ２の受信インターフェースを含み得るし、受信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ１は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ルーティングメッセージ２をＶＴＥＰ２に送信し得る。
【００８２】
可能な設計においては、第１のＶＴＥＰアドレスは、第１のＶＴＥＰを識別し、第２のＶＴＥＰアドレスは、第２のＶＴＥＰを識別する。ＢＧＰメッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【００８３】
例えば、第１のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス１であり得るし、第２のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス２であり得る。
【００８４】
可能な設計においては、第１のＶＴＥＰは、トンネルを通して、ＢＧＰ更新メッセージを第２のＶＴＥＰに送信する。トンネルは、ＶＸＬＡＮトンネル、又はラベルスイッチドパス（ｌａｂｅｌ  ｓｗｉｔｃｈｅｄ  ｐａｔｈ、ＬＳＰ）である。ＬＳＰは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【００８５】
任意選択で、図２に示される方法においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【００８６】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【００８７】
さらに、図２に示される方法においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【００８８】
可能な設計においては、Ｓ２０２は、第１のネットワークデバイスが、データパケットを受信することであって、データパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスである、受信することと、第１のネットワークデバイスが、データパケットの送信元ＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成することとを含む。
【００８９】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、データパケットのトリガリングに基づいて、ＢＧＰメッセージを生成する。言い換えると、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイスは、ＢＧＰメッセージを直ちに生成し、第２のネットワークデバイスに通知する必要がない。第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のＭＡＣアドレスによって識別されるホストが、第１のネットワークデバイスによって管理されるネットワークにアクセスしないことが可能である。例えば、第１のＭＡＣアドレスによって識別されるホストは、オフラインになっていることがあり得るし、又は第１のＭＡＣアドレスによって識別されるホストは、別のネットワークにローミングしていることがあり得る。従って、第１のネットワークデバイスが、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定したとき、第１のネットワークデバイス及び第２のネットワークデバイスは、攻撃者によって攻撃され得ない。第１のネットワークデバイスが、攻撃者によって攻撃されないとき、第１のネットワークデバイスは、一時的に、ＢＧＰメッセージを生成又は送信しない。これは、第１のネットワークデバイス及び第２のネットワークデバイスのオーバヘッドを低減させる助けとなる。第１のネットワークデバイスが、送信元ＭＡＣアドレスが第１のＭＡＣアドレスであるデータパケットを受信したとき、それは、第１のネットワークデバイスが、攻撃者によって攻撃され始めたことを示す。第１のネットワークデバイスが、攻撃者によって攻撃され始めたとき、第１のネットワークデバイスは、攻撃者のＭＡＣアドレスを第２のネットワークデバイスに通知する。これは、オーバヘッドの低減と攻撃者からの攻撃の防止との間の妥協点を獲得する助けとなる。
【００９０】
可能な設計においては、Ｓ２０２は、以下を含む。第１のネットワークデバイスは、データパケットが第１のＶＸＬＡＮからのものであると決定し、第１のＶＮＩは、第１のＶＸＬＡＮを識別する。第１のネットワークデバイスは、データパケットで搬送される送信元ＭＡＣアドレスと、データパケットが第１のＶＸＬＡＮからのものであることとに基づいて、第１のＭＡＣアドレスによって識別されるホストが第１のＶＸＬＡＮ上に置かれていると決定する。第１のネットワークデバイスは、データパケットが第１のＶＸＬＡＮからのものであることに基づいて、ＢＧＰメッセージを生成する。ＢＧＰメッセージは、第１のＶＮＩを含む。
【００９１】
可能な実装においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定することは、以下を含む。第１のネットワークデバイスは、第１のポートを通して、データパケットを受信し、第１のポートは、第１のＶＮＩを用いて構成される。第１のネットワークデバイスは、データパケットを受信するように構成された第１のポートは、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。
【００９２】
別の可能な実装においては、第１のネットワークデバイスが、データパケットが第１のＶＸＬＡＮからのものであると決定することは、以下を含む。第１のネットワークデバイスは、データパケット内に含まれる第１の仮想ローカルエリアネットワーク識別子（ＶＬＡＮ  ＩＤ）は、第１のＶＮＩを用いて構成されると決定する。第１のネットワークデバイスは、データパケット内に含まれる第１のＶＬＡＮ  ＩＤが、第１のＶＮＩを用いて構成されることに基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。
【００９３】
上述の技術的ソリューションにおいては、第１のネットワークデバイスは、構成情報に基づいて、データパケットが第１のＶＸＬＡＮからのものであると決定する。さらに、第１のネットワークデバイスは、ＢＧＰメッセージで、第１のＶＸＬＡＮを識別するために使用される第１のＶＮＩを搬送する。第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＶＮＩに基づいて、対応するＥＶＰＮルートを学習する。
【００９４】
図３は、本出願に従った、ＢＧＰメッセージ受信方法の概略フローチャートである。図３に示される方法は、第２のネットワークデバイスによって実行される。例えば、第２のネットワークデバイスは、図１におけるＬＳ２であり得る。第２のネットワークデバイスの構造及び機能については、上述の実施形態におけるＬＳ２の構造及び機能についての説明を参照されたい。第２のネットワークデバイスは、上述の実施形態において説明された、ＬＳ２によって実行されるアクションを実行し得る。図３に示される方法の具体的な実装については、上述の実施形態における関連する説明を参照されたい。図３を参照すると、方法は、Ｓ３０１と、Ｓ３０２と、Ｓ３０３とを含む。
【００９５】
Ｓ３０１：第２のネットワークデバイスは、第１のネットワークデバイスからＢＧＰメッセージを受信する。
【００９６】
ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【００９７】
例えば、第１のネットワークデバイスは、ＬＳ１であり得るし、第１のＭＡＣアドレスは、ＭＡＣアドレス１であり得るし、第１のＭＡＣアドレスによって識別されるホストは、サーバ１であり得る。ＢＧＰメッセージは、ルーティングメッセージ２であり得るし、指示情報は、指示情報１であり得る。
【００９８】
Ｓ３０２：第２のネットワークデバイスは、第１のパケットを受信する。
【００９９】
第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１００】
例えば、第１のパケットは、ＬＳ２によって管理されるネットワーク上のホストによって生成された、イーサネットフレームであり得る。例えば、第１のパケットは、サーバ３によって生成されたイーサネットフレーム、又はサーバ４によって生成されたイーサネットフレームであり得る。ＬＳ２は、ＬＳ２のイーサネットインターフェースを通して、第１のパケットを受信し得る。第１のパケットの送信先ＭＡＣアドレスが、第１のＭＡＣアドレスと等しいことは、第１のパケットのジェネレータ（例えば、サーバ３）が、第１のＭＡＣアドレスによって識別されるホスト（例えば、サーバ１）と通信することを望んでいることを示す。
【０１０１】
Ｓ３０３：第２のネットワークデバイスは、第１のパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０２】
具体的には、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０３】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ１を生成し得るし、第１のパケットは、パケット１であり得る。ＬＳ２は、転送エントリ１に基づいて、パケット１に対して破棄処理又は他の処理を実行し得る。転送エントリ１の生成処理、転送エントリ１の構造、及びパケット１が、転送エントリ１に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１０４】
上述の技術的ソリューションにおいては、第１のＭＡＣアドレスと、指示情報とを搬送するＢＧＰメッセージを受信した後、第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する。
【０１０５】
言い換えると、第２のネットワークデバイスは、第１のネットワークデバイスによって送信されたＢＧＰメッセージを使用することによって、第１のパケットを第１のＭＡＣアドレスによって識別されるホストに転送することを回避する、転送メカニズムを形成し得る。従って、技術者は、第２のネットワークデバイス上において、送信先ＭＡＣアドレスが第１のＭＡＣアドレスである場合の転送ルールを手動で構成する必要がない。従って、上述の技術的ソリューションは、ネットワークデバイス上において手動構成を実行する際の、技術者の作業負荷を低減させる助けとなる。
【０１０６】
可能な設計においては、図３に示される技術的ソリューションは、さらに以下を含み得る。
【０１０７】
第２のネットワークデバイスは、第２のパケットを受信し、第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１０８】
第２のネットワークデバイスは、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避する。
【０１０９】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ２を生成し得るし、第２のパケットは、パケット２であり得る。ＬＳ２は、転送エントリ２に基づいて、パケット２に対して廃棄処理を実行し得る。転送エントリ２の生成処理、転送エントリ２の構造、及びパケット２が、転送エントリ２に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１１０】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。Ｓ３０１は：第２のＶＴＥＰが、第２のＶＴＥＰから、ボーダーゲートウェイプロトコルＢＧＰ更新メッセージを受信することを含む。
【０１１１】
ＢＧＰメッセージは、ＢＧＰ更新メッセージで搬送され、ＢＧＰ更新メッセージは、ＩＰヘッダと、ペイロードとを含む。ＩＰヘッダは、送信先ＩＰアドレスを含み、ペイロードは、ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩを含む。ＭＰ＿ＲＥＡＣＨ＿ＮＬＲＩは、ネクストホップネットワークアドレスを含む。送信先ＩＰアドレスは、第２のＶＴＥＰアドレスと等しく、ネクストホップネットワークアドレスは、第１のＶＴＥＰアドレスと等しい。
【０１１２】
例えば、第１のＶＴＥＰは、ＶＴＥＰ１であり得るし、第２のＶＴＥＰは、ＶＴＥＰ２であり得る。ＶＴＥＰ１は、ＬＳ１の送信インターフェースを含み得るし、送信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ２の受信インターフェースを含み得るし、受信インターフェースは、イーサネットインターフェースであり得る。ＶＴＥＰ２は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネルを通して、ＶＴＥＰ１によって送信されたルーティングメッセージ２を受信し得る。
【０１１３】
例えば、第１のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス１であり得るし、第２のＶＴＥＰアドレスは、ＶＴＥＰ  ＩＰアドレス２であり得る。
【０１１４】
可能な設計においては、第２のＶＴＥＰは、トンネルを通して、第１のＶＴＥＰによって送信されたＢＧＰ更新メッセージを受信する。トンネルは、ＶＸＬＡＮトンネル、又はラベルスイッチドパス（ｌａｂｅｌ  ｓｗｉｔｃｈｅｄ  ｐａｔｈ、ＬＳＰ）である。ＬＳＰは、セグメントルーティングトラフィックエンジニアリング（Ｓｅｇｍｅｎｔ  Ｒｏｕｔｉｎｇ  Ｔｒａｆｆｉｃ  Ｅｎｇｉｎｅｅｒｉｎｇ、ＳＲ−ＴＥ）パスであり得る。
【０１１５】
任意選択で、図３に示される方法においては、ＢＧＰメッセージは、ＭＡＣ／ＩＰ広告ルートと、ＭＡＣモビリティ拡張コミュニティとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１１６】
さらに、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１１７】
さらに、図３に示される方法においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【０１１８】
図４は、本出願に従った、第１のネットワークデバイス４００の概略構造図である。第１のネットワークデバイス４００は、プロセッサ４１０と、トランシーバ４２０とを含み、プロセッサ４１０は、トランシーバ４２０に結合される。図４に示される第１のネットワークデバイス４００は、図２に示される方法を実行し得る。例えば、第１のネットワークデバイス４００は、図１におけるＬＳ１であり得る。第１のネットワークデバイス４００の具体的な実装については、図２に示される実施形態を参照するか、又は本出願におけるＬＳ１の説明を参照されたい。
【０１１９】
プロセッサ４１０は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であると決定するように構成される。
【０１２０】
例えば、プロセッサ４１０は、プロセッサ、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ、ＡＳＩＣ）、又はフィールドプログラマブルゲートアレイ（ｆｉｅｌｄ  ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ、ＦＰＧＡ）であり得る。
【０１２１】
プロセッサ４１０は、さらに、ＢＧＰメッセージを生成するように構成される。ＢＧＰメッセージは、第１のＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【０１２２】
例えば、プロセッサ４１０は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることに基づいて、ＢＧＰメッセージを生成する。
【０１２３】
トランシーバ４２０は、プロセッサ４１０によって生成されたＢＧＰメッセージを、第２のネットワークデバイスに送信するように構成される。
【０１２４】
例えば、第２のネットワークデバイスは、図１におけるＬＳ２であり得る。
【０１２５】
可能な設計においては、第１のネットワークデバイス４００は、メモリ４３０を含み得る。メモリ４３０は、プロセッサ４１０に結合され、メモリ４３０は、コンピュータプログラムを記憶し得る。例えば、メモリ４３０は、ＤＤｏＳ攻撃を識別するために使用される、コンピュータプログラムを記憶する。プロセッサ４１０は、複数のパケットがＤＤｏＳ攻撃に属することを決定するために、コンピュータプログラムを実行することによって、攻撃者からの複数のパケットの特徴を分析する。複数のパケットの送信元ＭＡＣアドレスは、ＭＡＣアドレス１である。プロセッサ４１０は、複数のパケットの送信元ＭＡＣアドレスに基づいて、ＭＡＣアドレス１によって識別されるホスト（例えば、サーバ１）は、攻撃者であると決定する。
【０１２６】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【０１２７】
トランシーバ４２０は、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【０１２８】
例えば、ＶＸＬＡＮトンネルが、第１のＶＴＥＰと第２のＶＴＥＰとの間に存在し、トランシーバ４２０は、ＶＸＬＡＮトンネル上に配置される。例えば、トランシーバ４２０は、イーサネットインターフェースを含み、トランシーバ４２０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。
【０１２９】
可能な設計においては、ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルート（ＭＡＣ／ＩＰ  ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅ）と、メディアアクセス制御モビリティ拡張コミュニティ（ＭＡＣ  ｍｏｂｉｌｉｔｙ  ｅｘｔｅｎｄｅｄ  ｃｏｍｍｕｎｉｔｙ）とを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１３０】
可能な設計においては、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１３１】
可能な設計においては、ＢＧＰメッセージは、ＢＧＰ更新メッセージである。
【０１３２】
図５は、本出願に従った、第２のネットワークデバイス５００の概略構造図である。第２のネットワークデバイス５００は、第１のトランシーバ５１０と、第２のトランシーバ５２０と、プロセッサ５３０とを含む。第１のトランシーバ５１０は、プロセッサ５３０に結合され、第２のトランシーバ５２０は、プロセッサ５３０に結合される。図５に示される第２のネットワークデバイス５００は、図３に示される方法を実行し得る。例えば、第２のネットワークデバイス５００は、図１におけるＬＳ２であり得る。第２のネットワークデバイス５００の具体的な実装については、図３に示される実施形態を参照するか、又は本出願におけるＬＳ２の説明を参照されたい。
【０１３３】
第１のトランシーバ５１０は、第１のネットワークデバイスからＢＧＰメッセージを受信するように構成される。ＢＧＰメッセージは、第１のメディアアクセス制御ＭＡＣアドレスと、指示情報とを含み、指示情報は、第１のＭＡＣアドレスによって識別されるホストが攻撃者であることを示すために使用される。
【０１３４】
第２のトランシーバ５２０は、第１のパケットを受信するように構成される。第１のパケットの送信先ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１３５】
例えば、第１のトランシーバ５１０は、イーサネットインターフェースを含み得るし、第１のトランシーバ５１０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。第２のトランシーバ５２０は、イーサネットインターフェースを含み得るし、第２のトランシーバ５２０は、イーサネットプロトコルに準拠するパケット（例えば、イーサネットフレーム）を受信及び送信し得る。
【０１３６】
例えば、第１のトランシーバ５１０は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネル上に配置され得る。第２のトランシーバ５２０は、ＬＳ２によって管理されるネットワークに接続するように構成され得るし、第２のトランシーバ５２０は、サーバ３及びサーバ４に接続するように構成され得る。
【０１３７】
プロセッサ５３０は、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第１のパケットの送信先ＭＡＣアドレスとに基づいて、第１のパケットを、第１のＭＡＣアドレスによって識別されるホストに転送することを回避するように構成される。
【０１３８】
例えば、プロセッサ５３０は、中央処理ユニット、ＡＳＩＣ、又はＦＰＧＡであり得る。
【０１３９】
可能な設計においては、第２のネットワークデバイス５００は、メモリ５４０を含み得る。メモリ５４０は、プロセッサ５３０に結合され、メモリ５４０は、コンピュータプログラムを記憶し得る。例えば、メモリ５４０は、ＢＧＰ機能を実装するために使用される、コンピュータプログラムを記憶する。プロセッサ５３０は、コンピュータプログラムを実行することによって、ＢＧＰメッセージと、第２のネットワークデバイス５００の構成情報とに基づいて、転送エントリ１を生成する。第１のパケットは、パケット１であり得る。ＬＳ２は、転送エントリ１に基づいて、パケット１に対して破棄処理又は他の処理を実行し得る。転送エントリ１の生成処理、転送エントリ１の構造、及びパケット１が、転送エントリ１に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１４０】
可能な設計においては、第２のトランシーバ５２０は、さらに、第２のパケットを受信するように構成される。第２のパケットの送信元ＭＡＣアドレスは、第１のＭＡＣアドレスと等しい。
【０１４１】
プロセッサ５３０は、さらに、ＢＧＰメッセージ内の第１のＭＡＣアドレスと、ＢＧＰメッセージ内の指示情報と、第２のパケットの送信元ＭＡＣアドレスとに基づいて、第２のパケットを転送することを回避するように構成される。
【０１４２】
例えば、ＬＳ２は、ルーティングメッセージ２に基づいて、転送エントリ２を生成し得るし、第２のパケットは、パケット２であり得る。ＬＳ２は、転送エントリ２に基づいて、パケット２に対して廃棄処理を実行し得る。転送エントリ２の生成処理、転送エントリ２の構造、及びパケット２が、転送エントリ２に基づいて、どのように処理されるかについては、上述の関連する説明を参照されたい。詳細が、ここで再び説明されることはない。
【０１４３】
可能な設計においては、第１のネットワークデバイスは、第１のＶＴＥＰを含み、第２のネットワークデバイスは、第２のＶＴＥＰを含む。
【０１４４】
第１のトランシーバ５１０は、ＢＧＰメッセージを第１のＶＴＥＰから第２のＶＴＥＰに送信するように構成される。
【０１４５】
第１のトランシーバ５１０は、ＬＳ１とＬＳ２との間のＶＸＬＡＮトンネル上に配置され得る。ＶＸＬＡＮトンネルを通して、（第１のネットワークデバイス内に含まれる）第１のＶＴＥＰからＢＧＰメッセージを受信した後、第１のトランシーバ５１０は、ＢＧＰメッセージを第２のネットワークデバイス内の第２のＶＴＥＰに送信し得る。
【０１４６】
可能な設計においては、ＢＧＰメッセージは、メディアアクセス制御／インターネットプロトコル広告ルートＭＡＣ／ＩＰ  ａｄｖｅｒｔｉｓｅｍｅｎｔ  ｒｏｕｔｅと、メディアアクセス制御モビリティ拡張コミュニティＭＡＣ  ｍｏｂｉｌｉｔｙ  ｅｘｔｅｎｄｅｄ  ｃｏｍｍｕｎｉｔｙとを含む。第１のＭＡＣアドレスは、ＭＡＣ／ＩＰ広告ルートで搬送され、指示情報は、ＭＡＣモビリティ拡張コミュニティで搬送される。
【０１４７】
可能な設計においては、ＭＡＣモビリティ拡張コミュニティは、８ビットを有するフラグを含み、指示情報は、フラグのＭＳＢ上で搬送される。
【０１４８】
図６は、本出願に従った、システムを示している。図６を参照すると、システム６００は、第１のネットワークデバイス６０１と、第２のネットワークデバイス６０２とを含む。第１のネットワークデバイス６０１は、図４に示される第１のネットワークデバイス４００であり得るし、第２のネットワークデバイス６０２は、図５に示される第２のネットワークデバイス５００であり得る。例えば、第１のネットワークデバイス６０１は、図２に示される方法を実行し得るし、第２のネットワークデバイス６０２は、図３に示される方法を実行し得る。具体的には、第１のネットワークデバイス６０１は、図１におけるＬＳ１であり得るし、第２のネットワークデバイス６０２は、図１におけるＬＳ２であり得る。第１のネットワークデバイス６０１の具体的な実装については、図２に示される実施形態、又は本出願におけるＬＳ１の説明を参照されたい。第２のネットワークデバイス６０２の具体的な実装については、図３に示される実施形態、又は本出願におけるＬＳ２の説明を参照されたい。
【０１４９】
本出願は、さらに、コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、図２に示される方法、又は図３に示される方法を実行することを可能にされる。例えば、ネットワークデバイスは、図２に示される方法における第１のネットワークデバイス、又は図３に示される方法における第２のネットワークデバイスであり得る。
【０１５０】
本出願はさらに、コンピュータプログラム製品を提供する。コンピュータプログラム製品は、コンピュータプログラムを含む。コンピュータプログラムは、コンピュータ可読記憶媒体内に格納され得る。コンピュータプログラムが、ネットワークデバイスによって実行されるとき、ネットワークデバイスは、図２に示される方法、又は図３に示される方法を実行することを可能にされる。例えば、ネットワークデバイスは、図２に示される方法における第１のネットワークデバイス、又は図３に示される方法における第２のネットワークデバイスであり得る。
【０１５１】
本出願で説明される方法又は方法におけるステップは、ハードウェアによって実装され得るし、又はソフトウェア命令を実行することによって、プロセッサによって実装され得る。ソフトウェア命令は、対応するソフトウェアモジュールを含み得る。ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、リムーバブルハードディスク、ＣＤ−ＲＯＭ、又は当技術分野において知られた他の任意の形態の記憶媒体内に格納され得る。例えば、記憶媒体は、プロセッサが、記憶媒体から情報を読み取ること、又は記憶媒体に情報を書き込むことができるように、プロセッサに結合される。もちろん、記憶媒体は、プロセッサの構成要素であり得る。プロセッサ及び記憶媒体は、ＡＳＩＣ内に配置され得る。加えて、ＡＳＩＣは、ユーザ機器内に配置され得る。もちろん、プロセッサと記憶媒体は、個別の構成要素として、ユーザ機器内に存在し得る。
【０１５２】
本出願において説明される機能は、ハードウェア、ソフトウェア、ファームウェア、又はそれらの任意の組み合わせによって実装され得ることを当業者は認識されたい。本出願において説明される機能は、ソフトウェアとハードウェアの組み合わせによって実装されてもまたよい。ソフトウェアは、コンピュータ可読媒体内に格納され得る。コンピュータ可読媒体は、コンピュータ記憶媒体と、通信媒体とを含む。通信媒体は、コンピュータプログラムが、１つの場所から別の場所に送信されることを可能にする媒体を含む。記憶媒体は、汎用又は専用コンピュータがアクセス可能な媒体であり得る。
【０１５３】
本出願の目的、技術的ソリューション、及び有益な効果が、さらに、上述の具体的な実装において詳細に説明された。上述の説明は、本出願の具体的な実装にすぎないことを理解されたい。
【国際調査報告】
2021530158.tif 000011
2021530158.tif 000012
2021530158.tif 000013
2021530158.tif 000014