(57)【要約】【課題】  ネットワーク内でパケット経路制御を行う際、ＶＬＡＮ等の特殊な手段を使わずにポートのグループ化を可能にする技術を提供することを目的とする。【解決手段】  受信ポート番号を論理グループポート番号に変換する変換テーブル１５０と、論理グループ番号をキーとして適用ポリシーを検索する検索テーブル２５０とよりなる構成を有する。【選択図】      図４
2005072783.tif 000002
【特許請求の範囲】
【請求項１】
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定するための情報処理内容決定方法であって、
上記複数のポートを所定のグループにグループ化するグループ化段階と、
前記グループ化段階でグループ化されたグループ毎に前記処理内容を決定する処理内容決定段階とよりなる方法。
【請求項２】
前記グループ化段階では、前記複数のポートの夫々を示すポート識別情報を、前記グループ化された各グループを示す新たな識別情報に変換する識別情報変換段階よりなる請求項１に記載の方法。
【請求項３】
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定する機能を有する情報処理装置であって、
上記複数の入力ポートを所定のグループにグループ化するグループ化手段と、
前記グループ化手段によってグループ化されたグループ毎に前記処理内容を決定する処理内容決定手段とよりなる情報処理装置。
【請求項４】
前記グループ化手段は、前記複数の入力ポートの夫々を示すポート識別情報を、前記グループ化された各グループを示す新たな識別情報に変換する識別情報変換手段よりなる請求項３に記載の情報処理装置。
【請求項５】
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定する情報処理装置であって、
上記複数のポートが所定のグループにグループ化された、そのグループ毎に前記処理内容を決定する処理内容決定手段よりなる情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理内容決定方法及び同方法を適用した情報処理装置に係り、特に受信情報パケットに対して適用する処理の内容を決定する情報処理内容決定方法及び同方法を適用した情報処理装置に関する。
【背景技術】
【０００２】
複数の端末間で情報パケットの転送を行なう情報通信網において、取り扱う情報パケットに対して一律に取り扱うのではなく、個々の情報パケット毎に、その重要度、緊急度等、その属性に応じて異なるポリシーを適用することが行なわれている。このように個々のパケット毎に区別して異なるポリシーを適用するために、たとえば所謂フィルタ機能を用いる。
【０００３】
従来のルータ、スイッチ等におけるフィルタ機能として、ポート単位に「アクセス制限定義とポリシー定義の組み合わせ」を割り付けていく方法がある。図１、図２と共にこの方法について説明する。ここで「アクセス制限定義」とは、所定の条件、例えば所定の宛先アドレスを有するパケット以外の受信パケットを破棄するような制御の定義を指し、「ポリシー定義」とは、所定の条件によって適用するポリシーを選択するような制御の定義を指すものとする。
【０００４】
図１に示す如く、図示の例では例えばネットワークＡ１乃至Ａ７から、夫々ポートＰ−Ａ１乃至Ｐ−Ａ７で情報パケットを受信し、これに対して、各受信ポート毎に所定のポリシーを適用する。このように所定のポリシーの適用による処理を経た情報パケットはポートＰ−Ａ８を介してネットワークＡ８に対して発信され、当該ネットワークを経てホスト装置Ａに転送される。
【０００５】
ここでは図中、実線で示す経路、即ちポートＰ−Ａ１乃至Ｐ−Ａ４で受信された情報パケットに対しては周知のＩＰｓｅｃプロトコル（ＩＰセキュリティプロトコル）中のＥＳＰ（暗号プロトコル）を適用し（ポリシーＡ１）、他方破線で示すポートＰ−Ａ６，Ｐ−Ａ７で受信された情報パケット（以下、「情報パケット」を単に「パケット」と称する）に対してはＩＰｓｅｃプロトコル中のＡＨ（認証要ヘッダ）を適用する（ポリシーＡ２）。
【０００６】
図２と共に、このようなフィルタ機能を実行するためのフィルタリング検索テーブルについて説明する。即ちルータ、スイッチ等のポートＰ−Ａｘで受信されたパケットは制御部１００に入力される。尚、その前にパケットはポートＰ−Ａｘで受信された際、そのことを示す情報が付与される。そして制御部１００において、このパケットはフィルタリング検索テーブル２００により、どのポリシーを適用するかについて判定を受ける。このフィルタリング検索テーブル２００は、図示の如く、検索キーとして、受信ポート番号２００ａと宛先アドレス２００ｂとを使用する。
【０００７】
即ち、パケットにつき、その受信ポートと宛先アドレスとをキーとしてフィルタリング検索テーブル２００で検索を行い、その結果ヒットしたエントリが有する検索結果２００ｃとしてのポリシーが適用される。即ち、パケットの受信ポートが例えばＰ−Ａ１で且つ宛先アドレスが上記ホスト装置Ａを示す所定のアドレス（１９２．１６８．１．１）あれば上記検索テーブル２００の最上段のエントリがヒットする。その結果、そのエントリの検索結果であるポリシー、即ちＩＰｓｅｃ（ＥＳＰ）が適用されることとなる。同様にパケットの受信ポートがＰ−Ａ７で且つ宛先アドレスが上記ホスト装置Ａを示す所定のアドレス（１９２．１６８．１．１）あれば上記検索テーブル２００の７段目のエントリがヒットする。その結果、そのエントリの検索結果であるポリシー、即ちＩＰｓｅｃ（ＡＨ）が適用されることとなる。
【特許文献１】特開平１１−１９１７８７号公報
【特許文献２】特開平１０−３２６２５６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
図１、図２に示す例では、図示の如く、実際に適用されるポリシーの種類は２種類（ＩＰｓｅｃ（ＥＳＰ）とＩＰｓｅｃ（ＡＨ））であるにもかかわらず、使用するフィルリング検索テーブル２００は、受信ポートの数分（Ｐ−Ａ１乃至Ｐ−Ａ７、．．．）のエントリが設けられている。このようにエントリ数が多いと当該テーブル情報を格納するのに要する記憶容量が大きくなり、更に、当該テーブルを使用した検索にもその分時間を要することとなる。
【０００９】
複数のポートに同一の「アクセス制限定義とポリシー定義の組み合わせ」を一括で割り付ける方法として、例えばシステムにＶＬＡＮ（仮想ＬＡＮ）機能が導入されている場合（例えば上記特許文献１参照）には、各ポートをＶＬＡＮグループ化する方法が考えられる。しかしながらＶＬＡＮ技術を利用する場合事実上ＬＡＮを分割するため、どのように分割するかは、当該ネットワークを適用する組織、団体の構成等によって一義的、固定的に決定される場合が多いと考えられる。したがって、既存の組織条件以外の条件によるポートの区分の困難性、或いは区分の変更等が生じた場合の対応等を考えると、必ずしも利便性が良いとはいえない。
【００１０】
又、他の方法として、例えば本来負荷分散を目的としたリンクアグリゲーション技術の適用が考えられる。しかしながらこの技術も、上記の如く本来の目的が負荷分散であることから、当該目的に応じて一義的、固定的にグループ分けがなされると考えられ、上記ＶＬＡＮ技術の適用時と同様、利便性に関する問題点が考えられる。
【００１１】
本発明は上記問題点に鑑み、ＶＬＡＮ，リンクアグリゲーション等の特殊な手段を用いず、比較的簡易な構成でポートをグループ化し、当該グループ単位でのフィルタリング検索エントリの生成・検索を可能とするルータ／スイッチシステムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明によれば、受信パケットを、受信ポート毎にグループ化し、当該グループ化の結果をフィルタ条件としてフィルタリング処理して適用ポリシーを決定する。
【発明の効果】
【００１３】
この構成によれば、フィルタリングの前にパケットを、その受信ポートによってグループ化し、このようにグループ化された結果をフィルタ条件とするため、フィルタリングを行なうために用いられるフィルタリング検索テーブルのエントリ数を、上記グループ化されたグループ数迄減らすことが可能である。その結果、フィルタリング検索テーブルのデータ量を効果的に削減可能であると共に、フィルタリング検索に要する時間もその分削減可能である。
【００１４】
又、受信パケットを受信ポートによってグループ化するため、ＶＬＡＮ等の特殊な手段を適用することなく、簡易な構成で通信相手のグループ化が可能となり、又、当該グループ化に用いる識別情報変換テーブルの書き換えにより容易に適用するグループ化のパターンを変更可能であり、システムの利便性向上が図れる。
【発明を実施するための最良の形態】
【００１５】
本発明はＶＬＡＮ機能等の特殊な機能を適用することなくポートをグループ化し、そのようにして生成されたポートグループ単位でフィルタ条件を適用するものであり、又、そのため、ポートグループ単位でフィルタリング検索テーブルのエントリを生成して管理するものである。
【００１６】
図３は本発明の実施の形態を説明するための概念図である。図示の如く、本発明の実施の形態では、受信ポートＰ−Ｂ１乃至Ｐ−Ｂ８が予め二つのグループ、即ち、ポートＰ−Ｂ１乃至Ｐ−Ｂ４のグループ１とポートＰ−Ｂ５乃至Ｐ−Ｂ７のグループ２にグループ分けされ、このグループ１に属するポートから受信されたパケットに対しては、ポリシー１、即ちＩＰｓｅｃプロトコルＥＳＰが適用され、グループ２に属するポートから受信されたパケットに対してはポリシー２、即ちＩＰｓｅｃプロトコルＡＨが適用される。但し、この場合全てのポートから受信されたパケットに対し、同時にアクセス制限が適用される。即ち、宛先ＩＰアドレスが“１９２．１６９．１．１”以外の受信パケットは破棄される。
【００１７】
図４は、このような動作を実現するための、ルータ、スイッチ、ファイアウォール等の情報処理装置の構成例を示す。図示の如く、同装置は、制御部１１０と、受信ポートを識別するポート番号毎に、グループ化されたポートグループ番号を管理するポート番号変換テーブル１５０と、同ポート番号変換テーブル１５０で管理されるポートグループ番号をフィルタリング検索の１要素とするフィルタリング検索テーブル２５０とを含む。
【００１８】
このフィルタリング検索テーブル２５０におけるエントリ内の「ポートグループ番号」フィールド２５０ｂは、図２に示すフィルタリング検索テーブル２００には含まれないものである。他方、その他のフィールド「受信ポート番号」２５０ａ、「パケット条件」２５０ｃ、「フィルタリング検索結果」２５０ｄについては、図２に示すフィルタリング検索テーブル２００における各フィールド２００ａ、２００ｂ、２００ｃと同様の機能を有するものである。又、当該フィルタリング検索テーブル２５０のエントリとして、上記以外のフィールドを検索条件として含めることも可能である。
【００１９】
制御部１１０はＩＰｓｅｃ処理部１１０ａを含む。当該処理部１１０ａは、上記フィルタリング検索テーブル２５０によるフィルタリング検索結果に応じて実際のポリシーの適用を行うための機能ブロックである。この実施の形態では同処理部１１０ａはＩＰｓｅｃ処理機能部としているがこれに限らず、フィルタリング検索テーブルにて求められるフィルタリング検索結果に応じたポリシー処理機能を有するものであれば、具体的な処理の種別は問わない。
【００２０】
又、同情報処理装置はシステム内においてルーティング機能をつかさどるルーティング検索テーブル３００を有する。これは図２における同テーブル３００と同様の機能を有する。尚、各テーブル１５０、２５０，３００の適用の順序は必ずしも図４に示すものに限られない。
【００２１】
ここで、上記ポート番号変換テーブル１５０は、システム構成定義に対する外部入力機能（コマンドやＭＩＢ）により、システム保守者が設定を行うことが可能である。そのコマンドの設定例としては、例えば物理ポートＰ−Ｂ１乃至Ｐ−Ｂ４の各々について仮想ポート（論理ポート）Ｐ−Ｇ１を適用し、同様に物理ポートＰ−Ｂ５乃至Ｐ−Ｂ７の各々について仮想ポート（論理ポート）Ｐ−Ｇ２を適用するように設定する。そのためのコマンドパラメータとしては、ポート、ポートグループを保守者が定義名で指定するようにしてもよいが、実際のポート番号変換テーブル１５０内においては各ポート番号、ポートグループ番号は論理値として設定される必要がある。また本テーブルはアクセス時間の最小化を目的として、ポート番号によるインデックス形式による構成とすることが望ましい。
【００２２】
同様に上記フィルタリング検索テーブル２５０も、システム構成定義に対する外部入力機能（コマンドやＭＩＢ）により、システム保守者が設定を行うことが可能である。その際のコマンドの設定例としては、例えば上記仮想ポートＰ−Ｇ１のパケットに対してはアクセス制限リスト名：ＩＰｓｅｃＡｐｐｌｙ、即ち上記アクセス制限定義として宛先ＩＰアドレス“１９２．１６８．１．１”を設定し、更にポリシー名：ＩＰｓｅｃＥＳＰ、即ちＩＰｓｅｃプロトコルＥＳＰを設定する。同様に上記仮想ポートＰ−Ｇ２のパケットに対してはアクセス制限リスト名：ＩＰｓｅｃＡｐｐｌｙ、即ち上記アクセス制限定義として宛先ＩＰアドレス“１９２．１６８．１．１”を設定し、更にポリシー名：ＩＰｓｅｃＡＨ、即ちＩＰｓｅｃプロトコルＡＨを設定する。
【００２３】
上記フィルタリング検索テーブル２５０は、一般的にはＣＡＭ（Ｃｏｎｔｅｎｔ  Ａｄｄｒｅｓｓｅｄ  Ｍｅｍｏｒｙ）と呼ばれる高速アクセスメモリにより実現される。この場合、テーブル全体で多数のエントリブロックを設けることが可能であるが、検索能力を高めるという目的からも検索対象エントリ数を可能な限り削減することが望ましい。本発明の実施の形態によれば、ポートグループ単位でのエントリ管理が可能となるため、図２と共に説明した構成によるエントリ管理方法に比して管理エントリ数を効果的に削減可能である。その結果、エントリ数の有効利用と、検索能力の向上を併せて実現可能である。
【００２４】
図４と共に本発明の実施の形態の動作について以下に説明する。ポートから受信したパケット（宛先ＩＰアドレス：１９２．１６９．１．１)が制御部１１０に渡されると、制御部１１０ではポート番号変換テーブル１５０を利用して、当該パケットに対し、受信した受信ポート番号Ｐ―Ｂｘ（ｘ＝１〜７)から、該当する受信グループ番号Ｐ―Ｇｘ（ｘ＝１〜２）を求める。上記の如く、この受信ポートグループ番号は、予め外部入力機能（コマンドやＭＩＢ）により、保守者により設定済であるものとする。
【００２５】
制御部１１０は続いて、前記動作により求められた受信ポートグループ番号Ｐ―Ｇｘ（論理ポート）と、受信ポート番号Ｐ―Ｂｘ（物理ポート）と、パケットヘッダ情報とを夫々検索キーとして、フィルタリング検索テーブル２５０を検索する。当該検索テーブル２５０においては受信ポートグループ番号Ｐ―Ｇ１，Ｐ―Ｇ２それぞれのエントリが存在しており、上記動作によって求められたポートグループ番号Ｐ−Ｇｘにより、いずれかのエントリの検索結果が得られる。
【００２６】
この際、エントリ数はポートグループの数（＝２）分となっているため、検索回数は「２」となり、図２の構成適用の場合における回数「７」よりも確実に削減されている。また、同テーブル２５０の設定情報も上記の如く、予め、外部入力機能（コマンドやＭＩＢ）により、保守者により設定済である。
【００２７】
このような動作によって求められた検索結果、即ちＩＰＳｅｃ（ＥＳＰ）又はＩＰＳｅｃ（ＡＨ）により、制御部１１０のＩＰｓｅｃ処理部１１０ａでは、暗号化プロトコルＡＨ又はＥＳＰによる受信パケットの暗号化が行われる。
【００２８】
続いて制御部１１０はルーティング検索テーブル３００を用いて当該受信パケットの宛先ＩＰアドレス:１９２．１６９．１．１から、適用すべき送信ポート番号Ｐ―Ｂ８を求める。
【００２９】
制御部１１０は続いて、この動作により求められた送信ポート番号Ｐ―Ｂ８から、上記暗号化されたパケットを送信する。
【００３０】
上述の本発明の実施の形態の適用により、ルータ／スイッチにおける基本的な機能構成には変更を加えることなく、即ちルータ／スイッチの設計・実装の全体コスト中、少ないコストで本発明の実現が可能となる。
【００３１】
又ルータ／スイッチ内のメモリ容量に関し、図２に示す構成に比し、ポート番号変換テーブル１５０分のメモリ量分は増加するが、フィルタリング検索テーブル２５０上のメモリ使用量に関しては、上記の例の如く同一のフィルタ条件を複数のポートに共通に適用する条件においては確実に削減可能である。又、同一のフィルタ条件を複数のポートに適用する条件下においては、フィルタリング検索エントリ数を削減することができるため、ルータ／スイッチにおけるパケット転送速度の効果的向上が図れる。
【００３２】
以下に、図５、図６、図７Ａ，７Ｂと共に、本発明の具体的実施例について説明する。図５は、本発明の一実施例によるルータ、スイッチ又はファイアウォール等の情報処理装置の内部構成を示すブロック図である。同情報処理装置は、外部リンクからパケットを受信するポートを収容する受信装置ユニット１０−１，１０−２、．．．、１０−Ｍ，同各受信装置ユニットの各々に接続された受信制御装置ユニット２０−１，２０−２，．．．、２０−Ｍ，外部リンクに対してパケットを送信するポートを収容する送信装置ユニット６０−１，６０−２、．．．、６０−Ｌ，同各送信装置ユニットの各々に接続される送信制御装置ユニット５０−１，５０−２，．．．、５０−Ｌ，並びに上記受信制御装置ユニット２０−１，２０−２、．．．、２０−Ｍ及び送信制御装置ユニット５０−１，５０−２，．．．、５０−Ｌが夫々接続されたユニット間通信バス８０とを含む。
【００３３】
尚、上記受信装置ユニット１０−１，１０−２，．．．、１０−Ｍ及び送信装置ユニット６０−１，６０−２，．．．、６０−Ｌの各々は、互いに同一のハードウェア構成を有し、ルータポートＰ１乃至ＰＮを直接収容し、リンクからのパケットの入力、リンクへのパケットの出力動作を行う。
【００３４】
同様に図６に示す如く、受信制御装置ユニット２０−１，２０−２，．．．、２０−Ｍ，送信制御装置ユニット５０−１，５０−２，．．．、５０−Ｌも、各々互いに同一のハードウェア構成を有し、対応する送受信ユニットがパケット入力側として機能する場合は「受信側動作」を行い、パケット出力側として機能する場合は「送信側動作」を行なう。このような「受信側動作」、「送信側動作」の切り替えは同制御装置ユニット内の動作制御部１１０が行い、それぞれの動作モードで、参照テーブルおよびその参照方法、ならびにポリシー処理内容が異なることとなる。
【００３５】
即ち、図６に示すポート番号変換テーブル１５０は、図４と共に説明した同テーブル１５０と同機能を有するものであり、「受信側動作」時にはパケット入力ポート番号をポートグループ番号に変換し（図７ＡのステップＳ２）、「送信側動作」時にはパケット出力ポート番号をポートグループ番号に変換する（図７ＢのステップＳ２２）ために使用される。尚、図６は、上記各制御装置ユニット２０−１，２０−２，．．．、２０−Ｍ（２０−ｉ），５０−１，５０−２，．．．、５０−Ｌ（５０−ｊ）の内部構成例を示す。
【００３６】
図6に示す各フィルタリング検索テーブル２５０は「受信側動作」時には上記入力ポート番号から変換されたポートグループ番号をキーに検索動作を実施し（ステップＳ３）、「送信側動作」時には上記出力ポート番号から変換されたポートグループ番号をキーに検索動作を実施する（ステップＳ２３）ために使用される。
【００３７】
又ルーティング検索テーブル３００は「受信側動作」時のみ使用され、パケットの宛先ＩＰアドレスから、転送先の送信制御装置ユニット番号５０−ｊ並びに適用するパケット出力ポート番号を決定するために使用される。
【００３８】
上記ルーティング検索テーブル３００を使用して送信制御装置ユニット５０−ｊが決定した後、ユニット間通信バス８０にて該当の送信制御装置ユニット５０−ｊに当該パケット、並びにそのパケットに対応して決定された出力ポート番号の情報が転送される。
【００３９】
図７Ａ，７Ｂと共に、この実施例による情報処理装置中の受信制御装置ユニット２０−ｉ、及び送信制御装置ユニット５０−ｊにおけるパケット処理動作について以下に詳細に説明する。
【００４０】
先ず図７Ａにおいて、受信制御装置ユニット２０−ｉでは、受信装置ユニット１０−ｉからパケットが入力されると、同時にそのパケットを受信した受信装置ユニット１０−ｉ内のルータポートの番号Ｐ―ｎ（Ｐ―１乃至Ｐ―Ｎ）の情報も入力される（ステップＳ１）。受信制御装置ユニット２０−ｉの制御部１１０では、この入力ポート番号Ｐ―ｎをキーとしてポート番号変換テーブル１５０を検索し、該当する入力ポートグループ番号Ｐ−Ｇｐ（Ｐ−Ｇ１乃至Ｐ−ＧＰ）を求める（ステップＳ２）。
【００４１】
次に当該受信制御装置ユニット２０−ｉの制御部１１０は、入力ポート番号Ｐ−ｎ，入力ポートグループ番号Ｐ−Ｇｐ，並びに当該パケットのパケット情報（ヘッダ情報）をキーとして、フィルタリング検索テーブル２５０を検索する（ステップＳ３）。そしてその検索結果に基づいて適用するポリシー処理機能を決定し（ステップＳ４）、当該パケットに対して該当ポリシー処理機能を適用してポリシー処理部１１０ａにて処理する（ステップＳ５）。この場合のポリシー処理機能の例としては、例えば上記ＩＰｓｅｃプロトコルによる暗号化処理等が挙げられる。
【００４２】
そして、ステップＳ６にて受信制御装置ユニット２０−ｉの制御部１１０は、ルーティング検索テーブル３００を使用し、当該パケット情報としての宛先ＩＰアドレスを検索キーとして、転送先の送信制御装置ユニットの番号Ｕ−ｊ及び外部リンクへ送信する際に使用する出力ポートの番号Ｐ−ｑ（Ｐ−１乃至Ｐ−Ｎ）を検索によって得る。次にステップＳ７にて、このようにして求められた転送先の送信制御装置ユニット５０−ｊに対して該当パケットを転送すると同時に、当該パケットのパケット情報、上記ステップＳ６にて求められた出力ポート番号の情報を併せて転送する。
【００４３】
転送先の送信制御装置ユニット５０−ｊでは、図７Ｂに示す如く、当該パケットを受信すると、その制御部１１０にて、上記転送された各種情報を併せて受信し（ステップＳ２１），上記出力ポート番号Ｐ―ｑをキーとしてポート番号変換テーブル１５０を検索し、該当する出力ポートグループ番号Ｐ−Ｇｒ（Ｐ−Ｇ１乃至Ｐ−ＧＲ）を求める（ステップＳ２２）。
【００４４】
次に当該送信制御装置ユニット５０−ｊの制御部１１０は、出力ポート番号Ｐ−ｑ，出力ポートグループ番号Ｐ−Ｇｒ，並びに当該パケットのパケット情報をキーとして、フィルタリング検索テーブル２５０を検索する（ステップＳ２３）。そしてその検索結果に基づいて適用するポリシー処理機能を決定し（ステップＳ２４）、当該パケットに対して該当ポリシー処理機能を適用してポリシー処理部１１０ａにて処理する（ステップＳ２５）。この場合のポリシー処理機能の例としては、例えば帯域制御処理（後述）が挙げられる。
【００４５】
そしてステップＳ２６にて、当該パケット及び上記の如くステップＳ６にて求められた出力ポート番号Ｐ−ｑの情報を、接続された送信装置ユニット６０−ｊに転送する。
【００４６】
同送信装置ユニット６０−ｊでは、当該パケットを、自機が収容するルータポートＰ―１乃Ｐ―Ｎのうち、上記出力ポート番号Ｐ−ｑのポートから発信する。
【００４７】
このように、この例の場合、該当受信パケットは受信制御装置ユニット２０−ｉにおけるフィルタリング機能で決定された所定のポリシー処理にて暗号化され、所定の送信制御装置ユニット５０−ｊにおけるフィルタリング機能で決定された所定のポリシー処理にて帯域制御処理が施された後、所定の出力ポートから発信される。
【００４８】
次に、図８乃至１１と共に、本発明の実施の形態を実際のネットワーク通信制御に適用した場合の動作例について説明する。図８は、当該動作例を説明するためのネットワーク構成を示すブロック図である。図示の如く、このネットワークでは、パーソナルコンピュータの端末ａ１乃至ａ３、ｂ１乃至ｂ３、ｃ１乃至ｃ３、ｄ１乃至ｄ３が、例えばＬＡＮにて、夫々のルータＡ１乃至Ａ３，Ａ，Ｂ１乃至Ｂ３，Ｂ，Ｃ１乃至Ｃ３，Ｃ，Ｄ１乃至Ｄ３、Ｄを介して互いに接続され、更に、ルータＣ１を介してインターネットへ接続され、同ルータＣ１を介してサーバＳ１に接続される。
【００４９】
この構成では、各パーソナルコンピュータの端末からサーバＳ１或いはインターネットへのアクセスは、全てルータＣ１を経由することとなる。又各パーソナルコンピュータの端末からルータＣ１へのアクセス経路は全て冗長化されている。この経路冗長化の１例として、端末ａ１からのアクセス経路を例に挙げると、以下の３種類の経路が存在する。
【００５０】
Ｒ１：ａ１―Ａ１―Ａ―B―C―C１
Ｒ２：a１―A１―A―C―C１
Ｒ３：ａ１―Ａ１―Ａ―Ｄ―Ｃ―Ｃ１
このうち、通常は経由ルータ数の最も少ない経路Ｒ２が優先されるが、ルータＡ―Ｂ間のリンクが障害となった場合に備え、経路Ｒ１，Ｒ３をバックアップ経路として利用することが想定される。即ち、この例の場合、ルータＡ以降の経路がルータＢへの経路、ルータＣへの経路、ルータＤへの経路の三種類あり、夫々の経路を構成する各リンクの帯域制御によっていずれかの経路が選択適用されることになる。即ち、あるリンクが錯綜している場合、そのリンクをパケットが使用する優先度は図９と共に示す如くの優先設定値に基づいて決定されることになる。
【００５１】
又、サーバＳ１へのアクセスとインターネットへのアクセスの優先度は、サーバＳ１へのアクセスの方が優先されるものとする。尚、この「優先」の意味は、各ルータＡ，Ｂ，Ｃ，Ｄ間のリンク内を通過するパケットの種別毎に、予め図９で示すような帯域の割り当てを行うことを意味する。
【００５２】
即ち、リンク毎に利用可能な最大帯域Ｂ０を１００％とした場合、サーバＳ１との間の通信パケットに対して帯域Ｂ１：５０％を割り当て、インターネットとの通信パケットに対して帯域Ｂ２：３０％を割り当て、その他の通信パケットに対して帯域Ｂ３：２０％を割り当てる。
【００５３】
この帯域の割り当ては通常、図１０に示すルータＡ，Ｂ，Ｃ，Ｄの各々が有するポートＰ１，Ｐ２，Ｐ３の各々について設定が必要となる。この際、各ルータに投入する設定用コマンドは、例えば以下の（１）乃至（６）に示すものである。
【００５４】
（１）アクセス制限リスト１の登録内容：パケット種別としてサーバＳ１に対するアクセスのパケットを登録する。
【００５５】
（２）アクセス制限リスト２の登録内容：パケット種別としてインターネットへのアクセスのパケットを登録する。
【００５６】
（３）ポリシー１の登録内容：上記アクセス制限リスト１のパケットに対し帯域５０％、上記アクセス制限リスト２のパケットに対し帯域３０％を割り当てる処理を登録する。
【００５７】
（４）ポートＰ１へ上記ポリシー１を登録する。
【００５８】
（５）ポートＰ２へ上記ポリシー１を登録する。
【００５９】
（６）ポートＰ３へ上記ポリシー１を登録する。
【００６０】
このような場合、本発明の実施の形態によれば、各ルータ毎に、ポートＰ１，Ｐ２，Ｐ２を一括してポートグループＰＧ１として定義する（即ちグループ化する）ことにより、ポートグループＰＧ１に対して一括して一度に上記ポリシー１登録を行なうことが可能となる。即ち、このグループ化により、各ポート毎に一々ポリシー登録を行なう（上記（４）、（５）、（６））必要がなくなる。
【００６１】
このように同一のポリシーを定義するポートＰ１，Ｐ２，Ｐ３を１つのポートグループＰＧ１として扱うことで、適用ポリシーの変更が生じた場合にも個々のポート毎の定義変更を行うことなく、グループ単位での変更が可能であり、運用面での利便性が向上する。更に又、複数装置において同一のポリシーを適用する上記例のような場合、「ポートグループＰＧ１をポリシー１の適用対象グループとすること」をネットワーク共通の運用ルールとして規定することも可能である。その結果、図１１に示す如く、各ルータＡ，Ｂ．Ｃ，ＤのポートＰ１乃至Ｐ３をポートグループＰＧ１として登録しておくことにより、これらルータに対して一括して共通のルールを設定登録可能であり、更に運用の利便性向上が図れる。
【００６２】
尚、本発明の実施例は上記のものに限られず、これ以外に、以下に示す請求の範囲に示す技術思想に沿った様々な実施例が導出可能である。
【００６３】
本発明は以下に示す付記の構成を含む。
【００６４】
（付記１）
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定するための情報処理内容決定方法であって、
上記複数のポートを所定のグループにグループ化するグループ化段階と、
前記グループ化段階でグループ化されたグループ毎に前記処理内容を決定する処理内容決定段階とよりなる方法。
【００６５】
（付記２）
前記グループ化段階では、前記複数のポートの夫々を示すポート識別情報を、前記グループ化された各グループを示す新たな識別情報に変換する識別情報変換段階よりなる付記１に記載の方法。
【００６６】
（付記３）
前記処理内容決定段階で決定される処理内容は、各情報パケットに対して適用するポリシーの内容とされてなる付記１又は２に記載の方法。
【００６７】
（付記４）
前記ポリシーは、通信のセキュリティに関するものとされてなる請求の範囲３に記載の方法。
【００６８】
（付記５）
前記通信のセキュリティに関するポリシーは、ＩＰｓｅｃプロトコルによるセキュリティ方式とされてなる付記４に記載の方法。
【００６９】
（付記６）
前記ポリシーは、帯域制御に関するものとされてなる付記３に記載の方法。
【００７０】
（付記７）
前記処理内容決定段階は、入力ポートを識別する情報をキーとして適用する処理内容を検索する検索テーブルを使用して行なうものとされた付記１乃至６のうちのいずれかに記載の方法。
【００７１】
（付記８）
更に、前記処理内容決定段階にて決定された処理が施された情報パケットを転送する転送先を決定する転送先決定段階よりなる付記１乃至７のうちのいずれかに記載の方法。
【００７２】
（付記９）
ルータ、スイッチ及びファイアウォールのうちのいずれか一のものにおいて、受信パケットに対して適用する処理内容の決定の際に使用する付記１乃至８のうちのいずれかに記載の方法。
【００７３】
（付記１０）
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定する機能を有する情報処理装置であって、
上記複数の入力ポートを所定のグループにグループ化するグループ化手段と、
前記グループ化手段によってグループ化されたグループ毎に前記処理内容を決定する処理内容決定手段とよりなる情報処理装置。
【００７４】
（付記１１）
前記グループ化手段は、前記複数の入力ポートの夫々を示すポート識別情報を、前記グループ化された各グループを示す新たな識別情報に変換する識別情報変換手段よりなる付記１０に記載の情報処理装置。
【００７５】
（付記１２）
前記処理内容決定手段で決定される処理内容は、各情報パケットに対して適用するポリシーの内容とされてなる付記１０又は１１に記載の情報処理装置。
【００７６】
（付記１３）
前記ポリシーは、通信のセキュリティに関するものとされてなる付記１２に記載の情報処理装置。
【００７７】
（付記１４）
前記通信のセキュリティに関するポリシーは、ＩＰｓｅｃプロトコルによるセキュリティ方式とされてなる付記１３に記載の情報処理装置。
【００７８】
（付記１５）
前記ポリシーは、帯域制御に関するものとされてなる付記１２に記載の情報処理装置。
【００７９】
（付記１６）
前記処理内容決定手段は、入力ポートを識別する情報をキーとして適用する処理内容を検索する検索テーブルを使用して行なう付記１０乃至１５のうちのいずれかに記載の情報処理装置。
【００８０】
（付記１７）
更に、前記処理内容決定手段にて決定された処理が施された情報パケットを転送する転送先を決定する転送先決定手段よりなる付記１０乃至１６のうちのいずれかに記載の情報処理装置。
【００８１】
（付記１８）
ルータ、スイッチ及びファイアウォールのうちのいずれか一のものにおいて、受信パケットに対して適用する処理内容の決定に使用する付記１０乃至１７のうちのいずれかに記載の情報処理装置。
【００８２】
（付記１９）
複数のポートを介して入力された情報パケットに対して適用する処理の内容を決定する情報処理装置であって、
上記複数のポートが所定のグループにグループ化された、そのグループ毎に前記処理内容を決定する処理内容決定手段よりなる情報処理装置。
【００８３】
（付記２０）
前記グループ化は、前記複数のポートの夫々を示すポート識別情報が、前記グループ化された各グループを示す新たな識別情報に変換されてなる付記１９に記載の情報処理装置。
【００８４】
（付記２１）
前記処理内容決定手段にて決定する適用すべき処理内容は、前記情報パケットに対して適用するポリシーの内容とされてなる付記１９又は２０に記載の情報処理装置。
【００８５】
（付記２２）
前記ポリシーは、通信のセキュリティに関するものとされてなる付記２１に記載の情報処理装置。
【００８６】
（付記２３）
前記通信のセキュリティに関するポリシーは、ＩＰｓｅｃプロトコルによるセキュリティ方式とされてなる付記２２に記載の情報処理装置。
【００８７】
（付記２４）
前記ポリシーは、帯域制御に関するものとされてなる付記２１に記載の情報処理装置。
【００８８】
（付記２５）
前記処理内容決定手段は、入力ポートを識別する情報をキーとして適用する処理内容を検索する検索テーブルよりなる付記１９乃至２４のうちのいずれかに記載の情報処理装置。
【００８９】
（付記２６）
ルータ、スイッチ及びファイアウォールのうちのいずれか一のものにおいて、受信パケットに対して適用する処理内容の決定に使用する付記１９乃至２５のうちのいずれかに記載の情報処理装置。
【図面の簡単な説明】
【００９０】
【図１】関連技術によるパケットフィルタリング処理を説明するための図である。
【図２】図１に示すフィルタリング処理を実現するために使用されるフィルタリング検索テーブルの一例を示す図である。
【図３】本発明の実施の形態におけるパケットフィルタリング処理を説明するための図である。
【図４】図３に示すフィルタリング処理を実現するために使用されるポート番号変換テーブル及びフィルタリング検索テーブルの一例を示す図である。
【図５】本発明の一実施例による情報処理装置の内部ブロック図である。
【図６】図５に示す情報処理装置内の制御装置ユニットの構成を説明するための図である。
【図７Ａ】図６に示す制御装置ユニットの動作を説明するための動作フローチャート（その１）である。
【図７Ｂ】図６に示す制御装置ユニットの動作を説明するための動作フローチャート（その２）である。
【図８】本発明の実施の形態をネットワーク制御に応用した場合の例を説明するための図（その１）である。
【図９】本発明の実施の形態をネットワーク制御に応用した場合の例を説明するための図（その２）である。
【図１０】本発明の実施の形態をネットワーク制御に応用した場合の例を説明するための図（その３）である。
【図１１】本発明の実施の形態をネットワーク制御に応用した場合の例を説明するための図（その４）である。
【符号の説明】
【００９１】
１００、１１０  制御部
１１０ａ  ＩＰｓｅｃ処理部
１５０  ポート番号変換テーブル
２００、２５０  フィルタリング検索テーブル
３００  ルーティング検索テーブル
【図１】
2005072783.tif 000003
【図２】
2005072783.tif 000004
【図３】
2005072783.tif 000005
【図４】
2005072783.tif 000006
【図５】
2005072783.tif 000007
【図６】
2005072783.tif 000008
【図７Ａ】
2005072783.tif 000009
【図７Ｂ】
2005072783.tif 000010
【図８】
2005072783.tif 000011
【図９】
2005072783.tif 000012
【図１０】
2005072783.tif 000013
【図１１】
2005072783.tif 000014