(57)【要約】      （修正有）【課題】データ通信システムのトポロジ情報を用いなくても、出口側の通信装置がパケットを廃棄した場合に、当該パケットの入口側の通信装置を特定し、入口側の通信装置にルールを設定する方法を提供する。【解決手段】出口側の通信装置がパケットを廃棄した際、廃棄されたパケットの送信元ノードに向けて探索パケットを送信する。この探索パケットは、送信元ノードの通信を管理する通信装置により受信されるため、探索パケットを受信した通信装置が入口側の通信装置であると特定される。入口側の通信装置であると特定された通信装置に、廃棄されたパケットと同一のヘッダ情報を有するパケットを廃棄することを定めたルールを設定する。【選択図】図２
2017046022.tif 000002
【特許請求の範囲】
【請求項１】
第１情報処理装置と、前記第１情報処理装置のパケット通信を管理する第１通信装置と、前記第１通信装置を制御する第１制御装置と、第２情報処理装置と、前記第２情報処理装置のパケット通信を管理する第２通信装置と、を含む通信システムを用いた通信制御方法において、
前記第１情報処理装置が、前記第２情報処理装置宛ての第１パケットを前記第１通信装置経由で送信する工程と、
前記第２通信装置が、前記第１パケットが前記第２情報処理装置宛てに送信される経路において、前記第１パケットを受信する工程と、
前記第２通信装置が、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットを廃棄する工程と、
廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程と、
前記第１情報処理装置を宛先ノードとする第２パケットを送信する工程と、
前記第１通信装置が、前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第２パケットを受信し、
前記第１通信装置が、前記第１通信装置を特定する第１情報を前記第１制御装置に通知する工程と、
通知された前記第１情報に基づき、前記第１制御装置が、受信パケットの通過又は廃棄を規定する第２ルールを前記第１通信装置に設定する工程と
を有することを特徴とする通信制御方法。
【請求項２】
前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程及び、前記第２パケットを送信する工程は、第２制御装置により実行されることを特徴とする請求項１に記載の通信制御方法。
【請求項３】
前記第２通信装置が前記第１パケットを廃棄する工程の後、前記第２通信装置が、前記第１ヘッダ情報を前記第２制御装置へ通知する工程を更に有することを特徴とする請求項２に記載の通信制御方法。
【請求項４】
前記第１通信装置が前記第１情報を前記第１制御装置に通知する工程の後に、前記第１制御装置が、前記第２パケットの第２ヘッダ情報に基づき、前記第１情報を含む第３パケットを前記第２制御装置へ送信する工程と、
前記第１制御装置が前記第１通信装置に前記第２ルールを設定する工程の前に、前記第２制御装置が、前記第１情報に基づき、前記第１通信装置に前記第２ルールを設定するよう要求する第４パケットを、前記第１制御装置へ送信する工程と、
を有することを特徴とする請求項２又は３に記載の通信制御方法。
【請求項５】
前記第２ルールは、前記第１ヘッダ情報と同一のヘッダ情報を有するパケットを廃棄することを規定するルールであることを特徴とする請求項１乃至４いずれか一項に記載の通信制御方法。
【請求項６】
前記第１通信装置及び前記第２制御装置は、前記第２パケットの廃棄に関する第３ルールを共有し、前記第２制御装置は前記第３ルールに則って前記第２パケットを生成し、前記第１通信装置は前記第３ルールに則って前記第２パケットを廃棄することを特徴とする請求項２乃至５いずれか一項に記載の通信制御方法。
【請求項７】
前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程及び、前記第２パケットを送信する工程は、前記第１制御装置により実行されることを特徴とする請求項１に記載の通信制御方法。
【請求項８】
前記第２通信装置が前記第１パケットを廃棄する工程の後、前記第２通信装置が、前記第１ヘッダ情報を前記第１制御装置へ通知する工程を更に有することを特徴とする請求項１又は７に記載の通信制御方法。
【請求項９】
第１情報処理装置と、
前記第１情報処理装置のパケット通信を管理する第１通信装置と、
第２情報処理装置と、
前記第２情報処理装置のパケット通信を管理する第２通信装置と、
前記第１通信装置を制御する第１制御装置と、
を有し、
前記第１情報処理装置から、前記第２情報処理装置宛ての第１パケットが前記第１通信装置経由で送信され、
前記第２通信装置により、前記第１パケットが前記第２情報処理装置宛てに送信される経路において、前記第１パケットが受信され、
前記第２通信装置により、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットが廃棄され、
廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置が特定され、
前記第１情報処理装置を宛先ノードとする第２パケットが送信され、
前記第１通信装置により、前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第２パケットが受信され、
前記第１通信装置により、前記第１通信装置を特定する第１情報が第１制御装置に通知され、
前記第１情報に基づき、前記第１制御装置により、受信パケットの通過又は廃棄を規定する第２ルールが前記第１通信装置に設定される
ことを有することを特徴とする通信システム。
【請求項１０】
第１情報処理装置と、前記第１情報処理装置のパケット通信を管理する第１通信装置と、第２情報処理装置と、前記第２情報処理装置のパケット通信を管理する第２通信装置と、を含む通信システムに接続され、前記第１通信装置を制御する第１制御装置であって、
前記第１情報処理装置から前記第１通信装置経由で前記第２情報処理装置宛てに送信された第１パケットが、前記第１パケットが前記第２情報処理装置宛てに送信される経路において前記第２通信装置により受信され、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットが前記第２通信装置により廃棄された場合、廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置を特定し、
前記第１情報処理装置を宛先ノードとする第２パケットを送信し、
前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第１通信装置により前記第２パケットが受信され、前記第１通信装置を特定する第１情報を第１制御装置から受信し、
前記第１情報に基づき、受信パケットの通過又は廃棄を規定する第２ルールを前記第１通信装置に設定する
ことを有することを特徴とする制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、通信制御方法、通信システム及び制御装置に関する。
【背景技術】
【０００２】
外部のネットワークからの攻撃や不正アクセスを排除し、Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＬＡＮ）等のサブネットワーク内に接続されたサーバ等の情報処理装置を保護する技術として、ファイアウォールが知られている。ファイアウォールの機能を実行する通信装置は、例えばネットワークとＬＡＮとの間に設けられ、ネットワークからＬＡＮへ流入するパケット又はＬＡＮからネットワークへ流出するパケットを受信する。通信装置は、当該通信装置が受信したパケットを、通過させるか廃棄するかの判断を行う。このファイアウォールの機能は、専用の装置により実現されてもよく、汎用サーバ上でアプリケーションプログラムを動作させることにより、又はＯｐｅｎ  Ｆｌｏｗスイッチ等により実現されてもよい。
【０００３】
例えば、ネットワークに接続されたある特定の情報処理装置からＬＡＮに含まれる他の特定の情報処理装置宛に送信されたパケットを通過させることが規定されたルールが、通信装置に設定登録される。これにより通信装置は、設定登録されたルールに合致するパケットは通過させ、他のパケットを廃棄することができる。他の例としては、ＬＡＮ内の特定の情報処理装置からネットワークを介して他の特定の情報処理装置宛てに送信されるパケットを廃棄させることが規定されたルールを、通信装置に設定登録する。これにより通信装置は、設定登録されたルールに合致するパケットを廃棄し、他のパケットを通過させることができる。尚、通信装置に設定登録されるルールは、ポリシーやエントリと呼ばれることもある。
【０００４】
ここで、第１のＬＡＮが第１の通信装置を介してネットワークに接続され、第２のＬＡＮが第２の通信装置を介して当該ネットワークに接続されるデータ通信システムにおいて、第１のＬＡＮ内の第１の情報処理装置が、第２のＬＡＮ内の第２の情報処理装置宛てにパケットを送信した場合を想定する。前提として、第２の通信装置には、第１の情報処理装置を送信元ノードとし第２の情報処理装置を宛先ノードとしたパケットを通過させることが規定されたルールが設定登録されていないものとする。まず第１の情報処理装置から送信されたパケットは、第１の通信装置によって受信される。第１の通信装置はこのパケットにとってネットワークへの入口側に配置されるため、入口側の通信装置と呼ぶこととする。入口側の通信装置を介してネットワークへ送出されたパケットは、ネットワーク内を流通して第２の通信装置へ到達する。第２の通信装置はこのパケットにとってネットワークからの出口側に配置されるため、出口側の通信装置と呼ぶこととする。ここで第２の通信装置は自身に設定登録されたルールに則り、当該パケットを通過させるか廃棄するかの判断を行う。ここでは、第１の情報処理装置を送信元ノードとし、第２の情報処理装置を宛先ノードとしたパケットは、通過対象として規定されたルールが第２の通信装置に設定登録されていないため、当該パケットは第２の通信装置にて廃棄される。
【０００５】
ネットワーク内を送信された後に、第２（出口側）の通信装置にて廃棄されるパケットを、第２の通信装置ではなく第１（入口側）の通信装置にて廃棄する方法が知られている。例えば第２の通信装置が第１の情報処理装置から第２の情報処理装置宛てに送信されたパケットを廃棄した場合、ＬＡＮを含むデータ通信システム全体のトポロジ情報に基づいて、第１の情報処理装置の通信を管理する第１の通信装置が特定される。そして第２の通信装置は、特定された第１の通信装置に対して、同一フローに属するパケットを通過させることなく廃棄するよう要求する。第１の通信装置は第２の通信装置からの要求に基づき、自身のルールを更新する。以降、第１の通信装置は、第１の情報処理装置から第２の情報処理装置に宛てて送信されるパケットを、ネットワークに送信することなく廃棄する。これにより、ネットワーク内の通信量を抑制することができる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１５−９１１０６号公報
【特許文献２】特開２００４−１５９１１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述の先行技術においては、出口側の通信装置が入口側の通信装置に、特定のパケットを通過させることを停止するよう要求するためには、当該パケットを送信した第１の情報処理装置の通信を管理する入口側の通信装置が特定される必要がある。入口側の通信装置を特定するために、データ通信システムのトポロジ情報が利用される。
【０００８】
本開示は、データ通信システムのトポロジ情報を用いなくても、出口側の通信装置がパケットを廃棄した場合に、当該パケットの入口側の通信装置を特定し、入口側の通信装置にルールを設定することができる方法を提供することを目的とするものである。
【課題を解決するための手段】
【０００９】
開示の通信制御方法は、第１情報処理装置と、前記第１情報処理装置のパケット通信を管理する第１通信装置と、前記第１通信装置を制御する第１制御装置と、第２情報処理装置と、前記第２情報処理装置のパケット通信を管理する第２通信装置と、を含む通信システムを用いた通信制御方法であって、前記第１情報処理装置が、第２情報処理装置宛ての第１パケットを前記第１通信装置経由で送信する工程と、前記第２通信装置が、前記第１パケットが前記第２情報処理装置宛てに送信される経路において、前記第１パケットを受信する工程と、前記第２通信装置が、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットを廃棄する工程と、廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程と、前記第１情報処理装置を宛先ノードとする第２パケットを送信する工程と、前記第１通信装置が、前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第２パケットを受信し、前記第１通信装置が、前記第１通信装置を特定する第１情報を第１制御装置に通知する工程と、通知された前記第１情報に基づき、前記第１制御装置が、受信パケットの通過又は廃棄を規定する第２ルールを前記第１通信装置に設定する工程とを有することを特徴とする。
【発明の効果】
【００１０】
本開示によれば、データ通信システムのトポロジ情報を用いなくても、出口側の通信装置がパケットを廃棄した場合に、当該パケットの入口側の通信装置を特定し、入口側の通信装置にルールを設定することができる。
【図面の簡単な説明】
【００１１】
【図１】第１実施例におけるデータ通信システムの構成例を示す図である。
【図２】第１実施例におけるルールの設定方法を示す図である。
【図３】第１実施例における通信装置のハードウェア構成例を示す図である。
【図４】第１実施例における制御装置のハードウェア構成例を示す図である。
【図５】第１実施例における通信装置の機能ブロック図である。
【図６】第１実施例における制御装置の機能ブロック図である。
【図７】第１実施例において通信装置によって廃棄されるパケットのヘッダ情報の例を示す図である。
【図８】第１実施例において通信装置に設定登録されるルールの例を示す図である。
【図９】第１実施例において制御装置によって生成される探索パケットのヘッダ情報の例を示す図である。
【図１０】第１実施例において探索パケットのＩｄｅｎｔｉｆｉｃａｔｉｏｎ（ＩＤ）を説明する図である。
【図１１】第１実施例において通信装置に設定登録されるルールの例を示す図である。
【図１２】第１実施例において制御装置によって生成される通知パケットのヘッダ情報の例を示す図である。
【図１３】第１実施例において制御装置によって生成されるルール設定要求パケットのヘッダ情報の例を示す図である。
【図１４】第１実施例における通信装置のプロセッサによって実行される処理のフローチャートである。
【図１５】第１実施例における制御装置のプロセッサによって実行される処理のフローチャートである。
【図１６】第１実施例における制御装置のプロセッサによって実行される処理のフローチャートである。
【図１７】第１実施例において通信装置に設定登録されたルールの例を示す図である。
【図１８】第２実施例におけるデータ通信システムの構成例を示す図である。
【図１９】第２実施例におけるルールの設定方法を示す図である。
【図２０】第２実施例における制御装置のプロセッサによって実行される処理のフローチャートである。
【発明を実施するための形態】
【００１２】
＜第１実施例＞
図１は、第１実施例におけるデータ通信システムの構成例を示す図である。ネットワーク１は、例えば通信事業者が提供する広域網である。ネットワーク１は、複数の中継装置５を含む。複数の中継装置５の各々は例えばルータやレイヤ３スイッチである。複数の中継装置５の各々は、受信されたパケットが当該パケットの宛先ノードへ送信されるようルーティングを行う。
【００１３】
図１においてデータ通信システムは、通信装置２０ａ及び通信装置２０ｂを含む。通信装置２０ａ及び通信装置２０ｂは、ファイアウォールの機能を有する装置である。ファイアウォールの機能は、ファイアウォールの機能を実現させるアプリケーションプログラムがコンピュータにより実行されることにより実現されてもよく、Ｏｐｅｎ  Ｆｌｏｗスイッチ等によっても実現されてもよい。また通信装置２０ａ及び通信装置２０ｂは、ルータで実現されてもよい。また通信装置２０ａ及び通信装置２０ｂは、専用のコンピュータで実現されてもよく、汎用サーバ等により実現されてもよい。サブネットワーク２は、通信装置２０ａを介してネットワーク１に接続される。またサブネットワーク３は、通信装置２０ｂを介してネットワーク１に接続される。サブネットワーク２にはパケットの発信元ノードまたはパケットの宛先ノードとなる情報処理装置が含まれる。図１に示される例では情報処理装置１０ａ及び情報処理装置１０ｃがサブネットワーク２に含まれる。サブネットワーク２は、例えば社内ＬＡＮである。サブネットワーク３も同様に情報処理装置を含む。図１においては情報処理装置１０ｂ及び情報処理装置１０ｄがサブネットワーク３に含まれる。
【００１４】
通信装置２０ａには、制御装置３０ａが接続される。制御装置３０ａは、通信装置２０ａの制御を行う。制御装置３０ａは、専用のハードウェアで構成されてもよく、ＮＦＶによって実現されてもよい。制御装置３０ａは、例えばファイアウォールコントローラやＯｐｅｎ  Ｆｌｏｗ  コントローラである。制御装置３０ａは、通信装置２０ａのルールの設定登録を制御する。ルールとは、通信装置２０ａが受信したパケットを、通過させるのか、または廃棄するのかを定めた規定である。通信装置２０ａは、設定登録されたルールに基づいて、受信されたパケットを通過させ、又は廃棄する。通信装置２０ａと同様に、通信装置２０ｂには、制御装置３０ｂが接続される。制御装置３０ｂは、通信装置２０ｂの制御を行う。具体的には、制御装置３０ｂは通信装置２０ｂのルールの設定登録を制御する。通信装置２０ｂは、設定登録されたルールに基づいて、受信されたパケットを通過させ、又は廃棄する。尚、制御装置３０ａ及び制御装置３０ｂは、それぞれネットワーク１に接続され、それぞれ後述する探索パケット、通知パケット、ルール設定要求パケット等のパケットを生成する。また制御装置３０ａ及び制御装置３０ｂは、生成されたパケットを、ネットワーク１を介して所定の宛先ノードへ送信することができる。また制御装置３０ａ及び制御装置３０ｂは、ネットワーク１とは異なる他の通信経路９を介して互いに上述のパケットを送信してもよい。通信経路９は、物理的にネットワーク１と異なる通信経路であってもよく、またネットワーク１内をＶｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＶＬＡＮ）等によって仮想的に分割された複数のネットワークの一部を用いて実現されてもよい。
【００１５】
尚、図１に示されるように、第１実施例においては、情報処理装置１０ａのアドレスを「Ａ」、情報処理装置１０ｂのアドレスを「Ｂ」、情報処理装置１０ｃのアドレスを「Ｃ」、情報処理装置１０ｄのアドレスを「Ｄ」とする。更に第１実施例では、制御装置３０ａの、ネットワーク１に接続される送受信ポートのアドレスを「Ｘ」、制御装置３０ａの、通信経路９に接続される送受信ポートのアドレスを「Ｓ」とし、制御装置３０ｂの、ネットワーク１に接続される送受信ポートのアドレスを「Ｙ」、制御装置３０ｂの、通信経路９に接続される送受信ポートのアドレスを「Ｔ」とする。アドレスは例えばＩＰアドレスである。
【００１６】
図２は、第１実施例におけるルールの設定方法を示す図である。図２では、情報処理装置１０ａ、制御装置３０ａ、通信装置２０ａ、通信装置２０ｂ、制御装置３０ｂ及び情報処理装置１０ｂ間での処理の流れが示される。処理５０１において情報処理装置１０ａが、情報処理装置１０ｂ宛てにパケットを送信する。このパケットにはヘッダが付され、ヘッダには、当該パケットの送信元アドレス、宛先アドレス等が含まれる。情報処理装置１０ａより送信されたパケットは、通信装置２０ａを経由してネットワーク１内に送信され、通信装置２０ｂに到達する。ここでは、通信装置２０ｂに設定登録されたルールに基づいて当該パケットが廃棄されるものとして以下の説明がなされる。処理５０２において通信装置２０ｂが、パケットを廃棄する。処理５０３において通信装置２０ｂが、廃棄されたパケットのヘッダ情報を制御装置３０ｂへ通知する。すなわち通信装置２０ｂは、自身が廃棄したパケットの送信元アドレスや宛先アドレス等の情報を制御装置３０ｂに通知する。
【００１７】
処理５０４において制御装置３０ｂは、通信装置２０ｂから通知された情報に基づき、探索パケットを生成する。この探索パケットは、廃棄されたパケットの送信元ノードである情報処理装置１０ａとネットワーク１との間にある通信装置２０ａ、すなわち入口側の通信装置を探索するためのパケットである。この時点において制御装置３０ｂは、通信装置２０ｂから通知されたヘッダ情報に基づき、廃棄されたパケットの送信元ノードである情報処理装置１０ａを特定することはできる。しかし制御装置３０ｂは、当該パケットをネットワーク１内へ通過させた通信装置２０ａを特定する情報を有していない場合がある。例えば、制御装置３０ｂが、データ通信システム全体のトポロジ情報を有していない場合等である。そこで制御装置３０ｂは、上述の探索パケットを生成する。この探索パケットは、廃棄されたパケットの送信元ノードのアドレスを宛先アドレスとして指定するパケットである。第１実施例では、探索パケットは情報処理装置１０ａのアドレス「Ａ」を宛先アドレスとして指定し、制御装置３０ｂから送信される。探索パケットはネットワーク１内を送信され、情報処理装置１０ａへの通信を管理する通信装置２０ａへ到達する。通信装置２０ａには、探索パケットを廃棄するよう定めたルールが予め登録されているものとする。処理５０５において通信装置２０ａは、探索パケットを廃棄する。すなわち探索パケットは、情報処理装置１０ａを宛先ノードとしてアドレス指定しているものの、通信装置２０ａを特定するために生成されたものであり、実際に情報処理装置１０ａに送信されるためのパケットではない。そのため探索パケットは通信装置２０ａにより廃棄される。処理５０６において通信装置２０ａは、探索パケットのヘッダ情報及び通信装置２０ａを特定する情報を制御装置３０ａに通知する。探索パケットのヘッダ情報には、探索パケットの送信元ノードである制御装置３０ｂのアドレス情報が含まれる。
【００１８】
処理５０７において制御装置３０ａは、通信装置２０ａから通知された情報に基づき、通知パケットを生成する。通知パケットは、通信装置２０ａを特定する情報を、探索パケットの送信元ノードである制御装置３０ｂに通知するためのパケットであり、制御装置３０ｂによって受信される。処理５０８において制御装置３０ｂは、通知パケットにより、処理５０２において廃棄されたパケットをネットワーク１内に通過させた通信装置２０ａを特定することができる。そこで処理５０８において制御装置３０ｂは、ルール設定要求パケットを生成して制御装置３０ａ宛てに送信する。ルール設定要求パケットには、ルールを設定する対象装置である通信装置２０ａを特定する情報と、通信装置２０ａに設定されるルールの内容を特定する情報とが含まれる。ルールの内容を特定する情報は、例えばパケットの送信元アドレス、宛先アドレス、通信プロトコル及びポート番号が、処理５０２にて廃棄されたパケットの送信元アドレス、宛先アドレス、通信プロトコル及びポート番号とそれぞれ一致するパケットを廃棄するよう規定する情報である。
【００１９】
ルール設定要求パケットは、制御装置３０ａによって受信される。処理５０９において制御装置３０ａは、自身が制御する通信装置２０ａにルールの設定を指示する。処理５１０において通信装置２０ａは、制御装置３０ａからの指示に基づき、ルールを設定する。その後、処理５１１において情報処理装置１０ａがパケットを送信する。処理５１１において送信されるパケットの送信元アドレス、宛先アドレス、通信プロトコル及びポート番号が、処理５０２において通信装置２０ｂによって廃棄されたパケットの送信元アドレス、宛先アドレス、通信プロトコル及びポート番号とそれぞれ一致する場合は、処理５１０において設定登録されたルールに則り、処理５１２において通信装置２０ａが、パケットを廃棄する。これによりパケットは、ネットワーク１内を送信されて出口側の通信装置２０ａに到達した際に廃棄されるのではなく、ネットワーク１への入口側の通信装置２０ｂにて廃棄される。よって、ネットワーク１内の通信量を抑制することができる。更に第１実施例によれば、制御装置３０ｂがデータ通信システム全体のトポロジ情報を有していない場合であっても、探索パケットを生成することにより、通信装置２０ａを特定することが可能となる。
【００２０】
図３は、通信装置２０ａ及び通信装置２０ｂのハードウェア構成例を示す図である。通信装置２０ａ及び通信装置２０ｂは互いに同一又は類似するハードウェアによって構成され得るため、ここでは通信装置２０ａのハードウェア構成が説明される。通信装置２０ａは、プロセッサ２００ａと、不揮発性メモリ２５０ａと、揮発性メモリ２６０ａと、Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ（ＮＩＣ）２７０ａと、バス２８０ａを含む。
【００２１】
プロセッサ２００ａは、コンピュータプログラムを実行することにより、パケットの受信、パケットを通過させるか又は廃棄するかの判定、パケットの送信又は廃棄等の処理を実行する。またプロセッサ２００ａは、パケットを廃棄する場合、廃棄パケットのヘッダ情報を保持し、ヘッダ情報を制御装置３０ａに通知する。プロセッサ２００ａとして、例えばＣｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ（ＣＰＵ）、Ｍｉｃｒｏ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ（ＭＣＵ）、Ｍｉｃｒｏ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ（ＭＰＵ）、Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ（ＤＳＰ）、Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ（ＦＰＧＡ）等が適用可能である。
【００２２】
不揮発性メモリ２５０ａには、プロセッサ２００ａによって実行されるコンピュータプログラム等が格納される。不揮発性メモリ２５０ａとして、Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ（ＨＤＤ）、Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（ＲＯＭ）、Ｍａｓｋ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（マスクＲＯＭ）、Ｐｒｏｇｒａｍａｂｌｅ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（ＰＲＯＭ）、フラッシュメモリ、Ｍａｇｎｅｔｏｒｅｓｉｓｔｉｖｅ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＭＲＡＭ）、Ｒｅｓｉｓｔａｎｃｅ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＲｅＲＡＭ）、Ｆｅｒｒｏｅｌｅｃｔｒｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＦｅＲＡＭ）等が適用可能である。
【００２３】
揮発性メモリ２６０ａには、不揮発性メモリ２５０ａに格納されているコンピュータプログラムがダウンロードされる。揮発性メモリ２６０ａにダウンロードされたコンピュータプログラムは、プロセッサ２００ａによって実行される。また揮発性メモリ２６０ａは、プロセッサ２００ａによって処理されるデータ又はプロセッサ２００ａによって処理されたデータを保持する。揮発性メモリ２６０ａとして、Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＤＲＡＭ）やＳｔａｔｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ（ＳＲＡＭ）が適用可能である。
【００２４】
ＮＩＣ２７０ａは、他のノードから送信されたパケットを受信したり、受信したパケットを他のノードへ送信する。バス２８０ａは、プロセッサ２００ａ、不揮発性メモリ２５０ａ、揮発性メモリ２６０ａ及びＮＩＣ２７０ａに接続され、各デバイスの相互のデータ通信経路として機能する。
【００２５】
図４は、制御装置３０ａ及び制御装置３０ｂのハードウェア構成例を示す図である。制御装置３０ａ及び制御装置３０ｂは互いに同一又は類似するハードウェアによって構成され得るため、ここでは制御装置３０ａのハードウェア構成が説明される。制御装置３０ａは、プロセッサ３００ａと、不揮発性メモリ３５０ａと、揮発性メモリ３６０ａと、ＮＩＣ３７０ａと、バス３８０ａを含む。
【００２６】
プロセッサ３００ａは、コンピュータプログラムを実行することにより、所定のデータ処理を行う。例えばプロセッサ３００ａは、通信装置２０ａから廃棄パケットのヘッダ情報を受信したり、探索パケット、通知パケット、ルール設定要求パケットを生成する。またプロセッサ３００ａは、ルール設定要求パケットを制御装置３０ｂから受信した場合は、通信装置２０ａに対してルールの設定を指示する。探索パケットや通知パケットやルール変更要求パケットの詳細は追って説明される。プロセッサ３００ａとして、例えばＣＰＵ、ＭＣＵ、ＭＰＵ、ＤＳＰ、ＦＰＧＡ等が適用可能である。
【００２７】
不揮発性メモリ３５０ａには、プロセッサ３００ａによって実行されるコンピュータプログラム等が格納される。不揮発性メモリ３５０ａとして、ＨＤＤ、ＲＯＭ、マスクＲＯＭ、ＰＲＯＭ、フラッシュメモリ、ＭＲＡＭ、ＲｅＲＡＭ、ＦｅＲＡＭ等が適用可能である。
【００２８】
揮発性メモリ３６０ａには、不揮発性メモリ３５０ａに格納されているコンピュータプログラムがダウンロードされる。また揮発性メモリ３６０ａは、プロセッサ３００ａによって処理されるデータ又はプロセッサ３００ａによって処理されたデータを保持する。揮発性メモリ３６０ａとして、ＤＲＡＭやＳＲＡＭが適用可能である。ＮＩＣ３７０ａは、他のノードから送信されたパケットを受信したり、受信したパケットを他のノードへ送信する。バス３８０ａは、プロセッサ３００ａ、不揮発性メモリ３５０ａ、揮発性メモリ３６０ａ及びＮＩＣ３７０ａに接続され、各デバイスの相互のデータ通信経路として機能する。
【００２９】
次に、通信装置２０ａ及び通信装置２０ｂの機能、制御装置３０ａ及び制御装置３０ｂの機能が開示される。第１実施例において、通信装置２０ａと通信装置２０ｂは互いに同等の機能を有し、制御装置３０ａと制御装置３０ｂは互いに同等の機能を有する。言い換えれば、図２には通信装置２０ａが入口側の通信装置として機能し、通信装置２０ｂが出口側の通信装置として機能する場合の処理が示されているが、逆に、通信装置２０ｂが入口側の通信装置として機能し、通信装置２０ａが出口側の通信装置として機能する場合もある。例えば、情報処理装置１０ｂから情報処理装置１０ａに対して送信されたパケットが通信装置２０ａにおいて廃棄された場合は、通信装置２０ａが、図２にて説明された通信装置２０ｂと同様の処理を行い、通信装置２０ｂが図２にて説明された通信装置２０ａと同等の処理を行う。またこの場合は、制御装置３０ａが、図２にて説明された制御装置３０ｂと同様の処理を行い、制御装置３０ｂが図２にて説明された制御装置３０ａと同等の処理を行う。
【００３０】
図５は、通信装置２０ａのプロセッサ２００ａ及び通信装置２０ｂのプロセッサ２００ｂの機能ブロック図である。上述のように、通信装置２０ａ及び通信装置２０ｂは互いに同等の機能を有し、プロセッサ２００ａ及びプロセッサ２００ｂも互いに同等の機能を有することから、ここではプロセッサ２００ａの機能が説明される。
【００３１】
プロセッサ２００ａは、例えば不揮発性メモリ２５０ａに格納されたコンピュータプログラムを揮発性メモリ２６０ａにダウンロードして実行することにより、ルールテーブル設定部２０１ａ、パケット処理部２０２ａ、ヘッダ情報保持部２０３ａ、判定部２０４ａ、カウンタ２０５ａ、タイマ２０６ａ、通知部２０７ａ、パケット送受信部２０８ａ、パケット送受信部２０９ａ及び制御信号受信部２１０ａとして機能する。またプロセッサ２００ａは、ルールテーブル２２０ａを有する。ルールテーブル２２０ａには、受信されたパケットを通過させるか廃棄するかを判断するためのルールが格納されている。ルールテーブル２２０ａは、プロセッサ２００ａ内に保持されなくてもよく、例えば不揮発性メモリ２５０ａや揮発性メモリ２６０ａ内に保持されてもよい。
【００３２】
ルールテーブル設定部２０１ａは、ルールテーブル２２０ａにルールを設定する。ルールを設定する処理には、ルールを書込む処理の他、既に設定されているルールを変更する処理やルールを削除する処理も含まれる。パケット処理部２０２ａは、ルールテーブル２２０ａに保持されたルールの内容を参照することにより、受信されたパケットを通過させ、もしくは廃棄する。ヘッダ情報保持部２０３ａは、パケット処理部２０２ａによってパケットが廃棄される場合に、当該パケットのヘッダ情報を保持する。図２に示された例においては、処理５０２においてパケットが廃棄される場合と、処理５０５において探索パケットが廃棄される場合に、それぞれパケットのヘッダ情報がヘッダ情報保持部２０３ａに保持される。
【００３３】
判定部２０４ａは、ヘッダ情報保持部２０３ａに保持されたヘッダ情報を制御装置３０ａに通知するか否かを判定する。ヘッダ情報保持部２０３ａに保持されたヘッダ情報が探索パケットのヘッダ情報である場合は、カウンタ２０５ａが廃棄パケットの数を一つカウントアップしたことをトリガーとして、通知部２０７ａは探索パケットのヘッダ情報を制御装置３０ａに通知する。この場合は、後述されるように制御装置３０ａにおいて通知パケットが生成される。一方、ヘッダ情報保持部２０３ａに格納されたヘッダ情報が探索パケットのヘッダ情報でない場合、例えば図２の処理５０２において廃棄されたパケットのヘッダ情報である場合は、タイマ２０６ａによって所定時間間隔で発行される通知トリガー信号に基づいて、通知部２０７ａがヘッダ情報を制御装置３０ａに通知する。また、同一のヘッダ内容を有するパケットの廃棄数がカウンタ２０５ａによってカウントされ、ヘッダ情報と共に制御装置３０ａに通知される。同一のヘッダ内容を有するパケットとは、第１実施例においては、送信元アドレス、宛先アドレス、通信プロトコル及びポート番号がそれぞれ互いに一致する複数のパケットである。これらのパケットについては、通信装置２０ａにおいて、通過させるか廃棄するかについて同一の判断がなされる。本明細書においては同一のヘッダ内容を有するパケットのことを、「同一のフローに属するパケット」と呼ぶこともある。パケットの廃棄数を制御装置３０ａへ通知することの技術的意義は後述される。
【００３４】
パケット送受信部２０８ａは、ネットワーク１に対してパケットの送受信を行う。パケット送受信部２０９ａは、サブネットワーク２に対してパケットの送受信を行う。制御信号受信部２１０ａは、制御装置３０ａからの制御信号を受信する。制御信号には、例えばルールテーブル２２０ａの内容の設定を指示するルール設定指示が含まれる。
【００３５】
図６は、制御装置３０ａのプロセッサ３００ａ及び制御装置３０ｂのプロセッサ３００ｂの機能ブロック図である。上述のように、制御装置３０ａ及び制御装置３０ｂは互いに同等の機能を有し、プロセッサ３００ａ及びプロセッサ３００ｂも互いに同等の機能を有することから、ここではプロセッサ３００ａの機能が説明される。プロセッサ３００ａは、例えば不揮発性メモリ３５０ａに格納されたコンピュータプログラムを揮発性メモリ３６０ａにダウンロードして実行することにより、通知受信部３０１ａ、ヘッダ情報保持部３０２ａ、判定部３０３ａ、解析部３０４ａ、タイマ３０５ａ、探索パケット生成部３０６ａ、通知パケット生成部３０７ａ、ルール設定要求パケット生成部３０８ａ、ルール設定部３０９ａ、パケット送受信部３１０ａ及びエラー処理部３１１ａとして機能する。またプロセッサ３００ａは、管理テーブル３２０ａを有する。
【００３６】
通知受信部３０１ａは、自身が制御する通信装置２０ａからヘッダ情報の通知を受信する。尚、ヘッダ情報が、探索パケット以外のパケットのヘッダ情報である場合は、ヘッダ情報と共に廃棄パケットの数を示す情報も通信装置２０ａから通知される。ヘッダ情報保持部３０２ａは、通知受信部３０１ａが受信したヘッダ情報や廃棄パケットの数の情報を保持する。判定部３０３ａは、ヘッダ情報保持部３０２ａが保持するヘッダ情報に基づき、通信装置２０ａにて廃棄されたパケットの種別を判定する。具体的には、廃棄されたパケットが探索パケットであるか、他のパケットであるかを判定する。廃棄されたパケットが探索パケットであるか否かの判定方法としては、例えば、ヘッダ情報のポート番号を参照する方法が挙げられる。後述されるように、探索パケットのヘッダ情報には、当該パケットが探索パケットであることを示すポート番号、例えば「５５５」が付されている。判定部３０３ａは、ヘッダ情報のポート番号に基づいて、廃棄されたパケットが探索パケットであるか否かを判定することが可能となる。
【００３７】
通信装置２０ａにて廃棄されたパケットが探索パケットではないと判定された場合、解析部３０４ａは、廃棄されたパケットについて、探索パケットを生成するか否かの判定を行うための解析を行う。解析内容の例として、例えば所定時間内に、同一のフローに属するパケットが、所定の数以上、廃棄されたか否かを解析する。所定時間の計測はタイマ３０５ａによって実行される。そして、特定のフローに属するパケットが所定時間内に所定数以上、廃棄されたと解析された場合に、探索パケット生成部３０６ａは探索パケットを生成する。探索パケットの宛先ノードは、廃棄されたパケットの送信元ノード、第１実施例では情報処理装置１０ａである。また探索パケットには、フローに対応したパケットＩＤが付与される。パケット送受信部３１０ａは、探索パケット生成部３０６ａによって生成された探索パケットを送信し、また他のノードから送信された探索パケットを受信する。
【００３８】
ここで、上述の解析の技術的意義について説明する。例えば情報処理装置１０ｂをターゲットとして多数のパケットを用いた攻撃や不正アクセスが行われる場合がある。この場合は、短期間に集中的に、同一のヘッダ情報を有する複数のパケットが通信装置２０ｂにて廃棄される。解析部３０４ａは、所定期間内に同一のヘッダ情報を有する所定数以上のパケットが通信装置２０ａにて廃棄された場合に、当該複数のパケットが、特定の情報処理装置に対する攻撃や不正アクセスを目的とするものであると判断する。そして、そのような複数のパケットがネットワーク１内へ流入されることを防止するために、探索パケット生成部３０６ａはネットワーク１への入口側の情報処理装置を探索するための探索パケットを生成する。このようにすることで、不正目的の複数のパケットがネットワーク１内を流入されることを防止し、またネットワーク１内の通信量を効率的に削減することが可能となる。
【００３９】
判定部３０３ａが、通信装置２０ａにて廃棄されたパケットが探索パケットであると判定した場合は、通知パケット生成部３０７ａは、通知パケットを生成する。通知パケットは探索パケットの送信元ノードに対して、探索パケットを廃棄したノード、第１実施例では通信装置２０ａを特定する情報を通知するパケットである。パケット送受信部３１０ａは、通知パケット生成部３０７ａにて生成された通知パケットを送信する。またパケット送受信部３１０ａは、他のノードから送信された通知パケットを受信する。
【００４０】
ルール設定要求パケット生成部３０８ａは、他のノード、例えば制御装置３０ｂから通知パケットを受信した場合には、通知パケットにて特定される通信装置２０ｂに対してルール設定を行うよう要求するルール設定要求パケットを生成する。また、パケット送受信部３１０ａが他のノードからのルール設定要求パケットを受信した場合には、ルール設定部３０９ａは、ルールテーブル設定部２０１ａに対してルール設定の指示を行う。
【００４１】
エラー処理部３１１ａは、探索パケットを送信した後、一定時間が経過しても探索パケットに対する応答である通知パケットが受信されない場合に、エラー処理として探索パケットの再送処理を行う。同様にエラー処理部３１１ａは、通知パケットを送信した後、一定時間が経過しても通知パケットに対する応答であるルール設定要求パケットが受信されない場合に、エラー処理として通知パケットの再送処理を行う。
【００４２】
管理テーブル３２０ａには、探索パケットを識別するためのパケットＩＤと、廃棄されたパケットのヘッダ情報が対応付けられて登録される。このパケットＩＤは探索パケットと通知パケットの対応関係の確認に利用される。
【００４３】
次に、図２に示された例に沿って、通信装置２０ａや通信装置２０ｂに設定登録されるルールの内容や、各パケットのヘッダ情報の例について説明する。
【００４４】
図７は、図２に示された処理５０１において、情報処理装置１０ａから情報処理装置１０ｂ宛てに送信されたパケットのヘッダ情報の例を示す図である。当該パケットのヘッダには、当該パケットの送信元アドレスとして、情報処理装置１０ａのアドレスである「Ａ」が、宛先アドレスとして、情報処理装置１０ｂのアドレスである「Ｂ」が、それぞれ登録されている。また、通信プロトコルとして例えば「ＴＣＰ」、ポート番号として例えば「８０」がそれぞれ登録されている。ポート番号とは、情報処理装置がデータ通信を行う際に通信先のプログラムを特定するための番号のことである。
【００４５】
このパケットの宛先ノードは情報処理装置１０ｂであるため、当該パケットは、情報処理装置１０ｂへの通信を管理する通信装置２０ｂに到達する。通信装置２０ｂは、ルールテーブル２２０ｂに設定登録されたルールに照らして、当該パケットを通過させるか廃棄させるか、を判定する。
【００４６】
図８は、ルールテーブル２２０ｂに保持されるルールの一例を示す図である。受信したパケットを通過させるか廃棄するかを定めるルールは、サブネットワーク３からネットワーク１へ送信されるパケットに適用される送信用ルールと、ネットワーク１からサブネットワーク３へ送信されるパケットに適用される受信用ルールとを個別に設定されてもよい。図８は、ルールテーブル２２０ｂに設定登録される受信用ルールの一例を示している。受信用ルールは、例えばルールテーブル２２０ｂに設定された条件の何れかに一致するパケットのみを通過させ、ルールテーブル２２０ｂに設定された条件の何れにも一致しないパケットを廃棄するように設定されてもよい。図８に示される例では、パケットのヘッダ情報のうち、送信元アドレスが「Ａ」、宛先アドレスが「Ｄ」、通信プロトコルが「ＴＣＰ」そしてポート番号が「８０」であるパケットは、通信装置２０ｂを通過してサブネットワーク３内へ転送され、その他のパケット（図中の＊）は通信装置２０ｂにて廃棄されることが定められる。
【００４７】
図２の処理５０１において情報処理装置１０ａから送信されたパケットを受信した通信装置２０ｂは、ルールテーブル２２０ｂに登録されたルールを参照する。図７に示されたパケットは、図８に示されたルールにおいて、通信装置２０ｂを通過するパケットとして登録されていない。そのため、図２の処理５０２において、パケットは通信装置２０ｂにて廃棄される。
【００４８】
図９は、図２の処理５０４において制御装置３０ｂから送信される探索パケットのヘッダ情報の例を示す図である。探索パケットのヘッダには、送信元アドレスとして、制御装置３０ｂのアドレス「Ｙ」が登録され、宛先アドレスとして、通信装置２０ｂにて廃棄されたパケットの送信元ノードである情報処理装置１０ａのアドレス「Ａ」が登録されている。また、通信プロトコルとして「ＴＣＰ」、ポート番号として「５５５」がそれぞれ登録されている。ここで、第１実施例においては一例として、ポート番号が「５５５」のパケットが探索パケットであるものとして、通信装置２０ａ、通信装置２０ｂ、制御装置３０ａ、制御装置３０ｂ間で取り決めがなされているものとする。尚、探索パケットのヘッダには、探索パケットのパケットＩＤが含まれる。図９に示す例においては、パケットＩＤとして「１」が設定される。
【００４９】
図１０は、管理テーブル３２０ａに保持された、探索パケットのパケットＩＤと廃棄されたパケットのヘッダ情報との対応付けを示す図である。探索パケットのパケットＩＤは、探索パケットと通知パケットの対応関係の確認のために利用される。廃棄されたパケットのヘッダ情報は、ルール設定要求パケットが生成される際、設定されるルールの内容を示す情報として利用される。
【００５０】
図１１は、図２の処理５０４において制御装置３０ｂから送信された検索パケットを受信する通信装置２０ａに保持されるルールの例を示す図である。図８と同様に、受信したパケットを通過させるか廃棄するかを定めたルールは、サブネットワーク２からネットワーク１へ送信されるパケットに適用される送信用ルールと、ネットワーク１からサブネットワーク２へ送信されるパケットに適用される受信用ルールとを個別に設定されてもよい。ここでは、受信用ルールの例が示される。図１１に示される例では、送信元アドレスが「Ｄ」、宛先アドレスが「Ａ」、通信プロトコルが「ＴＣＰ」、ポート番号が「８０」であるヘッダ情報を有するパケットは、通信装置２０ａを通過してサブネットワーク２内へ送信され、その他のパケット（図中の＊）は通信装置２０ａにて廃棄されることが定められる。このようなルールがルールテーブル２２０ａに設定登録されている状態において、図９に示されたヘッダ情報を有する探索パケットが通信装置２０ａに到達したとする。探索パケットのヘッダ情報は、図１０に示されたパケットの通過条件に合致しない。そのため探索パケットは通信装置２０ａにて廃棄される（図２の処理５０５）。但し、探索パケットのヘッダ情報は通信装置２０ａの通知部２０７ａによって制御装置３０ａに通知され（図２の処理５０６）、ヘッダ情報保持部３０２ａに保持される。そして通知パケット生成部３０７ａによって通知パケットが生成される（図２の処理５０７）。
【００５１】
図１２は、通知パケット生成部３０７ａによって生成される通知パケットのヘッダ情報の例を示す図である。通知パケットのヘッダには、送信元アドレスとして、制御装置３０ａのアドレス「Ｘ」が、宛先アドレスとして、探索パケットの送信元ノードである制御装置３０ｂのアドレス「Ｙ」が登録されている。また、通信プロトコルとして「ＴＣＰ」、ポート番号として「６６６」がそれぞれ登録されている。ここで、第１実施例においては一例として、ポート番号が「６６６」のパケットが、通知パケットであることを意味するものとして、制御装置３０ａと制御装置３０ｂとの間で取り決めがなされているものとする。通知パケット生成部３０７ａは、通知パケットのヘッダのパケットＩＤの領域に、探索パケットのヘッダに含まれていたパケットＩＤと同一のパケットＩＤを書き込む。これにより、通知パケットを受信する制御装置３０ｂは、通知パケットと検索パケットの照合を行うことが可能となる。また図示はされていないが、通知パケットのペイロード部には、制御装置３０ａが制御する通信装置２０ａを特定する情報が含まれる。
【００５２】
この通知パケットは、ネットワーク１を介して、探索パケットの送信元ノードである制御装置３０ｂに到達する。通知パケットを受信した制御装置３０ｂは、通知パケットのペイロードに含まれる情報に基づき、探索対象ノードである通信装置２０ａを認識することができる。また制御装置３０ｂは、通知パケットのヘッダ情報に基づき、通信装置２０ａを管理する制御装置３０ａのアドレスを認識することができる。そしてルール設定要求パケット生成部３０８ｂは、ルール設定要求パケットを生成して制御装置３０ａに対して送信する。
【００５３】
図１３は、図２の処理５０８において生成されたルール設定要求パケットのヘッダ情報の例を示す図である。ルール設定要求パケットのヘッダには、送信元アドレスとして、制御装置３０ｂのアドレス「Ｙ」、宛先アドレスとして、制御装置３０ａのアドレス「Ｘ」、通信プロトコルとして「ＴＣＰ」、そしてポート番号として「７７７」がそれぞれ登録されている。第１実施例においては、一例としてポート番号が「７７７」のパケットが、ルール設定要求パケットであることを意味するものとして、制御装置３０ａと制御装置３０ｂとの間で取り決めがなされているものとする。また図示はされていないが、ルール設定要求パケットのペイロード部には、ルールの設定登録を行う対象ノードを特定する情報として、通信装置２０ａを特定する情報が含まれる。更に当該ペイロード部には、設定登録されるルール内容を特定する情報が含まれる。この情報とは、図２に示される例においては、送信元アドレスが「Ａ」、宛先アドレスが「Ｂ」、通信プロトコルが「ＴＣＰ」かつポート番号が「８０」であるヘッダ情報を有するパケットが、サブネットワーク２からネットワーク１へ送出される際に廃棄されることを規定する情報である。
【００５４】
図１４は、通信装置２０ａのプロセッサ２００ａ又は通信装置２０ｂのプロセッサ２００ｂによって実行される処理フローのフローチャートである。プロセッサ２００ａにて実行される処理フローとプロセッサ２００ｂにて実行される処理フローは同一であり、ここではプロセッサ２００ａにて実行される処理フローが説明される。図１４に示される処理フローチャートは、通信装置２０ａが、入口側の通信装置となる場合と出口側の通信装置となる場合の両方を含むフローチャートである。
【００５５】
処理フローは処理１０００において開始され、処理１００１においてパケット送受信部２０８ａ又はパケット送受信部２０９ａが、パケットを受信する。処理１００２においてパケット処理部２０２ａが、ルールテーブル２２０ａに登録されたルールに基づいて、パケットの処理（通過させるか廃棄するか）を判定する。パケットの処理内容が廃棄である場合は、処理フローは処理１００４へ進み、パケットの処理内容が通過である場合は、処理フローは処理１００３へ進む。処理フローが処理１００３へ進んだ場合は、処理１００３においてパケット処理部２０２ａがパケットを次のノードに転送し、処理１０２０にて処理フローが終了する。処理フローが処理１００４へ進んだ場合は、処理１００４においてヘッダ情報保持部２０３ａが、パケットのヘッダ情報を保持する。その後処理１００５においてパケット処理部２０２ａがパケットを廃棄する。処理１００６において判定部２０４ａが、廃棄されたパケットが探索パケットであるか否かを判定する。廃棄されたパケットが探索パケットであると判定された場合は、処理フローは処理１００７へ進み、廃棄されたパケットが探索パケットでないと判定された場合は、処理フローは処理１００９へ進む。
【００５６】
処理フローが処理１００７へ進んだ場合、処理１００７において通知部２０７ａは、探索パケットのヘッダ情報を制御装置３０ａに通知する。その後、処理１００８においてルールテーブル設定部２０１ａが、制御装置３０ａからのルール設定指示に基づきルールを設定し、処理１０２０において処理フローが終了する。
【００５７】
一方、処理フローが処理１００６から処理１００９へ進んだ場合、処理１００９においてカウンタ２０５ａが、廃棄されたパケットの数をフロー毎にカウントする。処理１０１０において通知部２０７ａが、タイマ２０６ａが発行する通知トリガー信号に基づき、廃棄されたパケットのヘッダ情報及び、廃棄されたパケットの数をフロー毎に制御装置３０ａに通知する。そして処理１０１１においてカウンタ２０５ａが、カウント値を初期化し、処理１０２０において処理フローが終了する。尚、図１４では、処理１００１におけるパケットの受信処理に起因して、処理１０１０においてヘッダ情報等が制御装置３０ａに通知されるフローが示されたが、パケットの受信処理とは無関係に通知トリガー信号に基づいて、ヘッダ情報保持部２０３ａに保持されているヘッダ情報等が制御装置３０ａに送信されてもよい。
【００５８】
図１５は、制御装置３０ａのプロセッサ３００ａもしくは制御装置３０ｂのプロセッサ３００ｂにて実行される処理フローのフローチャートである。プロセッサ３００ａにて実行される処理フローとプロセッサ３００ｂにて実行される処理フローは同一であり、ここではプロセッサ３００ａにて実行される処理フローが説明される。図１５に示される処理フローチャートは、制御装置３０ａが、探索パケットを生成する場合と探索パケットを受信する場合の両方を含むフローチャートである。
【００５９】
処理フローは処理１１００により開始され、処理１１０１において通知受信部３０１ａが、通信装置２０ａから、廃棄されたパケットのヘッダ情報等を受信する。通知受信部３０１ａが通信装置２０ａから受信する情報には、ヘッダ情報の他に、廃棄されたパケットの数を示す情報も含まれ得る。処理１１０２においてヘッダ情報保持部３０２ａが、処理１１０１にて受信されたヘッダ情報等を保持する。処理１１０３において判定部３０３ａが、ヘッダ情報保持部３０２ａに保持されたヘッダ情報が、探索パケットのヘッダ情報であるか否かを判定する。ヘッダ情報保持部３０２ａに保持されたヘッダ情報が探索パケットのヘッダ情報である場合は、処理フローは、図１６の処理１２０１（後述）へ移行する。ヘッダ情報保持部３０２ａに保持されたヘッダ情報が探索パケットのヘッダ情報である場合は、処理フローは処理１１０４へ進む。
【００６０】
処理１１０４において解析部３０４ａが、廃棄されたパケットの数等に基づく解析を行い、探索パケットの発行が必要か否かを判定する。探索パケットの発行が不要と判定された場合は、処理フローは処理１１２０にて終了する。探索パケットの生成が必要と判定された場合は、処理１１０５において探索パケット生成部３０６ａが、探索パケットを生成する。処理１１０６において探索パケット生成部３０６ａは、生成された探索パケットのパケットＩＤと、廃棄されたパケットのヘッダ情報とを関連付けて管理テーブル３２０ａに登録する。処理１１０７においてパケット送受信部３１０ａが、生成された探索パケットを送信する。その後、処理１１０８においてエラー処理部３１１ａが、探索パケットが送信されてから一定時間以内に通知パケットがパケット送受信部３１０ａによって受信されたか否かを判定する。所定時間以内に通知パケットが受信されない場合は、処理１１０９においてエラー処理部３１１ａが、探索パケットの生成回数を記録するカウント値を１だけ増加させる。そして処理１１１０においてエラー処理部３１１ａが、探索パケットの生成回数が所定値を超えたか否かを判定する。探索パケットの生成回数が所定値を超えていないと判定された場合は、処理フローは処理１１０５へ戻り、再度探索パケットが生成される。一方、探索パケットの生成回数が所定値を超えたと判定された場合は、処理フローは処理１１１０から処理１１１３へ進む。
【００６１】
処理１１０８において所定時間以内に通知パケットが受信されたと判定された場合は、処理１１１１においてルール設定要求パケット生成部３０８ａが、ルール設定要求パケットを生成する。処理１１１２においてパケット送受信部３１０ａが、生成されたルール設定要求パケットを送信する。処理１１１３においてヘッダ情報保持部３０２ａが、自身の保持するヘッダ情報を消去する。その後、処理１１２０において処理フローが終了する。
【００６２】
図１６は、制御装置３０ａのプロセッサ３００ａ又は制御装置３０ｂのプロセッサ３００ｂにて実行される処理フローのフローチャートの一部であって、図１５にて開示された処理１１０３に続く処理フローのフローチャートである。プロセッサ３００ａにて実行される処理フローとプロセッサ３００ｂにて実行される処理フローは同一であるため、ここではプロセッサ３００ａにて実行される処理フローが説明される。
【００６３】
処理１１０３においてヘッダ情報保持部３０２ａに保持されたヘッダ情報が、探索パケットのヘッダ情報であると判定された場合、処理１２０１において通知パケット生成部３０７ａが、通知パケットを生成する。処理１２０２においてパケット送受信部３１０ａが、生成された通知パケットを送信する。処理１２０３においてエラー処理部３１１ａが、通知パケットを送信した後、所定時間内にルール設定要求パケットがパケット送受信部３１０ａによって受信されたか否かを判定する。所定時間内にルール設定要求パケットが受信されない場合は、処理フローは処理１２０４へ進み、所定時間内にルール設定要求パケットが受信された場合は、処理フローは処理１２０６へ進む。
【００６４】
処理１２０４においてエラー処理部３１１ａが、通知パケットの生成回数を記録するカウント値を１だけ増加させる。そして処理１２０５においてエラー処理部３１１ａが、通知パケットの生成回数が所定値を超えたか否かを判定する。通知パケットの生成回数が所定値を超えていないと判定された場合は、処理フローは処理１２０１へ戻り、再度通知パケットが生成される。通知パケットの生成回数が所定値を超えたと判定された場合は、処理フローは処理１２０５から処理１２０７へ進む。
【００６５】
一方、処理１２０３において、所定時間内にルール設定要求パケットが受信されたと判定された場合は、処理１２０６においてルール設定部３０９ａが、ルールの設定を通信装置２０ａのルールテーブル設定部２０１ａに対して指示する。その後、処理１２０７においてヘッダ情報保持部３０２ａが、自身が保持するヘッダ情報を消去し、処理１２２０において処理フローが終了する。
【００６６】
図１７は、ルールテーブル２２０ａに保持されるルールの例を示す図である。ここでは、図２の処理５１０において設定された送信用ルールの例が開示される。図１７に示されるように、送信元アドレスが「Ａ」、宛先アドレスが「Ｂ」、通信プロトコルが「ＴＣＰ」、かつポート番号が「８０」であるヘッダ情報を有するパケットは、通信装置２０ａにて廃棄され、他のパケット（図中の＊）は通信装置２０ａを通過することを定めたルールが設定される。これにより、上記のヘッダ情報を有するパケットは、ネットワーク１の出口側の通信装置２０ｂにて廃棄されるのではなく、ネットワーク１の入口側の通信装置２０ａにて廃棄されることになる。
【００６７】
このように第１実施例によれば、ネットワーク１の出口側における通信装置２０ａ又は通信装置２０ｂでパケットが廃棄された場合に、ネットワーク１の入口側における通信装置２０ｂ又は通信装置２０ａにルールの設定を行うことができる。また、制御装置３０ａ又は制御装置３０ｂがデータ通信システム全体のトポロジ情報を有していない場合であっても、入口側の通信装置２０ａ又は通信装置２０ｂを特定することができ、入口側の通信装置２０ａ又は通信装置２０ｂのルールを設定することが可能となる。
【００６８】
尚、第１実施例では、通知パケット及びルール設定要求パケットについて通信装置２０ａと通信装置２０ｂとの間で行われる通信は、通信装置２０ａのパケット送受信ポートであってネットワーク１用のポートと、通信装置２０ａのパケット送受信ポートであってネットワーク１用のポートとを用いて実行される例について説明がなされた。これに代えて、通信装置２０ａのパケット送受信ポートであって通信経路９用にアドレス「Ｓ」が付されたポートと、通信装置２０ａのパケット送受信ポートであって通信経路９用にアドレス「Ｔ」が付されたポートとを用いて、制御装置３０ａと制御装置３０ｂとが通信を行ってもよい。ネットワーク１とは分離された通信経路９を用いることにより、通信経路９に接続されていないノードが制御装置３０ａや制御装置３０ｂに成りすまして通知パケットやルール設定要求パケットを送信することを防ぐことができる。
【００６９】
また第１実施例では、通信装置２０ａと制御装置３０ａはそれぞれ別の装置として図示されたが、本発明の実施形態はこれに限定されない。例えば通信装置２０ａの機能と制御装置３０ａの機能を包含するファイアウォールがネットワーク１とサブネットワーク２との間に設けられてもよい。通信装置２０ｂと制御装置３０ｂについても同様に、それぞれが別体の装置として実現されなくてもよい。
【００７０】
尚、ネットワーク１は、単一の通信事業者によって提供される広域網でなくてもよい。ネットワーク１は、異なる通信事業者のそれぞれによって提供される複数の異なる広域網を含んでもよい。通信装置２０ａと通信装置２０ｂがそれぞれ異なる広域網に属し、制御装置３０ａと制御装置３０ｂがそれぞれ異なる広域網に属する場合は、制御装置３０ａと制御装置３０ｂの間で、探索パケットや通知パケットやルール設定要求パケット等の仕様に関して情報を共有させる。これにより、ネットワーク１が複数の広域網に跨る場合であっても、入口側の通信装置２０ａにルールを設定することが可能となる。
【００７１】
＜第２実施例＞
第１実施例では、制御装置３０ａ及び制御装置３０ｂがそれぞれ、通信装置２０ａと通信装置２０ｂを制御する例についての説明がなされた。第２実施例では、制御装置３０ａが、通信装置２０ａと通信装置２０ｂの両方を制御する例が開示される。
【００７２】
図１８は、第２実施例におけるデータ通信システムの構成例を示す図である。図１にて開示された構成と同一の構成については同一の符号が付され、説明が省略される。通信装置２０ａと通信装置２０ｂは何れも、制御装置３０ａによって制御される。制御装置３０ａは、ネットワーク１に接続され、パケットの送受信を行うことができる。制御装置３０ａにはアドレス「Ｚ」が割り当てられているものとする。制御装置３０ａは第１実施例と同様、図３に示されるハードウェア構成により実現され得る。
【００７３】
図１９は、第２実施例におけるルール設定登録の処理方法を示す図である。処理６０１において情報処理装置１０ａが、情報処理装置１０ｂ宛てにパケットを送信する。このパケットのヘッダ情報は、図７に示されたヘッダ情報と同一のものとする。情報処理装置１０ａより送信されたパケットは、通信装置２０ａを通過し、通信装置２０ｂに到達する。通信装置２０ｂには図８に示されたルールと同一のルールが設定登録されているものとする。処理６０２において通信装置２０ｂは、設定登録されているルールに基づいて、当該パケットを廃棄する。処理６０３において通信装置２０ｂが、廃棄されたパケットのヘッダ情報を制御装置３０ａへ通知する。処理６０４において制御装置３０ａは、探索パケットを生成する。この探索パケットのヘッダ情報は、図９に示された探索パケットのヘッダ情報と同一のものとする。但し、送信元アドレスは、図９に示された「Ｙ」ではなく、第２実施例における制御装置３０ａのアドレス「Ｚ」となる。この探索パケットの生成に基づき、図１０に示された管理テーブル３２０ａの登録がなされる。
【００７４】
探索パケットは情報処理装置１０ａを宛先ノードとして生成され、制御装置３０ａから送信される。探索パケットはネットワーク１内を送信され、情報処理装置１０ａへの通信を管理する通信装置２０ａへ到達する。通信装置２０ａには、図１１に示された受信用ルールが設定登録されているものとする。処理６０５において通信装置２０ａは、上述の受信用ルールに基づいて探索パケットを廃棄する。処理６０６において通信装置２０ａは、探索パケットのヘッダ情報を制御装置３０ａに通知する。ヘッダ情報には、パケットＩＤが含まれる。またこの際、通信装置２０ａは、通信装置２０ａを特定する情報を制御装置３０ａに通知する。制御装置３０ａは、通信装置２０ａから通知されたパケットのヘッダ情報に含まれるパケットＩＤに基づいて管理テーブル３２０ａを参照し、対応する廃棄パケットのヘッダ情報を特定する。処理６０７において制御装置３０ａは、管理テーブル３２０ａに登録されている廃棄パケットのヘッダ情報に基づき、ルールの設定を通信装置２０ａに指示する。処理６０８において通信装置２０ａは、制御装置３０ａからの指示に基づきルールを設定する。その後、処理６０９において情報処理装置１０ａがパケットを送信する。ここで送信されるパケットは、処理６０１で送信されたパケットと同一のフローに属するパケットであるものとする。この場合、処理６０８において設定登録されたルールに則り、処理６１０において通信装置２０ａがパケットを廃棄する。これにより、ネットワーク１への入口側の通信装置２０ａにて当該パケットが廃棄される。よって、ネットワーク１内の通信量を抑制することができる。更に、制御装置３０ａがデータ通信システム全体のトポロジ情報を有していない場合であっても、探索パケットを生成することにより、通信装置２０ａを特定することが可能となる。また第２実施例では、通信装置２０ａ及び通信装置２０ｂの両方が制御装置３０ａによって制御されるため、第１実施例にて開示された通知パケットやルール設定要求パケットを用いることなく、通信装置２０ａにルールの設定を行うことができる。
【００７５】
第２実施例における通信装置２０ａのプロセッサ２００ａ及び通信装置２０ｂのプロセッサ２００ｂの機能ブロックとして、図５に示された機能ブロックと同じ機能ブロックが適用可能である。
【００７６】
また第２実施例における制御装置３０ａのプロセッサ３００ａ及び制御装置３０ｂのプロセッサ３００ｂの機能ブロックとして、図６に示された機能ブロックと同じ機能ブロックが適用可能である。但し、第２実施例においては、通知パケット及びルール設定要求パケットは生成されないため、図６に示された機能ブロックのうち、通知パケット生成部３０７ａ及びルール設定要求パケット生成部３０８ａは省略可能である。
【００７７】
図２０は、第２実施例における制御装置３０ａのプロセッサ３００ａによって実行される処理のフローチャートである。第１実施例におけるプロセッサ３００ａのフローチャート（図１５参照）と同一の処理については同一の参照符号が付され、説明は省略される。処理１１００から処理１１０７においては、第１実施例と同様の処理が実行される。処理１３０１においてエラー処理部３１１ａが、探索パケットが送信されてから所定時間以内に検索パケットのヘッダ情報の通知を通信装置２０ａから受けたか否かを判定する。所定時間以内に検索パケットのヘッダ情報の通知を受けなかった場合は、処理フローは処理１１０９へ進み、所定時間以内に検索パケットのヘッダ情報の通知を受けた場合は、処理フローは処理１３０２へ進む。処理１３０２においてルール設定部３０９ａは、ルールの設定を通信装置２０ａのルールテーブル設定部２０１ａに指示する。その後処理１１１３においてヘッダ情報保持部３０２ａは、自身が保持するヘッダ情報のうち、ルールの設定が行われたフローに関するヘッダ情報を消去し、処理１１２０において処理フローが終了する。尚、処理１１０３において、ヘッダ情報保持部３０２ａに保持されたヘッダ情報が探索パケットのヘッダ情報であると判定された場合、処理フローは処理１３０２へ進み、ルール設定部３０９ａが、ルールの設定をルールテーブル設定部２０１ａに指示する。
【００７８】
上記の開示内容に基づき、更に以下の付記を開示する。
（付記１）
第１情報処理装置と、前記第１情報処理装置のパケット通信を管理する第１通信装置と、前記第１通信装置を制御する第１制御装置と、第２情報処理装置と、前記第２情報処理装置のパケット通信を管理する第２通信装置と、を含む通信システムを用いた通信制御方法において、
前記第１情報処理装置が、前記第２情報処理装置宛ての第１パケットを前記第１通信装置経由で送信する工程と、
前記第２通信装置が、前記第１パケットが前記第２情報処理装置宛てに送信される経路において、前記第１パケットを受信する工程と、
前記第２通信装置が、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットを廃棄する工程と、
廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程と、
前記第１情報処理装置を宛先ノードとする第２パケットを送信する工程と、
前記第１通信装置が、前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第２パケットを受信し、
前記第１通信装置が、前記第１通信装置を特定する第１情報を前記第１制御装置に通知する工程と、
通知された前記第１情報に基づき、前記第１制御装置が、受信パケットの通過又は廃棄を規定する第２ルールを前記第１通信装置に設定する工程と
を有することを特徴とする通信制御方法。
（付記２）
前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程及び、前記第２パケットを送信する工程は、第２制御装置により実行されることを特徴とする付記１に記載の通信制御方法。
（付記３）
前記第２通信装置が前記第１パケットを廃棄する工程の後、前記第２通信装置が、前記第１ヘッダ情報を前記第２制御装置へ通知する工程を更に有することを特徴とする付記２に記載の通信制御方法。
（付記４）
前記第１通信装置が前記第１情報を前記第１制御装置に通知する工程の後に、前記第１制御装置が、前記第２パケットの第２ヘッダ情報に基づき、前記第１情報を含む第３パケットを前記第２制御装置へ送信する工程と、
前記第１制御装置が前記第１通信装置に前記第２ルールを設定する工程の前に、前記第２制御装置が、前記第１情報に基づき、前記第１通信装置に前記第２ルールを設定するよう要求する第４パケットを、前記第１制御装置へ送信する工程と、
を有することを特徴とする付記２又は３に記載の通信制御方法。
（付記５）
前記第２ルールは、前記第１ヘッダ情報と同一のヘッダ情報を有するパケットを廃棄することを規定するルールであることを特徴とする付記１乃至４いずれか一つに記載の通信制御方法。
（付記６）
前記第１通信装置及び前記第２制御装置は、前記第２パケットの廃棄に関する第３ルールを共有し、前記第２制御装置は前記第３ルールに則って前記第２パケットを生成し、前記第１通信装置は前記第３ルールに則って前記第２パケットを廃棄することを特徴とする付記２乃至５いずれか一つに記載の通信制御方法。
（付記７）
前記第１パケットの送信元ノードである前記第１情報処理装置を特定する工程及び、前記第２パケットを送信する工程は、前記第１制御装置により実行されることを特徴とする付記１に記載の通信制御方法。
（付記８）
前記第２通信装置が前記第１パケットを廃棄する工程の後、前記第２通信装置が、前記第１ヘッダ情報を前記第１制御装置へ通知する工程を更に有することを特徴とする付記１又は７に記載の通信制御方法。
（付記９）
第１情報処理装置と、
前記第１情報処理装置のパケット通信を管理する第１通信装置と、
第２情報処理装置と、
前記第２情報処理装置のパケット通信を管理する第２通信装置と、
前記第１通信装置を制御する第１制御装置と、
を有し、
前記第１情報処理装置から、前記第２情報処理装置宛ての第１パケットが前記第１通信装置経由で送信され、
前記第２通信装置により、前記第１パケットが前記第２情報処理装置宛てに送信される経路において、前記第１パケットが受信され、
前記第２通信装置により、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットが廃棄され、
廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置が特定され、
前記第１情報処理装置を宛先ノードとする第２パケットが送信され、
前記第１通信装置により、前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第２パケットが受信され、
前記第１通信装置により、前記第１通信装置を特定する第１情報が第１制御装置に通知され、
前記第１情報に基づき、前記第１制御装置により、受信パケットの通過又は廃棄を規定する第２ルールが前記第１通信装置に設定される
ことを有することを特徴とする通信システム。
（付記１０）
更に第２制御装置を含み、
前記第１パケットの送信元ノードである前記第１情報処理装置の特定及び、前記第２パケットの送信は、前記第２制御装置により実行される
ことを特徴とする付記９に記載の通信システム。
（付記１１）
前記第２通信装置が前記第１パケットを廃棄した後、前記第２通信装置が、前記第１ヘッダ情報を前記第２制御装置へ通知することを特徴とする付記１０に記載の通信システム。
（付記１２）
前記第１通信装置が前記第１情報を前記第１制御装置に通知した後に、前記第１制御装置が、前記第２パケットの第２ヘッダ情報に基づき、前記第１情報を含む第３パケットを前記第２制御装置へ送信し、
前記第１制御装置が前記第１通信装置に前記第２ルールを設定する前に、前記第２制御装置が、前記第１情報に基づき、前記第１通信装置に前記第２ルールを設定するよう要求する第４パケットを、前記第１制御装置へ送信する、
ことを特徴とする付記１０又は１１に記載の通信システム。
（付記１３）
前記第２ルールは、前記第１ヘッダ情報と同一のヘッダ情報を有するパケットを廃棄することを規定するルールであることを特徴とする付記９乃至１２いずれか一つに記載の通信システム。
（付記１４）
前記第１通信装置及び前記第２制御装置は、前記第２パケットの廃棄に関する第３ルールを共有し、前記第２制御装置は前記第３ルールに則って前記第２パケットを生成し、前記第１通信装置は前記第３ルールに則って前記第２パケットを廃棄することを特徴とする付記１０乃至１３いずれか一つに記載の通信システム。
（付記１５）
前記第１パケットの送信元ノードである前記第１情報処理装置の特定及び、前記第２パケットの送信は、前記第１制御装置により実行されることを特徴とする付記９に記載の通信システム。
（付記１６）
前記第２通信装置が前記第１パケットを廃棄した後、前記第２通信装置が、前記第１ヘッダ情報を前記第１制御装置へ通知することを特徴とする付記９又は１５に記載の通信システム。
（付記１７）
第１情報処理装置と、前記第１情報処理装置のパケット通信を管理する第１通信装置と、第２情報処理装置と、前記第２情報処理装置のパケット通信を管理する第２通信装置と、を含む通信システムに接続され、前記第１通信装置を制御する第１制御装置であって、
前記第１情報処理装置から前記第１通信装置経由で前記第２情報処理装置宛てに送信された第１パケットが、前記第１パケットが前記第２情報処理装置宛てに送信される経路において前記第２通信装置により受信され、受信パケットの通過又は廃棄を規定する第１ルールに基づいて前記第１パケットが前記第２通信装置により廃棄された場合、廃棄された前記第１パケットの第１ヘッダ情報に基づいて、前記第１パケットの送信元ノードである前記第１情報処理装置を特定し、
前記第１情報処理装置を宛先ノードとする第２パケットを送信し、
前記第２パケットが前記第１情報処理装置宛てに送信される経路において、前記第１通信装置により前記第２パケットが受信され、前記第１通信装置を特定する第１情報を第１制御装置から受信し、
前記第１情報に基づき、受信パケットの通過又は廃棄を規定する第２ルールを前記第１通信装置に設定する
ことを有することを特徴とする制御装置。
（付記１８）
前記第２通信装置から、前記第１ヘッダ情報を受信することを特徴とする付記１７に記載の制御装置。
（付記１９）
前記第１通信装置から、前記第２ヘッダ情報を受信することを特徴とする付記１７又は１８に記載の制御装置。
【符号の説明】
【００７９】
１  ネットワーク
２、３  サブネットワーク
５  中継装置
９  通信経路
１０ａ、１０ｂ、１０ｃ、１０ｄ  情報処理装置
２０ａ、２０ｂ  通信装置
３０ａ、３０ｂ  制御装置
２００ａ、２００ｂ、３００ａ、３００ｂ  プロセッサ
２５０ａ、２５０ｂ、３５０ａ、３５０ｂ  不揮発性メモリ
２６０ａ、２６０ｂ、３６０ａ、３６０ｂ  揮発性メモリ
２７０ａ、２７０ｂ、３７０ａ、３７０ｂ  ＮＩＣ
２８０ａ、２８０ｂ、３８０ａ、３８０ｂ  バス
２０１ａ、２０１ｂ  ルールテーブル設定部
２０２ａ、２０２ｂ  パケット処理部
２０３ａ、２０３ｂ  ヘッダ情報保持部
２０４ａ、２０４ｂ  判定部
２０５ａ、２０５ｂ  カウンタ
２０６ａ、２０６ｂ  タイマ
２０７ａ、２０７ｂ  通知部
２０８ａ、２０８ｂ  パケット送受信部
２０９ａ、２０９ｂ  パケット送受信部
２１０ａ、２１０ｂ  制御信号受信部
２２０ａ、２２０ｂ  ルールテーブル
３０１ａ、３０１ｂ  通知受信部
３０２ａ、３０２ｂ  ヘッダ情報保持部
３０３ａ、３０３ｂ  判定部
３０４ａ、３０４ｂ  解析部
３０５ａ、３０５ｂ  タイマ
３０６ａ、３０６ｂ  探索パケット生成部
３０７ａ、３０７ｂ  通知パケット生成部
３０８ａ、３０８ｂ  ルール設定要求パケット生成部
３０９ａ、３０９ｂ  ルール設定部
３１０ａ、３１０ｂ  パケット送受信部
３１１ａ、３１１ｂ  エラー処理部
３２０ａ、３２０ｂ  管理テーブル
【図１】
2017046022.tif 000003
【図２】
2017046022.tif 000004
【図３】
2017046022.tif 000005
【図４】
2017046022.tif 000006
【図５】
2017046022.tif 000007
【図６】
2017046022.tif 000008
【図７】
2017046022.tif 000009
【図８】
2017046022.tif 000010
【図９】
2017046022.tif 000011
【図１０】
2017046022.tif 000012
【図１１】
2017046022.tif 000013
【図１２】
2017046022.tif 000014
【図１３】
2017046022.tif 000015
【図１４】
2017046022.tif 000016
【図１５】
2017046022.tif 000017
【図１６】
2017046022.tif 000018
【図１７】
2017046022.tif 000019
【図１８】
2017046022.tif 000020
【図１９】
2017046022.tif 000021
【図２０】
2017046022.tif 000022