特許 5977860 通信制御方法、通信制御装置及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】5977860

(24)【登録日】2016年7月29日

(45)【発行日】2016年8月24日

(54)【発明の名称】通信制御方法、通信制御装置及びプログラム

(51)【国際特許分類】

   H04L 12/715 20130101AFI20160817BHJP

   H04L 12/66 20060101ALI20160817BHJP

【ＦＩ】

   H04L12/715

   H04L12/66 B

【請求項の数】13

【全頁数】29

(21)【出願番号】特願2015-111340(P2015-111340)

(22)【出願日】2015年6月1日

【審査請求日】2016年3月9日

【早期審査対象出願】

(73)【特許権者】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】110001634

【氏名又は名称】特許業務法人 志賀国際特許事務所

(72)【発明者】

【氏名】水口 孝則

(72)【発明者】

【氏名】池田 賢斗

(72)【発明者】

【氏名】加藤 淳也

(72)【発明者】

【氏名】西塚 要

(72)【発明者】

【氏名】櫻田 真士

【審査官】 安藤 一道

(56)【参考文献】

【文献】 特表２０１４−５０４１１１（ＪＰ，Ａ）

【文献】 特開２００７−１２９４８２（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１２／０１７４１９６（ＵＳ，Ａ１）

【文献】 Sharad Agarwal et. al.，DDoS Mitigation via Regional Cleaning Centers，SPRINT ATL RESEARCH REPORT RR04-ATL-013177，２００４年 １月，ＵＲＬ，http://mediatools.cs.ucl.ac.uk/nets/dos/export/1446/end toend/paper/relatedwork/RR04-ATL-013177.pdf

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／７１５

Ｈ０４Ｌ １２／６６

(57)【特許請求の範囲】

【請求項1】

特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムにおいて、経路制御をする通信制御方法であって、
前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第２経路を、前記フィルタ部を経由することなく、前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する通信経路設定過程
を前記通信システムの通信制御部に実施させる通信制御方法。

【請求項2】

前記第１経路に設けられた第３ネットワークに前記フィルタ部が収容されており、
前記第１経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程
を含む請求項１に記載の通信制御方法。

【請求項3】

前記第２ネットワークに前記フィルタ部が収容されており、前記第１経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程
を含む請求項１又は請求項２に記載の通信制御方法。

【請求項4】

前記通信経路設定過程において、
前記特定のネットワークと前記第１ネットワークとの間の経路を制御する経路制御プロトコルを利用して、次に示す２種類の前記経路情報を前記通信制御部が出力させる過程
を含み、
第１の経路情報には、前記第１ネットワークのアドレス空間を示すアドレス情報が含まれ、第２の経路情報には、前記第１ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれている
請求項１又は請求項２に記載の通信制御方法。

【請求項5】

前記第１の経路情報には、前記フィルタ部が設けられたネットワークとは別のネットワークに属するゲートウェイに、前記特定のネットワークから受信したパケットが前記第２ネットワークから転送されるように転送先を指定する情報が含まれており、
前記第２の経路情報には、前記受信したパケットが前記フィルタ部に転送されるように転送先を指定する情報が含まれている
請求項４に記載の通信制御方法。

【請求項6】

前記第１の経路情報と前記第２の経路情報は、前記第１経路に設けられた第３ネットワークから送出される
請求項４又は請求項５に記載の通信制御方法。

【請求項7】

前記第２の経路情報について、前記第２ネットワークを経由して他のネットワークに広告されるかは、前記第２ネットワークの接続先のネットワークに応じて選択される
請求項４から請求項６の何れか１項に記載の通信制御方法。

【請求項8】

前記経路情報の送出元を示す情報を前記第１ネットワークにして前記経路を設定する過程
を含む請求項１から請求項７の何れか１項に記載の通信制御方法。

【請求項9】

前記第１ネットワークと前記フィルタ部が設けられたネットワークとの間にトンネルが形成されていて、前記第１経路に設けられた前記フィルタ部を経由する通信のパケットは、当該トンネルを経由して前記第３ネットワークから前記第１ネットワークに転送される
請求項２に記載の通信制御方法。

【請求項10】

前記フィルタ部が設けられたネットワークとは別のネットワークは、前記第１ネットワークに向かう前記第２経路に含まれるネットワークである
請求項１から請求項９の何れか１項に記載の通信制御方法。

【請求項11】

前記第１ネットワークと前記第２ネットワークが他のネットワークを介して接続されている場合、前記第１ネットワークと前記第２ネットワークとの間に存在する他のネットワークを指定する情報が前記経路情報に追加される
請求項１から請求項１０の何れか１項に記載の通信制御方法。

【請求項12】

特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムにおいて、経路制御をする通信制御装置であって、
前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第２経路を、前記フィルタ部を経由することなく、前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する経路設定部
を備える通信制御装置。

【請求項13】

特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、
前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムのコンピュータに、
前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第２経路を、前記フィルタ部を経由することなく、前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御するステップ
を実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信制御方法、通信制御装置及びプログラムに関する。

【背景技術】

【0002】

インターネットなどの公的なネットワークに接続されている通信システムでは、攻撃的な通信が集中することにより、その通信機能が低下することがある。これに対し、攻撃的な通信が集中することによる通信機能の低下を軽減させる技術が知られている（特許文献１参照）。
特許文献１によれば、複数のＩＳＰ（Internet Service Provider）とマルチホームしているユーザネットワークに対する通信において、１つのＩＳＰにおいてＤＤｏＳ攻撃による影響を低減させる対策を実施することが開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１４−２２９９８２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、特許文献１に記載の技術では、ＩＳＰ間で交換される経路情報により指定されたアドレス空間に含まれる通信全てについて、攻撃対策装置がその対策に要する処理をすることが必要とされ、攻撃対策装置における対策時の処理の負荷が高くなる。攻撃対策装置の処理能力以上のトラフィックが生じた場合などでは、処理が滞留してしまい、転送するパケットの遅延が大きくなることがある。

【0005】

上記事情を鑑み、本発明は、通信システムの利便性を高めることを可能にする技術を提供することを目的としている。

【課題を解決するための手段】

【0006】

本発明の一態様は、特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、所定の条件に従い通信を制限するフィルタ部と、を含む通信システムにおいて、経路制御をする通信制御方法であって、前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、前記分岐させた経路の第２経路を前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する通信経路設定過程を前記通信システムの通信制御部に実施させることを特徴とする通信制御方法である。

【0007】

本発明の一態様は、上記の通信制御方法であって、前記第１経路に設けられた第３ネットワークに前記フィルタ部が収容されており、前記第１経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程を含むことを特徴とする。

【0008】

本発明の一態様は、上記の通信制御方法であって、前記第２ネットワークに前記フィルタ部が収容されており、前記第１経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程を含むことを特徴とする。

【0009】

本発明の一態様は、上記の通信制御方法であって、前記通信経路設定過程において、前記特定のネットワークと前記第１ネットワークとの間の経路を制御する経路制御プロトコルを利用して、次に示す２種類の前記経路情報を前記通信制御部が出力させる過程を含み、第１の経路情報には、前記第１ネットワークのアドレス空間を示すアドレス情報が含まれ、第２の経路情報には、前記第１ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれていることを特徴とする。

【0010】

本発明の一態様は、上記の通信制御方法であって、前記第１の経路情報には、前記フィルタ部が設けられたネットワークとは別のネットワークに属するゲートウェイに、前記特定のネットワークから受信したパケットが前記第２ネットワークから転送されるように転送先を指定する情報が含まれており、前記第２の経路情報には、前記受信したパケットが前記フィルタ部に転送されるように転送先を指定する情報が含まれていることを特徴とする。

【0011】

本発明の一態様は、上記の通信制御方法であって、前記第１の経路情報と前記第２の経路情報は、前記第１経路に設けられた第３ネットワークから送出されることを特徴とする。

【0012】

本発明の一態様は、上記の通信制御方法であって、前記第２の経路情報について、前記第２ネットワークを経由して他のネットワークに広告されるかは、前記第２ネットワークの接続先のネットワークに応じて選択されることを特徴とする。

【0013】

本発明の一態様は、上記の通信制御方法であって、前記経路情報の送出元を示す情報を前記第１ネットワークにして前記経路を設定する過程を含むことを特徴とする。

【0014】

本発明の一態様は、上記の通信制御方法であって、前記第１ネットワークと前記フィルタ部が設けられたネットワークとの間にトンネルが形成されていて、前記第１経路に設けられた前記フィルタ部を経由する通信のパケットは、当該トンネルを経由して前記第３ネットワークから前記第１ネットワークに転送されることを特徴とする。

【0015】

本発明の一態様は、上記の通信制御方法であって、前記フィルタ部が設けられたネットワークとは別のネットワークは、前記第１ネットワークに向かう前記第２経路に含まれるネットワークであることを特徴とする。

【0016】

本発明の一態様は、上記の通信制御方法であって、前記第１ネットワークと前記第２ネットワークが他のネットワークを介して接続されている場合、前記第１ネットワークと前記第２ネットワークとの間に存在する他のネットワークを指定する情報が前記経路情報に追加されることを特徴とする。

【0017】

本発明の一態様は、特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、所定の条件に従い通信を制限するフィルタ部と、を含む通信システムにおいて、経路制御をする通信制御装置であって、前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、前記分岐させた経路の第２経路を前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御する経路設定部を備えることを特徴とする通信制御装置である。

【0018】

本発明の一態様は、特定のネットワークと、前記特定のネットワークと接続する特定の装置を収容する第１ネットワークと、前記特定のネットワークと前記第１ネットワークとの間に設けられた第２ネットワークと、所定の条件に従い通信を制限するフィルタ部と、を含む通信システムのコンピュータに、前記特定のネットワーク側から前記第１ネットワークに向かう経路を前記第２ネットワークにおいて分岐させるように定めた経路情報により、前記分岐させた経路の第１経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、前記分岐させた経路の第２経路を前記第１ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第１ネットワークに向かう経路にするように経路を制御するステップを実行させるためのプログラムである。

【0019】

本発明の一態様は、インターネットと通信する特定の装置を収容する第１ネットワークと、前記インターネットと前記第１ネットワークとの間に設けられた第２ネットワークと、所定の条件に従い通信を制限するフィルタ部を備えるとともに、前記第２ネットワークと接続し、前記第１ネットワークとトンネルを形成する第３ネットワークと、を含むネットワークにおいて、前記インターネットから前記第１ネットワークに向けられたパケットを経路制御プロトコルにより制御する通信制御方法であって、宛先が前記第１ネットワークのアドレス空間に属するパケットの転送先を、前記第３ネットワークとは別のネットワークに指定する情報が含まれる第１の経路情報を、前記第２ネットワークに広告するステップと、宛先が、前記第１ネットワークのアドレス空間より狭く、かつ、前記特定の装置のアドレスを含むアドレス空間に属するパケットの転送先を、前記第３ネットワークに指定する情報が含まれる第２の経路情報を、前記第２ネットワークに広告するステップと、を有することを特徴とする通信制御方法である。

【0020】

本発明の一態様は、コンピュータに、上記に記載の通信制御方法を実行させるためのプログラムである。

【発明の効果】

【0021】

本発明により、通信システムの利便性を高めることが可能となる。

【図面の簡単な説明】

【0022】

【図1】第１実施形態の通信システムの構成図である。

【図2】通信システムにおけるトラフィックを軽減させる処理を示すフローチャートである。

【図3】本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。

【図4】本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【図5】第２実施形態に係る通信システムの構成図である。

【図6】本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。

【図7】本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【図8】第３実施形態に係る通信システムの構成図である。

【図9】本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。

【図10】本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【図11】第４実施形態に係る通信システムの構成図である。

【図12】本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。

【図13】本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【発明を実施するための形態】

【0023】

図を参照して、本実施形態に係る通信システムについて説明する。

【0024】

＜第１実施形態＞
図１は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システムの概要を以下に示す。
以下の説明では、インターネットを利用するユーザが管理するネットワーク（第１ネットワーク）内の通信装置（対象装置、特定の装置）に対するＤＤｏＳ攻撃又はＤｏＳ攻撃を、特定のＩＳＰ（Internet Service Provider）が管理するネットワーク（第２ネットワーク）を利用して軽減させる場合を例示して、本実施形態に係る通信システムについて説明する。
インターネットを構成する特定のネットワークとユーザのネットワーク（第１ネットワーク）とが他のネットワークを介して接続されている。上記のユーザのネットワーク内の所定のアドレス空間には、前記インターネットを介して通信する特定の装置が収容されている。例えば、上記の他のネットワークには、インターネットを構成する特定のネットワークとユーザのネットワークとの間の通信経路に設けられている特定のＩＳＰ（Internet Service Provider）が管理するネットワークが含まれる。

【0025】

ところで、インターネットでは経路制御プロトコルにＢＧＰ（ＢＧＰ−４）が利用されている。ＩＳＰが経路情報に指定するアドレス空間を、ＢＧＰによる経路制御により攻撃対策装置に引き込む場合には、ＩＰｖ４アドレスであれば「／２４」で指定されるＩＰアドレス空間より大きなＩＰアドレス空間、又は、ＩＰｖ６アドレスであれば「／４８」で指定されるＩＰアドレス空間より大きなＩＰアドレス空間であることが必要とされる場合が多い。上記のように指定される経路情報だけでは、より細かな単位でＩＰアドレスを制御することができない。そのため、防御対象のＩＰアドレスに宛てたトラッフィクを制限する場合であっても、当該ＩＰアドレス以外のトラフィックも攻撃対策装置を経由させる必要があり、攻撃対策装置における処理の負荷が高くなり、ユーザのネットワークに対するトラフィックに大きな遅延が発生することがあった。

【0026】

そこで、本実施形態では、インターネットを構成する特定のネットワークとユーザのネットワークとの間の通信が共通の経路制御プロトコルのＢＧＰにより経路制御がなされるように構成されていることを利用して、所定の条件に従い通信を制限するフィルタ部により、攻撃的な通信の影響を軽減させる通信制御方法について説明する。

【0027】

特定のＩＳＰ（Internet Service Provider）が管理するネットワーク（第２ネットワーク）において、前記インターネットを構成する特定のネットワークからユーザのネットワーク（第１ネットワーク）に向かう通信の経路を分岐させる。前記分岐させた経路の第１経路を前記所定のアドレス空間に向かう経路にする。前記分岐させた経路の第２経路をユーザのネットワーク（第１ネットワーク）のアドレス空間から前記所定のアドレス空間が除かれたユーザのネットワークに向かう経路にする。上記の通信の経路は、特定のネットワーク側からユーザのネットワーク（第１ネットワーク）に向かう経路を特定のＩＳＰが管理するネットワーク（第２ネットワーク）において分岐させるように定めた経路情報により分岐させる。

【0028】

また、前記第１経路には、前記所定のアドレス空間に向かう通信を制限するフィルタ装置２２２（フィルタ部）が設けられている。フィルタ装置２２２は、制御に応じて、予め定められた制約条件を満たす場合に前記第１経路を介して前記所定のアドレス空間に向かう通信を制限し、前記制約条件を満たさない場合に前記第１経路を介して前記所定のアドレス空間に向かう通信を許可する。

【0029】

上記のように構成する通信システムについて、より具体的な実施例を例示して説明する。
図１に示す通信システム１には、ＡＳ（Autonomous System：自律システム）Ｘ１１０、ＡＳＹ２１０、ＡＳＺ３１０、ＡＳＢ４１０、及びネットワーク６００が含まれている。

【0030】

ネットワーク６００は、インターネットを構成する特定のネットワークであり１又は複数の自律システム（ＡＳ）により構成される。ネットワーク６００は、例えば、ルータ６１３、ルータ６１４を備えて構成されており、ルータ６１３、ルータ６１４を含む各ルータ間で経路情報が共有される。

【0031】

ＡＳＸ１１０、ＡＳＹ２１０、ＡＳＺ３１０、及びＡＳＢ４１０のそれぞれは、自律システム（ＡＳ）である。ＡＳＸ１１０、ＡＳＹ２１０、ＡＳＺ３１０、及びＡＳＢ４１０のそれぞれには、ネットワーク１００、ネットワーク２００、ネットワーク３００、及びネットワーク４００が対応づけられている。

【0032】

ここで、ＡＳＸ１１０に対応するネットワーク１００は、ネットワークアドレス（プレフィクス）「１０．０．０．０／２１」で識別されるものとする。ネットワーク１００内にネットワーク１０１が設けられており、ネットワーク１０１は、ネットワークアドレス（プレフィクス）「１０．０．０．０／２４」で識別されるものとする。ネットワーク１０１内にネットワーク１０２が設けられており、ネットワーク１０２は、ネットワークアドレス（プレフィクス）「１０．０．０．０／３０」で識別されるものとする。

【0033】

例えば、ＡＳＸ１１０は、ルータ１１１、ルータ１１２、ルータ１１３、ルータ１１４、及び対象装置１２０を備える。
対象装置１２０は、攻撃的なトラフィックを成す通信の送信先にあたる被攻撃対象の通信装置である。対象装置１２０は、ネットワーク１０１内のＩＰアドレス（ネットワークアドレス）が割り付けられており、例えば、そのアドレスが「１０．０．０．１／３２」で識別されるものとする。
ルータ１１１、ルータ１１２、ルータ１１３及びルータ１１４の各ルータは、互いに経路情報を共有し、ＡＳＸ１１０内の通信の経路制御を実施する。なお、ルータ１１１、ルータ１１２、ルータ１１３及びルータ１１４間の接続は図示する以外の構成にしてもよい。

【0034】

ルータ１１１、ルータ１１２、及びルータ１１３は、外部のネットワークに接続されており、ルータ１１２とルータ１１３は、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ１１２は、ポートＧＸ２において論理パスＬ１３を介してＡＳＺ３１０に接続される。ルータ１１３は、ポートＧＸ３において論理パスＬ１４を介してＡＳＢ４１０に接続される。ルータ１１１は、ポートＧＸ１において論理パスを成すトンネルＴ１２を介してＡＳＹ２１０に接続される。なお、トンネルＴ１２は、ＡＳＸ１１０とＡＳＹ２１０の間でＩＰパケットを透過的に中継させるものであり、例えば、カプセル化されたＩＰパケットを中継するように構成してもよい。ルータ１１１は、ＡＳＹ２１０に対して経路情報を広告しない。ルータ１１４は、ネットワーク１００内におけるネットワーク１０１とネットワーク１０１外の通信に対する経路制御を実施する。

【0035】

ＡＳＺ３１０は、ルータ３１１、ルータ３１２、ルータ３１３、及びルータ３１４を備える。ルータ３１１、ルータ３１２、ルータ３１３、及びルータ３１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ３１３は、ポートＧＺ３において論理パスＬ１３を介してＡＳＸ１１０に接続される。ルータ３１１は、ポートＧＺ１において論理パスＬ３６を介してネットワーク６００のルータ６１３に接続される。ルータ３１２は、ポートＧＺ２において論理パスＬ３４を介してＡＳＢ４１０に接続される。ルータ３１４は、ポートＧＺ４において論理パスＬ２３を介してＡＳＹ２１０に接続される。
ルータ３１１、ルータ３１２、ルータ３１３及びルータ３１４の各ルータは、互いに経路情報を共有し、ＡＳＺ３１０内の通信の経路制御を実施する。なお、ルータ３１１、ルータ３１２、ルータ３１３、及びルータ３１４間の接続は図示する以外の構成にしてもよい。

【0036】

ＡＳＢ４１０は、ルータ４１１、ルータ４１２、ルータ４１３、及びルータ４１４を備える。ルータ４１１、ルータ４１２、ルータ４１３、及びルータ４１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ４１３は、ポートＧＢ３において論理パスＬ１４を介してＡＳＸ１１０に接続される。ルータ４１１は、ポートＧＢ１において論理パスＬ４６を介してネットワーク６００のルータ６１４に接続される。ルータ４１４は、ポートＧＢ４において論理パスＬ３４を介してＡＳＺ３１０に接続される。
ルータ４１１、ルータ４１２、ルータ４１３及びルータ４１４の各ルータは、互いに経路情報を共有し、ＡＳＢ４１０内の通信の経路制御を実施する。なお、ルータ４１１、ルータ４１２、ルータ４１３及びルータ４１４間の接続は図示する以外の構成にしてもよい。

【0037】

ＡＳＹ２１０は、ルータ２１１、ルータ２１２、通信制御装置２２１、及びフィルタ装置２２２を備える。ルータ２１１とルータ２１２は、外部のネットワークであるネットワーク３００に接続されており、接続先のネットワーク３００に対応するＡＳＺ３１０に対して経路情報を広告する。例えば、ルータ２１１は、ポートＧＹ１において論理パスＬ２３を介してＡＳＺ３１０に接続される。ルータ２１２は、ポートＧＹ２において論理パスを成すトンネルＴ１２を介してＡＳＸ１１０に接続される。なお、ルータ２１１とルータ２１２を分けて構成した場合を示しているが、一体の装置で構成することを制限するものではなく、ネットワーク２００内の接続は図示する以外の構成にしてもよい。

【0038】

通信制御装置２２１は、通信システム１における通信経路を制御して、攻撃的なトラフィックによる影響を軽減させるように制御する。例えば、通信制御装置２２１は、経路設定部２２１１と通信制御部２２１２とを備える。
経路設定部２２１１（通信制御装置２２１）は、ネットワーク６００（特定のネットワーク）とネットワーク１０１（第１ネットワーク）との間の通信経路にあるネットワーク３００（第２ネットワーク）において、ネットワーク６００からネットワーク１０１に向かう通信の経路を分岐させるようにＡＳＺ３１０を制御する。経路設定部２２１１（通信制御装置２２１）は、分岐させた経路の第１経路を、所定のアドレス空間に割り付けられたネットワーク１０２に向かう経路にする。また、経路設定部２２１１（通信制御装置２２１）は、分岐させた経路の第２経路を、ネットワーク１０１のアドレス空間からネットワーク１０２のアドレス空間が除かれたネットワーク１０１に向かう経路にする。経路設定部２２１１（通信制御装置２２１）は、上記のように定めた経路情報を利用して、通信の経路の構成を調整する。
前記第１経路には、前記所定のアドレス空間に向かう通信を制限するフィルタ装置２２２が設けられており、予め定められた制約条件を満たす場合に前記第１経路を介して前記所定のアドレス空間に向かう通信をフィルタ装置２２２により制限し、前記制約条件を満たさない場合に前記第１経路を介して前記所定のアドレス空間に向かう通信を許可するように、通信制御部２２１２（通信制御装置２２１）は、フィルタ装置２２２を制御する。

【0039】

フィルタ装置２２２は、上記の第１経路に設けられており、所定の条件に従い通信を制限する。例えば、前記第１経路において、ネットワーク３００（第２ネットワーク）とネットワーク１００（第１ネットワーク）との間に設けられたネットワーク２００（第３ネットワーク）に収容されている。フィルタ装置２２２は、予め定められた制約条件を満たす場合に、前記第１経路を介してネットワーク１０２に対応する所定のアドレス空間に向かう通信を制限し、前記制約条件を満たさない場合に、前記第１経路を介してネットワーク１０２に対応する所定のアドレス空間に向かう通信を許可する。フィルタ装置２２２における上記の処理に実施は、通信制御装置２２１からの制御に応じて実施されるように構成してもよい。

【0040】

次に、図１から図４を参照して、以上のように構成された通信システムにおける機能について説明する。図２は、本実施形態に係る通信システムにおける攻撃的な通信のトラフィックを軽減させる処理の手順を示すフローチャートである。

【0041】

通信制御装置２２１は、ＡＳＸ１１０において検出された通信状態をそれぞれ指定するデータとフィルタ装置２２２において検出された通信状態をそれぞれ指定するデータとを取得する（ステップＳ１０）。通信制御装置２２１は、取得したデータによりＡＳＸ１１０の通信状態を判定する（ステップＳ２０）。ステップＳ２０の判定により異常なトラフィックが検出され、かつ、対策機能が起動していない場合、通信制御装置２２１は、フィルタ装置２２２とＡＳＺ３１０における通信経路の状態を制御して対策機能を起動させる。対策機能の起動方法の詳細については後述する（ステップＳ３０）。フィルタ装置２２２は、ＡＳＺ３１０を経て供給されるパケットをそれぞれ判定し、予め定められた制約条件を満たす場合に当該パケットを制限し、前記制約条件を満たさない場合に当該パケットを許可するというフィルタ処理を実施する（ステップＳ４０）。

【0042】

一方、対策機能が起動中にあり、ステップＳ２０の判定により、異常なトラフィックが検出され続けている場合、ステップＳ４０の処理により、通信制御装置２２１は、対策機能を継続させる。

【0043】

さらに、対策機能が起動中にあり、ステップＳ２０の判定により、異常なトラフィックが検出されなくなった場合、通信制御装置２２１は、起動中の対策機能を解除させて、通信経路を、対策機能を起動させる前の平常時の状態に戻し、フィルタ装置２２２による処理を終了させる（ステップＳ５０）。

【0044】

上記の手順により、通信システム１は、攻撃的な通信のトラフィックを軽減させることができる。なお、上記の手順では、平常時と対策時を切り替える手順を含めているが、恒常的に対策を実施することを制限するものではない。

【0045】

次に、図３を参照して、本実施形態に係る通信システムによる対策機能について説明する。同図は、本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。同図には、本実施形態の機能の説明に必要とされる主たる手順が示されている。

【0046】

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ＡＳＸ１１０は、ＡＳＺ３１０に経路情報Ｍ２１Ａ１を広告する。例えば、経路情報Ｍ２１Ａ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパス（ＡＳ−ＰＡＴＨ）に「Ｘ」、ネクストホップ（Ｎｅｘｔ−ｈｏｐ）に「ＧＸ２」をそれぞれ指定するデータを含む。ＡＳＺ３１０は、上記経路情報Ｍ２１Ａ１の受信に応じて、ＡＳＺ３１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ａ２を広告する。例えば、経路情報Ｍ２１Ａ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＺＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。なお、ＡＳパスで指定する「Ｘ」、「Ｙ」、「Ｚ」、「Ｂ」のそれぞれは、ＡＳＸ１１０、ＡＳＹ２１０、ＡＳＺ３１０、ＡＳＢ４１０を示す。例えば、上記のように「ＺＸ」と記載したＡＳパスは、「Ｘ」、「Ｚ」の順にリスト化されるものとする。以下の説明においても同様とする。

【0047】

マルチホームで構成されるＡＳＸ１１０は、ＡＳＢ４１０に経路情報Ｍ２１Ｂ１を広告する。例えば、経路情報Ｍ２１Ｂ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＸ３」をそれぞれ指定するデータを含む。ＡＳＢ４１０は、上記経路情報Ｍ２１Ｂ１の受信に応じて、ＡＳＢ４１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ｂ２を広告する。例えば、経路情報Ｍ２１Ｂ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。

【0048】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２１Ａ２と経路情報Ｍ２１Ｂ２を取得して、保持している経路情報を更新する。

【0049】

（対策機能を起動させるパス設定）
通信制御装置２２１は、ルータ２１１又はフィルタ装置２２２を制御して、経路情報Ｍ３２ＤＦを生成させる。経路情報Ｍ３２ＤＦは、プレフィクスに「１０．０．０．１／３２」、ＡＳパスに「ＹＸ」、ネクストホップにＡＳＹ２１０のゲートウェイを示す「ＧＹ１」をそれぞれ指定するデータを含む。さらに、通信制御装置２２１は、経路情報Ｍ２４ＤＦを生成する。例えば、経路情報Ｍ２４ＤＦは、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＹＸ」、ネクストホップにＡＳＸ１１０のゲートウェイを示す「ＧＸ２」をそれぞれ指定するデータを含む。上記のＡＳパスの指定において、「Ｘ」をＡＳパスの先頭につけることで、ＡＳＸ１１０側からＡＳパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置２２１は、経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦとをルータ２１１からＡＳＺ３１０に広告させる。
なお、上記の経路情報Ｍ３２ＤＦには、プレフィクスに例えば「１０．０．０．１／３２」と指定した所定のアドレス空間を示すアドレス情報が含まれ、前記所定のアドレス空間がネットワーク１０１（又はネットワーク１００、第１ネットワーク）のアドレス空間より狭くなるように設定される。経路情報Ｍ２４ＤＦには、ネットワーク１０１（又はネットワーク１００、第１ネットワーク）のアドレス空間を示すアドレス情報が含まれている。経路情報Ｍ２４ＤＦに、さらに経路情報Ｍ３２ＤＦ（第２の経路情報）が、前記第１の経路情報より優先的に選択されるようにする情報を含むように構成してもよい。

【0050】

ＡＳＺ３１０は、上記経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦの受信に応じて、ＡＳＺ３１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２４ＤＦ１を広告し、ＡＳＢ４１０に経路情報Ｍ２４ＤＦ２を広告する。例えば、経路情報Ｍ２４ＤＦ１は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＹＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。経路情報Ｍ２４ＤＦ２は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＹＸ」、ネクストホップに「ＧＺ２」をそれぞれ指定するデータを含む。

【0051】

ＡＳＢ４１０は、上記経路情報Ｍ２４ＤＦ２の受信に応じて、ＡＳＢ４１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２４ＤＦ３を広告する。例えば、経路情報Ｍ２４ＤＦ３は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＢＺＹＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。

【0052】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２４ＤＦ１と経路情報Ｍ２４ＤＦ３とを取得して、保持している経路情報を更新する。

【0053】

（ネットワーク６００から受信するパケットの転送）
図４は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。同図と上記図３とを参照して説明する。
ＡＳＺ３１０は、ネットワーク６００のルータ６１３からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。

【0054】

ケースＡ１：対象装置１２０宛の攻撃的な通信ではないパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２Ａを受信した場合に、受信したパケットＰ３２ＡをＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰ３２Ａを取得してフィルタ装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、フィルタ装置２２２は、トンネルＴ１２を介して、ＡＳＸ１１０にパケットＰ３２Ａを転送する。ＡＳＸ１１０は転送されたパケットＰ３２Ａを取得して、対象装置１２０がパケットＰ３２Ａを受信する。

【0055】

ケースＡ１Ｄ：対象装置１２０宛の攻撃的な通信のパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２ＤＤＡを受信した場合に、上記のケースＡ１の場合と同様に、受信したパケットＰ３２ＤＤＡをＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰ３２ＤＤＡを取得してフィルタ装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置２２２は、当該パケットＰ３２ＤＤＡを破棄する。

【0056】

ケースＡ３：対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットＰ２４Ａを受信した場合に、受信したパケットＰ２４ＡをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２４Ａを取得する。

【0057】

ケースＡ４：「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＺ３１０が受信した場合について
ＡＳＺ３１０は、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ａを受信した場合に、受信したパケットＰ２１ＡをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２１Ａを取得する。

【0058】

また、ＡＳＢ４１０は、ネットワーク６００のルータ６１４からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。

【0059】

ケースＢ１：対象装置１２０宛の攻撃的な通信ではないパケットを、ＡＳＢ４１０が受信した場合について
ＡＳＢ４１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２Ｂを受信した場合に、受信したパケットＰ３２ＢをＡＳＺ３１０に転送する。ＡＳＺ３１０は、受信したパケットＰ３２ＢをＡＳＹ２１０に転送する。ＡＳＹ２１０は、パケットＰ３２Ｂを取得してフィルタ装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、ＡＳＹ２１０は、トンネルＴ１２を介して、ＡＳＸ１１０にパケットＰ３２Ｂを転送する。ＡＳＸ１１０は転送されたパケットＰ３２Ｂを取得して、対象装置１２０がパケットＰ３２Ｂを受信する。

【0060】

ケースＢ１Ｄ：対象装置１２０宛の攻撃的な通信のパケットを、ＡＳＢ４１０が受信した場合について
ＡＳＢ４１０は、対象装置１２０宛のパケットである送信先ＩＰアドレスが「１０．０．０．１／３２」のパケットＰ３２ＤＤＢを受信した場合に、受信したパケットＰ３２ＤＤＢをＡＳＺ３１０に転送する。ＡＳＺ３１０は、受信したパケットＰ３２ＤＤＢをＡＳＹ２１０に転送する。上記のケースＡ１Ｄの場合と同様に、ＡＳＹ２１０は、パケットＰ３２ＤＤＢを取得してフィルタ装置２２２において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置２２２は、当該パケットＰ３２ＤＤＢを破棄する。

【0061】

ケースＢ３：対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＢ４１０が受信した場合について
ＡＳＢ４１０は、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットＰ２４Ｂを受信した場合に、受信したパケットＰ２４ＢをＡＳＺ３１０に転送する。ＡＳＺ３１０は、受信したパケットＰ２４ＢをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２４Ｂを取得する。

【0062】

ケースＢ４：「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＢ４１０が受信した場合について
ＡＳＢ４１０は、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ｂを受信した場合に、受信したパケットＰ２１ＢをＡＳＸ１１０に転送する。ＡＳＸ１１０は転送されたパケットＰ２１Ｂを取得する。

【0063】

上記のとおり、上記の実施形態の通信システムは、以下の２つの経路についてＢＧＰを利用して経路広告する。
・ネクストホップを、フィルタ装置２２２又はＡＳＹ２１０のＩＰアドレスを指定した、「／３２」（対象装置１２０のＩＰアドレス）の経路。
・ＡＳパスにＡＳＸ１１０を追加し、ネクストホップをＡＳＸ１１０のルータ１１２のＩＰアドレスを指定した「／２４（対象装置１２０を含む、プレフィクスを「／２４」以上で指定するＩＰアドレス空間）」の経路。

【0064】

上記の２つの経路を設けたことにより、上記図４に示すように通信経路を指定する経路制御が可能となる。このように、通信システム１は、ＡＳＸ１１０におけるルータの設定変更を必要とすることなく、低遅延のＤＤｏＳ対策サービスの提供を可能にした。これにより、通信システム１は、通信システムの利便性を高めている。

【0065】

＜第２実施形態＞
次に、図２、図５から図７を参照して、本実施形態に係る通信システム１Ａについて説明する。図５は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム１Ａは、ＡＳＺ３１０Ａ内で攻撃的な通信のトラフィックを抑制する。第１実施形態における構成と同じ構成には同じ符号を附し、相違点を中心に説明する。
図５に示す通信システム１Ａには、ＡＳＸ１１０Ａ、ＡＳＺ３１０Ａ、ＡＳＢ４１０、及びネットワーク６００が含まれている。ＡＳＸ１１０Ａ、ＡＳＺ３１０Ａ、及びＡＳＢ４１０のそれぞれは、自律システム（ＡＳ）である。ＡＳＸ１１０Ａ、ＡＳＺ３１０Ａ、及びＡＳＢ４１０のそれぞれには、ネットワーク１００Ａ、ネットワーク３００Ａ、及びネットワーク４００が対応づけられている。

【0066】

ＡＳＸ１１０Ａは、ルータ１１１、ルータ１１２、ルータ１１３、ルータ１１４、及び対象装置１２０を備える。ルータ１１１は、ポートＧＸ１において論理パスを成すトンネルＴ１３を介してＡＳＺ３１０Ａに接続される。

【0067】

ＡＳＸ１１０Ａから論理パスＬ１３とトンネルＴ１３とを介して接続されるＡＳＺ３１０Ａは、ルータ３１１、ルータ３１２、ルータ３１３、ルータ３１４Ａ、通信制御装置３２１、及びフィルタ装置３２２を備える。
ルータ３１１、ルータ３１２、及びルータ３１３は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。
ルータ３１４ＡのポートＧＺ４に通信制御装置３２１とフィルタ装置３２２とが接続される。
ルータ３１１、ルータ３１２、ルータ３１３及びルータ３１４Ａの各ルータは、互いに経路情報を共有し、ＡＳＺ３１０Ａ内の通信の経路制御を実施する。なお、ルータ３１１、ルータ３１２、ルータ３１３、及びルータ３１４Ａ間の接続は図示する以外の構成にしてもよい。
通信制御装置３２１は、通信システム１Ａにおける通信経路を制御して、攻撃的なトラフィックによる影響を軽減させるように制御する。例えば、通信制御装置３２１は、経路設定部３２１１と通信制御部３２１２とを備える。通信制御装置３２１、経路設定部３２１１、通信制御部３２１２のそれぞれは、前述の通信制御装置２２１、経路設定部２２１１、通信制御部２２１２（図１）に対応する。
フィルタ装置３２２は、前述のフィルタ装置２２２（図１)に対応する。

【0068】

上記のように構成した通信システム１Ａは、図２に示す処理の手順に従って、攻撃的な通信のトラフィックを軽減させる。

【0069】

次に、図６と図７を参照して、本実施形態に係る通信システムによる対策機能について説明する。図６は、本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。同図には、本実施形態の機能の説明に必要とされる主たる手順が示されている。図７は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【0070】

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ＡＳＸ１１０Ａは、ＡＳＺ３１０Ａに経路情報Ｍ２１Ａ１を広告する。例えば、経路情報Ｍ２１Ａ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパス（ＡＳ−ＰＡＴＨ）に「Ｘ」、ネクストホップ（Ｎｅｘｔ−ｈｏｐ）に「ＧＸ２」をそれぞれ指定するデータを含む。ＡＳＺ３１０Ａは、上記経路情報Ｍ２１Ａ１の受信に応じて、ＡＳＺ３１０Ａ内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ａ２を広告する。例えば、経路情報Ｍ２１Ａ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＺＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。なお、ＡＳパスで指定する「Ｘ」、「Ｚ」、「Ｂ」のそれぞれは、ＡＳＸ１１０Ａ、ＡＳＺ３１０Ａ、ＡＳＢ４１０を示す。

【0071】

マルチホームで構成されるＡＳＸ１１０Ａは、ＡＳＢ４１０に経路情報Ｍ２１Ｂ１を広告する。例えば、経路情報Ｍ２１Ｂ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＸ３」をそれぞれ指定するデータを含む。ＡＳＢ４１０は、上記経路情報Ｍ２１Ｂ１の受信に応じて、ＡＳＢ４１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ｂ２を広告する。例えば、経路情報Ｍ２１Ｂ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。

【0072】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２１Ａ２と経路情報Ｍ２１Ｂ２を取得して、保持している経路情報を更新する。

【0073】

（対策機能を起動させるパス設定）
通信制御装置３２１は、フィルタ装置３２２を制御して、経路情報Ｍ３２ＤＦを生成し、経路情報の広告と同様の方法でルータ３１４Ａに通知する。経路情報Ｍ３２ＤＦは、プレフィクスに「１０．０．０．１／３２」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＺ６」をそれぞれ指定するデータを含む。ＡＳＺ３１０Ａは、上記経路情報Ｍ３２ＤＦの受信に応じて、ＡＳＺ３１０Ａ内で経路情報を共有する。

【0074】

さらに、通信制御装置３２１は、経路情報Ｍ２４ＤＦ１０を生成して、経路情報の広告と同様の方法でルータ３１４Ａに通知する。例えば、経路情報Ｍ２４ＤＦ１０は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＸ２」をそれぞれ指定するデータを含む。ＡＳＺ３１０Ａは、上記経路情報Ｍ２４ＤＦ１０の受信に応じて、ＡＳＺ３１０Ａ内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２４ＤＦ１１を広告し、ＡＳＢ４１０に経路情報Ｍ２４ＤＦ１２を広告する。例えば、経路情報Ｍ２４ＤＦ１１は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。経路情報Ｍ２４ＤＦ１２は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＸ」、ネクストホップに「ＧＺ２」をそれぞれ指定するデータを含む。

【0075】

ＡＳＢ４１０は、上記経路情報Ｍ２４ＤＦ１２の受信に応じて、ＡＳＢ４１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２４ＤＦ１３を広告する。例えば、経路情報Ｍ２４ＤＦ１３は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＢＺＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。

【0076】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２４ＤＦ１１と経路情報Ｍ２４ＤＦ１３を取得して、保持している経路情報を更新する。

【0077】

（ネットワーク６００から受信するパケットの転送）
ＡＳＺ３１０Ａは、ネットワーク６００からパケットを受信すると、前述の第１実施形態と同様に当該パケットの送信先アドレスに応じて転送処理をするとともに、フィルタ装置３２２において、攻撃的な通信のパケットを破棄させる。

【0078】

上記のとおり、本実施形態の通信システム１Ａは、ネットワーク３００Ａ（第２ネットワーク）にフィルタ装置３２２（フィルタ部）が収容されており、前記第１経路を介して対象装置１２０（特定の装置）に向かう通信がネットワーク３００Ａに設けたフィルタ装置３２２に向かうように通信制御装置３２１（通信制御部）が制御するようにしたことにより、通信システムの利便性を高めることができる。

【0079】

＜第３実施形態＞
次に、図２、図８から図１０を参照して、本実施形態に係る通信システム１Ｂについて説明する。図８は、本実施形態に係る通信システムの構成図である。
本実施形態に係る通信システム１Ｂは、ＡＳＸ１１０Ｂが他のＡＳを介してＡＳＺ３１０Ｂに接続されており、ＡＳＸ１１０ＢとＡＳＺ３１０Ｂとの間の直接的に接続される通信パスを有していない。第１実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図８に示す通信システム１Ｂには、ＡＳＸ１１０Ｂ、ＡＳＹ２１０Ｂ、ＡＳＺ３１０Ｂ、ＡＳＢ４１０、及びネットワーク６００が含まれている。ＡＳＸ１１０Ｂ、ＡＳＹ２１０Ｂ、ＡＳＺ３１０Ｂ、及びＡＳＢ４１０のそれぞれは、自律システム（ＡＳ）である。
ＡＳＸ１１０Ｂ、ＡＳＹ２１０Ｂ、ＡＳＺ３１０Ｂ、及びＡＳＢ４１０のそれぞれには、ネットワーク１００Ｂ、ネットワーク２００Ｂ、ネットワーク３００Ｂ、及びネットワーク４００が対応づけられている。

【0080】

ＡＳＸ１１０Ｂは、ルータ１１１、ルータ１１３、ルータ１１４、及び対象装置１２０を備える。ルータ１１１、ルータ１１３及びルータ１１４の各ルータは、互いに経路情報を共有し、ＡＳＸ１１０Ｂ内の通信の経路制御を実施する。なお、ルータ１１１、ルータ１１３及びルータ１１４間の接続は図示する以外の構成にしてもよい。ルータ１１１とルータ１１３は、外部のネットワークに接続されており、ルータ１１３は、接続先のネットワークに対応する経路情報をＡＳＢ４１０に広告する。

【0081】

ＡＳＸ１１０Ｂから直接的に接続されないＡＳＺ３１０Ｂは、ルータ３１１、ルータ３１２、及びルータ３１４を備える。
ルータ３１１、ルータ３１２、及びルータ３１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。
ルータ３１１、ルータ３１２、及びルータ３１４の各ルータは、互いに経路情報を共有し、ＡＳＺ３１０Ｂ内の通信の経路制御を実施する。なお、ルータ３１１、ルータ３１２、及びルータ３１４間の接続は図示する以外の構成にしてもよい。

【0082】

ＡＳＸ１１０Ｂから論理パスＬ１４を介して接続されるＡＳＢ４１０は、ルータ４１１、ルータ４１２、ルータ４１３、及びルータ４１４を備える。

【0083】

ＡＳＹ２１０Ｂは、ルータ２１１、ルータ２１２、通信制御装置２２１Ｂ、及びフィルタ装置２２２Ｂを備える。

【0084】

上記のように構成した通信システム１Ｂは、図２に示す処理の手順に従って、攻撃的な通信のトラフィックを軽減させる。

【0085】

図９は、本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。同図には、本実施形態の機能の説明に必要とされる主たる手順が示されている。図１０は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【0086】

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ＡＳＸ１１０Ｂは、ＡＳＢ４１０に経路情報Ｍ２１Ｂ１を広告する。例えば、経路情報Ｍ２１Ｂ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＸ３」をそれぞれ指定するデータを含む。
ＡＳＢ４１０は、上記経路情報Ｍ２１Ｂ１の受信に応じて、ＡＳＢ４１０内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ｂ２を広告し、ＡＸＺ３１０Ｂに経路情報Ｍ２１Ｂ３を広告する。例えば、経路情報Ｍ２１Ｂ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。経路情報Ｍ２１Ｂ３は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＸ」、ネクストホップに「ＧＢ４」をそれぞれ指定するデータを含む。
ＡＳＺ３１０Ｂは、上記経路情報Ｍ２１Ｂ３の受信に応じて、ＡＳＺ３１０Ｂ内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２１Ｂ４を広告する。例えば、経路情報Ｍ２１Ｂ４は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＺＢＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。

【0087】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２１Ｂ２と経路情報Ｍ２１Ｂ４とを取得して、保持している経路情報を更新する。

【0088】

（対策機能を起動させるパス設定）
通信制御装置２２１Ｂは、ルータ２１１又はフィルタ装置２２２Ｂを制御して、経路情報Ｍ３２ＤＦを生成させる。経路情報Ｍ３２ＤＦは、プレフィクスに「１０．０．０．１／３２」、ＡＳパスに「ＹＢＸ」、ネクストホップにＡＳＹ２１０Ｂのゲートウェイを示す「ＧＹ１」をそれぞれ指定するデータを含む。さらに、通信制御装置２２１Ｂは、経路情報Ｍ２４ＤＦを生成する。例えば、経路情報Ｍ２４ＤＦは、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＹＢＸ」、ネクストホップにＡＳＢ４１０のゲートウェイを示す「ＧＢ４」をそれぞれ指定するデータを含む。上記のＡＳパスの指定において、「Ｘ」と「Ｂ」をＡＳパスの先頭につける。これにより、ＡＳＸ１１０Ｂ側からＡＳパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置２２１Ｂは、経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦとをルータ２１１からＡＳＺ３１０Ｂに広告させる。

【0089】

ＡＳＺ３１０Ｂは、上記経路情報Ｍ２４ＤＦの受信に応じて、ＡＳＺ３１０Ｂ内で経路情報を共有するとともに、ネットワーク６００に経路情報Ｍ２４ＤＦ１を広告する。例えば、経路情報Ｍ２４ＤＦ１は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＹＢＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。

【0090】

ネットワーク６００を構成する各ルータは、上記の経路情報Ｍ２４ＤＦ１を取得して、保持している経路情報を更新する。

【0091】

（ネットワーク６００から受信するパケットの転送）
ＡＳＺ３１０Ｂは、ネットワーク６００のルータ６１３からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。

【0092】

ケースＡ１：ＡＳＺ３１０Ｂが対象装置１２０宛の攻撃的な通信ではないパケットを受信した場合について
ケースＡ１の場合は、前述の第１実施形態と同様に、ＡＳＺ３１０Ｂは、受信したパケットＰ３２ＡをＡＳＹ２１０Ｂに転送する。ＡＳＹ２１０Ｂは、パケットＰ３２Ａを取得してフィルタ装置２２２Ｂにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置２２２Ｂは、攻撃的な通信のパケットではないと判定し、トンネルＴ１２を介して、ＡＳＸ１１０ＢにパケットＰ３２Ａを転送する。ＡＳＸ１１０Ｂは転送されたパケットＰ３２Ａを取得して、対象装置１２０がパケットＰ３２Ａを受信する。

【0093】

ケースＡ１Ｄ：ＡＳＺ３１０Ｂが対象装置１２０宛の攻撃的な通信のパケットを受信した場合について
ケースＡ１Ｄの場合は、前述の第１実施形態と同様に、ＡＳＺ３１０Ｂは、受信したパケットＰ３２ＤＤＡをＡＳＹ２１０Ｂに転送する。ＡＳＹ２１０Ｂは、パケットＰ３２ＤＤＡを取得してフィルタ装置２２２Ｂにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置２２２Ｂは、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。

【0094】

ケースＡ３：ＡＳＺ３１０Ｂが対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットを受信した場合について
ＡＳＺ３１０Ｂは、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットＰ２４Ａを受信した場合に、受信したパケットＰ２４ＡをＡＳＢ４１０に転送する。ＡＳＢ４１０は、受信したパケットＰ２４ＡをＡＳＸ１１０Ｂに転送する。ＡＳＸ１１０Ｂは転送されたパケットＰ２４Ａを取得する。

【0095】

ケースＡ４：ＡＳＺ３１０Ｂが、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを受信した場合について
ＡＳＺ３１０Ｂは、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ａを受信した場合に、受信したパケットＰ２１ＡをＡＳＢ４１０に転送する。ＡＳＢ４１０は、受信したパケットＰ２１ＡをＡＳＸ１１０Ｂに転送する。ＡＳＸ１１０Ｂは転送されたパケットＰ２１Ａを取得する。

【0096】

ＡＳＢ４１０は、ネットワーク６００のルータ６１４からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ところで、本実施形態の場合、ＡＳＢ４１０がネットワーク６００のルータ６１４から受信するパケットは制限されている。例えば、対象装置１２０宛の通信のパケット（ケースＢ１、ケースＢ１Ｄ）、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケット（ケースＢ３）は、受信するパケットには含まれない。

【0097】

ケースＢ４：ＡＳＢ４１０が、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを受信した場合について
ＡＳＢ４１０は、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ｂを受信した場合に、受信したパケットＰ２１ＢをＡＳＸ１１０Ｂに転送する。ＡＳＸ１１０Ｂは転送されたパケットＰ２１Ｂを取得する。

【0098】

上記のとおり、本実施形態の通信システム１Ｂは、通信システムの利便性を高めることができる。

【0099】

＜第４実施形態＞
次に、図２、図１１から図１３を参照して、本実施形態に係る通信システム１Ｃについて説明する。図１１は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム１Ｃは、ＡＳＹ２１０Ｃ内で攻撃的な通信のトラフィックを抑制する。第１実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図１１に示す通信システム１Ｃには、ＡＳＸ１１０Ｃ、ＡＳＹ２１０Ｃ、ＡＳＺ３１０Ｃ、ＡＳＢ４１０Ｃ、ＡＳＣ５１０、及びネットワーク６００Ｃが含まれている。
ＡＳＸ１１０Ｃ、ＡＳＹ２１０Ｃ、ＡＳＺ３１０Ｃ、ＡＳＢ４１０Ｃ及びＡＳＣ５１０のそれぞれは、自律システム（ＡＳ）である。ＡＳＸ１１０Ｃ、ＡＳＹ２１０Ｃ、ＡＳＺ３１０Ｃ、ＡＳＢ４１０Ｃ及びＡＳＣ５１０のそれぞれには、ネットワーク１００Ｃ、ネットワーク２００Ｃ、ネットワーク３００Ｃ、ネットワーク４００Ｃ及びネットワーク５００が対応づけられている。
ネットワーク６００Ｃは、インターネットを構成する特定のネットワークであり１又は複数の自律システム（ＡＳ）により構成される。ネットワーク６００Ｃは、例えば、ルータ６１３、ルータ６１４、ルータ６１５を備えて構成されており、ルータ６１３、ルータ６１４、ルータ６１５を含む各ルータ間で経路情報が共有される。

【0100】

ＡＳＸ１１０Ｃは、ルータ１１１、ルータ１１３Ｃ、ルータ１１４、及び対象装置１２０を備える。
ルータ１１１、ルータ１１３Ｃ及びルータ１１４の各ルータは、互いに経路情報を共有し、ＡＳＸ１１０Ｃ内の通信の経路制御を実施する。なお、ルータ１１１、ルータ１１３Ｃ及びルータ１１４間の接続は図示する以外の構成にしてもよい。

【0101】

ルータ１１１とルータ１１３Ｃは、外部のネットワークに接続されており、ルータ１１３Ｃは、接続先のネットワークに対応するに対応する経路情報をＡＳＣ５１０に広告する。

【0102】

ＡＳＸ１１０Ｃから直接的に接続されていないＡＳＺ３１０Ｃは、ルータ３１１、ルータ３１２、及びルータ３１４を備える。
ルータ３１１、ルータ３１２、及びルータ３１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。
ルータ３１１、ルータ３１２、及びルータ３１４の各ルータは、互いに経路情報を共有し、ＡＳＺ３１０Ｃ内の通信の経路制御を実施する。なお、ルータ３１１、ルータ３１２、及びルータ３１４間の接続は図示する以外の構成にしてもよい。

【0103】

ＡＳＸ１１０Ｃから直接的に接続されていないＡＳＢ４１０Ｃは、ルータ４１１、ルータ４１２、及びルータ４１４を備える。
ルータ４１１、ルータ４１２、及びルータ４１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ４１２は、ポートＧＢ２において論理パスＬ４５を介してＡＳＣ５１０に接続される。
ルータ４１１、ルータ４１２、及びルータ４１４の各ルータは、互いに経路情報を共有し、ＡＳＢ４１０Ｃ内の通信の経路制御を実施する。なお、ルータ４１１、ルータ４１２、及びルータ４１４間の接続は図示する以外の構成にしてもよい。

【0104】

ＡＳＸ１１０Ｃから論理パスＬ１５を介して接続されるＡＳＣ５１０は、ルータ５１１、ルータ５１２、ルータ５１３及びルータ５１４を備える。
ルータ５１１、ルータ５１２、ルータ５１３及びルータ５１４は、外部のネットワークに接続されており、接続先のネットワークに対応する各ＡＳに対して経路情報を広告する。例えば、ルータ５１３は、ポートＧＣ３において論理パスＬ１５を介してＡＳＸ１１０Ｃに接続される。ルータ５１１は、ポートＧＣ１において論理パスＬ５６を介してネットワーク６００Ｃのルータ６１５に接続される。ルータ５１４は、ポートＧＣ４において論理パスＬ４５を介してＡＳＢ４１０Ｃに接続される。
ルータ５１１、ルータ５１２、ルータ５１３及びルータ５１４の各ルータは、互いに経路情報を共有し、ＡＳＣ５１０内の通信の経路制御を実施する。なお、ルータ５１１、ルータ５１２、ルータ５１３及びルータ５１４間の接続は図示する以外の構成にしてもよい。

【0105】

上記のように構成した通信システム１Ｃは、図２に示す処理の手順に従って、攻撃的な通信のトラフィックを軽減させる。

【0106】

次に、図１２を参照して、本実施形態に係る通信システムによる対策機能について説明する。同図は、本実施形態に係る通信システムによる対策機能の動作を示すシーケンス図である。同図には、本実施形態の機能の説明に必要とされる主たる手順が示されている。
図１３は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。

【0107】

（平常時の通信パスの設定）
最初に平常時の通信パスが設定される。ＡＳＸ１１０Ｃは、ＡＳＣ５１０に経路情報Ｍ２１Ｃ１を広告する。例えば、経路情報Ｍ２１Ｃ１は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「Ｘ」、ネクストホップに「ＧＸ３」をそれぞれ指定するデータを含む。
ＡＳＣ５１０は、上記経路情報Ｍ２１Ｃ１の受信に応じて、ＡＳＣ５１０内で経路情報を共有するとともに、ネットワーク６００Ｃに経路情報Ｍ２１Ｃ２を広告し、ＡＳＢ４１０Ｃに経路情報Ｍ２１Ｃ３を広告する。例えば、経路情報Ｍ２１Ｃ２は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＣＸ」、ネクストホップに「ＧＣ１」をそれぞれ指定するデータを含む。経路情報Ｍ２１Ｃ３は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＣＸ」、ネクストホップに「ＧＣ４」をそれぞれ指定するデータを含む。
ＡＳＢ４１０Ｃは、上記経路情報Ｍ２１Ｃ３の受信に応じて、ＡＳＢ４１０Ｃ内で経路情報を共有するとともに、ネットワーク６００Ｃに経路情報Ｍ２１Ｃ４を広告し、ＡＸＺ３１０Ｃに経路情報Ｍ２１Ｃ５を広告する。例えば、経路情報Ｍ２１Ｃ４は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＣＸ」、ネクストホップに「ＧＢ１」をそれぞれ指定するデータを含む。経路情報Ｍ２１Ｃ５は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＢＣＸ」、ネクストホップに「ＧＢ４」をそれぞれ指定するデータを含む。
ＡＳＺ３１０Ｃは、上記経路情報Ｍ２１Ｃ５の受信に応じて、ＡＳＺ３１０Ｃ内で経路情報を共有するとともに、ネットワーク６００Ｃに経路情報Ｍ２１Ｃ６を広告する。例えば、経路情報Ｍ２１Ｃ６は、プレフィクスに「１０．０．０．０／２１」、ＡＳパスに「ＺＢＣＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。

【0108】

ネットワーク６００Ｃを構成する各ルータは、上記の経路情報Ｍ２１Ｃ２と経路情報Ｍ２１Ｃ４と経路情報Ｍ２１Ｃ６とを取得して、保持している経路情報を更新する。

【0109】

（対策機能を起動させるパス設定）
通信制御装置２２１Ｃは、ルータ２１１又はフィルタ装置２２２Ｃを制御して、経路情報Ｍ３２ＤＦを生成させる。経路情報Ｍ３２ＤＦは、プレフィクスに「１０．０．０．１／３２」、ＡＳパスに「ＹＢＣＸ」、ネクストホップに「ＧＹ１」をそれぞれ指定するデータを含む。さらに、通信制御装置２２１Ｃは、経路情報Ｍ２４ＤＦを生成する。例えば、経路情報Ｍ２４ＤＦは、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＹＢＣＸ」、ネクストホップに「ＧＢ４」をそれぞれ指定するデータを含む。上記のＡＳパスの指定において、ＡＳＺ３１０Ｃが他のＡＳから受けている経路情報であって、ＯｒｉｇｉｎＡＳがＡＳＸ１１０Ｃである経路（「１０．０．０．０／２１」）の経路情報、即ち経路情報Ｍ２１Ｃ５に含まれるＡＳパス（「ＢＣＸ」）を再現して、上記で指定するＡＳパスの先頭につける。経路情報Ｍ２４ＤＦのネクストホップは、上記と同様に経路情報Ｍ２１Ｃ５に含まれるネクストホップ（「ＧＢ４」）に一致させる。このようにして、ＡＳＸ１１０Ｃ側からＡＳパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置２２１Ｃは、経路情報Ｍ３２ＤＦと経路情報Ｍ２４ＤＦとをルータ２１１からＡＳＺ３１０Ｃに対して広告させる。

【0110】

ＡＳＺ３１０Ｃは、上記経路情報Ｍ２４ＤＦの受信に応じて、ＡＳＺ３１０Ｃ内で経路情報を共有するとともに、ネットワーク６００Ｃに経路情報Ｍ２４ＤＦ１を広告する。例えば、経路情報Ｍ２４ＤＦ１は、プレフィクスに「１０．０．０．０／２４」、ＡＳパスに「ＺＹＢＣＸ」、ネクストホップに「ＧＺ１」をそれぞれ指定するデータを含む。

【0111】

ネットワーク６００Ｃを構成する各ルータは、上記の経路情報Ｍ２４ＤＦ１を取得して、保持している経路情報を更新する。

【0112】

（ネットワーク６００Ｃから受信するパケットの転送）
ＡＳＺ３１０Ｃは、ネットワーク６００Ｃのルータ６１３からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。

【0113】

ケースＡ１：ＡＳＺ３１０Ｃが対象装置１２０宛の攻撃的な通信ではないパケットを受信した場合について
ケースＡ１の場合は、前述の第１実施形態と同様に、ＡＳＺ３１０Ｃは、受信したパケットＰ３２ＡをＡＳＹ２１０Ｃに転送する。ＡＳＹ２１０Ｃは、パケットＰ３２Ａを取得してフィルタ装置２２２Ｃにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置２２２Ｃは、攻撃的な通信のパケットではないと判定し、トンネルＴ１２を介して、ＡＳＸ１１０ＣにパケットＰ３２Ａを転送する。ＡＳＸ１１０Ｃは転送されたパケットＰ３２Ａを取得して、対象装置１２０がパケットＰ３２Ａを受信する。

【0114】

ケースＡ１Ｄ：ＡＳＺ３１０Ｃが対象装置１２０宛の攻撃的な通信のパケットを受信した場合について
ケースＡ１Ｄの場合は、前述の第１実施形態と同様に、ＡＳＺ３１０Ｃは、受信したパケットＰ３２ＤＤＡをＡＳＹ２１０Ｃに転送する。ＡＳＹ２１０Ｃは、パケットＰ３２ＤＤＡを取得してフィルタ装置２２２Ｃにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置２２２Ｃは、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。

【0115】

ケースＡ３：ＡＳＺ３１０Ｃが対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットを受信した場合について
ＡＳＺ３１０Ｃは、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケットＰ２４Ａを受信した場合に、受信したパケットＰ２４ＡをＡＳＢ４１０Ｃに転送する。ＡＳＢ４１０Ｃは、受信したパケットＰ２４ＡをＡＳＣ５１０に転送する。ＡＳＣ５１０は転送されたパケットＰ２４Ａを取得する。ＡＳＣ５１０は、受信したパケットＰ２４ＡをＡＳＸ１１０Ｃに転送する。ＡＳＸ１１０Ｃは転送されたパケットＰ２４Ａを取得する。

【0116】

ケースＡ４：ＡＳＺ３１０Ｃが、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを受信した場合について
ＡＳＺ３１０Ｃは、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ａを受信した場合に、受信したパケットＰ２１ＡをＡＳＢ４１０Ｃに転送する。ＡＳＢ４１０Ｃは、受信したパケットＰ２１ＡをＡＳＣ５１０に転送する。ＡＳＣ５１０は転送されたパケットＰ２１Ａを取得する。ＡＳＣ５１０は、受信したパケットＰ２１ＡをＡＳＸ１１０Ｃに転送する。ＡＳＸ１１０Ｃは転送されたパケットＰ２１Ａを取得する。

【0117】

ＡＳＢ４１０Ｃは、ネットワーク６００Ｃのルータ６１４からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ところで、本実施形態の場合、ＡＳＢ４１０Ｃがネットワーク６００Ｃのルータ６１４から受信するパケットは制限されている。例えば、対象装置１２０宛の通信のパケット（ケースＢ１、ケースＢ１Ｄ）、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケット（ケースＢ３）は、受信するパケットには含まれない。

【0118】

ケースＢ４：「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＢ４１０Ｃが受信した場合について
ＡＳＢ４１０Ｃは、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ｂを受信した場合に、受信したパケットＰ２１ＢをＡＳＣ５１０に転送する。ＡＳＣ５１０は、転送されたパケットＰ２１Ｂを取得して、取得したパケットＰ２１ＢをＡＳＸ１１０Ｃに転送する。ＡＳＸ１１０Ｃは転送されたパケットＰ２１Ｂを取得する。

【0119】

ＡＳＣ５１０は、ネットワーク６００Ｃのルータ６１５からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ところで、本実施形態の場合、ＡＳＣ５１０がネットワーク６００Ｃのルータ６１５から受信するパケットは制限されている。例えば、対象装置１２０宛の通信のパケット（ケースＣ１、ケースＣ１Ｄ）、対象装置１２０宛のパケットを除く「１０．０．０．０／２４」に含まれる送信先ＩＰアドレスを指定するパケット（ケースＣ３）は、受信するパケットには含まれない。

【0120】

ケースＣ４：「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットを、ＡＳＣ５１０が受信した場合について
ＡＳＣ５１０は、「１０．０．０．０／２４」を除く「１０．０．０．０／２１」に含まれる送信先ＩＰアドレスを指定するパケットＰ２１Ｃを受信した場合に、受信したパケットＰ２１ＣをＡＳＸ１１０Ｃに転送する。ＡＳＸ１１０Ｃは転送されたパケットＰ２１Ｃを取得する。

【0121】

上記のとおり、本実施形態の通信システム１Ｃは、通信システムの利便性を高めることができる。

【0122】

以上に示した各通信システムにおける経路情報を利用する通信制御方法を以下に整理する。
［１．実施形態に共通する構成］
第１のＡＳ（例えばＡＳＸ１１０）：特定の対象装置１２０を収容するＡＳ。
第２のＡＳ（例えばＡＳＹ２１０又はＡＳＺ３１０Ａ）：インターネット等（ネットワーク６００）から対象装置１２０に向けられた通信について、転送先となる装置（フィルタ装置２２２又はフィルタ装置３２２）を収容するＡＳ。
第３のＡＳ（例えばＡＳＺ３１０）：第１のＡＳ、第２のＡＳ及びインターネットと接続するＡＳ 。
上記の第１のＡＳ、第２のＡＳ、第３のＡＳの各ＡＳは、共通する経路制御プロトコルにより通信経路が制御される。また、各ＡＳは、同経路制御プロトコルにより制御された通信経路に従って、パケットをルーティングさせる。
なお、第２のＡＳと第３のＡＳは、共通するＡＳであってもよい。

【0123】

［２．経路情報の特徴］
上記の第３のＡＳに向けて、次の２種類の経路情報を広告する。例えば、上記２種類の経路情報の第３のＡＳに向けて広告は、第２のＡＳから実施する。
或いは、経路情報を広告する手法を利用して、第３のＡＳ内でその経路情報を共有する。

【0124】

２．１ 第１の経路情報（例えばＭ２４ＤＦ）
（１）この経路情報で設定されるアドレス空間が、対象装置１２０のアドレスを含み、かつ、第１のＡＳのアドレス空間としてインターネット等で既に伝搬しているアドレス空間より範囲が狭くなるように設定する。このように設定することにより、各ＡＳがパケットを中継する際に、アドレス部が一致するビット数が長い方を優先させる判定方法（ロンゲストマッチ）を利用できる。なお、インターネットに経路情報を広告する際には、インターネットの慣習に従うことが必要とされる（例えば、プレフィクスの最小単位を「／２４」にすることなど。）
（２）前記送出元に送信されるパケットが第２のＡＳとは別のＡＳに属するゲートウェイに転送されるように転送先を指定する。このように転送先（ネクストホップ）を指定することにより、パケットをより効率よく目的の転送が行える。
なお、上記の「第２のＡＳとは別のＡＳ」とは、例えば、第１のＡＳである。

【0125】

２．２ 第２の経路情報（例えばＭ３２ＤＦ）
（１）この経路情報が、対象装置１２０のアドレスを含み、かつ、第１の経路情報より優先的に選択されるように設定する。
（２）第２の経路情報の送出元宛に送信されるパケットが、第２のＡＳに属する通信装置（例えばフィルタ装置２２２）に転送されるように転送先をネクストホップによって指定する。
（３）第２の経路情報が第３のＡＳに広告された後（又は第３のＡＳ内の各ルータで共有された後）に、第３のＡＳを経由して他のＡＳに広告されるかは、第３のＡＳの接続先のＡＳに応じて選択される。
例えば、広告を必要としないＡＳには、当該広告を必要としないＡＳをＡＳパスで指定する。一方、接続先が必ずしもインターネットの慣習に従わなくてもいいＡＳの場合には、第２の経路情報を広告先に指定することなどが選択できる。

【0126】

なお、上記の第１の経路情報と第２の経路情報は、上記第２のＡＳから送出される。
また、上記の第１の経路情報と第２の経路情報のＡＳパスには、上記の第１のＡＳと第３のＡＳが直接接続していない場合（例えば、第３実施形態や第4実施形態の場合）、第１のＡＳと第３のＡＳの間に存在する他のＡＳ（ＡＳＢ４１０、ＡＳＣ５１０等）を追加する。

【0127】

なお、上記のように通信システム１、１Ａ、１Ｂ、１Ｃを構成することにより、トンネルＴ１２又はトンネルＴ１３を経由する通信を、対象装置１２０宛の通信に制限することができ、正常な通信に対する影響を小さくすることができる。
また、通信システム１、１Ａ、１Ｂ、１Ｃは、上記のように、対象装置１２０宛の通信を制限して、トンネルＴ１２又はトンネルＴ１３を経由する通信のトラフィックを所定の通信量に抑えるように構成したことにより、運用コストを低減させることができる。

【0128】

また、通信システム１、１Ａ、１Ｂ、１Ｃは、上記のように、対象装置１２０宛の攻撃的な通信の影響を低減させる際に、ユーザが操作することなく、ユーザ側に当たるＡＳＸ１１０のルータ１１２の設定を変更することなく、必要な対策を起動させることができる。そのため、通信システム１、１Ａ、１Ｂ、１Ｃは、攻撃的な通信により、通信状況が悪化している中で遠隔でルータ１１２の設定変更を行うことも必要としない。

【0129】

上述した実施形態における機能をコンピュータで実現するようにしても良い。その場合、この機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
なお、通信システム１、１Ａ、１Ｂ、１Ｃを構成する各処理部は専用のハードウェアにより実現されるものであってもよい。

【0130】

以上、本発明の実施の形態について説明したが、本発明の通信システムは、上述の図示例にのみに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。

【0131】

例えば、上記の説明に従えばフィルタ装置２２２が対象装置１２０宛の通信を処理することができるが、経路情報Ｍ３２ＤＦ（図１、図３等）に代えて経路情報Ｍ３０ＤＦ（不図示）により、対象装置１２０のＩＰアドレスをアドレス空間に含むネットワーク１０２（図１等）を指定するようにしてもよい。例えば、ネットワーク１０２のアドレス空間を「１０．０．０．０／３０」等とする経路情報Ｍ３０ＤＦを設定する。その際、経路情報Ｍ３０ＤＦに対応するネットワーク１０２のアドレス空間が、経路情報Ｍ２４ＤＦのプレフィクスで指定するアドレス空間（「１０．０．０．０／２４」）に含まれるようにする。このように経路情報Ｍ３０ＤＦを設定することにより、経路情報Ｍ３０ＤＦには、所定のアドレス空間を示すアドレス情報が含まれる。当該所定のアドレス空間は、経路情報Ｍ２４ＤＦのプレフィクスで指定するアドレス空間（「１０．０．０．０／２４」、第１ネットワークのアドレス空間）より狭くなるように設定される。経路情報Ｍ３０ＤＦには、経路情報Ｍ３０ＤＦ（第２の経路情報）が、経路情報Ｍ２４ＤＦ（第１の経路情報）より優先的に選択されるようにする情報が含まれている。例えば、優先的に選択されるようにする情報として、プレフィクス、アドレスのうちネットワーク部のビット数を示す情報、ネットマスクの情報などを利用するロンゲストマッチのための情報、プロトコルにより識別するための情報などが挙げられる。
なお、プロトコルにより分岐先の経路を選択するようにしてもよい。例えば、この場合、ＡＳＺ３１０を構成する各ルータに、プロトコルごとに所定の経路を指定するための変換テーブルを保持させておき、ＡＳＺ３１０の各ルータは、当該変換テーブルを参照して、分岐先を決定するようにしてもよい。

【0132】

なお、第２実施形態において、通信制御装置３２１とフィルタ装置３２２をＡＳＺ３１０Ａ内に設ける構成を説明したが、第３実施形態と第４実施形態に示した構成においても、第２実施形態と同様に、通信制御装置３２１とフィルタ装置３２２をＡＳＺ３１０Ｂ又はＡＳＺ３１０Ｃ内に設けるように構成してもよい。

【0133】

なお、上記のＡＳＹ２１０、ＡＳＺ３１０、ＡＳＢ４１０におけるパケットの転送は、設定された経路情報のネクストホップを参照して転送するようにしてもよく、或いは、設定された経路情報のＡＳパスを参照して転送するようにしてもよい。上記の転送方法に応じて、必要とされる情報を経路情報に設定するようにしてもよい。

【0134】

なお、上記の説明において通信制御装置２２１とフィルタ装置２２２とを別の装置として説明したが、一体の通信制御装置２２３として構成してもよい。通信制御装置３２１とフィルタ装置３２２についても同様に、一体の通信制御装置３２３として構成してもよい。

【0135】

なお、上記の説明においてルータ２１２とフィルタ装置２２２とを別の装置として説明したが、フィルタ装置２２２がルータ２１２の機能を兼ね備えていてもよい。ルータ３１５とフィルタ装置３２２についても同様に、フィルタ装置３２２がルータ３１５の機能を兼ね備えていてもよい。

【0136】

なお、上記の説明では、ネットワーク６００、ネットワーク６００Ｃがインターネットを構成する特定のネットワークである場合を例示して説明したが、ネットワーク６００、ネットワーク６００Ｃは、１つのＡＳ又は複数のＡＳを含んで構成されるＡＳ群からなる特定のネットワークであってもよい。
また、ＡＳＹ２１０から指定する経路情報により通信経路を制御するネットワーク１００内のアドレス領域は、ユーザが管理するネットワークとして割り付けられたアドレス領域の範囲内であって、ユーザが管理するＡＳの全部又は同ＡＳ内の一部に対応する範囲にする。

【0137】

なお、上記の説明では、トラフィックの変化に応じて対策機能を起動させるものとして説明したが、通信経路を恒常的に分岐するように設定しておき、フィルタ装置２２２又はフィルタ装置３２２を常時稼働状態にして運用してもよい。

【符号の説明】

【0138】

１００、１００Ａ、１００Ｂ、１００Ｃ、２００、２００Ｂ、２００Ｃ ネットワーク、
３００、３００Ａ、３００Ｂ、３００Ｃ、４００、４００Ｃ、５００ ネットワーク、
６００、６００Ｃ ネットワーク
１１０、１１０Ａ、１１０Ｂ、１１０Ｃ ＡＳＸ、２１０、２１０Ｂ、２１０Ｃ ＡＳＹ
、
３１０、３１０Ａ、３１０Ｂ、３１０Ｃ ＡＳＺ、４１０、４１０Ｃ ＡＳＢ、５１０
ＡＳＣ、
６１３、６１４、６１５ ルータ
２２１、３２１ 通信制御装置、２２２、３２２ フィルタ装置、
Ｔ１２、Ｔ１３ トンネル

【要約】      （修正有）

【課題】Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ間の攻撃対策装置における処理負荷を軽減する方法、装置及びプログラムを提供する。
【解決手段】通信制御装置２２１は、ネットワーク６００とネットワーク１０１との間の通信経路にあるネットワーク３００において、ネットワーク６００からネットワーク１０１に向かう通信の経路を分岐させるように自律システムＡＳＺ３１０を制御する。通信制御装置の経路設定部２２１１は、分岐させた経路の第２経路をネットワーク１０１のアドレス空間からネットワーク１０２のアドレス空間が除かれたネットワーク１０１に向かう経路にする。第１経路には所定のアドレス空間に向かう通信を制限するフィルタ装置２２２が設けられており、予め定められた制約条件を満たす場合に通信をフィルタ装置により制限し、制約条件を満たさない場合に所定のアドレス空間に向かう通信を許可するように制御する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】