特開 2024-121051 中継装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024121051

(43)【公開日】2024-09-06

(54)【発明の名称】中継装置

(51)【国際特許分類】

   H04L 45/30 20220101AFI20240830BHJP

   H04L 61/255 20220101ALI20240830BHJP

【ＦＩ】

H04L45/30

H04L61/255

【審査請求】未請求

【請求項の数】2

【出願形態】ＯＬ

(21)【出願番号】P 2023027917

(22)【出願日】2023-02-27

(71)【出願人】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(74)【代理人】

【識別番号】110001461

【氏名又は名称】弁理士法人きさ特許商標事務所

(72)【発明者】

【氏名】東條 臣行

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030JA11

5K030LB05

(57)【要約】

【課題】通信コネクション管理に関する演算処理の負荷を軽減した中継装置を得る。
【解決手段】転送処理を行うスローパス転送処理部と、スローパスのエントリ情報およびタイムアウト値を記憶する第１の記憶部と、スローパスのエントリ情報を管理する第１の管理部と、スローパス転送処理部よりも速い転送処理を行うファストパス転送処理部と、ファストパスのエントリ情報およびタイムアウト値を記憶する第２の記憶部と、ファストパスのエントリ情報を管理する第２の管理部とを備え、第１の管理部は、スローパスのエントリ情報のタイマ値が満了すると、タイマ値が満了したコネクションに対応する、ファストパスのエントリ情報のタイマ値とスローパスのタイムアウト値とファストパスのタイムアウト値とに基づいて、スローパスのエントリ情報のタイマ値を更新する。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１の通信網と第２の通信網の間の通信を中継する中継装置であって、
前記第１の通信網と前記第２の通信網の間の通信の転送処理を行うスローパス転送処理部と、
前記スローパス転送処理部が処理対象とする通信の、コネクション情報とタイマ値とが対応づけられたエントリ情報であるスローパスエントリ情報と、スローパス転送のタイムアウト値とを記憶する第１の記憶部と、
前記スローパスエントリ情報を管理する第１の管理部と、
前記スローパス転送処理部よりも速い速度で、前記第１の通信網と前記第２の通信網の間の通信の転送処理を行うファストパス転送処理部と、
前記ファストパス転送処理部が処理対象とする通信の、コネクション情報とタイマ値とが対応づけられたエントリ情報であるファストパスエントリ情報と、ファストパス転送のタイムアウト値とを記憶する第２の記憶部と、
前記ファストパスエントリ情報を管理する第２の管理部と、
を備え、
前記第１の管理部は、
前記スローパスエントリ情報の前記タイマ値が満了すると、前記タイマ値が満了したコネクション情報に対応する、前記ファストパスエントリ情報の前記タイマ値と前記スローパス転送のタイムアウト値と前記ファストパス転送のタイムアウト値とに基づいて、前記スローパスエントリ情報の前記タイマ値を更新する、
中継装置。

【請求項2】

前記ファストパスエントリ情報の前記タイマ値をＦＴｃとし、前記スローパス転送のタイムアウト値をＳＰＯとし、前記ファストパス転送のタイムアウト値をＦＰＯとし、前記スローパスエントリ情報の前記タイマ値の暫定更新値をＳＴｎとすると、
前記第１の管理部は、
前記暫定更新値ＳＴｎを、ＳＴｎ＝ＳＰＯ－（ＦＰＯ－ＦＴｃ）の式を用いて算出し、
前記暫定更新値ＳＴｎが０以下である場合、前記タイマ値が満了したコネクション情報に対応する前記スローパスエントリ情報および前記ファストパスエントリ情報を削除し、
前記暫定更新値ＳＴｎが前記タイムアウト値ＳＰＯ以下である場合、前記スローパスエントリ情報の前記タイマ値を前記暫定更新値ＳＴｎに更新し、
前記暫定更新値が前記タイムアウト値ＳＰＯよりも大きい場合、前記スローパスエントリ情報の前記タイマ値を前記タイムアウト値ＳＰＯに更新する、
請求項１に記載の中継装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、２つの通信網間の通信を中継する中継装置に関する。

【背景技術】

【0002】

従来、暗号化キーの変更によるパケットの破棄を回避しフィルタ処理機能として、ＳＰＩ（Ｓｔａｔｅｆｕｌ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）と称される機能を備えた中継装置が知られている。ＳＰＩ機能を備えた中継装置は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）層よりも、上位の通信コネクションの状態を管理および監視し、パケット転送の許可および不許可を制御する。ＳＰＩは、パケットの通過可否を動的に判断する機能の１つである。

【0003】

ＳＰＩの機能について、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）とＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）との間の通信を中継する中継装置の場合で具体的に説明する。中継装置は、ＬＡＮ側のパソコンなどの通信機器からＷＡＮ側へのパケット通信に対応して、ＷＡＮ側のポートを開き、パケット転送を開始する。その後、中継装置は、ＬＡＮ側の通信機器にてＷＡＮ側からデータの受け取りが終わる場合、または、最後の通信からのタイマ値が内部に設定されたＳＰＩタイムアウト値を超えた場合、自動的にＷＡＮ側のポートを閉じる。中継装置のＷＡＮ側のポートが閉じられたとき、ＬＡＮ側の通信機器によって外部へのアクセスが行われていなければ、ポートが全てフィルタリングされ、外部からＬＡＮへの不正なアクセスを防ぐことができる。

【0004】

ＳＰＩでは、パケットの送受信の度に、通信コネクションを識別し、該当する通信コネクションの状態およびＳＰＩタイマの情報を更新して、各パケットの転送可否を判断するため、全ての通信コネクションを管理する必要がある。

【0005】

一方、パケットのファストパス転送機能を有する中継装置として、パケット転送をハードウェア転送処理することで、ファストパス転送を可能にしたゲートウェイ装置が提案されている（例えば、特許文献１参照）。

【0006】

特許文献１に開示されたゲートウェイ装置は、スローパスエントリデータへの新規エントリ登録時に、受信したパケットがハードウェア転送対象である場合に、ファストパスエントリデータに新規エントリを登録する。それ以降、ファストパスエントリデータに登録されたパケットについては、ハードウェアによって高速転送される。このような構成によって、ハードウェアによる転送処理を実現している。以下では、スローパスエントリデータをスローパス転送用の通信コネクションテーブルと称し、ファストパスエントリデータをファストパス転送用の通信コネクションテーブルと称する。

【0007】

ファストパス転送機能を有する中継装置において、ＳＰＩを実現する場合、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを管理する必要がある。具体的には、中継装置は、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとの間で、同一のコネクションの状態およびＳＰＩタイマ値を同期しておく必要がある。ＳＰＩタイマ値が同期されていないと、ＳＰＩタイマ値が満了していない状態で、パケットが転送されずに、パケットロスが発生してしまうおそれがある。また、ＳＰＩタイマ値が同期されていないと、ＳＰＩタイマが満了している状態で、パケットがフィルタされずに、セキュリティが確保されなくなってしまうおそれがある。

【0008】

この問題に対する対策として、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを１パケット毎に同期する方法が考えられる。しかし、この対策は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）に大きな演算負荷を生じさせてしまう。そのため、従来の中継装置には、上記の２つのテーブルを１パケット毎に同期するのではなく、一定の周期で同期するものがある。

【先行技術文献】

【特許文献】

【0009】

【特許文献1】特許第６４４７１３８号公報

【発明の概要】

【発明が解決しようとする課題】

【0010】

しかしながら、従来の中継装置において、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを一定の周期で同期させても、ＣＰＵの演算処理の負荷が高くなってしまうおそれがある。具体的には、通信コネクション数が多い場合、全ての通信コネクションについて同期すると、一時的にＣＰＵの演算処理の負荷が高くなってしまうという問題がある。

【0011】

本発明は、上記のような課題を解決するためになされたもので、通信コネクション管理に関する演算処理の負荷を軽減した中継装置を得るものである。

【課題を解決するための手段】

【0012】

本発明に係る中継装置は、第１の通信網と第２の通信網の間の通信を中継する中継装置であって、前記第１の通信網と前記第２の通信網の間の通信の転送処理を行うスローパス転送処理部と、前記スローパス転送処理部が処理対象とする通信の、コネクション情報とタイマ値とが対応づけられたエントリ情報であるスローパスエントリ情報と、スローパス転送のタイムアウト値とを記憶する第１の記憶部と、前記スローパスエントリ情報を管理する第１の管理部と、前記スローパス転送処理部よりも速い速度で、前記第１の通信網と前記第２の通信網の間の通信の転送処理を行うファストパス転送処理部と、前記ファストパス転送処理部が処理対象とする通信の、コネクション情報とタイマ値とが対応づけられたエントリ情報であるファストパスエントリ情報と、ファストパス転送のタイムアウト値とを記憶する第２の記憶部と、前記ファストパスエントリ情報を管理する第２の管理部と、を備え、前記第１の管理部は、前記スローパスエントリ情報の前記タイマ値が満了すると、前記タイマ値が満了したコネクション情報に対応する、前記ファストパスエントリ情報の前記タイマ値と前記スローパス転送のタイムアウト値と前記ファストパス転送のタイムアウト値とに基づいて、前記スローパスエントリ情報の前記タイマ値を更新するものである。

【発明の効果】

【0013】

本発明によれば、スローパス転送用の通信コネクションのタイマ値が満了したタイミングで、通信コネクションのあるエントリのみについて管理情報を同期する処理が行われる。そのため、通信コネクションが多いと、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを一定の周期で同期させる場合に比べて、演算処理の負荷を低減することができる。

【図面の簡単な説明】

【0014】

【図1】実施の形態１に係る中継装置の一構成例を示すブロック図である。

【図2】第１の記憶部１３が記憶するスローパス転送用ＳＰＩタイムアウト値の設定値の一例を示すテーブルである。

【図3】第２の記憶部２３が記憶するファストパス転送用ＳＰＩタイムアウト値の設定値の一例を示す図である。

【図4】通信コネクションテーブルで管理される通信コネクション毎のエントリ情報の一例を示す図である。

【図5】実施の形態１に係る中継装置によるスローパス転送の動作手順を示すフロー図である。

【図6】実施の形態１に係る中継装置によるＳＰＩタイマ値の監視処理の動作手順を示すフロー図である。

【図7】実施の形態１に係る中継装置によるＳＰＩタイマ値の監視処理の動作手順を示すフロー図である。

【図8】実施の形態１に係る中継装置による、ＵＤＰ片方向通信時のＳＰＩタイムアウト値の管理の動作を示すシーケンス図である。

【発明を実施するための形態】

【0015】

本発明は、ファストパス転送機能を有するパケット中継装置において、通信コネクションを効率的に管理する中継装置に関するものである。特に、本発明の中継装置は、管理しなければならない通信コネクション数が多い通信装置に適用すると好適なものである。以下に、本発明の中継装置がパケット通信を中継する装置の場合について、実施の形態を説明する。

【0016】

実施の形態１．
本実施の形態１の中継装置の構成を説明する。図１は、実施の形態１に係る中継装置の一構成例を示すブロック図である。中継装置１は、第１の通信網であるＷＡＮ４と第２の通信網であるＬＡＮ５との間に接続される。ＷＡＮ４は、例えば、インターネットである。ＬＡＮ５には、ユーザが使用するＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）８が接続される。中継装置１は、スローパス転送部２と、ファストパス転送部３とを有する。

【0017】

スローパス転送部２は、スローパス転送処理部１１と、第１の管理部１２と、第１の記憶部１３とを有する。ファストパス転送部３は、ファストパス転送処理部２１と、第２の管理部２２と、第２の記憶部２３とを有する。スローパス転送処理部１１およびファストパス転送処理部２１は、ＷＡＮポート９を介して、ＷＡＮ４側のＷＡＮホスト６と接続される。スローパス転送処理部１１およびファストパス転送処理部２１は、ＬＡＮポート１０を介して、ＬＡＮ５側のＬＡＮホスト７と接続される。ＷＡＮホスト６およびＬＡＮホスト７は、例えば、ルータ等の通信機器である。

【0018】

スローパス転送処理部１１は、ＷＡＮ４とＬＡＮ５との間で送受信されるパケットによる通信の転送処理を行う。ファストパス転送処理部２１は、スローパス転送処理部１１よりも速い速度で、ＷＡＮ４とＬＡＮ５との間の通信の転送処理を行う。

【0019】

第１の記憶部１３は、スローパス転送の通信コネクションを管理するための情報を記憶する。具体的には、第１の記憶部１３は、スローパス転送用のＳＰＩタイムアウト値および通信コネクションテーブルを管理する。通信コネクションテーブルには、スローパス転送処理部１１によって転送処理される通信のエントリ情報であるスローパスエントリ情報がエントリ毎に登録される。

【0020】

第２の記憶部２３は、ファストパス転送の通信コネクションを管理するための情報を記憶する。具体的には、第２の記憶部２３は、ファストパス転送用のＳＰＩタイムアウト値および通信コネクションテーブルを管理する。通信コネクションテーブルには、ファストパス転送処理部２１によって転送処理される通信のエントリ情報であるファストパスエントリ情報がエントリ毎に登録される。

【0021】

図２は、第１の記憶部１３が記憶するスローパス転送用ＳＰＩタイムアウト値の設定値の一例を示すテーブルである。図３は、第２の記憶部２３が記憶するファストパス転送用ＳＰＩタイムアウト値の設定値の一例を示す図である。

【0022】

図２および図３に示すように、ＴＣＰおよびＵＤＰ等の通信プロトコル毎にＳＰＩタイムアウト値が設定される。例えば、ファストパス転送対象のパケットについて、図３は、ＵＤＰ ＵＮＲＥＰＬＩＥＤタイムアウト値、ＵＤＰ ＡＳＳＵＲＥＤタイムアウト値、およびＴＣＰ ＥＳＴＡＢＬＩＳＨＥＤタイムアウト値が設定できることを示す。ＵＤＰ ＵＮＲＥＰＬＩＥＤタイムアウト値は、基本的なＵＤＰの片方向通信のタイムアウト値である。ＵＤＰ ＡＳＳＵＲＥＤタイムアウト値は、基本的なＵＤＰの双方向通信のタイムアウト値である。ＴＣＰ ＥＳＴＡＢＬＩＳＨＥＤタイムアウト値は、ＴＣＰの双方向通信のタイムアウト値である。

【0023】

本実施の形態１においては、スローパス転送用ＳＰＩタイムアウト値が図２に示すように設定され、ファストパス転送用ＳＰＩタイムアウト値が図３に示すように設定される場合で説明する。本実施の形態１においては、図３に示すように、ファストパス転送用ＳＰＩタイムアウト値を、通信プロトコルの種類によらず全て３００秒に設定している。

【0024】

図４は、通信コネクションテーブルで管理される通信コネクション毎のエントリ情報の一例を示す図である。図４は、スローパスエントリ情報の場合を示す。ファストパスエントリ情報は、図４に示す内容と同様であるため、図に示すことを省略する。

【0025】

エントリ情報は、通信コネクションのエントリ毎に作成される。エントリ情報は、コネクション情報とＳＰＩタイマ値とが対応づけられて記録される。コネクション情報は、通信コネクションのエントリを識別および管理する情報である。コネクション情報、例えば、図４に示される、レイヤー３のプロトコル、送信元ＩＰアドレスおよび送信元ポート番号などの情報である。ＳＰＩタイマ値は、ＳＰＩタイムアウト値が満了するまでの残りの時間を示す。

【0026】

新規にスローパスエントリ情報が作成されるとき、ＳＰＩタイマ値は、図２に示したＳＰＩタイムアウト値に第１の管理部１２によって設定される。スローパスエントリ情報のＳＰＩタイマ値は、時間経過に伴って、第１の管理部１２によって、順次、書き換えられる。パケット転送の更新時に、パケットがスローパス転送されると、スローパスエントリ情報のＳＰＩタイマ値は、対応するスローパス転送用のＳＰＩタイムアウト値で、第１の管理部１２によってリセットされる。

【0027】

新規にファストパスエントリ情報が作成されるとき、ＳＰＩタイマ値は、図３に示したＳＰＩタイムアウト値に第２の管理部２２によって設定される。ファストパスエントリ情報のＳＰＩタイマ値は、時間経過に伴って、第２の管理部２２によって、順次、書き換えられる。パケット転送時の更新時に、パケットがファストパス転送されると、ファストパスエントリ情報のＳＰＩタイマ値は、対応するファストパス転送用のＳＰＩタイムアウト値で第２の管理部２２によってリセットされる。パケット転送がないまま、ＳＰＩタイムアウト値の時間が経過すると、ＳＰＩタイマ値が満了する。

【0028】

第１の管理部１２は、上記のように第１の記憶部１３が記憶する情報を更新して、スローパス転送の通信コネクションを管理する。第２の管理部２２は、上記のように第２の記憶部２３が記憶する情報を更新して、ファストパス転送の通信コネクションを管理する。第１の管理部１２および第２の管理部２２は、第１の記憶部１３および第２の記憶部２３が記憶する情報を相互に参照、書き込みおよび書き換えを行う。

【0029】

従来、スローパス転送用のＳＰＩタイムアウト値とファストパス転送用のＳＰＩタイムアウト値とを同じ値に設定し、スローパス転送用の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを一定の周期で同期することが行われていた。

【0030】

本実施の形態１の中継装置１においては、スローパスエントリ情報のＳＰＩタイマ値に、各パケットの転送可否の判断基準となるように、ユーザによって設定値が設定される。ファストパス転送用のＳＰＩタイムアウト値は、スローパス転送用のＳＰＩタイムアウト値以上となるように設定される。第１の管理部１２は、ファストパス転送用のＳＰＩタイムアウト設定値とファストパス転送用のエントリの通信コネクションの残りの時間であるＳＰＩタイマ値との差分を基に、該当の通信コネクションのパケット転送の無通信の許容時間を求める。

【0031】

スローパスエントリ情報のＳＰＩタイマ値が満了するとき、第１の管理部１２がスローパスエントリ情報のＳＰＩタイマ値を更新することで、パケット転送の通信時間を更新する具体例を説明する。

【0032】

スローパス転送用のＳＰＩタイムアウト値をＳＰＯとし、ファストパス転送用のＳＰＩタイムアウト値をＦＰＯとする。ファストパスエントリ情報のＳＰＩタイマ値をＦＴｃとする。スローパスエントリ情報のＳＰＩタイマ値をＳＴｃとし、スローパスエントリ情報のＳＰＩタイマ値の暫定更新値をＳＴｎとする。この場合、第１の管理部１２は、暫定更新値ＳＴｎを、式（１）を用いて算出する。
暫定更新値ＳＴｎ＝ＳＰＯ－（ＦＰＯ－ＦＴｃ） ・・・（１）

【0033】

暫定更新値ＳＴｎが０以下である場合、第１の管理部１２は、該当するエントリ情報を第１の記憶部１３および第２の記憶部２３から削除する。暫定更新値ＳＴｎがＳＰＩタイムアウト値ＳＰＯ以下である場合、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃを暫定更新値ＳＴｎに更新する。暫定更新値がＳＰＩタイムアウト値ＳＰＯよりも大きい場合、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃをＳＰＩタイムアウト値ＳＰＯに更新する。

【0034】

ここで、スローパス転送部２およびファストパス転送部３のハードウェアの構成例を説明する。ファストパス転送部３は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の専用回路で構成される。例えば、ファストパス転送処理部２１および第２の管理部２２のそれぞれはＡＳＩＣで構成され、第２の記憶部２３はフラッシュメモリ等のメモリで構成される。スローパス転送部２は、プログラムを記憶するメモリと、プログラムにしたがって処理を実行するＣＰＵとを有する構成である。

【0035】

次に、本実施の形態１の中継装置１の動作を説明する。はじめに、中継装置１がエントリ情報を登録する動作について説明する。図５は、実施の形態１に係る中継装置によるスローパス転送の動作手順を示すフロー図である。

【0036】

ステップＳ１において、中継装置１がパケットを受信すると、第１の管理部１２は、受信したパケットに該当する通信コネクションがあるか否かを判定する。ステップＳ１の判定の結果、受信したパケットの通信コネクションのエントリが登録されていない場合（ステップＳ１：Ｎｏの場合）、第１の管理部１２は、通信コネクションのエントリ情報として、スローパスエントリ情報を新規に第１の記憶部１３に登録する（ステップＳ２）。

【0037】

ステップＳ３において、第２の管理部２２は、新規に登録されたエントリがファストパス転送の対象パケットか否かを判定する。ステップＳ３の判定の結果、新規に登録されたエントリがファストパス転送の対象パケットでない場合（ステップＳ３：Ｎｏの場合）、スローパス転送処理部１１は、パケットを転送処理する（ステップＳ５）。

【0038】

ステップＳ３の判定の結果、新規に登録されたエントリがファストパス転送の対象パケットである場合（ステップＳ３：Ｙｅｓの場合）、第２の管理部２２は、通信コネクションのエントリ情報として、ファストパスエントリ情報を新規に第２の記憶部２３に登録する（ステップＳ４）。一方、ステップＳ１の判定の結果、受信したパケットに該当する通信コネクションがある場合（ステップＳ１：Ｙｅｓの場合）、第２の管理部２２は、通信コネクションのファストパスエントリ情報のＳＰＩタイマ値を更新する（ステップＳ６）。ステップＳ４およびＳ６の後、ファストパス転送処理部２１は、パケットを転送処理する（ステップＳ５）。

【0039】

ファストパス転送用の通信コネクションのエントリが登録される契機は、スローパス転送のパケット転送処理において、パケットを受信し、該当するパケットの通信コネクションがなく、新規の通信コネクションと判定されたときである。

【0040】

次に、中継装置１がＳＰＩタイマ値を監視する動作について説明する。図６および図７は、実施の形態１に係る中継装置によるＳＰＩタイマ値の監視処理の動作手順を示すフロー図である。中継装置１は、通信コネクションの全エントリ毎に、ステップＳ１２～ＳＳ２３の処理を実行する（ステップＳ１１およびＳ２４）。

【0041】

ステップＳ１２において、中継装置１がパケットを受信すると、第１の管理部１２は、受信したパケットに該当するスローパスエントリ情報のＳＰＩタイマ値を参照し、ＳＰＩタイムアウト値が満了しているか否かを判定する。ステップＳ１２の判定の結果、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃがＳＰＩタイムアウト値ＳＰＯを満了している場合、第１の管理部１２は、ファストパスエントリ情報に該当するエントリがあるか否かを判定する（ステップＳ１３）。ファストパスエントリ情報に該当するエントリがない場合、該当の通信コネクションのスローパスエントリ情報を削除する（ステップＳ１４）。

【0042】

一方、ステップＳ１３の判定の結果、ファストパスエントリ情報に該当するエントリがある場合、第１の管理部１２は、第１の記憶部１３の情報を参照し、該当するプロトコルおよび状態のＳＰＩタイムアウト値ＳＰＯを第１の記憶部１３から取得する（ステップＳ１５）。続いて、第１の管理部１２は、第２の記憶部２３の情報を参照し、該当するプロトコルおよび状態のＳＰＩタイムアウト値ＦＰＯを第２の記憶部２３から取得する（ステップＳ１６）。さらに、第１の管理部１２は、該当するファストパス転送コネクションのＳＰＩタイマ値ＦＴｃを第２の記憶部２３から取得する（ステップＳ１７）。

【0043】

ステップＳ１８において、第１の管理部１２は、該当するエントリのスローパスエントリ情報のＳＰＩタイマ値の暫定更新値をＳＴｎとすると、式（１）を用いて、暫定更新値ＳＴｎを計算する。ステップＳ１９において、第１の管理部１２は、暫定更新値ＳＴｎが０以下であるか否かを判定する。ステップＳ１９の判定の結果、暫定更新値ＳＴｎが０以下である場合、第１の管理部１２は、該当するエントリ情報を第１の記憶部１３および第２の記憶部２３から削除する（ステップＳ２０）。

【0044】

一方、ステップＳ１９の判定の結果、暫定更新値ＳＴｎが０より大きい場合、第１の管理部１２は、暫定更新値ＳＴｎがＳＰＩタイムアウト値ＳＰＯ以下であるか否かを判定する（ステップＳ２１）。ステップＳ２１の判定の結果、暫定更新値ＳＴｎがＳＰＩタイムアウト値ＳＰＯ以下である場合、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃを暫定更新値ＳＴｎに更新する（ステップＳ２２）。ステップＳ２１の判定の結果、暫定更新値がＳＰＩタイムアウト値ＳＰＯよりも大きい場合、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃをＳＰＩタイムアウト値ＳＰＯに更新する（ステップＳ２３）。ステップＳ２０、Ｓ２２およびＳ２３の処理の後、中継装置１は、ステップＳ２４の処理に進む。

【0045】

ステップＳ２４において、中継装置１は、１つのエントリについて、スローパスエントリ情報のＳＰＩタイマ値の監視処理が終了すると、ステップＳ１２の処理に戻る。一方、中継装置１は、全てのエントリについて、スローパスエントリ情報のＳＰＩタイマ値の監視処理が終了すると、１秒間待機した後（ステップＳ２５）、ステップＳ１１の処理に戻る。なお、ステップＳ２５における待機時間は、１秒に限らない。

【0046】

次に、ＳＰＩタイマ値の監視処理の具体例を説明する。図８は、実施の形態１に係る中継装置による、ＵＤＰ片方向通信時のＳＰＩタイムアウト値の管理の動作を示すシーケンス図である。図８は、図５～図７に示した動作フローにおいて、ＵＤＰパケットの片方向通信のパケットを転送した場合のＳＰＩタイムアウト値の管理の動作手順を示す。

【0047】

図８において、スローパス転送用のエントリ情報のＳＰＩタイマ値を実線枠で示し、ファストパス転送用のエントリ情報のＳＰＩタイマ値を破線枠で示している。それぞれの枠内に記載された数値の単位は［秒］である。中継装置１には、ローパス転送用のＵＤＰのＵＮＲＥＰＬIＥＤ（片方向）のＳＰＩタイムアウト値ＳＰＯに６０秒が設定され、ファストパス転送用のＵＤＰのＵＮＲＥＰＬIＥＤ（片方向）のＳＰＩタイムアウト値ＦＰＯに３００秒が設定されている。

【0048】

ＬＡＮホスト７からＷＡＮホスト６へ、ＵＤＰの初回パケットＰｋ１が送信される。中継装置１は、パケットＰｋ１を受信すると、初回パケットＰｋ１をスローパス転送で処理する。中継装置１は、パケットＰｋ１をスローパス転送する際、スローパスエントリ情報を新規に作成する。その際、ＳＰＩタイマ値には、ＳＰＩタイムアウト値ＳＰＯの６０秒が設定される。

【0049】

ＵＤＰのパケットＰｋ１はファストパス転送対象のパケットになるため、中継装置１は、ファストパスエントリ情報も新規作成する。その際、ＳＰＩタイマ値に、ＳＰＩタイムアウト値ＦＰＯの３００秒が設定される。それ以降のパケットＰｋ２（１）～Ｐｋ２（３）については、ファストパスエントリ情報が存在するので、中継装置１は、ファストパス転送で処理する。ファストパスエントリ情報のＳＰＩタイマ値は、中継装置１がパケットＰｋ２（１）～Ｐｋ２（３）のそれぞれを受信する毎に、３００秒にリセットされる。

【0050】

その後、中継装置１がパケットＰｋ１を受信してから６０秒が経過すると、スローパスエントリ情報のＳＰＩタイマ値が満了する。第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値が満了したことを検知すると、ＳＰＩタイマ値が満了したエントリのファストパスエントリ情報が有るか確認する。ファストパスエントリ情報が残っているので、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃを更新すべきかどうかを確認するため、式（１）を用いて、暫定更新値ＳＴｎを算出する。

【0051】

図８からファストパスエントリ情報のＳＰＩタイマ値Ｆｔｃは２８０秒である。そのため、暫定更新値ＳＴｎは、ＳＴｎ＝ＳＰＯ－（ＦＰＯ－ＦＴｃ）＝６０秒－（３００秒－２８０秒）＝４０秒となる。暫定更新値ＳＴｎが、スローパス転送用のＳＰＩタイムアウト値ＳＰＯ＝６０秒以下の４０秒であるため、第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃを４０秒に更新する。

【0052】

その後、中継装置１が最後に受信したパケットＰｋ２（３）の転送処理から５０秒経過したとき、ＬＡＮホスト７からＷＡＮホスト６へＵＤＰのパケットＰｋ３が送信される。中継装置１は、パケットＰｋ３をファストパス転送で処理し、ファストパスエントリ情報のＳＰＩタイマ値を３００秒にリセットする。その後、スローパスエントリ情報の更新されたＳＰＩタイマ値の４０秒が経過すると、スローパスエントリ情報のＳＰＩタイマ値が満了する。中継装置１は、ＳＰＩタイマ値が満了したエントリに対して、上述のようにして、ファストパスエントリ情報があることを確認する。そして、第１の管理部１２は、式（１）に基づいて、図８に示すように、スローパスエントリ情報のＳＰＩタイマ値を５０秒に更新する。

【0053】

その後、中継装置１は、上述の判定およびリセット等の処理を繰り返す。第１の管理部１２は、スローパスエントリ情報のＳＰＩタイマ値が満了したエントリがあると、式（１）に基づいてＳＰＩタイマ値の更新の判定を行う。暫定更新値ＳＴｎが０以下となる場合、第１の管理部１２は、該当のスローパスエントリ情報およびファストパスエントリ情報を第１の記憶部１３および第２の記憶部２３から削除する。このようにして、スローパスエントリ情報のＳＰＩタイマ値ＳＴｃが順次更新され、無通信の時間が長くなったエントリが管理対象から外される。図８に示すパケットＰｋ４のパケットの転送処理から６０秒以降に、中継装置１は、ＷＡＮホスト６からＬＡＮホスト７へのＵＤＰのパケットＰｋ５を受信すると、外部からの不正なアクセスと判断し、フィルタ処理する。

【0054】

上述したように、中継装置１は、スローパス転送の通信コネクションのＳＰＩタイマ値が満了したとき、スローパス転送用のＳＰＩタイムアウト値と、ファストパス転送用のＳＰＩタイムアウト値と、ファストパス転送の通信コネクションの残りの時間であるＳＰＩタイマ値に基づいて、スローパス転送の通信コネクションのＳＰＩタイマ値が更新される。このようにして、パケット転送の無通信の許容時間が更新される。

【0055】

なお、本実施の形態１においては、通信コネクション情報の管理方法がＳＰＩに適用される場合で説明したが、本実施の形態１の通信コネクション情報の管理方法が適用される対象はＳＰＩの場合に限らない。

【0056】

本実施の形態１の中継装置１は、ＷＡＮ４およびＬＡＮ５の間の通信の転送処理を行うスローパス転送処理部１１と、第１の記憶部１３と、第１の管理部１２と、スローパス転送処理部１１よりも速い転送処理を行うファストパス転送処理部２１と、第２の記憶部２３と、第２の管理部２２とを有する。第１の記憶部１３は、スローパス転送処理部１１が処理対象とする通信のスローパスエントリ情報とスローパス転送のタイムアウト値とを記憶する。スローパスエントリ情報は、スローパス転送処理対象の通信に関するコネクション情報とタイマ値とが対応づけられたエントリ情報である。第１の管理部１２は、スローパスエントリ情報を管理する。第２の記憶部２３は、ファストパス転送処理部が処理対象とする通信のファストパスエントリ情報とファストパス転送のタイムアウト値とを記憶する。ファストパスエントリ情報は、ファストパス転送処理対象の通信に関するコネクション情報とタイマ値とが対応づけられたエントリ情報である。第２の管理部２２は、ファストパスエントリ情報を管理する。第１の管理部１２は、スローパスエントリ情報のタイマ値が満了すると、タイマ値が満了したコネクション情報に対応する、ファストパスエントリ情報のタイマ値とスローパス転送のタイムアウト値とファストパス転送のタイムアウト値とに基づいて、スローパスエントリ情報のタイマ値を更新する。

【0057】

従来の中継装置は、一定の周期で、スローパス側の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルの全ての通信コネクションエントリの状態およびＳＰＩタイマ値を更新する。これに対して、本実施の形態１においては、スローパス転送用の通信コネクションのＳＰＩタイマ値が満了したタイミングで、通信コネクションのあるエントリのみについて管理情報を同期する処理が行われる。そのため、通信コネクションが多いと、スローパス側の通信コネクションテーブルとファストパス転送用の通信コネクションテーブルとを一定の周期で同期させる場合に比べて、ＣＰＵの演算処理の負荷を低減することができる。

【0058】

また、従来の中継装置は、テーブルの同期の周期が一定なので、ＳＰＩタイマ値を正確に管理できずに、ＳＰＩタイマ値が満了している状態で、外部からの不正なアクセスがフィルタされずに、セキュリティを確保されないおそれがある。これに対して、本実施の形態１においては、スローパス転送用の通信コネクションのＳＰＩタイマ値が満了したタイミングで、まだ通信が行われているか否かが判定され、無通信と判定されると、エントリ情報が削除される。そのため、セキュリティの高いＳＰＩを実現することができる。

【0059】

（利用形態の説明）
本実施の形態１においては、ＵＤＰのＵＮＲＥＰＬＩＥＤ（片方向）通信の場合で説明したが、ＵＤＰ ＡＳＳＵＲＥＤ（双方向）通信の場合にも適用することができる。ＵＤＰ ＡＳＳＵＲＥＤ（双方向）通信の場合、ＳＰＩタイマ値が満了し、暫定更新値を求める際、スローパス転送用のＳＰＩタイムアウト値としてＵＤＰ ＡＳＳＵＲＥＤタイムアウト設定値を参照し、ファストパス転送用のＳＰＩタイムアウト値としてＵＤＰ ＡＳＳＵＲＥＤタイムアウト設定値を参照すればよい。

【0060】

また、本実施の形態１において、通信プロトコルがＵＤＰの場合を例として説明したが、プロトコルの種別は限定されない。本実施の形態１は、通信プロトコルがＴＣＰであってもよく、ＵＤＰおよびＴＣＰ以外の他のプロトコルにも適用できる。

【符号の説明】

【0061】

１ 中継装置
２ スローパス転送部
３ ファストパス転送部
４ ＷＡＮ
５ ＬＡＮ
６ ＷＡＮホスト
７ ＬＡＮホスト
８ ＰＣ
９ ＷＡＮポート
１０ ＬＡＮポート
１１ スローパス転送処理部
１２ 第１の管理部
１３ 第１の記憶部
２１ ファストパス転送処理部
２２ 第２の管理部
２３ 第２の記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】