特許 7589823 トラヒック識別装置、スイッチ、ルータ、トラヒック識別方法及びトラヒック識別プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-18

(45)【発行日】2024-11-26

(54)【発明の名称】トラヒック識別装置、スイッチ、ルータ、トラヒック識別方法及びトラヒック識別プログラム

(51)【国際特許分類】

   H04L 45/30 20220101AFI20241119BHJP

   H04L 45/42 20220101ALI20241119BHJP

【ＦＩ】

H04L45/30

H04L45/42

【請求項の数】 8

(21)【出願番号】P 2023542112

(86)(22)【出願日】2021-08-18

(86)【国際出願番号】 JP2021030269

(87)【国際公開番号】W WO2023021635

(87)【国際公開日】2023-02-23

【審査請求日】2023-12-01

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】中務 諭士

(72)【発明者】

【氏名】武井 勇樹

(72)【発明者】

【氏名】西口 雅人

(72)【発明者】

【氏名】大西 浩行

【審査官】速水 雄太

(56)【参考文献】

【文献】特開２０１５－１６２６９３（ＪＰ，Ａ）

【文献】国際公開第２０１５／１２５８０１（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

パケットを第１の粒度で識別する第１のパケット識別情報と、前記第１のパケット識別情報に関連付けられたネットワーク識別子とを取得する第１取得部と、
前記第１のパケット識別情報及び前記ネットワーク識別子を、ユーザ拠点からパケットを受信するルータに接続されたスイッチに、前記スイッチが前記第１のパケット識別情報に合致するパケットに前記ネットワーク識別子を付与するように設定する第１設定部と、
前記ユーザ拠点から送信されるパケットを前記第１の粒度よりも粗い第２の粒度で識別する第２のパケット識別情報を取得する第２取得部と、
前記第２のパケット識別情報を、前記ルータに、前記ルータが前記第２のパケット識別情報に合致するパケットを前記スイッチに転送するように設定する第２設定部と
を備えるトラヒック識別装置。

【請求項2】

前記第１取得部は、前記第１のパケット識別情報として、パケットのヘッダ情報を受信する
請求項１に記載のトラヒック識別装置。

【請求項3】

前記第１取得部は、前記ヘッダ情報として、パケットの送信元アドレス、宛先アドレス、送信ポート番号、受信ポート番号又はプロトコル番号のうちの少なくとも１つを取得する
請求項２に記載のトラヒック識別装置。

【請求項4】

前記第２取得部は、前記第２のパケット識別情報として、前記ユーザ拠点から送信されるパケットのネットワーク識別子を受信する
請求項１～３のうちいずれか１つに記載のトラヒック識別装置。

【請求項5】

パケットを識別するパケット識別情報と、前記パケット識別情報に関連付けられたネットワーク識別子とを受信する第１受信部と、
第１のパケットをルータから受信する第２受信部と、
前記第１のパケットが前記パケット識別情報に合致するかを判定する判定部と、
前記第１のパケットが前記パケット識別情報に合致すると判定された場合に、前記第１のパケットに前記ネットワーク識別子を付与する付与部と、
前記ネットワーク識別子が付与された前記第１のパケットである第２のパケットを前記ルータに送信する送信部と
を備えるスイッチ。

【請求項6】

ユーザ拠点から送信されるパケットを識別するパケット識別情報を受信する第１受信部と、
前記ユーザ拠点から第１のパケットを受信する第２受信部と、
前記第１のパケットが前記パケット識別情報に合致するかを判定する判定部と、
前記第１のパケットが前記パケット識別情報に合致すると判定された場合に、前記第１のパケットをスイッチに転送する転送部と、
新たなネットワーク識別子が付与された前記第１のパケットである第２のパケットを前記スイッチから受信する第３受信部と
を備えるルータ。

【請求項7】

コンピュータが実行するトラヒック識別方法であって、
パケットを第１の粒度で識別する第１のパケット識別情報と、前記第１のパケット識別情報に関連付けられたネットワーク識別子とを取得する第１取得工程と、
前記第１のパケット識別情報及び前記ネットワーク識別子を、ユーザ拠点からパケットを受信するルータに接続されたスイッチに、前記スイッチが前記第１のパケット識別情報に合致するパケットに前記ネットワーク識別子を付与するように設定する第１設定工程と、
前記ユーザ拠点から送信されるパケットを前記第１の粒度よりも粗い第２の粒度で識別する第２のパケット識別情報を取得する第２取得工程と、
前記第２のパケット識別情報を、前記ルータに、前記ルータが前記第２のパケット識別情報に合致するパケットを前記スイッチに転送するように設定する第２設定工程と
を含むトラヒック識別方法。

【請求項8】

パケットを第１の粒度で識別する第１のパケット識別情報と、前記第１のパケット識別情報に関連付けられたネットワーク識別子とを取得する第１取得手順と、
前記第１のパケット識別情報及び前記ネットワーク識別子を、ユーザ拠点からパケットを受信するルータに接続されたスイッチに、前記スイッチが前記第１のパケット識別情報に合致するパケットに前記ネットワーク識別子を付与するように設定する第１設定手順と、
前記ユーザ拠点から送信されるパケットを前記第１の粒度よりも粗い第２の粒度で識別する第２のパケット識別情報を取得する第２取得手順と、
前記第２のパケット識別情報を、前記ルータに、前記ルータが前記第２のパケット識別情報に合致するパケットを前記スイッチに転送するように設定する第２設定手順と
をコンピュータに実行させるトラヒック識別プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、トラヒック識別装置、スイッチ、ルータ、トラヒック識別方法及びトラヒック識別プログラムに関する。

【背景技術】

【0002】

ネットワーク上で動作するアプリケーションは、近年、多様化している。アプリケーションの多様化は、アプリケーションを意識したネットワーキングへの期待を高めている。このような期待により、ネットワークオペレータは、高付加価値を与える、より高品質なネットワークサービスを提供することを検討している。例えば、ネットワークオペレータは、より高品質なネットワークサービスを、ユーザが送信するパケットに対して優先制御やパス選択を実施することによって、提供することができる。

【0003】

優先制御やパス選択に関しては、例えば、ＤＰＩ(Deep Packet Inspection)等の、専用のハードウェア製品を用いてパケットを細かなアプリケーションレベルで識別する技術がある。

【先行技術文献】

【非特許文献】

【0004】

【文献】“ＤＰＩ(Deep Packet Inspection)入門”［online］、［２０２１年８月１８日検索］、インターネット＜https://www.netone.co.jp/knowledge-center/blog-column/knowledge_takumi_050/＞

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、上記の先行技術では、粒度の細かいパケット識別を経済的に実施することが難しい場合がある。

【0006】

例えば、ＤＰＩ等の専用のハードウェア製品は、一般には、高額である。

【0007】

その一方で、市販のルータを用いてパケットを細かなアプリケーションレベルで識別する技術もある。例えば、パケットの転送先を決定するための転送機構が、キャリアネットワークを構成する市販のルータに導入されている。

【0008】

この転送機構では、パケットの転送先は、５tuple(送信元アドレス、宛先アドレス、送信ポート番号、受信ポート番号およびプロトコル番号)に基づいてアクセスリストによるフィルタリングを行うことで、パケットの転送先を決定する。市販のルータに導入されたこのような転送機構を用いることで識別可能なアプリケーションもある。市販のルータがアプリケーションの識別に用いられる場合に、エントリが、送信元アドレスやＴＣＰ（Transmission Control Protocol）ポート番号等のヘッダ情報を識別するために、登録される。

【0009】

しかしながら、一般的な市販のルータに登録可能なエントリの数は、数千程度である。一方、アプリケーションが使用するヘッダ情報のパタンの数は、数千以上である場合もある。ユーザごとに、さらに細かい粒度でネットワークを制御するには、エントリの登録の数は、市販ルータだけでは不十分である。

【0010】

そこで、本開示は、粒度の細かいパケット識別を経済的に実施することができるトラヒック識別装置、スイッチ、ルータ、トラヒック識別方法及びトラヒック識別プログラムを提案する。

【課題を解決するための手段】

【0011】

本開示の一態様では、トラヒック識別装置は、パケットを第１の粒度で識別する第１のパケット識別情報と、前記第１のパケット識別情報に関連付けられたネットワーク識別子とを取得する第１取得部と、前記第１のパケット識別情報及び前記ネットワーク識別子を、ユーザ拠点からパケットを受信するルータに接続されたスイッチに、前記スイッチが前記第１のパケット識別情報に合致するパケットに前記ネットワーク識別子を付与するように設定する第１設定部と、前記ユーザ拠点から送信されるパケットを前記第１の粒度よりも粗い第２の粒度で識別する第２のパケット識別情報を取得する第２取得部と、前記第２のパケット識別情報を、前記ルータに、前記ルータが前記第２のパケット識別情報に合致するパケットを前記スイッチに転送するように設定する第２設定部とを備える。

【発明の効果】

【0012】

本開示の１つまたは複数の実施形態に係るトラヒック識別装置は、粒度の細かいパケット識別を経済的に実施することができる。

【図面の簡単な説明】

【0013】

【図1】図１は、現在のネットワーク制御の例と本開示に係るネットワーク制御の例との比較を示す。

【図2】図２は、市販のルータにおけるエントリ識別の例を示す。

【図3】図３は、トラヒック識別のための環境の例のブロック図である。

【図4】図４は、本開示に係るトラヒック識別装置の構成の例のブロック図である。

【図5】図５は、本開示に係るスイッチの構成の例のブロック図である。

【図6】図６は、本開示に係るルータの構成の例のブロック図である。

【図7】図７は、本開示に係るトラヒック識別の例を示す。

【図8】図８は、本開示に係るＭＰＬＳ ＶＰＮネットワークの例を示す。

【図9】図９は、本開示に係るトラヒック識別管理の例を示す。

【図10】図１０は、本開示に係るサービス識別情報の設定の例を示す。

【図11】図１１は、本開示に係るユーザ識別情報の設定の例を示す。

【図12】図１２は、トラヒックを識別するための処理の例を示すフローチャートである。

【図13】図１３は、コンピュータのハードウェア構成の例を示す。

【発明を実施するための形態】

【0014】

複数の実施形態を、図面を参照して、以下で詳細に説明する。なお、本発明は、これらの複数の実施形態によって限定されるものではない。様々な実施形態の複数の特徴は、これらの複数の特徴が互いに矛盾しないという条件で、様々なやり方で組み合わされ得る。同一の要素は、同一の符号で示され、重複する説明は、省略される。

【0015】

〔１．はじめに〕
キャリアネットワークのような大規模ネットワークでは、市販のＰＥ(Provider Edge)ルータが、大量のパケットの通信経路の識別や、パケットの優先度の識別を実施している。

【0016】

図１は、現在のネットワーク制御の例と本開示に係るネットワーク制御の例との比較である比較１０を示す。比較１０は、現在のネットワーク制御の例と、本開示に係るネットワーク制御の例とを含む。

【0017】

現在のネットワーク制御の例では、送出パスは、ユーザ識別子の単位で選択される。例えば、パケットが、ユーザ拠点からＰＥルータに送信される。ネットワークは、高優先パス、中優先パス、ベストエフォートパス等の複数のパスを含む。ＰＥルータは、パケットのユーザ識別子に基づいて、パケットのパスを選択する。

【0018】

一方、本開示に係るネットワーク制御の例は、より粒度の細かいトラフィック識別を行うものである。本開示に係るネットワーク制御の例では、送出パスは、デバイスやアプリケーションの単位で選択される。ユーザ拠点は、例えば、カメラ、ラップトップ、スマートフォン等の複数のデバイスを含む。また、各種アプリケーションが、複数のデバイスにインストールされていてもよい。ＰＥルータは、このようなデバイスやアプリケーションを識別する情報に基づいて、パケットのパスを選択する。

【0019】

ネットワーク制御を実施するために、例えば、市販のルータが、ＰＥルータとして用いられる。しかしながら、市販のルータを、大規模ネットワークのネットワーク制御に適用することは難しい場合がある。

【0020】

図２は、市販のルータにおけるエントリ識別の例であるエントリ識別２０を示す。図２に示されるように、テレビ電話アプリ等のアプリケーションのパケットは、ヘッダ情報を有する。例えば、ヘッダ情報は、５tuple（例えば、ユーザアドレスとアプリケーションの送信先アドレスの組み合わせ等）を含む。

【0021】

送信元アドレスやＴＣＰポート番号等のヘッダ情報を識別するために、エントリが登録されるが、そのエントリの数は、数千程度である。

【0022】

一方、アプリケーションが使用するヘッダ情報のパタンの数は、数千以上である場合がある。図２の例では、テレビ電話アプリのトラヒックを識別するパターンの数は、送信先アドレスの組み合わせの数である。その組み合わせの数は、１，７４０パタンである。

【0023】

図２の例では、市販のルータは、優先ユーザＡ、一般ユーザＢ、優先ユーザＣ等の複数のユーザを識別する。市販のルータでは、例えば、識別可能なエントリの数は、約１０万である。しかしながら、送信先アドレスの組み合わせの数が１，７４０パタンであるため、図２の市販のルータは、５７ユーザしか識別することができない。もし、市販のルータのみが、粒度の細かいネットワーク制御を実施するために用いられるのならば、エントリの登録の数が、不足している。

【0024】

上記の課題を解決するために、本開示の１つまたは複数の実施形態に係るトラヒック識別装置は、以下に説明される１つまたは複数のトラヒック識別処理を行う。

【0025】

〔２．トラヒック識別のための環境〕
まず、図３を参照して、本開示に係るトラヒック識別のための環境について説明する。

【0026】

図３は、トラヒック識別のための環境の例である環境１のブロック図である。図３に示されるように、環境１は、トラヒック識別装置１００と、ネットワーク２００と、保守者端末３００と、スイッチ４００と、ユーザ端末５００と、ルータ６００とを含む。

【0027】

トラヒック識別装置１００は、１つまたは複数のトラヒック識別処理を行う装置である。１つまたは複数のトラヒック識別処理は、スイッチ４００やルータ６００の設定を行う処理を含む。トラヒック識別処理は、パケットが何のサービスに対応するのかを、細かい粒度で、経済的に識別するために行われる。本開示に係るトラヒック識別処理の例は、６節で説明される。

【0028】

トラヒック識別装置１００は、サーバ等のデータ処理装置である。トラヒック識別装置１００の構成の例は、４節で説明される。

【0029】

ネットワーク２００は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、インターネット等のネットワークである。ネットワーク２００は、トラヒック識別装置１００、保守者端末３００、スイッチ４００、ユーザ端末５００およびルータ６００を接続する。

【0030】

保守者端末３００は、クライアント装置等のデータ処理装置である。例えば、保守者端末３００は、ネットワークの保守者によって利用されるコンソール端末である。

【0031】

スイッチ４００は、スイッチ等のデータ処理装置である。例えば、スイッチ４００は、Ｌ（Layer）３スイッチである。

【0032】

ユーザ端末５００は、クライアント装置等のデータ処理装置である。例えば、ユーザ端末５００は、ラップトップ、スマートフォン等のデバイスである。

【0033】

ルータ６００は、ルータ等のデータ処理装置である。例えば、ルータ６００は、ＰＥルータや、コアルータである。

【0034】

〔３．トラヒック識別装置の構成〕
次に、図４を参照して、トラヒック識別装置１００の構成の例について説明する。

【0035】

図４は、本開示に係るトラヒック識別装置の構成の例であるトラヒック識別装置１００のブロック図である。図４に示されるように、トラヒック識別装置１００は、通信部１１０、制御部１２０および記憶部１３０とを含む。トラヒック識別装置１００は、トラヒック識別装置１００の管理者から入力を受け付ける入力部（例えば、キーボード、マウス）を含んでもよい。また、トラヒック識別装置１００は、トラヒック識別装置１００の管理者に情報を表示する出力部（例えば、液晶ディスプレイ、有機ＥＬ（Electro Luminescence）ディスプレイ）を含んでもよい。

【0036】

〔３－１．通信部１１０〕
通信部１１０は、例えば、ＮＩＣ（Network Interface Card）によって実装される。通信部１１０は、有線または無線によりネットワーク２００と接続される。通信部１１０は、ネットワーク２００を介して、保守者端末３００と、スイッチ４００と、ユーザ端末５００と、ルータ６００との間で、情報の送受信を行うことができる。

【0037】

〔３－２．制御部１２０〕
制御部１２０は、コントローラ（controller）である。制御部１２０は、ＲＡＭ（Random Access Memory)を作業領域として使用し、トラヒック識別装置１００の記憶装置に記憶された各種プログラムを実行する１つまたは複数のプロセッサ（例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit））によって実装される。また、制御部１２０は、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）、ＧＰＧＰＵ（General Purpose Graphic Processing Unit）等の、集積回路により実装されてもよい。

【0038】

図４に示されるように、制御部１２０は、第１受信部１２１、第１取得部１２２、第１設定部１２３、第２受信部１２４、第２取得部１２５および第２設定部１２６を含む。トラヒック識別装置１００の１つまたは複数のプロセッサは、トラヒック識別装置１００の１つまたは複数のメモリに記憶された命令を実行することによって、各制御部を実装することができる。各制御部によって行われるデータ処理は例であり、各制御部（例えば、第１設定部１２３）は、他の制御部（例えば、第１受信部１２１）に関連して説明されるデータ処理を行ってもよい。

【0039】

第１受信部１２１は、パケットを特定の粒度で識別するパケット識別情報（例えば、５tuple等のヘッダ情報）を、保守者端末３００から受信する。また、第１受信部１２１は、パケット識別情報に関連付けられたネットワーク識別子を、保守者端末３００から受信する。第１受信部１２１は、パケット識別情報およびネットワーク識別子を、記憶部１３０に格納する。

【0040】

第１取得部１２２は、パケットを特定の粒度で識別するパケット識別情報（例えば、５tuple等のヘッダ情報）を、記憶部１３０から取得する。また、第１取得部１２２は、パケット識別情報に関連付けられたネットワーク識別子を、記憶部１３０から取得する。

【0041】

第１設定部１２３は、第１取得部１２２によって取得されたパケット識別情報およびネットワーク識別子を、スイッチ４００に設定する。この設定は、図７、図８、図９、図１０および図１１を参照して以下でより詳細に説明される。

【0042】

第２受信部１２４は、パケットを特定の粒度で識別するパケット識別情報（例えば、ＶＬＡＮ－ＩＤ）を、ユーザ端末５００から受信する。第２受信部１２４は、パケット識別情報を、記憶部１３０に格納する。

【0043】

第２取得部１２５は、パケットを特定の粒度で識別するパケット識別情報（例えば、ＶＬＡＮ（Virtual ＬＡＮ）－ＩＤ（Identifier））を、記憶部１３０から取得する。

【0044】

第２設定部１２６は、第２取得部１２５によって取得されたパケット識別情報を、ルータ６００に設定する。この設定は、図７、図８、図９、図１０および図１１を参照して以下でより詳細に説明される。

【0045】

記憶部１３０は、例えば、ＲＡＭ、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実装される。記憶部１３０は、第１受信部１２１によって受信されたパケット識別情報およびネットワーク識別子を記憶する。また、第２受信部１２４によって受信されたパケット識別情報を記憶する。

【0046】

〔４．スイッチの構成〕
次に、図５を参照して、スイッチ４００の構成の例について説明する。

【0047】

図５は、本開示に係るスイッチの構成の例であるスイッチ４００のブロック図である。図５に示されるように、スイッチ４００は、通信部４１０、制御部４２０および記憶部４３０とを含む。

【0048】

通信部４１０は、ルータ６００と接続される。通信部４１０は、ルータ６００との間で、パケットの送受信を行うことができる。

【0049】

制御部４２０は、コントローラである。制御部４２０は、スイッチ４００の記憶装置に記憶された各種プログラムを実行する１つまたは複数のプロセッサ（例えば、専用のプロセッサ）によって実装される。例えば、制御部４２０は、ＡＳＩＣによって実装される。

【0050】

図５に示されるように、制御部４２０は、第１受信部４２１、第２受信部４２２、判定部４２３、付与部４２４および送信部４２５を含む。スイッチ４００の１つまたは複数のプロセッサは、トラヒック識別装置１００の１つまたは複数のメモリに記憶された命令を実行することによって、各制御部を実装することができる。

【0051】

第１受信部４２１は、パケットを識別するパケット識別情報を受信する。例えば、パケット識別情報は、５tuple等のヘッダ情報である。また、第１受信部４２１は、パケット識別情報に関連付けられたネットワーク識別子を受信する。例えば、ネットワーク識別子は、ＶＬＡＮ－ＩＤ）である。

【0052】

第２受信部４２２は、パケットをルータ６００から受信する。

【0053】

判定部４２３は、パケットがパケット識別情報に合致するかを判定する。

【0054】

付与部４２４は、判定部４２３がパケットがパケット識別情報に合致すると判定した場合に、パケットにネットワーク識別子を付与する。

【0055】

送信部４２５は、ネットワーク識別子が付与されたパケットを、ルータ６００に送信する。

【0056】

記憶部４３０は、半導体メモリ素子、または、ハードディスク等の記憶装置によって実装される。記憶部４３０は、パケット識別情報およびネットワーク識別子を記憶する。また、記憶部４３０は、トラヒック識別装置１００から受信された設定を記憶する。

【0057】

〔５．ルータの構成〕
次に、図６を参照して、ルータ６００の構成の例について説明する。

【0058】

図６は、本開示に係るルータの構成の例であるルータ６００のブロック図である。図６に示されるように、ルータ６００は、通信部６１０、制御部６２０および記憶部６３０とを含む。

【0059】

通信部６１０は、スイッチ４００と接続される。通信部４１０は、スイッチ４００との間で、パケットの送受信を行うことができる。

【0060】

制御部６２０は、コントローラである。制御部４２０は、ルータ６００の記憶装置に記憶された各種プログラムを実行する１つまたは複数のプロセッサ（例えば、汎用のプロセッサ）によって実装される。

【0061】

図６に示されるように、制御部６２０は、第１受信部６２１、第２受信部６２２、判定部６２３、転送部６２４および第３受信部６２５を含む。ルータ６００の１つまたは複数のプロセッサは、ルータ６００の１つまたは複数のメモリに記憶された命令を実行することによって、各制御部を実装することができる。

【0062】

第１受信部６２１は、ユーザ拠点から送信されるパケットを識別するパケット識別情報を受信する。

【0063】

第２受信部６２２は、ユーザ拠点からパケットを受信する。

【0064】

判定部６２３は、パケットがパケット識別情報に合致するかを判定する。

【0065】

転送部６２４は、判定部６２３がパケットがパケット識別情報に合致すると判定した場合に、パケットをスイッチ４００に転送する。

【0066】

第３受信部６２５は、パケットをスイッチ４００から受信する。

【0067】

記憶部６３０は、半導体メモリ素子、または、ハードディスク等の記憶装置によって実装される。記憶部６３０は、パケット識別情報を記憶する。また、記憶部６３０は、トラヒック識別装置１００から受信された設定を記憶する。

【0068】

〔６．トラヒック識別処理〕
次に、図７、図８、図９、図１０および図１１を参照して、本開示に係るトラヒック識別処理の例を説明する。

【0069】

図７は、本開示に係るトラヒック識別の例であるトラヒック識別３０を示す。トラヒック識別３０は、プログラマブルスイッチ４００ａ、プログラマブルスイッチ４００ｂ、ユーザ端末５００ａ、ユーザ端末５００ｂ、ユーザ端末５００ｃ、ユーザ端末５００ｄ、ＰＥルータ６００ａおよびＰＥルータ６００ｂを用いる。また、トラヒック識別３０は、ＰＥルータ以外の複数のルータ（例えば、複数のコアルータ）を用いる。図７のプレミアムパスおよび一般パスは、これらの機器によって実装される。

【0070】

図７に示されるように、ＰＥルータ６００ａでは、エントリの数は、ユーザの数に比例する。プログラマブルスイッチ４００ａでは、エントリの数は、トラヒックの識別パタンの数に比例する。

【0071】

トラヒック識別３０は、より多様なトラヒック識別を行うため、パケットの識別を２段階で実施するネットワークを構成する。ＰＥルータ６００ａが、比較的粗い粒度のパケット識別を実施する。例えば、パケット識別は、ユーザごとに実施される。パケット識別の後、ＰＥルータ６００ａは、プログラマブルスイッチ４００ａに、トラヒックを転送する。

【0072】

ＰＥルータ６００ａに併設されたプログラマブルスイッチ４００ａが、より細かい粒度のパケット識別を実施する。このことは、装置ごとに必要とされるエントリの数を低減することができる。このため、トラヒック識別３０の構成は、大規模ネットワークにも耐え得る。

【0073】

プログラマブルスイッチ４００ａでの処理の例は、トラヒック識別（Match）（例えば、Ｌ（Layer）４ヘッダ情報、ペイロード情報、ネットワークフロー等）や、制御（Action）（例えば、ＶＬＡＮ変換、遅延の可視化／ＩＮＴ情報の付与等）を含む。プログラマブルスイッチ４００ａは、トラヒックの識別パタンの単位で制御処理を実施する。

【0074】

なお、必要ならば、ＰＥルータ６００ｂは、プログラマブルスイッチ４００ｂに、トラヒックを転送する。

【0075】

図８は、本開示に係るＭＰＬＳ（Multiprotocol Label Switching） ＶＰＮ（Virtual Private Network）ネットワークの例であるＭＰＬＳ ＶＰＮネットワーク４０を示す。ＭＰＬＳ ＶＰＮネットワーク４０では、ＶＬＡＮ－ＩＤの付け替えが実施される。付け替え処理は、４つのステップを含む。

【0076】

ステップＳ１では、ルータ６００（例えば、ＰＥルータ）が、プレミアムユーザのパケットをプログラマブルスイッチへ転送する。

【0077】

ステップＳ２では、スイッチ４００（例えば、プログラマブルスイッチ）が、予め登録されたエントリーに基づいて、転送されたパケットを識別する。

【0078】

ステップＳ３では、スイッチ４００（例えば、プログラマブルスイッチ）が、パケットの識別の粒度でＶＬＡＮ－ＩＤの付け替えを実施する。

【0079】

ステップＳ４では、ルータ６００（例えば、ＰＥルータ）が、着信したパケットのＶＬＡＮ－ＩＤに基づいて転送されるＶＰＮパスを決定する。

【0080】

なお、トラヒックが、トラヒック識別の条件に合致しない場合には、ルータ６００（例えば、ＰＥルータ）は、このトラヒックを、一般のＶＰＮパスと同等の経路にしてもよい。

【0081】

図８に示されるように、ルータ６００（例えば、ＰＥルータ）は、優先的に扱われるユーザのパケットのＶＬＡＮ－ＩＤ等の粒度で、スイッチ４００（例えば、プログラマブルスイッチ）へ、パケットを転送する。例えば、パケットの転送は、static/ＰＢＲ(Policy Base Routing)によって行われる。スイッチ４００がパケット識別を実施した後に、スイッチ４００は、パケットのネットワーク識別子を、ルータ６００によって識別可能な識別子（例えば、ＶＬＡＮ－ＩＤ）に変換する。ルータ６００は、パケットの送出先を決定する。

【0082】

図９は、本開示に係るトラヒック識別管理の例であるトラヒック識別管理５０を示す。トラヒック識別管理５０は、図７のトラヒック識別３０および図８のＭＰＬＳ ＶＰＮネットワーク４０を実装するためのトラヒック識別システムを導入するものである。

【0083】

トラヒック識別管理５０では、保守者端末３００の保守者は、パケットの識別が実施されるサービスのパタンを選択する。また、保守者は、エントリが登録されるプログラマブルスイッチを選択する。図９の例では、保守者は、プログラマブルスイッチ４００ａや、プログラマブルスイッチ４００ｂを選択する。

【0084】

そして、保守者は、選択されたパタンおよびプログラマブルスイッチを、トラヒック識別装置１００に登録する。トラヒック識別装置１００は、プログラマブルスイッチに、条件とアクションを設定する。

【0085】

トラヒック識別装置１００は、複数のプログラマブルスイッチへの条件およびアクションの登録を可能にする。また、トラヒック識別装置１００は、保守者が、どのプログラマブルスイッチへパケットが転送されるかを自律的に判断できるように、各種情報の登録を可能にするユーザインタフェースを提供することができる。保守者は、エントリの数がスケールするように、各種情報を登録することができる。

【0086】

ユーザ端末５００のユーザは、カスタマコントロールのように、トラヒック識別装置１００にアクセスする。ユーザがトラヒック識別サービスに加入したい場合に、ユーザは、保守者が登録したサービスを選択する。また、ユーザは、ユーザ自身が追加で登録したい条件（例えば、特定のデバイス(の送信元ＩＰアドレス)だけを識別対象として設定するための条件）を入力する。トラヒック識別装置１００は、自動的に、ルータ６００（例えば、ＰＥルータ）に対して、設定を実施する。トラヒック識別管理５０では、優先されるパスと、優先されるパスに流されるＰＥ識別子(例えば、ＶＬＡＮ－ＩＤ)は、事前に登録されていること、が仮定される。なお、図４の記憶部１３０が、図９のユーザ管理ＤＢ（Data Base）を含んでもよい。また、記憶部１３０は、図９のサービス識別パタンテーブルや、ユーザ識別パタンテーブルを含んでもよい。

【0087】

図１０は、本開示に係るサービス識別情報の設定の例である設定６０を示す。図１０に示されるように、保守者端末３００の保守者が、サービス識別パタンを追加する。

【0088】

識別可能なサービスは、サービス識別パタンテーブルに追加される。サービス識別パタンテーブルは、サービス名、エントリ格納の対象であるプログラマブルスイッチ、サービス識別のための条件、Action等を含む。サービス識別のための条件は、パケット識別情報の一例である。サービス識別情報は、プログラマブルスイッチ４００ｃや、プログラマブルスイッチ４００ｄに登録される。図４の記憶部１３０が、図１０のサービス識別パタンテーブルを含んでもよい。

【0089】

図１１は、本開示に係るユーザ識別情報の設定の例である設定７０を示す。図１１に示されるように、ユーザ端末５００のユーザが、識別サービスへの加入を要求する。

【0090】

ユーザは、登録済みサービスを選択する。トラヒック識別装置１００は、ユーザ管理ＤＢから、ＰＥルータ、利用可能なプログラマブルスイッチおよび基本識別条件を取得する。ユーザは、複数のパケットの転送先の中から、転送先を選択することができる。ユーザがパケットの転送先をデバイスの送信元ＩＰアドレスに限定したい場合には、ユーザは、識別追加情報を登録することができる。転送先が選択された後、トラヒック識別装置１００は、ユーザ識別情報を、ＰＥルータ６００ａに設定する。図４の記憶部１３０が、図１１のユーザ管理ＤＢ、サービス識別パタンテーブル、およびユーザ識別パタンテーブルを含んでもよい。

【0091】

〔７．トラヒック識別処理のフローチャート〕
次に、図１２を参照して、本開示に係るトラヒック識別処理の例のフローチャートについて説明する。トラヒック識別処理の例は、トラヒックを識別するための処理を含む。ラヒックを識別するための処理は、例えば、図３のトラヒック識別装置１００によって行われる。

【0092】

図１２は、トラヒックを識別するための処理の例である処理Ｐ１００を示すフローチャートである。

【0093】

図１２に示されるように、はじめに、トラヒック識別装置１００の第１取得部１２２は、トラヒック識別装置１００の記憶部１３０から、サービス識別パタンを取得する（ステップＳ１０１）。

【0094】

次いで、トラヒック識別装置１００の第１設定部１２３は、サービス識別情報をスイッチ４００に設定する（ステップＳ１０２）。

【0095】

次いで、トラヒック識別装置１００の第２取得部１２５は、記憶部１３０から、ユーザ識別パタンを取得する（ステップＳ１０３）。

【0096】

次いで、トラヒック識別装置１００の第２設定部１２６は、ユーザ識別情報をルータ６００に設定する（ステップＳ１０４）。

【0097】

〔８．効果〕
上述のように、本開示に係るトラヒック識別処理では、ルータ６００（例えば、ＰＥルータ）が、ユーザごとのパケット識別等の、粗い粒度のパケット識別を行う。ルータ６００は、特定の条件(例えば、特定のユーザ、優先トラヒック)のパケットのみを、スイッチ４００（例えば、プログラマブルスイッチ）に引き込む。

【0098】

スイッチ４００は、パケット識別を実施し、パケットの識別子を、ルータによって識別可能な識別子（例えば、ＶＬＡＮ－ＩＤ）に変換する。ルータ６００は、ルータによって識別可能な識別子に基づいて、送出先(例えば、ＶＰＮパス)を決定する。

【0099】

その結果、市販のＰＥルータがパケット識別に用いられる場合でも、トラヒック識別装置１００は、ルータのエントリの数以上のパケットを識別することができる。また、パケットは、パケット識別に応じたパスに送出され得る。トラヒック識別装置１００は、十分に細かい粒度で、アプリケーションを意識したネットワーク制御を提供することができる。

【0100】

トラヒック識別装置１００は、市販のルータが持つ機能を活用し、プログラマブルスイッチにトラヒックを引き込むことができる。例えば、トラヒック識別装置１００は、優先されるトラヒックを、パケットの識別子を市販のルータによって識別可能な識別子に変換するヘッダ変換によって、一般のトラヒックから分離することができる。また、トラヒック識別装置１００は、優先されるトラヒックを、優先パスへ転送することができる。このため、既存のネットワークは、本開示に係るトラヒック識別処理を導入することができる。

【0101】

本開示に係るトラヒック識別処理では、複数のプログラマブルスイッチがある場合でも、エントリを分散させることで、エントリの数をスケールすることが可能である。トラヒック識別装置１００は、アプリケーションを識別することができるエントリの数をスケールさせることができる。

【0102】

〔９．その他〕
自動的に行われる処理として述べられた処理の一部は、手動的に行われ得る。あるいは、手動的に行われる処理として述べられた処理の全部または一部は、公知の方法で、自動的に行われ得る。さらに、本明細書や図面中で示された処理の手順、具体的名称、各種のデータやパラメータを含む情報は、特に明記しない限り、任意に変更され得る。例えば、各図に示された各種情報は、図示された情報に限られない。

【0103】

図示された装置の構成要素は、装置の機能を、概念的に示すものである。構成要素は、必ずしも、図面に示されたように物理的に構成されているとは限らない。言い換えると、分散または統合された装置の具体的形態は、図面に示されたシステムおよび装置の形態に限られない。装置の全部または一部は、各種の負荷や使用状況に応じて、機能的または物理的に分散または統合され得る。

【0104】

〔１０．ハードウェア構成〕
図１３は、コンピュータのハードウェア構成の例であるコンピュータ１０００を示す図である。本明細書で説明されたシステムや方法は、例えば、図１３に示されたコンピュータ１０００よって実装される。

【0105】

図１３は、プログラムが実行されることにより、トラヒック識別装置１００が実装されるコンピュータの一例を示している。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

【0106】

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

【0107】

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、トラヒック識別装置１００の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、トラヒック識別装置１００における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

【0108】

ハードディスクドライブ１０９０は、トラヒック識別処理のためのトラヒック識別プログラムを記憶することができる。また、トラヒック識別プログラムは、プログラムプロダクトとして作成され得る。プログラムプロダクトは、実行された場合に、上述したような、１つまたは複数の方法を実行する。

【0109】

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

【0110】

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

【0111】

〔１０．実施形態のまとめ〕
上述のように、本開示に係るトラヒック識別装置１００は、第１取得部１２２、第１設定部１２３、第２取得部１２５および第２設定部１２６を含む。少なくとも１つの実施形態では、第１取得部１２２は、パケットを第１の粒度で識別する第１のパケット識別情報と、第１のパケット識別情報に関連付けられたネットワーク識別子とを取得する。少なくとも１つの実施形態では、第１設定部１２３は、第１のパケット識別情報およびネットワーク識別子を、ユーザ拠点からパケットを受信するルータ６００に接続されたスイッチ４００に、スイッチ４００が第１のパケット識別情報に合致するパケットにネットワーク識別子を付与するように設定する。少なくとも１つの実施形態では、第２取得部１２５は、ユーザ拠点から送信されるパケットを第１の粒度よりも粗い第２の粒度で識別する第２のパケット識別情報を取得する。少なくとも１つの実施形態では、第２設定部１２６は、第２のパケット識別情報を、ルータ６００に、ルータ６００が第２のパケット識別情報に合致するパケットをスイッチ４００に転送するように設定する。

【0112】

いくつかの実施形態では、第１取得部１２２は、第１のパケット識別情報として、パケットのヘッダ情報を受信する。

【0113】

いくつかの実施形態では、第１取得部１２２は、ヘッダ情報として、パケットの送信元アドレス、宛先アドレス、送信ポート番号、受信ポート番号又はプロトコル番号のうちの少なくとも１つを取得する。

【0114】

いくつかの実施形態では、第２取得部１２５は、第２のパケット識別情報として、ユーザ拠点から送信されるパケットのネットワーク識別子を受信する。

【0115】

上述のように、本開示に係るスイッチ４００は、第１受信部４２１、第２受信部４２２、判定部４２３、付与部４２４および送信部４２５を含む。少なくとも１つの実施形態では、第１受信部４２１は、パケットを識別するパケット識別情報と、パケット識別情報に関連付けられたネットワーク識別子とを受信する。少なくとも１つの実施形態では、第２受信部４２２は、第１のパケットをルータ６００から受信する。少なくとも１つの実施形態では、判定部４２３は、第１のパケットがパケット識別情報に合致するかを判定する。少なくとも１つの実施形態では、付与部４２４は、第１のパケットがパケット識別情報に合致すると判定された場合に、第１のパケットにネットワーク識別子を付与する。少なくとも１つの実施形態では、送信部４２５は、ネットワーク識別子が付与された第１のパケットである第２のパケットをルータ６００に送信する。

【0116】

上述のように、本開示に係るルータ６００は、第１受信部６２１、第２受信部６２２、判定部６２３、転送部６２４および第３受信部６２５を含む。少なくとも１つの実施形態では、第１受信部６２１は、ユーザ拠点から送信されるパケットを識別するパケット識別情報を受信する。少なくとも１つの実施形態では、第２受信部６２２は、ユーザ拠点から第１のパケットを受信する。少なくとも１つの実施形態では、判定部６２３は、第１のパケットがパケット識別情報に合致するかを判定する。少なくとも１つの実施形態では、転送部６２４は、第１のパケットがパケット識別情報に合致すると判定された場合に、第１のパケットをスイッチ４００に転送する。少なくとも１つの実施形態では、第３受信部６２５は、新たなネットワーク識別子が付与された第１のパケットである第２のパケットをスイッチ４００から受信する。

【0117】

様々な実施形態を、図面を参照して、本明細書で詳細に説明したが、これらの複数の実施形態は例であり、本発明をこれらの複数の実施形態に限定することを意図するものではない。本明細書に記載された特徴は、当業者の知識に基づく様々な変形や改良を含む、様々な方法によって実現され得る。

【0118】

また、上述した「部（module、-er接尾辞、-or接尾辞）」は、ユニット、手段、回路などに読み替えることができる。例えば、通信部（communication module）、制御部（control module）および記憶部（storage module）は、それぞれ、通信ユニット、制御ユニットおよび記憶ユニットに読み替えることができる。

【符号の説明】

【0119】

１ 環境
１００ トラヒック識別装置
１１０ 通信部
１２０ 制御部
１２１ 第１受信部
１２２ 第１取得部
１２３ 第１設定部
１２４ 第２受信部
１２５ 第２取得部
１２６ 第２設定部
１３０ 記憶部
２００ ネットワーク
３００ 保守者端末
４００ スイッチ
４１０ 通信部
４２０ 制御部
４２１ 第１受信部
４２２ 第２受信部
４２３ 判定部
４２４ 付与部
４２５ 送信部
４３０ 記憶部
５００ ユーザ端末
６００ ルータ
６１０ 通信部
６２０ 制御部
６２１ 第１受信部
６２２ 第２受信部
６２３ 判定部
６２４ 転送部
６２５ 第３受信部
６３０ 記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】