JP2016225868A - 通信制御方法、通信制御装置及びプログラム - Google Patents
通信制御方法、通信制御装置及びプログラム Download PDFInfo
- Publication number
- JP2016225868A JP2016225868A JP2015111340A JP2015111340A JP2016225868A JP 2016225868 A JP2016225868 A JP 2016225868A JP 2015111340 A JP2015111340 A JP 2015111340A JP 2015111340 A JP2015111340 A JP 2015111340A JP 2016225868 A JP2016225868 A JP 2016225868A
- Authority
- JP
- Japan
- Prior art keywords
- network
- route
- communication
- router
- route information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000004891 communication Methods 0.000 title claims abstract description 583
- 238000000034 method Methods 0.000 title claims abstract description 119
- 238000012546 transfer Methods 0.000 claims description 76
- 230000008569 process Effects 0.000 claims description 29
- 230000005540 biological transmission Effects 0.000 claims description 23
- 238000012545 processing Methods 0.000 abstract description 31
- 230000006870 function Effects 0.000 description 90
- 238000010586 diagram Methods 0.000 description 40
- 230000004044 response Effects 0.000 description 33
- 101000638180 Homo sapiens Transmembrane emp24 domain-containing protein 2 Proteins 0.000 description 27
- 102220498740 Negative regulator of P-body association_P24A_mutation Human genes 0.000 description 27
- 102220272829 rs752608224 Human genes 0.000 description 24
- 102200109183 rs879253818 Human genes 0.000 description 22
- 230000004913 activation Effects 0.000 description 10
- 230000002159 abnormal effect Effects 0.000 description 6
- 230000008859 change Effects 0.000 description 6
- 238000006243 chemical reaction Methods 0.000 description 4
- 230000001934 delay Effects 0.000 description 2
- 238000001914 filtration Methods 0.000 description 2
- 230000000116 mitigating effect Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 230000004308 accommodation Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/22—Alternate routing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/58—Association of routers
- H04L45/586—Association of routers of virtual routers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/20—Traffic policing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1458—Denial of Service
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
特許文献1によれば、複数のISP(Internet Service Provider)とマルチホームしているユーザネットワークに対する通信において、1つのISPにおいてDDoS攻撃による影響を低減させる対策を実施することが開示されている。
図1は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システムの概要を以下に示す。
以下の説明では、インターネットを利用するユーザが管理するネットワーク(第1ネットワーク)内の通信装置(対象装置、特定の装置)に対するDDoS攻撃又はDoS攻撃を、特定のISP(Internet Service Provider)が管理するネットワーク(第2ネットワーク)を利用して軽減させる場合を例示して、本実施形態に係る通信システムについて説明する。
インターネットを構成する特定のネットワークとユーザのネットワーク(第1ネットワーク)とが他のネットワークを介して接続されている。上記のユーザのネットワーク内の所定のアドレス空間には、前記インターネットを介して通信する特定の装置が収容されている。例えば、上記の他のネットワークには、インターネットを構成する特定のネットワークとユーザのネットワークとの間の通信経路に設けられている特定のISP(Internet Service Provider)が管理するネットワークが含まれる。
図1に示す通信システム1には、ASX110、ASY210、ASZ310、ASB410、及びネットワーク600が含まれている。
対象装置120は、攻撃的なトラフィックを成す通信の送信先にあたる被攻撃対象の通信装置である。対象装置120は、ネットワーク101内のIPアドレス(ネットワークアドレス)が割り付けられており、例えば、そのアドレスが「10.0.0.100/32」で識別されるものとする。
ルータ111、ルータ112、ルータ113及びルータ114の各ルータは、互いに経路情報を共有し、ASX110内の通信の経路制御を実施する。なお、ルータ111、ルータ112、ルータ113及びルータ114間の接続は図示する以外の構成にしてもよい。
ルータ311、ルータ312、ルータ313及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310内の通信の経路制御を実施する。なお、ルータ311、ルータ312、ルータ313、及びルータ314間の接続は図示する以外の構成にしてもよい。
ルータ411、ルータ412、ルータ413及びルータ414の各ルータは、互いに経路情報を共有し、ASZ410内の通信の経路制御を実施する。なお、ルータ411、ルータ412、ルータ413及びルータ414間の接続は図示する以外の構成にしてもよい。
経路設定部2211(通信制御装置221)は、ネットワーク600(特定のネットワーク)とネットワーク101(第1ネットワーク)との間の通信経路にあるネットワーク300(第2ネットワーク)において、ネットワーク600からネットワーク101に向かう通信の経路を分岐させるようにASZ310を制御する。経路設定部2211(通信制御装置221)は、分岐させた経路の第1経路を、所定のアドレス空間に割り付けられたネットワーク102に向かう経路にする。また、経路設定部2211(通信制御装置221)は、分岐させた経路の第2経路を、ネットワーク101のアドレス空間からネットワーク102のアドレス空間が除かれたネットワーク101に向かう経路にする。経路設定部2211(通信制御装置221)は、上記のように定めた経路情報を利用して、通信の経路の構成を調整する。
前記第1経路には、前記所定のアドレス空間に向かう通信を制限するフィルタ装置222が設けられており、予め定められた制約条件を満たす場合に前記第1経路を介して前記所定のアドレス空間に向かう通信をフィルタ装置222により制限し、前記制約条件を満たさない場合に前記第1経路を介して前記所定のアドレス空間に向かう通信を許可するように、通信制御部2212(通信制御装置221)は、フィルタ装置222を制御する。
最初に平常時の通信パスが設定される。ASX110は、ASZ310に経路情報M21A1を広告する。例えば、経路情報M21A1は、プレフィクスに「10.0.0.0/21」、ASパス(AS−PATH)に「X」、ネクストホップ(Next−hop)に「GX2」をそれぞれ指定するデータを含む。ASZ310は、上記経路情報M21A1の受信に応じて、ASZ310内で経路情報を共有するとともに、ネットワーク600に経路情報M21A2を広告する。例えば、経路情報M21A2は、プレフィクスに「10.0.0.0/21」、ASパスに「ZX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。なお、ASパスで指定する「X」、「Y」、「Z」、「B」のそれぞれは、ASX110、ASY210、ASZ310、ASB410を示す。例えば、上記のように「ZX」と記載したASパスは、「X」、「Z」の順にリスト化されるものとする。以下の説明においても同様とする。
通信制御装置221は、ルータ211又はフィルタ装置222を制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.100/32」、ASパスに「YX」、ネクストホップにASY210のゲートウェイを示す「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221は、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YX」、ネクストホップにASX110のゲートウェイを示す「GX2」をそれぞれ指定するデータを含む。上記のASパスの指定において、「X」をASパスの先頭につけることで、ASX110側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221は、経路情報M32DFと経路情報M24DFとをルータ211からASZ310に広告させる。
なお、上記の経路情報M32DFには、プレフィクスに例えば「10.0.0.100/32」と指定した所定のアドレス空間を示すアドレス情報が含まれ、前記所定のアドレス空間がネットワーク101(又はネットワーク100、第1ネットワーク)のアドレス空間より狭くなるように設定される。経路情報M24DFには、ネットワーク101(又はネットワーク100、第1ネットワーク)のアドレス空間を示すアドレス情報が含まれている。経路情報M24DFに、さらに経路情報M32DF(第2の経路情報が、前記第1の経路情報より優先的に選択されるようにする情報を含むように構成してもよい。
図4は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。同図と上記図3とを参照して説明する。
ASZ310は、ネットワーク600のルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ASZ310は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.100/32」のパケットP32Aを受信した場合に、受信したパケットP32AをASY210に転送する。ASY210は、パケットP32Aを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、フィルタ装置220は、トンネルT12を介して、ASX110にパケットP32Aを転送する。ASX110は転送されたパケットP32Aを取得して、対象装置120がパケットP32Aを受信する。
ASZ310は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.100/32」のパケットP32DDAを受信した場合に、上記のケースA1の場合と同様に、受信したパケットP32DDAをASY210に転送する。ASY210は、パケットP32DDAを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置222は、当該パケットP32DDAを破棄する。
ASZ310は、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASX110に転送する。ASX110は転送されたパケットP24Aを取得する。
ASZ310は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASX110に転送する。ASX110は転送されたパケットP21Aを取得する。
ASB410は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.100/32」のパケットP32Bを受信した場合に、受信したパケットP32BをASZ310に転送する。ASZ310は、受信したパケットP32BをASY210に転送する。ASY210は、パケットP32Bを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、ASY210は、トンネルT12を介して、ASX110にパケットP32Bを転送する。ASX110は転送されたパケットP32Bを取得して、対象装置120がパケットP32Bを受信する。
ASB410は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.100/32」のパケットP32DDBを受信した場合に、受信したパケットP32DDBをASZ310に転送する。ASZ310は、受信したパケットP32BをASY210に転送する。上記のケースA1Dの場合と同様に、ASY210は、パケットP32DDBを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置222は、当該パケットP32DDBを破棄する。
ASB410は、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Bを受信した場合に、受信したパケットP24BをASZ310に転送する。ASZ310は、受信したパケットP32BをASX110に転送する。ASX110は転送されたパケットP24Bを取得する。
ASB410は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASX110に転送する。ASX110は転送されたパケットP21Bを取得する。
・ネクストホップを、フィルタ装置222(322)又はASY210のIPアドレスを指定した、「/32」(対象装置のIPアドレス)の経路。
・ASパスにASX110を追加し、ネクストホップをASX110のルータ112のIPアドレスを指定した「/24(対象装置120を含む、プレフィクスを「/24」以上で指定するIPアドレス空間)」の経路。
次に、図2、図5から図7を参照して、本実施形態に係る通信システム1Aについて説明する。図5は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム1Aは、ASZ310A内で攻撃的な通信のトラフィックを抑制する。第1実施形態における構成と同じ構成には同じ符号を附し、相違点を中心に説明する。
図5に示す通信システム1Aには、ASX110A、ASZ310A、ASB410、及びネットワーク600が含まれている。ASX110A、ASZ310A、及びASB410のそれぞれは、自律システム(AS)である。ASX110A、ASZ310A、及びASB410のそれぞれには、ネットワーク100A、ネットワーク300A、及びネットワーク400が対応づけられている。
ルータ311、ルータ312、及びルータ313は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ314のポートGZ4に通信制御装置321とフィルタ装置322とが接続される。
ルータ311、ルータ312、ルータ313及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310内の通信の経路制御を実施する。なお、ルータ311、ルータ312、ルータ313、及びルータ314間の接続は図示する以外の構成にしてもよい。
通信制御装置321は、通信システム1における通信経路を制御して、攻撃的なトラフィックによる影響を軽減させるように制御する。例えば、通信制御装置321は、経路設定部3211と通信制御部3212とを備える。通信制御装置321、経路設定部3211、通信制御部3212のそれぞれは、前述の通信制御装置221、経路設定部3211、通信制御部3212(図1)に対応する。
フィルタ装置322は、前述のフィルタ装置222(図1)に対応する。
最初に平常時の通信パスが設定される。ASX110Aは、ASZ310Aに経路情報M21A1を広告する。例えば、経路情報M21A1は、プレフィクスに「10.0.0.0/21」、ASパス(AS−PATH)に「X」、ネクストホップ(Next−hop)に「GX2」をそれぞれ指定するデータを含む。ASZ310Aは、上記経路情報M21A1の受信に応じて、ASZ310内で経路情報を共有するとともに、ネットワーク600に経路情報M21A2を広告する。例えば、経路情報M21A2は、プレフィクスに「10.0.0.0/21」、ASパスに「ZX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。なお、ASパスで指定する「X」、「Z」、「B」のそれぞれは、ASX110A、ASZ310A、ASB410を示す。
通信制御装置321は、フィルタ装置322を制御して、経路情報M32DFを生成し、経路情報の広告と同様の方法でルータ314Aに通知する。経路情報M32DFは、プレフィクスに「10.0.0.100/32」、ASパスに「X」、ネクストホップに「GZ6」をそれぞれ指定するデータを含む。ASZ310は、上記経路情報M32DFの受信に応じて、ASZ310内で経路情報を共有する。
ASZ310Aは、ネットワーク600からパケットを受信すると、前述の第1実施形態と同様に当該パケットの送信先アドレスに応じて転送処理をするとともに、フィルタ装置322において、攻撃的な通信のパケットを破棄させる。
次に、図2、図8から図10を参照して、本実施形態に係る通信システム1Bについて説明する。図8は、本実施形態に係る通信システムの構成図である。
本実施形態に係る通信システム1Bは、ASX110Bが他のASを介してASZ310Bに接続されており、ASX110BとASZ310Bとの間の直接的に接続される通信パスを有していない。第1実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図8に示す通信システム1Bには、ASX110B、ASY210B、ASZ310B、ASB410、及びネットワーク600が含まれている。ASX110B、ASY210B、ASZ310B、及びASB410のそれぞれは、自律システム(AS)である。ASX110B、ASY210B、ASZ310B、及びASB410のそれぞれには、ネットワーク100B、ネットワーク200B、ネットワーク300B、及びネットワーク400が対応づけられている。
ルータ311、ルータ312、及びルータ314は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ311、ルータ312、及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310内の通信の経路制御を実施する。なお、ルータ311、ルータ312、及びルータ314間の接続は図示する以外の構成にしてもよい。
最初に平常時の通信パスが設定される。ASX110Bは、ASB410に経路情報M21B1を広告する。例えば、経路情報M21B1は、プレフィクスに「10.0.0.0/21」、ASパスに「X」、ネクストホップに「GX3」をそれぞれ指定するデータを含む。
ASB410は、上記経路情報M21B1の受信に応じて、ASB410内で経路情報を共有するとともに、ネットワーク600に経路情報M21B2を広告し、AXZ310Bに経路情報M21B3を広告する。例えば、経路情報M21B2は、プレフィクスに「10.0.0.0/21」、ASパスに「BX」、ネクストホップに「GB1」をそれぞれ指定するデータを含む。経路情報M21B3は、プレフィクスに「10.0.0.0/21」、ASパスに「BX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。
ASB310Bは、上記経路情報M21B3の受信に応じて、ASB310内で経路情報を共有するとともに、ネットワーク600に経路情報M21B4を広告する。例えば、経路情報M21B4は、プレフィクスに「10.0.0.0/21」、ASパスに「ZBX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。
通信制御装置221は、ルータ211又はフィルタ装置222を制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.100/32」、ASパスに「YBX」、ネクストホップにASY210のゲートウェイを示す「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221は、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YBX」、ネクストホップにASB410のゲートウェイを示す「GB4」をそれぞれ指定するデータを含む。上記のASパスの指定において、「X」と「B」をASパスの先頭につける。これにより、ASX110側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221は、経路情報M32DFと経路情報M24DFとをルータ211からASZ310に広告させる。
ASZ310Bは、ネットワーク600のルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ケースA1の場合は、前述の第1実施形態と同様に、ASZ310Bは、受信したパケットP32CをASY210Bに転送する。ASY210Bは、パケットP32Cを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置220は、攻撃的な通信のパケットではないと判定し、トンネルT12を介して、ASX110BにパケットP32Cを転送する。ASX110Bは転送されたパケットP32Cを取得して、対象装置120がパケットP32Cを受信する。
ケースA1Dの場合は、前述の第1実施形態と同様に、ASZ310Bは、受信したパケットP32DDCをASY210Bに転送する。ASY210Bは、パケットP32DDCを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置220は、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。
ASZ310Bは、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASB410に転送する。ASB410は、受信したパケットP24AをASX110Bに転送する。ASX110Bは転送されたパケットP24Aを取得する。
ASZ310Bは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASB410に転送する。ASB410は、受信したパケットP21AをASX110Bに転送する。ASX110Bは転送されたパケットP21Aを取得する。
ところで、本実施形態の場合、ASB410がネットワーク600のルータ614から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースB1、ケースB1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースB3)は、受信するパケットには含まれない。
ASB410は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASX110に転送する。ASX110は転送されたパケットP21Bを取得する。
次に、図2、図11から図13を参照して、本実施形態に係る通信システム1Cについて説明する。図11は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム1Aは、ASZ310A内で攻撃的な通信のトラフィックを抑制する。第1実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図11に示す通信システム1Cには、ASX110C、ASY210C、ASZ310C、ASB410C、ASC510C、及びネットワーク600Cが含まれている。
ASX110C、ASY210C、ASZ310C、ASB410C及びASC510のそれぞれは、自律システム(AS)である。ASX110C、ASY210C、ASZ310C、ASB410C及びASC510のそれぞれには、ネットワーク100C、ネットワーク200C、ネットワーク300C、ネットワーク400C及びネットワーク500が対応づけられている。
ネットワーク600Cは、インターネットを構成する特定のネットワークであり1又は複数の自律システム(AS)により構成される。ネットワーク600Cは、例えば、ルータ613、ルータ614、ルータ615を備えて構成されており、ルータ613、ルータ614、ルータ615を含む各ルータ間で経路情報が共有される。
ルータ111、ルータ113及びルータ114の各ルータは、互いに経路情報を共有し、ASX110B内の通信の経路制御を実施する。なお、ルータ111、ルータ113及びルータ114間の接続は図示する以外の構成にしてもよい。
ルータ311、ルータ312、及びルータ314は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ311、ルータ312、及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310内の通信の経路制御を実施する。なお、ルータ311、ルータ312、及びルータ314間の接続は図示する以外の構成にしてもよい。
ルータ411、ルータ412、及びルータ414は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。例えば、ルータ412は、ポートGB2において論理パスL45を介してASB510に接続される。
ルータ411、ルータ412、及びルータ414の各ルータは、互いに経路情報を共有し、ASZ410C内の通信の経路制御を実施する。なお、ルータ411、ルータ412、及びルータ414間の接続は図示する以外の構成にしてもよい。
ルータ511、ルータ512、及びルータ514は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。例えば、ルータ513は、ポートGC3において論理パスL15を介してASX110Cに接続される。ルータ511は、ポートGC1において論理パスL56を介してネットワーク600Cのルータ615に接続される。ルータ514は、ポートGC4において論理パスL45を介してASY410Cに接続される。
ルータ511、ルータ512、及びルータ514の各ルータは、互いに経路情報を共有し、ASZ510内の通信の経路制御を実施する。なお、ルータ511、ルータ512、及びルータ514間の接続は図示する以外の構成にしてもよい。
最初に平常時の通信パスが設定される。ASX110Cは、ASC510に経路情報M21B1を広告する。例えば、経路情報M21B1は、プレフィクスに「10.0.0.0/21」、ASパスに「X」、ネクストホップに「GX3」をそれぞれ指定するデータを含む。
ASC510は、上記経路情報M21B1の受信に応じて、ASC5410内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21B2を広告し、AXB410Cに経路情報M21B3を広告する。例えば、経路情報M21B2は、プレフィクスに「10.0.0.0/21」、ASパスに「CX」、ネクストホップに「GC1」をそれぞれ指定するデータを含む。経路情報M21B3は、プレフィクスに「10.0.0.0/21」、ASパスに「CX」、ネクストホップに「GC4」をそれぞれ指定するデータを含む。
ASB410Cは、上記経路情報M21B3の受信に応じて、ASB410C内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21B4を広告し、AXZ310Cに経路情報M21B5を広告する。例えば、経路情報M21B4は、プレフィクスに「10.0.0.0/21」、ASパスに「BCX」、ネクストホップに「GB1」をそれぞれ指定するデータを含む。経路情報M21B5は、プレフィクスに「10.0.0.0/21」、ASパスに「BCX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。
ASB310Bは、上記経路情報M21B5の受信に応じて、ASB310内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21B6を広告する。例えば、経路情報M21B6は、プレフィクスに「10.0.0.0/21」、ASパスに「ZBCX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。
通信制御装置221は、ルータ211又はフィルタ装置222を制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.100/32」、ASパスに「YBCX」、ネクストホップに「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221は、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YBCX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。上記のASパスの指定において、ASZ310Cが他のASから受けている経路情報であって、OriginASがASX110Cである経路(「10.0.0.0/21」)の経路情報、即ち経路情報M21B5に含まれるASパス(「BCX」)を再現して、上記で指定するASパスの先頭につける。経路情報M24DFのネクストホップは、上記と同様に経路情報M21B5に含まれるネクストホップ(「GB4」)に一致させる。このようにして、ASX110C側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221は、経路情報M32DFと経路情報M24DFとをルータ211からASZ310Cに対して広告させる。
ASZ310Cは、ネットワーク600Cのルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ケースA1の場合は、前述の第1実施形態と同様に、ASZ310Cは、受信したパケットP32AをASY210Cに転送する。ASY210Cは、パケットP32Aを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置220は、攻撃的な通信のパケットではないと判定し、トンネルT12を介して、ASX110BにパケットP32Aを転送する。ASX110Bは転送されたパケットP32Aを取得して、対象装置120がパケットP32Aを受信する。
ケースA1Dの場合は、前述の第1実施形態と同様に、ASZ310Cは、受信したパケットP32DDAをASY210Cに転送する。ASY210Cは、パケットP32DDAを取得してフィルタ装置220において、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置220は、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。
ASZ310Cは、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASB410Cに転送する。ASB410Cは、受信したパケットP24AをASC510に転送する。ASC510は転送されたパケットP24Aを取得する。ASC510は、受信したパケットP24AをASX110Cに転送する。ASX110Cは転送されたパケットP24Aを取得する。
ASZ310Cは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASB410Cに転送する。ASB410Cは、受信したパケットP21AをASC510に転送する。ASC510は転送されたパケットP21Aを取得する。ASC510は、受信したパケットP24AをASX110Cに転送する。ASX110Cは転送されたパケットP21Aを取得する。
ところで、本実施形態の場合、ASB410Cがネットワーク600Cのルータ614から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースB1、ケースB1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースB3)は、受信するパケットには含まれない。
ASB410Cは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASC510に転送する。ASC510は、転送されたパケットP21Bを取得して、取得したパケットP21BをASX110Cに転送する。ASX110Cは転送されたパケットP21Bを取得する。
ところで、本実施形態の場合、ASC510がネットワーク600Cのルータ615から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースC1、ケースC1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースC3)は、受信するパケットには含まれない。
ASC510は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Cを受信した場合に、受信したパケットP21CをASX110Cに転送する。ASX110Cは転送されたパケットP21Cを取得する。
[1.実施形態に共通する構成]
第1のAS(例えばASX110):特定の対象装置120を収容するAS。
第2のAS(例えばASY210又はASZ310):インターネット等(ネットワーク600)から対象装置120に向けられた通信について、転送先となる装置(フィルタ装置222又はフィルタ装置322)を収容するAS。
第3のAS(例えばASZ310):第1のAS、第2のAS及びインターネットと接続するAS 。
上記の第1のAS、第2のAS、第3のASの各ASは、共通する経路制御プロトコルにより通信経路が制御される。また、各ASは、同経路制御プロトコルにより制御された通信経路に従って、パケットをルーティングさせる。
なお、第2のASと第3のASは、共通するASであってもよい。
上記の第3のASに向けて、次の2種類の経路情報を広告する。例えば、上記2種類の経路情報の第3のASに向けて広告は、第2のASから実施する。
或いは、経路情報を広告する手法を利用して、第3のAS内でその経路情報を共有する。
(1)この経路情報で設定されるアドレス空間が、対象装置120のアドレスを含み、かつ、第1のASのアドレス空間としてインターネット等で既に伝搬しているアドレス空間より範囲が狭くなるように設定する。このように設定することにより、各ASがパケットを中継する際に、アドレス部が一致するビット数が長い方を優先させる判定方法(ロンゲストマッチ)を利用できる。なお、インターネットに経路情報を広告する際には、インターネットの慣習に従うことが必要とされる。例えば、プレフィクスの最小単位を「/24」にすることなど。)
(2)前記送出元に送信されるパケットが第2のASとは別のASに属するゲートウェイに転送されるように転送先を指定する。このように転送先(ネクストホップ)を指定することにより、パケットをより効率よく目的の転送が行える。
なお、上記の「第2のASとは別のAS」とは、例えば、第1のASである。
(1)この経路情報が、対象装置120のアドレスを含み、かつ、第1の経路情報より優先的に選択されるように設定する。
(2)第2の経路情報の送出元宛に送信されるパケットが、第2のASに属する通信装置(例えばフィルタ装置222)に転送されるように転送先をネクストホップによって指定する。
(3)第2の経路情報が第3のASに広告された後(又は第3のAS内の各ルータで共有された後)に、第3のASを経由して他のASに広告されるかは、第3のASの接続先のASに応じて選択される。
例えば、広告を必要としないASには、当該広告を必要としないASをASパスで指定する。一方、接続先が必ずしもインターネットの慣習に従わなくてもいいASの場合には、第2の経路情報を広告先に指定することなどが選択できる。
また、上記の第1の経路情報と第2の経路情報のASパスには、上記の第1のASと第3のASが直接接続していない場合(例えば、第3実施形態や第4実施形態の場合)、第1のASと第3のASの間に存在する他のAS(ASB410、ASC500等)を追加する。
また、通信システム1、1A、1B、1Cは、上記のように、対象装置120宛の通信を制限して、トンネルT12又はトンネルT13を経由する通信のトラフィックを所定の通信量に抑えるように構成したことにより、運用コストを低減させることができる。
なお、通信システム1、1A、1B、1Cを構成する各処理部は専用のハードウェアにより実現されるものであってもよい。
なお、プロトコルにより分岐先の経路を選択するようにしてもよい。例えば、この場合、ASZ310を構成する各ルータに、プロトコルごとに所定の経路を指定するための変換テーブルを保持させておき、ASZ310の各ルータは、当該変換テーブルを参照して、分岐先を決定するようにしてもよい。
また、ASY210から指定する経路情報により通信経路を制御するネットワーク100内のアドレス領域は、ユーザが管理するネットワークとして割り付けられたアドレス領域の範囲内であって、ユーザが管理するASの全部又は同AS内の一部に対応する範囲にする。
300、300A、300B、300C、400、400C、500 ネットワーク、
600、600C ネットワーク
110、110A、110B、110C ASX、210、210B、210C ASY、
310、310A、310B、310C ASZ、410、410C ASB、510 ASC、
613、614、615 ルータ
221、321 通信制御装置、222、322 フィルタ装置、
T12、T13 トンネル
特許文献1によれば、複数のISP(Internet Service Provider)とマルチホームしているユーザネットワークに対する通信において、1つのISPにおいてDDoS攻撃による影響を低減させる対策を実施することが開示されている。
図1は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システムの概要を以下に示す。
以下の説明では、インターネットを利用するユーザが管理するネットワーク(第1ネットワーク)内の通信装置(対象装置、特定の装置)に対するDDoS攻撃又はDoS攻撃を、特定のISP(Internet Service Provider)が管理するネットワーク(第2ネットワーク)を利用して軽減させる場合を例示して、本実施形態に係る通信システムについて説明する。
インターネットを構成する特定のネットワークとユーザのネットワーク(第1ネットワーク)とが他のネットワークを介して接続されている。上記のユーザのネットワーク内の所定のアドレス空間には、前記インターネットを介して通信する特定の装置が収容されている。例えば、上記の他のネットワークには、インターネットを構成する特定のネットワークとユーザのネットワークとの間の通信経路に設けられている特定のISP(Internet Service Provider)が管理するネットワークが含まれる。
図1に示す通信システム1には、AS(Autonomous System:自律システム)X110、ASY210、ASZ310、ASB410、及びネットワーク600が含まれている。
対象装置120は、攻撃的なトラフィックを成す通信の送信先にあたる被攻撃対象の通信装置である。対象装置120は、ネットワーク101内のIPアドレス(ネットワークアドレス)が割り付けられており、例えば、そのアドレスが「10.0.0.1/32」で識別されるものとする。
ルータ111、ルータ112、ルータ113及びルータ114の各ルータは、互いに経路情報を共有し、ASX110内の通信の経路制御を実施する。なお、ルータ111、ルータ112、ルータ113及びルータ114間の接続は図示する以外の構成にしてもよい。
ルータ311、ルータ312、ルータ313及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310内の通信の経路制御を実施する。なお、ルータ311、ルータ312、ルータ313、及びルータ314間の接続は図示する以外の構成にしてもよい。
ルータ411、ルータ412、ルータ413及びルータ414の各ルータは、互いに経路情報を共有し、ASB410内の通信の経路制御を実施する。なお、ルータ411、ルータ412、ルータ413及びルータ414間の接続は図示する以外の構成にしてもよい。
経路設定部2211(通信制御装置221)は、ネットワーク600(特定のネットワーク)とネットワーク101(第1ネットワーク)との間の通信経路にあるネットワーク300(第2ネットワーク)において、ネットワーク600からネットワーク101に向かう通信の経路を分岐させるようにASZ310を制御する。経路設定部2211(通信制御装置221)は、分岐させた経路の第1経路を、所定のアドレス空間に割り付けられたネットワーク102に向かう経路にする。また、経路設定部2211(通信制御装置221)は、分岐させた経路の第2経路を、ネットワーク101のアドレス空間からネットワーク102のアドレス空間が除かれたネットワーク101に向かう経路にする。経路設定部2211(通信制御装置221)は、上記のように定めた経路情報を利用して、通信の経路の構成を調整する。
前記第1経路には、前記所定のアドレス空間に向かう通信を制限するフィルタ装置222が設けられており、予め定められた制約条件を満たす場合に前記第1経路を介して前記所定のアドレス空間に向かう通信をフィルタ装置222により制限し、前記制約条件を満たさない場合に前記第1経路を介して前記所定のアドレス空間に向かう通信を許可するように、通信制御部2212(通信制御装置221)は、フィルタ装置222を制御する。
最初に平常時の通信パスが設定される。ASX110は、ASZ310に経路情報M21A1を広告する。例えば、経路情報M21A1は、プレフィクスに「10.0.0.0/21」、ASパス(AS−PATH)に「X」、ネクストホップ(Next−hop)に「GX2」をそれぞれ指定するデータを含む。ASZ310は、上記経路情報M21A1の受信に応じて、ASZ310内で経路情報を共有するとともに、ネットワーク600に経路情報M21A2を広告する。例えば、経路情報M21A2は、プレフィクスに「10.0.0.0/21」、ASパスに「ZX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。なお、ASパスで指定する「X」、「Y」、「Z」、「B」のそれぞれは、ASX110、ASY210、ASZ310、ASB410を示す。例えば、上記のように「ZX」と記載したASパスは、「X」、「Z」の順にリスト化されるものとする。以下の説明においても同様とする。
通信制御装置221は、ルータ211又はフィルタ装置222を制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.1/32」、ASパスに「YX」、ネクストホップにASY210のゲートウェイを示す「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221は、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YX」、ネクストホップにASX110のゲートウェイを示す「GX2」をそれぞれ指定するデータを含む。上記のASパスの指定において、「X」をASパスの先頭につけることで、ASX110側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221は、経路情報M32DFと経路情報M24DFとをルータ211からASZ310に広告させる。
なお、上記の経路情報M32DFには、プレフィクスに例えば「10.0.0.1/32」と指定した所定のアドレス空間を示すアドレス情報が含まれ、前記所定のアドレス空間がネットワーク101(又はネットワーク100、第1ネットワーク)のアドレス空間より狭くなるように設定される。経路情報M24DFには、ネットワーク101(又はネットワーク100、第1ネットワーク)のアドレス空間を示すアドレス情報が含まれている。経路情報M24DFに、さらに経路情報M32DF(第2の経路情報)が、前記第1の経路情報より優先的に選択されるようにする情報を含むように構成してもよい。
図4は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。同図と上記図3とを参照して説明する。
ASZ310は、ネットワーク600のルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ASZ310は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.1/32」のパケットP32Aを受信した場合に、受信したパケットP32AをASY210に転送する。ASY210は、パケットP32Aを取得してフィルタ装置222において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、フィルタ装置222は、トンネルT12を介して、ASX110にパケットP32Aを転送する。ASX110は転送されたパケットP32Aを取得して、対象装置120がパケットP32Aを受信する。
ASZ310は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.1/32」のパケットP32DDAを受信した場合に、上記のケースA1の場合と同様に、受信したパケットP32DDAをASY210に転送する。ASY210は、パケットP32DDAを取得してフィルタ装置222において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置222は、当該パケットP32DDAを破棄する。
ASZ310は、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASX110に転送する。ASX110は転送されたパケットP24Aを取得する。
ASZ310は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASX110に転送する。ASX110は転送されたパケットP21Aを取得する。
ASB410は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.1/32」のパケットP32Bを受信した場合に、受信したパケットP32BをASZ310に転送する。ASZ310は、受信したパケットP32BをASY210に転送する。ASY210は、パケットP32Bを取得してフィルタ装置222において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的な通信のパケットではないと判定された場合、ASY210は、トンネルT12を介して、ASX110にパケットP32Bを転送する。ASX110は転送されたパケットP32Bを取得して、対象装置120がパケットP32Bを受信する。
ASB410は、対象装置120宛のパケットである送信先IPアドレスが「10.0.0.1/32」のパケットP32DDBを受信した場合に、受信したパケットP32DDBをASZ310に転送する。ASZ310は、受信したパケットP32DDBをASY210に転送する。上記のケースA1Dの場合と同様に、ASY210は、パケットP32DDBを取得してフィルタ装置222において、攻撃的な通信のパケットであるか否かを判定する。判定の結果、攻撃的なパケットであると判定された場合、フィルタ装置222は、当該パケットP32DDBを破棄する。
ASB410は、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Bを受信した場合に、受信したパケットP24BをASZ310に転送する。ASZ310は、受信したパケットP24BをASX110に転送する。ASX110は転送されたパケットP24Bを取得する。
ASB410は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASX110に転送する。ASX110は転送されたパケットP21Bを取得する。
・ネクストホップを、フィルタ装置222又はASY210のIPアドレスを指定した、「/32」(対象装置120のIPアドレス)の経路。
・ASパスにASX110を追加し、ネクストホップをASX110のルータ112のIPアドレスを指定した「/24(対象装置120を含む、プレフィクスを「/24」以上で指定するIPアドレス空間)」の経路。
次に、図2、図5から図7を参照して、本実施形態に係る通信システム1Aについて説明する。図5は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム1Aは、ASZ310A内で攻撃的な通信のトラフィックを抑制する。第1実施形態における構成と同じ構成には同じ符号を附し、相違点を中心に説明する。
図5に示す通信システム1Aには、ASX110A、ASZ310A、ASB410、及びネットワーク600が含まれている。ASX110A、ASZ310A、及びASB410のそれぞれは、自律システム(AS)である。ASX110A、ASZ310A、及びASB410のそれぞれには、ネットワーク100A、ネットワーク300A、及びネットワーク400が対応づけられている。
ルータ311、ルータ312、及びルータ313は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ314AのポートGZ4に通信制御装置321とフィルタ装置322とが接続される。
ルータ311、ルータ312、ルータ313及びルータ314Aの各ルータは、互いに経路情報を共有し、ASZ310A内の通信の経路制御を実施する。なお、ルータ311、ルータ312、ルータ313、及びルータ314A間の接続は図示する以外の構成にしてもよい。
通信制御装置321は、通信システム1Aにおける通信経路を制御して、攻撃的なトラフィックによる影響を軽減させるように制御する。例えば、通信制御装置321は、経路設定部3211と通信制御部3212とを備える。通信制御装置321、経路設定部3211、通信制御部3212のそれぞれは、前述の通信制御装置221、経路設定部2211、通信制御部2212(図1)に対応する。
フィルタ装置322は、前述のフィルタ装置222(図1)に対応する。
最初に平常時の通信パスが設定される。ASX110Aは、ASZ310Aに経路情報M21A1を広告する。例えば、経路情報M21A1は、プレフィクスに「10.0.0.0/21」、ASパス(AS−PATH)に「X」、ネクストホップ(Next−hop)に「GX2」をそれぞれ指定するデータを含む。ASZ310Aは、上記経路情報M21A1の受信に応じて、ASZ310A内で経路情報を共有するとともに、ネットワーク600に経路情報M21A2を広告する。例えば、経路情報M21A2は、プレフィクスに「10.0.0.0/21」、ASパスに「ZX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。なお、ASパスで指定する「X」、「Z」、「B」のそれぞれは、ASX110A、ASZ310A、ASB410を示す。
通信制御装置321は、フィルタ装置322を制御して、経路情報M32DFを生成し、経路情報の広告と同様の方法でルータ314Aに通知する。経路情報M32DFは、プレフィクスに「10.0.0.1/32」、ASパスに「X」、ネクストホップに「GZ6」をそれぞれ指定するデータを含む。ASZ310Aは、上記経路情報M32DFの受信に応じて、ASZ310A内で経路情報を共有する。
ASZ310Aは、ネットワーク600からパケットを受信すると、前述の第1実施形態と同様に当該パケットの送信先アドレスに応じて転送処理をするとともに、フィルタ装置322において、攻撃的な通信のパケットを破棄させる。
次に、図2、図8から図10を参照して、本実施形態に係る通信システム1Bについて説明する。図8は、本実施形態に係る通信システムの構成図である。
本実施形態に係る通信システム1Bは、ASX110Bが他のASを介してASZ310Bに接続されており、ASX110BとASZ310Bとの間の直接的に接続される通信パスを有していない。第1実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図8に示す通信システム1Bには、ASX110B、ASY210B、ASZ310B、ASB410、及びネットワーク600が含まれている。ASX110B、ASY210B、ASZ310B、及びASB410のそれぞれは、自律システム(AS)である。
ASX110B、ASY210B、ASZ310B、及びASB410のそれぞれには、ネットワーク100B、ネットワーク200B、ネットワーク300B、及びネットワーク400が対応づけられている。
ルータ311、ルータ312、及びルータ314は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ311、ルータ312、及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310B内の通信の経路制御を実施する。なお、ルータ311、ルータ312、及びルータ314間の接続は図示する以外の構成にしてもよい。
最初に平常時の通信パスが設定される。ASX110Bは、ASB410に経路情報M21B1を広告する。例えば、経路情報M21B1は、プレフィクスに「10.0.0.0/21」、ASパスに「X」、ネクストホップに「GX3」をそれぞれ指定するデータを含む。
ASB410は、上記経路情報M21B1の受信に応じて、ASB410内で経路情報を共有するとともに、ネットワーク600に経路情報M21B2を広告し、AXZ310Bに経路情報M21B3を広告する。例えば、経路情報M21B2は、プレフィクスに「10.0.0.0/21」、ASパスに「BX」、ネクストホップに「GB1」をそれぞれ指定するデータを含む。経路情報M21B3は、プレフィクスに「10.0.0.0/21」、ASパスに「BX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。
ASZ310Bは、上記経路情報M21B3の受信に応じて、ASZ310B内で経路情報を共有するとともに、ネットワーク600に経路情報M21B4を広告する。例えば、経路情報M21B4は、プレフィクスに「10.0.0.0/21」、ASパスに「ZBX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。
通信制御装置221Bは、ルータ211又はフィルタ装置222Bを制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.1/32」、ASパスに「YBX」、ネクストホップにASY210Bのゲートウェイを示す「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221Bは、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YBX」、ネクストホップにASB410のゲートウェイを示す「GB4」をそれぞれ指定するデータを含む。上記のASパスの指定において、「X」と「B」をASパスの先頭につける。これにより、ASX110B側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221Bは、経路情報M32DFと経路情報M24DFとをルータ211からASZ310Bに広告させる。
ASZ310Bは、ネットワーク600のルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ケースA1の場合は、前述の第1実施形態と同様に、ASZ310Bは、受信したパケットP32AをASY210Bに転送する。ASY210Bは、パケットP32Aを取得してフィルタ装置222Bにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置222Bは、攻撃的な通信のパケットではないと判定し、トンネルT12を介して、ASX110BにパケットP32Aを転送する。ASX110Bは転送されたパケットP32Aを取得して、対象装置120がパケットP32Aを受信する。
ケースA1Dの場合は、前述の第1実施形態と同様に、ASZ310Bは、受信したパケットP32DDAをASY210Bに転送する。ASY210Bは、パケットP32DDAを取得してフィルタ装置222Bにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置222Bは、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。
ASZ310Bは、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASB410に転送する。ASB410は、受信したパケットP24AをASX110Bに転送する。ASX110Bは転送されたパケットP24Aを取得する。
ASZ310Bは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASB410に転送する。ASB410は、受信したパケットP21AをASX110Bに転送する。ASX110Bは転送されたパケットP21Aを取得する。
ところで、本実施形態の場合、ASB410がネットワーク600のルータ614から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースB1、ケースB1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースB3)は、受信するパケットには含まれない。
ASB410は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASX110Bに転送する。ASX110Bは転送されたパケットP21Bを取得する。
次に、図2、図11から図13を参照して、本実施形態に係る通信システム1Cについて説明する。図11は、本実施形態に係る通信システムの構成図である。本実施形態に係る通信システム1Cは、ASY210C内で攻撃的な通信のトラフィックを抑制する。第1実施形態と同じ構成には同じ符号を附し、相違点を中心に説明する。
図11に示す通信システム1Cには、ASX110C、ASY210C、ASZ310C、ASB410C、ASC510、及びネットワーク600Cが含まれている。
ASX110C、ASY210C、ASZ310C、ASB410C及びASC510のそれぞれは、自律システム(AS)である。ASX110C、ASY210C、ASZ310C、ASB410C及びASC510のそれぞれには、ネットワーク100C、ネットワーク200C、ネットワーク300C、ネットワーク400C及びネットワーク500が対応づけられている。
ネットワーク600Cは、インターネットを構成する特定のネットワークであり1又は複数の自律システム(AS)により構成される。ネットワーク600Cは、例えば、ルータ613、ルータ614、ルータ615を備えて構成されており、ルータ613、ルータ614、ルータ615を含む各ルータ間で経路情報が共有される。
ルータ111、ルータ113C及びルータ114の各ルータは、互いに経路情報を共有し、ASX110C内の通信の経路制御を実施する。なお、ルータ111、ルータ113C及びルータ114間の接続は図示する以外の構成にしてもよい。
ルータ311、ルータ312、及びルータ314は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。
ルータ311、ルータ312、及びルータ314の各ルータは、互いに経路情報を共有し、ASZ310C内の通信の経路制御を実施する。なお、ルータ311、ルータ312、及びルータ314間の接続は図示する以外の構成にしてもよい。
ルータ411、ルータ412、及びルータ414は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。例えば、ルータ412は、ポートGB2において論理パスL45を介してASC510に接続される。
ルータ411、ルータ412、及びルータ414の各ルータは、互いに経路情報を共有し、ASB410C内の通信の経路制御を実施する。なお、ルータ411、ルータ412、及びルータ414間の接続は図示する以外の構成にしてもよい。
ルータ511、ルータ512、ルータ513及びルータ514は、外部のネットワークに接続されており、接続先のネットワークに対応する各ASに対して経路情報を広告する。例えば、ルータ513は、ポートGC3において論理パスL15を介してASX110Cに接続される。ルータ511は、ポートGC1において論理パスL56を介してネットワーク600Cのルータ615に接続される。ルータ514は、ポートGC4において論理パスL45を介してASB410Cに接続される。
ルータ511、ルータ512、ルータ513及びルータ514の各ルータは、互いに経路情報を共有し、ASC510内の通信の経路制御を実施する。なお、ルータ511、ルータ512、ルータ513及びルータ514間の接続は図示する以外の構成にしてもよい。
図13は、本実施形態に係る通信システムによる対策機能を起動中の通信経路を示す説明図である。
最初に平常時の通信パスが設定される。ASX110Cは、ASC510に経路情報M21C1を広告する。例えば、経路情報M21C1は、プレフィクスに「10.0.0.0/21」、ASパスに「X」、ネクストホップに「GX3」をそれぞれ指定するデータを含む。
ASC510は、上記経路情報M21C1の受信に応じて、ASC510内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21C2を広告し、ASB410Cに経路情報M21C3を広告する。例えば、経路情報M21C2は、プレフィクスに「10.0.0.0/21」、ASパスに「CX」、ネクストホップに「GC1」をそれぞれ指定するデータを含む。経路情報M21C3は、プレフィクスに「10.0.0.0/21」、ASパスに「CX」、ネクストホップに「GC4」をそれぞれ指定するデータを含む。
ASB410Cは、上記経路情報M21C3の受信に応じて、ASB410C内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21C4を広告し、AXZ310Cに経路情報M21C5を広告する。例えば、経路情報M21C4は、プレフィクスに「10.0.0.0/21」、ASパスに「BCX」、ネクストホップに「GB1」をそれぞれ指定するデータを含む。経路情報M21C5は、プレフィクスに「10.0.0.0/21」、ASパスに「BCX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。
ASZ310Cは、上記経路情報M21C5の受信に応じて、ASZ310C内で経路情報を共有するとともに、ネットワーク600Cに経路情報M21C6を広告する。例えば、経路情報M21C6は、プレフィクスに「10.0.0.0/21」、ASパスに「ZBCX」、ネクストホップに「GZ1」をそれぞれ指定するデータを含む。
通信制御装置221Cは、ルータ211又はフィルタ装置222Cを制御して、経路情報M32DFを生成させる。経路情報M32DFは、プレフィクスに「10.0.0.1/32」、ASパスに「YBCX」、ネクストホップに「GY1」をそれぞれ指定するデータを含む。さらに、通信制御装置221Cは、経路情報M24DFを生成する。例えば、経路情報M24DFは、プレフィクスに「10.0.0.0/24」、ASパスに「YBCX」、ネクストホップに「GB4」をそれぞれ指定するデータを含む。上記のASパスの指定において、ASZ310Cが他のASから受けている経路情報であって、OriginASがASX110Cである経路(「10.0.0.0/21」)の経路情報、即ち経路情報M21C5に含まれるASパス(「BCX」)を再現して、上記で指定するASパスの先頭につける。経路情報M24DFのネクストホップは、上記と同様に経路情報M21C5に含まれるネクストホップ(「GB4」)に一致させる。このようにして、ASX110C側からASパスを広告することなく、対策用のパスを設定する。
ここで、通信制御装置221Cは、経路情報M32DFと経路情報M24DFとをルータ211からASZ310Cに対して広告させる。
ASZ310Cは、ネットワーク600Cのルータ613からパケットを受信すると、当該パケットの送信先アドレスに応じて以下に示すように転送処理をする。
ケースA1の場合は、前述の第1実施形態と同様に、ASZ310Cは、受信したパケットP32AをASY210Cに転送する。ASY210Cは、パケットP32Aを取得してフィルタ装置222Cにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置222Cは、攻撃的な通信のパケットではないと判定し、トンネルT12を介して、ASX110CにパケットP32Aを転送する。ASX110Cは転送されたパケットP32Aを取得して、対象装置120がパケットP32Aを受信する。
ケースA1Dの場合は、前述の第1実施形態と同様に、ASZ310Cは、受信したパケットP32DDAをASY210Cに転送する。ASY210Cは、パケットP32DDAを取得してフィルタ装置222Cにおいて、攻撃的な通信のパケットであるか否かを判定する。フィルタ装置222Cは、攻撃的な通信のパケットであると判定し、当該パケットを破棄する。
ASZ310Cは、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケットP24Aを受信した場合に、受信したパケットP24AをASB410Cに転送する。ASB410Cは、受信したパケットP24AをASC510に転送する。ASC510は転送されたパケットP24Aを取得する。ASC510は、受信したパケットP24AをASX110Cに転送する。ASX110Cは転送されたパケットP24Aを取得する。
ASZ310Cは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Aを受信した場合に、受信したパケットP21AをASB410Cに転送する。ASB410Cは、受信したパケットP21AをASC510に転送する。ASC510は転送されたパケットP21Aを取得する。ASC510は、受信したパケットP21AをASX110Cに転送する。ASX110Cは転送されたパケットP21Aを取得する。
ところで、本実施形態の場合、ASB410Cがネットワーク600Cのルータ614から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースB1、ケースB1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースB3)は、受信するパケットには含まれない。
ASB410Cは、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Bを受信した場合に、受信したパケットP21BをASC510に転送する。ASC510は、転送されたパケットP21Bを取得して、取得したパケットP21BをASX110Cに転送する。ASX110Cは転送されたパケットP21Bを取得する。
ところで、本実施形態の場合、ASC510がネットワーク600Cのルータ615から受信するパケットは制限されている。例えば、対象装置120宛の通信のパケット(ケースC1、ケースC1D)、対象装置120宛のパケットを除く「10.0.0.0/24」に含まれる送信先IPアドレスを指定するパケット(ケースC3)は、受信するパケットには含まれない。
ASC510は、「10.0.0.0/24」を除く「10.0.0.0/21」に含まれる送信先IPアドレスを指定するパケットP21Cを受信した場合に、受信したパケットP21CをASX110Cに転送する。ASX110Cは転送されたパケットP21Cを取得する。
[1.実施形態に共通する構成]
第1のAS(例えばASX110):特定の対象装置120を収容するAS。
第2のAS(例えばASY210又はASZ310A):インターネット等(ネットワーク600)から対象装置120に向けられた通信について、転送先となる装置(フィルタ装置222又はフィルタ装置322)を収容するAS。
第3のAS(例えばASZ310):第1のAS、第2のAS及びインターネットと接続するAS 。
上記の第1のAS、第2のAS、第3のASの各ASは、共通する経路制御プロトコルにより通信経路が制御される。また、各ASは、同経路制御プロトコルにより制御された通信経路に従って、パケットをルーティングさせる。
なお、第2のASと第3のASは、共通するASであってもよい。
上記の第3のASに向けて、次の2種類の経路情報を広告する。例えば、上記2種類の経路情報の第3のASに向けて広告は、第2のASから実施する。
或いは、経路情報を広告する手法を利用して、第3のAS内でその経路情報を共有する。
(1)この経路情報で設定されるアドレス空間が、対象装置120のアドレスを含み、かつ、第1のASのアドレス空間としてインターネット等で既に伝搬しているアドレス空間より範囲が狭くなるように設定する。このように設定することにより、各ASがパケットを中継する際に、アドレス部が一致するビット数が長い方を優先させる判定方法(ロンゲストマッチ)を利用できる。なお、インターネットに経路情報を広告する際には、インターネットの慣習に従うことが必要とされる(例えば、プレフィクスの最小単位を「/24」にすることなど。)
(2)前記送出元に送信されるパケットが第2のASとは別のASに属するゲートウェイに転送されるように転送先を指定する。このように転送先(ネクストホップ)を指定することにより、パケットをより効率よく目的の転送が行える。
なお、上記の「第2のASとは別のAS」とは、例えば、第1のASである。
(1)この経路情報が、対象装置120のアドレスを含み、かつ、第1の経路情報より優先的に選択されるように設定する。
(2)第2の経路情報の送出元宛に送信されるパケットが、第2のASに属する通信装置(例えばフィルタ装置222)に転送されるように転送先をネクストホップによって指定する。
(3)第2の経路情報が第3のASに広告された後(又は第3のAS内の各ルータで共有された後)に、第3のASを経由して他のASに広告されるかは、第3のASの接続先のASに応じて選択される。
例えば、広告を必要としないASには、当該広告を必要としないASをASパスで指定する。一方、接続先が必ずしもインターネットの慣習に従わなくてもいいASの場合には、第2の経路情報を広告先に指定することなどが選択できる。
また、上記の第1の経路情報と第2の経路情報のASパスには、上記の第1のASと第3のASが直接接続していない場合(例えば、第3実施形態や第4実施形態の場合)、第1のASと第3のASの間に存在する他のAS(ASB410、ASC510等)を追加する。
また、通信システム1、1A、1B、1Cは、上記のように、対象装置120宛の通信を制限して、トンネルT12又はトンネルT13を経由する通信のトラフィックを所定の通信量に抑えるように構成したことにより、運用コストを低減させることができる。
なお、通信システム1、1A、1B、1Cを構成する各処理部は専用のハードウェアにより実現されるものであってもよい。
なお、プロトコルにより分岐先の経路を選択するようにしてもよい。例えば、この場合、ASZ310を構成する各ルータに、プロトコルごとに所定の経路を指定するための変換テーブルを保持させておき、ASZ310の各ルータは、当該変換テーブルを参照して、分岐先を決定するようにしてもよい。
また、ASY210から指定する経路情報により通信経路を制御するネットワーク100内のアドレス領域は、ユーザが管理するネットワークとして割り付けられたアドレス領域の範囲内であって、ユーザが管理するASの全部又は同AS内の一部に対応する範囲にする。
300、300A、300B、300C、400、400C、500 ネットワーク、
600、600C ネットワーク
110、110A、110B、110C ASX、210、210B、210C ASY
、
310、310A、310B、310C ASZ、410、410C ASB、510
ASC、
613、614、615 ルータ
221、321 通信制御装置、222、322 フィルタ装置、
T12、T13 トンネル
Claims (15)
- 特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第1ネットワークと、
前記特定のネットワークと前記第1ネットワークとの間に設けられた第2ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムにおいて、経路制御をする通信制御方法であって、
前記特定のネットワーク側から前記第1ネットワークに向かう経路を前記第2ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第1経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第2経路を前記第1ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第1ネットワークに向かう経路にするように経路を制御する通信経路設定過程
を前記通信システムの通信制御部に実施させることを特徴とする通信制御方法。 - 前記第1経路に設けられた第3ネットワークに前記フィルタ部が収容されており、
前記第1経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程
を含むことを特徴とする請求項1に記載の通信制御方法。 - 前記第2ネットワークに前記フィルタ部が収容されており、前記第1経路を介して前記特定の装置に向かう通信が前記フィルタ部に向かうように前記通信制御部が制御する過程
を含むことを特徴とする請求項1又は請求項2に記載の通信制御方法。 - 前記通信経路設定過程において、
前記特定のネットワークと前記第1ネットワークとの間の経路を制御する経路制御プロトコルを利用して、次に示す2種類の前記経路情報を前記通信制御部が出力させる過程
を含み、
第1の経路情報には、前記第1ネットワークのアドレス空間を示すアドレス情報が含まれ、第2の経路情報には、前記第1ネットワークのアドレス空間より狭くなるように設定された所定のアドレス空間を示すアドレス情報が含まれている
ことを特徴とする請求項1又は請求項2に記載の通信制御方法。 - 前記第1の経路情報には、前記フィルタ部が設けられたネットワークとは別のネットワークに属するゲートウェイに、前記特定のネットワークから受信したパケットが前記第2ネットワークから転送されるように転送先を指定する情報が含まれており、
前記第2の経路情報には、前記受信したパケットが前記フィルタ部に転送されるように転送先を指定する情報が含まれている
ことを特徴とする請求項4に記載の通信制御方法。 - 前記第1の経路情報と前記第2の経路情報は、前記第1経路に設けられた第3ネットワークから送出される
ことを特徴とする請求項4又は請求項5に記載の通信制御方法。 - 前記第2の経路情報について、前記第2ネットワークを経由して他のネットワークに広告されるかは、前記第2ネットワークの接続先のネットワークに応じて選択される
ことを特徴とする請求項4から請求項6の何れか1項に記載の通信制御方法。 - 前記経路情報の送出元を示す情報を前記第1ネットワークにして前記経路を設定する過程
を含むことを特徴とする請求項1から請求項7の何れか1項に記載の通信制御方法。 - 前記第1ネットワークと前記フィルタ部が設けられたネットワークとの間にトンネルが形成されていて、前記第1経路に設けられた前記フィルタ部を経由する通信のパケットは、当該トンネルを経由して前記第3ネットワークから前記第1ネットワークに転送される
ことを特徴とする請求項2に記載の通信制御方法。 - 前記フィルタ部が設けられたネットワークとは別のネットワークは、前記第1ネットワークに向かう前記第2経路に含まれるネットワークである
ことを特徴とする請求項1から請求項9の何れか1項に記載の通信制御方法。 - 前記第1ネットワークと前記第2ネットワークが他のネットワークを介して接続されている場合、前記第1ネットワークと前記第2ネットワークとの間に存在する他のネットワークを指定する情報が前記経路情報に追加される
ことを特徴とする請求項1から請求項10の何れか1項に記載の通信制御方法。 - 特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第1ネットワークと、
前記特定のネットワークと前記第1ネットワークとの間に設けられた第2ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムにおいて、経路制御をする通信制御装置であって、
前記特定のネットワーク側から前記第1ネットワークに向かう経路を前記第2ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第1経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第2経路を前記第1ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第1ネットワークに向かう経路にするように経路を制御する経路設定部
を備えることを特徴とする通信制御装置。 - 特定のネットワークと、
前記特定のネットワークと接続する特定の装置を収容する第1ネットワークと、
前記特定のネットワークと前記第1ネットワークとの間に設けられた第2ネットワークと、
所定の条件に従い通信を制限するフィルタ部と、
を含む通信システムのコンピュータに、
前記特定のネットワーク側から前記第1ネットワークに向かう経路を前記第2ネットワークにおいて分岐させるように定めた経路情報により、
前記分岐させた経路の第1経路を、前記フィルタ部を経由して前記特定の装置のアドレスを含む所定のアドレス空間に向かう経路にし、
前記分岐させた経路の第2経路を前記第1ネットワークのアドレス空間から前記所定のアドレス空間が除かれた前記第1ネットワークに向かう経路にするように経路を制御するステップ
を実行させるためのプログラム。 - インターネットと通信する特定の装置を収容する第1ネットワークと、
前記インターネットと前記第1ネットワークとの間に設けられた第2ネットワークと、
所定の条件に従い通信を制限するフィルタ部を備えるとともに、前記第2ネットワークと接続し、前記第1ネットワークとトンネルを形成する第3ネットワークと、
を含むネットワークにおいて、
前記インターネットから前記第1ネットワークに向けられたパケットを経路制御プロトコルにより制御する通信制御方法であって、
宛先が前記第1ネットワークのアドレス空間に属するパケットの転送先を、前記第3ネットワークとは別のネットワークに指定する情報が含まれる第1の経路情報を、前記第2ネットワークに広告するステップと、
宛先が、前記第1ネットワークのアドレス空間より狭く、かつ、前記特定の装置のアドレスを含むアドレス空間に属するパケットの転送先を、前記第3ネットワークに指定する情報が含まれる第2の経路情報を、前記第2ネットワークに広告するステップと、
を有することを特徴とする通信制御方法。 - コンピュータに、請求項14に記載の通信制御方法を実行させるためのプログラム。
Priority Applications (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015111340A JP5977860B1 (ja) | 2015-06-01 | 2015-06-01 | 通信制御方法、通信制御装置及びプログラム |
US15/578,095 US10999245B2 (en) | 2015-06-01 | 2016-02-29 | Communication path control method, communication path control device, and communication path control program that divide a path leading to a network that accommodates a specific device into a path that passes through a filter device and a path that does not pass through a filter device |
EP16802861.1A EP3291496B1 (en) | 2015-06-01 | 2016-02-29 | Communication control method, communication control device and program |
PCT/JP2016/056133 WO2016194422A1 (ja) | 2015-06-01 | 2016-02-29 | 通信制御方法、通信制御装置及びプログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2015111340A JP5977860B1 (ja) | 2015-06-01 | 2015-06-01 | 通信制御方法、通信制御装置及びプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP5977860B1 JP5977860B1 (ja) | 2016-08-24 |
JP2016225868A true JP2016225868A (ja) | 2016-12-28 |
Family
ID=56760026
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2015111340A Active JP5977860B1 (ja) | 2015-06-01 | 2015-06-01 | 通信制御方法、通信制御装置及びプログラム |
Country Status (4)
Country | Link |
---|---|
US (1) | US10999245B2 (ja) |
EP (1) | EP3291496B1 (ja) |
JP (1) | JP5977860B1 (ja) |
WO (1) | WO2016194422A1 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2019012966A (ja) * | 2017-06-30 | 2019-01-24 | 日本電信電話株式会社 | 通信システムおよび通信方法 |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6840690B2 (ja) * | 2018-02-13 | 2021-03-10 | 日本電信電話株式会社 | DDoS対処装置、DDoS対処方法、及びプログラム |
Family Cites Families (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6920493B1 (en) * | 2001-03-19 | 2005-07-19 | Networks Associates Technology, Inc. | System and method for communicating coalesced rule parameters in a distributed computing environment |
US7092357B1 (en) * | 2001-11-13 | 2006-08-15 | Verizon Services Corp. | Anti-flooding flow-control methods and apparatus |
US7209971B1 (en) * | 2001-12-11 | 2007-04-24 | Microsoft Corporation | Architecture and run-time environment for network filter drivers |
AU2003300900A1 (en) * | 2002-12-13 | 2004-07-09 | Internap Network Services Corporation | Topology aware route control |
JP2007129482A (ja) * | 2005-11-02 | 2007-05-24 | Nippon Telegr & Teleph Corp <Ntt> | ネットワーク攻撃防御方法、ネットワーク攻撃防御システム、中継装置、防御装置、中継装置用プログラムおよび防御装置用プログラム |
US7735116B1 (en) * | 2006-03-24 | 2010-06-08 | Symantec Corporation | System and method for unified threat management with a relational rules methodology |
US8176561B1 (en) * | 2006-12-14 | 2012-05-08 | Athena Security, Inc. | Assessing network security risk using best practices |
US8966622B2 (en) * | 2010-12-29 | 2015-02-24 | Amazon Technologies, Inc. | Techniques for protecting against denial of service attacks near the source |
US20120174196A1 (en) * | 2010-12-30 | 2012-07-05 | Suresh Bhogavilli | Active validation for ddos and ssl ddos attacks |
WO2012115679A1 (en) * | 2011-02-24 | 2012-08-30 | The University Of Tulsa | Network-based hyperspeed communication and defense |
JP5771832B2 (ja) * | 2012-02-14 | 2015-09-02 | 株式会社日立製作所 | 伝送システム、管理計算機、及び論理パス構築方法 |
JP2014229982A (ja) | 2013-05-20 | 2014-12-08 | 日本電信電話株式会社 | 攻撃トラヒック対策システム、経路制御装置、攻撃トラヒック対策方法及び経路制御プログラム |
-
2015
- 2015-06-01 JP JP2015111340A patent/JP5977860B1/ja active Active
-
2016
- 2016-02-29 EP EP16802861.1A patent/EP3291496B1/en active Active
- 2016-02-29 US US15/578,095 patent/US10999245B2/en active Active
- 2016-02-29 WO PCT/JP2016/056133 patent/WO2016194422A1/ja active Application Filing
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2019012966A (ja) * | 2017-06-30 | 2019-01-24 | 日本電信電話株式会社 | 通信システムおよび通信方法 |
Also Published As
Publication number | Publication date |
---|---|
EP3291496A4 (en) | 2019-01-02 |
JP5977860B1 (ja) | 2016-08-24 |
EP3291496B1 (en) | 2021-09-01 |
US10999245B2 (en) | 2021-05-04 |
EP3291496A1 (en) | 2018-03-07 |
US20180152416A1 (en) | 2018-05-31 |
WO2016194422A1 (ja) | 2016-12-08 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9191139B1 (en) | Systems and methods for reducing the computational resources for centralized control in a network | |
JP4231766B2 (ja) | As間の経路制御を行う通信装置および通信方法。 | |
US8767558B2 (en) | Custom routing decisions | |
US8239572B1 (en) | Custom routing decisions | |
ES2917699T3 (es) | Sobrecarga del espacio de direcciones para mejorar el encaminamiento, el diagnóstico y la red de retransmisión de contenido | |
WO2019005949A1 (en) | GATEWAY OF SEGMENT ROUTING | |
US9888028B2 (en) | Combination of remote triggered source and destination blackhole filtering | |
JP2007235341A (ja) | 対異常通信防御を行うための装置とネットワークシステム | |
CN111885046B (zh) | 一种基于Linux的透明内网访问方法及装置 | |
US9088498B2 (en) | Communication networks that provide a common transport domain for use by multiple service domains and methods and computer program products for using the same | |
EP3166262B1 (en) | Control device, control system, control method, and control program | |
KR101323852B1 (ko) | 공용 보안 정책을 기반으로 하는 가상 방화벽 시스템 및 그제어방법 | |
US20160006684A1 (en) | Communication system, control apparatus, communication method, and program | |
JP5977860B1 (ja) | 通信制御方法、通信制御装置及びプログラム | |
EP2916497A1 (en) | Communication system, path information exchange device, communication node, transfer method for path information and program | |
JP6011762B2 (ja) | ラベルスイッチングネットワーク | |
US10644997B2 (en) | Stitching label-switched paths between autonomous systems with Internet Protocol routing | |
US11582142B2 (en) | Communication control method, communication control device, and computer program | |
US20230239273A1 (en) | Managing exchanges between edge gateways and hosts in a cloud environment to support a private network connection | |
US20230239274A1 (en) | Managing exchanges between edge gateways in a cloud environment to support a private network connection | |
JP2018195902A (ja) | 情報処理装置、情報処理方法及びプログラム | |
Huber | Comparing OpenOnload: A High-Speed Packet IO Framework | |
KR100708588B1 (ko) | 네트워크에서의 우선순위 기반 포워딩 방법 및 그 시스템 | |
Koivula | Core Hiding Migration | |
JP2008199168A (ja) | レイヤ2スイッチ装置、レイヤ2フレーム送信方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160613 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160705 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160722 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5977860 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |