JP3967285B2

JP3967285B2 - Traffic flow detection method, traffic flow detection device, and packet switch device

Info

Publication number: JP3967285B2
Application number: JP2003089130A
Authority: JP
Inventors: 奨清水
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-03-27
Filing date: 2003-03-27
Publication date: 2007-08-29
Anticipated expiration: 2023-03-27
Also published as: JP2004297603A

Description

【０００１】
【発明の属する技術分野】
コンピュータネットワークに利用されるパケットスイッチ装置において、トラフィックの状態を監視する方法及び装置に関し、さらに詳しくは、トラフィックフローを検出する方法及び装置に関する。
【０００２】
【従来の技術】
図１２は、従来のストアアンドフォワード型のパケットスイッチ装置９０におけるパケット転送フロー図である。同図に示すパケットスイッチ装置９０は、通常ポート２ｉ（ｉ＝ａ，…，ｈ）から入力されたパケットが入力バッファ４ｉ（ｉ＝ａ，…，ｈ）に入ると、ヘッダ解析／宛先抽出部６がこの入力ポート２ｉに対応する入力データバイトカウンタと入力パケットカウンタをそれぞれ更新し、該パケットのヘッダ部分から宛先アドレスを取り出し、転送テーブル９１を参照して出力先ポート識別子を得るようになっている。そして、スイッチファブリック５は、この出力先ポート識別子に基づいてパケットを出力先ポートの出力バッファ４ｉに送ると、ヘッダ解析／宛先抽出部６が出力データバイトカウンタと出力パケットカウンタを更新した後、通常ポート２ｉは、出力バッファ４ｉから出力パケットを取り出し、ポートから送信することにより、該パケットの転送が完了するようになっている。尚、ここで、パケットスイッチ装置とは、イーサネット（登録商標）スイッチなどのレイヤ２スイッチのみならず、ルータなどのレイヤ３スイッチも含むものである。
【０００３】
このようなパケット転送を行うパケットスイッチ装置９０において、トラフィックフローを把握するための方法は主に２通りある。１つは、プロトコルアナライザと呼ばれる専用装置を回線中に挿入する方法である。図１３はプロトコルアナライザ１００を用いたトラフィックフロー検出の一例を示す構成図である。同図に示すパケットスイッチ９０は通常ポート２ｉ（ｉ＝ａ，…，ｇ）を経由するパケットを監視ポート２ｚにコピーする機能（ポートミラーリング）を有するもので、管理者は別途プロトコルアナライザ１００を用意して、パケットスイッチ装置９０の監視ポート２ｚにこれを接続する事により、通常ポート２ｉを経由するトラフィックについて、最もトラフィックの多いホストやアプリケーション種別に関するデータを得ることができるようになっている。また、ポートミラーリング機能のないパケットスイッチ装置９０にプロトコルアナライザ１００を適用する場合においては、通常ポート２ｉにタップと呼ばれるパケットコピー／分岐装置を接続し、プロトコルアナライザ１００をタップに接続することにより、トラフィックフローを検出できるようになっている。
【０００４】
もう１つは、サンプリングに基づくフロー検出装置を持つ高機能なパケットスイッチ装置を採用する方法である。こうしたフロー検出装置としては、例えば、Cisco Systems 社のnetflow サービス機能を有する装置、Inmon 社のsflow テクノロジー（Foundry Networks 社製品に実装されている）を有する装置などがあるが、該フロー検出装置を備えたパケットスイッチ装置９０の概略構成を示しているのが図１４である。図１４のパケットスイッチ装置９０においては、通常ポート２ｉ（ｉ＝ａ，…，ｈ）を経由し、他の通常ポート２ｉへと転送されるトラフィックの一部をサンプリングによりコピーするサンプリング装置１１０によってパケットヘッダを取り出し、これを解析して送信元アドレス：宛先アドレス対を抽出し、各アドレス対毎のトラフィックデータをフローデータとして生成するフローデータ生成装置１２０によってフローデータが解析装置１３０に送られるので、管理者は解析装置１３０の出力を見ると通常ポート２ｉを経由するトラフィックフローに関する情報を得ることができるようになっている。
【０００５】
尚、この出願に関連する先行技術文献情報としては、次のものがある。
【０００６】
【非特許文献１】
Cisco Systems、“Cisco IOS NetFlow Technology Datasheet”、[Online]、［平成１５年３月１４日検索］、インターネット＜ＵＲＬ：http://www.cisco.com/warp/public/cc/pd/iosw/prodlit/iosnf_ds.htm＞
【０００７】
【非特許文献２】
S.Panchen,et,al「InMon Corporation's sFlow」，A Method for Monitoring Traffic in Switched and Routed Networks,IETF,RFC3176.
【０００８】
【発明が解決しようとする課題】
しかしながら、上述した従来のトラフィックフローを把握する方法においては、トラフィックフローに関する詳細な情報を収集することはできるが、方法が複雑であるためコスト面に関する課題がある。
【０００９】
例えば、プロトコルアナライザを回線に挿入する方法は、情報収集の対象となるポートが通常１つに制限される。そのため、複数のポートにわたるトラフィックフローを検出するためには、各ポートに１台のプロトコルアナライザを専属させる必要があり、アナライザの管理も含め、全体として極めて高コストとなるという問題がある。
【００１０】
一方、フロー検出装置を持つ高機能なパケットスイッチ装置を採用する方法は、このような機能を持つパケットスイッチ装置自体が高価であるという問題がある。さらに、回線が高速になるにつれて生成されるフローデータは大量となるので、これを処理する解析装置にも極めて高度な性能が要求され、その結果、システム全体のコストを上昇させるという問題もある。
【００１１】
本発明は、上記の課題を解決するためになされたものであり、低コストで簡単にトラフィックフローを検出することができるトラフィックフロー検出方法、トラフィックフロー検出装置及び該装置を有するパケットスイッチ装置を提供することを目的とする。
【００１２】
【課題を解決するための手段】
上記目的を達成するため、本発明の第１の態様は、パケットスイッチ装置におけるトラフィックフロー検出方法であって、パケットデータの宛先アドレスと、該宛先アドレスに対応する転送先ポート番号、及び該宛先アドレスが参照された回数である被参照回数を組み合わせたデータを複数記憶している転送テーブルから、前記パケットスイッチ装置に入力されたパケットデータの宛先アドレスに従って、該当データを検索する転送テーブル検索ステップと、前記転送テーブルの該当データの前記被参照回数をインクリメントする被参照回数加算ステップと、前記パケットスイッチ装置の複数のポートごとに設けられ、該ポートに入出力するパケットデータの数及び大きさを計測するトラフィックカウンタ及び前記転送テーブルに基づいてトラフィックフローに関する情報を出力する結果出力ステップと、を有することを要旨とする。
【００１３】
本発明の第２の態様は、前記転送テーブルの被参照回数は、前記パケットデータが入力された入力ポートごとに分類されており、被参照回数加算ステップは、前記パケットデータの宛先アドレス及び前記入力ポートに従って前記転送テーブルの該当データの前記被参照回数をインクリメントすることを要旨とする。
【００１４】
本発明の第３の態様は、パケットスイッチ装置に内蔵されるトラフィックフロー検出装置であって、前記パケットスイッチ装置の複数のポートごとに設けられ、該ポートに入出力するパケットデータの数及び大きさを計測するトラフィックカウンタと、パケットデータの宛先アドレスと、該宛先アドレスに対応する転送先ポート番号、及び該宛先アドレスが参照された回数である被参照回数を組み合わせたデータを複数記憶している転送テーブルと、前記パケットデータの宛先アドレスに従って前記転送テーブルの該当データの前記被参照回数をインクリメントする被参照回数加算手段と、前記トラフィックカウンタ及び前記転送テーブルに基づいてトラフィックフローに関する情報を出力する結果出力手段と、を有することを要旨とする。
【００１５】
本発明の第４の態様は、上記第３の態様において、前記転送テーブルの被参照回数は、前記パケットデータが入力された入力ポートごとに分類されており、被参照回数加算手段は、前記パケットデータの宛先アドレス及び前記入力ポートに従って前記転送テーブルの該当データの前記被参照回数をインクリメントすることを要旨とする。
【００１６】
本発明の第５の態様は、第３又は又は第４の態様のトラフィックフロー検出装置を有するパケットスイッチ装置であることを要旨とする。
【００１７】
【発明の実施の形態】
以下、本発明の実施の形態を図面を用いて説明する。
【００１８】
＜第１の実施の形態＞
本発明の第１の実施の形態に係るパケットスイッチ装置１０は、従来のパケットスイッチ装置９０に装備されている転送テーブル９１を拡張するとともに、ポート毎のトラフィックカウンタを用いることで、トラフィックフローを検出できるようになっている装置である。
【００１９】
従って、本発明は、転送テーブル９１の拡張が主眼となっており、その他の部分、すなわちバッファ４ｉやヘッダ解析部６、スイッチファブリック５などには何ら変更を要さず、またパケットのコピーやサンプリング等、特別な機能を持つ要素を追加する必要もないので、既存のパケットスイッチ装置９０に対して軽微な変更を施すだけで、従来複雑な装置を必要としたトラフィックフロー検出機能を提供することができるようにしたものである。
【００２０】
このことから、まず、転送テーブル９１を拡張した転送テーブル１の概要について説明し、その後、この転送テーブル１を装備しているパケットスイッチ装置１０の構成及び動作について説明する。
【００２１】
図１は本実施の形態における転送テーブル１の構成を示す図である。同図によれば、転送テーブル１は、図１５に示す宛先アドレスと転送先ポート番号が対になっている従来の転送テーブル９１に対して、宛先アドレス毎に、該アドレスが参照された回数を数えるカウンタが拡張装備されている。これは、例えば、３２ビットカウンタを用いるとして、１エントリあたり４バイトの増加で実現されるものである。尚、説明上、ポート２ａ，２ｂ…，２ｈに対応するポート番号をそれぞれ、１，２，…，８とする。
【００２２】
次に、転送テーブル１の作用について説明する。ここで、転送テーブル１の要素ｘを、宛先アドレスをａ，転送先ポート番号をｐ，被参照回数をｒとして（ａ，ｐ，ｒ）の組で表すものとする。ただし、転送テーブル１を分散して搭載する大型パケットスイッチ装置の場合には、各部に分散された各転送テーブルについて被参照回数を小計し、これらをシステムレベルで合計するものとする。
【００２３】
また、パケットスイッチ装置１にはポート毎のトラフィックカウンタとして入力バイトカウンタＢin(p)、出力バイトカウンタＢout(p)、入力パケットカウンタＦin(p)と出力パケットカウンタＦout(p)が具備されているものとする。
【００２４】
このとき、単位時間Δt におけるｒの変化Δr は、アドレスａに向かうΔt 時間あたりのパケット数に等しい。即ち、Δr はアドレスａ宛のΔt 時間あたりのトラフィックフローをパケット数で表したものである。Δr をパケット数でなく、データバイト数に変換するには、アドレスａが属するポート（転送先ポート）ｐについて、出力平均パケットサイズＳout(p)_AV＝Ｂout(p)／Ｆout(p)を求め、ΔrＳout(p)_AVを用いればよい。また、トラフィックフローの累積パケット数を得るためにはｒの値をそのまま使用でき、累積バイト数を得るためには、ｒＳout(p)を使用することができる。
【００２５】
以上のことから、例えば、図１に示した転送テーブル１の各要素ｘに対して、図２に示すような出力側累積トラフィックフローを得ることができる。これにより、例えば、あるポートを占有するフローを検出して当該アドレス宛のトラフィックに対して優先度の低いスケジューリングを行なうことや、別のポートに迂回させるといった操作を加えることが、パケットスイッチ装置１０単体で容易にできるようになる。
【００２６】
図３は、上述した転送テーブル１を装備しているパケットスイッチ装置１０の機能ブロック図であるが、従来のパケットスイッチ装置９０と同様の機能を有する部位については、符号を同一にして記載している。尚、以下においては、本実施の形態のパケットスイッチ装置１０は、具体的に、４ポート小型イーサネット（登録商標）スイッチ１０として説明する。
【００２７】
イーサネット（登録商標）スイッチ１０は、入出力インタフェース２ｉ（ｉ＝ａ，…，ｄ）毎に入出力パケットバッファ４ｉ（ｉ＝ａ，…，ｄ）と物理層コントローラ３ｉ（ｉ＝ａ，…，ｄ）を備え、これらの間をスイッチファブリック（転送網）５で結合した構成になっている。
【００２８】
図４は、イーサネット（登録商標）スイッチ１０におけるパケット転送のフローチャートであるが、同図によれば、イーサネット（登録商標）スイッチ１０に入力されたパケットはエラーチェックを受け、エラーがなければ、入力ポートに対応する入力バイトカウンタ及びフレームカウンタが更新される（ステップＳ０１〜Ｓ０３）。尚、パケットにエラーがあれば、パケットは破棄される（ステップＳ１１）。次に、転送コントローラ６は、パケットのヘッダを切り出して、送信元アドレス及び宛先アドレスを取り出し、転送テーブル１を参照する（ステップＳ０４，Ｓ０５）。そして、送信元アドレスが登録されていなければ、送信元アドレスを受信ポートと対応させて、転送テーブル１に登録する（ステップＳ０６，Ｓ１２）。次に、宛先アドレスが登録されていれば、転送テーブル１の被参照カウンタをインクリメントし、宛先のポートへパケットを転送する（ステップＳ０７〜Ｓ０９）。宛先アドレスが登録されていないときは、全ポートにパケットを転送する（ステップＳ０７，Ｓ１３）。このように、イーサネット（登録商標）スイッチ１０は、転送テーブル１を参照及び更新しつつ、パケット転送を行っている。
【００２９】
図５は、より詳細な転送テーブル１の機能ブロック図である。図５に示す転送テーブル１は、検索を高速化するため、４８ビット×２０４８ワード構成の連想メモリ（Content Addressable Memory,ＣＡＭ）を牽引に使っており、出力ポートと被参照カウンタを保存するための１６ビット×２０４８ワード（４キロバイト）のＳＲＡＭが組み合わされているものである。このＳＲＡＭは、１６ビットのうちポートに２ビット、カウンタに１４ビット使用しているので、カウンタの最大値は１６３８４となっており、カウンタはフリーラン、すなわち最大値を超えた場合０からの加算にもどるようになっている。また、ＣＡＭ、ＳＲＡＭともに２０４８ワードの記憶が可能であるので、学習可能のＭＡＣアドレスの数は最大２０４８となっている。
【００３０】
転送テーブル１の主な機能は、（１）宛先ＭＡＣアドレスに対する出力ポート２ｉを検索し、同時に該当ＭＡＣアドレスに対応する被参照カウンタをインクリメントすること、（２）宛先ＭＡＣアドレスが転送テーブル１に存在しない場合は転送コントローラ６にunmatch信号を返すこと、（３）転送コントローラ６からＭＡＣアドレス登録の依頼があった場合、これを転送テーブル１に書き込むこと、（４）転送コントローラ６からＭＡＣアドレス削除の依頼があった場合、これを転送テーブル１から削除すること、の４種類がある。以下、それぞれの機能の動作を図５を用いつつ説明する。
【００３１】
（１）宛先ＭＡＣアドレスに対する出力ポート検索
転送コントローラ６はパケットの出力先を決定するため、宛先ＭＡＣアドレスで転送テーブル１を検索する。図５では例として00:00:01:02:03:04というＭＡＣアドレスの出力ポートを検索する場合を記載している。この例では、あらかじめＣＡＭにエントリがあり、ＳＲＡＭにもデータがある状態を示している。
【００３２】
転送コントローラ６は検索対象となるＭＡＣアドレス00:00:01:02:03:04を転送テーブル１に送る。ＣＡＭのアドレス１にエントリがあるので、ＣＡＭはmatch信号とともにアドレス１を出力する。出力されたアドレスはラッチされ、ＳＲＡＭにあたえられる。
【００３３】
ＳＲＡＭはアドレス１に相当するデータフィールド3:240を出力する。転送テーブル１から転送コントローラ６に出力ポート３が返され、同時にカウンタインクリメント機構によって被参照回数が１つ増やされ、241となる。つまり、アドレス１のデータフィールドは3:241となり、これが更新バッファを介してＳＲＡＭに書き込まれる。すなわち、転送テーブル１のエントリが参照されるたびに、被参照回数を数えるカウンタが更新される。
【００３４】
（２）宛先ＭＡＣアドレスがテーブルに存在しない場合
転送コントローラ６から送られた検索対象ＭＡＣアドレスがＣＡＭに存在しない場合、ＣＡＭからunmatch信号が転送コントローラ６に送られる。この場合、図４のステップＳ０７，Ｓ１３に示す通り、転送コントローラ６はパケットを全ポートに転送する。
【００３５】
（３）ＭＡＣアドレス登録
図４のステップＳ０６，Ｓ１２に示す通り、転送コントローラ６はパケットの送信元ＭＡＣアドレスが転送テーブル１に存在しなかった場合、これを転送テーブル１に登録する。図５では、例として00:00:01:2c:de:10をポート１に登録する。
【００３６】
転送コントローラ６から送られた登録ＭＡＣアドレスとポートは登録バッファに送られ、ＣＡＭの空きアドレスに保存される。図５の例では、ＣＡＭはアドレス４に書き込み、このアドレスを出力する。
【００３７】
ＣＡＭから出力されたアドレスはラッチされ、転送先ポート番号１と、初期化時の被参照回数０を組み合わせたデータフィールド1:0が更新バッファを介してＳＲＡＭに書き込まれる。以上で、新規ＭＡＣアドレスが転送テーブル１に追加されたことになる。
【００３８】
（４）ＭＡＣアドレス削除
転送テーブル１のエントリに上限（図５の場合には２０４８エントリ）があるため、転送コントローラ６は、転送テーブル１のエージング管理をしている。すなわち、長期間使われないエントリを消去して再利用できるようにしている。
【００３９】
エージング処理の結果、消去すべきと判断されたアドレスは、転送コントローラ６から転送テーブル１に送られる。ＣＡＭはエントリ内容を消去し、「空き」のタグをつけて再利用の準備をする。このとき、ＳＲＡＭは操作しなくてよい。
【００４０】
次に、上述した動作を行う転送テーブル１から、トラフィックフローに関する情報を得る処理について説明する。これは、図６に示すような処理フローに沿って管理モジュール８のソフトウェアがトラフィックフローに関する情報を抽出するものである。図６によれば、トラフィックフロー抽出のコマンドが起動されると、転送テーブル１のダンプ処理がΔｔの間隔をあけて２度行われるので、ポートごとにΔｔにおける被参照回数の差分を集計する（ステップＳ２１〜Ｓ２５）。そして、それぞれのポート毎の占有率を計算し、パケットスイッチ装置１０の単位時間におけるそれぞれのポートの宛先アドレスごとの占有率リスト１２を出力する（ステップＳ２６〜Ｓ２９）。これにより、トラフィックフローに関する情報を容易に得ることができる。
【００４１】
以上、本実施の形態のパケットスイッチ装置１０によれば、従来のパケットスイッチの転送テーブルを拡張して被参照カウンタを搭載することにより、低コストで簡単にトラフィックフローを検出することができる。
【００４２】
即ち、従来、さまざまなメーカがさまざまなアーキテクチャでイーサネット（登録商標）スイッチを設計しているが、本発明は転送テーブルに被参照カウンタを用意するという簡便な手法を提供するため、他の設計がどのようなものであっても容易に実装することができる。また、これにより、システム全体のコストをほとんど変えずに、トラフィックフローに基づくさまざまなサービスが展開できる。例えば、トラフィック生成の多少に基づくフロー毎課金や、フロー毎のサービス品質の差異化などである。また、ネットワークのセキュリティ保護に応用する事もできる。例えば、サービス拒否攻撃（Denial of Service,DoS）等の外部からの攻撃についても、これらがトラフィックパターンの異常として現れることから、トラフィックフローを正確に把握することによってこれらの攻撃を検出することが可能となる。
【００４３】
＜第２の実施の形態＞
本発明の第２の実施の形態に係るパケットスイッチ装置２０は、第１の実施の形態に係るパケットスイッチ装置１０と同様に、従来のパケットスイッチ９０に装備されている転送テーブル９１を拡張するとともに、ポート毎のトラフィックカウンタを用いることで、トラフィックフローを検出できるようになっている装置である。但し、パケットスイッチ装置２０に装備されている転送テーブル２１は、図７に示すように、参照元ポート毎に、該アドレスが参照された回数を数えるカウンタを備えているので、トラフィックフローの入力側についても分析することが可能となっている。
【００４４】
本実施の形態においても、まず、転送テーブル９１を拡張した転送テーブル２１の概要について説明し、その後、この転送テーブル２１を装備しているパケットスイッチ装置２０について説明する。尚、本実施の形態においては、第１の実施の形態と異なる構成及び機能のみ説明し、その他の構成及び機能に関しては同一部分には同一符号を付して説明を省略する。
【００４５】
図７は、本実施の形態における転送テーブル２１の構成を示す図である。同図によれば、転送テーブル２１は、従来の転送テーブル９１に対して、宛先アドレスの参照元ポート毎に該アドレスが参照された回数を数えるカウンタが拡張装備されている。
【００４６】
次に、転送テーブル２１の作用について説明する。ここで、転送テーブル２１の要素ｘを、被参照回数ｒが参照元ポート毎にｒ₁…ｒ_n （ここでｒ＝Σｒ_n ）に分割されているので、スイッチのポート数をｎとして（ａ，ｐ，（ｒ₁ …ｒ_n ））の組で表すものとする。ただし、転送テーブル２１を分散して搭載する大型パケットスイッチ装置の場合には、転送テーブル１と同様に、各部に分散された各転送テーブルについて被参照回数を小計し、これらをシステムレベルで合計するものとする。
【００４７】
また、パケットスイッチ装置２１にはポート毎のトラフィックカウンタとして入力バイトカウンタＢin(p)、出力バイトカウンタＢout(p)、入力パケットカウンタＦin(p)と出力パケットカウンタＦout(p)が具備されているものとする。
【００４８】
このとき、単位時間Δt におけるｒ_kの変化Δｒ_k はポートｋからアドレスａに向かうΔt 時間あたりのパケット数に等しい。即ち、Δｒ_k は、ポートｋから流れ込むアドレスａ宛のΔt 時間あたりのトラフィックフローをパケット数で表したものである。Δr_ｋをパケット数でなく、データバイト数に変換するには、ポートｋについて入力平均パケットサイズＳin(k)_AV＝Ｂin(k)／Ｆin(k)を求め、Δｒ_kＳin(k)_AVを用いればよい。また、トラフィックフローの累積パケット数を得るためには、ｒ_k の値をそのまま使用でき、累積バイト数を得るためには、ｒ_kＳin(k)を使用することができる。
【００４９】
以上のことから、例えば図７に示した転送テーブル２１の各要素ｘに対して、図８に示すようなトラフィックフローを得ることができる。これにより、パケットスイッチ装置２０のポート間の関係が理解しやすくなる。図８に示した例では、ポート３から出力されるトラフィックはポート４及びポート６から流入するものが主であり、特に宛先ＭＡＣアドレス00:00:11:02:03:0bに向かうトラフィック流量が増加していることがわかる。これにより、当該アドレス宛のトラフィックに対して、主にポート４とポート６の入力キューの優先度を下げることや、別のポートに迂回させるといった操作を加えることがパケットスイッチ装置２０単体で容易にできるようになる。
【００５０】
次に、上述した転送テーブル２１を装備しているパケットスイッチ装置２０について説明するが、パケットスイッチ装置２０は、構成上、図３に示されたパケットスイッチ装置１０と転送テーブルだけが異なっているので、パケットスイッチ装置２０の構成及びパケット転送に関する動作の説明は省略し、転送テーブル２１に関連する動作を中心に説明する。尚、以下においては、本実施の形態のパケットスイッチ装置２０は、具体的に、４ポート小型イーサネット（登録商標）スイッチ２０として説明する。
【００５１】
図９は、より詳細な転送テーブル２１の機能ブロック図である。図９に示す転送テーブル２１は、参照元ポートごとに参照回数を保存する必要があるため、転送テーブル１に比べポート数Ｎ倍（実施例では４ポートを仮定しているので４倍）のＳＲＡＭ領域が必要になっている点が転送テーブル１と異なっている。また、この広い領域をアドレシングするためのアドレスエンコーダと、ＣＡＭ出力アドレスとの加算回路がアドレスラッチ前段に挿入されている点が異なっている。
【００５２】
転送テーブル２１の主な機能は、転送テーブル１と大きな違いはなく、主に４つある。すなわち（１）宛先ＭＡＣアドレスに対する出力ポート２ｉを検索し、同時に該当ＭＡＣアドレスに対応する参照元別の被参照カウンタをインクリメントすること、（２）宛先ＭＡＣアドレスが転送テーブル２１に存在しない場合は転送コントローラ６にunmatch信号を返すこと、（３）転送コントローラ６からＭＡＣアドレス登録の依頼があった場合、これを転送テーブル２１に書き込むこと、（４）転送コントローラ６からＭＡＣアドレス削除の依頼があった場合、これを転送テーブル２１から削除すること、である。以下、それぞれの機能の動作を図９を用いつつ説明する。
【００５３】
（１）宛先ＭＡＣアドレスに対する出力ポート検索
転送コントローラ６はパケットの出力先を決定するため、宛先ＭＡＣアドレスで転送テーブル２１を検索する。図９では例として00:00:01:02:03:04というＭＡＣアドレスの出力ポートを検索する場合を記載している。この例では、あらかじめＣＡＭにエントリがあり、ＳＲＡＭにもデータがある状態を示している。
【００５４】
転送コントローラ６は検索対象となるＭＡＣアドレス00:00:01:02:03:04を転送テーブル２１に送る。このとき、どのポートから検索がかかっているかを参照元ポート番号としてアドレスエンコーダに伝える。ＣＡＭのアドレス１にエントリがあるので、ＣＡＭはmatch信号とともにアドレス１を出力する。これと、参照元ポート番号１からエンコードされた上位アドレス０が加算されて出力されたアドレス０００１がラッチされ、ＳＲＡＭにあたえられる。
【００５５】
ＳＲＡＭはアドレス０００１に相当するデータフィールド3:240を出力する。転送テーブル２１から転送コントローラ６に出力ポート３が返され、同時にカウンタインクリメント構成によって被参照回数が１増やされ、241となる。つまりアドレス０００１のデータフィールドは3:241となり、これが更新バッファを介してＳＲＡＭに書き込まれる。すなわち、転送テーブル２１のエントリが参照されるたびに、参照元ポートごとに被参照回数を数えるカウンタが更新される。
【００５６】
（２）宛先ＭＡＣアドレスがテーブルに存在しない場合
転送コントローラ６から送られた検索対象ＭＡＣアドレスがＣＡＭに存在しない場合、ＣＡＭからunmatch信号が転送コントローラ６に送られる。この場合、図４のステップＳ０７，Ｓ１３に示す通り、転送コントローラ６はパケットを全ポートに転送する。
【００５７】
（３）ＭＡＣアドレス登録
図４のステップＳ０６，Ｓ１２に示す通り、転送コントローラ６はパケットの送信元ＭＡＣアドレスが転送テーブル２１に存在しなかった場合、これを転送テーブル２１に登録する。図９では、例として00:00:01:2c:de:10をポート１に登録する。
【００５８】
転送コントローラ６から送られた登録ＭＡＣアドレスとポートは登録バッファに送られ、ＣＡＭの空きアドレスに保存される。図９の例では、ＣＡＭはアドレス４に書き込み、このアドレスを出力する。
【００５９】
ＣＡＭから出力されるアドレス空間は０ｘ０００−０ｘ７ＦＦの２０４８エントリであるが、カウンタはポート数ごとに独立であるため、上位アドレスとして２ビット分が加算される。すなわち、ＣＡＭのアドレス０ｘ００４に対して、初期化が必要な書き込みアドレスとして０ｘ００４，０ｘ８０４，０ｘ１００４，０ｘ１８０４の４つが生成され、ＳＲＡＭのそれぞれのアドレスに転送先ポート番号１と、初期化時の被参照回数０を組み合わせたデータフィールド1:0が更新バッファを介してＳＲＡＭに書き込まれる。以上で、新規ＭＡＣアドレスが転送テーブル２１に追加されたことになる。
【００６０】
（４）ＭＡＣアドレス削除
転送テーブル２１のエントリに上限（図９の場合には２０４８エントリ）があるため、転送コントローラ６は、転送テーブル２１のエージング管理をしている。すなわち、長期間使われないエントリを消去して再利用できるようにする。
【００６１】
エージング処理の結果、消去すべきと判断されたアドレスは、転送コントローラ６から転送テーブル２１に送られる。ＣＡＭはエントリ内容を消去し、「空き」のタグをつけて再利用の準備をする。このとき、ＳＲＡＭは操作しなくてよい。
【００６２】
次に、上述した動作を行う転送テーブル２１から、トラフィックフローに関する情報を得る処理について説明する。これは、図１０に示すような処理フローに沿って管理モジュール８のソフトウェアがトラフィックフローに関する情報を抽出するものである。図１０によれば、トラフィックフロー抽出のコマンドが起動されると、転送テーブル２１のダンプ処理がΔｔの間隔をあけて２度行われるので、転送先ポート毎、参照元ポート毎にΔｔにおける被参照回数の差分を集計する（ステップＳ３１〜Ｓ３５）。そして、それぞれのポート毎の占有率を計算し、パケットスイッチ装置２０の単位時間における転送先ポート毎、参照元ポート毎の占有率リスト２２を出力する（ステップＳ２６〜Ｓ２９）。これにより、トラフィックフローに関する情報を容易に得ることができる。
【００６３】
以上、本実施の形態のパケットスイッチ装置２０によれば、第１の実施の形態のパケットスイッチ装置１０と同様の効果を奏する他、従来のパケットスイッチの転送テーブルを拡張して転送先ポート毎及び参照元ポート毎の被参照カウンタを搭載することにより、低コストで簡単に出力側だけでなく入力側も含めてトラフィックフローを検出することができる。
【００６４】
以上、本発明の実施の形態について説明してきたが、本発明の要旨を逸脱しない範囲において、本発明の実施の形態に対して種々の変形や変更を施すことができる。例えば、上記実施の形態においては、宛先アドレスと転送先ポートの対応が１対１であるものとして説明したが、ＩＰ層における転送テーブル探索のように、比較が宛先アドレスの一部を対象としている場合であっても同様な作用であることはもちろんである。この場合、図１１に示す転送テーブル３１のように、宛先アドレスがネットワークとマスクで表されるため、フローの検出単位は宛先ネットワーク毎になる。
【００６５】
【発明の効果】
以上説明したように、本発明によれば、パケットスイッチ装置の転送テーブルを拡張して被参照カウンタを搭載し、該被参照カウンタをパケット転送の宛先アドレスに応じてインクリメントしているので、低コストで簡単にトラフィックフローを検出することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係る転送テーブルの構成を説明する図である。
【図２】本発明の第１の実施の形態に係る転送テーブルから得られるトラフィックフローの１つを説明する図である。
【図３】本発明の第１の実施の形態に係るパケットスイッチ装置の機能ブロック図である。
【図４】本発明の第１の実施の形態に係るパケットスイッチ装置のパケット転送処理のフローチャートである。
【図５】本発明の第１の実施の形態に係る転送テーブルの動作を説明する図である。
【図６】本発明の第１の実施の形態に係るパケットスイッチ装置が転送テーブルからトラフィックフローを抽出する際のフローチャートである。
【図７】本発明の第２の実施の形態に係る転送テーブルの構成を説明する図である。
【図８】本発明の第２の実施の形態に係る転送テーブルから得られるトラフィックフローの１つを説明する図である。
【図９】本発明の第２の実施の形態に係る転送テーブルの動作を説明する図である。
【図１０】本発明の第２の実施の形態に係るパケットスイッチ装置が転送テーブルからトラフィックフローを抽出する際のフローチャートである。
【図１１】本発明の他の実施の形態に係る転送テーブルの構成を説明する図である。
【図１２】従来のストアアンドフォワード型のパケットスイッチ装置におけるパケット転送フローを説明する図である。
【図１３】従来のパケットスイッチ装置においてプロトコルアナライザを用いたトラフィックフロー検出の構成図である。
【図１４】従来のパケットサンプリング機能を用いたトラフィックフロー検出の構成図である。
【図１５】従来の転送テーブルの構成を説明する図である。
【符号の説明】
１，２１，３１，９１転送テーブル
２ｉポート
３ｉ物理層コントローラ
４ｉパケットバッファ
５スイッチファブリック
６転送コントローラ（ヘッダ解析／宛先抽出部）
７各種カウンタ
８管理モジュール
９電源／ファン／環境モニタ
１０，２０，９０パケットスイッチ装置
１２，２２結果レポート
１００プロトコルアナライザ
１１０サンプリング装置
１２０フローデータ生成装置
１３０解析装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a method and apparatus for monitoring traffic conditions in a packet switch device used in a computer network, and more particularly to a method and apparatus for detecting a traffic flow.
[0002]
[Prior art]
FIG. 12 is a packet transfer flow chart in the conventional store-and-forward type packet switch apparatus 90. When the packet input from the normal port 2i (i = a,..., H) enters the input buffer 4i (i = a,..., H), the packet switch device 90 shown in FIG. 6 updates the input data byte counter and the input packet counter corresponding to the input port 2i, extracts the destination address from the header portion of the packet, and obtains the output destination port identifier by referring to the transfer table 91. Yes. When the switch fabric 5 sends the packet to the output buffer 4i of the output destination port based on the output destination port identifier, the header analysis / destination extraction unit 6 updates the output data byte counter and the output packet counter, and then The port 2i takes out the output packet from the output buffer 4i and transmits it from the port, whereby the transfer of the packet is completed. Here, the packet switch device includes not only a layer 2 switch such as an Ethernet (registered trademark) switch but also a layer 3 switch such as a router.
[0003]
In the packet switch apparatus 90 that performs such packet transfer, there are mainly two methods for grasping the traffic flow. One is a method of inserting a dedicated device called a protocol analyzer into the line. FIG. 13 is a configuration diagram showing an example of traffic flow detection using the protocol analyzer 100. The packet switch 90 shown in the figure has a function (port mirroring) for copying a packet normally passing through the port 2i (i = a,..., G) to the monitoring port 2z, and the administrator prepares a separate protocol analyzer 100. Then, by connecting this to the monitoring port 2z of the packet switch device 90, it is possible to obtain data relating to the host and application type with the most traffic for the traffic passing through the normal port 2i. In addition, when the protocol analyzer 100 is applied to the packet switch device 90 having no port mirroring function, a packet copy / branch device called a tap is normally connected to the port 2i, and the protocol analyzer 100 is connected to the tap, thereby causing traffic. The flow can be detected.
[0004]
The other is a method that employs a highly functional packet switch device having a flow detection device based on sampling. Examples of such a flow detection device include a device having a netflow service function of Cisco Systems and a device having sflow technology (implemented in a product of Foundry Networks) of Inmon. FIG. 14 shows a schematic configuration of the packet switch apparatus 90. In the packet switch device 90 of FIG. 14, the packet is received by the sampling device 110 that copies a part of the traffic transferred to the other normal port 2i via the normal port 2i (i = a,..., H) by sampling. The flow data is sent to the analysis device 130 by the flow data generation device 120 that extracts the header, analyzes it, extracts the source address: destination address pair, and generates the traffic data for each address pair as flow data. The administrator can obtain information related to the traffic flow that normally passes through the port 2 i when viewing the output of the analysis device 130.
[0005]
The prior art document information related to this application includes the following.
[0006]
[Non-Patent Document 1]
Cisco Systems, “Cisco IOS NetFlow Technology Datasheet”, [Online], [Search March 14, 2003], Internet <URL: http://www.cisco.com/warp/public/cc/pd/iosw/ prodlit / iosnf_ds.htm>
[0007]
[Non-Patent Document 2]
S. Panchen, et, al "InMon Corporation's sFlow", A Method for Monitoring Traffic in Switched and Routed Networks, IETF, RFC3176.
[0008]
[Problems to be solved by the invention]
However, in the conventional method for grasping the traffic flow described above, detailed information regarding the traffic flow can be collected, but there is a problem with respect to cost because the method is complicated.
[0009]
For example, in the method of inserting a protocol analyzer into a line, the number of ports for information collection is usually limited to one. Therefore, in order to detect a traffic flow across a plurality of ports, it is necessary to dedicate a single protocol analyzer to each port, and there is a problem that the overall cost including the management of the analyzer is extremely high.
[0010]
On the other hand, the method of adopting a high-function packet switch device having a flow detection device has a problem that the packet switch device itself having such a function is expensive. Furthermore, since the amount of flow data generated increases as the line speed increases, an extremely high level of performance is required for an analysis apparatus that processes the flow data, resulting in a problem of increasing the cost of the entire system.
[0011]
The present invention has been made to solve the above-described problems, and provides a traffic flow detection method, a traffic flow detection device, and a packet switch device having the device capable of easily detecting a traffic flow at low cost. The purpose is to do.
[0012]
[Means for Solving the Problems]
To achieve the above objective, The first aspect of the present invention is: A traffic flow detection method in a packet switch device, wherein a plurality of data combining a destination address of packet data, a transfer destination port number corresponding to the destination address, and a reference count that is the number of times the destination address is referenced A transfer table search step for searching for the corresponding data in accordance with a destination address of the packet data input to the packet switch device from the stored transfer table, and a reference for incrementing the reference count of the corresponding data in the transfer table A number of times addition step, a traffic counter that is provided for each of a plurality of ports of the packet switch device and measures the number and size of packet data input / output to / from the ports, and outputs information on traffic flow based on the forwarding table Result output And step, to have a the gist.
[0013]
The second aspect of the present invention is: The number of times of reference in the forwarding table is classified for each input port to which the packet data is input, and the step of adding the number of times of reference is performed according to the destination address of the packet data and the input port. The gist is to increment the reference count.
[0014]
The third aspect of the present invention is: A traffic flow detection device built in a packet switch device, provided for each of a plurality of ports of the packet switch device, a traffic counter for measuring the number and size of packet data inputted to and outputted from the port, and packet data A destination table of the packet data, a transfer destination port number corresponding to the destination address, and a forwarding table storing a plurality of pieces of data in which the destination address is referenced, and a destination address of the packet data And a result output means for outputting information relating to a traffic flow based on the traffic counter and the forwarding table, and a result output means for outputting information on traffic flow based on the forwarding table. To do.
[0015]
The fourth aspect of the present invention is the same as the third aspect. The number of referenced times of the forwarding table is classified for each input port to which the packet data is input, and the number of times of referenced number adding means determines the number of times of the forwarding table according to the destination address of the packet data and the input port. The gist is to increment the number of times the data is referred to.
[0016]
The fifth aspect of the present invention is the third or fourth aspect. The gist of the present invention is a packet switch device having a traffic flow detection device.
[0017]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0018]
<First Embodiment>
The packet switch device 10 according to the first exemplary embodiment of the present invention detects a traffic flow by expanding the forwarding table 91 provided in the conventional packet switch device 90 and using a traffic counter for each port. It is a device that can be used.
[0019]
Accordingly, the present invention mainly focuses on the extension of the forwarding table 91, and other parts, that is, the buffer 4i, the header analysis unit 6, the switch fabric 5 and the like are not required to be changed, and packet copy and sampling are not required. Therefore, it is not necessary to add an element having a special function such as the above, and it is possible to provide a traffic flow detection function that conventionally requires a complicated device by making a slight change to the existing packet switch device 90. It is something that can be done.
[0020]
Therefore, first, an outline of the forwarding table 1 obtained by extending the forwarding table 91 will be described, and then the configuration and operation of the packet switch device 10 equipped with the forwarding table 1 will be described.
[0021]
FIG. 1 is a diagram showing the configuration of the transfer table 1 in the present embodiment. According to the figure, the forwarding table 1 shows, for each destination address, the number of times the address is referred to the conventional forwarding table 91 in which the destination address and forwarding port number shown in FIG. A counting counter has been added. For example, this is realized by an increase of 4 bytes per entry when a 32-bit counter is used. For the sake of explanation, the port numbers corresponding to the ports 2a, 2b,..., 2h are 1, 2,.
[0022]
Next, the operation of the transfer table 1 will be described. Here, the element x of the transfer table 1 is represented by a set of (a, p, r) where a is a destination address, p is a transfer destination port number, and r is a reference count. However, in the case of a large packet switch device in which the transfer table 1 is distributed and mounted, the number of times of reference is subtotaled for each transfer table distributed in each part, and these are summed at the system level.
[0023]
Further, the packet switch device 1 includes an input byte counter Bin (p), an output byte counter Bout (p), an input packet counter Fin (p), and an output packet counter Fout (p) as traffic counters for each port. Shall.
[0024]
At this time, the change Δr of r in the unit time Δt is equal to the number of packets per Δt time toward the address a. That is, Δr represents the traffic flow per time Δt addressed to the address a in the number of packets. To convert Δr to the number of data bytes instead of the number of packets, the output average packet size Sout (p) for the port (transfer destination port) p to which the address a belongs _AV = Bout (p) / Fout (p) is calculated and ΔrSout (p) _AV May be used. Further, the value of r can be used as it is to obtain the cumulative number of packets in the traffic flow, and rSout (p) can be used to obtain the cumulative number of bytes.
[0025]
From the above, for example, an output side accumulated traffic flow as shown in FIG. 2 can be obtained for each element x of the forwarding table 1 shown in FIG. Thus, for example, it is possible to detect a flow that occupies a certain port and perform low-priority scheduling for traffic destined for the address, or to perform an operation such as detouring to another port. It can be easily done by itself.
[0026]
FIG. 3 is a functional block diagram of the packet switch device 10 equipped with the forwarding table 1 described above. The parts having the same functions as those of the conventional packet switch device 90 are described with the same reference numerals. Yes. In the following, the packet switch device 10 according to the present embodiment will be specifically described as a 4-port small Ethernet (registered trademark) switch 10.
[0027]
The Ethernet (registered trademark) switch 10 includes an input / output packet buffer 4i (i = a,..., D) and a physical layer controller 3i (i = a,...) For each input / output interface 2i (i = a,..., D). d), and a switch fabric (forwarding network) 5 between them.
[0028]
FIG. 4 is a flowchart of packet transfer in the Ethernet (registered trademark) switch 10. According to FIG. 4, the packet input to the Ethernet (registered trademark) switch 10 is subjected to an error check. The input byte counter and frame counter corresponding to the port are updated (steps S01 to S03). If there is an error in the packet, the packet is discarded (step S11). Next, the transfer controller 6 cuts out the packet header, extracts the source address and the destination address, and refers to the transfer table 1 (steps S04 and S05). If the transmission source address is not registered, the transmission source address is registered in the transfer table 1 in association with the reception port (steps S06 and S12). Next, if the destination address is registered, the referenced counter in the forwarding table 1 is incremented and the packet is forwarded to the destination port (steps S07 to S09). When the destination address is not registered, the packet is transferred to all ports (steps S07 and S13). As described above, the Ethernet (registered trademark) switch 10 performs packet transfer while referring to and updating the transfer table 1.
[0029]
FIG. 5 is a functional block diagram of the transfer table 1 in more detail. The transfer table 1 shown in FIG. 5 uses an associative memory (Content Addressable Memory, CAM) having a 48-bit × 2048-word configuration to speed up the search, and stores the output port and the referenced counter. This is a combination of 16 bits x 2048 words (4 kilobytes) of SRAM. Since this SRAM uses 2 bits for the port and 14 bits for the counter among the 16 bits, the maximum value of the counter is 16384, and the counter is free-run, that is, addition from 0 when the maximum value is exceeded It has come back. Since both CAM and SRAM can store 2048 words, the maximum number of MAC addresses that can be learned is 2048.
[0030]
The main functions of the forwarding table 1 are: (1) searching the output port 2i for the destination MAC address and simultaneously incrementing the referenced counter corresponding to the corresponding MAC address; (2) the destination MAC address exists in the forwarding table 1 If not, an unmatch signal is returned to the transfer controller 6, (3) if a request for MAC address registration is received from the transfer controller 6, this is written in the transfer table 1, and (4) the MAC address is deleted from the transfer controller 6. When there is a request, there are four types of deleting this from the transfer table 1. Hereinafter, the operation of each function will be described with reference to FIG.
[0031]
(1) Output port search for destination MAC address
The transfer controller 6 searches the transfer table 1 with the destination MAC address in order to determine the output destination of the packet. FIG. 5 shows a case where an output port with a MAC address of 00: 00: 01: 02: 03: 04 is searched as an example. In this example, there is shown a state in which there is an entry in the CAM in advance and there is data in the SRAM.
[0032]
The transfer controller 6 sends the MAC address 00: 00: 01: 02: 03: 04 to be searched to the transfer table 1. Since there is an entry at address 1 of the CAM, the CAM outputs address 1 together with the match signal. The output address is latched and given to the SRAM.
[0033]
The SRAM outputs a data field 3: 240 corresponding to address 1. The output port 3 is returned from the transfer table 1 to the transfer controller 6, and at the same time, the counter increment mechanism increases the number of times of reference by one to 241. That is, the data field at address 1 is 3: 241, which is written to the SRAM via the update buffer. That is, each time an entry in the transfer table 1 is referred to, the counter for counting the number of times of reference is updated.
[0034]
(2) When the destination MAC address does not exist in the table
When the search target MAC address sent from the transfer controller 6 does not exist in the CAM, an unmatch signal is sent from the CAM to the transfer controller 6. In this case, as shown in steps S07 and S13 in FIG. 4, the transfer controller 6 transfers the packet to all ports.
[0035]
(3) MAC address registration
As shown in steps S06 and S12 in FIG. 4, when the transmission source MAC address of the packet does not exist in the transfer table 1, the transfer controller 6 registers this in the transfer table 1. In FIG. 5, 00: 00: 01: 2c: de: 10 is registered in port 1 as an example.
[0036]
The registered MAC address and port sent from the transfer controller 6 are sent to the registration buffer and stored in the CAM free address. In the example of FIG. 5, the CAM writes to address 4 and outputs this address.
[0037]
The address output from the CAM is latched, and the data field 1: 0 that combines the transfer destination port number 1 and the reference count 0 at the time of initialization is written to the SRAM via the update buffer. Thus, the new MAC address has been added to the transfer table 1.
[0038]
(4) Delete MAC address
Since the transfer table 1 has an upper limit (2048 entries in the case of FIG. 5), the transfer controller 6 manages the aging of the transfer table 1. In other words, entries that have not been used for a long time are deleted so that they can be reused.
[0039]
As a result of the aging process, the address determined to be deleted is sent from the transfer controller 6 to the transfer table 1. The CAM erases the entry contents and adds a “vacant” tag to prepare for reuse. At this time, the SRAM need not be operated.
[0040]
Next, processing for obtaining information related to traffic flow from the forwarding table 1 that performs the above-described operation will be described. This is because the software of the management module 8 extracts information relating to the traffic flow along the processing flow as shown in FIG. According to FIG. 6, when the traffic flow extraction command is activated, the dump process of the forwarding table 1 is performed twice with an interval of Δt, so the difference in the number of referenced times at Δt is totaled for each port ( Steps S21 to S25). Then, the occupancy rate for each port is calculated, and the occupancy rate list 12 for each destination address of each port in the unit time of the packet switch device 10 is output (steps S26 to S29). Thereby, the information regarding a traffic flow can be obtained easily.
[0041]
As described above, according to the packet switch device 10 of the present embodiment, it is possible to easily detect a traffic flow at a low cost by expanding a transfer table of a conventional packet switch and mounting a referenced counter.
[0042]
In other words, various manufacturers have conventionally designed Ethernet (registered trademark) switches with various architectures. However, the present invention provides a simple method of preparing a referenced counter in a transfer table, so other designs are available. Anything can be easily implemented. This also allows various services based on traffic flow to be deployed with little change in the overall system cost. For example, charging for each flow based on the amount of traffic generation, differentiation of service quality for each flow, and the like. It can also be applied to network security protection. For example, attacks from the outside such as denial of service (DoS) can be detected by accurately grasping the traffic flow because these appear as abnormal traffic patterns. It becomes.
[0043]
<Second Embodiment>
The packet switch device 20 according to the second embodiment of the present invention extends the forwarding table 91 provided in the conventional packet switch 90, as with the packet switch device 10 according to the first embodiment. By using a traffic counter for each port, the traffic flow can be detected. However, as shown in FIG. 7, the forwarding table 21 provided in the packet switch device 20 includes a counter for counting the number of times the address is referred to for each reference source port. Can also be analyzed.
[0044]
Also in this embodiment, first, an outline of the transfer table 21 obtained by expanding the transfer table 91 will be described, and then the packet switch device 20 equipped with the transfer table 21 will be described. In the present embodiment, only the configuration and functions different from those of the first embodiment will be described, and the other components and functions will be denoted by the same reference numerals and the description thereof will be omitted.
[0045]
FIG. 7 is a diagram showing the configuration of the transfer table 21 in the present embodiment. As shown in the figure, the transfer table 21 is provided with an extended counter for counting the number of times the address is referred to for each reference source port of the destination address with respect to the conventional transfer table 91.
[0046]
Next, the operation of the transfer table 21 will be described. Here, the element x of the forwarding table 21 is changed to r for each reference source port where the reference count r is ₁ ... r _n (Where r = Σr _n ), The number of switch ports is n (a, p, (r ₁ ... r _n )). However, in the case of a large packet switch device in which the transfer table 21 is distributed and mounted, as in the transfer table 1, the number of referenced times is subtotaled for each transfer table distributed in each part, and these are summed at the system level. Shall.
[0047]
The packet switch device 21 includes an input byte counter Bin (p), an output byte counter Bout (p), an input packet counter Fin (p), and an output packet counter Fout (p) as traffic counters for each port. Shall.
[0048]
At this time, r in unit time Δt _k Change Δr _k Is equal to the number of packets per time Δt from port k to address a. That is, Δr _k Represents the traffic flow per Δt time addressed to address a flowing in from port k in terms of the number of packets. Δr _k Is converted to the number of data bytes instead of the number of packets, the average input packet size Sin (k) for port k _AV = Bin (k) / Fin (k) is calculated and Δr _k Sin (k) _AV May be used. Also, to obtain the cumulative number of packets in the traffic flow, r _k To get the cumulative number of bytes, you can use r _k Sin (k) can be used.
[0049]
From the above, for example, a traffic flow as shown in FIG. 8 can be obtained for each element x of the forwarding table 21 shown in FIG. Thereby, it becomes easy to understand the relationship between the ports of the packet switch device 20. In the example shown in FIG. 8, the traffic output from the port 3 mainly flows from the port 4 and the port 6, and the traffic flow toward the destination MAC address 00: 00: 11: 02: 03: 0b is particularly large. It can be seen that it has increased. As a result, it is easy for the packet switch device 20 alone to add operations such as lowering the priority of the input queues of the ports 4 and 6 to the traffic addressed to the address, or detouring to another port. become able to.
[0050]
Next, the packet switch device 20 equipped with the above-described forwarding table 21 will be described. However, the packet switching device 20 is different from the packet switching device 10 shown in FIG. The description of the configuration of the packet switch device 20 and the operation related to packet transfer will be omitted, and the operation related to the transfer table 21 will be mainly described. In the following, the packet switch device 20 according to the present embodiment will be specifically described as a 4-port small Ethernet (registered trademark) switch 20.
[0051]
FIG. 9 is a functional block diagram of the transfer table 21 in more detail. Since the transfer table 21 shown in FIG. 9 needs to store the reference count for each reference source port, the number of ports is N times that of the transfer table 1 (4 times because four ports are assumed in the embodiment). This is different from the forwarding table 1 in that an area is required. Another difference is that an address encoder for addressing this wide area and an adder circuit for the CAM output address are inserted before the address latch.
[0052]
The main functions of the transfer table 21 are not significantly different from those of the transfer table 1, and there are mainly four. That is, (1) search the output port 2i for the destination MAC address and simultaneously increment the referenced counter for each reference source corresponding to the corresponding MAC address, and (2) transfer if the destination MAC address does not exist in the forwarding table 21 An unmatch signal is returned to the controller 6, (3) when there is a request for MAC address registration from the transfer controller 6, this is written in the transfer table 21, and (4) there is a request for deletion of the MAC address from the transfer controller 6. If this is the case, delete this from the transfer table 21. The operation of each function will be described below with reference to FIG.
[0053]
(1) Output port search for destination MAC address
The transfer controller 6 searches the transfer table 21 with the destination MAC address in order to determine the output destination of the packet. FIG. 9 shows a case where an output port with a MAC address of 00: 00: 01: 02: 03: 04 is searched as an example. In this example, there is shown a state in which there is an entry in the CAM in advance and there is data in the SRAM.
[0054]
The transfer controller 6 sends the MAC address 00: 00: 01: 02: 03: 04 to be searched to the transfer table 21. At this time, the port from which the search is applied is notified to the address encoder as a reference source port number. Since there is an entry at address 1 of the CAM, the CAM outputs address 1 together with the match signal. This is added with the higher address 0 encoded from the reference port number 1 and the output address 0001 is latched and given to the SRAM.
[0055]
The SRAM outputs a data field 3: 240 corresponding to the address 0001. The output port 3 is returned from the transfer table 21 to the transfer controller 6, and at the same time, the reference count is incremented by 1 by the counter increment configuration to 241. That is, the data field of the address 0001 is 3: 241, and this is written to the SRAM via the update buffer. That is, each time an entry in the transfer table 21 is referenced, a counter that counts the number of times of reference is updated for each reference source port.
[0056]
(2) When the destination MAC address does not exist in the table
When the search target MAC address sent from the transfer controller 6 does not exist in the CAM, an unmatch signal is sent from the CAM to the transfer controller 6. In this case, as shown in steps S07 and S13 in FIG. 4, the transfer controller 6 transfers the packet to all ports.
[0057]
(3) MAC address registration
As shown in steps S06 and S12 of FIG. 4, when the transmission source MAC address of the packet does not exist in the transfer table 21, the transfer controller 6 registers this in the transfer table 21. In FIG. 9, 00: 00: 01: 2c: de: 10 is registered in port 1 as an example.
[0058]
The registered MAC address and port sent from the transfer controller 6 are sent to the registration buffer and stored in the CAM free address. In the example of FIG. 9, the CAM writes to address 4 and outputs this address.
[0059]
The address space output from the CAM is 2048 entries of 0x000-0x7FF, but since the counter is independent for each port number, 2 bits are added as the upper address. That is, for the CAM address 0x004, four write addresses 0x004, 0x804, 0x1004, and 0x1804 that need to be initialized are generated. A data field 1: 0 in which the number of times 0 is combined is written to the SRAM via the update buffer. Thus, the new MAC address is added to the transfer table 21.
[0060]
(4) Delete MAC address
Since there is an upper limit (2048 entries in the case of FIG. 9) in the entries of the transfer table 21, the transfer controller 6 manages the aging of the transfer table 21. That is, an entry that has not been used for a long time is erased so that it can be reused.
[0061]
As a result of the aging process, the address determined to be deleted is sent from the transfer controller 6 to the transfer table 21. The CAM erases the entry contents and adds a “vacant” tag to prepare for reuse. At this time, the SRAM need not be operated.
[0062]
Next, processing for obtaining information related to traffic flow from the forwarding table 21 that performs the above-described operation will be described. This is because the software of the management module 8 extracts information on the traffic flow along the processing flow as shown in FIG. According to FIG. 10, when the traffic flow extraction command is activated, the dump process of the forwarding table 21 is performed twice with an interval of Δt. Therefore, the referenced reference at Δt for each transfer destination port and each reference source port. The difference in the number of times is totaled (steps S31 to S35). Then, the occupancy rate for each port is calculated, and the occupancy rate list 22 for each transfer destination port and reference source port in the unit time of the packet switch device 20 is output (steps S26 to S29). Thereby, the information regarding a traffic flow can be obtained easily.
[0063]
As described above, according to the packet switch device 20 of the present embodiment, the same effect as that of the packet switch device 10 of the first embodiment is obtained, and the transfer table of the conventional packet switch is expanded for each transfer destination port. By mounting a referenced counter for each reference source port, it is possible to easily detect a traffic flow including not only the output side but also the input side at low cost.
[0064]
While the embodiments of the present invention have been described above, various modifications and changes can be made to the embodiments of the present invention without departing from the spirit of the present invention. For example, in the above embodiment, the correspondence between the destination address and the forwarding port is explained as one-to-one. However, as in the forwarding table search in the IP layer, the comparison covers a part of the destination address. Of course, even if it is a case, it is the same effect | action. In this case, since the destination address is represented by a network and a mask as in the transfer table 31 shown in FIG. 11, the flow detection unit is for each destination network.
[0065]
【The invention's effect】
As described above, according to the present invention, the forwarding table of the packet switch device is expanded to include a referenced counter, and the referenced counter is incremented according to the destination address of packet forwarding. Can easily detect the traffic flow.
[Brief description of the drawings]
FIG. 1 is a diagram illustrating a configuration of a transfer table according to a first embodiment of the present invention.
FIG. 2 is a diagram for explaining one of traffic flows obtained from a forwarding table according to the first embodiment of the present invention.
FIG. 3 is a functional block diagram of the packet switch device according to the first embodiment of the present invention.
FIG. 4 is a flowchart of packet transfer processing of the packet switch device according to the first embodiment of the present invention;
FIG. 5 is a diagram for explaining an operation of a transfer table according to the first embodiment of the present invention;
FIG. 6 is a flowchart when the packet switch device according to the first exemplary embodiment of the present invention extracts a traffic flow from a forwarding table.
FIG. 7 is a diagram illustrating a configuration of a transfer table according to the second embodiment of the present invention.
FIG. 8 is a diagram for explaining one of traffic flows obtained from a forwarding table according to the second embodiment of the present invention.
FIG. 9 is a diagram for explaining an operation of a forwarding table according to the second embodiment of the present invention.
FIG. 10 is a flowchart when the packet switch device according to the second exemplary embodiment of the present invention extracts a traffic flow from a forwarding table.
FIG. 11 is a diagram illustrating the configuration of a forwarding table according to another embodiment of the present invention.
FIG. 12 is a diagram for explaining a packet transfer flow in a conventional store-and-forward type packet switch device;
FIG. 13 is a configuration diagram of traffic flow detection using a protocol analyzer in a conventional packet switch device.
FIG. 14 is a configuration diagram of traffic flow detection using a conventional packet sampling function.
FIG. 15 is a diagram illustrating a configuration of a conventional transfer table.
[Explanation of symbols]
1, 21, 31, 91 Forwarding table
2i port
3i physical layer controller
4i packet buffer
5 Switch fabric
6 Transfer controller (header analysis / destination extraction unit)
7 Counters
8 Management module
9 Power supply / Fan / Environment monitor
10, 20, 90 packet switch device
12,22 Result report
100 Protocol analyzer
110 Sampling device
120 Flow data generator
130 Analyzer

Claims

パケットスイッチ装置におけるトラフィックフロー検出方法であって、
パケットデータの宛先アドレスと、該宛先アドレスに対応する転送先ポート番号、及び該宛先アドレスが参照された回数である被参照回数を組み合わせた要素データを複数記憶している転送テーブルから、前記パケットスイッチ装置に入力されたパケットデータの宛先アドレスを用いて前記要素データを検索する転送テーブル検索ステップと、
当該宛先アドレスが前記転送テーブルに登録されていれば、前記転送テーブルの当該宛先アドレスに対応する要素データの前記被参照回数をインクリメントする被参照回数加算ステップと、
前記パケットスイッチ装置の複数のポートごとに設けられ、該ポートに入出力するパケットデータの数及び大きさを計測するトラフィックカウンタの値及び前記転送テーブルの被参照回数に基づいてトラフィックフローに関する情報を出力する結果出力ステップと、
を有することを特徴とするトラフィックフロー検出方法。A traffic flow detection method in a packet switch device,
From the transfer table storing a plurality of element data combining a destination address of packet data, a transfer destination port number corresponding to the destination address, and a reference count which is a reference count of the destination address, the packet switch A forwarding table search step for searching for the element data using a destination address of packet data input to the device;
If the destination address is registered in the transfer table, a reference count addition step of incrementing the reference count of element data corresponding to the destination address of the transfer table;
Provided for each of a plurality of ports of the packet switch device, and outputs traffic flow information based on the value of a traffic counter that measures the number and size of packet data input / output to / from the port and the number of times the forwarding table is referenced A result output step,
A traffic flow detection method characterized by comprising:

前記転送テーブルの被参照回数は、前記パケットデータが入力された入力ポートごとに分類されており、
被参照回数加算ステップは、前記パケットデータの宛先アドレス及び前記入力ポートに従って前記転送テーブルの当該宛先アドレスに対応する要素データの当該入力ポートに対応する被参照回数をインクリメントする
ことを特徴とする請求項１記載のトラフィックフロー検出方法。The number of referenced times in the forwarding table is classified for each input port to which the packet data is input,
The step of adding the number of referenced times increments the number of referenced times corresponding to the input port of the element data corresponding to the destination address of the forwarding table according to the destination address of the packet data and the input port. The traffic flow detection method according to 1.

パケットスイッチ装置に内蔵されるトラフィックフロー検出装置であって、
前記パケットスイッチ装置の複数のポートごとに設けられ、該ポートに入出力するパケットデータの数及び大きさを計測するトラフィックカウンタと、
パケットデータの宛先アドレスと、該宛先アドレスに対応する転送先ポート番号、及び該宛先アドレスが参照された回数である被参照回数を組み合わせた要素データを複数記憶している転送テーブルと、
前記転送テーブルから、前記パケットスイッチ装置に入力されたパケットデータの宛先アドレスを用いて前記要素データを検索する転送テーブル検索手段と、
当該宛先アドレスが前記転送テーブルに登録されていれば、前記転送テーブルの当該宛先アドレスに対応する要素データの前記被参照回数をインクリメントする被参照回数加算手段と、
前記トラフィックカウンタの値及び前記転送テーブルの被参照回数に基づいてトラフィックフローに関する情報を出力する結果出力手段と、
を有することを特徴とするトラフィックフロー検出装置。A traffic flow detection device built in a packet switch device,
A traffic counter that is provided for each of a plurality of ports of the packet switch device and measures the number and size of packet data input to and output from the ports;
A transfer table storing a plurality of element data combining a destination address of packet data, a transfer destination port number corresponding to the destination address, and a reference count that is a reference count of the destination address;
Transfer table search means for searching the element data using a destination address of packet data input to the packet switch device from the transfer table;
If the destination address is registered in the transfer table, a reference count adding means for incrementing the reference count of the element data corresponding to the destination address of the transfer table;
A result output means for outputting information relating to a traffic flow based on the value of the traffic counter and the number of referenced times in the forwarding table;
A traffic flow detection apparatus comprising:

前記転送テーブルの被参照回数は、前記パケットデータが入力された入力ポートごとに分類されており、
被参照回数加算手段は、前記パケットデータの宛先アドレス及び前記入力ポートに従って前記転送テーブルの当該宛先アドレスに対応する要素データの当該入力ポートに対応する被参照回数をインクリメントする
ことを特徴とする請求項３記載のトラフィックフロー検出装置。The number of referenced times in the forwarding table is classified for each input port to which the packet data is input,
The number-of-references-adding means increments the number of times of reference corresponding to the input port of element data corresponding to the destination address of the forwarding table according to the destination address of the packet data and the input port. 3. The traffic flow detection device according to 3.

請求項３又は４記載のトラフィックフロー検出装置を有することを特徴とするパケットスイッチ装置。 A packet switch apparatus comprising the traffic flow detection apparatus according to claim 3.