JP5440740B2 - 通信システム、制御装置、通信方法及びプログラム - Google Patents

Description

［関連出願についての記載］
本発明は、日本国特許出願：特願２０１１−０９５１３４号（２０１１年 ４月２１日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、通信システム、制御装置、通信方法及びプログラムに関し、特に、ネットワークに配置された転送ノードによりパケットを転送して通信を実現する通信システム、制御装置、通信方法及びプログラムに関する。

近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置と位置付けられるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図５参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図５のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。

国際公開第２００８／０９５０１０号

Nick McKeownほか７名、"OpenFlow: Enabling Innovation in Campus Networks"、［online］、［平成23年4月4日検索］、インターネット〈URL：http://www.openflowswitch.org//documents/openflow-wp-latest.pdf〉 "OpenFlow Switch Specification" Version 1.0.0. (Wire Protocol 0x01) ［平成23年4月4日検索］ 、インターネット〈URL：http://www.openflowswitch.org/documents/openflow-spec-v1.0.0.pdf〉

以下の分析は、本発明によって与えられたものである。
特許文献１のオープンフローコントローラ、つまりオープンフローの制御装置は、新規フロー発生時にアクセス制御ルールを参照してパーミッションチェックを行ない、その後に、経路を計算することによりアクセス制御を行っている（特許文献１の［００５２］参照）。

ところで、大規模なネットワークを管理する場合、ネットワーク全体の管理者が、個々の拠点等のネットワークに割り当てるネットワーク帯の定義などの大きな枠組みのみを管理し、個々の拠点や部門で使用する各機器のアドレス管理などの詳細な管理内容については、これら拠点や部門等毎の管理者や管理システムに任せる、といった階層的な管理手法が採用されている。

上記のような管理手法を行うに当たっては、これら拠点や部門毎にネットワークを分割し、ユーザ端末等とネットワーク資源が配置されたネットワークの間を、ネットワークスイッチつまり転送ノードによって接続する形態が考えられる。また、これら分割したネットワーク毎にアドレス管理装置等を配置することで、アドレス管理等を行うことができる。

上記のような運用は、一般的なＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などによる管理が同一のネットワークセグメント（サブネット）に限定されること、単一のネットワークセグメントのサイズが巨大すぎると輻輳などの問題が発生しやすくなることからも理に適っている。

しかしながら、上記のような拠点、部門等毎のアドレス管理装置におけるアドレス等の管理は、ネットワーク全体の管理とは異なり、当該拠点や組織・部門の管理者やシステムに閉じていることが多い。

これは、拠点・部門等においてアドレスを管理すべきユーザ端末、周辺機器やネットワーク資源が、組織・部門の要求に従って、しばしば追加・削減やリプレースされたり、ネットワーク構成の見直しが行われ、頻繁に接続・切断されるものであり、大規模なネットワークを管理するネットワーク全体の管理者が、そのすべてを管理することは困難なためでもある。

上記のようなネットワーク全体に、特許文献１のオープンフローコントローラのような集中制御型の制御装置を用いて、個々の拠点や部門等を跨ったネットワーク全体の経路制御を行う場合、当該制御装置が、アドレス管理装置で割り当てられる予定のアドレス等を知る方法が無く、適切なフローエントリ（処理規則）を設定することができないという問題点がある。

ネットワークの間に配置された転送ノードのＩＤや、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓｓ Ｃｏｎｔｒｏｌ）アドレスを照合規則として用いたフローエントリ（処理規則）でも、一定の範囲でアクセス制御を行うことが可能であるが、上記のとおりホストやネットワーク資源が追加・削減やリプレースされたり、他の拠点や部門に移動したりするケースを考えると、適切なフローエントリ（処理規則）を設定できていないということも充分に考えられる。

さらに、上記制御装置は、アドレス管理装置によってアドレスが付与される前のホストが、アドレス管理装置からアドレスを取得できるようにする必要もある。

本発明は、上記のようにアドレス管理を行うアドレス管理装置を有するネットワークにおいて、各ホストからのアドレス管理装置への通信と、集中制御型の経路制御とを両立することができる通信システム、制御装置、ポリシー管理装置、通信方法およびプログラムを提供することを目的とする。

本発明の第１の視点によれば、処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定した後、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する制御装置と、を含む通信システムが提供される。

本発明の第２の視点によれば、処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続され、前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定した後、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する制御装置が提供される。

本発明の第３の視点によれば、処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続された制御装置が、前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定するステップと、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定するステップと、を含む通信方法が提供される。本方法は、受信パケットを処理する複数の転送ノードを制御する制御装置という、特定の機械に結びつけられている。

本発明の第４の視点によれば、処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続された制御装置に実行させるプログラムであって、前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定する処理と、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、アドレス管理を行うアドレス管理装置を有するネットワークにおいて、各ホストからのアドレス管理装置への通信と、集中制御型の経路制御とを両立することが可能となる。

本発明の概要を説明するための図である。 本発明の第１の実施形態の通信システムの構成を表した図である。 本発明の第１の実施形態の制御装置の構成を表した図である。 本発明の第１の実施形態の動作を表したシーケンス図である。 非特許文献２に記載のフローエントリの構成を表した図である。

はじめに、本発明の一実施形態の概要について図面を参照して説明する。以下、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

本発明は、その一実施形態において、図１に示すように、処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノード２００と、ホスト１００に対しアドレスを付与するアドレス管理装置３１０と、転送ノード２００に処理規則を設定する制御装置３００と、を含む通信システムにより実現できる。

具体的には、制御装置３００は、まず、ホスト１００とアドレス管理装置３１０間の転送ノード２００に、ホスト１００とアドレス管理装置３１０間の通信（図１の破線の両矢線参照）を実現する第１の処理規則を設定する。ホスト１００がアドレス管理装置からアドレスを付与された後、制御装置３００は、前記アドレスが付与されたホスト１００と所定のネットワーク資源６００間の通信（図１の実線の両矢線参照）を実現する第２の処理規則を設定する。なお、制御装置３００は、転送ノード２００からの処理規則の設定要求などから、ホスト１００に付与されたアドレスを取得することができる（図１の一点鎖線の矢線参照）。

転送ノード２００は、制御装置３００から設定された処理規則に従ってパケットを処理するため、制御装置３００が関与しない通信は遮断される。この結果、アドレス管理を行うアドレス管理装置を有するネットワークにおいて、各ホストからアドレス管理装置へのアクセス性を確保しつつ、各ホストに付与されたアドレスを用いたきめ細かい経路制御を行うことが可能となる。

［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。はじめに、以下の説明において用いる用語について説明する。

「アドレス管理装置」は、ＤＨＣＰなどのアドレス振出機能（アドレス割当機能）を持った装置である。また、本実施形態では「アドレス管理装置」は、ホストのＭＡＣアドレスによる認証機能も備えているものとする。本実施形態では、アドレス管理装置の利用するプロトコルとして、簡便のため、一般的なＤＨＣＰを想定して説明するが、その他のプロトコルを用いることも可能である。本実施形態の本質の一つは、制御装置が、ホストとアドレス管理装置の間の通信を限定的に許可しながら、その通信内容から振り出されるアドレス情報を取得することであり、ＤＨＣＰ以外のプロトコルであってもよい。

「ネットワーク資源」は、ネットワーク経由で利用するアプリケーションサーバなどが含まれる。その他「ネットワーク資源」には、アドレス管理装置によるアドレス振出後でなければ利用できないプロトコルや、アドレス管理装置によるアドレス振出後でなければアクセス制御ルールで定義できないフローを利用するような、前記アドレス管理装置以外の認証装置が含まれていてもよい。

「ホスト」は、拠点、部門等のネットワークに接続して使用する、ユーザの端末となるコンピュータや、ネットワークに接続して使用するプリンタやストレージなどの周辺機器である。新規に接続されたネットワーク資源も「ホスト」として扱うことができる。

「アクセス制御ポリシー」は、各ホストに付与されるアクセス制御内容を抽象的に記述した情報である。本実施形態では、「アクセス制御ポリシー」は、ポリシー管理装置のアクセス制御ポリシー記憶部に格納されて、管理される。また、ポリシー管理装置は、「アクセス制御ポリシー」と後記「リソース情報」を参照してＡＣＬ（アクセスコントロールリスト）情報を生成し、制御装置に送信する。本実施形態では、簡便のため、最も基本的なアクセス制御ポリシーとして、「認証済みホストのみネットワーク資源との通信を許可」という内容が設定されているものとする。

「ホスト接続通知」は、制御装置からポリシー管理装置に受け渡される、認証済みホストのアドレス振出結果を含む情報である。本実施形態では、例えば、ホストのＭＡＣアドレスとＩＰアドレスとの組を含む。

「リソース情報」は、ホストやネットワーク資源の情報であり、ポリシー管理装置のリソース情報記憶部に格納されて、管理される。「リソース情報」は、ポリシー管理装置が、アクセス制御ポリシーからＡＣＬ情報を生成する際に参照される。本実施形態では、「リソース情報」には、認証済みホストやネットワーク資源のＭＡＣアドレスとＩＰアドレスとの組が含まれるものとする。

「ＡＣＬ情報」は、ポリシー管理装置から制御装置に受け渡されるアクセス制御内容を記述した情報である。例えば、「認証済みホストのみネットワーク資源との通信を許可」という内容のアクセス制御ポリシーと、ＭＡＣアドレスとＩＰアドレスとの組を含むリソース情報とから、送信元ホストのＭＡＣアドレスとＩＰアドレスとの組、送信先ネットワーク資源のＭＡＣアドレスとＩＰアドレスとの組を含んだＡＣＬ情報を作成することができる。その他ＡＣＬ情報には、送信元と送信先の通信内容や方向とその可否等を含めることができる。

「ホスト管理情報」は、転送ノードに接続されているホスト（ネットワーク資源を含む）の情報であり、制御装置にて管理、更新される。本実施形態では、ホスト管理情報は、ホストのＭＡＣアドレスと、ホストのＩＰアドレスと、ホストが接続されている転送ノードの識別子と、ホストが接続されている転送ノードのコネクタの識別子との組を含む。

「アクセス制御ルール」は、制御装置が、フローの通信可否判定に使用する情報であり、ＡＣＬ情報に基づいて更新される。例えば、フローを定義する、送信元のホスト管理情報と、送信先（ネットワーク資源）のホスト管理情報との間の通信内容や方向に対する通信可否が定義される。

「経路」は、複数の転送ノードが接続されたネットワークにおいて、制御装置によって算出される、フローの送信元ホストから送信先ネットワーク資源に到達する間に経由する、転送ノードの辿り方を示す情報である。

「コネクタアドレス」は、フローの起点となるホストが接続されている転送ノードのコネクタに対して紐づける、当該ホストのアドレスである。本実施形態では、コネクタアドレスという場合、ホストのＭＡＣアドレスとＩＰアドレスの組を含むものとする。このようなコネクタアドレスは、処理規則で対象となるフローを特定するために利用され、処理規則で指定された処理を実施する際に使用する。逆に言えば、コネクタアドレスの設定がされない限り、そのポートに接続されたホストからのフローに適合する処理規則は設定されないため、すべて破棄される。

「処理規則」は、制御装置から転送ノードに受け渡される情報であり、転送ノードが、あるフローのパケットを受け取ったとき、それをどのように処理するかを定義した情報である。転送ノードにおける処理の対象となるフローの指定は、転送ノードが行った処理規則設定要求において指定された転送ノードおよびコネクタの識別子に対し、制御装置がコネクタアドレスを紐づけて指定することで行われる。このような処理規則として、上記した転送ノードおよびコネクタの識別子やコネクタアドレス等をマッチングキー（照合規則）として設定できる非特許文献１のフローエントリを用いることもできる。

「処理規則設定要求」は、転送ノードから制御装置に受け渡される情報であり、転送ノードに到達した未認証パケットの処理を定義する処理規則を、制御装置に対して要求するために使用される。本実施形態では、処理規則設定要求に、パケットを受け取った転送ノードおよびコネクタの識別子と、パケットのヘッダ情報を切り出して含めるものとする。「処理規則設定要求」にパケットそのものを含めるものとしてもよい。

図２は、本発明の第１の実施形態の通信システムの構成を表した図である。図２を参照すると、ポリシー管理装置３２０と、制御装置３００と、拠点Ａ〜拠点Ｃを接続した構成が示されている。

それぞれの拠点Ａ〜拠点Ｃには、転送ノード群２００Ａ〜２００Ｃと、アドレス管理装置３１０Ａ〜３１０Ｃと、ネットワーク資源６００Ａ〜６００Ｃが配置されている。なお、ポリシー管理装置３２０、制御装置３００および各拠点に配置されている転送ノード等は、それぞれ別個のコンピュータシステムで構築されていてもよいし、一部または全部が同一のコンピュータシステムで実現されていてもよい。

ホスト１００Ａ〜１００Ｃは、例えば、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、アドレス管理装置とネットワーク資源と通信を行うための通信インタフェースによって実現される。また、ホスト１００Ａ〜１００Ｃは、図２に示されたように、他の拠点に移動し、転送ノードに接続可能となっている。

ホスト１００Ａ〜１００Ｃは、アドレス管理装置３１０Ａ〜３１０Ｃに対してパケットを送出し、アドレス管理装置３１０Ａ〜３１０Ｃからの応答に基づき、自身に対するアドレス振出を受け、ネットワーク設定を行う。ネットワーク設定済みのホスト１００Ａ〜１００Ｃは、ネットワーク資源６００Ａ〜６００Ｃを利用するためにアクセスパケットを送出し、ネットワーク資源６００Ａ〜６００Ｃからの応答に基づき、通信を開始する。

アドレス管理装置３１０Ａ〜３１０Ｃは、ホスト１００Ａ〜１００Ｃからの要求を受けて、アドレス振出によるホストの認証を行う装置である。アドレス管理装置３１０Ａ〜３１０Ｃは、例えば、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、ホスト１００Ａ〜１００Ｃと通信を行うための通信インタフェースによって実現される。

ネットワーク資源６００Ａ〜６００Ｃは、ホスト１００Ａ〜１００Ｃからの要求を受けて、サービス利用のための通信を開始する。ネットワーク資源６００Ａ〜６００Ｃは、例えば、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、ホスト１００Ａ〜１００Ｃと通信を行うための通信インタフェースによって実現される。なお、すべての拠点にネットワーク資源６００Ａ〜６００Ｃを配置する必要は無く、ネットワーク資源が配置されていない拠点があってもよい。

転送ノード２００Ａ〜２００Ｃは、ホスト、アドレス管理装置３１０Ａ〜３１０Ｃおよびネットワーク資源６００Ａ〜６００Ｃが送出したパケットを受信すると、当該パケットに適合する照合規則（マッチングルール）を持つ処理規則に従ってパケットを処理する装置である。このような転送ノード２００Ａ〜２００Ｃは、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、制御装置３００と通信を行うための通信インタフェースと、ホスト１００Ａ〜１００Ｃとアドレス管理装置３１０Ａ〜３１０Ｃとネットワーク資源６００Ａ〜６００Ｃとの間の通信内容を取得するための通信インタフェースとを含んだ構成によって実現される。

制御装置３００は、転送ノード２００Ａ〜２００Ｃからの処理規則設定要求に応じて、処理規則を作成、送信する装置であり、例えば、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、ポリシー管理装置３２０と転送ノード２００Ａ〜２００Ｃと通信を行うための通信インタフェースによって実現される。

具体的には、制御装置３００は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に記載されたパケットの情報が、ホストがアドレス管理装置を探索するパケット（ＤＨＣＰ Ｄｉｓｃｏｖｅｒ）である場合、処理規則設定要求に記載された転送ノードおよびコネクタに対し、正式なコネクタアドレスが決まるまでの仮のコネクタアドレス（暫定コネクタアドレス）を設定し、アクセス制御ルールの確認と経路計算を行う。さらに、制御装置３００は、前記アクセス制御ルールの確認と経路計算の結果に基づいて、ホストから当該アドレス管理装置への当該パケットによる通信を許可する処理規則（第１の処理規則の１）を生成し、前記計算した経路上の転送ノードに受け渡す。

また、制御装置３００は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に記載されたパケットの情報が、アドレス管理装置がホストにアドレス振出を案内するパケット（ＤＨＣＰ Ｏｆｆｅｒ）である場合、アクセス制御ルールの確認と経路計算を行う。さらに、制御装置３００は、前記アクセス制御ルールの確認と経路計算の結果に基づいて、当該アドレス管理装置からホストへの当該パケットによる通信と、ホストからアドレス管理装置へのアドレス振出を要求するパケット（ＤＨＣＰ Ｒｅｑｕｅｓｔ）による通信を許可する処理規則（第１の処理規則の２、３）を生成し、前記計算した経路上の転送ノードに受け渡す。

また、制御装置３００は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に記載されたパケットの情報が、アドレス管理装置がホストにアドレス振出を実施するパケット（ＤＨＣＰ Ａｃｋ）である場合、前記暫定コネクタアドレスを削除し、振り出されたアドレスを取得して、コネクタアドレスを設定し、ホスト接続通知を作成してポリシー管理装置３２０に送信する。ポリシー管理装置３２０からＡＣＬ情報を受け取ると、制御装置３００は、アクセス制御ルールを更新し、アクセス制御ルールの確認と経路計算を行い、当該アドレス管理装置からホストへの当該パケットによる通信を許可する処理規則（第１の処理規則の４）を生成し、前記計算した経路上の転送ノードに受け渡す。

さらに、制御装置３００は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に記載されたパケットの情報が、ホスト１００Ａ〜１００Ｃのいずれかがネットワーク資源６００Ａ〜６００Ｃにアクセスするパケットである場合、アクセス制御ルールの確認と経路計算を行う。さらに、制御装置３００は、前記アクセス制御ルールの確認と経路計算の結果に基づいて、該当ホストからネットワーク資源６００Ａ〜６００Ｃへのパケットによる通信を許可する処理規則（第２の処理規則）を生成し、前記計算した経路上の転送ノードに受け渡す。

ポリシー管理装置３２０は、制御装置３００から受け渡されたホスト接続通知について、通知に記載された認証済みホストの情報を用いてリソース情報記憶部３２２に対する更新を行い、アクセス制御ポリシー記憶部３２１のアクセス制御ポリシー（本実施形態では「認証済みホストのみネットワーク資源との通信を許可」というポリシーが格納されている）に基づいてＡＣＬ情報を生成し、制御装置３００に受け渡す。

ポリシー管理装置３２０は、制御装置３００からホスト接続通知に応じて当該ホストに適用するＡＣＬ情報を返す装置であり、具体的には、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、制御装置３００と通信を行うための通信インタフェースと、ＲＡＭやハードディスク等の記憶媒体によって実現される。

上記したホスト、アドレス管理装置、ネットワーク資源は、一般的なネットワークにおいてホスト、アドレス管理装置、ネットワーク資源と呼ばれている機器と同じものを用いることができる。また、転送ノードおよび制御装置としては、非特許文献１、２のオープンフローのオープンフロースイッチと、オープンフローコントローラと同等の構成のものを用いることができる。

図３は、上記制御装置の構成例を表したブロック図である。図３を参照すると、経路計算部３０１と、処理規則設定要求処理部３０２と、ホスト接続通知部３０３と、アクセス制御ルールを記憶するアクセス制御ルール記憶部３０４と、転送ノードによって構成されたネットワークトポロジーを記憶するネットワークトポロジー記憶部３０５と、コネクタアドレス振出規則を記憶するコネクタアドレス振出規則記憶部３０６と、ホスト管理情報を記憶するホスト管理情報記憶部３０７と、を備え、セキュアチャネル３０８を介して転送ノードと通信する構成が示されている。

経路計算部３０１は、ネットワークトポロジー記憶部３０５に記憶されたネットワークトポロジーと、アクセス制御ルール記憶部３０４に記憶されたアクセス制御ルールとを参照して、ホストとアドレス管理装置、あるいは、ホストとネットワーク資源との間の経路を計算する。

処理規則設定要求処理部３０２は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に基づいて、経路計算部３０１やホスト接続通知部３０３に必要な指示を行い、その結果に基づいて処理規則を生成し、転送ノードに設定する。また、処理規則設定要求処理部３０２は、転送ノード２００Ａ〜２００Ｃから受信した処理規則設定要求に記載されたパケットの情報が、ホストがアドレス管理装置を探索するパケット（ＤＨＣＰ Ｄｉｓｃｏｖｅｒ）である場合、仮のコネクタアドレス（暫定コネクタアドレス）を設定する。また、処理規則設定要求処理部３０２は、仮のコネクタアドレス（暫定コネクタアドレス）を設定した場合や、正規のコネクタアドレスを受信した場合、ホスト管理情報記憶部３０７に記憶されているホスト管理情報を更新する。

ホスト接続通知部３０３は、正規のコネクタアドレスを受信したことを契機に、ポリシー管理装置３２０に対し、ホスト管理情報を含んだホスト接続通知を行う。ホスト接続通知部３０３は、ポリシー管理装置３２０からＡＣＬ情報を受信すると、その内容に基づいて、アクセス制御ルール記憶部３０４に記憶されたアクセス制御ルールを更新する。

なお、上記した制御装置３００の経路計算部３０１、処理規則設定要求処理部３０２やホスト接続通知部３０３は、制御装置を構成するコンピュータに、そのハードウェアを用いて、上記した制御装置３００の各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について、図面を参照して詳細に説明する。以下、本実施形態では、図４のシーケンス図を参照して、拠点等Ａにおいて、ホスト１００Ａが接続され、ネットワーク資源６００Ａとの通信を開始するまでの処理について説明する。

（１）ステップＳ００１
まず、制御装置３００において、コネクタアドレスの振出規則が設定される。コネクタアドレスの振出規則は、ステップＳ００４で、ＩＰアドレスが未振出である、ＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットの処理規則を生成するにあたり、暫定コネクタアドレスを振り出す際に使用される。

また、制御装置３００において、アクセス制御ルールが登録される。ここでのアクセス制御ルールは、ステップＳ００４で、ＩＰアドレスが未振出であるＤＨＣＰ Ｄｉｓｃｏｖｅｒの処理規則を生成するにあたり、どの転送ノードおよびコネクタに接続されたホストを、どのアドレス管理装置と通信させるかを決定する目的に使用される。

例えば、図２の拠点等Ａの転送ノード２００Ａに接続されたホスト１００Ａについては、アドレス管理装置３１０Ａと通信させるアクセス制御ルールが設定される。

（２）ステップＳ００２
次に、ホスト１００Ａは、ＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットを作成・送出する。

（３）ステップＳ００３
次に、転送ノード２００Ａは、ステップＳ００２で送出されたパケットをフックし、当該パケットと、パケットが到達した転送ノードおよびコネクタの識別子から、処理規則設定要求を作成し、制御装置３００に受け渡す。

（４）ステップＳ００４
次に、制御装置３００は、ステップＳ００３で受け渡された処理規則設定要求に基づき、アクセス制御ルールを確認し、当該パケットの送信元のホストと、当該ホストに対応付けられたアドレス管理装置間の経路計算を行って、処理規則（第１の処理規則の１）を作成する。

この際、ステップＳ００３で受け渡された処理規則設定要求は、ＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットの処理規則設定要求であることから、制御装置３００は、暫定コネクタアドレスが必要と判断し、ステップＳ００１で設定したコネクタアドレスの振出規則を参照して暫定コネクタアドレスを振り出す。

つまり、当該処理規則設定要求には、ホスト１００ＡのＩＰアドレスは記載されておらず、ステップＳ０２４でホスト１００Ａに設定されるＩＰアドレスも不明であるため、制御装置３００の生成する処理規則においてフローの定義に必要な送信元ＩＰアドレスとして、ステップＳ０２４で設定されるＩＰアドレスとは別に、便宜上フローの識別に使用する仮のアドレスを暫定コネクタアドレスとして設定する。

ステップＳ００１において転送ノード２００Ａに接続されたホスト１００Ａとアドレス管理装置３１０Ａとの間の通信を許可するアクセス制御ルールが設定されているため、経路計算では、ホスト１００Ａが接続されている転送ノードおよびコネクタと、アドレス管理装置３１０Ａが接続されている転送ノードおよびコネクタとを繋ぐ、転送ノードおよびコネクタを特定する。

また、この処理規則（第１の処理規則の１）には、ＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットのみを許可する照合規則が設定される。

以上により、転送ノードが、ホスト１００Ａの送出したパケットを識別し、アドレス管理装置まで転送することができるようになる。また、ステップＳ００７においてアドレス管理装置３１０Ａによるホスト１００Ａの認証結果として、アドレス振出が実施されなかった場合、以降の通信を拒否することも可能となる。

（５）ステップＳ００５
次に、制御装置３００は、ステップＳ００４で作成した処理規則を転送ノード２００Ａに受け渡す。

（６）ステップＳ００６
次に、転送ノード２００Ａは、ステップＳ００５で受け渡された処理規則にしたがって、ステップＳ００３でフックしたパケットを、アドレス管理装置３１０Ａに転送する。

（７）ステップＳ００７
次に、アドレス管理装置３１０Ａは、ステップＳ００２で送出され、ステップＳ００６で転送されたＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットを受け取り、その内容に基づいて、ホスト１００Ａに対してＩＰアドレスを振り出し、ＤＨＣＰ Ｏｆｆｅｒパケットを作成する。

もし、ホスト１００Ａが、アドレスを振り出すべきではないホストの場合、アドレス管理装置３１０Ａは、これを破棄する。

（８）ステップＳ００８
次に、アドレス管理装置３１０Ａは、ステップＳ００７で作成したＤＨＣＰ Ｏｆｆｅｒパケットを送出する。

（９）ステップＳ００９
次に、転送ノード２００Ａは、ステップＳ００８で送出されたパケットをフックし、当該パケットと、パケットが到達した転送ノードおよびコネクタの識別子から、処理規則設定要求を生成し、制御装置３００に受け渡す。

（１０）ステップＳ０１０
次に、制御装置３００は、ステップＳ００９で受け渡された処理規則設定要求に基づき、アクセス制御ルールを確認し、経路計算を行って、処理規則（第１の処理規則の２、３）を作成する。

この際、ステップＳ００９で受け渡された処理規則設定要求は、ＤＨＣＰ Ｏｆｆｅｒパケットの処理規則設定要求であることから、制御装置３００は、ステップＳ００７においてアドレス管理装置による認証結果としてアドレス振出が実施されたと判断し、アドレス管理装置３１０Ａからホスト１００ＡへのＤＨＣＰ Ｏｆｆｅｒパケットと、ホスト１００Ａからアドレス管理装置３１０ＡへのＤＨＣＰ Ｒｅｑｕｅｓｔパケットの通信を許可する処理規則（第１の処理規則の２、３）を作成する。

ここで、ＤＨＣＰ Ａｃｋを許可する処理規則（第１の処理規則の４）を作成しないのは、ステップＳ０１６において、ＤＨＣＰ Ａｃｋパケットの処理規則設定要求を発生させることで、ステップＳ０１７において、ＤＨＣＰ Ａｃｋパケットからホスト１００Ａに振り出された本物のＩＰアドレスを取得するためである。例えば、転送ノード側にＤＨＣＰ Ａｃｋパケットの自動通知機能が備えられている場合には、ここで、ＤＨＣＰ Ａｃｋを許可する処理規則を作成し、受け渡してしまってもよい。

（１１）ステップＳ０１１
次に、制御装置３００は、ステップＳ０１０で作成した処理規則を転送ノード２００Ａに受け渡す。

（１２）ステップＳ０１２
次に、転送ノード２００Ａは、ステップＳ０１１で受け渡された処理規則にしたがって、ステップＳ００９でフックしたパケットを、ホスト１００Ａに転送する。

（１３）ステップＳ０１３
次に、ホスト１００Ａは、ステップＳ００８で送出され、ステップＳ０１２で転送されたＤＨＣＰ Ｏｆｆｅｒパケットを受け取り、その内容に基づいて、ＤＨＣＰ Ｒｅｑｕｅｓｔパケットを作成・送出する。

（１４）ステップＳ０１４
次に、アドレス管理装置３１０Ａは、ステップＳ０１３で送出されたＤＨＣＰ Ｒｅｑｕｅｓｔパケットを受け取り、その内容に基づいて、ＤＨＣＰ Ａｃｋパケットを作成する。

（１５）ステップＳ０１５
次に、アドレス管理装置３１０Ａは、ステップＳ０１４で作成したＤＨＣＰ Ａｃｋパケットを送出する。

（１６）ステップＳ０１６
次に、転送ノード２００Ａは、ステップＳ０１５で送出されたパケットをフックし、当該パケットと、パケットが到達した転送ノードおよびコネクタの識別子から、処理規則設定要求を生成し、制御装置３００に受け渡す。

（１７）ステップＳ０１７
ステップＳ０１６で受け渡された処理規則設定要求は、ＤＨＣＰ Ａｃｋパケットの処理規則設定要求であることから、制御装置３００は、本物のコネクタアドレスの振出に必要な、ホスト１００Ａの本物のＩＰアドレスが取得できると判断し、ホスト管理情報記憶部から、当該ホストのホスト管理情報として登録されていた暫定コネクタアドレスを削除し、ＤＨＣＰ Ａｃｋパケットから取得した本物のＩＰアドレスに更新する。

次に、制御装置３００は、ホスト接続通知を作成する。上記ホスト管理情報の更新と同時に、この本物のコネクタアドレスで定義されたフローに関するアクセス制御ルールの更新を実施するため、制御装置３００は、認証済みホスト１００Ａのホスト管理情報をポリシー管理装置３２０に伝達する目的で、ホスト接続通知を作成する。

（１８）ステップＳ０１８
次に、制御装置３００は、ステップＳ０１７で作成されたホスト接続通知を、ポリシー管理装置３２０に受け渡す。

（１９）ステップＳ０１９
次に、ポリシー管理装置３２０は、ステップＳ０１８で受け渡されたホスト接続通知を受け取り、その内容に基づいてリソース情報記憶部を更新し、その更新結果とポリシー記憶部に格納されたアクセス制御ポリシー（「認証済みホストのみネットワーク資源との通信を許可」というポリシー）に基づいて、ＡＣＬ情報を作成する。

このＡＣＬ情報には、ステップＳ０１７で作成されたホスト接続通知に記載された認証済みホスト１００Ａに関するアクセス制御内容が記載されている。

（２０）ステップＳ０２０
次に、ポリシー管理装置３２０は、ステップＳ０１９で作成されたＡＣＬ情報を、制御装置３００に受け渡す。

（２１）ステップＳ０２１
次に、制御装置３００は、ステップＳ０２０で受け渡されたＡＣＬ情報に基づいて、アクセス制御ルールを更新する。さらに、制御装置３００は、ステップＳ０１６で受け渡された処理規則設定要求に基づいて、更新後のアクセス制御ルールに基づいて経路計算を行って、処理規則（第２の処理規則）を作成する。

この際、更新後のアクセス制御ルールには、認証済みホスト１００Ａに許可をする通信として、アドレス管理装置３１０Ａとの間のＤＨＣＰのフローや、ネットワーク資源６００Ａなどとの間のフローの定義が含まれている。

従って、上記ステップＳ０２１で作成する処理規則には、ステップＳ０１６で受け渡されたＤＨＣＰ Ａｃｋに関する処理規則設定要求に対する回答として、アドレス管理装置３１０Ａとの間のＤＨＣＰに関する処理規則のほか、その他のネットワーク資源に関する処理規則を含めることができる。しかしながら、その他のネットワーク資源に関する処理規則は、すべてを生成して受け渡すと、その量が莫大になる場合もあり、制御装置と転送ノードの間の通信量や転送ノードの処理能力から無駄が多い。そこで、本実施形態では、ネットワーク資源に対するアクセスパケットが送出された後に、適宜、処理規則設定要求を受け取ることで、必要最低限の処理規則を作成し、受け渡すようにしている。

（２２）ステップＳ０２２
次に、制御装置３００は、ステップＳ０２１で作成した処理規則を転送ノード２００Ａに受け渡す。

（２３）ステップＳ０２３
次に、転送ノード２００Ａは、ステップＳ０２２で受け渡された処理規則にしたがって、ステップＳ０１６でフックしたパケットを、ホスト１００Ａに転送する。

（２４）ステップＳ０２４
次に、ホスト１００Ａは、ステップＳ０１５で送出され、ステップＳ０２２で転送されたＤＨＣＰ Ａｃｋパケットを受け取り、その内容に基づいて、自身のネットワーク設定を行う。

（２５）ステップＳ０２５
次に、ホスト１００Ａは、例えば、ネットワーク資源６００Ａを利用する操作を行う。

（２６）ステップＳ０２６
次に、ホスト１００Ａは、ステップＳ０２５で行った操作により、ネットワーク資源６００Ａに対するアクセスパケットを送出する。

（２７）ステップＳ０２７
次に、転送ノード２００Ａは、ステップＳ０２６で送出されたパケットをフックし、当該パケットと、パケットが到達した転送ノードおよびコネクタの識別子から、処理規則設定要求を生成し、制御装置３００に受け渡す。

（２８）ステップＳ０２８
次に、制御装置３００は、ステップＳ０２７で受け渡された処理規則設定要求に基づき、アクセス制御ルールを確認し、経路計算を行って、処理規則を作成する。

（２９）ステップＳ０２９
次に、制御装置３００は、ステップＳ０２８で作成した処理規則を転送ノード２００Ａに受け渡す。

以上によって、ホスト１００Ａとネットワーク資源６００Ａとの間の通信が開始される。

以上のように、本実施形態によれば、一般的なネットワークにおいてホスト、アドレス管理装置、ネットワーク資源と呼ばれている機器を用いて、非特許文献１、２のオープンフローのような制御装置が転送ノードを集中制御する通信システムを構成することが可能となる。

また、本実施形態では、アドレス管理装置にて、認証処理を行うようにしているため、認証済みホストからのフローのみを許可するアクセス制御を行うことが可能となっている。

以上、本発明の好適な実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、図２のネットワーク構成は、本発明の理解を助けるために簡素化したものであり、種々の変形態様を採用することができる。また、上記した第１の実施形態では、ある拠点Ａの中でのフローを制御する例を挙げて説明したが、拠点Ａに位置するホスト１００Ａに、拠点Ｂや拠点Ｃのネットワーク資源６００Ｂ、６００Ｃにアクセスを許可する処理規則を設定することで、拠点・部門を跨ったアクセス制御も行うことが可能である。

また、上記した実施形態では、転送ノード２００Ａ〜２００Ｃは、未知のパケットを受信する都度、制御装置３００に対し、処理規則設定要求を行うものとして説明したが、例えば、制御装置３００が複数の処理規則をまとめて設定するようにしたり、特定のＭＡＣアドレスを持つホストからのパケットを処理するための処理規則を転送ノードに予め設定しておいてもよい。このようにすることで、制御装置３００の負荷を低減することが可能となる。例えば、第１の実施形態の第１の処理規則の１〜４はまとめて設定することができる。この場合において、ＤＨＣＰ Ａｃｋパケットにより取得していたＩＰアドレスは、前記まとめて設定する処理規則に、ＤＨＣＰ Ａｃｋパケットの受信時に制御装置に対しＩＰアドレスを通知またはＤＨＣＰ Ａｃｋパケットを転送する処理規則を追加しておけばよい。

また、上記した実施形態では、転送ノード２００Ａ〜２００Ｃは、未知のパケットを受信する都度、制御装置３００に対し、処理規則設定要求を行うものとして説明したが、未知のパケットをデフォルトで破棄するように動作させ、予め定められた情報が埋め込まれている等を持つパケットについてのみ処理規則設定要求を行うようにしてもよい。

また、上記した実施形態では、ＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットを送信してきたホストがアドレスを振り出すべきではないホストの場合、アドレス管理装置３１０ＡがＤＨＣＰ Ｄｉｓｃｏｖｅｒパケットを破棄することにより、当該ホストからの通信を遮断するものとして説明したが、アドレス管理装置３１０Ａからの通知に基づき制御装置３００が、転送ノード２００Ａ〜２００Ｃ（または、転送ノード２００Ａ〜２００Ｃのうち当該ホストが接続されている転送ノード）に、当該ホストからのパケットを破棄する処理規則（第３の処理規則）を設定するようにしてもよい。このようにすれば、不正なアクセスを試みるホストから転送ノード２００Ａ〜２００Ｃがパケットを受信することによる処理規則設定要求を抑止することができる。

本発明は、企業などにおいて、複数の拠点や部門・組織毎に管理者を分担する形でネットワーク管理が行われている環境に好適に適用可能である。特に、現に構築されているネットワーク構成、ネットワーク管理体制、アドレス管理装置等の認証装置の処理手順に一切変更を加えずに、フローベースのきめ細かい集中制御を行う通信システムを実現することができる。
なお、前述の特許文献及び非特許文献の開示を、本書に引用をもって繰り込むものとする。
本発明の全開示（請求の範囲および図面を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲および図面の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

１００Ａ〜１００Ｃ ホスト
２００Ａ〜２００Ｃ 転送ノード
３００ 制御装置
３０１ 経路計算部
３０２ 処理規則設定要求処理部
３０３ ホスト接続通知部
３０４ アクセス制御ルール記憶部
３０５ ネットワークトポロジー記憶部
３０６ コネクタアドレス振出規則記憶部
３０７ ホスト管理情報記憶部
３０８ セキュアチャネル
３１０Ａ〜３１０Ｃ アドレス管理装置
３２０ ポリシー管理装置
３２１ アクセス制御ポリシー記憶部
３２２ リソース情報記憶部
６００Ａ〜６００Ｃ ネットワーク資源

Claims (10)

1. 処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、
   ホストに対しアドレスを付与するアドレス管理装置と、
   前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定した後、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する制御装置と、
   を含む通信システム。
2. 前記制御装置は、前記第２の処理規則として、前記アドレス管理装置から前記ホストに付与されたアドレスを用いて処理対象パケットを特定する照合規則を持つ処理規則を生成する請求項１の通信システム。
3. 前記制御装置は、前記ホストと前記アドレス管理装置間の転送ノードから受信した処理規則設定要求から、前記アドレス管理装置から付与されたアドレスを取得する請求項１または２の通信システム。
4. 前記制御装置は、前記ホストに付与されたアクセス権限に関する情報を参照して、前記第２の処理規則を生成する請求項１から３いずれか一の通信システム。
5. さらに、前記ホストに付与されたアクセス権限に関する情報を提供するポリシー管理装置を含む請求項１から４いずれか一の通信システム。
6. 前記アドレス管理装置が複数配置され、
   前記制御装置は、前記複数のアドレス管理装置の中から前記ホストに対応付けられたアドレス管理装置を選択する請求項１から５いずれか一の通信システム。
7. 前記制御装置は、前記アドレス管理装置からアドレスが付与されなかったホストに接続された転送ノードに、前記ホストからのパケットを破棄する第３の処理規則を設定する請求項１から６いずれか一の通信システム。
8. 処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続され、
   前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定した後、前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する制御装置。
9. 処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続された制御装置が、
   前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定するステップと、
   前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定するステップと、を含む通信方法。
10. 処理対象パケットを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、ホストに対しアドレスを付与するアドレス管理装置と、接続された制御装置に実行させるプログラムであって、
    前記ホストと接続した前記転送ノードの接続ポートに、前記ホストの仮のアドレスを付与した後、前記ホストと前記アドレス管理装置間の転送ノードに、前記仮のアドレスが付与された前記ホストと前記アドレス管理装置間の通信を実現する第１の処理規則を設定する処理と、
    前記アドレス管理装置により付与された前記ホストの真のアドレスを、前記ホストと前記アドレス管理装置間の通信から取得し、前記アドレス管理装置により前記真のアドレスが付与されたホストと所定のネットワーク資源間の通信を実現する第２の処理規則を設定する処理と、を実行させるプログラム。

Images