JP5641455B2

JP5641455B2 - ネットワークシステム、コントローラ、及びＱｏＳ制御方法

Info

Publication number: JP5641455B2
Application number: JP2012553571A
Authority: JP
Inventors: 江原　広治; 広治江原
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2011-01-20
Filing date: 2011-12-05
Publication date: 2014-12-17
Anticipated expiration: 2031-12-05
Also published as: JPWO2012098774A1; EP2667546A4; CN103430495B; US9203776B2; WO2012098774A1; CN103430495A; US20140036673A1; EP2667546A1

Description

本発明は、ネットワークシステムに関し、特にコンピュータネットワークにおけるユーザ認証によるＱｏＳ制御方法に関する。

近年、コンピュータネットワークにおいて、アプリケーション単位やユーザ単位で通信のＱｏＳ（ＱｕａｌｉｔｙｏｆＳｅｒｖｉｃｅ）制御を行うことが可能となっている。

これは、通信経路上に存在するルータやスイッチにおいて、アプリケーション通信のフロー情報（送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号の組）を条件にアプリケーションやユーザを識別し、該当パケットを優先的に処理することで実現されている。

このような従来のコンピュータネットワークでは、ユーザを識別するためのＩＰアドレスを含むフロー情報を静的にルータやスイッチに設定しているため、モバイル端末等動的にユーザのＩＰアドレスが変更になる場合、ユーザ単位での通信のＱｏＳ制御ができないという課題があった。

この課題に対して、特許文献１（特許第３７５０６３４号公報）では、ユーザ認証によりユーザとＩＰアドレスを対応付け、割り当てられたＱｏＳ情報に従って、動的にＱｏＳポリシーの設定を行う、ユーザ単位のＱｏＳ制御方法が記載されている（特許文献１のＳ図３及び段落００３９〜００６０参照）。

しかしながら、特許文献１に記載された方法では、通信経路上のスイッチを全て認証ＱｏＳの機能を備えるスイッチで構成しなくてはならないという問題があった。通信経路の間に通常のスイッチで構成されるネットワークが存在する場合、そのネットワークではユーザに対するＱｏＳの制御を行うことができない。

特許第３７５０６３４号公報

ＯｐｅｎＦｌｏｗＳｗｉｔｃｈＳｐｅｃｉｆｉｃａｔｉｏｎ，Ｖｅｒｓｉｏｎ１．０．０（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ）ＡｎＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＤｉｆｆｅｒｅｎｔｉａｔｅｄＳｅｒｖｉｃｅｓ（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ２４７５．ｔｘｔ）

従来のコンピュータネットワークでは、ユーザ認証によるＱｏＳ制御を実現しようとした場合、通信経路上のスイッチを全て認証ＱｏＳの機能を備えるスイッチで構成しなくてはならないという問題があった。通信経路の間に通常のスイッチで構成されるネットワークが存在する場合、そのネットワークではユーザに対するＱｏＳの制御を行うことができない。

本発明の目的は、上記の問題点を解決するネットワークシステム及びＱｏＳ制御方法を提供することである。

本発明に係るネットワークシステムは、複数の外部ネットワークに接続され、設定されたフローテーブルのエントリの内容に従って受信パケットを処理する機能を持つスイッチと、該スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定する機能を持つコントローラとを含む。該コントローラは、フローをクラスに分け、該スイッチからパケットの問い合わせを受けた際に、当該パケットを基に、当該パケットの送信元に対するユーザ認証を行い、ユーザ認証の結果を基にＱｏＳクラスを決定し、ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定する機能を持つ。

本発明に係るコントローラは、複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチから、パケットの問い合わせを受けた際に、当該パケットを基に、当該パケットの送信元に対するユーザ認証を行うユーザ認証部と、ユーザ認証の結果を基にＱｏＳクラスを決定するＱｏＳ制御部と、ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定する経路計算部と、該ＱｏＳポリシーを基に、該スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定するスイッチ制御部とを具備する。

本発明に係るＱｏＳ制御方法では、コントローラにおいて、複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチからパケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行う。また、ユーザ認証の結果を基にＱｏＳクラスを決定する。また、ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定する。また、決定された通信経路を基に、該スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定する。

本発明に係るプログラムは、複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチから、パケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行うステップと、ユーザ認証の結果を基にＱｏＳクラスを決定するステップと、ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定するステップと、該ＱｏＳポリシーを基に、該スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを、該スイッチのフローテーブルに設定するステップとを計算機に実行させるためのプログラムである。

本発明に係るプログラムは、上記のＱｏＳ制御方法における処理を、計算機に実行させるためのプログラムである。なお、本発明に係るプログラムは、記憶装置や記憶媒体に格納することが可能である。

これにより、通信経路の間に複数の外部ネットワークが存在する場合でも、ユーザ単位のＱｏＳ制御を行うことができる。

本発明の第１実施形態におけるネットワークシステムの構成例を示す図である。ユーザ情報記憶部に記憶されるユーザ情報の例を説明するための図である。ＱｏＳポリシー記憶部に記憶されるＱｏＳポリシー対応テーブルの例を説明するための図である。トポロジ情報記憶部に記憶されるトポロジ情報の例を説明するための図である。フローテーブル記憶部に記憶されるフローテーブルの例を説明するための図である。第１実施形態におけるＱｏＳ制御処理を説明するためのフローチャートである。本発明の第２実施形態におけるネットワークシステムの構成例を示す図である。第２実施形態におけるＱｏＳ制御処理を説明するためのフローチャートである。

＜前提＞
本発明に係るネットワークシステムでは、外部のコントローラ（コントロールプレーン）からスイッチや端末等（ユーザプレーン）を制御するＣＵ（Ｃ：コントロールプレーン／Ｕ：ユーザプレーン）分離型ネットワークを対象としている。ＣＵ分離型ネットワークの一例として、コントローラからスイッチを制御してネットワークの経路制御を行うオープンフロー（ＯｐｅｎＦｌｏｗ）技術を利用したオープンフローネットワークが挙げられる。なお、オープンフローネットワークは一例に過ぎない。

［オープンフローネットワークの説明］
オープンフローネットワークでは、ＯＦＣ（ＯｐｅｎＦｌｏｗＣｏｎｔｒｏｌｌｅｒ）等のコントローラが、ＯＦＳ（ＯｐｅｎＦｌｏｗＳｗｉｔｃｈ）等のスイッチのフローテーブルを操作することによりスイッチの挙動を制御する。コントローラとスイッチの間は、コントローラがオープンフロープロトコルに準拠した制御メッセージを用いてスイッチを制御するためのセキュアチャネル（ＳｅｃｕｒｅＣｈａｎｎｅｌ）により接続されている。

オープンフローネットワークにおけるスイッチとは、オープンフローネットワークを形成し、コントローラの制御下にあるエッジスイッチ及びコアスイッチのことである。オープンフローネットワークにおける入力側エッジスイッチでのパケットの受信から出力側エッジスイッチでの送信まで同じ経路を流れる一連のパケットをフロー（Ｆｌｏｗ）と呼ぶ。パケットは、フレームと読み替えても良い。

フローテーブルとは、所定のマッチ条件（ルール）に適合するパケット（通信データ）に対して行うべき所定の処理（アクション）を定義したフローエントリ（Ｆｌｏｗｅｎｔｒｙ）が登録されたテーブルである。

フローエントリのルールは、パケットの各プロトコル階層のヘッダ領域に含まれる宛先アドレス（ＤｅｓｔｉｎａｔｉｏｎＡｄｄｒｅｓｓ）、送信元アドレス（ＳｏｕｒｃｅＡｄｄｒｅｓｓ）、宛先ポート（ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ）、送信元ポート（ＳｏｕｒｃｅＰｏｒｔ）のいずれか又は全てを用いた様々な組み合わせにより定義され、区別可能である。なお、上記のアドレスには、ＭＡＣアドレス（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌＡｄｄｒｅｓｓ）やＩＰアドレス（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＡｄｄｒｅｓｓ）を含むものとする。また、上記に加えて、入口ポート（ＩｎｇｒｅｓｓＰｏｒｔ）の情報も、フローエントリのルールとして使用可能である。

フローエントリのアクションは、「特定のポートに出力する」、「廃棄する」、「ヘッダを書き換える」といった動作を示す。例えば、スイッチは、フローエントリのアクションに出力ポートの識別情報（出力ポート番号等）が示されていれば、これに該当するポートにパケットを出力し、出力ポートの識別情報が示されていなければ、パケットを破棄する。或いは、スイッチは、フローエントリのアクションにヘッダ情報が示されていれば、当該ヘッダ情報に基づいてパケットのヘッダを書き換える。

オープンフローネットワークにおけるスイッチは、フローエントリのルールに適合するパケット群（パケット系列）に対して、フローエントリのアクションを実行する。

オープンフロー技術の詳細については、非特許文献１に記載されている。

なお、スイッチの送信ポートには、複数の送信キューがある。スイッチの送信ポートは、キューの種別により最小レート、最大レート、優先度等転送時の振る舞いが決定され、ＱｏＳ制御を行うために利用される。

また、フローテーブルのエントリには、パケットのヘッダ情報（送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ＴＣＰ／ＵＤＰ送信元ポート番号、ＴＣＰ／ＵＤＰ宛先ポート番号）と比較するためのマッチ条件が定義されており、当該マッチ条件に合致した場合にそのアクションとして送信ポートと送信キューを決定するために利用される。

また、フローをクラスに分け、それらを優先度付けしてＱｏＳを制御する方法として、非特許文献２で示される「ＤｉｆｆＳｅｒｖ」（ＤｉｆｆｅｒｅｎｔｉａｔｅｄＳｅｒｖｉｃｅｓ）等が知られている。

＜第１実施形態＞
以下に、本発明の第１実施形態について添付図面を参照して説明する。

［全体構成］
図１に示すように、本発明に係るネットワークシステムは、ユーザ端末１０と、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）と、コントローラ３０と、サーバ４０とを含む。

ユーザ端末１０は、ユーザが利用する入出力装置であり、パケットを生成し、サーバ４０宛に送信する。

スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、受信したパケットを、自身のフローテーブルに登録されたエントリに従って転送する。スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、ネットワークを介して接続されている。このとき、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、受信したパケットに該当するエントリが無い場合、当該受信パケットをファーストパケット（未登録の新規のパケット、未知のパケット）としてコントローラ３０に通知し、当該受信パケットについてのエントリ登録を要求する。

ここでは、スイッチ２０−１とスイッチ２０−２との間に、ネットワークＡ及びネットワークＢという複数の外部ネットワークが存在する。

コントローラ３０は、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）のいずれかからのファーストパケットの受信通知に応じて経路を計算し、当該経路に関連するスイッチのフローテーブルにエントリの登録を行う。

サーバ４０は、ユーザ端末１０へネットワーク経由でサービスを提供するサーバであり、パケットを受信する。

［ハードウェアの例示］
ユーザ端末１０、コントローラ３０、及びサーバ４０の例として、ＰＣ（パソコン）、アプライアンス（ａｐｐｌｉａｎｃｅ）、シンクライアント端末／サーバ、ワークステーション、メインフレーム、スーパーコンピュータ等の計算機を想定している。また、ユーザ端末１０、コントローラ３０、及びサーバ４０は、計算機に搭載される拡張ボードや、物理マシン上に構築された仮想マシン（ＶＭ：ＶｉｒｔｕａｌＭａｃｈｉｎｅ）でも良い。

なお、ユーザ端末１０は、携帯電話機、スマートフォン、スマートブック、カーナビ（カーナビゲーションシステム）、携帯型ゲーム機、家庭用ゲーム機、携帯型音楽プレーヤー、ハンディターミナル、ガジェット（電子機器）、双方向テレビ、デジタルチューナー、デジタルレコーダー、情報家電（ｉｎｆｏｒｍａｔｉｏｎｈｏｍｅａｐｐｌｉａｎｃｅ）、ＯＡ（ＯｆｆｉｃｅＡｕｔｏｍａｔｉｏｎ）機器等でも良い。また、ユーザ端末１０は、車両や船舶、航空機等の移動体に搭載されていても良い。

スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の例として、ネットワークスイッチ（ｎｅｔｗｏｒｋｓｗｉｔｃｈ）、ルータ（ｒｏｕｔｅｒ）、プロキシ（ｐｒｏｘｙ）、ゲートウェイ（ｇａｔｅｗａｙ）、ファイアウォール（ｆｉｒｅｗａｌｌ）、ロードバランサ（ｌｏａｄｂａｌａｎｃｅｒ：負荷分散装置）、帯域制御装置（ｐａｃｋｅｔｓｈａｐｅｒ）、セキュリティ監視制御装置（ＳＣＡＤＡ：ＳｕｐｅｒｖｉｓｏｒｙＣｏｎｔｒｏｌＡｎｄＤａｔａＡｃｑｕｉｓｉｔｉｏｎ）、ゲートキーパー（ｇａｔｅｋｅｅｐｅｒ）、基地局（ｂａｓｅｓｔａｔｉｏｎ）、アクセスポイント（ＡＰ：ＡｃｃｅｓｓＰｏｉｎｔ）、通信衛星（ＣＳ：ＣｏｍｍｕｎｉｃａｔｉｏｎＳａｔｅｌｌｉｔｅ）、或いは、複数の通信ポートを有する計算機等が考えられる。また、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）は、仮想スイッチでも良い。

図示しないが、ユーザ端末１０、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）、コントローラ３０、及びサーバ４０の各々は、プログラムに基づいて駆動し所定の処理を実行するプロセッサと、当該プログラムや各種データを記憶するメモリと、ネットワークに接続するための通信用インターフェースによって実現される。

上記のプロセッサの例として、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ、或いは、専用の機能を有する半導体集積回路（ＩＣ：ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）等が考えられる。

上記のメモリの例として、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やフラッシュメモリ等の半導体記憶装置、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）やＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の補助記憶装置、又は、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）等のリムーバブルディスクや、ＳＤメモリカード（ＳｅｃｕｒｅＤｉｇｉｔａｌｍｅｍｏｒｙｃａｒｄ）等の記憶媒体（メディア）等が考えられる。

なお、上記のプロセッサ及び上記のメモリは、一体化していても良い。例えば、近年では、マイコン等の１チップ化が進んでいる。従って、電子機器等に搭載される１チップマイコンが、プロセッサ及びメモリを備えている事例が考えられる。

上記の通信用インターフェースの例として、ネットワーク通信に対応した基板（マザーボード、Ｉ／Ｏボード）やチップ等の半導体集積回路、ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）等のネットワークアダプタや同様の拡張カード、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。

また、ネットワークの例として、インターネット、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、無線ＬＡＮ（ＷｉｒｅｌｅｓｓＬＡＮ）、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、ＷｉＭＡＸ（ＩＥＥＥ８０２．１６ａ）、３Ｇ（３ｒｄＧｅｎｅｒａｔｉｏｎ）、専用線（ｌｅａｓｅｌｉｎｅ）、ＩｒＤＡ（ＩｎｆｒａｒｅｄＤａｔａＡｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線、データバス等が考えられる。

ユーザ端末１０、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）、コントローラ３０、及びサーバ４０の各々の内部の構成要素は、モジュール（ｍｏｄｕｌｅ）、コンポーネント（ｃｏｍｐｏｎｅｎｔ）、或いは専用デバイス、又はこれらの起動（呼出）プログラムでも良い。

但し、実際には、これらの例に限定されない。

［コントローラの詳細構成］
コントローラ３０は、ユーザ情報記憶部３１と、ＱｏＳポリシー記憶部３２と、トポロジ情報記憶部３３と、フローテーブル記憶部３４と、ユーザ認証部３５と、ＱｏＳ制御部３６と、経路計算部（経路制御部）３７と、フローテーブル生成部３８と、スイッチ制御部３９とを備えている。

ユーザ情報記憶部３１は、ユーザ情報を予め（事前に）記憶している。ユーザ情報は、図２に示すように、「ユーザ名」、「パスワード」、「ＱｏＳポリシー」等を含む。なお、「ユーザ名」及び「パスワード」は、認証情報の一例に過ぎない。

ＱｏＳポリシー記憶部３２は、ＱｏＳポリシー対応テーブルを記憶する。ＱｏＳポリシー対応テーブルは、図３に示すように、認証されたユーザの「ＩＰアドレス」と「ＱｏＳポリシー」の対応付けで表される。

トポロジ情報記憶部３３は、トポロジ情報（ネットワークの接続状態）を予め記憶している。トポロジ情報は、図４に示すように、リンクの両端に接続されている２つのスイッチの「スイッチ名」と「ポート名」の組と、そのリンクの「帯域」で表される。

フローテーブル記憶部３４は、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）に登録したフローテーブル及びそのエントリを記憶する。フローテーブルのエントリは、図５に示すように、マッチ条件となるパケットのヘッダ情報（「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「ＴＣＰ／ＵＤＰ送信元ポート番号」、「ＴＣＰ／ＵＤＰ宛先ポート番号」、「ＤＳＣＰ値」）と、アクションとなる「送信ポート」と、その「送信キュー」と、書き換える「ＤＳＣＰ値」で表される。

一般的に、「ＤＳＣＰ値」（ＤｉｆｆｅｒｅｎｔｉａｔｅｄＳｅｒｖｉｃｅｓＣｏｄｅＰｏｉｎｔ）は、「ＩＰＰｒｉｏｒｉｔｙ」及び「ＴｙｐｅｏｆＳｅｒｖｉｃｅ」フィールドの組み合わせである。

ユーザ認証部３５は、ユーザ端末１０の接続時に認証情報（ユーザ名とパスワード等）を要求し、その応答結果からユーザ情報記憶部３１を検索してＱｏＳポリシーを割り当てる。

ＱｏＳ制御部３６は、ユーザ認証部３５で割り当てられたＱｏＳポリシーとユーザ端末１０のＩＰアドレスとを対応付け、ＱｏＳポリシー記憶部３２に記憶する。

経路計算部３７は、トポロジ情報記憶部３３を検索し、ＱｏＳポリシーに基づいて、例えば、優先度の高いフローが契約帯域の高いＩＰネットワーク４１を経由するように経路を決定する。

フローテーブル生成部３８は、入力されたフロー、経路、ＱｏＳポリシーに対して、経路上のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）のフローテーブルを生成し、フローテーブル記憶部３４に登録状態を記憶する。

スイッチ制御部３９は、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）との通信を行い、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）からの通知の受信と、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）へのフローテーブルの登録を行う。

［本実施形態のＱｏＳ制御処理］
次に、図６を参照して、本実施形態におけるＱｏＳ制御について詳細に説明する。

（１）ステップＡ１
ユーザ端末１０は、ネットワークに接続すると、パケットを送信する。スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）は、パケットを受信した際、受信パケットのヘッダ情報をキーにフローテーブル記憶部３４を検索し、フローテーブルに該当するエントリが登録されていなければ、コントローラ３０のスイッチ制御部３９に、受信パケットを通知する。

（２）ステップＡ２
スイッチ制御部３９は、通知を受け取ると、ＱｏＳ制御部３６にパケットを渡す。ＱｏＳ制御部３６は、入力されたパケットを保持し、送信元ＩＰアドレスをキーにＱｏＳポリシー記憶部３２を検索する。

（３）ステップＡ３
ＱｏＳ制御部３６は、ＱｏＳポリシー記憶部３２の検索で、該当するＩＰアドレスが存在するか確認する。ＱｏＳ制御部３６は、ＱｏＳポリシー記憶部３２の検索で該当するＩＰアドレスが存在する場合、当該ＩＰアドレスに対応付けられたＱｏＳポリシーを特定し、保持していたパケットを経路計算部３７へ渡す。また、ＱｏＳポリシー記憶部３２の検索で該当するＩＰアドレスが存在しない場合、ユーザ未認証であるため、ユーザ認証部３５へ通知する。

（４）ステップＡ４
ユーザ認証部３５は、認証情報（ユーザ名とパスワード等）をユーザ端末１０へ要求し、その応答により認証を行い、ユーザ情報記憶部３１を検索し、ＱｏＳポリシーを決定してＱｏＳ制御部３６へ通知する。

（５）ステップＡ５
ＱｏＳ制御部３６は、入力されたＱｏＳポリシーと保持していたパケットの送信元ＩＰアドレスを対応付けてＱｏＳポリシー記憶部３２へ記録して、保持していたパケットとＱｏＳポリシーを経路計算部３７へ渡す。

（６）ステップＡ６
経路計算部３７は、入力されたパケットとＱｏＳポリシーを基にトポロジ情報記憶部３３を検索し、例えば、優先度の高いフローが契約帯域の高いＩＰネットワーク４１を経由するよう経路を決定して、パケットとＱｏＳポリシーと経路情報をフローテーブル生成部３８へ通知する。

（７）ステップＡ７
フローテーブル生成部３８は、入力されたパケットとＱｏＳポリシーと経路情報から、ネットワークＡ及びＢへの送信方向のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）のフローテーブルのヘッダ情報と送信ポートと送信キューと書き換えるＤＳＣＰ値を決定する。

また、フローテーブル生成部３８は、ＤＳＣＰ値から、ネットワークＡ及びＢから受信方向のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）のフローテーブルの送信キューを決定する。

フローテーブルの具体例は、図５の通りである。

このように、フローテーブル生成部３８は、スイッチ２０−１及びスイッチ２０−２の往復分のフローテーブルを生成し、スイッチ制御部３９へ渡す。

（８）ステップＡ８
スイッチ制御部３９は、入力されたフローテーブルを経路上のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々にそれぞれ登録する。

以降、当該経路上のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、登録されたフローテーブルのエントリに従って転送を行う。スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々は、パケットを受信した際、該当するエントリを参照し、経路に従ったポートからパケットを送信する。

ネットワークＡ及びＢを挟んだスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の間では、ＤＳＣＰ値を参照することで「ＤｉｆｆＳｅｒｖ」によるＱｏＳ制御が行われる。

［本実施形態の効果］
本実施形態では、ユーザのＱｏＳポリシーに見合ったネットワークを経由するように、コントローラで経路を決定することができるため、通信経路の間に複数の外部ネットワークが存在する場合でも、ユーザ単位のＱｏＳ制御を行うことができる。

また、本実施形態では、認証したユーザのフローを識別してＤＳＣＰ値のマーキングを行い、外部ネットワークでＤＳＣＰ値を参照してＱｏＳ制御を行うことができるため、外部ネットワークが「ＤｉｆｆＳｅｒｖ」によるＱｏＳを提供している場合、ユーザ単位のＱｏＳ制御を行うことができる。

＜第２実施形態＞
以下に、本発明の第２実施形態について説明する。

本実施形態は、外部の汎用的な認証サーバにおいてユーザ認証を行い、ＱｏＳポリシーを決定する点で異なる。汎用的な認証サーバではＱｏＳの属性は定められていないが、ベンダ固有の属性があり、ここにＱｏＳポリシーを含むことができる。例えば、ＲＡＤＩＵＳ（ＲｅｍｏｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌＩｎＵｓｅｒＳｅｒｖｉｃｅ）ではＶＳＡ（ＶｅｎｄｏｒＳｐｅｃｉｆｉｃＡｔｔｒｉｂｕｔｅ）が用意されていてユーザの属性として利用することができる。

図７を参照すると、本実施形態におけるネットワークシステムは、ユーザ端末１０と、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ：ｎはスイッチ数）と、コントローラ３０と、サーバ４０と、認証サーバ５０を含む。

ユーザ端末１０、スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）、コントローラ３０と、及びサーバ４０に関しては、基本的に、図１に示す第１実施形態と同じである。

本実施形態では、第１実施形態のコントローラ３０におけるユーザ認証に関する機能を、認証サーバ５０として独立させている。

［コントローラの詳細構成］
コントローラ３０は、ＱｏＳポリシー記憶部３２と、トポロジ情報記憶部３３と、フローテーブル記憶部３４と、ＱｏＳ制御部３６と、経路計算部３７と、フローテーブル生成部３８と、スイッチ制御部３９とを備える。

ＱｏＳポリシー記憶部３２、トポロジ情報記憶部３３、フローテーブル記憶部３４、ＱｏＳ制御部３６、経路計算部３７、フローテーブル生成部３８、及びスイッチ制御部３９に関しては、基本的に、図１に示す第１実施形態と同じである。

［認証サーバの詳細構成］
認証サーバ５０は、ユーザ情報記憶部５１と、ユーザ認証部５５を備える。

ユーザ情報記憶部５１は、基本的に、図１に示す第１実施形態のユーザ情報記憶部３１と同じである。すなわち、ユーザ情報記憶部５１は、ユーザ情報を予め記憶している。ユーザ情報は、図２に示すように、「ユーザ名」、「パスワード」、「ＱｏＳポリシー」等を含む。

ユーザ認証部５５は、基本的に、図１に示す第１実施形態のユーザ認証部３５と同じである。すなわち、ユーザ認証部５５は、ユーザ端末１０の接続時に認証情報（ユーザ名とパスワード等）を要求し、その応答結果からユーザ情報記憶部５１を検索してＱｏＳポリシーを割り当てる。

［本実施形態のＱｏＳ制御処理］
図８を参照して、本実施形態のＱｏＳ制御処理について詳細に説明する。

（１）ステップＢ１
ユーザ端末１０は、ネットワークに接続すると、パケットを送信する。スイッチ２０（２０−ｉ、ｉ＝１〜ｎ）は、パケットを受信した際、受信パケットのヘッダ情報をキーにフローテーブル記憶部３４を検索し、フローテーブルに該当するエントリが登録されていなければ、コントローラ３０のスイッチ制御部３９に、受信パケットを通知する。

（２）ステップＢ２
スイッチ制御部３９は、通知を受け取ると、ＱｏＳ制御部３６にパケットを渡す。ＱｏＳ制御部３６は、入力されたパケットを保持し、送信元ＩＰアドレスをキーにＱｏＳポリシー記憶部３２を検索する。

（３）ステップＢ３
ＱｏＳ制御部３６は、ＱｏＳポリシー記憶部３２の検索で、該当するＩＰアドレスが存在するか確認する。ＱｏＳ制御部３６は、ＱｏＳポリシー記憶部３２の検索で該当するＩＰアドレスが存在する場合、当該ＩＰアドレスに対応付けられたＱｏＳポリシーを特定し、保持していたパケットを経路計算部３７へ渡す。また、ＱｏＳポリシー記憶部３２の検索で該当するＩＰアドレスが存在しない場合、ユーザ未認証であるため、認証サーバ５０のユーザ認証部５５へ通知する。

（４）ステップＢ４
ユーザ認証部５５は、認証情報（ユーザ名とパスワード等）をユーザ端末１０へ要求し、その応答により認証を行い、ユーザ情報記憶部５１を検索し、ベンダ固有属性からＱｏＳポリシーを決定してコントローラ３０のＱｏＳ制御部３６へ通知する。

（５）ステップＢ５
ＱｏＳ制御部３６は、入力されたＱｏＳポリシーと保持していたパケットの送信元ＩＰアドレスを対応付けてＱｏＳポリシー記憶部３２へ記録して、保持していたパケットと当該ＱｏＳポリシーを経路計算部３７へ渡す。

（６）ステップＢ６
経路計算部３７は、入力されたパケットとＱｏＳポリシーを基にトポロジ情報記憶部３３を検索し、例えば、優先度の高いフローが契約帯域の高いＩＰネットワーク４１を経由するよう経路を決定して、パケットとＱｏＳポリシーと経路情報をフローテーブル生成部３８へ通知する。

（７）ステップＢ７
フローテーブル生成部３８は、入力されたパケットとＱｏＳポリシーと経路情報から、ネットワークＡ及びＢへの送信方向のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）のフローテーブルのヘッダ情報と送信ポートと送信キューと書き換えるＤＳＣＰ値を決定する。

フローテーブルの具体例は、図５の通りである。

（８）ステップＢ８
スイッチ制御部３９は、入力されたフローテーブルを経路上のスイッチ２０（２０−ｉ、ｉ＝１〜ｎ）の各々にそれぞれ登録する。

＜他の実施形態＞
本発明の第２実施形態では、コントローラ３０のユーザ情報３１及びユーザ認証部３５を認証サーバ５０として独立させているが、実際には、コントローラ３０の他の構成要素を外部サーバとして独立させることも可能である。例えば、ＱｏＳポリシー記憶部３２及びＱｏＳ制御部３６をＱｏＳサーバとして独立させたり、トポロジ情報記憶部３３及び経路計算部３７を経路制御サーバとして独立させたりすることも考えられる。

＜各実施形態の関係＞
なお、上記の各実施形態は、組み合わせて実施することも可能である。例えば、第１実施形態におけるコントローラ３０が、自身のユーザ情報３１及びユーザ認証部３５に該当する情報がない場合に、第２実施形態における認証サーバ５０に問い合わせるようにすることも可能である。また、第１実施形態におけるコントローラ３０と、第２実施形態におけるコントローラ３０及び認証サーバ５０とは、互いに置換可能である。

＜まとめ＞
以上のように、本発明では、ユーザ端末からサーバへ通信を行うと、ファーストパケットをスイッチが受信して外部のコントローラに通知を行い、コントローラのユーザ認証部が該当ユーザに対するフローのＱｏＳポリシーを決定する。

経路の間に複数のネットワークＡ及びＢが存在する場合、経路計算部がＱｏＳポリシーとトポロジ情報記憶部のトポロジ情報から適切なＩＰネットワークを経由するように経路を選択する。

フローテーブル生成部は、選択されたＩＰネットワークにパケットを送信する際に、ＱｏＳポリシーに基づいたキューイングとＩＰヘッダのＤＳ（ＤｉｆｆＳｅｒｖ）フィールドへＤＳＣＰ値のマーキングを行うフローテーブルを生成し、スイッチに往復分のフローテーブルを登録する。

以降、スイッチは、登録されたフローテーブルのＱｏＳに従ったパケット転送を行い、ネットワークＡ及びＢでは、ＩＰヘッダのＤＳフィールドのＤＳＣＰ値を参照することで「ＤｉｆｆＳｅｒｖ」によるＱｏＳ制御が行われる。

本発明では、ユーザ端末からのネットワーク接続時にユーザ認証を行い、割り当てられたＱｏＳポリシーに従った通信を可能にする。

また、スイッチの制御を外部コントローラで行い、該当ユーザのパケットを識別してマーキングし、適切なネットワークを経由するよう通信経路を選択することで、通信経路の間に外部ネットワークが存在する場合でも、ユーザ単位のＱｏＳ制御を行うことを可能とする。

＜付記＞
上記の実施形態の一部又は全部は、以下の付記のように記載することも可能である。但し、実際には、以下の記載例に限定されない。

［付記１］
複数の外部ネットワークに接続され、パケット受信時に、フローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリが設定されたフローエントリを検索して、エントリに定義されたルールに適合する受信パケットに対して、エントリに定義された動作を行う機能を持つスイッチと、
スイッチからパケットの問い合わせを受け、該パケットを一律に制御するためのルールと動作が定義されたエントリを、スイッチのフローテーブルに設定する機能を持つコントローラと
を含み、
コントローラは、
スイッチから問い合わせを受けたパケットに該当するＱｏＳポリシーを特定する機能を持つＱｏＳ制御部と、
ネットワークの接続状態を表すトポロジ情報とＱｏＳポリシーから、該ＱｏＳポリシーに見合った外部ネットワークを選択し、最適な経路を算出する機能を持つ経路計算部と、
該パケットと経路情報とＱｏＳポリシーから、経路上のスイッチの送信ポートとキューを決定し、フローテーブルのエントリを生成する機能を持つフローテーブル生成部と、
経路上のスイッチのフローテーブルに該エントリを設定する機能を持つスイッチ制御部と
を具備する
ネットワークシステム。

［付記２］
付記１に記載のネットワークシステムであって、
フローテーブル生成部は、
送信方向のフローテーブルのエントリにルールとして定義されたヘッダ情報、及び、該エントリに動作として定義された送信ポートと送信キュー、を書き換えるＤＳＣＰ値を決定する機能を持ち、
該ＤＳＣＰ値から、受信方向のフローテーブルのエントリに動作として定義される送信キューを決定する機能を持つ
ネットワークシステム。

［付記３］
付記１又は２に記載のネットワークシステムであって、
コントローラは、
パケットに該当するＱｏＳポリシーが存在しない場合、パケットの送信元に認証情報（ユーザ名とパスワード等）を要求し、該要求に対する応答結果を基に、パケットの送信元に対するＱｏＳポリシーを決定する機能を持つユーザ認証部
を更に具備する
ネットワークシステム。

［付記４］
付記１乃至３のいずれか一項に記載のネットワークシステムであって、
コントローラに接続された認証サーバ
を更に含み、
認証サーバは、
パケットに該当するＱｏＳポリシーが存在しない場合、パケットの送信元に認証情報（ユーザ名とパスワード等）を要求し、該要求に対する応答結果を基に、パケットの送信元に対するＱｏＳポリシーを決定する機能を持つユーザ認証部
を具備する
ネットワークシステム。

［付記５］
複数の外部ネットワークに接続されたスイッチから問い合わせを受けたパケットに該当するＱｏＳポリシーを特定する機能を持つＱｏＳ制御部と、
ネットワークの接続状態を表すトポロジ情報とＱｏＳポリシーから、該ＱｏＳポリシーに見合った外部ネットワークを選択し、最適な経路を算出する機能を持つ経路計算部と、
該パケットと経路情報とＱｏＳポリシーから、経路上のスイッチの送信ポートとキューを決定し、フローテーブルのエントリを生成する機能を持つフローテーブル生成部と、
経路上のスイッチのフローテーブルに該エントリを設定する機能を持つスイッチ制御部と
を具備する
コントローラ。

＜備考＞
以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。

なお、本出願は、日本出願番号２０１１−００９７２０に基づく優先権を主張するものであり、日本出願番号２０１１−００９７２０における開示内容は引用により本出願に組み込まれる。

Claims

複数の外部ネットワークに接続され、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチと、
前記スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを、前記スイッチのフローテーブルに設定するコントローラと
を含み、
前記コントローラは、フローをクラスに分け、前記スイッチからパケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行い、ユーザ認証の結果を基にＱｏＳクラスを決定し、ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定し、ＱｏＳポリシーを基に、前記スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを生成し、前記スイッチのフローテーブルに前記エントリを設定する
ネットワークシステム。
請求項１に記載のネットワークシステムであって、
前記コントローラは、
前記スイッチから問い合わせを受けたパケットに該当するＱｏＳポリシーを特定する手段と、
ネットワークの接続状態を表すトポロジ情報とＱｏＳポリシーから、該ＱｏＳポリシーに見合った外部ネットワークを選択し、最適な経路を算出する手段と、
該パケットと経路情報とＱｏＳポリシーから、経路上のスイッチの送信ポートとキューを決定し、フローテーブルのエントリを生成する手段と、
前記経路上のスイッチのフローテーブルに該エントリを設定する手段と
を具備する
ネットワークシステム。
請求項２に記載のネットワークシステムであって、
前記コントローラは、
認証した送信元のフローを識別して、フロー毎に、経路上のスイッチにおける送信ポート、送信キュー、及びマーキングするＤＳＣＰ値を決定し、フローテーブルのエントリを生成する手段
を更に具備する
ネットワークシステム。
請求項３に記載のネットワークシステムであって、
前記コントローラは、
送信方向のフローテーブルのエントリにルールとして定義されたヘッダ情報、及び、該エントリに動作として定義された送信ポートと送信キュー、を書き換えるＤＳＣＰ値を決定する手段と、
該ＤＳＣＰ値から、受信方向のフローテーブルのエントリに動作として定義される送信キューを決定する手段と
を更に具備する
ネットワークシステム。
請求項１乃至４のいずれか一項に記載のネットワークシステムであって、
前記コントローラは、
前記パケットに該当するＱｏＳポリシーが存在しない場合、前記パケットの送信元に認証情報を要求する手段と、
該要求に対する応答結果を基に、前記パケットの送信元に対するＱｏＳポリシーを決定する手段と
を更に具備する
ネットワークシステム。
請求項１乃至５のいずれか一項に記載のネットワークシステムであって、
前記コントローラに接続された認証サーバ
を更に含み、
前記認証サーバは、前記コントローラから問い合わせを受けたパケットに該当するＱｏＳポリシーが存在しない場合、前記パケットの送信元に認証情報を要求し、該要求に対する応答結果を基に、前記パケットの送信元に対するＱｏＳポリシーを決定し、前記コントローラに通知する
ネットワークシステム。
複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチから、パケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行うユーザ認証部と、
ユーザ認証の結果を基にＱｏＳクラスを決定するＱｏＳ制御部と、
ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定する経路計算部と、
ＱｏＳポリシーを基に、前記スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを生成するフローテーブル生成部と、
前記スイッチのフローテーブルに前記エントリを設定するスイッチ制御部と
を具備する
コントローラ。
請求項７に記載のコントローラであって、
前記ＱｏＳ制御部は、前記スイッチから問い合わせを受けたパケットに該当するＱｏＳポリシーを特定し、
前記経路計算部は、ネットワークの接続状態を表すトポロジ情報とＱｏＳポリシーを基に、該ＱｏＳポリシーに見合った外部ネットワークを選択し、最適な経路を算出し、
前記フローテーブル生成部は、該パケットと経路情報とＱｏＳポリシーを基に、経路上のスイッチの送信ポートとキューを決定し、フローテーブルのエントリを生成し、
前記スイッチ制御部は、前記経路上のスイッチのフローテーブルに該エントリを設定する
コントローラ。
請求項８に記載のコントローラであって、
前記フローテーブル生成部は、認証した送信元のフローを識別して、フロー毎に、経路上のスイッチにおける送信ポート、送信キュー、及びマーキングするＤＳＣＰ値を決定する
コントローラ。
請求項９に記載のコントローラであって、
前記フローテーブル生成部は、
送信方向のフローテーブルのエントリにルールとして定義されたヘッダ情報、及び、該エントリに動作として定義された送信ポートと送信キュー、を書き換えるＤＳＣＰ値を決定し、該ＤＳＣＰ値を基に、受信方向のフローテーブルのエントリに動作として定義される送信キューを決定する
コントローラ。
コントローラにより実施されるＱｏＳ制御方法であって、
複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチからパケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行うことと、
ユーザ認証の結果を基にＱｏＳクラスを決定することと、
ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定することと、
決定された通信経路を基に、前記スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを生成することと、
前記スイッチのフローテーブルに前記エントリを設定することと
を含む
ＱｏＳ制御方法。
複数の外部ネットワークに接続されたスイッチのうち、設定されたフローテーブルのエントリの内容に従って受信パケットを処理するスイッチから、パケットの問い合わせを受けた際に、該パケットを基に、該パケットの送信元に対するユーザ認証を行うステップと、
ユーザ認証の結果を基にＱｏＳクラスを決定するステップと、
ネットワークの接続状態及び帯域を基に、認証した送信元のＱｏＳクラスに見合った外部ネットワークを経由する通信経路を決定するステップと、
ＱｏＳポリシーを基に、前記スイッチがフローを構成する各パケットを一律に制御するためのルールと動作が定義されたエントリを生成するステップと、
前記スイッチのフローテーブルに前記エントリを設定するステップと
を計算機に実行させるためのプログラムを格納した
記憶媒体。