JP5592012B2 - 進入ｖｌａｎ ａｃｌの退出処理 - Google Patents

Description

本出願は、本出願の譲受人に譲渡され、引用により本明細書に組み込まれている２０１０年８月６日にＪｏｓｅｐｈ Ｆ．Ｏｌａｋａｎｇｉｌによって出願された「Ｅｇｒｅｓｓ Ｐｒｏｃｅｓｓｉｎｇ Ｏｆ Ｉｎｇｒｅｓｓ ＶＬＡＮ ＡＣＬＳ」という名称の米国仮特許出願第６１／３７１，２５４号の利益を主張するものである。

本出願は、一般に仮想ローカルエリアネットワークを対象とし、より詳細にはネットワークパケット処理システムおよびネットワークパケット処理の方法を対象とする。

仮想ローカルエリアネットワーク（ｖｉｒｔｕａｌ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ：ＶＬＡＮ）は通常は、それらの物理的位置に関わらずそれらがあたかも同じブロードキャストドメインに接続されたように通信する、共通の１組の要件を有する一群のローカルエリアネットワーク（ＬＡＮ）である。いくつかのＶＬＡＮは別の共通ＶＬＡＮと直接通信できるが、互いに直接通信することはできない。たとえば技術および顧客サポートＶＬＡＮは、それぞれはトラフィックをインターネットＶＬＡＮに経路設定できるが、一方、トラフィックを直接それらの間で経路設定することはできない。

ＶＬＡＮの構成は本質的に、パケットフィルタリングおよびトラフィックフロー制御を行うことができるアクセス制御リスト（ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｌｉｓｔ：ＡＣＬ）を用いて、ソフトウェアにて行うことができる。ユーザは、特定の発信元ＶＬＡＮと宛先ＶＬＡＮの間のトラフィックを制御するポリシーを指定することができる簡単な形で、ＶＬＡＮの間のアクセス制御を実現することを望む。しかし、発信元ＶＬＡＮは経路設定前探索段階のみに利用可能であり、宛先ＶＬＡＮは経路設定後探索段階のみに利用可能である。したがって当技術分野では、ＡＣＬの実現におけるこれらの異種の情報を関連付けるやり方が有益となり得る。

本開示の実施形態は、ネットワークパケット処理システム、およびネットワークパケット処理の方法を提供する。一実施形態では、ネットワークパケット処理システムは、ネットワーク経路設定装置を通して間接的に接続された発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）を含む。さらにネットワークパケット処理システムは、発信元ＶＬＡＮと宛先ＶＬＡＮの間で経路設定されるべきネットワークパケットに対するメタデータを提供するように接続されたメタデータ生成器を含み、メタデータはネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉している。ネットワークパケット処理システムはまた、メタデータからの経路設定前発信元ＶＬＡＮ情報とネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とを使用する、発信元ＶＬＡＮと宛先ＶＬＡＮの間のネットワークパケットの経路設定を指定するアクセス制御リスト（ＡＣＬ）を含む。

他の態様では、ネットワークパケット処理の方法は、ネットワーク経路設定装置を通して接続された、間接的に連結された発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）を設けるステップと、発信元ＶＬＡＮと宛先ＶＬＡＮの間のネットワークトラフィックを指定するアクセス制御リスト（ＡＣＬ）を規定するステップとを含む。方法はまた、発信元ＶＬＡＮと宛先ＶＬＡＮの間で経路設定されるべきネットワークパケットに対するメタデータを生成するステップを含み、メタデータはネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉している。方法は、メタデータからの経路設定前発信元ＶＬＡＮ情報とネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とを使用して、ネットワークパケットを経路設定するためにＡＣＬを適用するステップをさらに含む。

上記は、当業者が以下の本開示の詳細な説明をより良く理解できるように、本開示の好ましいおよび代替の特徴の概要を述べたものである。本開示の特許請求の範囲の対象となる本開示のさらなる特徴については本明細書で以下に説明する。当業者は、本開示と同じ目的を実行するように他の構造を設計または変更するための基礎として、開示された概念および特定の実施形態を容易に使用できることが理解されるであろう。

次に、添付の図面と併せ読まれる以下の説明を参照する。

本開示の原理により構成されたネットワークパケット処理システムの一実施形態のブロック図である。 図１のネットワークパケット処理システムにて用いることができる経路設定の実施形態の選ばれた実施例を示す図である。 図１のネットワークパケット処理システムにて用いることができる経路設定の実施形態の選ばれた例を示す図である。 図１のネットワークパケット処理システムにて用いることができる経路設定の実施形態の選ばれた例を示す図である。 図１のネットワークパケット処理システムにて用いることができる経路設定の実施形態の選ばれた例を示す図である。 本開示の原理によって実行されるネットワークパケット処理の方法の一実施形態のフロー図である。

本開示の実施形態は、共に範囲が大きく変化し予測が難しいＶＬＡＮのＩＰサブネットまたはネットワークパケット内のＩＰアドレスに無関係な、より簡単なやり方で仮想ローカルエリアネットワーク（ＶＬＡＮ）間のアクセス制御を実現する能力をユーザにもたらす。さらにユーザはＶＬＡＮのＩＰアドレスを知る必要はなく、ＶＬＡＮまたはユーザはＡＣＬを構成するときに通信を続けそれによってより実用的で安定なユーザ構成を可能にする。

図１は全体的に１００として示される、本開示の原理によって構成されたネットワークパケット処理システムの一実施形態のブロック図を示す。ネットワークパケット処理システム１００は、発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）１０５、１１０と、ネットワーク経路設定装置１１５とを含む。概して、ネットワーク経路設定装置１１５は、ルータまたは経路設定能力を有するスイッチとすることができ、いずれも相互接続するＶＬＡＮの一部とすることができる。図示の実施形態ではネットワーク経路設定装置１１５は、経路設定能力を有するスイッチであり、パケットルータ１２０と、メタデータ生成器１２５と、アクセス制御リスト（ＡＣＬ）１３０とを含む。

発信元および宛先ＶＬＡＮ１０５、１１０は、ネットワーク経路設定装置１１５を通して間接的に接続される。パケットルータ１２０は、ネットワーク経路設定装置１１５内でネットワークパケットを経路設定するために用いられる。直接示されていないが、ネットワーク経路設定装置１１５は、他の経路設定装置またはＶＬＡＮに接続することができる。メタデータ生成器１２５は、発信元ＶＬＡＮ１０５と宛先ＶＬＡＮ１１０の間で経路設定されるべきネットワークパケットに対するメタデータを提供するように接続され、メタデータは、ネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉している。ＡＣＬ１３０は、発信元ＶＬＡＮ１０５と宛先ＶＬＡＮ１１０の間のネットワークパケットの経路設定を指定し、メタデータからの経路設定前発信元ＶＬＡＮ情報と、ネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とが使用される。

本開示の実施形態は、経路設定前探索段階のみに利用可能な発信元ＶＬＡＮ、および経路設定後探索段階のみに利用可能な宛先ＶＬＡＮに対する解決策をもたらす。経路設定前探索段階は、典型的には、経路設定探索段階の前に、ＶＬＡＮ割り当て段階と、ＯＳＩレイヤ２探索段階と、分類段階とを含む。経路設定後探索段階はパケット経路設定が達成された後に発生し、ネットワークパケットをどこに送るかが関係する（たとえば使用されるべき退出ポート、使用されるべき宛先ＶＬＡＮなど）。

図示の実施形態では、インターネットプロトコル（ＩＰ）パケットとすることができるネットワークパケットは、進入ＶＬＡＮ ＩＤ（識別番号）によって表される発信元ＶＬＡＮ１０５から進入し、退出ＶＬＡＮ ＩＤによって表される宛先ＶＬＡＮ１１０に退出する。ＩＥＥＥ８０２．１Ｑ仕様に準拠するＶＬＡＮでは、ＶＬＡＮ ＩＤは１から４０９４の間の番号である。メタデータは、ネットワーク経路設定装置１１５内のそのライフサイクルの間に、ネットワークパケットについての適切な決定を行うために、ネットワークパケットと共に運ばれる追加のパケットデータである。これは、ネットワークパケットがネットワーク経路設定装置１１５に進入し退出する時に、ネットワークパケットと共に入って来るまたは出て行く情報ではない。

メタデータは、パケット上にマップされる追加のヘッダ内に含めることができる。一実施例では、ネットワークパケットがネットワーク経路設定装置１１５を通過している時にメタデータをネットワークパケット上にマップするために、ＢｒｏａｄｃｏｍのＡＳＩＣ（特定用途向け集積回路）で使用されるＨｉＧｉｇヘッダと呼ばれるヘッダが用いられる。

ＨｉＧｉｇヘッダは、進入ＶＬＡＮ ＩＤを記憶することができる、基本的にＨｉＧｉｇヘッダ内のフィールドである１３ビットのフィールドの分類タグを使用する。すべてのネットワークパケットは、ＶＬＡＮ標準の一部として付加された８０２．１Ｑ ＶＬＡＮタグを有してＨｉＧｉｇを通過する。このＶＬＡＮタグは本質的に、その時点でネットワークパケットがメンバである、ネットワーク経路設定装置１１５（またはＶＬＡＮ）上に退出ＶＬＡＮを付加する。ＶＬＡＮタグは４バイトの長さを使用する。

パケットルータ１２０はパケットプロセッサを含み、パケットプロセッサは、パケットを取り込み、ＶＬＡＮ割り当て（すなわちＶＬＡＮをパケットに割り当てる）を行い、経路設定のためにレイヤを探索し、ＡＣＬに関してパケットに対してポリシーの他の分類を行い、パケットに対して経路設定を行い、最後にパケットをそのポートから外へ切り換えるための、退出ＶＬＡＮ上の退出ポートを規定する。パケットプロセッサは基本的に、パケットに対して切り換えおよび経路設定の決定を行うことによって、パケットに対して起こらなければならない変更を行う。

パケットプロセッサはメタデータに注目し、ＡＣＬ１３０などのネットワークパケットに適用することができる退出ポリシー（ＡＣＬ）を使用する。この特定の場合には、進入（発信元）ＶＬＡＮ情報を抽出するためにメタデータが調べられ、パケットプロセッサにこれらのＡＣＬポリシーを適用しながらネットワークパケットから宛先ＶＬＡＮが確定される。

図２Ａ、図２Ｂ、図２Ｃ、および図２Ｄは、図１のネットワークパケット処理システムに使用できる、全体的に２００、２２０、２３０、および２４０として示される経路設定の実施形態の選ばれた例を示す。図２Ａではパケットプロセッサ２０５はＴｒｉｕｍｐｈ／Ｓｃｏｒｐｉｏｎプロセッサを使用し、キューイングエンジンおよびスイッチファブリック２１０はＳＩＲＩＵＳチップを使用する。すべてのネットワークパケットは、パケットプロセッサ２０５からＨｉＧｉｇポートＡ、Ｂを通してキューイングエンジンおよびスイッチファブリック２１０に経路設定され（切り換えられ）、パケットプロセッサ２０５に戻る。

パケットは、ＨｉＧｉｇヘッダ内にカプセル化されてＨｉＧｉｇポートＡ、Ｂを通過する。ＴＣＡＭ（三値連想メモリ：ｔｅｒｎａｒｙ ｃｏｎｔｅｎｔ ａｄｄｒｅｓｓａｂｌｅ ｍｅｍｏｒｙ）エントリＡは、発信元ＶＬＡＮに対する突き合わせをもたらし、ネットワークパケットがそこからＨｉＧｉｇヘッダ分類タグフィールド内に進入する発信元ＶＬＡＮの進入ＶＬＡＮ ＩＤを記憶する。エントリは、パケットプロセッサの入力および出力ポート（すなわちフロントパネルポート）に対してのみ動作し、ＨｉＧｉｇポートから進入するパケットに対しては効果をもたない。

ＴＣＡＭエントリＡは、分類タグ値Ａと、ネットワークパケットの８０２．１Ｑ ＶＬＡＮタグに記憶された退出ＶＬＡＮ ＩＤ Ｂとに対して突き合わせを行う。ＴＣＡＭエントリＢは、キューイングエンジンおよびスイッチファブリック２１０からのＨｉＧｉｇポートＢにおいて進入するパケットのみに対して突き合わせを試みる。次いでＴＣＡＭエントリＢに関連付けられたポリシーエントリＢは、前もって規定されたＡＣＬに基づいてトラフィックを許可または削除する。

図２Ｂ、図２Ｃ、および図２Ｄは、様々な処理段階でネットワークパケットを突き合わせるのに必要なＴＣＡＭエントリ構成の例を示す。ポートＡでのネットワークパケットの場合（図２Ｂ）は、必要なＴＣＡＭエントリ構成は、進入の時にネットワークパケットと突き合わせるのに必要なＴＣＡＭキーおよび値を示す。ＨｉＧｉｇポートＡおよびＢでのネットワークパケットの場合（図２Ｃ）は、必要なＴＣＡＭエントリ構成は、退出の時にネットワークパケットと突き合わせるのに必要なＴＣＡＭキーおよび値を示す。ポートＢでのネットワークパケットの場合（図２Ｄ）は、必要なＴＣＡＭエントリ構成は、退出の時にパケットと突き合わせる時のＴＣＡＭキーおよび値を示す。

図３は、全体的に３００として示され本開示の原理により実行される、ネットワークパケット処理の方法の一実施形態のフロー図を示す。方法３００はステップ３０５で開始し、ステップ３１０でネットワーク経路設定装置を通して接続された、間接的に連結された発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）が設けられる。次いでステップ３１５で、発信元ＶＬＡＮと宛先ＶＬＡＮの間のネットワークトラフィックを指定するアクセス制御リスト（ＡＣＬ）が規定される。

ステップ３２０では、発信元ＶＬＡＮと宛先ＶＬＡＮの間で経路設定されるべきネットワークパケットに対するメタデータが生成され、メタデータはネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉している。ステップ３２５では、メタデータからの経路設定前発信元ＶＬＡＮ情報と、ネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とを使用して、ネットワークパケットを経路設定するためにＡＣＬが適用される。

一実施形態ではネットワークパケットは、インターネットプロトコル（ＩＰ）パケットである。他の実施形態ではメタデータは、パケット上にマップされた追加のヘッダ内に含められる。一実施例では追加のヘッダはＨｉＧｉｇヘッダである。他の実施形態ではメタデータは、ネットワークパケットの進入から退出までの期間の少なくとも一部分の間存続する。さらに他の実施形態ではメタデータおよびＡＣＬは、ＩＥＥＥ８０２．１Ｑ仕様に準拠する。

さらに他の実施形態では、経路設定前発信元および経路設定後宛先ＶＬＡＮ情報は、それぞれ発信元および宛先ＶＬＡＮ識別（ＩＤ）番号を含む。発信元ＶＬＡＮ ＩＤ番号はＨｉＧｉｇヘッダの分類タグ内に記憶され、宛先ＶＬＡＮ ＩＤ番号はＶＬＡＮタグ内に記憶される。発信元および宛先ＶＬＡＮ ＩＤ番号は、１から４０９４までの範囲である。方法３００はステップ３３０で終了する。

本明細書で開示される方法について、特定の順序で行われる特定のステップを参照して説明し図示したが、これらのステップは本開示の教示から逸脱せずに等価な方法となるように、組み合わせる、さらに分割する、または順序を変え得ることが理解されるであろう。したがって、本明細書で別段の指定がない限り、ステップの順序およびグループ化は本開示を限定するものではない。

概して、これらの手法または方法論はまた、ネットワークパケット上の互いに排他的な進入および退出情報を融合する必要がある他のシナリオを包含するように拡張することができる。たとえばこれらの手法は、発信元ＶＬＡＮと退出ポート、または発信元ＶＬＡＮと宛先ＭＡＣに適用することができる。すなわちそれらは、ネットワークパケットがネットワーク経路設定装置またはＶＬＡＮ内でそれ自体のライフサイクルの間に変更を受け得るときはいつでも、入力情報を出力情報と組み合わせるために用いることができる。

説明した実施形態に対して他のおよびさらなる追加、削除、置き換え、および変更を行い得ることを、本出願が関連する当業者は理解するであろう。

Claims (10)

1. ネットワーク経路設定装置を通して接続された、間接的に連結された発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）を設けるステップと、
   発信元ＶＬＡＮと宛先ＶＬＡＮの間のネットワークトラフィックを指定するアクセス制御リスト（ＡＣＬ）を規定するステップと、
   発信元ＶＬＡＮと宛先ＶＬＡＮの間で経路設定されるべきネットワークパケットに対するメタデータを生成するステップであって、メタデータは、ネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉しており及びネットワークパケットがネットワーク経路設定装置内にあるときにのみネットワークパケットにとどまる、ステップと、
   メタデータからの経路設定前発信元ＶＬＡＮ情報とネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とを使用して、ネットワークパケットを経路設定するためにＡＣＬを適用するステップと
   を含む、ネットワークパケット処理の方法。
2. 経路設定前発信元および経路設定後宛先ＶＬＡＮ情報が、それぞれ発信元および宛先ＶＬＡＮ識別（ＩＤ）番号を含む、請求項１に記載の方法。
3. 発信元ＶＬＡＮ ＩＤ番号がＨｉＧｉｇヘッダの分類タグに記憶される、請求項２に記載の方法。
4. 宛先ＶＬＡＮ ＩＤ番号がＶＬＡＮタグに記憶される、請求項２に記載の方法。
5. メタデータおよびＡＣＬがＩＥＥＥ８０２．１Ｑ仕様に準拠する、請求項１に記載の方法。
6. ネットワーク経路設定装置を通して間接的に接続された発信元および宛先仮想ローカルエリアネットワーク（ＶＬＡＮ）と、
   発信元ＶＬＡＮと宛先ＶＬＡＮの間で経路設定されるべきネットワークパケットに対するメタデータを提供するように接続されたメタデータ生成器であって、メタデータは、ネットワークパケットから経路設定前発信元ＶＬＡＮ情報を捕捉しており及びネットワークパケットがネットワーク経路設定装置内にあるときにのみネットワークパケットにとどまる、メタデータ生成器と、
   メタデータからの経路設定前発信元ＶＬＡＮ情報とネットワークパケットからの経路設定後宛先ＶＬＡＮ情報とを使用する、発信元ＶＬＡＮと宛先ＶＬＡＮの間のネットワークパケットの経路設定を指定するアクセス制御リスト（ＡＣＬ）と
   を備える、ネットワークパケット処理システム。
7. ネットワークパケットがインターネットプロトコル（ＩＰ）パケットである、請求項６に記載のシステム。
8. メタデータが、パケット上にマップされた追加のヘッダ内に含まれる、請求項６に記載のシステム。
9. 追加のヘッダがＨｉＧｉｇヘッダである、請求項８に記載のシステム。
10. メタデータが、ネットワークパケットの進入から退出までの期間の少なくとも一部分の間存続する、請求項６に記載のシステム。

Images