通信系统、访问控制装置、交换机、网络控制方法及程序的制作方法

通信系统、访问控制装置、交换机、网络控制方法及程序的制作方法
【专利摘要】本发明提供了一种适合于在集中控制型的通信系统中进行大量的数据包通信、细粒度的访问控制的结构。通信系统包含在转发节点设定控制信息的控制装置、转发节点及访问控制装置。上述转发节点利用由上述控制装置设定的第1控制信息及用于将不符合由上述控制装置设定的上述第1控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包。上述访问控制装置具备判定部，该判定部对于从上述转发节点的上述预定的端口转发的数据包判定是否生成控制信息，对上述控制装置请求生成控制信息。
【专利说明】通信系统、访问控制装置、交换机、网络控制方法及程序

【技术领域】
[0001](关于相关申请的记载)
[0002]本发明基于日本国专利申请:特愿2012-104664号(2012年5月I日申请)主张优先权，将该申请的全部记载内容作为参考援引到本说明书中。
[0003]本发明涉及通信系统、访问控制装置、交换机、网络控制方法及程序，特别是涉及具有集中控制交换机的控制器的通信系统、访问控制装置、交换机、网络控制方法及程序。

【背景技术】
[0004]近年来称为开放流(OpenFlow)的网络备受瞩目(参照专利文献1、非专利文献1、2)。开放流采用的是被称为开放流控制器的控制装置控制被称为开放流交换机的交换机的动作的集中控制型的网络结构。更具体而言，开放流控制器通过在开放流交换机设定指定了输入端口、层2?层4的头部的匹配条件及规定了处理内容的流条目(flow entry)，能够进行极微细的路径控制。
[0005]此外，在网络系统中，使用网络管理系统(^S)、策略服务器来整体管理安全性、月艮务品质等。
[0006]在专利文献I中公开了通过网络管理员来集中管理的网络中的管理方法。该文献的段落0031?0032中记载了网络内的交换机与上述开放流的交换机进行同样的动作。另外，在该段落结尾记载了与大量的流头部条目匹配的数据包被分配到优先级最高的流条目，即，能够使用如最长匹配这样的规则。
[0007]现有技术文献
[0008]专利文献
[0009]专利文献1:特表2010-541426号公报
[0010]非专利文献
[0011]非专利文献1:Nick McKeown 及其他 7 名，“OpenFlow:Enabli ng InSvat1n inCampus Networks”, [online],[平成 24(2012)年 3 月 14 日检索]，互联网〈URL:http://www.0penflow.0rg/documents/open flow-wp-latest.pdf>
[0012]非专利文献2:“0penFlow Switch Specificat1n” Vers1n 1.1.0Implemented (Wire Protocol 0x02)，[online],[平成 24(2012)年 3 月 14 日检索]，互联网〈URL:http://www.0penflow.0rg/documents/openflow-spec-vl.1.0.pdf>


【发明内容】

[0013]发明要解决的课题
[0014]以下的分析是根据本发明所得。在非专利文献1、2的开放流所代表的集中控制型的通信系统中，在进行大量的数据包通信、细粒度的访问控制的情况下，对集中控制设备的控制装置(相当于非专利文献1、2的开放流控制器)的查询增加，存在负荷增大的问题。另夕卜，通过控制装置控制的转发节点(相当于非专利文献1、2的开放流交换机、专利文献I的网络元件)也在可保持的流条目的数目、CPU(Central Processing Unit,中央处理器)的处理性能上受到制约。而且，在没有符合接收的数据包的流条目的情况下，需要与控制装置进行通信，因此在进行大量的数据包接收、细粒度的访问控制时会导致不能发挥本来的性能的情况。
[0015]特别是在交换机与控制装置间的安全信道使用TLS/SSL (Transport LayerSecurity/Secure Sockets Layer,传输层安全/安全套接层)的话,会使上述倾向变显著，引起数据包延迟等。
[0016]作为其对策研究了通过准备多个控制装置来分散负荷等。然而，控制对象的转发节点的数目、与这些转发节点连接的终端数目、各终端所处理的服务的种类增加的话，需要与这些大量的处理对象数据包对应的流条目，无法避免对控制装置的查询大幅度增加。因此，希望有彻底的对策。
[0017]本发明的目的是提供一种通信系统、访问控制装置、转发节点、网络控制方法及程序，即使在进行大量的数据包通信、细粒度的访问控制的情况下，也能抑制控制装置、交换机的负荷增大，能够使其发挥其本来的性能。
[0018]用于解决课题的方法
[0019]根据第I观点，提供一种通信系统，包含:控制装置，在转发节点设定控制信息；转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包；以及访问控制装置，具备判定部，该判定部对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息，并对上述控制装置请求生成控制信息。
[0020]根据第2观点，提供一种访问控制装置，配置于通信系统，该通信系统包含:控制装置，在转发节点设定控制信息；以及转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包，上述访问控制装置具备判定部，该判定部对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息，并对上述控制装置请求生成控制信息。
[0021]根据第3观点，提供一种转发节点，与在转发节点设定控制信息的控制装置连接，设定有由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息，在接收到符合上述第2控制信息的匹配条件的数据包的情况下，附加预定的头部后转发数据包。
[0022]根据第4观点，提供一种网络控制方法，包含以下步骤:对于从利用由控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包的转发节点通过上述第2控制信息转发的数据包，判定是否需要生成控制信息；以及基于上述判定结果对上述控制装置请求生成控制信息。本方法与接收来自转发节点的数据包并判断是否需要生成控制信息的计算机这样的特定设备相结合。
[0023]根据第5观点，提供一种程序，使配置于通信系统的计算机执行如下的处理，其中，上述通信系统包含:控制装置，在转发节点设定控制信息；转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包，所述程序使所述计算机执行如下处理:对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息的处理；以及基于上述判定结果，对上述控制装置请求生成控制信息的处理。此外，该程序能够记录于计算机可读(非暂时性)的存储介质。即，本发明也可以作为计算机程序产品来体现。
[0024]发明效果
[0025]根据本发明，即使在进行大量的数据包通信、细粒度的访问控制的情况下，也能抑制控制装置、交换机的负荷增大，能够使其发挥本来的性能。

【专利附图】

【附图说明】
[0026]图1是表示本发明的一个实施方式的结构的图。
[0027]图2是表示本发明的第I实施方式的通信系统的结构的图。
[0028]图3是表示本发明的第I实施方式的交换机的结构的图。
[0029]图4是设定于本发明的第I实施方式的交换机的流条目(第2控制信息)的例。
[0030]图5是本发明的第I实施方式的控制器所保持的访问策略的一例。
[0031]图6是表示了本发明的第I实施方式的动作的顺序图。
[0032]图7是在图6的步骤S08的时刻设定于本发明的第I实施方式的交换机的流条目的例。
[0033]图8是在图2中补记数据包转发路径的图。
[0034]图9是表示本发明的第2实施方式的通信系统的结构的图。
[0035]图10是设定于本发明的第2实施方式的交换机的流条目(第2控制信息)的例。
[0036]图11是表示本发明的第3实施方式的通信系统的结构的图。
[0037]图12是表示本发明的第3实施方式的交换机的结构的图。
[0038]图13是表示本发明的第4实施方式的通信系统的结构的图。

【具体实施方式】
[0039]首先参照附图对本发明的一个实施方式的概要进行说明。此外，该概要中标记的附图参考标号是作为用于帮助理解的一例而出于方便起见对各要素标记的，并不是要将本发明限定于图示的方式。
[0040]本发明在其一个实施方式中，如图1所示，通过包含如下部分的结构来实现:在转发节点10设定控制信息的控制装置30、使用从该控制装置30设定的控制信息转发数据包的I个或多个转发节点10及访问控制装置20。
[0041]更具体而言，控制装置30在转发节点10设定转发预定的外部节点间(例如图1的客户端-服务器间)的数据包的第I控制信息及将不符合上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息。然后，转发节点10用上述第1、第2控制信息进行接收数据包的转发。
[0042]访问控制装置20具备判定部22，该判定部22对于从转发节点10的预定端口接收的数据包(通过第2控制信息转发的数据包)判定是否生成控制信息，对上述控制装置请求控制信息的生成。在此，未成为请求控制信息的生成的对象的数据包被判定部22废弃。
[0043]如上所述，未成为转发预定的外部节点间(例如图1的客户端-服务器间)的数据包的第I控制信息的转发的对象的数据包被发送到访问控制装置20 (参照图1的粗箭头线)。然后，在访问控制装置20中，经由判定部22废弃未成为请求控制信息的生成的对象的数据包。结果，通过控制装置30仅生成必需的控制信息，并设定到转发节点10。
[0044]因此，即使是大量的数据包流入转发节点10的情况、在大量的转发节点10进行细粒度的访问控制的情况，也能够抑制控制装置30、转发节点10的负荷增大。
[0045][第I实施方式]
[0046]接着，参照附图对本发明的第I实施方式进行详细地说明。图2是表示本发明的第I实施方式的通信系统的结构的图。参照图2，表示了配置于网络的多个交换机11、控制这些交换机11的控制器60、与配置有交换机11的网络连接的客户端41、42以及服务器50。
[0047]交换机11按照从控制器60设定的流条目处理数据包。
[0048]图3是表示本发明的第I实施方式的交换机的结构的图。参照图3，表示了本实施方式的交换机11是具备控制消息处理部111、数据包处理部112、流表113的结构。另外，图3的端口 Pl?Px是与其他的交换机、服务器50连接的端口，端口 PP是与控制器60的控制对象数据包提取部61连接的端口。
[0049]流表113是用于储存从控制器60设定的流条目的表格。流条目由使与接收数据包相对照的匹配条件(Match Fields)和处理内容(Instruct1ns)对应的条目构成。
[0050]数据包处理部112接收数据包后，从流表113检索具有符合接收数据包的匹配条件的流条目。在上述检索的结果是找到了具有符合接收数据包的匹配条件的流条目的情况下，数据包处理部112执行设定于该流条目的处理内容(Instruct1ns)。
[0051]控制消息处理部111收发控制器60与控制消息。例如，执行从控制器60到流表113的流条目的追力口、变更、删除等。
[0052]图4是表示在初期状态下设定于交换机11的流条目(第2控制信息)的图。在图4的例中，在发送源IP地址(Src IP)、目的地IP地址(Dst IP)、TCP/UDP (Transmiss1nControl Protocol/User Datagram Protocol,传输控制协议/用户数据报协议)目的地端口(dst port)等的各字段设定通配符(ANY)来作为匹配条件，表示设定有转发到控制器60的控制对象数据包提取部61的处理内容(Instruct1ns)的流条目。因此,在仅设定图4的流条目的状态下，所有接收数据包会被转发到控制器60的控制对象数据包提取部61。
[0053]另外，在图4的例中，在流条目设置有统计信息(Counters)字段，使得能够在每个流条目记录统计信息。这些统计信息也可以经由控制消息处理部111提供到控制器60，例如，能够用于异常通信(traffic)的确定等。
[0054]此外，如图4这样的流条目可以事先设定于交换机11，也可以在交换机11的网络连接时由控制器60进行设定。
[0055]能够使用非专利文献1、2的开放流交换机作为如上所述的交换机11。另外，上述数据包处理部112及流表能够成为使用ASIC(Applicat1n Specific Integrated Circuit,专用集成电路)的硬件结构，能够高速执行流条目的检索、各种处理。
[0056]另外，在以下的说明中，设客户端41、42与服务器50进行通信而进行说明，但也可以包含其他的通信设备。另外，例如，也可以在作为客户端41、42来使用的设备内置与上述交换机11相当的功能，对从内置应用输出的数据包进行与交换机11同样的动作。
[0057]控制器60具备控制对象数据包提取部61、判定部62、流条目生成部63及交换机控制部64。
[0058]控制对象数据包提取部61如上所述地与网卡中的混杂模式(promiscuous mode)同样地动作，并从交换机11接收所有基于初期设定的流条目(第2控制信息)转发的数据包。然后，控制对象数据包提取部61参照接收的数据包的头部信息，提取控制对象数据包并输出到判定部62。控制对象数据包的选择基准是根据设想的通信的内容、控制器60的能力来决定。例如，也可以仅将VLAD ID的值在预定的范围内的数据包转发到判定部62，或者，也可以将具有疑为异常通信、未授权访问的特征的数据包以外的数据包发送到判定部62。
[0059]判定部62基于预定的访问策略等判定是否生成与从控制对象数据包提取部61转发的数据包对应的流条目。在上述判定的结果是判定为需要生成流条目的情况下，判定部62向流条目生成部63发送接收数据包或从接收数据包提取的信息，请求生成流条目。另一方面，在上述判定的结果是判定为无需生成流条目的情况下，判定部62废弃接收数据包。
[0060]图5是判定部62为了判定是否生成流条目而参照的访问策略的一例。在图5的例中，发送源IP地址为192.168.100.1、目的地IP地址为192.168.0.1的数据包的访问权限是“allow(允许)”，因此判定为需要生成流条目。另一方面，发送源IP地址为192.168.100.2、目的地IP地址为192.168.0.1的数据包的访问权限为“deny (拒绝)”，因此判定为不可生成流条目。此外，在图5的例中，仅使用IP地址进行判定，但此外也可以使用层2、层4的头部信息、协议信息等进行判定。
[0061]流条目生成部63从判定部62受理流条目的生成请求，参照由交换机11构成的网络拓扑，计算将接收数据包从发送源向目的地的转发路径，生成使交换机11进行沿着该路径的数据包转发的流条目。例如，在针对从图1的客户端42发给服务器50的数据包而受理流条目的生成请求的情况下，流条目生成部63使交换机11生成将从客户端42发给服务器50的数据包转发到转发路径上的下一跳的流条目。
[0062]交换机控制部64进行将由流条目生成部63生成的流条目设定于对应的交换机11的动作。此外，也可以使交换机控制部64保持管理各交换机11设定的流条目的流条目数据库等，并判定是否设定由流条目生成部63生成的流条目。
[0063]如上所述的控制器60能够通过以非专利文献1、2的开放流控制器为基础追加相当于上述控制对象数据包提取部61及判定部62的功能来实现。
[0064]此外，图1?图3所示的访问控制装置、控制器、交换机的各部(处理构件)也能够通过使搭载于这些装置的计算机使用其硬件执行上述各处理的计算机程序来实现。
[0065]接着，参照附图对本实施方式的动作进行详细说明。图6是表示本发明的第I实施方式的动作的顺序图。以下，对客户端42发送给服务器50的数据包的连续的动作进行说明。
[0066]参照图6，首先，在客户端42向服务器50发送数据包后(步骤S01)，交换机11参照流表113，按照符合接收数据包的流条目处理数据包(步骤S02)。在此，图4所示的流条目(第2控制信息)符合。交换机11按照流条目(第2控制信息)的内容，对控制器60的控制对象数据包提取部61转发上述数据包。
[0067]控制器60的控制对象数据包提取部61接收上述数据包后，判断是否为控制对象数据包(步骤S03)。在此，设从客户端42发给服务器50的数据包被判断为控制对象数据包。因此，从客户端42发给服务器50的数据包被发送到判定部62 (步骤S03的是)。此夕卜，在由步骤S03判断为不是控制对象数据包的情况下(步骤S03的否)，该数据包被废弃(步骤S04)。
[0068]接着，控制器60的判定部62接收控制对象数据包后，判断是否进行流条目的生成(步骤S05)。在此，设从客户端42发给服务器50的数据包按照图5的访问策略被判定为需要生成流条目。因此，控制器60的判定部62对流条目生成部63请求流条目的生成(步骤S05的是)。此外，在步骤S05中判断为不需要生成流条目的情况下(步骤S05的否)，该数据包被废弃(步骤S06)。
[0069]接着，控制器60的流条目生成部63受理流条目的生成请求后，计算数据包的转发路径，生成包含交换机11的设定于该转发路径上的交换机的流条目，并发送到交换机控制部64 (步骤S07)。
[0070]接着，控制器60的交换机控制部64在该转发路径上的交换机设定上述生成的流条目(步骤S08)。另外，交换机控制部64对交换机11指示向本次接收的数据包的下一跳的发送或流表的再检索。由此，在步骤SOl中接收的数据包被转发到下一跳。
[0071]图7是由上述步骤S08设定的流条目(第I控制信息)的例。在比图3所示的流条目(第2控制信息)优先级高的位置设定有将从客户端42 (设IP地址=192.168.100.1)发给服务器50 (设IP地址=192.168.0.1)的数据包转发到下一跳的流条目。即，交换机11从高位条目开始依次检索流表113，如果发现符合接收数据包的匹配条件则采用其流条目。此外，在图7的例中，对越位于高位的流条目优先级越高进行了说明，但也可以采用在流条目设置优先级信息字段并将具有符合接收数据包的匹配条件的流条目的优先级依次比较来选择最优先的流条目的方式。
[0072]之后，客户端42发送后续数据包后(步骤Sll)，交换机11基于在步骤S08中设定的流条目(第I控制信息)转发数据包。以后，不经由访问控制装置20、控制器60进行高速的转发。另外，从服务器50向客户端42的响应数据包也通过与上述同样的顺序设定允许通/[目的流条目。
[0073]另一方面，图1的客户端41在向服务器50发送了数据包的情况下，与上述的流程相同，交换机11转发上述数据包到访问控制装置20。在该情况下，访问控制装置20会通过上述控制对象数据包提取部61或判定部62进行数据包废弃动作(控制对象数据包提取部61的非控制对象判定或者判定部62的无需流条目生成判定)。该情况下，不向控制器60的流条目生成部63发出流条目的生成请求，因此不会给控制器的流条目生成部63施加负荷。
[0074]图8是表示通过上述流条目的设定顺序实现的数据包转发路径的图。客户端42与服务器50间的数据包按照图7所示的流条目(第I控制信息；省略从服务器50到客户端42的数据包转发用的流条目)通过图8的粗箭头线所示的路径转发。另一方面，来自客户端41的数据包按照图4、图7的下层所示的流条目(第2控制信息)，如图8的细箭头线所示地被控制对象数据包提取部61、判定部62转发、废弃。
[0075]因此，即使从客户端41向交换机11发送大量的数据包，控制器60的负荷也不会变得过大。另外，即使客户端、交换机的数目增加，由于分别通过控制对象数据包提取部61、判定部62进行分选，因此也能够抑制控制器60的负荷。
[0076]此外，在上述第I实施方式中，列举在控制器60内置控制对象数据包提取部61、判定部62的例进行了说明，但如图1所示，也能采用在与控制器(控制装置)不同的信息处理装置(访问控制装置)配置控制对象数据包提取部61及判定部62的结构。另外，在该情况下，也能通过增加信息处理装置(访问控制装置)的台数来分散负荷。
[0077][第2实施方式]
[0078]接着，对配置多个信息处理装置(访问控制装置)来进行负荷分散的第2实施方式进行说明。
[0079]图9是表示本发明的第2实施方式的通信系统的结构的图。与图1、图2所示的实施方式的不同点在于，具备控制对象数据包提取部61及判定部62且配置有多个接收来自交换机11的数据包的访问控制装置20A?20C。此外，访问控制装置20A?20C各自的动作与上述第I实施方式的控制器60的控制对象数据包提取部61及判定部62的动作相同，因此省略说明。
[0080]图10是设定于本实施方式的交换机11的流条目(第2控制信息)的例。与图4所示的流条目(第2控制信息)的不同点在于，与接收数据包的特征对应地设置多个切换发送目的地的访问控制装置的流条目(第2控制信息)。在图10的例中，客户端42中符合指示向访问控制装置的转发的流条目(第2控制信息)的数据包(第I控制信息未设定数据包)被转发到访问控制装置20A。另外，其他的客户端中符合指示向访问控制装置的转发的流条目(第2控制信息)的数据包(第I控制信息未设定数据包)被转发到访问控制装置 20B。
[0081]如上所述，根据本实施方式，如图9所示，能将从交换机11转发的大量的数据包(第I控制信息未设定数据包)的处理分散到多个访问控制装置20A?20C。此外，在图9的例中，交换机11与访问控制装置20A?20C间通过单链路连接，但也能使交换机11与访问控制装置20A间通过汇总了多个链路的链路聚合连接。例如，对于设想了大量的数据包的处理的流，也可以使通过链路聚合连接的高性能的访问控制装置进行处理。
[0082][第3实施方式]
[0083]接着，对在交换机11与访问控制装置间经由其他网络连接的情况下也能向访问控制装置转发数据包(第I控制信息未设定数据包)的第3实施方式进行说明。
[0084]图11是表示本发明的第3实施方式的通信系统的结构的图。如图11所示，在交换机IlA与访问控制装置20D分离设置的情况下，例如，需要将发给服务器50的数据包(第I控制信息未设定数据包)转发到访问控制装置的结构。在此，在本实施方式中对交换机施加变更。
[0085]图12是表示本发明的第3实施方式的交换机IlA的结构的图。与图3所示的第I实施方式的交换机11的不同点在于，追加了在发送到访问控制装置20D的数据包追加附加头部的头部附加处理部114。
[0086]头部附加处理部114对从数据包处理部112转发的数据包附加包含了数据通路ID(DPID ;交换机IlA的标示符)及访问控制装置20D的地址信息的头部后将其输出到端口PP0
[0087]如上所述，根据本实施方式，如图11所示，即使是交换机IlA与访问控制装置20D分离设置的情况下，也能将数据包(第I控制信息未设定数据包)转发到访问控制装置。
[0088]另外，在本实施方式中，附加头部中包含有数据通路ID(DPID ;交换机IlA的标示符)，因此访问控制装置20D能够掌握数据包(第I控制信息未设定数据包)的发送源的交换机。
[0089]以上，对本发明的各实施方式进行了说明，但是本发明并不局限于上述实施方式，在不脱离本发明的基本的技术思想的范围内，能够进一步施加变形/置换/调整。例如，在上述实施方式中使用的网络结构、交换机、访问控制装置、控制器的数目没有限制。
[0090]另外，在上述第I?第3实施方式中，对控制对象数据包提取部内置于访问控制装置20或控制器的情况进行了说明，但如图13所示，也可以通过非专利文献1、2的开放流交换机等转发节点(第2转发节点)12来构成控制对象数据包提取部(第4实施方式)。该情况下，控制装置或控制器通过在转发节点(第2转发节点)设定提取上述控制对象数据包的控制信息(流条目)，能使转发节点(第2转发节点)12作为控制对象数据包提取部发?车功能。
[0091]另外，在上述第I实施方式中，对在交换机与控制对象数据包提取部61、交换机与交换机控制部64间分别设置信道的情况进行了说明，但也可以由I个信道发送数据包(第I控制信息未设定数据包)及交换机与控制器间的控制消息。例如，也可以采用共用在非专利文献1、2中设置于开放流交换机、开放流控制器间的安全信道。
[0092]另外，在上述实施方式中，对判定部62基于访问策略判定是否需要生成流条目的情况进行了说明，但也可以在上述判定部62追加数据包分析功能。例如，在从上述控制对象数据包提取部61转发的数据包的分析的结果是在预定期间以预定的阈值(N次)以上转发同一发送源IP地址的数据包的情况下，判定部62判断为DDoS攻击(Distributed Denialof Service attack,分布式拒绝服务攻击)等非法数据包。然后，判定部62对流条目生成部63发送接收数据包或从接收数据包提取的信息，请求生成废弃同一发送源IP地址的数据包的流条目。这样一来，能够减少成为控制对象数据包提取部61的转发对象的数据包的数量。
[0093]此外，将上述专利文献及非专利文献的各公开援引编入到本说明书。在本发明的全部公开(包含权利请求书)的范围内，还可以基于其基本技术思想，改变、调整实施方式或实施例。另外，在本发明的权利请求书的范围内，能进行各种公开要素(包含各权利请求的各要素、各实施方式或实施例的各要素、各附图的各要素等)的多种组合、选择。即，本发明理所当然包含本领域技术人员根据包括权利请求书在内的全部公开、技术思想得到的各种变形、修正。
[0094]标号说明
[0095]10转发节点；
[0096]IlUlA 交换机；
[0097]12第2转发节点；
[0098]20、20A?20E访问控制装置；
[0099]21、61、121控制对象数据包提取部；
[0100]22、62 判定部；
[0101]30控制装置；
[0102]41、42 客户端；
[0103]50服务器；
[0104]60控制器；
[0105]63流条目生成部；
[0106]64交换机控制部；
[0107]111控制消息处理部；
[0108]112数据包处理部；
[0109]113 流表；
[0110]114头部附加处理部；
[0111]Pl ?Px、PP 端口。
【权利要求】
1.一种通信系统，其特征在于，包含: 控制装置，在转发节点设定控制信息； 转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包；以及 访问控制装置，具备判定部，该判定部对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息，并对上述控制装置请求生成控制信息。
2.根据权利要求1所述的通信系统，其中， 上述访问控制装置还具备控制对象数据包提取部，该控制对象数据包提取部从自上述转发节点的上述预定的端口转发的数据包中提取向上述判定部发送的控制对象数据包。
3.根据权利要求1或2所述的通信系统，其中， 上述转发节点还具备头部附加处理部，该头部附加处理部在从上述预定的端口转发的数据包附加向上述访问控制装置转发用的头部。
4.根据权利要求1-3中任一项所述的通信系统，其中， 配置有多个上述访问控制装置， 设定用于向上述多个访问控制装置进行分配的多个控制信息来作为上述第2控制信肩、O
5.根据权利要求1-4中任一项所述的通信系统，其中， 上述判定部基于预定的访问策略判定是否需要生成控制信息。
6.根据权利要求1-6中任一项所述的通信系统，其中， 上述判定部在从上述转发节点的上述预定的端口转发的数据包具有预定的特征的情况下，对上述控制装置请求生成用于使上述转发节点执行具有上述特征的数据包的废弃的控制信息。
7.根据权利要求2-6中任一项所述的通信系统，其中， 上述控制对象数据包提取部由被上述控制装置控制的第2转发节点构成。
8.一种访问控制装置，其特征在于， 上述访问控制装置配置于通信系统，该通信系统包含: 控制装置，在转发节点设定控制信息；以及 转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包， 上述访问控制装置具备判定部，该判定部对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息，并对上述控制装置请求生成控制信息。
9.一种转发节点，其特征在于， 与在转发节点设定控制信息的控制装置连接， 设定有由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息， 在接收到符合上述第2控制信息的匹配条件的数据包的情况下，附加预定的头部后转发数据包。
10.一种网络控制方法，其特征在于，包含以下步骤: 对于从利用由控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包的转发节点通过上述第2控制信息转发的数据包，判定是否需要生成控制信息；以及基于上述判定结果对上述控制装置请求生成控制信息。
11.一种程序，其特征在于， 使配置于通信系统的计算机执行如下的处理， 其中，上述通信系统包含: 控制装置，在转发节点设定控制信息； 转发节点，利用由上述控制装置设定的第I控制信息及用于将不符合由上述控制装置设定的上述第I控制信息的匹配条件的数据包从预定的端口转发的第2控制信息来转发数据包， 所述程序使所述计算机执行如下处理: 对于从上述转发节点的上述预定的端口转发的数据包判定是否需要生成控制信息的处理；以及 基于上述判定结果，对上述控制装置请求生成控制信息的处理。
【文档编号】H04L12/717GK104272676SQ201380023070
【公开日】2015年1月7日 申请日期:2013年4月26日 优先权日:2012年5月1日
【发明者】山形昌也, 森田阳一郎, 佐佐木贵之, 中江政行, 园田健太郎, 波多野洋一, 下西英之 申请人:日本电气株式会社