JP2006050433A - トラヒック監視装置、通信ネットワークトラヒック監視システム、および監視方法 - Google Patents

Abstract

【課題】 通信ネットワークトラヒック監視システムにおいて、あらかじめ指定されたパケットフローが経由する通信回線毎のトラヒック情報を効率的に収集する。
【解決手段】 通信回線Ｌ１、Ｌ２、Ｌ３すべてに対してゲートウェイ１１、１２、１３を配備し、これらとトラヒック監視装置１との間に通信パスを設定する。ゲートウェイ１１、１２、１３において、パケット識別子で指定されるパケットフローを通信パス上の通信に用いられるプロトコル形式に変換してパスに転送するように設定して転送経路を変更することにより、トラヒック監視装置１は、複数の通信回線を流れる監視対象トラヒックをすべて通信パスから受信できる。受信したパケットまたはフレームまたはセルのパス識別子を抽出することにより、どの通信回線を流れる監視対象トラヒックであるかの特定を行う。
【選択図】 図１

Description

本発明は、通信ネットワークトラヒックを解析するために有用な通信ネットワークトラヒック監視システムおよび監視方法に関するものである。

通信ネットワークを流れるトラヒックを監視してトラヒック情報を収集するトラヒック監視システムが従来より知られている。

特許文献１に記載のシステムでは、監視したいトラヒックが流れる通信回線にトラヒック監視装置を配備し、高速な通信回線におけるトラヒック情報を効率よく収集するために、発着ネットワークアドレス毎にトラヒック情報を収集して記録する。これにより、監視したいトラヒックを識別する発着ネットワークアドレスに基づきトラヒック情報を確認できる。

特許文献２に記載のシステムでは、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）、ＭＰＬＳ（Ｍｕｌｔｉ Ｐｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）、フレームリレー、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネルなどのパスを用いて複数のネットワークが多重されているキャリアネットワークにおいて、監視したいトラヒックが流れる通信回線にトラヒック監視装置を配備し、パス識別子毎にトラヒック情報を収集して記録する。これにより、監視したいトラヒックを識別するパス識別子に基づきトラヒック情報を確認できる。

特許文献３に記載のシステムでは、監視したいトラヒックが流れる通信回線を複数収容している通信装置において、回線毎に入力トラヒックカウント手段と、出力トラヒックカウント手段を持たせる。これにより、監視したいトラヒックの入力回線の入力トラヒックカウンタ情報および監視したいトラヒックの出力回線の出力トラヒックカウンタ情報に基づきトラヒック情報を確認できる。
特開平１１−２５２１１１号公報 特許第３４８７５５１ 特開２００３−２８３５６３号公報

しかしながら、特定のホスト宛てのトラヒックに対してトラヒックの送信元の通信回線単位にトラヒック情報を収集したい場合、該ホストを収容する通信回線において上述した従来の方法によりトラヒック情報を収集したとしても、パケットの送信元アドレスから送信元の通信回線を識別する作業がさらに必要となる。ＩＰネットワークのように、パケットの送信元アドレスが詐称される可能性のある場合は、該ホストを収容する通信回線におけるトラヒック監視だけでは、送信元の通信回線単位のトラヒック情報収集は不可能である。

同様に、特定のホストが送信するトラヒックに対してトラヒックの送信先の通信回線単位にトラヒック情報を収集したい場合など、地理的に離れている複数の通信回線における監視対象トラヒックの状況を同時に確認したい場合には、上述した従来の方法では、監視する通信回線数に応じて多数のトラヒック監視装置をネットワークに配備し、該装置が出力するトラヒック情報をマージして確認する必要があるため、経済的なシステムを構成することができないという問題があった。

本発明の目的は、あらかじめ指定されたパケットフローが経由する通信回線毎のトラヒック情報を効率的に収集することができる、トラヒック監視装置、通信ネットワークトラヒック監視システム、および監視方法を提供することにある。

本発明の第１の通信ネットワークトラヒック監視システムは、
監視対象通信ネットワークにおける通信パスを設定する手段と、監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローをコピーする手段と、該コピートラヒックを通信パス上の通信に用いられるプロトコル形式に変換して通信パスに転送する手段を含むルータ、ゲートウェイ、または通信装置と、
監視対象通信ネットワークにおける通信パスを設定する手段と、通信パスから受信したパケットまたはフレームまたはセルから、通信パス上の通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパス識別子を抽出する手段と、前記パケットまたはフレームまたはセルから、監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子を抽出する手段と、パケット識別子毎にあらかじめ定義されたトラヒック監視のために必要な処理方法に基づいて、受信したパケットまたはフレームまたはセルを処理する手段と、抽出したパス識別子および抽出したパケット識別子毎にトラヒック情報を記録する手段とを含むトラヒック監視装置と
を有する。

また、本発明の第１の通信ネットワークトラヒック監視方法は、
トラヒック監視の前準備を行う際に、
ルータ、ゲートウェイまたは通信装置に対し、パケット識別子を設定するステップと、トラヒック監視装置に対する通信パスを設定するステップを有し、トラヒック監視装置に対し、パケット識別子を設定するステップと、トラヒック監視のために必要な処理方法を設定するステップと、ルータ、ゲートウェイ、または通信装置に対する通信パスを設定するステップを有し、
トラヒック監視を開始する際に、
ルータ、ゲートウェイまたは通信装置に対し、パケット識別子で指定されるパケットフローをコピーし、該コピートラヒックを通信パス上の通信に用いられる通信プロトコル形式に変換して通信パスに転送するよう設定するステップを有し、トラヒック監視装置に対し、トラヒック監視の開始を設定するステップを有し、
トラヒック監視を終了する際に、
ルータ、ゲートウェイまたは通信装置に対し、パケット識別子で指定されるパケットフローのコピーおよび該コピートラヒックの通信パスへの転送を解除するよう設定するステップを有し、トラヒック監視装置に対し、トラヒック監視の解除を設定するステップを有する。

監視対象トラヒックが流れている通信回線すべてに対して、ルータ、ゲートウェイ、またはネットワーク装置を配備し、該装置とトラヒック監視装置との間に通信パスを設定する。ここで、ルータ、ゲートウェイ、または通信装置において、パケット識別子で指定されるパケットフローをコピーし、該コピートラヒックを通信パス上の通信に用いられるプロトコル形式に変換して通信パスに転送することにより、トラヒック監視装置は、複数の通信回線を流れる監視対象トラヒックをすべて通信パスから受信できる。通信パスから受信したパケットまたはフレームまたはセルの前記パス識別子を抽出することにより、どの通信回線を流れる監視対象トラヒックであるかの特定を行う。通信パスから受信したパケットまたはフレームまたはセルの前記パケット識別子を抽出することにより、トラヒック監視のために必要な処理を前記パケット識別子で指定されるパケットフロー毎に異ならせて処理する。処理結果のトラヒック情報は、抽出したパス識別子および抽出したパケット識別子毎に記録する。これにより、パケット識別子で指定されるパケットフロー毎に、かつ、監視対象トラヒックが経由する通信回線毎に、トラヒック情報を収集することが可能となる。トラヒック監視装置は、通信パスから受信したパケットまたはフレームまたはセルに対してトラヒック監視のために必要な処理を行った後で、該パケットまたはフレームまたはセルを廃棄することにより、ルータ、ゲートウェイ、または通信装置がコピーしたパケットフローが、該パケットフローの送信先ホストに対して二重に転送されることはない。

本発明の第２の通信ネットワークトラヒック監視システムは、
監視対象通信ネットワークにおける通信パスを設定する手段と、監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローを通信パス上の通信に用いられる通信プロトコル形式に変換して通信パスに転送する手段を含むルータ、ゲートウェイまたは通信装置と、
監視対象通信ネットワークにおける通信パス設定手段と、通信パスから受信したパケットまたはフレームまたはセルに対し、通信パス上の通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパス識別子を抽出する手段と、監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報に基づいてあらかじめ定義されたパケット識別子を抽出する手段と、パケット識別子毎にあらかじめ定義されたトラヒック監視のために必要な処理方法に基づいて受信したパケットまたはフレームまたはセルを処理する手段と、抽出したパス識別子および抽出したパケット識別子毎にトラヒック情報を記録する手段と、前記通信パスから受信したパケットまたはフレームまたはセルを前記監視対象通信ネットワークでの通信に用いられる通信プロトコル形式に変換して転送する手段を含むトラヒック監視装置と、
を有する。

また、本発明の第２の通信ネットワークトラヒック監視方法は、
トラヒック監視の前準備を行う際に、
ルータ、ゲートウェイまたは通信装置に対し、パケット識別子を設定するステップと、トラヒック監視装置に対する通信パスを設定するステップを有し、トラヒック監視装置に対し、パケット識別子を設定するステップと、トラヒック監視のために必要な処理方法を設定するステップと、ルータ、ゲートウェイまたは通信装置に対する通信パスを設定するステップを有し、
トラヒック監視を開始する際に、
ルータ、ゲートウェイまたは通信装置に対し、パケット識別子で指定されるパケットフローを通信パス上の通信に用いられる通信プロトコル形式に変換して通信パスに転送するよう設定するステップを有し、トラヒック監視装置に対し、トラヒック監視の開始を設定するステップを有し、
トラヒック監視を終了する際に、
ルータ、ゲートウェイ、または通信装置に対し、パケット識別子で指定されるパケットフローを通信パス上の通信に用いられる通信プロトコル形式に変換して通信パスに転送することを解除するよう設定するステップを有し、トラヒック監視装置に対し、トラヒック監視の解除を設定するステップとを有する。

監視対象トラヒックが流れている通信回線すべてに対して、ルータ、ゲートウェイ、またはネットワーク装置を配備し、該装置とトラヒック監視装置との間に通信パスを設定する。ここで、前記ルータ、ゲートウェイ、または通信装置において、パケット識別子で指定されるパケットフローを通信パス上の通信に用いられるプロトコル形式に変換して前記パスに転送するように設定して転送経路を変更することにより、トラヒック監視装置は、複数の通信回線を流れる監視対象トラヒックをすべて通信パスから受信できる。通信パスから受信したパケットまたはフレームまたはセルのパス識別子を抽出することにより、どの通信回線を流れる監視対象トラヒックであるかの特定を行う。通信パスから受信したパケットまたはフレームまたはセルのパケット識別子を抽出することにより、トラヒック監視のために必要な処理を前記パケット識別子で指定されるパケットフロー毎に異ならせて処理する。処理結果のトラヒック情報は、前記抽出したパス識別子および前記抽出したパケット識別子毎に記録する。これにより、パケット識別子で指定されるパケットフロー毎に、かつ、監視対象トラヒックが経由する通信回線毎に、トラヒック情報を収集することが可能となる。通信パスから受信したパケットまたはフレームまたはセルを監視対象通信ネットワークでの通信に用いられる通信プロトコル形式に変換して転送することにより、ルータ、ゲートウェイ、または通信装置が通信パスにルーチングすることにより転送経路が変更されたすべてのパケットは、正常に該パケットの送信先ホストに対して転送される。

なお、通信パスとして、ＡＴＭ、ＭＰＬＳ、フレームリレー、ＩＰカプセル化によるトンネルを使用することができる。

また、パス識別子として、通信パスがＡＴＭの場合ＶＰＩ（Ｖｉｒｔｕａｌ ＰａｔｈＩｄｅｎｔｉｆｉｃａｔｉｏｎ）またはＶＣＩ（Ｖｉｒｔｕａｌ Ｃｈａｎｎｅｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）またはＶＰＩとＶＣＩの組を、通信パスがＭＰＬＳの場合ラベルを、通信パスがフレームリレーの場合ＤＬＣＩ（Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ）を、通信パスがＩＰカプセル化の場合トンネルのカプセル化用ＩＰヘッダの送信元ＩＰアドレスまたは宛先ＩＰアドレスまたは送信元ＩＰアドレスと宛先ＩＰアドレスの組を、使用することができる。

また、監視対象ＩＰネットワークがＩＰネットワークである場合、前記パケット識別子として、送信元ＩＰアドレス、送信元アドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）タイプ、ＩＣＭＰコード、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）パケットのメソッド種別、ＨＴＴＰパケットのＵＲＬのいずれかおよびそれらの組合せを使用することができる。

また、トラヒック監視のために必要な処理方法として、パケットカウント、レート測定、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）コネクション数カウント、アプリケーションスペシフィックコネクション数カウント、パケットデータ記録、パケットサイズ記録を使用することができる。

以上説明したように、本発明によれば、ルータ、ゲートウェイ、または通信装置とトラヒック監視装置との間に通信パスを設定し、複数の通信回線を流れる監視対象トラヒックを１つのトラヒック監視装置において監視し、トラヒック監視装置において、受信したパケットまたはフレームまたはセルからパス識別子を抽出することにより、あらかじめ指定されたパケットフローのトラヒック情報に対し、該パケットフローが経由する通信回線毎のトラヒック情報を１つのトラヒック監視装置において効率的に収集することが可能となり、地理的に離れている複数の通信回線における監視対象トラヒックの状況を同時に確認したい場合に経済的なシステムを構成することができる。

また、ＩＰネットワークのように、パケットの送信元アドレスが詐称される可能性のある監視対象通信ネットワークの場合、トラヒック監視装置において、受信したパケットまたはフレームまたはセルからパス識別子を抽出することにより、あらかじめ指定されたパケットフローのトラヒック情報に対し、該パケットの送信元アドレスが詐称されていても、該パケットフローが経由する通信回線毎のトラヒック情報を正確に１つのトラヒック監視装置において収集することが可能となる。

次に、本発明の実施の形態について図面を参照して詳細に説明する。

図１を参照すると、本発明の一実施形態のＩＰネットワークトラヒック監視システムは、トラヒック監視装置１と、ゲートウェイ１１、１２、１３と、ルータ１４と、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）ネットワークＮ１と、外部ネットワークＮ１１、Ｎ１２、Ｎ１３と、通信回線Ｌ１、Ｌ２、Ｌ３と、ＧＲＥトンネルＰ１、Ｐ２、Ｐ３で構成されている。ＩＳＰネットワークＮ１と外部ネットワークＮ１１、Ｎ１２、Ｎ１３はＩＰネットワークである。ＧＲＥ（Ｇｅｎｅｒｉｃ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ）トンネルＰ１、Ｐ２、Ｐ３は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｃｋ Ｆｏｒｃｅ） ＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）２７８４で定義されたトンネルプロトコルであるＧＲＥを用いて設定されたトンネルパスである。ＧＲＥトンネルによりカプセル化されたパケットは、図２に示すように、ＧＲＥトンネルのカプセル化用ＩＰヘッダ、ＧＲＥヘッダ、ＧＲＥトンネルの内側のＩＰヘッダ、レイヤ４ヘッダ、ユーザデータから構成される。

トラヒック監視装置１は、ルータ１４に収容され、ＩＳＰネットワークＮ１に接続する。外部ネットワークＮ１１、Ｎ１２、Ｎ１３は、それぞれ通信回線Ｌ１、Ｌ２、Ｌ３を介してそれぞれゲートウェイ１１、１２、１３に収容され、ＩＳＰネットワークＮ１に接続する。ゲートウェイ１１、１２、１３とトラヒック監視装置１との間にそれぞれＧＲＥトンネルＰ１、Ｐ２、Ｐ３が設定されている。ゲートウェイ１１、１２、１３におけるＧＲＥトンネルのカプセル化用ＩＰアドレスは、それぞれＩＰ＃１、ＩＰ＃２、ＩＰ＃３である。

［第１の実施形態］
図３は、図１の第１の実施形態によるＩＰネットワークトラヒック監視システムの設定手順を示すフローチャートである。

トラヒック監視の準備として、ゲートウェイ１１、１２、１３に対し、監視対象トラヒックを定義するパケット識別子を設定し（ステップ１０１）、トラヒック監視装置１に対するＧＲＥトンネル（それぞれＰ１、Ｐ２、Ｐ３）を設定する（ステップ１０２）。また、トラヒック監視装置１に対し、監視対象トラヒックを定義するパケット識別子を設定し（ステップ１１１）、ステップ１１１で設定したパケット識別子毎に定義されたトラヒック監視のために必要な処理方法を設定し（ステップ１１２）、ゲートウェイ１１、１２、１３に対するＧＲＥトンネル（トンネルＰ１、Ｐ２、Ｐ３）を設定する（ステップ１１３）。

トラヒック監視を開始する場合は、ゲートウェイ１１、１２、１３に対し、ステップ１０１で設定されたパケット識別子で指定されるパケットフローをコピーし、コピートラヒックをそれぞれＧＲＥトンネルＰ１、Ｐ２、Ｐ３にルーチングするように設定する（ステップ１０３）。また、トラヒック監視装置１に対し、トラヒック監視を開始するよう設定する（ステップ１１４）。

トラヒック監視を終了する場合は、ゲートウェイ１１、１２、１３に対し、ステップ１０１で設定されたパケット識別子で指定されるパケットフローのコピー、および、コピートラヒックをそれぞれＧＲＥトンネルＰ１、Ｐ２、Ｐ３にルーチングすることの解除を設定する（ステップ１０４）。また、トラヒック監視装置１に対し、トラヒック監視の解除を設定する（ステップ１１５）。

図４は本発明の第１の実施形態のＩＰネットワークトラヒック監視システムのトラヒック監視装置１の構成を示している。

図４を参照すると、トラヒック監視装置１は、通信ポート１００１と、パケット受信部１００２と、パス識別子抽出部１００４と、パケット識別子抽出部１００５と、トラヒック監視部１００６と、トラヒック情報記録部１００７と、通信パス設定部１０１２と、パス識別子テーブル１００８と、パケット識別子テーブル１００９と、トラヒック監視処理ポリシーテーブル１０１０と、トラヒック情報データベース１０１１とから構成されている。通信ポート１００１は、図１のルータ１４に収容され、ＩＳＰネットワークＮ１と接続している通信ポートである。

図５は本発明の第１の実施形態のＩＰネットワークトラヒック監視システムのゲートウェイ１１、１２、１３の構成を示している。

ゲートウェイ１１、１２、１３はＩＰネットワークにおける通信パスを設定する通信パス設定部２００１と、ＩＰ通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローをコピーするパケットフローコピー部２００２と、該コピートラヒックを前記通信パス上の通信に用いられるプロトコル形式に変換して通信パスに転送するコピートラヒック転送部２００３とを有している。

図６は、図４のトラヒック監視装置１におけるトラヒック監視手順を示すフローチャートである。

パケット受信部１００２により通信ポート１００１からパケットを受信し（ステップ２０１）、該パケットがＧＲＥトンネルによりカプセル化されたパケットでなかった場合は、処理を終了する。ＧＲＥトンネルによりカプセル化されたパケットを受信した場合、パス識別子抽出部１００４により該受信パケットからパス識別子を抽出し（ステップ２０２）、抽出したパス識別子に基づきパス識別子テーブル１００８を検索し（ステップ２０３）、マッチしなかった場合処理を終了する。

表１に、パス識別子テーブル１００８の設定例を示す。この場合のパス識別子は、ＧＲＥトンネルのカプセル化用ＩＰヘッダの送信元ＩＰアドレスである。

例えば、トラヒック監視装置１がゲートウェイ１１からＧＲＥトンネルによりカプセル化されたパケットを受信した場合、該パケットのパス識別子を抽出すると、その値はＩＰ＃１であるため、表１に示すパス識別子テーブル１００８を検索すると、１行目にマッチする。同様に、トラヒック監視装置１がゲートウェイ１２、１３からＧＲＥトンネルによりカプセル化されたパケットを受信した場合、表１に示すパス識別子テーブル１００８を検索すると、それぞれ２行目、３行目にマッチする。

パス識別子テーブル１００８を検索してマッチした場合、パケット識別子抽出部１００５により受信パケットからパケット識別子を抽出し（ステップ２０４）、抽出したパケット識別子に基づきパケット識別子テーブル１００９を検索し（ステップ２０５）、マッチしなかった場合、プロトコル変換部１００３により該受信パケットに対してＧＲＥトンネルのカプセルを外してＩＰパケット形式に変換し（ステップ２０９）、パケット受信部１００２により通信ポート１００１にパケットを送信する（ステップ２１０）。

表２にパケット識別子テーブル１００９の設定例を示す。この場合のパケット識別子は、ＧＲＥトンネルの内側のＩＰヘッダの送信元ＩＰアドレスと宛先ＩＰアドレスとプロトコル番号、および、レイヤ４ヘッダの送信元ポート番号と宛先ポート番号の組である。

例えば、トラヒック監視装置１がゲートウェイ１１からＧＲＥトンネルパケットを受信し、該パケットのＧＲＥトンネルの内側のＩＰヘッダの送信元ＩＰアドレスが１．２．３．４、宛先ＩＰアドレスが１０．１．１．１、プロトコル番号が６、レイヤ４ヘッダの送信元ポート番号が１００００、宛先ポート番号が８０である場合（以降、パケット＃１と呼ぶ）、該パケットのパケット識別子を抽出すると、その値は（１．２．３．４，１０．１．１．１，６，１００００，８０）であるため、表２に示すパケット識別子テーブル１００９を検索すると、１行目にマッチする。

パケット識別子テーブル１００９を検索してマッチした場合、トラヒック監視部１００６により、抽出したパケット識別子に基づきトラヒック監視処理ポリシーテーブル１０１０を検索し（ステップ２０６）、マッチしなかった場合、プロトコル変換部１００３により、受信パケットに対してＧＲＥトンネルのカプセルを外してＩＰパケット形式に変換し（ステップ２０９）、パケット受信部１００２により通信ポート１００１にパケットを送信する（ステップ２１０）。

表３に、トラヒック監視処理ポリシーテーブル１０１０の設定例を示す。この場合のトラヒック監視処理ポリシーは、ＴＣＰ ＳＹＮパケットのカウント、ＴＣＰ ＳＹＮ−ＡＣＫパケットのカウント、ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔパケットのカウント、ＩＣＭＰ Ｅｃｈｏ Ｒｅｐｌｙパケットのカウントの４種類であり、それぞれ表２のパケット識別子テーブル１００９の１行目、２行目、３行目、３行目にマッチした場合にのみ処理を行う。

例えば、前記パケット＃１を受信した場合、表２のパケット識別子テーブルの１行目にマッチするため、表３に示すトラヒック監視処理ポリシーテーブル１０１０を検索すると、１行目にマッチし、ＴＣＰ ＳＹＮパケットのカウント処理を行う。

トラヒック監視処理ポリシーテーブル１０１０を検索してマッチした場合、プロトコル変換部１００３によりトラヒック監視処理を行い（ステップ２０７）、その結果取得したトラヒック情報を、パス識別子およびパケット識別子毎にトラヒック情報データベース１０１１に記録し（ステップ２０８）、受信パケットに対してＧＲＥトンネルのカプセルを外してＩＰパケット形式に変換し（ステップ２０９）、パケット送受信部１００２により通信ポート１００１にパケットを送信する（ステップ２１０）。

表４に、トラヒック情報データベース１０１１のトラヒック情報の記録例を示す。

前記パケット＃１を受信した場合、表１に示すパス識別子テーブル１００８の１行目にマッチし、表２のパケット識別子テーブル１００９の１行目にマッチし、表３に示すトラヒック監視処理ポリシーテーブル１０１０の４行目にマッチするため、表４のトラヒック情報データベース１０１１の４行目のトラヒック情報を更新する。つまり、受信パケットがＴＣＰ ＳＹＮパケットであれば、表４のトラヒック情報データベース１０１１の４行目のトラヒック情報の値を１増やす。

［第２の実施形態］
図７は、図１のシステムを用いた本発明の第２の実施形態によるＩＰネットワークトラヒック監視システムの設定手順を示すフローチャートである。

図３に示す本発明の第１の実施形態によるＩＰネットワークトラヒック監視システムの設定手順とは、ステップ１０５とステップ１０６が異なる。以下、処理が異なるゲートウェイ１１、１２、１３のトラヒック監視開始とトラヒック監視終了の際の設定手順についてのみ説明する。

トラヒック監視を開始する場合は、ゲートウェイ１１、１２、１３に対し、ステップ１０１で設定したパケット識別子により指定されるパケットフローをそれぞれＧＲＥトンネルＰ１、Ｐ２、Ｐ３にルーチングするようにルーチング変更を設定する（ステップ１０５）。

トラヒック監視を終了する場合は、ゲートウェイ１１、１２、１３に対し、ステップ１０１で設定されたパケット識別子で指定されるパケットフローをそれぞれＧＲＥトンネルＰ１、Ｐ２、Ｐ３にルーチングすることを解除するようにルーチング変更を設定する（ステップ１０６）。

図８は、本発明の第２の実施形態のＩＰネットワークトラヒック監視システムのトラヒック監視装置の構成を示している。

図３に示す第１の実施形態によるトラヒック監視装置とは、通信パスから受信したパケットをＩＳＰネットワークＮ１での通信に用いられる通信形式に変換して転送するプロトコル変換部１００３をさらに有する点、および、パケット受信部１００２のかわりにパケット送受信部１００２’が存在している点のみが異なる。

図９は本発明の第２の実施形態のＩＰネットワークトラヒック監視システムのゲートウェイ１１、１２、１３の構成を示している。

ゲートウェイ１１、１２、１３は、ＩＰネットワークにおける通信パスを設定する通信パス設定部２００１と、ＩＰ通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローを前記通信パス上の通信に用いられる通信プロトコル形式に変換して通信パスに転送するパケットフロー転送部２００４とを有している。

図１０は、図８のトラヒック監視装置におけるトラヒック監視手順を示すフローチャートである。図６に示す本発明の第１の実施形態によるトラヒック監視手順とは、ステップ２０９のＧＲＥトンネルのカプセルを外してＩＰパケット形式に変換する手順と、ステップ２１０の通信ポート１００１にパケットを送信する手順をさらに有している点のみが異なり、その他については図５に示す手順と同一であるため、図１０については、説明を省略する。

［変形例］
ここでは、ルータ、ゲートウェイまたは通信装置とトラヒック監視装置との間の通信パスとして、ＧＲＥトンネルを用いる場合について説明したが、ＡＴＭ、ＭＰＬＳ、フレームリレー、ＧＲＥトンネル以外のトラヒックカプセル化トンネルを使用する場合についても同様である。ＡＴＭを用いる場合、ＶＰＩまたはＶＣＩまたはＶＰＩとＶＣＩの組をパス識別子として用いればよい。ＭＰＬＳを用いる場合、ラベルをパス識別子として用いればよい。フレームリレーを用いる場合、ＤＬＣＩをパス識別子として用いればよい。ＧＲＥを含めてＩＰカプセル化トンネルを使用する場合、トンネルのカプセル化用ＩＰヘッダの送信元ＩＰアドレスまたは宛先ＩＰアドレスまたは送信元ＩＰアドレスと宛先ＩＰアドレスの組をパス識別子として用いればよい。

また、監視対象トラヒックを定義するパケット識別子として、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル番号、レイヤ４ヘッダの送信元ポート番号、レイヤ４ヘッダの宛先ポート番号を用いる場合について説明したが、レイヤ３からレイヤ７のいずれの情報を用いてもよい。レイヤ３情報として、例えば、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレスのサブネットマスク、サービスタイプ、全体長、生存時間を用いてもよい。レイヤ４情報として、例えば、ＩＣＭＰタイプ、ＩＣＭＰコードを用いてもよい。レイヤ７情報として、例えば、ＨＴＴＰパケットのメソッド種別、ＨＴＴＰパケットのＵＲＬを用いてもよい。

また、トラヒック監視処理ポリシーとして、ＴＣＰ ＳＹＮパケットのカウント、ＴＣＰ ＳＹＮ−ＡＣＫパケットのカウント、ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔパケットのカウント、ＩＣＭＰ Ｅｃｈｏ Ｒｅｐｌｙパケットのカウントを用いる場合について説明したが、パケット処理方法として、パケットカウント以外に、レート測定、ＴＣＰ／ＵＤＰコネクション数カウント、アプリケーションスペシフィックコネクション数カウント、パケットデータ記録、パケットサイズ記録を用いてもよい。

パケット処理対象の定義に、レイヤ３からレイヤ７のいずれの情報を用いてもよい。レイヤ３からレイヤ７情報として、前記の例に記述したいずれも用いることができる。

なお、トラヒック監視装置およびゲートウェイの機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。

本発明によるＩＰネットワークトラヒック監視システムの構成例を示す図である。 ＧＲＥトンネルによりカプセル化されたパケットの構造を示す図である。 本発明の第１の実施形態によるＩＰネットワークトラヒック監視システムの設定手順を示すフローチャートである。 本発明の第１の実施形態によるトラヒック監視装置の一構成例を示す図である。 本発明の第１の実施形態のＩＰネットワークトラヒック監視システムにおけるゲートウェイ１１、１２、１３の構成例を示す図である。 本発明の第１の実施形態によるトラヒック監視装置のトラヒック監視手順を示すフローチャートである。 本発明の第２の実施形態によるＩＰネットワークトラヒック監視システムの設定手順を示すフローチャートである。 本発明の第２の実施形態によるトラヒック監視装置の一構成例を示す図である。 本発明の第２の実施形態のＩＰネットワークトラヒック監視システムにおけるゲートウェイ１１、１２、１３の構成例を示す図である。 本発明の第２の実施形態によるトラヒック監視装置のトラヒック監視手順を示すフローチャートである。

符号の説明

１ トラヒック監視装置
１１、１２、１３ ゲートウェイ
１４ ルータ
Ｎ１ ＩＳＰネットワーク
Ｎ１１、Ｎ１２、Ｎ１３ 外部ネットワーク
Ｌ１、Ｌ２、Ｌ３ 通信回線
ＩＰ＃１、ＩＰ＃２、ＩＰ＃３ ＧＲＥトンネルのカプセル化用ＩＰアドレス
Ｐ１、Ｐ２、Ｐ３ ＧＲＥトンネル
１０１〜１０６、１１１〜１１５、２０１〜２１０ ステップ
１００１ 通信ポート
１００２ パケット受信部
１００２’ パケット送受信部
１００３ プロトコル変換処理部
１００４ パス識別子抽出処理部
１００５ パケット識別子抽出処理部
１００６ トラヒック監視処理部
１００７ トラヒック情報記録処理部
１００８ パス識別子テーブル
１００９ パケット識別子テーブル
１０１０ トラヒック監視処理ポリシーテーブル
１０１１ トラヒック情報データベース
１０１２ 通信パス設定部
２００１ 通信パス設定部
２００２ パケットフローコピー部
２００３ コピートラヒック転送部
２００４ パケットフロー転送部

Claims (14)

1. 通信ネットワークを流れるトラヒックを監視してトラヒック情報を収集するトラヒック監視装置であって、
   監視対象通信ネットワークにおける通信パスを設定する手段と、
   前記通信パスから受信したパケットまたはフレームまたはセルから、前記通信パス上の通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパス識別子を抽出する手段と、
   前記通信パスから受信したパケットまたはフレームまたはセルから、前記監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子を抽出する手段と、
   前記パケット識別子毎にあらかじめ定義されたトラヒック監視のために必要な処理方法に基づいて、受信したパケットまたはフレームまたはセルを処理する手段と、
   前記抽出したパス識別子および前記抽出したパケット識別子毎にトラヒック情報を記録する手段と
   を有するトラヒック監視装置。
2. 前記通信パスから受信したパケットまたはフレームまたはセルを前記監視対象通信ネットワークでの通信に用いられる通信プロトコル形式に変換して転送する手段をさらに有する、請求項１に記載のトラヒック監視装置。
3. 前記通信パスが、ＡＴＭ、ＭＰＬＳ、フレームリレー、ＩＰカプセル化によるトンネルのいずれかである、請求項１または請求項２に記載のトラヒック監視装置。
4. 前記パス識別子が、ＡＴＭのＶＰＩまたはＶＣＩまたはＶＰＩとＶＣＩの組、ＭＰＬＳのラベル、フレームリレーのＤＬＣＩ、ＩＰカプセル化によるトンネルのカプセル化用ＩＰヘッダの送信元ＩＰアドレスまたは宛先ＩＰアドレスまたは送信元ＩＰアドレスと宛先ＩＰアドレスの組のいずれかである、請求項１または請求項２に記載のトラヒック監視装置。
5. 前記パケット識別子が、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコード、ＨＴＴＰパケットのメソッド種別、ＨＴＴＰパケットのＵＲＬのいずれかおよびそれらの組合せである、請求項１または請求項２に記載のトラヒック監視装置。
6. 前記トラヒック監視のために必要な処理方法が、パケットカウント、レート測定、ＴＣＰ／ＵＤＰコネクション数カウント、アプリケーションスペシフィックコネクション数カウント、パケットデータ記録、パケットサイズ記録のいずれかおよびそれらの組合せである、請求項１または請求項２に記載のトラヒック監視装置。
7. 通信ネットワークを流れるトラヒックを監視してトラヒック情報を収集する通信ネットワークトラヒック監視システムであって、
   監視対象通信ネットワークにおける通信パスを設定する手段と、前記監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローをコピーする手段と、該コピートラヒックを前記通信パス上の通信に用いられるプロトコル形式に変換して前記通信パスに転送する手段を含むルータ、ゲートウェイ、または通信装置と、
   監視対象通信ネットワークにおける通信パスを設定する手段と、前記通信パスから受信したパケットまたはフレームまたはセルから、前記通信パス上の通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパス識別子を抽出する手段と、前記パケットまたはフレームまたはセルから、前記監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子を抽出する手段と、前記パケット識別子毎にあらかじめ定義されたトラヒック監視のために必要な処理方法に基づいて、受信したパケットまたはフレームまたはセルを処理する手段と、前記抽出したパス識別子および前記抽出したパケット識別子毎にトラヒック情報を記録する手段とを含むトラヒック監視装置と
   を有する通信ネットワークトラヒック監視システム。
8. 通信ネットワークを流れるトラヒックを監視してトラヒック情報を収集する通信ネットワークトラヒック監視システムであって、
   監視対象通信ネットワークにおける通信パスを設定する手段と、前記監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子で指定されるパケットフローを前記通信パス上の通信に用いられる通信プロトコル形式に変換して前記通信パスに転送する手段を含むルータ、ゲートウェイ、または通信装置と、
   監視対象通信ネットワークにおける通信パスを設定する手段と、前記通信パスから受信したパケットまたはフレームまたはセルから、前記通信パス上の通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパス識別子を抽出する手段と、前記パケットまたはフレームまたはセルから、前記監視対象通信ネットワークでの通信に用いられる通信プロトコルヘッダ情報の組合せにより定義されたパケット識別子を抽出する手段と、前記パケット識別子毎にあらかじめ定義されたトラヒック監視のために必要な処理方法に基づいて、受信したパケットまたはフレームまたはセルを処理する手段と、前記抽出したパス識別子および前記抽出したパケット識別子毎にトラヒック情報を記録する手段と、前記通信パスから受信したパケットまたはフレームまたはセルを前記監視対象通信ネットワークでの通信に用いられる通信プロトコル形式に変換して転送する手段を含むトラヒック監視装置と
   を有する通信ネットワークトラヒック監視システム。
9. 前記通信パスが、ＡＴＭ、ＭＰＬＳ、フレームリレー、ＩＰカプセル化によるトンネルのいずれかである、請求項７または請求項８に記載の通信ネットワークトラヒック監視システム。
10. 前記パス識別子が、ＡＴＭのＶＰＩまたはＶＣＩまたはＶＰＩとＶＣＩの組、ＭＰＬＳのラベル、フレームリレーのＤＬＣＩ、ＩＰカプセル化によるトンネルのカプセル化用ＩＰヘッダの送信元ＩＰアドレスまたは宛先ＩＰアドレスまたは送信元ＩＰアドレスと宛先ＩＰアドレスの組のいずれかである、請求項７または請求項８に記載の通信ネットワークトラヒック監視システム。
11. 前記パケット識別子が、送信元ＩＰアドレス、送信元ＩＰアドレスのサブネットマスク、宛先ＩＰアドレス、宛先ＩＰアドレスのサブネットマスク、プロトコル番号、送信元ポート番号、宛先ポート番号、サービスタイプ、全体長、生存時間、ＩＣＭＰタイプ、ＩＣＭＰコード、ＨＴＴＰパケットのメソッド種別、ＨＴＴＰパケットのＵＲＬのいずれかおよびそれらの組合せである、請求項７または請求項８に記載の通信ネットワークトラヒック監視システム。
12. 前記トラヒック監視のために必要な処理方法が、パケットカウント、レート測定、ＴＣＰ／ＵＤＰコネクション数カウント、アプリケーションスペシフィックコネクション数カウント、パケットデータ記録、パケットサイズ記録のいずれかおよびそれらの組合せである、請求項７または請求項８に記載の通信ネットワークトラヒック監視システム。
13. ルータ、ゲートウェイ、または通信装置とトラヒック監視装置から構成される通信ネットワークトラヒック監視システムにおける通信ネットワークトラヒック監視方法であって、
    トラヒック監視の前準備を行う際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、パケット識別子を設定するステップと、前記トラヒック監視装置に対する通信パスを設定するステップを有し、前記トラヒック監視装置に対し、前記パケット識別子を設定するステップと、前記トラヒック監視のために必要な処理方法を設定するステップと、前記ルータ、ゲートウェイ、または通信装置に対する通信パスを設定するステップを有し、
    トラヒック監視を開始する際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、前記パケット識別子で指定されるパケットフローをコピーし、該コピートラヒックを前記通信パス上の通信に用いられる通信プロトコル形式に変換して前記通信パスに転送するよう設定するステップを有し、前記トラヒック監視装置に対し、トラヒック監視の開始を設定するステップを有し、
    トラヒック監視を終了する際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、前記パケット識別子で指定されるパケットフローのコピーおよび該コピートラヒックの前記通信パスへの転送を解除するよう設定するステップを有し、前記トラヒック監視装置に対し、トラヒック監視の解除を設定するステップを有する
    通信ネットワークトラヒック監視方法。
14. ルータ、ゲートウェイ、または通信装置とトラヒック監視装置から構成される通信ネットワークトラヒック監視システムにおける通信ネットワークトラヒック監視方法であって、
    トラヒック監視の前準備を行う際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、パケット識別子を設定するステップと、前記トラヒック監視装置に対する通信パスを設定するステップを有し、前記トラヒック監視装置に対し、前記パケット識別子を設定するステップと、前記トラヒック監視のために必要な処理方法を設定するステップと、前記ルータ、ゲートウェイまたは通信装置に対する通信パスを設定するステップを有し、
    トラヒック監視を開始する際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、前記パケット識別子で指定されるパケットフローを前記通信パス上の通信に用いられる通信プロトコル形式に変換して前記通信パスに転送するよう設定するステップを有し、前記トラヒック監視装置に対し、トラヒック監視の開始を設定するステップを有し、
    トラヒック監視を終了する際に、
    前記ルータ、ゲートウェイ、または通信装置に対し、前記パケット識別子で指定されるパケットフローを前記通信パス上の通信に用いられる通信プロトコル形式に変換して前記通信パスに転送することを解除するよう設定するステップを有し、前記トラヒック監視装置に対し、トラヒック監視の解除を設定するステップとを有する
    通信ネットワークトラヒック監視方法。

Images