(57)【特許請求の範囲】
【請求項１】
複数のネットワーク機器と複数の計算機とからなり、複数のユーザグループが利用するネットワークと、前記ネットワークの運用ポリシーを格納するデータベースと、前記ネットワーク機器の管理を行う管理制御装置とからなる、ネットワーク管理システムであって、
前記複数のユーザグループが、それぞれ異なる前記運用ポリシーを持つ場合に、
前記運用ポリシーを、
前記複数のユーザグループそれぞれについて、当該ユーザグループ内の前記計算機で実行するアプリケーションプログラム別に、通信を許可または禁止する通信先となる他の前記ユーザグループを規定するZone定義と、
前記アプリケーションプログラム毎に、実行する前記計算機と通信先となる前記計算機または前記ユーザグループと前記実行する計算機のポート番号とを規定するAP定義と、を用いて構成し、
前記管理制御装置は、前記データベースに格納される前記Zone定義と前記AP定義と、前記ネットワークの物理的な構成情報と、から、各々の前記ネットワーク機器それぞれへの設定情報を求める
ことを特徴とするネットワーク管理システム。
【請求項２】
請求項１の記載にネットワーク管理システムにおいて、
前記管理制御装置は、
個々の前記ネットワーク機器について、前記アプリケーションプログラム毎に使用するポート番号の全てをアクセス不許可とする設定情報を設定したアクセスリストを生成し、
前記Zone定義において規定された、通信が許可された前記アプリケーションプログラムと前記通信先の情報に基づき、通信を許可する当該ネットワーク機器のポート番号と通信先アドレスとを求め、前記アクセスリストに追加し、
前記AP定義において規定された、前記アプリケーションプログラムを実行する前記計算機と、通信先となる前記計算機または前記サブネットワークと、前記実行する計算機のポート番号と、に基づき、通信を許可する当該ネットワーク機器のポート番号と通信先アドレスとを求め、前記アクセスリストに追加する
ことを特徴とするネットワーク管理システム。
【請求項３】
請求項２の記載にネットワーク管理システムにおいて、
前記Zone定義は、さらに、前記許可する通信先別の優先度を規定するものであり、
前記管理制御装置は、前記優先度にも基づき、通信を許可する前記ポート番号と前記通信先アドレスとを求める
ことを特徴とするネットワーク管理システム。
【請求項４】
請求項１ないし３いずれか一に記載のネットワーク管理システムにおいて、
前記管理制御装置は、
予め、前記設定情報を前記ネットワーク機器へ設定するための制御用データを備え、
生成した前記制御情報を、前記制御用データに従い、前記ネットワーク機器へ設定する
ことを特徴とするネットワーク管理システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は計算機ネットワークに係わり、特に複数のルータやFirewall装置と、多数の管理ポリシーの異なるサブネットから構成される中・大規模のネットワークのアクセスリスト・QoS設定・VPN設定などの設定を簡単に行う仕組みを提供するためのネットワーク管理システムおよび管理方式に関する。
【０００２】
【従来の技術】
従来、複数のルータやFirewall装置と、多数の管理ポリシーの異なるサブネットから構成される中・大規模のネットワークにおいては、個々のルータやFirewall装置の設定内容が著しく複雑となっていた。例えば、VPN(Virtual Private Network)などセキュリティ関係の技術はRFC2401などに、QoS(Quality of Service)関連の技術はRFC2205などに規格が記述されているが、これらを理解するには高度な技術力を要した。
また、これら規格に関連して、遠隔地点から設定を自動配布する方法も考案されている（例えばInternet Draftのdraft-ietf-rap-cops-05.txt等）。しかしながら、ネットワーク機器の設定知識を必要とするという点では同じである。
【０００３】
【発明が解決しようとする課題】
この為に、高度な専門知識を持つ専門家の不足からアクセスリストやVPNのようなセキュリティ上重要な設定やQoSの設定は、従来のネットワーク管理においては十分にはなされていなかった。
本発明は、上記課題を解決し、必要な設定を簡便に行なえるネットワーク管理システム、管理方法を提供することを目的とする。
また、上記管理システム、管理方法を実現する、個々の計算機に用いるソフトウェアを提供することを目的とする。
【０００４】
【課題を解決するための手段】
上記目的を達成するために、本発明は、ネットワーク上で実行される業務に関する定義から、個々のルータやFirewall装置などの設定を自動生成・設定する仕組みを提供する。
この仕組みによって、従来方法では複雑であったネットワーク管理を単純に行うことが可能になる。すなわち、アクセスリストやVPNのような専門家以外には設定の難しい設定を、利用者にわかりやすい業務内容から自動変換することで、必要な設定が簡便に行なえるようになる。
【０００５】
【発明の実施の形態】
以下、本発明の一実施例を詳細に説明する。
図1は本発明を適用したネットワークの構成例を示した図である。図1において、5は管理対象のネットワークであり、ここでは2つの事業所と、両方の事業所の管理を行う経理課・勤労課からなるTCP/IP技術を用いた企業内ネットワークを想定している。1はネットワーク5の運用ポリシーを記憶する中央ポリシーDBであり、一般的な計算機上に構築したデータベースである。11,12,13,14,15,16,17は中央ポリシーDB1の記憶内容例であり、11〜16はネットワーク5を利用するユーザーグループの担当する業務例を記述したもので、内容例を図2に示す。17はネットワーク5に接続された計算機の上で実行されるアプリケーションプログラムに関する記述であり、内容例を図3に示す。2は中央ポリシーDB1の内容をコピーした複製DBであり、計算機上の適当なデータベースで良い。3は中央ポリシーDB1とネットワーク5を構成する機器の中間で両者の情報伝達をサポートする管理制御装置であり、適当なプログラムを具備した一般的な計算機で良い。4は中央ポリシーDB1の内容を表示・修正するための管理用入出力装置であり、適当な計算機の入出力装置で良い。
【０００６】
図1でネットワーク5は計算機532, 533, 535, 536, 538, 539,542, 543, 545, 546およびルータ531, 541, 537から構成され、ファイヤーウォール52を通してInternet 6に接続されている。このうちルータ531, 537 計算機532, 533, 535, 536, 538, 539はA事業所のルータと計算機であり、ルータ541 計算機542, 543, 545, 546はB事業所のルータと計算機である。また、計算機535, 545は経理課にも、計算機536, 546は勤労課にも所属している。
【０００７】
ネットワーク5のようなイントラネットを管理する時に重要になるのは、ファイヤーウォール52を正しく設定し、外部からクラックされないようにするだけではない。経理課や勤労課の業務内容は社内的にも秘密性が保たれるべき情報が多い。また事業所間でも互いに秘密にしておく情報がある場合もある。このような場合、VPNやルータによるアクセス制御を行い、不必要な情報転送が行われない様にネットワーク機器を設定する必要がある。また業務アプリによっては大量・高速の通信品質を必要とし、QoS制御が行われるべき場合もある。従来技術ではネットワーク5の管理者がルータ531, 541, 537等のアクセスリストやVPNを上記要求をみたすように設定する必要があった。しかし、VPNやQoSの設定は複雑であり、専門家の不足から十分な設定がなされない場合もあった。以下本発明により、上記のような業務からの要求が、ルータ等ネットワーク機器の設定情報に自動生成できることを説明する。
【０００８】
図2は中央ポリシーDBに記憶されるZone定義の内容例である。本実施例ではZoneはネットワークを利用するユーザーグループを意味する。図2に例示されたZone定義は該ユーザーグループの担当業務に関する記述が、該ユーザーグループ使用する業務プログラムに関する情報と、該業務プログラムが通信を行うユーザーグループに関する情報である。具体的には図2の内容例は中央ポリシーDB1に記憶された、ネットワーク5に接続された計算機の上で実行されるアプリケーションプログラムに関する業務グループごとの記述例であり、図2中、111はInternet関連で実行されるアプリケーションプログラムの定義、121はFireWall関連で実行されるアプリケーションプログラムの定義、131はA事業所関連で実行されるアプリケーションプログラムの定義、141はB事業所関連で実行されるアプリケーションプログラムの定義、151は経理関連で実行されるアプリケーションプログラムの定義、161は勤労関連で実行されるアプリケーションプログラムの定義であり、それぞれ業務プログラムの名称と通信先を指定している。
【０００９】
図2、111はInternet Zoneではアプリケーションプログラムとして電子mail(1111), news(1112), WWW(1113), telnet(1114)がFireWall Zoneとの間で通信を行い、このうち電子mailは優先的に通信が処理される(1111、優先度中)ことが指定されている。またtelnetはFirewall以外との通信処理を明示的に禁止する(1114)ことが指定されている。この指定は後述のアルゴリズムにより、ルータにおける明示的なアクセス禁止の設定に変換される。さらに111最後の行(1115)は上記以外のアプリケーションがInternet Zoneと通信することを指定している。
図2、121はFireWall Zoneではアプリケーションプログラムとして電子mailが全てのZoneと優先度中で通信し(1211)、news(1212)/ telnet(1215)が全てのZoneとの間で通信し、WWWはInternet Zoneとの間だけで通信される(1213)が、WWW proxyがA,B事業所との間で通信を行う(1214)ことを指定している。
【００１０】
図2、131はA事業所では電子mail(1311), news(1312), WWW proxy(1313)がFirewall Zoneと通信し、telnetがFireWall ZoneおよびB事業所と通信する(1314)こと、ポート番号4096、4097を使用する業務プログラムがB事業所との間で通信を行う(1315と1316)ことを指定している。またTelnetとポート番号4096, 4097を使用する業務プログラムがInternet Zoneと通信を行うことを明示的に禁止している。またポート番号4096の業務プログラムは優先度大で優先的にデータ通信することを指定している(1314、1315と1316)。
【００１１】
図2、141はB事業所の定義で、A事業所の定義と同様であるが、telnetに関してはA事業所との間のみでFireWall Zoneとの間の利用も禁止している(1414)。
図2、151は経理関連の定義で経理関係の業務は電子mail(1511), WWW proxy(1512), telnet(1513), ポート番号5001〜5003の業務プログラムである(1514、1515と1516)が、経理Zone内部での通信のみで、それ以外の部署との通信を禁止している。図2、161は同様に勤労Zoneのみに通信を制限した勤労関連業務グループ用の定義である。
【００１２】
図3は中央ポリシーDBに記憶されるアプリケーションプログラムの使用する通信プロトコルに関する情報と通信先に関する情報の定義例であり、以下AP定義と称する。図3、171は業務プログラムAP1単独の定義である。AP1はA事業所Zoneの計算機で実行されるプログラムAP171とA事業所の特に計算機2のみで実行されるAP172の2つのサブプログラムより実行される。またAP171はB事業所の計算機1とポート番号1111で(1711)、B事業所の計算機2とポート番号1112で(1712)通信を行うこと、AP172はB事業所の計算機2とポート番号1113で(1713)、B事業所の計算機1とポート番号1114で(1714)通信を行うこと、A事業所の任意の計算機とポート番号1115で通信を行うこと(1715)が指定されている。
【００１３】
以上図2、3を用いて説明してきた中央ポリシーDB1の記憶内容は、企業内で行われる業務に必要な通信の設定と、セキュリティ保持の為の通信禁止の設定を表形式でまとめた例である。図2は会社内の組織である事業所の業務に関する定義例であり、図3は会社内で使用されるアプリケーションプログラムに関する定義例である。
【００１４】
本発明によるネットワーク管理は、以上の情報を元に、ネットワークを構成する機器類の設定を自動的に行う。この時、以上の情報を管理用入出力装置４などにグラフィカルに表現する事も可能である。図4は図2に対応したZone定義のグラフィカルな表示例である。図5は図3に対応したAP定義の表示例である。また図6は図2の情報のうちtelnetの情報(1114、1215、1314、1414，1513、1513と1613)のみの表示例である。これらはネットワークの管理ポリシーに関する情報としては同じ内容であることに注意されたい。例えば図4は、Zoneに対応する箱を画面上の適当な位置に表示した後、アプリケーション種別ごとの通信先の情報を線種を変えて線として表示すれば図2から生成できる。この時、通信禁止の情報は線に×印をつけるなどすれば表示できる。図4に通信禁止の情報を付加した図面を考えた場合、図2への変換も容易である。
【００１５】
本発明によりネットワークを管理する管理者は、管理用入出力装置4を通して中央ポリシーDB1の内容を修正することで、ネットワークの管理を行う。この場合、図2、3のような表形式の情報を修正することで中央ポリシーDB1の内容を修正しても良いし、図4、5、6のようなグラフィカルな表示を図形用のエディタ機能を用いて修正しても良い。
【００１６】
図7は中央ポリシーDB1に記憶される補足情報の定義例である。本発明によるネットワークの管理システムでは中央ポリシーDB1にネットワークの運用ポリシーの他にネットワーク5の物理的な構成情報を記憶しておく。図7、100はルータ定義の例であり、101はVPN定義の例である。図7、100にはrouter1という名称のルータ(1001)は、FireWall ZoneとIPアドレス192.10.0.1, サブネットマスク255.255.0.0のインターフェースで繋がっており(1003)、A事業所とIPアドレス192.11.0.1, サブネットマスク255.255.0.0のインターフェースで繋がっており(1004)、B事業所とIPアドレス192.12.0.1, サブネットマスク255.255.0.0のインターフェースで繋がっており(1005)、A事業所の別のサイト(例えば会社組織上では同じ事業所だが地域的に離れた場所にあるオフィス)にIPアドレス192.13.0.1, サブネットマスク255.255.0.0のインターフェースで繋がっている(1006)ことが記述されている。また、図2、3、7の情報を使い生成したrouterの初期設定fileをX1というファイルに記憶する事が指定されている(1002)。
【００１７】
図7、101は経理業務を遂行するため、セキュリティ確保のために暗号化通信と認証技術を用いた仮想ネットワーク(VPN: Virtual Private Network)技術を使う事を指定している。具体的には、この仮想ネットワークの名称はVPN1であり(1011)、参加する機械のIPアドレスは192.11.0.10(図1でA事業所経理計算機535に相当)と192.12.0.10(図1でB事業所経理計算機545に相当)であり(1012)、それぞれの機械用に生成した初期設定ファイルが、それぞれX192.11.0.10とX192.12.10.10であること(1013)、暗号化方式としてY1を使うこと(1014)、認証方式としてY2を使うこと(1015)、また必要なデータを送るためにポート番号5000を利用すること(1016)を指定している。
【００１８】
図8、302は図2、3、7の情報から作られるrouter1のインターフェース1用の設定情報である。図8でインターフェースアドレスとサブネットの情報(3021)は図7の情報(1004)から作成する。それ以下のアクセス許可・不許可の情報は図2、3の情報から生成する。(作成方法は図12を用いて後述する)。始めの全てのポート番号に関して192.13.0.0/255.255.0.0との通信を許可している設定(3022)は、同じ事業所の別ロケーションからはあらゆる通信を許可する事を意味している。次のポート番号1111から1114のアクセス許可(3023)は図3、171に対応した設定である。次のポート番号23(telnet)〜4097の設定(3024)は図2、131の通信禁止に対応した設定である。次のポート番号5000の設定(3025)は図7、101のVPN設定に対応した設定である。次のポート番号25〜23の設定(3026)は図2、131の電子mail(25), news(119), WWW proxy(8080), telnet(23)のFireWall Zoneとの通信指定に対応した設定である。次のポート番号23〜4097は図2、131のB事業所との通信指定に対応した設定(3027)である。
【００１９】
図8、最後のアクセス不許可(3028)は以上の設定以外の通信を許可しないための設定である。図8に例示した設定情報例はルータのアクセス許可・不許可の情報が順番にチェックされていき、最初に条件が満たされたアクセスの許可・不許可の指定により実際のアクセスが制御されることを想定している。302の情報は上から順にチェックされるので、最後のアクセス不許可の指定は、上記設定以外全て不許可の意味になる。
【００２０】
図8で優先度の情報は図2，3の優先度の情報から変換される。QoSの仕組みはルータのハードウェアの使用により異なる。図2，3の優先度は業務上の優先度の指定であり、図8の優先度の情報はルータハードがサポートするQoSの仕組みに従った変換された優先度の指定である。本実施例の場合、大・中・小の指定を単純に優先順位に置き換えることを想定している。
図8、303は図2、151の情報と図7、101の情報から作られるVPNの設定情報である。VPN関連の設定情報は図7からの情報であり、アクセス許可の情報は図2、151からの情報である。
【００２１】
従来、図8に例示したルータ、VPNの設定は図2、3に例示したネットワークの運用ポリシーを意識した上で、ネットワークの運用管理者が手動で設定していた。しかし、このような設定には専門知識を必要とし、簡単にはできなかった。また、業務内容に従って、運用ポリシーを記述しておくという発想も一般的ではなく、図2、3に例示したデータベース自体も計算機上にメンテナンスされておらず、図8に例示した設定の自動作成の試みは成功していなかった。本実施例では図12を用いて後述するアルゴリズムが図8の情報を図2，3，7の情報から生成する。
【００２２】
本実施例において複製DB2は大規模なネットワーク構成において中央ポリシーDB1の負荷を分散させるために設けたデータベースである。ネットワークの管理ポリシーの中には実時間で検索され通常のデータベース・システムでは応答時間等に問題が生じる場合がある。管理・制御装置3は、応答時間向上などの目的で設けた装置で、本実施例では応答速度向上のため、中央ポリシーDBに記憶した内容を(図2，3に例示)ルータの設定(図8に例示)に変換した情報と、設定情報の変更用の情報を管理制御装置3に持つ。図2，3，7に例示した情報から図8に例示した情報への変換は中央ポリシーDB1で行って良い。また、複製DB2で行っても良いし、管理・制御装置3で行っても良い。以下、本実施例では管理制御装置3で変換するとする。
【００２３】
本実施例においては生成した図8の情報は初めの一回だけ手動で設定ファイルをネットワーク機器に設定すると仮定している。2回目以降の設定変更は自動化できる。図9にそのために管理制御装置3に記憶する記憶内容の例を示す。
図9で300は、管理制御装置3内部のルータ制御用データの例であり、301は管理制御装置3内部のVPN制御用データの例である。図9、300に例示した記憶内容は2回目以降にrouter1の設定を外部から行うために必要なルータのインターフェース情報(3003、3004，3005と3006)と制御方式(3007)認証方法(3008)である。この情報を用いれば、図2，3，7の内容が変更された時に、変更された図8の内容を受け取った管理制御装置3は指定された認証方法に従いルータに認証を行った後、暗号化通信により安全に指定されたインターフェースの設定を変更することができる。
具体的には図9の情報は同じ物が初めの1回だけ図8の情報とともに手動でルータなどのネットワーク機器に設定される。これにより管理制御装置3とルータなどが同じ制御・認証方式に関する情報を共有できるので、管理制御装置3はルータなどをネットワーク経由で制御・設定変更できる。図9、301は同様にVPN設定変更用に管理制御装置が持つべき情報例である。
【００２４】
図10は中央ポリシーDB1、複製DB2、管理・制御装置3の間で使われるデータ通信プロトコルの例である。中央ポリシーDB1と複製DB2の間はデータベースの複製に適した任意のプロトコルを用いれば良い。管理・制御装置とルータの間は、ルータの実装上の制限がある場合は、SNMPのような単純なプロトコルや、COPSのような動的更新に適したプロトコル、LDAPのようなプロトコルの利用が考えられる。中央ポリシーDB1または複製DB2と管理・制御装置3の間はHTTPのようなプロトコルを使うこともできる。
【００２５】
図11は管理制御装置3が設定情報を生成する時のデータフロー例である。本実施例ではルータのインターフェース情報(72)、アクセスリスト(73)、QoS(74)、VPN(75)の設定を対象に、自動生成を考えるが、それぞれ独立して最後に結果をマージ(76)すれば良い。図8、302はインターフェース情報とアクセス制御の情報をマージした結果になっている。
【００２６】
図12は、管理制御装置3が図11に例示したアルゴリズムの処理73においてアクセス許可・不許可関連の設定情報を生成する時のアルゴリズム例である。
以下、図8に例示したアクセス関連設定の生成過程を例に図12の動作を説明する。図12では図8のアクセス関連設定を下から順に生成していく。この為、始めに全てのサービス(ポート番号)のアクセス不許可定義をアクセス制御リストの内容として定義する(81)。これにより図8、最後のアクセス不許可の設定(3028)が生成できる。次に図2の中でアクセス許可の処理済みのサービスの有無を調べ(82)、そのサービスに対するアクセスの許可設定を生成する(83)。
この処理により、図2、131のtelnet(23), 4096, 4097のB事業所との通信指定に対応したポート番号23〜4096の設定(3027)と、その上の図2、131の電子mail(25), news(119), WWW proxy(8080), telnet(23)のFireWall Zoneとの通信指定に対応したポート番号25〜23の設定(3026)が生成される。ポート5000番のアクセス許可(3025)もここで出力される。これはVPNが使用するポート番号と、そのVPNへ参加している計算機の情報を図7、101の情報から検索することで生成する。
【００２７】
次に図2の中でアクセス不許可の処理済みのサービスの有無を調べ(84)、そのサービスに対するアクセスの不許可設定を生成する(85)。この処理により図2、131の通信禁止に対応したポート番号23(telnet)〜4097のアクセス不許可の設定(3024)が生成される。
次にアクセス情報の処理済み業務アプリの有無を調べ(86)、その業務APに対するアクセス許可の定義をアクセスリストの先頭に追加する(87)。この処理により図3、171に対応したポート番号1111から1114のアクセス許可の設定(3023)が生成される。
最後に同じ事業所の別ロケーションからはあらゆる通信を許可する(88)。この処理により、全てのポート番号に関して192.13.0.0/255.255.0.0との通信許可の設定(3022)が生成される。
【００２８】
図8の優先度の情報は上記の過程で図2，3の優先度の情報から変換できる。前述のようにQoSの仕組みはルータのハードウェアの使用により異なるが、図2，3の優先度の指定を図8の優先度の情報に変換するための対応表を容易しておけば、上記の過程でアクセスリストを生成する時に同時に優先度の情報も変換できる。
中央ポリシーDB1および複製DB2は一般的な計算機上に構成される適当なデータベースで良い。また、管理制御装置3も適当なソフトウェアーを具備した一般的な計算機で良い。図13にこれらに適した計算機の構成例を示す。図13に例示した計算機900は一般的な構成のもので、主記憶装置901、中央処理装置902、ネットワーク制御装置903、表示制御装置905、ディスク制御装置907、ディスク装置906より構成される。表示装置８およびローカルエリアネットワーク904は外部装置として計算機900に接続すれば良い。
【００２９】
この計算機900を中央ポリシーDB1または複製DB2をその上に構築する計算機として用いる場合、図2,3,7に例示したデータは、ディスク装置906上のデータベースに記憶される。このデータベースは、主記憶装置901上に記憶され中央処理装置902で処理される適当なデータベースソフトにより制御される。
また、この計算機900を管理制御装置3として用いる場合、図8，9に例示したデータはディスク装置906上のデータベースに記憶される。このデータベースは、主記憶装置901上に記憶され中央処理装置902で処理される適当なデータベースソフトにより制御される。また図11,12に例示した処理は、主記憶装置901上に記憶され中央処理装置902で処理される適当なソフトにより実行される。
【００３０】
以上の実施例では、中央ポリシーDB1に、会社内の組織である事業所の業務に関する定義例と会社内で使用されるアプリケーションプログラムに関する定義例を記憶していた。中央ポリシーDB1には、これら両方を記憶しておいても良いし、どちらか一方を記憶しても良い。また同じ中央ポリシーDB1にはネットワークの物理的な構成情報を一緒に記憶しておいたが、別のデータベースに記憶するのでも良い。
中央ポリシーDB1の記憶内容は、図2、3のような表形式の情報を修正することで修正しても良いし、図4、5、6のようなグラフィカルな表示を図形用のエディタ機能を用いて修正しても良い。記憶形態も表形式で記憶しても良いし、図形で記憶しても良い。また計算機のファイルに直接記憶しても良いし、リレーショナルデータベースやディレクトリサーバなどを使って記憶してもかまわない。
【００３１】
図11，12で、そのアルゴリズムを例示した、図2，3，7に例示した情報から図8に例示した情報への変換は、中央ポリシーDB1で行って良いし、複製DB2で行っても良い。また、管理・制御装置3で行ってもかまわない。データベースは中央ポリシーDB1だけで構成しても良いし、中央ポリシーDB1と複製DB2で構成しても良い。管理制御装置の機能を中央ポリシーDBや複製DBで代行し、管理制御装置を省略してもかまわない。
図2，3，7などの情報から生成される情報も、ルータ制御に関する任意の設定を含んでかまわないし、任意の設定を省力してもかまわない。例えば、QoSの設定は生成しても良いし、必要なければ省略してかまわない。設定される項目の候補としてはアクセスリスト・経路制御方式・認証方式・暗号化方式・QoSなどが考えられる。
【００３２】
また図13では、本発明を一般の計算機に、ソフトウェアを導入して構成する方法を例示したが、専用ソフトウェアを書込んだROMを予め備えた計算機を用いたり、必要な部分をハードウェア化したものを用いてもよい。
なお、上記導入されるソフトウェアは、FD、CD-ROMなどの磁気記録媒体、光記録媒体、または他のサーバに接続されたネットワークを介して、各計算機に導入されるものである。
【００３３】
【発明の効果】
以上の実施例で明らかなように，本発明によれば、複数のルータやFirewall装置と、多数の管理ポリシーの異なるサブネットから構成される中・大規模のネットワークのアクセスリスト・QoS設定・VPN設定などの設定を簡単に行う仕組みを提供し、ネットワーク機器が正しく設定されることにより、ネットワークのセキュリティやQoS機能が向上することができる。
【図面の簡単な説明】
【図１】本発明によるネットワークの構成例。
【図２】中央ポリシーDB１の内容例 (Zone定義)。
【図３】中央ポリシーDB１の内容例 (AP定義)。
【図４】図2で例示した定義に対応する中央ポリシーDB１の内容表示例。
【図５】図3で例示した定義に対応する中央ポリシーDB１の内容表示例。
【図６】中央ポリシーDB１のアプリケーション別内容表示例。
【図７】補足情報の定義例。
【図８】生成されたコンフィグレーション情報例。
【図９】管理制御装置3の記憶内容例。
【図１０】データ通信プロトコルの例。
【図１１】コンフィグレーション情報生成時のデータフロー例。
【図１２】コンフィグレーション情報生成用のアルゴリズム例。
【図１３】中央ポリシーDB1および複製DB2および管理制御装置3の構成例。
【符号の説明】
1…中央ポリシーDB、2…複製DB、3…管理制御装置、4…管理用入出力装置、
5…イントラネット、6…インターネット、
11,12,13,14,15,16,17…中央ポリシーDBの記憶内容、
100…中央ポリシーDB内部のルータ定義の例、
101…中央ポリシーDB内部のVPN定義の例、
111…中央ポリシーDB内部のInternet Zone定義、
121…中央ポリシーDB内部のFireWall Zone定義、
131…中央ポリシーDB内部のA事業所Zone定義、
141…中央ポリシーDB内部のB事業所 Zone定義、
151…中央ポリシーDB内部の経理Zone定義、
161…中央ポリシーDB内部の勤労Zone定義、
171…中央ポリシーDB内部のアプリAP1の定義、
300…管理制御装置内部のルータ制御用データの例、
301…管理制御装置内部のVPN制御用データの例、
302…管理制御装置内部のルータ設定の例、
303…管理制御装置内部のVPN設定の例、
52…ファイヤーウォール、531,541,537…ルータ、
532,533,535,538,539,536…A事業所Zoneの計算機、
542,543,545,546…B事業所Zoneの計算機、
535,545…経理Zoneの計算機、536,546…勤労Zoneの計算機。
【図１】
0003659052.tif 000002
【図２】
0003659052.tif 000003
【図３】
0003659052.tif 000004
【図４】
0003659052.tif 000005
【図５】
0003659052.tif 000006
【図６】
0003659052.tif 000007
【図７】
0003659052.tif 000008
【図８】
0003659052.tif 000009
【図９】
0003659052.tif 000010
【図１０】
0003659052.tif 000011
【図１１】
0003659052.tif 000012
【図１２】
0003659052.tif 000013
【図１３】
0003659052.tif 000014