(57)【要約】本公開は、パケット転送方法及びその装置を提供する。この方法の一例によれば、データベースサーバに接続している第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定した場合に、ソフトウェア定義型ネットワークＳＤＮコントローラは、ミラーリングルールを載せているミラーリングルール新規追加情報を第１のアクセスデバイスに送信する。そのうち、該ミラーリングルールに、第１のアクセスデバイスに接続しているデータベースサーバのインターネットプロトコルＩＰアドレスと、第２のアクセスデバイスに接続しているデータベース監査デバイスの媒体アクセス制御ＭＡＣアドレスと、第１のアクセスデバイスと第２のアクセスデバイスとの間の拡張可能な仮想ローカルエリアネットワークＶＸＬＡＮトンネルとが含まれている。このようにして、第１アクセスデバイスは、宛先ＩＰアドレスが前記データベースサーバのＩＰアドレスであるデータベースアクセスパケットを受信した後に、前記ミラーリングルールに従って、前記データベースアクセスパケットのミラーリングパケットの宛先ＭＡＣアドレスを前記データベース監査デバイスのＭＡＣアドレスに入れ替え、入れ替えられたミラーリングパケットをカプセル化し、カプセル化して得られたＶＸＬＡＮパケットを転送する。【選択図】図２
2019514310.tif 000002
【特許請求の範囲】
【請求項１】
パケット転送方法であって、
ソフトウェア定義型ネットワークＳＤＮコントローラは、データベースサーバに接続している第１のアクセスデバイスに対して、ミラーリングルールを設定する必要があると決定し、前記ミラーリングルールは、前記第１のアクセスデバイスに接続しているデータベースサーバのインターネットプロトコルＩＰアドレスと、第２のアクセスデバイスに接続しているデータベース監査デバイスの媒体アクセス制御ＭＡＣアドレスと、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間の拡張可能な仮想ローカルエリアネットワークＶＸＬＡＮトンネルとを含むことと、
前記ＳＤＮコントローラは前記ミラーリングルールを載せているミラーリングルール新規追加情報を前記第１のアクセスデバイスに送信することによって、前記第１のアクセスデバイスは宛先ＩＰアドレスが前記データベースサーバのＩＰアドレスであるデータベースアクセスパケットを受信した後、前記データベースアクセスパケットをミラーリングしてミラーリングパケットを取得し、前記ミラーリングルールに従って前記ミラーリングパケットの宛先ＭＡＣアドレスを前記データベース監査デバイスの宛先ＭＡＣアドレスに入れ替え、入れ替えられたミラーリングパケットに対してＶＸＬＡＮトンネルのカプセル化を実行し、カプセル化して得られたＶＸＬＡＮパケットを転送することと、
を含むパケット転送方法。
【請求項２】
前記第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定することは、
前記ＳＤＮコントローラは、移行開始通知を受信し、前記移行開始通知に、移行されるＶＭのアドレス情報と、前記移行されるＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する前記第１のアクセスデバイスの識別子とを載せていることと、
前記移行されるＶＭがデータベースサーバである場合に、前記ＳＤＮコントローラは、グローバルミラーリングルール設定テーブルから前記移行されるＶＭのＩＰアドレスを含むミラーリングルールをサーチし、得られたミラーリングルールに含まれたＭＡＣアドレスで特定されたデータベース監査デバイスが前記第２のアクセスデバイスに接続していることと、
前記ＳＤＮコントローラは、前記得られたミラーリングルールのコピーを前記グローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成することと、
前記ＳＤＮコントローラは、前記第１のアクセスデバイスに対して前記新しいミラーリングルールを設定する必要があると決定することと、
を含む請求項１に記載のパケット転送方法。
【請求項３】
前記第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定することは、
前記ＳＤＮコントローラは、移行開始通知を受信し、前記移行開始通知に、移行されるＶＭのアドレス情報と、前記移行されるＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する前記第２のアクセスデバイスの識別子とを載せていることと、
前記移行されるＶＭがデータベース監査デバイスである場合に、前記ＳＤＮコントローラは、前記グローバルミラーリングルール設定テーブルから前記移行されるＶＭのＭＡＣアドレスを含むミラーリングルールをサーチし、得られたミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバが前記第１のアクセスデバイスに接続していることと、
前記ＳＤＮコントローラは、前記得られたミラーリングルールのコピーを前記グローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成することと、
前記ＳＤＮコントローラは、前記第１のアクセスデバイスに対して前記新しいミラーリングルールを設定する必要があると決定することと、
を含む請求項１に記載のパケット転送方法。
【請求項４】
前記ＳＤＮコントローラは、前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定することと、
前記ＳＤＮコントローラは、前記第１アクセスデバイスへ削除するミラーリングルールに含まれている少なくとも１つの情報を載せるミラーリングルール削除情報を送信することにより、前記第１のアクセスデバイスはローカルミラーリングルールテーブルから前記少なくとも１つの情報を含むミラーリングルールをサーチして削除することと、
を更に含む請求項１に記載のパケット転送方法。
【請求項５】
前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定することは、
前記ＳＤＮコントローラは、移行完了通知を受信し、前記移行完了通知に、移行完了後のＶＭのアドレス情報と、前記移行完了後のＶＭの移行前に接続した前記第１のアクセスデバイスの識別子と、移行後に接続する前記第３のアクセスデバイスの識別子とを載せていることと、
前記移行完了後のＶＭがデータベースサーバである場合に、前記ＳＤＮコントローラは、グローバルミラーリングルール設定テーブルから前記移行完了後のＶＭのＩＰアドレスと、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除し、前記ミラーリングルールに含まれたＭＡＣアドレスで特定されたデータベース監査デバイスが前記第２のアクセスデバイスに接続していることと、
前記ＳＤＮコントローラは、前記第１のアクセスデバイスにおける、前記移行完了後のＶＭのＩＰアドレスを含むミラーリングルールを削除する必要があると決定することと、
を含む請求項４に記載のパケット転送方法。
【請求項６】
前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定することは、
前記ＳＤＮコントローラは、移行完了通知を受信し、前記移行完了通知に、移行完了後のＶＭのアドレス情報と、前記移行完了後のＶＭの移行前に接続している第３のアクセスデバイスの識別子と、移行後に接続する前記第２のアクセスデバイスの識別子とを載せていることと、
前記移行完了後のＶＭがデータベース監査デバイスである場合に、前記ＳＤＮコントローラは、グローバルミラーリングルール設定テーブルから前記移行完了後のＶＭのＭＡＣアドレスと、前記第１のアクセスデバイスと前記第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除し、前記ミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバが前記第１のアクセスデバイスに接続していることと、
前記ＳＤＮコントローラは、前記第１のアクセスデバイスにおける、前記移行完了後のＶＭのＭＡＣアドレスと、前記第１のアクセスデバイスと前記第３のアクセスデバイスとの間のＶＸＬＡＮトンネルを含むミラーリングルールを削除する必要があると決定することと、
を含む請求項４に記載のパケット転送方法。
【請求項７】
プロセッサと、パケット転送制御ロジックに対応する機械実行可能な命令を格納している記憶媒体とを含むパケット転送装置であって、
前記機械実行可能な命令を実行することにより、前記プロセッサに、
データベースサーバに接続されている第１のアクセスデバイスに対して、ミラーリングルールを設定する必要があると決定し、前記ミラーリングルールは、前記第１のアクセスデバイスに接続しているデータベースサーバのインターネットプロトコルＩＰアドレスと、第２のアクセスデバイスに接続しているデータベース監査デバイスの媒体アクセス制御ＭＡＣアドレスと、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間の拡張可能な仮想ローカルエリアネットワークＶＸＬＡＮトンネルとを含むことと、
前記ミラーリングルールを載せているミラーリングルール新規追加情報を前記第１アクセスデバイスに送信することにより、前記第１のアクセスデバイスは宛先ＩＰアドレスが前記データベースサーバのＩＰアドレスであるデータベースアクセスパケットを受信した後、前記データベースアクセスパケットをミラーリングしてミラーリングパケットを取得し、前記ミラーリングルールに従って前記ミラーリングパケットの宛先ＭＡＣアドレスを前記データベース監査デバイスの宛先ＭＡＣアドレスに入れ替え、入れ替えられたミラーリングパケットに対してＶＸＬＡＮトンネルのカプセル化を実行し、カプセル化して得られたＶＸＬＡＮパケットを転送することと、
を実行させるパケット転送装置。
【請求項８】
前記第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定した場合に、前記機械実行可能な命令を実行することにより、前記プロセッサに
移行開始通知を受信し、前記移行開始通知に、移行されるＶＭのアドレス情報と、前記移行されるＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する前記第１のアクセスデバイスの識別子とが載せられていることと、
前記移行されるＶＭがデータベースサーバである場合に、グローバルミラーリングルール設定テーブルから前記移行されるＶＭのＩＰアドレスを含むミラーリングルールをサーチし、得られたミラーリングルールに含まれたＭＡＣアドレスで特定されたデータベース監査デバイスが前記第２のアクセスデバイスに接続していることと、
前記得られたミラーリングルールのコピーを前記グローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成することと、
前記第１のアクセスデバイスに対して前記新しいミラーリングルールを設定する必要があると決定することと、
を実行させる請求項７に記載のパケット転送装置。
【請求項９】
前記第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定した場合に、前記機械実行可能な命令を実行することにより、前記プロセッサに、
移行開始通知を受信し、前記移行開始通知に、前記移行されるＶＭのアドレス情報と、前記移行されるＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する前記第２のアクセスデバイスの識別子とが載せられていることと、
前記移行されるＶＭがデータベース監査デバイスである場合に、前記グローバルミラーリングルール設定テーブルから前記移行されるＶＭのＭＡＣアドレスを含むミラーリングルールをサーチし、得られたミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバが前記第１のアクセスデバイスに接続していることと、
前記得られたミラーリングルールのコピーを前記グローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成することと、
前記第１のアクセスデバイスに対して前記新しいミラーリングルールを設定する必要があると決定することと、
を実行させる請求項７に記載のパケット転送装置。
【請求項１０】
前記機械実行可能な命令を実行することにより、前記プロセッサに、
前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定することと、
前記第１アクセスデバイスへ削除するミラーリングルールに含まれた少なくとも１つの情報が載せられているミラーリングルール削除情報を送信することにより、前記第１のアクセスデバイスはローカルミラーリングルールテーブルから前記少なくとも１つの情報を含むミラーリングルールをサーチして削除することと、
をさらに実行させる請求項７に記載のパケット転送装置。
【請求項１１】
前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定した場合に、前記機械実行可能な命令を実行することにより、前記プロセッサに、
移行完了通知を受信し、前記移行完了通知に、移行完了後のＶＭのアドレス情報と、前記移行完了後のＶＭの移行前に接続した前記第１のアクセスデバイスの識別子と、移行後に接続する第３のアクセスデバイスの識別子とが載せられていることと、
前記移行完了後のＶＭがデータベースサーバである場合に、グローバルミラーリングルール設定テーブルから前記移行完了後のＶＭのＩＰアドレスと、前記第１のアクセスデバイスと前記第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除し、前記ミラーリングルールに含まれたＭＡＣアドレスで特定されたデータベース監査デバイスが前記第２のアクセスデバイスに接続していることと、
前記第１のアクセスデバイスにおける、前記移行完了後のＶＭのＩＰアドレスを含むミラーリングルールを削除する必要があると決定することと、
を実行させる請求項１０に記載のパケット転送装置。
【請求項１２】
前記第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定した場合に、前記機械実行可能な命令を実行することにより、前記プロセッサに、
移行完了通知を受信し、前記移行完了通知に、移行完了後のＶＭのアドレス情報と、前記移行完了後のＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する第２のアクセスデバイスの識別子とが載せられていることと、
前記移行完了後のＶＭがデータベース監査デバイスである場合に、グローバルミラーリングルール設定テーブルから前記移行完了後のＶＭのＭＡＣアドレスと、前記第１のアクセスデバイスと前記第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除し、前記ミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバが前記第１のアクセスデバイスに接続していることと、
前記第１のアクセスデバイスにおける、前記移行完了後のＶＭのＭＡＣアドレスと、前記第１のアクセスデバイスと前記第３のアクセスデバイスとの間のＶＸＬＡＮトンネルを含むミラーリングルールを削除する必要があると決定することと、
を実行させる請求項１０に記載のパケット転送装置。
【発明の詳細な説明】
【関連出願】
【０００１】
本願は、２０１６年４月２７日に提出され、出願番号が２０１６１０２７０６４０．３であり、発明の名称がパケット転送方法及び装置である中国特許出願に基づき優先権を主張し、当該中国特許出願の全ての内容をここに援用する。
【背景技術】
【０００２】
データベースにアクセスするデータストリームに対する監査を実現するために、データベース監査（ＤａｔａＢａｓｅ  Ａｕｄｉｔ）デバイスとデータベースサーバ（ＤａｔａＢａｓｅ  Ｓｅｒｖｅｒ）とを同一のスイッチに接続して、スイッチのミラーリング機能によって、監査が必要なデータベースアクセスパケットをデータベース監査デバイスにミラーリングして監査することができる。
【０００３】
仮想化環境において、データベースサーバは仮想マシン（ｖｉｒｔｕａｌ  ｍａｃｈｉｎｅ，ＶＭ）によって実現することができる。この時、データベース監査デバイスとデータベースサーバとしてのＶＭが位置する物理サーバとは同一のスイッチに接続する必要がある。そして、スイッチのミラーリング機能によって、スイッチに受信された監査が必要なデータベースアクセスパケットをデータベース監査デバイスにミラーリングして監査することができる。
【図面の簡単な説明】
【０００４】
【図１】図１は、本公開の一例に係る仮想化ネットワークのネットワークキング模式図である。
【図２】図２は、本公開の一例に係るデータベースサーバに接続しているアクセスデバイスがデータベースアクセスパケットに対して行う処理のフローチャートである。
【図３】図３は、本公開の一例に係る図１におけるＶＭ  １８２が移行された後の仮想化ネットワークのネットワークキング模式図である。
【図４】図４は、本公開の一例に係る図３におけるＶＭ  １７７が移行された後の仮想化ネットワークのネットワークキング模式図である。
【図５】図５は、本公開の一例に係るアクセスデバイスのハードウェアアーキテクチャの模式図である。
【図６】図６は、本公開の一例に係るアクセスデバイスに適用されるパケット転送装置の構成の模式図である。
【図７】図７は、本公開の一例に係るアクセスデバイスに適用されるパケット転送装置の他の構成の模式図である。
【図８】図８は、本公開の一実施例に係るＳＤＮコントローラのハードウェアアーキテクチャの模式図である。
【図９】図９は、本公開の一例に係るＳＤＮコントローラに適用されるパケット転送装置の構成の模式図である。
【発明を実施するための形態】
【０００５】
本公開の以下の例はパケット転送方法およびこの方法が適用されるパケット転送装置を提供する。前記パケット転送方法によって、あるスイッチに接続しているデータベースサーバへ送信されるデータベースアクセスパケットを、別のスイッチに接続しているデータベース監査デバイスへミラーリングして監査を行うことができる。
【０００６】
本公開の実施例は、図１に示される仮想化ネットワークに適用することができる。図１は、本公開の一例に係る仮想化ネットワークのネットワークキング模式図である。該仮想化ネットワークは、ＳＤＮ（Ｓｏｆｔｗａｒｅ  Ｄｅｆｉｎｅｄ  Ｎｅｔｗｏｒｋ，ソフトウェア定義型ネットワーク）コントローラ１０１と、データベースサーバと、データベース監査デバイスとを含む。そのうち、データベースサーバは図１における物理データベースサーバ１０２のような物理デバイスによって実現してもよいし、仮想マシン（ＶＭ）によって実現してもよい。図１におけるＶＭ  １８１−１８５はデータベースサーバのソフトウェアを実行してデータベースサーバとすることができる。データベース監査デバイスは、図１における物理データベース監査デバイス１０３のような物理デバイスによって実現してもよいし、ＶＭによって実現してもよい。図１におけるＶＭ  １７６−１７９はデータベース監査デバイスのソフトウェアを実行してデータベース監査デバイスとすることができる。以下、説明の便利性を考えて、物理デバイスによって実現されるデータベースサーバを物理データベースサーバと呼び、ＶＭによって実現されるデータベースサーバをデータベースサーバＶＭと呼び、物理デバイスによって実現されるデータベース監査デバイスを物理データベース監査デバイスと呼び、ＶＭによって実現されるデータベース監査デバイスをデータベース監査デバイスＶＭと呼ぶ。
【０００７】
データベースサーバ又はデータベース監査デバイスに接続しているアクセスデバイス（例えば、スイッチ１４１〜１４４）の間に、ＶＸＬＡＮ（Ｖｉｒｔｕａｌ  ｅＸｔｅｎｓｉｂｌｅ  ＬＡＮ，仮想拡張可能なローカルエリアネットワーク）トンネルを確立し、任意の２つのアクセスデバイスの間の完全なトンネル接続を実現することができる。
【０００８】
そのうち、データベースサーバに接続するアクセスデバイスは、物理データベースサーバに接続している物理スイッチであってもよいし、データベースサーバＶＭに接続する仮想スイッチ（ｖＳｗｉｔｃｈ）であってもよいし、データベースサーバＶＭが位置する物理サーバに接続する外部の物理スイッチであってもよい。データベース監査デバイスに接続するアクセスデバイスは、物理データベース監査デバイスに接続する物理スイッチであってもよいし、データベース監査デバイスＶＭに接続するｖＳｗｉｔｃｈであってもよいし、データベース監査デバイスＶＭが位置する物理サーバに接続する外部の物理スイッチであってもよい。
【０００９】
特に、物理データベースサーバとデータベースサーバＶＭが位置する物理サーバーとは同一の物理スイッチに接続している場合は、他のアクセスデバイスとＶＸＬＡＮトンネルを確立する必要があるものは該物理スイッチである。つまり、該データベースサーバＶＭに接続しているｖＳｗｉｔｃｈと他のアクセスデバイスとの間にＶＸＬＡＮトンネルを確立するのではなく、該物理スイッチと他のアクセスデバイスとの間にＶＸＬＡＮトンネルを確立する。例えば、図１におけるスイッチ１４１は、物理データベースサーバ１０２とデータベースサーバＶＭ１８１〜ＶＭ１８３が位置する物理サーバ１５１とに同時に接続している。この時、データベースサーバＶＭ１８１〜１８３に接続しているｖＳｗｉｔｃｈ１０６と他のアクセスデバイスとの間にＶＸＬＡＮトンネルを確立するのではなく、スイッチ１４１と他のアクセスデバイスとの間にＶＸＬＡＮトンネルを確立する。物理データベース監査デバイス１０３とデータベース監査デバイスＶＭ１７６が位置する物理サーバ１５３とは同一の物理スイッチ１４３に接続している場合も同様である。
【００１０】
実際に実施する時に、ＶＸＬＡＮトンネルを確立するには手動式又は自動式で行うことができる。そのうち、手動式とは、アクセスデバイスにてトンネルのインタフェースを手動で設定し、トンネルの送信元ＩＰアドレスをローカルアクセスデバイスのＩＰアドレスとして指定し、宛先ＩＰアドレスをリモートアクセスデバイスのＩＰアドレスとして指定することを意味する。自動式とは、ＥＮＤＰ（Ｅｎｈａｎｃｅｄ  Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ  Ｐｒｏｔｏｃｏｌ，強化近隣探索プロトコル）によってリモートアクセスデバイスを発見した後に、ローカルアクセスデバイスとリモートアクセスデバイスとの間にＶＸＬＡＮトンネルを自動的に確立することを意味する。
【００１１】
何れかのデータベースサーバのデータベースアクセスパケットを監査する必要がある場合は、静的な設定方式又は他の方式によってＳＤＮコントローラにおいて対応するミラーリングルールを設定し、グローバルミラーリングルール設定テーブルに保存することができる。該ミラーリングルールは、該データベースサーバのＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ，インターネットプロトコル）アドレスと、データベース監査デバイスのＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ，媒体アクセス制御）アドレスと、データベースサーバに接続しているアクセスデバイスと該データベース監査デバイスに接続しているアクセスデバイスとの間のＶＸＬＡＮトンネルと、を含む。ＳＤＮコントローラは、該ミラーリングルールをミラーリングルール新規追加情報に載せ、該データベースサーバに接続しているアクセスデバイスへ送信する。ＳＤＮコントローラ上のグローバルミラーリングルール設定テーブルの構成は、表１に示されるようなものとすることができる。
【００１２】
また、ＳＤＮコントローラが接続している上位層管理プラットフォームによって上記ミラーリングルールをＳＤＮコントローラに送信して設定を行ってもよい。本公開の例示に限定されない。
【００１３】
該データベースサーバに接続しているアクセスデバイスは、該ミラーリングルール新規追加情報を受信した後に、該ミラーリングルール新規追加情報に載せられたミラーリングルールを表２に示すミラーリングルールテーブルに追加する。
【００１４】
【表１】
2019514310.tif 000003
【００１５】
表１から分かるように、ＳＤＮコントローラにおけるグローバルミラーリングルール設定テーブルにおいて、ミラーリングルールと、該ミラーリングルールを設定する必要のあるアクセスデバイスのＩＤ（識別子）とを記録している。そのうち、アクセスデバイスのＩＤは、具体的に、アクセスデバイスのＩＰアドレス又は名称等でよい。
【００１６】
【表２】
2019514310.tif 000004
【００１７】
そのうち、表１および表２において、ＳＷ１は該データベースサーバに接続しているアクセスデバイスのＩＤを表し、ＳＷ２とは該データベース監査デバイスに接続しているアクセスデバイスのＩＤを表している。
【００１８】
実際に実施する時に、ミラーリングルールにおけるＶＸＬＡＮトンネルは、該ＶＸＬＡＮトンネルの送信元ＩＰアドレス及び宛先ＩＰアドレスによって表すことができる。そのうち、送信元ＩＰアドレスはＳＷ１のＩＰアドレスでよく、宛先ＩＰアドレスはＳＷ２のＩＰアドレスでよい。
【００１９】
ミラーリングルールを設定した後に、該データベースサーバに接続しているアクセスデバイスは、該ミラーリングルールに従って、該データベースサーバに送信されるデータベースアクセスパケットを該データベース監査デバイスにミラーリングし、監査を行う。図２は、本公開の一例に係るデータベースサーバに接続しているアクセスデバイスがデータベースアクセスパケットに対して行う処理のフローチャートである。具体的に、該アクセスデバイスによって実行する動作は、図２に示すように、以下のステップを含む。
【００２０】
ステップＳ１０１において、データベースアクセスパケットを受信した後に、該データベースアクセスパケットの宛先ＩＰアドレスに基づいて、ローカルミラーリングルールテーブルから対応するＭＡＣアドレス及びＶＸＬＡＮトンネルをサーチする。
【００２１】
表２に示すように、得られたＭＡＣアドレスはデータベース監査デバイスのＭＡＣアドレスであり、得られたＶＸＬＡＮトンネルは、該アクセスデバイスＳＷ１と該データベース監査デバイスに接続している別のアクセスデバイスＳＷ２との間のＶＸＬＡＮトンネルである。
【００２２】
ステップＳ１０２において、該データベースアクセスパケットをミラーリングすることで該データベースアクセスパケットのミラーリングパケットを取得し、ミラーリングパケットの宛先ＭＡＣアドレスを、得られたＭＡＣアドレスに入れ替える。
【００２３】
そのうち、受信した該データベースアクセスパケットをミラーリングした後に、該データベースアクセスパケットと同じであるミラーリングパケットを得る。受信した該データベースアクセスパケットに対して、該パケットの宛先ＭＡＣアドレスに基づいてレイヤ２フォワーディングを実行する。すなわち、該アクセスデバイスは、該パケットの宛先ＭＡＣアドレスに基づいて、ローカルにて格納されたＭＡＣアドレステーブルから対応する出力インタフェースをサーチし、依然として該受信したパケットを出力インタフェースを介して該データベースサーバに転送する。
【００２４】
ステップＳ１０３において、得られたＶＸＬＡＮトンネルに基づいて該ミラーリングパケットをカプセル化し、カプセル化して得られるＶＸＬＡＮパケットを転送する。
【００２５】
具体的に、該ミラーリングパケットの外側に、８バイトのＶＸＬＡＮヘッダーと、８バイトのＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ，ユーザデータグラムプロトコル）ヘッダーと、２０バイトのＩＰヘッダーとを追加する。ステップＳ１０３において、カプセル化して得られたＶＸＬＡＮパケットを、データベース監査デバイスに接続しているアクセスデバイスに転送する。
【００２６】
データベース監査デバイスに接続しているアクセスデバイスは該ＶＸＬＡＮパケットを受信した後に、受信されたＶＸＬＡＮパケットをデカプセル化して該ミラーリングパケットを取得する。該アクセスデバイスは、該ミラーリングパケットの宛先ＭＡＣアドレスに基づいて、レイヤ２フォワーディングを実行する。すなわち、ＭＡＣアドレステーブルにおいて対応する出力インターフェイスをサーチし、該出力インターフェイスを介して該データベース監査デバイスに該ミラーリングパケットを転送する。
【００２７】
本公開の上記例示の方法において、データベースサーバに接続しているアクセスデバイスにおけるミラーリングルールテーブルに、該データベースサーバのＩＰアドレスと、データベース監査デバイスのＭＡＣアドレスと、該アクセスデバイスと該データベース監査デバイスに接続しているアクセスデバイスとの間のＶＸＬＡＮトンネルと、を記録しているする。これにより、データベースサーバに接続しているアクセスデバイスは、データベースアクセスパケットを受信した後に、ミラーリングルールテーブルから該データベースアクセスパケットの宛先ＩＰアドレスに対応するＭＡＣアドレス及びＶＸＬＡＮトンネルをサーチする。該データベースアクセスパケットをミラーリングした後に、該ミラーリングパケットの宛先ＭＡＣアドレスを、得られたＭＡＣアドレスに入れ替える。その後、得られたＶＸＬＡＮトンネルに基づいて該ミラーリングパケットをカプセルした後、該データベース監査デバイスに接続しているアクセスデバイスに転送する。このようにして、該データベース監査デバイスに接続しているアクセスデバイスは該ＶＸＬＡＮパケットを受信した後に、該ＶＸＬＡＮパケットをデカプセル化してそのミラーリングパケットを取得し、該ミラーリングパケットの宛先ＭＡＣアドレスに基づいて該データベース監査デバイスに該ミラーリングパケットを転送する。上記の方法により、あるアクセスデバイスに接続しているデータベースサーバに送信されるデータベースアクセスパケットを、他のアクセスデバイスに接続しているデータベース監査デバイスにミラーリングし、監査を行うことができる。
【００２８】
そして、該データベースサーバにアクセスするデータストリームを監査する必要がなくなった場合に、静的な設定方式又は他の方式により、グローバルミラーリングルール設定テーブルから対応するミラーリングルールを削除する。このとき、ＳＤＮコントローラは該データベースサーバに接続しているアクセスデバイスにミラーリングルール削除情報を送信する。そのうち、該ミラーリングルール削除情報に、該ミラーリングルールに含まれた少なくとも１つの情報を載せる。該少なくとも１つの情報は、該ミラーリングルールに含まれたＩＰアドレスと、ＭＡＣアドレスと、ＶＸＬＡＮトンネルとのうちの１つ又は２つ以上の組み合わせでよい。該データベースサーバに接続しているアクセスデバイスは、該ミラーリングルール削除情報を受信した後に、ミラーリングルールテーブルから該少なくとも１つの情報を含むミラーリングルールをサーチして削除する。
【００２９】
仮想化ネットワークにおいて、データベースサーバはＶＭによって実現することができ、データベース監査デバイスもＶＭによって実現することができる。仮想化ネットワークにおいてＶＭの移行が可能ですので、ＶＭの動的な移行においてデータベースアクセスパケットに対する監査を実現する必要がある。
【００３０】
データベースサーバＶＭの移行中におけるデータベースアクセスパケットの転送過程は、大まかに以下の通りである。
【００３１】
第１の場合は、何れかのデータベースサーバＶＭを移行しようとする時に、ＶＭ管理ソフトウェアはＳＤＮコントローラに移行開始通知を送信する。そのうち、該移行開始通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続したアクセスデバイス（第１の場合における第３のアクセスデバイスと呼ぶ。）の識別子と、該ＶＭの移行後に接続するアクセスデバイス（第１の場合における第１のアクセスデバイスと呼ぶ。）の識別子などが載せられている。ＳＤＮコントローラは、該移行開始通知を受信した後に、グローバルミラーリングルール設定テーブルから該ＶＭのＩＰアドレスを含むミラーリングルールをサーチする。そのうち、該ミラーリングルールに含まれるＭＡＣアドレスによって特定されるデータベース監査デバイス（説明を容易にするために、該データベース監査デバイスを第１の場合における第１のデータベース監査デバイスと呼ぶ。）に、１つのアクセスデバイス（第１の場合における第２のアクセスデバイスと呼ぶ。）を接続する。そして、得られたミラーリングルールのコピーをグローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成する。最後に、新しいミラーリングルールをミラーリングルール新規追加情報に載せ、該ミラーリングルール新規追加情報をＳＤＮコントローラを介して第１のアクセスデバイスに送信する。
【００３２】
実際に実施する時に、得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルを、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替える。例えば、この得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルの送信元ＩＰアドレスを第１のアクセスデバイスのＩＰアドレスに入れ替える。
【００３３】
第１のアクセスデバイスは、該ミラーリングルール新規追加情報を受信した後に、該新しいミラーリングルールをローカルミラーリングルールテーブルに追加する。この時、データベースサーバＶＭの移行前に接続した第３のアクセスデバイスと、移行後に接続する第１のアクセスデバイスとの両方において、該データベースサーバＶＭに対応するミラーリングルールを設定する。これにより、第３のアクセスデバイスと第１のアクセスデバイスとは、該ＶＭに送信されるデータベースアクセスパケットを受信した後に、何れも図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第２のアクセスデバイスに送信し、第２のアクセスデバイスを介して第１のデータベース監査デバイスに転送して監査を行う。
【００３４】
該データベースサーバＶＭの移行が完了した後に、ＶＭ管理ソフトウェアは移行完了通知をＳＤＮコントローラに送信する。そのうち、該移行完了通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続した第３のアクセスデバイスの識別子と、該ＶＭの移行後に接続する第１のアクセスデバイスの識別子等が載せられている。ＳＤＮコントローラは該移行完了通知を受信した後、グローバルミラーリングルール設定テーブルから該ＶＭのＩＰアドレスと、第３のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。そして、該ＶＭのＩＰアドレスが載せられているミラーリングルール削除情報を第３のアクセスデバイスに送信する。
【００３５】
なお、ミラーリングルールの削除は、データベースサーバＶＭの移行完了によって引き起こされなくてもよく、他の状況によって引き起こされることもある。例えば、ネットワークに２つのデータベース監査デバイスがあると想定すると、データベース監査デバイスを変更するときにもミラーリングルールの追加及び削除が引き起こされることがある。
【００３６】
実際に実施する時に、該ＶＭのＩＰアドレスと、第３のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。例えば、該ＶＭのＩＰアドレスと、送信元ＩＰアドレスが第３のアクセスデバイスのＩＰアドレスであるＶＸＬＡＮトンネルとを含むミラーリングルールを削除してもよい。
【００３７】
第３のアクセスデバイスは、該ミラーリングルール削除情報を受信した後に、該ミラーリングルール削除情報に載せられた該ＶＭのＩＰアドレスに基づいて、ミラーリングルールテーブルから該ＩＰアドレスを含むミラーリングルールをサーチして削除する。このようにして、移行後に接続する第１のアクセスデバイスに、該ＶＭに対応するミラーリングルールが設定されている。これにより、第１のアクセスデバイスは、該ＶＭに送信されるデータベースアクセスパケットを受信した後に、図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第２のアクセスデバイスに送信し、第２のアクセスデバイスを介して第１のデータベース監査デバイスに転送して監査を行う。
【００３８】
第２の場合は、何れかのデータベースサーバＶＭを移行しようとする時に、ＶＭ管理ソフトウェアはＳＤＮコントローラに移行開始通知を送信する。そのうち、該移行開始通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続したアクセスデバイス（第２の場合における第１のアクセスデバイスと呼ぶ。）の識別子と、該ＶＭの移行後に接続するアクセスデバイス（第２の場合における第３のアクセスデバイスと呼ぶ。）の識別子などが載せられている。ＳＤＮコントローラは、該移行開始通知を受信した後に、グローバルミラーリングルール設定テーブルから該ＶＭのＩＰアドレスを含むミラーリングルールをサーチする。そのうち、該ミラーリングルールに含まれたＭＡＣアドレスによって特定されるデータベース監査デバイス（説明を容易にするために、該データベース監査デバイスを第１のデータベース監査デバイスと呼ぶ。）に、１つのアクセスデバイス（第２の場合における第２のアクセスデバイスと呼ぶ。）を接続する。そして、得られたミラーリングルールのコピーをグローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、第３のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成する。最後に、新しいミラーリングルールをミラーリングルール新規追加情報に載せ、該ミラーリングルール新規追加情報をＳＤＮコントローラを介して第３のアクセスデバイスに送信する。
【００３９】
実際に実施する時に、得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルを、第３のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替える。例えば、この得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルの送信元ＩＰアドレスを、第３のアクセスデバイスのＩＰアドレスに入れ替える。
【００４０】
第３のアクセスデバイスは、該ミラーリングルール新規追加情報を受信した後に、該新しいミラーリングルールをローカルミラーリングルールテーブルに追加する。この時、データベースサーバＶＭの移行前に接続した第１のアクセスデバイスと、移行後に接続する第３のアクセスデバイスとの両方において、該データベースサーバＶＭに対応するミラーリングルールを設定する。これにより、第１のアクセスデバイスと第３のアクセスデバイスとは、該ＶＭに送信されるデータベースアクセスパケットを受信した後に、何れも図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第２のアクセスデバイスに送信し、第２のアクセスデバイスを介して第１のデータベース監査デバイスに転送して監査を行う。
【００４１】
該データベースサーバＶＭの移行が完了した後に、ＶＭ管理ソフトウェアは移行完了通知をＳＤＮコントローラに送信する。そのうち、該移行完了通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続した第１のアクセスデバイスの識別子と、該ＶＭの移行後に接続する第３のアクセスデバイスの識別子等が載せられている。ＳＤＮコントローラは該移行完了通知を受信した後、グローバルミラーリングルール設定テーブルから該ＶＭのＩＰアドレスと、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。そして、該ＶＭのＩＰアドレスが載せられているミラーリングルール削除情報を第１のアクセスデバイスに送信する。
【００４２】
実際に実施する時に、該ＶＭのＩＰアドレスと、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。例えば、該ＶＭのＩＰアドレスと、送信元ＩＰアドレスが第１のアクセスデバイスのＩＰアドレスであるＶＸＬＡＮトンネルとを含むミラーリングルールを削除してもよい。
【００４３】
第１のアクセスデバイスは、該ミラーリングルール削除情報を受信した後に、該ミラーリングルール削除情報に載せられた該ＶＭのＩＰアドレスに基づいて、ミラーリングルールテーブルから該ＩＰアドレスを含むミラーリングルールをサーチして削除する。このようにして、移行後に接続する第３のアクセスデバイスのみに、該ＶＭに対応するミラーリングルールが設定されている。これにより、第３のアクセスデバイスは、該ＶＭに送信されるデータベースアクセスパケットを受信した後に、図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第２のアクセスデバイスに送信し、第２のアクセスデバイスを介して第１のデータベース監査デバイスに転送して監査を行う。
【００４４】
もちろん、データベースサーバとして使用されるＶＭが第１のアクセスデバイスから移行されたため、該データベースサーバＶＭに送信されるフローは、第１のアクセスデバイスに転送されない。したがって、第１のアクセスデバイスにおける該データベースサーバＶＭに対応するミラーリングルールを自発的に削除しなくて、ミラーリングルールが自動的にエイジングされるように残してもよい。
【００４５】
データベース監査デバイスＶＭの移行中におけるデータベースアクセスパケットの転送過程は、大まかに以下の通りである。
【００４６】
第３の場合に、何れかのデータベース監査デバイスＶＭを移行しようとする時に、ＶＭ管理ソフトウェアはＳＤＮコントローラに移行開始通知を送信する。そのうち、該移行開始通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続したアクセスデバイス（第３の場合における第３のアクセスデバイスと呼ぶ。）の識別子と、移行後に接続するアクセスデバイス（第３の場合における第２のアクセスデバイスと呼ぶ。）の識別子が載せられている。ＳＤＮコントローラは、該移行開始通知を受信した後に、グローバルミラーリングルール設定テーブルから該ＶＭのＭＡＣアドレスを含むミラーリングルールをサーチする。そのうち、該ミラーリングルールに含まれたＩＰアドレスによって特定されるデータベース監査デバイス（説明を容易にするために、該データベース監査デバイスを第３の場合における第１のデータベース監査デバイスと呼ぶ。）に、１つのアクセスデバイス（第３の場合における第１のアクセスデバイスと呼ぶ。）に接続する。そして、得られたミラーリングルールのコピーをグローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成する。最後に、新しいミラーリングルールをミラーリングルール新規追加情報に載せ、該ミラーリングルール新規追加情報をＳＤＮコントローラを介して第１のアクセスデバイスに送信する。
【００４７】
実際に実施する時に、得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルを、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替える。例えば、この得られたミラーリングルールのコピーに含まれたＶＸＬＡＮトンネルの宛先ＩＰアドレスを第２のアクセスデバイスのＩＰアドレスに入れ替える。
【００４８】
第１のアクセスデバイスは、該ミラーリングルール新規追加情報を受信した後に、該新しいミラーリングルールをローカルミラーリングルールテーブルに追加する。この時、第１のアクセスデバイスに、第１のデータベースサーバのＩＰアドレスと、該データベース監査デバイスＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールが設定されており、第１のデータベースサーバのＩＰアドレスと、該データベース監査デバイスＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールも設定されている。これにより、第１のアクセスデバイスは、第１のデータベースサーバに送信されるデータベースアクセスパケットを受信した後に、図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第３アクセス及び第２のアクセスデバイスに送信し、第３のアクセスデバイス及び第２のアクセスデバイスを介して該データベース監査デバイスＶＭに転送して監査を行う。
【００４９】
該データベース監査デバイスＶＭの移行が完了した後に、ＶＭ管理ソフトウェアは移行完了通知をＳＤＮコントローラに送信する。そのうち、該移行完了通知に、該ＶＭのアドレス情報と、該ＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する第２のアクセスデバイスの識別子が載せられている。ＳＤＮコントローラは該移行完了通知を受信した後、グローバルミラーリングルール設定テーブルから該ＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。そして、該ＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとが載せられているミラーリングルール削除情報を第１のアクセスデバイスに送信する。
【００５０】
実際に実施する時に、該ＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールとを削除する。例えば、該ＶＭのＭＡＣアドレスと、宛先ＩＰアドレスが第３のアクセスデバイスのＩＰアドレスであるＶＸＬＡＮトンネルとを含むミラーリングルールを削除してもよい。
【００５１】
第１のアクセスデバイスは、該ミラーリングルール削除情報を受信した後に、該ミラーリングルール削除情報に載せられた該ＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとに従って、ミラーリングルールテーブルから対応するミラーリングルールをサーチして削除する。このようにして、第１のアクセスデバイスのミラーリングルールテーブルにおいて、第１のデータベースサーバのＩＰアドレスと、該データベース監査デバイスＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを設定する。これにより、第１のアクセスデバイスは、第１のデータベースサーバに送信されるデータベースアクセスパケットを受信した後に、図２に示す方法に従って、該データベースアクセスパケットのミラーリングパケットを第２のアクセスデバイスに送信し、第２のアクセスデバイスを介して該データベース監査デバイスＶＭに転送して監査を行う。
【００５２】
上記の方法により、データベースサーバＶＭ又はデータベース監査デバイスＶＭの動的な移行過程におけるデータベースアクセスパケットに対する監査を実現している。
【００５３】
そのうち、データベースサーバＶＭを移行する過程において、移行開始する時に、該ＶＭに対応するミラーリングルールを新しいミラーリングルールに入れ替え、且つ移行後に接続するアクセスデバイスにおいてこの新しいミラーリングルールを設定する。移行が完了した後、移行前に接続したアクセスデバイスから該ＶＭに対応するミラーリングルールを削除する。これにより、データベースサーバＶＭの動的な移行過程における、該ＶＭに対応するミラーリングルールの動的な追従を実現し、移行過程においてＶＭに送信するデータベースアクセスパケットに対する監査が影響されないことを確保でき、そして該データベースアクセスパケットをデータベース監査デバイスへミラーリングすべき位置を変更する必要がない。
【００５４】
データベース監査デバイスＶＭを移行する過程において、移行開始する時に、対応するデータベースサーバに接続しているアクセスデバイスに新しいミラーリングルールを設定する。ここで、この新しいミラーリングルールは、該データベースサーバのＩＰアドレスと、該データベース監査デバイスＶＭのＭＡＣアドレスと、該データベースサーバに接続しているアクセスデバイスと該ＶＭの移行後に接続するアクセスデバイスとの間のＶＸＬＡＮトンネルとを含む。移行が完了した後、該データベースサーバーのＩＰアドレスと、該データベース監査デバイスＶＭのＭＡＣアドレスと、該データベースサーバに接続しているアクセスデバイスと該ＶＭの移行前に接続したアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する。これにより、データベース監査デバイスＶＭを移行する過程において、該ＶＭにミラーリングすべきデータベースアクセスパケットに対する監査が影響されないことが確保できる。
【００５５】
図１に示す実際のネットワークを例として、上記した例示の方法を詳細に説明する。図１において、スイッチ１４１，１４２，１４３および１４４のうちの任意の２つの間でＶＸＬＡＮトンネルを確立することができる。ＶＭ１８１〜１８５はデータベースサーバＶＭであり、ＶＭ１７６〜１７９はデータベース監査デバイスＶＭである。
【００５６】
【表３】
2019514310.tif 000005
【００５７】
【表４】
2019514310.tif 000006
【００５８】
【表５】
2019514310.tif 000007
【００５９】
ＶＭｎのＩＰアドレス及びＭＡＣアドレスをそれぞれＶＭｎ−ＩＰおよびＶＭｎ−ＭＡＣとし、ｎ＝１８１，１８２，．．．１８５，１７６，１７７，．．．１７９とする。物理データベースサーバ１０２のＩＰアドレスおよびＭＡＣアドレスをそれぞれＩＰ  １０２およびＭＡＣ  １０２とし、物理データベース監査デバイス１０３のＩＰアドレスおよびＭＡＣアドレスをそれぞれＩＰ  １０３およびＭＡＣ  １０３とし、スイッチｉとスイッチｊとの間のＶＸＬＡＮトンネルをＶＸＬＡＮｉｊとし、ｉ＝１４１，１４２，１４３，１４４、ｊ＝１４１，１４２，１４３，１４４、ｉ≠ｊとする。ＳＤＮコントローラ１０１におけるグローバルミラーリングルール設定テーブルは、表３−１に示すようなものである。スイッチ１４１上のミラーリングルールテーブルは、表４−１に示すようなものであり、スイッチ１４２上のミラーリングルールテーブルは、表５−１に示すようなものである。
【００６０】
スイッチ１４１は、データベースアクセスパケットを受信し、該データベースアクセスパケットの宛先ＩＰアドレスはＶＭ  １８２−ＩＰであり、宛先ＭＡＣアドレスはＶＭ  １８２−ＭＡＣである。表４−１に示すミラーリングルールテーブルから、対応するＭＡＣアドレスがＭＡＣ  １０３であり、ＶＸＬＡＮトンネルがＶＸＬＡＮ１４１１４３であることが得られた。該データベースアクセスパケットをミラーリングし、ミラーリングパケットの宛先ＭＡＣアドレスＶＭ  １８２−ＭＡＣをＭＡＣ  １０３に入れ替える。その後、ＶＸＬＡＮ１４１１４３に基づいてミラーリングパケットをカプセル化し、カプセル化して得られたＶＸＬＡＮパケットをスイッチ１４３に転送する。
【００６１】
スイッチ１４３は、該ＶＸＬＡＮパケットを受信した後に、該ＶＸＬＡＮパケットをデカプセル化して、そのミラーリングパケットを取得する。該ミラーリングパケットの宛先ＭＡＣアドレスＭＡＣ  １０３に基づいて、ローカルにて格納されたＭＡＣアドレステーブルから、対応する出力インタフェースをサーチする。該出力インターフェースを介して物理データベース監査デバイス１０３に該ミラーリングパケットを転送し、物理データベース監査デバイス１０３がミラーリングパケットを監査する。
【００６２】
ＶＭ管理ソフトウェア（図１に示せず）は、ＶＭ  １８２の移行を開始させようとする時に、ＳＤＮコントローラ１０１に移行開始通知を送信する。該移行開始通知に、ＶＭ  １８２のアドレス情報と、ＶＭ  １８２の移行前に接続したスイッチ１４１の識別子と、ＶＭ  １８２の移行後に接続するスイッチ１４２の識別子等が載せられている。ＳＤＮコントローラ１０１は、該移行開始通知を受信した後に、該移行開始通知に載せられたＶＭ  １８２のアドレス情報に基づいて、該ＶＭ  １８２をデータベースサーバＶＭとして決定する。ＶＭ  １８２のＩＰアドレスＶＭ  １８２−ＩＰに基づいて、表３−１に示すグローバルミラーリングルール設定テーブルから、対応するミラーリングルールをサーチする。その結果、表３−１の４行目に示すようなエントリが得られた。該ミラーリングルールのコピーを表３−１に追加し、該コピーに含まれたＶＸＬＡＮトンネルであるＶＸＬＡＮ１４１１４３を、スイッチ１４２とスイッチ１４３との間のＶＸＬＡＮトンネルであるＶＸＬＡＮ１４２１４３に入れ替えることにより、新しいミラーリングルールを生成する。その後、この新しいミラーリングルールは、ミラーリングルール新規追加情報に載せられ、スイッチ１４２に送信される。この時、表３−１は表３−２に更新された。
【００６３】
スイッチ１４２は、該ミラーリングルール新規追加情報を受信した後に、該ミラーリングルール新規追加情報に載せられたミラーリングルールを表５−１に示すミラーリングルールテーブルに追加する。この時、表５−１は表５−２に更新された。その後、データベースアクセスパケットを受信した後に、表５−２に示すミラーリングルールテーブルに従って処理する。
【００６４】
【表６】
2019514310.tif 000008
【００６５】
【表７】
2019514310.tif 000009
【００６６】
ＶＭ管理ソフトウェアによるＶＭ  １８２の移行が完了した後に、図１に示す仮想化ネットワークは、図３に示すように更新される。ＶＭ管理ソフトウェアは、ＳＤＮコントローラ１０１に移行完了通知を送信する。該移行完了通知に、ＶＭ  １８２のアドレス情報と、ＶＭ  １８２の移行前に接続したスイッチ１４１の識別子と、ＶＭ  １８２の移行後に接続するスイッチ１４２の識別子などが載せられている。ＳＤＮコントローラ１０１は、該移行完了通知を受信した後に、ＶＭ  １８２のＩＰアドレスＶＭ  １８２−ＩＰ及びＶＸＬＡＮ１４１１４３に基づいて、表３−２に示すグローバルミラーリングルール設定テーブルから、対応するミラーリングルールをサーチする。その結果、表３−２の４行目に示すエントリをサーチして削除した。この時、表３−２は表３−３に更新された。ＳＤＮコントローラ１０１は、ＶＭ１８２−ＩＰが載せられているミラーリングルール削除情報をスイッチ１４１に送信する。
【００６７】
スイッチ１４１は、ミラーリングルール削除情報を受信した後に、表４−１からＶＭ  １８２−ＩＰを含むミラーリングルールを削除する。この時、表４−１は表４−２に更新された。その後、データベースアクセスパケットを受信した後に、表４−２に示すミラーリングルールテーブルに従って処理する。
【００６８】
【表８】
2019514310.tif 000010
【００６９】
【表９】
2019514310.tif 000011
【００７０】
ＶＭ管理ソフトウェアは、ＶＭ  １７７の移行を開始させようとする時に、ＶＭ管理ソフトウェアは、ＳＤＮコントローラ１０１に移行開始通知を送信する。該移行開始通知に、ＶＭ  １７７のアドレス情報と、ＶＭ  １７７の移行前に接続したスイッチ１４４の識別子と、ＶＭ  １７７の移行後に接続するスイッチ１４３の識別子などが載せられている。ＳＤＮコントローラ１０１は、該移行開始通知を受信した後に、該移行開始通知に載せられたＶＭ  １７７のアドレス情報に基づいて、該ＶＭ  １７７をデータベース監査デバイスＶＭとして決定する。ＶＭ  １７７のＭＡＣアドレスＶＭ  １７７−ＭＡＣに基づいて、表３−３に示すグローバルミラーリングルール設定テーブルから、対応するミラーリングルールをサーチする。その結果、表３−３の３行目に示すようなエントリが得られた。該ミラーリングルールのコピーを表３−３に追加し、該コピーに含まれたＶＸＬＡＮトンネルであるＶＸＬＡＮ１４１１４４を、スイッチ１４１とスイッチ１４３との間のＶＸＬＡＮトンネルであるＶＸＬＡＮ１４１１４３に入れ替えることにより、新しいミラーリングルールを生成する。その後、この新しいミラーリングルールは、ミラーリングルール新規追加情報に載せられ、スイッチ１４１に送信される。この時、表３−３は表３−４に更新された。
【００７１】
スイッチ１４１は、該ミラーリングルール新規追加情報を受信した後に、該ミラーリングルール新規追加情報に載せられたミラーリングルールを表４−２に示すようなミラーリングルールテーブルに追加する。この時、表４−２は表４−３に更新された。その後、データベースアクセスパケットを受信した後に、表４−３に示すようなミラーリングルールテーブルに従って処理する。
【００７２】
【表１０】
2019514310.tif 000012
【表１１】
2019514310.tif 000013
【００７３】
ＶＭ管理ソフトウェアによるＶＭ  １７７の移行が完了した後に、図３に示す仮想化ネットワークは、図４に示す仮想化ネットワークに更新される。ＶＭ管理ソフトウェアは、ＳＤＮコントローラ１０１に移行完了通知を送信する。該移行完了通知に、ＶＭ  １７７のアドレス情報と、ＶＭ  １７７の移行前に接続したスイッチ１４４の識別子と、ＶＭ  １７７の移行後に接続するスイッチ１４３の識別子等とが載せられている。ＳＤＮコントローラ１０１は、該移行完了通知を受信した後に、ＶＭ  １７７のＭＡＣアドレスであるＶＭ  １７７−ＭＡＣ及びＶＸＬＡＮ１４１１４４に基づいて、表３−４に示すグローバルミラーリングルール設定テーブルから、対応するミラーリングルールをサーチする。その結果、表３−４の３行目に示すようなエントリがサーチして削除した。この時、表３−４は表３−５に更新された。ＳＤＮコントローラ１０１は、ＶＭ  １７７−ＭＡＣとＶＸＬＡＮ１４１１４４が載せられているミラーリングルール削除情報をスイッチ１４１に送信する。
【００７４】
スイッチ１４１は、ミラーリングルール削除情報を受信した後に、表４−３に示すミラーリングルールテーブルからＶＭ７−ＭＡＣとＶＸＬＡＮ１４とを含むミラーリングルールを削除する。この時に、表４−３は表４−４に更新された。その後、データベースアクセスパケットを受信した後に、表４−４に示すようなミラーリングルールテーブルに従って処理する。
【００７５】
【表１２】
2019514310.tif 000014
【表１３】
2019514310.tif 000015
【００７６】
上述パケット転送方法の例示に対応して、本公開はパケット転送装置６０および別のパケット転送装置７０の例を更に提供する。
【００７７】
１つの例では、本公開に係るパケット転送装置６０は、アクセスデバイスに適用することができる。該パケット転送装置６０の例は、ソフトウェアによって実現されてもよく、ハードウェア又はソフトウェアとハードウェアとの組み合わせによって実現されてもよい。ハードウェアの場合は、図５に示すパケット転送装置６０が位置するアクセスデバイスのハードウェア構成図である。図５に示すプロセッサ６１、インターナルバス６２、ネットワークインターフェース６３、メモリ６４、および不揮発性記憶媒体６５に加えて、該パケット転送装置６０が位置するアクセスデバイスは、一般的に該アクセスデバイスの実際の機能に応じて他のハードウェアを含んでもよいが、その詳細についてここで省略する。ソフトウェアの場合は、該パケット転送装置６０は、論理上の装置として、その位置しているアクセスデバイスのプロセッサ６１によって、不揮発性記憶媒体６５におけるパケット転送制御ロジックに対応する機械読込可能な指令をメモリ６４に読み込んで実行することで形成する。
【００７８】
図６を参照すると、アクセスデバイスに適用される上記のパケット転送装置６０は、受信モジュール６０１と、サーチモジュール６０２と、ミラーリングモジュール６０３と、入れ替えモジュール６０４と、カプセル化モジュール６０５と、送信モジュール６０６とを含む。
【００７９】
そのうち、受信モジュール６０１は、データベースアクセスパケットを受信するためのものである。
【００８０】
サーチモジュール６０２は、受信モジュール６０１によってデータベースアクセスパケットを受信した後、該データベースアクセスパケットの宛先ＩＰアドレスに基づいて、ローカルミラーリングルールテーブルから対応するＭＡＣアドレスおよびＶＸＬＡＮトンネルをサーチするためのものである。そのうち、ミラーリングルールテーブルは少なくとも１つのミラーリングルールを含んでもよい。各ミラーリングルールに、本アクセスデバイスに接続しているデータベースサーバのＩＰアドレスと、データベース監査デバイスのＭＡＣアドレスと、本アクセスデバイスと該データベース監査デバイスに接続しているアクセスデバイスとの間のＶＸＬＡＮトンネルとを含む。
【００８１】
ミラーリングモジュール６０３は、受信モジュール６０１によって受信されたデータベースアクセスパケットをミラーリングすることにより、前記データベースアクセスパケットのミラーリングパケットを生成するためのものである。
【００８２】
入れ替えモジュール６０４は、ミラーリングモジュール６０３によって得られたミラーリングパケットの宛先ＭＡＣアドレスを、サーチモジュール６０２によって得られたＭＡＣアドレスに入れ替えるためのものである。
【００８３】
カプセル化モジュール６０５は、サーチモジュール６０２によって得られたＶＸＬＡＮトンネルに基づいて、入れ替えモジュール６０４によって入れ替えられたミラーリングパケットをカプセル化するためのものである。
【００８４】
送信モジュール６０６は、カプセル化モジュール６０５によってカプセル化して得られたＶＸＬＡＮパケットを送信するためのものである。
【００８５】
図７は、本公開の一例に係るアクセスデバイスに適用されるパケット転送装置の他の構成の模式図である。図７に示すように、アクセスデバイスに適用される上記パケット転送装置６０は、追加モジュール６０７と削除モジュール６０８をさらに備えてもよい。
【００８６】
そのうち、受信モジュール６０１は、ＳＤＮコントローラによって送信されたミラーリングルール新規追加情報およびミラーリングルール削除情報を更に受信する。そのうち、ミラーリングルール削除情報に、削除しようとするミラーリングルールに含んでいる少なくとも１つの情報が載せられている。
【００８７】
追加モジュール６０７は、受信モジュール６０１によって受信されたミラーリングルール新規追加情報に載せられたミラーリングルールをミラーリングルールテーブルに追加するためのものである。
【００８８】
削除モジュール６０８は、ミラーリングルールに載せられた少なくとも１つの情報に基づいて、ミラーリングルールテーブルから削除されるミラーリングルールをサーチして削除するためのものである。
【００８９】
他の一例において、本公開に係るパケット転送装置７０は、ＳＤＮコントローラに適用しても良い。該パケット転送装置７０の例は、ソフトウェアによって実現されてもよく、ハードウェア又はソフトウェアとハードウェアとの組み合わせによって実現されてもよい。ハードウェアの場合は、図８に示す本公開に係るパケット転送装置が位置するＳＤＮコントローラのハードウェア構成図である。図８に示すプロセッサ７１、インターナルバス７２、ネットワークインターフェース７３、内部メモリ７４、および不揮発性記憶媒体７５に加えて、該パケット転送装置７０が位置するＳＤＮコントローラは、一般的に該ＳＤＮコントローラの実際の機能に応じて、他のハードウェアを含んでもよいが、その詳細についてここで省略する。ソフトウェアの場合は、該パケット転送装置７０は、論理上の装置として、その位置しているＳＤＮコントローラのプロセッサ７１によって、不揮発性記憶媒体７５内におけるパケット転送制御ロジックに対応する機械読込可能な指令をメモリ７４に読み込んで実行することで形成する。
【００９０】
図９は、本公開の一例に係るＳＤＮコントローラに適用されるパケット転送装置の構成の模式図である。図９に示すように、ＳＤＮコントローラに適用される上記パケット転送装置７０は、決定モジュール７０１と送信モジュール７０２とを更に備えてもよい。
【００９１】
そのうち、決定モジュール７０１は、データベースサーバに接続している第１のアクセスデバイスに対してミラーリングルールを設定する必要があるかどうかを決定するためのものである。
【００９２】
送信モジュール７０２は、決定モジュール７０１によって第１のアクセスデバイスに対してミラーリングルールを設定する必要があると決定した後に、第１のアクセスデバイスにミラーリングルールをローカルミラーリングルールテーブルに追加して、該ミラーリングルールに従ってパケットを転送するように、該ミラーリングルールを載せているミラーリングルール新規追加情報を第１のアクセスデバイスに送信するためのものである。そのうち、該ミラーリングルールは、第１のアクセスデバイスに接続しているデータベースサーバのＩＰアドレスと、データベース監査デバイスのＭＡＣアドレスと、第１のアクセスデバイスとデータベース監査デバイスに接続している第２のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含んでいる。
【００９３】
１つの例において、決定モジュール７０１は、移行開始通知を受信するように構成している。そのうち、該移行開始通知に、移行されるＶＭのアドレス情報と、移行されるＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する第１のアクセスデバイスの識別子とが載せられている。移行されるＶＭがデータベースサーバである場合に、決定モジュール７０１は、移行されるＶＭのＩＰアドレスを含むミラーリングルールをグローバルミラーリングルール設定テーブルからサーチする。そのうち、得られたミラーリングルールに含まれたＭＡＣアドレスによって特定されたデータベース監査デバイスは、第２のアクセスデバイスに接続している。決定モジュール７０１は、更に、得られたミラーリングルールのコピーをグローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成し、かつ第１のアクセスデバイスに対してこの新しいミラーリングルールを設定する必要があると決定する。
【００９４】
別の例として、決定モジュール７０１は、移行開始通知を受信するように構成する。そのうち、移行開始通知に、移行されるＶＭのアドレス情報と、移行されるＶＭが移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続された第２のアクセスデバイスの識別子とが載せられている。移行されるＶＭがデータベース監査デバイスである場合に、決定モジュール７０１は、グローバルミラーリングルール設定テーブルから移行されるＶＭのＭＡＣアドレスを含むミラーリングルールをサーチする。そのうち、得られたミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバは、第１のアクセスデバイスに接続している。決定モジュール７０１は、得られたミラーリングルールのコピーをグローバルミラーリングルール設定テーブルに追加し、該コピーに含まれたＶＸＬＡＮトンネルを第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルに入れ替えることにより、新しいミラーリングルールを生成し、第１のアクセスデバイスに対してこの新しいミラーリングルールを設定する必要があると決定する。
【００９５】
なお、決定モジュール７０１は、更に、第１のアクセスデバイスにおけるミラーリングルールを削除するかどうかを決定する。
【００９６】
送信モジュール７０２は、決定モジュール７０１によって第１のアクセスデバイスにおけるミラーリングルールを削除する必要があると決定した後に、第１アクセスデバイスへ削除するミラーリングルールに含まれている少なくとも１つの情報を載せるミラーリングルール削除情報を送信し、第１のアクセスデバイスは、ローカルミラーリングルールテーブルから該少なくとも１つの情報を含むミラーリングルールをサーチして削除する。
【００９７】
他の一例として、決定モジュール７０１は、移行完了通知を受信するように構成する。そのうち、移行完了通知に、移行完了後のＶＭのアドレス情報と、該ＶＭの移行前に接続した第１のアクセスデバイスの識別子と、移行後に接続する第３のアクセスデバイスの識別子とが載せられている。移行完了後のＶＭがデータベースサーバである場合に、決定モジュール７０１は、グローバルミラーリングルール設定テーブルから、移行完了後のＶＭのＩＰアドレス、および第１のアクセスデバイスと第２のアクセスデバイスとの間のＶＸＬＡＮトンネルを含むミラーリングルールを削除する。そのうち、該ミラーリングルールに含まれたＭＡＣアドレスで特定されたデータベース監査デバイスは、第２のアクセスデバイスに接続している。そして、決定モジュール７０１は、第１のアクセスデバイスにおける、移行が完了したＶＭのＩＰアドレスを含むミラーリングルールを削除する必要があると決定する。
【００９８】
他の一例において、決定モジュール７０１は、移行完了通知を受信するように設定される。そのうち、移行完了開始通知に、移行完了後のＶＭのアドレス情報と、該ＶＭの移行前に接続した第３のアクセスデバイスの識別子と、移行後に接続する第２のアクセスデバイスの識別子とが載せられている。移行完了後のＶＭがデータベース監査デバイスである場合に、決定モジュール７０１は、グローバルミラーリングルール設定テーブルから、移行完了後のＶＭのＭＡＣアドレス、および第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルを含むミラーリングルールを削除する。そのうち、該ミラーリングルールに含まれたＩＰアドレスで特定されたデータベースサーバは、第１のアクセスデバイスに接続している。そして、決定モジュール７０１は、第１のアクセスデバイスにおける、移行が完了したＶＭのＭＡＣアドレスと、第１のアクセスデバイスと第３のアクセスデバイスとの間のＶＸＬＡＮトンネルとを含むミラーリングルールを削除する必要があると決定する。
【００９９】
上記装置における各モジュールの機能および役割の実現過程について、具体的に、上記方法における対応するステップの実現過程を参照する。ここでは重複しない。
【０１００】
装置の例示について、基本的に方法の例示に対応するため、関連する部分は方法の例示部分の説明を参照すればよい。以上のような装置の例示は、単なる例示であるが、分離的な部材として記載されたユニットは、物理的に分離されてもよく、分離されなくてもよい。ユニットとして表示される部材は、物理的ユニットであってもよく、物理的ユニットではなくてもよい。即ち、一箇所に位置されてもよく、又は複数のネットワークユニットに分散されてもよい。本公開の技術案の目的は、実際の必要に応じて一部又は全部のモジュールを選択することで達成できる。当業者は、進歩性に値する労働をせずに理解又は実施することができる。
【０１０１】
本公開で使用される用語は、特定の例示を説明するためのものだけであり、本公開を限定するためのものではない。文脈から他の意味を明確に示していない限り、本公開および添付の特許請求の範囲において使用される単数形「一つ」、「前記」および「該」は、複数形も含むことが意図される。また、本明細書で使用される「および／または」という用語は、１つまたは複数の関連する列挙項目を含む何れか又はすべての実施可能な組み合わせを指すことも理解すべきである。
【０１０２】
本公開において第１、第２、第３などの用語を用いて様々な情報を説明することができるが、これらの情報はこれらの用語に限定されるべきではないことが理解されるべきである。これらの用語は、同じタイプの情報を互いに区別するためのものたけである。例えば、本公開の範囲から逸脱しない場合に、第１の情報は、第２の情報と呼ぶことができる。同様に、第２の情報は、第１の情報と呼ぶこともできる。文脈に応じて、本明細書で使用される「もし」という単語は、「。。。時に」又は「。。。すると」又は「決定に対応する」と解釈されてもよい。
【０１０３】
以上は、本公開の好ましい実施例を説明しましたが、そのいずれも本公開の範囲を限定するものではなく、本公開の要旨を逸脱しない範囲においてなされた如何なる補正、均等入れ替え、改善などは、本公開の請求の範囲に含まれていると解釈すべきである。
【図１】
2019514310.tif 000016
【図２】
2019514310.tif 000017
【図３】
2019514310.tif 000018
【図４】
2019514310.tif 000019
【図５】
2019514310.tif 000020
【図６】
2019514310.tif 000021
【図７】
2019514310.tif 000022
【図８】
2019514310.tif 000023
【図９】
2019514310.tif 000024
【国際調査報告】
2019514310.tif 000025
2019514310.tif 000026
2019514310.tif 000027
2019514310.tif 000028