(57)【要約】【課題】パケットが暗号化されている場合であっても、キャプチャ対象外のパケットを識別する。【解決手段】ＶＰＮルータ２のＷＡＮ側が暗号化される場合でも、送出部１４が、ＶＰＮルータ２により分割される所定の大きさより大きいサイズの保守用パケットを送信し、フィルタ部１２が、キャプチャしたパケットが分割されたフラグメントパケットであるか否かを判定する。これにより、送出部１４が送信した保守用パケットを識別し、保守用パケットを除外したパケットを取得することが可能となる。【選択図】図１
2011193412.tif 000002
【特許請求の範囲】
【請求項１】
通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするパケットキャプチャ装置であって、
前記通信装置による分割対象となる所定の大きさより大きいサイズの保守用パケットを当該通信装置を介して広域ネットワーク側の保守拠点へ送信する送出手段と、
前記通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするキャプチャ手段と、
前記キャプチャ手段がキャプチャしたパケットが前記通信装置により分割されたパケットであるか否かを調べ、当該パケットが分割されたパケットの場合は当該パケットを蓄積しないと判定し、当該パケットが分割されていないパケットの場合は当該パケットを蓄積すると判定するフィルタ手段と、
前記フィルタ手段が蓄積すると判定した前記パケットを蓄積する蓄積手段と、
を有することを特徴とするパケットキャプチャ装置。
【請求項２】
前記フィルタ手段は、前記送出手段が前記保守用パケットを送信してから所定の期間内にキャプチャしたパケットのうち１組の分割されたパケットを蓄積しないと判定し、それ以外のパケットを蓄積すると判定することを特徴とする請求項１記載のパケットキャプチャ装置。
【請求項３】
通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするパケットキャプチャ方法であって、
前記通信装置による分割対象となる所定の大きさより大きいサイズの保守用パケットを当該通信装置を介して広域ネットワーク側の保守拠点へ送信するステップと、
前記通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするステップと、
前記キャプチャ手段がキャプチャしたパケットが前記通信装置により分割されたパケットであるか否かを調べ、当該パケットが分割されたパケットの場合は当該パケットを蓄積しないと判定し、当該パケットが分割されていないパケットの場合は当該パケットを蓄積すると判定するステップと、
前記判定するステップにおいて蓄積すると判定した前記パケットを蓄積するステップと、
を有することを特徴とするパケットキャプチャ方法。
【請求項４】
前記判定するステップは、前記送信するステップにおいて前記保守用パケットを送信してから所定の期間内にキャプチャしたパケットのうち１組の分割されたパケットを蓄積しないと判定し、それ以外のパケットを蓄積すると判定することを特徴とする請求項３記載のパケットキャプチャ方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを流れるパケットをキャプチャする技術に関する。
【背景技術】
【０００２】
ネットワークトラブルの原因を追求する方法として、ネットワークに流れるパケットをキャプチャして解析を行う方法がある。トラブルの症状がすぐに現れない場合、ネットワークの保守者がトラブルの発生した現地に出向いてパケットキャプチャ装置を設置し、遠隔の保守拠点へキャプチャデータを定期的に送信することでトラブルの原因を追求する。
【０００３】
キャプチャ装置としては、例えば、特許文献１に記載のものが知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−１０３０９０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、パケットキャプチャ装置自身が送信する保守用パケットをキャプチャしてしまうと、本来の監視対象以外のデータが含まれてキャプチャデータが著しく増大することになってしまうという問題があった。
【０００６】
上記の問題に対して、従来はパケットキャプチャ装置が保守用パケットを送信するときはキャプチャを停止するなどの対応を行っていた。しかし、キャプチャデータの送信など保守用パケットの送信が長時間にわたる場合、その間パケットのキャプチャが停止するという問題があった。そのため、遠隔保守によるパケットキャプチャにおいては、キャプチャを実行しつつ保守用パケットを除外する技術が必要とされていた。
【０００７】
そこで、発明者らは、保守用パケット中に特定のビット列を施して保守用パケットを識別し、キャプチャ対象から除外することで、上記の課題を克服した。
【０００８】
しかしながら、パケットキャプチャ対象のルータのＷｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＷＡＮ：広域ネットワーク）側がＶｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ（ＶＰＮ：仮想プライベートネットワーク）で暗号化されている場合には、データの解読が困難で、特定のビット列を検出することができず、上記の方法を適用することができないという問題があった。
【０００９】
本発明は、上記に鑑みてなされたものであり、パケットが暗号化されている場合であっても、キャプチャ対象外のパケットを識別することを目的とする。
【課題を解決するための手段】
【００１０】
第１の本発明に係るパケットキャプチャ装置は、通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするパケットキャプチャ装置であって、前記通信装置による分割対象となる所定の大きさより大きいサイズの保守用パケットを当該通信装置を介して広域ネットワーク側の保守拠点へ送信する送出手段と、前記通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするキャプチャ手段と、前記キャプチャ手段がキャプチャしたパケットが前記通信装置により分割されたパケットであるか否かを調べ、当該パケットが分割されたパケットの場合は当該パケットを蓄積しないと判定し、当該パケットが分割されていないパケットの場合は当該パケットを蓄積すると判定するフィルタ手段と、前記フィルタ手段が蓄積すると判定した前記パケットを蓄積する蓄積手段と、を有することを特徴とするパケットキャプチャ装置。
【００１１】
上記パケットキャプチャ装置において、前記フィルタ手段は、前記送出手段が前記保守用パケットを送信してから所定の期間内にキャプチャしたパケットのうち１組の分割されたパケットを蓄積しないと判定し、それ以外のパケットを蓄積すると判定することを特徴とする。
【００１２】
第２の本発明に係るパケットキャプチャ方法は、通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするパケットキャプチャ方法であって、前記通信装置による分割対象となる所定の大きさより大きいサイズの保守用パケットを当該通信装置を介して広域ネットワーク側の保守拠点へ送信するステップと、前記通信装置の広域ネットワーク側において送受信されるパケットをキャプチャするステップと、前記キャプチャ手段がキャプチャしたパケットが前記通信装置により分割されたパケットであるか否かを調べ、当該パケットが分割されたパケットの場合は当該パケットを蓄積しないと判定し、当該パケットが分割されていないパケットの場合は当該パケットを蓄積すると判定するステップと、前記判定するステップにおいて蓄積すると判定した前記パケットを蓄積するステップと、を有することを特徴とする。
【００１３】
上記パケットキャプチャ方法において、前記判定するステップは、前記送信するステップにおいて前記保守用パケットを送信してから所定の期間内にキャプチャしたパケットのうち１組の分割されたパケットを蓄積しないと判定し、それ以外のパケットを蓄積すると判定することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、パケットが暗号化されている場合であっても、キャプチャ対象外のパケットを識別することができる。
【図面の簡単な説明】
【００１５】
【図１】本実施の形態におけるパケットキャプチャ装置の構成及び配置を示すブロック図である。
【図２】パケットキャプチャ装置の処理の流れを示すシーケンス図である。
【図３】パケットキャプチャ装置の別の処理の流れを示すシーケンス図である。
【発明を実施するための形態】
【００１６】
以下、本発明の実施の形態について図面を用いて説明する。
【００１７】
図１は、本実施の形態におけるパケットキャプチャ装置の構成を示す機能ブロック図である。同図に示すパケットキャプチャ装置１は、ＶＰＮルータ２とＯｐｔｉｃａｌ  Ｎｅｔｗｏｒｋ  Ｕｎｉｔ（ＯＮＵ：光回線終端装置）３の間に接続され、ＶＰＮルータ２のＷＡＮ側のパケットをキャプチャしつつ、ネットワーク１００を介して接続された遠隔の保守拠点４へキャプチャデータを定期的に送信する。パケットキャプチャ装置１は、ネットワークトラブルが発生したときに設置されるものであり、ＶＰＮルータ２のＷＡＮ側に流れるパケットをキャプチャして、通信状態の継続有無やトラヒックレートの確認を行う。ＶＰＮルータ２のＬｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＬＡＮ：ローカルネットワーク）側にはＩＰ電話機２１やパーソナルコンピュータ（ＰＣ）２２が接続される。ＩＰ電話機２１やＰＣ２２は、ＶＰＮルータ２を介してＶＰＮルータ２のＷＡＮ側に接続されたネットワーク１００と通信を行う。以下、本実施の形態におけるパケットキャプチャ装置１について説明する。
【００１８】
図１に示すパケットキャプチャ装置１は、キャプチャ部１１、フィルタ部１２、蓄積部１３、および送出部１４を備える。パケットキャプチャ装置１が備える各部は、演算処理装置、記憶装置、メモリ等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムはパケットキャプチャ装置１が備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。
【００１９】
キャプチャ部１１は、ＶＰＮルータ２とＯＮＵ３の間を流れるパケットをキャプチャする。ＶＰＮルータ２のＷＡＮ側はＩＰＳｅｃを利用して暗号化されており、キャプチャ部１１がキャプチャするパケットは暗号化されたものである。
【００２０】
フィルタ部１２は、キャプチャ部１１がキャプチャしたパケットからパケットキャプチャ装置１自身が送信した保守用パケットを除外して蓄積部１３に蓄積する。具体的には、キャプチャしたパケットが分割されたフラグメントパケットである場合、保守用パケットがＶＰＮルータ２により分割されたフラグメントパケットであると判定し、そのパケットは蓄積部１３に蓄積しない。ＶＰＮルータ２は、パケットの大きさが所定のＭａｘｉｍｕｍ  Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｕｎｉｔ（ＭＴＵ）を超えた場合、そのパケットをＭＴＵより小さなサイズのフラグメントパケットに分割するフラグメント処理を行う。
【００２１】
送出部１４は、保守拠点４へキャプチャデータを定期的に送信する。送出部１４は、ＶＰＮルータ２のＬＡＮ側に接続されており、送出部１４が送信したキャプチャデータは、ＶＰＮルータ２、ＯＮＵ３、ネットワーク１００を介して保守拠点４へ到達する。送出部１４は、キャプチャデータを、ＶＰＮルータ２でフラグメント処理が行われる大きさのパケットで送信する。送出部１４が送信した保守用パケットは、ＶＰＮルータ２によりフラグメントパケットに分割される。キャプチャ部１１は、ＶＰＮルータ２とＯＮＵ３の間を流れるパケットをキャプチャするが、フィルタ部１２はフラグメントパケットを蓄積部１３に蓄積しないので、送出部１４が送信する保守用パケットは蓄積部１３に蓄積されない。
【００２２】
次に、本実施の形態におけるパケットキャプチャ装置の処理の流れについて説明する。
【００２３】
図２は、本実施の形態におけるパケットキャプチャ装置１の処理の流れを示すシーケンス図である。同図では、パケットキャプチャ装置１自身が送信するパケットに関する処理を示し、ＶＰＮ区間のＭＴＵは１４３８バイトであるとする。
【００２４】
まず、送出部１４がＶＰＮ区間のＭＴＵよりも大きなサイズの保守用パケットを送信する（ステップＳ１０１）。送信するパケットのＭＴＵを１４６０バイトとし、Ｄｏｎ’ｔ  Ｆｒａｇｍｅｎｔ  Ｂｉｔ（ＤＦビット）をオフとする。ＤＦビットはパケットの分割を禁止するビットであり、ＶＰＮルータ２がＤＦビットがオンでＭＴＵを超えるパケットを受信した場合、パケットが大きすぎる旨のエラーをＬＡＮ側のパケット送信元へ返す。ＤＦビットがオフの場合は、ＶＰＮルータ２がそのパケットをフラグメント処理してＷＡＮ側に送信する。
【００２５】
続いて、ＶＰＮルータ２が送出部１４から受信したパケットを暗号化する（ステップＳ１０２）。ＶＰＮルータ２の暗号化処理により、パケットの中身が暗号化され、パケットのサイズも少し大きくなる（図２の例では、１５００バイト）。
【００２６】
続いて、ＶＰＮルータ２は、暗号化したパケットがＶＰＮ区間のＭＴＵよりも大きなサイズであり、ＤＦビットがオフなので、そのパケットを分割するフラグメント処理を行う（ステップＳ１０３）。
【００２７】
フラグメント処理され分割されたパケットは同一のＩＰＩＤが付与され、別々のフラグメントパケットとして送信され、キャプチャ部１１によりキャプチャされる（ステップＳ１０４，Ｓ１０５）。
【００２８】
フィルタ部１２は、キャプチャしたパケットがフラグメントパケットか否か判定する（ステップＳ１０６）。フラグメントパケットは、同じＩＰＩＤを持つパケットの存在により検出する。ＩＰＩＤは、パケット毎にインクリメントされるが、フラグメントが発生した場合には、分割後の各パケットに同一のＩＰＩＤが付与される。
【００２９】
キャプチャ部１１がキャプチャしたパケットは、ＯＮＵ３を介してネットワーク１００に送出される（ステップＳ１０７，Ｓ１０８）。キャプチャ部１１は、ＶＰＮルータ２とＯＮＵ３の間に流れるパケットをタップして取得するものでもよい。
【００３０】
上記の処理により、送出部１４の送信する保守用パケットは蓄積部１３に蓄積されず、ＶＰＮルータ２のＬＡＮ側に接続された他の機器が送信するパケットは蓄積部１３に蓄積される。通常、ＩＰ電話機２１やＰＣ２２は、ＶＰＮルータ２でフラグメント処理されないようにＭＴＵを設定してパケットの送信を行うので、フラグメントパケットを蓄積しない上記の処理により、蓄積したいパケットはすべて蓄積されるが、フラグメントされるパケットを送信する機器がＬＡＮ側に接続されている場合、その機器が送信するパケットは蓄積されないという問題がある。そこで、以下に説明する方法により上記問題に対処する。
【００３１】
図３は、ＰＣ２２が、送出部１４の送信するパケットと同じサイズのＭＴＵを持ち、ＤＦビットがオフのパケットを送信する場合の処理の流れを示すシーケンス図である。図３に示す例は、送出部１４がパケットを送信してからΔｔ秒間をモニタ期間としてパケットの蓄積を行わない期間を設ける。モニタ期間では、キャプチャされたフラグメントパケットのうち１組のフラグメントパケットを蓄積せず、その他のフラグメントパケットは蓄積する。もちろん、フラグメントパケット以外のパケットは蓄積する。以下、図３の処理の流れについて説明する。
【００３２】
まず、送出部１４がＶＰＮ区間のＭＴＵよりも大きなサイズのパケットを送信する（ステップＳ２０１）。送信するパケットのＭＴＵを１４６０バイトとし、ＤＦビットをオフとする。
【００３３】
続いて、ＶＰＮルータ２により暗号化処理、フラグメント処理が行われ（ステップＳ２０２）、同一のＩＰＩＤが付与された複数のパケットが送信され、キャプチャ部１１によりキャプチャされる（ステップＳ２０３，Ｓ２０４）。
【００３４】
フィルタ部１２は、キャプチャしたパケットを蓄積するか否か判定する（ステップＳ２０５）。図３に示す例では、送出部１４がパケットを送信してからΔｔ秒以内で、キャプチャ部１１が最初にキャプチャしたフラグメントパケットは蓄積せず、それ以外のパケットはフラグメントパケットであっても蓄積する。つまり、キャプチャしたパケットがフラグメントパケットであっても、送出部１４がパケットを送信していない時、および送出部１４がパケットを送信してからΔｔ秒経過したときにキャプチャしたフラグメントパケット、並びに、送出部１４がパケットを送信してからΔｔ秒間でキャプチャしたフラグメントパケットＮ組のうちＮ−１組のパケットは蓄積すると判定する。
【００３５】
キャプチャ部１１がキャプチャしたパケットは、蓄積されずにＯＮＵ３を介してネットワーク１００に送出される（ステップＳ２０６，Ｓ２０７）。
【００３６】
ここで、ＰＣ２２がＶＰＮ区間のＭＴＵよりも大きなサイズのパケットを送信する（ステップＳ２１１）。図３に示す例では、ＰＣ２２は、送出部１４と同様に、ＭＴＵを１４６０バイトとし、ＤＦビットをオフとしてパケットを送信する。
【００３７】
続いて、ＶＰＮルータ２により暗号化処理、フラグメント処理が行われ（ステップＳ２１２）、同一のＩＰＩＤが付与された複数のパケットが送信され、キャプチャ部１１によりキャプチャされる（ステップＳ２１３，Ｓ２１４）。
【００３８】
そして、フィルタ部１２は、キャプチャしたパケットを蓄積するか否か判定する（ステップＳ２１５）。ここで受信したパケットは、送出部１４がパケットを送信してからΔｔ秒以内に受信したフラグメントパケットであるが、ステップＳ２０３，Ｓ２０４で受信したパケットを送出部１４が送信したパケットとして判定しているので、フィルタ部１２は、このパケットを蓄積すると判定する。
【００３９】
フィルタ部１２は、ステップＳ２１３，Ｓ２１４で受信したパケットを蓄積部１３に蓄積する（ステップＳ２１６）。
【００４０】
キャプチャ部１１がキャプチャしたパケットは、ＯＮＵ３を介してネットワーク１００に送出される（ステップＳ２１７，Ｓ２１８）。
【００４１】
図３の例において、送出部１４がパケットを送信した後、保守用パケットのフラグメントパケットよりも先に、ＰＣ２２のフラグメントパケットをキャプチャし、ＰＣ２２が送信したパケットが蓄積されない可能性があるが、ＶＰＮ区間のパケットは暗号化されており、パケットキャプチャ装置１の目的がパケットの内容の確認ではなく、通信状態の継続有無やトラヒックレートの確認が目的であることから、Δｔが十分小さい状態であれば、図３の方法で十分実用に耐えることができる。
【００４２】
以上説明したように、本実施の形態によれば、ＶＰＮルータ２のＷＡＮ側が暗号化される場合でも、送出部１４が、ＶＰＮルータ２により分割される所定の大きさより大きいサイズの保守用パケットを送信し、フィルタ部１２が、キャプチャしたパケットが分割されたフラグメントパケットであるか否かを判定することで、送出部１４が送信した保守用パケットを識別し、保守用パケットを除外したパケットを取得することが可能となる。
【００４３】
本実施の形態によれば、フィルタ部１２が、送出部１４が保守用パケットを送信してからΔｔ秒間内にキャプチャしたフラグメントパケットのうち１組のパケットのみを蓄積しないと判定することで、ＶＰＮルータ２のＬＡＮ側に接続された通信機器が所定の大きさより大きいサイズのパケットを送信する場合でも、保守用パケットを除外しつつ、キャプチャ対象のパケットをキャプチャすることが可能となる。
【００４４】
なお、ＶＰＮルータ２やルータ機能を有するホームゲートウェイがパケットキャプチャ装置１を取り入れた構成にしてもよい。
【符号の説明】
【００４５】
１…パケットキャプチャ装置
１１…キャプチャ部
１２…フィルタ部
１３…蓄積部
１４…送出部
２…ＶＰＮルータ
２１…ＩＰ電話機
２２…ＰＣ
３…ＯＮＵ
４…保守拠点
１００…ネットワーク
【図１】
2011193412.tif 000003
【図２】
2011193412.tif 000004
【図３】
2011193412.tif 000005