(57)【要約】【課題】  アプライアンス装置を、１つのルータ／スイッチからＬＡＮ側およびＷＡＮ側の２本の回線を引き出す構成で設置する時、ルータやスイッチの設定ミスにより同一ＩＰからのパケットが２つの回線の両方から到着することがあり、これにより、アプライアンス装置に不具合が発生したり、ネットワークが障害を起こして通信が停止したりする問題があった。【解決手段】アプライアンス装置のＬＡＮ側回線及びＷＡＮ側回線と、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線及びＷＡＮ接続用回線との４つの回線を流れる通信を監視する監視装置が、通信セッションと受信パケットの整合性や、通信セッション同士の整合性を判断して、整合性に応じて、通信セッション毎の通過・廃棄やルーティングのポリシーを変更することで、通信サービスやアプライアンスサービスを通信セッション毎に継続させたり停止させたりする。【選択図】図２
2015154433.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮとＷＡＮとを接続するネットワーク上に設置された転送装置から引き出されたＬＡＮ接続用の第１回線と、前記転送装置から引き出されたＷＡＮ接続用の第２回線と、アプライアンス装置から引き出されたＬＡＮ側の第３回線と、前記アプライアンス装置から引き出されたＷＡＮ側の第４回線と接続され、
前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備える記憶部と、
前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更する演算部と、
を備えることを特徴とする監視装置。
【請求項２】
前記演算部は、前記コネクション管理情報に新規エントリを作成するコネクション登録部と、前記パケットの整合性を判定する不整合パケット検出部とを備え、
前記パケットの送信元情報は、送信元のＩＰ番号及びｐｏｒｔ番号であり、
前記パケットの宛先情報は、宛先のＩＰ番号及びｐｏｒｔ番号であること
を特徴とする請求項１記載の監視装置。
【請求項３】
前記コネクション登録部は、
前記パケットの送信元情報と前記パケットの宛先情報とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
存在しないと判定したとき、前記パケットの送信元情報と前記パケットの宛先情報とを備える新規エントリを、前記コネクション管理情報に作成すること
を特徴とする請求項２記載の監視装置。
【請求項４】
前記不整合パケット検出部は、
前記パケットの受信の向きを判定し、
前記第１回線又は前記第４回線からパケットを受信して、前記受信の向きがＬＡＮからＷＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更し、
前記第２回線又は前記第３回線からパケットを受信して、前記受信の向きがＷＡＮからＬＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更すること、
を特徴とする請求項２記載の監視装置。
【請求項５】
前記演算部は、更に、異常エントリ検出部を備え、
前記異常エントリ検出部は、
前記コネクション管理情報を参照し、あるエントリに記載されるＬＡＮ側のＩＰ番号及びポート番号と、別のエントリに記載されるＷＡＮ側のＩＰ番号及びポート番号とが一致するかを判定し、
一致すると判定したとき、前記あるエントリと前記別のエントリとが異常であるとして、前記あるエントリ及び前記別のエントリのルーティング先を変更し、
前記コネクション管理情報を参照し、あるエントリに記載されるＷＡＮ側のＩＰ番号及びポート番号と、別のエントリに記載されるＬＡＮ側のＩＰ番号及びポート番号とが一致するかを判定し、
一致すると判定したとき、前記あるエントリと前記別のエントリとが異常であるとして、前記あるエントリ及び前記別のエントリのルーティング先を変更すること、
を特徴とする請求項２記載の監視装置。
【請求項６】
前記演算部は、整合と判定したパケットを、前記第４回線と前記第２回線との間で、あるいは、前記第３回線と前記第１回線との間で、通過させることを特徴とする請求項４記載の監視装置。
【請求項７】
前記演算部は、不整合と判定したパケットを、前記第４回線と前記第１回線との間で、あるいは、前記第３回線と前記第２回線との間で、通過させることを特徴とする請求項４記載の監視装置。
【請求項８】
前記演算部は、不整合と判定したパケットを、前記第１回線と、前記第２回線との間で、通過させることを特徴とする請求項４記載の監視装置。
【請求項９】
前記演算部は、不整合と判定したパケットを廃棄させることを特徴とする請求項４記載の監視装置。
【請求項１０】
前記転送装置は、スイッチ又はルータであり、
前記アプライアンス装置は、ＩＤＳまたはＷｅｂ高速化装置であり、
前記第１回線は、前記転送装置から引き出されたアプライアンス向けＬＡＮ接続用の回線であり、
前記第２回戦は、前記転送装置から引き出されたアプライアンス向けＷＡＮ接続用の回線であり、
前記演算部は、更に通信遮断部と、ルーティング部とを備え、
前記ルーティング部は、前記パケットと一致する前記コネクション管理情報のエントリ記載のルーティング先に従い、前記パケットを、前記第３回線、前記第４回線、前記第１回線、又は前記第２回線のうちいずれかの回線に転送し、
前記ルーティング部は、前記パケットと一致する前記コネクション管理情報のエントリ記載の廃棄／通過に従い、前記パケットを廃棄する通信遮断部と、を有すること
を特徴とする請求項４記載の監視装置。
【請求項１１】
ＬＡＮとＷＡＮとを接続するネットワーク上に設置された転送装置から引き出されたＬＡＮ接続用の第１回線と、前記転送装置から引き出されたＷＡＮ接続用の第２回線と、アプライアンス装置から引き出されたＬＡＮ側の第３回線と、前記アプライアンス装置から引き出されたＷＡＮ側の第４回線と接続され、
記憶部が、前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備え、
演算部が、前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更すること
を特徴とする監視装置におけるパケットの監視方法。
【請求項１２】
前記演算部は、前記コネクション管理情報に新規エントリを作成するコネクション登録部と、前記パケットの整合性を判定する不整合パケット検出部とを備え、
前記パケットの送信元情報は、送信元のＩＰ番号及びｐｏｒｔ番号であり、
前記パケットの宛先情報は、宛先のＩＰ番号及びｐｏｒｔ番号であること
を特徴とする請求項１１記載の監視方法。
【請求項１３】
前記コネクション登録部は、
前記パケットの送信元情報と前記パケットの宛先情報とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
存在しないと判定したとき、前記パケットの送信元情報と前記パケットの宛先情報とを備える新規エントリを、前記コネクション管理情報に作成すること
を特徴とする請求項１２記載の監視方法。
【請求項１４】
前記不整合パケット検出部は、
前記パケットの受信の向きを判定し、
前記第１回線又は前記第４回線からパケットを受信して、前記受信の向きがＬＡＮからＷＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更し、
前記第２回線又は前記第３回線からパケットを受信して、前記受信の向きがＷＡＮからＬＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更すること、
を特徴とする請求項１２記載の監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信監視装に係り、特に、アプライアンス装置を流れる通信を監視する監視装置に関する。
【背景技術】
【０００２】
ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を利用した通信を高速化するためのＷＡＮ高速化装置や、データセンタや拠点のセキュリティを強化するためのＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）や、Ｗｅｂサーバのレスポンスを高速化するＷｅｂ高速化装置など、様々なアプライアンス装置が広く使われるようになりつつある。
【０００３】
ＷＡＮやインターネットなど外側のネットワークと、データセンタや拠点のＬＡＮなど内側のネットワークとの境界に、アプライアンス装置を設置して運用することが、一般的である。設定ミスや攻撃などにより、アプライアンス装置に異常なパケットが流入すると、アプライアンス装置が予期せぬ挙動をすることがある。そして、アプライアンス装置の予期せぬ挙動により、ネットワークに障害が発生することがある。
【０００４】
このようなネットワーク障害を防止するために、アプライアンス装置に流入するパケットを監視して、異常を検出したときにパケットを廃棄するような監視装置を、アプライアンス装置と共に設置することがある。
【０００５】
例えば、第１の端末から第２の端末へのアクセス要求を含んだ固定長パケットに格納されている情報に基づいて第２の端末へのアクセスを許容するか否かを判断する装置が公開されている（特許文献１）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開平１０−２１５２４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
アプライアンス装置を、１つのルータ／スイッチ（ルータ又はスイッチ）からＬＡＮ側の２本の回線およびＷＡＮ側の２本の回線を引き出す構成として設置するとき、ルータやスイッチの設定ミスにより、同一ＩＰからのパケットが、２つの回線の両方から到着することがある。このような場合、アプライアンス装置に不具合が発生したり、ネットワークが障害を起こして通信が停止したりする問題があった。
【課題を解決するための手段】
【０００８】
上述の課題を解決するために、本発明に係る通信装置及び通信装置におけるパケットの監視方法は、監視装置が、ＬＡＮとＷＡＮとを接続するネットワーク上に設置された転送装置から引き出されたＬＡＮ接続用の第１回線と、前記転送装置から引き出されたＷＡＮ接続用の第２回線と、アプライアンス装置から引き出されたＬＡＮ側の第３回線と、前記アプライアンス装置から引き出されたＷＡＮ側の第４回線と接続され、前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備える記憶部と、前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更する演算部とを備えることを特徴とする。
【発明の効果】
【０００９】
本発明により、監視装置は、アプライアンス装置のＬＡＮ側回線と、アプライアンス装置のＷＡＮ側回線と、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線と、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線の４つの回線を流れる通信を監視することが可能となる。更に、４つの回線を流れる通信セッションと受信パケットとの整合性の監視が可能となり、また、４つの回線を流れる通信セッション同士の整合性の監視が可能となり、また、４つの回線を流れる通信セッションと受信パケットとの整合性に応じて、通信サービスやアプライアンスサービスの継続／停止を指定することが可能となる。
【図面の簡単な説明】
【００１０】
【図１】本実施の形態における装置を有するシステム構成図。
【図２】実施例１における監視装置２００の機能ブロック図。
【図３】実施例１における監視装置が解決しようとする課題の説明図。
【図４】実施例１における監視装置が新たに実現する構成の説明図。
【図５】実施例１における監視装置が新たに実現する機能の説明図。
【図６】パケットのフォーマット図。
【図７】実施例２における監視装置７００の機能ブロック図。
【図８】コネクション管理テーブルに新規エントリを作成するフローチャート図。
【図９】エントリと受信パケットの整合性を判断するフローチャート図。
【図１０】エントリ同士の整合性を判断するフローチャート図。
【図１１】受信パケットと一致するエントリを読み出すフローチャート図。
【発明を実施するための形態】
【００１１】
本発明を実施するための代表的な形態は、下記の通りである。実施例１には、基本的な一形態を、記載する。実施例２には、監視部とアプライアンス部が一つの装置にまとめられた形態を、記載する。
【実施例１】
【００１２】
まず、図１と図３を用いて、本発明が解決しようとする課題について説明する。
【００１３】
図１には、本発明を適用した監視装置を有するシステムの構成図を示す。
【００１４】
監視装置２００Ａ〜Ｃは、複数の拠点内のＬＡＮ１１０、１２０、１３０とＷＡＮ１４０とを接続する通信回線上に設置されたルータ／スイッチ（ルータ又はスイッチ）２０２Ａ〜Ｃに対して、２本の回線で接続されている。更に、監視装置２００Ａ〜Ｃは、アプライアンス２０１Ａ〜Ｃに対して、２本の回線で接続されている。
【００１５】
ルータ／スイッチ２０２Ａ〜ＣとＷＡＮ１４０とは、アクセス回線１９１、１９２、１９３で接続されている。各拠点のＬＡＮ１１０、１２０、１３０には、複数の端末１１１〜１１３、１２１〜１２３、１３１〜１３３が接続している。なお、端末、装置及びネットワークの数は、図示以外にも適宜の数を備えても良い。
【００１６】
図３には、本発明が解決しようとする課題の説明図を示す。
【００１７】
アプライアンス２０１は、１つのルータ／スイッチ２０２から、ＬＡＮ側の回線３０２とＷＡＮ側の回線３０３とを引き出す構成で、設置されている。ルータ／スイッチ２０２は、ＬＡＮ１１０，１２０，１３０とルータ３００を経由して接続し、ＷＡＮ１４０とルータ３０１を経由して接続している。
【００１８】
まず、ルータ／スイッチ２０２におけるポリシールーティング／スイッチング（ポリシールーティング又はスイッチング）の設定が正しい場合（３１０）について説明する。
【００１９】
なお、設定が正しいとは、ＷＡＮ１４０とアプライアンス２０１との間でやり取りされるパケットが回線３０３を経由するようなルーティングが、ルータ／スイッチ２０２に設定され、且つ、ＬＡＮ１１０，１２０，１３０とアプライアンス２０１との間でやり取りされるパケットが回線３０２を経由するようなルーティングが、ルータ／スイッチ２０２に設定されることを、意味する。
【００２０】
ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入り、ＬＡＮ側の回線３０２を通って、アプライアンス２０１に到着する。そして、アプライアンス２０１からＷＡＮ１４０に向かうパケットは、ＷＡＮ側の回線３０３を通ってルータ／スイッチ２０２に入り、ルータ３０１を経由して、ＷＡＮ１４０へと抜けていく。
【００２１】
一方、ＷＡＮ１４０からのパケットは、ルータ３１０を経由してルータ／スイッチ２０２に入り、ＷＡＮ側の回線３０３を通って、アプライアンス２０１に到着する。そして、アプライアンス２０１からＬＡＮ１１０，１２０，１３０に向かうパケットは、ＬＡＮ側の回線３０２を通ってルータ／スイッチ２０２に入り、ルータ３００を経由して、ＬＡＮ１１０，１２０，１３０へと抜けていく。
【００２２】
次に、ルータ／スイッチ２０２のポリシールーティング／スイッチングの設定が誤っている場合（３２０）について説明する。
【００２３】
なお、ここで、設定が誤っているとは、ＷＡＮ１４０とアプライアンス２０１との間でやり取りされるパケットが回線３０３を経由するようなルーティングが、ルータ／スイッチ２０２に設定されておらず、ＬＡＮ１１０，１２０，１３０とアプライアンス２０１との間でやり取りされるパケットが回線３０２を経由するようなルーティングが、ルータ／スイッチ２０２に設定されていないことを意味する。設定が誤っていると、ＬＡＮ１１０，１２０，１３０からのパケットが回線３０２や回線３０３の両方を経由してアプライアンス２０１に到着したり、ＷＡＮ１４０からのパケットが回線３０２や回線３０３の両方を経由してアプライアンス２０１に到着したりする。
【００２４】
設定が誤っていると、ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入るが、その後、ＬＡＮ側の回線３０２を通ってアプライアンス２０１に到着したり、ＷＡＮ側の回線３０３を通ってアプライアンス２０１に到着したりすることがある。アプライアンス２０１は、ＬＡＮからのパケットを、ＬＡＮ側の回線３０２およびＷＡＮ側の回線３０３の両方から受信することになる。そして、アプライアンス２０１は、予期せぬパケットを受信することで不具合を発生し場合によっては、アプライアンス２０１の不具合が、ネットワークを停止させてしまうことがある。
【００２５】
同様に、設定が誤っていると、ＷＡＮ１４０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入るが、その後、ＬＡＮ側の回線３０２を通ってアプライアンス２０１に到着したり、ＷＡＮ側の回線３０３を通ってアプライアンス２０１に到着したりすることがある。アプライアンス２０１は、ＷＡＮからのパケットを、ＬＡＮ側の回線３０２およびＷＡＮ側の回線３０３の両方から受信することになる。そして、アプライアンス２０１は、予期せぬパケットを受信することで不具合を発生し場合によっては、アプライアンス２０１の不具合が、ネットワークを停止させてしまうことがある。
【００２６】
次に、図４と図５を用いて、本発明を適用した構成およびその機能について、説明する。
【００２７】
図４には、本実施を適用した監視装置２００を備える構成を示す。
【００２８】
まず、アプライアンス４００とルータ４０３との間に、インパス構成で導入される従来公知の監視装置４０１を示す。また、ルータ４０４から引き出された１本の回線に接続することで、アウトパス構成で導入される従来公知の監視装置４０２を示す。
【００２９】
一つ目の従来公知の監視装置４０１は、ＬＡＮ１１０，１２０，１３０からアプライアンス４００経由で受信したパケット４０５を監視すると共に、ＷＡＮ１４０からルータ４０３経由で受信したパケット４０６を監視する。一方、二つ目の従来公知の監視装置４０２は、ＬＡＮ１１０，１２０，１３０からアプライアンス４００経由で受信したパケット４０７を監視すると共に、ＷＡＮ１４０からルータ４０４経由で受信したパケット４０８を監視する。これらの監視装置４０１，４０２は、アプライアンス４００のＷＡＮ側から来たパケットと、ＷＡＮからルータ４０４経由で来たパケットとの、２種類のパケットしか監視できない。
【００３０】
これに対し、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０からルータ２０２経由で受信したパケット４０９と、ＷＡＮ１４０からルータ２０２経由で受信したパケット４１０と、アプライアンス２０１のＬＡＮ側から来たパケット４１１と、アプライアンス２０１のＷＡＮ側から来たパケット４１２との、合わせて４種類のパケットを監視する。このように、４種類のパケットを監視可能な監視装置２００を用いることで、２種類のパケットを監視する従来公知の監視装置４０１，４０２とは異なるシステムを組むことができる。
【００３１】
図５には、本発明を適用した監視装置２００により実現される機能の、説明図を示す。
【００３２】
まず、アプライアンス５００とルータ５０２との間に、インパス構成で導入される従来公知の監視装置５０１を示す。
【００３３】
従来公知の監視装置５０１は、アプライアンス５００のＷＡＮ側から受信したパケットに、例えば送信元IPアドレスとしてＷＡＮ側の端末のIPアドレスが用いられている等の不整合があり、異常と判断すると、パケットを廃棄する（５０３）。
【００３４】
同様に、従来公知の監視装置５０１は、ＷＡＮ１４０からルータ５０２経由で受信したパケットに、例えば送信元IPアドレスとしてＬＡＮ側の端末のIPアドレスが用いられている等の不整合があり、異常と判断すると、パケットを廃棄する（５０４）。
【００３５】
従来公知の監視装置５０１は、アプライアンス５００のＷＡＮ側から受信したパケットに、送信元IPアドレスとしてＬＡＮ側の端末のIPアドレスが用いられ、且つ、ＷＡＮ１４０からルータ５０２経由で受信したパケットに、送信元IPアドレスとしてＷＡＮ側の端末のIPアドレスが用いられている等の整合性が取れており、正常と判断すると、パケットを通過させる（５０５）。
【００３６】
このように、従来公知の監視装置５０１は、ＷＡＮ側からのパケットと、アプライアンスのＷＡＮ側からのパケットに対して整合性を判定し、判定結果の整合／不整合に応じて、パケットの廃棄処理又はパケットの通過処理をする。
【００３７】
これに対し、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０やＷＡＮ１４０からルータ２０２経由で受信したパケット５０７の整合性が取れており、正常だと判断すると、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とアプライアンス２０１のＬＡＮ側回線との間で、パケットを通過させると共に、ルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線とアプライアンス２０１のＷＡＮ側回線との間で、パケットを通過させる（５０９）。
【００３８】
また、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０やＷＡＮ１４０からルータ２０２経由で受信したパケットに不整合があり、異常だと判断すると、たとえば２種類の通過方法を適用する。
【００３９】
１つ目として、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とアプライアンス２０１のＷＡＮ側回線との間でパケット５０８を通過させると共に、ルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線とアプライアンス２０１のＬＡＮ側回線との間でパケット５０８を通過させる（５１１）ことで、アプライアンス２０１とルータ２０２の経路を反転させることがある。
【００４０】
２つ目として、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線との間で、パケット５０６を通過させる（５１０）ことがある。すなわち、パケット５０６を、監視装置２００のみ通過させ、アプライアンス装置２０１を通過させない。
【００４１】
このように、本発明を適用した監視装置２００は、ルータのＬＡＮ側からのパケットと、ルータのＷＡＮ側からのパケットと、アプライアンスのＬＡＮ側からのパケットと、アプライアンスのＷＡＮ側からのパケットとに対して整合性を判定し、判定結果の整合／不整合に応じて、別々のルーティングを行うことが可能となる。つまり、本発明を適用した監視装置２００は、従来公知の監視装置５０１とは異なる機能を、実現することができる。
【００４２】
なお、従来公知の監視装置５０１は、整合／不整合に応じて、パケットを通過または廃棄させるだけである。つまり、監視装置５０１では、異常を検出した時にパケットを廃棄させるので、アプライアンスのサービスや、通信そのもののサービスが停止してしまう。これに対して、本発明を適用した監視装置２００は、整合／不整合に応じて、別々のルーティングを行う。よって、監視装置２００は、異常を検出した時でも、アプライアンスのサービスや、通信そのもののサービスを継続させることが可能である。
【００４３】
図２に、本発明を適用した監視装置２００Ａ〜Ｃの、機能ブロック図を示す。
【００４４】
装置２００は、パケット入出力や、記億部２８０の読み書き等の各種演算を行う演算部２９０を備える。この演算部２９０は、コネクション登録部２１０，２１１と、異常エントリ検出部２４０と、不整合パケット検出部２１２，２１３と、通信遮断部２１４，２１５と、ルーティング部２１６と、アラーム生成部２２０と、変更部２７１とを備える。
【００４５】
なお、これらの機能ブロックは、固定された回路としてＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）等のＬＳＩ内部に備えられていてもよいし、プログラムモジュールとしてＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）やＮＰ（Ｎｅｔｗｏｒｋ  Ｐｒｏｃｅｓｓｏｒ）内部に備えられていてもよい。
【００４６】
また、監視装置２００は、アプライアンス装置２０１のＬＡＮ側ＮＩＣ２０４と回線（３）経由で接続し、アプライアンス装置２０１のＷＡＮ側ＮＩＣ２０３と回線（４）経由で接続し、ルータ／スイッチ２０２から引き出したアプライアンス向けＬＡＮ接続用回線（１）およびアプライアンス向けＷＡＮ接続用回線（２）経由でルータ／スイッチ２０２と接続する。
【００４７】
ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ／スイッチ２０２経由で回線（１）を通り、監視装置２００に到着する。ＷＡＮ１４０からのパケットは、ルータ／スイッチ２０２経由で回線（２）を通り、監視装置２００に到着する。アプライアンス２０１からＬＡＮ１１０，１２０，１３０に向かうパケットは、回線（３）を通り、監視装置２００に到着する。アプライアンス２０１からＷＡＮ１４０に向かうパケットは、回線（４）を通り、監視装置２００に到着する。
【００４８】
記憶部２８０は、情報を記録するための記億媒体・メモリ等からなる。記憶部２８０は、コネクション管理テーブル２５０及びポリシ２７０を備える。
【００４９】
コネクション管理テーブル２５０は、エントリ毎にセッション検出条件としてＬＡＮ／ＷＡＮ側ＩＰ／ｐｏｒｔ番号を記録し、一致パケットの廃棄／通過およびルーティング先を４回線毎に指定する。コネクション管理テーブル２５０には、エントリ２５１−Ｎ（Ｎ＝１，２，３…ｍ）毎に、ＬＡＮ側ＩＰ番号を表すＬＡＮ ＩＰ ２５２と、ＷＡＮ側ＩＰ番号を表すＷＡＮ ＩＰ ２５３と、ＬＡＮ側ｐｏｒｔ番号を表すＬＡＮ ｐｏｒｔ ２５４と、ＷＡＮ側ｐｏｒｔ番号を表すＷＡＮ ｐｏｒｔ ２５５とからなるセッション検出条件が記録される。
【００５０】
変更部２７１は、外部端末２３０が変更部２７１経由で指定したポリシ２７０に基づき、セッション検出条件と一致するパケットのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）とを、パケットを受信した回線（１）〜（４）毎に、指定する。
【００５１】
コネクション登録部２１０，２１１は、コネクション管理テーブル２５０に一致するエントリが無いパケットを受信すると、コネクション管理テーブル２５０に新規エントリを作成する。
【００５２】
異常エントリ検出部２４０は、コネクション管理テーブル２５０からＬＡＮ側ＩＰとＷＡＮ側ＩＰが同一の２つのエントリ同士を検出して、廃棄／通過およびルーティング先の設定を変更する。
【００５３】
不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と、コネクション管理テーブル２５０内の一致するエントリのＬＡＮ／ＷＡＮ側ＩＰ／ｐｏｒｔ番号の整合性をチェックし、不整合と判断した場合に廃棄／通過およびルーティング先を変更する。
【００５４】
通信遮断部２１４，２１５は、受信パケットと一致するコネクション管理テーブル２５０内のエントリ記載の廃棄／通過に従い、パケットを廃棄する。
【００５５】
ルーティング部２１６は、受信パケットと一致するコネクション管理テーブル２５０内のエントリ記載のルーティング先に従い、受信パケットを、アプライアンス装置２０４のＬＡＮ側回線（３）と、アプライアンス装置のＷＡＮ側回線（４）と、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）と、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）のいずれかに転送する。
【００５６】
アラーム生成部２２０は、不整合パケット検出部２１２，２１３や異常エントリ検出部２４０の検出結果に基づいてアラームを生成して外部端末２３０に通知する。
【００５７】
図６には、装置が送受信するパケットのフォーマット図を表す。
【００５８】
パケットは、ＭＡＣヘッダ６００、ＩＰヘッダ６１０、ＴＣＰヘッダ６２０、ＴＣＰオプションヘッダ６３０、ペイロード６５０を含む。
【００５９】
ＭＡＣヘッダ６００は、宛先ＭＡＣアドレスを表すＤＭＡＣ６０１と、送信元ＭＡＣアドレスを表すＳＭＡＣ６０２と、ＭＡＣフレームタイプを表すＴｙｐｅ６０３を含む。
【００６０】
ＩＰヘッダ６１０は、ＭＡＣヘッダを除くパケット長を表すＩＰ  ｌｅｎｇｔｈ６１１と、プロトコル番号を表すｐｒｏｔｏｃｏｌ６１２と、送信元ＩＰアドレスを表すＳＩＰ６１３と、宛先ＩＰアドレスを現すＤＩＰ６１４とを含む。
【００６１】
ＴＣＰヘッダ６２０は、送信元ポート番号を表すｓｒｃ．ｐｏｒｔ６２１と、宛先ポート番号を表すｄｓｔ．ｐｏｒｔ６２２と、送信シーケンス番号を表すＳＥＱ６２３と、受信シーケンス番号を表すＡＣＫ６２４と、ＴＣＰフラグ番号を表すｆｌａｇ６２５と、ＴＣＰのヘッダ長を表すｔｃｐ  ｈｌｅｎ６２６とを含む。
【００６２】
ＴＣＰオプションヘッダ６３０は、オプション種別を表すｏｐｔｉｏｎ  ｋｉｎｄ６３１と、オプション長を表すｏｐｔｉｏｎ  ｌｅｎｇｔｈ６３２と、どこからどこまで部分的に受信できたかデータ箇所の位置を送信端末に通知するために用いられるｌｅｆｔ＿ｅｄｇｅ＿１〜４（６３３、６３５、６３７、６３９）、ｒｉｇｈｔ＿ｅｄｇｅ＿１〜４（６３４、６３６、６３８、６４０）を含む。ｌｅｆｔ＿ｅｄｇｅ＿１〜４（６３３、６３５、６３７、６３９）、ｒｉｇｈｔ＿ｅｄｇｅ＿１〜４（６３４、６３６、６３８、６４０）は、部分的に受信できなかったデータ箇所の位置を通知するために用いられるケースもある。更に、ＴＣＰオプションヘッダ６３０は、ＴＣＰ通信を開始するときに、装置間の情報交換などに使用するケースもある。
【００６３】
上述したコネクション登録部２１０，２１１は、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）、あるいは、アプライアンス装置のＷＡＮ側回線（４）において、ＬＡＮからＷＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索し、当該エントリが無ければ新たに登録する。更に、コネクション登録部２１０，２１１は、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）、あるいは、アプライアンス装置のＬＡＮ側回線（３）において、ＷＡＮからＬＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索し、当該エントリが無ければ新たに登録する。
【００６４】
図８には、コネクション登録部２１０，２１１における新規エントリ作成のフローチャート図を示す。
【００６５】
まず初めに、コネクション登録部２１０，２１１は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ８０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
【００６６】
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ８０２）。
【００６７】
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ８０７）。
【００６８】
前記エントリ２５１がコネクション管理テーブル２５０に存在しない場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１を、コネクション管理テーブル２５０に新規作成する（ステップ８０３）。
【００６９】
ステップ８０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ８０４）。
【００７０】
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ８０７）。
【００７１】
前記エントリ２５１がコネクション管理テーブル２５０に存在しない場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１を、コネクション管理テーブル２５０に新規作成する（ステップ８０５）。
【００７２】
上述したコネクション管理テーブル２５０が記録するエントリと、コネクション登録部２１０，２１１の新規エントリ作成処理により、ＬＡＮ１１０，１２０，１３０との間でルータ２０２経由で接続された回線（１）と、ＷＡＮ１４０との間でルータ２０２経由で接続された回線（２）と、アプライアンス２０１のＬＡＮ側ＮＩＣと接続された回線（３）と、アプライアンス２０１のＷＡＮ側ＮＩＣと接続された回線（４）と、合わせて４つの回線を監視することが可能となる。
【００７３】
不整合パケット検出部２１２，２１３は、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）、あるいは、アプライアンス装置のＷＡＮ側回線（４）において、ＬＡＮからＷＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索する。受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリがコネクション管理テーブル２５０に見つかれば、不整合パケット検出部２１２，２１３は不整合と判定して、廃棄／通過およびルーティング先を変更する。
【００７４】
更に、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）、あるいは、アプライアンス装置のＬＡＮ側回線（３）において、ＷＡＮからＬＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索する。受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリがコネクション管理テーブル見つかれば、不整合パケット検出部２１２，２１３は不整合と判定して、廃棄／通過およびルーティング先を変更する。
【００７５】
図９には、不整合パケット検出部２１２，２１３における、受信パケットを不整合と判断した時に、エントリ記載の廃棄／通過およびルーティング先を変更するフローチャート図を示す。
【００７６】
まず初めに、不整合パケット検出部２１２，２１３は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ９０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
【００７７】
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ９０２）。
【００７８】
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ９０７）。
【００７９】
当該エントリ２５１がコネクション管理テーブル２５０に存在する場合は、不整合パケット検出部２１２，２１３は、整合性が取れない異常パケットと判定して、検出したエントリのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ９０３）。
【００８０】
ステップ９０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ９０４）。
【００８１】
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ９０７）。
【００８２】
当該エントリ２５１がコネクション管理テーブル２５０に存在する場合は、不整合パケット検出部２１２，２１３は、整合性が取れない異常パケットと判定して、検出したエントリのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ９０５）。
【００８３】
上述した不整合パケット検出部２１２，２１３における、整合性が取れない異常パケットを検出した時の廃棄／通過およびルーティング先を変更する処理により、４つの回線（１）〜（４）における通信セッションと受信パケットの整合性を監視することが可能となる。
【００８４】
異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４が、別のエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５と一致する場合に、それぞれのエントリの廃棄／通過およびルーティング先の設定を変更する。更に、異常エントリ検出部２４０は、あるエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５が、別エントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４と一致する場合に、それぞれのエントリの廃棄／通過およびルーティング先の設定を変更する。
【００８５】
図１０には、異常エントリ検出部２４０における、エントリ同士の不整合を検出した時に、エントリ記載の廃棄／通過およびルーティング先を変更するフローチャート図を示す。
【００８６】
まず初めに、異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４が、別のエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５と一致するか否かを判定する（ステップ１００１）。
【００８７】
一致しない場合は、後述のステップ１００３に進む。
【００８８】
一致する場合は、異常エントリ検出部２４０は、整合性が取れない異常エントリ同士だと判定し、２つのエントリ２５１のルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ１００２）。
【００８９】
更に、異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５が、別のエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４と一致するか否かを判定する（ステップ１００３）。
【００９０】
一致しない場合は、終了する（ステップ１００５）。
【００９１】
一致する場合は、異常エントリ検出部２４０は、整合性が取れない異常エントリ同士だと判定し、２つのエントリ２５１のルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ１００４）。
【００９２】
上述した異常エントリ検出部２４０における、整合性が取れない異常エントリ同士を検出したときの、廃棄／通過およびルーティング先を変更する処理により、４つの回線（１）〜（４）における通信セッション同士の整合性を監視することが可能となる。
【００９３】
通信遮断部２１４，２１５やルーティング部２１６は、受信パケットと一致するコネクション管理テーブル内のエントリ２５１に記載されたルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーに従い、パケットを処理する。
【００９４】
図１１には、通信遮断部２１４，２１５やルーティング部２１６において、受信パケットと一致するエントリ２５１をコネクション管理テーブル２５０から読み出すフローチャート図を示す。
【００９５】
通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ１１０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
【００９６】
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１をコネクション管理テーブル２５０から読み出す（ステップ１１０２）。
【００９７】
一方、ステップ１１０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ  ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ  ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１をコネクション管理テーブル２５０から読み出す（ステップ１１０３）。
【００９８】
整合性のとれた正常な受信パケットの場合は、例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）には通過と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（３）、（４）、（１）、（２）と記載され、回線（１）から回線（３）へ、回線（２）から回線（４）へ、回線（３）から回線（１）へ、回線（４）から回線（２）へ転送されるようにルーティングされる。
【００９９】
整合性のとれない異常な受信パケットの場合は、例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）に通過と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（４）、（３）、（２）、（１）と記載され、回線（１）から回線（４）へ、回線（２）から回線（３）へ、回線（３）から回線（２）へ、回線（４）から回線（１）へ流れるようにルーティングされる。これにより、異常が検出されたセッションにおいて、通信機能およびアプライアンス機能が維持される。
【０１００】
整合性のとれない異常な受信パケットの場合は、他にも例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）にはそれぞれ通過、通過、廃棄、廃棄と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（２）、（１）、−、−と記載され、回線（１）と回線（２）の間でパススルーされる。これにより、異常が検出されたセッションにおいて、アプライアンス機能は停止するものの、通信機能を維持することが可能となる。
【０１０１】
整合性のとれない異常な受信パケットの場合は、他にも例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）に廃棄と記載され、回線（１）〜（４）いずれで受信したかに関わらず廃棄される。これにより、異常が検出されたセッションにおいて、アプライアンス機能と通信機能の両方を停止させることが可能となる。
【０１０２】
上述した通信遮断部２１４，２１５やルーティング部２１６におけるパケット処理により、４つの回線を流れる通信セッションと受信パケットの整合性に応じて、通信サービスやアプライアンスサービスを継続もしくは停止することが可能となる。
【実施例２】
【０１０３】
実施例１における監視装置２００の機能は、一つの機能ブロックとして、監視機能付きアプライアンス７００に搭載されてもよい。
【０１０４】
図７には、監視機能付きアプライアンス７００のブロック図の一例を示す。監視装置２００は監視部７０１として、アプライアンス装置２０２はアプライアンス部７０２として、監視機能付きアプライアンス７００に搭載される。
【符号の説明】
【０１０５】
２００  本発明を適用した監視装置
１１０、１２０、１３０  ネットワーク
１１１、１２１、１３１  端末
１９１、１９２、１９３  回線
２１０、２１２  処理部
２５０  テーブル
２５１  エントリ
８０１  フローチャートの分岐処理
８０３  フローチャートのステップ
【図１】
2015154433.tif 000003
【図２】
2015154433.tif 000004
【図３】
2015154433.tif 000005
【図４】
2015154433.tif 000006
【図５】
2015154433.tif 000007
【図６】
2015154433.tif 000008
【図７】
2015154433.tif 000009
【図８】
2015154433.tif 000010
【図９】
2015154433.tif 000011
【図１０】
2015154433.tif 000012
【図１１】
2015154433.tif 000013