(57)【特許請求の範囲】
【請求項１】
複数のネットワーク端末と、パケットを中継する複数の中継装置と、前記ネットワーク端末と前記中継装置を接続する伝送路からなる通信ネットワークにおいて用いる、ネットワーク監視装置であって、
前記伝送路を介して前記中継装置間に確立される通信路を監視対象とし、
監視対象となるプロトコルについて、前記監視対象となる通信路を伝播するパケットを捕獲し、
前記捕獲したパケットの中から、要求パケットと応答パケットを検出し、
一定周期で、要求パケット数と応答パケット数の相関を算出し、
前記算出した結果と予め定めた閾値とを比較してネットワークの障害を検出し、
前記閾値の設定と、
前記要求パケットと前記応答パケットの検出と、
一定周期に行う、前記要求パケット数と前記応答パケット数との相関の算出と、
前記算出した結果と前記予め定めた閾値との比較によるネットワークの障害の検出と、を複数のプロトコル毎に行うことを特徴とするネットワーク監視装置。
【請求項２】
請求項１記載のネットワーク監視装置において、
前記比較した結果、ネットワークの障害を検出したならば、警告メッセージを前記伝送路を介して接続されたオペレータ端末に送信するか、または当該ネットワーク監視装置に表示することを特徴とするネットワーク監視装置。
【請求項３】
請求項１記載のネットワーク監視装置において、
前記閾値を動的に変更することを特徴とするネットワーク監視装置。
【請求項４】
請求項３記載のネットワーク監視装置において、
前記伝送路を介して接続されたオペレータ端末から受信する閾値の設定パケットにしたがって、前記閾値を変更することを特徴とするネットワーク監視装置。
【請求項５】
請求項１記載のネットワーク監視装置において、
前記相関とは、要求数と応答数の比率であることを特徴とするネットワーク監視装置。
【請求項６】
請求項１記載のネットワーク監視装置において、
相関計算、閾値比較を実施する監視周期間隔を、動的に変更可能とすることを特徴とするネットワーク監視装置。
【請求項７】
複数のネットワーク端末と、パケットを中継する複数の中継装置と、前記ネットワーク端末と前記中継装置を接続する伝送路からなる通信ネットワークにおいて用いる、ネットワーク監視装置であって、
前記伝送路を介して前記中継装置間に確立される通信路を監視対象とし、
監視対象となるプロトコルについて、前記監視対象となる通信路を伝播するパケットを捕獲し、
前記捕獲したパケットの中から、要求パケットと応答パケットを検出し、
一定周期で、要求パケット数と応答パケット数の相関を算出し、
前記算出した結果と予め定めた閾値とを比較してネットワークの障害を検出し、
前記要求と応答が対となるプロトコルとはARP（アドレス解決プロトコル）であることを特徴とするネットワーク監視装置。
【請求項８】
複数のネットワーク端末と、パケットを中継する複数の中継装置と、前記ネットワーク端末と前記中継装置を接続する伝送路からなる通信ネットワークにおいて用いる、ネットワーク監視装置であって、
前記伝送路を介して前記中継装置間に確立される通信路を監視対象とし、
監視対象となるプロトコルについて、前記監視対象となる通信路を伝播するパケットを捕獲し、
前記捕獲したパケットの中から、要求パケットと応答パケットを検出し、
一定周期で、要求パケット数と応答パケット数の相関を算出し、
前記算出した結果と予め定めた閾値とを比較してネットワークの障害を検出し、
前記要求と応答が対となるプロトコルとはNDP（近傍探索プロトコル）であることを特徴とするネットワーク監視装置。
【請求項９】
複数のネットワーク端末と、パケットを中継する複数の中継装置と、前記ネットワーク端末と前記中継装置を接続する伝送路からなる通信ネットワークにおいて用いる、ネットワーク監視装置であって、
前記伝送路を介して前記中継装置間に確立される通信路を監視対象とし、
監視対象となるプロトコルについて、前記監視対象となる通信路を伝播するパケットを捕獲し、
前記捕獲したパケットの中から、要求パケットと応答パケットを検出し、
一定周期で、要求パケット数と応答パケット数の相関を算出し、
前記算出した結果と予め定めた閾値とを比較してネットワークの障害を検出し、
前記要求と応答が対となるプロトコルとはDHCP（動的アドレス割当プロトコル）であることを特徴とするネットワーク監視装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク管理の際の監視・管理技術に関する。
【０００２】
【従来の技術】
元来近距離の通信技術であったLAN（Local Area Network）を、高速、安価な広域の通信手段として用いる例が増加している。LAN技術はISOで定められたネットワーク階層モデルにおいてレイヤ２（データリンク層）に位置づけられていることから、LAN技術を用いたネットワークはレイヤ２網と呼ばれている。このレイヤ２網上において最も多く利用されている技術がIP（Internet Protocol）であり、ネットワーク階層モデルにおいてはレイヤ３（ネットワーク層）に位置づけられている。
【０００３】
レイヤ２網、レイヤ３網（IP網）において、接続されている機器同士の通信を実現可能とするための設定を自動化する手法として、ブロードキャストまたはマルチキャストフレームを利用する方法が用いられている。例としては、レイヤ２網とIP網との間のアドレス解決を行うARP（Address Resolution Protocol）、NDP（Neighborhood Discovery Protocol）や、IP網におけるアドレスを動的に割り当てるDHCP（Dynamic Host Configuration Protocol）などが挙げられる。ARPはレイヤ２アドレスとIPv4（IP version 4）アドレスを結び付けるための技術で、RFC826としてWEB上で公開されている。NDPはレイヤ２アドレスとIPv6（IP version 6）アドレスを結び付けるための技術で、RFC2461としてWEB上で公開されている。DHCPは動的にIPv4アドレスを割り当てるための技術で、RFC2131としてWEB上で公開されている。
【０００４】
ブロードキャストまたはマルチキャストフレームを利用する際の問題として、機器の設定ミスや故障により、これらのパケット数が増加し、ネットワークの帯域を圧迫することで、ネットワークに影響を与えることが存在する。
【０００５】
この問題に対して、従来技術として、非特許文献１の記載の方法が知られている。この方法ではネットワーク上を流れるパケットを全て捕獲し、その中から該当するパケットについて選択し、ユーザがパケットの内容から、障害の原因であるか判断する。
【０００６】
また、特許文献１にはブロードキャストまたはマルチキャストフレームについて単位時間あたりのパケット数を監視し、ユーザが設定した閾値を越えたら、警告メッセージを送信するという方法が記載されている。
【０００７】
【非特許文献１】
V. Jacobson他２名、”tcpdump”、[online]、1989年6月、tcpdump.org、[ 平成15年4月24日検索 ]、インターネット＜http://www.tcpdump.org/tcpdump_man.html＞
【特許文献１】
米国特許第6182157号明細書
【０００８】
【発明が解決しようとする課題】
LAN技術が広域網で使用されることにより、同一LAN上に接続されるホストの数が増加、または一つホストが通信をするホスト数が増加することになり、正常なブロードキャストまたはマルチキャストフレームが増加することが予想される。
【０００９】
しかしながら、捕獲したパケット１つ１つについてユーザが内容を確認する非特許文献１の手法では、パケット数が増加することにより、作業は困難になると考えられる。
【００１０】
また、ブロードキャストまたはマルチキャストフレームの数量のみを監視する特許文献１の方法では、パケット数の増加の原因が、ホスト数の増加によるものか、機器の設定ミスまたは故障によるものか判断できず、閾値を適切に設定することが困難になることが予想される。
【００１１】
【課題を解決するための手段】
本発明は、LAN技術の広域網利用におけるネットワーク障害を確実に検出する技術を提供する。
【００１２】
本発明では、ネットワークを流れるパケットを捕獲し、その中から要求と応答が対になるプロトコルのパケットを検出し、一定時間毎にそれらのパケットについて要求数と応答数をカウントする。次に要求数と応答数の相関を計算し、計算した結果、ユーザが設定した閾値を越えていたならば警告メッセージを送信する。
【００１３】
上記の通り、要求数と応答数の相関を利用することにより、閾値の設定が容易になり、障害の原因を絞り込むことが可能となる。
【００１４】
【発明の実施の形態】
以下、本発明の実施形態に図面を用いて詳細に説明する。
【００１５】
本実施形態は、複数のネットワーク端末と、複数の中継装置から構成されるネットワークの監視に関する。ネットワーク端末とは、パケットの作成、および受信し処理を実施する機器を指す。また、中継装置とは、プロトコル、ネットワーク階層モデルに関係なく、複数の通信ポートを持ち、各ポートに入力されたパケットを、プロトコルに応じたアドレスに従って、他の一つ或いは複数のポートへ出力する機器を指し、例えばレイヤ２アドレスに従いパケットを中継するレイヤ２スイッチ（以下、L2SWという）、IPパケットを転送するIPルータ、http（HyperText Transfer Protocol、RFC1945）を中継するhttpプロキシ装置等がある。なお、監視対象ネットワークを構成するネットワーク端末、中継装置の台数、およびトポロジは任意である。
【００１６】
以下においてL2SWから構成されたネットワークにおいて、ARPの監視を実施する監視システムを例として、説明する。
【００１７】
まず、図１を用いて監視装置を適用した監視システムの全体構成を説明する。本監視システムでは、ネットワークを構成する３つのL2SW ３ａ、３ｂ、３ｃのうち、２つのL2SW ３ａ、３ｂ間のトラフィックを構成するパケットを捕捉するものとする。１つのL2SWには、複数のネットワーク端末が接続されている。
【００１８】
図１においては、L2SW ３ａに、ネットワーク端末 ４ａからネットワーク端末４ｃまでが接続されているが、接続される端末数に制限はない。同様に、L2SW ３ｂにはネットワーク端末 ４ｄからネットワーク端末４ｆまで接続されているが、端末数に制限はない。これらのネットワーク端末は２つのL2SW ３ａ、３ｂを通して通信を実施する。
【００１９】
ネットワーク端末４ａからネットワーク端末４ｄへ通信を実施する際、ネットワーク端末 ４ａからネットワーク端末 ４ｄのレイヤ２アドレスのを取得するために、ARPリクエストパケットを送信する。ARPリクエストパケットを受信したネットワーク端末 ４ｄは、リクエストを送信したネットワーク端末 ４ａへARPリプライパケットを返信する。これとは逆に、ネットワーク装置 ４ｄからリクエストを要求し、ネットワーク装置 ４ａがリプライを返信する場合も存在する。これらのトラフィックを計測するために、L2SW ３ａ、３ｂの間に分岐装置５を用いて、L2SW ３ａ、３ｂ間のトラフィックを監視装置１へ送信する。もしくは、L2SW ３ａまたは３ｂから、ミラーリング機能を用いて監視トラフィックを監視装置１へ送信する方法も存在する。
【００２０】
オペレータ端末２は監視装置１と接続され、監視装置１からの警告メッセージを受信、または監視装置１へ監視周期間隔、閾値の設定を実施する。ただし、監視装置１は直接操作、警告メッセージを表示することが可能であり、必ずオペレータ端末２と接続する必要はない。
【００２１】
図２は、ネットワークを流れるパケットを捕獲し、ネットワークの状態を監視する監視装置１の構成を示したものである。監視装置１は、ネットワークから送られてきたパケットを受信する通信装置ａ １２ａと、ユーザの操作を受け付ける入力部１４と、操作結果および／または警告メッセージ等を表示する表示部１３と、所定の情報やプログラムが記憶される記憶装置１１と、プログラムを実行するためにプログラムをロード、または計算の結果を記録するメモリ１６と、メモリ１６にロードされたプログラムの実行、入力部１４、表示部１３、ハードディスクなどの記憶装置１１、通信装置ａ１２ａの制御を実施する中央処理装置（CPU）１５と、バス等の内部通信線１７を含んで構成される処理装置である。また、必要に応じて、オペレータ端末２への警告メッセージを送信、オペレータ端末２からの制御メッセージを送信する通信装置ｂ １２ｂも含み構成される。
【００２２】
図３は、監視装置１にて実行される監視プログラム６の構成を示したものである。監視プログラム６は、受信したパケットがどのプロトコルに該当するか判断を実施するプロトコル種別判定プログラム６１、プロトコル種別判定プログラム６１において要求と応答が対となるプロトコルと判断された場合、要求または応答のどちらに該当するか判断を実施する要求／応答判定プログラム６２、パケットが要求（リクエスト）であった場合、そのパケット数をカウントする要求数カウンタ６３、パケットが応答（リプライ）であった場合、そのパケット数をカウントする応答数カウンタ６４、要求数と応答数の相関を計算する相関計算プログラム６５、計算した相関値が閾値を越えていないか判断する閾値判定プログラム６６、相関値が閾値を越えていた場合、オペレータ端末２に警告メッセージを送信、もしくは表示部１３に警告メッセージを表示する警告メッセージ送信プログラム６７から構成される。
【００２３】
要求／応答判定プログラム６２、要求数カウンタ６３、応答数カウンタ６４、相関計算プログラム６５、閾値判定プログラム６６は、監視を対象となるプロトコル毎に構成される。
【００２４】
また、上記各プログラムが備える各機能は、以下に説明するフローチャートに沿って各プログラムをCPU１５が実行することにより実現されるものである。
【００２５】
図４は監視装置が行う初期化処理を示している。
【００２６】
まず、ステップS101で要求数カウンタ６３のリセットを実施し、値を０にする。次にステップS102で応答数カウンタ６４のリセットを実施し、値を０にする。次にステップS103で監視装置起動時に警告メッセージを出力する際の閾値入力が、入力部１４から実施されているかチェックする。閾値が入力されている場合（ステップS103でYes）はステップS105に進み、入力された値を閾値として設定する。入力が存在しない場合（ステップS103でNo）はステップS104に進み、予め設定されている値を閾値として設定する。
【００２７】
次にステップS106で監視装置起動時に監視周期間隔の入力が存在するかチェックする。監視周期が入力されている場合（ステップS106でYes）はステップS108に進み、入力された値を監視周期間隔として設定する。入力が存在しない場合（ステップS106ではNo）はステップS107に進み、予め設定されている値を監視周期間隔として設定する。
【００２８】
図５は監視装置が行うパラメータ変更処理を示している。
【００２９】
まず、ステップS201で操作１４より閾値入力が存在するかチェックする。閾値が入力されている場合（ステップS201でYes）はステップS202に進み、入力された値を閾値として設定し、ステップS203へ進む。閾値が入力されていない場合、何も実施せずにステップS203へ進む。ステップS203では、操作部１４より監視周期入力が存在するかチェックする。監視周期が入力されている場合（ステップS203でYes）はステップS204に進み、入力された値を監視周期として設定し、ステップS205へ進む。監視周期が入力されていない場合、何も実施せずにステップS205へ進む。
【００３０】
ステップS205では、オペレータ端末１との通信を実施するかチェックを実施する。通信を実施する場合（ステップS205でYes）には、ステップS206へ進む。通信しない場合（ステップS205でNo）、ステップS201へ戻る。ステップS206では、監視装置１の通信装置ｂ ２２ｂにおいてパケットを受信したかチェックする。パケットを受信した場合（ステップS206でYes）ステップS207へ進む。パケットを受信していない場合（ステップS206でNo）、ステップS201に戻る。
【００３１】
ステップS207では、受信したパケットが閾値設定を指示しているのかチェックを実施し、閾値設定を指示している場合（ステップS207でYes）ステップS208に進み、受信した値を閾値として設定し、ステップS209に進む。閾値設定を指示していない場合（ステップS207でNo）は何も実施せずにステップS209に進む。ステップS209では、受信したパケットが監視周期間隔設定を指示しているのかチェックを実施し、監視周期間隔設定を指示している場合（ステップS209でYes）ステップS210に進み受信した値を監視周期間隔として設定し、ステップS201へ戻る。監視周期間隔設定が指示されていない場合(ステップS209でNo)は何も実施せずに、ステップS201へ戻る。
【００３２】
この処理により、監視装置での入力、オペレータ端末１からのデータ受信により、閾値や監視周期間隔などの監視装置のパラメータを動的に変化させることを可能とする。
【００３３】
図６にプロトコル種別判定プログラム６１、要求／応答判定プログラム６２による要求数カウンタ６３、応答数カウンタ６４の更新処理を示す。
【００３４】
まず、ステップS301にて通信装置ａ １２ａがパケットを受信したか判断する。パケットを受信していると判断すれば、ステップS302に進み、受信していないと判断すれば、ステップS301に戻りパケットを受信したか判断を繰り返す。
【００３５】
ステップS302では、受信したパケットのプロトコルを特定する。ARPの場合、パケット内のEtherTypeフィールドの値が１６進数値で０８０６となる。次にステップS303へ進み、監視対象か判断をする。本実施例ではARPを監視対象としているため（ステップS303でyes）、ステップS304へ進む。もし受信したパケットが監視対象でない、本実施例の場合、ARP以外のパケットであれば（ステップS303でno）、ステップS301へ戻り、新たにパケットを受信していないか確認する。
【００３６】
ステップS302、ステップS303はプロトコル種別判定プログラム６１による処理に該当するが、プロトコルにより判断手法は異なるため、複数の判断手法を用いて、監視対象のプロトコルであるかチェックを実施する。
【００３７】
ステップS304では、受信したパケットについて要求パケットまたは応答パケットのどちらかであるか判断する。ARPの場合、パケット内のOpcodeフィールドの値を参照することで、要求／応答の判断が実施できる。Opcode値が１６進数で００００であれば要求（リクエスト）、１６進数で０００１であれば応答（リプライ）になる。受信したパケットが要求であれば（ステップS304で要求）、ステップS305に進み、要求数カウンタ６３の値に１を加算する。受信したパケットが応答であれば（ステップS304で応答）、ステップS306に進み、応答数カウンタ６４の値に１を加算する。
【００３８】
ステップS304は要求／応答判定プログラム６２による処理に該当するが、プロトコルにより要求／応答の判断手法は異なる。
【００３９】
図７に相関計算プログラム６５、閾値判定プログラム６６、警告メッセージ送信プログラム６７による閾値判定処理を示す。この処理は、図６で示した要求数カウンタ更新（ステップS305）、応答数カウンタ更新（ステップS306）に続いて、または並行して実行される。
【００４０】
まずS401にて現在の監視時刻が、指定された監視周期を越えていないかチェックする。ユーザが指定した一定周期間隔にて監視を実施することから、現在の監視時間が監視周期間隔を越えていたならば（ステップS401でyes）、ステップS402へ進む。監視周期間隔を越えていない場合（ステップS402でno）、再びステップS401へ戻る、もしくは図６で示した処理を実施する。ステップS402においては要求数カウンタの値を取得し、次にステップS403へ進み応答数カウンタの値を取得する。
【００４１】
次にステップS404に進み、要級数と応答数、２つの値の相関を計算する。本実施例においては、ARPリクエストとARPリプライの比率を求めることから、計算式は要求数÷応答数、となる。ステップS404は相関計算プログラム６５による処理に該当するが、相関計算式はプロトコルや監視内容により異なる。
【００４２】
次にステップS405に進み、ステップS404で計算した値が、ユーザが設定可能な閾値を越えているか判断する。本実施例においては、閾値を100とする。この値は、ARPリプライに対し、ARPリクエストが極端に多い状態であると判断し、ブロードキャストフレームとして送信されるARPリクエストによってネットワーク帯域が圧迫されている状態であると判断するために利用する。ステップS405は閾値判定プログラム６６による処理に該当する。
【００４３】
ステップS405において閾値を越えていれば（ステップS405でyes）、ステップS406に進む。ステップS406は警告メッセージ送信プログラム６７による処理に該当し、通信装置b １２ｂからオペレータ端末２へ警告メッセージの送信、もしくは表示部１４へ警告メッセージの表示を実行させる。オペレータ端末２へ警告メッセージの送信には、電子メール、SNMPによるトラップなどを利用する。閾値を越えていない場合（ステップS405でno）、ステップS407で要求数カウンタ６３の値をクリア、ステップS408で応答数カウンタ６４の値をクリアし、ステップS409で監視時間を０に戻し、ステップS401に戻る、もしくは図６の処理を実施する。
【００４４】
このように本実施形態によれば、ARPリクエスト、ARPリプライ、２つの種類のパケットを監視することにより、ARPリクエストの増加によるネットワーク帯域の圧迫、という障害を検出することが可能となる。
【００４５】
また、ネットワークを流れるパケットについて監視し、監視対象のプロトコルについて、要求、応答、２つの状態のカウンタを持ち、その相関を計算、閾値判定に利用することにより、閾値設定が容易となる。
【００４６】
なお、本実施例においては、監視対象プロトコルとしてARPを例示しているが、NDP、DHCPも同様の方法にて監視を実施することが可能である。
【００４７】
【発明の効果】
本発明によれば、ネットワーク障害を確実に判断することが可能となる。
【図面の簡単な説明】
【図１】システム構成の一例を示す図である。
【図２】監視装置の構成を示すブロック図である。
【図３】監視プログラムの構成を示すブロック図である。
【図４】監視装置の初期設定処理を示すフローチャートである。
【図５】監視装置のパラメータ変更処理を示すフローチャートである。
【図６】プロトコル種別判定プログラム、要求／応答判断プログラム処理を示すフローチャートである。
【図７】相関計算プログラム、閾値判定プログラム、警告メッセージ送信プログラム処理を示すフローチャートである。
【符号の説明】
１・・・監視装置、２・・・オペレータ端末、３・・・レイヤ２スイッチ、４・・・ネットワーク端末、５・・・分岐装置、６・・・監視プログラム、１１・・・記憶装置、１２・・・通信装置、１３・・・表示部、１４・・・入力部、１５・・・CPU、１６・・・メモリ、１７・・・バス等の内部通信線、６１・・・プロトコル種別判定プログラム、６２・・・要求／応答判定プログラム、６３・・・要求数カウンタ、６４・・・応答数カウンタ、６５・・・相関計算プログラム、６６・・・閾値判定プログラム、６７・・・警告メッセージ送信プログラム。
【図１】
0004020835.tif 000002
【図２】
0004020835.tif 000003
【図３】
0004020835.tif 000004
【図４】
0004020835.tif 000005
【図５】
0004020835.tif 000006
【図６】
0004020835.tif 000007
【図７】
0004020835.tif 000008