(57)【特許請求の範囲】
【請求項１】
ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、
前記複数の転送装置を含むネットワークに接続され、前記ネットワークを管理する管理計算機と、を備えるネットワークシステムであって、
前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
前記管理計算機は、
前記複数の転送装置から前記ネットワークの構成情報を取得し、
前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とするネットワームシステム。
【請求項２】
前記管理計算機は、
前記第１の転送装置に直接接続されている転送装置から、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を収容する第２の転送装置を特定し、
前記第１の転送装置と接続される第２の転送装置のポートを、前記フィルタを設定するポートに指定し、
前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲が、前記第１の転送装置に設定されているフィルタによってパケットを転送可能な範囲と同じであるか否かを判定し、
パケットを転送可能な範囲が同じではないと判定された場合、前記第１の転送装置に設定されている再構成の対象となるフィルタの条件に含まれる送信元を送信元とするフィルタであって、前記第１の転送装置に収容され、かつ、前記第２の転送装置に収容されていない端末を宛先とする許可フィルタを、前記指定されたポートに設定するように、前記第２の転送装置のフィルタを再構成することを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
前記第１の転送装置は、前記フィルタの処理をするプロセッサを備え、
前記管理計算機は、
以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの数を決定し、
（１）前記第１の転送装置から前記第１の転送装置のプロセッサの負荷情報を取得し、前記取得された負荷情報と所定の閾値との比較結果に基づいて、前記プロセッサの負荷情報に対応して、前記再構成の対象となるフィルタの数を決定し、
（２）前記管理計算機が備える入力インターフェースを介して指定されたフィルタの数を前記再構成の対象となるフィルタの数に決定し、
前記決定された数と同数のフィルタを再構成することを特徴とする請求項２に記載のネットワークシステム。
【請求項４】
前記管理計算機は、
前記第１の転送装置に設定されているフィルタの種類の情報を保持し、
以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの優先度を決定し、
（１）前記保持されているフィルタの種類の情報を参照することによって、前記第１の転送装置に設定されているフィルタの種類を判定し、前記判定されたフィルタの種類に対応して前記再構成の対象となるフィルタの優先度を決定し、
（２）前記管理計算機が備える入力インターフェースを介して指定された前記フィルタの優先度を前記再構成の対象となるフィルタの優先度として決定し、
前記決定された優先度に基づいて、前記再構成の対象となるフィルタを選択することを特徴とする請求項２に記載のネットワークシステム。
【請求項５】
前記ネットワークの構成情報は、前記ネットワークの物理的な接続情報、及び、前記ネットワークの論理的な接続情報を含み、
前記管理計算機は、前記ネットワークの構成情報を用いて前記第１の転送装置の下位に接続される第２の転送装置を選択することを特徴とする請求項２に記載のネットワークシステム。
【請求項６】
前記管理計算機は、
前記再構成の対象となるフィルタと、前記フィルタの再構成前の転送装置及びポートの指定と、前記フィルタの再構成と実転送装置への設定要求を受け付ける入力インターフェースを備え、
前記入力インターフェースを介して指定された転送装置及びポートのフィルタを再構成することを特徴とする請求項２に記載のネットワークシステム。
【請求項７】
前記複数の転送装置は、前記第２の転送装置の下位に接続される第３の転送装置をさらに含み、
前記管理計算機は、
前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを新たに再構成の対象となるフィルタに指定し、
前記第２の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第３の転送装置に設定される対象フィルタによってパケットを転送可能な範囲と同じになるように、前記第２の転送装置のフィルタ及び前記第３の転送装置のフィルタを再構成し、
前記再構成されたフィルタを、前記第２の転送装置及び前記第３の転送装置に設定し、
前記第３の転送装置に設定されたフィルタを再構成の対象となるフィルタに設定し、前記フィルタの再構成処理を繰り返すことを特徴とする請求項２に記載のネットワークシステム。
【請求項８】
前記複数の転送装置は、前記第２の転送装置の下位に接続される第４の転送装置をさらに含み、
前記管理計算機は、
以下の（１）又は（２）のいずれかの方法によって、前記第４の転送装置を特定し、
（１）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を直接収容する前記第４の転送装置を特定し、
（２）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる全ての送信元の端末を収容する前記第４の転送装置を特定し、
前記特定された第４の転送装置のフィルタの構成が変更されるまで、前記フィルタの再構成処理を繰り返すことを特徴とする請求項７に記載のネットワークシステム。
【請求項９】
前記管理計算機は、
前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを、新たに再構成の対象となるフィルタに指定するか否かのポリシーの指定を、前記フィルタの種類に対応して受け付ける入力インターフェースを備え、
前記指定されたポリシーに基づいて、前記フィルタの再構成処理を繰り返すか否かを決定することを特徴とする請求項７に記載のネットワークシステム。
【請求項１０】
ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、を備えるネットワークシステムに備わる管理計算機であって、
前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
前記管理計算機は、
前記複数の転送装置から前記ネットワークの構成情報を取得し、
前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とする管理計算機。
【請求項１１】
前記管理計算機は、
前記第１の転送装置に直接接続されている転送装置から、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を収容する第２の転送装置を特定し、
前記第１の転送装置と接続される第２の転送装置のポートを、前記フィルタを設定するポートに指定し、
前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲が、前記第１の転送装置に設定されているフィルタによってパケットを転送可能な範囲と同じであるか否かを判定し、
パケットを転送可能な範囲が同じではないと判定された場合、前記第１の転送装置に設定されている再構成の対象となるフィルタの条件に含まれる送信元を送信元とするフィルタであって、前記第１の転送装置に収容され、かつ、前記第２の転送装置に収容されていない端末を宛先とする許可フィルタを、前記指定されたポートに設定するように、前記第２の転送装置のフィルタを再構成することを特徴とする請求項１０に記載の管理計算機。
【請求項１２】
前記第１の転送装置は、前記フィルタの処理をするプロセッサを備え、
前記管理計算機は、
以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの数を決定し、
（１）前記第１の転送装置から前記第１の転送装置のプロセッサの負荷情報を取得し、前記取得された負荷情報と所定の閾値との比較結果に基づいて、前記プロセッサの負荷情報に対応して、前記再構成の対象となるフィルタの数を決定し、
（２）前記管理計算機が備える入力インターフェースを介して指定されたフィルタの数を前記再構成の対象となるフィルタの数に決定し、
前記決定された数と同数のフィルタを再構成することを特徴とする請求項１１に記載の管理計算機。
【請求項１３】
前記管理計算機は、
前記第１の転送装置に設定されているフィルタの種類の情報を保持し、
以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの優先度を決定し、
（１）前記保持されているフィルタの種類の情報を参照することによって、前記第１の転送装置に設定されているフィルタの種類を判定し、前記判定されたフィルタの種類に対応して前記再構成の対象となるフィルタの優先度を決定し、
（２）前記管理計算機が備える入力インターフェースを介して指定された前記フィルタの優先度を前記再構成の対象となるフィルタの優先度として決定し、
前記決定された優先度に基づいて、前記再構成の対象となるフィルタを選択することを特徴とする請求項１１に記載の管理計算機。
【請求項１４】
前記ネットワークの構成情報は、前記ネットワークの物理的な接続情報、及び、前記ネットワークの論理的な接続情報を含み、
前記管理計算機は、前記ネットワークの構成情報を用いて前記第１の転送装置の下位に接続される第２の転送装置を選択することを特徴とする請求項１１に記載の管理計算機。
【請求項１５】
前記管理計算機は、
前記再構成の対象となるフィルタと、前記フィルタの再構成前の転送装置及びポートの指定と、前記フィルタの再構成と実転送装置への設定要求を受け付ける入力インターフェースを備え、
前記入力インターフェースを介して指定された転送装置及びポートのフィルタを再構成することを特徴とする請求項１１に記載の管理計算機。
【請求項１６】
前記複数の転送装置は、前記第２の転送装置の下位に接続される第３の転送装置をさらに含み、
前記管理計算機は、
前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを新たに再構成の対象となるフィルタに指定し、
前記第２の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第３の転送装置に設定される対象フィルタによってパケットを転送可能な範囲と同じになるように、前記第２の転送装置のフィルタ及び前記第３の転送装置のフィルタを再構成し、
前記再構成されたフィルタを、前記第２の転送装置及び前記第３の転送装置に設定し、
前記第３の転送装置に設定されたフィルタを再構成の対象となるフィルタに設定し、前記フィルタの再構成処理を繰り返すことを特徴とする請求項１１に記載の管理計算機。
【請求項１７】
前記複数の転送装置は、前記第２の転送装置の下位に接続される第４の転送装置をさらに含み、
前記管理計算機は、
以下の（１）又は（２）のいずれかの方法によって、前記第４の転送装置を特定し、
（１）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を直接収容する前記第４の転送装置を特定し、
（２）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる全ての送信元の端末を収容する前記第４の転送装置を特定し、
前記特定された第４の転送装置のフィルタの構成が変更されるまで、前記フィルタの再構成処理を繰り返すことを特徴とする請求項１６に記載の管理計算機。
【請求項１８】
前記管理計算機は、
前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを、新たに再構成の対象となるフィルタに指定するか否かのポリシーの指定を、前記フィルタの種類に対応する受け付ける入力インターフェースを備え、
前記指定されたポリシーに基づいて、前記フィルタの再構成処理を繰り返すか否かを決定することを特徴とする請求項１６に記載の管理計算機。
【請求項１９】
ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、前記ネットワークに接続され、前記ネットワークを管理する管理計算機と、を備えるネットワークシステムにおいて実行されるフィルタ再構成方法であって、
前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
前記フィルタ構成方法は、
前記複数の転送装置から前記ネットワークの構成情報を取得し、
前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とするフィルタ再構成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットをフィルタリングするネットワークシステムに関し、特に、フィルタの再構成を自動的に行う管理装置に関する。
【背景技術】
【０００２】
近年、ＩＴシステムにおけるセキュリティに関心が高まり、自ら管理する内部ネットワークから内部ネットワーク内外への不正アクセスの防止、及び、許可されていないフローの遮断等を実施するために、細かいアクセス制御が必要になっている。そこで、細かいアクセス制御をするために、多数のフィルタを設定しなければならない。
【０００３】
フィルタ構成の設計、各ネットワーク装置（以下、ＮＷ装置とする）への設定、及び、フィルタ設定の管理は煩雑であるため、通常、上位のＮＷ装置（例えば、コアスイッチ）にまとめてフィルタを設定している。しかし、多数のフィルタを上位のＮＷ装置に設定すると、上位のＮＷ装置のフィルタを検索する負荷が大きくなる。この負荷の増大によって、パケットを転送するのに遅延が発生する。また、制御用パケットのロスによって、ネットワークを正常に運用することが阻害される。
【０００４】
また、ＮＷ装置に設定されるフィルタエントリ数が増加すると、ＮＷ装置に設定可能なフィルタエントリ数を超過し、ＮＷ装置のリソースが不足する。リソースが不足すると、セキュリティポリシーを実施するためのフィルタをさらに設定することができない。
【０００５】
そこで、多数のフィルタが設定されているＮＷ装置の負荷を低減し、リソース不足を解消する方法として、フィルタを分散させる方法がある。
【０００６】
特許文献１には、内部ネットワーク内にフィルタを分散させて設定する方法が開示されている。
【０００７】
特許文献１に開示された方法は、外部ネットワークとの接続点に設置される外部フィルタと、内部ネットワーク内に設置される内部フィルタとに、フィルタを分散させ、負荷の重いフィルタ規則は、各内部フィルタに設定するように、外部フィルタ及び内部フィルタを集中制御するフィルタ管理サーバを備える。
【０００８】
また、特許文献２には、サービスプロバイダ網においてファイアフォールサーバからエッジノードにフィルタを分散させる方法が開示されている。
【０００９】
特許文献２に開示された技術は、ファイアウォールサーバの負荷が高くなった場合に、ファイアウォールに設定される少なくとも一部のフィルタリングルールを特定のエッジノードに分配し、特定のエッジノードは、分配を受けたフィルタリングルールを用いてフィルタリング処理を行う。
【特許文献１】特開２００３−２４４２４７号公報
【特許文献２】特開２００１−２４９８６６号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
特許文献１に開示された方法には、以下の第１の課題がある。また、特許文献２に開示された方法には、以下の第２及び第３の課題がある。
【００１１】
第１の課題は、各内部フィルタ及び外部フィルタでフィルタリングのポリシーが実現可能か判定することが困難な点である。
【００１２】
第２の課題は、パケット転送を拒否するフィルタを、ファイアウォールサーバからエッジノードへ分配すると、フィルタリングの効果が変化する場合がある点である。
【００１３】
第３の課題は、ファイアウォールサーバからエッジノードにしかフィルタを分配できない点である。
【００１４】
まず、第１の課題について説明する。
【００１５】
フィルタリングのポリシーには、送信元、又は宛先を指定する必要がある。したがって、フィルタリングのポリシーが実現可能か判定するためには、ポリシーで指定された送信元、又は宛先に対応するネットワーク内の場所を知っている必要がある。つまり、ポリシーによって、フィルタを設定するためには、ネットワークの構成情報を考慮する必要がある。しかし、特許文献１に開示された方法では、ネットワークの構成情報を考慮してフィルタを設定することができない。
【００１６】
また、ネットワークの構成情報を生成するためには、ネットワーク管理者及びＳＥが多数のＮＷ装置の物理接続関係（物理的に接続されているＮＷ装置の関係の情報）、及び、ＮＷ装置の設定情報（例えば、設定されているフィルタの情報）を収集する必要がある。さらに、企業ネットワークでは、ネットワークの更新及び拡張等が頻繁に行われるため、その度にネットワークの構成情報を作成し直す必要がある。このような作業は、ネットワーク管理者及びＳＥの大きな負担となる。
【００１７】
次に、第２の課題について説明する。
【００１８】
特許文献２に開示された方法のようにファイアウォールサーバからエッジノード（エッジスイッチ）に、拒否フィルタをそのまま移動させると、フィルタリングを行う位置が変わるために、移動前は転送されるパケットが到達できた場所に、到達できなくなる場合がある。つまり、フィルタを移動させることで、フィルタリングの効果が変わってしまう。したがって、フィルタリングの効果が変化しないようにフィルタの構成を変える必要があるが、特許文献２に開示された技術では、フィルタリングの効果が変化しないようにフィルタを移動させることができない。
【００１９】
第３の課題について説明する。
【００２０】
特許文献２に開示された技術は、負荷分散の対象はファイアウォールサーバのみであり、ファイアウォールサーバからエッジノードへフィルタを移動させることしかできない。したがって、エッジノードの負荷が高くなり、エッジノードに設定されているフィルタを分散させたい場合等には、対応できない。
【００２１】
したがって、本発明は、上記三つの課題を解決することを目的とする。
【課題を解決するための手段】
【００２２】
本発明の代表的な一例を示せば以下の通りである。すなわち、ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、前記ネットワークに接続され、前記ネットワークを管理する管理計算機と、を備える計算機システムであって、前記複数の転送装置は、フィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、前記管理計算機は、前記複数の転送装置から前記ネットワークの構成情報を取得し、前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されているフィルタを前記第２の転送装置に設定する場合に、前記パケットが転送される範囲が前記フィルタを設定する前にパケットが転送されていた範囲と同じになるように、前記第１の転送装置及び前記第２の転送装置のフィルタの構成を生成し、前記第１の転送装置と前記第２の転送装置とのフィルタの構成を、前記生成されたフィルタの構成に変更する。
【発明の効果】
【００２３】
本発明の一実施形態によれば、フィルタを分散することによってフィルタが集中しているＮＷ装置の処理負荷を低減できる。
【発明を実施するための最良の形態】
【００２４】
以下、本発明の実施の形態について図面を参照しながら説明する。
【００２５】
＜第１の実施の形態＞
本発明の第１実施の形態のネットワークシステムについて、図１〜２１を用いて説明する。
【００２６】
図１は、本発明の第１の実施の形態のネットワークシステムの構成を示す図である。
【００２７】
ネットワークシステムは、内部ネットワーク１及び外部ネットワーク２によって構成される。内部ネットワーク１と外部ネットワーク２とは、互いに接続される。
【００２８】
内部ネットワーク１には、ＮＷ装置１００Ａ〜１００Ｈ、端末グループ２００Ａ〜２００Ｅ、及び管理サーバ５００が接続される。また、管理サーバ５００には、管理者用端末７００が接続される。なお、以下の説明で、ＮＷ装置１００Ａ〜１００Ｈを総称してＮＷ装置１００と説明する場合もある。また、端末グループ２００Ａ〜２００Ｅを総称して端末グループ２００と説明する場合もある。
【００２９】
端末グループ２００は、ネットワーク（例えば、スイッチングハブ等）を介して、ＮＷ装置１００に接続している計算機の集合であり、ネットワークの利用者が使用する。
【００３０】
図１に示す例では、端末グループ２００Ａ及び２００ＢはＡ部門に所属する。また、端末グループ２００Ｃ及び２００Ｄは、Ｂ部門に所属する。また、端末グループ２００Ｅは、Ｃ部門に所属する。
【００３１】
管理サーバ５００は、内部ネットワーク１を管理する計算機である。管理サーバ５００については、図２を用いて詳細に後述する。  ＮＷ装置１００は、ネットワーク内で通信される情報を、その情報の宛先に転送する装置であり、例えば、スイッチ、ルータ、及びファイアウォールである。
【００３２】
ＮＷ装置１００は、複数のポートを備える。図１に示す例では、ＮＷ装置１００Ａは、ポート１〜４を備える。ＮＷ装置１００Ｂ〜１００Ｈは、ポート１〜３を備える。
【００３３】
ＮＷ装置１００Ａのポート１は、ＮＷ装置１００Ｂのポート３に接続される。ＮＷ装置１００Ａのポート２は、ＮＷ装置１００Ｃのポート３に接続される。ＮＷ装置１００Ａのポート４は、管理サーバ５００に接続される。ＮＷ装置１００Ａのポート３は、外部ネットワーク２に接続される。
【００３４】
ＮＷ装置１００Ｂのポート１は、ＮＷ装置１００Ｄのポート３に接続される。
【００３５】
ＮＷ装置１００Ｃのポート１は、ＮＷ装置１００Ｅのポート３に接続される。ＮＷ装置１００Ｃのポート２は、ＮＷ装置１００Ｆのポート３に接続される。
【００３６】
ＮＷ装置１００Ｄのポート１は、ＮＷ装置１００Ｇのポート３に接続される。ＮＷ装置１００Ｄのポート２は、ＮＷ装置１００Ｈのポート３に接続される。
【００３７】
ＮＷ装置１００Ｇのポート１は、端末グループ２００Ａに接続される。ＮＷ装置１００Ｈのポート１は、端末グループ２００Ｂに接続される。ＮＷ装置１００Ｈのポート２は、端末グループ２００Ｃに接続される。ＮＷ装置１００Ｅのポート１は、端末グループ２００Ｄに接続される。ＮＷ装置１００Ｆのポート１は、端末グループ２００Ｅに接続される。
【００３８】
図２は、本発明の第１の実施の形態の管理サーバ５００のブロック図である。
【００３９】
管理サーバ５００は、メモリ５１０、ＣＰＵ５５０、外部記憶５６０、Ｉ／Ｏインターフェース（Ｉ／Ｆ）５７０及びネットワークインターフェース（Ｉ／Ｆ）５８０を備える。
【００４０】
管理サーバ５００は、ネットワークＩ／Ｆ５８０を介してネットワークに接続される。また、管理サーバ５００は、ネットワークに接続される他の装置及び端末グループ２００と、ネットワークＩ／Ｆ５８０を介して情報を送受信する。
【００４１】
メモリ５１０は、物理構成情報作成プログラム５１１、ＩＰネットワーク構成生成プログラム５１２、フィルタ再構成プログラム５１３、フィルタ設定プログラム５１４、設定履歴管理プログラム５１５、物理構成情報テーブル５２１、ＩＰネットワーク構成情報５２２、再構成対象フィルタ数情報テーブル５２３、最大フィルタ数情報テーブル５２４、フィルタタイプ情報テーブル５２５、フィルタエントリ情報テーブル５２６、設定履歴情報テーブル５２７、及び機種情報テーブル５２９を格納する。
【００４２】
物理構成情報作成プログラム５１１は、内部ネットワーク１を構成するＮＷ装置１００から物理接続情報（例えば、ＮＷ装置１００に隣接する装置の情報）を取得し、物理構成情報テーブル５２１を生成する。
【００４３】
ＩＰネットワーク構成生成プログラム５１２は、内部ネットワーク１を構成するＮＷ装置１００からネットワークの構成情報（例えば、ＶＬＡＮ情報及び経路情報）を取得し、ＩＰネットワーク構成情報５２２を生成する。
【００４４】
フィルタ再構成プログラム５１３は、ＮＷ装置１００に設定されているフィルタの構成を再構成する。なお、フィルタ再構成プログラム５１３の処理は、後述する図１６〜図２０で詳細を説明する。
【００４５】
フィルタ設定プログラム５１４は、再構成されたフィルタの構成情報をＮＷ装置１００に反映する。
【００４６】
設定履歴管理プログラム５１５は、フィルタを再構成した履歴を保存及び呼び出しを行う。
【００４７】
物理構成情報テーブル５２１は、ＮＷ装置１００の各ポートに隣接するＮＷ装置１００及び隣接するＮＷ装置１００のポート等を示す物理的な接続情報を管理する。なお、物理構成情報テーブル５２１については、後述する図４で詳細を説明する。
【００４８】
ＩＰネットワーク構成情報５２２は、サブネットとルーティングポイント（例えば、ＮＷ装置１００）との論理的な接続情報を管理する。ＩＰネットワーク構成情報５２２については、図３を用いて詳細に後述する。
【００４９】
再構成対象フィルタ数情報テーブル５２３は、ＮＷ装置１００のＣＰＵ負荷に応じて決定される再構成の対象となるフィルタの数の情報を管理する。なお、再構成対象フィルタ数情報テーブル５２３については、後述する図５で詳細を説明する。
【００５０】
最大フィルタ数情報テーブル５２４は、ＮＷ装置１００の各機種に設定が可能なフィルタ数の最大値を管理する。最大フィルタ数情報テーブル５２４については、図６を用いて詳細に後述する。
【００５１】
フィルタタイプ情報テーブル５２５は、フィルタタイプの算出に必要な情報、及び、再構成対象フィルタに選択する優先度等を管理する。フィルタタイプとは、フィルタをグルーピングするための特徴であり、例えば、送信元、宛先、及びプロトコル等により決まる。フィルタタイプ情報テーブル５２５については、図８を用いて詳細に後述する。
【００５２】
フィルタエントリ情報テーブル５２６は、ＮＷ装置１００に設定されているフィルタのエントリの情報を管理する。フィルタエントリ情報テーブル５２６については、図９を用いて詳細に後述する。
【００５３】
設定履歴情報テーブル５２７は、フィルタを再構成した履歴を管理する。設定履歴情報テーブル５２７については、図１０を用いて詳細に後述する。
【００５４】
機種情報テーブル５２９は、ＮＷ装置１００の各機種の情報を管理する。なお、機種情報テーブル５２９については、図７を用いて詳細に後述する。
【００５５】
ＣＰＵ５５０は、メモリ５１０に格納される各プログラムを実行するプロセッサである。
【００５６】
外部記憶５６０は、プログラム及び各種データを記憶する装置であり、例えば、ＨＤＤによって構成される。
【００５７】
Ｉ／Ｏインターフェース（Ｉ／Ｆ）５７０は、データを入出力するインターフェースである。
【００５８】
ネットワークＩ／Ｆ５８０は、ネットワークに接続される他の装置及び端末グループ２００と情報を送受信するインターフェースである。
【００５９】
図３は、本発明の第１の実施の形態のＩＰネットワーク構成情報５２２を説明する図である。
【００６０】
ＩＰネットワーク構成情報５２２は、仮想ＮＷ装置（ルーティングポイント）３００Ａ、サブネット４００Ａ〜４００Ｃ、サブネット内の仮想ＮＷ装置３００Ｂ〜３００Ｌ、及び端末グループ２００Ａ〜２００Ｅを含む。なお、以下の説明で、サブネット４００Ａ〜４００Ｃを総称する場合は、サブネット４００と説明する。また、仮想ＮＷ装置３００Ｂ〜３００Ｌを総称する場合は仮想ＮＷ装置３００と説明する。
【００６１】
仮想ＮＷ装置（ルーティングポイント）３００は、パケットのルーティングを行うＮＷ装置である。
【００６２】
サブネット４００は、ＶＬＡＮ等により物理的なネットワーク上に構成される論理的なネットワークである。
【００６３】
サブネット４００ＡのＩＰアドレス範囲は、１９２．１６８．１０．０／２４であり、サブネット４００Ａは、端末グループ２００Ａ及び２００Ｂを含む。また、サブネット４００Ａは、ＮＷ装置１００Ｂ、１００Ｄ、１００Ｇ、及び１００Ｈに対応する仮想ＮＷ装置３００Ｂ、３００Ｆ、３００Ｊ、及び３００Ｋを含み、仮想ＮＷ装置３００Ｂ、３００Ｆ、３００Ｊ、及び３００Ｋは、端末グループ２００Ａ及び２００Ｂを収容する。
【００６４】
サブネット４００ＢのＩＰアドレス範囲は、１９２．１６８．２０．０／２４であり、サブネット４００Ｂは、端末グループ２００Ｃ、及び２００Ｄを含む。また、サブネット４００Ｂは、ＮＷ装置１００Ｂ、１００Ｃ、１００Ｄ、１００Ｅ、及び１００Ｈに対応する仮想ＮＷ装置３００Ｃ、３００Ｄ、３００Ｇ、３００Ｈ、及び３００Ｌを含み、仮想ＮＷ装置３００Ｃ、３００Ｄ、３００Ｇ、３００Ｈ、及び３００Ｌは、端末グループ２００Ｃ、２００Ｄを収容する。
【００６５】
サブネット４００ＣのＩＰアドレス範囲は、１９２．１６８．３０．０／２４であり、サブネット４００Ｃは、端末グループ２００Ｅを含む。また、サブネット４００Ｃは、ＮＷ装置１００Ｃ及び１００Ｆに対応する仮想ＮＷ装置３００Ｅ及び３００Ｉを含み、仮想ＮＷ装置３００Ｅ及び３００Ｉは、端末グループ２００Ｅを収容する。
【００６６】
なお、本発明の第１の実施の形態のＩＰネットワーク構成情報５２２は、ＶＬＡＮの設定情報を含むが、管理サーバ５００が論理的な下位装置の構成を分かるような情報を含んでいればよい。
【００６７】
図４は、本発明の第１の実施の形態の物理構成情報テーブル５２１である。
【００６８】
物理構成情報テーブル５２１は、ＮＷ装置ＩＤ５２１１、ポートＩＤ５２１２、隣接ＮＷ装置ＩＤ５２１３、隣接ポートＩＤ５２１４を含む。
【００６９】
ＮＷ装置ＩＤ５２１１は、管理サーバ５００がＮＷ装置１００を識別するための一意な識別子である。
【００７０】
ポートＩＤ５２１２は、管理サーバ５００がＮＷ装置１００のポートを識別するための一意な識別子である。
【００７１】
隣接ＮＷ装置ＩＤ５２１３は、管理サーバ５００がポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００を識別するための一意な識別子である。なお、ポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００が存在しない場合には、値が格納されない。
【００７２】
隣接ポートＩＤ５２１４には、管理サーバ５００がポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００のポートを識別するための一意な識別子である。なお、ポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００が存在しない場合には、隣接ポートＩＤ５２１４には値が格納されない。
【００７３】
図４に示す例では、物理構成情報テーブル５２１の第２行のＮＷ装置ＩＤ５２１１、ポートＩＤ５２１２、隣接ＮＷ装置ＩＤ５２１３及び隣接ポートＩＤ５２１４には、それぞれ、「１」、「１」、「２」及び「３」が格納されている。これは、ＮＷ装置１のポート１は、ＮＷ装置２のポート３と接続していることを示す。
【００７４】
図５は、本発明の第１の実施の形態の再構成対象フィルタ数情報テーブル５２３である。
【００７５】
再構成対象フィルタ数情報テーブル５２３は、ＣＰＵ負荷５２３１及び再構成対象フィルタ数の割合５２３２を含む。
【００７６】
ＣＰＵ負荷５２３１は、ＮＷ装置１００のＣＰＵの負荷の範囲である。
【００７７】
再構成対象フィルタ数の割合５２３２は、ＮＷ装置１００に設定される最大のフィルタ数に対する再構成の対象となるフィルタ数の割合である。
【００７８】
図５に示す例では、再構成対象フィルタ数情報テーブル５２３の第１行のＣＰＵ負荷５２３１及び再構成対象フィルタ数の割合５２３２には、それぞれ、「９０〜１００」及び「５０」が格納されている。これは、ＮＷ装置１００のＣＰＵ負荷が９０〜１００％である場合には、ＮＷ装置１００に設定される最大のフィルタ数のうち５０％を再構成する対象のフィルタとすることを示す。
【００７９】
なお、再構成対象フィルタ数情報テーブル５２３は、管理サーバ５００が管理する各ＮＷ装置１００について一律に設定されるものであるが、各ＮＷ装置１００に応じて設定を変更してもよい。
【００８０】
図６は、本発明の第１の実施の形態の最大フィルタ数情報テーブル５２４である。
【００８１】
最大フィルタ数情報テーブル５２４は、機種５２４１及び最大フィルタ数５２４２を含む。
【００８２】
機種５２４１は、ＮＷ装置１００の機種である。
【００８３】
最大フィルタ数５２４２は、機種５２４１に示される機種のＮＷ装置１００に設定が可能な最大のフィルタ数である。
【００８４】
図６に示す例では、最大フィルタ数情報テーブル５２４の第１行の機種５２４１及び最大フィルタ数５２４２には、それぞれ、「１」及び「１０００」が格納されている。これは、機種１のＮＷ装置１００には、１０００個のフィルタを設定することが可能であることを示す。
【００８５】
図７は、本発明の第１の実施の形態の機種情報テーブル５２９である。
【００８６】
機種情報テーブル５２９は、ＮＷ装置ＩＤ５２９１及び機種５２９２を含む。
【００８７】
ＮＷ装置ＩＤ５２９１は、管理サーバ５００がＮＷ装置１００を識別するための一意な識別子である。
【００８８】
機種５２９２は、ＮＷ装置１００の機種であり、例えば、スイッチ及びルータ等の装置の種類である。
【００８９】
図７に示す例では、機種情報テーブル５２９の第１行のＮＷ装置ＩＤ５２９１及び機種５２９２には、それぞれ、「１」及び「１」が格納されている。これは、ＮＷ装置１は、機種１であることを示す。
【００９０】
図８は、本発明の第１の実施の形態のフィルタタイプ情報テーブル５２５である。
【００９１】
フィルタタイプ情報テーブル５２５は、フィルタタイプ５２５１及び再構成対象の優先度５２５２を含む。
【００９２】
フィルタタイプ５２５１は、フィルタタイプを算出するための情報である。具体的には、レイヤ、送信元、宛先指定、プロトコル、フロー向き、及びフィルタのアクションを含む。
【００９３】
レイヤは、フィルタが対象とするフローのレイヤの情報（例えば、Ｌ３（レイヤ３）、Ｌ２（レイヤ２）等）である。送信元は、フィルタが対象とするフローの送信元の情報である。なお、フィルタが送信元を特定しない場合は「Ａｎｙ」とする。宛先は、フィルタが対象とするフローの宛先の情報である。なお、フィルタが宛先を特定しない場合は「Ａｎｙ」とする。プロトコルは、フィルタが対象とするフローのプロトコル情報である。なお、フィルタがプロトコルを特定しない場合は「Ａｎｙ」とする。フロー方向は、フィルタが対象とするフローの向き（例えば、Ｅｇｒｅｓｓ及びＩｎｇｒｅｓｓ）である。アクションは、フィルタが対象とするフローに行われるフィルタ処理のアクションである。
【００９４】
なお、フィルタタイプ５２５１の一部の情報は、必ずしも全て含む必要はない。
【００９５】
再構成対象の優先度５２５２は、各フィルタタイプが、再構成対象フィルタとして選択される優先度である。例えば、再構成対象の優先度５２５２は、値の小さいフィルタの優先度が高い。
【００９６】
なお、管理者は、管理者用端末７００を用いて管理サーバ５００に要求を出し、フィルタタイプ５２５１及び再構成対象の優先度５２５２のエントリを追加又は変更することができる。フィルタタイプ５２５１及び再構成対象の優先度５２５２にエントリを追加又は変更する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図９に示す。
【００９７】
図８に示す例では、フィルタタイプ情報テーブル５２５の第１行のフィルタタイプ５２５１のレイヤ、送信元指定、宛先指定、プロトコル、フロー向き、アクション及び再構成対象の優先度５２５２には、それぞれ、「Ｌ３」、「有」、「有」、「指定有」、「Ｅｇｒｅｓｓ」、「Ｄｅｎｙ」及び「１」が格納されている。これは、フィルタタイプ情報テーブル５２５の第１行のフィルタは、レイヤ３のフローを対象とし、指定された送信元、宛先及びプロトコルのデータをフィルタが設定されているＮＷ装置から外部に送信するフローを転送しないように設定するフィルタであって、最も高い優先度で再構成対象フィルタに選択されることを示す。
【００９８】
図９は、図８に示すフィルタタイプ情報テーブル５２５に格納される値を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。
【００９９】
入力インターフェースは、フィルタタイプ５２５１の入力欄及び再構成対象の優先度５２５２の入力欄を含み、「ＯＫ」のボタンを操作することによって、フィルタタイプ５２５１及び再構成対象の優先度５２５２を追加するように管理サーバ５００に要求される。なお、フィルタタイプ情報テーブル５２５に格納される値を変更する場合には、既に設定されているフィルタの情報を指定する欄をさらに含み、指定したフィルタの情報について、変更するフィルタタイプ５２５１及び再構成対象の優先度５２５２を入力する。
【０１００】
図１０は、本発明の第１の実施の形態のフィルタエントリ情報テーブル５２６である。
【０１０１】
フィルタエントリ情報テーブル５２６は、ＮＷ装置ＩＤ５２６１、ポートＩＤ５２６２、フィルタ５２６３、及びフィルタ順位５２６４を含む。
【０１０２】
ＮＷ装置ＩＤ５２６１は、ＮＷ装置１００を識別するための一意な識別子である。
【０１０３】
ポートＩＤ５２６２は、各ＮＷ装置１００内のポートを識別するための一意な識別子である。
【０１０４】
フィルタ５２６３は、ポートＩＤ５２６２で指定されたポートに設定されているフィルタの内容である。
【０１０５】
フィルタ順位５２６４は、各ポートで、適用されるフィルタの順位である。例えば、値の小さいフィルタは順位が高く、優先して適用される。
【０１０６】
図１０に示す例では、フィルタエントリ情報テーブル５２６の第１行のＮＷ装置ＩＤ５２６１、ポートＩＤ５２６２、フィルタ５２６３、及びフィルタ順位５２６４には、それぞれ、「１」、「３」、「ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ」、「１」が格納されている。これは、ＮＷ装置１のポート３に設定されるフィルタは、レイヤ３を対象とし、送信元が「１９２．１６８．２０．０／２４」でＳＳＨのプロトコルを用いたデータを外部のネットワークに送信するフローを転送しないフィルタが設定されており、最も優先して適用されることを示す。
【０１０７】
図１１は、本発明の第１の実施の形態の設定履歴情報テーブル５２７である。
【０１０８】
設定履歴情報テーブル５２７は、設定時刻５２７１、移動元ＮＷ装置５２７２、移動元ポート５２７３、フィルタ５２７４、移動先ＮＷ装置５２７５、移動先ポート５２７６、及びフィルタ５２７７を含む。
【０１０９】
設定時刻５２７１は、フィルタを再構成して、ＮＷ装置１００に再構成したフィルタを設定した時刻である。
【０１１０】
移動元ＮＷ装置５２７２は、フィルタを再構成する前のフィルタの移動元のＮＷ装置１００を識別するための一意な識別子である。
【０１１１】
移動元ポート５２７３は、フィルタを再構成する前のフィルタの移動元のＮＷ装置１００のポートを識別するための一意な識別子である。
【０１１２】
フィルタ５２７４は、フィルタを再構成する前に再構成の対象となるフィルタである。
【０１１３】
移動先ＮＷ装置５２７５は、フィルタを再構成した後のフィルタの移動先のＮＷ装置１００を識別するための一意な識別子である。
【０１１４】
移動先ポート５２７６は、フィルタを再構成した後のフィルタの移動先のＮＷ装置１００のポートを識別するための一意な識別子である。
【０１１５】
フィルタ５２７７は、再構成した後のフィルタである。
【０１１６】
図１１に示す例では、設定履歴情報テーブル５２７の第１行の設定時刻５２７１、移動元ＮＷ装置５２７２、移動元ポート５２７３、フィルタ５２７４、移動先ＮＷ装置５２７５、移動先ポート５２７６、及びフィルタ５２７７には、それぞれ、「２００７−０７−０７  １０：１２：５９」、「１」、「３」、「ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ」、「２」、「３」及び「（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．１０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．３０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．２０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ）」が格納されている。これは、２００７年７月７日の１０時１２分５９秒にフィルタが設定され、ＮＷ装置１のポート３に設定されているフィルタ（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ）を再構成して、ＮＷ装置２のポート３にフィルタ（（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．１０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．３０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．２０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ））を設定することを示す。
【０１１７】
図１２は、本発明の第１の実施の形態のＮＷ装置１００のブロック図である。
【０１１８】
ＮＷ装置１００は、メモリ１１０、ＣＰＵ１５０、外部記憶１６０、Ｉ／Ｏインターフェース（Ｉ／Ｆ）１７０、パケット・フレーム転送機能部１８０を備える。
【０１１９】
メモリ１１０は、フィルタ処理プログラム１１１、ＣＰＵ負荷管理プログラム１１２、フィルタエントリ管理プログラム１１３、フィルタエントリ情報テーブル１２１、物理接続情報テーブル１２２、ＶＬＡＮ情報テーブル１２３、及び経路情報テーブル１２４を格納する。
【０１２０】
フィルタ処理プログラム１１１は、フィルタエントリ情報テーブル１２１に格納されている情報にしたがって、パケット・フレーム転送機能部１８０を用いて受信したパケット及びフレームにフィルタ処理（フィルタリング）を行う。
【０１２１】
ＣＰＵ負荷管理プログラム１１２は、ＣＰＵ１５０の負荷を管理する。また、管理サーバ５００からＣＰＵの負荷情報が要求されると、ＣＰＵの負荷情報を管理サーバ５００に通知する。
【０１２２】
フィルタエントリ管理プログラム１１３は、フィルタエントリ情報テーブル１２１を管理する。また、管理サーバ５００から要求されたフィルタエントリの設定に従って、フィルタエントリ情報テーブル１２１に値を格納する。
【０１２３】
フィルタエントリ情報テーブル１２１は、フィルタエントリを管理する。なお、フィルタエントリ情報テーブル１２１については、図１３を用いて詳細に後述する。
【０１２４】
物理接続情報テーブル１２２は、ＮＷ装置１００と隣接しているＮＷ装置１００との物理的な接続情報を管理する。なお、物理接続情報１２２については、図１４を用いて詳細に後述する。
【０１２５】
ＶＬＡＮ情報テーブル１２３は、ＮＷ装置１００に設定されているＶＬＡＮの情報を管理する。なお、ＶＬＡＮ情報テーブル１２３については、図１５を用いて詳細に後述する。
【０１２６】
経路情報テーブル１２４は、ＮＷ装置１００に設定されている経路情報を管理する。なお、経路情報１２４については、図１６を用いて詳細に後述する。
【０１２７】
ＣＰＵ１５０は、メモリ１１０に記憶された各プログラムを実行するプロセッサである。
【０１２８】
外部記憶１６０は、プログラム及び各種データを記憶する装置であり、例えば、ＨＤＤで構成される。
【０１２９】
Ｉ／Ｏ  Ｉ／Ｆ１７０は、データを入出力するインターフェースである。
【０１３０】
パケット・フレーム転送機能部１８０は、他のＮＷ装置１００及び端末グループ２００にパケット及びフレームを送受信するインターフェースである。
【０１３１】
図１３〜図１６は、ＮＷ装置１００が保持する情報を説明する図である。なお、図１３〜図１６では、ＮＷ装置１００Ａが保持する情報の一例を示している。
【０１３２】
図１３は、本発明の第１の実施の形態のフィルタエントリ情報テーブル１２１である。
【０１３３】
フィルタエントリ情報テーブル１２１は、ポート１２１１、レイヤ１２１２、送信元１２１３、宛先１２１４、プロトコル１２１５、フロー方向１２１６、アクション１２１７、及びフィルタ順位１２１８を含む。
【０１３４】
ポート１２１１は、フィルタが設定されているポートを識別するための一意な識別子である。
【０１３５】
レイヤ１２１２は、フィルタが対象とするフローのレイヤ情報（例えば、Ｌ３（レイヤ３）、Ｌ２（レイヤ２）等）である。
【０１３６】
送信元１２１３は、フィルタが対象とするフローの送信元情報である。なお、フィルタが送信元を特定しない場合は「Ａｎｙ」とする。
【０１３７】
宛先１２１４は、フィルタが対象とするフローの宛先の情報である。なお、フィルタが宛先を特定しない場合は「Ａｎｙ」とする。
【０１３８】
プロトコル１２１５は、フィルタが対象とするフローのプロトコル情報である。なお、フィルタがプロトコルを特定しない場合は「Ａｎｙ」とする。
【０１３９】
フロー方向１２１６は、フィルタが対象とするフローの向き（例えば、Ｅｇｒｅｓｓ又はＩｎｇｒｅｓｓ）である。
【０１４０】
アクション１２１７は、フィルタが対象とするフローに行うフィルタ処理のアクションである。
【０１４１】
フィルタ順位１２１８は、各ポートで、適用されるフィルタの順位である。例えば、値の小さいフィルタの順位が高く、優先して適用される。
【０１４２】
図１３に示す例では、フィルタエントリ情報テーブル１２１の第１行のポート１２１１、レイヤ１２１２、送信元１２１３、宛先１２１４、プロトコル１２１５、フロー方向１２１６、アクション１２１７、及びフィルタ順位１２１８には、それぞれ、「３」、「Ｌ３」、「１９２．１６８．１０．０／２４」、「Ａｎｙ」、「ＳＳＨ」、「Ｅｇｒｅｓｓ」、「Ｄｅｎｙ」及び「１」が格納されている。これは、ＮＷ装置１００Ａのポート３に設定されるフィルタは、レイヤ３を対象とし、送信元が「１９２．１６８．１０．０／２４」でＳＳＨのプロトコルを用いてデータを外部のネットワークに送信するフローを転送しないフィルタが設定されており、最も高い順位で適用されることを示す。
【０１４３】
図１４は、本発明の第１の実施の形態の物理接続情報テーブル１２２である。
【０１４４】
物理接続情報テーブル１２２は、ポートＩＤ１２２１、隣接ＮＷ装置ＩＤ１２２２、及び隣接ポートＩＤ１２２３を含む。
【０１４５】
ポートＩＤ１２２１は、ポートを識別するための一意な識別子である。
【０１４６】
隣接ＮＷ装置ＩＤ１２２２は、各ポートに隣接するＮＷ装置１００を識別するための一意な識別子である。
【０１４７】
隣接ポートＩＤ１２２３は、ポートＩＤ１２２１に示されるポートと接続しているＮＷ装置１００のポートを識別するための一意な識別子である。
【０１４８】
図１４に示す例では、物理接続情報テーブル１２２の第２行のポートＩＤ１２２１、隣接ＮＷ装置ＩＤ１２２２、及び隣接ポートＩＤ１２２３には、それぞれ、「１」、「２」、及び「３」が格納されている。これは、ＮＷ装置１００Ａのポート１は、ＮＷ装置２のポート３と接続していることを示す。
【０１４９】
図１５は、本発明の第１の実施の形態のＶＬＡＮ情報テーブル１２３である。
【０１５０】
ＶＬＡＮ情報テーブル１２３は、ＶＬＡＮ  ＩＤ１２３１及びＶＬＡＮ設定ポート１２３２を含む。
【０１５１】
ＶＬＡＮ  ＩＤ１２３１は、設定されているＶＬＡＮを識別するための識別子である。
【０１５２】
ＶＬＡＮ設定ポート１２３２は、ＶＬＡＮが設定されているＮＷ装置１００のポートを識別するための一意な識別子である。
【０１５３】
図１５に示す例では、ＶＬＡＮ情報テーブル１２３の第１行のＶＬＡＮ  ＩＤ１２３１及びＶＬＡＮ設定ポート１２３２には、それぞれ、「１０」及び「１」が格納されている。これは、「ＶＬＡＮ１０」がＮＷ装置１００Ａのポート１に設定されていることを示す。
【０１５４】
図１６は、本発明の第１の実施の形態の経路情報テーブル１２４である。
【０１５５】
経路情報テーブル１２４は、宛先１２４１及びインターフェース１２４２を含む。
【０１５６】
宛先１２４１は、宛先となるネットワークのＩＰアドレスの範囲である。
【０１５７】
インターフェース１２４２は、宛先１２４１に示される宛先にパケットを送信するインターフェースである。なお、インターフェースは、物理的なインターフェース（ポート）又はＶＬＡＮで設定される仮想的なインターフェースである。
【０１５８】
図１６に示す例では、経路情報テーブル１２４の第１行の宛先１２４１及びインターフェース１２４２には、それぞれ、「１９２．１６８．１０．０／２４」及び「ＶＬＡＮインターフェース１０」が格納されている。これは、宛先「１９２．１６８．１０．０／２４」にデータを送信するインターフェースは、「ＶＬＡＮインターフェース１０」であることを示す。
【０１５９】
図１７Ａ及び１７Ｂは、本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。
【０１６０】
図１８は、本発明の第１の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【０１６１】
図１７Ａ及び１７Ｂに示す例では、上位のＮＷ装置１００Ａのポート３に設定されているフィルタを、下位のＮＷ装置１００Ｂ及び１００Ｃに移動（分散）させる。なお、図１７Ａ及び１７Ｂに示す例では、ＮＷ装置１００Ｂ〜１００Ｈを代表して、ＮＷ装置１００Ｂを下位のＮＷ装置とする。
【０１６２】
まず、管理サーバ５００は、定期的に上位ＮＷ装置１００ＡのＣＰＵの負荷情報を要求する（Ｓ１０１）。
【０１６３】
次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａは、図１８に示すメッセージ（ＣＰＵ負荷）を用いて、ＣＰＵの負荷情報を管理サーバ５００に通知する（Ｓ１０２）。
【０１６４】
なお、ステップ１０１では、管理サーバ５００は、上位ＮＷ装置１００ＡにのみＣＰＵの負荷情報を要求しているが、下位ＮＷ装置にも、ＣＰＵに空きがあるかどうかを調べるためにＣＰＵの負荷情報を要求してもよい。
【０１６５】
次に、管理サーバ５００は、ステップ１０２で通知されたＣＰＵ負荷に基づいて、フィルタの再構成が必要か否かを判定する（Ｓ１０３）。具体的には、管理サーバ５００は、再構成対象フィルタ数情報テーブル５２３を参照し、ステップ１０２で通知されたＣＰＵ負荷が再構成対象フィルタ数情報テーブル５２３のＣＰＵ負荷５２３１の範囲だった場合、フィルタの再構成が必要であると判定し、再構成対象フィルタ数の割合５２３２に基づいて再構成の対象となるフィルタ数を算出する。
【０１６６】
次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４、Ｓ１０６）。
【０１６７】
次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（物理接続情報）を用いて、物理接続情報テーブル１２２に格納されている情報を管理サーバ５００に通知する（Ｓ１０５、Ｓ１０７）。
【０１６８】
次に、管理サーバ５００は、Ｓ１０５及びＳ１０７で通知された物理接続情報テーブル１２２に格納されている情報に基づいて、物理構成情報テーブル５２１を更新する（Ｓ１０８）。
【０１６９】
次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００ＢにＩＰネットワーク情報を要求する（Ｓ１０９、Ｓ１１１）。
【０１７０】
次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（ＩＰネットワーク情報）を用いて、ＶＬＡＮ情報テーブル１２３及び経路情報テーブル１２４に格納されている情報を管理サーバ５００に通知する（Ｓ１１０、１１２）。
【０１７１】
次に、管理サーバ５００は、Ｓ１１０及びＳ１１２で通知された情報に基づいて、ＩＰネットワーク構成情報テーブル５２２を更新する（Ｓ１１３）。
【０１７２】
管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂにフィルタエントリの情報を要求する（Ｓ１１４、Ｓ１１６）。
【０１７３】
次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（フィルタエントリ情報）を用いて、フィルタエントリ情報テーブル１２１に格納されている情報を管理サーバ５００に通知する（Ｓ１１５、Ｓ１１７）。
【０１７４】
次に、管理サーバ５００は、Ｓ１１５及びＳ１１７で通知された情報をフィルタエントリ情報テーブル５２６に登録する（Ｓ１１８）。なお、すでに同じエントリがフィルタエントリ情報テーブル５２６に登録されている場合には、管理サーバ５００は、Ｓ１１５及びＳ１１７で通知された情報を用いて、登録されているフィルタエントリの情報を更新する。
【０１７５】
次に、管理サーバ５００は、再構成の対象となるフィルタを選択する（Ｓ１１９）。なお、再構成の対象となるフィルタを選択する再構成対象フィルタ選択処理については、後述する図１９で詳細を説明する。
【０１７６】
次に、管理サーバ５００は、フィルタを再構成するする対象となるＮＷ装置１００（設定対象ＮＷ装置）及びポートを選択する（Ｓ１２０）。なお、設定対象ＮＷ装置及びポートを選択する設定対象ＮＷ装置・ポート選択処理については、後述する図２０で詳細を説明する。
【０１７７】
次に、管理サーバ５００は、新しいフィルタの構成を生成する（Ｓ１２１）。なお、新しいフィルタの構成を生成するフィルタ構成生成処理については、後述する図２１で詳細を説明する。
【０１７８】
次に、管理サーバ５００は、図１８で示すメッセージ（承認要求）を用いて、Ｓ１２１で生成したフィルタの構成を管理者用端末７００に通知し、新しいフィルタの構成をＮＷ装置１００に反映する承認を要求する（Ｓ１２２）。
【０１７９】
次に、管理者用端末７００は、Ｓ１２２で通知されたフィルタの構成を確認し、ＮＷ装置１００に反映する場合は、承認をする（Ｓ１２３）。
【０１８０】
次に、管理サーバ５００は、図１８に示すメッセージ（フィルタ設定）を用いて、再構成するフィルタの効果が途切れないように、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂにフィルタエントリを通知し、フィルタを設定する（Ｓ１２４、Ｓ１２６）。具体的には、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂのフィルタの構成を、Ｓ１２１で生成された新しいフィルタの構成に変更する。
【０１８１】
次に、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、Ｓ１２４及びＳ１２６で設定されたフィルタの設定結果を管理サーバ５００に通知する（Ｓ１２５、Ｓ１２７）
次に、管理サーバ５００は、Ｓ１２４及びＳ１２６で設定されたフィルタの内容を設定履歴情報テーブル５２７に登録する（Ｓ１２８）。なお、設定履歴情報テーブル５２７の設定時刻５２７１には、ＮＷ装置（上位ＮＷ装置１００Ａ又は下位ＮＷ装置１００Ｂ）１００に設定を行った時刻が登録される。
【０１８２】
次に、管理サーバ５００は、設定結果を管理者用端末７００に通知する（Ｓ１２９）。
【０１８３】
次に、管理者用端末７００は、図１８に示すメッセージ（フィルタ構成要求）を用いて、フィルタの構成の情報を取得したい時刻を指定し、管理サーバ５００にフィルタの構成の情報を要求する（Ｓ１３０）。
【０１８４】
次に、管理サーバ５００は、設定履歴情報テーブル５２７を参照する（Ｓ１３１）。そして、管理サーバ５００は、図１８に示すメッセージ（フィルタ構成設定結果）を用いて、管理者用端末７００から要求された時刻のネットワークの構成情報を管理者用端末７００に通知する（Ｓ１３１）。
【０１８５】
図１９は、本発明の第１の実施の形態の再構成対象フィルタ選択処理のフローチャートである。
【０１８６】
管理サーバ５００は、図１７ＡのＳ１１８の処理で、フィルタエントリ情報テーブル５２６に情報を登録した後に、再構成対象フィルタ選択処理を実行する。
【０１８７】
まず、管理サーバ５００は、フィルタタイプ情報テーブル５２５を用いて、再構成対象のフィルタが設定されているＮＷ装置１００のフィルタの優先度を決定する（Ｓ２０１）。
【０１８８】
次に、管理サーバ５００は、Ｓ２０１で決定された優先度を参照して、優先度が高いフィルタエントリを再構成対象フィルタに選択する（Ｓ２０２）。なお、優先度に値が格納されていない場合には、再構成対象フィルタの対象として選択されない。
【０１８９】
次に、管理サーバ５００は、図１７ＡのＳ１０３で算出した再構成対象フィルタ数以上のエントリを選択したか否かを判定する（Ｓ２０３）。
【０１９０】
再構成対象フィルタ数以上のエントリを選択していない場合には、処理はＳ２０２の処理に戻る。一方、再構成対象フィルタ数以上のエントリを選択している場合には、選択されたエントリで定義されるフィルタを再構成対象フィルタとし、再構成対象フィルタ選択処理を終了する（Ｓ２０４）。
【０１９１】
図２０は、本発明の第１の実施の形態の設定対象ＮＷ装置・ポート選択処理のフローチャートである。
【０１９２】
管理サーバ５００は、図１７ＢのＳ１１９の処理で、再構成対象フィルタを選択した後に、設定対象ＮＷ装置・ポート選択処理を実行する。
【０１９３】
まず、管理サーバ５００は、再構成対象フィルタを一つ（Ｆ１）選択する（Ｓ３０１）。
【０１９４】
次に、管理サーバ５００は、フィルタの移動元となるノード（例えば、ＮＷ装置１００）Ｎ１の再構成対象フィルタＦ１が設定されているポートＳＰ１以外のポートに接続されているノードＮ２を選択する（Ｓ３０２）。
【０１９５】
次に、管理サーバ５００は、ノードＮ２が管理可能なノードであるか否かを判定する（Ｓ３０３）。例えば、内部ネットワーク１を構成しているＮＷ装置１００が管理可能なノードである。
【０１９６】
ノードＮ２が管理可能なノードである場合には、処理はＳ３０５に進む。一方、ノードＮ２が管理可能なノードでない場合には、フィルタをノードＮ２に分散することができないため、処理はＳ３０４に進む。
【０１９７】
Ｓ３０４では、管理サーバ５００は、再構成対象フィルタＦ１を再構成対象フィルタから除外し（Ｓ３０４）、Ｓ３０８の処理に進む。
【０１９８】
なお、管理サーバ５００は、Ｓ３０４で除外したフィルタエントリを除いた残りの再構成対象フィルタについて処理を実行する。
【０１９９】
また、管理サーバ５００は、Ｓ３０４で除外された再構成対象フィルタの数と同じ数だけ、図１９に示す再構成対象フィルタ選択処理によって、新たに再構成対象フィルタとして追加して処理を実行してもよい。
【０２００】
次に、管理サーバ５００は、ノードＮ２が再構成対象フィルタで指定されている送信元を収容するか否かを判定する。（Ｓ３０５）
ノードＮ２が送信元を収容しない場合には、処理はＳ３０２の処理に戻る。一方、ノードＮ２が送信元を収容する場合には、ノードＮ２を設定対象ノードＴＮ２に設定し、ノードＮ１と接続するノードＮ２のポートを設定対象ポートＴＰ２に指定する（Ｓ３０６）。
【０２０１】
次に、管理サーバ５００は、ノードＮ１のポートのうち、再構成対象フィルタＦ１が設定されているポート以外のポートに接続されているノードを全て選択したか否かを判定する（Ｓ３０７）。ノードを全て選択していない場合には、処理はＳ３０３の処理に戻る。一方、ノードを全て選択した場合には、処理はＳ３０８の処理に進む。
【０２０２】
次に、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ３０８）。再構成対象フィルタを全て選択していない場合には、処理はＳ３０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、設定対象ＮＷ装置・ポート選択処理を終了する（Ｓ３０９）。
【０２０３】
図２１は、本発明の第１の実施の形態のフィルタ構成生成処理のフローチャートである。
【０２０４】
管理サーバ５００は、図１７ＢのＳ１２０の処理で、設定対象ＮＷ装置及びポートを選択した後に、フィルタ構成生成処理を実行する。
【０２０５】
まず、管理サーバ５００は、再構成対象フィルタを一つ（Ｆ１）選択する（Ｓ４０１）。
【０２０６】
次に、管理サーバ５００は、フィルタの移動元となるポートＰ１からＳ４０１で選択した再構成対象フィルタＦ１を削除する（Ｓ４０２）。
【０２０７】
次に、管理サーバ５００は、図２０のＳ３０６で指定された設定対象ポートＴＰ２に再構成対象フィルタＦ１を追加する（Ｓ４０３）。
【０２０８】
次に、管理サーバ５００は、再構成対象フィルタＦ１の宛先が指定されているか否かを判定する（Ｓ４０４）。再構成対象フィルタＦ１の宛先が指定されていない場合には、再構成対象フィルタＦ１のフィルタリング効果と同等のフィルタリング効果を持つフィルタの構成にするように、新しいフィルタを設定対象ポートＴＰ２に追加する必要があるため、処理はＳ４０５の処理に進む。一方、再構成対象フィルタＦ１の宛先が指定されている場合には、新しいフィルタの追加は不要であるため、処理はＳ４０７の処理に進む。
【０２０９】
なお、同等のフィルタリング効果を持つフィルタの構成にするとは、フィルタの移動元となるノードＮ１に設定されているフィルタを新たに設定対象ノードＴＮ２に設定する場合に、パケットが転送される範囲が、新たにフィルタを設定する前にパケットが転送されていた範囲と同じになるように、フィルタの構成を生成することである。
【０２１０】
次に、管理サーバ５００は、フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１があるか否かを判定する（Ｓ４０５）。
【０２１１】
フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１がある場合には、管理サーバ５００は、再構成前のフィルタ効果と同じ効果を持つフィルタの構成にするために、送信元及びプロトコルが「Ｆ１」と等しく、宛先が「Ｔ１」でフィルタアクションが「Ｐｅｒｍｉｔ」のフィルタＦ２を「ＴＰ２」に追加する（Ｓ４０６）。なお、宛先は、「Ｔ１」のＩＰアドレス、ＭＡＣアドレス、又はＩＰアドレスを集約した形式で指定してもよい。一方、フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１がない場合、Ｓ４０７に進む。
【０２１２】
次に、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ４０７）。
【０２１３】
再構成対象フィルタを全て選択していない場合には、処理はＳ４０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、フィルタ構成生成処理を終了する（Ｓ４０８）。
【０２１４】
このように、本発明の第１の実施の形態では、フィルタを分散するために必要な情報を、管理サーバが自動的に取得するため、ネットワーク管理者及びシステムエンジニアの作業コストを削減できる。また、ＮＷ装置から取得したネットワーク構成情報を利用し、必要な場所にフィルタを分散させることができる。また、フィルタを分散させる際に、フィルタリングの効果が変わらないようにフィルタを構成することができる。
【０２１５】
＜第２の実施の形態＞
本発明の第２の実施の形態のネットワークシステムについて、図２２及び図２３を用いて説明する。
【０２１６】
第２の実施の形態は、管理者用端末７００が管理サーバ５００にフィルタの再構成を要求することによって、要求を受けた管理サーバ５００がフィルタの再構成を行う点が特徴である。
【０２１７】
図２２は、本発明の第２の実施の形態のフィルタ再構成処理のシーケンス図であり、図２３は、本発明の第２の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【０２１８】
まず、管理者用端末７００は、図２３で示すメッセージ（フィルタ再構成要求）を用いて、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定して、管理サーバ５００にフィルタ再構成を要求する（Ｓ５０１）。
【０２１９】
なお、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図２４に示す。
【０２２０】
次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４）。以降の処理は、図１７ＡのＳ１０５以降と同じであるため省略する。
【０２２１】
図２４は、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定するために、管理者用端末７００によって提供される入力インターフェースの例を示す。
【０２２２】
入力インターフェースは、再構成の対象となるＮＷ装置１００の入力欄、再構成の対象となるＮＷ装置１００のポートの入力欄、及び、再構成するフィルタの数の入力欄を含み、「ＯＫ」のボタンを操作することによって、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定して管理サーバ５００にフィルタ再構成要求が要求される。
【０２２３】
このように、本発明の第２の実施の形態では、任意のＮＷ装置１００をフィルタの分散元として指定することができる。
【０２２４】
＜第３の実施の形態＞
本発明の第３の実施の形態のネットワークシステムについて、図２５〜２８を用いて説明する。
【０２２５】
第３の実施の形態は、第１の実施の形態で、フィルタの移動元となるＮＷ装置１００（例えば、ＮＷ装置１００Ａ）に隣接しているＮＷ装置１００（例えば、ＮＷ装置１００Ｂ）にフィルタを移動させる再構成（以下、単独再構成と説明する）を繰り返し行い、隣接しているＮＷ装置１００のさらに下位のＮＷ装置１００にフィルタを移動させる点が特徴である（以下、再帰再構成と説明する）。
【０２２６】
さらに、フィルタを移動させる範囲を、再構成ポリシーとして定義し、各フィルタタイプに再構成ポリシーを指定する。
【０２２７】
図２５は、本発明の第３の実施の形態の管理サーバ５００のブロック図である。
【０２２８】
第１の実施の形態の管理サーバ５００とは、フィルタタイプ情報テーブル５２５の管理する情報を拡張し、再構成ポリシー情報テーブル５２８を追加する点で異なる。
【０２２９】
第３の実施の形態のフィルタタイプ情報テーブル５２５については、図２６を用いて詳細に後述する。
【０２３０】
再構成ポリシー情報テーブル５２８は、フィルタを移動させる範囲を定義する再構成ポリシーを管理する。なお、再構成ポリシー情報テーブル５２８については、後述する図２７で詳細を説明する。
【０２３１】
図２６は、本発明の第３の実施の形態のフィルタタイプ情報テーブル５２５である。
【０２３２】
第３の実施の形態のフィルタタイプ情報テーブル５２５は、第１の実施の形態のフィルタタイプ情報テーブル５２５と、再構成ポリシーＩＤ５２５３を含む点で異なる。
【０２３３】
再構成ポリシーＩＤ５２５３は、再構成するためのポリシーを識別するＩＤである。
【０２３４】
管理サーバ５００は、再構成ポリシーＩＤ５２５３を用いて、後述する再構成ポリシー情報テーブル５２８を参照し、各再構成ポリシーＩＤ５２５３に対応する再構成ポリシーの内容を取得する。
【０２３５】
また、管理者は、管理者用端末７００を用いて管理サーバ５００に要求し、フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加、又は変更することができる。フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加、又は変更する時に、管理者が利用する管理者用端末７００の入力インターフェースは、図２８を用いて後述する。
【０２３６】
図２７は、本発明の第３の実施の形態の再構成ポリシー情報テーブル５２８である。
【０２３７】
再構成ポリシー情報テーブル５２８は、再構成ポリシーＩＤ５２８１及び再構成ポリシー５２８２を含む。
【０２３８】
再構成ポリシーＩＤ５２８１は、再構成するためのポリシーを識別するＩＤである。
【０２３９】
再構成ポリシー５２８２は、再構成ポリシーＩＤ５２８１に対応する再構成ポリシーの内容である。再構成ポリシー５２８２は、例えば、単独再構成、送信元集約地点まで再帰再構成、及び、エッジＮＷ装置まで再帰再構成がある。
【０２４０】
単独再構成は、第１の実施の形態で、フィルタの移動元とするＮＷ装置１００に隣接しているＮＷ装置１００のみにフィルタを移動させる再構成である。
【０２４１】
送信元集約地点まで再帰再構成は、単独再構成を繰り返し行い、再構成対象フィルタに指定されている送信元の全ての端末を収容し、かつ、フィルタの移動元とするＮＷ装置１００から最も離れたＮＷ装置１００までフィルタを移動させる再構成である。
【０２４２】
エッジＮＷ装置まで再帰再構成は、単独再構成を繰り返し行い、端末グループ２００と直接接続されたＮＷ装置１００までフィルタを移動させる再構成である。
【０２４３】
図２７に示す例では、再構成ポリシー情報テーブル５２８の第１行の再構成ポリシーＩＤ５２８１及び再構成ポリシー５２８２には、それぞれ、「１」及び「単独再構成」が格納されている。これは、再構成ポリシーＩＤの「１」に定義されている再構成ポリシーは、「単独再構成」であることを示す。
【０２４４】
図２８は、図２６に示すフィルタタイプ情報テーブル５２５に格納される値を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。
【０２４５】
入力インターフェースは、フィルタタイプ５２５１の入力欄、再構成対象の優先度５２５２の入力欄、及び再構成ポリシーＩＤ５２５３の入力欄を含み、「ＯＫ」のボタンを操作することによって、フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加又は変更するように管理サーバ５００に要求される。なお、フィルタタイプ情報テーブル５２５に格納される値を変更する場合には、既に設定されているフィルタの情報を指定する欄をさらに含み、指定したフィルタの情報について、変更するフィルタタイプ５２５１及び再構成対象の優先度５２５２を入力する。
【０２４６】
図２９は、本発明の第３の実施形態の設定履歴情報テーブル５２７である。
【０２４７】
設定履歴情報テーブル５２７の第１行目は、再構成ポリシーが「送信元集約地点まで再帰再構成」である場合に再構成されたフィルタの設定履歴である。具体的には、ＮＷ装置１００Ａのポート３に設定されていたフィルタを、ＮＷ装置１００Ｄのポート３に移動させて設定している。
【０２４８】
設定履歴情報テーブル５２７の第２行目は、再構成ポリシーが「エッジＮＷ装置まで再帰再構成」である場合に再構成されたフィルタの設定履歴である。具体的には、ＮＷ装置１００Ａのポート３に設定されていたフィルタを、ＮＷ装置１００Ｇのポート３及びＮＷ装置１００Ｈのポート３に分散させて設定している。
【０２４９】
図３０は、本発明の第３の実施の形態のフィルタ再構成処理のシーケンス図である。
【０２５０】
図３０に示す再構成対象フィルタ選択処理のＳ１１９まで第１の実施の形態の図１７Ｂに示すＳ１１９までと同じであるため省略する。
【０２５１】
処理Ｓ１１９の後に、管理サーバ５００は、設定対象ＮＷ装置、ポート選択／フィルタ構成生成／ＮＷ装置のフィルタエントリ数確認処理（以下、再帰再構成処理として説明する）を行う（Ｓ６０１）。なお、再帰再構成処理は、図３１を用いて詳細に後述する。
【０２５２】
次に、管理サーバ５００は、管理者用端末７００に承認要求を送信する（Ｓ１２１）。Ｓ１２１の以降の処理は、図１７ＢのＳ１２２以降の処理と同じであるため省略する。
【０２５３】
図３１は、本発明の第３の実施の形態の再帰再構成処理のフローチャートである。
【０２５４】
まず、管理サーバ５００は、一つの再構成対象フィルタＦ１を選択する（Ｓ７０１）。
【０２５５】
次に、管理サーバ５００は、Ｓ７０１で選択された再構成対象フィルタＦ１を再帰再構成対象フィルタに設定する（Ｓ７０２）。
【０２５６】
次に、管理サーバ５００は、Ｓ７０２で設定された再帰再構成対象フィルタから一つの再帰再構成対象フィルタＦ２を選択する（Ｓ７０３）。
【０２５７】
次に、管理サーバ５００は、設定対象ＮＷ装置・ポート選択処理を行う（Ｓ７０４）。設定対象ＮＷ装置・ポート選択処理の詳細は、図２０に示すフローチャートと同じであるため、説明を省略する。
【０２５８】
次に、管理サーバ５００は、Ｓ７０３で選択された再帰再構成対象フィルタＦ２についてフィルタ構成生成処理を行う（Ｓ７０５）。フィルタ構成生成処理の詳細は、図２１に示すフローチャートと同じであるため、説明を省略する。
【０２５９】
次に、管理サーバ５００は、Ｓ７０５で再構成されたフィルタから一つのフィルタＤＦ１選択する（Ｓ７０６）。
【０２６０】
次に、管理サーバ５００は、Ｓ７０６で選択されたフィルタＤＦ１が、再構成対象フィルタＦ１の再構成のポリシーを満たすか否か判定する（Ｓ７０７）。例えば、以下のようにして判定する。
【０２６１】
再構成のポリシーが単独再構成の場合には、フィルタＤＦ１が設定されるＮＷ装置１００と、再構成対象フィルタＦ１が設定されているＮＷ装置１００とが隣接していることによって、再構成のポリシーが満たされる。
【０２６２】
再構成のポリシーが送信元集約地点まで再帰再構成の場合には、図３に示すＩＰネットワーク構成情報５２２を参照し、再構成対象フィルタＦ１の全ての送信元が収容され、かつ、再構成対象フィルタＦ１が設定されているＮＷ装置１００から最も離れている（多くのＮＷ装置１００を中継して接続されている）ＮＷ装置１００を算出する。算出されたＮＷ装置と、フィルタＤＦ１が設定されるＮＷ装置１００とが同じである場合、再構成のポリシーが満たされる。
【０２６３】
再構成のポリシーが送信元集約地点まで再帰再構成の場合には、図３に示すＩＰネットワーク構成情報５２２を参照し、端末グループ２００に直接接続されているＮＷ装置１００を算出する。算出されたＮＷ装置１００と、フィルタＤＦ１が設定されるＮＷ装置１００とが同じである場合、再構成のポリシーが満たされる。
【０２６４】
フィルタＤＦ１が再構成対象フィルタＦ１の再構成ポリシーを満たさない場合には、フィルタＤＦ１に再構成を行う必要があるため、処理はＳ７０８に進む。一方、フィルタＤＦ１が再構成対象フィルタＦ１の再構成ポリシーを満たす場合には、処理はＳ７０９に進む。
【０２６５】
Ｓ７０８では、管理サーバ５００は、フィルタＤＦ１を再帰再構成フィルタに追加する（Ｓ７０８）。そして、処理はＳ７０９に進む。
【０２６６】
次に、管理サーバ５００は、Ｓ７０６で再構成されたフィルタを全て選択したか否かを判定する（Ｓ７０９）。
【０２６７】
再構成されたフィルタを全て選択していない場合には、処理はＳ７０６の処理に戻る。一方、再構成されたフィルタを全て選択した場合には、処理はＳ７１０に進む。
【０２６８】
次に、管理サーバ５００は、再帰再構成フィルタが追加されていないか否かを判定する（Ｓ７１０）。
【０２６９】
再帰再構成フィルタが追加された場合には、追加された再帰再構成フィルタに再構成を行うため、追加された再記載構成フィルタを再び再記載構成対象フィルタに設定して、処理はＳ７０３の処理に戻る。一方、再帰再構成フィルタが追加されていない場合には、処理はＳ７１１に進む。
【０２７０】
次に、管理サーバ５００は、再帰再構成フィルタが全て選択されたか否かを判定する（Ｓ７１１）。
【０２７１】
再帰再構成フィルタが全て選択されていない場合には、処理はＳ７０３の処理に戻る。一方、再帰再構成フィルタが全て選択された場合には、処理はＳ７１２に進む。
【０２７２】
次に、管理サーバ５００は、フィルタの設定対象となるＮＷ装置１００に設定されているフィルタのエントリの数を確認する（Ｓ７１２）。具体的には、フィルタの設定対象となるＮＷ装置１００に、既存に設定されているフィルタ数と再構成して設定されるフィルタ数との合計が、各ＮＷ装置１００に設定可能なフィルタ数よりも小さいか否かを判定する。
【０２７３】
各ＮＷ装置１００に設定可能なフィルタ数よりも大きい場合には、処理は、Ｓ７１３に進む。一方、各ＮＷ装置１００に設定可能なフィルタ数よりも小さい場合には、処理はＳ７１４に進む。
【０２７４】
Ｓ７１３では、管理サーバ５００は、一つ前までに再構成された再構成対象フィルタの処理を有効にして処理を終了するため、容量を超えたフィルタエントリである「Ｆ２」の再構成の内容を破棄する（Ｓ７１３）。そして、処理は終了する。
【０２７５】
Ｓ７１４では、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ７１４）。
【０２７６】
再構成対象フィルタを全て選択していない場合には、処理はＳ７０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、処理は終了する。
【０２７７】
＜第４の実施の形態＞
本発明の第４の実施の形態のネットワークシステムについて、図３２及び図３３を用いて説明する。
【０２７８】
第４の実施の形態は、管理者用端末７００が、フィルタの設定対象となるＮＷ装置１００とポートとフィルタエントリの内容とを指定し、管理サーバ５００にフィルタの設定を要求し、管理サーバ５００は、指定されたフィルタを再構成することによって他のＮＷ装置１００に指定されたフィルタを分散させ、分散させたフィルタの構成をＮＷ装置１００に設定する点が特徴である。
【０２７９】
図３２は、本発明の第４の実施の形態のフィルタ再構成処理のシーケンス図であり、図３３は、本発明の第４実施形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【０２８０】
まず、管理者用端末７００は、管理サーバ５００に、ネットワークの構成情報を更新するよう要求する（Ｓ８０１）。
【０２８１】
次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４）。この処理は、図１７ＡのＳ１０４の処理と同じであり、Ｓ１０４の処理から、Ｓ１１８のフィルタエントリ情報登録処理までは、第１の実施の形態の図１７Ａに示すＳ１０４からＳ１１８までの処理と同じであるため、説明を省略する。
【０２８２】
次に、管理サーバ５００は、管理者用端末７００にネットワーク構成情報の更新が完了したことを通知する（Ｓ８０２）。
【０２８３】
次に、管理者用端末７００は、図３３に示すメッセージ（フィルタエントリ新規追加要求）を用いて、管理サーバ５００にフィルタエントリを新規に追加するよう要求する（Ｓ８０３）。Ｓ８０３で用いるメッセージには、フィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容が含まれる。
【０２８４】
なお、フィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリを指定する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図３４に示す。
【０２８５】
次に、管理サーバ５００は、要求されたフィルタエントリを再構成対象フィルタとし、再帰再構成処理を行う（Ｓ６０１）。Ｓ６０１の処理は、第３の実施の形態の図２９のＳ６０１の処理と同じであり、Ｓ６０１以降の処理も図２９に示す処理と同じであるため、説明を省略する。
【０２８６】
図３４は、新規に追加されるフィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。
【０２８７】
入力インターフェースは、設定対象となるＮＷ装置１００の入力欄、フィルタの設定対象となるポートの入力欄、及び、フィルタエントリの入力欄を含み、「ＯＫ」のボタンを操作することによって、設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容を指定して管理サーバ５００に要求される（Ｓ８０３）。
【図面の簡単な説明】
【０２８８】
【図１】本発明の第１の実施の形態のネットワークシステムの構成を示す図である。
【図２】本発明の第１の実施の形態の管理サーバのブロック図である。
【図３】本発明の第１の実施の形態のＩＰネットワーク構成情報を説明する図である。
【図４】本発明の第１の実施の形態の物理構成情報テーブルである。
【図５】本発明の第１の実施の形態の再構成対象フィルタ数情報テーブルである。
【図６】本発明の第１の実施の形態の最大フィルタ数情報テーブルである。
【図７】本発明の第１の実施の形態の機種情報テーブルである。
【図８】本発明の第１の実施の形態のフィルタタイプ情報テーブルである。
【図９】本発明の第１の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。
【図１０】本発明の第１の実施の形態のフィルタエントリ情報テーブルである。
【図１１】本発明の第１の実施の形態の設定履歴情報テーブルである。
【図１２】本発明の第１の実施の形態のＮＷ装置のブロック図である。
【図１３】本発明の第１の実施の形態のフィルタエントリ情報テーブルである。
【図１４】本発明の第１の実施の形態の物理接続情報テーブルである。
【図１５】本発明の第１の実施の形態のＶＬＡＮ情報テーブルである。
【図１６】本発明の第１の実施の形態の経路情報テーブルである。
【図１７Ａ】本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。
【図１７Ｂ】本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。
【図１８】本発明の第１の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【図１９】本発明の第１の実施の形態の再構成対象フィルタ選択処理のフローチャートである。
【図２０】本発明の第１の実施の形態の設定対象ＮＷ装置・ポート選択処理のフローチャートである。
【図２１】本発明の第１の実施の形態のフィルタ構成生成処理のフローチャートである。
【図２２】本発明の第２の実施の形態のフィルタ再構成処理のシーケンス図である。
【図２３】本発明の第２の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【図２４】本発明の第２の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。
【図２５】本発明の第３の実施の形態の管理サーバのブロック図である。
【図２６】本発明の第３の実施の形態のフィルタタイプ情報テーブルである。
【図２７】本発明の第３の実施の形態の再構成ポリシー情報テーブルである。
【図２８】本発明の第３の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。
【図２９】本発明の第３の実施形態の設定履歴情報テーブルである。
【図３０】本発明の第３の実施の形態のフィルタ再構成処理のシーケンス図である。
【図３１】本発明の第３の実施の形態の再帰再構成処理のフローチャートである。
【図３２】本発明の第４の実施の形態のフィルタ再構成処理のシーケンス図である。
【図３３】本発明の第４実施形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。
【図３４】本発明の第４の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。
【符号の説明】
【０２８９】
１００  ＮＷ装置
２００  端末グループ
５００  管理サーバ
７００  管理者用端末
【図１】
0004964735.tif 000002
【図２】
0004964735.tif 000003
【図３】
0004964735.tif 000004
【図４】
0004964735.tif 000005
【図５】
0004964735.tif 000006
【図６】
0004964735.tif 000007
【図７】
0004964735.tif 000008
【図８】
0004964735.tif 000009
【図９】
0004964735.tif 000010
【図１０】
0004964735.tif 000011
【図１１】
0004964735.tif 000012
【図１２】
0004964735.tif 000013
【図１３】
0004964735.tif 000014
【図１４】
0004964735.tif 000015
【図１５】
0004964735.tif 000016
【図１６】
0004964735.tif 000017
【図１７Ａ】
0004964735.tif 000018
【図１７Ｂ】
0004964735.tif 000019
【図１８】
0004964735.tif 000020
【図１９】
0004964735.tif 000021
【図２０】
0004964735.tif 000022
【図２１】
0004964735.tif 000023
【図２２】
0004964735.tif 000024
【図２３】
0004964735.tif 000025
【図２４】
0004964735.tif 000026
【図２５】
0004964735.tif 000027
【図２６】
0004964735.tif 000028
【図２７】
0004964735.tif 000029
【図２８】
0004964735.tif 000030
【図２９】
0004964735.tif 000031
【図３０】
0004964735.tif 000032
【図３１】
0004964735.tif 000033
【図３２】
0004964735.tif 000034
【図３３】
0004964735.tif 000035
【図３４】
0004964735.tif 000036