JP2005033391A

JP2005033391A - 要求とその応答の相関を利用したネットワーク監視装置

Info

Publication number: JP2005033391A
Application number: JP2003194695A
Authority: JP
Inventors: Naomichi Nonaka; 尚道野中; Atsushi Tsunehiro; 敦常弘; Kazuhiro Kusama; 一宏草間
Original assignee: Hitachi Ltd; Hitachi Hybrid Network Co Ltd
Current assignee: Hitachi Ltd; Hitachi Information Technology Co Ltd
Priority date: 2003-07-10
Filing date: 2003-07-10
Publication date: 2005-02-03
Anticipated expiration: 2023-07-10
Also published as: JP4020835B2

Abstract

【課題】ネットワーク機器の設定を自動化するために、ブロードキャスト・マルチキャストフレームを利用する場合、機器の設定ミスや故障により、パケット数が増加し、ネットワークの帯域を圧迫し、ネットワークに影響を与えることがある。
【解決手段】複数のネットワーク端末と、パケットを中継する複数の中継装置と、ネットワーク端末と中継装置を接続する伝送路からなる通信ネットワークにおいて、伝送路を介して中継装置間に確立される通信路を監視対象とし、監視対象となる通信路を伝播するパケットを捕獲し、そのパケットの中から、要求と応答が対となるプロトコルのパケットを検出し、各プロトコルについて要求数と応答数、２つのカウンタを持ち、一定周期で２つの値の相関を算出する方法を持ち、算出した結果と閾値を比較し、ネットワークの障害を検出する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワーク管理の際の監視・管理技術に関する。
【０００２】
【従来の技術】
元来近距離の通信技術であったＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）を、高速、安価な広域の通信手段として用いる例が増加している。ＬＡＮ技術はＩＳＯで定められたネットワーク階層モデルにおいてレイヤ２（データリンク層）に位置づけられていることから、ＬＡＮ技術を用いたネットワークはレイヤ２網と呼ばれている。このレイヤ２網上において最も多く利用されている技術がＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）であり、ネットワーク階層モデルにおいてはレイヤ３（ネットワーク層）に位置づけられている。
【０００３】
レイヤ２網、レイヤ３網（ＩＰ網）において、接続されている機器同士の通信を実現可能とするための設定を自動化する手法として、ブロードキャストまたはマルチキャストフレームを利用する方法が用いられている。例としては、レイヤ２網とＩＰ網との間のアドレス解決を行うＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）、ＮＤＰ（ＮｅｉｇｈｂｏｒｈｏｏｄＤｉｓｃｏｖｅｒｙＰｒｏｔｏｃｏｌ）や、ＩＰ網におけるアドレスを動的に割り当てるＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）などが挙げられる。ＡＲＰはレイヤ２アドレスとＩＰｖ４（ＩＰｖｅｒｓｉｏｎ４）アドレスを結び付けるための技術で、ＲＦＣ８２６としてＷＥＢ上で公開されている。ＮＤＰはレイヤ２アドレスとＩＰｖ６（ＩＰｖｅｒｓｉｏｎ６）アドレスを結び付けるための技術で、ＲＦＣ２４６１としてＷＥＢ上で公開されている。ＤＨＣＰは動的にＩＰｖ４アドレスを割り当てるための技術で、ＲＦＣ２１３１としてＷＥＢ上で公開されている。
【０００４】
ブロードキャストまたはマルチキャストフレームを利用する際の問題として、機器の設定ミスや故障により、これらのパケット数が増加し、ネットワークの帯域を圧迫することで、ネットワークに影響を与えることが存在する。
【０００５】
この問題に対して、従来技術として、非特許文献１の記載の方法が知られている。この方法ではネットワーク上を流れるパケットを全て捕獲し、その中から該当するパケットについて選択し、ユーザがパケットの内容から、障害の原因であるか判断する。
【０００６】
また、特許文献１にはブロードキャストまたはマルチキャストフレームについて単位時間あたりのパケット数を監視し、ユーザが設定した閾値を越えたら、警告メッセージを送信するという方法が記載されている。
【０００７】
【非特許文献１】
Ｖ．Ｊａｃｏｂｓｏｎ他２名、”ｔｃｐｄｕｍｐ”、［ｏｎｌｉｎｅ］、１９８９年６月、ｔｃｐｄｕｍｐ．ｏｒｇ、［平成１５年４月２４日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｔｃｐｄｕｍｐ．ｏｒｇ／ｔｃｐｄｕｍｐ＿ｍａｎ．ｈｔｍｌ＞
【特許文献１】
米国特許第６１８２１５７号明細書
【０００８】
【発明が解決しようとする課題】
ＬＡＮ技術が広域網で使用されることにより、同一ＬＡＮ上に接続されるホストの数が増加、または一つホストが通信をするホスト数が増加することになり、正常なブロードキャストまたはマルチキャストフレームが増加することが予想される。
【０００９】
しかしながら、捕獲したパケット１つ１つについてユーザが内容を確認する非特許文献１の手法では、パケット数が増加することにより、作業は困難になると考えられる。
【００１０】
また、ブロードキャストまたはマルチキャストフレームの数量のみを監視する特許文献１の方法では、パケット数の増加の原因が、ホスト数の増加によるものか、機器の設定ミスまたは故障によるものか判断できず、閾値を適切に設定することが困難になることが予想される。
【００１１】
【課題を解決するための手段】
本発明は、ＬＡＮ技術の広域網利用におけるネットワーク障害を確実に検出する技術を提供する。
【００１２】
本発明では、ネットワークを流れるパケットを捕獲し、その中から要求と応答が対になるプロトコルのパケットを検出し、一定時間毎にそれらのパケットについて要求数と応答数をカウントする。次に要求数と応答数の相関を計算し、計算した結果、ユーザが設定した閾値を越えていたならば警告メッセージを送信する。
【００１３】
上記の通り、要求数と応答数の相関を利用することにより、閾値の設定が容易になり、障害の原因を絞り込むことが可能となる。
【００１４】
【発明の実施の形態】
以下、本発明の実施形態に図面を用いて詳細に説明する。
【００１５】
本実施形態は、複数のネットワーク端末と、複数の中継装置から構成されるネットワークの監視に関する。ネットワーク端末とは、パケットの作成、および受信し処理を実施する機器を指す。また、中継装置とは、プロトコル、ネットワーク階層モデルに関係なく、複数の通信ポートを持ち、各ポートに入力されたパケットを、プロトコルに応じたアドレスに従って、他の一つ或いは複数のポートへ出力する機器を指し、例えばレイヤ２アドレスに従いパケットを中継するレイヤ２スイッチ（以下、Ｌ２ＳＷという）、ＩＰパケットを転送するＩＰルータ、ｈｔｔｐ（ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ、ＲＦＣ１９４５）を中継するｈｔｔｐプロキシ装置等がある。なお、監視対象ネットワークを構成するネットワーク端末、中継装置の台数、およびトポロジは任意である。
【００１６】
以下においてＬ２ＳＷから構成されたネットワークにおいて、ＡＲＰの監視を実施する監視システムを例として、説明する。
【００１７】
まず、図１を用いて監視装置を適用した監視システムの全体構成を説明する。本監視システムでは、ネットワークを構成する３つのＬ２ＳＷ３ａ、３ｂ、３ｃのうち、２つのＬ２ＳＷ３ａ、３ｂ間のトラフィックを構成するパケットを捕捉するものとする。１つのＬ２ＳＷには、複数のネットワーク端末が接続されている。
【００１８】
図１においては、Ｌ２ＳＷ３ａに、ネットワーク端末４ａからネットワーク端末４ｃまでが接続されているが、接続される端末数に制限はない。同様に、Ｌ２ＳＷ３ｂにはネットワーク端末４ｄからネットワーク端末４ｆまで接続されているが、端末数に制限はない。これらのネットワーク端末は２つのＬ２ＳＷ３ａ、３ｂを通して通信を実施する。
【００１９】
ネットワーク端末４ａからネットワーク端末４ｄへ通信を実施する際、ネットワーク端末４ａからネットワーク端末４ｄのレイヤ２アドレスのを取得するために、ＡＲＰリクエストパケットを送信する。ＡＲＰリクエストパケットを受信したネットワーク端末４ｄは、リクエストを送信したネットワーク端末４ａへＡＲＰリプライパケットを返信する。これとは逆に、ネットワーク装置４ｄからリクエストを要求し、ネットワーク装置４ａがリプライを返信する場合も存在する。これらのトラフィックを計測するために、Ｌ２ＳＷ３ａ、３ｂの間に分岐装置５を用いて、Ｌ２ＳＷ３ａ、３ｂ間のトラフィックを監視装置１へ送信する。もしくは、Ｌ２ＳＷ３ａまたは３ｂから、ミラーリング機能を用いて監視トラフィックを監視装置１へ送信する方法も存在する。
【００２０】
オペレータ端末２は監視装置１と接続され、監視装置１からの警告メッセージを受信、または監視装置１へ監視周期間隔、閾値の設定を実施する。ただし、監視装置１は直接操作、警告メッセージを表示することが可能であり、必ずオペレータ端末２と接続する必要はない。
【００２１】
図２は、ネットワークを流れるパケットを捕獲し、ネットワークの状態を監視する監視装置１の構成を示したものである。監視装置１は、ネットワークから送られてきたパケットを受信する通信装置ａ１２ａと、ユーザの操作を受け付ける入力部１４と、操作結果および／または警告メッセージ等を表示する表示部１３と、所定の情報やプログラムが記憶される記憶装置１１と、プログラムを実行するためにプログラムをロード、または計算の結果を記録するメモリ１６と、メモリ１６にロードされたプログラムの実行、入力部１４、表示部１３、ハードディスクなどの記憶装置１１、通信装置ａ１２ａの制御を実施する中央処理装置（ＣＰＵ）１５と、バス等の内部通信線１７を含んで構成される処理装置である。また、必要に応じて、オペレータ端末２への警告メッセージを送信、オペレータ端末２からの制御メッセージを送信する通信装置ｂ１２ｂも含み構成される。
【００２２】
図３は、監視装置１にて実行される監視プログラム６の構成を示したものである。監視プログラム６は、受信したパケットがどのプロトコルに該当するか判断を実施するプロトコル種別判定プログラム６１、プロトコル種別判定プログラム６１において要求と応答が対となるプロトコルと判断された場合、要求または応答のどちらに該当するか判断を実施する要求／応答判定プログラム６２、パケットが要求（リクエスト）であった場合、そのパケット数をカウントする要求数カウンタ６３、パケットが応答（リプライ）であった場合、そのパケット数をカウントする応答数カウンタ６４、要求数と応答数の相関を計算する相関計算プログラム６５、計算した相関値が閾値を越えていないか判断する閾値判定プログラム６６、相関値が閾値を越えていた場合、オペレータ端末２に警告メッセージを送信、もしくは表示部１３に警告メッセージを表示する警告メッセージ送信プログラム６７から構成される。
【００２３】
要求／応答判定プログラム６２、要求数カウンタ６３、応答数カウンタ６４、相関計算プログラム６５、閾値判定プログラム６６は、監視を対象となるプロトコル毎に構成される。
【００２４】
また、上記各プログラムが備える各機能は、以下に説明するフローチャートに沿って各プログラムをＣＰＵ１５が実行することにより実現されるものである。
【００２５】
図４は監視装置が行う初期化処理を示している。
【００２６】
まず、ステップＳ１０１で要求数カウンタ６３のリセットを実施し、値を０にする。次にステップＳ１０２で応答数カウンタ６４のリセットを実施し、値を０にする。次にステップＳ１０３で監視装置起動時に警告メッセージを出力する際の閾値入力が、入力部１４から実施されているかチェックする。閾値が入力されている場合（ステップＳ１０３でＹｅｓ）はステップＳ１０５に進み、入力された値を閾値として設定する。入力が存在しない場合（ステップＳ１０３でＮｏ）はステップＳ１０４に進み、予め設定されている値を閾値として設定する。
【００２７】
次にステップＳ１０６で監視装置起動時に監視周期間隔の入力が存在するかチェックする。監視周期が入力されている場合（ステップＳ１０６でＹｅｓ）はステップＳ１０８に進み、入力された値を監視周期間隔として設定する。入力が存在しない場合（ステップＳ１０６ではＮｏ）はステップＳ１０７に進み、予め設定されている値を監視周期間隔として設定する。
【００２８】
図５は監視装置が行うパラメータ変更処理を示している。
【００２９】
まず、ステップＳ２０１で操作１４より閾値入力が存在するかチェックする。閾値が入力されている場合（ステップＳ２０１でＹｅｓ）はステップＳ２０２に進み、入力された値を閾値として設定し、ステップＳ２０３へ進む。閾値が入力されていない場合、何も実施せずにステップＳ２０３へ進む。ステップＳ２０３では、操作部１４より監視周期入力が存在するかチェックする。監視周期が入力されている場合（ステップＳ２０３でＹｅｓ）はステップＳ２０４に進み、入力された値を監視周期として設定し、ステップＳ２０５へ進む。監視周期が入力されていない場合、何も実施せずにステップＳ２０５へ進む。
【００３０】
ステップＳ２０５では、オペレータ端末１との通信を実施するかチェックを実施する。通信を実施する場合（ステップＳ２０５でＹｅｓ）には、ステップＳ２０６へ進む。通信しない場合（ステップＳ２０５でＮｏ）、ステップＳ２０１へ戻る。ステップＳ２０６では、監視装置１の通信装置ｂ２２ｂにおいてパケットを受信したかチェックする。パケットを受信した場合（ステップＳ２０６でＹｅｓ）ステップＳ２０７へ進む。パケットを受信していない場合（ステップＳ２０６でＮｏ）、ステップＳ２０１に戻る。
【００３１】
ステップＳ２０７では、受信したパケットが閾値設定を指示しているのかチェックを実施し、閾値設定を指示している場合（ステップＳ２０７でＹｅｓ）ステップＳ２０８に進み、受信した値を閾値として設定し、ステップＳ２０９に進む。閾値設定を指示していない場合（ステップＳ２０７でＮｏ）は何も実施せずにステップＳ２０９に進む。ステップＳ２０９では、受信したパケットが監視周期間隔設定を指示しているのかチェックを実施し、監視周期間隔設定を指示している場合（ステップＳ２０９でＹｅｓ）ステップＳ２１０に進み受信した値を監視周期間隔として設定し、ステップＳ２０１へ戻る。監視周期間隔設定が指示されていない場合（ステップＳ２０９でＮｏ）は何も実施せずに、ステップＳ２０１へ戻る。
【００３２】
この処理により、監視装置での入力、オペレータ端末１からのデータ受信により、閾値や監視周期間隔などの監視装置のパラメータを動的に変化させることを可能とする。
【００３３】
図６にプロトコル種別判定プログラム６１、要求／応答判定プログラム６２による要求数カウンタ６３、応答数カウンタ６４の更新処理を示す。
【００３４】
まず、ステップＳ３０１にて通信装置ａ１２ａがパケットを受信したか判断する。パケットを受信していると判断すれば、ステップＳ３０２に進み、受信していないと判断すれば、ステップＳ３０１に戻りパケットを受信したか判断を繰り返す。
【００３５】
ステップＳ３０２では、受信したパケットのプロトコルを特定する。ＡＲＰの場合、パケット内のＥｔｈｅｒＴｙｐｅフィールドの値が１６進数値で０８０６となる。次にステップＳ３０３へ進み、監視対象か判断をする。本実施例ではＡＲＰを監視対象としているため（ステップＳ３０３でｙｅｓ）、ステップＳ３０４へ進む。もし受信したパケットが監視対象でない、本実施例の場合、ＡＲＰ以外のパケットであれば（ステップＳ３０３でｎｏ）、ステップＳ３０１へ戻り、新たにパケットを受信していないか確認する。
【００３６】
ステップＳ３０２、ステップＳ３０３はプロトコル種別判定プログラム６１による処理に該当するが、プロトコルにより判断手法は異なるため、複数の判断手法を用いて、監視対象のプロトコルであるかチェックを実施する。
【００３７】
ステップＳ３０４では、受信したパケットについて要求パケットまたは応答パケットのどちらかであるか判断する。ＡＲＰの場合、パケット内のＯｐｃｏｄｅフィールドの値を参照することで、要求／応答の判断が実施できる。Ｏｐｃｏｄｅ値が１６進数で００００であれば要求（リクエスト）、１６進数で０００１であれば応答（リプライ）になる。受信したパケットが要求であれば（ステップＳ３０４で要求）、ステップＳ３０５に進み、要求数カウンタ６３の値に１を加算する。受信したパケットが応答であれば（ステップＳ３０４で応答）、ステップＳ３０６に進み、応答数カウンタ６４の値に１を加算する。
【００３８】
ステップＳ３０４は要求／応答判定プログラム６２による処理に該当するが、プロトコルにより要求／応答の判断手法は異なる。
【００３９】
図７に相関計算プログラム６５、閾値判定プログラム６６、警告メッセージ送信プログラム６７による閾値判定処理を示す。この処理は、図６で示した要求数カウンタ更新（ステップＳ３０５）、応答数カウンタ更新（ステップＳ３０６）に続いて、または並行して実行される。
【００４０】
まずＳ４０１にて現在の監視時刻が、指定された監視周期を越えていないかチェックする。ユーザが指定した一定周期間隔にて監視を実施することから、現在の監視時間が監視周期間隔を越えていたならば（ステップＳ４０１でｙｅｓ）、ステップＳ４０２へ進む。監視周期間隔を越えていない場合（ステップＳ４０２でｎｏ）、再びステップＳ４０１へ戻る、もしくは図６で示した処理を実施する。ステップＳ４０２においては要求数カウンタの値を取得し、次にステップＳ４０３へ進み応答数カウンタの値を取得する。
【００４１】
次にステップＳ４０４に進み、要級数と応答数、２つの値の相関を計算する。本実施例においては、ＡＲＰリクエストとＡＲＰリプライの比率を求めることから、計算式は要求数÷応答数、となる。ステップＳ４０４は相関計算プログラム６５による処理に該当するが、相関計算式はプロトコルや監視内容により異なる。
【００４２】
次にステップＳ４０５に進み、ステップＳ４０４で計算した値が、ユーザが設定可能な閾値を越えているか判断する。本実施例においては、閾値を１００とする。この値は、ＡＲＰリプライに対し、ＡＲＰリクエストが極端に多い状態であると判断し、ブロードキャストフレームとして送信されるＡＲＰリクエストによってネットワーク帯域が圧迫されている状態であると判断するために利用する。ステップＳ４０５は閾値判定プログラム６６による処理に該当する。
【００４３】
ステップＳ４０５において閾値を越えていれば（ステップＳ４０５でｙｅｓ）、ステップＳ４０６に進む。ステップＳ４０６は警告メッセージ送信プログラム６７による処理に該当し、通信装置ｂ１２ｂからオペレータ端末２へ警告メッセージの送信、もしくは表示部１４へ警告メッセージの表示を実行させる。オペレータ端末２へ警告メッセージの送信には、電子メール、ＳＮＭＰによるトラップなどを利用する。閾値を越えていない場合（ステップＳ４０５でｎｏ）、ステップＳ４０７で要求数カウンタ６３の値をクリア、ステップＳ４０８で応答数カウンタ６４の値をクリアし、ステップＳ４０９で監視時間を０に戻し、ステップＳ４０１に戻る、もしくは図６の処理を実施する。
【００４４】
このように本実施形態によれば、ＡＲＰリクエスト、ＡＲＰリプライ、２つの種類のパケットを監視することにより、ＡＲＰリクエストの増加によるネットワーク帯域の圧迫、という障害を検出することが可能となる。
【００４５】
また、ネットワークを流れるパケットについて監視し、監視対象のプロトコルについて、要求、応答、２つの状態のカウンタを持ち、その相関を計算、閾値判定に利用することにより、閾値設定が容易となる。
【００４６】
なお、本実施例においては、監視対象プロトコルとしてＡＲＰを例示しているが、ＮＤＰ、ＤＨＣＰも同様の方法にて監視を実施することが可能である。
【００４７】
【発明の効果】
本発明によれば、ネットワーク障害を確実に判断することが可能となる。
【図面の簡単な説明】
【図１】システム構成の一例を示す図である。
【図２】監視装置の構成を示すブロック図である。
【図３】監視プログラムの構成を示すブロック図である。
【図４】監視装置の初期設定処理を示すフローチャートである。
【図５】監視装置のパラメータ変更処理を示すフローチャートである。
【図６】プロトコル種別判定プログラム、要求／応答判断プログラム処理を示すフローチャートである。
【図７】相関計算プログラム、閾値判定プログラム、警告メッセージ送信プログラム処理を示すフローチャートである。
【符号の説明】
１・・・監視装置、２・・・オペレータ端末、３・・・レイヤ２スイッチ、４・・・ネットワーク端末、５・・・分岐装置、６・・・監視プログラム、１１・・・記憶装置、１２・・・通信装置、１３・・・表示部、１４・・・入力部、１５・・・ＣＰＵ、１６・・・メモリ、１７・・・バス等の内部通信線、６１・・・プロトコル種別判定プログラム、６２・・・要求／応答判定プログラム、６３・・・要求数カウンタ、６４・・・応答数カウンタ、６５・・・相関計算プログラム、６６・・・閾値判定プログラム、６７・・・警告メッセージ送信プログラム。

Claims

複数のネットワーク端末と、パケットを中継する複数の中継装置と、前記ネットワーク端末と前記中継装置を接続する伝送路からなる通信ネットワークにおいて用いる、ネットワーク監視装置であって、
前記伝送路を介して前記中継装置間に確立される通信路を監視対象とし、
監視対象となるプロトコルについて、前記監視対象となる通信路を伝播するパケットを捕獲し、
前記捕獲したパケットの中から、要求パケットと応答パケットを検出し、
一定周期で、要求パケット数と応答パケット数の相関を算出し、
前記算出した結果と予め定めた閾値とを比較してネットワークの障害を検出する。
請求項１記載のネットワーク監視装置において、
前記閾値の設定と、
前記要求パケットと前記応答パケットの検出と、
一定周期に行う、前記要求パケット数と前記応答パケット数との相関の算出と、
前記算出した結果と前記予め定めた閾値との比較によるネットワークの障害の検出と、を複数のプロトコル毎に行う。
請求項１記載のネットワーク監視装置において、
前記比較した結果、ネットワークの障害を検出したならば、警告メッセージを前記伝送路を介して接続されたオペレータ端末に送信するか、または当該ネットワーク監視装置に表示する。
請求項１記載のネットワーク監視装置において、
前記閾値を動的に変更する。
請求項４記載のネットワーク監視装置において、
前記伝送路を介して接続されたオペレータ端末から受信する閾値の設定パケットにしたがって、前記閾値を変更する。
請求項１記載のネットワーク監視装置において、
前記相関とは、要求数と応答数の比率である。
請求項１記載のネットワーク監視装置において、
相関計算、閾値比較を実施する監視周期間隔を、動的に変更可能とする。
請求項１記載のネットワーク監視装置において、
前記要求と応答が対となるプロトコルとはＡＲＰ（アドレス解決プロトコル）である。
請求項１記載のネットワーク監視装置において、
前記要求と応答が対となるプロトコルとはＮＤＰ（近傍探索プロトコル）である。
請求項１記載のネットワーク監視装置において、
前記要求と応答が対となるプロトコルとはＤＨＣＰ（動的アドレス割当プロトコル）である。