JP2005110182A - ネットワーク管理システム及び方法 - Google Patents

Abstract

【課題】ルータ等のネットワーク装置を共用するＶＰＮの集中管理用のネットワーク管理
サーバに対する複数の異なる管理端末からのアクセス集中を軽減する。
【解決手段】ネットワーク管理サーバに、管理端末間で相互アクセスを許可したグループ単位毎のアクセス許可管理テーブルの集合として構築される相互アクセス一元管理テーブルを構築し、各グループ内の管理端末は、自分の属するアクセス管理テーブルをダウンロードし、該アクセス管理テーブルに登録されたサーバ役・クライアント役のアクセスルール、パスワードを基に、クライアント役の管理端末は、サーバ役の管理端末が管理サーバから入手したネットワーク装置に関する監視情報を、入手する様にする。
【選択図】図１

Description

本発明は、ネットワーク管理のためのネットワーク装置からの監視情報収集やリモート制御、管理端末からのネットワーク管理データベース等へのアクセス管理などに使用する管理サーバの負荷軽減を実現するネットワーク管理システム及び方法に関するものである。

図１１は従来のネットワーク管理システムの全体構成例である。

図１１で、１００は、ＴＣＰ／ＩＰネットワーク、４１０Ａ、４１０Ｂ、４１０Ｃ（以下、代表呼称時４１０)は、ＴＣＰ／ＩＰネットワーク１００に組み込まれたルータ等のネットワーク装置、２００は、ＳＮＭＰ(Simple Network Management Protocol)を利用して、これらのネットワーク装置を集中管理する為の管理サーバ、３００は、管理サーバ２００に具備されたネットワーク管理データベース、１１０Ａ、１１０Ｂ、１１０Ｃ（以下、代表呼称時１１０）は、該管理サーバ２００にアクセスして、前記ネットワーク装置に係る監視情報を入手し、ネットワーク装置に制御情報の設定を行なったりするための企業毎のネットワーク管理者等が使用する管理端末である。

また、１０１、１０２、１０３は、管理サーバ２００と管理端末１１０間の通信路で、管理サーバ２００と管理端末１１０間の各種情報の授受に適した通信プロトコルが利用されている。

ここで、ネットワークは、ＶＰＮ(Virtual Private Network)など、複数の企業が、共用のネットワーク装置を利用して、企業内・企業グループ毎のネットワークが論理ネットワークとして構築されており、ＩＳＰ等のアウトソーシング企業が運用する共用の管理サーバを通して、各々の管理端末からリモート監視し、ポリシー設定・制御を行ったりしている。

管理サーバ２００は、ネットワーク装置４１０毎、定時毎に、ネットワーク装置４１０のあらかじめ定めたモニタ情報を、ポーリングや定時タイマ設定などの手法を使って、ネットワーク装置４１０から吸い上げ、ネットワーク管理データベース３００に蓄積する。

管理端末１１０は、管理サーバ２００を経由してネットワーク装置４１０からの監視情報を入手し、ネットワーク装置４１０に管理ポリシーに応じた各種設定を行なったりする。

これらの定時毎の情報は、ネットワーク管理データベース３００に、ネットワーク装置別、監視項目別、時系列順に蓄積され、該ネットワーク装置４１０を利用しているユーザの管理端末１１０に、定時毎に配信され、管理端末１１０のモニタ上に、青色表示等によって、ネットワーク装置４１０が正常動作の確認表示が行われる。

また、管理者による管理サーバ２００へのアクセスと選択指示に応じ、データベース３００に蓄積された指定範囲の履歴データがダウンロードされ、時系列トラフィック推移等のより詳しい動作状況のグラフ表示が行われる。

最も基本的なモニタ情報は、各装置が正常に動作しているかどうかで、正常動作時には、さらに、各ポート毎のトラフィック入出力量時間推移、誤りパケットの発生数、時間平均スループット、さらに必要に応じて、装置電源電圧、周囲温度等の情報も収集される。

ＶＰＮ等の如く共通のネットワーク装置４１０を、複数の企業体などが帯域をシェアしたりしながら共用する場合においては、管理サーバ２００は、複数の企業体毎の管理者が使用する管理端末１１０から、同じネットワーク装置４１０に対する要求が矛盾なく処理される様にする競合／排他制御機構を具備している。

この様に、管理サーバ２００を介して、複数の管理端末１１０がネットワーク装置４１０の情報を収集し、ネットワーク装置４１０に対して各種の制御を行なう場合、管理サーバ２００に管理端末１１０からの負荷が集中する。

とくに、ネックワーク装置４１０に故障や設定基準値を超えたパケット廃棄などの異常が発生した場合などは、管理サーバ２００は、前記ポーリングやネットワーク装置４１０へのトラップ設定などによって、該異常状況を検知し、関係の管理端末１１０に通知する。

これにともなって、管理端末１１０からの管理サーバ２００へのアクセス負荷が増大する。

管理対象とするネットワーク装置４１０の数が増え、ユーザ企業数も増え、管理端末１
１０の数が増えると、この傾向はますます激しくなり、管理サーバ２００とネットワーク
装置４１０間のトラフィックも増える。

とくに、ＶＰＮ等の如く、ネットワーク装置４１０を複数の異なる管理端末１１０が共同利用している場合には、同じネットワーク装置４１０に関する監視情報を、異なる管理端末１１０毎に、管理サーバ２００から或いは、管理サーバ２００を介して、ネットワーク装置４１０にアクセスして入手することになる。

このため、管理サーバ２００に対する負荷は、ネットワーク規模が増え、ユーザ企業の数すなわち管理端末１１０の数が増えるに従って増大する。

管理サーバ２００への負荷を分散させる手段として、ＣＯＲＢＡ（Common Object Request Broker Architecture）などの分散オブジェクト技術を利用して、複数の管理サーバに負荷分散し、管理サーバ２００の機能やサービスなどを異なるサブサーバに分散配備する方法もあるが、管理端末数の増加に伴う負荷軽減の根本策にはなっていない。

このため、管理端末数が増え、ネットワーク規模が増大すると、レスポンス等のサービス水準を一定レベルに保つ為に、サーバの処理能力アップが要求され、サーバの増設で対応しているのが現状である（特許文献１〜２）。
特開２０００−３３２７６８号公報 特開２０００−１５１５９８号公報 クレーグ・ハント著、村井純監訳「ＴＣＰ／ＩＰネットワーク管理」 （版３）、オーム社、２００３年

解決しようとする課題は、ネットワーク管理システム等の集中管理システムへの管理端末からの負荷集中を軽減する手段を提供することである。

上記課題を解決するための第１の発明は、「管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で管理
しているネットワーク管理システムにおいて、
相互アクセスを許可した特定グループ単位毎に前記管理端末相互間でネットワーク管理情報の共有と授受の一元管理を行なうた
めの前記管理サーバ内に構築した端末間アクセス一元管理テーブル、
該端末間アクセス一元管理テーブルを基に、前記管理端末との間で、管理情報の授受のための通信処理を行うサーバ処理手段、
該端末間アクセス一元管理テーブルの内、相互アクセスを許可した特定グループ内の前記管理端末毎に許可されたテーブル部分
を各管理端末内にダウンロードして作成した端末間アクセス管理テーブル、
各管理端末内に設けられ、 該端末間アクセス管理テーブルを基に、サーバ役に指定された管理端末とクライアント役に指定され
た管理端末の間で、ネットワーク管理情報の授受のための通信処理を行なう端末処理手段、を有することを特徴とするネットワー
ク管理システム。」を提供する。

本発明によれば、サーバ役の管理端末が管理サーバから入手したネットワーク管理情報をクライアント役の管理端末は、管理サ
ーバにアクセスすることなく、サーバ役の管理端末から入手することができる為、従来の如く、管理サーバに対して、複数の異なる管理端末が繰り返し、同じネットワーク管理情報を入手する為に、アクセスすることがなくなり、管理サーバに対するアクセス負荷の軽減を図れるシステムを実現できる
上記課題を解決するための、第2の発明は、「管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で
管理しているネットワーク管理方法において、
相互アクセスを許可した特定グループ毎の前記管理端末相互間でネットワーク管理情報の共有と授受の一元管理を行なうために、
前記管理サーバ内に、端末間アクセス一元管理テーブルを構築するステップ、
該端末間アクセス一元管理テーブルの内、相互アクセスを許可したグループ毎の前記管理端末に許可されたテーブル部分を管理
端末内にダウンロードして、端末間アクセス管理テーブルを作成するステップ、
該端末間アクセス管理テーブルと所定の通信手段を基に、サーバ役に指定された管理端末とクライアント役に指定された管理端
末の間で、ネットワーク管理情報の授受を行なうステップ、を有することを特徴とするネットワーク管理方法。」を提供する。

本発明によれば、異なる管理端末が、管理サーバに対して、同じネットワーク管理情報を要求する回数を軽減可能な方法を提供
することができる。

上記課題を解決するための、第３の発明は、「前記第１の発明において、前記端末間アクセス一元管理テーブルに、前記グループ
単位毎に、サーバ役、クライアント役の相互アクセス関係を定めた制御コードを含ませることを特徴とするネットワーク管理シス
テム。」を提供する。

本発明によれば、サーバ役、クライアント役の管理端末の相互アクセスに関して所定の制御ルールに応じた管理サーバと管理端
末間、管理端末相互間におけるネットワーク管理情報の授受を、自動的に誤りなく行うことが出来る。

本発明のネットワーク管理システム及び方法は、管理端末１１０相互間で、直接、必要な情報のやりとりを行なえる様にしたため、管理サーバ２００に対して異なる管理端末１１０が同じ情報を重ねて要求する回数が減り、管理サーバ２００の負荷の減少を図ることができる。

共通のネットワーク装置を管理する異なる管理端末間で、サーバ役、クライアント役となるアクセスを許可された管理端末間の相互アクセス関係を定めた端末間アクセス管理テーブルを、管理サーバ、管理端末に持たせ、該端末間アクセス管理テーブルに従って、サーバ役の管理端末が管理サーバから入手したネットワーク装置に係る管理情報を、クライアント役の管理端末はサーバ役の管理端末から入手する形態とする。

図１は、本発明のネットワーク管理システムの全体構成図である。図１で、３１０Ａ、３１０Ｂ、３１０Ｃ（以下、代表呼称時３１０）は、管理端末１１０Ａ、１１０Ｂ、１１０Ｃに、各々組み込まれ、管理端末間で、ネットワーク監視情報を、クライアントデータベース形式で、相互に授受するための端末間アクセス管理テーブルを併せ持ち、関連するネットワーク装置４１０の監視情報を蓄積するデータベース機能を持つ管理端末１１０内のネットワーク管理データベースである。

尚、ＶＰＮにおいてネットワーク装置を共用する企業グループは、複数グループあると想定され、その内、事前に相互の情報共有を取り決めた１グループ分（グループ識別番号１）を抜き出したものとする。また、グループ数は、最低１からの有限な値を有する。

さらに、管理端末１１０は、マルチタスク機能を持ち、サーバ役として、クライアントサーバモードによって管理端末間で情報のやりとりを行っている場合でも、管理端末固有のオンラインやスタンドアロンモードでの平行処理は可能なものとし、複数のクライアント役の管理端末からの同時アクセスに対し、待ち行列制御などの競合回避機構を有するものとする。

実際の運用においては、図１に表示された以外の複数のグループでも、グループ単位毎に管理された情報共有が行われるものとする。

図１における管理端末１１０内に組み込まれた端末データベース３１０及び、管理サーバ２００及び管理端末１１０に、新たに組み込まれた端末間情報共有のための追加機能によって、従来の管理サーバと管理端末間での情報授受に加えて、特定グループ毎の管理端末間での情報共有が実現される。

図２は、本発明に係る管理サーバ２００の機能ブロック図である。図２で、２１０は、端末間情報共有の為の相互アクセスの一元管理を行うための端末間アクセス一元管理テーブルの構築や更新、該端末間アクセス一元管理テーブルを基にしたサーバ役の管理端末１１０への監視情報の配信、要求情報のやりとり等を行う為のアクセス管理支援プログラム、２２０は、ネットワーク管理のためのネットワーク装置４１０や管理端末１１０との間の各種通信処理、ネットワーク管理データベース３００とのインタフェース処理などの各種処理を行う為のサーバ処理手段、２３０は、通信インタフェース、２４０は、監視情報の定時集信や配信、異常事態発などのイベント発生時対応処理、ネットワーク装置に対するポリシー設定・制御等のネットワーク管理処理を行う為のＮＭＳ(Network Management System)プログラム、２５０は、管理サーバの管理者が使用するＧＵＩインタフェース、プリンタ等を備えた入出力手段、３０２は、ネットワーク管理データベース３００内に新たに設けられた端末間の相互アクセス制御を行うための端末間アクセス一元管理テーブル、３０１は、ネットワーク装置の監視情報を蓄積する従来からのネットワーク管理テーブル、である。

端末間アクセス一元管理テーブル３０２と、ネットワーク管理テーブル３０１は、ネットワーク装置の識別ＩＤを共通キーとして、相互に関係づけられており、必要に応じ、ＳＱＬ検索言語によって、ネットワーク管理データベース３００内に蓄積された履歴データベースの条件検索等を行うことが出来る。

管理サーバ２００は、端末間アクセス一元管理テーブル３０２を基に、同じ企業グループに属するなどの理由で、管理端末間で、ネットワーク管理情報の共有を取り決めた企業グループなどのグループ単位毎に属する管理端末間で、どの端末をサーバ役にしどの端末をクライアント役にするかの一元管理を行う。

端末間でクライアントサーバモードで情報の共有を行う事をきめたグループに属する管理端末は、管理サーバ２００の該端末間アクセス一元管理テーブル３０２の内、該グループに係るアクセス管理を行う部分のグループ内の端末間アクセス管理テーブルの部分のみをダウンロードコピーし、該グループ内アクセス管理テーブルを基にネットワーク管理情報の相互共有化処理を行う。

サーバ処理手段２２０は、前記管理支援プログラム２１０によって、誤って別のグループや悪意の第三者に、該グループ内アクセス管理テーブルがダウンロードされない様に、アクセスや監視情報ダウンロード時に、事前に登録された管理端末のグループＩＤ、端末ＩＤ、パスワードを基に照合チェック管理を行う。

ＩＤ、パスワード、の交換は、ＩＤ、パスワードを受け取る側が発行した公開鍵を使った公開鍵暗号化法を使ってグループ以外の第三者に対する秘密性を保持しセキュリティを確保しながら行う。

ネットワーク監視情報部分についても、暗号化鍵を公開鍵暗号化法で送る事によって、他のグループ等の第三者から盗聴されない様にする。

運用開始後に頻繁に交換されるネットワーク監視情報部分については、情報量が多く、サーバ処理手段２２０に与える処理負荷が大きな場合は、公開鍵暗号を使って、暗号化負担が少なくて済む共通の秘密暗号化鍵を相互に交換し、この共通の秘密暗号化鍵を使って情報交換を行う様にしても良い。

また、前記端末間アクセス一元管理テーブル３０２には、主サーバ役の端末が故障などの理由で使用不能となった場合、代理役となる副サーバ役の端末をどれにするかなどの相互アクセスネットワーク構成に関する情報、管理端末１１０間で、相互アクセスを行う場合の管理端末毎のＩＤやパスワードを、グループ単位毎に、蓄積する。

該端末間アクセス一元管理テーブル３０２は、運用ルールとして、事前にサーバ役、クライアント役の管理端末を定め、管理サーバの管理者が入力手段２５０を用いて入力し、各管理端末からのオンライン申告との照合・確認・修正を経て構築され、実際運用に移される。

この時も、相互の公開鍵暗号化法によるセキュリティを確保した情報交換によって、端末間アクセス一元管理テーブルの構築が行われる。

さらに、端末間アクセス一元管理テーブル３０２は、ＶＰＮネットワークの増設やオフィス移動に伴う管理端末のＩＰアドレス変更などの際に、必要に応じて随時、更新管理が行われる。

管理端末間で、クライアントサーバ形式で、情報の共有処理を行う特定のグループに属する管理端末１１０は、管理サーバ２００にアクセスして、ＩＤ、パスワードを入力して、管理サーバ２００から、自分の属する該特定グループに関する部分の端末間アクセス管理テーブルをダウンロードし、該端末間アクセス管理テーブルを基に、管理端末間でクライアントサーバモードによって、監視情報の授受を行う。

図３は、本発明に係る管理端末１１０の機能ブロック図である。

図３で、１１１は、通信インタフェース、１１２は、端末相互間のアクセス認証や情報交換などの各種通信処理やデータベース３１０とのデータ変換処理などを行うための端末処理手段、１１３は、端末処理手段１１２が、端末間で所定の処理ルールに従ってクライアントサーバモードで、監視情報などの授受を行うための処理プログラム、１１４は、管理端末の管理者がＧＵＩインタフェース等を使って、管理サーバ２００や他の管理端末１１０から必要な管理情報を入手し、表示確認を行う為の入出力手段、３１２は、管理サーバ２００における前記端末間アクセス一元管理テーブル３０２の内、グループ内の端末間アクセス一元管理テーブル部分のみをダウンロードし、これを基に作成した端末間アクセス管理テーブル、３１１は、ネットワーク管理情報を蓄積するネットワーク管理テーブル、である。

ネットワーク管理テーブル３１１へのネットワーク管理情報は、通常、サーバ役の管理端末１１０は、管理サーバ２００から入手し、クライアント役の管理端末１１０は、
サーバ役の管理端末１１０から入手することによって行われる。

また、ネットワーク管理テーブル３１１は、ネットワーク装置の識別コードを関係キーとして、端末間アクセス管理テーブル３１２と関係づけられており、クライアント役の管理端末が条件検索を行ったりするために役立つ。

図４は、端末間アクセス一元管理テーブル３０２の構成例である。図４で、ＧｒＩＤはネットワーク管理情報の共有化を行うグループ識別コード、端末ＩＤは管理端末の識別コード、ＰＷＤは管理端末のパスワード、ＩＰは管理端末のＩＰアドレス、ＮＷＩＤは各管理端末が管理対象とするネットワーク装置の識別コード、ＳＶＣＬは各管理端末がサーバとなるかクライアントとなるか、相互のアクセス関係の制御を行う為の動作モード識別コード、ＰＫＥＹは各管理端末が発行する公開鍵である。

セキュリティの確保のため、ネットワーク構成の見直しに伴う端末間アクセス一元管理テーブルの見直しの都度、または、必要に応じて定期的または随時公開鍵も更新される。

動作モード識別コードＳＶＣＬに関して、例えば、管理端末１１０Ａの行で、ＳＶＣＬ＝１００の最初の１０は、１１０Ａが管理端末間情報交換時にはサーバ役として動作すること、管理端末１１０Ｂの行で、ＳＶＣＬ＝０１０の最初の０１はサブサーバ、したがってサーバ役の管理端末１１０Ａが故障や保守等のため使用出来ない場合は、代わってサーバ役として動作し、常時はクライアントとして動作すること、管理端末１１０Ｃの行で、ＳＶＣＬ＝００１の最初の００は、クライアントとして動作することを示す。

また、管理端末１１０Ａの行で、ＳＶＣＬ＝１００の最後の０は、管理サーバ２００をサーバとして情報の授受を行うこと、管理端末１１０Ｂ、１１０Ｃの行でＳＶＣＬの最後のビットが１となっているのは、管理端末１１０Ａをサーバとして、監視情報の授受を行うことを意味する。

図４の例では、管理対象とするネットワーク装置や管理端末数が少なく、管理端末１１０Ａがグループ１に属するネットワーク装置を全て管理している事例のため、管理端末Ｂ、管理端末Ｃは、管理端末１１０Ａをサーバとして、ネットワーク装置４１０Ａ、４１０Ｂ、あるいは、ネットワーク装置４１０Ａ、４１０Ｃの監視情報を取得すれば良い。

しかし、実際のＶＰＮでは、ネットワーク装置の数も、管理端末数も多数となり、ネットワーク形態も複雑となるため、サーバ役、サブサーバ役の管理端末も複数必要となり、同じネットワーク装置を管理対象とするサーバ役の管理端末を複数設ける必要が生ずる。

また、管理単位上、サブグループ別に、階層別に管理端末のアクセス管理を行った方が良い場合なども考えられる。

その様な場合は、管理サーバと管理端末間、管理端末間の相互アクセスルールを定める制御コードとなる動作識別コードＳＶＣ
Ｌの管理項目別のビット数とトータルビット数を増やし、階層型のコード構成とすることによって、容易に対応することが出来る。

なお、この端末間アクセス一元管理テーブル３０２を用いた管理端末１１０間の情報授受を運用の原則とし、通常時は、自動的に端末間で情報の授受が行われるが、サーバ役の管理端末１１０が故障した直後など、緊急の必要上などの際は、従来通り、各管理端末１１０から管理サーバ２００への直接アクセスを許すものとする。これによって、運用上の柔軟性が担保される。

これらの処理は、管理者の要求に応じて、前記端末処理手段１１２が動作モードを切り換えて、アクセス先サーバをサーバ役の管理端末１１０Ａから管理サーバ２００に切り換えることによって実現される。

図4に示す如く、端末間アクセス一元管理テーブル３０２は、ネットワーク装置４１０を全部又は一部共用する事によって、ネットワーク装置４１０の監視情報の相互共有の取決めを行った複数の企業・機関によるグループ単位毎の端末間アクセス管理テーブル３１２構築のためのダウンロード部分が、複数テーブル集まって構成されている。

端末間アクセス一元管理テーブル３０２は、最初の構築の場合の各管理端末からの申請・照合・修正と同様の手順で、グループコードと管理端末ＩＤ、パスワードを基に、各管理端末１１０が管理サーバ２００にアクセスし、登録・更新モードに切替え、オンラインでデータの登録、更新を行うことが出来る。

また、端末間アクセス一元管理テーブル３０２の内、更新されたグループのグループ内アクセス管理テーブル３１２に対応する部分は、管理サーバ２００から、該グループに属する管理端末に通知がなされ、ダウンロードされ、各管理端末の端末間アクセス管理テーブル３１２の更新が自動的に同期して行われる。

図５は、端末間アクセス管理テーブル３１２の例である。

特定グループ内の 端末間アクセス管理テーブル３１２は、図４の端末間アクセス一元管理テーブル３０２から、特定グループ分を抽出したテーブルを基に構築する。

図５で、端末間アクセス管理テーブル３１２は、端末間アクセス一元管理テーブル３０２から特定グループに属する部分の管理テーブルをダウンロードした部分を基に構築され、ＳＶは、動作モード識別コードＳＶＣＬの右端の３ビット目から導かれたアクセス先のサーバを直接明示しており、管理端末１１０Ａが管理サーバ２００を、管理端末１１０Ｂ、１１０Ｃが管理端末１１０Ａをサーバとして、相互アクセスを行うことを示している。

また、最新アクセス時刻は、各々のサーバにクライアントとしての管理端末がアクセスした最新時刻を示している。

端末間アクセス管理テーブル３１２を基に、同じグループ内の管理端末間で、サーバクライアントモードで、公開鍵暗号化法を用いて、他グループなど外部からの盗聴に対してセキュリティを確保しながら、管理情報のやりとりが行える。

グループ１のメインサーバ役の管理端末１１０Ａが故障や保守などの事情で使用が出来なくなったことを、管理サーバ２００がＳＮＭＰのトラップや管理端末１１０Ａとの対話によって確認した場合には、端末間アクセス一元管理テーブル３０２のグループ１に対するテーブル部分の更新を行う。

また、グループ内アクセス管理テーブルを、サブサーバ１１０Ｂをメインサーバとする新たな管理テーブルに更新する様に、グループ１内の他の管理端末１１０Ｂ、１１０Ｃに連絡する。

管理端末１１０Ｂ、１１０Ｃは、新たな端末間アクセス管理テーブル３１２を管理サーバ２００のからダウンロードし、管理端末１１０Ｂをサーバとし、管理端末１１０Ｃは、サーバ役の管理端末を管理端末１１０Ａから管理端末１１０に切り替えて、監視を続ける。

管理端末１１０Ｂは、管理端末１１０Ａの代役となる為、管理サーバ２００から、管理端末１１０Ａと同様に、グループ１の管理端末１１０が監視対象とするネットワーク装置４１０Ａ、４１０Ｂ、４１０Ｃ全ての監視情報を収集しネットワーク管理テーブル３１１に蓄積する。

メインサーバ役の管理端末１１０Ａが復帰した場合も同様の過程を経て、管理端末１１０Ａがサーバ役に復帰する。

図６は、ＶＰＮにおけるネットワーク装置の共用構成例である。

図６で、ネットワーク装置４１０Ａ、４１０Ｂ、４１０Ｃは、管理端末１１０Ａ、ネットワーク装置４１０Ａ、４１０Ｂは、管理端末１１０Ｂ、ネットワーク装置４１０Ａ、４１０Ｃは、管理端末１１０Ｃの監視制御対象下にあって、管理サーバ２００を介して、監視・制御されている。

管理サーバ２００はサービスキャリア等が設置し、管理端末１１０Ａ、１１０Ｂ、１１０Ｃは、企業・機関のオフィス等に設置され、分散設置される場合、企業グループ単位で同じオフィスサイトに設置される場合などが考えられる。

図７は、アクセス管理テーブルの構築と管理端末間での情報授受の処理フロー例である。

図７で、ステップＳ１で、端末間アクセス一元管理テーブル３０２の構築が各グループ単位毎に行われる。

端末間アクセス一元管理テーブル３０２の構築は、管理サーバ２００の管理者によるサーバ処理手段２２０と入出力手段２５０を使ったデータ入力、各管理端末１１０からのオンラインアクセス入力結果との照合・確認・必要に応じた修正等のステップを経て、厳重なチェックを行って構築される。

この際、サーバ処理手段２２０は、管理者からの指示を受け、入出力手段２５０のグラフィック対話機能を使い、ネットワーク装置４１０をノードとして含むＶＰＮネットワーク、管理端末におけるサーバとクライアント相互関係をグラフィック表示させる。

また、アクセス管理支援プログラム２１０は、この様にして、構築された端末間アクセス一元管理テーブル３０２に、管理サーバと管理端末間、管理端末間の相互アクセス関係において、重複や脱落がないか、とくに、テーブル中の動作モード識別コードによって定義されるサーバ・クライアント関係に矛盾がないかの自動チェックを行う。

また、各管理端末１１０からのオンラインの登録申告結果と、登録結果の照合を行い、矛盾がないかを確認し、矛盾がある場合は、登録申請を行った管理端末１１０を通じて管理者との調整を行い、必要時は、端末間アクセス一元管理テーブル３０２の修正・更新を行う。

なお、ＶＰＮネットワークの拡張・更新に伴う端末間アクセス一元管理テーブル３０２の更新の場合も同様である。

端末間アクセス一元管理テーブル３０２の構築は、本発明のシステム運用上のポイントであるため、公式文書や公式伝達メールを基にした管理サーバ側での構築と管理端末側からのオンライン申告の照合確認方式をとったが、システム運用上、十分に信頼性の保証があれば、サーバ側構築方式あるいはオンライン申告のいずれかに絞り込んでも良い。

オンライン申告方式に一本化する場合は、管理サーバ２００との対話用の画面表示は、管理者が管理サーバ２００で使う場合と同様の画面表示との対話機能、管理サーバ２００、他の管理端末１１０との相互アクセス関係の矛盾がないかのチェック機能がサポートされる。なお、この場合は、一定期間内にグループ内の管理端末全てからの申告がなされる必要があり、該一定期間経過後に、グループ内の全管理端末に、端末間アクセス一元管理テーブルの構築が完了したことの通知がなされる。

管理サーバ２００と管理端末１１０との相互のアクセス認証は、装置ＩＤ、パスワードを使って行われる。

ステップ２で、端末間アクセス一元管理テーブル３０２の構築・確認のオンライン通知を受けて、各管理端末１１０は、管理サーバ２００にアクセスする。

この時も、ステップＳ３で、端末ＩＤ、パスワードを使って、アクセス認証が行われる。

認証が得られると、ステップＳ４で管理サーバ２００から、管理端末１１０に対して、構築された端末間アクセス一元管理テーブル３０２の内、管理端末が属する特定グループ用の端末間アクセス管理テーブル３１２に対応する部分がダウンロードされ、ステップＳ５で、所定のテーブル項目の追加処理を行って、端末間アクセス管理テーブルとして、ネットワーク管理データベース３１０に蓄積される。

端末間アクセステーブル３１２中の動作モード識別コードＳＶＣＬによって、管理端末１１０は、クライアント役の場合はサーバ役の管理端末１１０の識別コードの確認が行え、以降は、該端末間アクセス管理テーブル３１２を基に、端末処理手段１１２間で、端末ＩＤ、パスワードによる照合チェックを行いながらアクセス認証と情報のやりとりを行う。

ステップＳ６で、管理サーバ２００のサーバ処理手段２２０は、端末間アクセス一元管理テーブル３０２を基に、ネットワーク装置４１０から定期的に収集した定時情報を定期的に管理端末１１０の内のサーバ役の管理端末１１０Ａに配信する。

また、トラップの設定によって発生を検知した特定のネットワーク装置４１０における異常トラフィックの発生や規定値以上のパケット廃棄、無応答などの検知によるネットワーク装置の異常発生などのイベント発生を検知した場合は、サーバ処理手段２２０は、その都度、サーバ役の管理端末１１０に通知を行う。

ステップＳ７で、サーバ役の管理端末１１０Ａの端末処理手段１１２は、管理サーバ２００からの定時の監視情報およびイベント発生の通知情報を通信インタフィェース１１１を介して代表して受信し、自分の監視対象とするネットワーク装置４１０に関する監視状況を入出力手段１１４によって画面表示の更新を行う。同時に、これらの監視情報を、履歴情報として、ネットワーク管理テーブル３１１に蓄積する。

また、サーバ役の管理端末１１０Ａがクライアントとする管理端末１１０Ｂに対して、関係するネットワーク装置４１０に関する定時情報の配布及びイベントの発生通知をおこなう。

なお、定時情報の入手は、管理端末１１０Ａが自ら管理サーバ２００に取りに行く様にしても良い。

ステップＳ８で、クライアント役の管理端末１１０Ｂの端末処理手段１１２は、通信インタフェースを介して定時監視情報の受信を行うと共に、入出力手段１１４によって、受信した自分の監視対象下のネットワーク装置４１０に関する監視状況を画面表示させる。

同時に、これらの監視情報をネットワーク管理テーブル３１１に蓄積する。

ステップＳ９で、クライアント役の管理端末１１０Ｂは、イベント発生を通知情報で知り、管理者が通知情報だけで不十分な場合は、詳細情報のダウンロード要求を、サーバ役の管理端末１１０Ａに行う為に、サーバ役の管理端末１１０Ａにアクセスし、ステップＳ１０で、サーバ役の管理端末１１０Ａのアクセス認証を受ける。

アクセス認証は、管理端末１１０Ａの端末末処理手段１１２が端末間アクセス一元管理テーブル３０２を基に、グループＩＤ、端末ＩＤ、パスワードを照合することによって行われる。

アクセス認証が得られると管理端末１１０Ａは、ステップＳ１１でさらに詳細なイベント情報のダウンロードを行う。

または、管理端末１１０Ｂの管理者が要求している情報が管理サーバ２００からイベントの発生通知と同時に送られてきた詳細監視情報では不足な場合、管理サーバ２００にアクセスして、必要な要求を仲介し、管理サーバ２００を通じて管理端末１１０Ｂの要求情報を入手し、管理端末１１０Ｂに配信する（図７では、管理サーバとのやりとりの詳細は図示省略）。

ステップＳ１２で、イベントの詳細情報を入手したクライアント役の管理端末１１０Ｂは、入出力手段１１４を通じて画面の更新表示を行うと同時にネットワーク管理テーブル３１１の蓄積・更新を行う。

また、管理端末１１０Ａ、管理端末１１０Ｂ共に、定時の監視情報受信状態ステップＳ７及びステップＳ８に戻って、定時の監視情報の受信と画面表示による監視を続ける。

管理サーバとサーバ役の管理端末１１０間、サーバ役の管理端末１１０Ａとクライアント役の管理端末１１０Ｂとの間は、公開鍵暗号化により、パスワードや監視情報部分などの機密情報部分に対する盗聴防止が図られている。

図８は、本発明で使われるＳＯＡＰによる要求・応答メッセージ例である。

管理サーバ２００と管理端末１１０間、及び管理端末１１０相互間のグループＩＤ、端末ＩＤ、パスワード等の認証に必要な情報、定時の監視情報、イベント発生通知、イベント情報などの情報授受は、すべて、標準通信プロトコルであるＳＯＡＰ（Simple Object Access Protocol）を採用し、ＸＭＬ(eXtensibleMarkup Language)文書形式によって行われる。

ＳＯＡＰによるＸＭＬ文書形式を利用し、標準化された文書情報やりとり手順にしたがって、ログイン時のＩＤ、パスワード、監視情報の授受が、授受情報部分を公開鍵暗号化法によって暗号化しセキュリティを確保しながら、管理端末１１０間、管理端末１１０と
管理サーバ２００間で行われる。

図９は、管理端末における表示画面例である。

本発明では、管理サーバ２００から、相互アクセスを許可したグループ内の端末間アクセス可管理テーブルを、ダウンロードすることによって、管理サーバと管理端末間に加え、管理端末間での情報やりとりを可能としている。

サーバ役の管理端末１１０は、ログインＩＤ（端末ＩＤ）、パスワード、を入力することによって、管理サーバへのアクセスが行われる。

同様に、クララインアント役の管理端末は、サーバ役の管理端末に、ログインＩＤ、パスワードを入力することによってアクセス出来る。

なお、グループＩＤに関しては、端末処理手段１１２が自動的に補完を行う。

また、このログイン認証用の確認データの入力は、端末処理手段１１２が、端末間アクセス管理テーブルから端末処理手段１１2の管理端末１１０の相当データを、全て、自動的に送信する様にすることも出来る。

しかし、管理端末１１０が移動端末などの場合は、セキュリティ上、直接、認証用の確認データを管理者が入力する様にする。

端末画面上には、常時は、監視対象とするネットワーク装置４１０の監視状況を表示す画面がグラフィック表示されている。

グラフィック上には、監視対象のネットワーク装置４１０の接続図と同時に、装置の識別ＩＤが同時に表示されている。

定期的に送られてくる監視状況のデータが正常時には、グラフィック表示した画面上のネットワーク装置は通常の色で表示されているが、トラフィックの輻輳異常やパケットエラーの過大発生などの異常事態によるイベント発生を検知した場合には、グラフィック画面で表示される対象となるネットワーク装置の表示が例えば赤色に変わり、フラッシングすると同時に、画面のメッセージ表示欄には、イベントの概要を伝えるメッセージ表示がなされる。

また、必要に応じて、警報音を発し管理者に伝えるか、または管理者の携帯端末等に発信して知らせる。

これによって、管理者は、イベント発生を迅速に検知し、必要な詳細情報を、クラアイアント役の管理端末の場合は、サーバ役の管理端末１１０を通し、サーバ役の管理端末の場合は、直接、管理サーバ２００にアクセスして、詳細情報を入手することが出来る。

監視対象とするネットワーク装置が多く、全部をグラフィックでは表示しきれない場合は、ブロック別階層別の表示とブロック内の詳細表示を組み合わせた形式か、表形式によって監視状況の表示が行われる。

管理端末１１０の入出力手段１１４による上記の画面表示は、管理サーバ２００との対話によって、ネットワーク構成の変更等に伴う、端末間アクセス一元管理テーブル３０２の更新などの入力を、グラフィック表示による確認によって、誤りなく、簡単に行う為にも使用される。

図１０は、本発明を用いた適用事例のイメージ図である。本例では、一つのビル内でＡ
社、Ｂ社、Ｃ社が共通のＴＣＰ／ＩＰネットワーク網を使用してＶＰＮネットワークを構成している。すなわち、Ａ社、Ｂ社、Ｃ社は、ネットワーク装置を共有し、各社が分散管理を行う必要がある。

従来であれば、各社が同じネットワーク装置の監視情報に関し、それぞれ管理サーバに
重ねてアクセスする必要があり、サーバに負荷がかかる要因となっていた。

本発明では、各社の保守者があらかじめネットワーク装置の監視情報共有に係る管理規
則を決め、相互アクセスを許可したサーバ役の管理端末とクライアント役の管理端末間で
ログインＩＤとパスワードで認証することで、サーバ役の他社の管理端末を経由して共有のネットワーク装置の監視ができるため、管理サーバへの負荷を軽減することができる。

以上述べた本発明の実施の態様は、以下の付記の通りである。

（付記１） 管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で管理しているネットワーク管理システムにおいて、相互アクセスを許可した特定グループ単位毎に前記管理端末相互間でネットワーク管理情報の共有と授受の一元管理を行なうための前記管理サーバ内に構築した端末間アクセス一元管理テーブル、該端末間アクセス一元管理テーブルを基に、前記管理端末との間で、管理情報の授受のための通信処理を行うサーバ処理手段、該端末間アクセス一元管理テーブルの内、相互アクセスを許可した特定グループ内の前記管理端末毎に許可されたテーブル部分を各管理端末内にダウンロードして作成した端末間アクセス管理テーブル、各管理端末内に設けられ、 該端末間アクセス管理テーブルを基に、サーバ役に指定された管理端末とクライアント役に指定された管理端末の間で、ネットワーク管理情報の授受のための通信処理を行なう端末処理手段、を有することを特徴とするネットワーク管理システム。
（付記２） 管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で管理しているネットワーク管理方法において、相互アクセスを許可した特定グループ毎の前記管理端末相互間でネットワーク管理情報の共有と授受の一元管理を行なうために、前記管理サーバ内に、端末間アクセス一元管理テーブルを構築するステップ、 該端末間アクセス一元管理テーブルの内、相互アクセスを許可したグループ毎の前記管理端末に許可されたテーブル部分を管理端末内にダウンロードして、端末間アクセス管理テーブルを作成するステップ、該端末間アクセス管理テーブルと所定の通信手段を基に、サーバ役に指定された管理端末とクライアント役に指定された管理端末の間で、ネットワーク管理情報の授受を行なうステップ、を有することを特徴とするネットワーク管理方法。

（付記３） 付記１に記載のネットワーク管理システムにおいて、前記端末間アクセス一元管理テーブルに、前記グループ単位毎に、サーバ役、クライアント役の相互アクセス関係を定めた制御コードを含ませることを特徴とするネットワーク管理システム。
（付記４） 付記１に記載のネットワーク管理システムにおいて、前記端末間アクセス一元管理テーブル、前記端末間アクセス管理テーブルに、公開暗号鍵をもたせ、サーバと管理端末間、管理端末相互間通信において、情報部分の暗号化通信を行うことを特徴とするネットワーク管理システム。

管理サーバへの重複した情報取得や制御指示などの為の管理端末からのアクセス頻度が
減る為、管理サーバの処理負担が軽くなり、その余裕を生かして、より大規模なネットワ
ーク管理が行なえる。又、処理能力の小さな管理サーバを使用する様にでき、管理サーバ
のコスト低減を図ることができる。

本発明は、企業内におけるアクセスサーバを介した各種情報提供サーバの共同利用などの場合にも適用できる。

本発明のネットワーク管理システムの全体構成図である。 本発明に係る管理サーバ２００の機能ブロック図である。 本発明に係る管理端末１１０の機能ブロック図である。 端末間アクセス一元管理テーブル３０２の構成例である。 端末間アクセス管理テーブル３１２の例である。 ＶＰＮにおけるネットワーク装置の共用構成例である。 アクセス管理テーブルの構築と管理端末間の処理フロー例である。 本発明で使われるＳＯＡＰによる要求・応答メッセージ例である。 管理端末における表示画面例である。 本発明を用いた適用事例のイメージ図である。 従来のネットワーク管理システムの全体構成例である。

符号の説明

１００ ＴＣＰ／ＩＰネットワーク
１１０、１１０Ａ、１１０Ｂ、１１０Ｃ 管理端末
１１１、２３０ 通信インタフェース
１１２ 端末処理手段
１１３ 端末処理プログラム
１１４ 入出力手段
２００ 管理サーバ
２１０ アクセス管理支援プログラム
２２０ サーバ処理手段
２４０ ネットワーク管理プログラム
２５０ 入出力手段
３００、３１０ ネットワーク管理データベース
３０１、３１１ ネットワーク管理テーブル
３０２ 端末間アクセス一元管理テーブル
３１２ 端末間アクセス管理テーブル
３１０ 端末データベース
４１０、４１０Ａ、４１０Ｂ、４１０Ｃ ネットワーク装置

Claims (3)

1. 管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で 管理しているネットワーク管理システムにおいて、
   相互アクセスを許可した特定グループ単位毎に前記管理端末相互間でネットワーク 管理情報の共有と授受の一元管理を行なうための前記管理サーバ内に構築した端末 間アクセス一元管理テーブル、
   該端末間アクセス一元管理テーブルを基に、前記管理端末との間で、管理情報の授 受のための通信処理を行うサーバ処理手段、
   該端末間アクセス一元管理テーブルの内、相互アクセスを許可した特定グループ内 の前記管理端末毎に許可されたテーブル部分を各管理端末内にダウンロードして作 成した端末間アクセス管理テーブル、
   各管理端末内に設けられ、該端末間アクセス管理テーブルを基に、サーバ役に指定 された管理端末とクライアント役に指定された管理端末の間で、ネットワーク管理 情報の授受のための通信処理を行なう端末処理手段、
   を有することを特徴とするネットワーク管理システム。
2. 管理サーバと管理用の複数の管理端末を有し、複数のネットワーク装置を共同で 管理しているネットワーク管理方法において、
   相互アクセスを許可した特定グループ毎の前記管理端末相互間でネットワーク管理 情報の共有と授受の一元管理を行なうために、前記管理サーバ内に、端末間アクセ ス一元管理テーブルを構築するステップ、
   該端末間アクセス一元管理テーブルの内、相互アクセスを許可したグループ毎の前 記管理端末に許可されたテーブル部分を管理端末内にダウンロードして、端末間ア クセス管理テーブルを作成するステップ、
   該端末間アクセス管理テーブルと所定の通信手段を基に、サーバ役に指定された管 理端末とクライアント役に指定された管理端末の間で、ネットワーク管理情報の授 受を行なうステップ、
   を有することを特徴とするネットワーク管理方法。
3. 前記請求項１に記載のネットワーク管理システムにおいて、
   前記端末間アクセス一元管理テーブルに、前記グループ単位毎に、サーバ役、クラ イアント役の相互アクセス関係を定めた制御コードを含ませることを特徴とする ネットワーク管理システム。

Images