JP2007104350A - ネットワーク管理装置およびネットワークシステム - Google Patents

Abstract

【課題】ネットワーク通信装置の初期設定およびネットワーク構成変更時の設定作業を軽減するネットワーク管理装置およびネットワーク管理システムを提供する。
【解決手段】ネットワーク管理装置５００が、ネットワーク運用開始時やネットワーク構成変更時に同一ネットワークに属している各ネットワーク通信装置の情報を取得し、その情報と運用ポリシーを元に前記ネットワーク通信装置の具体的な動作内容を決定し設定する。
また、前記ネットワーク通信装置の役割を管理者が設定するためのＧＵＩをネットワーク管理装置に備える。
【選択図】図２

Description

本発明は、情報通信ネットワークに接続し当該ネットワークを自律的に運用管理するネットワーク管理装置、および、ネットワーク管理装置と情報通信ネットワークから構成されるネットワーク管理システムに関する。

企業で利用されるＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークなどのパケット交換型の情報通信ネットワーク（以下、単にネットワークと表記する）は、ルータ、スイッチ、ゲートウェイ、アクセスポイントなどの多様なネットワーク通信装置で構成される。このようなネットワークを管理者や利用者の意図どおりに機能させるためには、管理者はこれらすべてのネットワーク通信装置に対して適切な動作を設定する必要がある。

近年のネットワークは、大規模化・高機能化の傾向にあり、パケット通信装置の設定項目についてもその種類や量が増加する傾向にある。主な設定項目として、インターネットなどの外部ネットワークを利用するために必要なセキュリティ設定、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）などのアプリケーションが利用する帯域保証などのネットワークサービス設定、課金やアクセスログ、監視などの運用管理設定などが挙げられる。

このようにパケット通信装置の設定項目の種類や量が増加していくと、企業では以下に挙げる問題が発生する。
１．管理者の作業量増加に伴う、管理コスト（管理者の作業時間）の増加
２．設定作業時間の増加による、ネットワークサービスインタイムの遅延
３．作業内容の増加に伴う、設定ミスの増加
これらの問題の原因は、設定作業の複雑さが爆発的に増すためと考えられる。例えばネットワーク全体に対するセキュリティの設定を行うために、ネットワーク内のほとんどすべてのパケット通信装置に設定しなければならないケースがあり、この作業量はネットワークの規模に比例する。さらに、そのセキュリティ設定に伴いルーティングやアクセス制御など他の設定内容を更新しなければならないケースでは、作業量は設定項目の種別や量の増加に伴い増大する。

特許文献１および特許文献２は、通信装置に対し自動的に設定作業を行うことで、上記の問題の解決を図っている。

特開２００３−１８６７６８号公報

特開２００５−５０３０２号公報

特許文献１および特許文献２が開示する方法は管理者の作業量を削減できるが、事前にネットワークの物理構成を決定し、そのネットワークに対応した設定内容を管理者があらかじめ用意する必要があるため、ネットワークの構成変更時や障害発生時は管理者が設定作業を行う必要がある。

ネットワークの物理構成の変化要因は、増設などの計画的なものや障害などの突然発生的なものがあり、頻繁に発生する。そのたびに管理者がネットワークの障害を監視し、障害時あるいは増設時にネットワークのトポロジを調べて新たな構成定義を作成し設定作業を行う必要があるため、作業量は依然として大きい。

前記課題を解決するため、ネットワーク管理装置はネットワークの初期設定時や物理構成の変化時に、ネットワークの各ネットワーク通信装置のトポロジ、機器種別、機器識別子を取得し、管理者が与えた役割割当情報に基づいて各ネットワーク通信装置の役割を自動的に決定する。さらに、管理者が与えた運用ポリシーを満たすようなネットワーク通信装置の動作内容を求め、設定する。

また、ネットワーク管理装置は管理者によりネットワーク通信装置に役割を与えることができるＧＵＩを備え、管理者がＧＵＩを用いて各ネットワーク通信装置与えた役割と、管理者が与えた運用ポリシーからネットワーク通信装置の動作内容を求め、設定する。

より具体的には、本発明は、ネットワークに接続可能なネットワークインタフェースと、プログラムおよびデータを格納する記憶装置と、前記プログラムに従い処理を実行するプロセッサを備えたネットワーク管理装置であって、同一ネットワークに属している各ネットワーク通信装置のトポロジ（各ネットワーク通信装置間の接続関係）、機器種別、機器識別子の一つあるいは複数の情報を取得し保持する手段と、前記ネットワーク通信装置のそれぞれに役割を付与する手段と、前記役割に対して抽象的な動作内容を記述した運用ポリシーを保持する手段と、前記各ネットワーク通信装置の情報と前記運用ポリシーを元に前記各ネットワーク通信装置の具体的な動作内容を決定し、当該ネットワーク通信装置に設定する手段を備えた一つあるいは複数のネットワーク管理装置と、ネットワークに接続可能なネットワークインタフェースと、前記ネットワークインタフェースにより受信したパケットについて処理を行うプロセッサと、前記処理に必要な経路表を保持する記憶装置を備えたネットワーク通信装置であって、前記ネットワーク管理装置からの情報要求に応答する手段と、前記ネットワーク管理装置からの設定に従って動作する手段を備えた一つあるいは複数のネットワーク通信装置とで構成されたネットワークにおいて、ネットワーク管理装置がネットワーク運用開始時やネットワーク構成変更時に同一ネットワークに属している各ネットワーク通信装置の前記トポロジ、前記機器種別、前記機器識別子の一つあるいは複数の情報を取得し、前記役割を付与する手段により前記各ネットワーク通信装置に役割を付与し、その役割から前記運用ポリシーに基づき前記各ネットワーク通信装置の具体的な動作内容を決定し、前記動作内容を当該ネットワーク通信装置に設定することを特徴とするネットワークネットワーク管理システムを提供する。

さらに本発明は、前記ネットワーク管理装置が、ネットワーク通信装置に割り当てる役割と、当該ネットワーク通信装置が前記役割であると判別するために満たすべきである、当該ネットワーク通信装置の前記トポロジ、前記機器種別、前記機器識別子の一つあるいは複数の情報に対する条件とを対応づけて記述した役割割当ルールを保持する手段を備え、前記役割を付与する手段として前記役割割当ルールを用いることを特徴とするネットワーク管理システムを提供する。

さらに本発明は、前記ネットワーク管理装置が、管理者に当該ネットワークにおけるネットワーク通信装置の前記トポロジ、前記機器種別、前記機器識別子の一つあるいは複数の情報を通知し、前記各ネットワーク通信装置に付与する役割を指定させることができる手段をさらに備え、前記ネットワーク管理装置が取得したネットワーク通信装置の前記トポロジ、前記機器種別、前記機器識別子の一つあるいは複数の情報を管理者に通知し、その通知内容をもとに管理者が指定した役割から前記運用ポリシーに基づき前記各ネットワーク通信装置の具体的な動作内容を決定することを特徴とするネットワーク管理システムを提供する。

さらに本発明は、前記運用ポリシーに記載する動作内容が、各役割間の通信の許可・不許可を記述したパケットフィルタリングであり、前記各ネットワーク通信装置へ設定する動作内容が当該ネットワーク通信装置のパケットフィルタリング機能の動作であることを特徴とするネットワーク管理システムを提供する。

本発明によれば、以下の効果を奏する。
１．パケット交換ネットワークの装置を自動設定することで、管理コストの増加やサービスインタイムの遅延、設定ミスを抑える。
２．ネットワークの物理構成の変更を検出し、当初のネットワーク運用ポリシーに従った設定を管理者を介さずに、あるいは最小限の設定作業のみで行う。

１．システム構成・装置構成
図１は、以降の実施例の説明で用いる、発明のネットワーク管理システムを適用したネットワークである。

ネットワークは管理者が管理する内部ネットワーク１と、内部ネットワーク１と接続する外部ネットワーク２から構成される。内部ネットワーク１はパケット通信装置１００、１１０、１２０、１３０、１４０から構成される。パケット通信装置１００は内部ネットワーク１のコアスイッチの役割をもち、他のパケット通信装置とそれぞれ接続しているが、パケット通信装置１４０とは初期状態では接続していない。パケット通信装置１２０、１３０、１４０は建物の各フロアに設置されるフロアスイッチであり、それぞれ端末１２１、１２２、端末１３１、１３２、端末１４１、１４２を収容している。パケット通信装置１１０は外部ネットワーク２と接続するゲートウェイの役割を持つ。さらにパケット通信装置１００には内部ネットワーク１を管理する本発明の管理装置５００が接続している。

図２を用いて、管理装置５００を説明する。
管理装置５００は、ネットワークインタフェース５１０、プロセッサ５２０、記憶装置５３０を有する。記憶装置５３０には、トポロジ取得プログラム５３１、役割定義プログラム５３２、フィルタ設定プログラム５３３、トポロジ取得状況情報５３４、トポロジ情報５３５、役割定義情報５３６、役割割当情報５３７、フィルタ定義情報５３８、フィルタ設定情報５３９が格納される。これらの内容についてはそれぞれ後述する。

図３を用いて、パケット通信装置１００を説明する。パケット通信装置１１０、１２０、１３０、１４０も同様の構成を有する。パケット装置１００は、ネットワークインタフェース１０１０、１０２０、スイッチ１０３０、経路検索部１０４０、モジュール制御管理部１０５０から構成される。

経路検索部１０４０は、プロセッサ１０４１、記憶装置１０４２から構成される。記憶装置１０４２には、経路表１０４３、経路検索プログラム１０４４が格納される。プロセッサ１０４１は経路検索プログラム１０４４に従い、ネットワークインタフェース１０１０、１０２０から受信したパケットの転送先を経路表１０４３を参照して求め、データパケットの場合はスイッチ１０３０を用いて転送先ネットワークインタフェースから転送し、制御パケットの場合は制御管理部１０５０へ転送する。

制御管理部１０５０は、プロセッサ１０５１、記憶装置１０５２から構成される。記憶装置１０５２は、隣接情報配信プログラム１０５３、フィルタ設定プログラム１０５４、要請受信ＩＤ情報１０５５、トポロジ取得状況情報１０５６、隣接情報１０５７、フィルタ情報１０５８が格納される。これらの内容についてはそれぞれ後述する。

２．トポロジ情報取得
図４を用いて、図１のネットワークにおける管理装置５００によるネットワークのトポロジ取得プロセスを説明する。このプロセスは管理装置５００のプロセッサ５２０がトポロジ取得プログラム５３１にしたがい実施する。

まず、プロセッサ５２０は図５に示すトポロジ取得状況情報５３４を参照する。トポロジ取得状況情報５３４は、（要請メッセージＩＤ、ポート、受信状況）から構成され、あるポートに送信した要請メッセージＩＤで識別される要請メッセージに対し、通知メッセージを受信したかどうかを保持する。プロセッサ５２０はトポロジ取得状況情報５３４の要請メッセージＩＤの欄を参照して、利用されていない要請メッセージＩＤ（＝ｘ）を取得し、トポロジ取得状況情報５３４に（ｘ、ｐ、Sent）という情報を追加する（Ｓ１０１）。ここでｐは、管理装置５００が管理するネットワークに接続しているポートを示す。

次に、隣接するパケット通信装置にトポロジ情報要請メッセージを送信する（Ｓ１０２）。このメッセージの送信元アドレスは送信するポートのネットワークインタフェースの識別子であるＭＡＣアドレス、送信先アドレスはブロードキャストアドレス、メッセージ内容はこのメッセージがトポロジ情報要請メッセージであることを示す識別子と要請メッセージＩＤ（＝ｘ）である。送信完了後、管理装置５００はトポロジ情報通知メッセージの受信待機状態となる。

次に、管理装置５００からトポロジ情報要請メッセージを受信したパケット通信装置１００の動作を説明する。このプロセスはパケット通信装置１００のプロセッサ１０５１は隣接情報配信プログラム１０５３にしたがい動作する。

まず、プロセッサ１０５１は受信したトポロジ情報要請メッセージの要請メッセージＩＤ（＝ｘ）を用いて、図６に示す要請受信ＩＤ情報１０５５を参照する（Ｓ１０３）。要請受信ＩＤ情報１０５５には、装置起動後に受信したすべてのトポロジ情報要請メッセージの（要請メッセージＩＤ、受信時刻、受信ポート、対向ＭＡＣアドレス）が格納されている。対向ＭＡＣアドレスはトポロジ情報要請メッセージの送信元ＭＡＣアドレスに等しい。受信したトポロジ情報要請メッセージの要請メッセージＩＤがその中にすでに含まれていないときは、要請受信ＩＤ情報１０５５に（ｘ、現在時刻、受信ポート）というエントリを追加し、トポロジ情報要請メッセージを受信ポート以外の各ポートｐからトポロジ情報要請メッセージを送信する（Ｓ１０４）。このメッセージの送信元アドレスは送信するポートのＭＡＣアドレス、要請メッセージＩＤはｘである。図１のネットワークにおいては、パケット通信装置１１０、１２０、１３０、１５０にこのメッセージが送信される。また、トポロジ取得状況情報１０５６に（ｘ、ｐ、Sent）という情報を追加する（Ｓ１０５）。トポロジ取得状況情報１０５６は図５に示すトポロジ取得状況情報５３４と同一の形式である。送信完了後は、トポロジ情報通知メッセージの受信待機状態となる。

次に、パケット通信装置１００からトポロジ情報要請メッセージを受信したパケット通信装置１２０の動作を説明する。図４ではパケット通信装置１２０のみの処理を示しているが、他のパケット通信装置１１０、１３０、１４０についても同様の処理が行われる。このプロセスはパケット通信装置１２０のプロセッサ１０５１が隣接情報配信プログラム１０５３にしたがい実施する。

まず、プロセッサ１０５１は受信したトポロジ情報要請メッセージの要請メッセージＩＤ（＝ｘ）を用いて、要請受信ＩＤ情報１０５５を参照する（Ｓ１０６）。受信したトポロジ情報要請メッセージの要請メッセージＩＤがその中にすでに含まれていないときは、要請受信ＩＤ情報１０５５に（ｘ、現在時刻、受信ポート）というエントリを追加し、受信したポート以外の各ポートｐからトポロジ情報要請メッセージを送信する（Ｓ１０７）。このメッセージの送信元アドレスは送信するネットワークインタフェースのＭＡＣアドレス、要請メッセージＩＤはｘである。また、トポロジ取得状況情報１０５６に（ｘ、ｐ、Sent）という情報を追加する（Ｓ１０８）。送信完了後は、トポロジ情報通知メッセージの受信待機状態となる。

端末１２１（端末１２２、１３１、１３２、１４１、１４２も同様）はトポロジ情報要請メッセージを受信すると、トポロジ情報通知メッセージを送信する（Ｓ１０９）。トポロジ情報通知メッセージは、送信先アドレスにトポロジ情報要請メッセージの送信元ＭＡＣアドレスを用い、メッセージ内容として、トポロジ情報通知メッセージを示す識別子と、トポロジ情報要請メッセージの要請メッセージＩＤ、端末１２１がトポロジ情報要請メッセージを受信したポートの識別子（ここではPort0）、さらに図７に示す情報（行番号（#）、装置名（Name）、装置種別（Type）、隣接ノード、フィルタ設定、設定ＩＰアドレス）を含む。装置種別として自分自身の装置種別情報（＝Endnode）を設定し、隣接ノードはトポロジ情報要請メッセージを受信したノード以外に存在しないため空欄である。フィルタ設定の欄は、フィルタ設定を行うことができないため空欄、設定ＩＰアドレスの欄には自分自身の所属するサブネットアドレスを設定する。

パケット通信装置１２０は端末１２１および端末１２２からトポロジ情報通知メッセージを受信すると、当該メッセージの要請メッセージＩＤおよび受信ポート番号からトポロジ取得状況情報１０５６を参照し、受信状況を取得する。該当レコードが存在しない場合、あるいは受信状況がReceivedであった場合は、当該メッセージを破棄する。受信状況がSentであった場合は、当該受信状況をReceivedに変更し、図８に示す隣接情報１０５７を作成する（Ｓ１１０）。

隣接情報１０５７は、（ノード番号（#）、装置名（Name）、装置種別（Type）、隣接ノード、フィルタ設定、設定ＩＰアドレス）から構成される。ノード番号０にはあらかじめ自分自身の装置情報を記録しておく。ここで、フィルタ設定の欄には自分自身にどのようなフィルタ設定が可能かどうかを設定し、設定ＩＰアドレスには外部ノードが自分自身の設定を行うために接続するＩＰアドレスを設定する。図８の例では、入力側（Inbound）と出力側（Outbound）の両方にフィルタ設定が可能であり、設定用のＩＰアドレスは192.168.120.1であることを示している。

また、前記トポロジ情報通知メッセージ受信時に、受信したトポロジ情報通知メッセージに含まれるポートの識別子と図７の情報から隣接関係を導き隣接情報１０５７に格納する。具体的には、Port2, Port3に接続された端末１２１、１２２からそれぞれトポロジ情報通知メッセージを受信した場合、図８のノード番号０の隣接ノードの欄およびノード番号１、２の全体を更新する。

その後、トポロジ取得状況情報１０５６のうち当該要請メッセージＩＤ（＝ｘ）を持つレコードすべての受信状況がReceivedであるかどうかを調べ（Ｓ１１１）、そうである場合、隣接情報１０５７をトポロジ情報通知メッセージに含めて送信する（Ｓ１１２）。トポロジ情報通知メッセージの送信先アドレスは、図６の要請受信ＩＤ情報１０５５を要請メッセージＩＤ（＝ｘ）で抽出したレコードの対向ＭＡＣアドレス、要請メッセージＩＤはｘを設定する。

パケット通信装置１００はパケット通信装置１１０、１２０，１３０からトポロジ情報通知メッセージを受信すると、当該メッセージの要請メッセージＩＤおよび受信ポート番号からトポロジ取得状況情報１０５６を参照し、受信状況を取得する。該当レコードが存在しない場合、あるいは受信状況がReceivedであった場合は、当該メッセージを破棄する。受信状況がSentであった場合は、当該状態をReceivedに変更し、同様に隣接情報１０５７を作成する（Ｓ１１３）。パケット通信装置１１０、１２０、１３０からトポロジ情報通知メッセージを受信した場合、図９に示す隣接情報１０５７が得られる。

さらに、トポロジ取得状況情報１０５６のうち、当該要請メッセージＩＤを持つレコードすべての受信状況がReceivedであるかどうかを調べ（Ｓ１１４）、そうである場合、図９で示す隣接情報１０５７をトポロジ情報通知メッセージに含めて送信する（Ｓ１１５）。トポロジ情報通知メッセージの送信先アドレスおよび要請メッセージＩＤはパケット通信装置１２０と同様に決定する。

管理装置５００はパケット通信装置１００からトポロジ情報通知メッセージを受信すると、当該メッセージの要請メッセージＩＤおよび受信ポート番号からトポロジ取得状況情報５３４を参照し、受信状況を取得する。該当レコードが存在しない場合、あるいは受信状況がReceivedであった場合は、当該メッセージを破棄する。受信状況がSentであった場合は、当該受信状況をReceivedに変更し、図１０に示すトポロジ情報５３５を隣接情報１０５７と同様の方法により作成する（Ｓ１１６）。

このように、管理装置５００はトポロジ取得プロセスを実施することでネットワークのトポロジを取得することができる。このプロセスは定期的、あるいはネットワークの変更検出時に実施する。

３．役割定義
次に、図１１を用いて、管理装置５００によるパケット通信装置の役割定義プロセスを説明する。このプロセスは管理装置５００のプロセッサ５２０が役割定義プログラム５３２にしたがい実施する。

あらかじめ管理者は管理装置５００に、図１２で示す役割定義情報５３６を与えておく。役割定義情報は（役割、条件）で構成され、１つの役割に対して１つ以上の条件を設定できる。条件としては、あるノードに対して名前（Name）や種類（Type）が一致するか、あるノードの隣接ノード（Neighbor）に指定されたノードが含まれるか、などが指定できる。

プロセッサ５２０は役割定義を開始すると（Ｓ２０１）、まずトポロジ情報５３５に含まれる各ノードＮについてのループを開始する（Ｓ２０２）。さらに図１２で示す役割定義情報５３６の各役割Ｒについてのループを開始し（Ｓ２０３）、さらに役割Ｒの各条件Ｃに関するループを開始する（Ｓ２０４）。

次に、ノードＮが条件Ｃを満たすかを判断する（Ｓ２０５）。満たさない条件が見つかった場合は、次の役割について同様の判断を行う（Ｓ２０６）。すべての条件を満たした場合は、ノードＮに役割Ｒをアサインし（Ｓ２０７）、その内容を役割割当情報に格納する。すべての条件を満たす役割が見つからなかった場合は、ノードＮに「役割なし」をアサインし（Ｓ２０８）、その内容を役割割当情報５３７に格納する。以上をすべてのノードＮについて同様に行う（Ｓ２０９）。
以上により、役割定義プロセスを実施することで役割割当情報５３７を作成することができる。具体的には、図１０のトポロジ情報５３５と図１２に示す役割定義情報から、図１３に示す役割割当情報５３７が得られる。

この役割定義プロセスは、トポロジ情報５３５や役割定義情報５３６が変更されるなど、役割割当情報５３７を更新する必要が生じたときに実施する。

４．フィルタ設定と配布
次に、図１４を用いて、管理装置５００によるフィルタ設定プロセスを説明する。このプロセスは管理装置５００のプロセッサ５２０がフィルタ設定プログラム５３３にしたがい実施する。

フィルタ設定には、管理者が設定する図１５に示すフィルタ定義情報５３８を用いる。フィルタ定義情報５３８は、（Ｆｒｏｍ，Ｔｏ，Ｆｌｏｗ，Ａｃｔｉｏｎ）から構成される。これは、ＦｒｏｍからＴｏへ行くＦｌｏｗの条件で示されるパケットに関する処理方法（Ａｃｔｉｏｎ）を定義している。ＡｃｔｉｏｎがＡｃｃｅｐｔならそのパケットを通し、Ｄｒｏｐならそのパケットをネットワークにて廃棄する。複数のエントリの条件に一致するパケットには、一番上位に記述されたエントリの処理方法を適用する。Ｆｒｏｍ，Ｔｏ，Ｆｌｏｗがすべて＊で示されたエントリは、他のエントリに当てはまらないパケットに対する処理（デフォルト処理）を示す。

プロセッサ５２０はフィルタ設定を開始すると（Ｓ３０１）、まずフィルタ設定情報５３９をクリアする。一般的なパケット転送装置では、フィルタを設定しないこの状態ではすべてのフローがフィルタリングされずに転送される。

次に、フィルタ定義情報５３８の各エントリのループを開始する（Ｓ３０３）。各エントリ（Ｆｒｏｍ，Ｔｏ，Ｆｌｏｗ，Ａｃｔｉｏｎ）について、まずＦｒｏｍで示されるノード群からＴｏで示されるノード群へ向かうときにパケットが通る可能性があるパスをすべて求め（Ｓ３０４）、求めた各パスＰについてのループを開始する（Ｓ３０５）。各パスＰについてのループでは、まずトポロジ情報５３５を用いてパスＰ上でフィルタ設定が可能な場所であるフィルタポイント（Ｎ，Ｑ，Ｄ）を求める（Ｓ３０６）。ここでＮはノード、Ｑはポート、Ｄはinbound/outboundのいずれかを表す方向である。例えば図１０で示すトポロジ情報５３５において、ノード群「フロアエンド」（図１３よりノード４〜ノード７）からノード群「未定義」（図１３よりノード８，９）へ向かうパケットが通る可能性があるパスのフィルタポイントは、（ノード２、ポート２、inbound）、（ノード２、ポート１、outbound）、（ノード１、ポート２、inbound）、（ノード１、ポート３、inbound）、（ノード１、ポート５、outbound）となる。ノード３もパス上に含まれるが、図１０によるとフィルタ設定ができないため、フィルタポイントとはならない。

次に、上記で求めたフィルタポイントが１つ以上存在するかを調べ、存在するときは全フィルタポイントについて（Ｎ、Ｑ、Ｄ、Ｆｌｏｗ、Ａｃｔｉｏｎ）をフィルタ設定情報５３９に追加する（Ｓ３０７）。存在しない場合は、さらにＡｃｔｉｏｎがＤｒｏｐかを調べ（Ｓ３０９）、そうである場合はネットワークが意図しないパケットを流してしまう可能性があるため、その旨を管理者に警告する（Ｓ３１０）。

以上を終えると次のパスに移る（Ｓ３１１）。すべてのパスが終了したら、次のフィルタ定義情報の項目へ移る（Ｓ３１２）。

以上のフィルタ設定プロセスが終了すると、フィルタ設定情報５３９を実際に各ノードに設定する。具体的には、図１０で示すトポロジ情報、図１３で示す役割割当情報、図１５で示すフィルタ定義情報５３８から図１６で示すフィルタ設定情報５３９が作成される。

以上により、本発明の管理装置をもつネットワーク管理システムにおいて、フィルタの自動設定が実現できる。

５．フィルタ設定の補足
フィルタ設定においては、端末において送信するパケットの送信元ＩＰアドレスとして管理者が想定するもの以外を用いることは容易であるため、管理者が想定する端末の送信元ＩＰアドレスをフィルタの条件から除外し、任意の送信元ＩＰアドレスに対してパケットをフィルタリングしたほうがよいケースがある。本発明では、管理者がそのような指定を管理端末に行うと、ＡｃｔｉｏｎがＤｒｏｐであるフィルタ設定のパケットの送信元ＩＰアドレスを条件に用いずにフィルタ設定を行うという実施が可能である。

６．パケット通信装置追加時の自動設定
次に、以上で述べた自動設定がされた後に、これまで接続していなかったパケット通信装置１４０をパケット通信装置１００に接続したときの自動設定の動作を説明する。

管理装置５００は、パケット通信装置１４０の接続を検出すると、上記で述べたトポロジ取得プロセス、役割定義プロセス、フィルタ設定プロセスを再度実施する。役割定義プロセスによりパケット通信装置１４０の役割が自動的に割り当てられるため、フィルタ設定プロセスでパケット通信装置１４０に設定すべきフィルタ設定情報を求めることができる。

ここでパケット通信装置１４０の検出方法としては、パケット通信装置１００が機器の接続されていないポートを監視する方法、パケット通信装置１４０が接続時にパケット通信装置１００に制御パケットを送信する方法、管理者が明示的に管理端末５００に検出を通知する方法などが挙げられる。

以上より、パケット通信装置１４０の導入時に、管理者が設定作業をすることなくパケット通信装置１４０にフィルタ設定を自動的に行うことができる。

７．ＧＵＩによる役割定義
次に、役割定義プロセスをＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）で行う第２の実施例を説明する。第２の実施例は第１の実施例と比較して役割定義プロセスのみが異なるため、その部分を説明する。

図１７に、第２の実施例における本発明の管理装置５００を示す。
管理装置５００は、ネットワークインタフェース５１０、プロセッサ５２０、記憶装置５３０を有する。記憶装置５３０には、トポロジ取得プログラム５３１、ＧＵＩ役割定義プログラム５４１、フィルタ設定プログラム５３３、トポロジ取得状況情報５３４、トポロジ情報５３５、役割リスト情報５４２、役割割当情報５３７、フィルタ定義情報５３８、フィルタ設定情報５３９が格納される。

図１８を用いて、管理者によるＧＵＩを用いた役割定義プロセスを説明する。このプロセスはＧＵＩ役割定義プログラム５４１にしたがい管理装置５００のプロセッサ５２０が実施する。

管理装置５００は図１７に示す表示装置５５０および入力装置５０２、５０３を備える。表示装置５５０はトポロジ情報表示部５５１と役割表示部５５２を有する。管理装置５００はトポロジ情報５３５および役割割当情報５３７の内容をトポロジ情報表示部５５１に、役割リスト情報５４２の情報を役割表示部５５２にそれぞれ表示する。役割リスト情報５４２は図１８に示すような役割を記したリストである。

管理者が入力装置５０２や５０３を用いて、トポロジ情報表示部５５１に表示されたトポロジ情報のうち役割を設定するパケット通信装置あるいは端末を選択し、役割表示部５５２から役割を指定すると、管理装置５００はその指定内容を役割割当情報５３７に書き込む。

管理者により役割割当情報５３７が更新されると、前述のフィルタ設定プロセスを開始する。

以上で説明した方法により、管理者によるＧＵＩを用いた設定によるネットワーク通信装置の自動設定が可能となる。

８．ＧＵＩによる役割定義の補足
第２の実施例においてはＧＵＩを用いたが、ＣＵＩ（Ｃｈａｒａｃｔｅｒ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）など他の形式によるユーザインタフェースを用いて管理者が設定することも実施可能である。

第２の実施例において、ＧＵＩにより役割を定義しなかったパケット通信装置や端末について、第１の実施例で説明した役割定義情報５３７を用いた役割定義プロセスにより役割を定義するという方法も実施可能である。

本発明のパケット通信装置が配置されるネットワークの構成図である。 本発明の第１の実施例における管理装置５００の構成図である。 パケット通信装置１００、１１０、１２０、１３０、１４０の構成図。 本発明の管理装置５００のトポロジ取得プロセスを示す図である。 本発明の管理装置５００のトポロジ取得状況情報５３４を示す図である。 パケット通信装置の要請受信ＩＤ情報１０５５を示す図である。 端末１２１が送信するトポロジ通知メッセージに含まれる情報である。 パケット通信装置１２０の隣接情報である。 パケット通信装置１００の隣接情報である。 本発明の管理装置５００のトポロジ情報５３５である。 本発明の管理装置５００の役割定義プロセスを示す図である。 本発明の管理装置５００の役割定義情報５３６を示す図である。 本発明の管理装置５００の役割割当情報５３７を示す図である。 本発明の管理装置５００のフィルタ設定プロセスを示す図である。 本発明の管理装置５００のフィルタ定義情報５３８を示す図である。 本発明の管理装置５００のフィルタ定義情報５３９を示す図である。 本発明の第２の実施例における管理装置５００の構成図である。 本発明の管理装置５００のＧＵＩを示す図である。 本発明の管理装置５００の役割リスト情報５４２を示す図である。

符号の説明

１：内部ネットワーク、２：外部ネットワーク、１００，１１０，１２０，１３０，１４０：パケット通信装置。

Claims (10)

1. 複数のネットワーク通信装置に接続され、
   ネットワークに接続可能なネットワークインタフェースと、
   プログラムおよびデータを格納する記憶装置と、
   前記プログラムに従い処理を実行するプロセッサを備えたネットワーク管理装置であって、
   前記複数のネットワーク通信装置の接続関係、機器種別、機器識別子のうち少なくともいずれか一つの情報を取得し保持する手段と、
   前記複数のネットワーク通信装置のそれぞれに役割を付与する手段と、
   前記役割に対して動作内容を記述した運用ポリシーを保持する手段と、
   前記各ネットワーク通信装置の情報と前記運用ポリシーを元に前記各ネットワーク通信装置の動作内容を決定し、当該ネットワーク通信装置に設定する手段を備えた
   ネットワーク管理装置。
2. 請求項１に記載のネットワーク管理装置であって、
   前記複数のネットワーク通信装置の前記接続関係、前記機器種別、前記機器識別子のうち少なくともいずれか一つの情報と、前記各ネットワーク通信装置に付与する役割とを対応付けて記述した役割割当ルールを保持する手段をさらに備え、
   前記役割を付与する手段は、前記役割割当ルールに基づいて役割を付与することを特徴とするネットワーク管理装置。
3. 請求項２に記載のネットワーク管理装置であって、
   前記役割を付与する手段は、役割を付与されるネットワーク通信装置に隣接したネットワーク通信装置の機器識別子、機器種別、役割のうち少なくともいずれか一つに基づいて、前記役割を付与することを特徴とするネットワーク管理装置。
4. 請求項１に記載のネットワーク管理装置であって、
   前記取得した前記複数のネットワーク通信装置のうちいずれかのネットワーク通信装置の前記接続関係、前記機器種別、前記機器識別子のうち少なくともいずれか一つの情報を出力する手段と、
   該出力した情報に対応するネットワーク通信装置に付与すべき役割の指定を受け付ける手段とをさらに備え、
   該指定された役割に対応する前記運用ポリシーに基づき、前記ネットワーク通信装置の動作内容を決定することを特徴とするネットワーク管理装置。
5. 請求項１に記載のネットワーク管理装置であって、
   前記運用ポリシーに記載する動作内容が、各ネットワーク通信装置に付与する役割間の通信の許可・不許可を記述したパケットフィルタリングであり、前記各ネットワーク通信装置へ設定する動作内容が当該ネットワーク通信装置のパケットフィルタリング機能の動作であることを特徴とするネットワーク管理装置。
6. 複数のネットワーク通信装置と接続され、
   ネットワークに接続可能なネットワークインタフェースと、
   プログラムおよびデータを格納する記憶装置と、
   前記プログラムに従い処理を実行するプロセッサを備えたネットワーク管理装置であって、
   前記複数のネットワーク通信装置の接続関係、機器種別、機器識別子のうち少なくともいずれか一つの情報を取得し保持する手段と、
   前記複数のネットワーク通信装置のそれぞれに役割を付与する手段と、
   前記役割に対して動作内容を記述した運用ポリシーを保持する手段と、
   前記各ネットワーク通信装置の情報と前記運用ポリシーを元に前記各ネットワーク通信装置の動作内容を決定し、当該ネットワーク通信装置に設定する手段を備えた少なくとも一つのネットワーク管理装置と、
   ネットワークに接続可能なネットワークインタフェースと、
   前記ネットワークインタフェースにより受信したパケットについて処理を行うプロセッサと、
   前記処理に必要な経路表を保持する記憶装置を備えたネットワーク通信装置であって、
   前記ネットワーク管理装置へ自装置に関する前記情報を通知する手段と、
   前記ネットワーク管理装置からの設定に従って動作する手段を備えた少なくとも一つのネットワーク通信装置とを備えたネットワークシステム。
7. 請求項６に記載のネットワークシステムであって、
   前記ネットワーク管理装置は、
   前記複数のネットワーク通信装置の前記接続関係、前記機器種別、前記機器識別子のうち少なくともいずれか一つの情報と、前記各ネットワーク通信装置に付与する役割とを対応付けて記述した役割割当ルールを保持する手段をさらに備え、
   前記役割を付与する手段は、前記役割割当ルールに基づいて役割を付与することを特徴とするネットワークシステム。
8. 請求項７に記載のネットワークシステムであって、
   前記ネットワーク管理装置の前記役割を付与する手段は、役割を付与されるネットワーク通信装置に隣接したネットワーク通信装置の機器識別子、機器種別、役割のうち少なくともいずれか一つに基づいて、前記役割を付与することを特徴とするネットワークシステム。
9. 請求項６に記載のネットワークシステムであって、
   前記ネットワーク管理装置は、
   前記取得した前記複数のネットワーク通信装置のうちいずれかのネットワーク通信装置の前記接続関係、前記機器種別、前記機器識別子のうち少なくともいずれか一つの情報を出力する手段と、
   該出力した情報に対応するネットワーク通信装置に付与すべき役割の指定を受け付ける手段とをさらに備え、
   該指定された役割に対応する前記運用ポリシーに基づき、前記ネットワーク通信装置の動作内容を決定することを特徴とするネットワークシステム。
10. 請求項６に記載のネットワーク管理システムであって、
    前記運用ポリシーに記載する動作内容が、各ネットワーク通信装置に付与する役割間の通信の許可・不許可を記述したパケットフィルタリングであり、前記各ネットワーク通信装置へ設定する動作内容が当該ネットワーク通信装置のパケットフィルタリング機能の動作であることを特徴とするネットワークシステム。
    

Images