JP2007174033A

JP2007174033A - Ｓｎｍｐネットワーク管理システム、被管理装置及びプログラム

Info

Publication number: JP2007174033A
Application number: JP2005366055A
Authority: JP
Inventors: Tomoko Ishihara; 智子石原; Katsuhisa Nagayama; 克久永山; Kiyomi Doi; 清美土居; Akiyoshi Inoue; 彰良井上
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2005-12-20
Filing date: 2005-12-20
Publication date: 2007-07-05

Abstract

【課題】アドレス変換機能をもつ中継装置を介してグローバルネットワークに接続する被管理装置を、グローバルネットワーク上の監視装置がＳＮＭＰを用いて管理する際に、被管理装置の安全性を高めることができるＳＮＭＰネットワーク管理システムを提供する。
【解決手段】被管理装置に、機器識別子と管理有効時間を含む管理開始ＩＮＦＯＲＭ要求及び応答に関する処理を行い、ＳＮＭＰ用ポートの開閉を制御する接続制御部を備え、一方、監視装置に、被管理装置の接続情報と状態値を格納する接続情報格納部、指定された時間を計測するタイマ、及び、管理開始ＩＮＦＯＲＭ要求受信時には接続情報格納部の接続情報を変更し、タイマを用いて管理有効時間を計測して管理開始ＩＮＦＯＲＭ応答を生成する接続管理部を備える。
【選択図】図１

Description

本発明は、ＳＮＭＰネットワーク管理システムに係り、特に、アドレス変換機能をもつ中継装置を介してグローバルネットワークに接続するローカルネットワーク上の被管理装置を、グローバルネットワーク上の監視装置が管理するＳＮＭＰネットワーク管理システムに関するものである。

宅内や企業内などのローカルなネットワークに存在する機器は、図２で示すように、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）機能やＮＡＰＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＰｏｒｔＴｒａｎｓｌａｔｉｏｎ）機能をもつ中継装置を介してローカルネットワークアドレスとグローバルネットワークアドレスの変換を行うことにより、グローバルネットワークに接続するのが一般的である。図２において、監視装置１はグローバルネットワーク４上に存在し、被管理装置２はローカルネットワーク５上に存在し、アドレス変換機能を持つ中継装置３を介してグローバルネットワーク４とローカルネットワーク５は接続されている。従来、グローバルネットワーク４上の監視装置１が、中継装置３を介してグローバルネットワーク４に接続するローカルネットワーク５上の被管理装置２をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムとしては、図３で示すようなものがあった（例えば、特許文献１参照）。

図３において、監視装置１は、グローバルネットワーク４とパケットの送受信を行う監視装置パケット送受信部１８、ＳＮＭＰメッセージの生成や解析処理を行う監視装置プロトコル処理部１２、及び、被管理装置の状態・障害の監視や被管理装置に対する管理操作を行う監視機能部１３から成る。一方、被管理装置２は、ローカルネットワーク５とパケットの送受信を行う被管理装置パケット送受信部２７、ＳＮＭＰメッセージの生成や解析処理を行う被管理装置プロトコル処理部２２、及び、被管理装置の状態管理や障害発生時の通知などのエージェント処理を行うエージェント機能部２３から成る。

また、中継装置３は、ローカルネットワーク５で用いるＩＰアドレスとポート番号から成るローカルアドレス情報と、グローバルネットワーク４で用いるＩＰアドレスとポート番号から成るグローバルアドレス情報を対応付けたアドレス変換テーブルを保持し、パケットの送信元情報あるいは宛先情報について、ローカルアドレス情報とグローバルアドレス情報の変換処理を行う。

以下、グローバルネットワーク４上の監視装置１がローカルネットワーク５上の被管理装置２の管理を始め、被管理装置２に対して管理操作を行う場合のシーケンスを図４に示し、この場合の動作を図３と図４に基づいて説明する。

まず、被管理装置２において、電源オンや管理開始ボタン押下などの管理開始トリガが発生すると、被管理装置パケット送受信部２７は、ＳＮＭＰ用ポートを開く（ステップＳ４０１）。その後、被管理装置プロトコル処理部２２においてＳＮＭＰメッセージであるＴＲＡＰ通知を生成し、監視装置１に対して、生成したＴＲＡＰ通知を被管理装置パケット送受信部２７から送信する（ステップＳ４０２）。ここで、ＳＮＭＰメッセージパケットは、図５に示すような構成となっている。

ＴＲＡＰ通知を受信した中継装置３は、受け取ったＴＲＡＰ通知の送信元ＩＰアドレス５０１及び送信元ポート番号５０３から、被管理装置２のローカルＩＰアドレス及びローカルポート番号を取得する。そして、中継装置３は、被管理装置２に対してグローバルＩＰアドレス及びグローバルポート番号を付与し、取得したローカルＩＰアドレス及びローカルポート番号と共に、アドレス変換テーブルに登録する（ステップＳ４０３）。中継装置３が保持するアドレス変換テーブルを図６に示す。登録後、中継装置３は、被管理装置２から受け取ったＴＲＡＰ通知の送信元ＩＰアドレス５０１にグローバルＩＰアドレスを、送信元ポート番号５０３にグローバルポート番号を設定し、監視装置１に送信する（ステップＳ４０４）。

監視装置１は、監視装置パケット送受信部１８においてＴＲＡＰ通知を受信し、受信したＴＲＡＰ通知に設定された送信元ＩＰアドレス５０１及び送信元ポート番号５０３を被管理装置２のアドレス情報として格納する。

一方、監視装置１が被管理装置２に対して管理操作を行う場合、監視機能部１３は、行うべき管理操作要求メッセージを監視装置プロトコル処理部１２を通して生成し、監視装置パケット送受信部１８に渡す。監視装置パケット送受信部１８は、渡された管理操作要求メッセージパケットの宛先ＩＰアドレス５０２及び宛先ポート番号５０４に、自身が格納する被管理装置２のアドレス情報を設定して送信する（ステップＳ４０５）。

管理操作要求を受信した中継装置３は、アドレス変換テーブルを参照して、受信したＳＮＭＰメッセージパケットの宛先ＩＰアドレス５０２の値をグローバルＩＰアドレスからローカルＩＰアドレスに、宛先ポート番号５０４の値をグローバルポート番号をローカルポート番号に変換して被管理装置２に送信する（ステップＳ４０６）。

被管理装置２は、被管理装置パケット送受信部２７において管理操作要求を受信する。そして、被管理装置プロトコル処理部２２において、受信した管理操作要求メッセージのプロトコル解析を行い、エージェント機能部２３に解析した結果に基づく処理を要求する。エージェント機能部２３は、処理結果を被管理装置プロトコル処理部２２に渡し、被管理装置プロトコル処理部２２において管理操作応答メッセージを生成する。生成した管理操作応答メッセージは、被管理装置パケット送受信部２７を介して監視装置１に送信する（ステップＳ４０７）。

管理操作応答であるＳＮＭＰメッセージパケットを受信した中継装置３は、アドレス変換テーブルを参照して、受信したＳＮＭＰメッセージパケットの送信元ＩＰアドレス５０１及び送信元ポート番号５０３を、ローカルアドレス情報からグローバルアドレス情報に変換して監視装置１に送信する（ステップＳ４０８）。
特開２００３−７８５４４号公報

しかしながら、前記従来の方式では、被管理装置がＳＮＭＰ用に用いるポートは、管理開始から常に同じポート番号が用いられ、途中で変更されることがなく固定であるため、ポートスキャンにより使用するポート番号が知られてしまった場合に、攻撃の対象になりやすいという課題を有していた。

本発明は、前記従来の課題を解決するもので、グローバルネットワーク上の監視装置がローカルネットワーク上の被管理装置を管理する際に、被管理装置を外部からの攻撃に強くしてセキュリティを向上するＳＮＭＰネットワーク管理システムを提供することを目的とする。

本発明のＳＮＭＰネットワーク管理システムは、グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムであって、前記被管理装置は、前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子と、前記監視装置からの管理を許可する管理有効時間を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、一方、前記管理開始ＩＮＦＯＲＭ要求に対する応答を前記被管理装置プロトコル処理部から渡された時に、前記被管理装置送受信部に対してポートの閉塞を要求する接続制御部とを有し、前記監視装置は、指定された時間を計測するタイマと、ＳＮＭＰメッセージの解析と生成を行う監視装置プロトコル処理部と、前記機器識別子を用いて前記被管理装置を識別し、前記被管理装置の状態及び障害の監視や前記被管理装置に対する管理操作を前記監視装置プロトコル処理部を通して行う監視機能部と、前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納し、前記管理開始ＩＮＦＯＲＭ要求に含まれる管理有効時間を前記タイマに設定した後、前記タイマが満了すると、前記接続情報格納部にアクセスして、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子に対応する接続情報の状態値を変更し、前記管理開始ＩＮＦＯＲＭ要求に対する応答の生成を前記監視装置プロトコル処理部に要求する時間接続管理部と、前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記時間接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部とを備えることを特徴とする。

また、本発明のＳＮＭＰネットワーク管理システムは、グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムであって、前記被管理装置は、指定された閉塞時間を計測する閉塞用タイマと、前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、前記管理開始ＩＮＦＯＲＭ要求に対する応答を受信時に、前記被管理装置送受信部に対してポートの閉塞を要求すると共に前記閉塞用タイマにポート閉塞時間を設定して、前記閉塞用タイマが満了すると、前記被管理装置送受信部に対してポートの開放を要求すると共に前記被管理装置プロトコル処理部に前記管理開始ＩＮＦＯＲＭ要求の生成を要求する時間接続制御部とを有し、前記監視装置は、ＳＮＭＰメッセージの解析と生成を行う監視装置プロトコル処理部と、前記機器識別子を用いて前記被管理装置を識別し、前記被管理装置の状態及び障害の監視や前記被管理装置に対する管理操作を前記監視装置プロトコル処理部を通して行う監視機能部と、前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納した後、管理開始ＩＮＦＯＲＭ応答の生成を前記監視装置プロトコル処理部に要求する接続管理部と、前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部とを備えることを特徴とする。

本発明のＳＮＭＰネットワーク管理システムは、グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムであって、前記被管理装置は、前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子と、前記監視装置からの管理を許可する管理有効時間を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、一方、前記管理開始ＩＮＦＯＲＭ要求に対する応答を前記被管理装置プロトコル処理部から渡された時に、前記被管理装置送受信部に対してポートの閉塞を要求する接続制御部を備え、前記監視装置は、指定された時間を計測するタイマと、前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納し、前記管理開始ＩＮＦＯＲＭ要求に含まれる管理有効時間を前記タイマに設定した後、前記タイマが満了すると、前記接続情報格納部にアクセスして、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子に対応する接続情報の状態値を変更し、前記管理開始ＩＮＦＯＲＭ要求に対する応答の生成を前記監視装置プロトコル処理部に要求する時間接続管理部と、前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記時間接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部とを備えるようにした。

これにより、本発明のＳＮＭＰネットワーク管理システムによれば、被管理装置が主導的にポートの開閉時間を決めることができ、かつ、監視装置と連携を取りつつ被管理装置で用いるポート番号を変動させることができるため、被管理装置は外部からの攻撃を受けにくくなり、セキュリティが向上する。

また、本発明のＳＮＭＰネットワーク管理システムは、グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムであって、前記被管理装置は、指定された閉塞時間を計測する閉塞用タイマと、前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、前記管理開始ＩＮＦＯＲＭ要求に対する応答を受信時に、前記被管理装置送受信部に対してポートの閉塞を要求すると共に前記閉塞用タイマにポート閉塞時間を設定して、前記閉塞用タイマが満了すると、前記被管理装置送受信部に対してポートの開放を要求すると共に前記被管理装置プロトコル処理部に前記管理開始ＩＮＦＯＲＭ要求の生成を要求する時間接続制御部とを備え、前記監視装置は、前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納した後、管理開始ＩＮＦＯＲＭ応答の生成を前記監視装置プロトコル処理部に要求する接続管理部と、前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部とを備えるようにした。

これにより、本発明のＳＮＭＰネットワーク管理システムによれば、被管理装置が主導的にポートの開閉時間を決めることができ、かつ、監視装置と連携を取りつつ被管理装置で用いるポート番号を変動させることができるため、外部からの攻撃を受けにくくなり、セキュリティが向上する。さらに、監視装置において被管理装置ごとにタイマを管理する必要がなくなるため、監視装置にかかる負荷を軽減することができる。

以下本発明の実施の形態について、図面を参照しながら説明する。

（実施の形態１）
図１は、本発明の実施の形態１におけるＳＮＭＰネットワーク管理システムの構成図である。図１において、図３と同じ構成要素については同じ符号を用い、説明を省略する。

図１において、監視装置１はグローバルネットワーク４上に存在し、パケットの管理を行い、グローバルネットワーク４とパケットの送受信を行う監視装置送受信部１１、被管理装置２の接続情報を格納する接続情報格納部１４、指定された時間を計測するタイマ１６、及び、管理開始ＩＮＦＯＲＭ要求／応答に関する処理を行い、被管理装置２との接続状態をタイマ１６を用いて管理する時間接続管理部１５から成る。

一方、被管理装置２はローカルネットワーク５上に存在し、中継装置３を介してグローバルネットワーク４に接続する。そして、被管理装置２は、ポートの開閉を行い、ローカルネットワーク３とパケットの送受信を行う被管理装置送受信部２１、及び、管理開始ＩＮＦＯＲＭ要求／応答に関する処理を行い、ポートの開閉制御を行う接続制御部２４から成る。

以上のように構成されたＳＮＭＰネットワーク管理システムにおいて、監視装置１が被管理装置２の管理を始め、被管理装置２がＳＮＭＰ用ポートのポート番号を変更する場合のシーケンスを図７に示し、この場合の動作を図１及び図７に基づいて説明する。

まず、被管理装置２において電源オンや管理開始ボタン押下などの管理開始トリガが発生すると、接続制御部２４は、被管理装置送受信部２１に対してＳＮＭＰ用ポートを開くように要求する。被管理装置送受信部２１は、任意のポート番号を用いて新たなポートを開く（ステップＳ７０１）。さらに、接続制御部２４は、ＳＮＭＰメッセージである管理開始ＩＮＦＯＲＭ要求メッセージの生成を被管理装置プロトコル処理部２２に対して要求し、生成された管理開始ＩＮＦＯＲＭ要求メッセージは被管理装置送受信部２１を経由して監視装置１に向けて送信する（ステップＳ７０２）。

ここで、管理開始ＩＮＦＯＲＭ要求メッセージに含まれるＰＤＵ（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔ）は図８に示す構成となっており、ｖａｒｉａｂｌｅＢｉｎｄｉｎｇＬｉｓｔに、被管理装置２に固有に付与された機器識別子８０６と、監視装置１からの管理を許可する時間である管理有効時間８０７が含まれている。図７では、被管理装置２の機器識別子を「機器ａ」、管理有効時間を「６００ｓｅｃ」としているが、管理有効時間は、中継装置３が保持するアドレス変換テーブルのアドレス情報保持時間より短く設定する。通常、中継装置３が保持するアドレス変換テーブルには、アドレス情報保持時間が設定されている。アドレス情報保持時間とは、中継装置３のアドレス変換テーブルに登録したアドレス情報が保持される時間のことであり、通常、アドレス情報保持時間内に中継装置３を介した通信が全く行われなかった機器に関するアドレス情報は、アドレス変換テーブルから削除される。

管理開始ＩＮＦＯＲＭ要求を受信した中継装置３は、アドレス変換テーブルの登録を行い（ステップＳ７０３）、被管理装置２から受け取った管理開始ＩＮＦＯＲＭ要求メッセージパケットの送信元アドレス情報の値をグローバルアドレス情報に変換して、監視装置１に送信する（ステップＳ７０４）。

監視装置１は、監視装置送受信部１１において管理開始ＩＮＦＯＲＭ要求を受信し、受信した管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレス、送信元ポート番号、及び、ＳＮＭＰメッセージを読み出して監視装置プロトコル処理部１２に渡す。監視装置プロトコル処理部１２は、渡されたＳＮＭＰメッセージを解析してＰＤＵ内のｖａｒｉａｂｌｅＢｉｎｄｉｎｇＬｉｓｔに含まれる機器識別子及び管理有効時間を読出し、送信元ＩＰアドレス及び送信元ポート番号と共に時間接続管理部１５に渡す。時間接続管理部１５は、被管理装置２の接続情報として、渡された機器識別子、送信元ＩＰアドレス、及び、送信元ポート番号を組にして接続情報格納部１４に格納する。また、時間接続管理部１５は、タイマ１６に渡された管理有効時間を設定して、計測を開始する（ステップＳ７０５）。

図９は、接続情報格納部１４に格納される値の一例である。この例では、機器ａと機器ｂについて、機器識別子、ＩＰアドレス、ポート番号を組にした接続情報を格納しており、現在、監視装置１は、機器ａと機器ｂに対して管理操作を行うことが可能である。また、接続情報ごとに状態値が管理されており、状態値が取り得る値としては「有効」「保留」「無効」が存在する。状態値が「有効」の機器に対してはパケットを送信することができ、状態値が「無効」の機器に対してはパケットを送信することができない。一方、状態値が「保留」の機器に対しては、管理開始ＩＮＦＯＲＭ応答メッセージパケットのみ送信することが可能であり、他のＳＮＭＰメッセージパケットを送信することは不可能である。管理開始ＩＮＦＯＲＭ要求を受信して時間接続管理部１５が接続情報格納部１４に接続情報を格納する時には、管理開始ＩＮＦＯＲＭ要求を送信した機器の現在のＩＰアドレス及びポート番号が設定されるため、状態値は「有効」となる。

監視装置１においてタイマ１６が満了すると（ステップＳ７０６）、時間接続管理部１５は、接続情報格納部１４に対し、タイマ１６が満了した被管理装置２に対応する接続情報の状態値を「保留」に変更する。すなわち、被管理装置２の機器識別子が「機器ａ」である場合、図９で示した接続情報格納部１４に格納される値は、図１０に示す値に変更される。そして、時間接続管理部１５は、監視装置プロトコル処理部１２及び監視装置送受信部１１を介して管理開始ＩＮＦＯＲＭ要求に対する応答を被管理装置２に向けて送信する（ステップＳ７０７）。

ここで、監視装置送受信部１１は、管理開始ＩＮＦＯＲＭ応答を送信する際に、接続情報格納部１４から被管理装置２に対応するＩＰアドレス、ポート番号を取得する。そして、取得したＩＰアドレス及びポート番号を管理開始ＩＮＦＯＲＭ応答の宛先ＩＰアドレス及び宛先ポート番号として設定して送信した後、状態値を「保留」から「無効」に変更する。すなわち、被管理装置２の機器識別子が「機器ａ」である場合、図１０で示した接続情報格納部１４に格納される値は、図１１で示す値に変更される。

管理開始ＩＮＦＯＲＭ応答を受信した中継装置３は、アドレス変換テーブルを用いて、管理開始ＩＮＦＯＲＭ応答メッセージパケットの宛先アドレス情報の値をローカルアドレス情報に変換し、被管理装置２に送信する（ステップＳ７０８）。

被管理装置送受信部２１及び被管理装置プロトコル処理部２２を介して管理開始ＩＮＦＯＲＭ応答を受信した被管理装置２は、接続制御部２４において、現在のＳＮＭＰ用ポートの閉塞を被管理装置送受信部２１に要求して現在のＳＮＭＰ用ポートを閉じる（ステップＳ７０９）。

この後、被管理装置２が監視装置１からの継続した管理を許すのであれば、接続制御部２４は、被管理装置送受信部２１に対して、新たなポートの開放を要求する。被管理装置送受信部２１は、前回とは異なる任意のポート番号を用いて、新たなポートを開く（ステップＳ７１０）。ポートを開いた後の処理は、前回と同様の処理を繰り返す。一方、被管理装置２が監視装置１からの継続した管理を許さないのであればポートは閉じておき、新たに管理開始トリガが発生した時点で、前回とは異なる任意のポート番号を用いて同様の処理を行う。

次に、監視装置１が被管理装置２に対して管理操作を行う場合の動作を図面に基づいて説明する。図１２は監視装置送受信部１１の構成を示したものであり、監視装置送受信部１１は、グローバルネットワーク４からのパケットを受信する受信部１１２、グローバルネットワーク４にパケットを送信する送信部１１３、パケットに宛先アドレスを設定し、送信か送信待ちかを振り分けるパケット生成部１１１、及び、送信待ちパケットの管理を行う送信待ちパケット管理部１１４から成る。

監視装置１が被管理装置２に対して管理操作を行う場合、監視機能部１３は、監視装置プロトコル処理部１２を通して行うべき管理操作要求メッセージを生成し、管理操作対象である被管理装置２の機器識別子と共にパケット生成部１１１に渡す。パケット生成部１１１は、渡された機器識別子をキーにして、接続情報格納部１４から被管理装置２のＩＰアドレス、ポート番号、及び、状態値を取得する。そして、パケット生成部１１１は、宛先ＩＰアドレス及び宛先ポート番号に取得した値を設定したパケットを管理操作要求メッセージを用いて生成し、取得した状態値が「有効」の場合は送信部１１３に生成パケットを渡し、「保留」あるいは「無効」の場合は送信待ちパケット管理部１１４に生成パケットと機器識別子を渡す。

送信待ちパケット管理部１１４は、渡されたパケットを送信待ちパケットとして機器識別子ごとに格納する。被管理装置２から管理開始ＩＮＦＯＲＭ要求を受信した時、時間接続管理部１５は、受信した管理開始ＩＮＦＯＲＭ要求に対する接続情報を接続情報格納部１４に格納した後、状態値が「有効」になった接続情報と機器識別子を送信待ちパケット管理部１１４に渡す。送信待ちパケット管理部１１４は、渡された機器識別子をキーにして送信待ちパケットを検索し、該当するパケット全てに対して、渡された接続情報を元にして宛先ＩＰアドレス及び宛先ポート番号を設定して送信部１１３に渡す。

送信部１１３は、渡されたパケットを、グローバルネットワーク４及び中継装置３を介して、被管理装置２に送信する。

被管理装置２は、管理操作要求を被管理装置送受信部２１を介して受信し、被管理装置プロトコル処理部２２に管理操作要求メッセージを渡す。被管理装置プロトコル処理部２２は渡されたメッセージを解析し、要求された処理をエージェント機能部２３を用いて行う。そして、被管理装置プロトコル処理部２２は、エージェント機能部２３で処理された結果を用いて管理操作応答メッセージを生成し、被管理装置送受信部２１を介して監視装置１に送信する。

なお、被管理装置プロトコル処理部２２は、受信した管理操作要求メッセージのプロトコルデータ内に被管理装置２のアドレス情報に関するデータが存在する場合には、データの値をグローバルアドレス情報からローカルアドレス情報へ変換する。また、被管理装置プロトコル処理部２２は、管理操作応答メッセージのプロトコルデータ内に被管理装置２のアドレス情報に関するデータが存在する場合には、データの値をローカルアドレス情報からグローバルアドレス情報へ変換する。

監視装置１は、被管理装置２から送信された管理操作応答を受信すると、監視装置送受信部１１及び監視装置プロトコル処理部１２を介して、要求した管理操作に対する結果として監視機能部１３に渡される。

以上のように、本実施の形態１に係るＳＮＭＰネットワーク管理システムによれば、被管理装置に、前回の使用番号と異なる任意の番号を用いてポートを開放する被管理装置送受信部と、機器識別子と管理有効時間を含む管理開始ＩＮＦＯＲＭ要求及び応答に関する処理を行い、ＳＮＭＰ用ポートの開閉を制御する接続制御部とを備え、一方、監視装置に、被管理装置の接続情報と状態値を格納する接続情報格納部、指定された時間を計測するタイマ、及び、管理開始ＩＮＦＯＲＭ要求受信時には接続情報格納部の接続情報を変更し、タイマを用いて管理有効時間を計測した後管理開始ＩＮＦＯＲＭ応答に関する処理を行う時間接続管理部を備えたことから、被管理装置が現在用いるポート番号を管理開始ＩＮＦＯＲＭ要求を送信することで監視装置に通知し、管理有効時間後に監視装置から送信される管理開始ＩＮＦＯＲＭ応答を受信した時を契機として、被管理装置は現在用いるポートを閉じ、異なるポート番号を用いて新たなポートを開くことができる。その結果、被管理装置が主導的にポートの開閉時間を決めることができ、かつ、監視装置と連携を取りつつ被管理装置で用いるポート番号を変動させることができるため、被管理装置は外部からの攻撃を受けにくくなり、セキュリティが向上する。

さらに、中継装置のアドレス変換テーブルに設定されるアドレス情報保持時間よりも短く管理有効時間を設定することにより、アドレス情報保持時間内に必ず被管理装置に係る通信が行われるため、被管理装置のアドレス情報をアドレス変換テーブル上に保持し続けることができる。

なお、本実施の形態では監視装置は一つであったが、監視装置は複数存在してもよい。監視装置が複数存在し、全ての監視装置に対して一つのポートを共用する場合、被管理装置は、個々の監視装置に管理開始ＩＮＦＯＲＭ要求を送信し、管理開始ＩＮＦＯＲＭ要求を送信した全ての監視装置から応答を受信した時点で、使用中のポートを閉じる。また、監視装置が複数存在し、監視装置ごとに異なるポートを用いる場合、被管理装置は、監視装置ごとにポートを開いて、それぞれのポートを用いて監視装置に管理開始ＩＮＦＯＲＭ要求を送信し、管理開始ＩＮＦＯＲＭ応答を受信すると、受信した管理開始ＩＮＦＯＲＭ応答を送信した監視装置に対するポートだけを閉じる。

（実施の形態２）
図１３は、本発明の実施の形態２のＳＮＭＰネットワーク管理システムの構成図である。図１３において、図１及び図３と同じ構成要素については同じ符号を用い、説明を省略する。

図１３において、監視装置１は、実施の形態１の時間接続管理部１５の代わりに、管理開始ＩＮＦＯＲＭ要求／応答に関する処理を行い、被管理装置２との接続状態を管理する接続管理部１７を保持する。一方、被管理装置２は、実施の形態１の構成に加え、ポートの閉塞時間を計測する閉塞用タイマ２５を保持し、実施の形態１の接続制御部２４の代わりに、閉塞用タイマ２５を用いてポートの開閉制御を行い、管理開始ＩＮＦＯＲＭ要求及び応答に関する処理を行う時間接続制御部２６を保持する。

以上のように構成されたＳＮＭＰネットワーク管理システムにおいて、監視装置１が被管理装置２の管理を始め、被管理装置２がＳＮＭＰ用ポートのポート番号を変更する場合のシーケンスを図１４に示し、この場合の動作を図面に基づいて説明する。

まず、被管理装置２において管理開始トリガが発生すると、時間接続制御部２６は被管理装置送受信部２１に対してＳＮＭＰ用ポートを開くように要求し、被管理装置送受信部２１は任意のポート番号を用いて新たなポートを開く（ステップＳ１４０１）。さらに、時間接続制御部２６は、被管理装置プロトコル処理部２２をおいてＳＮＭＰメッセージである管理開始ＩＮＦＯＲＭ要求を生成し、被管理装置送受信部２１を介して監視装置１に送信する（ステップＳ１４０２）。ここで、管理開始ＩＮＦＯＲＭ要求メッセージに含まれるＰＤＵは、実施の形態１とは異なり、機器識別子は必須であるが、管理有効時間は必須ではない。

管理開始ＩＮＦＯＲＭ要求を受信した中継装置３は、被管理装置２のアドレス情報をアドレス変換テーブルに登録し（ステップＳ１４０３）、管理開始ＩＮＦＯＲＭ要求メッセージパケットの送信元ＩＰアドレス及び送信元ポート番号の値をグローバルアドレス情報に変換して、監視装置１に送信する（ステップＳ１４０４）。

監視装置１は、監視装置送受信部１１及び監視装置プロトコル処理部１２により管理開始ＩＮＦＯＲＭ要求を受信する。そして、受信した管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレス、送信元ポート番号、及び、機器識別子を接続管理部１７に渡し、接続情報格納部１４に格納する。その後、接続管理部１７は、格納した接続情報と機器識別子を送信待ちパケット管理部１１４に渡す。そして、送信待ちパケット管理部１１４は、渡された機器識別子をキーにして送信待ちパケットを検索し、該当するパケット全てに対して、渡された接続情報を元に宛先ＩＰアドレス及び宛先ポート番号を設定する。値設定が行われたパケットは、送信部１１３に渡され、被管理装置２に送信される（ステップＳ１４０５、ステップＳ１４０６）。

送信待ちパケットに関する処理が終了した後、接続管理部１７は、接続情報格納部１４に対して、被管理装置２に対応する接続情報の状態値を「保留」に変更するよう要求し、監視装置プロトコル処理部１２及び監視装置送受信部１１を介して管理開始ＩＮＦＯＲＭ応答を被管理装置２に送信する（ステップＳ１４０９、ステップＳ１４１０）。

被管理装置２は、被管理装置送受信部２１及び被管理装置プロトコル処理部２２を介して管理開始ＩＮＦＯＲＭ応答を受信する。そして、時間接続制御部２６から被管理装置送受信部２１に対してポートの閉塞を要求し、現在のＳＮＭＰ用ポートを閉じる（ステップＳ１４１１）。その後、時間接続制御部２６は、閉塞用タイマ２５にポート閉塞時間を設定して計測を開始する（ステップＳ１４１２）。ここで、ポート閉塞時間は、中継装置３のアドレス変換テーブルに設定されるアドレス情報保持時間より短く設定する。

閉塞用タイマ２５が満了すると（ステップＳ１４１３）、時間接続制御部２６は、ＳＮＭＰ用ポートを開くように被管理装置送受信部２１に要求し、前回とは異なる任意のポート番号を用いて新たなポートが開かれる（ステップＳ１４１４）。以降の処理は、上記一連の処理の繰り返しとなる。

以上のように、本実施の形態２に係るＳＮＭＰネットワーク管理システムによれば、被管理装置に閉塞用タイマを備えたことから、被管理装置は、監視装置からの管理開始ＩＮＦＯＲＭ応答を受信時に現在のＳＮＭＰ用ポートを閉じて閉塞用タイマを設定し、閉塞用タイマが満了した時点で前回とは異なる任意のポート番号を用いて新たなポートを開くことができる。この結果、被管理装置が主導的にポートの開閉時間を決めることができ、かつ、監視装置と連携を取りつつ被管理装置で用いるポート番号を変動させることができるため、被管理装置は外部からの攻撃を受けにくくなり、セキュリティが向上する。

さらに、監視装置は、被管理装置がポートを閉じている間は管理操作要求を溜めておき、管理開始ＩＮＦＯＲＭ要求の受信により被管理装置のポート開放が判明した時点で溜めていた管理操作要求を全て送信した後、管理開始ＩＮＦＯＲＭ応答を送り、管理開始ＩＮＦＯＲＭ応答を受信した被管理装置は、その後、ポート閉塞時間の間はポートを閉じるため、監視装置から継続して管理を行うような場合でもポートを開く時間を必要最小限にすることができるため、被管理装置のセキュリティを更に向上することができる。

加えて、中継装置のアドレス変換テーブルに設定されるアドレス情報保持時間よりも短くポート閉塞時間を設定することにより、アドレス情報保持時間内に必ず被管理装置に係る通信が行われるため、被管理装置のアドレス情報をアドレス変換テーブル上に保持し続けることができる。

また、監視装置において、被管理装置ごとにタイマを管理する必要がなくなるため、監視装置にかかる負荷を軽減することができる。

本発明にかかるＳＮＭＰネットワーク管理システムは、アドレス変換機能をもつ中継装置を介してグローバルネットワークに接続する被管理装置をグローバルネットワーク上の監視装置がＳＮＭＰを用いて管理する際に、被管理装置の安全性を高めるためのネットワーク管理システムとして有用である。

本発明の実施の形態１におけるＳＮＭＰネットワーク管理システムの構成を示す図監視装置が中継装置を介して被管理装置を管理するネットワーク管理システムの一例を示す図従来のＳＮＭＰネットワーク管理システムの構成を示す図従来のＳＮＭＰネットワーク管理システムにおける通信シーケンスを示す図ＳＮＭＰメッセージパケットの構成を示す図中継装置が保持するアドレス変換テーブルを示す図本発明の実施の形態１におけるＳＮＭＰネットワーク管理システムの通信シーケンスを示す図本発明の実施の形態１及び２における管理開始ＩＮＦＯＲＭ要求メッセージの構成を示す図本発明の実施の形態１及び２における、接続情報格納部で保持する接続情報の一例を示す図本発明の実施の形態１における、タイマが満了時に接続情報格納部で保持する接続情報の一例を示す図本発明の実施の形態１及び２における、接続情報が無効時に接続情報格納部で保持する接続情報の一例を示す図本発明の実施の形態１及び２における送受信部の構成を示す図本発明の実施の形態２におけるＳＮＭＰネットワーク管理システムの構成を示す図本発明の実施の形態２におけるＳＮＭＰネットワーク管理システムの通信シーケンスを示す図

符号の説明

１監視装置
２被管理装置
３中継装置
４グローバルネットワーク
５ローカルネットワーク
１１監視装置送受信部
１２監視装置プロトコル処理部
１３監視機能部
１４接続情報格納部
１５時間接続管理部
１６タイマ
１７接続管理部
１８監視装置パケット送受信部
２１被管理装置送受信部
２２被管理装置プロトコル処理部
２３エージェント機能部
２４接続制御部
２５閉塞用タイマ
２６時間接続制御部
２７被管理装置パケット送受信部
１１１パケット生成部
１１２受信部
１１３送信部
１１４送信待ちパケット管理部
５０１送信元ＩＰアドレス
５０２宛先ＩＰアドレス
５０３送信元ポート番号
５０４宛先ポート番号
５０５バージョン
５０６コミュニティ名
５０７ＰＤＵ
８０１リクエストＩＤ
８０２エラーステータス
８０３エラーインデックス
８０４ｓｙｓＵｐＴｉｍｅ
８０５ｓｎｍｐＴｒａｐＯＩＤ
８０６機器識別子
８０７管理有効時間

Claims

グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰ（ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）を用いて管理するＳＮＭＰネットワーク管理システムであって、
前記被管理装置は、
前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、
前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、
前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、
ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子と、前記監視装置からの管理を許可する管理有効時間を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、一方、前記管理開始ＩＮＦＯＲＭ要求に対する応答を前記被管理装置プロトコル処理部から渡された時に、前記被管理装置送受信部に対してポートの閉塞を要求する接続制御部と、
を有し、
前記監視装置は、
指定された時間を計測するタイマと、
ＳＮＭＰメッセージの解析と生成を行う監視装置プロトコル処理部と、
前記機器識別子を用いて前記被管理装置を識別し、前記被管理装置の状態及び障害の監視や前記被管理装置に対する管理操作を前記監視装置プロトコル処理部を通して行う監視機能部と、
前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、
前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納し、前記管理開始ＩＮＦＯＲＭ要求に含まれる管理有効時間を前記タイマに設定した後、前記タイマが満了すると、前記接続情報格納部にアクセスして、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子に対応する接続情報の状態値を変更し、前記管理開始ＩＮＦＯＲＭ要求に対する応答の生成を前記監視装置プロトコル処理部に要求する時間接続管理部と、
前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記時間接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部と、
を有するＳＮＭＰネットワーク管理システム。
アドレス変換装置を介してグローバルネットワークに接続するローカルネットワーク上に存在し、グローバルネットワーク上の監視装置からＳＮＭＰを用いて管理される被管理装置において、
前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、
前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、
前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、
ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子と、前記監視装置からの管理を許可する管理有効時間を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、一方、前記管理開始ＩＮＦＯＲＭ要求に対する応答を前記被管理装置プロトコル処理部から渡された時に、前記被管理装置送受信部に対してポートの閉塞を要求する接続制御部と、
を備えることを特徴とする被管理装置。
グローバルネットワーク上の監視装置が、グローバルネットワークにアドレス変換装置を介して接続するローカルネットワーク上の被管理装置をＳＮＭＰを用いて管理するＳＮＭＰネットワーク管理システムであって、
前記被管理装置は、
指定された閉塞時間を計測する閉塞用タイマと、
前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、
前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、
前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、
ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、前記管理開始ＩＮＦＯＲＭ要求に対する応答を受信時に、前記被管理装置送受信部に対してポートの閉塞を要求すると共に前記閉塞用タイマにポート閉塞時間を設定して、前記閉塞用タイマが満了すると、前記被管理装置送受信部に対してポートの開放を要求すると共に前記被管理装置プロトコル処理部に前記管理開始ＩＮＦＯＲＭ要求の生成を要求する時間接続制御部と、
を有し、
前記監視装置は、
ＳＮＭＰメッセージの解析と生成を行う監視装置プロトコル処理部と、
前記機器識別子を用いて前記被管理装置を識別し、前記被管理装置の状態及び障害の監視や前記被管理装置に対する管理操作を前記監視装置プロトコル処理部を通して行う監視機能部と、
前記被管理装置ごとに、前記被管理装置のＩＰアドレス及びポート番号から成る接続情報と前記機器識別子を格納し、前記接続情報が有効な値であるかを示す状態値を前記接続情報ごとに格納する接続情報格納部と、
前記管理開始ＩＮＦＯＲＭ要求に関する情報を前記監視装置プロトコル処理部から受け取り、前記管理開始ＩＮＦＯＲＭ要求の送信元ＩＰアドレスと送信元ポート番号、及び、前記管理開始ＩＮＦＯＲＭ要求に含まれる機器識別子を前記接続情報格納部に格納した後、管理開始ＩＮＦＯＲＭ応答の生成を前記監視装置プロトコル処理部に要求する接続管理部と、
前記グローバルネットワークを介して前記被管理装置からのＳＮＭＰメッセージパケットを受信して前記監視装置プロトコル処理部に渡す処理と、前記監視装置プロトコル処理部からＳＮＭＰメッセージと機器識別子を受け取り、前記機器識別子をキーにして前記接続情報格納部から前記接続情報と前記状態値を取得し、前記接続情報を宛先アドレスに設定してパケットを生成した後、前記接続情報が有効な値であれば即座に、一方、有効な値でなければ前記接続管理部から有効な値への変更が通知された時点で、生成したＳＮＭＰメッセージパケットを前記グローバルネットワークを介して前記被管理装置に送信する処理とを行う監視装置送受信部と、
を有するＳＮＭＰネットワーク管理システム。
アドレス変換装置を介してグローバルネットワークに接続するローカルネットワーク上に存在し、グローバルネットワーク上の監視装置からＳＮＭＰを用いて管理される被管理装置において、
指定された閉塞時間を計測する閉塞用タイマと、
前回の使用番号と異なる任意のポート番号を用いたポートの開放処理、使用中ポートの閉塞処理、及び、前記監視装置と前記ローカルネットワークを介してＳＮＭＰメッセージパケットの送受信処理を行う被管理装置送受信部と、
前記被管理装置送受信部から渡されたＳＮＭＰメッセージの解析処理、及び、ＳＮＭＰメッセージを生成して前記被管理装置送受信部に渡す処理を行う被管理装置プロトコル処理部と、
前記被管理装置プロトコル処理部から渡された解析結果を元に、自装置の状態管理や障害発生時の通知などのエージェント処理を行い、処理結果を前記被管理装置プロトコル処理部に渡すエージェント機能部と、
ネットワーク管理開始時に、前記被管理装置送受信部に対してポートの開放を要求した後、自装置に固有に付与された機器識別子を含む管理開始ＩＮＦＯＲＭ要求の生成を前記被管理装置プロトコル処理部に要求し、前記管理開始ＩＮＦＯＲＭ要求に対する応答を受信時に、前記被管理装置送受信部に対してポートの閉塞を要求すると共に前記閉塞用タイマにポート閉塞時間を設定して、前記閉塞用タイマが満了すると、前記被管理装置送受信部に対してポートの開放を要求すると共に前記被管理装置プロトコル処理部に前記管理開始ＩＮＦＯＲＭ要求の生成を要求する時間接続制御部と、
を備えることを特徴とする被管理装置。
アドレス変換装置を介してグローバルネットワークに接続するローカルネットワーク上に存在し、グローバルネットワーク上の監視装置からＳＮＭＰを用いて管理される被管理装置用のプログラムであって、
ネットワーク管理開始時に、前回とは異なる任意の番号を用いてＳＮＭＰ用ポートを開け、自装置に固有に付与された機器識別子を含む管理開始ＩＮＦＯＲＭ要求を前記監視装置に送信し、前記管理開始ＩＮＦＯＲＭ要求に対する応答を前記監視装置から受信すると、前記ＳＮＭＰ用ポートを閉じるためのプログラム。