JP2008252248A - 複数の通信ネットワークと集中監視サーバとの間に介在する中間システム - Google Patents

Abstract

【課題】複数の通信ネットワークと集中監視サーバとの間をＩＰアンリーチャブルとすることと、ネットワーク状態に関する詳細を集中監視サーバに通知することとの両方を実現できるようにする。
【解決手段】複数の通信ネットワークと集中監視サーバとの間に、データのミラーリング機能を具備した中間システムを介在する。中間システムが、通信ネットワークの状態に関するメッセージを有した第一のデータを受信し、ミラーリング機能により、その第一のデータの複製である第二のデータを作成する。さらに、中間システムは、その第二のデータ中の送信先アドレスを、集中監視サーバのアドレスに変換して、そのアドレス変換後のデータである第三のデータを、集中監視サーバに送信する。
【選択図】図１

Description

本発明は、複数の通信ネットワークの集中監視に関わる。

通信ネットワークの監視に関する技術として、例えば、特許文献１に開示の技術が知られている。特許文献１によれば、通信ネットワークの運用管理に係る情報が定期的に監視され、異常状態が認められる場合には、経路制御などを実行することにより、正常な通信状態が維持される。

特開２００５−２３４９６３号公報

監視対象が一つの通信ネットワーク（以下、個別ネットワーク）である場合には、例えば、個別ネットワークを監視するサーバ（以下、個別ＮＷ監視サーバ）を設置し、個別ＮＷサーバが、監視対象である個別ネットワークを監視すれば良い。

しかし、監視対象を、複数の個別ネットワークとし、それらを一元的に監視する場合には、それら複数の個別ネットワークを一元的に監視するためのサーバ（以下、集中監視サーバ）を、各個別ＮＷ監視サーバとは別に設置する必要がある。

集中監視サーバを備えたシステム（以下、集中監視システム）として、例えば、下記の第一及び第二の集中監視システムが考えられる。

第一の集中監視システムは、図１に示すように、複数の個別ＮＷ監視サーバ１０３と集中監視サーバ１０７との間に、複数のプロテクト装置１０５を介在し、電気信号で、個別ネットワーク１０１の状態変化を集中監視サーバ１０７に通知するシステムである。具体的には、個別ＮＷ監視サーバ１０３が、監視対象の個別ネットワーク１０１のネットワーク状態の変化（以下、状態変化）を検知し、プロテクト装置１０５が解釈できる専用形式のパケット（以下、専用パケット、例えば、監視対象の個別ネットワーク１０１のネットワーク状態を表すメッセージを含んだパケット）を作成し、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）で、その専用パケットをプロテクト装置１０５に送信する。プロテクト装置１０５が、専用パケットを受信し、受信した専用パケットが示す状態変化（例えば、障害かどうか）を判別し、判別された状態変化に相当する電気信号を、集中監視サーバ１０７に伝達する。集中監視サーバ１０７は、プロテクト装置１０５から電気信号を受信し、受信した電気信号に相当する情報（以下、状態変化通報）を準備し、準備した状態変化通報を、オペレータ端末１０９に送信する。オペレータ端末１０９は、状態変化通報から特定される状態変化を表示する（例えば、状態変化が障害を表していれば、どの個別ネットワーク１０１で障害が生じたかを表示する）。

第一の集中監視システムによれば、複数のプロテクト装置１０５から集中監視サーバ１０７へは電気信号が伝達されるようになっているため、複数の個別ネットワーク１０１（複数の個別ＮＷ監視サーバ１０３）と集中監視サーバ１０７との間は、ＩＰアンリーチャブルとなっている。このため、個別ネットワーク１０１と他の個別ネットワーク１０１とが互いに接続されることはなく、故に、セキュリティを保った一元的な監視が可能となる。しかし、前述したように、複数のプロテクト装置１０５から集中監視サーバ１０７へ伝達されるのは電気信号であるため、どういう状態変化が起こったかということしか集中監視サーバ１０７に伝えることができない。状態変化に関する詳細を把握するためには、例えば、運用オペレータが、オペレータ端末１０９を用いて、専用パケットの送信元の個別ＮＷ監視サーバ１０３にログインする必要がある。

一方、第二の集中監視システムは、図２に示すように、複数の個別ＮＷ監視サーバ２０３と集中監視サーバ２０７との間に、複数のネットワークスイッチ２０５を介在し、各個別ＮＷ監視サーバ２０３が、ＩＰでのパケット送信で、個別ネットワーク２０１の状態変化及びそれに関する詳細を、集中監視サーバ２０７に通知するシステムである。

第二の集中監視システムによれば、集中監視サーバ２０７には、パケットが届くので、状態変化のみならずそれに関する詳細も届くことになり、故に、オペレータ端末２０９に、状態変化に関する詳細を表示することができる。これにより、運用オペレータが、わざわざ個別ＮＷ監視サーバ２０３にログインする必要は無くなる。しかし、第二の集中監視システムによれば、複数の個別ネットワーク２０１（複数の個別監視サーバ２０３）と集中監視サーバ２０７との間がＩＰリーチャブルであるため、セキュリティの面で問題がある。

以上のように、第一及び第二の集中監視システムには、それぞれ一長一短がある。このため、第一及び第二の集中監視システムの両方の長所を有する新たな集中監視システムが望まれる。

従って、本発明の目的は、複数の通信ネットワークと集中監視サーバとの間をＩＰアンリーチャブルとすることと、ネットワーク状態に関する詳細を集中監視サーバに通知することとの両方を実現できるようにすることにある。

複数の通信ネットワークと集中監視サーバとの間に、データのミラーリング機能を具備した中間システムを介在する。中間システムが、通信ネットワークの状態に関するメッセージを有した第一のデータを受信し、ミラーリング機能により、その第一のデータの複製である第二のデータを作成する。さらに、中間システムは、その第二のデータ中の送信先アドレスを、集中監視サーバのアドレスに変換して、そのアドレス変換後のデータである第三のデータを、集中監視サーバに送信する。

一つの実施形態では、複数の通信ネットワークと集中監視サーバとの間に介在する中間システムが、第一のデータを受信する第一データ受信手段と、受信した第一のデータの複製である第二のデータを作成する複製手段と、第二のデータ中の送信先アドレスを集中監視サーバのアドレスに変換するアドレス変換手段と、送信先アドレスが変換された後の第二のデータである第三のデータをその第三のデータ中の送信先アドレスに従って集中監視サーバに送信する送信手段とを備える。

複数の通信ネットワークの各々は、例えば、前述した個別ネットワークであり、より具体的には、例えば、ＬＡＮ（Local Area Network）又はＷＡＮ（World Area Network）である。

第一のデータは、例えば、Ｓｙｓｌｏｇデータ又はＳＮＭＰトラップである（第一のデータを基に作成されたデータは、例えば、ＳＮＭＰトラップを基に作成されたＳｙｓｌｏｇパケットである）。第一のデータは、通信ネットワークの状態に関するメッセージであり、そのメッセージは、例えば、通信ネットワークにおいてどのネットワーク機器（その通信ネットワークにおいて中間的な又は末端的なノードとなっている機器）でどんな状態変化が生じたかやその状態変化に関する詳細を示す。状態変化に関する詳細としては、例えば、リンクダウン（ネットワーク機器と接続されている機器とのリンクが途絶えた）、ネットワーク機器が再起動した、或いは、ネットワーク機器の正副が切替わった（例えば、ネットワーク機器が正と副といった冗長構成になっている場合）などがある。

一つの実施形態では、中間システムが、更に、破棄手段を備える。破棄手段は、前述した複製手段が第二のデータを作成した後に、その第一のデータを破棄する。

一つの実施形態では、中間システムが、複数の通信ネットワークにそれぞれ対応した複数のネットワークスイッチ（例えばスイッチングハブ）と、複数のネットワークスイッチと集中監視サーバとの間に介在するデータ変換装置とで構成される。この場合、複数のネットワークスイッチの各々が、前述した第一データ受信手段及び複製手段と、複製手段により作成された第二のデータが送出されるミラーポートとを有する。データ変換装置が、複数のネットワークスイッチのミラーポートからそれぞれ第二のデータを受け付ける複数の第二データ受信手段と、前述したアドレス変換手段と、送信手段とを有する。

一つの実施形態では、第一のデータ及びそれの複製である第二のデータには、その第一のデータの送信元アドレスが含まれる。アドレス変換手段が、第二のデータ中の送信元アドレスを、複数の通信ネットワークについて予め用意された複数の固有の送信元アドレスのうちの、その第二のデータに対応する通信ネットワークについての固有の送信元アドレスに変換する。

前述した各手段（例えば、第一データ受信手段、複製手段、アドレス変換手段、送信手段など）は、ハードウェア（例えば回路）、コンピュータプログラム、或いはそれらの組み合わせ（例えば、一部をコンピュータプログラムで実行し残りをハードウェアで実行する）によって実現することもできる。各コンピュータプログラムは、コンピュータマシンに備えられる記憶資源（例えばメモリ）から読み込むことができる。その記憶資源には、ＣＤ−ＲＯＭやＤＶＤ（Digital Versatile Disk）等の記録媒体を介してインストールすることもできるし、インターネットやＬＡＮ等の通信ネットワークを介してダウンロードすることもできる。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。

図３は、本発明の一実施形態に係る集中監視システムの構成例を示す。なお、図３では、同種の要素については、親番号（例えば３００）と子符号（例えばＡ）との組み合わせで構成された参照番号（例えば３００Ａ）を付しているが、同種の要素を区別しないで説明する場合には、親番号のみを用いて説明することがある。

複数の個別ネットワーク３０１Ａ〜３０１Ｃをそれぞれ監視する複数の個別ＮＷ監視サーバ３０３Ａ〜３０３Ｃと、集中監視サーバ３０７との間に、中間システム３０５が介在する。中間システム３０５は、複数の個別ＮＷ監視サーバ３０３Ａ〜３０３Ｃからそれぞれパケットを受け付ける複数のネットワークスイッチ４０１Ａ〜４０１Ｃと、複数のネットワークスイッチ４０１Ａ〜４０１Ｃからそれぞれパケットを受信し変換して集中監視サーバ３０７に送信するパケット変換装置４０２とで構成される。

複数のネットワークスイッチ４０１Ａ〜４０１Ｃの各々が、パケットミラーリング機能を具備している。これにより、図３の一点鎖線６０１で示すように、各ネットワークスイッチ４０１を境に、集中監視システムを、個別ネットワーク３０１側である第一のレイヤと、集中監視サーバ３０７側である第二のレイヤとに論理的に分けることができる。第一のレイヤから第二のレイヤへは（言い換えれば、各ネットワークスイッチ４０１において、個別ＮＷ監視サーバ３０３からパケットを受信するスイッチポート７０１と、パケット変換装置４０２に接続される後述のミラーポート７０３との間は）、図示のように、ＩＰアンリーチャブルとなる。また、図示のように、ネットワークスイッチ４０１と他のネットワークスイッチ４０１との間もＩＰアンリーチャブルとなる。

以下、ネットワークスイッチ４０１及びパケット変換装置４０２について、詳細に説明する。

図４は、ネットワークスイッチ４０１の構成例を示す。

ネットワークスイッチ４０１には、複数のポートがあるが、そのうちの一つ（二以上でも良い）が、ミラーポート７０３であり、他が、スイッチポート７０１である。また、ネットワークスイッチ４０１は、ダミーＩＰアドレス設定部７０５と、パケット制御部７０７とを備えている。

スイッチポート７０１は、パケットの送受信、つまり双方向通信可能なポートであり、ネットワークスイッチ４０１を介したスイッチング処理に使用されるポートである。例えば、第一の機器から第一のスイッチポート７０１が受信したパケットを第二のスイッチポート７０１を介して第二の機器に転送したり、第二の機器から第二のスイッチポート７０１が受信したパケットを第一のスイッチポート７０１を介して第一の機器に転送したりすることが可能である。

ミラーポート７０３は、後述するミラーパケットが送出されるポートである。ミラーポート７０３を介した通信では、ミラーポート７０３からのパケット送信のみが可能で、双方向通信は不可能である。ミラーポート７０３には、パケット変換装置４０２が接続される。

ダミーＩＰアドレス設定部７０５は、ダミーＩＰアドレスの設定を受け付けるモジュールであり、例えば、ＣＰＵによって実行されるコンピュータプログラムである。ダミーＩＰアドレスとは、個別ＮＷ監視サーバ３０３に宛先として指定させるために用意されたＩＰアドレスである。本実施形態では、後述するように、ダミーＩＰアドレスが宛先とされたオリジナルのパケットは破棄されるため、単にＩＰアドレスではなく、ダミーＩＰアドレスと読んでいる。この図４のネットワークスイッチ４０１に設定されたダミーＩＰアドレスは、このネットワークスイッチ４０１に接続される個別ＮＷ監視サーバ３０３に、パケットの送信先ＩＰアドレスとして設定される。

パケット制御部７０７は、スイッチポート７０１を介して受信したパケットの処理を制御するモジュールであり、例えば、ＣＰＵによって実行されるコンピュータプログラムである。パケット制御部７０７は、ミラーパケット作成部７１３を備える。ミラーパケット作成部７１３は、ダミーＩＰアドレスが指定されているオリジナルパケットを複製し、複製により得られたパケット（ミラーパケット）を、ミラーポート７０３を介して送出する。

ダミーＩＰアドレス設定部７０５とパケット制御部７０７とにより、上述したパケットミラーリング機能が提供される。図５Ａ及び図５Ｂを参照して、集中監視システムにおいてネットワークスイッチ４０１がパケットミラーリング機能を備えていることの利点を説明する。

図５Ａに示すように、ネットワークスイッチ４０１がパケットミラーリング機能を備えていない場合、個別ＮＷ監視サーバ３０３は、パケットの宛先として集中監視サーバ３０７のＩＰアドレスを指定することになる。このため、ネットワークスイッチ４０１における全てのポートがそれぞれスイッチポート７０１となり（言い換えれば、全てのポートが同じレイヤ（データリンク層）に属し）、各スイッチポート７０１は、双方向通信可能なため、中間システム３０５がＩＰリーチャブルな環境となる。それ故、個別ＮＷ監視サーバ３０３が他の個別ＮＷ監視サーバ３０３と中間システム３０５を介して接続することが可能となってしまう。

しかし、集中監視システムにおいて上述したパケットミラーリング機能を備えたネットワークスイッチ４０１を備えることで、図５Ｂに一点鎖線６０１で示すように、各ネットワークスイッチ７０１が属する第一のレイヤ（データリンク層）とミラーポート７０３が属する第二のレイヤとに分離され、ＩＰアンリーチャブルの環境となる。すなわち、個別ＮＷ監視サーバ３０３から送信された、ダミーＩＰアドレスを指定したオリジナルのパケットは、オリジナルのパケットの複製であるミラーパケットが作成された後に破棄され、そのミラーパケットは、ミラーポート７０３から送出される。ミラーポート７０３を介した双方向通信は不可能である。

図６は、パケット変換装置４０２の構成例を示す。

パケット変換装置４０２は、複数のミラーパケット受信部８０１Ａ〜８０１Ｃと、アドレス変換部８０３と、第二レイヤスイッチング部８０５と、変換後パケット送信部８０９とを備える。

複数のミラーパケット受信部８０１Ａ〜８０１Ｃは、複数のネットワークスイッチ４０１Ａ〜４０１Ｃからそれぞれミラーパケットを受信するモジュールであり、例えば通信インタフェース回路である。図６の例では、ミラーパケット受信部８０１の数は、図３に示したネットワークスイッチ４０１の数よりも多い。この例では、例えば、複数のネットワークスイッチ４０１Ａ〜４０１Ｃがミラーパケット受信部８０１Ａ〜８０１Ｃに接続される。

アドレス変換部８０３は、各ミラーパケット受信部８０１が受信したミラーパケットに含まれている送信元ＩＰアドレス・送信元ＭＡＣアドレスと送信先ＩＰアドレス・送信先ＭＡＣアドレスとを変換するモジュールであり、例えばハードウェア回路である。アドレス変換部８０３は、アドレス変換後のミラーパケット（以下、変換後パケット）を、第二レイヤスイッチング部８０５に送出する。アドレス変換部８０３は、複数のミラーパケット受信部８０１Ａ〜８０１Ｄにそれぞれ接続される複数の上流側ポート８１１Ａ〜８１１Ｄと、第二レイヤスイッチング部８０５に接続される複数の下流側ポート８１２Ａ〜８１２Ｄとを有する。

第二レイヤスイッチング部８０５は、アドレス変換部８０３から変換後パケットを受けて変換後パケット送信８０９部へ送出するモジュールであり、例えばスイッチ回路である。第二レイヤスイッチング部８０５は、アドレス変換部８０３に接続される複数の上流側ポート８１３Ａ〜８１３Ｄと、変換後パケット送信部８０９に接続される下流側ポート８１５とを有する。

変換後パケット送信部８０９は、第二レイヤスイッチング部８０５から変換後パケットを受けて集中監視サーバ３０７に送出するモジュールであり、例えば通信インタフェース回路である。

アドレス変換部８０３と第二レイヤスイッチング部８０５は、ゾーニングによって論理的に複数のゾーン８０７Ａ〜８０７Ｄに分割されている。一つのゾーン８０７には、アドレス変換部８０３における一つの上流側ポート８１１及び一つの下流側ポート８１２と、第二レイヤスイッチング部８０５における一つの上流側ポート８１３とが属しており、一つのゾーン８０７が一つのミラーパケット受信部８０１に対応している。

以上の構成により、例えば、個別ＮＷ監視サーバ３０３ＡからダミーＩＰアドレスを指定したオリジナルパケットが送信された場合には、そのオリジナルパケットがネットワークスイッチ４０１Ａに到達し、ミラーパケットが作成されてミラーポート７０３から送出される。ネットワークスイッチ４０１Ａのミラーポート７０３から送出されたミラーパケットは、パケット変換装置４０２において、ミラーパケット受信部８０１Ａが受信し、ゾーン８０７Ａを経由する。すなわち、ミラーパケットは、アドレス変換部８０３の上流側ポート８１１Ａで受信され、アドレス変換によって変換後パケットとされ、その変換後パケットが、下流側ポート８１２Ａから送出される。送出された変換後パケットは、第二レイヤスイッチング部８０５の上流側ポート８１３Ａで受信され、第二レイヤスイッチング部８０５のルーティング処理によって、下流側ポート８１５から変換後パケット送信部８０９に送出され、変換後パケット送信部８０９により、集中監視サーバ３０７に送信される。

再び図３を参照する。以下、図３と図７を参照して、本実施形態で行われる処理の流れを説明する（図では、ステップを「Ｓ」と略記している）。なお、以下の説明では、個別ネットワーク３０１Ａのネットワーク状態が変化したこととして、個別ネットワーク３０１Ａにおける或るネットワーク機器で障害が発生した場合を例に採る。

個別ネットワーク３０１Ａの或るネットワーク機器（例えばルータ）で障害が発生した場合、ＳＮＭＰトラップ（Simple Network Management Protocol）が、そのネットワーク機器から個別ＮＷ監視サーバ３０３Ａに送信される（Ｓ１）。

個別ＮＷ監視サーバ３０３Ａは、ネットワーク機器からＳＮＭＰトラップを受信し、受信したＳＮＭＰトラップをＳｙｓｌｏｇパケットに変換し、そのＳｙｓｌｏｇパケットを、ネットワークスイッチ４０１ＡのダミーＩＰアドレス宛に送信する（Ｓ２）。

ミラーパケット作成部７１３によって、個別ＮＷ監視サーバ３０３ＡからのオリジナルのＳｙｓｌｏｇパケットが複製され（つまり、ミラーパケットが作成され）、そのオリジナルのＳｙｓｌｏｇパケットは、ネットワークスイッチ４０１ＡでＳｙｓｌｏｇサービスが起動されていないため、破棄される（Ｓ３）。作成されたミラーパケットが、ミラーパケット作成部７１３により、ミラーポート７０３からパケット変換装置４０２に送出される（Ｓ４）。

パケット変換装置４０２では、ネットワークスイッチ４０１Ａからのミラーパケット中の各種アドレスが、アドレス変換部８０３によって変換されることにより、変換後パケットが生成される（Ｓ５）。変換後パケットが、第二レイヤスイッチング部８１３でのルーティング処理により変換後パケット送信部８０９にフォワードされ（Ｓ６）、変換後パケット送信部８０９から集中監視サーバ３０７に送信される（Ｓ７）。

集中監視サーバ３０７が、変換後パケット（アドレス変換されたミラーパケット（Ｓｙｓｌｏｇパケット））を受信し、受信した変換後パケット中の送信元ＩＰアドレスから、Ｓ１でＳＮＭＰトラップが送信された個別ネットワークが３０１Ａであることを特定し（例えば個別ネットワーク３０１Ａのネットワーク名を判別し）、所定の通報処理を実行する（Ｓ８）。例えば、集中監視サーバ３０７は、複数のオペレータ端末３０９のうちの、判別された個別ネットワーク３０１Ａに対応したオペレータ端末３０９に、変換後パケット中のメッセージを送信するという振分け処理を実行することができる。また、集中監視サーバ３０７は、変換後パケットに含まれているメッセージ（例えば障害に関する詳細）に応じて、パトランプ（警告用のランプ）３１１を作動させたり、個別ネットワーク３０１Ａで障害が発生した旨とその障害に関する詳細を音声通報装置３１３に音声で通報させたりすることができる。

また、集中監視サーバ３０７は、受信した変換後パケットに含まれているメッセージを障害管理システム３１５に送付することもできる（Ｓ９）。この場合、障害管理システム３１５が、そのメッセージに記述されている情報を用いて障害チケット（障害に関する詳細を記載した電子的なチケット）を作成し、作成した障害チケットを所定の宛先に電子メール等で送信することができる。

図８を参照して、中間システム３０５において行われる処理を詳細に説明する。なお、この説明でも、個別ネットワーク３０１Ａで障害が発生したことを例に採る。また、Ｓｙｓｌｏｇパケットには、メッセージとして、障害が発生したことや障害に関する詳細を表す情報が含まれるが、メッセージについては、図示を省略している。

個別ＮＷ監視サーバ３０３Ａからネットワークスイッチ４０１Ａに、Ｓｙｓｌｏｇパケット９０１が送信される。Ｓｙｓｌｏｇパケット９０１には、送信元ＩＰアドレス及び送信元ＭＡＣアドレスとして、個別ＮＷ監視サーバ３０３ＡのＩＰアドレス“Ａ”及びＭＡＣアドレス“Ｂ”が記録され、送信先ＩＰアドレスとして、ネットワークスイッチ４０１ＡのダミーＩＰアドレス“Ｃ”が記録されており、送信先ＭＡＣアドレスとして、ネットワークスイッチ４０１ＡのＭＡＣアドレス“Ｄ”が記録される。

ネットワークスイッチ４０１Ａでは、受信したオリジナルのＳｙｓｌｏｇパケット９０１の複製としてミラーパケット９０３が作成され、オリジナルのＳｙｓｌｏｇパケット９０１が、ネットワークスイッチ４０１ＡでＳｙｓｌｏｇサービスが起動されていないため、破棄される。ミラーパケット９０３は、パケットミラーリング機能の仕様により、そのミラーパケット９０３で指定されている送信先ＩＰアドレスに関わらず、機械的にミラーポート７０３から送出される。それ故、ミラーパケット９０３が、ミラーポート７０３から送出され、パケット変換装置４０２に届く。

パケット変換装置４０２では、ミラーパケット９０３中の各種アドレスが変換され、変換後パケット９０５が作成される。具体的には、送信先ＩＰアドレスが、“Ｃ”から、集中監視サーバ３０７のＩＰアドレス“Ｅ”に変換され、送信先ＭＡＣアドレスが、“Ｄ”から、集中監視サーバ３０７のＭＡＣアドレス“Ｆ”に変換される。また、送信元ＩＰアドレスが、“Ａ”から“Ｋ１”に変換され、送信元ＭＡＣアドレスが、“Ｂ”から“Ｌ１”に変換される。作成された変換後パケット９０５が、集中監視サーバ３０７に送信される。

ミラーパケット９０３のアドレス変換において、送信元ＩＰアドレス及び送信元ＭＡＣアドレスを行うことには、以下の２つのメリットが考えられる。

第一のメリットは、拡張性を高められることである。具体的には、複数の個別ＮＷ監視サーバ３０３Ａ〜３０３ＣのＩＰアドレスが重複している可能性があり、重複している場合には、異なる個別ネットワークについてのＳｙｓｌｏｇパケット（変換後パケット）であっても、集中監視サーバ３０７において、受信した変換後パケット中の送信元ＩＰアドレスから、同一の個別ネットワークと判別される。そこで、例えば、アドレス変換部８０３に、複数のゾーン８０７Ａ〜８０７Ｄにそれぞれ対応した複数の変換後送信元ＩＰアドレス“Ｋ１”〜“Ｋ４”を設定しておくことで、複数のゾーン８０７Ａ〜８０７Ｄでそれぞれ受けたミラーパケット中の送信元ＩＰアドレスが重複していたとしても、それぞれ、受信したゾーン８０７に固有の変換後送信元ＩＰアドレスに変換される。それにより、集中監視サーバ３０７に変換後パケット（Ｓｙｓｌｏｇパケット）９０５の送信元を正確に判別させられるので、個別ＮＷ監視サーバ３０３のＩＰアドレスの重複を気にすることなく監視対象の数を増やすことができる。

第二のメリットは、運用オペレータに送信元を特定し易くできることにある。例えば、変換後送信元ＩＰアドレス及び変換後送信元ＭＡＣアドレスの少なくとも一方として、運用オペレータが理解し易い値を設定しておけば、変換後パケット９０５中の送信元ＩＰアドレス及びＭＡＣアドレスの少なくとも一方を見るだけで、送信元を容易に特定することができる。

以上、上述した実施形態によれば、中間システム３０５が、パケットミラーリング機能を具備したネットワークスイッチ４０１と、アドレス変換を行うパケット変換装置４０２とで構成される。ネットワークスイッチ４０１に具備されたパケットミラーリング機能により、中間システム３０５をＩＰアンリーチャブルの環境にすることができる。また、ネットワークスイッチ４０１から送出されたミラーパケット中の送信先ＩＰアドレス及び送信先ＭＡＣアドレスが、集中監視サーバ３０７のＩＰアドレス及びＭＡＣアドレスにそれぞれ変換されて、送出される。これにより、ＩＰアンリーチャブルの環境を実現しつつ、ネットワークの状態変化に関する詳細が書かれたメッセージを有するＳｙｓｌｏｇパケット（変換後パケット）を、集中監視サーバ３０７に届けることができる。

以上、本発明の一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実施することが可能である。

例えば、複数のネットワークスイッチ４０１Ａ〜４０１Ｃとパケット変換装置４０２とが一体になった装置とされてもよい。

また、例えば、中間システム３０５が送受信する情報は、Ｓｙｓｌｏｇパケットに限らず、他種の情報であっても良い。

また、例えば、集中監視サーバ３０７が、ＳＮＭＰトラップを受信し解釈できる仕様になっていれば、個別ＮＷ監視サーバ３０３は、ＳＮＭＰトラップをＳｙｓｌｏｇパケットに変換することなく、ＳＮＭＰトラップのまま、ネットワークスイッチ４０１に送信してもよい。

また、例えば、図９に例示するように、ネットワークスイッチ４０１は、個別ＮＷ監視サーバからではなく、個別ネットワーク３０１におけるネットワーク機器９５１から状態変化通知を受けても良い。状態変化通知は、例えば、ＳＮＭＰトラップ又はＳｙｓｌｏｇパケットである。もし、受けた状態変化通知がＳＮＭＰトラップならば、ネットワークスイッチ４０１は、そのＳＮＭＰトラップの複製であるミラーＳＮＭＰトラップを作成することができる。パケット変換装置４０２は、そのミラーＳＮＭＰトラップ中のアドレスを変換することで変換後ＳＮＭＰトラップを作成し、変換後ＳＭＭＰトラップを集中監視サーバ３０７に送信することができる。

図１は、第一の集中監視システムの構成を示す。 図２は、第二の集中監視システムの構成を示す。 図３は、本発明の一実施形態に係る集中監視システムの構成を示す。 図４は、ネットワークスイッチの構成例を示す。 図５Ａは、パケットミラーリング機能を具備していないネットワークスイッチを中間システムの構成要素とするのでは本実施形態でのＩＰアンリーチャブルを実現できないことの説明図。図５Ｂは、パケットミラーリング機能を備えたネットワークスイッチを中間システムの構成要素とすることで本実施形態でのＩＰアンリーチャブルを実現できることの説明図。 図６は、パケット変換装置の構成例を示す。 図７は、本発明の一実施形態に係る集中監視システムで行われる処理のフローチャート。 図８は、中間システムにおいて行われる処理の詳細の説明図。 図９は、本発明の一実施形態の変形例を示す図。

符号の説明

３０１…個別ネットワーク ３０３…個別ＮＷ監視サーバ ３０５…中間システム ３０７…集中監視サーバ ４０１…ネットワークスイッチ ４０２…パケット変換装置

Claims (6)

1. 複数の通信ネットワークと前記複数の通信ネットワークを一元的に監視するサーバである集中監視サーバとの間に介在するシステムであって、
   通信ネットワークの状態に関するメッセージを有し送信先アドレスを含んだ第一のデータを受信する第一データ受信手段と、
   前記受信した第一のデータの複製である第二のデータを作成する複製手段と、
   前記第二のデータ中の送信先アドレスを前記集中監視サーバのアドレスに変換するアドレス変換手段と、
   送信先アドレスが変換された後の第二のデータである第三のデータを、その第三のデータ中の送信先アドレスに従って前記集中監視サーバに送信する送信手段と
   を備える中間システム。
2. 前記複製手段が前記第二のデータを作成した後に、その第一のデータを破棄する破棄手段、
   を更に備える請求項１記載の中間システム。
3. 前記複数の通信ネットワークにそれぞれ対応した複数のネットワークスイッチと、
   前記複数のネットワークスイッチと前記集中監視サーバとの間に介在するデータ変換装置と
   を備え、
   前記複数のネットワークスイッチの各々が、前記第一データ受信手段と、前記複製手段と、前記複製手段により作成された第二のデータが送出されるミラーポートとを有し、
   前記データ変換装置が、前記複数のネットワークスイッチのミラーポートからそれぞれ第二のデータを受け付ける複数の第二データ受信手段と、前記アドレス変換手段と、前記送信手段とを有する、
   請求項１記載の中間システム。
4. 前記第一のデータ及びそれの複製である前記第二のデータには、その第一のデータの送信元アドレスが含まれ、
   前記アドレス変換手段が、前記第二のデータ中の送信元アドレスを、前記複数の通信ネットワークについて予め用意された複数の固有の送信元アドレスのうちの、その第二のデータに対応する通信ネットワークについての固有の送信元アドレスに変換する、
   請求項１又は３に記載の中間システム。
5. 通信ネットワークの状態に関するメッセージを有し送信先アドレスを含んだ第一のデータを複数の通信ネットワークからそれぞれ受け付ける複数のネットワークスイッチと前記複数の通信ネットワークを一元的に監視するサーバである集中監視サーバとの間に介在する装置であって、
   前記複数のネットワークスイッチのミラーポートから、第一のデータの複製である第二のデータを受け付ける複数の第二データ受信手段と、
   前記受信した第二のデータ中の送信先アドレスを、前記集中監視サーバのアドレスに変換するアドレス変換手段と、
   送信先アドレスが変換された後の第二のデータである第三のデータを、その第三のデータ中の送信先アドレスに従って前記集中監視サーバに送信する送信手段と
   を備えるデータ変換装置。
6. 複数の通信ネットワークのうちのいずれかの通信ネットワークの状態に関するメッセージを有し送信先アドレスを含んだ第一のデータを受信するステップと、
   前記受信した第一のデータの複製である第二のデータを作成するステップと、
   前記第二のデータ中の送信先アドレスを、前記複数の通信ネットワークを一元的に監視するサーバである集中監視サーバのアドレスに変換するステップと、
   送信先アドレスが変換された後の第二のデータである第三のデータを、その第三のデータ中の送信先アドレスに従って前記集中監視サーバに送信するステップと
   を有する中継方法。

Images