JP2012104869A

JP2012104869A - ネットワークシステム

Info

Publication number: JP2012104869A
Application number: JP2010248801A
Authority: JP
Inventors: Shunsuke Murata; 俊祐村田
Original assignee: Hitachi Kokusai Electric Inc
Current assignee: Hitachi Kokusai Electric Inc
Priority date: 2010-11-05
Filing date: 2010-11-05
Publication date: 2012-05-31

Abstract

【課題】ネットワークの異常発生時にミラーポートのパケットを保存し、復旧時にパケットの保存を停止するネットワークシステムを提供する。
【解決手段】サーバ１１０のネットワーク監視処理部１１１ａは、異常が検出された子局２００のログ取得用ＰＣ２２０にキャプチャ開始コマンドを送信する。パケットキャプチャ処理部２２２ａはキャプチャ開始コマンドを受信すると、ＬＡＮスイッチ２３０のパケット受信ポートに対するミラーポートを設定し、ネットワーク通信部２２１にパケット保存開始を通知すると、ネットワーク通信部２２１はミラーポートから入力したパケットを記憶部２２３のパケット保存エリア２２３ａに保存する。また、ネットワーク監視処理部１１１ａが異常の復帰を検出したときには、ログ取得用ＰＣ２２０にキャプチャ終了コマンドを送信することで、ミラーポートから入力したパケットのパケット保存エリア２２３ａへの保存を停止する。
【選択図】図２

Description

本発明は、パケット交換を行うネットワークシステムに係り、特にネットワークを監視し、ネットワークに流れるパケットを捕捉（以下、パケットキャプチャという）するネットワークシステムに関する。

近年、コンピュータネットワークシステム（以下、ネットワークシステムという）は社会にとって欠かせないものとなった。このため、ネットワークシステムに障害が発生すると社会に重大な被害をもたらすことがある。しかし、ネットワークシステムの障害については、至急な対応が必要であるにもかかわらず、ネットワークシステムの障害の原因となっている箇所の切り分けが難しく、また再現の確率が低い場合がある。このため、パケット交換を行うネットワークシステムにおいては、障害の原因となっている箇所を特定するために、パケットを採取して原因の調査を行うことがある。しかし、再現の確率が低い障害のときには、障害が再現するまでパケットを採取し続けなければならないのでパケットを保存するために大きな容量のエリアを記憶領域に確保しなければならない。また、パケットを保存するための大きな容量のエリアを記憶領域に確保できないときには、エリアをサイクリックに使用してパケットを保存するので、再現したときにシステム管理者がパケットの採取を停止しない場合には上書きされてしまうことがある。このような場合では、システム管理者は障害が再現するまで待機しなければならないので、自動的に異常が発生している箇所を特定し、その箇所のパケットを保存し、また異常が復帰した場合にはパケットの保存を停止する機能が必要であった。

ネットワーク内のトラフィック分析に関するパケット通信装置として下記特許文献１がある。特許文献１では、大量のトラフィックに対するストリーム単位の分析において、パケット分析装置の処理能力に応じて処理対象トラフィックの増減を行い、そして、従来では困難であった大量のトラフィックに対するアプリケーションレイヤでのトラフィック分析を可能とするパケット通信装置を提供している。特許文献１のパケット通信装置では、サンプル頻度を適切に調整することで、分析対象のトラフィックが分析装置の処理能力を超えている場合に分析対象トラフィックを削減することで、アプリケーションレベルの分析処理を可能としている。

特開２００７−１８４７９９号公報

特許文献１のパケット通信装置は、分析装置の処理能力に対応してトラフィックを調整することでアプリケーションレベルの分析を可能とするが、自動的に異常が発生している箇所を特定してトラフィックを採取することはできなかった。

本発明はこのような状況に鑑みてなされたものであり、上記課題を解決できるネットワークシステムを提供することを目的とする。

本発明のネットワークシステムは、パケット交換を行うネットワークシステムであって、ネットワークの異常の発生と異常の復帰を監視するネットワーク監視手段と、ＬＡＮスイッチにミラーポートの設定を行うミラーポート設定手段と、前記ミラーポートからパケットを受信するミラーポートパケット受信手段と、前記ミラーポートパケット受信手段で受信した前記パケットを保存するミラーポートパケット保存手段と、を備え、前記ネットワーク監視手段により前記ネットワークの異常の発生を検出したときに、前記ミラーポートパケット受信手段で受信したパケットを前記ミラーポートパケット保存手段に保存し、前記ネットワーク監視手段により異常の復帰を検出したときに、前記ミラーポートパケット保存手段に前記パケットの保存を停止することを特徴としている。

本発明によれば、パケット交換を行うネットワークシステムにおいて、自動的に異常が発生している箇所を特定し、その箇所のパケットを保存し、また異常が復帰した場合にはパケットの保存を停止することができるので、パケットを保存するための記憶領域のエリアが膨大化することを防ぐことができる。更に、異常を検出したときのパケットのみを採取することで、パケットの解析を迅速に行うことができるので早期に障害の対応を行うことが可能となる。

本発明の実施形態に係るネットワークシステムの構成を示す図である。本発明の実施形態に係るサーバとログ取得ＰＣの機能構成とその接続構成を示す図である。本発明の実施形態に係るパケットキャプチャ開始手順を示すフローチャートである。本発明の実施形態に係るパケットキャプチャ終了手順を示すフローチャートである。

以下、本発明を実施するための実施形態を、図面を参照して説明する。本発明の実施形態は、本局と複数の子局を接続するネットワークシステムにおいて、子局とのネットワークに障害が発生したときに、子局のＬＡＮスイッチにミラーポートを設定し、このミラーポートとログ取得用パソコン(以下、ログ取得用ＰＣという)を接続し、ミラーポートからパケットのログを採取する実施形態である。

まず、本発明の実施形態のネットワークシステム１０について説明する。ネットワークシステム１０の構成を図１に示す。ネットワークシステム１０は、本局１００、複数の子局２００、及びネットワーク３００から構成されている。本局１００は、サーバ１１０とＬＡＮスイッチ１２０から構成され、子局２００は、ＩＰ伝送機器２１０、ログ取得用ＰＣ、及びＬＡＮスイッチ２３０から構成されている。サーバ１１０は、子局２００の制御を行うための制御パケットを子局２００に送信し、また子局２００間で送受信するパケットの中継を行う。更にサーバ１１０は、ネットワークシステム１０を監視し、ネットワークシステム１０の異常の発生と異常の復帰を検出する。ＬＡＮスイッチ１２０は、複数のポートを備え、ポートに接続されている機器から出力されるパケットを指定された子局２００のＬＡＮスイッチ２３０に送信する。また、ＬＡＮスイッチ１２０は、ＬＡＮスイッチ２３０から受信したパケットを指定されたポートに接続されている機器に出力する。本局１００のＬＡＮスイッチ１２０においては、サーバ１０が接続されているので、サーバ１０が接続されているポート宛のパケットがサーバ１０に出力される。子局２００のＩＰ伝送機器２１０は、本局１００とパケットの送受信を行う。ログ取得用ＰＣ２２０は、本局１００から子局２００にパケットが送信され異常の発生が検出された場合に、パケットのログを採取し保存する。ＬＡＮスイッチ２３０は、複数のポートを備え、ポートに接続されている機器から出力されるパケットを指定された本局１００のＬＡＮスイッチ１２０に送信する。また、ＬＡＮスイッチ２３０は、ＬＡＮスイッチ１２０から受信したパケットを指定されたポートに接続されている機器に出力する。更に、ＬＡＮスイッチ２３０には、特定のポートで送受信するパケットを別のポート（以下、ミラーポートという）にコピーする機能（以下、ミラーリング機能という）を備えている。子局２００のＬＡＮスイッチ２３０においては、ＩＰ伝送機器２１０とログ取得用ＰＣ２２０が接続されているが、ログ取得用ＰＣ２２０はミラーポートが設定されるポートに接続される。このような、ＬＡＮスイッチ２３０では、ＩＰ伝送機器２１０が接続されているポート宛のパケットはＩＰ伝送機器２１０に出力され、ミラーポートの設定が行われたときに、ミラーポートにパケットがコピーされるとログ取得用ＰＣ２２０に出力される。ネットワーク３００は、インターネットのＩＰネットワークであり、本局１００、複数の子局２００を接続している。

次に、システム１０においてサーバ１１０が異常を検出したときのサーバ１１０とログ取得ＰＣ２２０間のパケット処理について説明する。図２は、本発明の実施の形態に係るサーバ１１０とログ取得ＰＣ２２０の機能構成と、サーバ１１０とログ取得ＰＣ２２０の接続構成を示す図である。

図２に示すように、サーバ１１０は、制御部１１１とネットワーク通信部１１２から構成され、制御部１１１には、ネットワーク監視処理部１１１ａを備えている。制御部１１１は、サーバ１１０全体の制御を行う。ネットワーク監視処理部１１１ａは、パケットが正常に子局２００に送信されたかの監視、またはＳＮＭＰ（Simple Network Management Protocol）ツールの監視により子局２００との通信異常を検出したときに、異常が検出された子局２００を特定し、特定された子局２００に対してキャプチャ開始コマンドをネットワーク通信部１１２に出力する。また、ネットワーク監視処理部１１１ａは、異常の復帰を検出したときに、異常の復帰が検出された子局２００を特定し、特定された子局２００に対してキャプチャ終了コマンドをネットワーク通信部１１２に出力する。ネットワーク通信部１１２は、サーバ１１０から出力されるキャプチャ開始コマンドまたはキャプチャ終了コマンドをパケット化し、ＬＡＮスイッチ１２０に出力する。ＬＡＮスイッチ１２０は、ネットワーク通信部１１２から入力したパケットを、ネットワーク３００を経由して特定した子局２００のＬＡＮスイッチ２３０に送信する。

また、ログ取得用ＰＣ２２０は、ネットワーク通信部２２１、制御部２２２、及び記憶部２２３から構成され、制御部２２２にはパケットキャプチャ処理部２２２ａを備え、記憶部２２３にはパケット保存エリア２２３ａを備えている。ネットワーク通信部２２１は、サーバ１１０からＬＡＮスイッチ１２０、ネットワーク３００、及びＬＡＮスイッチ２３０を経由して送信されるキャプチャ開始コマンドまたはキャプチャ終了コマンドのパケットを、ＬＡＮスイッチ２３０から入力し、パケットからキャプチャ開始コマンドまたはキャプチャ終了コマンドを取り出し、制御部２２２のパケットキャプチャ処理部２２２ａに出力する。また、ネットワーク通信部２２１は、パケットキャプチャ処理部２２２ａからのパケット保存開始通知により、ミラーポートから入力したパケットを記憶部２２３のパケット保存エリア２２３ａに保存する。また、ネットワーク通信部２２１は、パケットキャプチャ処理部２２２ａからのパケット保存終了通知により、ミラーポートから入力したパケットの記憶部２２３のパケット保存エリア２２３ａへの保存を停止する。制御部２２２は、ログ取得用ＰＣ２２０全体の制御を行う。パケットキャプチャ処理部２２２ａは、ネットワーク通信部２２１からキャプチャ開始コマンドを入力すると、ミラーポートを接続ポートに設定し、ネットワーク通信部２２１にパケット保存開始を通知する。また、パケットキャプチャ処理部２２２ａは、ネットワーク通信部２２１からキャプチャ終了コマンドを入力すると、ネットワーク通信部２２１にパケット保存終了を通知し、接続ポートのミラーポートの設定を解除する。記憶部２２３は、ログ取得用ＰＣ２２０を実行するプログラムやデータが保存されている不揮発性メモリである。パケット保存エリア２２３ａは、子局２００とのネットワークに異常が発生している間に受信したパケットが保存されるエリアである。

次に、本発明の実施の形態に係わるパケットキャプチャ開始手順とパケットキャプチャ終了手順について説明する。図３は、パケットキャプチャ開始手順を示すフローチャートである。図４は、パケットキャプチャ終了手順を示すフローチャートである。まず、図３に示すパケットキャプチャ開始手順の各ステップについて順に説明する。サーバ１１０のネットワーク監視処理部１１１ａによりパケットが正常に送信されたかの監視、またはＳＮＭＰツールの監視により通信異常を検出すると、図３に示すパケットキャプチャ開始手順に基づいて処理が行われる。

まず、ステップＳ１１０において、サーバ１１０のネットワーク監視処理部１１１ａは、検出した異常を解析し、異常の発生が検出された子局２００を特定する。

次に、ステップＳ１２０において、サーバ１１０のネットワーク監視処理部１１１ａは、特定した子局２００のログ取得用ＰＣ２２０に対してパケットキャプチャ開始コマンドをネットワーク通信部１１２に出力する。ネットワーク通信部１１２は、パケットキャプチャ開始コマンドをパケット化しＬＡＮスイッチ１２０に出力すると、ＬＡＮスイッチ１２０はネットワーク３００を経由してＬＡＮスイッチ２３０に送信する。

次に、ステップＳ１３０において、ログ取得用ＰＣ２２０のネットワーク通信部２２１がＬＡＮスイッチ２３０からパケットキャプチャ開始コマンドのパケットを受信すると、パケットからパケットキャプチャ開始コマンドを取り出し制御部２２２のパケットキャプチャ処理部２２２ａに出力する。

次に、ステップＳ１４０において、パケットキャプチャ処理部２２２ａは、ネットワーク通信部２２１からパケットキャプチャ開始コマンドを入力すると、ＩＰ伝送機器２１０が接続されているポートのミラーポートをログ取得用ＰＣ２２０の接続ポートに設定し、ネットワーク通信部２２１にパケット保存開始通知を出力する。

次に、ステップＳ１５０において、ネットワーク通信部２２１はパケットキャプチャ処理部２２２ａからパケット保存開始通知を入力すると、ミラーポートから受信するパケットをパケット保存エリア２２３aに出力し保存する。

次に、図４に示すパケットキャプチャ終了手順の各ステップについて順に説明する。サーバ１１０のネットワーク監視処理部１１１ａがパケット送信について異常から正常に復旧したかの監視、またはＳＮＭＰツールの監視により通信異常が正常に復旧したことを検出すると、図４に示すパケットキャプチャ終了手順に基づいて処理が行われる。

まず、ステップＳ２１０において、サーバ１１０のネットワーク監視処理部１１１ａは、検出した復旧を解析し、異常の復旧が検出された子局２００を特定する。

次に、ステップＳ２２０において、サーバ１１０のネットワーク監視処理部１１１ａは、特定した子局２００のログ取得用ＰＣ２２０に対してパケットキャプチャ終了コマンドをネットワーク通信部１１２に出力する。ネットワーク通信部１１２は、パケットキャプチャ終了コマンドをパケット化しＬＡＮスイッチ１２０に出力すると、ＬＡＮスイッチ１２０はネットワーク３００を経由してＬＡＮスイッチ２３０に送信する。

次に、ステップＳ２３０において、ログ取得用ＰＣ２２０のネットワーク通信部２２１がＬＡＮスイッチ２３０からパケットキャプチャ終了コマンドのパケットを受信すると、パケットからパケットキャプチャ終了コマンドを取り出し制御部２２２のパケットキャプチャ処理部２２２ａに出力する。

次に、ステップＳ２４０において、パケットキャプチャ処理部２２２ａは、ネットワーク通信部２２１からパケットキャプチャ終了コマンドを入力すると、ネットワーク通信部２２１にパケット保存終了通知を出力する。ネットワーク通信部２２１はパケットキャプチャ処理部２２２ａからパケット保存終了通知を入力すると、ミラーポートから受信するパケットのパケット保存エリア２２３aへの出力を停止する。

次に、ステップＳ２５０において、パケットキャプチャ処理部２２２ａは、ログ取得用ＰＣ２２０が接続されているポートに対するのミラーポートの設定を解除する。

なお、実施の形態では、異常の復旧を検出したときにミラーポートから受信するパケットの保存を停止するようにしたが、予め決められた時間が経過した時点でパケットの保存を停止するようにしてもよい。このようにパケットの保存を停止することで、異常が長時間経っても復旧しない場合でも、保存されるパケットのログの膨大化を防ぐことができる。

また、実施の形態では、子局２００のＬＡＮスイッチ２３０のポートからパケットを受信するＩＰ伝送機器２１０と、ミラーポートからポケットを受信するログ取得用ＰＣ２２０の各々１台を設ける構成としたが、ＩＰ伝送機器２１０とそれに対応するログ取得用ＰＣ２２０を各々複数台設ける構成とすることも可能である。また、本局１００のサーバ１１０に接続されるＬＡＮスイッチ１２０のポートに対してミラーポートを設定し、そのミラーポートにログ取得用ＰＣ２２０を接続するようにしてもよい。このようにすると、本局１００のパケットのログを採取することも可能となる。

また、実施の形態では、ネットワーク１０の異常の発生を検出したときにミラーポートから受信するパケットを保存し、ネットワーク１０の異常の復帰を検出したときにミラーポートから受信するパケットの保存を停止するようにしたが、音声出力器を備え、ネットワーク１０の異常の発生を検出したときに音声を出力し、ネットワーク１０の異常の復帰を検出したときにも音声を出力することで、ネットワーク１０のシステム管理者にパケットのログの開始と終了を通知することができる。また、表示器を備えるようにすることで、ネットワーク１０の異常の発生を検出したときにランプを点灯させ、ネットワーク１０の異常の復帰を検出したときにランプを消灯させるようにしてもよい。

以上のように、本発明のネットワークシステムによれば、自動的に異常を検出したときのパケットのログのみを保存することができるので、パケットのログを保存するための記憶領域のエリアが膨大化することを防ぐことができる。更に、異常を検出したときのパケットのログのみが採取されるので、ログの解析を迅速に行うことができるため早期に障害の対応を行うことが可能となる。

上記は、本発明の実施形態をもとに説明した。この実施形態は例示であり、それらの各構成要素の組み合わせにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

以上の実施態様の特徴をまとめると次のようになる。
（１）本発明のネットワークシステムは、パケット交換を行うネットワークシステムであって、ネットワークの異常の発生と異常の復帰を監視するネットワーク監視手段と、ＬＡＮスイッチにミラーポートの設定を行うミラーポート設定手段と、前記ミラーポートからパケットを受信するミラーポートパケット受信手段と、前記ミラーポートパケット受信手段で受信した前記パケットを保存するミラーポートパケット保存手段と、を備え、前記ネットワーク監視手段により前記ネットワークの異常の発生を検出したときに、前記ミラーポートパケット受信手段で受信したパケットを前記ミラーポートパケット保存手段に保存し、前記ネットワーク監視手段により異常の復帰を検出したときに、前記ミラーポートパケット保存手段に前記パケットの保存を停止することを特徴としている。
（２）（１）のネットワークシステムは、前記パケットの保存を行うパケット保存時間を設定するパケット保存時間設定手段を備え、前記パケット保存時間が経過したときに前記ミラーポートパケット保存手段に前記パケットの保存を停止することを特徴としている。
（３）（１）または（２）のネットワークシステムは、音声を出力する音声出力器を備え、前記ネットワーク監視手段により異常の発生を検出したときに前記音声出力器から音声が出力されることを特徴としている。
（４）（３）のネットワークシステムは、前記ネットワーク監視手段により異常の復帰を検出したときに前記音声出力器から音声が出力されることを特徴としている。
（５）（１）から（４）のいずれかのネットワークシステムは、ランプを点灯する表示器を備え、前記ネットワーク監視手段により異常の発生を検出したときに前記表示器の前記ランプが点灯されることを特徴としている。
（６）（５）のネットワークシステムは、前記ネットワーク監視手段により異常の復帰を検出したときに前記表示器のランプが消灯されることを特徴としている。
（７）本発明のネットワークシステムのパケットキャプチャ方法は、パケット交換を行うネットワークシステムのパケットキャプチャ方法であって、ネットワークの異常の発生と異常の復帰を監視するネットワーク監視工程と、ＬＡＮスイッチにミラーポートの設定を行うミラーポート設定工程と、前記ミラーポートからパケットを受信するミラーポートパケット受信工程と、前記ミラーポートパケット受信工程で受信した前記パケットを保存するミラーポートパケット保存工程と、を備え、前記ネットワーク監視工程により前記ネットワークに異常の発生を検出したときに、前記ミラーポートパケット受信工程で受信したパケットを前記ミラーポートパケット保存工程に保存し、前記ネットワーク監視工程により異常の復帰を検出したときに、前記ミラーポートパケット保存工程に前記パケットの保存を停止することを特徴としている。

１０・・・・・ネットワークシステム
１００・・・・・本局
１１０・・・・・サーバ
１１１・・・・・制御部
１１１ａ・・・・ネットワーク監視処理部
１１２・・・・・ネットワーク通信部
１２０・・・・・ＬＡＮスイッチ
２００・・・・・子局
２１０・・・・・ＩＰ伝送機器
２２０・・・・・ログ取得用ＰＣ
２２１・・・・・ネットワーク通信部
２２２・・・・・制御部
２２２ａ・・・・パケットキャプチャ処理部
２２３・・・・・記憶部
２２３ａ・・・・パケット保存エリア
２３０・・・・・ＬＡＮスイッチ
３００・・・・・ネットワーク

Claims

パケット交換を行うネットワークシステムであって、
ネットワークの異常の発生と異常の復帰を監視するネットワーク監視手段と、
ＬＡＮスイッチにミラーポートの設定を行うミラーポート設定手段と、
前記ミラーポートからパケットを受信するミラーポートパケット受信手段と、
前記ミラーポートパケット受信手段で受信した前記パケットを保存するミラーポートパケット保存手段と、
を備え、
前記ネットワーク監視手段により前記ネットワークの異常の発生を検出したときに、前記ミラーポートパケット受信手段で受信したパケットを前記ミラーポートパケット保存手段に保存し、前記ネットワーク監視手段により異常の復帰を検出したときに、前記ミラーポートパケット保存手段に前記パケットの保存を停止することを特徴とするネットワークシステム。