JP2013012865A - 情報処理装置、情報処理プログラムおよび管理方法 - Google Patents

情報処理装置、情報処理プログラムおよび管理方法 Download PDF

Info

Publication number
JP2013012865A
JP2013012865A JP2011143675A JP2011143675A JP2013012865A JP 2013012865 A JP2013012865 A JP 2013012865A JP 2011143675 A JP2011143675 A JP 2011143675A JP 2011143675 A JP2011143675 A JP 2011143675A JP 2013012865 A JP2013012865 A JP 2013012865A
Authority
JP
Japan
Prior art keywords
service
virtual machine
virtual
rule
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2011143675A
Other languages
English (en)
Other versions
JP5824911B2 (ja
Inventor
Shunsuke Kikuchi
俊介 菊地
Yuji Imai
祐二 今井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2011143675A priority Critical patent/JP5824911B2/ja
Priority to US13/493,405 priority patent/US8856786B2/en
Publication of JP2013012865A publication Critical patent/JP2013012865A/ja
Application granted granted Critical
Publication of JP5824911B2 publication Critical patent/JP5824911B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/301—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is a virtual computing platform, e.g. logically partitioned systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2869—Operational details of access network equipments
    • H04L12/287—Remote access server, e.g. BRAS
    • H04L12/2874—Processing of data for distribution to the subscribers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5003—Managing SLA; Interaction between SLA and QoS
    • H04L41/5009—Determining service level performance parameters or violations of service level contracts, e.g. violations of agreed response time or mean time between failures [MTBF]
    • H04L41/5012—Determining service level performance parameters or violations of service level contracts, e.g. violations of agreed response time or mean time between failures [MTBF] determining service availability, e.g. which services are available at a certain point in time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45591—Monitoring or debugging support
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0894—Policy-based network configuration management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0895—Configuration of virtualised networks or elements, e.g. virtualised network function or OpenFlow elements

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Mathematical Physics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】通信監視のルールを容易に設定できるようにする。
【解決手段】情報処理装置１は、記憶部１ａと制御部１ｂとを有する。記憶部１ａは、サービスごとに定義された、仮想ルータ２ａによる通信監視のルールを記憶する。制御部１ｂは、仮想マシン２ｂ上で利用するサービスが選択されると、記憶部１ａを参照して、選択された該サービスに応じた通信監視のルールを仮想ルータ２ａに送信し、該通信監視のルールに基づく監視を行わせる。
【選択図】図１

Description

本件は仮想マシンの運用管理を支援する情報処理装置、情報処理プログラムおよび管理方法に関する。
現在、情報処理の分野では、物理的なコンピュータ（物理マシンや物理ホストと呼ぶことがある）上で、複数の仮想的なコンピュータ（仮想マシンや論理ホストと呼ぶことがある）を動作させる仮想化技術が利用されている。各仮想マシン上では、ＯＳ（Operating System）などのソフトウェアを実行できる。仮想化技術を利用する物理マシンは、複数の仮想マシンを管理するためのソフトウェアを実行する。
例えば、ハイパーバイザと呼ばれるソフトウェアが、ＣＰＵ（Central Processing Unit）の処理能力やＲＡＭ（Random Access Memory）の記憶領域を、演算のリソースとして複数の仮想マシンに割り振る。また、例えば、ハイパーバイザが、該演算のリソースによりネットワークのルーティング機能を物理マシン上に実現することもある。物理マシン上に実現されたルーティング機能を仮想ルータと呼ぶことがある。仮想ルータに仮想マシンの通信を中継させることで、物理マシン上に仮想マシンのネットワークを構築できる。このように、物理マシン上で仮想マシンを動作させ、該仮想マシン上で実現されるサービスをクライアント装置から利用可能とする情報処理システムがある。
ところで、ネットワークを介した通信のセキュリティを確保するため、ネットワークの経路上にファイアウォールを設けることがある。ファイアウォールは、ネットワーク上のトラフィックを所定のルールによりフィルタリングして、許容する通信経路やプロトコル以外の通信を遮断する。
例えば、ユーザ端末装置がゲートウェイ装置を介して所定のネットワークに接続するとき、接続先のネットワークに対して予め定められたフィルタリングテーブルを該ゲートウェイ装置に設定して、トラフィックのフィルタリングを行わせる提案がある。
また、例えば、ユーザ端末装置がファイアウォール装置を介して外部ネットワークに接続開始する際に、該ファイアウォール装置が、ポリシサーバ装置からユーザに対応するフィルタリングのルールを取得する提案がある。
特開２００３−２４４２４５号公報（〔００３８〕〜〔００４２〕） 国際公開第２００４／７１０３８号（３２頁３６行目〜３３頁４行目）
仮想マシン上のサービスをクライアント装置から利用可能とする情報処理システムでは、該サービスに応じて、仮想マシン／クライアント装置間、または、仮想マシン／仮想マシン間の通信内容が異なることがある。例えば、Ｗｅｂアクセスを可能とするサービスと、ファイル転送を可能とするサービスとでは、通信に用いるポート番号が異なることがある。このため、各仮想マシンに対して、サービスに応じた通信のセキュリティ対策がなされていることが望ましい。そこで、各仮想マシンにつき通信監視のルールをどのように容易に設定可能とするかが問題となる。
例えば、仮想マシン上で利用可能とするサービスがユーザによって事後的に選択される場合、該サービスに応じたルールを事前に設定するのが困難となる。また、複数の物理マシン上で複数の仮想マシンが動作している場合、各仮想マシン上で利用可能なサービスに応じたルールの設定を、仮想マシンごと、または、物理マシンごとに、システム管理者が個別に行うとすると、設定のための作業負担が生ずる。
本発明はこのような点に鑑みてなされたものであり、通信監視のルールを容易に設定できるようにした情報処理装置、情報処理プログラムおよび管理方法を提供することを目的とする。
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な他の情報処理装置と通信する情報処理装置が提供される。この情報処理装置は、記憶部と制御部とを有する。記憶部は、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する。制御部は、仮想マシン上で利用するサービスが選択されると、記憶部を参照して、選択された該サービスに応じた通信監視のルールを仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる。
また、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な情報処理装置と通信するコンピュータが実行する情報処理プログラムが提供される。この情報処理プログラムは、コンピュータに、仮想マシン上で利用するサービスが選択されると、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部を参照して、選択された該サービスに応じた通信監視のルールを仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる、処理を実行させる。
また、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な他の情報処理装置と通信する情報処理装置が実行する管理方法が提供される。この管理方法では、仮想マシン上で利用するサービスが選択されると、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部を参照して、選択された該サービスに応じた通信監視のルールを仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる。
通信監視のルールを容易に設定できる。
第１の実施の形態の情報処理システムを示す図である。 第２の実施の形態の情報処理システムを示す図である。 第２の実施の形態の制御装置のハードウェア例を示す図である。 第２の実施の形態の各装置の機能を示すブロック図である。 第２の実施の形態の仮想ルータの機能を示すブロック図である。 第２の実施の形態の接続リストテーブルの例を示す図である。 第２の実施の形態のフィルタ雛型テーブルの例を示す図である。 第２の実施の形態のフィルタテーブルの例を示す図である。 第２の実施の形態の仮想マシンの起動処理を示すフローチャートである。 第２の実施の形態の仮想マシンの起動処理を示すシーケンス図である。 第２の実施の形態のフィルタ設定処理を示すフローチャートである。 第２の実施の形態のフィルタ設定処理を示すシーケンス図である。 第３の実施の形態のフィルタ雛型テーブルの例を示す図である。 第３の実施の形態のフィルタテーブルの例を示す図である。 第３の実施の形態のフィルタ設定処理を示すフローチャートである。
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態の情報処理システムを示す図である。この情報処理システムは、情報処理装置１，２を含む。情報処理装置１は、情報処理装置２と通信する。情報処理装置２では、仮想ルータ２ａおよび仮想マシン２ｂが動作可能である。仮想ルータ２ａは、仮想マシン２ｂの通信を中継する。
情報処理装置１は、記憶部１ａおよび制御部１ｂを有する。
記憶部１ａは、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する。記憶部１ａは、ＲＡＭやＨＤＤ（Hard Disk Drive）として実装してもよい。通信監視のルールとは、例えば、通信のフィルタリングを行うためのルールである。通信監視のルールには、例えば、仮想マシン上で利用されるサービスに応じたフィルタ内容が定義される。具体的には、該サービスで利用する通信ポート以外のポートでの通信を制限する設定が考えられる。また、該サービスで利用する伝送制御プロトコル（例えば、ＴＣＰ（Transmission Control Protocol）やＵＤＰ（User Datagram Protocol））以外のプロトコルでの通信を制限する設定が考えられる。
制御部１ｂは、仮想マシン２ｂ上で利用するサービスが選択されると、記憶部１ａを参照して、選択された該サービスに応じた通信監視のルールを仮想ルータ２ａに送信し、該通信監視のルールに基づく監視を行わせる。例えば、仮想マシン２ｂ上で利用するサービスは、仮想マシン２ｂを利用するユーザにより選択される。ユーザは、例えば、情報処理装置１とネットワークを介して接続された端末装置を操作して、情報処理装置１にサービスの選択内容を入力できる。
情報処理装置１によれば、仮想マシン２ｂ上で利用するサービスが選択されると、制御部１ｂにより、記憶部１ａが参照されて、選択された該サービスに応じた通信監視のルールが仮想ルータ２ａに送信される。仮想ルータ２ａは、該通信監視のルールを受信すると、該ルールに基づき通信監視を行う。
これにより、通信監視のルールを容易に設定可能となる。具体的には、仮想マシン２ｂのサービスが選択されたときに、サービスごとに定義された通信監視のルールを、仮想マシン２ｂの通信を中継する仮想ルータ２ａに送信することで、該サービスのためのルールを、仮想ルータ２ａに容易に設定できる。複数の情報処理装置上で複数の仮想マシンが動作している場合でも、各仮想マシンに対して選択されたサービスに対するルールを自動的に取得し、各仮想マシンに対応する仮想ルータに送信する。このため、システム管理者による設定のための作業負担を軽減できる。
通信監視のルールには、種々の内容を定義できる。例えば、仮想マシン２ｂとユーザが仮想ルータ２ａを介して仮想マシン２ｂにアクセスするために利用する端末装置（または、該端末装置が属するネットワーク）との間でのフィルタを定義できる。これにより、該端末装置（または、該端末装置が属するネットワーク）と仮想マシン２ｂとの間で、選択されたサービスを利用する際の通信のセキュリティ向上を図れる。
また、例えば、第１のサービスを実行する仮想マシン２ｂと第２のサービスを実行する他の仮想マシンとの間の通信路での通信を制限するフィルタを該ルールとして定義してもよい。このとき、制御部１ｂは、仮想マシン２ｂに対して第１のサービスが選択されたとき、該第１のサービスに応じたルールに加えて、第１，第２のサービスの組に関するルールを記憶部１ａから取得して、仮想ルータ２ａに送信してもよい。このようにすれば、相互に接続する仮想マシン間で、通信のセキュリティ向上を図れる。
［第２の実施の形態］
図２は、第２の実施の形態の情報処理システムを示す図である。データセンタ２０は、サービス事業者が運用する事業所である。ユーザ拠点３０は、ユーザが運用する事業所である。サービス事業者は、データセンタ２０上のサーバ装置で複数の仮想マシンを実行させ、該仮想マシンをユーザ拠点３０から利用可能とする。具体的には、ユーザは、ユーザ拠点３０に設置されたクライアント装置から該仮想マシン上のソフトウェアに所定の処理の実行を要求することで、該ソフトウェアにより実現されるサービスを利用できる。このようなソフトウェアの利用形態は、ＳａａＳ（Software as a Service）と呼ばれることがある。
この情報処理システムは、制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、ゲートウェイ装置４００，４００ａ、ルータ装置５００、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００を含む。
制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａは、データセンタ２０に設置されており、データセンタ２０内のネットワーク２１にそれぞれ接続されている。ルータ装置５００およびクライアント装置６００，６００ａは、ユーザ拠点３０に設置されており、ユーザ拠点３０内のネットワーク３１にそれぞれ接続されている。通信事業者サーバ装置７００は、通信事業者の事業所（図示を省略）に設置されており、ネットワーク１０に接続される。ネットワーク１０は、通信事業者の管理するＩＰ（Internet Protocol）網である。ネットワーク１０は、例えば、ＰＰＰｏＥ（Point to Point Protocol over Ethernet）網である。
制御装置１００は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ（Layer2 Virtual Private Network）によるトンネル接続の確立を支援する情報処理装置である。これにより、クライアント装置６００，６００ａから、該仮想ルータと通信する仮想マシンに対して、ＩＰ網を介したＶＰＮ接続を可能とする。
仮想マシン管理装置２００は、実行サーバ装置３００，３００ａ上の仮想マシンや仮想ルータの起動を制御する情報処理装置である。仮想マシン管理装置２００は、何れの実行サーバ装置で何れの仮想マシンや仮想ルータが実行されているか管理する。仮想マシン管理装置２００は、仮想ルータに設けられた仮想のネットワークＩＦ（InterFace）の情報を管理する。
実行サーバ装置３００，３００ａは、仮想マシン管理装置２００からの起動指示に応じて、仮想マシンおよび仮想ルータを実行する情報処理装置である。例えば、実行サーバ装置３００，３００ａは、ハイパーバイザを実行する。ハイパーバイザは、仮想マシン管理装置２００から仮想マシンや仮想ルータの起動の指示を受けると、実行サーバ装置３００，３００ａ上のリソースを用いて仮想マシンや仮想ルータを起動する。
ゲートウェイ装置４００，４００ａは、ネットワーク１０とネットワーク２１と間の通信を中継する通信装置である。
ルータ装置５００は、ネットワーク１０とネットワーク３１との間の通信を中継する通信装置である。ルータ装置５００は、サービス事業者から仮想マシンを割り当てられたユーザが、該仮想マシン上で利用したいサービスの選択を受け付ける機能も備えている。ルータ装置５００は、サービスの選択内容を制御装置１００に送信して、該サービスを該ユーザの仮想マシン上で利用可能とするよう依頼する。
クライアント装置６００，６００ａは、ユーザが利用する情報処理装置である。ユーザは、クライアント装置６００，６００ａを操作して、実行サーバ装置３００，３００ａ上の仮想マシンに対して処理の要求を行える。例えば、クライアント装置６００，６００ａからＷｅｂブラウザ、ＲＤＰ（Remote Desktop Protocol）、ＶＮＣ（Virtual Network Computing）、ＳＳＨ（Secure SHell）およびＦＴＰ（File Transfer Protocol）などを用いて、実行サーバ装置３００，３００ａ上の仮想マシンを利用できる。
通信事業者サーバ装置７００は、制御装置１００からの要求により、ゲートウェイ装置４００，４００ａとルータ装置５００とをネットワーク１０に接続するための情報を提供する。例えば、通信事業者サーバ装置７００は、ゲートウェイ装置４００，４００ａおよびルータ装置５００に、ＰＰＰｏＥのユーザＩＤ（IDentifier）やパスワードなどの情報を送信する。ゲートウェイ装置４００，４００ａおよびルータ装置５００は、提供された情報に基づいて、ネットワーク１０上の所定の認証サーバでＰＰＰｏＥ認証され、ネットワーク１０に接続する。また、通信事業者サーバ装置７００は、例えば、ゲートウェイ装置４００，４００ａおよびルータ装置５００をＩＰ−ＶＰＮ接続するための情報を提供する。ゲートウェイ装置４００，４００ａおよびルータ装置５００は、提供された情報に基づいて、ＩＰ−ＶＰＮ接続を確立する。
図３は、第２の実施の形態の制御装置のハードウェア例を示す図である。制御装置１００は、ＣＰＵ１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ１０３、ＨＤＤ１０４、グラフィック処理装置１０５、入力インタフェース１０６、ディスクドライブ１０７および通信インタフェース１０８を有する。
ＣＰＵ１０１は、ＯＳやアプリケーションのプログラムを実行して、制御装置１００全体を制御する。
ＲＯＭ１０２は、制御装置１００の起動時に実行されるＢＩＯＳ（Basic Input / Output System）プログラムなどの所定のプログラムを記憶する。ＲＯＭ１０２は、書き換え可能な不揮発性メモリであってもよい。
ＲＡＭ１０３は、ＣＰＵ１０１が実行するＯＳやアプリケーションのプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０３は、ＣＰＵ１０１の処理に用いられるデータの少なくとも一部を一時的に記憶する。
ＨＤＤ１０４は、ＯＳプログラムやアプリケーションプログラムを記憶する。また、ＨＤＤ１０４は、ＣＰＵ１０１の処理に用いられるデータを記憶する。なお、ＨＤＤ１０４に代えて（または、ＨＤＤ１０４と併せて）、ＳＳＤ（Solid State Drive）など他の種類の不揮発性の記憶装置を用いてもよい。
グラフィック処理装置１０５は、モニタ１１に接続される。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１に表示させる。
入力インタフェース１０６は、キーボード１２やマウス１３などの入力デバイスに接続される。入力インタフェース１０６は、入力デバイスから送られる入力信号をＣＰＵ１０１に出力する。
ディスクドライブ１０７は、記録媒体１４に格納されたデータを読み取る読取装置である。記録媒体１４には、例えば、制御装置１００に実行させるプログラムが記録されている。制御装置１００は、例えば、記録媒体１４に記録されたプログラムを実行することで、後述するような機能を実現できる。すなわち、当該プログラムはコンピュータ読み取り可能な記録媒体１４に記録して配布可能である。
記録媒体１４としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリを使用できる。磁気記録装置には、ＨＤＤ、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＣＤ（Compact Disc）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−Ｒ／ＲＷ／ＲＡＭなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。半導体メモリには、ＵＳＢ（Universal Serial Bus）メモリなどのフラッシュメモリがある。
通信インタフェース１０８は、ネットワーク１０に接続される。通信インタフェース１０８は、ネットワーク２１を介して仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａとデータ通信を行える。また、通信インタフェース１０８は、ゲートウェイ装置４００，４００ａおよびネットワーク１０を介してルータ装置５００および通信事業者サーバ装置７００とデータ通信を行える。
なお、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００も、制御装置１００と同様のハードウェア構成により実現できる。
また、以下の説明では、ゲートウェイ装置４００，４００ａのうち、ゲートウェイ装置４００を主に示して説明するが、ゲートウェイ装置４００ａも同様である。
図４は、第２の実施の形態の各装置の機能を示すブロック図である。制御装置１００は、制御情報記憶部１１０、接続制御部１２０およびルール管理部１３０を有する。制御装置１００の構成要素の機能は、例えばＣＰＵ１０１が所定のプログラムを実行することにより、制御装置１００上に実現される。制御装置１００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
制御情報記憶部１１０は、制御情報を記憶する。制御情報には、接続リストテーブルおよびフィルタ雛型テーブルが含まれる。接続リストテーブルは、ユーザの識別情報と該ユーザが現在利用中のサービスの識別情報とを対応付けたデータである。フィルタ雛型テーブルは、サービスごとのデフォルトのフィルタルールを設定したものである。
接続制御部１２０は、ルータ装置５００と実行サーバ３００，３００ａ上の仮想ルータとの接続を制御する。具体的には、接続制御部１２０は、ルータ装置５００からの要求により、ルータ装置５００に対するゲートウェイ装置４００，４００ａの割り当てを仮想マシン管理装置２００に指示する。また、接続制御部１２０は、ルータ装置５００からの要求により、実行サーバ装置３００，３００ａ上の仮想マシンおよび仮想ルータの起動を仮想マシン管理装置２００に指示する。そして、接続制御部１２０は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ接続を確立する。
より具体的には、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ゲートウェイ装置４００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。また、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ルータ装置５００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００とをＩＰ−ＶＰＮで接続させる。
更に、接続制御部１２０は、仮想ルータとルータ装置５００との間のＥｔｈｅｒＩＰ（Ethernet over IP）によるトンネル接続を開始させる。仮想ルータやルータ装置５００は、クライアント装置６００，６００ａと実行サーバ装置３００，３００ａ上の仮想マシンとの間のＥｔｈｅｒｎｅｔ（登録商標）フレームをＥｔｈｅｒＩＰによりカプセル化して通信を行う。Ｌ２ＶＰＮ接続により、通信事業者のＩＰ網であるネットワーク１０を介して、クライアント装置６００，６００ａと仮想マシンとの間のＶＰＮ接続が可能となる。
更に、接続制御部１２０は、ユーザによるサービスの選択内容をルータ装置５００から受信する。接続制御部１２０は、サービスの選択内容をルール管理部１３０および起動制御部２２０に送信する。サービスの選択内容には、ユーザに割り当てられた何れの仮想マシンで、何れのサービスを選択したかを示す情報が含まれる。
ルール管理部１３０は、実行サーバ装置３００，３００ａ上の仮想ルータに通信監視用のルールを送信する。具体的には、ルール管理部１３０は、ユーザによるサービスの選択内容を接続制御部１２０から受信したとき、該サービス応じたルールを制御情報記憶部１１０から取得して、該ユーザに割り当てた仮想マシンに対応する仮想ルータに送信する。
仮想マシン管理装置２００は、管理情報記憶部２１０および起動制御部２２０を有する。仮想マシン管理装置２００の構成要素の機能は、例えば仮想マシン管理装置２００が備えるＣＰＵが所定のプログラムを実行することにより、仮想マシン管理装置２００上に実現される。仮想マシン管理装置２００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
管理情報記憶部２１０は、管理情報を記憶する。管理情報には、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａに関する情報が含まれる。具体的には、実行サーバ装置３００，３００ａ上で利用可能なリソースの情報、実行中の仮想マシンのユーザへの割り当て状況を示す情報、実行中の仮想マシンと仮想ルータとの対応を示す情報および各仮想ルータ上の仮想のネットワークＩＦを示す情報が含まれる。また、管理情報には、ゲートウェイ装置４００，４００ａ上で利用可能なリソースの情報や、ゲートウェイ装置４００，４００ａのユーザへの割り当て状況を示す情報が含まれる。
起動制御部２２０は、ユーザに対するゲートウェイ装置４００，４００ａの割り当て指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対するゲートウェイ装置４００，４００ａの割り当てを行う。起動制御部２２０は、該ユーザと割り当てたゲートウェイ装置との対応を管理情報記憶部２１０に記録する。
起動制御部２２０は、ユーザに対する仮想マシンの起動指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、仮想マシンおよび仮想ルータを起動させる実行サーバ装置を選択する。起動制御部２２０は、選択した実行サーバ装置に仮想マシンおよび仮想ルータを起動させる。起動制御部２２０は、該ユーザ、割り当てた実行サーバ装置、仮想マシンおよび仮想ルータの対応を管理情報記憶部２１０に記録する。起動制御部２２０は、管理情報記憶部２１０を参照して、接続制御部１２０からの問い合わせに応じる。例えば、実行サーバ装置、仮想マシンおよび仮想ルータの対応関係、仮想ルータと該仮想ルータ上の仮想のネットワークＩＦとの対応関係、仮想マシンとネットワークＩＦとの対応関係などの問い合わせに応じることができる。
更に、起動制御部２２０は、ユーザによるサービスの選択内容を接続制御部１２０から受信すると、該ユーザに割り当てられた仮想マシンに該サービスを利用するためのソフトウェアを実行させる。
実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０，３２０ａを有する。実行サーバ装置３００の構成要素の機能は、例えば実行サーバ装置３００が備えるＣＰＵが所定のプログラムを実行することにより、実行サーバ装置３００上に実現される。実行サーバ装置３００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
仮想ルータ３１０は、ネットワーク２１と仮想マシン３２０，３２０ａとの間の通信を中継する。仮想ルータ３１０は、中継する通信データを監視する。具体的には、仮想ルータ３１０は、ルール管理部１３０から取得したフィルタルールに基づき通信のフィルタリングを行う。
仮想マシン３２０，３２０ａは、実行サーバ装置３００上に実現された仮想マシンである。仮想マシン３２０，３２０ａは、それぞれ独立にＯＳを実行している。仮想マシン３２０，３２０ａが実行するＯＳは同一でもよいし、異なっていてもよい。仮想マシン３２０，３２０ａは、それぞれが所定のサービスを利用するためのソフトウェアを実行する。仮想マシン３２０，３２０ａで何れのサービスを利用可能とするかは、上述したようにユーザの選択により決定される。
実行サーバ装置３００ａは、仮想ルータ３１０ａおよび仮想マシン３２０ｂ，３２０ｃを有する。仮想ルータ３１０ａは、ネットワーク２１と仮想マシン３２０ｂとの間の通信を中継する。また、仮想ルータ３１０ａは、中継する通信データを監視する。仮想マシン３２０ｂ，３２０ｃは、実行サーバ装置３００ａ上に実現された仮想マシンであり、それぞれが所定のサービスを利用可能とするためのソフトウェアを実行する。
ゲートウェイ装置４００は、通信処理部４１０を有する。通信処理部４１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０とＰＰＰｏＥ接続を確立する。また、通信処理部４１０は、ルータ装置５００との間でＩＰ−ＶＰＮ接続を確立する。
ルータ装置５００は、通信処理部５１０を有する。通信処理部５１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０、ゲートウェイ装置４００および仮想ルータ３１０，３１０ａとの間のＬ２ＶＰＮ接続を確立する。また、通信処理部５１０は、サービスを選択するためのインタフェースをクライアント装置６００，６００ａに提供する。ユーザは、該インタフェースにより、自身の利用したいサービスを選択する。通信処理部５１０は、サービスの選択内容を制御装置１００に送信する。
図５は、第２の実施の形態の仮想ルータの機能を示すブロック図である。仮想ルータ３１０は、ルール記憶部３１１、ネットワークＩＦ３１２，３１３，３１４、トンネル処理部３１５、フィルタ処理部３１６およびルール設定部３１７を有する。
ルール記憶部３１１は、制御装置１００から受信した通信監視のためのルールを記憶する。
ネットワークＩＦ３１２，３１３，３１４は、仮想ルータ３１０上に実現された仮想的なネットワークＩＦである。ネットワークＩＦ３１２は、仮想マシン３２０と通信する。ネットワークＩＦ３１３は、仮想マシン３２０ａと通信する。
ここで、以下の説明では、ネットワークＩＦ３１２，３１３〜仮想マシン３２０，３２０ａまでのネットワークを、仮想マシン側のネットワークということがある。ネットワークＩＦ３１４は、ネットワーク２１を介してゲートウェイ装置４００と通信する。ネットワークＩＦ３１４〜ゲートウェイ装置４００〜ユーザ拠点３０までのネットワークを、ユーザ側のネットワークということがある。
トンネル処理部３１５は、ＥｔｈｅｒＩＰによるトンネル接続を終端する。具体的には、トンネル処理部３１５は、ＥｔｈｅｒＩＰによりカプセル化された通信データをネットワークＩＦ３１４から取得すると、該通信データからＥｔｈｅｒｎｅｔフレームを取出して、フィルタ処理部３１６に出力する。また、トンネル処理部３１５は、フィルタ処理部３１６から取得したＥｔｈｅｒｎｅｔフレームをＥｔｈｅｒＩＰによりカプセル化して、ネットワークＩＦ３１４に出力する。
フィルタ処理部３１６は、Ｅｔｈｅｒｎｅｔフレームを監視して、ユーザ側のネットワークと仮想マシン側のネットワークの間の通信を制限する。具体的には、フィルタ処理部３１６は、ルール記憶部３１１に記憶されたフィルタルールに基づいて宛先や送信元の情報およびポート番号などによるフィルタリングを行う。
ルール設定部３１７は、通信監視のためのルールを制御装置１００から受信して、ルール記憶部３１１に格納する。ルール設定部３１７は、ルール記憶部３１１に既存のルールが格納されている場合には、新たに受信したルールにより既存のルールを更新する。
ルール設定部３１７は、専用の仮想ネットワークＩＦを備え、ネットワーク２１および制御装置１００と該仮想ネットワークＩＦで通信する。ただし、フィルタ処理部３１６およびルール設定部３１７は、ネットワークＩＦ３１４を介して制御装置１００と通信してもよい。
図６は、第２の実施の形態の接続リストテーブルの例を示す図である。接続リストテーブル１１１は、制御情報記憶部１１０に格納される。接続リストテーブル１１１には、ユーザＩＤ、ＳａａＳ種別およびネットワークＩＦを示す項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのユーザに関する情報を示す。
ユーザＩＤの項目には、ユーザＩＤが設定される。ユーザＩＤは、ユーザ拠点３０を運営する事業者を識別する情報である。ＳａａＳ種別の項目には、サービスを示す識別情報が設定される。ネットワークＩＦの項目には、仮想ルータ３１０，３１０ａにおける仮想マシン側のネットワークＩＦの識別情報が設定される。
ここで、ユーザ拠点３０を運営する事業者のユーザＩＤを“Ｕｓｅｒ１”とする。他のユーザ拠点を運営する事業者のユーザＩＤを“Ｕｓｅｒ２”とする。
また、仮想マシン３２０上で利用されているサービスのＳａａＳ種別を“ＳａａＳ１”とする。仮想マシン３２０ａ上で利用されているサービスのＳａａＳ種別を“ＳａａＳ２”とする。仮想マシン３２０ｂ上で利用されているサービスのＳａａＳ種別を“ＳａａＳ３”とする。仮想マシン３２０ｃ上で利用されているサービスのＳａａＳ種別を“ＳａａＳ４”とする。
更に、ネットワークＩＦ３１２の識別情報を“ＩＦ−Ｓ１”とする。ネットワークＩＦ３１３の識別情報を“ＩＦ−Ｓ２”とする。仮想マシン３２０ｂと接続する仮想ルータ３１０ａ上のネットワークＩＦの識別情報を“ＩＦ−Ｓ３”とする。仮想マシン３２０ｃと接続する仮想ルータ３１０ａ上のネットワークＩＦの識別情報を“ＩＦ−Ｓ４”とする。例えば、各ネットワークＩＦの識別情報は、各ネットワークＩＦの属するネットワーク上のＩＰアドレスとしてもよい。
例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ１”、ＳａａＳ種別が“ＳａａＳ１”、ネットワークＩＦが“ＩＦ−Ｓ１”という情報が設定される。これは、ユーザ拠点３０を運営する事業者（“Ｕｓｅｒ１”）がＳａａＳ種別“ＳａａＳ１”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０上のネットワークＩＦ３１２（“ＩＦ−Ｓ１”）を介して通信していることを示す。
図７は、第２の実施の形態のフィルタ雛型テーブルの例を示す図である。フィルタ雛型テーブル１１２，１１２ａ，・・・は、ＳａａＳ種別ごとのフィルタルールの雛型（以下、フィルタ雛型という）を定義したものであり、制御情報記憶部１１０に格納される。フィルタ雛型テーブル１１２，１１２ａ，・・・は、仮想マシン側ネットワークとユーザ側ネットワークとの間のフィルタを定義したものである。フィルタ雛型テーブル１１２は、ＳａａＳ種別“ＳａａＳ１”に対するフィルタ雛型を定義したものである。フィルタ雛型テーブル１１２ａは、ＳａａＳ種別“ＳａａＳ２”に対するフィルタ雛型を定義したものである。以下、フィルタ雛型テーブル１１２を説明するが、フィルタ雛型テーブル１１２ａ，・・・についても同様である。
フィルタ雛型テーブル１１２には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタ雛型を示す。
Ｆｒｏｍポートの項目には、送信元のポート番号が設定される。Ｔｏポートの項目には、宛先のポート番号が設定される。Ｐｒｏｔｏｃｏｌの項目には、プロトコルの種別が設定される。Ｆｒｏｍ−ＩＦの項目には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報が設定される。Ｔｏ−ＩＦの項目には、仮想マシン側のネットワークと接続するネットワークＩＦの識別情報が設定される。許可／禁止の項目には、通信を許可するか禁止するかを示す情報が設定される。
例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“８０”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、仮想マシン側のネットワークからユーザ側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰ（Hypertext Transfer Protocol）の通信）を許可することを示す。
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“８０”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰの通信）を許可することを示す。
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、これは、仮想マシン側のネットワークからユーザ側のネットワークに対する全ての通信を禁止することを示す。
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、これは、ユーザ側のネットワークから仮想マシン側のネットワークに対する全ての通信を禁止することを示す。
フィルタ雛型テーブル１１２では、上に記述されたルール程優先度が高い。すなわち、フィルタ雛型テーブル１１２によれば、ＨＴＴＰの通信は、ユーザ側のネットワークと仮想マシン側のネットワークとの双方向で許可されるが、それ以外の通信は全て遮断されることを示す。
なお、仮想ルータは、フィルタ雛型テーブル１１２で定義されたフィルタ雛型を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめて、該仮想ルータ用のフィルタルールを生成する。具体的には、“＜Ｌｏｃａｌ＞”には、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜Ｕｓｅｒ＞”には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報をあてはめる。次に、このようにして生成された仮想マシン３２０用のフィルタルール（フィルタテーブル）を例示する。
図８は、第２の実施の形態のフィルタテーブルの例を示す図である。フィルタテーブル３１１ａは、ルール記憶部３１１に格納される。フィルタテーブル３１１ａは、フィルタ雛型テーブル１１２で定義されたフィルタ雛型を仮想ルータ３１０が取得した場合を例示している。フィルタテーブル３１１ａには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、各項目の内容は、図７で説明したフィルタ雛型テーブル１１２の各項目の内容と同様である。
フィルタテーブル３１１ａとフィルタ雛型テーブル１１２とでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｌｏｃａｌ＞”であった箇所が、仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報“ＩＦ−Ｓ１”に置換されている。また、フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｕｓｅｒ＞”であった箇所が、ネットワークＩＦ３１４の識別情報“ＩＦ−Ｕ１”に置換されている。
フィルタ処理部３１６は、フィルタテーブル３１１ａを参照して、フィルタリングを行う。
次に、以上の構成の情報処理システムの処理手順を説明する。
図９は、第２の実施の形態の仮想マシンの起動処理を示すフローチャートである。以下、図９に示す処理をステップ番号に沿って説明する。
［ステップＳ１１］通信処理部５１０は、ルータ装置５００がネットワーク１０と物理的に接続されると（例えば、ＷＡＮ（Wide Area Network）ポートをネットワーク線で接続）、既定の接続情報によりネットワーク１０との接続を確立する。更に、通信処理部５１０は、既定の接続情報によりゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を初期設定用に確立する。既定の接続情報は、例えば、ネットワーク１０とＰＰＰｏＥ接続するためのＩＤやパスワード、ＩＰ−ＶＰＮグループの情報などを含むものであり、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。なお、ゲートウェイ装置４００は、ネットワーク１０との間で少なくとも１つのＰＰＰｏＥ接続を、初期設定用に常時開設している。
［ステップＳ１２］通信処理部５１０は、制御装置１００に接続通知を行う。接続通知には、起動する仮想マシンの情報（例えば、ＯＳの種別、ＣＰＵの性能、メモリやＨＤＤの容量などを指定する情報）およびユーザの識別情報が含まれる。仮想マシンの情報は、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。接続通知には、例えば、ＨＴＴＰのリクエストを利用できる。具体的には、通信処理部５１０は、制御装置１００のＵＲＬ（Uniform Resource Locator）を指定したＨＴＴＰのＰＵＴリクエストを利用して、起動する仮想マシンの情報を含む接続通知を行う。接続制御部１２０は、ルータ装置５００から接続通知を受信する。例えば、接続制御部１２０は、Ｗｅｂサーバ機能を有し、ルータ装置５００がＨＴＴＰリクエストとして送信した接続通知を受信する。
［ステップＳ１３］接続制御部１２０は、起動制御部２２０に対して実運用で利用する接続を確立するためのゲートウェイ装置の割り当てを依頼する。また、接続制御部１２０は、接続通知で指定された仮想マシンの要件を満たせる実行サーバ装置の割り当てを依頼する。起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対して、ゲートウェイ装置および実行サーバ装置の割り当てを行う。例えば、起動制御部２２０は、該ユーザに対してゲートウェイ装置４００および実行サーバ装置３００を割り当てたとする。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００との間のＩＰ−ＶＰＮ接続を確立する。
［ステップＳ１４］起動制御部２２０は、実行サーバ装置３００に仮想マシン３２０と、該仮想マシンに対する通信を中継させるための仮想ルータ３１０を起動させる。起動制御部２２０は、仮想ルータ３１０および仮想マシン３２０の起動が完了したことを実行サーバ装置３００に確認すると、接続制御部１２０にその旨を通知する。ここで、起動された仮想ルータ３１０および仮想マシン３２０が該ユーザに割り当てられる。
［ステップＳ１５］接続制御部１２０は、ステップＳ１４で起動された仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立する。接続制御部１２０は、Ｌ２ＶＰＮ接続を確立した後、ゲートウェイ装置４００とルータ装置５００との間の初期設定用のＩＰ−ＶＰＮ接続を切断させる。また、ルータ装置５００とネットワーク１０との間の初期設定用のＰＰＰｏＥ接続を切断させる。
上記処理につき、装置間の関連をシーケンス図で説明する。
図１０は、第２の実施の形態の仮想マシンの起動処理を示すシーケンス図である。以下、図１０に示す処理をステップ番号に沿って説明する。
［ステップＳＴ１０１］ルータ装置５００は、ネットワーク１０に接続する。すると、ルータ装置５００は、既定のＩＤおよびパスワードにより、ＰＰＰｏＥ認証を行い、ＰＰＰｏＥ網に接続する。また、ルータ装置５００は、既定のＩＰ−ＶＰＮグループ情報により、ゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を確立する。
［ステップＳＴ１０２］ルータ装置５００は、制御装置１００に接続通知を送信する。接続通知には、起動する仮想マシンの情報やユーザＩＤが含まれる。
［ステップＳＴ１０３］ルータ装置５００は、該ユーザに対する実行サーバ装置およびゲートウェイ装置の割当を、仮想マシン管理装置２００に依頼する。
［ステップＳＴ１０４］仮想マシン管理装置２００は、実行サーバ装置３００およびゲートウェイ装置４００を割り当てると、割当結果を制御装置１００に通知する。
［ステップＳＴ１０５］制御装置１００は、ＩＰ−ＶＰＮ用のＰＰＰｏＥ接続情報（ＩＤおよびパスワード）とＩＰ−ＶＰＮグループの接続情報とを、２組分、通信事業者サーバ装置７００から取得する。制御装置１００は、そのうちの１組をルータ装置５００に送信する。
［ステップＳＴ１０６］制御装置１００は、ステップＳＴ１０５で取得したＰＰＰｏＥ接続情報およびＩＰ−ＶＰＮグループの接続情報のうちのもう一方の１組をゲートウェイ装置４００に送信する。
［ステップＳＴ１０７］ルータ装置５００およびゲートウェイ装置４００は、制御装置１００から受信したＰＰＰｏＥ接続情報とＩＰ−ＶＰＮグループの情報により、ＩＰ−ＶＰＮ接続を確立する。
［ステップＳＴ１０８］制御装置１００は、仮想マシン管理装置２００に、仮想マシンおよび仮想ルータの起動指示を送信する。
［ステップＳＴ１０９］仮想マシン管理装置２００は、割り当てた実行サーバ装置３００に対して、仮想ルータ３１０および仮想マシン３２０の起動を指示する。
［ステップＳＴ１１０］実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０の起動が完了すると、仮想マシン管理装置２００に起動完了を通知する。
［ステップＳＴ１１１］仮想マシン管理装置２００は、実行サーバ装置３００上で、仮想ルータ３１０および仮想マシン３２０の起動が完了した旨を、制御装置１００に通知する。
［ステップＳＴ１１２］制御装置１００は、仮想ルータ３１０およびルータ装置５００の間のＬ２ＶＰＮ接続を確立する。具体的には、制御装置１００は仮想ルータ３１０のＩＰアドレスをルータ装置５００に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。また、制御装置１００は、ルータ装置５００のＩＰアドレスを仮想ルータ３１０に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。制御装置１００は、Ｌ２ＶＰＮ接続が確立されると、ステップＳＴ１０１で確立された初期設定用のＩＰ−ＶＰＮ接続や初期設定用のＰＰＰｏＥ接続を切断させる。
このようにして、制御装置１００は、ルータ装置５００とゲートウェイ装置４００との間で確立された初期設定用のＩＰ−ＶＰＮ接続により、ルータ装置５００から接続通知を受け付ける。制御装置１００は、通信事業者サーバ装置７００より、実運用で用いるためのＩＰ−ＶＰＮ接続のための情報を取得し、ルータ装置５００とゲートウェイ装置４００との間で該ＩＰ−ＶＰＮ接続を確立させる。制御装置１００は、仮想ルータ３１０が起動すると、仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立させる。
なお、上記ステップＳＴ１０５〜ＳＴ１０７およびステップＳＴ１０８〜ＳＴ１１１の処理は並行に実行されてもよい。
図１１は、第２の実施の形態のフィルタ設定処理を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
［ステップＳ２１］接続制御部１２０は、ルータ装置５００からユーザが選択したサービスを受け付ける。接続制御部１２０は、ルール管理部１３０および起動制御部２２０に、該ユーザによるサービスの選択内容を送信する。サービスの選択内容には、該ユーザに割り当てられた仮想マシンを指定する情報およびサービスのＳａａＳ種別が含まれる。仮想マシン３２０を指定する情報およびＳａａＳ種別“ＳａａＳ１”を示す情報が含まれるとする。
［ステップＳ２２］ルール管理部１３０は、制御情報記憶部１１０を参照して、選択されたサービスのＳａａＳ種別に対応するフィルタ雛型を選択する。選択されたサービスのＳａａＳ種別が“ＳａａＳ１”であるので、ルール管理部１３０はフィルタ雛型テーブル１１３を選択する。
［ステップＳ２３］ルール管理部１３０は、指定された仮想マシンの通信を中継する仮想ルータを選択する。例えば、仮想マシン３２０が指定されている場合、仮想ルータ３１０を選択する。ルール管理部１３０は、仮想マシン３２０に対応する仮想ルータおよび仮想マシン３２０と接続するネットワークＩＦを起動制御部２２０に問い合わせてもよい。
［ステップＳ２４］ルール管理部１３０は、ステップＳ２２で選択したフィルタ雛型を仮想ルータ３１０に送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ３１２の情報（“ＩＦ−Ｓ１”）を仮想ルータ３１０に通知する。ネットワークＩＦ３１２の情報は、雛型の＜Ｌｏｃａｌ＞の設定に相当する。
［ステップＳ２５］ルール設定部３１７は、フィルタ雛型を受信する。ルール設定部３１７は、フィルタ雛型のＦｒｏｍ−ＩＦおよびＴｏ−ＩＦの項目に記述された“＜Ｌｏｃａｌ＞”の文字列をネットワークＩＦ３１２を示す“ＩＦ−Ｓ１”に置換する。また、ルール設定部３１７は、該各項目に記述された“＜Ｕｓｅｒ＞”の文字列をユーザ側ネットワークと接続するネットワークＩＦ３１４を示す“ＩＦ−Ｕ１”に置換する。ルール設定部３１７は、このようにして生成したフィルタルールをルール記憶部３１１のフィルタテーブル３１１ａに設定する。
［ステップＳ２６］ルール設定部３１７は、フィルタルールの設定が完了した旨をルール管理部１３０に通知する。ルール管理部１３０は、該通知によりフィルタルールの設定完了を受け付ける。
［ステップＳ２７］ルール管理部１３０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。具体的には、ルール管理部１３０は、新たに選択されたサービスのＳａａＳ種別とユーザとそのユーザが利用するネットワークＩＦとの対応関係を設定する。より具体的には、上記ステップＳ２１〜Ｓ２６の処理に対して、ルール管理部１３０は、ユーザ“Ｕｓｅｒ１”、ＳａａＳ種別“ＳａａＳ１”、ネットワークＩＦ“ＩＦ−Ｓ１”の対応関係を接続リストテーブル１１１に設定する。
このようにして、ルール管理部１３０は、選択されたサービスのＳａａＳ種別に応じたフィルタルールを選択して、仮想ルータ３１０に送信する。
上記処理につき装置間の関連をシーケンス図で説明する。
図１２は、第２の実施の形態のフィルタ設定処理を示すシーケンス図である。以下、図１２に示す処理をステップ番号に沿って説明する。
［ステップＳＴ１２１］クライアント装置６００は、ユーザ（“Ｕｓｅｒ１”）によるサービスの選択内容を受け付ける。サービスの選択内容には、該ユーザにより指定された仮想マシン３２０を示す情報およびサービスのＳａａＳ種別“ＳａａＳ１”が含まれる。クライアント装置６００は、サービスの選択内容をルータ装置５００に入力する。ルータ装置５００は、サービスの選択内容を、ゲートウェイ装置４００を介して制御装置１００に送信する。
［ステップＳＴ１２２］制御装置１００は、選択されたサービスのＳａａＳ種別“ＳａａＳ１”に応じたフィルタ雛型テーブル１１２を制御情報記憶部１１０から取得する。制御装置１００は、フィルタ雛型テーブル１１２のフィルタ雛型（ルール）を実行サーバ装置３００上の仮想ルータ３１０に送信する。
［ステップＳＴ１２３］仮想ルータ３１０は、受信したフィルタ雛型に、自身が備えるネットワークＩＦの情報をあてはめてフィルタルールを生成し、ルール記憶部３１１のフィルタテーブル３１１ａに設定する。仮想ルータ３１０は、フィルタルールの設定が完了した旨を制御装置１００に通知する。仮想ルータ３１０は、該フィルタルールによるフィルタリングを開始する。
［ステップＳＴ１２４］制御装置１００は、仮想マシン管理装置２００にサービスの選択内容を通知する。仮想マシン管理装置２００は、該通知に基づき、実行サーバ装置３００上の仮想マシン３２０に、該サービスを利用するためのソフトウェアを実行させる。
［ステップＳＴ１２５］制御装置１００は、ユーザ“Ｕｓｅｒ１”とＳａａＳ種別“ＳａａＳ１”とネットワークＩＦ“ＩＦ−Ｓ１”との対応関係を制御情報記憶部１１０の接続リストテーブル１１１に設定する。
［ステップＳＴ１２６］クライアント装置６００は、ユーザによる操作を受け付け、実行サーバ装置３００上の仮想マシン３２０で実行されるソフトウェアに処理要求を送信する。こうして、該ユーザは、該ソフトウェアにより実現されるサービスを利用可能となる。
このようにして、制御装置１００は、ユーザにより選択されたサービスに応じたフィルタルールを、仮想ルータ３１０に送信する。
これにより、通信監視のルールを容易に設定可能となる。具体的には、仮想マシン３２０上のサービスが選択されたときに、サービスごとに定義されたフィルタ雛型を、仮想マシン３２０の通信を中継する仮想ルータ３１０に送信することで、該サービスのためのルールを、仮想ルータ３１０に容易に設定できる。複数の情報処理装置上で複数の仮想マシンが動作している場合でも、各仮想マシンに対して選択されたサービスに対するルールを自動的に取得し、各仮想マシンに対応する仮想ルータに送信する。このため、システム管理者による設定のための作業負担を軽減できる。また、上記情報処理システムのように、仮想マシン上で利用するサービスが、ユーザにより事後的に選択される場合でも、選択されたサービスに応じた適切なルールを仮想ルータに容易に設定可能となる。
また、セキュリティの観点からは、上述のように該サービスが利用可能となる前に、仮想ルータ３１０にフィルタルールが設定されていることが好ましい。すなわち、仮想マシン管理装置２００は、フィルタルール設定完了後のステップＳＴ１２４で仮想マシン３２０に該ソフトウェアの実行を指示する。フィルタルールが設定されるまで、該サービスへの通信を適切にフィルタリングできないためである。このようにすれば、サービスに対する通信の安全性を事前に確保した状態で、サービスの利用を開始することができる。ただし、ステップＳＴ１２２の前にステップＳＴ１２４を実行してもよい。
ここで、第２の実施の形態の情報処理システムでは、ユーザ拠点３０のネットワーク３１と仮想マシン３２０，３２０ａ，３２０ｂがＶＰＮ接続される。このため、これらの仮想マシンは、ネットワーク３１（イントラネット）の延長上に接続された形態となる。その場合、通信のセキュリティ機能をどのように確保するか問題となる。例えば、ユーザ側の責任において設定させる場合、ユーザに対してフィルタ設定のための知識を要求することになる。一方、サービス事業者側の責任において設定する場合、多数の仮想マシンが稼働し得る情報処理システムにおいて、設定のための作業負担が問題となる。これに対し、上述のように、サービスが選択されたときに、該サービスに応じたフィルタ雛型を仮想ルータに送信することで、ユーザ側／サービス事業者側の負担を軽減して、通信のセキュリティを容易に確保できる。
第２の実施の形態のフィルタ雛型テーブル１１２，１１２ａ，・・・では、仮想マシン側ネットワークとユーザ側ネットワークとの間のフィルタルールを例示した。該フィルタルールによって、これらネットワーク間での通信のセキュリティ向上を図れる。
更に、ユーザがサービスの利用を中止することも考えられる。ユーザは、そのための操作を、例えば、ルータ装置５００が提供するインタフェースにより行える。その場合、制御装置１００は、該サービスの中止を受け付けた旨を仮想マシン管理装置２００および該サービスを提供する仮想マシンの通信を中継する仮想ルータに通知する。すると、該仮想ルータは、そのサービスに対応するフィルタルールを削除する。例えば、ＳａａＳ種別“ＳａａＳ１”のサービスの利用を停止する場合、フィルタテーブル３１１ａのＦｒｏｍ−ＩＦの項目に、“ＩＦ−Ｓ１”が設定されたレコードを削除する。
［第３の実施の形態］
次に、第３の実施の形態を説明する。前述の第２の実施の形態との相違点を主に説明し、同様の事項の説明を省略する。
第２の実施の形態では、仮想マシン側ネットワークとユーザ側ネットワークとの間のフィルタルールの設定を例示した。ここで、仮想マシンでサービスを利用可能とするために、該仮想マシンから、そのユーザに割り当てられた他の仮想マシンと通信することもある。その場合、仮想マシン間の通信でもフィルタリングを行うことが好ましい。第３の実施の形態では、仮想マシン間でのフィルタルールを容易に設定可能とする方法を提供する。
ここで、第３の実施の形態の情報処理システムの構成は、図２で説明した第２の実施の形態の情報処理システムの構成と同様である。第３の実施の形態では、第２の実施の形態と同一の符号・名称により、各装置および各装置の構成要素を指し示す。
図１３は、第３の実施の形態のフィルタ雛型テーブルの例を示す図である。フィルタ雛型テーブル１１３，１１３ａ，・・・は、あるＳａａＳ種別のサービスを実行する仮想マシンと該ＳａａＳ種別のサービスが連携する他のサービスを実行する他の仮想マシンとの間のフィルタ雛型を定義したものである。すなわち、フィルタ雛型テーブル１１３，１１３ａ，・・・は、仮想マシン側ネットワークでのフィルタを定義したものである。フィルタ雛型テーブル１１３，１１３ａ，・・・は、制御情報記憶部１１０に格納される。
フィルタ雛型テーブル１１３は、ＳａａＳ種別“ＳａａＳ１”と他のＳａａＳ種別との連携に対するフィルタ雛型を定義したものである。フィルタ雛型テーブル１１３ａは、ＳａａＳ種別“ＳａａＳ２”と他のＳａａＳ種別との連携に対するフィルタ雛型を定義したものである。以下、フィルタ雛型テーブル１１３を説明するが、フィルタ雛型テーブル１１３ａ，・・・についても同様である。
フィルタ雛型テーブル１１３には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦ、Ｆｌａｇおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタ雛型を示す。ここで、Ｆｌａｇの項目以外の各項目の内容は、図７で説明した第２の実施の形態のフィルタ雛型テーブル１１２の各項目の内容と同様である。
Ｆｌａｇの項目には、ＴＣＰによる発呼方向などを制限するための情報が設定される。
例えば、フィルタ雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜ＳａａＳ＞”、Ｆｌａｇが“ＮＥＷ，Ｅｓｔａｂｌｉｓｈｅｄ”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、仮想ルータにおいて、ＳａａＳ種別“ＳａａＳ１”のネットワークＩＦから、他のＳａａＳ種別のサービスを提供する仮想マシンが接続するネットワークＩＦへのＴＣＰによる通信の一部を許可することを示す。許可されるのは、ＴＣＰセッションの新規確立用のパケット（“ＮＥＷ”）および既に確立済のＴＣＰセッションのパケット（“Ｅｓｔａｂｌｉｓｈｅｄ”）である。
また、例えば、フィルタ雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜ＳａａＳ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｆｌａｇが“Ｅｓｔａｂｌｉｓｈｅｄ”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、仮想ルータにおいて、他のＳａａＳ種別のサービスを提供する仮想マシンが接続するネットワークＩＦから、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンが接続するネットワークＩＦへのＴＣＰによる通信の一部を許可することを示す。許可されるのは、既に確立済のＴＣＰセッションのパケットである。
また、例えば、フィルタ雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜ＳａａＳ＞”、Ｆｌａｇが“−”（ハイフン）、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、仮想ルータにおいて、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンが接続するネットワークＩＦから、他のＳａａＳ種別のサービスを提供する仮想マシンが接続するネットワークＩＦへの全ての通信を遮断することを示す。
また、例えば、フィルタ雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜ＳａａＳ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｆｌａｇが“−”（ハイフン）、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、仮想ルータにおいて、他のＳａａＳ種別のサービス提供する仮想マシンが接続するネットワークＩＦから、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンが接続するネットワークＩＦへの全ての通信を遮断することを示す。
フィルタ雛型テーブル１１３では、上に記述されたルール程優先度が高い。フィルタ雛型テーブル１１３によれば、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンが接続するネットワークＩＦから、他のＳａａＳ種別のサービスを提供する仮想マシンが接続するネットワークＩＦへのＴＣＰセッションの開設が許可される。ただし、逆方向（他のＳａａＳ種別のネットワークＩＦから“ＳａａＳ１”のネットワークＩＦへ向かう方向）へのＴＣＰセッションの開設は禁止される。以後、両仮想マシン間で開設されたＴＣＰセッションでの通信が許可される。それ以外の通信は、全て遮断される。
なお、仮想ルータは、フィルタ雛型テーブル１１３で定義されたフィルタ雛型を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめて、該仮想ルータ用のフィルタルールを生成する。具体的には、“＜Ｌｏｃａｌ＞”には、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜ＳａａＳ＞”には、他のＳａａＳ種別のサービスを提供する仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。次に、このようにして生成された仮想マシン３２０用のフィルタルール（フィルタテーブル）を例示する。
図１４は、第３の実施の形態のフィルタテーブルの例を示す図である。フィルタテーブル３１１ｂは、ルール記憶部３１１に格納される。フィルタテーブル３１１ｂは、フィルタテーブル３１１ａに、フィルタ雛型テーブル１１３，１１３ａで定義されたフィルタ雛型を追加設定した場合を例示している。ただし、フィルタテーブル３１１ａで示した設定内容は図示を省略する。フィルタテーブル３１１ｂには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦ、Ｆｌａｇおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、各項目の内容は、図１３で説明したフィルタ雛型テーブル１１３の各項目の内容と同様である。
フィルタテーブル３１１ｂとフィルタ雛型テーブル１１３，１１３ａ，・・・とでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。ここで、フィルタテーブル３１１ｂ中、設定Ａ，Ｂが示されている。設定Ａは、フィルタ雛型テーブル１１３に基づく仮想マシン３２０，３２０ａ間の通信のフィルタルールである。設定Ｂは、フィルタ雛型テーブル１１３ａに基づく仮想マシン３２０，３２０ａ間の通信のフィルタルールである。
設定Ａでは、フィルタ雛型テーブル１１３中“＜Ｌｏｃａｌ＞”であった箇所が、ＳａａＳ種別“ＳａａＳ１”のサービスを提供する仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報“ＩＦ−Ｓ１”に置換されている。また、フィルタテーブル３１１ｂでは、フィルタ雛型テーブル１１３中“＜ＳａａＳ＞”であった箇所が、ＳａａＳ種別“ＳａａＳ２”（他のＳａａＳ種別）のサービスを提供する仮想マシン３２０ａと接続するネットワークＩＦ３１３の識別情報“ＩＦ−Ｓ２”に置換されている。
設定Ｂでは、フィルタ雛型テーブル１１３ａ中“＜Ｌｏｃａｌ＞”であった箇所が、ＳａａＳ種別“ＳａａＳ２”のサービスを提供する仮想マシン３２０ａと接続するネットワークＩＦ３１３の識別情報“ＩＦ−Ｓ２”に置換されている。また、フィルタテーブル３１１ｂでは、フィルタ雛型テーブル１１３ａ中“＜ＳａａＳ＞”であった箇所が、ＳａａＳ種別“ＳａａＳ１”（他のＳａａＳ種別）のサービスを提供する仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報“ＩＦ−Ｓ１”に置換されている。
フィルタテーブル３１１ｂには、ユーザにより選択されたＳａａＳ種別のサービスを提供する仮想マシンと接続するネットワークＩＦと、該ユーザに割り当てられた他の仮想マシンと接続するネットワークＩＦと、の組の分だけルールが設定される。
例えば、“Ｕｓｅｒ１”のユーザは、実行サーバ３００ａ上の仮想マシン３２０ｂでＳａａＳ種別“ＳａａＳ３”のサービスを利用している。このため、フィルタテーブル３１１ｂには、フィルタ雛型テーブル１１３に基づいて、仮想マシン３２０，３２０ｂ間の通信のフィルタルールも設定される。また、フィルタテーブル３１１ｂには、フィルタ雛型テーブル１１３ａに基づいて、仮想マシン３２０ａ，３２０ｂ間の通信のフィルタルールも設定される。このようにして、該ユーザに割り当てた仮想マシン間で網羅的にフィルタルールが設定される。
次に、以上の構成の情報処理システムの処理手順を説明する。ここで、仮想マシンの起動処理は、図９で説明した第２の実施の形態の仮想マシンの起動処理と同様である。
図１５は、第３の実施の形態のフィルタ設定処理を示すフローチャートである。以下、図１５に示す処理をステップ番号に沿って説明する。
［ステップＳ３１］接続制御部１２０は、ルータ装置５００からユーザが選択したサービスを受け付ける。接続制御部１２０は、ルール管理部１３０および起動制御部２２０に、該ユーザによるサービスの選択内容を送信する。サービスの選択内容には、該ユーザに割り当てられた仮想マシンを指定する情報およびサービスのＳａａＳ種別が含まれる。仮想マシン３２０を指定する情報およびＳａａＳ種別“ＳａａＳ１”を示す情報が含まれるとする。
［ステップＳ３２］ルール管理部１３０は、制御情報記憶部１１０を参照して、選択されたサービスのＳａａＳ種別に対応するフィルタ雛型を選択する。選択されたサービスのＳａａＳ種別が“ＳａａＳ１”であるので、ルール管理部１３０はフィルタ雛型テーブル１１３を選択する。
［ステップＳ３３］ルール管理部１３０は、指定された仮想マシンの通信を中継する仮想ルータを選択する。例えば、仮想マシン３２０が指定されている場合、仮想ルータ３１０を選択する。ルール管理部１３０は、仮想マシン３２０に対応する仮想ルータおよび仮想マシン３２０と接続するネットワークＩＦを起動制御部２２０に問い合わせてもよい。
［ステップＳ３４］ルール管理部１３０は、ステップＳ３２で選択したフィルタ雛型を仮想ルータ３１０に送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ３１２の情報（“ＩＦ−Ｓ１”）を仮想ルータ３１０に通知する。ネットワークＩＦ３１２の情報は、雛型の＜Ｌｏｃａｌ＞の設定に相当する。
［ステップＳ３５］ルール設定部３１７は、フィルタ雛型を受信する。ルール設定部３１７は、フィルタ雛型のＦｒｏｍ−ＩＦおよびＴｏ−ＩＦの項目に記述された“＜Ｌｏｃａｌ＞”の文字列をネットワークＩＦ３１２を示す“ＩＦ−Ｓ１”に置換する。また、ルール設定部３１７は、該各項目に記述された“＜Ｕｓｅｒ＞”の文字列をユーザ側ネットワークと接続するネットワークＩＦ３１４を示す“ＩＦ−Ｕ１”に置換する。ルール設定部３１７は、このようにして生成したフィルタルールをルール記憶部３１１のフィルタテーブル３１１ｂに設定する。
［ステップＳ３６］ルール設定部３１７は、フィルタルールの設定が完了した旨をルール管理部１３０に通知する。ルール管理部１３０は、該通知によりフィルタルールの設定完了を受け付ける。
［ステップＳ３７］ルール管理部１３０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。具体的には、ルール管理部１３０は、新たに選択されたサービスのＳａａＳ種別とユーザとそのユーザが利用するネットワークＩＦとの対応関係を設定する。より具体的には、上記ステップＳ３１〜Ｓ３６の処理に対して、ルール管理部１３０は、ユーザ“Ｕｓｅｒ１”、ＳａａＳ種別“ＳａａＳ１”、ネットワークＩＦ“ＩＦ−Ｓ１”の対応関係を接続リストテーブル１１１に設定する。
［ステップＳ３８］ルール管理部１３０は、該ユーザが他のＳａａＳ種別のサービスを利用中であるかを判定する。該ユーザが他のＳａａＳ種別のサービスを利用中である場合、処理をステップＳ３９に進める。該ユーザが他のＳａａＳ種別のサービスを利用中でない場合、処理を終了する。この判定は、ルール管理部１３０は、接続リストテーブル１１１を参照して、該ユーザに対応する他のＳａａＳ種別があるか判断することで行える。他のＳａａＳ種別があれば他のＳａａＳ種別のサービスを利用中であり、なければ他のＳａａＳ種別のサービスを利用中でない。例えば、接続リストテーブル１１１の例では、“Ｕｓｅｒ１”に対して、“ＳａａＳ１”以外にもＳａａＳ種別“ＳａａＳ２”および“ＳａａＳ３”が対応付けられている。よって、“Ｕｓｅｒ１”は、ＳａａＳ種別“ＳａａＳ１”以外の他のＳａａＳ種別のサービスを利用中である。
［ステップＳ３９］ルール管理部１３０は、制御情報記憶部１１０を参照して、ステップＳ３１で選択されたＳａａＳ種別に対し、他のＳａａＳ種別との間のフィルタ雛型があるか否か判定する。他のＳａａＳ種別との間のフィルタ雛型がある場合、処理をステップＳ４０に進める。他のＳａａＳ種別との間のフィルタ雛型がない場合、処理を終了する。ここで、制御情報記憶部１１０には、“ＳａａＳ１”と他のＳａａＳ間の接続用のフィルタ雛型を定義したフィルタ雛型テーブル１１３が存在する。したがって、ルール管理部１３０は、ステップＳ３１で選択されたＳａａＳ種別“ＳａａＳ１”に対し、他のＳａａＳ種別との間のフィルタ雛型があると判定する。
［ステップＳ４０］ルール管理部１３０は、ステップＳ３３で選択した仮想ルータ３１０にフィルタ雛型テーブル１１３のフィルタ雛型を送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ３１２の情報（“ＩＦ−Ｓ１”）を仮想ルータ３１０に通知する。ネットワークＩＦ３１２の情報は、雛型の＜Ｌｏｃａｌ＞の設定に相当する。また、ルール管理部１３０は、該ユーザが利用する他のＳａａＳ種別“ＳａａＳ２”、“ＳａａＳ３”を利用可能な仮想マシン３２０ａ，３２０ｂと接続するネットワークＩＦの情報（“ＩＦ−Ｓ２”、“ＩＦ−Ｓ３”）を仮想ルータ３１０に送信する。該ネットワークＩＦの情報は、雛型の＜ＳａａＳ＞の設定に相当する。
［ステップＳ４１］ルール設定部３１７は、フィルタ雛型を受信する。ルール管理部１３０は、ルール管理部１３０から受信した“＜Ｌｏｃａｌ＞”の設定と“＜ＳａａＳ＞”の設定との組ごとにフィルタルールを生成する。具体的には、ルール設定部３１７は、フィルタ雛型とともに“＜Ｌｏｃａｌ＞”の設定として“ＩＦ−Ｓ１”を受信している。また、“＜ＳａａＳ＞”の設定として“ＩＦ−Ｓ２”、“ＩＦ−Ｓ３”を受信している。よって、（＜Ｌｏｃａｌ＞，＜ＳａａＳ＞）の組として、２つの組（ＩＦ−Ｓ１，ＩＦ−Ｓ２）、（ＩＦ−Ｓ１，ＩＦ−Ｓ３）が得られる。ルール設定部３１７は、フィルタ雛型テーブル１１３の“＜Ｌｏｃａｌ＞”を“ＩＦ−Ｓ１”に、“＜ＳａａＳ＞”を“ＩＦ−Ｓ２”に置換したフィルタルールを生成してフィルタテーブル３１１ｂに設定する。同様に、ルール設定部３１７は、フィルタ雛型テーブル１１３の“＜Ｌｏｃａｌ＞”を“ＩＦ−Ｓ１”に、“＜ＳａａＳ＞”を“ＩＦ−Ｓ３”に置換したフィルタルールを生成してフィルタテーブル３１１ｂに設定する。
［ステップＳ４２］ルール設定部３１７は、仮想マシン間でのフィルタルールの設定が完了した旨をルール管理部１３０に通知する。ルール管理部１３０は、該通知により仮想マシン間でのフィルタルールの設定完了を受け付ける。
このようにして、ルール管理部１３０は、仮想マシン間の通信をフィルタリングするためのフィルタ雛型を仮想ルータ３１０に送信する。このとき、仮想ルータ３１０は、フィルタ雛型に基づき、ユーザにより選択されたＳａａＳ種別（例えば、“ＳａａＳ１”）と、該ユーザが利用中の他のＳａａＳ種別（例えば、“ＳａａＳ２”、“ＳａａＳ３”）との組合わせごとのフィルタルールを生成する。
これにより、第２の実施の形態と同様の効果を得られる。加えて、該ユーザが選択したサービスに対して、他のサービスとの間のフィルタルールを容易に設定可能となる。特に、ユーザが利用中のサービスが多数存在している場合に有効である。
他のサービスとの間のフィルタルールを設定した後に、選択された仮想マシンに該サービスを利用するためのソフトウェアを実行させてもよい。このようにすれば、他のサービスとの間の通信につき、フィルタによるセキュリティを確保した状態で選択されたサービスの提供を開始できる。
なお、上記の説明では、ＳａａＳ種別“ＳａａＳ１”のサービスが選択された場合の例を示した。一方、ユーザが“ＳａａＳ１”，“ＳａａＳ３”が利用中に“ＳａａＳ２”のサービスが選択された場合も同様にして、“ＳａａＳ２”と“ＳａａＳ１”との組および“ＳａａＳ２”と“ＳａａＳ３”との組に関する設定をフィルタテーブル３１１ｂに追加する。
更に、ユーザがサービスの利用を中止することも考えられる。ユーザは、そのための操作を、例えば、ルータ装置５００が提供するインタフェースにより行える。その場合、制御装置１００は、該サービスの中止を受け付けた旨を仮想マシン管理装置２００および該サービスを提供する仮想マシンの通信を中継する仮想ルータに通知する。すると、該仮想ルータは、そのサービスに対応するフィルタルールを削除する。例えば、ＳａａＳ種別“ＳａａＳ１”のサービスの利用を停止する場合、フィルタテーブル３１１ｂのＦｒｏｍ−ＩＦおよびＴｏ−ＩＦの項目に、“ＩＦ−Ｓ１”が設定されたレコードを削除する。
また、第２，第３の実施の形態では、サービスの選択を受け付けたとき、フィルタ雛型を仮想ルータに送信して該フィルタ雛型に基づくフィルタルールによる監視を行わせるものとした。しかしながら、送信するルールは、フィルタルールに限らない。例えば、ＩＤＳ（Intrusion Detection System）やＩＰＳ（Intrusion Prevention System）に用いられる不正アクセスを検知するためのルール（シグネチャやアノマリと呼ばれることもある）の雛型をサービスごとに定義してもよい。このとき、雛型では、通信の宛先（Ｔｏ−ＩＦ）や送信元（Ｆｒｏｍ−ＩＦ）を示す箇所にフィルタ雛型テーブル１１２，１１３のように、“＜Ｌｏｃａｌ＞”、“＜Ｕｓｅｒ＞”、“＜ＳａａＳ＞”などの文字列を設定しておく。そして、サービスが選択されたときに、該サービスを利用するためのソフトウェアを実行させる仮想マシンに、該ルールの雛型を送信して、各文字列を各仮想マシンのネットワークＩＦの識別情報に置換させる。このようにすれば、フィルタルールと同様に、サービスごとの不正アクセス検知のためのルールを、仮想ルータに容易に設定することが可能となる。
１，２ 情報処理装置
１ａ 記憶部
１ｂ 制御部
２ａ 仮想ルータ
２ｂ 仮想マシン

Claims (7)

  1. 仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な他の情報処理装置と通信する情報処理装置であって、
    サービスごとに定義された、前記仮想ルータによる通信監視のルールを記憶する記憶部と、
    前記仮想マシン上で利用するサービスが選択されると、前記記憶部を参照して、選択された該サービスに応じた前記通信監視のルールを前記仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる制御部と、
    を有する情報処理装置。
  2. 前記記憶部は、前記仮想ルータ上のインタフェース部が何れのサービスを提供する仮想マシンと通信するか管理するためのリストを記憶し、
    前記制御部は、前記記憶部に記憶された前記リストを参照して、選択された前記サービスに対応するインタフェース部につき前記通信監視のルールに基づく監視を前記仮想ルータに行わせる、
    請求項１記載の情報処理装置。
  3. 前記仮想ルータは、前記サービスを選択したユーザのネットワークと通信するユーザ側インタフェース部を有しており、
    前記制御部は、前記記憶部に記憶された前記リストを参照して、選択された前記サービスに対応するインタフェース部と前記ユーザ側インタフェース部との間の通信につき、前記通信監視のルールに基づく監視を前記仮想ルータに行わせる、
    請求項２記載の情報処理装置。
  4. 前記仮想ルータは、前記サービスを選択したユーザが利用中の他のサービスを提供する他の仮想マシンと通信する他のインタフェース部を有しており、
    前記制御部は、前記記憶部に記憶された前記リストを参照して、選択された前記サービスに対応するインタフェース部と前記他のインタフェース部との通信につき、前記通信監視のルールに基づく監視を前記仮想ルータに行わせる、
    請求項２または３記載の情報処理装置。
  5. 前記制御部は、選択された前記サービスを前記仮想マシンに提供開始させる前に、前記通信監視のルールを送信する、請求項１乃至４の何れか一項に記載の情報処理装置。
  6. 仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な情報処理装置と通信するコンピュータに、
    前記仮想マシン上で利用するサービスが選択されると、サービスごとに定義された、前記仮想ルータによる通信監視のルールを記憶する記憶部を参照して、選択された該サービスに応じた前記通信監視のルールを前記仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる、
    処理を実行させる情報処理プログラム。
  7. 仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な他の情報処理装置と通信する情報処理装置が実行する管理方法であって、
    前記仮想マシン上で利用するサービスが選択されると、サービスごとに定義された、前記仮想ルータによる通信監視のルールを記憶する記憶部を参照して、選択された該サービスに応じた前記通信監視のルールを前記仮想ルータに送信し、該通信監視のルールに基づく監視を行わせる、
    管理方法。
JP2011143675A 2011-06-29 2011-06-29 情報処理装置、情報処理プログラムおよび管理方法 Expired - Fee Related JP5824911B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2011143675A JP5824911B2 (ja) 2011-06-29 2011-06-29 情報処理装置、情報処理プログラムおよび管理方法
US13/493,405 US8856786B2 (en) 2011-06-29 2012-06-11 Apparatus and method for monitoring communication performed by a virtual machine

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2011143675A JP5824911B2 (ja) 2011-06-29 2011-06-29 情報処理装置、情報処理プログラムおよび管理方法

Publications (2)

Publication Number Publication Date
JP2013012865A true JP2013012865A (ja) 2013-01-17
JP5824911B2 JP5824911B2 (ja) 2015-12-02

Family

ID=47392079

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2011143675A Expired - Fee Related JP5824911B2 (ja) 2011-06-29 2011-06-29 情報処理装置、情報処理プログラムおよび管理方法

Country Status (2)

Country Link
US (1) US8856786B2 (ja)
JP (1) JP5824911B2 (ja)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013254337A (ja) * 2012-06-06 2013-12-19 Ntt Data Corp 仮想化装置、仮想化制御方法、仮想化装置制御プログラム
JP2015156624A (ja) * 2014-02-20 2015-08-27 ニシラ， インコーポレイテッド ファイアウォール規則における実施ポイントの指定
JP2015216588A (ja) * 2014-05-13 2015-12-03 日本電信電話株式会社 アクセス制御装置、アクセス制御方法、及びプログラム
JP2018501590A (ja) * 2015-04-07 2018-01-18 ホアウェイ・テクノロジーズ・カンパニー・リミテッド モバイルデバイスに基づくクラスタコンピューティングインフラストラクチャのための方法および装置
WO2018122892A1 (ja) * 2016-12-26 2018-07-05 株式会社日立製作所 管理対象を追加する方法及び情報システム
US10264021B2 (en) 2014-02-20 2019-04-16 Nicira, Inc. Method and apparatus for distributing firewall rules
US10348685B2 (en) 2016-04-29 2019-07-09 Nicira, Inc. Priority allocation for distributed service rules
US10944722B2 (en) 2016-05-01 2021-03-09 Nicira, Inc. Using activities to manage multi-tenant firewall configuration
US11082400B2 (en) 2016-06-29 2021-08-03 Nicira, Inc. Firewall configuration versioning
US11115382B2 (en) 2015-06-30 2021-09-07 Nicira, Inc. Global objects for federated firewall rule management
US11171920B2 (en) 2016-05-01 2021-11-09 Nicira, Inc. Publication of firewall configuration
US11258761B2 (en) 2016-06-29 2022-02-22 Nicira, Inc. Self-service firewall configuration
US11310202B2 (en) 2019-03-13 2022-04-19 Vmware, Inc. Sharing of firewall rules among multiple workloads in a hypervisor

Families Citing this family (99)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2745208B1 (en) 2011-08-17 2018-11-28 Nicira, Inc. Distributed logical l3 routing
US9817968B2 (en) * 2012-10-31 2017-11-14 Unisys Corporation Secure connection for a remote device through a mobile application
JP2014096675A (ja) * 2012-11-08 2014-05-22 Hitachi Ltd 通信装置、及び、設定方法
EP2973365A4 (en) * 2013-03-15 2016-11-02 Stryker Corp PATIENT SUPPORT APPARATUS WITH REMOTE COMMUNICATIONS
US9887960B2 (en) 2013-08-14 2018-02-06 Nicira, Inc. Providing services for logical networks
US9952885B2 (en) 2013-08-14 2018-04-24 Nicira, Inc. Generation of configuration files for a DHCP module executing within a virtualized container
US9503371B2 (en) 2013-09-04 2016-11-22 Nicira, Inc. High availability L3 gateways for logical networks
US9577845B2 (en) 2013-09-04 2017-02-21 Nicira, Inc. Multiple active L3 gateways for logical networks
US10033693B2 (en) 2013-10-01 2018-07-24 Nicira, Inc. Distributed identity-based firewalls
US10063458B2 (en) 2013-10-13 2018-08-28 Nicira, Inc. Asymmetric connection with external networks
US9575782B2 (en) 2013-10-13 2017-02-21 Nicira, Inc. ARP for logical router
US9519513B2 (en) * 2013-12-03 2016-12-13 Vmware, Inc. Methods and apparatus to automatically configure monitoring of a virtual machine
US9678731B2 (en) 2014-02-26 2017-06-13 Vmware, Inc. Methods and apparatus to generate a customized application blueprint
US9225597B2 (en) 2014-03-14 2015-12-29 Nicira, Inc. Managed gateways peering with external router to attract ingress packets
US9313129B2 (en) 2014-03-14 2016-04-12 Nicira, Inc. Logical router processing by network controller
US9590901B2 (en) 2014-03-14 2017-03-07 Nicira, Inc. Route advertisement by managed gateways
US9419855B2 (en) 2014-03-14 2016-08-16 Nicira, Inc. Static routes for logical routers
US9647883B2 (en) 2014-03-21 2017-05-09 Nicria, Inc. Multiple levels of logical routers
US9503321B2 (en) 2014-03-21 2016-11-22 Nicira, Inc. Dynamic routing for logical routers
US9893988B2 (en) 2014-03-27 2018-02-13 Nicira, Inc. Address resolution using multiple designated instances of a logical router
US9413644B2 (en) 2014-03-27 2016-08-09 Nicira, Inc. Ingress ECMP in virtual distributed routing environment
US9906494B2 (en) 2014-03-31 2018-02-27 Nicira, Inc. Configuring interactions with a firewall service virtual machine
US9503427B2 (en) 2014-03-31 2016-11-22 Nicira, Inc. Method and apparatus for integrating a service virtual machine
US9215210B2 (en) 2014-03-31 2015-12-15 Nicira, Inc. Migrating firewall connection state for a firewall service virtual machine
US10205648B1 (en) * 2014-05-30 2019-02-12 EMC IP Holding Company LLC Network monitoring using traffic mirroring and encapsulated tunnel in virtualized information processing system
US9825913B2 (en) 2014-06-04 2017-11-21 Nicira, Inc. Use of stateless marking to speed up stateful firewall rule processing
US9729512B2 (en) 2014-06-04 2017-08-08 Nicira, Inc. Use of stateless marking to speed up stateful firewall rule processing
US20150378763A1 (en) 2014-06-30 2015-12-31 Vmware, Inc. Methods and apparatus to manage monitoring agents
US10020960B2 (en) 2014-09-30 2018-07-10 Nicira, Inc. Virtual distributed bridging
US9768980B2 (en) 2014-09-30 2017-09-19 Nicira, Inc. Virtual distributed bridging
US10511458B2 (en) 2014-09-30 2019-12-17 Nicira, Inc. Virtual distributed bridging
US10250443B2 (en) 2014-09-30 2019-04-02 Nicira, Inc. Using physical location to modify behavior of a distributed virtual network element
US9866473B2 (en) 2014-11-14 2018-01-09 Nicira, Inc. Stateful services on stateless clustered edge
US10044617B2 (en) 2014-11-14 2018-08-07 Nicira, Inc. Stateful services on stateless clustered edge
US11533255B2 (en) 2014-11-14 2022-12-20 Nicira, Inc. Stateful services on stateless clustered edge
US9876714B2 (en) 2014-11-14 2018-01-23 Nicira, Inc. Stateful services on stateless clustered edge
US9692727B2 (en) 2014-12-02 2017-06-27 Nicira, Inc. Context-aware distributed firewall
US9891940B2 (en) 2014-12-29 2018-02-13 Nicira, Inc. Introspection method and apparatus for network access filtering
US10079779B2 (en) 2015-01-30 2018-09-18 Nicira, Inc. Implementing logical router uplinks
JP6445715B2 (ja) 2015-03-30 2018-12-26 ホアウェイ・テクノロジーズ・カンパニー・リミテッド Ｖｎｆｍ間のインターフェースを確立するための方法及び装置、並びにシステム
US10038628B2 (en) 2015-04-04 2018-07-31 Nicira, Inc. Route server mode for dynamic routing between logical and physical networks
US10225184B2 (en) 2015-06-30 2019-03-05 Nicira, Inc. Redirecting traffic in a virtual distributed router environment
US10129142B2 (en) 2015-08-11 2018-11-13 Nicira, Inc. Route configuration for logical router
US10057157B2 (en) 2015-08-31 2018-08-21 Nicira, Inc. Automatically advertising NAT routes between logical routers
US10095535B2 (en) 2015-10-31 2018-10-09 Nicira, Inc. Static route types for logical routers
US10324746B2 (en) 2015-11-03 2019-06-18 Nicira, Inc. Extended context delivery for context-based authorization
US10333849B2 (en) 2016-04-28 2019-06-25 Nicira, Inc. Automatic configuration of logical routers on edge nodes
US10841273B2 (en) 2016-04-29 2020-11-17 Nicira, Inc. Implementing logical DHCP servers in logical networks
US10484515B2 (en) 2016-04-29 2019-11-19 Nicira, Inc. Implementing logical metadata proxy servers in logical networks
US10135727B2 (en) 2016-04-29 2018-11-20 Nicira, Inc. Address grouping for distributed service rules
US10091161B2 (en) 2016-04-30 2018-10-02 Nicira, Inc. Assignment of router ID for logical routers
US10560320B2 (en) 2016-06-29 2020-02-11 Nicira, Inc. Ranking of gateways in cluster
US10153973B2 (en) 2016-06-29 2018-12-11 Nicira, Inc. Installation of routing tables for logical router in route server mode
US10938837B2 (en) 2016-08-30 2021-03-02 Nicira, Inc. Isolated network stack to manage security for virtual machines
US9762619B1 (en) 2016-08-30 2017-09-12 Nicira, Inc. Multi-layer policy definition and enforcement framework for network virtualization
US10454758B2 (en) 2016-08-31 2019-10-22 Nicira, Inc. Edge node cluster network redundancy and fast convergence using an underlay anycast VTEP IP
US10341236B2 (en) 2016-09-30 2019-07-02 Nicira, Inc. Anycast edge service gateways
US10193862B2 (en) 2016-11-29 2019-01-29 Vmware, Inc. Security policy analysis based on detecting new network port connections
WO2018106612A1 (en) 2016-12-06 2018-06-14 Nicira, Inc. Performing context-rich attribute-based services on a host
US11089066B2 (en) * 2016-12-09 2021-08-10 Nutanix, Inc. System and method for dynamic medium access control (MAC) relating to a virtualization environment
US10212071B2 (en) 2016-12-21 2019-02-19 Nicira, Inc. Bypassing a load balancer in a return path of network traffic
US10742746B2 (en) 2016-12-21 2020-08-11 Nicira, Inc. Bypassing a load balancer in a return path of network traffic
US10237123B2 (en) 2016-12-21 2019-03-19 Nicira, Inc. Dynamic recovery from a split-brain failure in edge nodes
US11032246B2 (en) 2016-12-22 2021-06-08 Nicira, Inc. Context based firewall services for data message flows for multiple concurrent users on one machine
US10503536B2 (en) 2016-12-22 2019-12-10 Nicira, Inc. Collecting and storing threat level indicators for service rule processing
US10803173B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Performing context-rich attribute-based process control services on a host
US10812451B2 (en) 2016-12-22 2020-10-20 Nicira, Inc. Performing appID based firewall services on a host
US10616045B2 (en) 2016-12-22 2020-04-07 Nicira, Inc. Migration of centralized routing components of logical router
US10581960B2 (en) 2016-12-22 2020-03-03 Nicira, Inc. Performing context-rich attribute-based load balancing on a host
US10805332B2 (en) 2017-07-25 2020-10-13 Nicira, Inc. Context engine model
WO2018183312A1 (en) * 2017-03-28 2018-10-04 Cloudjumper Corporation Methods and systems for providing wake-on-demand access to session servers
US10951584B2 (en) 2017-07-31 2021-03-16 Nicira, Inc. Methods for active-active stateful network service cluster
US11296984B2 (en) 2017-07-31 2022-04-05 Nicira, Inc. Use of hypervisor for active-active stateful network service cluster
US11570092B2 (en) 2017-07-31 2023-01-31 Nicira, Inc. Methods for active-active stateful network service cluster
US10511459B2 (en) 2017-11-14 2019-12-17 Nicira, Inc. Selection of managed forwarding element for bridge spanning multiple datacenters
US10374827B2 (en) 2017-11-14 2019-08-06 Nicira, Inc. Identifier that maps to different networks at different datacenters
US10778651B2 (en) 2017-11-15 2020-09-15 Nicira, Inc. Performing context-rich attribute-based encryption on a host
US10896916B2 (en) 2017-11-17 2021-01-19 Sunrise Memory Corporation Reverse memory cell
US10862773B2 (en) 2018-01-26 2020-12-08 Nicira, Inc. Performing services on data messages associated with endpoint machines
US10802893B2 (en) 2018-01-26 2020-10-13 Nicira, Inc. Performing process control services on endpoint machines
US11153122B2 (en) 2018-02-19 2021-10-19 Nicira, Inc. Providing stateful services deployed in redundant gateways connected to asymmetric network
US10931560B2 (en) 2018-11-23 2021-02-23 Vmware, Inc. Using route type to determine routing protocol behavior
US10797998B2 (en) 2018-12-05 2020-10-06 Vmware, Inc. Route server for distributed routers using hierarchical routing protocol
US10938788B2 (en) 2018-12-12 2021-03-02 Vmware, Inc. Static routes for policy-based VPN
US11095480B2 (en) 2019-08-30 2021-08-17 Vmware, Inc. Traffic optimization using distributed edge services
US11539718B2 (en) 2020-01-10 2022-12-27 Vmware, Inc. Efficiently performing intrusion detection
US11616755B2 (en) 2020-07-16 2023-03-28 Vmware, Inc. Facilitating distributed SNAT service
US11606294B2 (en) 2020-07-16 2023-03-14 Vmware, Inc. Host computer configured to facilitate distributed SNAT service
US11611613B2 (en) 2020-07-24 2023-03-21 Vmware, Inc. Policy-based forwarding to a load balancer of a load balancing cluster
US11108728B1 (en) 2020-07-24 2021-08-31 Vmware, Inc. Fast distribution of port identifiers for rule processing
US11902050B2 (en) 2020-07-28 2024-02-13 VMware LLC Method for providing distributed gateway service at host computer
US11451413B2 (en) 2020-07-28 2022-09-20 Vmware, Inc. Method for advertising availability of distributed gateway service and machines at host computer
US11875172B2 (en) 2020-09-28 2024-01-16 VMware LLC Bare metal computer for booting copies of VM images on multiple computing devices using a smart NIC
US11496556B1 (en) * 2021-04-26 2022-11-08 Cisco Technology, Inc. Service provider selection for application-driven routing
US11995024B2 (en) 2021-12-22 2024-05-28 VMware LLC State sharing between smart NICs
US11799761B2 (en) 2022-01-07 2023-10-24 Vmware, Inc. Scaling edge services with minimal disruption
US11962564B2 (en) 2022-02-15 2024-04-16 VMware LLC Anycast address for network address translation at edge
US11899594B2 (en) 2022-06-21 2024-02-13 VMware LLC Maintenance of data message classification cache on smart NIC
US11928062B2 (en) 2022-06-21 2024-03-12 VMware LLC Accelerating data message classification with smart NICs

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090144393A1 (en) * 2007-11-29 2009-06-04 Yutaka Kudo Method and apparatus for locating candidate data centers for application migration
JP2009522868A (ja) * 2005-12-30 2009-06-11 エクストリーム・ネットワークス・インコーポレイテッド 仮想ルータ機能を提供する方法
JP2009532944A (ja) * 2006-03-31 2009-09-10 アマゾン テクノロジーズ インコーポレイテッド コンピューティングノード間通信の管理
CA2767179A1 (fr) * 2009-07-16 2011-01-20 Universite Pierre Et Marie Curie (Paris 6) Procede et systeme pour deployer a la volee et sur demande au moins un reseau virtuel
JP2011160300A (ja) * 2010-02-02 2011-08-18 Fujitsu Ltd ルータ、ルーティング方法、ルーティングプログラム、情報処理装置、仮想マシン構築方法および仮想マシン構築プログラム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6609153B1 (en) * 1998-12-24 2003-08-19 Redback Networks Inc. Domain isolation through virtual network machines
JP3714549B2 (ja) 2002-02-15 2005-11-09 日本電信電話株式会社 ゲートウェイ装置及びそれによる通信方法
JP3849606B2 (ja) 2002-08-06 2006-11-22 株式会社日立製作所 情報記録媒体、情報記録方法、情報再生方法
JP4328506B2 (ja) 2002-09-13 2009-09-09 ヤマハ株式会社 クライアント登録方法およびカラオケ装置の開局方法
JP3941014B2 (ja) 2002-12-02 2007-07-04 ソニー株式会社 情報処理システム、および情報処理装置
US7735129B2 (en) 2003-02-05 2010-06-08 Nippon Telegraph And Telephone Corporation Firewall device
US7802000B1 (en) * 2005-08-01 2010-09-21 Vmware Virtual network in server farm
US8838756B2 (en) * 2009-07-27 2014-09-16 Vmware, Inc. Management and implementation of enclosed local networks in a virtual lab
WO2009045299A1 (en) * 2007-10-03 2009-04-09 Virtela Communications, Inc. Virtualized application acceleration infrastructure
US8560634B2 (en) * 2007-10-17 2013-10-15 Dispersive Networks, Inc. Apparatus, systems and methods utilizing dispersive networking
US7941539B2 (en) * 2008-06-30 2011-05-10 Oracle America, Inc. Method and system for creating a virtual router in a blade chassis to maintain connectivity
AU2010234958A1 (en) * 2009-03-31 2011-10-13 Coach Wei System and method for access management and security protection for network accessible computer services
US8429647B2 (en) * 2009-05-06 2013-04-23 Vmware, Inc. Virtual machine migration across network by publishing routes to the associated virtual networks via virtual router after the start of migration of the virtual machine
US8370481B2 (en) * 2009-05-13 2013-02-05 Verizon Patent And Licensing Inc. Inventory management in a computing-on-demand system
US8959201B2 (en) * 2009-12-16 2015-02-17 Juniper Networks, Inc. Limiting control traffic in a redundant gateway architecture
JP2011160298A (ja) * 2010-02-02 2011-08-18 Fujitsu Ltd ネットワークシステム、処理を提供するサーバの切替方法、処理を提供するサーバの切替プログラム、情報処理装置、仮想マシン構築方法および仮想マシン構築プログラム

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009522868A (ja) * 2005-12-30 2009-06-11 エクストリーム・ネットワークス・インコーポレイテッド 仮想ルータ機能を提供する方法
JP2009532944A (ja) * 2006-03-31 2009-09-10 アマゾン テクノロジーズ インコーポレイテッド コンピューティングノード間通信の管理
US20110252135A1 (en) * 2007-11-29 2011-10-13 Hitachi, Ltd. Method and apparatus for locating candidate data centers for application migration
JP2009134687A (ja) * 2007-11-29 2009-06-18 Hitachi Ltd アプリケーションマイグレーションのための候補データセンタを見つける方法および装置［０００１］
US20100325273A1 (en) * 2007-11-29 2010-12-23 Hitachi, Ltd. Method and apparatus for locating candidate data centers for application migration
US20090144393A1 (en) * 2007-11-29 2009-06-04 Yutaka Kudo Method and apparatus for locating candidate data centers for application migration
CA2767179A1 (fr) * 2009-07-16 2011-01-20 Universite Pierre Et Marie Curie (Paris 6) Procede et systeme pour deployer a la volee et sur demande au moins un reseau virtuel
WO2011007105A1 (fr) * 2009-07-16 2011-01-20 Universite Pierre Et Marie Curie (Paris 6) Procede et systeme pour deployer a la volee et sur demande au moins un reseau virtuel.
FR2948248A1 (fr) * 2009-07-16 2011-01-21 Univ Paris Curie Procede et systeme pour deployer a la volee et sur demande au moins un reseau virtuel.
EP2454849A1 (fr) * 2009-07-16 2012-05-23 Universite Pierre Et Marie Curie - Paris 6 Procede et systeme pour deployer a la volee et sur demande au moins un reseau virtuel.
KR20120052981A (ko) * 2009-07-16 2012-05-24 유니베르시테 피에르 에 마리에 쿠리에 (파리 6) 적어도 하나의 가상 네트워크를 온더플라이 및 온디맨드 방식으로 배치하는 방법 및 시스템
US20120131579A1 (en) * 2009-07-16 2012-05-24 Centre National De La Recherche Scientifique Method and system for deploying at least one virtual network on the fly and on demand
JP2012533253A (ja) * 2009-07-16 2012-12-20 ユニヴェルシテ ピエール エ マリー キュリー（パリ シス） 少なくとも１つの仮想ネットワークをオンザフライかつオンデマンドでデプロイする方法及びシステム
JP2011160300A (ja) * 2010-02-02 2011-08-18 Fujitsu Ltd ルータ、ルーティング方法、ルーティングプログラム、情報処理装置、仮想マシン構築方法および仮想マシン構築プログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
CSND201100052005; 'オンデマンド仮想システムサービスの全貌 -テクノロジー編-' 日経コンピュータ 第７７６号, 20110217, ８６，８７頁, 日経ＢＰ社 *
JPN6015000252; 'オンデマンド仮想システムサービスの全貌 -テクノロジー編-' 日経コンピュータ 第７７６号, 20110217, ８６，８７頁, 日経ＢＰ社 *
JPN6015020658; 阿蘇和人: 'ＩＰサービスを変える"仮想"ルーター　各社各様の製品出そろう　ユーザー個別に利用環境設定' 日経コミュニケーション 第３６４号, 20020415, ｐ．７８〜８０, 日経ＢＰ社 *

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013254337A (ja) * 2012-06-06 2013-12-19 Ntt Data Corp 仮想化装置、仮想化制御方法、仮想化装置制御プログラム
JP2015156624A (ja) * 2014-02-20 2015-08-27 ニシラ， インコーポレイテッド ファイアウォール規則における実施ポイントの指定
US10264021B2 (en) 2014-02-20 2019-04-16 Nicira, Inc. Method and apparatus for distributing firewall rules
US11122085B2 (en) 2014-02-20 2021-09-14 Nicira, Inc. Method and apparatus for distributing firewall rules
JP2015216588A (ja) * 2014-05-13 2015-12-03 日本電信電話株式会社 アクセス制御装置、アクセス制御方法、及びプログラム
JP2018501590A (ja) * 2015-04-07 2018-01-18 ホアウェイ・テクノロジーズ・カンパニー・リミテッド モバイルデバイスに基づくクラスタコンピューティングインフラストラクチャのための方法および装置
US11128600B2 (en) 2015-06-30 2021-09-21 Nicira, Inc. Global object definition and management for distributed firewalls
US11115382B2 (en) 2015-06-30 2021-09-07 Nicira, Inc. Global objects for federated firewall rule management
US11005815B2 (en) 2016-04-29 2021-05-11 Nicira, Inc. Priority allocation for distributed service rules
US10348685B2 (en) 2016-04-29 2019-07-09 Nicira, Inc. Priority allocation for distributed service rules
US10944722B2 (en) 2016-05-01 2021-03-09 Nicira, Inc. Using activities to manage multi-tenant firewall configuration
US11171920B2 (en) 2016-05-01 2021-11-09 Nicira, Inc. Publication of firewall configuration
US11425095B2 (en) 2016-05-01 2022-08-23 Nicira, Inc. Fast ordering of firewall sections and rules
US11082400B2 (en) 2016-06-29 2021-08-03 Nicira, Inc. Firewall configuration versioning
US11088990B2 (en) 2016-06-29 2021-08-10 Nicira, Inc. Translation cache for firewall configuration
US11258761B2 (en) 2016-06-29 2022-02-22 Nicira, Inc. Self-service firewall configuration
WO2018122892A1 (ja) * 2016-12-26 2018-07-05 株式会社日立製作所 管理対象を追加する方法及び情報システム
US11310202B2 (en) 2019-03-13 2022-04-19 Vmware, Inc. Sharing of firewall rules among multiple workloads in a hypervisor
US12058108B2 (en) 2019-03-13 2024-08-06 VMware LLC Sharing of firewall rules among multiple workloads in a hypervisor

Also Published As

Publication number Publication date
US20130007740A1 (en) 2013-01-03
JP5824911B2 (ja) 2015-12-02
US8856786B2 (en) 2014-10-07

Similar Documents

Publication Publication Date Title
JP5824911B2 (ja) 情報処理装置、情報処理プログラムおよび管理方法
JP5673398B2 (ja) 情報処理装置、情報処理プログラムおよび管理方法
US11044236B2 (en) Protecting sensitive information in single sign-on (SSO) to the cloud
US10075459B1 (en) Securing workspaces in a cloud computing environment
JP6158415B2 (ja) サービスとしての装置の提供
US10558446B2 (en) Methods, systems, and computer program products for monitoring and control of a changes to computer apparatus and/or virtual machines by means of a management system via a network
RU2646343C1 (ru) Объекты виртуального сетевого интерфейса
JP5333263B2 (ja) アクセス制御システム及びアクセス制御方法
US11924165B2 (en) Securing containerized applications
JP6582554B2 (ja) シンクライアントシステム、サーバ装置、ポリシー管理装置、制御方法及び制御プログラム
JP4507104B2 (ja) 情報処理装置、通信制御方法および通信制御用プログラム
WO2022247751A1 (zh) 远程访问应用的方法、系统、装置、设备及存储介质
JP2011250209A (ja) ルータ、情報処理装置及びプログラム
JP2011160300A (ja) ルータ、ルーティング方法、ルーティングプログラム、情報処理装置、仮想マシン構築方法および仮想マシン構築プログラム
US11233850B2 (en) Replicating data over a public network
US10601788B2 (en) Interception of secure shell communication sessions
JPWO2013080659A1 (ja) 機密情報漏洩防止システム、機密情報漏洩防止方法、及びプログラム
US20210218712A1 (en) Accessing an authentication service from a cloud domain in a network zone different from that of the authentication service
JP2011160298A (ja) ネットワークシステム、処理を提供するサーバの切替方法、処理を提供するサーバの切替プログラム、情報処理装置、仮想マシン構築方法および仮想マシン構築プログラム
US11630682B2 (en) Remoting user credential information to a remote browser
JP6359260B2 (ja) クラウド環境においてセキュアなクレジットカードシステムを実現するための情報処理システムおよびファイアウォール装置
JP6055546B2 (ja) 認証装置、認証方法、およびプログラム
JP5979304B2 (ja) プログラム、情報処理装置および更新方法
JP2011248690A (ja) 情報処理装置及びプログラム
JP2017103703A (ja) ネットワークシステム、制御装置、及びプログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20140304

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20141128

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20150113

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20150313

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20150526

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20150716

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20150915

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20150928

R150 Certificate of patent or registration of utility model

Ref document number: 5824911

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees