JP2015115729A

JP2015115729A - キャプチャデータ解析装置

Info

Publication number: JP2015115729A
Application number: JP2013255605A
Authority: JP
Inventors: 裕希築地; Hiroki Tsukiji; 高大山本; Kota Yamamoto; 丸山　健一; Kenichi Maruyama; 健一丸山
Original assignee: Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone East Corp
Current assignee: Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone East Corp
Priority date: 2013-12-11
Filing date: 2013-12-11
Publication date: 2015-06-22

Abstract

【課題】キャプチャしたパケットからセッション毎のエラー数を集計する。
【解決手段】ファイル操作部１２がキャプチャファイルをメモリ上に読み込み、エラー集計部１３がメモリ上のキャプチャファイルからパケットデータを取得して、送信元アドレス、送信元ポート、送信先アドレス、送信先ポートの組み合わせが一致するパケットを同一セッションとして管理し、セッション毎にエラーの数を集計し、
出力部１５が、集計したエラーの数をセッション毎に出力する。これにより、ＴＣＰセッション毎のエラーを集計して管理することが可能となる。
【選択図】図１

Description

本発明は、ネットワーク上を流れるパケットをキャプチャしたキャプチャデータを解析する技術に関する。

ネットワークのトラブルの原因を追求する方法として、ネットワークに流れるパケットをキャプチャして記憶装置に蓄積し、解析する方法がある。

例えば、特許文献１には、収集されたデータについて、監視対象のプロトコルのパケットが正当な手続きに沿って送受信されているか否か判定する技術が開示されている。

特開２０１２−２０５１８７号公報

多くのユーザが利用するＷｅｂサービスは、Ｗｅｂコンテンツをネットワーク上のＷｅｂサーバから取得してユーザの端末に表示するサービスである。Ｗｅｂコンテンツは、ＨＴＭＬファイル、画像あるいは動画などの複数のファイルで構成されていることが多い。ユーザの端末は、これらのファイルそれぞれについて複数のＴＣＰセッションを確立し、Ｗｅｂサーバからファイルを取得する。ユーザの端末にＷｅｂコンテンツが表示されるまでの時間が長いとき、ユーザはネットワークが重いと感じる。Ｗｅｂコンテンツを構成するファイルは、別々のサーバ上に置かれることもあり、ある１つのサーバとの間でネットワーク障害が発生した場合でも、Ｗｅｂコンテンツの全てが表示されるまでに時間がかかり、ユーザの体感速度に影響を与える。

ネットワーク障害の原因を探るためにパケットをキャプチャして解析する方法があるが、従来のキャプチャデータの解析装置はキャプチャしたパケットを個別に表示するものであり、使用者がパケットを追って障害に関連するパケットを抽出していた。従来の解析装置では、ＴＣＰエラーをセッション毎に集計することは行っていなかった。

本発明は、上記に鑑みてなされたものであり、キャプチャしたパケットからセッション毎のエラー数を集計することを目的とする。

本発明に係るキャプチャデータ解析装置は、ネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャデータを解析するキャプチャデータ解析装置であって、前記キャプチャデータを読み込みパケットデータを抽出する読込手段と、前記パケットデータを送信先情報と送信元情報の組み合わせが同じパケットデータを同一のセッションとして管理し、セッション毎にエラーの数を集計する集計手段と、前記集計手段が集計したエラーの数を前記セッション毎に出力する出力手段と、を有することを特徴とする。

本発明によれば、キャプチャしたパケットからセッション毎のエラー数を集計することができる。

本実施の形態におけるキャプチャデータ解析装置の構成を示す機能ブロック図である。本実施の形態におけるキャプチャデータ解析装置の処理の流れを示すフローチャートである。エラー集計部の集計結果の出力例を示す図である。

以下、本発明の実施の形態について図面を用いて説明する。

図１は、本実施の形態におけるキャプチャデータ解析装置の構成を示す機能ブロック図である。同図に示すキャプチャデータ解析装置は、ユーザ宅内のネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャファイルをキャプチャファイル蓄積部２から読み出して解析する。キャプチャファイル蓄積部２には数ヶ月分のキャプチャファイルが蓄積される。キャプチャデータは、キャプチャファイルのサイズやキャプチャの期間に応じて複数に分割されてキャプチャファイル蓄積部２に蓄積される。キャプチャファイルには、パケットデータがキャプチャ時刻とともに時系列順に記載される。また、キャプチャファイルは、キャプチャファイル内で一番最初のパケットデータのキャプチャ時刻を開始時刻、一番最後のパケットデータのキャプチャ時刻を終了時刻としたヘッダーを備える。以下、キャプチャデータ解析装置について説明する。

本キャプチャデータ解析装置は、入力部１１、ファイル操作部１２、エラー集計部１３、復元部１４、および出力部１５を備える。キャプチャデータ解析装置が備える各部は、演算処理装置、記憶装置等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムはキャプチャデータ解析装置が備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。

入力部１１は、処理対象のキャプチャファイルの指定、パケットがキャプチャされた時間に対するオフセット時間の設定、パケットデータを抜き出して処理する抜き出し期間の設定、および解析結果の出力先を入力する。

処理対象のキャプチャファイルの指定は、例えば、キャプチャファイル蓄積部２がキャプチャファイルを蓄積しているフォルダを指定し、指定されたフォルダに存在するキャプチャファイル全てを処理対象とする。あるいは、キャプチャファイルを個別に選択して指定してもよい。この場合、複数のキャプチャファイルを指定することも可能である。

オフセット時間とは、キャプチャファイルに記録されたパケットをキャプチャした時刻に対するオフセットを指定する時間である。キャプチャファイルには、パケットデータとパケットをキャプチャしたキャプチャ時刻が記載されるが、パケットをキャプチャするパケットキャプチャ装置内の時計がずれていた場合、そのずれた時刻がキャプチャ時刻として記載される。オフセット時間は、パケットキャプチャ装置内の時計のずれを補正する時間である。

抜き出し期間は、キャプチャファイル蓄積部２に蓄積されたキャプチャファイルにおいて処理対象とする期間である。抜き出し期間が指定された場合、指定された全てのキャプチャファイルを処理対象とするのではなく、抜き出し期間に該当するキャプチャファイルを処理対象とする。

ファイル操作部１２は、指定された処理対象のキャプチャファイルを時系列順に取得してキャプチャデータ解析装置が備えるメモリ上に読み込む。処理対象のキャプチャファイルが複数存在する場合、全ての処理対象のキャプチャファイルをメモリ上に一度に読み込むことはできないので、処理対象のキャプチャファイルを時系列順に１つずつメモリ上に読み込み、後段のエラー集計部１３及び復元部１４がメモリ上のキャプチャファイルを処理した後、メモリ上のデータを破棄して次のキャプチャファイルを読み込む。キャプチャファイルの時系列順は、キャプチャファイルのヘッダーに記載された開始時刻、終了時刻を参照して判定する。あるいは、キャプチャファイルのファイル名が時系列順に規則的に付けられる場合、例えばファイル名に通し番号が付与される場合あるいはファイル名に作成日時を含む場合など、キャプチャファイルのファイル名によりキャプチャファイルの時系列順を判定してもよい。ファイル操作部１２は、キャプチャファイルのファイル名を時系列順に並べたリストを保持しておく。

エラー集計部１３は、メモリ上のキャプチャファイルからパケットデータを取得してセッションに分類し、セッション毎にエラー数をカウントする。

ＴＣＰパケットには、セッションを識別するためのセッション識別子が付与されないので、送信元アドレス、送信元ポート、送信先アドレス、送信先ポートの組み合わせ（以下、「送受信アドレス情報」とする）が一致するパケットを同一セッションとして分類する。例えば、セッションをキャプチャデータ解析装置内で一意のセッションＩＤで管理し、取得したパケットデータの送受信アドレス情報が一致するセッションが存在する場合は、そのセッションのセッションＩＤをパケットデータに付与し、送受信アドレス情報が一致するセッションが存在しない場合は、その送受信アドレス情報について新たなセッションが確立されたとして、セッションＩＤを生成してパケットデータに付与する。あるいは、ＴＣＰセッションを開始するＳＹＮパケット等が検出されたときに、そのパケットで確立されるセッションを新たなセッションとして管理し、ＦＩＮパケットが検出されたときに、そのセッションは終了したと判定してもよい。なお、セッションを識別するためのセッション識別子が付与される通信のパケットは、セッション識別子に基づいてセッション毎に分類する。

また、逆方向の通信、つまり送信先アドレス、送信先ポートと送信元アドレス、送信元ポートが入れ替わったパケットについては、同一セッションとしてもよいし、別のセッションとしてもよい。

エラー集計部１３が検出するエラーとしては、例えばＴＣＰのセッションについては、ＳＹＮＡＣＫなし、再送、重複ＡＣＫ、順序逆転、ウィンドウサイズ低下がある。

復元部１４は、ファイル操作部１２が読み込んだキャプチャファイルのパケットデータで送受信されるデータ、例えばＨＴＴＰのＧＥＴメソッドで取得されたデータを復元する。復元したデータは、キャプチャデータ解析装置が備える記憶装置の所定の場所にファイルとして保存する。

出力部１５は、エラー集計部１３が集計したセッション毎のエラーの数を出力する。

次に、本実施の形態におけるキャプチャデータ解析装置の動作について説明する。

図２は、本実施の形態におけるキャプチャデータ解析装置の処理の流れを示すフローチャートである。

まず、入力部１１がキャプチャファイルの格納場所、オフセット時間、および抜き出し期間を入力する（ステップＳ１１〜Ｓ１３）。なお、オフセット時間と抜き出し期間の入力は任意であり、必要ない場合は入力を省略できる。

続いて、ファイル操作部１２がキャプチャファイルを時系列順に取得してメモリ上に読み込む（ステップＳ１４）。ステップＳ１３で抜き出し期間が指定されていない場合は、キャプチャファイルの格納場所で最も古いパケットデータが記載されたキャプチャファイルをメモリ上に読み込む。一方、抜き出し期間が指定されている場合は、抜き出し期間の開始時刻を含むキャプチャファイルをメモリ上に読み込む。

そして、エラー集計部１３がメモリ上のキャプチャファイルからパケットデータを取得してセッションに分類し（ステップＳ１５）、セッション毎にエラーを検出してエラーの数をカウントする（ステップＳ１６）。なお、ステップＳ１２でオフセット時間が指定されている場合は、取得したパケットデータのキャプチャ時刻にオフセット時間を加味する。また、キャプチャファイルに復元するデータが存在する場合は、復元部１４がパケットデータを取得して復元データを構成する。

メモリ上に読み込んだキャプチャファイルの処理が終了すると、処理対象となるキャプチャファイルを全て処理したか否か判定し（ステップＳ１７）、まだ処理していないキャプチャファイルが存在する場合は（ステップＳ１７のＮＯ）、ステップＳ１４に戻り、次のキャプチャファイルを読み込んで処理を続ける。このとき、メモリ上に読み込まれているキャプチャファイルは処理し終えているのでメモリ上から破棄する。

処理対象となるキャプチャファイルを全て処理した場合は（ステップＳ１７のＹＥＳ）、エラー集計部１３の解析結果を出力部１５が出力する（ステップＳ１８）。

図３に、エラー集計部１３の集計結果の出力例を示す。同図では、セッション毎に、セッションの開始時刻、終了時刻、送信元のＩＰアドレスとポート番号、送信先のＩＰアドレスとポート番号、そのセッションで送受信された総パケット数、およびそのセッションにおけるエラー検出数を出力している。セッションの開始時刻は、エラー集計部１３が新たにセッションが確立されたと判定したパケットのキャプチャ時刻、終了時刻は、そのセッションの最後のパケットのキャプチャ時刻である。ＡＣＫ、ＦＩＮパケットに基づいてセッションの開始時刻、終了時刻を決めてもよい。

また、セッションの行を選択することで、そのセッションで検出されたエラーの詳細を閲覧できるようにしてもよいし、復元部１４が復元した、そのセッションで送受信されたデータを閲覧できるようにしてもよい。

以上説明したように、本実施の形態によれば、ファイル操作部１２がキャプチャファイルをメモリ上に読み込み、エラー集計部１３がメモリ上のキャプチャファイルからパケットデータを取得して、送信元アドレス、送信元ポート、送信先アドレス、送信先ポートの組み合わせが一致するパケットを同一セッションとして管理し、セッション毎にエラーの数を集計し、出力部１５が、集計したエラーの数をセッション毎に出力することにより、ＴＣＰセッション毎のエラーを集計して管理することが可能となる。

１１…入力部
１２…ファイル操作部
１３…エラー集計部
１４…復元部
１５…出力部
２…キャプチャファイル蓄積部

Claims

ネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャデータを解析するキャプチャデータ解析装置であって、
前記キャプチャデータを読み込みパケットデータを抽出する読込手段と、
前記パケットデータを送信先情報と送信元情報の組み合わせが同じパケットデータを同一のセッションとして管理し、セッション毎にエラーの数を集計する集計手段と、
前記集計手段が集計したエラーの数を前記セッション毎に出力する出力手段と、
を有することを特徴とするキャプチャデータ解析装置。