JP2015154433A - Communication monitoring device - Google Patents
Communication monitoring device Download PDFInfo
- Publication number
- JP2015154433A JP2015154433A JP2014029108A JP2014029108A JP2015154433A JP 2015154433 A JP2015154433 A JP 2015154433A JP 2014029108 A JP2014029108 A JP 2014029108A JP 2014029108 A JP2014029108 A JP 2014029108A JP 2015154433 A JP2015154433 A JP 2015154433A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- line
- entry
- wan
- lan
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
本発明は、通信監視装に係り、特に、アプライアンス装置を流れる通信を監視する監視装置に関する。 The present invention relates to a communication monitoring device, and more particularly to a monitoring device that monitors communication flowing through an appliance device.
ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）を利用した通信を高速化するためのＷＡＮ高速化装置や、データセンタや拠点のセキュリティを強化するためのＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）や、Ｗｅｂサーバのレスポンスを高速化するＷｅｂ高速化装置など、様々なアプライアンス装置が広く使われるようになりつつある。 A WAN acceleration device for accelerating communication using a WAN (Wide Area Network), an IDS (Intrusion Detection System) for enhancing the security of a data center or a base, or a Web for accelerating the response of a Web server Various appliances such as high-speed devices are becoming widely used.
ＷＡＮやインターネットなど外側のネットワークと、データセンタや拠点のＬＡＮなど内側のネットワークとの境界に、アプライアンス装置を設置して運用することが、一般的である。設定ミスや攻撃などにより、アプライアンス装置に異常なパケットが流入すると、アプライアンス装置が予期せぬ挙動をすることがある。そして、アプライアンス装置の予期せぬ挙動により、ネットワークに障害が発生することがある。 It is common to install and operate an appliance device at the boundary between an outside network such as a WAN or the Internet and an inside network such as a data center or LAN of a base. If an abnormal packet flows into the appliance device due to a setting error or attack, the appliance device may behave unexpectedly. A failure may occur in the network due to an unexpected behavior of the appliance device.
このようなネットワーク障害を防止するために、アプライアンス装置に流入するパケットを監視して、異常を検出したときにパケットを廃棄するような監視装置を、アプライアンス装置と共に設置することがある。 In order to prevent such a network failure, a monitoring device that monitors a packet flowing into the appliance device and discards the packet when an abnormality is detected may be installed together with the appliance device.
例えば、第１の端末から第２の端末へのアクセス要求を含んだ固定長パケットに格納されている情報に基づいて第２の端末へのアクセスを許容するか否かを判断する装置が公開されている（特許文献１）。 For example, an apparatus for determining whether to permit access to a second terminal based on information stored in a fixed-length packet including an access request from the first terminal to the second terminal is disclosed. (Patent Document 1).
アプライアンス装置を、１つのルータ／スイッチ（ルータ又はスイッチ）からＬＡＮ側の２本の回線およびＷＡＮ側の２本の回線を引き出す構成として設置するとき、ルータやスイッチの設定ミスにより、同一ＩＰからのパケットが、２つの回線の両方から到着することがある。このような場合、アプライアンス装置に不具合が発生したり、ネットワークが障害を起こして通信が停止したりする問題があった。 When installing the appliance device as a configuration that pulls out two lines on the LAN side and two lines on the WAN side from a single router / switch (router or switch), it can be Packets may arrive from both of the two lines. In such a case, there has been a problem that a failure occurs in the appliance device or communication is stopped due to a network failure.
上述の課題を解決するために、本発明に係る通信装置及び通信装置におけるパケットの監視方法は、監視装置が、ＬＡＮとＷＡＮとを接続するネットワーク上に設置された転送装置から引き出されたＬＡＮ接続用の第１回線と、前記転送装置から引き出されたＷＡＮ接続用の第２回線と、アプライアンス装置から引き出されたＬＡＮ側の第３回線と、前記アプライアンス装置から引き出されたＷＡＮ側の第４回線と接続され、前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備える記憶部と、前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更する演算部とを備えることを特徴とする。 In order to solve the above-described problems, a communication device and a packet monitoring method in the communication device according to the present invention are the LAN connection drawn from the transfer device installed on the network connecting the LAN and the WAN. First line for WAN connection, second line for WAN connection drawn from the transfer device, third line on the LAN side drawn from the appliance device, and fourth line on the WAN side drawn from the appliance device And a storage unit comprising connection management information for designating a routing destination of a packet received from the transfer device or appliance device for each of the first line, the second line, the third line, and the fourth line. The consistency of the received packet is determined based on the source information of the packet and the destination information of the packet. And a calculation unit that passes the packet to a routing destination when it is determined to be consistent, and changes the routing destination when it is determined as inconsistent. .
本発明により、監視装置は、アプライアンス装置のＬＡＮ側回線と、アプライアンス装置のＷＡＮ側回線と、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線と、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線の４つの回線を流れる通信を監視することが可能となる。更に、４つの回線を流れる通信セッションと受信パケットとの整合性の監視が可能となり、また、４つの回線を流れる通信セッション同士の整合性の監視が可能となり、また、４つの回線を流れる通信セッションと受信パケットとの整合性に応じて、通信サービスやアプライアンスサービスの継続／停止を指定することが可能となる。 According to the present invention, the monitoring device includes a LAN side line of the appliance device, a WAN side line of the appliance device, a LAN connection line for the appliance drawn from the router / switch, and a WAN connection line for the appliance drawn from the router / switch. It is possible to monitor the communication flowing through the four lines. Furthermore, it is possible to monitor the consistency between communication sessions that flow through four lines and received packets, and it is possible to monitor the consistency between communication sessions that flow through four lines, and communication sessions that flow through four lines. It is possible to specify continuation / stop of the communication service or appliance service according to the consistency between the received packet and the received packet.
本発明を実施するための代表的な形態は、下記の通りである。実施例１には、基本的な一形態を、記載する。実施例２には、監視部とアプライアンス部が一つの装置にまとめられた形態を、記載する。 A typical form for carrying out the present invention is as follows. Example 1 describes a basic form. In the second embodiment, a mode in which the monitoring unit and the appliance unit are combined into one device will be described.
まず、図１と図３を用いて、本発明が解決しようとする課題について説明する。 First, the problem to be solved by the present invention will be described with reference to FIGS.
図１には、本発明を適用した監視装置を有するシステムの構成図を示す。 FIG. 1 shows a configuration diagram of a system having a monitoring apparatus to which the present invention is applied.
監視装置２００Ａ〜Ｃは、複数の拠点内のＬＡＮ１１０、１２０、１３０とＷＡＮ１４０とを接続する通信回線上に設置されたルータ／スイッチ（ルータ又はスイッチ）２０２Ａ〜Ｃに対して、２本の回線で接続されている。更に、監視装置２００Ａ〜Ｃは、アプライアンス２０１Ａ〜Ｃに対して、２本の回線で接続されている。
The
ルータ／スイッチ２０２Ａ〜ＣとＷＡＮ１４０とは、アクセス回線１９１、１９２、１９３で接続されている。各拠点のＬＡＮ１１０、１２０、１３０には、複数の端末１１１〜１１３、１２１〜１２３、１３１〜１３３が接続している。なお、端末、装置及びネットワークの数は、図示以外にも適宜の数を備えても良い。
Routers /
図３には、本発明が解決しようとする課題の説明図を示す。 FIG. 3 shows an explanatory diagram of the problem to be solved by the present invention.
アプライアンス２０１は、１つのルータ／スイッチ２０２から、ＬＡＮ側の回線３０２とＷＡＮ側の回線３０３とを引き出す構成で、設置されている。ルータ／スイッチ２０２は、ＬＡＮ１１０，１２０，１３０とルータ３００を経由して接続し、ＷＡＮ１４０とルータ３０１を経由して接続している。
The
まず、ルータ／スイッチ２０２におけるポリシールーティング／スイッチング（ポリシールーティング又はスイッチング）の設定が正しい場合（３１０）について説明する。
First, the case where the setting of policy routing / switching (policy routing or switching) in the router /
なお、設定が正しいとは、ＷＡＮ１４０とアプライアンス２０１との間でやり取りされるパケットが回線３０３を経由するようなルーティングが、ルータ／スイッチ２０２に設定され、且つ、ＬＡＮ１１０，１２０，１３０とアプライアンス２０１との間でやり取りされるパケットが回線３０２を経由するようなルーティングが、ルータ／スイッチ２０２に設定されることを、意味する。
Note that the correct setting means that the router /
ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入り、ＬＡＮ側の回線３０２を通って、アプライアンス２０１に到着する。そして、アプライアンス２０１からＷＡＮ１４０に向かうパケットは、ＷＡＮ側の回線３０３を通ってルータ／スイッチ２０２に入り、ルータ３０１を経由して、ＷＡＮ１４０へと抜けていく。
Packets from the
一方、ＷＡＮ１４０からのパケットは、ルータ３１０を経由してルータ／スイッチ２０２に入り、ＷＡＮ側の回線３０３を通って、アプライアンス２０１に到着する。そして、アプライアンス２０１からＬＡＮ１１０，１２０，１３０に向かうパケットは、ＬＡＮ側の回線３０２を通ってルータ／スイッチ２０２に入り、ルータ３００を経由して、ＬＡＮ１１０，１２０，１３０へと抜けていく。
On the other hand, a packet from the WAN 140 enters the router /
次に、ルータ／スイッチ２０２のポリシールーティング／スイッチングの設定が誤っている場合（３２０）について説明する。
Next, a case where the policy routing / switching setting of the router /
なお、ここで、設定が誤っているとは、ＷＡＮ１４０とアプライアンス２０１との間でやり取りされるパケットが回線３０３を経由するようなルーティングが、ルータ／スイッチ２０２に設定されておらず、ＬＡＮ１１０，１２０，１３０とアプライアンス２０１との間でやり取りされるパケットが回線３０２を経由するようなルーティングが、ルータ／スイッチ２０２に設定されていないことを意味する。設定が誤っていると、ＬＡＮ１１０，１２０，１３０からのパケットが回線３０２や回線３０３の両方を経由してアプライアンス２０１に到着したり、ＷＡＮ１４０からのパケットが回線３０２や回線３０３の両方を経由してアプライアンス２０１に到着したりする。
Here, if the setting is incorrect, the routing that the packet exchanged between the WAN 140 and the
設定が誤っていると、ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入るが、その後、ＬＡＮ側の回線３０２を通ってアプライアンス２０１に到着したり、ＷＡＮ側の回線３０３を通ってアプライアンス２０１に到着したりすることがある。アプライアンス２０１は、ＬＡＮからのパケットを、ＬＡＮ側の回線３０２およびＷＡＮ側の回線３０３の両方から受信することになる。そして、アプライアンス２０１は、予期せぬパケットを受信することで不具合を発生し場合によっては、アプライアンス２０１の不具合が、ネットワークを停止させてしまうことがある。
If the settings are incorrect, packets from the
同様に、設定が誤っていると、ＷＡＮ１４０からのパケットは、ルータ３００を経由してルータ／スイッチ２０２に入るが、その後、ＬＡＮ側の回線３０２を通ってアプライアンス２０１に到着したり、ＷＡＮ側の回線３０３を通ってアプライアンス２０１に到着したりすることがある。アプライアンス２０１は、ＷＡＮからのパケットを、ＬＡＮ側の回線３０２およびＷＡＮ側の回線３０３の両方から受信することになる。そして、アプライアンス２０１は、予期せぬパケットを受信することで不具合を発生し場合によっては、アプライアンス２０１の不具合が、ネットワークを停止させてしまうことがある。
Similarly, if the setting is wrong, a packet from the WAN 140 enters the router /
次に、図４と図５を用いて、本発明を適用した構成およびその機能について、説明する。 Next, the configuration to which the present invention is applied and the function thereof will be described with reference to FIGS.
図４には、本実施を適用した監視装置２００を備える構成を示す。
FIG. 4 shows a configuration including a
まず、アプライアンス４００とルータ４０３との間に、インパス構成で導入される従来公知の監視装置４０１を示す。また、ルータ４０４から引き出された１本の回線に接続することで、アウトパス構成で導入される従来公知の監視装置４０２を示す。
First, a conventionally known
一つ目の従来公知の監視装置４０１は、ＬＡＮ１１０，１２０，１３０からアプライアンス４００経由で受信したパケット４０５を監視すると共に、ＷＡＮ１４０からルータ４０３経由で受信したパケット４０６を監視する。一方、二つ目の従来公知の監視装置４０２は、ＬＡＮ１１０，１２０，１３０からアプライアンス４００経由で受信したパケット４０７を監視すると共に、ＷＡＮ１４０からルータ４０４経由で受信したパケット４０８を監視する。これらの監視装置４０１，４０２は、アプライアンス４００のＷＡＮ側から来たパケットと、ＷＡＮからルータ４０４経由で来たパケットとの、２種類のパケットしか監視できない。
The first conventionally known
これに対し、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０からルータ２０２経由で受信したパケット４０９と、ＷＡＮ１４０からルータ２０２経由で受信したパケット４１０と、アプライアンス２０１のＬＡＮ側から来たパケット４１１と、アプライアンス２０１のＷＡＮ側から来たパケット４１２との、合わせて４種類のパケットを監視する。このように、４種類のパケットを監視可能な監視装置２００を用いることで、２種類のパケットを監視する従来公知の監視装置４０１，４０２とは異なるシステムを組むことができる。
On the other hand, the
図５には、本発明を適用した監視装置２００により実現される機能の、説明図を示す。
FIG. 5 is an explanatory diagram of functions realized by the
まず、アプライアンス５００とルータ５０２との間に、インパス構成で導入される従来公知の監視装置５０１を示す。
First, a conventionally known
従来公知の監視装置５０１は、アプライアンス５００のＷＡＮ側から受信したパケットに、例えば送信元IPアドレスとしてＷＡＮ側の端末のIPアドレスが用いられている等の不整合があり、異常と判断すると、パケットを廃棄する（５０３）。
When the conventionally known
同様に、従来公知の監視装置５０１は、ＷＡＮ１４０からルータ５０２経由で受信したパケットに、例えば送信元IPアドレスとしてＬＡＮ側の端末のIPアドレスが用いられている等の不整合があり、異常と判断すると、パケットを廃棄する（５０４）。
Similarly, the conventionally known
従来公知の監視装置５０１は、アプライアンス５００のＷＡＮ側から受信したパケットに、送信元IPアドレスとしてＬＡＮ側の端末のIPアドレスが用いられ、且つ、ＷＡＮ１４０からルータ５０２経由で受信したパケットに、送信元IPアドレスとしてＷＡＮ側の端末のIPアドレスが用いられている等の整合性が取れており、正常と判断すると、パケットを通過させる（５０５）。
The conventionally known
このように、従来公知の監視装置５０１は、ＷＡＮ側からのパケットと、アプライアンスのＷＡＮ側からのパケットに対して整合性を判定し、判定結果の整合／不整合に応じて、パケットの廃棄処理又はパケットの通過処理をする。
As described above, the conventionally known
これに対し、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０やＷＡＮ１４０からルータ２０２経由で受信したパケット５０７の整合性が取れており、正常だと判断すると、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とアプライアンス２０１のＬＡＮ側回線との間で、パケットを通過させると共に、ルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線とアプライアンス２０１のＷＡＮ側回線との間で、パケットを通過させる（５０９）。
On the other hand, the
また、本発明を適用した監視装置２００は、ＬＡＮ１１０，１２０，１３０やＷＡＮ１４０からルータ２０２経由で受信したパケットに不整合があり、異常だと判断すると、たとえば２種類の通過方法を適用する。
The
１つ目として、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とアプライアンス２０１のＷＡＮ側回線との間でパケット５０８を通過させると共に、ルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線とアプライアンス２０１のＬＡＮ側回線との間でパケット５０８を通過させる（５１１）ことで、アプライアンス２０１とルータ２０２の経路を反転させることがある。
First, the
２つ目として、ルータ２０２から引き出したアプライアンス向けＬＡＮ接続用回線とルータ２０２から引き出したアプライアンス向けＷＡＮ接続用回線との間で、パケット５０６を通過させる（５１０）ことがある。すなわち、パケット５０６を、監視装置２００のみ通過させ、アプライアンス装置２０１を通過させない。
Second, the packet 506 may be passed between the appliance LAN connection line drawn out from the
このように、本発明を適用した監視装置２００は、ルータのＬＡＮ側からのパケットと、ルータのＷＡＮ側からのパケットと、アプライアンスのＬＡＮ側からのパケットと、アプライアンスのＷＡＮ側からのパケットとに対して整合性を判定し、判定結果の整合／不整合に応じて、別々のルーティングを行うことが可能となる。つまり、本発明を適用した監視装置２００は、従来公知の監視装置５０１とは異なる機能を、実現することができる。
As described above, the
なお、従来公知の監視装置５０１は、整合／不整合に応じて、パケットを通過または廃棄させるだけである。つまり、監視装置５０１では、異常を検出した時にパケットを廃棄させるので、アプライアンスのサービスや、通信そのもののサービスが停止してしまう。これに対して、本発明を適用した監視装置２００は、整合／不整合に応じて、別々のルーティングを行う。よって、監視装置２００は、異常を検出した時でも、アプライアンスのサービスや、通信そのもののサービスを継続させることが可能である。
Note that the conventionally known
図２に、本発明を適用した監視装置２００Ａ〜Ｃの、機能ブロック図を示す。
FIG. 2 shows a functional block diagram of the
装置２００は、パケット入出力や、記億部２８０の読み書き等の各種演算を行う演算部２９０を備える。この演算部２９０は、コネクション登録部２１０，２１１と、異常エントリ検出部２４０と、不整合パケット検出部２１２，２１３と、通信遮断部２１４，２１５と、ルーティング部２１６と、アラーム生成部２２０と、変更部２７１とを備える。
The
なお、これらの機能ブロックは、固定された回路としてＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のＬＳＩ内部に備えられていてもよいし、プログラムモジュールとしてＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やＮＰ（Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）内部に備えられていてもよい。 These functional blocks may be provided in an LSI such as an ASIC (Application Specific Integrated Circuit) as a fixed circuit, or in a CPU (Central Processing Unit) or NP (Network Processor) as a program module. It may be provided.
また、監視装置２００は、アプライアンス装置２０１のＬＡＮ側ＮＩＣ２０４と回線（３）経由で接続し、アプライアンス装置２０１のＷＡＮ側ＮＩＣ２０３と回線（４）経由で接続し、ルータ／スイッチ２０２から引き出したアプライアンス向けＬＡＮ接続用回線（１）およびアプライアンス向けＷＡＮ接続用回線（２）経由でルータ／スイッチ２０２と接続する。
The
ＬＡＮ１１０，１２０，１３０からのパケットは、ルータ／スイッチ２０２経由で回線（１）を通り、監視装置２００に到着する。ＷＡＮ１４０からのパケットは、ルータ／スイッチ２０２経由で回線（２）を通り、監視装置２００に到着する。アプライアンス２０１からＬＡＮ１１０，１２０，１３０に向かうパケットは、回線（３）を通り、監視装置２００に到着する。アプライアンス２０１からＷＡＮ１４０に向かうパケットは、回線（４）を通り、監視装置２００に到着する。
Packets from the
記憶部２８０は、情報を記録するための記億媒体・メモリ等からなる。記憶部２８０は、コネクション管理テーブル２５０及びポリシ２７０を備える。
The
コネクション管理テーブル２５０は、エントリ毎にセッション検出条件としてＬＡＮ／ＷＡＮ側ＩＰ／ｐｏｒｔ番号を記録し、一致パケットの廃棄／通過およびルーティング先を４回線毎に指定する。コネクション管理テーブル２５０には、エントリ２５１−Ｎ（Ｎ＝１，２，３…ｍ）毎に、ＬＡＮ側ＩＰ番号を表すＬＡＮ ＩＰ ２５２と、ＷＡＮ側ＩＰ番号を表すＷＡＮ ＩＰ ２５３と、ＬＡＮ側ｐｏｒｔ番号を表すＬＡＮ ｐｏｒｔ ２５４と、ＷＡＮ側ｐｏｒｔ番号を表すＷＡＮ ｐｏｒｔ ２５５とからなるセッション検出条件が記録される。
The connection management table 250 records a LAN / WAN side IP / port number as a session detection condition for each entry, and designates discard / pass of matching packets and a routing destination for every four lines. In the connection management table 250, for each entry 251-N (N = 1, 2, 3,... M), a LAN IP 252 representing a LAN side IP number, a
変更部２７１は、外部端末２３０が変更部２７１経由で指定したポリシ２７０に基づき、セッション検出条件と一致するパケットのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）とを、パケットを受信した回線（１）〜（４）毎に、指定する。
Based on the
コネクション登録部２１０，２１１は、コネクション管理テーブル２５０に一致するエントリが無いパケットを受信すると、コネクション管理テーブル２５０に新規エントリを作成する。
When
異常エントリ検出部２４０は、コネクション管理テーブル２５０からＬＡＮ側ＩＰとＷＡＮ側ＩＰが同一の２つのエントリ同士を検出して、廃棄／通過およびルーティング先の設定を変更する。
The abnormal
不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と、コネクション管理テーブル２５０内の一致するエントリのＬＡＮ／ＷＡＮ側ＩＰ／ｐｏｒｔ番号の整合性をチェックし、不整合と判断した場合に廃棄／通過およびルーティング先を変更する。
The
通信遮断部２１４，２１５は、受信パケットと一致するコネクション管理テーブル２５０内のエントリ記載の廃棄／通過に従い、パケットを廃棄する。
The
ルーティング部２１６は、受信パケットと一致するコネクション管理テーブル２５０内のエントリ記載のルーティング先に従い、受信パケットを、アプライアンス装置２０４のＬＡＮ側回線（３）と、アプライアンス装置のＷＡＮ側回線（４）と、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）と、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）のいずれかに転送する。
In accordance with the routing destination described in the entry in the connection management table 250 that matches the received packet, the
アラーム生成部２２０は、不整合パケット検出部２１２，２１３や異常エントリ検出部２４０の検出結果に基づいてアラームを生成して外部端末２３０に通知する。
The
図６には、装置が送受信するパケットのフォーマット図を表す。 FIG. 6 shows a format diagram of a packet transmitted and received by the apparatus.
パケットは、ＭＡＣヘッダ６００、ＩＰヘッダ６１０、ＴＣＰヘッダ６２０、ＴＣＰオプションヘッダ６３０、ペイロード６５０を含む。
The packet includes a
ＭＡＣヘッダ６００は、宛先ＭＡＣアドレスを表すＤＭＡＣ６０１と、送信元ＭＡＣアドレスを表すＳＭＡＣ６０２と、ＭＡＣフレームタイプを表すＴｙｐｅ６０３を含む。
The
ＩＰヘッダ６１０は、ＭＡＣヘッダを除くパケット長を表すＩＰ ｌｅｎｇｔｈ６１１と、プロトコル番号を表すｐｒｏｔｏｃｏｌ６１２と、送信元ＩＰアドレスを表すＳＩＰ６１３と、宛先ＩＰアドレスを現すＤＩＰ６１４とを含む。
The
ＴＣＰヘッダ６２０は、送信元ポート番号を表すｓｒｃ．ｐｏｒｔ６２１と、宛先ポート番号を表すｄｓｔ．ｐｏｒｔ６２２と、送信シーケンス番号を表すＳＥＱ６２３と、受信シーケンス番号を表すＡＣＫ６２４と、ＴＣＰフラグ番号を表すｆｌａｇ６２５と、ＴＣＰのヘッダ長を表すｔｃｐ ｈｌｅｎ６２６とを含む。
The TCP header 620 includes a src.
ＴＣＰオプションヘッダ６３０は、オプション種別を表すｏｐｔｉｏｎ ｋｉｎｄ６３１と、オプション長を表すｏｐｔｉｏｎ ｌｅｎｇｔｈ６３２と、どこからどこまで部分的に受信できたかデータ箇所の位置を送信端末に通知するために用いられるｌｅｆｔ＿ｅｄｇｅ＿１〜４（６３３、６３５、６３７、６３９）、ｒｉｇｈｔ＿ｅｄｇｅ＿１〜４（６３４、６３６、６３８、６４０）を含む。ｌｅｆｔ＿ｅｄｇｅ＿１〜４（６３３、６３５、６３７、６３９）、ｒｉｇｈｔ＿ｅｄｇｅ＿１〜４（６３４、６３６、６３８、６４０）は、部分的に受信できなかったデータ箇所の位置を通知するために用いられるケースもある。更に、ＴＣＰオプションヘッダ６３０は、ＴＣＰ通信を開始するときに、装置間の情報交換などに使用するケースもある。
The
上述したコネクション登録部２１０，２１１は、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）、あるいは、アプライアンス装置のＷＡＮ側回線（４）において、ＬＡＮからＷＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索し、当該エントリが無ければ新たに登録する。更に、コネクション登録部２１０，２１１は、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）、あるいは、アプライアンス装置のＬＡＮ側回線（３）において、ＷＡＮからＬＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索し、当該エントリが無ければ新たに登録する。
When the
図８には、コネクション登録部２１０，２１１における新規エントリ作成のフローチャート図を示す。
FIG. 8 is a flowchart for creating a new entry in the
まず初めに、コネクション登録部２１０，２１１は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ８０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
First, the
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ８０２）。
When the direction of the received packet is from LAN to WAN, the
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ８０７）。
If the
前記エントリ２５１がコネクション管理テーブル２５０に存在しない場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１を、コネクション管理テーブル２５０に新規作成する（ステップ８０３）。
When the
ステップ８０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ８０４）。
In
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ８０７）。
If the
前記エントリ２５１がコネクション管理テーブル２５０に存在しない場合は、コネクション登録部２１０，２１１は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１を、コネクション管理テーブル２５０に新規作成する（ステップ８０５）。
When the
上述したコネクション管理テーブル２５０が記録するエントリと、コネクション登録部２１０，２１１の新規エントリ作成処理により、ＬＡＮ１１０，１２０，１３０との間でルータ２０２経由で接続された回線（１）と、ＷＡＮ１４０との間でルータ２０２経由で接続された回線（２）と、アプライアンス２０１のＬＡＮ側ＮＩＣと接続された回線（３）と、アプライアンス２０１のＷＡＮ側ＮＩＣと接続された回線（４）と、合わせて４つの回線を監視することが可能となる。
The line (1) connected between the
不整合パケット検出部２１２，２１３は、ルータ／スイッチから引き出したアプライアンス向けＬＡＮ接続用回線（１）、あるいは、アプライアンス装置のＷＡＮ側回線（４）において、ＬＡＮからＷＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索する。受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ側ＩＰ／ｐｏｒｔ番号およびＬＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリがコネクション管理テーブル２５０に見つかれば、不整合パケット検出部２１２，２１３は不整合と判定して、廃棄／通過およびルーティング先を変更する。
When the
更に、ルータ／スイッチから引き出したアプライアンス向けＷＡＮ接続用回線（２）、あるいは、アプライアンス装置のＬＡＮ側回線（３）において、ＷＡＮからＬＡＮに向かうパケットを受信すると、受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリをコネクション管理テーブル２５０から検索する。受信パケットの送信元ＩＰ／ｐｏｒｔ番号および宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ側ＩＰ／ｐｏｒｔ番号およびＷＡＮ側ＩＰ／ｐｏｒｔ番号を持つエントリがコネクション管理テーブル見つかれば、不整合パケット検出部２１２，２１３は不整合と判定して、廃棄／通過およびルーティング先を変更する。
Further, when a packet directed from the WAN to the LAN is received on the appliance WAN connection line (2) drawn from the router / switch or the LAN side line (3) of the appliance device, the source IP / port number of the received packet is received. Then, the connection management table 250 is searched for an entry having the LAN side IP / port number and the WAN side IP / port number that match the destination IP / port number. If an entry having a LAN side IP / port number and a WAN side IP / port number that match the source IP / port number and destination IP / port number of the received packet is found, the
図９には、不整合パケット検出部２１２，２１３における、受信パケットを不整合と判断した時に、エントリ記載の廃棄／通過およびルーティング先を変更するフローチャート図を示す。
FIG. 9 shows a flowchart for changing the discard / passage and routing destination described in the entry when the
まず初めに、不整合パケット検出部２１２，２１３は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ９０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
First, the mismatch
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ９０２）。
When the direction of the received packet is from LAN to WAN, the
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ９０７）。
If the
当該エントリ２５１がコネクション管理テーブル２５０に存在する場合は、不整合パケット検出部２１２，２１３は、整合性が取れない異常パケットと判定して、検出したエントリのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ９０３）。
If the
ステップ９０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、不整合パケット検出部２１２，２１３は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１がコネクション管理テーブル２５０に存在するか否かを判定する（ステップ９０４）。
In
前記エントリ２５１がコネクション管理テーブル２５０に存在する場合は、何もせずに終了する（ステップ９０７）。
If the
当該エントリ２５１がコネクション管理テーブル２５０に存在する場合は、不整合パケット検出部２１２，２１３は、整合性が取れない異常パケットと判定して、検出したエントリのルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ９０５）。
If the
上述した不整合パケット検出部２１２，２１３における、整合性が取れない異常パケットを検出した時の廃棄／通過およびルーティング先を変更する処理により、４つの回線（１）〜（４）における通信セッションと受信パケットの整合性を監視することが可能となる。
In the above-described
異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４が、別のエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５と一致する場合に、それぞれのエントリの廃棄／通過およびルーティング先の設定を変更する。更に、異常エントリ検出部２４０は、あるエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５が、別エントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４と一致する場合に、それぞれのエントリの廃棄／通過およびルーティング先の設定を変更する。
In the connection management table 250, the abnormal
図１０には、異常エントリ検出部２４０における、エントリ同士の不整合を検出した時に、エントリ記載の廃棄／通過およびルーティング先を変更するフローチャート図を示す。
FIG. 10 shows a flowchart for changing the discard / passage and routing destination described in the entry when the inconsistency between entries is detected in the abnormal
まず初めに、異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４が、別のエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５と一致するか否かを判定する（ステップ１００１）。
First, the abnormal
一致しない場合は、後述のステップ１００３に進む。 If not, the process proceeds to step 1003 described later.
一致する場合は、異常エントリ検出部２４０は、整合性が取れない異常エントリ同士だと判定し、２つのエントリ２５１のルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ１００２）。
If they match, the abnormal
更に、異常エントリ検出部２４０は、コネクション管理テーブル２５０において、あるエントリ２５１のＷＡＮ ＩＰ ２５３、ＷＡＮ ｐｏｒｔ ２５５が、別のエントリ２５１のＬＡＮ ＩＰ ２５２、ＬＡＮ ｐｏｒｔ２５４と一致するか否かを判定する（ステップ１００３）。
Further, the abnormal
一致しない場合は、終了する（ステップ１００５）。 If not, the process ends (step 1005).
一致する場合は、異常エントリ検出部２４０は、整合性が取れない異常エントリ同士だと判定し、２つのエントリ２５１のルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーを変更する（ステップ１００４）。
If they match, the abnormal
上述した異常エントリ検出部２４０における、整合性が取れない異常エントリ同士を検出したときの、廃棄／通過およびルーティング先を変更する処理により、４つの回線（１）〜（４）における通信セッション同士の整合性を監視することが可能となる。
In the abnormal
通信遮断部２１４，２１５やルーティング部２１６は、受信パケットと一致するコネクション管理テーブル内のエントリ２５１に記載されたルーティング先Ｒｏｕｔｅ１〜４（２５６〜２５９）と廃棄／通過Ｄｒｏｐ１〜４（２６０〜２６３）のポリシーに従い、パケットを処理する。
The
図１１には、通信遮断部２１４，２１５やルーティング部２１６において、受信パケットと一致するエントリ２５１をコネクション管理テーブル２５０から読み出すフローチャート図を示す。
FIG. 11 is a flowchart for reading out the
通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの向きがＬＡＮからＷＡＮ向けであるかを判定する（ステップ１１０１）。すなわち、回線（１）（４）で受信したパケットか否かを判定する。
The
受信パケットの向きがＬＡＮからＷＡＮ向けの場合は、通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５を持つエントリ２５１をコネクション管理テーブル２５０から読み出す（ステップ１１０２）。
When the direction of the received packet is from LAN to WAN, the
一方、ステップ１１０１において、受信パケットの向きがＷＡＮからＬＡＮ向けの場合、すなわち、回線（２）（３）で受信したパケットの場合は、通信遮断部２１４，２１５やルーティング部２１６は、受信パケットの送信元ＩＰ／ｐｏｒｔ番号と一致するＷＡＮ ＩＰ／ｐｏｒｔ２５３／２５５と、受信パケットの宛先ＩＰ／ｐｏｒｔ番号と一致するＬＡＮ ＩＰ／ｐｏｒｔ２５２／２５４を持つエントリ２５１をコネクション管理テーブル２５０から読み出す（ステップ１１０３）。
On the other hand, in
整合性のとれた正常な受信パケットの場合は、例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）には通過と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（３）、（４）、（１）、（２）と記載され、回線（１）から回線（３）へ、回線（２）から回線（４）へ、回線（３）から回線（１）へ、回線（４）から回線（２）へ転送されるようにルーティングされる。
In the case of a normal received packet with consistency, for example, it is described as passing in
整合性のとれない異常な受信パケットの場合は、例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）に通過と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（４）、（３）、（２）、（１）と記載され、回線（１）から回線（４）へ、回線（２）から回線（３）へ、回線（３）から回線（２）へ、回線（４）から回線（１）へ流れるようにルーティングされる。これにより、異常が検出されたセッションにおいて、通信機能およびアプライアンス機能が維持される。
In the case of an abnormal received packet that cannot be matched, for example, it is described as passing in
整合性のとれない異常な受信パケットの場合は、他にも例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）にはそれぞれ通過、通過、廃棄、廃棄と記載され、Ｒｏｕｔｅ１〜４（２５６〜２５９）にはそれぞれ（２）、（１）、−、−と記載され、回線（１）と回線（２）の間でパススルーされる。これにより、異常が検出されたセッションにおいて、アプライアンス機能は停止するものの、通信機能を維持することが可能となる。
In the case of an abnormal received packet that cannot be matched, for example,
整合性のとれない異常な受信パケットの場合は、他にも例えば、読み出したエントリ２５１のＤｒｏｐ１〜４（２６０〜２６３）に廃棄と記載され、回線（１）〜（４）いずれで受信したかに関わらず廃棄される。これにより、異常が検出されたセッションにおいて、アプライアンス機能と通信機能の両方を停止させることが可能となる。
In the case of an abnormal received packet that cannot be matched, for example, discard is described in
上述した通信遮断部２１４，２１５やルーティング部２１６におけるパケット処理により、４つの回線を流れる通信セッションと受信パケットの整合性に応じて、通信サービスやアプライアンスサービスを継続もしくは停止することが可能となる。
By the packet processing in the
実施例１における監視装置２００の機能は、一つの機能ブロックとして、監視機能付きアプライアンス７００に搭載されてもよい。
The function of the
図７には、監視機能付きアプライアンス７００のブロック図の一例を示す。監視装置２００は監視部７０１として、アプライアンス装置２０２はアプライアンス部７０２として、監視機能付きアプライアンス７００に搭載される。
FIG. 7 shows an example of a block diagram of the
２００ 本発明を適用した監視装置
１１０、１２０、１３０ ネットワーク
１１１、１２１、１３１ 端末
１９１、１９２、１９３ 回線
２１０、２１２ 処理部
２５０ テーブル
２５１ エントリ
８０１ フローチャートの分岐処理
８０３ フローチャートのステップ
200
Claims (14)
前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備える記憶部と、
前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更する演算部と、
を備えることを特徴とする監視装置。 A LAN connection first line drawn from a transfer device installed on a network connecting the LAN and WAN, a WAN connection second line drawn from the transfer device, and an appliance device A third line on the LAN side and a fourth line on the WAN side drawn from the appliance device,
A storage unit comprising connection management information for designating a routing destination of a packet received from the transfer device or the appliance device for each of the first line, the second line, the third line, and the fourth line;
The consistency of the received packet is determined with reference to the connection management information based on the source information of the packet and the destination information of the packet, and if it is determined to match, the packet is passed to the routing destination. And an arithmetic unit that changes the routing destination when it is determined as inconsistent,
A monitoring device comprising:
前記パケットの送信元情報は、送信元のＩＰ番号及びｐｏｒｔ番号であり、
前記パケットの宛先情報は、宛先のＩＰ番号及びｐｏｒｔ番号であること
を特徴とする請求項１記載の監視装置。 The calculation unit includes a connection registration unit that creates a new entry in the connection management information, and an inconsistent packet detection unit that determines the consistency of the packet.
The source information of the packet is the IP number and port number of the source,
The monitoring apparatus according to claim 1, wherein the destination information of the packet is a destination IP number and a port number.
前記パケットの送信元情報と前記パケットの宛先情報とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
存在しないと判定したとき、前記パケットの送信元情報と前記パケットの宛先情報とを備える新規エントリを、前記コネクション管理情報に作成すること
を特徴とする請求項２記載の監視装置。 The connection registration unit
Determining whether an entry comprising source information of the packet and destination information of the packet exists in the connection management information;
The monitoring apparatus according to claim 2, wherein when it is determined that the packet does not exist, a new entry including transmission source information of the packet and destination information of the packet is created in the connection management information.
前記パケットの受信の向きを判定し、
前記第１回線又は前記第４回線からパケットを受信して、前記受信の向きがＬＡＮからＷＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更し、
前記第２回線又は前記第３回線からパケットを受信して、前記受信の向きがＷＡＮからＬＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更すること、
を特徴とする請求項２記載の監視装置。 The inconsistent packet detector is
Determine the direction of reception of the packet;
When a packet is received from the first line or the fourth line and the direction of reception is from LAN to WAN, the IP number and port number of the WAN that matches the IP number and port number of the transmission source of the packet And whether or not there is an entry in the connection management information that includes a LAN IP number and a port number that match the destination IP number and port number of the packet,
When there is a matching entry, the packet is determined to be inconsistent, the routing destination of the packet is changed,
When a packet is received from the second line or the third line and the direction of reception is from WAN to LAN, the IP number and port number of the LAN that match the source IP number and port number of the packet And an entry including the WAN IP number and the port number that match the IP address and port number of the destination of the packet is determined in the connection management information,
Determining that the packet is inconsistent when there is a matching entry, and changing the routing destination of the packet;
The monitoring device according to claim 2.
前記異常エントリ検出部は、
前記コネクション管理情報を参照し、あるエントリに記載されるＬＡＮ側のＩＰ番号及びポート番号と、別のエントリに記載されるＷＡＮ側のＩＰ番号及びポート番号とが一致するかを判定し、
一致すると判定したとき、前記あるエントリと前記別のエントリとが異常であるとして、前記あるエントリ及び前記別のエントリのルーティング先を変更し、
前記コネクション管理情報を参照し、あるエントリに記載されるＷＡＮ側のＩＰ番号及びポート番号と、別のエントリに記載されるＬＡＮ側のＩＰ番号及びポート番号とが一致するかを判定し、
一致すると判定したとき、前記あるエントリと前記別のエントリとが異常であるとして、前記あるエントリ及び前記別のエントリのルーティング先を変更すること、
を特徴とする請求項２記載の監視装置。 The calculation unit further includes an abnormal entry detection unit,
The abnormal entry detection unit
Refer to the connection management information, determine whether the LAN-side IP number and port number described in one entry matches the WAN-side IP number and port number described in another entry,
When it is determined that they match, it is determined that the certain entry and the other entry are abnormal, and the routing destination of the certain entry and the other entry is changed,
With reference to the connection management information, it is determined whether the WAN-side IP number and port number described in one entry matches the LAN-side IP number and port number described in another entry,
When it is determined that they match, the routing entry of the certain entry and the other entry is changed, assuming that the certain entry and the another entry are abnormal,
The monitoring device according to claim 2.
前記アプライアンス装置は、ＩＤＳまたはＷｅｂ高速化装置であり、
前記第１回線は、前記転送装置から引き出されたアプライアンス向けＬＡＮ接続用の回線であり、
前記第２回戦は、前記転送装置から引き出されたアプライアンス向けＷＡＮ接続用の回線であり、
前記演算部は、更に通信遮断部と、ルーティング部とを備え、
前記ルーティング部は、前記パケットと一致する前記コネクション管理情報のエントリ記載のルーティング先に従い、前記パケットを、前記第３回線、前記第４回線、前記第１回線、又は前記第２回線のうちいずれかの回線に転送し、
前記ルーティング部は、前記パケットと一致する前記コネクション管理情報のエントリ記載の廃棄／通過に従い、前記パケットを廃棄する通信遮断部と、を有すること
を特徴とする請求項４記載の監視装置。 The transfer device is a switch or a router,
The appliance device is an IDS or web acceleration device,
The first line is a line for LAN connection for appliances drawn from the transfer device,
The second round is a WAN connection line for the appliance drawn from the transfer device,
The arithmetic unit further includes a communication blocking unit and a routing unit,
The routing unit selects one of the third line, the fourth line, the first line, and the second line according to a routing destination described in the entry of the connection management information that matches the packet. To the other line,
The monitoring apparatus according to claim 4, wherein the routing unit includes a communication blocking unit that discards the packet in accordance with discard / pass of the entry of the connection management information that matches the packet.
記憶部が、前記転送装置又はアプライアンス装置から受信したパケットのルーティング先を、前記第１回線、前記第２回線、前記第３回線及び前記第４回線毎に指定するコネクション管理情報を備え、
演算部が、前記受信したパケットの整合性を、前記パケットの送信元情報と前記パケットの宛先情報とに基づき、前記コネクション管理情報を参照して判定し、整合と判定した場合には前記パケットをルーティング先に通過させ、不整合と判定した場合には前記ルーティング先を変更すること
を特徴とする監視装置におけるパケットの監視方法。 A LAN connection first line drawn from a transfer device installed on a network connecting the LAN and WAN, a WAN connection second line drawn from the transfer device, and an appliance device A third line on the LAN side and a fourth line on the WAN side drawn from the appliance device,
The storage unit includes connection management information for designating a routing destination of a packet received from the transfer device or the appliance device for each of the first line, the second line, the third line, and the fourth line,
The arithmetic unit determines the consistency of the received packet based on the transmission source information of the packet and the destination information of the packet and refers to the connection management information. A packet monitoring method in a monitoring device, wherein the packet is passed through a routing destination and the routing destination is changed when it is determined that there is a mismatch.
前記パケットの送信元情報は、送信元のＩＰ番号及びｐｏｒｔ番号であり、
前記パケットの宛先情報は、宛先のＩＰ番号及びｐｏｒｔ番号であること
を特徴とする請求項１１記載の監視方法。 The calculation unit includes a connection registration unit that creates a new entry in the connection management information, and an inconsistent packet detection unit that determines the consistency of the packet.
The source information of the packet is the IP number and port number of the source,
The monitoring method according to claim 11, wherein the destination information of the packet is a destination IP number and a port number.
前記パケットの送信元情報と前記パケットの宛先情報とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
存在しないと判定したとき、前記パケットの送信元情報と前記パケットの宛先情報とを備える新規エントリを、前記コネクション管理情報に作成すること
を特徴とする請求項１２記載の監視方法。 The connection registration unit
Determining whether an entry comprising source information of the packet and destination information of the packet exists in the connection management information;
13. The monitoring method according to claim 12, wherein when it is determined that the packet does not exist, a new entry including transmission source information of the packet and destination information of the packet is created in the connection management information.
前記パケットの受信の向きを判定し、
前記第１回線又は前記第４回線からパケットを受信して、前記受信の向きがＬＡＮからＷＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更し、
前記第２回線又は前記第３回線からパケットを受信して、前記受信の向きがＷＡＮからＬＡＮ向けであるとき、前記パケットの送信元のＩＰ番号及びｐｏｒｔ番号と一致するＬＡＮのＩＰ番号及びｐｏｒｔ番号と、前記パケットの宛先のＩＰ番号及びｐｏｒｔ番号と一致するＷＡＮのＩＰ番号及びｐｏｒｔ番号とを備えるエントリが、前記コネクション管理情報に存在するかを判定し、
一致するエントリが存在するとき、前記パケットは不整合であると判定して、前記パケットのルーティング先を変更すること、
を特徴とする請求項１２記載の監視方法。 The inconsistent packet detector is
Determine the direction of reception of the packet;
When a packet is received from the first line or the fourth line and the direction of reception is from LAN to WAN, the IP number and port number of the WAN that matches the IP number and port number of the transmission source of the packet And whether or not there is an entry in the connection management information that includes a LAN IP number and a port number that match the destination IP number and port number of the packet,
When there is a matching entry, the packet is determined to be inconsistent, the routing destination of the packet is changed,
When a packet is received from the second line or the third line and the direction of reception is from WAN to LAN, the IP number and port number of the LAN that match the source IP number and port number of the packet And an entry including the WAN IP number and the port number that match the IP address and port number of the destination of the packet is determined in the connection management information,
Determining that the packet is inconsistent when there is a matching entry, and changing the routing destination of the packet;
The monitoring method according to claim 12.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014029108A JP2015154433A (en) | 2014-02-19 | 2014-02-19 | Communication monitoring device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014029108A JP2015154433A (en) | 2014-02-19 | 2014-02-19 | Communication monitoring device |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2015154433A true JP2015154433A (en) | 2015-08-24 |
Family
ID=53896230
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014029108A Pending JP2015154433A (en) | 2014-02-19 | 2014-02-19 | Communication monitoring device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2015154433A (en) |
-
2014
- 2014-02-19 JP JP2014029108A patent/JP2015154433A/en active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10972391B2 (en) | Full-path validation in segment routing | |
| US11038634B2 (en) | Control for BFD return path | |
| CN107431657B (en) | Method and apparatus for data packet marking for flow analysis across network domains | |
| EP3304812B1 (en) | Method and system for resynchronization of forwarding states in a network forwarding device | |
| JP4547340B2 (en) | Traffic control method, apparatus and system | |
| US10225169B2 (en) | Method and apparatus for autonomously relaying statistics to a network controller in a software-defined networking network | |
| US8437272B2 (en) | Distinguishing between connectivity verification availability and forwarding protocol functionality in a computer network | |
| US7684382B2 (en) | Provider network for providing L-2 VPN services and edge router | |
| US8724466B2 (en) | Packet filtering | |
| WO2011093228A1 (en) | Front end system and front end processing method | |
| US10680910B2 (en) | Virtualized proactive services | |
| KR102066978B1 (en) | Method and apparatus for data plane for monitoring differentiated service code point (DSCP) and explicit congestion notification (ECN) | |
| US9094330B2 (en) | Data transport system and control method of data transport system | |
| WO2009144250A1 (en) | System, method and program for determining failed routers in a network | |
| WO2018150223A1 (en) | A method and system for identification of traffic flows causing network congestion in centralized control plane networks | |
| WO2013189414A2 (en) | Automatic network topology acquisition method and system, and network query and management system | |
| EP2916497A1 (en) | Communication system, path information exchange device, communication node, transfer method for path information and program | |
| CN110380966B (en) | Method for discovering forwarding path and related equipment thereof | |
| WO2012077308A1 (en) | Communication path verification system, path verification device, communication path verification method, and path verification program | |
| JP2015154433A (en) | Communication monitoring device | |
| WO2015045275A1 (en) | Control device, network system, packet transfer control method, and program for control device | |
| CN113595783A (en) | Fault positioning method, device, server and computer storage medium | |
| JP2018509832A (en) | Network protection entity and method for protecting a communication network from fraudulent messages | |
| WO2024193420A1 (en) | Validation information sending method and apparatus, validation table entry acquisition method and apparatus, and device | |
| Garg | Label Distribution Protocol & Loop Free Alternative |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20170116 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20170123 |