JP2018107584A

JP2018107584A - ネットワーク装置及びその制御方法

Info

Publication number: JP2018107584A
Application number: JP2016251069A
Authority: JP
Inventors: 直之武市; Naoyuki Takeichi
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2016-12-26
Filing date: 2016-12-26
Publication date: 2018-07-05

Abstract

【課題】比較的低速なポートを用いてネットワーク装置の通信を解析する。【解決手段】ネットワーク装置は、第１のフレームを送受信する第１のポートと、第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成するフレーム集約部と、第２のフレームを送出する第２のポートと、を備える。【選択図】図７

Description

本発明は、ネットワーク装置及びその制御方法に関し、特に、フレームをモニタする機能を備えるネットワーク装置及びその制御方法に関する。

ネットワーク装置において、経路のループや不審なトラフィックの流入等の問題が発生した場合に、その原因を調査するためにポートミラーリング（Port Mirroring）機能が使用されることがある。ポートミラーリング機能は、ネットワーク装置の調査したいポート（以下、「モニタポート」という。）で送受信されるフレームと同じフレームを、別のポート（以下、「ミラーポート」という。）から送信する機能である。ミラーポートにフレーム分析装置（フレームキャプチャ）を接続することで、モニタポートの通信を中断することなく、モニタポートが送受信するフレームを解析できる。

本発明に関連して、特許文献１は、ミラーパケットを複数のミラーポートから順に送信する機能を備えるパケット中継装置を記載する。特許文献２は、ネットワーク機器のトラフィック情報を収集してトラフィック分析装置群に配信するトラフィック情報収集機器を記載する。

特開２００９−２３１８９０号公報特開２００８−１９３６２８号公報

ポートミラーリングを用いてフレームの廃棄なくフレームを解析する方法には、以下の課題がある。
（１）モニタポートよりも帯域が狭いポートをミラーポートとして使用すると、ミラーポートにおいてフレームの廃棄が発生する可能性がある。
（２）モニタポートが全二重通信を行っている場合に、当該モニタポートが送受信するフレームを全てキャプチャしてミラーポートから出力するためには、ミラーポートにはモニタポートの２倍以上の帯域が必要である。あるいは、モニタポートと同速度のポートを２つ用意して両者を同時にミラーポートとして使用する必要がある。
（３）複数のポートをミラーポートとして使用するためには、フレームキャプチャもポート数と同数必要となる。

このように、フレームの解析を必要とするネットワーク上の問題を調査するためには、充分な数量又は容量のミラーポートや、場合によっては複数のフレームキャプチャなどが必要であった。しかし、特許文献１及び２は、ネットワーク機器のフレーム解析が必要とされる場合のこのような課題を解決する手段を提示していない。

（発明の目的）
本発明は、比較的低速なポートを用いて、ネットワーク装置の通信の解析を可能とするための技術を提供することを目的とする。

本発明のネットワーク装置は、第１のフレームを送受信する第１のポートと、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成するフレーム集約手段と、
前記第２のフレームを送出する第２のポートと、
を備える。

本発明のネットワーク装置の制御方法は、
第１のポートによって第１のフレームを送受信し、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成し、
第２のポートによって前記第２のフレームを送出する、
ことを特徴とする。

本発明は、比較的低速なポートを用いてネットワーク装置の通信を解析することを可能とする。

ネットワーク装置１００で送受信されるフレームの構成例を示す図である。ポートタグの構成例を示す図である。ポートタグのOffset Timeフィールドが示す時間差と実時間との関係の例を示す図である。ネットワーク装置１００の構成例を示すブロック図である。モニタポートと、ミラーポート１１１との関連付け情報の例を示す図である。ネットワーク装置１００の動作例を示すフローチャートである。ネットワーク装置２００の構成例を示すブロック図である。

本発明の実施形態について、図面を参照して説明する。なお、各実施形態を通じて同一の構成要素には同一の参照符号を付して、重複する説明は省略する。また、構成図における矢印は信号の向きの例を示すものであり、信号の方向を限定しない。実施形態では、１バイト（Byte）は８ビット（bit）である。

（第１の実施形態）
フレームを用いたネットワークの問題の調査の際には、ＦＣＳ（Frame Check Sequence）エラー等が発生している場合を除き、ペイロードを含むフレームの全体をキャプチャして調査する必要がない場合も多い。例えば、フレームの転送に異常がある場合には、そのフレームのヘッダの内容を把握できれば、多くの場合で異常の解析を行うことができる。そして、フレームの転送に異常がある場合にフレームの全体をミラーポートから出力しても、フレームの大部分を占めるペイロードはミラーポートの帯域を消費するだけで、フレームキャプチャにおける解析にはほとんど寄与しない。

ＩＰｖ４（Internet Protocol version 4）のヘッダは可変長であるが、その共通部分の大きさは２０バイトである。一方、６４バイト長の最小のイーサネット（Ethernet、登録商標）フレームのペイロード長はＶＬＡＮｔａｇを用いない（untagged）時には４６バイトであり、ＩＥＥＥ８０２．１ａｄで規定された２段ＶＬＡＮｔａｇが用いられる場合でも３８ｂｙｔｅである。このため、イーサネットの最小フレームを用いても、そのペイロードに２０バイトのＩＰｖ４ヘッダを格納して転送できる。なお、ＶＬＡＮはVirtual Local Area Networkを意味する。

本実施形態では、モニタポートで送受信されるフレームの一部のみを抽出し、ミラーポートから送信する。抽出される部分にはフレームヘッダが含まれるが、ペイロード全体は含まれる必要はない。その結果、モニタポートよりも少ない帯域を持つミラーポートであっても、フレームキャプチャにおける解析に耐えうるミラーリング機能が実現される。

図１は、第１の実施形態のネットワーク装置１００で送受信されるフレームの構成例を示す図である。ネットワーク装置１００は、３個のモニタポート１０１〜１０３及び１個のミラーポート１１１を備える。ネットワーク装置１００は例えばレイヤ２スイッチであり、モニタポートを用いて他のネットワーク装置との間でフレームを送受信する。ネットワーク装置１００は、少なくとも１個のモニタポート及び１個のミラーポートを備える。本実施形態では、ネットワーク装置１００は４個の通信ポートを備え、そのうち３個はモニタポート１０１〜１０３であり、１個はミラーポート１１１である。ネットワーク装置１００は、通信ポートをモニタポート及びミラーポートのいずれとして使用するかを個別に設定できる。

ネットワーク装置１００の機能は、例えば、電気回路を含むハードウエアにより実現されてもよく、プログラムの実行によって中央処理装置（ＣＰＵ）がネットワーク装置１００を制御することで実現されてもよい。電気回路には、ネットワーク装置１００の機能の一部又は全部が組み込まれたＬＳＩ（Large Scale Integration、超高集積化回路）やＦＰＧＡ（Field Programmable Gate Array）が用いられてもよい。

ネットワーク装置１００は、モニタポート１０１〜１０３において送受信されるフレームをキャプチャして、その一部をミラーポート１１１から出力する。以下、ミラーポート１１１から出力されるフレームを「ミラーフレーム」と記載する。

ネットワーク装置１００は、モニタポート１０１〜１０３で送受信されるフレームの所定の部分を抽出する。以下、抽出された部分を「ミラーリングデータ」という。ミラーリングデータとして抽出される部分は、モニタポート１０１〜１０３で送受信されるレイヤ２フレームのＤＡ（Destination Address）の先頭から所定の長さの部分である。ただし、ネットワーク装置１００は、ミラーリングデータとして抽出される部分の先頭の位置を当該ＤＡの先頭から所定のオフセット値だけ後にシフトさせてもよい。例えば、ネットワーク装置１００に設定されたオフセット値が６である場合には、ネットワーク装置１００は、フレームのＤＡの先頭から６バイト後（図１ではＳＡの先頭）を始点としてミラーリングデータを抽出する。いいかえれば、オフセット値は、ミラーリングデータの抽出の始点の、ＤＡの先頭の位置からの後方への差分を示す。ただし、オフセット値の単位は任意である。また、オフセット値の基準となる位置は、ＤＡの先頭以外としてもよい。以下では、ミラーリングデータの長さを「ミラーリングデータ長」と呼ぶ。本実施形態では、ミラーリングデータ長は固定長である。しかし、フレームの解析に必要な情報がミラーリングデータに含まれ、ミラーリングデータがミラーフレームに格納可能であれば、オフセット値及びミラーリングデータ長は自由に変更されてもよい。

図１の下部に、ミラーフレームの構成例が示される。図１は、ミラーリングデータがミラーフレームとして集約される場合を示す。ネットワーク装置１００は、このように、複数のミラーリングデータを１個のミラーフレームに搭載（集約）してミラーポート１１１から出力してもよい。集約により、１個のミラーフレームに１個のミラーリングデータのみが格納される場合と比べて、ミラーポート１１１の伝送効率を向上させることができる。

ネットワーク装置１００は、モニタポート１０１〜１０３を通過するフレームから抽出されたミラーリングデータのそれぞれに、ポートタグ（Port Tag）を付加してもよい。ポートタグは個々のミラーリングデータを識別する情報である。ポートタグは、ミラーリングデータと同様に、ミラーフレームのペイロードに格納される。ミラーリングデータの集約及びポートタグに関しては後述する。

以上のように、ネットワーク装置１００は、抽出されたミラーリングデータをペイロードに含むミラーフレームを生成してミラーポート１１１から出力する。ミラーリングデータ長はモニタポートで送受信されるフレーム長と比較して短いため、ミラーフレームは、少ない伝送容量で多くのモニタポートのフレームの情報をフレームキャプチャに出力できる。

フレームの一部を抽出してミラーフレームを生成する場合について、モニタポートの速度が１Ｇｂｐｓ（Gigabit per second）である場合の計算例を説明する。

（Ａ１）まず、モニタポートで送受信されるイーサネットフレームの長さが１５１８バイトであり、抽出されるミラーリングデータの長さが６４バイトである場合について考える。これは、モニタポートで送受信されるフレームのペイロードをイーサネットフレームの最小値である６４バイトとなるように切り詰めることで抽出する場合に相当する。１個のミラーフレームには１個のミラーリングデータのみが格納され、ポートタグは使用されない場合を考える。この場合のミラーポートにおける帯域削減量は以下のように計算される。

以下の計算では、１Ｇｂｐｓ＝１０２４Ｍｂｐｓ（Mega bit per second）とする。この場合、１Ｇｐｓ＝１２８ＭＢｐｓ（Mega Byte per second）である。一方、１５１８バイトのフレームの伝送には実際には１２バイトのＩＦＧ（Inter Frame Gap）及び８バイトのプリアンブルが必要である。このため、容量が１Ｇｂｐｓの回線の６４バイトのフレームの転送速度は、
１２８ＭＢｐｓ／（１５１８＋１２＋８）バイト≒８３．２２５ｋｆｐｓ（kilo frame per second）
となる。従って、６４バイトのフレームにＩＦＧ及びプリアンブルを付加した場合の転送速度は、
８３．２２５ｋｆｐｓ×（６４＋１２＋８）バイト≒６９９０．９ｋＢｐｓ（kilo Byte per second）≒５５．９Ｍｂｐｓ
である。すなわち、ミラーリングデータ長を６４バイトとすることで、１Ｇｂｐｓのモニタポートのフレームの情報を、その約５％の速度である５５．９Ｍｂｐｓでミラーポート１１１から出力できる。

（Ａ２）次に、ミラーポート１１１の帯域をより有効に活用するために、複数のミラーリングデータを１個のミラーフレームのペイロードに集約してミラーポート１１１から出力する場合について説明する。すなわち、１ミラーフレーム毎に１個のミラーリングデータをミラーポート１１１から送信するのではなく、ミラーポート１１１から出力可能な最大フレーム長を持つフレームに複数のミラーリングデータが格納される。図１は、ミラーリングデータがミラーフレームに格納される例を示す。ミラーリングデータを集約することにより、１個のミラーフレームに１個のミラーリングデータのみを格納してミラーフレームを生成する上記（Ａ１）の場合と比べて、ミラーポート１１１の伝送効率を向上させることができる。以下に、伝送効率の計算例を示す。

まず、１ミラーフレーム毎に１個のミラーリングデータを送信した場合の計算例を示す。上述の（Ａ１）の例とは異なり、図１に示すようにミラーリングデータ長は６０バイトとする。これは、モニタポートで送受信されるフレームを、イーサネットの最小フレームサイズ６４バイトからさらに４バイトのＦＣＳ（Frame Check Sequence）を削除することに相当する。６０バイトの内訳は、ペイロード４６バイト、イーサネットヘッダ１４バイト（ＤＡ６バイト、ＳＡ６バイト、Ｔｙｐｅ／Ｌｅｎｇｔｈ２バイト）である。

ミラーリングデータをミラーフレームに格納してフレーム化する際に、ミラーフレームに付加されるデータは３８バイトである。３８バイトの内訳は、ＩＦＧ１２バイト、プリアンブル８バイト、イーサネットヘッダ１４バイト、ＦＣＳ４バイトである。従って、１ミラーフレームに１個のミラーリングデータが格納される場合には、ミラーポートの伝送容量のうちミラーリングデータが占める割合（伝送効率）は、
６０バイト／（６０＋３８）バイト≒６１．２％となる。

（Ａ３）次に、複数のミラーリングデータを、ミラーフレームのペイロードに集約する場合の伝送効率の計算例を示す。ミラーフレームはイーサネットフレームであり、ペイロード長は１５００バイトとする。ミラーリングデータ長は上記と同様に６０バイトとする。そして、ミラーリングデータ１個毎に、後述する４バイトのポートタグが付加される。

１５００バイトのペイロードに格納可能なミラーリングデータは、１５００／（６０＋４）≒２３．４であるから、ポートタグを含めても２３個相当分である。ミラーフレームには上記と同様に３８バイトのデータが付加されるため、ミラーリングデータを集約した場合のミラーフレームの伝送効率は、
（６０＋４）×２３／（（（６０＋４）×２３）＋３８）≒９７．５％
となる。すなわち、ミラーリングデータを集約することで、１ミラーフレームに１個のみのミラーリングデータを格納した場合と比較して、ミラーポート１１１の伝送効率を大幅に向上させることができる。

なお、ミラーリングデータをさらに大きいペイロードに集約することで、伝送効率を一層向上させることができる。例えば、ペイロード長が９０００バイトのジャンボフレームは、ポートタグを含めミラーリングデータを１４０個格納できる。従って、ジャンボフレームを用いてミラーリングデータを集約した場合の伝送効率は、
（６０＋４）×１４０／（（（６０＋４）×１４０）＋３８）≒９９．６％
となる。

続いて、ポートタグについて説明する。図２は、ポートタグの構成例を示す図である。ポートタグは、ミラーリングデータをミラーフレームに格納する際に、続くミラーリングデータの情報を含む。図２の例では、ポートタグは４バイト（３２ビット）であり、フィールドとして「Offset Time」、「Direction」、「PortID」を持つ。

Offset Timeフィールドは、先頭のミラーフレームに含まれるミラーリングデータに対する、後続のミラーフレームに含まれるミラーリングデータの送受信時刻の差分を示す。Directionフィールドは、モニタポートにおけるフレームの方向を示す。本実施形態では、Directionフィールドの値は、対応するミラーリングデータが送信フレーム（TX）の場合は「０」であり、受信フレーム（RX）の場合は「１」である。PortIDフィールドは、続くミラーリングデータが送受信されるモニタポートを示す識別子を示す。

ポートタグのOffset Timeフィールドの用途について説明する。ミラーリングデータはモニタポートにおいて送受信されるフレームの一部であるため、ミラーリングデータのみではモニタするフレームの送受信時刻（タイミング）の情報がミラーフレームから得られない可能性がある。

このような問題を回避するために、ポートタグのOffset Timeフィールドには、ミラーリングデータがミラーフレームに格納された順に、直前のミラーリングデータの格納時間との差が記録される。この時間差は、送信フレーム及び受信フレームの区別なく記録されてよい。時間差のみを記録することで、短いフィールド長でより長い時間を精密に表現できる。そして、ミラーポート１１１から出力されたミラーフレームがフレームキャプチャで受信された後は、各ミラーリングデータに付加されたポートタグのOffset Timeフィールドを用いて、ミラーリングデータの格納時刻を復元することができる。ここで、モニタポートにおけるフレームの送受信から当該フレームがミラーフレームに格納されまでの時間、及び、ミラーポートからフレームキャプチャまでの伝送遅延が既知あるいは無視できるとする。この場合には、フレームキャプチャにおけるミラーフレームの受信時刻及びOffset Timeフィールドを用いて各ミラーリングデータの送受信時刻を復元できる。

フレームキャプチャは、Directionフィールドの値を読み出すことにより、モニタポートにおけるフレームの伝送方向を判別する。フレームキャプチャは、PortIDフィールドの値を読み出すことにより、ミラーリングデータが送受信されたモニタポートを判別する。

図３は、ポートタグのOffset Timeフィールドが示す時間差（Offset Time）と実時間（Real Time）との関係の例を示す。時間差は、直前のミラーリングデータとの処理中のミラーリングデータへの格納時間の差である。なお、図３における時間の単位は秒である。PortTag-1は最初のミラーリングデータ（Mirroring Data-1）に対応する。従って、そのOffset Timeフィールドの値は「０」となる。続くPortTag-2のOffset Timeフィールドの値はPortTag-1との時間差である「１０」（すなわち１０秒）であり、同様にPortTag-3ではoffset timeフィールドの値は「２０」と設定されていく。最終的にPortTag-5までミラーリングデータが集約された時点でミラーフレームがミラーポート１１１から出力される。ミラーポート１１１から出力されたミラーフレームはフレームキャプチャで受信される。フレームキャプチャは、ポートタグのOffset Timeフィールドを読み出し、ミラーフレームが受信された時刻を基準に、PortTag-5,4,3,2,1の順で時間をさかのぼる計算を行う。その結果、フレームキャプチャはMirroring Data-1〜5が生成された時刻を再生することができる。ミラーリングデータの生成時刻の再生については、図６を用いてさらに後述する。

ここで、複数のミラーリングデータを１個のミラーフレームに集約する場合には、集約されるミラーリングデータの格納量がミラーフレームの最大フレーム長に達するまで、ミラーポート１１１からミラーフレームが出力されない可能性がある。例えばミラーフレームが２３フレーム分のミラーリングデータを格納可能であるにも関わらず、監視対象となるモニタポートで発生するフレームがミラーリングデータ２０個分しかない場合には、ミラーフレームは送信待ち状態となる。

この場合、ミラーフレームに最初のミラーリングデータが格納された後、「ミラーフレームの最大フレーム長の送信時間」を経過すると、ミラーポート１１１は、その時点までに集約されたミラーリングデータのみでミラーフレームを送信してもよい。このような動作により、ミラーフレームの送信待ちの長期化やミラーポート１１１におけるミラーフレームの滞留を回避できる。

例えば、ミラーポートのリンク速度が１Ｇｂｐｓ、フレーム長１５１８バイトの場合、最大フレーム長のミラーフレームの送信に要する時間は約１１μ秒である。この時間は、ミラーポート１１１の最大帯域に基づいて計算されている。このため、ミラーポート１１１の最大待ち時間を１１μ秒とし、ミラーフレームに最初のミラーリングデータが格納された後（すなわちミラーフレームの生成開始後）、１１μ秒が経過するまでミラーフレームの送信を待った場合でも、ミラーポート１１１の伝送効率は低下しない。なお、この場合、モニタポート１０１〜１０３においてミラーポートの帯域を超えるミラーリングデータが発生した合は、ミラーポート１１１において当該ミラーリングデータは廃棄されてもよい。あるいは、ミラーフレームの容量を超えたミラーリングデータのみが廃棄されてもよく、次のミラーフレームに格納されてもよい。

以上の説明では、ミラーリングデータ長はイーサネットフレームの最小値６４バイトからＦＣＳの４バイトを削除した６０バイトとした。しかし、モニタポートの数が少ない場合やミラーポートの帯域に余裕がある場合、あるいは解析したいフレームヘッダが長い場合などには、ミラーリングデータ長やミラーフレームのサイズに関するパラメータがユーザの設定によって変更できるようにしてもよい。このような場合には、ミラーリングデータ１個に満たない長さのフレームがミラーリングデータに格納される場合もありうる。このような場合には、ミラーリングデータ長を可変長としてもよいし、ミラーリングデータが含まれないミラーリングデータの領域をパディング（Padding）してもよい。

（ネットワーク装置１００の構成）
図４は、ネットワーク装置１００の構成例を示すブロック図である。ネットワーク装置１００は、モニタポート１０１〜１０３、共通部１２０、ミラーポート１１１を備える。モニタポート１０１〜１０３の構成及び共通部１２０との接続関係は同一である。従って、図１及び以下の説明ではモニタポート１０１について記載し、モニタポート１０２及び１０３についての記載あるいは説明は省略する。モニタポートの数は３個に限定されない。また、ミラーポートの数も１個に限定されない。

モニタポート１０１〜１０３及びミラーポート１１１は同一のハードウエアで構成されてもよい。この場合、ハードウエアによるネットワーク装置１００の機能の設定、もしくはネットワーク装置１００が備えるコンピュータのプログラムの実行による機能の設定により、モニタポート１０１〜１０３及びミラーポート１１１の機能が実現されてもよい。

共通部１２０は、フレーム転送部４０１及び設定記憶部４０２を備える。フレーム転送部４０１は、モニタポート１０１〜１０３の間、及び、モニタポート１０１〜１０３とミラーポート１１１との間でイーサネットフレームを転送する。フレームの転送には、ＶＬＡＮ、ＦＤＢ（Forwarding DataBase）などのプロトコルが用いられてもよい。モニタポート１０１〜１０３の間のフレームの転送は、一般的なネットワーク装置１００の機能である。さらに、本実施形態のフレーム転送部４０１は、ネットワーク装置１００が複数のミラーポートを備える場合に、ポートタグ付与部４０４から転送されたフレームを、ポートタグに示されたモニタポートと関連付けられたミラーポートのフレーム集約部に転送する。

設定記憶部４０２は、モニタポート１０１〜１０３及びミラーポート１１１の設定情報を記憶する。例えば、設定記憶部４０２は、以下の情報を各部に提供する。以下の（Ｂ１）〜（Ｂ５）の情報は、ネットワーク装置１００の管理者によって、必要に応じて設定記憶部４０２に設定される。

（Ｂ１）フレーム転送に使用する最大フレーム長の情報。最大フレーム長は、フレーム集約部４０５に提供される。また、フレーム送受信部４０３に対して、モニタポート１０１〜１０３及びミラーポート１１１から送信されるフレームの最大フレーム長を、それぞれ独立に規定してもよい。

（Ｂ２）モニタポート１０１〜１０３と、ミラーポート１１１との関連付け情報。関連付け情報は、ポートタグ付与部４０４及びフレーム転送部４０１に提供される。図５に、モニタポート１０１〜１０３と、ミラーポート１１１との関連付け情報の例を示す。図５は、ネットワーク装置１００が８個のモニタポート（ポート１〜６）と２個のミラーポート（ポート７、８）を持つ場合の例を示す。ポート１〜６は、図４の３個のモニタポート１０１〜１０３が６個に拡大されたモニタポートである。ポート７、８は、図４の１個のミラーポート１１１が２個に拡大されたミラーポートである。ポート１〜３において送受信されるフレームから抽出されたミラーリングデータは、ポート８で集約されてミラーフレームとして出力される。ポート４〜６において送受信されるフレームから抽出されたミラーリングデータは、ポート７で集約されてミラーフレームとして出力される。

（Ｂ３）ミラーリングデータ長及びオフセット値の情報。この情報は、ポートタグ付与部４０４に提供される。オフセット値は、フレームにおいてミラーリングデータが切り出される位置の先頭が、そのフレームのＤＡの先頭から何バイト後であるかを示す。オフセット値の情報は必須ではなく、オフセット値が０あるいはオフセット値の情報がない場合は、モニタしようとするフレームのＤＡの先頭からミラーリングデータが切り出されてもよい。

（Ｂ４）Offset Timeフィールドの使用の有無を示す情報。この情報は、フレーム集約部４０５に提供される。

（Ｂ５）Offset Timeフィールドを使用する場合のOffset Timeの単位。この情報は、フレーム集約部４０５に提供される。

モニタポート１０１は、フレーム送受信部４０３及びポートタグ付与部４０４を備える。フレーム送受信部４０３は、ネットワーク装置１００のモニタポート及びミラーポート毎に具備される。モニタポート１０１が備えるフレーム送受信部４０３は、フレーム転送部４０１から直接渡される送信フレームをネットワーク装置１００の外部に送信し、外部から受信した受信フレームをフレーム転送部４０１に直接渡す。この機能は、ネットワーク装置１００が備える基本的なフレームの送受信及び転送機能である。

本実施形態のモニタポート１０１が備えるフレーム送受信部４０３は、さらに、送受信されるフレームをコピーしてポートタグ付与部４０４に渡す。フレーム送受信部４０３がポートタグ付与部４０４にフレームを渡す際は、必要に応じてデータの方向（送信又は受信）を判別する情報も伝達する。

ミラーポート１１１は、フレーム送受信部４０３及びフレーム集約部４０５を備える。ミラーポート１１１が備えるフレーム送受信部４０３は、フレーム集約部４０５から渡されるミラーフレームをネットワーク装置１００の外部に送信する。ミラーポート１１１が備えるフレーム送受信部４０３は、外部から受信したフレームをネットワーク装置１００の内部（フレーム転送部４０１やポートタグ付与部４０４など）に転送する機能を備える必要はない。

ポートタグ付与部４０４は、モニタポート毎に具備され、フレーム送受信部４０３から受信したコピーされたフレームに以下の（Ｃ１）〜（Ｃ３）の操作を行い、フレーム転送部４０１に送信する。

（Ｃ１）フレーム送受信部から受信したフレームを設定された位置からミラーリングデータ長までを切り出して抽出する。フレームの切り出し位置の先頭は、上記（Ｂ３）で説明したように、フレームのＤＡの先頭からオフセット値だけ後の位置である。

（Ｃ２）ミラーリングデータに対応するポートタグを生成し、ミラーリングデータの元のフレームが送受信されたポートの識別子をポートタグのPortIDフィールドに書き込む。

（Ｃ３）必要に応じて、ミラーリングデータの元となったフレームの伝送方向に応じた値をポートタグのDirectionフィールドに書き込む。通常はミラーリングデータに含まれる送信先アドレス（SA）を参照することで伝送方向を知ることができる。しかし、誤ったＳＡがモニタポートのフレームに記載されうる障害の発生時には、Directionフィールドのデータによって正しい伝送方向を知ることができる。また、ポートタグ及びミラーリングデータは、フレーム転送部４０１を経由せず、関連付けられたミラーポート１１１のフレーム集約部４０５に直接転送されてもよい。例えば、ネットワーク装置１００がミラーポート１１１を１個のみ備える場合や、各モニタポートと各ミラーポートとの間の接続が固定されている場合には、フレーム転送部４０１を経由しなくてもよい。

フレーム集約部４０５はミラーポート１１１毎に備えられる。フレーム集約部４０５は、フレーム転送部４０１又はポートタグ付与部４０４から転送された、ポートタグ及びミラーリングデータに対して以下の（Ｄ１）〜（Ｄ３）の操作を行ってミラーフレームを生成し、フレーム送受信部４０３へ出力する。

（Ｄ１）転送されたポートタグ及びミラーリングデータを、ミラーフレームに設定された１個のペイロードに格納し、ミラーフレームを構成する。

（Ｄ２）ミラーリングデータを格納する毎に、ポートタグのOffset Timeフィールドを更新する。Offset Timeフィールドの値は、１つ前のミラーリングデータをミラーフレームに格納した時刻からの差分であり、ミラーフレームに最初に格納されるポートタグのOffset Timeフィールドの値は０である。

（Ｄ３）ミラーフレームの生成開始後、１個のミラーフレームの転送時間が経過した場合には、ミラーフレームのペイロードに空き領域が残存していても、ミラーポート１１１のフレーム送受信部４０３に集約フレームを送信する。

図６はネットワーク装置１００の動作例を示すフローチャートである。フレーム転送部４０１、フレーム送受信部４０３、ポートタグ付与部４０４、フレーム集約部４０５は、必要な設定情報を、適宜、設定記憶部４０２から取得して動作する。モニタポート１０１において、モニタするフレームが送信されるフレームであるか受信されるフレームであるかはポートタグのDirectionフィールドへの設定が異なるだけで他の動作は共通である。

モニタポート１０１のフレーム送受信部４０３において他のネットワーク装置へのフレームの送信又は他のネットワーク装置からのフレームの受信が発生すると、ポートタグ付与部４０４にそのフレームを渡す（図６のステップＳ０１）。

フレーム送受信部４０３が他のネットワーク装置からフレームを受信した場合には、受信したフレームをフレーム転送部４０１へ直接転送する。これはネットワーク装置１００の通常の転送動作であり、以降の手順の説明は省略する。

ポートタグ付与部４０４は、フレーム送受信部４０３からフレームを受け取ると、設定記憶部４０２から読み出したオフセット値及びミラーリングデータ長を用いてフレームを切り詰め、ミラーリングデータを生成する（ステップＳ０２）。フレームの切り詰めは、イーサネットフレームのＤＡ（宛先アドレス）の先頭からオフセット値だけ後の位置から行われる。オフセット値が０又はオフセット値が設定されていない場合は、図１に示すように、フレームの切り詰めは、イーサネットフレームのＤＡ（宛先アドレス）の先頭から行われてもよい。

ポートタグ付与部４０４はポートタグを作成する（ステップＳ０３）。PortIDフィールドには、モニタポート１０１に対応する識別子（例えば「０１」）が書き込まれる。また、モニタポート１０１におけるフレームの伝送方向の情報が必要な場合には、「送信」を示す値（例えば「０」）又は「受信」を示す値（例えば「１」）がDirectionフィールドに書き込まれる。

ポートタグ付与部４０４は、ポートタグとミラーリングデータとをフレーム転送部４０１に転送する（ステップＳ０４）。

フレーム転送部４０１は、設定記憶部４０２に記憶されるモニタポートとミラーポートとの対応を示す、図４に例示された情報に基づいて、対応するミラーポートのフレーム集約部４０５にポートタグとミラーリングデータとを渡す（ステップＳ０５）。なお、ポートタグ付与部４０４は、設定記憶部４０２に記憶される当該情報に基づいて、ポートタグとミラーリングデータとを対応するミラーポートのフレーム集約部４０５に直接渡してもよい。

フレーム集約部４０５は、ミラーフレームのペイロードにポートタグとミラーリングデータとを格納する（ステップＳ０６）。

フレーム集約部４０５は、１つ前のミラーリングデータをミラーフレームに格納した時刻からの差分を、ポートタグのOffset Timeフィールドに書き込む（ステップＳ０７）。

次のポートタグとミラーリングデータによってミラーフレームのサイズが最大フレーム長を超えるかどうかを判断する（ステップＳ０８）。ステップＳ０８で「ＹＥＳ」の場合は、これ以上ポートタグとミラーリングデータとをミラーフレームに格納できないため、ミラーフレームをミラーポート１１１のフレーム送受信部４０３に渡す（ステップＳ１１）。次のポートタグとミラーリングデータによってもミラーフレームのサイズが最大フレーム長を超えない場合（ステップＳ０８：ＮＯ）には、ステップＳ０９に進む。

ミラーフレームへミラーリングデータを最初に格納してからの経過時間が最大フレーム長の伝送時間を超える場合（ステップＳ０９：ＹＥＳ）、ミラーフレームのペイロードにダミーデータを付加する（ステップＳ１０）。そして、ミラーフレームをフレーム送受信部４０３に渡す（ステップＳ１１）。ステップＳ１０では、ダミーデータとして、最後のポートタグと、ダミーのミラーリングデータ（ダミーペイロード）とが付加される。最後のポートタグのOffset Timeフィールドには、１つ前のミラーリングデータをミラーフレームに格納した時刻とミラーフレームの送信時刻との差分が書き込まれる。

ミラーポート１１１のフレーム送受信部４０３は、ミラーフレームを外部へ送信する（ステップＳ１２）。

ミラーフレームを受信した機器（例えばフレームキャプチャ）は、最後のポートタグのOffset Timeフィールドの値及びそれ以前のポートタグのOffset Timeフィールドの値を用いて、ミラーリングフレーム及び各ミラーリングデータの送信時刻を再生できる。

例えば、フレームキャプチャにおけるミラーフレームの受信時刻をＴ１とすると、ミラーポート１１１とフレームキャプチャとの間の伝送遅延が無視できる場合には、最後のポートタグ生成時刻はＴ１となる。そして最後のポートタグのOffset Timeフィールドの値がＴ２であるとき、その一つ前のミラーリングデータがミラーフレームに格納された時刻は、Ｔ１よりもＴ２前の時刻となる。このようにして、フレームキャプチャは、各ミラーリングデータがミラーフレームに格納された時刻を計算できる。

さらに、モニタポートにおけるフレームの送受信からそのミラーリングデータのミラーフレームへの格納までの遅延が既知あるいは無視できる場合には、ミラーフレームへの格納時刻からモニタポートにおける送受信時刻を求めることは容易である。

以上説明した本実施形態のネットワーク装置１００は、１つのモニタポートの送受信フレームを同速度以下の１つのミラーポートでミラーリングできる。その理由は、モニタポートで送受信されるフレームをミラーリングデータ長に切り詰めることで、ミラーフレームの転送に必要な伝送容量を低減できるからである。

さらに、複数のミラーリングデータを集約して１個のミラーフレームのペイロードに格納することで、ミラーポートの伝送効率をさらに向上させることができる。ここで、ミラーリングデータ長を小さくすることで、複数のモニタポートを同時に１個のミラーポートでモニタする場合も、ミラーフレームにおけるミラーリングデータの廃棄の発生頻度を下げることができる。

さらに、ミラーリングデータに対応するポートタグを用いることで、ミラーリングデータを集約した場合でも、モニタするフレームの送受信時刻を再生することができる。

さらに、ミラーリングデータを集約しても、ミラーポートにおけるミラーフレームの滞留を回避できる。その理由は、ミラーフレームの生成開始後、ミラーフレームの転送時間を超えた場合にはミラーフレームは外部に送信されるためである。

（第１の実施形態の変形例）
第１の実施形態の効果は、以下の変形例によっても得られる。

ミラーフレームを受信して解析に利用するフレームキャプチャにおいて、フレームの送受信時間の情報が必要ない場合には、ポートタグに代えて一般的なＶＬＡＮタグを用いてもよい。さらに、モニタポートを識別するために、例えばPortIDをＴＰＩＤ（Tag Protocol Identifier）又はＶＩＤ（VLAN Identifier）に割り当て代用してもよい。このような一般的なタグを用いることで、ポートタグ付与部４０４は、ポートタグを生成するための専用の回路やプログラムを要しない。

１個のモニタポートに１個のミラーポートが対応する構成において、モニタされるフレームの送受信方向や送受信時刻が不要である場合は、ポートタグ付与部４０４は、ミラーリングデータにポートタグを付与せず、ミラーリングデータのみをミラーフレームのペイロードに格納してもよい。ポートタグを不要とすることで、ミラーリングデータの伝送効率を向上させることができる。

ポートタグ付与部４０４及びフレーム集約部４０５は、ネットワーク装置毎、モニタポート毎あるいはミラーポート毎に、ミラーフレームの仕様を変更してもよい。さらに、ミラーフレーム毎にミラーフレームの仕様を変更してもよい。例えば、ミラーリングデータが集約されたミラーフレームでは、各々のミラーフレームのＤＡ及びＳＡの少なくとも一方を管理者が指定した特定の値に変更してもよい。このようにすることで、ミラーフレームを受信した装置は、当該ミラーフレームが、ミラーリングデータが集約されたミラーフレームなのか通常のフレーム（すなわち、モニタポートで送受信されるフレームがそのままコピーされたフレーム）なのかを区別できる。

さらに、ポートタグ付与部４０４は、モニタポートで送受信されるフレームのヘッダをフレーム毎に検出し、他のレイヤのヘッダをミラーリングデータに含ませることの必要性も考慮してミラーリングデータの抽出範囲をフレーム毎に変更してもよい。

（第２の実施形態）
図７は、第２の実施形態のネットワーク装置２００の構成例を示すブロック図である。ネットワーク装置２００は、第１のポート２０１と、フレーム集約部２０２と、第２のポート２０３と、を備える。第１のポートは、第１のフレームを送受信する。フレーム集約部２０２は、第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成する。第２のポートは、第２のフレームを送出する。

このような構成を備えるネットワーク装置２００は、第１のフレームの一部を抽出したミラーリングデータを含む第２のフレームを第２のポートから出力する。ミラーリングデータを用いることで第２のフレームのサイズを小さくできるため、第２のポートの速度が比較的低速であっても、第２のフレームを用いて、第１のフレームを解析することができる。すなわち、ネットワーク装置２００は、比較的低速なポートを用いてネットワーク装置の通信を解析することを可能とする。

なお、本発明の実施形態は以下の付記のようにも記載されうるが、これらには限定されない。

（付記１）
第１のフレームを送受信する第１のポートと、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成するフレーム集約手段と、
前記第２のフレームを送出する第２のポートと、
を備えるネットワーク装置。

（付記２）
前記第１のフレームはイーサネット（登録商標）フレームであり、
前記ミラーリングデータは前記第１のフレームからＦＣＳ（フラグチェックシーケンス）及び一部のペイロードが削除されたデータである、
付記１に記載されたネットワーク装置。

（付記３）
前記第１のフレームに関連付けられたポートタグを生成し、前記ポートタグ及び前記ミラーリングデータを前記フレーム集約手段に転送するポートタグ付与手段をさらに備え、
前記フレーム集約手段は、前記ポートタグ及び前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
付記１又は２に記載されたネットワーク装置。

（付記４）
前記ポートタグ付与手段は前記第１のフレームの伝送方向、前記第１のポートの識別子及び前記ミラーリングデータに関連する時刻、の少なくとも１つを含む前記ポートタグを前記ミラーリングデータ毎に生成する、
付記３に記載されたネットワーク装置。

（付記５）
前記第１のポートの識別子としてＴＰＩＤ（Tag Protocol Identifier）及びＶＩＤ（VLAN Identifier）のいずれか一方が用いられる、付記４に記載されたネットワーク装置。

（付記６）
前記ポートタグ付与手段は、１個前に生成された前記ミラーリングデータの生成時刻に対する差分を前記ミラーリングデータに関連する時刻とする、付記４又は５に記載されたネットワーク装置。

（付記７）
前記ポートタグ付与手段は、前記ポートタグとして、ＶＬＡＮ(Virtual Local Area Network）タグを用いる、付記３乃至６のいずれか１項に記載されたネットワーク装置。

（付記８）
前記ポートタグ付与手段は、前記ミラーリングデータを抽出する前記所定の位置及び前記所定の長さを、前記第１のフレーム毎に設定する、付記３乃至７のいずれか１項に記載されたネットワーク装置。

（付記９）
前記フレーム集約手段は、複数の前記ポートタグ及び複数の前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
付記３乃至８のいずれか１項に記載されたネットワーク装置。

（付記１０）
前記フレーム集約手段は、前記第２のフレームの生成開始後、前記第２のポートにおける前記第２のフレームの伝送時間を超えると、前記第２のフレームを前記ネットワーク装置の外部に送信する、付記１乃至９のいずれか１項に記載されたネットワーク装置。

（付記１１）
前記所定の位置は、前記第１のフレームの宛先を示す宛先アドレスの先頭の位置と、前記先頭の位置からの後方への差分を示すオフセット値とに基づいて定められる、付記１乃至１０のいずれか１項に記載されたネットワーク装置。

（付記１２）
第１のポートによって第１のフレームを送受信し、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成し、
第２のポートによって前記第２のフレームを送出する、
ネットワーク装置の制御方法。

（付記１３）
前記第１のフレームはイーサネット（登録商標）フレームであり、
前記ミラーリングデータは前記第１のフレームからＦＣＳ（フラグチェックシーケンス）及び一部のペイロードが削除されたデータである、
付記１２に記載されたネットワーク装置の制御方法。

（付記１４）
前記第１のフレームに関連付けられたポートタグを生成し、
前記ポートタグ及び前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
付記１２又は１３に記載されたネットワーク装置の制御方法。

（付記１５）
前記第１のフレームの伝送方向、前記第１のポートの識別子及び前記ミラーリングデータに関連する時刻、の少なくとも１つを含む前記ポートタグを前記ミラーリングデータ毎に生成する、
付記１４に記載されたネットワーク装置の制御方法。

（付記１６）
前記第１のポートの識別子としてＴＰＩＤ（Tag Protocol Identifier）及びＶＩＤ（VLAN Identifier）のいずれか一方が用いられる、付記１５に記載されたネットワーク装置の制御方法。

（付記１７）
１個前に生成された前記ミラーリングデータの生成時刻に対する差分を前記ミラーリングデータに関連する時刻とする、付記１５又は１６に記載されたネットワーク装置の制御方法。

（付記１８）
前記ポートタグとして、ＶＬＡＮ(Virtual Local Area Network）タグを用いる、付記１４乃至１７のいずれか１項に記載されたネットワーク装置の制御方法。

（付記１９）
前記ミラーリングデータを抽出する前記所定の位置及び前記所定の長さを、前記第１のフレーム毎に設定する、付記１４乃至１８のいずれか１項に記載されたネットワーク装置の制御方法。

（付記２０）
複数の前記ポートタグ及び複数の前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、付記１４乃至１９のいずれか１項に記載されたネットワーク装置の制御方法。

（付記２１）
前記第２のフレームの生成開始後、前記第２のポートにおける前記第２のフレームの伝送時間を超えると、前記第２のフレームを外部に送信する、付記１２乃至２０のいずれか１項に記載されたネットワーク装置の制御方法。

（付記２２）
前記所定の位置は、前記第１のフレームの宛先を示す宛先アドレスの先頭の位置と、前記先頭の位置からの後方への差分を示すオフセット値とに基づいて定められる、付記１２乃至２１のいずれか１項に記載されたネットワーク装置の制御方法。

（付記２３）
ネットワーク装置のコンピュータに、
第１のポートによって第１のフレームを送受信する手順、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成する手順、
第２のポートによって前記第２のフレームを送出する手順、
を実行させるためのネットワーク装置の制御プログラム。

（付記２４）
前記第１のフレームはイーサネット（登録商標）フレームであり、
前記ミラーリングデータは前記第１のフレームからＦＣＳ（フラグチェックシーケンス）及び一部のペイロードが削除されたデータである、
付記２３に記載されたネットワーク装置の制御プログラム。

（付記２５）
前記第１のフレームに関連付けられたポートタグを生成する手順、
前記ポートタグ及び前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する手順、
を実行させるための付記２３又は２４に記載されたネットワーク装置の制御プログラム。

（付記２６）
前記第１のフレームの伝送方向、前記第１のポートの識別子及び前記ミラーリングデータに関連する時刻、の少なくとも１つを含む前記ポートタグを前記ミラーリングデータ毎に生成する手順、を実行させるための付記２５に記載されたネットワーク装置の制御プログラム。

（付記２７）
前記第１のポートの識別子としてＴＰＩＤ（Tag Protocol Identifier）及びＶＩＤ（VLAN Identifier）のいずれか一方が用いられる、付記２６に記載されたネットワーク装置の制御プログラム。

（付記２８）
１個前に生成された前記ミラーリングデータの生成時刻に対する差分を前記ミラーリングデータに関連する時刻とする、付記２４又は２５に記載されたネットワーク装置の制御プログラム。

（付記２９）
前記ポートタグとして、ＶＬＡＮ(Virtual Local Area Network）タグを用いる、付記２５乃至２８のいずれか１項に記載されたネットワーク装置の制御プログラム。

（付記３０）
前記ミラーリングデータを抽出する前記所定の位置及び前記所定の長さを、前記第１のフレーム毎に設定する手順、を実行させるための付記２５乃至２９のいずれか１項に記載されたネットワーク装置の制御プログラム。

（付記３１）
複数の前記ポートタグ及び複数の前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する手順、を実行させるための付記２５乃至３０のいずれか１項に記載されたネットワーク装置の制御プログラム。

（付記３２）
前記第２のフレームの生成開始後、前記第２のポートにおける前記第２のフレームの伝送時間を超えると、前記第２のフレームを外部に送信する手順、を実行させるための付記２３乃至３１のいずれか１項に記載されたネットワーク装置の制御プログラム。

（付記３３）
前記所定の位置は、前記第１のフレームの宛先を示す宛先アドレスの先頭の位置と、前記先頭の位置からの後方への差分を示すオフセット値とに基づいて定められる、付記２３乃至３２のいずれか１項に記載されたネットワーク装置の制御プログラム。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記の実施形態に限定されない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

また、それぞれの実施形態に記載された構成は、必ずしも互いに排他的なものではない。本発明の作用及び効果は、上述の実施形態の全部又は一部を組み合わせた構成によって実現されてもよい。

以上の各実施形態に記載された機能及び手順は、ネットワーク装置１００又は２００が備える中央処理装置（central processing unit、ＣＰＵ）がプログラムを実行することにより実現されてもよい。プログラムは、固定された、一時的でない記録媒体に記録される。記録媒体として半導体メモリ又は固定磁気ディスク装置を用いることができるが、これらには限定されない。ネットワーク装置１００及び２００は、記録媒体を含んで構成されてもよい。

１００、２００ネットワーク装置
１０１、１０２、１０３モニタポート
１２０共通部
４０１フレーム転送部
４０２設定記憶部
４０３フレーム送受信部
４０４ポートタグ付与部
４０５フレーム集約部

Claims

第１のフレームを送受信する第１のポートと、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成するフレーム集約手段と、
前記第２のフレームを送出する第２のポートと、
を備えるネットワーク装置。
前記第１のフレームはイーサネット（登録商標）フレームであり、
前記ミラーリングデータは前記第１のフレームからＦＣＳ（フラグチェックシーケンス）及び一部のペイロードが削除されたデータである、
請求項１に記載されたネットワーク装置。
前記第１のフレームに関連付けられたポートタグを生成し、前記ポートタグ及び前記ミラーリングデータを前記フレーム集約手段に転送するポートタグ付与手段をさらに備え、
前記フレーム集約手段は、前記ポートタグ及び前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
請求項１又は２に記載されたネットワーク装置。
前記ポートタグ付与手段は前記第１のフレームの伝送方向、前記第１のポートの識別子及び前記ミラーリングデータに関連する時刻、の少なくとも１つを含む前記ポートタグを前記ミラーリングデータ毎に生成する、
請求項３に記載されたネットワーク装置。
前記第１のポートの識別子としてＴＰＩＤ（Tag Protocol Identifier）及びＶＩＤ（VLAN Identifier）のいずれか一方が用いられる、請求項４に記載されたネットワーク装置。
前記ポートタグ付与手段は、１個前に生成された前記ミラーリングデータの生成時刻に対する差分を前記ミラーリングデータに関連する時刻とする、請求項４又は５に記載されたネットワーク装置。
前記ポートタグ付与手段は、前記ポートタグとして、ＶＬＡＮ(Virtual Local Area Network）タグを用いる、請求項３乃至６のいずれか１項に記載されたネットワーク装置。
前記ポートタグ付与手段は、前記ミラーリングデータを抽出する前記所定の位置及び前記所定の長さを、前記第１のフレーム毎に設定する、請求項３乃至７のいずれか１項に記載されたネットワーク装置。
前記フレーム集約手段は、複数の前記ポートタグ及び複数の前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
請求項３乃至８のいずれか１項に記載されたネットワーク装置。
前記フレーム集約手段は、前記第２のフレームの生成開始後、前記第２のポートにおける前記第２のフレームの伝送時間を超えると、前記第２のフレームを前記ネットワーク装置の外部に送信する、請求項１乃至９のいずれか１項に記載されたネットワーク装置。
前記所定の位置は、前記第１のフレームの宛先を示す宛先アドレスの先頭の位置と、前記先頭の位置からの後方への差分を示すオフセット値とに基づいて定められる、請求項１乃至１０のいずれかに記載されたネットワーク装置。
第１のポートによって第１のフレームを送受信し、
前記第１のフレームの所定の位置から抽出された所定の長さのデータであるミラーリングデータをペイロードに含む第２のフレームを生成し、
第２のポートによって前記第２のフレームを送出する、
ネットワーク装置の制御方法。
前記第１のフレームはイーサネット（登録商標）フレームであり、
前記ミラーリングデータは前記第１のフレームからＦＣＳ（フラグチェックシーケンス）及び一部のペイロードが削除されたデータである、
請求項１２に記載されたネットワーク装置の制御方法。
前記第１のフレームに関連付けられたポートタグを生成し、
前記ポートタグ及び前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、
請求項１２又は１３に記載されたネットワーク装置の制御方法。
前記第１のフレームの伝送方向、前記第１のポートの識別子及び前記ミラーリングデータに関連する時刻、の少なくとも１つを含む前記ポートタグを前記ミラーリングデータ毎に生成する、
請求項１４に記載されたネットワーク装置の制御方法。
前記第１のポートの識別子としてＴＰＩＤ（Tag Protocol Identifier）及びＶＩＤ（VLAN Identifier）のいずれか一方が用いられる、請求項１５に記載されたネットワーク装置の制御方法。
１個前に生成された前記ミラーリングデータの生成時刻に対する差分を前記ミラーリングデータに関連する時刻とする、請求項１５又は１６に記載されたネットワーク装置の制御方法。
前記ポートタグとして、ＶＬＡＮ(Virtual Local Area Network）タグを用いる、請求項１４乃至１７のいずれか１項に記載されたネットワーク装置の制御方法。
前記ミラーリングデータを抽出する前記所定の位置及び前記所定の長さを、前記第１のフレーム毎に設定する、請求項１４乃至１８のいずれか１項に記載されたネットワーク装置の制御方法。
複数の前記ポートタグ及び複数の前記ミラーリングデータを前記ペイロードに含む前記第２のフレームを生成する、請求項１４乃至１９のいずれか１項に記載されたネットワーク装置の制御方法。
前記第２のフレームの生成開始後、前記第２のポートにおける前記第２のフレームの伝送時間を超えると、前記第２のフレームを外部に送信する、請求項１２乃至２０のいずれか１項に記載されたネットワーク装置の制御方法。
前記所定の位置は、前記第１のフレームの宛先を示す宛先アドレスの先頭の位置と、前記先頭の位置からの後方への差分を示すオフセット値とに基づいて定められる、請求項１２乃至２１のいずれか１項に記載されたネットワーク装置の制御方法。