JP2019523608A

JP2019523608A - パケット監視

Info

Publication number: JP2019523608A
Application number: JP2019505173A
Authority: JP
Inventors: シアオホンソン
Original assignee: New H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2016-08-01
Filing date: 2017-08-01
Publication date: 2019-08-22
Anticipated expiration: 2037-08-01
Also published as: JP6928076B2; CN107682275A; WO2018024187A1; EP3493477A1; US20200186447A1; EP3493477A4; US10938679B2; EP3493477B1; CN107682275B

Abstract

ＶＴＥＰは、パケットを受信し、当該パケットがローカルの被監視ホストからのユーザパケットである場合、マッチする第１フォワーディングエントリの執行動作に基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信し、当該パケットがローカルホストから被監視ホストに送信したユーザパケットである場合、マッチする第２フォワーディングエントリの執行動作に基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信し、当該パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ監視サーバの識別子を担持する場合、マッチする第３フォワーディングエントリの執行動作に基づいて、ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信する。

Description

〔関連する出願の参照〕
本特許は、２０１６年８月１日に提出された出願番号が２０１６１０６２０５０８.０であり、発明の名称が「パケット監視方法及び装置」である中国特許出願の優先権を主張するものであり、当該出願の全文は参照することにより本文に組み込まれる。

ＳＤＮ（ＳｏｆｔｗａｒｅＤｅｆｉｎｅｄＮｅｔｗｏｒｋ、ソフトウェア定義ネットワーク）ネットワークにおいて、制御器がＶＭ（ＶｉｒｔｕａｌＭａｃｈｉｎｅ、仮想マシン）のパケットを監視する過程は、以下の通りである。制御器は、被監視ＶＭがアクセスしたＶＴＥＰ（ＶＸＬＡＮＴｕｎｎｅｌＥｎｄＰｏｉｎｔ、ＶＸＬＡＮトンネルエンドポイント）にＯｐｅｎｆｌｏｗ（オープンフロー）フローエントリを送信する。当該ＶＴＥＰは、ユーザパケットを受信した後、当該ユーザパケットのソースアドレス又は宛先アドレスをフローエントリとマッチする。マッチする場合、当該ユーザパケットをミラーリングして、得られたミラーリングパケットを制御器にフォワーディングする。

上記の過程を通じて、ＶＴＥＰは、被監視ＶＭが送出したユーザパケット及び当該ＶＭに送信したユーザパケットをミラーリングして、ミラーリングパケットを制御器にフォワーディングして監視を行う。

本開示の例示的な一実施例が示すＳＤＮ的ネットワーキングの模式図である。

本開示の例示的な一実施例が示す被監視ホストがアクセスしたＶＴＥＰが監視配置情報を受信した後に実行されるフォワーディングエントリ配置過程のフローチャートである。

本開示の例示的な一実施例が示す拡張後のＶＸＬＡＮヘッダのフォーマットの模式図である。

本開示の例示的な一実施例が示すキャリー監視配置情報のＢＧＰパケットのフォーマットの模式図である。

本開示の例示的な一実施例が示す被監視ホストがアクセスしていないＶＴＥＰが監視配置情報を受信した後に実行されるフォワーディングエントリ配置過程のフローチャートである。

本開示の例示的な一実施例が示すＶＴＥＰがパケットを受信した後、当該パケットをフォワーディングする処理のフローチャートである。

本開示の例示的な一実施例が示すＶＴＥＰがユーザパケットを受信した後、当該ユーザパケットをフォワーディングする処理のフローチャートである。

本開示の例示的な一実施例が示すＶＴＥＰがＶＸＬＡＮパケットを受信した後、当該ＶＸＬＡＮパケットをフォワーディングする処理のフローチャートである。

本開示の例示的な一実施例が示すＶＴＥＰが監視サーバのアドレスを受信した後、フォワーディングエントリをアップデートする処理のフローチャートである。

図１におけるＶＭ１０の移行が発生した後のネットワーキングの模式図である。

図１０におけるＳＥＲＶ２１の移行が発生した後のネットワーキングの模式図である。

本開示の例示的な一実施例が示すＶＴＥＰのハードウェア構造の模式図である。

本開示の例示的な一実施例が示すＶＴＥＰの構造の模式図である。

本開示の例示的な一実施例が示すＶＴＥＰの別の構造の模式図である。

本開示の例示的な一実施例が示すＶＴＥＰのまた別の構造の模式図である。

ここで、図面と結び付けて例示的な実施例を詳細に説明する。以下の記述に図面が言及される時、特に示されていない限り、異なる図面における同じ数字は、同一または類似する要素を示す。以下の例示的な実施例において記述される実施形態は、本開示と一致するすべての実施形態を表すものではない。逆に、それらは、単に添付される特許請求の範囲に詳述される、本開示の一部の側面と一致する装置及び方法の例である。

本開示に使用される用語は、単に特定の実施例を記述するための目的であり、本開示を制限することを意図していない。本開示及び添付される特許請求の範囲に使用される単数形態「一」、「前記」及び「当該」は、文脈で明らかに他の意味が示されていない限り、複数形態も含むことを意図する。なお、理解すべきことは、本文に使用される用語「及び／又は」一つ又は複数の関連するリストされたアイテムを含む任意の又はすべての可能な組み合わせを指す。

理解すべきことは、本開示において用語第１、第２、第３等を用いて各種の情報を記述する可能性があるが、これらの情報は、これらの用語に制限されるべきではない。これらの用語は、単に同一類型の情報を互いに区分するために用いられる。例えば、本開示の範囲を逸脱しない前提で、第１情報は、第２情報とも称されることができ、同様に、第２情報も第１情報と称されることができる。文脈に応じて、ここに使用されるような単語「若し」は、「……時」又は”或“……場合”又は「に応答して確定する」として解釈されることができる。

背景技術に記述されるパケット監視方法において、すべての被監視ＶＭのデータストリームは、制御器にフォワーディングされて監視を行うべきである。監視されるＶＭの数量が多い時、及び／又は監視されるＶＭのデータストリームのトラフィックが大きい時、制御器のＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ、中央処理ユニット）資源を多く占用し、制御器の性能に影響を及ぼすことになる。

従って、本開示の以下の実施例において、パケット監視方法、及び当該方法を応用可能なＶＴＥＰを提供する。

本開示の実施例において、図１に示すようなＳＤＮにＥＶＰＮ（ＥｔｈｅｒｎｅｔＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ、イーサネットバーチャルプライベートネットワーク）技術が応用される。即ち、ＥＶＰＮをＳＤＮのアンダーレイネットワークとして、制御プレーンで、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ、ボーダゲートウェイプロトコル）を用いてルーティング情報を通告し、データプレーンでは、ＶＸＬＡＮカプセル化方式を用いてユーザパケットをフォワーディングする。

図１に示すようなＳＤＮは、制御器１００と、ルータＲ１０と、ルータＲ２０と、ＶＴＥＰ１０１乃至１０４とを含む。その中で、各ＶＴＥＰに接続されるホストは、ＶＭでも良いし、物理設備でも良いし、本開示はこれに対して限定しない。例えば、ＶＭ２１０乃至２４０及びサーバＳＥＲＶ２１は、それぞれのＶＴＥＰに接続される。

これにより、本開示の実施例に係るパケット監視方法は以下の内容を含む。

ＳＤＮにおいて、制御器１００は、各ＶＴＥＰから当該ＶＴＥＰに接続されたホストの情報を取得する。当該ホストの情報は、当該ホストのＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ、インターネットプロトコル）アドレスと、ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ、媒体アクセス制御）アドレスと、当該ホストが位置する物理位置情報を含む。当該物理位置情報は、具体的には、当該ホストがアクセスしたＶＴＥＰの識別子（ＩＤ）及び当該ＶＴＥＰ上の、当該ホストに接続されるユーザポートのＩＤであって良い。

制御器１００は、ビジュアルインタフェースを介してＳＤＮのネットワークアーキテクチャを提供する。従って、ユーザーは、クリック等の方式により被監視ホストを指定し、並びに、当該被監視ホストを監視する責任を負う監視サーバを指定する。被監視ホストと監視サーバとは、同一ＶＴＥＰに接続されても良いし、異なるＶＴＥＰに接続されても良いし、本開示はこれに対して限定しない。

被監視ホストのＩＤ及び監視サーバのＩＤを担持する監視命令を受信した後、制御器１００は、被監視ホストがアクセスしたＶＴＥＰに監視配置情報を送信する。当該監視配置情報は、少なくとも、被監視ホストのアドレスと、被監視ホストが所属するＶＸＬＡＮＩＤ（識別子）と、監視サーバのアドレスと、当該監視サーバのＩＤとを含む。上記のアドレスは、ＭＡＣアドレス及び／又はＩＰアドレスを含む。監視サーバのＩＤは、制御器が監視サーバに割り当てた唯一の識別子である。実際の実施過程において、制御器は、ＮＥＴＣＯＮＦ（ネットワーク配置）プロトコルを通じて被監視ホストがアクセスしたＶＴＥＰに監視配置情報を送信する。

被監視ホストがアクセスしたＶＴＥＰは、制御器１００から送信した監視配置情報を受信した後、当該監視配置情報を保存し、図２に示すようなステップを実行する。

ステップＳ１０１で、当該監視配置情報が担持する監視サーバのアドレスに基づいて、当該監視サーバが本ＶＴＥＰに接続されたか否かを判断する。そうである場合、本ＶＴＥＰは、被監視ホストによりアクセスされたＶＴＥＰでもあり、監視サーバによりアクセスされたＶＴＥＰでもあり、ステップＳ１０２を実行する。そうでない場合、ステップＳ１０３を実行する。

ステップＳ１０２で、ローカルフォワーディングテーブルに第１フォワーディングエントリ及び第３フォワーディングエントリを配置する。当該第１フォワーディングエントリのマッチングルール（Ｍａｔｃｈｒｕｌｅ）は、以下の通りである。パケットのソースアドレスは、当該被監視ホストのアドレス（ＩＰアドレス又はＭＡＣアドレス）である。当該第１フォワーディングエントリの執行動作（ａｃｔｉｏｎ）は、ユーザパケットをミラーリングし、ミラーリングパケットをローカル監視サーバに送信することである。当該第３フォワーディングエントリのマッチングルールは、ＶＸＬＡＮパケットが、監視サーバのＩＤを担持することである。当該第３フォワーディングエントリの執行動作は、ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信することである。

実際の実施過程において、ＶＴＥＰは、当該監視サーバのアドレスに基づいて本ＶＴＥＰ上で当該監視サーバに接続されるユーザポートを確定し、当該ユーザポートを介して当該ミラーリングパケットを当該監視サーバに送信する。

ステップＳ１０３で、ローカルフォワーディングテーブルに第１フォワーディングエントリを配置する。当該第１フォワーディングエントリのマッチングルールは、以下の通りである。パケットのソースアドレスは、当該被監視ホストのアドレス（ＩＰアドレス又はＭＡＣアドレス）である。当該第１フォワーディングエントリの執行動作は、ユーザパケットをミラーリングし、ミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信することである。ＶＸＬＡＮカプセル化を実行して得たＶＸＬＡＮパケットは、監視サーバのＩＤを担持する。

実際の実施過程において、当該監視サーバのＩＤとミラーリングパケットとのＶＸＬＡＮカプセル化を実行した後、カプセル化して得たＶＸＬＡＮパケットを当該監視サーバがアクセスしたリモートＶＴＥＰに送信する。このことから、ＶＸＬＡＮパケットは、監視サーバのＩＤをキャリーすべきである。このため、本開示の実施例は、ＶＸＬＡＮパケットのＶＸＬＡＮヘッダを拡張する。拡張後のＶＸＬＡＮヘッダのフォーマットは、図３に示すようである。そのうち、ＨＯＳＴＩＤフィールドは、監視サーバのＩＤを担持するために用いられる。

従って、上記のステップＳ１０１〜ステップＳ１０３を通じて、被監視ホストがアクセスし且つ監視サーバがアクセスしたＶＴＥＰは、第１フォワーディングエントリを配置すべきであるばかりでなく、さらに、第３フォワーディングエントリも配置するべきである。被監視ホストがアクセスしており且つ監視サーバがアクセスしていないＶＴＥＰは、第１フォワーディングエントリのみを配置する。

また、制御器１００から送信した監視配置情報を受信した後、被監視ホストがアクセスしたＶＴＥＰは、さらに、当該監視配置情報を当該監視配置情報が担持するＶＸＬＡＮ内のすべてのリモートＶＴＥＰに送信する。実際の実施過程において、制御プレーンで、ＢＧＰを用いるため、当該監視配置情報は、ＢＧＰパケットに担持されて当該ＶＸＬＡＮ内でフラッディングされ、従って、当該ＶＸＬＡＮ内のすべてのリモートＶＴＥＰにフラッディングされる。

上記の監視配置情報を担持するＢＧＰパケットのフォーマットは、図４に示すようである。その中で、ＳｏｕｒｃｅＭＡＣＡｄｄｒｅｓｓフィールドは、被監視ホストのＭＡＣアドレスを担持するために用いられる。ＳｏｕｒｃｅＩＰＡｄｄｒｅｓｓフィールドは、被監視ホストのＩＰアドレスを担持するために用いられる。ＭｏｎｉｔｏｒＭＡＣＡｄｄｒｅｓｓフィールドは、監視サーバのＭＡＣアドレスを担持するために用いられる。ＭｏｎｉｔｏｒＩＰＡｄｄｒｅｓｓフィールドは、監視サーバのＩＰアドレスを担持するために用いられる。ＨＯＳＴＩＤフィールドは、監視サーバのＩＤを担持するために用いられる。

被監視ホストがアクセスしていないリモートＶＴＥＰは、監視配置情報を受信した後、当該監視配置情報を保存し、且つ、図５に示すようなステップを更に実行する。

ステップＳ２０１で、当該監視配置情報が担持する監視サーバのアドレスに基づいて、当該監視サーバが本ＶＴＥＰに接続されたか否かを判断する。そうでない場合、本ＶＴＥＰは、ステップＳ２０２を実行する。そうである場合、本ＶＴＥＰは、監視サーバがアクセスしたＶＴＥＰであることを示す。その場合、本ＶＴＥＰは、ステップＳ２０３を実行する。

ステップＳ２０２で、ローカルフォワーディングテーブルに第２フォワーディングエントリを配置する。当該第２フォワーディングエントリのマッチングルールは、以下の通りである。パケットの宛先アドレスは、被監視ホストのアドレスである。当該第２フォワーディングエントリの執行動作は、ユーザパケットをミラーリングし、ミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、当該監視サーバがアクセスしたリモートＶＴＥＰに送信することである。ＶＸＬＡＮカプセル化を実行して得たＶＸＬＡＮパケットは、監視サーバのＩＤを担持する。

ステップＳ２０３で、ローカルフォワーディングテーブルに第２フォワーディングエントリ及び第３フォワーディングエントリを配置する。当該第２フォワーディングエントリのマッチングルールは、パケットの宛先アドレスは、被監視ホストのアドレスであることである。当該第２フォワーディングエントリの執行動作は、ユーザパケットをミラーリングし、ミラーリングパケットをローカル監視サーバに送信することである。当該第３フォワーディングエントリのマッチングルールは、ＶＸＬＡＮパケットは、監視サーバのＩＤを担持することである。当該第３フォワーディングエントリの執行動作は、ＶＸＬＡＮパケットをデカプセル化した後、ローカル監視サーバに送信することである。

従って、上記のステップＳ２０１〜ステップＳ２０３を通じて、被監視ホストがアクセスしておらず且つ監視サーバがアクセスしていないＶＴＥＰは、第２フォワーディングエントリのみを配置し、被監視ホストがアクセスしておらず且つ監視サーバがアクセスしたＶＴＥＰは、第２フォワーディングエントリを配置すべきであるばかりではなく、さらに、第３フォワーディングエントリも配置すべきである。

ここに至って、被監視ホストがアクセスしており且つ監視サーバがアクセスしていないＶＴＥＰは、第１フォワーディングエントリを配置する。被監視ホストアクセスがアクセスしており且つ監視サーバがアクセスしたＶＴＥＰは、第１フォワーディングエントリ及び第３フォワーディングエントリを配置する。被監視ホストがアクセスしておらず且つ監視サーバがアクセスしていないＶＴＥＰは、第２フォワーディングエントリを配置する。被監視ホストがアクセスしておらず且つ監視サーバがアクセスしたＶＴＥＰは、第２フォワーディングエントリ及び第３フォワーディングエントリを配置する。

図６を参照すると、図６は、本開示の例示的な一実施例が示すＶＴＥＰがパケットを受信した後、当該パケットをフォワーディングする処理フのローチャートである。

ステップＳ３０１で、ＶＴＥＰは、パケットを受信する。

ステップＳ３０２で、ＶＴＥＰは、当該パケットの類型を確定する。

当該パケットがローカルの被監視ホストからのユーザパケットである場合、フローはステップＳ３０３まで行われる。ステップＳ３０３で、ＶＴＥＰは、マッチした第１フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信する。

当該パケットがローカルホストから被監視ホストに送信したユーザパケットである場合、フローはステップＳ３０４まで行われる。ステップＳ３０４で、ＶＴＥＰは、マッチする第２フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信する。

当該パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ監視サーバの識別子を担持する場合、フローはステップＳ３０５まで行われる。ステップＳ３０５で、ＶＴＥＰは、マッチする第３フォワーディングエントリに基づいて、前記ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信する。

ＶＴＥＰが、被監視ホストがアクセスしたＶＴＥＰである場合、ステップＳ３０２で、ＶＴＥＰは、当該パケットが当該第１フォワーディングエントリにヒットするか否かを判断することにより、当該パケットの類型を確定する。当該パケットが当該第１フォワーディングエントリにヒットする場合、ＶＴＥＰは、当該パケットはローカルの被監視ホストからのユーザパケットであることを確定し、ステップＳ３０３における操作を実行する。

ステップＳ３０３で、監視サーバのＩＤとミラーリングパケットとのＶＸＬＡＮカプセル化を実行し、カプセル化して得たＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信する。

ＶＴＥＰが、被監視ホストがアクセスしていないＶＴＥＰである場合、ステップＳ３０２で、ＶＴＥＰは、当該パケットが第２フォワーディングエントリにヒットするか否かを判断することにより、当該パケットの類型を確定する。当該パケットが当該第２フォワーディングエントリにヒットする場合、ＶＴＥＰは、当該パケットはローカルホストからのユーザパケットであることを確定し、ステップＳ３０４における操作を実行する。

ステップＳ３０４で、ミラーリングパケットのＶＸＬＡＮカプセル化を実行する時、監視サーバのＩＤとミラーリングパケットとのＶＸＬＡＮカプセル化を実行し、カプセル化して得たＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信する。

ＶＴＥＰが、監視サーバがアクセスしたＶＴＥＰである場合、ステップＳ３０２で、ＶＴＥＰは、当該パケットが第３フォワーディングエントリにヒットするか否かを判断することにより、当該パケットの類型を確定する。当該パケットが当該第３フォワーディングエントリにヒットする場合、ＶＴＥＰは、当該パケットはリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ監視サーバの識別子を担持することを確定することができ、ステップＳ３０５における操作を実行する。

実際の実施において、ステップＳ３０２で、ＶＴＥＰは、パケットの類型を確定する時、先ず、当該パケットがユーザパケットであるかＶＸＬＡＮパケットであるかを判断する。例えば、ＶＴＥＰは、当該パケットを受信したポートがユーザー側ポートであるかパブリックネットワーク側ポートであるかを確定する。ポートがユーザー側ポートである場合、当該パケットは仮想マシンから送信したユーザパケットであることを示す。ポートがパブリックネットワーク側ポートである場合、当該パケットはＶＸＬＡＮトンネルを介して受信したＶＸＬＡＮパケットであることを示す。そして、ＶＴＥＰは、受信したユーザパケット又はＶＸＬＡＮパケットをローカルフォワーディングエントリとマッチする。

本開示の例において、被監視ホストと同一ＶＴＥＰにアクセスしたローカルホストが当該被監視ホストにパケットを送信する場合も存在する。図７と結び付けて、当該場合においてＶＴＥＰがユーザパケットを受信した後に実行される操作を記述する。

ステップＳ４０１で、ＶＴＥＰは、ユーザパケットを受信した後、ユーザパケットのソースアドレスを第１フォワーディングエントリとマッチする。

ステップＳ４０２で、ＶＴＥＰは、当該第１フォワーディングエントリにヒットするか否かを判断する。そうである場合、ユーザパケットはローカルの被監視ホストからのユーザパケットであることを確定し、ステップＳ４０３を実行する。そうでない場合、ステップＳ４０４を実行する。

ステップＳ４０３で、ＶＴＥＰは、マッチする第１フォワーディングエントリに基づいて、当該ユーザパケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信する。その後、本フローを退出する。

ステップＳ４０３で、監視サーバのＩＤとミラーリングパケットとのＶＸＬＡＮカプセル化を実行し、カプセル化したＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信する。

ステップＳ４０４で、ＶＴＥＰは、当該ユーザパケットの宛先アドレスを第２フォワーディングエントリとマッチする。

ステップＳ４０５で、ＶＴＥＰは、当該第２フォワーディングエントリにヒットするか否かを判断する。そうである場合、ユーザパケットはローカルホストからのユーザパケットであることを確定し、ステップＳ４０６を実行する。そうでない場合、本フローを退出する。

ステップＳ４０６で、ＶＴＥＰは、マッチする第２フォワーディングエントリの執行動作に基づいて、当該ユーザパケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信する。

ステップＳ４０６で、監視サーバのＩＤとミラーリングパケットとのＶＸＬＡＮカプセル化を実行し、カプセル化して得たＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信する。

従って、上記のステップＳ４０１〜ステップＳ４０６を通じて、被監視ホストがアクセスしたＶＴＥＰは、被監視ホストが送信したユーザパケットをミラーリングした後、ミラーリングパケットを、ＶＸＬＡＮトンネルを介して監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、当該ユーザパケットのミラーリングパケットをローカル監視サーバに送信する。ＶＴＥＰは、ローカルホストから被監視ホストに送信したユーザパケットのミラーリングパケットを、ＶＸＬＡＮトンネルを介して監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、当該ユーザパケットのミラーリングパケットをローカル監視サーバに送信する。

ＶＴＥＰがＶＸＬＡＮパケットを受信した後に実行するステップは、図８に示すようである。

ステップＳ５０１で、ＶＴＥＰは、ＶＸＬＡＮパケットを受信した後、当該ＶＸＬＡＮパケットを第３フォワーディングエントリとマッチする。

ステップＳ５０２で、ＶＴＥＰは、当該ＶＸＬＡＮパケットが第３フォワーディングエントにヒットするか否かを判断する。そうである場合、当該ＶＸＬＡＮパケットはリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ監視サーバの識別子を担持することを確定し、ステップＳ５０３を実行する。そうでない場合、本フローを退出する。

ステップＳ５０３で、ＶＴＥＰは、マッチする第３フォワーディングエントリに基づいて、当該ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信する。

具体的には、ステップＳ５０３で、ＶＴＥＰは、当該ＶＸＬＡＮパケットをデカプセル化し、デカプセル化して得たユーザパケットを、本ＶＴＥＰ上の当該監視サーバを接続するユーザポートを介して当該監視サーバにフォワーディングし、従って、当該監視サーバにより当該ユーザパケットを監視する。

上記の実施例の方法において、被監視ホストが接続したＶＴＥＰは、被監視ホストが送信するユーザパケットを受信した後、マッチする第１フォワーディングエントリの執行動作に基づいて、当該ユーザパケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、当該ユーザパケットのミラーリングパケットをローカル監視サーバに送信する。被監視ホストがアクセスしていないＶＴＥＰは、ローカルホストから被監視ホストに送信したユーザパケットを受信した後、マッチする第２フォワーディングエントリの執行動作に基づいて、当該ユーザパケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、当該ユーザパケットのミラーリングパケットをローカル監視サーバに送信する。当該ユーザパケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、監視サーバ識別子を担持する。監視サーバがアクセスしたＶＴＥＰは、リモートＶＴＥＰから送信され且つ監視サーバ識別子を担持するＶＸＬＡＮパケットを受信した後、マッチした第３フォワーディングエントリの執行動作に基づいて、当該ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信する。従って、被監視ホストから送信したパケット及び被監視ホストに送信するパケットに対する監視を実現する。

上記の方法において、制御器により監視を行う必要がなく、制御器が監視サーバから監視結果を取得すれば良い。従って、制御器のＣＰＵ資源を節約し、制御器の性能を向上する。

注意すべきことは、実際の実施過程において、ＶＴＥＰは、被監視ホストによりアクセスされたＶＴＥＰとしてあっても良いし、被監視ホストによりアクセスされていないＶＴＥＰとしてあっても良いし、なお、監視サーバがアクセスしたＶＴＥＰとしてあっても良い。当該ＶＴＥＰが異なる役割のＶＴＥＰとしてある時、相応する操作を実行する。

ＳＤＮでＶＭの移行が発生することが可能であるため、被監視ホストの移行が発生した時、ＶＴＥＰは、当該被監視ホストが本ＶＴＥＰに移入したことを検出した後、ＢＧＰパケットを通じて当該ＶＭの所属するＶＸＬＡＮ内のすべてのリモートＶＴＥＰに被監視ホストのアドレスを送信する。且つ、ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルールにおいてパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第２フォワーディングエントリを、マッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリにアップデートする。

リモートＶＴＥＰ（即ち、被監視ホストが現在アクセスしていないＶＴＥＰ）は、当該被監視ホストのアドレスを担持するＢＧＰパケットを受信した後、当該被監視ホストが本ＶＴＥＰから移出したか否かを判断する。当該被監視ホストが本ＶＴＥＰから移出したことが判断された時、当該リモートＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリを検索し、検索された第１フォワーディングエントリを、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートする。従って、当該リモートＶＴＥＰは、当該被監視ホストがアクセスしていないＶＴＥＰになる。

被監視ホストが本ＶＴＥＰに移入したことを検出する具体的な方法は、次の通りである。ＶＴＥＰは、ＶＭが移行した後送信した当該ＶＭのアドレスを担持するＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ、アドレス解決プロトコル）パケットを受信した後、ローカルに保存された監視配置情報に基づいて、当該ＶＭは被監視ホストであることを確定し、且つ、当該ＭＡＣアドレスに対応するＭＡＣエントリをアップデートする。この時、ＶＴＥＰは、当該ＭＡＣアドレスが、アップデート前にＶＸＬＡＮトンネルに対応し、且つ、当該ＭＡＣアドレスが、アップデート後にローカルユーザポートに対応することを発見した場合、当該被監視ホストが本ＶＴＥＰに移入したことを確定する。

被監視ホストが本ＶＴＥＰから移出したことを判断する具体的な方法は、次の通りである。ＶＴＥＰは、ＶＭのアドレスを担持するＢＧＰパケットを受信した後、ローカルに保存された監視配置情報に基づいて、当該ＶＭが被監視ホストであることを確定し、且つ、当該ＭＡＣアドレスに対応するＭＡＣエントリをアップデートする。この時、ＶＴＥＰは、当該ＭＡＣアドレスがアップデート前にローカルユーザポート対応し、且つ当該ＭＡＣアドレスがアップデート後にＶＸＬＡＮトンネルに対応することを発見した場合、当該被監視ホストが本ＶＴＥＰから移出したことを確定する。

また、監視サーバの移行が発生した時、ＶＴＥＰは、監視サーバが本ＶＴＥＰに移入したことを検出した後、ＢＧＰパケットを通じて当該監視サーバの所属するＶＸＬＡＮ内のすべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信し、ローカルに保存された監視配置情報に基づいて、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認する。そして、ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し。そして、ＶＴＥＰは、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットをローカル当該監視サーバに送信することにアップデートする。ＶＴＥＰは、ローカルフォワーディングテーブルに第３フォワーディングエントリを配置する。マッチングルールにおける監視サーバ識別子は、本ＶＴＥＰに移入した当該監視サーバの識別子である。

リモートＶＴＥＰ（即ち、監視サーバが現在アクセスしていないＶＴＥＰ）は、当該監視サーバのアドレスを担持するＢＧＰパケットを受信した後、図９に示すような操作を実行する。

ステップＳ６０１で、ＶＴＥＰは、ローカルに保存された監視配置情報に基づいて、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認する。

ステップＳ６０２で、ＶＴＥＰは、当該監視サーバが本ＶＴＥＰから移出したか否かを判断する。そうである場合、ステップＳ６０３及びS５０４を実行する。そうでない場合、ステップＳ６０５を実行する。

ステップＳ６０３で、ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したＶＴＥＰに送信することにアップデートする。

ステップＳ６０４で、ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルールにおいて当該監視サーバの識別子を含む第３フォワーディングエントリを検索し、当該第３フォワーディングエントリを削除する。

ステップＳ６０５で、ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したＶＴＥＰに送信することにアップデートする。

監視サーバが本ＶＴＥＰに移入したことを検出する具体的な方法は、次の通りである。ＶＭが移行した後送信した当該ＶＭのアドレスを担持するＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ、アドレス解決プロトコル）パケットを受信した後、ローカルに保存された監視配置情報に基づいて、当該ＶＭが監視サーバであることを確定し、且つ、当該ＭＡＣアドレスに対応するＭＡＣエントリをアップデートする。この時、当該ＭＡＣアドレスが、アップデート前にＶＸＬＡＮトンネルに対応し、且つ、当該ＭＡＣアドレスが、アップデート後にローカルユーザポートに対応することを発見した場合、当該被監視ホストは本ＶＴＥＰに移入したことを確定する。

監視サーバが本ＶＴＥＰから移出したことを判断する具体的な方法は、次の通りである。ＶＭのアドレスを担持するＢＧＰパケットを受信した後、ローカルに保存された監視配置情報に基づいて、当該ＶＭが監視サーバであることを確定し、且つ、当該ＭＡＣアドレスに対応するＭＡＣエントリをアップデートする。この時、当該ＭＡＣアドレスがアップデート前にローカルユーザポートに対応し、且つ、当該ＭＡＣアドレスが、アップデート後にＶＸＬＡＮトンネルに対応することを発見した場合、当該監視サーバは本ＶＴＥＰから移出したことを確定する。

上記の実施例の方法において、被監視ホスト及び監視サーバの移行が発生した時、各ＶＴＥＰは、動的に本ＶＴＥＰ上の第１フォワーディングエントリ、第２フォワーディングエントリ及び第３フォワーディングエントリをアップデートする。従って、被監視ホスト及び監視サーバの移行が発生した時のパケット監視を実現する。

図１に示すようなＳＤＮを例として説明すると、当該ＳＤＮにＥＶＰＮ技術が応用される。ＶＭ２１０〜ＶＭ２４０は、同じくＶＸＬＡＮ１に属し、ＶＴＥＰ１０４は、１つの監視サーバＳＥＲＶ２１に接続され、ＶＴＥＰ１０１〜ＶＴＥＰ１０４のうちいずれか二つのＶＴＥＰの間にＶＸＬＡＮトンネルが構築されている。制御器１００と各ＶＴＥＰの間に、監視配置情報を伝送するためのＮＥＴＣＯＮＦプロトコル接続が確立されている。ＳＥＲＶ２１のＩＤは、ＨＯＳＴＩＤ１である。各ＶＭのＭＡＣアドレスは、ＶＭ-ＭＡＣで表され、ＩＰアドレスは、ＶＭ-ＩＰで表され、各ＶＴＥＰのＭＡＣアドレスは、ＶＴＥＰ-ＭＡＣで表され、ＩＰアドレスは、ＶＴＥＰ-ＩＰで表される。

制御器１００は、ＮＥＴＣＯＮＦプロトコルを通じてＶＴＥＰ１０１に監視配置情報を送信する。当該監視配置情報は、被監視ホストＶＭ２１０のＭＡＣアドレスと、被監視ホストＶＭ２１０のＩＰアドレスと、被監視ホストＶＭ２１０が所属するＶＸＬＡＮと、監視サーバＳＥＲＶ２１のＭＡＣアドレと、監視サーバＳＥＲＶ２１のＩＰアドレスと、ＨＯＳＴＩＤ１を含む。

ＶＴＥＰ１０１は、当該監視配置情報を受信した後、当該監視配置情報を保存し、ローカルフォワーディングテーブルに表１-１の２行目に示すような第１フォワーディングエントリを配置し、当該監視配置情報を、ＢＧＰパケットを通じてＶＸＬＡＮ１内のＶＴＥＰ１０２〜ＶＴＥＰ１０４に送信する。

ＶＴＥＰ１０２及びＶＴＥＰ１０３は、ＢＧＰパケットを通じて当該監視配置情報を受信した後、当該監視配置情報を保存し、ローカルフォワーディングテーブルに表２-１の２行目に示すような第２フォワーディングエントリを配置する。ＶＴＥＰ１０４は、ＢＧＰパケットを通じて当該監視配置情報を受信した後、当該監視配置情報を保存し、ローカルフォワーディングテーブルに表３-１の２行目に示すような第２フォワーディングエントリ及び表３-１の３行目に示すような第３フォワーディングエントリを配置する。

ＶＭ２１０は、ＶＭ２３０をアクセスしようとする時、ソースＩＰアドレスがＶＭ２１０-ＩＰであり且つ宛先ＩＰアドレスがＶＭ２３０-ＩＰであるユーザパケットを送出する。ＶＴＥＰ１０１は、当該ユーザパケットを受信した後、一方では、当該ユーザパケットの宛先ＩＰアドレスに基づいてテーブルで検査してフォワーディングすることで、当該ユーザパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットをＶＴＥＰ１０３にフォワーディングし、また一方では、当該ユーザパケットを表１-１の２行目に示すような第１フォワーディングエントリとマッチする。その結果、当該第１フォワーディングエントにヒットする場合、当該ユーザパケットをミラーリングした後、ＨＯＳＴＩＤ１とミラーリングパケットとのＶＸＬＡＮカプセル化を実行し、カプセル化して得たＶＸＬＡＮパケットをＶＴＥＰ１０４に送信する。

ＶＴＥＰ１０４は、当該ＶＸＬＡＮパケットを受信した後、当該ＶＸＬＡＮパケットを表３-１の３行目に示すような第３フォワーディングエントとマッチし、その結果、当該第３フォワーディングエントリにヒットする場合、当該ＶＸＬＡＮパケットをデカプセル化してユーザパケットを取得し、当該ユーザパケットをＳＥＲＶ２１に送信し、ＳＥＲＶ２１により当該ユーザパケットに対して監視を行う。

ＶＴＥＰ１０３は、ＶＸＬＡＮパケットを受信した後、デカプセル化してユーザパケットを取得し、当該ユーザパケットをＶＭ２３０にフォワーディングする。ＶＭ２３０は、当該ユーザパケットを受信した後、応答として、ソースＩＰアドレスがＶＭ２３０-ＩＰであり且つ宛先ＩＰアドレスがＶＭ２１０-ＩＰであるユーザパケットを送信する。ＶＴＥＰ１０３は、当該ユーザパケットを受信した後、一方では、当該ユーザパケットの宛先ＩＰアドレスに基づいてテーブルで検査してフォワーディングすることで、当該ユーザパケットのＶＸＬＡＮカプセル化を実行した後、カプセル化して得たＶＸＬＡＮパケットをＶＴＥＰ１０１にフォワーディングし、また一方では、当該ユーザパケットを表２-１の２行目に示すような第２フォワーディングエントリとマッチし、その結果、当該第２フォワーディングエントリにヒットする場合、当該ユーザパケットをミラーリングし、ＨＯＳＴＩＤ１とミラーリングパケットとＶＸＬＡＮを共にカプセル化した後、ＶＸＬＡＮパケットをＶＴＥＰ１０４に送信する。

ＶＴＥＰ１０４は、当該ＶＸＬＡＮパケットを受信した後、当該ＶＸＬＡＮパケットを表３-１の３行目に示すような第３フォワーディングエントリとマッチし、その結果、当該第３フォワーディングエントリにヒットする場合、当該ＶＸＬＡＮパケットをデカプセル化してユーザパケットを取得し、当該ユーザパケットをＳＥＲＶ２１に送信し、ＳＥＲＶ２１により当該ユーザパケットに対して監視を行う。

上記の過程に従って、ＳＥＲＶ２１は、ＶＭ２１０から送信するユーザパケット及びＶＭ２１０に送信するユーザパケットに対する監視を実現する。制御器は、定期的にＳＥＲＶ２１から監視結果を取得すれば良い。

その後、ＶＭ２１０がＶＴＥＰ１０１からＶＴＥＰ１０２に移入した時、図１０に示すように、ＶＴＥＰ１０２は、ＶＭ２１０が本ＶＴＥＰに移入したことを検出した後、ローカルに保存された監視配置情報に基づいてＶＭ２１０は被監視ホストであることを確定する場合、ＢＧＰパケットを通じてＶＴＥＰ１０１、ＶＴＥＰ１０３及びＶＴＥＰ１０４にＶＭ２１０のＭＡＣアドレスＶＭ２１０-ＭＡＣ及びＩＰアドレスＶＭ２１０-ＩＰを送信し、且つ、表２-１の２行目に示すような第２フォワーディングエントリを、マッチングルール中のパケットのソースアドレスがＶＭ２１０のＩＰアドレスＶＭ２１０-ＩＰである第１フォワーディングエントリにアップデートする。当該第１フォワーディングエントリは、表２-２の２行目に示すようである。

ＶＴＥＰ１０１は、ＶＴＥＰ１０２がＢＧＰパケットを通じて送信したＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを受信した後、ローカルに保存された監視配置情報に基づいてＶＭ２１０は被監視ホストであることを確定する場合、ＶＭ２１０が本ＶＴＥＰから移出したことを判断した時、如表１-１の２行目に示すような第１フォワーディングエントリを、マッチングルール中のパケットの宛先アドレスがＶＭ２１０-ＩＰであることである第２フォワーディングエントリにアップデートする。当該第２フォワーディングエントリは、表１-２の２行目に示すようである。

ＶＴＥＰ１０３及びＶＴＥＰ１０４は、ＶＴＥＰ１０２がＢＧＰパケットを通じて送信したＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを受信した後、ローカルに保存された監視配置情報に基づいて、ＶＭ２１０が被監視ホストであることを確定する。然しながら、ＶＭ２１０は本ＶＴＥＰから移出していないことを判断した場合には、第２フォワーディングエントリをアップデートしない。

図１１に示すように、監視サーバＳＥＲＶ２１がＶＴＥＰ１０４からＶＴＥＰ１０３に移入した時、ＶＴＥＰ１０３は、ＳＥＲＶ２１が本ＶＴＥＰに移入したことを検出する。その後、ローカルに保存された監視配置情報に基づいて、ＳＥＲＶ２１が監視サーバであることを確定し、ＳＥＲＶ２１のＩＤがＨＯＳＴＩＤ１であること、並びに対応する被監視ホストＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを確定する。そして、ＢＧＰパケットを通じてＶＴＥＰ１０１、ＶＴＥＰ１０２、ＶＴＥＰ１０４にＳＥＲＶ２１のアドレスを送信し、且つ、如表２-１の２行目に示すような第２フォワーディングエントリを表４-１の２行目に示すようにアップデートする。また、ＶＴＥＰ１０３は、さらに、ローカルフォワーディングテーブルに表４-１の３行目に示すような第３フォワーディングエントリを配置する。

ＶＴＥＰ１０４は、ＶＴＥＰ１０３がＢＧＰパケットを通じて送信したＳＥＲＶ２１のアドレスを受信する。その後、ローカルに保存された監視配置情報に基づいて、ＳＥＲＶ２１は監視サーバであることを確定し、ＳＥＲＶ２１のＩＤはＨＯＳＴＩＤ１であること、並びに対応する被監視ホストＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを確定する。そして、ＶＴＥＰ１０４は、ＳＥＲＶ２１は本ＶＴＥＰから移出したことを判断した時、表３-１の２行目に示すような第２フォワーディングエントリを、表３-２の２行目に示すようにアップデートし、且つ、表３-１の３行目に示すような第３フォワーディングエントリを削除する。

ＶＴＥＰ１０１は、ＶＴＥＰ１０３がＢＧＰパケットを通じて送信したＳＥＲＶ２１のアドレスを受信する。その後、ローカルに保存された監視配置情報に基づいて、ＳＥＲＶ２１は監視サーバであることを確定し、ＳＥＲＶ２１のＩＤはＨＯＳＴＩＤ１であること、並びに対応する被監視ホストＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを確定する。そして、ＶＴＥＰ１０１は、ＳＥＲＶ２１は本ＶＴＥＰから移出していないことを判断した時、表１-２の２行目に示すような第２フォワーディングエントリを、表１-３の２行目に示すようにアップデートする。

ＶＴＥＰ１０２は、ＶＴＥＰ１０３がＢＧＰパケットを通じて送信したＳＥＲＶ２１のアドレスを受信する。その後、ローカルに保存された監視配置情報に基づいて、ＳＥＲＶ２１は監視サーバであることを確定し、ＳＥＲＶ２１のＩＤはＨＯＳＴＩＤ１であること、並びに対応する被監視ホストＶＭ２１０のＭＡＣアドレス及びＩＰアドレスを確定する。そして、ＶＴＥＰ１０２は、ＳＥＲＶ２１は本ＶＴＥＰから移出していないことを判断した時、表２-２の２行目に示すような第１フォワーディングエントリを、表２-３の２行目に示すようにアップデートする。

前述のパケット監視方法の実施例に対応して、本開示は、当該パケット監視方法に応用されるＶＴＥＰの実施例を更に提供する。

図１２は、本開示の例が提供するＶＴＥＰのハードウェア構造の模式図である。当該ＶＴＥＰは、プロセッサ１２０１と、機械実行可能命令が記憶されている機械可読記憶媒体１２０２とを含む。プロセッサ１２０１と機械可読記憶媒体１２０２とは、システムバス１２０３を介して通信する。また、機械可読記憶媒体１２０２内のパケット監視ロジックに対応する機械実行可能命令を読み込んで実行することにより、プロセッサ１２０１は、上述したパケット監視方法を実行する。

本文で言及される機械可読記憶媒体１２０２は、いかなる電子、磁気、光学又は他の物理的な記憶装置であって良いし、例えば、実行可能命令、データ等の情報を格納又は記憶する。例えば、機械可読記憶媒体は、ＲＡＭ（ＲａｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ、ランダムアクセスメモリ）、揮発性メモリ、不揮発性メモリ、フラッシュメモリ、記憶ドライブ（例えば、ハードディスクドライバ）、ソリッドステートドライブ、いかなる類型の記憶ディスク（例えば、コンパクトディスク、ｄｖｄ等）、或いは、類似した記憶媒体又はそれらの組み合わせであって良い。

図１３を参考すると、機能的に分けて、上記のパケット監視ロジックは、受信モジュール１３０１と、カプセル化送信モジュール１３０２と、デカプセル化送信モジュール１３０３とを含む。

この場合、受信モジュール１３０１は、パケットを受信するために用いられる。

カプセル化送信モジュール１３０２は、若受信モジュール１３０１が受信したパケットがローカルの被監視ホストからのユーザパケットである場合、マッチする第１フォワーディングエントリの執行動作に基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信するために用いられる。カプセル化送信モジュール１３０２は、さらに、受信モジュール１３０１が受信したパケットがローカルホストから被監視ホストに送信したユーザパケットである場合、マッチする第２フォワーディングエントリの執行動作に基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信するために用いられる。ＶＸＬＡＮカプセル化して得たミラーリングパケットは、監視サーバ識別子を担持する。

デカプセル化送信モジュール１３０３は、受信モジュール１３０１が受信したパケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ監視サーバ識別子を担持する場合、マッチする第３フォワーディングエントリの執行動作に基づいて、当該ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信するために用いられる。

ここで、ローカルの被監視ホストからのユーザパケットのソースアドレスは、マッチする第１フォワーディングエントリのマッチングルールにおけるパケットのソースアドレスと同一である。ローカルホストから被監視ホストに送信したユーザパケットの宛先アドレスは、マッチする第２フォワーディングエントリのマッチングルールにおけるパケットの宛先アドレスと同一である。ＶＸＬＡＮパケットが担持する監視サーバ識別子は、マッチする第３フォワーディングエントリのマッチングルールにおける監視サーバ識別子と同一である。

図１４に示すように、上記のパケット監視ロジックは、配置モジュール１４０４と、情報送信モジュール１４０５とを更に含む。

この場合、受信モジュール１３０１は、さらに、本ＶＴＥＰが被監視ホストがアクセスしたＶＴＥＰである場合、制御器から送信した、少なくとも被監視ホストのアドレスと、被監視ホストが所属するＶＸＬＡＮ識別子と、監視サーバのアドレスと、監視サーバ識別子とを含む監視配置情報を受信するために用いられる。受信モジュール１３０１は、さらに、本ＶＴＥＰが被監視ホストによりアクセスされていないＶＴＥＰである場合、リモートＶＴＥＰから送信した監視配置情報を受信するために用いられる。受信モジュール１３０１は、さらに、本ＶＴＥＰが監視サーバがアクセスしたＶＴＥＰである場合、リモートＶＴＥＰから送信した監視配置情報を受信するために用いられる。

配置モジュール１４０４は、受信モジュール１３０１が制御器から送信した監視配置情報を受信した後、ローカルフォワーディングテーブルに第１フォワーディングエントリを配置するために用いられる。配置モジュール１４０４は、さらに、本ＶＴＥＰが被監視ホストによりアクセスされていないＶＴＥＰである場合、受信モジュール１３０１がリモートＶＴＥＰから送信した監視配置情報を受信した後、ローカルフォワーディングテーブルに第２フォワーディングエントリを配置するために用いられる。配置モジュール１４０４は、さらに、本ＶＴＥＰが監視サーバがアクセスしたＶＴＥＰである場合、受信モジュール１３０１がリモートＶＴＥＰから送信した監視配置情報を受信した後、ローカルフォワーディングテーブルに第３フォワーディングエントリを配置するために用いられる。

情報送信モジュール１４０５は、モジュール１３０１が制御器から送信した監視配置情報を受信した後、当該監視配置情報をすべてのリモートＶＴＥＰに送信するために用いられる。

図１４に示すように、上記のパケット監視ロジックは、検索アップデートモジュール１４０６を更に含む。

この場合、情報送信モジュール１４０５は、さらに、被監視ホストが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに被監視ホストのアドレスを送信するために用いられる。

検索アップデートモジュール１４０６は、被監視ホストが本ＶＴＥＰに移入したことを検出した後、ローカルフォワーディングテーブルでマッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第２フォワーディングエントリを、マッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリにアップデートするために用いられる。

図１４に示すように、上記のパケット監視ロジックは、判断モジュール１４０７を更に含む。

この場合、受信モジュール１３０１は、さらに、リモートＶＴＥＰから送信した被監視ホストのアドレスを受信するために用いられる。

判断モジュール１４０７は、受信モジュール１３０１がリモートＶＴＥＰから送信した被監視ホストのアドレスを受信した後、当該被監視ホストが本ＶＴＥＰから移出したか否かを判断するために用いられる。

検索アップデートモジュール１４０６は、判断モジュール１４０６の判断結果が、当該被監視ホストは本ＶＴＥＰから移出したことである場合、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリを検索し、検索された第１フォワーディングエントリを、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートするために用いられる。

図１５に示すように、上記のパケット監視ロジックは、確認モジュール１５０８を更に含む。

この場合、情報送信モジュール１４０５は、さらに、監視サーバが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信するために用いられる。

確認モジュール１５０８は、監視サーバが本ＶＴＥＰに移入したことを検出した後、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するために用いられる。

検索アップデートモジュール１４０６は、確認モジュール１５０８が当該監視サーバに対応する被監視ホストのアドレスを確認した後、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットをローカル当該監視サーバに送信することにアップデートするために用いられる。

配置モジュール１４０４は、さらに、確認モジュール１５０８が当該監視サーバに対応する当該監視サーバの識別子を確認した後、ローカルフォワーディングテーブルに第３フォワーディングエントリを配置ために用いられ、マッチングルールにおける監視サーバ識別子は、本ＶＴＥＰに移入した当該監視サーバの識別子である。

この場合、受信モジュール１３０１は、さらに、リモートＶＴＥＰから送信した監視サーバのアドレスを受信するために用いられる。

確認モジュール１５０８は、受信モジュール１３０１がリモートＶＴＥＰから送信した監視サーバのアドレスを受信した後、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するために用いられる。

判断モジュール１４０７は、受信モジュール１３０１がリモートＶＴＥＰから送信した監視サーバのアドレスを受信した後、当該監視サーバが本ＶＴＥＰから移出したか否かを判断するために用いられる。

検索アップデートモジュール１４０６は、判断モジュール１４０７の判断結果が、当該監視サーバは本ＶＴＥＰから移出したことである場合、確認モジュール１５０８が当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認した後、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートし、ローカルフォワーディングテーブルでマッチングルール中の当該監視サーバの識別子を含む第３フォワーディングエントリを検索し、当該第３フォワーディングエントリを削除するために用いられる。検索アップデートモジュール１４０６、さらに、判断モジュール１４０７の判断結果が、当該監視サーバは本ＶＴＥＰから移出していないことである場合、確認モジュール１５０８が当該監視サーバに対応する被監視ホストのアドレスを確認した後、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートするために用いられる。

上記の装置における各ユニットの機能及び作用の具体的な実現過程の詳細は、上記の方法における対応するステップの実現過程を参照し、ここでは繰り返し説明しないことにする。

装置実施例は、基本的に方法実施例に対応するため、関連箇所は、方法実施例の部分の説明を参照すれば良い。以上記述された装置実施例は、単に模式的なものであり、その中で記載された分離部品として説明されたユニットは、物理的に分かれていてもいなくても良く、ユニットとして表示された部品は、物理ユニットであってもなくても良く、即ち、一つの場所に位置しても良く、或いは、複数のネットワークユニットに分布されても良い。実際の必要に応じてそのうち一部又は全部のモジュールを選んで本開示の方案の目的を実現することができる。本分野における通常の知識を有する者は、創造的労働をせずに理解及び実施することができる。

上記のものは、単に本開示の好ましい実施例であり、本開示を制限するために用いられず、本開示の精神及び原則の範囲内でなされるいかなる修正、均等物による置換、改善等は、いずれも本開示の保護の範囲内に含まれるべきである。

Claims

パケット監視方法であって、
仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイントＶＴＥＰは、パケットを受信するステップと、
前記パケットがローカルの被監視ホストからのユーザパケットである場合、前記ＶＴＥＰは、前記パケットとマッチする第１フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカルの監視サーバに送信するステップと、
前記パケットがローカルホストから前記被監視ホストに送信したユーザパケットである場合、前記ＶＴＥＰは、前記パケットとマッチする第２フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信するステップと、
前記パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ前記監視サーバの識別子を担持する場合、前記ＶＴＥＰは、前記パケットとマッチする第３フォワーディングエントリに基づいて、前記ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信するステップと、
を含むことを特徴とする方法。
前記ローカルの被監視ホストからのユーザパケットのソースアドレスは、前記第１フォワーディングエントリのマッチングルール中のパケットのソースアドレスと同一であり、
前記ローカルホストから前記被監視ホストに送信したユーザパケットの宛先アドレスは、前記第２フォワーディングエントリのマッチングルール中のパケットの宛先アドレスと同一であり、
前記ＶＸＬＡＮパケットが担持する前記監視サーバの識別子は、前記第３フォワーディングエントリのマッチングルールにおける監視サーバの識別子と同一であることを特徴とする請求項１に記載の方法。
前記被監視ホストがアクセスしたＶＴＥＰは、制御器から送信した監視配置情報を受信し、ローカルフォワーディングテーブルに前記第１フォワーディングエントリを配置し、前記監視配置情報をすべてのリモートＶＴＥＰに送信するステップと、
前記被監視ホストがアクセスしていないＶＴＥＰは、リモートＶＴＥＰから送信した前記監視配置情報を受信し、ローカルフォワーディングテーブルに前記第２フォワーディングエントリを配置するステップと、
前記監視サーバがアクセスしたＶＴＥＰは、前記リモートＶＴＥＰから送信した前記監視配置情報を受信し、ローカルフォワーディングテーブルに前記第３フォワーディングエントリを配置するステップと、
を更に含み、
前記監視配置情報は、少なくとも、前記被監視ホストのアドレスと、前記被監視ホストが所属するＶＸＬＡＮ識別子と、前記監視サーバのアドレスと、前記監視サーバの識別子とを含むことを特徴とする請求項２に記載の方法。
前記ＶＴＥＰは、前記被監視ホストが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに前記被監視ホストのアドレスを送信するステップと、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと、
前記ＶＴＥＰは、検索された第２フォワーディングエントリを、マッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリにアップデートするステップと、
を更に含むことを特徴とする請求項３に記載の方法。
前記ＶＴＥＰは、リモートＶＴＥＰから送信した被監視ホストのアドレスを受信した後、当該被監視ホストが本ＶＴＥＰから移出したか否かを判断するステップと、
当該被監視ホストが本ＶＴＥＰから移出した場合、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリを検索するステップと、
前記ＶＴＥＰは、検索された第１フォワーディングエントリを、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートするステップと、
を更に含むことを特徴とする請求項３に記載の方法。
前記ＶＴＥＰは、前記監視サーバが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信するステップと、
前記ＶＴＥＰは、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するステップと、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと、
前記ＶＴＥＰは、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットを前記監視サーバに送信することにアップデートするステップと、
前記ＶＴＥＰは、ローカルフォワーディングテーブルに第３フォワーディングエントリを配置するステップと
を更に含み、
前記第３フォワーディングエントリにおけるマッチングルール中の監視サーバの識別子は、本ＶＴＥＰに移入した当該監視サーバの識別子であることを特徴とする請求項３に記載の方法。
前記ＶＴＥＰは、リモートＶＴＥＰから送信した監視サーバのアドレスを受信した後、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認するステップと、
前記ＶＴＥＰは、当該監視サーバが本ＶＴＥＰから移出したか否かを判断するステップと、
前記監視サーバが本ＶＴＥＰから移出した場合、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと、
前記ＶＴＥＰは、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートするステップと、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルールにおいて当該監視サーバの識別子を含む第３フォワーディングエントリを検索し、当該第３フォワーディングエントリを削除するステップと、
前記監視サーバが本ＶＴＥＰから移出していない場合、
前記ＶＴＥＰは、ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索するステップと、
前記ＶＴＥＰは、検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートするステップと、
を更に含むことを特徴とする請求項３に記載の方法。
仮想拡張可能ローカルエリアネットワークＶＸＬＡＮトンネルエンドポイントＶＴＥＰであって、
プロセッサと、
機械可読記憶媒体とを含み、
前記機械可読記憶媒体には、前記プロセッサにより実行可能な機械実行可能命令が記憶されており、前記プロセッサは、前記機械実行可能命令により、
パケットを受信し、
前記パケットがローカルの被監視ホストからのユーザパケットである場合、マッチする第１フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信し、
前記パケットがローカルホストから前記被監視ホストに送信したユーザパケットである場合、マッチする第２フォワーディングエントリに基づいて、パケットをミラーリングした後、ミラーリングパケットのＶＸＬＡＮカプセル化を実行し、ＶＸＬＡＮパケットを監視サーバがアクセスしたリモートＶＴＥＰに送信するか、或いは、ミラーリングパケットをローカル監視サーバに送信し、
前記パケットがリモートＶＴＥＰからのＶＸＬＡＮパケットであり、且つ前記監視サーバの識別子を担持する場合、マッチする第３フォワーディングエントリに基づいて、前記ＶＸＬＡＮパケットをデカプセル化した後、デカプセル化したパケットをローカル監視サーバに送信することを特徴とするＶＴＥＰ。
前記ローカルの被監視ホストからのユーザパケットのソースアドレスは、前記マッチする第１フォワーディングエントリのマッチングルールにおけるパケットのソースアドレスと同一であり、
前記ローカルホストから前記被監視ホストに送信したユーザパケットの宛先アドレスは、前記マッチする第２フォワーディングエントリのマッチングルールにおけるパケットの宛先アドレスと同一であり、
前記ＶＸＬＡＮパケットが担持する前記監視サーバの識別子と、前記マッチする第３フォワーディングエントリのマッチングルールにおける監視サーバの識別子は、同一であることを特徴とする請求項８に記載のＶＴＥＰ。
前記プロセッサは、前記機械実行可能命令により、
前記ＶＴＥＰが前記被監視ホストがアクセスしたＶＴＥＰとしてある場合、
制御器から送信した監視配置情報受信して保存し、ローカルフォワーディングテーブルに前記第１フォワーディングエントリを配置し、前記監視配置情報をすべてのリモートＶＴＥＰに送信し、
前記ＶＴＥＰが前記被監視ホストがアクセスしていないＶＴＥＰとしてある場合、
リモートＶＴＥＰから送信した前記監視配置情報を受信し、ローカルフォワーディングテーブルに前記第２フォワーディングエントリを配置し、
前記ＶＴＥＰが前記監視サーバがアクセスしたＶＴＥＰとしてある場合、
前記リモートＶＴＥＰから送信した前記監視配置情報を受信し、ローカルフォワーディングテーブルに前記第３フォワーディングエントリを配置し、
前記監視配置情報は、少なくとも、前記被監視ホストのアドレスと、前記被監視ホストが所属するＶＸＬＡＮ識別子と、前記監視サーバのアドレスと、前記監視サーバの識別子とを含むことを特徴とする請求項９に記載のＶＴＥＰ。
前記プロセッサは、前記機械実行可能命令により、
前記被監視ホストが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに前記被監視ホストのアドレスを送信し、
ローカルフォワーディングテーブルでマッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、
検索された第２フォワーディングエントリを、マッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。
前記プロセッサは、前記機械実行可能命令により、
リモートＶＴＥＰから送信した被監視ホストのアドレスを受信した後、当該被監視ホストが本ＶＴＥＰから移出したか否かを判断し、
当該被監視ホストが本ＶＴＥＰから移出した場合、
ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストアドレスである第１フォワーディングエントリを検索し、
検索された第１フォワーディングエントリを、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。
前記プロセッサは、前記機械実行可能命令により、
前記監視サーバが本ＶＴＥＰに移入したことを検出した後、すべてのリモートＶＴＥＰに当該監視サーバのアドレスを送信し、
当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認し、
ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、
検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットを前記監視サーバに送信することにアップデートし、
ローカルフォワーディングテーブルに第３フォワーディングエントリを配置し、
前記第３フォワーディングエントリにおけるマッチングルールにおける監視サーバの識別子は、本ＶＴＥＰに移入した当該監視サーバの識別子であることを特徴とする請求項１０に記載のＶＴＥＰ。
前記プロセッサは、前記機械実行可能命令により、
リモートＶＴＥＰから送信した監視サーバのアドレスを受信した後、当該監視サーバに対応する被監視ホストのアドレス及び当該監視サーバの識別子を確認し、
当該監視サーバが本ＶＴＥＰから移出したか否かを判断し、
前記監視サーバが本ＶＴＥＰから移出した場合、
ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、
検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートし、
ローカルフォワーディングテーブルでマッチングルール中の当該監視サーバの識別子を含む第３フォワーディングエントリを検索して削除し、
前記監視サーバが本ＶＴＥＰから移出していない場合、
ローカルフォワーディングテーブルでマッチングルール中のパケットのソースアドレスが当該被監視ホストのアドレスである第１フォワーディングエントリ、或いは、マッチングルール中のパケットの宛先アドレスが当該被監視ホストのアドレスである第２フォワーディングエントリを検索し、
検索された第１フォワーディングエントリ又は第２フォワーディングエントリの執行動作を、パケットをミラーリングして得たミラーリングパケットのＶＸＬＡＮカプセル化を実行した後、ＶＸＬＡＮパケットを当該監視サーバが移入したリモートＶＴＥＰに送信することにアップデートすることを特徴とする請求項１０に記載のＶＴＥＰ。