JP2021141399A - ネットワーク管理システム、ネットワーク管理装置、及びネットワーク管理プログラム - Google Patents

Abstract

【課題】ＶＭ内に配備されたコンテナのトラフィックのモニタリングにおいて、ミラーパケットを別のコンテナへ転送する。【解決手段】第１仮想スイッチは、第１ＶＭ内の第１コンテナが受信する受信パケット又は第１コンテナが送信する送信パケットのミラーパケットを送信する。第２仮想スイッチは、第１仮想スイッチからミラーパケットを受信して、ミラーパケットをモニタする第２コンテナを含む第２ＶＭへ転送する。記憶部は、ミラーパケットの宛先情報と第２コンテナに対応するアドレスとを対応付けて記憶する。第２ＶＭは、ミラーパケットを受信し、ミラーパケットの宛先情報に対するアドレス解決を要求する。第２仮想スイッチは、ミラーパケットの宛先情報と対応付けて記憶されている、第２コンテナに対応するアドレスを第２ＶＭへ送信する。そして、第２ＶＭは、第２コンテナに対応するアドレスを用いてミラーパケットを第２コンテナへ転送する。【選択図】図７

Description

本発明は、ネットワーク管理システム、ネットワーク管理装置、及びネットワーク管理プログラムに関する。

サーバ仮想化技術では、物理サーバ内でハイパーバイザと呼ばれる制御プログラムが動作し、ハイパーバイザ上で、仮想マシン（Virtual Machine，ＶＭ）と呼ばれる仮想サーバが動作する。物理サーバ内で動作するＶＭ間において、トラフィックのモニタリングを目的とするポートミラーリングが行われることがある。

図１は、ＶＭ間におけるポートミラーリングの例を示している。ホスト装置１０１は物理サーバであり、ホスト装置１０１内ではＶＭ１１１及びＶＭ１１２が動作している。ホスト装置１０１内の仮想スイッチ１２１は、仮想ポートであるｐｏｒｔ１及びｐｏｒｔ２を含む。ＶＭ１１１及びＶＭ１１２は、仮想ＮＩＣ（Network Interface Controller）であるｅｔｈ０を含む。

例えば、ＶＭ１１２がＶＭ１１１のトラフィックをモニタする場合、ＶＭ１１１のｅｔｈ０に接続されているｐｏｒｔ１を通過する入力パケット１３１又は出力パケット１３２がミラーリング対象となる。入力パケット１３１は、ＶＭ１１１が受信するパケットであり、出力パケット１３２は、ＶＭ１１１が送信するパケットである。ミラーリング対象は、入力パケット１３１又は出力パケット１３２のいずれか一方であってもよく、入力パケット１３１及び出力パケット１３２の両方であってもよい。

ポートミラーリングでは、ｐｏｒｔ１を通過するミラーリング対象のパケットをコピーすることでミラーパケットが生成され、生成されたミラーパケットがｐｏｒｔ２を介してＶＭ１１２へ転送される。

一方、コンテナ型仮想化技術では、物理サーバ内でコンテナエンジンと呼ばれる制御プログラムが動作し、コンテナエンジン上に、コンテナと呼ばれる仮想的なＯＳ（Operating System）空間が設けられる。コンテナは、アプリケーションと、アプリケーションが使用するライブラリとを含む。サーバ仮想化技術とコンテナ型仮想化技術とを組み合わせて、１つのＶＭ内に複数のコンテナを配備して動作させることも可能である。

コンテナ間をインターネットプロトコル（Internet Protocol，ＩＰ）ルーティングにより接続するオープンソースソフトウェアとして、Ｃａｌｉｃｏが知られている。ＩＰルーティングによる接続は、Ｌ３接続と呼ばれることもある。

図２は、図１のＶＭ１１１内でＬ３接続により接続されたコンテナの例を示している。ＶＭ１１１内では、コンテナ２１１及びコンテナ２１２が動作する。コンテナ２１１及びコンテナ２１２は、仮想ＮＩＣであるｅｔｈ０を含む。

コンテナ２１１のｅｔｈ０はｃａｌｉ１に接続されており、コンテナ２１２のｅｔｈ０はｃａｌｉ２に接続されている。ｃａｌｉ１及びｃａｌｉ２は仮想タップであり、仮想ルータ２２１を介してＶＭ１１１のｅｔｈ０に接続されている。コンテナ２１１のｅｔｈ０とｃａｌｉ１は、ｖｅｔｈ−ｐａｉｒ（Virtual Ethernet Tunnel Pair）ポートである。同様に、コンテナ２１２のｅｔｈ０とｃａｌｉ２は、ｖｅｔｈ−ｐａｉｒポートである。

コンテナ２１１のＩＰアドレスは“１０．０．０．１／３２”であり、コンテナ２１２のＩＰアドレスは“１０．０．０．２／３２”である。デフォルトゲートウェイのＩＰアドレスＧＷは“１６９．２５４．１．１”である。ｃａｌｉ１のメディアアクセス制御（Media Access Control，ＭＡＣ）アドレスは“Ａ”であり、ｃａｌｉ２のＭＡＣアドレスは“Ｂ”である。

ｃａｌｉ１及びｃａｌｉ２は、Ｐｒｏｘｙ ＡＲＰ（Address Resolution Protocol）機能を有する。コンテナ２１１が、デフォルトゲートウェイのＩＰアドレスＧＷに対するＡｒｐリクエストをｃａｌｉ１へ送信すると、ｃａｌｉ１は、ｃａｌｉ１のＭＡＣアドレス“Ａ”を含むＡｒｐリプライをコンテナ２１１へ返信する。コンテナ２１２が、デフォルトゲートウェイのＩＰアドレスＧＷに対するＡｒｐリクエストをｃａｌｉ２へ送信すると、ｃａｌｉ２は、ｃａｌｉ２のＭＡＣアドレス“Ｂ”を含むＡｒｐリプライをコンテナ２１２へ返信する。

仮想ルータ２２１のルーティングテーブル２０１には、コンテナ２１１のＩＰアドレス“１０．０．０．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ１が登録されている。また、コンテナ２１２のＩＰアドレス“１０．０．０．２／３２”への経路に対応するインタフェースとして、ｃａｌｉ２が登録されている。

図３は、図１のＶＭ１１２における経路情報の設定方法の例を示している。ＶＭ１１２内では、コンテナ３１１及びコンテナ３１２が動作する。コンテナ３１１及びコンテナ３１２は、仮想ＮＩＣであるｅｔｈ０を含む。

コンテナ３１１のｅｔｈ０はｃａｌｉ３に接続されており、コンテナ３１２のｅｔｈ０はｃａｌｉ４に接続されている。ｃａｌｉ３及びｃａｌｉ４は仮想タップであり、仮想ルータ３２１を介してＶＭ１１２のｅｔｈ０に接続されている。コンテナ３１１のＩＰアドレスは“１０．０．１．１／３２”であり、コンテナ３１２のＩＰアドレスは“１０．０．１．２／３２”である。

ＶＭ１１１のｅｔｈ０及びＶＭ１１２のｅｔｈ０は、仮想通信ネットワーク３０２に接続されている。ＶＭ１１１のｅｔｈ０のＩＰアドレスは“１９２．１６８．０．１”であり、ＶＭ１１２のｅｔｈ０のＩＰアドレスは“１９２．１６８．０．２”である。

ＶＭ１１１内では、ＢＧＰ（Border Gateway Protocol）デーモン２２２が動作し、ＶＭ１１２内では、ＢＧＰデーモン３２２が動作する。ＢＧＰデーモン２２２とＢＧＰデーモン３２２は、仮想通信ネットワーク３０２を介してＶＭ間の経路情報を交換する。そして、ＢＧＰデーモン２２２は、経路情報を図２のルーティングテーブル２０１に設定し、ＢＧＰデーモン３２２は、経路情報を仮想ルータ３２１のルーティングテーブル３０１に設定する。

仮想ルータ３２１のルーティングテーブル３０１には、コンテナ３１１のＩＰアドレス“１０．０．１．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ３が登録されている。また、コンテナ３１２のＩＰアドレス“１０．０．１．２／３２”への経路に対応するインタフェースとして、ｃａｌｉ４が登録されている。さらに、ＩＰアドレス“１０．０．０．０／２４”への経路に対応するネクストホップとして、ＶＭ１１１のｅｔｈ０のＩＰアドレス“１９２．１６８．０．１”が登録されており、インタフェースとしてＶＭ１１２のｅｔｈ０が登録されている。

ＡＲＰに関連して、ネットワークの負荷を抑制できる通信方法、及びＬ３仮想拡張ローカルエリアネットワークゲートウェイによるデータパケットの転送方法が知られている（例えば、特許文献１及び特許文献２を参照）。

特開２０１３−５１５３１号公報 特表２０１８−５１６５２０号公報

ＶＭ内にコンテナが配備されている環境において、ＶＭのポートミラーリング機能を用いて、コンテナのトラフィックのポートミラーリングを行う場合、トラフィックをモニタするコンテナにミラーパケットを正しく転送することは容易ではない。

１つの側面において、本発明は、ＶＭ内に配備されたコンテナのトラフィックのモニタリングにおいて、ミラーパケットを別のコンテナへ転送することを目的とする。

１つの案では、ネットワーク管理システムは、第１制御部、第２制御部、第３制御部、及び記憶部を含む。

第１制御部は、第１コンテナを含む第１仮想マシンと第１仮想スイッチとを動作させる。第１仮想スイッチは、第１コンテナが受信する受信パケット又は第１コンテナが送信する送信パケットのミラーパケットを送信する。

第２制御部は、ミラーパケットをモニタする第２コンテナを含む第２仮想マシンと第２仮想スイッチとを動作させる。第２仮想スイッチは、第１仮想スイッチからミラーパケットを受信して第２仮想マシンへ転送する。記憶部は、ミラーパケットの宛先情報と第２コンテナに対応するアドレスとを対応付けて記憶する。

第２仮想マシンは、第２仮想スイッチからミラーパケットを受信し、ミラーパケットの宛先情報に対するアドレス解決を要求する。第３制御部は、ミラーパケットの宛先情報と対応付けて記憶されている、第２コンテナに対応するアドレスを第２仮想マシンへ送信する動作を、第２仮想スイッチに行わせる。そして、第３制御部は、第２コンテナに対応するアドレスを用いてミラーパケットを第２コンテナへ転送する動作を、第２仮想マシンに行わせる。

１つの側面によれば、ＶＭ内に配備されたコンテナのトラフィックのモニタリングにおいて、ミラーパケットを別のコンテナへ転送することができる。

ポートミラーリングを示す図である。 Ｌ３接続により接続されたコンテナを示す図である。 経路情報の設定方法を示す図である。 情報処理システムを示す図である。 スタティックルーティングの設定方法を示す図である。 ＰＢＲの設定方法を示す図である。 ネットワーク管理システムの機能的構成図である。 情報処理のフローチャートである。 情報処理システムの機能的構成図である。 ＶＭシステムを示す図である。 ルーティングテーブルを示す図である。 管理テーブルを示す図である。 制御テーブルを示す図である。 制御テーブルのエントリを示す図である。 登録処理のフローチャートである。 パケット転送処理のフローチャートである。 応答処理のフローチャートである。 情報処理装置のハードウェア構成図である。

以下、図面を参照しながら、実施形態を詳細に説明する。

図４は、コンテナを含む複数のＶＭを有する情報処理システムの例を示している。図４の情報処理システムは、図１のホスト装置１０１とホスト装置４０１を含む。ＶＭ１１１内では、コンテナ２１１及びコンテナ２１２が動作し、ＶＭ１１２内では、コンテナ３１１が動作する。

ホスト装置４０１は物理サーバであり、ホスト装置４０１内ではＶＭ４１１が動作している。ＶＭ４１１内では、コンテナ４３１及びコンテナ４３２が動作する。ホスト装置４０１内の仮想スイッチ４２１は、仮想ポートであるｐｏｒｔ３を含む。ＶＭ４１１は、仮想ＮＩＣであるｅｔｈ０を含む。

例えば、コンテナ４３１がコンテナ２１１のトラフィックをモニタする場合、ｐｏｒｔ１を通過する入力パケット４４１又は出力パケット４４２がミラーリング対象となる。入力パケット４４１は、コンテナ２１１が受信するパケットであり、出力パケット４４２は、コンテナ２１１が送信するパケットである。

ポートミラーリングでは、ｐｏｒｔ１を通過するミラーリング対象のパケットをコピーすることでミラーパケットが生成され、生成されたミラーパケットが、ホスト装置４０１内のｐｏｒｔ３を介してＶＭ４１１へ転送される。

しかしながら、入力パケット４４１のミラーパケットの宛先はコンテナ２１１であるため、ミラーパケットはコンテナ４３１へ転送されない。また、出力パケット４４２の宛先がコンテナ３１１である場合、出力パケット４４２のミラーパケットの宛先もコンテナ３１１であるため、ミラーパケットはコンテナ４３１へ転送されない。

そこで、ミラーパケットをコンテナ４３１へ転送するために、ミラーパケットの宛先アドレスに基づいてスタティックルーティングを設定する方法が考えられる。

図５は、図４の情報処理システムにおけるスタティックルーティングの設定方法の例を示している。コンテナ４３１はｃａｌｉ５に接続されている。ＶＭ４１１内のルーティングテーブル５０１には、コンテナ４３１のＩＰアドレス“１０．０．３．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ５が登録されている。

入力パケット４４１のミラーパケットの宛先はコンテナ２１１であるため、コンテナ２１１のＩＰアドレス“１０．０．０．１／３２”を用いて、ルーティングテーブル５０１にスタティックルーティングを追加することができる。この場合、コンテナ２１１のＩＰアドレス“１０．０．０．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ５が設定される。これにより、ＶＭ４１１内において、入力パケット４４１のミラーパケットをコンテナ４３１へ転送することが可能になる。

しかし、出力パケット４４２の宛先は一意に決まらないため、出力パケット４４２のミラーパケットをコンテナ４３１へ転送するためのスタティックルーティングを、ルーティングテーブル５０１に追加することは困難である。

そこで、出力パケット４４２のミラーパケットについては、ＰＢＲ（Policy Based routing）を利用する設定方法が考えられる。ＰＢＲは、送信元アドレス、入力インタフェース等の条件に基づいてルーティングを設定する機能である。

図６は、ＰＢＲの設定方法の例を示している。図６（ａ）は、出力パケット４４２のミラーパケットの送信元アドレスに基づくＰＢＲの例を示している。出力パケット４４２の送信元はコンテナ２１１であるため、送信元アドレスがコンテナ２１１のＩＰアドレス“１０．０．０．１／３２”であるパケットに対して、ｒｕｌｅ０１を適用することが規定されている。

図６（ｂ）は、ｒｕｌｅ０１に基づくルーティングの例を示している。ｒｕｌｅ０１に基づくルーティングでは、コンテナ４３１のＩＰアドレス“１０．０．３．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ５が設定される。また、デフォルトゲートウェイのＩＰアドレスとしては、コンテナ４３１のＩＰアドレス“１０．０．３．１／３２”が設定される。これにより、ＶＭ４１１内において、出力パケット４４２のミラーパケットをコンテナ４３１へ転送することが可能になる。

しかしながら、図５のスタティックルーティング又は図６のＰＢＲでは、ＶＭ内のルーティングテーブルが変更されている。ＶＭの所有者がユーザである場合、情報処理システムの管理者が、ユーザの許可なく、ＶＭ内のルーティングテーブルを変更することは好ましくない。

図７は、実施形態のネットワーク管理システムの機能的構成例を示している。図７のネットワーク管理システム７０１は、第１制御部７１１、第２制御部７１２、第３制御部７１３、及び記憶部７１４を含む。

図８は、図７のネットワーク管理システム７０１が行う情報処理の例を示すフローチャートである。まず、第１制御部７１１は、第１コンテナ７４１を含む第１仮想マシン７２１と第１仮想スイッチ７３１とを動作させる（ステップ８０１）。第１仮想スイッチ７３１は、第１コンテナ７４１が受信する受信パケット又は第１コンテナ７４１が送信する送信パケットのミラーパケットを送信する。

次に、第２制御部７１２は、ミラーパケットをモニタする第２コンテナ７４２を含む第２仮想マシン７２２と第２仮想スイッチ７３２とを動作させる（ステップ８０２）。第２仮想スイッチ７３２は、第１仮想スイッチ７３１からミラーパケットを受信して第２仮想マシン７２２へ転送する。記憶部７１４は、ミラーパケットの宛先情報と第２コンテナ７４２に対応するアドレスとを対応付けて記憶する。

第２仮想マシン７２２は、第２仮想スイッチ７３２からミラーパケットを受信し、ミラーパケットの宛先情報に対するアドレス解決を要求する。第３制御部７１３は、ミラーパケットの宛先情報と対応付けて記憶されている、第２コンテナ７４２に対応するアドレスを第２仮想マシン７２２へ送信する動作を、第２仮想スイッチ７３２に行わせる（ステップ８０３）。そして、第３制御部７１３は、第２コンテナ７４２に対応するアドレスを用いてミラーパケットを第２コンテナ７４２へ転送する動作を、第２仮想マシン７２２に行わせる（ステップ８０４）。

図７のネットワーク管理システム７０１によれば、ＶＭ内に配備されたコンテナのトラフィックのモニタリングにおいて、ミラーパケットを別のコンテナへ転送することができる。

なお、第１制御部７１１は、第１仮想マシン７２１と第２仮想スイッチ７３２とを直接接続して、第２仮想スイッチ７３２にミラーパケットを生成させることもできる。この場合、第１制御部７１１は、第１仮想スイッチ７３１を動作させる処理を省略し、第２仮想スイッチ７３２は、生成したミラーパケットを第２仮想マシン７２２へ転送する。

図９は、図７のネットワーク管理システム７０１に対応する情報処理システムの機能的構成例を示している。図９の情報処理システムは、情報処理装置９０１〜情報処理装置９０３を含む。情報処理装置９０１〜情報処理装置９０３は、通信ネットワーク９０４により互いに接続されている。通信ネットワーク９０４は、例えば、ＬＡＮ（Local Area Network）又はＷＡＮ（Wide Area Network）である。

情報処理装置９０１は、制御部９１１、通信部９１２、及び記憶部９１３を含む。制御部９１１は、図７の第１制御部７１１に対応する。記憶部９１３は、ルーティングテーブル９１４、ＡＲＰテーブル９１５、及び制御テーブル９１６を記憶する。

ルーティングテーブル９１４は、情報処理システム内で動作するＶＭ間の経路情報を格納する。ＡＲＰテーブル９１５は、アドレス解決テーブルの一例であり、ＩＰアドレスとＭＡＣアドレスとを対応付けて格納する。制御テーブル９１６は、ミラーパケットの宛先情報と、ミラーパケットをモニタするコンテナに対応するＭＡＣアドレスとを対応付けて格納する。

情報処理装置９０２は、ネットワーク管理装置の一例であり、制御部９２１、制御部９２２、通信部９２３、及び記憶部９２４を含む。制御部９２１、制御部９２２、及び記憶部９２４は、図７の第２制御部７１２、第３制御部７１３、及び記憶部７１４にそれぞれ対応する。記憶部９２４は、ルーティングテーブル９２５、ＡＲＰテーブル９２６、及び制御テーブル９２７を記憶する。

ルーティングテーブル９２５は、情報処理システム内で動作するＶＭ間の経路情報を格納する。ＡＲＰテーブル９２６は、ＩＰアドレスとＭＡＣアドレスとを対応付けて格納する。制御テーブル９２７は、ミラーパケットの宛先情報と、ミラーパケットをモニタするコンテナに対応するＭＡＣアドレスとを対応付けて格納する。

情報処理装置９０３は、情報処理システムの管理者によって使用され、管理部９３１、通信部９３２、及び記憶部９３３を含む。記憶部９３３は、管理テーブル９３４を記憶する。管理テーブル９３４は、情報処理システム内におけるポートミラーリングを管理するための情報を格納する。管理部９３１は、情報処理システム内で動作するＶＭ及びコンテナを管理するとともに、管理者からの指示に従って、管理テーブル９３４に情報を設定する。

通信部９１２、通信部９２３、及び通信部９３２は、通信ネットワーク９０４を介して互いに通信することができる。

図１０は、図９の情報処理システムにより実現されるＶＭシステムの例を示している。ＶＭ１００１及び仮想スイッチ１０１１は、情報処理装置９０１内で動作し、ＶＭ１００２、ＶＭ１００３、及び仮想スイッチ１０１２は、情報処理装置９０２内で動作する。ＶＭ１００１内では、コンテナ１０２１が動作し、ＶＭ１００２内では、コンテナ１０２２及びコンテナ１０２３が動作し、ＶＭ１００３内では、コンテナ１０２４が動作する。

ＶＭ１００１は、ｃａｌｉ０及びｅｔｈ０を含み、仮想スイッチ１０１１は、ｐｏｒｔ１を含む。ＶＭ１００２は、ｃａｌｉ１、ｃａｌｉ２、及びｅｔｈ０を含み、ＶＭ１００３は、ｅｔｈ０を含み、仮想スイッチ１０１２は、ｐｏｒｔ２を含む。ｃａｌｉ０、ｃａｌｉ１、及びｃａｌｉ２は、仮想タップである。ｅｔｈ０は、仮想ＮＩＣである。ｐｏｒｔ１及びｐｏｒｔ２は、仮想ポートである。

コンテナ１０２１〜コンテナ１０２４は、Ｌ３接続により接続されている。コンテナ１０２１のＩＰアドレスは“１０．０．０．１／３２”である。コンテナ１０２２のＩＰアドレスは“１０．０．１．１／３２”であり、コンテナ１０２３のＩＰアドレスは“１０．０．１．２／３２”である。コンテナ１０２４のＩＰアドレスは“１０．０．２．１／３２”である。

ＶＭ１００１のｅｔｈ０のＩＰアドレスは“１９２．１６８．１．１０”であり、ＶＭ１００２のｅｔｈ０のＩＰアドレスは“１９２．１６８．１．１１”であり、ＶＭ１００３のｅｔｈ０のＩＰアドレスは“１９２．１６８．１．１２”である。

制御部９１１は、ＶＭ１００１及び仮想スイッチ１０１１を動作させ、制御部９２１は、ＶＭ１００２、ＶＭ１００３、及び仮想スイッチ１０１２を動作させる。仮想スイッチ１０１１と仮想スイッチ１０１２は、通信部９１２及び通信部９２３を介して互いに通信することができる。

なお、図９の情報処理システムは、不図示の他の情報処理装置を含んでいてもよい。また、図１０のＶＭシステムは、不図示の他のＶＭ、コンテナ、又は仮想スイッチを含んでいてもよい。ミラーパケットの宛先情報と、ミラーパケットをモニタするコンテナに対応するＭＡＣアドレスとを対応付けて格納する制御テーブルの情報は、情報処理システム内のすべてのＶＭで共有される。したがって、制御テーブル９２７の内容は、制御テーブル９１６の内容と同じである。

図１１は、情報処理装置９０２が記憶するルーティングテーブル９２５の例を示している。図１１のルーティングテーブル９２５には、コンテナ１０２２のＩＰアドレス“１０．０．１．１／３２”への経路に対応するインタフェースとして、ｃａｌｉ１が登録されている。また、コンテナ１０２３のＩＰアドレス“１０．０．１．２／３２”への経路に対応するインタフェースとして、ｃａｌｉ２が登録されている。

続いて、ＩＰアドレス“１０．０．０．０／２４”への経路に対応するネクストホップとして、ＶＭ１００１のｅｔｈ０のＩＰアドレス“１９２．１６８．１．１０”が登録されており、インタフェースとしてＶＭ１００２のｅｔｈ０が登録されている。また、ＩＰアドレス“１０．０．２．０／２４”への経路に対応するネクストホップとして、ＶＭ１００３のｅｔｈ０のＩＰアドレス“１９２．１６８．１．１２”が登録されており、インタフェースとしてＶＭ１００２のｅｔｈ０が登録されている。

図１２は、情報処理装置９０３が記憶する管理テーブル９３４の例を示している。図１２の管理テーブル９３４は、ＩＤ、ターゲットコンテナＩＰアドレス、ターゲットポート、方向、ミラー宛先ＩＰアドレス、及びミラー宛先ポートを含む。

ＩＤは、管理テーブル９３４のエントリの識別情報である。ターゲットコンテナＩＰアドレスは、モニタ対象のコンテナのＩＰアドレスであり、ターゲットポートは、ミラーリング対象のパケットが通過するポートを表す。

方向は、ミラーリング対象のパケットがターゲットポートを通過する方向を表す。方向が双方向である場合、入力パケット及び出力パケットの両方がミラーリング対象となる。方向が出力である場合、出力パケットのみがミラーリング対象となり、方向が入力である場合、入力パケットのみがミラーリング対象となる。

ミラー宛先ＩＰアドレスは、ミラーパケットをモニタするコンテナのＩＰアドレスであり、ミラー宛先ポートは、そのコンテナを含むＶＭへミラーパケットを転送するポートを表す。

例えば、ＩＤ“１”のエントリの場合、モニタ対象のコンテナは、コンテナ１０２１であり、ミラーパケットをモニタするコンテナは、コンテナ１０２３である。この場合、ターゲットコンテナＩＰアドレスは“１０．０．０．１／３２”であり、ターゲットポートはｐｏｒｔ１であり、方向は双方向であり、ミラー宛先ＩＰアドレスは“１０．０．１．２／３２”であり、ミラー宛先ポートはｐｏｒｔ２である。

図１３は、情報処理装置９０２が記憶する制御テーブル９２７の例を示している。図１３の制御テーブル９２７は、ＩＤ、ターゲットコンテナＩＰアドレス、方向、ミラー宛先ＭＡＣアドレス、及びルータＩＰアドレスを含む。ＩＤは、制御テーブル９２７のエントリの識別情報である。

情報処理装置９０３の管理部９３１は、管理テーブル９３４の情報を、情報処理装置９０２へ送信する。制御部９２１は、受信した管理テーブル９３４の情報に基づいて、制御テーブル９２７を生成する動作を、仮想スイッチ１０１２に行わせる。仮想スイッチ１０１２は、生成された制御テーブル９２７を記憶部９２４に格納する。

図１３のＩＤ“１”〜ＩＤ“３”のエントリは、図１２のＩＤ“１”〜ＩＤ“３”のエントリにそれぞれ対応している。したがって、図１３の各エントリのターゲットコンテナＩＰアドレス及び方向は、図１２の対応するエントリのターゲットコンテナＩＰアドレス及び方向と同じである。

ミラー宛先ＭＡＣアドレスは、コンテナに対応するＭＡＣアドレスの一例であり、ミラーパケットをモニタするコンテナへの経路に対応するインタフェースのＭＡＣアドレスである。したがって、ＩＤ“１”及びＩＤ“２”のエントリのミラー宛先ＭＡＣアドレス“ＡＡＡ”は、コンテナ１０２３への経路に対応するｃａｌｉ２のＭＡＣアドレスである。

仮想スイッチ１０１２は、ミラー宛先ＩＰアドレスに対するＡｒｐリクエストをブロードキャストすることで、ミラー宛先ＭＡＣアドレスを取得することができる。

仮想スイッチ１０１２がコンテナ１０２３のＩＰアドレスに対するＡｒｐリクエストをブロードキャストした場合、ｃａｌｉ２は、ｃａｌｉ２のＭＡＣアドレス“ＡＡＡ”を含むＡｒｐリプライを、仮想スイッチ１０１２へ返信する。そして、仮想スイッチ１０１２は、Ａｒｐリプライに含まれるｃａｌｉ２のＭＡＣアドレス“ＡＡＡ”を、ＩＤ“１”及びＩＤ“２”のエントリのミラー宛先ＭＡＣアドレスとして、制御テーブル９２７に格納する。

仮想スイッチ１０１２は、ミラーパケットをモニタするコンテナから送信される出力パケットを観測することで、ミラー宛先ＭＡＣアドレスを取得することもできる。

ルータＩＰアドレスは、ミラーパケットの宛先情報の一例であり、ミラーパケットの宛先アドレスに対応するコンテナを含むＶＭのＩＰアドレスを表す。制御テーブル９２７の生成時には、初期値“Ｎｏｎｅ”がルータＩＰアドレスとして格納される。

図１２のＩＤ“１”のエントリに基づいてポートミラーリングが行われる場合、ｐｏｒｔ１を通過する入力パケット１０３１及び出力パケット１０３２の両方がミラーリング対象となる。入力パケット１０３１は、コンテナ１０２１が受信するパケットであり、出力パケット１０３２は、コンテナ１０２１が送信するパケットである。

この場合、仮想スイッチ１０１１は、入力パケット１０３１及び出力パケット１０３２の各々をコピーすることでミラーパケットを生成し、生成されたミラーパケットを仮想スイッチ１０１２へ送信する。これにより、コンテナ１０２３が動作しているＶＭ１００２に接続されたｐｏｒｔ２に、ミラーパケットが転送される。仮想スイッチ１０１２は、仮想スイッチ１０１１から受信したミラーパケットを、ｐｏｒｔ２からＶＭ１００２へ転送する。

このとき、制御部９２１は、ミラーパケットの宛先アドレスに対応するルータＩＰアドレスを制御テーブル９２７に格納する動作を、仮想スイッチ１０１２に行わせる。まず、仮想スイッチ１０１２は、受信したミラーパケットの送信元アドレス及び宛先アドレスを用いて、次のような条件を満たすエントリを制御テーブル９２７から検索する。

条件Ｃ１：方向が入力又は双方向であり、かつ、ターゲットコンテナＩＰアドレスがミラーパケットの宛先アドレスと一致する。

条件Ｃ２：方向が出力又は双方向であり、かつ、ターゲットコンテナＩＰアドレスがミラーパケットの送信元アドレスと一致する。

条件Ｃ１又は条件Ｃ２を満たすエントリが存在する場合、仮想スイッチ１０１２は、受信したミラーパケットの宛先アドレスに対応するルータＩＰアドレスを、ＶＭ１００２内のＢＧＰデーモンに問い合わせる。ＢＧＰデーモンは、ルーティングテーブル９２５からルータＩＰアドレスを取得して、仮想スイッチ１０１２へ返信する。

仮想スイッチ１０１２は、ＢＧＰデーモンから受信したルータＩＰアドレスを、検索されたエントリのルータＩＰアドレスとして格納する。これにより、制御テーブル９２７において、ルータＩＰアドレスとミラー宛先ＭＡＣアドレスとが対応付けられる。

図１４は、制御テーブル９２７において、ルータＩＰアドレスとミラー宛先ＭＡＣアドレスとが対応付けられたエントリの例を示している。図１４（ａ）は、条件Ｃ１を満たすエントリの例を示しており、図１４（ｂ）は、条件Ｃ２を満たすエントリの例を示している。

受信したミラーパケットが入力パケット１０３１のミラーパケットである場合、ミラーパケットの宛先アドレスは、コンテナ１０２１のＩＰアドレス“１０．０．０．１／３２”である。したがって、図１３のＩＤ“１”のエントリが条件Ｃ１を満たす。

図１１のルーティングテーブル９２５において、ＩＰアドレス“１０．０．０．０／２４”への経路に対応するネクストホップは“１９２．１６８．１．１０”である。したがって、ミラーパケットの宛先アドレス“１０．０．０．１／３２”に対応するルータＩＰアドレスとして、“１９２．１６８．１．１０”が取得され、図１３のＩＤ“１”のエントリのルータＩＰアドレスとして登録される。

これにより、図１４（ａ）に示すように、ＶＭ１００１のｅｔｈ０のＩＰアドレス“１９２．１６８．１．１０”と、ｃａｌｉ２のＭＡＣアドレス“ＡＡＡ”とを対応付けることができる。

一方、受信したミラーパケットが出力パケット１０３２のミラーパケットである場合、ミラーパケットの送信元アドレスは、コンテナ１０２１のＩＰアドレス“１０．０．０．１／３２”である。したがって、図１３のＩＤ“１”のエントリが条件Ｃ２を満たす。

出力パケット１０３２の宛先アドレスが、コンテナ１０２４のＩＰアドレス“１０．０．２．１／３２”である場合、ミラーパケットの宛先アドレスも“１０．０．２．１／３２”となる。図１１のルーティングテーブル９２５において、ＩＰアドレス“１０．０．２．０／２４”への経路に対応するネクストホップは“１９２．１６８．１．１２”である。したがって、ミラーパケットの宛先アドレス“１０．０．２．１／３２”に対応するルータＩＰアドレスとして、“１９２．１６８．１．１２”が取得され、図１３のＩＤ“１”のエントリのルータＩＰアドレスとして登録される。

これにより、図１４（ｂ）に示すように、ＶＭ１００３のｅｔｈ０のＩＰアドレス“１９２．１６８．１．１２”と、ｃａｌｉ２のＭＡＣアドレス“ＡＡＡ”とを対応付けることができる。

このように、ミラーパケットの宛先アドレスに対応するコンテナを含むＶＭのＩＰアドレスを、ミラーパケットの宛先情報として用いることで、制御テーブル９２７において、そのＶＭのＩＰアドレスをミラー宛先ＭＡＣアドレスに対応付けることができる。したがって、ＶＭのＩＰアドレスを用いて、ミラーパケットをモニタするコンテナへの経路に対応するインタフェースのＭＡＣアドレスを検索することが可能になる。

また、仮想スイッチ１０１２がミラーパケットを受信した時点で、ルータＩＰアドレスをミラー宛先ＭＡＣアドレスに対応付けて制御テーブル９２７に登録しておくことで、ルータＩＰアドレスに対するＡｒｐリクエストに応答することが可能になる。

ＶＭ１００２のｅｔｈ０が仮想スイッチ１０１２からミラーパケットを受信すると、制御部９２２は、ミラーパケットの宛先アドレスに対応するルータＩＰアドレスを取得し、ルータＩＰアドレスに対するアドレス解決を要求する動作を、ＶＭ１００２に行わせる。まず、ＶＭ１００２は、ルーティングテーブル９２５を検索して、受信したミラーパケットの宛先アドレスに対応するルータＩＰアドレスを取得する。そして、ＶＭ１００２は、取得したルータＩＰアドレスに対するＡｒｐリクエストをブロードキャストする。

次に、制御部９２２は、制御テーブル９２７において、Ａｒｐリクエストに含まれるルータＩＰアドレスと対応付けられたミラー宛先ＭＡＣアドレスをＶＭ１００２へ送信する動作を、仮想スイッチ１０１２に行わせる。この場合、仮想スイッチ１０１２がＡｒｐリクエストに対して応答する。

受信したミラーパケットが入力パケット１０３１のミラーパケットである場合、ミラーパケットの宛先アドレスは、コンテナ１０２１のＩＰアドレス“１０．０．０．１／３２”である。したがって、ＶＭ１００２は、図１１のルーティングテーブル９２５から、ミラーパケットの宛先アドレス“１０．０．０．１／３２”に対応するルータＩＰアドレスとして、“１９２．１６８．１．１０”を取得する。そして、ＶＭ１００２は、ルータＩＰアドレス“１９２．１６８．１．１０”に対するＡｒｐリクエストをブロードキャストする。

仮想スイッチ１０１２は、Ａｒｐリクエストを受信すると、制御テーブル９２７を検索して、Ａｒｐリクエストに含まれるルータＩＰアドレスを有するエントリから、ミラー宛先ＭＡＣアドレスを取得する。この場合、仮想スイッチ１０１２は、図１４（ａ）のエントリから、ルータＩＰアドレス“１９２．１６８．１．１０”に対応付けられているミラー宛先ＭＡＣアドレス“ＡＡＡ”を取得する。そして、仮想スイッチ１０１２は、ミラー宛先ＭＡＣアドレス“ＡＡＡ”を含むＡｒｐリプライを、ＶＭ１００２へ返信する。

一方、受信したミラーパケットが出力パケット１０３２のミラーパケットであり、出力パケット１０３２の宛先がコンテナ１０２４である場合、ミラーパケットの宛先アドレスは、コンテナ１０２４のＩＰアドレス“１０．０．２．１／３２”である。したがって、ＶＭ１００２は、図１１のルーティングテーブル９２５から、ミラーパケットの宛先アドレス“１０．０．２．１／３２”に対応するルータＩＰアドレスとして、“１９２．１６８．１．１２”を取得する。そして、ＶＭ１００２は、ルータＩＰアドレス“１９２．１６８．１．１２”に対するＡｒｐリクエストをブロードキャストする。

仮想スイッチ１０１２は、Ａｒｐリクエストを受信すると、制御テーブル９２７を検索する。この場合、仮想スイッチ１０１２は、図１４（ｂ）のエントリから、ルータＩＰアドレス“１９２．１６８．１．１２”に対応付けられているミラー宛先ＭＡＣアドレス“ＡＡＡ”を取得する。そして、仮想スイッチ１０１２は、ミラー宛先ＭＡＣアドレス“ＡＡＡ”を含むＡｒｐリプライを、ＶＭ１００２へ返信する。

ＡｒｐリプライをＶＭ１００２へ返信した後、仮想スイッチ１０１２は、制御テーブル９２７において、検索されたエントリのルータＩＰアドレスを、初期値“Ｎｏｎｅ”に変更する。

ＶＭ１００２がＡｒｐリプライを受信すると、制御部９２２は、ミラーパケットの宛先アドレスと、Ａｒｐリプライに含まれるミラー宛先ＭＡＣアドレスとを対応付けて、ＡＲＰテーブル９２６に格納する動作を、ＶＭ１００２に行わせる。これにより、次に同じ宛先アドレスを有するミラーパケットを受信した場合、ＡＲＰテーブル９２６のミラー宛先ＭＡＣアドレスを用いて、ミラーパケットをモニタするコンテナへミラーパケットを転送することが可能になる。

次に、制御部９２２は、Ａｒｐリプライに含まれるミラー宛先ＭＡＣアドレスを用いて、ミラーパケットをモニタするコンテナへミラーパケットを転送する動作を、ＶＭ１００２に行わせる。ＶＭ１００２は、ミラーパケットの宛先ＭＡＣフィールドに、ミラー宛先ＭＡＣアドレス“ＡＡＡ”を挿入して、ミラーパケットを送信する。これにより、ミラーパケットがｃａｌｉ２にルーティングされて、コンテナ１０２３に到達する。

なお、コンテナ１０２３は、情報処理装置９０１内で動作するコンテナ１０２１の代わりに、情報処理装置９０２内で動作する別のコンテナのトラフィックをモニタすることもできる。この場合、仮想スイッチ１０１１の代わりに、仮想スイッチ１０１２がミラーパケットを生成し、生成したミラーパケットをｐｏｒｔ２からＶＭ１００２へ転送する。

図９の情報処理システムによれば、ＶＭ内のコンテナがＬ３接続により接続されている環境において、トラフィックをモニタするコンテナを含む情報処理装置の制御テーブルに、ミラーパケットの宛先情報とミラー宛先ＭＡＣアドレスとが対応付けて登録される。これにより、情報処理装置は、ミラーパケットの宛先情報に対するＡｒｐリクエストに対して、ミラー宛先ＭＡＣアドレスをＡｒｐリプライとして返信することが可能になる。したがって、ＶＭのポートミラーリング機能を用いて、トラフィックをモニタするコンテナにミラーパケットを正しく転送することができる。

図１５は、情報処理装置９０２内で動作する仮想スイッチ１０１２が行う登録処理の例を示すフローチャートである。制御部９２１が図１５の登録処理を仮想スイッチ１０１２に行わせることで、ミラーパケットの宛先アドレスに対応するルータＩＰアドレスが制御テーブル９２７に格納される。

まず、仮想スイッチ１０１２は、パケットを受信し（ステップ１５０１）、受信したパケットがミラーパケットであるか否かをチェックする（ステップ１５０２）。受信したパケットがミラーパケットではない場合（ステップ１５０２，ＮＯ）、仮想スイッチ１０１２は、ステップ１５０１以降の処理を繰り返す。

受信したパケットがミラーパケットである場合（ステップ１５０２，ＹＥＳ）、仮想スイッチ１０１２は、ミラーパケットの送信元アドレスを用いて制御テーブル９２７を検索する（ステップ１５０２）。そして、仮想スイッチ１０１２は、ミラーパケットの送信元アドレスと一致するターゲットコンテナＩＰアドレスを含むエントリの方向をチェックする（ステップ１５０４）。

エントリの方向が出力又は双方向である場合（ステップ１５０４，ＹＥＳ）、仮想スイッチ１０１２は、ミラーパケットの宛先アドレスに対応するルータＩＰアドレスをＢＧＰデーモンに問い合わせる（ステップ１５０５）。そして、仮想スイッチ１０１２は、ＢＧＰデーモンからルータＩＰアドレスを取得する。

次に、仮想スイッチ１０１２は、取得したルータＩＰアドレスを、制御テーブル９２７から検索されたエントリに登録する（ステップ１５０６）。これにより、制御テーブル９２７において、ルータＩＰアドレスとミラー宛先ＭＡＣアドレスとが対応付けられる。

エントリの方向が入力である場合（ステップ１５０４，ＮＯ）、仮想スイッチ１０１２は、ミラーパケットの宛先アドレスを用いて制御テーブル９２７を検索する（ステップ１５０７）。そして、仮想スイッチ１０１２は、ミラーパケットの宛先アドレスと一致するターゲットコンテナＩＰアドレスを含むエントリの方向をチェックする（ステップ１５０８）。

エントリの方向が入力又は双方向である場合（ステップ１５０８，ＹＥＳ）、仮想スイッチ１０１２は、ステップ１５０５以降の処理を行う。エントリの方向が出力である場合（ステップ１５０８，ＮＯ）、仮想スイッチ１０１２は、処理を終了する。

図１６は、情報処理装置９０２内で動作するＶＭ１００２が行うパケット転送処理の例を示すフローチャートである。制御部９２２が図１６のパケット転送処理をＶＭ１００２に行わせることで、ＶＭ１００２が受信したミラーパケットがコンテナ１０２３に転送される。

まず、ＶＭ１００２のｅｔｈ０は、仮想スイッチ１０１２からパケットを受信し（ステップ１６０１）、ＶＭ１００２は、受信したパケットの宛先アドレスを用いてルーティングテーブル９２５を検索する（ステップ１６０２）。

ルーティングテーブル９２５において、宛先アドレスに対応するエントリが存在する場合、ＶＭ１００２は、ＡＲＰテーブル９２６を検索する（ステップ１６０３）。そして、ＶＭ１００２は、宛先アドレスに対応するＭＡＣアドレス、又はデフォルトゲートウェイのＭＡＣアドレスを含むエントリが、ＡＲＰテーブル９２６に存在するか否かをチェックする（ステップ１６０４）。

ＡＲＰテーブル９２６にエントリが存在する場合（ステップ１６０４，ＹＥＳ）、ＶＭ１００２は、受信したパケットの宛先ＭＡＣフィールドに、エントリに含まれるＭＡＣアドレスを挿入して、パケットを転送する（ステップ１６０８）。

一方、ＡＲＰテーブル９２６にエントリが存在しない場合（ステップ１６０４，ＮＯ）、ＶＭ１００２は、ルーティングテーブル９２５を検索して、受信したパケットの宛先アドレスに対応するルータＩＰアドレスを取得する。そして、ＶＭ１００２は、取得したルータＩＰアドレスに対するＡｒｐリクエストをブロードキャストする（ステップ１６０５）。

次に、ＶＭ１００２は、Ａｒｐリプライを受信し（ステップ１６０６）、Ａｒｐリプライに含まれるＭＡＣアドレスを用いて、ＡＲＰテーブル９２６を更新する（ステップ１６０７）。そして、ＶＭ１００２は、受信したパケットの宛先ＭＡＣフィールドに、Ａｒｐリプライに含まれるＭＡＣアドレスを挿入して、パケットを転送する（ステップ１６０８）。

例えば、受信したパケットがミラーパケットである場合、ステップ１６０５において、ミラーパケットの宛先アドレスに対応するルータＩＰアドレスが取得され、そのルータＩＰアドレスに対するＡｒｐリクエストがブロードキャストされる。この場合、ステップ１６０７において、ミラーパケットの宛先アドレスと、Ａｒｐリプライに含まれるミラー宛先ＭＡＣアドレスとが対応付けられ、ＡＲＰテーブル９２６に格納される。そして、ステップ１６０８において、ミラーパケットの宛先ＭＡＣフィールドに、ミラー宛先ＭＡＣアドレスが挿入され、コンテナ１０２３に転送される。

図１７は、情報処理装置９０２内で動作する仮想スイッチ１０１２が行う応答処理の例を示すフローチャートである。制御部９２２が図１７の応答処理を仮想スイッチ１０１２に行わせることで、ＶＭ１００２からブロードキャストされたＡｒｐリクエストに対して、Ａｒｐリプライが返信される。

まず、仮想スイッチ１０１２は、ＶＭ１００２からパケットを受信し（ステップ１７０１）、受信したパケットがＡｒｐリクエストであるか否かをチェックする（ステップ１７０２）。受信したパケットがＡｒｐリクエストではない場合（ステップ１７０２，ＮＯ）、仮想スイッチ１０１２は、そのパケットを転送する（ステップ１７０７）。

一方、受信したパケットがＡｒｐリクエストである場合（ステップ１７０２，ＹＥＳ）、仮想スイッチ１０１２は、Ａｒｐリクエストに含まれるルータＩＰアドレスを用いて、制御テーブル９２７を検索する（ステップ１７０３）。そして、仮想スイッチ１０１２は、そのルータＩＰアドレスを含むエントリが制御テーブル９２７に存在するか否かをチェックする（ステップ１７０４）。制御テーブル９２７にエントリが存在しない場合（ステップ１７０４，ＮＯ）、仮想スイッチ１０１２は、処理を終了する。

一方、制御テーブル９２７にエントリが存在する場合（ステップ１７０４，ＹＥＳ）、仮想スイッチ１０１２は、エントリに含まれるミラー宛先ＭＡＣアドレスを取得する。そして、仮想スイッチ１０１２は、取得したミラー宛先ＭＡＣアドレスを含むＡｒｐリプライを、ＶＭ１００２へ返信する（ステップ１７０５）。

次に、仮想スイッチ１０１２は、制御テーブル９２７から検索されたエントリのルータＩＰアドレスを削除し、代わりに初期値“Ｎｏｎｅ”を格納する（ステップ１７０６）。これにより、そのエントリが初期状態に変更される。

図７のネットワーク管理システム７０１の構成は一例に過ぎず、ネットワーク管理システム７０１の用途又は条件に応じて一部の構成要素を省略又は変更してもよい。図９の情報処理システムの構成は一例に過ぎず、情報処理システムの用途又は条件に応じて一部の構成要素を省略又は変更してもよい。図１０のＶＭシステムの構成は一例に過ぎず、ＶＭシステムの用途又は条件に応じて一部の構成要素を省略又は変更してもよい。

図８及び図１５〜図１７に示したフローチャートは一例に過ぎず、ネットワーク管理システム７０１又は情報処理システムの構成又は条件に応じて一部の処理を省略又は変更してもよい。

図１〜図５及び図１０に示したＶＭ、コンテナ、仮想スイッチ、仮想ポート、仮想ＮＩＣ、仮想ルータ、及び仮想タップは一例に過ぎず、ＶＭシステムの構成は、ＶＭシステムの用途に応じて変化する。

図６に示したＰＢＲと図１１に示したルーティングテーブルは一例に過ぎず、ＰＢＲ及びルーティングテーブルは、ＶＭシステムの構成に応じて変化する。図１２に示した管理テーブルと図１３及び図１４に示した制御テーブルは一例に過ぎず、管理テーブル及び制御テーブルは、管理者により入力される情報に応じて変化する。

図１８は、図９の情報処理装置９０１〜情報処理装置９０３のハードウェア構成例を示している。情報処理装置は、コンピュータと呼ばれることもある。図１８の情報処理装置は、ＣＰＵ（Central Processing Unit）１８０１、メモリ１８０２、入力装置１８０３、出力装置１８０４、補助記憶装置１８０５、媒体駆動装置１８０６、及びネットワーク接続装置１８０７を含む。これらの構成要素はハードウェアであり、バス１８０８により互いに接続されている。

メモリ１８０２は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリであり、処理に用いられるプログラム及びデータを記憶する。メモリ１８０２は、図９の記憶部９１３、記憶部９２４、又は記憶部９３３として用いることができる。

ＣＰＵ１８０１（プロセッサ）は、例えば、メモリ１８０２を利用してプログラムを実行することにより、図９の制御部９１１として動作する。ＣＰＵ１８０１は、メモリ１８０２を利用してプログラムを実行することにより、制御部９２１及び制御部９２２としても動作する。ＣＰＵ１８０１は、メモリ１８０２を利用してプログラムを実行することにより、管理部９３１としても動作する。

入力装置１８０３は、例えば、キーボード、ポインティングデバイス等であり、ユーザ又はオペレータからの指示や情報の入力に用いられる。出力装置１８０４は、例えば、表示装置、プリンタ、スピーカ等であり、ユーザ又はオペレータへの問い合わせ及び処理結果の出力に用いられる。処理結果は、図１０のコンテナ１０２３が行うミラーパケットの解析処理の結果であってもよい。

補助記憶装置１８０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。補助記憶装置１８０５は、ハードディスクドライブ又はフラッシュメモリであってもよい。情報処理装置は、補助記憶装置１８０５にプログラム及びデータを格納しておき、それらをメモリ１８０２にロードして使用することができる。

媒体駆動装置１８０６は、可搬型記録媒体１８０９を駆動し、その記録内容にアクセスする。可搬型記録媒体１８０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。可搬型記録媒体１８０９は、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＤＶＤ（Digital Versatile Disk）、又はＵＳＢ（Universal Serial Bus）メモリであってもよい。ユーザ又はオペレータは、可搬型記録媒体１８０９にプログラム及びデータを格納しておき、それらをメモリ１８０２にロードして使用することができる。

このように、処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体は、メモリ１８０２、補助記憶装置１８０５、及び可搬型記録媒体１８０９のような、物理的な（非一時的な）記録媒体である。

ネットワーク接続装置１８０７は、通信ネットワーク９０４に接続され、通信に伴うデータ変換を行う通信インタフェース回路である。ネットワーク接続装置１８０７は、図９の通信部９１２、通信部９２３、又は通信部９３２として用いることができる。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置１８０７を介して受け取り、それらをメモリ１８０２にロードして使用することができる。

なお、情報処理装置が図１８のすべての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略することも可能である。例えば、図１８の情報処理装置が情報処理装置９０１又は情報処理装置９０２であり、かつ、ユーザ又はオペレータとのインタフェースが不要である場合は、入力装置１８０３及び出力装置１８０４を省略してもよい。また、可搬型記録媒体１８０９を利用しない場合は、媒体駆動装置１８０６を省略してもよい。

開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

図４乃至図１８を参照しながら説明した実施形態に関し、さらに以下の付記を開示する。
（付記１）
第１コンテナを含む第１仮想マシンと、前記第１コンテナが受信する受信パケット又は前記第１コンテナが送信する送信パケットのミラーパケットを送信する第１仮想スイッチとを動作させる第１制御部と、
前記ミラーパケットをモニタする第２コンテナを含む第２仮想マシンと、前記第１仮想スイッチから前記ミラーパケットを受信して前記第２仮想マシンへ転送する第２仮想スイッチとを動作させる第２制御部と、
前記ミラーパケットの宛先情報と前記第２コンテナに対応するアドレスとを対応付けて記憶する記憶部と、
前記第２仮想マシンが前記第２仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第２コンテナに対応するアドレスを前記第２仮想マシンへ送信する動作を、前記第２仮想スイッチに行わせ、前記第２コンテナに対応するアドレスを用いて前記ミラーパケットを前記第２コンテナへ転送する動作を、前記第２仮想マシンに行わせる第３制御部と、
を備えることを特徴とするネットワーク管理システム。
（付記２）
前記ミラーパケットの宛先情報は、前記ミラーパケットの宛先アドレスに対応する第３コンテナを含む第３仮想マシンのアドレスであり、
前記第３制御部は、前記ミラーパケットの宛先アドレスに基づいて前記第３仮想マシンのアドレスを取得し、前記第３仮想マシンのアドレスに対するアドレス解決を要求する動作を、前記第２仮想マシンに行わせることを特徴とする付記１記載のネットワーク管理システム。
（付記３）
前記ミラーパケットが前記受信パケットのミラーパケットである場合、前記第３コンテナは前記第１コンテナであり、前記第３仮想マシンは前記第１仮想マシンであることを特徴とする付記２記載のネットワーク管理システム。
（付記４）
前記第２制御部は、前記第２仮想スイッチが前記第１仮想スイッチから前記ミラーパケットを受信した場合、前記ミラーパケットの宛先アドレスに基づいて前記第３仮想マシンのアドレスを取得し、前記第３仮想マシンのアドレスと前記第２コンテナに対応するアドレスとを対応付けて前記記憶部に格納する動作を、前記第２仮想スイッチに行わせることを特徴とする付記２又は３記載のネットワーク管理システム。
（付記５）
前記記憶部は、アドレス解決テーブルをさらに記憶し、
前記第３制御部は、前記ミラーパケットの宛先アドレスと前記第２コンテナに対応するアドレスとを対応付けて前記アドレス解決テーブルに格納する動作を、前記第２仮想マシンに行わせることを特徴とする付記２乃至４のいずれか１項に記載のネットワーク管理システム。
（付記６）
前記ミラーパケットの宛先アドレスは、前記第３コンテナのインターネットプロトコルアドレスであり、前記第３仮想マシンのアドレスは、前記第３仮想マシンのインターネットプロトコルアドレスであり、前記第２コンテナに対応するアドレスは、前記第２コンテナへの経路に対応するインタフェースのメディアアクセス制御アドレスであることを特徴とする付記２乃至５のいずれか１項に記載のネットワーク管理システム。
（付記７）
ミラーパケットをモニタする第１コンテナを含む第１仮想マシンと、前記ミラーパケットを前記第１仮想マシンへ転送する仮想スイッチとを動作させる第１制御部と、
前記ミラーパケットの宛先情報と前記第１コンテナに対応するアドレスとを対応付けて記憶する記憶部と、
前記第１仮想マシンが前記仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第１コンテナに対応するアドレスを前記第１仮想マシンへ送信する動作を、前記仮想スイッチに行わせ、前記第１コンテナに対応するアドレスを用いて前記ミラーパケットを前記第１コンテナへ転送する動作を、前記第１仮想マシンに行わせる第２制御部と、
を備えることを特徴とするネットワーク管理装置。
（付記８）
前記ミラーパケットの宛先情報は、前記ミラーパケットの宛先アドレスに対応する第２コンテナを含む第２仮想マシンのアドレスであり、
前記第２制御部は、前記ミラーパケットの宛先アドレスに基づいて前記第２仮想マシンのアドレスを取得し、前記第２仮想マシンのアドレスに対するアドレス解決を要求する動作を、前記第１仮想マシンに行わせることを特徴とする付記７記載のネットワーク管理装置。
（付記９）
前記第１制御部は、前記仮想スイッチが前記ミラーパケットを受信した場合、前記ミラーパケットの宛先アドレスに基づいて前記第２仮想マシンのアドレスを取得し、前記第２仮想マシンのアドレスと前記第１コンテナに対応するアドレスとを対応付けて前記記憶部に格納する動作を、前記仮想スイッチに行わせることを特徴とする付記８記載のネットワーク管理装置。
（付記１０）
前記記憶部は、アドレス解決テーブルをさらに記憶し、
前記第２制御部は、前記ミラーパケットの宛先アドレスと前記第１コンテナに対応するアドレスとを対応付けて前記アドレス解決テーブルに格納する動作を、前記第１仮想マシンに行わせることを特徴とする付記８又は９記載のネットワーク管理装置。
（付記１１）
前記ミラーパケットの宛先アドレスは、前記第２コンテナのインターネットプロトコルアドレスであり、前記第２仮想マシンのアドレスは、前記第２仮想マシンのインターネットプロトコルアドレスであり、前記第１コンテナに対応するアドレスは、前記第１コンテナへの経路に対応するインタフェースのメディアアクセス制御アドレスであることを特徴とする付記８乃至１０のいずれか１項に記載のネットワーク管理装置。
（付記１２）
ミラーパケットをモニタする第１コンテナを含む第１仮想マシンと、前記ミラーパケットを前記第１仮想マシンへ転送する仮想スイッチとを動作させ、
前記第１仮想マシンが前記仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第１コンテナに対応するアドレスを前記第１仮想マシンへ送信する動作を、前記仮想スイッチに行わせ、
前記第１コンテナに対応するアドレスを用いて前記ミラーパケットを前記第１コンテナへ転送する動作を、前記第１仮想マシンに行わせる、
処理をコンピュータに実行させるためのネットワーク管理プログラム。
（付記１３）
前記ミラーパケットの宛先情報は、前記ミラーパケットの宛先アドレスに対応する第２コンテナを含む第２仮想マシンのアドレスであり、
前記ネットワーク管理プログラムは、
前記ミラーパケットの宛先アドレスに基づいて前記第２仮想マシンのアドレスを取得し、前記第２仮想マシンのアドレスに対するアドレス解決を要求する動作を、前記第１仮想マシンに行わせる処理を、
前記コンピュータにさらに実行させることを特徴とする付記１２記載のネットワーク管理プログラム。
（付記１４）
前記ネットワーク管理プログラムは、
前記仮想スイッチが前記ミラーパケットを受信した場合、前記ミラーパケットの宛先アドレスに基づいて前記第２仮想マシンのアドレスを取得し、前記第２仮想マシンのアドレスと前記第１コンテナに対応するアドレスとを対応付ける動作を、前記仮想スイッチに行わせる処理を、
前記コンピュータにさらに実行させることを特徴とする付記１３記載のネットワーク管理プログラム。
（付記１５）
前記ネットワーク管理プログラムは、
前記ミラーパケットの宛先アドレスと前記第１コンテナに対応するアドレスとを対応付けて前記アドレス解決テーブルに格納する動作を、前記第１仮想マシンに行わせる処理を、
前記コンピュータにさらに実行させることを特徴とする付記１３又は１４記載のネットワーク管理プログラム。
（付記１６）
前記ミラーパケットの宛先アドレスは、前記第２コンテナのインターネットプロトコルアドレスであり、前記第２仮想マシンのアドレスは、前記第２仮想マシンのインターネットプロトコルアドレスであり、前記第１コンテナに対応するアドレスは、前記第１コンテナへの経路に対応するインタフェースのメディアアクセス制御アドレスであることを特徴とする付記１３乃至１５のいずれか１項に記載のネットワーク管理プログラム。

１０１、４０１ ホスト装置
１１１、１２１、１００１〜１００３ ＶＭ
１２１、４２１、１０１１、１０１２ 仮想スイッチ
１３１、４４１、１０３１ 入力パケット
１３２、４４２、１０３２ 出力パケット
２０１、３０１、５０１、９１４、９２５ ルーティングテーブル
２１１、２１２、３１１、３１２、４３１、４３２、１０２１〜１０２４ コンテナ
２２１、３２１ 仮想ルータ
２２２、３２２ ＢＧＰデーモン
３０２ 仮想通信ネットワーク
７０１ ネットワーク管理システム
７１１ 第１制御部
７１２ 第２制御部
７１３ 第３制御部
７１４ 記憶部
７２１ 第１仮想マシン
７２２ 第２仮想マシン
７３１ 第１仮想スイッチ
７３２ 第２仮想スイッチ
７４１ 第１コンテナ
７４２ 第２コンテナ
９０１〜９０３ 情報処理装置
９０４ 通信ネットワーク
９１１、９２１、９２２ 制御部
９１２、９２３、９３２ 通信部
９１３、９２４、９３３ 記憶部
９１５、９２６ ＡＲＰテーブル
９１６、９２７ 制御テーブル
９３１ 管理部
９３４ 管理テーブル
１８０１ ＣＰＵ
１８０２ メモリ
１８０３ 入力装置
１８０４ 出力装置
１８０５ 補助記憶装置
１８０６ 媒体駆動装置
１８０７ ネットワーク接続装置
１８０８ バス
１８０９ 可搬型記録媒体

Claims (7)

1. 第１コンテナを含む第１仮想マシンと、前記第１コンテナが受信する受信パケット又は前記第１コンテナが送信する送信パケットのミラーパケットを送信する第１仮想スイッチとを動作させる第１制御部と、
   前記ミラーパケットをモニタする第２コンテナを含む第２仮想マシンと、前記第１仮想スイッチから前記ミラーパケットを受信して前記第２仮想マシンへ転送する第２仮想スイッチとを動作させる第２制御部と、
   前記ミラーパケットの宛先情報と前記第２コンテナに対応するアドレスとを対応付けて記憶する記憶部と、
   前記第２仮想マシンが前記第２仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第２コンテナに対応するアドレスを前記第２仮想マシンへ送信する動作を、前記第２仮想スイッチに行わせ、前記第２コンテナに対応するアドレスを用いて前記ミラーパケットを前記第２コンテナへ転送する動作を、前記第２仮想マシンに行わせる第３制御部と、
   を備えることを特徴とするネットワーク管理システム。
2. 前記ミラーパケットの宛先情報は、前記ミラーパケットの宛先アドレスに対応する第３コンテナを含む第３仮想マシンのアドレスであり、前記第３制御部は、前記ミラーパケットの宛先アドレスに基づいて前記第３仮想マシンのアドレスを取得し、前記第３仮想マシンのアドレスに対するアドレス解決を要求する動作を、前記第２仮想マシンに行わせることを特徴とする請求項１記載のネットワーク管理システム。
3. 前記ミラーパケットが前記受信パケットのミラーパケットである場合、前記第３コンテナは前記第１コンテナであり、前記第３仮想マシンは前記第１仮想マシンであることを特徴とする請求項２記載のネットワーク管理システム。
4. 前記第２制御部は、前記第２仮想スイッチが前記第１仮想スイッチから前記ミラーパケットを受信した場合、前記ミラーパケットの宛先アドレスに基づいて前記第３仮想マシンのアドレスを取得し、前記第３仮想マシンのアドレスと前記第２コンテナに対応するアドレスとを対応付けて前記記憶部に格納する動作を、前記第２仮想スイッチに行わせることを特徴とする請求項２又は３記載のネットワーク管理システム。
5. 前記記憶部は、アドレス解決テーブルをさらに記憶し、
   前記第３制御部は、前記ミラーパケットの宛先アドレスと前記第２コンテナに対応するアドレスとを対応付けて前記アドレス解決テーブルに格納する動作を、前記第２仮想マシンに行わせることを特徴とする請求項２乃至４のいずれか１項に記載のネットワーク管理システム。
6. ミラーパケットをモニタする第１コンテナを含む第１仮想マシンと、前記ミラーパケットを前記第１仮想マシンへ転送する仮想スイッチとを動作させる第１制御部と、
   前記ミラーパケットの宛先情報と前記第１コンテナに対応するアドレスとを対応付けて記憶する記憶部と、
   前記第１仮想マシンが前記仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第１コンテナに対応するアドレスを前記第１仮想マシンへ送信する動作を、前記仮想スイッチに行わせ、前記第１コンテナに対応するアドレスを用いて前記ミラーパケットを前記第１コンテナへ転送する動作を、前記第１仮想マシンに行わせる第２制御部と、
   を備えることを特徴とするネットワーク管理装置。
7. ミラーパケットをモニタする第１コンテナを含む第１仮想マシンと、前記ミラーパケットを前記第１仮想マシンへ転送する仮想スイッチとを動作させ、
   前記第１仮想マシンが前記仮想スイッチから前記ミラーパケットを受信し、前記ミラーパケットの宛先情報に対するアドレス解決を要求した場合、前記ミラーパケットの宛先情報と対応付けて記憶されている、前記第１コンテナに対応するアドレスを前記第１仮想マシンへ送信する動作を、前記仮想スイッチに行わせ、
   前記第１コンテナに対応するアドレスを用いて前記ミラーパケットを前記第１コンテナへ転送する動作を、前記第１仮想マシンに行わせる、
   処理をコンピュータに実行させるためのネットワーク管理プログラム。
   

Images