JP4223365B2 - データ中継装置およびデータ中継方法 - Google Patents

データ中継装置およびデータ中継方法 Download PDF

Info

Publication number
JP4223365B2
JP4223365B2 JP2003338263A JP2003338263A JP4223365B2 JP 4223365 B2 JP4223365 B2 JP 4223365B2 JP 2003338263 A JP2003338263 A JP 2003338263A JP 2003338263 A JP2003338263 A JP 2003338263A JP 4223365 B2 JP4223365 B2 JP 4223365B2
Authority
JP
Japan
Prior art keywords
packet
data
snoop
network
relay
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2003338263A
Other languages
English (en)
Other versions
JP2005109715A (ja
Inventor
祐治 小島
康司 黒川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2003338263A priority Critical patent/JP4223365B2/ja
Publication of JP2005109715A publication Critical patent/JP2005109715A/ja
Application granted granted Critical
Publication of JP4223365B2 publication Critical patent/JP4223365B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

この発明は、ネットワークにより通信されるデータを中継し、中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継装置およびデータ中継方法に関し、特に、スヌープしたデータを分析するネットワーク分析装置が分析に必要な付加情報を得ることを可能とするデータ中継装置およびデータ中継方法に関するものである。
コンピュータやさまざまな情報処理機器をネットワークにより相互接続するシステムの利用拡大に伴い、ネットワークの規模拡大あるいは相互接続のために、ネットワーク間の中継、例えばLAN(Local Area Network)とLAN、LANと専用線を相互接続する必要が生じる。このネットワーク間の中継を実現するのがパケット中継装置である。LAN間を相互接続するパケット中継装置が、通信データが格納されているパケットをそのパケットのヘッダに格納されている情報に基づいて中継処理することによって端末間の通信が実現する。
すなわち、パケット中継装置は、受信パケットのパケットフォーマットをパケットのヘッダ情報等から判別(パケット分別処理)し、パケット分別結果に応じたパケットの宛先情報を格納した中継テーブルを検索し、ヘッダ書き換え処理等のパケット更新処理をパケットに対し行い、処理したパケットを送信することによってパケットを中継する。
また、パケット中継装置は、中継したパケットを、中継したパケットとは別にコピーして送信する機能を具備する。このような、パケット中継装置が具備する機能をスヌープまたはスヌープ機能をいう（例えば、特許文献１参照。）。
図１９は、従来のパケット中継装置によるスヌープ機能を説明するための説明図である。同図において、パケット中継装置７００は、ネットワークＡとネットワークＢを相互接続する。すなわち、このパケット中継装置７００は、送受信ポート1よりパケット1を受信し、ネットワークＢへ向けて送受信ポート2から、パケット1をパケット2として送信する。
ここで、パケット中継装置７００が、結果的にパケット1を更新してパケット2とするかどうか、つまり、パケット1とパケット2の内容が異なるかどうかは、パケット中継装置７００が行ったパケット分別処理によって判明するパケット中継処理種別に依存する。一般的にISO(International Organization for Standardization)のOSI(Open Systems Interconnection)モデルにおけるデータリンク層の中継処理であるブリッジ中継では、パケット1とパケット2の内容は同一であり、OSIモデルにおけるネットワーク層の中継処理であるルーティング中継では、パケット1とパケット2の内容は異なる。
さらに、パケット中継装置７００は、パケット中継装置７００のある特定の送受信ポートへネットワーク分析装置８００を接続し、この特定送受信ポートからネットワーク分析装置８００へ向けて、中継したパケットを、中継したパケットとは別にコピーして送信する。このようなパケットのコピー機能がパケット中継装置のスヌープ機能である。ネットワーク分析装置８００は、パケット中継装置７００がコピーしたパケットを受信することによって、パケット中継装置７００が中継したパケットを分析することができる。
このようなネットワーク分析装置８００としては、ネットワークに対する不正な侵入を検知する侵入検知システム(IDS; Intrusion Detective System)や、ユーザの課金等の管理を行うネットワーク管理システムがあり、その分析目的は、幅広く多様である。特に侵入検知システムにおいては、侵入手法の進化に応じて、その分析目的も進化する。このような進化する分析目的に応じて、ネットワーク分析装置８００は、パケット中継装置７００へコピー対象とする中継パケットの条件、すなわちスヌープ条件を設定し、パケット中継装置７００は、スヌープ条件に合致する中継パケットをコピーして、ネットワーク分析装置８００が設定した特定の送受信ポート、すなわちスヌーパポートから送信する。
尚、上述のようなスヌープ機能は、他にも、ミラーリング、モニタリング、キャプチャ、スニッフ、SPAN(Switched Port Analyzer)等の各装置独自の機能名称で呼称される（例えば、非特許文献１参照。）。
スヌープ機能を図１９を用いて説明すると、パケット中継装置７００は、パケット1をパケット2としてネットワーク中継(以降、コピーしたパケットを中継する処理と区別する用語として「ネットワーク中継」を使用する)する過程において、受信したパケット1、送信するパケット2または両方をコピーしてパケット3とし、パケット3をネットワーク分析装置８００がスヌーパポートとして設定した送受信ポート3より、ネットワーク分析装置８００へ向けて送信する。この時、パケット中継装置７００が受信パケットであるパケット1、送信パケットであるパケット2またはその両方のパケットをコピーするかは、ネットワーク分析装置８００が設定したスヌープ条件に依存する。
図２０は、上述のようなスヌープ機能を実現する、従来のパケット中継装置７００の構成を示す機能ブロック図である。同図に示すように、このパケット中継装置７００は、パケット分別部７１０と、中継テーブル７２０と、スヌープ条件テーブル７３０と、制御部７４０と、スヌープ制御部７５０と、パケット交換部７６０と、パケット更新部７７０とを有する。
パケット分別部７１０は、受信パケットのパケットフォーマットをパケットのヘッダ情報から判別してパケットを分別し、パケット分別結果に応じたパケットの宛先情報を中継テーブル７２０から検索してパケットのヘッダ部、宛先情報およびネットワーク中継に即したパケット更新情報をスヌープ制御部７５０へ送信する処理部である。尚、このパケット分別部７１０は、受信パケットのヘッダ部のみを受信するが、受信パケット全部を受信することもできる。
中継テーブル７２０は、パケット分別部７１０によるパケット分別結果に応じたパケットの宛先情報を記憶したテーブルである。具体的には、この中継テーブル７２０として、ブリッジ中継に使用する学習テーブルやルーティング中継に使用するルーティングテーブル等がある。
スヌープ条件テーブル７３０は、スヌープするパケットの条件を記憶したテーブルである。このスヌープ条件テーブル７３０は、スヌープ制御部７５０によってスヌープ制御に使用される。
制御部７４０は、パケット中継装置７００全体の制御を行う処理部であり、パケット中継装置７００を一つの装置として機能させる。また、この制御部７４０は、ネットワーク分析装置８００が設定インタフェースを介して設定するスヌープ条件情報をスヌープ条件テーブル７３０へ格納する。
スヌープ制御部７５０は、パケット分別部７１０からパケットのヘッダ部、宛先情報およびネットワーク中継に即したパケット更新情報を受信し、受信した情報に基づいてパケットのスヌープを制御する処理部である。すなわち、このスヌープ制御部７５０は、スヌープ条件テーブル７３０を検索し、パケットがスヌープ条件に合致したならば、パケットのコピー処理をパケット交換部７６０へ指示する。
また、このスヌープ制御部７５０は、合致したスヌープ条件が送信パケットのコピーならば、受信パケットをコピーしたパケットの更新をパケット更新部７７０へ指示し、合致したスヌープ条件が受信パケットのコピーならば、受信パケットをコピーしたパケットの非更新をパケット更新部７７０へ指示する。
尚、このスヌープ制御部７５０は、パケット分別部７１０の指示に従って、ネットワーク中継のパケットについても、ネットワーク中継に即したパケット更新をパケット更新部７７０へ指示する。
パケット交換部７６０は、受信パケットを一時的に格納するとともに、スヌープ制御部７５０の指示に従って受信パケットのコピーを作成して格納する処理部である。また、このパケット交換部７６０は、格納したパケットおよびコピーしたパケットを宛先情報に対応する送信ポートへ向けてパケット更新部７７０経由で送信する。
パケット更新部７７０は、パケット交換部７６０から受信したパケットをスヌープ制御部７５０の指示に従って更新し、送信ポートより送信する処理部である。すなわち、このパケット更新部７７０は、ネットワーク中継に即したパケット更新とスヌープに即したコピーパケットのパケット更新とを行う。
図２０において、ネットワーク分析装置８００は、パケット中継装置７００によりスヌープされたパケットをスヌーパポートから受け取り分析する装置である。また、このネットワーク分析装置８００は、パケット中継装置７００が具備する設定インタフェースを介して、パケット中継装置７００へスヌープ条件を設定する。
図２１は、設定インタフェースの論理データ構造の一例を示す図である。同図において、各設定1〜設定n(nは任意)は、スヌープ条件情報のみより構成される。また、スヌープ条件情報としては、一般的に以下の二つの形式がある。
（１）(スヌープ条件種別, スヌープポート, スヌーパポート)
この時、スヌープ条件種別は、受信ポートスヌープまたは送信ポートスヌープである。（２）(スヌープ条件種別, 対象送受信パケット, スヌーパポート)
この時、スヌープ条件種別は、受信特定フロースヌープまたは送信特定フロースヌープである。
受信ポートスヌープは、スヌープポートとして指定したポートより受信したパケットをコピーしてスヌーパポートへ送信するスヌープ条件種別である。送信ポートスヌープは、スヌープポートとして指定したポートから送信するパケットをコピーしてスヌーパポートへ送信するスヌープ条件種別である。
受信特定フロースヌープは、受信パケットに対し、受信パケットが格納する各フィールド値(送受信アドレス等)の条件を設定し、条件に一致する受信パケットの、対象送受信パケットとして指定した時点、つまり、受信時または送信時でのパケットをコピーして、スヌーパポートへ送信するスヌープ条件種別である。
送信特定フロースヌープは、送信パケットに対し、送信パケットが格納する各フィールド値(送受信アドレス等)の条件を設定し、条件に一致する送信パケットの、対象送受信パケットとして指定した時点、つまり、受信時または送信時でのパケットをコピーして、スヌーパポートへ送信するスヌープ条件種別である。
尚、ネットワーク分析装置８００からパケット中継装置７００への設定インタフェースを実現する物理伝送媒体、ネットワーク層やアプリケーション層の通信プロトコルについては、様々な手法が存在する。
例えば、図２０においては、物理伝送媒体として、ネットワーク分析装置８００からパケット中継装置７００の送受信ポート3へのネットワークインタフェースを使用し、ネットワーク層としてはIP(Internet Protocol)を使用し、アプリケーション層としてはtelnetプロトコルを使用して実現する手法も、一つの手法である。ただし、ここでは、設定インタフェースの実現手法に関しては問題としないので、設定インタフェースをネットワーク分析装置８００からパケット中継装置７００内の制御部７４０へ直接矢印で図示している。
また、図２０に示したパケット中継装置７００は、スヌープ機能を実現するパケット中継装置の一例であるが、基本的に図２０に示したように、パケット中継装置のネットワーク中継機能とスヌープ機能は、論理的に独立している必要がある。これは、パケット中継装置には、一般的にネットワーク中継機能の一部として、受信パケットをコピーして複数の送信ポートから出力するマルチキャスト機能を具備しており、パケット中継装置内の中継テーブルの設定を変更すれば、マルチキャスト機能によって、パケット中継装置がパケットをコピーすること自体は実現することが出来る。
しかし、スヌープにおいては、その目的が、パケット中継装置が中継するパケットをコピーして、その後分析することなので、パケット中継装置の元々の中継機能に関する設定は保存しておく必要がある。したがって、図２０のように中継テーブル７２０とスヌープ条件テーブル７３０を分けることによって、パケット中継装置７００は、スヌープ機能をネットワーク中継機能とは論理的に独立して具備する必要がある。
特開２００３−１１５８６０号公報 「Catalyst 6500 シリーズソフトウェアコンフィギュレーションガイド」、78-14924-01-J、シスコシステムズ
しかしながら、従来のパケット中継装置が具備するスヌープ機能では、ネットワーク分析装置が、受信したパケットと付随する形態で、パケットには含まれないパケットの中継処理に関する属性情報および、パケットをスヌープするに至ったネットワーク分析装置の分析目的に関する情報が得られないため、ネットワーク分析装置が、目的とする侵入検知やネットワーク管理に関する分析ができない可能性があるという問題点がある。以降、この問題点を具体的に説明する。
図２２は、従来のパケット中継装置９００におけるVLAN(Virtual LAN)設定時のスヌープ機能を説明するための説明図である。同図において、パケット中継装置９００は、送受信ポート1ならびに送受信ポート2および送受信ポート21からポートVLANであるVLANabを構成し、送受信ポート4および送受信ポート5からポートVLANであるVLANcdを構成する。
ここで、VLANとは、物理的な接続形態とは独立に、端末/ネットワークの仮想的なグループをOSI基本参照モデルの第２層であるデータリンク層レベルで設定できる機能である。一般的にこの仮想的なグループの定義方法としてはいくつかあるが、図２２においては、特定のポートが特定のVLANグループへ属する「ポートVLAN」という定義方法を用いている。
このようにネットワークをグループ化することによって、各VLANはデータリンク層における独立したネットワーク中継空間となるので、それぞれの空間内で送受信するパケットに関して、そのパケット内のアドレスが重複したとしても、パケット中継装置９００は、ネットワーク中継を実現することができる。
したがって、図２２においては、VLANabに属するネットワークＡからの受信パケット1と、VLANabとは別のVLANであるVLANcdに属するネットワークＣからの受信パケット4は、そのパケット内のアドレスが同一である可能性があり、パケット1をコピーしたパケット33とパケット4をコピーしたパケット34は、パケット内のアドレスが同一である可能性がある。
したがって、ネットワーク分析装置８００は、パケット33がネットワークＡに属するのかネットワークＣに属するのか、逆にパケット34がネットワークＡに属するのかネットワークＣに属するのか判別することができないという問題点がある。
これは、例えば、ネットワーク分析装置８００が、侵入検知装置として侵入検知を行うとして、ネットワークＡに属するある端末が、侵入しようとしているのか、ネットワークＣに属するある端末が、侵入しようとしているのか、検知/分析できないことになる。このような問題を招くのは、ネットワーク分析装置８００が、パケットには含まれないパケットの中継処理に関する属性情報の一つである送受信ポートを得られないためである。
この問題は、上記のVLANの設定に限ったことではなく、アドレスの観点で複数の独立したネットワーク中継空間からネットワークを構成する場合、端末またはネットワークに一意なパケットは保証されないので、一般的に発生する問題である。
また、さらに一般的に言えば、上述のVLANのようなアドレスの観点で複数の独立したネットワーク中継空間からネットワークを構成する例に限らず、図２２のようなネットワーク構成の場合、パケット33は、送受信ポート1から送受信ポート2へ中継されたのか、送受信ポート1から送受信ポート21へ中継されたのかパケット33内の情報からだけでは、判別することができない。
これは、ネットワークＡからネットワークＢとネットワークＡからネットワークＢaのうち、ネットワークＡからネットワークＢaのみを分析対象とする場合、パケット内の情報からだけでは、ネットワーク分析装置８００は、対象パケットの絞込みが行えないことを意味する。これも、ネットワーク分析装置８００が、パケットには含まれないパケットの中継処理に関する属性情報の一つである方路(パケットの入出力ポートのセット)を得られないためである。
上述のように、ネットワーク分析装置８００が、目的とする侵入検知に関する分析ができないと、さらに分析結果をフィードバックして、ネットワーク管理者が、パケット中継装置９００へ適切な設定(ここでは、不正な侵入を防ぐための適切な設定)を、パケット中継装置９００へできない問題点を招く。
次に、他の課題として、パケットをスヌープするに至ったネットワーク分析装置８００の分析目的に関する課題について、以降で具体的に説明する。例えば、パケット中継装置９００の送受信ポートとは非依存なある特定の端末群からの攻撃を、侵入検知装置であるネットワーク分析装置８００が分析するものとする。このために、ネットワーク分析装置８００は、パケット中継装置９００に対し、複数の受信特定フロースヌープを設定する。
すると、パケット中継装置９００は、受信パケット内の各フィールド値と、受信フロースヌープの条件を比較し、両者が一致した場合は、パケットをコピーして、ネットワーク分析装置８００へ送信する。そして、ネットワーク分析装置８００は、受信したパケットに対し、再度、ネットワーク分析装置８００がパケット中継装置９００へ設定した複数の受信特定フロースヌープ条件を適用し、一致した複数のパケットを、端末群からの攻撃を分析する同一の分析モジュールで分析することになる。
このように、ネットワーク分析装置８００が、パケットを受信した段階で、複数のパケット群を一意に、その分析目的と結び付けられず、それが処理負荷や無駄な処理となるのは、ネットワーク分析装置８００が、パケット中継装置９００からパケットと付随して、ネットワーク分析装置８００が特定受信フロースヌープを設定した分析目的(ここでは、ある特定の端末群からの攻撃を指す)を示す情報が得られないためである。
上述のようにネットワーク分析装置８００に無駄な処理負荷をかけることは、ネットワーク分析装置８００の全体的な分析処理能力を低下させ、ネットワーク分析装置８００が、別の目的とする分析をできなくする可能性がある。また、上述のようにネットワーク分析装置８００が、目的とする侵入検知に関する分析ができないと、さらに分析結果をフィードバックして、ネットワーク管理者が、パケット中継装置９００へ適切な設定をできないという問題点を招く。
この発明は、上述した従来技術による問題点を解消するためになされたものであり、スヌープしたデータを分析するネットワーク分析装置が分析に必要な付加情報を得ることを可能とするデータ中継装置およびデータ中継方法を提供することを目的とする。
上述した課題を解決し、目的を達成するため、本発明は、ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継装置であって、スヌープするデータに付加する情報の指定を付加情報指定として記憶した付加情報指定記憶手段と、前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手段とを備え、前記付加情報指定には、パケット中継処理に関する情報であるパケット中継処理情報を付加する情報として指定するパケット中継処理情報付加指定を含み、前記スヌープ制御手段は、前記パケット中継処理情報付加指定が指定された場合に、パケット中継処理情報を付加してデータをスヌープすることを特徴とする。
また、本発明は、ネットワークにより通信されるデータを中継し、該中継するデータの
うち指定された条件に合致するデータをスヌープするデータ中継装置であって、スヌープするデータに付加する情報の指定を付加情報指定として記憶した付加情報指定記憶手段と、前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手段とを備え、前記付加情報指定には、送受信データのセットのスヌープを指定する送受信セット指定を含み、前記スヌープ制御手段は、前記送受信セット指定が指定された場合に、送信データをスヌープするときには受信データを付加し、受信データをスヌープするときには送信データを付加することによって、送受信データのセットをスヌープすることを特徴とする。
かかる発明によれば、スヌープするデータに付加する情報の指定を付加情報指定として記憶し、記憶した付加情報指定で指定された情報を付加してデータをスヌープすることとしたので、スヌープしたデータを分析するネットワーク分析装置が分析に必要な付加情報を得ることができる。
本発明によれば、スヌープするデータに付加する情報の指定を付加情報指定として記憶し、記憶した付加情報指定で指定された情報を付加してデータをスヌープするよう構成したので、スヌープしたデータを分析するネットワーク分析装置が分析に必要な付加情報を得ることができるという効果を奏する。
以下に添付図面を参照して、この発明に係るデータ中継装置およびデータ中継方法の好適な実施例を詳細に説明する。尚、本実施例では、本発明をパケットを中継するパケット中継装置に適用した場合を中心に説明する。
まず、本実施例１に係るパケット中継装置によるスヌープ機能について説明する。図１は、本実施例１に係るパケット中継装置によるスヌープ機能を説明するための説明図である。同図において、ネットワーク分析装置２００は、スヌープ条件とスヌープ付加情報のセットを、パケット中継装置１００の設定インタフェースを介して設定する。
ここで、スヌープ付加情報とは、スヌープするパケットに付加する情報であり、ネットワーク分析装置２００は、分析に必要な情報を付加するようにパケット中継装置１００を設定することができる。このようなスヌープ付加情報としては、方路などのパケット中継処理に関する属性情報や分析目的を示す情報などがある。
また、パケット中継装置１００は、パケット中継装置１００の設定インタフェースよりスヌープ条件とスヌープ付加情報のセットを受信して、装置内に保持する。そして、パケット中継装置１００は、パケット1を送受信ポート1から受信して、パケット2として送受信ポート2から送信して、ネットワーク中継する。
この時、パケット中継装置１００は、ネットワーク分析装置２００が設定したスヌープ条件に合致したパケット1またはパケット2をコピーするとともに、スヌープ条件とセットであるスヌープ付加情報を付与して、パケット31として、スヌーパポートである送受信ポート3から送信する。すなわち、パケット31は、パケット1またはパケット2をコピーした上に、図示したようにスヌープ付加情報を内包するパケットである。
また、ネットワーク分析装置２００は、スヌープ付加情報を内包したパケット31を受信し、パケット31に付随するスヌープ付加情報より、パケットには含まれないパケットの中継処理に関する属性情報および、パケットをスヌープするに至ったネットワーク分析装置の分析目的に関する情報を得ることができる。
このように、本実施例１に係るパケット中継装置１００は、スヌープ条件に合致したパケットをスヌープする場合に、パケットにスヌープ付加情報を付与してスヌーパポートから送信することとしたので、ネットワーク分析装置２００は、パケット以外に分析に必要な情報をパケット中継装置１００から得ることができる。
次に、本実施例１に係るパケット中継装置１００の構成について説明する。図２は、本実施例１に係るパケット中継装置１００の構成を示す機能ブロック図である。尚、ここでは説明の便宜上、図２０に示した各部と同様の役割を果たす機能部については同一符号を付すこととしてその詳細な説明を省略する。
図２に示すように、このパケット中継装置１００は、パケット分別部７１０と、中継テーブル７２０と、スヌープ条件テーブル７３０と、スヌープ付加情報テーブル１１０と、制御部１２０と、スヌープ制御部１３０と、パケット交換部７６０と、パケット更新部１４０とを有する。また、このパケット中継装置１００は、送受信ポート1〜送受信ポート9を有する。
図３は、スヌープ条件テーブル７３０の一例を示す図である。同図に示すように、このスヌープ条件テーブル７３０は、スヌープ条件の各設定を識別する設定番号と、スヌープ条件情報とを設定ごとに記憶している。
また、スヌープ条件情報には、スヌープ条件種別と、パケットをスヌープする送受信ポート番号を示すスヌープポートと、スヌープするパケットが受信パケットであるか送信パケットであるかを示す対象送受信パケットと、特定のパケットをスヌープする場合にスヌープするパケットについての情報を指定する特定フロー情報テーブルに定義された各フローを識別する特定フロー識別子と、スヌーパポートが含まれる。
例えば、設定番号が「１」である設定は、スヌープ条件種別は「受信ポートスヌープ」であり、スヌープポートは「１」であり、特定のパケットだけをスヌープすることはなく、スヌーパポートは「３」である。また、設定番号が「５」である設定は、スヌープ条件種別は「受信特定フロースヌープ」であり、送受信ポート番号に関係なく特定の受信パケットをスヌープし、スヌープするパケット指定する特定フロー識別子は「flow1」である。
図４は、特定フロー情報テーブルの一例を示す図である。同図に示すように、この特定フロー情報テーブルは、特定フロー識別子と、受信ポートと、送信ポートと、パケットの送信元のＩＰアドレスを示すIP SAと、パケットの送信先のＩＰアドレスを示すIP DAと、プロトコルを示すＩＰ Protocolと、ヘッダの中の情報であるIP TOSと、ＩＰパケットの受信ポート番号を示すＩＰ受信ポートと、ＩＰパケットの送信ポート番号を示すＩＰ送信ポートとを、スヌープするフローごとに記憶している。
例えば、特定フロー識別子が「flow1」であるフローは、IP SAが「192.168.3.1」であり、IP DAが「192.168.2.3」である全てのパケットをスヌープすることを指定している。
尚、図３のセル内斜線は、未設定を示す。例えば、受信ポートスヌープは、対象送受信パケットおよび特定フロー識別子と設定上無関係なので、対象送受信パケットおよび特定フロー識別子のセル値は、未設定であり、受信特定フロースヌープは、スヌープポートと設定上無関係なので、未設定としている。また、特定フロー情報テーブル中の「＊」は、値が何でもよいことを示す。
スヌープ付加情報テーブル１１０は、スヌープしたパケットに付加する情報の指定を記憶したテーブルである。図５は、スヌープ付加情報テーブル１１０の一例を示す図である。同図に示すように、このスヌープ付加情報テーブル１１０は、設定番号と、スヌープ付加情報とを設定ごとに対応させて記憶している。
また、スヌープ付加情報には、パケット中継処理に関する情報の付加を指定するパケット中継処理情報付加指示と、任意付与情報とが含まれる。ここで、パケット中継処理情報付加指示としては、例えば、スヌープしたパケットの入出力ポートのセットである方路の付加指示や、スヌープしたパケットと条件が一致したスヌープ条件種別(従来の技術における受信ポートスヌープ/送信ポートスヌープ/受信特定フロースヌープ/送信特定フロースヌープ)の付加指示がある。また、任意付与情報は、ネットワーク分析装置２００が分析目的を示す情報を付加する場合などに利用される。
例えば、設定番号が「１」である設定に対応するスヌープ付加情報は、パケット中継処理情報付加指示は「方路」であり、任意付与情報は「１００」である。また、設定番号が「３」である設定に対応するスヌープ付加情報は、パケット中継処理情報付加指示は「方路」および「スヌープ条件種別」であり、任意付与情報はない。
制御部１２０は、パケット中継装置１００全体の制御を行う処理部である。また、この制御部１２０は、ネットワーク分析装置２００が設定インタフェースを介して設定するスヌープ条件情報をスヌープ条件テーブル７３０へ格納し、スヌープ付加情報をスヌープ付加情報テーブル１１０に格納する。
図６は、本実施例１に係る設定インタフェースの論理データ構造の一例を示す図である。同図に示すように、各設定1〜設定n(nは任意)は、スヌープ条件情報とスヌープ付加情報のセットからなる。また、スヌープ付加情報は、パケットには含まれないパケットの中継処理に関する属性情報の付加を指示するパケット中継処理情報付加指示と、パケットをスヌープするに至ったネットワーク分析装置の分析目的に応じた任意の値である任意付与情報からなる。
スヌープ制御部１３０は、スヌープ条件テーブル７３０を検索し、パケット分別部７１０より受信したパケットが、スヌープ条件に合致したならば、さらに、スヌープ付加情報テーブル１１０を検索し、スヌープするパケットに付加すべきスヌープ付加情報を得る。そして、パケットのコピー処理をパケット交換部７６０へ指示し、合致した条件が送信パケットのコピーならば、受信パケットをコピーしたパケットの更新をパケット更新部１４０へ指示し、合致した条件が受信パケットのコピーならば、受信パケットをコピーしたパケットの非更新をパケット更新部１４０へ指示する。
さらに、このスヌープ制御部１３０は、新たにスヌープ付加情報の付与をパケット更新部１４０へ指示する。すなわち、このスヌープ制御部１３０は、パケット中継処理情報付加指示に従い、パケット分別または、スヌープ条件テーブル７３０の検索によって得た、パケットのパケット中継処理情報のスヌープしたパケットへの付与をパケット更新部１４０へ指示する。また、このスヌープ制御部１３０は、スヌープしたパケットへの任意付与情報の付与をパケット更新部１４０へ指示する。
パケット更新部１４０は、パケット交換部７６０より受信したパケットを、パケットに対する上述の更新/非更新/付与指示に従い、更新/非更新/付与し、送信ポートより送信する。
このように、スヌープ制御部１３０がスヌープ付加情報テーブル１１０で指定されたスヌープ付加情報の付与をパケット更新部１４０に指示し、パケット更新部１４０がスヌープ制御部１３０の指示に従ってスヌープ付加情報をスヌープしたパケットに付加することによって、ネットワーク分析装置２００は、分析に必要な情報を得ることができる。
次に、本実施例１に係るパケット中継装置１００の処理手順について説明する。図７は、本実施例１に係るパケット中継装置１００の処理手順を示すフローチャートである。同図に示すように、このパケット中継装置１００は、受信ポートからパケットを受信し（ステップＳ７０１）、受信したパケットをパケット交換部７６０が格納するとともに、受信したパケットのパケットフォーマットをパケットのヘッダ情報等からパケット分別部７１０が判別してパケットを分別する（ステップＳ７０２）。
そして、パケット分別部７１０がパケットの分別結果を用いて中継テーブル７２０を検索してパケットの宛先情報を取得し（ステップＳ７０３）、取得した宛先情報、ネットワーク中継に即した更新情報およびパケットのヘッダ部をスヌープ制御部１３０に送信し、スヌープ制御部１３０を介してネットワーク中継としてのパケットの更新をパケット更新部１４０に指示する（ステップＳ７０４）
また、スヌープ制御部１３０が、スヌープ条件テーブル７３０を検索し、パケットがスヌープ条件に合致するか否かを判定し（ステップＳ７０５）、スヌープ条件に合致した場合には、パケットのコピーおよびコピーパケットの格納をパケット交換部７６０に指示する（ステップＳ７０６）。
そして、合致したスヌープ条件が送信パケットのコピーであるか否かを判定し（ステップＳ７０７）、合致したスヌープ条件が送信パケットのコピーである場合には、受信パケットをコピーしたパケットの更新をパケット更新部１４０に指示し（ステップＳ７０８）、合致したスヌープ条件が受信パケットのコピーである場合には、受信パケットをコピーしたパケットの非更新をパケット更新部１４０に指示する（ステップＳ７０９）。
また、スヌープ制御部１３０が、合致したスヌープ条件に対応するスヌープ付加情報をスヌープ付加情報テーブル１１０を検索して特定し、特定したスヌープ付加情報の付与をパケット更新部１４０に指示する（ステップＳ７１０）。一方、パケットがいずれのスヌープ条件にも合致しなかった場合には、ステップＳ７１１に進む。
そして、パケット交換部７６０が格納しているパケットを宛先情報に対応する送信ポートへパケット更新部１４０を経由して送信し（ステップＳ７１１）、パケット更新部１４０がパケット交換部７６０から受信したパケットに対してスヌープ制御部１３０の指示を実行し（ステップＳ７１２）、送信ポートより送信する（ステップＳ７１３）。
このように、スヌープ制御部１３０が合致したスヌープ条件に対応するスヌープ付加情報をスヌープ付加情報テーブル１１０を検索して特定し、特定したスヌープ付加情報の付与をパケット更新部１４０に指示し、パケット更新部１４０がスヌープ制御部１３０の指示に従って付加情報を付与することによって、ネットワーク分析装置２００は分析に必要な情報をパケット中継装置１００から取得することができる。
次に、本実施例１に係るパケット中継装置１００によるパケット中継の一例について説明する。図８は、本実施例１に係るパケット中継装置１００によるパケット中継の一例を示す図である。
同図は、本実施例１に係るパケット中継装置１００と、パケット中継装置１００が中継するパケットと、中継するパケットをパケット中継装置１００がコピーしたパケットと、パケット中継装置１００が接続するネットワークおよび端末と、ネットワーク分析装置２００aおよび２００bとを示す。また、「(1)〜(9)」は、それぞれ、パケット中継装置１００の送受信ポート1〜送受信ポート9を示す。
同図において、ネットワークＡに属するある端末が、ネットワークＢに属するある端末へ向けて、パケット1を送信する。このパケット1の宛先IPアドレス(DA; Destination Address)は、「192.168.0.1」である。また、ネットワークＣに属するある端末が、ネットワークＤのある端末へ向けて、パケット4を送信する。このパケット4の宛先IPアドレスは、「192.168.0.1」である。
そして、パケット中継装置１００は、送受信ポート1からパケット1を受信し、パケット2として送受信ポート2から送信し、ネットワーク中継する。パケット2の宛先IPアドレスは、「192.168.0.1」である。
次に、ネットワークＢに属し、IPアドレスが「192.168.0.1」である、ある端末がパケット2を受信する。同時に、パケット中継装置１００は、ネットワーク分析装置Ａ２００aが設定インタフェースを介して設定した図３の設定番号が「１」の設定に従って、パケット1をコピーして、パケット33として、指定スヌーパポートである送受信ポート3からネットワーク分析装置Ａ２００aへ向けて送信する。
また、パケット中継装置１００は、送受信ポート4からパケット4を受信し、パケット5として送受信ポート5から送信し、ネットワーク中継する。パケット5の宛先IPアドレスは、「192.168.0.1」である。
次に、ネットワークＤに属し、IPアドレスが「192.168.0.1」である、ある端末がパケット5を受信する。同時に、パケット中継装置１００は、ネットワーク分析装置Ａ２００aが設定インタフェースを介して、設定した図３の設定番号が「２」である設定に従って、パケット4をコピーして、パケット34として、指定スヌーパポートである送受信ポート3からネットワーク分析装置Ａ２００aへ向けて送信する。
この際、ネットワークＡ−送受信ポート1−送受信ポート2−ネットワークＢは、VLANabを、ネットワークＣ−送受信ポート4−送受信ポート5−ネットワークＤは、VLANcdを、パケット中継装置１００のポートVLANの機能によって、構成するので、それぞれ独立したネットワーク中継空間となり、その結果、ネットワークＢとネットワークＤは、宛先IPアドレス「192.168.0.1」を重複して使用している。
したがって、パケット33とパケット34の宛先IPアドレスは、同じ、「192.168.0.1」となり、これだけでは、ネットワーク分析装置Ａ２００aは、パケット33とパケット34の発信元ネットワークがネットワークＡなのかネットワークＣなのか判別できないが、パケット中継装置１００は、図５の設定番号「１」および「２」の設定のパケット中継処理情報付加指示「方路」に従い、それぞれ、方路(1)→(2)、方路(4)→(5)を、コピーしたパケットに対し、付与して送信する。
ゆえに、ネットワーク分析装置Ａ２００aは、パケット33がネットワークＡを発信元ネットワークとするパケットであり、パケット34がネットワークＣを発信元ネットワークとするパケットであると判別することができる。また、パケット中継装置１００は、パケット33とパケット34に対して、図５の設定番号「１」および「２」の設定に従い、任意付与情報「100」を付与して送信する。つまり、ネットワーク分析装置Ａ２００aは、同じ分析目的をもって、図５の設定番号「１」および「２」の設定を行っている。
上述のようにすることによって、ネットワーク分析装置Ａ２００aは、分析目的(ここでは任意付与情報「100」)のために、パケット33がネットワークＡに属し、パケット34がネットワークＣに属することを判別することができ、分析目的を達することができる。そして、ネットワーク管理者が、分析結果から、再度パケット中継装置１００へ適切な設定を行うことができる。
また、ネットワークＥに属するある端末が、ネットワークＦに属するある端末へ向けて、パケット6を送信する。パケット6の宛先IPアドレスは、「192.169.0.1」である。パケット中継装置１００は、送受信ポート6からパケット6を受信し、IPルーティング処理およびNAT(Network Address Translation)処理を行い、パケット7として送受信ポート7から送信し、ネットワーク中継する。ここで、パケット7の宛先IPアドレスは、「192.168.2.2」である。
また、NAT処理とは、パケット中継装置１００が、パケットの宛先または発信元アドレスを変換して、中継する処理である。すなわち、パケット中継装置１００は、パケット6の宛先IPアドレス「192.169.0.1」を「192.168.2.2」へ変換する。
一般的にNAT処理は、内部ネットワークと外部ネットワークを分けて、内部ネットワークが外部へ公開するネットワークアドレスを制限するネットワーク構成をとる時に、パケット中継装置が行う処理である。図８においては、ネットワークＥが外部ネットワークであり、ネットワークＦが内部ネットワークであり、「192.169.0.1」が内部ネットワークＦが外部ネットワークＥに対して公開するアドレスである。
次に、ネットワークＦに属し、IPアドレスが「192.168.2.2」である、ある端末がパケット7を受信する。同時に、パケット中継装置１００は、ネットワーク分析装置Ｂ２００bが設定インタフェースを介して設定した図３の設定番号が「３」の設定に従って、パケット6をコピーし、図５の設定番号「３」のパケット中継処理情報付加指示どおり、「方路(6)→(7)」とスヌープ条件種別である「受信ポートスヌープ」を付与し、パケット81として、指定スヌーパポートである送受信ポート8からネットワーク分析装置Ｂ２００bへ向けて送信する。
また、同時に、パケット中継装置１００は、ネットワーク分析装置Ｂ２００bが設定インタフェースを介して、設定した図３の設定番号が「４」の設定に従って、パケット7をコピーし、図５の設定番号「４」のパケット中継処理情報付加指示どおり、「方路(6)→(7)」とスヌープ条件種別である「送信ポートスヌープ」を付与し、パケット82として、指定スヌーパポートである送受信ポート8からネットワーク分析装置Ｂ２００bへ向けて送信する。
そして、ネットワーク分析装置Ｂ２００bは、パケット81とパケット82を受信する。ここで、ネットワーク分析装置Ｂ２００bは、同一の「方路(6)→(7)」をもつパケット81とパケット82に関して、パケット81のスヌープ条件種別が受信ポートスヌープであり、パケット82のスヌープ条件種別が送信ポートスヌープであることから、確かに、外部ネットワークＥが、内部ネットワークＦが公開しているアドレスへ向けてパケットを送信し、パケット中継装置１００が、内部ネットワークのアドレスへ変換して、内部ネットワークＦへ向けてパケットを送信したことを、確認できる。
上述のようにすることによって、ネットワーク分析装置Ｂ２００bは、上述で確認した分析目的を達することができる。そして、ネットワーク管理者が、分析結果から、例えば、設定が間違っていた場合は、再度パケット中継装置１００へ適切な設定を行うことができる。
また、ネットワークＧに属する端末Gaが、ネットワークＦに属するある端末へ向けて、パケット91を送信する。ここで、端末GaのIPアドレスは、「192.168.3.1」である。また、パケット91の宛先IPアドレスは、「192.168.2.3」であり、発信元IPアドレス(SA; Source Address)は、「192.168.3.1」である。
また、ネットワークＧに属する端末Gbが、ネットワークＦに属するある端末へ向けて、パケット92を送信する。ここで、端末GbのIPアドレスは、「192.168.3.2」である。また、パケット92の宛先IPアドレスは、「192.168.2.3」で、発信元IPアドレスは、「192.168.3.2」である。
また、ネットワークＧに属する端末Gcが、ネットワークＦに属するある端末へ向けて、パケット93を送信する。ここで、端末GcのIPアドレスは、「192.168.3.3」である。また、パケット93の宛先IPアドレスは、「192.168.2.3」で、発信元IPアドレスは、「192.168.3.3」である。
すると、パケット中継装置１００は、送受信ポート9からパケット91を受信し、IPルーティング処理を行い、送受信ポート7から送信し、ネットワーク中継する。尚、図８において、パケット中継装置１００が送受信ポート7から送信したパケットのパケットフォーマットは、省略する。
同時に、パケット中継装置１００は、ネットワーク分析装置Ｂ２００bが設定インタフェースを介して設定した図３の設定番号が「５」の設定に従って、パケット91をコピーし、図５の設定番号「５」のパケット中継処理情報付加指示どおり、「方路(9)→(7)」および任意付与情報「901」を付与し、パケット83として、指定スヌーパポートである送受信ポート8からネットワーク分析装置Ｂ２００bへ向けて送信する。
この際、設定番号が「５」の設定は、受信特定フロースヌープなので、パケット中継装置１００は、パケット内の各フィールド値を、特定フロー識別子「flow1」で表現される図４のフローと比較する。すると、パケット91の宛先IPアドレス(IP DA)は、「192.168.2.3」で、発信元IPアドレス(IP SA)は、「192.168.3.1」であるので、「flow1」と一致する。尚、本実施例１においては、図３と図４が分かれている場合について説明したが、特に設定インタフェースとしては、図３と図４が分かれている必要はない。
また、パケット中継装置１００は、送受信ポート9からパケット92を受信し、IPルーティング処理を行い、送受信ポート7から送信し、ネットワーク中継する。尚、図８において、パケット中継装置１００が送受信ポート7から送信したパケットのパケットフォーマットは、省略する。
同時に、パケット中継装置１００は、ネットワーク分析装置Ｂ２００bが設定インタフェースを介して設定した図３の設定番号が「６」の設定に従って、パケット92をコピーし、図５の設定番号「６」のパケット中継処理情報付加指示どおり、「方路(9)→(7)」および任意付与情報「901」を付与し、パケット84として、指定スヌーパポートである送受信ポート8からネットワーク分析装置Ｂ２００bへ向けて送信する。
この際、設定番号が「６」の設定は、受信特定フロースヌープなので、パケット中継装置１００は、パケット内の各フィールド値を、特定フロー識別子「flow2」で表現される図４のフローと比較する。すると、パケット92の宛先IPアドレス(IP DA)は、「192.168.2.3」で、発信元IPアドレス(IP SA)は、「192.168.3.2」であるので、「flow2」と一致する。
また、パケット中継装置１００は、送受信ポート9からパケット93を受信し、IPルーティング処理を行い、送受信ポート7から送信し、ネットワーク中継する。尚、図８において、パケット中継装置１００が送受信ポート7から送信したパケットのパケットフォーマットは、省略する。
同時に、パケット中継装置１００は、ネットワーク分析装置Ｂ２００bが設定インタフェースを介して設定した図３の設定番号が「７」の設定に従って、パケット93をコピーし、図５の設定番号「７」のパケット中継処理情報付加指示どおり、「方路(9)→(7)」および任意付与情報「902」を付与し、パケット85として、指定スヌーパポートである送受信ポート8からネットワーク分析装置Ｂ２００bへ向けて送信する。
この際、設定番号が「７」の設定は、受信特定フロースヌープなので、パケット中継装置１００は、パケット内の各フィールド値を、特定フロー識別子「flow3」で表現される図４のフローと比較する。すると、パケット93の宛先IPアドレス(IP DA)は、「192.168.2.3」で、発信元IPアドレス(IP SA)は、「192.168.3.3」であるので、「flow3」と一致する。
ネットワーク分析装置Ｂ２００bは、パケット83とパケット84とパケット85を受信する。すると、ネットワーク分析装置Ｂ２００bは、任意付与値「901」によって、パケット83とパケット84が同一の分析目的のためにスヌープしたものと即座に判断でき、パケット中継装置１００が行ったのと同じフローの比較を行うという無駄な処理を行わずに済む。
同様に、ネットワーク分析装置Ｂ２００bは、任意付与値「902」によって、パケット85がパケット83およびパケット84とは違う分析目的のためにスヌープしたものと即座に判断でき、パケット中継装置１００が行ったのと同じフローの比較を行うという無駄な処理を行わずに済む。
上述のように、ネットワーク分析装置に無駄な処理負荷をかけないことによって、ネットワーク分析装置の分析能力/分析性能を、他の有益な分析へ振り分けることが可能となる。そして、ネットワーク管理者が、分析結果から、再度パケット中継装置１００へ適切な設定を行うことができる。
尚、本実施例１においては、パケット33、パケット34、パケット81、パケット82、パケット83、パケット84、パケット85のスヌープ付与情報をパケットの先頭に付与する場合について説明したが、パケット中の付与位置については、特に制限はない。また、パケットに付随して付与するスヌープ付与情報は、一般的なプロトコルフォーマットで規定しているタグ/ラベルを利用してもよい。一般的なプロトコルフォーマットで規定しているタグ/ラベルとしては、例えば、VLAN-TagやMPLS Label等がある。
上述してきたように、本実施例１では、スヌープしたパケットに付与する付加情報の指定をスヌープ付加情報テーブル１１０が記憶し、スヌープしたパケットにスヌープ付加情報テーブル１１０に記憶された付加情報指定に基づいて付加情報を付与するようにスヌープ制御部１３０がパケット更新部１４０に指示し、スヌープしたパケットにスヌープ制御部１３０の指示に従ってパケット更新部１４０が付加情報を付与することとしたので、パケット中継装置１００は、ネットワーク分析装置が必要とする情報を提供することができる。
次に、パケット中継装置が複数のネットワーク利用者によって共用されている場合について説明する。本実施例２に係るパケット中継装置は、「ユーザ1」または「ユーザ2」をユーザ識別子とする二つのユーザにより共用されている。
また、本実施例２に係るパケット中継装置が中継するネットワークは、タグVLANを構成する。ここでタグVLANとは、パケットの先頭にVLAN Tagと呼ぶヘッダを付与してパケットを送受信することによって、このVLAN Tag値をもとに、端末／ネットワークの仮想的なグループを設定する機能である。
まず、本実施例２に係るパケット中継装置３００の構成について説明する。図９は、本実施例２に係るパケット中継装置３００の構成を示す機能ブロック図である。尚、ここでは説明の便宜上、図２０に示した各部と同様の役割を果たす機能部については同一符号を付すこととしてその詳細な説明を省略する。
図９に示すように、このパケット中継装置３００は、パケット分別部３１０と、ユーザ識別テーブル３２０と、中継テーブル７２０と、制御部３３０と、スヌープ条件テーブル３４０と、スヌープ付加情報テーブル３５０と、スヌープ制御部３６０と、パケット交換部７６０と、パケット更新部３７０とを有する。また、このパケット中継装置３００は、送受信ポート10〜送受信ポート16を有する。
パケット分別部３１０は、受信パケットのパケットフォーマットをパケットのヘッダ情報から判別してパケットを分別し、パケット分別結果に応じたパケットの宛先情報を中継テーブル７２０から検索してパケットのヘッダ部、宛先情報およびネットワーク中継に即したパケット更新情報をスヌープ制御部３６０へ送信する処理部である。
また、このパケット分別部３１０は、受信したパケットからVLAN Tag値を取り出し、取り出したVLAN Tag値からパケットのユーザ識別子をユーザ識別テーブル３２０を検索して特定する。そして、特定したユーザ識別子をスヌープ制御部３６０へ送信する。
ユーザ識別テーブル３２０は、VLAN Tag値からユーザ識別子を検索する情報を記憶したテーブルである。図１０は、ユーザ識別テーブル３２０の一例を示す図である。同図に示すように、このユーザ識別テーブル３２０は、VLAN Tag値とユーザ識別子を対応させてVLAN Tag値ごとに記憶している。
例えば、VLAN Tag値が「10」であるパケットのユーザ識別子は「ユーザ1」であり、VLAN Tag値が「11」であるパケットのユーザ識別子も「ユーザ1」であるが、VLAN Tag値が「13」であるパケットのユーザ識別子は「ユーザ2」である。
パケット分別部３１０が、このユーザ識別テーブル３２０を用いてVLAN Tag値からユーザ識別子を検索し、検索したユーザ識別子をスヌープ制御部３６０へ送信することによって、パケット中継装置３００は、スヌープしたパケットにユーザ識別子を付与することができる。
制御部３３０は、パケット中継装置３００全体の制御を行う処理部であり、ネットワーク分析装置４００が設定インタフェースを介して設定するスヌープ条件情報をスヌープ条件テーブル３４０へ格納し、スヌープ付加情報をスヌープ付加情報テーブル３５０に格納する。
図１１は、スヌープ条件テーブル３４０の一例を示す図である。同図に示すように、例えば、設定番号が「８」である設定は、スヌープ条件種別は「受信ポートスヌープ」であり、スヌープポートは「１０」であり、特定のパケットだけをスヌープすることはなく、スヌーパポートは「１６」である。
図１２は、スヌープ付加情報テーブル３５０の一例を示す図である。同図に示すように、例えば、設定番号が「８」である設定に対応するスヌープ付加情報のパケット中継処理情報付加指示は「ユーザ識別子」である。
スヌープ制御部３６０は、スヌープ条件テーブル３４０を検索し、パケット分別部３１０より受信したパケットが、スヌープ条件に合致したならば、さらに、スヌープ付加情報テーブル３５０を検索し、パケットに付加すべきスヌープ付加情報、すなわち、ユーザ識別子を得る。
そして、パケットのコピー処理をパケット交換部７６０へ指示し、合致した条件が送信パケットのコピーならば、受信パケットをコピーしたパケットの更新をパケット更新部３７０へ指示し、合致した条件が受信パケットのコピーならば、受信パケットをコピーしたパケットの非更新をパケット更新部３７０へ指示する。また、このスヌープ制御部３６０は、スヌープ付加情報、すなわちユーザ識別子の付与をパケット更新部３７０へ指示する。
パケット更新部３７０は、パケット交換部７６０より受信したパケットを、パケットに対する上述の更新/非更新/付与指示に従い、更新/非更新/付与し、送信ポートより送信する。
このパケット更新部３７０が、スヌープ制御部３６０の指示に従って、スヌープしたパケットにユーザ識別子を付与することによって、ネットワーク分析装置４００は、ユーザ毎のパケット従量課金処理を行うことができる。
次に、本実施例２に係るパケット中継装置３００によるパケット中継の一例について説明する。図１３は、本実施例２に係るパケット中継装置３００によるパケット中継の一例を示す図である。
同図は、本実施例２に係るパケット中継装置３００と、パケット中継装置３００が中継するパケットと、中継するパケットをパケット中継装置３００がコピーしたパケットと、パケット中継装置３００が接続するネットワークおよび端末と、ネットワーク分析装置４００とを示す。また、「(10)〜(16)」は、それぞれ、パケット中継装置３００の送受信ポート10〜送受信ポート16を示す。
同図において、ネットワークＨ―送受信ポート10は、VLAN Tag値が「１０」のタグVLANを構成し、パケット10のヘッダ部はVLAN Tag値「１０」（図１３中「Tag10」と付記）をもつVLAN Tagヘッダを内包する。以降、同様に、ネットワークＩ―送受信ポート11は、VLAN Tag値「１１」、 ネットワークＪ―送受信ポート12は、VLAN Tag値「１２」、ネットワークＫ―送受信ポート13は、VLAN Tag値「１３」、ネットワークＬ―送受信ポート14は、VLAN Tag値「１４」、ネットワークＭ―送受信ポート15は、VLAN Tag値「１５」のタグVLANを構成する。
また、パケット中継装置３００は、あるネットワーク利用者であるユーザ1と、あるネットワーク利用者であるユーザ2によって、共用されている。一般的に、IDC(Internet Data Center)が、このような形態で自社のパケット中継装置を、自社のユーザ社に対して提供する。
図１３において、ユーザ1は、ネットワークＨとネットワークＩとネットワークＪによって、ユーザ1のユーザ・ネットワークを構成し、ユーザ2は、ネットワークＫとネットワークＬとネットワークＭによって、ユーザ2のユーザ・ネットワークを構成する。ユーザへのパケット中継装置の提供者は、各ユーザへ複数のVLAN Tag値をアサインし、ユーザは、アサインVLAN Tag値を使用して、ネットワークを構成し、ユーザへのパケット中継装置の提供者は、ユーザ識別テーブル３２０へ、図１０のような設定を行う。
図１３において、パケット中継装置３００は、送受信ポート10からパケット10を受信し、IPルーティング処理して、パケット120としてネットワーク中継する。同時に、パケット中継装置３００は、ネットワーク分析装置４００が、設定インタフェースを介して設定した図１１の設定番号「８」に従い、パケット10をコピーして、図１２の設定番号「８」のパケット中継処理情報付加指示どおり、ユーザ識別子「ユーザ1」を付与して、設定スヌーパポートである送受信ポート16からパケット160として送出する。
以降同様に、パケット中継装置３００は、図１１の設定番号「９」の設定に従ってパケット161を、設定番号「１０」の設定に従ってパケット163を、設定番号「１１」の設定に従ってパケット164を、送受信ポート16から送出する。
上述の際、パケット中継装置３００内のパケット分別部３１０は、ユーザ識別テーブル３２０を検索し、ユーザ識別子「ユーザ1」または「ユーザ2」を得る。すなわち、ユーザ識別テーブル３２０は、図１０のようにカラム「VLAN Tag値」とカラム「ユーザ識別子」を内包しており、本実施例２においては、パケット中継装置３００は、VLAN Tag値を元にユーザ識別子を決定する。
尚、一般的にユーザ識別子は、パケット中/パケット外の様々な値の組合わせによって、決定されうる。ユーザ識別子を決定したパケット分別部３２０は、ユーザ識別子をスヌープ制御部３６０へ送信し、スヌープ制御部３６０は、スヌープ付加情報テーブル３５０のパケット中継処理情報付加指示に従い、パケット更新部３７０へ、パケットへのユーザ識別子付与指示を送信する。その結果、パケット中継装置３００は、パケットに対し、ユーザ識別子を付与して送信する。
そして、ネットワーク分析装置４００は、パケット160、パケット161、パケット163、パケット164を受信し、これらの受信パケットがもつユーザ識別子「ユーザ1」および「ユーザ2」を元に、パケット中継装置３００が、ネットワーク中継したパケット量を、ユーザ毎に計数することができる。このようにして、ネットワーク分析装置４００は、ネットワーク管理装置として、例えば、ユーザ毎のパケット従量課金処理を行うことができる。
上述してきたように、本実施例２では、ユーザ識別テーブル３２０にVLAN Tag値とユーザ識別子とを対応させて記憶し、受信したパケットのVLAN Tag値からパケット分別部３１０がユーザ識別テーブル３２０を検索してユーザ識別子を取り出し、スヌープしたパケットにスヌープ制御部３６０がスヌープ付加情報テーブル３５０に記憶された付加情報指定に基づいてユーザ識別子を付与するようにパケット更新部３７０に指示し、スヌープしたパケットにユーザ識別子をパケット更新部３７０がスヌープ制御部３６０の指示に従って付与することとしたので、ネットワーク分析装置４００は、ユーザ毎のパケット従量課金処理を行うことができる。
次に、パケット中継装置が送受信パケットをセットにしてスヌープする場合について説明する。まず、本実施例３に係るパケット中継装置５００の構成について説明する。図１４は、本実施例３に係るパケット中継装置５００の構成を示す機能ブロック図である。尚、ここでは説明の便宜上、図２０に示した各部と同様の役割を果たす機能部については同一符号を付すこととしてその詳細な説明を省略する。
図１４に示すように、このパケット中継装置５００は、パケット分別部５１０と、フィルタリングテーブル５２０と、中継テーブル７２０と、制御部５３０と、スヌープ条件テーブル５４０と、スヌープ付加情報テーブル５５０と、スヌープ制御部５６０と、パケット交換部７６０と、パケット更新部５７０とを有する。また、このパケット中継装置５００は、送受信ポート6〜送受信ポート8および送受信ポート17を有する。
パケット分別部５１０は、受信パケットのパケットフォーマットをパケットのヘッダ情報から判別してパケットを分別し、パケット分別結果に応じたパケットの宛先情報を中継テーブル７２０から検索してパケットのヘッダ部、宛先情報およびネットワーク中継に即したパケット更新情報をスヌープ制御部５６０へ送信する処理部である。
また、このパケット分別部５１０は、フィルタリングテーブル５２０を検索してパケットがフィルタリングテーブル５２０が格納するフィルタリング条件に合致した場合には、そのパケットをフィルタリングテーブル５２０の設定に従い、廃棄または、中継する。
フィルタリングテーブル５２０は、不正なパケットなどを登録したテーブルであり、設定インタフェースを介してネットワーク分析装置６００によって設定される。図１５は、フィルタリングテーブル５２０の一例を示す図である。
同図に示すように、このフィルタリングテーブル５２０は、フィルタリングするパケットの受信ポート、送信ポート、IP SA、IP DA、IP Protocol、IP TOS、IP受信ポート、IP送信ポート、許可／不許可をフィルタリングするパケットごとに記憶している。例えば、受信ポートが「１７」であり、発信元アドレスが「192.168.1.*」であり、宛先アドレスが「192.169.0.1」であるパケットについては、中継が許可されていない。
パケット分別部５１０が、このフィルタリングテーブル５２０を用いてフィルタリング条件に合致したパケットを廃棄することによって、パケット中継装置５００は、不正なパケットの侵入などを防止することができる。
制御部５３０は、パケット中継装置５００全体の制御を行う処理部であり、ネットワーク分析装置６００が設定インタフェースを介して設定するスヌープ条件情報をスヌープ条件テーブル５４０へ格納し、スヌープ付加情報をスヌープ付加情報テーブル５５０に格納し、フィルタリング条件をフィルタリングテーブル５２０に格納する。
図１６は、スヌープ条件テーブル５４０の一例を示す図である。同図に示すように、例えば、設定番号が「４」である設定は、スヌープ条件種別は「送信ポートスヌープ」であり、スヌープポートは「７」であり、特定のパケットだけをスヌープすることはなく、スヌーパポートは「８」である。
図１７は、スヌープ付加情報テーブル５５０の一例を示す図である。同図に示すように、このスヌープ付加情報テーブル５５０は、スヌープ付加情報として受信送信パケットセットコピーを含んでいる。例えば、設定番号が「４」である設定に対応するスヌープ付加情報は、パケット中継処理情報付加指示は「方路、スヌープ条件種別」であり、受信送信パケットをセットでコピーすることを指定している。
スヌープ制御部５６０は、スヌープ条件テーブル５４０を検索し、パケット分別部５１０より受信したパケットが、スヌープ条件に合致したならば、さらに、スヌープ付加情報テーブル５５０を検索し、パケットに付加すべきスヌープ付加情報、すなわち、方路およびスヌープ条件種別を得る。
そして、このスヌープ制御部５６０は、方路およびスヌープ条件種別の付加指示をパケット更新部５７０に行う。また、スヌープ付加情報テーブル５５０には、受信送信パケットセットコピーが指定されているので、受信送信パケットセットのコピー処理をパケット交換部７６０へ指示する。
パケット更新部５７０は、パケット交換部７６０より受信した受信送信パケットセットを、パケットに対する上述の付与指示に従い、付加情報を付与し、送信ポートより送信する。
次に、本実施例３に係るパケット中継装置５００によるパケット中継の一例について説明する。図１８は、本実施例３に係るパケット中継装置５００によるパケット中継の一例を示す図である。
同図は、本実施例３に係るパケット中継装置５００と、パケット中継装置５００が中継するパケットと、中継するパケットをパケット中継装置５００がコピーしたパケットと、パケット中継装置５００が接続するネットワークと、ネットワーク分析装置６００とを示す。また、「(6)〜(8)および(17)」は、それぞれ、パケット中継装置５００の送受信ポート6〜送受信ポート8および送受信ポート17を示す。
同図において、パケット中継装置５００は、実施例１のパケット中継装置１００と同様に、パケット6を受信し、パケット7として送信し、ネットワーク中継を行う。同時に、パケット中継装置５００は、図１７の設定番号が「４」の設定に従い、パケット6およびパケット7をコピーして、方路とスヌープ条件種別を付与して、パケット81とパケット82のセットとして、設定スヌーパポートである送受信ポート8から、ネットワーク分析装置６００へ向けて送信する。
実施例1のパケット中継装置１００と異なる点は、パケット中継装置５００が、パケット81とパケット82を一つのパケットとして送信する点である。パケット中継装置５００は、図１７の設定番号が「４」の設定の「受信送信パケットセットコピー」が「○」であることをもって、受信時のパケット状態と送信時のパケット状態をセットにして、設定スヌーパポートから送信する。このようにしたほうが、ネットワーク分析装置６００は、同一パケットの受信時の状態と送信時の状態を、簡単に関連付けて分析することができるという効果がある。たとえば、同一パケットの受信時の状態と送信時の状態を関連付けて分析する例としては、以下がある。
図１８において、パケット中継装置５００は、パケット17を受信し、送受信ポート7へ送信し、ネットワーク中継を行う。このネットワーク中継において、パケット中継装置５００は、パケット17の宛先IPアドレス(192.169.0.1)をネットワークＦの内部アドレス(192.168.2.2)へ変換して送信する(NAT処理)。同時に、パケット中継装置５００は、図１７の設定番号が「４」の設定にしたがい、パケット17の受信時の状態と送信時の状態をコピーして、パケット86とパケット87のセットにして、送受信ポート8から送信する。
また、図１８において、ネットワークＰ(192.172.1.＊)のある端末は、送信元アドレスをネットワークに属するアドレスではない、192.168.1.3と偽り、ネットワークＦが外部へ公開しているアドレス(192.169.0.1)を宛先IPアドレスとして、パケットを送信している。従って、パケット中継装置５００が、送受信ポート17から送信元アドレス192.168.1.3を持つパケットを受信するというような、本来ありえないことが起こっている。
このような状況下において、ネットワークＦは、問題となる送信パケットの情報をネットワーク分析装置６００へ送る。すると、ネットワーク分析装置６００は、受信した問題となる送信パケットの情報と各スヌープパケットの送信時状態コピーとを比較して、分析対象とするパケットを絞り込む。
そして、ネットワーク分析装置６００は、受信した送信パケットの情報による絞込みの後、対応する受信時状態コピーを分析する。この際、1つのパケットに対する送信時の状態と受信時の状態が一連の1つのデータとして管理されているので、ネットワーク分析装置６００は、送信時の状態から受信時の状態を特定することが簡単にできる。
これが、受信時と送信時で別々のパケットとして、ネットワーク分析装置６００が受信したならば、ネットワーク分析装置６００は、その受信―送信の関連性を、その他の情報(例えば、パケット中継装置５００の中継テーブル７２０等)から、構築する必要が生じる。
そして、ネットワーク分析装置６００は、受信時状態コピーを分析した後、ネットワークＰ(192.172.1.＊)のある端末が、送信元アドレスをネットワークに属するアドレスではない、192.168.1.3と偽り、ネットワークＦが外部へ公開しているアドレス(192.169.0.1)を宛先IPアドレスとして、パケットを送信していることを突き止める。
そして、ネットワーク分析装置６００は、送信パケットとの対応関係によって判明した受信パケットの状態に応じて、図１５のようにフィルタリングテーブル５２０へエントリを追加し、設定を修正することによって、不正パケットをパケット中継装置５００において、遮断することができる。すなわち、図１５においては、受信ポート17から発信元アドレス192.168.1.＊をもち、かつ宛先アドレス192.169.0.1をもつパケットについては、中継を「不許可」とするように設定している。
まとめると、図１８において、ネットワーク分析装置６００は、パケット86とパケット87のセットをもとに、同一パケットの受信時の状態と送信時の状態を簡単に関連付けて分析し、上記事象の不正侵入の試みを検知し、防止するような設定をすることができる。
上述してきたように、本実施例３では、スヌープ付加情報テーブル５５０がスヌープ付加情報として受信送信パケットセットをコピーする指定を記憶し、スヌープ制御部５６０がスヌープ付加情報テーブル５５０に記憶された付加情報指定に基づいてパケット交換部７６０に受信送信パケットセットをコピーするように指示し、パケット交換部７６０がスヌープ制御部５６０の指示に従って受信送信パケットセットをコピーすることとしたので、ネットワーク分析装置６００は、同一パケットの受信時の状態と送信時の状態を、簡単に関連付けて分析することができる。
（付記１）ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継装置であって、
スヌープするデータに付加する情報の指定を付加情報指定として記憶した付加情報指定記憶手段と、
前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手段と
を備えたことを特徴とするデータ中継装置。
（付記２）前記付加情報指定には、パケット中継処理に関する情報であるパケット中継処理情報を付加する情報として指定するパケット中継処理情報付加指定を含み、
前記スヌープ制御手段は、前記パケット中継処理情報付加指定が指定された場合に、パケット中継処理情報を付加してデータをスヌープすることを特徴とする付記１に記載のデータ中継装置。
（付記３）前記付加情報指定には、任意の情報である任意情報を付加する情報として指定する任意情報付加指定を含み、
前記スヌープ制御手段は、前記任意情報付加指定が指定された場合に、指定された任意情報を付加してデータをスヌープすることを特徴とする付記１または２に記載のデータ中継装置。
（付記４）前記付加情報指定には、送受信データのセットのスヌープを指定する送受信セット指定を含み、
前記スヌープ制御手段は、前記送受信セット指定が指定された場合に、送信データをスヌープするときには受信データを付加し、受信データをスヌープするときには送信データを付加することによって、送受信データのセットをスヌープすることを特徴とする付記１または２に記載のデータ中継装置。
（付記５）前記パケット中継処理情報には、送受信ポートを識別する送受信ポート識別子を含み、
前記スヌープ制御手段は、前記送受信ポート識別子がパケット中継処理情報付加指定で指定された場合に、受信ポートおよび送信ポートの送受信ポート識別子を方路として付加することを特徴とする付記２に記載のデータ中継装置。
（付記６）前記パケット中継処理情報には、スヌープするパケットの条件を指定するスヌープ条件種別を含み、
前記スヌープ制御手段は、前記スヌープ条件種別がパケット中継処理情報付加指定で指定された場合に、スヌープするデータのスヌープ条件種別を付加することを特徴とする付記２に記載のデータ中継装置。
（付記７）前記パケット中継処理情報には、利用者を識別する利用者識別子を含み、
前記スヌープ制御手段は、前記利用者識別子がパケット中継処理情報付加指定で指定された場合に、スヌープするデータの利用者識別子を付加することを特徴とする付記２に記載のデータ中継装置。
（付記８）前記スヌープ制御手段は、前記利用者識別子をVLAN Tagを用いて特定することを特徴とする付記７に記載のデータ中継装置。
（付記９）ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継方法であって、
スヌープするデータに付加する情報の指定を付加情報指定として設定する付加情報指定設定工程と、
前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御工程と
を含んだことを特徴とするデータ中継方法。
（付記１０）ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継プログラムであって、
スヌープするデータに付加する情報の指定を付加情報指定として設定する付加情報指定設定手順と、
前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手順と
をコンピュータに実行させることを特徴とするデータ中継プログラム。
以上のように、本発明にかかるデータ中継装置およびデータ中継方法は、ネットワークの分析に有用であり、特に、ネットワークへの不正な侵入の検知やパケット従量課金に必要な情報を必要とするネットワーク分析装置と組み合わせて使用する場合に適している。
本実施例１に係るパケット中継装置によるスヌープ機能を説明するための説明図である。 本実施例１に係るパケット中継装置の構成を示す機能ブロック図である。 スヌープ条件テーブルの一例を示す図である。 特定フロー情報テーブルの一例を示す図である。 スヌープ付加情報テーブルの一例を示す図である。 本実施例１に係る設定インタフェースの論理データ構造の一例を示す図である。 本実施例１に係るパケット中継装置の処理手順を示すフローチャートである。 本実施例１に係るパケット中継装置によるパケット中継の一例を示す図である。 本実施例２に係るパケット中継装置の構成を示す機能ブロック図である。 ユーザ識別テーブルの一例を示す図である。 スヌープ条件テーブルの一例を示す図である。 スヌープ付加情報テーブルの一例を示す図である。 本実施例２に係るパケット中継装置によるパケット中継の一例を示す図である。 本実施例３に係るパケット中継装置の構成を示す機能ブロック図である。 フィルタリングテーブルの一例を示す図である。 スヌープ条件テーブルの一例を示す図である。 スヌープ付加情報テーブルの一例を示す図である。 本実施例３に係るパケット中継装置によるパケット中継の一例を示す図である。 従来のパケット中継装置によるスヌープ機能を説明するための説明図である。 従来のパケット中継装置の構成を示す機能ブロック図である。 設定インタフェースの論理データ構造の一例を示す図である。 従来のパケット中継装置におけるVLAN(Virtual LAN)設定時のスヌープ機能を説明するための説明図である。
符号の説明
１００，３００，５００，７００，９００ パケット中継装置
１１０，３５０，５５０ スヌープ付加情報テーブル
１２０，３３０，５３０，７４０ 制御部
１３０，３６０，５６０，７５０ スヌープ制御部
１４０，３７０，５７０，７７０ パケット更新部
２００，２００a，２００b，４００，６００，８００ ネットワーク分析装置
３１０，５１０，７１０ パケット分別部
３２０ ユーザ識別テーブル
３４０，５４０，７３０ スヌープ条件テーブル
５２０ フィルタリングテーブル
７２０ 中継テーブル
７６０ パケット交換部

Claims (4)

  1. ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継装置であって、
    スヌープするデータに付加する情報の指定を付加情報指定として記憶した付加情報指定記憶手段と、
    前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手段とを備え、
    前記付加情報指定には、パケット中継処理に関する情報であるパケット中継処理情報を付加する情報として指定するパケット中継処理情報付加指定を含み、
    前記スヌープ制御手段は、前記パケット中継処理情報付加指定が指定された場合に、パケット中継処理情報を付加してデータをスヌープすることを特徴とするデータ中継装置。
  2. ネットワークにより通信されるデータを中継し、該中継するデータのうち指定された条件に合致するデータをスヌープするデータ中継装置であって、
    スヌープするデータに付加する情報の指定を付加情報指定として記憶した付加情報指定記憶手段と、
    前記付加情報指定で指定された情報を付加してデータをスヌープするスヌープ制御手段とを備え、
    前記付加情報指定には、送受信データのセットのスヌープを指定する送受信セット指定を含み、
    前記スヌープ制御手段は、前記送受信セット指定が指定された場合に、送信データをスヌープするときには受信データを付加し、受信データをスヌープするときには送信データを付加することによって、送受信データのセットをスヌープすることを特徴とするデータ中継装置。
  3. ネットワーク間で通信されるデータを中継する際に、異なる複数の条件のいずれかに合致することが検出されると、該中継とは別個に、該中継に係るデータと同じ内容を含むデータを分析装置側に出力するデータ中継方法において、
    前記分析装置側に出力されるデータは、前記異なる複数の条件のうち合致した条件に対応する、該データの中継処理に関する情報が付加される、
    ことを特徴とするデータ中継方法。
  4. ネットワーク間で通信されるデータを中継する際に、異なる複数の条件のいずれかに合致することが検出されると、該中継とは別個に、該中継に係るデータと同じ内容を含むデータを分析装置側に出力するデータ中継装置において、
    前記分析装置側に出力されるデータに、前記異なる複数の条件のうち合致した条件に対応する、該データの中継処理に関する情報を付加する手段、
    を備えたことを特徴とするデータ中継装置。
JP2003338263A 2003-09-29 2003-09-29 データ中継装置およびデータ中継方法 Expired - Fee Related JP4223365B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003338263A JP4223365B2 (ja) 2003-09-29 2003-09-29 データ中継装置およびデータ中継方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003338263A JP4223365B2 (ja) 2003-09-29 2003-09-29 データ中継装置およびデータ中継方法

Publications (2)

Publication Number Publication Date
JP2005109715A JP2005109715A (ja) 2005-04-21
JP4223365B2 true JP4223365B2 (ja) 2009-02-12

Family

ID=34533833

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003338263A Expired - Fee Related JP4223365B2 (ja) 2003-09-29 2003-09-29 データ中継装置およびデータ中継方法

Country Status (1)

Country Link
JP (1) JP4223365B2 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012151689A (ja) * 2011-01-19 2012-08-09 Alaxala Networks Corp トラヒック情報収集装置、ネットワーク制御装置およびトラヒック情報収集方法
JP5970392B2 (ja) * 2013-02-26 2016-08-17 日本電信電話株式会社 マルチキャストパケットのパケットカウント装置及び方法及びプログラム
JP6466279B2 (ja) * 2015-08-05 2019-02-06 アラクサラネットワークス株式会社 通信装置
JP6599819B2 (ja) * 2016-06-02 2019-10-30 アラクサラネットワークス株式会社 パケット中継装置
US10346307B2 (en) * 2016-09-28 2019-07-09 Samsung Electronics Co., Ltd. Power efficient snoop filter design for mobile platform

Also Published As

Publication number Publication date
JP2005109715A (ja) 2005-04-21

Similar Documents

Publication Publication Date Title
US7944913B2 (en) Node, communication method, and program for node
EP1670187B1 (en) Tagging rules for hybrid ports
US9548933B2 (en) Network system, switch, and methods of network configuration
US9515868B2 (en) System and method for communication
CN103477593B (zh) 网络系统、交换机和连接终端检测方法
KR101574167B1 (ko) 네트워크 시스템 및 경로 제어 방법
JP4547349B2 (ja) ネットワーク型ルーティング機構
US20020150114A1 (en) Packet routing apparatus and a method of routing a packet
US10284471B2 (en) AIA enhancements to support lag networks
JP2003204348A (ja) ＶＬＡＮ（ＶｉｒｔｕａｌＬＡＮ）をサポートしたストレージデバイス
JP2002508123A (ja) マルチレイヤ・ネットワーク要素用のシステムおよび方法
KR20130125826A (ko) 네트워크 시스템 및 ｖｌａｎ 태그 정보 취득 방법
JP2006262193A (ja) 制御装置、パケット転送方法およびパケット処理装置
CN104852840A (zh) 一种控制虚拟机之间互访的方法及装置
US9344352B2 (en) Transfer device, communication system, and roundabout path detecting method
KR101870146B1 (ko) 리프-스파인 구조의 소프트웨어 정의 네트워킹에서 목적지 기반 패킷 전송 제어 방법 및 장치
US20110078181A1 (en) Communication device
JP4223365B2 (ja) データ中継装置およびデータ中継方法
CN112367263A (zh) 一种组播数据报文转发方法及设备
JP2008022075A (ja) レイヤ２スイッチおよびネットワーク監視システム
JP7437197B2 (ja) スイッチ装置、車載通信システムおよび通信方法
CN115104290B (zh) 交换机装置、车载通信系统及通信方法
US12021658B2 (en) Switch device, in-vehicle communication system, and communication method
JPH11331231A (ja) 多重化ネットワークシステムとその通信装置
KR101543772B1 (ko) 네트워크 액세스 장치 및 그 장치에서 수행되는 패킷 전달 방법

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20060223

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20071005

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20071016

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20071203

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20080527

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20080725

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20081118

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20081119

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20111128

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20111128

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121128

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121128

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131128

Year of fee payment: 5

LAPS Cancellation because of no payment of annual fees