JP4523612B2 - 経路情報・ｍｉｂ情報をもとにしたトラフィック監視方法 - Google Patents

Description

本発明は、インターネットに代表されるネットワーク上を流れるトラフィックをモニタする際に、大容量化したネットワーク上のトラフィックを効率的にモニタする方法に関する。

大規模、大容量化したネットワークでは、膨大なトラフィックを全てモニタすることができない。そのため、パケットをサンプリングすることにより、全体のトラフィック量を推定する手法が採用されている。この場合、トラフィック量の大容量化に応じて、サンプリングレートを小さくする必要性があるが、トラフィック量が小さい異常トラフィックについては、検出不可能となることも考えられ、効率的なトラフィック・モニタ手法が必要とされている。

従来のフロー統計配信プロトコル（ｓＦｌｏｗ（非特許文献２）、ＮｅｔＦｌｏｗ（非特許文献１））は、ＩＦ（インタフェース）上で受信する全てのパケットを対象にサンプリングが行われている。また、フロー統計配信プロトコルのひとつであるＩＰＦｌＸプロトコル（非特許文献３）では、フィルタ条件とサンプリングを組み合わせることでより柔軟なトラフィック測定を可能としているが、情報の配信方法については、一律同じ方式が適用される。このため、あるアプリケーションの分析により、より詳細なトラフィック情報の配信が必要な場合には、そのほかのトラフィックについてもより詳細なトラフィック情報の配信が必要となり、全体の情報転送量が大きくなるという問題がある。

このような状況の中で、より柔軟にトラフィックを抽出する手法として、一次的に異常と検知されたトラフィックを抽出して、大容量のトラフィックから埋もれないようにする機能や、フロー条件をもとにより柔軟にフロー統計を実施する機能が考案されている（特許文献１）。

しかし、サンプリングの前に特定のパケットをフィルタリングすることやサンプリング前にパケットを分類する案などは考案されているが、ＢＧＰ（Border Gateway Protocol）経路情報やＳＮＭＰ−ＭＩＢ（Simple Network Management Protocol - Management Information Base）などの情報を用いて、トラフィック特性毎にトラフィック収集するような機能は、検討されていない。

特開２００６−１６４０３８号公報、“ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法、ネットワーク装置、および分析装置”、日本電信電話株式会社 ＲＦＣ３９５４、"Cisco Systems NetFlow Services Export Version 9"、Claise、October 2004 ＲＦＣ３１７６、"InMon Corporation's sFlow:A Method for Monitoring Traffic in Switched and Routed Networks"、Phaal, et al.、September 2001 IPFIC working group、Internet Draft: draft-ietf-ipfix-protocol-24.txt、"Specification of the IPFIX Protocol for the Exchange of IP Traffic Flow Information"、Claise, et al.、November 2006 Internet Draft: draft-ietf-psamp-sample-tech-07.txt、"Sampling and Filtering Techniques for IP Packet Selection"、Zseby et al.、July 2005 "The Team Cymru Bogon Reference Page"、http://www.cymru.com/Bogons/

ＤＤｏＳ攻撃トラフィックなどの異常トラフィックを検知する目的から、ネットワーク上に流れているトラフィックをモニタするフロー統計配信プロトコル（ｓＦｒｏｗ、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ）に注目が集まっている。しかし、ネットワーク上に流れるトラフィック量は、年々増加傾向にあり、トラフィックをモニタする手法もサンプリング間隔を上げるだけでは、複雑化するトラフィックの傾向を把握することが困難となっている。

近年、ＮＷ機器（ネットワーク機器：ルータ、スイッチ等）が実装するフィルタ機能（アクセスリスト機能）を用いることで、トラフィックを選択し、サンプリングを行うことによって、大容量のトラフィックの中から抽出したいパケットのみに絞り込み、サンプリングレートを大きくすることによって、特定パケットに注力して監視する機能が提案されている（特許文献１、非特許文献３）。本機能を選択的フロー統計機能と呼ぶ。上記機能は、フィルタリングにより分類したクラス単位にサンプリングレートを設定するものである。これにより、特定のトラフィックのサンプリングレートを小さくすることで、着目するトラフィックを重点的に監視することが可能となる一方で、上記のフィルタリングは、ＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダなどの情報をもとにしているため、フィルタリングの条件が限定されるという問題がある。図１にフィルタリング可能な条件となるＩＰ、ＴＣＰ、ＵＤＰのヘッダ情報を示す。網掛け部分がルータにて設定可能なフィルタリング条件である。

例えば、ＭＰＬＳネットワーク上のあるＶＰＮに着目して、トラフィックを監視する場合、ＶＰＮを一意に特定するＲＤ（Route Distinguisher）をもとにすることが望ましい。しかし、上記ルータでフィルタリング可能となるのは、EtherFrame内にあるＶＰＮラベル値がもとになる。このＶＰＮラベル値は、ＩＰ−ＶＰＮの場合には、ＭＰ−ＢＧＰにて割り当てられる値であり、一意にＶＰＮを特定することができない。このため、特定のＶＰＮに対して、重点的にトラフィックを監視することが困難となっている。

本発明の目的は、重点的にトラフィックを収集することが可能となるトラフィック監視技術を提供することにある。

本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

第１の発明は、選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行うフィルタ条件管理装置を有するトラフィック監視システムにおけるトラフィック監視方法であって、前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報に含まれるＣｏｍｍｕｎｉｔｙ情報、Ｐｅｅｒｉｎｇ ＡＳ情報、Ｏｒｉｇｉｎ ＡＳ情報、またはＢＧＰ Ｎｅｘｔ−Ｈｏｐ情報を用いて、前記選択的フロー統計機能をもつＮＷ機器がフィルタリング可能な情報である送信元ＩＰアドレス帯域または宛先ＩＰアドレス帯域のフィルタ条件を作成し、前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行うことを特徴とする。

第２の発明は、第１の発明において、前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報に基づくアドレスブロックを送信元アドレスまたは宛先アドレスとするフィルタ条件を作成することを特徴とする。

第３の発明は、第１の発明において、前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報からＶＰＮラベル情報とＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスを取得し、当該ＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスをルーティング先とするルーティングラベル情報を、選択的フロー統計機能によりトラフィックを収集するＮＷ機器のＳＮＭＰ−ＭＩＢから取得し、取得した前記ＶＰＮラベル情報及び前記ルーティングラベル情報を有するフィルタ条件を作成し、前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能によりトラフィックを収集するＮＷ機器に対してフィルタ条件設定を行うことを特徴とする。

第４の発明は、第１の発明において、前記フィルタ条件管理装置が、ネットワークのエッジに配置されたＮＷ機器のＳＮＭＰ−ＭＩＢから、ユーザの識別子となる情報をもとにＶＰＮラベル情報を取得するとともに、前記ネットワークのエッジに配置されたＮＷ機器のアドレスを取得し、前記ネットワークのエッジに配置されたＮＷ機器のアドレスをルーティング先とするルーティングラベルの情報を、選択的フロー統計機能によりトラフィックを収集するＮＷ機器から取得し、取得した前記ＶＰＮラベル情報及び前記ルーティングラベル情報を有するフィルタ条件を作成し、前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能によりトラフィックを収集するＮＷ機器に対してフィルタ条件設定を行うことを特徴とする。

本発明により、重要顧客、重要区間毎のトラフィックを重点的に、サンプリングレートを小さくすることなくトラフィックを収集することが可能となり、また、予め不正と判断される経路情報をもつトラフィックについても重点的にトラフィックを収集することが可能となる。また、従来大量のトラフィックの中で埋もれがちであった少量の重要トラフィック、もしくは不正なトラフィックをモニタすることが可能であり、顧客単位のサービスへの利用やトラフィックエンジニアリングヘの活用もしくは異常トラフィックの検出などの分野で、利用可能である。

本発明の実施形態のトラフィック監視方法では、ＢＧＰ経路情報やＳＮＭＰ−ＭＩＢなどのトラフィックの特性を予めクラスわけされた情報をもとにこれらの情報からＮＷ機器（ネットワーク機器：ルータ、スイッチ等）が設定可能なフィルタ条件に変換し、トラフィックを特性毎に監視する。フィルタ条件が設定されるＮＷ機器は、サンプリングの前に、パケットを階層化して分類し、ある特定のトラフィックについては、例えばサンプリングレートを大きくして、重点的にトラフィックを収集することを可能とする選択的フロー統計機能（特許文献１、非特許文献３参照）をもつものとする。

本実施形態は、選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行うフィルタ条件管理装置を有するトラフィック監視システムにおけるトラフィック監視方法である。フィルタ条件管理装置が、ＢＧＰおよび／またはＳＮＭＰ−ＭＩＢの情報に基づいて、選択的フロー統計機能をもつＮＷ機器がフィルタリング可能なフィルタ条件を作成する。そして、フィルタ条件管理装置が、このフィルタ条件を用いて選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行う。選択的フロー統計機能をもつＮＷ機器は、フィルタ条件管理装置から設定されたフィルタ条件に従いパケットをクラスに分類し、各クラスに分類されたパケットに対して、各クラスに定められたサンプリングレートやサンプリングアルゴリズムに基づいてパケットサンプリングを行い、トラフィック収集装置に配信する。

本実施形態のトラフィック監視方法は、ＢＧＰ経路情報および／またはＳＮＭＰ−ＭＩＢ情報をもとに属性別にトラフィックを分類し、ルータがフィルタ可能となる条件（送信元ＩＰアドレス情報、宛先ＩＰアドレス情報、ラベル情報、送信元ポート番号、宛先ポート番号）に変換することで、運用者の用途に合わせたトラフィック監視を可能とし、課金、トラフィックエンジニアリング、不正経路によるトラフィックなどの重点的な監視を可能とする。

本実施形態のトラフィック監視方法は、選択的フロー統計機能をもつＮＷ機器に設定するフィルタ条件をＢＧＰ経路情報、ＳＮＭＰ−ＭＩＢ情報と連携させてフィルタリング可能な情報を抽出し、ＰｅｅｒｉｎｇＡＳ単位、Ｃｏｍｍｕｎｉｔｙ単位、ＭＰＬＳでのＲＤ（ＶＰＮラベル）単位のトラフィックを階層化してトラフィック分析可能とする。

これにより、大きなトラフィックに小さいトラフィックが埋もれないように階層化することや重要なトラフィックを重点的に監視することが可能となる。図２に、もととする経路情報、ＭＩＢ情報の属性と連携によってＮＷ機器でフィルタリング可能な情報に変換する属性の対応表を示す。

ＶＰＮ単位に同一のサンプリングレートを設定してトラフィック収集が可能となれば、重要ＶＰＮ顧客単位にトラフィックを監視することが可能となる。ＢＧＰプロトコルに含まれるＣｏｍｍｕｎｉｔｙ属性は、運用者が用途に応じて地域単位や顧客単位に値を設定している場合があり、このＣｏｍｍｕｎｉｔｙ毎にトラフィック収集が可能となれば、従来大量のトラフィックに埋もれがちであった地域間のトラフィック交流量などを詳細に測定することが可能となる。同様にトラフィックの行き先となるＢＧＰ Ｎｅｘｔ−Ｈｏｐ単位にトラフィック収集可能とすることで、宛先ルータ単位のトラフィックを詳細に測定することができる。

また、Ｐｅｅｒｉｎｇ ＡＳやＯｒｉｇｉｎ ＡＳ単位のトラフィック収集は、ＩＳＰ間のピアリングでのトラフィックエンジニアリング情報として有効となる。その他、ＴＥ−ＩＤについては、Ｐｒｉｍａｒｙ，Ｂａｃｋｕｐ Ｐａｔｈへのトラフィックの動向把握や負荷分数をしている場合の負荷分散度合いなど、関連ペア毎に同じサンフリングレートでトラフィック収集を行うことが可能となる。

また、Ｌ２−１Ｘプロバイダにおいては、接続事業者に対して、ＩＦを提供しているが、ＩＦの情報からＭＡＣアドレスを抽出し、そのＭＡＣアドレス単位にトラフィック収集可能とすることで、接続事業者単位のトラフィック収集が可能となる。

さらに、近年Ｂｏｇｏｎ経路（非特許文献５）といわれる広告可能アドレスとして登録されていないアドレスブロックやＡＳ番号が、ＢＧＰにて配信されている。このようなＢｏｇｏｎ経路をリアルタイムに配信するようなサーバを不正経路配信サーバと呼ぶ。この不正経路配信サーバは、ＢＯＧＯＮ経路以外にＩＲＲ（Internet Routing Registory）などの経路情報を参照し、インターネット上に広告されているＯｒｉｇｉｎ ＡＳが本来あるべきＯｒｉｇｉｎ ＡＳと異なる場合に当該アドレスブロックを広告することなども可能とする。このような状態は、いわゆる経路ののっとりと呼ばれており、悪意的にトラフィックを誘導し、不正な操作もしくはサービス不能状態に陥れるケースになりうる。

この不正経路配信サーバから広告されるＢｏｇｏｎ経路情報やのっとり経路情報をＢＧＰにて受信し、Ｂｏｇｏｎアドレスブロックをもつトラフィックを重点的に監視することも可能となる。

これにより、Ｂｏｇｏｎアドレスブロックを送信元ＩＰアドレスとするＤｏＳ攻撃やこれを宛先アドレスとするＤｏＳ攻撃のＡｃｋなどをリアルタイムに大量のトラフィックの中で埋もれることなく分析することが可能となる。また、これらの不正なアドレスをインターネット上に広告し、phishingと呼ばれる偽装したＷＥＢサーバ上にトラフィックを誘い込むような少量のトラフィックによる不正行為についても検知しやすくなる。

ＰＳＡＭＰ（非特許文献４）では、ｕＲＰＦ（unicast Reverse Path Forwarding）にて不整合が生じる場合に、トラフィックを収集する機能が検討されている。つまり、これはＢＧＰの経路情報にないアドレスブロックを送信元ＩＰアドレスとするパケットがある場合には、これをトラフィック収集することを意味する。しかし、この場合、本来あってはならない経路がＢＧＰ上で広告されていた場合には、トラフィック収集することができない。また、従来、Ｂｏｇｏｎ経路を宛先アドレスとするパケットは、特定の行き先にパケットを誘導し、そこでトラフィックを収集・分析することが行われていた。しかし、この手法では、全ＮＷ上でトラフィックを誘導するような設定が必要であり、柔軟にトラフィック収集できないと言った問題点がある。

本実施形態では、あるネットワークドメインのエッジルータにて、Ｂｏｇｏｎ経路をもつパケットに対してトラフィック収集が可能となり、ネットワーク全体の設定を変更することなく、これを容易に可能とする。
以下、本発明の実施例を図を用いて詳細に説明する。

図３は、実施例１のトラフィック監視方法を説明するための図である。図３において、３０１はあるプロバイダのネットワークである。３０２はフィルタ条件管理サーバであり、３０３はトラフィック収集装置であり、３０４はルータ＃１である。本実施例のトラフィック監視システムは、フィルタ条件管理サーバ３０２、トラフィック収集装置３０３、ルータ＃１（３０４）を有している。３０５は不正経路配信サーバである。３０６は外部ＮＷ＃１であり、３０７はユーザ＃Ａのネットワークであり、３０８はユーザ＃Ｂのネットワークである。外部ＮＷ＃１（３０６）はルータ＃１（３０４）を介してネットワーク３０１と接続されている。

３１０は、外部ＮＷ＃１（３０６）からネットワーク３０１を介してユーザ＃Ａのネットワーク３０７に流入するトラフィックである。３１１は、外部ＮＷ＃１（３０６）からネットワーク３０１を介してユーザ＃Ｂのネットワーク３０８に流入するトラフィックである。３１２は、ルータ＃１（３０４）が、選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）である。

３２１は、不正経路配信サーバ３０５からフィルタ条件管理サーバ３０２に対するＢＧＰによる経路情報広告である。３２２は、フィルタ条件管理サーバ３０２によるルータ＃１（３０４）に対するフィルタ条件設定である。３２３は、ルータ＃１（３０４）からトラフィック収集装置３０３に対するトラフィック情報の配信である。

図３は、外部ＮＷ＃１（３０６）とルータ＃１（３０４）を結ぶルータ＃１のＩＦ３１２で選択的フロー統計手法を適用させた場合の例である。ここでは、不正経路配信サーバ３０５からＢＧＰにて配信される不正経路情報をもとにフィルタ条件管理サーバ３０２にて当該アドレスブロックを送信元ＩＰアドレスもしくは宛先ＩＰアドレスとするフィルタ条件を作成しこれをルータ＃１（３０４）に設定する。この設定により、ルータ＃１（３０４）は、選択的フロー統計機能によりトラフィックを収集し、トラフィック情報をトラフィック収集装置３０３に配信する。配信されたトラフィック情報はトラフィック収集装置３０３にて受信する。

すなわち、本実施例は、フィルタ条件管理サーバ３０２が、ＢＧＰにて配信される経路情報に基づくアドレスブロックを送信元アドレスまたは宛先アドレスとするフィルタ条件を作成するものである。

これにより、外部ＮＷより流入するトラフィックで、例えば不正なアドレスを送信元・宛先アドレスにもつトラフィックを重点的にトラフィック監視することができる。

図４は、実施例２のトラフィック監視方法を説明するための図である。図４において、４０１はＭＰＬＳネットワークである。４０２はフィルタ条件管理サーバであり、４０３はトラフィック収集装置であり、４０４はエッジルータ＃１であり、４０５はエッジルータ＃２であり、４０６はコアルータであり、４０７はルートリフレクタである。本実施例のトラフィック監視システムは、フィルタ条件管理サーバ４０２、トラフィック収集装置４０３、コアルータ４０６を有する。４０８−１、４０８−２は重要顧客のＶＰＮ＃１であり、４０９−１、４０９−２は一般顧客のＶＰＮ＃２である。重要顧客ＶＰＮ＃１（４０８−１）はエッジルータ＃１（４０４）を介して、重要顧客ＶＰＮ＃１（４０８−２）はエッジルータ＃２（４０５）を介して、ＭＰＬＳネットワーク４０１に接続されている。また、一般顧客ＶＰＮ＃２（４０９−１）はエッジルータ＃１（４０４）を介して、一般顧客ＶＰＮ＃２（４０９−２）はエッジルータ＃２（４０５）を介して、ＭＰＬＳネットワーク４０１に接続されている。エッジルータ＃１（４０４）とエッジルータ＃２（４０５）はコアルータ４０６を介して接続されている。４１０、４１１は、コアルータ（４０６が、選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）である。

４２１は、エッジルータ＃１（４０４）とルートリフレクタ４０７間のＭＰ−ＢＧＰによる経路情報の通知である。４２２は、エッジルータ＃２（４０５）とルートリフレクタ４０７間のＭＰ−ＢＧＰによる経路情報の通知である。４２３は、フィルタ条件管理サーバ４０２によるルートリフレクタ４０７からのＭＰ−ＢＧＰ情報の収集である。４２４は、フィルタ条件管理サーバ４０２によるコアルータ４０６からのＳＮＭＰ−ＭＩＢ情報の収集である。４２５は、フィルタ条件管理サーバ４０２によるコアルータ４０６に対するフィルタ条件設定である。４２６は、コアルータ４０６からトラフィック収集装置４０３に対するトラフィック情報の配信である。

図４は、ＭＰＬＳネットワーク４０１上のコアルータ４０６で、重要ＶＰＮユーザ＃Ａと一般顧客＃Ｂのトラフィックを重点的に監視する場合の例である。コアルータ４０６でトラフィック収集することにより、複数のエッジルータ４０４、４０５に散在している顧客の情報を効率的にトラフィック収集することが可能である。

ここでは、各エッジルータ４０４、４０５が、ルートリフレクタ４０７とＭＰ−ＢＧＰにて接続をおこなっており、フィルタ条件管理サーバ４０２は、ルートリフレクタ４０７とＭＰ−ＢＧＰにて接続を行って経路情報を収集する。

ここで、フィルタ条件管理サーバ４０２は、図５に示すように重要顧客ＶＰＮ＃１を示すＲＤ値をもとにラベル（ＶＰＮラベル情報）と広告元エッジルータを示すＢＧＰ Ｎｅｘｔ−Ｈｏｐ情報を抽出する。

ここで、当該ＲＤに該当するＬＡＢＥＬ値は、ＶＰＮラベルの情報となり、Ｎｅｘｔ−Ｈｏｐアドレスは、ＢＧＰ Ｎｅｘｔ−Ｈｏｐ情報となる。さらに、フィルタ条件管理サーバ４０２は、このＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスをルーティング先とするルーティングラベルの情報をコアルータ４０６のＬＳＲ−ＭＩＢ、ＴＥ−ＭＩＢより取得する。

最終的に収集されたＶＰＮラベル値及びルーティングラベル値をフィルタ条件とするフィルタを作成し、これをコアルータ４０６に設定する。この設定により、コアルータ４０６は、例えば、重要顧客のトラフィックは、サンプリングレート１／１とし、一般顧客のトラフィックは、サンプリングレート１／１０００として、クラスわけを行いトラフィック収集することが可能となる。上記設定をもとに配信されるトラフィック情報をトラフィック収集装置４０３にて受信する。

すなわち、本実施例は、フィルタ条件管理サーバ４０２が、ＢＧＰにて配信される経路情報からＶＰＮラベル情報とＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスを取得し、当該ＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスをルーティング先とするルーティングラベル情報を、選択的フロー統計機能によりトラフィックを収集するコアルータ４０６のＳＮＭＰ−ＭＩＢから取得し、取得したＶＰＮラベル情報及びルーティングラベル情報を有するフィルタ条件を作成し、このフィルタ条件を用いてコアルータ４０６に対してフィルタ条件設定を行うものである。
これにより、例えば、重要顧客に対して重点的にトラフィック監視することができる。

図６は、実施例３のトラフィック監視方法を説明するための図である。図６において、６０１はＭＰＬＳネットワークであり、６０２はフィルタ条件管理サーバであり、６０３はトラフィック収集装置であり、６０４はエッジルータ＃１であり、６０５はエッジルータ＃２であり、６０６はコアルータである。６０８−１、６０８−２は重要顧客のＶＰＮ＃１である。重要顧客ＶＰＮ＃１（６０８−１）はエッジルータ＃１（６０４）を介して、重要顧客ＶＰＮ＃１（６０８−２）はエッジルータ＃２（６０５）を介して、ＭＰＬＳネットワーク６０１に接続されている。エッジルータ＃１（６０４）とエッジルータ＃２（６０５）はコアルータ６０６を介して接続されている。６１０、６１１は、コアルータ６０６が、選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）である。

６２１は、フィルタ条件管理サーバ６０２によるエッジルータ＃１（６０４）からのＳＮＭＰ−ＭＩＢ情報の収集である。６２２は、フィルタ条件管理サーバ６０２によるエッジルータ＃２（６０５）からのＳＮＭＰ−ＭＩＢ情報の収集である。６２３は、フィルタ条件管理サーバ６０２によるコアルータ６０６からのＳＮＭＰ−ＭＩＢ情報の収集である。６２４は、フィルタ条件管理サーバ６０２によるコアルータ４０６に対するフィルタ条件設定である。６２５は、コアルータ６０６からトラフィック収集装置６０３に対するトラフィック情報の配信である。

図６は、ＭＰＬＳネットワーク上で、PsudoWire（仮想専用線網）を設定している重要顧客ユーザのトラフィックを収集する場合の例である。この場合、フィルタ条件管理サーバ６０２は、当該ユーザが接続するエッジルータ＃１（６０４）、エッジルータ＃２（６０５）に対して、ＳＮＭＰによりＰＷ−ＭＩＢの情報を収集する。図７に示すＰＷ−ＭＩＢでは、ユーザの識別子となるＰＷ−ＩＤをもとに“pwInboundLabel”もしくは“pwOutboundLabel”の情報を収集する。これをＶＰＮラベル値とする。また、エッジルータ＃１（６０４）、エッジルータ＃２（６０５）を示す“pwPeerAddr”を双方のエッジルータから収集し、このアドレスをルーティング先とするルーティングラベルの情報をコアルータ６０６のＬＳＲ−ＭＩＢ、ＴＥ−ＭＩＢより取得する。この情報をルーティングラベル値とし、ＶＰＮラベル値とあわせて、フィルタ条件を作成し、これをコアルータ６０６に設定する。以降は、図４に示した実施例２と同様になる。

すなわち、本実施例は、フィルタ条件管理サーバ６０２が、エッジルータ６０４、６０５のＳＮＭＰ−ＭＩＢから、ユーザの識別子となる情報をもとにＶＰＮラベル情報を取得するとともに、エッジルータ６０４、６０５のアドレスを取得し、エッジルータ６０４、６０５のアドレスをルーティング先とするルーティングラベルの情報を、選択的フロー統計機能によりトラフィックを収集するコアルータ６０６から取得し、取得したＶＰＮラベル情報及びルーティングラベル情報を有するフィルタ条件を作成し、このフィルタ条件を用いてコアルータ６０６に対してフィルタ条件設定を行うものである。
これにより、例えば、重要顧客に対して重点的にトラフィック監視することができる。

以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

フィルタリング可能な条件となるＩＰ、ＴＣＰ、ＵＤＰのヘッダ情報を示す表である。 経路情報、ＭＩＢ情報の属性と連携によってＮＷ機器でフィルタリング可能な情報に変換する属性の対応表である。 実施例１のトラフィック監視方法を説明するための図である。 実施例２のトラフィック監視方法を説明するための図である。 ＭＰ−ＢＧＰ経路情報を示す図である。 実施例３のトラフィック監視方法を説明するための図である。 ｐｗＴａｂｌｅ情報を示す図である。

符号の説明

３０１…プロバイダのネットワーク、３０２…フィルタ条件管理サーバ、３０３…トラフィック収集装置、３０４…ルータ＃１、３０５…不正経路配信サーバ、３０６…外部ＮＷ＃１、３０７…ユーザ＃Ａのネットワーク、３０８…ユーザ＃Ｂのネットワーク、３１２…選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）、４０１…ＭＰＬＳネットワーク、４０２…フィルタ条件管理サーバ、４０３…トラフィック収集装置、４０４…エッジルータ＃１、４０５…エッジルータ＃２、４０６…コアルータ、４０７…ルートリフレクタ、４０８−１、４０８−２…重要顧客のＶＰＮ＃１、４０９−１、４０９−２…一般顧客のＶＰＮ＃２、４１０、４１１…選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）、６０１…ＭＰＬＳネットワーク、６０２…フィルタ条件管理サーバ、６０３…トラフィック収集装置、６０４…エッジルータ＃１、６０５…エッジルータ＃２、６０６…コアルータ、６０８−１、６０８−２…重要顧客のＶＰＮ＃１、６１０、６１１…選択的フロー統計機能によりトラフィックを収集するポイント（ＩＦ）

Claims (4)

1. 選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行うフィルタ条件管理装置を有するトラフィック監視システムにおけるトラフィック監視方法であって、
   前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報に含まれるＣｏｍｍｕｎｉｔｙ情報、Ｐｅｅｒｉｎｇ ＡＳ情報、Ｏｒｉｇｉｎ ＡＳ情報、またはＢＧＰ Ｎｅｘｔ−Ｈｏｐ情報を用いて、前記選択的フロー統計機能をもつＮＷ機器がフィルタリング可能な情報である送信元ＩＰアドレス帯域または宛先ＩＰアドレス帯域のフィルタ条件を作成し、
   前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能をもつＮＷ機器に対してフィルタ条件設定を行う
   ことを特徴とするトラフィック監視方法。
2. 請求項１に記載のトラフィック監視方法であって、
   前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報に基づくアドレスブロックを送信元アドレスまたは宛先アドレスとするフィルタ条件を作成することを特徴とするトラフィック監視方法。
3. 請求項１に記載のトラフィック監視方法であって、
   前記フィルタ条件管理装置が、ＢＧＰにて配信される経路情報からＶＰＮラベル情報とＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスを取得し、当該ＢＧＰ Ｎｅｘｔ−Ｈｏｐアドレスをルーティング先とするルーティングラベル情報を、選択的フロー統計機能によりトラフィックを収集するＮＷ機器のＳＮＭＰ−ＭＩＢから取得し、取得した前記ＶＰＮラベル情報及び前記ルーティングラベル情報を有するフィルタ条件を作成し、
   前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能によりトラフィックを収集するＮＷ機器に対してフィルタ条件設定を行うことを特徴とするトラフィック監視方法。
4. 請求項１に記載のトラフィック監視方法であって、
   前記フィルタ条件管理装置が、ネットワークのエッジに配置されたＮＷ機器のＳＮＭＰ−ＭＩＢから、ユーザの識別子となる情報をもとにＶＰＮラベル情報を取得するとともに、前記ネットワークのエッジに配置されたＮＷ機器のアドレスを取得し、前記ネットワークのエッジに配置されたＮＷ機器のアドレスをルーティング先とするルーティングラベルの情報を、選択的フロー統計機能によりトラフィックを収集するＮＷ機器から取得し、取得した前記ＶＰＮラベル情報及び前記ルーティングラベル情報を有するフィルタ条件を作成し、
   前記フィルタ条件管理装置が、前記フィルタ条件を用いて前記選択的フロー統計機能によりトラフィックを収集するＮＷ機器に対してフィルタ条件設定を行うことを特徴とするトラフィック監視方法。

Images