JP4964735B2 - ネットワークシステム、管理計算機、及びフィルタ再構成方法 - Google Patents

Description

本発明は、パケットをフィルタリングするネットワークシステムに関し、特に、フィルタの再構成を自動的に行う管理装置に関する。

近年、ＩＴシステムにおけるセキュリティに関心が高まり、自ら管理する内部ネットワークから内部ネットワーク内外への不正アクセスの防止、及び、許可されていないフローの遮断等を実施するために、細かいアクセス制御が必要になっている。そこで、細かいアクセス制御をするために、多数のフィルタを設定しなければならない。

フィルタ構成の設計、各ネットワーク装置（以下、ＮＷ装置とする）への設定、及び、フィルタ設定の管理は煩雑であるため、通常、上位のＮＷ装置（例えば、コアスイッチ）にまとめてフィルタを設定している。しかし、多数のフィルタを上位のＮＷ装置に設定すると、上位のＮＷ装置のフィルタを検索する負荷が大きくなる。この負荷の増大によって、パケットを転送するのに遅延が発生する。また、制御用パケットのロスによって、ネットワークを正常に運用することが阻害される。

また、ＮＷ装置に設定されるフィルタエントリ数が増加すると、ＮＷ装置に設定可能なフィルタエントリ数を超過し、ＮＷ装置のリソースが不足する。リソースが不足すると、セキュリティポリシーを実施するためのフィルタをさらに設定することができない。

そこで、多数のフィルタが設定されているＮＷ装置の負荷を低減し、リソース不足を解消する方法として、フィルタを分散させる方法がある。

特許文献１には、内部ネットワーク内にフィルタを分散させて設定する方法が開示されている。

特許文献１に開示された方法は、外部ネットワークとの接続点に設置される外部フィルタと、内部ネットワーク内に設置される内部フィルタとに、フィルタを分散させ、負荷の重いフィルタ規則は、各内部フィルタに設定するように、外部フィルタ及び内部フィルタを集中制御するフィルタ管理サーバを備える。

また、特許文献２には、サービスプロバイダ網においてファイアフォールサーバからエッジノードにフィルタを分散させる方法が開示されている。

特許文献２に開示された技術は、ファイアウォールサーバの負荷が高くなった場合に、ファイアウォールに設定される少なくとも一部のフィルタリングルールを特定のエッジノードに分配し、特定のエッジノードは、分配を受けたフィルタリングルールを用いてフィルタリング処理を行う。
特開２００３−２４４２４７号公報 特開２００１−２４９８６６号公報

特許文献１に開示された方法には、以下の第１の課題がある。また、特許文献２に開示された方法には、以下の第２及び第３の課題がある。

第１の課題は、各内部フィルタ及び外部フィルタでフィルタリングのポリシーが実現可能か判定することが困難な点である。

第２の課題は、パケット転送を拒否するフィルタを、ファイアウォールサーバからエッジノードへ分配すると、フィルタリングの効果が変化する場合がある点である。

第３の課題は、ファイアウォールサーバからエッジノードにしかフィルタを分配できない点である。

まず、第１の課題について説明する。

フィルタリングのポリシーには、送信元、又は宛先を指定する必要がある。したがって、フィルタリングのポリシーが実現可能か判定するためには、ポリシーで指定された送信元、又は宛先に対応するネットワーク内の場所を知っている必要がある。つまり、ポリシーによって、フィルタを設定するためには、ネットワークの構成情報を考慮する必要がある。しかし、特許文献１に開示された方法では、ネットワークの構成情報を考慮してフィルタを設定することができない。

また、ネットワークの構成情報を生成するためには、ネットワーク管理者及びＳＥが多数のＮＷ装置の物理接続関係（物理的に接続されているＮＷ装置の関係の情報）、及び、ＮＷ装置の設定情報（例えば、設定されているフィルタの情報）を収集する必要がある。さらに、企業ネットワークでは、ネットワークの更新及び拡張等が頻繁に行われるため、その度にネットワークの構成情報を作成し直す必要がある。このような作業は、ネットワーク管理者及びＳＥの大きな負担となる。

次に、第２の課題について説明する。

特許文献２に開示された方法のようにファイアウォールサーバからエッジノード（エッジスイッチ）に、拒否フィルタをそのまま移動させると、フィルタリングを行う位置が変わるために、移動前は転送されるパケットが到達できた場所に、到達できなくなる場合がある。つまり、フィルタを移動させることで、フィルタリングの効果が変わってしまう。したがって、フィルタリングの効果が変化しないようにフィルタの構成を変える必要があるが、特許文献２に開示された技術では、フィルタリングの効果が変化しないようにフィルタを移動させることができない。

第３の課題について説明する。

特許文献２に開示された技術は、負荷分散の対象はファイアウォールサーバのみであり、ファイアウォールサーバからエッジノードへフィルタを移動させることしかできない。したがって、エッジノードの負荷が高くなり、エッジノードに設定されているフィルタを分散させたい場合等には、対応できない。

したがって、本発明は、上記三つの課題を解決することを目的とする。

本発明の代表的な一例を示せば以下の通りである。すなわち、ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、前記ネットワークに接続され、前記ネットワークを管理する管理計算機と、を備える計算機システムであって、前記複数の転送装置は、フィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、前記管理計算機は、前記複数の転送装置から前記ネットワークの構成情報を取得し、前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されているフィルタを前記第２の転送装置に設定する場合に、前記パケットが転送される範囲が前記フィルタを設定する前にパケットが転送されていた範囲と同じになるように、前記第１の転送装置及び前記第２の転送装置のフィルタの構成を生成し、前記第１の転送装置と前記第２の転送装置とのフィルタの構成を、前記生成されたフィルタの構成に変更する。

本発明の一実施形態によれば、フィルタを分散することによってフィルタが集中しているＮＷ装置の処理負荷を低減できる。

以下、本発明の実施の形態について図面を参照しながら説明する。

＜第１の実施の形態＞
本発明の第１実施の形態のネットワークシステムについて、図１〜２１を用いて説明する。

図１は、本発明の第１の実施の形態のネットワークシステムの構成を示す図である。

ネットワークシステムは、内部ネットワーク１及び外部ネットワーク２によって構成される。内部ネットワーク１と外部ネットワーク２とは、互いに接続される。

内部ネットワーク１には、ＮＷ装置１００Ａ〜１００Ｈ、端末グループ２００Ａ〜２００Ｅ、及び管理サーバ５００が接続される。また、管理サーバ５００には、管理者用端末７００が接続される。なお、以下の説明で、ＮＷ装置１００Ａ〜１００Ｈを総称してＮＷ装置１００と説明する場合もある。また、端末グループ２００Ａ〜２００Ｅを総称して端末グループ２００と説明する場合もある。

端末グループ２００は、ネットワーク（例えば、スイッチングハブ等）を介して、ＮＷ装置１００に接続している計算機の集合であり、ネットワークの利用者が使用する。

図１に示す例では、端末グループ２００Ａ及び２００ＢはＡ部門に所属する。また、端末グループ２００Ｃ及び２００Ｄは、Ｂ部門に所属する。また、端末グループ２００Ｅは、Ｃ部門に所属する。

管理サーバ５００は、内部ネットワーク１を管理する計算機である。管理サーバ５００については、図２を用いて詳細に後述する。 ＮＷ装置１００は、ネットワーク内で通信される情報を、その情報の宛先に転送する装置であり、例えば、スイッチ、ルータ、及びファイアウォールである。

ＮＷ装置１００は、複数のポートを備える。図１に示す例では、ＮＷ装置１００Ａは、ポート１〜４を備える。ＮＷ装置１００Ｂ〜１００Ｈは、ポート１〜３を備える。

ＮＷ装置１００Ａのポート１は、ＮＷ装置１００Ｂのポート３に接続される。ＮＷ装置１００Ａのポート２は、ＮＷ装置１００Ｃのポート３に接続される。ＮＷ装置１００Ａのポート４は、管理サーバ５００に接続される。ＮＷ装置１００Ａのポート３は、外部ネットワーク２に接続される。

ＮＷ装置１００Ｂのポート１は、ＮＷ装置１００Ｄのポート３に接続される。

ＮＷ装置１００Ｃのポート１は、ＮＷ装置１００Ｅのポート３に接続される。ＮＷ装置１００Ｃのポート２は、ＮＷ装置１００Ｆのポート３に接続される。

ＮＷ装置１００Ｄのポート１は、ＮＷ装置１００Ｇのポート３に接続される。ＮＷ装置１００Ｄのポート２は、ＮＷ装置１００Ｈのポート３に接続される。

ＮＷ装置１００Ｇのポート１は、端末グループ２００Ａに接続される。ＮＷ装置１００Ｈのポート１は、端末グループ２００Ｂに接続される。ＮＷ装置１００Ｈのポート２は、端末グループ２００Ｃに接続される。ＮＷ装置１００Ｅのポート１は、端末グループ２００Ｄに接続される。ＮＷ装置１００Ｆのポート１は、端末グループ２００Ｅに接続される。

図２は、本発明の第１の実施の形態の管理サーバ５００のブロック図である。

管理サーバ５００は、メモリ５１０、ＣＰＵ５５０、外部記憶５６０、Ｉ／Ｏインターフェース（Ｉ／Ｆ）５７０及びネットワークインターフェース（Ｉ／Ｆ）５８０を備える。

管理サーバ５００は、ネットワークＩ／Ｆ５８０を介してネットワークに接続される。また、管理サーバ５００は、ネットワークに接続される他の装置及び端末グループ２００と、ネットワークＩ／Ｆ５８０を介して情報を送受信する。

メモリ５１０は、物理構成情報作成プログラム５１１、ＩＰネットワーク構成生成プログラム５１２、フィルタ再構成プログラム５１３、フィルタ設定プログラム５１４、設定履歴管理プログラム５１５、物理構成情報テーブル５２１、ＩＰネットワーク構成情報５２２、再構成対象フィルタ数情報テーブル５２３、最大フィルタ数情報テーブル５２４、フィルタタイプ情報テーブル５２５、フィルタエントリ情報テーブル５２６、設定履歴情報テーブル５２７、及び機種情報テーブル５２９を格納する。

物理構成情報作成プログラム５１１は、内部ネットワーク１を構成するＮＷ装置１００から物理接続情報（例えば、ＮＷ装置１００に隣接する装置の情報）を取得し、物理構成情報テーブル５２１を生成する。

ＩＰネットワーク構成生成プログラム５１２は、内部ネットワーク１を構成するＮＷ装置１００からネットワークの構成情報（例えば、ＶＬＡＮ情報及び経路情報）を取得し、ＩＰネットワーク構成情報５２２を生成する。

フィルタ再構成プログラム５１３は、ＮＷ装置１００に設定されているフィルタの構成を再構成する。なお、フィルタ再構成プログラム５１３の処理は、後述する図１６〜図２０で詳細を説明する。

フィルタ設定プログラム５１４は、再構成されたフィルタの構成情報をＮＷ装置１００に反映する。

設定履歴管理プログラム５１５は、フィルタを再構成した履歴を保存及び呼び出しを行う。

物理構成情報テーブル５２１は、ＮＷ装置１００の各ポートに隣接するＮＷ装置１００及び隣接するＮＷ装置１００のポート等を示す物理的な接続情報を管理する。なお、物理構成情報テーブル５２１については、後述する図４で詳細を説明する。

ＩＰネットワーク構成情報５２２は、サブネットとルーティングポイント（例えば、ＮＷ装置１００）との論理的な接続情報を管理する。ＩＰネットワーク構成情報５２２については、図３を用いて詳細に後述する。

再構成対象フィルタ数情報テーブル５２３は、ＮＷ装置１００のＣＰＵ負荷に応じて決定される再構成の対象となるフィルタの数の情報を管理する。なお、再構成対象フィルタ数情報テーブル５２３については、後述する図５で詳細を説明する。

最大フィルタ数情報テーブル５２４は、ＮＷ装置１００の各機種に設定が可能なフィルタ数の最大値を管理する。最大フィルタ数情報テーブル５２４については、図６を用いて詳細に後述する。

フィルタタイプ情報テーブル５２５は、フィルタタイプの算出に必要な情報、及び、再構成対象フィルタに選択する優先度等を管理する。フィルタタイプとは、フィルタをグルーピングするための特徴であり、例えば、送信元、宛先、及びプロトコル等により決まる。フィルタタイプ情報テーブル５２５については、図８を用いて詳細に後述する。

フィルタエントリ情報テーブル５２６は、ＮＷ装置１００に設定されているフィルタのエントリの情報を管理する。フィルタエントリ情報テーブル５２６については、図９を用いて詳細に後述する。

設定履歴情報テーブル５２７は、フィルタを再構成した履歴を管理する。設定履歴情報テーブル５２７については、図１０を用いて詳細に後述する。

機種情報テーブル５２９は、ＮＷ装置１００の各機種の情報を管理する。なお、機種情報テーブル５２９については、図７を用いて詳細に後述する。

ＣＰＵ５５０は、メモリ５１０に格納される各プログラムを実行するプロセッサである。

外部記憶５６０は、プログラム及び各種データを記憶する装置であり、例えば、ＨＤＤによって構成される。

Ｉ／Ｏインターフェース（Ｉ／Ｆ）５７０は、データを入出力するインターフェースである。

ネットワークＩ／Ｆ５８０は、ネットワークに接続される他の装置及び端末グループ２００と情報を送受信するインターフェースである。

図３は、本発明の第１の実施の形態のＩＰネットワーク構成情報５２２を説明する図である。

ＩＰネットワーク構成情報５２２は、仮想ＮＷ装置（ルーティングポイント）３００Ａ、サブネット４００Ａ〜４００Ｃ、サブネット内の仮想ＮＷ装置３００Ｂ〜３００Ｌ、及び端末グループ２００Ａ〜２００Ｅを含む。なお、以下の説明で、サブネット４００Ａ〜４００Ｃを総称する場合は、サブネット４００と説明する。また、仮想ＮＷ装置３００Ｂ〜３００Ｌを総称する場合は仮想ＮＷ装置３００と説明する。

仮想ＮＷ装置（ルーティングポイント）３００は、パケットのルーティングを行うＮＷ装置である。

サブネット４００は、ＶＬＡＮ等により物理的なネットワーク上に構成される論理的なネットワークである。

サブネット４００ＡのＩＰアドレス範囲は、１９２．１６８．１０．０／２４であり、サブネット４００Ａは、端末グループ２００Ａ及び２００Ｂを含む。また、サブネット４００Ａは、ＮＷ装置１００Ｂ、１００Ｄ、１００Ｇ、及び１００Ｈに対応する仮想ＮＷ装置３００Ｂ、３００Ｆ、３００Ｊ、及び３００Ｋを含み、仮想ＮＷ装置３００Ｂ、３００Ｆ、３００Ｊ、及び３００Ｋは、端末グループ２００Ａ及び２００Ｂを収容する。

サブネット４００ＢのＩＰアドレス範囲は、１９２．１６８．２０．０／２４であり、サブネット４００Ｂは、端末グループ２００Ｃ、及び２００Ｄを含む。また、サブネット４００Ｂは、ＮＷ装置１００Ｂ、１００Ｃ、１００Ｄ、１００Ｅ、及び１００Ｈに対応する仮想ＮＷ装置３００Ｃ、３００Ｄ、３００Ｇ、３００Ｈ、及び３００Ｌを含み、仮想ＮＷ装置３００Ｃ、３００Ｄ、３００Ｇ、３００Ｈ、及び３００Ｌは、端末グループ２００Ｃ、２００Ｄを収容する。

サブネット４００ＣのＩＰアドレス範囲は、１９２．１６８．３０．０／２４であり、サブネット４００Ｃは、端末グループ２００Ｅを含む。また、サブネット４００Ｃは、ＮＷ装置１００Ｃ及び１００Ｆに対応する仮想ＮＷ装置３００Ｅ及び３００Ｉを含み、仮想ＮＷ装置３００Ｅ及び３００Ｉは、端末グループ２００Ｅを収容する。

なお、本発明の第１の実施の形態のＩＰネットワーク構成情報５２２は、ＶＬＡＮの設定情報を含むが、管理サーバ５００が論理的な下位装置の構成を分かるような情報を含んでいればよい。

図４は、本発明の第１の実施の形態の物理構成情報テーブル５２１である。

物理構成情報テーブル５２１は、ＮＷ装置ＩＤ５２１１、ポートＩＤ５２１２、隣接ＮＷ装置ＩＤ５２１３、隣接ポートＩＤ５２１４を含む。

ＮＷ装置ＩＤ５２１１は、管理サーバ５００がＮＷ装置１００を識別するための一意な識別子である。

ポートＩＤ５２１２は、管理サーバ５００がＮＷ装置１００のポートを識別するための一意な識別子である。

隣接ＮＷ装置ＩＤ５２１３は、管理サーバ５００がポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００を識別するための一意な識別子である。なお、ポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００が存在しない場合には、値が格納されない。

隣接ポートＩＤ５２１４には、管理サーバ５００がポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００のポートを識別するための一意な識別子である。なお、ポートＩＤ５２１２に示されるポートに接続されるＮＷ装置１００が存在しない場合には、隣接ポートＩＤ５２１４には値が格納されない。

図４に示す例では、物理構成情報テーブル５２１の第２行のＮＷ装置ＩＤ５２１１、ポートＩＤ５２１２、隣接ＮＷ装置ＩＤ５２１３及び隣接ポートＩＤ５２１４には、それぞれ、「１」、「１」、「２」及び「３」が格納されている。これは、ＮＷ装置１のポート１は、ＮＷ装置２のポート３と接続していることを示す。

図５は、本発明の第１の実施の形態の再構成対象フィルタ数情報テーブル５２３である。

再構成対象フィルタ数情報テーブル５２３は、ＣＰＵ負荷５２３１及び再構成対象フィルタ数の割合５２３２を含む。

ＣＰＵ負荷５２３１は、ＮＷ装置１００のＣＰＵの負荷の範囲である。

再構成対象フィルタ数の割合５２３２は、ＮＷ装置１００に設定される最大のフィルタ数に対する再構成の対象となるフィルタ数の割合である。

図５に示す例では、再構成対象フィルタ数情報テーブル５２３の第１行のＣＰＵ負荷５２３１及び再構成対象フィルタ数の割合５２３２には、それぞれ、「９０〜１００」及び「５０」が格納されている。これは、ＮＷ装置１００のＣＰＵ負荷が９０〜１００％である場合には、ＮＷ装置１００に設定される最大のフィルタ数のうち５０％を再構成する対象のフィルタとすることを示す。

なお、再構成対象フィルタ数情報テーブル５２３は、管理サーバ５００が管理する各ＮＷ装置１００について一律に設定されるものであるが、各ＮＷ装置１００に応じて設定を変更してもよい。

図６は、本発明の第１の実施の形態の最大フィルタ数情報テーブル５２４である。

最大フィルタ数情報テーブル５２４は、機種５２４１及び最大フィルタ数５２４２を含む。

機種５２４１は、ＮＷ装置１００の機種である。

最大フィルタ数５２４２は、機種５２４１に示される機種のＮＷ装置１００に設定が可能な最大のフィルタ数である。

図６に示す例では、最大フィルタ数情報テーブル５２４の第１行の機種５２４１及び最大フィルタ数５２４２には、それぞれ、「１」及び「１０００」が格納されている。これは、機種１のＮＷ装置１００には、１０００個のフィルタを設定することが可能であることを示す。

図７は、本発明の第１の実施の形態の機種情報テーブル５２９である。

機種情報テーブル５２９は、ＮＷ装置ＩＤ５２９１及び機種５２９２を含む。

ＮＷ装置ＩＤ５２９１は、管理サーバ５００がＮＷ装置１００を識別するための一意な識別子である。

機種５２９２は、ＮＷ装置１００の機種であり、例えば、スイッチ及びルータ等の装置の種類である。

図７に示す例では、機種情報テーブル５２９の第１行のＮＷ装置ＩＤ５２９１及び機種５２９２には、それぞれ、「１」及び「１」が格納されている。これは、ＮＷ装置１は、機種１であることを示す。

図８は、本発明の第１の実施の形態のフィルタタイプ情報テーブル５２５である。

フィルタタイプ情報テーブル５２５は、フィルタタイプ５２５１及び再構成対象の優先度５２５２を含む。

フィルタタイプ５２５１は、フィルタタイプを算出するための情報である。具体的には、レイヤ、送信元、宛先指定、プロトコル、フロー向き、及びフィルタのアクションを含む。

レイヤは、フィルタが対象とするフローのレイヤの情報（例えば、Ｌ３（レイヤ３）、Ｌ２（レイヤ２）等）である。送信元は、フィルタが対象とするフローの送信元の情報である。なお、フィルタが送信元を特定しない場合は「Ａｎｙ」とする。宛先は、フィルタが対象とするフローの宛先の情報である。なお、フィルタが宛先を特定しない場合は「Ａｎｙ」とする。プロトコルは、フィルタが対象とするフローのプロトコル情報である。なお、フィルタがプロトコルを特定しない場合は「Ａｎｙ」とする。フロー方向は、フィルタが対象とするフローの向き（例えば、Ｅｇｒｅｓｓ及びＩｎｇｒｅｓｓ）である。アクションは、フィルタが対象とするフローに行われるフィルタ処理のアクションである。

なお、フィルタタイプ５２５１の一部の情報は、必ずしも全て含む必要はない。

再構成対象の優先度５２５２は、各フィルタタイプが、再構成対象フィルタとして選択される優先度である。例えば、再構成対象の優先度５２５２は、値の小さいフィルタの優先度が高い。

なお、管理者は、管理者用端末７００を用いて管理サーバ５００に要求を出し、フィルタタイプ５２５１及び再構成対象の優先度５２５２のエントリを追加又は変更することができる。フィルタタイプ５２５１及び再構成対象の優先度５２５２にエントリを追加又は変更する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図９に示す。

図８に示す例では、フィルタタイプ情報テーブル５２５の第１行のフィルタタイプ５２５１のレイヤ、送信元指定、宛先指定、プロトコル、フロー向き、アクション及び再構成対象の優先度５２５２には、それぞれ、「Ｌ３」、「有」、「有」、「指定有」、「Ｅｇｒｅｓｓ」、「Ｄｅｎｙ」及び「１」が格納されている。これは、フィルタタイプ情報テーブル５２５の第１行のフィルタは、レイヤ３のフローを対象とし、指定された送信元、宛先及びプロトコルのデータをフィルタが設定されているＮＷ装置から外部に送信するフローを転送しないように設定するフィルタであって、最も高い優先度で再構成対象フィルタに選択されることを示す。

図９は、図８に示すフィルタタイプ情報テーブル５２５に格納される値を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。

入力インターフェースは、フィルタタイプ５２５１の入力欄及び再構成対象の優先度５２５２の入力欄を含み、「ＯＫ」のボタンを操作することによって、フィルタタイプ５２５１及び再構成対象の優先度５２５２を追加するように管理サーバ５００に要求される。なお、フィルタタイプ情報テーブル５２５に格納される値を変更する場合には、既に設定されているフィルタの情報を指定する欄をさらに含み、指定したフィルタの情報について、変更するフィルタタイプ５２５１及び再構成対象の優先度５２５２を入力する。

図１０は、本発明の第１の実施の形態のフィルタエントリ情報テーブル５２６である。

フィルタエントリ情報テーブル５２６は、ＮＷ装置ＩＤ５２６１、ポートＩＤ５２６２、フィルタ５２６３、及びフィルタ順位５２６４を含む。

ＮＷ装置ＩＤ５２６１は、ＮＷ装置１００を識別するための一意な識別子である。

ポートＩＤ５２６２は、各ＮＷ装置１００内のポートを識別するための一意な識別子である。

フィルタ５２６３は、ポートＩＤ５２６２で指定されたポートに設定されているフィルタの内容である。

フィルタ順位５２６４は、各ポートで、適用されるフィルタの順位である。例えば、値の小さいフィルタは順位が高く、優先して適用される。

図１０に示す例では、フィルタエントリ情報テーブル５２６の第１行のＮＷ装置ＩＤ５２６１、ポートＩＤ５２６２、フィルタ５２６３、及びフィルタ順位５２６４には、それぞれ、「１」、「３」、「ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ」、「１」が格納されている。これは、ＮＷ装置１のポート３に設定されるフィルタは、レイヤ３を対象とし、送信元が「１９２．１６８．２０．０／２４」でＳＳＨのプロトコルを用いたデータを外部のネットワークに送信するフローを転送しないフィルタが設定されており、最も優先して適用されることを示す。

図１１は、本発明の第１の実施の形態の設定履歴情報テーブル５２７である。

設定履歴情報テーブル５２７は、設定時刻５２７１、移動元ＮＷ装置５２７２、移動元ポート５２７３、フィルタ５２７４、移動先ＮＷ装置５２７５、移動先ポート５２７６、及びフィルタ５２７７を含む。

設定時刻５２７１は、フィルタを再構成して、ＮＷ装置１００に再構成したフィルタを設定した時刻である。

移動元ＮＷ装置５２７２は、フィルタを再構成する前のフィルタの移動元のＮＷ装置１００を識別するための一意な識別子である。

移動元ポート５２７３は、フィルタを再構成する前のフィルタの移動元のＮＷ装置１００のポートを識別するための一意な識別子である。

フィルタ５２７４は、フィルタを再構成する前に再構成の対象となるフィルタである。

移動先ＮＷ装置５２７５は、フィルタを再構成した後のフィルタの移動先のＮＷ装置１００を識別するための一意な識別子である。

移動先ポート５２７６は、フィルタを再構成した後のフィルタの移動先のＮＷ装置１００のポートを識別するための一意な識別子である。

フィルタ５２７７は、再構成した後のフィルタである。

図１１に示す例では、設定履歴情報テーブル５２７の第１行の設定時刻５２７１、移動元ＮＷ装置５２７２、移動元ポート５２７３、フィルタ５２７４、移動先ＮＷ装置５２７５、移動先ポート５２７６、及びフィルタ５２７７には、それぞれ、「２００７−０７−０７ １０：１２：５９」、「１」、「３」、「ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ」、「２」、「３」及び「（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．１０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．３０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．２０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ）」が格納されている。これは、２００７年７月７日の１０時１２分５９秒にフィルタが設定され、ＮＷ装置１のポート３に設定されているフィルタ（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ）を再構成して、ＮＷ装置２のポート３にフィルタ（（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．１０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．３０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，１９２．１６８．２０．０／２４，ＳＳＨ，Ｅｇｒｅｓｓ，Ｐｅｒｍｉｔ）（ＩＰ，１９２．１６８．２０．０／２４，ａｎｙ，ＳＳＨ，Ｅｇｒｅｓｓ，Ｄｅｎｙ））を設定することを示す。

図１２は、本発明の第１の実施の形態のＮＷ装置１００のブロック図である。

ＮＷ装置１００は、メモリ１１０、ＣＰＵ１５０、外部記憶１６０、Ｉ／Ｏインターフェース（Ｉ／Ｆ）１７０、パケット・フレーム転送機能部１８０を備える。

メモリ１１０は、フィルタ処理プログラム１１１、ＣＰＵ負荷管理プログラム１１２、フィルタエントリ管理プログラム１１３、フィルタエントリ情報テーブル１２１、物理接続情報テーブル１２２、ＶＬＡＮ情報テーブル１２３、及び経路情報テーブル１２４を格納する。

フィルタ処理プログラム１１１は、フィルタエントリ情報テーブル１２１に格納されている情報にしたがって、パケット・フレーム転送機能部１８０を用いて受信したパケット及びフレームにフィルタ処理（フィルタリング）を行う。

ＣＰＵ負荷管理プログラム１１２は、ＣＰＵ１５０の負荷を管理する。また、管理サーバ５００からＣＰＵの負荷情報が要求されると、ＣＰＵの負荷情報を管理サーバ５００に通知する。

フィルタエントリ管理プログラム１１３は、フィルタエントリ情報テーブル１２１を管理する。また、管理サーバ５００から要求されたフィルタエントリの設定に従って、フィルタエントリ情報テーブル１２１に値を格納する。

フィルタエントリ情報テーブル１２１は、フィルタエントリを管理する。なお、フィルタエントリ情報テーブル１２１については、図１３を用いて詳細に後述する。

物理接続情報テーブル１２２は、ＮＷ装置１００と隣接しているＮＷ装置１００との物理的な接続情報を管理する。なお、物理接続情報１２２については、図１４を用いて詳細に後述する。

ＶＬＡＮ情報テーブル１２３は、ＮＷ装置１００に設定されているＶＬＡＮの情報を管理する。なお、ＶＬＡＮ情報テーブル１２３については、図１５を用いて詳細に後述する。

経路情報テーブル１２４は、ＮＷ装置１００に設定されている経路情報を管理する。なお、経路情報１２４については、図１６を用いて詳細に後述する。

ＣＰＵ１５０は、メモリ１１０に記憶された各プログラムを実行するプロセッサである。

外部記憶１６０は、プログラム及び各種データを記憶する装置であり、例えば、ＨＤＤで構成される。

Ｉ／Ｏ Ｉ／Ｆ１７０は、データを入出力するインターフェースである。

パケット・フレーム転送機能部１８０は、他のＮＷ装置１００及び端末グループ２００にパケット及びフレームを送受信するインターフェースである。

図１３〜図１６は、ＮＷ装置１００が保持する情報を説明する図である。なお、図１３〜図１６では、ＮＷ装置１００Ａが保持する情報の一例を示している。

図１３は、本発明の第１の実施の形態のフィルタエントリ情報テーブル１２１である。

フィルタエントリ情報テーブル１２１は、ポート１２１１、レイヤ１２１２、送信元１２１３、宛先１２１４、プロトコル１２１５、フロー方向１２１６、アクション１２１７、及びフィルタ順位１２１８を含む。

ポート１２１１は、フィルタが設定されているポートを識別するための一意な識別子である。

レイヤ１２１２は、フィルタが対象とするフローのレイヤ情報（例えば、Ｌ３（レイヤ３）、Ｌ２（レイヤ２）等）である。

送信元１２１３は、フィルタが対象とするフローの送信元情報である。なお、フィルタが送信元を特定しない場合は「Ａｎｙ」とする。

宛先１２１４は、フィルタが対象とするフローの宛先の情報である。なお、フィルタが宛先を特定しない場合は「Ａｎｙ」とする。

プロトコル１２１５は、フィルタが対象とするフローのプロトコル情報である。なお、フィルタがプロトコルを特定しない場合は「Ａｎｙ」とする。

フロー方向１２１６は、フィルタが対象とするフローの向き（例えば、Ｅｇｒｅｓｓ又はＩｎｇｒｅｓｓ）である。

アクション１２１７は、フィルタが対象とするフローに行うフィルタ処理のアクションである。

フィルタ順位１２１８は、各ポートで、適用されるフィルタの順位である。例えば、値の小さいフィルタの順位が高く、優先して適用される。

図１３に示す例では、フィルタエントリ情報テーブル１２１の第１行のポート１２１１、レイヤ１２１２、送信元１２１３、宛先１２１４、プロトコル１２１５、フロー方向１２１６、アクション１２１７、及びフィルタ順位１２１８には、それぞれ、「３」、「Ｌ３」、「１９２．１６８．１０．０／２４」、「Ａｎｙ」、「ＳＳＨ」、「Ｅｇｒｅｓｓ」、「Ｄｅｎｙ」及び「１」が格納されている。これは、ＮＷ装置１００Ａのポート３に設定されるフィルタは、レイヤ３を対象とし、送信元が「１９２．１６８．１０．０／２４」でＳＳＨのプロトコルを用いてデータを外部のネットワークに送信するフローを転送しないフィルタが設定されており、最も高い順位で適用されることを示す。

図１４は、本発明の第１の実施の形態の物理接続情報テーブル１２２である。

物理接続情報テーブル１２２は、ポートＩＤ１２２１、隣接ＮＷ装置ＩＤ１２２２、及び隣接ポートＩＤ１２２３を含む。

ポートＩＤ１２２１は、ポートを識別するための一意な識別子である。

隣接ＮＷ装置ＩＤ１２２２は、各ポートに隣接するＮＷ装置１００を識別するための一意な識別子である。

隣接ポートＩＤ１２２３は、ポートＩＤ１２２１に示されるポートと接続しているＮＷ装置１００のポートを識別するための一意な識別子である。

図１４に示す例では、物理接続情報テーブル１２２の第２行のポートＩＤ１２２１、隣接ＮＷ装置ＩＤ１２２２、及び隣接ポートＩＤ１２２３には、それぞれ、「１」、「２」、及び「３」が格納されている。これは、ＮＷ装置１００Ａのポート１は、ＮＷ装置２のポート３と接続していることを示す。

図１５は、本発明の第１の実施の形態のＶＬＡＮ情報テーブル１２３である。

ＶＬＡＮ情報テーブル１２３は、ＶＬＡＮ ＩＤ１２３１及びＶＬＡＮ設定ポート１２３２を含む。

ＶＬＡＮ ＩＤ１２３１は、設定されているＶＬＡＮを識別するための識別子である。

ＶＬＡＮ設定ポート１２３２は、ＶＬＡＮが設定されているＮＷ装置１００のポートを識別するための一意な識別子である。

図１５に示す例では、ＶＬＡＮ情報テーブル１２３の第１行のＶＬＡＮ ＩＤ１２３１及びＶＬＡＮ設定ポート１２３２には、それぞれ、「１０」及び「１」が格納されている。これは、「ＶＬＡＮ１０」がＮＷ装置１００Ａのポート１に設定されていることを示す。

図１６は、本発明の第１の実施の形態の経路情報テーブル１２４である。

経路情報テーブル１２４は、宛先１２４１及びインターフェース１２４２を含む。

宛先１２４１は、宛先となるネットワークのＩＰアドレスの範囲である。

インターフェース１２４２は、宛先１２４１に示される宛先にパケットを送信するインターフェースである。なお、インターフェースは、物理的なインターフェース（ポート）又はＶＬＡＮで設定される仮想的なインターフェースである。

図１６に示す例では、経路情報テーブル１２４の第１行の宛先１２４１及びインターフェース１２４２には、それぞれ、「１９２．１６８．１０．０／２４」及び「ＶＬＡＮインターフェース１０」が格納されている。これは、宛先「１９２．１６８．１０．０／２４」にデータを送信するインターフェースは、「ＶＬＡＮインターフェース１０」であることを示す。

図１７Ａ及び１７Ｂは、本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。

図１８は、本発明の第１の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。

図１７Ａ及び１７Ｂに示す例では、上位のＮＷ装置１００Ａのポート３に設定されているフィルタを、下位のＮＷ装置１００Ｂ及び１００Ｃに移動（分散）させる。なお、図１７Ａ及び１７Ｂに示す例では、ＮＷ装置１００Ｂ〜１００Ｈを代表して、ＮＷ装置１００Ｂを下位のＮＷ装置とする。

まず、管理サーバ５００は、定期的に上位ＮＷ装置１００ＡのＣＰＵの負荷情報を要求する（Ｓ１０１）。

次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａは、図１８に示すメッセージ（ＣＰＵ負荷）を用いて、ＣＰＵの負荷情報を管理サーバ５００に通知する（Ｓ１０２）。

なお、ステップ１０１では、管理サーバ５００は、上位ＮＷ装置１００ＡにのみＣＰＵの負荷情報を要求しているが、下位ＮＷ装置にも、ＣＰＵに空きがあるかどうかを調べるためにＣＰＵの負荷情報を要求してもよい。

次に、管理サーバ５００は、ステップ１０２で通知されたＣＰＵ負荷に基づいて、フィルタの再構成が必要か否かを判定する（Ｓ１０３）。具体的には、管理サーバ５００は、再構成対象フィルタ数情報テーブル５２３を参照し、ステップ１０２で通知されたＣＰＵ負荷が再構成対象フィルタ数情報テーブル５２３のＣＰＵ負荷５２３１の範囲だった場合、フィルタの再構成が必要であると判定し、再構成対象フィルタ数の割合５２３２に基づいて再構成の対象となるフィルタ数を算出する。

次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４、Ｓ１０６）。

次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（物理接続情報）を用いて、物理接続情報テーブル１２２に格納されている情報を管理サーバ５００に通知する（Ｓ１０５、Ｓ１０７）。

次に、管理サーバ５００は、Ｓ１０５及びＳ１０７で通知された物理接続情報テーブル１２２に格納されている情報に基づいて、物理構成情報テーブル５２１を更新する（Ｓ１０８）。

次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００ＢにＩＰネットワーク情報を要求する（Ｓ１０９、Ｓ１１１）。

次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（ＩＰネットワーク情報）を用いて、ＶＬＡＮ情報テーブル１２３及び経路情報テーブル１２４に格納されている情報を管理サーバ５００に通知する（Ｓ１１０、１１２）。

次に、管理サーバ５００は、Ｓ１１０及びＳ１１２で通知された情報に基づいて、ＩＰネットワーク構成情報テーブル５２２を更新する（Ｓ１１３）。

管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂにフィルタエントリの情報を要求する（Ｓ１１４、Ｓ１１６）。

次に、管理サーバ５００から要求を受けた上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、図１８に示すメッセージ（フィルタエントリ情報）を用いて、フィルタエントリ情報テーブル１２１に格納されている情報を管理サーバ５００に通知する（Ｓ１１５、Ｓ１１７）。

次に、管理サーバ５００は、Ｓ１１５及びＳ１１７で通知された情報をフィルタエントリ情報テーブル５２６に登録する（Ｓ１１８）。なお、すでに同じエントリがフィルタエントリ情報テーブル５２６に登録されている場合には、管理サーバ５００は、Ｓ１１５及びＳ１１７で通知された情報を用いて、登録されているフィルタエントリの情報を更新する。

次に、管理サーバ５００は、再構成の対象となるフィルタを選択する（Ｓ１１９）。なお、再構成の対象となるフィルタを選択する再構成対象フィルタ選択処理については、後述する図１９で詳細を説明する。

次に、管理サーバ５００は、フィルタを再構成するする対象となるＮＷ装置１００（設定対象ＮＷ装置）及びポートを選択する（Ｓ１２０）。なお、設定対象ＮＷ装置及びポートを選択する設定対象ＮＷ装置・ポート選択処理については、後述する図２０で詳細を説明する。

次に、管理サーバ５００は、新しいフィルタの構成を生成する（Ｓ１２１）。なお、新しいフィルタの構成を生成するフィルタ構成生成処理については、後述する図２１で詳細を説明する。

次に、管理サーバ５００は、図１８で示すメッセージ（承認要求）を用いて、Ｓ１２１で生成したフィルタの構成を管理者用端末７００に通知し、新しいフィルタの構成をＮＷ装置１００に反映する承認を要求する（Ｓ１２２）。

次に、管理者用端末７００は、Ｓ１２２で通知されたフィルタの構成を確認し、ＮＷ装置１００に反映する場合は、承認をする（Ｓ１２３）。

次に、管理サーバ５００は、図１８に示すメッセージ（フィルタ設定）を用いて、再構成するフィルタの効果が途切れないように、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂにフィルタエントリを通知し、フィルタを設定する（Ｓ１２４、Ｓ１２６）。具体的には、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂのフィルタの構成を、Ｓ１２１で生成された新しいフィルタの構成に変更する。

次に、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂは、Ｓ１２４及びＳ１２６で設定されたフィルタの設定結果を管理サーバ５００に通知する（Ｓ１２５、Ｓ１２７）
次に、管理サーバ５００は、Ｓ１２４及びＳ１２６で設定されたフィルタの内容を設定履歴情報テーブル５２７に登録する（Ｓ１２８）。なお、設定履歴情報テーブル５２７の設定時刻５２７１には、ＮＷ装置（上位ＮＷ装置１００Ａ又は下位ＮＷ装置１００Ｂ）１００に設定を行った時刻が登録される。

次に、管理サーバ５００は、設定結果を管理者用端末７００に通知する（Ｓ１２９）。

次に、管理者用端末７００は、図１８に示すメッセージ（フィルタ構成要求）を用いて、フィルタの構成の情報を取得したい時刻を指定し、管理サーバ５００にフィルタの構成の情報を要求する（Ｓ１３０）。

次に、管理サーバ５００は、設定履歴情報テーブル５２７を参照する（Ｓ１３１）。そして、管理サーバ５００は、図１８に示すメッセージ（フィルタ構成設定結果）を用いて、管理者用端末７００から要求された時刻のネットワークの構成情報を管理者用端末７００に通知する（Ｓ１３１）。

図１９は、本発明の第１の実施の形態の再構成対象フィルタ選択処理のフローチャートである。

管理サーバ５００は、図１７ＡのＳ１１８の処理で、フィルタエントリ情報テーブル５２６に情報を登録した後に、再構成対象フィルタ選択処理を実行する。

まず、管理サーバ５００は、フィルタタイプ情報テーブル５２５を用いて、再構成対象のフィルタが設定されているＮＷ装置１００のフィルタの優先度を決定する（Ｓ２０１）。

次に、管理サーバ５００は、Ｓ２０１で決定された優先度を参照して、優先度が高いフィルタエントリを再構成対象フィルタに選択する（Ｓ２０２）。なお、優先度に値が格納されていない場合には、再構成対象フィルタの対象として選択されない。

次に、管理サーバ５００は、図１７ＡのＳ１０３で算出した再構成対象フィルタ数以上のエントリを選択したか否かを判定する（Ｓ２０３）。

再構成対象フィルタ数以上のエントリを選択していない場合には、処理はＳ２０２の処理に戻る。一方、再構成対象フィルタ数以上のエントリを選択している場合には、選択されたエントリで定義されるフィルタを再構成対象フィルタとし、再構成対象フィルタ選択処理を終了する（Ｓ２０４）。

図２０は、本発明の第１の実施の形態の設定対象ＮＷ装置・ポート選択処理のフローチャートである。

管理サーバ５００は、図１７ＢのＳ１１９の処理で、再構成対象フィルタを選択した後に、設定対象ＮＷ装置・ポート選択処理を実行する。

まず、管理サーバ５００は、再構成対象フィルタを一つ（Ｆ１）選択する（Ｓ３０１）。

次に、管理サーバ５００は、フィルタの移動元となるノード（例えば、ＮＷ装置１００）Ｎ１の再構成対象フィルタＦ１が設定されているポートＳＰ１以外のポートに接続されているノードＮ２を選択する（Ｓ３０２）。

次に、管理サーバ５００は、ノードＮ２が管理可能なノードであるか否かを判定する（Ｓ３０３）。例えば、内部ネットワーク１を構成しているＮＷ装置１００が管理可能なノードである。

ノードＮ２が管理可能なノードである場合には、処理はＳ３０５に進む。一方、ノードＮ２が管理可能なノードでない場合には、フィルタをノードＮ２に分散することができないため、処理はＳ３０４に進む。

Ｓ３０４では、管理サーバ５００は、再構成対象フィルタＦ１を再構成対象フィルタから除外し（Ｓ３０４）、Ｓ３０８の処理に進む。

なお、管理サーバ５００は、Ｓ３０４で除外したフィルタエントリを除いた残りの再構成対象フィルタについて処理を実行する。

また、管理サーバ５００は、Ｓ３０４で除外された再構成対象フィルタの数と同じ数だけ、図１９に示す再構成対象フィルタ選択処理によって、新たに再構成対象フィルタとして追加して処理を実行してもよい。

次に、管理サーバ５００は、ノードＮ２が再構成対象フィルタで指定されている送信元を収容するか否かを判定する。（Ｓ３０５）
ノードＮ２が送信元を収容しない場合には、処理はＳ３０２の処理に戻る。一方、ノードＮ２が送信元を収容する場合には、ノードＮ２を設定対象ノードＴＮ２に設定し、ノードＮ１と接続するノードＮ２のポートを設定対象ポートＴＰ２に指定する（Ｓ３０６）。

次に、管理サーバ５００は、ノードＮ１のポートのうち、再構成対象フィルタＦ１が設定されているポート以外のポートに接続されているノードを全て選択したか否かを判定する（Ｓ３０７）。ノードを全て選択していない場合には、処理はＳ３０３の処理に戻る。一方、ノードを全て選択した場合には、処理はＳ３０８の処理に進む。

次に、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ３０８）。再構成対象フィルタを全て選択していない場合には、処理はＳ３０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、設定対象ＮＷ装置・ポート選択処理を終了する（Ｓ３０９）。

図２１は、本発明の第１の実施の形態のフィルタ構成生成処理のフローチャートである。

管理サーバ５００は、図１７ＢのＳ１２０の処理で、設定対象ＮＷ装置及びポートを選択した後に、フィルタ構成生成処理を実行する。

まず、管理サーバ５００は、再構成対象フィルタを一つ（Ｆ１）選択する（Ｓ４０１）。

次に、管理サーバ５００は、フィルタの移動元となるポートＰ１からＳ４０１で選択した再構成対象フィルタＦ１を削除する（Ｓ４０２）。

次に、管理サーバ５００は、図２０のＳ３０６で指定された設定対象ポートＴＰ２に再構成対象フィルタＦ１を追加する（Ｓ４０３）。

次に、管理サーバ５００は、再構成対象フィルタＦ１の宛先が指定されているか否かを判定する（Ｓ４０４）。再構成対象フィルタＦ１の宛先が指定されていない場合には、再構成対象フィルタＦ１のフィルタリング効果と同等のフィルタリング効果を持つフィルタの構成にするように、新しいフィルタを設定対象ポートＴＰ２に追加する必要があるため、処理はＳ４０５の処理に進む。一方、再構成対象フィルタＦ１の宛先が指定されている場合には、新しいフィルタの追加は不要であるため、処理はＳ４０７の処理に進む。

なお、同等のフィルタリング効果を持つフィルタの構成にするとは、フィルタの移動元となるノードＮ１に設定されているフィルタを新たに設定対象ノードＴＮ２に設定する場合に、パケットが転送される範囲が、新たにフィルタを設定する前にパケットが転送されていた範囲と同じになるように、フィルタの構成を生成することである。

次に、管理サーバ５００は、フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１があるか否かを判定する（Ｓ４０５）。

フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１がある場合には、管理サーバ５００は、再構成前のフィルタ効果と同じ効果を持つフィルタの構成にするために、送信元及びプロトコルが「Ｆ１」と等しく、宛先が「Ｔ１」でフィルタアクションが「Ｐｅｒｍｉｔ」のフィルタＦ２を「ＴＰ２」に追加する（Ｓ４０６）。なお、宛先は、「Ｔ１」のＩＰアドレス、ＭＡＣアドレス、又はＩＰアドレスを集約した形式で指定してもよい。一方、フィルタの移動元となるＮＷ装置Ｎ１のポートＳＰ１以外のポートに収容され、且つ、ＴＮ２に収容されていない端末Ｔ１がない場合、Ｓ４０７に進む。

次に、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ４０７）。

再構成対象フィルタを全て選択していない場合には、処理はＳ４０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、フィルタ構成生成処理を終了する（Ｓ４０８）。

このように、本発明の第１の実施の形態では、フィルタを分散するために必要な情報を、管理サーバが自動的に取得するため、ネットワーク管理者及びシステムエンジニアの作業コストを削減できる。また、ＮＷ装置から取得したネットワーク構成情報を利用し、必要な場所にフィルタを分散させることができる。また、フィルタを分散させる際に、フィルタリングの効果が変わらないようにフィルタを構成することができる。

＜第２の実施の形態＞
本発明の第２の実施の形態のネットワークシステムについて、図２２及び図２３を用いて説明する。

第２の実施の形態は、管理者用端末７００が管理サーバ５００にフィルタの再構成を要求することによって、要求を受けた管理サーバ５００がフィルタの再構成を行う点が特徴である。

図２２は、本発明の第２の実施の形態のフィルタ再構成処理のシーケンス図であり、図２３は、本発明の第２の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。

まず、管理者用端末７００は、図２３で示すメッセージ（フィルタ再構成要求）を用いて、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定して、管理サーバ５００にフィルタ再構成を要求する（Ｓ５０１）。

なお、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図２４に示す。

次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４）。以降の処理は、図１７ＡのＳ１０５以降と同じであるため省略する。

図２４は、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定するために、管理者用端末７００によって提供される入力インターフェースの例を示す。

入力インターフェースは、再構成の対象となるＮＷ装置１００の入力欄、再構成の対象となるＮＷ装置１００のポートの入力欄、及び、再構成するフィルタの数の入力欄を含み、「ＯＫ」のボタンを操作することによって、再構成の対象とするＮＷ装置１００と、再構成の対象とするフィルタ数とを指定して管理サーバ５００にフィルタ再構成要求が要求される。

このように、本発明の第２の実施の形態では、任意のＮＷ装置１００をフィルタの分散元として指定することができる。

＜第３の実施の形態＞
本発明の第３の実施の形態のネットワークシステムについて、図２５〜２８を用いて説明する。

第３の実施の形態は、第１の実施の形態で、フィルタの移動元となるＮＷ装置１００（例えば、ＮＷ装置１００Ａ）に隣接しているＮＷ装置１００（例えば、ＮＷ装置１００Ｂ）にフィルタを移動させる再構成（以下、単独再構成と説明する）を繰り返し行い、隣接しているＮＷ装置１００のさらに下位のＮＷ装置１００にフィルタを移動させる点が特徴である（以下、再帰再構成と説明する）。

さらに、フィルタを移動させる範囲を、再構成ポリシーとして定義し、各フィルタタイプに再構成ポリシーを指定する。

図２５は、本発明の第３の実施の形態の管理サーバ５００のブロック図である。

第１の実施の形態の管理サーバ５００とは、フィルタタイプ情報テーブル５２５の管理する情報を拡張し、再構成ポリシー情報テーブル５２８を追加する点で異なる。

第３の実施の形態のフィルタタイプ情報テーブル５２５については、図２６を用いて詳細に後述する。

再構成ポリシー情報テーブル５２８は、フィルタを移動させる範囲を定義する再構成ポリシーを管理する。なお、再構成ポリシー情報テーブル５２８については、後述する図２７で詳細を説明する。

図２６は、本発明の第３の実施の形態のフィルタタイプ情報テーブル５２５である。

第３の実施の形態のフィルタタイプ情報テーブル５２５は、第１の実施の形態のフィルタタイプ情報テーブル５２５と、再構成ポリシーＩＤ５２５３を含む点で異なる。

再構成ポリシーＩＤ５２５３は、再構成するためのポリシーを識別するＩＤである。

管理サーバ５００は、再構成ポリシーＩＤ５２５３を用いて、後述する再構成ポリシー情報テーブル５２８を参照し、各再構成ポリシーＩＤ５２５３に対応する再構成ポリシーの内容を取得する。

また、管理者は、管理者用端末７００を用いて管理サーバ５００に要求し、フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加、又は変更することができる。フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加、又は変更する時に、管理者が利用する管理者用端末７００の入力インターフェースは、図２８を用いて後述する。

図２７は、本発明の第３の実施の形態の再構成ポリシー情報テーブル５２８である。

再構成ポリシー情報テーブル５２８は、再構成ポリシーＩＤ５２８１及び再構成ポリシー５２８２を含む。

再構成ポリシーＩＤ５２８１は、再構成するためのポリシーを識別するＩＤである。

再構成ポリシー５２８２は、再構成ポリシーＩＤ５２８１に対応する再構成ポリシーの内容である。再構成ポリシー５２８２は、例えば、単独再構成、送信元集約地点まで再帰再構成、及び、エッジＮＷ装置まで再帰再構成がある。

単独再構成は、第１の実施の形態で、フィルタの移動元とするＮＷ装置１００に隣接しているＮＷ装置１００のみにフィルタを移動させる再構成である。

送信元集約地点まで再帰再構成は、単独再構成を繰り返し行い、再構成対象フィルタに指定されている送信元の全ての端末を収容し、かつ、フィルタの移動元とするＮＷ装置１００から最も離れたＮＷ装置１００までフィルタを移動させる再構成である。

エッジＮＷ装置まで再帰再構成は、単独再構成を繰り返し行い、端末グループ２００と直接接続されたＮＷ装置１００までフィルタを移動させる再構成である。

図２７に示す例では、再構成ポリシー情報テーブル５２８の第１行の再構成ポリシーＩＤ５２８１及び再構成ポリシー５２８２には、それぞれ、「１」及び「単独再構成」が格納されている。これは、再構成ポリシーＩＤの「１」に定義されている再構成ポリシーは、「単独再構成」であることを示す。

図２８は、図２６に示すフィルタタイプ情報テーブル５２５に格納される値を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。

入力インターフェースは、フィルタタイプ５２５１の入力欄、再構成対象の優先度５２５２の入力欄、及び再構成ポリシーＩＤ５２５３の入力欄を含み、「ＯＫ」のボタンを操作することによって、フィルタタイプ５２５１、再構成対象の優先度５２５２、及び再構成ポリシーＩＤ５２５３を追加又は変更するように管理サーバ５００に要求される。なお、フィルタタイプ情報テーブル５２５に格納される値を変更する場合には、既に設定されているフィルタの情報を指定する欄をさらに含み、指定したフィルタの情報について、変更するフィルタタイプ５２５１及び再構成対象の優先度５２５２を入力する。

図２９は、本発明の第３の実施形態の設定履歴情報テーブル５２７である。

設定履歴情報テーブル５２７の第１行目は、再構成ポリシーが「送信元集約地点まで再帰再構成」である場合に再構成されたフィルタの設定履歴である。具体的には、ＮＷ装置１００Ａのポート３に設定されていたフィルタを、ＮＷ装置１００Ｄのポート３に移動させて設定している。

設定履歴情報テーブル５２７の第２行目は、再構成ポリシーが「エッジＮＷ装置まで再帰再構成」である場合に再構成されたフィルタの設定履歴である。具体的には、ＮＷ装置１００Ａのポート３に設定されていたフィルタを、ＮＷ装置１００Ｇのポート３及びＮＷ装置１００Ｈのポート３に分散させて設定している。

図３０は、本発明の第３の実施の形態のフィルタ再構成処理のシーケンス図である。

図３０に示す再構成対象フィルタ選択処理のＳ１１９まで第１の実施の形態の図１７Ｂに示すＳ１１９までと同じであるため省略する。

処理Ｓ１１９の後に、管理サーバ５００は、設定対象ＮＷ装置、ポート選択／フィルタ構成生成／ＮＷ装置のフィルタエントリ数確認処理（以下、再帰再構成処理として説明する）を行う（Ｓ６０１）。なお、再帰再構成処理は、図３１を用いて詳細に後述する。

次に、管理サーバ５００は、管理者用端末７００に承認要求を送信する（Ｓ１２１）。Ｓ１２１の以降の処理は、図１７ＢのＳ１２２以降の処理と同じであるため省略する。

図３１は、本発明の第３の実施の形態の再帰再構成処理のフローチャートである。

まず、管理サーバ５００は、一つの再構成対象フィルタＦ１を選択する（Ｓ７０１）。

次に、管理サーバ５００は、Ｓ７０１で選択された再構成対象フィルタＦ１を再帰再構成対象フィルタに設定する（Ｓ７０２）。

次に、管理サーバ５００は、Ｓ７０２で設定された再帰再構成対象フィルタから一つの再帰再構成対象フィルタＦ２を選択する（Ｓ７０３）。

次に、管理サーバ５００は、設定対象ＮＷ装置・ポート選択処理を行う（Ｓ７０４）。設定対象ＮＷ装置・ポート選択処理の詳細は、図２０に示すフローチャートと同じであるため、説明を省略する。

次に、管理サーバ５００は、Ｓ７０３で選択された再帰再構成対象フィルタＦ２についてフィルタ構成生成処理を行う（Ｓ７０５）。フィルタ構成生成処理の詳細は、図２１に示すフローチャートと同じであるため、説明を省略する。

次に、管理サーバ５００は、Ｓ７０５で再構成されたフィルタから一つのフィルタＤＦ１選択する（Ｓ７０６）。

次に、管理サーバ５００は、Ｓ７０６で選択されたフィルタＤＦ１が、再構成対象フィルタＦ１の再構成のポリシーを満たすか否か判定する（Ｓ７０７）。例えば、以下のようにして判定する。

再構成のポリシーが単独再構成の場合には、フィルタＤＦ１が設定されるＮＷ装置１００と、再構成対象フィルタＦ１が設定されているＮＷ装置１００とが隣接していることによって、再構成のポリシーが満たされる。

再構成のポリシーが送信元集約地点まで再帰再構成の場合には、図３に示すＩＰネットワーク構成情報５２２を参照し、再構成対象フィルタＦ１の全ての送信元が収容され、かつ、再構成対象フィルタＦ１が設定されているＮＷ装置１００から最も離れている（多くのＮＷ装置１００を中継して接続されている）ＮＷ装置１００を算出する。算出されたＮＷ装置と、フィルタＤＦ１が設定されるＮＷ装置１００とが同じである場合、再構成のポリシーが満たされる。

再構成のポリシーが送信元集約地点まで再帰再構成の場合には、図３に示すＩＰネットワーク構成情報５２２を参照し、端末グループ２００に直接接続されているＮＷ装置１００を算出する。算出されたＮＷ装置１００と、フィルタＤＦ１が設定されるＮＷ装置１００とが同じである場合、再構成のポリシーが満たされる。

フィルタＤＦ１が再構成対象フィルタＦ１の再構成ポリシーを満たさない場合には、フィルタＤＦ１に再構成を行う必要があるため、処理はＳ７０８に進む。一方、フィルタＤＦ１が再構成対象フィルタＦ１の再構成ポリシーを満たす場合には、処理はＳ７０９に進む。

Ｓ７０８では、管理サーバ５００は、フィルタＤＦ１を再帰再構成フィルタに追加する（Ｓ７０８）。そして、処理はＳ７０９に進む。

次に、管理サーバ５００は、Ｓ７０６で再構成されたフィルタを全て選択したか否かを判定する（Ｓ７０９）。

再構成されたフィルタを全て選択していない場合には、処理はＳ７０６の処理に戻る。一方、再構成されたフィルタを全て選択した場合には、処理はＳ７１０に進む。

次に、管理サーバ５００は、再帰再構成フィルタが追加されていないか否かを判定する（Ｓ７１０）。

再帰再構成フィルタが追加された場合には、追加された再帰再構成フィルタに再構成を行うため、追加された再記載構成フィルタを再び再記載構成対象フィルタに設定して、処理はＳ７０３の処理に戻る。一方、再帰再構成フィルタが追加されていない場合には、処理はＳ７１１に進む。

次に、管理サーバ５００は、再帰再構成フィルタが全て選択されたか否かを判定する（Ｓ７１１）。

再帰再構成フィルタが全て選択されていない場合には、処理はＳ７０３の処理に戻る。一方、再帰再構成フィルタが全て選択された場合には、処理はＳ７１２に進む。

次に、管理サーバ５００は、フィルタの設定対象となるＮＷ装置１００に設定されているフィルタのエントリの数を確認する（Ｓ７１２）。具体的には、フィルタの設定対象となるＮＷ装置１００に、既存に設定されているフィルタ数と再構成して設定されるフィルタ数との合計が、各ＮＷ装置１００に設定可能なフィルタ数よりも小さいか否かを判定する。

各ＮＷ装置１００に設定可能なフィルタ数よりも大きい場合には、処理は、Ｓ７１３に進む。一方、各ＮＷ装置１００に設定可能なフィルタ数よりも小さい場合には、処理はＳ７１４に進む。

Ｓ７１３では、管理サーバ５００は、一つ前までに再構成された再構成対象フィルタの処理を有効にして処理を終了するため、容量を超えたフィルタエントリである「Ｆ２」の再構成の内容を破棄する（Ｓ７１３）。そして、処理は終了する。

Ｓ７１４では、管理サーバ５００は、再構成対象フィルタを全て選択したか否かを判定する（Ｓ７１４）。

再構成対象フィルタを全て選択していない場合には、処理はＳ７０１の処理に戻る。一方、再構成対象フィルタを全て選択した場合には、処理は終了する。

＜第４の実施の形態＞
本発明の第４の実施の形態のネットワークシステムについて、図３２及び図３３を用いて説明する。

第４の実施の形態は、管理者用端末７００が、フィルタの設定対象となるＮＷ装置１００とポートとフィルタエントリの内容とを指定し、管理サーバ５００にフィルタの設定を要求し、管理サーバ５００は、指定されたフィルタを再構成することによって他のＮＷ装置１００に指定されたフィルタを分散させ、分散させたフィルタの構成をＮＷ装置１００に設定する点が特徴である。

図３２は、本発明の第４の実施の形態のフィルタ再構成処理のシーケンス図であり、図３３は、本発明の第４実施形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。

まず、管理者用端末７００は、管理サーバ５００に、ネットワークの構成情報を更新するよう要求する（Ｓ８０１）。

次に、管理サーバ５００は、上位ＮＷ装置１００Ａ及び下位ＮＷ装置１００Ｂに物理接続情報を要求する（Ｓ１０４）。この処理は、図１７ＡのＳ１０４の処理と同じであり、Ｓ１０４の処理から、Ｓ１１８のフィルタエントリ情報登録処理までは、第１の実施の形態の図１７Ａに示すＳ１０４からＳ１１８までの処理と同じであるため、説明を省略する。

次に、管理サーバ５００は、管理者用端末７００にネットワーク構成情報の更新が完了したことを通知する（Ｓ８０２）。

次に、管理者用端末７００は、図３３に示すメッセージ（フィルタエントリ新規追加要求）を用いて、管理サーバ５００にフィルタエントリを新規に追加するよう要求する（Ｓ８０３）。Ｓ８０３で用いるメッセージには、フィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容が含まれる。

なお、フィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリを指定する時に、管理者が利用する管理者用端末７００の入力インターフェースを後述する図３４に示す。

次に、管理サーバ５００は、要求されたフィルタエントリを再構成対象フィルタとし、再帰再構成処理を行う（Ｓ６０１）。Ｓ６０１の処理は、第３の実施の形態の図２９のＳ６０１の処理と同じであり、Ｓ６０１以降の処理も図２９に示す処理と同じであるため、説明を省略する。

図３４は、新規に追加されるフィルタの設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容を入力するために、管理者用端末７００によって提供される入力インターフェースの例を示す。

入力インターフェースは、設定対象となるＮＷ装置１００の入力欄、フィルタの設定対象となるポートの入力欄、及び、フィルタエントリの入力欄を含み、「ＯＫ」のボタンを操作することによって、設定対象となるＮＷ装置１００、フィルタの設定対象となるポート、及び、フィルタエントリの内容を指定して管理サーバ５００に要求される（Ｓ８０３）。

本発明の第１の実施の形態のネットワークシステムの構成を示す図である。 本発明の第１の実施の形態の管理サーバのブロック図である。 本発明の第１の実施の形態のＩＰネットワーク構成情報を説明する図である。 本発明の第１の実施の形態の物理構成情報テーブルである。 本発明の第１の実施の形態の再構成対象フィルタ数情報テーブルである。 本発明の第１の実施の形態の最大フィルタ数情報テーブルである。 本発明の第１の実施の形態の機種情報テーブルである。 本発明の第１の実施の形態のフィルタタイプ情報テーブルである。 本発明の第１の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。 本発明の第１の実施の形態のフィルタエントリ情報テーブルである。 本発明の第１の実施の形態の設定履歴情報テーブルである。 本発明の第１の実施の形態のＮＷ装置のブロック図である。 本発明の第１の実施の形態のフィルタエントリ情報テーブルである。 本発明の第１の実施の形態の物理接続情報テーブルである。 本発明の第１の実施の形態のＶＬＡＮ情報テーブルである。 本発明の第１の実施の形態の経路情報テーブルである。 本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。 本発明の第１の実施の形態のフィルタ再構成処理のシーケンス図である。 本発明の第１の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。 本発明の第１の実施の形態の再構成対象フィルタ選択処理のフローチャートである。 本発明の第１の実施の形態の設定対象ＮＷ装置・ポート選択処理のフローチャートである。 本発明の第１の実施の形態のフィルタ構成生成処理のフローチャートである。 本発明の第２の実施の形態のフィルタ再構成処理のシーケンス図である。 本発明の第２の実施の形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。 本発明の第２の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。 本発明の第３の実施の形態の管理サーバのブロック図である。 本発明の第３の実施の形態のフィルタタイプ情報テーブルである。 本発明の第３の実施の形態の再構成ポリシー情報テーブルである。 本発明の第３の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。 本発明の第３の実施形態の設定履歴情報テーブルである。 本発明の第３の実施の形態のフィルタ再構成処理のシーケンス図である。 本発明の第３の実施の形態の再帰再構成処理のフローチャートである。 本発明の第４の実施の形態のフィルタ再構成処理のシーケンス図である。 本発明の第４実施形態のフィルタ再構成処理において送受信されるメッセージを説明する図である。 本発明の第４の実施の形態の管理者用端末によって提供される入力インターフェースの例を示す。

符号の説明

１００ ＮＷ装置
２００ 端末グループ
５００ 管理サーバ
７００ 管理者用端末

Claims (19)

1. ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、
   前記複数の転送装置を含むネットワークに接続され、前記ネットワークを管理する管理計算機と、を備えるネットワークシステムであって、
   前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
   前記管理計算機は、
   前記複数の転送装置から前記ネットワークの構成情報を取得し、
   前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
   前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とするネットワームシステム。
2. 前記管理計算機は、
   前記第１の転送装置に直接接続されている転送装置から、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を収容する第２の転送装置を特定し、
   前記第１の転送装置と接続される第２の転送装置のポートを、前記フィルタを設定するポートに指定し、
   前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲が、前記第１の転送装置に設定されているフィルタによってパケットを転送可能な範囲と同じであるか否かを判定し、
   パケットを転送可能な範囲が同じではないと判定された場合、前記第１の転送装置に設定されている再構成の対象となるフィルタの条件に含まれる送信元を送信元とするフィルタであって、前記第１の転送装置に収容され、かつ、前記第２の転送装置に収容されていない端末を宛先とする許可フィルタを、前記指定されたポートに設定するように、前記第２の転送装置のフィルタを再構成することを特徴とする請求項１に記載のネットワークシステム。
3. 前記第１の転送装置は、前記フィルタの処理をするプロセッサを備え、
   前記管理計算機は、
   以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの数を決定し、
   （１）前記第１の転送装置から前記第１の転送装置のプロセッサの負荷情報を取得し、前記取得された負荷情報と所定の閾値との比較結果に基づいて、前記プロセッサの負荷情報に対応して、前記再構成の対象となるフィルタの数を決定し、
   （２）前記管理計算機が備える入力インターフェースを介して指定されたフィルタの数を前記再構成の対象となるフィルタの数に決定し、
   前記決定された数と同数のフィルタを再構成することを特徴とする請求項２に記載のネットワークシステム。
4. 前記管理計算機は、
   前記第１の転送装置に設定されているフィルタの種類の情報を保持し、
   以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの優先度を決定し、
   （１）前記保持されているフィルタの種類の情報を参照することによって、前記第１の転送装置に設定されているフィルタの種類を判定し、前記判定されたフィルタの種類に対応して前記再構成の対象となるフィルタの優先度を決定し、
   （２）前記管理計算機が備える入力インターフェースを介して指定された前記フィルタの優先度を前記再構成の対象となるフィルタの優先度として決定し、
   前記決定された優先度に基づいて、前記再構成の対象となるフィルタを選択することを特徴とする請求項２に記載のネットワークシステム。
5. 前記ネットワークの構成情報は、前記ネットワークの物理的な接続情報、及び、前記ネットワークの論理的な接続情報を含み、
   前記管理計算機は、前記ネットワークの構成情報を用いて前記第１の転送装置の下位に接続される第２の転送装置を選択することを特徴とする請求項２に記載のネットワークシステム。
6. 前記管理計算機は、
   前記再構成の対象となるフィルタと、前記フィルタの再構成前の転送装置及びポートの指定と、前記フィルタの再構成と実転送装置への設定要求を受け付ける入力インターフェースを備え、
   前記入力インターフェースを介して指定された転送装置及びポートのフィルタを再構成することを特徴とする請求項２に記載のネットワークシステム。
7. 前記複数の転送装置は、前記第２の転送装置の下位に接続される第３の転送装置をさらに含み、
   前記管理計算機は、
   前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを新たに再構成の対象となるフィルタに指定し、
   前記第２の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第３の転送装置に設定される対象フィルタによってパケットを転送可能な範囲と同じになるように、前記第２の転送装置のフィルタ及び前記第３の転送装置のフィルタを再構成し、
   前記再構成されたフィルタを、前記第２の転送装置及び前記第３の転送装置に設定し、
   前記第３の転送装置に設定されたフィルタを再構成の対象となるフィルタに設定し、前記フィルタの再構成処理を繰り返すことを特徴とする請求項２に記載のネットワークシステム。
8. 前記複数の転送装置は、前記第２の転送装置の下位に接続される第４の転送装置をさらに含み、
   前記管理計算機は、
   以下の（１）又は（２）のいずれかの方法によって、前記第４の転送装置を特定し、
   （１）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を直接収容する前記第４の転送装置を特定し、
   （２）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる全ての送信元の端末を収容する前記第４の転送装置を特定し、
   前記特定された第４の転送装置のフィルタの構成が変更されるまで、前記フィルタの再構成処理を繰り返すことを特徴とする請求項７に記載のネットワークシステム。
9. 前記管理計算機は、
   前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを、新たに再構成の対象となるフィルタに指定するか否かのポリシーの指定を、前記フィルタの種類に対応して受け付ける入力インターフェースを備え、
   前記指定されたポリシーに基づいて、前記フィルタの再構成処理を繰り返すか否かを決定することを特徴とする請求項７に記載のネットワークシステム。
10. ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、を備えるネットワークシステムに備わる管理計算機であって、
    前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
    前記管理計算機は、
    前記複数の転送装置から前記ネットワークの構成情報を取得し、
    前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
    前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とする管理計算機。
11. 前記管理計算機は、
    前記第１の転送装置に直接接続されている転送装置から、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を収容する第２の転送装置を特定し、
    前記第１の転送装置と接続される第２の転送装置のポートを、前記フィルタを設定するポートに指定し、
    前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲が、前記第１の転送装置に設定されているフィルタによってパケットを転送可能な範囲と同じであるか否かを判定し、
    パケットを転送可能な範囲が同じではないと判定された場合、前記第１の転送装置に設定されている再構成の対象となるフィルタの条件に含まれる送信元を送信元とするフィルタであって、前記第１の転送装置に収容され、かつ、前記第２の転送装置に収容されていない端末を宛先とする許可フィルタを、前記指定されたポートに設定するように、前記第２の転送装置のフィルタを再構成することを特徴とする請求項１０に記載の管理計算機。
12. 前記第１の転送装置は、前記フィルタの処理をするプロセッサを備え、
    前記管理計算機は、
    以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの数を決定し、
    （１）前記第１の転送装置から前記第１の転送装置のプロセッサの負荷情報を取得し、前記取得された負荷情報と所定の閾値との比較結果に基づいて、前記プロセッサの負荷情報に対応して、前記再構成の対象となるフィルタの数を決定し、
    （２）前記管理計算機が備える入力インターフェースを介して指定されたフィルタの数を前記再構成の対象となるフィルタの数に決定し、
    前記決定された数と同数のフィルタを再構成することを特徴とする請求項１１に記載の管理計算機。
13. 前記管理計算機は、
    前記第１の転送装置に設定されているフィルタの種類の情報を保持し、
    以下の（１）又は（２）のいずれかの方法によって、前記再構成の対象となるフィルタの優先度を決定し、
    （１）前記保持されているフィルタの種類の情報を参照することによって、前記第１の転送装置に設定されているフィルタの種類を判定し、前記判定されたフィルタの種類に対応して前記再構成の対象となるフィルタの優先度を決定し、
    （２）前記管理計算機が備える入力インターフェースを介して指定された前記フィルタの優先度を前記再構成の対象となるフィルタの優先度として決定し、
    前記決定された優先度に基づいて、前記再構成の対象となるフィルタを選択することを特徴とする請求項１１に記載の管理計算機。
14. 前記ネットワークの構成情報は、前記ネットワークの物理的な接続情報、及び、前記ネットワークの論理的な接続情報を含み、
    前記管理計算機は、前記ネットワークの構成情報を用いて前記第１の転送装置の下位に接続される第２の転送装置を選択することを特徴とする請求項１１に記載の管理計算機。
15. 前記管理計算機は、
    前記再構成の対象となるフィルタと、前記フィルタの再構成前の転送装置及びポートの指定と、前記フィルタの再構成と実転送装置への設定要求を受け付ける入力インターフェースを備え、
    前記入力インターフェースを介して指定された転送装置及びポートのフィルタを再構成することを特徴とする請求項１１に記載の管理計算機。
16. 前記複数の転送装置は、前記第２の転送装置の下位に接続される第３の転送装置をさらに含み、
    前記管理計算機は、
    前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを新たに再構成の対象となるフィルタに指定し、
    前記第２の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第３の転送装置に設定される対象フィルタによってパケットを転送可能な範囲と同じになるように、前記第２の転送装置のフィルタ及び前記第３の転送装置のフィルタを再構成し、
    前記再構成されたフィルタを、前記第２の転送装置及び前記第３の転送装置に設定し、
    前記第３の転送装置に設定されたフィルタを再構成の対象となるフィルタに設定し、前記フィルタの再構成処理を繰り返すことを特徴とする請求項１１に記載の管理計算機。
17. 前記複数の転送装置は、前記第２の転送装置の下位に接続される第４の転送装置をさらに含み、
    前記管理計算機は、
    以下の（１）又は（２）のいずれかの方法によって、前記第４の転送装置を特定し、
    （１）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる送信元の端末を直接収容する前記第４の転送装置を特定し、
    （２）前記ネットワークの構成情報を参照し、前記再構成の対象となるフィルタの条件に含まれる全ての送信元の端末を収容する前記第４の転送装置を特定し、
    前記特定された第４の転送装置のフィルタの構成が変更されるまで、前記フィルタの再構成処理を繰り返すことを特徴とする請求項１６に記載の管理計算機。
18. 前記管理計算機は、
    前記フィルタの構成が変更された第２の転送装置に設定されるフィルタを、新たに再構成の対象となるフィルタに指定するか否かのポリシーの指定を、前記フィルタの種類に対応する受け付ける入力インターフェースを備え、
    前記指定されたポリシーに基づいて、前記フィルタの再構成処理を繰り返すか否かを決定することを特徴とする請求項１６に記載の管理計算機。
19. ネットワークトポロジにおいて上位の外部ネットワークと下位の複数の端末との間において、階層的に接続されパケットを転送する複数の転送装置と、前記複数の転送装置を含むネットワークと、前記ネットワークに接続され、前記ネットワークを管理する管理計算機と、を備えるネットワークシステムにおいて実行されるフィルタ再構成方法であって、
    前記複数の転送装置は、再構成の対象となるフィルタが設定されている第１の転送装置と、前記ネットワークトポロジにおいて前記第１の転送装置の下位に接続される第２の転送装置と、を含み、
    前記フィルタ構成方法は、
    前記複数の転送装置から前記ネットワークの構成情報を取得し、
    前記取得されたネットワークの構成情報を参照し、前記第１の転送装置に設定されている再構成対象フィルタによってパケットを転送可能な範囲が、前記第２の転送装置に設定されるフィルタによってパケットを転送可能な範囲と同じになるように、前記第１の転送装置のフィルタ及び前記第２の転送装置のフィルタを再構成し、
    前記再構成されたフィルタを、前記第１の転送装置及び前記第２の転送装置に設定することを特徴とするフィルタ再構成方法。

Images