JP5003285B2 - パケット処理における情報収集方法、パケット処理における情報収集を行うプログラムおよびネットワーク装置 - Google Patents

Description

この発明は、複数の機能処理部で構成されたネットワーク装置において、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、当該受信パケットについて当該各機能処理部が実行した処理情報を収集する処理をコンピュータに実行させる情報収集プログラム、このプログラムに対応する情報収集方法および情報収集装置に関する。

従来より、通信ネットワークシステムを構成する各通信装置の障害を検出することを目的として、各通信装置から障害情報を収集する技術が存在する（例えば、特許文献１参照）。

また、ネットワーク上を通過する各ユーザのパケットに関する複数の機能処理を統合した統合型ネットワーク装置において、意図しないパケットの破棄などがあった場合に、その原因を特定することを目的として、機能処理部ごとに処理情報を収集する技術が存在する。そして、この統合型ネットワーク装置では、例えば、意図せずに破棄された問題のパケットが存在する場合に、各機能処理部におけるサブ機能をどのように連携させて通過させるかをユーザごとに設定したユーザポリシと、機能処理部ごとに収集された処理情報とを用いて、問題となるパケットが意図せずに破棄された原因の特定を行っていた。

特開平１０−２３０１１号公報

ところで、上記した従来の技術は、意図せずに破棄されてしまった問題のパケットが存在する場合に、その破棄の原因をいち早く特定することができないという問題点があった。

すなわち、従来の技術は、意図せずに破棄されてしまった問題のパケットが、どの機能処理部をどのサブ機能で通過してきたのかについて迅速に把握できる状態で処理情報が収集されていなかったので、例えば、問題のパケットに関するユーザポリシと、このパケットが通過してきた各機能処理部の各サブ機能の連携が合致しているか否かなどを迅速に把握することができず、その原因をいち早く特定することができないという問題点があった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、意図せずに破棄されてしまった問題のパケットが存在する場合に、その破棄の原因をいち早く特定することが可能な情報収集プログラム、情報収集方法および情報収集装置を提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、ユーザポリシに基づく複数の機能処理により、入力されたパケットを通過または廃棄するパケット処理における情報収集方法であって、受信したパケットの情報に基づき前記パケットが監視対象であるか否かを判別し、前記パケットが監視対象であるときは、前記パケットに前記パケットの識別情報および廃棄有無情報を含む装置内情報を付加するステップと、前記複数の機能処理のそれぞれにおいて、前記装置内情報が付加されたパケットに対し、当該パケットが当該機能処理で廃棄される設定か否か、および、当該パケットが当該機能処理における複数のサブ機能処理それぞれの対象となる設定か否かを判別し、前記サブ機能処理それぞれの対象処理の実行結果の情報を埋め込むとともに、当該パケットが当該機能処理で破棄される設定であるときは、前記装置内情報の前記廃棄有無情報を廃棄状態に更新するステップと、前記複数の機能処理が行われたパケットを受信し、前記装置内情報が付加されたパケットより、前記装置内情報を抽出するステップと、を備える。

本発明によれば、監視対象となる受信パケットを特定するためにあらかじめ設定された情報に基づいて、受信パケットが監視対象に該当するかどうかを判別するとともに、監視対象に該当するものと判別された監視対象パケットに対して、その監視対象パケットを一意に識別するための識別情報を付与し、各機能処理部において、どのユーザポリシに合致して受信パケットが処理されたかを示す各処理情報を監視対象パケットに対してさらに付与し、監視対象パケットに付与された識別情報に対応付けて監視対象パケットに付与された各処理情報を格納するので、意図せずに破棄されてしまった問題のパケットが存在する場合に、どの機能処理部をどのサブ機能で通過してきたのかについて迅速に把握できる状態で処理情報を収集することができ、その破棄の原因をいち早く特定することが可能である。

また、本発明によれば、例えば、ユーザなどから予め指定された識別情報に対応する監視対象パケットであるか否かに基づいて、監視対象パケットに付与されている各処理情報が格納対象であるかどうかを判別して、格納対象として判別された処理情報を識別情報に対応付けて格納するので、所望の処理情報のみを効率的に格納することができ、格納対象として設定された識別情報に対応する受信パケットが破棄されてしまっている場合に、その破棄の原因をいち早く特定することが可能である。

また、本発明によれば、機能処理部において破棄処理されたことを示す処理情報が監視対象パケットに付与されているか否かに基づいて、監視対象パケットに付与されている各処理情報が格納対象であるかどうかを判別し、格納対象として判別された処理情報を識別情報に対応付けて格納するので、破棄されてしまった受信パケットに関する処理情報を集中的に管理することができ、意図せずに破棄されているものについては、その破棄の原因をいち早く特定することが可能である。

また、本発明によれば、受信パケットの宛先アドレス、宛先ポート番号、および当該パケットに対応するアプリケーションユーザ識別番号に基づいて、抽出対象となるパケットを抽出するので、最小限の情報を設定するだけで、抽出対象となる受信パケットを抽出することが可能である。

以下に添付図面を参照して、本発明に係る情報収集プログラム、情報収集方法および情報収集装置の実施例を詳細に説明する。なお、以下では、本発明に係る情報収集プログラムを適用した統合型ネットワーク装置を本発明の一実施形態である実施例１として説明した後に、本発明に含まれる他の実施例を説明する。

以下の実施例１では、実施例１に係る統合型ネットワーク装置の概要および特徴、統合型ネットワーク装置の構成および処理を順に説明し、最後に実施例１による効果を説明する。

［統合型ネットワーク装置の概要および特徴（実施例１）］
まず最初に、図１を用いて、実施例１に係る統合型ネットワーク装置の概要および特徴を説明する。図１は、実施例１に係る統合型ネットワーク装置の概要および特徴を説明するための図である。

実施例１に係る統合型ネットワーク装置は、複数の機能処理部で構成され、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、受信パケットについて各機能処理部が実行した処理情報を収集することを概要とするが、機能処理部のいずれかにおいて意図せずに破棄されてしまった問題のパケットが存在する場合に、その破棄の原因をいち早く特定することが可能である点に主たる特徴がある。

この主たる特徴について具体的に説明する。実施例１に係る統合型ネットワーク装置は、図１に示すように、パケット判別処理部と、各機能処理ブロック部と、装置内情報格納処理部とを含んで構成される。このような構成のもと、他のネットワーク装置から送信されてきたパケットを受信すると、パケット判別処理部は、受信パケットが監視対象に該当するかどうか判別するとともに、判別された受信パケットに装置内情報を追加して（図１の（１）参照）、受信パケットを各機能処理ブロック部へ送出する。

具体的に説明すると、このパケット判別処理部は、監視対象となるパケットを判別するための対象パケット情報と、この対象パケット情報に対して一意に設定したパケット識別ＩＤを対応付けて記憶するパケット判別用テーブルに基づいて、受信パケットが監視対象に該当するかどうか判別する。次に、監視対象として判別された受信パケットに対して、この受信パケットに対応するパケット識別ＩＤをパケット判別用テーブルから抽出し、抽出したパケット識別ＩＤを挿入した装置内情報を受信パケットに追加して、各機能処理ブロック部へ送出する。なお、装置内情報には、後述する各機能処理ブロック部を構成する機能処理部ごとに、受信パケットの処理に関する処理情報の格納位置が設けられている。

続いて、実施例１に係る統合型ネットワーク装置の各機能処理ブロック部は、パケット判別処理部から送出されてきた受信パケットに処理情報を追加して（図１の（２）参照）、受信パケットを装置内情報格納処理部へ送出する。

具体的に説明すると、各機能処理ブロック部は、例えば、ファイアウォール機能処理部と、負荷分散機能処理部と、帯域制御機能処理部と、ＳＳＬアクセラレーション機能処理部とから構成される。そして、ファイアウォール機能処理部、負荷分散機能処理部、帯域制御機能処理部、およびＳＳＬアクセラレーション機能処理部は、この順序で受信パケットに関する処理を実行し、その処理情報を装置内情報に追加して次へ送出する。

ここで、各機能処理部が実行する処理の内容について簡単に説明する。仮に、ファイアウォール機能処理部が、機能Ａから機能Ｆまでの複数の機能を備えているものとする。この場合、ファイアウォール機能処理部は、受信パケットの送信元であるユーザごとに、これらの機能を用いて受信パケットをどのように処理するか、その振る舞いを定義したユーザポリシに応じて受信パケットを処理し、その処理内容である処理情報をファイアウォール機能処理部の機能ごとに装置内情報に設けられた所定格納位置に埋め込む。

例えば、ファイアウォール機能処理部は、「受信パケットを機能Ａで通過させ、残りの機能Ｂ〜Ｆを通過させない」という処理を実行した場合には、機能Ａによる処理情報を埋め込むために設けられた装置内情報の格納位置に１ビットの情報“１”を埋め込み、機能Ｂ〜Ｆによる処理情報を埋め込むためにそれぞれ設けられた装置内情報の格納位置に“０”を埋め込む。また、ファイアウォール機能処理部は、「受信パケットを廃棄する」という処理を実行した場合には、廃棄処理情報を埋め込むために設けられた装置内情報の格納位置に“１”を埋め込む。他の機能処理部である、負荷分散機能処理部、帯域制御機能処理部、およびＳＳＬアクセラレーション機能処理部も同様にして処理を実行する。

各機能処理部の中で最後に受信パケットの処理を実行するＳＳＬアクセラレーション機能処理部は、帯域制御機能処理部から受け付けた受信パケットに関する処理を実行すると、装置内情報格納処理部へ受信パケットを送出する。

そして、実施例１に係る統合型ネットワーク装置の装置内情報格納処理部は、各機能処理ブロック部から受信パケットを受け付けると、受信パケットに追加された装置内情報を装置内情報記憶部に格納する。具体的には、装置内情報格納処理部は、受信パケットを受け付けると、受信パケットに追加された装置内情報に含まれるパケット識別ＩＤに対応付けて、同じく装置内情報に含まれる処理情報を格納する。このように、各機能処理部において、どのユーザポリシに合致して処理されたかを示す処理情報を受信パケットごとに格納するので、例えば、装置管理者が、装置内情報記憶部から読み出した装置内情報を解析する場合に、どの機能処理部をどのサブ機能で通過してきたのかについて迅速に把握できる状態で処理情報を収集することができる。

このようなことから、実施例１に係る統合型ネットワーク装置は、機能処理部のいずれかにおいて意図せずに破棄されてしまった問題のパケットが存在する場合に、その破棄の原因をいち早く特定することが可能である。

［統合型ネットワーク装置の構成（実施例１）］
次に、図２〜図５を用いて、実施例１に係る統合型ネットワーク装置の構成を説明する。図２は、実施例１に係る統合型ネットワーク装置の構成を示すブロック図である。図３は、実施例１に係るパケット判別用テーブルの構成例を示す図である。図４は、実施例１に係る装置内情報の構成例を示す図である。図５は、実施例１に係る装置内情報の記憶例を示す図である。

図２に示すように、実施例１に係る統合型ネットワーク装置は、通信制御Ｉ／Ｆ部１１と、記憶部１２と、各機能処理ブロック部１３と、制御部１４とから構成される。このうち、通信制御Ｉ／Ｆ部１１は、他のネットワーク装置との間でやり取りする各種情報に関する通信を制御し、後述するパケット判別処理部１４ａに受信パケットを送出する。

記憶部１２は、制御部１４による各種処理に必要なデータおよびプログラムを記憶する記憶部であり、特に本発明に密接に関連するものとしては、パケット判別用テーブル１２ａおよび装置内情報記憶部１２ｂを備える。

パケット判別用テーブル１２ａは、後述するパケット判別処理部１４ａにおいて実行される判別処理に用いられるテーブルであり、具体的には、図３に例示するように、監視対象となるパケットを判別するための対象パケット情報（例えば、宛先アドレス、宛先ポート番号、アプリケーションユーザ識別番号などから構成される情報）と、この対象パケット情報に対して一意に設定したパケット識別ＩＤを対応付けて記憶して構成される。

装置内情報記憶部１２ｂは、後述する装置内情報格納処理部１４ｂにより格納された装置内情報を記憶する記憶部であり、具体的には、図４に例示するように、３２ビットの情報からなり、パケット識別ＩＤ格納位置として１０ビット、廃棄情報格納位置として１ビット、ファイアウォール処理情報格納位置として６ビット、負荷分散処理情報格納位置として４ビット、帯域制御処理情報格納位置として８ビット、ＳＳＬアクセラレーション処理情報格納位置として３ビットの処理情報格納領域を割り当てて構成される。そして、ファイアウォール処理情報格納位置の割り当て領域を例に挙げると、この６ビットで構成される領域の各ビットには、後述するファイアウォール機能処理部１３ａが備える各機能処理による処理情報を埋め込まれるようになっており、処理が実行された場合には１ビットの情報“１”が埋め込まれ、処理が実行されなかった場合には１ビットの情報“０”が埋め込まれる。

各機能処理ブロック部１３は、後述するパケット判別処理部１４ａから受け付けた受信パケットに関する各種処理を実行する処理部であり、ファイアウォール機能処理部１３ａと、負荷分散機能処理部１３ｂと、帯域制御機能処理部１３ｃと、ＳＳＬアクセラレーション機能処理部１３ｄとから構成される。そして、ファイアウォール機能処理部１３ａ、負荷分散機能処理部１３ｂ、帯域制御機能処理部１３ｃ、およびＳＳＬアクセラレーション機能処理部１３ｄは、この順序で受信パケットに関する処理を実行し、その処理情報を装置内情報に順次追加する。そして、受信パケットを最後に受け付けるＳＳＬアクセラレーション機能処理部１３ｄは、処理を実行した後、装置内情報格納処理部へ受信パケットを送出する。

ここで、各機能処理部が実行する処理の内容について簡単に説明する。仮に、ファイアウォール機能処理部１３ａが、機能Ａから機能Ｆまでの複数の機能を備えているものとする。この場合、ファイアウォール機能処理部１３ａは、受信パケットの送信元であるユーザごとに、これらの機能を用いて受信パケットをどのように処理するか、その振る舞いを定義したユーザポリシに応じて受信パケットを処理し、その処理内容である処理情報をファイアウォール機能処理部の機能ごとに装置内情報に設けられた所定格納位置に埋め込む。

例えば、ファイアウォール機能処理部１３ａは、「受信パケットを機能Ａで通過させ、残りの機能Ｂ〜Ｆを通過させない」という処理を実行した場合には、機能Ａによる処理情報を埋め込むために設けられた装置内情報の格納位置に１ビットの情報“１”を埋め込み、機能Ｂ〜Ｆによる処理情報を埋め込むためにそれぞれ設けられた装置内情報の格納位置に“０”を埋め込む。また、ファイアウォール機能処理部は、「受信パケットを廃棄する」という処理を実行した場合には、廃棄処理情報を埋め込むために設けられた装置内情報の格納位置に“１”を埋め込む。他の機能処理部である、負荷分散機能処理部１３ｂ、帯域制御機能処理部１３ｃ、およびＳＳＬアクセラレーション機能処理部１３ｄも同様にして処理を実行する。

制御部１４は、所定の制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する処理部であり、特に本発明に密接に関連するものとしては、パケット判別処理部１４ａおよび装置内情報格納処理部１４ｂを備える。

パケット判別処理部１４ａは、通信制御Ｉ／Ｆ部１１から受け付けた受信パケットを監視対象であるかどうか判別する判別処理等を実行する処理部である。具体的に説明すると、パケット判別処理部１４ａは、記憶部１２に格納されているパケット判別用テーブル１２ａ（図３参照）に基づいて、受信パケットが監視対象に該当するかどうか判別する。次に、監視対象として判別された受信パケットに対して、この受信パケットに対応するパケット識別ＩＤをパケット判別用テーブルから抽出し、抽出したパケット識別ＩＤを挿入した装置内情報を受信パケットに追加して、各機能処理ブロック部１３へ送出する。

装置内情報格納処理部１４ｂは、受信パケットに追加された装置内情報を装置内情報記憶部１２ｂに格納する処理部である。具体的に説明すると、装置内情報格納処理部１４ｂは、各機能処理ブロック部１３（ＳＳＬアクセラレーション機能処理部１３ｄ）から受信パケットを受け付けると、受信パケットに追加された装置内情報に含まれるパケット識別ＩＤに対応付けて、同じく装置内情報に含まれる処理情報を格納する（図５参照）。このように、各機能処理部において、どのユーザポリシに合致して処理されたかを示す処理情報を受信パケットごとに格納するので、例えば、装置管理者が、装置内情報記憶部から読み出した装置内情報を解析する場合に、どの機能処理部をどのサブ機能で通過してきたのかについて迅速に把握できる状態で処理情報を収集することができる。

［統合型ネットワーク装置の処理（実施例１）］
続いて、図６を用いて、実施例１に係る統合型ネットワーク装置の処理を説明する。図６は、実施例１に係る統合型ネットワーク装置の処理の流れを示すフローチャートである。

同図に示すように、パケットを受信すると（ステップＳ６０１肯定）、パケット判別処理部１４ａは、記憶部１２に格納されているパケット判別用テーブル１２ａ（図３参照）に基づいて、受信パケットが監視対象に該当するかどうか判別する（ステップＳ６０２）。次に、パケット判別処理部１４ａは、監視対象として判別された受信パケットに対して、この受信パケットに対応するパケット識別ＩＤをパケット判別用テーブルから抽出し（ステップＳ６０３）、抽出したパケット識別ＩＤを挿入した装置内情報を受信パケットに追加して（ステップＳ６０４）、各機能処理ブロック部１３へ送出する。

各機能処理ブロック部１３は、パケット判別処理部１４ａから受け付けた受信パケットに関する各種処理を実行する。すなわち、各機能処理ブロック部１３を構成するファイアウォール機能処理部１３ａ、負荷分散機能処理部１３ｂ、帯域制御機能処理部１３ｃ、およびＳＳＬアクセラレーション機能処理部１３ｄは、この順序で受信パケットに関する処理を実行し、その処理情報を装置内情報に順次追加する（ステップＳ６０５）。そして、受信パケットを最後に受け付けるＳＳＬアクセラレーション機能処理部１３ｄは、処理を実行した後、装置内情報格納処理部へ受信パケットを送出する。

装置内情報格納処理部１４ｂは、各機能処理ブロック部１３（ＳＳＬアクセラレーション機能処理部１３ｄ）から受信パケットを受け付けると、受信パケットに追加された装置内情報に含まれるパケット識別ＩＤに対応付けて、同じく装置内情報に含まれる処理情報を格納する（ステップＳ６０６、図５参照）。

［実施例１による効果］
上述してきたように、実施例１によれば、監視対象となる受信パケットを特定するためにあらかじめ設定された情報に基づいて、受信パケットが監視対象に該当するかどうかを判別するとともに、判別されたパケットを一意に識別するためのパケット識別ＩＤを付与し、各機能処理部において、どのユーザポリシに合致して処理されたかを示す各処理情報をパケット識別ＩＤが付与された受信パケットに対してさらに付与し、このパケット識別ＩＤに対応付けて各処理情報を格納するので、意図せずに破棄されてしまった問題のパケットが存在する場合に、どの機能処理部をどのサブ機能で通過してきたのかについて迅速に把握できる状態で処理情報を収集することができ、その破棄の原因をいち早く特定することが可能である。

また、実施例１によれば、受信パケットの宛先アドレス、宛先ポート番号、および当該パケットに対応するアプリケーションユーザ識別番号に基づいて、抽出対象となるパケットを抽出するので、最小限の情報を設定するだけで、抽出対象となる受信パケットを抽出することが可能である。

上記の実施例１では、装置内情報格納処理部１４ｂは、各機能処理ブロック部１３から受信パケットを受け付けると、受信パケットに追加された装置内情報を装置内情報記憶部１２ｂに格納する場合を説明したが、本発明はこれに限定されるものではなく、装置内情報が格納対象であるかどうかを判別して格納するようにしてもよい。そこで、以下の実施例２では、実施例２に係る統合型ネットワーク装置の構成および処理を順に説明し、最後に実施例２による効果を説明する。

［統合型ネットワーク装置の構成（実施例２）］
まず、図７を用いて、実施例２に係る統合型ネットワーク装置の構成を説明する。なお、実施例２に係る統合型ネットワーク装置は、実施例１に係る統合型ネットワーク装置と基本的には同様の構成であるが、以下に説明する点が異なる。

すなわち、図７に示すように、格納対象設定部１５は、装置管理者からの入力を受け付けて、装置内情報格納処理部１４ｂに装置内情報が格納対象であるか否かを判別するための情報を設定する。例えば、格納対象設定部１５は、所定のパケット識別ＩＤを含んだ装置内情報を格納対象として判別するように設定する。

そして、装置内情報格納処理部１４ｂは、格納対象設定部１５からの設定に基づいて、受信パケットに追加された装置内情報が格納対象であるか否かを判別し、その結果、格納対象として判別された場合には、その装置内情報を装置内情報記憶部１２ｂに格納する。

例えば、各機能処理ブロック部１３（ＳＳＬアクセラレーション機能処理部１３ｄ）から受信パケットを受け付けると、装置内情報格納処理部１４ｂは、受信パケットに追加された装置内情報に所定のパケット識別ＩＤが含まれているか否かを確認する。確認の結果、所定のパケット識別ＩＤが含まれている場合には、その装置内情報を装置内情報記憶部１２ｂに格納する。

また、装置内情報格納処理部１４ｂは、廃棄処理が実行されたことを示す情報（１ビットの情報“１”）が廃棄情報として埋め込まれている装置内情報を格納対象として判別するようにしてもよい。例えば、装置内情報格納処理部１４ｂは、受信パケットに追加された装置内情報に含まれる処理情報に、廃棄処理が実行されたことを示す情報（１ビットの情報“１”）が廃棄情報として埋め込まれているか否かを確認する。確認の結果、廃棄処理が実行されたことを示す情報が埋め込まれている場合には、その装置内情報を装置内情報記憶部１２ｂに格納する。

［統合型ネットワーク装置の処理（実施例２）］
次に、図８を用いて、実施例２に係る統合型ネットワーク装置の処理を説明する。なお、実施例２に係る統合型ネットワーク装置の処理は、図８に示すステップＳ８０１〜ステップＳ８０５までの処理が、実施例１に係る統合型ネットワーク装置の処理、すなわち、図６に示すステップＳ６０１〜ステップＳ６０５までの処理と同様であり、以下に説明するステップＳ８０６およびステップＳ８０７の処理が異なる。

すなわち、装置内情報格納処理部１４ｂは、格納対象設定部１５からの設定に基づいて、受信パケットに追加された装置内情報が格納対象であるか否かを判別し（ステップＳ８０６）、その結果、格納対象として判別された場合には（ステップＳ８０６肯定）、その装置内情報を装置内情報記憶部１２ｂに格納する（ステップＳ８０７）。これとは反対に、格納対象として判別されなかった場合には（ステップＳ８０６否定）、その装置内情報を装置内情報記憶部１２ｂに格納しない。

具体的に説明すると、各機能処理ブロック部１３（ＳＳＬアクセラレーション機能処理部１３ｄ）から受信パケットを受け付けると、装置内情報格納処理部１４ｂは、受信パケットに追加された装置内情報に所定のパケット識別ＩＤが含まれているか否かを確認する（ステップＳ８０６）。確認の結果、所定のパケット識別ＩＤが含まれている場合には（ステップＳ８０６肯定）、その装置内情報を装置内情報記憶部１２ｂに格納する（ステップＳ８０７）。

また、装置内情報格納処理部１４ｂは、装置内情報に含まれる処理情報に廃棄情報として廃棄処理が実行されたことを示す情報（１ビットの情報“１”）が埋め込まれているか否かを確認する（ステップＳ８０６）。確認の結果、廃棄処理が実行されたことを示す情報が埋め込まれている場合には（ステップＳ８０６肯定）、その装置内情報を装置内情報記憶部１２ｂに格納する（ステップＳ８０７）。

［実施例２による効果］
上述してきたように、実施例２によれば、例えば、ユーザなどから予め指定されたパケット識別ＩＤが付与された受信パケットか否かを判別し、このパケット識別ＩＤが付与されている受信パケットとして判別された場合には、その受信パケットに付与されている処理情報をパケット識別ＩＤに対応付けて格納するので、所望の処理情報のみを効率的に格納することができ、格納対象として設定されたパケット識別ＩＤに対応する受信パケットが破棄されてしまっている場合に、その破棄の原因をいち早く特定することが可能である。

また、実施例２によれば、機能処理部において破棄処理されたことを示す処理情報が付与された受信パケットか否かを判別し、この処理情報が付与された受信パケットであると判別された場合には、その受信パケットに付与されている処理情報をパケット識別ＩＤに対応付けて格納するので、破棄されてしまった受信パケットに関する処理情報を集中的に管理することができ、意図せずに破棄されているものについては、その破棄の原因をいち早く特定することが可能である。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。

（１）装置構成等
図２に示した統合型ネットワーク装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、統合型ネットワーク装置の分散・統合の具体的形態は図示のものに限られず、例えば、パケット判別処理部１４ａと装置内情報格納処理部１４ｂとを統合するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、統合型ネットワーク装置にて行なわれる各機能処理（例えば、パケット判別機能処理および装置内情報格納機能処理）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（２）情報収集プログラム
ところで、上記の実施例で説明した各種の処理（図６および図８等参照）は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することができる。そこで、以下では、図９を用いて、上記の実施例と同様の機能を有する情報収集プログラムを実行するコンピュータの一例を説明する。図９は、情報収集プログラムを実行するコンピュータを示す図である。

同図に示すように、統合型ネットワーク装置としてコンピュータ２０は、通信制御Ｉ／Ｆ部２１、ＨＤＤ２２、ＲＡＭ２３、ＲＯＭ２４およびＣＰＵ２５をバス３０で接続して構成される。

そして、ＲＯＭ２４には、上記の実施例に示した統合型ネットワーク装置と同様の機能を発揮する情報収集プログラム、つまり、図９に示すように、パケット判別処理プログラム２４ａおよび装置内情報格納処理プログラム２４ｂがあらかじめ記憶されている。なお、これらのプログラム２４ａおよび２４ｂについては、図２に示した統合型ネットワーク装置の各構成要素と同様、適宜統合または分散してもよい。なお、ＲＯＭ２４は、不揮発性の「ＲＡＭ」でもよい。

そして、ＣＰＵ２５が、これらのプログラム２４ａおよび２４ｂをＲＯＭ２４から読み出して実行することで、図９に示すように、各プログラム２４ａおよび２４ｂは、パケット判別処理プロセス２５ａおよび装置内情報格納処理プロセス２５ｂとして機能するようになる。なお、各プロセス２５ａおよび２５ｂは、図２に示した統合型ネットワーク装置のパケット判別処理部１４ａ、および装置内情報格納処理部１４ｂにそれぞれ対応する。

また、ＨＤＤ２２には、図９に示すように、パケット判別用テーブル２２ａおよび装置内情報テーブル２２ｂがそれぞれ設けられる。なお、パケット判別用テーブル２２ａおよび装置内情報テーブル２２ｂは、図２に示したパケット判別用テーブル１２ａ、および装置内情報記憶部１２ｂにそれぞれ対応する。そして、ＣＰＵ２５は、パケット判別用テーブル２２ａおよび装置内情報テーブル２２ｂから、パケット判別用データ２３ａおよび装置内情報データ２３ｂをそれぞれ読み出してＲＡＭ２３に格納し、ＲＡＭ２３に格納されたパケット判別用データ２３ａおよび装置内情報データ２３ｂに基づいて処理を実行する。

なお、上記した各プログラム２４ａおよび２４ｂについては、必ずしも最初からＲＯＭ２４に記憶させておく必要はなく、例えば、コンピュータ２０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、コンピュータ２０の内外に備えられるＨＤＤなどの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ２０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ２０がこれらから各プログラムを読み出して実行するようにしてもよい。

（付記１）複数の機能処理部で構成されたネットワーク装置において、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、当該受信パケットについて当該各機能処理部が実行した処理情報を収集する処理をコンピュータに実行させる情報収集プログラムであって、
監視対象となる受信パケットを特定するためにあらかじめ設定された情報に基づいて、受信パケットが監視対象に該当するかどうかを判別するとともに、監視対象に該当するものと判別された監視対象パケットに対して、当該監視対象パケットを一意に識別するための識別情報を付与する識別情報付与手順と、
前記各機能処理部において、どのユーザポリシに合致して前記監視対象パケットが処理されたかを示す各処理情報を前記監視対象パケットに対してさらに付与する処理情報付与手順と、
前記処理情報付与手順により前記監視対象パケットに付与された前記各処理情報を、前記識別情報付与手順により前記監視対象パケットに付与された前記識別情報に対応付けて格納する処理情報格納手順と、
をコンピュータに実行させることを特徴とする情報収集プログラム。

（付記２）前記処理情報格納手順は、前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別し、当該各処理情報が格納対象であると判別された場合には、当該監視対象パケットに付与されている前記識別情報に対応付けて当該各処理情報を格納することを特徴とする付記１に記載の情報収集プログラム。

（付記３）前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別するための判別情報として前記識別情報を設定する判別情報設定手順をさらにコンピュータに実行させ、
前記処理情報格納手順は、前記判別情報設定手順により前記判別情報として設定された識別情報と、前記監視対象パケットに付与されている識別情報とが一致する場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記２に記載の情報収集プログラム。

（付記４）前記処理情報格納手順は、前記機能処理部において破棄処理されたことを示す処理情報が前記監視対象パケットに付与されているか否かを確認し、当該破棄処理されたことを示す情報が付与されている場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記２に記載の情報収集プログラム。

（付記５）前記識別情報付与手順は、前記受信パケットの宛先アドレス、宛先ポート番号、および当該パケットに対応するアプリケーション識別番号に基づいて、抽出対象となる受信パケットを抽出することを特徴とする付記１に記載の情報収集プログラム。

（付記６）複数の機能処理部で構成されたネットワーク装置において、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、当該受信パケットについて当該各機能処理部が実行した処理情報を収集する情報収集方法であって、
監視対象となる受信パケットを特定するためにあらかじめ設定された情報に基づいて、受信パケットが監視対象に該当するかどうかを判別するとともに、監視対象に該当するものと判別された監視対象パケットに対して、当該監視対象パケットを一意に識別するための識別情報を付与する識別情報付与ステップと、
前記各機能処理部において、どのユーザポリシに合致して前記監視対象パケットが処理されたかを示す各処理情報を前記監視対象パケットに対してさらに付与する処理情報付与ステップと、
前記処理情報付与ステップにより前記監視対象パケットに付与された前記各処理情報を、前記識別情報付与ステップにより前記監視対象パケットに付与された前記識別情報に対応付けて格納する処理情報格納ステップと、
を含んだことを特徴とする情報収集方法。

（付記７）前記処理情報格納ステップは、前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別し、当該各処理情報が格納対象であると判別された場合には、当該監視対象パケットに付与されている前記識別情報に対応付けて当該各処理情報を格納することを特徴とする付記６に記載の情報収集方法。

（付記８）前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別するための判別情報として前記識別情報を設定する判別情報設定ステップをさらに含み、
前記処理情報格納ステップは、前記判別情報設定ステップにより前記判別情報として設定された識別情報と、前記監視対象パケットに付与されている識別情報とが一致する場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記７に記載の情報収集方法。

（付記９）前記処理情報格納ステップは、前記機能処理部において破棄処理されたことを示す処理情報が前記監視対象パケットに付与されているか否かを確認し、当該破棄処理されたことを示す情報が付与されている場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記７に記載の情報収集方法。

（付記１０）前記識別情報付与ステップは、前記受信パケットの宛先アドレス、宛先ポート番号、および当該パケットに対応するアプリケーション識別番号に基づいて、抽出対象となる受信パケットを抽出することを特徴とする付記６に記載の情報収集方法。

（付記１１）複数の機能処理部で構成され、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、当該受信パケットについて当該各機能処理部が実行した処理情報を収集する情報収集装置であって、
監視対象となる受信パケットを特定するためにあらかじめ設定された情報に基づいて、受信パケットが監視対象に該当するかどうかを判別するとともに、監視対象に該当するものと判別された監視対象パケットに対して、当該監視対象パケットを一意に識別するための識別情報を付与する識別情報付与手段と、
前記各機能処理部において、どのユーザポリシに合致して前記監視対象パケットが処理されたかを示す各処理情報を前記監視対象パケットに対してさらに付与する処理情報付与手段と、
前記処理情報付与手段により前記監視対象パケットに付与された前記各処理情報を、前記識別情報付与手段により前記監視対象パケットに付与された前記識別情報に対応付けて格納する処理情報格納手段と、
を備えたことを特徴とする情報収集装置。

（付記１２）前記処理情報格納手段は、前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別し、当該各処理情報が格納対象であると判別された場合には、当該監視対象パケットに付与されている前記識別情報に対応付けて当該各処理情報を格納することを特徴とする付記１１に記載の情報収集装置。

（付記１３）前記監視対象パケットに付与されている前記各処理情報が格納対象であるかどうかを判別するための判別情報として前記識別情報を設定する判別情報設定手段をさらに備え、
前記処理情報格納手段は、前記判別情報設定手段により前記判別情報として設定された識別情報と、前記監視対象パケットに付与されている識別情報とが一致する場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記１２に記載の情報収集装置。

（付記１４）前記処理情報格納手段は、前記機能処理部において破棄処理されたことを示す処理情報が前記監視対象パケットに付与されているか否かを確認し、当該破棄処理されたことを示す情報が付与されている場合には、前記各処理情報が格納対象であるものと判別し、当該監視対象パケットに付与されている識別情報に対応付けて当該各処理情報を格納することを特徴とする付記１２に記載の情報収集装置。

（付記１５）前記識別情報付与手段は、前記受信パケットの宛先アドレス、宛先ポート番号、および当該パケットに対応するアプリケーション識別番号に基づいて、抽出対象となる受信パケットを抽出することを特徴とする付記１１に記載の情報収集装置。

以上のように、本発明に係る情報収集プログラム、情報収集方法および情報収集装置は、複数の機能処理部で構成されたネットワーク装置において、ユーザポリシに応じて受信パケットが経由される機能処理部ごとに、当該受信パケットについて当該各機能処理部が実行した処理情報を収集する処理をコンピュータに実行させる場合等に有用であり、特に、意図せずに破棄されてしまった問題のパケットが存在する場合に、その破棄の原因をいち早く特定することに適する。

実施例１に係る統合型ネットワーク装置の概要および特徴を説明するための図である。 実施例１に係る統合型ネットワーク装置の構成を示すブロック図である。 実施例１に係るパケット判別用テーブルの構成例を示す図である。 実施例１に係る装置内情報の構成例を示す図である。 実施例１に係る装置内情報の記憶例を示す図である。 実施例１に係る統合型ネットワーク装置の処理の流れを示すフローチャートである。 実施例２に係る統合型ネットワーク装置の構成を示すブロック図である。 実施例２に係る統合型ネットワーク装置の処理の流れを示すフローチャートである。 情報収集プログラムを実行するコンピュータを示す図である。

符号の説明

１０ 統合型ネットワーク装置
１１ 通信制御Ｉ／Ｆ部
１２ 記憶部
１３ 各機能処理ブロック部
１３ａ ファイアウォール機能処理部
１３ｂ 負荷分散機能処理部
１３ｃ 帯域制御機能処理部
１３ｄ ＳＳＬアクセラレーション機能処理部
１４ 制御部
１４ａ パケット判別処理部
１４ｂ 装置内情報格納処理部
１５ 格納対象設定部
２０ コンピュータ
２１ 通信制御Ｉ／Ｆ部
２２ ＨＤＤ（Hard Disk Drive）
２３ ＲＡＭ（Random Access Memory）
２４ ＲＯＭ（Read Only Memory）
２５ ＣＰＵ（Central Processing Unit）
３０ バス

Claims (4)

1. ユーザポリシに基づく複数の機能処理により、入力されたパケットを通過または廃棄するパケット処理における情報収集方法であって、
   受信したパケットの情報に基づき前記パケットが監視対象であるか否かを判別し、前記パケットが監視対象であるときは、前記パケットに前記パケットの識別情報および廃棄有無情報を含む装置内情報を付加するステップと、
   前記複数の機能処理のそれぞれにおいて、前記装置内情報が付加されたパケットに対し、当該パケットが当該機能処理で廃棄される設定か否か、および、当該パケットが当該機能処理における複数のサブ機能処理それぞれの対象となる設定か否かを判別し、前記サブ機能処理それぞれの対象処理の実行結果の情報を埋め込むとともに、当該パケットが当該機能処理で破棄される設定であるときは、前記装置内情報の前記廃棄有無情報を廃棄状態に更新するステップと、
   前記複数の機能処理が行われたパケットを受信し、前記装置内情報が付加されたパケットより、前記装置内情報を抽出するステップと、
   を備えたことを特徴とするパケット処理における情報収集方法。
2. 請求項１に記載の情報収集方法であって、
   受信したパケットの情報に基づき前記パケットが監視対象であるか否かを判別する際は、前記パケットの宛先アドレス、宛先ポート番号、および、当該パケットに対応するアプリケーションユーザ識別番号の情報に基づき前記パケットが監視対象であるか否かを判別することを特徴とする情報収集方法。
3. ユーザポリシに基づく複数の機能処理により、入力されたパケットを通過または廃棄するパケット処理における情報収集を行うプログラムであって、
   受信したパケットの情報に基づき前記パケットが監視対象であるか否かを判別し、前記パケットが監視対象であるときは、前記パケットに前記パケットの識別情報および廃棄有無情報を含む装置内情報を付加する手順と、
   前記複数の機能処理のそれぞれにおいて、前記装置内情報が付加されたパケットに対し、当該パケットが当該機能処理で廃棄される設定か否か、および、当該パケットが当該機能処理における複数のサブ機能処理それぞれの対象となる設定か否かを判別し、前記サブ機能処理それぞれの対象処理の実行結果の情報を埋め込むとともに、当該パケットが当該機能処理で破棄される設定であるときは、前記装置内情報の前記廃棄有無情報を廃棄状態に更新する手順と、
   前記複数の機能処理が行われたパケットを受信し、前記装置内情報が付加されたパケットより、前記装置内情報を抽出する手順と、
   を備えることを特徴とするプログラム。
4. パケットを受信し、前記パケットの情報に基づき前記パケットが監視対象であるか否かを判別し、前記パケットが監視対象であるときは、前記パケットに前記パケットの識別情報および廃棄有無情報を含む装置内情報を付加するパケット判別処理部と、
   前記パケット判別処理部から出力されたパケットを、複数の機能処理部で処理する各処理機能ブロック部と、
   前記各処理機能ブロック部から出力されたパケットを入力し、前記装置内情報が付加されたパケットより前記装置内情報を抽出し保存する装置内情報格納処理部とを備え、
   前記複数の機能処理部は、それぞれ複数のサブ機能処理部を備えたネットワーク装置であって、
   前記機能処理部が前記装置内情報が付加されたパケットを廃棄する設定であるときは、当該パケットの前記装置内情報の前記廃棄有無情報を廃棄状態に更新し、
   前記サブ機能処理部が前記装置内情報が付加されたパケットを処理する設定であるときは、当該パケットの前記装置内情報に前記サブ機能処理それぞれの対象処理の実行結果の情報を埋め込むとともに、当該パケットが当該機能処理で破棄される設定であるときは、前記装置内情報の前記廃棄有無情報を廃棄状態に更新する、
   ことを特徴とするネットワーク装置。

Images