JP6308559B2 - 正常性確認システム、監視装置、方法及びプログラム - Google Patents

Description

本発明は、複数の物理ネットワーク機能又は仮想ネットワーク機能の選択的な連なりであるチェインを形成するサービスファンクションチェイニングに関する。

近年、複数の物理ネットワーク機能又は仮想ネットワーク機能（ＳＦ：Ｓｅｒｖｉｃｅ Ｆｕｎｃｔｉｏｎ）を選択的に連なるように数珠つなぎし、ネットワーク中を通信するサービスファンクションチェイニング（ＳＦＣ ：Ｓｅｒｖｉｃｅ Ｆｕｎｃｔｉｏｎ Ｃｈａｉｎｉｎｇ）技術が登場している（例えば非特許文献１，２参照）。非特許文献１には、ＳＦＣのアーキテクチャが記載されている。また非特許文献２には、ＳＦＣのユースケースが記載されており、例として、単一のデータセンタの中でＳＦＣを実行することや、複数のデータセンタで実行することなどが記載されている。

J. Halpern、他１名、"Service Function Chaining (SFC) Architecture draft-ietf-sfc-architecture-02"、IETF、2014年9月10日 S. Kumar、他４名、"Service Function Chaining Use Cases In Data Centers draft-ietf-sfc-dc-use-cases-01"、IETF、2014年7月21日 S. Aldrin、他４名、"Service Function Chaining Operation, Administration and Maintenance Framework draft-aldrin-sfc-oam-framework-01"、IETF、2014年10月26日

一方、ＮＦＶ（Ｎｅｔｗｏｒｋ Ｆｕｎｃｔｉｏｎｓ Ｖｉｒｔｕａｌｉｚａｔｉｏｎ）、ＳＤＮ（Ｓｏｆｔｗａｒｅ−Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ）といった技術の検討が加速化してきている。このような技術による仮想化時代では、ひとつのＳＦに関して複数のＶＭ（Ｖｅｒｔｕａｌ Ｍａｃｈｉｎｅ）インスタンスが存在し、ユーザごとのポリシーによって処理するＶＭインスタンスが分かれることがある。また、ＳＦＣは静的に設定されるケースだけでなく、動的にシステムが決定するケースもある。このため、ＳＦＣの正常性は、Ｅｎｄ−Ｅｎｄの経路確認、サーバの正常性確認という既存の確認手法だけでは十分に確認出来ない。例えば、複数のＶＭインスタンスのうち適切なＶＭインスタンスで処理されたかや、通信経路が正しいか（余計なパスは通ってないか）や、各ＳＦで適切な処理が行われたかについては、既存の確認手法では正常性の確認ができなかった。このため、従来は、保守者介在による手作業で、経路上の複数のＶＭインスタンスの情報などを組み合わせて判断する必要があり、確認行為が複雑化し、多大な時間を要し、煩雑でヒューマンエラーも起こしやすいという問題があった。なお、複数のＶＭインスタンスが存在するケースとしては、例えばサービスイン当初から終局見合いで大きな装置を設置するのではなく必要に応じて機能を増設するケースや、ポリシーごとにＶＭを分割するケースなどが挙げられる。

そこで、ＳＦＣの正常性を正確且つ効率的に確認する手法が求められている。ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＳＦＣ ＷＧ（Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ）ではＯＡＭ（Ｏｐｅｒａｔｉｏｎｓ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ａｎｄ Ｍａｉｎｔｅｎａｎｃｅ）に関するドラフトが投稿されており、正常性の確認手法についての議論が進められているが、具体的な手法に関しては未だ確立されていない（非特許文献３参照）。

本発明は上記課題に鑑みてなされたものであり、その目的とするところは、ＳＦＣの正常性を高速且つ正確に確認することができるシステム、装置、方法及びプログラムを提供することにある。

上記課題を解決するために、本願発明に係る正常性確認システムは、複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークにおける、チェインの正常性確認システムであって、各ネットワーク機能は自身でパケットを処理したことを示す証跡情報を送出する証跡情報送出手段を備え、ネットワークは、チェインの一方の端に位置するネットワーク機能に調査用パケットを送出してチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を調査する調査手段と、前記調査手段から各ネットワーク機能のアドレス情報及びその順序情報を取得するとともに、前記証跡情報送出手段から各ネットワーク機能で処理した調査用パケットについての証跡情報を取得し、前記アドレス情報及びその順序情報と、前記証跡情報とに基づきチェインの正常性を確認する監視手段と、を備えたことを特徴とする。

また、本願発明に係る正常性確認方法は、複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークにおける、チェインの正常性確認方法であって、チェインの一方の端に位置するネットワーク機能に調査用パケットを送出してチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を調査してアドレス情報及びその順序情報を送出する調査ステップと、各ネットワーク機能が自身でパケットを処理したことを示す証跡情報を送出するステップと、調査ステップで取得した各ネットワーク機能のアドレス情報及びその順序情報と、各ネットワーク機能から取得した証跡情報とに基づきチェインの正常性を確認する監視ステップとを備えたことを特徴とする。

また、本願発明に係る監視装置は、複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークに配置され、チェインの一方の端に位置するネットワーク機能に調査用パケットを送出する調査手段からチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を取得するとともに、各ネットワーク機能から調査用パケットを処理したことを示す証跡情報を取得し、前記アドレス情報及びその順序情報と、前記証跡情報とに基づきチェインの正常性を確認する手段を備えたことを特徴とする。

また、本願発明に係る監視プログラムは、コンピュータを前記監視装置として機能させることを特徴とする。

本発明によれば、調査手段によりチェインに属する各ネットワーク機能のアドレス情報及びその順序情報が取得され、各ネットワーク機能から該ネットワーク機能において前記調査に係る調査用パケットを処理したことを示す証跡情報を取得し、取得した各情報に基づきチェインの正常性を確認するので、高速且つ正確で自動的な確認作業が可能となる。したがって、ＳＦＣの運用監視及び異常時の早期発見に資するものとなる。

正常性確認システムのネットワーク構成図 正常性確認の処理手順を説明する図 正常性確認の処理手順を説明する図 正常性確認の処理手順を説明する図 正常性確認の処理手順を説明する図

本発明の一実施の形態に係るネットワークシステムについて図面を参照して説明する。図１は本実施の形態に係る正常性確認システムのネットワーク構成図である。

本実施の形態に係る正常性確認システムでは、ルータやスイッチなどの宅内通信機器（ＣＰＥ：Ｃｕｓｔｏｍｅｒ Ｐｒｅｍｉｓｅｓ Ｅｑｕｉｐｍｅｎｔ）と、ファイアウォール（ＦＷ：Ｆｉｒｅ Ｗａｌｌ）と、ディープ・パケット・インスペクション（ＤＰＩ：Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）と、侵入防御システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）というネットワーク機能が、それぞれＮＦＶ／ＳＤＮ技術により仮想化されているものとする。すなわち、ＣＰＥ，ＦＷ，ＤＰＩ，ＩＰＳは、それぞれ汎用装置においてＶＭインスタンスとして実装されている。ここで、ネットワーク機能のうちＦＷについては、複数のＶＭインスタンスが生成されており、それぞれがＦＷのネットワーク機能として動作する。

本実施の形態に係る正常性確認システムは、図１に示すように、仮想化ＣＰＥ（以下ｖＣＰＥと表記する）１０と、複数の仮想化ＦＷ（以下ｖＦＷと表記する）２１〜２３と、仮想化ＤＰＩ（以下ｖＤＰＩと表記する）３０と、仮想化ＩＰＳ（以下ｖＩＰＳと表記する）４０と、チェイン決定システム１００と、監視システム２００と、調査手段としてのダミーポイント３００とを備えている。典型的な例では、ｖＣＰＥ１０はユーザ拠点に配置され、ｖＦＷ２１〜２３，ｖＤＰＩ３０，ｖＩＰＳ４０はキャリアネットワークに配置される。キャリアは、ユーザ拠点内に配置されたユーザ端末（図示省略）をインターネットなど他のネットワークに接続するサービスを提供し、当該他のネットワークに配置されたユーザ端末を宛先システム１に通信可能にしている。このようなキャリアによるサービスにおいて、ｖＣＰＥ１０はユーザ拠点をキャリアネットワークに接続するサービスを提供し、ｖＦＷ２１〜２３，ｖＤＰＩ３０，ｖＩＰＳ４０は、それぞれのネットワーク機能をユーザに提供する。

チェイン決定システム１００は、ネットワーク上にネットワーク機能を選択的な連なりであるチェインを決定する装置である。チェイン決定システム１００は、各ネットワーク機能に対してＳＤＮ技術等により動作設定することによりチェインを形成する。ここで、チェイン決定システム１００は、チェイン決定時に当該チェインについてのチェイン情報を作成・保持するとともに、該チェイン情報を監視システム２００に送信する機能を有する。

チェイン情報は、チェイン生成・チェイン動作に必要な情報を含む。チェイン情報としては、チェインに属するネットワーク機能の種類情報及びそのアドレス情報並びにその順序情報、経路情報、ユーザごとに適用すべきポリシー情報を含む。ここでネットワーク機能が複数のＶＭインスタンスにて提供される場合には、各ＶＭインスタンスを識別可能な識別情報を含む。

図１には、チェイン決定システム１００により決定されたチェイン９００が例示されている。該チェイン９００は、ｖＣＰＥ（ＩＰアドレス：ａ），ｖＦＷ（ＩＰアドレス：ｂ），ｖＤＰＩ（ＩＰアドレス：ｃ），ｖＩＰＳ（ＩＰアドレス：ｄ）が属しており、その順序も前記のとおりである。ここでｖＦＷに関してはＶＭインスタンスであるｖＦＷ２２を通過する。また、各ネットワーク機能のＶＭインスタンス間には別のネットワーク機能や迂回経路はない。ｖＦＷにはユーザごとの適用ポリシーがあり、ダミーポイント３００のポリシーはＰである。

監視システム２００は、チェイン決定システム１００からチェイン情報を取得・保持する。監視システム２００は、チェインの正常性の確認処理を行う。該確認処理の実施タイミングは、予め定めたルールに基づいて実施してもよいし、任意のタイミングであってもよい。前者の例としては、チェイン決定システム１００でチェインが決定されるたびに実施する、チェイン決定システム１００からチェイン情報を取得するたびに実施する、定期的な異常監視ポリシーに基づいて実施する、などが挙げられる。後者の例としては、他システムや他者から実施の指示を受けて場合に実施する、などが挙げられる。監視システム２００によるチェインの正常性の確認処理については後述する。なお、監視システム２００の実装形態や実装位置は不問である。

仮想化ネットワーク機能でありチェインを構成するｖＣＰＥ１０，ｖＦＷ２１〜２３，ｖＤＰＩ３０，ｖＩＰＳ４０は、監視システム２００からの証跡情報の要求(証跡情報送信要求)に応じて、後述する調査用パケットを自身で処理したことを示す証跡情報を送出する証跡情報送出機能を有する。ここで、証跡情報はチェイン情報の一部に対応する。証跡情報は、各装置が記録・保持する処理ログから抽出することにより取得可能である。

ダミーポイント３００は、チェインの一方の端に位置するネットワーク機能について調査用パケットを送出する、換言すればチェインの一方の端から調査用パケットを投入することができる位置に配置されている。図１の例では、チェイン９００の一方の端はユーザ拠点に設置されたｖＣＰＥ１０であり、ダミーポイント３００はユーザ拠点内に配置されたユーザ端末（図示省略）と同様に当該ユーザ拠点に配置される。なおダミーポイント３００の実装形態は不問であり、ユーザ端末内に実装してもよいしｖＣＰＥ１０と同一の物理装置に実装するようにしてもよい。

ダミーポイント３００は、監視システム２００からの指示に基づき、調査用パケットを送出することにより、チェイン９００に属する各ネットワーク機能のアドレス情報及びその順序情報を取得し、監視システム２００に通知する機能を有する。換言すれば、ダミーポイント３００は、チェイン９００の通信経路と疎通を確認するものである。ここで、監視システム２００に通知する情報は、前述のチェイン情報の一部に対応する。なお、ダミーポイント３００による具体的な調査手段は不問である。典型的な例としては、トレースルートと呼ばれる経路追跡プロトコルを用いて、チェイン９００を越えた先に位置する宛先システム１に対してトレースルートを実行することにより各ネットワーク機能のアドレス情報及びその順序情報が得られる。この場合、トレースルートに係るパケットが調査用パケットに相当する。

次に、監視システム２００による正常性確認処理について説明する。本発明では「チェイン情報のとおりにパケットが転送及び処理されること」をもって「チェインが正常状態である」と判断する。より具体的には、ダミーポイント３００から取得した情報及び各ネットワーク機能から取得した情報と、チェイン決定システム１００から取得したチェイン情報との整合性をもって、チェインの正常性を確認する。以下、その手順について図２〜図４を参照して説明する。

まず、チェイン決定システム１００は、図２に示すように、チェイン９００を形成するとともに該チェイン９００についてのチェイン情報を作成する（ステップＳ１）。次に、チェイン決定システム１００は、チェイン情報を監視システム２００に転送する（ステップＳ２）。

監視システム２００は、チェイン９００について正常性の確認処理を行うことを決定すると（ステップＳ３）、ダミーポイント３００に調査指示を送出するとともに（ステップＳ４）、チェイン９００に属する各ネットワーク機能であるｖＣＰＥ１０，ｖＦＷ２２，ｖＤＰＩ３０，ｖＩＰＳ４０に対して証跡情報の送信要求を送出する（ステップＳ５）。ここで要求する証跡情報は、調査用パケットが到着したＩＰアドレス、調査用パケットを処理したインスタンス、調査用パケットを処理した根拠となる内部ログ、パケットごとにポリシーを保持している場合はポリシーを適用した根拠となる内部ログである。

調査指示を受けたダミーポイント３００は、図３に示すように、宛先システム１に対してトレースルートを実行して、宛先システム１への通信経路上にある各ネットワーク機能のアドレス情報及びその順序情報を取得し（ステップＳ６）、監視システム２００に応答する（ステップＳ７）。図３の例では、ダミーポイント３００→ｖＣＰＥ１０（ＩＰアドレス：ａ）→ｖＦＷ２２（ＩＰアドレス：ｂ）→ｖＤＰＩ３０（ＩＰアドレス：ｃ）→ｖＩＰＳ４０（ＩＰアドレス：ｄ）→宛先システム１という情報を取得し、監視システム２００に応答する。ここで、ｖＣＰＥ１０，ｖＦＷ２２，ｖＤＰＩ３０，ｖＩＰＳ４０はトレースルートに係るパケット（調査用パケット）を処理している点に留意されたい。

一方、証跡情報送信要求を受けたｖＣＰＥ１０，ｖＦＷ２２，ｖＤＰＩ３０，ｖＩＰＳ４０は、図４に示すように、それぞれ前記トレースルートに係る調査パケットを処理した証跡情報を取得し（ステップＳ８）、監視システム２００に応答する（ステップＳ９）。証跡情報の一例としてｖＦＷ２２の証跡情報を示す。ｖＦＷ２２の証跡情報は、調査用パケットを受信したＩＰアドレスとして「ＩＰアドレス：ｂ」、調査用パケットを処理したＶＭインスタンス情報として「ｖＦＷ２２」、調査用パケットを処理した根拠となる内部ログとして「ＦＷ機能をもって処理をした」という処理ログ、及び、「ダミーポイントの適用ポリシーはＰであると判断し、ポリシーを適用した」という処理ログを含む。

監視システム２００は、図５に示すように、まずダミーポイント３００から受信した応答情報とチェイン情報との整合性をもって正常性の判定を行う（ステップＳ１０）。図４の例では、チェインに属するネットワーク機能の種類情報及びそのアドレス情報並びにその順序情報、さらに経路情報としてインスタンス間に別の機能や迂回経路はないことについて、チェイン情報との一致性を確認する。さらに、ｖＣＰＥ１０，ｖＦＷ２２，ｖＤＰＩ３０，ｖＩＰＳ４０から取得した証跡情報とチェイン情報との整合性をもって正常性の判定を行う（ステップＳ１１）。図５のｖＦＷ２２の例では、ｖＦＷに関してはインスタンス「ｖＦＷ２２」を通る、ｖＦＷにはユーザごとの適用ポリシーがあり、「ダミーポイントのポリシーはＰであること」について、チェイン情報との一致性を確認する。監視システム２００は、ステップＳ１０及びステップＳ１１の結果から、チェイン９００が正常に実施できているか否かを判断する。

このような正常性確認システムによれば、ダミーポイント３００によりチェインに属する各ネットワーク機能のアドレス情報及びその順序情報が取得され、各ネットワーク機能から該ネットワーク機能において前記調査に係る調査用パケットを処理したことを示す証跡情報を取得し、取得した各情報に基づきチェインの正常性を確認するので、高速且つ正確で自動的な確認作業が可能となる。したがって、ＳＦＣの運用監視及び異常時の早期発見に資するものとなる。

以上本発明の一実施の形態について詳述したが、本発明はこれに限定されるものではない。例えば、上記実施の形態で提示したチェイン情報は一例であり、チェインの正常性確認に有益な情報であれば他の情報を含んでいてもよい。

また、上記実施の形態では、チェインに含まれるネットワーク機能が全てＮＦＶ技術により仮想化されたものについて例示したが、チェインに含まれる一部のネットワーク機能が物理装置として実装されたものであってもよい。

１…宛先システム
１０…ｖＣＰＥ
２１，２２，２３…ｖＦＷ
３０…ｖＤＰＩ
４０…ｖＩＰＳ
１００…チェイン決定システム
２００…監視システム
３００…ダミーポイント
９００…チェイン

Claims (8)

1. 複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークにおける、チェインの正常性確認システムであって、
   各ネットワーク機能は自身でパケットを処理したことを示す証跡情報を送出する証跡情報送出手段を備え、
   ネットワークは、
   チェインの一方の端に位置するネットワーク機能に調査用パケットを送出してチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を調査する調査手段と、
   前記調査手段から各ネットワーク機能のアドレス情報及びその順序情報を取得するとともに、前記証跡情報送出手段から各ネットワーク機能で処理した調査用パケットについての証跡情報を取得し、前記アドレス情報及びその順序情報と、前記証跡情報とに基づきチェインの正常性を確認する監視手段と、
   を備えたことを特徴とする正常性確認システム。
2. 監視手段はチェインを形成するチェイン決定手段からチェイン情報を取得し、該チェイン情報と、調査手段から取得した各ネットワーク機能のアドレス情報及びその順序情報並びに各ネットワーク機能から取得した証跡情報との整合性によりチェインの正常性を確認する
   ことを特徴とする請求項１記載の正常性確認システム。
3. 調査手段は監視手段からの調査指示に基づき調査処理を実施する
   ことを特徴とする請求項１又は２記載の正常性確認システム。
4. 各ネットワーク機能は監視手段からの証跡情報要求に基づき証跡情報を送出する
   ことを特徴とする請求項１乃至３何れか１項記載の正常性確認システム。
5. 調査手段は、チェインを越えた先に位置する所定の装置を宛先とした経路追跡プロトコルにより各ネットワーク機能のアドレス情報及びその順序情報を取得する
   ことを特徴とする請求項１乃至４何れか１項記載の正常性確認システム。
6. 複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークにおける、チェインの正常性確認方法であって、
   チェインの一方の端に位置するネットワーク機能に調査用パケットを送出してチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を調査してアドレス情報及びその順序情報を送出する調査ステップと、
   各ネットワーク機能が自身でパケットを処理したことを示す証跡情報を送出するステップと、
   調査ステップで取得した各ネットワーク機能のアドレス情報及びその順序情報と、各ネットワーク機能から取得した証跡情報とに基づきチェインの正常性を確認する監視ステップとを備えた
   ことを特徴とする正常性確認方法。
7. 複数の物理ネットワーク機能又は仮想ネットワーク機能（以下、単にネットワーク機能と言う。）の選択的な連なりであるチェインを形成するサービスファンクションチェイニングが実現されたネットワークに配置され、
   チェインの一方の端に位置するネットワーク機能に調査用パケットを送出する調査手段からチェインに属する各ネットワーク機能のアドレス情報及びその順序情報を取得するとともに、各ネットワーク機能から調査用パケットを処理したことを示す証跡情報を取得し、前記アドレス情報及びその順序情報と、前記証跡情報とに基づきチェインの正常性を確認する手段を備えた
   ことを特徴とする監視装置。
8. コンピュータを請求項７記載の監視装置として機能させる
   ことを特徴とするプログラム。
   
   

Images