JP7215604B2 - 変換装置、変換方法及び変換プログラム - Google Patents

Description

本発明は、変換装置、変換方法及び変換プログラムに関する。

ネットワークの監視やトラヒックの傾向分析のため、パケットのサンプリングを行い、フロー統計情報をヘッダ情報から算出するｘＦｌｏｗ技術がある。また、パケットのサンプリングを行い、ヘッダ部分そのもの（ヘッダサンプル）を切り取って転送するｘＦｌｏｗ技術がある。また、既存の各種ｘＦｌｏｗの形式について、相互に形式を変換する技術がある。

特開２０１９－０９７０６９号公報

RFC規格 番号3954 RFC規格 番号5103 RFC規格 番号7011 RFC規格 番号7012 RFC規格 番号7013 RFC規格 番号7014 RFC規格 番号7015 "sFlow Version 5"，［令和２年１月９日検索］，インターネット＜ＵＲＬ：https://sflow.org/sflow_version_5.txt＞ RFC7133 "pmcct"，［令和２年１月９日検索］，インターネット＜ＵＲＬ：http://www.pmacct.net/＞ "nProbe"，［令和２年１月９日検索］，インターネット＜ＵＲＬ：https://www.ntop.org/products/netflow/nprobe/＞ 林 裕平, 大澤 浩, "ハッシュを用いたinner-outerヘッダ対応付け方式の設定値の一検討", 電子情報通信学会 2019年 ソサイエティ大会 B-6-18

従来のｘＦｌｏｗ技術を適用したネットワーク（ＮＷ）装置は、内部でフロー情報を計測し、ｘＦｌｏｗパケットに各種フロー情報を載せて出力する。しかしながら、従来のＮＷ装置では、カプセル化されたパケットに対しては、パケットの外側（ｏｕｔｅｒ）のフロー情報しか計測できなかった。言い換えると、従来のＮＷ装置は、カプセル化されたパケットに対しては、パケットの内側（ｉｎｎｅｒ）のフロー情報を計測できなかった。そして、従来のｘＦｌｏｗ形式変換の方式では、カプセル化されたパケットの内側（ｉｎｎｅｒ）に対してヘッダサンプリングの形式変換ができなかった。

このため、従来のｘＦｌｏｗ技術では、カプセル化されたパケットの内側のフロー情報に対する集計及び分析に必要なｘＦｌｏｗ形式のパケット出力を行うことができないという問題があった。

本発明は、上記に鑑みてなされたものであって、カプセル化されたパケットの内側のフロー情報に対する集計及び分析に適したｘＦｌｏｗパケットを生成することができる変換装置、変換方法及び変換プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の変換装置は、入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離する第１の分離部と、サンプリングヘッダからｏｕｔｅｒヘッダを分離する第２の分離部と、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する生成部と、を有することを特徴とする。

また、本発明の変換方法は、変換装置が実行する変換方法であって、入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離する工程と、サンプリングヘッダからｏｕｔｅｒヘッダを分離する工程と、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する工程と、を含んだことを特徴とする。

また、本発明の変換プログラムは、入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離するステップと、サンプリングヘッダからｏｕｔｅｒヘッダを分離するステップと、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成するステップと、をコンピュータに実行させる。

本発明によれば、集計及び分析に適した形式のｘＦｌｏｗパケットを生成することができる。

図１は、実施の形態に係る通信システムの構成の一例を示すブロック図である。 図２は、図１に示す変換装置の構成の一例を示すブロック図である。 図３は、図２に示す変換装置における処理の流れを説明する図である。 図４は、図２に示す変換装置における処理の流れを説明する図である。 図５は、図２に示す格納部の処理を説明する図である。 図６は、図２に示す格納部の処理を説明する図である。 図７は、図２に示す変換部の処理を説明する図である。 図８は、図２に示す変換装置のパケット出力処理を説明する図である。 図９は、図２に示す変換装置のパケット出力処理を説明する図である。 図１０は、実施の形態に係る変換処理の処理手順を示すフローチャートである。 図１１は、図１０に示す変換処理の処理手順を示すフローチャートである。 図１２は、従来のｘＦｌｏｗパケットの変換処理について説明する図である。 図１３は、図２に示す変換装置によるｘＦｌｏｗパケットの変換処理について説明する図である。 図１４は、プログラムが実行されることにより、変換装置が実現されるコンピュータの一例を示す図である。

以下に、本願に係る変換装置、変換方法及び変換プログラムの実施の形態を図面に基づいて詳細に説明する。また、本発明は、以下に説明する実施の形態により限定されるものではない。

［実施の形態］
まず、実施の形態について説明する。本実施の形態に係る変換装置は、各ＮＷ装置から入力されたカプセル化パケットの内側のｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成して、集計や分析を行う外部装置に出力する。

［通信システムの構成］
図１は、実施の形態に係る通信システムの構成の一例を示すブロック図である。図１に示すように、実施の形態に係る通信システム１では、複数のＮＷ装置２と、変換装置１０と、分析装置３（外部装置）とを有する。例えば、複数のＮＷ装置２と、変換装置１０とは、ネットワークＮを介して通信を行う。

ＮＷ装置２は、監視対象のトラヒックにおいてパケットのサンプリングを行う。ＮＷ装置２は、例えば、サンプリングしたパケットヘッダサンプルを切り取り、切り取ったヘッダサンプルをカプセル化したｘＦｌｏｗパケット（カプセル化パケット）を変換装置１０に転送する。この際、ＮＷ装置２は、パケット数等のフローに関する統計情報を、転送するｘＦｌｏｗパケットに載せて、或いは、別のｘＦｌｏｗパケットとして、変換装置１０に転送する。

変換装置１０は、各種ＮＷ装置２から入力されたｘＦｌｏｗパケットを、外部の分析装置３の処理内容に応じた形式のｘＦｌｏｗパケットに変換する。具体的には、変換装置１０は、各種ＮＷ装置２から入力されたｘＦｌｏｗパケットのｉｎｎｅｒヘッダの統計を求める。続いて、変換装置１０は、求めたｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成し、外部の分析装置３に出力する。

分析装置３は、監視対象のトラヒックに対する分析や、監視対象のトラヒックにおけるパケットの集計を行う。分析装置３は、変換装置１０が変換したｘＦｌｏｗパケットに含まれる統計情報を用いて、分析や集計を行う。

［変換装置］
次に、変換装置１０について説明する。図２は、図１に示す変換装置１０の構成の一例を示すブロック図である。図３は、図２に示す変換装置１０における処理の流れを説明する図である。

図２に示すように、変換装置１０は、分離部１１（第１の分離部）、デカプセル部１２（第２の分離部）、変換部１３（生成部）、及び、対応関係ＤＢ１４を有する。なお、変換装置１０は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＣＰＵ（Central Processing Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、変換装置１０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、変換装置１０は、ＮＩＣ（Network Interface Card）等を有し、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行う。

分離部１１は、入力されたｘＦｌｏｗパケットをフロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離する。例えば、分離部１１は、入力されたｘＦｌｏｗパケットＰ１を、ｘＦｌｏｗ情報Ｆ１と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダＨ１～Ｈ３に分離する（図３の（１）参照）。

デカプセル部１２は、サンプリングヘッダからｏｕｔｅｒヘッダを分離する。ｏｕｔｅｒヘッダが分離されたサンプリングヘッダは、ｉｎｎｅｒヘッダとペイロードとによって構成される。デカプセル部１２は、サンプリングヘッダからｏｕｔｅｒヘッダを除去する除去部１２１と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとの対応関係を示す情報を対応関係ＤＢ１４に格納する格納部１２２とを有する。デカプセル部１２は、サンプリングヘッダＨ１～Ｈ３からそれぞれｏｕｔｅｒヘッダＨｏ１～Ｈｏ３を除去し（図３の（２）参照）、ｉｎｎｅｒヘッダＨｉ１～Ｈｉ３と各ペイロード情報とを取得する。そして、デカプセル部１２は、各ｏｕｔｅｒヘッダＨｏ１～Ｈｏ３と、ｉｎｎｅｒヘッダＨｉ１～Ｈｉ３との対応関係を示す情報を対応関係ＤＢ１４に格納する（図３の（２）参照）。

変換部１３は、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求める。変換部１３は、求めたｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する。変換部１３は、生成したｘＦｌｏｗパケットの出力先である分析装置３における処理内容に応じた形式のｘＦｌｏｗパケットを生成する。

変換部１３は、元のｘＦｌｏｗ情報（ｏｕｔ、ｉｎ）、サンプリングヘッダのｉｎｎｅｒヘッダ情報を基に、ｉｎｎｅｒヘッダの統計情報を含むｘＦｌｏｗパケットを生成する（図３の（３）参照）。

ここで、変換部１３は、分析装置３の処理内容に応じた形式のｘＦｌｏｗパケットを生成する。ｘＦｌｏｗパケットの形式として、統計情報のみを有する形式（例えば、図３のパケットＰ５）、統計情報にｉｎｎｅｒヘッダサンプルを付与した形式（例えば、図３のパケットＰ４）、または、統計情報にｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを付与した形式（例えば、図３のパケットＰ３）がある。変換部１３は、生成したｘＦｌｏｗパケットを分析装置３に出力する。

対応関係ＤＢ１４は、入力されたｘＦｌｏｗパケットのｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとの対応関係を記憶する。例えば、対応関係ＤＢ１４は、時刻情報と、ｉｎｎｅｒヘッダの５ｔｕｐｌｅ及びｏｕｔｅｒヘッダの５ｔｕｐｌｅとを対応付けて登録する。

変換装置１０では、複数のｘＦｌｏｗパケットに対し、分離部１１による分離処理、デカプセル部１２による分離処理及び変換部１３による変換処理が並列に実行される。図４を参照して、変換装置１０による複数のｘＦｌｏｗパケットに対する並列処理について説明する。図４は、図２に示す変換装置１０の処理を説明する図である。

図４に示すように、分離部１１の機能、デカプセル部１２の機能、及び、変換部１３の機能が、それぞれ複数のＣＰＵコアに分散して配備されることによって、変換装置１０の各機能が拡張される。

具体的には、分離部１１の機能は、分離コア＃１～＃ｎに配備される。デカプセル部１２の機能は、デカプセルコア＃１～＃ｎに分散して配備される。

デカプセルコア＃１～＃ｎは、５ｔｕｐｌｅなどのｏｕｔｅｒ情報によって、処理対象のサンプリングヘッダが振り分けられる。デカプセルコア＃１が処理するサンプリングヘッダは、いずれもｏｕｔｅｒヘッダ「ｏｕｔ １」を含むものであり、デカプセルコア＃ｎが処理するサンプリングヘッダは、いずれもｏｕｔｅｒヘッダ「ｏｕｔ ｎ」を含むものである。

変換部１３の機能は、変換コア＃１～＃ｎに分散して配備される。変換コア＃１～＃ｎは、５ｔｕｐｌｅなどのｉｎｎｅｒ情報によって、処理対象のｉｎｎｅｒヘッダが振り分けられる。変換コア＃１が処理するｏｕｔｅｒヘッダが分離されたサンプリングヘッダは、いずれもｉｎｎｅｒヘッダ「ｉｎ １」を含むものであり、変化コア＃ｎが処理するｏｕｔｅｒヘッダが分離されたサンプリングヘッダは、いずれもｉｎｎｅｒヘッダ「ｉｎ ｎ」を含むものである。

分離部１１は、各分離コア＃１～＃ｎにおいて、ｘＦｌｏｗパケットを、ｘＦｌｏｗ情報とサンプリングヘッダとに分離する処理を行う。そして、各分離コア＃１～＃ｎは、分離した各サンプリングヘッダを、サンプリングヘッダにおける５ｔｕｐｌｅなどのｏｕｔｅｒ情報を用いて、それぞれのｏｕｔｅｒヘッダ情報に対応するデカプセルコア＃１～＃ｎに振り分ける（図４の（１）参照）。デカプセル部１２は、各デカプセルコア＃１～＃ｎにおいて、サンプリングヘッダからｏｕｔｅｒヘッダを分離する処理を行う。そして、各デカプセルコア＃１～＃ｎは、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを、分離されたサンプリングヘッダにおける５ｔｕｐｌｅなどのｉｎｎｅｒ情報を用いて、それぞれのｉｎｎｅｒヘッダ情報に対応する変換コア＃１～＃ｎに振り分ける（図４の（２））参照。

変換部１３は、各変換コア＃１～＃ｎにおいて、振り分けられた各サンプルヘッダ部のｉｎｎｅｒヘッダの統計を求め、統計情報を少なくとも含むｘＦｌｏｗパケットを生成する。

このように、変換装置１０では、フローの順序性を考慮して、各コアにサンプリングヘッダが振り分けられる。そして、変換装置１０では、分離部１１の機能、デカプセル部１２の機能、及び、変換部１３の機能が、それぞれ複数のＣＰＵコアに分散して配備されることによって、複数のパケットに対し、分離部１１による分離処理、デカプセル部１２による分離処理、及び、変換部１３による生成処理が並列に実行される。これによって、変換装置１０の処理の高速化を実現できる。

［除去部］
次に、図２に示す除去部１２１の処理について説明する。除去部１２１は、サンプリングヘッダを解析してサンプリングヘッダ内におけるｏｕｔｅｒヘッダ位置を判別し、サンプリングヘッダからｏｕｔｅｒヘッダを分離する。

除去部１２１は、サンプリングヘッダのプロトコルスタック解析を行い、サンプリングヘッダ内のｏｕｔｅｒヘッダ位置を特定する。例えば、除去部１２１は、特開２０１９―０９７０６９号公報に記載の方法を用いて、ヘッダの種別やＯｕｔｅｒヘッダ等を判別してもよい。除去部１２１は、判別ルールにしたがって、入力されたサンプリングヘッダの各プロトコルヘッダの種別と配置とを示すプロトコルスタックパターンを判別する。プロトコルスタックパターンは、各プロトコルヘッダの種別と配置とを示す情報である。

具体的には、除去部１２１は、プロトコルスタックパターンが既知のパケットを下位ヘッダから順次捜査して作成されたプロトコルスタックパターンを判別する判別木、プロトコルスタックパターンが既知のパケットの内部の特定ｂｉｔ列を基に作成されたプロトコルスタックパターンを判別する判別論理式、または、標準化された各プロトコルのヘッダ情報を示すプロトコルｃｏｎｆｉｇファイルを用いて、入力されたパケットのプロトコルスタックパターンを判別する。判別ルールは、予め他の装置で生成されたものでもよく、入力されたパケットについてプロトコルｃｏｎｆｉｇファイルを用いて学習することで生成されたものでもよい。なお、除去部１２１は、他の方法を用いて、ヘッダの判別を行ってもよい。

［格納部］
次に、図２に示す格納部１２２の処理について説明する。格納部１２２は、除去部１２１によって分離されたｉｎｎｅｒヘッダとｏｕｔｅｒヘッダとの組のうち、新規到着したフローの組を選別して、対応関係ＤＢ１４に格納する。格納部１２２は、事前に設定されたフローの定義や、事前に求められたフロー継続時間分布情報を基に、一連のフローの最初のｘＦｌｏｗパケットを選別して、ｉｎｎｅｒヘッダの５ｔｕｐｌｅとｏｕｔｅｒヘッダの５ｔｕｐｌｅとを対応関係ＤＢ１４に格納する。図５及び図６は、図２に示す格納部１２２の処理を説明する図である。

例えば、図５に示すように、格納部１２２は、事前に設定されたフローの定義に基づいてハッシュ値を計算するハッシュ関数部１２２２と、ハッシュテーブル１２２２とを用いて、一連のフローの最初のｘＦｌｏｗパケット（１ｓｔパケット）を選別する。

ハッシュテーブル１２２２は、アドレス、１ｓｔパケットの到着の有無を示す到着フラグ、及び、タイマの項目を有する。到着フラグは、「0」が未達であることを示し、「1」が到着済みであることを示す。タイマは、ハッシュ衝突を抑えるために定期的なエントリリフレッシュを行うために使用するカウントダウンタイマである。到着フラグのデフォルト値は「0」であり、タイマのデフォルト値は全て「1」である。

ハッシュ関数部１２２１は、フローの定義と、ｉｎｎｅｒヘッダの5ｔｕｐｌｅ及びｏｕｔｅｒヘッダの５ｔｕｐｌｅの情報とを入力とし、ハッシュ関数を用いて、ｉｎｎｅｒヘッダの5ｔｕｐｌｅとｏｕｔｅｒヘッダの５ｔｕｐｌｅとを連結した情報ハッシュ値を、アドレスとして計算する。格納部１２２は、計算したアドレスでハッシュテーブル１２２２の行にアクセスする。

例えば、パケットＰａに対し、格納部１２２は、ハッシュテーブル１２２２のうち、計算したアドレス「0x0003」の行にアクセスする。ここで、この行の到着フラグは「0」であるため、パケットＰａは、一連のフローの最初のパケットである。格納部１２２は、このアドレス「0x0003」の行の到着フラグを「0」から「1」に変更し（図５の（１）参照）、パケットＰａのｉｎｎｅｒヘッダとｏｕｔｅｒヘッダとの５ｔｕｐｌｅを対応関係ＤＢ１４に格納する（図５の（２）参照）。

また、パケットＰｂに対し、格納部１２２は、ハッシュテーブル１２２２のうち、計算したアドレス「0x0007」の行にアクセスする。ここで、この行の到着フラグは「1」である（図５の（３）参照）。これより、格納部１２２は、パケットＰｂは、１ｓｔパケットが既に到着済みであるフローのパケットであると判定し、パケットＰｂの情報をフィルタする（図５の（４）参照）。

ここで、格納部１２２は、フローの継続時間の分布を基に、所定のタイミングでエントリをリフレッシュし、古いエントリを初期化して、衝突の発生を低減する。

例えば、格納部１２２は、フローの継続時間の分布からαパーセンタイル（０≦α≦１）に該当するフロー継続時間x（sec）を求め、このフロー継続時間x（sec）を用いて、リフレッシュタイミングを設定する。そして、格納部１２２は、タイマのbit数が１以上の場合、リフレッシュ間隔を「x／（タイマのbit数^2）」とし、リフレッシュ間隔毎にタイマをデクリメントする。そして、格納部１２２は、タイマのbit数が全て「0」になったエントリの到着フラグを「1」から「0」に変更するとともに、タイマも「1111」に変更することによって、エントリをリフレッシュする。また、タイマのbit数が１以外の場合、格納部１２２は、リフレッシュ間隔を「x」とし、リフレッシュ間隔毎に、全ての到着フラグを「0」に変更し、タイマもデフォルト値に変更して、エントリをリフレッシュする。

また、格納部１２２は、ハッシュテーブル１２２２の到着フラグ欄Ｌ１及びタイマ欄Ｌ２に代えて、タイムアウト時刻欄を設け、１ｓｔパケットが到着した場合にはタイムアウト時刻欄のデフォルト値をタイムアウト時刻に変更し、タイムアウトした場合にこのエントリをリフレッシュしてもよい。

また、図６に示すように、格納部１２２は、アドレス計算用のハッシュ関数部１２２１と、衝突検知bit計算用のハッシュ関数部１２２３と、ハッシュテーブル１２２４と、を用いて１ｓｔパケットを選別してもよい。ハッシュ関数部１２２３は、ｉｎｎｅｒヘッダ情報、ｏｕｔｅｒヘッダ情報及びアドレスを入力とし、ハッシュ関数を用いて衝突検知bitを計算する。ハッシュテーブル１２２４は、アドレス、到着フラグ、タイマ及び検知bitの項目を有する。検知bitは、ハッシュの衝突を検知するために使用する。検知bitのデフォルト値は、全て「0」である。

例えば、パケットＰａに対し、格納部１２２は、ハッシュテーブル１２２４のうちアドレス「0x0003」の行にアクセスする。ここで、この行の到着フラグは「0」であるため、パケットＰａは、一連のフローの最初のパケットである。格納部１２２は、アドレス「0x0003」の行の到着フラグを「0」から「1」に変更し（図６の（１）参照）、検知bitをデフォルト値の「000」から、ハッシュ関数部１２２３で計算された衝突検知bit「101」に変更する（図６の（２）参照）。そして、格納部１２２は、パケットＰａのｉｎｎｅｒヘッダとｏｕｔｅｒヘッダとの5ｔｕｐｌｅを対応関係ＤＢ１４に格納する（図６の（３）参照）。

また、パケットＰｂに対し、格納部１２２は、ハッシュテーブル１２２４のうちアドレス「0x0007」の行にアクセスする。ここで、この行の到着フラグは「1」であり（図６の（４）参照）、かつ、検知bit「110」と、ハッシュ関数部１２２３において計算されたパケットＰｂの衝突検知bit「110」とが同値である（図６の（５）参照）。このより、格納部１２２は、パケットＰｂについては、１ｓｔパケットが既に到着済みであるフローのパケットであると判定し、パケットＰｂの情報をフィルタする（図６の（６）参照）。

なお、到着フラグが「1」であり、ハッシュテーブル１２４４の検知bitと、計算したパケットの衝突検知bit」とが一致しない場合、格納部１２２は、衝突（ハッシュ衝突）を検知し、このパケットのフローについては、サンプリングして、ｉｎｎｅｒヘッダ情報及びｏｕｔｅｒヘッダ情報を格納してもよい。また、格納部１２２は、ハッシュテーブル１２２２に対するリフレッシュ方法と同様の方法を用いて、ハッシュテーブル１２２４をリフレッシュする。

［変換部］
続いて、変換部１３の処理について説明する。変換部１３は、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求める。そして、変換部１３は、求めたｉｎｎｅｒヘッダの統計を示す統計情報をｘＦｌｏｗ情報に含めたｘＦｌｏｗパケットを生成する。

ここで、統計情報のみを有する形式、または、統計情報にｉｎｎｅｒヘッダサンプルを付与した形式のｘＦｌｏｗパケットを生成する場合、変換部１３は、求めたｉｎｎｅｒヘッダの統計情報を合算し、合算した統計情報をｘＦｌｏｗ情報に含めている。図７は、図２に示す変換部１３の処理を説明する図である。

図７に示すｘＦｌｏｗ情報Ｆ１は、分離部１１によって、入力されたｘＦｌｏｗパケットから分離された情報、或いは、別パケットによって送付された情報である。このｘＦｌｏｗ情報Ｆ１には、カプセル化されているパケット数等のフロー統計情報が含まれている。ただし、ｘＦｌｏｗ情報Ｆ１には、ｘＦｌｏｗパケットの外側の情報、すなわち、ｏｕｔｅｒヘッダの統計情報（ｏｕｔｅｒヘッダの識別情報とパケット数との対応情報）含まれているのみであった（図７の（１）参照）。

ここで、本変換装置１０では、デカプセル部１２によって、ｏｕｔｅｒヘッダをサンプリングヘッダから分離し、変換部１３において、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダＰ２１，Ｐ２２，Ｐ２３のｉｎｎｅｒヘッダの統計を求めている。

例えば、変換部１３は、サンプリングヘッダＰ２１，Ｐ２３のｉｎｎｅｒヘッダが「ｉｎ １」であり、サンプリングヘッダＰ２２のｉｎｎｅｒヘッダが「ｉｎ ２」であるとした統計を求める。この場合、変換部１３は、サンプリングヘッダＰ２１，Ｐ２３のｉｎｎｅｒヘッダが同一のため、サンプリングヘッダＰ２１，Ｐ２３を同一フローとしてみなす（図７の（２）参照）。変換部１３は、この判定結果を基に、サンプリングヘッダＰ２１，Ｐ２３のｉｎｎｅｒヘッダ「ｉｎ １」に関する統計情報を合算して、ｉｎｎｅｒヘッダ「ｉｎ １」のパケット数を「２」とする（図７の（３）参照）。

変換部１３は、ｉｎｎｅｒヘッダ「ｉｎ １」のパケット数が「２」であり、ｉｎｎｅｒヘッダ「ｉｎ ２」のパケット数が「１」であることを示すｉｎｎｅｒヘッダの統計情報を、ｘＦｌｏｗ情報に含めたパケットＰ５１またはパケットＰ４１を生成する。

このように、変換部１３は、変換装置１０に入力されたカプセル化されたｘＦｌｏｗパケットを、パケットの内側のｉｎｎｅｒヘッダに関する統計情報を、フロー情報として含めたｘＦｌｏｗパケットに変換し、分析装置３に出力する。この統計情報は、図７において説明したように、例えば、ｘＦｌｏｗパケット内にカプセル化された内側のパケットの各ｉｎｎｅｒヘッダの集計情報である。この結果、分析装置３は、パケットの内側のｉｎｎｅｒヘッダに関する統計情報をフロー情報に含むｘＦｌｏｗパケットを受信し、集計または分析を適切に実行することが可能になる。

次に、変換部１３における統計情報のまとめ機能について説明する。変換部１３は、複数のパケットの統計情報を合算した一つのｘＦｌｏｗパケットを生成し、出力する。ここで、統計情報の合算対象のパケットは、ｘＦｌｏｗパケット内にカプセル化された内側のパケットのことである。

例えば、変換部１３は、同一フローの複数のパケットの統計情報をまとめて一つのｘＦｌｏｗパケットを出力する機能を有する。言い換えると、変換部１３は、複数のパケットについて、これらのパケットが同一フローであれば、これらのパケットの統計情報をまとめて一つのｘＦｌｏｗパケットを出力する。すなわち、変換部１３は、複数のパケットのうち、ｉｎｎｅｒヘッダが同じパケットについては、これらのパケットのｉｎｎｅｒヘッダに関する統計情報を合算し、合算した統計情報を含む一つのｘＦｌｏｗパケットを生成する。

また、変換装置１０に対し最大無通信時間（flow-inactive-timeout）及び最大通信時間（flow-active-timeout）を設定し、設定した最大無通信時間及び最大通信時間を用いてパケットの出力条件を設定してもよい。例えば、出力条件は、最後にパケットを受信した時間から最大無通信時間が経過したフローがあること、または、最初に受信した時間から最大通信時間が経過したフローがあることである。

図８は、図２に示す変換装置１０のパケット出力処理を説明する図である。変換部１３は、フローの統計情報、すなわち、各パケットのｉｎｎｅｒヘッダの統計情報を収集しながら（図８の（１）参照）、出力条件を満たすフローが有るか否かを判定する。例えば、フローＡが、最後にパケットを受信した時間から最大無通信時間が経過したフローである場合、変換部１３は、このフローＡのｉｎｎｅｒヘッダの統計情報を合算し、合算した統計情報を含むｘＦｌｏｗパケットを出力する（図８の（２）参照）。

また、フローＢが、最初に受信した時間から最大通信時間が経過したフローである場合、変換部１３は、このフローＢのｉｎｎｅｒヘッダの統計情報を合算し、合算した統計情報を含むｘＦｌｏｗパケットを出力する（図８の（３）参照）。

このように、変換部１３は、同一フローのパケットの統計情報を合算し、合算した統計情報を含むｘＦｌｏｗ情報を出力するため、外部へ出力するパケットを削減することができる（図８の（４）参照）。なお、変換部１３は、出力先の分析装置３の処理内容に応じて、統計情報のみを有する形式、統計情報にｉｎｎｅｒヘッダサンプルを付与した形式、統計情報にｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを付与した形式のいずれかを選択して、ｘＦｌｏｗパケットを生成する。

そして、変換部１３は、別パケットであったとしても、別フローの複数のヘッダサンプルをまとめて付与したｘＦｌｏｗパケットを出力する機能を有する。図９は、図２に示す変換装置１０のパケット出力処理を説明する図である。

図９に示すように、各種ＮＷ装置２から、フローＡ～Ｄのパケットが変換装置１０に入力される。この場合、変換部１３は、各パケットのヘッダサンプル部を収集しながら（図９の（１）参照）、所定の出力条件を満たすか否かを判定する。例えば、所定の出力条件は、所定のサンプル数に達すること、所定の出力パケット長に達すること、或いは、指定時間に達することである。

変換部１３は、所定の出力条件を満たすまで、外部の分析装置３にフロー情報を出力せずに、ヘッダサンプル部の収集を行う（図９の（２）参照）。そして、変換部１３は、所定の出力条件を満たすと判定した場合、収集したヘッダサンプルをまとめて、分析装置３に情報パケットを出力する（図９の（２）参照）。例えば、変換部１３は、同じｉｎｎｅｒヘッダを有する４組のヘッダサンプルをまとめたｘＦｌｏｗパケットＰ６を生成して、出力する。このように、変換部１３は、４組のヘッダサンプル部の情報をそれぞれ四つのパケットではなく、一つのパケットにまとめることで、外部へ出力するパケットを削減することができる（図９の（３）参照）。

また、図９の例では、変換部１３が出力するパケットとして、４組のヘッダサンプル部のｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを一つのパケットにまとめた例を示す。変換部１３は、統計情報にｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを付与した形式に限らず、統計情報のみを有する形式、または、統計情報にｉｎｎｅｒヘッダサンプルを付与した形式を選択してもよい。例えば、変換部１３は、外部宛先が複数ある場合には、出力先の分析装置３の処理内容に応じて、それぞれの分析装置３ごとに設定された形式で、ｘＦｌｏｗパケットを生成する。これによって、変換部１３は、設定された形式にしたがって、まとめる情報の単位を、統計情報のみ、統計情報とｉｎｎｅｒヘッダサンプルとである、統計情報とｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとである、の中で調整することが可能である（図９の（３）参照）。

［変換処理の処理手順］
次に、変換装置１０が実行するパケットの変換処理の処理手順について説明する。図１０は、実施の形態に係る変換処理の処理手順を示すフローチャートである。

図１０に示すように、変換装置１０では、分離部１１が、入力されたｘＦｌｏｗパケットをフロー情報とサンプリングヘッダとに分離する分離処理を行う（ステップＳ１）。そして、デカプセル部１２は、サンプリングヘッダからｏｕｔｅｒヘッダを分離するデカプセル処理を行う（ステップＳ２）。なお、ステップＳ２において、デカプセル部１２は、サンプリングヘッダからｏｕｔｅｒヘッダを分離するとともに、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとの対応関係を示す情報を対応関係ＤＢ１４に格納する。

変換部１３は、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、求めたｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成し、分析装置３に出力する変換処理を行う（ステップＳ３）。

［変換処理の処理手順］
次に、図１０に示す変換処理（ステップＳ３）の処理手順について説明する。図１１は、図１０に示す変換処理の処理手順を示すフローチャートである。

図１１に示すように、変換部１３は、デカプセル部１２から順次入力される、ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基に、ｉｎｎｅｒヘッダの統計情報を収集する（ステップＳ１１）。そして、変換部１３は、ｘＦｌｏｗパケットの出力条件を満たすか否かを判定する（ステップＳ１２）。ｘＦｌｏｗパケットの出力条件を満たさない場合（ステップＳ１２：Ｎｏ）、変換部１３は、ステップＳ１１に戻り、ｉｎｎｅｒヘッダの統計情報の収集を継続する。

ｘＦｌｏｗパケットの出力条件を満たさす場合（ステップＳ１２：Ｙｅｓ）、変換部１３は、設定された形式のｘＦｌｏｗパケットを生成する（ステップＳ１３）。この場合、変換部１３は、求めたｉｎｎｅｒヘッダの統計を示す統計情報をｘＦｌｏｗ情報に含める。また、変換部１３は、設定に応じて、同一フローの複数のパケットの統計情報の合算結果、或いは、別フローの複数のパケットの統計情報の合算結果をｘＦｌｏｗ情報に含める。そして、変換部１３は、生成したｘＦｌｏｗパケットを、外部の分析装置３に出力する（ステップＳ１４）。

［実施の形態の効果］
ここで、従来のｘＦｌｏｗパケットの変換処理について説明する。図１２は、従来のｘＦｌｏｗパケットの変換処理について説明する図である。

図１２では、例えば、変換装置１０Ｐにおいて、「172.16.0.1」から「172.16.0.2」へのパケットをカプセル化（10.0.0.1～10.0.0.2区間）したＩＰＦＩＸ形式のｘＦｌｏｗパケットから、ｓＦｌｏｗ形式またはＮｅｔＦｌｏｗ形式のパケットに変換する場合を示す。

図１２に示すように、従来の変換装置１０Ｐが計測できる情報は、カプセル化されたパケットの外側（ｏｕｔｅｒ）のフロー情報のみである（図１２の（１）参照）。このため、従来の変換装置１０Ｐは、カプセル化されたパケットに対しては、パケットの内側（ｉｎｎｅｒ）のフロー情報を計測できなかった。また、従来の変換装置１０Ｐは、カプセル化されたパケットの内側（ｉｎｎｅｒ）に対してヘッダサンプリングの形式変換ができなかった（図１２の（２）参照）。さらに、近年では、監視対象トラヒックの増加により装置の容量増大やコスト増大が引き起こされるため、処理の高速化や外部に出力するフロー情報パケットの容量削減も要求されている（図１２の（３），（４）参照）。

図１３は、図２に示す変換装置１０によるｘＦｌｏｗパケットの変換処理について説明する図である。本実施の形態に係る変換装置１０は、分離部１１が、入力されたカプセル化パケットをフロー情報とサンプリングヘッダとに分離し、デカプセル部１２が、サンプリングヘッダからｏｕｔｅｒヘッダを分離する。ｏｕｔｅｒヘッダが分離されたサンプリングヘッダは、ｉｎｎｅｒヘッダとペイロードとによって構成される。変換部１３が、このｏｕｔｅｒヘッダが分離されたサンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求めている。

したがって、変換装置１０によれば、従来算出できなかった、カプセル化パケットの内側、すなわち、ｉｎｎｅｒヘッダの統計情報を算出することができる（図１３の（１）参照）。

そして、変換部１３は、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する。この際、変換部１３は、外部装置における処理内容に応じた形式のｘＦｌｏｗパケットを生成している。

例えば、変換部１３は、統計情報のみを有する形式（例えば、図１３のパケットＰ５）、統計情報にｉｎｎｅｒヘッダサンプルを付与した形式（例えば、図１３のパケットＰ４）、または、統計情報にｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを付与した形式（例えば、図１３のパケットＰ３）の組み合わせの中から、外部の分析装置の処理内容に応じて、生成するｘＦｌｏｗパケットの形式を選択する（図１３の（２）参照）。このように、変換装置１０は、分析装置３における集計や分析の用途に応じて、出力するｘＦｌｏｗの形式を柔軟に設定することができるため、分析装置３では、集計または分析を適切に実行できる。

そして、変換装置１０では、フロー順序性を考慮した機能部並列化が可能であるアーキテクチャを採用している（図１３の（３）参照）。これによって、変換装置１０では、複数のｘＦｌｏｗパケットに対し、分離部１１による分離処理、デカプセル部１２による分離処理及び変換部１３による変換処理の並列化が可能となるため、処理の高速化を実現できる。

さらに、変換装置１０では、変換部１３は、複数のパケットの統計情報を合算した一つのｘＦｌｏｗパケットを生成し、出力する機能を有する。このように、変換装置１０は、変換部１３においてフローを集計して、複数のパケットの統計情報を合算した一つのｘＦｌｏｗパケットを生成して出力するため、外部へ出力するパケットを削減することができる（図１３の（４）参照）。

以上のように、変換装置１０によれば、カプセル化されたパケットの内側のフロー情報の統計情報を含めたｘＦｌｏｗパケットを生成することができ、さらに、装置の高速化や外部へ出力するパケット削減も実現することができる。

［実施形態のシステム構成について］
図１に示した変換装置１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、変換装置１０の機能の分散および統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。

また、変換装置１０，１０Ｂにおいておこなわれる各処理は、全部または任意の一部が、ＣＰＵおよびＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、変換装置１０においておこなわれる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。

また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述および図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。

［プログラム］
図１２は、プログラムが実行されることにより、変換装置１０実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、変換装置１０の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、変換装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例および運用技術等はすべて本発明の範疇に含まれる。

１ 通信システム
２ ＮＷ装置
３ 分析装置
１０ 変換装置
１１ 分離部
１２ デカプセル部
１３ 変換部
１４ 対応関係データベース（ＤＢ）
１２１ 除去部
１２２ 格納部

Claims (7)

1. 入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離する第１の分離部と、
   前記サンプリングヘッダからｏｕｔｅｒヘッダを分離する第２の分離部と、
   前記ｏｕｔｅｒヘッダが分離された前記サンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、前記ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する生成部と、
   を有することを特徴とする変換装置。
2. 前記生成部は、生成したｘＦｌｏｗパケットの出力先における処理内容に応じた形式のｘＦｌｏｗパケットを生成することを特徴とする請求項１に記載の変換装置。
3. 前記生成部は、前記統計情報のみを有する形式、前記統計情報にｉｎｎｅｒヘッダサンプルを付与した形式、または、前記統計情報にｉｎｎｅｒヘッダサンプルとｏｕｔｅｒヘッダサンプルとを付与した形式のｘＦｌｏｗパケットを生成することを特徴とする請求項２に記載の変換装置。
4. 前記第１の分離部の機能、前記第２の分離部の機能及び前記生成部の機能は、それぞれ複数のＣＰＵコアに分散して配備され、
   前記第１の分離部は、各コアにおいて、前記パケットをフロー情報とサンプリングヘッダとに分離する処理を行い、分離したサンプリングヘッダのｏｕｔｅｒヘッダ情報に対応する前記第２の分離部のコアに前記サンプリングヘッダを振り分け、
   前記第２の分離部は、各コアにおいて、前記サンプリングヘッダからｏｕｔｅｒヘッダを分離する処理を行い、前記ｏｕｔｅｒヘッダが分離されたサンプリングヘッダのｉｎｎｅｒヘッダ情報に対応する前記生成部のコアに前記ｏｕｔｅｒヘッダが分離されたサンプリングヘッダを振り分け、
   前記生成部は、各コアにおいて、振り分けられたサンプルヘッダ部の前記ｉｎｎｅｒヘッダの統計を求め、前記統計情報を少なくとも含むｘＦｌｏｗパケットを生成し、
   複数のパケットに対し、前記第１の分離部による分離処理、前記第２の分離部による分離処理及び前記生成部による生成処理が並列に実行されることを特徴とする請求項１～３のいずれか一つに記載の変換装置。
5. 前記生成部は、複数のパケットの前記統計情報を合算したｘＦｌｏｗパケットを生成することを特徴とする請求項１～４のいずれか一つに記載の変換装置。
6. 変換装置が実行する変換方法であって、
   入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離する工程と、
   前記サンプリングヘッダからｏｕｔｅｒヘッダを分離する工程と、
   前記ｏｕｔｅｒヘッダが分離された前記サンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、前記ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する工程と、
   を含んだことを特徴とする変換方法。
7. 入力されたカプセル化パケットを、フロー情報と、ｏｕｔｅｒヘッダとｉｎｎｅｒヘッダとを有するサンプリングヘッダとに分離するステップと、
   前記サンプリングヘッダからｏｕｔｅｒヘッダを分離するステップと、
   前記ｏｕｔｅｒヘッダが分離された前記サンプリングヘッダを基にｉｎｎｅｒヘッダの統計を求め、前記ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成するステップと、
   をコンピュータに実行させるための変換プログラム。

Images