JP7524719B2

JP7524719B2 - 通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置

Info

Publication number: JP7524719B2
Application number: JP2020184725A
Authority: JP
Inventors: 敦史北田; 正剛宮部
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2020-06-04
Filing date: 2020-11-04
Publication date: 2024-07-30
Anticipated expiration: 2040-11-04
Also published as: JP2021192500A

Description

本発明は、通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置に関する。

近年、様々なビジネスがデジタルテクノロジーと結合して新たな価値を生み出すデジタルビジネスが広がりを見せている。デジタルビジネスにおいて、ビジネスのサイクルを短縮して競合者に対して優位に立つ手段の一つとして、デジタルビジネスのシステムをマイクロサービスと呼ばれる小さな機能の組み合わせで実現するマイクロサービスアーキテクチャが普及しつつある。

マイクロサービスアーキテクチャでは、それぞれのマイクロサービスの間の通信には、ＩＰ（Internet Protocol）ネットワークが用いられる。このように、マイクロサービス間の通信を含む様々な通信にＩＰネットワークが用いられることから、ＩＰネットワークの重要性は増している。そして、ＩＰネットワークの障害は、多くのマイクロサービス間の通信の障害を引き起こし、ひいては様々なデジタルサービスに影響が及ぶ。したがって、既存のＩＰネットワークに新しい通信を追加するなどの理由によるＩＰネットワークを構成するネットワーク装置の設定変更に関しては、既存の通信に影響を与えていないかどうか十分な検証を行うことが望まれる。

従来の多くのＩＰネットワークでは、ネットワーク装置の設定変更は、インテントと呼ばれる設定変更要求、既存ネットワークの設定情報及び重要な既存通信のリストなどを基に、ネットワークの専門家が設定変更手順を作成することが行われてきた。そして、作成された設定変更手順を他のネットワークの専門家が確認することにより、設定変更による既存の通信への影響が抑制される。

さらに、重要ないくつかの通信に対しては、設定変更後にｐｉｎｇやｔｒａｃｅｒｏｕｔｅなどの手段を用いて、既存の通信が設定変更の影響を受けていないかどうかの確認が人手で行われる。設定変更の影響を受けていることが確認された場合、ネットワークの専門家が対処して、既存の通信に対する設定変更の影響を回避させることが行われる。

ここで、ネットワークの接続検証に関する技術として、検証サーバ上に仮想ネットを生成し、変更前と変更後のシステム間の通信可否を経路探索により求める従来技術がある。また、既存ネットワークの状態を取得してモデル化し、変更前後のトポロジー差で状態を解析して接続性の確認を行う従来技術がある。

特開２００２－１８５５１２号公報特表２０１７－５２４３２０号公報

しかしながら、従来の既存通信への影響の確認方法では、設定変更後に一つ一つ既存通信に対して人手により影響があるか否かの確認が行われるため、影響の確認に時間がかかってしまう。また、個々の既存通信に対して個別に影響確認を行うため、確認にかかる時間は既存通信の数に比例して大きくなり、多数の既存通信を含むような大規模なＩＰネットワークに対して網羅的な確認を行うことが困難となる。そのため、多くのＩＰネットワークでは、一部の重要な通信に対しての影響を確認することで既存通信全体への影響確認に代えている。

また、仮に確認にかかる時間が問題にならないと仮定しても、既存通信への影響をより網羅的に確認するためには、確認対象となる既存通信のリストを用いることになるが、多くのＩＰネットワークでは既存通信の網羅的なリストは管理されていない。この点からも、既存ネットワークにおいて一部の重要な通信に対しての影響を確認することで既存通信全体への影響確認に代えることが行われる。ただし、一部の重要な通信に対しての影響の確認では、設定変更の既存通信への影響の網羅的な確認としては不十分な場合が存在する。

開示の技術は、上記に鑑みてなされたものであって、網羅的かつ効率性の高いネットワーク検証を行う通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置を提供することを目的とする。

本願の開示する通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置は、一つの態様において、ネットワークに配置された各ネットワーク装置の設定変更前の設定情報及びフォワーディング情報、並びに、設定変更後の前記設定情報及び前記フォワーディング情報を基に、各前記ネットワーク装置において通過及び遮断の扱いが同じとなるパケットの集合であるフローを生成し、生成した前記フローが各前記ネットワーク装置間において通過するか否かを基に、前記設定変更前の第１モデル及び前記設定変更後の第２モデルを生成する。生成した前記第１モデルと前記第２モデルとの差分を基に、前記設定変更による前記ネットワークへの影響を判定する。

本願の開示する通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置の一つの態様によれば、網羅的かつ効率性の高いネットワーク検証を行うことができるという効果を奏する。

図１は、ネットワーク検証装置のブロック図である。図２は、設定変更後のネットワーク装置の設定情報の生成の一例を表す図である。図３は、フロー抽出およびデータプレーンモデル生成を説明するための図である。図４は、meetsemilatticeの一例を説明するための図である。図５は、サンプルネットワークに関して生成されるmeetsemilatticeの元の一覧の図である。図６は、ハッセ図の一例を表す図である。図７は、サンプルネットワークに対してＰＥＣをラベル付けした結果を表す図である。図８は、検証手順を説明するための１つめのネットワークを表す図である。図９は、１つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図１０は、１つめのネットワークにおけるＰＥＣを表す図である。図１１は、１つめのネットワークから生成されるデータプレーンモデルを表す図である。図１２は、１つめのネットワークの設定変更前後の差分を表す図である。図１３は、検証手順を説明するための２つめのネットワークを表す図である。図１４は、２つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図１５は、２つめのネットワークにおけるＰＥＣを表す図である。図１６は、２つめのネットワークから生成されるデータプレーンモデルを表す図である。図１７は、２つめのネットワークの設定変更前後の差分を表す図である。図１８は、検証手順を説明するための３つめのネットワークを表す図である。図１９は、３つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図２０は、３つめのネットワークにおけるＰＥＣを表す図である。図２１は、３つめのネットワークから生成されるデータプレーンモデルを表す図である。図２２は、３つめのネットワークの設定変更前後の差分を表す図である。図２３は、実施例１に係るネットワーク検証装置による検証処理全体のフローチャートである。図２４は、データプレーンモデル作成処理のフローチャートである。図２５Ａは、既存通信への影響判定処理の第１のフローチャートである。図２５Ｂは、既存通信への影響判定処理の第２のフローチャートである。図２６は、収容変更及び拠点変更の一例を表す図である。図２７は、収容変更を行った場合のフローの変化を説明するための図である。図２８は、実施例２に係るネットワーク検証装置による検証処理のフローチャートである。図２９は、アドレス変換装置が配置されたネットワークの一例の図である。図３０は、アドレス変換装置を通過する前後のＰＥＣの一例を表す図である。図３１は、ＮＡＴを用いた場合の往復通信及び片側通信の場合の通信要件の到達性の判定を説明するための図である。図３２は、実施例３に係る影響判定部による通信要件の到達性判定を含む影響判定処理のフローチャートである。図３３は、ファイアウォールＳＰＩが配置されたネットワークの一例の図である。図３４は、ファイアウォールＳＰＩを用いた場合の往復通信及び片側通信の場合の通信要件の到達性の判定を説明するための図である。図３５は、実施例３の変形例に係る影響判定部による通信要件の到達性判定を含む影響判定処理のフローチャートである。図３６は、ネットワーク検証装置のハードウェア構成図である。

以下に、本願の開示する通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置の実施例を図面に基づいて詳細に説明する。なお、以下の実施例により本願の開示する通信接続検証方法、通信接続検証プログラム及びネットワーク検証装置が限定されるものではない。

図１は、ネットワーク検証装置のブロック図である。ネットワーク検証システム１０は、ネットワーク検証装置１、検証対象のネットワーク２及び管理者端末３を有する。

ネットワーク検証装置１は、ネットワーク２に接続される。また、管理者端末３は、ネットワーク２に接続され、ネットワーク２を介してネットワーク検証装置１との間で通信を行う。

ネットワーク２は、ルータ３１及びファイアウォール３２などのネットワーク装置を有する。ルータ３１は、信号を転送するフォワーディングテーブルを有する。また、ファイアウォール３２は、例えばスイッチにより実現される。ファイアウォール３２には、信号を通過させるか否かを決定するためのフィルタリングルールが設定される。以下では、ルータ３１及びファイアウォール３２をまとめて、ネットワーク装置という場合がある。

ネットワーク２の管理者は、管理者端末３を使用して、通信を実行するための設定情報及びフォワーディングテーブルを、ネットワーク２におけるルータ３１及びファイアウォール３２などのネットワーク装置に設定する。

ネットワーク検証装置１は、ネットワーク２の検証を行う。以下にネットワーク検証装置１の詳細について説明する。ネットワーク検証装置１は、図１に示すように、設定変更手順入力部１０１、通信制御部１０２、設定変更後テーブル推定部１０３、設定変更後コンフィグ生成部１０４、コンフィグ情報収集部１０５及びテーブル情報収集部１０６を有する。さらに、ネットワーク検証装置１は、ネットワークモデル化部１０７、ＡＣＬ（Access Control List）抽出部１０８、差分抽出部１０９、影響判定部１１０及び出力部１１１を有する。

ネットワーク２の管理者は、設定変更手順入力部１０１を用いて、検証対象のネットワーク２に含まれるネットワーク装置の設定変更手順を入力する。設定変更手順入力部１０１は、管理者により入力された設定変更手順を設定変更後コンフィグ生成部１０４へ出力する。

通信制御部１０２は、ネットワーク検証装置１とネットワーク２との間の通信を制御する通信インタフェースである。ネットワーク検証装置１の各部は、通信制御部１０２を介してネットワーク２に含まれる各種ネットワーク装置と通信を行う。このように、実際にはネットワーク検証装置１の各部は通信制御部１０２を介してネットワーク２に含まれる各ネットワーク装置と通信を行うが、以下の説明では通信制御部１０２による中継を省略して説明する場合がある。

コンフィグ情報収集部１０５は、通信制御部１０２を介してネットワーク２の中の各ネットワーク装置から設定情報を収集する。そして、コンフィグ情報収集部１０５は、収集した設定情報を設定変更後コンフィグ生成部１０４及びＡＣＬ抽出部１０８へ出力する。

テーブル情報収集部１０６は、通信制御部１０２を介してネットワーク２の中の各ネットワーク装置からフォワーディング情報を収集する。そして、テーブル情報収集部１０６は、収集した各ネットワーク装置のフォワーディング情報をネットワークモデル化部１０７へ出力する。

設定変更後コンフィグ生成部１０４は、設定変更手順の入力を設定変更手順入力部１０１から受ける。また、設定変更後コンフィグ生成部１０４は、設定変更前の設定情報の入力をコンフィグ情報収集部１０５から受ける。そして、設定変更後コンフィグ生成部１０４は、設定変更前の設定情報に対して設定変更手順を用いて、設定変更後の各ネットワーク装置の設定情報を生成する。その後、設定変更後コンフィグ生成部１０４は、生成した設定変更後の各ネットワーク装置の設定情報を設定変更後テーブル推定部１０３及びＡＣＬ抽出部１０８へ出力する。

図２は、設定変更後のネットワーク装置の設定情報の生成の一例を表す図である。設定変更後コンフィグ生成部１０４は、例えば、設定変更前のネットワーク装置の設定情報２０１を取得する。また、設定変更後コンフィグ生成部１０４は、ネットワーク装置の設定変更手順２０２を取得する。そして、設定変更後コンフィグ生成部１０４は、設定情報２０１におけるＥｔｈｅｒｎｅｔ（登録商標）の設定を、設定変更手順２０２に記載された設定に変更して、Ｅｔｈｅｒｎｅｔ１を使用可能にする。また、設定変更後コンフィグ生成部１０４は、設定情報２０１におけるルータの設定を設定変更手順２０２に記載された設定に変更する。このように、設定変更後コンフィグ生成部１０４は、設定変更後の各ネットワーク装置の設定情報２０３を生成する。

図１に戻って説明を続ける。設定変更後テーブル推定部１０３は、設定変更後の各ネットワーク装置の設定情報の入力を設定変更後コンフィグ生成部１０４から受ける。そして、設定変更後テーブル推定部１０３は、設定変更後の各ネットワーク装置の設定情報から、シミュレーションにより設定変更後の各ネットワーク装置のフォワーディングテーブルの内容を推定する。例えば、設定変更後テーブル推定部１０３は、ＧＮＳ３（https://www.gns3.com/）あるいはＢａｔｆｉｓｈ（https://www.batfish.org）のような技術を用いて設定変更後の各ネットワーク装置のフォワーディングテーブルの内容を推定する。その後、設定変更後テーブル推定部１０３は、推定した設定変更後のネットワーク２における各ネットワーク装置のフォワーディング情報をネットワークモデル化部１０７へ出力する。

ＡＣＬ抽出部１０８は、設定変更前の各ネットワーク装置の設定情報の入力をコンフィグ情報収集部１０５から受ける。また、ＡＣＬ抽出部１０８は、設定変更後の各ネットワーク装置の設定情報の入力を設定変更後コンフィグ生成部１０４から受ける。ＡＣＬ抽出部１０８は、設定変更前及び設定変更後にそれぞれのネットワーク装置に設定されているフィルタリングルールを示すフィルタリング情報であるＡＣＬを抽出する。そして、ＡＣＬ抽出部１０８は、抽出した各ネットワーク装置における設定変更前及び設定変更後のＡＣＬをネットワークモデル化部１０７へ出力する。

ネットワークモデル化部１０７は、ネットワーク２の中の各ネットワーク装置の設定変更前のフォワーディング情報の入力をテーブル情報収集部１０６から受ける。また、ネットワークモデル化部１０７は、ネットワーク２の中の各ネットワーク装置における設定変更前及び設定変更後のＡＣＬの入力をＡＣＬ抽出部１０８から受ける。そして、ネットワークモデル化部１０７は、ネットワーク２の中の各ネットワーク装置のフォワーディング情報及び設定変更前のＡＣＬに含まれるフィルタリング情報を用いて、設定変更前のネットワーク２のデータプレーンモデルを生成する。

また、ネットワークモデル化部１０７は、ネットワーク２の中の各ネットワーク装置の設定変更後のフォワーディング情報の入力を設定変更後テーブル推定部１０３から受ける。そして、ネットワークモデル化部１０７は、ネットワーク２の中の各ネットワーク装置の設定変更後のフォワーディング情報及び設定変更後のＡＣＬに含まれるフィルタリング情報を用いて、設定変更後のネットワーク２のデータプレーンモデルを生成する。

ここで、ネットワークモデル化部１０７による設定変更前及び設定変更後のネットワーク２のデータプレーンモデルの生成について詳細に説明する。ネットワークモデル化部１０７は、ネットワーク２における各ネットワーク装置のフォワーディング情報とフィルタリング情報からフローを抽出する。フローとは、ネットワーク２の中で振る舞いが同じとなるパケットの集合にあたる。以下では、フローのことを、ＰＥＣ（Packet Equivalence Class）と呼ぶ場合がある。例えば、ネットワークモデル化部１０７は、次のような方法でフローの抽出を行う。

図３は、フロー抽出およびデータプレーンモデル生成を説明するための図である。図３に示すサンプルネットワーク２１０では、端末２１１とサーバ２１２との間にネットワークがあり、このネットワークの中にはルータ３１とファイアウォール３２が含まれる。この場合、端末２１１とルータ３１とが接続され、ルータ３１とファイアウォール３２とが接続され、ファイアウォール３２とサーバ２１２とが接続される。また、ルータ３１はフォワーディング情報として図３に示すフォワーディングテーブル２１３を有する。また、ファイアウォール３２の設定情報は、図３に示したフィルタリングルール２１４を有する。ここでは、このサンプルネットワーク２１０で、端末２１１からサーバ２１２へのパケットの到達性を確認する場合で説明する。

ネットワークモデル化部１０７は、ネットワーク２に含まれる全てのネットワーク装置のフォワーディング情報及びフィルタリング情報のそれぞれにしたがうパケットヘッダの集合を元として含むようなmeetsemilattice（交わり半束）を構築する。meetsemilatticeは、部分順序集合であり、特定のmeetsemilatticeの２つの元が共通部分を持つなら、その共通部分もその特定のmeetsemilatticeの元となる集合である。

ネットワークモデル化部１０７は、図３のサンプルネットワーク２１０に含まれるすべてのフォワーディング情報及びフィルタリング情報を含むmeetsemilatticeを構築する。ここで、図３のルータ３１のフォワーディングテーブル２１３は、１つのエントリを有する。このエントリは、ＩＰパケットの送信先アドレスとして１３３．２８．１００．０／２８の範囲に含まれるアドレスを持つものがルータ３１においてフォワーディングの対象となることを示す。

そこで、ネットワークモデル化部１０７は、図４に示すように、送信先アドレスとして１３３．２８．１００．０／２８の範囲のアドレスを持つパケット集合をここでのmeetsemilatticeの１つの元２２１として追加する。図４は、meetsemilatticeの一例を説明するための図である。図４の縦軸は送信元アドレスを表し、横軸は送信先アドレスを表す。

また、図３のファイアウォール３２のフィルタリングルール２１４としては、２つのルールが設定されている。１つのルールは、送信元アドレスとして２０２．２４８．１０．０／２４の範囲に含まれるアドレスを持つパケットがファイアウォール３２を透過することを示す。

そこで、ネットワークモデル化部１０７は、図４に示すように、送信元アドレスとして２０２．２４８．１０．０／２４の範囲のアドレスを持つパケットの集合をここでのmeetsemilatticeの１つの元２２２として追加する。さらに、ネットワークモデル化部１０７は、meetsemilatticeの性質より、元２２１と元２２２との共通部分である元２２３もmeetsemilatticeの元とする。

また、ネットワークモデル化部１０７は、図３のフィルタリングルール２１４の他の１つのルールも、図４に示す元２２４としてここでのmeetsemilatticeに追加する。元２２４は、全ての送信先アドレス及び送信元アドレスのパケットを含む。ここで、元２２４は元２２１～２２３のそれぞれのとの間に共通部分を持ち、その共通部分は、元２２１～２２３のいずれかであり既にここでのmeetsemilatticeの元である。したがって、ネットワークモデル化部１０７は、元２２４と元２２１～２２３との共通部分の集合を改めてmeetsemilatticeの元として追加することは行わない。

図５は、サンプルネットワークに関して生成されるmeetsemilatticeの元の一覧の図である。図５の元２２１は、図３のフォワーディングテーブル２１３のエントリに対応する元である。元２２２は、図３のファイアウォール３２のフィルタリングルール２１４の１つのルールに対応する元である。そして、元２２３は、元２２１と元２２２との共通部分に対応する元である。また、元２２４は、図３のファイアウォール３２のフィルタリングルール２１４の他の１つのルールに対応する元である。

ここで、meetsemilatticeの元の親子関係について説明する。meetsemilatticeの元αと元βの間にα⊂βの関係があり、さらにα⊂γ⊂βとなるようなγがmeetsemilatticeに含まれない場合、αとβには親子関係が成立し、αはβの子であるという。この親子関係を簡単にあらわす図として、ハッセ図がある。ハッセ図では、親の元が子の元より上に記載され、親子の間が線で結ばれる。図５で示したmeetsemilatticeの元２２１～２２４に対するハッセ図は図６のように表される。図６は、ハッセ図の一例を表す図である。

ネットワークモデル化部１０７は、図６に示したハッセ図から図３のサンプルネットワーク２１０におけるＰＥＣを求める。具体的には、ネットワークモデル化部１０７は、meetsemilatticeの元からその元に対する子の元の和を減算することでＰＥＣを求める。ここで、ネットワークモデル化部１０７は、ある元に対して子の元がない場合には、その元は、そのままＰＥＣとする。

例えば、meetsemilatticeの元２２１に着目した場合のＰＥＣを＃Ａとすると、ネットワークモデル化部１０７は、＃Ａ＝元２２１－元２２３としてＰＥＣを算出する。同様に、ネットワークモデル化部１０７は、他の全てのmeetsemilatticeに着目した場合に関してもＰＥＣを計算すると、ネットワークモデル化部１０７は、＃Ｂ＝元２２２－元２２３、＃Ｃ＝元２２３、＃Ｄ＝元２２４－（元２２１∪元２２２）として各ＰＥＣを算出する。

このようにＰＥＣを求めることで、例えばmeetsemilatticeの元２２１に含まれるパケットのうちmeetsemilatticeの元２２２には含まれないものが、ＰＥＣ＃Ａに含まれる。ＰＥＣ＃Ａに含まれるパケットヘッダを持つパケットは、図３のサンプルネットワーク２１０の中で同じ振る舞いをすると言える。同様に、ＰＥＣ＃Ｂ～＃Ｄに含まれるパケットヘッダを持つパケットも、それぞれ同じ振る舞いをする。

次に、ネットワークモデル化部１０７は、上の手順で計算されたＰＥＣを、ネットワーク２を表すトポロジグラフ上にラベル付けする。まず、図３のルータ３１のフォワーディングテーブル２１３のエントリとして、送信先アドレスが１３３．２８．１００．０／２８に含まれるパケットをファイアウォール３２にフォワーディングするというエントリがある。そこで、ネットワークモデル化部１０７は、このエントリに対応するmeetsemilatticeの元である元２２１に含まれるＰＥＣをルータ３１からファイアウォール３２に向かう矢印に対して図７に示すようにラベル付けする。図７は、サンプルネットワークに対してＰＥＣをラベル付けした結果を表す図である。ここでは、ネットワークモデル化部１０７は、ＰＥＣの名前をラベルとして使用する。

次に、図３のファイアウォール３２のフィルタリングルール２１４として送信元アドレスが２０２．２４８．１０．０／２４に含まれるパケットを透過するというエントリがある。ネットワークモデル化部１０７は、このエントリに対応するmeetsemilatticeの元２２２に含まれるすべてのＰＥＣをファイアウォールに対してラベル付けする。ネットワークモデル化部１０７は、ファイアウォールに対するラベル付けとして、以下のような処理を行う。例えば、ネットワークモデル化部１０７は、アクションがdenyであるようなパケットを透過させないフィルタリングルールに対応するＰＥＣに関しては、ファイアウォールに対してラベル付けしない。このようにして、ネットワークモデル化部１０７は、図７に示すようにサンプルネットワーク２１０にラベル付けを行う。

なお、図３では簡単のためにフィルタリングルール２１４として送信元アドレス及び送信先アドレスからなるフィルタリング条件を示したが、ＩＰの上位レイヤのプロトコル種別やポート番号などの情報も含めたフィルタリングルールが設定されてもよい。また、図３ではフィルタリングルール２１４はファイアウォール３２を通るすべてのトラフィックに適用されると考えているが、フィルタリングルールは特定のインタフェースの特定の方向のトラフィックに対して適用されるように設定されてもよい。

以上のように、ネットワークモデル化部１０７は、ネットワークから抽出したＰＥＣを用いてネットワークトポロジにラベル付けを行うことで、ネットワーク２のデータプレーンをモデル化してネットワーク２のデータプレーンモデルを生成する。このようなデータプレーンモデルを利用することにより、ネットワーク２の中で振る舞いの異なるフローの数及び各フローがネットワーク２の中の各ネットワーク装置においてどのように振る舞うのかの理解が容易になる。図１に戻って説明を続ける。ネットワークモデル化部１０７は、生成した設定変更前のネットワーク２のデータプレーンモデル及び設定変更後のネットワーク２のデータプレーンモデルを差分抽出部１０９及び影響判定部１１０へ出力する。

差分抽出部１０９は、設定変更前のネットワーク２のデータプレーンモデル及び設定変更後のネットワーク２のデータプレーンモデルの入力をネットワークモデル化部１０７から受ける。そして、差分抽出部１０９は、設定変更前のネットワーク２のデータプレーンモデルと設定変更後のネットワーク２のデータプレーンモデルとの差分を求める。例えば、差分抽出部１０９は、設定変更前後のデータプレーンモデルを比較して、重複するフローを取り除くことで差分抽出を行う。そして、差分抽出部１０９は、追加されたフロー及び削除されたフローを識別することで設定変更前後の差分を求める。次に、差分抽出部１０９は、求めた設定変更前後の差分を用いて、設定変更により影響を受けたフローを抽出する。その後、差分抽出部１０９は、抽出したフローの情報を影響判定部１１０へ出力する。

影響判定部１１０は、設定変更前のネットワーク２のデータプレーンモデル及び設定変更後のネットワーク２のデータプレーンモデルの入力をネットワークモデル化部１０７から受ける。また、影響判定部１１０は、設定変更により影響を受けたフローの情報の入力を差分抽出部１０９から受ける。

次に、影響判定部１１０は、ネットワーク２の設定変更前後のデータプレーンモデルを用いて、設定変更により影響を受けたフローの中から、設定変更前のネットワーク２に存在した通信である既存通信を含む可能性のあるフローを抽出する。ここで抽出されたフローは設定変更により影響を受けたフローの一部であるが、以下では、ここで抽出されたフローを設定変更により影響を受けたフローと呼ぶ。そして、影響判定部１１０は、設定変更により影響を受けたフローによる既存通信に対する影響を判定する。以下に、影響判定部１１０によるフローの抽出処理の詳細について説明する。

影響判定部１１０は、設定変更により影響を受けたフローの中から１つフローを抽出する。以下では、この抽出されたフローを、「判定対象フロー」と呼ぶ。

影響判定部１１０は、設定変更前のデータプレーンモデルにおける差分が検出されたネットワーク装置から判定対象フローをトレースして、判定対象フローの到達先を確認する。そして、影響判定部１１０は、設定変更前のデータプレーンモデルにおいて、判定対象フローがネットワーク２のモデル化範囲外へ進出するか否かを判定する。

ネットワーク２のモデル化範囲外へ進出しない場合、影響判定部１１０は、判定対象フローの到達先が判定対象フローの宛先を含むか否かを判定する。判定対象フローの到達先が判定対象フローの宛先を含まない場合、影響判定部１１０は、設定変更前のネットワーク２における通信では判定対象フローが使用されていないと判定する。そこで、影響判定部１１０は、判定対象フローが既存通信に影響を与えないと判定する。

これに対して、判定対象フローの到達先が判定対象フローの宛先を含む場合、影響判定部１１０は、設定変更後のデータプレーンモデルにおける差分が検出されたネットワーク装置から判定対象フローをトレースして到達先を確認する。そして、影響判定部１１０は、判定対象フローの到達先が、設定変更前後のデータプレーンモデルにおいて一致するか否かを判定する。

判定対象フローの到達先が設定変更前後のデータプレーンモデルにおいて一致する場合、影響判定部１１０は、判定対象フローが既存通信に影響を与えないと判定する。これに対して、判定対象フローの到達先が設定変更前後のデータプレーンモデルにおいて一致しない場合、影響判定部１１０は、判定対象フローが既存通信に影響を与えると判定する。

一方、判定対象フローがネットワーク２のモデル化範囲外へ進出する場合、影響判定部１１０は、設定変更後のデータプレーンモデルにおける差分が検出されたネットワーク装置から判定対象フローをトレースして、判定対象フローの到達先を確認する。そして、影響判定部１１０は、設定変更後のデータプレーンモデルにおいて、範囲外への出口となるネットワーク装置が設定変更前と同じであり、そのネットワーク装置から同じ次ホップアドレスへ判定対象フローが送られるか否かを判定する。

設定変更前後で判定対象フローの出口となるネットワーク装置が同一で、且つ、次ホップアドレスが同じ場合、設定変更前後での判定対象フローの振る舞いは同一と考えられる。そこで、影響判定部１１０は、判定対象フローが既存通信に影響を与えないと判定する。

これに対して、判定対象フローの出口となるネットワーク装置又は次ホップアドレスが異なる場合、設定変更前後での判定対象フローの振る舞いに違いがあると考えられる。そこで、影響判定部１１０は、設定変更前のデータプレーンモデルにおいて判定対象フローが通過するＡＣＬエントリを持つネットワーク装置が存在するか否かを判定する。

判定対象フローが通過するＡＣＬエントリを持つネットワーク装置が存在する場合、設定変更前に判定対象フローに対して直接的に影響が発生するフィルタリングが行われていたといえる。そこで、影響判定部１１０は、判定対象フローが既存通信に影響を与える可能性が高いと判定する。

これに対して、判定対象フローが通過するＡＣＬエントリを持つネットワーク装置が存在しない場合、設定変更前に判定対象フローに対する直接的なフィルタリングが行われていないといえる。ただし、ネットワーク２の範囲外で判定対象フローの宛先アドレスが適切に設定されているかどうかについては判定が困難である。そこで、影響判定部１１０は、判定対象フローの宛先アドレスがネットワーク２の範囲外で適切に設定されているか否かを確認することが好ましいと判定する。

影響判定部１１０は、以上のような判定対象フローによる既存通信に対する影響の判定を、設定変更により影響を受けた全てのフローについて実行する。そして、影響判定部１１０は、設定変更により影響を受け各フローについての判定結果を出力部１１１へ出力する。

出力部１１１は、設定変更により影響を受け各フローによる既存通信に対する影響の判定結果の入力を影響判定部１１０から受ける。そして、出力部１１１は、設定変更により影響を受ける各フローによる既存通信に対する影響の判定結果をネットワーク２の管理者に通知する。ここで、出力部１１１は、設定変更により影響を受ける各フローのうち、全てのフローの情報を管理者に通知してもよいし、既存通信へ影響を与える可能性があると判定されたフローの情報に絞ってネットワーク２の管理者に通知してもよい。

次に、具体的な例を用いて検証手順をさらに詳しく説明する。図８は、検証手順を説明するための１つめのネットワークを表す図である。図８に示したネットワーク２３０は、ルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂを有する。さらに、ルータ３１は、外部ネットワーク５に接続される。範囲２３１が、ネットワーク２３０のデータプレーンモデルを作成するモデル化範囲である。

ルータ３１は、フォワーディングテーブル２３５が設定される。また、ファイアウォール３２Ａは、フォワーディングテーブル２３２及びフィルタリングルール２３４が設定される。また、ファイアウォール３２Ｂは、フォワーディングテーブル２３３及びフィルタリングルール２３６が設定される。また、ルータ３１、ファイアウォール３２Ａ及び３２Ｂのそれぞれの脇に記載したｅ１１～ｅ３３は、それぞれのネットワークインタフェースを表す。また、ネットワーク２３０では、フィルタリングルールが設定されていないインタフェース及び方向については、すべてのパケットが透過する。

ここで、ネットワーク２３０に対して、以下の設定変更要求が存在する場合について説明する。例えば、ファイアウォール３２Ａのインタフェースｅ１２に接続されるサブネットの任意のホストのＴＣＰポート１０２４～６５５３５の範囲のポートから、ファイアウォール３２Ｂのインタフェースｅ３２に新しく設定されるサブネットの先に新設されるサーバのＴＣＰポート４４５の間の通信が新たに開通される。

この設定変更要求に対して、以下の設定変更手順が作成される。例えば、ファイアウォール３２Ｂのインタフェースｅ３２に対して１０．２３．３３．０／２４のアドレスを持つサブネットを割り当てる。また、新設されるサーバにＩＰアドレス１０．３４．３３．４５を割り当てる。設定変更後コンフィグ生成部１０４は、この設定変更手順の入力を設定変更手順入力部１０１から受ける。

設定変更後コンフィグ生成部１０４は、取得した設定変更手順とコンフィグ情報収集部１０５により収集されたルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定変更前の設定情報とから設定変更後の設定情報を生成する。そして、設定変更後テーブル推定部１０３は、設定変更後の設定情報から、図８におけるエントリ２４２が追加されたフォワーディングテーブル２３５及びエントリ２４５が追加されたフォワーディングテーブル２３３を生成する。また、ＡＣＬ抽出部１０８は、設定変更前後のルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定情報から、設定変更前後のフィルタリングルール情報を抽出する。ここで、ＡＣＬ抽出部１０８は、設定変更後にはフィルタリング情報としてエントリ２４３及び２４４を追加する。

ネットワークモデル化部１０７は、図８に示したフォワーディングテーブル２３２，２３３，２３５の設定変更前後の情報、並びに、フィルタリングルール２３４及び２３６の設定変更前後の情報から、図９に示す元を有するmeetsemilatticeを生成する。図９は、１つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図９における元ｎ０００～ｎ０１４は、その行に示された各項目の条件を満たす要素を含む。次に、ネットワークモデル化部１０７は、生成したmeetsemilatticeから、図１０に示すＰＥＣを生成する。図１０は、１つめのネットワークにおけるＰＥＣを表す図である。ここでは、ネットワークモデル化部１０７は、図１０に示すフローＮ０００～Ｎ０１４を表すＰＥＣを生成する。そして、ネットワークモデル化部１０７は、生成したＰＥＣを用いて、図１１に示すネットワーク２３０の設定変更前のデータプレーンモデル２４６及び設定変更後のデータプレーンモデル２４７を生成する。図１１は、１つめのネットワークから生成されるデータプレーンモデルを表す図である。

差分抽出部１０９は、図１２に示すように、データプレーンモデル２４６とデータプレーンモデル２４７との差分２４８を抽出する。図１２は、１つめのネットワークの設定変更前後の差分を表す図である。差分２４８で示されるように、この設定変更によりルータ３１においてフローＮ０１２及びＮ０１４が変化する。また、ファイアウォール３２ＢにおいてフローＮ０１２、Ｎ０１３及びＮ０１４が変化する。さらに、ファイアウォール３２ＡにおいてフローＮ０１２が変化する。これ以外のフローについては設定変更前後で変化がない。そこで、仮にこれらの変化のないフローが既存の通信で利用されていたとしても、通信は設定変更の影響を受けないと考えることができる。そのため、影響判定部１１０は、図１２に示された設定変更により影響を受けたフローＮ０１２～Ｎ０１４以外については、既存通信への影響の判定を行わない。

影響判定部１１０は、変化のあったそれぞれのフローＮ０１２～Ｎ０１４に関してそれぞれのフローが既存通信で使われていたかどうかを推定する。例えば、影響判定部１１０は、ルータ３１においてフローＮ０１２が変化しているので、設定変更前のデータプレーンモデル２４６を使ってルータ３１からフローＮ０１２をトレースする。これにより、影響判定部１１０は、フローＮ０１２がルータ３１からフォワーディングされないことを確認してルータ３１においてフローＮ０１２が廃棄されると判定する。すなわち、影響判定部１１０は、フローＮ０１２はルータ３１の宛先である１０．２３．３３．４５を含むサブネットに到達しないと判定する。そこで、影響判定部１１０は、フローＮ０１２は既存通信で使われておらず、既存通信に影響を与えないと判定する。

同様に、影響判定部１１０は、変化のあったほかのフローＮ０１３及びＮ０１４に関しても設定変更前のデータプレーンモデル２４７を用いてトレースを行う。この場合、影響判定部１１０は、フローＮ０１２～Ｎ０１４のいずれもルータ３１で廃棄されると判定して、既存通信で使われておらず、既存通信に影響を与えないと判定する。以上より、影響判定部１１０は、図８に示したネットワーク２３０の設定変更は、既存の通信に影響を与えないと判定する。

図１３は、検証手順を説明するための２つめのネットワークを表す図である。図１３に示したネットワーク２５０は、ルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂを有する。さらに、ルータ３１は、外部ネットワーク５に接続される。範囲２５１が、ネットワーク２５０のデータプレーンモデルを作成するモデル化範囲である。

ルータ３１は、フォワーディングテーブル２５５が設定される。また、ファイアウォール３２Ａは、フォワーディングテーブル２５２及びフィルタリングルール２５４が設定される。また、ファイアウォール３２Ｂは、フォワーディングテーブル２５３及びフィルタリングルール２５６が設定される。また、ネットワーク２３０では、フィルタリングルールが設定されていないインタフェースおよび方向については、すべてのパケットが透過する。

ここで、ネットワーク２５０に対して、以下の設定変更要求が存在する場合について説明する。例えば、ファイアウォール３２Ａのインタフェースｅ１２に接続されるサブネットの任意のホストのＴＣＰポート１０２４～６５５３５の範囲のポートと、ファイアウォール３２Ｂのインタフェースｅ３２に新しく設定されるサブネットの先に新設されるサーバのＴＣＰポート４４５の間の通信が新たに開通される。

この設定変更要求に対して、以下の設定変更手順が作成される。例えば、ファイアウォール３２Ｂのインタフェースｅ３２に対して１０．２３．１６．１２８／２５のアドレスを持つサブネットを割り当てる。また、新設されるサーバにＩＰアドレス１０．２３．１６．１７３を割り当てる。設定変更後コンフィグ生成部１０４は、この設定変更手順の入力を設定変更手順入力部１０１から受ける。

設定変更後コンフィグ生成部１０４は、取得した設定変更手順とコンフィグ情報収集部１０５により収集されたルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定変更前の設定情報とから設定変更後の設定情報を生成する。そして、設定変更後テーブル推定部１０３は、設定変更後の設定情報から、図１３におけるエントリ２６２が追加されたフォワーディングテーブル２５５を生成する。また、ＡＣＬ抽出部１０８は、設定変更前後のルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定情報から、エントリ２６３、２６４が追加されたフィルタリングルール２５６、およびエントリ２６１が追加されたフィルタリングルール２５４を生成する。

この例は、ファイアウォール３２Ｂのインタフェースｅ３２に新しく設定するサブネットに対してファイアウォール３２Ａのインタフェースｅ１３に割り当てられているサブネットの一部を誤って割り当てることで、既存通信に影響がある場合である。このような誤りは、このネットワーク２５０程度の小さなネットワークでは人手でも容易に見つけることができるが、大きなネットワークでは見つけることが難しい。

このような誤りを見つけるため、ネットワークモデル化部１０７は、図１３に示したフォワーディングテーブル２５２、２５３及び２５５の設定変更前後の情報、並びに、フィルタリングルール２５４及び２５６の設定変更前後の情報から、図１４に示す元を有するmeetsemilatticeを生成する。図１４は、２つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図１４における元ｎ０００～ｎ０１５は、その行に示された各項目の条件を満たす要素を含む。次に、ネットワークモデル化部１０７は、生成したmeetsemilatticeから、図１５に示すＰＥＣを生成する。図１５は、２つめのネットワークにおけるＰＥＣを表す図である。ここでは、ネットワークモデル化部１０７は、図１５に示すフローＮ０００～Ｎ０１５を表すＰＥＣを生成する。そして、ネットワークモデル化部１０７は、生成したＰＥＣを用いて、図１６に示すネットワーク２５０の設定変更前のデータプレーンモデル２６６及び設定変更後のデータプレーンモデル２６７を生成する。図１６は、２つめのネットワークから生成されるデータプレーンモデルを表す図である。

差分抽出部１０９は、図１７に示すように、データプレーンモデル２６６とデータプレーンモデル２６７との差分２６８を抽出する。図１７は、２つめのネットワークの設定変更前後の差分を表す図である。差分２６８で示されるように、この設定変更によりルータ３１においてフローＮ０１２、Ｎ０１４及びＮ０１５が変化する。また、ファイアウォール３２ＢにおいてフローＮ０１２、Ｎ０１３、Ｎ０１４及びＮ０１５が変化する。さらに、ファイアウォール３２ＡにおいてフローＮ０１２が変化する。これ以外のフローについては設定変更前後で変化がない。影響判定部１１０は、差分２６８に示された設定変更により影響を受けたフローＮ０１２～Ｎ０１４以外については、既存通信への影響の判定を行わない。

影響判定部１１０は、変化のあったそれぞれのフローＮ０１２～Ｎ０１５に関してそれぞれのフローが既存通信で使われていたかどうかを推定する。例えば、影響判定部１１０は、ルータ３１においてフローＮ０１２が変化しているので、設定変更前のデータプレーンモデル２６６を使ってルータ３１からフローＮ０１２をトレースする。これにより、影響判定部１１０は、フローＮ０１２がファイアウォール３２Ａのインタフェースｅ１３に送られ、インタフェースｅ１３においてフローＮ０１２の宛先アドレスである１０．２３．１６．１７３／３２を含むサブネットに到達すると判定する。

そして、宛先アドレスが到達先に含まれるため、影響判定部１１０は、フローＮ０１２は既存通信で使われている可能性が大きいと判定する。次に、影響判定部１１０は、同じフローＮ０１２を設定変更後のデータプレーンモデル２６７を使ってルータ３１からトレースする。この場合、影響判定部１１０は、フローＮ０１２がファイアウォール３２Ｂのインタフェースｅ３２に送られ、ファイアウォール３２ＢにおいてフローＮ０１２の宛先アドレスである１０．２３．１６．１７３／３２を含むサブネットに到達すると判定する。そこで、影響判定部１１０は、既存通信で使われている可能性が高いフローＮ０１２の到達先が変化していることから、フローＮ０１２に関する設定変更は既存通信に影響を与えると判定する。そして、影響判定部１１０は、影響を受ける既存通信はフローＮ０１２に含まれる通信であると特定する。

また、例えばフローＮ０１５であれば、影響判定部１１０は、設定変更前のデータプレーンモデル２６６を使ってフローＮ０１５をトレースする。これにより、影響判定部１１０は、図１６に示すデータプレーンモデル２６６における破線矢印で示すようにフローＮ０１５がファイアウォール３２Ｂ、ルータ３１及びファイアウォール３２Ａを経由して宛先アドレスである１０．２３．１６．０／２４を含むサブネットに到達すると判定する。

そして、宛先アドレスが到達先に含まれるため、影響判定部１１０は、フローＮ０１５は既存通信で使われている可能性が大きいと判定する。次に、影響判定部１１０は、同じフローＮ０１５を設定変更後のデータプレーンモデル２６７を使ってトレースする。この場合、影響判定部１１０は、図１６におけるデータプレーンモデル２６６における破線矢印で示すようにフローＮ０１５が、ルータ３１を超えずに、ファイアウォール３２ＢにおいてフローＮ０１５の宛先アドレスである１０．２３．１６．１２８／２５を含むサブネットに到達すると判定する。そこで、影響判定部１１０は、既存通信で使われている可能性が高いフローＮ０１５の到達先が変化していることから、フローＮ０１５に関する設定変更は既存通信に影響を与えると判定する。そして、影響判定部１１０は、影響を受ける既存通信はフローＮ０１５に含まれる通信であると特定する。

同様に、影響判定部１１０は、変化のあった他のフローＮ０１３及びＮ０１４に関しても検証を行い、フローＮ０１４についても既存通信に影響があると判定する。この場合、ネットワーク２の管理者は、影響判定部１１０による判定結果を受けて、フローＮ０１２、Ｎ０１４及びＮ０１５に影響を与えないように設定変更手順を修正することが好ましい。

図１８は、検証手順を説明するための３つめのネットワークを表す図である。図１８に示したネットワーク２７０は、ルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂを有する。さらに、ルータ３１は、外部ネットワーク５に接続される。範囲２７１が、ネットワーク２７０のデータプレーンモデルを作成するモデル化範囲である。

ルータ３１は、フォワーディングテーブル２７５が設定される。また、ファイアウォール３２Ａは、フォワーディングテーブル２７２及びフィルタリングルール２７４が設定される。また、ファイアウォール３２Ｂは、フォワーディングテーブル２７３及びフィルタリングルール２７６が設定される。また、ネットワーク２７０では、フィルタリングルールが設定されていないインタフェースおよび方向については、すべてのパケットが透過する。

ここで、ネットワーク２７０に対して、以下の設定変更要求が存在する場合について説明する。例えば、ルータ３１のインタフェースｅ２３に接続される外部ネットワーク５の中の１０．２３．６５．０／２４のサブネットの任意のホストのＴＣＰポート１０２４～６５５３５の範囲のポートから、ファイアウォール３２Ｂのインタフェースｅ３２に新しく設定されるサブネットの先に新設されるサーバのＴＣＰポート４４３の間の通信が新たに開通される。

この設定変更要求に対して、以下の設定変更手順が作成される。例えば、ファイアウォール３２Ｂのインタフェースｅ３２に対して１０．２３．６４．０／２４のアドレスを持つサブネットを割り当てる。また、新設されるサーバにＩＰアドレス１０．２３．６４．５０を割り当てる。設定変更後コンフィグ生成部１０４は、この設定変更手順の入力を設定変更手順入力部１０１から受ける。

設定変更後コンフィグ生成部１０４は、取得した設定変更手順とコンフィグ情報収集部１０５により収集されたルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定変更前の設定情報とから設定変更後の設定情報を生成する。そして、設定変更後テーブル推定部１０３は、設定変更後の設定情報から、図１８におけるエントリ２８１が追加されたフォワーディングテーブル２７５及びエントリ２８４が追加されたフォワーディングテーブル２７３を生成する。また、ＡＣＬ抽出部１０８は、設定変更前後のルータ３１、並びに、ファイアウォール３２Ａ及び３２Ｂの設定情報から、設定変更前後のフィルタリングルール情報を抽出する。ここで、ＡＣＬ抽出部１０８は、設定変更後にはフィルタリング情報としてエントリ２８２及び２８３を追加する。

この例は、ファイアウォール３２Ｂのインタフェースｅ３２に新しく設定するサブネットに対してルータ３１のインタフェースｅ２３の先にある外部ネットワーク５で使用されている可能性のあるサブネットの一部を誤って割り当てることで、既存通信に影響があるかもしれない場合である。このような既存通信に影響が発生する可能性のある変更は、このネットワーク２７０程度の小さなネットワークでは人手でも容易に見つけることができるが、大きなネットワークでは見つけることが難しい。

このような誤りを見つけるため、ネットワークモデル化部１０７は、図１８に示したフォワーディングテーブル２７２，２７３，２７５の設定変更前後の情報、並びに、フィルタリングルール２７４及び２７６の設定変更前後の情報から、図１９に示す元を有するmeetsemilatticeを生成する。図１９は、３つめのネットワークから生成されるmeetsemilatticeの元を表す図である。図１９における元ｎ０００～ｎ０１８は、その行に示された各項目の条件を満たす要素を含む。次に、ネットワークモデル化部１０７は、生成したmeetsemilatticeから、図２０に示すＰＥＣを生成する。図２０は、３つめのネットワークにおけるＰＥＣを表す図である。ここでは、ネットワークモデル化部１０７は、図２０に示すフローＮ０００～Ｎ０１８を表すＰＥＣを生成する。そして、ネットワークモデル化部１０７は、生成したＰＥＣを用いて、図２１に示すネットワーク２７０の設定変更前のデータプレーンモデル２８５及び設定変更後のデータプレーンモデル２８６を生成する。図２１は、３つめのネットワークから生成されるデータプレーンモデルを表す図である。

差分抽出部１０９は、図２２に示すように、データプレーンモデル２８５とデータプレーンモデル２８６との差分２８７を抽出する。図２２は、３つめのネットワークの設定変更前後の差分を表す図である。差分２８７で示されるように、この設定変更によりルータ３１においてフローＮ００６、Ｎ０１１、Ｎ０１５及びＮ０１８が変化する。また、ファイアウォール３２ＢにおいてフローＮ００６、Ｎ０１１、Ｎ０１５、Ｎ０１７及びＮ０１８が変化する。これ以外のフローについては設定変更前後で変化がない。影響判定部１１０は、図２２に示された設定変更により影響を受けたフローＮ００６、Ｎ０１１、Ｎ０１５、Ｎ０１７及びＮ０１８以外については、既存通信への影響の判定を行わない。

影響判定部１１０は、変化のあったそれぞれのＮ００６、Ｎ０１１、Ｎ０１５、Ｎ０１７及びＮ０１８に関してそれぞれのフローが既存通信で使われていたかどうかを推定する。例えば、影響判定部１１０は、ルータ３１においてフローＮ０１１が変化しているので、設定変更前のデータプレーンモデル２８５を使ってルータ３１からフローＮ０１１をトレースする。これにより、影響判定部１１０は、フローＮ０１１がルータ３１のインタフェースｅ２３から外部ネットワーク５に送られることを確認する。

次に、影響判定部１１０は、同じフローＮ０１１を設定変更後のデータプレーンモデル２８６を使ってルータ３１からトレースする。これにより、影響判定部１１０は、フローＮ０１１がルータ３１のインタフェースｅ２３から外部ネットワーク５に送られるものとファイアウォール３２Ｂのサブネットに到達するものの２つに分かれることを確認する。これにより、影響判定部１１０は、フローＮ０１１の到達先が設定変更前後で変化したことと判定する。

影響判定部１１０は、データプレーンモデル２８５の中でフローＮ０１１はファイアウォール３２Ａを透過することを確認する。これにより、フローＮ０１１が既存通信で使用された可能性がある。既存通信での使用の可能性があるフローＮ０１１が設定変更前後で変化したことから、影響判定部１１０は、外部ネットワーク５の管理者へのフローＮ０１１の利用状態の問い合わせ、あるいはネットワーク２７０の管理者への設定変更手順をフローＮ０１１に影響を与えないものに変える通知のいずれかの対応を決定する。

同様に、影響判定部１１０は、変化のあった他のフローＮ００６、Ｎ０１５、Ｎ０１７及びＮ０１８に関しても検証を行い、既存通信への影響を判定する。

次に、図２３を参照して、本実施例に係るネットワーク検証装置１による検証処理の全体の流れについて説明する。図２３は、実施例１に係るネットワーク検証装置による検証処理全体のフローチャートである。

コンフィグ情報収集部１０５は、ネットワーク２の中のルータ３１やファイアウォール３２といったネットワーク装置から設定変更前の設定情報を収集する。また、テーブル情報収集部１０６は、ネットワーク装置からフォワーディングテーブルに格納されたフォワーディング情報を収集する（ステップＳ１）。

設定変更後コンフィグ生成部１０４は、設定変更前の設定情報をコンフィグ情報収集部１０５から取得する。設定変更後コンフィグ生成部１０４は、ネットワーク２における各ネットワーク装置に対する設定変更手順を設定変更手順入力部１０１から取得する（ステップＳ２）。

次に、設定変更後コンフィグ生成部１０４は、設定変更前の設定情報及び設定変更手順から設定変更後の設定情報を取得する（ステップＳ３）。

設定変更後テーブル推定部１０３は、設定変更後の設定情報を設定変更後コンフィグ生成部１０４から取得する。そして、設定変更後テーブル推定部１０３は、設定変更後の設定情報からシミュレーションにより設定変更後のフォワーディングテーブルを推定する（ステップＳ４）。

ＡＣＬ抽出部１０８は、設定変更前の設定情報をコンフィグ情報収集部１０５から取得する。また、ＡＣＬ抽出部１０８は、設定変更後の設定情報を設定変更後コンフィグ生成部１０４から取得する。その後、ＡＣＬ抽出部１０８は、設定変更前後の設定情報から設定変更前のＡＣＬ及び設定変更後のＡＣＬの情報を抽出する（ステップＳ５）。

ネットワークモデル化部１０７は、設定変更前のフォワーディング情報をテーブル情報収集部１０６から取得する。また、ネットワークモデル化部１０７は、ＡＣＬ抽出部１０８により抽出された設定変更前のＡＣＬから設定変更前のフィルタリング情報を取得する。そして、ネットワークモデル化部１０７は、設定変更前のフォワーディング情報及びフィルタリング情報からネットワーク２の設定変更前のデータプレーンモデルを生成する（ステップＳ６）。

次に、ネットワークモデル化部１０７は、設定変更後のフォワーディング情報を設定変更後テーブル推定部１０３により推定された設定変更後のフォワーディングテーブルから取得する。また、ネットワークモデル化部１０７は、ＡＣＬ抽出部１０８により抽出された設定変更後のＡＣＬから設定変更後のフィルタリング情報を取得する。そして、ネットワークモデル化部１０７は、設定変更後のフォワーディング情報及びフィルタリング情報からネットワーク２の設定変更後のデータプレーンモデルを生成する（ステップＳ７）。

差分抽出部１０９は、設定変更前後のデータプレーンモデルをネットワークモデル化部１０７から取得する。そして、差分抽出部１０９は、設定変更前のデータプレーンモデルと設定変更後のデータプレーンモデルの差分を求める（ステップＳ８）。

影響判定部１１０は、データプレーンモデルの設定変更前後の差分を差分抽出部１０９から取得する。そして、影響判定部１１０は、設定変更前後の差分から設定変更により変化したフローを特定する。その後、影響判定部１１０は、設定変更により変化したフローによる既存通信への影響を判定する（ステップＳ９）。

出力部１１１は、設定変更により変化したフローによる既存通信への影響の判定結果を影響判定部１１０から取得する。そして、出力部１１１は、設定変更により変化したフローによる既存通信への影響の判定結果をネットワーク２の管理者に通知する（ステップＳ１０）。

次に、図２４を参照して、データプレーンモデル作成処理の流れについて説明する。図２４は、データプレーンモデル作成処理のフローチャートである。図２４のフローチャートで示した処理は、図２３におけるステップＳ６及びＳ７で実行される処理の一例にあたる。

ネットワークモデル化部１０７は、ネットワーク２に含まれる各ネットワーク装置のフォワーディング情報及びフィルタリング情報の全てのエントリを元として含むmeetsemilatticeを生成する（ステップＳ１０１）。

次に、ネットワークモデル化部１０７は、生成したmeetsemilatticeの各元の親子関係を特定する（ステップＳ１０２）。

次に、ネットワークモデル化部１０７は、meetsemilattice1における親の元から、その元に対応する子の元の和を減産してＰＥＣを生成する（ステップＳ１０３）。

次に、ネットワークモデル化部１０７は、生成したＰＥＣをネットワーク２のトポロジグラフにラベル付けしてデータプレーンモデルを生成する（ステップＳ１０４）。

次に、図２５Ａ及び図２５Ｂを参照して、影響判定部１１０による既存通信への影響判定処理の流れを説明する。図２５Ａは、既存通信への影響判定処理の第１のフローチャートである。図２５Ｂは、既存通信への影響判定処理の第２のフローチャートである。図２５Ａ及び２５Ｂのフローチャートで示した処理は、図２３におけるステップＳ９で実行される処理の一例にあたる。

影響判定部１１０は、設定変更により変化があったフローの中から判定対象フローを１つ選択する（ステップＳ２０１）。

次に、影響判定部１１０は、設定変更前のネットワーク２のデータプレーンモデルを用いて、差分が検出されたネットワーク装置から判定対象フローをトレースして、判定対象フローの到達先を確認する（ステップＳ２０２）。

次に、影響判定部１１０は、設定変更前のデータプレーンモデルにおける判定対象フローの到達先から、設定変更前のデータプレーンモデルにおいて判定対象フローがネットワーク２のモデル化範囲外へ進出したか否かを判定する（ステップＳ２０３）。

判定対象フローがモデル化範囲外へ進出しない場合（ステップＳ２０３：否定）、影響判定部１１０は、判定対象フローの到達先に、その判定対象フローの宛先が含まれるか否かを判定する（ステップＳ２０４）。判定対象フローの到達先にその判定対象フローの宛先が含まれない場合（ステップＳ２０４：否定）、影響判定部１１０による影響判定処理はステップＳ２０８へ進む。

これに対して、判定対象フローの到達先にその判定対象フローの宛先が含まれる場合（ステップＳ２０４：肯定）、影響判定部１１０は、設定変更後のネットワーク２のデータプレーンモデルを用いて、差分が検出されたネットワーク装置から判定対象フローをトレースして、判定対象フローの到達先を確認する（ステップＳ２０５）。

次に、影響判定部１１０は、設定変更前後で判定対象フローの到達先が一致するか否かを判定する（ステップＳ２０６）。

設定変更前後で判定対象フローの到達先が一致しない場合（ステップＳ２０６：否定）、影響判定部１１０は、判定対象フローの変更は既存通信に影響を与えると判定する（ステップＳ２０７）。その後、処理はステップＳ２１４へ進む。

判定対象フローの到達先に宛先が含まれない場合（ステップＳ２０４：否定）、影響判定部１１０は、判定対象フローの変更は既存通信に影響を与えないと判定する（ステップＳ２０８）。同様に、設定変更前後で判定対象フローの到達先が一致する場合（ステップＳ２０６：肯定）、影響判定部１１０は、判定対象フローの変更は既存通信に影響を与えないと判定する（ステップＳ２０８）。その後、処理はステップＳ２１４へ進む。

一方、判定対象フローがモデル化範囲外へ進出する場合（ステップＳ２０３：肯定）、影響判定部１１０は、図２５ＢのステップＳ２０９へ進み、以下の処理を実行する。影響判定部１１０は、設定変更後のネットワーク２のデータプレーンモデルを用いて、差分が検出されたネットワーク装置から判定対象フローをトレースして、判定対象フローの到達先を確認する（ステップＳ２０９）。

次に、影響判定部１１０は、判定対象フローのモデル化範囲外への出口となるネットワーク装置が設定変更前後で同一であり、そのネットワーク装置からの判定対象フローの次ホップアドレスが同一か否かを判定する（ステップＳ２１０）。

モデル化範囲外への出口となるネットワーク装置及び次ホップアドレスが同一の場合（ステップＳ２１０：肯定）、影響判定部１１０は、図２５ＡのステップＳ２０８へ進み、判定対象フローの変更は既存通信に影響を与えないと判定する。

モデル化範囲外への出口となるネットワーク装置又は次ホップアドレスが異なる場合（ステップＳ２１０：否定）、影響判定部１１０は、以下の処理を実行する。影響判定部１１０は、設定変更前のデータプレーンモデルにおいて判定対象フローが透過するＡＣＬエントリを持つネットワーク装置が存在するか否かを判定する（ステップＳ２１１）。

判定対象フローが透過するＡＣＬエントリを持つネットワーク装置が存在しない場合（ステップＳ２１１：否定）、影響判定部１１０は、判定対象フローの宛先アドレスの外部ネットワークにおける使用状態の確認の推奨を決定する（ステップＳ２１２）。その後、処理は図２５ＡのステップＳ２１４へ進む。

判定対象フローが透過するＡＣＬエントリを持つネットワーク装置が存在する場合（ステップＳ２１１：肯定）、影響判定部１１０は、判定対象フローの変更が既存通信に影響を与える可能性が高いと判定する（ステップＳ２１３）。その後、処理は図２５ＡのステップＳ２１４へ進む。

影響判定部１１０は、設定変更により変化があった全てのフローについて判定が終了したか否かを判定する（ステップＳ２１４）。判定を行っていないフローが残っている場合（ステップＳ２１４：否定）、影響判定部１１０は、ステップＳ２０１へ進む。これに対して、全てのフローについて判定が終了した場合（ステップＳ２１４：肯定）、影響判定部１１０は、既存通信への影響判定処理を終了する。

以上に説明したように、本実施例に係るネットワーク検証装置は、ネットワーク装置の設定情報及びフォワーディングテーブルの情報から、ネットワーク内での動作が同じになるフローを抽出してネットワークをモデル化する。そして、ネットワーク検証装置は、生成したモデル上で設定変更前と設定変更後で変化のなかったフローについては設定変更の影響を受けていないものとして検証対象から外す。その後、ネットワーク検証装置は、設定変更前のＩＰネットワークのモデルを用いてそれぞれのフローが既存通信で利用されていたかどうかを推定する。これにより、検証にかかる時間が設定変更前のＩＰネットワークで利用されていた既存通信の量に依存して長くなることを回避できる。また、既存通信のリストがなくてもより網羅的な既存通信への影響の確認が実行できる。したがって、網羅的かつ効率性の高いネットワーク検証を行うことができる。

次に、実施例２について説明する。キャリアネットワークなどでは、顧客との契約に基づき、回線や拠点の追加及び削除や、回線増速などに伴う収容変更などが頻繁に行われる。これらの作業をミスなく行うため、ネットワークの変更を事前に検証して、既存通信に影響が出ないことを確認することが好ましい。しかし、この既存通信への影響の確認を人手で行う場合、網羅的に行うことは難しく、また、ヒューマンエラーを生じるおそれがある。

例えば、収容変更の場合、キャリア側の古い顧客収容ルータ（ＰＥ：Provider Edge Router）の旧拠点向けの設定削除と、新しい顧客収容ルータの新拠点向けの設定追加という２つの作業手順が連続して行われる。そこで、収容変更時にネットワーク検証を行う場合、旧拠点の削除と新拠点の追加とを順を追って検証することになる。また、収容変更が行われるネットワークにおけるフローの中には、設定変更後に変化するフローと、設定変更後に変化してはいけないフローが存在する。

実施例１のネットワーク検証装置では、１回の検証で１回の作業に対するネットワーク検証が行われて検証が終了する。これに対して、回線や拠点の追加削除及び収容変更の場合、上述したように２回の作業手順が行われる。そのため、実施例１のネットワーク検証装置では、実施例１で説明した検証を２回繰り返すことになる。この方法では、１回目の設定変更を行った後のネットワークに対して、２回目の設定変更の検証を行うことになる。そのため、２回目の検証では、１回目の作業で行われた設定変更を追加したネットワーク情報を手動で生成したうえで、新拠点の追加検証が行われることになる。また、収容変更の場合、旧拠点を通過するフローが全て新拠点経由に変更されたかを検証することが好ましい。しかしながら、実施例１のネットワーク検証装置を用いた場合、１回目の検証と２回目の検証とは別個に実行されるため、ＰＥＣの情報も変わるおそれがある。そのため、１回目の検証におけるＰＥＣと２回目の検証におけるＰＥＣとを管理者が目で照合して、旧拠点を通過するフローが全て新拠点経由に変更されたかを検証することになる。このような理由から、複数の設定変更が連続して行われそれぞれについて検証を行う場合、実施例１のネットワーク検証装置では、収容変更の検証において多くの工数がかかってしまい効率がよくない。

図２６は、収容変更及び拠点変更の一例を表す図である。例えば、キャリアネットワーク３００及び顧客拠点３０１～３０３を含む複数の顧客拠点が存在する場合で説明する。顧客拠点３０１は、顧客側のキャリア接続ルータ（ＣＥ：Customer Edge Router）３１１と顧客収容ルータ３２１とを用いて１００Ｍｂ／ｓの回線速度でキャリアネットワーク３００に繋がる。そこで、収容変更を実行して、キャリア接続ルータ３１２と顧客収容ルータ３２１とを用いて１Ｇｂ／ｓの回線速度で顧客拠点３０１がキャリアネットワーク３００に接続されるように変更する。

また、顧客拠点や回線の追加及び削除は次のように行われる。例えば、顧客側のキャリア接続ルータ３１３と顧客収容ルータ３２３とを用いてキャリアネットワーク３００と顧客拠点３０３とを繋げる回線が削除される。そして、顧客側のキャリア接続ルータ３１４と顧客収容ルータ３２４とを用いてキャリアネットワーク３００と顧客拠点３０４とを繋げる回線が新たに追加される。

以上に説明した作業は、複数の設定変更が連続して行われ、それぞれの設定変更が適切に行われたかが順次確認されることが好ましい。そこで、以下では、顧客拠点３０１の収容変更を例に、本実施例に係るネットワーク検証装置１の動作を説明する。本実施例に係るネットワーク検証装置１も図１のブロック図で表される。ただし、ここでのキャリアネットワーク３００が図１のネットワーク２にあたる。以下の説明では、実施例１の各部の動作と同じ動作については説明を省略する。以下の説明では、収容変更における顧客収容ルータ３２１の削除を「第１の設定変更」といい、顧客収容ルータ３２２の追加を「第２の設定変更」という。さらに、第１の設定変更前のキャリアネットワーク３００の状態を「初期状態」という。

第１の設定変更のネットワーク検証において、ネットワークモデル化部１０７は、初期状態のネットワーク装置のフォワーディング情報及びフィルタリング情報を用いて、第１の設定変更前のキャリアネットワーク３００のデータプレーンモデルを生成する。また、ネットワークモデル化部１０７は、第１の設定変更後のネットワーク装置のフォワーディング情報及びフィルタリング情報を用いて、第１の設定変更後のキャリアネットワーク３００のデータプレーンモデルを生成する。そして、ネットワークモデル化部１０７は、第１の設定変更前後のデータプレーンモデルを差分抽出部１０９へ出力する。そして、ネットワークモデル化部１０７は、第１の設定変更後のデータプレーンモデルを保持する。

第１の設定変更のネットワーク検証が完了後の第２の設定変更のネットワーク検証において、ネットワークモデル化部１０７は、生成した第１の設定変更後のデータプレーンモデルを、第２の設定変更前のキャリアネットワーク３００のデータプレーンモデルとする。また、ネットワークモデル化部１０７は、第２の設定変更後のネットワーク装置のフォワーディング情報及びフィルタリング情報を用いて、第２の設定変更後のキャリアネットワーク３００のデータプレーンモデルを生成する。そして、ネットワークモデル化部１０７は、第２の設定変更前後のデータプレーンモデルを差分抽出部１０９へ出力する。

第１の設定変更のネットワーク検証において、差分抽出部１０９は、第１の設定変更前後のデータプレーンモデルをネットワークモデル化部１０７から取得する。そして、差分抽出部１０９は、第１の設定変更前後のデータプレーンモデルの差分を抽出する。その後、差分抽出部１０９は、抽出した第１の設定変更前後のデータプレーンモデルの差分を影響判定部１１０へ出力する。

次に、第１の設定変更のネットワーク検証が完了後の第２の設定変更のネットワーク検証において、差分抽出部１０９は、第２の設定変更前後のデータプレーンモデルをネットワークモデル化部１０７から取得する。そして、差分抽出部１０９は、第２の設定変更前後のデータプレーンモデルの差分を抽出する。その後、差分抽出部１０９は、抽出した第２の設定変更前後のデータプレーンモデルの差分を影響判定部１１０へ出力する。

第１の設定変更のネットワーク検証において、影響判定部１１０は、第１の設定変更前後のデータプレーンモデルの差分の入力を差分抽出部１０９から受ける。そして、影響判定部１１０は、第１の設定変更により変化したフローを記憶する。次に、影響判定部１１０は、第１の設定変更前後のデータプレーンモデルを用いて、第１の設定変更により変化したフローの既存通信への影響を判定する。

その後、影響判定部１１０は、収容変更の処理が完了したか否かを判定する。例えば、影響判定部１１０は、連続する設定変更の回数を予め保持し、検証を実行した回数が設定変更の回数に達した場合に処理が完了したと判定する。

収容変更の処理が完了していない場合、影響判定部１１０は、第２の設定変更のネットワーク検証を行う。具体的には、影響判定部１１０は、第２の設定変更前後のデータプレーンモデルの差分の入力を差分抽出部１０９から受ける。そして、影響判定部１１０は、第２の設定変更により変化したフローを記憶する。次に、影響判定部１１０は、第２の設定変更前後のデータプレーンモデルを用いて、第２の設定変更により変化したフローの既存通信への影響を判定する。

収容変更の処理が完了した場合、影響判定部１１０は、第１の設定変更により変化したフローと第２の設定変更により変化したフローとを照合する。ここで、収容変更におけるフローの変化について図２７を参照して説明する。図２７は、収容変更を行った場合のフローの変化を説明するための図である。

キャリアネットワーク３００では、例えば、遷移４０１に示すフロー３３１及び３３２が存在する。遷移４０１における設定変更４１１が第１の設定変更を表し、設定変更４１２が第２の設定変更を表す。フロー３３１は、第１の設定変更である設定変更４１１の前に、キャリア接続ルータ３１１から送出され、顧客収容ルータ３２１及びネットワーク装置３２５を介してキャリアネットワーク３００を通過する。また、フロー３３２は、設定変更４１１の前に、ネットワーク装置３２６及び顧客収容ルータ３２１を介してキャリアネットワーク３００を通過してキャリア接続ルータ３１１に到達する。

第１の設定変更である設定変更４１１によりキャリア接続ルータ３１１が削除されると、フロー３３１及び３３２は、到達先が存在しなくなる。その後、第２の設定変更である設定変更４１２によりキャリア接続ルータ３１２が追加されると、フロー３３１は、キャリア接続ルータ３１２から送出され、顧客収容ルータ３２２及びネットワーク装置３２５を介してキャリアネットワーク３００を通過する。また、フロー３３２は、ネットワーク装置３２６及び顧客収容ルータ３２２を介してキャリアネットワーク３００を通過してキャリア接続ルータ３１２に到達する。

このように、フロー３３１及び３３２は、この収容変更においては２回の設定変更前後で変化することが求められる。さらに、設定変更４１１の前にキャリア接続ルータ３１１を通過するフロー３３１が全て、設定変更４１２の後にキャリア接続ルータ３１２を通過することが求められる。

また、キャリアネットワーク３００では、例えば、遷移４０２に示すように、ネットワーク装置３２５及び３２６を経由してキャリアネットワーク３００を追加するフロー３３３が存在する。フロー３３３は、遷移４０２に示すように、設定変更４１１と設定変更４１２とのいずれが行われても、変化しないことが求められる。

そこで、影響判定部１１０は、記憶した第１の設定変更により変化したフローと第２の設定変更により変化したフローのうち変化しないことが求められるフローを抽出する。そして、影響判定部１１０は、既存通信への影響の判定結果を用いて、変化しないことが求められるフローに関して変化の有無を確認する。そして、影響判定部１１０は、変化がないフローについては既存通信への影響がないと判定する。これに対して、影響判定部１１０は、変化が発生したフローについては既存通信への影響があると判定する。

また、影響判定部１１０は、記憶した第１の設定変更により変化したフローと第２の設定変更により変化したフローのうち変化することが求められるフローを抽出する。そして、影響判定部１１０は、収容変更によるフローの変化の条件を満たすか否かを判定する。例えば、影響判定部１１０は、第１の設定変更前にキャリア接続ルータ３１１を通過するフローが全て、第２の設定変更後にキャリア接続ルータ３１２を通過するか否かを判定する。収容変更によるフローの変化の条件を満たすフローについては、影響判定部１１０は、正常と判定する。これに対して、収容変更によるフローの変化の条件を満たさないフローについては、影響判定部１１０は、異常が発生した判定する。その後、影響判定部１１０は、判定結果を出力部１１１へ出力する。

次に、図２８を参照して、本実施例に係るネットワーク検証装置１による検証処理の流れについて説明する。図２８は、実施例２に係るネットワーク検証装置１による検証処理のフローチャートである。

ネットワークモデル化部１０７は、キャリアネットワーク３００のネットワーク装置のフォワーディング情報及びフィルタリング情報を用いて、設定変更前のキャリアネットワーク３００のデータプレーンモデルを生成する（ステップＳ３０１）。

次に、設定変更前の旧キャリア接続ルータの削除による設定変更が設定変更手順にしたがって実行される（ステップＳ３０２）。

次に、ネットワークモデル化部１０７は、設定変更後のネットワーク装置のフォワーディング情報及びフィルタリング情報を用いて、設定変更後のキャリアネットワーク３００のデータプレーンモデルを生成する（ステップＳ３０３）。

差分抽出部１０９は、設定変更前後のデータプレーンモデルをネットワークモデル化部１０７から取得する。そして、差分抽出部１０９は、第１の設定変更前後のデータプレーンモデルの差分を抽出する（ステップＳ３０４）。

影響判定部１１０は、設定変更前後のデータプレーンモデルの差分の入力を差分抽出部１０９から受ける。そして、影響判定部１１０は、設定変更により変化したフローを記憶する（ステップＳ３０５）。

次に、影響判定部１１０は、設定変更前後のデータプレーンモデルを用いて、設定変更により変化したフローの既存通信への影響を判定する（ステップＳ３０６）。

その後、影響判定部１１０は、収容変更処理が完了したか否かを判定する（ステップＳ３０７）。収容変更処理が完了していない場合（ステップＳ３０７：否定）、ネットワークモデル化部１０７は、旧キャリア接続ルータの削除後のデータプレーンモデルを設定変更前のデータプレーンモデルとする（ステップＳ３０８）。

次に、新キャリア接続ルータの追加による設定変更が設定変更手順にしたがって実行される（ステップＳ３０９）。その後、ネットワーク検証処理は、ステップＳ３０３へ戻る。

これに対して、収容変更処理が完了した場合（ステップＳ３０７：肯定）、影響判定部１１０は、変化したフローの照合を行う（ステップＳ３１０）。これにより、影響判定部１１０は、設定変更による影響を判定する。その後、出力部１１１は、影響判定部１１０による判定結果を管理者に通知する。

以上に説明したように、本実施例に係るネットワーク検証装置は、連続して行われる設定変更について、１つの前の設定変更後のデータプレーンモデルを次の設定変更前のデータプレーンモデルとして使用して、設定変更毎にネットワーク検証を行う。さらに、本実施例に係るネットワーク検証装置は、各設定変更で変化したフローを照合して、変化が求められるフローについては、フローの変化の条件を満たすか否かにより設定変更の成否を判定する。これにより、連続して設定変更が行われ且つそれぞれの設定変更についてネットワーク検証を行う場合に、検証毎に既存ネットワークの生成及びインプットを行わなくてもよく、ネットワーク検証を効率的に行うことが可能となる。

次に、実施例３について説明する。ネットワークには、ＮＡＴ（Network Address Translation）のようなアドレス変換を行うアドレス変換装置が存在する場合がある。このようなネットワークにおいて、アドレス変換機能を考慮しないと、アドレス変換装置を通過する前後でＰＥＣの連続が切れてしまい、ＰＥＣの到達性の追跡が困難となる。そこで、このようなネットワークにおいては、パケットがアドレス変換装置を通過する際のアドレス変換を考慮してモデル化することが重要となる。

アドレス変換機能を考慮した検証を行うために、ＰＥＣの宛先アドレスがアドレス変換機能で用いられる変換ルールで対象とされるアドレスに一致する場合に、アドレス変換装置によりアドレス変換が行われた後のフローの情報としてそのＰＥＣの情報を追加する方法が考えられる。この方法を用いることで、アドレス変換機能を含むネットワークにおいても到達性が検証可能となる。

ここで、アドレス変換機能は、イントラネットなどの内部ネットワークから送出され且つ外部ネットワークから戻ってきたフローのみを通過させることを目的とする場合がある。言い換えれば、この場合のアドレス変換機能は、内部ネットワークで開始されたフローが外部ネットワーク側から戻ってきた場合に通過させる機能といえる。また、アドレス変換機能は、例えばプライベートアドレスを１つのグローバルアドレスに変換して共有することで、グローバルアドレスを節約する目的がある一方で、内部ネットワークを外部ネットワークから隠ぺいする目的もある。

すなわち、この場合のアドレス変換機能は、内部ネットワークから送信されて外部ネットワークから戻ってきたフローを通過させ、外部ネットワークから開始されたフローは遮断することが求められる。しかし、単にアドレス変換が行われた後のフローの情報としてアドレス変換前のＰＥＣの情報を追加した場合、外部ネットワークから開始されたフローも到達性ありと判定されるおそれがある。

そこで、本実施例に係るネットワーク検証装置は、アドレス変換機能の目的に応じた通信を考慮して検証を行う。本実施例に係るネットワーク検証装置１も図１のブロック図で表される。以下の説明では、実施例１の各部の機能と同じ機能については説明を省略する場合がある。

図２９は、アドレス変換装置が配置されたネットワークの一例の図である。ここでは、端末５０１がアドレス変換装置５０３と内部ネットワークで接続される。また、アドレス変換装置５０３と端末５０２とが外部ネットワークで接続される。すなわち、アドレス変換装置５０３を境に、端末５０１が配置されたシステムが内部ネットワーク側のシステムであり、端末５０２が配置されたシステムが外部ネットワーク側のシステムである。内部ネットワークが「第１ネットワーク」の一例にあたり、外部ネットワークが「第２ネットワーク」の一例にあたる。

アドレス変換装置５０３は、例えばＮＡＴである。ここで、アドレス変換装置５０３の動作を説明する。以下では、内部ネットワーク側の端末５０１が送信したパケットの通信及びそのパケットに対する外部ネットワーク側の端末５０２からの返信のパケットの通信を「往復通信」と呼ぶ。また、内部ネットワーク側の端末５０１又は外部ネットワーク側の端末５０２のいずれかから開始され返信のパケットを要求しない通信を「片側通信」と呼ぶ。

往復通信において、アドレス変換装置５０３は、端末５０１から出力されたパケット５１１を受信する。このパケット５１１は、宛先の端末５０２からの返信を要求するパケットである。そして、アドレス変換装置５０３は、予め設定された変換ルールにしたがい、パケット５１１に格納された内部ネットワークにおける送信元アドレスを外部ネットワークにおける送信元アドレスに変換する。例えば、アドレス変換装置５０３は、内部ネットワークにおける送信元アドレスであるＩＰ１を、外部ネットワークにおける送信元アドレスであるＩＰ２に変換する。そして、アドレス変換装置５０３は、送信元アドレスをＩＰ２に変換したパケット５１２を宛先アドレスであるＩＰ３を有する端末５０２へ送信する。

その後、アドレス変換装置５０３は、端末５０１が送信したパケット５１１に対する返信のパケット５１３を端末５０２から取得する。パケット５１３は、パケット５１２で送信元アドレスとして指定されたアドレスが、宛先アドレスとして格納される。そして、アドレス変換装置５０３は、パケット５１３がパケット５１１の返信であることを確認する。その後、アドレス変換装置５０３は、パケット５１３に格納された外部ネットワークにおける宛先アドレスを内部ネットワークにおける宛先アドレスに変換する。この場合、内部ネットワークにおける宛先アドレスは端末５０１のアドレスになる。例えば、アドレス変換装置５０３は、外部ネットワークにおける宛先アドレスであるＩＰ２を、内部ネットワークにおける宛先アドレスであるＩＰ１に変換する。そして、アドレス変換装置５０３は、宛先アドレスをＩＰ１に変換したパケット５１４を端末５０１へ送信する。

また、内部ネットワーク側の端末５０１から開始される片側通信の場合、アドレス変換装置５０３は、端末５０１から出力されたパケットを受信する。そして、アドレス変換装置５０３は、往復通信の場合と同様に、変換ルールにしたがいパケットに格納された内部ネットワークにおける送信元アドレスを外部ネットワークにおける送信元アドレスに変換する。そして、アドレス変換装置５０３は、送信元アドレスを内部ネットワークにおける送信元アドレスに変換したパケットを宛先アドレスである端末５０２へ送信する。

一方、外部ネットワーク側の端末５０２から開始される片側通信の場合、アドレス変換装置５０３は、外部ネットワーク側の端末５０２からパケットを受信する。この場合、アドレス変換装置５０３は、受信したパケットが内部ネットワーク側から送信されたパネットの返信ではないことを確認する。そして、アドレス変換装置５０３は、受信したパケットを破棄する。このパケットの破棄を「ブラックホール（Blackhole）」と呼ぶ場合がある。

ネットワークモデル化部１０７は、ネットワークモデルを構築する際に、アドレス変換装置５０３を通過するフローを表すＰＥＣの宛先アドレスが、アドレス変換装置５０３が有する変換ルールのアドレスに合致するか否かを判定する。ＰＥＣの宛先アドレスが変換ルールのアドレスに合致する場合、ネットワークモデル化部１０７は、そのＰＥＣのラベルを、アドレス変換装置５０３を透過した後のネットワークに追加登録する。すなわち、ネットワークモデル化部１０７は、生成するデータプレーンモデルのアドレス変換装置５０３を透過した後のネットワークにそのＰＥＣのラベルを追加する。アドレス変換装置５０３を通過するフローが、「通過フロー」の一例にあたる。また、アドレス変換装置５０３を通過する前のＰＥＣで表されるフローが「通過前フロー」の一例にあたり、通過した後のＰＥＣで表されるフローが「通過後フロー」の一例にあたる。この追加登録された情報が、「対応情報」の一例にあたる。

例えば、図２９に示すネットワークであれば、ネットワークモデル化部１０７は、端末５０１から送出された端末５０２へ向かうパケットのアドレス変換装置５０３を通過するフローを表すＰＥＣに＃Ｃのラベルを付加する。次に、ネットワークモデル化部１０７は、アドレス変換装置５０３により送信元アドレスが変更されたパケットを送信するフローについてラベル付けを行う。ＰＥＣに＃Ｃに含まれるパケットとアドレス変換装置５０３から送出されるパケットとは送信元アドレスは異なるが、宛先アドレスが同じであるので、ネットワークモデル化部１０７は、送信元アドレスの変更前後のフローを同じフローとして取り扱う。そこで、ネットワークモデル化部１０７は、送信アドレス変更後のフローを表すＰＥＣに＃Ｃのラベルを付加する。

これに対して、外部ネットワーク側の端末５０２から内部ネットワーク側の端末５０１へのパケット送信を表すフローについて、ネットワークモデル化部１０７は、以下のようにラベル付けを行う。ネットワークモデル化部１０７は、対象とするフローの端末５０２からアドレス変換装置５０３へ向かうＰＥＣに＃Ａのラベルを付加する。また、対象とするフローは、アドレス変換装置５０３により宛先アドレスが変更される。ネットワークモデル化部１０７は、アドレス変換装置５０３により宛先アドレスが変更されたパケットを送信するフローについて、宛先アドレスの変更前のフローとは異なるフローとして取り扱う。そこで、ネットワークモデル化部１０７は、宛先アドレス変更後のフローを表すＰＥＣに＃Ｂのラベルを付加する。加えて、ネットワークモデル化部１０７は、アドレス変換装置５０３が有する変換ルールのアドレスにＰＥＣ＃Ａの宛先アドレスが合致するため、宛先アドレス変更後のフローにＰＥＣ＃Ａを追加する。以下では、通常の方法で生成されるＰＥＣのラベルをプライマリラベルと呼び、アドレス変換装置５０３を通過することで付加されるＰＥＣのラベルをセカンダリラベルと呼ぶ場合がある。すなわち、図２９に示すアドレス変換装置５０３から端末５０１へ向かうＰＥＣにおいて、＃Ｂがプライマリラベルであり、＃Ａがセカンダリラベルである。これにより、図２９に示すようにＰＥＣのラベルがアドレス変換装置５０３を含むネットワークを表すデータプレーンモデルに登録される。

例えば、ＩＰ１が（１９２．１６８．０．１）であり、ＩＰ２が（１３３．１６０．０．１）であり、ＩＰ３が（１．０．０．１）の場合、ＰＥＣ＃Ａ及びＰＥＣ＃Ｂは、図３０のように表される。図３０は、アドレス変換装置を通過する前後のＰＥＣの一例を表す図である。ＰＥＣ＃Ａについては、プライマリラベル及びセカンダリラベルのいずれも図３０に記載されたシンタックスで示される。

影響判定部１１０は、設定変更により変化があったフローの中から判定対象フローを１つ選択しその判定対象フローを取得する。そして、影響判定部１１０は、判定対象フローの既存通信に対する影響の判定を行う。この際、影響判定部１１０は、判定対象フローが宛先に到達するか否かを確定するための通信要件の到達性の判定を行う。この通信要件の到達性判定処理の際に、判定対象フローが往復通信か片側通信かにより判定処理の流れが異なる。そこで、以下に到達性判定処理の流れについて説明する。図３１は、ＮＡＴを用いた場合の往復通信及び片側通信の場合の通信要件の到達性の判定を説明するための図である。

影響判定部１１０は、判定対象フローの通信要件を取得する。図３１に一例として示した通信要件５２０は、図２９における端末５０１をａＥｎｄとし、端末５０２をｚＥｎｄとした場合の通信要件である。通信要件５２０には、例えば、送信元アドレス、宛先アドレス、送信元ポート、宛先ポート及びプロトコルの情報が含まれる。

判定対象フローが内部ネットワーク側から外部ネットワーク側へのパケット送信を表すフローの場合、影響判定部１１０は、管理者から与えられた情報などから往復通信か否かを判定する。往復通信でなければ、影響判定部１１０は、通信要件を用いて判定対象フローをトレースし判定対象フローが宛先に到達するか否かを判定して、判定対象フローの通信要件の到達性を確認する。

これに対して、判定対象フローが内部ネットワーク側から外部ネットワーク側へのパケット送信を表すフローであり且つ往復通信の場合、影響判定部１１０は、以下の到達性処理を実行する。影響判定部１１０は、内部ネットワーク側から外部ネットワーク側へのパケット送信を表すフローと、それに対する返信となる外部ネットワーク側から内部ネットワーク側へのパケット送信を表すフローとをまとめて一対の判定対象フローとする。この時、影響判定部１１０は、往復通信の判定対象フローにおける返信フラグを初期値であるオフに設定する。

そして、影響判定部１１０は、往復通信の往路のフローを表すＰＥＣに連続性があるか否かを判定する。連続性がなければ、影響判定部１１０は、往復通信の往路のフローが終点に到達しないため、往復通信の対とした各フローの通信要件に到達性がないと判定する。これに対して連続性が存在する場合、影響判定部１１０は、連続性を有するＰＥＣの中にセカンダリラベルが付加されたＰＥＣがあるか否かを判定する。往復通信の往路のフローの中にはセカンダリラベルが付加されたＰＥＣは存在しないので、影響判定部１１０は、セカンダリラベルが付加されたＰＥＣはないと判定する。セカンダリラベルが付加されたＰＥＣがない場合、影響判定部１１０は、往復通信の往路のフローの通信要件の終点に到達したか否かを判定する。往復通信の往路のフローが通信要件の終点に到達しない場合、影響判定部１１０は、往復通信の対とした各フローの通信要件に到達性がないと判定する。

一方、往復通信の往路のフローが通信要件の終点に到達する場合、影響判定部１１０は、判定対象フローの返信フラグをオンにする。さらに、影響判定部１１０は、往復通信の往路のフローの通信要件の終点を始点に変更した通信要件を往復通信の復路のフローの通信要件とする。次に、影響判定部１１０は、往復通信の復路のフローを表すＰＥＣに連続性があるか否かを判定する。連続性がなければ、影響判定部１１０は、往復通信の復路のフローが通信要件の終点に到達しないため、往復通信の対とした各フローの通信要件に到達性がないと判定する。これに対して、連続性が存在する場合、影響判定部１１０は、連続性を有するＰＥＣの中にセカンダリラベルが付加されたＰＥＣがあるか否かを判定する。往復通信の復路のフローの中にはセカンダリラベルが付加されたＰＥＣが存在するため、影響判定部１１０は、セカンダリラベルが付加されたＰＥＣが存在すると判定する。セカンダリラベルが付加されたＰＥＣが存在する場合、影響判定部１１０は、判定対象フローの返信フラグがオンかオフかを判定する。往復通信の復路のフローの場合、返信フラグはオンの状態であるので、影響判定部１１０は、判定対象フローの返信フラグがオンであると判定する。判定対象フローの返信フラグがオンの場合、影響判定部１１０は、往復通信の復路のフローのフローが通信要件の終点に到達したか否かを判定する。往復通信の復路のフローが通信要件の終点に到達しない場合、影響判定部１１０は、往復通信の対とした各フローの通信要件に到達性がないと判定する。これに対して、往復通信の復路のフローが通信要件の終点に到達する場合、影響判定部１１０は、往復通信の対とした各フローの到達性があると判定する。往復通信の復路のフローが、「第１通過フロー」の一例にあたる。また、返信用フラグをオンにすることが、「到達情報の付加」の一例にあたる。

例えば、図３１の通信要件５２０を用いる場合、往復通信であれば、検証結果５２１に示す到達性判定結果が正常な判定結果である。検証結果５２１において、端末５０１から開始される端末５０２との間の往復通信は、ａＥｎｄを出発しｚＥｎｄを経由してａＥｎｄへ戻る経路として表される。この場合、判定対象フローは、ａＥｎｄからアドレス変換装置５０３であるＮＡＴを経由してｚＥｎｄに到達し、その後、ＮＡＴを経由してａＥｎｄに到達する。したがって、この判定対象フローが正常であれば、影響判定部１１０は、通信要件５２０に到達性があると判定する。これに対して、端末５０２から開始される端末５０１との間の往復通信は、ｚＥｎｄを出発しａＥｎｄを経由してｚＥｎｄへ戻る経路として表される。この場合、判定対象フローのパケットは、ｚＥｎｄから送信されてＮＡＴで破棄される。したがって、この判定対象フローが正常であれば、影響判定部１１０は、通信要件５２０に到達性がないと判定する。

また、判定対象フローが外部ネットワーク側から内部ネットワーク側へのパケット送信を表すフローの場合、影響判定部１１０は、判定対象フローにおける返信フラグを初期値であるオフに設定する。次に、影響判定部１１０は、判定対象フローを表すＰＥＣに連続性があるか否かを判定する。連続性がなければ、影響判定部１１０は、外部ネットワークから開始される判定対象フローに到達性がないと判定する。これに対して、連続性が存在する場合、影響判定部１１０は、連続性を有するＰＥＣの中にセカンダリラベルが付加されたＰＥＣがあるか否かを判定する。外部ネットワークから開始されるフローの中にはセカンダリラベルが付加されたＰＥＣが存在するため、影響判定部１１０は、セカンダリラベルが付加されたＰＥＣが存在すると判定する。セカンダリラベルが付加されたＰＥＣが存在する場合、影響判定部１１０は、外部ネットワークから開始される判定対象フローの返信フラグがオンかオフかを判定する。外部ネットワークから開始されるフローの場合、返信フラグは初期値のオフの状態であるので、影響判定部１１０は、判定対象フローの返信フラグがオフであると判定する。判定対象フローの返信フラグがオフの場合、影響判定部１１０は、外部ネットワークから開始される判定対象フローに到達性がないと判定する。これに対して、通信要件の終点に到達する場合、影響判定部１１０は、外部ネットワークから開始される判定対象フローの到達性があると判定する。この外部ネットワーク側で開始され外部ネットワーク側から内部ネットワーク側へ向かうフローが、「第２通過フロー」の一例にあたる。

例えば、図３１の通信要件５２０を用いる場合、片側通信であれば、検証結果５２２に示す到達性判定結果が正常な判定結果である。検証結果５２２において、端末５０１から開始される端末５０２との間の片側通信は、ａＥｎｄを出発しｚＥｎｄに到達する経路として表される。この場合、判定対象フローは、ａＥｎｄからＮＡＴを経由してｚＥｎｄに到達する。したがって、この判定対象フローが正常であれば、影響判定部１１０は、通信要件５２０に到達性があると判定する。これに対して、端末５０２から開始される端末５０１との間の片側通信は、ｚＥｎｄを出発しａＥｎｄへ到達する経路として表される。この場合、判定対象フローのパケットは、ｚＥｎｄから送信されてＮＡＴで破棄される。したがって、この判定対象フローが正常であれば、影響判定部１１０は、通信要件５２０に到達性がないと判定する。

影響判定部１１０は、判定対象フローの到達性の判定が完了した後に、上述したようにその到達性の判定結果を用いて判定対象フローの既存通信への影響判定を実行する。影響判定部１１０は、データプレーンモデル上の全てのフローについて到達性の判定及び到達性の判定結果を用いた既存通信への影響判定を実行する。

次に、図３２を参照して、本実施例に係る影響判定部１１０による通信要件の到達性判定を含む影響判定処理の流れについて説明する。図３２は、実施例３に係る影響判定部による通信要件の到達性判定を含む影響判定処理のフローチャートである。

影響判定部１１０は、データプレーンモデル上のフローから判定対象フローを選択する（ステップＳ４０１）。さらに、影響判定部１１０は、判定対象フローの通信要件を取得する。

次に、影響判定部１１０は、通信要件の始点から判定対象フローのトレースを開始する（ステップＳ４０２）。

次に、影響判定部１１０は、判定対象フローを示すＰＥＣがラベリングされた経路に沿ってデータプレーンモデル上の隣接ノードへ移動する（ステップＳ４０３）。

次に、影響判定部１１０は、移動したノードの前後において同じラベルのＰＥＣが存在するか否かにより、判定対象フローに連続性があるか否かを判定する（ステップＳ４０４）。

連続性がある場合（ステップＳ４０４：肯定）、影響判定部１１０は、連続性があるＰＥＣのラベルがセカンダリラベルか否かを判定する（ステップＳ４０５）。連続性があるＰＥＣのラベルがプライマリラベルの場合（ステップＳ４０５：否定）、影響判定部１１０は、ステップＳ４０７へ進む。

これに対して、連続性があるＰＥＣのラベルがセカンダリラベルの場合（ステップＳ４０５：肯定）、影響判定部１１０は、判定対象フローの返信フラグがオンか否かを判定する（ステップＳ４０６）。

判定フラグがオンの場合（ステップＳ４０６：肯定）、影響判定部１１０は、トレース位置が通信要件の終点に到達したか否かを判定する（ステップＳ４０７）。トレース位置が通信要件の終点に到達していない場合（ステップＳ４０７：否定）、影響判定部１１０は、ステップＳ４０３へ戻る。

これに対して、トレース位置が通信要件の終点に到達した場合（ステップＳ４０７：肯定）、影響判定部１１０は、判定対象フローの通信要件の到達性ありと判定する（ステップＳ４０８）。

その後、影響判定部１１０は、判定対象フローが往復通信の往路のフローか否かを判定する（ステップＳ４０９）。

判定対象フローが往復通信の往路のフローの場合（ステップＳ４０９：肯定）、影響判定部１１０は、往復通信の復路のフローを判定対象フローとする。そして、影響判定部１１０は、判定対象フローの返信フラグをオンにして且つ往復通信の往路のフローの通信要件の終点を始点に変更して往復通信の復路のフローの通信要件とする（ステップＳ４１０）。その後、影響判定部１１０は、ステップＳ４０２へ戻る。これに対して、判定対象フローが往復通信の往路のフローでない場合（ステップＳ４０９：否定）、影響判定部１１０は、ステップＳ４１２へ進む。

一方、判定対象フローに連続性がない場合（ステップＳ４０４：否定）及び返信フラグがオフの場合（ステップＳ４０６：否定）、影響判定部１１０は、判定対象フローの通信要件の到達性なしと判定する（ステップＳ４１１）。その後、影響判定部１１０は、ステップＳ４１２へ進む。

次に、影響判定部１１０は、到達性の判定結果を用いて、判定対象フローの既存通信への影響判定処理を実行する（ステップＳ４１２）。

その後、影響判定部１１０は、データプレーンモデルにおいて設定変更があった全てのフローの影響判定処理が完了したか否かによりデータプレーンモデルにおける影響判定処理が完了したか否かを判定する（ステップＳ４１３）。データプレーンモデルにおける影響判定処理が完了していない場合（ステップＳ４１３：否定）、影響判定部１１０は、ステップＳ４０１へ戻る。これに対して、データプレーンモデルにおける影響判定処理が完了した場合（ステップＳ４１３：肯定）、影響判定部１１０は、今回の影響判定処理を終了する。

以上に説明したように、本実施例に係るネットワーク検証装置は、外部ネットワーク側からアドレス変換装置を経由して内部ネットワーク側へ向かうフローについて、フローの開始位置により取り扱い方を異ならせる。具体的には、ネットワーク検証装置は、内部ネットワーク側から開始される往復通信における外部ネットワーク側から内部ネットワーク側へ向けたフローと外部ネットワーク側から開始され内部ネットワーク側へ向かうフローとを区別する。そして、内部ネットワーク側から開始される往復通信のフローの場合、ネットワーク検証装置は、返信を要求するフローと要求された返信を送信するフローとを一連のフローとして取り扱い、返信を送信するフローのアドレス変換装置の通過を許可する。これに対して、ネットワーク検証装置は、外部ネットワーク側から開始され内部ネットワーク側へ向かうフローの場合、アドレス変換装置でパケットが破棄されるフローとして取り扱う。これにより、アドレス変換装置を用いた通信の検証において、外部ネットワーク側から内部ネットワーク側へ向かうフローを通すべきか否かを正確に判定でき、ネットワーク検証を効率的に行うことが可能となる。

（変形例）
実施例３ではアドレス変換装置がネットワーク上に存在する場合のネットワーク検証方法について説明したが、ファイアウォールＳＰＩ（Stateful Packet Inspection）がネットワーク上に存在する場合も同様の方法でネットワーク検証を行うことが可能である。以下では、ファイアウォールＳＰＩが配置されたネットワークの検証について説明する。

図３３は、ファイアウォールＳＰＩが配置されたネットワークの一例の図である。図３３では、ファイアフォールＳＰＩを「ＦＷＳＰＩ」と記載した。例えば、図３３に示すように、ここでは、端末５０１がファイアウォールＳＰＩ５０４と内部ネットワークで接続される。また、ファイアウォールＳＰＩ５０４と端末５０２とが外部ネットワークで接続される。すなわち、ファイアウォールＳＰＩ５０４を境に、端末５０１が配置されたシステムが内部ネットワーク側のシステムであり、端末５０２が配置されたシステムが外部ネットワーク側のシステムである。

ファイアウォールＳＰＩ５０４は、ファイアウォールを通過するパケットの中身を見て、ポートの開放や閉鎖を動的に行う。ファイアウォールＳＰＩ５０４は、内部ネットワーク側から送信したデータをセッションログとして一時的に保存し、外部ネットワーク側から到着したパケットがセッションログと整合性が合う場合にポートを開放し、矛盾する場合にポートを閉鎖する。

例えば、ファイアウォールＳＰＩ５０４は、往復通信において、端末５０１から出力されたパケットを受信する。このパケットは、宛先の端末５０２からの返信を要求するパケットである。そして、ファイアウォールＳＰＩ５０４は、受信したパケットを端末５０２へ送信するとともに、送信したデータをセッションログとして保存する。

その後、ファイアウォールＳＰＩ５０４は、端末５０２が端末５０１へ向けて送信したパケットを受信する。そして、ファイアウォールＳＰＩ５０４は、受信したパケットと保持するセッションログとを比較してパケットの送受信として整合性を有することを確認する。その後、ファイアウォールＳＰＩ５０４は、端末５０２から受信したパケットを端末５０１へ送信する。

また、内部ネットワーク側の端末５０１から開始される片側通信の場合、ファイアウォールＳＰＩ５０４は、端末５０１から出力されたパケットを受信する。そして、ファイアウォールＳＰＩ５０４は、往復通信の場合と同様に、受信したパケットを端末５０２へ送信する。

一方、外部ネットワーク側の端末５０２から開始される片側通信の場合、ファイアウォールＳＰＩ５０４は、外部ネットワーク側の端末５０２からパケットを受信する。この場合、ファイアウォールＳＰＩ５０４は、保持するセッションログと受信したパケットを比較してパケットの送受信として整合性が取れないことを確認する。また、セッションログを保持しない場合も、ファイアウォールＳＰＩ５０４は、整合性が取れないことを確認する。そして、ファイアウォールＳＰＩ５０４は、ポートを閉鎖して受信したパケットの通過を不許可にする。このパケットの通過の不許可を、「ブロック（ｂｌｏｃｋ）」と呼ぶ場合がある。このファイアウォールＳＰＩ５０４が、「第２通過フロー遮断装置」の一例にあたる。

ネットワークモデル化部１０７は、ＦＷＳＰＩを表すＡＣＬ５４０を生成する。ＡＣＬ５４０は、外部ネットワークからのフローは全てブロックするように設定される。そこで、ネットワークモデル化部１０７は、往復通信における外部ネットワークから戻ってきたフローを透過させるために、ファイアウォールＳＰＩ５０４を表すＡＣＬ５４０にＳＰＩパラメータを追加する。ＳＰＩパラメータがオンであれば、外部ネットワークからのフローがファイアウォールＳＰＩ５０４を通過することができる。逆に、ＳＰＩパラメータがオフの場合、外部ネットワークからのフローはファイアウォールＳＰＩ５０４でｂｌｏｃｋされる。ネットワークモデル化部１０７は、ファイアウォールＳＰＩ５０４が有するＡＣＬ５４０のＳＰＩパラメータをオンにする。これに対して、ＳＰＩの機能を有さないファイアウォールについては、ネットワークモデル化部１０７は、ＡＣＬのＳＰＩパラメータをオフにする。

ネットワークモデル化部１０７は、ファイアウォールＳＰＩ５０４を通過するＰＥＣについて、内部ネットワーク側から外部ネットワーク側への通信において、ファイアウォールＳＰＩ５０４の通過の前後で同じラベルを有するＰＥＣを登録する。例えば、図３３に示すように、内部ネットワーク側から外部ネットワーク側への通信を表すＰＥＣ＃ＰをファイアウォールＳＰＩ５０４の前後に登録する。

同様に、ネットワークモデル化部１０７は、ファイアウォールＳＰＩ５０４を通過するＰＥＣについて、外部ネットワーク側から内部ネットワーク側への通信において、ファイアウォールＳＰＩ５０４の通過の前後で同じラベルを有するＰＥＣを登録する。例えば、図３３に示すように、外部ネットワーク側から内部ネットワーク側への通信を表すＰＥＣ＃ＱをファイアウォールＳＰＩ５０４の前後に登録する。

影響判定部１１０は、判定対象フローを１つ選択しその判定対象フローを取得する。次に、影響判定部１１０は、判定対象フローの通信要件を取得する。図３４に一例として示した通信要件５４１は、図３３における端末５０１をａＥｎｄとし、端末５０２をｚＥｎｄとした場合の通信要件である。

そして、影響判定部１１０は、往復通信の往路のフローを表すＰＥＣがファイアウォールＳＰＩ５０４を表すＡＣＬ５４０で受け入れられるか否かを判定する。内部ネットワークからのフローは全てファイアウォールＳＰＩ５０４を通過するため、往復通信の往路のフローを表すＰＥＣはＡＣＬ５４０で受け入れられる。そこで、影響判定部１１０は、往復通信の往路のフローが終点に到達することを確認する。往復通信の往路のフローが通信要件の終点に到達する場合、影響判定部１１０は、判定対象フローの返信フラグをオンにする。さらに、影響判定部１１０は、往復通信の往路のフローの通信要件の終点を始点に変更した通信要件を往復通信の復路のフローの通信要件とする。

次に、影響判定部１１０は、往復通信の復路のフローを表すＰＥＣがファイアウォールＳＰＩ５０４を表すＡＣＬ５４０で受け入れられるか否かを判定する。この場合、外部ネットワークからのフローは全てＡＣＬ５４０でブロックさせるため、影響判定部１１０は、往復通信の復路のフローを表すＰＥＣがＡＣＬ５４０でブロックされると判定する。次に、影響判定部１１０は、ブロックしたＡＣＬ５４０のＳＰＩパラメータがオンか否かを判定する。ＡＣＬ５４０はファイアウォールＳＰＩ５０４を表すことから、影響判定部１１０は、ＡＣＬ５４０におけるＳＰＩパラメータはオンであると判定する。ＳＰＩパラメータがオンの場合、影響判定部１１０は、判定対象フローの返信フラグがオンかオフかを判定する。往復通信の復路のフローの場合、返信フラグはオンの状態であるので、影響判定部１１０は、判定対象フローの返信フラグがオンであると判定する。判定対象フローの返信フラグがオンの場合、影響判定部１１０は、往復通信の復路のフローが通信要件の終点に到達することを確認する。往復通信の復路のフローが通信要件の終点に到達する場合、影響判定部１１０は、往復通信の対とした各フローの到達性があると判定する。

例えば、図３４の通信要件５４１を用いる場合、往復通信であれば、検証結果５４２に示す到達性判定結果が正常な判定結果である。図３４では、ファイアウォールＳＰＩ５０４を「ＦＷ」として記載した。検証結果５４２において、端末５０１から開始される端末５０２との間の往復通信は、ａＥｎｄを出発しｚＥｎｄを経由してａＥｎｄへ戻る経路として表される。この場合、判定対象フローは、ａＥｎｄからファイアウォールＳＰＩ５０４を経由してｚＥｎｄに到達し、その後、ファイアウォールＳＰＩ５０４を経由してａＥｎｄに到達する。したがって、この判定対象フローが正常であれば、通信要件５４１は、到達性があると判定される。これに対して、端末５０２から開始される端末５０１との間の往復通信は、ｚＥｎｄを出発しａＥｎｄを経由してｚＥｎｄへ戻る経路として表される。この場合、判定対象フローのパケットは、ｚＥｎｄから送信されてファイアウォールＳＰＩ５０４でブロックされる。したがって、この判定対象フローが正常であれば、通信要件５４１は、到達性がないと判定される。

また、判定対象フローが外部ネットワーク側から内部ネットワーク側へのパケット送信を表すフローの場合、影響判定部１１０は、判定対象フローにおける返信フラグを初期値であるオフに設定する。次に、影響判定部１１０は、判定対象フローを表すＰＥＣがファイアウォールＳＰＩ５０４を表すＡＣＬ５４０で受け入れられるか否かを判定する。ＡＣＬ５４０でブロックされる場合、影響判定部１１０は、ＡＣＬ５４０のＳＰＩインフォメーションがオンか否かを判定する。影響判定部１１０は、この場合、ＡＣＬ５４０のＳＰＩインフォメーションはオンであると判定する。ＳＰＩパラメータがオンの場合、影響判定部１１０は、判定対象フローの返信フラグがオンかオフかを判定する。外部ネットワーク側から内部ネットワーク側への片側通信の場合、返信フラグはオフの状態であるので、影響判定部１１０は、判定対象フローの返信フラグがオフであると判定する。判定対象フローの返信フラグがオフの場合、影響判定部１１０は、外部ネットワークから開始される判定対象フローに到達性がないと判定する。

例えば、図３４の通信要件５４１を用いる場合、片側通信であれば、検証結果５４３に示す到達性判定結果が正常な判定結果である。検証結果５４３において、端末５０１から開始される端末５０２との間の片側通信は、ａＥｎｄを出発しｚＥｎｄに到達する経路として表される。この場合、判定対象フローは、ａＥｎｄからファイアウォールＳＰＩ５０４を経由してｚＥｎｄに到達する。したがって、この判定対象フローは、正常であれば、通信要件５４１に到達性があると判定される。これに対して、端末５０２から開始される端末５０１との間の片側通信は、ｚＥｎｄを出発しａＥｎｄへ到達する経路として表される。この場合、判定対象フローのパケットは、ｚＥｎｄから送信されてファイアウォールＳＰＩ５０４でブロックされる。したがって、この判定対象フローは、正常であれば、通信要件５４１に到達性がないと判定される。

次に、図３５を参照して、本変形例に係る影響判定部１１０による通信要件の到達性判定を含む影響判定処理の流れについて説明する。図３４は、実施例３の変形例に係る影響判定部による通信要件の到達性判定を含む影響判定処理のフローチャートである。

影響判定部１１０は、データプレーンモデル上のフローから判定対象フローを選択する（ステップＳ５０１）。さらに、影響判定部１１０は、判定対象フローの通信要件を取得する。

次に、影響判定部１１０は、通信要件の始点から判定対象フローのトレースを開始する（ステップＳ５０２）。

次に、影響判定部１１０は、判定対象フローを示すＰＥＣがラベリングされた経路に沿ってデータプレーンモデル上の隣接ノードへ移動する（ステップＳ５０３）。

次に、影響判定部１１０は、移動したノードのＡＣＬで判定対象フローを表すＰＥＣが受け入れられるかを判定する（ステップＳ５０４）。判定対象フローを表すＰＥＣがＡＣＬで受け入れられる場合（ステップＳ５０４：肯定）、影響判定部１１０は、ステップＳ５０７へ進む。

これに対して、判定対象フローを表すＰＥＣがＡＣＬでブロックされる場合（ステップＳ５０４：否定）、影響判定部１１０は、ＡＣＬのＳＰＩパラメータが有効か否かを判定する（ステップＳ５０５）。

ＳＰＩパラメータが有効の場合（ステップＳ５０５：肯定）、影響判定部１１０は、判定対象フローの返信フラグがオンか否かを判定する（ステップＳ５０６）。

判定対象フローを表すＰＥＣがＡＣＬで受け入れられる場合（ステップＳ５０４：肯定）及び判定フラグがオンの場合（ステップＳ５０６：肯定）、影響判定部１１０は、トレース位置が通信要件の終点に到達したか否かを判定する（ステップＳ５０７）。トレース位置が通信要件の終点に到達していない場合（ステップＳ５０７：否定）、影響判定部１１０は、ステップＳ５０３へ戻る。

これに対して、トレース位置が通信要件の終点に到達した場合（ステップＳ５０７：肯定）、影響判定部１１０は、判定対象フローの通信要件の到達性ありと判定する（ステップＳ５０８）。

その後、影響判定部１１０は、判定対象フローが往復通信の往路のフローか否かを判定する（ステップＳ５０９）。

判定対象フローが往復通信の往路のフローの場合（ステップＳ５０９：肯定）、影響判定部１１０は、往復通信の復路のフローを判定対象フローとする。そして、影響判定部１１０は、判定対象フローの返信フラグをオンにして且つ往復通信の往路のフローの通信要件の終点を始点に変更して往復通信の復路のフローの通信要件とする（ステップＳ５１０）。その後、影響判定部１１０は、ステップＳ５０２へ戻る。これに対して、判定対象フローが往復通信の往路のフローでない場合（ステップＳ５０９：否定）、影響判定部１１０は、ステップＳ５１２へ進む。

一方、ＳＰＩパラメータが無効の場合（ステップＳ５０５：否定）及び判定対象フローの返信フラグがオフの場合（ステップＳ５０６：否定）、影響判定部１１０は、判定対象フローの通信要件の到達性なしと判定する（ステップＳ５１１）。その後、影響判定部１１０は、ステップＳ５１２へ進む。

次に、影響判定部１１０は、到達性の判定結果を用いて、判定対象フローの既存通信への影響判定処理を実行する（ステップＳ５１２）。

その後、影響判定部１１０は、データプレーンモデルにおいて設定変更があった全てのフローの影響判定処理が完了したか否かによりデータプレーンモデルにおける影響判定処理が完了したか否かを判定する（ステップＳ５１３）。データプレーンモデルにおける影響判定処理が完了していない場合（ステップＳ５１３：否定）、影響判定部１１０は、ステップＳ５０１へ戻る。これに対して、データプレーンモデルにおける影響判定処理が完了した場合（ステップＳ５１３：肯定）、影響判定部１１０は、今回の影響判定処理を終了する。

以上に説明したように、本変形例に係るネットワーク検証装置は、外部ネットワーク側からファイアウォールＳＰＩを通過して内部ネットワーク側へ向かうフローについて開始位置により取り扱い方を異ならせる。具体的には、ネットワーク検証装置は、内部ネットワーク側から開始される往復通信における外部ネットワーク側から内部ネットワーク側へ向けたフローと外部ネットワーク側から開始され内部ネットワーク側へ向かうフローとを区別する。そして、内部ネットワーク側から開始される往復通信のフローの場合、ネットワーク検証装置は、返信を要求するフローと要求された返信を送信するフローとを一連のフローとして取り扱い、返信を送信するフローのファイアウォールＳＰＩの通過を許可する。これに対して、ネットワーク検証装置は、外部ネットワーク側から開始され内部ネットワーク側へ向かうフローの場合、ファイアウォールＳＰＩでブロックされるフローとして取り扱う。これにより、ファイアウォールＳＰＩを用いた通信の検証において、外部ネットワーク側から内部ネットワーク側へ向かうフローを通すべきか否かを正確に判定でき、ネットワーク検証を効率的に行うことが可能となる。

（ハードウェア構成）
図３６は、ネットワーク検証装置のハードウェア構成図である。例えば、ネットワーク検証装置１は、ＣＰＵ（Central Processing Unit）９１、メモリ９２、通信インタフェース９３、読み取り装置９４、入出力装置９５、記憶装置９６を有する。ＣＰＵ９１は、バス９７を介して、メモリ９２、通信インタフェース９３、読み取り装置９４、入出力装置９５及び記憶装置９６に接続される。

通信インタフェース９３は、図１に例示した通信制御部１０２の機能を実現する。入出力装置９５は、図１に例示した設定変更手順入力部１０１の機能を実現する。読み取り装置９４は、ＣＤ（Compact Disk）ドライブやＤＶＤ（Digital Versatile Disc）ドライブなどである。読み取り装置９４は、ＣＤやＤＶＤといった外部記憶媒体９８に対してデータの書き込み及び読み出しを行う。

記憶装置９６は、ハードディスクやＳＳＤ（Solid State Drive）などの大容量記憶装置である。記憶装置９６は、各種プログラムを格納する。例えば、記憶装置９６は、図１に例示した、設定変更手順入力部１０１、通信制御部１０２、設定変更後テーブル推定部１０３、設定変更後コンフィグ生成部１０４、コンフィグ情報収集部１０５及びテーブル情報収集部１０６の機能を実現するプログラムを格納する。また、記憶装置９６は、図１に例示したネットワークモデル化部１０７、ＡＣＬ抽出部１０８、差分抽出部１０９、影響判定部１１０及び出力部１１１の機能を実現するプログラムを格納する。

ＣＰＵ９１は、記憶装置９６に格納された各種プログラムを読み出してメモリ９２に展開して実行する。これにより、ＣＰＵ９１は、図１に例示した、設定変更手順入力部１０１、通信制御部１０２、設定変更後テーブル推定部１０３、設定変更後コンフィグ生成部１０４、コンフィグ情報収集部１０５及びテーブル情報収集部１０６の機能を実現する。また、ＣＰＵ９１は、図１に例示したネットワークモデル化部１０７、ＡＣＬ抽出部１０８、差分抽出部１０９、影響判定部１１０及び出力部１１１の機能を実現する。

なお、ここでは、図１に例示した各部の機能を実現するためのプログラムを記憶装置９６に格納し、それをＣＰＵ９１が読み出して実行するとしたが、他の構成をとることも可能である。例えば、これらのプログラムを外部記憶媒体９８に格納し、外部記憶媒体９８から読み取り装置９４により読み出されたプログラムをＣＰＵ９１が取得した実行することで、各部の機能を実現しても良い。

１ネットワーク検証装置
２ネットワーク
３管理者端末
１０ネットワーク検証システム
１０１設定変更手順入力部
１０２通信制御部
１０３設定変更後テーブル推定部
１０４設定変更後コンフィグ生成部
１０５コンフィグ情報収集部
１０６テーブル情報収集部
１０７ネットワークモデル化部
１０８ＡＣＬ抽出部
１０９差分抽出部
１１０影響判定部
１１１出力部

Claims

ネットワークに配置された各ネットワーク装置の設定変更前の設定情報及びフォワーディング情報、並びに、設定変更後の前記設定情報及び前記フォワーディング情報を基に、各前記ネットワーク装置において通過及び遮断の扱いが同じとなるパケットの集合であるフローを生成し、
生成した前記フローが各前記ネットワーク装置間において通過するか否かを基に、前記設定変更前の第１モデル及び前記設定変更後の第２モデルを生成し、
生成した前記第１モデルと前記第２モデルとの差分を基に、前記設定変更による前記ネットワークへの影響を判定する
ことを特徴とする通信接続検証方法。
各前記ネットワーク装置の前記設定変更前の設定情報を取得し、
各前記ネットワーク装置に対する設定変更の情報を含む設定変更手順を取得し、
前記設定変更前の設定情報及び前記設定変更手順を基に前記設定変更後の設定情報を生成する
ことを特徴とする請求項１に記載の通信接続検証方法。
前記設定変更後の設定情報を用いてシミュレーションを実行して前記設定変更後のフォワーディング情報を取得することを特徴とする請求項１又は２に記載の通信接続検証方法。
前記差分から前記設定変更により変化した前記フローを抽出し、前記第１モデル及び前記第２モデルにおける抽出した前記フローの振る舞いにより前記ネットワークへの影響を判定することを特徴とする請求項１に記載の通信接続検証方法。
前記設定変更により変化した前記フローに既存通信が含まれているかどうかを基に、前記ネットワークへの影響を判定することを特徴とする請求項４に記載の通信接続検証方法。
第１設定変更及び第２設定変更が連続して行われる場合に、
前記第１設定変更前の前記第１モデル及び前記第１設定変更後の前記第２モデルを生成し、
前記第１設定変更前の前記第１モデルと前記第１設定変更後の前記第２モデルとの第１差分を求め、
前記第１設定変更後の前記第２モデルを前記第２設定変更前の前記第１モデルとし、
前記第２設定変更後の前記第２モデルを生成し、
前記第２設定変更前の前記第１モデルと前記第２設定変更後の前記第２モデルとの第２差分を求め、
前記第１差分及び前記第２差分を基に、前記第１設定変更及び前記第２設定変更による前記ネットワークへの影響を判定する
ことを特徴とする請求項１～５のいずれか一つに記載の通信接続検証方法。
前記ネットワーク装置は、前記ネットワークに含まれる第１ネットワークと第２ネットワークとを接続し、所定条件を満たす場合に第２ネットワークから第１ネットワークへの通信を通過させる機能を有する通過管理装置を含み、
抽出した前記フローのうち第２ネットワークから第１ネットワークへ向かう通過フローについて、第１ネットワークから送出された要求の返信である第１通過フローと前記返信以外の第２通過フローとを識別して、各前記通過フローが前記通過管理装置を通過可能か否かの判定を行う
ことを特徴とする請求項４に記載の通信接続検証方法。
前記要求に対応する前記フローについて前記第１ネットワークにおける送信元装置から前記第２ネットワークにおける宛先装置への到達性を検証し、
前記到達性が認められた場合、前記第１通過フローに到達情報を付加して前記第１通過フローの前記宛先装置から前記送信元装置への到達性を検証する
ことを特徴とする請求項７に記載の通信接続検証方法。
前記通過管理装置は、アドレス変換装置であり、
前記通過フローに含まれる前記アドレス変換装置通過前の通過前フロー及び通過後の通過後フローについて、前記通過後フローに対して前記通過前フローと同一視するための対応情報を付加し、
前記通過後フローに前記対応情報が付加され、且つ、前記到達情報が付加された前記第１通過フローが前記アドレス変換装置を通過可能であると判定する
ことを特徴とする請求項８に記載の通信接続検証方法。
前記通過管理装置は、前記第２通過フローを遮断する第２通過フロー遮断装置であり、
前記通過フローが前記ネットワーク装置により遮断された場合、遮断した前記ネットワーク装置が前記第２通過フロー遮断装置であり、且つ、前記到達情報が付加された前記第１通過フローに関して通過可能であると判定する
ことを特徴とする請求項８に記載の通信接続検証方法。
ネットワークに配置された各ネットワーク装置の設定変更前の設定情報及びフォワーディング情報、並びに、設定変更後の前記設定情報及び前記フォワーディング情報を基に、各前記ネットワーク装置において通過及び遮断の扱いが同じとなるパケットの集合であるフローを生成し、
生成した前記フローが各前記ネットワーク装置間において通過するか否かを基に、前記設定変更前の第１モデル及び前記設定変更後の第２モデルを生成し、
生成した前記第１モデルと前記第２モデルとの差分を基に、前記設定変更による前記ネットワークへの影響を判定する
処理をコンピュータに実行させることを特徴とする通信接続検証プログラム。
ネットワークに配置された各ネットワーク装置の設定変更前の設定情報及びフォワーディング情報、並びに、設定変更後の前記設定情報及び前記フォワーディング情報を基に、各前記ネットワーク装置において通過及び遮断の扱いが同じとなるパケットの集合であるフローを生成し、
生成した前記フローが各前記ネットワーク装置間において通過するか否かを基に、前記設定変更前の第１モデル及び前記設定変更後の第２モデルを生成するネットワークモデル化部と、
前記ネットワークモデル化部により生成された前記第１モデルと前記第２モデルとの差分を基に、前記設定変更による前記ネットワークへの影響を判定する影響判定部と
を備えたことを特徴とするネットワーク検証装置。
第１設定変更及び第２設定変更が連続して行われる場合に、
前記ネットワークモデル化部は、前記第１設定変更前の前記第１モデル及び前記第１設定変更後の前記第２モデルを生成し、生成した前記第１設定変更前の前記第１モデル及び前記第１設定変更後の前記第２モデルを前記影響判定部へ出力し、前記第２設定変更後の前記第２モデルを生成し、前記第１設定変更後の前記第２モデルを前記第２設定変更前の前記第１モデルとして生成した前記第２設定変更後の第２モデルとともに前記影響判定部へ出力し
前記影響判定部は、前記第１設定変更前の前記第１モデルと前記第１設定変更後の前記第２モデルとの差分、及び、前記第２設定変更前の前記第１モデルと前記第２設定変更後の前記第２モデルとの差分を基に、前記第１設定変更及び前記第２設定変更による前記ネットワークへの影響を判定する
ことを特徴とする請求項１２に記載のネットワーク検証装置。