WO2018179448A1 - 制御プログラム、制御方法及び制御装置 - Google Patents

Abstract

ネットワーク管理装置（１０）は、監視対象のネットワークに含まれる装置のポートに対して設定入力を受け付けた場合、ポートに対して認証機能付きの認証ＶＬＡＮが設定されているか否かを判定し、ポートに認証ＶＬＡＮが設定されていると判定した場合には、設定入力を規制し、ポートに認証ＶＬＡＮが設定されていないと判定した場合には、設定入力を許可する。

Description

制御プログラム、制御方法及び制御装置

　本発明は、制御プログラム、制御方法及び制御装置に関する。

　企業システム等でネットワークが構築される初期の段階では、一例として、ＳＥ（System　Engineer）等の専門家がｔｅｌｎｅｔなどのプロトコルを介してネットワークデバイスに接続し、ＣＬＩ（Command　Line　Interface）などを介して各種のネットワーク設定が行われる。

　その後、企業システムにおける業務の追加、業務の変更、あるいは業務の重要性の変化などに起因してネットワークの運用も変化する。この運用の変化に合わせて、一例として、ＶＬＡＮ（Virtual　Local　Area　Network）設定の登録、削除や変更が行われる場合がある。このような運用の変化は、日常的に発生しうるので、ＶＬＡＮ設定の登録、削除や変更が行われる頻度も高くなりやすい。

　このことから、ＳＤＮ（Software-Defined　Networking）などの技術を利用して、企業システムのネットワークに対するＶＬＡＮの設定、例えばスタティックＶＬＡＮとも呼ばれるポートＶＬＡＮやタグＶＬＡＮの設定をＧＵＩ（Graphical　User　Interface）環境で実施できる機能がネットワーク管理者等に提供されている。

特開２００７－２０８３２３号公報

　しかしながら、上記の技術では、認証ＶＬＡＮが設定されたポートにポートＶＬＡＮやタグＶＬＡＮなどの設定が上書きされる場合がある。このように認証ＶＬＡＮが設定されたポートにポートＶＬＡＮやタグＶＬＡＮなどの設定が投入された場合、ＧＵＩ環境ではポートに認証ＶＬＡＮの設定入力を行うことはできない。それ故、ＳＥ等の専門家がＣＬＩ環境で認証ＶＬＡＮの設定入力を行わなければ、認証ＶＬＡＮの設定を復元できない事態に陥る。

　１つの側面では、本発明は、認証ＶＬＡＮが設定されたポートに対する設定の上書きを抑制できる制御プログラム、制御方法及び制御装置を提供することを目的とする。

　一態様では、制御プログラムは、監視対象のネットワークに含まれる装置のポートに対して設定入力を受け付けた場合、前記ポートに対して認証機能付きの認証ＶＬＡＮが設定されているか否かを判定し、前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、前記設定入力を規制し、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合には、前記設定入力を許可する、処理をコンピュータに実行させる。

　認証ＶＬＡＮが設定されたポートに対する設定の上書きを抑制できる。

図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。 図２は、実施例１に係るネットワーク管理装置の機能的構成を示すブロック図である。 図３は、認証処理の制御シーケンスの一例を示す図である。 図４は、ＶＬＡＮ設定画面の一例を示す図である。 図５は、ＶＬＡＮ設定画面の一例を示す図である。 図６は、実施例１に係る制御処理の手順を示すフローチャート（１）である。 図７は、実施例１に係る制御処理の手順を示すフローチャート（２）である。 図８は、ＶＬＡＮ設定画面の一例を示す図である。 図９は、実施例１及び実施例２に係る制御プログラムを実行するコンピュータのハードウェア構成例を示す図である。

　以下に添付図面を参照して本願に係る制御プログラム、制御方法及び制御装置について説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［システム構成］
　図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。図１に示すネットワーク管理システム１は、企業システム等の監視対象システム３に構築されるネットワークＮＷに関する設定をＧＵＩを介して実現するネットワーク管理サービスを提供するものである。このネットワーク管理サービスの一環として、ネットワーク管理システム１は、ＣＬＩを介して認証機能付きの認証ＶＬＡＮが設定されたポートに対する設定の上書きを抑制する制御処理を実現する。

　図１に示すように、ネットワーク管理システム１には、ネットワーク管理装置１０と、クライアント端末５０と、監視対象システム３とが含まれる。この監視対象システム３には、認証サーバ２０と、ネットワークデバイス３０Ａ～３０Ｃと、ユーザ端末４０Ａ～４０Ｃとが含まれる。以下では、ネットワークデバイス３０Ａ～３０Ｃのことを総称する場合に「ネットワークデバイス３０」と記載すると共に、ユーザ端末４０Ａ～４０Ｃを総称する場合に「ユーザ端末４０」と記載する場合がある。

　ここで、図１には、ネットワークＮＷのうちエッジスイッチに対応するネットワークデバイス３０Ａ～３０Ｃが抜粋して示されているが、ネットワークＮＷの実体が図示のネットワーク構成に拘束されるわけではない。すなわち、ネットワークＮＷには、図示以外のネットワークデバイス、例えばルータ、コアスイッチやエッジルータなどが含まれることを妨げず、また、エッジスイッチの台数も任意の台数であってかまわない。また、図１には、ネットワークデバイス３０には、説明の便宜上、１台のユーザ端末４０が収容される例を示したが、これはあくまで一例であり、２台以上のユーザ端末４０が収容されることとしてもよい。また、ネットワークデバイス３０に収容される機器は、必ずしもユーザ端末４０に限定されず、その他の機器、例えば周辺機器などが接続されることとしてもかまわない。

　ネットワーク管理装置１０は、上記のネットワーク管理サービスを提供するコンピュータである。このネットワーク管理装置１０は、監視装置の一例である。

　一実施形態として、ネットワーク管理装置１０は、上記のネットワーク管理サービスを実現するパッケージソフトウェアやオンラインソフトウェアを所望のコンピュータにインストールさせることによってＳＤＮ（Software-Defined　Networking）コントローラとして実装できる。このネットワーク管理装置１０は、ネットワークＮＷの一例として、ＩＰ－ＶＰＮ（Internet　Protocol　Virtual　Private　Network）や広域イーサネット（登録商標）などのキャリアイーサネット（登録商標）の監視、設定や制御などを含む管理を実行することができる。このようにネットワーク管理装置１０により管理されるネットワークＮＷは、物理ネットワークに限定されず、ＳＤＮやＮＦＶ（Network　Function　Virtualization）などの技術により仮想化された仮想ネットワークであってもよい。

　認証サーバ２０は、ユーザ端末４０またはユーザ端末４０のユーザを認証するサーバ装置である。この認証には、あくまで一例として、ＩＥＥＥ　８０２．１Ｘ認証やＭＡＣ（Media　Access　Control）ベース認証などを採用できる。例えば、ＩＥＥＥ　８０２．１Ｘ認証が用いられる場合、認証サーバ２０には、ユーザ端末４０との間でＥＡＰ（Extensible　Authentication　Protocol）メッセージを交換することができるＲＡＤＩＵＳ（Remote　Authentication　Dial-In　User　Service）サーバが採用される。

　ネットワークデバイス３０は、監視対象システム３のネットワークＮＷを形成する装置である。このネットワークデバイス３０は、ネットワークＮＷ上でユーザ端末４０や周辺機器が接続されるエッジスイッチに対応する。例えば、ネットワークデバイス３０には、スマートスイッチ等を採用することができる。

　ユーザ端末４０は、ユーザにより使用される端末装置である。ユーザ端末４０の一例として、汎用のコンピュータ、例えばデスクトップ型またはノート型のパーソナルコンピュータなどが挙げられる。

　クライアント端末５０は、上記のネットワーク管理サービスの提供を受けるコンピュータである。このクライアント端末５０は、一例として、ネットワークＮＷを管理するネットワーク管理者等の関係者により使用される。ここで、上記のネットワーク管理サービスの提供により、クライアント端末５０は、必ずしもｔｅｌｎｅｔの動作環境を有さずともかまわない。例えば、クライアント端末５０には、汎用のブラウザの動作環境を有する任意のコンピュータを採用することができる。

　ここで、あくまで一例として、ネットワークデバイス３０が有するポートのうち、ダイナミックＶＬＡＮが有効化されたポート、例えば認証機能付きの認証ＶＬＡＮが設定されたポートに接続するユーザ端末４０のユーザ認証がＩＥＥＥ　８０２．１Ｘ認証により実現される場合を説明する。以下では、ネットワークデバイス３０が有するポートのうち、認証ＶＬＡＮが設定されたポートのことを「認証ポート」と記載する場合がある。

　このようにＩＥＥＥ　８０２．１Ｘ認証の規定に準拠する場合、認証サーバ２０、ネットワークデバイス３０及びユーザ端末４０が認証機構の構成要素となる。ユーザ端末４０が「supplicant」に対応し、ネットワークデバイス３０が「authenticator」に対応し、認証サーバが「Authentication　Server」に対応する。これら認証サーバ２０、ネットワークデバイス３０及びユーザ端末４０が連携することにより、ユーザ認証が実行される。

　図３は、認証処理の制御シーケンスの一例を示す図である。図３に示すように、上記の認証ポートに接続されたユーザ端末４０は、認証サーバ２０との通信を開始するために、ＥＡＰＯＬ（Extensible　Authentication　Protocol　over　LAN）の開始フレームをネットワークデバイス３０へ送信する（ステップＳ１１）。この開始フレームの送信に応答して、ネットワークデバイス３０は、認証情報のリクエストをユーザ端末４０へ通知する（ステップＳ１２）。

　このステップＳ１２の後、ユーザ端末４０及び認証サーバ２０の間でＥＡＰメッセージの交換が開始される。すなわち、ユーザ端末４０は、ユーザＩＤ（IDentification）および認証情報を含むＥＡＰメッセージがカプセル化されたＭＡＣフレームをネットワークデバイス３０へ送信する（ステップＳ１３）。このＥＡＰメッセージには、ユーザ認証に適用される認証方式に合わせて、任意の認証情報、例えばパスワードの他、認証局により発行される証明書などを含めることができる。続いて、ネットワークデバイス３０は、ユーザ端末４０から送信されたＭＡＣフレームを認証サーバ２０へ転送する（ステップＳ１４）。

　その後、認証サーバ２０は、ＥＡＰメッセージに含まれる認証情報を用いて、ユーザ認証を行う（ステップＳ１５）。すなわち、認証サーバ２０には、ユーザＩＤごとに照合用の認証情報およびＶＬＡＮ　ＩＤが対応付けられたユーザファイルが設定されている。このユーザファイルを参照して、認証サーバ２０は、ユーザ端末４０から送信された認証情報と、ユーザ端末４０から送信されたユーザＩＤに対応付けられた認証情報とが一致するか否かを照合することにより、ユーザ認証を行う。なお、ユーザ認証には、任意の認証方式、例えばＥＡＰ－ＴＬＳ（Transport　Layer　Security）、ＬＥＡＰ、ＰＥＡＰ、ＥＡＰ－ＭＤ５やＥＡＰ－ＲＡＤＩＵＳなどを適用することができる。

　このユーザ認証に成功した場合、ユーザファイルに記述されたＶＬＡＮ　ＩＤのうちユーザＩＤに対応するＶＬＡＮ　ＩＤが発行される。一方、ユーザ認証に失敗した場合、ゲストのＶＬＡＮ　ＩＤが設定されていれば、ゲストのＶＬＡＮ　ＩＤが発行される。なお、ゲストのＶＬＡＮ　ＩＤが設定されていない場合、ユーザ認証の失敗時にＶＬＡＮ　ＩＤは発行されない。

　その後、認証サーバ２０は、ＶＬＡＮ　ＩＤと共に認証結果をネットワークデバイス３０へ送信する（ステップＳ１６）。続いて、ネットワークデバイス３０は、認証サーバ２０により発行されたＶＬＡＮ　ＩＤを認証ポートに割り当てる（ステップＳ１７）。その上で、ネットワークデバイス３０は、認証結果をユーザ端末４０へ送信し（ステップＳ１８）、処理を終了する。

　これら一連の処理により、認証ポートには、ユーザ認証に成功するユーザＩＤに合わせて異なるＶＬＡＮ　ＩＤを動的に割り当てることができる。ここでは、一例として、ユーザ認証を例に挙げたが、必ずしも認証サーバ２０が行う認証がユーザ認証でなくともかまわない。例えば、認証ポートに接続するデバイスが周辺機器である場合、認証情報の入力を省略できるＭＡＣベース認証を用いることもできる。すなわち、周辺機器が持つＭＡＣアドレスと、認証サーバ２０に登録されたＭＡＣアドレスとが一致する場合、当該ＭＡＣアドレスに紐付けられたＶＬＡＮ　ＩＤを認証ポートに割り当てることもできる。

［ネットワーク管理装置１０の構成］
　図２は、実施例１に係るネットワーク管理装置１０の機能的構成を示すブロック図である。図２に示すように、ネットワーク管理装置１０は、通信Ｉ／Ｆ（interface）部１１と、記憶部１３と、制御部１５とを有する。なお、ネットワーク管理装置１０は、図２に示した機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイスなどの機能部を有することとしてもかまわない。

　通信Ｉ／Ｆ部１１は、他の装置、例えばネットワークデバイス３０やクライアント端末５０との間で通信制御を行うインタフェースである。

　一実施形態として、通信Ｉ／Ｆ部１１は、ＬＡＮ（Local　Area　Network）カードなどのネットワークインタフェースカードを採用できる。例えば、通信Ｉ／Ｆ部１１は、各種のコマンドをネットワークデバイス３０へ送信したり、ネットワークデバイス３０からネットワークデバイス３０が記憶するＣｏｎｆｉｇ情報やＭＩＢ（Management　Information　Base）の全部またはその一部を受信したりする。また、通信Ｉ／Ｆ部１１は、クライアント端末５０からネットワークデバイス３０の設定に対する編集操作などを受け付けたり、ネットワークＮＷの接続形状が模式化されたトポロジマップ画面などをクライアント端末５０へ送信したりする。

　記憶部１３は、制御部１５で実行されるＯＳ（Operating　System）を始め、上記のネットワーク管理サービスを実現するネットワーク管理プログラムなどの各種プログラムに用いられるデータを記憶する記憶デバイスである。

　一実施形態として、記憶部１３は、ネットワーク管理装置１０における補助記憶装置として実装することができる。例えば、記憶部１３には、ＨＤＤ（Hard　Disk　Drive）、光ディスクやＳＳＤ（Solid　State　Drive）などを採用できる。なお、記憶部１３は、必ずしも補助記憶装置として実装されずともよく、ネットワーク管理装置１０における主記憶装置として実装することもできる。この場合、記憶部１３には、各種の半導体メモリ素子、例えばＲＡＭ（Random　Access　Memory)やフラッシュメモリを採用できる。

　記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、トポロジ情報１３ａを記憶する。このトポロジ情報１３ａ以外にも、他の電子データを併せて記憶することもできる。例えば、記憶部１３には、ネットワーク管理者等のユーザの権限を管理するために、ユーザごとに設定操作や閲覧を許可するネットワークデバイス３０またはネットワークデバイス３０のグループが規定されたユーザ権限情報なども記憶することができる。

　トポロジ情報１３ａは、ネットワークＮＷの接続形状に関する情報である。このトポロジ情報１３ａには、デバイス情報１３ａ１、ポート情報１３ａ２およびリンク情報１３ａ３などが含まれる。

　このうち、デバイス情報１３ａ１には、ネットワークデバイス３０に関する情報が定義される。例えば、デバイス情報１３ａ１には、デバイスＩＤ及びデバイス名などの項目が対応付けられたデータを採用できる。ここで言う「デバイスＩＤ」とは、ネットワークデバイス３０を識別する識別情報を指す。また、「デバイス名」とは、ネットワークデバイス３０に定義された名称を指す。なお、ここでは、ネットワークデバイス３０を定義する項目の一例として、デバイス名を例示したが、この他にも製造番号や型番などの他の項目をデバイス情報１３ａ１にさらに含めることもできる。

　また、ポート情報１３ａ２には、ネットワークデバイス３０が有するポートに関する情報が定義される。例えば、ポート情報１３ａ２には、ポートＩＤ、デバイスＩＤ、ポート名、動作モード、ｕｎｔａｇ　ＶＬＡＮ、ｔａｇ　ＶＬＡＮ及びダイナミックＶＬＡＮなどの項目が対応付けられたデータを採用できる。ここで言う「ポートＩＤ」とは、ネットワークデバイス３０が有するポートを識別する識別情報を指す。また、「デバイスＩＤ」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、ネットワークデバイス３０の識別情報を指すが、ここでは、ポートＩＤで識別されるポートを有するネットワークデバイス３０のことを意味する。また、「ポート名」とは、ポートに定義された名称を指す。また、「動作モード」とは、各種のＶＬＡＮの設定によりポートが動作するモードを指す。例えば、スタティックＶＬＡＮ、いわゆるポートベースＶＬＡＮが設定されたアクセスポートには、「アクセス」と記述される。また、タグＶＬＡＮが設定されたトランクポートには、「トランク」と記述される。また、ダイナミックＶＬＡＮが有効化された認証ポートには、「ダイナミック」と記述される。また、「ｕｎｔａｇ　ＶＬＡＮ」は、ポートに設定されたスタティックＶＬＡＮのＶＬＡＮ　ＩＤが記述されるフィールドである。また、「ｔａｇ　ＶＬＡＮ」は、ポートに設定されたタグＶＬＡＮのＶＬＡＮ　ＩＤが記述されるフィールドである。また、「ダイナミックＶＬＡＮ　ＩＤ」は、認証サーバ２０により認証ポートに割り当てられたＶＬＡＮ　ＩＤが記述されるフィールドである。

　また、リンク情報１３ａ３は、ネットワークデバイス３０のポート間を接続するリンクに関する情報が定義される。例えば、リンク情報１３ａ３には、リンクＩＤ、デバイスＩＤ１、ポートＩＤ１、デバイスＩＤ２及びポートＩＤ２などの項目が対応付けられたデータを採用できる。ここで言う「リンクＩＤ」とは、リンクを識別する識別情報を指す。また、「ポートＩＤ１」及び「ポートＩＤ２」は、ポート情報１３ａ２に含まれるポートＩＤと同様に、ポートの識別情報を指すが、ここでは、リンクＩＤで識別されるリンクを接続する２つのポートの識別情報を意味する。さらに、「デバイスＩＤ１」及び「デバイスＩＤ２」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、ネットワークデバイス３０の識別情報を指すが、ここでは、ポートＩＤ１で識別されるポートを有するネットワークデバイス３０の識別情報と、ポートＩＤ２で識別されるポートを有するネットワークデバイス３０の識別情報のことを意味する。このように、リンク情報１３ａ３には、デバイス情報１３ａ１に含まれるポートの中でも、結線済みのポートまたはリンクアップ後のポートが登録される。

　制御部１５は、ネットワーク管理装置１０の全体制御を行う処理部である。

　一実施形態として、制御部１５は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。この他、制御部１５は、ＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。

　制御部１５は、図示しない主記憶装置として実装されるＤＲＡＭ（Dynamic　Random　Access　Memory）やＳＲＡＭ（Static　Random　Access　Memory）などのＲＡＭのワークエリア上に、上記のネットワーク管理サービスの機能を実現する制御プログラムを展開することにより、下記の処理部を仮想的に実現する。

　制御部１５は、図２に示すように、収集部１５ａと、表示制御部１５ｂと、受付部１５ｃと、判定部１５ｄと、設定制御部１５ｅとを有する。

　収集部１５ａは、ネットワークデバイス３０から各種の情報を収集する処理部である。

　一実施形態として、収集部１５ａは、次に挙げるタイミングで、ネットワークＮＷ上のネットワークデバイス３０からトポロジやＶＬＡＮ設定に関する情報を収集する。このような収集が実行されるタイミングの例として、前回に取得が実行されてからの時間が所定の周期、例えば５秒間を経過する場合の他、クライアント端末５０を介して指示入力が行われた場合、図示しない内部メモリに保存されるシステム時刻が所定の定期時刻、例えば６時、１２時、１８時などの時刻に到達する場合などが挙げられる。

　例えば、トポロジに関する情報が収集される場合、収集部１５ａは、show　running-configやshow　interfaces　status等のコマンドをネットワークＮＷ上のネットワークデバイス３０へ送信する。これにより、ポートのリンクアップ状態などをコマンドの戻り値として取得することができる。さらに、収集部１５ａは、show　cdp　neighbors等のコマンドをネットワークＮＷ上のネットワークデバイス３０へ送信する。これにより、コマンドの送信先のネットワークデバイス３０と、コマンドの送信先のネットワークデバイス３０が隣接するネットワークデバイス３０との間でＬＬＤＰ（Link　Layer　Discovery　Protocol）を介してアドバタイズされる情報、例えば互いに接続するポートの情報などをコマンドの戻り値として取得することができる。これらのコマンドを用いて収集された情報にしたがって、収集部１５ａは、トポロジ情報１３ａを生成して記憶部１３へ新規に登録したり、記憶部１３に記憶されたトポロジ情報１３ａを更新したりする。

　なお、ここでは、収集部１５ａにより取得された情報にしたがってトポロジ情報１３ａの登録及び更新が行われる場合を例示したが、これらの登録及び更新は、他の方法により実現することもできる。例えば、ネットワークデバイス３０から取得されるＭＩＢ情報からトポロジ情報１３ａの登録および更新を行うことができる。また、ネットワーク管理者等にクライアント端末５０を介して入力させることとしてもかまわない。この場合、一例として、デバイスアイコンの配置およびポート間を接続するリンクの描画などをクライアント端末５０を介して受け付けることにより、トポロジマップ画面を描画させることができる。

　また、ポートに対する各種のＶＬＡＮの設定が取得される場合、収集部１５ａは、show　vlanやshow　interfaces　trunk等のコマンドをネットワークＮＷ上のネットワークデバイス３０へ送信する。これにより、ポートごとに当該ポートに対する各種のＶＬＡＮの設定をコマンドの戻り値として取得することができる。例えば、ポートの動作モードの他、各種のＶＬＡＮの設定値が取得される。すなわち、動作モードが「アクセス」である場合、アクセスポートに設定されたポートベースＶＬＡＮのＶＬＡＮ　ＩＤが取得される。また、動作モードが「トランク」である場合、トランクポートに設定されたタグＶＬＡＮのＶＬＡＮ　ＩＤが取得される。また、動作モードが「ダイナミック」である場合、認証ポートに割り当てられた認証ＶＬＡＮのＶＬＡＮ　ＩＤが取得される。これらのコマンドを用いて収集された情報にしたがって、収集部１５ａは、トポロジ情報１３ａのポート情報１３ａ２に含まれるＶＬＡＮ設定に関するフィールド、すなわち動作モード、ｕｎｔａｇ　ＶＬＡＮ、ｔａｇ　ＶＬＡＮやダイナミックＶＬＡＮなどに設定値を新規登録したり、更新したりする。

　表示制御部１５ｂは、クライアント端末５０に対する表示制御を行う処理部である。

　一側面として、表示制御部１５ｂは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷに含まれるデバイス間の接続形状が模式化されたトポロジマップ画面をクライアント端末５０に表示させる。例えば、表示制御部１５ｂは、上記のトポロジ情報１３ａのうちデバイス情報１３ａ１に定義されたデバイスＩＤに対応するネットワークデバイス３０が模式化されたデバイスアイコン間を配置する。さらに、表示制御部１５ｂは、上記のトポロジ情報１３ａのうちポート情報１３ａ２にしたがってデバイスアイコンに対応するネットワークデバイス３０が有する各ポートが模式化されたシンボルをさらに展開して表示する。さらに、表示制御部１５ｂは、上記のトポロジ情報１３ａのうちリンク情報１３ａ３にポートＩＤ１及びポートＩＤ２の登録があるネットワークデバイス３０のポートのシンボル同士を接続するリンクの線画をさらに描画する。このようにして生成されたトポロジマップ画面がクライアント端末５０に表示される。さらに、表示制御部１５ｂは、トポロジマップ画面上でネットワークデバイス３０が選択された状態でＶＬＡＮ設定画面の呼び出し操作、例えばトポロジマップ画面とは別のウィンドウに設けられたＶＬＡＮ設定のメニュー操作や右クリックなどの操作が行われた場合、選択が行われたネットワークデバイス３０を設定対象とするＶＬＡＮ設定画面を呼び出すことができる。

　受付部１５ｃは、ＶＬＡＮに関する設定入力を受け付ける処理部である。

　一実施形態として、受付部１５ｃは、クライアント端末５０に表示されたＶＬＡＮ設定画面上でＶＬＡＮに関する設定入力を受け付ける。図４は、ＶＬＡＮ設定画面の一例を示す図である。図４には、Ｎｏｄｅ－１に関するＶＬＡＮ設定画面が示されている。図４に示すように、ＶＬＡＮ設定画面４００には、設定対象とするネットワークデバイス３０が有するポートに関する設定状況の一覧が含まれる。具体的には、ＶＬＡＮ設定画面４００には、Ｅｔｈｅｒｎｅｔ（登録商標）１／０／１～Ｅｔｈｅｒｎｅｔ（登録商標）１／０／１１の１１個のインタフェースごとに、動作モード、ポートベースＶＬＡＮ、タグＶＬＡＮやダイナミックＶＬＡＮの設定状況が表示されている。このうち、動作モードのカラムには、プルダウンメニューが設けられている。このプルダウンメニューへの操作を通じて、現状の動作モードから「アクセス」または「トランク」へ動作モードを編集できる。ここで、ダイナミックＶＬＡＮの有効化、すなわち認証ポートへの変更は、ｔｅｌｎｅｔ等のＣＬＩを介するコマンド入力でしか設定できないので、ＧＵＩコンポーネントであるプルダウンメニューを介する設定入力はできない。このような動作モードの編集の他、ｕｎｔａｇ　ＶＬＡＮ、ｔａｇ　ＶＬＡＮおよびダイナミックＶＬＡＮなどのカラムに設けられたテキストボックスを通じて、ポートベースＶＬＡＮのＶＬＡＮ　ＩＤの編集やタグＶＬＡＮのＶＬＡＮ　ＩＤの編集などを受け付けることができる。このようにＶＬＡＮ設定画面４００のＧＵＩコンポーネントを介して編集を受け付けた上でＯＫボタン４１０または適用ボタン４３０が押下操作された場合、受付部１５ｃは、ＧＵＩコンポーネントを介して編集を受け付けた内容を設定入力として受け付ける。なお、キャンセルボタン４２０が押下操作された場合、ＧＵＩコンポーネントを介して編集を受け付けた内容は設定入力されることなくキャンセルされる。

　判定部１５ｄは、ネットワークＮＷに含まれるネットワークデバイス３０のポートに対して設定入力を受け付けた場合、ポートに対して認証ＶＬＡＮが設定されているか否かを判定する処理部である。

　一実施形態として、判定部１５ｄは、記憶部１３に記憶されたトポロジ情報１３ａに含まれるポート情報１３ａ２を参照して、受付部１５ｃにより設定入力が受け付けられたポートごとに、次のような処理を実行する。すなわち、判定部１５ｄは、ポート情報１３ａ２に含まれるポートの動作モードのうち、設定入力が受け付けられたネットワークデバイス３０のデバイスＩＤおよび設定入力が受け付けられたポートＩＤを持つポートの動作モードを参照する。その上で、判定部１５ｄは、ポート情報１３ａ２から参照されたポートの動作モードが「ダイナミック」であるか否かを判定する。このとき、ポートの動作モードが「ダイナミック」である場合、設定入力が受け付けられたポートに認証ＶＬＡＮが設定されているので、当該ポートが「認証ポート」であると識別できる。一方、ポートの動作モードが「ダイナミック」でない場合、設定入力が受け付けられたポートに認証ＶＬＡＮが設定されていないので、当該ポートが「アクセスポート」または「トランクポート」であると識別できる。

　また、判定部１５ｄは、設定入力が受け付けられたポートが「認証ポート」でない場合、認証ＶＬＡＮのＶＬＡＮＩＤリストを取得する。例えば、判定部１５ｄは、ポート情報１３ａ２に含まれるダイナミックＶＬＡＮ　ＩＤのカラムの値がＮｕｌｌ値でないフィールドを検索する。その後、判定部１５ｄは、検索結果として得られたダイナミックＶＬＡＮ　ＩＤのフィールドからＶＬＡＮ　ＩＤを抽出することにより、認証ＶＬＡＮのＶＬＡＮＩＤリストを作成する。この認証ＶＬＡＮのＶＬＡＮＩＤリストには、認証成功時に認証ポートに割り当てられるＶＬＡＮ　ＩＤと、認証失敗時に認証ポートに割り当てられるゲストのＶＬＡＮ　ＩＤとが含まれうる。その上で、判定部１５ｄは、設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在するか否かを判定する。

　設定制御部１５ｅは、ポートに対する設定の許可または規制を制御する処理部である。

　一側面として、設定制御部１５ｅは、認証ポートに対する設定入力が受け付けられた場合、当該設定入力を規制する。つまり、ＧＵＩコンポーネントを介して編集を受け付けた内容は、ネットワークデバイス３０に反映されることなく、取り消される。さらに、設定制御部１５ｅは、認証ポートに対する設定入力を警告するアラートを出力する。例えば、図４の例で言えば、Ｅｔｈｅｒｎｅｔ（登録商標）１／０／１０は、動作モードが「ダイナミック」であるので、認証ポートである。このＥｔｈｅｒｎｅｔ（登録商標）１／０／１０に設定入力が行われた場合、当該設定入力を規制すると共に、「認証ポートの設定は変更できません。」などの警告メッセージをポップアップ等で表示させることができる。また、アラートの出力形態は、表示に限定されず、警告メッセージを音声出力することもできる。これにより、認証ＶＬＡＮが設定されたポートにポートＶＬＡＮやタグＶＬＡＮなどの設定が上書きされるのを抑制できる。なお、ここでは、認証ポートに対する設定入力を受け付けてからキャンセルする場合を例示したが、後述の通り、認証ポートの動作モードやダイナミックＶＬＡＮ　ＩＤなどの設定状況は表示するものの、認証ポートに対する操作を行うＧＵＩコンポーネントをマスクすることにより設定入力を規制することとしてもかまわない。

　他の側面として、設定制御部１５ｅは、設定入力が受け付けられたポートが「認証ポート」でなくとも、設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在する場合、当該設定入力を規制する。さらに、設定制御部１５ｅは、認証ポートに割り当てられたＶＬＡＮ　ＩＤの使用を警告するアラートを出力する。図５は、ＶＬＡＮ設定画面の一例を示す図である。図５に示すように、ＶＬＡＮ設定画面５００では、インタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／９」のアクセスポートに対するポートベースＶＬＡＮのＶＬＡＮ　ＩＤの設定入力「１０１」が認証サーバ２０により認証ポートへ割り当てられたＶＬＡＮ　ＩＤ「１０１」と一致する受付状況が示されている。このような設定入力を許可すると、インタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／９」のアクセスポートに接続するユーザ端末４０や周辺機器等がユーザ認証やＭＡＣベース認証を経由せずにＶＬＡＮ　ＩＤ「１０１」の仮想ネットワークに接続できてしまう。それ故、インタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／９」のアクセスポートに対するポートベースＶＬＡＮのＶＬＡＮ　ＩＤの設定入力「１０１」を規制する。さらに、「認証ＶＬＡＮで使用されているＶＬＡＮ　ＩＤは、設定することができません。」などの警告メッセージをポップアップ等で表示させることができる。この場合も、アラートの出力形態は、表示に限定されず、警告メッセージを音声出力することもできる。加えて、インタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／９」のアクセスポートに対するポートベースＶＬＡＮのＶＬＡＮ　ＩＤの設定入力「１０１」が行われたテキストボックスを他のテキストボックスとは異なる表示形態で表示することもできる。

　更なる側面として、設定制御部１５ｅは、設定入力が受け付けられたポートが「認証ポート」でなく、かつ設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在しない場合、当該設定入力を許可する。すなわち、設定制御部１５ｅは、ＶＬＡＮ設定画面で設定入力された内容、例えばポートベースＶＬＡＮやタグＶＬＡＮの設定内容に対応するコマンドを生成した上で、ＶＬＡＮ設定画面で指定されたポートを有するネットワークデバイス３０に送信する。これにより、ＶＬＡＮ設定画面のＧＵＩコンポーネントを介して受け付けた設定入力に対応するＶＬＡＮ設定の編集が実現される。

［処理の流れ］
　図６及び図７は、実施例１に係る制御処理の手順を示すフローチャートである。この処理は、一例として、ＶＬＡＮ設定画面のＧＵＩコンポーネントを介してＶＬＡＮに関する設定入力が受け付けられた場合に起動される。ここでは、説明の便宜上、１つのポートに対する設定入力が受け付けられた場合を例示するが、複数のポートに対する設定入力が受け付けられた場合、図６及び図７に示す制御処理は、設定入力が受け付けられたポートごとに実行される。

　図６に示すように、受付部１５ｃによりＶＬＡＮに関する設定入力が受け付けられると（ステップＳ１０１）、判定部１５ｄは、ポート情報１３ａ２に含まれる動作モードのフィールドを参照することにより、ステップＳ１０１でＶＬＡＮに関する設定入力が受け付けられたポートが「認証ポート」であるか否かを判定する（ステップＳ１０２）。

　ここで、ＶＬＡＮに関する設定入力が受け付けられたポートが「認証ポート」である場合（ステップＳ１０２Ｙｅｓ）、設定制御部１５ｅは、当該設定入力を規制すると共に、認証ポートに対する設定入力を警告するアラートを出力し（ステップＳ１０３及びステップＳ１０４）、処理を終了する。

　一方、設定入力が受け付けられたポートが「認証ポート」でない場合（ステップＳ１０２Ｎｏ）、判定部１５ｄは、認証ＶＬＡＮのＶＬＡＮＩＤリストを取得する（ステップＳ１０５）。その上で、判定部１５ｄは、設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在するか否かをさらに判定する（ステップＳ１０６）。

　このとき、設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在する場合（ステップＳ１０６Ｙｅｓ）、設定制御部１５ｅは、次のような処理を実行する。すなわち、設定制御部１５ｅは、ステップＳ１０１で受け付けられた設定入力を規制すると共に、認証ポートに割り当てられたＶＬＡＮ　ＩＤの使用を警告するアラートを出力し（ステップＳ１０７及びステップＳ１０８）、処理を終了する。

　一方、設定入力で指定されたＶＬＡＮ　ＩＤの中に認証ＶＬＡＮのＶＬＡＮＩＤリストに含まれるＶＬＡＮ　ＩＤと一致するものが存在しない場合（ステップＳ１０６Ｎｏ）、設定制御部１５ｅは、当該設定入力を許可する（ステップＳ１０９）。すなわち、設定制御部１５ｅは、ＶＬＡＮ設定画面で設定入力された内容、例えばポートベースＶＬＡＮやタグＶＬＡＮの設定内容に対応するコマンドを生成した上で、ＶＬＡＮ設定画面で指定されたポートを有するネットワークデバイス３０に送信することにより、ＶＬＡＮ設定画面のＧＵＩコンポーネントを介して受け付けた設定入力に対応するＶＬＡＮ設定の編集が実現される。その後、処理を終了する。

　上述してきたように、本実施例に係るネットワーク管理装置１０は、ＶＬＡＮに関する設定入力を受け付けたポートが認証ＶＬＡＮの設定されたポートであるか否かにより、設定入力を規制するか否かを制御する。したがって、本実施例に係るネットワーク管理装置１０によれば、認証ＶＬＡＮが設定されたポートに対する設定の上書きを抑制できる。

　さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。

　例えば、上記の実施例１では、認証ポートに対する設定入力を受け付けてからキャンセルする場合を例示したが、必ずしも設定入力を受け付けずともかまわず、設定入力を受け付ける前から規制することとしてもかまわない。図８は、ＶＬＡＮ設定画面の一例を示す図である。図８に示すように、ＶＬＡＮ設定画面６００のインタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／１０」のポートでは、他のポートの表示と異なり、動作モード、ポートベースＶＬＡＮ、タグＶＬＡＮやダイナミックＶＬＡＮ　ＩＤに対する編集を行うＧＵＩコンポーネントがマスクされる。このため、インタフェース名「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／１」～「Ｅｔｈｅｒｎｅｔ（登録商標）１／０／９」のポートとは異なり、ＧＵＩコンポーネントに対する操作そのものが規制される。それ故、認証ポートに対する設定入力の受付を規制することができるので、上記の実施例１と同様、認証ＶＬＡＮが設定されたポートに対する設定の上書きを抑制できる。

［分散および統合］
　また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、収集部１５ａ、表示制御部１５ｂ、受付部１５ｃ、判定部１５ｄまたは設定制御部１５ｅをネットワーク管理装置１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、収集部１５ａ、表示制御部１５ｂ、受付部１５ｃ、判定部１５ｄまたは設定制御部１５ｅを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもよい。また、記憶部１３に記憶されるトポロジ情報１３ａの全部または一部を別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもかまわない。

［制御プログラム］
　また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図９を用いて、上記の実施例と同様の機能を有する制御プログラムを実行するコンピュータの一例について説明する。

　図９は、実施例１及び実施例２に係る制御プログラムを実行するコンピュータのハードウェア構成例を示す図である。図９に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０～１８０の各部はバス１４０を介して接続される。

　ＨＤＤ１７０には、図９に示すように、上記の実施例１で示した収集部１５ａ、表示制御部１５ｂ、受付部１５ｃ、判定部１５ｄ及び設定制御部１５ｅと同様の機能を発揮する制御プログラム１７０ａが記憶される。この制御プログラム１７０ａは、図２に示した収集部１５ａ、表示制御部１５ｂ、受付部１５ｃ、判定部１５ｄ及び設定制御部１５ｅの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。

　このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０から制御プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、制御プログラム１７０ａは、図９に示すように、制御プロセス１８０ａとして機能する。この制御プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうち制御プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、制御プロセス１８０ａが実行する処理の一例として、図６及び図７に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。

　なお、上記の制御プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ－ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に各プログラムを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体から各プログラムを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などに各プログラムを記憶させておき、コンピュータ１００がこれらから各プログラムを取得して実行するようにしてもよい。

　　　１　　ネットワーク管理システム
　　　３　　監視対象システム
　　１０　　ネットワーク管理装置
　　１１　　通信Ｉ／Ｆ部
　　１３　　記憶部
　　１３ａ　トポロジ情報
　　１５　　制御部
　　１５ａ　収集部
　　１５ｂ　表示制御部
　　１５ｃ　受付部
　　１５ｄ　判定部
　　１５ｅ　設定制御部
　　２０　　認証サーバ
　　３０Ａ，３０Ｂ，３０Ｃ　　ネットワークデバイス
　　４０Ａ，４０Ｂ，４０Ｃ　　ユーザ端末
　　５０　　クライアント端末

Claims (12)

1. 　監視対象のネットワークに含まれる装置のポートに対して設定入力を受け付けた場合、前記ポートに対して認証機能付きの認証ＶＬＡＮが設定されているか否かを判定し、
   　前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、前記設定入力を規制し、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合には、前記設定入力を許可する、
   　処理をコンピュータに実行させることを特徴とする制御プログラム。
2. 　前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、受け付けた前記設定入力を規制する、
   　処理をコンピュータに実行させることを特徴とする請求項１に記載の制御プログラム。
3. 　前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
   　処理をコンピュータに実行させることを特徴とする請求項１に記載の制御プログラム。
4. 　前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
   　処理をコンピュータに実行させることを特徴とする請求項２に記載の制御プログラム。
5. 　監視対象のネットワークに含まれる装置のポートに対して設定入力を受け付けた場合、前記ポートに対して認証機能付きの認証ＶＬＡＮが設定されているか否かを判定し、
   　前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、前記設定入力を規制し、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合には、前記設定入力を許可する、
   　処理をコンピュータが実行することを特徴とする制御方法。
6. 　前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、受け付けた前記設定入力を規制する、
   　処理をコンピュータが実行することを特徴とする請求項５に記載の制御方法。
7. 　前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
   　処理をコンピュータが実行することを特徴とする請求項５に記載の制御方法。
8. 　前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
   　処理をコンピュータが実行することを特徴とする請求項６に記載の制御方法。
9. 　監視対象のネットワークに含まれる装置のポートに対して設定入力を受け付けた場合、前記ポートに対して認証機能付きの認証ＶＬＡＮが設定されているか否かを判定する判定部と、
   　前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、前記設定入力を規制し、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合には、前記設定入力を許可する設定制御部と、
   　を有することを特徴とする制御装置。
10. 　前記設定制御部は、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、受け付けた前記設定入力を規制する、
    　ことを特徴とする請求項９に記載の制御装置。
11. 　前記設定制御部は、前記ポートに認証ＶＬＡＮが設定されていると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
    　ことを特徴とする請求項９に記載の制御装置。
12. 　前記設定制御部は、前記ポートに認証ＶＬＡＮが設定されていないと判定した場合であって、受け付けた前記設定入力が他のポートに設定されている認証ＶＬＡＮの識別情報であると判定した場合には、さらに前記設定入力を規制する旨のアラートを出力する、
    　ことを特徴とする請求項１０に記載の制御装置。

Images