JP2009171194A - パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 - Google Patents
パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 Download PDFInfo
- Publication number
- JP2009171194A JP2009171194A JP2008006703A JP2008006703A JP2009171194A JP 2009171194 A JP2009171194 A JP 2009171194A JP 2008006703 A JP2008006703 A JP 2008006703A JP 2008006703 A JP2008006703 A JP 2008006703A JP 2009171194 A JP2009171194 A JP 2009171194A
- Authority
- JP
- Japan
- Prior art keywords
- topology
- network
- packet
- sampling
- estimation
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/12—Discovery or management of network topologies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/147—Network analysis or design for predicting network behaviour
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/149—Network analysis or design for prediction of maintenance
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/022—Capturing of monitoring data by sampling
- H04L43/024—Capturing of monitoring data by sampling by adaptive sampling
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/02—Standardisation; Integration
- H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Maintenance And Management Of Digital Transmission (AREA)
Abstract
【課題】単一点のサンプリング結果のみを用いる場合であっても、サンプリング手法を工夫することにより、他ネットワークに発生した品質異常やその影響範囲を把握することのできるパケットサンプリング方法を得る。
【解決手段】ネットワークに流れる通信パケットを収集するパケット収集ステップと、パケット収集ステップで取得した通信パケットに基づきネットワークのトポロジーを推定するトポロジー推定ステップと、トポロジー推定ステップの推定結果を用いてネットワークに流れる通信パケットをサンプリングし、そのサンプリング結果を記憶手段130に格納するサンプリングステップと、を有し、トポロジー推定ステップでは、ネットワークのトポロジーの推定結果を記憶手段130に格納し、サンプリングステップでは、推定結果中の所定の項目毎にサンプリング結果を集約して記憶手段130に格納する。
【選択図】図3
【解決手段】ネットワークに流れる通信パケットを収集するパケット収集ステップと、パケット収集ステップで取得した通信パケットに基づきネットワークのトポロジーを推定するトポロジー推定ステップと、トポロジー推定ステップの推定結果を用いてネットワークに流れる通信パケットをサンプリングし、そのサンプリング結果を記憶手段130に格納するサンプリングステップと、を有し、トポロジー推定ステップでは、ネットワークのトポロジーの推定結果を記憶手段130に格納し、サンプリングステップでは、推定結果中の所定の項目毎にサンプリング結果を集約して記憶手段130に格納する。
【選択図】図3
Description
本発明は、ネットワークに流れる通信パケットをサンプリングする方法、その装置、これらを利用したネットワーク監視装置に関するものである。
従来、トラフィック解析におけるパケットサンプリング手法は、パケットやフローをどのように統計情報として落とし込むかという観点で発達してきた。下記非特許文献1は、それらのサンプリング手法を標準化するための文書であり、世の中で主流となるサンプリング技術が5章に列挙されている。
これらによれば、サンプリング手法は大きく以下の2種類に分類される。
これらによれば、サンプリング手法は大きく以下の2種類に分類される。
(1)Systematic Sampling
システマティックに、時間あるいはパケット数を用いてパケットを抽出して統計情報を作る手法である。
(2)Random Sampling
確率的にパケットを選ぶ、あるいはフローを元にパケットを抽出して統計情報を作る手法である。
システマティックに、時間あるいはパケット数を用いてパケットを抽出して統計情報を作る手法である。
(2)Random Sampling
確率的にパケットを選ぶ、あるいはフローを元にパケットを抽出して統計情報を作る手法である。
また、『パケット網において品質低下の発生及び発生部位を特定できる品質状態監視方法を実現する。』ことを目的とした技術として、『本発明によるパケット網の品質状態監視方法は、監視対象パケットの送信状態と受信状態を比較することによりネットワーク品質を監視し、品質低下を発見した場合には品質低下発生区間を判定する方法であって、品質測定監視対象となる網に測定装置(11,12,13)を複数台設置し、それぞれの測定装置においてパケットをプローブして得られたパケット通過時刻系列をもとにして、相互相関関数を計算して品質評価を行い(21,22)、品質低下が発生していると判断した場合(23)には、予めパケット転送経路情報から木構造となる論理トポロジーを作成し(30)、その論理トポロジーを利用して品質低下発生個所を判定する(40)ことを特徴とする。』というものが提案されている(特許文献1)。
上記非特許文献1に記載のサンプリング手法は、特定のルータ等に流れるパケットを、例えば1分間隔で観測して選択したパケットに関して、当該ルータまたは当該ルータが備えるネットワークインターフェース毎に、サンプリングにより選択したパケットがどのような種別のパラメータを含んでいるかを統計情報として保持するために利用される。
しかしながら、この手法で得られるのは、当該ルータ単体の統計情報のみであり、複数のルータを組み合わせたネットワーク全体としての統計情報は得られない。
しかしながら、この手法で得られるのは、当該ルータ単体の統計情報のみであり、複数のルータを組み合わせたネットワーク全体としての統計情報は得られない。
また、上記特許文献1に記載の技術を用いる場合、各監視装置でパケットをプローブして得られたデータを集約してネットワーク全体の品質管理を行うことが考えられるが、品質管理の対象は、プローブを実施したネットワークに限定される。
セキュリティ管理を行う場合であれば、自網のプローブ結果に問題がなければそれで管理としては足りるが、品質管理を行う場合は、他網の影響を受け、あるいは他網が要因となって自網の品質劣化が生じることがあり、管理対象のネットワークが限定されると、自網の十分な品質管理を行うことができない場合がある。
また、自網の品質状態を他網に公開すると、他のネットワーク業者へ自網のネットワーク規模、設備、トポロジー情報などの秘密情報を公開してしまうことになりかねず、品質状態の公開を行いにくいということも、上記を助長する遠因となっている。
セキュリティ管理を行う場合であれば、自網のプローブ結果に問題がなければそれで管理としては足りるが、品質管理を行う場合は、他網の影響を受け、あるいは他網が要因となって自網の品質劣化が生じることがあり、管理対象のネットワークが限定されると、自網の十分な品質管理を行うことができない場合がある。
また、自網の品質状態を他網に公開すると、他のネットワーク業者へ自網のネットワーク規模、設備、トポロジー情報などの秘密情報を公開してしまうことになりかねず、品質状態の公開を行いにくいということも、上記を助長する遠因となっている。
そのため、単一点のサンプリング結果のみを用いる場合であっても、サンプリング手法を工夫することにより、他ネットワークに発生した品質異常やその影響範囲を把握することのできるネットワーク監視装置、これに用いるパケットサンプリング方法および装置が望まれていた。
本発明に係るパケットサンプリング方法は、ネットワークに流れる通信パケットをサンプリングする方法であって、サンプリング結果を格納する記憶手段を設けておき、前記ネットワークに流れる通信パケットを収集するパケット収集ステップと、前記パケット収集ステップで取得した通信パケットに基づき前記ネットワークのトポロジーを推定するトポロジー推定ステップと、前記トポロジー推定ステップの推定結果を用いて前記ネットワークに流れる通信パケットをサンプリングし、そのサンプリング結果を前記記憶手段に格納するサンプリングステップと、を有し、前記トポロジー推定ステップでは、前記ネットワークのトポロジーの推定結果を前記記憶手段に格納し、前記サンプリングステップでは、前記推定結果中の所定の項目毎にサンプリング結果を集約して前記記憶手段に格納するものである。
本発明に係るパケットサンプリング方法によれば、ネットワークのトポロジーをあらかじめ推定しておくことにより、サンプリング対象を絞り込むとともに、他網との相関関係の中でパケットの挙動を把握することができる。
これにより、単一点のサンプリング結果のみを用いてネットワーク監視を行う場合であっても、自網と他網の障害を切り分けることが容易になる効果がある。
これにより、単一点のサンプリング結果のみを用いてネットワーク監視を行う場合であっても、自網と他網の障害を切り分けることが容易になる効果がある。
実施の形態1.
図1は、本発明の実施の形態1に係るパケットサンプリング装置100の機能ブロック図である。
パケットサンプリング装置100は、通信パケットをサンプリングする対象のネットワークに接続され、後述の手法によりサンプリングを行う装置であり、パケット収集部110、トポロジー推定部120、記憶部130、ルール生成部140、パケットサンプリング部150を備える。
図1は、本発明の実施の形態1に係るパケットサンプリング装置100の機能ブロック図である。
パケットサンプリング装置100は、通信パケットをサンプリングする対象のネットワークに接続され、後述の手法によりサンプリングを行う装置であり、パケット収集部110、トポロジー推定部120、記憶部130、ルール生成部140、パケットサンプリング部150を備える。
パケット収集部110は、ネットワークに接続され、当該ネットワークを流れる通信パケットを収集し、トポロジー推定部120とパケットサンプリング部150に出力する。
トポロジー推定部120は、パケット収集部110が収集したパケットを用いて、当該ネットワークおよび近隣のネットワークのトポロジーを推定し、推定結果を記憶部130に格納する。推定手法については後述する。
トポロジー推定部120は、パケット収集部110が収集したパケットを用いて、当該ネットワークおよび近隣のネットワークのトポロジーを推定し、推定結果を記憶部130に格納する。推定手法については後述する。
ルール生成部140は、ネットワークトポロジーの推定結果を記憶部130から読み出し、その推定結果に基づき、パケットのサンプリング規則を生成する。
パケットサンプリング部150は、ルール生成部140が生成したサンプリング規則に基づき、パケット収集部110が収集したパケットのサンプリングを行う。
ここでいうサンプリング規則とは、パケット収集部110が収集したパケットをどのようにサンプリングし、または集約するかの規則を表すものである。詳細は後述する。
パケットサンプリング部150は、ルール生成部140が生成したサンプリング規則に基づき、パケット収集部110が収集したパケットのサンプリングを行う。
ここでいうサンプリング規則とは、パケット収集部110が収集したパケットをどのようにサンプリングし、または集約するかの規則を表すものである。詳細は後述する。
パケット収集部110は、接続するネットワークに合わせたネットワークインターフェースを適宜備える。
トポロジー推定部120、ルール生成部140、パケットサンプリング部150は、これらの機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPU(Central Processing Unit)やマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
記憶部130は、サンプリング容量の観点から、HDD(Hard Disk Drive)のような比較的大容量の記憶装置で構成することが好ましい。
トポロジー推定部120、ルール生成部140、パケットサンプリング部150は、これらの機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPU(Central Processing Unit)やマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
記憶部130は、サンプリング容量の観点から、HDD(Hard Disk Drive)のような比較的大容量の記憶装置で構成することが好ましい。
以上、パケットサンプリング装置100の構成について説明した。
次に、トポロジー推定部120が実施するネットワークトポロジーの推定手法、および推定結果の格納形式について説明する。
次に、トポロジー推定部120が実施するネットワークトポロジーの推定手法、および推定結果の格納形式について説明する。
図2は、トポロジー推定部120が推定するネットワークトポロジーの格納形式を示すものである。図2(a)は実際のネットワークトポロジー例、図2(b)はトポロジー推定部120の推定結果の格納形式を表す。
図2(a)において、F〜Qはネットワークトポロジーの構成要素を示す。また、IXは「Internet eXchange」(インターネットプロバイダ同士の相互接続ポイント)である。
ここでいうネットワークトポロジーの構成要素は、個別の通信端末のような機器を単位とするのではなく、1つのネットワークセグメント、AS(Autonomous System)などの、ネットワークまたはこれに準ずるものを単位とする。
ただし、ネットワーク監視の便宜に資する場合など、必要に応じて重要なルータなどを構成要素に入れてもよい。
即ち、トポロジー推定部120が推定するネットワークトポロジーは、ネットワーク同士の接続関係を示すトポロジーを指すものであると言える。
ここでいうネットワークトポロジーの構成要素は、個別の通信端末のような機器を単位とするのではなく、1つのネットワークセグメント、AS(Autonomous System)などの、ネットワークまたはこれに準ずるものを単位とする。
ただし、ネットワーク監視の便宜に資する場合など、必要に応じて重要なルータなどを構成要素に入れてもよい。
即ち、トポロジー推定部120が推定するネットワークトポロジーは、ネットワーク同士の接続関係を示すトポロジーを指すものであると言える。
なお、ASとは、大規模IPネットワーク内にある、インターネットプロバイダなどの組織が運用する自立したネットワークのことであり、日本国内では、JPNIC(日本ネットワークインフォメーションセンター)が管理するAS番号により識別される。
図2(a)のようなネットワークトポロジーは、図2(b)のようなツリー状の形式で表すことができる。図2(b)では、ネットワークFを起点とした2ホップ以内の他ネットワークまでの経路を、ツリー形式で表現した。
例えば、ネットワークFから1ホップ以内には、ネットワークL、O、G、H、Iが存在しているため、ネットワークFの子ノードにこれらのネットワークを割り当てる。2ホップ先のネットワークが存在する場合は、孫ノードにそのネットワークを割り当てる。
このようにして、ネットワークFをルートノードとしたツリーが構成され、このツリーにより、ネットワークFと他ネットワークとの接続関係、およびホップ数を表現することができる。
以下、このようにツリー状に表現されたネットワークトポロジーのことを、「トポロジーツリー」と呼ぶことにする。
例えば、ネットワークFから1ホップ以内には、ネットワークL、O、G、H、Iが存在しているため、ネットワークFの子ノードにこれらのネットワークを割り当てる。2ホップ先のネットワークが存在する場合は、孫ノードにそのネットワークを割り当てる。
このようにして、ネットワークFをルートノードとしたツリーが構成され、このツリーにより、ネットワークFと他ネットワークとの接続関係、およびホップ数を表現することができる。
以下、このようにツリー状に表現されたネットワークトポロジーのことを、「トポロジーツリー」と呼ぶことにする。
次に、トポロジー推定部120が図2(b)の推定結果を得る手順を説明する。
まず、パケット収集部110が収集したパケットのうち、いずれを用いてトポロジーを推定するのが最も効率的あるいは推定精度が良いか、について考える。
単純には、パケット収集部110が収集した全てのパケットを用いてトポロジーを推定することも考えられるが、より効率的あるいは精度良く推定を行うためには、ネットワーク上を多く流れるパケット種別や、セッションが安定しているパケット種別に着目し、その挙動に基づき推定を行うことが好ましい。
そこで、本実施の形態1では、ネットワーク上を流れるP2P(Peer to Peer)パケットに着目することにする。
単純には、パケット収集部110が収集した全てのパケットを用いてトポロジーを推定することも考えられるが、より効率的あるいは精度良く推定を行うためには、ネットワーク上を多く流れるパケット種別や、セッションが安定しているパケット種別に着目し、その挙動に基づき推定を行うことが好ましい。
そこで、本実施の形態1では、ネットワーク上を流れるP2P(Peer to Peer)パケットに着目することにする。
P2Pに着目するのは、一般的なP2Pシステムでは独自のP2Pネットワークが形成され保持されることが多く、各々のセッション継続時間が長いため、それぞれのセッションの品質値の揺らぎを把握しやすい、という利点があることによる。
例えば、ファイル共有型のP2Pシステムであれば、ある特定のIPアドレスと複数のIPアドレスの間でセッションが張られることが多く、この特定のIPアドレスがコアノードとして振舞う。そのため、トラフィックの中心となるセッションを特定しやすく、トポロジーの推定に用いるのに好ましいのである。
例えば、ファイル共有型のP2Pシステムであれば、ある特定のIPアドレスと複数のIPアドレスの間でセッションが張られることが多く、この特定のIPアドレスがコアノードとして振舞う。そのため、トラフィックの中心となるセッションを特定しやすく、トポロジーの推定に用いるのに好ましいのである。
次に、トポロジー推定部120の動作手順を、ステップを追って説明する。
(1)P2Pパケットの取得
トポロジー推定部120は、Port番号で特定ができるようなP2Pプロトコルを推定に用いる場合は、パケット収集部110が収集したパケットのうち、そのPort番号を用いるパケットを監視する。
Port番号で特定ができないようなP2Pプロトコルを推定に用いる場合は、あらかじめ定義しておいた挙動パターンとのマッチングを行うことにより、当該P2Pプロトコルのパケットを特定し監視する。
後者の手法は、シグネチャ型のIDS(Intrusion Detection System)が類似の手法を用いているので、これを参考にするとよい。
トポロジー推定部120は、Port番号で特定ができるようなP2Pプロトコルを推定に用いる場合は、パケット収集部110が収集したパケットのうち、そのPort番号を用いるパケットを監視する。
Port番号で特定ができないようなP2Pプロトコルを推定に用いる場合は、あらかじめ定義しておいた挙動パターンとのマッチングを行うことにより、当該P2Pプロトコルのパケットを特定し監視する。
後者の手法は、シグネチャ型のIDS(Intrusion Detection System)が類似の手法を用いているので、これを参考にするとよい。
(2)P2Pセッションの順位付け
トポロジー推定部120は、監視したP2Pプロトコルに関して、トラフィック量を元に順位付けを行い、例えば上位50セッションを抽出する。上位のセッションを採用するのは、パケットを安定して監視できるためである。
即ち、上位のセッションには、多くのネットワークセグメントからの通信が集まっているものと推測されるので、これに着目することにより、トポロジーの構成要素を網羅することができる可能性が高まることに鑑みたものである。
トポロジー推定部120は、監視したP2Pプロトコルに関して、トラフィック量を元に順位付けを行い、例えば上位50セッションを抽出する。上位のセッションを採用するのは、パケットを安定して監視できるためである。
即ち、上位のセッションには、多くのネットワークセグメントからの通信が集まっているものと推測されるので、これに着目することにより、トポロジーの構成要素を網羅することができる可能性が高まることに鑑みたものである。
(3)グループ化
トポロジー推定部120は、抽出したセッションを送受信アドレス毎にマッピングし、同一のネットワークセグメントやASに属するIPアドレスをグループ化する。
グループ化の手法は、例えば以下のようにすることができる。
トポロジー推定部120は、抽出したセッションを送受信アドレス毎にマッピングし、同一のネットワークセグメントやASに属するIPアドレスをグループ化する。
グループ化の手法は、例えば以下のようにすることができる。
(3.1)既存のトポロジー情報を含む経路情報が入手できるのであれば、これを使用してネットワークセグメントやASのIPアドレス範囲を特定できるので、ステップ(2)で得た上位セッション中の各IPアドレスの所属するグループが分かる。
(3.2)既存のトポロジー情報が得られない場合は、IPアドレスからAS番号を逆引きすることで、ステップ(2)で得た上位セッション中の各IPアドレスを所属先のASに集約してグループ化することができる。
(3.3)その他、ステップ(2)で得た上位セッション中の各IPアドレスに対し、経路情報を逆引きし(例えばtracerouteを実行する)、途中で経由するネットワークをグループ化することで、当該IPアドレスがネットワーク上のどの位置にあるかを概ね推定することができる。
以上のような手法でIPアドレスをグループ化していくと、各IPアドレス単位の接続関係が、ネットワークセグメント単位やAS単位の接続関係に集約されていく。最終的には、ネットワークセグメントやAS同士の接続関係や隣接関係が判明し、図2(b)のようなトポロジーツリーを得ることができる。
実際の各IPアドレスの経路情報上では、複数のルータ等を経由するのが通常である。
しかし、これら各ルータがいずれのネットワークセグメントやASに所属するかが判明すると、「どのルータを経由して当該IPアドレスに到達できるか」という情報を、「どのネットワークセグメントやASを経由して当該IPアドレスに到達できるか」という情報に読み替えることができる。
即ち、IPアドレスをグループ化していくと、ネットワークセグメント単位やAS単位の接続関係が自動的に得られ、もってトポロジーの推定が可能となるのである。
しかし、これら各ルータがいずれのネットワークセグメントやASに所属するかが判明すると、「どのルータを経由して当該IPアドレスに到達できるか」という情報を、「どのネットワークセグメントやASを経由して当該IPアドレスに到達できるか」という情報に読み替えることができる。
即ち、IPアドレスをグループ化していくと、ネットワークセグメント単位やAS単位の接続関係が自動的に得られ、もってトポロジーの推定が可能となるのである。
例えば、ネットワークFから、ネットワークQに存在するIPアドレスに対してtracerouteを実行すると、途中の経路で、ネットワークOに存在するルータを経由していることが判明したとする。
この場合、「F−>O−>Q」というネットワークトポロジーが得られる。
この場合、「F−>O−>Q」というネットワークトポロジーが得られる。
同様に、ネットワークFから、ネットワークHに存在するIPアドレスに対してtracerouteを実行すると、途中の経路で、ネットワークセグメントHのみを経由していることが判明したとする。
この場合、「F−>H」というネットワークトポロジーが得られる。
この場合、「F−>H」というネットワークトポロジーが得られる。
(4)トポロジー推定の終了
図2(b)のようなトポロジーツリーは、トポロジー推定部120が推定したものであるため、実際のトポロジーとずれている可能性がある。しかし、一般には、十分な数の枝が得られていれば、基礎となるセッションデータ数も十分であり、したがって推定精度も高いものと思われる。
そこで、トポロジー推定部120は、IPアドレスをグループ化してトポロジーツリーを得た結果、所定の数以上の枝が得られているか否かなどを判定基準として、トポロジー推定を終了する。あるいは、処理時間やメモリ容量の観点から、一定時間経過後などに推定処理を終了してもよい。
図2(b)のようなトポロジーツリーは、トポロジー推定部120が推定したものであるため、実際のトポロジーとずれている可能性がある。しかし、一般には、十分な数の枝が得られていれば、基礎となるセッションデータ数も十分であり、したがって推定精度も高いものと思われる。
そこで、トポロジー推定部120は、IPアドレスをグループ化してトポロジーツリーを得た結果、所定の数以上の枝が得られているか否かなどを判定基準として、トポロジー推定を終了する。あるいは、処理時間やメモリ容量の観点から、一定時間経過後などに推定処理を終了してもよい。
トポロジー推定をできる限り精度良く行うためには、収集するセッションデータや推定処理時間を多くするほど好ましい。
しかし、上述のように途中で推定を終了したとしても、推定に用いるセッションデータは上位50セッションを抽出したものであるため、これらのセッションはP2Pネットワークの中でコアノードとして動作している機器を多く含んでいるものと思われ、したがってセッションとして安定しており、トポロジーの推定には適していると言える。
そのため、上述のような手法でも、一定の精度でトポロジーを推定することができるものと予測される。
しかし、上述のように途中で推定を終了したとしても、推定に用いるセッションデータは上位50セッションを抽出したものであるため、これらのセッションはP2Pネットワークの中でコアノードとして動作している機器を多く含んでいるものと思われ、したがってセッションとして安定しており、トポロジーの推定には適していると言える。
そのため、上述のような手法でも、一定の精度でトポロジーを推定することができるものと予測される。
(5)トポロジー推定結果の出力
トポロジー推定部120は、以上のステップで得られたトポロジーツリーを、記憶部130に格納する。ルール生成部140は、これを読み出して、次の図3で説明するサンプリング規則を生成する。
トポロジー推定部120は、以上のステップで得られたトポロジーツリーを、記憶部130に格納する。ルール生成部140は、これを読み出して、次の図3で説明するサンプリング規則を生成する。
以上、トポロジー推定部120の処理内容について説明した。
次に、ルール生成部140の処理について説明する。
次に、ルール生成部140の処理について説明する。
図3は、ルール生成部140が生成するサンプリング規則とそのデータ例を説明するものである。
図3(a)は、図2(b)で説明した、トポロジー推定部120が作成するトポロジーツリーである。
図3(b)は、ルール生成部140が生成するサンプリング規則である。ルール生成部140は、記憶部130に格納されているトポロジーツリーを読み出して、これに基づきサンプリング規則を生成する。
このサンプリング規則は、パケットサンプリング部150がサンプリングを行う際の基準となるものである。サンプリングに関しては、後述の図4で説明する。
図3(a)は、図2(b)で説明した、トポロジー推定部120が作成するトポロジーツリーである。
図3(b)は、ルール生成部140が生成するサンプリング規則である。ルール生成部140は、記憶部130に格納されているトポロジーツリーを読み出して、これに基づきサンプリング規則を生成する。
このサンプリング規則は、パケットサンプリング部150がサンプリングを行う際の基準となるものである。サンプリングに関しては、後述の図4で説明する。
サンプリング規則は、トポロジーツリーの枝毎に少なくとも1行を割り当てた表形式のデータであり、「トポロジー」列、「監視ピア1」列、「監視ピア2」列、「監視ピア3」列、「プロトコル」列、「Port」列を有する。
「トポロジー」列には、トポロジーツリーの1枝に相当するネットワーク経路が格納される。具体的には、ルートノードからリーフノードに到達するまでに経由するネットワーク名を、経由する順番に格納する。
「監視ピア1」列には、監視点となるルートノード(ここではネットワークF)が表すネットワーク内の監視対象IPアドレスが格納される。
図3(b)の例では、ルートノードに相当するネットワークFは、ネットワークアドレス「10.20.30.*」に概ね相当し、同ネットワーク内に存在するいくつかのIPアドレスが、監視対象となっていることが分かる。
ここでの監視対象となるIPアドレスは、トポロジー推定部120が抽出した上位セッション50以内に含まれるものでもあるため、対象のP2Pプロトコルを定常的に利用している、重点監視対象であるということもできる。
図3(b)の例では、ルートノードに相当するネットワークFは、ネットワークアドレス「10.20.30.*」に概ね相当し、同ネットワーク内に存在するいくつかのIPアドレスが、監視対象となっていることが分かる。
ここでの監視対象となるIPアドレスは、トポロジー推定部120が抽出した上位セッション50以内に含まれるものでもあるため、対象のP2Pプロトコルを定常的に利用している、重点監視対象であるということもできる。
「監視ピア2」列には、図3(a)のトポロジーツリーの最も右側にあるノード(リーフノード)が表すネットワーク内の監視対象IPアドレスが格納される。
図3(b)の例では、例えば1行目のデータによると、ネットワークF内のIPアドレス「10.20.30.1」と、ネットワークL内のIPアドレス「20.10.10.100」とが、通信を行っていることが分かる。
ここでの監視対象となるIPアドレスも、上位50セッション内に含まれるものであるため、「監視ピア1」と同様に、重点監視対象であると言える。
図3(b)の例では、例えば1行目のデータによると、ネットワークF内のIPアドレス「10.20.30.1」と、ネットワークL内のIPアドレス「20.10.10.100」とが、通信を行っていることが分かる。
ここでの監視対象となるIPアドレスも、上位50セッション内に含まれるものであるため、「監視ピア1」と同様に、重点監視対象であると言える。
「監視ピア3」列には、「監視ピア2」の通信相手が監視点の属するネットワークに含まれない場合の、ルートノード(ネットワークF)を中継した先のIPアドレスが格納される。
図3(b)の例では、例えば2行目と4行目のデータによると、ネットワークM内にあるIPアドレス「30.10.10.1」は、ネットワークFを経由して、ネットワークO内のIPアドレス「50.10.10.2」に宛てた通信を行っていることが分かる。
ここでの監視対象となるIPアドレスも、上位50セッション内に含まれるものであるため、「監視ピア1」「監視ピア2」と同様に、重点監視対象であると言える。
図3(b)の例では、例えば2行目と4行目のデータによると、ネットワークM内にあるIPアドレス「30.10.10.1」は、ネットワークFを経由して、ネットワークO内のIPアドレス「50.10.10.2」に宛てた通信を行っていることが分かる。
ここでの監視対象となるIPアドレスも、上位50セッション内に含まれるものであるため、「監視ピア1」「監視ピア2」と同様に、重点監視対象であると言える。
「プロトコル」列には、サンプリングするプロトコルを限定する場合に、当該プロトコル名が格納される。
「Port」列には、特定のサービスを監視する場合に,サンプリングするサービスのPort番号を限定する場合に、当該Port番号が格納される。
「Port」列には、特定のサービスを監視する場合に,サンプリングするサービスのPort番号を限定する場合に、当該Port番号が格納される。
図3(b)のデータ例では、ネットワークFに存在するIPアドレス「10.20.30.1」が多く出現するため、このIPアドレスを有する通信機器のユーザが、定常的に特定のP2Pプロトコルを使用している可能性がある。
なお、同一の「トポロジー」列の値に対して、複数の監視対象IPアドレスが存在する場合には、監視対象IPアドレス毎に別個の行を生成し、障害の切り分けなどを行いやすくするよう配慮する。
例えば、ネットワークL内に、ネットワークF内のIPアドレス「10.20.30.1」と通信を行っているIPアドレス「20.10.10.101」が存在する場合は、図3(b)の1行目に加えて、新たに下記の行を生成しておく。
例えば、ネットワークL内に、ネットワークF内のIPアドレス「10.20.30.1」と通信を行っているIPアドレス「20.10.10.101」が存在する場合は、図3(b)の1行目に加えて、新たに下記の行を生成しておく。
(a)「トポロジー」=(F,L)
(b)「監視ピア1」=10.20.30.1
(c)「監視ピア2」=20.10.10.101
(b)「監視ピア1」=10.20.30.1
(c)「監視ピア2」=20.10.10.101
同様に、同一の「トポロジー」列の値に対して、監視対象のプロトコルやPort番号を複数設定する場合は、別個の行を生成してもよい。
以上、ルール生成部140の処理内容について説明した。
次に、パケットサンプリング部150の処理について説明する。
次に、パケットサンプリング部150の処理について説明する。
図4は、パケットサンプリング部150が、サンプリング規則に基づきサンプリングを行って生成する統計情報を説明するものである。
統計情報は、ルール生成部140が生成するサンプリング規則に基づいて生成されるため、集計単位は図3(b)で説明したサンプリング規則の行と同様である。
統計情報は、ルール生成部140が生成するサンプリング規則に基づいて生成されるため、集計単位は図3(b)で説明したサンプリング規則の行と同様である。
パケットサンプリング部150は、サンプリング規則で指定される集計単位毎に、パケットの品質指標となる値を集計する。図4では、品質指標として「Packet Loss」を用いた例を示した。
パケットサンプリング部150は、所定の時間間隔、例えば1分毎に、パケット収集部110が収集したパケットをサンプリングし、「Packet Loss」の値を集計しながら同列に格納する。
パケットサンプリング部150は、所定の時間間隔、例えば1分毎に、パケット収集部110が収集したパケットをサンプリングし、「Packet Loss」の値を集計しながら同列に格納する。
例えば、図4の5行目のデータによれば、IPアドレス「10.20.30.50」と「60.10.10.11」の間の通信では、200個のパケットロスが発生していることが分かる。
なお、図4において、記載の簡易の観点から、「プロトコル」列と「Port」列を省略したことを付言しておく。
また、図4の統計情報は、記憶部130に格納するようにしておくと後の読み出しに便宜であるが、格納先はいずれでもよい。例えば、図示しないメモリ中に保持しておくようにしてもよい。
また、図4の統計情報は、記憶部130に格納するようにしておくと後の読み出しに便宜であるが、格納先はいずれでもよい。例えば、図示しないメモリ中に保持しておくようにしてもよい。
図4のような統計情報を参照することで、重点監視対象としたIPアドレスが存在するネットワークに異常が発生しているか否かを判定することができる。具体的な判定手法は後述の実施の形態2で説明する。
以上のように、本実施の形態1に係るパケットサンプリング装置100では、トポロジー推定部120が推定したネットワークトポロジーに基づき、ルール生成部140がサンプリング規則を生成し、パケットサンプリング部150はそのサンプリング規則に基づきサンプリングを行って、品質指標の統計情報を生成する。
そのため、ネットワークトポロジーを構成する各ネットワーク単位で品質指標の統計が得られるので、単一点のサンプリング結果のみを用いる場合でも、他ネットワークで発生した障害の影響を、自ネットワークの障害と切り分けることができる。
そのため、ネットワークトポロジーを構成する各ネットワーク単位で品質指標の統計が得られるので、単一点のサンプリング結果のみを用いる場合でも、他ネットワークで発生した障害の影響を、自ネットワークの障害と切り分けることができる。
即ち、単純にネットワークの品質指標を集計するのではなく、ネットワーク単位で集約されたネットワークトポロジーの構成要素毎に品質指標を集計するので、いずれかのネットワークに障害が発生した場合に、その障害の影響が品質指標の集計結果に反映されることになり、かかる切り分けが可能になるのである。
もちろん、その前提として、ネットワークトポロジーの推定を適切に行っていることが奏効していることは、言うまでもない。
もちろん、その前提として、ネットワークトポロジーの推定を適切に行っていることが奏効していることは、言うまでもない。
実施の形態2.
図5は、本発明の実施の形態2に係るネットワーク監視装置200の機能ブロック図である。
ネットワーク監視装置200は、ネットワークに接続され、通信パケットのサンプリング結果に基づき、ネットワークの品質異常を監視する装置であり、実施の形態1で説明したパケットサンプリング装置100の構成に加え、新たにネットワーク異常検知部210を備える。
図5は、本発明の実施の形態2に係るネットワーク監視装置200の機能ブロック図である。
ネットワーク監視装置200は、ネットワークに接続され、通信パケットのサンプリング結果に基づき、ネットワークの品質異常を監視する装置であり、実施の形態1で説明したパケットサンプリング装置100の構成に加え、新たにネットワーク異常検知部210を備える。
ネットワーク異常検知部210は、パケットサンプリング部150が生成した、図4のような統計情報を受け取り、その統計情報に基づき、ネットワークの異常を検知する。検知手法については、改めて説明する。
ネットワーク異常検知部210は、その機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPUやマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
ネットワーク異常検知部210は、その機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPUやマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
本実施の形態2における「監視部」は、ネットワーク異常検知部210がこれに相当する。
以上、ネットワーク監視装置200の構成について説明した。
次に、ネットワーク異常検知部210の動作について説明する。説明に際し、図4の統計情報を用いることにする。
次に、ネットワーク異常検知部210の動作について説明する。説明に際し、図4の統計情報を用いることにする。
ネットワーク異常検知部210は、図4の統計情報を、パケットサンプリング部150より取得し、以下のような手法により、ネットワークの品質異常を検知する。
(1)図4の5行目のデータによれば、トポロジー(F,O,P)にてパケットロスが多く発生しているため、このトポロジーを形成するいずれかの構成要素に品質異常が発生していることが分かる。
さらに、4行目のデータによれば、5行目の上位トポロジーである(F,O)のパケットロスは少ないことが分かる。
したがって、品質異常が発生しているのは、ネットワークPか、もしくは5行目の「監視ピア2」で特定される機器か、のいずれかであることが分かる。
さらに、4行目のデータによれば、5行目の上位トポロジーである(F,O)のパケットロスは少ないことが分かる。
したがって、品質異常が発生しているのは、ネットワークPか、もしくは5行目の「監視ピア2」で特定される機器か、のいずれかであることが分かる。
(2)また、図4の7〜9行目のデータによれば、トポロジー(F,G)(F,G,J)(F,G,K)にてパケットロスが多く発生している。
ネットワークFを含む他のトポロジーではこのような多数のパケットロスは発生していないため、ネットワークGで品質異常が発生している可能性が高いのではないかと推定することができる。
ネットワークFを含む他のトポロジーではこのような多数のパケットロスは発生していないため、ネットワークGで品質異常が発生している可能性が高いのではないかと推定することができる。
(3)なお、パケットロスが異常であるか否かは、同一行のデータを時系列で監視し、定常状態からの乖離度が大きくなったときに、異常値が発生しているものと判定する手法を用いることにする。
これは、定常的にパケットロスの多いネットワークや、定常的に遅延の大きいネットワークなどと比較すると、パケットロスが急激に大きくなっても異常と判定されない可能性があることによる。
この反対に、定常状態ではパケットロスの少ないネットワークを、定常的にパケットロスの多いネットワークとを比較すると、常時異常が発生しているかのように判定される可能性がある。
そのため、ネットワーク異常検知部210による異常値の検知は、同一行のデータを時系列で監視することで行うのが好ましいと言える。
これは、定常的にパケットロスの多いネットワークや、定常的に遅延の大きいネットワークなどと比較すると、パケットロスが急激に大きくなっても異常と判定されない可能性があることによる。
この反対に、定常状態ではパケットロスの少ないネットワークを、定常的にパケットロスの多いネットワークとを比較すると、常時異常が発生しているかのように判定される可能性がある。
そのため、ネットワーク異常検知部210による異常値の検知は、同一行のデータを時系列で監視することで行うのが好ましいと言える。
このように、図4の統計情報では、ネットワークトポロジーの構成要素毎に品質指標が集計されているので、ネットワーク異常検知部210は、単に自ネットワーク(ここではF)に発生している品質異常を検知することができるのみならず、他ネットワークで発生した品質異常やその影響範囲を推定することができる。
以上のように、本実施の形態2に係るネットワーク監視装置200では、ネットワーク異常検知部210は、ネットワークトポロジーの構成要素毎に品質指標を集計した統計情報を用いてネットワークの異常を検知する。
そのため、ネットワーク障害などが発生した際に、その障害がネットワークのどこで発生して、その結果として他ネットワークへ影響が出ているということを、時系列で素早く推定することができる。
また、その障害によって影響を受けるセッションをオペレータが素早く把握し、対応することができるので、ネットワーク全体の品質安定に資する。
そのため、ネットワーク障害などが発生した際に、その障害がネットワークのどこで発生して、その結果として他ネットワークへ影響が出ているということを、時系列で素早く推定することができる。
また、その障害によって影響を受けるセッションをオペレータが素早く把握し、対応することができるので、ネットワーク全体の品質安定に資する。
実施の形態3.
図6は、本発明の実施の形態3に係るネットワーク監視装置200の機能ブロック図である。
図6において、実施の形態2の図5で説明したネットワーク異常検知部210に代えて新たにネットワーク品質推定部220を備える。その他の構成は図5と同様であるため、説明を省略する。
図6は、本発明の実施の形態3に係るネットワーク監視装置200の機能ブロック図である。
図6において、実施の形態2の図5で説明したネットワーク異常検知部210に代えて新たにネットワーク品質推定部220を備える。その他の構成は図5と同様であるため、説明を省略する。
ネットワーク品質推定部220は、図4の統計情報を時系列に監視し、学習機能により過去の品質指標から将来の品質指標を推定する。学習アルゴリズムは、公知の技術を用いることができる。
ネットワーク品質推定部220は、その機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPUやマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
ネットワーク品質推定部220は、その機能を実現する回路デバイスなどのハードウェアで構成することもできるし、CPUやマイコンなどの演算装置と、その動作を規定するソフトウェアとで構成することもできる。
なお、実施の形態2の図5で説明したネットワーク異常検知部210と、ネットワーク品質推定部220とを双方備えるように構成してもよい。
例えば、現時点のネットワーク障害検知はネットワーク異常検知部210が担当し、将来的な障害発生の可能性の予測をネットワーク品質推定部220が担当するようにすることが考えられる。
例えば、現時点のネットワーク障害検知はネットワーク異常検知部210が担当し、将来的な障害発生の可能性の予測をネットワーク品質推定部220が担当するようにすることが考えられる。
本実施の形態3における「監視部」は、ネットワーク品質推定部220がこれに相当する。ネットワーク異常検知部210と、ネットワーク品質推定部220とを双方備える場合は、これら両者が「監視部」に相当する。
以上のように、本実施の形態3によれば、ネットワーク品質推定部220は、パケットの挙動の変化の傾向などに基づき、ネットワークに将来的に発生し得る障害の可能性を予測するので、障害発生後の事後的な措置のみならず、障害発生に先んじた事前の予防措置を取ることができ、安定したネットワーク運用に資する。
実施の形態4.
以上の実施の形態1〜3において、トポロジー推定部120がトポロジー推定を行う際に、起点となるネットワークFの2ホップ先までのネットワークセグメントやASを対象としたが、装置の処理能力やメモリ容量などの条件が許すのであれば、さらに先のホップ数にあるネットワークやASをトポロジーツリーの対象としてもよい。
以上の実施の形態1〜3において、トポロジー推定部120がトポロジー推定を行う際に、起点となるネットワークFの2ホップ先までのネットワークセグメントやASを対象としたが、装置の処理能力やメモリ容量などの条件が許すのであれば、さらに先のホップ数にあるネットワークやASをトポロジーツリーの対象としてもよい。
また、トポロジー推定部120がトポロジー推定を行う際に、特定のプロトコルやPort番号を対象とする場合は、これをトポロジーツリーとセットにして記憶部130に格納しておき、後にルール生成部140がサンプリング規則を生成する際に用いてもよい。
また、トポロジー推定部120の処理上、トポロジーの枝の下限閾値を設けておき、トポロジーの枝の数がこの下限閾値を下回った際は、改めてトポロジーツリーを作り直すようにしてもよい。
あるいは、例えば1時間毎や1日毎など、所定の時間間隔毎にトポロジーツリーを作り直すようにしてもよい。
あるいは、例えば1時間毎や1日毎など、所定の時間間隔毎にトポロジーツリーを作り直すようにしてもよい。
また、パケットサンプリング部150が生成する図4のような統計情報は、ネットワークの品質指標値を含むものであるため、汎用的な品質監視手段として、MIB(Management Information Base)に格納するようにしてもよい。
これにより、パケットサンプリング装置100やネットワーク監視装置200の外部からでも、SNMP(Simple Network Management Protocol)を用いてその統計情報を取得することができる。
これにより、パケットサンプリング装置100やネットワーク監視装置200の外部からでも、SNMP(Simple Network Management Protocol)を用いてその統計情報を取得することができる。
実施の形態5.
実施の形態1では、トポロジー推定部120がトポロジー推定を行う際に、P2Pプロトコルに着目することを説明した。これは、P2Pプロトコルのセッションの安定性に着目し、トポロジー推定の精度向上を図ったものである。
同様の観点から、トラフィック量に着目してトポロジーを推定することもできる。ここでいうトラフィック量とは、以下のようなことを言う。
実施の形態1では、トポロジー推定部120がトポロジー推定を行う際に、P2Pプロトコルに着目することを説明した。これは、P2Pプロトコルのセッションの安定性に着目し、トポロジー推定の精度向上を図ったものである。
同様の観点から、トラフィック量に着目してトポロジーを推定することもできる。ここでいうトラフィック量とは、以下のようなことを言う。
(1)RTP(Real−time Transport Protocol)のトラフィック量の多さ
(2)特定の送信元アドレスに対する宛先アドレスの多さ
(3)P2Pのような定常的な通信を行うプロトコルを用いたトラフィック量の多さ
(4)特定のWebサイトに対するトラフィック量の多さ
(5)動画配信サイトのようなトラフィック量の多いサービス
(6)セッション継続時間の長さ
(7)IPアドレスとして出現する回数の多さ
(2)特定の送信元アドレスに対する宛先アドレスの多さ
(3)P2Pのような定常的な通信を行うプロトコルを用いたトラフィック量の多さ
(4)特定のWebサイトに対するトラフィック量の多さ
(5)動画配信サイトのようなトラフィック量の多いサービス
(6)セッション継続時間の長さ
(7)IPアドレスとして出現する回数の多さ
このような、トラフィック量の多いセッションに着目することにより、推定結果におけるトポロジーの網羅性や信頼性を高め、もってネットワーク異常の検知性能の向上を図ることができる。
実施の形態6.
トポロジー推定に関するその他の着目点として、パケット数の多さがある。ここでいうパケット数の多さとは、以下のようなことを言う。
トポロジー推定に関するその他の着目点として、パケット数の多さがある。ここでいうパケット数の多さとは、以下のようなことを言う。
(1)RTPのパケット数の多さ
(2)特定の送信元アドレスに対する宛先アドレスの多さ
(3)P2Pのような定常的な通信を行うプロトコルを用いたパケット数の多さ
(4)特定のWebサイトに対するパケット数の多さ
(5)動画配信サイトのようなパケット数の多いサービス
(6)セッション継続時間の長さ
(7)IPアドレスとして出現する回数の多さ
(2)特定の送信元アドレスに対する宛先アドレスの多さ
(3)P2Pのような定常的な通信を行うプロトコルを用いたパケット数の多さ
(4)特定のWebサイトに対するパケット数の多さ
(5)動画配信サイトのようなパケット数の多いサービス
(6)セッション継続時間の長さ
(7)IPアドレスとして出現する回数の多さ
実施の形態7.
トポロジー推定に関するその他の着目点として、使用Port数の多さがある。ここでいう使用Port数の多さとは、以下のようなことを言う。
トポロジー推定に関するその他の着目点として、使用Port数の多さがある。ここでいう使用Port数の多さとは、以下のようなことを言う。
(1)RTPの使用するPort数の多さ
(2)P2Pのような定常的な通信を行うプロトコルが使用するPort数の多さ
(3)使用Port数の多いサービス
(2)P2Pのような定常的な通信を行うプロトコルが使用するPort数の多さ
(3)使用Port数の多いサービス
実施の形態8.
実施の形態1では、トポロジー推定部120は、既存のトポロジー情報を含む経路情報が入手できるのであれば、これを使用してトポロジー推定を行うことを説明した。
その具体例としては、BGP(Border Gateway Protocol)のようにフルルートを得ることができるプロトコルを用いる場合に、その経路情報を利用して推定を行うことが考えられる。
あるいは、OSPF(Open Shortest Path First)、RIP(Routing Information Protocol)などの経路変更メッセージから、トポロジーを推定することもできる。
実施の形態1では、トポロジー推定部120は、既存のトポロジー情報を含む経路情報が入手できるのであれば、これを使用してトポロジー推定を行うことを説明した。
その具体例としては、BGP(Border Gateway Protocol)のようにフルルートを得ることができるプロトコルを用いる場合に、その経路情報を利用して推定を行うことが考えられる。
あるいは、OSPF(Open Shortest Path First)、RIP(Routing Information Protocol)などの経路変更メッセージから、トポロジーを推定することもできる。
実施の形態9.
以上の実施の形態1〜8において、ルール生成部140は、トポロジーツリーに基づきサンプリング規則を生成することを説明した。このとき、パケットサンプリング部150が行うサンプリングが、図4の各行毎に均一になるように、サンプリング規則をあらかじめ調整しておくようにしてもよい。
以上の実施の形態1〜8において、ルール生成部140は、トポロジーツリーに基づきサンプリング規則を生成することを説明した。このとき、パケットサンプリング部150が行うサンプリングが、図4の各行毎に均一になるように、サンプリング規則をあらかじめ調整しておくようにしてもよい。
例えば、図4において、同じネットワークセグメントに複数の監視対象IPアドレスが存在するため、同一のトポロジーに対し複数行を設けている場合は、そのトポロジーのみ他のトポロジーよりも多くのパケットをサンプリングすることになりがちである。
このような場合は、各トポロジー構成要素のサンプリング量が均一になるよう、同一トポロジーに対する行数を等しくするなど、ルール生成部140が適宜調整を行うとよい。
これにより、後に品質異常を監視する際に、各トポロジー構成要素を均等な基準で評価することができ、適切な監視に資する。
このような場合は、各トポロジー構成要素のサンプリング量が均一になるよう、同一トポロジーに対する行数を等しくするなど、ルール生成部140が適宜調整を行うとよい。
これにより、後に品質異常を監視する際に、各トポロジー構成要素を均等な基準で評価することができ、適切な監視に資する。
100 パケットサンプリング装置、110 パケット収集部、120 トポロジー推定部、130 記憶部、140 ルール生成部、150 パケットサンプリング部、200 ネットワーク監視装置、210 ネットワーク異常検知部、220 ネットワーク品質推定部。
Claims (24)
- ネットワークに流れる通信パケットをサンプリングする方法であって、
サンプリング結果を格納する記憶手段を設けておき、
前記ネットワークに流れる通信パケットを収集するパケット収集ステップと、
前記パケット収集ステップで取得した通信パケットに基づき前記ネットワークのトポロジーを推定するトポロジー推定ステップと、
前記トポロジー推定ステップの推定結果を用いて前記ネットワークに流れる通信パケットをサンプリングし、そのサンプリング結果を前記記憶手段に格納するサンプリングステップと、
を有し、
前記トポロジー推定ステップでは、
前記ネットワークのトポロジーの推定結果を前記記憶手段に格納し、
前記サンプリングステップでは、
前記推定結果中の所定の項目毎にサンプリング結果を集約して前記記憶手段に格納する
ことを特徴とするパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記通信パケットの送受信アドレスを元に前記ネットワークの構成要素をグループ化するとともに、
前記グループのトポロジーをツリー状に表したトポロジーツリーデータを前記推定結果として前記記憶手段に格納し、
前記サンプリングステップでは、
前記記憶手段より前記トポロジーツリーデータを取得し、
トポロジーツリーの枝毎にサンプリング結果を集約して前記記憶手段に格納する
ことを特徴とする請求項1に記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記ネットワークの構成要素をAS番号(Autonomous System Number)毎にグループ化するとともに、
ASのトポロジーをツリー状に表したトポロジーツリーデータを前記推定結果として前記記憶手段に格納する
ことを特徴とする請求項1または請求項2に記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットのうち所定のAS数以内にある通信機器が送受信するもののみを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項3に記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットが属するセッションを所定の基準で順位付けし、
一定の順位以上のセッションに属する通信パケットを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項1ないし請求項4のいずれかに記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットのうちトラフィック量が所定量以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項5に記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットのうちパケット数が所定数以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項5または請求項6に記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットのうち使用ポート数が所定数以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項5ないし請求項7のいずれかに記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記ネットワークの経路情報を用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項1ないし請求項8のいずれかに記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記パケット収集ステップで収集した通信パケットのうち所定のホップ数以内にある通信機器が送受信するものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項1ないし請求項9のいずれかに記載のパケットサンプリング方法。 - 前記トポロジー推定ステップでは、
前記サンプリングステップでサンプリングする通信パケット量が前記推定結果毎に均一になるように、前記推定結果を調整した上で、前記記憶手段に格納する
ことを特徴とする請求項1ないし請求項10のいずれかに記載のパケットサンプリング方法。 - ネットワークに流れる通信パケットをサンプリングして当該ネットワークの異常を監視する装置であって、
サンプリング結果を格納する記憶手段と、
前記ネットワークに流れる通信パケットを収集するパケット収集部と、
前記パケット収集部が取得した通信パケットに基づき前記ネットワークのトポロジーを推定するトポロジー推定部と、
前記トポロジー推定部の推定結果を用いて前記ネットワークに流れる通信パケットをサンプリングし、そのサンプリング結果を前記記憶手段に格納するサンプリング部と、
を備え、
前記トポロジー推定部は、
前記ネットワークのトポロジーの推定結果を前記記憶手段に格納し、
前記サンプリング部は、
前記推定結果中の所定の項目毎にサンプリング結果を集約して前記記憶手段に格納する
ことを特徴とするパケットサンプリング装置。 - 前記トポロジー推定部は、
前記通信パケットの送受信アドレスを元に前記ネットワークの構成要素をグループ化するとともに、
前記グループのトポロジーをツリー状に表したトポロジーツリーデータを前記推定結果として前記記憶手段に格納し、
前記サンプリング部は、
前記記憶手段より前記トポロジーツリーデータを取得し、
トポロジーツリーの枝毎にサンプリング結果を集約して前記記憶手段に格納する
ことを特徴とする請求項12に記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記ネットワークの構成要素をAS番号毎にグループ化するとともに、
ASのトポロジーをツリー状に表したトポロジーツリーデータを前記推定結果として前記記憶手段に格納する
ことを特徴とする請求項12または請求項13に記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットのうち所定のAS数以内にある通信機器が送受信するもののみを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項14に記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットが属するセッションを所定の基準で順位付けし、
一定の順位以上のセッションに属する通信パケットを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項15のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットのうちトラフィック量が所定量以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項16のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットのうちパケット数が所定数以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項17のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットのうち使用ポート数が所定数以上のセッションのものを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項18のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記ネットワークの経路情報を用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項19のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記パケット収集部が収集した通信パケットのうち所定のホップ数以内にある通信機器が送受信するもののみを用いて前記ネットワークのトポロジーを推定する
ことを特徴とする請求項12ないし請求項20のいずれかに記載のパケットサンプリング装置。 - 前記トポロジー推定部は、
前記サンプリング部がサンプリングする通信パケット量が前記推定結果毎に均一になるように、前記推定結果を調整した上で、前記記憶手段に格納する
ことを特徴とする請求項12ないし請求項21のいずれかに記載のパケットサンプリング装置。 - 請求項12ないし請求項22のいずれかに記載のパケットサンプリング装置と、
前記サンプリング結果を用いて前記ネットワークの異常を監視する監視部と、
を備え、
前記監視部は、
前記サンプリング結果を時系列で集計して異常値を検出することで前記ネットワークの異常を検出する
ことを特徴とするネットワーク監視装置。 - 前記監視部は、
前記記憶手段に前記ネットワークの監視結果を格納しておき、
過去の監視結果を用いて前記ネットワークの品質を推定する
ことを特徴とする請求項23に記載のネットワーク監視装置。
Priority Applications (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2008006703A JP2009171194A (ja) | 2008-01-16 | 2008-01-16 | パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 |
US12/320,047 US20090180393A1 (en) | 2008-01-16 | 2009-01-15 | Sampling apparatus distinguishing a failure in a network even by using a single sampling and a method therefor |
EP09150717.8A EP2081321A3 (en) | 2008-01-16 | 2009-01-16 | Sampling apparatus distinguishing a failure in a network even by using a single sampling and a method therefor |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2008006703A JP2009171194A (ja) | 2008-01-16 | 2008-01-16 | パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2009171194A true JP2009171194A (ja) | 2009-07-30 |
Family
ID=40591938
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2008006703A Pending JP2009171194A (ja) | 2008-01-16 | 2008-01-16 | パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 |
Country Status (3)
Country | Link |
---|---|
US (1) | US20090180393A1 (ja) |
EP (1) | EP2081321A3 (ja) |
JP (1) | JP2009171194A (ja) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2013502130A (ja) * | 2009-08-13 | 2013-01-17 | インターナショナル・ビジネス・マシーンズ・コーポレーション | Ipネットワークのためのアドレス範囲自動検出 |
JP2019145893A (ja) * | 2018-02-16 | 2019-08-29 | 日本電気株式会社 | トポロジ決定装置、トポロジ決定方法、トポロジ決定プログラムおよび通信システム |
Families Citing this family (36)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102422703B (zh) * | 2009-03-12 | 2014-09-17 | 诺基亚通信公司 | 设备到设备通信 |
KR101268621B1 (ko) * | 2009-12-21 | 2013-05-29 | 한국전자통신연구원 | 동적 플로우 샘플링 장치 및 방법 |
JP5407883B2 (ja) * | 2010-01-14 | 2014-02-05 | 富士通株式会社 | トポロジーツリー作成装置、プログラム、及び方法 |
JP5581487B2 (ja) * | 2010-04-14 | 2014-09-03 | 株式会社Pfu | 監視装置、監視方法、及びプログラム |
US9143452B2 (en) * | 2012-08-29 | 2015-09-22 | Nec Laboratories America, Inc. | Data processing |
JP2014135592A (ja) * | 2013-01-09 | 2014-07-24 | Sony Corp | 情報処理装置、情報処理方法及び情報処理システム |
US9787546B2 (en) * | 2013-08-07 | 2017-10-10 | Harris Corporation | Network management system generating virtual network map and related methods |
WO2015164765A1 (en) * | 2014-04-25 | 2015-10-29 | Hewlett-Packard Development Company, L.P. | Flow sample |
US9369360B1 (en) * | 2014-05-12 | 2016-06-14 | Google Inc. | Systems and methods for fault detection in large scale networks |
US10454709B2 (en) | 2014-06-02 | 2019-10-22 | Hewlett Packard Enterprise Development Lp | Delivering messages according to a desired delivery order in a software defined network |
US9712381B1 (en) | 2014-07-31 | 2017-07-18 | Google Inc. | Systems and methods for targeted probing to pinpoint failures in large scale networks |
US10374904B2 (en) | 2015-05-15 | 2019-08-06 | Cisco Technology, Inc. | Diagnostic network visualization |
US10142353B2 (en) | 2015-06-05 | 2018-11-27 | Cisco Technology, Inc. | System for monitoring and managing datacenters |
US10536357B2 (en) | 2015-06-05 | 2020-01-14 | Cisco Technology, Inc. | Late data detection in data center |
US9967158B2 (en) | 2015-06-05 | 2018-05-08 | Cisco Technology, Inc. | Interactive hierarchical network chord diagram for application dependency mapping |
JP6426850B2 (ja) | 2015-10-14 | 2018-11-21 | 株式会社日立製作所 | 管理装置、管理方法、および、管理プログラム |
US10289438B2 (en) | 2016-06-16 | 2019-05-14 | Cisco Technology, Inc. | Techniques for coordination of application components deployed on distributed virtual machines |
US10708183B2 (en) | 2016-07-21 | 2020-07-07 | Cisco Technology, Inc. | System and method of providing segment routing as a service |
US10972388B2 (en) | 2016-11-22 | 2021-04-06 | Cisco Technology, Inc. | Federated microburst detection |
US10708152B2 (en) | 2017-03-23 | 2020-07-07 | Cisco Technology, Inc. | Predicting application and network performance |
US10523512B2 (en) | 2017-03-24 | 2019-12-31 | Cisco Technology, Inc. | Network agent for generating platform specific network policies |
US10764141B2 (en) | 2017-03-27 | 2020-09-01 | Cisco Technology, Inc. | Network agent for reporting to a network policy system |
US10594560B2 (en) | 2017-03-27 | 2020-03-17 | Cisco Technology, Inc. | Intent driven network policy platform |
US10873794B2 (en) | 2017-03-28 | 2020-12-22 | Cisco Technology, Inc. | Flowlet resolution for application performance monitoring and management |
US10880154B2 (en) | 2017-05-03 | 2020-12-29 | At&T Intellectual Property I, L.P. | Distinguishing between network- and device-based sources of service failures |
US10680887B2 (en) | 2017-07-21 | 2020-06-09 | Cisco Technology, Inc. | Remote device status audit and recovery |
US10554501B2 (en) | 2017-10-23 | 2020-02-04 | Cisco Technology, Inc. | Network migration assistant |
US10523541B2 (en) | 2017-10-25 | 2019-12-31 | Cisco Technology, Inc. | Federated network and application data analytics platform |
US10594542B2 (en) | 2017-10-27 | 2020-03-17 | Cisco Technology, Inc. | System and method for network root cause analysis |
US11233821B2 (en) | 2018-01-04 | 2022-01-25 | Cisco Technology, Inc. | Network intrusion counter-intelligence |
US10574575B2 (en) | 2018-01-25 | 2020-02-25 | Cisco Technology, Inc. | Network flow stitching using middle box flow stitching |
US10798015B2 (en) | 2018-01-25 | 2020-10-06 | Cisco Technology, Inc. | Discovery of middleboxes using traffic flow stitching |
US10999149B2 (en) | 2018-01-25 | 2021-05-04 | Cisco Technology, Inc. | Automatic configuration discovery based on traffic flow data |
US10826803B2 (en) | 2018-01-25 | 2020-11-03 | Cisco Technology, Inc. | Mechanism for facilitating efficient policy updates |
US11128700B2 (en) | 2018-01-26 | 2021-09-21 | Cisco Technology, Inc. | Load balancing configuration based on traffic flow telemetry |
CN111428094B (zh) * | 2020-04-02 | 2024-07-16 | 深信服科技股份有限公司 | 基于资产的网络拓扑生成方法、装置、设备及存储介质 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2002084278A (ja) * | 2000-09-06 | 2002-03-22 | Kddi Corp | 経路別トラヒック解析方法 |
Family Cites Families (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP3834258B2 (ja) | 2002-04-23 | 2006-10-18 | 日本電信電話株式会社 | パケット網における品質状態監視方法及び装置 |
US7471636B2 (en) * | 2005-02-23 | 2008-12-30 | Cisco Technology, Inc. | Methods and apparatus based on message transmission times |
JP4795139B2 (ja) | 2006-06-29 | 2011-10-19 | 株式会社マキタ | 卓上丸鋸盤 |
US7821966B2 (en) * | 2007-03-19 | 2010-10-26 | International Business Machines Corporation | Method and apparatus for network topology discovery using closure approach |
-
2008
- 2008-01-16 JP JP2008006703A patent/JP2009171194A/ja active Pending
-
2009
- 2009-01-15 US US12/320,047 patent/US20090180393A1/en not_active Abandoned
- 2009-01-16 EP EP09150717.8A patent/EP2081321A3/en not_active Withdrawn
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2002084278A (ja) * | 2000-09-06 | 2002-03-22 | Kddi Corp | 経路別トラヒック解析方法 |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2013502130A (ja) * | 2009-08-13 | 2013-01-17 | インターナショナル・ビジネス・マシーンズ・コーポレーション | Ipネットワークのためのアドレス範囲自動検出 |
US8989198B2 (en) | 2009-08-13 | 2015-03-24 | International Business Machines Corporation | Automatic address range detection for IP networks |
US9112945B2 (en) | 2009-08-13 | 2015-08-18 | International Business Machines Corporation | Automatic address range detection for IP networks |
JP2019145893A (ja) * | 2018-02-16 | 2019-08-29 | 日本電気株式会社 | トポロジ決定装置、トポロジ決定方法、トポロジ決定プログラムおよび通信システム |
JP7056207B2 (ja) | 2018-02-16 | 2022-04-19 | 日本電気株式会社 | トポロジ決定装置、トポロジ決定方法、トポロジ決定プログラムおよび通信システム |
Also Published As
Publication number | Publication date |
---|---|
EP2081321A3 (en) | 2016-04-27 |
EP2081321A2 (en) | 2009-07-22 |
US20090180393A1 (en) | 2009-07-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP2009171194A (ja) | パケットサンプリング方法、パケットサンプリング装置、ネットワーク監視装置 | |
Quoitin et al. | Modeling the routing of an autonomous system with C-BGP | |
US8549139B2 (en) | Method and system for monitoring control signal traffic over a computer network | |
Javed et al. | PoiRoot: Investigating the root cause of interdomain path changes | |
US7903573B2 (en) | Method and system for network traffic matrix analysis | |
CN107810619A (zh) | 用于推断广域网中的网络拓扑和路径度量的***和方法 | |
Jin et al. | Zooming in on wide-area latencies to a global cloud provider | |
JP2013207748A (ja) | ネットワークシステム、及びノード装置 | |
US11038953B1 (en) | Dynamic egress traffic steering for large scale cloud network | |
JP2005080297A (ja) | ルーティングポリシーを検出する非侵入的方法 | |
US9992081B2 (en) | Scalable generation of inter-autonomous system traffic relations | |
Gregori et al. | BGP and inter-AS economic relationships | |
JP4860745B2 (ja) | Bgpトラヒック変動監視装置、方法、およびシステム | |
US20170195132A1 (en) | Data Monitoring/Aggregation For Evaluating Connections Between Networks | |
JP2006245874A (ja) | オーバーレイネットワークにおける部分測定を利用した通信経路計算システムおよび通信経路計算方法ならびにそのためのプログラム | |
JP2016146581A (ja) | トラヒック情報収集装置およびトラヒック情報収集方法 | |
JP2011244312A (ja) | ノード装置、最適パス決定方法及びプログラム | |
Abushagur et al. | Hybrid software-defined network monitoring | |
Xiang et al. | Internet flattening: Monitoring and analysis of inter-domain routing | |
JP4871775B2 (ja) | 統計情報収集装置 | |
Lad et al. | Inferring the origin of routing changes using link weights | |
Jin | Systems for analyzing routing policies and localizing faults in the Internet | |
Zhang et al. | Characterization and design of effective BGP AS-path prepending | |
JP4977107B2 (ja) | オーバーレイネットワークのトラヒック制御システムと方法およびプログラム | |
JP2004248166A (ja) | 最適迂回ルート制御システムと方法、およびそのプログラムと記録媒体、ならびに通信装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20091030 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20091222 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100217 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20100511 |