JP6453154B2

JP6453154B2 - ネットワーク管理システム及びネットワーク管理方法

Info

Publication number: JP6453154B2
Application number: JP2015092877A
Authority: JP
Inventors: 篤谷口; 清水　敬司; 敬司清水; 規夫坂井田; 太一川幡; 雅裕吉田; 敬広山崎
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2015-04-30
Filing date: 2015-04-30
Publication date: 2019-01-16
Anticipated expiration: 2035-04-30
Also published as: JP2016213544A

Description

本発明は、ネットワーク管理システム及びネットワーク管理方法に関する。

本発明は、サービスノードやネットワークを管理する統合管理システム、と管理システムにおいて統合管理システムと隣接する管理ドメインの３者間で２段階での認証を用いることにより、統合管理システムが複数の管理システムにまたがったネットワークについても確実に管理し、高信頼かつ柔軟なネットワーク管理を実現する技術に関する。

現在、ＮＷの仮想化技術やＮＷアプライアンスの仮想化技術としてＳＤＮ（ＳｏｆｔｗａｒｅＤｅｆｉｎｅｄＮｅｔｗｏｒｋｉｎｇ）やＮＦＶ（ＮｅｔｗｏｒｋＦｕｎｃｔｉｏｎＶｉｒｔｕａｌｉｓａｔｉｏｎ）とが検討がされている。

ＳＤＮはＯＮＦ（ＯｐｅｎＮｅｔｗｏｒｋｉｎｇＦｏｕｎｄａｔｉｏｎ）（例えば、非特許文献１、参照。）で標準化が進められている。利用者は、各拠点に配置されたＳＤＮネットワーク装置を管理するＳＤＮコントローラからエンドエンドでパスの開通、変更、削除等の設定をすることができ、ＳＯ（ＳｅｒｖｉｃｅＯｒｄｅｒ）の自動化や構築時間の短縮といったメリットがある。

また、ネットワーク機器は仮想化技術により、ユーザに割り当てられた仮想的なネットワーク毎に分割され、物理構成によらないオペレーションが可能になるといったメリットがある。ＮＦＶはＥＴＳＩＩＳＧＮＦＶ（例えば、非特許文献２、参照。）で標準化が進められており、サーバの仮想化技術により仮想化されたネットワークサービスの自動プロビジョニングのための標準化が検討されている。

Ｏｐｅｎｎｅｔｗｏｒｋｆｏｕｎｄａｔｉｏｎｈｔｔｐｓ：／／ｗｗｗ．ｏｐｅｎｎｅｔｗｏｒｋｉｎｇ．ｏｒｇ／ＥＴＳＩＩＳＧＮＦＶｈｔｔｐ：／／ｗｗｗ．ｅｔｓｉ．ｏｒｇ／ｔｅｃｈｎｏｌｏｇｉｅｓ−ｃｌｕｓｔｅｒｓ／ｔｅｃｈｎｏｌｏｇｉｅｓ／ｎｆｖ

図１は関連技術を示す構成図である。ユーザ１１は、統合管理システム１２にドメイン１７を跨った仮想化サービスの生成を要求する。要求を受けた統合管理システム１２は、ドメイン１７の情報を管理する構成管理部１９のデータから経路計算部１３を使って、どのドメイン１７間をどのようなポリシーで接続するとユーザ１１が生成したポリシー・サービス要件を満たせるのかを計算する。この計算の結果によって得られた該当のドメイン１７を管理する管理システム１４に対して、統合管理システム１２は、ドメイン間を接続する仮想化サービスの生成を要求する。要求を受け取った管理システム１４はドメイン内にサービスノード１６を生成し、ドメイン間を接続するための仮想ＮＷ（ネットワーク）１５を生成する。これによってドメイン間を跨った仮想化サービス上でサービスノード１６間の通信が可能となる。この場合、各ドメイン１７間は、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）で接続できていることが前提であり、事前にドメイン１７間を接続するノード１８の設定がされていることが必要である。

図１４は、ドメイン間を接続するノード１８で一般的に必要な設定項目である。ノード間で接続するインターフェイスの設定、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）等のドメイン間の接続情報を交換するためのドメイン間接続情報交換の設定、ドメイン間を接続するノード間で通信するための隣接ノード間の接続設定等がある。このうち、ドメイン間接続情報交換の設定や隣接ノード間の接続設定は、ネットワークのリソースを払い出す度に設定の変更が発生し、固定的に隣接ノードに設定してしまうとネットワークリソースの効率的な活用ができない。また、ドメイン接続情報交換の設定は、ドメイン間で経路情報を交換するための設定であるため、ドメイン間を跨ってＥｎｄ−ｔｏ―Ｅｎｄで最適な経路になっているとは限らないという問題も有する。

また、統合管理システム１２が管理ドメインの全ての構成管理部１９を持つと、統合管理システム１２が管理するデータ量が膨大となり、柔軟な運用が困難になる。また、統合管理システム１２の肥大化・複雑化は運用を困難にし、管理者に高度なスキルやノウハウが必要となる。

上記の課題は、監視システム１４側に構成管理部１９を持ち、管理システム１４間で情報を交換するためのインターフェイスを作成し、相互で情報を交換することによって、統合管理システム１２に負担をかけずに解決できるが、複数事業者間の管理システムを接続してサービスを提供することを考えると、事業者間で構成管理情報を共有することは情報資産の機密性の観点で現実的ではない。

前記課題を解決するために、本発明は、統合管理システムがネットワーク・ネットワーク間接続情報を信頼性の高い通信により管理システム間で交換し、信頼性の高い安全な通信が可能となる通信システム及び方法を提供することを目的とする。

上記目的を達成するため、本発明では、サービスノードやネットワークを管理する統合管理システムと、管理システムにおいて統合管理システムと、隣接する管理ドメイン、との３者間で２段階での認証を用いてネットワーク管理を行う。

具体的には、本発明に係るネットワーク管理システムは、
サービスノード間のネットワークを管理する各ドメインにそれぞれ配置される複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有したネットワーク・ネットワーク間接続情報に応じて前記複数の管理システム及び前記統合管理システムで選択的に接続経路を形成することを特徴とする。

本発明に係るネットワーク管理システムでは、
前記統合管理システムは、
ユーザ端末が送出したポリシー要件及びサービス要件を基に、前記統合管理システムが作成したネットワーク・ネットワーク間接続情報と前記ネットワーク・ネットワーク間接続情報を暗号、復号するための作成した暗号鍵と復号鍵を追加し、それぞれの前記管理システムに送出し、
前記管理システムは、
前記統合管理システムが送出した前記ネットワーク・ネットワーク間接続情報を受け取り、ドメイン間で設定が必要なネットワーク・ネットワーク間接続情報を暗号鍵で暗号化し、前記統合管理システム、または隣接ノードを介して異なる管理ドメインを管理する各管理システムに送出し、前記ネットワーク・ネットワーク間接続情報に追加されたネットワーク・ネットワーク間接続情報に応じて選択的に接続経路を形成してもよい。

本発明に係るネットワーク管理システムでは、
前記統合管理システムは、
統合管理システムが生成したネットワーク・ネットワーク間接続情報と管理システムが生成したネットワーク・ネットワーク間接続情報を前記管理システムと交換する場合、
前記複数の管理システムのうち一方の管理システム及び前記統合管理システム間で１段階認証を実行し、前記一方の管理システム及び前記一方の管理システムに隣接して接続された他方の管理システム間で２段階認証を実行してもよい。

本発明に係る管理ネットワークシステムでは、
前記統合管理システムは、
前記ユーザ端末で生成したポリシー要件及びサービス要件を満たす経路を計算する経路計算部と、
前記経路計算部の計算結果によって得られた管理ドメイン間を接続する接続要求を管理システムに通知する接続要求通知部と、
ドメイン間の接続情報を管理するドメイン情報管理部と、
暗号鍵と復号鍵を生成し、各々の管理システムに配信する認証鍵生成部と、
前記管理システムと送受信を行う統合管理システム処理部を備え、
前記管理システムは、
前記統合管理システム送受信部と送受信を行う管理システム処理部と、
ドメイン内のネットワーク毎の構成管理情報を管理する構成管理部と、
前記接続要求の通知を受信するとともに、前記サービス要件に応じて接続先であるドメイン内のリソースの予約し、リソースの予約情報と公開鍵を前記統合管理システム処理部に送信する情報送信部と、
前記統合管理部から取得したネットワーク・ネットワーク間接続情報を基に管理ドメインのノードの情報設定を行うドメイン内ノード設定部と、
前記ネットワーク・ネットワーク間接続情報に予め記載された接続先管理システムと鍵交換を行い、お互いのネットワーク・ネットワーク間接続情報の鍵認証を行う鍵認証部と、
前記ネットワーク・ネットワーク間接続情報を基に管理ドメインの隣接ノードの情報設定を行う隣接ノード設定部と、
前記隣接ノード設定部が行った情報設定後、前記構成管理部に保存し、統合管理システム処理部に通知する設定通知部と、を備え、
前記構成管理部は、前記ネットワーク・ネットワーク間接続情報を保存してもよい。

本発明に係る管理ネットワークシステムでは、
前記管理システムは、
ドメイン間でネットワーク接続する場合、前記ネットワーク・ネットワーク間接続情報として、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）のＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）のネットワーク層到着可能性情報を用いて、前記ネットワーク層到着可能性情報を管理システム間で共有してもよい。

具体的には、本発明に係るネットワーク管理方法は、
サービスノード間のネットワークを管理する各ドメインにそれぞれ配置される複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有したネットワーク・ネットワーク間接続情報に応じて前記複数の管理システム及び前記統合管理システムで選択的に接続経路の形成を行う。

本発明に係るネットワーク管理方法では、
前記統合管理システムは、
ユーザ端末が送出したポリシー要件及びサービス要件を基に前記統合管理システムがネットワーク・ネットワーク間接続情報と前記ネットワーク・ネットワーク間接続情報を暗号、復号するための暗号鍵と復号鍵を追加し、ネットワーク・ネットワーク間接続情報としてそれぞれの前記管理システムに送出し、
前記管理システムは、
前記統合管理システムが送出した前記ネットワーク・ネットワーク間接続情報を受け取り、ドメイン間で設定が必要なネットワーク・ネットワーク間接続情報を暗号鍵で暗号化し、前記統合管理システム、または隣接ノードを介して異なる管理ドメインを管理する各管理システムに送出し、前記ネットワーク・ネットワーク間接続情報に追加されたネットワーク・ネットワーク間接続情報に応じて選択的に接続経路の形成を行ってもよい。

本発明に係るネットワーク管理方法では、
前記統合管理システム及び前記管理システムは、
統合管理システムが生成したネットワーク・ネットワーク間接続情報と管理システムが生成したネットワーク・ネットワーク間接続情報を前記管理システムと交換する場合、
前記複数の管理システムのうち一方の管理システム及び前記統合管理システム間で１段階認証を行い、前記一方の管理システム及び前記一方の管理システムに隣接して接続された他方の管理システム間で２段階認証を行ってもよい。

本発明に係るネットワーク管理方法では、
サービスノード間のネットワークを管理する各ドメインにそれぞれ配置される複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムを備えるネットワーク管理システムのネットワーク管理方法においてネットワーク状態を変更する場合、
生成時のネットワーク識別情報を前記統合管理システムが管理システムに通知する識別情報通知手順と、
前記管理システムで、前記識別情報通知手順で通知された前記ネットワーク識別情報と当該管理システムのネットワーク識別情報とを比較するとともにリソースを確認し、前記統合管理システムに応答する応答手順と、
前記管理システムに対して、前記統合管理システムが設定要求を行う設定要求手順と、
管理システムが接続設定に基づき設定処理を行う設定処理手順と、を行ってもよい。

本発明に係るネットワーク管理方法では、
各管理システムに収容されたそれぞれの隣接ノードは、管理システム間で共有したネットワーク・ネットワーク間接続情報により、前記各管理システムのうち互いに対向する管理システム同士が管理ドメインとの隣接ノードの切替処理設定を共有させる設定共有手順と、
管理ドメインの隣接ノード間で監視パケットを送り疎通性を隣接ノード又は管理システムで確認する監視機能確認手順と、
前記監視パケットが届かない場合に、事前に認証された管理システム間の通信によって管理ドメイン間でネットワークの設定状態を管理システムで確認する設定状態確認手順と、
前記設定状態確認手順で確認した前記設定状態の変化を確認した場合は、前記統合管理システムに通知しネットワーク間接続情報を更新する更新手順と、を行ってもよい。

本発明に係るネットワーク管理方法では、
統合管理システムのネットワーク・ネットワーク間接続情報により管理ドメインを跨るネットワークのネットワーク識別番号の一覧を隣接ノードで取得する識別番号取得手順と、
管理システム間で共有したネットワーク・ネットワーク間接続情報により管理ドメインに流入したパケットの情報と隣接ノードでの接続設定を取得するネットワーク・ネットワーク間接続情報取得手順と、
管理ドメイン内から流入したパケットのヘッダを、隣接ノードの有するパケット解析部で解析するヘッダ解析手順と、を行い、
前記ネットワーク・ネットワーク間接続情報に記述された前記パケットの情報と一致するパケットについては、前記ネットワーク・ネットワーク間接続情報に応じて前記パケットを宛先ドメインに流通するドメイン流通手順を行う、又は、トンネル識別番号をキーとして負荷を分散する負荷分散手順
を行う、
前記トンネル識別番号と一致しないパケットについては、管理ドメインに確認又は廃棄するドメイン処理手順と、を行ってもよい。

本発明に係るネットワーク管理方法では、
統合管理システムは
ユーザのパケットを暗号又は復号化するための関数を送信側の管理システムと受信側の管理システムにそれぞれ通知する通知手順と、
前記送信側の管理システムは前記統合管理システムから取得した暗号化するための関数に応じてサービスノードからドメインに流入したパケットの設定処理を行う暗号処理手順と、
前記受信側の管理システムは統合管理システムから取得した復号化するための関数に応じてサービスノードを収容するドメインに流入するパケットを復号する復号処理手順と、
を行ってもよい。

本発明に係るネットワーク管理方法では、
ドメイン間でネットワーク接続する場合、前記管理システムは、前記ネットワーク・ネットワーク間接続情報として、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）のＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）のネットワーク層到着可能性情報を用いて、前記ネットワーク層到着可能性情報を管理システム間で共有を行ってもよい。

なお、上記各発明は、可能な限り組み合わせることができる。

本発明によれば、統合管理システムが暗号化・復号化関数およびネットワーク・ネットワーク間接続情報を信頼性の高い通信により管理システムを介してサービスノードに提供され、ユーザは管理システム間で正しく認証されたフローのみ通信でき、信頼性の高い安全な通信が可能となる通信システム及び方法を提供することができる。

関連技術に係る統合管理システム及び管理システムを説明するための構成図の一例を示す。本実施形態に係るネットワーク管理システムを説明するための構成図の一例を示す。実施形態１に係るネットワーク管理システムを説明するための構成図の一例を示す。実施形態１のサービスノード間を接続する時のシーケンスを示す。実施形態１のサービスノード間を接続する時のシーケンスを示す。実施形態１のサービスノード間でのリソースの増設を行う時のシーケンスを示す。実施形態１のサービスノード間でのリソースの増設を行う時のシーケンスを示す。実施形態２の隣接ノード３２を説明するための構成図の一例を示す。実施形態２のノード冗長を説明するための構成図の一例を示す。実施形態２の監視機能部を説明するためのフローを示す。実施形態２のトンネル解析部を説明するための構成図の一例を示す。実施形態３のユーザ通信の２段階認証を説明するためのフローを示す。実施形態４のｏｖｅｒｌａｙでの接続形態を説明する図を示す。実施形態又は関連技術に係る既存のドメイン間で交換する設定項目例を示す。本実施形態に係るドメイン間で交換する設定項目例を示す。本実施形態に係る管理システムから隣接ノードへの設定例を示す。

以下、本発明の実施形態について、図面を参照しながら詳細に説明する。なお、本発明は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本発明は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。

（実施形態１）
本実施形態に係るネットワーク管理システム２１は統合管理システム２２及び管理システム２６を備える。図２では本発明であるネットワーク管理システム２１の実施形態１の管理システムを説明する。統合管理システム２２は管理ドメイン単位での経路を計算する経路計算部２３、管理ドメイン毎のドメイン情報及びネットワーク毎のネットワーク間接続情報であるネットワーク・ネットワーク間接続情報を関連付けて管理するドメイン情報管理部２４、ネットワーク・ネットワーク間接続情報の暗号化を行う認証鍵生成部２５によって構成される。また、管理システム２６はドメイン内の構成管理情報を管理する構成管理部２７によって構成される。

本実施形態に係るネットワーク管理システム２１におけるネットワーク・ネットワーク間接続情報の流れの詳細を図３に示す。図３では、統合管理システム２２が備える経路計算部２３は、どのドメインでどのような設定で繋ぐのかを計算する（ステップＳ０１１）。次に１次認証を行う統合管理システム２２は、該当の管理システム２６のリソース確認を行う（ステップＳ０１２）。統合管理システム２２は、管理システム２６と事前に公開鍵によって通信が可能になっているとする。ここで、以下に本実施形態に係る接続の場合における、ドメイン間で交換するネットワーク・ネットワーク識別情報を図１５に示す。本実施形態における接続の場合、隣接ノード３２が通信する最小限の設定のみ共通で事前に行い（１〜２．に該当）、それ以外は仮想ＮＷ１５毎に生成する度に設定を行う。統合管理システムはＥｎｄ−ｔｏ−Ｅｎｄで管理するための顧客識別ＩＤと識別ポリシーを提供する（３〜４．に該当）。ドメイン間では各ドメインが設定した情報を交換する（５〜９．に該当）。

統合管理システム２２は、認証鍵生成部２５によって仮想ＮＷ毎、かつドメイン間毎で暗号化をする鍵を生成する（ステップＳ０１３）。管理システムの情報を暗号化する鍵を暗号鍵Ａ、暗号化を基に戻す鍵を復号鍵Ａとし、隣接する他の管理システムの情報を暗号化する鍵を暗号鍵Ｂ、暗号化を基に戻す鍵を復号鍵Ｂとする。統合管理システム２２は管理システム２６用のネットワーク・ネットワーク間接続情報（図１５の３〜４．に該当）、暗号化鍵Ａ、復号鍵Ｂ、隣接している他の管理システム２６のＩＰアドレス情報等を公開鍵で暗号化して管理ドメイン２６に通知する（ステップＳ０１４）。統合管理システム２２は同様に隣接する他の管理システム２６に対してもネットワーク・ネットワーク間接続情報（図１５の３〜４．に該当）、暗号化鍵Ｂ、復号鍵Ａ、隣接している管理システム２６のＩＰアドレス情報を通知する。管理システム２６は、秘密鍵を用いて前記情報を復号化し、管理システム２６は統合管理システムから受信したネットワーク・ネットワーク識別情報（図１５の３〜４．）に基づいてドメイン内の設定を行う。また、隣接ノードの設定のために必要なネットワーク・ネットワーク識別情報（図１５の５〜９．）を暗号鍵Ａで暗号化する。隣接している他の管理システム２６も同様にネットワーク・ネットワーク識別情報（図１５の５〜９．）を暗号鍵Ｂで暗号化する。管理システム２６は隣接している他の管理システム２６と隣接ノード３２間経由で通信を行い、認証を行う。認証後、管理システム２６は、暗号鍵Ａで暗号化されたネットワーク・ネットワーク接続情報（図１５の５〜９．に該当）を隣接している他の管理ドメインに送信する。隣接している他の管理システム２６は復号鍵Ａを用いてネットワーク・ネットワーク接続情報を復号し、隣接ノード３２の設定を行う。隣接している他の管理システム２６も同様にネットワーク・ネットワーク接続情報を復号鍵Ｂで復号し、隣接ノード３２の設定を行う（ステップＳ０１５）。ここでは隣接ノード３２経由でネットワーク・ネットワーク接続情報を交換したが、統合管理システム経由で管理システム同士がネットワーク・ネットワーク接続情報を交換するのでもよい。

図４は本発明の実施形態１のサービスノード２８間を接続する時のシーケンスを示す。統合管理システム２１が管理システム＃１、管理システム＃２に属するサービスノード２８間を接続するネットワークを開通する例を示す。ドメイン間の接続は基本的なインターフェイスの設定やドメイン接続情報の共通部分の設定のみ（図１５の１〜２．）が設定されている。

経路計算部２３は、ユーザ１１が設定したポリシーやサービス要件を満たすためにはどの管理ドメイン間を接続してサービスノード２８間を接続するのかを計算する。この時に各パラメータの情報はドメイン情報管理部２４からドメイン情報を取得してサービス要件を満たす経路を計算する。ドメイン情報には、管理システムのステータス、隣接ノード３２間のステータス等の情報が含まれる。

次に統合管理システム２２は管理システム＃１、＃２に対してサービスノード２８の新規配備のリソース確認要求を行う（ステップＳ１０１及び１０３）。統合管理システム２２と管理システム２６は事前に公開鍵認証によって認証されている。管理システム＃１、＃２は内部リソースを確認し、リソースが空いていればその旨を回答する（ステップＳ１０２及び１０４）。リソースが空いていなければ統合管理システム２２は再度経路計算を行う。

統合管理システム２２は認証鍵生成部２３で仮想ＮＷ１５や隣接ノード１８毎に生成した暗号鍵Ａ、Ｂと復号鍵Ａ、Ｂ（暗号鍵Ａと復号鍵Ａ、暗号鍵Ｂと復号鍵Ｂがセット）とネットワーク・ネットワーク間接続情報（図１５の３〜４．）を作成する。暗号鍵Ａ、Ｂ、復号鍵Ａ、Ｂ、ネットワーク・ネットワーク間接続情報はネットワークを生成する毎に生成される。

統合管理システム２２は管理システム＃１、＃２に対して仮想ＮＷ１５とサービスノード２８の新規配備要求を送る（ステップＳ１０５及び１０６）。管理システム＃１には暗号鍵Ａと復号鍵Ｂとネットワーク・ネットワーク間接続情報（図１５の３〜４．）を、管理システム＃２には暗号鍵Ｂと復号鍵Ａとネットワーク・ネットワーク間接続情報（図１５の３〜４．）を通知する。これは統合管理システム２２と管理システム２６間の１段目の認証である。

管理システム＃１は統合管理システム２２の要件に基づいてドメイン内のサービスノード２８の新規配備と仮想ＮＷ１５の設定を行うのと同時に、統合管理システム２２から提供された暗号鍵Ａを使ってネットワーク・ネットワーク間接続情報（図１５の５〜９．）の暗号化を行う。管理システム＃２も同様にドメイン内のサービスノード２８の新規配備と仮想ＮＷ１５の設定を行うのと同時に、暗号鍵Ｂを使ってネットワーク・ネットワーク間接続情報（図１５の５〜９．）の暗号化を行う。

管理システム＃１と管理システム＃２はネットワーク・ネットワーク間接続情報（図１５の５〜９．）を隣接ノード３２経由で、もしくは統合管理システム２２経由で交換する。管理システム＃１、＃２は、それぞれネットワーク・ネットワーク間接続情報を復号鍵Ｂ、復号鍵Ａで復号する。（ステップＳ１０７及び１０８）。これが２段目の認証である。

次に管理システム２６は統合管理システム２２から受信したネットワーク・ネットワーク接続情報（図１５の５〜９．）を基にネットワークの設定を行う。図１６に管理システム２６から隣接ノード３２への設定例を示す。管理システム１，２はＩＰ−ｓｅｇｍｅｎｔ−ｌｉｓｔとＡｃｃｅｓｓｌｉｓｔ等のネットワーク・ネットワーク接続情報を共有する。それに基づいて管理システム１は隣接ノード３２にｂｇｐの設定やＡｃｃｅｓｓｌｉｓｔの設定等を行う。ネットワーク・ネットワーク接続情報はＢＧＰのＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）に変換し、管理システム間で情報交換をしてもよい。

管理システム＃１はネットワークの設定後、設定後の構成情報を構成管理部２７に保存し、統合管理システム２２に通知する（ステップＳ１０９及び１１０）。

以上によりセキュアな通信で管理システム２６間の情報をやりとりでき、管理ドメインに属さない管理ドメインの間の制御も統合管理システム２２により可能であり、かつ、管理システム２６はその内部情報を統合管理システム２２に通知する必要がないので、統合管理システム２２の負担を少なくできる。なお、図５は図４に示すシーケンスの変形例で、複数の統合管理システムの管理システムでネットワークサービスを実現する場合のシーケンスある。本実施形態では、図５におけるステップＳ２０１〜２１４に従って動作してもよい。

図６は本発明の実施形態１のサービスノード２８間でのリソースの増設を行う時のシーケンスを示す。統合管理システム２２は管理システム２６に対して上述したネットワーク・ネットワーク間接続情報の顧客識別ＩＤを指定して管理システム＃１に対してサービスノード２８から隣接ノード３２まで仮想ＮＷ１５に追加できるリソースがあるかどうかの確認要求を行う（ステップＳ３０１）。

管理システム＃１はリソースの確認ができた場合に統合管理システム２２に対してリソース確認要求応答を返す（ステップＳ３０２）。管理システム＃２についても同様に行い（ステップＳ３０３及び３０４、）、リソースが確保できた場合、統合管理システム２２は顧客識別ＩＤを指定して管理システム＃１、２にサービスノード２８のリソース割当要求を行う（ステップＳ３０５及び３０６）。この時の認証は上記の２段階認証の仕組みを使ってもよい。

管理システム＃１はサービスノード２８の新規配備を行い、ネットワークの設定を行う。次に管理システム＃１＃２は前述の暗号鍵を使い、隣接ノード３２に設定するネットワーク・ネットワーク間接続情報を交換する（ステップＳ３０７、Ｓ３０８）。隣接ノードに設定後、ネットワーク・ネットワーク間接続情報を更新しノードリソース割当の完了を統合管理システム２２に通知する（ステップＳ３０９）。管理システム＃２に対しても同様に設定を行うことによりサービスノード間でのリソースの増設が可能となる（ステップＳ３１０）。なお、図７は図６に示すシーケンスの変形例で、統合管理システムが複数の時の管理システム間でサービスの帯域変更を行う例である。本実施形態では、図７におけるステップＳ４０１〜４１３に従って動作してもよい。

（実施形態２）
図８に本発明の実施形態２の隣接ノード３２を説明するための図を示す。隣接ノード３２は監視機能部３４、トンネル解析部３５を備え、リンク３８で他方の隣接ノード３２と接続される。なお、図８の構成図におけるこれらの機能は隣接ノード３２でなく管理システム２６にあってもよい。その場合は、監視機能部３４であれば監視パケットを管理システム２６から隣接ノード３２に送ってもよいし、トンネル解析部３５に関しては隣接ノード３２から管理システム２６にパケットを送ることにより管理システム２６でパケットを解析してもよい。

図９に本発明の実施形態２のノード冗長を説明するための図を示す。管理ドメイン間の経路としてノード内で図８のように複数のリンク３８があり、そこで冗長化されている場合もあれば図９のように管理ドメイン間に複数の隣接ノード３２がある可能性もある。どの隣接ノード３２を使うか、どのように冗長化するかをネットワーク・ネットワーク間接続情報に登録しておく。

図１０に本発明の実施形態２の監視機能部３４を説明するためのフローを示す。監視機能部３４は監視パケットを生成し、隣接ノード３２間で監視を行う（ステップＳ５０１及び５０２）。この時の監視方法は図１５の９．に従う。隣接ノード３２間の監視パケットが届かない場合には隣接するノード間で共有したネットワーク・ネットワーク間接続情報により登録された図１５の７．に記載の復旧方法（構築した予備系のルートに切替える（ステップＳ５０３）、別の隣接ノード３２からの経路に切り替える等の切替等）で復旧を行う。具体的には、登録されている切替がある場合、登録されている切替の実行処理を行う（ステップＳ５０４及び５０５）。登録されている切替がない場合、管理システムに問い合わせをするための問合せ処理を行う（ステップＳ５０６及び５０７）。

また隣接ノード３２はトラヒックが集中するのを防ぐため図１５の８．に記載の方法により複数リンクや複数ノードでトラヒックの負荷分散を実施する。この時、アドレスに基づいて分散させる方式（ハッシュ化など）では、同一のアドレスセグメントの場合は適切に分散されないので、隣接ノード３２でパケットの解析を行い、制御を行う。ドメイン間でネットワーク接続する場合、管理システム２６は、ネットワーク・ネットワーク間接続情報として、通信を行うパケットのあて先を正確に把握及び維持するために用いる経路制御を行うためのプロトコルであるＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）を用いる。ネットワーク・ネットワーク間接続情報は、ＢＧＰのＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）としてネットワーク層到着可能性情報が用いられ、ネットワーク層到着可能性情報を管理システム間で共有し、ネットワーク層到着可能性情報の共有及び交換を管理システム２６で行う。

図１１に本発明の実施形態２のトンネル解析部３５を説明するための図を示す。隣接ノード３２は事前に２段階認証により管理システム２６が取得したネットワーク・ネットワーク間接続情報により、ドメイン間を通過するトンネルの種類（ＶＸＬＡＮ）とＶＸＬＡＮＩＤを図１５の６．で取得する。トンネル解析部３５は隣接ノード３２に入ってきたパケットのＶＸＬＡＮヘッダまで含めて解析し（ステップＳ６０２）、ドメイン間を通過するトンネルと指定されたＶＸＬＡＮ＿ＩＤの場合は指定されたドメインに転送する（ステップＳ６０３及び６０４）。具体的には、登録されているトンネル番号と一致する場合、宛先ドメインに転送処理を行う（ステップＳ６０４及び６０５）。登録されているトンネル番号と一致しない場合、管理ドメインに確認するための確認処理を行う（ステップＳ６０６及び６０７）。もちろんＩＰルーティングに従いそのまま転送してもよい。

その際、ＶＸＬＡＮ＿ＩＤをキーに加えてハッシュ化することでネットワーク・ネットワーク間を適切に分散する。また、登録されていないＶＸＬＡＮＩＤの場合は管理システム２６に問い合わせるか、破棄することで余計なトラヒックが他のドメインに流れるのを防ぐことができる。ヘッダ全体でハッシュ化してもよい。

（実施形態３）
ユーザ１１の通信に本発明の２段階認証を使うことにより、より信頼性の高い通信を実現可能である。図１２に本発明の実施形態３のユーザ通信の２段階認証を説明するためのフローを示す。収容ノードはユーザ１１が通信を行うサービスノード２８を収容するノード１１を示す。本実施形態に係るネットワーク管理システム２１では、図１２のフローに従いステップＳ７０１〜７１１を実行してもよい。

ユーザ１１は統合管理システム２２に対してパス要求時に暗号化されたパスを要求するとする。統合管理システム２２はネットワーク・ネットワーク間接続情報と一緒に暗号化・復号化する手順を管理システム２６に通知し、図４と同様に２段階認証によりパスの開通をする。

送信側の収容ノードではパケットを転送する時に管理システム２６から取得した暗号する手順によってパケットを暗号化して転送する。受信側では同様に管理システム２６から取得した復号化する手順によって、パケットを復元し対向のサービスノードに配信する。

既存の方式では、ユーザ端末間でＶＰＮを張って通信を暗号化する場合、最初の認証で相手側に鍵を渡す手段が必要だが、この鍵の交換を通信経路とは別の手段を用いて行わなければ鍵を受け取った相手端末が正しい相手だと保証できず、通信の信頼性がなくなる。

そこで、本発明の場合は、その鍵の交換を統合管理システムと管理システム２６が行うことにより、通信経路とは別経路での認証が可能となり、管理システム２６の登録と、通信経路の認証が正しく一致することで初めて通信が成立する。

これにより、高信頼なパスの構築が可能である。更に通常の通信の暗号化の仕組みでは暗号化・復号化するための追加のヘッダが必要であるが、本発明ではヘッダは必要ない。また、暗号化、復号化の処理が通常のスイッチのチップで実現できるため高速に処理ができる。上記の例ではユーザ通信を示したが、例えばエンド・ツー・エンドでユーザの通信路で監視パケットを流す場合、監視パケットの情報を上述の方法で暗号化してもよい。

（実施形態４）
図１３に本発明の実施形態４のｏｖｅｒｌａｙでの接続形態を説明する図を示す。管理システム２６によっては直接接続していない可能性もある。
例えば管理システム＃１と管理システム＃３とは、管理ドメイン＃２をトランジットして接続するしかでしか方法がないとする。

この場合は管理ドメイン＃１と管理ドメイン＃２の間の隣接ノード３２は既存と同じようにＢＧＰで接続する。管理ドメイン＃２と管理ドメイン＃３の間の隣接ノード３２も同様にＢＧＰで接続する。そのあとに管理ドメイン＃１と管理ドメイン＃３との間でオーバーレイトンネルを張ることにより仮想的に管理ドメイン＃１の隣接ノード３２と管理ドメイン＃３の隣接ノード３２が仮想的に直接接続されている状態となる。これにより管理システム２６が対応していない管理ドメインを接続した場合でも同様の機能を実現できる。

以下に、本発明に係るネットワーク管理システム２１及びネットワーク管理方法の構成例と効果を説明する。なお、上述した実施形態及び以下に説明する構成例では、統合管理システム２２が備えるドメイン情報管理部２４が保持及び管理するネットワーク・ネットワーク間接続情報は第１のネットワーク間接続情報とし、管理システム２６が備えるドメイン情報管理部２７が保持及び管理するネットワーク・ネットワーク間接続情報は第２のネットワーク間接続情報として区別して用いられてもよい。

本実施形態において、ネットワーク管理システム２１は、サービスノード２８間のネットワークを管理する管理システム２６と、当該管理システム２６を統合的に管理する統合管理システム２２において、当該統合管理システム２２は、ユーザ１１が生成したネットワーク毎の構成情報やポリシー情報を暗号化し、その情報交換する時の認証方法として統合管理システム２２と管理システム２６、更に隣接する管理システム２６間の３者間で認証を行う２段階認証を用いることと、その認証を行うための鍵を生成する認証鍵生成部２５を備えたことと管理システム２６の情報とネットワーク・ネットワーク間接続情報を管理するドメイン情報管理部２４とドメイン間の最適な経路を計算する経路計算部２３を備えたことを特徴とする。

また、ネットワーク管理システム及びネットワーク管理方法において、当該統合管理システム２２は、ネットワーク開通時に、ドメイン情報管理部２４からネットワーク・ネットワーク間接続情報を取得し、要件を満たす経路を経路計算部２３により計算するステップと、経路計算によって得られた管理システム２６に対して管理ドメイン間を接続する要求を管理システム２６に通知するステップと、通知を受け取った管理システム２６はサービス要件をもとに接続するドメイン内のリソースの予約し、予約したネットワーク・ネットワーク間接続情報と公開鍵の情報を統合管理システムに送るステップと、認証鍵生成部２５により、管理システム２６のネットワーク・ネットワーク間接続情報を各々の管理システム２６が生成した公開鍵から乱数を作成し、その乱数により生成された情報により暗号化し、それぞれの管理システム２６に配信するステップと、管理システム２６は統合管理システム２２から取得したネットワーク・ネットワーク間接続情報に記載された管理システム２６と鍵交換を行い、お互いの公開鍵を使い統合管理システムから取得したネットワーク・ネットワーク間接続情報の鍵認証を行うステップと、管理システム２６はネットワーク・ネットワーク間接続情報を基に管理ドメインの隣接ノード３２の設定を行うステップと、設定後、管理システム２６はそのネットワーク・ネットワーク間接続情報を管理する識別番号を払い出し、ドメイン情報管理部２７に保存し、統合管理システム２２に通知するステップと、統合管理システム２２はドメイン情報管理部２４にネットワーク間接続情報を保存することを特徴とする。

これにより統合管理システム２２はネットワーク・ネットワーク間接続情報を管理ドメインと共有でき、全ての管理ドメインに情報を送ることなく、最小限の情報を共有すればよいため、統合管理システム２２の負担を減らし、かつ、管理システム２６の所掌範囲外である管理ドメイン間隣接ノード３２の設定をネットワーク・ネットワーク間接続情報として統合管理システム２２が提供することで、管理ドメイン間の情報を管理できる。

また、ネットワーク・ネットワーク間接続情報を受け取った管理システム２６は、復号したした後に、対向管理システム２６と通信し、互いの鍵を取得する２段階認証によってネットワーク・ネットワーク間の隣接ノード情報を解読・取得することで、安全に通信できる。

また、ネットワーク管理システム及び方法は、統合管理システム２２はネットワークの状態を変更する時は生成時のネットワーク識別情報を管理システム２６に通知するステップと管理システム２６は内部のネットワーク識別情報と比較し、リソースを確認し、統合管理システム２２に応答するステップと統合管理システム２２は管理システム２６に対して設定要求を行うステップと、管理システム２６は設定に基づき設定を行うステップとを備え、行うことを特徴とする。

これにより、ユーザ１１が作成するネットワークに対し、統合管理システム２２、隣接しあう管理システム２６双方が３者間で相互に認証する仕組みを導入し、統合管理システム２２を介した管理システム２６での情報交換のスキームを確立することで、安全に管理システム２６間でユーザ１１の情報の交換をすることができ、かつ、管理システム２６の所掌範囲外である隣接ノード３２間の接続部分については統合管理システム２２が管理し、かつ管理システム２６内は管理システム２６に管理を委譲することで、統合管理システム２２の機能を最小化しつつ、柔軟なネットワーク制御が可能となる。

また、ネットワーク管理システム及びネットワーク管理方法において、隣接ノード３２は、統合管理システム２２のネットワーク・ネットワーク間接続情報により、対向の管理ドメインとの隣接ノード３２の切替手段を共有するステップと、監視機能部３４によって管理ドメインの隣接ノード３２間で監視パケットを送り疎通性を確認するステップと監視パケットが届かない場合に管理システム２６は、事前に認証された管理システム２６間の通信によって管理ドメイン間でネットワークの状態を確認するステップと状態が変化した場合は統合管理システム２２に通知しネットワーク・ネットワーク間接続情報を更新するステップを備え、行うことを特徴とする。

これにより、統合管理システム２２がネットワーク・ネットワーク間接続情報を信頼性の高い通信により管理システム２６を介して隣接ノード３２に提供し、隣接ノード３２は障害時に統合管理システム２２から提供された切替手段を参照し、その切替手段に基づいてユーザ１１の通信を切り替えることにより統合管理システム２２が管理する隣接ノード３２間の切替管理が可能である。

更に、ネットワーク管理システム及びネットワーク管理方法におけるトンネル解析部３５において、隣接ノード３２は統合管理システム２２のネットワーク・ネットワーク間接続情報により管理ドメインを跨るトンネル識別番号の一覧を取得するステップと、隣接ノード３２はパケット解析部により管理ドメイン内から流入したパケットのヘッダを解析するステップと、ネットワーク・ネットワーク間接続情報に記述されたトンネルの番号と一致するパケットについては、ネットワーク・ネットワーク間接続情報に従い、パケットを宛先ドメインに流通するステップ、もしくはトンネル識別番号をキーとして負荷を分散するステップもしくはトンネル番号と一致しないパケットは管理ドメインに確認する、もしくは廃棄するステップを備え、行うことを特徴とする。

これにより、統合管理システム２２が、ネットワーク・ネットワーク間接続情報およびトンネル識別番号の一覧を、隣接ノード３２に信頼性の高い通信により管理システム２６を介して提供し、隣接ノード３２は流入パケットと、その識別番号とを照らし合わせて制御を行うことで、統合管理システム２２の管理に基づいて隣接ノード間の余計なドメイン間の通信を減らし、かつより柔軟なトラヒック制御が可能となる。

更にネットワーク管理システム及びネットワーク管理方法におけるトンネル解析部３５において、複数経路に負荷分散する時は、発信元と送信先のアドレスの他にパケット解析部により得られたトンネル識別番号または、トンネル識別情報のヘッダを加えてハッシュ値を計算し、トラヒックを複数経路に分散を行うことを特徴とする。

これにより、管理ドメイン間の通信が送信元と宛先が同一のアドレスになったとしても複数経路に負荷分散してトラヒックを流すことができる。

また、ネットワーク管理システム及びネットワーク管理方法において、統合管理システム２２は、ネットワーク・ネットワーク間接続情報を暗号・復号化するための関数を送信側の管理システム２６と受信側の管理システム２６に通知するステップと、送信側の管理システム２６は統合管理システム２２から取得した暗号化するための関数によってサービスノード２８を収容するドメインに流入したパケットの処理を行うステップと、受信側の管理システム２６についても同様に統合管理システム２２から取得した復号化するための関数によってサービスノード２８を収容するドメインに流入するパケットを復号するステップを備え、行うことを特徴とする。

なお、上述した本実施形態では、統合管理システム２２は、経路計算部２３の計算結果によって得られた管理ドメイン間を接続する接続要求を管理システム２６に通知する接続要求通知部を備え、ユーザ１１及び管理システム２６との通信情報を送受信する統合管理システム処理部を備えていてもよい。

また、管理システム２６は、統合管理システム処理部と送受信を行う管理システム処理部を備え、接続要求通知部からの接続要求の通知を受信するとともに、サービス要件に応じて接続先であるドメイン内のリソースの予約し、ドメイン情報管理部２７からネットワーク・ネットワーク間接続情報を取得し、ネットワーク・ネットワーク間接続情報と公開鍵情報を統合管理システム処理部に送信する情報送信部を備え、ドメイン情報管理部２４から統合管理システム処理部を介してネットワーク・ネットワーク間接続情報を取得し、各々の管理システム２６で生成した公開鍵から乱数を作成し、乱数により生成された乱数情報により暗号化し、各々の管理システム２６に配信する認証鍵生成部を備えてもよい。

さらに、管理システム２６は、ネットワーク・ネットワーク間接続情報に予め記載された接続先管理システムと鍵交換を行い、お互いの公開鍵を使い統合管理システム２２から取得したネットワーク・ネットワーク間接続情報の鍵認証を行う鍵認証部を備え、ネットワーク・ネットワーク間接続情報を基に管理ドメインの隣接ノード３２の設定を行う隣接ノード設定部を備え、隣接ノード設定部が行った設定後、ネットワーク・ネットワーク間接続情報を管理する識別番号を払い出し、ドメイン情報管理部に保存し、統合管理システム処理部に識別番号を通知する識別番号通知部と、を備えてもよい。

本発明は情報通信産業に適用することができる。

１１：ユーザ
１２：統合管理システム
１３：経路計算部
１４：管理システム
１５：仮想ネットワーク
１６：サービスノード
１７：ドメイン
１８：ノード
１９：構成管理部
２２：統合管理システム
２３：経路計算部
２４：ドメイン情報管理部
２５：認証鍵生成部
２６：管理システム
２７：構成管理部
２８：サービスノード
３２：隣接ノード
３５：トンネル解析部
３６：論理ポート
３７：転送部
３８：リンク

Claims

複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理システムであって、
前記統合管理システムは、
前記ユーザ端末が送出したサービス要件を基に、前記サービス要件にあった設定情報を含む第１のネットワーク・ネットワーク間接続情報を接続対象の管理ドメインを管理するそれぞれの前記管理システムに送出し、
前記管理システムは、
前記統合管理システムが送出した前記第１のネットワーク・ネットワーク間接続情報を受け取り、サービス固有の設定情報およびドメイン間の接続に必要な設定情報を含む第２のネットワーク・ネットワーク間接続情報を、前記統合管理システムまたは隣接ノードを介して、接続対象の管理ドメインを管理する他の管理システムとの間で交換し、前記他の管理システムとの間で交換した前記第２のネットワーク・ネットワーク間接続情報に応じて隣接ノードを設定するとともに、前記第２のネットワーク・ネットワーク間接続情報を管理する識別番号を払い出し、前記統合管理システムに通知する
ことを特徴するネットワーク管理システム。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理システムであって、
前記複数の管理システムのうち一の管理システムと前記一の管理システムに隣接して接続された他の管理システムとの間で前記ネットワーク・ネットワーク間接続情報を交換する場合、
前記統合管理システムと前記一の管理システム及び前記他の管理システムとの間で１段階目の認証を実行し、
前記一の管理システムと前記他の管理システムとの間で２段階目の認証を実行する
ことを特徴とするネットワーク管理システム。
前記統合管理システムは、
前記ユーザ端末で生成したポリシー要件及びサービス要件を満たす経路を計算する経路計算部と、
前記経路計算部の計算結果によって得られた管理ドメイン間を接続する接続要求を前記管理システムに通知する接続要求通知部と、
ドメイン間の接続情報を含むネットワーク・ネットワーク間接続情報を管理するドメイン情報管理部と、
暗号鍵と復号鍵を生成し、前記管理システムに配信する認証鍵生成部と、を備え、
前記管理システムは、
前記接続要求の通知を受信するとともに、前記サービス要件に応じて接続先であるドメイン内のリソースを予約し、リソースの予約情報と公開鍵を前記統合管理システムに送信する情報送信部と、
前記統合管理システムから取得したネットワーク・ネットワーク間接続情報を基に管理ドメインのノードの情報設定を行うドメイン内ノード設定部と、
前記ネットワーク・ネットワーク間接続情報に記載された接続先の前記管理システムと鍵交換を行い、お互いのネットワーク・ネットワーク間接続情報の鍵認証を行う鍵認証部と、
前記ネットワーク・ネットワーク間接続情報を基に他の管理ドメインに接続される隣接ノードの情報設定を行う隣接ノード設定部と、
前記隣接ノード設定部が行った情報設定後、設定後のネットワークの構成情報を構成管理部に保存し、前記統合管理システムに通知する設定通知部と、を備える、
ことを特徴とする請求項１又は２に記載のネットワーク管理システム。
前記管理システムは、
ドメイン間でネットワーク接続する場合、前記ネットワーク・ネットワーク間接続情報として、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）のＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）のネットワーク層到着可能性情報を用いて、前記ネットワーク層到着可能性情報を管理システム間で共有する
ことを特徴とする請求項１から３のいずれかに記載のネットワーク管理システム。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
前記統合管理システムは、
前記ユーザ端末が送出したサービス要件を基に、前記サービス要件にあった設定情報を含む第１のネットワーク・ネットワーク間接続情報を接続対象の管理ドメインを管理するそれぞれの前記管理システムに送出し、
前記管理システムは、
前記統合管理システムが送出した前記第１のネットワーク・ネットワーク間接続情報を受け取り、サービス固有の設定情報およびドメイン間の接続に必要な設定情報を含む第２のネットワーク・ネットワーク間接続情報を、前記統合管理システムまたは隣接ノードを介して、接続対象の管理ドメインを管理する他の管理システムとの間で交換し、前記他の管理システムとの間で交換した前記第２のネットワーク・ネットワーク間接続情報に応じて隣接ノードを設定するとともに、前記第２のネットワーク・ネットワーク間接続情報を管理する識別番号を払い出し、前記統合管理システムに通知する
ことを特徴とするネットワーク管理方法。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
前記複数の管理システムのうち一の管理システムと前記一の管理システムに隣接して接続された他の管理システムとの間で前記ネットワーク・ネットワーク間接続情報を交換する場合、
前記統合管理システムと前記一の管理システム及び前記他の管理システムとの間で１段階目の認証を実行し、
前記一の管理システムと前記他の管理システムとの間で２段階目の認証を実行する
ことを特徴とするネットワーク管理方法。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
ネットワーク状態を変更する場合、
前記統合管理システムが、生成時のネットワーク識別情報を前記管理システムに通知する識別情報通知手順と、
前記管理システムが、前記識別情報通知手順で通知された前記ネットワーク識別情報と当該管理システムのネットワーク識別情報とを比較するとともにリソースを確認し、前記統合管理システムに応答する応答手順と、
前記統合管理システムが、前記管理システムに対して管理ドメイン間を接続する要求を行う設定要求手順と、
前記管理システムが、前記要求に基づき接続の設定処理を行う設定処理手順と、
を行うことを特徴とするネットワーク管理方法。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
前記管理システム間で共有した前記ネットワーク・ネットワーク間接続情報により、前記管理システムのうち互いに対向する管理システム同士が、管理ドメインの隣接ノードの切替処理設定を共有する設定共有手順と、
管理ドメインの前記隣接ノード間で監視パケットを送り、前記隣接ノード又は前記管理システムが、疎通性を確認する監視機能確認手順と、
前記監視パケットが届かない場合に、前記管理システムが、事前に認証された前記管理システム間の通信によって、管理ドメイン間でネットワークの設定状態を確認する設定状態確認手順と、
前記設定状態確認手順で前記設定状態の変化を確認した場合は、前記管理システムが前記統合管理システムに通知し、前記統合管理システムが前記ネットワーク・ネットワーク間接続情報を更新する更新手順と、
を行うことを特徴とするネットワーク管理方法。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
他の管理ドメインに接続される隣接ノードが、
前記統合管理システムの前記ネットワーク・ネットワーク間接続情報により、管理ドメインを跨るネットワークの識別番号であるトンネル識別番号の一覧を取得する識別番号取得手順と、
前記管理システム間で共有した前記ネットワーク・ネットワーク間接続情報により、管理ドメインに流入したパケットの情報と前記隣接ノードでの接続設定を取得するネットワーク・ネットワーク間接続情報取得手順と、
管理ドメイン内から流入したパケットのヘッダを解析するヘッダ解析手順と、
前記ネットワーク・ネットワーク間接続情報に記述されたトンネル識別番号と一致するヘッダを有するパケットについては、前記ネットワーク・ネットワーク間接続情報に応じて前記パケットを宛先ドメインに流通するドメイン流通手順と、
前記ネットワーク・ネットワーク間接続情報に記述されたトンネル識別番号と一致しないヘッダを有するパケットについては、管理ドメインに確認又は廃棄するドメイン処理手順と、
を行うことを特徴とするネットワーク管理方法。
複数のドメインにそれぞれ配置され、サービスノード間のネットワークを管理する複数の管理システムと、前記管理システムを統合的に管理し、ユーザ端末と接続された統合管理システムとを備え、
前記統合管理システム及びそれぞれの前記管理システムでネットワーク・ネットワーク間接続情報を共有し、
共有した前記ネットワーク・ネットワーク間接続情報に応じて、それぞれの前記管理システムが管理する管理ドメイン間の接続経路を選択的に形成するネットワーク管理方法であって、
前記統合管理システムが、ユーザのパケットを暗号化又は復号化するための関数を送信側の管理システムと受信側の管理システムにそれぞれ通知する通知手順と、
前記送信側の管理システムが、前記統合管理システムから取得した暗号化するための関数に応じてサービスノードからドメインに流入したパケットの設定処理を行う暗号処理手順と、
前記受信側の管理システムが、前記統合管理システムから取得した復号化するための関数に応じてサービスノードを収容するドメインに流入するパケットを復号化する復号処理手順と、
を行うことを特徴とするネットワーク管理方法。
ドメイン間でネットワーク接続する場合、前記管理システムは、前記ネットワーク・ネットワーク間接続情報として、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）のＮＬＲＩ（ＮｅｔｗｏｒｋＬａｙｅｒＲｅａｃｈａｂｉｌｉｔｙＩｎｆｏｒｍａｔｉｏｎ）のネットワーク層到着可能性情報を用いて、前記ネットワーク層到着可能性情報を管理システム間で共有する
ことを特徴とする請求項５から１０のいずれかに記載のネットワーク管理方法。