WO2022123676A1 - パケットキャプチャシステム、方法およびプログラム - Google Patents

パケットキャプチャシステム、方法およびプログラム Download PDF

Info

Publication number
WO2022123676A1
WO2022123676A1 PCT/JP2020/045811 JP2020045811W WO2022123676A1 WO 2022123676 A1 WO2022123676 A1 WO 2022123676A1 JP 2020045811 W JP2020045811 W JP 2020045811W WO 2022123676 A1 WO2022123676 A1 WO 2022123676A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
distribution device
stage
flow
packets
Prior art date
Application number
PCT/JP2020/045811
Other languages
English (en)
French (fr)
Inventor
彩希 八田
寛之 鵜澤
周平 吉田
高庸 新田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US18/254,101 priority Critical patent/US20230421463A1/en
Priority to JP2022567938A priority patent/JP7405281B2/ja
Priority to PCT/JP2020/045811 priority patent/WO2022123676A1/ja
Publication of WO2022123676A1 publication Critical patent/WO2022123676A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H04L43/106—Active monitoring, e.g. heartbeat, ping or trace-route using time related information in packets, e.g. by adding timestamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/20—Arrangements for monitoring or testing data switching networks the monitoring system or the monitored elements being virtualised, abstracted or software-defined entities, e.g. SDN or NFV

Definitions

  • the present invention relates to a packet capture technique for capturing packets in a network.
  • a packet capture device that can selectively capture packets of a specific flow (a collection of packets with the same rule that combines the source / destination MAC address and IP address) is one of the devices essential for failure analysis of the above network. Is. In a large-scale and complicated network, it is necessary to be able to capture an extremely large number of packets such as hundreds of thousands of flows.
  • FIG. 16 shows a configuration diagram of a conventional packet capture device (Patent Document 1). It has a packet analysis unit that analyzes the header of the input packet and a flow identification unit that specifies the flow registered in the rule table. In the filter section, the flow packets that did not correspond in the flow identification section are discarded, the corresponding flow is output to the capture file generation section, and multiple packets are combined with the time information into a capture file and saved in the storage section. ..
  • the number of rules that can be registered in the rule table is limited depending on the maximum amount of memory installed in the device, which makes it difficult to capture a large number of packets. Even if the number of rules that can be registered can be increased by devising the memory configuration inside the device, the number of required rules varies greatly depending on the network in which the packet capture device is installed. Therefore, there is a possibility that the device may be redesigned depending on the installation network, and the conventional configuration is not configured in consideration of scalability.
  • the present invention has been made to solve the above problems, and to realize a packet capture system in consideration of scalability while minimizing the number of constituent devices without limiting the number of rules that can be captured. With the goal.
  • the packet capture system of the present invention is a packet capture system that captures packets flowing through a network to be captured, and a plurality of stages of packet distribution devices that capture packets of a specific flow are cascaded.
  • Each of the multi-stage packet distribution devices having a configuration includes a packet analysis unit that analyzes an input packet and a flow identification unit that identifies a flow to be captured, and each of the multi-stage packet distribution devices is provided.
  • the packet distribution device other than the final stage packet distribution device of the device includes a distribution unit that distributes packets in order to capture the packets of the flow to be captured, and the distribution unit next to the packets of the flow that is not the capture target.
  • the final stage packet distribution device is configured to output to a stage packet distribution device, and the final stage packet distribution device includes a filter unit that filters packets in order to capture packets of the flow to be captured, and the filter unit is said. It is configured to drop packets for flows that are not captured.
  • the packet capture system of the present invention is a packet capture system that captures packets flowing through a network to be captured, and has a configuration in which a plurality of stages of packet distribution devices that distribute packets of a specific flow are connected in cascade.
  • a switch that collects the outputs of the multi-stage packet distribution device and a processing device that captures the packets output by the switch are provided, and each of the multi-stage packet distribution devices is an input packet.
  • a packet analysis unit that analyzes the packet, a flow identification unit that identifies the flow to be captured, and a distribution unit that distributes packets of the flow to be captured and packets that are not the capture target are provided.
  • the distribution unit of the packet distribution device other than the stage packet distribution device is configured to transmit the packet of the flow to be captured to the switch and output the packet of the flow not to be captured to the packet distribution device of the next stage.
  • the distribution unit of the final stage packet distribution device is configured to transmit packets of the flow to be captured to the switch and discard packets of flows not to be captured.
  • the packet capture system of the present invention is a packet capture system that captures packets flowing through a network to be captured, and has a configuration in which a plurality of stages of packet distribution devices that distribute packets of a specific flow are connected in cascade. And, a processing device for capturing the packet output by the first-stage packet distribution device of the multi-stage packet distribution device is provided, and each of the multi-stage packet distribution devices is a packet analysis unit that analyzes the input packet.
  • a flow identification unit that identifies the flow to be captured and a distribution unit that distributes packets of the flow to be captured and packets that are not the capture target are provided, and the first-stage packet distribution device distributes packets of the flow that is not the capture target.
  • the final stage packet distribution device is configured to transmit packets of the flow to be captured to the packet distribution device of the previous stage and discard packets of flows not to be captured, and the first stage packet distribution device and the final stage packet.
  • the middle-stage packet distribution device When the middle-stage packet distribution device is connected between the distribution devices, the middle-stage packet distribution device outputs a packet of a flow that is not the capture target to the packet distribution device of the next stage, and the packet of the flow to be captured is combined with the packet. It is configured to transmit the packet transmitted from the packet distribution device in the next stage to the packet distribution device in the previous stage.
  • the packet capture method of the present invention includes a configuration in which a plurality of stages of packet distribution devices that capture packets of a specific flow are connected in cascade, and is a packet capture system that captures packets flowing through a capture target network.
  • each of the multi-stage packet distribution devices analyzes a packet to be input and identifies a flow to be captured, and a final stage of the multi-stage packet distribution device.
  • a step in which a packet distribution device other than the packet distribution device distributes packets in order to capture a packet of a flow to be captured, and outputs a packet of a flow not to be captured to a packet distribution device in the next stage, and the final step.
  • the stage packet distribution device includes a step of filtering packets in order to capture the packets of the flow to be captured and discarding the packets of the flow not to be captured.
  • the traffic monitoring program of the present invention causes a computer to execute each step of the packet capture method described above, and operates the computer as a packet capture system.
  • FIG. 1 is a diagram showing a configuration example of a packet capture system according to the first embodiment of the present invention.
  • FIG. 2 is a diagram showing a configuration example of a packet distribution device according to the first embodiment of the present invention.
  • FIG. 3 is a diagram showing a configuration example of a packet distribution device according to the first embodiment of the present invention.
  • FIG. 4 is a diagram showing a configuration example of a packet distribution device according to the first embodiment of the present invention.
  • FIG. 5 is a flowchart showing an operation procedure in the first-stage packet distribution device according to the first embodiment of the present invention.
  • FIG. 6 is a flowchart showing an operation procedure in the middle-stage packet distribution device according to the first embodiment of the present invention.
  • FIG. 1 is a diagram showing a configuration example of a packet capture system according to the first embodiment of the present invention.
  • FIG. 2 is a diagram showing a configuration example of a packet distribution device according to the first embodiment of the present invention.
  • FIG. 3 is a diagram showing
  • FIG. 7 is a flowchart showing an operation procedure in the final stage packet distribution device according to the first embodiment of the present invention.
  • FIG. 8 is a configuration example of a computer for realizing the traffic monitoring device according to the present embodiment.
  • FIG. 9 is a diagram showing a configuration example of the packet capture system according to the second embodiment of the present invention.
  • FIG. 10 is a diagram showing a configuration example of a packet distribution device according to a second embodiment of the present invention.
  • FIG. 11 is a diagram showing a configuration example of the packet capture system according to the third embodiment of the present invention.
  • FIG. 12 is a diagram showing a configuration example of a packet distribution device according to a third embodiment of the present invention.
  • FIG. 13 is a diagram showing a configuration example of the packet capture system according to the fourth embodiment of the present invention.
  • FIG. 14 is a diagram showing a configuration example of a first-stage packet distribution device according to a fourth embodiment of the present invention.
  • FIG. 15 is a diagram showing a configuration example of a middle-stage packet distribution device according to a fourth embodiment of the present invention.
  • FIG. 16 is a diagram showing a configuration of a conventional packet distribution device.
  • FIG. 1 is a configuration example of a packet capture system according to the first embodiment of the present invention.
  • FIG. 2 is a configuration example of a first-stage packet distribution device of a packet capture system.
  • the packet capture system 1 is a packet capture system that captures packets flowing through the capture target network 200.
  • a plurality of stages N is an integer of 2 or more
  • packet distribution devices (10, 20, 30) are cascade-connected.
  • the first-stage packet distribution device 10 is the “first-stage packet distribution device”
  • the N-th stage packet distribution device 30 is the “final-stage packet distribution device”, 2 to N.
  • the first-stage packet distribution device 20 will be referred to as a “middle-stage packet distribution device” and will be described.
  • the first stage packet distribution device and the middle stage packet distribution device capture the packet of the specific flow to be captured based on the rule for specifying the flow to be captured, and the packet of the flow not to be captured. Is transmitted to the packet capture of the next stage, and the same processing is performed in the packet distribution device of the next stage.
  • the packet distribution device in the final stage is configured to capture the packet of the specific flow to be captured and discard the packet of the flow not to be captured.
  • FIG. 2 is a configuration example of the first-stage packet distribution device 10 of the packet capture system 1.
  • the first-stage packet distribution device 10 receives a mirroring packet from the capture target network 200, performs a packet header analysis, and compares the header extracted by the header analysis with the rules of the rule table 100 to capture the target.
  • the flow identification unit 12 that identifies the flow
  • the distribution unit 14 that distributes the packets of the flow to be captured and the packets of the flow that is not the capture target based on the identification result of the flow identification unit 12, and the capture file is generated for the packets of the flow to be captured.
  • the capture file generation unit 15 and the storage unit 16 for storing the capture file are provided.
  • the first-stage packet distribution device 10 is provided with a time stamp unit 13 in front of the distribution unit 14, and is different from the conventional packet distribution device in that there is an output path from the distribution unit 14 to the next-stage packet distribution device. Is.
  • the time stamp unit 13 is provided to unify the packet arrival times in the plurality of packet distribution devices.
  • the packet arrival time is assigned to the header of the packet and the like, and the capture file is generated in the capture file generation unit 15 using the added time information.
  • the packet arrival time assigned to the packet is used for processing such as sorting the packet when statistically analyzing the captured packet.
  • the flow identification unit 12 of the packet distribution device 10 identifies the flow to be captured based on the rule table 100 (number of rules: Nf) in which the flow to be captured is registered. Packets with a flow that is ON and that matches the rules in the distribution unit are output to the capture file generation unit and captured by the packet distribution device. If the capture is OFF, the packet is discarded at the distribution unit.
  • the capture ON / OFF is configured to be configurable from the outside of the distribution unit. The same applies to the middle-stage packet distribution device 20 and the final-stage packet distribution device 30.
  • Each packet distribution device has a rule table in which different flows are registered.
  • the header field information of the source / destination MAC address and the source / destination IP address can be registered as a rule for identifying the flow.
  • the information that identifies the flow is not limited to them, and a combination of header field information such as source / destination port number and protocol type may be registered as a rule for identifying the flow.
  • a capture file is generated for the packet of the flow to be captured whose header information extracted by the header analysis of the packet matches the rule of the rule table, and the generated capture file is stored in the storage unit 16.
  • the packet of the flow whose header information does not match the rule of the rule table is distributed to the output path to the packet distribution device of the next stage in the distribution unit 14, and is output to the packet distribution device of the next stage.
  • FIG. 3 is a configuration example of the middle-stage packet distribution device 20 (# 2 to # N-1). Similar to the first-stage packet distribution device 10, the packet analysis unit 21, the flow identification unit 22, the distribution unit 24, the capture file generation unit 25, the storage unit 26, and the rule table 100 are provided. It differs from the first-stage packet distribution device 10 in that it does not have a time stamp unit. The capture file generation unit 25 of the middle-stage packet distribution device 20 generates a capture file using the time information given by the time stamp unit 13 of the first-stage packet distribution device 10.
  • FIG. 4 shows a configuration example of the packet distribution device #N, which is the final stage of the cascade connection. Similar to the first-stage packet distribution device 10 (# 1) and the middle-stage packet distribution device 20 (# 2 to # N-1), it includes a packet analysis unit 31, a flow identification unit 32, a capture file generation unit 35, and a storage unit 36. The difference from the middle-stage packet distribution device 20 is that there is no output path to the next-stage packet distribution device, and the distribution unit 24 has been changed to the filter unit 34.
  • the packet of the flow that does not match the rules of the rule table 100 is filtered by the filter unit 34 and discarded. Packets with a flow that matches the rules are output to the capture file generation unit 35 in the same manner as the devices up to the packet distribution device # N-1, and the generated capture files are stored in the storage unit 36.
  • the packet distribution function may be operated as one function of the traffic monitoring device that also performs statistical information processing.
  • the packet distribution function in order to identify the flow to be captured from the flow of the statistical information acquisition target, for example, in the rule table for identifying the flow of the statistical information acquisition target, "whether or not it is the capture target" is shown.
  • a “capture flag” may be provided.
  • Packets of flows that match the rules for which statistical information is to be acquired are targeted for statistical information acquisition, and statistical information for the relevant flow is collected by another function unit.
  • a packet with a flow that does not match the rule for which statistical information is acquired is output to the packet distribution device in the next stage.
  • the N-stage packet distribution devices are connected in cascade to form a system configuration in which the number of flows that can be captured can be freely increased or decreased according to the number of connection stages.
  • the number of flows that can be captured by the one-stage packet distribution device (the number of rules that can be registered) is Nf (Nf is an integer larger than 1)
  • Nf is an integer larger than 1
  • packet capture of N ⁇ Nf flow is possible for the entire system. It becomes.
  • FIG. 5 is a flowchart showing the operation procedure of the first-stage packet distribution device.
  • FIG. 6 is a flowchart showing the operation procedure of the middle-stage packet distribution device.
  • FIG. 7 is a flowchart showing the operation procedure of the final stage packet distribution device.
  • the first-stage packet distribution device buffers the received packet (step S1-2) and analyzes the header of the packet to perform header information. Is extracted (step S1-3).
  • a time stamp which is arrival time information, is added to the buffered packet (step S1-5).
  • step S1-4 the header extracted by the header analysis and the rule of the rule table are compared to identify whether or not the flow is the capture target (step S1-4). If the flow matches the rule (step S1-6: YES), a capture file is generated (step S1-7), and the generated capture file is stored in the storage unit (step S1-8). If the flow does not match the rule recorded in the rule table (step S1-6: NO), the buffered packet is transmitted to the next-stage packet distribution device (step S1-9).
  • the operation of the middle-stage packet distribution device differs from the operation of the first-stage packet distribution device of FIG. 5 in that a packet is received from the previous-stage packet device (step S2-1) and there is no step of adding a time stamp. ..
  • packet analysis is performed on the packet received from the previous-stage packet device, and in the case of a packet of the flow to be captured, a capture file is generated and stored in the storage unit (steps S2-6, S2-7). ), In the case of a packet with a flow that is not the capture target, it is transmitted to the next-stage packet distribution device (step S2-8).
  • the operation of the final stage packet distribution device differs from the operation of the middle stage packet distribution device in FIG. 6 in that packets of flows that are not the capture target are discarded (step S3-8).
  • the final stage packet distribution device for the packet received from the previous stage packet device, in the case of the packet of the flow to be captured, a capture file is generated and stored in the storage unit (steps S3-6, S3-7), and the capture is performed. If the packet has a flow that is not the target, it is discarded (step S3-8).
  • the plurality of packet distribution devices in the present embodiment may be realized by physically different device forms, but the present invention is not limited to this.
  • it may be realized by a board on a server, or the function of a packet distribution device may be realized by software running on a computer.
  • FIG. 8 shows a configuration example of a computer that operates as a packet distribution device.
  • Each part of the packet distribution device constituting the packet capture system of the present embodiment includes a computer provided with a CPU (CeNtral ProcedureNg UNIT), a storage device and an external interface (hereinafter, external I / F), and their hardware resources. It can be realized by a controlling program.
  • the computer 300 includes a CPU 400, a storage device 600, and an external I / F 700, which are connected to each other via an I / O interface 500.
  • Data such as a packet capture program and the like for realizing the operation of the packet capture system of the present embodiment and a capture file are stored in the storage device 600, and the external I / F 700 includes another computer 800 for transmitting and receiving signals.
  • Computers that make up the network are connected.
  • the CPU 400 can execute the packet capture process described in the present embodiment according to the processing program or the like stored in the storage device 600.
  • the processing program can also be recorded on a computer-readable recording medium or provided over a network.
  • ⁇ Second embodiment> a configuration capable of cascading a plurality of packet distribution devices and performing capture for the number of rules that can be registered in each packet distribution device has been described. In such a configuration, in order to process packet statistical information and the like, it is necessary to separately aggregate the packets captured by each packet distribution device.
  • a device for aggregating captured packets is installed after the packet distribution device, and the packets captured by each packet distribution device are aggregated and stored in one storage device. And said.
  • FIG. 9 shows a configuration example of the packet capture system according to the second embodiment.
  • the packet capture system 1 of the present embodiment is connected to N packet distribution devices (40, 50, 60), a packet distribution device (40, 50, 60), a switch 70 for concentrating the output of the distribution device, and a switch 70. It is composed of a post-stage processing device 80 connected to a switch 70.
  • the switch 70 has a function of switching packets transmitted from N packet distribution devices (40, 50, 60) and transmitting them to the subsequent processing device 80, and is composed of general layer 2 and layer 3 switches. be able to.
  • the post-stage processing device 80 has a function of collectively converting packets to which at least arrival time information (time stamp) is attached into a capture file, and a function of storing those capture files.
  • a traffic visualization device for visualizing captured packets and a DPI (Deep Packet Inspection) device for analyzing packets more deeply can be considered, but the device is not limited thereto.
  • DPI Deep Packet Inspection
  • FIG. 10 shows a configuration example of the first-stage packet distribution device 40 (# 1) constituting the packet capture system of the present embodiment.
  • the difference from the first-stage packet distribution device 10 in the first embodiment is that there is no capture file generation unit and storage unit, and the distribution unit 44 uses the flow identification unit 42 to generate packets having a flow that matches the rules of the rule table. It is configured to output to the switch 70.
  • each of the packet distribution devices can function as a device that distributes packets to a switch or a packet distribution device in the next stage, which does not have a function of capturing packets.
  • the middle stage sorting device 50 (# 2 to N-1) in the present embodiment has the same configuration as the first stage packet sorting device 40 (# 1) except that there is no time stamp portion.
  • the final stage packet distribution device 60 (#N), which is the terminal device, has a filter unit (not shown) that discards packets of flows that are not the capture target, as compared with the middle stage distribution device 50 (# 2 to N-1). Is different.
  • the packets having a flow that matches the rules distributed by the N-stage packet distribution devices # 1 to # N are collected in the post-stage processing device through the switch and are collected at one place. It is possible to realize a configuration for packet capture.
  • the post-stage processing device may be connected to a device other than the sorting device.
  • it may be configured to connect to a traffic monitoring device that receives a mirroring packet and outputs statistical information from the mirroring packet.
  • ⁇ Third embodiment> a configuration example is shown in which the capture system is realized by connecting the packet distribution devices # 1 to #N to the post-stage processing device via a switch. In such a configuration, there is no cooperation between the devices, and the packet is transmitted from the packet distribution device to the subsequent processing device in one direction. Therefore, in the second embodiment, the packet capture start / stop setting is performed only inside the first-stage packet distribution device # 1.
  • the start / stop of packet capture can be set from the post-stage processing device linked with the packet distribution devices # 1 to # N.
  • FIG. 11 shows a configuration example of the packet capture system of the present embodiment
  • FIG. 12 shows a configuration example of the first-stage packet distribution device # 1.
  • the input signal path from the post-stage processing device 80 to the first-stage packet distribution device 40 (# 1) via the switch 70 is added.
  • the post-stage processing device 80 transmits a packet capture ON / OFF signal, which is a trigger signal, to the first-stage distribution device 40 (# 1), and based on this signal, the first-stage packet distribution device 40 (# 1). Determines whether to start / stop capture.
  • the distribution unit 44 of the first-stage packet distribution device 40 (# 1) starts capturing the packet, and when the capture is OFF, the distribution unit 44 discards the packet.
  • the packet capture can be started, and a capture system with higher usability can be realized.
  • FIG. 13 shows a configuration example of the packet capture system 1 of the present embodiment.
  • the packet capture system 1 is composed of N packet distribution devices (40, 50, 60) and a post-stage processing device 80 connected only to the first-stage packet distribution device 40.
  • the packets determined to be captured by the distribution devices # 2 to #N are configured to be returned from the determined packet distribution device to the packet distribution device in the previous stage, and finally the capture target. All packets are configured to be returned to the first stage sorting device 40 (# 1). With such a configuration, it is possible to transmit and aggregate the capture target packets to the post-stage processing device 80 without going through a switch.
  • FIG. 14 shows a configuration example of the first-stage packet distribution device 40 (# 1).
  • the difference from the first-stage packet distribution device # 1 of the second embodiment is that the output arbitration unit 45 is provided.
  • a packet determined to be a capture target by the flow identification unit 42 and a packet determined to be a capture target by the sorting devices # 2 to #N are input to the output arbitration unit 45.
  • the output arbitration unit has a function of multiplexing and outputting the two types of packets to the post-stage processing device 80 so as not to collide with each other.
  • FIG. 15 shows a configuration example of the middle-stage packet distribution device 50 (# 2 to # N-1).
  • the difference from the first-stage packet distribution device 40 (# 1) is that there is no time stamp unit 43, and the number of ports linked with external devices is two ports, which is one less than that of the first-stage packet distribution device 40.
  • the output destination of is the packet distribution device in the previous stage of the cascade connection.
  • the function of the output arbitration unit 55 is the same as that of the first stage distribution device 40 (# 1).
  • the final stage packet distribution device 60 (# N) has one port linked to the external device as compared with the middle stage packet distribution device 50 (# 2 to N-1). The difference is that it has only one port and has a filter unit (not shown) that discards packets of flows that are not captured.
  • the fourth embodiment it is possible to capture a very large number of packets in consideration of scalability by minimizing the number of device configurations and the number of ports.
  • ⁇ Fifth Embodiment> a configuration capable of cascading a plurality of packet distribution devices and performing packet capture of a (N ⁇ Nf) flow has been described.
  • a packet capture system capable of capturing a flow of (N ⁇ Nf) or more will be described by utilizing the fact that the packet analysis unit of the first-stage device can be shared by all the devices in the cascade connection.
  • the packet analysis unit of the first-stage packet distribution device # 1 information indicating the analysis result is embedded in the packet.
  • the packet distribution devices # 1 to # N in the middle and subsequent stages use this analysis result to identify the flow to be captured.
  • a number indicating the packet type can be considered.
  • a table or the like showing the correspondence between the packet type and the number is prepared, and the number indicating the analysis result embedded in the packet and the number indicating the packet type of the table are assigned. It is possible to specify the header type only by the process of comparison. In the packet distribution devices # 1 to # N in the middle and subsequent stages, the process of analyzing the header from the beginning of the packet becomes unnecessary.
  • the circuit related to the packet analysis unit becomes simpler than that of the first stage packet distribution device # 1, and the surplus resource for that amount is the number of rules Nf. It is possible to allocate to the increase of.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本発明のパケットキャプチャシステム（１）は、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステム（１）であって、特定フローのパケットをキャプチャする複数段のパケット振り分け装置（１０、２０、３０）がカスケード接続され、パケット振り分け装置（１０、２０、３０）は、入力されるパケットを解析することによりキャプチャ対象のフローを識別し、最終段パケット振り分け装置（３０）以外のパケット振り分け装置（１０、２０）は、キャプチャ対象となるフローのパケットをキャプチャするためにパケットの振り分けを行い、キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するように構成され、最終段パケット振り分け装置（３０）は、キャプチャ対象となるフローのパケットをキャプチャするためにパケットのフィルタリングを行い、キャプチャ対象でないフローのパケットを廃棄するように構成される。キャプチャ可能なルール数に制限を持たせることなく、スケーラビリティーを考慮したパケットキャプチャシステムを実現することができる。

Description

パケットキャプチャシステム、方法およびプログラム
　本発明は、ネットワークにおけるパケットをキャプチャするパケットキャプチャ技術に関する。
　ＮＦＶ（Ｎetwork Functions Virtualization）／ＳＤＮ（Software Defined Ｎetworking）における仮想化技術の進展に伴い、ＶＭ（Virtual Machine）等を用いた様々なサービスが提供され、ネットワークが大規模・複雑化している。特定フロー（送信元/宛先のMACアドレスやＩＰアドレス等を組み合わせたルールが同一パケットの集合体）のパケットを選択的にキャプチャできるパケットキャプチャ装置は、上記ネットワークの障害解析に必須な装置の１つである。大規模・複雑化したネットワークでは数１０万フローといった超大量パケットをキャプチャできる必要がある。
　従来のパケットキャプチャ装置（特許文献１）の構成図を図１６に示す。入力パケットのヘッダを解析するパケット解析部、ルールテーブルに登録されたフローを特定するフロー識別部を有する。フィルタ部では、フロー識別部で該当しなかったフローパケットを廃棄し、該当したフローをキャプチャファイル生成部へ出力し、時刻情報と合わせて複数のパケットをまとめてキャプチャファイル化し、記憶部に保存する。
特許第４９５５７２２号公報
　従来装置の構成においては、装置に搭載されている最大メモリ量によってルールテーブルに登録可能なルール数に限りがある為、超大量パケットキャプチャは困難となる。また、装置内部のメモリ構成を工夫することにより登録可能なルール数を増やすことが出来たとしても、パケットキャプチャ装置を設置するネットワークによって要求ルール数は大きく異なる。そのため、設置先ネットワークによって装置の再設計が生じる可能性があり、従来構成はスケーラビリティーを考慮した構成となっていない。
　また、本装置を複数並べて並列に処理させることで登録ルール数を拡張することも考えられるが、キャプチャ対象ＮＷと並列装置群との間に入力パケットをコピー・分配するための高速スイッチが必要となる為、装置点数が多くなり高価なシステムとなる。高速スイッチの代わりに光スプリッタを介した接続も考えられるが、分岐損によって並列数に限りがある。すなわち、安価に登録ルール数を増大可能なパケットキャプチャ装置・システムの実現が困難である。
　本発明は、上記課題を解決するためになされたものであり、キャプチャ可能なルール数に制限を持たせることなく、構成装置数を最小限にしながらスケーラビリティーを考慮したパケットキャプチャシステムを実現することを目的とする。
　上記課題を解決するために、本発明のパケットキャプチャシステムは、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、特定フローのパケットをキャプチャする複数段のパケット振り分け装置がカスケード接続される構成を備え、前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部とを備え、前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置は、キャプチャ対象となるフローのパケットをキャプチャするためにパケットの振り分けを行う振り分け部を備え、前記振り分け部は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するように構成され、前記最終段パケット振り分け装置は、前記キャプチャ対象となるフローのパケットをキャプチャするためにパケットのフィルタリングを行うフィルタ部を備え、前記フィルタ部は、前記キャプチャ対象でないフローのパケットを廃棄するように構成される。
　上記課題を解決するために、本発明のパケットキャプチャシステムは、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、特定フローのパケットを振り分ける複数段のパケット振り分け装置がカスケード接続される構成と、前記複数段のパケット振り分け装置の出力を集線するスイッチと、前記スイッチが出力したパケットをキャプチャする処理装置とを備え、前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部と、キャプチャ対象のフローのパケットと前記キャプチャ対象でないパケットの振り分けを行う振り分け部を備え、前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置の前記振り分け部は、前記キャプチャ対象のフローのパケットを前記スイッチに送信し、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するように構成され、前記最終段パケット振り分け装置の前記振り分け部は、前記キャプチャ対象のフローのパケットを前記スイッチに送信し、前記キャプチャ対象でないフローのパケットを廃棄するように構成される。
　上記課題を解決するために、本発明のパケットキャプチャシステムは、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、特定フローのパケットを振り分ける複数段のパケット振り分け装置がカスケード接続される構成と、前記複数段のパケット振り分け装置の初段パケット振り分け装置が出力したパケットをキャプチャする処理装置を備え、前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部と、キャプチャ対象のフローのパケットと前記キャプチャ対象でないパケットの振り分けを行う振り分け部を備え、前記初段パケット振り分け装置は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力し、前記キャプチャ対象のフローのパケットと次段の前記パケット振り分け装置から送信されたパケットを前記処理装置に送信するように構成され、前記複数段のパケット振り分け装置の最終段パケット振り分け装置は、前記キャプチャ対象のフローのパケットを前段の前記パケット振り分け装置に送信し、前記キャプチャ対象でないフローのパケットを廃棄するように構成され、前記初段パケット振り分け装置と前記最終段パケット振り分け装置の間に中段パケット振り分け装置が接続されている場合に、前記中段パケット振り分け装置は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力し、前記キャプチャ対象のフローのパケットと次段の前記パケット振り分け装置から送信されたパケットを前段の前記パケット振り分け装置に送信するように構成される。
　上記課題を解決するために、本発明のパケットキャプチャ方法は、特定フローのパケットをキャプチャする複数段のパケット振り分け装置がカスケード接続される構成を備え、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムにおけるパケットキャプチャ方法であって、前記複数段のパケット振り分け装置のそれぞれが、入力されるパケットを解析するパケット解析し、キャプチャ対象のフローを識別するステップと、前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置が、キャプチャ対象となるフローのパケットをキャプチャするためにパケットの振り分けを行い、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するステップと、前記最終段パケット振り分け装置が、前記キャプチャ対象となるフローのパケットをキャプチャするためにパケットのフィルタリングを行い、前記キャプチャ対象でないフローのパケットを廃棄するステップとを含む。
　上記課題を解決するために、本発明のトラフィック監視プログラムは、上述したパケットキャプチャ方法の各ステップをコンピュータに実行させ、前記コンピュータをパケットキャプチャシステムとして動作させる。
　本発明によれば、キャプチャ可能なルール数に制限を持たせることなく、構成装置数を最小限にしながらスケーラビリティーを考慮したパケットキャプチャシステムを実現することができる。
図１は、本発明の第１の実施の形態に係るパケットキャプチャシステムの構成例を示す図である。 図２は、本発明の第１の実施の形態に係るパケット振り分け装置の構成例を示す図である。 図３は、本発明の第１の実施の形態に係るパケット振り分け装置の構成例を示す図である。 図４は、本発明の第１の実施の形態に係るパケット振り分け装置の構成例を示す図である。 図５は、本発明の第１の実施の形態に係る初段パケット振り分け装置における動作手順を示すフローチャートである。 図６は、本発明の第１の実施の形態に係る中段パケット振り分け装置における動作手順を示すフローチャートである。 図７は、本発明の第１の実施の形態に係る最終段パケット振り分け装置における動作手順を示すフローチャートである。 図８は、本実施の形態に係るトラフィック監視装置を実現するためのコンピュータの構成例である。 図９は、本発明の第２の実施の形態に係るパケットキャプチャシステムの構成例を示す図である。 図１０は、本発明の第２の実施の形態に係るパケット振り分け装置の構成例を示す図である。 図１１は、本発明の第３の実施の形態に係るパケットキャプチャシステムの構成例を示す図である。 図１２は、本発明の第３の実施の形態に係るパケット振り分け装置の構成例を示す図である。 図１３は、本発明の第４の実施の形態に係るパケットキャプチャシステムの構成例を示す図である。 図１４は、本発明の第４の実施の形態に係る初段パケット振り分け装置の構成例を示す図である。 図１５は、本発明の第４の実施の形態に係る中段パケット振り分け装置の構成例を示す図である。 図１６は、従来のパケット振り分け装置の構成を示す図である。
　以下、本発明の実施の形態を図面に基づいて詳細に説明する。本発明は、以下の実施の形態に限定されるものではない。
＜第１の実施の形態＞
　本発明の第１の実施の形態について説明する。図１は、本発明の第１の実施の形態にかかるパケットキャプチャシステムの構成例である。図２は、パケットキャプチャシステムの初段パケット振り分け装置の構成例である。
＜パケットキャプチャシステムの構成＞
　図１に示すように、パケットキャプチャシステム１は、キャプチャ対象ネットワーク２００を流れるパケットをキャプチャするパケットキャプチャシステムである。パケットキャプチャシステム１では、複数段（Ｎ段：Ｎは、２以上の整数）のパケット振り分け装置（１０、２０、３０）がカスケード接続されている。以下の説明では、Ｎ台のパケット振り分け装置のうち、１段目のパケット振り分け装置１０を「初段パケット振り分け装置」、Ｎ段目のパケット振り分け装置３０を「最終段パケット振り分け装置」、２～Ｎ－１段目のパケット振り分け装置２０を「中段パケット振り分け装置」と称して説明する。Ｎ＝２の場合は、「初段パケット振り分け装置」、「最終段パケット振り分け装置」が接続された構成となる。
　最終段のパケット振り分け装置以外、すなわち、初段パケット振り分け装置、中段パケット振り分け装置は、キャプチャ対象のフローを特定するルールに基づいて、キャプチャ対象の特定フローのパケットをキャプチャし、キャプチャ対象でないフローのパケットを次段のパケットキャプチャに送信し、次段のパケット振り分け装置において同様の処理を行うように構成されている。最終段のパケット振り分け装置は、キャプチャ対象の特定フローのパケットをキャプチャし、キャプチャ対象でないフローのパケットを廃棄するように構成されている。
＜初段パケット振り分け装置の構成＞
　図２は、パケットキャプチャシステム１の初段パケット振り分け装置１０の構成例である。初段パケット振り分け装置１０は、キャプチャ対象ネットワーク２００からミラーリングパケットを受信して、パケットのヘッダ解析を行うパケット解析部１１、ヘッダ解析によって抽出されたヘッダとルールテーブル１００のルールを比較してキャプチャ対象のフローを識別するフロー識別部１２、フロー識別部１２の識別結果に基づいて、キャプチャ対象のフローのパケットとキャプチャ対象でないフローのパケットを振り分ける振り分け部１４、キャプチャ対象のフローのパケットについてキャプチャファイルを生成するキャプチャファイル生成部１５、キャプチャファイルを記憶する記憶部１６を備える。
　初段パケット振り分け装置１０は、振り分け部１４の前にタイムスタンプ部１３を備え、振り分け部１４から次段のパケット振り分け装置への出力パスがある点が従来のパケット振り分け装置との構成上の相違点である。タイムスタンプ部１３は、複数のパケット振り分け装置においてパケット到着時間を統一するために設けられている。タイムスタンプ部１３において、パケットのヘッダ等にパケット到着時刻が付与され、付与された時刻情報を用いて、キャプチャファイル生成部１５においてキャプチャファイルが生成される。パケットに付与されたパケット到着時刻は、キャプチャしたパケットを統計分析する際のパケットの並べ替え等の処理に用いられる。
　パケット振り分け装置１０のフロー識別部１２は、キャプチャ対象となるフローが登録されたルールテーブル１００(ルール数：Ｎｆ)に基づいて、キャプチャ対象のフローを識別する。キャプチャＯＮかつ、振り分け部においてルールと一致したフローのパケットはキャプチャファイル生成部へ出力され、当該パケット振り分け装置でキャプチャされる。キャプチャＯＦＦの場合は振り分け部にてパケットを廃棄する。キャプチャＯＮ／ＯＦＦは、振り分け部の外部から設定可能に構成されている。中段パケット振り分け装置２０、最終段パケット振り分け装置３０においても同様である。各パケット振り分け装置は、異なるフローが登録された ルールテーブルを備える。
　ルールテーブル１００には、例えば、送信元／宛先ＭＡＣアドレスと送信元／宛先ＩＰアドレスのヘッダフィールド情報を、フローを識別するためのルールとして登録することができる。フローを識別する情報は、それらに限定されるものではなく、送信元／宛先ポート番号、プロトコル種別などのヘッダフィールド情報の組み合わせを、フローを識別するためのルールとして登録してもよい。
　パケットのヘッダ解析により抽出されたヘッダ情報がルールテーブルのルールと一致したキャプチャ対象のフローのパケットについてキャプチャファイルが生成され、生成されたキャプチャファイルは記憶部１６に記憶される。ヘッダ情報がルールテーブルのルールと一致しなかったフローのパケットは、振り分け部１４において次段のパケット振り分け装置への出力パスに振り分けられ、次段のパケット振り分け装置に出力される。この処理をＮ台分繰り返すことにより、超大量フロー数（Ｎ×Ｎｆ）のパケットキャプチャ処理を実現することができる。
＜中段パケット振り分け装置の構成＞
　図３は、中段パケット振り分け装置２０（＃２～＃Ｎ－１）の構成例である。初段パケット振り分け装置１０と同様に、パケット解析部２１、フロー識別部２２、振り分け部２４、キャプチャファイル生成部２５、記憶部２６、ルールテーブル１００を備える。タイムスタンプ部がない点で初段パケット振り分け装置１０と相違する。中段パケット振り分け装置２０のキャプチャファイル生成部２５では、初段パケット振り分け装置１０のタイムスタンプ部１３で付与された時刻情報を用いてキャプチャファイルを生成される。
＜最終段パケット振り分け装置の構成＞
　図４にカスケード接続の最終段であるパケット振り分け装置＃Ｎの構成例を示す。初段パケット振り分け装置１０（＃１）、中段パケット振り分け装置２０（＃２～＃Ｎ－１）と同様に、パケット解析部３１、フロー識別部３２、キャプチャファイル生成部３５、記憶部３６を備える。中段パケット振り分け装置２０との差分は、次段のパケット振り分け装置への出力パスがないこと、振り分け部２４がフィルタ部３４に変わった点である。
　最終段パケット振り分け装置３０（＃Ｎ）はパケットキャプチャ処理の終端装置となるため、ルールテーブル１００のルールと一致しなかったフローのパケットをフィルタ部３４にてフィルタリングすることにより廃棄する。ルールと一致したフローのパケットについては、パケット振り分け装置＃Ｎ－１までの装置と同様に、キャプチャファイル生成部３５へと出力され、生成されたキャプチャファイルは記憶部３６に保存される。
　なお、本実施の形態においては、パケット振り分け装置のみで動作させる構成について例示したが、例えば、パケット振り分け機能を、統計情報処理も行うトラフィック監視装置の一機能として動作させても良い。その際には、統計情報取得対象のフローからキャプチャ対象となるフローを識別するために、例えば、統計情報取得対象のフローを識別するためのルールテーブルに、キャプチャ対象であるか否かを示す「キャプチャフラグ」を設ければよい。
　統計情報取得対象のルールと一致したフローのパケットは統計情報取得対象とし、当該フローの統計情報は別機能部で収集される。一方、統計情報取得対象のルールと不一致のフローのパケットは、次段のパケット振り分け装置へ出力される。統計情報取得対象のルールと一致し、かつ「キャプチャフラグ」＝１のフローのパケットは、キャプチャファイル生成部へ出力され、統計情報取得対象のルールと一致し、かつ「キャプチャフラグ」＝０のパケットは、キャプチャ対象でないパケットとして廃棄される。
　このように、第１の実施の形態では、Ｎ段のパケット振り分け装置をカスケード接続して、接続段数に応じてキャプチャ可能なフロー数を自由に増減可能なシステム構成とした。このような構成により、１段のパケット振り分け装置でキャプチャできるフロー数（登録可能なルール数）をＮｆ(Ｎｆは、１より大きい整数)とすると、システム全体でＮ×Ｎｆフローのパケットキャプチャが可能となる。パケット振り分け装置の段数やルール数を増やすことで、超大量パケットのキャプチャが可能となり、キャプチャ対象ネットワークの大小に応じて、スケーラブルにキャプチャ可能なフロー数を変更することが可能となる。
＜パケットキャプチャ方法の動作＞
　図５、６、７を用いて、第１の実施の形態におけるパケットキャプチャ方法の動作を説明する。図５は、初段パケット振り分け装置の動作手順を示すフローチャートである。図６は、中段パケット振り分け装置の動作手順を示すフローチャートである。図７は、最終段パケット振り分け装置の動作手順を示すフローチャートである。
＜初段パケット振り分け装置の動作＞
　図５において、初段パケット振り分け装置では、キャプチャ対象ネットワーク２００からパケットを受信すると（ステップＳ１－１）、受信したパケットをバッファリングし（ステップＳ１－２）、パケットのヘッダ解析を行うことによりヘッダ情報を抽出する（ステップＳ１－３）。ここで、パケット解析と平行して、バッファリングしたパケットに到着時刻情報であるタイムスタンプを付与する（ステップＳ１－５）
  次に、ヘッダ解析によって抽出されたヘッダとルールテーブルのルールを比較して、キャプチャ対象のフローか否かを識別する（ステップＳ１－４）。フローがルールと一致する場合には（ステップＳ１－６：ＹＥＳ）、キャプチャファイルを生成し（ステップＳ１－７）、生成したキャプチャファイルを記憶部に記憶する（ステップＳ１－８）。フローがルールテーブルに記録されたルールに一致しない場合には（ステップＳ１－６：ＮＯ）、バッファリングしたパケットを次段パケット振り分け装置に送信する（ステップＳ１－９）。
＜中段パケット振り分け装置の動作＞
　図６において、中段パケット振り分け装置の動作は、パケットを前段パケット装置から受信する点（ステップＳ２－１）、タイムスタンプを付与するステップが無い点が、図５の初段パケット振り分け装置の動作と異なる。中段パケット振り分け装置では、前段パケット装置から受信したパケットについてパケット解析を行い、キャプチャ対象のフローのパケットの場合には、キャプチャファイルを生成して記憶部に記憶し（ステップＳ２－６、Ｓ２－７）、キャプチャ対象でないフローのパケットの場合には、次段パケット振り分け装置に送信される（ステップＳ２－８）。
＜最終段パケット振り分け装置の動作＞
　図７において、最終段パケット振り分け装置の動作は、キャプチャ対象でないフローのパケットを廃棄する点（ステップＳ３－８）が、図６の中段パケット振り分け装置の動作と異なる。最終段パケット振り分け装置では、前段パケット装置から受信したパケットについて、キャプチャ対象のフローのパケットの場合には、キャプチャファイルを生成して記憶部に記憶し（ステップＳ３－６、Ｓ３－７）、キャプチャ対象でないフローのパケットの場合には、廃棄される（ステップＳ３－８）。
＜パケット振り分け装置の構成例＞
　本実施の形態における複数のパケット振り分け装置は物理的に異なる装置形態で実現しても良いが、これに限定されない。例えば、サーバー上のボードで実現しても良いし、コンピュータ上で動作するソフトウェアによってパケット振り分け装置の機能を実現しても良い。
　パケット振り分け装置として動作するコンピュータの構成例を図８に示す。本実施の形態のパケットキャプチャシステムを構成するパケット振り分け装置の各部は、ＣＰＵ（ＣｅＮｔｒａｌ　ＰｒｏｃｅｓｓｉＮｇ　ＵＮｉｔ）、記憶装置及び外部インタフェース（以下、外部Ｉ／Ｆ）を備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。
　コンピュータ３００は、ＣＰＵ４００と、記憶装置６００と、外部Ｉ／Ｆ７００とを備えており、それらがＩ／Ｏインタフェース５００を介して互いに接続されている。本実施の形態のパケットキャプチャシステムの動作を実現するためのパケットキャプチャプログラム等や、キャプチャファイル等のデータは記憶装置６００に格納され、外部Ｉ／Ｆ７００には、信号を送受信する他のコンピュータ８００や、ネットワークを構成するコンピュータ等が接続される。ＣＰＵ４００は、記憶装置６００に格納された処理プログラム等に従って本実施の形態で説明したパケットキャプチャ処理を実行することができる。また、この処理プログラムをコンピュータ読み取り可能な記録媒体に記録することも、ネットワークを通して提供することも可能である。
＜第２の実施の形態＞
　第１の実施の形態においては、複数のパケット振り分け装置をカスケード接続し、それぞれのパケット振り分け装置に登録可能なルール数分のキャプチャを行うことが可能な構成について説明した。このような構成では、パケットの統計情報の処理等を行うために、それぞれのパケット振り分け装置がキャプチャしたパケットを別途集約する処理が必要になる。第２の実施の形態では、キャプチャしたパケットを集約する装置をパケットの振り分け装置の後段に設置し、それぞれのパケット振り分け装置がキャプチャしたパケットを１カ所の記憶装置に集約して保存されるシステム構成とした。
　図９に、第２の実施の形態に係るパケットキャプチャシステムの構成例を示す。本実施の形態のパケットキャプチャシステム１は、Ｎ台のパケット振り分け装置（４０、５０、６０）、パケット振り分け装置（４０、５０、６０）に接続され、振り分け装置の出力を集線するスイッチ７０、およびスイッチ７０に接続された後段処理装置８０から構成される。スイッチ７０は、Ｎ台のパケット振り分け装置（４０、５０、６０）から送信されるパケットをスイッチングして後段処理装置８０に送信する機能を有し、一般的なレイヤ２、レイヤ３スイッチにより構成することができる。後段処理装置８０は、少なくとも到着時刻情報（タイムスタンプ）が付与されたパケットをまとめてキャプチャファイル化する機能と、それらのキャプチャファイルを記憶する機能を有する。
　後段処理装置８０としては、例えば、キャプチャしたパケットを可視化するトラフィック可視化装置や、さらに深くパケットを分析するＤＰＩ（Ｄｅｅｐ　Ｐａｃｋｅｔ　Ｉｎｓｐｅｃｔｉｏｎ）装置が考えられるが、これらに限定されるものではない。
　図１０に、本実施の形態のパケットキャプチャシステムを構成する初段パケット振り分け装置４０（＃１）の構成例を示す。第１の実施の形態における初段パケット振り分け装置１０との相違点は、キャプチャファイル生成部と記憶部が無いこと、振り分け部４４を、フロー識別部４２においてルールテーブルのルールと一致したフローのパケットをスイッチ７０へ出力するように構成したことである。このような構成により、パケット振り分け装置のそれぞれは、パケットをキャプチャする機能を有しない、スイッチまたは次段のパケット振り分け装置にパケットを振り分ける装置として機能することができる。
　本実施の形態における中段振り分け装置５０（＃２～Ｎ－１）は、タイムスタンプ部がない点以外は、初段パケット振り分け装置４０（＃１）と同様の構成を有する。終端装置となる最終段パケット振り分け装置６０（＃Ｎ）は、中段振り分け装置５０（＃２～Ｎ－１）と比較すると、キャプチャ対象でないフローのパケットを廃棄するフィルタ部（図示しない）を有する点が異なる。
　このように、第２の実施の形態によれば、Ｎ段のパケット振り分け装置＃１～＃Ｎで振り分けられたルールと一致したフローのパケットはスイッチを通して後段処理装置に集約され、１カ所でのパケットキャプチャを行う構成を実現することができる。
　なお、本実施の形態では、キャプチャ機能に着目して、キャプチャしたパケットを１カ所の記憶装置に保存できる構成例を示したが、この構成例に限定することはない。例えば、後段処理装置は、振り分け装置以外の装置と接続されていても良い。例えば、ミラーリングパケットを受信して、そこから統計情報を出力するようなトラフィック監視装置と接続するように構成しても良い。
＜第３の実施の形態＞
　第２の実施の形態においては、パケット振り分け装置＃１～＃Ｎを、スイッチを介して後段処理装置と接続することでキャプチャシステムを実現する構成例を示した。このような構成では、装置間の連携はなく、パケット振り分け装置から後段処理装置へ片方向にパケットを送信する構成であった。そのため、第２の実施の形態では、パケットキャプチャの開始／停止の設定は、初段パケット振り分け装置＃１の内部でのみ行う構成であった。第３の実施の形態においては、パケット振り分け装置＃１～＃Ｎと連携している後段処理装置からもパケットキャプチャの開始／停止が設定可能な構成例を示す。
　図１１に本実施の形態のパケットキャプチャシステムの構成例を、図１２に、初段パケット振り分け装置＃１の構成例を示す。第２の実施の形態と比較して、後段処理装置８０からスイッチ７０を経由して初段パケット振り分け装置４０（＃１）への入力信号パスが追加されている点が異なる。
　本実施の形態では、後段処理装置８０は、トリガ信号であるパケットキャプチャＯＮ／ＯＦＦ信号を初段振り分け装置４０（＃１）に送信し、この信号に基づいて、初段パケット振り分け装置４０（＃１）はキャプチャ開始／停止を判断する。キャプチャＯＮの場合には、初段パケット振り分け装置４０（＃１）の振り分け部４４においてパケットのキャプチャを開始し、キャプチャＯＦＦの場合には、振り分け部４４において、パケットは廃棄される。本実施の形態によれば、後段処理装置８０でキャプチャ処理が必要と判断された場合に、パケットキャプチャを開始することが可能となり、よりユーザビリティの高いキャプチャシステムを実現することができる。
＜第４の実施の形態＞
　第２、第３の実施の形態ではスイッチを経由して後段処理装置へキャプチャ対象パケットを送信する構成について示した。このような構成では、システムの構成要素数を増えると、それに応じてシステムに何等かの障害が発生した際の切り分けや検証が複雑化する場合がある。第４の実施の形態では、スイッチを経由せずに後段処理装置へキャプチャパケットを送信する構成例を説明する。
　図１３に本実施の形態のパケットキャプチャシステム１の構成例を示す。パケットキャプチャシステム１は、Ｎ台のパケット振り分け装置（４０、５０、６０）と、初段パケット振り分け装置４０のみに接続された後段処理装置８０から構成されている。本実施の形態では、振り分け装置＃２～＃Ｎにおいてキャプチャ対象と判定されたパケットは、判定されたパケット振り分け装置から前段のパケット振り分け装置に戻されるように構成され、最終的に、キャプチャ対象のパケットが全て初段振り分け装置４０（＃１）に戻されるように構成されている。このような構成にすることで、スイッチを介することなく後段処理装置８０にキャプチャ対象パケットを送信し集約することが可能となる。
　図１４に初段パケット振り分け装置４０（＃１）の構成例を示す。第２の実施の形態の初段パケット振り分け装置＃１との相違点は、出力調停部４５を設けた点である。出力調停部４５には、フロー識別部４２でキャプチャ対象と判定されたパケットと振り分け装置＃２～＃Ｎでキャプチャ対象と判定されたパケットが入力される。出力調停部は、それら２種類のパケットが衝突しないように多重して後段処理装置８０に出力する機能を有する。
　図１５に中段パケット振り分け装置５０（＃２～＃Ｎ－１）の構成例を示す。初段パケット振り分け装置４０（＃１）との相違点は、タイムスタンプ部４３がないこと、外部機器との連携ポート数が初段パケット振り分け装置４０より１ポート少ない２ポートであり、出力調停部５５からの出力先がカスケード接続の前段のパケット振り分け装置である点である。出力調停部５５の機能は、初段振り分け装置４０（＃１）と同様である。
　図示しないが、最終段パケット振り分け装置６０（＃Ｎ）は、中段振り分け装置５０（＃２～Ｎ－１）と比較すると、外部機器との連携ポート数が中段パケット振り分け装置５０よりもさらに１ポート少ない１ポートであること、キャプチャ対象でないフローのパケットを廃棄するフィルタ部（図示しない）を有する点が異なる。
　このように、第４の実施の形態によれば、装置構成数、ポート数を必要最低限にして、スケーラビリティーを考慮した超大量パケットのパケットキャプチャが可能となる。
＜第５の実施の形態＞
　第１～第４の実施の形態においては、複数のパケット振り分け装置をカスケード接続し、(Ｎ×Ｎｆ)フローのパケットキャプチャを行うことが可能な構成について説明した。本実施の形態では、カスケード接続において、初段装置のパケット解析部を全装置で共通化できることを利用し、(Ｎ×Ｎｆ)以上のフローのキャプチャ処理が可能なパケットキャプチャシステムについて説明する。
　本実施の形態では、初段パケット振り分け装置＃１のパケット解析部において、解析結果を示す情報をパケット内部に埋め込んでおく。中段以降のパケット振り分け装置＃１～＃Ｎでは、この解析結果を用いてキャプチャ対象のフローの識別を行う。
　解析結果を示す情報としては、例えば、パケット種別を示す番号が考えられる。中段以降のパケット振り分け装置＃１～＃Ｎでは、パケット種別と番号の対応関係を表すテーブル等を用意しておき、パケットに埋め込まれた解析結果を示す番号とテーブルのパケット種別を示す番号とを比較する処理のみでヘッダ種別を特定することが可能となる。中段以降のパケット振り分け装置＃１～＃Ｎでは、パケットの先頭からヘッダを解析する処理が不要となる。
　このような構成により、本実施の形態では、中段以降のパケット振り分け装置では、パケット解析部に関わる回路が初段パケット振り分け装置＃１よりも簡易なものになり、その分の余剰リソースをルール数Ｎｆの増加分等に充てることが可能となる。
＜実施の形態の拡張＞
　以上、実施の形態を参照して本発明を説明したが、本発明は上記実施の形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
　１…パケットキャプチャシステム、１０、２０、３０…パケット振り分け装置、１１、２１、３１…パケット解析部、１２、２２、３２…フロー識別部、１３…タイムスタンプ部、１４、２４…振り分け部、３４…フィルタ部、１５、２５、３５…キャプチャファイル生成部、１６、２６、３６…記憶部、３７…フィルタ部、１００…ルールテーブル、２００…キャプチャ対象ネットワーク。

Claims (8)

  1. 　キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、
    　特定フローのパケットをキャプチャする複数段のパケット振り分け装置がカスケード接続される構成を備え、
    　前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部とを備え、
    　前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置は、キャプチャ対象となるフローのパケットをキャプチャするためにパケットの振り分けを行う振り分け部を備え、前記振り分け部は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するように構成され、
    　前記最終段パケット振り分け装置は、前記キャプチャ対象となるフローのパケットをキャプチャするためにパケットのフィルタリングを行うフィルタ部を備え、前記フィルタ部は、前記キャプチャ対象でないフローのパケットを廃棄するように構成される
    　パケットキャプチャシステム。
  2. 　キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、
    　特定フローのパケットを振り分ける複数段のパケット振り分け装置がカスケード接続される構成と、前記複数段のパケット振り分け装置の出力を集線するスイッチと、前記スイッチが出力したパケットをキャプチャする処理装置とを備え、
    　前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部と、キャプチャ対象のフローのパケットと前記キャプチャ対象でないパケットの振り分けを行う振り分け部を備え、
    　前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置の前記振り分け部は、前記キャプチャ対象のフローのパケットを前記スイッチに送信し、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するように構成され、
    　前記最終段パケット振り分け装置の前記振り分け部は、前記キャプチャ対象のフローのパケットを前記スイッチに送信し、前記キャプチャ対象でないフローのパケットを廃棄するように構成される
    　パケットキャプチャシステム。
  3. 　キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムであって、
    　特定フローのパケットを振り分ける複数段のパケット振り分け装置がカスケード接続される構成と、前記複数段のパケット振り分け装置の初段パケット振り分け装置が出力したパケットをキャプチャする処理装置を備え、
    　前記複数段のパケット振り分け装置のぞれぞれは、入力されるパケットを解析するパケット解析部と、キャプチャ対象のフローを識別するフロー識別部と、キャプチャ対象のフローのパケットと前記キャプチャ対象でないパケットの振り分けを行う振り分け部を備え、
    　前記初段パケット振り分け装置は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力し、前記キャプチャ対象のフローのパケットと次段の前記パケット振り分け装置から送信されたパケットを前記処理装置に送信するように構成され、
    　前記複数段のパケット振り分け装置の最終段パケット振り分け装置は、前記キャプチャ対象のフローのパケットを前段の前記パケット振り分け装置に送信し、前記キャプチャ対象でないフローのパケットを廃棄するように構成され、
    　前記初段パケット振り分け装置と前記最終段パケット振り分け装置の間に中段パケット振り分け装置が接続されている場合に、
    　前記中段パケット振り分け装置は、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力し、前記キャプチャ対象のフローのパケットと次段の前記パケット振り分け装置から送信されたパケットを前段の前記パケット振り分け装置に送信するように構成される
    　パケットキャプチャシステム。
  4. 　請求項２に記載のパケットキャプチャシステムであって、
    　前記複数段のパケット振り分け装置の初段パケット振り分け装置の前記振り分け部は、
    　前記処理装置から送信されるトリガ信号に基づいて、パケットの振り分けを開始または停止するように構成される
    　パケットキャプチャシステム。
  5. 　請求項１～４の何れか１項に記載のパケットキャプチャシステムであって、
    　前記複数段のパケット振り分け装置の初段パケット振り分け装置は、
    　受信したパケットのヘッダに前記パケットの到着時刻情報を付与するタイムスタンプ部を備える
    　パケットキャプチャシステム。
  6. 　請求項１～５の何れか１項に記載のパケットキャプチャシステムであって、
    　前記複数段のパケット振り分け装置の初段パケット振り分け装置の前記パケット解析部は、パケットの解析結果を当該パケットに埋め込むように構成される
    　パケットキャプチャシステム。
  7. 　特定フローのパケットをキャプチャする複数段のパケット振り分け装置がカスケード接続される構成を備え、キャプチャ対象ネットワークを流れるパケットをキャプチャするパケットキャプチャシステムにおけるパケットキャプチャ方法であって、
    　前記複数段のパケット振り分け装置のそれぞれが、
    　入力されるパケットを解析するパケット解析し、キャプチャ対象のフローを識別するステップと、
    　前記複数段のパケット振り分け装置の最終段パケット振り分け装置以外のパケット振り分け装置が、
    　キャプチャ対象となるフローのパケットをキャプチャするためにパケットの振り分けを行い、前記キャプチャ対象でないフローのパケットを次段のパケット振り分け装置に出力するステップと、
    　前記最終段パケット振り分け装置が、
    　前記キャプチャ対象となるフローのパケットをキャプチャするためにパケットのフィルタリングを行い、前記キャプチャ対象でないフローのパケットを廃棄するステップと
    　を含むパケットキャプチャ方法。
  8. 　請求項７に記載のパケットキャプチャ方法の各ステップをコンピュータに実行させ、前記コンピュータをパケットキャプチャシステムとして動作させる
    　パケットキャプチャプログラム。
PCT/JP2020/045811 2020-12-09 2020-12-09 パケットキャプチャシステム、方法およびプログラム WO2022123676A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US18/254,101 US20230421463A1 (en) 2020-12-09 2020-12-09 Packet Capture System, Method and Program
JP2022567938A JP7405281B2 (ja) 2020-12-09 2020-12-09 パケットキャプチャシステム、方法およびプログラム
PCT/JP2020/045811 WO2022123676A1 (ja) 2020-12-09 2020-12-09 パケットキャプチャシステム、方法およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/045811 WO2022123676A1 (ja) 2020-12-09 2020-12-09 パケットキャプチャシステム、方法およびプログラム

Publications (1)

Publication Number Publication Date
WO2022123676A1 true WO2022123676A1 (ja) 2022-06-16

Family

ID=81973344

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/045811 WO2022123676A1 (ja) 2020-12-09 2020-12-09 パケットキャプチャシステム、方法およびプログラム

Country Status (3)

Country Link
US (1) US20230421463A1 (ja)
JP (1) JP7405281B2 (ja)
WO (1) WO2022123676A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7514970B1 (ja) 2023-03-09 2024-07-11 セイコーソリューションズ株式会社 パケット監視装置、通信システム、及びプログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011172126A (ja) * 2010-02-22 2011-09-01 Mitsubishi Electric Corp パケットフィルタシステム及びパケットフィルタ装置及びプログラム
JP2013034164A (ja) * 2011-01-26 2013-02-14 Alaxala Networks Corp 中継装置、中継方法
WO2020230265A1 (ja) * 2019-05-14 2020-11-19 日本電信電話株式会社 パケットキャプチャ装置および方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011172126A (ja) * 2010-02-22 2011-09-01 Mitsubishi Electric Corp パケットフィルタシステム及びパケットフィルタ装置及びプログラム
JP2013034164A (ja) * 2011-01-26 2013-02-14 Alaxala Networks Corp 中継装置、中継方法
WO2020230265A1 (ja) * 2019-05-14 2020-11-19 日本電信電話株式会社 パケットキャプチャ装置および方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7514970B1 (ja) 2023-03-09 2024-07-11 セイコーソリューションズ株式会社 パケット監視装置、通信システム、及びプログラム

Also Published As

Publication number Publication date
JP7405281B2 (ja) 2023-12-26
JPWO2022123676A1 (ja) 2022-06-16
US20230421463A1 (en) 2023-12-28

Similar Documents

Publication Publication Date Title
EP2299633B1 (en) Misdirected packet detection method
US8463928B2 (en) Efficient multiple filter packet statistics generation
US20070214257A1 (en) System analysis apparatus and method
EP2317702A2 (en) Methods and apparatus related to a distributed switch fabric
US8018856B2 (en) Director device with visual display arrangement and methods thereof
US9641407B2 (en) Exporting real time network traffic latency and buffer occupancy
US9674084B2 (en) Packet processing apparatus using packet processing units located at parallel packet flow paths and with different programmability
US20090010170A1 (en) Varying the Position of Test Information in Data Units
EP2429128A1 (en) Flow statistics aggregation
US8477619B2 (en) Method and system for distributed virtual traffic management
RU2007111857A (ru) Кольцевая сеть, устройство связи и способ оперативного управления, используемый для кольцевой сети и устройства связи
WO2022123676A1 (ja) パケットキャプチャシステム、方法およびプログラム
CN111181811A (zh) 统计方法、装置、电子设备及介质
US8885475B2 (en) Method and system for virtualized forwarding
JP7456502B2 (ja) トラフィック監視装置、トラフィック監視方法およびトラフィック監視プログラム
US8774201B2 (en) Method and system for providing contextualized flow tags
KR20100133646A (ko) 응용프로그램 시그니쳐 생성방법
US11985200B2 (en) System and a method for distributing information
CN115766600A (zh) 在可编程交换机上进行流大小无关的流记录计数方法及***
CN116340251A (zh) 计算板卡和网络设备
JPH11136236A (ja) 情報統計処理装置
WO2002023823A1 (en) Apparatus and methods for processing packets in a broadband data stream
JPH11187055A (ja) ネットワーク切替装置及び方法、並びにネットワーク装置

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2022567938

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18254101

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20965059

Country of ref document: EP

Kind code of ref document: A1