JP2005295140A - 監視システム - Google Patents

Abstract

【課題】信頼性の高い監視システムを実現する。
【解決手段】インターネットを介してサービスを提供するウェブサーバ１２０を監視する監視システム５０は、ウェブサーバ１２０の状態を監視する監視装置２１０と、インターネットとは別に設けられた監視用の専用線２０と、ウェブサーバ１２０から監視装置２１０へ専用線２０を介してパケットを送信するときに、パケットの送信先アドレス及び送信元アドレスを変換するとともに、監視装置２１０からウェブサーバ１２０へ専用線２０を介してパケットを送信するときに、パケットの送信先アドレス及び送信元アドレスを変換するファイアーウォール１１４とを備える。
【選択図】図４

Description

本発明は、監視システムに関し、特に、公開性を有する公開通信網を介してサービスを提供するサービス提供装置を監視するための監視システムに関する。

インターネットの爆発的な普及に伴い、ウェブサーバなどのサービス提供装置から多種多様なサービスがインターネットを介して提供されるようになった。時間や場所に関係なく、いつでも世界中のサービス提供装置にアクセスすることが可能であるというインターネットの性格上、サービス提供装置は常時サービスを提供し続けることを要求される。システムの不具合などの理由によってサービス提供装置がアクセス不能となることは、サービス利用者にとってもサービス提供者にとっても好ましくない事態である。

サービス提供装置に不具合が生じたときに、これをいち早く発見して元の状態に復旧するためには、ネットワークに精通した技術者が常時サービス提供装置を監視している必要がある。ところが、ネットワーク技術者の需要の拡大に人材育成が追いつかず、慢性的な人手不足の状態にある。

このような問題を解決するために、本出願人は、遠隔からサービス提供装置を監視することが可能な監視システムを開発し、監視サービスを提供している（特許文献１参照）。特許文献１に記載された監視システムでは、インターネットを介してサービスを提供するサービス提供装置を、インターネットではなく、専用線を介して監視する。
特開２００２−１０１１０１号公報

サービス提供装置の管理者側からすると、いったん構築したサービス提供装置を含むネットワークの設定を変更することなく監視システムを導入したいという要望がある。本出願人は、このような事情を考慮して、導入時のコストや設定変更などの工数をさらに低減することが可能な監視システムを想到するに至った。

本発明はこうした状況に鑑みてなされたものであり、その目的は、信頼性の高い監視技術を提供することにある。本発明の別の目的は、監視システムの導入時のコストや工数を低減する技術を提供することにある。

本発明のある態様は、監視システムに関する。この監視システムは、公開性を有する公開通信網を介してサービスを提供するサービス提供装置を監視するための監視システムであって、前記サービス提供装置と通信し、前記サービス提供装置の状態を監視する監視装置と、前記公開通信網とは別に設けられた、前記監視装置と前記サービス提供装置との間で情報を送受信するための監視用通信網と、前記サービス提供装置から前記監視装置へ前記監視用通信網を介して第一の情報を送信するときに、前記第一の情報の送信先アドレス及び送信元アドレスを変換するとともに、前記監視装置から前記サービス提供装置へ前記監視用通信網を介して第二の情報を送信するときに、前記第二の情報の送信先アドレス及び送信元アドレスを変換するアドレス変換装置と、を備えたことを特徴とする。

前記アドレス変換装置は、前記監視装置を含むネットワークのアドレス体系において前記監視装置に割り当てられた前記監視装置の実アドレスと、前記サービス提供装置を含むネットワークのアドレス体系において前記監視装置に仮想的に割り当てられた前記監視装置の仮想アドレスとを対応づけて格納するとともに、前記サービス提供装置を含むネットワークのアドレス体系において前記サービス提供装置に割り当てられた前記サービス提供装置の実アドレスと、前記監視装置を含むネットワークのアドレス体系において前記サービス提供装置に仮想的に割り当てられた前記サービス提供装置の仮想アドレスとを対応づけて格納するアドレス変換テーブルを有してもよい。

前記サービス提供装置は、前記第一の情報を前記監視装置へ送信するときに、送信元アドレスに前記サービス提供装置の実アドレスを、送信先アドレスに前記監視装置の仮想アドレスを設定し、前記監視装置は、前記第二の情報を前記サービス提供装置へ送信するときに、送信元アドレスの前記監視装置の実アドレスを、送信先アドレスに前記サービス提供装置の仮想アドレスを設定してもよい。

前記アドレス変換装置は、前記アドレス変換テーブルを参照して、前記第一の情報の送信先アドレスを、前記監視装置の仮想アドレスから前記監視装置の実アドレスに変換し、前記第一の情報の送信元アドレスを、前記サービス提供装置の実アドレスから前記サービス提供装置の仮想アドレスに変換し、前記第二の情報の送信先アドレスを、前記サービス提供装置の仮想アドレスから前記サービス提供装置の実アドレスに変換し、前記第二の情報の送信元アドレスを、前記監視装置の実アドレスから前記監視装置の仮想アドレスに変換してもよい。

前記アドレス変換装置は、前記サービス提供装置と前記監視用通信網との間における情報の送受信の可否を制御するファイアーウォール装置であってもよい。

本発明によれば、信頼性の高い監視システムを実現することができる。

図１は、実施の形態に係る監視システム５０の全体構成を概略的に示す。監視システム５０は、公開性を有する公開通信網を介してサービスを提供するサービス提供装置を、専用線２０を介して監視するためのシステムである。

サービス提供装置１４０は、公開通信網の一例としてのインターネット１０を介してサービスを提供する。サービス利用者は、ユーザ端末５からインターネット１０を介してサービス提供装置１４０へアクセスすることにより、サービス提供装置１４０が提供するサービスを利用することができる。

監視装置２１０は、監視用通信網の一例としての専用線２０を介してサービス提供装置１４０を監視する。監視担当者は、監視装置２１０から専用線２０を介してサービス提供装置１４０へアクセスすることにより、サービス提供装置１４０の状態を監視することができる。インターネット１０とは別に設けられた専用線２０を介して監視を行うことで、監視のための情報の送受信によるトラフィックの増加を回避し、本来のサービスへの影響を最小限に抑えることができる。また、公開性を有する通信網からサービス提供装置１４０へアクセスすることによるセキュリティホールの発生を回避することができる。

本実施形態においては、サービス提供装置１４０はデータセンター１００内に設けられている。データセンター１００は、複数のサービス提供業者にネットワーク環境を提供する施設である。近年、サービス提供業者の急激な増加にネットワーク技術者の育成が追いつかず、ネットワーク技術者が慢性的に不足している。そのため、自社でネットワーク管理を行うことが困難になってきており、データセンター１００のような施設にサービス提供装置を含むネットワークを構築し、ネットワーク管理を委託するケースが増えている。データセンター１００の内部のネットワーク構成については、図２を用いて説明する。

本実施形態においては、監視装置２１０は監視センター２００内に設けられている。このように、本実施形態の監視システム５０によれば、複数のデータセンター１００に設けられているサービス提供装置１４０を、監視センター２００において一元的に監視することができる。監視センター２００の内部のネットワーク構成については、図３を用いて説明する。

図２は、データセンター１００内のネットワークの構成を示す。データセンター１００においては、複数のサービス提供業者がそれぞれ独自のネットワーク（以下、「セグメント」という）を構築している。それぞれのセグメントは、ルータ１０２を介してインターネット１０に接続される。サービス提供業者は、それぞれのセグメント内にサービス提供装置を設け、インターネット１０を介してユーザに各種サービスを提供する。

例えば、セグメント１１０においては、サービス提供装置の一例として、ウェブサーバ１２０、ＰＯＰサーバ１２２、およびＳＭＴＰサーバ１２４が設けられている。ウェブサーバ１２０は、ウェブページや各種デジタルコンテンツの配信サービスを提供する。ＰＯＰサーバ１２２およびＳＭＴＰサーバ１２４は、インターネットメールの送受信サービスを提供する。

これらのサービス提供装置とルータ１０２との間には、ファイアーウォール１１２が設けられている。ファイアーウォール１１２は、インターネット１０からセグメント１１０内部への不正アクセスを防止するとともに、データセンター１００内の他のセグメントからの不正アクセスを防止する。

セグメント１１０においては、更に、ゲートウェイ１２６を介して、プライベートなネットワークがインターネット１０に接続されている。端末１３０には、インターネット１０上での情報の送受信を許されないプライベートアドレスが割り当てられていてもよい。このように、セグメント１１０の内部の装置には、グローバルアドレスを有する装置とプライベートアドレスを有する装置の双方が存在する場合がある。

セグメント１５０においては、サービス提供装置の一例として、ＦＴＰサーバ１６０およびアプリケーションサーバ１６２が設けられている。ＦＴＰサーバ１６０は、ファイル転送サービスを提供する。アプリケーションサーバ１６２は、各種アプリケーションを提供する。

これらのサービス提供装置とルータ１０２との間には、ファイアーウォール１５２が設けられている。ファイアーウォール１５２は、インターネット１０からセグメント１５０内部への不正アクセスを防止するとともに、データセンター１００内の他のセグメントからの不正アクセスを防止する。

セグメント１１０の各装置は、ファイアーウォール１１４およびルータ１０４を介して、専用線２０に接続されている。また、セグメント１５０の各装置は、ファイアーウォール１５４およびルータ１０４を介して、専用線２０に接続されている。ファイアーウォール１１４および１５４は、サービス提供装置と監視用通信網との間における情報の送受信の可否を制御し、セグメント内への不正なアクセスを防止する。ファイアーウォール１１４および１５４は、更に、ＮＡＴ（ネットワークアドレス変換）機能を有しており、サービス提供装置から監視装置２１０宛の情報を受け取ると、その情報のアドレス情報を変換する。また、監視装置２１０からサービス提供装置宛の情報を受け取ると、その情報のアドレス情報を変換する。変換の詳細については後述する。

図３は、監視センター２００内のネットワークの構成を示す。監視センター２００においては、複数の監視装置２１０および端末２２０が、ルータ２０２を介して専用線２０に接続されている。

図４は、監視システム５０の動作を説明するための図である。監視センター２００の監視装置２１０から、データセンター１００のウェブサーバ１２０を監視する場合を例にとり、監視装置２１０とウェブサーバ１２０に具体的なアドレスを設定して動作を説明する。

データセンター１００内のウェブサーバ１２０が含まれるセグメントのアドレス体系は「192.168.x.0/16」であり、監視センター２００内の監視装置２１０が含まれるセグメントのアドレス体系は「10.10.x.0/16」である。また、監視センター２００内のセグメントのアドレス体系における監視装置２１０のアドレス（実アドレス）は「10.10.x.10」であり、データセンター１００内のセグメントのアドレス体系におけるウェブサーバ１２０のアドレス（実アドレス）は「192.168.x.100」である。

ここで、監視装置２１０がウェブサーバ１２０との間で通信を行うときに、仮想的に、同一セグメント上にウェブサーバ１２０が存在するように見せるために、ウェブサーバ１２０に、監視センター２００側のアドレス体系に属する仮想アドレス「10.10.x.100」を割り当てる。同様に、ウェブサーバ１２０が監視装置２１０との間で通信を行うときに、仮想的に、同一セグメント上に監視装置２１０が存在するように見せるために、監視装置２１０に、データセンター１００側のアドレス体系に属する仮想アドレス「192.168.x.200」を割り当てる。この監視装置２１０の仮想アドレスは、ウェブサーバ１２０を含むセグメントの管理者から、空いているアドレスを借り受けることになる。

アドレス変換装置の一例であるファイアーウォール１１４は、ウェブサーバ１２０及び監視装置２１０の実アドレスと仮想アドレスとの対応を格納したアドレス変換テーブル３０を有していて、実アドレスと仮想アドレスの間でアドレスを変換する。アドレス変換装置の接続位置は、図４の例に限定されず、例えば、ルータ１０４の位置であってもよいし、ルータ２０２の位置であってもよい。

監視装置２１０は、専用線２０を介してウェブサーバ１２０へ、ウェブサーバ１２０の状態を問い合わせるための情報を送信する。このときの問い合わせ情報は、ＳＮＭＰ（ネットワーク管理プロトコル）の「GetRequest」メッセージなどであってもよいし、ＨＴＴＰの「GET」メッセージなどであってもよい。

監視装置２１０がウェブサーバ１２０にパケットを送出するとき、デスティネーションアドレスにウェブサーバ１２０の仮想アドレス「10.10.x.100」を、ソースアドレスに監視装置２１０の実アドレス「10.10.x.10」をセットして送出する。このパケットは、ルータ２０２、専用線２０及びルータ１０４を介してファイアーウォール１１４へルーティングされる。

ファイアーウォール１１４は、アドレス変換テーブル３０を参照して、監視装置２１０からウェブサーバ１２０へ送出されるパケットのデスティネーションアドレスを、ウェブサーバ１２０の仮想アドレス「10.10.x.100」から実アドレス「192.168.x.100」へ変換する。これにより、ウェブサーバ１２０が含まれるセグメントのアドレス体系や通信設定などを変更することなく、監視装置２１０から送出されるパケットをウェブサーバ１２０へルーティングすることができる。

ファイアーウォール１１４は、さらに、アドレス変換テーブル３０を参照して、監視装置２１０からウェブサーバ１２０へ送出されるパケットのソースアドレスを、監視装置２１０の実アドレス「10.10.x.10」から仮想アドレス「192.168.x.200」へ変換する。これにより、ウェブサーバ１２０は、このパケットを、自セグメント上にある仮想的な監視装置から来たパケットであると解するので、フィルタリングなどの設定を変更することなく、監視装置２１０からのパケットを受信することができる。

ウェブサーバ１２０は、問い合わせ情報に対する応答情報を、専用線２０を介して監視装置２１０へ送信する。このときの応答情報は、監視装置２１０が送信した問い合わせ情報の種類に応じて決められる。例えば、応答情報は、ＳＮＭＰの「GetResponse」メッセージや「Trap」メッセージなどであってもよいし、ＨＴＴＰの応答メッセージなどであってもよい。

ウェブサーバ１２０が監視装置２１０からの問い合わせに対して応答するためのパケットを監視装置２１０へ送出するとき、監視装置２１０から受信したパケットのソースアドレス、すなわち監視装置２１０の仮想アドレス「192.168.x.200」をデスティネーションアドレスにセットする。また、ソースアドレスには、ウェブサーバ１２０の実アドレス「192.168.x.100」がセットされる。

このパケットの送出先をウェブサーバ１２０が知るために、ファイアーウォール１１４のウェブサーバ１２０側のネットワークインタフェースに、監視装置２１０の仮想アドレスに対するＡＲＰテーブルが定義されており、ウェブサーバ１２０がＡＲＰパケットを自セグメントのネットワークへブロードキャストしたとき、ファイアーウォール１１４が応答するように設定されている。したがって、ウェブサーバ１２０から監視装置２１０へ送出されたパケットは、ファイアーウォール１１４により受信される。

ファイアーウォール１１４は、監視装置２１０の実アドレスと仮想アドレスの対応を保持しているので、パケットのデスティネーションアドレスを、監視装置２１０の仮想アドレス「192.168.x.200」から実アドレス「10.10.x.10」へ変換する。また、ファイアーウォール１１４は、ウェブサーバ１２０の実アドレスと仮想アドレスの対応を保持しているので、パケットのソースアドレスを、ウェブサーバ１２０の実アドレス「192.168.x.100」から仮想アドレス「10.10.x.100」へ変換する。このパケットは、ルータ１０４から専用線２０へ送出され、ルータ２０２を介して監視装置２１０へ到達する。

このように、監視装置２１０からウェブサーバ１２０へパケットを送出するときに、通信経路上のいずれかの装置において、監視装置２１０の実アドレスを仮想アドレスに変換しておくことで、応答パケットの通信経路を適切に確保することができる。また、相手装置が自セグメント上にある場合と同様に通信を行うことができるので、通信設定などを変更することなく通信を行うことができる。

監視装置２１０は、受信した応答情報に基づいてウェブサーバ１２０の状態を判断する。例えば、Ｔｒａｐメッセージを受信した場合や、ＨＴＴＰのＧＥＴメッセージに対するエラーメッセージを受信した場合などは、ウェブサーバ１２０に異変が生じたと判断し、サービス提供業者へ報告する。また、サーバ装置のリソース稼働率や、ＣＰＵの稼働率などをグラフ化してサービス提供者へ報告する。監視システム５０により、障害対応や、設定変更業務を行うこともできる。

このように、ファイアーウォール１１４が、監視装置２１０とウェブサーバ１２０の間で送受信されるパケットの送信元アドレス及び送信先アドレスを適切に変換することにより、ウェブサーバ１２０が含まれるセグメントにほとんど変更を加えることなく、監視システム５０を導入することができる。これにより、監視システム５０の導入コストや工数を低減することができる。また、ウェブサーバ１２０が含まれるセグメントがプライベートアドレスを利用している場合や、グローバルアドレスとプライベートアドレスが混在している場合であっても、適切にパケットを送受信することができる。

本実施形態の監視システム５０では、監視センター２００において一元的に監視業務を行っているので、ネットワーク技術者が各データセンター１００に常駐する必要がない。ネットワーク技術者を監視センター２００に集中させることにより、サーバソフトウェアのセキュリティホールに関する知識や、問題に対処するためのノウハウなどを集積することができる。これにより、ネットワーク技術者個々の技術レベルに依存することなく、高いレベルの監視サービスを安定して提供することができる。

本実施形態の監視システム５０では、監視用通信網として、公開性を有しない私的な専用線２０を用いているので、インターネット１０を介した監視システムよりも高いセキュリティを確保することができる。ただし公開性は、それがゼロであることは必須ではなく、監視の目的と通信方法などの状況に照らして設計されればよい。

ファイアーウォール１１４が各セグメントごとに設けられる場合、各セグメントのアドレス体系に合わせて変換先のアドレスを設定することができるので、セグメント間でアドレス体系が重複している場合であっても、問題を生じることなくアドレス変換を行い、適切にパケットを送受信することができる。

ファイアーウォール１１４は、ウェブサーバ１２０が含まれるセグメントから専用線２０へ送出されるパケットと、専用線２０からウェブサーバ１２０が含まれるセグメントへ送出されるパケットの、両方向のアドレス変換を実現するために、セグメントの内部と外部の概念を柔軟に定義することが可能な機能を有することが望ましい。一つのアドレス変換装置で両方向のアドレス変換を実現することにより、二つのアドレス変換装置を設ける場合に比べて、導入時の設定作業や、運用時の保守作業を容易にすることができる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本実施形態においては、サービス提供装置がデータセンター１００内に設けられていたが、いかなる環境下のサービス提供装置であっても、本監視システムによって監視することができる。

実施の形態に係る監視システムの全体構成を概略的に示す図である。 データセンター内のネットワークの構成を示す図である。 監視センター内のネットワークの構成を示す図である。 監視システムの動作を説明するための図である。

符号の説明

５ ユーザ端末、１０ インターネット、２０ 専用線、３０ アドレス変換テーブル、５０ 監視システム、１００ データセンター、１０２，１０４ ルータ、１１２，１１４，１５２，１５４ ファイアーウォール、１４０ サービス提供装置、２００ 監視センター、２０２ ルータ、２１０ 監視装置。

Claims (5)

1. 公開性を有する公開通信網を介してサービスを提供するサービス提供装置を監視するための監視システムであって、
   前記サービス提供装置と通信し、前記サービス提供装置の状態を監視する監視装置と、
   前記公開通信網とは別に設けられた、前記監視装置と前記サービス提供装置との間で情報を送受信するための監視用通信網と、
   前記サービス提供装置から前記監視装置へ前記監視用通信網を介して第一の情報を送信するときに、前記第一の情報の送信先アドレス及び送信元アドレスを変換するとともに、前記監視装置から前記サービス提供装置へ前記監視用通信網を介して第二の情報を送信するときに、前記第二の情報の送信先アドレス及び送信元アドレスを変換するアドレス変換装置と、
   を備えたことを特徴とする監視システム。
2. 前記アドレス変換装置は、前記監視装置を含むネットワークのアドレス体系において前記監視装置に割り当てられた前記監視装置の実アドレスと、前記サービス提供装置を含むネットワークのアドレス体系において前記監視装置に仮想的に割り当てられた前記監視装置の仮想アドレスとを対応づけて格納するとともに、前記サービス提供装置を含むネットワークのアドレス体系において前記サービス提供装置に割り当てられた前記サービス提供装置の実アドレスと、前記監視装置を含むネットワークのアドレス体系において前記サービス提供装置に仮想的に割り当てられた前記サービス提供装置の仮想アドレスとを対応づけて格納するアドレス変換テーブルを有することを特徴とする請求項１に記載の監視システム。
3. 前記サービス提供装置は、前記第一の情報を前記監視装置へ送信するときに、送信元アドレスに前記サービス提供装置の実アドレスを、送信先アドレスに前記監視装置の仮想アドレスを設定し、
   前記監視装置は、前記第二の情報を前記サービス提供装置へ送信するときに、送信元アドレスの前記監視装置の実アドレスを、送信先アドレスに前記サービス提供装置の仮想アドレスを設定することを特徴とする請求項２に記載の監視システム。
4. 前記アドレス変換装置は、前記アドレス変換テーブルを参照して、
   前記第一の情報の送信先アドレスを、前記監視装置の仮想アドレスから前記監視装置の実アドレスに変換し、
   前記第一の情報の送信元アドレスを、前記サービス提供装置の実アドレスから前記サービス提供装置の仮想アドレスに変換し、
   前記第二の情報の送信先アドレスを、前記サービス提供装置の仮想アドレスから前記サービス提供装置の実アドレスに変換し、
   前記第二の情報の送信元アドレスを、前記監視装置の実アドレスから前記監視装置の仮想アドレスに変換する
   ことを特徴とする請求項３に記載の監視システム。
5. 前記アドレス変換装置は、前記サービス提供装置と前記監視用通信網との間における情報の送受信の可否を制御するファイアーウォール装置であることを特徴とする請求項１から４にいずれかに記載の監視システム。

Images