特許 7388203 コンテナ型仮想化環境における通信管理装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-20

(45)【発行日】2023-11-29

(54)【発明の名称】コンテナ型仮想化環境における通信管理装置

(51)【国際特許分類】

   H04L 41/40 20220101AFI20231121BHJP

【ＦＩ】

H04L41/40

【請求項の数】 4

(21)【出願番号】P 2020006685

(22)【出願日】2020-01-20

(65)【公開番号】P2021114706

(43)【公開日】2021-08-05

【審査請求日】2022-12-01

(73)【特許権者】

【識別番号】000000099

【氏名又は名称】株式会社ＩＨＩ

(74)【代理人】

【識別番号】100083806

【弁理士】

【氏名又は名称】三好 秀和

(74)【代理人】

【識別番号】100101247

【弁理士】

【氏名又は名称】高橋 俊一

(74)【代理人】

【識別番号】100095500

【弁理士】

【氏名又は名称】伊藤 正和

(74)【代理人】

【識別番号】100098327

【弁理士】

【氏名又は名称】高松 俊雄

(72)【発明者】

【氏名】平田 圭史朗

【審査官】和平 悠希

(56)【参考文献】

【文献】特開２０１４－２１６９９１（ＪＰ，Ａ）

【文献】国際公開第２０１８／１１８４６５（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０１７／０１８０２５０（ＵＳ，Ａ１）

【文献】特許第５８４４９３８（ＪＰ，Ｂ２）

【文献】特開２００１－２７４７９３（ＪＰ，Ａ）

【文献】特開２００５－２５２６０６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１９／０３９４２１９（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

Ｈ０４Ｌ ４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

ネットワークに接続された物理サーバ上に仮想的に実装されたコンテナが前記ネットワークのインタフェースを介して送受信するコンテナ側のパケットのヘッダ情報を、前記コンテナ内で取得する第１の情報取得部と、
前記物理サーバが前記インタフェースを介して前記ネットワークとの間で送受信するサーバ側のパケットのヘッダ情報を、前記物理サーバにおける前記コンテナの外部のユーザ空間で取得する第２の情報取得部と、
前記第１の情報取得部及び前記第２の情報取得部においてそれぞれ取得されたパケットのヘッダ情報同士を照合し、前記コンテナ及び前記物理サーバにおいて同期して送受信されたパケットの前記ヘッダ情報同士を結合する結合部と、
前記結合部が結合した前記ヘッダ情報の表示データを、コンテナ型仮想化環境における通信管理データとして生成する表示データ生成部と、
を備えるコンテナ型仮想化環境における通信管理装置。

【請求項2】

前記第１の情報取得部は、前記コンテナ側のパケットのヘッダ情報を前記コンテナ内でキャプチャするキャプチャ部と、前記キャプチャ部においてキャプチャされた前記コンテナ側のパケットの少なくとも前記ヘッダ情報のデータを、前記ユーザ空間に転送する転送部とを有しており、前記結合部は、前記転送部が転送した前記コンテナ側のパケットの前記ヘッダ情報と、前記第２の情報取得部において取得された前記サーバ側のパケットの前記ヘッダ情報とを、前記ユーザ空間において照合する請求項１に記載のコンテナ型仮想化環境における通信管理装置。

【請求項3】

前記第１の情報取得部は、前記コンテナ側のパケットの送受信をトリガとして前記コンテナ側のパケットの少なくとも前記ヘッダ情報を含む通信ログのデータを、前記ユーザ空間に送信するログ送信部を有しており、前記結合部は、前記ログ送信部が送信した前記通信ログのデータにおける前記ヘッダ情報と、前記第２の情報取得部において取得された前記サーバ側のパケットの前記ヘッダ情報とを、前記ユーザ空間において照合する請求項１に記載のコンテナ型仮想化環境における通信管理装置。

【請求項4】

前記結合部は、照合した双方の前記ヘッダ情報においてパケットの宛先又は送信元が一致し、かつ、双方が同期して送受信されたパケットの前記ヘッダ情報同士を結合する請求項１～３のいずれか１項に記載のコンテナ型仮想化環境における通信管理装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、コンテナ型仮想化環境における通信管理装置に関する。

【背景技術】

【0002】

ネットワークに接続されるコンピュータでは、ネットワーク側からの不正なアクセスに備えて対策を講じることが重要である。ファイヤウォール、あるいは、ウィルスパターンの照合処理等は、よく知られた不正アクセス対策である。これらの不正アクセス対策を運用する際には、どのパケット通信において不正アクセスが発生したかを特定する必要がある。

【0003】

特許文献１は、ネットワーク内のプロキシサーバが記録する、ネットワーク内のユーザＰＣとインターネットのサーバとのパケット通信のログの監視により、不正通信を検出する技術を開示している。

【先行技術文献】

【特許文献】

【0004】

【文献】特許第５８４４９３８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

コンピュータのリソースを抽象化する仮想化は、リソースの柔軟な利用を可能にすることができる。コンテナ型の仮想化環境は、仮想化ＯＳ（Operation System）が必要ないので、仮想化ＯＳを必要とするホスト型及びハイパーバイザ型の仮想化環境よりも、起動の迅速性と使用するリソースの少なさにおいて優れている。この点を生かして、コンテナ型の仮想化環境を、クラウドコンピューティングサービスに使用するＷｅｂサーバに導入することが進められている。

【0006】

コンテナ型の仮想化環境をＷｅｂサーバに導入すると、Ｗｅｂサーバ上の仮想化されたコンテナは、ネットワークを介してパケットを送受信する。このため、コンテナへの不正アクセス対策として、コンテナが行うパケット通信のログを、記録して監視する必要がある。仮想化ＯＳが存在しないコンテナが行うパケット通信のログの記録及び監視を、もしも、ＷｅｂサーバのホストＯＳで行う構成とすると、コンテナ内でのパケット通信の状態を把握することができない。

【0007】

本開示は前記事情に鑑みなされたもので、本開示の目的は、ネットワークに接続される物理サーバ上の仮想化されたコンテナにおけるパケット通信の状態を、把握できるようにすることにある。

【課題を解決するための手段】

【0008】

本開示に係るコンテナ型仮想化環境における通信管理装置は、
ネットワークに接続された物理サーバ上に仮想的に実装されたコンテナが前記ネットワークのインタフェースを介して送受信するコンテナ側のパケットのヘッダ情報を、前記コンテナ内で取得する第１の情報取得部と、
前記物理サーバが前記インタフェースを介して前記ネットワークとの間で送受信するサーバ側のパケットのヘッダ情報を、前記物理サーバにおける前記コンテナの外部のユーザ空間で取得する第２の情報取得部と、
前記第１の情報取得部及び前記第２の情報取得部においてそれぞれ取得されたパケットのヘッダ情報同士を照合し、前記コンテナ及び前記物理サーバにおいて同期して送受信されたパケットの前記ヘッダ情報同士を結合する結合部と、
前記結合部が結合した前記ヘッダ情報の表示データを、コンテナ型仮想化環境における通信管理データとして生成する表示データ生成部と、
を備える。

【0009】

本開示に係るコンテナ型仮想化環境における通信管理装置において、前記第１の情報取得部は、前記コンテナ側のパケットのヘッダ情報を前記コンテナ内でキャプチャするキャプチャ部と、前記キャプチャ部においてキャプチャされた前記コンテナ側のパケットの少なくとも前記ヘッダ情報のデータを、前記ユーザ空間に転送する転送部とを有しており、前記結合部は、前記転送部が転送した前記コンテナ側のパケットの前記ヘッダ情報と、前記第２の情報取得部において取得された前記サーバ側のパケットの前記ヘッダ情報とを、前記ユーザ空間において照合してもよい。

【0010】

本開示に係るコンテナ型仮想化環境における通信管理装置において、前記第１の情報取得部は、前記コンテナ側のパケットの送受信をトリガとして前記コンテナ側のパケットの少なくとも前記ヘッダ情報を含む通信ログのデータを、前記ユーザ空間に送信するログ送信部を有しており、前記結合部は、前記ログ送信部が送信した前記通信ログのデータにおける前記ヘッダ情報と、前記第２の情報取得部において取得された前記サーバ側のパケットの前記ヘッダ情報とを、前記ユーザ空間において照合してもよい。

【0011】

本開示に係るコンテナ型仮想化環境における通信管理装置において、前記結合部は、照合した双方の前記ヘッダ情報においてパケットの宛先又は送信元が一致し、かつ、双方が同期して送受信されたパケットの前記ヘッダ情報同士を結合してもよい。

【発明の効果】

【0012】

本開示によれば、ネットワークに接続される物理サーバ上の仮想化されたコンテナにおけるパケット通信の状態を、把握することができる。

【図面の簡単な説明】

【0013】

【図1】一実施形態に係るコンテナ型仮想化環境における通信管理装置を運用可能なコンテナが仮想化により複数実装された物理サーバの一例を示す説明図である。

【図2】一実施形態に係り図１のコンテナにおけるパケット通信の状態を把握する通信管理装置の詳細な構成を示す説明図である。

【図3】図２のコンテナがネットワーク上の機器との間でパケットを送受信する場合を概念的に示す説明図である。

【図4】（ａ）は図２のコンテナ及び物理サーバのユーザ空間においてパケットキャプチャがそれぞれキャプチャするパケットの構成を示す説明図、（ｂ）は（ａ）のパケットデータヘッダのデータから取得される通信ログの内容を示す説明図である。

【図5】図２の物理サーバにおいてキャプチャされるパケットのタイムスタンプと送信元及び宛先の各ＩＰアドレスを含むヘッダ情報を示し、（ａ）は物理サーバのパケットキャプチャソフトウェアがキャプチャしたパケットのヘッダ情報の説明図、（ｂ）はコンテナのパケットキャプチャアプリケーションソフトウェアがキャプチャしたパケットのヘッダ情報の説明図、（ｃ）は表示データ生成部が生成する（ａ），（ｂ）のヘッダ情報を結合したヘッダ情報の説明図である。

【図6】他の実施形態に係り図１のコンテナにおけるパケット通信の状態を把握する通信管理装置の詳細な構成を示す説明図である。

【発明を実施するための形態】

【0014】

以下、いくつかの例示的な実施形態について、図面を参照しながら説明する。図１は一実施形態に係るコンテナ型仮想化環境における通信管理装置を運用可能なコンテナが仮想化により複数実装された物理サーバの一例を示す説明図である。

【0015】

図１に示す物理サーバ１は、ハードウェア３を有する。ハードウェア３は、例えば、ＣＰＵ、ＲＡＭ、ＲＯＭ、不揮発性の外部記憶装置、ディスプレイ等を有している。

【0016】

ハードウェア３のＲＯＭ又は外部記憶装置には、ホストＯＳ（Operation System）５を記憶させることができる。ハードウェア３のＣＰＵは、ホストＯＳ５のプログラムを実行することで、物理サーバ１上にカーネル７を仮想的に実装させることができる。

【0017】

また、ＲＯＭ又は外部記憶装置には、ホストＯＳ５上で実行されるコンテナ管理ソフトウェア９を記憶させることができる。ハードウェア３のＣＰＵは、コンテナ管理ソフトウェア９のプログラムを実行することで、物理サーバ１上に１又は複数のコンテナ１１を仮想的に実装させることができる。図１では、コンテナ１１が物理サーバ１上に３つ実装された場合を示している。

【0018】

各コンテナ１１は、ホストＯＳ５のカーネル７を共有する。また、各コンテナ１１は、ライブラリ環境変数１３の環境変数に基づいて稼働するミドルウェア１５及びアプリケーションソフトウェア（アプリ）１７をそれぞれ有している。したがって、各コンテナ１１は、ホストＯＳ５上でアプリケーションソフトウェア１７を実行する仮想サーバをそれぞれ構成することができる。

【0019】

実施形態に係るコンテナ型仮想化環境における通信管理装置は、各コンテナ１１におけるパケット通信の状態を把握するために、物理サーバ１上で運用することができる。以下、一実施形態に係るコンテナ型仮想化環境における通信管理装置の構成について、図２の説明図を参照して説明する。

【0020】

図２では、図面の見やすさのため、コンテナ１１を１つだけ図示し、他のコンテナ１１の図示を省略している。図２に示すように、物理サーバ１は、ハードウェア３のネットワークインタフェース１９において、ネットワーク２１に接続されている。ネットワーク２１は、例えば、インターネット、イントラネット、ＷＡＮ（Wide Area Network ）等とすることができる。ネットワーク２１の通信プロトコルがインターネットプロトコルに準拠する場合、物理サーバ１を含むネットワーク２１上の各機器には、グローバルＩＰ（Internet Protocol ）アドレスをそれぞれ割り当てることができる。

【0021】

各コンテナ１１は、ハードウェア３のユーザ空間（図示せず）に仮想的に実装される通信経路により、ネットワークインタフェース１９に接続される。即ち、ハードウェア３のＣＰＵがコンテナ管理ソフトウェア９のプログラムを実行することで、ネットワークインタフェース１９に仮想ブリッジが割り当てられる。この仮想ブリッジにより、各コンテナ１１とネットワークインタフェース１９とをつなげる仮想的な通信経路が確立される。

【0022】

各コンテナ１１は、ネットワークインタフェース１９を介して行うパケットの送受信により、他のコンテナ１１又はネットワーク２１上の他の機器とデータをやり取りすることができる。各コンテナ１１のパケットの送受信は、カーネル７の制御の下で行われる。そのために、各コンテナ１１には、プライベートＩＰアドレスがそれぞれ割り当てられている。各コンテナ１１のプライベートＩＰアドレスは、物理サーバ１のポート番号に１対１に対応している。物理サーバ１のポート番号は、各コンテナ１１の通信経路を確立する仮想ブリッジにそれぞれ割り当てられている。

【0023】

各コンテナ１１のプライベートＩＰアドレスは、各コンテナ１１の通信経路によって物理サーバ１内に構築されるローカルネットワーク（図示せず）上で有効なアドレスである。プライベートＩＰアドレスは、ネットワーク２１上では無効なアドレスである。

【0024】

コンテナ管理ソフトウェア９は、コンテナ１１がパケットの送受信を行うための構成と、コンテナ１１が行うパケットの送受信を監視するための構成とを、ユーザ空間に仮想的に実装させる。

【0025】

コンテナ管理ソフトウェア９がユーザ空間に実装させる構成は、コンテナ１１の外部に構築されて各コンテナ１１が共有する構成と、各コンテナ１１の内部に個別に構築される構成とを含んでいる。コンテナ１１の外部に構築される構成は、例えば、ＮＡＰＴ（Network Address Port Translation）テーブル２３、第１通信制御部２５及びデータバックアップ部２７を含んでいる。各コンテナ１１の内部にそれぞれ構築される構成は、キャプチャデータ格納部２９を含んでいる。これらが仮想的に実装されるユーザ空間は、例えば、ハードウェア３の外部記憶装置に設けることができる。

【0026】

また、各コンテナ１１においてそれぞれ実行される図１のアプリケーションソフトウェア１７は、図２に示すように、通信アプリ３１及びパケットキャプチャアプリ３３を含んでいる。

【0027】

各コンテナ１１は、通信アプリ３１を実行することで、物理サーバ１内のローカルネットワーク上でパケットを送受信することができる。各コンテナ１１がローカルネットワークに送信するパケットは、通信アプリ３１によって生成することができる。また、各コンテナ１１がローカルネットワークから受信したパケットは、通信アプリ３１によって受信処理することができる。

【0028】

各コンテナ１１は、パケットキャプチャアプリ３３を実行することで、各コンテナ１１が送受信するパケットを、ローカルネットワーク上でキャプチャすることができる。キャプチャしたパケットのデータ、即ち、キャプチャデータＩは、第１データ格納空間３５に保存することができる。第１データ格納空間３５は、コンテナ１１の実装空間に確保することができる。

【0029】

ＮＡＰＴテーブル２３は、各コンテナ１１のプライベートＩＰアドレスと、ネットワーク２１上で有効なグローバルＩＰアドレスとを対応付けたテーブル（図示せず）を保持している。各コンテナ１１に対応するグローバルＩＰアドレスは、各コンテナ１１毎に異なるアドレスである。

【0030】

第１通信制御部２５は、ローカルネットワークを構成する各通信経路上で、対応する各コンテナ１１を送信元又は宛先とするパケットのＩＰアドレスを、プライベートＩＰアドレス及びグローバルＩＰアドレスの一方から他方に変換する。ＩＰアドレスを変換する際に、第１通信制御部２５は、ＮＡＰＴテーブル２３を参照する。

【0031】

第１通信制御部２５は、各コンテナ１１がパケットを送受信する際に、カーネル７に対してシステムコールを出力する。

【0032】

コンテナ１１によるパケットの送信時には、第１通信制御部２５は、カーネル７に対するシステムコールにより、コンテナ１１が送信したパケットをカーネル７に受け渡す。このとき、第１通信制御部２５は、パケットの送信元のＩＰアドレスを、送信元のコンテナ１１に対応するプライベートＩＰアドレスから、送信元のコンテナ１１に対応するグローバルＩＰアドレスに変換する。コンテナ１１に対応するグローバルＩＰアドレスは、コンテナ１１の通信経路を構成する仮想ブリッジに割り当てられたネットワークインタフェース１９のポート番号に対応するＩＰアドレスである。

【0033】

第１通信制御部２５が受け渡したパケットは、カーネル７によってネットワークインタフェース１９のキューに格納される。キューに格納されたパケットは、宛先のグローバルＩＰアドレスに対応するネットワーク２１上の機器に向けて、ネットワーク２１に送信される。

【0034】

コンテナ１１によるパケットの受信時には、第１通信制御部２５は、カーネル７に対するシステムコールにより、コンテナ１１が受信するパケットをカーネル７から取得する。このパケットは、ネットワークインタフェース１９がネットワーク２１から受信してキューに格納したものであり、カーネル７によってキューから取り出される。

【0035】

第１通信制御部２５は、カーネル７から取得したパケットの宛先のＩＰアドレスを、宛先のコンテナ１１に対応するグローバルＩＰアドレスから、宛先のコンテナ１１に対応するプライベートＩＰアドレスに変換する。そして、カーネル７から取得したパケットを、変換後のプライベートＩＰアドレスに対応するコンテナ１１の通信経路を介して伝送し、通信アプリ３１によって受信処理させる。

【0036】

図３は、コンテナ１１が物理サーバ１を介してネットワーク２１上の各機器との間でパケットを送受信する場合を概念的に示す説明図である。コンテナ１１がネットワーク２１上の機器又は他のコンテナ１１にパケットを送信する場合は、コンテナ１１は、図３の（１）で示す経路で、仮想ブリッジ３７によるローカルネットワーク３９を介してネットワークインタフェース１９にパケットを送信する。

【0037】

このとき、パケットの送信元のＩＰアドレスは、コンテナ１１のプライベートＩＰアドレスとなる。パケットの宛先のＩＰアドレスは、宛先がネットワーク２１上の機器である場合は、その機器のグローバルＩＰアドレスとなる。また、宛先が物理サーバ１の他のコンテナ１１である場合は、そのコンテナ１１のプライベートＩＰアドレスとなる。

【0038】

コンテナ１１が送信したパケットを、図２に示すネットワークインタフェース１９が受信してキューに格納すると、第１通信制御部２５が、パケットの送信元のＩＰアドレスをプライベートＩＰアドレスからグローバルＩＰアドレスに変換する。パケットの宛先のＩＰアドレスが他のコンテナ１１のプライベートＩＰアドレスである場合は、第１通信制御部２５が、パケットの宛先のＩＰアドレスもプライベートＩＰアドレスからグローバルＩＰアドレスに変換する。

【0039】

そして、第１通信制御部２５は、コンテナ１１から受信したパケットを、図３の（２）で示す経路で、ネットワークインタフェース１９のキューからネットワーク２１に送信する。

【0040】

一方、ネットワーク２１上の各機器又は物理サーバ１の他のコンテナ１１から送信されたコンテナ１１宛のパケットは、図３の（３）で示す経路で、ネットワーク２１を介してネットワークインタフェース１９によって受信され、キューに格納される。

【0041】

このとき、パケットの送信元のＩＰアドレスは、送信元がネットワーク２１上の機器である場合は、その機器のグローバルＩＰアドレスとなっている。また、送信元が物理サーバ１の他のコンテナ１１である場合は、そのコンテナ１１のグローバルＩＰアドレスとなっている。パケットの宛先のＩＰアドレスは、宛先のコンテナ１１のグローバルＩＰアドレスとなっている。

【0042】

そこで、第１通信制御部２５は、キューに格納されたパケットの宛先のＩＰアドレスを、グローバルＩＰアドレスからプライベートＩＰアドレスに変換する。パケットの送信元のＩＰアドレスが他のコンテナ１１のグローバルＩＰアドレスである場合は、第１通信制御部２５が、パケットの送信元のＩＰアドレスもグローバルＩＰアドレスからプライベートＩＰアドレスに変換する。

【0043】

そして、第１通信制御部２５は、ネットワークインタフェース１９のキューに格納されたパケットを、図３の（４）で示す経路で、仮想ブリッジ３７によるローカルネットワーク３９を介して宛先のコンテナ１１に送信する。

【0044】

図２のデータバックアップ部２７は、コンテナ１１が送受信し第１データ格納空間３５に格納されたパケットのデータをバックアップし、バックアップデータを記憶する。

【0045】

ハードウェア３のＲＯＭ又は外部記憶装置には、コンテナ管理ソフトウェア９の他に、ホストＯＳ５上で実行される他のアプリケーションソフトウェアをさらに記憶させることができる。アプリケーションソフトウェアとしては、例えば、パケットキャプチャソフトウェア４１、データ結合ソフトウェア４３及びグラフィックソフトウェア４５を挙げることができる。

【0046】

ハードウェア３のＣＰＵは、パケットキャプチャソフトウェア４１のプログラムを実行することで、物理サーバ１上に、第２通信制御部４７を仮想的に実装させることができる。第２通信制御部４７は、ネットワークインタフェース１９がネットワーク２１に対してパケットを送受信する際に、送受信するパケットをネットワークインタフェース１９のキュー上でキャプチャすることができる。キャプチャしたパケットのデータ、即ち、キャプチャデータＩＩは、第２データ格納空間４９に保存することができる。第２データ格納空間４９は、例えば、ハードウェア３のＲＯＭ又は外部記憶装置に確保することができる。

【0047】

ここで、第１データ格納空間３５及び第２データ格納空間４９にそれぞれ保存されるパケットの構成を、図４（ａ）の説明図を参照して説明する。

【0048】

図４（ａ）に示すように、コンテナ１１及びネットワークインタフェース１９がそれぞれ送受信するパケットは、ヘッダ部及びデータ部を有している。データ部は、パケットデータの伝送に用いられる。ヘッダ部は、パケットデータヘッダの伝送に用いられる。

【0049】

パケットデータヘッダは、パケットデータに関するヘッダ情報である。ヘッダ情報は、図４（ｂ）の説明図に示すように、パケットの送信元による送信時刻のタイムスタンプ、送信元及び宛先の各ＩＰアドレス、パケットの通信に用いるプロトコル等の情報を含んでいる。また、パケットの送信元又は宛先がコンテナ１１である場合、ヘッダ情報は、コンテナ１１の通信経路を構成する仮想ブリッジ３７に割り当てられたネットワークインタフェース１９のポート番号をさらに含んでいる。

【0050】

パケットの送信時刻のタイムスタンプは、例えば、パケットの送信元において管理されるシステム時刻から取得することができる。なお、物理サーバ１を含むネットワーク２１上の各機器は、ネットワーク２１を通じてシステム時刻を共有することができる。また、物理サーバ１内の各コンテナ１１も、物理サーバ１のホストＯＳ５が管理する物理サーバ１のシステム時刻を、ローカルネットワーク３９を通じて取得することで、ネットワーク２１上の各機器とシステム時刻を共有することができる。

【0051】

ハードウェア３のＣＰＵは、データ結合ソフトウェア４３のプログラムを実行することで、物理サーバ１上に、結合処理部５１を仮想的に実装させることができる。結合処理部５１は、コンテナ１１が送受信したパケットのヘッダ情報、即ち、キャプチャデータＩを、第１データ格納空間３５から第３データ格納空間５３に複写する。これにより、パケットキャプチャアプリ３３によってキャプチャされて第１データ格納空間３５に保存されたコンテナ１１側のパケットの少なくともヘッダ情報のデータを、物理サーバ１のユーザ空間に転送することができる。

【0052】

また、結合処理部５１は、ネットワークインタフェース１９が送受信したパケットのヘッダ情報、即ち、キャプチャデータＩＩを、第２データ格納空間４９から第４データ格納空間５５に複写する。第３データ格納空間５３及び第４データ格納空間５５は、例えば、ハードウェア３のＲＯＭ又は外部記憶装置に確保することができる。

【0053】

そして、結合処理部５１は、第３データ格納空間５３のヘッダ情報と第４データ格納空間５５のヘッダ情報とを照合する。そして、両ヘッダ情報中の送信元又は宛先のＩＰアドレスが一致し、かつ、両ヘッダ情報中のタイムスタンプの時刻の差が基準時間以内である場合に、結合処理部５１は、両パケットが同期して送受信されたものと判定する。基準時間は、例えば、１秒とすることができる。そして、結合処理部５１は、同期して送受信されたと判定した両パケットのヘッダ情報を、コンテナ１１がネットワーク２１上の各機器との間で送受信したパケットのヘッダ情報として結合する。即ち、結合処理部５１は、同期して送受信されたヘッダ情報を結合することで、コンテナ型仮想化環境における通信管理データを生成する。結合したヘッダ情報は、第５データ格納空間５７に保存して蓄積することができる。

【0054】

ハードウェア３のＣＰＵは、グラフィックソフトウェア４５のプログラムを実行することで、物理サーバ１上に、表示データ生成部５９を仮想的に実装させることができる。表示データ生成部５９は、コンテナ１１がネットワーク２１上の各機器との間で送受信したパケットのヘッダ情報として結合した第５データ格納空間５７のヘッダ情報を、第６データ格納空間６１に複写する。第６データ格納空間６１は、例えば、ハードウェア３のＲＯＭ又は外部記憶装置に確保することができる。

【0055】

そして、表示データ生成部５９は、第６データ格納空間６１のヘッダ情報を表示するためのデータを生成する。

【0056】

例えば、コンテナ１１がパケットをネットワーク２１の機器に、図３の（１），（２）に示す経路で送信し、機器からのパケットをコンテナ１１が、図３の（３），（４）に示す経路で受信したものとする。

【0057】

この場合、パケットキャプチャソフトウェア４１によって経路（２），（３）上でキャプチャされるサーバ側のパケットのヘッダ情報は、図５（ａ）の上段及び下段にそれぞれ示す内容となる。即ち、タイムスタンプが、図３の経路（２），（３）上でのパケット送信の実施時におけるシステム時刻となる。また、送信元のＩＰアドレスが、送信元の物理サーバ１又は機器のグローバルＩＰアドレス、宛先のＩＰアドレスが、宛先の機器又は物理サーバ１のグローバルＩＰアドレスとなる。

【0058】

また、パケットキャプチャアプリ３３によって経路（１），（４）上でキャプチャされるコンテナ側のパケットのヘッダ情報は、図５（ｂ）の上段及び下段にそれぞれ示す内容となる。即ち、タイムスタンプが、図３の経路（１），（４）上でのパケット送信の実施時におけるシステム時刻となる。また、送信元のＩＰアドレスが、送信元のコンテナ１１のプライベートＩＰアドレス又は送信元の機器のグローバルＩＰアドレス、宛先のＩＰアドレスが、宛先の機器のグローバルＩＰアドレス又は宛先のコンテナ１１のプライベートＩＰアドレスとなる。

【0059】

なお、図５中では、コンテナ１１のプライベートＩＰアドレスを、「ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ」としている。また、物理サーバ１のグローバルＩＰアドレスを、「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」としている。さらに、ネットワーク２１上の機器のグローバルＩＰアドレスを、「ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ」としている。

【0060】

上述した経路でコンテナ１１とネットワーク２１上の機器とがパケットの送受信を行った場合、図３の経路（１），（２）におけるパケットの送信は連続して行われる。このため、図５（ａ）の上段に示す経路（２）のパケット送信の実施時におけるタイムスタンプのシステム時刻は、図５（ｂ）の上段に示す経路（１）のパケット送信の実施時におけるタイムスタンプのシステム時刻と同期する。即ち、経路（２）のパケット送信時のシステム時刻が、経路（１）のパケット送信時のシステム時刻と同一又は基準時間以内遅れた時刻となる。また、両ヘッダ情報の宛先のＩＰアドレスは、宛先の機器のグローバルＩＰアドレス同士で一致する。

【0061】

同じく、上述した経路でコンテナ１１とネットワーク２１上の機器とがパケットの送受信を行った場合、図３の経路（３），（４）におけるパケットの送信は連続して行われる。このため、図５（ｂ）の下段に示す経路（４）のパケット送信の実施時におけるタイムスタンプのシステム時刻は、図５（ａ）の下段に示す経路（３）のパケット送信の実施時におけるタイムスタンプのシステム時刻と同期する。即ち、経路（４）のパケット送信時のシステム時刻が、経路（３）のパケット送信時のシステム時刻と同一又は基準時間以内遅れた時刻となる。また、両ヘッダ情報の送信元のＩＰアドレスは、送信元の機器のグローバルＩＰアドレス同士で一致する。

【0062】

そこで、図５（ａ），（ｂ）の上段の各ヘッダ情報は、結合処理部５１によって結合されて第５データ格納空間５７に保存される。また、図５（ａ），（ｂ）の下段の各ヘッダ情報も、結合処理部５１によって結合されて第５データ格納空間５７に保存される。したがって、表示データ生成部５９は、第６データ格納空間６１に複写された第５データ格納空間５７の結合されたヘッダ情報を表示するためのデータを、例えば、図５（ｃ）に示す内容で生成することができる。

【0063】

図５（ｃ）に示す表示データでは、図５（ａ）に示すヘッダ情報に、送信元又は宛先のコンテナ１１のプライベートＩＰアドレスを付加している。表示データ生成部５９が表示データを生成した結合されたヘッダ情報は、例えば、ハードウェア３の不図示のディスプレイにおいて表示させることができる。

【0064】

以上に説明した本実施形態の物理サーバ１では、ハードウェア３のＣＰＵがホストＯＳ５上での各ソフトウェア９，４１，４３，４５のプログラムを実行することで、物理サーバ１上にコンテナ型仮想化環境における通信管理装置を実装することができる。

【0065】

また、本実施形態の物理サーバ１では、ハードウェア３のＣＰＵが各コンテナ１１のパケットキャプチャアプリ３３のプログラムを実行することで、物理サーバ１上に第１の情報取得部のキャプチャ部及び転送部を実装させることができる。さらに、本実施形態の物理サーバ１では、第２通信制御部４７及び結合処理部５１を、第２の情報取得部及び結合部として機能させることができる。

【0066】

そして、図２に示すように、ハードウェア３のＣＰＵは、ホストＯＳ５上でパケットキャプチャソフトウェア４１を稼働させ、ネットワークインタフェース１９で送受信するパケットをキャプチャする状態とする。キャプチャしたパケットのデータは、第２データ格納空間４９に保存される（ｉ）。

【0067】

また、ハードウェア３のＣＰＵは、ホストＯＳ５上でコンテナ管理ソフトウェア９を稼働させ、物理サーバ１上に複数のコンテナ１１を仮想的に実装させる。このとき、ネットワークインタフェース１９に仮想ブリッジ３７が割り当てられる。このため、各コンテナ１１について、仮想ブリッジ３７を介したネットワークインタフェース１９との仮想的な通信経路がそれぞれ確立される（ii）。

【0068】

さらに、ハードウェア３のＣＰＵは、コンテナ１１内でパケットキャプチャアプリ３３のアプリケーションソフトウェアを稼働させ、コンテナ１１が送受信する仮想ブリッジ３７内のパケットをキャプチャする状態とする。キャプチャしたパケットのデータは、第１データ格納空間３５に保存される（iii ）。

【0069】

また、ハードウェア３のＣＰＵは、コンテナ１１と外部との通信を行う通信アプリ３１のアプリケーションソフトウェアを、コンテナ１１内で稼働させる（iv）。そして、ハードウェア３のＣＰＵは、ホストＯＳ５のタイムスケジュール処理により、第１データ格納空間３５及び第２データ格納空間４９のパケットのデータを、定期的に第３データ格納空間５３及び第４データ格納空間５５に複写する（v ）。パケットのデータの複写は、第２通信制御部４７及び結合処理部５１によって実行させることができる。

【0070】

さらに、ハードウェア３のＣＰＵは、第３データ格納空間５３及び第４データ格納空間５５のパケットのデータを用いて、コンテナ１１とネットワーク２１上の各機器との間で送受信されたパケットのヘッダ情報の結合ビューのデータを作成する（vi）。結合ビューは、例えば、図５（ａ），（ｂ）の上段の各ヘッダ情報によって構成することができる。あるいは、図５（ａ），（ｂ）の下段の各ヘッダ情報によって構成することができる。結合ビューは、結合処理部５１によって作成させることができる。作成した結合ビューのデータは、第５データ格納空間５７に保存される。

【0071】

また、ハードウェア３のＣＰＵは、第５データ格納空間５７に保存された結合ビューのデータを、第６データ格納空間６１に複写する（vii ）。結合ビューのデータは、表示データ生成部５９によって実行させることができる。さらに、ハードウェア３のＣＰＵは、第６データ格納空間６１のデータを用いて、図５（ｃ）に示す内容の結合ビューを，不図示のディスプレイに表示する（viii）。

【0072】

このため、各コンテナ１１を送信元又は宛先とするパケットの通信状態を、自身では把握できないホストＯＳ５に代わって把握することができる。

【0073】

なお、各コンテナ１１が送受信するパケットのキャプチャデータＩとネットワークインタフェース１９がネットワーク２１に対して送受信するパケットのキャプチャデータＩとのヘッダ情報を照合し結合する処理は、各コンテナ１１で行ってもよい。

【0074】

また、各コンテナ１１が送受信するパケットのキャプチャデータＩを、パケットキャプチャアプリ３３によってキャプチャし、データバックアップ部２７にバックアップデータとして記憶させる構成は、他の構成に変えてもよい。

【0075】

例えば、各コンテナ１１においてそれぞれ実行される図１のアプリケーションソフトウェア１７に、図２に示すパケットキャプチャアプリ３３に変えて、図６の説明図に示す通信ログ生成アプリ６３を含める。

【0076】

この場合、各コンテナ１１は、通信ログ生成アプリ６３を実行することで、各コンテナ１１がパケットを送受信する度に、この送受信をトリガとして、ローカルネットワーク３９上のパケットの通信ログを生成することができる。この通信ログは、例えば、図４（ｂ）のパケットデータヘッダの情報を含む内容とすることができる。生成した通信ログのデータは、例えば、第３データ格納空間５３に保存させることができる。

【0077】

したがって、結合処理部５１は、第３データ格納空間５３の通信ログのデータの内容と、第４データ格納空間５５のヘッダ情報とを照合する。

【0078】

図６に示す実施形態の構成とした場合でも、図２の実施形態の構成とした場合と同様に、各コンテナ１１を送信元又は宛先とするパケットの通信状態を、自身では把握できないホストＯＳ５に代わって把握することができる。

【0079】

なお、図６に示す実施形態の構成とする場合、図２に示すデータバックアップ部２７及び各コンテナ１１の第１データ格納空間３５は、省略することができる。

【0080】

また、図６に示す実施形態の物理サーバ１では、ハードウェア３のＣＰＵが各コンテナ１１の通信ログ生成アプリ６３のプログラムを実行することで、物理サーバ１上に第１の情報取得部としてのログ送信部を実装させることができる。この実施形態の物理サーバ１でも、第２通信制御部４７及び結合処理部５１を、第２の情報取得部及び結合部として機能させることができる。

【0081】

さらに、表示データ生成部５９が生成してディスプレイに表示させる結合されたヘッダ情報における、送信元又は宛先のコンテナ１１のプライベートＩＰアドレスは、そのコンテナ１１に対応する仮想ブリッジ３７に割り当てられたポート番号に変えてもよい。

【0082】

以上にいくつかの実施形態を説明したが、上記開示内容に基づいて実施形態の修正または変形をすることが可能である。上記実施形態のすべての構成要素、及び請求の範囲に記載されたすべての特徴は、それらが互いに矛盾しない限り、個々に抜き出して組み合わせてもよい。

【符号の説明】

【0083】

１ 物理サーバ
３ ハードウェア
５ ホストＯＳ
７ カーネル
９ コンテナ管理ソフトウェア
１１ コンテナ
１３ ライブラリ環境変数
１５ ミドルウェア
１７ アプリケーションソフトウェア
１９ ネットワークインタフェース
２１ ネットワーク
２３ ＮＡＰＴテーブル
２５ 第１通信制御部
２７ データバックアップ部
２９ キャプチャデータ格納部
３１ 通信アプリ
３３ パケットキャプチャアプリ
３５ 第１データ格納空間
３７ 仮想ブリッジ
３９ ローカルネットワーク
４１ パケットキャプチャソフトウェア
４３ データ結合ソフトウェア
４５ グラフィックソフトウェア
４７ 第２通信制御部
４９ 第２データ格納空間
５１ 結合処理部
５３ 第３データ格納空間
５５ 第４データ格納空間
５７ 第５データ格納空間
５９ 表示データ生成部
６１ 第６データ格納空間
６３ 通信ログ生成アプリ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】