JP2000505270A - ファイアウォールを通過するコンピュータ資源への外部アクセス - Google Patents

Abstract

(57)【要約】 ファイアウォールが、ファイアウォール内部のコンピュータ資源およびネットワーク資源を、ファイアウォール外部のコンピュータおよびコンピュータ・アプリケーションから分離する。典型的には、内部資源は私有データベースおよびローカル・エリア・ネットワーク（ＬＡＮ）が考えられ、外部オブジェクトはインターネットなどの公衆通信ネットワークを介して操作する個人およびコンピュータ・アプリケーションを含む。通例、ファイアウォールは内部のユーザまたはオブジェクトが外部のオブジェクトまたはネットワークへの接続を開始することはできるようにするが、その逆方向、すなわち外部から内部への接続は行われないようにする。開示の本発明は、ファイアウォールの両側で動作し、ファイアウォール外部の特定の「トラステッド」個人、オブジェクト、またはアプリケーションによって要求された場合に、そのような「外部から内部への」接続を確立する特別な「トンネル」機構を提供する。本発明の意図は、「トンネル」接続（外部から有効に要求されたファイアウォールを介した接続）を確立するのに必要な資源を最小限にすると同時に、そのような接続を行う許可に伴うセキュリティ上のリスクを最小限にする。この機構は、ファイアウォールの内部と外部のインターフェイス・サーバ上で実行される特別なトンネル・アプリケーションと、内部トンネルアプリケーションによって作成され、維持される「トラステッド・ソケット」の特別なテーブルとを含む。トラステッド・ソケット・テーブル内の項目は、ファイアウォール内部のオブジェクトを規定し、特別な内部ポートと、各ポートで使用される通信プロトコルと、各ポートに関連づけられたホスト・オブジェクトとから成る。各項目は、外部からファイアウォールを通過する「トンネル」アクセス権を持つことを許可された個人にしかわからないと考えられるという意味で「トラステッド」である。これらのアプリケーションは、有効なテーブル項目を識別した外部要求に応答して、テーブルを使用してファイアウォールを介した接続を行う。

Description

【発明の詳細な説明】 ファイアウォールを通過するコンピユータ資源への 外部アクセス 発明の分野 本発明は、ファイアウォールの外部のオブジェクトからの要求に応答したセキ ュリティ・ファイアウォール内部のコンピュータ・システムまたはネットワーク の資源へのアクセスの提供に関する。発明の背景 ファイアウォールとは、コンピュータ・システムまたはネットワークの資源を そのシステムまたはネットワークの外部のオブジェクトから分離するセキュリテ ィ・システム（ハードウェアまたはソフトウェアあるいはその両方）である。分 離された資源は、ファイアウォール内部にあるものとして特徴づけられ、外部装 置はファイアウォールの外部にあるとみなされる。一般には、ファイアウォール は、コンピユータおよびそれに付随する周辺装置から成る私設ローカル・エリア ・ネットワーク（ＬＡＮ）の周囲にめぐらされたセキュリティ囲いの役割を果た す。 一般に、ファイアウォールは、内部オブジェクトが外部オブジェクトへの接続 の要求と受取りを行えるようにする（た とえば内部アプリケーションが外部のインターネット・ノードにアクセスするな ど）が、外部オブジェクトが同様の接続を開始するのを防ぐ。 ファイアウォールのセキュリティの目的を完全に無効化しないという制約を条 件として、ファイアウォールの外部のオブジェクトが内部資源にアクセスできる ようにしたい場合がある。たとえば、ファイアウォール内部の資源を所有する会 社の従業員が、公衆ネットワーク（電話網や、その電話網およびインターネット のアクセスポイントなど）を介して、従業員の職場から遠隔にある家庭から（ま たは出張中または休暇中に遠隔地から）「テレコミュート」することができるよ うにすることが望ましい場合がある。そのために、「承認された（トラステッド ）」個人がファイアウォールの外部からファイアウォールの内部の資源（たとえ ばその従業員の個人データベース）へのアクセスを開始することができるように することが望ましい。 発明人等が知る限りでは、外部からの開始または要求に応答したこのようなア クセスは、これまでは、ファイアウォールの内部と外部の両方に重複サーバおよ びデータベース記憶域を設けるか、またはファイアウォール自体のメンテナンス の費用をかなり増大させるその他の機構を使用して提供されてきた。たとえば、 ファイアウォール内部に記憶されている膨大で頻繁に更新されるデータベースに 関するそのような外部重複構成の費用やその他の処理を考えてみればわかる。本 発明は、ファイアウォール内部のオブジェクトまたは資源の不要な外部重複なし に、所望の外部アクセスを可能にしようとするものである。発明の概要 様々な態様により、本発明は、独立請求項に記載され、従属請求項に記載され た有利な好ましい特徴を有するトンネル装置、方法、およびコンピュータ・プロ グラム製品を提供する。 本発明によると、ファイアウォール外部のオブジェクトによって開始された特 定のタイプの要求に応答して外部オブジェクトとファイアウォール内部の資源と の間に接続を形成するトンネル効果を協調的に生じさせる手段を、ファイアウォ ールの内部と外部に設ける。このようにして形成された接続は、ファイアウォー ル内部のオブジェクトからファイアウォール外部の宛先に向けて開始された要求 であるかのように、実質的に「ひっくり返して」形成されるという独自の特性を 有する。 このような「トンネル」手段が対応する「要求のタイプ」は、現在「トラステ ッド・ソケット」と呼ばれているものに宛てられた要求である。トラステッド・ ソケットとは、ファイアウォールの内部で排他的に作成され、維持されるトラス テッド・ソケット・テーブル内の項目である。このテーブルの各項目には、「ト ラステッド」ポートのアドレス、そのア ドレスに事前に関連づけられているプロトコル（たとえばＴＣＰ／ＩＰ、ＮＮＴ Ｐなどの通信プロトコル）、およびファイアウォール内部のホスト・オブジェク ト（たとえばホスト・コンピュータまたはホスト・アプリケーション）の識別情 報などが含まれる。したがって、ファイアウォール外部の個人またはオブジェク トがそのような要求を開始するためには、その個人に対して、現在有効なトラス テッド・ソケット項目を表す情報を、信用して与えなければならないことを理解 されたい。 トラステッド・ソケットのテーブルは、「トンネル・アプリケーション」とフ ァイアウォール内部の他のすべての「アクセス可能」オブジェクト／資源（イン タフェース・サーバ内部で実行されている他のアプリケーションを含む）との間 のインタフェースをとる内部インタフェース・サーバ上で実行される、「トンネ ル・アプリケーション」によって（そのサーバへの直接アクセス権を有する適正 に許可された個人の制御下で）作成され、維持される。内部インタフェース・サ ーバは、ファイアウォールと、ファイアウォール外部のすべてのオブジェクトと の間のインタフェースをとる外部インタフェース・サーバとの「制御接続」も確 立する。この制御接続には、内部インタフェース・サーバ上で実行されているト ンネル・アプリケーションと、外部インタフェース・サーバ上で実行されている 対応するトンネル・アプリケーションのみがアクセスすることができる。すなわ ち、制御接続には、 これらのインタフェース・サーバ上で実行されている他のどのアプリケーション も直接アクセスすることができず、これらのサーバ上に置かれていない内部と外 部の両方のオブジェクトはまったくアクセスすることができない。 たとえばトラステッド・ソケット・テーブルが作成または変更されたときや特 別な時刻などに、内部インタフェース・サーバから外部インタフェース・サーバ にトラステッド・ソケット・テーブルのコピーが転送される。 現在ファイアウォールを介して接続されていない外部オブジェクトが外部イン タフェース・サーバに届く要求を出した場合、そのサーバ上のトンネル・アプリ ケーションは、その要求が現在有効なトラステッド・ソケット項目に宛てられた ものかどうかを判断する。有効なトラステッド・ソケット項目に宛てられたもの でない場合、その要求は無視される。トラステッド・ソケット項目に宛てられた ものである場合、その要求は制御接続を介して内部インタフェース・サーバ上の トンネル・アプリケーションに渡される。それと同時に、その要求に関連づけら れたプロセス（またはタスク）が外部インタフェース・サーバで生成され、その プロセス／タスクと要求側オブジェクトとの間に外部接続が確立される。 内部トンネル・アプリケーションは、要求を受け取ると、要求が現在有効なト ラステッド・ソケットに対するものかどうかを検証し、そうでなかった場合には その要求を認めないようにする必要がある場合もある。要求が現在有効なトラス テッド・ソケットに対するものである場合、内部トンネル・アプリケーションは 、その要求に付随する内部プロセスを生成（または「作成（spawn）」）する。 次に、内部トンネル・アプリケーションは、（ａ）「要求された」トラステッド ・ソケット項目のポートおよびホスト識別情報に関連づけられた内部資源と、内 部インタフェース・サーバとの間の接続を生成し、（ｂ）制御接続を介して外部 トンネル・アプリケーション、およびファイアウォール自体を制御するコンピュ ータと通信し、内部と外部の両方のインタフェース・サーバ上で生成／作成され たタスク間にファイアウォールを通した接続を生成する。内部および外部トンネ ル・アプリケーションによって生成／作成された接続は制御接続から分離され、 要求を出した外部オブジェクトと要求の宛先である内部オブジェクトとの間で双 方向に（通常はトラステッド・ソケット・プロトコルによって定義されたパケッ ト形式の）データを伝達するのに有用である。 本発明の上記およびその他の特徴、長所、目的、および利点は、以下の詳細な 説明と特許請求の範囲を検討すればよりよく理解できよう。図面の簡単な説明 第１図は、本発明を適用することができる典型的なファイアウォール環境を示 す略図である。 第２図は、上述のトラステッド・ソケット・テーブルの作 成と処理を示す流れ図である。 第３図は、本発明のファイアウォール・トンネル・プロセスを示す流れ図であ る。 第４図は、上述のトラステッド・ソケット・テーブルの好ましい態様を示す図 である。 第５図は、本発明によるファイアウォールの内部および外部のトンネル・アプ リケーション動作を詳述する流れ図である。好ましい実施形態の詳細な説明 第１図に、本発明が適用される典型的なファイアウォール環境を示す。ファイ アウォール・コンピュータ１が、現在一般的に行われている手続きに従ってファ イアウォール・セキュリティ機能を維持する。このコンピュータの、ファイアウ ォール内部のオブジェクトからファイアウォール外部のオブジェクトに接続を拡 張する機能以外の機能は、本発明には影響を及ぼさない（また本質的に本発明に 関係がない）。インタフェース・サーバ２および３（それぞれサーバＡおよびＢ と符号が付されている）がそれぞれ、１によって形成されたファイアウォールの 内部および外部で動作する。サーバＡは、ファイアウォールと、サーバＡ自体内 のオブジェクトを含むファイアウォール内部のオブジェクト（ソフトウェア・ア プリケーション、ハードウェア体など）とのインタフェースをとる。サーバＢは 、ファイアウォールと、サーバＢ自体内の オブジェクトを含むファイアウォール外部のオブジェクトとの間のインタフェー スをとる。 典型的なファイアウォール使用環境では、サーバＡは４に示す接続を介してフ ァイアウォール内部のネットワーク（たとえば私設ローカル・エリア・ネットワ ーク）に接続し、サーバＢは、５に示す接続を介してファイアウォール外部のネ ットワーク（たとえばインターネット）に接続する。 この環境構成に本発明を適用する際、サーバＡおよびＢは「トンネル」ソフト ウェア・アプリケーションを備え、「トラステッド・ソケット」テーブルのコピ ーを記憶する。これらの実体（トンネル・アプリケーションとトラステッド・ソ ケット・テーブル）は本発明固有のものと見なされ、本明細書で説明する。 第２図および第３図に、本発明を推進してサーバＡおよびＢで実行される（ト ンネル）プロセスを示す。 第２図の１０に示すように、トラステッド・ソケット・テーブル（第４図を参 照しながら後述する）が作成され、サーバＡ（またはサーバＡが容易にアクセス できる記憶域）に記憶される。１１に示すように、サーバＡは、ファイアウォー ル（コンピュータ）を介したサーバＢとの特別な「制御接続」を形成し、この制 御接続を介してトラステッド・ソケット・テーブルのコピーをサーバＢに渡す。 この制御接続も本発明の一部と見なされ、前述のトンネル・アプリケーションど うしが有効に相互通信するために使用され、それによって、外 部オブジェクトから受け取った要求に応答して、ファイアウォールの内部と外部 のオブジェクトの間のその他の接続（以下「データ接続」と呼ぶ）が形成される 。 ファイアウォールを通過して延びるこれらのデータ接続の各セグメントは、そ れらのセグメントの形成に使用される制御接続から完全に分離され、常に、ファ イアウォール内部で実行されているプロセスの制御下で形成される。外部要求に よって内部オブジェクトへのデータ接続の形成が行われるためには、その要求が トラステッド・ソケット・テーブル内の項目に宛てられなければならず、その有 効性が検証されなければならない。無効であると判明した外部要求は無視され、 それによって、ファイアウォールおよびその内部資源は、無効な要求情報を有す る外部要求者にとって実質的に不可視になり、アクセス不能になる。逆に、有効 な要求は、トラステッド・ソケット・テーブル内の現在有効な項目の特権的知識 を有する個人（たとえば内部資源の所有者の在宅従業員など）の指示でのみ発行 可能であることを理解されたい。 第３図で、サーバＢがサーバＡから送られたトラステッド・ソケツト・テーブ ルのコピーを受け取って記憶した後、サーバＡおよびＢで実行されるトンネル機 能について説明する。 ２０に示すように、サーバＢ（内のトンネル・アプリケーション）が、トンネ ル操作、すなわち要求で指定されている内部「ホスト」オブジェクトと要求の送 り元である外部オブジェクトとの間のデータ接続の作成を、有効に求める外部要 求の受信を待つ。要求を受け取ると（第３図の２１）、Ｂ（にあるトンネル・ア プリケーション）は、その要求を調べて有効な要求であることを検証する（第３ 図の決定ブロック２２）。この最後に述べた機能に関しては、サーバＢはそのサ ーバに宛てられた要求のみを受け取ることと、サーバＢ上のトンネル・アプリケ ーションはファイアウォール内部のポートに宛てられていると思われる要求のみ を受け取り、前述のトラステッド・ソケット・テーブル内の現在有効な項目に宛 てられている場合にのみ、それらの要求を有効なものとして識別することを理解 されたい。 要求が無効な場合、その要求は無視され、サーバＢ（にあるアプリケーション ）は再び要求を待つ。しかし、要求が有効な場合、サーバＢ（におけるトンネル ・アプリケーション）は、要求側オブジェクトに関してデータ伝送の外部要素を 処理するプロセスまたはタスク「Ｂ．１」を作成する（第３図の２３）。タスク Ｂ．１は、タスクＢ．１自体と要求側オブジェクトとの間のデータ接続を確立し （第３図の２３）、要求をタスクＢ．１の識別情報と共に、制御接続を介してサ ーバＡ（におけるトンネル・アプリケーション）に転送する（第３図の２４）。 サーバＡ（におけるトンネル・アプリケーション）は、有効性が検証された要 求を受け取ると、外部の要求側オブジェクトと要求で識別されているホスト・オ ブジェクトとの間のデータの伝送の内部態様を処理するプロセスまたはタスクＡ ． １を生成する（第３図の２５．後者のオブジェクトは後述のトラステッド・ソケ ット指定の構成要素である）。タスクＡ．１は、ホスト・オブジェクトからファ イアウォールまでのデータ接続セグメントを作成し、ファイアウォール・コンピ ュータにＢ．１までの接続を形成するように指示し（第１図の２５）、したがっ て、内部ホスト・オブジェクトと外部要求側オブジェクトとの間のデータ接続を 完成させる。このデータ接続には、サーバＡおよびＢとファイアウォール・コン ピュータ内にデータ伝送プロトコル（以下で詳述）によって定められた容量で、 そのプロトコルに必要な（パケット）伝送速度のバッファが必要な場合があるこ とを理解されたい。 トラステッド・ソケット・テーブルの形式を第４図に示す。３０に２つの特定 の項目の例が示されており、３１に２番目の項目から下に延びる点線で追加の項 目が暗黙に示されている。各項目は、ポート番号と、伝送プロトコル（通常はバ ースト・パケット伝送プロトコル）を定義する情報と、ホスト・オブジェクトを 識別する情報とから成る。ポート番号は、ホスト・オブジェクトに割り当てられ たファイアウォール内部のアドレスである。プロトコルの例として、テーブル内 の最初の２項目はＮＮＴＰ（ネットワーク・ニューズ転送プロトコル）とＨＴＴ Ｐ（ハイパーテキスト転送プロトコル）がリストされている。 第５図に、インタフェース・サーバＡおよびＢにあるトンネル・アプリケーシ ョンによって実行される詳細な操作を示 す。第２図および第３図に示す操作と同じ操作は同じ番号で識別されている。第 ２図および第３図に示す操作の一部である操作または何らかの点で異なる操作は 、同じ番号の後に英字（ａ、ｂなど）が付いている。その他の操作は前に使用し た番号とは異なる番号で識別されている。 サーバＡにおける操作１０ａは、第２図の操作１０と１２の組合せであり、ト ラステッド・ソケット・テーブルの作成および更新（拡張、修正など）とサーバ Ｂへのトラステッド・ソケット・テーブルのコピーである。サーバＡにおける操 作１１ａは、サーバＡとサーバＢ（におけるトンネル・アプリケーション）の間 の制御接続の確立または（後述の）再確立である。制御接続の再確立の必要が生 じるのは、接続が意図せずに切断された場合であり、そのような事象の検出とそ れに対する応用に必要な操作は第５図の４６〜４８（これらについては後で詳述 する）に示されている。 トラステッド・ソケット・テーブルのコピーを受け取った後、サーバＢ（にお けるトンネル・アプリケーション）は外部要求が着信しないか待機する（第５図 の２０）。有効な外部トンネル要求を受け取り、そのために付随するデータ処理 タスク（たとえば第３図のＢ．１）が作成されると、サーバＢはその要求を、行 われる処置を示す制御信号およびその要求を処理するためにＢで作成されたタス ク（たとえばＢ．１）を識別する情報と共に、サーバＡに提示する（第５図の２ ３ａ）。次に、サーバＢは、サーバＡからの要求受信の肯定応 答を待ち（第５図の２３ｃ）、それを受信すると、サーバＢは、新たに作成され たタスクから要求側オブジェクトまでのデータ接続セグメントを確立する（第５ 図の２４ｂ。たとえば第３図のＢ．１からＣまで）。次に、サーバＢはファイア ウォールからＢで作成されたばかりのタスクまでのデータ接続セグメントが確立 するのを待つ（第５図の２４ｃ）。この事象は、ホスト・オブジェクト（要求で 識別されているオブジェクト）とサーバＢとの間の関連づけられたデータ接続セ グメントの確立を意味する。次に、サーバＢにおけるトンネル・プロセスは、フ ァイアウォールとタスクＢとの間のデータ接続セグメントが終了するまで完了し （第５図の４０）、この接続およびそれに付随する要求へのサーバＢの関与が終 了する（第５図の４１）。 サーバＡでのトンネル処理の考察に戻ると、制御接続の確立または再確立後、 サーバＡはＢからの（要求転送）信号が着信しないか待機する（第５図の４６） 。まだ信号を受け取っていないが（第５図の４７）、待機が開始されてから所定 のタイムアウト間隔がまだ経過していない場合（第５図の４８）、サーバＡはた だそのような信号を待ち続けるだけである。しかし、タイムアウトが経過した場 合（第５図の４８における肯定の決定）、制御接続が（意図せずに）切断された ものと見なされ、接続が再確立される（１１ａが繰り返される）。 サーバＢから要求を受け取った場合、サーバＡは任意選択 によりそれ独自の妥当性検査操作（第５図の４９）を行って要求が現在有効なト ラステッド・ソケットに宛てられたものであることを検証することができる。こ のオプションを使用し、要求が無効であると判明した場合、サーバＢには２３ｂ で待たれていた肯定応答の代わりにエラー信号が返される。このオプションを使 用しない場合、またはこのオプションを使用して要求が有効であると判明した場 合、サーバＡはＡ．１などの内部タスクの確立に進み、前述のようにこの内部タ スクがホスト・オブジェクトからファイアウォールまでのデータ接続セグメント を形成し、ファイアウォール・コンピュータに対してデータ接続をＢ．１まで拡 張するように指示する（第５図の５０）。これによって、現行要求へのサーバＡ の関与が終わり、他の要求に移れるように解放される（第５図の５１）。プログラム製品 上述のトンネル・アプリケーションは、たとえば記憶媒体または通信ネットワ ークで、「コンピュータ可読」プログラム製品として配布することができる。こ のような製品は単一の統合実体（たとえばサーバＡ内部にインストールされ、全 体または一部が外部サーバＢに転送されるもの）として、または内部サーバと外 部サーバに別々にインストール可能な２つの実体（または部分）として提供する ことができるものと理解されたい。また、ファイアウォール・コンピュータはフ ァイアウォールを通るデータ接続の形成における必要な関与物であることも理解 されたい。

【手続補正書】 【提出日】１９９９年４月１４日（１９９９．４．１４） 【補正内容】 請求の範囲 １．ファイアウォールが内部領域と外部領域を規定し、前記外部領域内のオブジ ェクトが前記内部領域内のオブジェクトへのアクセスを直接開始するのを防止す るセキュリティ障壁を形成すると同時に、前記内部領域内のオブジェクトが前記 外部領域内のオブジェクトへのアクセスを直接開始し、アクセスを獲得すること を許すファイアウォール（１）を含むデータ通信ネットワークのためのトンネル 装置であって、 前記ファイアウォール（１）と前記外部領域内のオブジェクトとの間のインタ フェースをとる、前記外部領域内の外部インタフェース・コンピュータ（３）と 、 前記ファイアウォール（１）と前記内部領域内のオブジェクトとの間のインタ フェースをとる、前記内部領域内の内部インタフェース・コンピュータ（２）と 、 前記内部と外部の両方のインタフェース・コンピュータにおいて、前記外部領 域からのアクセスが許可されている前記内部領域内の所定のトラステッド・オブ ジェクトの識別情報を確認する手段と、 前記外部インタフェース・コンピュータにおいて、前記外部領域内のオブジェ クトから送られた要求に応答して、前記確認手段と協調して、前記要求が前記ト ラステッド・オブジェクトのうちの１つのオブジェクトに宛てられたものである か否かを判断し、前記要求がそのように宛てられたものである場合、前記要求を 前記内部インタフェース・コンピュータにルーティングする手段と、 前記内部と外部の両方のインタフェース・コンピュータにおいて、前記トラス テッド・オブジェクトのうちの前記１つのオブジェクトに宛てられた前記要求に 応答して、前記トラステッド・オブジェクトのうちの前記１つのオブジェクトと それぞれの前記要求を送った外部オブジェクトとの間のデータ通信接続を形成す る手段とを含み、前記データ通信接続のうちの前記内部領域にあるセグメントと 前記ファイアウォールを通って延びるセグメントが前記内部インタフェース・コ ンピュータの排他的制御下で形成され、前記データ通信接続のうちの前記外部イ ンタフェース・コンピュータから前記要求を送った前記オブジェクトまでのセグ メントが前記外部インタフェース・コンピュータの制御下で形成され、 前記内部インタフェース・コンピュータが、前記外部インタフェース・コンピ ュータへの専用制御接続の確立と維持を行う手段を含み、前記専用制御接続が前 記要求を前記外部インタフェース・コンピュータから前記内部インタフェース・ コンピュータに伝送するために使用されるトンネル装置。 ２．前記トラステッド・オブジェクトの識別情報を確認する前記手段が、前記内 部インタフェース・コンピュータにおいて、前記トラステッド・オブジェクトを リストするテーブル（第４図）の作成と維持を行う手段と、前記テーブル・リス トのコピーを前記ファイアウォール（１）を介して前記外部インタフェース・コ ンピュータ（３）に転送する手段と、前記外部インタフェース・コンピュータに おいて、前記コピーされたテーブル・リストの記憶と参照を行う手段とを含む、 請求項１に記載のトンネル装置。 ３．トラステッド・オブジェクトの前記テーブル内の各項目（３０）が、前記内 部領域内のオブジェクトを識別する第１の情報と、それぞれの前記オブジェクト に割り当てられたデータ通信ポートを識別する第２の情報と、前記ポートを介し てデータを伝送するために使用されるデータ通信プロトコルを識別する第３の情 報とから成る、請求項２に記載のトンネル装置。 ４．前記トラステッド・オブジェクトの識別情報を確認する前記手段と、データ 通信接続を形成する前記手段とが、 前記内部と外部の両方のインタフェース・コンピュータ内で実行され、前記確 認手段と前記形成手段を構成要素として含む、トンネル・アプリケーション・プ ログラムと、 前記要求を前記内部インタフェース・コンピュータにルーティングする前記手 段が、前記トンネル・アプリケーション・プログラムの第３の構成要素を含む、 請求項１に記載のトンネル装置。 ５．前記内部領域と外部領域がそれぞれ内部および外部のデータ通信ネットワー クを含み、前記内部および外部のインタフェース・コンピュータが前記ファイア ウォールと前記内部 ネットワークおよび外部ネットワークのノードとの間にそれぞれ接続された、請 求項１に記載のトンネル装置。 ６．ファイアウォール外部のデータ処理オブジェクトが前記ファイアウォール内 部のデータ処理オブジェクトとのデータ通信接続を確立することができるように する、コンピュータ可読記憶媒体上に記憶されたトンネル・ソフトウェアであっ て、 それぞれ前記ファイアウォールの内部と外部に配置され、前記ファイアウォー ルとそれぞれ前記ファイウォールの内部と外部にある前記オブジェクトとの間の インタフェースをとるコンピュータ上で実行されるように意図された内部および 外部のプログラム・セグメントを含み、 前記内部セグメントが、前記内部コンピュータを操作してトラステッド内部オ ブジェクトのテーブルの作成と維持を行う手段と、前記ファイアウォールと共に 前記内部コンピュータを操作して前記外部セグメントに前記テーブルのコピーを 供給する手段とを含み、 前記内部セグメントが、前記外部セグメントへの専用制御接続の確立と維持を 行う手段を含み、前記専用制御接続が前記外部セグメント内のオブジェクトから 送られた要求を前記外部セグメントから前記内部セグメントに伝送するために使 用されるトンネル・ソフトウェア。 ７．コンピュータ・システム・セキュリティ・ファイアウォール（１）外部のオ ブジェクトが前記ファイアウォール内部 の選択されたオブジェクトへのデータ接続を獲得することができるようにする方 法であって、 テーブル内の各項目（３０）が選択されたオブジェクトと前記オブジェクトに 割り当てられたデータ通信ポートとそれぞれの前記ポートに割り当てられたデー タ通信プロトコルとを識別する情報を含む、前記ファイアウォール（１）内部の 選択されたオブジェクトのテーブルの作成と維持を行うステップと、 前記ファイアウォール外部に前記テーブルのコピーを設けるステップと、 外部オブジェクトに前記テーブル内の項目を構成する情報への特定のセキュリ ティ・クリアランス・アクセスを与えるステップと、 それぞれの前記外部オブジェクトに、前記外部オブジェクトに提供された情報 によって規定された前記オブジェクト、ポート、およびプロトコル・エンティテ ィへのアクセスを求める要求を発行させるステップと、 前記ファイアウォールの外部と内部のコンピュータ・システムに、各要求で識 別された特定の内部オブジェクトと前記要求を発行した外部オブジェクトとの間 にデータ伝送接続を確立させるステップとを含み、前記データ伝送接続のうちの 前記ファイアウォールの内部にあるセグメントと前記ファイアウォールを通って 延びるセグメントが前記ファイアウォールの内部の前記コンピュータ・システム の排他的制御下で形 成され、 前記ファイアウォール内部の前記コンピュータ・システムが前記ファイアウォ ール外部のコンピュータ・システムへの専用制御接続の確立と維持を行い、前記 専用制御接続が前記ファイアウォール外部の前記コンピュータ・システムから前 記ファイアウォール内部の前記コンピュータ・システムに前記要求を伝送するた めに使用される方法。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ラオ、アルン、モハン アメリカ合衆国テキサス州ダラス、シェイ ディブルック・レーン 6301 (72)発明者 ウォルターズ、グレン、ロバート アメリカ合衆国フロリダ州セブリング、ア ストリア・アベニュー 3208 【要約の続き】 すると同時に、そのような接続を行う許可に伴うセキュ リティ上のリスクを最小限にする。この機構は、ファイ アウォールの内部と外部のインターフェイス・サーバ上 で実行される特別なトンネル・アプリケーションと、内 部トンネルアプリケーションによって作成され、維持さ れる「トラステッド・ソケット」の特別なテーブルとを 含む。トラステッド・ソケット・テーブル内の項目は、 ファイアウォール内部のオブジェクトを規定し、特別な 内部ポートと、各ポートで使用される通信プロトコル と、各ポートに関連づけられたホスト・オブジェクトと から成る。各項目は、外部からファイアウォールを通過 する「トンネル」アクセス権を持つことを許可された個 人にしかわからないと考えられるという意味で「トラス テッド」である。これらのアプリケーションは、有効な テーブル項目を識別した外部要求に応答して、テーブル を使用してファイアウォールを介した接続を行う。

Claims (1)

1. 【特許請求の範囲】 １．ファイアウォールが内部領域と外部領域を規定し、前記外部領域内のオブジ ェクトが前記内部領域内のオブジェクトへのアクセスを直接開始するのを防止す るセキュリティ障壁を形成すると同時に、前記内部領域内のオブジェクトが前記 外部領域内のオブジェクトへのアクセスを直接開始し、アクセスを獲得すること を許すファイアウォール（１）を含むデータ通信ネットワークのためのトンネル 装置であって、 前記ファイアウォール（１）と前記外部領域内のオブジェクトとの間のインタ フェースをとる、前記外部領域内の外部インタフェース・コンピュータ（３）と 、 前記ファイアウォール（１）と前記内部領域内のオブジェクトとの間のインタ フェースをとる、前記内部領域内の内部インタフェース・コンピュータ（２）と 、 前記内部と外部の両方のインタフェース・コンピュータにおいて、前記外部領 域からのアクセスが許可されている前記内部領域内の所定のトラステッド・オブ ジェクトの識別情報を確認する手段と、 前記外部インタフェース・コンピュータにおいて、前記外部領域内のオブジェ クトから送られた要求に応答して、前記確認手段と協調して、前記要求が前記ト ラステッド・オブジェクトのうちの１つのオブジェクトに宛てられたものである か否かを判断し、前記要求がそのように宛てられたものであ る場合、前記要求を前記内部インタフェース・コンピュータにルーティングする 手段と、 前記内部と外部の両方のインタフェース・コンピュータにおいて、前記トラス テッド・オブジェクトのうちの前記１つのオブジェクトに宛てられた前記要求に 応答して、前記トラステッド・オブジェクトのうちの前記１つのオブジェクトと それぞれの前記要求を送った外部オブジェクトとの間のデータ通信接続を形成す る手段とを含み、前記データ通信接続のうちの前記内部領域にあるセグメントと 前記ファイアウォールを通って延びるセグメントが前記内部インタフェース・コ ンピュータの排他的制御下で形成され、前記データ通信接続のうちの前記外部イ ンタフェース・コンピュータから前記要求を送った前記オブジェクトまでのセグ メントが前記外部インタフェース・コンピュータの制御下で形成されるトンネル 装置。 ２．前記トラステッド・オブジェクトの識別情報を確認する前記手段が、前記内 部インタフェース・コンピュータにおいて、前記トラステッド・オブジェクトを リストするテーブルの作成と維持を行う手段と、前記テーブル・リストのコピー を前記ファイアウォール（１）を介して前記外部インタフェース・コンピュータ （３）に転送する手段と、前記外部インタフェース・コンピュータにおいて、前 記コピーされたテーブル・リストの記憶と参照を行う手段とを含む、請求項１に 記載のトンネル装置。 ３．前記内部インタフェース・コンピュータが、前記外部インタフェース・コン ピュータまでの専用制御接続の確立と維持を行う手段を含み、前記専用制御接続 が前記要求を前記外部インタフェース・コンピュータから前記内部インタフェー ス・コンピュータに伝送するために使用される、請求項１または２に記載のトン ネル装置。 ４．トラステッド・オブジェクトの前記テーブル内の各項目（３０）が、前記内 部領域内のオブジェクトを識別する第１の情報と、それぞれの前記オブジェクト に割り当てられたデータ通信ポートを識別する第２の情報と、前記ポートを介し てデータを伝送するために使用されるデータ通信プロトコルを識別する第３の情 報とから成る、請求項２に記載のトンネル装置。 ５．前記トラステッド・オブジェクトの識別情報を確認する前記手段と、データ 通信接続を形成する前記手段とが、 前記内部と外部の両方のインタフェース・コンピュータ内で実行され、前記確 認手段と前記形成手段を構成要素として含む、トンネル・アプリケーション・プ ログラムと、 前記要求を前記内部インタフェース・コンピュータにルーティングする前記手 段が、前記トンネル・アプリケーション・プログラムの第３の構成要素を含む、 請求項１に記載のトンネル装置。 ６．前記内部領域と外部領域がそれぞれ内部および外部のデータ通信ネットワー クを含み、前記内部および外部のインタ フェース・コンピュータが前記ファイアウォールと前記内部ネットワークおよび 外部ネットワークのノードとの間にそれぞれ接続された、請求項１に記載のトン ネル装置。 ７．ファイアウォール外部のデータ処理オブジェクトが前記ファイアウォール内 部のデータ処理オブジェクトとのデータ通信接続を確立することができるように する、コンピュータ可読記憶媒体上に記憶されたトンネル・ソフトウェアであっ て、 それぞれ前記ファイアウォールの内部と外部に配置され、前記ファイアウォー ルとそれぞれ前記ファイウォールの内部と外部にある前記オブジェクトとの間の インタフェースをとるコンピュータ上で実行されるように意図された内部および 外部のプログラム・セグメントを含み、 前記内部セグメントが、前記内部コンピュータを操作してトラステッド内部オ ブジェクトのテーブルの作成と維持を行う手段と、前記ファイアウォールと共に 前記内部コンピュータを操作して前記外部セグメントに前記テーブルのコピーを 供給する手段とを含むソフトウェア。 ８．コンピュータ・システム・セキュリティ・ファイアウォール（１）外部のオ ブジェクトが前記ファイアウォール内部の選択されたオブジェクトへのデータ接 続を獲得することができるようにする方法であって、 テーブル内の各項目（３０）が選択されたオブジェクトと前記オブジェクトに 割り当てられたデータ通信ポートとそれ ぞれの前記ポートに割り当てられたデータ通信プロトコルとを識別する情報を含 む、前記ファイアウォール（１）内部の選択されたオブジェクトのテーブルの作 成と維持を行うステップと、 前記ファイアウォール外部に前記テーブルのコピーを設けるステップと、 外部オブジェクトに前記テーブル内の項目を構成する情報への特定のセキュリ ティ・クリアランス・アクセスを与えるステップと、 それぞれの前記外部オブジェクトに、前記外部オブジェクトに提供された情報 によって規定された前記オブジェクト、ポート、およびプロトコル・エンティテ ィへのアクセスを求める要求を発行させるステップと、 前記ファイアウォールの外部と内部のコンピュータ・システムに、各要求で識 別された特定の内部オブジェクトと前記要求を発行した外部オブジェクトとの間 にデータ伝送接続を確立させるステップとを含み、前記データ伝送接続のうちの 前記ファイアウォールの内部にあるセグメントと前記ファイアウォールを通って 延びるセグメントが前記ファイアウォールの内部の前記コンピュータ・システム の排他的制御下で形成される方法。 ９．前記内部コンピュータと前記外部コンピュータとの間に専用制御接続を確立 するステップと、 前記制御接続を排他的に使用して、前記テーブル内の項目 に対応する情報を含む要求を前記外部コンピュータから前記内部コンピュータに 排他的に伝送し、前記ファイアウォールを介した前記データ接続を確立する必要 に応じて前記コンピュータ間の通信を持続させるステップとを含む、請求項８に 記載の方法。