JP2001510603A - 分散型マルチサーバ・ネットワーク環境におけるアクセス制御方法および装置 - Google Patents

Abstract

(57)【要約】 本発明は、コンピュータ・ネットワーク内におけるサービスに対するアクセス制御を行う方法および装置を含む。具体的には、本発明は、サービス管理システム、即ち、ＳＭＳを含む。ＳＭＳは、一連のクライアント・システムとルータとの間のネットワーク接続を管理する。アクセス・ネットワーク制御サーバ（ＡＮＣＳ）が、ルータのコンフィギュレーションを管理する。各ネットワーク・ユーザ毎に、ＳＭＳは、フィルタリング・ルールのプロファイルを維持する。ユーザがネットワークにアクセスしたとき、ＳＭＳはユーザのフィルタリング・プロファイルをＡＮＣＳにダウンロードする。すると、ＡＮＣＳはダウンロードしたフィルタリング・プロファイルを用いて、ルータを再構成する。次に、ルータはフィルタリング・ルールを用いて、ユーザのホスト・システムから発信し、ネットワーク・サービスに向けたＩＰパケットを選択的に送出する。

Description

【発明の詳細な説明】 分散型マルチサーバ・ネットワーク環境における アクセス制御方法および装置 発明の分野 本発明は、一般的に、コンピュータ・ネットワークにおけるセキュリティに関 する。更に特定すれば、本発明は、マルチサーバ・ネットワーク環境において適 用するための、アクセス制御を行う方法および装置に関するものである。 発明の背景 多くのコンピュータ・ネットワークでは、アプリケーションやデータのような オブジェクトに対するアクセスを制御する機能は、重要な必須要件である。ネッ トワーク・サイズの拡大ならびにネットワーク・ユーザの数および様式が増大す るにつれて、多くの場合、効果的なアクセス制御の必要性が高まっていく。アク セス制御の第１の手法は、アクセスの制御を必要とするアプリケーションにアク セス制御システムを組み込むことであった。この手法では、アプリケーションは 、ユーザの要求に応答する前に、各ユーザを認証する。実際上、この方法は、主 にアクセス制御を必要とする各アプリケーション毎に修正を行わなければならな いという事実のために、実施がいくらか困難であることがわかった。 アクセス制御の第２の手法は、プロクシ・サーバの使用である。プロクシ・サ ーバとは、ネットワーク・ユーザとアクセス制御を必要とするアプリケーション との間の仲介物(middlemen)として作用するプログラムである。ユーザがアプリ ケーションに要求を送る場合、要求は最初にプロクシ・サーバに行く。次いで、 プロクシ・サーバがユーザの要求を認証し、要求をアプリケーションに送出する か、あるいはその要求を破棄する。プロクシ・サーバを用いたアクセス制御は、 有効な方法であり、アクセス制御を必要とするアプリケーションに行わなければ ならない変更が減少する。その結果、アプリケーションに組み込むアクセス制御 システムの使用よりは、プロクシ・サーバの使用の方が好ましい場合が多い。し かしながら、ネットワークの規模が増大するにつれて、各ユーザ要求がプロクシ ・サーバを通過しなければならないので、プロクシ・サーバの使用が隘路のよう になる傾向があることは、経験が示している。 その結果、高いスループットをもたらし、アクセス制御を必要とするアプリケ ーションに対する変更を加えることなく実施可能なアクセス制御システムに対す る必要性がある。 発明の概要 本発明の好適な実施形態は、コンピュータ・システム内におけるサービスに対 するアクセスを制御する方法および装置を含む。より具体的には、本発明に好適 な環境は、一連のサーバ・システムと、一連のクライアント・システムと、１つ 以上のルータとを含むコンピュータ・ネットワークである。アクセス・ネットワ ータ制御サーバ（ＡＮＣＳ）が、ネットワーク・コンポーネントのコンフィギュ レーションを制御する。サービス管理システム（ＳＭＳ）が、動的にＡＮＣＳを 再構成する。また、ネットワークは、Internet RFC 1541に規定されている、Dyn amic Host Configuration Protocol（ＤＨＣＰ：ダイナミック・ホスト・コンフ ィギュレーション・プロトコル）を実施するＤＨＣＰサーバも含む。典型的にケ ーブル・モデムを用いるパーソナル・コンピュータであるクライアント・システ ムは、ルータに接続する。接続プロセスの一部として、各クライアント・システ ムは、ＤＨＣＰサーバから、動的に割り当てられるＩＰアドレスを受信する。 ネットワーク内において、「サービス」として知られる論理グループ内に、あ る種のソフトウエア・アプリケーションが含まれている。サービス内の各アプリ ケーションは、１つ以上のサーバ・システムから使用可能である。これらのアプ リケーションの１つにアクセスすることを望むネットワーク・ユーザは、当該ア プリケーションを含むサービスに加入する。ＳＭＳは、各サービス毎にフィルタ リング・プロファイル(filtering profile)を維持する。各フィルタリング・プ ロファイルは、１つ以上のフィルタリング・ルールを含む。各フィルタリング・ ルールは、当該サービス内のアプリケーションに向けられたＩＰパケットを送出 するように設計してある。ネットワーク・ユーザには、フィルタリング・プロフ ァイ ルのシーケンスを割り当てる。ユーザのフィルタリング・プロファイル・シーケ ンスに含まれる各フィルタリング・プロファイルは、ユーザが加入したサービス の１つに対応する。 ネットワーク・ユーザは、クライアント・システムの１つをホストとして用い て、ネットワークにログインする。ログイン・プロセスの一部として、ＳＭＳは 、パスワードまたはその他の認証方法を用いて、ユーザの認証を行う。続いて、 ＳＭＳはユーザのフィルタリング・プロファイル・シーケンスを突き止める。次 いで、ＳＭＳがユーザのフィルタリング・プロファイル・シーケンスをＡＮＣＳ にダウンロードする。ＡＮＣＳは、ダウンロードしたフィルタリング・プロファ イル・シーケンスに含まれるルールを用いて、ユーザのホスト・システムから発 信したＩＰパケットのためにパケット・フィルタを確立する。新しいパケット・ フィルタを確立するには、好ましくは、ユーザのホスト・システムにおいて発信 したＩＰパケットを送出するネットワークのコンポーネントを再構成する。例え ば、ユーザのホスト・システムをネットワークに接続するルータを再構成するこ とによって、パケット・フィルタを確立するとよい。あるいは、ユーザのホスト ・システムをルータに接続するケーブル・モデムを再構成することによって、パ ケット・フィルタを確立してもよい。 続いて、新たなパケット・フィルタは、ユーザのフィルタリング・プロファイ ル・シーケンスのルールを用いて、ユーザのホスト・システムから発信したＩＰ パケットを選択的に送出または破棄する。即ち、パケット・フィルタは、ユーザ が加入しているサービスに向けられたパケットを送出する。ユーザに使用を認証 しないサービスに向けられたパケットは、破棄する。 ここに具体化され広義に記載する本発明の目的によれば、本発明は、１つ以上 のサーバ・システムと１つ以上のクライアント・システムを含むコンピュータ・ ネットワークにおいて、サービスへのアクセス制御を行う方法であり、この方法 は、各々１つ以上のフィルタリング・ルールを含むフィルタリング・プロファイ ルを、各サービス毎に与えるステップと、ホスト・クライアント・システムを使 用しているネットワーク・ユーザのアイデンティティを確立するステップと、ネ ットワーク・ユーザのアイデンティティに応じて、１つ以上のフィルタリング・ プロファイルを選択するステップと、コンピュータ・ネットワークにおいてパケ ット・フィルタを確立し、このパケット・フィルタが、選択したプロファイルに 含まれるフィルタリング・ルールを用いて、ホスト・クライアント・システムに おいて発信し、ネットワークに含まれる１つ以上のサービスに向けたパケットを 選択的に送出するステップとから成る。 また、ここに具体化され広義に記載する本発明の目的によれば、本発明は、コ ンピュータ・プログラム製品であり、１つ以上のサーバ・システムと１つ以上の クライアント・システムを含むコンピュータ・ネットワークにおいて、サービス へのアクセス制御を行うコンピュータ読み取り可能コードを中に埋め込んだコン ピュータ使用可能媒体を備えている。このコンピュータ・プログラム製品は、コ ンピュータ・システムに、各々１つ以上のフィルタリング・ルールを含むフィル タリング・プロファイルを、各サービス毎に維持させるように構成した第１のコ ンピュータ読み取り可能プログラム・コード・デバイスと、コンピュータ・シス テムに、ホスト・クライアント・システムを使用しているネットワーク・ユーザ のアイデンティティを確立させるように構成した第２のコンピュータ読み取り可 能プログラム・コード・デバイスと、コンピュータ・システムに、ネットワーク ・ユーザのアイデンティティに応じて、１つ以上のフィルタリング・プロファイ ルを選択させるように構成した第３のコンピュータ読み取り可能プログラム・コ ード・デバイスと、コンピュータ・システムに、コンピュータ・ネットワークに おいてパケット・フィルタを確立させ、パケット・フィルタが、選択したプロフ ァイルに含まれるフィルタリング・ルールを用いて、ホスト・クライアント・シ ステムにおいて発信し、ネットワークに含まれる１つ以上のサービスに向けたパ ケットを選択的に送出するように構成した第４のコンピュータ読み取り可能プロ グラム・コード・デバイスとから成る。 本発明の利点は、部分的に、以下の続く説明に明記してあり、部分的に、当業 者はその説明から理解し、あるいは本発明の実施によって把握することができよ う。本発明の利点は、特許請求の範囲に特定的に指摘する要素および組み合わせ 、ならびにその均等物によって、実現しかつ達成されよう。 図面の簡単な説明 添付図面は、本明細書に組み込んでその一部を構成するものであり、本発明の いくつかの実施形態を例示し、その記述と共に、本発明の原理を説明する役割を 担う。 図１は、本発明の好適な実施形態の代表的な環境として示す、コンピュータ・ ネットワークのブロック図である。 図２は、本発明の好適な実施形態が使用する、アクセス・ネットワーク制御サ ーバ（ＡＮＣＳ）のブロック図である。 図３は、本発明の好適な実施形熊が使用するサービス管理システム（ＳＭＳ） のブロック図である。 図４は、本発明の好適な実施形態において用いるフィルタリング・プロファイ ルのブロック図である。 図５は、本発明の好適な実施形態において用いるフィルタリング・ルールのブ ロック図である。 図６は、本発明が提供するサービスに関連するフィルタリング・プロファイル の一例を示すブロック図である。 図７は、ネットワーク・ユーザと本発明が提供する一連のフィルタリング・プ ロファイルとの間の対応を示すブロック図である。 図８は、コンピュータ・ネットワークにおいてアクセス制御を行う方法の好適 な実施形態に関連するステップを示すフローチャートである。 好適な実施形態の詳細な説明 これより本発明の好適な実施形態について詳細に説明し、その例を添付図面に 示す。可能なときはいつでも、図面全体を通じて同一の参照番号を用いて同一ま たは同様の部分に言及することとする。 図１は、本発明の代表的な環境としてのコンピュータ・ネットワーク１００を 示す。構造的に、コンピュータ・ネットワーク１００は、一連のクライアント・ ステム１０２を含み、その内、クライアント・システム１０２ａないし１０２ｆ を示す。各クライアント・システム１０２は、図１に示すパーソナル・コンピ ュータを含むがこれらには限定されない、異なるデバイスの範囲から選択するこ とができる。好ましくは、各クライアント・システム１０２にはケーブル・モデ ム１０４を接続する。一方、各ケーブル・モデム１０４は、ケーブル・ルータ１ ０６に接続してある。ケーブル・ルータ１０６およびケーブル・モデム１０４の 使用も、一例であることを意図するものであり、他のネットワーク構築技術や接 続形態も同様に実用的であることは認められよう。また、種々の製造業者から多 数の異なるケーブル・モデムやケーブル・ルータが入手可能であることも認めら れよう。具体的には、ケーブル・モデム１０４は、CyberSUFRケーブル・モデム であり、ケーブル・ルータ１０６はCableMASTRケーブル・ルータとすることがで きる。これらは、双方ともMotorola,Inc.（モトローラ社）が供給する。 また、ネットワーク１００は、一連のサーバ・システム１０８も含む。その内 、サーバ・システム１０８ａないし１０８ｃを示す。各サーバ・システム１０８ は、ケーブル・ルータに接続してある。総じて、サーバ・システム１０８は、コ ンピュータ・ネットワーク内において見ることができる広い範囲のサーバ・シス テムを表すことを意図している。 ＤＨＣＰサーバ・システム１１０もコンピュータ・ネットワーク１００には含 ませてあり、ケーブル・ルータ１０６に接続してある。ＤＨＣＰサーバ・システ ム１１０は、ダイナミック・ホスト・コンフィギュレーション・プロトコル（Ｄ ＨＣＰ）を実装した、コンピュータまたはその他のシステムである。機能的には 、ＤＨＣＰサーバ・システム１１０は、ネットワーク１００内においてＩＰアド レスの割り当てを行う。クライアント・システム１０２が最初にケーブル・ルー タ１０６に接続するとき、各クライアント・システム１０２は、ＩＰアドレスを 要求し、ＤＨＣＰサーバ・システム１１０からこれを受信する。図１は１つのＤ ＨＣＰサーバ・システム１１０を示すだけであるが、本発明の精神から逸脱する ことなく、追加のＤＨＣＰサーバ・システム１１０も使用可能であることは理解 されよう。 また、コンピュータ・ネットワーク１００は、アクセス・ネットワーク制御サ ーバ（ＡＮＣＳ）１１２およびサービス管理システム（ＳＭＳ）１１４も含む。 ＡＮＳＣ１１２およびＳＭＳ１１４は、ケーブル・ルータ１０６に接続している 。 ＡＮＣＳ１１２は、図２に更に詳細に示しており、コンピュータ・システム２０ ２を含む。一方、コンピュータ・システム２０２は、プロセッサまたは複数のプ ロセッサ２０４、およびメモリ２０６を含む。入力デバイス２０８および出力デ バイス２１０が、コンピュータ・システム２０２に接続してあり、ディスク・ド ライブ、キーボード、モデム、ネットワーク・アダプタ、プリンタおよびディス プレイのような、広範囲に及ぶ様々なＩ／Ｏデバイスを表す。ディスク・ドライ ブ２１２は、任意の適切なディスク・ドライブ形式のものであり、コンピュータ ・システム２０２に接続した状態を示す。ＡＮＣＳプロセス２１４は、コンピュ ータ・システム２０２のメモリ２０６内に位置するものとして示す。 図３にＳＭＳ１１４を更に詳細に示す。ＳＭＳ１１４はコンピュータ・システ ム３０２を含む。一方、コンピュータ・システム３０２は、プロセッサまたは複 数のプロセッサ３０４、およびメモリ３０６を含む。入力デバイス３０８および 出力デバイス３１０が、コンピュータ・システム３０２に接続してあり、ディス ク・ドライブ、キーボード、モデム、ネットワーク・アダプタ、プリンタおよび ディスプレイのような、広範囲に及ぶ様々なＩ／Ｏデバイスを表す。ディスク・ ドライブ３１２は、任意の適切なディスク・ドライブ形式のものであり、コンピ ュータ・システム３０２に接続した状態を示す。ＳＭＳプロセス３１４およびフ ィルタリング・プロファイル・データベース３１６は、コンピュータ・システム ３０２のメモリ３０６に位置するものとして示す。図１では、ＡＮＳＣ１１２お よびＳＭＳ１１４は別個のエンティティとして示す。しかしながら、本発明は、 ＡＮＣＳ１１２およびＳＭＳ１１４が、ＡＮＣＳプロセス２１４、ＳＭＳプロセ ス３１４およびフィルタリング・プロファイル・データベース３１６を含む単一 のコンピュータ・システムを用いて実施し得ることを、明確に予期することは認 められよう。 ネットワーク１００内には、サービスとして知られる論理グループ単位で、あ る種のソフトウエア・アプリケーションを含ませてある。一例として、ネットワ ーク１００は、スポーツ・イベントの連続的な更新を行うアプリケーションを含 むことができる。このアプリケーションは、スポーツ・ニュース・サービスに含 ませることができる。特定のアプリケーションを使用することを望むネットワー ク・ユーザは、そのアプリケーションを含むサービスに加入する。したがって、 ユーザがスポーツ・イベントの連続更新を得たい場合は、スポーツ・ニュース・ サービスに加入することになろう。通常、あるサービスに含まれるアプリケーシ ョンは、ネットワーク１００に含まれる１つ以上のサーバ・システム１０８から 入手することができる。人気のあるサービスは、通常、多数のサーバ・システム １０８から入手可能であるが、人気のないサービスは、単一のサーバ・システム １０８のみからしか入手できないこともあり得る。 ＳＭＳ１１４内では、各サービスが、図４に示し、全体として４００と付番し た形式のフィルタリング・プロファイルを有する。フィルタリング・プロファイ ル４００は、プロファイルｉｄ４０２、および一連のフィルタリング・ルールを 含む。フィルタリング・ルールの内、４０４ａないし４０４ｃを示す。フィルタ リング・プロファイル４００に含ませてあるフィルタリング・ルール４０４は、 図５を参照することによってより良く理解されよう。図５において、各フィルタ リング・ルール４０４がアクション５００を含むことがわかる。アクション５０ ０は、特定のフィルタリング・ルール４０４と一致したＩＰパケットの処置を指 定する。即ち、アクション５００は、一致したＩＰパケットを送出すること、ま たは一致したＩＰパケットを破棄することを示すことができる。また、フィルタ リング・ルール４０４は、宛先ＩＰアドレス５０２および宛先ＩＰマスク５０４ も含む。宛先ＩＰアドレス５０２は、ＩＰパケットのヘッダに含まれる宛先アド レスに対応する。宛先ＩＰマスク５０４は、宛先ＩＰアドレス５０２と同様であ るが、ある範囲の宛先アドレスに対応する。特定のフィルタリング・ルール４０ ４に一致するには、ＩＰパケットは、フィルタリング・ルール４０４に含まれる 宛先アドレス５０２と一致する宛先アドレスを有するか、あるいはフィルタリン グ・ルール４０４の宛先アドレス・マスク５０４の範囲に含まれる宛先アドレス を有していなければならない。 また、フィルタリング・ルール４０４は、プロトコル・タイプ５０６も含む。 プロトコル・タイプ５０６は、ＩＰパケットのプロトコル・タイプに対応する。 したがって、各フィルタリング・ルール４０４のプロトコル・タイプ５０６は、 ＴＣＰ、ＵＤＰ、ＩＣＭＰ等のような、ＩＰパケット・タイプに対応する値を有 する。特定のフィルタリング・ルール４０４に一致するには、ＩＰパケットは、 フィルタリング・ルール４０４に含まれるプロトコル・タイプ５０６と一致する プロトコル・タイプを有していなければならない。 最後に、図示の実施例では、フィルタリング・ルール４０４は、先頭ポート番 号５０８および最終ポート番号５１０を含む。先頭ポート番号５０８および最終 ポート番号５１０は、ＵＤＰやＴＣＰのような、ある種のプロトコルが用いるタ イプのある範囲のポート番号を規定する。特定のフィルタリング・ルール４０４ に一致するには、これらのタイプの１つのＩＰパケットは、先頭ポート番号５０ ８および最終ポート番号５１０が規定する範囲内に該当するポート番号を有して いなければならない。 図６に、一例としてのスポーツ・ニュース・サービスに対するフィルタリング ・プロファイル４００の一例を示す。即ち、図６において、フィルタリング・プ ロファイル４００は、２つのフィルタリング・ルール、それぞれ、４０４ａおよ び４０４ｂを含む。フィルタリング・ルール４０４ａは、当該フィルタリング・ ルール４０４ａと一致するＩＰパケットを送出することを示すアクション５００ を含む。加えて、フィルタリング・ルール４０４ａは、サーバ・システム１０８ ａのＩＰアドレスに対応する宛先アドレス５０２を含む。フィルタリング・ルー ル４０４ａの宛先アドレス・マスク５０４は２５５．２５５．２５５．２５５に セットしてあり、フィルタリング・ルール４０４ａのプロトコル・タイプ５０６ はＵＤＰにセットしてある。最後に、フィルタリング・ルール４０４ａの先頭ポ ート番号５０８および最終ポート番号５１０は、双方共６６にセットしてある。 フィルタリング・ルール４０４ｂでは、当該フィルタリング・ルール４０４ｂ と一致するＩＰパケットを送出することを示すアクション５００を含む。加えて 、フィルタリング・ルール４０４ｂは、サーバ・システム１０８ｃのＩＰアドレ スに対応する宛先アドレス５０２を含む。フィルタリング・ルール４０４ｂの宛 先アドレス・マスク５０４は２５５．２５５．２５５．２５５にセットしてあり 、フィルタリング・ルール４０４ｂのプロトコル・タイプ５０６はＵＤＰにセッ トしてある。最後に、フィルタリング・ルール４０４ｂの先頭ポート番号５０８ および最終ポート番号５１０は、双方とも９９にセットしてある。 これまでの説明に基づいて、スポーツ・ニュース・サービスは、サーバ・シス テム１０８ａおよび１０８ｃから入手可能であると結論付けることができる。ス ポーツ・イベントの連続更新を提供するアプリケーションには、ＵＤＰプロトコ ルを用いてアクセスする。サーバ・システム１０８ａの場合、ポート６６を用い てアプリケーションにアクセスする。サーバ・システム１０８ｃの場合、９９を ポート・アドレスに用いる。 ＳＭＳ１１４内においては、各ネットワーク・ユーザはフィルタリング・プロ ファイル・シーケンスを有する。これらのフィルタリング・プロファイル４００ は、フィルタリング・プロファイル・データベース３１６に維持してあり、ネッ トワーク１００内におけるユーザのアイデンティティを用いて、ＳＭＳ１１４に よって検索可能となっている。ユーザのフィルタリング・プロファイル・シーケ ンスに含まれるフィルタリング・プロファイル４００は、ユーザが加入するサー ビスに対応する。したがって、ユーザがスポーツ・ニュース・イベントに加入し ようとする場合、彼のフィルタリング・プロファイル・シーケンスは、図６に示 すフィルタリング・プロファイル４００を含むことになる。また、ユーザのフィ ルタリング・プロファイル・シーケンスは、ユーザが加入する他のあらゆるサー ビスのフィルタリング・プロファイルも含む。 ネットワーク・ユーザとフィルタリング・プロファイル４００との関連は、図 ７を参照することにより、一層良く理解できよう。図７において、フィルタリン グ・プロファイル・データベースのインデックス７００を示す。インデックス７ ００は、各ネットワーク・ユーザ毎に１つのエントリ７０２を有する。各エント リ７０２は、ネットワーク・ユーザが加入するサービスに対応するフィルタリン グ・プロファイル４００を参照する。したがって、エントリ７０２ａは、フィル タリング・プロファイル４００ａおよび４００ｂを参照する。これによって、ネ ットワーク・ユーザに関連する一連のフィルタリング・プロファイルを検索する ことが可能となる。 アクセス制御の好適な実施形態を図８の方法８００に示す。方法８００は、Ｓ ＭＳ１１４およびＡＮＣＳ１１２が実行するステップを含む。便宜上、これらの ステップを、ＳＭＳコンテキスト８０２およびＡＮＣＳコンテキスト８０４に分 類する。方法８００は、ステップ８０６にて開始し、ここでＳＭＳ１１４はネッ トワーク・ユーザを認証する。即ち、本発明の好適な実施形態では、ユーザは、 ホスト・クライアント・システム１０２を用いることによって、ネットワーク１ ００にアクセスする。ネットワーク１００の誤使用を防ぐために、ＳＭＳ１１４ は、パスワードまたはその他の認証方式を用いて、各ユーザを認証する。また、 認証プロセスは、ＳＭＳ１１４にユーザのアイデンティティも通知する。ステッ プ８０６は、一般的な意味において、ＳＭＳ１１４がネットワーク・ユーザを認 証し識別するために実行する方法および手順に対応する。 続くステップ８０８では、ＳＭＳ１１４は、フィルタリング・プロファイル・ データベース３１６においてユーザのフィルタリング・プロファイル・シーケン スを突き止める。通常、このステップを実行するには、ユーザのアイデンティテ ィを探索キーとして用い、フィルタリング・プロファイル・データベース３１６ のインデックス７００を探索する。ユーザのアイデンティティは、例えば、ユー ザの氏名または識別番号とすればよい。場合によっては、新たなユーザの場合の ように、標準化したテンプレートを用いて、デフォルトのフィルタリング・プロ ファイル・シーケンスを生成することも可能である。 ステップ８０８に続くステップ８１０では、ＳＭＳ１１４がユーザのフィルタ リング・プロファイル・シーケンスをＡＮＣＳ１１２にダウンロードする。同時 に、ＳＭＳ１１４は、ユーザのホスト・システム１０２のＩＰアドレスをＡＮＣ Ｓ１１２に渡す。続くステップでは、ＡＮＣＳ１１２は、ユーザのフィルタリン グ・プロファイル・シーケンスに含まれるフィルタリング・ルール４０４の各々 を用いて、ユーザのホスト・システム１０２から発信するＩＰパケットのために 、パケット・フィルタを確立する。パケット・フィルタを確立するには、ユーザ のホスト・システム１０２において発信するパケットを送出する、ネットワーク １００の１つ以上のコンポーネントを再構成する。例えば、場合によっては、ユ ーザのホスト・システム１０２に接続してあるモデム１０４を再構成することに よって、パケット・フィルタを確立することができる。あるいは、ルータ１０６ を再構成することによって、パケット・フィルタを確立することもできる。好ま しくは、ＡＮＣＳ１１２は、ネットワーク１００のコンポーネントと組み合わせ て 使用可能な標準化したプロトコルを用いて、ネットワーク・コンポーネントの再 構成を行う。 続いて、ＡＮＣＳ１１２によって確立したパケット・フィルタを用いて、ユー ザのホスト・システム１０２から発信したＩＰパケットにフィルタ処理を行い、 ユーザが加入するサービスに向けたパケットを許可する。即ち、ＳＭＳ１１４に よって確立したパケット・フィルタは、ユーザのホスト・システム１０２におい て発信した各ＩＰパケットを検査する。この評価の一部として、パケット・フィ ルタはユーザのフィルタリング・プロファイル・シーケンスに含まれる最初のフ ィルタリング・ルール４０４から開始する。この最初のフィルタリング・ルール ４０４を、ＩＰパケットのＩＰヘッダと比較する。宛先ＩＰアドレス５０２、宛 先ＩＰマスク５０４、プロトコル・タイプ５０６、ならびに先頭ポート番号５０ ８および最終ポート番号５１０によって規定した範囲が全てＩＰパケットのヘッ ダと一致した場合、フィルタリング・ルール４０４はＩＰパケットと一致したこ とになる。次いで、パケット・フィルタは、フィルタリング・ルール４０４に含 まれるアクション５００を適用する。ユーザのフィルタリング・プロファイル・ シーケンスに含まれる最初のフィルタリング・ルール４０４が一致しない場合、 残りのフィルタリング・ルール４０４を順に試す。一致するフィルタリング・ル ールがない場合、ＩＰパケットを破棄する。 続いて、ユーザは、彼または彼女が加入するサービスを変更することができる 。この場合、ＳＭＳ１１４は、ユーザのフィルタリング・プロファイルを再度Ａ ＮＳＣ１１２にダウンロードして、ＡＮＣＳ１１２がネットワーク１００を再構 成し、ユーザの新しい加入を反映することを可能にする。また、サーバ・システ ム１０８を追加した場合や、使用できなくなった場合、あるいはネットワーク１ ００内部の他の任意の関連事象に応答して、ユーザのフィルタリング・プロファ イルを再度ダウンロードすることも可能である。 ここに開示した本発明の明細書の検討および実施から、当業者にはその他の実 施形態も明白となろう。明細書および例は、単なる例に過ぎず、本発明の真の範 囲は、以下の請求の範囲および均等物によって示すことを意図するものである。

【手続補正書】特許法第１８４条の８第１項 【提出日】平成１０年７月６日（１９９８．７．６） 【補正内容】 請求の範囲 １５．１つ以上のサーバ・システムと１つ以上のクライアント・システムを含む コンピュータ・ネットワークにおいて、サービスへのアクセス制御を行う装置で あって、 各サービス毎のフィルタリング・プロファイルであって、各々１つ以上のフィ ルタリング・ルールを含むフィルタリング・プロファイルと、 コンピュータ・システムに、ホスト・クライアント・システムを使用している ネットワーク・ユーザのアイデンティティを確立させるように構成した第１部分 と、 コンピュータ・システムに、前記ネットワーク・ユーザのアイデンティティに 応じて、１つ以上のフィルタリング・プロファイルを選択させるように構成した 第２部分と、 コンピュータ・システムに、前記コンピュータ・ネットワークにおいてパケッ ト・フィルタを確立させ、該パケット・フィルタが、前記選択したプロファイル に含まれる前記フィルタリング・ルールを用いて、前記ホスト・クライアント・ システムにおいて発信し、前記ネットワークに含まれる１つ以上のサービスに向 けたパケットを選択的に送出するように構成した第３部分と、 から成ることを特徴とする装置。 １６．請求項１５記載の装置において、前記コンピュータ・ネットワークがルー タを含み、前記第３部分が、コンピュータ・システムに、前記ルータを再構成さ せ、前記選択したプロファイルに含まれる前記フィルタ・ルールに応じて、前記 ホスト・クライアントにおいて発信したパケットを選択的に送出させるように構 成した第４部分を含むことを特徴とする装置。 １７．請求項１５記載の装置において、ケーブル・モデムを用いて前記ホスト・ クライアント・システムを前記ネットワークに接続し、前記第３部分が、コンピ ュータ・システムに、前記ケーブル・モデムを再構成させ、前記選択したプロフ ァイルに含まれる前記フィルタリング・ルールに応じて、前記ホスト・クライア ントにおいて発信したパケットを選択的に送出させるように構成した第４部分を 含むことを特徴とする装置。 １８．請求項１５記載の装置において、前記第２部分が、コンピュータ・システ ムに、データベースから前記フィルタリング・プロファイルを選択させるように 構成した第５部分を含むことを特徴とする装置。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 リム，スウィー・ビー アメリカ合衆国カリフォルニア州95014, クーパーチノ，ティンバー・スプリング・ コート 11691 (72)発明者 ツィリゴティス，パナジオティス アメリカ合衆国カリフォルニア州94040, マウンテン・ビュー，ウエスト・エル・カ ミノ・リアル 801 ナンバー 142 (72)発明者 ゴードマン，ロバート アメリカ合衆国カリフォルニア州94303, パロ・アルト，ホリー・オーク・ドライブ 755

Claims (1)

1. 【特許請求の範囲】 １．１つ以上のサーバ・システムと１つ以上のクライアント・システムを含むコ ンピュータ・ネットワークにおいて、サービスへのアクセス制御を行う方法であ って、 各々１つ以上のフィルタリング・ルールを含むフィルタリング・プロファイル を、各サービス毎に与えるステップと、 ホスト・クライアント・システムを使用しているネットワーク・ユーザのアイ デンティティを確立するステップと、 前記ネットワーク・ユーザのアイデンティティに応じて、１つ以上のフィルタ リング・プロファイルを選択するステップと、 前記コンピュータ・ネットワークにおいてパケット・フィルタを確立し、該パ ケット・フィルタが、前記選択したプロファイルに含まれる前記フィルタリング ・ルールを用いて、前記ホスト・クライアント・システムにおいて発信し、前記 ネットワークに含まれる１つ以上のサービスに向けたパケットを選択的に送出す るステップと、 から成ることを特徴とする方法。 ２．請求項１記載の方法において、前記コンピュータ・ネットワークがルータを 含み、パケット・フィルタを確立する前記ステップが、前記ルータを再構成し、 前記選択したプロファイルに含まれる前記フィルタリング・ルールに応じて、前 記ホスト・クライアント・システムにおいて発信したパケットを選択的に送出す るステップを含むことを特徴とする方法。 ３．請求項１記載の方法において、ケーブル・モデムを用いて前記ホスト・クラ イアント・システムを前記ネットワークに接続し、その際、パケット・フィルタ を確立する前記ステップが、前記ケーブル・モデムを再構成し、前記選択したプ ロファイルに含まれる前記フィルタリング・ルールに応じて、前記ホスト・クラ イアント・システムにおいて発信したパケットを選択的に送出するステップを含 むことを特徴とする方法。 ４．請求項１記載の方法において、１つ以上のフィルタリング・プロファイルを 与える前記ステップが、更に、データベースから前記フィルタリング・プロファ イルを選択するステップを含むことを特徴とする方法。 ５．請求項１記載の方法において、各サービスが１つ以上のアプリケーションを 含み、各アプリケーションが１つ以上のサーバ・システム上に位置し、各サービ スに対する前記フィルタリング・プロファイルが、１つ以上のフィルタリング・ ルールを含み、前記サービスのアプリケーションが位置するサーバに向けたパケ ットを選択的に送出することを特徴とする方法。 ６．請求項１記載の方法において、各フィルタリング・ルールが、プロトコル・ タイプを含み、該プロトコル・タイプが、前記サービスの１つにメッセージを送 るために用いるプロトコルに対応することを特徴とする方法。 ７．請求項１記載の方法において、各フィルタリング・ルールが宛先アドレスを 含み、該宛先アドレスが、前記サーバ・システムの１つのＩＰアドレスに対応す ることを特徴とする方法。 ８．請求項５記載の方法において、各フィルタリング・ルールが宛先マスクを含 むことを特徴とする方法。 ９．請求項５記載の方法において、各フィルタリング・ルールが、ある範囲の宛 先ポート番号を含むことを特徴とする方法。 １０．請求項５記載の方法において、前記ネットワーク・ユーザのアイデンティ ティに応じて１つ以上のフィルタリング・プロファイルを選択する前記ステップ が、前記ユーザが加入者であるサービスに対応するフィルタリング・プロファイ ルを選択することを特徴とする方法。 １１．コンピュータ・プログラム製品であって、 １つ以上のサーバ・システムと１つ以上のクライアント・システムを含むコン ピュータ・ネットワークにおいて、サービスへのアクセス制御を行うコンピュー タ読み取り可能コードを中に埋め込んだコンピュータ使用可能媒体を備え、前記 コンピュータ・プログラム製品が、 コンピュータ・システムに、各々１つ以上のフィルタリング・ルールを含むフ ィルタリング・プロファイルを、各サービス毎に維持させるように構成した第１ のコンピュータ読み取り可能プログラム・コード・デバイスと、 コンピュータ・システムに、ホスト・クライアント・システムを使用している ネットワーク・ユーザのアイデンティティを確立させるように構成した第２のコ ンピュータ読み取り可能プログラム・コード・デバイスと、 コンピュータ・システムに、前記ネットワーク・ユーザのアイデンティティに 応じて、１つ以上のフィルタリング・プロファイルを選択させるように構成した 第３のコンピュータ読み取り可能プログラム・コード・デバイスと、 コンピュータ・システムに、前記コンピュータ・ネットワークにおいてパケッ ト・フィルタを確立させ、該パケット・フィルタが、前記選択したプロファイル に含まれる前記フィルタリング・ルールを用いて、前記ホスト・クライアント・ システムにおいて発信し、前記ネットワークに含まれる１つ以上のサービスに向 けたパケットを選択的に送出するように構成した第４のコンピュータ読み取り可 能プログラム・コード・デバイスと、 から成ることを特徴とするコンピュータ・プログラム製品。 １２．請求項１１記載のコンピュータ・プログラム製品において、前記コンピュ ータ・ネットワークがルータを含み、その際、前記第４のコンピュータ読み取り 可能プログラム・コード・デバイスが、コンピュータ・システムに、前記ルータ を再構成させ、前記選択したプロファイルに含まれる前記フィルタリング・ルー ルに応じて、前記ホスト・クライアント・システムにおいて発信したパケットを 選択的に送出させるように構成したコンピュータ読み取り可能プログラム・コー ド・デバイスを含むことを特徴とするコンピュータ・プログラム製品。 １３．請求項１１記載のコンピュータ・プログラム製品において、ケーブル・モ デムを用いて前記ホスト・クライアント・システムを前記ネットワークに接続し 、前記第４のコンピュータ読み取り可能プログラム・コード・デバイスが、コン ピュータ・システムに、前記ケーブル・モデムを再構成させ、前記選択したプロ ファイルに含まれる前記フィルタリング・ルールに応じて、前記ホスト・クライ アント・システムにおいて発信したパケットを選択的に送出させるように構成し たコンピュータ読み取り可能プログラム・コード・デバイスを含むことを特徴と するコンピュータ・プログラム製品。 １４．請求項８記載のコンピュータ・プログラム製品において、前記第３のコン ピュータ読み取り可能プログラム・コード・デバイスが、更に、コンピュータ・ システムに、データベースから前記フィルタリング・プロファイルを選択させる ように構成したコンピュータ読み取り可能プログラム・コード・デバイスを含む ことを特徴とするコンピュータ・プログラム製品。 １５．１つ以上のサーバ・システムと１つ以上のクライアント・システムを含む コンピュータ・ネットワークにおいて、サービスへのアクセス制御を行う装置で あって、 各サービス毎のフィルタリング・プロファイルであって、各々１つ以上のフィ ルタリング・ルールを含むフィルタリング・プロファイルと、 コンピュータ・システムに、ホスト・クライアント・システムを使用している ネットワーク・ユーザのアイデンティティを確立させるように構成した第１部分 と、 コンピュータ・システムに、前記ネットワーク・ユーザのアイデンティティに 応じて、１つ以上のフィルタリング・プロファイルを選択させるように構成した 第２部分と、 コンピュータ・システムに、前記コンピュータ・ネットワークにおいてパケッ ト・フィルタを確立させ、該パケット・フィルタが、前記選択したプロファイル に含まれる前記フィルタリング・ルールを用いて、前記ホスト・クライアント・ システムにおいて発信し、前記ネットワークに含まれる１つ以上のサービスに向 けたパケットを選択的に送出するように構成した第３部分と、 から成ることを特徴とする装置。 １６．請求項１５記載の装置において、前記コンピュータ・ネットワークがルー タを含み、前記第３部分が、コンピュータ・システムに、前記ルータを再構成さ せ、前記選択したプロファイルに含まれる前記フィルタリング・ルールに応じて 、前記ホスト・クライアント・システムにおいて発信したパケットを選択的に送 出させるように構成した第４部分を含むことを特徴とする装置。 １７．請求項１５記載の装置において、ケーブル・モデムを用いて前記ホスト・ クライアント・システムを前記ネットワークに接続し、前記第３部分が、コンピ ュータ・システムに、前記ケーブル・モデムを再構成させ、前記選択したプロフ ァイルに含まれる前記フィルタリング・ルールに応じて、前記ホスト・クライア ント・システムにおいて発信したパケットを選択的に送出させるように構成した 第４部分を含むことを特徴とする装置。 １８．請求項１５記載の装置において、前記第２部分が、コンピュータ・システ ムに、データベースから前記フィルタリング・プロファイルを選択させるように 構成した第４部分を含むことを特徴とする装置。