JP2004362594A - 外部ネットワークデバイスを自動的に発見および構成する方法 - Google Patents

Abstract

【課題】 既存のネットワーク環境に対応し、適切なハードウェアまたはソフトウェアソリューションの動的な検出および構成を包含する安全なネットワークトポロジを発見および構成するための改良されたシステムおよび方法を提供すること。
【解決手段】 本発明の実施形態では、ハードウェアデバイス発見を実現するためにブロードキャスト機構が使用され、一方、アプリケーションプログラミングインターフェースがソフトウェアファイアウォールの発見を実現する。他の実施形態では、ゲートウェイデバイスの構成が変化しないことを保証するために、ポーリング技法が使用される。そのような変化は、保護されたネットワークを危うくする。
【選択図】 図２

Description

本発明は、一般に、ネットワークセキュリティ機構を自動的に発見（ｄｉｓｃｏｖｅｒｙ）および構成するためのシステムおよび方法に関し、より詳細には、ネットワークゲートウェイサーバに対して使用可能なハードウェアファイアウォール機構とソフトウェアファイアウォール機構の双方を発見する能力を動的に組み合わせ、およびネットワークを安全なものとするために外部のネットワークゲートウェイデバイスまたはサーバソフトウェアを自動的に構成するシステムおよび方法に関する。

コンピュータネットワークが私的、商業的、公共団体的、行政的な状況、ならびに他の状況でより一般的になるにつれて、ローカルネットワークを外部エンティティからの潜入および攻撃に対して安全なものとする必要がますます重要になっている。たとえば、ローカルネットワークは通常、ゲートウェイ、または他のエンティティを有し、これを介してローカルネットワーク上のクライアントがインターネットなど広域ネットワーク（ＷＡＮ）にアクセスすることができる。この構成とすることは、多くの点で有利である。たとえば、商業で設定される状況では、企業は、その従業員がビジネスのためにインターネットにアクセスすることが必要かもしれないが、そのアクセスを管理または監視する必要があるかもしれない。ゲートウェイは、そのような管理、または監視の機能を果たすことができる。さらに、ローカルネットワーク上のコンピュータすべてがたった１つの、あっても数個のポータルを介してインターネットに接しているだけなので、ネットワーク管理者は、インターネットからローカルネットワークを侵害する脅威または疑わしい活動をより容易に監視することができる。

インターネットゲートウェイデバイス（ＩＧＤ）などハードウェアゲートウェイデバイスは、たとえばゲートウェイとして働くサーバ上で展開されることがあるソフトウェアゲートウェイよりも、むしろ好まれてきている。この点でハードウェアデバイスが現在優勢であるのには多くの理由があるが、ハードウェアゲートウェイデバイスの主な利点には、獲得コストおよび展開のコストが低い点が含まれる。

しかしながら、そのようなハードウェアゲートウェイ、または他のハードウェアの出入力点は、それらがまず識別され、適正に構成されない限り、ローカルネットワークを守り、または監視するために適正に動作することができない。具体的には、ネットワーク環境は、構造およびレイアウトの点で非常に様々であり、疑わしいと見なすことができる通信の種類もまた、ネットワーク環境により異なる。そのため、ハードウェアネットワークゲートウェイや、ローカルネットワークへの他のハードウェアアクセスポイントは、典型的には、サービスに移行される前に、設置の際に構成される。現在、ハードウェアゲートウェイの発見および構成、ならびにそのようなデバイスの再構成は、手動で行われている。たとえば、ネットワーク管理者は、新たに設置されるデバイスを知ることができ、ローカルネットワークの上で構成アプリケーションを介するなどより、そのデバイスと実際に通信し、それを構成する。これには、管理者が、展開されているハードウェアゲートウェイについて知っていることが必要なだけでなく、さらに各デバイスの特定の構成ルーチンおよび要件に関しても理解できなければならないことが必要である。

本発明の実施形態では、ある構成システムおよび方法により、ソフトウェアまたはハードウェアのファイアウォールソリューション間での動的選択、および両ソリューションのシームレスな自動構成が可能になる。具体的には、外部デバイスを発見するためにＵＰｎＰアーキテクチャに影響を与える一方、ソフトウェアソリューションの場合には、パブリックなアプリケーションプログラミングインターフェース（ＡＰＩ）が使用される。どちらの場合でも、構成情報は、同じ２つの技法（ＵＰｎＰまたはパブリックＡＰＩ）を介して交換することができる。ある構成システムおよび方法により、インターネットゲートウェイデバイスを簡単に発見および構成することができる。具体的には、外部デバイスを発見し、そのようなデバイスについて構成情報を交換するためにユニバーサルプラグアンドプレイ（ＵＰｎＰ）アーキテクチャを利用する。さらに、動的ホスト構成プロトコル（ＤＨＣＰ）が標的デバイス上で実施されている場合は、構成中に本発明の実施形態内でこのプロトコルを使用することができる。

ネットワークを安全なものとするためのサービスの選択には、他のネットワークデバイスをも発見するために、ＵＰｎＰを使用し、ローカルデバイスを超えて探索すること、および、ＡＰＩを使用し、ホストマシンにとって使用可能なソフトウェア機能を発見することが含まれる。本発明の実施形態では、デバイス発見を容易にするためにブロードキャスト機構が使用され、一方、それに対応するソフトウェア機能の発見を実行するためにＡＰＩが使用される。発見／構成プロセスは、本発明の実施形態で３つの一般的なステップを含む。まず、ハードウェアソリューションについてＵＰｎＰを、またソフトウェアソリューションについてＡＰＩを使用して、デバイスおよびソフトウェアが発見される。次に、ハードウェアの場合、デバイスが、発見されたユニットにその識別、機能などを送信し、一方ソフトウェアの場合、追加のＡＰＩ呼出しにより、そのソフトウェアファイアウォールの機能および現在の構成を決定することができる。最後に、ハードウェアまたはソフトウェアソリューションが構成される。ハードウェアの場合、デバイスを構成するために、送信されたデバイス情報が使用され、一方ソフトウェアの場合、収集された構成情報に基づいてソフトウェアを構成するためにＡＰＩが使用される。本発明の一実施形態では、デバイスまたはソフトウェアの構成が変化しないこと、さもなくば変化した場合には前の状態に迅速にリセットできることを保証するために、ポーリング機構が使用される。

本発明の他の特徴および利点は、添付の図面を参照しながら進む以下の例示的な実施形態の詳細な説明から明らかになるであろう。

添付の特許請求の範囲は、本発明の特徴について詳しく述べているが、本発明、ならびにその目的および利点は、以下の詳細な説明を添付の図面と併せ読めば、よりよく理解することができる。

図面を参照すると、本発明が好適なコンピューティング環境内で実施されて示されており、ここで同じ参照番号は同じ要素を指す。必要ではないが、本発明については、コンピュータによって実行されるプログラムモジュールなどコンピュータ実行可能命令の一般的なコンテクストで述べる。一般に、プログラムモジュールは、特定のタスクを実行する、あるいは特定の抽象データタイプを実施するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。さらに、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサをベースとする、またはプログラム可能な家電、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどを含めて、他のコンピュータシステム構成と共に本発明を実施することができることを、当業者であれば理解することができるであろう。本発明は、通信ネットワークを介してリンクされている遠隔処理デバイスによってタスクが実行される分散コンピューティング環境で実施することができる。分散コンピューティング環境では、プログラムモジュールは、ローカルと遠隔の双方のメモリ記憶デバイス内に配置される可能性がある。

この説明は、本発明を実施するための例示的なシステムで使用することができる汎用コンピューティングデバイスから始め、その後、本発明について、後続の図を参照しながらより詳しく述べる。次に図１を参照すると、処理装置２１、システムメモリ２２、およびシステムメモリを含む様々なシステム構成要素を処理装置２１に結合するシステムバス２３を含む従来型コンピュータ２０の形態で、汎用コンピューティングデバイスが示されている。システムバス２３は、様々なバスアーキテクチャのいずれかを使用する、メモリバスまたはメモリコントローラ、周辺機器バス、およびローカルバスを含むいくつかのタイプのバス構造のいずれかとすることができる。システムメモリは、読出し専用メモリ（ＲＯＭ）２４およびランダムアクセスメモリ（ＲＡＭ）２５を含む。起動中などにコンピュータ２０内の要素間で情報を転送するのを助ける基本ルーチンを含む基本入出力システム（ＢＩＯＳ）２６は、ＲＯＭ２４内に記憶される。コンピュータ２０はさらに、ハードディスク６０との間で読出しまたは書込みをするハードディスクドライブ２７、取外し式の磁気ディスク２９との間で読出しまたは書込みをする磁気ディスクドライブ２８、ＣＤ−ＲＯＭまたは他の光媒体など取外し式の光ディスク３１との間で読出しまたは書込みをする光ディスクドライブ３０を含む。

ハードディスクドライブ２７、磁気ディスクドライブ２８、光ディスクドライブ３０は、それぞれハードディスクドライブインターフェース３２、磁気ディスクドライブインターフェース３３、光ディスクドライブインターフェース３４によってシステムバス２３に接続される。ドライブ群とそれらにつなげられたコンピュータ読取可能な媒体は、コンピュータ実行可能命令、データ構造、プログラムモジュール、およびコンピュータ２０用の他のデータの不揮発性記憶を実装する。本明細書に述べられている例示的な環境は、ハードディスク６０、取外し式の磁気ディスク２９、および取外し式の光ディスク３１を使用するが、磁気カセット、フラッシュメモリカード、デジタルビデオディスク、ベルヌーイカートリッジ、ランダムアクセスメモリ、読出し専用メモリ、ストレージエリアネットワークなど、コンピュータによってアクセス可能なデータを記憶することができる他のタイプのコンピュータ読取可能な媒体もまた、この例示的な動作環境内で使用することができることを当業者であれば理解することができるであろう。

いくつかのプログラムモジュールは、ハードディスク６０、磁気ディスク２９、光ディスク３１、ＲＯＭ２４、またはＲＡＭ２５に記憶することができ、オペレーティングシステム３５、１つまたは複数のアプリケーションプログラム３６、他のプログラムモジュール３７、およびプログラムデータ３８を含む。ユーザは、キーボード４０およびポインティングデバイス４２など入力デバイスを介して、コンピュータ２０にコマンドおよび情報を入力することができる。他の入力デバイス（図示せず）は、マイクロフォン、ジョイスティック、ゲームパッド、衛星パラボラアンテナ、スキャナなどを含むことができる。これら、および他の入力デバイスは、しばしばシステムバスに結合されたシリアルポートインターフェース４６を介して処理装置２１に接続されるが、パラレルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）、あるいはネットワークインターフェースカードなど、他のインターフェースによって接続することができる。また、モニタ４７または他のタイプのディスプレイデバイスは、ビデオアダプタ４８などのインターフェースを介して、システムバス２３に接続される。また、多数のコンピュータは、モニタに加え、図示しないが、スピーカおよびプリンタなど他の周辺出力デバイスを含む。

コンピュータ２０は、遠隔コンピュータ４９など、１つまたは複数の遠隔コンピュータへの論理接続を使用して、ネットワーク環境内で動作することが好ましい。遠隔コンピュータ４９は、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、または他の共通ネットワークノードとすることができ、図１では、メモリ記憶デバイス５０が例示されているだけであるが、一般に、コンピュータ２０に関連して上述した要素の多数または全部を含む。本発明の実施形態では、遠隔コンピュータ４９は、ＵＰｎＰで使用可能になるインターネットゲートウェイデバイス（ＩＧＤ）であり、そのようなデバイスに典型的に関連付けられた機能を有し、これについて当業者であれば理解することができるであろう。図１に示されている論理接続は、ローカルエリアネットワーク（ＬＡＮ）５１および広域ネットワーク（ＷＡＮ）５２を含む。そのようなネットワーク環境は、事務所、全社コンピュータネットワーク、イントラネットおよびインターネットでは通常のものである。

コンピュータ２０は、ＬＡＮネットワーク環境内で使用されるとき、ネットワークインターフェースまたはアダプタ５３を介してローカルネットワーク５１に接続される。コンピュータ２０は、ＷＡＮネットワーク環境内で使用されるとき、典型的には、ＷＡＮ５２を介して通信を確立するためのモデム５４、または他の手段を含む。モデム５４は、内部にあっても外部にあってもよく、シリアルポートインターフェース４６を介してシステムバス２３に接続される。コンピュータ２０に関して図示されたプログラムモジュール、またはその一部分は、遠隔メモリ記憶デバイスがあれば、その中に記憶することができる。図のネットワーク接続は例示的なものであり、コンピュータ間で通信リンクを確立する他の手段を使用することができることは理解されるであろう。

以下の説明では、別段の表示がない限り、本発明について、１つまたは複数のコンピューティングデバイスによって実行される動き、および動作を記号で表したものを参照して述べる。したがって、そのような動きおよび動作は、「コンピュータによって実行された」と呼ばれることがあり、構造化された形態でデータを表す電気信号がコンピュータの処理装置によって操作されることを含むことは理解されるであろう。この操作は、データを変換し、またはコンピュータのメモリシステム内のロケーションでデータを維持し、当業者にはよく理解できる方法で、コンピュータの動作を再構成し、または他の方法で変更する。データが維持されるデータ構造は、データの形式によって定義された特定の特性を有するメモリの物理ロケーションである。しかし、本発明について前述のコンテクストで述べられているが、当業者であれば、以下に述べられている動きおよび動作の多くはハードウェアでも実施できることを理解することができるから、これに限定するものではない。

図２を参照すると、本発明の実施形態を実行することができる例示的な動作環境２０１が示されている。具体的には、ＩＧＤもしくは他のハードウェアゲートウェイ２０７、および／またはゲートウェイコンピュータ２０８上で使用可能なファイアウォールソフトウェア機能は、広域ネットワーク（ＷＡＮ）２０９を介してネットワーク２０５にアクセスすることができる遠隔コンピュータ２１１など、コンピュータからの不適正なアクセスに対してローカルネットワーク２０５を安全なものとする。ＷＡＮ２０９は、どのタイプの広域ネットワークとすることもでき、必ずしも要求されないが典型的には、インターネットを含むことになる。ローカルネットワーク２０５は、任意の数およびタイプのコンピュータおよび／またはデバイスを含むことができるが、例示をする目的で単一のコンピュータ２０３が示されている。本発明の一実施形態では、コンピュータ２０８は小型ビジネスサーバである。そのようなサーバの例には、電子メールサーバ、ウェブサーバなどが含まれる。ローカルネットワーク２０５は、ディレクトリ、データベースなど、追加の諸資源を備えることができる。

コンピュータ２０８が電子メールサーバであるといった典型的な使用状況では、サーバ２０８は、ローカルネットワーク２０５上のクライアントからの電子メールをＷＡＮ２０９を介して遠隔コンピュータ２１１など受信者に送信する。また、サーバ２０８は、遠隔コンピュータ２１１からなど、ＷＡＮ２０９から受信された電子メールを、ローカルネットワーク２０５上の意図された受信者に転送する。電子メールサーバは、図１のコンピュータ２０に関して説明した多くの特徴を有することができる。コンピュータ２０８がウェブサーバであるという典型的な使用状況では、サーバ２０８は、ＷＡＮ２０９を介して、たとえば遠隔コンピュータ２１１に対してアクセス可能な１つまたは複数のウェブサイトをホストする。そのようなサイトは、商業的なもの、教育的なものなどとすることができる。図２に示されているゲートウェイ２０７に加えて、任意の数の他のゲートウェイが動作環境２０１内に存在することもできる。デバイス２０７などハードウェアゲートウェイデバイス、ならびに例えばゲートウェイコンピュータ２０８上に常駐することができるソフトウェアファイアウォールの発見および構成について、図３を参照しながらより詳しく述べる。

図３Ａおよび図３Ｂは、本発明の実施形態による、ハードウェアゲートウェイデバイスおよび／またはソフトウェアファイアウォールを発見および構成するために通るステップを説明するフローチャートである。また、図３Ａおよび図３Ｂの考察は、図２のアーキテクチャの要素にとって適切なときを表す。最初にステップ３０１で、標準的なＩＧＤなどＵＰｎＰで使用可能になるゲートウェイデバイス２０７が使用される場合は、それが接続を介してローカルネットワーク２０５に物理的に設置される。このステップは、典型的には、ゲートウェイデバイス２０７がローカルネットワーク２０５を介して伝送を送受信できるように、ケーブルなどの物理接続を必要とする。この時点で、ローカルネットワーク２０５は、まだ新たに設置されたデバイス２０７によって保護されていない。

以下で別途詳しく論じられるステップ３０３から３４７では、本明細書で接続「ウィザード」と称する接続容易化アプリケーションが、新たに設置されたデバイス２０７および／またはソフトウェアファイアウォール機構を発見し、ウィザードを介してユーザによって行われた選択に従って、このデバイスおよび／またはソフトウェアファイアウォールを構成する。発見マシンのアーキテクチャ内の接続ウィザードの例示的な構成が、図４に概略的に示されている。具体的には、接続ウィザード４０１は、ＵＰｎＰ動作を実行するためにホストコンピュータ４０５のオペレーティングシステム４０３にアクセスするアプリケーションである。接続ウィザード４０１は、ホストコンピュータ４０５のネットワーク接続機構４０７を使用して、伝送を送受信することも可能であることが望ましい。接続ウィザード４０１用のホストコンピュータ４０５は、ローカルネットワーク２０５のどこに位置することもでき、たとえばコンピュータ２０３とすることができる。

再び図３Ａのフローチャートを参照すると、ステップ３０２で、接続ウィザード４０１は、ホストコンピュータ４０５のネットワークアダプタ（すなわち、接続機構４０７）のすべてを介して、ＳＳＤＰ（Ｓｉｍｐｌｅ Ｓｅａｒｃｈ ａｎｄ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）マルチキャストアドレスに探索メッセージをマルチキャストする。このマルチキャストは、予め定められた間隔で定期的に自動で開始することができ、あるいは、ユーザからのコマンドまたは要求の後に自動的にトリガすることができる。ステップ３０３で、ハードウェアゲートウェイデバイスが検出されたか否かが判定される。検出されなかった場合は、プロセスが図３Ｂの接続点Ａに移行する。そうでない場合は、プロセスがステップ３０４に移り、検出されたハードウェアゲートウェイデバイス（群）を使用すべきか否か示すようにユーザが促される。ステップ３０４で、どの検出されたゲートウェイデバイスも使用すべきでないと判定される場合は、プロセスが図３Ｂの接続点Ａに移る。そうでない場合は、使用すべきゲートウェイデバイスだけがこのステップと後続のステップに進み、プロセスはステップ３０５に移る。この新たに設置されたゲートウェイデバイス２０７が有効なＩＰアドレスに関連付けられていると仮定すると、ステップ３０５で、ゲートウェイデバイス２０７は、デバイス記述情報を得る際に使用するために、ＵＲＬをホストコンピュータ４０５部の接続ウィザード４０１に送信することによって応答することになる。複数のデバイスのＵＲＬを接続ウィザード４０１部で受信することができることは理解されるであろう。

ステップ３０７で、接続ウィザード４０１は、発見されたデバイスのリストをホストコンピュータ４０５のユーザに提示する。ステップ３０９でユーザが、構成するために、この例ではデバイス２０７などのデバイスを選択した後に、ステップ３１１で接続ウィザード４０１は、ステップ３０５でそのデバイスによって送信されたＵＲＬにＨＴＴＰ ＧＥＴ要求を送信する。ステップ３０９でどのデバイスもユーザによって選択されなかった場合は、プロセスが図３Ｂの接続点Ａに直接移ることに留意されたい。ステップ３１３で、デバイス２０７は、ルートデバイス内に含まれるサブデバイスおよびサービスと、そのサブデバイスおよびサービスを構成するために使用可能なＵＲＬとを含むＸＭＬドキュメントを送信することによって応答する。ステップ３１５で、接続ウィザード４０１は、そのサブデバイスおよびサービスのための構成オプションをユーザに提示し、そのサブデバイスおよびサービスについてユーザ構成選択を受け取る。典型的には、このように指定された構成は、１組の指定済みポートマッピングを含むことになる。

ステップ３１７で、接続ウィザード４０１は、発見されたデバイス２０７によってサポートされるＷＡＮＩｐＣｏｎｎｅｃｔｉｏｎサービスなど構成サービスと、そのＷＡＮＩｐＣｏｎｎｅｃｔｉｏｎサービスに関連付けられた構成ＵＲＬを突き止める。ＷＡＮＩｐＣｏｎｎｅｃｔｉｏｎサービスとその関連ＵＲＬは、ステップ３１３でデバイスから受信されたリスト内で突き止めることができる。最後に、ステップ３１９で、接続ウィザード４０１は、ユーザによって選択された構成に従ってポートマッピングを実装するために、ＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）要求を構成ＵＲＬに送信する。したがって、新たに設置されたデバイス２０７が自動的に発見され、またユーザによって容易に構成され、ネットワークは現在、ユーザによって選択された構成に従ってデバイス２０７によって安全なものとされる。ステップ３１９の後で、使用すべき任意のソフトウェアファイアウォールまたはファイアウォール群を発見および構成するために、プロセスは図３Ｂの接続点Ａに進む。本発明の一実施形態では、ハードウェアファイアウォールが上記で論じたように構成された場合には、ステップ３１９の後で、ソフトウェアファイアウォールを構成せずにプロセスが終了する。

ステップ３２９で、たとえばゲートウェイコンピュータ２０８によって表されたサーバが、単にローカルネットワーク２０５上のクライアントであるのではなく、ゲートウェイコンピュータとして動作するように構成されているか否かがプロセスにより判定される。そのサーバがゲートウェイコンピュータとして動作するように構成されていると判定される場合には、ステップ３３１で、接続ウィザード４０１は、そのサーバ上で使用可能なソフトウェアファイアウォール機能を発見するために、既知のＡＰＩを呼び出す。本発明の一実施形態では、２つのソフトウェアファイアウォールソリューションがサポートされている。本実施形態では、まず、ワシントン州レドモンドのＭｉｃｒｏｓｏｆｔ（登録商標）ＣｏｒｐｏｒａｔｉｏｎによるＭｉｃｒｏｓｏｆｔ（登録商標）Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ ａｎｄ Ａｃｃｅｌｅｒａｔｉｏｎ Ｓｅｒｖｅｒ（ＩＳＡ）ＡＰＩが呼び出され、ＩＳＡがインストールされているか否か判定する。ＩＳＡがインストールされていない場合には、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ｓｅｒｖｅｒ Ｒｏｕｔｉｎｇ ａｎｄ Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｉｃｅ ＡＰＩが呼び出される。そのサーバがゲートウェイコンピュータとして動作するように構成されていないと判定される場合、プロセスは、ステップ３２９で終了する。

ステップ３３３で、ソフトウェアファイアウォール機能が関連マシン上で発見されたか否かがプロセスにより判定される。発見されなかった場合には、プロセスは終了する。そうでない場合は、プロセスがステップ３３５に進み、発見されたソフトウェアファイアウォール機能を使用すべきか否か示すようにユーザが促される。発見されたソフトウェアファイアウォール機能を使用すべきでないと判定される場合には、プロセスが終了する。そうでない場合は、プロセスがステップ３３７に進み、接続ウィザード４０１は、上記で論じたように周知のＡＰＩを使用し、発見されたソフトウェアファイアウォール機能に関する記述情報を収集する。

ステップ３３９で、接続ウィザード４０１は、発見されたソフトウェアファイアウォールのリストをホストコンピュータのユーザに提示する。ステップ３４１で、ユーザは、構成するためのソフトウェアファイアウォールを選択する。その後、ステップ３４３で、接続ウィザード４０１は、選択されたファイアウォールのサブデバイスおよびサービスに関連する情報を収集するために、既知のＡＰＩを呼び出す。ステップ３４５で、接続ウィザード４０１は、構成オプションをユーザに提示し、選択されたファイアウォールのサブデバイスおよびサービスについてユーザ構成選択を受け取る。最後に、ステップ３４７で、接続ウィザード４０１は、ユーザ選択に従ってソフトウェアファイアウォールのサブデバイスおよびサービスを構成するために、ＡＰＩを呼び出す。

本発明の一実施形態では、新たに設置されたデバイス２０７によってサポートされるサービスの１つが動的ホスト構成プロトコル（ＤＨＣＰ）である。ＤＨＣＰは、ＴＣＰ／ＩＰを使用しているコンピュータを構成するために一般に使用されるインターネットプロトコルである。ＤＨＣＰは、ＩＰアドレスを割り当て、スタック構成情報を提供するために、また、他の構成情報を提供するために使用することができる。デバイス２０７がＤＨＣＰをサポートしている場合には、この挙動を構成することもできる。

本発明の一実施形態では、接続ウィザード４０１は、新しい外部ハードウェアネットワークデバイスが追加されているか否か判定するために、定期的にローカルネットワーク２０５にポーリングする。典型的には、そのようなデバイスがＵＰｎＰで使用可能であるときでも、新しいデバイスが設置されたとき通知されない。本発明の他の実施形態では、接続ウィザード４０１は、ネットワーク２０５の安全を危うくする可能性のある構成の変化を検出するために、定期的に既知のデバイスの構成情報を評価する。構成の変化が検出された場合、接続ウィザード４０１は、関連デバイスをそのユーザによって選択された構成に再構成する。

当業者であれば、上記で参照されているＡＰＩを任意の適切なＡＰＩで置き換えることができることを理解することができるが、以下は、本発明の実施形態を実施する際に有用である、例示的な既知のＭｉｃｒｏｓｏｆｔ（登録商標）Ｒｏｕｔｉｎｇ ａｎｄ Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｉｃｅ ＡＰＩのリストである。

当業者であれば、上記で参照されているＡＰＩを任意の適切なＡＰＩで置き換えることができることを理解することができるが、以下は、それぞれが１つまたは複数のＡＰＩを含む例示的な既知のＭｉｃｒｏｓｏｆｔ（登録商標）Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ ａｎｄ Ａｃｃｅｌｅｒａｔｉｏｎ ＣＯＭインターフェースのリストである。これらは、本発明の種々の実施形態を実施する際に有用である。

既存のネットワーク環境に対応し、適切なハードウェアまたはソフトウェアソリューションの動的な検出および構成を包含する、安全なネットワークトポロジを発見および構成するための改良されたシステムおよび方法について述べたことは理解されるであろう。本発明の原理を適用することができる多数の可能な実施形態に鑑みて、図面に関連して本明細書に述べられている実施形態は、例示的なものにすぎないものとし、本発明の範囲を制限するものと考えるべきでないことを理解されたい。たとえば、ソフトウェアで示されている例示された実施形態のいくつかの要素をハードウェアで実施することができ、逆もまた同様であること、あるいは、本発明の精神から逸脱することなしに、例示された実施形態の構成および詳細を修正することができることを、当業者であれば理解することができるであろう。したがって、本明細書に述べられている本発明は、特許請求の範囲とその等価の範囲内に入る可能性のある実施形態すべてを企図している。

本発明の実施形態を実施するために使用可能なコンピューティングデバイスの概略図である。 本発明の実施形態を実施することができるコンピュータネットワーク環境の概略図である。 ローカルネットワークを安全なものとするために本発明の実施形態で通るステップを示すフローチャートである。 ローカルネットワークを安全なものとするために本発明の実施形態で通る他のステップを示すフローチャートである。 本発明の実施形態によるデバイス構成容易化アプリケーションとそのインターフェースの概略図である。

符号の説明

２０１ 動作環境
２０３ コンピュータ
２０５ ローカルネットワーク
２０７ ゲートウェイデバイス
２０８ ゲートウェイコンピュータ
２０９ 広域ネットワーク
２１１ 遠隔コンピュータ

Claims (17)

1. 広域コンピュータネットワークに関してローカルコンピュータネットワークを安全なものとする方法であって、
   使用可能なハードウェアゲートウェイデバイスが前記ローカルコンピュータネットワークと前記広域コンピュータネットワークとの間に設置されているか否か検出するステップと、
   使用可能なハードウェアゲートウェイデバイスが設置されていると判定される場合、前記ローカルコンピュータネットワークを介して前記ハードウェアゲートウェイデバイスと通信して前記ハードウェアゲートウェイデバイスに関する記述情報を取り出すステップ、前記デバイス記述情報に関連する情報をユーザに提示するステップ、ユーザ選択を受け取って前記デバイスを構成するステップ、および前記ユーザ選択に従って前記デバイスを自動的に構成するステップと、
   使用可能なハードウェアゲートウェイデバイスが設置されていないと判定される場合、使用可能なソフトウェアファイアウォールが前記ローカルコンピュータネットワークと前記広域コンピュータネットワークとの間に設置されているか否かを検出するステップ、および使用可能なソフトウェアファイアウォールが設置されているときには、前記ファイアウォールに関する記述情報を収集するステップと、前記ファイアウォール記述情報に関連する情報を前記ユーザに提示するステップと、ユーザ選択を受け取って前記ファイアウォールを構成するステップと、前記ユーザ選択に従って前記ファイアウォールを自動的に構成するステップと
   を備えたことを特徴とする方法。
2. 前記使用可能なハードウェアゲートウェイデバイスが前記ローカルコンピュータネットワークと前記広域コンピュータネットワークとの間に設置されているか否か検出するステップは、
   前記ローカルコンピュータネットワークを介してマルチキャスト発見伝送を自動的に送信するステップと、
   前記マルチキャスト発見伝送に対する応答を前記ハードウェアゲートウェイデバイスから受信するステップであって、前記応答は、前記ローカルコンピュータネットワークを介して前記ハードウェアゲートウェイデバイスと交信する際に使用するロケータを有するステップと
   を含むことを特徴とする請求項１に記載の方法。
3. 前記ローカルコンピュータネットワークを介して前記ハードウェアゲートウェイデバイスと通信して前記ハードウェアゲートウェイデバイスに関する記述情報を取り出すステップは、
   前記ローカルコンピュータネットワークを介してデバイス記述の要求を前記ハードウェアゲートウェイデバイスに自動的に送信するステップと、
   前記デバイス記述の要求の送信に応答して、前記ハードウェアゲートウェイデバイスによってサポートされるサービスのリストを前記ハードウェアゲートウェイデバイスから受信するステップと
   を含むことを特徴とする請求項２に記載の方法。
4. 前記ハードウェアゲートウェイデバイスによってサポートされるサービスのリストは、前記ハードウェアゲートウェイデバイスによってサポートされるサブデバイスのリストを含むことを特徴とする請求項１に記載の方法。
5. 前記使用可能なハードウェアゲートウェイデバイスが前記ローカルコンピュータネットワークと前記広域コンピュータネットワークとの間に設置されているか否か検出するステップは、ハードウェアゲートウェイデバイスの使用可能性のユーザ指示を受け取るステップをさらに含むことを特徴とする請求項２に記載の方法。
6. 前記ハードウェアゲートウェイデバイスによってサポートされるサービスのリストは、各サービスにそれぞれ関連付けられたロケータを含み、および含むことによって前記サービスにそれぞれ関連付けられたロケータは、該サービスを構成するために使用可能であることを特徴とする請求項３に記載の方法。
7. 前記各サービスにそれぞれ関連付けられたロケータは、ＵＲＬを含むことを特徴とする請求項６に記載の方法。
8. 前記ローカルコンピュータネットワークを介してマルチキャスト発見伝送を自動的に送信するステップは、
   予め定められた期間が満了するのを待つステップと、
   前記予め定められた期間の満了の際に、前記ローカルコンピュータネットワークを介して前記マルチキャスト発見伝送を送信するステップと
   を含むことを特徴とする請求項２に記載の方法。
9. 前記ハードウェアゲートウェイデバイスによってサポートされるサービスのリストは、動的ホスト構成プロトコルに対応するリストを含むことを特徴とする請求項３に記載の方法。
10. 前記使用可能なソフトウェアファイアウォールが前記ローカルコンピュータネットワークと前記広域コンピュータネットワークとの間に設置されているか否か検出するステップは、ソフトウェアファイアウォールの使用可能性のユーザ指示を受け取るステップを含むことを特徴とする請求項１に記載の方法。
11. 前記ファイアウォールに関する記述情報を収集するステップは、ＡＰＩの呼び出しを行うステップと、前記ＡＰＩの呼び出しに応答して前記記述情報を受信するステップとを含むことを特徴とする請求項１に記載の方法。
12. 前記ユーザ選択に従って前記ファイアウォールを自動的に構成するステップは、ＡＰＩの呼び出しを行うステップを含み、前記ＡＰＩへの呼出しは、構成情報を含むことを特徴とする請求項１に記載の方法。
13. 請求項１に記載の方法を実行するコンピュータ読取可能命令を記憶するコンピュータ読取可能な媒体。
14. 請求項６に記載の方法を実行するコンピュータ読取可能命令を記憶するコンピュータ読取可能な媒体。
15. 請求項８に記載の方法を実行するコンピュータ読取可能命令を記憶するコンピュータ読取可能な媒体。
16. 前記マルチキャスト発見伝送に対する応答を受信するステップは、前記ハードウェアゲートウェイデバイスを含む複数のデバイスから複数の応答を受信するステップを含むことを特徴とする請求項３に記載の方法。
17. 前記ローカルコンピュータネットワークを介してデバイス記述の要求を前記ハードウェアゲートウェイデバイスに自動的に送信するステップは、前記複数のデバイスのリストをホストコンピュータのユーザに提示するステップと、前記ホストコンピュータの前記ユーザから前記ハードウェアゲートウェイデバイスの選択を受け取るステップとをさらに含むことを特徴とする請求項１６に記載の方法。
    

Images