JP2007525896A - 少なくとも１つの仮想プライベートネットワークにアクセスするシステム、方法、及びコンピュータプログラムプロダクト - Google Patents

Abstract

少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスするシステムは、端末を含んでおり、かつ、少なくとも１つのセキュリティポリシーデータベース（ＳＰＤ）を包含可能である。端末は、ＶＰＮクライアント及び少なくとも１つのアプリケーションと通信する能力を有している。そして、ＶＰＮクライアントは、少なくとも１つのＶＰＮアクセスポイントを定義する能力を有しており、それぞれのＶＰＮアクセスポイントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーを含んでいる。その後、ＶＰＮクライアントは、１つ又は複数のＶＰＮアクセスポイントに基づいて少なくとも１つのＶＰＮにアクセスし、これにより、少なくとも１つのＶＰＮを跨って少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立可能である。さらには、ＶＰＮクライアントは、ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする能力をも有することができる。少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）ポリシーを管理するシステムも提供され、この場合に、１つ又は複数のＶＰＮポリシーは、少なくとも１つのＶＰＮにアクセスする際に使用される。
【選択図】図１

Description

本発明は、一般に、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ：ＶＰＮ）にアクセスするシステム及び方法に関するものであり、さらに詳しくは、少なくとも１つの確立されたＶＰＮアクセスポイントを介して少なくとも１つのＶＰＮにアクセスするシステム及び方法に関するものである。

インターネットを使用することにより、オンラインで入手可能な豊富な情報とワールドワイドウェブ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ：ＷＷＷ）からなるインターネットの部分にアクセスすることの利益については、広く認識されている。従来、インターネットにアクセスする伝統的な方法は、職場、学校、又は自宅などにおける固定アクセスポイントを通じて実行されてきた。固定アクセスポイントの概念は、初期の頃から、インターネットモデルの根幹に位置していたものである。例えば、インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ：ＩＰ）は、パケットを、そのＩＰアドレスに従って、その宛先にルーティングしている。ＩＰアドレスは、従来の電話番号が固定回線電話機の物理的な場所に関連付けられているのと略同様に、固定した物理的な場所と関連付けられている。この物理的な場所との関連付けにより、効率的かつ効果的な方法で、ＩＰパケットをその意図する宛先に対してルーティング可能である。

従来の接続の概念は、近年、例えば、モバイル電話への移行からわかるように、モビリティに向かう傾向によって生じた変化を受けている。モバイルコンピューティングは、人気のある別の領域であり、この領域においては、ユーザの場所とは無関係に彼らの作業を実行する自由度をユーザに付与することにより、明白に利益を得ることができる。又、インターネットに対する信頼性の高いアクセスと、インターネットにおいて入手可能なサービスにより、モバイルネットワーキングは、ユーザを事務所に縛り付けている束縛からユーザを解放することにより、改善された生産性をすべてのユーザに対して提供可能である。現在の趨勢は、例えば、航空機上や自動車内などの実質的にあらゆる場所からのアクセスを可能にすることにより、さらに大きな自由度を提供する無線接続に向かってさらに移行しつつある。

ＩＰコンテンツ、コンピューティング、及び通信に伴う主要な懸念事項の１つが、セキュリティに関するものである。インターネットのオープンな特性に起因し、本質的に、伝送パケットはセキュリティの問題を有しており、この問題は、異なるサブネットワーク間におけるモバイルノードの移動によって複雑化することになる。これらの問題に対処するべく、「Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ」という名称のＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）２４０１文書に規定されているものなどのＩＰセキュリティプロトコル（又は、単に「ＩＰｓｅｃ」）が開発されている（この内容は、本引用により、そのすべてが本明細書に包含される）。この観点において、ＩＰｓｅｃは、ＩＰホスト間において伝送された際にパケットのペイロードのエンドツーエンドのセキュリティを提供するべく開発されたものである。これは、主に、通常、両端において同一のキーの使用を必要とする対称型暗号法を使用し、データグラムレベルの認証とパケットの暗号化をホストに対して提供することにより、実現されている。ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）などのキー管理プロトコルを使用することにより、仮想プライベートネットワーク（ＶＰＮ）内において利用されているものなどのＩＰｓｅｃスタック内において使用する対称型キーを生成可能である。

当業者であれば、ＶＰＮが、１つ又は複数の物理的なネットワーク内に配置された論理的なネットワークであることを理解するであろう。ＶＰＮを使用することにより、企業の電子メールやイントラネットリソースなどのリソースに安全にアクセスすることができる。さらには（又は、この代わりに）、ＶＰＮを使用することにより、ローカルエリアネットワークを跨って安全に通信可能である（これらのローカルエリアネットワークの中の１つ又は複数のものは、企業のイントラネット内に含まれるものであってよい）。動作の際には、ＩＰｓｅｃのＶＰＮ対応ホスト（又は、ＶＰＮゲートウェイ）が、例えば、ＲＦＣ２４０１に規定されているように、いくつかのセレクタを収容するセキュリティポリシーデータベース（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）（ＳＰＤ）内にセキュリティポリシーを維持している。ＳＰＤは、ＶＰＮゲートウェイを跨ったトラフィックに適用するセキュリティの種類を識別する。例えば、セキュリティポリシーは、ＩＰ処理を伴うことなしに通過する特定のパケットを除き、すべてのトラフィックパケットがカプセル化セキュリティペイロード（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）（ＥＳＰ）によってＶＰＮゲートウェイにトンネリングされることを必要とするものであってよい。この結果、ＶＰＮゲートウェイを通過するすべてのパケットに対して前述のセキュリティポリシーの例を実行及び実現可能である。

従来、クライアントは、所与の時点において、単一のＶＰＮ上においてのみ通信を確立可能であった。具体的には、従来のクライアントは、所与の時点において個別のＶＰＮについて単一のＶＰＮポリシーのみを起動可能であった。この観点においては、任意の時点において、このような「シングルホーム」クライアントは、単一のアクティブなデータ接続及び個別のネットワークインターフェイスのみを許容していた。但し、このような「シングルホーム」クライアントを改善するべく、所与の時点において複数の同時接続例えば、複数のＶＰＮ上における同時接続が可能な「マルチホーム」クライアントが開発されている。例えば、英国のＳｙｍｂｉａｎ Ｌｉｍｉｔｅｄ社が開発したものなどのオペレーティングシステムに従って動作するモバイルハンドヘルド端末は、同時にアクティブな複数のデータ接続及び個別のネットワークインターフェイスを許容する能力を有している。このような例においては、それぞれのネットワークインターフェイスは、通常、その独自のＩＰアドレス、ルーティング情報、及び関連するドメインネームシステム（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）（ＤＮＳ）サーバアドレスを具備している。又、「マルチホーム」クライアントのそれぞれのインターフェイス及び個別のデータ接続は、通常、クライアント内においてローカルに定義され、かつ、ネットワークＩＤによって識別される特定の論理的なネットワークに属している。

ＶＰＮ上の通信においては、通常、クライアントは、その個別のＶＰＮを含む１つ又は複数の物理的なネットワークに対するアクセスポイントと通信を確立し、次いで、その個別のＶＰＮ用のＶＰＮポリシーをロード又は起動することにより、ＶＰＮ接続を確立する必要がある。同様に、クライアントは、通常、その個別のＶＰＮ用のＶＰＮポリシーをアンロード又は無効化し、次いで、アクセスポイントとの通信を終了させることにより、ＶＰＮ接続を終了させなければならない。ＶＰＮ接続を起動及び終了させるこのような手順は、ＶＰＮ上における通信を円滑に実行するのには十分なものではあるが、このような手順は、クライアント、又は、さらに具体的には、クライアントユーザに対して望ましくない負担をかけることになる。そして、このような負担は、通常、「マルチホーム」クライアントにおいて、クライアントの同時ＶＰＮ及びその他の接続の数が増大するに伴って増大し得ることが理解されよう。

以上のような背景に鑑み、本発明は、少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスする改善されたシステム、方法、及びコンピュータプログラムプロダクトを提供する。後述するように、本発明の実施例によれば、端末は、「シングルホーム」及び／又は「マルチホーム」構成などにおいて、１つ又は複数のＶＰＮを確立し、これらをアクティブに維持する能力を有している。但し、従来の「マルチホーム」クライアントとは対照的に、端末は、端末又は端末ユーザが個別の１つ又は複数の物理的なネットワークに対するＩＡＰ（Ｉｎｔｅｒｎｅｔ Ａｃｃｅｓｓ Ｐｏｉｎｔ）と通信を別途に確立し、その個別のＶＰＮ用のＶＰＮポリシーをロード又は起動し、次いで、この個別のＶＰＮ用のＶＰＮポリシーをアンロード又は無効化し、ＩＡＰとの通信を終了させることを要することなしに、それぞれのＶＰＮ接続を確立する能力をさらに有している。この観点において、端末、又は、さらに具体的には、端末ユーザは、１つ又は複数の「ＶＰＮアクセスポイント」を定義する能力を有している。後述するように、ＶＰＮアクセスポイントは、一般に、個別のＶＰＮに対する仮想的又は論理的なアクセスポイントと見なすことができる。この結果、ＶＰＮアクセスポイントを利用することにより、端末は、ＩＡＰと略同一の方式により、１つ又は複数のＶＰＮ接続を確立し、アクティブに維持可能であり、これらのＶＰＮ接続は、従来技法に従って確立された類似のＶＰＮ接続の属性を具備している。

本発明の一態様によれば、少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスするシステムが提供される。このシステムは、端末を含み、かつ、少なくとも１つのＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）を包含可能であり、それぞれのＳＰＤは、物理的なアクセスポイントと関連付けられている。端末は、ＶＰＮクライアント及び少なくとも１つのアプリケーションと通信する能力を有している。そして、ＶＰＮクライアントは、少なくとも１つのＶＰＮアクセスポイントを定義する能力を有しており、それぞれのＶＰＮアクセスポイントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーを含んでいる。例えば、ＶＰＮクライアントは、ＶＰＮアクセスポイントの名前の選択肢を受信することにより、それぞれのＶＰＮを定義する能力を有している。次いで、ＶＰＮクライアントは、そのＶＰＮアクセスポイントと関連付けるための物理的なアクセスポイントの選択肢を受信し、その後、そのＶＰＮアクセスポイントと関連付けるためのＶＰＮポリシーの選択肢を受信可能である。この観点において、ＶＰＮクライアントは、少なくとも１つのＶＰＮポリシーをインストールする能力をさらに有することが可能であり、この結果、ＶＰＮクライアントは、インストールされた１つ又は複数のＶＰＮポリシーの中からＶＰＮポリシーの選択肢を受信する能力を有している。

具体的には、システムが少なくとも１つのＳＰＤを含んでいる際には、ＶＰＮクライアントは、ＳＰＤの選択肢を受信する能力を有することができる。次いで、ＶＰＮクライアントは、その個別のＳＰＤと関連付けられている物理的なアクセスポイントを介してそのＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロード可能である。その後、ＶＰＮクライアントは、ダウンロードした１つ又は複数のＶＰＮポリシーをインストール可能である。この観点において、ＶＰＮクライアントは、ＳＰＤと関連付けられた物理的なアクセスポイントとの間にデータ接続を確立し、その後、その物理的なアクセスポイントとの間に確立されたデータ接続を介してＳＰＤとの間にデータ接続を確立する能力を有することができる。次いで、ＶＰＮクライアントは、ＳＰＤ及び／又はＶＰＮクライアントを認証し、ＳＰＤ及び／又はＶＰＮクライアントが認証された際に、ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロード可能である。

１つ又は複数のＶＰＮアクセスポイントを定義する方法とは無関係に、ＶＰＮクライアントは、その後、１つ又は複数のＶＰＮアクセスポイントに基づいて少なくとも１つのＶＰＮにアクセスし、これにより、１つ又は複数のＶＰＮにおいて少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立可能である。この観点において、ＶＰＮクライアントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーに基づいて少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、１つ又は複数のＶＰＮにアクセスする能力を有することができる。例えば、ＶＰＮクライアントは、少なくとも１つのＶＰＮアクセスポイントを１つ又は複数のアプリケーションと関連付け、その後、１つ又は複数のアプリケーションから少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、ＶＰＮを跨って少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立する能力を有することができる。

具体的には、ＶＰＮクライアントは、個々のＶＰＮアクセスポイントと関連付けられた物理的なアクセスポイントとの間に接続を確立することにより、それぞれのＶＰＮアクセスポイントを起動する能力を有することができる。次いで、ＶＰＮクライアントは、個々のＶＰＮアクセスポイントと関連付けられたＶＰＮポリシーをロード可能である。その後、ＶＰＮクライアントは、個別のＶＰＮアクセスポイントと関連付けられたＶＰＮポリシーに基づいて物理的なアクセスポイント上においてＶＰＮトンネルを確立可能である。同様に、ＶＰＮクライアントは、１つ又は複数のＶＰＮに対するアクセスを終了させ、これにより、１つ又は複数のアプリケーションからの１つ又は複数のデータ接続を終了させる能力をさらに有することができる。このような例においては、端末は、個々のＶＰＮアクセスポイントと関連付けられたＶＰＮポリシーに基づいて確立された物理的なアクセスポイント上におけるＶＰＮトンネルを閉じることにより、それぞれのＶＰＮに対するそれぞれのアクセスを終了させることができる。次いで、ＶＰＮクライアントは、個々のＶＰＮアクセスポイントと関連付けられたＶＰＮポリシーをアンロードし、その後、個々のＶＰＮアクセスポイントと関連付けられた物理的なアクセスポイントとの接続を終了させることができる。

本発明の別の態様によれば、少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）ポリシーを管理するシステムが提供され、この１つ又は複数のＶＰＮポリシーは、少なくとも１つのＶＰＮにアクセスする際に使用されるものである。このシステムは、少なくとも１つのＳＰＤと、ＶＰＮクライアントと通信する能力を有する端末と、を含んでいる。ＶＰＮクライアントは、少なくとも１つの物理的なアクセスポイントを跨って１つ又は複数のＳＰＤと通信し、これにより、１つ又は複数のＳＰＤから１つ又は複数のＶＰＮポリシーをダウンロードする能力を有している。ＶＰＮクライアントは、ＶＰＮポリシーストア内に１つ又は複数のＶＰＮポリシーを保存可能である。その後、ＶＰＮクライアントは、１つ又は複数のＳＰＤと同期化し、これにより、ＶＰＮポリシーストア内に保存されている１つ又は複数のＶＰＮポリシーを更新可能である。１つ又は複数のＶＰＮポリシーの中の１つ又は複数のものは、証明書及び／又は証明書／プライベートキーペアを包含可能である。このような例においては、ＶＰＮクライアントは、パスワードによって保護されたキーストア内に、証明書及び／又は証明書／プライベートキーペアを保存する能力をさらに有することができる。

前述のものと同様に、ＶＰＮクライアントは、ＳＰＤの選択肢を受信し、そのＳＰＤと関連付けられている物理的なアクセスポイントを介して、その選択されたＳＤＰから少なくとも１つのＶＰＮポリシーをダウンロードする能力を有することができる。このような例においては、ＶＰＮクライアントは、ＳＰＤ及び／又はＶＰＮクライアントを認証し、ＳＰＤ及び／又はＶＰＮクライアントが認証された際に、ＳＰＤから１つ又は複数のＶＰＮポリシーをダウンロードする能力をさらに有することができる。この観点において、ＶＰＮクライアントは、ＳＰＤ証明書に基づいてＳＤＰを認証し、ユーザ証明書に基づいてＶＰＮクライアントを認証する能力を有することができる。但し、ＳＰＤ証明書に基づいてＳＰＤを認証する前に、ＶＰＮクライアントは、ＳＰＤ証明書を生成する能力を有することができる。同様に、ＶＰＮクライアントは、ＶＰＮクライアントをＳＰＤに対して認証し、ＶＰＮクライアントが認証された際に、ユーザ証明書を生成するなどにより、ユーザ証明書を生成する能力を有することができる。

具体的には、例えば、ＳＰＤは、複数の文字を含む関連付けられた識別コードを具備可能である。次いで、ＶＰＮクライアントは、ＳＰＤと関連付けられた識別コードの確認を受信し、その後、確認が受信された際にＳＰＤ証明書を生成することにより、ＳＰＤ証明書を生成可能である。この観点において、ＶＰＮクライアントは、ＳＰＤと関連付けられた識別コードを含むＳＰＤ識別コードダイアログを提示する能力をさらに有することが可能であり、ＳＰＤ識別コードダイアログ内の識別コードは、少なくとも１つの文字を伴うことなしに提示される。ＶＰＮクライアントは、１つ又は複数の文字を受信可能である。次いで、ＶＰＮクライアントは、ＳＰＤ識別コードダイアログ内に提示された識別コードが、少なくとも１つの受信した文字により、ＳＰＤと関連付けられたる識別コードとマッチングした場合に、識別コードの確認を受信可能である。

本発明のその他の態様によれば、少なくとも１つのＶＰＮにアクセスする方法及びコンピュータプログラムプロダクトが提供される。又、少なくとも１つのＶＰＮポリシーを管理する方法及びコンピュータプログラムプロダクトも提供される。そして、本発明のさらに別の態様においては、ＶＰＮアクセスポイントのデータ構造が提供される。従って、本発明の実施例は、少なくとも１つのＶＰＮにアクセスし、かつ、１つ又は複数のＶＰＮポリシーを管理するシステム、方法、及びコンピュータプログラムプロダクトを提供している。本発明の実施例は、１つ又は複数のＶＰＮアクセスポイントを定義することにより、端末又は端末ユーザに対して負担が少ない方式によって１つ又は複数のＶＰＮ接続のそれぞれを確立する能力を有している。この観点において、前述及び後述するように、ＶＰＮアクセスポイントは、一般に、個々のＶＰＮに対する仮想的又は論理的なアクセスポイントと見なすことが可能であり、この結果、端末は、ＩＡＰと略同一の方式により、１つ又は複数のＶＰＮ接続を確立し、アクティブに維持可能である。従って、本発明の実施例のシステム、方法、及びコンピュータプログラムプロダクトは、従来技法に伴う問題点を解決すると共に、更なる利益を提供する。

以上において本発明に関する概略的な説明を終え、以下、添付の図面を参照するが、これらの添付図面は、必ずしも正確な縮尺で描画されてはいない。

以下、本発明の好適な実施例を示す添付の図面を参照し、本発明についてさらに詳細に説明する。但し、本発明は、多数の異なる形態において実施可能であり、本明細書に記述されている実施例に限定されるものと解釈してはならず、これらの実施例は、本開示を十分かつ完全なものとし、本発明の範囲を当業者に完全に伝達するべく提供されているものである。添付の図面においては、類似の参照符合により、類似の要素を示している。

図１に、本発明の利益を享受する端末及びシステムの１つのタイプの図を示す。本発明の実施例のシステム、方法、及びコンピュータプログラムプロダクトについては、モバイル通信アプリケーションとの関連において主に説明する。しかしながら、本発明の実施例のシステム、方法、及びコンピュータプログラムプロダクトは、モバイル通信産業の内外のいずれにおいても、様々なその他のアプリケーションとの関連において利用可能であることを理解されたい。例えば、本発明の実施例のシステム、方法、及びコンピュータプログラムプロダクトは、有線及び／又は無線ネットワーク（例えば、インターネット）アプリケーションとの関連において利用可能である。

図示のように、端末１０は、ベースサイト又は基地局（Ｂａｓｅ Ｓｔａｔｉｏｎ：ＢＳ）１４との間で信号を送受信するためのアンテナ１２を包含可能である。基地局は、それぞれが、移動交換局（Ｍｏｂｉｌｅ Ｓｗｉｔｃｈｉｎｇ Ｃｅｎｔｅｒ：ＭＳＣ）などのネットワークを動作させるのに必要な要素を含む１つ又は複数のセルラー又はモバイルネットワークの一部である。モバイルネットワークは、ＢＭＩ（Ｂａｓｅ Ｓｔａｔｉｏｎ／ＭＳＣ／Ｉｎｔｅｒｗｏｒｋｉｎｇ）機能と呼ぶことも可能である。動作の際には、ＭＳＣは、端末が通話を受発信する際に、通話を端末との間においてルーティングする能力を有している。又、ＭＳＣは、例えば、端末が通話に関係している際などに、陸上通信幹線に対する接続をも提供可能である。さらには、ＭＳＣは、端末との間のメッセージ転送を制御する能力を有することも可能であり、かつ、ＳＭＳセンタ（Ｓｈｏｒｔ Ｍｅｓｓａｇｉｎｇ Ｓｅｒｖｉｃｅ：ＳＭＳＣ）（図示せず）との間のＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｉｎｇ Ｓｅｒｖｉｃｅ）メッセージなどのメッセージングセンタとの間における端末用のメッセージの転送を制御することも可能である。

ＭＳＣ１６は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＭＡＮ（Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ）、及び／又はＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのデータネットワークに結合可能である。ＭＳＣは、データネットワークに直接的に結合可能である。但し、代表的な一実施例においては、ＭＳＣは、ＧＴＷ１８に結合されており、ＧＴＷがインターネット２０などのＷＡＮに結合されている。そして、処理要素（例えば、パーソナルコンピュータ、サーバコンピュータ、又はこれらに類似したもの）などの装置が、インターネットを介して端末１０に結合可能である。例えば、処理要素は、１つ又は複数のオリジンサーバ２２と関連付けられた１つ又は複数の処理要素を包含可能であり、この中の１つが図１に示されている。

又、ＢＳ１４は、ＳＧＳＮ（Ｓｉｇｎａｌｉｎｇ ＧＰＲＳ（Ｇｅｎｅｒａｌ Ｐａｃｋｅｔ Ｒａｄｉｏ Ｓｅｒｖｉｃｅ） Ｓｕｐｐｏｒｔ Ｎｏｄｅ）２４にも結合可能である。ＳＧＳＮは、通常、パケット交換サービスにおいて、ＭＳＣ１６と類似した機能を実行する能力を有している。ＳＧＳＮは、ＭＳＣと同様に、インターネット２０などのデータネットワークに結合可能である。ＳＧＳＮは、データネットワークに直接結合可能である。但し、さらに代表的な実施例においては、ＳＧＳＮは、ＧＰＲＳコアネットワーク２６などのパケット交換コアネットワークに結合されている。そして、パケット交換コアネットワークが、ＧＧＳＮ（ＧＴＷ ＧＰＲＳ Ｓｕｐｐｏｒｔ Ｎｏｄｅ）２８などの別のＧＴＷに結合されており、ＧＧＳＮがインターネットに結合されている。又、ＧＧＳＮは、ＭＭＳ（Ｍｕｌｔｉｍｅｄｉａ Ｍｅｓｓａｇｉｎｇ Ｓｅｒｖｉｃｅ）センタ（図示せず）などのメッセージングセンタにも結合可能である。この観点において、ＧＧＳＮ及びＳＧＳＮは、ＭＳＣと同様に、ＭＭＳメッセージなどのメッセージの転送を制御する能力を有することができる。又、ＧＧＳＮ及びＳＧＳＮは、メッセージングセンタとの間における端末用のメッセージの転送を制御する能力を有することもできる。さらには、ＳＧＳＮ２４をＧＰＲＳコアネットワーク２６及びＧＧＳＮ２８に結合することにより、インターネット２０、ＳＧＳＮ、及びＧＧＳＮを介して、１つ又は複数のオリジンサーバ２２などの処理要素を端末１０に結合可能である。この観点において、１つ又は複数のオリジンサーバなどの装置は、ＳＧＳＮ、ＧＰＲＳ、及びＧＧＳＮを跨って端末と通信可能である。

本明細書においては、すべての可能なモバイルネットワークのすべての要素を図示及び説明しているわけではないが、端末１０は、ＢＳ１４を通じて、いくつかの異なるネットワークのいずれかの１つ又は複数のものに結合可能であることを理解されたい。この観点において、１つ又は複数のネットワークは、第１世代（１Ｇ）、第２世代（２Ｇ）、２．５Ｇ、及び／又は第３世代（３Ｇ）のモバイル通信プロトコル又はこれらに類似したものの中の１つ又は複数のものに従って通信をサポートする能力を有することができる。例えば、１つ又は複数のネットワークの中の１つ又は複数のものは、２Ｇ無線通信プロトコルであるＩＳ−１３６（ＴＤＭＡ）、ＧＳＭ、及びＩＳ−９５（ＣＤＭＡ）に従って通信をサポートする能力を有することができる。又、例えば、１つ又は複数のネットワークの中の１つ又は複数のものは、２．５Ｇ通信プロトコルであるＧＰＲＳ、ＥＤＧＥ（Ｅｎｈａｎｃｅｄ Ｄａｔａ ＧＳＭ Ｅｎｖｉｒｏｎｍｅｎｔ）、又はこれらに類似したものに従って通信をサポートする能力を有することができる。さらには、例えば、１つ又は複数のネットワークの中の１つ又は複数のものは、ＷＣＤＭＡ（Ｗｉｄｅｂａｎｄ Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）無線アクセス技術を利用するＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｐｈｏｎｅ Ｓｙｓｔｅｍ）ネットワークなどの３Ｇ無線通信プロトコルに従って通信をサポートする能力を有することもできる。いくつかの狭帯域ＡＭＰＳ（ＮＡＭＰＳ）並びに１つ又は複数のＴＡＣネットワークも、デュアル又はさらに高次モードの端末（例えば、デジタル／アナログ又はＴＤＭＡ／ＣＤＭＡ／アナログ電話機）として、本発明の実施例の利益を享受可能である。

端末１０は、１つ又は複数の無線トランシーバ（ＴＳ）３０にさらに結合可能である。ＴＳは、例えば、高周波（ＲＦ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）（ＢＴ）、赤外線（ＩｒＤＡ）、又は図１に示されているＷＬＡＮ技法を含むいくつかの異なる無線ネットワーキング技法のいずれかなどの技法に従って端末と通信するべく構成されたアクセスポイントを有することができる。さらには（又は、この代わりに）、端末は、１つ又は複数のユーザプロセッサ３２にも結合可能である。それぞれのユーザプロセッサは、パーソナルコンピュータ、ラップトップコンピュータ、又はこれらの類似したものなどの演算システムを有することができる。この観点において、ユーザプロセッサは、例えば、ＲＦ、ＢＴ、ＩｒＤＡ、又はＬＡＮ及び／又はＷＬＡＮ技法を含むいくつかの異なる有線又は無線通信技法のいずれかなどの技法に従って端末と通信するべく構成可能である。さらには（又は、この代わりに）、ユーザプロセッサの中の１つ又は複数のものは、コンテンツを保存する能力を有する着脱自在のメモリを包含可能であり、このコンテンツは、その後、端末に転送可能である。

ＴＳ３０及びユーザプロセッサ３２は、インターネット２０に結合可能である。ＭＳＣ１６と同様に、ＴＳ及びユーザプロセッサは、インターネットに直接結合可能である。但し、一実施例においては、ＴＳは、ＧＴＷ１８を介して間接的にインターネットに接続されている。端末１０及び１つ又は複数のオリジンサーバ２２、並びに、いくつかのその他の装置、プロセッサ、及びこれらに類似したもののいずれかをインターネットに直接又は間接的に接続することにより、端末は、互いに又は１つ又は複数のオリジンサーバなどと通信し、これにより、サービスプロバイダ及び／又は認可マネージャとの間におけるデータ、コンテンツ、又はこれらに類似したものの送受信などの端末の様々な機能を実行可能であることが理解されよう。

本発明の実施例によれば、インターネット２０と、従って、端末１０は、１つ又は複数のイントラネット３４に結合可能であり、この中の１つが図１に示されている。それぞれのイントラネットは、一般に、企業内に限定されたプライベートネットワークを有している。それぞれのイントラネットは、１つ又は複数の連結されたＬＡＮ、並びに、１つ又は複数のＬＡＮ、ＭＡＮ、ＷＡＮ、又はこれらに類似したものの一部を有することができる。インターネットと同様に、処理装置（例えば、１つ又は複数のオリジンサーバ２２）などの装置は、イントラネットに対して（従って、イントラネットを介してインターネット及び端末に対して）結合可能である。本システムの様々なその他のコンポーネントと同様に、イントラネットと、従って、イントラネットの処理要素は、通常、ゲートウェイ３６を介して、インターネットに、従って、端末に間接的に接続されている。同様に、図示されてはいないが、イントラネット内に含まれているそれぞれのネットワーク又はネットワークの一部も、ゲートウェイを介して互いに相互接続可能である。

後述するように、端末１０は、ゲートウェイ３６を跨って（かつ、必要に応じて、イントラネット内の１つ又は複数のその他のゲートウェイを跨って）イントラネットに対して仮想プライベートネットワーク（ＶＰＮ）を確立することにより、イントラネット３４に対して（従って、イントラネットに結合された処理要素（例えば、１つ又は複数のオリジンサーバ２２）に対して）アクセスする能力を有している。この結果、このような例においては、ゲートウェイは、通常、図１に示されているように、ＶＰＮ ＧＴＷと呼ばれる。本発明の実施例によれば、本システムは、実質的に「Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ」という名称のＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）２４０１文書に記述されているものなどのＩＰセキュリティ（ＩＰｓｅｃ）フレームワークを提供している（この内容は、本引用により、本明細書にそのすべてが包含される）。従って、イントラネットも、ＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）３８とＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）４０を有する処理要素に結合されている。ＳＡＤは、ＶＰＮ ＧＴＷ３６を跨って配置されている端末１０などの処理装置とイントラネット３４内の処理装置（例えば、１つ又は複数のオリジンサーバ２２）のセキュリティアソシエーションを保存する能力を有していることが理解されよう。一方、ＳＰＤは、ＶＰＮ ＧＴＷによって実行されるセキュリティポリシーを保存する能力を有しており、この場合に、セキュリティポリシーは、後述するように、１つ又は複数のその他の情報要素をも包含可能なＶＰＮポリシー内に包含可能である。本明細書に記述されているように、ＳＡＤ及びＳＰＤは、ＩＰｓｅｃに従って構成されており、かつ、様々なＩＰレイヤプロトコル（例えば、Ｍｏｂｉｌｅ ＩＰ）との関連において動作する。但し、ＳＡＤ及びＳＰＤは、この代わりに、本発明の実施例に準拠して動作する能力を有するいくつかのその他のセキュリティプロトコルのいずれかによって構成することも可能であることを理解されたい。

ＩＰｓｅｃに従い、ＳＡＤ３８は、送出トラフィックを保護するセキュリティアソシエーションを保存し、かつ、到来トラフィックを保護するセキュリティアソシエーションをも保存するデータベースを有している。例えば、送出トラフィックの場合には、ＳＡＤのエントリをＳＰＤ４０のエントリによってポイント可能である。具体的には、ＳＡＤ内のそれぞれのエントリは、宛先ＩＰアドレス、ＩＰｓｅｃプトロコル（ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）又はＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ））、及びＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒｓ Ｉｎｄｅｘ）というフィールドの中の１つ又は複数のものを包含可能である。さらには、それぞれのエントリは、シーケンス番号カウンタ、シーケンスカウンタオーバーフロー、アンチリプレイウィンドウ、モード、及び／又はライフタイムフィールドを包含可能である。さらには、それぞれのエントリは、例えば、ＡＨパラメータ、認証用のＥＳＰパラメータ、及び／又は暗号化用のＥＳＰパラメータなどの暗号化及び認証キーパラメータを含む暗号パラメータをも包含可能である。

ＩＰｓｅｃに定義されているように、ＳＰＤ４０は、ＶＰＮ ＧＴＷ３６によって実行されるセキュリティポリシーを包含可能なＶＰＮポリシーを保存するデータベースを有している。ＳＡＤ３８と同様に、ＳＰＤは、送出トラフィック及び到来トラフィック用のセキュリティポリシーを保存している（通常は、それぞれを別個に保存している）。一般に、ＶＰＮ ＧＴＷは、ＩＰｓｅｃなどによって保護しなければならないトラフィックをＳＰＤを利用して判定する。そして、特定のトラフィックを保護しなければならない際には、ＳＰＤは、適用しなければならないセキュリティサービスを定義する（この場合に、アクションとして、（ａ）破棄、（ｂ）中継（即ち、セキュリティサービスの適用を伴わない中継）、又は（ｃ）ＩＰｓｅｃ（セキュリティサービスの適用）のいずれかを定義可能である）。ＳＰＤは、個々のセキュリティポリシーを適用する対象であるトラフィックについて記述するセレクタによってインデックス付けされたセキュリティポリシーを保存している。それぞれのＶＰＮポリシーは、通常、実行するべきアクション（即ち、破棄、中継、ＩＰｓｅｃ）と、実行するべきアクションとしてＩＰｓｅｃが定義されている際に適用するべきアルゴリズム及びプロトコルと、を定義している。ＩＰｓｅｃによれば、セレクタは、通常、宛先ＩＰアドレス、発信元ＩＰアドレス、名前、データセンシティビティレベル、トランスポートレイヤプロトコル、及び／又は発信元及び宛先ポートというフィールドによって定義されている。本発明の実施例によれば、前述のＩＰｓｅｃフィールドに加えて（又は、これらの代わりに）、セレクタは、１つ又は複数のユーザ定義フィールドによって定義することも可能である。

先に図示及び説明したように、端末１０は、いくつかの異なる方式のいずれかにより、インターネット２０と、したがって、ＶＰＮ ＧＴＷ３６及びイントラネット３４に対してアクセスする能力を有している。例えば、端末は、ＴＳ３０及び／又はユーザプロセッサ３２を介してインターネットにアクセスする能力を有することができる。さらには（又は、この代わりに）、端末は、回線交換接続の提供などを目的として、ＭＳＣ１６を介してインターネットにアクセスする能力を有することも可能である。又、端末は、さらに（又は、この代わりに）、ＧＰＲＳコアネットワーク２６を跨った回線又はパケット交換接続の提供などを目的として、ＳＧＳＮ２４を介してインターネットにアクセスする能力を有することもできる。本明細書においては、このようなＩＡＰを「インターネットアクセスポイント」又はＩＡＰと呼ぶ。なお、端末は、前述のＩＡＰの中の１つ又は複数のものを介してインターネットにアクセス可能であるが、前述のＩＡＰは、端末がインターネットにアクセスする能力を有することができるいくつかの異なるＩＡＰを例示するものに過ぎないことを理解されたい。

次に、図２を参照すれば、本発明の一実施例によるＧＴＷ１８、オリジンノード２２、ＴＳ３０、ユーザプロセッサ３２、ＶＰＮ ＧＴＷ３６、ＳＡＤ３８、ＳＰＤ４０などのネットワークエンティティとして機能する能力を有するエンティティのブロックダイアグラムが示されている。なお、別個のエンティティとして示されているが、いくつかの実施例においては、１つ又は複数のエンティティは、論理的に分離しているが１つ又は複数のエンティティ内に一緒に配置されているネットワークエンティティの中の１つ又は複数のものをサポート可能である。例えば、単一のエンティティは、論理的に分離しているが一緒に配置されているＳＡＤ及びＳＰＤをサポート可能である。又、例えば、単一のエンティティは、論理的に別個であるが一緒に配置されているＶＰＮ ＧＴＷ、ＳＡＤ、及びＳＰＤをサポート可能である。

図示のように、ネットワークエンティティとして動作する能力を有するエンティティは、一般に、メモリ４４に結合されたコントローラ４２、プロセッサ、又はこれらに類似のものを包含可能である。又、コントローラは、データ、コンテンツ、又はこれらに類似のものを送受信するための少なくとも１つのインターフェイス４６又はその他の手段にも接続可能である。メモリは、揮発性及び／又は不揮発性メモリを有することが可能であり、通常、コンテンツ、データ、又はこれらに類似したものを保存する。例えば、メモリは、通常、本発明の実施例によるエンティティの動作と関連した段階をコントローラが実行するためのソフトウェアアプリケーション、命令、又はこれらに類似したものを保存している。又、前述のように、エンティティがＳＡＤ３８を有している際には、メモリは、通常、イントラネット３４との関連において到来及び／又は送出トラフィックを保護するセキュリティアソシエーションを保存している。さらには、こちらも前述したように、エンティティがＳＰＤ４０を有している場合には、メモリは、通常、ＶＰＮ ＧＴＷ３６によって実行されるセキュリティポリシーを包含可能なＶＰＮポリシーをも保存している。

図３は、本発明の一実施例による端末１０の機能図を示している。なお、図示の端末及び後述する端末は、本発明の利益を享受するモバイル端末の１つのタイプを例示したものに過ぎず、従って、本発明の範囲を限定するものと解釈してはならないことを理解されたい。以下、一例として、端末のいくつかの実施例について例示及び説明するが、ＰＤＡ（Ｐｏｒｔａｂｌｅ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、ポケットベル（登録商標）、ラップトップコンピュータ、及びその他のタイプの音声及びテキスト通信システムなどのその他のタイプの端末も、本発明を容易に利用可能である。

図３に示されている実施例の端末１０は、送信機４８、受信機５０、及び、それぞれ、送信機と受信機の間で信号をやり取りするコントローラ５２、プロセッサ、又はこれに類似したものを含んでいる。これらの信号は、適用可能なセルラーシステムの無線インターフェイス規格に準拠したシグナリング情報と、ユーザの音声及び／又はユーザ生成データと、を含んでいる。この観点において、端末１０は、１つ又は複数の無線インターフェイス規格、通信プロトコル、変調タイプ、及びアクセスタイプによって動作する能力を有することができる。具体的には、端末は、いくつかの１Ｇ、２Ｇ、２．５Ｇ、及び／又は３Ｇ通信プロトコル又はこれらに類似したもののいずれかに従って動作する能力を有することができる。例えば、端末は、２Ｇ無線通信プロトコルであるＩＳ−１３６（ＴＤＭＡ）、ＧＳＭ、及びＩＳ−９５（ＣＤＭＡ）に従って動作する能力を有することができる。又、例えば、端末は、２．５Ｇ無線通信プロトコルであるＧＰＲＳ、ＥＤＧＥ（Ｅｎｈａｎｃｅｄ Ｄａｔａ ＧＳＭ Ｅｎｖｉｒｏｎｍｅｎｔ）、又はこれらに類似したものに従って動作する能力を有することができる。いくつかの狭帯域ＡＭＰＳ（ＮＡＭＰＳ）並びに１つ又は複数のＴＡＣＳ端末も、デュアル又はさらに高次モードの端末（例えば、デジタル／アナログ又はＴＤＭＡ／ＣＤＭＡ／アナログ電話機）として、本発明の実施例の利益を享受可能である。

コントローラ５２は、端末１０のオーディオ及びロジック機能を実装するのに必要な回路を含んでいることを理解されたい。例えば、コントローラは、デジタル信号プロセッサ装置、マイクロプロセッサ装置、及び様々なアナログ／デジタルコンバータ、デジタル／アナログコンバータ、並びに／又はその他のサポート回路から構成可能である。端末の制御及び信号処理機能は、その個々の能力に応じてこれらの装置に割り当てられる。従って、コントローラは、変調及び伝送の前に、メッセージ及びデータを畳み込みエンコードしてインターリーブする機能をも含んでいる。又、コントローラは、内蔵ＶＣ（Ｖｏｉｃｅ Ｃｏｄｅｒ）５２Ａをも包含可能であり、かつ、内蔵ＤＭ（Ｄａｔａ Ｍｏｄｅｍ）５２Ｂを包含することも可能である。さらには、コントローラは、１つ又は複数のソフトウェアアプリケーションを動作させる機能をも包含可能であり、これらのソフトウェアアプリケーションは、メモリ内に保存可能である。

又、端末１０は、従来のイヤホン又はスピーカー５４、電鈴５６、マイクロフォン６０、ディスプレイ６２、及びユーザ入力インターフェイスを含むユーザインターフェイスをも有しており、これらは、いずれも、コントローラ５２に結合されている。端末のデータ受信を実現するユーザ入力インターフェイスは、キーパッド６４、タッチディスプレイ（図示されてはいない）、又はその他の入力装置などの端末のデータ受信を実現するいくつかの装置のいずれかを有することができる。キーパッドを含む実施例においては、キーパッドは、従来の数字（０〜９）及び関係するキー（＃、＊）、並びに、端末の操作に使用するその他のキーを含んでいる。

又、端末１０は、ＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）６６、Ｒ−ＵＩＭ（Ｒｅｍｏｖａｂｌｅ Ｕｓｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）、又はこれらに類似したものなどのメモリをも包含可能であり、これらは、通常、モバイル加入者に関係する情報要素を保存している。端末は、ＳＩＭ以外に、その他のメモリをも包含可能である。この観点において、端末は、データの一時保存用のキャッシュエリアを含む揮発性ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などの揮発性メモリ６８を包含可能である。又、端末は、その他の不揮発性メモリ７０をも包含可能であり、これは、組み込み型及び／又は着脱型のいずれであってもよい。メモリは、端末の機能を実行するべく端末が使用するいくつかの情報要素及びデータのいずれかを保存可能である。例えば、メモリは、ＭＳＣ１６などに対して端末を一意に識別する能力を有するＩＭＥＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｅｑｕｉｐｍｅｎｔ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）コードなどの識別子を包含可能である。

又、例えば、メモリ６６、６８、及び７０は、端末１０によるウェブコンテンツの送受信を実現する従来のウェブブラウザ及び／又は端末による電子メールメッセージ又はこれに類似したものの送受信を実現する従来の電子メールアプリケーションなどの１つ又は複数の接続アプリケーション７１を包含可能である。さらには、例えば、不揮発性メモリは、英国のＳｙｍｂｉａｎ Ｌｉｍｉｔｅｄ社が開発したＳｙｍｂｉａｎ ＯＳバージョン７．０ｓ以降などのオペレーティングシステム（図示せず）を保存することも可能である。又、例えば、後に詳述するように、不揮発性メモリは、ＩＰｓｅｃなどのセキュリティプロトコルに従って１つ又は複数のＶＰＮ接続を確立する能力を有するＶＰＮクライアント７２を保存することも可能である。

本明細書に図示及び説明されているように、ＶＰＮクライアント７２などのアプリケーションは、端末１０によって（端末のコントローラ４０などによって）実行されるソフトウェアを有している。但し、ＶＰＮクライアントの機能は、本発明の精神及び範囲を逸脱することなしに、ハードウェア、ファームウェア、又はこれらに類似したものによっても同様に実装可能であることを理解されたい。又、ＶＰＮクライアントは、端末と一緒に配置されるものとして図示及び説明されているが、ＶＰＮクライアントは、同様に端末から分散させることも可能であることを理解されたい。

端末１０は、いくつかの異なる有線及び／又は無線技法のいずれかに従って、その他のネットワークエンティティなどの電子装置とデータを共有及び／又は取得するための１つ又は複数の手段をさらに包含可能である。例えば、端末は、端末が高周波及び／又は赤外線技法に従ってデータを共有及び／又は取得できるように、高周波（ＲＦ）トランシーバ７４及び赤外線（ＩＲ）トランシーバ７６を包含可能である。又、例えば、端末は、端末がＢｌｕｅｔｏｏｔｈ（登録商標）転送法に従ってデータを共有及び／又は取得できるように、Ｂｌｕｅｔｏｏｔｈ（登録商標）（ＢＴ）トランシーバ７８を包含することも可能である。さらに（又は、この代わりに）、図示されてはいないが、端末は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）及び／又は無線ＬＡＮ（ＷＬＡＮ）、並びに／或いは、その他の無線技法を含むいくつかの異なる有線及び／又は無線ネットワーキング技法に従って電子装置との間でデータを送受信する能力をも有することができる。

背景の節において説明したように、ＶＰＮ上において通信するための従来技法においては、端末１０などのクライアントは、個々のＶＰＮを含む１つ又は複数の物理的なネットワークに対するＩＡＰとの間に通信を確立し、その後、個別のＶＰＮ用のＶＰＮポリシーをロード又は起動することにより、ＶＰＮ接続を確立する必要がある。ＶＰＮ接続を終了させるには、通常、クライアントは、その個別のＶＰＮ用のＶＰＮポリシーをアンロード又は停止し、その後、ＩＡＰとの間の通信を終了させる必要がある。しかしながら、ＶＰＮ接続を起動及び終了させるこのような技法は、特に、「マルチホーム」クライアントにおいて、クライアントの同時ＶＰＮ及びその他の接続の数が増大することに伴って、クライアント又はクライアントユーザに対して望ましくない負担をかけることになる。

本発明の実施例によれば、端末１０は、「シングルホーム」及び／又は「マルチホーム」構成などにおいて、１つ又は複数のＶＰＮを確立し、アクティブに維持する能力を有している。具体的には、「マルチホーム」クライアントとして動作することにより、端末は、同時に１つ又は複数のＩＡＰ上において複数のＶＰＮ接続（及びＶＰＮポリシー）を確立し、アクティブに維持する能力を有している。又、端末は、ＶＰＮ接続とは独立した同一又は異なるＩＡＰの中の１つ又は複数のものに対する１つ又は複数の追加接続と同時に、１つ又は複数のアクティブなＶＰＮ接続を維持する能力をも有している。動作の際には、従来の「マルチホーム」クライアントとは対照的に、端末は、端末又は端末ユーザが、１つ又は複数の個別の物理的なネットワークに対するＩＡＰとの間に通信を別個に確立し、個別のＶＰＮ用のＶＰＮポリシーをロード又は起動し、その後、個別のＶＰＮ用のＶＰＮポリシーをアンロード又は停止し、ＩＡＰとの通信を終了させることを必要とすることなしに、それぞれのＶＰＮ接続を確立する能力をさらに有している。

本発明の実施例に従って１つ又は複数のＶＰＮにアクセスする方法を実現するべく、端末１０、又は、さらに具体的には、端末ユーザは、１つ又は複数の「ＶＰＮアクセスポイント」を定義する能力を有している。後述するように、ＶＰＮアクセスポイントは、一般に、個別のＶＰＮに対する仮想的又は論理的なアクセスポイントであると考えられる。この観点において、ＶＰＮアクセスポイントは、ＶＰＮポリシー及び関連ＩＡＰによって定義可能であり、かつ、名前又はその他の識別子によって識別可能である。ＶＰＮアクセスポイントを利用することにより、端末は、ＩＡＰと略同一の方式により、１つ又は複数のＶＰＮ接続を確立し、アクティブに維持可能であり、これらのＶＰＮ接続は、従来技法に従って確立された類似のＶＰＮ接続の属性を具備している。

後に詳述するように、端末１０、或いは、さらに具体的には、端末ユーザ、又は端末上において動作するアプリケーションがＶＰＮ接続を確立した際に、端末上において動作するＶＰＮクライアント７２は、個別のＶＰＮアクセスポイントを利用してＶＰＮにアクセスする能力を有している。この結果、本明細書においては、それぞれのこのようなＶＰＮ接続を「ＶＰＮアクセスポイント接続」と呼ぶ。具体的には、ＶＰＮアクセスポイント接続を確立するべく、ＶＰＮクライアントは、個別のＶＰＮアクセスポイントを解釈して関連付けられているＩＡＰとの間に接続を確立し、関連付けられているＶＰＮポリシーをロードし、次いで、ＩＡＰ接続上においてＶＰＮトンネルを確立する能力を有している。そして、ＶＰＮアクセスポイント接続を終了させるべく、ＶＰＮクライアントは、ＶＰＮトンネルを閉じ、関連付けられているＶＰＮポリシーをアンロードし、その後、関連付けられているＩＡＰから端末がその他の面において解放される場合には、関連付けられたＩＡＰに対する接続を端末に終了させる能力を有している。

従って、ＶＰＮクライアント７２は、ＶＰＮアクセスポイントを使用することにより、ＶＰＮトンネルの確立及び終了を、ＩＡＰに対する接続の通常の確立及び終了に統合する能力を有している。この結果、従来の技法とは対照的に、端末１０又は端末ユーザは、ＶＰＮ接続を確立する段階を別個に実行したり、専用のＶＰＮユーザインターフェイス（ＵＩ）を使用してＩＡＰ接続の確立及び終了と関連する調整された方式でＶＰＮポリシーをロード及びアンロードする必要がない。

前述のように、かつ、後にさらに説明するように、端末１０は、個別のＶＰＮアクセスポイントを利用して複数のＶＰＮに対して接続することにより、同時に複数のＶＰＮアクセスポイント接続に対する接続を同時にアクティブに維持する能力を有している。さらには、１つ又は複数のＶＰＮアクセスポイント接続は、個別のＶＰＮアクセスポイント接続から独立した同一又は異なるＩＡＰの中の１つ又は複数のものに対する１つ又は複数の接続と共に端末内においてアクティブに共存可能である。端末が複数の同時にアクティブなアクセスポイント接続をアクティブに維持している際には、複数のＶＰＮポリシーも同時にアクティブである。但し、それぞれのＶＰＮポリシーが影響を及ぼすのは、個々のＶＰＮアクセスポイント接続上のトラフィックに対してのみである。この観点において、このようなＶＰＮポリシーの分離を実現するべく、ＶＰＮポリシー内のトラフィックセレクタは、個々のＶＰＮアクセスポイント接続と関連付けられた１つ又は複数のネットワーク識別子（ＩＤ）を包含可能である。

図４には、本発明の一実施例による少なくとも１つのＶＰＮにアクセスする方法における様々な段階を含むフローチャートが示されている。図示のように、この方法は、１つ又は複数のＶＰＮアクセスポイント接続を確立し、アクティブに維持する段階を含んでいる。但し、端末１０が１つ又は複数のＶＰＮアクセスポイント接続を確立し、アクティブに維持できるようになる前に、通常は、個々のＶＰＮアクセスポイントが定義される（このそれぞれは、名前又はその他の識別子、並びに、関連付けられたＶＰＮポリシー及びＩＡＰを含んでいる）。図４のブロック７９に示されているように、１つ又は複数のＶＰＮアクセスポイントを定義する前に、ブロック８０に示されているように、ＶＰＮクライアント７２などにより、端末のメモリ（例えば、不揮発性メモリ７０）内に、１つ又は複数のＶＰＮポリシーをインストール、更新、又は保存することができる。具体的には、ＶＰＮクライアントは、ユーザ固有の証明書ポリシー（ｕｅｒ−ｓｐｅｃｉｆｉｃ ｃｅｒｔｉｆｉｃａｔｅ ｐｏｌｉｃｙ）、一般的な証明書ポリシー（ｇｅｎｅｒｉｃ Ｃｅｒｔｉｆｉｃａｔｅ ｐｏｌｉｃｙ）、及び一般的な非証明書ポリシー（ｇｅｎｅｒｉｃ ｎｏｎ−ｃｅｒｔｉｆｉｃａｔｅ ｐｏｌｉｃｙ）を含む１つ又は複数の異なるタイプのＶＰＮポリシーの中から選択されたＶＰＮポリシーをインストールする能力を有することができる。

ユーザ固有の証明書ポリシーは、通常、ＶＰＮ ＧＴＷ３６に対して安全なトンネルを確立するためにＶＰＮクライアント７２が必要とする情報を含んでいる。具体的には、例えば、ユーザ固有の証明書ポリシーは、１つ又は複数のセキュリティポリシーを包含可能である。さらには、ユーザ固有の証明書ポリシーは、例えば、１つ又は複数のＣＡ（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ）証明書、１つ又は複数のＶＰＮ ＧＴＷ証明書、及び／又は１つ又は複数のＶＰＮクライアントプライベートキー／証明書ペアなどの１つ又は複数のその他の情報要素を包含可能である。ユーザ固有の証明書ポリシーとは対照的に、一般的な証明書ポリシーは、通常、ＶＰＮクライアントプライベートキー／証明書ペアなどのユーザ固有の情報を欠いている。従って、一般的な証明書ポリシーの場合には、ＶＰＮクライアントは、そのＶＰＮクライアント用のプライベートキーを生成し、証明書登録技法などにより、対応する証明書を取得する能力を有することができる。さらには、ユーザ固有及び一般的な証明書ポリシーとは対照的に、一般的な非証明書ポリシーは、通常、ユーザ名／パスワードタイプのＶＰＮ認証を必要としており、インストールの直後に使用可能状態となる。

ＶＰＮクライアント７２が１つ又は複数のＶＰＮポリシーをインストール可能なＳＰＤ４０を含んでいる企業の場合には、通常、個々のシステム管理者が１つ又は複数のＶＰＮポリシーを生成することが理解されよう。次いで、これらのＶＰＮポリシーは、個々のＳＰＤにエクスポートされ、１つ又は複数のＶＰＮポリシーがＶＰＮクライアントに提供されることになる。さらには（又は、この代わりに）、個々のシステム管理者は、１つ又は複数のＶＰＮポリシーをＳＩＳ（Ｓｙｍｂｉａｎ Ｉｎｓｔａｌｌａｔｉｏｎ Ｓｙｓｔｅｍ）ファイルなどのファイル内にパッケージ化することも可能である。次いで、これらのポリシーを含むファイルをＶＰＮクライアントに供給可能であり、その後、ＶＰＮクライアントは、これらのファイルからポリシーをメモリ（例えば、不揮発性メモリ７０）内にインストール又はその他方法で保存可能である。

次に、図５Ａ〜図５Ｃを参照すれば、ＶＰＮクライアント７２が、端末１０のメモリ（例えば、不揮発性メモリ７０）内において１つ又は複数のＶＰＮポリシーをインストールするか、保存するか、又は管理する方法における様々な段階を含むフローチャートが示されている。図示のように、１つ又は複数のＶＰＮポリシーをインストールする方法は、ブロック８０に示されているように、端末ユーザインターフェイス（例えば、キーパッド６４）への入力などにより、ＶＰＮクライアント７２内においてＶＰＮポリシーのインストール手順を起動する段階を含んでいる。ＶＰＮポリシーのインストール／更新手順は、例えば、「ＶＰＮポリシー」のページやＶＰＮクライアントの表示、さらに具体的には、ＶＰＮクライアントのＶＰＮ管理制御パネルアプレットを開く段階を含むいくつかの異なる方式のいずれかにより、起動可能である。その後、端末ユーザは、図６の代表的なＶＰＮクライアント表示に示されているように、「インストール」命令を選択するなどにより、「ＶＰＮポリシー」表示からＶＰＮポリシーのインストールを選択可能である。

或いは、この代わりに、端末１０が、インストールされた１つ又は複数のＶＰＮポリシーを含んでいない場合には、ＶＰＮクライアント７２は、積極的に１つ又は複数のそのようなポリシーのインストールを要求可能である。例えば、図７の代表的なＶＰＮクライアント表示に示されているように、ＶＰＮクライアントは、「ＶＰＮポリシーがインストールされていません。いまインストールしますか？」という文章と要求を含む確認ダイアログを提示可能である。このような要求に応答し、端末ユーザが、ＶＰＮポリシーをインストールしないことを選択した場合には、ＶＰＮクライアントは、通常、ＶＰＮポリシーのインストールを起動せず、かつ、図６の代表的なＶＰＮクライアント表示に示されているように、ＶＰＮポリシーがインストールされていない旨を通知する「ＶＰＮポリシー」表示を再度提示可能である。その後、任意の時点において、端末ユーザは、「インストール」命令を選択するなどにより、「ＶＰＮポリシー」表示からＶＰＮポリシーのインストールを選択可能である。

端末ユーザが１つ又は複数のＶＰＮポリシーのインストールを選択した場合、又は選択したときには、端末１０は、ブロック８２に示されているように、ＶＰＮクライアント７２によって提示される１つ又は複数のＳＰＤのリストなどの中から、１つ又は複数のＶＰＮポリシーをインストール／更新する先のＳＰＤ４０の選択肢を受信可能である。図８の代表的な表示に示されているように、例えば、ＶＰＮクライアント７２は、「ＶＰＮポリシーサーバ」表示などに、１つ又は複数のＳＰＤのアルファベット順のリストを提示可能である。リストに単一のＳＰＤしか含まれていない場合には、ＶＰＮクライアントは、リストされているＳＰＤを自動的に選択するべく構成可能であることが理解されよう。

１つ又は複数のＶＰＮポリシーをインストール／更新する先のＳＰＦ４０を選択した後に、ＶＰＮクライアント７２は、ブロック８４に示されているように、端末が、選択されたＳＰＤにアクセスし、ＳＰＤによって保存されている１つ又は複数のＶＰＮポリシーをインストールすることができる関連付けられたＩＡＰを、選択されたＳＰＤが具備しているかどうかを識別可能である。ＶＰＮクライアントは、選択されたＳＰＤを定義している端末のメモリ内に保存されているＳＰＤ設定などに基づいて、いくつかの異なる方式のいずれかにより、関連付けられているＩＡＰを識別可能である。この観点において、ＶＰＮクライアント７２は、端末１０のメモリ内に、１つ又は複数のＳＰＤ４０を定義するＳＰＤ設定を保存可能であり、この場合に、ＳＰＤ設定は、ＩＡＰアソシエーションに加えて、１つ又は複数のＳＰＤの１つ又は複数のアドレス（例えば、ＩＰアドレス）と、必要に応じて、端末１０と個々の１つ又は複数のＳＰＤの間の信頼関係を定義する情報をも包含可能である。

様々な例においては、ＳＩＳ（Ｓｙｍｂｉａｎ Ｉｎｓｔａｌｌａｔｉｏｎ Ｓｙｓｔｅｍ）ファイルなどからのオフライン方式によってＳＰＤ設定が端末のメモリ（例えば、不揮発性メモリ７０）内に保存されている例などのように、選択されたＳＰＤ４０が、関連付けられたＩＡＰを具備していない場合があることが理解されよう。このような例においては、ＶＰＮクライアント７２は、ブロック８６に示されているように、ＶＰＮクライアントによって提示される利用可能なＩＡＰのリストなどからＩＡＰの選択肢を受信可能である。単一のＳＰＤのケースと同様に、リストに単一のＩＡＰしか含まれていない場合には、ＶＰＮクライアントは、リストされたＩＡＰを自動的に選択するべく構成可能である。ＶＰＮクライアントがＩＡＰの選択肢を受信する方式とは無関係に、ＶＰＮクライアントは、その後、以前に選択されているＳＰＤを定義するＳＰＤ設定内に選択肢を保存可能である。

選択されたＳＰＤ４０が、関連付けられたＩＡＰを具備した後に、ＶＰＮクライアント７２は、ブロック８８に示されているように、選択されたＳＰＤに対する端末１０、又は、さらに具体的には、ＶＰＮクライアントの認証を円滑に実行するためのキーストアパスワードを設定又は入力するように、端末ユーザ対して要求可能である。具体的には、端末ユーザは、通常、キーストアパスワードを設定し、その後、これを使用することにより、端末のメモリ（例えば、不揮発性メモリ７０）内のキーストアを保護しており、具体的には、キーストア内に含まれているＶＰＮ認証及び／又はＳＰＤ認証用のプライベートキー（後述する）を保護している。この観点において、キーストアパスワードは、通常、ＳＰＤ認証用のプライベートキーを保護するべく設定されている。ＶＰＮクライアントは、後述するように、端末とＳＰＤによって保存されたＶＰＮポリシーを同期させるなどの目的で、ＶＰＮクライアントが初めてＳＰＤに接続する際に、これをＳＰＤから受信可能である。

キーストアパスワードが既に設定されている場合には、ブロック９０及び図９の代表的なＶＰＮクライアント表示に示されているように、ＶＰＮクライアント７２は、個別のキーストアパスワードを要求し、その後、これを端末ユーザから受信可能である。但し、様々な例においては、ＶＰＮクライアントは、設定されたキーストアパスワードを端末１０のメモリ（例えば、不揮発性メモリ７０）内に保存可能であることを理解されたい。このような例においては、ＶＰＮクライアントは、端末ユーザに対してキーストアパスワードを要求することなしに、メモリからキーストアパスワードを取得する能力を有することができる。しかしながら、キーストアパスワードがメモリ内に設定又は保存されていない場合には、ブロック９２及び図１０の代表的なＶＰＮクライアント表示に示されているように、ＶＰＮクライアントは、新しいキーストアパスワードを要求し、その後、これを端末ユーザから受信可能である。

キーストアパスワードを設定又は受信した後に、ブロック９４に示されているように、ＶＰＮクライアント７２は、選択されているＳＰＤ４０と関連付けられたＩＡＰに対するデータ接続を確立し、これにより、ＳＰＤに対するデータ接続を確立可能である。その後、ＶＰＮクライアントは、ＳＰＤに対するデータ接続を確立し、ＳＰＤからの１つ又は複数のＶＰＮポリシーのダウンロード、受信、又はその他の方法による同期化を実行することができる。ＳＰＤからの１つ又は複数のＶＰＮポリシーを同期化する前であって、特に、ＶＰＮクライアントがＳＰＤとの信頼関係を望み、他の方法によっては、これを得ることができない場合においては、ＶＰＮクライアントは、ＳＰＤを認証すること及び／又は自分自身をＳＰＤに対して認証することが可能である。ＶＰＮクライアントは、いくつかの異なる方式のいずれかにより、ＳＰＤ及び／又は自分自身をＳＰＤに対して認証可能である。一実施例においては、例えば、ＶＰＮクライアントは、証明書認証法に従ってＳＰＤ証明書及び／又はユーザ証明書を使用することにより、このような１つ又は複数の認証を実行可能である。このような例においては、ＶＰＮクライアントは、パスワードによって保護されたキーストアなどの端末１０のメモリ（例えば、不揮発性メモリ７０）内に、ＳＰＤ証明書及び／又は選択されたＳＰＤに関係するユーザ証明書を保存する能力を有することができる。

ＳＰＤ及びユーザ証明書は、いくつかの異なる方式のいずれかによって生成可能であるが、代表的な一実施例においては、ブロック９６に示されているように、ＶＰＮクライアントがＳＰＤとの間にデータ接続の確立を最初に試みる際に生成される。このような場合において、ＳＰＤ設定が、端末１０と選択されたＳＰＤの間の信頼関係を定義する情報を含んでいない際には、ＶＰＮクライアントがＳＰＤを認証可能である。ＶＰＮクライアントは、ブロック９８に示されているように、ＶＰＮクライアントによって提示されたＳＰＤ識別コードを完成させるべく端末ユーザにチェック及び要求することなどにより、いくつかの異なる方式のいずれかにより、ＳＰＤを認証可能である。このような例においては、ＶＰＮクライアントが自分自身をＳＰＤに対して認証する前に、ＳＰＤのシステム管理者は通常、端末とＳＰＤの間の接続とは独立した方式により、識別コードを端末ユーザに供給可能である。

具体的には、ＶＰＮクライアント７２は、ＳＰＤ識別コードの確認を要求し、その後、ＳＰＤ識別コードの確認を端末ユーザから受信することができる。この観点において、ＶＰＮクライアントは、１つ又は複数の消失文字を有するＳＰＤ識別コードを含むＳＰＤ識別コードダイアログを提示し、消失文字を要求し、その後、この消失文字を端末ユーザから受信するようにできる。例えば、サーバ識別コードが、「３Ｅ：１Ｆ：９Ｅ：Ｅ６：４Ｃ：６Ｅ：Ｆ０：２２：０８：２５：ＤＡ：９１：２３：０８：０５：０３」から構成されている場合に、ＶＰＮクライアントは、「消失している文字を入力することにより、サーバ識別コードを検証してください：３Ｅ：１Ｆ： Ｅ：Ｅ６：４Ｃ：６Ｅ：Ｆ０：２ ：０８：２５：ＤＡ：９ ：２３：０８： ５：０３」という要求を含むダイアログを提示可能である。このような例においては、ＶＰＮクライアントは、端末ユーザから、「９２１０」という文字列を受信し、これにより、ＳＰＤ識別コードを完成させることができる。ＶＰＮクライアント７２が、選択されたＳＰＤ４０を認証する方式とは無関係に、ＳＰＤを認証した際には、ＶＰＮクライアントは、ブロック１００に示されているように、後続の通信の際にＳＰＤを認証するためのＳＰＤ証明書を生成し、その後、これを保存することができる。

ＳＰＤ証明書の生成と同様に、ユーザ証明書は、いくつかの異なる方式のいずれかによって生成可能である。同様に、ＶＰＮクライアント７２がＳＰＤとのデータ接続の確立を初めて試みる際に、ＶＰＮクライアントは、自分自身をＳＰＤに対して認証可能である。ＶＰＮクライアントは、ブロック１０２に示されているように、ユーザ名／パスワードの組み合わせなどによるいくつかの異なる方式のいずれかにより、自分自身をＳＰＤに対して認証可能である。以前と同様に、ＶＰＮクライアントが、選択されたＳＰＤに対して自分自身を認証する方法とは無関係に、ＳＰＤは、その後、クライアント証明書を生成し（又は、ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）から取得し）、クライアント証明書をＶＰＮクライアントに送付可能である。ブロック１０４に示されているように、クライアント証明書を受信した際に、ＶＰＮクライアントは、後続の通信の際にＳＰＤを認証するべく、そのクライアント証明書を保存する。

前述のように、ＳＰＤ４０から１つ又は複数のＶＰＮポリシーをダウンロードする前に、ＶＰＮクライアント７２は、ＳＰＤを認証すること及び／又は自分自身をＳＰＤに対して認証することが可能である。具体的には、ＳＰＤから１つ又は複数のＶＰＮポリシーをダウンロードする前に、ＶＰＮクライアントは、ＳＰＤから、ブロック１０６に示されているように、ＶＰＮクライアントが利用可能な１つ又は複数のＶＰＮポリシーに関する情報を取得することができる。次いで、この情報取得の際に、ＶＰＮクライアントは、ブロック１０８に示されているように、ＳＰＤを認証すること及び／又は自分自身をＳＰＤに対して認証することが可能である。この観点において、ＳＰＤ証明書が、満了している、取り消されている、或いは、無効になっている場合には、ＳＰＤは、ブロック１１０に示されているように、ＶＰＮクライアントと１つ又は複数のＶＰＮポリシーの同期化を拒否可能である。このような例においては、必要に応じて、ＶＰＮクライアントは、端末ユーザに対して情報ダイアログ（例えば、「ポリシーサーバのログインに失敗しました。サーバ定義を削除し再生成してください。」）を提示するなどにより、認証の失敗について端末ユーザに通知可能である。その後、端末ユーザは、後述するように、このような１つ又は複数のＳＰＤのリスト及び設定を管理する際などに、１つ又は複数のＳＰＤのリスト内においてＳＰＤを再定義可能である。次いで、端末ユーザは、再定義されたＳＰＤを選択し、ＶＰＮポリシーのインストールプロセスを再開可能である。

同様に、クライアント証明書が、満了している、取り消されている、或いは、無効になっている場合には、ＶＰＮクライアント７２、又は、さらに具体的には、ＳＰＤ４０は、ブロック１１２に示されているように、ＶＰＮクライアントと１つ又は複数のＶＰＮポリシーの同期化を拒否することができる。このような例においては、その後、ＳＰＤは、以前と同様の方式（ブロック１００、１０２を参照されたい）などにより、新しいクライアント証明書を生成可能である。次いで、ＶＰＮクライアントは、新しく生成されたクライアント証明書を使用することにより、ＳＰＤに対する自分自身の認証を再度試みることができる。

ＳＰＤ証明書とクライアント証明書がいずれも有効であり、かつ、ＶＰＮクライアント７２とＳＰＤ４０間の認証に成功した場合には、ＶＰＮクライアントは、ＳＰＤによって保存されている１つ又は複数のＶＰＮポリシーを同期化可能である。具体的には、ＶＰＮクライアントは、ブロック１１４に示されているように、ＳＰＤから、１つ又は複数のＶＰＮポリシーと、ＳＰＤによって保存、生成、又は受信されている関連付けられた証明書（ユーザ固有又は一般的な証明書ポリシーの場合）と、をダウンロード可能である。ポリシーのダウンロード又は同期化が完了した際に、ＶＰＮクライアントは、必要に応じて、ポリシーの同期化が完了したことを端末ユーザに対して通知することができる。

又、ＶＰＮクライアント７２は、１つ又は複数のＶＰＮポリシーを受信した後に、個々の１つ又は複数のポリシーをインストールすること又は保存することが可能である。例えば、ＶＰＮクライアントは、１つ又は複数のセキュリティポリシーをポリシーファイルにパッケージ化し、１つ又は複数のセキュリティポリシーに関する情報と共に、ポリシーファイルをＶＰＮポリシーストア内に保存可能である。さらには、例えば、ユーザ固有及び一般的な証明書ポリシーの場合には、ＶＰＮクライアントは、パスワードによって保護されたストア内に、１つ又は複数の証明書及び１つ又は複数のプライベートキー／証明書ペアを保存可能である。この観点において、一般的な証明書ポリシー用のＶＰＮクライアントのプライベートキー／証明書ペアを保存する前に、インストールの際に、ＶＰＮクライアントは、ＶＰＮクライアント用のプライベートキーを生成し、証明書登録技法などにより、対応する証明書を取得する能力を有することができる。１つ又は複数のＶＰＮポリシーをインストールする方式とは無関係に、その後、ＶＰＮクライアントは、図１１の代表的なＶＰＮクライアント表示に示されているように、「ＶＰＮポリシー」ページ又は表示などに、インストールされた１つ又は複数のＶＰＮポリシーを提示可能である。

１つ又は複数のＶＰＮポリシーのＶＰＮクライアント７２によるインストールが完了した後に、ＶＰＮクライアントは、個々の１つ又は複数のＶＰＮポリシーを更新、編集、削除、又は変更するなどにより、個々の１つ又は複数のＶＰＮポリシーを管理可能であることが理解されよう。１つ又は複数のＶＰＮポリシーは、いくつかの異なる方式のいずれかにより、更新可能である。但し、代表的な一実施例においては、１つ又は複数のＶＰＮポリシーは、それぞれの１つ又は複数のポリシーをインストールする方式に類似した方式により、更新されている。具体的には、１つ又は複数のＶＰＮポリシーは、特に、１つ又は複数のＶＰＮポリシーが以前にＳＰＤからインストールされている際には、ＶＰＮクライアントを個々のＳＰＤ４０と再同期化させることにより、更新可能である。この結果、ＳＰＤとのそれぞれの同期化の際に、端末のメモリ（例えば、不揮発性メモリ７０）内に保存されているＳＰＤのインストール済みの１つ又は複数のＶＰＮポリシーを、ＳＰＤによって現在保存されている１つ又は複数のＶＰＮポリシーに基づいて、更新、削除、又は変更可能である。

又、１つ又は複数のＶＰＮポリシーを管理する際には、ＶＰＮクライアント７２は、インストール済みの１つ又は複数のＶＰＮポリシーのリストを端末ユーザに提示する能力を有することができる（図１１を参照されたい）。この結果、端末ユーザは、このリストから、１つ又は複数のＶＰＮポリシーに関する詳細な情報の閲覧、並びに、１つ又は複数のＶＰＮポリシーの中の１つ又は複数のものの削除、編集、又は更新を選択可能である。例えば、端末ユーザは、図１２及び図１３の代表的なＶＰＮクライアント表示に示されているように、インストール済みのＶＰＮポリシーを選択し、その後、そのＶＰＮポリシーに関する詳細な情報を閲覧するべく選択可能である。ＶＰＮポリシーは、いくつかの異なる情報要素のいずれかを包含可能であり、この１つ又は複数のものをＶＰＮポリシーに関する詳細情報内に包含可能である。

例えば、ＶＰＮポリシーは、システム管理者によって指定されたものなどの「ポリシー名」と、システム管理者によってＶＰＮポリシー内に包含された情報などのＶＰＮポリシーに関する追加情報を含む「説明」と、を包含可能である。又、例えば、ＶＰＮポリシーは、ＶＰＮクライアントがＳＰＤからＶＰＮポリシーをインストールしている場合には、ＶＰＮクライアント７２がそのＶＰＮポリシーをインストールした先のＳＰＤ４０を示す「ポリシーサーバ名」を包含することも可能である。さらに、例えば、アクティブ又は非アクティブなＶＰＮアクセスポイントなどにおいてＶＰＮポリシーが使用の準備が整っているかどうか、或いは、ＶＰＮポリシーが既に使用中であるかどうか（後述する）について通知する「ポリシーの状態」を、ＶＰＮポリシーが包含することも可能である。さらには、例えば、ＶＰＮポリシーと関連付けられているユーザ証明書（ゼロ又はこれを上回る）が、現在、有効であるか、満了しているか、消失しているか、もはや無効であるか、又はこれらに類似した内容であるかを通知する「証明書の状態」をも、ＶＰＮポリシーは包含可能である。さらには、例えば、ＶＰＮクライアントがＳＰＤからＶＰＮポリシーをインストールしていると仮定した場合に、ＶＰＮポリシーがその個別のＳＰＦから最後に更新された時期に関する「更新」標識を、ＶＰＮポリシーが包含することも可能である。

１つ又は複数のＶＰＮポリシーの管理に加え、ＶＰＮクライアント７２は、１つ又は複数のＶＰＮポリシーのインストール／更新用にＶＰＮクライアントに提供される１つ又は複数のＳＰＤ４０のリストと、リスト内に含まれている１つ又は複数のＳＰＤのＳＰＤ設定と、を管理する能力をも有することができる。この観点において、様々な例においては、端末ユーザがＶＰＮクライアント内においてＳＰＤを定義していない場合などのように、望ましいＳＰＤがリスト内に含まれていなかったり、１つ又は複数のＳＰＤのリストがまだ確立されていない場合があることが理解されよう。このような例においては、端末ユーザは、１つ又は複数のＳＰＤをＳＰＤのリストに追加可能である（このＳＰＤのリストは、ＳＰＤを現在含んでいてもよく、含んでいなくてもよい）。例えば、端末ユーザは、図８に示されているように、「Ｎｅｗ（新規）」命令を選択することにより、「ＶＰＮポリシーサーバ」表示から１つ又は複数のＳＰＤを定義するべく選択可能である。但し、ＳＰＤのリストがＳＰＤを現在含んでいない例においては、ＶＰＮクライアントは、図１４の代表的なＶＰＮクライアント表示に示されているように、「ＶＰＮポリシーサーバが定義されていません。いま定義しますか？」という文章と要求を含む確認ダイアログを提示可能である。

このような要求に応答し、端末ユーザが、１つ又は複数のＳＰＤ４０を追加しないことを選択した場合には、ＶＰＮクライアント７２は、通常、１つ又は複数のＳＰＤの追加を起動せず、再度、ＳＰＤが定義されていないことを通知する「ＶＰＮポリシーサーバ」表示を提示することができる。その後、任意の時点において、端末ユーザは、「Ｎｅｗ（新規）」命令を選択するなどにより、「ＶＰＮポリシーサーバ」表示から１つ又は複数のＳＰＤの追加を選択可能である。この結果、ＳＰＤを１つ又は複数のＳＰＤのリストに追加するべく、ＶＰＮクライアントは、その後、端末ユーザから個別のＳＰＤのホスト名を受信することができ、かつ、利用可能なＩＡＰのリストなどからＩＡＰを受信することもできる。さらには、新しいＳＰＤの場合には、ＶＰＮクライアントは、ＳＰＤのアドレス（例えば、ＩＰアドレス）を受信可能である。このような情報を受けるための代表的なＶＰＮクライアント表示の例については、図１５を参照されたい。ＳＰＤを追加した後に、必要に応じて、ＶＰＮクライアントは、前述の方式などにより、追加されたＶＰＮクライアントの１つ又は複数のＶＰＮポリシーの同期化を起動可能である。

又、１つ又は複数のＳＰＤ４０を管理する際には、ＶＰＮクライアント７２は、前述のように（図８を参照されたい）、利用可能な１つ又は複数のＳＰＤのリストを端末ユーザに対して提示する能力を有することもできる。この結果、このリストから、端末ユーザは、１つ又は複数のＳＰＤに関する詳細情報の閲覧、並びに、１つ又は複数のＳＰＤの中の１つ又は複数のものの削除、編集、又は更新を選択可能である。さらに、例えば、端末ユーザは、１つ又は複数のＳＰＤの中の１つ又は複数のもののＶＰＮポリシーの同期化を選択することも可能である。

再度、図４を参照すれば、ＶＰＮクライアント７２が１つ又は複数のＶＰＮポリシーをインストールしたり、１つ又は複数のＶＰＮポリシー又は利用可能な１つ又は複数のＳＰＤを管理する方式とは無関係に、１つ又は複数のＶＰＮポリシーをインストールした後に、ＶＰＮクライアントは、ブロック８１に示されているように、１つ又は複数のＶＰＮアクセスポイントを定義するか、或いは、この定義を受信可能である。前述のように、それぞれのＶＰＮアクセスポイントは、名前又はその他の識別子、関連付けられたＶＰＮポリシー、及び関連付けられたＩＡＰを包含可能である。例えば、ＶＰＮアクセスポイントを定義するべく、ＶＰＮクライアントは、端末ユーザから、個別のＶＰＮアクセスポイントの名前、並びに、関連付けられたＩＡＰを受信可能である。関連付けられたＩＡＰは、利用可能なＩＡＰのリストから選択可能であるが、代表的な一実施例においては、関連付けられたＩＡＰは、個々のアクセスポイント接続を確立し維持するために接続するべくＶＰＮクライアントが所望しているＶＰＮ ＧＴＷ３６に基づいて、その個別のＶＰＮ ＧＴＷのシステム管理者などにより、事前に定義されている。名前及び関連付けられたＩＡＰに加えて、ＶＰＮクライアントは、インストール済みのＶＰＮポリシーのリストなどから、ＶＰＮアクセスポイントと関連付けるためのＶＰＮポリシーの選択肢を受信可能である。関連付けられているＩＡＰが、ＶＰＮ ＧＴＷに基づいて事前に定義されている例においては、関連付けられているＶＰＮポリシーは、通常、その個別のＶＰＮ ＧＴＷによってサービスされているＳＰＤ４０のＶＰＮポリシーを有していることが理解されよう。

具体的には、本発明の一実施例によれば、それぞれのＶＰＮアクセスポイントは、ＶＰＮクライアント７２の「ＶＰＮアクセスポイント」ページ又は表示を開くことにより、定義可能であり、これは、図１６の代表的なＶＰＮクライアント表示内に示されているように、１つ又は複数の以前に定義されているＶＰＮアクセスポイントのリストを包含可能である。その後、端末ユーザは、こちらも図１６の代表的なＶＰＮクライアント表示に示されているように、「Ｎｅｗ（新規）」命令を選択するなどにより、「ＶＰＮアクセスポイント」表示から１つ又は複数のＶＰＮアクセスポイントを定義するべく選択可能である。その後、ＶＰＮクライアントは、ＶＰＮアクセスポイントの名前又はその他の識別子、関連付けられているＶＰＮポリシー、及び関連付けられているＩＡＰを含む個々のＶＰＮアクセスポイントの設定を受けるためのいくつかの入力フィールドを含むダイアログを提示可能である。例えば、図１７の代表的なＶＰＮクライアント表示に示されているように、ＶＰＮクライアントは、端末ユーザの入力を受けるためのフィールドを含む「ＶＰＮアクセスポイントの編集」ページ又は表示を提示可能である。図示のように、前述のＶＰＮアクセスポイントの設定に加えて、ＶＰＮアクセスポイントは、個別のＶＰＮアクセスポイントとの間に生成されたＶＰＮアクセスポイント接続を識別する能力を有する関連付けられたネットワークＩＤを包含することも可能である。

１つ又は複数のＶＰＮアクセスポイントを定義する方法とは無関係に、１つ又は複数のＶＰＮアクセスポイントを定義した後に、ＶＰＮクライアント７２は、定義された１つ又は複数のＶＰＮアクセスポイントの中の１つ又は複数のものを起動可能である。ＶＰＮクライアントは、いくつかの異なる方式のいずれかにより、１つ又は複数のＶＰＮアクセスポイントを起動可能である。同様に、ＶＰＮクライアントは、ＶＰＮアクセスポイントを直接起動することも可能である。但し、代表的な一実施例においては、ブロック８３に示されているように、１つ又は複数のＶＰＮアクセスポイントを起動する前に、ＶＰＮクライアントは、１つ又は複数の関連付けられたアプリケーションが後から個々の１つ又は複数のＶＰＮアクセスポイントを起動できるように、ＶＰＮアクセスポイントの中の１つ又は複数のものを、端末１０上において動作する能力を有する１つ又は複数のアプリケーション７１と関連付けることができる（或いは、このようにするべく、端末ユーザがＶＰＮクライアントに対して指示可能である）。例えば、端末からＶＰＮ ＧＴＷ３６を跨ってイントラネット３４に結合された電子メールサーバ（すなわち、オリジンサーバ２２）と電子メールメッセージを送受信するように構成された電子メールアプリケーションに対して、ＶＰＮアクセスポイントを関連付けるように、ＶＰＮクライアントに対して端末ユーザが指示することができる。

ＶＰＮアクセスポイントをアプリケーション７１と関連付ける代わりに、アクセスポイントの選択肢（ＩＡＰ又はＶＰＮアクセスポイント）を要求し、その後、これを端末ユーザから受信するように１つ又は複数のアプリケーションを構成することも可能であることが理解されよう。このような例においては、アプリケーションの動作の際に、端末ユーザに対して、１つ又は複数のＩＡＰ及び／又は１つ又は複数のＶＰＮアクセスポイントを含む構成されたアクセスポイントのリストを提示可能である。次いで、端末ユーザは、このリストから、ＶＰＮアクセスポイントなどのアクセスポイントを選択し、これにより、個々のアクセスポイントを起動可能である。この観点において、ＶＰＮクライアントは、従来、ＩＡＰをこのようなアプリケーションと関連付けているものと略同一の方式により、１つ又は複数のＶＰＮアクセスポイントを１つ又は複数のアプリケーションと関連付け可能であり、或いは、１つ又は複数のアプリケーションの動作の際に１つ又は複数のＶＰＮアクセスポイントの選択肢を受信可能である。以下の説明においては、例示を目的として、ＶＰＮアクセスポイントをアプリケーションと関連付けることを前提としているが、前述のように、アプリケーションの動作の際にアクセスポイントのリストからＶＰＮアクセスポイントを同様に選択することも可能である。１つ又は複数のＶＰＮアクセスポイントを１つ又は複数のアプリケーションと関連付けた後に、ＶＰＮクライアント７２は、ブロック８５に示されているように、関連付けられているＶＰＮポリシー及びＩＡＰに基づいて、１つ又は複数のＶＰＮアクセスポイントを起動し、これにより、個々の１つ又は複数のＶＰＮにアクセスする能力を有することができる。１つ又は複数のＶＰＮにアクセスすることにより、１つ又は複数の関連付けられたアプリケーションは、ブロック８７に示されているように、個々の１つ又は複数のＶＰＮを跨って１つ又は複数のデータ接続を確立する能力を有することができる。

次に図１８Ａ〜図１８Ｅには、本発明の一実施例に従って、ＶＰＮアクセスポイントを起動及び停止する方法における様々な段階がさらに具体的に示されている。本明細書においては、ＶＰＮアクセスポイントは、電子メールアプリケーションと関連付けられている。但し、ＶＰＮアクセスポイントは、いくつかの異なるアプリケーションのいずれかと関連付け可能であり、かつ、アプリケーションとの関連付けは必須ではないことを理解されたい。図１８Ａのブロック１１６に示されているように、ＶＰＮアクセスポイントを起動する方法は、関連付けられている電子メールアプリケーションを起動して動作させる段階を含んでいる。その後、ブロック１１８に示されているように、電子メールアプリケーションと関連付けられている電子メールサーバから電子メールメッセージを取得せよという端末ユーザの要求などに応答し、電子メールアプリケーションを作動させることにより、ＶＰＮアクセスポイントを介してデータ接続を要求可能である。その後、電子メールアプリケーションが独自の認証を必要としている場合には、電子メールアプリケーションは、端末ユーザを認証する能力を有することができる。例えば、電子メールアプリケーションは、ブロック１２０及び１２２に示されているように、電子メールアカウントのユーザ名／パスワードの組み合わせを要求し、その後、これを端末ユーザ又はアプリケーション設定から受信することにより、端末ユーザを認証する能力を有することができる。

端末ユーザを認証した後に、必要に応じて、電子メールアプリケーション（例えば、アプリケーション７１）は、関連付けられているＶＰＮアクセスポイントを介して、関連付けられている電子メールサーバ（即ち、オリジンサーバ２２）に対する接続を試みることができる。電子メールアプリケーションによる接続の試みも含めて、ＶＰＮアクセスポイントに対する接続を試みる際には、ＶＰＮクライアント７２は、ブロック１２４に示されているように、電子メールアプリケーションと関連付けられているＶＰＮアクセスポイントと関連付けられたＶＰＮポリシーを起動可能である。ブロック１２６及び１２８に示されているように、ＶＰＮポリシーを起動する際に、関連付けられているＩＡＰ又はＶＰＮポリシーをＶＰＮアクセスポイントが含んでいない場合などのように、ＶＰＮアクセスポイントが不完全なものである場合には、関連付けられている電子メールサーバへの電子メールアプリケーションの接続を回避可能である。このような例においては、電子メールアプリケーションは、接続要求を試みる前の状態に戻ることができる。又、関連付けられているＶＰＮアクセスポイントが、関連付けられたＩＡＰを含んでいない場合には、ＶＰＮクライアントは、「ＶＰＮアクセスポイントにおいて参照されているインターネットアクセスポイントが消失しています。ＶＰＮアクセスポイントの再構成を試みてください。」というメッセージを表示するなどにより、端末ユーザに接続の失敗について通知することができる。一方、関連付けられているＶＰＮアクセスポイントが、関連付けられたＶＰＮポリシーを含んでいない場合にも、ＶＰＮクライアントは、「ＶＰＮアクセスポイントにおいて参照されているＶＰＮポリシーが消失しています。ＶＰＮアクセスポイントの再構成を試みてください。」というメッセージを表示するなどにより、端末ユーザに接続の失敗について通知することができる。

又、ＶＰＮポリシーを起動する際に、ＶＰＮポリシーが、ユーザ固有又は一般的な証明書ポリシーを有しており、かつ、ＶＰＮポリシーが証明書を含んでいないか、或いは、証明書が無効であるか、又は、もはや有効ではない場合には、同様に、ブロック１３０及び１３２に示されているように、関連付けられている電子メールサーバに対する電子メールアプリケーション（アプリケーション７１）の接続を回避可能である。このような例においては、電子メールアプリケーションは、接続要求を試みる前の状態に戻ることができる。そして、ＶＰＮクライアント７２は、「ＶＰＮ接続の起動に失敗しました。ＶＰＮポリシーを更新する必要があります。」又は「ＶＰＮ接続の起動に失敗しました。詳細についてはＶＰＮログを参照してください。」というメッセージを表示するなどにより、端末ユーザに接続の失敗について通知可能である。

ＶＰＮアクセスポイントが完全なものであり、かつ、（ユーザ固有又は一般的な証明書ポリシーの場合に）ＶＰＮポリシーが有効な証明書を含んでいる場合には、端末１０、又は、さらに詳しくは、ＶＰＮクライアント７２は、電子メールアプリケーションに関連付けられているＶＰＮアクセスポイントに関連付けられたＩＡＰに対する接続を確立可能である。様々な例においては、このような接続を許容する前に、端末又は端末ユーザが自分自身をＩＡＰに対して認証することをＩＡＰが必要としている場合があることも理解されよう。従って、ＩＡＰが認証を必要としている場合には、ＩＡＰ、又は、さらに詳しくは、電子メールアプリケーション（例えば、アプリケーション７１）は、ブロック１３４及び１３６に示されているように、ユーザ名／パスワードなどによる認証を端末に対して要求可能である。そして、ＩＡＰが端末１０又は端末ユーザを認証した後に（或いは、ＩＡＰが認証を必要としていない場合には、関連付けられているＶＰＮポリシーを起動した後に）、端末は、ブロック１３８に示されているように、ＩＡＰに対して接続可能である。当業者には周知のように、端末は、自身が保存している個々のＩＡＰの設定に基づいて、いくつかの異なる方式のいずれかにより、ＩＡＰに対して接続可能である。

端末がＩＡＰに接続した後に、ＶＰＮクライアント７２は、電子メールアプリケーションと関連付けられている電子メールサーバ（即ち、オリジンサーバ２２）をサポートしているＶＰＮ ＧＴＷ３６に対して安全なトンネルを確立することにより、個々のＶＰＮにアクセス可能である（ＶＰＮ ＧＴＷは、ユーザ固有又は一般的な証明書ポリシー或いは一般的な非証明書ポリシーとは無関係に、関連付けられているＶＰＮポリシーを提供したＳＰＤ４０をもサポートしている）。但し、個別のＶＰＮ ＧＴＷとの間にトンネルを確立する前に、端末１０又は端末ユーザ、或いは、さらに詳しくは、ＶＰＮクライアント７２が、ブロック１４０に示されているように、ＶＰＮ ＧＴＷに対する自分自身の認証を必要としている場合がある。この観点において、ＶＰＮポリシーが、ユーザ固有又は一般的な証明書ポリシーを有している際には、ＶＰＮクライアントは、その個別のＶＰＮポリシーの１つ又は複数の証明書及び１つ又は複数のプライベートキー／証明書ペアの１つ又は複数のものを使用することにより、ＶＰＮ ＧＴＷに対して自分自身を認証可能である。但し、前述のように、このような１つ又は複数の証明書及び１つ又は複数のプライベートキー／証明書ペアは、パスワードによって保護されているキーストア内に保存可能である。従って、このような例においては、ＶＰＮクライアントは、キーストアパスワードを要求し、その後、これを端末ユーザから受信し、これにより、キーストアにアクセス可能である。そして、キーストアパスワードを受信した際に、ＶＰＮクライアントは、ＶＰＮ認証に必要な１つ又は複数の証明書及び１つ又は複数のプライベートキー／証明書ペアの１つ又は複数のものを取得し、その後、取得した１つ又は複数の証明書及び１つ又は複数のプライベートキー／証明書ペアを使用することにより、ＶＰＴ ＧＴＷに対して自分自身を認証可能である。

ユーザ固有又は一般的な証明書ポリシーとは対照的に、ＶＰＮポリシーが、一般的な非証明書ポリシーを有している際には、ＶＰＮクライアント７２は、ユーザ名／パスワードタイプのＶＰＮ認証に従ってＶＰＮ ＧＴＷ３６に対して自分自身を認証可能である。このような例においては、ＶＰＮクライアントは、ユーザ名及びパスワード又はパスコードを要求し、これを端末ユーザから受信可能である。端末ユーザは、電子メールアプリケーションがアクセスする電子メールサーバ（即ち、オリジンサーバ２２）を含むイントラネット３４のシステム管理者などから、いくつかの異なる方式のいずれかにより、ユーザ名及びパスワード／パスコードを受領可能である。

ＶＰＮクライアント７２がＶＰＮ ＧＴＷ３６に対して自分自身を認証する方法とは無関係に、認証手順に続いて、ＶＰＮクライアントは、ブロック１４２に示されているように、ＶＰＮクライアントが既に接続を確立しているＩＡＰ上においてＶＰＮ ＧＴＷに対する安全なトンネルを確立可能である。ＶＰＮクライアントは、いくつかの異なる技法のいずれに従って安全なトンネルを確立可能である。例えば、一実施例においては、ＶＰＮクライアントは、ＩＰＳｅｃに従ってＶＰＮ ＧＴＷとの間に安全なトンネルを確立する。次いで、ＶＰＮ ＧＴＷとの間に安全なトンネルを確立した後に、電子メールアプリケーションは、ブロック１４４に示されているように、ＶＰＮ ＧＴＷへの安全なトンネル上において、関連付けられている電子メールアプリケーション（即ち、オリジンサーバ２２）とのデータ接続を確立可能である。例えば、電子メールアプリケーションは、電子メールメッセージに対する端末ユーザの要求などに応答し、関連付けられている電子メールアプリケーションとの間にデータ接続を確立し、電子メールサーバから電子メールメッセージを取得する能力を有することができる。

電子メールアプリケーション（例えば、アプリケーション７１）が、関連付けられている電子メールサーバ（即ち、オリジンサーバ２２）との間の通信を完了した後に、ＶＰＮクライアント７２は、図４のブロック８９に示されているように、ＶＰＮに対するアクセスを終了し、これにより、電子メールアプリケーションは、電子メールサーバとのデータ接続を終了することができる。ＶＰＮクライアントは、いくつかの異なる方式のいずれかにより、ＶＰＮに対するアクセスを終了可能である。図１８Ｂ及び図１８Ｃにさらに詳しく示されているように、例えば、ＶＰＮクライアントは、ブロック１４６及び１４８に示されているように、ＶＰＮクライアントとＶＰＮ ＧＴＷ３６の間の安全なトンネルを閉じるか又はその他の方法によって終了させることにより、ＶＰＮに対するアクセスを終了可能である。その後、ＶＰＮクライアントは、ブロック１５０に示されているように、以前に起動されているＶＰＮポリシーをアンロード可能である。次いで、別のＶＰＮをアクティブに維持するためなどに、端末１０が、その個別のＩＡＰに対する別のアクティブに維持されている接続を具備していない場合には、ＶＰＮクライアントは、ブロック１５２及び１５４に示されているように、端末と個々のＩＡＰ間の接続を終了させることができる。そうでない場合には、ブロック１５６に示されているように、ＶＰＮクライアントは、ＩＡＰに対する接続をアクティブな状態に維持可能であるが、ＶＰＮポリシーを停止することにより、ＶＰＮに対するアクセスは、事実上、終了している。

様々な例においては、起動されたＶＰＮアクセスポイントと関連付けられているＶＰＮポリシーが、ＶＰＮポリシーの以前の更新とその個別のＶＰＮアクセスポイントの起動段階の間において変化している可能性があることが理解されよう。従って、本発明の実施例によれば、ＶＰＮクライアントがＶＰＮ ＧＴＷ３６と安全なトンネルを確立するに際に（図１８Ｂのブロック１４２を参照されたい）、或いは、ＶＰＮクライアントがＶＰＮクライアントに対する認証に失敗して安全なトンネルが確立されなかった場合には、ＶＰＮクライアントの認証の後に、起動されたＶＰＮアクセスポイントと関連付けられているＶＰＮポリシーを自動的に更新するようにＶＰＮクライアント７２を構成可能である。次に、図１８Ｂ、図１８Ｄ、及び図１８Ｅを参照すれば、本発明の一実施例においては、ＶＰＮ ＧＴＷとの間に安全なトンネルを確立した後に、図１８Ｄのブロック１５８及び１６０に示されているように、起動されたＶＰＮポリシーと関連付けられ、かつ個別のＶＰＮ ＧＴＷによってサービスされているＳＰＤ４０に、ＶＰＮクライアントが接続し、ＶＰＮポリシーがＳＰＤから削除又は更新されているかどうかを判定可能である。

ＶＰＮポリシーがＳＰＤ４０から削除又は更新されていない場合には、ＶＰＮクライアント７２は、前述のものなどの方式によって動作を継続可能である。しかしながら、ＶＰＮポリシーが削除されている場合には、ＶＰＮクライアント７２は、ブロック１６２に示されているように、端末１０のメモリ（例えば、不揮発性メモリ７０）からその個別のＶＰＮポリシーを削除可能である。このような場合、メモリからＶＰＮポリシーを削除した後には、ＶＰＮアクセスポイントは不完全なものになる。この結果、以前と同様に、関連付けられている電子メールサーバに対する電子メールアプリケーションの接続を回避することができる（ブロック１２８を参照されたい）。このような例においては、電子メールアプリケーションは、接続要求を試みる前の状態に戻ることができる。又、必要に応じて、ＶＰＮクライアントは、「使用中のＶＰＮポリシーが削除されています。ＶＰＮアクセスポイントの再構成を試みてください。」というメッセージを端末ユーザに対して提示するなどにより、端末ユーザにポリシーの削除について通知することも可能である。

一方、ＶＰＮポリシーが更新されている場合には、ＶＰＮクライアント７２は、図１８Ｅのブロック１６４に示されているように、ＶＰＮポリシーを更新するかどうかの標識を端末ユーザに対して要求可能である。端末ユーザが、ＶＰＮポリシーを更新しないことを選択した場合には、ＶＰＮクライアントは、ＶＰＮポリシーが更新されなかったかのように動作可能である。しかしながら、端末ユーザがＶＰＮポリシーの更新を選択した場合には、ＶＰＮクライアントは、ＶＰＮポリシーを更新可能である。ＳＰＤ４０からＶＰＮポリシーを更新する前に、ＶＰＮクライアントは、パスワードによって保護されたキーストア内に保存されているＳＰＤ証明書及び／又はユーザ証明書を使用し、証明書認証技法などに基づいて、ＳＰＤを認証すると共に／又はＳＰＤに対して自分自身を認証可能である。このような例においては、ＶＰＮクライアントは、ブロック１６６に示されているように、キーストアパスワードを要求し、その後、これを端末ユーザから受信し、これにより、キーストアにアクセスし、ＳＰＤ証明書及び／又はクライアント証明書を取得可能である。

ＳＰＤ証明書及び／又はクライアント証明書を取得した後に、ＶＰＮクライアント７２は、ブロック１６８に示されているように、個々の証明書に基づいて、ＳＰＤを認証すると共に／又は、自分自身をＳＰＤに対して認証可能である。この観点において、ＳＰＤ証明書が満了しているか、取り消されているか、或いは無効である場合には、ＳＰＤ４０は、ブロック１７０に示されているように、ＶＰＮクライアントによるＶＰＮポリシーの更新を拒否可能である。同様に、クライアント証明書が満了しているか、取り消されているか、或いは無効である場合にも、ＶＰＮクライアント、又は、さらに詳しくは、ＳＰＤは、ブロック１７２に示されているように、ＶＰＮポリシーの更新を拒否可能である。このような例においては、必要に応じて、ＶＰＮクライアントは、情報ダイアログ（例えば、「ポリシーサーバのログインに失敗しました。詳細については、ＶＰＮログを参照してください。」）を端末ユーザに提示するなどにより、端末ユーザに認証の失敗について通知可能である。その後、ＶＰＮクライアントは、ＶＰＮポリシーが更新されなかったかのように動作可能である。

ＳＰＤ証明書とクライアント証明書の両方が有効であり、かつ、ＶＰＮクライアント７２とＳＰＤ４０の間の認証に成功した場合には、ＶＰＮクライアントは、ＳＰＤからＶＰＮポリシーを更新可能である。具体的には、ＶＰＮクライアントは、ブロック１７４に示されているように、ＳＰＤから、ＳＰＤによって保存、生成、又は受信された更新済みのＶＰＮポリシー及び（ユーザ固有又は一般的な証明書ポリシーの場合に）関連する証明書をダウンロード可能である。ポリシーのダウンロード又は同期化が完了した際に、ＶＰＮクライアントは、必要に応じて、ポリシーの更新が完了したことを端末ユーザに通知可能である。次いで、ＶＰＮクライアントは、以前と同様に、安全なトンネルの確立を完了させることにより、動作可能である（ブロック１４２を参照されたい）。

前述のように、１つ又は複数のＩＡＰ及びＳＰＤ４０は、利用可能なＩＡＰのリストから選択可能であり、１つ又は複数のＶＰＮアクセスポイントは、ＶＰＮクライアント７２内において定義可能である。しかしながら、様々な例においては、リスト内に含まれていない又はＶＰＮクライアント内において定義されていない１つ又は複数のＩＡＰ、ＳＰＤ、ＶＰＮアクセスポイント、又はこれらに類似したものを利用するほうが望ましい場合があることを理解されたい。このような例においては、端末１０、又は、さらに詳しくは、ＶＰＮクライアントは、１つ又は複数のＩＡＰ（又は、ＩＡＰ設定）、１つ又は複数のＳＰＤ（又は、１つ又は複数のＳＰＤを定義するＳＰＤ設定）、及び／又はＶＰＮアクセスポイントを受信する能力を有することができる。ＶＰＮクライアントは、いくつかの異なる方式のいずれかにより、１つ又は複数のこのようなデータ構造を受信可能である。一実施例においては、例えば、ＶＰＮクライアントは、ＳＭＳ法により、１つ又は複数のこのようなデータ構造を受信する能力を有することができる。

本発明の一態様によれば、端末１０のすべて又は一部などの本発明のシステムのすべて又は一部は、一般に、コンピュータプログラムプロダクト（例えば、ＶＰＮクライアント７２）の制御下において稼動している。本発明の実施例の方法を実行するコンピュータプログラムプロダクトは、不揮発性ストレージ媒体などのコンピュータ可読ストレージ媒体と、コンピュータ可読ストレージ媒体内に埋め込まれた一連のコンピュータ命令などのコンピュータ可読プログラムコード部分と、を含んでいる。

この観点において、図４、図５Ａ〜図５Ｃ、及び図１８Ａ〜図１８Ｅは、本発明の実施例による方法、システム、及び／又はコンピュータプログラムプロダクトのフローチャートである。これらのフローチャートのそれぞれのブロック又は段階、及びフローチャート内のブロックの組み合わせは、コンピュータプログラム命令によって実装可能であることを理解されたい。これらのコンピュータプログラム命令をコンピュータ又はその他のプログラム可能な装置上にロードして機械を生成することにより、コンピュータ又はその他のプログラム可能な装置上において稼動する命令によって、フローチャートの１つ又は複数のブロック又は段階に規定されている機能を実装する手段を生成可能である。又、これらのコンピュータプログラム命令を、コンピュータ又はその他のプログラム可能な装置を特定の方式で機能させることができるコンピュータ可読メモリ内に保存することにより、コンピュータ可読メモリ内に保存された命令によって、フローチャートの１つ又は複数のブロック又は段階に規定された機能を実装する命令手段を含む製造物を生成可能である。又、コンピュータプログラム命令をコンピュータ又はその他のプログラム可能な装置上にロードし、コンピュータ又はその他のプログラム可能な装置上において一連の動作段階を実行させ、コンピュータ実装されたプロセスを生成することにより、コンピュータ又はその他のプログラム可能な装置上において稼動する命令によって、フローチャートの１つ又は複数のブロック又は段階に規定された機能を実装する段階を提供可能である。

従って、フローチャートのブロック又は段階は、規定された機能を実行する手段の組み合わせ、規定された機能を実行する段階の組み合わせ、及び規定された機能を実行するプログラム命令手段をサポートしている。又、フローチャートのそれぞれのブロック又は段階と、フローチャート内のブロック又は段階の組み合わせは、規定された機能又は段階を実行する専用のハードウェアに基づいたコンピュータシステム、又は専用ハードウェアとコンピュータ命令の組み合わせにより、実装可能であることをも理解されたい。

当業者であれば、以上の説明及び添付の図面に提示されている開示内容の利益を具備した本発明の多くの変更及びその他の実施例を想起可能であろう。従って、本発明は、開示された特定の実施例に限定されるものではなく、変更及びその他の実施例も添付の請求項の範囲に包含されることを意図していることを理解されたい。本明細書においては、特定の用語を利用しているが、それらは、一般的かつ説明的な意味において使用されているに過ぎず、限定を意図するものではない。

端末が無線ＲＦリンクを通じて双方向に結合されているモバイルネットワーク及びデータネットワークを含む本発明の一実施例による無線通信システムの概略ブロックダイアグラムである。 本発明の実施例によるネットワークエンティティとして動作する能力を有するエンティティの概略ブロックダイアグラムである。 本発明の一実施例による端末の概略ブロックダイアグラムである。 本発明の一実施例による少なくとも１つのＶＰＮにアクセスする方法における様々な段階を含むフローチャートである。 本発明の一実施例に従って１つ又は複数のＶＰＮポリシーをインストール、保存、又は管理する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従って１つ又は複数のＶＰＮポリシーをインストール、保存、又は管理する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従って１つ又は複数のＶＰＮポリシーをインストール、保存、又は管理する方法における様々な段階を含むフローチャートである。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の実施例の動作の際にＶＰＮクライアントによって提示可能な代表的な表示である。 本発明の一実施例に従ってＶＰＮアクセスポイントを起動並びに提示する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従ってＶＰＮアクセスポイントを起動並びに提示する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従ってＶＰＮアクセスポイントを起動並びに提示する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従ってＶＰＮアクセスポイントを起動並びに提示する方法における様々な段階を含むフローチャートである。 本発明の一実施例に従ってＶＰＮアクセスポイントを起動並びに提示する方法における様々な段階を含むフローチャートである。

Claims (52)

1. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスするシステムであって、
   ＶＰＮクライアント及び少なくとも１つのアプリケーションと通信する能力を有する端末であって、前記ＶＰＮクライアントは、少なくとも１つのＶＰＮアクセスポイントを定義する能力を有し、それぞれのＶＰＮアクセスポイントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーを含んでおり、前記ＶＰＮクライアントは、前記少なくとも１つのＶＰＮアクセスポイントに基づいて少なくとも１つのＶＰＮにアクセスし、これにより、前記少なくとも１つのＶＰＮを跨って少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立する能力を有している端末、
   を有するシステム。
2. 前記端末の前記ＶＰＮクライアントは、前記関連付けられた物理的なアクセスポイント及びＶＰＮポリシーに基づいて少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、前記少なくとも１つのＶＰＮにアクセスする能力を有する請求項１記載のシステム。
3. 前記端末の前記ＶＰＮクライアントは、少なくとも１つのＶＰＮアクセスポイントを前記少なくとも１つのアプリケーションと関連付けることにより、少なくとも１つのＶＰＮアクセスポイントを起動し、その後、前記少なくとも１つのアプリケーションから少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、前記ＶＰＮを跨って前記少なくとも１つのアプリケーションから前記少なくとも１つのデータ接続を確立する能力を有する請求項２記載のシステム。
4. 前記端末の前記ＶＰＮクライアントは、前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの間に接続を確立することによって、それぞれのＶＰＮアクセスポイントを起動し、前記個々のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをロードし、その後、前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて、前記物理的なアクセスポイント上においてＶＰＮトンネルを確立する能力を有する請求項２記載のシステム。
5. 前記端末の前記ＶＰＮクライアントは、前記少なくとも１つのＶＰＮに対するアクセスを終了させ、これにより、前記少なくとも１つのアプリケーションからの前記少なくとも１つのデータ接続を終了させる能力をさらに有しており、前記端末は、前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて確立された前記物理的なアクセスポイント上の前記ＶＰＮトンネルを閉じ、前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをアンロードし、その後、前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの間の接続を終了させることによってそれぞれのＶＰＮに対するそれぞれのアクセスを終了させる能力を有する請求項１記載のシステム。
6. 前記端末の前記ＶＰＮクライアントは、前記ＶＰＮアクセスポイントの名前の選択肢を受信し、前記ＶＰＮアクセスポイントと関連付けるための物理的なアクセスポイントの選択肢を受信し、その後、前記ＶＰＮアクセスポイントと関連付けるためのＶＰＮポリシーの選択肢を受信することにより、それぞれのＶＰＮを定義する能力を有する請求項１記載のシステム。
7. 前記端末の前記ＶＰＮクライアントは、少なくとも１つのＶＰＮポリシーをインストールする能力をさらに有しており、この結果、前記ＶＰＮクライアントは、前記少なくとも１つのインストール済みのＶＰＮポリシーからＶＰＮポリシーの選択肢を受信する能力を有する請求項６記載のシステム。
8. 少なくとも１つのＶＰＮポリシーを保存する能力を有する少なくとも１つのセキュリティポリシーデータベース（ＳＰＤ）であって、それぞれのＳＰＤは、物理的なアクセスポイントと関連付けられており、前記端末の前記ＶＰＮクライアントは、ＳＰＤの選択肢を受信し、前記個別のＳＰＤと関連付けられた前記物理的なアクセスポイントを介して前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードし、その後、前記少なくとも１つのダウンロードしたＶＰＮポリシーをインストールする能力を有している、少なくとも１つのＳＰＤ、
   をさらに有する請求項７記載のシステム。
9. 前記端末の前記ＶＰＮクライアントは、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントとの間にデータ接続を確立し、前記物理的なアクセスポイントとの間に確立されたデータ接続を介して前記ＳＰＤとの間にデータ接続を確立し、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つを認証し、その後、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つが認証された際に、前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする能力を有する請求項８記載のシステム。
10. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスする方法において、
    少なくとも１つのＶＰＮアクセスポイントを定義する段階であって、それぞれのＶＰＮアクセスポイントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーを含んでいる、段階と、
    前記少なくとも１つのＶＰＮアクセスポイントに基づいて少なくとも１つのＶＰＮにアクセスし、これにより、前記少なくとも１つのＶＰＮを跨って少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立する段階と、
    を有する方法。
11. 少なくとも１つのＶＰＮにアクセスする段階は、
    前記関連付けられた物理的なアクセスポイント及びＶＰＮポリシーに基づいて少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、少なくとも１つのＶＰＮにアクセスする段階、
    を有する請求項１０記載の方法。
12. 少なくとも１つのＶＰＮアクセスポイントを起動する段階は、
    少なくとも１つのＶＰＮアクセスポイントを少なくとも１つのアプリケーションと関連付ける段階と、
    前記少なくとも１つのアプリケーションから少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、前記ＶＰＮを跨って前記少なくとも１つのアプリケーションから前記少なくとも１つのデータ接続を確立する段階と、
    を有する請求項１１記載の方法。
13. それぞれのＶＰＮアクセスポイントを起動する段階は、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの間に接続を確立する段階と、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをロードする段階と、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて前記物理的なアクセスポイント上においてＶＰＮトンネルを確立する段階と、
    を有する請求項１１記載の方法。
14. 前記少なくとも１つのＶＰＮに対するアクセスを終了させ、これにより、前記少なくとも１つのアプリケーションからの前記少なくとも１つのデータ接続を終了させる段階をさらに有しており、
    前記それぞれのＶＰＮに対するアクセスを終了させる段階は、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて確立された前記物理的なアクセスポイント上における前記ＶＰＮトンネルを閉じる段階と、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをアンロードする段階と、
    前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの間の前記接続を終了させる段階と、
    を有する請求項１０記載の方法。
15. それぞれのＶＰＮアクセスポイントを定義する段階は、
    前記ＶＰＮアクセスポイントの名前の選択肢を受信する段階と、
    前記ＶＰＮアクセスポイントと関連付けるための物理的なアクセスポイントの選択肢を受信する段階と、
    前記ＶＰＮアクセスポイントと関連付けるためのＶＰＮポリシーの選択肢を受信する段階と、
    を有する請求項１０記載の方法。
16. 少なくとも１つのＶＰＮポリシーをインストールする段階をさらに有し、
    ＶＰＮポリシーの選択肢を受信する段階は、前記少なくとも１つのインストールされたＶＰＮポリシーからＶＰＮポリシーの選択肢を受信する段階を有する請求項１５記載の方法。
17. 少なくとも１つのＶＰＮポリシーをインストールする段階は、
    ＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）の選択肢を受信する段階であって、前記ＳＰＤは、少なくとも１つのポリシーを保存する能力を有しており、前記ＳＰＤは、関連付けられた物理的なアクセスポイントを具備している、段階と、
    前記ＳＰＤと関連付けられた前記物理的なアクセスポイントを介して前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする段階と、
    前記少なくとも１つのダウンロードされたＶＰＮポリシーをインストールする段階と、
    を有する請求項１６記載の方法。
18. 少なくとも１つのＶＰＮポリシーをインストールする段階は、ＶＰＮクライアントによって少なくとも１つのＶＰＮポリシーをインストールする段階を有しており、
    少なくとも１つのＶＰＮポリシーをダウンロードする段階は、
    前記ＶＰＮクライアントから前記ＳＰＤと関連付けられた前記物理的なアクセスポイントに対してデータ接続を確立する段階と、
    前記物理的なアクセスポイントに対して確立された前記データ接続を介して前記ＶＰＮクライアントから前記ＳＰＤに対してデータ接続を確立する段階と、
    前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つを認証する段階と、
    前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つが認証された際に、前記ＳＰＤから少なくとも１つの１つのＶＰＮポリシーをダウンロードする段階と、
    を有する請求項１７記載の方法。
19. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）にアクセスするコンピュータプログラムプロダクトであって、
    前記コンピュータプログラムプロダクトは、その内部に保存されたコンピュータ可読プログラムコード部分を具備するコンピュータ可読ストレージ媒体を有しており、
    前記コンピュータ可読プログラムコード部分は、
    少なくとも１つのＶＰＮアクセスポイントを定義する第１実行可能部分であって、それぞれのＶＰＮアクセスポイントは、関連付けられた物理的なアクセスポイント及びＶＰＮポリシーを含んでいる、第一実行可能部分と、
    前記少なくとも１つのＶＰＮアクセスポイントに基づいて少なくとも１つのＶＰＮにアクセスし、これにより、少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立する第２実行可能部分と、
    を有する、コンピュータプログラムプロダクト。
20. 前記第２実行可能部分は、前記関連付けられた物理的なアクセスポイント及びＶＰＮポリシーに基づいて少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、少なくとも１つのＶＰＮにアクセスするようにされている請求項１９記載のコンピュータプログラムプロダクト。
21. 前記第２実行可能部分は、少なくとも１つのＶＰＮアクセスポイントを少なくとも１つのアプリケーションと関連付け、その後、前記少なくとも１つのアプリケーションから少なくとも１つのＶＰＮアクセスポイントを起動し、これにより、前記ＶＰＮを跨って前記少なくとも１つのアプリケーションから少なくとも１つのデータ接続を確立するようにされている請求項２０記載のコンピュータプログラムプロダクト。
22. 前記第２実行可能部分は、前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの間に接続を確立することによってそれぞれのＶＰＮアクセスポイントを起動し、前記個々のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをロードし、その後、前記個々のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて前記物理的なアクセスポイント上においてＶＰＮトンネルを確立するようにされている請求項２０記載のコンピュータプログラムプロダクト。
23. 前記少なくとも１つのＶＰＮに対するアクセスを終了させ、これにより、前記少なくとも１つのアプリケーションからの前記少なくとも１つのデータ接続を終了させる第３実行可能部分であって、前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーに基づいて確立された前記物理的なアクセスポイント上の前記ＶＰＮトンネルを閉じ、前記個別のＶＰＮアクセスポイントと関連付けられた前記ＶＰＮポリシーをアンロードし、その後、前記個別のＶＰＮアクセスポイントと関連付けられた前記物理的なアクセスポイントとの前記接続を終了させることにより、それぞれのＶＰＮに対するアクセスを終了させるようにされている第３実行可能部分、
    をさらに有する請求項１９記載のコンピュータプログラムプロダクト。
24. 前記第１実行可能部分は、前記ＶＰＮアクセスポイントの名前の選択肢を受信し、前記ＶＰＮアクセスポイントと関連付けるための物理的なアクセスポイントの選択肢を受信し、その後、前記ＶＰＮアクセスポイントと関連付けるためのＶＰＮポリシーの選択肢を受信することにより、それぞれのＶＰＮアクセスポイントを定義するようにされている請求項１９記載のコンピュータプログラムプロダクト。
25. 少なくとも１つのＶＰＮポリシーをインストールする第３実行可能部分をさらに有し、
    前記第２実行可能部分は、前記少なくとも１つのインストールされたＶＰＮポリシーからＶＰＮポリシーの選択肢を受信するようにされている請求項２４記載のコンピュータプログラムプロダクト。
26. 前記第３実行可能部分は、セキュリティポリシーデータベース（ＳＰＤ）の選択肢を受信し、前記ＳＰＤと関連付けられた物理的なアクセスポイントを介して前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードし、その後、前記少なくとも１つのダウンロードしたＶＰＮポリシーをインストールするようにされている請求項２５記載のコンピュータプログラムプロダクト。
27. 前記コンピュータプログラムプロダクトは、ＶＰＮクライアントの制御下において動作するようにされており、前記第３実行可能部分は、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントに対して前記ＶＰＮクライアントからデータ接続を確立し、前記物理的なアクセスポイントに対して確立された前記データ接続を介して前記ＶＰＮクライアントから前記ＳＰＤに対してデータ接続を確立し、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つを認証し、その後、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくも１つが認証された際に、前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードするようにされている請求項２６記載のコンピュータプログラムプロダクト。
28. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）ポリシーを管理するシステムであって、少なくとも１つのＶＰＮポリシーは、少なくとも１つのＶＰＮにアクセスする際に使用される、システムにおいて、
    少なくとも１つのＶＰＮポリシーを保存する能力を有する少なくとも１つのセキュリティポリシーデータベース（ＳＰＤ）と、
    ＶＰＮクライアントと通信する能力を有する端末であって、前記ＶＰＮクライアントは、少なくとも１つの物理的なアクセスポイントを跨って前記少なくとも１つのＳＰＤと通信し、これにより、前記少なくとも１つのＳＰＤから前記少なくとも１つのＶＰＮポリシーをダウンロードする能力を有しており、前記ＶＰＮクライアントは、前記少なくとも１つのＶＰＮポリシーをＶＰＮポリシーストア内に保存する能力を有し、前記ＶＰＮクライアントは、前記少なくとも１つのＳＰＤと同期化し、これにより、前記ＶＰＮポリシーストア内に保存されている前記少なくとも１つのＶＰＮポリシーを更新する能力を有している、端末と、
    を有するシステム。
29. 少なくとも１つのＶＰＮポリシーは、証明書及び証明書／プライベートキーペアの少なくとも１つを含んでおり、前記ＶＰＮクライアントは、パスワードによって保護されたキーストア内に前記証明書及び前記証明書／プライベートキーペアの前記少なくとも１つを保存する能力を有する請求項２８記載のシステム。
30. 前記ＶＰＮクライアントは、ＳＰＤの選択肢を受信する能力を有しており、前記ＳＰＤは、関連付けられた物理的なアクセスポイントを具備し、前記ＶＰＮクライアントは、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントを介して前記選択されたＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする能力を有する請求項２８記載のシステム。
31. 前記ＶＰＮクライアントは、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントとの間にデータ接続を確立し、前記物理的なアクセスポイントとの間に確立された前記データ接続を介して前記ＳＰＤとの間にデータ接続を確立し、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つを認証し、その後、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つが認証された際に、前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする能力を有している請求項３０記載のシステム。
32. 前記ＶＰＮクライアントは、ＳＰＤ証明書に基づいて前記ＳＰＤを認証する能力を有しており、前記ＶＰＮクライアントは、ユーザ証明書に基づいて前記ＶＰＮクライアントを認証する能力を有している請求項３１記載のシステム。
33. 前記ＳＰＤは、複数の文字を含む関連付けられた識別コードを具備しており、前記ＶＰＮクライアントは、前記ＳＰＤと関連付けられた前記識別コードの確認を受信し、その後、確認が受信された際にＳＰＤ証明書を生成することにより、前記ＳＰＤ証明書を生成する能力を有する請求項３２記載のシステム。
34. 前記ＶＰＮクライアントは、前記ＳＰＤと関連付けられた前記識別コードを含むＳＰＤ識別コードダイアログを提示する能力を有しており、前記ＳＰＤ識別コードダイアログ内の前記識別コードは、少なくとも１つの文字を消して提示され、前記ＶＰＮクライアントは、前記少なくとも１つの文字を受信し、その後、前記ＳＰＤ識別コードダイアログ内において提示された前記識別コードが、前記少なくとも１つの受信した文字により、前記ＳＰＤと関連付けられた前記識別コードとマッチングした場合に、前記識別コードの確認を受信する能力を有する請求項３３記載のシステム。
35. 前記ＶＰＮクライアントは、前記ＶＰＮクライアントを前記ＳＰＤに対して認証し、その後、前記ＶＰＮクライアントが認証された際に、ユーザ証明書を生成することにより、前記ユーザ証明書を生成する能力を有する請求項３２記載のシステム。
36. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）ポリシーを管理する方法であって、前記少なくとも１つのＶＰＮポリシーは、少なくとも１つのＶＰＮにアクセスする際に使用される、方法において、
    少なくとも１つのセキュリティポリシーデータベース（ＳＰＤ）から少なくとも１つのＶＰＮポリシーをダウンロードする段階と、
    前記少なくとも１つのＶＰＮポリシーをＶＰＮポリシーストア内に保存する段階と、
    前記少なくとも１つのＳＰＤと同期化し、これにより、前記ＶＰＮポリシーストア内に保存されている前記少なくとも１つのＶＰＮポリシーを更新する段階と、
    を有する方法。
37. 少なくとも１つのＶＰＮポリシーは、証明書及び証明書／プライベートキーペアの少なくとも１つを含んでおり、前記少なくとも１つのＶＰＮポリシーを保存する段階は、前記証明書及び前記証明書／プライベートキーペアの前記少なくとも１つをパスワードによって保護されたキーストア内に保存する段階をさらに有する請求項３６記載の方法。
38. ＳＰＤの選択肢を受信する段階であって、前記ＳＰＤは、関連付けられた物理的なアクセスポイントを具備している、段階をさらに有し、
    少なくとも１つのＶＰＮポリシーをダウンロードする段階は、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントを介して前記選択されたＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする段階を有する請求項３６記載の方法。
39. 少なくとも１つのＶＰＮポリシーをダウンロードする段階は、
    前記ＳＰＤと関連付けられた前記物理的なアクセスポイントに対して前記ＶＰＮクライアントからデータ接続を確立する段階と、
    前記物理的なアクセスポイントに対して確立された前記データ接続を介して前記ＶＰＮクライアントから前記ＳＰＤに対してデータ接続を確立する段階と、
    前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つを認証する段階と、
    前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つが認証された際に、前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードする段階と、
    を有する請求項３８記載の方法。
40. 前記ＳＰＤを認証する段階は、ＳＰＤ証明書に基づいて前記ＳＰＤを認証する段階を有し、前記ＶＰＮクライアントを認証する段階は、ユーザ証明書に基づいて前記ＶＰＮクライアントを認証する段階を有する請求項３９記載の方法。
41. 前記ＳＰＤは、複数の文字を含む関連付けられた識別コードを具備しており、
    前記方法は、ＳＰＤ証明書を生成する段階をさらに有し、
    ＳＰＤ証明書を生成する段階は、
    前記ＳＰＤと関連付けられた前記識別コードの確認を受信する段階と、
    確認が受信された際に前記ＳＰＤ証明書を生成する段階と、
    を有する請求項４０記載の方法。
42. 確認を受信する段階は、
    前記ＳＰＤと関連付けられた前記識別コードを含むＳＰＤ識別コードダイアログを提示する段階であって、前記ＳＰＤ識別コードダイアログ内の前記識別コードは、少なくとも１つの文字を消して提示される、段階と、
    前記少なくとも１つの文字を受信する段階と、
    前記ＳＰＤ識別コードダイアログ内において提示された前記識別コードが、前記少なくとも１つの受信した文字により、前記ＳＰＤと関連付けられた前記識別コードとマッチングした場合に、前記識別コードの確認を受信する段階と、
    を有する請求項４１記載の方法。
43. ユーザ証明書を生成する段階をさらに有し、
    ユーザ証明書を生成する段階は、
    前記ＶＰＮクライアントを前記ＳＰＤに対して認証する段階と、
    前記ＶＰＮクライアントが認証された際に前記ユーザ証明書を生成する段階と、
    を有する請求項４０記載の方法。
44. 少なくとも１つの仮想プライベートネットワーク（ＶＰＮ）ポリシーを管理するコンピュータプログラムプロダクトにおいて、
    前記少なくとも１つのＶＰＮポリシーは、少なくとも１つのＶＰＮにアクセスする際に使用されるものであり、
    前記コンピュータプログラムプロダクトは、その内部に保存されたコンピュータ可読プログラムコード部分を具備するコンピュータ可読ストレージ媒体を有しており、
    前記コンピュータ可読プログラムコード部分は、
    少なくとも１つのセキュリティポリシーデータベース（ＳＰＤ）から少なくとも１つのＶＰＮポリシーをダウンロードする第１実行可能部分と、
    前記少なくとも１つのＶＰＮポリシーをＶＰＮポリシーストア内に保存する第２実行可能部分と、
    前記少なくとも１つのＳＰＤと同期化し、これにより、前記ＶＰＮポリシーストア内に保存されている前記少なくとも１つのＶＰＮポリシーを更新する第３実行可能部分と、
    を有するコンピュータプログラムプロダクト。
45. 少なくとも１つのＶＰＮポリシーは、証明書及び証明書／プライベートキーペアの少なくとも１つを含んでおり、前記第２実行可能部分は、前記証明書及び前記証明書／プライベートキーペアの前記少なくとも１つをパスワードによって保護されたキーストア内にさらに保存するようにされている請求項４４記載のコンピュータプログラムプロダクト。
46. ＳＰＤの選択肢を受信する第４実行可能部分であって、前記ＳＰＤは、関連付けられた物理的なアクセスポイントを具備している、第４実行可能部分をさらに有し、
    前記第１実行可能部分は、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントを介して前記選択されたＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードするようにされている請求項４４記載のコンピュータプログラムプロダクト。
47. 前記第１実行可能部分は、前記ＳＰＤと関連付けられた前記物理的なアクセスポイントに対して前記ＶＰＮクライアントからデータ接続を確立し、前記物理的なアクセスポイントに対して確立された前記データ接続を介して前記ＶＰＮクライアントから前記ＳＰＤにデータ接続を確立し、前記ＳＤＰ及び前記ＶＰＮクライアントの少なくとも１つを認証し、その後、前記ＳＰＤ及び前記ＶＰＮクライアントの少なくとも１つが認証された際に、前記ＳＰＤから少なくとも１つのＶＰＮポリシーをダウンロードするようにされている請求項４６記載のコンピュータープログラムプロダクト。
48. 前記第１実行可能部分は、ＳＰＤ証明書に基づいて前記ＳＰＤを認証するようにされており、前記第１実行可能部分は、ユーザ証明書に基づいて前記ＶＰＮクライアントを認証するようにされている請求項４７記載のコンピュータプログラムプロダクト。
49. 前記ＳＰＤは、複数の文字を含む関連付けられた識別コードを具備しており、
    前記コンピュータプログラムプロダクトは、ＳＰＤ証明書を生成する第５実行可能部分さらに有しており、
    前記第５実行可能部分は、前記ＳＰＤと関連付けられた前記識別コードの確認を受信し、その後、確認が受信された際に前記ＳＰＤ証明書を生成するようにされている請求項４８記載のコンピュータプログラムプロダクト。
50. 前記第５実行可能部分は、前記ＳＰＤと関連付けられた前記識別コードを含むＳＰＤ識別コードダイアログを提示するようにされており、前記ＳＰＤ識別コードダイアログ内の前記識別コードは、少なくとも１つの文字をなくして提示され、前記第５実行可能部分は、前記少なくとも１つの文字を受信し、その後、前記ＳＰＤ識別コードダイアログ内において提示された前記識別コードが、前記少なくとも１つの受信した文字により、前記ＳＰＤと関連付けられた前記識別コードとマッチングした場合に、前記識別コードの確認を受信するようにされている請求項４９記載のコンピュータプログラムプロダクト。
51. ユーザ証明書を生成する第５実行可能部分をさらに有し、
    前記第５実行可能部分は、前記ＶＰＮクライアントを前記ＳＰＤに対して認証し、その後、前記ＶＰＮクライアントが認証された際に、前記ユーザ証明書を生成するようにされている請求項４８記載のコンピュータプログラムプロダクト。
52. コンピュータ可読ストレージ媒体内に組み込まれている仮想プライベートネットワーク（ＶＰＮ）アクセスポイントのデータ構造において、
    ＶＰＮクライアントがＶＰＮゲートウェイにアクセスし、これにより、ＶＰＮに対する前記ＶＰＮクライアントのアクセスを実現可能な方式を規定する物理的なアクセスポイントの定義と、
    前記ＶＰＮゲートウェイを跨ったトラフィックのセキュリティを定義する少なくとも１つのセキュリティポリシーを規定するＶＰＮポリシーと、
    を有するＶＰＮアクセスポイントのデータ構造。

Images