JP2008124870A

JP2008124870A - 末端機をセクション化するシステムと方法

Info

Publication number: JP2008124870A
Application number: JP2006307744A
Authority: JP
Inventors: Kwok-Yan Leung; クオ−ヤンリャン
Original assignee: Leung Kwok Yan
Current assignee: Leung Kwok Yan
Priority date: 2006-11-14
Filing date: 2006-11-14
Publication date: 2008-05-29

Abstract

【課題】末端機をセクション化するシステムと方法の提供。
【解決手段】主にセクション化モジュールを利用しリモートデータプロトコル(RDP)のパケットだけに通過を許し、ローカルエリアネットワークの内部セクションと外部セクションを区画する。該ローカルエリアネットワーク中の外部セクション中にはエンドサーバーを設置し、該内部セクション中には末端機コンピュータを設置する。このローカルエリアネットワーク中において、末端機コンピュータはセクション化モジュールを通過する必要があり、また末端機サーバーを通過し、必要とするデータを取得、表示する。しかし、末端機コンピュータが行う操作は実際には末端機サーバー上において行われ、且つセクション化モジュールを通して末端機コンピュータに到達するパケットは無害なRDP特色だけを備えるため、完全にハッカーの侵入或いはウィルスの感染の危険を杜絶することができる。
【選択図】図１

Description

本発明は一種の末端機をセクション化するシステムと方法に関する。特に一種のRDPパケットのろ過を利用する末端機をセクション化するシステムと方法に係る。

ウィルス或いはハッカーがもたらす脅威は日に日に重大になっているため、機能がさらに強大なアンチウィルスソフト或いはファイアーウァールメカニズムに対する企業のニーズは差し迫ったものになっている。一般に、アンチウィルス、ハッカー防止措置を行うネットワークフレームは以下の３階層に分けられる。
第一層：ネットワーク(SMTP)ゲートウェイ(Internet Gateways)
第二層：サーバー(情報、アプリケーション、ファイル、印刷などのサーバー)
第三層：ユーザー末端機(デスクトップ及びノートブックコンピュータ)
理論上は、第一層の安全を確保していれば、ウィルスはその組織内に進入できず、第二層と第三層の保護も必要がないということになる。

第一層の防護は、ルールに基づいたポリシーの執行(rules-based policy enforcement)とウィルススキャンの２個のユニットを含む。
ルールの執行を通して、既知の内容(電子メールのサブジェクト欄のI LOVE YOUなど) に基づき、或いはアンチウィルスソフトメーカーがウィルスコードを発布する前においては、ルールの確立を通してウィルスから防御する。この他、ルールを利用し「面倒」と誤認される可能性のある古いウィルスを探し出すこともできる。例えば、アンチウィルスソフトメーカーが「COKEGIF.EXE」ウィルスを面倒/誤報類と分類したなら、同メーカーのアンチウィルスエンジンはこれらウィルスが付随したファイルの電子メールをガードすることはない。
第一層のウィルス防御があるおかげで、各会社組織は１〜２個のゲートウェイ上において会社全体のために、ウィルスを捕捉しガードすればそれで良い。しかし、ウィルスが一旦ゲートウェイを通過すれば、会社はサーバーの代理プログラム(server agents)に頼り多くのサーバーに対してスキャンと修復を行わなくてはならず、１個のゲートウェイを処理するだけで良いという訳には行かなくなる。もしある原因でウィルスがサーバー層に到達したなら、ユーザー末端機のこの層のアンチウィルスソフトに頼らなくてはならないが、これは恐らく数万個に及ぶ接続ポイント(nodes)に影響を及ぼす。すなわち、第一層でウィルスを阻止することが最も有効な解決方法なのである。

しかし、現実の生活ではウィルス感染或いは多種のチャンネルへのハッカーの侵入は、しばしばウィルス感染或いはハッカーの侵入後に始めて発見され、すなわちやはり抜け穴が存在するということである。もし永遠にすべてのパケットをろ過することだけに頼るなら、広大なユーザー末端機に対しては極めて高いリスクが存在する。

この他、企業のグローバル化に従い、情報フレームの調整もここ数年来企業の情報にとって重要な任務の一つとなっている。しかし、各支社間のリモート情報応用においては、分散式の情報フレームはしばしば以下のような危険にさらされている。
1.情報セキュリティ。
2.大域幅のニーズが大きい。システム性能が不良。
3.システムが拡充の弾力性を欠く。
4.ソフトの派送、前端ユーザーのサービスなどユーザー末端機の情報メンテナンスコストが高い。
このため、集中式の情報応用フレーム(すなわち、末端機システム)が各大企業に受け入れられている。

末端機システムは以上のような長所を備える他に、そのものが備える集中性もウィルス或いはハッカーの侵入を完全に防ぐことができる。これは、末端機システム中では、すべての末端機の性格を演じる末端機コンピュータ(すなわち、Windows（登録商標） XP末端機モードを採用するパーソナルコンピュータなど)は末端機サーバーに接続することができるため、末端機サーバーを通して電子メールを受け取り、ファイルをダウンロードし、ファイルを執行することができるためである。こうすることで、万一ウィルスやハッカーの侵入があっても、末端機サーバー中だけで発生するということになる。
しかし、伝統的な末端機システム中では、最初はウィルスやハッカーは末端機サーバーだけに感染或いは侵入するが、最後には末端機サーバーを通してすべてのコンピュータに拡散を開始する。

本発明の主な目的は、末端機をセクション化するシステムと方法を提供し、リモートデータプロトコル(remote data protocol、RDP)のパケットの通過だけを許し、ローカルエリアネットワークの内部セクションと外部セクションを区画し、外部セクションがウィルス或いはハッカーに侵入された時に、影響がローカルエリアネットワーク中のすべてのコンピュータに及ぶことを防止する。

上述の目的に基づき、本発明セクション化モジュール、末端機サーバー、末端機コンピュータを含み、
該セクション化モジュールはリモートデータプロトコル(remote data protocol、RDP)のパケットのみ通過を許し、ローカルエリアネットワークの内部セクションと外部セクションを区画し、
該末端機サーバーは該ローカルエリアネットワークの外部セクションに設置され、リモートデータプロトコルの制御命令パケットに基づき、相対する要求データを取得及び/或いは表示し、要求データは制御命令パケットの結果に応え、
該末端機コンピュータはローカルエリアネットワークの内部セクションに設置され、リモートデータプロトコルに基づき該セクション化モジュールを通過し、該末端機サーバーに対して制御命令パケットを発し、及びリモートデータプロトコルに基づき影像に属する要求データを受け取り及び/或いは表示することを特徴とする末端機をセクション化するシステムと方法である。

請求項１の発明は、セクション化モジュール、末端機サーバー及び末端機コンピュータを含み、
該セクション化モジュールはリモートデータプロトコル(remote data protocol、RDP)が許可したパケットだけを通過させ、これによりローカルエリアネットワークの内部セクションと外部セクションを区画し、
該末端機サーバーは該ローカルエリアネットワークの外部セクションに設置され、該リモートデータプロトコルの制御命令パケットに基づき、相対するよう要求データを取得及び/或いは表示し、該要求データは該制御命令パケットの結果に応え、
該末端機コンピュータは該ローカルエリアネットワーク中の内部セクションに設置され、該リモートデータプロトコルに基づき該セクション化モジュールを通過し、該末端機サーバーに対して該制御命令パケットを発し、該リモートデータプロトコルに基づき影像に属する該要求データを取得及び/或いは表示することを特徴とする末端機をセクション化するシステムとしている。
請求項２の発明は、請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムは末端機コンピュータに属するキーボード及び/或いはマウスを通して該制御命令パケットを発し、及び該末端機コンピュータに属する表示装置を通して影像に属する該要求データを表示することを特徴とする末端機をセクション化するシステムとしている。
請求項３の発明は、請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにデータ保存装置を含み、
該データ保存装置は複数のファイルデータを保存し、且つ該セクション化モジュールを経由せず、該末端機サーバー及び/或いは該末端機コンピュータからのファイルアクセス要求を直接受け取り、並びに該ファイルアクセス要求に応え、該ファイルデータを処理することを特徴とする末端機をセクション化するシステムとしている。
請求項４の発明は、請求項３記載の末端機をセクション化するシステムにおいて、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取り及び/或いは書き込むものであることを特徴とする末端機をセクション化するシステムとしている。
請求項５の発明は、請求項３記載の末端機をセクション化するシステムにおいて、前記末端機コンピュータからの該ファイルアクセス要求は該ファイルデータを読み取るだけのものであることを特徴とする末端機をセクション化するシステムとしている。
請求項６の発明は、請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにサービスサーバーを含み、
該サービスサーバーは該ローカルエリアネットワーク中の外部セクションに設置され、予定のサービス機能を備え、且つ該末端機サーバーを通してのみ該予定のサービス機能を提供可能であることを特徴とする末端機をセクション化するシステムとしている。
請求項７の発明は、請求項６記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにリモート末端機を含み、
該リモート末端機はインターネットを通して該末端機サーバーに合法的にログインし、該末端機サーバーを通して該サービスサーバーが提供する該予定のサービス機能を使用し、及び/或いは該末端機コンピュータが保存するデータにアクセスすることを特徴とする末端機をセクション化するシステムとしている。
請求項８の発明は、請求項６記載の末端機をセクション化するシステムにおいて、前記予定のサービス機能はインターネットページアクセスサービス、電子メールサービス、ファイル伝送サービス、或いは他のデジタルサービスであることを特徴とする末端機をセクション化するシステムとしている。
請求項９の発明は、請求項６記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにリモート末端機、位置転換モジュールを含み、
該リモート末端機は識別に用いることができる識別データを備え、該末端機サーバーと該サービスサーバーの内の一つに対してリモート操作を行い、
該位置転換モジュールは該識別データが合法であることを検証後、該リモート末端機はファイアーウァールメカニズムを通って該末端機サーバーと該サービスサーバーの内の一つに対して該リモート操作を行うことを特徴とする末端機をセクション化するシステムとしている。
請求項１０の発明は、請求項９記載の末端機をセクション化するシステムにおいて、前記識別データは該リモート末端機の装置コード或いはそれが属するインターネットカードのMACアドレスであることを特徴とする末端機をセクション化するシステムとしている。
請求項１１の発明は、請求項９記載の末端機をセクション化するシステムにおいて、前記リモート末端機が多数台である時には、該位置転換モジュールは該各リモート末端機が通信時に採用する通信ポート(Port)により区分を行うことを特徴とする末端機をセクション化するシステムとしている。
請求項１２の発明は、請求項９記載の末端機をセクション化するシステムにおいて、前記位置転換モジュールはさらに対応表を含み、該対応表中の各データは少なくとも１個の通信ポート(Port)、該通信ポートが対応する該末端機サーバー、該サービスサーバー、該末端機コンピュータのIPアドレスを含むことを特徴とする末端機をセクション化するシステムとしている。

請求項１３の発明は、末端機をセクション化する方法は以下の方法を含み、
リモートデータプロトコル(remote data protocol、RDP)のパケットのみの通過を許し、ローカルエリアネットワークの内部セクションと外部セクションを区画し、
末端機サーバーを該ローカルエリアネットワーク中の該外部セクションに設置し、
末端機コンピュータを該ローカルエリアネットワークの該内部セクションに設置し、
該末端機コンピュータを通して該リモートデータプロトコルにより該末端機サーバーに対して制御命令パケットを発し、
該末端機サーバーは該リモートデータプロトコルの該制御命令パケットに基づき、相対する要求データを取得及び/或いは表示し、該要求データは該制御命令パケットの結果に応え、
該末端機コンピュータを通して、該リモートデータプロトコルにより影像に属する該要求データを取得及び/或いは表示することを特徴とする末端機をセクション化する方法としている。
請求項１４の発明は、請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法は末端機コンピュータに属するキーボード及び/あるいはマウスを通して該制御命令パケットを発し、及び該末端機コンピュータに属する表示装置を通して影像に属する該要求データを表示することを特徴とする末端機をセクション化する方法としている。
請求項１５の発明は、請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにデータ保存装置を含み、
該データ保存装置は複数のファイルデータを保存し、且つ該末端機サーバー及び/或いは該末端機コンピュータからのファイルアクセス要求を直接受け取り、並びに該ファイルアクセス要求に応え、該ファイルデータを処理することを特徴とする末端機をセクション化する方法としている。
請求項１６の発明は、請求項１５記載の末端機をセクション化する方法において、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取り及び/或いは書き込むものであることを特徴とする末端機をセクション化する方法としている。
請求項１７の発明は、請求項１５記載の末端機をセクション化する方法において、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取るのみであることを特徴とする末端機をセクション化する方法としている。
請求項１８の発明は、請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにサービスサーバーを含み、
該サービスサーバーは該ローカルエリアネットワーク中の外部セクションに設置され、予定のサービス機能を備え、且つ該末端機サーバーを通してのみ該予定のサービス機能を提供可能であることを特徴とする末端機をセクション化する方法としている。
請求項１９の発明は、と請求項１８記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにリモート末端機を含み、
該リモート末端機はインターネットを通して該末端機サーバーに合法的にログインし、該末端機サーバーを通して該サービスサーバーが提供する該予定のサービス機能を使用し、及び/或いは該末端機コンピュータが保存するデータにアクセスすることを特徴とする末端機をセクション化する方法している。
請求項２０の発明は、請求項１８記載の末端機をセクション化する方法において、前記予定のサービス機能はインターネットページアクセスサービス、電子メールサービス、ファイル伝送サービス、或いは他のデジタルサービスであることを特徴とする末端機をセクション化する方法としている。
請求項２１の発明は、請求項１８記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにリモート末端機を含み、
該リモート末端機は識別に用いることができる識別データを備え、該末端機サーバーと該サービスサーバーの内の一つに対してリモート操作を行い、
該識別データが合法であることを検証後、該リモート末端機はファイアーウァールメカニズムを通って該末端機サーバーと該サービスサーバーの内の一つに対して該リモート操作を行うことを特徴とする末端機をセクション化する方法としている。
請求項２２の発明は、請求項２１記載の末端機をセクション化する方法において、前記識別データは該リモート末端機の装置コード或いはそれが属するインターネットカードのMACアドレスであることを特徴とする末端機をセクション化する方法としている。
請求項２３の発明は、請求項２１記載の末端機をセクション化する方法において、前記リモート末端機が多数台である時には、該位置転換モジュールは該各リモート末端機が通信時に採用する通信ポート(Port)により区分を行うことを特徴とする末端機をセクション化する方法としている。
請求項２４の発明は、請求項２１記載の末端機をセクション化する方法において、前記位置転換モジュールはさらに対応表を含み、該対応表中の各データは少なくとも１個の通信ポート(Port)、該通信ポートが対応する該末端機サーバー、該サービスサーバー、該末端機コンピュータのIPアドレスを含むことを特徴とする末端機をセクション化する方法としている。

本発明は末端機をセクション化するシステムと方法を提供し、リモートデータプロトコル(remote data protocol、RDP)のパケットの通過だけを許し、ローカルエリアネットワークの内部セクションと外部セクションを区画し、外部セクションがウィルス或いはハッカーに侵入された時に、影響がローカルエリアネットワーク中のすべてのコンピュータに及ぶことを防止することができる。

本発明末端機をセクション化するシステムの第一実施例表示図である図１に示すように、本発明末端機をセクション化するシステムは主にセクション化モジュール１２、末端機サーバー１４、末端機コンピュータ１６a、１６bにより組成する。
該末端サーバー１４、該末端機コンピュータ１６a、１６bは既存の技術の作動方式と同様であるが、該両者間には別にセクション化モジュール１２を加える。該セクション化モジュール１２、該末端機サーバー１４、該末端機コンピュータ１６a、１６bはすべてローカルエリアネットワーク１０中に存在し、ルータ２２によりインターネットに接続する。

簡単に言えば、既にウィルス感染或いはハッカーに侵入された末端機サーバー１４が、同様の該ローカルエリアネットワーク１０中の末端機コンピュータ１６a、１６bに危険を及ぼすことを避けるため、本発明システムのセクション化モジュール１２はリモートデータプロトコル(remote data protocol、RDP)が許可したパケットだけを通過させる。これにより該ローカルエリアネットワーク１０の内部セクション１０aと外部セクション１０bを区画し、さらに、パケットをろ過する関係で、該末端機コンピュータ１６a、１６bに危害を与える恐れのあるすべてのパケットを該外部セクション１０b中に留める。つまり、該末端機サーバー１４、該末端機コンピュータ１６a、１６bが構成する末端機システムにおいては、該セクション化モジュール１２を別に備えるために、本発明システム中では該末端機サーバー１４或いはインターネットから、該セクション化モジュール１２を通して該末端機コンピュータ１６a、１６bに到達するパケットは、無害なRDPのパケット(図形影像など)だけを残すこととなる。こうしてウィルス感染或いはハッカー侵入の危険を完全に杜絶する。

本発明末端機をセクション化するシステム中では、もし内部セクション１０a中に位置する末端機コンピュータ１６aがインターネット上のデータを保存する必要がある時には、該末端機コンピュータ１６aのパケットは先に該セクション化モジュール１２を通過する必要があり、次に該外部セクション１０b中に位置する末端機サーバー１４を通過し、取得し、必要なデータを表示する。この構造において、該末端機コンピュータ１６aが行う操作は実際には該末端機サーバー１４上において行われ、ウィルスを含んだプログラムを無意識に執行したとしても、該末端機サーバー１４に被害を与えるだけである。これに元に戻す技術を対応させ、感染する前の状態に戻せば、該末端機サーバー１４を素早く救うことができ、システム全体の正常な作動を回復することができる。

例えば、もし末端機コンピュータ１６aが末端機サーバー１４に対してリモートデータプロトコル(RDP)の制御命令パケット(あるサイトのページを閲覧するなど)を発するなら、該末端機サーバー１４は該制御命令のパケットに基づき、対応するページ内容の要求されたデータを取得する。さらに、該制御命令パケットに応え該ページの内容を表示し、同時に末端機システム既存の作動モードに基づき、該末端機コンピュータ１６aはリモートデータプロトコルに基づき、影像に属する要求データ(すなわち、ページの内容)を受信及び/或いは表示する。
上記制御命令パケットは主に末端機コンピュータ１６a、１６bに属するキーボード及び/あるいはマウスを通して発生し、且つ該末端機コンピュータ１６a、１６bが属する表示装置を通して影像の要求データを表示する。
すべてのデータを集中管理し、且つ末端機サーバー１４がウィルス感染或いはハッカーに侵入され、その保存データを破壊されることがないよう確保するため、本発明末端機をセクション化するシステム中では、特にデータ保存の部分に対して全く新しい設計を有する。

本発明末端機をセクション化するシステムの第二実施例表示図である図２に示すように、本発明末端機をセクション化するシステムは主にセクション化モジュール１２、末端機サーバー１４、末端機コンピュータ１６a、１６bにより組成する。内部セクション１０a、外部セクション１０bの間にはデータ保存装置２０を設置する。該末端機サーバー１４、該末端機コンピュータ１６a、１６bは既存の技術の作動方式と同様であるが、両者間にはセクション化モジュール１２を加える。該セクション化モジュール１２、該末端機サーバー１４、該末端機コンピュータ１６a、１６bはすべてローカルエリアネットワーク１０中に存在し、ルータ２２によりインターネットに接続する。
具体的に言うと、該データ保存装置２０は主に複数のファイルデータの保存に用い、且つ該セクション化モジュール１２を通過しない状態で、該末端機サーバー１４及び/或いは該末端機コンピュータ１６a、１６bからのファイル保存要求を直接受け取り、且つファイル保存要求に応えファイルデータを処理する。該末端機サーバー１４、該末端機コンピュータ１６a、１６bからのファイルアクセス要求は、ファイルデータの読み取り及び/或いは書き込みである。もし図３に示すリモート末端機２６を対応させるなら、使用者は便利に外部ネットワークから該ローカルエリアネットワーク１０中の既に授権したデータを取り出し、或いは該ローカルエリアネットワーク１０中において既に授権した操作を行うことができる。

本発明末端機をセクション化するシステムの第三実施例表示図である図３に示すように、本発明末端機をセクション化するシステムは主にセクション化モジュール１２、末端機サーバー１４、末端機コンピュータ１６a、１６b、データ保存装置２０により組成する。外部セクション１０bにはサービスサーバー(電子メールサーバー１８a、インターネットページサーバー１８b、或いはファイル伝送サービス、他のデジタルサービスを提供するサーバーなど)を設置する。該末端機サーバー１４、該末端機コンピュータ１６a、１６bは既存の技術の作動方式と同様であるが、両者間にはセクション化モジュール１２を加える。該セクション化モジュール１２、該末端機サーバー１４、該末端機コンピュータ１６a、１６bはすべてローカルエリアネットワーク１０中に存在し、ルータ２２によりインターネットに接続する。
上記サービスサーバーが提供する予定のサービス機能はすべて該末端機サーバー１４を通してのみ予定のサービス機能を提供し、或いは、一般的な状況では接続され、その提供するサービスを使用する。もし該末端機サーバー１４を通して電子メールサーバー１８a、インターネットページサーバー１８bが提供するサービスを使用する時には、使用者は該ローカルエリアネットワーク１０の末端機コンピュータ１６a、１６bにより、或いはインターネットのリモート末端機２６を通して末端機サーバー１４にログインし、続いて末端機サーバー１４により電子メールを受信し、或いはページを閲覧する。このような状況では、すべての執行、ファイルのオープンは、実際には該末端機サーバー１４上で行われ、電子メール或いはページ閲覧時の該末端機コンピュータ１６a、１６b、該リモート末端機２６への無意識の感染を防止することができる。

もし前記のデータ保存装置２０、該リモート末端機２６を対応させ、該末端機サーバー１４を通して該データ保存装置２０中のデータにアクセスするなら、使用者は内部のローカルエリアネットワーク１０から公開或いは(授権を経て)私有のデータを取り出すことができる他、インターネット中のリモート末端機２６から公開或いは(授権を経て)私有のデータを取り出すこともできる。
しかし、使用者が該データ保存装置２０により内部機密データを漏洩することを防止するために、該末端機コンピュータ１６a、１６bからのデータアクセス要求に対してのみフィルデータを読み取ることができる。こうして、使用者は先に機密データを該データ保存装置２０中に保存し、図３に示すリモート末端機２６を通して、外部よりこの機密データを持ち出すことはできなくなる。
該構造中において、リモート末端機２６は電子メールサーバー１８a、インターネットページサーバー１８bが提供するサービスを使用する他に、インターネットを通して末端機サーバー１４に合法的にログインし、該末端機サーバー１４を通して特定の末端機コンピュータ１６a、１６bが保存するデータを取り出し、また該末端機コンピュータ１６a、１６bはサーバーのようにログインを受け付けることができる。

ますます普及が進んでいるファイアーウァールメカニズムのインターネットシステムに対しては、末端機システムの応用において阻害を発生する。これは末端機システム中のリモート末端機２６そのものがインターネット通信能力(IPアドレスなど)、演算処理能力を欠き、伝統的には末端機は十分な情報を識別に提供することができず、ファイアーウァール装置が末端機が合法的なユーザーであるかどうかを識別できないためである。もしさらに高いファイアーウァールメカニズムに対する場合には、末端機は演算処理能力を欠くため、ファイアーウァールメカニズムの検証を通過することはできない。

本発明末端機をセクション化するシステムの第四実施例表示図である図４に示すように、本発明末端機をセクション化するシステムは主にセクション化モジュール１２、末端機サーバー１４、末端機コンピュータ１６a、１６b、データ保存装置２０、サービスサーバー(電子メールサーバー１８a、インターネットページサーバー１８b、或いはファイル伝送サービス、他のデジタルサービスを提供するサーバーなど)により組成する。外部セクション１０bには位置転換モジュール２４(通常はファイアーウァール装置の中に統合される)を設置する。該末端機サーバー１４、該末端機コンピュータ１６a、１６bは既存の技術の作動方式と同様であるが、両者間にはセクション化モジュール１２を加える。該セクション化モジュール１２、該末端機サーバー１４、該末端機コンピュータ１６a、１６b、電子メールサーバー１８a、インターネットページサーバー１８bはすべてローカルエリアネットワーク１０中に存在し、ルータ２２によりインターネットに接続する。
末端機システムをファイアーウァールメカニズム中でも応用可能とするため、本発明システム中の位置転換モジュール２４ではいくらかの調整を行い、リモート末端機２６の識別データにおいて合法を認められた後、ファイアーウァールメカニズムを通り、ローカルエリアネットワーク１０中の一つの装置に対してリモート操作を行うことを該リモート末端機２６に許す。つまり、インターネットからのパケットを持続的に検査、認証することにより、該リモート末端機２６と既にアクセスを許されたローカルエリアネットワーク１０中の一つの装置において、この中間のすべての伝送命令、表示パケットなどは、該位置転換モジュール２４を通して転送される。

しかし、もし多数のリモート末端機２６が末端機サーバー１４、末端機コンピュータ１６a、１６b、電子メールサーバー１８a、インターネットページサーバー１８bなどにアクセスする必要がある状況では、該位置転換モジュール２４は受信したパケットがどのリモート末端機２６に属するかを確認することができず、またどのリモート末端機２６がどの装置へのアクセスを既に許可されたかを確定することができない。そのため、該位置転換モジュール２４はパケットがどの通信ポート( port)を経由し伝送されて来たか、及び対応表を分析する必要がある。この対応表中の各データは少なくとも通信ポート( port)、通信ポートが対応するコンピュータ装置のIPアドレスを含む。
例えば、もしリモート末端機２６が電子メールサーバー１８aにログインする必要がある時には、該リモート末端機２６は識別に用いる識別データ(装置コード、或いはそれが属するインターネットカードのMACアドレスなど)を提供する必要がある。且つ、該位置転換モジュール２４に、この接続要求がリモート末端機２６から来たことを知らせるために、該リモート末端機２６はすべてのパケットを特定の通信ポート３３２８を通して伝送する必要がある。該位置転換モジュール２４は通信ポート３３２８を通って伝送されて来たパケット(電子メールサーバー１８a中の電子メールなど)を受け取った後、対照表により、リモート末端機２６から来たことを知ることができる他に、このアクセスパケットが電子メールサーバー１８aに送るべきものであることを知ることができる。電子メールサーバー１８aが要求されたリモート操作(メールのオープン)を実際に完成後、対応しパケットを表示し、再度該位置転換モジュール２４を通してリモート末端機２６にフィードバックし、使用者はそれが属する表示モニタからこのメールの内容を見ることができる。

本発明末端機をセクション化するシステムの第一実施例表示図である。本発明末端機をセクション化するシステムの第二実施例表示図である。本発明末端機をセクション化するシステムの第三実施例表示図である。本発明末端機をセクション化するシステムの第四実施例表示図である。

符号の説明

１０ローカルエリアネットワーク
１０a 内部セクション
１０b 外部セクション
１２セクション化モジュール
１４末端機サーバー
１６a、１６b 末端機コンピュータ
１８a 電子メールサーバー
１８b インターネットページサーバー
２０データ保存装置
２２ルータ
２４位置転換モジュール
２６リモート末端機

Claims

セクション化モジュール、末端機サーバー及び末端機コンピュータを含み、
該セクション化モジュールはリモートデータプロトコル(remote data protocol、RDP)が許可したパケットだけを通過させ、これによりローカルエリアネットワークの内部セクションと外部セクションを区画し、
該末端機サーバーは該ローカルエリアネットワークの外部セクションに設置され、該リモートデータプロトコルの制御命令パケットに基づき、相対するよう要求データを取得及び/或いは表示し、該要求データは該制御命令パケットの結果に応え、
該末端機コンピュータは該ローカルエリアネットワーク中の内部セクションに設置され、該リモートデータプロトコルに基づき該セクション化モジュールを通過し、該末端機サーバーに対して該制御命令パケットを発し、該リモートデータプロトコルに基づき影像に属する該要求データを取得及び/或いは表示することを特徴とする末端機をセクション化するシステム。
請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムは末端機コンピュータに属するキーボード及び/或いはマウスを通して該制御命令パケットを発し、及び該末端機コンピュータに属する表示装置を通して影像に属する該要求データを表示することを特徴とする末端機をセクション化するシステム。
請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにデータ保存装置を含み、
該データ保存装置は複数のファイルデータを保存し、且つ該セクション化モジュールを経由せず、該末端機サーバー及び/或いは該末端機コンピュータからのファイルアクセス要求を直接受け取り、並びに該ファイルアクセス要求に応え、該ファイルデータを処理することを特徴とする末端機をセクション化するシステム。
請求項３記載の末端機をセクション化するシステムにおいて、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取り及び/或いは書き込むものであることを特徴とする末端機をセクション化するシステム。
請求項３記載の末端機をセクション化するシステムにおいて、前記末端機コンピュータからの該ファイルアクセス要求は該ファイルデータを読み取るだけのものであることを特徴とする末端機をセクション化するシステム。
請求項１記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにサービスサーバーを含み、
該サービスサーバーは該ローカルエリアネットワーク中の外部セクションに設置され、予定のサービス機能を備え、且つ該末端機サーバーを通してのみ該予定のサービス機能を提供可能であることを特徴とする末端機をセクション化するシステム。
請求項６記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにリモート末端機を含み、
該リモート末端機はインターネットを通して該末端機サーバーに合法的にログインし、該末端機サーバーを通して該サービスサーバーが提供する該予定のサービス機能を使用し、及び/或いは該末端機コンピュータが保存するデータにアクセスすることを特徴とする末端機をセクション化するシステム。
請求項６記載の末端機をセクション化するシステムにおいて、前記予定のサービス機能はインターネットページアクセスサービス、電子メールサービス、ファイル伝送サービス、或いは他のデジタルサービスであることを特徴とする末端機をセクション化するシステム。
請求項６記載の末端機をセクション化するシステムにおいて、前記末端機をセクション化するシステムはさらにリモート末端機、位置転換モジュールを含み、
該リモート末端機は識別に用いることができる識別データを備え、該末端機サーバーと該サービスサーバーの内の一つに対してリモート操作を行い、
該位置転換モジュールは該識別データが合法であることを検証後、該リモート末端機はファイアーウァールメカニズムを通って該末端機サーバーと該サービスサーバーの内の一つに対して該リモート操作を行うことを特徴とする末端機をセクション化するシステム。
請求項９記載の末端機をセクション化するシステムにおいて、前記識別データは該リモート末端機の装置コード或いはそれが属するインターネットカードのMACアドレスであることを特徴とする末端機をセクション化するシステム。
請求項９記載の末端機をセクション化するシステムにおいて、前記リモート末端機が多数台である時には、該位置転換モジュールは該各リモート末端機が通信時に採用する通信ポート(Port)により区分を行うことを特徴とする末端機をセクション化するシステム。
請求項９記載の末端機をセクション化するシステムにおいて、前記位置転換モジュールはさらに対応表を含み、該対応表中の各データは少なくとも１個の通信ポート(Port)、該通信ポートが対応する該末端機サーバー、該サービスサーバー、該末端機コンピュータのIPアドレスを含むことを特徴とする末端機をセクション化するシステム。
末端機をセクション化する方法は以下の方法を含み、
リモートデータプロトコル(remote data protocol、RDP)のパケットのみの通過を許し、ローカルエリアネットワークの内部セクションと外部セクションを区画し、
末端機サーバーを該ローカルエリアネットワーク中の該外部セクションに設置し、
末端機コンピュータを該ローカルエリアネットワークの該内部セクションに設置し、
該末端機コンピュータを通して該リモートデータプロトコルにより該末端機サーバーに対して制御命令パケットを発し、
該末端機サーバーは該リモートデータプロトコルの該制御命令パケットに基づき、相対する要求データを取得及び/或いは表示し、該要求データは該制御命令パケットの結果に応え、
該末端機コンピュータを通して、該リモートデータプロトコルにより影像に属する該要求データを取得及び/或いは表示することを特徴とする末端機をセクション化する方法。
請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法は末端機コンピュータに属するキーボード及び/あるいはマウスを通して該制御命令パケットを発し、及び該末端機コンピュータに属する表示装置を通して影像に属する該要求データを表示することを特徴とする末端機をセクション化する方法。
請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにデータ保存装置を含み、
該データ保存装置は複数のファイルデータを保存し、且つ該末端機サーバー及び/或いは該末端機コンピュータからのファイルアクセス要求を直接受け取り、並びに該ファイルアクセス要求に応え、該ファイルデータを処理することを特徴とする末端機をセクション化する方法。
請求項１５記載の末端機をセクション化する方法において、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取り及び/或いは書き込むものであることを特徴とする末端機をセクション化する方法。
請求項１５記載の末端機をセクション化する方法において、前記末端機サーバー、該末端機コンピュータからの該ファイルアクセス要求は、該ファイルデータを読み取るのみであることを特徴とする末端機をセクション化する方法。
請求項１３記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにサービスサーバーを含み、
該サービスサーバーは該ローカルエリアネットワーク中の外部セクションに設置され、予定のサービス機能を備え、且つ該末端機サーバーを通してのみ該予定のサービス機能を提供可能であることを特徴とする末端機をセクション化する方法。
請求項１８記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにリモート末端機を含み、
該リモート末端機はインターネットを通して該末端機サーバーに合法的にログインし、該末端機サーバーを通して該サービスサーバーが提供する該予定のサービス機能を使用し、及び/或いは該末端機コンピュータが保存するデータにアクセスすることを特徴とする末端機をセクション化する方法。
請求項１８記載の末端機をセクション化する方法において、前記予定のサービス機能はインターネットページアクセスサービス、電子メールサービス、ファイル伝送サービス、或いは他のデジタルサービスであることを特徴とする末端機をセクション化する方法。
請求項１８記載の末端機をセクション化する方法において、前記末端機をセクション化する方法はさらにリモート末端機を含み、
該リモート末端機は識別に用いることができる識別データを備え、該末端機サーバーと該サービスサーバーの内の一つに対してリモート操作を行い、
該識別データが合法であることを検証後、該リモート末端機はファイアーウァールメカニズムを通って該末端機サーバーと該サービスサーバーの内の一つに対して該リモート操作を行うことを特徴とする末端機をセクション化する方法。
請求項２１記載の末端機をセクション化する方法において、前記識別データは該リモート末端機の装置コード或いはそれが属するインターネットカードのMACアドレスであることを特徴とする末端機をセクション化する方法。
請求項２１記載の末端機をセクション化する方法において、前記リモート末端機が多数台である時には、該位置転換モジュールは該各リモート末端機が通信時に採用する通信ポート(Port)により区分を行うことを特徴とする末端機をセクション化する方法。
請求項２１記載の末端機をセクション化する方法において、前記位置転換モジュールはさらに対応表を含み、該対応表中の各データは少なくとも１個の通信ポート(Port)、該通信ポートが対応する該末端機サーバー、該サービスサーバー、該末端機コンピュータのIPアドレスを含むことを特徴とする末端機をセクション化する方法。