JP2009517923A - 企業間のリモートネットワーク接続 - Google Patents

Abstract

定期的に顧客の所で働くサポート要員とコンサルタントのために、雇用主のネットワークへの接続を提供するためのシステム。顧客の所にいるこれらのユーザが、彼らの企業、その他の所の電子メール、参考資料、特定のアプリケーションデータベースにアクセスする目的のため、彼らのそれぞれの雇用主のネットワークに接続するための安全なネットワークのメカニズムが提供される。複数のVPNは、顧客の場所内の伝送と、セキュリティを保持し、顧客の場所で、ネット接続を通して制御するための雇用主のサーバへの伝送と、のために提供される。顧客の場所では、データを検査し、それらの施設から何が出るかを制御することができる、一方、コンサルタント雇用主ネットワークは、彼ら自身のネットワークへのユーザアクセスを制御可能である。自分の雇用主のネットワーク内で共通のサーバ名を探しているコンサルタントが、ローカルな顧客のサーバ接続の代わりに正しい接続を得ることができるように、ネームサーバ情報は、異なるネットワーク間をも転送される。

Description

関連出願の相互参照
この出願は、この中に、全体の公開が、参照によって組み込まれた、同時継続の仮特許出願シリアルＮｏ．６０／７３９，７５２表題「企業間のリモートネットワーク接続」、２００５年１１月２３日出願、の利益を主張する。
この出願は、この中に全体の公開が参照によって組み込まれた、米国特許出願シリアル番号１０／３８５，４７９表題「統合されたリモートツールのアクセス、データ収集、そして制御のための診断システムと方法」、２００３年３月１２日出願と、米国特許出願シリアル番号１０／３８５，４４２表題「統合されたリモートツールのアクセス、データ収集、そして制御のためのデータ共有とネットワーキングシステム」、２００３年３月１２日出願とに関する。

発明の技術分野
本発明は、恒常的に顧客先で働く個人とコンサルタントをサポートするために、雇用主のネットワークへの接続を提供し、特に、雇用主と顧客の立場の両方から安全な方法でそのような接続を提供することに関する。

ＶＰＮ接続は、産業において普及しており、これは、ユーザが、一般的なインターネットアクセスにより、ホームネットワークから雇用主のネットワークに安全な方法で接続することを可能にする。しかしながら、例えば顧客の施設などの企業内からのインターネット接続は、通常セキュリティのため少しのポート（普通は、HTTPのためのポート８０）に制限されており、訪問者が、遠隔にある訪問者の雇用主の“ホーム”オフィスにある、メールや他のアプリケーションにアクセスすることを要求する他の活動は許されない。要求されるＶＰＮアクセスは、通常、顧客のもとで働く、ベンダ、コンサルタント、そして他の企業からのサポート要員には許されない。もし、ＶＰＮ接続が許されると、顧客の場所からコンサルタント雇用主ネットワークに、通常どのデータも流れ、それ故に、顧客の立場からは安全ではない。

それで、必要なのは、顧客の場所に訪問している要員によって、その要員自身の企業のインターネットに、両方の企業が信用できる安全な方法でアクセスが許される改良された方法である。

本発明は、上記の特定された問題の１つ以上を解決することに関する。

本発明は、顧客の所にいるユーザ／コンサルタントを、彼らの“ホーム”企業にある、電子メール、参考資料、そして専門のアプリケーションデータベースにアクセスするために、彼らの雇用主のネットワークに接続するための安全なネットワークメカニズムを提供する。特に、本発明は、このネットワーク接続が、企業のルールに基づいて行われることを可能にし、機密に属する情報が、顧客の場所の外に転送される可能性を減少させるために、中央システムによって、ログインされ、制御される。

本発明のシステムの主要なコンポーネントは、専門のネットワークルータであり、その専門のネットワークルータは、常連のビジターに、彼らの雇用主の企業内ネットワークにアクセスすることを許可している間、外部の脅威にさらされることを制限することを、ホスト企業に許可する。これは、ネットワークを通じてネットワークネームサーバの機能を保っている間、適切に通信の道順を決める一組のルータ／ＶＰＮサーバを使用することによって成し遂げられる。本発明の主要な要素は、中央システム経由でルータシステムを制御する能力であり、その時点での状況に基づいて制御されるダイナミックアクセスネットワークである。

本発明の目的は、顧客のところで恒常的に働く要因やコンサルタントをサポートするために雇用主のネットワークへの安全な接続を提供することである。
本発明の更なる目的は、雇用主と顧客の両方の立場から安全な方法でそのような接続の提供を提供することである。

本発明の更なる目的は、常連のビジターに、彼らの雇用主の企業内ネットワークにアクセスすることを許可している間、外部の脅威にさらされることを制限することを、ホスト企業に許可する、安全な接続を提供することである。
本発明の他の目的、特徴、そして効果は、明細書、図、そして添付の請求項の検討から得ることができる。

図面の簡単な説明
上述の、本発明の他の特徴と利点は、添付の図面に示されているように、以下の、本発明の好適な実施例のより詳細な説明から明白である。添付の図面の同一の参照番号は、一般的に同一の、機能的に似た、そして／または構造的に似た要素を示している。
図１は、標準的なウェブアクセスネットワークの構成を表している。
図２は、企業間の標準的なＶＰＮ接続を表している。
図３は、本発明の一実施例の通信量制御ハブを有する独創的な企業−企業間接続性の発明を表している。
図４は、本発明のコンポーネントのフロー相互作用図を表している。
図５は、本発明の、システムとコンポーネントの相互作用の構造図を表している。
図６は、本発明の、三つの異なった顧客環境内に接続されたクライアントワークステーションの構造図を表している。
図７は、複数のユーザを有する本発明のシステムの完全な実施を表している。
図８は、本発明の他の実施例に係るＶＰＮ接続の制御を付加した本発明のシステムを表している。

この中で使用される時、以下の用語は、以下の意味を持つ。
“カスタマー”：カスタマーは、特定の企業施設である。たとえカスタマーの従業員ではなくても、他のサプライヤーは、この場所に存在し、このネットワークに接続されてもよい。
“コンサルタント”：カスタマーの施設にいることが必要なだけでなく、彼ら自身の雇用主のネットワークとアプリケーションにアクスすることが必要な、カスタマー以外の企業の使用人。

“認証”：個人を確認する方法（共通の方法は、ユーザＩＤとパスワードである。）。
“承認”：例えばファイルの転送などの、個人がすることを許される内容を決定する方法。
“ＤＨＣＰ”：Dynamic Host Configuration Protocol コンピュータが、ネットワークに接続されたとき、ネットワークアドレスをそのコンピュータに動的に付与する手順。

“ＤＮＳネーム”：ドメイン（例えば、“mailman.ilstechnology.com”）を含んだ完全に正規のホストネーム。
“eCentre”：安全な共同のために使用されるアプリケーション。これに関連して、それは、他の機能を提供するために本発明とともに使用されることができるサンプルアプリケーションである。

“ホストネーム解決テーブル”：ホストネームに使われる物理的IPを特定する目的のための、コンピュータアドレスとそれらの名前のリスト。これは、標準的なネットワークに共通であるが、正しいネットワーク内で正しいシステムを解決するために複数のネットワーク内で使用されるシステムには、より致命的でさえある。

“インターネットプロトコルアドレス（IP）”：システムのインターネットアドレス（例えば、“１９２．１６８．１．１９”など）。
“IPSec”：安全な通信のための標準プロトコル。
“システムのネーミング”：ネットワークコンピュータの名前と、関連したアドレス。
“ネットワークマッピング(NATing)”：二つの異なったネットワークの間でネットワークアドレスを位置づけるために使用される手順。

“特権”：例えばＶＰＮアクセスなどのサービスへのユーザアクセスの許可又は拒絶をするためのアドミニストレータによって設定される許諾。アクセス特権の設定によって、アドミニストレータが、機密データへのユーザアクセスを制御する。
“サービスネット”：多地点−多地点ＶＰＮ接続サービスに基づいたハブの特有の実施。

“システムネットワークアドミニストレータ”：顧客施設の従業員である特別な種類の個人。顧客システムのネットワークアドミニストレータ（又は、単にネットワークアドミニストレータ）は、ルータ、ファイアウオール、そしてそれらのアクセス制御リストを設定し、管理する責任がある。アドミニストレータは、ユーザパスワードとアクセス特権の割り当ても行い、管理職務を適切に委任する。
“バーチャルプライベートネットワーク（ＶＰＮ）”：企業の外にいるユーザとその企業内部との間の安全な方法による接続。

本発明の様々な実施形態は、下記に詳細に論じられている。具体的で典型的な実施例が論じられているが、これは、単に実例の目的だけのために成されたと理解すべきである。この関連した技術に精通した者は、本発明の精神と目的から離れることなく、他の要素や構成が使用されることができることを認識できるであろう。

従来のアプローチ
顧客の所で働き、ホームネットワークとシステムにアクセスすることが必要なサポート又はコンサルタント要員のために、今日では、いくつかの接続の選択が可能である。下記に記載していない他の接続の選択があるかもしれない、しかし、これらは、最も共通の実施である。実施例の目的として、我々は、コンサルタントが、彼らの雇用主のネットワークに備えられている電子メールシステムと特定のアプリケーションサーバの両方にアクセスしなくてはならないと仮定する。

オプション１：ウェブ上で可能とされるホストシステムへの接続。
しかしながら、これは、雇用主のネットワークのメールシステムとアプリケーションシステムが、ウェブブラウザアクセス（通常ポート８０のHTTP）を可能にするユーザインタフェースを有しているときのみ成されることができる。雇用主の企業は、彼らのローカル企業ネットワークの中よりもむしろインターネットからこれらのサーバが見られることも可能にしなければならない。従って、これらは、セキュリティの問題にさらされる。

図１は、そのような接続の標準的な実施を示している。この構成において、コンサルタントは、彼らのワークステーション１００とインターネットウェブブラウザとを顧客のネットワークに接続し、顧客のゲートウエイ３０１を通して外部のインターネットに接続され、それから、彼らのメール２１０又はアプリケーション２１２システムのためのホストのホームページに接続するために、コンサルタントのゲートウエイ４０１に接続される。

このソリューションの問題として、以下を含む。
１）企業は、彼らの内部のシステムをインターネットにさらすことを好まない。
２）多くのアプリケーションは、このアプローチのために使用されるインターフェースのウェブブラウザを有していない。
３）企業は、インターネットを使用するためにパブリックＩＰを取得しなくてはならない。

オプション２ａ：他の共通のオプションは、図２に示すように、標準的なサイト間ＶＰＮ接続を作り出すことである。
この場合は、企業の両方は、コンサルタントが、彼らの雇用主の企業ネットワークと関係するアプリケーションとにアクセスできるように、二つの企業ネットワークの間の直接の企業間ＶＰＮ６００接続を許可するために、顧客のゲートウエイ３０１内のＶＰＮ６００ａを有するファイアウオールと、コンサルタントのゲートウエイ４０１内のＶＰＮ６００ｂを有するファイアウオールとを、設定する。

しかしながら、この実施に付属する問題がある。それは以下を含む。
１）制御は、ポートレベルだけである。
ＶＰＮ中の通信の内容の制御ができない；言い換えると、どんな通信も行うことができる。これは、それぞれの団体にとって安全でない。
２）それぞれのパートナーのために、ＶＰＮ接続かポートを分けることが要求される。
それは、単一の接続に最適化されており、複数のコンサルタントとベンダーパートナーのための、その複数の場合を有さなければならない。これは、個人の基盤によって、個人で何とかやってゆくのは、難しいところがある。
３）顧客ネットワークとコンサルタントのホームネットワークとの間で、ＩＰアドレスの競合が起きるかもしれない。そのサイトの間には、ＤＮＳ解決のメカニズムが無い。アプリケーションは、それらの雇用主のシステムにアクセスするために再設定されることが必要である。
４）コンサルタントの雇用主のサイトは、彼らの顧客のネットワーク内から接続されることが、有効なパスワードを提供できる誰にでも可能になる。
５）コンサルタントは、ユーザシステムを匿名にするＤＨＣＰアドレス指定を使用して、一般的に接続される。もし、そのシステムが、固定ＩＰアドレスを設定されていたなら、それは、複数の顧客の所（それらは、異なったサブネットアドレスの仕組みを有するので、彼らのネットワーク内で同じアドレスをすべてに割り当てないであろう。）では動作しないだろう。

オプション２ｂ：この場合は、企業は、上記オプション２ａで述べられた、サイト間ＶＰＮ接続を使用することができ、制限された一組のシステムアドレス、またはＩＰの間のアクセス許可を更に制限する。これは、限られたシステムだけを外部にさらす、理論的には、しかし、ユーザは、他のシステムにテルネットするための元の接続をまだ使用することができ、そして、元々アクセスを対象としてない他のシステムにアクセスを増やすことができる。

それ故に、代替解決法に必要なことは、例えば、ここで述べられている、本発明の企業間リモートネットワーク接続システムなどである。それは、エンドユーザのために標準的なＶＰＮ接続を模倣し、２つのキーとなる改良点も提供する環境を作り出す。
１）それぞれのデータパケットの検査と動作の制御を通したよりよい安全性；そして、
２）ネーミング問題が透過的に解決されるクライアントへのホストネーム解決テーブル、そして同じサブネットネーミングの仕組み（例えば、“１９２．１６８．１．ｘ”）を有する複数のネットワークをも可能にする。

発明の企業間接続
図３に示すように、本発明の企業−企業ネットワーク接続は、企業間の標準的なＶＰＮを可能にするコンポーネントを有している。それは、追加のハードウエア（“ＨＷ”）とソフトウエア（“ＳＷ”）を含んでおり、それらは、システムの付加された動的な制御を提供するためにＶＰＮとともにライン内にインストールされている。それには、より良い制御のために、全体の流れの中で互いにリンクされた一組のＶＰＮを用いる。

コンサルタントは、顧客のネットワークに彼／彼女のワークステーション１００を更に接続し、特に、延長した顧客の安全なゲートウエイコントローラ３００に接続する。本発明中には、端末相互間のセキュリティとパケット詳細の検査とを提供することが付与される複数のＶＰＮ７００、８００、そして９００がある。これらの働きは、トラフィックコントロールハブ５００によって制御され、ＩＰマップＤＢ５３０のドメイン名マッピング情報をつけて拡張される。

ステップ４（図４−５参照）で使用されるＶＰＮ２接続８００と、ステップ６（図４−５参照）で使用されるＶＰＮ３接続９００とは、トラフィックコントロールハブ５００と、カスタマＶＰＮサーバ３００と、コンサルタントＶＰＮサーバ４００のオリジナルの設定と構成の間、セットアップされる。

図４は、コンサルタントワークステーション１００をセットアップし、接続するためのフロー図を示している。ステップ１では、コンサルタントは、彼の／彼女のワークステーション１００を顧客のネットワーク３００に接続し、ＤＨＣＰ経由で彼／彼女にネットワークＩＰアドレスが割り振られる。この例では、ネットワークＩＰアドレスは、“１９２．１６８．１．２２”であるかもしれない。通常のＤＨＣＰ動作の一部としても、ワークステーション１００は、ネーム解決を提供するための顧客のネットワーク上のローカルＤＮＳ(Domain Name Server)を割り当てられる。本発明の一部である次のステップのように、ドメイン名を解決する第２の方法は、ワークステーション１００に加えられる（即ち、ネーム解決テーブル）。これは、コンサルタントワークステーション１００が彼らの雇用主のホームネットワーク上のシステムへの経路を、解決、または、決定することを可能にするだろう。

ステップ２では、コンサルタントは、ローカルな顧客の安全なゲートウエイコントローラ３００とＶＰＮ７００ｂ（図３参照）とに接続するＶＰＮ７００ａ（図３参照）の彼／彼女の部分を起動する。接続プロセスの部分のように、コンサルタントのクライアントワークステーション１００は、証明書を提示し、コンサルタントは、パスワードを入力する、そして、特定のポート上の、顧客の安全なゲートウエイコントローラ３００に、リクエストが作られる。情報のこれらの一部分は、ステップ３でトラフィックコントロールハブ５００に転送されることができ、トラフィックコントロールハブ５００は、ローカルリストと証明書に基づいて、それらを照合する。コンサルタントのユーザ情報は、ステップ５と６に示すように、ユーザ確認のため外部のサーバでチェックされても良い。その確認は、ステップ７で、ワークステーション１００に戻され、ＶＰＮ１ ７００を確立するために要求されるステップを完成する。

それから、ステップ８と９では、追加されたデータは、安全なゲートウエイコントローラ３００からコンサルタントワークステーション１００に転送される。このデータは、例えば、“１０．１０．２０．２２”のようなサブネットアドレスと、要求されるネーム解決テーブルとを新たに割り当てられる。その要求されるネーム解決テーブルは、コンサルタントワークステーション１００が、例えば、“mail.ilstechnology.com”のような完全に正規のドメインネームによって参照されるサーバに接続するリクエストをすることを可能にし、前記データは、顧客のネットワーク内の同じ名前を有するかもしれないサーバの代わりに、彼／彼女のホームネットワーク内の正しいサーバに到着する。

通常の形態のサブネットアドレスは、“１０．１０．２０．ｘ”によって表示され、“１０．１０．２０”は、サブネットを定義し、“ｘ”部分は、特にワークステーション１００を表示する。異なったサブネットアドレスを有する複数のワークステーションは、それ故、同じサブネットを使用してもよい。同じ雇用主からのコンサルタントは、彼らがいる顧客の場所にかかわらず同じサブネットを使用するだろうから、通常は、サブネットは、コンサルタントの雇用主にとってただ一つであろう。しかしながら、たとえサブネットが様々なコンサルタントの雇用主に特有のものでないとしても、本発明のシステムが、まだ完全に動作可能であることを、当業者は、高く評価するだろう。

ステップ８において、安全なゲートウエイコントローラ３００は、特定のサブネット上の論理的な新しいアドレスをそのコンサルタントワークステーション１００に割り当てる。要するに、仮想的なトンネルが、情報の転送のために造り出される。この新しいアドレスのサブネットは、コンサルタントの供給元の名前に関連づけることができる。この例において、（ＶＰＮ環境を含んだ）ワークステーション１００の第２のアドレスは、“１０．１０．２０．２２”であることができる。このサブネットアドレスは、どの顧客の場所から始まったかを問わず、いつもこのアドレスを得ることができるように、特定のユーザのコンサルタントのために固定されることができる。

これは、彼らが、ＩＰアドレスによる制限を有するかもしれないアプリケーションへのアクセスを増加させることを可能にする。この例において、顧客のＤＨＣＰによって元々割り当てられた“１９２．１６８．１．２２”のアドレスは、変更されない状態を保つ。コンサルタントワークステーション１００は、今、２つのＤＮＳリファレンスを有する。１つは、顧客のネットワークのための、もう１つは、雇用主のホームネットワークのためのものである。

ステップ９において、ドメイン名の解決のための第２の方法は、トラフィックコントロールハブ５００から顧客の安全なゲートウエイコントローラ３００を通してコンサルタントワークステーション１００に戻ってくるコンサルタントのためのローカルネーム解決テーブルを作り出すことによって構築される。

トラフィックコントロールハブ５００からのネームサーバの定義は、コンサルタントワークステーション１００に加えられる。コンサルタントのアプリケーションサーバの名前と、コンサルタント雇用主ネットワークを示すように設定されたワークステーション１００の関連するアドレス（ＩＰ）とは、変更されない状態を保ち、雇用主のネットワークへのトンネルの連結を通して自動的に道順を決められる。ネーム解決テーブルのコピーは、それらがコントローラ３００からコンサルタントワークステーション１００に、トラフィックコントロールハブ５００にリクエストすることなく直接送られることができるように、顧客の安全なゲートウエイコントローラ３００上に保持される。これらのローカルコピーは、一定の間隔で、または、変更に基づいて、更新される。

代わりの方法は、雇用主のネットワーク上のサーバを示す、第２のドメインネームサーバへの参加をワークステーション１００に加えることである。
ステップ１０では、コンサルタントワークステーション１００は、ホームメールシステムへ接続することを要求する。このリクエストは、ＶＰＮ１トンネル７００（図３参照）を通して顧客の安全なゲートウエイコントローラ３００に行く。ステップ１１では、顧客の安全なゲートウエイコントローラ３００は、リクエストを、ＶＰＮ２トンネル８００（図３参照）を通してトラフィックコントロールハブ５００に渡す。

ステップ１１では、顧客の安全なゲートウエイコントローラ３００から中央のトラフィックコントロールハブ５００への時に、他のＶＰＮ２ ８００が利用される。
特定の顧客のサイトからの全てのトラフィックは、トラフィックコントロールハブ５００上の同じポートに道順を決められる。
顧客の安全なゲートウエイコントローラ３００の最初のスタートアップの間、コントローラ３００は、身元を証明するためにハブ５００にｘ５０９の証明書を渡す。

トラフィックコントロールハブ５００は、通信の連鎖の中で、リクエストに返答し、第２のＶＰＮ２ ８００を構築する。
これは、他のコンサルタントワークステーション１００が、外部のアクセスを要求するたびに使用されるＶＰＮ２ ８００トンネルを造り出す。
トラフィックコントロールハブ５００は、ステップ１２では、ローカルテーブル中の行き先の情報を調べ、ステップ１３では、その情報を、コンサルタントの雇用主の安全なゲートウエイコントローラ４００へのＶＰＮ３トンネル９００（図３参照）を通して、ローカルネットワークシステムに転送する。

ステップ１３では、トラフィックコントロールハブ５００からあらかじめ構築されたトンネルを使用して、第３のＶＰＮ３ ９００接続が使用される。顧客の安全なゲートウエイコントローラ３００（最初の接続のポート番号と、ワークステーション１００に割り当てられたサブネット（例えば、“１０．１０．２０．ｘ”））から最初の情報に基づいて、トラフィックコントロールハブ５００は、その接続が特定のベンダー又はコンサルタントの企業からのものかを決定することができ、このように、全てのトラフィックは、適切なコンサルタントの雇用主のゲートウエイコントローラ４００への道順が決められる。今、端末相互間でその団体の安全な接続ができる。それぞれのコンサルタントの企業は、更なる制御の方法が、別々のアクセスに必要なものとして使用されることができるように、トラフィックコントロールハブ５００上の別々のポートを割り当てられても良い。

動作の間、顧客とコンサルタントの企業は、彼ら自身のセキュリティポリシーを書き入れるための、図５に示すように、ＶＰＮ７００、８００、そして９００の連鎖の利点を得ることができる。顧客が、彼らの施設から出る情報の制御を有することができるように、第１のＶＰＮ１ ７００は、ローカルルータ又は顧客の安全なゲートウエイコントローラ３００で終端している。データパケットを検査し、間違いなく、容認できるトラフィックのみが通ることを許されるように、特別注文のファイアウオール３３０は、顧客の安全なゲートウエイコントローラ３００に採用される。従来のファイアウオールと違って、カスタムファイアウオール３３０は、他のユーザの存在する接続を中断させることなく、ポート／接続を変更することができる。顧客が、安全なゲートウエイコントローラ３００内でパケットを検査するためにアプリケーションを起動することができる間、論理的な接続８５０は、コンサルタントワークステーション１００からトラフィックコントロールハブ５００に、それから、彼らのホームシステム１００まで保持される。

適切に機能するトラフィックコントロールハブ５００のために、以下の情報は、保持され、ＩＰマップＤＢ５３０から使用される。顧客の安全なゲートウエイコントローラ３００の内側の特定の顧客のサブネット及びポート番号と、トラフィックコントロールハブ５００の出て行く側の特定のベンダのＩＰ及びポート番号とを対応づける一組のテーブルがある。ＩＰアドレスと特定のポートの組み合わせは、誰が接続を試みているか（例えば、どのコンサルタントが）についての情報を提供する。それらがシステムの中で定義されているように、それぞれの雇用主によって特定される一組のＤＮＳテーブルもある。雇用主は、彼らのコンサルタントが顧客のサイトから通常アクセスする、例えば、メールサーバ２１０又はアプリケーションサーバ２１２などのサーバのリストを提供する。これらは、ローカルな顧客の安全なゲートウエイコントローラ３００と共有するために、トラフィックコントロールハブ５００上のＩＰマップＤＢ５３０に保存される。コンサルタントワークステーション１００が、安全なゲートウエイコントローラ３００に接続することを要求したとき、この第２のＤＮＳ情報は、もとのワークステーション１００に提供される。

これは、ワークステーション１００が、２つのＤＮＳテーブルを持つことを意味する。 １つは、ＤＨＣＰのアドレス指定とともにもとのネットワーク接続をそれに提供し、１つは、ＶＰＮ１ ７００接続からそれに提供する。ＶＰＮ１ ７００接続からのＤＮＳエントリは、ＶＰＮ１ ７００接続がもはや有効でなくなるまで、そのネットワークアドレスと関連するローカルメモリ内に保存される。

一般的に、顧客の安全なゲートウエイコントローラ３００は、それぞれのベンダ／コンサルタントの企業が有する専用ポートともに、内側の顧客のネットワークに面する複数のポートを持つであろう。

例えば、企業Ａからのコンサルタント又はベンダは、同じ専用ポート経由で顧客の安全なゲートウエイコントローラ３００にいつもアクセスするであろう。
複数のコンサルタント／ベンダは、同時にそのポートを利用することができる。異なるベンダ／コンサルタント企業にそれぞれポートが割り当てられることによって、顧客は、１台の顧客の安全なゲートウエイコントローラ３００で、全部のベンダのＶＰＮ接続の組を管理することができる。

適切に機能する顧客の安全なゲートウエイコントローラ３００のために、以下の情報は、保持され、使用される。特定の企業からのコンサルタントは、すべて、顧客の安全なゲートウエイコントローラ３００への彼らの接続のために同じ入力ポートを使用する。コンサルタントの雇用主のホームネットワークの正しいマッピングが、もとのそれらの元に提供されることができるように、それぞれのコンサルタントの企業ごとに別のポートがある。安全なゲートウエイコントローラ３００の外向き側に、トラフィックコントロールハブ５００への１つのポートがある。外向きのトラフィックは、同じトンネルを共有することができ、その１つのポートは、そのトンネルの容易な管理を可能にする。この１つのトンネル上のトラフィックは、サブネットアドレスの組み合わせ（顧客の安全なゲートウエイコントローラ３００への元のポート接続に基づいて）と、入力ポートと、によって識別される。これらは、正しい場所への配信のためトラフィックコントロールハブ５００のネットワークルーティングテーブルの中を探される。

図６は、３つの異なった場所で、３つの異なった時間に接続されたコンサルタントワークステーションであって、コンサルタントワークステーションは変更しないものの例を示す。この例では、ワークステーション１００、１５０、そして１６０は、全て同じワークステーションである、しかし、参照を簡略化するために異なった参照番号によって識別されている。

ワークステーション１００の場合では、企業１でコンサルタントは、彼らの安全なゲートウエイコントローラ３００に接続され、ＤＮＳエントリを有する。そのＤＮＳエントリは、そのローカルワークステーションを変更することなく（本発明によって自動的に成されるのを除き）、彼／彼女の雇用主のネットワークの、彼／彼女の雇用主のメールサーバ２１０そして／またはアプリケーションサーバ２１２への経路を彼が決定することを可能にする。

ワークステーション１５０の場合では、同じワークステーションは、今、顧客２のネットワークと、彼らの安全なゲートウエイコントローラ３５０とに接続され、変更することなく、彼／彼女の雇用主のネットワークの、彼／彼女の雇用主のメールサーバ２１０そして／またはアプリケーションサーバ２１２への接続も行うことができる。同様に、ワークステーション１６０は、顧客３の安全なゲートウエイコントローラ３６０に接続され、彼／彼女の雇用主のネットワークの、彼／彼女のメールサーバへの経路が決定される。それぞれの顧客によって許されるルールに基づいて、しかしながら、異なったアクセス権の組は、容認され、または拒絶される。

それぞれの場合において、第２のドメインネームサーバ（ＤＮＳ）は、コンサルタントワークステーション１００、１５０、１６０に提供される。しかしながら、顧客は、この新しいＤＮＳシステムの中身の制御を有する。顧客１と２の場合、彼らのそれぞれのＤＮＳ３０３と３５３とが完全に正規のドメイン名で全ての要求される登録を含むことを容認することによって、彼らは、コンサルタント雇用主ネットワークの両方システム（メール２１０とアプリケーション２１２）が、到着可能になることを可能にする。しかしながら、顧客３の場合は、彼らは、ＤＮＳ３６３が、アクセス可能なメール２１０の完全に正規のドメイン名の単一の登録のみ含むように彼らの容認ＤＮＳ３６３を制限した。それ故に、顧客は、彼らのネットワーク内で何が起きるかを許容する安全な制御を有する。

図７に示すように、本発明は、異なった顧客の所のコンサルタントワークステーション１００、１０２、１５０、１５２の複数の接続の拡張した構造を許容する。顧客１において、企業Ａからの２つのコンサルタントワークステーション１００と１０２とは、顧客の安全なゲートウエイコントローラ３００上のそれぞれ同じポート１００に接続される。それらは、それぞれ同じサブネット、例えば、“１０．１０．２０．ｘ”を割り振られ、企業Ａネットワーク内のそれらのホームコントローラ４５０に接続されることができる。コンサルタントワークステーション１００と１０２は、同じサブネットを割り振られているが、それらは、異なったサブネットアドレスを割り振られるであろう。

例えば、コンサルタントワークステーション１００は、サブネットアドレス“１０．１０．２０．２０”を割り振られることができ、一方、コンサルタントワークステーション１０２は、サブネットアドレス“１０．１０．２０．２１”を割り振られることができる。２つのコンサルタントワークステーション１００と１０２とは、割り振られたサブネット上で互いに情報が交換されることから防止される、しかしながら、本発明は、同じ企業からのワークステーションの間での情報のそのような交換を許容するようにセットアップされることができる。

企業Ｂからの第３のコンサルタントワークステーション１０４は、同じ顧客の安全なゲートウエイコントローラ３００に接続することもできる。しかし、コンサルタントワークステーション１０４は、異なった企業からなので、それは、顧客の安全なゲートウエイコントローラ３００の、異なったポート、例えば、ポート２００に接続され、異なったサブネットアドレス、例えば、“１０．２０．２０．２２”とともに、異なったサブネット、例えば、“１０．２０．２０．ｘ”を受信する。

同様に、顧客２の（企業Ａからの）コンサルタントワークステーション１５０は、顧客２の安全なゲートウエイコントローラ３５０上の専用のポートに接続されるだろう。顧客２の安全なゲートウエイコントローラ３５０上の異なった専用のポートに接続される、顧客２の（企業Ｂからの）コンサルタントワークステーション１５２もともに接続されるだろう。

それぞれの、顧客の安全なゲートウエイコントローラ３００、３５０は、トラフィックコントロールハブ５００に接続するための異なったポートを有するであろう。例えば、図７に示すように、顧客１の安全なゲートウエイコントローラ３００は、ポート２０００でトラフィックコントロールハブ５００に接続し、一方、顧客２の安全なゲートウエイコントローラ３５０は、ポート１０００でトラフィックコントロールハブ５００に接続する。これは、通信が別々に流れることを保ち、特定のコンサルタントの雇用主のゲートウエイコントローラ４００、４５０へのサブネットの割り当てを可能にする。

更に、それぞれの雇用主のゲートウエイコントローラは、トラフィックコントロールハブ５００の外向きの側の専用のポートに接続される。例えば、企業Ｂのゲートウエイコントローラ４００は、ポート４０００に接続される、一方、企業Ａのゲートウエイコントローラ４５０は、ポート３０００に接続される。これは、通信が別々に流れることを保つことを助け、サブネットのマッピングを可能にする。

本発明のソリューションの別の特徴は、顧客の安全なゲートウエイコントローラ３００が、プログラムにより改造することができることである。この特徴に基づいて、例えば、アクセス可能性が企業のルールに基づくように、全体のソリューションを更に制御する、eCentre１０００のような、他の製品の特徴を結合することができる。例えば、アクセス時間が制限されても良い、又は、許可があるときのみ又は他のアプリケーションで、特定の状態が発生したときのみアクセスが認容されても良い。この通信は、制御するアプリケーション１０００からトラフィックコントロールハブ５００へと、図８のステップ１５に示されている。この例では、制御するアプリケーション１０００は、eCentre製品である、しかし、当業者は、代わりの制御アプリケーションが、その場所で利用されることができることを認識できるだろう。

似たような方法で、カスタマゲートウエイコントローラ３００は、例えば、企業のLDAPユーザマネジメントシステムのなどの、外部のアプリケーション１１００にリンクされることができる。このようにして、コンサルタントワークステーション１００による、顧客の安全なゲートウエイコントローラ３００への最初のユーザ認証と、パスワードの提示は、トラフィックコントロールハブ５００経由で、ユーザコンサルタントの照合のため外部のプログラム１１００に通されても良い。この方法では、それぞれのコンサルタントは、証明書を彼らの企業によって使用される認証局、例えば、しかしこれに限定されない、Verisign, Thawte, Self signed certs,など、から提示することができる。

本発明のいくつかの利点と特徴とは、次の通りである。
・アドミニストレータの入力又はプログラムの入力を通してＶＰＮの状態を動的に変更する能力を提供する。
・２つの異なった企業ネットワーク内に存在する、似通ったＤＮＳ名又はＩＰアドレス、例えば“mailman.customer.com”と“mailman.consultant.com”などによる混乱を取り除くためのホストネーム解決テーブルをクライアントに与える能力を提供する。
・より共通のＷＩＮＳ解決方法の場合、これらの２つのサーバは、同じ名前“mailman”を有する。

・コンサルタントのクライアントアプリケーションは、彼／彼女が行く場所（顧客又はホームネットワーク）を問わず、再設定される必要はない。
・標準的なインターネット又はIPSec接続で動作可能である。
・複数のコンサルタントとパートナーのためのアクセスを処理するために、顧客サイトでは単一のポート接続しか要求しない。
・本発明のシステムの更なる拡張は、複数のサイト間の端から端までをより容易にするための“ServiceNet”接続（U.S. Serial No. 10/385,442参照）と連動して使用することである。

・顧客に、接続するための能力と、多くのコンサルタントの接続を効果的に管理する能力と、を提供する。
・ＩＰアドレスによってアクセスが制限されているどんなアプリケーションも、依然として動作するように、コンサルタントが、安全な接続を越えて固定ＩＰアドレスを割り当てられることを可能にする。
・接続ルールが、変化する状態に応じて変更されるように、中央トラフィックハブを越えたプログラムによる制御を提供する。
・顧客が、現場にいるコンサルタントの外向きのトラフィックをモニタすることを可能にするための、顧客レベルのカスタムファイアウオールを提供する。そのファイアウオールは、存在する接続に影響を与えることなく動的に変更されることができる。

本発明の様々な実施形態が上記に述べられていたが、それらは、単に例として提示されたものであり、それに限定されないものであることが理解されるべきである。例えば、“consultant”、“vendor（供給元）”、“customer”そして“employer”の用語は、単に参照の目的のためにのみ、この中と請求項中に使用されている。本発明は、ＶＰＮ接続とトラフィックコントロールハブとによって、どの２つのネットワーク間でも安全な接続を提供するためにデザインされている。それ故に、本発明の目的と範囲は、上述の典型的な実施例のどれによっても制限されず、しかし、その代わりに、以下の請求項とそれらと同等のものに従ってのみ定義されるべきである。

本発明は、図への特定の言及が述べられているが、本発明の目的と精神から離れることなく様々な変更が成されることが可能であることを理解すべきである。

以下の請求項の組は、限定せず、しかし、単に、本発明の好ましい側面の典型的なものに過ぎない。本願が、ここで述べられそして示されているように、むしろ、本発明の全ての側面をカバーしていることを理解されるべきである。

標準的なウェブアクセスネットワークの構成を表している。 企業間の標準的なＶＰＮ接続を表している。 本発明の一実施例の通信量制御ハブを有する独創的な企業−企業間接続性の発明を表している。 本発明のコンポーネントのフロー相互作用図を表している。 本発明の、システムとコンポーネントの相互作用の構造図を表している。 本発明の、三つの異なった顧客環境内に接続されたクライアントワークステーションの構造図を表している。 複数のユーザを有する本発明のシステムの完全な実施を表している。 本発明の他の実施例に係るＶＰＮ接続の制御を付加した本発明のシステムを表している。

符号の説明

１００、１０２ ワークステーション
１０４、１５２ コンサルタントワークステーション
２１０ メール
２１２ アプリケーション
３００、３５０、４００ ゲートウエイコントローラ
３０１、４０１ ゲートウエイ
４５０ ホームコントローラ
５００ トラフィックコントロールハブ

Claims (17)

1. ネットワーク接続システムであって、
   顧客のネットワーク内に提供される、カスタマゲートウエイコントローラと、
   外部のネットワーク内に提供されるトラフィックコントロールハブと、
   コンサルタント雇用主ネットワーク内に提供される、コンサルタント雇用主ゲートウエイコントローラと、
   を備え、
   前記カスタマゲートウエイコントローラは、第１のＶＰＮ接続経由でコンサルタントワークステーションに接続でき、
   前記トラフィックコントロールハブは、第２のＶＰＮ接続経由で前記カスタマゲートウエイコントローラに接続でき、
   前記コンサルタント雇用主ゲートウエイコントローラは、第３のＶＰＮ接続経由で前記トラフィックコントロールハブに接続でき、
   第１から第３のＶＰＮ接続及びトラフィックコントロールハブを経由して、前記コンサルタントワークステーションと、その対応するコンサルタント雇用主ネットワークとの間で安全な通信が開設される、
   ネットワーク接続システム。
2. 前記カスタマゲートウエイコントローラは、複数の入力ポートを有し、
   前記入力ポートは、特定のコンサルタントの雇用主専用であるそれぞれのポートを含み、
   特定のコンサルタントの雇用主の全てのコンサルタントワークステーションが、同じ前記ポート経由で前記カスタマゲートウエイコントローラに接続する、
   請求項１に記載のネットワーク接続システム。
3. 前記トラフィックコントロールハブが、複数の入力ポートを有し、
   前記入力ポートは、特定の顧客専用のそれぞれのポートを含み、
   特定の顧客からの全てのトラフィックは、前記トラフィックコントロールハブの同じ前記入力ポートに経路を決められる、
   請求項２に記載のネットワーク接続システム。
4. 前記トラフィックコントロールハブが、前記カスタマゲートウエイコントローラ上で前記コンサルタントワークステーションによって使用される入力ポート上の情報を受信し、前記情報に基づいて、適切な雇用主のネットワークにトラフィックの経路を決定する、
   請求項３に記載のネットワーク接続システム。
5. 前記コンサルタント雇用主ゲートウエイコントローラは、
   接続が開始される前記コンサルタントワークステーションを識別する情報を受信し、
   前記コンサルタントワークステーションと関連する特権ルールに基づいて、前記コンサルタント雇用主ネットワーク内のデータベースとアプリケーションへの、前記コンサルタントワークステーションのアクセスを許可する、
   請求項１に記載のネットワーク接続システム。
6. 前記トラフィックコントロールハブは、複数の出力ポートを有し、
   前記出力ポートは、特定のコンサルタントの雇用主専用のそれぞれのポートを含み、
   特定のコンサルタントの雇用主への全てのトラフィックは、トラフィックコントロールハブ上の同じ前記出力ポートから経路が決定される、
   請求項１に記載のネットワーク接続システム。
7. 前記コンサルタントワークステーションは、第１のＶＰＮ接続を開設するために、前記カスタマゲートウエイコントローラによって認証される、
   請求項１に記載のネットワーク接続システム。
8. 前記トラフィックコントロールハブに接続されたソフトウエアアプリケーションを更に備え、
   前記ソフトウエアアプリケーションは、企業のルールに基づいて、前記コンサルタントワークステーションと、前記コンサルタント雇用主ゲートウエイコントローラと、の間のトラフィックの流れを制御する、
   請求項１に記載のネットワーク接続システム。
9. 前記コンサルタントワークステーションが、前記第１のＶＰＮ接続を開設するために前記ソフトウエアアプリケーションによって認証される、
   請求項８に記載のネットワーク接続システム。
10. 前記コンサルタントワークステーションが、前記第１のＶＰＮ接続を開設するために、前記トラフィックコントロールハブに接続されたＬＤＡＰによって認証され、
    前記ＬＤＡＰは、前記コンサルタント雇用主ネットワークに関連づけられている、
    請求項１に記載のネットワーク接続システム。
11. 前記カスタマゲートウエイコントローラは、第１と第２のＶＰＮ接続の間に提供されるファイアウオールを有し、
    前記ファイアウオールは、認可されたデータだけが、顧客のネットワークの中に、そして、外にむけての通行を許可されること、を確保するためにデータパケットを検査する、
    請求項１に記載のネットワーク接続システム。
12. 前記ファイアウオールは、それぞれのデータパケットを独立して検査し、許可された状態に基づいてそれぞれのデータを通すか通さないかの決定をすることを制御されることができる、
    請求項１１に記載のネットワーク接続システム。
13. 前記ファイアウオールは、存在する接続を中断させることなく、前記カスタマゲートウエイコントローラ上のポート及び接続のいずれか一方又は両方を変更すること、を制御されることができる、
    請求項１１に記載のネットワーク接続システム。
14. 前記ファイアウオールは、顧客のネットワークからの、または、顧客のネットワークへのアクセスの状態を変更するための前記カスタマゲートウエイコントローラの外部のアプリケーションによって制御可能である、
    請求項１１に記載のネットワーク接続システム。
15. 同じコンサルタントの雇用主からのコンサルタントワークステーションは、それらのコンサルタント雇用主ネットワークへの接続のために、同じサブネットを割り当てられる、
    請求項１に記載のネットワーク接続システム。
16. それぞれのコンサルタントワークステーションは、前記同じサブネット内の異なったサブネットアドレスを有する、
    請求項１５に記載のネットワーク接続システム。
17. 前記コンサルタントワークステーションは、第１のＶＰＮ接続を開設するために認証され、
    認証中において、前記コンサルタントワークステーションは、コンサルタント雇用主ネットワーク上のサーバを示す前記トラフィックコントロールハブからドメインネームサーバへの登録を受信する、
    請求項１に記載のネットワーク接続システム。

Images