JP2017521954A - コンピュータ・ネットワーク・インフラストラクチャにおける外部コンピュータシステムのブロック解除方法、そのようなコンピュータ・ネットワーク・インフラストラクチャを有する分散コンピュータネットワーク、およびコンピュータプログラム製品 - Google Patents

Abstract

本方法は、コンピュータ・ネットワーク・インフラストラクチャ内の安全な処理コンピュータシステムと通信するために外部コンピュータシステムをブロック解除する方法に関する。認証パケットが、外部コンピュータシステムから、コンピュータ・ネットワーク・インフラストラクチャ内のブローカ・コンピュータ・システムに送信される。認証パケットは、外部コンピュータシステムおよび／またはそのユーザを認証するための署名された情報を含む。さらに、認証パケットは、ブローカ・コンピュータ・システムによって、コンピュータ・ネットワーク・インフラストラクチャ内の少なくとも１つの処理コンピュータシステムに送信される。処理コンピュータシステムは、特定のネットワークポートを、少なくとも一時的に、閉じたままにし、その結果、このネットワークポートを介したネットワークへのアクセスが防止されるが、処理コンピュータシステムは、ブローカ・コンピュータ・システムにアクセスして、認証パケットを、ブローカ・コンピュータ・システムから取り出すことができる。選択的ネットワークポートのブロック解除は、処理コンピュータシステムによって後に実行され、外部コンピュータシステムによる処理コンピュータシステムへのリンクが確立される。

Description

本発明は、コンピュータ・ネットワーク・インフラストラクチャ内の安全な処理コンピュータシステムと通信するための外部コンピュータシステムのブロック解除方法、コンピュータ・ネットワーク・インフラストラクチャおよび少なくとも１つの外部コンピュータシステムを有する分散コンピュータネットワーク、ならびに対応する方法を実行するコンピュータプログラム製品に関する。

分散コンピュータシステムは、コンピュータ・ネットワーク・インフラストラクチャにおけるデータ接続を介して互いと組織的に通信することができる多数のコンピュータシステムを意味する。分散コンピュータシステムは、例えば、サーバ−クライアントトポロジを備えるコンピュータ・ネットワーク・インフラストラクチャにおいて使用され、部分的に機密データ、顧客データ、またはユーザデータが、例えば、クライアントとサーバとの間で交換され、サードパーティによる前記データへのアクセスは、抑制されるべきである。

安全な又はセキュリティがかかっているコンピュータ・ネットワーク・インフラストラクチャにおいて、（機密）データが処理される処理コンピュータシステムは、特に安全対策がなされる。処理コンピュータシステムの所定のネットワークポートが、例えば、各処理コンピュータシステムへのアクセスまたは接続確立を不可能にするよう、最初に閉じることができる。

従来の解決策は、所定のノッキング信号を、ネットワークを介して、そのような方法（いわゆる、ポートノッキング）で閉じられたネットワークポートを有する処理コンピュータシステムに送信することを提供し、所定のデータシーケンスは、処理コンピュータシステムの所定のネットワークポートのアドレスを指定する。このデータシーケンスは、処理コンピュータシステム内の所定のシーケンスと照合され、処理コンピュータシステムは、照合が成功した場合、１つまたは複数のネットワークポートを開閉して、ネットワークを介して外部接続の確立を可能にする。

これらの手段のリスクの１つは、処理コンピュータシステムが、攻撃者（クラッカー）または各ポートノッキング処理を操作する許可を受けていないコンピュータシステムに対して開かれることである。このようにして、場合によると機密データへのサードパーティによる（操作）アクセスが、開かれたネットワークポートにより処理コンピュータシステムで可能になる。さらに、処理コンピュータシステムの１つまたは複数のネットワークポート上で動作するプログラムが、開かれた処理コンピュータシステムにおけるサービスのアドレス指定能力のために必要とされる。この実行プログラムは、ネットワークを介して、（例えば、バッファオーバーフロー、またはすなわちサービス拒否攻撃（ＤＯＳ）を介して）外部攻撃に対する潜在的セキュリティギャップを構成する。

アクセスするためのコンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムでの直接的な外部コンピュータシステムの明示的な認証は、上記したように、処理コンピュータシステムが、外部接続の確立を最初に許可しないので、ここでは関連しない。

対照的に、処理コンピュータシステムへのアクセスを要求する外部コンピュータシステムに対処することは、困難であることが多く、または不可能でもあり、なぜなら、外部コンピュータシステムは、それ自体が保護され、場合によっては、接続確立に対してアドレス指定することができないためである。

さらに、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムへのアクセスは、ほとんどの場合、（例えば、ブロック解除用途のために）インターネットまたは別々のイントラネットを介して行われ、そのようなアクセスは、コンピュータ・ネットワーク・インフラストラクチャ（例えば、コンピューティングセンタ）にアクセスする外部コンピュータシステムが、何らの（明確な）パブリックＩＰアドレスを使用せずプライベートアクセスを介して到達するということにより特徴づけられる。この例には、プロキシを介するか、またはいわゆるＮＡＴ／ＰＡＴマスキング方式（ＮＡＴ＝ネットワークアドレス変換、ＰＡＴ＝ポートアドレス変換）による、カスケード接続が含まれる。

その結果、処理コンピュータシステムが、ＩＰアドレスのマスキングのために外部コンピュータシステムの正確なＩＰアドレスを把握することができないという単純な事実のために、基本的に、処理コンピュータシステムによって、コンピュータ・ネットワーク・インフラストラクチャ内の各外部コンピュータシステムへの何らの接続も開始することができない。さらに、ＩＰアドレスは、通常、プライベートであり、ルーティングで直接使用することができない。さらに、通信中はファイアウォールにより通常は保護される。

本発明の目的は、コンピュータ・ネットワーク・インフラストラクチャ内の安全な処理コンピュータシステムと通信するために外部コンピュータシステムの安全なブロック解除を行い、それでも、同時にコンピュータ・ネットワーク・インフラストラクチャにおける各コンピュータシステムでの攻撃に対する保護を向上することを可能にすることである。

第１の態様において、前記目的は、請求項１に記載の方法によって達成される。

本方法は、コンピュータ・ネットワーク・インフラストラクチャ内の安全な又はセキュリティがかかっている処理コンピュータシステムと通信するために外部コンピュータシステムのブロックを解除するための以下のステップを提案する。

第１に、認証パケットが、コンピュータ・ネットワーク・インフラストラクチャの外部に構成される、外部コンピュータシステムから、コンピュータ・ネットワーク・インフラストラクチャ内のブローカ・コンピュータ・システムに伝送又は送信される。認証パケットは、外部コンピュータシステムの認証のために、署名された情報を含む。

認証パケットは、ブローカ・コンピュータ・システムから、コンピュータ・ネットワーク・インフラストラクチャ内の少なくとも１つの処理コンピュータシステムに、自動的に送信される。処理コンピュータシステムは、所定のネットワークポートを少なくとも一時的に閉じたままにして、その結果、これらのネットワークポートによるネットワークを介した処理コンピュータシステムへのアクセスが防止される。しかしながら、処理コンピュータシステムは、ブローカ・コンピュータ・システムにアクセスし、ブローカ・コンピュータ・システムから認証パケットを取り出すことができる。この処理は、ブローカ・コンピュータ・システムと処理コンピュータシステムとの間の共通アクセスネットワークを介して、またはブローカ・コンピュータ・システムと、この処理のために提供される処理コンピュータシステムとの間の特定の接続ネットワークを介して、行うことができる。

さらに、外部コンピュータシステムと通信するために少なくとも１つの選択的ネットワークポートのブロックを解除することが、処理コンピュータシステムによって行われ、処理コンピュータシステムの選択的にブロック解除されたネットワークポートへの後の接続確立が、外部コンピュータシステムによって行われる。

説明した方法では、処理コンピュータシステムの所定のネットワークポートのすべてが、最初は閉じられている。したがって、処理コンピュータシステムは、カプセル化された（具体的には、安全な）システムとして動作する。ネットワークを介して処理コンピュータシステムにアクセスすることは、（有利には、恒久的に、対象の方法でブロック解除することなく本明細書で説明した方法を実行する間）少なくとも特定の動作条件下では不可能であるか、または非常に複雑である。

「所定のネットワークポート」という用語は、すべてまたは唯一の選択された安全上重要なネットワークポート、例えば、この方法で使用されるネットワークポートが、恒久的に（説明した方法により、前記ポートが決してブロック解除されない）または一時的に（説明した方法により、前記ポートを選択的にブロック解除することができる）、処理コンピュータシステムにおいて閉じられることを意味する。

これにより、ネットワークポートをリッスンし、したがって、（例えば、バッファオーバーフローまたはＤｏＳ攻撃、すなわち、いわゆる、分散ＤｏＳ攻撃に対する）潜在的セキュリティギャップを構成する何らのプログラムまたはサービスも、外部コンピュータシステムとの通信をブロック解除するために処理コンピュータシステムで構成されないか、利用できないという利点をもたらす。したがって、本文内の「閉ネットワークポート」という用語は、これらのポートが、「リスニングポート」ではないことを意味し、外部接続の確立が、（本方法による認証されたブロック解除なしに）ここでは許可されないことを意味する。サードパーティ（クラッカー）は、セキュア・シェル・デーモン（ＳＳＨ）デーモン、ｈｔｔｐデーモン、または他のサービス／アプリケーションなどを介してＵｎｉｘ（登録商標）ベースのシステムで、ネットワークを介して処理コンピュータシステムに自身をログインまたは認証させることができず、または処理コンピュータシステムで特定の動作を実行することができない。

しかしながら、処理コンピュータシステムへのローカルアクセスは、所定のユーザグループに対して（例えば、セキュリティ要員に対して）構成することができる。しかしながら、他のサードパーティに対して、処理コンピュータシステムへのローカルアクセスは、防止される。

一般に本明細書で説明する方法または方式により処理コンピュータシステムをカプセル化することにより、ネットワークを介した攻撃が困難になり、それは、明白な攻撃オプション、すなわち、各システムの開かれた（リスニング）ネットワークポートでサービスまたはプログラムを実行することが抑制されるためである。したがって、説明する方法では、特に、処理コンピュータシステムでローカルに処理される安全上重要なデータが、攻撃に対して保護される。

処理コンピュータシステムとは対照的に、コンピュータ・ネットワーク・インフラストラクチャの外部の外部コンピュータシステムと、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムとの間の通信をブロック解除するために、本方法は、コンピュータ・ネットワーク・インフラストラクチャ内の少なくとも１つのブローカ・コンピュータ・システムでコンピュータ・ネットワーク・インフラストラクチャからのアクセスを可能にする。ブローカ・コンピュータ・システムは、少なくとも１つのリスニング、開ネットワークポートによりネットワークを介してアクセスすることができる。このことは、プログラム実行および／またはアプリケーション（サービス）がブローカ・コンピュータ・システムで準備され、その結果、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステム、またはコンピュータ・ネットワーク・インフラストラクチャの外部の外部コンピュータシステムが、各場合において、ブローカ・コンピュータ・システムにアクセスし、ブローカ・コンピュータ・システムへの接続を確立して、ブローカ・コンピュータ・システムにデータパケットを格納するか、または（この時点で確立される接続を介して）ブローカ・コンピュータ・システムからデータパケットを取り出すことができることを意味する。セキュリティ面から、そのような「開」ブローカ・コンピュータ・システムは、従来の特別の安全対策されたコンピュータシステムに匹敵するものとして評価されるべきである。

したがって、ブローカ・コンピュータ・システムは、処理コンピュータシステムと外部コンピュータシステムとの間で通信するための（安全だが、リッスンする）ブローカとして機能する。

有利には、処理コンピュータシステムからブローカ・コンピュータ・システムへの接続確立は、内部ネットワークを介して行われ、仮想プライベートネットワーク（ＶＰＮ）もしくはセキュア・シェル・ネットワーク（ＳＳＨ）として、またはそれらの組み合わせとして保護される。代わりに、またはさらに、そのために特別に開発されたプロトコルを使用することもできる。

コンピュータ・ネットワーク・インフラストラクチャの外部の外部コンピュータシステムから、コンピュータ・ネットワーク・インフラストラクチャ内のブローカ・コンピュータ・システムへの接続確立は、例えば、インターネット、または別々のイントラネットからの（クライアントイントラネットからの）ルーティング処理を介して行われる。外部コンピュータシステムは、例えば、ＮＡＴおよび／またはＰＡＴルータの下流に位置するクライアントとすることができる。ここで、ブローカ・コンピュータ・システムへの接続確立は、クライアントのプライベートソースＩＰアドレスを介して、ローカル・クライアント・イントラネットから行われ、ＩＰは、ルータのパブリックＩＰアドレスによりルータ内でマスクされる。

本明細書で説明する方法によれば、外部コンピュータシステムの認証は、コンピュータ・ネットワーク・インフラストラクチャ内の最初に保護された処理コンピュータシステムと通信するために外部コンピュータシステムをブロック解除するために、ブローカ・コンピュータ・システムにおいて行われなければならない。有利には、認証パケットは、外部コンピュータシステムについての署名された情報を含む。この情報は、場合によっては、外部コンピュータシステムによってアドレス指定される処理コンピュータシステム上のアドレス指定されるサービスまたは一般的な処理についての情報を含むことができる。

認証パケット内の情報に署名することは、認証処理の操作が複雑になるという利点をもたらす。このようにして、従来のポートノッキング処理（上記参照）と比較して、保護されたコンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムとの通信をブロック解除するために、外部コンピュータシステムのさらにより安全な認証を実行することができる。

外部コンピュータシステムからブローカ・コンピュータ・システムに送信された認証パケットは、ブローカ・コンピュータ・システムに（したがって、処理コンピュータシステムに対して）視認可能なＩＰアドレスによって本方法のさらなる過程で補完される。このＩＰアドレスは、ブローカ・コンピュータ・システムが認証パケットを直接受信した、ＮＡＴルータのものとすることができる。このようにして補完された認証パケットは、ブローカ・コンピュータ・システムから処理コンピュータシステムに送信される。

処理コンピュータシステムが、すでに上記したように、ネットワークポートを閉じたままにし、何らの外部接続の確立も許可しないため、処理は、認証パケットを処理コンピュータシステムに送信するために開始され、処理コンピュータシステムそれ自体は、ネットワークを介してブローカ・コンピュータ・システムのアドレスを指定し、ブローカ・コンピュータ・システムへの接続を確立する。さらに、認証パケットは、ブローカ・コンピュータ・システムで呼び出され、ブローカ・コンピュータ・システムから処理コンピュータシステムに、確立された接続を介して送信される。自動伝送は、有利には、何らの衝突オプションもサードパーティに許可されないよう構成され、したがって、交換されたデータの、または関与するコンピュータシステムの１つの、操作のリスクが困難になるか、または排除される。

認証パケットによる認証が成功すると、処理コンピュータシステム内の少なくとも１つのネットワークポートのブロック解除が行われる。この文脈において、「ブロック解除」とは、（ソースＩＰアドレスと組み合わせて複数のソース・ネットワーク・ポートの１つを介して）処理コンピュータシステムとの接続確立および後の接続のために、処理コンピュータシステムの所定のターゲット・ネットワーク・ポートで認証パケットにファイルされたソースＩＰアドレスを選択的にブロック解除することを意味する。処理コンピュータシステムによって少なくとも１つの選択的ネットワークポートをブロック解除すると、外部コンピュータシステムによって処理コンピュータシステムの選択的にブロック解除されたネットワークポートへの接続（新規セッション）の確立が、ブロック解除されたＩＰアドレスおよび規定のソース・ネットワーク・ポートを介して最後に行われる。

場合によっては、ネットワーク速度に応じて、アプリケーションに応じて短くてもよい（例えば、数ミリ秒または数秒、例えば、最大１０秒）、所定の時間フレーム内でのみ各接続確立を許可することが有利である。何らの対応する接続確立も、外部コンピュータシステムにより所定の時間フレーム内に行われない場合、処理コンピュータシステムの選択的にブロック解除されたネットワークポートは、安全上の理由により、再び閉じられ、同じＮＡＴルータの下流にある、（偶然にも）同じＩＰアドレスを有するコンピュータシステムによる（例えば、ポートスキャニングによる）開ネットワークポートの誤った接続確立のリスクまたは操作的実施を低減する。

本方法の使用法の１つは、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムのターゲットとされる（あるフレーム内に限定および固定されないが）ブロック解除を要求する外部クライアントに対して処理コンピュータシステムのブロック解除をすることである。

本明細書で説明する方法の一般的な利点は、（例えば、ポートノッキングを介して）外部コンピュータシステムの操作可能な要求に反応して処理コンピュータシステムでのネットワークポートの安全ではない、攻撃可能な開口が防止されることである。さらに、処理コンピュータシステムは、（最初は）不明のソースの認証を実行するためのコンピュータ・ネットワーク・インフラストラクチャの外部への接続を確立することができない。さらに、処理コンピュータシステムが、相手が信頼できるかどうかすらも把握せずに外部接続することを許可することを防止する。外部コンピュータシステムの認証の前に、外部コンピュータシステムからブローカ・コンピュータ・システムに送信された、認証ファイルを取り出すために処理コンピュータシステムの側でコンピュータ・ネットワーク・インフラストラクチャの内部ブローカ・コンピュータ・システムで、安全な通信のみが行われる。外部コンピュータシステムとの通信のための（ソース）ＩＰアドレスのターゲットブロック解除は、認証が成功する前には実行されない。

処理コンピュータシステムの選択的にブロック解除されたターゲット・ネットワーク・ポートへの接続を確立すると、外部コンピュータシステムと後に通信が行われ、以下の追加ステップ、すなわち、処理コンピュータシステムのブロック解除されたターゲット・ネットワーク・ポートおよび確立された接続によってソース・ネットワーク・ポートとなるよう処理コンピュータシステムに知らされた外部コンピュータシステムのネットワークポートへの、処理コンピュータシステムおよび外部コンピュータシステムの間の通信を制限するステップが、有利には実行される。これらの措置では、並列に起こりうる複数のコンピュータシステムの接続確立が、相互に干渉しないことが考慮されるべきである。

外部コンピュータシステムの選択的ネットワークポートに対する制限は、他の通信が抑制されるという利点をもたらす。このようにして、外部コンピュータシステムは、個々のネットワークポートで、すなわち、外部コンピュータシステムのソース・ネットワーク・ポートおよび処理コンピュータシステムへのターゲット・ネットワーク・ポートで、処理コンピュータシステムと単に通信するだけでよい。外部コンピュータシステムの選択的ネットワークポートは、例えば、確立された接続による最終伝送のソース・ネットワーク・ポートとすることができる。外部コンピュータシステムがＮＡＴルータの下流に設置される場合、ＮＡＴルータの下流に位置する認証されていないシステムまたは攻撃者は、（同じソースＩＰアドレスおよびＮＡＴルータの別のソース・ネットワーク・ポートによる）外部コンピュータシステムと処理コンピュータシステムとの間のすでに確立された接続の他に、追加の接続を確立することを可能にして、処理コンピュータシステムへの認証されていないアクセス権を取得することを防止する。上記の措置では、（個々の）認証されたネットワーク接続へのアクセスの制限を、目標とする方式で可能にする。さらに、認証されていない接続は破棄され、処理コンピュータシステムでは考慮されない。

有利には、以下のステップ、すなわち、
外部コンピュータシステムによって、確立された接続により処理コンピュータシステムに直接検証パケットを送信するステップと、
検証パケット内の検証情報によって、ブローカ・コンピュータ・システムにより以前に送信された認証パケットの情報を確認するステップとが、
処理コンピュータシステムの選択的にブロック解除されたネットワークポートへの接続の確立後に外部コンピュータシステムによって実行される。

検証パケットを送信することによって、（例えば、ＮＡＴルータの下流の同じＩＰアドレスもしくは操作されたＩＰアドレス、または盗まれた認証パケットを有する、非認証サードパーティによる接続ではなく）正確な認証エンティティとの接続が確立されたことを保証することができる。したがって、上記の措置によって、認証パケットを介して各接続を事前に指示した外部エンティティが、処理コンピュータシステムの選択的ターゲット・ネットワーク・ポートの認証パケットに格納されたＩＰアドレスをブロック解除した後に処理コンピュータシステムへの接続を実際に確立することを保証することができる。

検証パケット内の検証情報により認証パケットの情報を確認する上記ステップは、認証パケットとの同一性検証を含むことができる。これにより、もともと送信された認証パケットに何らの操作も行われていないことが保証される。

代替として、またはさらに、情報を確認するステップは、格納された比較情報により処理コンピュータシステムで検証および確認された、検証パケット内の特定の認証または識別特徴の強制的な格納を含むことができる。この種の認証または識別特徴、例えば、外部コンピュータシステムのハードウェア特徴は、外部コンピュータシステムの特定のユーザの生体特徴およびパスワード（パスフレーズまたは証明書、キーなど）を含むことができる。

有利には、説明した種類の方法は、以下の追加ステップ、すなわち、

処理コンピュータシステムにおける認証パケットを検証するステップを備え、外部コンピュータシステムとの通信のために処理コンピュータシステムによって少なくとも１つの選択的ネットワークポートをブロック解除するステップが、認証パケットの検証が成功した場合にのみ行われる。有利には、処理コンピュータシステムにおける認証パケットの検証の代替として、および／またはそのような検証に加えて、本方法は、以下の追加ステップ、すなわち、
ブローカ・コンピュータ・システムにおける認証パケットを検証するステップと、
認証方法が成功しなかった場合にブローカ・コンピュータ・システムにより認証パケットを破棄するステップとを備える。

処理コンピュータシステムおよび／またはブローカ・コンピュータ・システムにおける認証パケットの正当性検証は、安全対策であり、所定の情報が、認証パケットに含まれる必要があり、その結果、認証パケットが有効であることを検証することができ、処理コンピュータシステムのブロック解除がトリガされる。

ブローカ・コンピュータ・システムにおける認証パケットの検証は、処理コンピュータシステムに転送する前に、予想される安全対策である。無効な認証パケットを破棄するステップは、必要であれば監視することにより記録することができる。有利には、本方法は、パケットを破棄した後に停止される。そうでなければ、認証パケットは、上記のように、処理コンピュータシステムに送信される。

有利には、認証パケットは、（別々の）キー・コンピュータ・システムの署名および／または外部コンピュータシステムの署名を含む。ここで、別々のキー・コンピュータ・システムは、追加安全エンティティである。キー・コンピュータ・システムの署名は、外部コンピュータシステムにおける認証パケットの操作を防止する。各署名を生成するためのプライベートキー（パスフレーズ、証明書など）は、キー・コンピュータ・システムまたは外部コンピュータシステムに単にローカルに記憶されるが、本方法に含まれる他のコンピュータシステムには知らされないことが望ましい。追加の安全対策として、認証パケットが、外部コンピュータシステムの（またはそのユーザの）および／またはキー・コンピュータ・システムの、パブリックキーで暗号化することができる。

認証処理の安全性は、別々のキー・コンピュータ・システムの署名を介して署名された、認証パケットにおける署名された情報によって、説明される方法内で高まる。例えば、所定の外部コンピュータシステムは、キー・コンピュータ・システムへのアクセス権を有するセキュリティ責任者によってコンピュータ・ネットワーク・インフラストラクチャ内の最初に保護された処理コンピュータシステムとの通信をブロック解除するために設定することができる。この情報は、セキュリティ責任者のプライベートキーによってローカルに署名され、後に、認証パケットがそこから生成される。

有利には、さらなる所定の実装パラメータを、この（上記した）キー・コンピュータ・システムで、または別のキー・コンピュータ・システムで、外部コンピュータシステムを処理コンピュータシステムにアクセスさせるために、設定することができる。そのような実装パラメータは、各キー・コンピュータ・システムから外部コンピュータシステムに送信することができ、認証パケットが、設定された実装パラメータに基づいて外部コンピュータシステムで生成される。例えば、認証パケットは、キー・コンピュータ・システムによって設定された実装パラメータを直接含むことができる。そのようなさらなる実装パラメータは、どの環境下のどの外部コンピュータシステムが、どの程度、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムのブロック解除を受信するか、または受信することを許可されたかを定義する追加の安全対策を示す。

後者の実装パラメータはまた、キー・コンピュータ・システムによって少なくとも１つのプライベートキーで署名することができる。有利には、認証パケットに格納されたすべての署名および／または実装パラメータは、上記の措置に従って、処理コンピュータシステムおよび／またはブローカ・コンピュータ・システムで検証される。これにより、処理コンピュータシステムでの外部コンピュータシステムのブロック解除が、安全エンティティとしてのキー・コンピュータ・システムによって認証されることが保証される。

上記したすべての措置は、当然、さらなる方法ステップおよび措置の文脈で上記したように、認証パケットの確認のために外部コンピュータシステムから処理コンピュータシステムに直接送信される、検証パケットに適用することができる。

有利には、ブローカ・コンピュータ・システムから処理コンピュータシステムへの認証パケットの伝送は、以下のステップ、すなわち、
ブローカ・コンピュータ・システムまたは外部コンピュータシステムから処理コンピュータシステムに所定のデータシーケンスを送信するステップであって、処理コンピュータシステムの所定のネットワークポートが閉じられ、シーケンスが所定の順序で処理コンピュータシステムの１つまたは複数のネットワークポートをアドレス指定する、ステップと、
処理コンピュータシステムにおける所定のシーケンスと適合するために送信データシーケンスを検証するステップと、
送信シーケンスの検証がポジティブである場合に、処理コンピュータシステムによって認証パケットを伝送させるステップと、を備える。

本措置は、処理コンピュータシステムの（本方法に対して決定的な）全般的なネットワークポートが、上記の意味で、最初に閉じられ、処理コンピュータシステムへの外部接続確立をブロックし、または操作アクセスを著しく複雑にするという利点がある。処理コンピュータシステムは、恒久的（特定のソースＩＰアドレスが、上記のステップに従ってブロック解除される短期間を除く）に閉じられたネットワークポートを有し、上記のように、対応する認証パケットを介してコンピュータ・ネットワーク・インフラストラクチャ内で自己認証することができないすべての外部コンピュータシステムに対して一切の接続確立もブロックする。

ブロック解除対象の外部コンピュータシステムの認証のために処理コンピュータシステムに認証パケットを送信させることは、（例えば、ＵＮＩＸベースコマンド”Ｓｅｃｕｒｅ ｃｏｐｙ”、ｓｃｐを介して）処理コンピュータシステムへの認証パケットの送信のための自動処理とすることができる。本処理によれば、処理コンピュータシステム自体は、ブローカ・コンピュータ・システムへの接続を確立し、認証パケットを取り出す。この処理は、所定のデータシーケンスが処理コンピュータシステムに送信された後、このデータシーケンスが所定のシーケンスと一致する場合、処理コンピュータシステムによってトリガすることができる。シーケンス送信コンピュータシステムは、ブローカ・コンピュータ・システム、あるいは外部コンピュータシステムとすることができる。シーケンス送信コンピュータシステムのＩＰアドレスは、処理コンピュータシステムにおいて静的であるよう事前定義することができ、または処理コンピュータシステムのカーネルに把握されている、可能性のあるシーケンス送信コンピュータシステムのＩＰアドレスから動的に取得することができる。

すでに上記したように、そのような方法は、「ポートノッキング」として知られている。上記のステップは、いわゆる、ノックデーモン、例えば、すなわち、ポートノッキングを可能にするプログラムによって実行することができる。ノックデーモンは、そのネットワークインターフェースに到達するデータパケットについて処理コンピュータシステムによって通知され、処理コンピュータシステムに送信されたデータシーケンスを検証し、場合によっては、（例えば、スクリプトまたはプログラムを開始することによって）、送信されたデータシーケンスが所定のシーケンスと一致する場合、ブローカ・コンピュータ・システムから処理コンピュータシステムへの、認証パケットの制御された送信を引き起こす。したがって、上記の進行は、ネットワークを介してブローカ・コンピュータ・システムで対応するサービスをアドレス指定する、処理コンピュータシステムによって起動される、処理コンピュータシステムがアドレス指定可能プログラムでその終了まで開ネットワークポートを保持することを要求されることなく、ブローカ・コンピュータ・システムから処理コンピュータシステムに認証パケットを送信／コピーすることを可能にする。

あるいは、または上記のポートノッキングに加えて、処理コンピュータシステムは、交換対象の１つまたは複数の認証パケットが存在するかどうかを規則的な間隔でブローカ・コンピュータ・システムでポーリングすること（いわゆる、ポーリング）も考えられる。この場合には、上記のように、ブローカ・コンピュータ・システムから処理コンピュータシステムへの認証パケットの対応する送信を開始することができる。例えば、ポートノッキングがブローカ・コンピュータ・システムまたは外部コンピュータシステムの側で実行されずに一定の期間が経過すると、処理コンピュータシステムがポーリングを実行することも考えられる。このようにして、ポートノッキング問題を検出することができ、コンピュータ・ネットワーク・インフラストラクチャの操作性が維持される。

上記の解決策（ポートノッキング、ポーリング）の代わりに、ブローカ・コンピュータ・システムと処理コンピュータシステムとの間に特定の接続ネットを設けることも考えられ、処理コンピュータシステムは、この特定の接続ネットワークを介してアドレス指定能力のために少なくとも１つのネットワークポートを開いたままにする。次いで、認証パケットは、ブローカ・コンピュータ・システムから処理コンピュータシステムに、接続ネットワークを介して送信することができる。ここで、有利には、外部コンピュータシステムとブローカ・コンピュータ・システムとの間に接続をもたらす以外の別のプロトコルを使用することができる。そのようなプロトコル変更はまた、ネットワーク外部からの操作に対して安全性を高める。

有利には、データパケットは、外部コンピュータシステムとコンピュータ・ネットワーク・インフラストラクチャとの間のパケットフィルタを介してルーティングされ、パケットフィルタは、外部コンピュータシステムによってアクセスするために外部コンピュータシステムに向けて少なくとも１つのネットワークポートを開いたままにし、パケットフィルタは、コンピュータ・ネットワーク・インフラストラクチャに向けて所定のネットワークポートを閉じたままにし、その結果、少なくとも、コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムからの外部コンピュータシステムへのアクセスが防止される。

パケットフィルタは、コンピュータ・ネットワーク・インフラストラクチャが外部へ向かって保護されたままであるという利点をもたらし、その結果、何らの接続確立、情報などに関する何らの初期クエリも、（例えば、攻撃後に）内部コンピュータシステムから外部に送信することができず、これは、パケットフィルタがデータを転送しないためである。したがって、対応するパケットは、パケットフィルタにおいてコンピュータ・ネットワーク・インフラストラクチャの方向から破棄される。他方で、パケットフィルタを介して外部コンピュータシステムの認証パケットを、コンピュータ・ネットワーク・インフラストラクチャに搬送し、その認証パケットをブローカ・コンピュータ・システムに格納することが可能である。したがって、そのようなパケットフィルタは、外部に対する保護／遮断機能である。

有利には、データパケットは、コンピュータ・ネットワーク・インフラストラクチャ内のブローカ・コンピュータ・システムと処理コンピュータシステムとの間の（別の）パケットフィルタを介してルーティングされ、このパケットフィルタは、ブローカ・コンピュータ・システムから処理コンピュータシステムに向かう通信方向で、ブローカ・コンピュータ・システムのＩＰアドレスを含むデータパケットのみを転送し、ブローカ・コンピュータ・システムと処理コンピュータシステムとの間のすでに確立された接続に割り当てることができる。

有利には、このフィルタリングは、ブローカ・コンピュータ・システムの正確なＩＰアドレスからの「確立済み」または「関連」ステータスを有する接続のデータパケットのみを許可する。（例えば、いわゆるＳＹＮパケットの送信を介した）接続を確立しようとする試み、またはブローカ・コンピュータ・システムから最初にポートノッキングパケットを送信することは、このパケットフィルタによってブロックされる。

本フィルタリングは、（攻撃後に操作される）ブローカ・コンピュータ・システムから機密とされている（外部または内部の）コンピュータシステムのＩＰアドレスを偽造すること（いわゆる、ＩＰスプーフィング）を防止する。したがって、操作された接続の確立を防止し、処理コンピュータシステムでポートフィルタまたはポートブロックを回避することができ、したがって、処理コンピュータシステムの選択的に開かれたネットワークポートへの操作されたアクセスを受信する。そのようなパケットフィルタは、結果的に、内部操作に対しての保護または遮断機能となる。ブローカ・コンピュータ・システムが攻撃者によって操作された場合、これらの措置は、ブローカ・コンピュータ・システムの正確なＩＰアドレスに対応しない、操作された「機密」ＩＰアドレスを介してコンピュータ・ネットワーク・インフラストラクチャ内の内部処理コンピュータシステムに攻撃が拡張することを防ぐ。

攻撃者が攻撃を継続するためにブローカ・コンピュータ・システム内で正確なＩＰアドレスを使用しようとしても、データフィルタが、処理コンピュータシステムから由来する確立された接続内での応答を単に許可するだけであるため、処理コンピュータシステムへの接続を確立するための初期の試みは失敗したままとなる。このようにして、本措置は、ブローカ・コンピュータ・システムからの攻撃のために処理コンピュータシステム内の機密である可能性のあるデータへのアクセスを困難にする。

処理コンピュータシステムからブローカ・コンピュータ・システムに向かう通信方向では、許可されたデータ交換を、説明したパケットフィルタによって、選択されたサービス（例えば、ｓｃｐ、あるいは他の選択されたプロトコル）に対するブローカ・コンピュータ・システムの所定のネットワークポートに対してブロック解除することができる。

本明細書で説明する方法の有利な実施形態において、外部コンピュータシステムからブローカ・コンピュータ・システムへの認証パケットの伝送は、以下のサブステップ、すなわち、
外部コンピュータシステムから、複数のブローカ・コンピュータ・システムの上流で接続される、ブローカ負荷分散装置への接続を確立するステップと、
ブローカ負荷分散装置による複数のブローカ・コンピュータ・システムからブローカ・コンピュータ・システムを選択するステップと、
外部コンピュータシステムからブローカ負荷分散装置を介して、選択されたブローカ・コンピュータ・システムに、認証パケットを転送するステップと、を備える。

そのようなブローカ負荷分散装置は、有利には、複数のブローカ・コンピュータ・システムが、説明した方法および方式に従ってブロック解除するために複数の外部コンピュータシステムによって複数の要求を扱うよう構成される組み合わせで使用される。特に、量が多い場合、ネットワーク負荷は、ブローカ負荷分散装置によりさまざまなブローカ・コンピュータ・システムに分割することができ、その結果、コンピュータ・ネットワーク・インフラストラクチャの良好な性能が維持される。個々のブローカ・コンピュータ・システムは、それぞれ、上記の方法に従って動作する。

特に、ブローカ負荷分散装置は、外部コンピュータシステムから送信されるデータパケット（例えば、一般に、すべてのＩＰパケット）を、ブローカ負荷分散装置によって事前に選択される特定のブローカ・コンピュータ・システムにルーティングする。各選択されたブローカ・コンピュータ・システムは、特に、ブローカ負荷分散装置を介して転送された外部コンピュータシステムの認証データパケットを取り上げる。

複数のブローカ・コンピュータ・システムから１つを選択するために、ブローカ負荷分散装置は、任意のアルゴリズムを使用することができる。そのようなアルゴリズムは、最も簡単な場合に、外部コンピュータシステムに割り当て可能な可視ＩＰアドレスの点から識別を行うことができる。すでに上記したように、このＩＰアドレスは、ブローカ負荷分散装置が認証パケットを直接受信したＮＡＴルータのアドレスとすることができる。本アルゴリズムは、例えば、いわゆる「ソース・ハッシング・スケジューリング」を含むことができる。ここで、下流のブローカ・コンピュータ・システムへのネットワーク接続は、要求元の外部コンピュータシステムに割り当てることができる、（パブリック）ソースＩＰアドレスに応じて、ルックアップテーブルから割り当てられる。

特定のブローカコンピュータを選択し、認証パケットをこのブローカ・コンピュータ・システムにブローカ負荷分散装置によって転送すると、ブローカ・コンピュータ・システムは、後に、本方法に従って記載された認証パケットの処理を実行するか、または認証パケットの対応する処理コンピュータシステムへの転送を実行する。複数の処理コンピュータシステムの１つを選択することは、場合によっては、ブローカ・コンピュータ・システムで行われる。

認証パケットにより外部コンピュータシステムの認証が成功すると、（選択された）処理コンピュータシステムの選択的にブロック解除されたネットワークポートへの接続が、（上記のように）外部コンピュータシステムによって確立される。これは、考えられる組み合わせで、後に外部コンピュータシステムから処理コンピュータシステムへ接続を転送する、ブローカ負荷分散装置を介して行ってもよい。有利には、この場合、ブローカ負荷分散装置による特定のブローカ・コンピュータ・システムの選択と、場合によっては、対応するブローカ・コンピュータ・システムによる特定の処理コンピュータシステムの選択との両方が、同じアルゴリズムにより行われる。ブロック解除された外部コンピュータシステムの接続要求が、ブローカ負荷分散装置から、正しい処理コンピュータシステムに転送され、対応するブローカ・コンピュータ・システムから認証パケットが受信されることを保証する。

考えられる組み合わせでは、ブローカ負荷分散装置は、上記したパケットフィルタの１つまたは複数と共に論理的にアドレス指定可能なシステムに組み込むことができる。例えば、ブローカ負荷分散装置の機能と、対応するパケットフィルタの機能との両方を提供するサーバを構成することができる。

本方法の代替または追加実施形態において、処理コンピュータシステムは、複数のバックエンド処理コンピュータシステムの上流に接続される処理負荷分散装置として動作し、以下の措置、すなわち、
複数のバックエンド処理コンピュータシステムからバックエンド処理コンピュータシステムを選択するステップと、
外部コンピュータシステムによって処理負荷分散装置の選択的にブロック解除されたネットワークポートに確立された接続を、選択されたバックエンド処理コンピュータシステムに転送するステップと、を実行する。

この組み合わせでは、負荷分散が、処理コンピュータシステムのレベルで行われ、本方法による処理コンピュータシステムは、処理負荷分散装置として動作し、バックエンド処理コンピュータシステムとして複数のさらなる処理コンピュータシステムが、要求のさらなる処理、および、場合によっては、外部コンピュータシステムのブロック解除のために、処理負荷分散装置の下流に接続される。処理負荷分散装置による特定のバックエンド処理コンピュータシステムの選択は、有利には、所定のアルゴリズムにより行われる。ここで、上記のブローカ負荷分散装置と同様に、「ソース・ハッシング・スケジューリング」が実行可能である。あるいは、他の負荷分散アルゴリズムを適用することができる。

本方法のこの実施形態によれば、ブローカ・コンピュータ・システムから処理コンピュータシステムへの認証パケットの自動伝送が行われる。処理コンピュータシステムに関して概ね上記したように、処理負荷分散装置は、少なくとも一時的に、所定のネットワークポートを閉じたままにし、その結果、これらのネットワークポートによるネットワークを介した処理負荷分散装置へのアクセスが防止される。しかしながら、処理負荷分散装置は、ブローカ・コンピュータ・システムにアクセスし、ブローカ・コンピュータ・システムから認証パケットを取り出すことができる。認証パケットにより外部コンピュータシステムの認証が成功すると、負荷分散装置内の少なくとも１つの選択的ネットワークポートが、外部コンピュータシステムと接続するためにブロック解除される。後に、外部コンピュータシステムは、処理負荷分散装置の選択的にブロック解除されたネットワークポートへの接続を確立することができ、その結果、本方法によるさらなる通信を実行することができる。

処理負荷分散装置は、外部コンピュータシステムによって確立された接続を、事前に処理負荷分散装置によって選択された、バックエンド処理コンピュータシステムに転送する。後に、例えば、アプリケーションは、次いで、外部コンピュータシステムによってアクセスすることができ、アプリケーションは、バックエンド処理コンピュータシステムによって提供される。

さらなる態様において、上記の目的は、請求項１１に記載の分散コンピュータネットワークによって達成される。分散コンピュータネットワークは、少なくとも１つのブローカ・コンピュータ・システムと処理コンピュータシステムとを備えるコンピュータ・ネットワーク・インフラストラクチャを備える。さらに、少なくとも１つの外部コンピュータシステムが、コンピュータ・ネットワーク・インフラストラクチャの外部に設置される、分散コンピュータネットワークに構成される。

外部コンピュータシステムは、処理コンピュータシステムと通信するための認証のために、認証パケットをブローカ・コンピュータ・システムに送信するよう構成される。ブローカ・コンピュータ・システムは、自動化方法で認証パケットを処理コンピュータシステムに送信するよう構成される。

処理コンピュータシステムは、アクセス制御ユニットを備え、アクセス制御ユニットは、所定のネットワークポートを、少なくとも一時的に閉じたままにするよう構成され、その結果、これらのネットワークポートによるネットワークを介した処理コンピュータシステムへのアクセスを防止するが、ブローカ・コンピュータ・システムへの処理コンピュータシステムのアクセスは、ブローカ・コンピュータ・システムから認証パケットを取り出すために許可される。

さらに、処理コンピュータシステムのアクセス制御ユニットは、処理コンピュータシステムで、または処理コンピュータシステムの下流のバックエンド処理コンピュータシステムの１つで、外部コンピュータシステムの認証に成功すると、外部コンピュータシステムと通信するために少なくとも１つの選択的ネットワークポートをブロック解除するよう構成される。

有利には、そのような分散コンピュータネットワークは、本明細書で説明するタイプの方法を実行するよう構成される。

上記の方法の文脈で言及した利点は、このタイプの分散コンピュータネットワークからも同様にもたらされる。上記の方法の文脈で説明したすべての有利な措置はまた、分散コンピュータネットワークの対応する構造的特徴にも適用され、逆も同様である。

さらなる態様では、上記の目的は、１つまたは複数のコンピュータシステムで実行されるよう構成されて、実行されると、上記したタイプの方法を実行する、請求項１５に記載のコンピュータプログラム製品により達成される。

さらなる有利な実施形態が、従属請求項ならびに以下の図面に関する記述で開示される。

本発明は、２つの図面に関してさらに説明される。

外部コンピュータシステムをブロック解除するための第１の構成によるコンピュータ・ネットワーク・インフラストラクチャの少なくとも一部の概略図である。 外部コンピュータシステムをブロック解除するための第２の構成によるコンピュータ・ネットワーク・インフラストラクチャの少なくとも一部の概略図である。 外部コンピュータシステムをブロック解除するための負荷分散を伴う第３の構成によるコンピュータ・ネットワーク・インフラストラクチャの少なくとも一部の概略図である。 外部コンピュータシステムをブロック解除するための負荷分散を伴う第４の構成によるコンピュータ・ネットワーク・インフラストラクチャの少なくとも一部の概略図である。 外部コンピュータシステムとの一般的な通信のための負荷分散を伴う別の構成によるコンピュータ・ネットワーク・インフラストラクチャの少なくとも一部の概略図である。

図１は、コンピュータ・ネットワーク・インフラストラクチャの一部の概略図を示し、図１においてタスクサーバとして示された、ブローカ・コンピュータ・システムと、図１においてターゲットサーバとして示された、処理コンピュータシステムとを備える。タスクサーバおよびターゲットサーバは、ネットワークＮを介して互いと通信することができる。

さらに、図１のコンピュータ・ネットワーク・インフラストラクチャは、ネットワークＮを介してタスクサーバおよびターゲットサーバに内向きに接続され、インターネットまたはさらなるイントラネットを介して外部に向けて接続される、パケットフィルタを備える。後者の接続は、図１にクラウドとして模式的に示す。

示したトポロジにおいて、タスクサーバは、いわゆる、「開」システムとして構成される。これは、タスクサーバが、この文脈で説明する目的のために、少なくとも１つのネットワークポートを開き、サービスまたはアプリケーションが、タスクサーバで動作し、ネットワークＮを介してアドレス指定能力または接続確立を可能にすることを意味する。例えば、このコンピュータシステムにおけるネットワーク接続は、ＶＰＮ（仮想プライベートネットワーク）またはＳＳＨ（セキュアセル）またはそのような安全対策の組み合わせを介して制限することができ、その結果、専用コンピュータシステムとの所定の、暗号化されたネットワーク接続のみが、ネットワークＮを介して許可される。タスクサーバは、コンピュータ・ネットワーク・インフラストラクチャ内のターゲットサーバにデータパケットを通信および転送するためのブローカとして機能する。

タスクサーバとは対照的に、ターゲットサーバは、閉ネットワークポートを伴う特定の安全システムとして一般に動作する。これは、図内のターゲットサーバでのハッチ入力／出力レベルによって模式的に示される。これは、最初は、ネットワークＮを介したアドレス指定能力または接続確立のために、ネットワークポートで外部から視認可能または利用可能な実行プログラムまたはサービスが無いことを意味する。むしろ、ネットワークＮを介したターゲットサーバへの認証されていないアクセスは、ターゲットサーバの各閉ネットワークポートのため不可能であり、これは、例えば、適切なファイアウォールルール（例えば、ＩＰテーブル）によって、ターゲットサーバ自体または上流のシステム（例えば、ルータ）で認証されていない接続が抑制されるためである。しかしながら、ユーザグループは、ターゲットサーバにローカルにアクセスして、所定の動作をそこでローカルに実行することができるとも考えられる。

パケットフィルタは、本文で述べる目的のために閉じられた、タスクサーバおよびターゲットサーバに向かう（すなわち、ネットワークＮの方向の）ネットワークポートを備える。これは、ネットワークＮの方向のパケットフィルタでのクロスハッチされた入力／出力レベルによって図１に示される。これは、上記のターゲットサーバに関連して説明したように、パケットフィルタが、何らのデータも外部に転送せず、したがって、ネットワークを介してタスクサーバまたはターゲットサーバから外部への何らの接続確立も許可しないことを意味する。

また、パケットフィルタは、コンピュータ・ネットワーク・インフラストラクチャの外部から通信方向に、すなわち、記号的に示したインターネットまたは別のイントラネットを介して、少なくとも１つの開ネットワークポート（いわゆる、「リスニング」ポート）を備え、その結果、外部（インターネット、イントラネット）からのコンピュータ・ネットワーク・インフラストラクチャのタスクサーバへの接続確立が、ネットワークＮを介してパケットフィルタにより可能になる。したがって、図１のパケットフィルタは、コンピュータ・ネットワーク・インフラストラクチャを外部から保護するものである。さらに、内部から外部への望ましくないトラフィックを防止する。

タスクサーバとターゲットサーバとの間のコンピュータ・ネットワーク・インフラストラクチャ内の通信のために、所定の処理が構成される。命令は、確立された接続（確立済み）を介してターゲットサーバからタスクサーバに直接送信することができ、これは、タスクサーバが、上記のように、ネットワークＮを介してターゲットサーバから直接アドレス指定可能なためである。

まず、ターゲットサーバに向かう方向に、タスクサーバから、またはコンピュータ・ネットワーク・インフラストラクチャの外部の外部コンピュータシステム（図示せず）から、ポートノッキングを実行する必要がある。そのために、パケットデータの所定のデータシーケンスが、タスクサーバまたは外部コンピュータシステムからターゲット・コンピュータ・システムに送信され、ターゲットサーバのネットワークポートは閉じられ、シーケンスは、所定の順序で、対応する処理コンピュータシステムの１つまたは複数のネットワークポートをアドレス指定する。続いて、送信されたシーケンスは、ターゲットサーバで、所定のシーケンスとの適合のために検証される。成功した場合、ターゲットサーバとタスクサーバとの間の通信のために、ターゲットサーバからタスクサーバに向かう接続が確立され、対応するデータパケットおよび／または命令の伝送が、確立された接続（確立済み）を介して行われる。

特に、ターゲットサーバは、タスクサーバから送信されるデータパケットを取り出す処理を開始する。そのような処理は、例えば、Ｕｎｉｘベースの「セキュアコピー」（ｓｃｐ）コマンドを介して行ってもよい。このようにして、関係するコンピュータシステムは、ターゲットサーバの閉ネットワークポート、データパケットの転送、および／または命令の配置にもかかわらず、コンピュータ・ネットワーク・インフラストラクチャ内で互いと通信することができる。

以下では、コンピュータ・ネットワーク・インフラストラクチャ内の安全なターゲットサーバと、コンピュータ・ネットワーク・インフラストラクチャの外部の外部コンピュータシステム（図１には図示しない）との間の通信をブロック解除する方法が、参照番号１から６により図面内で示される、いくつかの方法ステップにより説明される。

ステップ１では、外部コンピュータシステムは、コンピュータ・ネットワーク・インフラストラクチャ（ネットワークＮ）とは別のインターネットおよび／またはイントラネットを介したターゲットサーバとの通信のブロック解除を要求する。例えば、外部コンピュータシステムは、コンピュータ・ネットワーク・インフラストラクチャ内のターゲットサーバでアプリケーションをブロック解除しようとするクライアントとすることができる。しかしながら、この時点で、ターゲットサーバは、外部コンピュータシステムに対して何らの開ネットワークポートも有さず、外部接続確立を許可しない。

例えば、外部コンピュータシステムは、ＮＡＴ／ＰＡＴルータの下流に配置することができ、外部コンピュータシステムのローカルプライベートＩＰアドレスを、ルータの（明確な）パブリックＩＰアドレスでマスクする。しかしながら、このように、外部コンピュータシステムは、ターゲットサーバによって直接アドレス指定されず、これは、ターゲットサーバが、外部コンピュータシステムの正確な（プライベート）ＩＰアドレスを把握しないためである。さらに、図１の構成によれば、上述のように、パケットフィルタが、何らのデータも転送せず、ネットワークＮの方向の外部への接続確立を許可しないため、ターゲットサーバは、パケットフィルタを介してコンピュータ・ネットワーク・インフラストラクチャの外部には何らの接続も開始することができない。

最初に同様に、閉ネットワークポートを備えて、外部コンピュータシステムから直接接続確立を許可しない、ターゲットサーバとの接続をブロック解除するために外部コンピュータシステムを認証する場合、特別な認証方法を実行する必要がある。

そのために、外部コンピュータシステムは、ステップ１の認証パケットを、インターネット／イントラネット（図１のクラウド記号を参照）を介して、およびネットワークＮを介したパケットフィルタを介して、コンピュータ・ネットワーク・インフラストラクチャ内の外部アドレス指定可能タスクサーバに送信する。このパケットの伝送のために、タスクサーバでの外部コンピュータシステムの認証を、（例えば、ＶＰＮなどを介して）要求することができる。

認証パケットは、ターゲットサーバでの外部コンピュータシステムの認証のために、署名された情報を含む。この署名された情報は、外部コンピュータシステムおよび／または別個のキー・コンピュータ・システム（図示せず）の署名を含むことができ、キー・コンピュータ・システムは、ターゲットサーバにアクセスするために許可されたコンピュータシステムとなるよう外部コンピュータシステムを設定および署名するための安全エンティティである。別個の安全エンティティとしての別個のキー・コンピュータ・システムは、認証が、外部コンピュータシステムにおいてのみ偽造することができない、またはほぼ偽装されない、という利点を有する。このようにして、通信するためにターゲットサーバを少なくとも部分的にブロック解除しようとする外部コンピュータシステムが、実際に認証されることを保証する。

さらに、認証パケットの署名された情報はまた、外部コンピュータシステムについての情報（例えば、外部コンピュータシステムがアドレス指定しようとするサービス）および／または、場合によっては、ブロック解除の、またはブロック解除後に実行されるターゲットサーバでの処理の、所定の性能に対する実装パラメータを含むことができる。認証パケットはまた、ハッシュ値または署名などの（ユーザの）パスワードから生成されるデータを含んでもよい。さらなる、または最終の認証が、任意選択的に、ターゲットサーバで可能である。

ステップ２では、外部コンピュータシステムが、（上記したような）ポートノッキングの意味でのノッキング信号を、ターゲットサーバに直接、インターネット／イントラネット、およびネットワークＮによるコンピュータ・ネットワーク・インフラストラクチャのパケットフィルタを介して、送信する。ノッキング信号の所定のデータシーケンスは、サービス（例えば、ノックデーモン）を介してターゲットサーバの最初に閉じられたネットワークポートで評価され、所定のデータシーケンスと比較される。シーケンスが一致する場合、スクリプトまたはプログラムが、例えば、タスクサーバに存在する認証パケットをさらに処理するために、ターゲットサーバで開始される。

ステップ２の措置（ターゲットサーバでのノッキング）は、ターゲットサーバに対する初期化を表し、データパケットが、さらなる動作のためにタスクサーバに存在することを表す。ターゲットサーバでのポートノッキングはまた、外部コンピュータシステムの代替として、タスクサーバからターゲットサーバの方向に行ってもよい。

タスクサーバに存在する認証パケットは、ステップ３で最初にローカルに処理される。この処理は、署名検証、および／または、例えば、実装パラメータの、認証パケットにおけるさらなる情報の検証を含むことができる。さらに、このステップでは、認証パケットは、例えば、外部要求コンピュータシステムに割り当てることができ、認証パケットをタスクサーバに送信したＮＡＴルータのパブリックＩＰアドレスである、可視ソースＩＰアドレスによって補完される。このようにして、本方法の過程で、ターゲットサーバは、この補完されたソースＩＰアドレスが、一時的にブロック解除されるべきであることを把握する。

さらに、ステップ３では、タスクサーバ内の認証パケットの検証が成功した場合、認証パケットが、バッファストレージに移され、ターゲットサーバによって取り出される。そうでなければ、（検証が成功しなかった場合）、例えば、認証パケットは、タスクサーバ内で破棄することができる。その場合、何らのさらなる動作も行われず、本方法は終了する。

さらに、ターゲットサーバによって取り出すためのタスクサーバでの認証パケットの検証および保管が成功すると、認証パケットのターゲットサーバへのルーティングを決定することができる。例えば、これは、複数のターゲットサーバを有するコンピュータ・ネットワーク・インフラストラクチャにおいて意味があり、したがって、認証パケットが、コンピュータ・ネットワーク・インフラストラクチャ内の正しいターゲット・コンピュータ・システムに分散されることを保証することができる。

ステップ４では、ターゲットサーバは、ネットワークＮを介してタスクサーバへの接続確立を行い、タスクサーバからターゲットサーバに、確立された接続を介して、認証パケットを伝送するための処理を開始する。そのような処理は、例えば、Ｕｎｉｘベースのｓｃｐコマンドを介して行うことができる。

後に、認証パケットは、タスクサーバからターゲットサーバに、コンピュータ・ネットワーク・インフラストラクチャのネットワークＮを介して送信される。
有利には、認証パケットは、ターゲットサーバで再度検証される。そのため、タスクサーバにおいてステップ３で実行されたような認証ステップをここで実行することができる。追加の検証ステップ、例えば、認証パケットにより指示されるターゲットサーバにおける処理の検証なども考えられる。

認証パケットの検証がここでも成功した場合、（要求コンピュータシステムに割り当てることができる）外部ソースＩＰアドレスになる補完認証パケットによりターゲットサーバに知らされるソースＩＰアドレス（上記参照）がブロック解除される。ブロック解除は、ターゲットサーバの１つまたは複数の個々のターゲット・ネットワーク・ポートで選択的に行うことができる。したがって、ターゲットサーバは、１つまたは複数の所定のターゲット・ネットワーク・ポートでソースＩＰアドレスに基づいて（および、このアドレスから排他的に）接続確立のためにアドレス指定可能である。

ターゲットサーバで選択的ターゲット・ネットワーク・ポートをブロック解除した後に固定的に所定の（短い）期間に有利に行われる続くステップ５では、インターネット／イントラネットからネットワークＮを介してパケットフィルタを介してコンピュータ・ネットワーク・インフラストラクチャにアクセスすることができる外部コンピュータシステムが、ターゲットサーバの開ターゲット・ネットワーク・ポートへの新規接続（外部の既知のソースＩＰアドレス／選択されたソース・ネットワーク・ポートの組み合わせによる新規セッション）を確立する。例えば、所定の期間内で、そのような接続確立が外部コンピュータシステムによって行われない場合、本方法により選択的に解放されたすべてのターゲット・ネットワーク・ポートが、（他の外部コンピュータシステムが同じ時間フレーム内で要求していない場合）ターゲットサーバでの関連ＩＰアドレスに対して再度閉じられ、その結果、ターゲットサーバは、同じソースＩＰアドレスを有するすべての外部コンピュータシステムに対してもはやアドレス指定することができない（初期状態）。別のＩＰアドレスを有する外部コンピュータシステムは、そのことに関係なく本方法の全課程の間にターゲットサーバへの何らの接続も確立することができない。

あるいは、新規セッションの適時接続確立に加えて、現在選択的に開放されたターゲットサーバへの検証パケットの直接的な再伝送は、（既知のソースＩＰアドレスによる）外部コンピュータシステムとターゲット・コンピュータ・システムとの間でこのように確立され維持された接続を介して行われる。検証パケットは、タスクサーバによりターゲットサーバに以前に到達していた、認証パケットの同じ情報を含むことができる。あるいは、またはさらに、検証パケットはまた、さらなる検証機能（例えば、外部コンピュータシステムまたはそのユーザの識別特徴、生体認証データ、パスワード、パスフレーズ、キーなど）を含むことができる。

検証パケットが、以前に送信された認証パケットと一致するかどうか、または認証パケットの情報の検証および確認に対する検証は、検証パケットの構成に応じて、さらなる検証機能によりターゲットサーバで行われる。この検証は、確立接続が、ターゲットサーバのブロック解除を以前に要求した外部コンピュータシステムから（およびこのシステムから排他的に）実際に初期設定されているというような安全対策である。特に、この検証は、認証パケットを送信しなかったが、ターゲットサーバでブロック解除されたソースＩＰアドレスを有するＮＡＴルータの下流に位置して、攻撃としてターゲットサーバに不正操作アクセスするためにブロック解除を行おうとする、攻撃者に対する安全対策である。その場合、そのような攻撃者は、何らの検証パケットまたは偽装検証パケットも提示することができず、したがって、ターゲットサーバは、非認証接続が確立されたことを検出する。したがって、そのような安全対策により、外部からの攻撃者による本方法の操作が複雑になる。

認証パケットの一致または確認が検証パケットにより良好に検証された場合、確立接続は、検証パケットが最後に送信されたソース・ネットワーク・ポートと共にブロック解除されたソースＩＰアドレスの組み合わせを排他的に制限する。このようにして、ターゲットサーバは、ＩＰアドレスに対してだけでなく、認証された外部コンピュータシステムの使用されたソース・ネットワーク・ポートを介した実際のソース接続に対しても、確立接続を制限する。ターゲットサーバへの、同じソースＩＰアドレスだが異なるソース・ネットワーク・ポートを介したさらなる接続は、結果的に、抑制される。このようにして、潜在的攻撃シナリオは、著しく複雑になるか、または抑制される。これらの措置において、複数のコンピュータシステムの潜在的に平行して生じる接続確立は、互いに干渉しないと考えられるであろう。

したがって、このプロシージャの後、（潜在的に、ＮＡＴルータのマスクされたソース・ネットワーク・ポートを介した）外部コンピュータシステムのソース・ネットワーク・ポートと、ターゲットサーバで選択的にブロック解除されたターゲット・ネットワーク・ポートとの間に選択的に確立された接続がただ１つだけ存在する。それに続くステップ６では、次いで、特定用途向けのさらなる接続が、外部コンピュータシステムと、コンピュータ・ネットワーク・インフラストラクチャ内のターゲットサーバとの間で、この制限された接続により行うことができる。

このようにして、外部コンピュータシステムは、認証を介して通信するためにターゲットサーバをブロック解除する。それにもかかわらず、本方法は、従来の方法よりも、外部攻撃者に対して、極めて安全である。
図２は、図１によるコンピュータ・ネットワーク・インフラストラクチャの構成を示すが、コンピュータ・ネットワーク・インフラストラクチャ内の攻撃者に対する安全対策として、タスクサーバとターゲットサーバとの間のネットワークＮに構成されるさらなるパケットフィルタＦＷを有する。他のすべてのエンティティ、措置、および方法ステップは、図１によるプロシージャと同一であるため、ここでは、繰り返しの説明は省略することができる。

パケットフィルタＦＷは、本質的に、タスクサーバを起点とするターゲットサーバへの攻撃を防御するよう動作する。タスクサーバにおいて特定の権利（例えば、管理者権限）を得た侵入者は、ＩＤスプーフィングにより攻撃を実行して、例えば、認証された外部ＩＰアドレスで外部クライアントになりすますことができる。このようにして、オプションのポートフィルタは、（他のコンピュータシステムから何らの接続確立も許可しない）ターゲットサーバで回避することができる。このようにして、タスクサーバを起点とした、ターゲットサーバへの認証されたアクセスは、偽装ＩＰアドレスにより偽装される可能性がある。

対抗策として、パケットフィルタＦＷが構成され、タスクサーバからターゲットサーバへの通信方向で、タスクサーバの正確なＩＰアドレスに起因するすでに確立されたか、または関連した接続のデータパケットのみを許可する。他のパケットデータは、破棄または無視され、この通信方向のパケットフィルタＦＷで転送されない。したがって、タスクサーバを起因とする信頼性が高くて信頼できるデータパケットのみが、ターゲットサーバに到達する。結果的に、タスクサーバに起因するＩＰアドレスの偽装（ＩＰスプーフィング）は、著しく複雑または抑制される。

ターゲットサーバからタスクサーバへの、逆の通信方向では、パケットフィルタＦＷは、有利には、（例えば、ｓｃｐまたはｓｓｈまたはその組み合わせなどの）データパケットがタスクサーバでの特定のサービスにアドレス指定することのみを許可することができる。このようにして、タスクサーバは、ターゲットサーバの方向に完全に遮断され、その結果、タスクサーバに起因する、ターゲットサーバへの何らの攻撃も成功しない。しかしながら、図１で説明したように、逆方向では、ターゲットサーバは、タスクサーバから、例えば、ｓｃｐサービスを介して、認証パケットを取り出すことができる。

図２によるパケットフィルタＰＷは、例えば、特に安全な１：１ＮＡＴルータ（ＩＰアドレス変換）として実現することができる。認証パケットの点からも、このルータで特定の検証メカニズムを提供することも考えられる。１：１ＮＡＴルーティングでは、到達パケットのＩＰアドレスは、他のＩＰアドレスに静的に変換される。例えば、例示的アドレス１０．１０．１０．１０を有する到達パケットは、アドレス１１．１１．１１．１１に変換される可能性がある。

図３は、コンピュータ・ネットワーク・インフラストラクチャの第３の構成を示し、一般に、図２によるコンピュータ・ネットワーク・インフラストラクチャとして構成され、それに応じて動作する。しかしながら、図３によるコンピュータ・ネットワーク・インフラストラクチャは、２つのブローカ・コンピュータ・システム、すなわち、タスクサーバ１およびタスクサーバ２、ならびに２つの処理コンピュータシステム、すなわち、ターゲットサーバ１およびターゲットサーバ２を備える。さらに、図１も参照すると、負荷分散装置がパケットフィルタに統合され、負荷分散装置は、図３によるブローカ負荷分散装置として動作する。図３によるコンピュータ・ネットワーク・インフラストラクチャの機能を以下で説明する。

ステップ１では、図１および図２に関して説明したのと同様に外部クライアントとして構成することができる外部コンピュータシステムが、インターネット、および／またはコンピュータ・ネットワーク・インフラストラクチャ（ネットワークＮ）とは別のイントラネットを介してパケットフィルタを介して負荷分散装置への接続を確立した。２つの処理コンピュータシステム、ターゲットサーバ１およびターゲットサーバ２は、ネットワークＮを介する外部コンピュータシステムに対して開ネットワークポートを有さず、したがって、外部接続確立を許可しない。タスクサーバ１および２に向けて、ターゲットサーバ１およびターゲットサーバ２は、さらに、図２の文脈で説明したように、さらなるパケットフィルタＦＷを介することで安全になる。

負荷分散装置は、外部コンピュータシステムのデータパケット（一般に、ＩＰパケット）をブローカ・コンピュータ・システム、タスクサーバ１、およびタスクサーバ２の１つに、任意の負荷分散アルゴリズムにより導く。タスクサーバ１またはタスクサーバ２の選択のために、負荷分散装置は、例えば、いわゆる、「ソース・ハッシング・スケジューリング」によるアルゴリズムを使用することができる。この場合、負荷分散装置は、タスクサーバ１およびタスクサーバ２のグループから、対応するタスクサーバを選択し、ここでは、外部コンピュータシステムに割り当てることができるパブリックＩＰアドレスに応じて、タスクサーバ１を選択する。

このように、本方法によれば、上記した認証パケットは、ステップ１における負荷分散装置により外部コンピュータシステムからタスクサーバ１に送信され、図１と共に記載したようにステップ２でさらに処理される。例えば、これは、外部コンピュータシステムに割り当てることができるＩＰアドレスを用いた正当性検証および補完を含む。

一般に、この構成では、タスクサーバ１およびタスクサーバ２も、所定のアルゴリズムにより、ターゲットサーバ１とターゲットサーバ２との間で選択することができる。有利には、この場合、ターゲットサーバ１およびターゲットサーバ２の１つを選択するためのアルゴリズムは、負荷分散装置において外部コンピュータシステムに割り当てることができるＩＰアドレスに応じてタスクサーバ１およびタスクサーバ２の１つを選択するためのものと同じアルゴリズムである。結果的に、各ターゲットサーバへの接続確立のブロック解除のための外部コンピュータシステムの割り当ては、負荷分散装置において、ならびにタスクサーバ１および２においての両方で、同一に行われることが保証される。これは、負荷分散装置によりブロック解除された外部コンピュータシステムからの接続確立もまた、外部コンピュータシステムの対応する認証パケットがこのシステムをブロック解除するために送信された、ターゲットサーバ１およびターゲットサーバ２からターゲットサーバに行われる、という効果を有する。

例えば、ステップ３では、タスクサーバ１は、以前に選択されたターゲットサーバ１でポートノッキングを実行し、認証パケットがタスクサーバ１で収集可能な状態にあることをターゲットサーバ１に指示する。続いて、ステップ４では、ターゲットサーバ１は、図１および図２の文脈で本方法により説明したように、タスクサーバ１への接続を確立し、認証パケットを取り出すことができる。

ステップ５では、ターゲットサーバ１は、上記した方法と同様に、さらなる接続確立のために認証パケットにより外部コンピュータシステムの認証を検証する。成功した場合、ターゲットサーバ１のネットワークポートの１つが、外部コンピュータシステムがアクセスするために、外部コンピュータシステムに割り当てることができるＩＰアドレスに対してブロック解除される。

最後に、さらなるステップ６で、場合によると、制御された（短い）待ち時間が過ぎると、外部コンピュータシステムから負荷分散装置への新規セッションの接続確立が行われ、（タスクサーバ１と同じアルゴリズムを使用して）ターゲットサーバ１に転送される。この接続試行は、本試行が成功しなかった場合、複数回、繰り返してもよい。この新規セッションは、例えば、ターゲットサーバ１内のアプリケーションへの直接的な所望の接続、例えば、ＶＰＮ接続とすることができ、さらなる接続が、ステップ７に従って、安全な方法で行われる。

残りについて、図３によるコンピュータ・ネットワーク・インフラストラクチャのさらなる機能の点から、図１および図２の説明を参照する。

図４は、図３の構造をさらに発展させたコンピュータ・ネットワーク・インフラストラクチャのさらなる構成を示す。図４によるコンピュータ・ネットワーク・インフラストラクチャでは、複数のブローカ・コンピュータ・システム、タスクサーバ１およびタスクサーバ２が構成され、負荷分散装置１が上流に接続される。負荷分散装置１は、外部コンピュータシステムからデータパケットを取り込むためにタスクサーバ１および２から１つを選択するために、いわゆる、ブローカ負荷分散装置として、図３による負荷分散装置と同様に動作する。

図４によれば、処理コンピュータシステムのグループは、いわゆる、処理負荷分散装置として動作する、負荷分散装置２、ならびに、いわゆる、バックエンド処理コンピュータシステムとして通信中に負荷分散装置２の下流にどちらも接続される、図３と同様のターゲットサーバ１およびターゲットサーバ２を備える。以下では、コンピュータ・ネットワーク・インフラストラクチャの機能を、図４に従って説明する。

ステップ１では、外部コンピュータシステムは、インターネット、および／またはコンピュータ・ネットワーク・インフラストラクチャとは別のイントラネットを介して、ネットワークＮ１によりオプションのパケットフィルタを介して、負荷分散装置１への接続を確立する。しかしながら、この時点で、負荷分散装置２は、何らの開ネットワークポートも有さず、外部接続確立を許可しない。

上記のプロシージャと同様に、負荷分散装置１は、この例では、タスクサーバ２を選択し、ネットワークＮ２により外部コンピュータシステムの認証パケットをハンドオーバする。ステップ２では、認証パケットは、タスクサーバ２でさらに処理され、例えば、正当性の点から検証されて、外部コンピュータシステムに割り当てることができるＩＰアドレスによって補完される。

例えば、ステップ３では、タスクサーバ２は、ネットワークＮ３を介して負荷分散装置２でポートノッキングを実行し、認証パケットがタスクサーバ２で収集可能な状態にあることを負荷分散装置２に指示する。続いて、ステップ４では、負荷分散装置２は、図１および図２に関する方法により説明したように、ネットワークＮ３を介してタスクサーバ２への接続を確立することができ、認証パケットを取り出す。

ステップ５では、負荷分散装置２は、上記した方法と同様に、さらなる接続確立のために認証パケットにより外部コンピュータシステムの認証を検証する。成功した場合、負荷分散装置のネットワークポートが、外部コンピュータシステムがアクセスするために、外部コンピュータシステムに割り当てることができるＩＰアドレス対してブロック解除される。

最後に、さらなるステップ６では、場合によると、制御された（短い）待ち時間の後、外部コンピュータシステムから、ここでは外部コンピュータシステムに対してブロック解除される負荷分散装置２への新規セッションの接続確立が行われる。この接続試行は、最初に成功しなかった場合、複数回、繰り返すことができる。負荷分散装置２は、外部コンピュータシステムからの接続を転送するための任意のアルゴリズムを介してターゲットサーバ１とターゲットサーバ２との間で選択することができ、ターゲットサーバ１とターゲットサーバ２とは、ネットワークＮ４での開ネットワークポートを介して負荷分散装置２に対してアドレス指定可能である。図４による例では、負荷分散装置２は、ステップ７でネットワークＮ４を介してターゲットサーバ１に外部コンピュータシステムの接続を転送する。この新規セッションは、ターゲットサーバ１内のアプリケーションへの直接的な所望の接続、例えば、ＶＰＮ接続とすることができ、さらなる接続が、ステップ７に従って、安全な方法で行われる。

負荷分散装置１および負荷分散装置２は、１つの物理デバイスに統合することができる可能性があることに留意されたい。さらに、負荷分散装置１および／または２の一方または両方は、冗長設計を有することもできる。この場合、現在の構成は、それに応じて、例えば、ストレージ・エリア・ネットワークを介して、冗長負荷分散装置でミラーリングされる必要がある。

残りについて、図４によるコンピュータ・ネットワーク・インフラストラクチャのさらなる機能に関して、図１から図３の説明を参照する。

図５は、図３および図４での説明と同様の機能を有するコンピュータ・ネットワーク・インフラストラクチャの構成を示す。図４における組み合わせとは対照的に、図５によるコンピュータ・ネットワーク・インフラストラクチャは、ただ１つの負荷分散装置１とオプションのパケットフィルタとを備える。残りについて、図５によるコンピュータネットワーク構造では、この場合も、２つのタスクサーバ１および２ならびに２つのターゲットサーバ１および２が設けられる。図５による組み合わせは、恒久的なセッションを確立することなく外部コンピュータシステムによる負荷分散装置によるターゲットサーバ１または２の一方にアクセスするために本質的に機能する。このようにして、例えば、データパケットは、安全なコンピュータ・ネットワーク・インフラストラクチャ内でのさらなる処理のためにターゲットサーバ１または２の一方に外部コンピュータシステムから転送することができる。高ネットワーク負荷は、負荷分散装置１により扱うことができ、その結果、コンピュータ・ネットワーク・インフラストラクチャの性能が維持される。

図５によれば、外部コンピュータシステムは、ネットワークＮ１によりオプションのパケットフィルタを介してコンピュータ・ネットワーク・インフラストラクチャとは別個のインターネットおよび／またはイントラネットを介して負荷分散装置１への接続を確立する。

上記のプロシージャと同様に、負荷分散装置１は、この例では、タスクサーバ２を選択し、ネットワークＮ２により外部コンピュータシステムの１つまたは複数のデータパケットをハンドオーバする。ステップ２では、データパケットは、タスクサーバ２でさらに処理され、例えば、その正当性をチェックされる。

例えば、ステップ３では、タスクサーバ２は、以前に選択されたターゲットサーバ１ボアネットワークＮ３でポートノッキングを実行し、データパケットがタスクサーバ２で収集可能な状態にあることをターゲットサーバ１に指示する。この場合、タスクサーバ１は、ネットワークＮ３へのアドレス指定に対して、本方法に対して明白にすべてのネットワークポートを閉じたままにする。しかしながら、ターゲットサーバ１は、本方法により上記したように、ステップ４でネットワークＮ３を介してタスクサーバ２自体への接続を確立し、データパケットを取り出すことができる。データパケットのさらなる処理を、続いて、最終ステップ５で、ターゲットサーバ１で行うことができる。このようにして、外部コンピュータシステムからターゲットサーバへの負荷分散装置を介した単純なデータ転送が可能となる。外部コンピュータシステムと、ターゲットサーバの１つとの間のＶＰＮ接続は、この例示的な実施形態では確立されない。

本明細書で示す方法は、コンピュータ・ネットワーク・インフラストラクチャ内の複数のバックエンド処理コンピュータシステムに対する負荷分散のために、安全な処理コンピュータシステムまたは安全な処理負荷分散装置と通信するために外部コンピュータシステムをブロック解除することが、外部攻撃者または内部攻撃者に対して（もまた）処理コンピュータシステムまたは処理負荷分散装置を解放することなく、安全な方法および方式で、可能とする。

タスクサーバ ブローカ・コンピュータ・システム
タスクサーバ１、２ ブローカ・コンピュータ・システム
ターゲットサーバ 処理コンピュータシステム
ターゲットサーバ１、２ （バックエンド）処理コンピュータシステム
負荷分散装置１ ブローカ・コンピュータ・システム
負荷分散装置２ 処理負荷分散装置
Ｎ、Ｎ１、Ｎ２、Ｎ３、Ｎ４ ネットワーク
ＦＷ パケットフィルタ
１から７ 方法ステップ

Claims (15)

1. コンピュータ・ネットワーク・インフラストラクチャ内の安全な処理コンピュータシステムと通信するために外部コンピュータシステムをブロック解除する方法であって、
   前記コンピュータ・ネットワーク・インフラストラクチャの外部に構成される外部コンピュータシステムから、前記コンピュータ・ネットワーク・インフラストラクチャ内のブローカ・コンピュータ・システムに認証パケットを伝送するステップであって、前記認証パケットが、前記外部コンピュータシステムの認証のために署名された情報を含む、ステップと、
   前記認証パケットを、前記ブローカ・コンピュータ・システムから、前記コンピュータ・ネットワーク・インフラストラクチャ内の少なくとも１つの処理コンピュータシステムに自動的に伝送するステップであって、前記処理コンピュータシステムは、所定のネットワークポートを、少なくとも一時的に閉じたままにして、その結果、これらのネットワークポートによるネットワークを介した前記処理コンピュータシステムへのアクセスを防止するが、前記処理コンピュータシステムは、前記認証パケットを前記ブローカ・コンピュータ・システムから取り出すために、前記ブローカ・コンピュータ・システムへアクセスすることができるステップと、
   前記外部コンピュータシステムとの通信のために前記処理コンピュータシステムによって少なくとも１つの選択的ネットワークポートをブロック解除するステップと、
   前記外部コンピュータシステムによって前記処理コンピュータシステムの前記の選択的にブロック解除されたネットワークポートへの接続を確立するステップと、
   を備える、方法。
2. 前記処理コンピュータシステムの前記選択的にブロック解除されたネットワークポートへの接続を確立するステップの後、以下の追加ステップ、すなわち、
   前記確立された接続によって前記処理コンピュータシステムに知らされる、前記処理コンピュータシステムの前記ブロック解除されたネットワークポートおよび前記外部コンピュータシステムのネットワークポートへの前記処理コンピュータシステムと前記外部コンピュータシステムとの間の通信を制限するステップ、
   を実行する、請求項１に記載の方法。
3. 前記外部コンピュータシステムによって前記処理コンピュータシステムの前記選択的にブロック解除されたネットワークポートへの接続を確立するステップの後、以下のステップ、すなわち、
   検証パケットを、前記確立された接続により前記処理コンピュータシステムに直接前記外部コンピュータシステムにより伝送するステップと、
   前記検証パケット内の検証情報により前記ブローカ・コンピュータ・システムによって以前に送信された前記認証パケットの前記情報を確認するステップと、
   を実行する、請求項１または２に記載の方法。
4. 以下の追加ステップ、すなわち、
   前記処理コンピュータシステム内の前記認証パケットを検証するステップを備え、
   前記外部コンピュータシステムとの通信のために前記処理コンピュータシステムによって前記少なくとも１つの選択的ネットワークポートをブロック解除するステップが、前記認証パケットの前記検証が成功した場合にのみ行われる、
   請求項１から３のいずれか一項に記載の方法。
5. 追加のステップ、すなわち、
   前記ブローカ・コンピュータ・システムで前記認証パケットを検証するステップと、
   前記検証が成功しなかった場合に前記ブローカ・コンピュータ・システムによって前記認証パケットを破棄するステップと、
   を備える、請求項１から４のいずれか一項に記載の方法。
6. 前記ブローカ・コンピュータ・システムから前記処理コンピュータシステムへの前記認証パケットの前記伝送は、以下のステップ、すなわち、
   前記ブローカ・コンピュータ・システムまたは前記外部コンピュータシステムから前記処理コンピュータシステムに所定のデータシーケンスを送信するステップであって、前記処理コンピュータシステムの前記所定のネットワークポートが閉じられており、前記シーケンスが所定の順序で前記処理コンピュータシステムの１つまたは複数のネットワークポートをアドレス指定する、ステップと、
   前記処理コンピュータシステムにおける所定のシーケンスと適合するために前記の送信されたデータシーケンスを検証するステップと、
   前記の送信されたシーケンスの前記検証がポジティブである場合に、前記処理コンピュータシステムによって前記認証パケットの前記伝送を引き起こすステップと、
   を備える、請求項１から５のいずれか一項に記載の方法。
7. データパケットが、前記外部コンピュータシステムと前記コンピュータ・ネットワーク・インフラストラクチャとの間のパケットフィルタを介してルーティングされ、
   前記パケットフィルタは、前記外部コンピュータシステムによるアクセスのために前記外部コンピュータシステムに向けて少なくとも１つのネットワークポートを開いたままにし、前記パケットフィルタは、前記コンピュータ・ネットワーク・インフラストラクチャに向けて所定のネットワークポートを閉じたままにし、その結果、少なくとも前記コンピュータ・ネットワーク・インフラストラクチャ内の処理コンピュータシステムからの前記外部コンピュータシステムへのアクセスが防止される、
   請求項１から６のいずれか一項に記載の方法。
8. データパケットは、前記コンピュータ・ネットワーク・インフラストラクチャ内の前記ブローカ・コンピュータ・システムと前記処理コンピュータシステムとの間のパケットフィルタを介してルーティングされ、
   前記パケットフィルタは、前記ブローカ・コンピュータ・システムから前記処理コンピュータシステムに向かう通信方向で、前記ブローカ・コンピュータ・システムのＩＰアドレスを含んで、前記ブローカ・コンピュータ・システムと前記処理コンピュータシステムとの間のすでに確立した接続に割り当てることができる、データパケットのみを転送する、
   請求項１から７のいずれか一項に記載の方法。
9. 前記外部コンピュータシステムから前記ブローカ・コンピュータ・システムへの前記認証パケットの前記伝送は、以下のサブステップ、すなわち、
   前記外部コンピュータシステムから、複数のブローカ・コンピュータ・システムの上流で接続される、ブローカ負荷分散装置への接続を確立するステップと、
   前記ブローカ負荷分散装置によって前記複数のブローカ・コンピュータ・システムから前記ブローカ・コンピュータ・システムを選択するステップと、
   前記外部コンピュータシステムから前記ブローカ負荷分散装置を介して、前記選択されたブローカ・コンピュータ・システムに、前記認証パケットを転送するステップと、
   を備える、請求項１から８のいずれか一項に記載の方法。
10. 前記処理コンピュータシステムは、複数のバックエンド処理コンピュータシステムの上流に接続される処理負荷分散装置として動作し、以下の措置、すなわち、
    前記複数のバックエンド処理コンピュータシステムから１つのバックエンド処理コンピュータシステムを選択するステップと、
    外部コンピュータシステムによって前記処理負荷分散装置の前記選択的にブロック解除されたネットワークポートに確立された接続を、前記選択されたバックエンド処理コンピュータシステムに転送するステップと、を実行する、
    請求項１から９のいずれか一項に記載のシステム。
11. 分散コンピュータネットワークであって、
    少なくともブローカ・コンピュータ・システムと処理コンピュータシステムとを備える、コンピュータ・ネットワーク・インフラストラクチャと、
    前記コンピュータ・ネットワーク・インフラストラクチャの外部に設置される、少なくとも１つの外部コンピュータシステムとを有し
    前記外部コンピュータシステムが、認証パケットを、前記処理コンピュータシステムとの通信のための認証のために前記ブローカ・コンピュータ・システムに送信するよう構成され、
    前記ブローカ・コンピュータ・システムが、前記認証パケットを前記処理コンピュータシステムに自動的に送信するよう構成され、
    前記処理コンピュータシステムが、所定のネットワークポートを少なくとも一時的に閉じたままにして、その結果、これらのネットワークポートによるネットワークを介した前記処理コンピュータシステムへのアクセスを防止するが、前記ブローカ・コンピュータ・システムから前記認証パケットを取り出すために、前記ブローカ・コンピュータ・システムへの前記処理コンピュータシステムのアクセスは許可されるよう構成される、アクセス制御ユニットを備え、
    前記アクセス制御ユニットが、前記処理コンピュータシステムで、または前記処理コンピュータシステムの下流に接続されるバックエンド処理コンピュータシステムで、前記外部コンピュータシステムの認証が成功した後、前記外部コンピュータシステムとの通信のために、少なくとも１つの選択的ネットワークポートをブロック解除するようさらに構成される、
    分散コンピュータネットワーク。
12. 前記コンピュータ・ネットワーク・インフラストラクチャが、複数のブローカ・コンピュータ・システムと、前記複数のブローカ・コンピュータ・システムの上流に接続されるブローカ負荷分散装置とを備える、請求項１１に記載の分散コンピュータネットワーク。
13. 前記処理コンピュータシステムが、処理負荷分散装置として構成され、前記コンピュータ・ネットワーク・インフラストラクチャが、前記処理負荷分散装置が上流に接続される複数のバックエンド処理コンピュータシステムをさらに備える、請求項１１または１２に記載の分散コンピュータネットワーク。
14. 請求項１から１０のいずれか一項に記載の方法を実行するよう構成される、請求項１１から１３のいずれか一項に記載の分散コンピュータネットワーク。
15. コンピュータプログラム製品であって、１つまたは複数のコンピュータシステムで実行されるよう構成され、実行されると、請求項１から１０のいずれか一項に記載の方法を実行する、コンピュータプログラム製品。

Images