JP2019062557A - 複合セキュアリンクアーキテクチャを提供するシステム及び方法 - Google Patents

Abstract

【課題】クライアントワークステーションが複数のＶＰＮに接続することができるようにする。【解決手段】複合セキュアリンク（ＭＳＬ：Multiple Secure Link）ＶＰＮからインバウンドデータグラムを受信し、且つ、発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスをインバウンドデータグラム内において記録するようにするロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）を有し、ＭＳＬツインＮＡＴが、インバウンドデータグラム及びクライアントワークステーション用の新しいプライベートなＩＰ（ＵＰＩＰ：Unique Private IP）を割り当て、且つ、クライアントワークステーションへインバウンドデータグラムを送信する。【選択図】図１

Description

インターネットは、現時点において、様々な標準プロトコルを使用したコンピュータ間におけるワールドワイドな通信をサポートしている。これらのプロトコルのうちの一つであるインターネットプロトコル（ＩＰ：Internet Protocol）は、ＩＰアドレスと呼称される一意のアドレスをそれぞれのコンピュータに割り当てている。ＩＰは、現時点において、３２ビットアドレスを有するＩＰｖ４及び１２８ビットアドレスを有するＩＰｖ６という二つのバージョンにおいて利用可能である。ＩＰｖ４が、現在、最も一般的に使用されているバージョンである。

インターネットの成長は、ＩＰｖ４において利用可能な３２ビットアドレスのすべてを使い尽くしている。限られた数のアドレスに伴う一つの結果が、いまや、大部分の組織が、ＩＰｖ４によって定義されている三つのプライベートアドレス空間のうちの一つを使用しているというものである。これらのプライベートＩＰアドレスは、パブリックインターネット上においては使用することができない。ゲートウェイルータが、プライベートイントラネットとパブリックインターネットとの間のインタフェースを管理している。ゲートウェイルータは、プライベートネットワークの外部における通信が望ましい際に、プライベートな内部ＩＰを隠蔽又はマスキングするための様々な機能を提供している。

商用環境においてゲートウェイルータによって使用されている一つの一般的な方法が、外部ユーザを内部プライベートネットワークに接続するための仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）の生成である。ＶＰＮは、パケットがパブリックインターネットに跨ってクライアントワークステーションにルーティングされている間に、内部ＩＰアドレス及びデータを隠蔽するためのエンベロープ又はラッパプロトコルを提供している。

ＶＰＮは、クライアントワークステーションがＶＰＮゲートウェイに接続するのに伴って、内部プライベートＩＰアドレスをクライアントワークステーションに割り当てることにより、内部プライベートネットワークを拡張している。ＶＰＮは、クライアントワークステーション上のアプリケーションをＶＰＮゲートウェイ（又は、オーナゲートウェイ）の背後の内部プライベートネットワークに接続するネットワーク又はＶＰＮトンネルを生成している。クライアントワークステーションのローカルプライベートネットワーク及びパブリックインターネットは、ＶＰＮトンネルにより、クライアントワークステーション上のアプリケーションから隠蔽されている。この結果、ＶＰＮの現時点のバージョンにおいては、クライアントワークステーションは、一度に一つのＶＰＮにしか接続することができない。クライアントワークステーションが複数のＶＰＮに接続することができる場合には、それぞれのＶＰＮごとの内部プライベートアドレス領域が一意であることが保証されないことから、パケットを望ましい宛先まで確実にルーティングすることができないであろう。

本明細書において開示されている実施形態は、複合セキュアリンク（ＭＳＬ：Multiple Secure Link）アーキテクチャを提供するシステムを含む。システムのいくつかの実施形態は、プロセッサによって実行された際に、システムが、クライアントワークステーションとオーナゲートウェイとの間においてＶＰＮトンネルを生成し、クライアントワークステーションからオーナゲートウェイへのアウトバウンドデータグラムを送信し、且つ、オーナゲートウェイからクライアントワークステーションへのインバウンドデータグラムを受信するようにする第一ロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントを含み、インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートＩＰアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、を含む。いくつかの実施形態においては、第一ロジックは、システムが、宛先ＩＰアドレスを有するインバウンドデータグラムを送信するようにしている。又、システムの実施形態は、プロセッサによって実行された際に、システムが、ＭＳＬ ＶＰＮからインバウンドデータグラムを受信し、発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスをインバウンドデータグラム内において記録し、インバウンドデータグラム及びクライアントワークステーション用の新しいＵＰＩＰアドレスを割り当て、且つ、クライアントワークステーションへのインバウンドデータグラムの送信を促進するようにする第二ロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ：Network Address Translator）を含んでもよい。

同様に、本明細書において開示されているいくつかの実施形態は、プロセッサによって実行された際に、ＭＳＬ ＶＰＮが、クライアントワークステーションとオーナゲートウェイとの間においてＶＰＮトンネルを生成し、且つ、クライアントワークステーションからオーナゲートウェイへのアウトバウンドデータグラムを送信するようにするロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントを含む。いくつかの実施形態においては、ロジックは、ＭＳＬ ＶＰＮコンポーネントが、オーナゲートウェイからクライアントワークステーションへのインバウンドデータグラムを受信し、この場合に、インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートＩＰアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、を含み、且つ、宛先ＩＰアドレスを有するインバウンドデータグラムを送信するようにしている。

本明細書において開示されている更なるいくつかの実施形態は、プロセッサによって実行された際に、ＭＬＳツインＮＡＴが、ＭＳＬ ＶＰＮからインバウンドデータグラムを受信し、且つ、発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスをインバウンドデータグラム内において記録するようにするロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）を含む。いくつかの実施形態においては、ロジックは、ＭＳＬツインＮＡＴが、インバウンドデータグラム及びクライアントワークステーション用の新しいＵＰＩＰアドレスを割り当て、且つ、クライアントワークステーションへのインバウンドデータグラムの送信を促進するようにしている。

本開示のその他の実施形態及び／又は利点については、以下の図面及び詳細な説明を検討することにより、当業者に明らかとなろう。このようなすべての更なるシステム、方法、特徴、及び利点は、本説明に含まれると共に本開示の範囲に含まれるものと解釈されたい。

本開示の多くの態様については、以下の図面を参照することにより、更に十分に理解することができる。図面中のコンポーネントは、必ずしも、縮尺が正確ではなく、その代わりに、本開示の原理を明瞭に例示することに重点が置かれている。更には、添付図面においては、いくつかの図の全体を通じて、同一の参照符号により、対応する部分を表記している。いくつかの実施形態は、これらの図面との関連において記述されているが、本開示を本明細書において開示されている一つ又は複数の実施形態に限定する意図は、存在していない。逆に、意図するところは、すべての代替肢、変更、及び均等物が含まれるというものである。

図１は、本明細書において開示されている実施形態によるクライアントワークステーション上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。 図２は、本明細書において開示されている実施形態によるＭＳＬサーバ上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。 図３は、本明細書において開示されている実施形態によるＭＳＬゲートウェイルータ上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。 図４は、本明細書において開示されている実施形態によるクライアントワークステーション上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。 図５は、本明細書において開示されている実施形態によるＭＳＬネットワーク運営センタ（ＮＯＣ）上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。 図６は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのログインマネージャ用のフローチャートを示す。 図７は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのセッションマネージャ用のフローチャートを示す。 図８Ａ及び図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示す。 図８Ａ及び図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示す。 図９は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するべく利用され得る演算装置を示す。

本明細書において開示されている実施形態は、複合セキュアリンクアーキテクチャを提供するシステム及び／又は方法を含む。具体的には、それぞれのＶＰＮオーナが、ＶＰＮオーナによって定義されたプライベートＩＰｖ４アドレス指定を伴うネットワーク領域を定義する。ＶＰＮオーナネットワーク領域は、オーバラップしたアドレスを有するものになると予想され、その理由は、すべてのＶＰＮオーナが、自身のネットワーク定義として１０．０．０．０／２４を使用することができるからである。本明細書において開示されている実施形態は、パケットがＭＳＬサービス内に存在している間に使用するための内部ネットワーク領域を定義している。ＭＳＬは、パケットがＭＳＬサービスに進入するか又はこれから離脱するのに伴って、すべてのＶＰＮオーナによって定義されたプライベートＩＰアドレスをＭＳＬの一意のプライベートなＩＰ（ＵＰＩＰ：Unique Private IP）領域アドレスに変換すると共にこの逆を実行するためのツインＮＡＴ機能を提供している。ＶＰＮオーナサーバには、それらのサーバが、処理済みのパケット内において発見されるのに伴って、ＭＳＬ ＵＰＩＰ領域アドレスが動的に割り当てられる。

クライアントワークステーションが第一ＶＰＮ接続をオープンする際には、クライアントワークステーション用のＩＰアドレスとして、クライアントワークステーションに割り当てられたＶＰＮオーナプライベートＩＰ又はクライアントワークステーション用のＵＰＩＰアドレスを使用することができる。第二の（又は、後の）ＶＰＮがオープンされるのに伴って、ワークステーションのＩＰ用に以前に使用されているＩＰアドレスが、ワークステーション用のＵＰＩＰとして使用されてもよく、且つ、新しいＵＰＩＰが、第二ＶＰＮからサーバに割り当てられる。クライアントワークステーションのアプリケーションは、ＭＳＬ ＵＰＩＰによって通信する。ＭＳＬ発信元及び宛先ＮＡＴは、サーバがＶＰＮオーナプライベートＩＰアドレスのみを観察するように、ＵＰＩＰとＶＰＮオーナプライベートＩＰとの間における変換を実行する。この結果、クライアントワークステーションは、異なるオーナゲートウェイ及び／又はＶＰＮとの間における複数の独立的なＶＰＮ接続を同時に促進することができる。

ＩＰｖ６環境においては、ＩＰｖ４について先程の段落において説明したように、ＶＰＮオーナネットワークアドレスは、１２８ビットのＵＰＩＰとして生成され、且つ、ＩＰｖ６において使用される。一意のローカルなＩＰｖ６ユニキャストアドレスは、一意となる非常に高い確率を有することから、ＭＳＬは、ワークステーション用のＩＰｖ６のＵＰＩＰを生成することが可能であり、且つ、ＶＰＮオーナゲートウェイの背後のノードについてプライベートＩＰｖ６アドレスを使用することができる。ＭＳＬは、それぞれの新しいＩＰｖ６のＶＰＮが、既にオープンされたＶＰＮの一意のローカルなＩＰｖ６ユニキャストアドレスを複製していないことを検証しなければならない。複製が見出された場合には、ＩＰｖ４に関する先程の段落において説明したように、そのＶＰＮ内のノードのために、ＵＰＩＰが生成されることになる。ローカルなＩＰｖ６アドレスは、疑似ランダムな方式で割り当てられたグローバルＩＤを使用して生成される。一実施形態は、以下の表１のフォーマットを有してもよい。

次に添付図面を参照すれば、図１は、本明細書において開示されている実施形態によるクライアントワークステーション１０２上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、ＭＳＬアーキテクチャは、パブリックインターネットＩＰアドレス及びＶＰＮオーナのプライベートＩＰアドレスの両方から隔離されたプライベートＩＰ領域又はアドレス空間（ＭＳＬの一意のプライベートなＩＰ領域）を生成する。

図示のように、図１のアーキテクチャは、クライアントワークステーション１０２と、第一ＶＰＮ（ＶＰＮ Ａ １０４ａ）と、第二ＶＰＮ（ＶＰＮ Ｂ １０４ｂ）と、を含む。クライアントワークステーション１０２は、ユーザアプリケーションＡ １０８ａと、ユーザアプリケーションＢ １０８ｂと、を含んでもよい。ユーザアプリケーション１０８ａ、１０８ｂは、ＶＰＮ Ａ １０４ａ及びＶＰＮ Ｂ １０４ｂと通信するべく、利用されてもよい。又、クライアントワークステーション１０２には、ＭＳＬ ＵＰＩＰ領域１０６を構成しているＭＳＬツインＮＡＴコンポーネント１１０、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント１１４、及びＭＳＬ管理コンポーネント１１６も含まれている。又、クライアントワークステーション１０２には、ＭＳＬ ＶＰＮコンポーネント１１２も含まれている。この構成は、ワイドエリア又はパブリックネットワーク１１８を介したＶＰＮ Ａ １０４ａ及び／又はＶＰＮ Ｂ １０４ｂとの間におけるＶＰＮ通信を許容し得る。パブリックネットワーク１１８は、インターネット及び／又はその他のパブリックにアクセス可能なネットワークを含んでもよい。

従って、クライアントワークステーション１０２は、複数のコンポーネントを含んでもよく、これらのコンポーネントは、ＭＳＬスタンドアロンクライアントソフトウェア内において含まれていてもよく、或いは、そうでなくてもよい。一例として、ＭＳＬスタンドアロンクライアントソフトウェアのコンポーネントは、ＭＳＬ管理コンポーネント１１６を含んでいてもよく、ＭＳＬ管理コンポーネント１１６は、クライアントワークステーション１０２のセッション情報を維持するためのセッションマネージャとして動作してもよい。セッションマネージャは、ＵＰＩＰを割り当てると共にＵＰＩＰ調整情報をＭＳＬツインＮＡＴコンポーネント１１０に提供するように、構成されてもよい。又、同様に、これらのコンポーネントは、ＭＳＬユーザインタフェースコンポーネント１１４を含んでもよく、ＭＳＬユーザインタフェースコンポーネント１１４は、ユーザが、ＶＰＮ接続を識別することが可能であり、ＶＰＮ接続を削除することが可能であり、ＶＰＮ接続をオープンすることが可能であり、或いは、オープン状態のＶＰＮ接続をシャットダウンすることができるように、一つ又は複数のユーザインタフェースを提供している。ＭＳＬ ＶＰＮコンポーネント１１２は、オーナゲートウェイ１２０ａ、１２０ｂ及び／又はＶＰＮ１０４ａ、１０４ｂを識別するために、オーナゲートウェイ１２０ａ、１２０ｂからの外部パケット上において発信元ＩＰを提供するべく、利用されてもよい。ＭＳＬツインＮＡＴコンポーネント１１０からのパケットは、宛先ゲートウェイ／ＶＰＮを識別するための宛先パブリックＩＰを含んでもよい。又、ＭＳＬツインＮＡＴコンポーネント１１０も含まれており、これは、割り当てられたＵＰＩＰアドレスへの且つ／又はこれからのクリアテキストパケット内において発信元及び宛先ＩＰアドレスの両方を変換している。インバウンドデータグラム（応答データグラムを含む）の場合には、ＭＳＬツインＮＡＴコンポーネント１１０は、オーナゲートウェイ１２０ａ、１２０ｂを識別するべく、ＭＳＬ ＶＰＮコンポーネント１１２によって提供された発信元ＩＰを使用している。アウトバウンドデータグラムの場合には、ＭＳＬツインＮＡＴコンポーネント１１０は、オーナゲートウェイ１２０ａ、１２０ｂ及び／又はＶＰＮ１０４ａ、１０４ｂの宛先パブリックＩＰを識別するべく、発信元及び宛先ＵＰＩＰを使用している。

従って、クライアントワークステーション１０２内のコンポーネントにより、ＶＰＮ Ａ １０４ａ及びＶＰＮ Ｂ １０４ｂ上の一つ又は複数の演算装置との間において、セキュア通信が実施されてもよい。ＶＰＮ Ａ １０４ａは、ローカルネットワーク１２２ａを介して一つ又は複数の演算装置（リモート演算装置１２４ａなど）に結合されたオーナゲートウェイ１２０ａを含んでもよい。又、同様に、ＶＰＮ Ｂ １０４ｂも、ローカルネットワーク１２２ｂを介してリモート演算装置１２４ｂなどの一つ又は複数のリモート演算装置との間における通信を促進するオーナゲートウェイ１２０ｂを含んでもよい。

複合セキュアリンクアーキテクチャは、すべてのユーザ組織のホスト（システム）が、ＭＳＬプライベートＩＰ領域１０６内において一意のＩＰアドレスを有するように、ＭＳＬ技術を使用してクライアントワークステーション１０２と通信するリモート演算装置１２４ａ、１２４ｂやサーバなどのようなそれぞれのホストごとに、一意のプライベートなＩＰアドレス（ＵＰＩＰ）を割り当てている。ＭＳＬアーキテクチャは、ＭＳＬプライベートＩＰ領域１０６を管理するべく、ツインＮＡＴ機能を提供している。ＭＳＬツインＮＡＴ１１０は、複数のＶＰＮオーナが同一のプライベートＩＰアドレスを有する際にも、ワークステーションが、すべてのＶＰＮオーナホストについて一意のＩＰアドレスを有するように、ＶＰＮオーナによって割り当てられたプライベートＩＰアドレスと割り当てられたＵＰＩＰとの間における変換を実行している。

従って、ユーザアプリケーションＡ １０８ａ及びユーザアプリケーションＢ １０８ｂは、ＶＰＮオーナホストが、ＶＰＮオーナの内部のプライベートなＩＰアドレスのみを観察している一方で、ＵＰＩＰを観察している。ＭＳＬツインＮＡＴ１１０は、ユーザアプリケーションＡ １０８ａ及びユーザアプリケーションＢ １０８ｂが、ＵＰＩＰを観察し、且つ、ＶＰＮオーナのホストが、ＶＰＮオーナの内部のプライベートなＩＰアドレスのみを観察するように、ＶＰＮオーナによって割り当てられたＩＰアドレスとＭＳＬアーキテクチャによって割り当てられたＵＰＩＰとの間における変換を実行するように調整されている。

クライアントワークステーション１０２は、ＭＳＬユーザインタフェース及び管理機能を使用してＶＰＮ Ａ １０４ａに接続している。ＭＳＬ管理コンポーネント１１６は、リモート演算装置１２４ａを含むＶＰＮ Ａ １０４ａにＵＰＩＰを割り当てている。この結果、クライアントワークステーション１０２は、通常の方式により、ＶＰＮ Ａ １０４ａにアクセスすることができる。

クライアントワークステーション１０２は、ＭＳＬユーザインタフェースコンポーネント１１４及びＭＳＬ管理コンポーネント１１６を使用してＶＰＮ Ｂ １０４ｂに更に接続してもよい。ＭＳＬ管理コンポーネント１１６は、リモート演算装置１２４ｂなどのＶＰＮ Ｂ １０４ｂ上のノードにＵＰＩＰを割り当てている。ＶＰＮ Ａ１０４ａがＵＰＩＰをクライアントワークステーション１０２に既に割り当てていることから、ＭＳＬ管理コンポーネント１１６は、ＶＰＮ Ｂ １０４ｂのＩＰ用に同一のＵＰＩＰ値を使用する。この結果、クライアントワークステーション１０２は、通常の方式で、ユーザアプリケーション１０８ａ、１０８ｂにより、ＶＰＮ Ｂ １０４ｂ上のリモート演算装置１２４ｂなどの演算装置にアクセスすることができる。

以下の表２は、ＩＰアドレス割当の一例を示している。ＩＰは、割当の追跡を簡単にするべく選択されたものであり得ることに留意されたい。

クライアントワークステーション１０２には、クライアントワークステーション１０２がＶＰＮ Ａ １０４ａにログオンした際に生成されるＵＰＩＰが割り当てられる。クライアントワークステーション１０２がＶＰＮ Ｂ １０４ｂにログオンした際には、ＶＰＮ Ｂ １０４ｂの背後の演算装置にＵＰＩＰが割り当てられるが、クライアントワークステーション１０２は、ＶＰＮ Ａ １０４ａ用に生成されたワークステーションＵＰＩＰの使用を継続する。この結果、ユーザアプリケーション１０８ａ、１０８ｂは、ＭＳＬ ＵＰＩＰ領域１０６内において動作することを理解されたい。

図２は、本明細書において開示されているＭＳＬサーバ２０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図２の実施形態は、クライアントワークステーション２０２と、ＭＳＬサーバ２０４と、ＶＰＮ Ａ ２０６ａと、ＶＰＮ Ｂ ２０６ｂと、を含む。クライアントワークステーション２０２は、ユーザアプリケーションＡ ２１０ａと、ユーザアプリケーションＢ ２１０ｂと、商用の既成の（ＣＯＴＳ：Commercial Off The Shelf）クリアテキストプロセスクライアント２１２と、第一ＭＳＬ ＶＰＮコンポーネント２１４と、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント２１６と、第一ＭＳＬ管理コンポーネント２１８と、を含んでもよい。これらのコンポーネントは、ＭＳＬ ＵＰＩＰ領域２０８を構成してもよく、且つ、インターネットなどのパブリックネットワーク２２０を介してＶＰＮ Ａ ２０６ａ及び／又はＶＰＮ Ｂ ２０６ｂとの間においてＶＰＮ通信を確立するように構成されていてもよい。

この通信を促進するべく、ＭＳＬサーバ２０４は、こちらもＭＳＬ ＵＰＩＰ領域２０８の一部分であるＣＯＴＳ ＶＰＮコンポーネント２２４、ＣＯＴＳクリアテキストプロセスコンポーネント２２６、ＭＳＬツインＮＡＴコンポーネント２２８、及び第二ＭＳＬ管理コンポーネント２３０を含んでもよい。又、第二ＭＳＬ ＶＰＮコンポーネント２３２が含まれてもよい。従って、これらのコンポーネントは、ＶＰＮ Ａ ２０６ａ及び／又はＶＰＮ Ｂ ２０６ｂからリモート状態にあってもよく、且つ、一つ又は複数のデータグラムをオーナゲートウェイ２３４ａ、２３４ｂに送信してもよく、オーナゲートウェイ２３４ａ、２３４ｂは、ＶＰＮ Ａ ２０６ａ及び／又はＶＰＮ Ｂ ２０６ｂ上のリモート演算装置２３８ａ、２３８ｂ及び／又はその他の演算装置にデータを送信すると共に／又は、これらからデータを受信するべく、ローカルネットワーク１２２ａ、１２２ｂに結合されている。

従って、図２の実施形態は、図２の実施形態が、クライアントワークステーション２０２からリモート状態にあるＭＳＬサーバ２０４を利用していることを除いて、図１との関連において説明したものに類似した方式で動作してもよい。従って、この構成は、ＭＳＬ ＵＰＩＰ領域２０８をＭＳＬサーバ２０４に拡張しており、ＭＳＬサーバ２０４は、ＣＯＴＳクリアテキスト機能を複数の異なるクライアントワークステーションによって使用されているそれぞれのＶＰＮに適用することができるように、加速などのＣＯＴＳクリアテキスト機能をホスティングすることができる。更には、パブリックネットワーク２２０上においてクライアントワークステーション２０２とＭＳＬサーバ２０４４との間において移動するのに伴って、データを保護するべく、ＭＳＬサーバ２０４及びクライアントワークステーション２０２を接続するＣＯＴＳ ＶＰＮコンポーネント２２４が提供されている。

図３は、本明細書において開示されている実施形態によるＭＳＬゲートウェイルータ３０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図３の実施形態は、クライアントワークステーション３０２と、ＭＳＬゲートウェイルータ３０４と、ＶＰＮ Ａ ３０６ａと、ＶＰＮ Ｂ ３０６ｂと、を含む。クライアントワークステーション３０２は、ＭＳＬ ＵＰＩＰ領域３０８の一部分を構成するユーザアプリケーションＡ ３１０ａ、ユーザアプリケーションＢ ３１０ｂ、第一ＣＯＴＳ ＶＰＮコンポーネント３１４、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント３１６、及びＭＳＬ管理コンポーネント３１８を含む。

従って、クライアントワークステーション３０２は、ローカル且つ／又はプライベートなネットワーク３２０を介してＭＳＬゲートウェイルータ３０４と通信してもよい。ＭＳＬゲートウェイルータ３０４は、こちらもＭＳＬ ＵＰＩＰ領域３０８の一部分である第二ＣＯＴＳ ＶＰＮコンポーネント３２２、ＭＳＬツインＮＡＴコンポーネント３２４、及びＭＳＬサーバ管理コンポーネント３２６を含んでもよい。又、ＭＳＬ ＶＰＮ３２８が、ＭＳＬゲートウェイルータ３０４と共に含まれており、且つ、パブリックネットワーク３３０を介してＶＰＮ Ａ ３０６ａ及び／又はＶＰＮ Ｂ ３０６ｂとの間における通信を促進してもよい。

その他のＶＰＮとの関連において上述したように、ＶＰＮ Ａ ３０６ａは、プライベートネットワーク３３４ａに結合されたオーナゲートウェイ３３２ａを含む。プライベートネットワーク３３４ａは、リモート演算装置３３６ａなどの一つ又は複数の演算装置に結合されていてもよい。同様に、ＶＰＮ Ｂ ３０６ｂも、プライベートネットワーク３３４ｂに結合されたオーナゲートウェイ３３２ａを含む。プライベートネットワーク３３４ｂは、リモート演算装置３３６ｂなどの一つ又は複数の演算装置に結合されていてもよい。

従って、図３の実施形態は、ＭＳＬ ＵＰＩＰ領域３０８を複数のクライアントワークステーションをサポートするＭＳＬゲートウェイルータ３０４に拡張している。このような構成は、経済的であってもよく、この場合には、単一のコンポーネントが、複数のクライアントワークステーション（学校ネットワークやビジネスネットワークなどにおけるものなど）用に利用されてもよい。更には、プライベートネットワーク３２０上においてワークステーションとＭＳＬルータとの間において移動するのに伴って、データを保護するべく、ＣＯＴＳ ＶＰＮコンポーネント３３２がクライアントワークステーション３０２に結合されている。

又、ユーザアプリケーション３１０は、完全に独立的に動作する複数の別個のアプリケーションであってもよいが、これは、一つの実施形態に過ぎないことを理解されたい。具体的には、いくつかの実施形態は、共通ブラウザアプリケーションが、異なるタブ又はページを表示することにより、アプリケーションＡ ３１０ａ及びアプリケーションＢ ３１０ｂの両方にサービスし得るように、構成されている。

図４は、本明細書において開示されている実施形態によるクライアントワークステーション４０２上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図４の実施形態は、クライアントワークステーション４０２と、ＭＳＬアプライアンス４０４と、ＭＳＬサーバ４０６と、ＶＰＮ Ａ ４０８ａと、ＶＰＮ Ｂ ４０８ｂと、を含む。クライアントワークステーション４０２は、ＭＳＬ ＵＰＩＰ領域４１０の一部分を構成するユーザアプリケーションＡ ４１２ａ、ユーザアプリケーションＢ ４１２ｂ、第一ＣＯＴＳ ＶＰＮコンポーネント４１４、並びに、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント４１８を含んでもよい。更には、クライアントワークステーション４０２は、プライベートネットワーク４１６上において、暗号化されたトンネルを介して、且つ／又は、暗号化された形態において、ＭＳＬアプライアンス４０４に結合されていてもよい。

ＭＳＬアプライアンス４０４は、こちらもＭＳＬ ＵＰＩＰ領域４１０の一部分である第二ＣＯＴＳ ＶＰＮコンポーネント４２２、第一ＣＯＴＳクリアテキストプロセスクライアント４２４、第三ＣＯＴＳ ＶＰＮコンポーネント４２６、及び第一ＭＳＬサーバ管理コンポーネント４３０を含んでもよい。ＭＳＬアプライアンス４０４は、ＭＳＬサーバ４０６を介したＶＰＮ ４０８ａ、４０８ｂとの間における通信のためにパブリックネットワーク４２８に結合されていてもよい。

又、パブリックネットワーク４２８には、ＭＳＬサーバ４０６も結合されている。ＭＳＬサーバ４０６は、こちらもＭＳＬ ＵＰＩＰ領域４１０の一部分である第四ＣＯＴＳ ＶＰＮコンポーネント４３２、ＣＯＴＳクリアテキストプロセス４３４、及び第二ＭＳＬサーバ管理コンポーネント４３８を含む。又、ＭＳＬ ＶＰＮコンポーネント４３９も、ＭＳＬサーバ４０６の一部分であり、且つ、パブリックネットワーク４２８に結合されている。

又、パブリックネットワーク４２８には、ＶＰＮ Ａ ４０８ａ及びＶＰＮ Ｂ ４０８ｂも結合されている。ＶＰＮ Ａ ４０８ａは、オーナゲートウェイ４４０ａと、プライベートネットワーク４４２ａと、リモート演算装置４４４ａなどの一つ又は複数の演算装置と、を含む。ＶＰＮ Ｂ ４０８ｂは、オーナゲートウェイ４４０ｂと、プライベートネットワーク４４２ｂと、リモート演算装置４４４ｂなどの一つ又は複数の演算装置と、を含む。

従って、図４の実施形態は、複数の異なるクライアントワークステーション（図３に類似している）をサポートしているがＭＳＬサーバ４０６をも利用しているＭＳＬアプライアンス４０４にＭＳＬ ＵＰＩＰ領域４１０を拡張する実装形態を提供している。いくつかの実施形態においては、ＭＳＬアプライアンス４０４は、小規模オフィスをサポートするゲートウェイルータ内において実装されてもよいことを理解されたい。更には、パブリックネットワーク４２８上においてＭＳＬアプライアンス４０４とＭＳＬサーバ４０６との間において移動するのに伴って、データを保護するべく、第三ＣＯＴＳ ＶＰＮコンポーネント４２６及び第四ＣＯＴＳ ＶＰＮコンポーネント４３２が、ＭＳＬサーバ４０６とＭＳＬアプライアンス４０４との間において結合されている。プライベートネットワーク４１６上においてクライアントワークステーション４０２とＭＳＬアプライアンス４０４との間において移動するのに伴って、データを保護するべく、第一ＣＯＴＳ ＶＰＮコンポーネント４１４及び第二ＣＯＴＳ ＶＰＮコンポーネント４２２が、ＭＳＬアプライアンス４０４とクライアントワークステーション４０２との間において提供されている。

図５は、本明細書に開示されている実施形態によるＭＳＬネットワーク運営センタ（ＮＯＣ：Network Operations Center）５０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図５の実施形態は、クライアントワークステーション５０２と、ＭＳＬネットワーク運営センタ（ＮＯＣ）５０４と、ＶＰＮ Ａ ５０６ａと、ＶＰＮ Ｂ ５０６ｂと、を含む。ＣＯＴＳコンポーネントは、ＣＯＴＳ ＶＰＮと、ＣＯＴＳクリアテキストプロセスと、を含む。

クライアントワークステーション５０２は、ユーザアプリケーションＡ ５１０ａと、ユーザアプリケーションＢ ５１０ｂと、を含む。又、クライアントワークステーション５０２内には、ＭＳＬクライアントロジックの一部として、ＣＯＴＳクリアテキストプロセスクライアント５１２、ＣＯＴＳ ＶＰＮクライアント５１４、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント５１６、及びＭＳＬ管理コンポーネント５１８も含まれている。これらのコンポーネントは、ＭＳＬプライベートＩＰ領域５０８の一部分を構成している。

クライアントワークステーション５０２をＭＳＬ ＮＯＣ ５０４と結合しているのは、パブリックネットワーク５２０である。従って、ＭＳＬ ＮＯＣ ５０４は、こちらもＭＳＬプライベートＩＰ領域５０８の一部分であるＣＯＴＳ ＶＰＮコンポーネント５２４、ＣＯＴＳクリアテキストプロセスコンポーネント５２６、ＭＳＬツインＮＡＴコンポーネント５２８、ログインマネージャコンポーネント５２９、及びセッションマネージャコンポーネント５３０を含む。又、ＭＳＬ ＶＰＮコンポーネント５３１も、ＭＳＬ ＮＯＣ ５０４の一部分である。ＣＯＴＳクリアテキストプロセスコンポーネント５２６は、ネットワーク加速製品として実装されてもよく、且つ、ユーザ顧客用のサービスを提供するべく、クリアテキストパケットに対して動作する変更されていない機能として実装されてもよい。

更には、いくつかの実施形態は、セッションマネージャコンポーネント５３０と通信すると共にクライアントワークステーション５０２用のセッション情報を維持するクライアントワークステーション５０２上のクライアントセッションマネージャを含む。ＶＰＮ Ａ ５０６ａ及びＶＰＮ Ｂ ５０６ｂは、オーナゲートウェイ５３２ａ、５３２ｂと、プライベートネットワーク５３４ａ、５３４ｂと、リモート演算装置５３６ａ、５３６ｂと、を含む。セッションマネージャコンポーネント５３０は、サービスにログインするそれぞれのクライアントワークステーションごとにセッション情報を維持するように構成されてもよい。セッションマネージャコンポーネント５３０は、ＵＰＩＰ調整情報をＭＳＬツインＮＡＴコンポーネント５２８に提供してもよく、且つ、それぞれのオーナゲートウェイ５３２ａ、５３２ｂごとに、割り当てられたＵＰＩＰにより、クライアントセッションマネージャを更新してもよい。又、セッションマネージャは、オーナゲートウェイ５３２ａ、５３２ｂ及び／又はＶＰＮ５０６ａ、５０６ｂのＵＰＩＰとパブリックＩＰとの間の関係を維持するように構成されてもよい。ログインマネージャコンポーネント５２９は、サービスに対するクライアントアクセスを検証すると共にＶＰＮトンネルを確立するべく、クライアントログインマネージャ（ＭＳＬ管理コンポーネント５１８の一部分であってもよい）からのログイン要求を処理するように構成されてもよい。

上述のように、ＭＳＬ ＶＰＮコンポーネント５３１は、発信元ゲートウェイ及び／又はＶＰＮを識別するべく、オーナゲートウェイ５３２ａ、５３２ｂからの外部パケット上において発信元ＩＰを提供するように利用されてもよい。対照的に、ＭＳＬツインＮＡＴコンポーネント５２８からのアウトバウンドデータグラムは、宛先ゲートウェイ及び／又はＶＰＮを識別するべく、宛先パブリックＩＰを含む。ＭＳＬ ＶＰＮユーザインタフェースコンポーネント５１６は、クライアントワークステーション５０２用のスタートアッププロセスを管理している。ＭＳＬ ＶＰＮユーザインタフェースコンポーネント５１６は、クライアントライセンスを検証すると共にＭＳＬ ＮＯＣ ５０４に対するＶＰＮを確立するべく、ログインマネージャと通信している。更には、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント５１６は、クライアントワークステーション５０２によって要求されたＶＰＮ接続のそれぞれをスタートアップ及びシャットダウンするべく、セッションマネージャコンポーネント５３０を使用するように構成されてもよい。

同様に、ＭＳＬツインＮＡＴコンポーネント５２８は、割り当てられたＵＰＩＰアドレスへの且つ／又はこれからのクリアテキストパケット内において発信元及び宛先ＩＰアドレスの両方の変換を実行するように構成されてもよい。インバウンドパケットの場合には、ＭＳＬツインＮＡＴコンポーネント５２８は、ＶＰＮオーナを識別するべく、ＭＳＬ ＶＰＮコンポーネント５３１によって提供された発信元ＩＰを使用している。アウトバウンドパケットの場合には、ＭＳＬツインＮＡＴコンポーネント５２８は、宛先ゲートウェイ及び／又はＶＰＮの宛先パブリックＩＰを識別するべく、発信元及び宛先ＵＰＩＰを利用している。ＭＳＬツインＮＡＴコンポーネント５２８とＭＳＬ ＶＰＮコンポーネント５３１との間のリンク上においては、パケットは、パブリック発信元及び宛先ＩＰを含むプライベートＭＳＬアーキテクチャによって定義されたＩＰプロトコルにおいてラッピングされてもよいことを理解されたい。又、本明細書において記述されている実施形態は、顧客によって割り当てられたプライベートＩＰアドレスとオーバラップしたＵＰＩＰを割り当ててもよいことを理解されたい。これにより、ルーティングの問題は、発生せず、その理由は、割り当てられたアドレスが、ＭＳＬプライベートＩＰ領域５０８内において一意であり、且つ、セッションマネージャコンポーネント５３０により、オーナゲートウェイ５３２ａ、５３２ｂのパブリックＩＰに対してマッピングされるからである。理解されるように、本明細書において記述されている実施形態は、ＶＰＮオーナのネットワーク内における変更が不要となるように、構成されてもよい。

上述のいくつかの実施形態においては、単一のワークステーションが示されていることを理解されたい。このような実施形態は、一つのワークステーションをサポートしてもよいが、上述の実施形態のそれぞれは、特定の構成に応じて、複数のワークステーションを収容するように構成されてもよい。

図６は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのログインマネージャ用のフローチャートを示している。ブロック６５２において示されているように、ログインマネージャは、システムにアクセスするためのライセンスＩＤを検証してもよい。ブロック６５４において、顧客が、サービスについて識別されてもよい。ブロック６５６において、ユーザを追跡するためのセッションを生成するべく、セッションマネージャが利用されてもよい。ブロック６５８において、クライアントワークステーションに対するＶＰＮトンネルを生成すると共に、ライセンスＩＤ用のＵＰＩＰをクライアントワークステーションに割り当てるべく、ＣＯＴＳ ＶＰＮコンポーネントが利用されてもよい。ブロック６６０において、ライセンスに割り当てられた顧客プライベートＩＰマッピングに対するＵＰＩＰにより、クライアントワークステーション上のクライアントセッションマネージャが更新されてもよい。ブロック６６２において、クライアントゲートウェイに対するＶＰＮトンネルを生成するべく、ＭＳＬ ＶＰＮが利用されてもよい。ブロック６６４において、システムが、要求されたサービスを提供するための準備が完了した状態にあることを通知するクライアントワークステーションに対するメッセージが提供されてもよい。

図７は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのセッションマネージャ用のフローチャートを示している。ブロック７５２において示されているように、クライアントワークステーション上のクライアントセッションマネージャが、ライセンスに対して割り当てられたＵＰＩＰにより、更新されてもよい。ブロック７５４において、クライアントゲートウェイに対するＶＰＮトンネルを生成するべく、ＭＳＬＶＰＮコンポーネントが利用されてもよい。ブロック７５６において、クライアントゲートウェイにログインするユーザのエミュレーションが実行されてもよい。ブロック７５８において、ユーザがログイン証明書を入力するように、顧客ＶＰＮログインページが、ユーザインタフェースに送り返されてもよい。ブロック７６０において、クライアントセッションマネージャが、ログイン結果により、更新されてもよい。ブロック７６２において、ＭＳＬツインＮＡＴコンポーネントが、オーナゲートウェイ用のＵＰＩＰにより、更新されてもよい。

図８Ａ、図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示している。図８Ａのブロック８５０において示されているように、ユーザアプリケーションが、ユーザ入力に基づいて要求データグラムを生成してもよい。ブロック８５２においては、ＣＯＴＳプロセスクライアントが、データグラムを処理している。ブロック８５４において、ＣＯＴＳ ＶＰＮクライアント及びＣＯＴＳ ＶＰＮが、データグラムをＭＳＬ ＮＯＣに転送している。ブロック８５６において、ＣＯＴＳクリアテキストプロセスが、データグラムを処理し、且つ、ＶＰＮオーナサーバ用の新しいデータグラムを生成している。ブロック８５８において、ＭＳＬツインＮＡＴが、データグラム内のＵＰＩＰアドレスを顧客によって定義されたプライベートなＩＰアドレスにマッピングしている。ブロック８６０において、ＭＳＬ ＶＰＮが、新しいデータグラムを暗号化してもよく、且つ、次いで、新しいデータグラムをオーナゲートウェイに転送している。ブロック８６２において、オーナゲートウェイが、新しいデータグラムを暗号解読し、且つ、処理のために新しいデータグラムをＶＰＮオーナリモート演算装置に転送している。ブロック８６４において、ＶＰＮオーナリモート演算装置が、要求元クライアントワークステーション用のＶＰＮオーナプライベートＩＰに設定された宛先ＩＰアドレスを有する応答データグラムを生成している。ブロック８６６において、ＶＰＮオーナゲートウェイが、応答データグラムを暗号化し、且つ、応答データグラムをＭＳＬ ＶＰＮコンポーネントに転送している。ブロック８６８において、ＭＳＬ ＶＰＮは、応答データグラムを暗号解読し、且つ、オリジナルの発信元ＩＰアドレスを有する応答データグラムをＭＳＬツインＮＡＴに転送している。

図８Ｂのブロック８７０に継続すると、ＭＳＬツインＮＡＴが、応答データグラム内のＶＰＮオーナによって定義されたプライベートなＩＰアドレスをＵＰＩＰアドレスにマッピングしている。ブロック８７２において、ＭＳＬツインＮＡＴが、発信元ＩＰからの新しいＶＰＮオーナプライベートＩＰをセッションマネージャにおいて暗号解読済みの応答データグラム内において記録し、且つ、新しいＵＰＩＰを割り当てている。ブロック８７４において、ＭＳＬツインＮＡＴが、応答データグラムをＣＯＴＳクリアテキストプロセスコンポーネントに転送している。ブロック８７６において、ＣＯＴＳクリアテキストプロセスコンポーネントが、応答データグラムを処理し、且つ、ユーザアプリケーション用の新しい応答データグラムを生成している。ブロック８７８において、ＣＯＴＳ ＶＰＮ及びＣＯＴＳ ＶＰＮクライアントが、新しい応答データグラムをクライアントワークステーションに転送している。ブロック８８０において、ＣＯＴＳプロセスクライアントが、新しい応答データグラムを処理している。ブロック８８２において、ユーザアプリケーションが、新しい応答データグラム内の結果をユーザに提示している。

図９は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するべく利用され得る演算装置を示している。図示の実施形態においては、ＭＳＬサーバ２０４は、一つ又は複数のプロセッサ９３０と、入出力ハードウェア９３２と、ネットワークインタフェースハードウェア９３４と、データストレージコンポーネント９３６（ログインデータ９３８ａ及びセッションデータ９３８ｂを保存している）と、メモリコンポーネント９４０と、を含む。メモリコンポーネント９４０は、揮発性及び／又は不揮発性メモリとして構成されてもよく、且つ、従って、ランダムアクセスメモリ（ＳＲＡＭ、ＤＲＡＭ、及び／又はその他のタイプのＲＡＭを含む）、フラッシュメモリ、レジスタ、コンパクトディスク（ＣＤ：Compact Disk）、デジタルバーサタイルディスク（ＤＶＤ：Digital Versatile Disk）、及び／又はその他のタイプの一時的ではないコンピュータ可読媒体を含んでもよい。特定の実施形態に応じて、一時的ではないコンピュータ可読媒体は、ＭＳＬサーバ２０４内において、且つ／又は、ＭＳＬサーバ２０４の外部において、存在してもよい。

更には、メモリコンポーネント９４０は、動作ロジック９４２、ＭＳＬ ＶＰＮロジック９４４ａ、ＭＳＬツインＮＡＴロジック９４４ｂ、並びに、上述のものなどのその他のロジックを保存するように構成されてもよく、これらのロジックのそれぞれは、一例として、コンピュータプログラム、ファームウェア、及び／又はハードウェアとして実施されてもよい。又、図９には、ローカル通信インタフェース９４６も含まれており、これは、ＭＳＬサーバ２０４のコンポーネントの間における通信を促進するべく、バス又はその他のインタフェースとして実装されてもよい。

プロセッサ９３０は、命令（データストレージコンポーネント９３６及び／又はメモリコンポーネント９４０からのものなど）を受信及び実行するべく動作可能な任意の処理コンポーネントを含んでもよい。入出力ハードウェア９３２は、データの受信、送信、及び／又は提示のために、モニタ、キーボード、マウス、プリンタ、カメラ、マイクロフォン、スピーカ、及び／又はその他の装置を含んでもよく、且つ／又は、これらとインタフェースするように構成されてもよい。ネットワークインタフェースハードウェア９３４は、任意の有線又は無線ネットワーキングハードウェア、衛星、アンテナ、モデム、ＬＡＮポート、Ｗｉ−Ｆｉ（Wireless Fidelity）カード、Ｗｉｍａｘカード、モバイル通信ハードウェア、ファイバ、並びに／或いは、その他のネットワーク及び／又は装置との間の通信用のハードウェアを含んでもよく、且つ／又は、これらと通信するように構成されてもよい。この接続から、上述のように、ＭＳＬサーバ２０４とその他の演算装置との間における通信が促進されてもよい。

同様に、データストレージコンポーネント９３６も、ＭＳＬサーバに対してローカル状態において且つ／又はリモート状態において、存在してもよく、且つ、ＭＳＬサーバ２０４及び／又はその他のコンポーネントによるアクセスのための一つ又は複数のデータ片を保存するように構成されてもよいことを理解されたい。いくつかの実施形態においては、データストレージコンポーネント９３６は、ＭＳＬサーバ２０４からはリモート状態において配置されてもよく、且つ、従って、ネットワーク接続を介してアクセス可能であってもよい。但し、いくつかの実施形態においては、データストレージコンポーネント９３６は、ＭＳＬサーバ２０４の外部に位置した単なる周辺装置であってもよい。

メモリコンポーネント９４０内には、動作ロジック９４２と、ＭＳＬ ＶＰＮロジック９４４ａと、ＭＳＬツインＮＡＴロジック９４４ｂと、その他のロジック９４４ｃと、が含まれている。動作ロジック９４２は、オペレーティングシステム及び／又はＭＳＬサーバ２０４のコンポーネントを管理するその他のソフトウェアを含んでもよい。同様に、ＭＳＬ ＶＰＮロジック９４４ａも、上述のＭＳＬ ＶＰＮ機能を実行するロジックを含んでもよい。ＭＳＬツインＮＡＴロジック９４４ｂは、上述のＭＳＬツインＮＡＴ機能を実行するロジックを含んでもよい。その他のロジック９４４ｃは、本明細書においては、上述のその他のロジック及び機能を表すべく、含まれている。

図９に示されているコンポーネントは、例示を目的としたものに過ぎず、且つ、本開示の範囲の限定を意図したものではないことを理解されたい。図９のコンポーネントは、ＭＳＬサーバ２０４内において存在するものとして示されているが、これは、例に過ぎない。いくつかの実施形態においては、コンポーネントのうちの一つ又は複数は、ＭＳＬサーバ２０４の外部に存在してもよい。又、図９には、ＭＳＬサーバ２０４が示されているが、図１〜図６又はその他の図面において示されているその他の演算装置が、記述されている機能を提供する類似のハードウェア及びソフトウェアを含んでもよいことを理解されたい。一例として、クライアントワークステーション１０２、２０２、３０２、４０２、及び／又は５０２が、上述のハードウェア及びソフトウェアのうちのいくつか又はすべてを含んでもよい。従って、適用可能な範囲において、図１〜図６に示されているコンポーネントは、そのいくつかが図９に示されている不可欠なハードウェアを含む演算装置内において実行されるロジック及び／又はソフトウェアとして実施されてもよい。

本明細書において含まれているフローチャートは、ソフトウェアの可能な実装形態のアーキテクチャ、機能、及び動作を示していることに留意されたい。この観点において、それぞれのブロックは、一つ又は複数の規定された論理的機能を実装する一つ又は複数の実行可能な命令を有するコードのモジュール、セグメント、又は一部分を表すものと解釈することができる。又、いくつかの代替実装形態においては、ブロック内において示されている機能は、別の順序で実行されてもよく、且つ／又は、まったく実行されなくてもよいことに留意されたい。例えば、関係する機能に応じて、連続的に示されている二つのブロックは、実際には、実質的に同時に実行されてもよく、或いは、これらのブロックは、しばしば、逆の順序で実行されてもよい。

上述の実施形態は、本開示の原理の明瞭な理解のためにのみ記述された実装形態の可能な例に過ぎないことを強調しておきたい。本開示の精神及び原理を実質的に逸脱することなしに、多くの変更及び変形が上述の一つ又は複数の実施形態に対して実施されてもよい。更には、本開示の範囲は、上述のすべての要素、特徴、及び側面のすべての順列及びサブ順列を包含ことが意図されている。すべてのこのような変更及び変形は、本開示の範囲に含まれるものと解釈されたい。

Claims (20)

1. 複合セキュアリンク（ＭＳＬ）アーキテクチャを提供するシステムであって、
   第一ロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントであって、該第一ロジックは、プロセッサによって実行された際に、該システムが、
   クライアントワークステーションとオーナゲートウェイとの間においてＶＰＮトンネルを生成し、
   該クライアントワークステーションから該オーナゲートウェイへのアウトバウンドデータグラムを送信し、
   該オーナゲートウェイから該クライアントワークステーションへのインバウンドデータグラムを受信し、該インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、含み、且つ、
   該宛先ＩＰアドレスを有する該インバウントデータグラムを送信する、
   ことを実行するようにする、ＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントと、
   第二ロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）であって、該第二ロジックは、該プロセッサによって実行された際に、該システムが、
   該インバウンドデータグラムをＭＳＬ ＶＰＮから受信し、
   該発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスを該インバウンドデータグラム内において記録し、
   該インバウンドデータグラム及び該クライアントワークステーション用の新しいＵＰＩＰを割り当て、且つ、
   該クライアントワークステーションへの該インバウンドデータグラムの送信を促進する、
   ことを少なくとも実行するようにする、ＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）と、
   を有するシステム。
2. 該第一ロジックは、該システムが、
   該アウトバウンドデータグラムを暗号化し、且つ、該アウトバウンドデータグラムを該オーナゲートウェイに転送し、且つ、
   該オーナゲートウェイから暗号化された形態において該インバウントデータグラムを受信し、且つ、該インバウンドデータグラムを暗号解読する、
   ことを実行するように更にする、請求項１に記載のシステム。
3. 該第二ロジックは、該システムが、該アウトバウンドデータグラム内のＵＰＩＰアドレスをプライベートＩＰアドレスにマッピングするように更にする、請求項１に記載のシステム。
4. 該システムは、異なるオーナゲートウェイとの間における複数の独立的なＶＰＮ接続を同時に促進するように構成されている、請求項１に記載のシステム。
5. 該プロセッサによって実行された際に、該システムが、該クライアントワークステーションに対する該ＶＰＮトンネルを確立するためのユーザインタフェースを提供するようにする第三ロジックを含むＭＳＬ ＶＰＮユーザインタフェースコンポーネントを更に有する、請求項１に記載のシステム。
6. 該プロセッサによって実行された際に、該システムが、該ＶＰＮトンネルを生成するようにする第四ロジックを含むＭＳＬ管理コンポーネントを更に有する、請求項１に記載のシステム。
7. 該第二ロジックは、該システムが、該インバウンドデータグラムを該インバウンドデータグラムを処理するための商用の既製の（ＣＯＴＳ）クリアテキストプロセスコンポーネントに転送するようにする、請求項１に記載のシステム。
8. 該ＭＳＬツインＮＡＴ及び該ＭＳＬ ＶＰＮは、該クライアントワークステーション上において存在しており、且つ、該クライアントワークステーションは、ＭＳＬ ＶＰＮユーザインタフェースコンポーネントと、ＭＳＬ管理コンポーネントと、を更に含む、請求項１に記載のシステム。
9. ＭＳＬサーバを更に有し、該ＭＳＬ ＶＰＮ及び該ＭＳＬツインＮＡＴは、該クライアントワークステーションからリモート状態にある該ＭＳＬサーバ上において存在しており、該システムは、該クライアントワークステーション上において存在しているＭＳＬ ＶＰＮユーザインタフェースコンポーネント、第一ＭＳＬ ＶＰＮコンポーネント、及び第一ＭＳＬ管理コンポーネントを更に有し、且つ、該システムは、該ＭＳＬサーバ上において存在している商用の既製の（ＣＯＴＳ）クリアテキストプロセスコンポーネント、ＣＯＴＳ ＶＰＮコンポーネント、及び第二ＭＳＬ管理コンポーネントを更に有する、請求項１に記載のシステム。
10. 該ＭＳＬ ＶＰＮ及び該ＭＳＬツインＮＡＴを含むＭＳＬゲートウェイルータを更に有し、該システムは、該クライアントワークステーション上において存在している第一ＣＯＴＳ ＶＰＮコンポーネント、ＭＳＬ管理コンポーネントを更に有し、且つ、該システムは、該ＭＳＬゲートウェイルータ上において存在している第二ＣＯＴＳ ＶＰＮコンポーネント及びＭＳＬサーバ管理コンポーネントを更に有する、請求項１に記載のシステム。
11. ＭＳＬアプライアンス及びＭＳＬサーバを更に有し、該ＭＳＬ ＶＰＮコンポーネント及び該ＭＳＬツインＮＡＴは、該ＭＳＬサーバ上において存在しており、該システムは、該クライアントワークステーション上において存在している第一ＣＯＴＳ ＶＰＮコンポーネント及びＭＳＬ ＶＰＮユーザインタフェースコンポーネントを更に有し、該システムは、該ＭＳＬアプライアンス上において存在している第一ＭＳＬサーバ管理コンポーネント、第二ＣＯＴＳ ＶＰＮコンポーネント、第三ＣＯＴＳ ＶＰＮコンポーネント、及びＣＯＴＳクリアテキストプロセスクライアントコンポーネントを更に有し、且つ、該システムは、該ＭＳＬサーバ上において存在している第二ＭＳＬサーバ管理コンポーネント、第四ＣＯＴＳ ＶＰＮコンポーネント、及び第二ＣＯＴＳクリアテキストプロセスクライアントを更に有する、請求項１に記載のシステム。
12. ＭＳＬネットワーク運営センタ（ＮＡＣ）を更に有し、該ＭＳＬツインＮＡＴ及び該ＭＳＬ ＶＰＮコンポーネントは、該ＮＯＣ上において存在しており、該システムは、該クライアントワークステーション上において存在しているＣＯＴＳ ＶＰＮクライアント、ＭＳＬ ＶＰＮユーザインタフェースコンポーネント、及びＭＳＬ管理コンポーネントを更に有し、且つ、該システムは、該ＭＳＬ ＮＯＣ上において存在しているＣＯＴＳ ＶＰＮコンポーネント、ＣＯＴＳクリアテキストプロセスコンポーネント、セッションマネージャコンポーネント、及びログインマネージャコンポーネントを更に有する、請求項１に記載のシステム。
13. ロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントであって、該ロジックは、プロセッサによって実行された際に、該ＭＳＬ ＶＰＮが、
    クライアントワークステーションとオーナゲートウェイの間においてＶＰＮトンネルを生成し、
    該クライアントワークステーションから該オーナゲートウェイへのアウトバウンドデータグラムを送信し、
    該オーナゲートウェイから該クライアントワークステーションへのインバウントデータグラムを受信し、該インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートＩＰアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、を含み、且つ、
    該宛先ＩＰアドレスを有する該インバウンドデータグラムを送信する、
    ことを実行するようにする、ＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネント。
14. 該ＭＳＬ ＶＰＮは、異なるオーナゲートウェイとの間における複数の独立的なＶＰＮ接続を同時に促進するように構成されている、請求項１３に記載のＭＳＬ ＶＰＮ。
15. 該ロジックは、該ＭＳＬ ＶＰＮが、
    該アウトバウンドデータグラムを暗号化し、且つ、該アウトバウンドデータグラムを該オーナゲートウェイに転送し、且つ、
    該オーナゲートウェイから暗号化された形態において該インバウンドデータグラムを受信し、且つ、該インバウンドデータグラムを暗号解読する、
    ことを実行するようにする、請求項１３に記載のＭＳＬ ＶＰＮ。
16. ロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）であって、該ロジックは、プロセッサによって実行された際に、該ＭＳＬツインＮＡＴが、
    ＭＳＬ ＶＰＮからインバウンドデータグラムを受信し、
    発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスを該インバウンドデータグラム内において記録し、
    該インバウンドデータグラム及びクライアントワークステーション用の新しいＵＰＩＰを割り当て、且つ、
    該クライアントワークステーションへの該インバウンドデータグラムの送信を促進する、
    ことを少なくとも実行するようにする、ＭＳＬツインネットワークアドレストランスレータ。
17. 該ＭＳＬ ＶＰＮは、異なるオーナゲートウェイとの間における複数の独立的なＶＰＮ接続を同時に促進するように構成されている、請求項１６に記載のＭＳＬツインＮＡＴ。
18. 該ロジックは、該ＭＳＬツインＮＡＴが、アウトバウンドデータグラム内のＵＰＩＰアドレスをプライベートＩＰアドレスにマッピングするように更にする、請求項１６に記載のＭＳＬツインＮＡＴ。
19. 該ロジックは、該ＭＳＬツインＮＡＴが、オーナゲートウェイ用のＵＰＩＰアドレスを受信するように更にする、請求項１６に記載のＭＳＬツインＮＡＴ。
20. 該ロジックは、該ＭＳＬツインＮＡＴが、該インバウンドデータグラムを処理するべく、該インバウンドデータグラムを商用の既製の（ＣＯＴＳ）クリアテキストプロセスコンポーネントに転送するように更にする、請求項１６に記載のＭＳＬツインＮＡＴ。

Images