JP2023519483A - Ｓｄｗａｎアーキテクチャのサービスプレーンでの動的ファイアウォール発見 - Google Patents

Abstract

本開示は、サービスプレーン上での動的ファイアウォール発見のためのシステムおよび方法を対象とする。本方法は、ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別するステップであって、ソースデータパケットが、ＷＡＮ上でのソースマシンと宛先マシンの間の接続要求に対応する、識別するステップと、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査するステップと、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すステップと、マークされたソースデータパケットを宛先サイトに伝送するステップと、宛先サイトで、ソースデータパケットがマーカに基づいて検査されたと決定するステップと、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしに、ソースデータパケットを宛先サイトの宛先マシンに転送するステップと、を含む。【選択図】図２

Description

本開示は、概して、ファイアウォール発見に関し、より具体的には、ソフトウェア定義型ワイドエリアネットワーク（ＳＤＷＡＮ）アーキテクチャにおけるサービスプレーン上での動的ファイアウォール発見のためのシステムおよび方法に関する。

今日の世界では、ネットワーク情報の流れが指数関数的に増加するため、コンピュータのセキュリティは重要な必需品となっている。ハッカーやマルウェアなどからの脅威によって、大規模なコンピュータネットワークがシャットダウンまたは損傷し、その結果、多額の資金、リソース、および時間が失われることがある。このようなインシデントを防止するためのセキュリティ対策は、脅威の性質および高度化に伴い、常に進化している。コンピュータネットワークを外部の脅威から保護するメカニズムの１つに、ファイアウォールがある。ファイアウォールは、ネットワークとその外部との間に配置されるハードウェアとソフトウェアの組み合わせである。ファイアウォールは、すべてのデータがネットワークユーザに送信される前に、そのデータをネットワーク外部から受信する。ファイアウォールは、データをソートして分析し、ネットワークにアクセスすべきかどうかを決定する。データが承認されると、ファイアウォールはデータをその宛先に転送する。データが承認されない場合、ファイアウォールはネットワークへのデータアクセスを拒否する。

特定の実施形態による、データパケットの二重検査を回避するためにファイアウォール検査を動的に検出するためのシステムを示す。 特定の実施形態による、データパケットの順方向フローに基づいて、ファイアウォール検査を検出するための方法のフロー図を示す。 特定の実施形態による、データパケットの逆方向フローに基づいて、ファイアウォール検査を検出するための方法のフロー図を示す。 特定の実施形態による、コンピュータシステムを示す。

例示的な実施形態の説明
概要
本発明の態様は、独立請求項で述べられ、好ましい特徴は、従属請求項で述べられる。一態様の特徴は、単独で、または他の態様と組み合わせて、任意の態様に適用され得る。

ある実施形態によれば、システムは、１つ以上のプロセッサと、命令を含む１つ以上のコンピュータ可読非一時的記憶媒体であって、命令が、１つ以上のプロセッサによって実行されると、システムの１つ以上の構成要素に、ソースサイトのソースマシンから宛先サイトの宛先マシンへの伝送のためのソースデータパケットを識別することであって、ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介したソースマシンと宛先マシンの間の接続要求に対応する、識別することと、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査することと、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すことと、マークされたソースデータパケットを宛先サイトに伝送することと、宛先サイトで、ソースデータパケットがマーカに基づいて検査されたと決定することと、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしに、ソースデータパケットを宛先サイトの宛先マシンに転送することと、を含む、動作を実行させる、１つ以上のコンピュータ可読非一時的記憶媒体と、を含み得る。

さらに、動作は、宛先サイトの宛先マシンからソースサイトのソースマシンへの逆方向伝送のための確認データパケットを識別することをさらに含むことができ、確認データパケットは、ソースデータパケットに応答して逆方向に伝送される。動作は、宛先サイトに関連付けられた第２のファイアウォールによる確認データパケットの検査なしに、宛先サイトからソースサイトに確認データパケットを伝送することと、ソースサイトで、確認データパケットが、ソースデータパケットに関連付けられていると決定することと、ソースサイトに関連付けられた第１のファイアウォールで確認データパケットを検査することと、確認データパケットをソースサイトのソースマシンに転送することと、をさらに含むことができる。

追加的に、ソースデータパケットは、ＳＹＮパケットであってもよく、確認データパケットは、ＳＹＮ／ＡＣＫパケットであってもよい。

また、マークする動作は、ソースデータパケットに関連付けられたフローテーブルエントリを作成することをさらに含み得る。さらに、確認データパケットは、フローテーブルエントリに基づいて、ソースデータパケットに関連付けられていると決定され得る。

追加的に、マーカは、ソースデータパケットの伝送制御プロトコル（ＴＣＰ）ヘッダのフィールドに基づくリダイレクトフラグであってもよい。

別の実施形態によれば、方法は、ソースサイトのソースマシンから宛先サイトの宛先マシンへ伝送するためのソースデータパケットを識別するステップであって、ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介したソースマシンと宛先マシンの間の接続要求に対応する、識別するステップと、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査するステップと、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すステップと、マークされたソースデータパケットを宛先サイトに伝送するステップと、宛先サイトで、ソースデータパケットがマーカに基づいて検査されたと決定するステップと、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしに、ソースデータパケットを宛先サイトの宛先マシンに転送するステップと、を含むことができる。

さらに別の実施形態によれば、１つ以上のコンピュータ可読非一時的記憶媒体は、命令を包含することができ、この命令は、プロセッサによって実行されると、ソースサイトのソースマシンから宛先サイトの宛先マシンへの伝送のためのソースデータパケットを識別することであって、ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介したソースマシンと宛先マシンの間の接続要求に対応する、識別することと、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査することと、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すことと、マークされたソースデータパケットを宛先サイトに伝送することと、宛先サイトで、ソースデータパケットがマーカに基づいて検査されたと決定することと、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしで、ソースデータパケットを宛先サイトの宛先マシンに転送することと、を含む、動作を実行させる。

本開示のある特定の実施形態の技術的利点には、以下のうちの１つ以上が含まれ得る。本明細書で説明されるシステムおよび方法は、データパケットのファイアウォール検査の動的検出を可能にし、それによって、ネットワーク内の１つ以上のファイアウォールによって行われ得る検査の数を減らすことができる。その結果、既存のファイアウォールライセンス下のファイアウォールの使用回数を減らすことができ、かつ／またはネットワーク経由で送信され得るデータパケットの数を増やすことができる。追加的に、開示されたシステムおよび方法は、データパケットがファイアウォール検査を受ける回数が少なくなるので、処理時間が本質的に減少するため、システム待ち時間を短縮することができる。

他の技術的利点は、以下の図面、説明、および特許請求の範囲から、当業者には容易に明らかになるであろう。さらに、特定の利点が上に列挙されているが、様々な実施形態は、列挙された利点のすべて、一部を含むか、またはまったく含まない場合がある。

例示的な実施形態
今日のＳＤ－ＷＡＮ企業ネットワークでは、ローカルか地域かを問わず、すべてのサイトにファイアウォールが装備されており、ネットワークに入るデータがネットワークまたはそのユーザに脅威を与えないようにしている。しかしながら、今日のネットワークでは、アプリケーションおよびデータトラフィックは、２つのファイアウォール、すなわち、ソースサイトおよび宛先サイトを、両方のサイトが同じ信頼できるネットワークの一部であっても、通過する必要がある。データパケットが通過しなければならないファイアウォールの数を２倍にすることにより、企業はファイアウォールの使用ライセンスを２倍にする必要がある場合があり、これらのライセンスは、多くの場合、ファイアウォールが一度に処理できる接続の数に基づいているためである（例えば、２０００個のファイアウォールライセンスが、ソースサイトおよび宛先サイトで二重に検査された１０００個の伝送されたデータパケットに必要であり得る）。追加的に、ファイアウォールの数が増えると、ファイアウォール処理の各インスタンスがトラフィックを遅くするため、ネットワーク待ち時間が増大することになり得る。

本開示は、ネットワーク内のサービスプレーン上のファイアウォールを動的に発見するためのシステムおよび方法であって、具体的には、第１のファイアウォールがデータパケットを検査したときを検出し、それによって、ネットワーク内の第２ファイアウォールによる同じパケットの第２の検査を回避するためのシステムおよび方法を紹介する。

図１は、本開示による、ファイアウォール検査を検出するためのシステム１００を示す。システム１００は、ネットワーク１９０を介して通信可能に接続されたソースサイト１１０および宛先サイト１５０を含む。図１は、ネットワークをワイドエリアネットワーク（ＷＡＮ）として示しているが、ネットワーク１９０は、ＳＤ－ＷＡＮ、ローカルエリアネットワーク（ＬＡＮ）、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）、または当技術分野で知られている任意の他の通信ネットワークを備え得ることを理解されたい。

システム１００のソースサイト１１０は、ソースマシン１２０（クライアントコンピュータとして示される）、ソースルータ１３０、およびソースサイト１１０に関連付けられた第１のファイアウォール１４０を含み得る。宛先サイト１５０は、宛先マシン１８０（サーバとして示される）と、宛先ルータ１６０と、宛先サイト１５０に関連付けられた第２のファイアウォール１７０と、を含むことができる。

ソースサイト１１０および宛先サイト１５０は、様々なネットワーク構成およびアーキテクチャに対応し得る。一実施形態では、ソースサイト１１０のソースマシン１２０は、ブランチサイトのユーザマシンに対応し得、宛先サイト１５０の宛先マシン１８０は、企業データセンターのサーバに対応し得る。別の実施形態では、ソースサイト１１０のソースマシン１２０は、リモートサイトのリモートユーザマシン（仮想プライベートネットワーク（ＶＰＮ）のユーザによって使用されたマシンなど）に対応し得、宛先サイトの宛先マシン１８０は、企業の本社サイトのサーバに対応し得る。システム１００は、当業者によって決定されるように、他の使用事例に適用可能であり得る。

引き続き図１を参照すると、ソースマシン１２０は、宛先マシン１８０との通信リンクを確立することを望み得、伝送制御プロトコル（ＴＣＰ）セッションを開始して、ソースサイト１１０のソースマシン１２０からデータパケットを宛先サイト１５０の宛先マシン１８０に伝送することができる。本開示の目的のために、ソースサイトから伝送されるデータパケットは、「ソースデータパケット」と呼ばれる場合がある。ソースデータパケットは、ソースマシン１２０と宛先マシン１８０の間の接続要求に対応し得る。ある実施形態では、ソースデータパケットは、同期（ＳＹＮ）パケットを含むことができる。ＳＹＮパケットは、第１のマシン（例えば、ソースマシン）から第２のマシン（例えば、宛先マシン）に送信され得、それらの間で接続を確立するよう要求するＴＣＰパケットである。ＳＹＮパケットに応答して、宛先マシンは、同期／確認（ＳＹＮ／ＡＣＫ）パケットをソースマシンに送り返すことができる。ＳＹＮおよびＳＹＮ／ＡＣＫパケットは、ソースマシン１２０と宛先マシン１８０の間の通信を確立するための電子的な「ハンドシェイク」として機能する。

ソースマシン１２０から送信されたソースデータパケットは、ソースルータ１３０に到着し得る。ソースルータ１３０は、ソースデータパケットをチェックし、それがそのヘッダにフローテーブルエントリを有するかどうかを決定することができ、フローテーブルエントリは、データパケットがソースルータ１３０によって以前に見られたことを示し得る。ソースデータパケットがＳＹＮパケットである場合、ソースルータ１３０との第１のセッションであるため、フローテーブルエントリはない。次に、ソースサイト１１０のアプリケーションポリシーにしたがって、ソースルータ１３０は、検査のためにソースサイト１１０の第１のファイアウォール１４０にソースデータパケットを転送することができる。第１のファイアウォール１４０は、ソースデータパケットを検査し、次いでソースデータパケットをソースルータ１３０に戻すことができる。次に、ソースルータ１３０は、ソースデータパケットをマーカでマークして、ファイアウォール検査が第１のファイアウォール１４０によって完了したことを示すことができる。ある実施形態では、ソースルータ１３０は、ＴＣＰオプションを使用してフラグでソースデータパケットをマークすることができる。ある実施形態では、フラグは、ソースデータパケットのＴＣＰヘッダのオプションフィールドで利用可能なカスタム「Ｒ」（「リダイレクト」）フラグを含むことができる。ソースルータ１３０はまた、ソースデータパケットのフローテーブルエントリを作成および記憶することができる。フローテーブルエントリは、ソースデータパケットがＳＹＮパケットであること、および対応するリターントラフィック（ＳＹＮ／ＡＣＫパケット）が宛先サイト１５０から受信されることを示すことができる。次いで、ソースルータ１３０は、ソースデータパケットを、カプセル化され、暗号化されたトンネルを介して、宛先サイト１５０に伝送することができる。上記の説明は、第１のファイアウォール１４０が、ソースルータ１３０によってソースデータパケットをマークする前にソースデータパケットを検査し得ることを示すが、いくつかの実施形態では、ソースルータ１３０は、ソースデータパケットを第１のファイアウォール１４０に転送する前にマークし得ることを理解されたい。換言すれば、本開示の範囲から逸脱することなく、特定のアクションの順序を変更することができる。

宛先サイト１５０では、宛先ルータ１６０が、ソースデータパケットを受信することができる。宛先ルータ１６０は、トンネルのカプセル化を解除し、ソースデータパケットを検査することができる。宛先ルータ１６０は、マーカ、すなわち、Ｒフラグの存在に基づいて、ソースデータパケットがファイアウォール、すなわち、第１のファイアウォール１４０によって検査されたことを決定することができる。したがって、宛先ルータ１６０は、ソースデータパケットをそのローカルファイアウォール、すなわち、第２のファイアウォール１７０に転送する必要がないと決定することができる。その結果、宛先ルータ１６０は、ソースデータパケットに関連付けられたフローテーブルエントリをキャッシュし、次に、宛先サイト１５０に関連付けられた第２のファイアウォール１７０によるソースデータパケットの検査なしに、ソースデータパケットを宛先サイト１５０の宛先マシン１８０に転送することができる。ソースデータパケットに関連付けられたフローテーブルエントリをキャッシュすることによって、宛先ルータ１６０は、確認データパケット（すなわち、逆方向パケット）を後で確認することができ、これは、ソースデータパケットに関連付けられ、同じパスに沿って送り返される。さらに、ソースデータパケットはＲフラグによってマークされたので、宛先ルータ１６０は、ファイアウォール検査がすでに行われたと決定でき、それによって第２のファイアウォール検査を回避することができる。例として、ソースデータパケットのヘッダにマーカ（Ｒフラグ）がなく、ファイアウォール検査が行われたことを示す場合、宛先ルータは、ソースデータパケットがファイアウォール検査の候補であると決定することができ、その結果、宛先サイト１５０に関連付けられた宛先マシン１８０にパケットを転送する前に、検査のためにソースデータパケットを第２のファイアウォール１７０に転送することができる。さらに、ファイアウォールはステートフルであるため、つまり、データパケットを検査するファイアウォールが、所与のデータパケットのフローを順方向と逆方向の両方で確認する必要があるため、第２のファイアウォールで順方向に流れるソースデータパケットを検査するには、同じファイアウォールで関連付けられた逆方向トラフィックの検査が必要になる。

ソースマシン１２０によって送信されたソースデータパケット（例えば、ＳＹＮパケット）に応答して、宛先マシン１８０は、確認データパケット（例えば、ＳＹＮ／ＡＣＫパケット）で応答することができる。具体的には、宛先サイト１５０の宛先マシン１８０は、ソースサイト１１０への逆方向伝送のために、宛先ルータ１６０に確認データパケットを伝送することができる。確認データパケットは、宛先マシン１８０との接続を要求するときに、ソースマシン１２０によって送信されたソースデータパケットに関連付ける（すなわち、それに応答して送信される）ことができる。

宛先ルータ１６０は、確認データパケットが、以前にキャッシュされたフローテーブルエントリ（すなわち、ソースデータパケットに関連するフローテーブルエントリ）に関連付けられていると決定することができ、その結果、確認データパケットが、ローカルファイアウォール、つまり宛先サイト１５０の第２のファイアウォール１７０には送信される必要がないことを知る。したがって、宛先ルータ１６０は、確認データパケットをカプセル化し、宛先サイトの第２のファイアウォールによる検査なしに、宛先サイトからソースサイトにトンネルを通してそれを伝送することができる。

ソースサイト１１０において、ソースルータ１３０は、確認データパケットを検査することができ、確認データパケットがソースデータパケットに関連付けられていること、すなわち、確認データパケットがＳＹＮソースデータパケットに応答して送信されたＳＹＮ／ＡＣＫであることを決定することができる。この決定は、確認データパケットおよび／またはソースデータパケットに関連付けられたフローテーブルエントリを調べることによって行うことができる。ソースルータ１３０が、確認データパケットに関連付けられたフローテーブルエントリがないと決定した場合、データパケットはドロップされ得る。ある実施形態では、ソースルータ１３０は、確認データパケットが「Ｒ」フラグでマークされていないと追加的に決定することができ、その結果、確認データパケットをそのローカルファイアウォール、すなわち、第１のファイアウォール１４０に転送することができる。データパケットを検査している所与のファイアウォールは、両方向のデータパケットのフローを見る必要があるため、逆方向トラフィックも検査する必要がある。図１の実施例では、第１のファイアウォール１４０がソースデータパケットを検査したので、逆方向トラフィック、すなわち、確認データパケットも検査する。したがって、第１のファイアウォール１４０は、確認データパケットを検査することができ、ファイアウォールのアプリケーションポリシーに基づいて、確認データパケットを許可または拒否する決定を下すことができる。第１のファイアウォール１４０が確認データパケットを許可することを決定した場合、パケットは、ソースマシン１２０への伝送のためにソースルータ１３０に転送され得る。

図１のシステム１００には２つのルータが示されているが、ソースサイト１１０および宛先サイト１５０は、データパケットが送信および／または受信され得る任意の数のルータに関連付けられ得ることを理解されたい。例えば、第１のファイアウォール１４０がデータパケットを検査した後、パケットはソースルータ１３０またはネットワーク内の別のルータに送信され、クライアントに伝送され得る。

ここで図２を参照すると、本開示による、データパケットの順方向フローに基づいて、ファイアウォール検査を検出するための方法２００が示されている。方法は、ステップ２０５で開始し得る。ステップ２１０では、ソースサイトのソースマシンから宛先サイトの宛先マシンへの伝送のために、ソースデータパケットを識別することができる。ソースデータパケットは、ＷＡＮなどのネットワークを介したソースマシンと宛先マシンとの間の接続要求に対応することができる。ある実施形態では、ソースデータパケットは、ＳＹＮパケットであってもよい。

ステップ２２０では、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査することができる。ソースデータパケットが第１のファイアウォールによる検査に合格すると仮定すると、ステップ２３０では、ソースデータパケットは、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すことができる。ある実施形態では、ソースデータパケットは、ＴＣＰオプションを使用してフラグでマークされてもよい。ある実施形態では、フラグは、ソースデータパケットのＴＣＰヘッダのオプションフィールドで利用可能なカスタム「Ｒ」（「リダイレクト」）フラグを含むことができる。ソースデータパケットが通信を要求するためのパケット（つまり、ＳＹＮパケット）であることと、対応するリターントラフィック（つまり、ＳＹＮ／ＡＣＫパケット）が宛先サイトから受送されることと、を示すために、ソースデータパケットに対してＦＴＰフローテーブルエントリを作成することもできる。

ステップ２４０では、マークされたソースデータパケットが、カプセル化され暗号化されたトンネルを介して宛先サイトに伝送され得る。ステップ２５０では、トンネルのカプセル化が解除され、ソースデータパケットが宛先サイトで受信されると、ソースデータパケットが以前に検査されたかどうかについての決定が下され得る。この決定は、ソースデータパケットのヘッダ内のマーカ（Ｒフラグ）の存在に基づいて行うことができる。ステップ２５０で、ソースデータパケットが検査されたと決定された場合、方法はステップ２６０に進み得、ソースデータパケットに関連付けられたフローテーブルエントリがキャッシュされた後、ソースデータパケットは、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしで、宛先サイトの宛先マシンに転送され得る。方法は、ステップ２７０で終了し得る。

ステップ２５０で、ソースデータパケットが検査されていないと決定された場合、方法はステップ２８０に進み得、ソースデータパケットは、第２の宛先サイトに関連付けられた第２のファイアウォールに転送され得、第２のファイアウォールによって検査される。方法は、ステップ２７０で終了し得る。

ここで図３を参照すると、本開示による、データパケットの逆方向フローに基づいて、ファイアウォール検査を検出するための方法３００が示されている。ある実施形態では、図３に記載された方法３００は、図２に記載された方法２００の続きであってもよく、すなわち、図３に関連して以下に記載された確認データパケットは、図２に関連して上述したソースデータパケットに応答して伝送されてもよい。

図３に示すように、方法３００は、ステップ３０５で開始し得る。ステップ３１０では、宛先サイトの宛先マシンからソースサイトのソースマシンへの逆方向伝送のための確認データパケットを識別することができる。確認データパケットは、ソースマシンからネットワークを介して宛先マシンに送信された接続要求に応答して送信され得るため、ソースデータパケットに関連付けることができる。ある実施形態では、確認データパケットは、図２に関連して記載されたＳＹＮパケットに関連付けられ得るか、またはそれに応答して送信され得るＳＹＮ／ＡＣＫパケットであり得る。３１０における識別するステップは、確認データパケットが、以前にキャッシュされたソースデータパケットのフローテーブルエントリに関連付けられていることを決定することをさらに含むことができ（例えば、図２のステップ２６０）、結果として、確認データパケットは、ローカルファイアウォール、つまり、宛先サイトに関連付けられた第２のファイアウォールに送信する必要はない。

ステップ３２０では、確認データパケットが、カプセル化され得、宛先サイトの第２ファイアウォールによる確認データパケットの検査なしに、宛先サイトからトンネルを通してソースサイトに伝送され得る。ステップ３３０では、確認データパケットがソースサイトで受信されると、確認データパケットがソースデータパケットに関連付けられているかどうか、すなわち、確認データパケットがＳＹＮソースデータパケットに応答して送信されたＳＹＮ／ＡＣＫであることについての決定が下され得る。この決定は、確認データパケットがソースデータパケットに関連付けられていることを検証するために、ＦＴＰフローテーブルエントリを調べることによって下すことができる。

ステップ３３０では、確認データパケットがソースデータパケットに関連付けられていない、すなわち、フローテーブルエントリが確認データパケットの検証に失敗したと決定された場合、方法はステップ３７０に進むことができ、確認データパケットはドロップされる。方法は、ステップ３６０で終了し得る。

ステップ３３０では、確認データパケットがソースデータパケットに関連付けられている、すなわち、フローテーブルエントリが確認データパケットを検証すると決定された場合、方法はステップ３４０に進むことができ、確認データパケットは、検査のためにローカルファイアウォール、つまり、第１のファイアウォールに転送され得る。他の実施形態では、確認データパケットがソースデータパケットに関連付けられていると決定する代わりに、またはそれに加えて、確認データパケットが「Ｒ」フラグでマークされていない（すなわち、宛先サイトでマークされなかった）ことを決定することもでき、その結果、確認データパケットは検査のために第１のファイアウォールに転送され得る。

ステップ３４０では、ソースサイトに関連付けられた第１のファイアウォールで確認データパケットを検査することができる。データパケットを検査する所与のファイアウォール（ここでは第１のファイアウォール）は、両方向のデータパケットのフローを見る必要があるため、逆方向トラフィックも検査する必要がある。例として、第１のファイアウォールは順方向トラフィック、すなわち図２のステップ２２０でソースデータパケットを検査したので、第１のファイアウォールは逆方向トラフィック、すなわち、確認データパケットも検査しなければならない。確認データパケットの検査に基づいて、ファイアウォールが確認データパケットを許可する場合、ステップ３５０では、確認データパケットは、ソースサイトに関連付けられたソースマシンに転送され得る。ステップ３６０で、方法は終了し得る。

要するに、本開示のシステムおよび方法は、データパケットのファイアウォール検査の動的検出を可能にすることができ、それによって、ネットワークの１つ以上のファイアウォールによって行われ得る検査の数を少なくとも半分に減らすことができる。その結果、開示されたシステムおよび方法の利点には、既存のファイアウォールライセンスの下でのファイアウォール使用回数の削減、および／またはネットワークを通じて送信できるデータパケットの数の倍増が含まれる。追加的に、開示されたシステムおよび方法は、より少ないファイアウォールによってデータパケットが検査されるので処理時間が減少するため、システム待ち時間を改善することができる。

ここで、例示的なコンピュータシステム４００が示されている図４を参照する。特定の実施形態では、１つ以上のコンピュータシステム４００は、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施する。特定の実施形態では、１つ以上のコンピュータシステム４００は、本明細書で説明または図示する機能を提供する。特定の実施形態では、１つ以上のコンピュータシステム４００上で実行されるソフトウェアは、本明細書で説明もしくは図示する１つ以上の方法の１つ以上のステップを実施するか、または本明細書で説明もしくは図示する機能を提供する。特定の実施形態は、１つ以上のコンピュータシステム４００の１つ以上の部分を含む。本明細書では、コンピュータシステムへの言及は、必要に応じて、コンピューティングデバイスを包含し得、逆もまた同様である。さらに、コンピュータシステムへの言及は、必要に応じて、１つ以上のコンピュータシステムを包含し得る。

本開示は、任意の好適な数のコンピュータシステム４００を企図している。本開示は、任意の好適な物理形態をとるコンピュータシステム４００を企図している。限定としてではなく例として、コンピュータシステム４００は、組み込みコンピュータシステム、システムオンチップ（ＳＯＣ）、シングルボードコンピュータシステム（ＳＢＣ）（例えば、コンピュータオンモジュール（ＣＯＭ）またはシステムオンモジュール（ＳＯＭ）など）、デスクトップコンピュータシステム、ラップトップもしくはノートブックコンピュータシステム、インタラクティブキオスク、メインフレーム、コンピュータシステムのメッシュ、携帯電話、携帯情報端末（ＰＤＡ）、サーバ、タブレットコンピュータシステム、拡張／仮想現実デバイス、またはこれらの２つ以上の組み合わせであり得る。必要に応じて、コンピュータシステム４００は、１つ以上のコンピュータシステム４００を含んでよく、一体型または分散型であってよく、複数の位置にまたがってよく、複数のマシンにまたがってよく、複数のデータセンターにまたがってよく、またはクラウドに常駐してよく、クラウドには１つ以上のネットワークに１つ以上のクラウド構成要素が含まれてもよい。必要に応じて、１つ以上のコンピュータシステム４００は、実質的な空間的または時間的制限なしに、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施することができる。限定ではなく一例として、１つ以上のコンピュータシステム４００は、リアルタイムまたはバッチモードで、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施することができる。１つ以上のコンピュータシステム４００は、必要に応じて、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを、異なる時間または異なる位置で実施することができる。

特定の実施形態では、コンピュータシステム４００は、プロセッサ４０２、メモリ４０４、ストレージ４０６、入力／出力（Ｉ／Ｏ）インターフェース４０８、通信インターフェース４１０、およびバス４１２を含む。本開示は、特定の配置で特定の数の特定の構成要素を有する特定のコンピュータシステムを説明および図示するが、本開示は、任意の好適な配置で任意の好適な数の任意の好適な構成要素を有する任意の好適なコンピュータシステムを企図する。

特定の実施形態では、プロセッサ４０２は、コンピュータプログラムを構成するものなど、命令を実行するためのハードウェアを含む。限定としてではなく例として、命令を実行するために、プロセッサ４０２は、内部レジスタ、内部キャッシュ、メモリ４０４、またはストレージ４０６から命令を取り出し（またはフェッチし）、それらをデコードして実行し、次に、１つ以上の結果を、内部レジスタ、内部キャッシュ、メモリ４０４、またはストレージ４０６に書き込むことができる。特定の実施形態では、プロセッサ４０２は、データ、命令、またはアドレスのための１つ以上の内部キャッシュを含み得る。本開示は、必要に応じて、任意の好適な数の任意の好適な内部キャッシュを含むプロセッサ４０２を企図する。限定としてではなく例として、プロセッサ４０２は、１つ以上の命令キャッシュ、１つ以上のデータキャッシュ、および１つ以上のトランスレーションルックアサイドバッファ（ＴＬＢ）を含み得る。命令キャッシュ内の命令は、メモリ４０４またはストレージ４０６内の命令のコピーであり得、命令キャッシュは、プロセッサ４０２によるそれらの命令の取り出しを高速化することができる。データキャッシュ内のデータは、プロセッサ４０２において実行される命令が動作するための、メモリ４０４もしくはストレージ４０６内のデータのコピーであるか、プロセッサ４０２において実行される後続の命令によるアクセスのために、もしくはメモリ４０４もしくはストレージ４０６への書き込みのために、プロセッサ４０２において実行された前の命令の結果であるか、または他の適切なデータであり得る。データキャッシュは、プロセッサ４０２による読み取りまたは書き込み動作を高速化することができる。ＴＬＢは、プロセッサ４０２のための仮想アドレス変換を高速化することができる。特定の実施形態では、プロセッサ４０２は、データ、命令、またはアドレスのための１つ以上の内部レジスタを含み得る。本開示は、必要に応じて、任意の好適な数の任意の好適な内部レジスタを含むプロセッサ４０２を企図する。必要に応じて、プロセッサ４０２は、１つ以上の算術論理ユニット（ＡＬＵ）を含むか、マルチコアプロセッサであるか、または１つ以上のプロセッサ４０２を含み得る。本開示は、特定のプロセッサを説明および図示するが、本開示は、任意の好適なプロセッサを企図している。

特定の実施形態では、メモリ４０４は、プロセッサ４０２が実行するための命令またはプロセッサ４０２が動作するためのデータを記憶するためのメインメモリを含む。限定ではなく一例として、コンピュータシステム４００は、ストレージ４０６または別のソース（例えば、別のコンピュータシステム４００など）からメモリ４０４に命令をロードすることができる。次に、プロセッサ４０２は、メモリ４０４から内部レジスタまたは内部キャッシュに命令をロードすることができる。命令を実行するために、プロセッサ４０２は、内部レジスタまたは内部キャッシュから命令を取り出し、それらをデコードすることができる。命令の実行中または実行後に、プロセッサ４０２は、（中間または最終結果であり得る）１つ以上の結果を内部レジスタまたは内部キャッシュに書き込むことができる。次に、プロセッサ４０２は、それらの結果のうちの１つ以上をメモリ４０４に書き込むことができる。特定の実施形態では、プロセッサ４０２は、（ストレージ４０６または他の場所とは対照的に）１つ以上の内部レジスタもしくは内部キャッシュまたはメモリ４０４内の命令のみを実行し、（ストレージ４０６または他の場所とは対照的に）１つ以上の内部レジスタもしくは内部キャッシュまたはメモリ４０４内のデータのみに対して作用する。（各々がアドレスバスおよびデータバスを含み得る）１つ以上のメモリバスは、プロセッサ４０２をメモリ４０４に結合することができる。バス４１２は、以下に説明するように、１つ以上のメモリバスを含み得る。特定の実施形態では、１つ以上のメモリ管理ユニット（ＭＭＵ）は、プロセッサ４０２とメモリ４０４との間に常駐し、プロセッサ４０２によって要求されるメモリ４０４へのアクセスを容易にする。特定の実施形態では、メモリ４０４は、ランダムアクセスメモリ（ＲＡＭ）を含む。このＲＡＭは、必要に応じて、揮発性メモリであり得る。必要に応じて、このＲＡＭは、ダイナミックＲＡＭ（ＤＲＡＭ）またはスタティックＲＡＭ（ＳＲＡＭ）であり得る。さらに、必要に応じて、このＲＡＭは、シングルポートまたはマルチポートのＲＡＭであり得る。本開示は、任意の好適なＲＡＭを企図している。メモリ４０４は、必要に応じて、１つ以上のメモリ４０４を含み得る。本開示は、特定のメモリを説明および図示するが、本開示は、任意の好適なメモリを企図している。

特定の実施形態では、ストレージ４０６は、データまたは命令のための大容量ストレージを含む。限定としてではなく例として、ストレージ４０６は、ハードディスクドライブ（ＨＤＤ）、フロッピーディスクドライブ、フラッシュメモリ、光ディスク、磁気光学ディスク、磁気テープ、もしくはユニバーサルシリアルバス（ＵＳＢ）ドライブ、またはこれらのうちの２つ以上の組み合わせを含み得る。ストレージ４０６は、必要に応じて、取り外し可能または取り外し不可能な（または固定された）媒体を含み得る。ストレージ４０６は、必要に応じて、コンピュータシステム４００の内部または外部にあり得る。特定の実施形態では、ストレージ４０６は、不揮発性のソリッドステートメモリである。特定の実施形態では、ストレージ４０６は、読み取り専用メモリ（ＲＯＭ）を含む。必要に応じて、このＲＯＭは、マスクプログラムＲＯＭ、プログラマブルＲＯＭ（ＰＲＯＭ）、消去可能ＰＲＯＭ（ＥＰＲＯＭ）、電気的消去可能ＰＲＯＭ（ＥＥＰＲＯＭ）、電気的変更可能ＲＯＭ（ＥＡＲＯＭ）、もしくはフラッシュメモリ、またはこれらの２つ以上の組み合わせであり得る。本開示は、任意の好適な物理形態をとる大容量ストレージ４０６を企図している。ストレージ４０６は、必要に応じて、プロセッサ４０２とストレージ４０６との間の通信を容易にする１つ以上のストレージ制御ユニットを含み得る。適切な場合、ストレージ４０６は、１つ以上のストレージ４０６を含み得る。本開示は、特定のストレージを説明および図示するが、本開示は、任意の好適なストレージを企図している。

特定の実施形態では、Ｉ／Ｏインターフェース４０８は、ハードウェア、ソフトウェア、またはその両方を含み、コンピュータシステム４００と１つ以上のＩ／Ｏデバイスとの間の通信のための１つ以上のインターフェースを提供する。コンピュータシステム４００は、必要に応じて、これらのＩ／Ｏデバイスのうちの１つ以上を含み得る。これらのＩ／Ｏデバイスのうちの１つ以上は、人とコンピュータシステム４００との間の通信を可能にし得る。限定ではなく一例として、Ｉ／Ｏデバイスには、キーボード、キーパッド、マイク、モニター、マウス、プリンタ、スキャナ、スピーカー、スチルカメラ、スタイラス、タブレット、タッチスクリーン、トラックボール、ビデオカメラ、別の好適なＩ／Ｏデバイス、またはこれらの２つ以上の組み合わせが含まれ得る。Ｉ／Ｏデバイスは、１つ以上のセンサを含んでもよい。本開示は、任意の好適なＩ／Ｏデバイスおよびそれらに適した任意のＩ／Ｏインターフェース４０８を企図している。必要に応じて、Ｉ／Ｏインターフェース４０８は、プロセッサ４０２がこれらのＩ／Ｏデバイスのうちの１つ以上を駆動することを可能にする１つ以上のデバイスまたはソフトウェアドライバを含み得る。Ｉ／Ｏインターフェース４０８は、必要に応じて、１つ以上のＩ／Ｏインターフェース４０８を含み得る。本開示は、特定のＩ／Ｏインターフェースを説明および図示するが、本開示は、任意の好適なＩ／Ｏインターフェースを企図している。

特定の実施形態では、通信インターフェース４１０は、コンピュータシステム４００と１つ以上の他のコンピュータシステム４００もしくは１つ以上のネットワークとの間の通信（例えば、パケットベースの通信など）のための１つ以上のインターフェースを提供する、ハードウェア、ソフトウェア、またはその両方を含む。限定としてではなく例として、通信インターフェース４１０は、イーサネットもしくは他の有線ベースのネットワークと通信するためのネットワークインターフェースコントローラ（ＮＩＣ）もしくはネットワークアダプタ、またはＷＩ－ＦＩネットワークなどの無線ネットワークと通信するための無線ＮＩＣ（ＷＮＩＣ）もしくは無線アダプタを含み得る。本開示は、任意の好適なネットワークおよびそれに適した任意の通信インターフェース４１０を企図している。限定としてではなく、一例として、コンピュータシステム４００は、アドホックネットワーク、パーソナルエリアネットワーク（ＰＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、もしくはインターネットの１つ以上の部分、またはこれらのうちの２つ以上の組み合わせと通信し得る。これらのネットワークのうちの１つ以上の１つ以上の部分は、有線または無線であり得る。一例として、コンピュータシステム４００は、無線ＰＡＮ（ＷＰＡＮ）（例えば、ＢＬＵＥＴＯＯＴＨ ＷＰＡＮなど）、ＷＩ－ＦＩネットワーク、ＷＩ－ＭＡＸネットワーク、携帯電話ネットワーク（例えば、グローバルシステムフォーモバイルコミュニケーションズ（ＧＳＭ）ネットワーク、ロングタームエボリューション（ＬＴＥ）ネットワーク、または５Ｇネットワークなど）、もしくはその他の好適な無線ネットワーク、またはこれらの２つ以上の組み合わせと通信することができる。コンピュータシステム４００は、必要に応じて、これらのネットワークのいずれかに適した通信インターフェース４１０を含み得る。通信インターフェース４１０は、必要に応じて、１つ以上の通信インターフェース４１０を含み得る。本開示は、特定の通信インターフェースを説明および図示するが、本開示は、任意の好適な通信インターフェースを企図している。

特定の実施形態では、バス４１２は、コンピュータシステム４００のハードウェア、ソフトウェア、またはその両方の互いに結合する構成要素を含む。限定としてではなく例として、バス４１２は、アクセラレーテッドグラフィックスポート（ＡＧＰ）もしくは他のグラフィックスバス、拡張業界標準アーキテクチャ（ＥＩＳＡ）バス、フロントサイドバス（ＦＳＢ）、ＨＹＰＥＲＴＲＡＮＳＰＯＲＴ（ＨＴ）相互接続、業界標準アーキテクチャ（ＩＳＡ）バス、ＩＮＦＩＮＩＢＡＮＤ相互接続、低ピンカウント（ＬＰＣ）バス、メモリバス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、周辺構成要素相互接続（ＰＣＩ）バス、ＰＣＩ－Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バス、シリアルアドバンストテクノロジーアタッチメント（ＳＡＴＡ）バス、ビデオ電子装置標準化協会ローカル（ＶＬＢ）バス、もしくは別の好適なバス、またはこれらのうちの２つ以上の組み合わせを含み得る。バス４１２は、必要に応じて、１つ以上のバス４１２を含み得る。本開示は、特定のバスを説明および図示するが、本開示は、任意の好適なバスまたは相互接続を企図している。

本開示の実施形態は、サービスプレーン上での動的ファイアウォール発見のためのシステムおよび方法を対象とする。本方法は、ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別するステップであって、ソースデータパケットが、ＷＡＮを介したソースマシンと宛先マシンの間の接続要求に対応する、識別するステップと、ソースサイトに関連付けられた第１のファイアウォールでソースデータパケットを検査するステップと、ソースデータパケットをマーカでマークして、第１のファイアウォールによる検査を示すステップと、マークされたソースデータパケットを宛先サイトに伝送するステップと、宛先サイトで、ソースデータパケットがマーカに基づいて検査されたと決定するステップと、宛先サイトに関連付けられた第２のファイアウォールによるソースデータパケットの検査なしに、ソースデータパケットを宛先サイトの宛先マシンに転送するステップと、を含む。

本明細書では、１つ以上のコンピュータ可読非一時的記憶媒体は、必要に応じて、１つ以上の半導体ベースもしくは他の集積回路（ＩＣ）（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または特定用途向けＩＣ（ＡＳＩＣ）など）、ハードディスクドライブ（ＨＤＤ）、ハイブリッドハードドライブ（ＨＨＤ）、光ディスク、光ディスクドライブ（ＯＤＤ）、磁気光学ディスク、磁気光学ドライブ、フロッピーディスケット、フロッピーディスクドライブ（ＦＤＤ）、磁気テープ、ソリッドステートドライブ（ＳＳＤ）、ＲＡＭドライブ、ＳＥＣＵＲＥ ＤＩＧＩＴＡＬカードもしくはドライブ、任意の他の好適なコンピュータ可読非一時的記憶媒体、またはこれらのうちの２つ以上の任意の好適な組み合わせを含み得る。コンピュータ可読非一時的記憶媒体は、必要に応じて、揮発性、不揮発性、または揮発性と不揮発性の組み合わせであり得る。

本明細書では、「または」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、包括的であり、排他的ではない。したがって、本明細書において、「ＡまたはＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「Ａ、Ｂ、またはその両方」を意味する。さらに、「および」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、連帯および個別の両方である。したがって、本明細書において、「ＡおよびＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「連帯的または個別的に、ＡおよびＢ」を意味する。

本開示の範囲は、当業者が理解するであろう、本明細書で説明または図示された例示的な実施形態に対するすべての変更、置換、変形、改変、および修正を包含する。本開示の範囲は、本明細書で説明または図示された例示的な実施形態に限定されない。さらに、本開示は、本明細書のそれぞれの実施形態が特定の構成要素、要素、特徴、機能、動作、またはステップを含むものとして説明および図示するが、これらの実施形態のいずれも、当業者であれば理解するであろう、本明細書のどこかで説明または図示する構成要素、要素、特徴、機能、動作、またはステップのいずれかの任意の組み合わせまたは置換を含むことができる。さらに、特定の機能を実施するように適合される、配置される、可能にする、構成されている、機能する、動作可能である、または動作する装置またはシステムまたはシステムの構成要素もしくは装置に対する特許請求の範囲における言及は、その装置、システム、または構成要素がそのように適合される、配置される、可能にする、構成されている、機能する、動作可能である、または動作する限り、その特定の機能が起動する、作動する、または解除されているかどうかにかかわらず、その装置、システム、構成要素を包含する。追加的に、本開示は、特定の実施形態を、特定の利点を提供するものとして説明または図示するが、特定の実施形態は、これらの利点をまったく提供しないか、またはそれらの一部、もしくはすべてを提供する場合がある。

本明細書に開示される実施形態は、単なる例であり、本開示の範囲は、それらに限定されない。特定の実施形態は、本明細書に開示される実施形態の構成要素、要素、特徴、機能、動作、またはステップのすべて、一部を含む、またはいずれも含まない場合がある。本開示による実施形態は、特に、方法、記憶媒体、システム、およびコンピュータプログラム製品に向けた添付の特許請求の範囲に開示されており、ある請求項カテゴリ、例えば、方法で言及される任意の特徴は、別の請求項カテゴリ、例えば、システム、でも特許請求することができる。添付の特許請求の範囲に戻る従属性または参照は、正式な理由でのみ選択されている。ただし、任意の先行する特許請求の範囲（特に複数の従属性）への意図的な参照から生じる任意の主題も同様に特許請求することができるため、特許請求の範囲およびその特徴の任意の組み合わせが開示され、添付の特許請求の範囲で選択される従属性に関係なく特許請求することができる。特許請求可能な主題は、添付の特許請求の範囲に記載された特徴の組み合わせのみならず、特許請求の範囲内の任意の他の特徴の組み合わせも含み、特許請求の範囲で言及される各特徴は、特許請求の範囲における任意の他の特徴または他の特徴の組み合わせと組み合わせることができる。さらに、本明細書に記載または図示される実施形態および特徴のいずれも、別個の特許請求の範囲で、および／または本明細書に説明または描かれる任意の実施形態もしくは特徴、または添付の特許請求の範囲のいずれかの特徴との任意の組み合わせで特許請求することができる。

Claims (23)

1. システムであって、
   １つ以上のプロセッサと、
   命令を含む１つ以上のコンピュータ可読非一時的記憶媒体であって、前記命令が前記１つ以上のプロセッサによって実行されると、前記システムの１つ以上の構成要素に、
   ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別することであって、前記ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介した前記ソースマシンと前記宛先マシンの間の接続要求に対応することと、
   前記ソースサイトに関連付けられた第１のファイアウォールで前記ソースデータパケットを検査することと、
   前記ソースデータパケットにマーカでマークをして、前記第１のファイアウォールによる検査を示すことと、
   前記マークされたソースデータパケットを前記宛先サイトに伝送することと、
   前記宛先サイトで、前記ソースデータパケットが前記マーカに基づいて検査されたと決定することと、
   前記宛先サイトに関連付けられた第２のファイアウォールによる前記ソースデータパケットの検査なしに、前記ソースデータパケットを前記宛先サイトの前記宛先マシンに転送することと、を含む、動作を実行させる、１つ以上のコンピュータ可読非一時的媒体と、を備える、システム。
2. 前記動作が、
   前記宛先サイトの前記宛先マシンから前記ソースサイトの前記ソースマシンへの逆方向伝送のための確認データパケットを識別することであって、前記確認データパケットが、前記ソースデータパケットに応答して逆方向に伝送されることと、
   前記宛先サイトに関連付けられた前記第２のファイアウォールによる前記確認データパケットの検査なしに、前記宛先サイトから前記ソースサイトに前記確認データパケットを伝送することと、
   前記ソースサイトで、前記確認データパケットが前記ソースデータパケットに関連付けられていると決定することと、
   前記ソースサイトに関連付けられた前記第１のファイアウォールで前記確認データパケットを検査することと、
   前記確認データパケットを前記ソースサイトの前記ソースマシンに転送することと、をさらに含む、請求項１に記載のシステム。
3. 前記ソースデータパケットが、ＳＹＮパケットであり、前記確認データパケットが、ＳＹＮ／ＡＣＫパケットである、請求項２に記載のシステム。
4. 前記マークするステップが、
   前記ソースデータパケットに関連付けられたフローテーブルエントリを作成することをさらに含む、請求項２または３に記載のシステム。
5. 前記確認データパケットが、前記フローテーブルエントリに基づいて前記ソースデータパケットに関連付けられていると決定される、請求項４に記載のシステム。
6. 前記マーカが、前記ソースデータパケットの伝送制御プロトコル（ＴＣＰ）ヘッダのフィールドに基づく、請求項１～５のいずれか一項に記載のシステム。
7. 前記マーカが、
   リダイレクトフラグを含む、請求項６に記載のシステム。
8. 方法であって、
   ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別することであって、前記ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介した前記ソースマシンと前記宛先マシンの間の接続要求に対応することと、
   前記ソースサイトに関連付けられた第１のファイアウォールで前記ソースデータパケットを検査することと、
   前記ソースデータパケットにマーカでマークをして、前記第１のファイアウォールによる検査を示すことと、
   前記マークされたソースデータパケットを前記宛先サイトに伝送することと、
   前記宛先サイトで、前記ソースデータパケットが前記マーカに基づいて検査されたと決定することと、
   前記宛先サイトに関連付けられた第２のファイアウォールによる前記ソースデータパケットの検査なしに、前記ソースデータパケットを前記宛先サイトの前記宛先マシンに転送することと、を含む、方法。
9. 前記宛先サイトの前記宛先マシンから前記ソースサイトの前記ソースマシンへの逆方向伝送のための確認データパケットを識別することであって、前記確認データパケットが、前記ソースデータパケットに応答して逆方向に伝送されることと、
   前記宛先サイトに関連付けられた前記第２のファイアウォールによる前記確認データパケットの検査なしに、前記宛先サイトから前記ソースサイトに前記確認データパケットを伝送することと、
   前記ソースサイトで、前記確認データパケットが前記ソースデータパケットに関連付けられていると決定することと、
   前記ソースサイトに関連付けられた前記第１のファイアウォールで前記確認データパケットを検査することと、
   前記確認データパケットを前記ソースサイトの前記ソースマシンに転送することと、をさらに含む、請求項８に記載の方法。
10. 前記ソースデータパケットが、ＳＹＮパケットであり、前記確認データパケットが、ＳＹＮ／ＡＣＫパケットである、請求項９に記載の方法。
11. 前記マークするステップが、
    前記ソースデータパケットに関連付けられたフローテーブルエントリを作成することをさらに含む、請求項９または１０に記載の方法。
12. 前記確認データパケットが、前記フローテーブルエントリに基づいて前記ソースデータパケットに関連付けられていると決定される、請求項１１に記載の方法。
13. 前記マーカが、前記ソースデータパケットの伝送制御プロトコル（ＴＣＰ）ヘッダ内のフィールドに基づく、請求項８～１２のいずれか一項に記載の方法。
14. 前記マーカが、
    リダイレクトフラグを含む、請求項１３に記載の方法。
15. 命令を包含する１つ以上のコンピュータ可読非一時的記憶媒体であって、前記命令がプロセッサによって実行されると、
    ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別することであって、前記ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介した前記ソースマシンと前記宛先マシンの間の接続要求に対応することと、
    前記ソースサイトに関連付けられた第１のファイアウォールで前記ソースデータパケットを検査することと、
    前記ソースデータパケットにマーカでマークをして、前記第１のファイアウォールによる検査を示すことと、
    前記マークされたソースデータパケットを前記宛先サイトに伝送することと、
    前記宛先サイトで、前記ソースデータパケットが前記マーカに基づいて検査されたと決定することと、
    前記宛先サイトに関連付けられた第２のファイアウォールによる前記ソースデータパケットの検査なしに、前記ソースデータパケットを前記宛先サイトの前記宛先マシンに転送することと、を含む、動作を実行させる、１つ以上のコンピュータ可読非一時的記憶媒体。
16. 前記動作が、
    前記宛先サイトの前記宛先マシンから前記ソースサイトの前記ソースマシンへの逆方向伝送のための確認データパケットを識別することであって、前記確認データパケットが、前記ソースデータパケットに応答して逆方向に伝送されることと、
    前記宛先サイトに関連付けられた前記第２のファイアウォールによる前記確認データパケットの検査なしに、前記宛先サイトから前記ソースサイトに前記確認データパケットを伝送することと、
    前記ソースサイトで、前記確認データパケットが前記ソースデータパケットに関連付けられていると決定することと、
    前記ソースサイトに関連付けられた前記第１のファイアウォールで前記確認データパケットを検査することと、
    前記確認データパケットを前記ソースサイトの前記ソースマシンに転送することと、をさらに含む、請求項１５に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
17. 前記ソースデータパケットが、ＳＹＮパケットであり、前記確認データパケットが、ＳＹＮ／ＡＣＫパケットである、請求項１６に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
18. 前記マークするステップが、
    前記ソースデータパケットに関連付けられたフローテーブルエントリを作成することをさらに含む、請求項１６または１７に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
19. 前記確認データパケットが、前記フローテーブルエントリに基づいて前記ソースデータパケットに関連付けられると決定される、請求項１８に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
20. 前記マーカが、前記ソースデータパケットの伝送制御プロトコル（ＴＣＰ）ヘッダのフィールドに基づく、請求項１５～１９のいずれか一項に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
21. 装置であって、
    ソースサイトのソースマシンから宛先サイトの宛先マシンに伝送するためのソースデータパケットを識別するための手段であって、前記ソースデータパケットが、ワイドエリアネットワーク（ＷＡＮ）を介した前記ソースマシンと前記宛先マシンの間の接続要求に対応する、識別するための手段と、
    前記ソースサイトに関連付けられた第１のファイアウォールで前記ソースデータパケットを検査するための手段と、
    前記ソースデータパケットをマーカでマークして、前記第１のファイアウォールによる検査を示すための手段と、
    前記マークされたソースデータパケットを前記宛先サイトに伝送するための手段と、
    前記宛先サイトで、前記ソースデータパケットが前記マーカに基づいて検査されたことを決定するための手段と、
    前記宛先サイトに関連付けられた第２のファイアウォールによる前記ソースデータパケットの検査なしに、前記ソースデータパケットを前記宛先サイトの前記宛先マシンに転送するための手段と、を備える、装置。
22. 請求項９から１４のいずれか一項に記載の方法を実装するための手段をさらに含む、請求項２１に記載の装置。
23. コンピュータによって実行されたときに、前記コンピュータに、請求項８～１４のいずれか一項に記載の方法のステップを実行させるための命令を含む、コンピュータプログラム、コンピュータプログラム製品、またはコンピュータ可読媒体。

Images