JP4237754B2

JP4237754B2 - パーソナルリモートファイヤウォール

Info

Publication number: JP4237754B2
Application number: JP2005508382A
Authority: JP
Inventors: ラッシラ，アリ; ステンバル，ユルキ; スホーネン，ハッリ
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 2003-08-29
Filing date: 2003-08-29
Publication date: 2009-03-11
Anticipated expiration: 2023-08-29
Also published as: WO2005022838A1; EP1658700B1; JP2007516625A; HK1093824A1; US20050060328A1; EP1658700A1; DE60321834D1; US7734647B2; CN1802821A; AU2003255909A1; ATE399415T1; BR0318455A; ES2308048T3; CN100456729C

Description

本発明は、企業ネットワークへのセキュアトンネル接続上の無線接続用ルールを提供する方法及びバーチャルプライベートネットワーク（ＶＰＮ）に関する。

インターネットにアクセスするために無線ターミナルを使うという要望と実現性は、ここ数年急激に増加している。そのようなアクセスは、第３世代（３Ｇ）移動体ネットワークにより改良され、その第３世代（３Ｇ）移動体ネットワークは、世界中に導入され、又は、導入されようとしている。また、既存の移動体ネットワークも、例えば、ＧＰＲＳ（汎用パケット無線サービス）で更新されたＧＳＭ（移動体通信グローバルシステム）のように、そのようなアクセスを促進する付加的な機能で更新されている。

同時に、これらの無線ターミナルの使用を望む従業員の数は、その従業員が社外にいる場合に社内リソースにアクセスするために、連続的に増加しており、特に、遠隔作動ツール（remote working tool）として適当な機能を提供するますます力強い無線デバイスの紹介に伴い増加している。

企業ネットワークリソースへの無線アクセスの要望は、インターネットへの無線アクセスの実現性の増加と共に、社内リソースへの無線アクセス付きクライアントを提供するために設計されるバーチャルプライベートネットワーク（ＶＰＮ）の企業導入を増加させるだろう。

一般に、バーチャルプライベートネットワーク（ＶＰＮ）は、パブリックネットワーク上にセキュアで、プライベートな通信を構築するという考えである。その論理的概念のＶＰＮトンネルをプライベートネットワークに配置し、そして、そのトンネルは、２つの企業ネットワーク側を内部接続する、いわゆるサイト間ＶＰＮと、遠隔ユーザを企業ネットワークに内部接続する、いわゆるリモートアクセスＶＰＮとがある。

リモートアクセスＶＰＮにおいては、ＶＰＮゲートウェイサーバが典型的に、インターネットで企業ネットワークを内部接続する。従って、ユーザはＶＰＮゲートウェイサーバを通して企業ネットワークに接続するために、インターネットサービスプロバイダによって提供されるダイヤルアップインターネット接続を使用しても良い。ユーザは、公共ネットワーク上を接続するので、あるセキュア手段が必要とされ、典型的には、その接続の暗号化及びユーザの認証がある。ＶＰＮゲートウェイサーバがうまくクライアントと企業ＶＰＮゲートウェイ間の暗号化接続を超え、ユーザを承認した後で、そのユーザには、いわゆるセキュアＶＰＮトンネル上の企業ネットワークへのアクセスが提供される。そのトンネルを用いて、ユーザは、社内ネットワークの異なるリソースにアクセスできる。同様に、無線ネットワークを介して、インターネットアクセスを有する無線クライアントターミナルを使う場合、セキュアＶＰＮトンネルが、無線ネットワークとインターネットを通して、無線クライアントとＶＰＮゲートウェイ間に確立し、それにより、企業ネットワークリソースに無線リモートアクセスを可能にする。

述べたように、セキュアＶＰＮトンネル接続上の企業ネットワークへのアクセスは、接続の暗号化とアクセスユーザの認証を意味する。しかし、一旦セキュアトンネル接続が確立すると、そのトンネル内に、ユーザ特定アクセスルールは存在しない。代わりに、そのトンネルは、無線クライアントに、全ての認証されたアクセスユーザのために絶えず開かれた全てのＴＣＰポートを使用することを可能にする。

全ての認証ユーザのために、セキュアトンネル接続内に、絶えず開かれたＴＣＰポートを有することは、多くの従業員が無線クライアントターミナルを用いて、企業ネットワーク内のあるアプリケーションにのみアクセスを必要とするという事実に則していない。さらに、幾人かの従業員は、ある企業アプリケーションにアクセスするために認証すらされないかもしれない。それゆえ、セキュアＶＰＮトンネル内の企業ネットワークにアクセス可能などの範囲の無線クライアントを、企業に制御可能にする単純な方法による設計を提供することが望まれる。

本発明は、企業ネットワークへの異なるユーザによって許可されるアクセスタイプを区別できるファイヤウォール機能でＶＰＮゲートウェイを提供する。

本発明によれば、この機能は、独立請求項１による方法と、独立請求項１２によるバーチャルプライベートネットワーク・ゲートウェイサーバによって達成される。好適な実施例は、その従属請求項によって規定される。

本発明に基づくアイデアは、企業ネットワークに無線リモートアクセスを提供することであり、その企業ネットワークは、異なる遠隔ユーザのための異なるアクセス設定を有するファイヤウォール機能によって保護される。

本発明によれば、ＶＰＮゲートウェイサーバは、セキュアトンネルを用いて、企業ネットワークへアクセスする各ユーザ用の特定ルールを提供するユーザデータベースを含んでいる。そのルールは、それぞれの特定ユーザに関係するＴＣＰポートの特定セットを含んでいる。ゲートウェイサーバは、企業ネットワークに対し認証されたユーザを、関係する許可ＴＣＰサーバポートに対し、ゲートウェイサーバによって提供されるトンネル接続の手段で実行されるアクセスを制限する。

従って、認証ユーザに、セキュアトンネル内に利用可能なＴＣＰサーバポートを使用することを許可することよりむしろ、本発明によるＶＰＮゲートウェイのファイヤウォール機能は、ユーザデータベース内のユーザに関係するＴＣＰサーバポートを用いてセキュアトンネル手段により、ユーザに企業ネットワークにアクセスすることを許可する。これは、異なるユーザによって許可される企業ネットワークへのアクセス種類を区別することが出来ることを意味する。例えば、あるユーザは、セキュアトンネル内で、全ての利用可能なＴＣＰポート又はソケットを使用することを許され、従って、企業ネットワークにおける様々な種類のアプリケーションと遠隔でインタラクションするオプションが与えられる。同時に、別のユーザは、企業ネットワーク内の電子メールサーバに遠隔でインタラクションするためのＴＣＰサーバポートを使用することのみ許されるかもしれない。

セキュアトンネルは、ゲートウェイサーバの特定ＴＣＰサーバポートに好ましくは結び付けられ、一方で、セキュアトンネル内の実際のユーザトラフィック用の許可ＴＣＰサーバポートは、ユーザデータベース内で事前設定される。トンネルそれ自身のためのＴＣＰサーバポートは、ユーザのアプリケーションで事前設定される。

好ましくは、企業ネットワークへのユーザのアクセスは、２つの分かれたＴＣＰセッションを含む。１つは、ユーザの無線クライアントターミナルとゲートウェイサーバとの間の暗号化接続の形式におけるＶＰＮトンネルで、１つは、ゲートウェイサーバと企業ネットワークのバックエンドサーバとの間のセッションである。後者のＴＣＰセッションにおいては、ゲートウェイサーバは、許可ＴＣＰサーバポートにより定義されるサーバソケットに対するクライアントとして作動する。

ユーザデータベースは、トンネル接続上の企業ネットワークへのユーザアクセスを制御及び改良する様々な有利な方法で設定される。これらの可能性のある設定の幾つかは、後述する。

好ましくは、ユーザデータベースは、特定ユーザの許可ＴＣＰサーバポート番号を、企業ネットワーク内に関係付ける。このように、同じ良く知られたソケットを用いて、又は、同じポートプロトコルに関係する異なるクライアントのユーザデータを用いてのどちらかである、同じポートプロトコルを用いて、異なるクライアントのユーザデータは、企業ネットワーク内の異なる宛先ＩＰアドレスに転送される。それから、これらの宛先は、同じアクセスプロトコルを用いて、異なるユーザ用のアクセス可能なサービスとアプリケーションを区別するように使用される。

ユーザデータベースは、クライアント側ＴＣＰサーバポートを、企業ネットワーク内のサーバ側ＴＣＰサーバポートと企業ＤＮＳサーバのＩＰアドレスに関係付けるように有利に設定される。これは、問題となるクライアントに、トンネル接続内の企業ＤＮＳサービスを使用することを可能にする。

特定ユーザに関係するトンネル内の許可ＴＣＰサーバポートのセットは、ユーザが認証された後で、ユーザに送信されるのが好ましい。このように、クライアントがこれらの許可ＴＣＰサーバポートの情報を事前設定していない場合、ユーザは、トンネル内で使用が許されるＴＣＰサーバポートが何であるか通知される。また、それは、トンネル接続を用いる前に、クライアントを事前設定せずに、ユーザデータベース内のＴＣＰポートを変更することを可能にする。

クライアントにより使用が許されるＴＣＰサーバポートは、良く知られたソケットのポートか、任意のポートかのどちらかである。任意のＴＣＰサーバポートが使用される場合では、本発明の実施例は、認証後にＴＣＰサーバポートと共にクライアントに送信されるポート特定プロトコルを、許可ＴＣＰサーバポートに関係付けるデータベースを提供する。

上述した本発明、本発明の更なる特徴、利点は、本発明の多くの実施例を示す以下の記述によりさらに十分に理解されるだろう。理解されるように、発明の精神及び範囲内から生じる様々な改良、変形及び異なる組合せは、ここで説明される一般的な調査及び次の詳細な説明を調査するとき、当業者には明確となるであろう。

本発明の実施例は、関連する図を参照して述べられる。

図１を参照して、本発明は、より詳細に述べられる。図１は、典型的にはイントラネットである企業ネットワーク２０と、インターネットと内部接続するバーチャルプライベートネットワーク（ＶＰＮ）ゲートウェイサーバ１０を表す。ユーザの無線クライアントターミナル４０は、無線ネットワーク５０を介してインターネットにアクセスするように表される。

ＶＰＮゲートウェイサーバは、企業ネットワーク２０にアクセスする異なるユーザ特定ルールで異なるユーザを関係付けるように設定されるユーザデータベース１５を含む。そのユーザデータベースは、ＶＰＮトンネル接続手段で、企業ネットワークアクセスするとき使用することが許されるＴＣＰサーバポートの異なるセットで、異なるユーザを関係付けることによるユーザ特定ルールを提供する。

ＶＰＮゲートウェイサーバ１０は、無線クライアントターミナル４０を用いて、セキュアＶＰＮトンネルを提供する１つの特定ＴＣＰサーバポートを使うように設定されている。そしてそのセキュアＶＰＮトンネルと共に、ユーザは、企業ネットワーク２０にアクセスする。無線クライアント４０とゲートウェイサーバ１０の間のＳＳＬ（セキュアソケットレイヤ）暗号化接続を、無線クライアント４０が、自分のセッション（own session）として開始するために、この特定ポートを使うとき、トンネルが生成される。このセッションは、ゲートウェイサーバで終わりにする。ゲートウェイサーバ１０と企業ネットワーク２０のバックエンドサーバ間のさらなる接続は、新しく、暗号化されてない別のＴＣＰセッションによって提供される。

従って、企業ネットワーク２０のバックエンドサーバへのユーザのアクセスは、クライアント４０とゲートウェイサーバ１０の間の特定ＴＣＰセッション、及び、ゲートウェイサーバ１０とクライアントとして行動するゲートウェイサーバと共にバックエンドサーバ間の付加的なＴＣＰセッションによって提供される。

ＶＰＮゲートウェイサーバ１０は、さらに、ＶＰＮトンネルに接続するユーザを認証する認証手段１１、トンネルの中に認証されたユーザのアクセスを制限するポートフィルタリング手段１２、及び、認証ユーザに許容されたＴＣＰサーバポートのセットを送信する送信手段１３を含める。

当業者は、ユーザデータベース１５、認証手段１１、ポートフィルタリング手段１２、及び、送信手段１３は、全て、よく知られた、メモリ、インタフェース回路、マイクロプロセッサ、を含む最先端のハードウェア回路によって実装され、それらは、本発明に従って作動するように設定され、制御されることを十分理解するだろう。マイクロプロセッサは、メモリにロードされるプログラム命令を実行し、そしてそれは、本発明の様々な実施例に従って構成され作動するハードウエア回路をもたらす。これらのプログラム命令の設計は、現在の応用の内容を習得した後、プログラミングの当業者により十分に理解されるだろう。

図１を再び参照し、実施例を記載する。図１では、ユーザデータベース１５における例証する設定が示され、それは、ポート８０、１１０、及び、２５からなる許可されるＴＣＰポートセットを、ユーザＸに関係付ける設定である。これらのポートは、それぞれ、ＨＴＴＰ（ハイパーテキスト・トランスポート・プロトコル）、ＰＯＰ３（ポストオフィスプロトコル−バージョン３）及びＳＭＴＰ（シンプル・メール・トランスファー・プロトコル）用のソケットとして、当業者には知られている。同様に、ユーザＹは、許可されたＴＣＰポート１１０と２５のみに関係付けられ、一方、ユーザＸは、メールサーバアクセスに加えて、企業ネットワーク内のウェブアプリケーションにアクセスすることが許可される。

無線クライアント４０は、ゲートウェイサーバにより提供されるＶＰＮトンネルにアクセスするように設定されるクライアントアプリケーションを含む。トンネルにアクセスするために、クライアントは、ＶＰＮゲートウェイサーバのＩＰアドレス、及び、トンネルの特定ＴＣＰサーバポートに接続する。トンネル用ＴＣＰサーバポートは、例えば、ポート８３であるなら、クライアントアプリケーションは、ＶＰＮトンネルにアクセスするとき、ＴＣＰサーバポート８３に接続するように事前設定される。

図１に示される実施例の動作を述べる。本発明によれば、ユーザデータベース１５は、第１に、ＶＰＮトンネルを用いたＴＣＰサーバポートアクセスのためのユーザ特定ルールに設定される。上述のように、この設定は、異なるユーザに異なる許可ＴＣＰサーバポートセットを関係付けることを含む。この実施例において、ユーザデータベースの結果として生じる設定は、上述され、かつ、図１にも示される。

ユーザが企業ネットワークにアクセスするとき、ユーザは、ＶＰＮトンネルのＴＣＰサーバポート、即ち、この例ではポート８３、無線クライアント４０とＶＰＮゲートサーバ１０を使用する。クライアント４０とＶＰＮゲートウェイサーバ１０間のＳＳＬ暗号化された接続を開始するこのポートを用いることで、セキュアＶＰＮトンネルが生成される。それから、ＶＰＮゲートウェイサーバ１０は、トンネルのＴＣＰサーバポート８３へのＴＣＰ／ＩＰ接続上の無線クライアント４０から、ユーザにより送信されるユーザ認証とパスワード情報に基づいて、ユーザを認証する。それから、ユーザが認証されたとき、ＶＰＮゲートウェイサーバは、ユーザデータベース１５から特定ユーザに関係する許可ＴＣＰサーバポートを取り出す。それから、ＶＰＮサーバ１０は、クライアントセッション番号と特定許可ＴＣＰサーバポート、例えば接続ユーザが上記ユーザＸならポート８０、１１０及び２５を、無線クライアントアプリケーションに戻す。これらのＴＣＰサーバポートは、トンネルで許可されるポートのみである。

ＶＰＮゲートウェイサーバ１０から、許可ＴＣＰサーバポートを取り戻した後、無線クライアント４０は、開いたセキュアトンネルで使用するプロトコルが何であるか認識する（もし、許可ＴＣＰポートが良く知られたソケットでないなら、サーバ１０は、許可されたＴＣＰポートと共に使用するプロトコルを、クライアントに送信もするだろう）。ユーザは、許可ＴＣＰポートに関連して、使用可能なプロトコルに対応するプロトコルを要求するアプリケーションを用いることをすぐに開始する。典型的には、クライアントアプリケーションは、クライアント側のＴＣＰポートを開け、そして、許可されたサーバ側ＴＣＰポートに接続されるトンネルの中に、要求（request）を送信する。例えば、ユーザＸは、クライアント側ポート１０７７を開け、許可されたサーバ側ＴＣＰポート８０に接続されることを要求するウェブブラウザアプリケーションを使用する。クライアントは、この接続要求を、トンネル内のソケットに、即ち、サーバサイドポート８３への確立した接続を介してルート付けする。全てのクライアントは、異なるソケットへの接続のためのクライアント要求は、同じ方法で、同じ開いたサーバソケット接続、即ち、ＳＳＬ暗号化セキュアトンネルのＴＣＰサーバ側ポート８３を介して、ルート付けされる。

セキュアトンネル内で、無線クライアントからデータを受信するとすぐ、ゲートウェイサーバ１０は、そのデータを解読し、ユーザＸがトンネル内でＴＣＰサーバポート８０を許可されるかどうか、データベースでチェックする。ユーザが許可されると、ゲートウェイサーバ１０は、クライアントとして行動し、企業ネットワークの中でウェブアプリケーション・サーバ処理をホストするバックエンドサーバのＴＣＰポート８０への接続によって、新しく分割したＴＣＰセッションを確立する。ゲートウェイサーバ１０は、それから、解読したユーザデータをこの分割ＴＣＰセッション上に転送する。

ユーザＹが企業ウェブブラウザアプリケーションを起動したい場合を考える。この設定によれば、ゲートウェイサーバ１０は、企業ネットワークへのこの種のアクセスからユーザＹを防止する。ユーザＹがトンネル内のポート８０への接続要求をルート付けする場合、受信データの解読後、ゲートウェイサーバは、ユーザＹが要求ＴＣＰサーバポートを使うことを許可されないことを発見する。それゆえ、ゲートウェイサーバ１０は、バックエンドサーバのポート８０へのいかなるＴＣＰセッションを確立せず、そして、企業ネットワークへ転送されるデータは無い。しかし、ユーザＹが企業ネットワーク内のメールサーバにアクセスしようとする場合、そのようなアクセスは、トンネル（ポート２５及び１１０）内のユーザＹによる使用を許可されるＴＣＰサーバポートを含めたので、そのようなアクセスは、ゲートウェイサーバ１０によって提供されただろう。従って、ゲートウェイサーバ１０は、ユーザＹのアクセスを企業ネットワークに制限する。

図２を参照して、本発明の別の実施例を説明する。この実施例では、ユーザデータベースは、企業ネットワークへのアクセス用付加的ユーザ特定ルールを提供する。ＶＰＮトンネルへのアクセスの設定は、図１を参照して既に説明したものに対応する。さらに、図１の構成要素の設計と動作に対応する図２の設計と動作を有する全ての構成要素は、図１で使用された同じ参照符号で示される。

ユーザに関係付けられる許可ＴＣＰサーバポートは、この実施例では、許可クライアント側ＴＣＰサーバポートであり、ユーザデータベース２５におけるそのサーバポートは、各サーバ側サーバポートに関係付けられる。許可されたクライアント側ＴＣＰサーバポートへの接続用ＶＰＮトンネルを越えて要求を受信する場合、ゲートウェイサーバ１０は、関係付けられるサーバサイド側ＴＣＰサーバポートへの接続により新しいＴＣＰセッションを確立する。セキュアトンネルで受信され、行き先として許可されたクライアント側ＴＣＰサーバポートを有するユーザデータは、それから、関係付けられるサーバ側ＴＣＰサーバポートへ転送される。

加えて、各ユーザのクライアント側ＴＣＰサーバポートは、ＩＰアドレスと関係付けられ、異なるユーザの同じクライアント側ＴＣＰサーバポート番号に、異なるＩＰアドレスを関係付けることを可能にする。

図２は、ユーザＸとＹを含む実証する構成を表す。再び、企業ネットワーク上のアプリケーションは、これらの番号、即ち、ＳＭＴＰプロトコル用のポート２５、ＰＯＰ３プロトコル用のポート１１０、ＨＴＴＰプロトコル用ポート８０、ドメイン名称サーバアプリケーション用ポート５３を使用する。図２における構成と共に、ユーザＸは、異なるＩＰアドレスを有する異なるメールサーバアプリケーションを使うために、クライアント側ＴＣＰサーバポート２５、２６、１１０、及び、１１２を使用することが許可される。

ユーザＸを認証するとすぐに、ＶＰＮゲートウェイサーバは、許可されたクライアント側ＴＣＰサーバポートを、セキュアトンネル上をユーザＸに動かされる無線ターミナル４０へ送信する。それから、ユーザＸは、何のプロトコルが使用されるべきかを認識する。ポート番号が良く知られた（well known）ソケットで無い場合、ゲートウェイサーバも、ユーザに、特定ポートに使用されるポート特定プロトコルを送信する。代わりに、無線クライアントは、様々なポート番号と一緒に使用される何かのプロトコルと共に事前設定される。

図２における、ユーザデータベース２５の設定から、トンネル内のＰＯＰ３プロトコルと一緒に異なるクライアント側ＴＣＰサーバポート１１０及び１１２を使用することで、ユーザＸは、企業ネットワーク上の２つの異なるＩＰアドレス１０．１１４．２．１及び１０．１１４．２．２に属する、２つの異なるＰＯＰ３サーバ処理にアクセスが許されることがわかる。図２に示されるように、クライアント側ＴＣＰサーバポート１１０を用いて、ユーザＸからのセキュアトンネル内のトラフィックは、企業ネットワーク内のＩＰアドレス１０．１１４．２．１及びサーバサイドＴＣＰポート１１０へのＴＣＰ接続上を転送される一方で、クライアント側ＴＣＰサーバポート１１２を用いたトラフィックは、ＩＰ１０．１１４．２．２及びサーバサイドＴＣＰポート１１０上のＴＣＰコネクションに転送される。

他方では、ユーザＹは、クライアント側ＴＣＰサーバポート２５及び１１０を使用することが許可される。従って、企業ネットワークへのユーザＹのメールサーバは、ＩＰアドレス１０．１１４．２．２を有するメールサーバによってＰＯＰ３及びＳＭＴＰに使用されるサーバ側ＴＣＰサーバポートに制限される。従って、２つの異なるユーザの同じクライアント側ＴＣＰサーバポート番号、即ち、ポート番号１１０は、ここで、同じサーバ側ＴＣＰポート番号に関係付けられるが、異なるＩＰアドレスに関係付けられる。このように、ゲートウェイサーバは、異なる宛先ＩＰアドレスのサーバ側ＴＣＰポートに、同じ通信プロトコルを使用する異なるユーザから、ユーザデータを転送することが出来る。

ユーザＸは、企業ネットワーク内のウェブアプリケーションとドメインネームサーバの各サーバ側ＴＣＰポートに関係付けられるクライアント側ＴＣＰサーバポート８０及び５３をも使用することが許される。ユーザＹは、ウェブアプリケーション又はドメインネームサーバ用のサーバ側ポートに関係付けられるクライアント側ポートを有さない。従って、企業ネットワークへのユーザＹのアクセスは、メールサーバアクセスのみに制限される。

本発明の異なる実施例の上記の詳細な説明は、例示のみによって与えられ、それゆえ、発明の範囲を制限する意図はなく、発明の範囲は、請求の範囲で定義されることに注意すべきである。相違する上述の実施例の特徴は、添付の請求の範囲内に収まる新しい実施例を生じるように好適にも組み合わされることを特に注意すべきである。

さらに、添付の請求の範囲、及び、ここで一般的に説明される精神及び範囲内に収まる他の変更及び変形は、請求項及び詳細な説明を調べる当業者には明白であることを考慮すべきであろう。

本発明の実施例が含まれ、動作可能なシステム環境全体を概略的に例示する図である。本発明の別な実施例が含まれ、動作可能なシステム環境全体を同じく概略的に例示する図である。

Claims

企業ネットワーク（２０）へのセキュアトンネル接続上の無線アクセス用ルールを提供するバーチャル・プライベート・ネットワークゲートウェイサーバ（１０）の方法において、
前記セキュアトンネル接続上の前記アクセス用ユーザ特定ルールを提供するために、前記バーチャル・プライベート・ネットワークゲートウェイサーバのユーザデータベース（１５、２５）を設定する設定ステップと、
前記セキュアトンネル接続に接続するユーザを認証するステップと、
前記企業ネットワーク（２０）への前記認証ユーザのアクセスを制限する制限ステップと、
を含み、
前記設定ステップは更に、別個の特定ユーザと対応する許可ＴＣＰサーバポートの各セットとを関係付けるステップを含み、
前記制限ステップは、前記ユーザデータベース（１５、２５）における前記ユーザに関係する許可ＴＣＰサーバポートの前記セットに含まれるポートを宛先として有する前記セキュアトンネルで受信したユーザデータのみを転送するステップによって行われ、
特定ユーザに関係する前記許可ＴＣＰサーバポートは許可クライアント側ＴＣＰサーバポートとし、前記設定ステップは許可クライアント側ＴＣＰサーバポートとサーバ側ＴＣＰサーバポートとを関係付けるように前記ユーザデータベース（２５）を設定し、
前記方法は、前記セキュアトンネルで受信したユーザデータを許可クライアント側ＴＣＰサーバポートと関係するサーバ側ＴＣＰサーバポートへ別のＴＣＰ接続を介して転送するステップであって、該ＴＣＰ接続において前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）はクライアントとして動作するステップを含み、
前記設定ステップは、特定ユーザと関係する別個の許可クライアント側ＴＣＰサーバポートと同一のサーバ側ＴＣＰサーバポート及び対応する別個のＩＰアドレスとを関係付けるように前記ユーザデータベース（２５）を設定するステップを含み、
前記方法は前記セキュアトンネルで受信したユーザデータを、許可クライアント側ＴＣＰサーバポートと関係するＩＰアドレスへ転送するステップを含む
方法。
前記セキュアトンネルを、前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）の特定ＴＣＰサーバポートに結び付けるように設定するステップを含む請求項１に記載の方法。
前記設定ステップは、別個の許可クライアント側ＴＣＰサーバポートを、対応するＩＰアドレスを有する別個の電子メールサーバのサーバ側ＴＣＰサーバポートに関係付けるように、前記データベース（２５）を設定するステップを含む請求項１又は２に記載の方法。
前記設定ステップは、許可クライアント側ＴＣＰサーバポートを、前記企業ネットワーク内のサーバ側ＴＣＰサーバポート及び企業ＤＮＳサーバのＩＰアドレスに関係付けるように前記データベース（２５）を設定するステップを含む請求項１〜３のいずれか一項に記載の方法。
前記ユーザデータベース（１５、２５）において前記認証ユーザに関係する許可ＴＣＰサーバポートの前記セットを、前記セキュアトンネルを介して前記認証ユーザに送信するステップを含む請求項１〜４のいずれか一項に記載の方法。
前記設定ステップは、許可ＴＣＰサーバポートと共に前記認証ユーザに送信されるポート特定プロトコルを該許可ＴＣＰサーバポートに関係付けるように前記ユーザデータベース（１５、２５）を設定するステップを含む請求項５に記載の方法。
企業ネットワーク（２０）へセキュアトンネル接続上の無線アクセス用ルールを提供するバーチャル・プライベート・ネットワークゲートウェイサーバ（１０）において、
前記セキュアトンネル接続上の前記アクセス用ユーザ特定ルールを提供するユーザデータベース（１５、２５）と、
前記セキュアトンネル接続に接続するユーザを認証する認証手段（１１）と、
前記企業ネットワーク（２０）に前記認証ユーザのアクセスを制限するポートフィルタリング手段（１１）と、
を含み、
前記ユーザデータベース（１５、２５）は、別個の特定ユーザと対応する許可ＴＣＰサーバポートの各セットとの関係を記憶し、
前記の認証ユーザのアクセス制限は、前記ユーザデータベース（１５、２５）における前記ユーザに関係する許可ＴＣＰサーバポートの前記セットに含まれるポートを宛先として有する前記セキュアトンネルで受信したユーザデータのみを転送するステップによって行われ、
特定ユーザと関係する前記許可ＴＣＰサーバポートは許可クライアント側ＴＣＰサーバポートとし、前記ポートフィルタリング手段は更に、前記セキュアトンネルで受信したユーザデータを許可クライアント側ＴＣＰサーバポートと関係するサーバ側ＴＣＰサーバポートへ別のＴＣＰ接続を介して転送するようになっており、該ＴＣＰ接続において前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）はクライアントとして動作し、
前記ユーザデータベース（２５）は、特定ユーザと関係する別個の許可クライアント側ＴＣＰサーバポートと同一のサーバ側ＴＣＰサーバポート及び対応する別個のＩＰアドレスとを関係付け、
前記ポートフィルタリング手段は、前記セキュアトンネルで受信したユーザデータを許可クライアント側ＴＣＰサーバポートと関係するＩＰアドレスへ転送するようになっている
ゲートウェイサーバ。
前記セキュアトンネルは、前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）の特定ＴＣＰサーバポートに結び付けられる請求項７に記載のゲートウェイサーバ。
前記ユーザデータベース（２５）は、別個の許可クライアント側ＴＣＰサーバポートを、対応するＩＰアドレスを有する別個の電子メールサーバのサーバ側ＴＣＰサーバポートに関係付ける請求項８に記載のゲートウェイサーバ。
前記ユーザデータベース（２５）は、許可クライアント側ＴＣＰサーバポートを、前記企業ネットワーク内のサーバ側ＴＣＰサーバポート及び企業ＤＮＳサーバのＩＰアドレスに関係付ける請求項７〜９のいずれか一項に記載のゲートウェイサーバ。
前記セキュアトンネル上を、前記ユーザデータベース（１５、２５）において前記認証ユーザに関係する許可ＴＣＰサーバポートの前記セットを送信する送信手段を含む請求項７〜１０のいずれか一項に記載のゲートウェイサーバ。
前記ユーザデータベース（１２、２５）は、ポート特定プロトコルを許可ＴＣＰサーバポートに関係付け、前記送信手段は、前記認証ユーザへの前記許可ＴＣＰサーバポートと共に前記ポート特定プロトコルを送信するようになっている請求項１１に記載のゲートウェイサーバ。
企業ネットワーク（２０）、
前記企業ネットワーク（２０）へセキュアトンネル接続上の無線アクセスを提供する請求項７〜１２のいずれか一項によるバーチャル・プライベート・ネットワークゲートウェイサーバ（１０）、及び、
少なくとも１つの無線クライアントターミナル（４０）を含み、
前記クライアントターミナルは、前記トンネル接続上の前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）に接続するとき、特定ユーザと関係する特定ＴＣＰサーバポート及びＩＰアドレスを使用するように、かつ、前記企業ネットワーク（２０）にアクセスするとき前記トンネル接続内のＴＣＰサーバポートの特定セットを使用するように設定されるバーチャル・プライベート・ネットワークシステム。
前記無線クライアントターミナル（４０）は、前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）に送信される認証メッセージに応答して前記バーチャル・プライベート・ネットワークゲートウェイサーバ（１０）から、前記トンネル接続内で使用されるように特定ユーザと関係する前記ＴＣＰサーバポートを受信するように設定される請求項１３に記載のシステム。