JP4589405B2 - クライアント援用ファイヤウオール構造 - Google Patents

Description

以下の記述は、一般的にデータ通信に関し、特に、ファイヤウオールの構造及びネットワークトラフィックの低減に関する。

ファイヤウオールは、無権限のアクセス及び悪意のアタックからネットワークを保護するためのセキュリティ装置である。このような無権限のアクセスは、センシティブな情報或いはネットワーク機能の混乱を得るためのものである。従来のファイヤウオールは、ネットワークを２つの部分、すなわち、ファイヤウオールの後ろ側の内部及びファイヤウオールの外側の外部に分割する。無権限のアクセスに対して保護をするために、ファイヤウオールはパケット及びセッションを検査することができ、そのようなパケット及びセッションが意図された宛先へ送信されたものであるか、それらがブロックされるべきか或いはドロップされるべきかを決定する。

ファイヤウオールは、一般的にエントリのポイントに位置し、トラフィックを所定の基準と比較することによって入力トラフィックをスキャンする。所定の基準に適合しないトラフィックはブロックされあるいは破棄される。所定の基準は、所望の保護の度合い及び許容度である複雑性に依存する他のパラメータと同様に、ポート番号、アプリケーションＩＤ、ソース、宛先、内容フィルタ、ＩＰアドレス、機械名及びＴＣＰ／ＩＰフラグのようなパラメータを含む。パケットを通過させ、或いは拒絶するかどうかの決定を行なうために、一致させられるパラメータの数は、保護の細分性(granularity)を確立する。粗い(coarse)細分性を有するファイヤウオールは、意図的ではなく偶然に所望の入力トラフィックをブロック可能である。何故ならば、このようなトラフィックは望まれていない行為であるからである。一方、当該ファイヤウオールは、同時に、望まれていないトラフィックに対して保護を行なうためには十分ではない
セキュリティポリシーは、中央点でのネットワーク管理者によって定義され、及び／又は実施される。異なるユーザが異なるネットワークアクセス選択及び必要性を有しようとも、ユーザは、彼らの端末について、どのトラフィックがイネーブルされ及び／又はディスエーブルされるかを選択することはできない。異なるユーザは、異なる種類のトラフィックフローを採用したがる。これらフローは、ネットワークのセキュリティポリシーによって影響を受ける。例えば、あるユーザが特定の伝送制御プロトコル（ＴＣＰ／ＩＰ）ネットワークアドレスからの伝送をブロックしたい一方、他のユーザがそれら伝送を受信したい場合である。あるユーザがネットワークの特定のサブネットアドレスからの伝送を欲するのに対して、他のユーザがネットワークアドレスからの全ての伝送を欲している場合である。他のユーザが特定のポート或いはアプリケーション向けのメッセージトラフィックを欲するのに対し、異なるユーザが全ての入力接続のブロックすることを欲し、出力接続のみを許可する場合である。

ファイヤウオールはゲートキーパとして動作する。各装置のローカルなファイヤウオールは各端末或いはモバイル装置周辺のファイヤウオールに位置する。この状況において、承認されていないパケットは、パケットが端末或いはモバイル装置に到達するまでドロップされない。したがって、ネットワーク帯域、これは無線ネットワークにおいて重要なものであるが、が浪費される。何故ならば、パケットがすでにパケットを伝送するために必要路される無線リソースを消費しているからである。これら消費されたリソースは、他の接続に割り当てることにより利用することの方が良い。浪費されたリソースは、メッセージ伝送を増大させることによってユーザコストを増大させ、無線リンクでパケットを伝送するのに利用されるリソースにより、全体のスループットを低減する。

他の不備と同様に、前述のことを解消するために、必要とされることはネットワークトラフィックを低減するために装置への伝送の前に欲しない或いは意図しないパケットをブロックするための技術である。さらに必要とされることは、装置に１つ以上のファイヤウオールのポリシーを動的に改良する能力を与え、特定のパケット、送り側、及び／又は他のパケットの基準を特定することを装置に可能とさせることである。構成されたファイヤウオールは通信エンドポイント或いは装置から遠方であることも可能である。通信の間に自動的にファイヤウオールポリシーを取り消す能力が、さらに保護を提供するために必要とされる。

［概要］
以下、このような実施の形態のいくつかの観点の基本的な理解を提供するための１つ以上の実施の形態の簡略化された概要を呈示する。この概要は、１つ以上の実施の形態の広範囲の概観ではなく、本実施の形態のキー或いは基準要素、或いはこのような実施の形態の観点を描写するものでもない。この目的の役割は、序文として単純化された形式で述べられた実施の形態のいくつかのコンセプトを、後に呈示されるより詳細な記述に呈示することにある。

１つ以上の実施の形態及びそれに対応する開示においては、種々の観点がファイヤウオールを構成すること及び／又はネットワークトラフィックを低減することに関連して述べられる。実施の形態によれば、ファイヤウオールを構成し、欲しないネットワークトラフィックを低減する方法がある。この方法は、ネットワークファイヤウオールとネットワーク接続を確立すること及びネットワークトラフィックを管理するためにネットワークファイヤウオールと通信することを含む。実施の形態によれば、方法はパッシブソケット情報が生成されたかを検出すること、ネットワークソケットへ指示されるフローを許可するための要求をすることを含む。ある実施の形態においては、方法はウエブサーバをクローズすることと、パッシブソケットを破壊することを含む。ファイヤウオールは破壊されたパッシブソケット情報にコンタクトされ、破壊されたパッシブソケットへ指示される拒絶フローへ要求を送る。パッシブソケットがクローズしている場合、方法は自動的にパッシブソケットへ指示されるフローを許可するためにファイヤウオールへの要求を取り消す。

他の実施の形態によれば、破壊され或いは終了したセッションから自動的に回復するホストのための方法がある。この方法は、少なくとも１つのオープンソケットへ指示されるパケットの遷移を許可する遠隔ファイヤウオールを要求すること及び破壊されたセッションを検出すること、少なくとも１つのオープンソケットへ指示されるパケット要求を取り消すことを含む。この方法は、さらに、新たなセッションを再確立すること、所望のフローの遷移を要求することを含む。ある実施の形態では、少なくとも１つのオープンソケットへ指示されるパケットを要求することは現在のオープンソケットのリストを生成することを含む。

他の実施の形態によれば、ネットワークファイヤウオールを構成するモバイル装置がある。このモバイル装置は、トラフィックを低減するためのファイヤウオールを構成することに関連する情報を解析するプロセッサ及びプロセッサに動作可能に接続されたメモリを含む。さらに、このモバイル装置は、外部リソースと通信を確立する確立器、外部リソースからの受信したパケットに関連付けられたパラメータを指示する指示器を含み、ファイヤウオールに対してパラメータの通信を行なう。さらに、モバイル装置に含まれるものは、少なくとも１つのパラメータについての遷移の取り消しを要求する無効器である。ある実施の形態においては、モバイル装置は、少なくとも１つのポリシー更新でファイヤウオールと通信を行なう送信器と、ファイヤウオールからのポリシーのアックノレッジ或いは拒否を受信する受信器を含む。

他の実施の形態によれば、ネットワークトラフィックを低減する装置がある。この装置は、少なくとも１つのファイヤウオールを検出する手段、少なくとも１つのファイヤウオールと通信をする手段及び前記少なくとも１つのファイヤウオールに関連付けられたポリシーを直接更新する手段を有する。この装置は、さらに、パッシブソケットのリストを検査する手段或いは所望の入力フローを特定する手段を含む。

さらなる実施の形態によれば、ネットワーク接続を確立し、確立されたネットワーク接続に関連付けられたパッシブソケットを検出するためのコンピュータ実行可能な命令を有するハンドセットのコンピュータ読み取り可能な媒体である。この命令は、さらに、ファイヤウオールとコンタクトすること及びファイヤウオールにパッシブソケットへ指示されるフローを許可するためのファイヤウオールを要求することを含む。ある実施の形態によれば、命令はネットワーク接続を終了すること、パッシブソケットを破壊すること、ファイヤウオールとコンタクトすること及び破壊されたパッシブソケットへの指示されたフローを拒絶するためにファイヤウオールを要求する。

他の実施の形態によれば、ファイヤウオールポリシーを直接更新する命令を実行するハンドセットのプロセッサである。この命令は、少なくとも１つのファイヤウオールを検出すること、少なくとも１つのファイヤウオールと通信をすること及び少なくとも１つのファイヤウオールに関連付けられたポリシーを直接更新することを含む。プロセスは、さらに、セッションが破壊されたときと実質的に等しい時間でのポリシーを自動的に取り消す命令を含む。

他の実施の形態によれば、ファイヤウオールを直接構成するハンドセットである。ハンドセットは、ファイヤウオールに対するセッションを確立する初期化器、少なくとも１つのフローを指示し、少なくとも１つのフローをファイヤウオールと通信する指示器及び少なくとも１つのフローの遷移を取り消す無効器を含む。ある実施の形態によれば、指示器は少なくとも１つのパケットの遷移を取り消すことができ、１つ以上の送信側からのパケットの要求を廃止でき、少なくとも１つのパケットパラメータに基づく自動的な遷移を取り消し、或いはユーザ入力に基づく遷移を取り消す。

前述及び関連する結末の達成のために、１つ以上の実施の形態は後に充分に述べられる特徴、特に、請求の範囲において指摘される特徴を有する。以下の記述及び付加された図面は所定の図示可能な観点をより詳しく明らかにし、本実施の形態の原則が利用される種々の少ない方法が示であるがここで用いられる。他の利点及び新規な特徴は、関連する図面を考慮した場合に以下の詳細な記述から明らかになり、開示された実施の形態がそのような全ての観点及びそれらの均等物の全てを含むことが意図される。

［関連出願のクロスリファレンス」
本願は、２００４年１２月２１日に出願され、名称”クライアント援用ファイヤウオール構造”の米国仮出願番号60/638,271の利益を要求し、これら全体は参照されることにより本明細書に含まれる。

［用語集］
ファイヤウオール−ネットワークに入り或いは去るための"セキュリティポリシ”を満たすパケットのみを許可する。

ホスト−パケット移送媒体としてのネットワークを利用するネットワークノード。ホストは一般的にハンドセット或いはイネーブルされた無線コンピュータである。

フロー−２つの別個のエンティティ間のパケットの双方向変換
種々の実施の形態が図面を参照して説明される。以下の記述では、説明の目的のために、１つ以上の観点の完全な理解を提供するために、多くの特定の詳細が明らかにされる。しかしながら、このような実施の形態は、これら特定の詳細なしで実施されることの証拠である。他の事例では、有名な構造及び装置がこれら実施の形態を述べることを容易にするためにブロック図において示される。

本出願において使用されているように、用語”コンポーネント”、”モジュール”、”システム”などはコンピュータ関連エンティティに関連することを意図し、ハードウェア、ファームウェア、ハードウェア及びソフトウェアの組み合わせ、ソフトウェア、或いは実行状態にあるソフトウェアである。例えば、コンポーネントは、これに限られるものではないが、プロセッサ上で走るプロセス、プロセッサ、オブジェクト、実行可能な、実行のスレッド、プログラム及び／又はコンピュータである。実例として、コンピュータ装置上で走るアプリケーション及びコンピューティング装置の双方は、コンポーネントである。１つ以上のコンポーネントは、プロセス内及び／又は実行のスレッド内に存在し、コンポーネントは１つのコンピュータにローカライズされ及び／又は２つ以上のコンピュータ間で分散される。加えて、これらコンポーネントは記録された種々のデータ構造を有するコンピュータ読み取り可能なメディアから実行可能である。コンポーネントは、１つ以上のデータパケットを有する信号に従って、ローカル及び／又は遠隔プロセスによって通信可能である（例えば、ローカルシステム、分散システム及び／又はインターネットのようなネットワークにおける他のコンポーネントと対話する１つのコンポーネントからのデータ）。

さらに、種々の実施の形態がユーザ装置との関連でここにおいて述べられる。ユーザ装置は、システム、加入者ユニット、加入局、モバイルステーション、モバイル装置、ホスト、ハンドセット、遠隔ステーション、アクセスポイント、基地局、遠隔端末、アクセス端末、ユーザ端末、端末、ユーザエージェント或いはユーザ装置とも呼ばれる。ユーザ装置は、セルラー電話、コードレス電話、セッション・イニシエーション・プロトコル（ＳＩＰ）電話、ワイヤレス・ローカル・ループ（ＷＬＬ）ステーション、パーソナル・データ・アシスタント（ＰＤＡ）、無線接続能力を有するハンドヘルド装置、或いは無線モデムに接続された他の処理装置であってもよい。

さらに、ここにおいて述べられる種々の観点或いは特徴は、方法、装置或いは標準のプログラミング及び／又はエンジニアリング技術を利用する生産品として実現される。ここにおいて使用される用語”生産品”はコンピュータ読み取り可能な装置、キャリア或いはメディアからアクセス可能なコンピュータプログラムのいずれも包含する。例えば、コンピュータ読み取り可能な媒体は、これに限られるものではないが、磁気記憶装置（例えば、ハードディスク、フロッピ（登録商標）ディスク、磁気ストリップなど）、光学ディスク（コンパクトディスク（ＣＤ）、デジタル汎用ディスク（ＤＶＤ）など）、スマートカード及びフラッシュメモリ装置（例えば、カード、スティック、キードライブなど）を包含する。

多くのコンポーネント、モジュールなどを有するシステムの観点から種々の実施の形態が呈示される。種々のシステムは、追加のコンポーネント、モジュールなどを含み、及び／又は図面に関連して議論される全てのコンポーネント、モジュールを含まないことが理解され認識されるべきである。これらアプローチの組み合わせもまた使用可能である。

図面を参照すると、図１はポータブル装置又は端末、ポータブル（モバイル）電話、パーソナルデータアシスタント、パーソナルコンピュータ（デスクトップ又はラップトップ）、その他電子及び／又は通信装置で実現可能なファイヤウオール技術を利用する通信システム１００のブロック図を示す。システム１００は、データ１０４又はネットワークパケット１０６として参照される入力及び／又は出力データをフィルタするファイヤウオール１０２を含む。ファイヤウオール１０２は、ネットワークオペレータ、インフラ装置などで動作するファイヤウオールである。パケット１０４、１０６はいずれのタイプの通信であってもよく、データグループを含み、ある装置から他の装置へ送られ及び／又は通信される。ファイヤウオール技術は、各パケット（入力データ）を検査し、各パケットを分類し、このような検査及び／又は分類に基づいて１つ以上のアクションを実行する。典型的なアクションは、パケットを特定の方法でパスし、ブロックし及び／又はルートする。

例えば、目的は限定されないが、ファイヤウオール１０２は送信側１０８から送られ、ファイヤウオール１０２側に位置するデータパケット１０４が、ファイヤウオール１０２の反対側に位置する受信側１１０に伝送される。受信側１１０に届くように意図され、及び／又は管理された送信側１０８によって伝送されたパケット１０４がファイヤウオール１０２を通過するように中継され或いは許可される。このような受信側１１０に意図されていない及び／又は管理されていないパケット１０４はファイヤウオール１０２によってブロックされ、受信側１１０に中継されない。このように、受信側１１０は欲しないパケット及び／又は受信側１１０にとって意図されていないパケットに気付かず、受信しない。

受信側１１０はファイヤウオール１０２と通信するように構成され、送信器１０８及び／又はパケット１０４に関するポリシーの規則の組を提供する。ポリシーの規則の組は受信側１１０がファイヤウオール１０２に許可させ、ブロックさせたいものである。このように、受信側１１０はサーバとして動作する。言い換えれば、受信側１１０は外部送信側１０８に受信側１１０にコンタクトさせたい。したがって、受信側１１０はファイヤウオールと直接通信するように構成され、動的手法で１つ以上のポリシーを更新する。

受信側１１０は、さらに、どの入力フロー或いはパケット１０４が望ましいかをパッシブソケットのリストを検査することによって自動的に決定するように構成されることができる。例えば、受信側１１０はサーバとして動作するように、パッシブソケットをオープン或いは生成することができる。受信側１１０は、ファイヤウオール１０２にこのソケットによって意図されたパケット１０４が受信側１１０へ伝送されるものであることを通知する。受信側が、ウェブサーバとのコンタクトをシャットダウン或いはクローズする場合、事前に形成されたパッシブソケットは破壊される。受信器１１０はファイヤウオール１０２にパッシブソケットの破壊を知らせ、ファイヤウオール１０２にそのパッシブソケットについて意図された全てのさらなるトラフィックを拒否することを要求する。

受信側１１０は、さらにパケット１０６をファイヤウオール１０２を通して送信側１０８に中継することができる。このように、受信側１１０はクライアントのように動作し、ファイヤウオール１０２はパケット１０６をブロックすることができ、或いはパケット１０６が種々のプロトコル及び技術にしたがって送信側１０８へ通信されることを許可する。例えば、ファイヤウオール１０２は、ネットワークプロバイダによって予め定められた基準に基づいて、そのようなパケットを許可し、拒絶する。ファイヤウオール１０２は、さらにパケットの意図された受信側によって確立されたポリシーに基づくパケット１０６を中継し、この場合においては、送り側１０８である。したがって、ファイヤウオール１０２は異なる装置について規則或いはポリシーの異なるセットを維持する。

図２はファイヤウオール構成によって補助されるクライアントのシステム２００を示す。システム２００はファイヤウオール２０２及びホスト２０４（例えば、モバイル装置）を含み、これらは無線通信が可能である。ホスト２０４は、例えば、セルラー電話、スマート電話、ラップトップ、ハンドヘルド通信装置、ハンドヘルドコンピューティング装置、衛星ラジオ、グローバルポジショニングシステム、ＰＤＡ、及び／又は無線ネットワーク２００を介して通信を行なう他の適切な装置である。ファイヤウオール２０２の数にもかかわらず、ホスト２０４はシステム２００に含まれることが可能であり、認識されるように、通信データ信号を単一のホスト２０４へ送信する単一のファイヤウオール２０２が単純化のために示されている。

ホスト２０４は送信器２０６を有し、ホスト２０４は、送信器２０６を介してデータフロー或いは通信セッションを開始することができ及び／又はファイヤウオール２０２によって維持されているポリシーへの更新を要求することができる。ホストは、さらに、受信器２０８を有し、ホスト２０４は、受信器２０８を介してアックノレッジ或いはファイヤウオール２０２からのポリシーの拒絶を受信することができ及び／又はデータフロー或いはパケットを受信することができる。

ホスト２０４は、ファイヤウオール２０２からの送信器２０６を介して送信されたパケットに応答することができる。ホスト２０２がデータフローを開始する場合、クライアントと同様に動作し、”アクティブ”であるとみなされる。ホスト２０２がデータフローに応答する場合、サーバと同様に動作し、"パッシブ”であるとみなされる。アクティブフローは、出力(outgoing)したとみなされ、パッシブフローが入力される。

ホスト２０４がサーバとして動作する場合、ホスト２０４はファイヤウオール２０２と直接的に通信可能であり、ファイヤウオール規則を処理する。例えば、ホスト２０４はファイヤウオール２０２にホスト２０４が通信の受信を望む特定の通信、送信側などを通知する。ホスト２０４は、自動的にファイヤウオール２０２にいずれの中断したセッション或いは終了したセッションを通知し、このようなセッションのポリシーを取り消す。これにより、ファイヤウオール２０２がセッションをブロックし、それらがホスト２０４へ伝送されることを許可しない。このようにファイヤウオール２０２を構成することにより、ホスト２０４に意図されたパケットであるが、ホスト２０４によって望まれていないパケットは、送られる前にブロックされる。このことは、ネットワークトラフィックを減少させる。何故ならば、このようなパケットは送られず、そして、ホスト２０４によって破棄される。代わりに、パケットがホスト２０４に伝送される前に、この決定はファイヤウオール２０２で行なわれる。

ホスト２０４はデコーダコンポーネント（図示せず）を含み、このデコーダコンポーネントは処理のための受信した信号及び／又はその中のデータパケットをデコードする。データパケットのデコードが成功すると、アクノレッジコンポーネント（図示せず）はアクノレッジを生成する。このアクノレッジはデータパケットの成功でコードを示し、ファイヤウオール２０２に送られ、データパケットが受信され、デコードされた通信（図示せず）の送り側に知らせる。したがって、再送信が必要とされない。

図３は自動的及び動的にファイヤウオールポリシーを構成するシステム３００を示す。システム３００は、ファイヤウオール３０２を含み、このファイヤウオール３０２はネットワークインフラ及びホスト３０４（例えば、モバイル装置）に含まれる。ホスト３０４は、データ３０６の入力パケットを受信し、或いはデータ３０８の出力パケットを開始する。入力パケット３０６を受信する場合、ホストはパッシブモードで動作し、サーバと同様に振舞う。出力パケット３０８を開始し、送る際に、ホスト３０４はアクティブモードになり、クライアントと同様に振舞う。入力モード或いは出力モードのいずれも、データパケット３０６、３０８は一般的にファイヤウオール３０２を通過する。規則或いはポリシー３１０の組に基づいて、ファイヤウオール３０２は、パケット３０６、３０８をブロックし、パスし或いはパケット３０６、３０８をリダイレクトできる。

ホスト３０４は指示器３１２、無効器３１４及び初期化器３１６を含み、これらはプロセッサ、ソフトウェア、あるいはこれらの組み合わせによって実行される機能を示す機能ブロック図である。指示器３１２或いは無効器３１４及び／又は初期化器３１６はファイヤウオール３０２と直接通信を行なうことができ、或いは送信器（図示せず）を通して通信可能であり、受信器(図示せず）を通して通信を受信可能である。パケット３０６がホスト３０４によって意図されたファイヤウオール３０２へ通信される場合に、ファイヤウオール３０２はパケット３０６がホスト３０４へ伝送され、或いはブロックされるかの決定をする。このような決定は、予め定められたポリシー３１０に基づく。このポリシーは、許可されたフローエンドポイント、リソース、限界などのような種々の基準を含む。ある実施の形態では、ポリシー３１０は選択可能な強制的な技術を通してホスト３０４によって、動的に変更され、或いは改良される。

指示器３１２は、パケット３０６に関連付けられたパラメータを指示するように構成され、このパケット３０６はホスト３０４が受信を希望するものであり、かつ、このようなパラメータをファイヤウオール３０２と通信するように構成されている。このようなパラメータはポリシー３１０制約に付される。ホスト３０４は特定された入力フロー（例えば、パケット３０６）の遷移を要求可能である。フローは、基準の組によって指示器３１２によって特定され、この基準は、例えば、パケットのヘッダにおいて入手可能ないくつかの或いは全てのフィールドに一致（或いは一致しない）すべきというものである。パケットは、一般的に、ヘッダを含み、より高いレイヤプロトコルヘッダ（例えば、インターネット制御メッセージプロトコル（ＩＣＭＰ）、ユーザデータグラムプロトコル（ＵＤＰ）、及び／又は伝送制御プロトコル（ＴＣＰ）など）を有することが可能である。指示器３１２によって特定される基準或いはパラメータは、正確な値、値のリスト、値の範囲、オープンソケットなどを含むが、これらに限定されるものではない。

無効器３１４は、特定されたフロー或いはホスト３０４が要求した全てのフローの遷移の取り消しを要求するように構成されている。例えば、指示器３１２は１つ以上の送信側からの及び／又は１つ以上の種類のパケットがホスト３０４へ伝送されるべきことを要求する。このようなパケットの伝送を要求した後、パケットがもはや望ましいものではないと決定された場合、無効器３１４はあるパケットの要求を取り消すことができる。この取り消しは、あるパラメータ（例えば、パケットのサイズ、パケットの種類或いは他の基準）に基づいてシステム３００によって自動的かつ自律的に実行される。

さらに、この取り消しはホスト３０４のユーザから受信したマニュアル入力に基づく。例えば、パケットがユーザによって意図されたものであるように特定される。しかしながら、ユーザは、このようなパケットが種々の理由についてもはや望ましくないことを決定できる。ユーザは、無効器３１４のようなホストに関連付けられたインターフェイスを通してそのようなパケットを手動的に取り消すことができる。

ホスト３０４は、種々のユーザインターフェイスを提供することができる。例えば、ホスト３０４はグラフィックユーザインターフェイス（ＧＵＩ）、コマンドラインインターフェイスなどを提供する。例えば、ＧＵＩはユーザに領域を提供し、或いはパラメータ情報、ブロックされたパケット、ブロックされた送信側及び／又はユーザがブロックされるこのようなパケット／送信側を望むか否かを問い合わせを指示するシステムのロード、インポート、リードなどの機能を提供する。これら領域は公知のテキスト及び／又はグラフィック領域を含み、編集制御としてのダイアログボックス、スタティック制御、ドロップダウンメニュー、リストボックス、ポップアップメニュー、コンボボックス、無線ボタン、チェックボックス、プッシュボタン及びグラフィックボックスを有する。加えて、ナビゲーション用の垂直及び／又は平行スクロールバー及び領域を可視化するかを決定するツールボタンのようなプレゼンテーションを容易にするユーティリティが用いられる。

例えば、コマンドラインインターフェイスが採用される。コマンドラインインターフェイスは、テキストメッセージを提供することによって情報についてユーザを指示（プロンプト）する（例えば、ディスプレイ上のテキストメッセージ及び音声によって）。ユーザは、次に、インターフェイスプロンプトにおいて提供されたオプションに対応する文字数字入力、或いはプロンプトにおいて提起された質問のような適切な情報を提供する。コマンドラインインターフェイスは、ＧＵＩ及び／又はＡＰＩに関連して採用される。加えて、コマンドラインインターフェイスは、ハードウェア（例えば、ビデオカード）、及び／又は制限されたグラフィックサポート及び／又は低帯域通信チャネルを有するディスプレイ（例えば、ブラック及びホワイト、及びＥＧＡ）に関連して採用される。

プロトコルは、パケットを定期的に両方向（入力及び出力）に交換し、したがって、ホスト３０４及びファイヤウオール３０２の双方は適切な方法で中断したセッションに気付く。例えば、ファイヤウオール３０２及び/又はホスト３０４は、ピア（例えば、他のモバイル装置、他の通信装置・・・）からのトラフィックの欠落に基づいてセッションが破壊されているか否かの決定を行なう。破壊されたセッションに基づく決定は、プロトコルそれ自身の一部として含まれる。ある実施の形態においては、伝送制御プロトコル（ＴＣＰ）キープアライブセグメントのような基礎をなすトランスポートによって、決定が提供される。

セッションが中断或いは終了した場合に、ホスト３０４によって事前に要求されたフローは自動的に取り消される。このように、ホスト３０４によって意図された全てのパケットは自動的にファイヤウオール３０２によってブロックされ、ホスト３０４へ渡されることが許可されない。したがって、中断したセッション及び／又は不完全なパケットはエアインターフェイスにそって通信されず、不十分でかつ価値のあるリソースを占有しない。

以下は、例示の目的で、限定されるものではない。ハンドセット或いはホスト３０４はウエブサーバを実行し、ＴＣＰポート８０上でリストされているパッシブソケットを生成する。ファイヤウオール制御コンポーネント（例えば、指示器３１２）は、ＴＣＰポート８０上のパッシブソケットが生成されていることを検出することができる。制御コンポーネントは、ファイヤウオール３０２とコンタクトを確立し、ファイヤウオール３０２にハンドセットのＴＣＰポート８０用のフローが遷移されることが許可されるように要求する。ファイヤウオール３０２はアックノレッジ或いは要求の拒絶のいずれも可能である。外部パーティは、ハンドセットのウェブサーバにコンタクトする入力フローを開始する。ある時間の後、ハンドセット上のウェブサーバはシャットダウンし、ＴＣＰポート８０上のパッシブソケットを破壊する。略同一の時刻或いは略異なる時刻で、ハンドセット上のファイヤウオール制御コンポーネントはパッシブソケットの破壊を検出することができる。制御コンポーネントはファイヤウオールとコンタクトを確立し、ファイヤウオールにＴＣＰポート８０上のハンドセットへの全てのさらなる入ってくるトラフィックを拒絶するように要求する。ＩＰベースのネットワークにおいては、プロセスが上述のものよりも実質的に異なることが理解される。何故ならば、フロー及びトポロジーの双方がエンドポイントアドレス宛てであるからである。

新しいセッションを開始し、或いは中断したセッション及びデータフローのその後の自動取り消しから回復するために、ホスト３０４は初期化器３１６を通してセッションを確立することができる。初期化器３１６は、どのファイヤウオール３０２、ホスト３０４と通信しているかを決定するように構成されている。ホスト３０４はモバイル装置であり、１つの地理的領域或いはセルから他の領域或いはセルへ移動するからである。装置が動くので、１つ以上のファイヤウオールへのコンタクトを確立する必要がある。初期化器３１６は指示器３１２と通信するように構成され、所望のフローの遷移を要求（あるいは中断されたセッションの場合には、再要求）する。

図４は、自動的かつ動的にファイヤウオールポリシを構成するシステム４００を示す。システム４００は、伝送、ブロック或いは入力パケット及び／又は出力パケットの再ルートするように構成されたファイヤウオール４０２を有する。さらに、指示器４０６、無効器４０８及び初期化器４１０を含むホスト４０４が含まれる。ホスト４０４は入力パケットについてはパッシブモードで動作し、出力パケットについてはアクティブモードで動作する。システム４００は、図３で参照されて図示され、説明されたシステム３００と同様に動作する。

システム４００は、ホスト４０４に機能的に接続されているメモリ４１２を有する。メモリ４１２は要求された入力フロー、マッチング基準、特定のフロー、無効にされたフロー、オープンネットワークソケットなどに関連する情報、無線通信システムにおけるトラフィックの低減及びファイヤウオール技術の構成に関連する情報を格納する。プロセッサ４１４は、機能的にホスト４０４（及び／又はメモリ４１２）に接続され、無線通信システムにおけるトラフィックの低減及びファイヤウオール技術の構成に関連する情報を解析する。プロセッサ４１４は、ホスト４０４によって受信された情報を解析し、及び／又はホスト４０４によって送られた情報の生成用のプロセッサでもよく、システム４００の１つ以上のコンポーネントを制御するプロセッサでもよく、及び／又はホスト４０４によって受信された情報の解析及び生成の両方を行なうプロセッサでもよく、システム４００の１つ以上のコンポーネントを制御する。

メモリ４１２は、所望のパケット、パケットフロー、送信側、通信種類などに関連付けられたプロトコルを格納し、システム４００が、ここにおいて述べられる無線ネットワークにおける通信トラフィックの低減を達成するための格納されたプロトコル及び／又はアルゴリズムを使用するように、ホスト及びファイヤウオール４０２などとの間の通信を制御する動作を行なう。ここにおいて述べられるデータ格納（例えば、メモリ）コンポーネントは、揮発性メモリ或いは不揮発性メモリのいずれであってもよく、或いは揮発性メモリ及び不揮発性メモリの双方を含んでいていも良い。例示的で限定しないために、不揮発性メモリは読み出し専用メモリ（ＲＯＭ）、電気的プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能ＲＯＭ（ＥＥＰＲＯＭ）或いはフラッシュメモリを含んでもよい。揮発性メモリは、ランダムアクセスメモリ（ＲＡＭ）を含んでいても良く、外部キャッシュメモリとして動作する。例示的で限定しないために、ＲＡＭは同期ＲＡＭ（ＤＲＡＭ）、ダイナミックＲＡＭ（ＤＲＡＭ）、同期ＤＲＡＭ（ＳＤＲＡＭ）、ダブルデータレートＳＤＲＡＭ（ＤＤＲ ＳＤＲＡＭ）、エンハンスドＳＤＲＡＭ（ＥＳＤＲＡＭ）、同期リンクＤＲＡＭ（ＳＬＤＲＡＭ）及びダイレクトラムバスＲＡＭ（ＤＲＲＡＭ）のような種々の形態で利用可能である。開示された実施の形態のメモリ４１２は、限定されるものではないが、これら及び他の適切な種類のメモリが意図されている。

図５は、ファイヤウオールを構成しネットワークトラフィックを低減するシステム５００を示す図である。図示されているブロックは機能ブロックであり、プロセッサ、ソフトウェア或いはこれらの組み合わせ(例えば、ファームウェア）によって実行される機能を示している。システム５００は、ネットワークに含まれる１つ以上のファイヤウオールを検出する検出器５０２を含む。通信器５０４は、検出されたファイヤウオールと通信を行なうように構成されている。このような通信は、これに限定されるものではないが、セッション確立の要求、特定された入力フローの遷移の特定、１つ以上の入力フローの無効、或いは他のタイプの通信を含む。システム５００には、ファイヤウオールに関連付けられたポリシーを更新するように構成された更新器５０６が含まれる。ポリシーを更新することは、システム５００によって自動的に決定され、或いはユーザによってシステム５００に手動で入力される変化のような存在するポリシーへの変化を含む。

いくつかの実施の形態においては、システム５００は検査器５０８及び特定器５１０を含む。検査器５０８は、オープンネットワークソケットのリストを検査するように構成され、当該ソケットはオープンパッシブネットワークソケットであってもよい。特定器５１０は、パッシブソケットが聞かれた場合に、ファイヤウオールへの適切な要求を生成するようように構成され、パッシブソケットがクローズしている場合に、無効を生成することができる。システム５００が、中断され、終了したセッションから回復している場合に、パッシブソケットの現在のリストは適切な要求を生成するように列挙される。

上に示され、述べられた例示的なシステムの観点において、種々の実施の形態の１つ以上の観点にしたがって実行される方法論が図６乃至図８の図面を参照してより理解されるであろう。説明の簡単化のため、動作の順序（或いは、機能ブロック）で示され、述べられる一方、方法論は、他の動作順序に限定されるものでなく、いくつかの動作、これらの方法論にしたがって、異なる順序で及び／又はここにおいて示され、述べられる他の動作と並行して発生することが理解される。さらに、開示された実施の形態の１つ以上の観点にしたがう方法論を実行するために全ての図示された動作が必要とされるものではない。種々の動作がソフトウェア、ハードウェア、これらの組み合わせ、或いは機能的に関連付けられた動作を実行するための適切な手段（例えｂあ、装置、システム、プロセス、コンポーネント）が認識される。さらに、動作は、単に、簡単な形でここにおいて提示された特定の観点で示されていることが認識され、これら観点は少ない及び／又は多い動作数によって示されることができる。さらに、全ての図示された動作が以下の方法論を実行されるために必要とされなくても良い。当業者は、方法論は状態図におけるものと同様に、相互関係のある状態或いはイベントの順序として択一的に表現できることをを理解し、認識することができる。

図６は、適合入力データフローの遷移を動的に許可する方法論６００のフロー図である。適合入力フローは装置が事前に要求しているものである。例えば、装置は事前に受信したフローに基づいて、特定の種類のトラフィックを受信した場合に、フローが破棄される特定のソースなどからのトラフィックを知り、或いは推論することができ、また、トラフィックの受信が装置で受信された際に拒絶されることを知り、或いは推論することができる。装置は、さらにユーザ特定パラメータに基づく情報を有することができる。これら望まれない及び／又は意図されないフローが装置で受信されるまで待つよりも、装置はこれらフロー（例えば、種類、ソースなど）をフローが装置に送信され、有用な帯域幅及び資源を取る前に認識する。

方法６００は６０２でスタートし、ここでは遷移要求が受信される。この遷移要求は、モバイル装置が通信を受信することを希望する種類、ソースなどのみに関する情報を含む。この情報は、装置によって事前に定義され、ネットワーク周辺或いはファイヤウオールで維持される。遷移要求が受信されているトラフィックフローはさらに装置へ伝送される前にブロックされる。

フローは、種々の基準によって特定され、フローは基準に合致し伝送される。ある実施の形態においては、種々の基準はフローが合致しない情報である。例えば、基準はパケットのヘッダにおいて得られるフィールドのいくつか或いは全てである。ヘッダは、メッセージを正しい宛先へガイドする情報を含むメッセージの部分である。ヘッダに含まれるものは、送信側アドレス、受信器アドレス、順位レベル、ルーティング命令、同期パルスなどである。ＩＰパケットは、インターネット制御メッセージプロトコル（ＩＣＭＰ）、ユーザデータグラムプロトコル（ＵＤＰ）及び／又は伝送制御プロトコル（ＴＣＰ）などのような高レイヤプロトコルヘッダである。

ステップ６０４では、取り消し要求が受信されたかを決定する。取り消し要求は、特定のフローのためのものであり、事前に要求された全てのフローのためのものである。６０４での決定が、取り消し要求が受信されていない（”ｎｏ”）場合、方法６００は６０６で続き、フローが装置を通して遷移が許可される。６０４での決定が取り消し要求が受信されている（”ｙｅｓ”）場合、方法６００は６０８で続き、遷移が装置へ送る前にブロックされる。

上述の方法論６００において、遷移要求及び要求された取り消しフローはモバイル装置（例えば、ハンドセット）からネットワークファイヤウオールで受信される。ネットワークファイヤウオールは、ネットワークファイヤウオールがモバイル装置から遷移及び／又は取り消し要求を受信したか否かに基づいて、入力データフローの遷移を許可し、或いはブロックする。

図７は、データフローの自動回復のための方法論７００のフロー図である。この自動回復は、遠隔ファイヤウオールを要求することによって確立され、少なくとも１つのオープンソケットへ指示されたパケットの遷移を許可するセッションが、種々の理由により、遮断され、中断され、或いは終了し始めた場合の状況に適用される。７０２では、中断したセッションは、ホスト及び／又はファイヤウオールによって検出される。プロトコルは、通常双方向でパケットを交換（例えば、入力、出力）しているので、ホスト及びファイヤウオールの双方は、適時、中断したセッションに気付き、ほとんどの場合、中断したセッションの発生とほとんど同時に気付く。この検知は、ピア装置からのトラフィックの欠落の観測の結果に基づく。このことは、プロトコルそれ自身の一部として実行され、あるいは基礎となるトランスポート（例えば、ＴＣＰキープアライブセグメント）によって提供される。

セッションが中断し、或いは終了した場合、７０４で関連するホストによって要求されたフローが取り消される。要求されたフローを取り消すことによって、ホストの保全性及び機密性が保護される。したがって、ホストへ伝送されることが許可されるトラフィックはなく、このようなトラフィックは装置に伝送され、帯域幅をとる前にブロックされる。

ある実施の形態によれば、ホストがデータフローを回復することを望む場合に、新しいセッションが７０６で再確立される。この新しいセッションは、新たなセッションに基づき、或いはパッシブソケットのリストの再確立に基づき、適切な要求を生成する。所望のフローの要求（或いは、再要求）或いは遷移は７０８で確立される。

上述の方法論７００においては、例えば、装置（例えば、モバイル装置）が中断したセッションを検出し、ネットワークファイヤウオールをコンタクトし、要求されたフローを取り消す。望まれる(例えば、ユーザによって）場合、装置は新しいセッションをファイヤウオールと確立し、所望のフローの遷移を要求する。

図８は、ファイヤウオール保護の自動化及びネットワークトラフィックの低減の方法論のフロー図である。低減されたネットワークトラフィックは欲しない及び／又は意図していないトラフィック、中断したセッション、終了したセッションなどが含まれる。８０２では、ハンドセットが入力通信フローを受信することを所望し、パッシブモード或いはサーバとして動作する。ハンドセットは８０４でパッシブソケットを生成する。このパッシブソケットは、例えば、ＴＣＰポート８０に関するものである、ある実施の形態においては、パッシブソケットはオープンパッシブソケットのリストに含まれ、周期的に或いは連続的に変化、改良などが監視される。ファイヤウオールとのコンタクト或いは通信は８０６で確立される。コンタクト或いは通信は、パッシブソケットが生成されたときにトリガされる。通信は、８０８で、ファイヤウオールがパッシブソケットへ指示されるフロー許可する要求のような遠隔ファイヤウオールポリシー更新を含む。通信は、さらに１つ以上のオープンセッションによって生成されるパッシブネットワークソケットのリストを含む。このリストは、ホストがどのホストが気付き、どのホストがいずれの与えられた時間で提供しているのサービスを含む。

第三者によって開始され、１つ以上のリストされたオープンパッシブソケットへ指示された入力フローはファイヤウオールによる遷移が許可される。ウエブサーバがシャットダウンし、或いは終了した場合、ＴＣＰポート８０上のパッシブソケットは破壊される。８１０ではパッシブソケットがオープンかクロズか（例えば、終了したか或いは破壊されたか）の判断が行なわれる。ソケットがオープン（”ｙｅｓ”）の場合、外部パーティパケット、フロー、通信などが伝送されることが許可され、或いは８１２で伝送が続く。８１０での決定がソケットがクローズ（”ｎｏ”）の場合、８１４で取り消し要求が生成される。この取り消し要求は、ソケットがクローズであることが検出されると自動的に送られる。この要求は、ファイヤウオールに対してＴＣＰポート８０への全ての更なるインバウンドトラフィックを拒絶する命令を含む。中断し、或いは終了したセッションから回復する際に、パッシブソケットの現在のリストが列挙され、適切な要求を生成する。

上述の方法論８００においては、例えば、モバイル装置がネットワーク接続を確立し、オープンパッシブソケットを検出し、ファイヤウオールとのコンタクトを確立し、許可されたフローを要求する。モバイル装置は、さらに、パッシブソケットがオープンであるか或いはクローズであるかを決定し、クローズである場合には、ファイヤウオールへの取り消し要求を生成する。

図９を参照すると、端末９００の可能な構成の概念的なブロック図が示されている。当業者が認識するように、端末９００の正確な構成は、特定の用途及び全体的な設計に非常に依存する。プロセッサ９０２は、ここにおいて述べられる種々の実施の形態を実行することができる。端末９００は、アンテナ９０６に接続されたフロントエンドトランシーバ９０４とともに実現される。ベースバンドプロセッサ９０８は、トランシーバ９０４に接続されている。ベースバンドプロセッサ９０８は、ソフトウェアベースアーキテクチャ或いは他の種類のアーキテクチャとともに実現される。マイクロプロセッサは、プラットフォームとして利用され、他の機能のうち、制御及びシステム全体の管理機能を提供するソフトウェアプログラムを実行する。デジタル信号プロセッサ（ＤＳＰ）は、埋め込み通信ソフトウェアレイヤーとともに実現され、アプリケーションの特定のアルゴリズムを実行し、マイクロプロセッサの処理要求を低減する。ＤＳＰは、種々の信号処理機能を提供するために利用され、この信号処理機能は、パイロット信号取得、時間同期、周波数トラッキング、スペクトラム拡散処理、変調、復調機能及びフォワードエラー訂正などである。

端末９００は、さらに、バースバンドプロセッサ９０８に接続された種々のユーザインターフェイス９０２を有する。ユーザインターフェイス９１０は、キーパッド、マウス、タッチスクリーン、ディスプレイ、リンガ、バイブレータ、オーディオスピーカ、マイクロホン、カメラ及び／又は他の入力／出力装置を含む。

ベースバンドプロセッサ９０８はプロセッサ９０２を含む。ベースバンドプロセッサ９０８のソフトウェアベースの具体化においては、プロセッサ９０２はマイクロプロセッサ上で動作するソフトウェアプログラムである。しかしながら、当業者が容易に理解できるように、プロセッサ９０２は本実施の形態に限定されるものではなく、この分野において知られている手段によって実現されることができ、ここにおいて述べられた種々の機能を実行することができるいずれのハードウェア構成、ソフトウェア構成或いはこれらの組み合わせを含むものである。プロセッサ９０２はデータを格納するためのメモリ９１２に接続される。

ここにおいて述べらた実施の形態は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード或いはこれらの組み合わせによって実現されることが理解されるべきである。システム及び／又は方法がソフトウェア、ファームウェア、ミドルウェア或いはマイクロコード、プログラムコード或いはコードセグメントによって実現される場合、これらは格納コンポーネントのような機械読み取り可能な媒体に格納される。コードセグメントは、手続、機能、サブプログラム、プログラム、ルーチン、サブルーチン、モジュール、ソフトウェアパッケージ、クラス或いは命令、データ、ストラクチャ或いはプログラム記述のいずれの組み合わせで表わされる。コードセグメントは、他のコードセグメント或いはハードウェア回路に、情報、データ、変数、パラメータ或いはメモリの内容を通過させ、受信することにより接続されている。情報、変数、パラメータなどは、メモリシェアリング、メッセージパッシング、トークンパッシング、ネットワーク伝送などを含むいずれかの適切な手段を使用することにより、通過され、フォワードされる。

上述したことは、１つ以上の実施の形態の例を含む。勿論、これら実施の形態を述べる目的のために全ての考えられるコンポーネント或いは方法論の組み合わせを述べることは不可能であるが、当業者であればこのような実施の形態のさらなる組合せ及び置換を認識することができる。したがって、ここにおいて述べられた実施の形態は、添付した請求の範囲の観点及び精神の範囲内におけるこのような全ての代替、改良及び変形を包含することを意図しているものである。さらに、詳細な記述或いは請求の範囲のいずれにおいても使用されている用語”含む”の範囲は、請求の範囲におけるトランジショナルな用語として使用された場合に、"具備する”が解釈されるように、用語”具備する”と同じように、包含的なことを意図するものである。

図１はファイヤウオール技術を利用する通信システムのブロック図である。 図２はクライアント援用ファイヤウオール構成のシステムを示す。 図３は自動的及び直接的にファイヤウオールポリシーを構成するシステムを示す。 図４は自動的及び直接的にファイヤウオールポリシーを構成するシステムを示す。 図５はファイヤウオール及び低減を構成するシステムを示す。 図６は適合入力データフローの遷移を直接的に許可する方法論のフロー図である。 図７はデータフローの自動回復の方法論のフロー図である。 ファイヤウオール保護の自動化及びネットワークトラフィックの低減の方法論のフロー図である。 端末の構成の概念的なブロック図である。

Claims (18)

1. 遠隔ファイヤウオールにオープンソケットへ指示されたパケットの遷移の許可を要求することによりセッションを確立し、
   ピア装置から前記オープンソケットを使用するホストへ遷移するパケットの欠落の観察に基づいて、中断したセッションを検出し、
   中断したセッションに基づいて、前記遠隔ファイヤウオールに前記オープンソケットへ指示されたパケットの遷移のブロックを要求し、これにより、前記オープンソケットへ指示されたパケットの遷移を許可するための要求を取り消し、
   前記セッションを再確立し、前記再確立は前記遠隔ファイヤウオールに前記オープンソケットへ指示されたパケットの遷移の再度の許可を要求することを含む中断したセッションから回復するホストのための方法。
2. 前記オープンソケットへ指示されたパケットの遷移の許可を前記遠隔ファイヤウオールに要求することは、現在のオープンソケットのリストを生成することをさらに具備する請求項１記載の方法。
3. 前記遠隔ファイヤウオールに前記オープンソケットへ指示されたパケットの遷移の再度の許可を要求することは、現在のオープンソケットのリストを再生成することをさらに具備する請求項１記載の方法。
4. 前記遠隔ファイヤウオールに前記オープンソケットへ指示されたパケットの遷移を要求することは、無線通信リンク上で発生する請求項１記載の方法。
5. 移動装置に関連するファイヤウオールポリシを更新する移動装置のための方法において、
   前記移動装置が遠隔ファイヤウオールを通して前記移動装置へ送られることが許可されたパケットを定義する前記移動装置のファイヤウオールポリシを維持する遠隔ファイヤウオールを検出し、
   前記移動装置が、ピア装置からのパケットのトラフィックの欠落の観察に基づいて、中断したセッションを検出し、
   前記移動装置が、前記検出された中断したセッションに応答して、前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの更新をフォワードする方法。
6. 前記更新されたファイヤウオールポリシは、前記遠隔ファイヤウオールを通る前記移動装置までの中断したセッションに関連付けられたパッシブソケットへ指示されたパケットをブロックする請求項５記載の方法。
7. ピア装置とのセッションを再確立することをさらに具備し、前記再確立は前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの他の更新をフォワードし、再確立されたセッションに関連付けられたパケットを前記遠隔ファイヤウオールを通して前記移動装置に送ることを許可することを具備する請求項６記載の方法。
8. 前記移動装置が、遠隔ファイヤウオールに更新をフォワードすることは、無線通信リンク上で発生する請求項５記載の方法。
9. 遠隔ファイヤウオールを通して前記移動装置へ送られることが許可されたパケットを定義する前記移動装置のファイヤウオールポリシを維持する遠隔ファイヤウオールを検出する手段と、
   ピア装置からのパケットのトラフィックの欠落の観察に基づいて、中断したセッションを検出する手段と、
   前記検出された中断したセッションに応答して、前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの更新をフォワードする手段と
   を具備する移動装置。
10. 前記更新されたファイヤウオールポリシは、前記遠隔ファイヤウオールを通る前記移動装置までの中断したセッションに関連付けられたパッシブソケットへ指示されたパケットをブロックする請求項９記載の移動装置。
11. 前記ピア装置とのセッションを再確立する手段をさらに具備し、前記再確立手段は前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの他の更新をフォワードし、再確立されたセッションに関連付けられたパケットを前記遠隔ファイヤウオールを通して前記移動装置に送ることを許可することを具備する請求項１０記載の移動装置。
12. 前記遠隔ファイヤウオールに更新をフォワードすることは、更新をフォワードするための無線通信リンクを使用する請求項９記載の移動装置。
13. 移動装置に関連付けられたファイヤウオールポリシを更新する方法に関連付けられた命令を実行するように構成されたプロセッサにおいて、前記方法は、
    遠隔ファイヤウオールを通して前記移動装置へ送られることが許可されたパケットを定義し、前記移動装置のファイヤウオールポリシを維持する遠隔ファイヤウオールを検出し、
    ピア装置からのパケットのトラフィックの欠落の観察に基づいて、中断したセッションを検出し、
    前記検出された中断したセッションに応答して、前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの更新をフォワードすることを含むプロセッサ。
14. 前記更新されたファイヤウオールポリシは、前記遠隔ファイヤウオールを通る前記移動装置までの中断したセッションに関連付けられたパッシブソケットへ指示されたパケットをブロックする請求項１３記載のプロセッサ。
15. 前記方法は、ピア装置とのセッションを再確立することをさらに具備し、前記再確立は前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの他の更新をフォワードし、再確立されたセッションに関連付けられたパケットを前記遠隔ファイヤウオールを通して前記移動装置に送ることを許可することを具備する請求項１４記載のプロセッサ。
16. 移動装置に関連付けられたファイヤーウオールポリシを更新する移動装置において使用されるコンピュータ読取可能な記録媒体において、前記媒体は前記移動装置に、
    遠隔ファイヤウオールを通して前記移動装置へ送られることが許可されたパケットを定義する前記移動装置のファイヤウオールポリシを維持する遠隔ファイヤウオールを検出させ、
    ピア装置からのパケットのトラフィックの欠落の観察に基づいて、中断したセッションを検出させ、
    前記検出された中断したセッションに応答して、前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの更新をフォワードさせる命令を具備する記録媒体。
17. 前記更新されたファイヤウオールポリシは、前記遠隔ファイヤウオールを通る前記移動装置までの中断したセッションに関連付けられたパッシブソケットへ指示されたパケットをブロックする請求項１６記載のコンピュータ読取可能な記録媒体。
18. ピア装置とのセッションを再確立することをさらに具備し、前記再確立は前記遠隔ファイヤウオールに前記移動装置のファイヤウオールポリシの他の更新をフォワードし、再確立されたセッションに関連付けられたパケットを前記遠隔ファイヤウオールを通して前記移動装置に送ることを許可することを具備する請求項１７記載のコンピュータ読取可能な記録媒体。

Images