JP4746978B2 - ローカルネットワーク及び遠隔ネットワークの運用方法、ソフトウェアモジュール、およびゲートウェイ - Google Patents

Description

本発明は、一般的な、相互接続されたネットワーク、特にコンピュータネットワークの運用方法に関する。

より具体的には、本発明は、その第一の特徴によると、ブロッキングトンネルによってリモートネットワークのゲートウェイに接続されているローカル端末を含むローカルネットワークを運用する方法に関する。本方法は、上記端末からのフローを、ブロッキングトンネルを介してゲートウェイへ向ける操作を含んでいる。

当業者には知られているように、２つのネットワーク間の接続はＩＰ接続が可能であり、インターネット、またはインターネットプロトコルを用いた他の任意のネットワークによって構成することができる。

さらに、当業者には知られているように、インターネットは、「ＩＰｓｅｃ」として知られるセキュリティプロトコルを使用する。「ＩＰｓｅｃ」は、「Internet Protocol Security」の頭文字である。

本発明は、その第一の効果的な適用において、ＩＰｓｅｃプロトコルによってプライベート企業内ネットワークに接続されている場合の、ノーマディック状態（nomadic situation）にあるコンピュータに関連する。ノーマッドユーザ（nomad user）が在宅勤務する場合、即ち、誰かが家庭内ネットワーク（その人物の自宅のローカルネットワーク）から企業の遠隔プライベートネットワークに接続されている場合、本発明は特に実用的である。しかし本方法は、例えば、「ｗｉ−ｆｉホットスポット」と称される無線接続領域のような、他のタイプのローカルネットワークにも適用可能である。

慣例により、ここでの説明においては、ノーマッドユーザがローカルネットワークへと接続して、次に企業の遠隔プライベートネットワークへ接続するコンピュータを指す言葉として、「端末」または「ローカル端末」という用語を用いる。

「ローカル機器」という用語は、ローカルネットワークに接続されているあらゆるコンピュータ機器を指すが、この場合のローカルネットワークは、ＩＰｓｅｃを用いて接続中に端末へのアクセスを備えていなければならない。このローカル機器は、統計的に代表的なものとしては、プリンターから構成されることが多い。このローカル機器はさらに、ローカルネットワークの、他の任意のタイプのサーバー（ｆｔｐ、ｔｅｌｎｅｔ等）からも構成されることもできるが、この場合、ＩＰｓｅｃを用いた接続中に、端末がローカルネットワークへのアクセスを備えていなければならない。

「ルーター」、「ローカルルーター」、および「家庭用ルーター」という用語は、ローカルネットワーク（または、在宅勤務者などのノーマッドユーザの場合における家庭内ネットワーク）の入力に位置している機器を指す。この機器の機能については、以下に詳しく説明する。

「ゲートウェイ」、特に「ＩＰｓｅｃゲートウェイ」という用語は、端末と企業の遠隔プライベートネットワーク間に位置している機器を指し、上記端末から送られてくるトンネル、特にＩＰｓｅｃトンネルを終了させる機能を果たす。この機器の機能については、以下に詳しく説明する。ゲートウェイ、特にＩＰｓｅｃゲートウェイは、リモートネットワークの端に配置させることができ、企業または電気通信ネットワークのオペレーターによって管理される。

セキュリティー上の理由から、ＩＰｓｅｃプロトコルを実行することによって、ローカル端末がローカルネットワークおよび企業のリモートネットワークに同時にアクセスすることがほぼ不可能となる。このような妨害がなければ、端末は「二重接続」された状態になり、２つのネットワークが相互接続されて、セキュリティー上の深刻な欠陥を構成する。

上記のような妨害は、「ブロッキングモード」と称される特殊なモードによって確実なものとなり、特にＩＰｓｅｃプロトコルに備えられている。

従ってブロッキングモードは、ＩＰｓｅｃにアクセス可能であるリモートネットワーク（一般的には企業のプライベートネットワーク）と、ローカルネットワーク（一般的には家庭内ネットワーク）と、へのローカル端末の二重接続を可能にする技術である。これを実行するために、ブロッキングモードは、ローカル端末のＩＰｓｅｃトンネル外のあらゆる通信を妨害する。これによって、ＩＰｓｅｃトンネル内での（従って企業の情報システムへの）バウンス攻撃の危険を大幅に制限する。

ブロッキングモードは、セキュリティー面を懸念する企業に対して最も有効であるため、遠隔的にアクセスされ得る企業のＩＰｓｅｃを使用した安全性政策は、一般的に、デフォルト設定でそれを作動させる。

ブロッキングモードは、端末のＩＰｓｅｃソフトウェア内で実行され、一般的にクライアントのルーティング設定を変更することによって、企業のリモートネットワークのアドレッシングプランに属するデフォルトルートに全パケットを送る。ブロッキングモードはまた、アクセスフィルタリング機能（通常は、個人用のファイアウォール）を使用して、端末外部からの通信を妨害する。

このセキュリティー操作に類似したものとして、ノーマッド端末は、そのリモートネットワーク（「インターネット」とも称される）への接続中に、該ノーマッド端末が物理的に接続されているローカルネットワーク上に存在する設備（機器）にはアクセスできないという操作がある。具体的には、ノーマッド端末は、そのローカルネットワークのプリンターにもはやアクセスできない。なぜなら、全ての制御およびデータフローは、ブロッキングトンネルによって、企業のリモートネットワークへと自動的に向けられるからである。

この問題を克服するための、現在知られている唯一の方法は、いわゆる「スプリットトンネリング」技術を利用するものである。この技術は、ＩＰｓｅｃトンネルが同時に存在していても、ローカル端末が、任意のローカルネットワーク機器と直接通信でき、従ってローカルサービスにアクセスできる可能性を提供する。

この技術は、端末へのバウンス攻撃によって、企業のリモートネットワークへハッキング侵入される大きな危険をはらんでいるという問題がある。従って、この技術を使用しないよう強く推奨されており、大部分の企業内ネットワーク管理者によって使用が禁じられてすらいる。

このような状況において、本発明の目的は、具体的には、ブロッキングトンネルを経由してＩＰｓｅｃゲートウェイに同時に接続されているにも関わらず、端末がローカル装置をアドレス指定できるようにする方法を提示することである。この機能性は、ブロッキングトンネルによってもたらされるセキュリティーに悪影響を与えることなく、そして関連するローカル端末またはローカル機器（特にプリンター）にいかなる追加の設定を加えることもなく得ることができる。

この目的を達成するため、上記前文に記載されている一般的定義に対応する本発明の方法は、本質的に、ゲートウェイに実装された、上記リモートネットワークに向けられたものでないフローを送る操作をさらに含み、かつ、端末からローカルネットワーク装置に向けられた上記フローを、上記ローカル機器へと送ることからなることを特徴とする。

上記送信操作は、例えば、ローカルネットワークのルーターによって上記フローを受信すること、および、該ルーターによって上記フローを上記機器へ向けさせること、を含んでいる。

上記送信操作は、上記リモートネットワークに向けられたものでないフローを認識するための、ゲートウェイによる上記フローの解析をさらに含むことができる。

本発明は、その非常に具体的かつ詳細な定義においては、上記ローカルネットワークに加えて、以下のように設定されたローカルコンピュータネットワークを運用する方法をさらに含んでいる。

（１）ＩＰタイプの接続ネットワークを介してローカルネットワークへ接続されている遠隔プライベートコンピュータネットワーク
（２）ローカルネットワークと接続ネットワーク間のインターフェースに位置しているローカルルーター
（３）リモートネットワークと接続ネットワーク間のインターフェースに位置しているＩＰｓｅｃゲートウェイ
上記ローカルネットワークは、少なくとも１つのローカル端末およびローカルコンピュータ装置を含んでいる。

上記端末は、ブロッキングモードで、ＩＰｓｅｃトンネルによってＩＰｓｅｃゲートウェイに接続されている。上記方法は、端末から上記ローカル機器に向けられた、制御および／またはデータフローを、ブロッキングモードで上記トンネルを経由して上記ゲートウェイへ自動的に再ルーティングすることを可能にする。従って本方法は、以下の操作を含んでいる。

（１）上記端末から上記ローカル機器に向けられた、制御および／またはデータフローの受領時に上記ゲートウェイにおいて実行され、かつ、このフローが上記リモートネットワークに向けられたものでないことを認識することからなる解析工程
（２）上記ゲートウェイにおいて実行され、かつ、上記端末からの制御および／またはデータフローを上記ローカルルーターへ送ることからなる配送操作
（３）上記ローカルルーターにおいて実行され、かつ、上記ゲートウェイから上記ローカルルーターへと送られた、上記ローカル端末からの制御および／またはデータフローを上記ローカル機器へと向けさせることからなる方向操作。

上記ゲートウェイに向けられた端末からの、上記遠隔プライベートネットワークへの接続要求中に、ルーティング可能なアドレスが割り当てられているローカルルーターが、そのルーティング可能なアドレスを上記ローカルネットワーク内部の端末と置換する場合、および、上記ブロッキングトンネルの構築中に上記ＩＰｓｅｃゲートウェイが上記リモートネットワーク内部のアドレスを上記ローカル端末に割り当てる場合、本発明による方法はさらに、相関操作を含むことができる。この相関操作は、上記ブロッキングトンネルの構築中に上記ゲートウェイにおいて実行され、かつ、対応表を記憶して、上記ローカルルーターのルーティング可能なアドレスと、上記リモートネットワーク内部の端末のアドレスとを相互対応させることからなる。この相関操作において、制御および／またはデータフローを送信する操作は、対応表を使用し、かつ、上記リモートネットワーク内部のアドレスによって識別された端末からの制御および／またはデータフローを、上記ローカルルーターのルーティング可能なアドレスへ送信することからなる。

上記方向操作は、ポート変換技術によって実行されることが好ましい。

上記制御および／またはデータフローは、例えば、印刷コマンドを含むことができる。

上記方法は追加操作を含んでいてもよく、この追加操作は、ゲートウェイによって実行され、かつ、上記ゲートウェイをローカルルーターに接続するＩＰｓｅｃまたはＳＳＬタイプのトンネルを構築することからなる。

あるいは、ゲートウェイによって実行される上記操作は、上記ゲートウェイをローカル機器（この場合はプリンター）へ接続する第２のＩＰｓｅｃまたはＳＳＬタイプのトンネルを構築することによっても構成されることができる。

さらに、本発明による方法は、別の操作を含んでいてもよく、この操作は、ローカルルーターによって実行され、かつ、ゲートウェイに対してローカル機器（この場合はプリンター）へのアクセスを用意することからなる。

本発明はまた、ソフトウェアモジュールに関連する。このソフトウェアモジュールは、一旦該モジュールがＩＰｓｅｃゲートウェイ上にロードされると、少なくとも相関操作を実行するよう指示することを含んでいる。この相関操作は、先に説明した本方法の相関操作である。上記指示は、本方法の解析操作および送信操作をさらに実行することができる。

本発明はさらに、前述したソフトウェアモジュールによって少なくとも部分的に制御されるＩＰｓｅｃゲートウェイに関連する。

本発明の他の特徴および長所については、１枚の図面を参照にし、後述の説明によって明らかとなるであろう。後述の説明は適応例としてなされたものであり、限定的なものでは決してない。

前述の通り、本発明は、ローカルコンピュータネットワークＲＥＳ＿Ｌ（例えば家庭内ネットワーク）を、図面に示す構成で運用する方法に特に関連している。本方法はさらに、上記ローカルネットワークＲＥＳ＿Ｌに付け加えて、遠隔プライベートコンピュータネットワークＲＥＳ＿Ｄ（例えば企業内「イントラネット」ネットワーク）、ローカルルーターＲＯＵＴ＿Ｌ、およびＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄを含んでいる。上記ローカルネットワークＲＥＳ＿Ｌ自身は、少なくとも１つのローカル端末Ｔ＿Ｌおよびローカルコンピュータ機器Ｅ＿Ｌを含んでいる。これらのローカル端末Ｔ＿Ｌおよびローカルコンピュータ機器Ｅ＿Ｌは、例えば、ＩＰ上の任意のタイプの家庭用サービスに適したプリンターまたはサーバーであって、これらプリンターまたはサーバー（例えばｆｔｐ、ｔｅｌｎｅｔ等）に、端末Ｔ＿Ｌが継続的にアクセス可能でなければならない。

Ｔ＿Ｌ端末は、周辺機器Ｅ＿Ｌ（例えば、印刷ジョブを行なうことのできるプリンター）のリスト、具体的には、上記ローカルネットワークのプリンターのリストと共に構成されている。

ＩＰｓｅｃソフトウェアは、ブロッキングモードでのみ機能すると想定されるため、スプリットトンネリングを許可しない。

上記ローカルネットワークＲＥＳ＿Ｌの入力に位置しているローカルルーターＲＯＵＴ＿Ｌは、以下の複数の機能を実行する。

（１）端末Ｔ＿Ｌの、インターネットへの物理的接続（ＩＳＤＮ、ケーブル、ｘＤＳＬ等）を構築する。

（２）ローカルネットワークＲＥＳ＿Ｌ（ＰＣ、プリンター、スキャナー、デコーダー等）の種々の機器Ｅ＿Ｌの通信（一般的には、ケーブルイーサネット（登録商標）経由または無線（[ＩＥＥＥ８０２．１１]））を許可する。

（３）端末Ｔ＿Ｌおよび機器Ｅ＿Ｌの内部アドレス（[ＲＦＣ１９１８]）を、ルーティング可能なアドレスへ変換する。例えば、Ｔ＿ＬおよびプリンターＥ＿Ｌが、ローカルネットワークＲＥＳ＿Ｌにおいて、それぞれの内部アドレスａｄ＿１およびａｄ＿２を有している場合、ルーターＲＯＵＴ＿Ｔは、インターネット接続中に、これらの内部アドレスをルーティング可能なアドレスＡＤ＿１へ変換する。このルーティング可能なアドレスＡＤ＿１は、上記ルーターが、インターネットアクセスプロバイダーのネットワークへの接続中に入手したものである。上記変換方法は、ＮＡＴ／ＮＡＰＴ（ネットワークアドレス変換、ネットワークアドレスポート変換）、[ＲＦＣ３０２２]として当業者には知られている。これは、内部ＩＰアドレスと内部ポート番号とのペアと、外部ＩＰアドレスと外部ポート番号とのペア間の対応表を維持することからなる。ルーターＲＯＵＴ＿Ｌへ宛てられた各情報パケット、またはルーターＲＯＵＴ＿Ｌによって送信された各情報パケットに対して、上記変換がこの表に従って行われる。

（４）ポート変換技術（当業者には「ポートフォワーディング」として知られている）を実施する。このポート変換技術は、ルーターの外部ポートと、該ルーターの内部ポートとの間の関連を統計的に定義することからなる。このポート変換技術はまた、ローカルネットワークＲＥＳ＿Ｌ外の設備が、ルーターのノウンポート番号について、このローカルネットワーク内のサーバーをクエリに追加することによって、該サーバーにアクセス可能なようにする。

端末Ｔ＿Ｌと企業内ネットワークＲＥＳ＿Ｄ間に配置されているＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、端末からのＩＰｓｅｃトンネルを終了させる機能を果たす。ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、パケットルーティング機能を持ち、従って、インターフェースによってインターネット上でオープンであり、また、他方のインターフェースによってプライベートネットワークＲＥＳ＿Ｄ上でオープンである。

例えば、ルーティング可能なアドレスＡＤ＿２が割り当てられているゲートウェイＰＡＳＳ＿Ｄは、上記端末と上記ゲートウェイ間のＩＰｓｅｃブロッキングトンネルの構築中に、リモートネットワークＲＥＳ＿Ｄ内部のアドレスａｄ＿３を端末Ｔ＿Ｌに割り当てる。

標準的なＩＰｓｅｃゲートウェイに加えて、本発明によるゲートウェイは、ソフトウェアモジュールＭＴＩを含んでいる。このソフトウェアモジュールＭＴＩは、本発明に特殊な方法で、端末Ｔ＿Ｌに、ネットワークＲＥＳ＿Ｌの機器Ｅ＿Ｌまたはローカル機器へのアクセスを提供する。この特殊な方法については以下に詳述する。

本発明の方法の実行は、以下の前提に基づいている。

ローカルネットワークＲＥＳ＿Ｌは、いわゆる「プライベート」アドレッシングプランを使用する、つまり標準ＲＦＣ１９１８に準拠している。これは、実際には、家庭用ルーターＲＯＵＴ＿Ｌの構築者のデフォルト選択と対応している。このネットワークは、ＩＰアドレスを「プライベート」アドレスレンジへ割り当てる、ＤＨＣＰサーバーを実行する。

リモートネットワークＲＥＳ＿Ｄ（例えば企業内ネットワーク）は、家庭内ネットワークＲＥＳ＿Ｌで使用されるものと同じサブネットワークアドレッシングを使用しない。少なくとも、その様なオーバーラップが存在する場合であっても、応答型ネットワークに関する曖昧性は、要求の出所を考慮することによって取り除かれる。

例えば、ネットワーク１０．０．０．Ｘが、企業および家庭内ネットワークの両方で使用される場合、（１）それが、パケットをアドレス１０．０．０．３へ送る企業内ネットワークＲＥＳ＿Ｄの設備である場合、受信機器は、企業内ネットワークＲＥＳ＿Ｄの設備であり、（２）それが、パケットをアドレス１０．０．０．３へ送るローカルネットワークＲＥＳ＿Ｌの設備である場合、受信機器は、ローカルネットワークＲＥＳ＿Ｌの設備である。

ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、上記２つのアドレッシングプランを認識していて、かつ、上記２つのネットワーク間のスプリットである限り、上記区別をすることができる。

本発明の方法は、以下の原則に基づいている。

ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、ＲＥＳ＿Ｌなどの家庭内ネットワークの全端末Ｔ＿Ｌのデフォルトルーターである。従って、端末Ｔ＿Ｌが、例えば、そのローカルプリンターＥ＿Ｌへの印刷ジョブを命令しようとすると、その印刷命令はＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄに体系的に送られる。なぜなら、端末Ｔ＿ＬとゲートウェイＰＡＳＳ＿Ｄ間に構築されているブロッキングモードのために、プリンターＥ＿Ｌとの接続が不可能であるからである。これは、ＩＰスタックの正常な動作である。なぜなら、ＩＰｓｅｃブロッキングモードが、全パケットを強制的に企業内ネットワークＲＥＳ＿Ｄへ行かせることによって、クライアントのルーティング表を変化させるからである。

ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、その内部アドレスａｄ＿２によって識別されたローカル機器Ｂ＿Ｌへと、端末Ｔ＿Ｌによって宛てられたＩＰパケットの到着を確認する際に、上記ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、これらのＩＰパケットを企業内ネットワークＲＥＳ＿Ｄへ送ることはできないことを認識する。確かに、前述した前提を考慮すると、応答型宛先アドレス＿２は、企業内ネットワークＲＥＳ＿Ｄに属していない。あるいは少なくとも、家庭用端末Ｔ＿Ｌは、そのようなアドレスを要求する理由がない。次に、ゲートウェイＰＡＳＳ＿Ｄは、家庭内ネットワークＲＥＳ＿Ｌへ上記パケットを送らなければならないことを推測する。

しかし、このトラフィックを再ルーティングできるようにするためには、ゲートウェイＰＡＳＳ＿Ｄは、どの家庭用ルーターＲＯＵＴ＿Ｌへ送られなければならないのか認識する必要がある。

本発明によると、この情報は、端末Ｔ＿ＬとＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄ間に事前に構築されているＩＰｓｅｃトンネルの構築時に、ソフトウェアモジュールＭＴＩによって構築される。

家庭用ルーターＲＯＵＴ＿Ｌ内で実行されるＮＡＴメカニズムゆえに、ＩＰｓｅｃトンネルの構築中は、このルーターのパブリックアドレスＡＤ＿１が使用される。

次に、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、企業のアドレッシングプランの内部アドレスａｄ＿３を端末Ｔ＿Ｌに割り当てる。従ってＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、企業の内部アドレッシングプラン上の端末Ｔ＿Ｌのアドレスａｄ＿３と、家庭用ルーターＲＯＵＴ＿ＬのパブリックアドレスＡＤ＿１間のリンクを認識している。そして、ソフトウェアモジュールＭＴＩの機能は、具体的には、この対応を記録しておくことである。

結果として、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、ノーマッド端末Ｔ＿ＬからＩＰパケットを受領して、これらのパケットを家庭内ネットワークＲＥＳ＿Ｌに送らなければならないとき、家庭用ルーターＲＯＵＴ＿ＬのパブリックアドレスＡＤ＿１を正確に認識している。

家庭用ルーターＲＯＵＴ＿Ｌは、インターネットから特定のポートへの接続を受領するとき、特定のポート番号のローカル内部装置Ｅ＿Ｌへアドレスを変換できるように、ポート変換メカニズム（または「ポートフォワーディング」）を通常は実行する。例えば、この場合、インターネットから受領した全パケット、およびアドレスａｄ＿２に対応する印刷ポート上の全パケットは、内部プリンターＥ＿Ｌのポートへ直接再送されることができる。

この技術は、特に、後述するＩＰＰなど、現行の全印刷プロトコルと共に使用可能である。

ＩＥＴＦ（この場合はＰＷＧワーキンググループ[ＩＥＴＦ−ＩＰＰ]）の業務との関連において、ＩＰＰ（インターネット印刷プロトコル、[ＲＦＣ２９１０]、[ＲＦＣ２９１１]）が、ＨＴＴＰ／１．１プロトコルに対して拡張子を特定するという新たな基準が規定された。これによって、現代的かつ効果的なローカルおよび遠隔印刷ソリューションを提供している。

印刷プロトコルに関する先行技術書類は、「http://www.cups.org/overview.html」から入手可能である。

今日最も一般的に使用されているプロトコルの１つは、前述のＩＰＰプロトコルである。これは特に、大部分の機器にサポートされているからである。ＩＰＰプロトコルは、ＨＴＴＰプロトコルに非常に類似しているため、操作が平易である。ＩＰＰプロトコルは、クライアントサーバーモードに従ってＨＴＴＰプロトコルの様に機能する。このクライアントは、一般的に、ポート８０／ＴＣＰの遠隔プリンターにアクセスする。

印刷要求を処理するためのソフトウェアモジュールＭＴＩの機能内容、およびこのモジュールがロードされているＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄの機能内容については、以下に詳述する。

端末Ｔ＿Ｌは、そのＩＰｓｅｃトンネルを構築する際、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄと共にＩＫＥ（ＲＦＣ２４０９）による変換に参加する。この間、ＩＰｓｅｃゲートウェイは、送信元アドレスが家庭用ルーターＲＯＵＴ＿ＬのパブリックＩＰアドレス（即ちＡＤ＿１）であるＩＰパケットを受領する。

実際、ルーターＲＯＵＴ＿Ｌの横断中、該ルーターのアドレスＡＤ＿１が、端末Ｔ＿Ｌの内部アドレスａｄ＿１に体系的に代用される。

ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、動的ＩＰアドレス（ａｄ＿３）を端末Ｔ＿Ｌに割り当てる。この動的ＩＰアドレスは、企業内ネットワークＲＥＳ＿Ｄのアドレッシングプランに属している。

ローカルネットワークＲＥＳ＿ＬのルーターＲＯＵＴ＿ＬのパブリックアドレスＡＤ＿１、および端末Ｔ＿Ｌへ動的に割り当てられたアドレスａｄ＿３を認識しているＩＰｓｅｃゲートウェイは、モジュールＭＴＩにメッセージを送って、これら２つのアドレスを関連づける対応表を更新する。

アドレスＡＤ＿１およびａｄ＿３を有する対応表を更新するためのメッセージを受領すると、ソフトウェアモジュールＭＴＩは、この表を更新する。

端末Ｔ＿Ｌは、印刷ジョブを開始するとき、宛先プリンターとしてローカルネットワークＲＥＳ＿ＬのプリンターＥ＿Ｌを選択する。なぜなら、端末Ｔ＿Ｌは、いかなるＩＰｓｅｃトンネルも構築されなかったという、より平易な状況で印刷を行うからである。

ＩＰｓｅｃトンネルがブロッキングモードにあるため、端末Ｔ＿Ｌからの、プリンターＥ＿Ｌに向けられた制御およびデータフローは、トンネルによってＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄへと向けられる。

ＩＰｓｅｃトンネルを通過して送られ、かつ、企業内ネットワークＲＥＳ＿Ｄでないネットワークにアドレスａｄ＿２が属している設備に向けられたトラフィックの到着を確認すると、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄは、そのトラフィックをどの家庭用ルーターに再度向けさせるのかを、ソフトウェアモジュールＭＴＩに確認する。これを実行するために、ゲートウェイＰＡＳＳ＿Ｄは、企業内ネットワークＲＥＳ＿Ｄに見られるように、モジュールＭＴＩに端末Ｔ＿Ｌのアドレス（即ち、ＩＫＥによる変換中にゲートウェイＰＡＳＳ＿Ｄに割り当てられたａｄ＿３）を与える。

モジュールＭＴＩは、対応表を参照して、端末Ｔ＿Ｌのアドレスａｄ＿３に基づいて家庭用ルーターＲＯＵＴ＿ＬのパブリックアドレスＡＤ＿１を推測する。

ＩＰｓｅｃゲートウェイは、そのルーティング表を、この新しい宛先と共に更新し、印刷命令を家庭用ルーターＲＯＵＴ＿Ｌへ送る。言い換えると、ゲートウェイＰＡＳＳ＿Ｄは、パブリックＩＰアドレス（即ち、家庭用ルーターＲＯＵＴ＿ＬのＡＤ＿１）が受領した全パケットのリレーを実行する。

上記家庭用ルーターは、このフローを受領すると、ポート変換メカニズム（「ポートフォワーディング」）を用いてこのフローをプリンターＥ＿Ｌへと再度向けさせる。

端末Ｔ＿ＬがＩＰｓｅｃセッションを閉じるとき、または、端末Ｔ＿Ｌが切断されたことをＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄが検出するとき、端末Ｔ＿Ｌは、端末Ｔ＿Ｌに対応する入力をその表から削除するように、そして、この端末に対応する回線をそのルーティング表から消去するよう、モジュールＭＴＩに依頼をかける。

当業者であれば、上記の説明を読めば理解できるであろうが、本発明による方法は、スプリットトンネリングメカニズムの除去を可能にし、一方で、完全に安全な方法で、端末Ｔ＿ＬのネットワークＲＥＳ＿Ｌに属するローカル設備に接触する可能性を提供する。本発明による方法は、企業内ネットワークの安全性を損なうことはない。

本方法は、プリンターＥ＿Ｌ、家庭用ルーターＲＯＵＴ＿Ｌ、または端末Ｔ＿Ｌへのいかなる修飾または設定も不要である。

さらに本方法によって、プリンターの高度な機能が享受できるようになる。なぜなら、印刷内容が企業内ネットワークＲＥＳ＿Ｄを通過したとしても、ローカルプリンターのパラメータが引き続き有効であるからである。

インターネット上の解読されたモードを通過する代わりに、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄから家庭内ネットワークＲＥＳ＿Ｌを循環しているフローは、このゲートウェイとルーターＲＯＵＴ＿Ｌ間に構築されているＩＰｓｅｃトンネルによる傍受から保護される。このトンネルは、ＩＰｓｅｃゲートウェイが、フローを家庭内ネットワークＲＥＳ＿Ｌへと再ルートしたい場合に、ＩＰｓｅｃゲートウェイの要望によって構築される。この場合、上記家庭用ルーターは、ユーザの介入なしにトンネルの構築を受け入れるように設定されなければならない。

プリンターＥ＿ＬがＳＳＬで通信することができるならば、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄから家庭内ネットワークＲＥＳ＿Ｌを循環しているフローはまた、ＩＰｓｅｃゲートウェイとプリンターＥ＿Ｌ間に構築されているＳＳＬトンネルによる傍受からも保護される。従ってこの機能性は、本発明で有利に利用される。

両ケースにおいても、本発明による方法は、ＩＰｓｅｃゲートウェイを認証することによって、家庭内ネットワークＲＥＳ＿Ｌを侵入から保護し、また暗号化によって、交換データの信頼性を保障することができる。

最後に、大部分の家庭用ルーターＲＯＵＴ＿Ｌが基本的なファイアウォール規則の構築を許可する中で、ＩＰｓｅｃゲートウェイＰＡＳＳ＿Ｄに対して、（ポート変換メカニズムを介して）プリンターＥ＿Ｌへのアクセスを用意しておくように、固定規則を構築することが可能である。これによって、ローカルネットワークＲＥＳ＿Ｌを保護することにより、より高い安全性が得られる。

本発明の説明は、単に例示のために行なったものであり、本発明の主旨から外れない変形例は、本発明の範囲に入るものと考えられる。このような変形例は、本発明の思想と範囲とから外れるものとは見なされない。

本発明の一実施形態を示すものであり、本発明の方法が実行される構成を示す図である。

Claims (11)

1. ローカルネットワーク及び遠隔ネットワークの運用方法であって、
   上記ローカルネットワーク内のローカル端末が、上記遠隔ネットワークのゲートウェイに、ブロッキングモードで構築されたトンネルによって接続されているときに、
   上記ゲートウェイが、上記ローカル端末から上記トンネルを介して送信される、上記ローカルネットワーク内に配置されたローカル機器の内部アドレス宛のフローを受信し、
   受信したフローが、上記遠隔ネットワークを宛先とするものではないときに、上記ゲートウェイが、上記トンネルの構築中に取得した情報を用いて特定した、上記ローカルネットワークのルーターに上記フローを送信して、上記ローカル機器の内部アドレスにルーティングさせることを特徴とする方法。
2. 上記ゲートウェイは、受信されるフローを解析することにより、上記フローが上記遠隔ネットワークを宛先とするものでないか判断することを特徴とする請求項１に記載の方法。
3. 上記トンネルの構築時における、上記ローカル端末から上記ゲートウェイへの接続要求中に、上記ルーターが、上記ローカル端末のアドレスの代用として、上記ルーターのアドレスを適用し、
   上記トンネルの構築中に、上記ゲートウェイが、上記ローカル端末に上記遠隔ネットワーク内の遠隔アドレスを割り当て、
   上記トンネルの構築後、上記ゲートウェイが、上記ルーターのアドレスと、上記ローカル端末の遠隔アドレスとの対応付けを対応表に記録し、
   上記ゲートウェイが、上記フローに関連付けられた上記ローカル端末の遠隔アドレスに基づいて、上記対応表から上記ルーターのアドレスを特定し、
   上記ゲートウェイが、受信したフローを上記ルーターのアドレスに送信することを特徴とする請求項１または２に記載の方法。
4. 上記ルーターは、ポートフォワーディングによって、受信した上記フローを上記ローカル機器の内部アドレスにルーティングすることを特徴とする請求項１から３のいずれか１項に記載の方法。
5. 上記ローカル端末からの上記フローが印刷命令を含んでいることを特徴とする請求項１から４のいずれか１項に記載の方法。
6. 上記ゲートウェイは、ＩＰｓｅｃまたはＳＳＬによって第２のトンネルを構築して、上記ゲートウェイと上記ルーターとを接続させることを特徴とする請求項１から５のいずれか１項に記載の方法。
7. 上記ゲートウェイは、ＩＰｓｅｃまたはＳＳＬによって第２のトンネルを構築して、上記ゲートウェイと、プリンターによって構成されている上記ローカル機器とを接続させることを特徴とする請求項１から５のいずれか１項に記載の方法。
8. 上記ローカル機器は、プリンターを含むことを特徴とする請求項１から７のいずれか１項に記載の方法。
9. 遠隔ネットワークのゲートウェイにロードされるソフトウェアモジュールであって、
   請求項１から８のいずれか１項に記載の方法の、ルーターにフローを送信する処理を実行させる指示を少なくとも含んでいることを特徴とするソフトウェアモジュール。
10. 上記ゲートウェイは、ＩＰｓｅｃを用いるものであり、
    少なくとも、請求項２に記載の方法の、フローを解析する処理を実行させる指示をさらに含んでいることを特徴とする請求項９に記載のソフトウェアモジュール。
11. 請求項９または１０に記載のソフトウェアモジュールによって少なくとも部分的に制御されることを特徴とする遠隔ネットワークのゲートウェイ。

Images