JP5318111B2

JP5318111B2 - リモートデバイスに構成情報を自動配布するための中央管理ステーションのための種々の方法および装置

Info

Publication number: JP5318111B2
Application number: JP2010531284A
Authority: JP
Inventors: ドイチユ，ジヨナサン・ピーター; サン，ダニー・テ−アン
Original assignee: ラントロニクス・インコーポレイテツド
Priority date: 2007-10-24
Filing date: 2008-10-24
Publication date: 2013-10-16
Anticipated expiration: 2028-10-24
Also published as: EP2203832A4; CN101918926A; EP2203833A1; CN101918926B; CN101952810B; US20100235481A1; US20110246630A1; CN101952810A; US8825816B2; US20120284374A1; EP2203832A1; EP2203831A4; CA2703210A1; JP2011501623A; US20110035478A1; CA2703206A1; WO2009055717A1; CA2703204A1; US8793353B2; EP2203833A4

Description

本出願は、米国特許出願シリアル番号第６０／９８２，３８８号、２００７年１０月２４日出願、「ＭｅａｎｓｏｆｐｒｏｖｉｄｉｎｇｖｉｒｔｕａｌＩＰａｄｄｒｅｓｓｔｏａｕｔｏｍａｔｉｃａｌｌｙａｃｃｅｓｓｒｅｍｏｔｅｎｅｔｗｏｒｋｄｅｖｉｃｅｓ」の優先権を主張するものである。

著作権
本願の開示の一部は、著作権保護対象の素材を含む。著作権所有者は、ソフトウェアエンジンおよびそのモジュールのいずれかによる複製再生に対して、それが特許商標局の特許ファイルまたは記録内で見られる時には異議はないが、それ以外の場合には、如何なる形であれ全ての著作権の権利を有する。

本発明の実施形態は、概して、ネットワークデバイスに関する。より詳細には、本発明の一態様は、リモートデバイスに構成情報を自動配布するための中央管理ステーションに関する。

インターネットは、あるネットワーク上のデバイスが同じネットワークまたはリモートネットワーク上にあり得る他のデバイスと自動的に通信できるように、ＴＣＰ／ＩＰプロトコルスイートを共同で使用するネットワークの大きな集合である。このような各デバイスは、各々のアクティブなネットワークインタフェースに対してＩＰアドレスが割り当てられており、このＩＰアドレスによりネットワークインフラのコンポーネントが宛先のデバイス間のトラフィックを自動的にルーティングすることができる。

このような各ネットワークインタフェースは、ＩＰアドレスの複数のブロックがローカルネットワークの外側で利用可能である必要のないインタフェース上で使用するために確保されていても、インターネット全体にわたって固有のＩＰアドレスを割り当てられることが一般的に必要である。このようなプライベートアドレスは、ローカルネットワーク上のデバイスからのトラフィックがリモートネットワーク上のルーティング不可能なアドレスを有するネットワークインタフェースに到達できるようにルート（すなわち、ネットワークインフラデバイス群を通るパス）を確立することができないため、「ルーティング不可能な」アドレスとも呼ばれる。インターネットが普及したので、この技術によりプライベートアドレスを繰り返し再使用することができるようになり、このことが公的にアクセス可能なＩＰアドレスの不足しつつある状況を緩和するのに役立っている。しかし、管理者がルーティング可能なアドレスを持たないリモートデバイスにアクセスできる代替の機構を求めたために、この技術はより複雑なものとなった。

インターネットが普及し、セキュリティ脅威が増大したため、ネットワーク管理者はさらに、ネットワーク管理者が要求通りに許可されるアクセスまたは拒否されるアクセスの特定のアドレスとポートの組み合わせを指定することができるようなネットワークフィルタリングデバイスまたはアプリケーションを開発および展開することによって、管理制御の下で特定のデバイスへのアクセスの制限しようとしてきた。これら２つの技術は、一緒になってインターネットの普及および安定を確保するのに役立つが、そのことでより一層複雑になり、管理者はその管理制御の範囲外のネットワーク上のネットワークデバイスにシームレスにアクセスすることを望むことができない。

この問題に対処するための１つの既存の機構は、ローカルネットワークデバイスに専用クライアントソフトウェアをインストールすることを含む。このソフトウェアにより、ローカルネットワークデバイスは「仮想プライベートネットワーク（ＶＰＮ）」の一部として機能することができ、ローカルデバイスはリモートネットワークのメンバであるかのように機能することができる。このようなＶＰＮシステムを使用すると、ローカルホストはリモートネットワーク上のＩＰアドレスが割り当てられ、リモートネットワーク上のホストに対する（ｔｏａｎｄｆｒｏｍ）全てのトラフィックがＶＰＮシステムによって自動的にルーティングされる。

この技術は有効であるが、アプローチには複数の欠点がある。ＶＰＮシステムは、まず、リモートネットワークの管理者によって設定されなければならない。設定されると、ＶＰＮシステムにアクセスを望む各々の外部デバイスに特殊なソフトウェアがインストールされなければならない（インストールされない場合、システムは、例えば、ウェブブラウザインタフェース経由で制限されたアクセスのみを提供することができる）。さらに、適切なセキュリティ証明書がリモート管理者によって作成され、ローカル管理者またはユーザによって配布され維持されなければならない。これらは全て、操作に関与する当事者全員に重要な管理上の負担をかけるものである。最後の欠点は、ローカルホストがＶＰＮアクセスを許可されると、通常は、リモートネットワーク上の全てのデバイスにアクセスするのを防ぐために追加のフィルタリングステップが行われなければ、全てのデバイスにアクセスしてしまう。これは、リモート管理者に望まれない場合もある。

ルーティング不可能なアドレスの問題を克服する別の技術は、いわゆる「ネットワークアドレス変換（ＮＡＴ）」を実行することである。このＮＡＴは、ネットワークのアドレス／ポートの組み合わせをルーティング可能なアドレスからルーティング不可能なアドレスに自動的にマッピングする境界ルータの複雑な再構成を含む。この技術により、１つの公的にルーティング可能なＩＰアドレスを使用することでルーティング不可能なアドレスを有する複数のデバイスにアクセスすることができるが、システムはより複雑になる。ＮＡＴ対応のネットワークは、一般には、特定のポート／アドレスの組み合わせから特定のデバイスへのマッピングが予め構成されていなければ、着信接続できない。また、このマッピングはデフォルト設定のアドレス／ポートの組または非標準的なアドレス／ポートの組み合わせの使用を試みるソフトウェアと競合する場合がある。

これらのソリューションに伴う大きな問題は、機器がリモート位置で利用可能になると、初期構成パラメータの設定、システム設定またはパラメータの更新または変更を行わなければならないことである。この問題は、構成されるデバイスの数が増えるとより深刻である。

これらの問題を考えると、専用のハードウェア（ラップトップまたはローカルＰＣデバイス）またはホストソフトウェアを使用せずに、またリモートネットワークのネットワーク管理者がソリューションを設定、維持、または操作するための特権を必要とせずに、リモートデバイスに対して簡単かつ自動的な構成を可能にする機構が必要である。

リモートデバイスを構成する中央管理システムのための方法、装置、システムを説明する。デバイスサービスマネージャサーバ（ＤＳＭ）は、広域エリアネットワーク上のＤＳＭの位置に対して広域エリアネットワーク上の（場合により、ファイアウォールの背後にある）２つ以上のデバイスサービスコントローラ（ＤＳＣ）と協働するように構成されたＩＰリダイレクタモジュールを有することができる。ＤＳＭはＤＳＣに構成情報を配布するための中央管理ステーションとしての機能を果たし、管理者はドライブポートを介してＤＳＣにアップロードされ得る実行可能起動ファイルを作成して、システムを動作可能にする初期デバイス動作パラメータを自動的に設定し、ＤＳＣの動作パラメータにさらなる動作およびメンテナンスの変更を加えるためにＤＳＭとコンタクトをとることができる。さらに、ＤＳＣは、ＤＳＣおよびＤＳＣと同じネットワーク上のネットワークデバイスのための動作情報および構成情報を収集し、ＤＳＭによるプロンプトなしで、この情報をローカルストレージデバイスにコピーするか、またはＤＳＭに送信することができ、ＤＳＭはＤＳＣのためにＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成する。

図面は本発明の実施形態を参照したものである。

ファイアウォールにより保護されたネットワーク内のネットワークデバイスに対してアクセスするシステムの一実施形態を示すブロック図である。第１のファイアウォールにより保護された第１のドメインおよび第２のファイアウォールにより保護された第２のドメインの外部にデバイスサービスマネージャサーバを配置するシステムの一実施形態を示すブロック図である。ＤＳＭに対して自身の認証を行い、ＤＳＭへの発信ＴＣＰ／ＩＰストリーム接続を確立し、その後、確立されたＴＣＰ／ＩＰストリーム接続上で将来の双方向通信に対して接続をオープンに保つことにより、ＤＳＭへの直接通信トンネルを提供するように構成されたコンジットマネージャを各々が有するＤＳＣを備えたシステムの一実施形態を示すブロック図である。中央ＤＳＭとファイアウォールにより保護されたネットワーク内のネットワークデバイスに対してアクセスするローカルＤＳＣとを有するシステムの一実施形態を示すブロック図である。ＤＳＣ内のコンジットマネージャの一実施形態の状態図である。分散システムの自動化集中型管理の一実施形態のブロック図である。ＤＳＭの一実施形態の例を示すブロック図である。ＤＳＣの一実施形態の例を示すブロック図である。ＤＳＣ内の実行可能な起動ファイルを介して構成情報をＤＳＣに配布するＤＳＭの一実施形態を示すブロック図である。

本発明は、さまざまな変更や代替の形態が可能であるが、本発明の特定の実施形態が図面に例として示されており、これについて本明細書内で詳細に説明する。本発明は、開示された特別な形態に限定されるものではないと理解されるべきであるが、一方で、本発明は、本発明の精神およびその範囲内にある全ての変更、等価物、代替形態を含めるものとする。

以下の説明では、本発明を十分に理解できるように、多くの特定の詳細事項、例えば、特定のデータ信号、指定コンポーネント、接続、ネットワークなどの実施例が説明されている。しかしながら、本発明はこれらの特定の詳細事項がなくても実施可能であることは当業者には明らかである。他に、本発明を不必要に分かりにくくするのを避けるために、知られているコンポーネントまたは方法は詳細に説明されず、ブロック図で説明される。また、第１のネットワークなどのように特定の番号参照がなされてもよい。しかしながら、特定の番号参照は、文字通りの順番として解釈すべきではなく、第１のネットワークは第２のネットワークと異なるものであると解釈すべきである。したがって、説明される特定の詳細事項は単なる例にすぎない。特定の詳細事項は変わる場合があるが、それでも本発明の精神および範囲内にあるように考慮される。

概して、リモートデバイスを構成するための中央管理システムを提供するための種々の方法および装置を説明する。デバイスサービスマネージャサーバ（ＤＳＭ）は、広域エリアネットワーク上のＤＳＭの位置に対して広域エリアネットワーク上のファイアウォールの背後にあるネットワークデバイスのための通信をプロキシするためにアクセスモジュールを管理する管理モジュールを各々が有する２つ以上のデバイスサービスコントローラ（ＤＳＣ）と協働するように構成されたＩＰリダイレクタモジュールを有することができる。ＤＳＭは、ＤＳＣに構成情報を配布するための中央管理ステーションとしての機能を果たす。ＤＳＣ内の実行可能起動ファイルは、その個々のＤＳＣデバイスの固有ＩＤを決定するために、ＤＳＣの現在のＩＰアドレスを決定するために、広域エリアネットワーク上のＤＳＭのＩＰアドレスを提供するために、ＤＳＭとの通信を開始するコードをアクティブにするために、コードでスクリプト化される。ＤＳＣ内のデバイス構成エンジンは、ＤＳＭによるプロンプトなしで、安全な通信チャネルを介して、少なくとも個々のＤＳＣデバイスの固有ＩＤとＤＳＣの現在のＩＰアドレス情報とを有する初期構成ファイルをＤＳＭの提供されたアドレスに送信し、ＩＰリダイレクタモジュールがこの構成情報を受信し、ＤＳＭ内のユーザデータ複製マネージャモジュールと協働して、初期構成情報と追加の情報とを有するデバイス構成ファイルを作成し、その後、ＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成する。

図１は、ファイアウォールにより保護されたネットワーク内のネットワークデバイスに対してアクセスするシステムの一実施形態を示すブロック図である。

第１のネットワーク１０４上の第１のデバイスサービスコントローラ１０２（ＤＳＣ）は、第１のファイアウォール１０６により保護されている。第１のネットワーク１０４は、第１のＤＳＣ１０２に関連付けられたホストコンソール１０８を含んでもよい。ホストコンソール１０８は、第２のファイアウォール１１４により保護されている第２のネットワーク１１６内の機器のサブセットを制御および管理する。第２のネットワーク１１６は、第１のネットワーク１０４およびホストコントローラ１０８からのインターネット上に位置する。第１のネットワーク１０４上の第１のデバイスサービスコントローラ１０２と第２のネットワーク１１６上の第２のデバイスサービスコントローラ１１２とは、インターネット上に位置するデバイスサービスマネージャサーバ（ＤＳＭ）１１０と協働して、ファイアウォール１０６、１１４を介して第２のネットワーク１１６上の機器のサブセットへの高度に安全なリモートアクセスを提供する。デバイスサービスマネージャサーバ１１０は、ファイアウォール１０６、１１４を介して、各デバイスサービスコントローラとの直接通信トンネル経由でマシン間の通信を実行するコードを含むＩＰリダイレクタプログラム１１８を有する。第２のネットワーク１１６内の機器のサブセットは、例えば、サーバ、ＰＬＣデバイス、動作コントローラ、自動化装置、プリンタ、セキュリティシステム、パーソナルコンピュータを含むことができる。

動作時に、ユーザはホストコンソール１０８から、ホストコントローラモードで動作しているローカルＤＳＣ上の指定ポート、すなわち、第１のＤＳＣ１０２への接続をオープンにする。このローカルＤＳＣは、この接続を承認し、対象デバイスへの接続が確立するまで接続を保留状態に保つ。このローカルＤＳＣは、その後、制御するＤＳＭ１１０への接続を開始し、ＤＳＭが接続を対応する管理されたデバイスＩＰアドレスおよびポートにマッピングする。ローカルＤＳＣは、ＤＳＭ１１０に対して自身の認証を成功させるためにその識別情報を送信する。対象デバイスに関与する関連ＤＳＣ、すなわち、第２のＤＳＣ１１２は、定期的にＤＳＭ１１０との安全なトンネルをオープンにし、保留中の接続があるか否かを判断する。保留中の接続がある場合、ＤＳＭ１１０は、ＤＳＭ１１０へのプロキシ接続を開始するようにＤＳＣに命令し、そのプロキシ接続に保留中の接続のトラフィックを通過させる。ファイアウォールの背後にあるローカルＤＳＣは、保留中の接続がある場合、ＤＳＭ１１０との直接通信トンネルをオープンに保つ。

第１のＤＳＣ１０２とＤＳＭ１１０との間の直接通信トンネルと第２のＤＳＣ１１２とＤＳＭ１１０との間の直接通信トンネルとが結合して、ファイアウォールにより保護されているネットワークの外部にあるデバイスからファイアウォールにより保護されているネットワーク内の機器の安全なアクセスおよび管理を可能にすると同時に、ネットワークのＩＴポリシーおよびネットワークファイアウォールのインテグリティを維持することができる。第１のＤＳＣ１０２および第２のＤＳＣ１１２に対する接続点は、直接通信トンネルを介する通信のセキュリティを強化するために、ＤＳＣ１０２、１１２は各ファイアウォール１０６、１１４の背後に配置されるので、ネットワーク外部のデバイスに対して各ネットワークの外側で公的に公開されない。ローカルＤＳＣがＤＳＭ１１０に対して認証を成功させると、ＤＳＣはすぐに、関与しているＤＳＣに対して可視であると指定されたネットワーク内で、任意のデバイス、例えば、ＰＬＣデバイスに対する安全なアクセスを開始することができる。指定された可視デバイスは、公開される第２のネットワーク１１６のユーザにより認証されたデバイスである。

上述したように、関連する可視デバイスは、ドメインの所有者によって、仮想デバイスネットワークＶＤＮ（すわなち、ＶＤＮは、可視であることを認証された第１および第２のネットワーク１０４、１０６内の機器を含む）に対して可視である／公開されることを認証されたデバイスである。ＶＤＮに情報が可視的に公開されることを認証された第２のネットワーク内の機器のサブセットの例として、サーバ、ＰＬＣデバイス、動作コントローラ、自動化装置を含むが、プリンタ、セキュリティシステム、パーソナルコンピュータはユーザによってＶＤＮに対して可視であることを認証されていない。

ローカルＤＳＣは、そのネットワーク内のコンポーネントを発見し、ドメインの所有者にグラフィックユーザインタフェースを提示して、所有者が情報を可視／公開を望むのはどのネットワークコンポーネントであるかを尋ねる。ローカルＤＳＣは、この情報を収集し、この情報を記憶し、公開情報をＤＳＭに送信する。この情報は、ＤＳＣのネットワーク内のＤＳＣの識別子およびＩＰアドレス、各コンポーネントのＩＰアドレス、名前、機能、サポートされるプロトコルなどを含むことができる。

図５は、分散システムの自動化集中型管理の一実施形態のブロック図である。

システムの中核は、ＤＳＭ５１０である。デバイスサービスマネージャは、ＤＳＣ５０２、５１２、５１３、５１５の一群を管理する。

ＤＳＭ５１０は、広域エリアネットワーク上のＤＳＭ５１０の位置に対して広域エリアネットワーク上のファイアウォール５０６、５１４、５１７、５１９などのファイアウォールの背後にあるＤＳＣ５０２、５１２、５１３、５１５のうち２つ以上と協働するように構成されているＩＰリダイレクタモジュール５１８を有することができる。ＤＳＭ５１０は、ＤＳＣ５０２、５１２、５１３、５１５に構成情報を自動配布するための中央管理ステーションとして機能する。ＤＳＣ内のドライブポートを介してアップロードされた実行可能な起動ファイルは、ＤＳＣおよびそのＤＳＣと同じネットワーク上のネットワークデバイスのための構成情報を集めるためにスクリプト化され、ＤＳＭ５１０によるプロンプトなしで、初期構成ファイルをＤＳＭ５１０に送信する。ＤＳＭ５１０は、ＤＳＣのためにＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成する。

各ＤＳＣ５０２、５１２、５１３、５１５とＤＳＭ５１０とは協働して、異なるドメイン内の関連デバイス間のエンドツーエンドアクセスを提供する。ＤＳＭ５１０は、関与しているＤＳＣ５０２、５１２、５１３、５１５のためにプロキシ接続ポイントとして機能する。ＤＳＭ１１０は、ユーザホストと宛先デバイスとの間の接続を中継する専用の機器である。

各ＤＳＣ５０２、５１２、５１３、５１５は、関与しているＬＡＮ上の低コストのプレゼンスポイントとして機能する。各５０２、５１２、５１３、５１５は、同時にホストコントローラ（ホストシステムから接続を発信する）とデバイスコントローラ（個々のリモートデバイスへの着信接続を受信および管理する）との両方の機能を果たすことができる。各５０２、５１２、５１３、５１５は、ローカルＬＡＮの範囲外に位置する親ＤＳＭ５１０に対する自身とその関連ネットワークデバイスとの両方の接続をプロキシするように構成されている。

リモートネットワークに対して、新規にインストールされたＤＳＣは新規にインストールされたコンピュータのように機能する。リモートネットワーク上のデバイスにアクセスするためには、ＤＳＣはＶＤＮを制御するＤＳＭへの１つのアウトバウンド接続を確立しなければならないだけである。アウトバウンド接続は、ホストコントローラの機能を果たすＤＳＣとＤＳＭとの間のコンジット通信リンクである。この接続が確立されると、システム構成、コマンド、ネットワークトラフィックが全て暗号化されたチャネルを通過することができる。ＤＳＣがＤＳＭに対する認証に成功すると、ＤＳＣは即座に予め認証されている機器の個々の構成要素への安全なアクセスを提供する。

ユーザによってＰＣまたはローカルサーバ上にクライアントソフトウェアがインストールされる必要もなく、また接続の両終端部でネットワーク構成またはアプリケーションソフトウェアの変更の必要なしに、ＤＳＭおよび関与するＤＳＣが安全で全体的にトランスペアレントなリモートアクセスソリューションを提供する。ＤＳＣは、ローカルドライブポートを介してソフトウェアをアップロードし、残りはそれを行う実行可能ファイル自身によってスクリプト化される。

したがって、デバイスサービスマネージャサーバ５１０は、１つ以上のデバイスサービスコントローラ５０２、５１２、５１３、５１５と協働して、コンタクトの中心点を通って、世界中の位置で安全にファイアウォールの背後にある１０００個の関連ネットワークデバイスを管理することができる。各デバイスサービスコントローラ５０２、５１２、５１３、５１５は、ファイアウォールの背後に位置する個々の機器に接続し、それを管理するように構成され、自身がデバイスサービスマネージャサーバの位置に対してファイアウォールの背後に位置付けられる。

図８は、ＤＳＣ８１０内のドライブポート８３４を介してアップロードされた実行可能な起動ファイルを介して、第１のＤＳＣ８０２などのＤＳＣに構成情報を配布するＤＳＭの一実施形態を示すブロック図である。ＤＳＭ８１０の管理者は、起動ファイルを作成し、この実行可能な起動ファイルのコピーをサムドライブに組み込む。実行可能な起動ファイルを搭載したサムドライブは、ＤＳＣデバイス８０２が一緒になって標準装備となっている。ＤＳＣ８０２内の実行可能起動ファイルはコードでスクリプト化されて、少なくとも、１）個々のＤＳＣデバイスの固有ＩＤを決定する、２）ＤＳＣの現在のＩＰアドレスを決定する、３）広域エリアネットワーク上のＤＳＭのＩＰアドレスを提供する、４）ＤＳＭ８１０との通信を開始するためにコードをアクティブにする。

ＤＳＣデバイス８０２は、ドライブポート８３４を介してサムドライブから起動ファイルをアップロードし、起動ファイルのコンテンツを使用して、ＳＳＨを介したＤＳＣ８０２とＤＳＭ８１０との間の安全な通信チャネルを自動的に生成し、ＤＳＭ８１０にＷＡＮ上のそのＩＰアドレスで接続する。ＤＳＣ８０２は、次に、固有ＩＤ、デバイスＭＡＣアドレス、および／または、可能であれば関連ＤＮＳエントリを使用してＤＳＭ８１０に対して自身の認証を行う。ＤＳＭ８１０は、次に、ＤＳＭ８１０内で維持されている参照テーブル内の認証情報を調べる。

一実施形態では、個々のＤＳＣの構成は、ＤＳＣのリモート位置で、ユーザがＤＳＣの初期構成設定を有する起動ファイルを含むサムユニバーサルシリアルバス（ＵＳＢ）フラッシュデバイスなどの適切な携帯コンピュータ可読媒体をそのデバイス上のＵＳＢスロットに挿入し、ユニットに電力を供給し、ＤＳＣのＬＥＤがグリーン（うまく起動したことを示す）になるのを待つだけで生じる。次に、ユーザはＦＬＡＳＨボタンを押し、ＤＳＣにＵＳＢフラッシュデバイスからの起動ファイルを読ませてＤＳＭにコンタクトを試みらせる。ＤＳＣがそれに成功すれば、ＤＳＭのＬＥＤもグリーンになって、接続が成功したことを示す。後でより詳細に説明するが、ダウンロードされる追加の構成情報がある場合、ＤＳＣのＬＥＤおよびＡＣＴＩＶＩＴＹのＬＥＤは共に点滅グリーンになり、構成アップデートをダウンロード中であることを示す。ＤＳＣの構成が完了すると、ＤＳＣのＬＥＤは再び安定したグリーンになり、トラフィックの通過を開始できる状態にあることを示す。

図６は、ＤＳＭの実施形態の一例を示すブロック図である。ＤＳＭ１１０は、ＤＳＭ６１０内のトンネルマネージャを含むＩＰリダイレクタ６１８、ユーザインタフェース、レジストリを含むデータベース６２０、アソシエーションマネージャ、ポリシーマネージャ、複製マネージャなどのコンポーネントおよび他の同様のコンポーネントを含むことができる。

図７は、ＤＳＣの実施形態の一例を示すブロック図である。ＤＳＣ７０２は、アソシエーションマネージャ、コンジットマネージャ７２４、トンネルマネージャ、ネットワークマニホールド７２６のコンポーネントを含むアクセスサブシステムなどのコンポーネントを含むことができる。ＤＳＣはさらに、レジストリを含むローカルデータベース７２８、ディスカバリマネージャ７３０、デバイス構成マネージャ、デバイス監視マネージャ、デバイス構成エンジン７４３を含む自動化サブシステム、ユーザインタフェース、電源７３２、ドライブポート７３４、他の同様のコンポーネントを含むことができる。

図７では、上述したように、ＤＳＣ７０２内のデバイス構成エンジン７４３が、ＤＳＭによるプロンプトなしで、安全な通信チャネルを介して、例えば、安全なプロトコル、暗号化電子メール、または同様の方法を介して、少なくとも個々のＤＳＣデバイスの固有ＩＤとＤＳＣの現在のＩＰアドレス情報とを有する初期構成ファイルをＤＳＭ（個々のデバイスがデバイスＩＤ、デバイスＭＡＣアドレス、および／または、可能であれば関連ＤＮＳエントリによって識別されている）に送信する。

図６では、ＤＳＭのＩＰリダイレクタモジュール６１８がこの構成情報を受信する。ＤＳＭ６１０は、この構成情報およびさらなる情報を有するデバイス構成／複製ファイルを作成し、ＤＳＭのレジストリ６２０内にデバイス構成ファイルのマスターコピーを作成するためのユーザデータ複製マネージャモジュール６４５を有する。ユーザデータ複製マネージャモジュール６４５は、次に、ＤＳＣがＤＳＭ６１０に登録されるのに応答して、または所与のＤＳＣがシステムリセットを実行するのに応答して、この構成情報を適切なＤＳＣに配布する。また、ＤＳＭ６１０は、起動コールに応答して、ファームウェア、ソフトウェアパッチなどの更新を送信することができることに留意されたい。

図７では、ＤＳＣ７０２は、既存のネットワーク内で展開されるスタンドアロン型デバイスとすることができる。展開は、単にＤＳＣの電力接続部および電源供給回路への電源に物理的にプラグインすること、Ｅｔｈｅｒｎｅｔ（登録商標）ネットワーク接続にプラグインすること、提供されたサムドライブをドライブポート７３４に挿入すること（すなわち、ＵＳＢフラッシュドライブをＵＳＢポートに挿入すること）からなる。それだけである。このように、ＤＳＣ７０２はスタンドアロン型デバイスであり、既存のネットワーク内の別のホストデバイス上にクライアントソフトウェアがインストールされる必要もなく、またエンドユーザからネットワーク構成設定が要求されることなく、既存のネットワークに接続してＤＳＣを既存のネットワーク上に完全にインストールすることができる。したがって、多くの企業のＩＴ部門が未承認のサードパーティアプリケーションがシステム上にインストールされるのを許可しないのを避けることができる。この時、ＤＳＣ７０２は既存のネットワーク上に常駐し、ＬＡＮへの通信を仲介する。ネットワーキング知識は必要ではなく、このリモートデバイスへのアクセスが自動的に構成される。ＤＳＣを既存のネットワーク上に完全にインストールするのに、エンドユーザの構成またはソフトウェアのインストールが必要でない。

各ＤＳＣ７０２内に常駐する自動ディスカバリプレゼンスマネージャプログラム７３０は、既存のＬＡＮ上のネットワーク機器を発見し、ローカルネットワーク上のプレゼンスの瞬間ポイントを確立する。ディスカバリプレゼンスマネージャプログラム７３０は、ポーリング技術を使用してネットワーク上の関連デバイスを発見する。ディスカバリプレゼンスマネージャプログラム７３０は、ネットワークのユーザに、ファイアウォールによって保護されているネットワーク機器の発見された構成要素が少なくともＤＳＭによるリモートアクセスに対して可視であるか否かを尋ねるためにグラフィカルユーザインタフェース（ＧＵＩ）７４９を有する。次に、ＤＳＣデバイス７０２は、安全なチャネルを介して、指定された可視ネットワークデバイス情報を有する初期構成ファイルを収集し、中央管理ＤＳＭに送信し、ＤＳＭはローカルＤＳＣおよび任意の関連ネットワークデバイスの両方をＤＳＭがホストする識別レジストリに自動的に登録する。この情報は、その後、動的ＤＮＳ、ＬＤＡＰ、ＤＨＣＰおよび関連ウェブベースディレクトリサービスアプリケーションインタフェースを介して利用可能になる。一実施形態では、自動ディスカバリサービス７３０は、ＤＳＭがマスター構成ファイルのコピーおよび任意のファームウェアやソフトウェアの更新を返信するまで、既存ＬＡＮ上のネットワーク機器を発見するために待機する。

グラフィックユーザインタフェース７４９は、ＤＳＭ管理者が各関連ＤＳＣに対して自動化デバイスディスカバリを構成するように構成されている。ＳＮＭＰｖ１、ＳＮＭＰｖ２、または別のプロトコルのいずれかを検索機構として指定する複数の個々の走査記録が作成される場合がある。自動化デバイスディスカバリがアクティベートされると、走査記録が適切なＤＳＣへコピーされ、それらを使用して付属するネットワークデバイスに対してローカルＬＡＮの定期的走査を開始する。

デバイスが発見されると、ＤＳＣはディスカバリ記録を作成する。このディスカバリ記録は、最低限、発見されたデバイスのＩＰアドレス、発見されたネットワークデバイスを配置するのに使用されるディスカバリプロトコル、発見するＤＳＣの識別子を含む。得られるディスカバリ記録は、ＤＳＭのアソシエーションコンポーネント、構成コンポーネント、監視サービスコンポーネントにより使用するために、ＤＳＭに戻って複製される。そのような各ディスカバリ記録は固有ＩＤが割り当てられ、その固有ＩＤにより管理者は個々の構成や発見されたデバイスを曖昧に指すことを避けることができる。ＤＳＭは、次に、ＤＳＭのレジストリ７２８内に記憶するために、ＤＳＣのローカルコピーを返信する。

このように、２つ以上のＤＳＣの各ＤＳＣ７０２はローカル登録オーソリティとしての機能を果たし、既存のローカルＬＡＮ上の関連ネットワークデバイスからの登録要求を承認し、ローカルＬＡＮ上の関連ネットワークデバイスに対してポーリングを行う。ＤＳＣ７０２は、関連デバイスのレジストリ７２８を維持し、自動的にＤＳＣ７０２自身と関連デバイスとの両方を親ＤＳＭレジストリに登録することができる。各ＤＳＣ７０２はこのデータを親ＤＳＭに提供する。各ＤＳＣ７０２は、ポーリング技術を使用して発見された関連デバイスを登録することによってデバイスディスカバリおよびディレクトリサービスに関与する。

図６では、ＤＳＭ６１０は、広域エリアネットワークを介するＤＳＣの分散システムの集中管理とこれらのＤＳＣ間のプロキシ通信を行う。管理者は、ＤＳＭ６１０のＧＵＩ６５１を使用して、特定の発見されたデバイスと既存のデバイス構成とのアソシエーションの組を作成することを含む追加情報、永続的状態情報などを有する初期構成ファイルから中央レジストリ６２０内に完全なデバイス構成記録を作成する。中央構成レジストリ６２０は構成情報を記憶し、ユーザデータ複製マネージャはＤＳＭ６１０内に記憶されたデバイス構成ファイルのマスターコピーを作成する。

中央レジストリ６２０は、関連ＤＳＣとそれらの顧客ネットワークデバイスにレジストリサービスと、動的ドメインネームシステム（ＤＮＳ）、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）、動的ホスト構成プロトコル（ＤＨＣＰ）を含むサポートサービスとを提供する。

また、ＤＳＭ６１０のグラフィックユーザインタフェース６５１は、ＤＳＭの管理者が、特定の発見されたＤＳＣデバイスと既存のデバイス構成との組として定義される個々のデバイスのアソシエーションを指定できるように構成される。デバイスが関連付けられると、ＤＳＭ６１０は適切な構成変更を加えて、ＤＳＭ６１０内のＩＰリダイレクタモジュール６１８内に維持されているアクセスルールのプリセットセット通りに、ネットワーク機器のためにＤＳＣへのプロキシ接続の転送を開始することができる。

検出されたＤＳＣが発見され、登録されると、適切なアイコンがグラフィックユーザインタフェース６５１のデバイス監視サービスビューに現れる。次に、ユーザは、各々の登録されたデバイスを以前に作成された構成記録に関連付けることができる。これが行われると、追加のデバイス設定（ディスカバリ検索記録を含む）が自動的にＤＳＣにダウンロードされることができる。次に、これらの設定に基づいて、ＤＳＣは追加のネットワークデバイスの発見とトラフィックの通過を始める。

ＤＳＭ６１０内のユーザデータ複製マネージャ６４５は、データがＤＳＣからＤＳＭに複製される機構を提供する。ＤＳＭ６１０内のユーザデータ複製マネージャ６４５は、ＤＳＣの構成記録を含むデバイス構成ファイルのローカルコピーを生成する。ＤＳＣはＳＳＨで実装された安全な通信チャネルを使用してデバイス構成ファイルのローカルコピーを中央レジストリ６２０からフェッチし、その後、ＤＳＣはデバイス構成ファイルのそのローカルに記憶されたコピーを更新する。したがって、シャドウ構成レジストリがリモート管理されたＤＳＣデバイス上で維持される。次に、ＤＳＣは更新が完了したことをＤＳＭ６１０に信号で伝え、ＤＳＭ６１０がＤＳＭ６１０の中央レジストリ６２０内のリモート構成のＤＳＣの状態を更新する。

ＤＳＣは、定期的にユーザデータ複製マネージャ６４５を呼び出して、構成ファイル、ファームウェアなどの更新がダウンロード可能であるか否かを確認する。必要とされる変更はどれもＤＳＭである中央ポイントから行われたものである。次の更新は全て、自動的に維持される安全な通信チャネルを介してリモートデバイスに自動的にコピーされる。

設定後に、ＤＳＣはローカル登録オーソリティとしての機能を果たし、ローカルＬＡＮ上の関連デバイスからの登録要求を承認し、ローカルＬＡＮ上の関連デバイスに対してポーリングを行う。ＤＳＣは、関連デバイスのレジストリを維持し、ＤＳＣ自身と関連デバイスとの両方を親ＤＳＭの中央レジストリ６２０に自動的に登録するように構成されたロジックまたはソフトウェアを有する。次に、この情報はＬＤＡＰ、動的ＤＮＳ、および関連ディレクトリサービスアプリケーションサービスを介して利用可能になる。また、サービスプロバイダは、ネットワーク構成やその顧客の既存のソフトウェアを変更せずに、承認されたリモート機器にアクセスすることができる。ウェブインタフェースの内蔵型の誘導ナビゲーションシステムは、ナビゲーションおよび制御を容易にするために、グラフィックビューを提供する。

一実施形態では、ＤＳＭはさらに、ディスカバリエンティティマネージャ、デバイスモニタ、構成マネージャを有することもできる。ディスカバリエンティティマネージャは、プレゼンスマネージャによって発見されたエンティティに基づいて、デバイスエンティティを管理する。デバイスモニタは、デバイスの状態のトラックを保つ。構成マネージャは、関連ネットワークデバイスを構成するための機構を提供する。

デバイス管理サブシステムは、以下を含むことができる。

上述したように、ＤＳＭのＧＵＩインタフェースにより、ＤＳＭの管理者は各関連ＤＳＣのために自動化デバイスディスカバリを構成して、検索機構としてプロトコルを指定することができる。検索を指定する時に、管理者は開始ＩＰアドレスと任意の終了アドレスとを提供する（ディスカバリサービスが指定範囲全体を検索することを意味する）。管理者はまた、任意のポート番号を指定することもできる。このポート番号は提供されると、デフォルトのプロトコルポートの代わりに使用される。ＳＮＭＰをプロトコルとして使用する場合、管理者は任意のコミュニティストリングを提供することもできる。

デバイスエンティティマネージャは、プレゼンスの記録から情報を取得し、その後、デバイスのＩｄを決定するために、デバイスからよりさらなる情報を引き出そうと試みる。次に、プレゼンスの記録から収集された情報でエンティティテーブルをポピュレートする。

この目的は、複数のネットワークインタフェースを有するデバイスを１つのデバイスとして認識しようと試みることである。

エンティティテーブルは以下のようなものである。

この記録のキーは、Ｉｄ、プロトコル、親Ｉｄの組み合わせである。親Ｉｄがそこに必要な理由は、１つのＤＳＣドメインからアンプラグされ得るデバイスや新規のＤＳＣドメインに再プラグインされ得るデバイスの場合に対応するためである。

デバイスモニタおよび構成マネージャは、直近のエントリから情報を得るのに関与する。

デバイスモニタは、エンティティテーブルと物理的デバイス構成属性テーブルとを走査し、デバイスからポーリング（ポーリング／引き出すの用語の使用は一貫していないが、どちらが正確であるかははっきりしない）可能な構成で任意の属性を埋める／更新する。

構成属性は、ポート設定、速度、電力レベル、ウェブサーバ、ウェブサーバポートなどデバイスの全ての設定可能なパラメータを含む。

物理的構成属性テーブルは以下のようなものである。

構成マネージャは、仮想構成属性の記録をその関連する物理的構成属性の記録と比較するのに関与する。

差があれば、構成マネージャは対象のデバイスにそれらの構成を送信する。仮想構成属性テーブルは以下のようなものである。

図７では、ＤＳＣデバイス管理サブシステムは、プレゼンスエージェントによって発見されたデバイスを管理するディスカバリプレゼンスマネージャ７３０と、各エージェントが特定のプロトコル（例えば、ｐｉｎｇ（ＩＣＭＰ）、ＡＲＰ、７７ｆｅ、ＳＮＭＰ、ＵＰｎＰなど）を使用してネットワーク上の関連ネットワークデバイスを発見しようと試みる複数のディスカバリプレゼンスエージェントとからなる。

ディスカバリプレゼンスマネージャ７３０は、発見の初期段階に関与する。ネットワークの走査のためのパラメータ（例えば、ＩＰを含む／含まない領域、走査時間、ネットワークのポーリング数／秒）があれば、プレゼンスマネージャは発見プロセスにおける各プロトコルのためにプレゼンスエージェントを呼び出す。プレゼンスの検出によって、デバイスに関する情報の最小セットが得られる。プレゼンスの記録は以下のようなものである。

ＭＡＣアドレス＋プロトコル＋親Ｉｄは、一意であることに留意されたい。

ディスカバリプレゼンスエージェントは、特定のプロトコルを使用して検出の実際の動作を実行する。各エージェントは、特定のプロトコルに関係する。プラットフォームサブシステムは、以下のコンポーネントからなる。

ローカルメッセージバスは、ＬＥＢＵＳを使用して実装され得る。このことにより、ローカルシステムにおけるプロセス間の一時的イベントの単純な一方向の一対多通信を提供できる。

ＤＳＣ−ＤＳＭシステムにおいて、ＤＳＭのレジストリは信頼できるものと見なされる。ＤＳＣは新しい情報を収集するが、その情報はＤＳＭに送信される。

ＯＥＭ／ＶＡＲがレジストリにＡＰＩを介して組み込まれ、データベースが使用される。

リモートネットワーク上のデバイスにアクセスするためには、ＤＳＣはＶＤＮを制御するＤＳＭへの１つのアウトバウンド接続を確立しなければならないだけである。この接続が確立されると、システム構成、コマンド、ネットワークトラフィックが全て暗号化されたチャネルを通過することができる。ＤＳＣがＤＳＭに対する認証に成功すると、ＤＳＣは即座に予め認証されている機器の個々の構成要素への安全なアクセスを始めることができる。デバイスサービスコントローラは、そのネットワーク内の関連デバイスのためのＤＨＣＰのような自動構成を提供する。

代替の実施形態では、ＤＳＭのＧＵＩインタフェースを使用して、ＤＮＡの管理者は、ウェブインタフェースを介してブラウザホスト上のファイルにＤＳＣデバイス構成を保存する。このようなファイルは、認証されていない修正や変更を避けるためにデジタル署名されており、ネットを介して電子メールで送信され、またはＵＳＢフラッシュメモリドライブにコピーされる。ＵＳＢフラッシュメモリドライブにコピーされる場合、ＵＳＢフラッシュが対象のＤＳＣに挿入され、フロントパネルの押しボタンが押されると、ＤＳＣはファイルを読み出し、デジタル署名とデバイス設定とを確認し、有効であれば、これらの設定をデバイスに加える。これより前のＤＳＭへの接続は、これが作動するのに必要なくなる。

さらに、ＤＳＭのＧＵＩインタフェースを使用して、ＤＮＡの管理者は、ウェブインタフェースを介してブラウザホスト上のファイルに完全なＤＳＣシステムイメージを保存することができる。このようなファイルは、認証されていない修正や変更を避けるためにデジタル署名されており、ネットを介して電子メールで送信され、またはＵＳＢフラッシュメモリドライブにコピーされ得る。ＵＳＢフラッシュメモリドライブにコピーされる場合、ＵＳＢフラッシュが対象のＤＳＣに挿入され、フロントパネルの押しボタンを押し下げた状態でＤＳＣが起動された場合に、ＤＳＣはファイルを読み出し、デジタル署名とデバイス設定とを確認し、有効であれば、現在のシステムイメージを新規のイメージと置換する。このようなイメージには、親ＤＳＭのＵＲＬなどの基本のレジストリ設定が含まれ得る。

図２ａは、第１のファイアウォールにより保護された第１のドメインおよび第２のファイアウォールにより保護された第２のドメインの外部にデバイスサービスマネージャサーバを配置するシステムの一実施形態を示すブロック図である。

各ＤＳＣ２０２、２１２は、ハードウェア論理およびソフトウェアを使用して、１）ホストコントローラ（第１のファイアウォール２０６の範囲外に配置されるＤＳＭ２１０に対してホストコントローラと第１のドメイン２０４内の関連デバイスとの接続を確立する）、２）デバイスコントローラ（ＤＳＭ２１０から第２のファイアウォール２１４により保護されている第２のドメイン２１６内の個々のリモート対象デバイスへの着信接続を受信および管理する）の両方として機能するように構成される。ドメインはファイアウォールにより分割された任意のネットワークまたはさまざまなサブネットとすることができることに留意されたい。ＤＳＣは、ローカルドメインの範囲外に配置される親ＤＳＭに対する自身と関連デバイスとの両方の接続をプロキシすることができることになる。各ＤＳＣは、保留中のＴＣＰ接続が待機中であるか否かを確認すべくＤＳＭに確認するために定期的にアウトバウンド通信を送信するように構成され得る。

一実施形態では、第１のＤＳＣ２０２および第２のＤＳＣ２１２は、ＤＳＭ２１０に対して自身の認証を行い、ＤＳＭ２１０への発信ＴＣＰ／ＩＰストリーム接続を確立することによりＤＳＭ２１０への直接ネットワーク通信トンネルを提供するためのコンジットマネージャを有する。ＤＳＣは、発信ＴＣＰ／ＩＰストリーム接続における将来の双方向通信に対してその接続をオープンに保つ。確立され、認証された双方向通信のＴＣＰ／ＩＰストリーム接続は、直接ネットワーク通信トンネルまたはコンジットトンネルとして知られている場合がある。ＤＳＭ２１０のＩＰリダイレクタは、第１のＤＳＣ２０２への第１の確立されたＴＣＰ／ＩＰストリーム接続にルーティングされたパケットを送信し、第２のＤＳＣ２１２への第２の確立されたＴＣＰ／ＩＰストリーム接続にルーティングされたパケットを送信する。ＤＳＭ２１０のＩＰリダイレクタは、第１のファイアウォール２０６の背後にある第１のドメイン２０４内のネットワークコンポーネントのパケットを第１のＤＳＣ２０２への第１の確立されたＴＣＰ／ＩＰストリーム接続にルーティングする。また、ＤＳＭ２１０のＩＰリダイレクタは、第２のファイアウォール２１４の背後にある第２のドメイン２１６内のネットワークコンポーネントのパケットを第２のＤＳＣ２１２への第２の確立されたＴＣＰ／ＩＰストリーム接続２７３にルーティングする。ＴＣＰ／ＩＰは双方向ストリームのプロトコルであるため、ＤＳＭ２１０はルーティングされたパケットをオープンな通信コンジットトンネルに送信し、各ＤＳＣ２０２、２１２からのトラフィックを受信することができることに留意されたい。

ホストコンソール２０８と第２のネットワーク内の機器のサブセットとは、ＶＤＮの一部を形成する。ＶＤＮでは、ホストコンソール２０８は、第２のＤＳＣ２１２がローカルファイアウォールおよび／または顧客ＮＡＴルータを介してアウトバウンドを横断することにより第２のネットワーク内のサブセットを制御管理して、リモートネットワーク上の機器のサブセットにアクセスする。ホストコンソール２０８は、ＶＤＮを制御するＤＳＭ２１０に対して単一のアウトバウンド接続を確立する。このことにより、双方向通信が可能になり、そのアウトバウンド接続をオープンに維持する。ＤＳＣを介してＤＳＭ２１０と協働するＶＤＮは、インターネットの任意の２点間の専用ＴＣＰ／ＩＰ接続を生成することができる。

図２ｂは、ＤＳＭに対して自身の認証を行い、ＤＳＭへの発信ＴＣＰ／ＩＰストリーム接続を確立し、その後、確立されたＴＣＰ／ＩＰストリーム接続上で将来の双方向通信に対して接続をオープンに保つことにより、ＤＡＭへの直接通信トンネルを提供するように構成されたコンジットマネージャを各々が有するＤＳＣを有するシステムの一実施形態を示すブロック図である。ホストコンソール２０８ｂは、ローカルＤＳＣ経由のリモートＤＳＣ２１２ｂとＤＳＭ２１０ｂとに接続する。ローカルＤＳＣとリモートＤＳＣ２１２ｂは共に、双方向通信のために、自身とＤＳＭ２１０ｂとの間の直接通信トンネルをオープンに保つことができる。直接ＴＣＰ通信トンネルは、ＤＳＭ２１０ｂに対してオープンに保たれる双方向ＴＣＰ／ＩＰストリーム接続／ＴＣＰセッションである。その後、着信接続のトラフィックはこのセッションを介して中継される。リモートＤＳＣ２１２ｂ内のコンジットマネージャは、証明書ベースのＳＳＨ（セキュアシェル）暗号化プロトコルを使用して、直接ＴＣＰ通信トンネル経由で、ホストコンソール２０８ｂと動作コントローラなどの宛先の対象デバイスとの間の安全なエンドツーエンド通信を確実なものとすることができる。トラフィックが通信された後、ＴＣＰセッションは閉鎖され得る。このように、直接ＴＣＰ通信トンネルはＳＳＨを介して実装され得る。

一実施形態では、直接ＴＣＰ通信トンネルは、単純なＴＣＰポートフォワーダとすることもできる。プログラムは、ローカルＴＣＰポートをリスンするだけで、受信された全てのデータがリモートホストに送信された状態になる。直接ＴＣＰ通信トンネルにより、ユーザは、リモートデバイスがサーバへのインバウンドＴＣＰ／ＩＰ接続をできないようにするファイアウォールをバイパスすることができる。

また、リモートＤＳＣは、トラフィックのヘッダを復号し、そのトラフィックを対象ネットワークコンポーネントに転送することによって、その関連するローカルネットワーク上でトラフィックを直接通信トンネルからネットワークコンポーネントに逆多重化している。ＴＣＰパケットヘッダ情報は、一般に、データ送信元のソースポートとパケットを受信する対象宛先ポートとの両方を識別する。

図３は、ファイアウォールによって保護されているネットワーク内のネットワークデバイスに対してアクセスするために、中央ＤＳＭとローカルＤＳＣとを有するシステムの一実施形態のブロック図である。仮想デバイスネットワークは、ＤＳＭ３１０とＤＳＣ３０２、３１２と各ＤＳＣに関連付けられたネットワークデバイスとによって形成される。図３内のＶＤＮは、ここで説明する以外は、図１、図２ａ、図２ｂの上述の説明と同様に動作する。ＩＰリダイレクタは、ＤＳＣおよびＤＳＭの両方に常駐する部分を有し得る。

図７では、ＩＰリダイレクタは、アクセスサブシステムとデバイス管理サブシステムとレジストリとを含むことができる。ＤＳＣ内のコンジットマネージャ７２４は、ローカルＤＳＣプロセスに、ＤＳＭへのＳＳＨセッションが完全に確立されたことを通知する。コンジットのＳＳＨシェルセッションは、ＤＳＭ内のＩＰリダイレクタのプログラムの一部に付加される。ＩＰリダイレクタプログラムは、次に、定期的ビーコンパケットを送信する。ＤＳＣはこのパケットを使用することができ確実に直接通信トンネルが確立されアクティブになる。一部の小さなプロトコル機能が存在して、ＤＳＣ／ＤＳＭ１１０は帯域幅／レイテンシの推定を実行することができる。ＳＳＨのＴＣＰポート転送機能が使用されて、全ての他の制御およびＤＳＭとＤＳＣとの間のトンネルデータを渡すことができる。また、コンジットマネージャ７２４は、ＤＳＭからリスンすることができる「リモート」ポートのネゴシエーションを行うこともできる。

図４は、ＤＳＣ内のコンジットマネージャの一実施形態の状態図である。コンジットマネージャは、直接ＴＣＰ通信トンネルを開始および停止し、この直接ＴＣＰ通信トンネルがいつ待機状態であるかまたは突然中断されるかなどを判断するコードを含む。ブロック４０２では、保留中のＴＣＰ接続の要求が到着すると、コンジットマネージャがＤＳＭとの任意のＳＳＨトンネルがすでに確立されているかをチェックする。まだ確立されていない場合、ブロック４０４で、コンジットマネージャが完全な、または部分的なＳＳＨセッションを確立する。ブロック４０６で、コンジットマネージャは、それぞれの同一性を確認することによって、ＤＳＭとＤＳＣとの認証のネゴシエーションを行う。

ＳＳＨセッションが完全に確立され、発信点に関与するＤＳＣの同一性がＤＳＭと共に認証されると、ブロック４０８で、トラフィックは直接通信トンネル内の両方向への通過が許可される。

トンネルがすでに確立されている場合、ブロック４１０で、ＤＳＣはソケットをリダイレクトし、トンネルタイマをリフレッシュする。

図６では、ＤＳＭ６１０は、ソフトウェア内で実装される複数のルーチン、ロジック、またはその両方の組み合わせからなるＩＰリダイレクタプログラムを有する。ＤＳＣは、ＩＰリダイレクタプログラムの一部を含むこともできる。ＩＰリダイレクタプログラムは、ＤＳＣのコンジットマネージャなどのＤＳＣ内の一部を含むことができ、基本の安全なネットワーク通信を提供し、ＤＳＣとＤＳＭとの間のコンジットトンネルとＤＳＣ内のトンネルマネージャとを管理するためにスクリプト化されたコードを有する。

ＤＳＭ６１０内のＩＰリダイレクタのトンネルマネージャ６２４部は、ＤＳＭとＤＥＭＵＸモードで動作するＤＳＣとの間、およびＤＳＭとＭＵＸモードで動作するＤＳＣとの間の安全な多重ＴＣＰセッションを提供するためにスクリプト化されたコードを有する。

上述のプロセスは、所与のプログラミング言語で書かれたソフトウェアコード、ハードウェア論理コンポーネント、他の電気回路、または両方の組み合わせで実装され得る。

したがって、一実施形態では、上述のアルゴリズムを容易にするのに使用されるソフトウェアは、マシン可読媒体上で具現化されることができる。マシン可読媒体は、マシン（例えば、コンピュータ）に可読の形態で情報を提供（例えば、記憶および／または伝送）する任意の機構を含む。例えば、マシン可読媒体は、リードオンリメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリデバイス、デジタルビデオディスク（ＤＶＤ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、磁気カードもしくは光カード、または電子命令を記憶するのに適した任意のタイプの媒体を含む。

詳細な上述の内容の一部は、コンピュータメモリ内のデータビットの動作のアルゴリズムおよび象徴的表現で示されている。これらのアルゴリズムおよび表現は、データ処理技術の分野の当業者が最も効率的に仕事の内容を他の当業者に伝達するのに使用する手段である。アルゴリズムとは、ここでは、一般に、望ましい結果につながるステップの首尾一貫したシーケンスであると考えられる。ステップは、物理量の物理操作を必要とするステップである。通常、必ずしもではないが、これらの量は、記憶、転送、結合、比較、その他の操作が可能な電気または磁気信号の形態をとる。これらの信号を、ビット、値、要素、記号、文字、用語、数字などとして参照することは、主に、一般的な使い方であるとの理由から、時には便利であることが証明されている。これらのアルゴリズムは、多数のさまざまなソフトウェアプログラミング言語で書かれ得る。また、アルゴリズムは、ソフトウェア内のコード行、ソフトウェア内の構成された論理ゲート、またはその組み合わせを使用して実装され得る。

しかしながら、これらの用語および同様の用語は全て、適切な物理量に関連付けられるべきであり、これらの量に適用された単に便利なラベルにすぎないことに留意すべきである。上述した内容から明らかであるように、特に言及しない限り、明細書全体にわたって、「処理」、「コンピューティング」、「計算」、「判断」、または「表示」などの用語を使用した説明は、コンピュータシステムのレジスタまたはメモリ内の物理（電子）量として表されるデータを操作し、コンピュータシステムのメモリもしくはレジスタ、または他の情報記憶デバイス、伝送デバイスもしくは表示デバイス内の物理量として同様に表される他のデータに変換する、コンピュータシステムまたは同様の電子コンピューティングデバイスの動作およびプロセスを指すものであると考えられる。

一実施形態では、ロジックは、ＢｏｏｌｅａｎＬｏｇｉｃの規則に従う電子回路、命令のパターンを含むソフトウェア、またはその両方の組み合わせからなる。

本発明のいくつかの特定の実施形態が示されているが、本発明はこれらの実施形態に限定されるものではない。例えば、電子ハードウェアコンポーネントによって実行されるほとんどの機能はソフトウェアエミュレーションによって再現される場合がある。したがって、これらの同じ機能を達成するために書かれたソフトウェアプログラムは、入出力回路内のハードウェアコンポーネントの機能性をエミュレートすることができる。本発明は、本明細書内で説明されている特定の実施形態に限定されないが、添付の請求項の範囲によってのみ限定されると理解されるべきである。

Claims

それぞれのファイアウォールの背後にあり、広域ネットワーク上の位置に対して広域ネットワーク上のファイアウォールの背後にあるネットワークデバイスのための通信をプロキシするためにアクセスモジュールを管理する管理モジュールを各々が有する少なくとも第１および第２のデバイスサービスコントローラ（ＤＳＣ）の間のネットワークデバイス通信を調整するように構成されたＩＰリダイレクタモジュールを有するデバイスサービスマネージャサーバ（ＤＳＭ）を備え、ＤＳＭが、ＤＳＣに構成情報を配布するための中央管理ステーションとしての機能を果たし、第１のＤＳＣ内の先験的にインストールされた実行可能起動ファイルが、第１のＤＳＣデバイスの固有ＩＤを提供するために、第１のＤＳＣの現在のＩＰアドレスを決定するために、ＤＳＭの広域エリアネットワーク上のＤＳＭＩＰアドレスを提供するために、ＤＳＭとの通信を開始するコードをアクティブにするために、コードでスクリプト化され、第１のＤＳＣ内のデバイス構成エンジンが、ＤＳＭによるプロンプトなしで、安全な通信チャネルを介して、少なくとも第１のＤＳＣデバイスの固有ＩＤと第１のＤＳＣの現在のＩＰアドレス情報を有する初期構成ファイルをＤＳＭの提供されたＤＳＭＩＰアドレスに送信し、ＩＰリダイレクタモジュールがこの構成情報を受信し、ＤＳＭ内のユーザデータ複製マネージャモジュールと協働して、初期構成情報と追加の情報とを有する新たなデバイス構成ファイルを作成し、その後、ＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成する、装置。
実行可能起動ファイルのコピーが、既存のネットワーク上にＤＳＣを完全にインストールするのにエンドユーザからネットワーク構成設定を要求しないようにスクリプト化されてサムドライブ内に組み込まれ、サムドライブがＤＳＣデバイスを伴い、ＤＳＣがさらに電力接続部およびネットワーク接続を含むスタンドアロン型デバイスであり、単に電力接続部の電源に物理的にプラグインすること、既存のネットワークへのネットワーク接続にプラグインすること、提供されたサムドライブをドライブポートに挿入することによって既存のネットワーク内で展開される、請求項１に記載の装置。
ＤＳＣが、ドライブポートを介してサムドライブから起動ファイルをアップロードし、実行可能起動ファイルのコンテンツを使用して、ＤＳＣとＤＳＭとの間でＳＳＨを介して実装される安全な通信チャネルを確立し、インターネットを介して実装されるＷＡＮ上のＤＳＭのＤＳＭＩＰアドレスを使用してＤＳＭに接続し、その後、ＤＳＭに対する固有ＩＤを使用して自身を認証し、その後、ＤＳＭが、ＤＳＭ内で維持される参照テーブル内の固有ＩＤを調べる、請求項２に記載の装置。
ユーザデータ複製マネージャモジュールが、第１のＤＳＣがＤＳＭ内のレジストリに登録されるのに応答して、また第１のＤＳＣがシステムリセットを実行するのに応答して、広域エリアネットワークを介してデバイス構成ファイルを第１のＤＳＣに配布する、請求項１に記載の装置。
ローカルネット上のネットワーク機器を発見するように構成された各ＤＳＣ内に常駐する自動ディスカバリサービスをさらに備え、自動ディスカバリサービスが、ポーリング技術を使用することによってローカルネットワーク上の関連ネットワークデバイスを発見するように構成され、ＤＳＣがファイアウォールによって保護されているネットワーク機器の各発見された構成要素が少なくともＤＳＭによるリモートアクセスに対して可視であるか否かを尋ねるためにグラフィカルユーザインタフェース（ＧＵＩ）を有し、その後、ＤＳＣデバイスが、安全な通信チャネルを介して、指定された可視ネットワークデバイス情報を有する初期構成ファイルを収集し、ＤＳＭに送信し、ＤＳＭがＤＳＣおよび任意の関連ネットワークデバイスの両方をＤＳＭがホストする識別レジストリに自動的に登録する、請求項１に記載の装置。
検索機構としてプロトコルを指定する複数の個々の走査記録を作成する各関連ＤＳＣのための自動化デバイスディスカバリサービスを構成するＤＳＭのグラフィックユーザインタフェースをさらに備え、自動化デバイスディスカバリサービスが作動すると、第１のＤＳＣの走査記録が第１のＤＳＣにコピーされ、第１のＤＳＣが走査記録を使用して、第１のＤＳＣのローカルＬＡＮの関連ネットワークデバイスの定期的な走査を開始する、請求項１に記載の装置。
第１のＤＳＣによって作成され、第１のＤＳＣによって発見された各ネットワークデバイスのためのディスカバリ記録をさらに備え、ディスカバリ記録が、少なくとも、発見されたデバイスのＩＰアドレス、発見されたネットワークデバイスを配置するのに使用されるディスカバリプロトコル、第１のＤＳＣの識別子を含み、得られるディスカバリ記録が、ＤＳＭにより使用するために、ＤＳＭに複製される、請求項６に記載の装置。
ＤＳＭのグラフィックユーザインタフェースが、特定の発見されたデバイスと既存のデバイス構成とのアソシエーションの組を作成する情報を含む追加の情報を有する初期構成ファイルからレジストリ内に完全なデバイス構成記録を作成し、ＤＳＭ内に記憶されているデバイス構成ファイルのマスターコピーを作成する、請求項５に記載の装置。
ＤＳＭが、各関連ＤＳＣおよびそれらそれぞれのＤＳＣに接続されたそれらのネットワークデバイスのためのレジストリサービスと、動的ドメインネームシステム（ＤＮＳ）、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）、動的ホスト構成プロトコル（ＤＨＣＰ）を含むサポートサービスとを提供する、請求項１に記載の装置。
特定の発見されたＤＳＣデバイスと既存のデバイス構成との組として定義される個々のデバイスのアソシエーションを指定するように構成されたＤＳＭのグラフィックユーザインタフェースをさらに備え、デバイスが関連付けられると、ＤＳＭが構成変更を加えて、ＤＳＭ内に維持されているアクセスルールのプリセットセットに従ってネットワーク機器のためにＤＳＣへのプロキシ接続の転送を開始する、請求項１に記載の装置。
マスターコピーからデバイス構成ファイルのローカルコピーを生成し、その後、ローカルコピーをＤＳＣ内で使用し、記憶するためにＤＳＣに送信するＤＳＭのデータ複製マネージャをさらに備える、請求項８に記載の装置。
ＤＳＣが、セキュアシェルで実装された安全な通信チャネルを使用して、デバイス構成ファイルのローカルコピーをＤＳＭからフェッチし、その後、ＤＳＣがデバイス構成ファイルのローカルに記憶されたコピーを更新し、ＤＳＣが更新したローカルに記憶されたコピーが完了したことをＤＳＭに信号で伝え、ＤＳＭがＤＳＭのレジストリ内のリモート構成のＤＳＣの状態を更新する、請求項１１に記載の装置。
ＤＳＭが、広域エリアネットワークにわたってＤＳＣの分散システムの集中管理とこれらのＤＳＣ間のプロキシ通信を提供し、第１および第２のＤＳＣの各ＤＳＣがローカル登録オーソリティとしての機能を果たし、ローカルネットワーク上の関連ネットワークデバイスからの登録要求を承認し、ＬＡＮ上の関連ネットワークデバイスに対してポーリングを行う、請求項１に記載の装置。
デバイスサービスコントローラ（ＤＳＣ）を備え、
前記ＤＳＣが、
電力接続部と、
ネットワーク接続と、
携帯コンピュータ可読媒体のためのポートと、
プロンプトされた時に実行可能起動ファイルを有する携帯コンピュータ可読媒体内の構成情報を読み出すためのＤＳＣ内に常駐するコードと、
ファイアウォールの背後にあり、当該ＤＳＣを有するローカルエリアネットワーク上のローカルネットワークデバイスと、リモートファイアウォールの背後にあり、第２のＤＳＣを有するリモートローカルエリアネットワーク上のリモートネットワークデバイスとの間の通信をプロキシするためのアクセスモジュールと
を含んで構成され、
ＤＳＣ内の実行可能起動ファイルが、少なくともデバイス構成情報を含むためにスクリプト化されて、そのＤＳＣデバイスの固有ＩＤを決定し、ＤＳＣの現在のＩＰアドレスを決定し、広域エリアネットワーク上のデバイスサービスマネージャ（ＤＳＭ）のＤＳＭＩＰアドレスを提供し、ＤＳＭとの通信を開始するためにコード化し、ＤＳＣが、携帯コンピュータ可読媒体からの実行可能起動ファイルをアップロードし、起動ファイルのコンテンツを使用して、ＤＳＣとＤＳＭとの間の安全な通信セキュアシェルチャネルを確立し、広域エリアネットワーク上でＤＳＭにそのＩＰアドレスで接続し、ＤＳＭに対する自身の認証を行い、その後、ＤＳＭが、ＤＳＣからＤＳＭに提供されたデバイス構成情報に基づいてローカルおよびリモートネットワークデバイス間のプロキシ通信を調整するようにＤＳＣによってローカルに使用されるデバイス構成ファイルを配布する、装置。
ＤＳＭによるプロンプトなしで、安全な通信チャネルを介して、少なくともＤＳＣデバイスの固有ＩＤとＤＳＣの現在のＩＰアドレス情報とを有する初期構成ファイル内のデバイス構成情報をＤＳＭに送信するように構成されたＤＳＣ内のデバイス構成エンジンをさらに備え、ＩＰリダイレクタモジュールがＤＳＭ内でこの構成情報を受信し、ＤＳＭが、提供されたデバイス構成情報と追加の情報とを有するデバイス構成ファイルを作成し、その後、ＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成するユーザデータ複製マネージャモジュールを有する、請求項１４に記載の装置。
ＤＳＣが、ローカルネットワーク上の関連ネットワークデバイスからの登録要求を承認するローカル登録オーソリティとしての機能を果たすように構成されたモジュールを有し、ユーザデータ複製マネージャモジュールが、ＤＳＣがＤＳＭに登録されるのに応答して、またＤＳＣがシステムリセットを実行するのに応答して、広域エリアネットワークを介してデバイス構成ファイルを他のＤＳＣに配布し、携帯コンピュータ可読媒体が、ユニバーサルサービスバスドライブである、請求項１５に記載の装置。
リモートデバイスコントローラの分散システムにおいて、それぞれのファイアウォールの背後にある２つ以上のリモートデバイスコントローラのうちの第１のリモートデバイスコントローラが広域エリアネットワーク上の中央管理ステーションの位置に対して広域エリアネットワーク上のそれぞれのファイアウォールの背後にあるネットワークデバイスの中央管理ステーションを通して第２のリモートデバイスと通信をプロキシするような２つ以上のリモートデバイスコントローラを有する中央管理ステーションと協働するステップと、
携帯コンピュータ可読媒体を介して、第１のリモートデバイスコントローラに構成情報を配布するステップと、
プロンプトされた時に、実行可能起動ファイルを有する携帯コンピュータ可読媒体内の構成情報を、第１のデバイスコントローラによって、読み出すステップと、
第１のリモートデバイスコントローラの現在のＩＰアドレスと第１のリモートデバイスコントローラに固有の他の情報と、中央管理ステーションのＩＰアドレスとを含むデバイス構成情報を、第１のデバイスコントローラによって、決定するステップと、
携帯コンピュータ可読媒体内の構成情報の中で提供された中央管理ステーションのＩＰアドレスを使用して、安全な通信チャネルを開始するステップと、
そのファイアウォールを介する中央管理ステーションとのアウトバウンドの双方向接続をオープンにすることによって中央管理ステーションとの安全な通信チャネルを作成するステップと、
少なくとも第１のリモートデバイスコントローラの現在のＩＰアドレスと第１のリモートデバイスコントローラに固有の他の情報とを有する初期構成ファイルを、安全な通信チャネルを介して、中央管理ステーションに送信するステップと、
構成情報を、第１のデバイスコントローラによって、受信し、構成情報と追加の情報とを有する新たなデバイス構成ファイルを作成し、その後、中央管理ステーションのレジストリ内にデバイス構成ファイルのマスターコピーを作成するステップと、
マスターコピーからデバイス構成ファイルのローカルコピーを生成するステップと、
ローカルコピーを第１のリモートデバイスコントローラ内で使用し、記憶するために、第１のリモートデバイスコントローラに配布するステップとを含む、広域エリアネットワークを介するリモートデバイスコントローラの分散システムおよびリモートデバイスコントローラ間のプロキシ通信を管理する、方法。
単に第１のリモートデバイスコントローラに電力を供給し、ローカルネットワークへの第１のリモートデバイスコントローラのネットワーク接続にプラグインし、提供された携帯コンピュータ可読媒体から構成情報を読み出すことにより、ファイアウォールによって保護されたローカルネットワーク内で第１のリモートデバイスコントローラを展開するステップをさらに含む、請求項１７に記載の方法。
第１のリモートデバイスコントローラのローカルエリアネットワーク（ＬＡＮ）上の関連ネットワークデバイスからの登録要求を、第１のリモートネットワークデバイスによって、承認するステップと、
ＬＡＮ上の関連ネットワークデバイスをポーリングするステップと、
少なくとも中央管理ステーションによるリモートアクセスのために、ポーリングされた各ネットワークデバイスが可視であるか否かを報告するステップと、
安全なチャネルを介して、指定された可視ネットワークデバイス情報をも備える初期構成ファイルを中央管理ステーションに送信するステップとをさらに備え、
中央管理ステーションが、第１のリモートデバイスコントローラおよび関連ネットワークデバイスの両方を中央管理ステーションのレジストリに登録する、請求項１７に記載の方法。
既存のデバイス構成と特定の発見されたデバイスとのアソシエーションの組を作成することを含む追加の情報を有する初期構成ファイルから、中央レジストリ内の完全なデバイス構成記録を作成するステップをさらに含む、請求項１７に記載の方法。
広域エリアネットワーク上のＤＳＭの位置に対して広域エリアネットワーク上のそれぞれのファイアウォールの背後にある第１および第２のデバイスサービスコントローラ（ＤＳＣ）とネットワークデバイス間でのプロキシ通信を調整するように構成されたＩＰリダイレクタモジュールを有するデバイスサービスマネージャサーバ（ＤＳＭ）を備え、ＤＳＭが、ＤＳＣに構成情報を配布するための中央管理ステーションとしての機能を果たし、実行可能起動ファイルが、第１のＤＳＣ内のドライブポートを介してアップロードされ、第１のＤＳＣおよび第１のＤＳＣが位置する同じネットワーク上のネットワークデバイスのための構成情報を集めるためにスクリプト化され、ＤＳＭによるプロンプトなしで、その後、ＤＳＭに初期構成ファイルを送信し、ＤＳＭが第１のＤＳＣのためにＤＳＭのレジストリ内にデバイス構成ファイルの新たなマスターコピーを作成する装置。
第１のＤＳＣ内のドライブポートを介してアップロードされた実行可能起動ファイルが、少なくとも、第１のＤＳＣの固有ＩＤを決定するために、第１のＤＳＣの現在のＩＰアドレスを決定するために、広域エリアネットワーク上のＤＳＭのＩＰアドレスを提供するために、第１のＤＳＣが位置するネットワーク上の任意のネットワークデバイスのＩＰアドレスを決定するために、ＤＳＭとの通信を開始するコードをアクティブにするために、コードでスクリプト化され、第１のＤＳＣ内のデバイス構成エンジンが、ＤＳＭによるプロンプトなしで、安全な通信チャネルを介して、少なくとも第１のＤＳＣデバイスの固有ＩＤと第１のＤＳＣの現在のＩＰアドレス情報を有する初期構成ファイルをＤＳＭの提供されたＩＰアドレスに送信し、ＩＰリダイレクタモジュールがこの構成情報を受信し、ＤＳＭ内のユーザデータ複製マネージャモジュールと協働して、初期構成情報と追加の情報とを有するデバイス構成ファイルを作成し、その後、ＤＳＭのレジストリ内にデバイス構成ファイルのマスターコピーを作成する、請求項２１に記載の装置。