JP5426545B2 - 暗号化広域ネットワークトラフィック最適化方法 - Google Patents

Description

本発明は、ネットワークトラフィックの最適化に関し、具体的にはＷＡＮにおけるトラフィックの最適化に関する。

支社（ブランチ）を運営する組織の情報技術（「ＩＴ」）管理は、ローカル的な適用性能及び管理機能に対する展開コストに関するしばしば矛盾する要求に対応しなければならない。総所有コスト（「ＴＣＯ」）を低減するために、ブランチのオフィスサーバーは整理統合化され、サービス及びアプリケーションは、一般に、ＬＡＮ（ローカルエリアネットワーク）から企業の本社位置に配置されているハブからＷＡＮ（広域ネットワーク）を横断してホストされることを強要される方向である。そのようなブランチ及びハブアーキテクチャは、大幅な費用便益を提供し得るが、ＷＡＮリソースに対する依存は、多くの場合、帯域幅の涸渇及びエンドユーザーの増大した待ち時間をもたらし得る。これは、一般に、本社におけるユーザー体験に関する品質と比べてブランチにおける品質の低下及びブランチにおける総合的な生産性損失をもたらす。

本課題の一解決策は、より広い領域の帯域幅を追加することであって、歴史的にデータサービスは、一般に、企業のＩＴ予算の大半を消費する。しかしながら、徐々に増加する帯域幅の増大は、不均衡な価格上昇及びネットワーク待ち時間のような制限要因をもたらし、アプリケーション動作が、性能及び帯域幅投資に対する利益双方を制限し得る。

集中サーバーにより提供される費用的優位性を可能にしようとするＷＡＮを加速する解決策が出現していて、ＷＡＮの利用性を最大化することによって性能に妥協せずに更なるＷＡＮ帯域幅を購入する必要性を、しばしば遅らせるか又は排除し得る。ＷＡＮを加速する解決策は、大幅な恩恵を提供し、通常、高い投資効果を示し得るが、ＷＡＮを加速する現在の解決策は、ＩＰｓｅｃ（インターネット・プロトコル・セキュリティ）やブランチクライアントと、ハブにおけるサーバーとの間のセキュア通信を可能にするＳＭＢ（サーバー・メッセージ・ブロック）サインのような終端間のデータ・インテグリティ・プロトコルと互換性がない。最新のいくつかの解決策は、終端間のセキュリティを提供するためのＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）暗号化を使用するが、これらの解決策は、中間の装置に秘密鍵を分散し、中継し、「中間者」攻撃として知られているネットワーク脆弱性を増大させ得る。

この「背景」は、以下の「概要」及び「詳細な説明」に対する簡潔な文脈を導入するために提供する。この「背景」は、請求項記載対象の範囲を決定する際の支援であることを意図しておらず、請求項記載対象上に提示されている不都合又は課題のいくつか又はすべてを解決する実装に制限するものとして考えない。

本発明の目的は、ＷＡＮを介しフローする暗号化トラフィックの最適化方法を提供することである。

ＷＡＮを介しフローする暗号化トラフィックの最適化を、ハブ及びブランチネットワークのサブネットの終端（すなわち、クライアントマシン又はサーバー）と、サブネットのＷＡＮ圧縮サーバーとの間にＷＡＮ圧縮が分散される配置によって提供する。１つ以上の終端それぞれにおいて実行するＷＡＮ圧縮クライアント部は、サブネットの終端によって確かめられるデータの使い捨て可能なローカルキャッシュとインターフェースしていて、辞書ベースの圧縮技法を使用してトラフィックを圧縮及び解凍するために使用される。サブネットのローカルＷＡＮ圧縮サーバーは、サブネットの確かめられたＷＡＮトラフィックすべてに関する共有セントラルデータベースを記憶していて、終端の使い捨て可能なローカルデータキャッシュに追加するために使用される。

実施例において、終端は、暗号化される前のアウトバウンドトラフィックを傍受する。ＷＡＮ最適化は、サブネットの終端にローカルキャッシュされている辞書を頼りにする辞書ベースの圧縮を使用するか、又はローカルＷＡＮ圧縮サーバーにストアされているセントラルデータベースからダウンロードされる辞書を使用することによって、実行される。一旦、最適化されると、トラフィックは、ＴＣＰ／ＩＰ（伝送制御プロトコル／インターネットプロトコル）スタックに渡され、ＷＡＮリンクを介してハブ及びブランチネットワークのリモートサブネットに送信する前にＩＰｓｅｃを使用して暗号化される。リモートサブネットの終端は、トラフィックを解読し、その後、ローカルキャッシュされている辞書を使用するか、又はリモートサブネット上のセントラルＷＡＮ圧縮サーバーからダウンロードされる辞書を使用することによって、解凍する。

暗号化されたＷＡＮトラフィックを最適化するための本配置は、好都合に、ＩＰｓｅｃ暗号化を介して終端間のセキュリティを維持し、コストを低減すると同時にブランチサブネットにおけるユーザー体験の品質を大幅に向上させ、ＷＡＮの利用性を増大させる。更に、そのような性能、セキュリティ、及びコスト削減は、中間者の脆弱性を回避するために、更なる媒介装置及び秘密鍵を使用せずに達成される。

この「発明の概要」は、更に「発明を実施するための形態」に後述されている選択された概念を簡易形式で紹介するために提供されている。この「発明の概要」は、請求項記載対象の主要な特徴も本質的な機能も特定することを意図されておらず、請求項記載対象の範囲を限定するように利用されることも意図されていない。

サブネットそれぞれのＷＡＮ圧縮サーバーを使用している例示的なハブ及びブランチネットワークを示す。 ＷＡＮ圧縮がネットワークの終端それぞれに配置されているソフトウェアを使用し実装されている例示的なハブ及びブランチネットワークを示す。 ＷＡＮ圧縮が分散アーキテクチャを使用し実装されている例示的なハブ及びブランチネットワークを示す。 ＷＡＮ圧縮サーバーに実装されている例示的なコンポーネントセットを示す。 ハブ及びブランチネットワークの終端に実装されている例示的なコンポーネントセットを示す。 終端においてトラフィックを傍受するために使用される第１の例示的なアーキテクチャを示す。 終端においてトラフィックを傍受するために使用される第２の例示的なアーキテクチャを示す。 ハブ及びブランチネットワークにおいてＷＡＮ圧縮を実装するための例示的な方法の流れ図である。

同一の参照番号は図面において、同様の要素を示している。

図１は、ブランチ（１０５）がＷＡＮリンク（１１６）を介しハブ（１１２）に接続されている例示的なハブ及びブランチネットワーク（１００）を示している。用語「ブランチ」は、「ハブ」によって提供される、例えば、本部又は本社機能の一部として配置される、資源の集まりに接続している離れた場所の任意の規模の組織を説明するために使用される。ブランチ（１０５）は、ルーター（１２０_１）に接続される多くのクライアントマシン（１１８_{１，２…Ｎ}）を含んでいて、ＷＡＮリンク（１１６）にトラフィックを発行し、ルーターは、ブランチ（１０５）とハブ（１１２）との間の双方方向の、リンクからのトラフィックを実行する。クライアントマシン（１１８）は、一般に、文書処理、電子メール、スプレッドシートなどビジネス及び生産性アプリケーションを実行する。

多くのサーバー（１２４_{１，２・・・Ｎ}）は、ハブ（１１２）においてブランチ（１０５）のクライアントマシン（１１８）にサービスを提供するように構成される。そのようなサービスは、一般に、ファイルサーバー（１２４_１）、メールサーバー（１２４_２）、及びウェブサーバー（１２４_Ｎ）によって提供されるものを含む。しかしながら、これらのサーバーは、例示に過ぎず、サーバーの実際の数及び構成は、示されているものと変化し得、通常、特定のブランチ−ハブの展開要件に依存する。サーバーインフラストラクチャをハブ（１１２）に併合することによって、一般に、維持、トラブル・シューティング、セキュリティポリシ行使、バックアップ、及び監査すべてが中枢において、実行可能になり、大部分の企業に対しＴＯＣを大幅に低減し得る。

ＷＡＮリンク（１１６）は、プライベートネットワークの一部及び／又はインターネットなど、公共ネットワークを介し作動し得る。ＷＡＮ（１１６）は、一般に、リモートブランチ動作を支援するために利用される多くの最新のＷＡＮの代表である。典型的なＷＡＮの課題は、ネットワークの大きな待ち時間、帯域幅に対する制約、及びパケット損失を含む。そのような制限は、ブランチの生産性を制約し得る。更に、ネットワーク（１００）内で作動しているビジネス又は生産性向上アプリケーションの多くは、ＬＡＮ環境を目的として開発されていて、ＷＡＮに対し特に最適化されていない。その結果、限定された利用可能なＷＡＮ帯域幅の利用性を最適化することが、ブランチ（１０５）において、より良好なユーザー体験に大いに貢献し得ると認識されている。ＷＡＮトラフィックの最適化は、迅速に応答するネットワークの知覚、及びブランチにおいてより透過で、シームレスで、よりＬＡＮのような総合的経験をユーザーに提供する。更に、多くの企業は、ＷＡＮリンク（１１６）を横断するトラフィックの低減結果として、より低い運用経費から恩恵を受ける。

ＷＡＮ圧縮サーバー（１２６_１）及び（１２６_２）が、対称的構成のネットワーク（１００）のそれぞれのサブネット（すなわちブランチ（１０５）及びハブ（１１２））に配置される。ＷＡＮ圧縮サーバー（１２６）が、ＷＡＮリンク（１１６）の反対側の終端において、直接のトラフィック経路に配置され、ルーター（１２０）に接続されている。

この実例において、ＷＡＮ圧縮サーバー（１２６）は、リンクを介するフローのトラフィックを最適化することによって、ＷＡＮリンク（１１６）におけるいくつかの限界を克服して機能する。そのような最適化は、通常、処理状態を把握していないデータ圧縮及び処理状態を把握しているデータ圧縮、キャッシュ動作、プロトコル特有の最適化、事前のデータフェッチ、ポリシベースルーティング、サービス品質（「ＱｏＳ」）技法のような様々な技法を使用し、実装される。

時間がたつにつれて頻繁に繰り返されるデータ圧縮アルゴリズムは、通常、比較的短いバイトシーケンスを識別する。これらのシーケンスは、ＷＡＮリンクを介し送信されるデータサイズを縮小するための、より短いセグメントコードに置換される。データ圧縮は、周知のＬＺＷ（Ｌｅｍｐｅｌ−Ｚｉｖ−Ｗｅｌｃｈ）技法のような処理状態を把握する圧縮及び辞書ベース圧縮のような処理状態を把握しない圧縮を含む様々な方法論又はアルゴリズムを使用し、実装され得る。辞書圧縮は、外部辞書にストアしている、圧縮エンジンを通過するデータすべてに依存している。データをストアすることに加えて、圧縮エンジンは、既に確かめられたデータを識別し、それを辞書内のインデックスに対する非常に小さいリファレンスと置換し、それによってその後のデータ解凍を可能にする。

キャッシュは、リクエストすべてを監視し、応答の複製をセーブすることによってアプリケーションサーバーをシミュレーションする、ＷＡＮ圧縮サーバー（１２６）を必要とする。同一のファイルに対し別のリクエストがクライアントマシン（１１８）から実行された場合、ＷＡＮ圧縮サーバー（１２６）は、プロキシとして機能し、サーバーを用いてファイルが変更されていないことを検証した後、そのキャッシュからファイルを供給し得る。

ポリシベースルーティングは一般に、トラフィックを、アプリケーションによるか、ユーザーによるか又はトラフィックの特徴（例えば、ソース及び／又は宛先アドレス）によって分類し、優先順位付けるサービス品質技法を実装するために、使用される。キューイングを用いた組み合わせのポリシベースルーティングは、いくつかのアプリケーションに関連付けられたトラフィックが、企業クリティカルなトラフィックを中断させないことを保証するために、利用可能なＷＡＮ帯域幅を割り当て得る。優先順位付けは、例えば、特定のＤｉｆｆｅｒｅｎｔｉａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｃｏｄｅ Ｐｏｉｎｔ（「ＤＳＣＰ」）の値を用いてアウトバウンドトラフィックにマーキングするために、ポリシベースＱｏＳを使用して実装され得る。ＤＳＣＰ能力のあるルーターが、ＤＳＣＰの値を読み取り、優先順位に基づいてサービスされる特定の待ち行列（例えば、高優先順位待ち行列、ベスト・エフォート行列、ベスト・エフォートもより低い行列）に転送されるトラフィックを判別する。

利用される特定の技法は、展開によって変わり得るが、ほとんどのタイプの圧縮サーバーは、一般に様々なデータ圧縮を利用する。しかしながら、暗号化されたデータは、通常、圧縮アルゴリズムによってランダムデータとして理解され、実際にはそれを圧縮することが不可能となる。

暗号化トラフィックが圧縮に適さないものとして、図１に示されているハブ及びブランチの配置が暗号化トラフィックを加速しないで配置され得、通常、パフォーマンスに大幅に不利な条件をもたらす。あるいはまた、トラフィックが加速され得るが、その後、暗号化され得ずに大きな影響を与えるセキュリティの脆弱性を提示し得る。

別の代替手段は、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）トラフィックを打ち切り、その後、後日参照するためにデータセグメントを解読し、ストアし、それを再暗号化するブランチ及びハブ双方の媒介装置又はサーバーを利用することである。装置を介するトラフィックが、その後、これらのセグメントと比較される。送信されているデータがセグメントと一致したとき、装置は、より長い完全なセグメントよりも小型のリファレンスを送信し、それによってＷＡＮリンクを横断しなければならないトラフィック量を低減する。場合によっては、装置が、ＷＡＮリンクを介し使用されるセッションキーを解読するために、サーバーの秘密鍵を使用するものもある。

ＳＳＬの使用は、ブランチとハブとの間のトラフィックの終端間の望ましいセキュリティを提供すると同時に、媒介装置がいくつかの欠点に悩まされる。ストアされているセグメントは、通常、いくつかのセキュリティ脆弱性を提示し得る非暗号化形式でストアされている。更に、秘密鍵を媒介装置に置くことによって、媒介装置攻撃を介し、セキュリティーホールが開かれ、アクセスされ得る更なるリスクが存在する。

図２は、例示的なハブ及びブランチネットワーク（２００）を示していて、ＷＡＮ圧縮が、ネットワークに（「終端」と呼ばれる）クライアントマシン（２１８）及びサーバー（２２４）それぞれに配置されているソフトウェア（２０６_{１，２…Ｎ}）を使用し、実装されている。この例示的な配置において、ＷＡＮ圧縮サーバーが、ＷＡＮリンク（２１６）を介するトラフィック経路から取り除かれる。その代わりに、終端それぞれにおいて、トラフィックが（例えば、ＩＰｓｅｃを使用し）暗号化され、ＴＣＰ／ＩＰスタックに渡される前に圧縮され、ルーター（２２０）によってＷＡＮリンク（２１６）に配置される。トラフィックは、受信終端において解読され、解凍され、適切なプロセス又はアプリケーションに送信される。したがって、ＩＰｓｅｃ・セキュア・トラフィックは、参照番号（２３０）によって示されているように、終端間のＷＡＮリンク（２１６）を横断する（が、セキュア・トラフィックが実例として終端（２１８_Ｎ）と（２２４_Ｎ）との間に示されていると同時に、そのようなトラフィックは、通常、ブランチ（２０５）の任意の終端とハブ（２１２）の任意の終端との間をフローし得ることに留意されたい）。

ＷＡＮ圧縮の終端への移動は、トラフィックに対する終端間セキュリティを提供するが、図１に示されているＷＡＮ圧縮サーバーによって提供される主要な利点の１つが失われる。具体的には、データ整理及びキャッシュが、サブネットベースで実行され得ず、その代わり、特定の終端において確かめられたトラフィックに制限される。更に、キャッシュデータサイズは、単一のマシンを範囲にするときであっても、クライアントマシン（２１８）がプロセッサー能力、メモリー、及び記憶装置によって制限され得るとき、特に利用可能なリソースに対し実質的な影響を提示し得る。

図１及び２にそれぞれ示されていて添付の文章に説明されている終端において実行されるＷＡＮ圧縮サーバー及びＷＡＮ圧縮の限界が、図３〜８に示されていて添付の文章に説明されている暗号化ＷＡＮトラフィックを、最適化する本配置によって克服される。

図３は、ＷＡＮ圧縮が分散アーキテクチャを使用し実装されている例示的なハブ及びブランチネットワーク（３００）を示している。ＷＡＮ圧縮サーバー（３２６_１）及び（３２６_２）それぞれが、ブランチ（３０５）及びハブ（３１２）において使用される。図４に示されているように、ＷＡＮ圧縮サーバー（３２６）それぞれが、辞書ベース圧縮を支援するためにインデックス付けられた辞書として、既に確かめられているサブネットのトラフィックに関する共有セントラルデータベース（４０５）を記憶するように配置される。辞書ベースの圧縮がこの例において使用されているが、暗号化されたＷＡＮトラフィックを最適化するための本準備は、辞書ベースの圧縮に限定されておらず、具体的な実装の必要性を満たすような別の圧縮技法が使用され得ることを強調する。ＷＡＮ圧縮サーバー（３２６）は、参照番号（４１６）によって示されているように、（図３の）ルーター（３２０_１）及び（３２０_２）を介しＷＡＮリンク（３１６）を横断する非暗号化トラフィックに対する従来のＷＡＮ最適化も実行するように配置される。

再度、図３に戻ると、（参照番号（３０６_{１，２・・・Ｎ}）によって示されているように）ＷＡＮ圧縮クライアント部は、ネットワーク（３００）の１つ以上の終端（すなわち、クライアントマシン（３１８_{１，２・・・Ｎ}）及びサーバー（３２４_{１，２・・・Ｎ}））にも含まれていて、トラフィックが暗号化され、ＷＡＮリンク（３１６）を介し送信される前に傍受され、圧縮される。この実例において、トラフィックは、参照番号（３３０）によって示されているようにＩＰｓｅｃを使用し、暗号化される。

図５は、ネットワークの終端に実装される例示的なコンポーネントセットを示している。図５に表示されている終端は、クライアントマシン（３１８）であるが、同様のコンポーネントが通常、ネットワーク（３００）の反対側のサブネットの終端において、対称的な方法で実装されていることを強調する。示されているように、クライアントの一部（３１６_１）が、データベースキャッシュ（５０５）及びトラフィック傍受機能性（５１３）とインターフェースする。

終端によって確かめられたトラフィックは、クライアントのマシンリソースが過度に使用されないようにその可能性を制限するために、定式化されたキャッシングポリシに従って使い捨て可能なローカルキャッシュ（５０５）にストアされる。キャッシュ（５０５）は、後述されるような辞書ベースの圧縮及び解凍を実行するとき、終端によって使用され、必要なとき、セントラルデータベース（４０５）（図４）が提供する辞書を用いて補完又は更新され得る。

トラフィック傍受機能性（５１３）は、ＷＡＮリンク（３１６）を横断するハブ（３１２）へのトラフィック及びハブからのトラフィックを傍受するために利用され、クライアントの一部（３０６）が、アウトバウンドトラフィックを圧縮し、終端へのインバウンドトラフィックを解凍し得る。したがってトラフィック傍受機能性（５１３）は、終端においてＴＣＰ／ＩＰスタック（５２０）とインターフェースするように配置される。ＴＣＰ／ＩＰスタック（５２０）は順に、ルーター（３２０）を介し、ＷＡＮリンク（３１６）を介し、ＩＰｓｅｃ保護ＩＰパケット（５３２）を送信し、受信するＩＰｓｅｃドライバー（５２６）とインターフェースする。

トラフィック傍受機能性（５１３）は、特定の終端によって利用されるオペレーティングシステム（「ＯＳ」）に従って別に実装され得る。図６に示されているように、例えば、クライアントそれぞれにおいてマイクロソフト（登録商標）Ｗｉｎｄｏｗｓ（登録商標） ＸＰ及びＷｉｎｄｏｗｓ（登録商標） Ｓｅｒｖｅｒ）２００３を使用している終端に関しては、マシン（３１８）及びサーバー（３２４）は、ＴＣＰ／ＩＰスタック（５２０）におけるネットワーク・トランスポート・プロトコルと通信するために使用される共通インターフェースであるトランスポート・ドライバー・インターフェース（６０５）（「ＴＤＩ」）を利用する。ＴＣＰ／ＩＰスタック（５２０）は、ＴＣＰ及びＵＤＰ（ユーザー・データグラム・プロトコル）の実装、及びＴＣＰヘッダーもＵＤＰヘッダーを必要としない未加工のＩＰパケットを送信するための機構からなるトランスポートレイヤ（６１２）を含む。ＴＣＰ／ＩＰスタック（５２０）は、ＩＰｖ４又はＩＰｖ６のようなインターネットプロトコルの実装を含むネットワークレイヤ（６１６）も含む。フレームレイヤ（６１９）は、ＩＰｖ４又はＩＰｖ６パケットをフレーム化するモジュールを含む。

図７は、例えば、マイクロソフト社のＷｉｎｄｏｗｓ（登録商標） Ｖｉｓｔａ又はマイクロソフト社のＷｉｎｄｏｗｓ（登録商標） Ｓｅｒｖｅｒ ２００８（コードネーム「ロングホーン」によって公式に知られているＯＳ）を使用している終端によって利用されるトラフィック傍受機能性の例示的な代替実装を示している。本明細書において、ＴＣＰ／ＩＰスタック（５２０）は、ＷＡＮ圧縮クライアント部（３０６）が、トランスポートレイヤ（６１２）及びネットワークレイヤ（６１６）双方においてパケットプロセッシングパスにアクセス可能にするウィンドウズ（登録商標）・フィルタリング・プラットフォーム（「ＷＦＰ」）コールアウトＡＰＩ（アプリケーション・プログラム・インターフェース）（７１０）を公開して配置される。しかしながら、ＴＤＩは、ＴＤＩベースのクライアント及びプロセスに対する後方互換性を維持するようにＷｉｎｄｏｗｓ（登録商標） Ｖｉｓｔａ及びＷｉｎｄｏｗｓ（登録商標） Ｓｅｒｖｅｒ ２００８によって支援されていることも留意されたい。

図８は、図３に示されているハブ及びブランチネットワーク（３００）において本分散ＷＡＮ圧縮を実装するための例示的な方法（８００）の流れ図である。本方法は、ブロック（８０５）において開始する。ブロック（８１０）において、終端（すなわち、クライアントマシン（３１８）又はサーバー（３２４）のどちらか一方）においてＷＡＮ圧縮クライアント部（３０６）が起動される。クライアントの一部（３０６）が、サブネット内部のブロードキャストによるか、又は事前設定されたＷＡＮ圧縮サーバー名を終端に有しているか、どちらか一方によって、サブネット（すなわち、ブランチ（３０５）又はハブ（３１２）のどちらか一方）のローカルＷＡＮ圧縮サーバー（３２６）の発見を実行する。

ブロック（８１５）において、ローカルＷＡＮ圧縮サーバー（３２６）との接続が一旦、首尾よく確立されると、終端は、既知のピアリストを（すなわち、ＷＡＮ圧縮クライアント部（３０６）のインスタンスを実行しているネットワークのその他の終端も）ダウンロードする。終端は、ピアそれぞれにおいて、最近、確かめられたデータ署名もダウンロードする。

ブロック（８２０）において、終端は、その後、終端から発しているトラフィックが暗号化されるか否か決定する。この実例においては、ＩＰｓｅｃが利用されている。かくして、決定はＩＰｓｅｃポリシをチェックすることによって、達成され得る。あるいはまた、ネットワークデータが調査され、分析され得る。双方の場合ともに決定ステップの目標は、ＷＡＮリンク（３１６）を介しローカルサブネットからフローしている１つ以上の暗号化ストリームを識別することである。

ブロック（８２５）において、ストリームが、未知のリモート終端に対し予定されている場合、自動発見ルーチンが、例えば、予約済ＴＣＰ／ＵＤＰポートを使用するか又は終端の発見を容易にするその他の方法の使用を介し、起動される。ＷＡＮ圧縮クライアント部（３０６）を含むリモート終端が発見された場合、リモートの終端アドレスがローカルＷＡＮ圧縮サーバー（３２６）に逆に報告される。対称的な方法で、自動発見ルーチンを起動する終端のアドレスがリモートＷＡＮ圧縮サーバー（３２６）に報告される。

ブロック（８３０）において、圧縮は、様々な代替技術のうち１つを使用し、トラフィックに適用される。そのような技法は、例えば、パケット又はパケットグループに適用されるＬＺＷ圧縮又は辞書ベース圧縮を含む。圧縮は更に、例えば、従来のプロキシアプローチを使用するか、又はｇａｔｈｅｒ／ｓｃａｔｔｅｒのような集合的な命令を使用し、同一ＴＣＰストリームを介しパケットに適用され得る。

ブロック（８３０Ａ〜Ｆ）に示されているように、圧縮ステップは、多くを考慮している「サブステップ」を含む。ブロック（８３０Ａ）において、終端は、それによって最近確かめられたデータ及びサブネットの別のピアを覚えているように構成される。データは、（図５の）トラフィックデータベースキャッシュ（５０５）にローカルキャッシュされ、ブロック（８１５）に添付する文章に記載されている署名とともに、ローカルＷＡＮ圧縮サーバー（３２６）のセントラルトラフィックデータベース（例えば、図４のデータベース（４０５））に定期的にアップロードされる。

ブロック（８３０Ｂ）において、ローカルキャッシュされている（例えば、終端ピアそれぞれにおける図５のキャッシュ（５０５）内の）既存辞書が、終端から送信されるトラフィックを圧縮するために使用される。サブネットのローカルＷＡＮ圧縮サーバー（３２６）からダウンロードされる最新の署名が、圧縮を実行するための最良の辞書セットを決定するために使用される。ローカルキャッシュされている辞書は、圧縮を直ちに実行するために使用される。ローカルキャッシュされた十分でない辞書がサブネットに存在する場合、終端は、セントラル辞書の適切な一部を（例えば、図４のセントラルデータベース（４０５）から）ダウンロードし得る。終端それぞれは、更に、それらの辞書をそのキャッシュから処理するように構成され得、例えば、ある所定の閾値と同等な期間、使用されないか又は別のいくつかの処理基準又は方法論を使用する。

ブロック（８３０Ｃ）において、サブネットの終端ピアにキャッシュされている既存辞書が、リモート終端から受信されるトラフィックを解凍するために使用される。受信している終端の（図５の）ローカルキャッシュ（５０５）の中の有効でないトラフィックを圧縮するために、リモート終端によって使用される辞書が、ＷＡＮ圧縮サーバー（３２６）からダウンロードされる。ダウンロードされたこれらの辞書は、将来、使用可能なように、終端の辞書キャッシュ（５０５）にキャッシュされる。圧縮を実行する終端は更に、解凍を実行する終端にヒントを提供するように構成され得、その終端が解凍を実行するために、必要とされる適切な辞書を事前にフェッチ可能にする。

ブロック（８３０Ｄ）において、サブネットの１つ以上の終端が、ローカルＷＡＮ圧縮サーバー（３２６）から最新の署名リスト及び既知のピアを定期的にリフレッシュする。一般に、これは、ストアされている署名とピアリストとリフレッシュされたリストとの間の差分形式の変化をダウンロードすることによって達成される。ブロック（８３０Ｅ）において、１つ以上の終端は、（図５の）ローカルキャッシュ（５０５）からローカルＷＡＮ圧縮サーバー（３２６）の（図４の）セントラルデータベース（４０５）に、それらの辞書を定期的にアップロードする。

ブロック（８３０Ｆ）において、サブネットそれぞれのＷＡＮ圧縮サーバー（３２６）はそれが、もはや支援されなくなると、それらのセントラルトラフィックデータベースそれぞれからのデータ消去を同期させるために、ＷＡＮリンク（３１６）を介し相互通信する。前述したように、ＷＡＮ圧縮サーバー（３２６）は、更に、例えば、従来のＩＰトンネリング技法を使用し、非暗号化トラフィックのＷＡＮ圧縮及び最適化を実行し得る。ブロック（８３５）において、例示的な方法（８００）が終了する。

記載対象は、構造上の機能及び／又は方法論的な動作に対し、特定の言語で説明されているが、添付の請求項に定義されている記載対象は、必ずしも前述の特定の機能又は動作に限定されないことが理解されよう。もっと正確に言えば、前述の特定の機能及び動作は、本請求項に関する例の形式として開示されている。

１００ ハブ及びブランチネットワーク
１０５ ブランチネットワーク
１１２ ハブネットワーク
１１６ ＷＡＮリンク
１１８_１ 終端クライアントマシン
１１８_２ 終端クライアントマシン
１１８_Ｎ 終端クライアントマシン
１２０_１ ルーター
１２０_２ ルーター
１２４_１ ファイルサーバー
１２４_２ メールサーバー
１２４_Ｎ ウェブサーバー
１２６_１ ＷＡＮ圧縮サーバー
１２６_２ ＷＡＮ圧縮サーバー
２００ ブランチネットワーク
２０５ ブランチネットワーク
２０６_１ ＷＡＮ圧縮ソフトウェア
２０６_２ ＷＡＮ圧縮ソフトウェア
２０６_３ ＷＡＮ圧縮ソフトウェア
２０６_４ ＷＡＮ圧縮ソフトウェア
２０６_５ ＷＡＮ圧縮ソフトウェア
２０６_Ｎ ＷＡＮ圧縮ソフトウェア
２１２ ハブネットワーク
２１６ ＷＡＮリンク
２１８_１ 終端クライアントマシン
２１８_２ 終端クライアントマシン
２１８_Ｎ 終端クライアントマシン
２２０_１ ルーター
２２０_２ ルーター
２２４_１ ファイルサーバー
２２４_２ メールサーバー
２２４_Ｎ ウェブサーバー
２３０ インターネット・プロトコル・セキュリティー・セキュア通信
３００ ハブ及びブランチネットワーク
３０５ ブランチネットワーク
３０６_１ ＷＡＮ圧縮クライアント部
３０６_２ ＷＡＮ圧縮クライアント部
３０６_３ ＷＡＮ圧縮クライアント部
３０６_４ ＷＡＮ圧縮クライアント部
３０６_５ ＷＡＮ圧縮クライアント部
３０６_Ｎ ＷＡＮ圧縮クライアント部
３１２ リモートのハブサブネット
３１６ ＷＡＮリンク
３１８_１ 終端クライアントマシン
３１８_２ 終端クライアントマシン
３１８_Ｎ 終端クライアントマシン
３２０_１ ルーター
３２０_２ ルーター
３２４_１ ファイルサーバー
３２４_２ メールサーバー
３２４_Ｎ ウェブサーバー
３２６_１ ローカルＷＡＮ圧縮サーバー
３２６_２ ローカルＷＡＮ圧縮サーバー
３３０ インターネット・プロトコル・セキュリティー
４０５ セントラルデータベース
４１６ 非暗号化ＷＡＮ最適化
５０５ データベースキャッシュ
５１３ トラフィック傍受機能部
５２０ ＴＣＰ／ＩＰスタック
５２６ インターネット・プロトコル・セキュリティー・ドライバー
５３２ インターネット・プロトコル・セキュリティー保護ＩＰパケット
６０５ トランスポートドライバーインターフェース
６１２ トランスポートレイヤ
６１６ ネットワークレイヤ
６１９ フレームレイヤ
７１０ ウインドウズ・フィルタリング・プラットフォーム・コールアウトＡＰＩ

Claims (11)

1. ＷＡＮリンクを介する双方向のトラフィックを最適化するための、ブランチ及びハブネットワークのサブネット内のネットワーク終端及びセントラルサーバーによって実行される方法であって、
   セキュアストリームとして暗号化される予定のアウトバウンドトラフィックを、暗号化される前に前記終端によって傍受するステップと、
   前記傍受されたトラフィックを、前記終端のローカルキャッシュに保持するステップと、
   前記保持されたトラフィックに対する署名を前記セントラルサーバーにアップロードするステップと、
   前記アップロードされた署名を用いて前記セントラルサーバーに有る、少なくとも前記サブネットにおいて既に観測されたトラフィックを代表するトラフィックデータを含む辞書を更新するステップと、
   前記傍受されたトラフィックを、前記ネットワーク終端にキャッシュされている辞書を使用して圧縮するステップと、
   前記辞書に対する更新を受信するために前記セントラルサーバーと通信するステップと、を含む方法。
2. 前記セントラルサーバーが、ＷＡＮ圧縮サーバーであって、前記終端が、ブランチ及びハブネットワークにおけるブランチサブネットのクライアントコンピューター又はブランチ及びハブネットワークにおけるハブサブネットのサーバーであることを特徴とする請求項１記載の方法。
3. 前記圧縮ステップが、状態を持たない圧縮又は状態を持つ圧縮の１つを使用して実行されることを特徴とする請求項１記載の方法。
4. 更に、前記トラフィックが、前記ＷＡＮリンクを介しトランスポートされる前に、前記圧縮されたトラフィックを暗号化するステップを含む請求項１記載の方法。
5. 前記傍受するステップが、ＴＣＰ／ＩＰスタックを介し、実行されることを特徴とする請求項１記載の方法。
6. 前記暗号化ステップが、ＩＰｓｅｃを使用して実行されることを特徴とする請求項４記載の方法。
7. 前記更新が、前記サブネット内の前記終端に対する１つ以上のピアによって観測されたトラフィックを示す署名を含むことを特徴とする請求項１記載の方法。
8. 前記更新が、前記セントラルサーバーにストアされている辞書データ又は署名データを含むことを特徴とする請求項１記載の方法。
9. 前記サブネットにおいて既に観測された前記トラフィックが、前記終端に対するピア又は前記セントラルサーバーによって観測されることを特徴とする請求項１記載の方法。
10. 更に、前記ネットワーク終端にキャッシュされているデータを使用してインバウンドトラフィックを解凍するステップであって、前記データが、少なくとも辞書データの１つ又は前記サブネットにおいて既に観測されたトラフィックを代表するトラフィックデータを含むもの、を含む請求項１記載の方法。
11. 前記リモートサブネットにおけるリモート終端が、前記ネットワーク終端にヒントを送信し、前記ヒントが、事前にフェッチされる辞書データを示すように準備されていて、前記辞書データが、前記インバウンドトラフィックを解凍するために利用可能なもの、を特徴とする請求項１０記載の方法。

Images