JP6894060B2

JP6894060B2 - Systems and methods that provide a composite secure link architecture

Info

Publication number: JP6894060B2
Application number: JP2018225711A
Authority: JP
Inventors: デニスマッキニージャック
Original assignee: イー＾ナットテクノロジーズリミティドライアビリティカンパニー
Priority date: 2014-02-06
Filing date: 2018-11-30
Publication date: 2021-06-23
Anticipated expiration: 2034-02-06
Also published as: JP2019062557A; JP2021106396A

Description

インターネットは、現時点において、様々な標準プロトコルを使用したコンピュータ間におけるワールドワイドな通信をサポートしている。これらのプロトコルのうちの一つであるインターネットプロトコル（ＩＰ：Internet Protocol）は、ＩＰアドレスと呼称される一意のアドレスをそれぞれのコンピュータに割り当てている。ＩＰは、現時点において、３２ビットアドレスを有するＩＰｖ４及び１２８ビットアドレスを有するＩＰｖ６という二つのバージョンにおいて利用可能である。ＩＰｖ４が、現在、最も一般的に使用されているバージョンである。 The Internet currently supports worldwide communication between computers using various standard protocols. One of these protocols, the Internet Protocol (IP: Internet Protocol), assigns a unique address called an IP address to each computer. IP is currently available in two versions: IPv4 with a 32-bit address and IPv6 with a 128-bit address. IPv4 is currently the most commonly used version.

インターネットの成長は、ＩＰｖ４において利用可能な３２ビットアドレスのすべてを使い尽くしている。限られた数のアドレスに伴う一つの結果が、いまや、大部分の組織が、ＩＰｖ４によって定義されている三つのプライベートアドレス空間のうちの一つを使用しているというものである。これらのプライベートＩＰアドレスは、パブリックインターネット上においては使用することができない。ゲートウェイルータが、プライベートイントラネットとパブリックインターネットとの間のインタフェースを管理している。ゲートウェイルータは、プライベートネットワークの外部における通信が望ましい際に、プライベートな内部ＩＰを隠蔽又はマスキングするための様々な機能を提供している。 The growth of the Internet has exhausted all of the 32-bit addresses available in IPv4. One result with a limited number of addresses is that most organizations now use one of the three private address spaces defined by IPv4. These private IP addresses cannot be used on the public Internet. The gateway router manages the interface between the private intranet and the public Internet. Gateway routers provide various functions for hiding or masking private internal IPs when communication outside the private network is desirable.

商用環境においてゲートウェイルータによって使用されている一つの一般的な方法が、外部ユーザを内部プライベートネットワークに接続するための仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）の生成である。ＶＰＮは、パケットがパブリックインターネットに跨ってクライアントワークステーションにルーティングされている間に、内部ＩＰアドレス及びデータを隠蔽するためのエンベロープ又はラッパプロトコルを提供している。 One common method used by gateway routers in commercial environments is the creation of virtual private networks (VPNs) for connecting external users to internal private networks. VPNs provide an envelope or wrapper protocol for hiding internal IP addresses and data while packets are being routed across the public Internet to client workstations.

ＶＰＮは、クライアントワークステーションがＶＰＮゲートウェイに接続するのに伴って、内部プライベートＩＰアドレスをクライアントワークステーションに割り当てることにより、内部プライベートネットワークを拡張している。ＶＰＮは、クライアントワークステーション上のアプリケーションをＶＰＮゲートウェイ（又は、オーナゲートウェイ）の背後の内部プライベートネットワークに接続するネットワーク又はＶＰＮトンネルを生成している。クライアントワークステーションのローカルプライベートネットワーク及びパブリックインターネットは、ＶＰＮトンネルにより、クライアントワークステーション上のアプリケーションから隠蔽されている。この結果、ＶＰＮの現時点のバージョンにおいては、クライアントワークステーションは、一度に一つのＶＰＮにしか接続することができない。クライアントワークステーションが複数のＶＰＮに接続することができる場合には、それぞれのＶＰＮごとの内部プライベートアドレス領域が一意であることが保証されないことから、パケットを望ましい宛先まで確実にルーティングすることができないであろう。 The VPN extends the internal private network by assigning an internal private IP address to the client workstation as the client workstation connects to the VPN gateway. The VPN is creating a network or VPN tunnel that connects the application on the client workstation to the internal private network behind the VPN gateway (or owner gateway). The client workstation's local private network and public internet are hidden from applications on the client workstation by a VPN tunnel. As a result, in the current version of VPN, client workstations can only connect to one VPN at a time. If the client workstation can connect to multiple VPNs, the internal private address area for each VPN is not guaranteed to be unique, so packets cannot be reliably routed to the desired destination. There will be.

本明細書において開示されている実施形態は、複合セキュアリンク（ＭＳＬ：Multiple Secure Link）アーキテクチャを提供するシステムを含む。システムのいくつかの実施形態は、プロセッサによって実行された際に、システムが、クライアントワークステーションとオーナゲートウェイとの間においてＶＰＮトンネルを生成し、クライアントワークステーションからオーナゲートウェイへのアウトバウンドデータグラムを送信し、且つ、オーナゲートウェイからクライアントワークステーションへのインバウンドデータグラムを受信するようにする第一ロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントを含み、インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートＩＰアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、を含む。いくつかの実施形態においては、第一ロジックは、システムが、宛先ＩＰアドレスを有するインバウンドデータグラムを送信するようにしている。又、システムの実施形態は、プロセッサによって実行された際に、システムが、ＭＳＬＶＰＮからインバウンドデータグラムを受信し、発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスをインバウンドデータグラム内において記録し、インバウンドデータグラム及びクライアントワークステーション用の新しいＵＰＩＰアドレスを割り当て、且つ、クライアントワークステーションへのインバウンドデータグラムの送信を促進するようにする第二ロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ：Network Address Translator）を含んでもよい。 The embodiments disclosed herein include a system that provides a Multiple Secure Link (MSL) architecture. In some embodiments of the system, when run by a processor, the system creates a VPN tunnel between the client workstation and the owner gateway and sends outbound datagrams from the client workstation to the owner gateway. Including the MSL Virtual Private Network (VPN) component, which includes the first logic to receive the inbound datagram from the owner gateway to the client workstation, the inbound datagram includes the source IP address and the VPN owner private. Includes a destination Internet Protocol (IP) address set in the IP address. In some embodiments, the first logic causes the system to send inbound datagrams with destination IP addresses. Also, in an embodiment of the system, when executed by a processor, the system receives an inbound datagram from the MSL VPN and records a new VPN owner private IP address from the source IP address in the inbound datagram. An MSL Twin Network Address Translator (NAT) that includes a second logic that allocates new UPIP addresses for inbound datagrams and client workstations and facilitates the transmission of inbound datagrams to client workstations. May include.

同様に、本明細書において開示されているいくつかの実施形態は、プロセッサによって実行された際に、ＭＳＬＶＰＮが、クライアントワークステーションとオーナゲートウェイとの間においてＶＰＮトンネルを生成し、且つ、クライアントワークステーションからオーナゲートウェイへのアウトバウンドデータグラムを送信するようにするロジックを含むＭＳＬ仮想プライベートネットワーク（ＶＰＮ）コンポーネントを含む。いくつかの実施形態においては、ロジックは、ＭＳＬＶＰＮコンポーネントが、オーナゲートウェイからクライアントワークステーションへのインバウンドデータグラムを受信し、この場合に、インバウンドデータグラムは、発信元ＩＰアドレスと、ＶＰＮオーナプライベートＩＰアドレスに設定された宛先インターネットプロトコル（ＩＰ）アドレスと、を含み、且つ、宛先ＩＰアドレスを有するインバウンドデータグラムを送信するようにしている。 Similarly, in some embodiments disclosed herein, the MSL VPN creates a VPN tunnel between the client workstation and the owner gateway when executed by the processor, and the client work. Includes an MSL Virtual Private Network (VPN) component that contains logic to send outbound datagrams from the station to the owner gateway. In some embodiments, the logic is that the MSL VPN component receives an inbound datagram from the owner gateway to the client workstation, where the inbound datagram is the source IP address and the VPN owner private IP. An inbound datagram that includes a destination Internet Protocol (IP) address set in the address and has a destination IP address is transmitted.

本明細書において開示されている更なるいくつかの実施形態は、プロセッサによって実行された際に、ＭＬＳツインＮＡＴが、ＭＳＬＶＰＮからインバウンドデータグラムを受信し、且つ、発信元ＩＰアドレスからの新しいＶＰＮオーナプライベートＩＰアドレスをインバウンドデータグラム内において記録するようにするロジックを含むＭＳＬツインネットワークアドレストランスレータ（ＮＡＴ）を含む。いくつかの実施形態においては、ロジックは、ＭＳＬツインＮＡＴが、インバウンドデータグラム及びクライアントワークステーション用の新しいＵＰＩＰアドレスを割り当て、且つ、クライアントワークステーションへのインバウンドデータグラムの送信を促進するようにしている。 In some further embodiments disclosed herein, when executed by a processor, the MLS Twin NAT receives an inbound datagram from an MSL VPN and a new VPN from the source IP address. Includes an MSL Twin Network Address Translator (NAT) that includes logic to record owner-private IP addresses within inbound datagrams. In some embodiments, the logic allows the MSL Twin NAT to allocate new UPIP addresses for inbound datagrams and client workstations and facilitate the transmission of inbound datagrams to client workstations. ..

本開示のその他の実施形態及び／又は利点については、以下の図面及び詳細な説明を検討することにより、当業者に明らかとなろう。このようなすべての更なるシステム、方法、特徴、及び利点は、本説明に含まれると共に本開示の範囲に含まれるものと解釈されたい。 Other embodiments and / or advantages of the present disclosure will become apparent to those skilled in the art by reviewing the drawings and detailed description below. All such additional systems, methods, features, and advantages are to be construed as included in this description and within the scope of this disclosure.

本開示の多くの態様については、以下の図面を参照することにより、更に十分に理解することができる。図面中のコンポーネントは、必ずしも、縮尺が正確ではなく、その代わりに、本開示の原理を明瞭に例示することに重点が置かれている。更には、添付図面においては、いくつかの図の全体を通じて、同一の参照符号により、対応する部分を表記している。いくつかの実施形態は、これらの図面との関連において記述されているが、本開示を本明細書において開示されている一つ又は複数の実施形態に限定する意図は、存在していない。逆に、意図するところは、すべての代替肢、変更、及び均等物が含まれるというものである。 Many aspects of the present disclosure can be further fully understood by reference to the drawings below. The components in the drawings are not necessarily scaled accurately and instead the emphasis is on clearly exemplifying the principles of the present disclosure. Furthermore, in the accompanying drawings, the corresponding parts are indicated by the same reference numerals throughout some of the drawings. Although some embodiments have been described in the context of these drawings, there is no intention to limit this disclosure to one or more embodiments disclosed herein. Conversely, the intent is to include all alternative limbs, modifications, and equivalents.

図１は、本明細書において開示されている実施形態によるクライアントワークステーション上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。FIG. 1 shows a computing environment that provides a composite secure link architecture on a client workstation according to an embodiment disclosed herein. 図２は、本明細書において開示されている実施形態によるＭＳＬサーバ上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。FIG. 2 shows a computing environment that provides a composite secure link architecture on an MSL server according to an embodiment disclosed herein. 図３は、本明細書において開示されている実施形態によるＭＳＬゲートウェイルータ上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。FIG. 3 shows a computing environment that provides a composite secure link architecture on an MSL gateway router according to an embodiment disclosed herein. 図４は、本明細書において開示されている実施形態によるクライアントワークステーション上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。FIG. 4 shows a computing environment that provides a composite secure link architecture on a client workstation according to an embodiment disclosed herein. 図５は、本明細書において開示されている実施形態によるＭＳＬネットワーク運営センタ（ＮＯＣ）上において複合セキュアリンクアーキテクチャを提供する演算環境を示す。FIG. 5 shows a computing environment that provides a composite secure link architecture on the MSL Network Operations Center (NOC) according to the embodiments disclosed herein. 図６は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのログインマネージャ用のフローチャートを示す。FIG. 6 shows a flow chart for a login manager to provide a composite secure link architecture according to the embodiments disclosed herein. 図７は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのセッションマネージャ用のフローチャートを示す。FIG. 7 shows a flowchart for a session manager to provide a composite secure link architecture according to the embodiments disclosed herein. 図８Ａ及び図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示す。8A and 8B show flowcharts for multiple components to provide a composite secure link architecture according to the embodiments disclosed herein. 図８Ａ及び図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示す。8A and 8B show flowcharts for multiple components to provide a composite secure link architecture according to the embodiments disclosed herein. 図９は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するべく利用され得る演算装置を示す。FIG. 9 shows an arithmetic unit that can be utilized to provide a composite secure link architecture according to the embodiments disclosed herein.

本明細書において開示されている実施形態は、複合セキュアリンクアーキテクチャを提供するシステム及び／又は方法を含む。具体的には、それぞれのＶＰＮオーナが、ＶＰＮオーナによって定義されたプライベートＩＰｖ４アドレス指定を伴うネットワーク領域を定義する。ＶＰＮオーナネットワーク領域は、オーバラップしたアドレスを有するものになると予想され、その理由は、すべてのＶＰＮオーナが、自身のネットワーク定義として１０．０．０．０／２４を使用することができるからである。本明細書において開示されている実施形態は、パケットがＭＳＬサービス内に存在している間に使用するための内部ネットワーク領域を定義している。ＭＳＬは、パケットがＭＳＬサービスに進入するか又はこれから離脱するのに伴って、すべてのＶＰＮオーナによって定義されたプライベートＩＰアドレスをＭＳＬの一意のプライベートなＩＰ（ＵＰＩＰ：Unique Private IP）領域アドレスに変換すると共にこの逆を実行するためのツインＮＡＴ機能を提供している。ＶＰＮオーナサーバには、それらのサーバが、処理済みのパケット内において発見されるのに伴って、ＭＳＬＵＰＩＰ領域アドレスが動的に割り当てられる。 The embodiments disclosed herein include systems and / or methods that provide a composite secure link architecture. Specifically, each VPN owner defines a network area with a private IPv4 address designation defined by the VPN owner. The VPN owner network area is expected to have overlapping addresses because all VPN owners can use 10.0.0.0/24 as their network definition. is there. The embodiments disclosed herein define an internal network area for use while the packet is present within the MSL service. The MSL translates the private IP address defined by all VPN owners into the MSL's Unique Private IP (UPIP) region address as the packet enters or leaves the MSL service. It also provides a twin NAT function to do the opposite. The VPN owner server is dynamically assigned an MSL UPIP region address as they are found in the processed packet.

クライアントワークステーションが第一ＶＰＮ接続をオープンする際には、クライアントワークステーション用のＩＰアドレスとして、クライアントワークステーションに割り当てられたＶＰＮオーナプライベートＩＰ又はクライアントワークステーション用のＵＰＩＰアドレスを使用することができる。第二の（又は、後の）ＶＰＮがオープンされるのに伴って、ワークステーションのＩＰ用に以前に使用されているＩＰアドレスが、ワークステーション用のＵＰＩＰとして使用されてもよく、且つ、新しいＵＰＩＰが、第二ＶＰＮからサーバに割り当てられる。クライアントワークステーションのアプリケーションは、ＭＳＬＵＰＩＰによって通信する。ＭＳＬ発信元及び宛先ＮＡＴは、サーバがＶＰＮオーナプライベートＩＰアドレスのみを観察するように、ＵＰＩＰとＶＰＮオーナプライベートＩＰとの間における変換を実行する。この結果、クライアントワークステーションは、異なるオーナゲートウェイ及び／又はＶＰＮとの間における複数の独立的なＶＰＮ接続を同時に促進することができる。 When the client workstation opens the first VPN connection, the VPN owner private IP assigned to the client workstation or the UPIP address for the client workstation can be used as the IP address for the client workstation. With the opening of the second (or later) VPN, the IP address previously used for the workstation's IP may be used as the UPIP for the workstation and is new. UPIP is assigned to the server from the second VPN. Client workstation applications communicate via MSL UPIP. The MSL source and destination NAT performs a translation between the UPIP and the VPN owner private IP so that the server observes only the VPN owner private IP address. As a result, the client workstation can simultaneously facilitate multiple independent VPN connections between different owner gateways and / or VPNs.

ＩＰｖ６環境においては、ＩＰｖ４について先程の段落において説明したように、ＶＰＮオーナネットワークアドレスは、１２８ビットのＵＰＩＰとして生成され、且つ、ＩＰｖ６において使用される。一意のローカルなＩＰｖ６ユニキャストアドレスは、一意となる非常に高い確率を有することから、ＭＳＬは、ワークステーション用のＩＰｖ６のＵＰＩＰを生成することが可能であり、且つ、ＶＰＮオーナゲートウェイの背後のノードについてプライベートＩＰｖ６アドレスを使用することができる。ＭＳＬは、それぞれの新しいＩＰｖ６のＶＰＮが、既にオープンされたＶＰＮの一意のローカルなＩＰｖ６ユニキャストアドレスを複製していないことを検証しなければならない。複製が見出された場合には、ＩＰｖ４に関する先程の段落において説明したように、そのＶＰＮ内のノードのために、ＵＰＩＰが生成されることになる。ローカルなＩＰｖ６アドレスは、疑似ランダムな方式で割り当てられたグローバルＩＤを使用して生成される。一実施形態は、以下の表１のフォーマットを有してもよい。 In an IPv6 environment, the VPN owner network address is generated as a 128-bit UPIP and is used in IPv6, as described for IPv4 in the previous paragraph. Since the unique local IPv6 unicast address has a very high probability of being unique, the MSL can generate an IPv6 UPIP for the workstation and the node behind the VPN owner gateway. A private IPv6 address can be used for. The MSL must verify that each new IPv6 VPN does not duplicate the unique local IPv6 unicast address of an already opened VPN. If a duplicate is found, an UPIP will be generated for the node in the VPN, as described in the previous paragraph on IPv4. The local IPv6 address is generated using a global ID assigned in a pseudo-random manner. One embodiment may have the format shown in Table 1 below.

次に添付図面を参照すれば、図１は、本明細書において開示されている実施形態によるクライアントワークステーション１０２上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、ＭＳＬアーキテクチャは、パブリックインターネットＩＰアドレス及びＶＰＮオーナのプライベートＩＰアドレスの両方から隔離されたプライベートＩＰ領域又はアドレス空間（ＭＳＬの一意のプライベートなＩＰ領域）を生成する。 Next, with reference to the accompanying drawings, FIG. 1 shows a computing environment that provides a composite secure link architecture on a client workstation 102 according to an embodiment disclosed herein. As shown, the MSL architecture creates a private IP area or address space (MSL's unique private IP area) isolated from both the public internet IP address and the VPN owner's private IP address.

図示のように、図１のアーキテクチャは、クライアントワークステーション１０２と、第一ＶＰＮ（ＶＰＮＡ１０４ａ）と、第二ＶＰＮ（ＶＰＮＢ１０４ｂ）と、を含む。クライアントワークステーション１０２は、ユーザアプリケーションＡ１０８ａと、ユーザアプリケーションＢ１０８ｂと、を含んでもよい。ユーザアプリケーション１０８ａ、１０８ｂは、ＶＰＮＡ１０４ａ及びＶＰＮＢ１０４ｂと通信するべく、利用されてもよい。又、クライアントワークステーション１０２には、ＭＳＬＵＰＩＰ領域１０６を構成しているＭＳＬツインＮＡＴコンポーネント１１０、ＭＳＬＶＰＮユーザインタフェースコンポーネント１１４、及びＭＳＬ管理コンポーネント１１６も含まれている。又、クライアントワークステーション１０２には、ＭＳＬＶＰＮコンポーネント１１２も含まれている。この構成は、ワイドエリア又はパブリックネットワーク１１８を介したＶＰＮＡ１０４ａ及び／又はＶＰＮＢ１０４ｂとの間におけるＶＰＮ通信を許容し得る。パブリックネットワーク１１８は、インターネット及び／又はその他のパブリックにアクセス可能なネットワークを含んでもよい。 As shown, the architecture of FIG. 1 includes a client workstation 102, a first VPN (VPN A 104a), and a second VPN (VPN B 104b). The client workstation 102 may include user application A 108a and user application B 108b. User applications 108a, 108b may be used to communicate with VPN A 104a and VPN B 104b. The client workstation 102 also includes the MSL twin NAT component 110, the MSL VPN user interface component 114, and the MSL management component 116 that make up the MSL UPIP area 106. The client workstation 102 also includes an MSL VPN component 112. This configuration may allow VPN communication with VPN A 104a and / or VPN B 104b over a wide area or public network 118. Public network 118 may include the Internet and / or other publicly accessible networks.

従って、クライアントワークステーション１０２は、複数のコンポーネントを含んでもよく、これらのコンポーネントは、ＭＳＬスタンドアロンクライアントソフトウェア内において含まれていてもよく、或いは、そうでなくてもよい。一例として、ＭＳＬスタンドアロンクライアントソフトウェアのコンポーネントは、ＭＳＬ管理コンポーネント１１６を含んでいてもよく、ＭＳＬ管理コンポーネント１１６は、クライアントワークステーション１０２のセッション情報を維持するためのセッションマネージャとして動作してもよい。セッションマネージャは、ＵＰＩＰを割り当てると共にＵＰＩＰ調整情報をＭＳＬツインＮＡＴコンポーネント１１０に提供するように、構成されてもよい。又、同様に、これらのコンポーネントは、ＭＳＬユーザインタフェースコンポーネント１１４を含んでもよく、ＭＳＬユーザインタフェースコンポーネント１１４は、ユーザが、ＶＰＮ接続を識別することが可能であり、ＶＰＮ接続を削除することが可能であり、ＶＰＮ接続をオープンすることが可能であり、或いは、オープン状態のＶＰＮ接続をシャットダウンすることができるように、一つ又は複数のユーザインタフェースを提供している。ＭＳＬＶＰＮコンポーネント１１２は、オーナゲートウェイ１２０ａ、１２０ｂ及び／又はＶＰＮ１０４ａ、１０４ｂを識別するために、オーナゲートウェイ１２０ａ、１２０ｂからの外部パケット上において発信元ＩＰを提供するべく、利用されてもよい。ＭＳＬツインＮＡＴコンポーネント１１０からのパケットは、宛先ゲートウェイ／ＶＰＮを識別するための宛先パブリックＩＰを含んでもよい。又、ＭＳＬツインＮＡＴコンポーネント１１０も含まれており、これは、割り当てられたＵＰＩＰアドレスへの且つ／又はこれからのクリアテキストパケット内において発信元及び宛先ＩＰアドレスの両方を変換している。インバウンドデータグラム（応答データグラムを含む）の場合には、ＭＳＬツインＮＡＴコンポーネント１１０は、オーナゲートウェイ１２０ａ、１２０ｂを識別するべく、ＭＳＬＶＰＮコンポーネント１１２によって提供された発信元ＩＰを使用している。アウトバウンドデータグラムの場合には、ＭＳＬツインＮＡＴコンポーネント１１０は、オーナゲートウェイ１２０ａ、１２０ｂ及び／又はＶＰＮ１０４ａ、１０４ｂの宛先パブリックＩＰを識別するべく、発信元及び宛先ＵＰＩＰを使用している。 Thus, the client workstation 102 may include a plurality of components, which may or may not be included within the MSL standalone client software. As an example, the components of the MSL stand-alone client software may include the MSL management component 116, which may act as a session manager for maintaining session information on the client workstation 102. The session manager may be configured to assign UPIP and provide UPIP adjustment information to the MSL Twin NAT component 110. Similarly, these components may include the MSL user interface component 114, which allows the user to identify the VPN connection and delete the VPN connection. Yes, it provides one or more user interfaces so that it is possible to open a VPN connection or shut down an open VPN connection. The MSL VPN component 112 may be utilized to provide a source IP on an external packet from the owner gateways 120a, 120b to identify the owner gateways 120a, 120b and / or the VPN 104a, 104b. Packets from the MSL Twin NAT component 110 may include a destination public IP to identify the destination gateway / VPN. Also included is the MSL Twin NAT Component 110, which translates both source and destination IP addresses to and / or in future cleartext packets to the assigned UPIP address. In the case of inbound datagrams (including response datagrams), the MSL Twin NAT component 110 uses the source IP provided by the MSL VPN component 112 to identify the owner gateways 120a, 120b. In the case of outbound datagrams, the MSL Twin NAT component 110 uses the source and destination UPIPs to identify the destination public IPs of the owner gateways 120a, 120b and / or VPN104a, 104b.

従って、クライアントワークステーション１０２内のコンポーネントにより、ＶＰＮＡ１０４ａ及びＶＰＮＢ１０４ｂ上の一つ又は複数の演算装置との間において、セキュア通信が実施されてもよい。ＶＰＮＡ１０４ａは、ローカルネットワーク１２２ａを介して一つ又は複数の演算装置（リモート演算装置１２４ａなど）に結合されたオーナゲートウェイ１２０ａを含んでもよい。又、同様に、ＶＰＮＢ１０４ｂも、ローカルネットワーク１２２ｂを介してリモート演算装置１２４ｂなどの一つ又は複数のリモート演算装置との間における通信を促進するオーナゲートウェイ１２０ｂを含んでもよい。 Therefore, secure communication may be performed by the components in the client workstation 102 between one or more arithmetic units on VPN A 104a and VPN B 104b. The VPN A 104a may include an owner gateway 120a coupled to one or more arithmetic units (such as a remote arithmetic unit 124a) via a local network 122a. Similarly, the VPN B 104b may also include an owner gateway 120b that facilitates communication with one or more remote arithmetic units such as the remote arithmetic unit 124b via the local network 122b.

複合セキュアリンクアーキテクチャは、すべてのユーザ組織のホスト（システム）が、ＭＳＬプライベートＩＰ領域１０６内において一意のＩＰアドレスを有するように、ＭＳＬ技術を使用してクライアントワークステーション１０２と通信するリモート演算装置１２４ａ、１２４ｂやサーバなどのようなそれぞれのホストごとに、一意のプライベートなＩＰアドレス（ＵＰＩＰ）を割り当てている。ＭＳＬアーキテクチャは、ＭＳＬプライベートＩＰ領域１０６を管理するべく、ツインＮＡＴ機能を提供している。ＭＳＬツインＮＡＴ１１０は、複数のＶＰＮオーナが同一のプライベートＩＰアドレスを有する際にも、ワークステーションが、すべてのＶＰＮオーナホストについて一意のＩＰアドレスを有するように、ＶＰＮオーナによって割り当てられたプライベートＩＰアドレスと割り当てられたＵＰＩＰとの間における変換を実行している。 The composite secure link architecture uses MSL technology to communicate with the client workstation 102 so that the hosts (systems) of all user organizations have unique IP addresses within the MSL private IP area 106a. , 124b, a unique private IP address (UPIP) is assigned to each host such as a server. The MSL architecture provides a twin NAT function to manage the MSL private IP area 106. The MSL Twin NAT110 has a private IP address assigned by the VPN owner so that the workstation has a unique IP address for all VPN owner hosts, even when multiple VPN owners have the same private IP address. Performing a conversion to and from the assigned UPIP.

従って、ユーザアプリケーションＡ１０８ａ及びユーザアプリケーションＢ１０８ｂは、ＶＰＮオーナホストが、ＶＰＮオーナの内部のプライベートなＩＰアドレスのみを観察している一方で、ＵＰＩＰを観察している。ＭＳＬツインＮＡＴ１１０は、ユーザアプリケーションＡ１０８ａ及びユーザアプリケーションＢ１０８ｂが、ＵＰＩＰを観察し、且つ、ＶＰＮオーナのホストが、ＶＰＮオーナの内部のプライベートなＩＰアドレスのみを観察するように、ＶＰＮオーナによって割り当てられたＩＰアドレスとＭＳＬアーキテクチャによって割り当てられたＵＰＩＰとの間における変換を実行するように調整されている。 Therefore, in user application A 108a and user application B 108b, the VPN owner host is observing the UPIP while observing only the private IP address inside the VPN owner. The MSL Twin NAT110 is assigned by the VPN owner so that user application A 108a and user application B 108b observe the UPIP and the VPN owner's host observes only the private IP address inside the VPN owner. It is tuned to perform a translation between the IP address and the UPIP assigned by the MSL architecture.

クライアントワークステーション１０２は、ＭＳＬユーザインタフェース及び管理機能を使用してＶＰＮＡ１０４ａに接続している。ＭＳＬ管理コンポーネント１１６は、リモート演算装置１２４ａを含むＶＰＮＡ１０４ａにＵＰＩＰを割り当てている。この結果、クライアントワークステーション１０２は、通常の方式により、ＶＰＮＡ１０４ａにアクセスすることができる。 The client workstation 102 connects to the VPN A 104a using the MSL user interface and management functions. The MSL management component 116 assigns UPIP to the VPN A 104a including the remote arithmetic unit 124a. As a result, the client workstation 102 can access the VPN A 104a by the usual method.

クライアントワークステーション１０２は、ＭＳＬユーザインタフェースコンポーネント１１４及びＭＳＬ管理コンポーネント１１６を使用してＶＰＮＢ１０４ｂに更に接続してもよい。ＭＳＬ管理コンポーネント１１６は、リモート演算装置１２４ｂなどのＶＰＮＢ１０４ｂ上のノードにＵＰＩＰを割り当てている。ＶＰＮＡ１０４ａがＵＰＩＰをクライアントワークステーション１０２に既に割り当てていることから、ＭＳＬ管理コンポーネント１１６は、ＶＰＮＢ１０４ｂのＩＰ用に同一のＵＰＩＰ値を使用する。この結果、クライアントワークステーション１０２は、通常の方式で、ユーザアプリケーション１０８ａ、１０８ｂにより、ＶＰＮＢ１０４ｂ上のリモート演算装置１２４ｂなどの演算装置にアクセスすることができる。 The client workstation 102 may further connect to the VPN B 104b using the MSL user interface component 114 and the MSL management component 116. The MSL management component 116 assigns UPIP to a node on the VPN B 104b such as the remote arithmetic unit 124b. Since the VPN A 104a has already assigned the UPIP to the client workstation 102, the MSL management component 116 uses the same UPIP value for the IP of the VPN B 104b. As a result, the client workstation 102 can access the arithmetic unit such as the remote arithmetic unit 124b on the VPN B 104b by the user applications 108a and 108b in the usual manner.

以下の表２は、ＩＰアドレス割当の一例を示している。ＩＰは、割当の追跡を簡単にするべく選択されたものであり得ることに留意されたい。 Table 2 below shows an example of IP address allocation. Note that the IP may have been chosen to facilitate allocation tracking.

クライアントワークステーション１０２には、クライアントワークステーション１０２がＶＰＮＡ１０４ａにログオンした際に生成されるＵＰＩＰが割り当てられる。クライアントワークステーション１０２がＶＰＮＢ１０４ｂにログオンした際には、ＶＰＮＢ１０４ｂの背後の演算装置にＵＰＩＰが割り当てられるが、クライアントワークステーション１０２は、ＶＰＮＡ１０４ａ用に生成されたワークステーションＵＰＩＰの使用を継続する。この結果、ユーザアプリケーション１０８ａ、１０８ｂは、ＭＳＬＵＰＩＰ領域１０６内において動作することを理解されたい。 The client workstation 102 is assigned the UPIP generated when the client workstation 102 logs on to the VPN A 104a. When the client workstation 102 logs on to the VPN B 104b, the arithmetic unit behind the VPN B 104b is assigned an UPIP, but the client workstation 102 uses the workstation UPIP generated for the VPN A 104a. continue. As a result, it should be understood that the user applications 108a, 108b operate within the MSL UPIP region 106.

図２は、本明細書において開示されているＭＳＬサーバ２０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図２の実施形態は、クライアントワークステーション２０２と、ＭＳＬサーバ２０４と、ＶＰＮＡ２０６ａと、ＶＰＮＢ２０６ｂと、を含む。クライアントワークステーション２０２は、ユーザアプリケーションＡ２１０ａと、ユーザアプリケーションＢ２１０ｂと、商用の既成の（ＣＯＴＳ：Commercial Off The Shelf）クリアテキストプロセスクライアント２１２と、第一ＭＳＬＶＰＮコンポーネント２１４と、ＭＳＬＶＰＮユーザインタフェースコンポーネント２１６と、第一ＭＳＬ管理コンポーネント２１８と、を含んでもよい。これらのコンポーネントは、ＭＳＬＵＰＩＰ領域２０８を構成してもよく、且つ、インターネットなどのパブリックネットワーク２２０を介してＶＰＮＡ２０６ａ及び／又はＶＰＮＢ２０６ｂとの間においてＶＰＮ通信を確立するように構成されていてもよい。 FIG. 2 shows a computing environment that provides a composite secure link architecture on the MSL server 204 disclosed herein. As shown, the embodiment of FIG. 2 includes a client workstation 202, an MSL server 204, a VPN A 206a, and a VPN B 206b. The client workstation 202 includes user application A 210a, user application B 210b, a commercial off-the-shelf (Commercial Off The Shelf) clear text process client 212, a first MSL VPN component 214, and an MSL VPN user interface component. 216 and a first MSL management component 218 may be included. These components may constitute the MSL UPIP region 208 and are configured to establish VPN communication with the VPN A 206a and / or the VPN B 206b via a public network 220 such as the Internet. You may.

この通信を促進するべく、ＭＳＬサーバ２０４は、こちらもＭＳＬＵＰＩＰ領域２０８の一部分であるＣＯＴＳＶＰＮコンポーネント２２４、ＣＯＴＳクリアテキストプロセスコンポーネント２２６、ＭＳＬツインＮＡＴコンポーネント２２８、及び第二ＭＳＬ管理コンポーネント２３０を含んでもよい。又、第二ＭＳＬＶＰＮコンポーネント２３２が含まれてもよい。従って、これらのコンポーネントは、ＶＰＮＡ２０６ａ及び／又はＶＰＮＢ２０６ｂからリモート状態にあってもよく、且つ、一つ又は複数のデータグラムをオーナゲートウェイ２３４ａ、２３４ｂに送信してもよく、オーナゲートウェイ２３４ａ、２３４ｂは、ＶＰＮＡ２０６ａ及び／又はＶＰＮＢ２０６ｂ上のリモート演算装置２３８ａ、２３８ｂ及び／又はその他の演算装置にデータを送信すると共に／又は、これらからデータを受信するべく、ローカルネットワーク１２２ａ、１２２ｂに結合されている。 To facilitate this communication, the MSL server 204 may also include a COTS VPN component 224, a COTS cleartext process component 226, an MSL twin NAT component 228, and a second MSL management component 230, which are also part of the MSL UPIP region 208. Good. Also, a second MSL VPN component 232 may be included. Thus, these components may be in a remote state from VPN A 206a and / or VPN B 206b and may send one or more datagrams to Owner Gateway 234a, 234b, and Owner Gateway 234a. , 234b send data to and / or receive data from remote arithmetic units 238a, 238b and / or other arithmetic units on VPN A 206a and / or VPN B 206b, local networks 122a, 122b. It is bound to.

従って、図２の実施形態は、図２の実施形態が、クライアントワークステーション２０２からリモート状態にあるＭＳＬサーバ２０４を利用していることを除いて、図１との関連において説明したものに類似した方式で動作してもよい。従って、この構成は、ＭＳＬＵＰＩＰ領域２０８をＭＳＬサーバ２０４に拡張しており、ＭＳＬサーバ２０４は、ＣＯＴＳクリアテキスト機能を複数の異なるクライアントワークステーションによって使用されているそれぞれのＶＰＮに適用することができるように、加速などのＣＯＴＳクリアテキスト機能をホスティングすることができる。更には、パブリックネットワーク２２０上においてクライアントワークステーション２０２とＭＳＬサーバ２０４４との間において移動するのに伴って、データを保護するべく、ＭＳＬサーバ２０４及びクライアントワークステーション２０２を接続するＣＯＴＳＶＰＮコンポーネント２２４が提供されている。 Therefore, the embodiment of FIG. 2 is similar to that described in the context of FIG. 1 except that the embodiment of FIG. 2 utilizes the MSL server 204 in the remote state from the client workstation 202. It may operate by the method. Therefore, this configuration extends the MSL UPIP area 208 to the MSL server 204, which can apply the COTS cleartext function to each VPN used by a plurality of different client workstations. As such, COTS cleartext features such as acceleration can be hosted. Further provided by the COTS VPN component 224 connecting the MSL server 204 and the client workstation 202 to protect the data as it moves between the client workstation 202 and the MSL server 2044 on the public network 220. Has been done.

図３は、本明細書において開示されている実施形態によるＭＳＬゲートウェイルータ３０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図３の実施形態は、クライアントワークステーション３０２と、ＭＳＬゲートウェイルータ３０４と、ＶＰＮＡ３０６ａと、ＶＰＮＢ３０６ｂと、を含む。クライアントワークステーション３０２は、ＭＳＬＵＰＩＰ領域３０８の一部分を構成するユーザアプリケーションＡ３１０ａ、ユーザアプリケーションＢ３１０ｂ、第一ＣＯＴＳＶＰＮコンポーネント３１４、ＭＳＬＶＰＮユーザインタフェースコンポーネント３１６、及びＭＳＬ管理コンポーネント３１８を含む。 FIG. 3 shows a computing environment that provides a composite secure link architecture on the MSL gateway router 304 according to the embodiments disclosed herein. As shown, the embodiment of FIG. 3 includes a client workstation 302, an MSL gateway router 304, a VPN A 306a, and a VPN B 306b. The client workstation 302 includes a user application A 310a, a user application B 310b, a first COTS VPN component 314, an MSL VPN user interface component 316, and an MSL management component 318 that form part of the MSL UPIP region 308.

従って、クライアントワークステーション３０２は、ローカル且つ／又はプライベートなネットワーク３２０を介してＭＳＬゲートウェイルータ３０４と通信してもよい。ＭＳＬゲートウェイルータ３０４は、こちらもＭＳＬＵＰＩＰ領域３０８の一部分である第二ＣＯＴＳＶＰＮコンポーネント３２２、ＭＳＬツインＮＡＴコンポーネント３２４、及びＭＳＬサーバ管理コンポーネント３２６を含んでもよい。又、ＭＳＬＶＰＮ３２８が、ＭＳＬゲートウェイルータ３０４と共に含まれており、且つ、パブリックネットワーク３３０を介してＶＰＮＡ３０６ａ及び／又はＶＰＮＢ３０６ｂとの間における通信を促進してもよい。 Therefore, the client workstation 302 may communicate with the MSL gateway router 304 via a local and / or private network 320. The MSL gateway router 304 may include a second COTS VPN component 322, an MSL twin NAT component 324, and an MSL server management component 326, which are also part of the MSL UPIP region 308. Also, the MSL VPN 328 may be included with the MSL gateway router 304 and facilitate communication between the VPN A 306a and / or the VPN B 306b via the public network 330.

その他のＶＰＮとの関連において上述したように、ＶＰＮＡ３０６ａは、プライベートネットワーク３３４ａに結合されたオーナゲートウェイ３３２ａを含む。プライベートネットワーク３３４ａは、リモート演算装置３３６ａなどの一つ又は複数の演算装置に結合されていてもよい。同様に、ＶＰＮＢ３０６ｂも、プライベートネットワーク３３４ｂに結合されたオーナゲートウェイ３３２ａを含む。プライベートネットワーク３３４ｂは、リモート演算装置３３６ｂなどの一つ又は複数の演算装置に結合されていてもよい。 As mentioned above in the context of other VPNs, the VPN A 306a includes an owner gateway 332a coupled to the private network 334a. The private network 334a may be coupled to one or more arithmetic units such as the remote arithmetic unit 336a. Similarly, the VPN B 306b also includes an owner gateway 332a coupled to the private network 334b. The private network 334b may be coupled to one or more arithmetic units such as the remote arithmetic unit 336b.

従って、図３の実施形態は、ＭＳＬＵＰＩＰ領域３０８を複数のクライアントワークステーションをサポートするＭＳＬゲートウェイルータ３０４に拡張している。このような構成は、経済的であってもよく、この場合には、単一のコンポーネントが、複数のクライアントワークステーション（学校ネットワークやビジネスネットワークなどにおけるものなど）用に利用されてもよい。更には、プライベートネットワーク３２０上においてワークステーションとＭＳＬルータとの間において移動するのに伴って、データを保護するべく、ＣＯＴＳＶＰＮコンポーネント３３２がクライアントワークステーション３０２に結合されている。 Therefore, the embodiment of FIG. 3 extends the MSL UPIP region 308 to an MSL gateway router 304 that supports a plurality of client workstations. Such a configuration may be economical, in which case a single component may be utilized for multiple client workstations (such as those in school networks, business networks, etc.). Furthermore, as it travels between the workstation and the MSL router on the private network 320, the COTS VPN component 332 is coupled to the client workstation 302 to protect the data.

又、ユーザアプリケーション３１０は、完全に独立的に動作する複数の別個のアプリケーションであってもよいが、これは、一つの実施形態に過ぎないことを理解されたい。具体的には、いくつかの実施形態は、共通ブラウザアプリケーションが、異なるタブ又はページを表示することにより、アプリケーションＡ３１０ａ及びアプリケーションＢ３１０ｂの両方にサービスし得るように、構成されている。 Also, it should be understood that the user application 310 may be a plurality of separate applications that operate completely independently, but this is only one embodiment. Specifically, some embodiments are configured such that a common browser application can serve both application A 310a and application B 310b by displaying different tabs or pages.

図４は、本明細書において開示されている実施形態によるクライアントワークステーション４０２上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図４の実施形態は、クライアントワークステーション４０２と、ＭＳＬアプライアンス４０４と、ＭＳＬサーバ４０６と、ＶＰＮＡ４０８ａと、ＶＰＮＢ４０８ｂと、を含む。クライアントワークステーション４０２は、ＭＳＬＵＰＩＰ領域４１０の一部分を構成するユーザアプリケーションＡ４１２ａ、ユーザアプリケーションＢ４１２ｂ、第一ＣＯＴＳＶＰＮコンポーネント４１４、並びに、ＭＳＬＶＰＮユーザインタフェースコンポーネント４１８を含んでもよい。更には、クライアントワークステーション４０２は、プライベートネットワーク４１６上において、暗号化されたトンネルを介して、且つ／又は、暗号化された形態において、ＭＳＬアプライアンス４０４に結合されていてもよい。 FIG. 4 shows a computing environment that provides a composite secure link architecture on a client workstation 402 according to an embodiment disclosed herein. As shown, the embodiment of FIG. 4 includes a client workstation 402, an MSL appliance 404, an MSL server 406, a VPN A 408a, and a VPN B 408b. The client workstation 402 may include a user application A 412a, a user application B 412b, a first COTS VPN component 414, and an MSL VPN user interface component 418 that form part of the MSL UPIP region 410. Further, the client workstation 402 may be coupled to the MSL appliance 404 over a private network 416 via an encrypted tunnel and / or in an encrypted form.

ＭＳＬアプライアンス４０４は、こちらもＭＳＬＵＰＩＰ領域４１０の一部分である第二ＣＯＴＳＶＰＮコンポーネント４２２、第一ＣＯＴＳクリアテキストプロセスクライアント４２４、第三ＣＯＴＳＶＰＮコンポーネント４２６、及び第一ＭＳＬサーバ管理コンポーネント４３０を含んでもよい。ＭＳＬアプライアンス４０４は、ＭＳＬサーバ４０６を介したＶＰＮ４０８ａ、４０８ｂとの間における通信のためにパブリックネットワーク４２８に結合されていてもよい。 The MSL appliance 404 may include a second COTS VPN component 422, a first COTS cleartext process client 424, a third COTS VPN component 426, and a first MSL server management component 430, which are also part of the MSL UPIP region 410. .. The MSL appliance 404 may be coupled to the public network 428 for communication with the VPNs 408a, 408b via the MSL server 406.

又、パブリックネットワーク４２８には、ＭＳＬサーバ４０６も結合されている。ＭＳＬサーバ４０６は、こちらもＭＳＬＵＰＩＰ領域４１０の一部分である第四ＣＯＴＳＶＰＮコンポーネント４３２、ＣＯＴＳクリアテキストプロセス４３４、及び第二ＭＳＬサーバ管理コンポーネント４３８を含む。又、ＭＳＬＶＰＮコンポーネント４３９も、ＭＳＬサーバ４０６の一部分であり、且つ、パブリックネットワーク４２８に結合されている。 The MSL server 406 is also coupled to the public network 428. The MSL server 406 includes a fourth COTS VPN component 432, a COTS cleartext process 434, and a second MSL server management component 438, which are also part of the MSL UPIP region 410. The MSL VPN component 439 is also part of the MSL server 406 and is coupled to the public network 428.

又、パブリックネットワーク４２８には、ＶＰＮＡ４０８ａ及びＶＰＮＢ４０８ｂも結合されている。ＶＰＮＡ４０８ａは、オーナゲートウェイ４４０ａと、プライベートネットワーク４４２ａと、リモート演算装置４４４ａなどの一つ又は複数の演算装置と、を含む。ＶＰＮＢ４０８ｂは、オーナゲートウェイ４４０ｂと、プライベートネットワーク４４２ｂと、リモート演算装置４４４ｂなどの一つ又は複数の演算装置と、を含む。 VPN A 408a and VPN B 408b are also coupled to the public network 428. The VPN A 408a includes an owner gateway 440a, a private network 442a, and one or more arithmetic units such as a remote arithmetic unit 444a. The VPN B 408b includes an owner gateway 440b, a private network 442b, and one or more arithmetic units such as a remote arithmetic unit 444b.

従って、図４の実施形態は、複数の異なるクライアントワークステーション（図３に類似している）をサポートしているがＭＳＬサーバ４０６をも利用しているＭＳＬアプライアンス４０４にＭＳＬＵＰＩＰ領域４１０を拡張する実装形態を提供している。いくつかの実施形態においては、ＭＳＬアプライアンス４０４は、小規模オフィスをサポートするゲートウェイルータ内において実装されてもよいことを理解されたい。更には、パブリックネットワーク４２８上においてＭＳＬアプライアンス４０４とＭＳＬサーバ４０６との間において移動するのに伴って、データを保護するべく、第三ＣＯＴＳＶＰＮコンポーネント４２６及び第四ＣＯＴＳＶＰＮコンポーネント４３２が、ＭＳＬサーバ４０６とＭＳＬアプライアンス４０４との間において結合されている。プライベートネットワーク４１６上においてクライアントワークステーション４０２とＭＳＬアプライアンス４０４との間において移動するのに伴って、データを保護するべく、第一ＣＯＴＳＶＰＮコンポーネント４１４及び第二ＣＯＴＳＶＰＮコンポーネント４２２が、ＭＳＬアプライアンス４０４とクライアントワークステーション４０２との間において提供されている。 Accordingly, the embodiment of FIG. 4 extends the MSL UPIP region 410 to an MSL appliance 404 that supports a plurality of different client workstations (similar to FIG. 3) but also utilizes the MSL server 406. It provides an implementation form. It should be understood that in some embodiments, the MSL appliance 404 may be implemented within a gateway router that supports a small office. Furthermore, as the MSL appliance 404 and the MSL server 406 move on the public network 428, the third COTS VPN component 426 and the fourth COTS VPN component 432 move to the MSL server 406 to protect the data. And the MSL appliance 404. As the client workstation 402 and the MSL appliance 404 move on the private network 416, the first COTS VPN component 414 and the second COTS VPN component 422 move between the MSL appliance 404 and the client to protect the data. It is provided with workstation 402.

図５は、本明細書に開示されている実施形態によるＭＳＬネットワーク運営センタ（ＮＯＣ：Network Operations Center）５０４上において複合セキュアリンクアーキテクチャを提供する演算環境を示している。図示のように、図５の実施形態は、クライアントワークステーション５０２と、ＭＳＬネットワーク運営センタ（ＮＯＣ）５０４と、ＶＰＮＡ５０６ａと、ＶＰＮＢ５０６ｂと、を含む。ＣＯＴＳコンポーネントは、ＣＯＴＳＶＰＮと、ＣＯＴＳクリアテキストプロセスと、を含む。 FIG. 5 shows a computing environment that provides a composite secure link architecture on MSL Network Operations Center (NOC) 504 according to the embodiments disclosed herein. As shown, the embodiment of FIG. 5 includes a client workstation 502, an MSL network operating center (NOC) 504, a VPN A 506a, and a VPN B 506b. The COTS component includes a COTS VPN and a COTS cleartext process.

クライアントワークステーション５０２は、ユーザアプリケーションＡ５１０ａと、ユーザアプリケーションＢ５１０ｂと、を含む。又、クライアントワークステーション５０２内には、ＭＳＬクライアントロジックの一部として、ＣＯＴＳクリアテキストプロセスクライアント５１２、ＣＯＴＳＶＰＮクライアント５１４、ＭＳＬＶＰＮユーザインタフェースコンポーネント５１６、及びＭＳＬ管理コンポーネント５１８も含まれている。これらのコンポーネントは、ＭＳＬプライベートＩＰ領域５０８の一部分を構成している。 Client workstation 502 includes user application A 510a and user application B 510b. The client workstation 502 also includes a COTS clear text process client 512, a COTS VPN client 514, an MSL VPN user interface component 516, and an MSL management component 518 as part of the MSL client logic. These components form part of the MSL private IP area 508.

クライアントワークステーション５０２をＭＳＬＮＯＣ５０４と結合しているのは、パブリックネットワーク５２０である。従って、ＭＳＬＮＯＣ５０４は、こちらもＭＳＬプライベートＩＰ領域５０８の一部分であるＣＯＴＳＶＰＮコンポーネント５２４、ＣＯＴＳクリアテキストプロセスコンポーネント５２６、ＭＳＬツインＮＡＴコンポーネント５２８、ログインマネージャコンポーネント５２９、及びセッションマネージャコンポーネント５３０を含む。又、ＭＳＬＶＰＮコンポーネント５３１も、ＭＳＬＮＯＣ５０４の一部分である。ＣＯＴＳクリアテキストプロセスコンポーネント５２６は、ネットワーク加速製品として実装されてもよく、且つ、ユーザ顧客用のサービスを提供するべく、クリアテキストパケットに対して動作する変更されていない機能として実装されてもよい。 It is the public network 520 that connects the client workstation 502 to the MSL NOC 504. Thus, the MSL NOC 504 includes a COTS VPN component 524, a COTS cleartext process component 526, an MSL twin NAT component 528, a login manager component 529, and a session manager component 530, which are also part of the MSL private IP region 508. The MSL VPN component 531 is also part of the MSL NOC 504. The COTS cleartext process component 526 may be implemented as a network acceleration product and may be implemented as an unmodified feature operating on cleartext packets to provide services for user customers.

更には、いくつかの実施形態は、セッションマネージャコンポーネント５３０と通信すると共にクライアントワークステーション５０２用のセッション情報を維持するクライアントワークステーション５０２上のクライアントセッションマネージャを含む。ＶＰＮＡ５０６ａ及びＶＰＮＢ５０６ｂは、オーナゲートウェイ５３２ａ、５３２ｂと、プライベートネットワーク５３４ａ、５３４ｂと、リモート演算装置５３６ａ、５３６ｂと、を含む。セッションマネージャコンポーネント５３０は、サービスにログインするそれぞれのクライアントワークステーションごとにセッション情報を維持するように構成されてもよい。セッションマネージャコンポーネント５３０は、ＵＰＩＰ調整情報をＭＳＬツインＮＡＴコンポーネント５２８に提供してもよく、且つ、それぞれのオーナゲートウェイ５３２ａ、５３２ｂごとに、割り当てられたＵＰＩＰにより、クライアントセッションマネージャを更新してもよい。又、セッションマネージャは、オーナゲートウェイ５３２ａ、５３２ｂ及び／又はＶＰＮ５０６ａ、５０６ｂのＵＰＩＰとパブリックＩＰとの間の関係を維持するように構成されてもよい。ログインマネージャコンポーネント５２９は、サービスに対するクライアントアクセスを検証すると共にＶＰＮトンネルを確立するべく、クライアントログインマネージャ（ＭＳＬ管理コンポーネント５１８の一部分であってもよい）からのログイン要求を処理するように構成されてもよい。 Further, some embodiments include a client session manager on the client workstation 502 that communicates with the session manager component 530 and maintains session information for the client workstation 502. The VPN A 506a and VPN B 506b include an owner gateway 532a, 532b, a private network 534a, 534b, and a remote arithmetic unit 536a, 536b. The session manager component 530 may be configured to maintain session information for each client workstation that logs in to the service. The session manager component 530 may provide UPIP adjustment information to the MSL twin NAT component 528, and may update the client session manager by the UPIP assigned to each owner gateway 532a and 532b. The session manager may also be configured to maintain the relationship between the UPIP and the public IP of the owner gateways 532a, 532b and / or VPN506a, 506b. The login manager component 529 may be configured to handle login requests from the client login manager (which may be part of the MSL management component 518) in order to verify client access to the service and establish a VPN tunnel. Good.

上述のように、ＭＳＬＶＰＮコンポーネント５３１は、発信元ゲートウェイ及び／又はＶＰＮを識別するべく、オーナゲートウェイ５３２ａ、５３２ｂからの外部パケット上において発信元ＩＰを提供するように利用されてもよい。対照的に、ＭＳＬツインＮＡＴコンポーネント５２８からのアウトバウンドデータグラムは、宛先ゲートウェイ及び／又はＶＰＮを識別するべく、宛先パブリックＩＰを含む。ＭＳＬＶＰＮユーザインタフェースコンポーネント５１６は、クライアントワークステーション５０２用のスタートアッププロセスを管理している。ＭＳＬＶＰＮユーザインタフェースコンポーネント５１６は、クライアントライセンスを検証すると共にＭＳＬＮＯＣ５０４に対するＶＰＮを確立するべく、ログインマネージャと通信している。更には、ＭＳＬＶＰＮユーザインタフェースコンポーネント５１６は、クライアントワークステーション５０２によって要求されたＶＰＮ接続のそれぞれをスタートアップ及びシャットダウンするべく、セッションマネージャコンポーネント５３０を使用するように構成されてもよい。 As mentioned above, the MSL VPN component 531 may be used to provide a source IP on an external packet from the owner gateways 532a and 532b to identify the source gateway and / or VPN. In contrast, the outbound datagram from the MSL Twin NAT component 528 includes a destination public IP to identify the destination gateway and / or VPN. The MSL VPN user interface component 516 manages the startup process for client workstation 502. The MSL VPN user interface component 516 communicates with the login manager to validate the client license and establish a VPN for the MSL NOC 504. Further, the MSL VPN user interface component 516 may be configured to use the session manager component 530 to start up and shut down each of the VPN connections requested by the client workstation 502.

同様に、ＭＳＬツインＮＡＴコンポーネント５２８は、割り当てられたＵＰＩＰアドレスへの且つ／又はこれからのクリアテキストパケット内において発信元及び宛先ＩＰアドレスの両方の変換を実行するように構成されてもよい。インバウンドパケットの場合には、ＭＳＬツインＮＡＴコンポーネント５２８は、ＶＰＮオーナを識別するべく、ＭＳＬＶＰＮコンポーネント５３１によって提供された発信元ＩＰを使用している。アウトバウンドパケットの場合には、ＭＳＬツインＮＡＴコンポーネント５２８は、宛先ゲートウェイ及び／又はＶＰＮの宛先パブリックＩＰを識別するべく、発信元及び宛先ＵＰＩＰを利用している。ＭＳＬツインＮＡＴコンポーネント５２８とＭＳＬＶＰＮコンポーネント５３１との間のリンク上においては、パケットは、パブリック発信元及び宛先ＩＰを含むプライベートＭＳＬアーキテクチャによって定義されたＩＰプロトコルにおいてラッピングされてもよいことを理解されたい。又、本明細書において記述されている実施形態は、顧客によって割り当てられたプライベートＩＰアドレスとオーバラップしたＵＰＩＰを割り当ててもよいことを理解されたい。これにより、ルーティングの問題は、発生せず、その理由は、割り当てられたアドレスが、ＭＳＬプライベートＩＰ領域５０８内において一意であり、且つ、セッションマネージャコンポーネント５３０により、オーナゲートウェイ５３２ａ、５３２ｂのパブリックＩＰに対してマッピングされるからである。理解されるように、本明細書において記述されている実施形態は、ＶＰＮオーナのネットワーク内における変更が不要となるように、構成されてもよい。 Similarly, the MSL Twin NAT Component 528 may be configured to perform both source and destination IP address translations to and / or in future cleartext packets to and / or to the assigned UPIP address. In the case of inbound packets, the MSL Twin NAT component 528 uses the source IP provided by the MSL VPN component 531 to identify the VPN owner. In the case of outbound packets, the MSL Twin NAT component 528 utilizes the source and destination UPIPs to identify the destination public IP of the destination gateway and / or VPN. It should be understood that on the link between the MSL Twin NAT component 528 and the MSL VPN component 531 packets may be wrapped in the IP protocol defined by the private MSL architecture, including public source and destination IPs. .. Also, it should be understood that the embodiments described herein may be assigned an UPIP that overlaps with a private IP address assigned by the customer. As a result, no routing problem occurs, because the assigned address is unique within the MSL private IP area 508, and the session manager component 530 makes the public IP of the owner gateways 532a and 532b. This is because it is mapped to. As will be appreciated, the embodiments described herein may be configured such that no changes are required within the VPN owner's network.

上述のいくつかの実施形態においては、単一のワークステーションが示されていることを理解されたい。このような実施形態は、一つのワークステーションをサポートしてもよいが、上述の実施形態のそれぞれは、特定の構成に応じて、複数のワークステーションを収容するように構成されてもよい。 It should be understood that in some of the embodiments described above, a single workstation is shown. Such embodiments may support one workstation, but each of the above embodiments may be configured to accommodate multiple workstations, depending on the particular configuration.

図６は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのログインマネージャ用のフローチャートを示している。ブロック６５２において示されているように、ログインマネージャは、システムにアクセスするためのライセンスＩＤを検証してもよい。ブロック６５４において、顧客が、サービスについて識別されてもよい。ブロック６５６において、ユーザを追跡するためのセッションを生成するべく、セッションマネージャが利用されてもよい。ブロック６５８において、クライアントワークステーションに対するＶＰＮトンネルを生成すると共に、ライセンスＩＤ用のＵＰＩＰをクライアントワークステーションに割り当てるべく、ＣＯＴＳＶＰＮコンポーネントが利用されてもよい。ブロック６６０において、ライセンスに割り当てられた顧客プライベートＩＰマッピングに対するＵＰＩＰにより、クライアントワークステーション上のクライアントセッションマネージャが更新されてもよい。ブロック６６２において、クライアントゲートウェイに対するＶＰＮトンネルを生成するべく、ＭＳＬＶＰＮが利用されてもよい。ブロック６６４において、システムが、要求されたサービスを提供するための準備が完了した状態にあることを通知するクライアントワークステーションに対するメッセージが提供されてもよい。 FIG. 6 shows a flow chart for a login manager to provide a composite secure link architecture according to the embodiments disclosed herein. As shown in block 652, the login manager may validate the license ID to access the system. At block 654, the customer may be identified for the service. At block 656, a session manager may be utilized to generate a session for tracking users. At block 658, the COTS VPN component may be utilized to create a VPN tunnel for the client workstation and to assign the UPIP for the license ID to the client workstation. At block 660, the client session manager on the client workstation may be updated with an UPIP to the customer private IP mapping assigned to the license. At block 662, MSL VPN may be used to create a VPN tunnel for the client gateway. At block 664, a message may be provided to the client workstation informing that the system is ready to provide the requested service.

図７は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するためのセッションマネージャ用のフローチャートを示している。ブロック７５２において示されているように、クライアントワークステーション上のクライアントセッションマネージャが、ライセンスに対して割り当てられたＵＰＩＰにより、更新されてもよい。ブロック７５４において、クライアントゲートウェイに対するＶＰＮトンネルを生成するべく、ＭＳＬＶＰＮコンポーネントが利用されてもよい。ブロック７５６において、クライアントゲートウェイにログインするユーザのエミュレーションが実行されてもよい。ブロック７５８において、ユーザがログイン証明書を入力するように、顧客ＶＰＮログインページが、ユーザインタフェースに送り返されてもよい。ブロック７６０において、クライアントセッションマネージャが、ログイン結果により、更新されてもよい。ブロック７６２において、ＭＳＬツインＮＡＴコンポーネントが、オーナゲートウェイ用のＵＰＩＰにより、更新されてもよい。 FIG. 7 shows a flowchart for a session manager to provide a composite secure link architecture according to the embodiments disclosed herein. As shown in block 752, the client session manager on the client workstation may be updated with the UPIP assigned to the license. At block 754, the MSLVPN component may be utilized to create a VPN tunnel for the client gateway. At block 756, emulation of the user logging in to the client gateway may be performed. At block 758, the customer VPN login page may be sent back to the user interface so that the user enters a login certificate. At block 760, the client session manager may be updated with the login result. At block 762, the MSL twin NAT component may be updated by the UPIP for the owner gateway.

図８Ａ、図８Ｂは、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するための複数のコンポーネント用のフローチャートを示している。図８Ａのブロック８５０において示されているように、ユーザアプリケーションが、ユーザ入力に基づいて要求データグラムを生成してもよい。ブロック８５２においては、ＣＯＴＳプロセスクライアントが、データグラムを処理している。ブロック８５４において、ＣＯＴＳＶＰＮクライアント及びＣＯＴＳＶＰＮが、データグラムをＭＳＬＮＯＣに転送している。ブロック８５６において、ＣＯＴＳクリアテキストプロセスが、データグラムを処理し、且つ、ＶＰＮオーナサーバ用の新しいデータグラムを生成している。ブロック８５８において、ＭＳＬツインＮＡＴが、データグラム内のＵＰＩＰアドレスを顧客によって定義されたプライベートなＩＰアドレスにマッピングしている。ブロック８６０において、ＭＳＬＶＰＮが、新しいデータグラムを暗号化してもよく、且つ、次いで、新しいデータグラムをオーナゲートウェイに転送している。ブロック８６２において、オーナゲートウェイが、新しいデータグラムを暗号解読し、且つ、処理のために新しいデータグラムをＶＰＮオーナリモート演算装置に転送している。ブロック８６４において、ＶＰＮオーナリモート演算装置が、要求元クライアントワークステーション用のＶＰＮオーナプライベートＩＰに設定された宛先ＩＰアドレスを有する応答データグラムを生成している。ブロック８６６において、ＶＰＮオーナゲートウェイが、応答データグラムを暗号化し、且つ、応答データグラムをＭＳＬＶＰＮコンポーネントに転送している。ブロック８６８において、ＭＳＬＶＰＮは、応答データグラムを暗号解読し、且つ、オリジナルの発信元ＩＰアドレスを有する応答データグラムをＭＳＬツインＮＡＴに転送している。 8A, 8B show flowcharts for a plurality of components to provide a composite secure link architecture according to the embodiments disclosed herein. As shown in block 850 of FIG. 8A, the user application may generate a request datagram based on user input. At block 852, the COTS process client is processing the datagram. At block 854, the COTS VPN client and COTS VPN are transferring datagrams to the MSL NOC. At block 856, the COTS cleartext process is processing the datagram and generating a new datagram for the VPN owner server. At block 858, MSL Twin NAT maps the UPIP address in the datagram to a private IP address defined by the customer. At block 860, the MSL VPN may encrypt the new datagram and then forward the new datagram to the owner gateway. At block 862, the owner gateway decrypts the new datagram and transfers the new datagram to the VPN owner remote arithmetic unit for processing. At block 864, the VPN owner remote arithmetic unit is generating a response datagram with a destination IP address set to the VPN owner private IP for the requesting client workstation. At block 866, the VPN owner gateway encrypts the response datagram and transfers the response datagram to the MSL VPN component. At block 868, the MSL VPN decrypts the response datagram and transfers the response datagram with the original source IP address to the MSL Twin NAT.

図８Ｂのブロック８７０に継続すると、ＭＳＬツインＮＡＴが、応答データグラム内のＶＰＮオーナによって定義されたプライベートなＩＰアドレスをＵＰＩＰアドレスにマッピングしている。ブロック８７２において、ＭＳＬツインＮＡＴが、発信元ＩＰからの新しいＶＰＮオーナプライベートＩＰをセッションマネージャにおいて暗号解読済みの応答データグラム内において記録し、且つ、新しいＵＰＩＰを割り当てている。ブロック８７４において、ＭＳＬツインＮＡＴが、応答データグラムをＣＯＴＳクリアテキストプロセスコンポーネントに転送している。ブロック８７６において、ＣＯＴＳクリアテキストプロセスコンポーネントが、応答データグラムを処理し、且つ、ユーザアプリケーション用の新しい応答データグラムを生成している。ブロック８７８において、ＣＯＴＳＶＰＮ及びＣＯＴＳＶＰＮクライアントが、新しい応答データグラムをクライアントワークステーションに転送している。ブロック８８０において、ＣＯＴＳプロセスクライアントが、新しい応答データグラムを処理している。ブロック８８２において、ユーザアプリケーションが、新しい応答データグラム内の結果をユーザに提示している。 Continuing with block 870 in FIG. 8B, the MSL Twin NAT maps the private IP address defined by the VPN owner in the response datagram to the UPIP address. At block 872, the MSL Twin NAT records a new VPN owner private IP from the source IP in the decrypted response datagram in the session manager and assigns a new UPIP. At block 874, the MSL Twin NAT is transferring the response datagram to the COTS cleartext process component. At block 876, the COTS cleartext process component is processing the response datagram and generating a new response datagram for the user application. At block 878, the COTS VPN and COTS VPN clients are transferring new response datagrams to the client workstation. At block 880, the COTS process client is processing a new response datagram. At block 882, the user application presents the result in the new response datagram to the user.

図９は、本明細書において開示されている実施形態による複合セキュアリンクアーキテクチャを提供するべく利用され得る演算装置を示している。図示の実施形態においては、ＭＳＬサーバ２０４は、一つ又は複数のプロセッサ９３０と、入出力ハードウェア９３２と、ネットワークインタフェースハードウェア９３４と、データストレージコンポーネント９３６（ログインデータ９３８ａ及びセッションデータ９３８ｂを保存している）と、メモリコンポーネント９４０と、を含む。メモリコンポーネント９４０は、揮発性及び／又は不揮発性メモリとして構成されてもよく、且つ、従って、ランダムアクセスメモリ（ＳＲＡＭ、ＤＲＡＭ、及び／又はその他のタイプのＲＡＭを含む）、フラッシュメモリ、レジスタ、コンパクトディスク（ＣＤ：Compact Disk）、デジタルバーサタイルディスク（ＤＶＤ：Digital Versatile Disk）、及び／又はその他のタイプの一時的ではないコンピュータ可読媒体を含んでもよい。特定の実施形態に応じて、一時的ではないコンピュータ可読媒体は、ＭＳＬサーバ２０４内において、且つ／又は、ＭＳＬサーバ２０４の外部において、存在してもよい。 FIG. 9 shows an arithmetic unit that can be utilized to provide a composite secure link architecture according to the embodiments disclosed herein. In the illustrated embodiment, the MSL server 204 stores one or more processors 930, input / output hardware 932, network interface hardware 934, and data storage component 936 (login data 938a and session data 938b). ) And the memory component 940. The memory component 940 may be configured as a volatile and / or non-volatile memory and therefore includes random access memory (including SRAM, DVD, and / or other types of RAM), flash memory, registers, compact. It may include compact discs (CDs), digital versatile discs (DVDs), and / or other types of non-temporary computer-readable media. Depending on the particular embodiment, the non-transitory computer-readable medium may be present within the MSL server 204 and / or outside the MSL server 204.

更には、メモリコンポーネント９４０は、動作ロジック９４２、ＭＳＬＶＰＮロジック９４４ａ、ＭＳＬツインＮＡＴロジック９４４ｂ、並びに、上述のものなどのその他のロジックを保存するように構成されてもよく、これらのロジックのそれぞれは、一例として、コンピュータプログラム、ファームウェア、及び／又はハードウェアとして実施されてもよい。又、図９には、ローカル通信インタフェース９４６も含まれており、これは、ＭＳＬサーバ２０４のコンポーネントの間における通信を促進するべく、バス又はその他のインタフェースとして実装されてもよい。 Further, the memory component 940 may be configured to store the operating logic 942, the MSL VPN logic 944a, the MSL twin NAT logic 944b, and other logic such as those described above, each of these logics. , As an example, may be implemented as a computer program, firmware, and / or hardware. FIG. 9 also includes a local communication interface 946, which may be implemented as a bus or other interface to facilitate communication between the components of the MSL server 204.

プロセッサ９３０は、命令（データストレージコンポーネント９３６及び／又はメモリコンポーネント９４０からのものなど）を受信及び実行するべく動作可能な任意の処理コンポーネントを含んでもよい。入出力ハードウェア９３２は、データの受信、送信、及び／又は提示のために、モニタ、キーボード、マウス、プリンタ、カメラ、マイクロフォン、スピーカ、及び／又はその他の装置を含んでもよく、且つ／又は、これらとインタフェースするように構成されてもよい。ネットワークインタフェースハードウェア９３４は、任意の有線又は無線ネットワーキングハードウェア、衛星、アンテナ、モデム、ＬＡＮポート、Ｗｉ−Ｆｉ（Wireless Fidelity）カード、Ｗｉｍａｘカード、モバイル通信ハードウェア、ファイバ、並びに／或いは、その他のネットワーク及び／又は装置との間の通信用のハードウェアを含んでもよく、且つ／又は、これらと通信するように構成されてもよい。この接続から、上述のように、ＭＳＬサーバ２０４とその他の演算装置との間における通信が促進されてもよい。 Processor 930 may include any processing component capable of operating to receive and execute instructions (such as those from data storage component 936 and / or memory component 940). The input / output hardware 932 may include a monitor, keyboard, mouse, printer, camera, microphone, speaker, and / or other device for receiving, transmitting, and / or presenting data, and / or. They may be configured to interface with them. Network interface hardware 934 includes any wired or wireless networking hardware, satellites, antennas, modems, LAN ports, Wi-Fi (Wireless Fidelity) cards, Wimax cards, mobile communication hardware, fibers, and / or other. Hardware for communication with and / or devices may be included and / or configured to communicate with them. This connection may facilitate communication between the MSL server 204 and other arithmetic units, as described above.

同様に、データストレージコンポーネント９３６も、ＭＳＬサーバに対してローカル状態において且つ／又はリモート状態において、存在してもよく、且つ、ＭＳＬサーバ２０４及び／又はその他のコンポーネントによるアクセスのための一つ又は複数のデータ片を保存するように構成されてもよいことを理解されたい。いくつかの実施形態においては、データストレージコンポーネント９３６は、ＭＳＬサーバ２０４からはリモート状態において配置されてもよく、且つ、従って、ネットワーク接続を介してアクセス可能であってもよい。但し、いくつかの実施形態においては、データストレージコンポーネント９３６は、ＭＳＬサーバ２０４の外部に位置した単なる周辺装置であってもよい。 Similarly, the data storage component 936 may also be present locally and / or remotely to the MSL server and one or more for access by the MSL server 204 and / or other components. It should be understood that it may be configured to store a piece of data in. In some embodiments, the data storage component 936 may be located remotely from the MSL server 204 and may therefore be accessible via a network connection. However, in some embodiments, the data storage component 936 may be just a peripheral located outside the MSL server 204.

メモリコンポーネント９４０内には、動作ロジック９４２と、ＭＳＬＶＰＮロジック９４４ａと、ＭＳＬツインＮＡＴロジック９４４ｂと、その他のロジック９４４ｃと、が含まれている。動作ロジック９４２は、オペレーティングシステム及び／又はＭＳＬサーバ２０４のコンポーネントを管理するその他のソフトウェアを含んでもよい。同様に、ＭＳＬＶＰＮロジック９４４ａも、上述のＭＳＬＶＰＮ機能を実行するロジックを含んでもよい。ＭＳＬツインＮＡＴロジック９４４ｂは、上述のＭＳＬツインＮＡＴ機能を実行するロジックを含んでもよい。その他のロジック９４４ｃは、本明細書においては、上述のその他のロジック及び機能を表すべく、含まれている。 The memory component 940 includes an operation logic 942, an MSL VPN logic 944a, an MSL twin NAT logic 944b, and other logic 944c. The operating logic 942 may include other software that manages the operating system and / or the components of the MSL server 204. Similarly, the MSL VPN logic 944a may also include logic that performs the MSL VPN function described above. The MSL twin NAT logic 944b may include logic that executes the above-mentioned MSL twin NAT function. Other logic 944c is included herein to represent the other logic and functions described above.

図９に示されているコンポーネントは、例示を目的としたものに過ぎず、且つ、本開示の範囲の限定を意図したものではないことを理解されたい。図９のコンポーネントは、ＭＳＬサーバ２０４内において存在するものとして示されているが、これは、例に過ぎない。いくつかの実施形態においては、コンポーネントのうちの一つ又は複数は、ＭＳＬサーバ２０４の外部に存在してもよい。又、図９には、ＭＳＬサーバ２０４が示されているが、図１〜図６又はその他の図面において示されているその他の演算装置が、記述されている機能を提供する類似のハードウェア及びソフトウェアを含んでもよいことを理解されたい。一例として、クライアントワークステーション１０２、２０２、３０２、４０２、及び／又は５０２が、上述のハードウェア及びソフトウェアのうちのいくつか又はすべてを含んでもよい。従って、適用可能な範囲において、図１〜図６に示されているコンポーネントは、そのいくつかが図９に示されている不可欠なハードウェアを含む演算装置内において実行されるロジック及び／又はソフトウェアとして実施されてもよい。 It should be understood that the components shown in FIG. 9 are for illustrative purposes only and are not intended to limit the scope of this disclosure. The component of FIG. 9 is shown as being present within the MSL server 204, but this is only an example. In some embodiments, one or more of the components may reside outside the MSL server 204. Also, FIG. 9 shows the MSL server 204, but similar hardware and similar hardware and other arithmetic units shown in FIGS. 1-6 or other drawings provide the described functionality. Please understand that it may include software. As an example, client workstations 102, 202, 302, 402, and / or 502 may include some or all of the hardware and software described above. Thus, to the extent applicable, the components shown in FIGS. 1-6 are logic and / or software in which some of them are executed within the arithmetic unit, including the essential hardware shown in FIG. It may be carried out as.

本明細書において含まれているフローチャートは、ソフトウェアの可能な実装形態のアーキテクチャ、機能、及び動作を示していることに留意されたい。この観点において、それぞれのブロックは、一つ又は複数の規定された論理的機能を実装する一つ又は複数の実行可能な命令を有するコードのモジュール、セグメント、又は一部分を表すものと解釈することができる。又、いくつかの代替実装形態においては、ブロック内において示されている機能は、別の順序で実行されてもよく、且つ／又は、まったく実行されなくてもよいことに留意されたい。例えば、関係する機能に応じて、連続的に示されている二つのブロックは、実際には、実質的に同時に実行されてもよく、或いは、これらのブロックは、しばしば、逆の順序で実行されてもよい。 It should be noted that the flowcharts included herein show the architecture, functionality, and behavior of possible implementations of the software. In this regard, each block can be interpreted as representing a module, segment, or portion of code that has one or more executable instructions that implement one or more defined logical functions. it can. Also note that in some alternative implementations, the functions shown within the block may or may not be performed in a different order. For example, depending on the function involved, the two blocks shown in succession may actually be executed at substantially the same time, or these blocks are often executed in reverse order. You may.

上述の実施形態は、本開示の原理の明瞭な理解のためにのみ記述された実装形態の可能な例に過ぎないことを強調しておきたい。本開示の精神及び原理を実質的に逸脱することなしに、多くの変更及び変形が上述の一つ又は複数の実施形態に対して実施されてもよい。更には、本開示の範囲は、上述のすべての要素、特徴、及び側面のすべての順列及びサブ順列を包含ことが意図されている。すべてのこのような変更及び変形は、本開示の範囲に含まれるものと解釈されたい。 It should be emphasized that the above embodiments are only possible examples of implementations described for a clear understanding of the principles of the present disclosure. Many changes and modifications may be made to one or more embodiments described above without substantially departing from the spirit and principles of the present disclosure. Furthermore, the scope of the present disclosure is intended to include all permutations and sub-permutations of all the elements, features, and aspects described above. All such changes and modifications are to be construed as included within the scope of this disclosure.

Claims

A system that provides a composite secure link (MSL) architecture
An MSL Virtual Private Network (VPN) that includes a first logic, the first logic of which, when executed by a processor, is the system.
Create a first VPN tunnel between the client workstation and the first owner gateway
Encrypt and transmit outbound datagrams from the client workstation to the first owner gateway
The inbound datagram from the first owner gateway to the client workstation is received and decrypted, and the inbound datagram is the source Internet Protocol (IP) address and the destination IP address set in the VPN owner private IP address. And, and
Send the inbound datagram with the destination IP address.
MSL Virtual Private Network (VPN) and
An MSL Twin Network Address Translator (NAT) that includes a second logic that, when executed by the processor, causes the system to perform.
Receive the inbound datagram from the MSL VPN and
A new VPN owner private IP address from the source IP address is recorded in the inbound datagram and
A new unique private IP (UPIP) address for the inbound datagram and the client workstation is assigned to the VPN owner private address and
Send the inbound datagram to the client workstation,
With the MSL Twin Network Address Translator (NAT), which at least does that
Have,
The system further creates a second VPN tunnel between the client workstation and the second owner gateway while the first VPN tunnel is in use.
An MSL VPN user interface component containing a third logic that, when executed by the processor, causes the system to provide a user interface for establishing the first VPN tunnel to the client workstation, and the processor. when executed by said system further have a, and MSL management component including a fourth logic to generate said first VPN tunnel,
The new UPIP is a system that overlaps with a private IP address assigned by the customer.

The system of claim 1, wherein the second logic further causes the system to map an UPIP address in the outbound datagram to a private IP address.

The second logic further comprises transferring the inbound datagram to a commercial off-the-shelf (COTS) cleartext process component for processing the inbound datagram, according to claim 1. system.

The MSL Twin NAT and the MSL VPN are present on the client workstation, and the client workstation further comprises an MSL VPN user interface component and an MSL management component, according to claim 1. System.

It further has an MSL server, the MSL VPN and the MSL twin NAT are present on the MSL server remote from the client workstation, and the system is present on the client workstation. A commercial off-the-shelf (COTS) clear text process component, which further comprises an MSL VPN user interface component, a first MSL VPN component, and a first MSL management component, and the system resides on the MSL server. The system of claim 1, further comprising a COTS VPN component and a second MSL management component.

It further has an MSL gateway router including the MSL VPN and the MSL twin NAT, the system further has a first COTS VPN component, an MSL management component present on the client workstation, and the system. The system according to claim 1, further comprising a second COTS VPN component and an MSL server management component existing on the MSL gateway router.

It further has an MSL appliance and an MSL server, the MSL VPN component and the MSL twin NA T are present on the MSL server and the system is present on the client workstation the first COTS VPN component. And also has an MSL VPN user interface component, the system having a first MSL server management component, a second COTS VPN component, a third COTS VPN component, and a COTS clear text process client component present on the MSL appliance. 1. The system further comprises a second MSL server management component, a fourth COTS VPN component, and a second COTS clear text process client present on the MSL server. System.

It further has an MSL Network Operations Center (NOC), the MSL Twin NAT and the MSL VPN component are present on the NOC, and the system is a COTS VPN client, which is present on the client workstation. It further has an MSL VPN user interface component, and an MSL management component, and the system further includes a COTS VPN component, a COTS clear text process component, a session manager component, and a login manager component that are present on the MSL NOC. The system according to claim 1.

A method of providing a composite secure link (MSL) architecture
Steps to create a first VPN tunnel between the client workstation and the first owner gateway,
The step of sending an outbound encrypted datagram from the client workstation to the first owner gateway, and
A step of receiving and decrypting an inbound datagram from the first owner gateway to the client workstation, the inbound datagram being set to a source Internet Protocol (IP) address and a VPN owner private IP address. Including the destination IP address, and the steps,
To process the inbound datagram, transfer the inbound datagram to a commercial off-the-shelf (COTS) cleartext process component, and
A step of recording a new VPN owner private IP address from the source IP address in the inbound datagram, and
A step of assigning a new unique private IP (UPIP) address for the inbound datagram and the client workstation to the VPN owner private address, and
The step of sending the inbound datagram to the client workstation and
Have,
The system further creates a second VPN tunnel between the client workstation and the second owner gateway while the first VPN tunnel is in use .
A method in which the new UPIP overlaps with a private IP address assigned by the customer .

The method of claim 9, further comprising the step of mapping the UPIP address in the outbound datagram to a private IP address.

A non-transitory computer-readable medium that provides a composite secure link (MSL) architecture that includes logic that, when executed by the arithmetic unit, is used by the arithmetic unit.
Create a first VPN tunnel between the client workstation and the first owner gateway
Encrypt and transmit outbound datagrams from the client workstation to the first owner gateway
Receives and decrypts encrypted inbound datagrams from the first owner gateway to the client workstation, and the inbound datagrams are set to the source Internet Protocol (IP) address and the VPN owner private IP address. Including the destination IP address
A new VPN owner private IP address from the source IP address is recorded in the inbound datagram and
A new unique private IP (UPIP) address for the inbound datagram and the client workstation is assigned to the VPN owner private address and
Send the inbound datagram to the client workstation,
Try to do that at least
The system further creates a second VPN tunnel between the client workstation and the second owner gateway while the first VPN tunnel is in use .
The logic, when executed by the arithmetic unit, provides a user interface for the arithmetic unit to establish the first VPN tunnel for the client workstation and creates the first VPN tunnel.
The new UPIP is a medium that overlaps with a private IP address assigned by the customer.