JP7439137B2 - ラベルを使用してネットワークトラフィックをルーティングするためのシステムおよび方法 - Google Patents

Description

関連出願の相互参照
本出願は、［Ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋｉｎｇ ｆｏｒ ＡＳＰｓ ａｎｄ ｓｅｒｖｉｃｅｓ ｗｉｔｈ ｍｏｂｉｌｅ ＳＤ－ＷＡＮ］と題され、Ｈｅｎｄｒｉｋｕｓ Ｇ．Ｐ．Ｂｏｓｃｈらによって２０１９年６月６日に出願された米国仮特許出願第６２／８５８，２４５号、および［Ａｐｐｌｉｃａｔｉｏｎ ｌａｂｅｌｓ ｓｕｐｐｏｒｔｉｎｇ ｂｅｔｔｅｒ ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ］と題され、Ｈｅｎｄｒｉｋｕｓ Ｇ．Ｐ．Ｂｏｓｃｈらによって２０１９年６月６日に出願された米国仮特許出願第６２／８５８，２０７号の利益を主張するものであり、これらは、これらの全体があたかも再現されるかのように参照によって本明細書に援用される。

本開示は、概して、ラベルを使用してトラフィックをルーティングすることに関し、より詳細には、ラベルを使用してネットワークトラフィックをルーティングするためのシステムおよび方法に関する。

機密情報は、ネットワーク内の１つ以上のノードを介して送信され得る。ネットワーク内の特定のノードは侵入される可能性がある。例えば、攻撃者が１つ以上のネットワークノードにアクセスする場合がある。ネットワークノードが侵入を受けた場合、従来の保護は、侵入を受けたノードを通過する機密情報の保護に効果がないことが判明する場合がある。

ラベルを使用してネットワークトラフィックをルーティングするための、例示的なシステムを示す。 図１のシステムによって使用され得る、例示的なシステムを示す。 ラベルを使用してネットワークトラフィックをルーティングするための、例示的な方法を示す。 アプリケーションラベルを使用してネットワークトラフィックをルーティングするための、例示的なシステムを示す。 本明細書に記載のシステムおよび方法によって使用され得る、例示的なコンピュータシステムを示す。

概要
本発明の態様は、独立請求項で述べられ、好ましい特徴は、従属請求項で述べられる。一態様の特徴は、単独で、または他の態様と組み合わせて、各態様に適用し得る。

一実施形態によれば、デバイスは、１つ以上のプロセッサと、１つ以上のプロセッサに結合された１つ以上のコンピュータ可読非一時的記憶媒体とを含む。１つ以上のコンピュータ可読非一時的記憶媒体は、命令を含み、命令は、１つ以上のプロセッサによって実行されたときに、デバイスに、アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求をデバイスのモバイルエージェントによって検出することを含む動作を、実施させる。動作は、モバイルエージェントによって、アプリケーションに関連付けられたアプリケーション識別子を識別することと、モバイルエージェントによってかつアプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することと、をさらに含む。選択されたラベルは、１つ以上のルートを含む。動作は、モバイルエージェントによって、選択されたラベルを使用して、アプリケーションに関連付けられたサービスにトラフィックをルーティングすることをさらに含む。ラベルは、ソフトウェア定義型ワイドエリアネットワーク（ＳＤ－ＷＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベル、ネットワークサービスヘッダ（ＮＳＨ）ラベル、および汎用ネットワーク仮想化カプセル化（ＧＥＮＥＶＥ）トンネルラベルのうちの１つ以上に関連付けることができる。サービスは、パブリックな、サービスとしてのインフラストラクチャ（ＩａａＳ）、プライベートなＩａａＳ、パブリックな、サービスとしてのソフトウェア（ＳａａＳ）、プライベートなＳａａＳ、およびプライベートエンタープライズサービスのうちの１つ以上に関連付けることができる。

特定の実施形態では、ラベルは、インラインセキュリティサービスを有するエクストラネットサービスをサポートし、インラインセキュリティサービスは、ファイアウォールサービス、侵入検出サービス、侵入防止サービス、およびクラウドアクセスセキュリティブローカー（ＣＡＳＢ）サービスのうちの１つ以上を含む。いくつかの実施形態では、ヘッドエンドノードは、選択されたラベルを受信し、ポリシーテーブルに１つ以上のポリシーを維持し、かつ１つ以上のポリシーおよび選択されたラベルを使用して、トラフィックをアプリケーションに関連付けられたサービスにルーティングする。特定の実施形態では、動作は、モバイルエージェントによって、ドメインネームシステム（ＤＮＳ）要求を受信することと、アプリケーション識別子を使用して、ＤＮＳ要求をラベルにマッピングすることと、を含む。特定の実施形態では、動作は、モバイルエージェントによって、１つ以上のポリシーを含むポリシーテーブルを維持することと、モバイルエージェントによって、１つ以上のポリシーを使用して、アプリケーションに関連付けられたアプリケーション識別子をラベルにマッピングすることと、を含み得る。

別の実施形態によれば、方法は、アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出することを含む。本方法はまた、アプリケーションに関連付けられたアプリケーション識別子を識別することと、アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することと、も含む。選択されたＶＰＮラベルは、１つ以上のルートを含む。本方法は、選択されたラベルを使用して、アプリケーションに関連付けられたサービスにトラフィックをルーティングすることをさらに含む。

別の実施形態によれば、１つ以上のコンピュータ可読非一時的記憶媒体は、命令を包含し、命令は、プロセッサによって実行されたときに、プロセッサに、アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出することを含む動作を、実施させる。動作は、アプリケーションに関連付けられたアプリケーション識別子を識別することと、アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することと、をさらに含む。選択されたラベルは、１つ以上のルートを含む。動作は、選択されたラベルを使用して、アプリケーションに関連付けられたサービスにトラフィックをルーティングすることをさらに含む。

従来のルーティングソリューションでは、ネットワークは、アプリケーションとサービスとの間のルーティングフローを支援するために、一連のルーティング情報ベース／転送情報ベース（ＲＩＢ／ＦＩＢ）テーブルをネットワークのルータ全体で維持している。ルーティングプロトコルは、エンドポイント間の効率的かつ／または最適なパスを見つける。パスには一連のネットワークホップが含まれ得、ルーティングテーブルは通常、宛先ネットワークへの最短パスを見つけるために各ホップで作成される。ルートを維持するために、１つ以上のインターネットサービスプロバイダ（ＩＳＰ）が使用され得る。単一のＲＩＢ／ＦＩＢテーブルは、サービスへの最も適切なパス（例えば、最短パス）を維持する。従来のルーティングソリューションは、複数のＩＳＰを使用して同一のサービスセットを受信する場合ならびに、これらのＩＳＰの各々が、サービスを指定するために、差別化されたサービス品質（ＱｏＳ）クラスおよび／またはサービス品質保証（ｓｅｒｖｉｃｅ ｌｅｖｅｌ ａｇｒｅｅｍｅｎｔ、ＳＬＡ）を提供する場合を考慮していない。アプリケーションサービスプロバイダ（ＡＳＰ）は、ＩＳＰと協力してサービスのパッケージを提供することはない。本開示は、ラベル付けされたネットワーク上のＡＳＰによって、アプリケーションをバンドルするためのシステムおよび方法を説明する。

本開示の特定の実施形態の技術的利点には、以下のうちの１つ以上が含まれ得る。本開示の特定の実施形態は、モバイルデバイス上でラベル駆動型ルーティングテーブルおよびデータ転送を管理する、モバイルエージェントを導入する。モバイルエージェントは、企業によって契約されているサービスに基づいて、独自のルーティングテーブルのセットを作成する。企業は、アプリケーションごとに特定のパス（パスのラベルによって識別される）を選択して、特定のサービスへのアクセスを提供することができ、これにより、差別化されたサービスと接続、およびそのようなペアごとの差別化されたＱｏＳクラスが可能となる。プライベートアプリケーションネットワーク／サービスネットワークの確立を許可することは、企業がアプリケーションおよびサービスの脆弱性に対処するための効果的な方法を提供する。

他の技術的利点は、以下の図面、説明、および特許請求の範囲から、当業者には容易に明らかになるであろう。さらに、特定の利点が上に列挙されているが、様々な実施形態は、列挙された利点のすべて、一部を含むか、またはまったく含まない場合がある。

例示的な実施形態
本開示は、概して、ラベルベースのＶＰＮに関する。本開示の特定の実施形態は、一連のＶＰＮをアプリケーション／ＶＰＮルーティングテーブルに組み込むモバイルエージェントをモバイルデバイス上に導入する。クラウドサービスまたはエンタープライズサービスなどのサービスは、１つ以上のＩＳＰによって提供されるラベルのセットでサポートされている。特定の実施形態では、ヘッドエンドノードは、ラベルを、ＳＤ－ＷＡＮラベルおよび／または利用可能な場合は他のセグメント化されたネットワークに変換する。モバイルデバイス上のモバイルエージェントがサービスへのラベルベースの接続用に設定されると、そのようなサービスへのアクセスを取得するにはＡＳＰが必要になり得る。例えば、ＡＳＰは、ＶＰＮラベルにＳＤ－ＷＡＮを用いてサービスをパッケージ化する場合がある。ＡＳＰは、ＳＤ－ＷＡＮ ＶＰＮラベルをエンタープライズユーザに拡張する場合がある。ＡＳＰは、モバイルデバイスにＳＤ－ＷＡＮ ＶＰＮラベル付きのアプリケーション／ＶＰＮルーティングテーブルをインストールして、モバイルデバイスの契約サービスへの接続を容易にすることができる。単一のＡＳＰ／ＩＳＰペアのみがサービスを提供するという必要がないことを考慮すると、企業は、ユーザのアプリケーションごとに可能な限り最良のＡＳＰ／ＩＳＰペアを受け取ることができる。

本開示の特定の実施形態は、アプリケーションに関連付けられたラベルを作成する、モバイルデバイス上のモバイルエージェントを含む。ヘッドエンドノードでは、このラベルをネットワークラベルにマッピングして、（例えば、仮想ルーティング転送インスタンス（ＶＲＦ）を介して）ルーティングテーブルを選択することができる。そのネットワークラベルは、ＳＤ－ＷＡＮラベル、マルチプロトコルボーダーゲートウェイプロトコル（ＭＰ－ＢＧＰ）ラベル、ＭＰＬＳラベルなどである。複数のラベルは１つ以上のサービスプロバイダによって一緒につなぎ合わされ（ｓｔｉｔｃｈｅｄ）、最終的にアプリケーションサービス（例えば、エンタープライズネットワーク、パブリックなＩａａＳもしくはプライベートなＩａａＳ、パブリックなＳａａＳもしくはプライベートなＳａａＳなどに導かれ得る。クラウドネットワーク上にクラウドアプリケーションをバンドルし、バンドルされたアプリケーションをローカルＶＲＦ（およびひいてはラベル）につなぎ合わせることにより、モバイルデバイス間、ネットワーク間、およびクラウド間にエンドツーエンドネットワークが作成される。このネットワークは、完全に分離されたネットワークと見なされる。図１は、ラベルを使用してネットワークトラフィックをルーティングするための例示的なシステムを示し、図２は、図１のシステムによって使用され得る例示的なシステムを示す。図３は、ラベルを使用してネットワークトラフィックをルーティングするための、例示的な方法を示す。図４は、アプリケーションラベルを使用してネットワークトラフィックをルーティングするための、例示的なシステムを示す。図５は、本明細書に記載のシステムおよび方法によって使用され得る、例示的なコンピュータシステムを示す。

図１は、ラベル１２６を使用してネットワークトラフィックをルーティングするための、例示的なシステム１００を示す。システム１００またはその一部は、ＶＰＮラベルを使用してネットワークトラフィックをルーティングする事業所または会社（例えば、サービスプロバイダ）などの任意のエンティティを含み得る、エンティティに関連付けられ得る。システム１００の構成要素は、ハードウェア、ファームウェア、およびソフトウェアの任意の適切な組み合わせを含み得る。例えば、システム１００の構成要素は、図５のコンピュータシステムの１つ以上の要素を使用してもよい。

システム１００には、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、ルーティングテーブル１２４、ＶＰＮラベル１２６、ポリシーテーブル１２８、ポリシー１３０、ノード１４０、アプリケーションサービス１５０、およびセキュリティサービス１６０が含まれる。システム１００のネットワーク１１０は、システム１００の構成要素間の通信を容易にする、任意のタイプのネットワークである。ネットワーク１１０は、システム１００の１つ以上の構成要素を接続することができる。本開示は、任意の適切なネットワークを企図している。ネットワーク１１０の１つ以上の部分には、アドホックネットワーク、イントラネット、エクストラネット、ＶＰＮ、ローカルエリアネットワーク（ＬＡＮ）、ワイヤレスＬＡＮ（ＷＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、ワイヤレスＷＡＮ（ＷＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、インターネットの一部分、公衆交換電話網（ＰＳＴＮ）の一部分、携帯電話ネットワーク、これらの２つ以上の組み合わせ、またはその他の適切なタイプのネットワークが含まれ得る。ネットワーク１１０は、１つ以上のネットワークを含み得る。ネットワーク１１０は、プライベートネットワーク、パブリックネットワーク、インターネットを介した接続、モバイルネットワーク、ＷＩ－ＦＩネットワークなどの任意の通信ネットワークであってよい。システム１００の１つ以上の構成要素は、ネットワーク１１０を介して通信することができる。ネットワーク１１０には、コアネットワーク（例えば、インターネット）、サービスプロバイダのアクセスネットワーク、ＩＳＰネットワークなどが含まれ得る。ネットワーク１１０の１つ以上の部分は、ＳＤ－ＷＡＮ技術を利用し得る。

システム１００のモバイルデバイス１２０は、情報を受信、作成、処理、格納、および／または通信することができる任意のエンドデバイスである。例えば、モバイルデバイス１２０は、システム１００の１つ以上の構成要素（例えば、ノード１４０）から情報（例えば、データパケット）を受信することができる。別の例として、モバイルデバイス１２０は、情報（例えば、データパケット）をシステム１００の１つ以上の構成要素（例えば、ノード１４０）に通信することができる。特定の実施形態では、モバイルデバイス１２０は、ハンドヘルドコンピュータである。モバイルデバイス１２０は、携帯電話（例えば、スマートフォン）、ラップトップコンピュータ、タブレット、携帯情報端末などであり得る。モバイルデバイス１２０は、液晶ディスプレイ（ＬＣＤ）、有機発光ダイオード（ＯＬＥＤ）フラットスクリーンインタフェース、デジタルボタン、デジタルキーボード、物理ボタン、物理キーボード、１つ以上のタッチスクリーン構成要素などを含み得る。モバイルデバイス１２０は、サービスプロバイダなどのエンティティに関連付けられ得る。モバイルデバイス１２０は、グラフィカルユーザインタフェース（ＧＵＩ）を含み得る。モバイルデバイスは、図５のコンピュータシステムの１つ以上の構成要素を含み得る。

特定の実施形態では、モバイルデバイス１２０は、１つ以上のアプリケーションを利用する。モバイルデバイス１２０のアプリケーションは、特定のオペレーティングシステム用に構築されたネイティブアプリケーション、モバイルデバイス１２０で実行されているブラウザ上でページをレンダリングおよび／または配信するモバイルウェブアプリケーションなどを含み得る。モバイルデバイス１２０のブラウザは、ワールドワイドウェブ上の情報にアクセスするためのソフトウェアアプリケーションである。１つ以上のブラウザは、小さな画面のためにウェブコンテンツを効果的に表示するように最適化することができる。

システム１００のモバイルデバイス１２０は、モバイルエージェント１２２、ルーティングテーブル１２４、およびポリシーテーブル１２８を含む。モバイルエージェント１２２は、モバイルデバイス１２０上でアプリケーションとして実行され、モバイルデバイス１２０のための特定のタスクを実施する。特定の実施形態では、モバイルエージェント１２２は、ネットワーク（例えば、ＳＤ－ＷＡＮネットワーク）にアクセスするためにモバイルデバイス１２０上に展開される、ネットワークエージェント（例えば、ＳＤ－ＷＡＮエージェント）である。モバイルエージェント１２２は、モバイルデバイス１２０のルーティングテーブル１２４および／またはポリシーテーブル１２８を維持および／または管理することができる。モバイルエージェント１２２は、システム１００の１つ以上のノード１４０（例えば、ルータまたはネットワークコントローラ）から、ルーティングテーブル１２４の１つ以上のラベル１２６（例えば、ＶＰＮラベル）および／またはポリシーテーブル１２８の１つ以上のポリシー１３０を受信し得る。

特定の実施形態では、モバイルエージェント１２２は、モバイルデバイス１２０のアプリケーションに関連付けられたアプリケーションサービス１５０にトラフィックをルーティングする要求を検出する。例えば、モバイルエージェント１２２は、モバイルデバイス１２０からのトラフィックをキャプチャし、ネットワーク１１０（例えば、モバイルＳＤ－ＷＡＮネットワーク）を介してトラフィックを１つ以上のアプリケーションサービス１５０にルーティングする方法を決定することができる。いくつかの実施形態では、モバイルエージェント１２２は、ルーティングテーブル１２４からラベル１２６を選択し、選択されたラベル１２６を使用してトラフィックをアプリケーションサービス１５０にルーティングする。例えば、モバイルエージェント１２２は、アプリケーションに関連付けられたアプリケーション識別子を識別し、ポリシーテーブル１２８からの１つ以上のポリシー１３０を使用して、アプリケーション識別子をラベル１２６にマッピングすることができる。アプリケーション識別子は、特定のアプリケーションを一意に識別する任意の識別子である。特定の実施形態では、アプリケーション識別子は、文字（例えば、数字、文字、アンダースコアなど）の列として表される、一意のアプリケーションＩＤであり得る。アプリケーション識別子は、アプリケーション署名で表され得る。モバイルエージェント１２２は、モバイルデバイス１２０にインストールされた各アプリケーションに一意のアプリケーションＩＤを割り当てることができる。いくつかの実施形態では、アプリケーション識別子は、特定のアプリケーションに関連付けられた特性（例えば、トラフィック特性）であってもよい。

いくつかの実施形態では、モバイルエージェント１２２は、ネットワーク１１０のセグメント（例えば、ＳＤ－ＷＡＮホスト型ＶＰＮ）を介して、トラフィックをアプリケーションサービス１５０にルーティングする。各セグメントは、特定のサービス１５０へのネットワーク接続を一意に提供することができる。モバイルデバイス１２０上のアプリケーションがサービス１５０を選択するとき、モバイルエージェント１２２は、ルーティングテーブル１２６を使用して、関連するセグメントを選択することができる。モバイルエージェント１２２は、モバイルデバイス１２０上でルーティングテーブル１２４およびデータ転送を管理することができる。モバイルエージェント１２２は、アプリケーションサービス１５０に基づいて、独自のルーティングテーブル１２４のセットを作成することができる。特定の実施形態では、モバイルエージェント１２２は、モバイルデバイス１２０のアプリケーションごとに別個のルーティングテーブル１２４を作成してもよい。モバイルデバイス１２０上のアプリケーションが特定のサービス１５０の使用を要求するとき、フローがモバイルエージェント１２２に入ると、モバイルエージェント１２２は、ルーティングテーブル１２４内のセグメントを選択し、そのセグメント内で、トラフィックをその特定のサービス１５０にルーティングすることができる。特定の実施形態では、モバイルエージェント１２２は、アプリケーションに関連付けられたアプリケーション識別子を識別し、そのアプリケーション識別子を使用して、ルーティングテーブル１２４のラベル１２６を選択することができる。

いくつかの実施形態では、モバイルエージェント１２２は、着信トラフィックがブラウザアプリケーションから発信されたものであると判断することができる。ブラウザアプリケーションは、これらのアプリケーションが複数のアプリケーションサービス１５０に同時に接続できるという点で特別であるが、これにより、これらのアプリケーションの脅威攻撃対象領域は増加する。攻撃のリスクを軽減するために、トラフィックがブラウザアプリケーションから発信されたものであると判断した場合、モバイルエージェント１２２は、セキュリティサービス１６０（例えば、ファイアウォールサービス、侵入検出サービス、侵入防止サービス、ＣＡＳＢサービスなど）をサポートするラベル１２６を選択することができる。

特定の実施形態では、モバイルエージェント１２２は、シングルサインオン（ＳＳＯ）サービスのＤＮＳ名を解決することによって、アプリケーション（例えば、ウェブサービスアプリケーション）がＳＳＯサービスへのアクセスを必要とすることを決定することができる。アプリケーションがＳＳＯサービスへのアクセスを必要とすることを決定することに応答して、モバイルエージェント１２２は、トラフィックをＳＳＯサービスにルーティングするラベル１２６からのルートを選択することができる。いくつかの実施形態では、モバイルエージェント１２２は、ＤＮＳ要求を受信することができる。ＤＮＳ要求の受信に応答して、モバイルエージェント１２２は、アプリケーション識別子を使用して、ルーティングテーブル１２４に規定されているように、ＤＮＳ要求をラベル１２６にマッピングすることができる。

システム１００のルーティングテーブル１２４は、ポリシー１３０によってアプリケーションフローをラベル１２６にマッピングする、分離されたアプリケーションテーブルである。図１に示す実施形態では、ルーティングテーブル１２４は、モバイルデバイス１２０に格納されている。ルーティングテーブル１２４は、一連のラベル１２６を列挙している。ルーティングテーブル１２４は、特定のアプリケーションおよび／またはサービス１５０を動作させるために必要とされるすべてのルートを提供し得る。ルーティングテーブル１２４は、そのサービス１５０にラベル１２６を関連付けることができる。特定のサービス１５０へのすべてのルートは、ラベル１２６の範囲内でのみ有効であり得る。

ルーティングテーブル１２４は、単一のアプリケーションのための分離されたルーティングテーブルであり得る。特定の実施形態では、ルーティングテーブル１２４は、単一のデフォルトルートを含み得る。いくつかの実施形態では、ルーティングテーブル１２４は、特定のサービス１５０への複数のルートを含む。例えば、アプリケーションサービス１５０がドメイン名に関連付けられている場合、カリフォルニアとヨーロッパで利用可能である場合、エンタープライズユーザは、ローカルＷＩ－ＦＩ接続を介してドメイン名のカリフォルニアサービスを指すルートおよび、トラフィックがセルラ接続を介してルーティングされるときにヨーロッパのサービス指す別のルートを有し得る。したがって、ルーティングテーブル１２４のラベル１２６ごとに複数のルーティングエントリが存在し得る。

ルーティングテーブル１２４は、１つ以上のラベル１２６を含み得る。システム１００のラベル１２６は、トラフィックをネットワーク１１０の１つ以上のノード１４０に向けるために使用されるラベルである。ラベル１２６は、ＳＤ－ＷＡＮ、ＶＰＮ、ＭＰＬＳ、ＮＳＨ、ＧＥＮＥＶＥなどに関連付けることができる。例えば、ラベル１２６は、ＭＰＬＳラベル、ＮＳＨラベル、ＧＥＮＥＶＥトンネルラベルなどにマッピングすることができる。各ラベル１２６は、特定のサービス１５０に必要な１つ以上のルートを含む。ラベル１２６は、１つ以上のＡＳＰによってホストされるアプリケーションサービス１５０に導くパスを参照することができる。ラベル１２６は、様々なＱｏＳ管理ネットワークに関連付けられ得る。ＱｏＳ管理ネットワークは、ネットワーク１１０内の遅延、遅延変動（ジッタ）、帯域幅、パケット損失などを管理するために使用され得る。ラベル１２６は、特定のＳＬＡを有する特定のネットワークにマッピングすることができる。ＳＬＡは、サービスプロバイダおよびその内部もしくは外部の顧客との間の契約であり、プロバイダが提示するサービスを文書化するものである。特定の実施形態では、ＳＬＡは、プロバイダが満たすことが義務付けられているサービス基準を定義する。特定のラベル１２６に関連付けられたネットワーク１１０に様々なＱｏＳおよび／またはＳＬＡを含めることによって、ラベル１２６は、エンタープライズユーザのためのアプリケーションおよびアプリケーションサービス１５０への差別化されたアクセスを作成することができる。ラベル１２６は、インラインセキュリティサービス１６０を備えたエクストラネットサービスをサポートすることができる。ＡＳＰは、ＭＰＬＳおよびラベル再マッピングサービスで使用されるものと同様の連続したラベルを提供することによって、ラベル１２６をエンタープライズユーザにマッピングし得る。企業は、ラベル１２６とともにルーティングテーブル１２４をモバイルエージェント１２２にインストールして、アプリケーションサービス１５０に接続できる。

ポリシーテーブル１２８は、アプリケーションを特定のラベル１２６に関連付けるために、モバイルエージェント１２２によって使用されるポリシー１３０の集まりである。ポリシーテーブル１２８は、モバイルデバイス１２０に格納され得る。モバイルデバイス１２０（例えば、モバイルエージェント１２２）は、ネットワーク１１０の１つ以上のノード１４０からポリシーテーブル１２８および／またはポリシー１３０を受信することができる。ポリシーテーブル１２８のポリシー１３０は、アプリケーションごとに、どのＶＰＮが特定のサービス１５０へのルートをサポートするかを列挙することができる。ポリシー１３０は、１つ以上のアプリケーション識別子によって、どのＶＰＮが特定のサービス１５０へのルートをサポートするかを列挙することができる。アプリケーション識別子は、モバイルデバイス１２０の特定のアプリケーションに関連付けられた一意の識別子、特定のアプリケーションに関連付けられたトラフィック特性、特定のアプリケーションに関連付けられたオペレーティングシステムなどを含むことができる。モバイルデバイス１２０のモバイルエージェント１２２は、ポリシーテーブル１２８のポリシー１３０を使用して、トラフィックを特定のラベル１２６にマッピングすることができる。例えば、モバイルエージェント１２２は、着信トラフィックが特定のアプリケーションによって生成されたことを判断し、特定のアプリケーションに関連付けられたアプリケーションＩＤを識別し、１つ以上のポリシー１３０によって指示されるように、アプリケーションＩＤを特定のネットワーク１１０および／またはラベル１２６にマッピングすることができる。

システム１００のノード１４０は、パスに沿ってトラフィックを受信、作成、格納、および／または送信するネットワーク１１０内の接続ポイントである。ノード１４０は、トラフィックを認識し、処理し、他のノード１４０に転送する１つ以上のエンドポイントおよび／または１つ以上の再分配ポイントを含み得る。ノード１４０は、仮想ネットワークノードおよび／または物理ネットワークノードを含み得る。特定の実施形態では、１つ以上のノード１４０は、スイッチ、ブリッジ、モデム、ハブなどのようなデータ通信機器を含む。いくつかの実施形態では、１つ以上のノード１４０は、ルータ、サーバ、プリンタ、ワークステーションなどのデータ端末機器を含む。１つ以上のノード１４０は、ホストコンピュータ、入口ノード（ｉｎｇｒｅｓｓ ｎｏｄｅ）、宛先ノード、ネットワークコントローラノード、パス計算クライアント（ＰＣＣ）ノードなどであり得る。ネットワーク１１０内の１つ以上のノード１４０は、ネットワーク１１０の他の構成要素からのトラフィックを受信することができる。例えば、１つ以上のノード１４０は、モバイルデバイス１２０からトラフィックを受信することができる。着信トラフィックには、ネットワーク１１０の外部のネットワークから発信されるデータ通信およびネットワークトラフィックが含まれ得る。着信トラフィックは、ネットワーク１１０内またはネットワーク１１０外のターゲットホスト／ＩＰアドレスに宛てられ得る。

１つ以上のノード１４０は、パス（例えば、ＶＰＮトンネル）を介して着信トラフィックをルーティングする要求を受信することができる。特定の実施形態では、ノード１４０は、ラベル１２６を受信するヘッドエンドノードを含む。ヘッドエンドノードは、モバイルエージェント１２２からのトンネル（例えば、ＶＰＮトンネル）を終端し、ルーティングされたネットワークに接続するノードである。いくつかの実施形態では、ヘッドエンドノードは、ラベル１２６を他のラベル（例えば、ＳＤ－ＷＡＮラベル）に、および／または利用可能な場合は他のセグメント化されたネットワークに、変換する。ヘッドエンドノードは、ポリシーテーブルに１つ以上のポリシーを維持し、１つ以上のポリシーおよびラベル１２６を使用して、トラフィックをアプリケーションサービス１５０にルーティングすることができる。特定の実施形態では、ヘッドエンドノードは、モバイルデバイス１２０によって選択されたラベルとは異なるラベルを選択することができる。例えば、ヘッドエンドノードがモバイルデバイス１２０の決定を信頼しない場合、ヘッドエンドノードは、異なるラベルを選択することができる。

システム１００のアプリケーションサービス１５０は、１つ以上のアプリケーションにアクセスするためにモバイルデバイス１２０によって使用され得るサービスである。アプリケーションサービス１５０は、モバイルデバイス１２０に関連付けられた企業によって契約され得る。アプリケーションサービス１５０は、１つ以上のＡＳＰによって提供され得る。アプリケーションサービス１５０は、クラウドサービス１５２およびエンタープライズサービス１５４を含む。クラウドサービス１５２は、クラウドコンピューティングプロバイダからモバイルデバイス１２０のユーザが利用可能であり、ユーザにサービスを提供するパブリックまたはプライベートサービスである。クラウドサービス１５２は、インターネットを介してオンデマンドでユーザが利用可能であり得る。クラウドサービス１５２は、ＳａａＳ、サービスとしてのプラットフォーム（ＰａａＳ）、ＩａａＳ上でホストされるアプリケーション、ＩａａＳ上の仮想マシンおよび／またはコンテナへのアクセスなどのオファリングを含み得る。エンタープライズサービス１５４は、企業からモバイルデバイス１２０のユーザが利用できるようにするプライベートサービスである。エンタープライズサービス１５４は、オンデマンドでユーザが利用可能であり得る。エンタープライズサービス１５２は、ビジネス指向のツール（例えば、オンラインショッピング、オンライン支払い処理など）、自動請求システム、プロジェクト管理、コラボレーション、人材管理、製造、労働安全衛生などの提供を含み得る。エンタープライズサービスには、プライベートエンタープライズＩａａＳアプリケーション、ＳａａＳオファリング、ＰａａＳオファリングなどが含まれ得る。

システム１００のセキュリティサービス１６０は、システム１００にセキュリティを提供するインラインサービスである。セキュリティサービス１６０は、モバイルデバイス１２０上で動作しているブラウザおよび／または他のアプリケーションにセキュリティを提供することができる。セキュリティサービス１６０は、認証、アクセス制御、データ機密性、データ完全性、否認防止などに関連付けられ得る。セキュリティサービス１６０は、ファイアウォールサービス、侵入検出サービス、侵入防止サービス、ＣＡＳＢサービスなどを含み得る。

動作中、モバイルデバイス１２０のモバイルエージェント１２２は、トラフィックをアプリケーションサービス１５０にルーティングする要求を検出する。例えば、モバイルエージェント１２２は、ユーザがアプリケーションサービス１５０でデバイス１２０上のブラウザを指示したことを検出することができる。モバイルエージェント１２２は、アプリケーションサービス１５０に関連付けられたアプリケーションのアプリケーション識別子を識別し、このアプリケーション識別子を使用して、モバイルデバイス１２０のルーティングテーブル１２４に含まれるラベル１２６を選択する。次に、モバイルエージェント１２２は、選択されたラベル１２６を使用して、アプリケーションに関連付けられたアプリケーションサービス１５０にトラフィックをルーティングする。したがって、システム１００は、アプリケーションを特定のサービスにマッピングするラベル１２６に従ってトラフィックをルーティングし、これにより、企業は、アプリケーションごとに、特定のアプリケーションサービス１５０へのアクセスを提供するネットワークパスを選択することができる。

図１は、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、ルーティングテーブル１２４、ラベル１２６、ポリシーテーブル１２８、ポリシー１３０、ノード１４０、アプリケーションサービス１５０、およびセキュリティサービス１６０の特定の配置を示しているが、本開示では、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、ルーティングテーブル１２４、ラベル１２６、ポリシーテーブル１２８、ポリシー１３０、ノード１４０、アプリケーションサービス１５０、およびセキュリティサービス１６０の、任意の適切な配置を企図している。例えば、ネットワーク１１０は、１つ以上のネットワークコントローラを含み得る。別の例として、ルーティングテーブル１２４およびポリシーテーブル１２８は、単一のテーブルであってもよい。図１は、特定の数の、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、ルーティングテーブル１２４、ラベル１２６、ポリシーテーブル１２８、ポリシー１３０、ノード１４０、アプリケーションサービス１５０、およびセキュリティサービス１６０示しているが、本開示では、任意の適切な数の、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、ルーティングテーブル１２４、ラベル１２６、ポリシーテーブル１２８、ポリシー１３０、ノード１４０、アプリケーションサービス１５０、およびセキュリティサービス１６０を企図している。例えば、モバイルデバイス１２０は、複数のモバイルエージェント１２２、複数のルーティングテーブル１２４、および複数のポリシーテーブル１２８を含んでもよい。

図２は、図１のシステムによって使用され得る、例示的なシステム２００を示す。システム２００またはその一部は、ラベルを使用してネットワークトラフィックをルーティングする事業所または会社（例えば、サービスプロバイダ）などの任意のエンティティを含み得る、エンティティに関連付けられ得る。システム２００の構成要素は、ハードウェア、ファームウェア、およびソフトウェアの任意の適切な組み合わせを含み得る。例えば、システム２００の構成要素は、図５のコンピュータシステムの１つ以上の要素を使用してもよい。

システム２００には、ネットワーク１１０、モバイルデバイス１２０、ユーザ２２０、アプリケーション２１０（アプリケーション２１０ａおよびアプリケーション２１０ｂ）、モバイルエージェント１２２、ノード１４０、クラウドサービス１５２（クラウドサービス１５２ａ、クラウドサービス１５２ｂ、およびクラウドサービス１５２ｃ）、エンタープライズサービス１５４（エンタープライズサービス１５４ａおよびエンタープライズサービス１５４ｂ）、およびセキュリティサービス１６０が含まれる。トラフィックは、１つ以上のラベル付けされたトンネル（例えば、トンネル２３０、トンネル２３２、およびトンネル２３４）を経由し、システム２００を介して通信され得る。

ユーザ２２０は、モバイルデバイス１２０を使用する任意の個人、組織、またはソフトウェアプログラムである。ユーザ２２０は、モバイルデバイス１２０を利用して、１つ以上のサービス（例えば、クラウドサービス１５２またはエンタープライズサービス１５４）を使用して、１つ以上のアプリケーション２１０にアクセスすることができる。ユーザ２２０がサービスにアクセスする前に、ユーザ２２０の認証が必要になる場合がある。各アプリケーション２１０は、ユーザ２２０が特定の機能を実施することを可能にするプログラムまたはプログラムのセットである。アプリケーション２１０は、特定のオペレーティングシステム用に構築されたネイティブアプリケーション、モバイルデバイス１２０で実行されているブラウザ上でページをレンダリングおよび／または配信するモバイルウェブアプリケーションなどを含み得る。

モバイルエージェント１２２は、モバイルデバイス１２０上で、アプリケーション（例えば、アプリケーション２１０ａまたは２１０ｂ）として実行される。モバイルエージェント１２２は、モバイルデバイス１２０からのトラフィックをキャプチャし、ネットワーク１１０を介してクラウドサービス１５２および／またはエンタープライズサービス１５４にトラフィックをルーティングする方法を決定する。モバイルエージェント１２２は、一連のラベル（例えば、図１のラベル１２６）および／または他のネットワークアタッチメントを列挙するルーティングテーブル（例えば、図１のルーティングテーブル１２４）を使用して、ネットワーク１１０を介してトラフィックをルーティングする方法を決定する。各ラベルは、特定のサービス（例えば、クラウドサービス１５２またはエンタープライズサービス１５４）に必要な一連のルートを運ぶ。モバイルエージェント１２２エージェントは、アプリケーション２１０に関連付けられたアプリケーション識別子を特定のラベルおよび／またはネットワークにマッピングする方法をモバイルエージェント１２２に指示する、ポリシー／ルーティングテーブル（例えば、図１のポリシーテーブル１２８）を維持する。

モバイルエージェント１２２内のポリシーテーブルは、アプリケーションごとに、かつ場合によってはアプリケーション識別子を介して、どのネットワークセグメント（例えば、ＶＰＮ）が特定のクラウドサービス１５２またはエンタープライズサービス１５４へのルートをサポートするかを列挙する。例えば、アプリケーション２１０ｂは、クラウドサービス１５２ｂに関連付けられたＩＰアドレスにルーティングする。モバイルエージェント１２２は、トランスポート層セキュリティ（ＴＬＳ）フローの初期パケット（例えば、伝送制御プロトコル（ＴＣＰ）同期（ＳＹＮ）パケット、データグラムトランスポート層セキュリティ（ＤＴＬＳ）パケットなど）を受信し、パケットに関連付けられた情報からアプリケーション識別子を識別し、ポリシー／ルーティングテーブルでアプリケーション２１０ｂのアプリケーション識別子をルックアップする。モバイルエージェント１２２は、アプリケーション２０１ｂのアプリケーション識別子が特定のラベル（例えば、ＳＤ－ＷＡＮもしくはＭＰＬＳラベル）および／またはネットワークに関連付けられていることを発見し、その特定のラベルのＲＩＢ／ＦＩＢでクラウドサービス１５２ｂの適切なネクストホップを検索する。次に、モバイルエージェント１２２は、ＶＰＮトンネル２３０に沿って、モバイルデバイス１２０からノード１４０にトラフィックをルーティングする。ノード１４０は、特定のラベルに従って、トンネル２３２に沿ってクラウドサービス１５２ｂにトラフィックをルーティングすることができる。したがって、システム２００は、アプリケーションを特定のサービスにマッピングするラベルに従ってトラフィックをルーティングし、これにより、企業は、アプリケーションごとに、特定のサービスへのアクセスを提供するネットワークパスを選択することができる。

いくつかの実施形態では、ノード１４０は、モバイルデバイス１２０から受信されたものとは異なるラベルおよび／またはネットワークを使用して、トラフィックを１つ以上のサービスにルーティングすることができる。例えば、モバイルエージェント１２２から受信したラベルに従ってトンネル２３２に沿ってトラフィックをクラウドサービス１５２ｂにルーティングするのではなく、ノード１４０は、異なるラベルを選択し、選択されたこの異なるラベルを使用するトンネル２３０以外のトンネルに沿って、トラフィックをクラウドサービス１５２ｂにルーティングしてもよい。

特定の実施形態では、１つ以上のアプリケーション２１０は、ウェブブラウザアプリケーション２１０であり得る。ウェブブラウザアプリケーション２１０は、複数のクラウドサービス１５２および／またはエンタープライズサービス１５４に同時に接続する必要があり得る。ウェブブラウザアプリケーション２１０に対する攻撃のリスクを軽減するために、ブラウザから発信されたトラフィックを検出すると、モバイルエージェント１２２は、すべてのブラウザトラフィックを、インラインセキュリティサービス１６０を備えたエクストラネットサービスをサポートするラベルを介してルーティングすることができる。セキュリティサービス１６０は、従来のファイアウォール、侵入検出／侵入防止、ＣＡＳＢ、および／または他のトラフィック分離メカニズムを含むことができる。セキュリティサービス１６０は、不明確なフロー配置を有するブラウザおよび／または他のアプリケーション２１０の脅威攻撃対象領域を減らすことができる。

いくつかの実施形態では、１つ以上のアプリケーション２１０は、サービスを取得するために、オンプレミスの認証および認可サービス（例えば、ＳＳＯエンタープライズサービス）へのアクセスを必要とする場合がある。認証および認可サービスは、ユーザＩＤと、エンタープライズユーザがバックエンドサービス（例えば、クラウドサービス１５２およびエンタープライズサービス１５４など）にアクセスする権利とを組み合わせたものである。ＳＳＯが認証および認可手順に使用される場合、多くのクライアントアプリケーションはそのようなＳＳＯサービスへのルートを必要とし、エンタープライズＳＳＯサービスにルーティングするモバイルデバイス１２０上のルートがインストールされ得る。ＳＳＯサービスは、ブラウザアプリケーション２１０を含むいくつかの異なるアプリケーション２１０間で共有され得る。

特定の実施形態では、アプリケーション２１０がクラウドサービス１５２またはエンタープライズサービス１５４を選択するとき、アプリケーション２１０は、完全修飾ドメイン名（ＦＱＤＮ）を使用してＩＰアドレスを解決することができる。ＦＱＤＮは、ＤＮＳのツリー階層内の正確な場所を指定するドメイン名である。ＩＰアドレスがサーバアプリケーションごとにプライベートであるということを考慮すると、ＤＮＳ要求は分離され、個別にルーティングされる可能性がある。ＤＮＳキャッシングが有効であるとき、各ＶＰＮは独自のキャッシュをサポートし得る。ＤＮＳ要求は、ラベル付けされた各ネットワーク内で個別にルーティングされ得る。アプリケーション識別子は、ＤＮＳ要求を適切なラベルにマッピングするために使用される。

図２は、ネットワーク１１０、モバイルデバイス１２０、ユーザ２２０、アプリケーション２１０、モバイルエージェント１２２、ノード１４０、クラウドサービス１５２、エンタープライズサービス１５４、およびセキュリティサービス１６０の特定の配置を示しているが、本開示は、ネットワーク１１０、モバイルデバイス１２０、ユーザ２２０、アプリケーション２１０、モバイルエージェント１２２、ノード１４０、クラウドサービス１５２、エンタープライズサービス１５４、およびセキュリティサービス１６０の任意の適切な配置を企図している。例えば、図２のシステム２００は、モバイルデバイス１２０とクラウドサービス１５２との間に複数のノード１４０を含み得る。図２は、特定の数の、ネットワーク１１０、モバイルデバイス１２０、ユーザ２２０、アプリケーション２１０、モバイルエージェント１２２、ノード１４０、クラウドサービス１５２、エンタープライズサービス１５４、およびセキュリティサービス１６０を示しているが、本開示では、任意の適切な数の、ネットワーク１１０、モバイルデバイス１２０、ユーザ２２０、アプリケーション２１０、モバイルエージェント１２２、ノード１４０、クラウドサービス１５２、エンタープライズサービス１５４、およびセキュリティサービス１６０を企図している。例えば、モバイルデバイス１２０は、複数のモバイルエージェント１２２を含んでもよい。

図３は、ラベルを使用してネットワークトラフィックをルーティングするための、例示的な方法３００を示す。方法３００は、ステップ３１０で始まる。ステップ３２０で、モバイルデバイス（例えば、図１のモバイルデバイス１２０）のモバイルエージェント（例えば、図１のモバイルエージェント１２２）は、アプリケーション（例えば、図２のアプリケーション２１０）に関連付けられたサービス（例えば、図１のサービス１５０）にトラフィックをルーティングする要求を検出する。例えば、モバイルデバイスのモバイルエージェントは、ユーザ（例えば、図２のユーザ２２０）が、サービスでモバイルデバイス上のブラウザを指示することによって、モバイルデバイス上のサービスを選択したと決定することができる。次に、方法３００は、ステップ３２０からステップ３３０に移る。

ステップ３３０で、モバイルエージェントは、アプリケーションに関連付けられたアプリケーション識別子を識別する。例えば、モバイルエージェントは、ＴＬＳフローのパケットを受信し、パケットに関連付けられた情報からアプリケーション識別子を識別することができる。次に、方法３００は、ステップ３３０からステップ３４０に移る。ステップ３４０で、モバイルエージェントは、アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベル（例えば、ＳＤ－ＷＡＮまたはＭＰＬＳラベル）を選択する。例えば、モバイルエージェントは、アプリケーション識別子およびネットワーク設定を使用して、インラインサービス（例えば、ファイアウォールサービス、侵入検出サービス、侵入防止サービス、ＣＡＳＢサービスなど）を有するエクストラネットサービスをサポートするラベルを、ルーティングテーブルに含まれる複数のラベルから選択することができる。次に、方法３００は、ステップ３４０からステップ３５０に移る。ステップ３５０で、モバイルエージェントは、選択されたラベルまたは設定されたネットワークを使用して、アプリケーションに関連付けられたサービスにトラフィックをルーティングする。次に、方法３００は、ステップ３５０からステップ３６０に移り、ここで方法３００は終了する。

本開示は、図３の方法３００の特定のステップを特定の順序で発生するものとして説明および図示するが、本開示は、図３の方法３００の任意の適切なステップを任意の適切な順序で発生するものとして企図する。本開示は、図３の方法の特定のステップを含む、ラベルを使用してネットワークトラフィックをルーティングするための例示的な方法３００を説明および図示するが、本開示は、ラベルを使用してネットワークトラフィックをルーティングするための任意の適切な方法３００を企図しており、この任意の適切な方法には、必要に応じて、図３の方法のすべてのステップもしくは一部のステップが含まれるか、またはまったくステップが含まれない場合がある。例えば、方法３００は、ＤＮＳ要求を受信し、ＤＮＳ要求をラベルにマッピングすることを指示する追加のステップを含んでもよい。本開示は、図３の方法３００の特定のステップを実行する特定の構成要素、デバイス、またはシステムを説明および図示するが、本開示は、図３の方法３００の任意の適切なステップを実行する任意の適切な構成要素、デバイス、またはシステムの任意の適切な組み合わせを企図している。

図４は、アプリケーションラベル４１２を使用してネットワークトラフィックをルーティングするための、例示的なシステム４００を示す。システム４００またはその一部は、アプリケーションラベル４１２を使用してネットワークトラフィックをルーティングする事業所または会社（例えば、サービスプロバイダ）などの任意のエンティティを含み得る、エンティティに関連付けられ得る。システム４００の構成要素は、ハードウェア、ファームウェア、およびソフトウェアの任意の適切な組み合わせを含み得る。例えば、システム４００の構成要素は、図５のコンピュータシステムの１つ以上の要素を使用してもよい。

システム４００は、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、データベース４１０、アプリケーションラベル４１２、ノード１４０、およびトラフィック監視アプリケーション４２０を含む。ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、およびノード１４０は、上記の図１～３で説明されている。データベース４１０は、システム４００の特定のタイプの情報を格納する。例えば、データベース４１０は、アプリケーションラベル４１２を格納し得る。データベース４１０は、情報を格納するのに適した、揮発性もしくは不揮発性のローカルデバイスもしくはリモートデバイスのいずれか１つまたは組み合わせであってもよい。データベース４１０には、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、磁気記憶装置、光記憶装置、または他の任意の適切な情報記憶装置またはこれらの装置の組み合わせが含まれ得る。データベース４１０は、データベース４１０がモバイルエージェント１２２と通信するのに適した任意の場所に配置することができる。

システム４００のアプリケーションラベル４１２は、トラフィックに関連付けられたアプリケーション２１０を識別するために使用される、ネットワーク１１０内のトラフィックによって運ばれるラベルである。各アプリケーションラベル４１２は、アプリケーション２１０のタイプおよび／またはバージョンを含み得る。例えば、アプリケーションラベル４１２は、アプリケーション２１０のタイプおよび／またはバージョンを表す整数を含み得る。別の例として、アプリケーションラベル４１２は、アプリケーションタイプおよび／またはバージョンを中に組み込んだフローラベルであってもよい。ネットワーク１１０は、アプリケーションラベル４１２を使用して、どのアプリケーション２１０が特定のデータストリームに関与するかを決定する。

特定の実施形態では、アプリケーションラベル４１２は、修正されたＭＰＬＳラベルであり得る。例えば、ＭＰＬＳラベルは、自由に割り当てることができる２０ビットを有し得、これらのビットのいくつかは、アプリケーション２１０（例えば、アプリケーション２１０のバージョンの表示）を符号化して、アプリケーションラベル４１２を生成するために使用され得る。別の例として、ＭＰＬＳラベルは、「他のすべてのアプリケーション」のデフォルト値を含み得、これは、アプリケーション２１０をＭＰＬＳラベルに符号化して、アプリケーションラベル４１２を生成するために使用され得る。少数のビット（すなわち、２０ビット未満）を使用してアプリケーション２１０を符号化する場合は、データベース（例えば、図４のデータベース４１０）を使用して、符号化に使用される数にアプリケーション名をマッピングすることができる。モバイルエージェント１２２がネットワーク１１０に接続するときに、モバイルデバイス１２０のモバイルエージェント１２２はデータベース４１０にアクセスすることができる。いくつかの実施形態では、アプリケーションラベル４１２は、アプリケーション識別子のみを運ぶ。

特定の実施形態では、アプリケーションラベル４１２は、関連するアプリケーション２１０がブラウザアプリケーション２１０であることを示し得る。ブラウザトラフィックが、他のアプリケーション２１０からのトラフィックよりも特殊またはより厳密なチェックを受ける場合があるため、アプリケーションラベル４１２を介してラベル付けされたトラフィックは、異常検出システム４００の負荷を軽減し得る。ラベルを使用して、ブラウザトラフィックをより特殊なチェックにかけることができる。このラベルは、モバイルデバイス１２０に対して透過的な方法で、１つ以上のノード１４０によって割り当てられ得る。

システム４００のトラフィック監視アプリケーション４２０は、ネットワーク１１０のトラフィックを監視するために使用されるアプリケーションである。トラフィック監視アプリケーション４２０は、ファイアウォールアプリケーション、異常検出アプリケーション、脆弱性検出アプリケーション、脅威検出アプリケーション、脅威防止アプリケーションなどを含み得る。トラフィック監視アプリケーション４２０は、１つ以上のノード１４０および／またはネットワーク１１０のモバイルデバイス１２０上で実行することができる。トラフィック監視アプリケーション４２０は、アプリケーションラベル４１２を使用して、１つ以上のアプリケーション２１０の異常を検出することができる。各アプリケーションラベル４１２は、関連するネットワーク接続に対してどのアプリケーション２１０が関与するかについての情報を、トラフィック監視アプリケーション４１２に提供することができる。特定のアプリケーション２１０のトラフィックは、すべての着信トラフィックと比較して、より狭い範囲のフロータイプを有する。したがって、トラフィック監視アプリケーション４２０は、すべての着信トラフィックの異常なフロータイプを検出する場合と比較して、アプリケーションラベル４１２を使用して、異常なフロータイプをより迅速に、より早く、より容易に検出することができる。特定の実施形態では、トラフィック監視アプリケーション４２０は、異常なフローを生成するアプリケーション２１０を無効にすることができる。特定のアプリケーション２１０が複数のデバイス（例えば、複数のモバイルデバイス１２０）上の悪意のあるトラフィックに関与する場合、トラフィック監視アプリケーション４２０は、その特定のアプリケーション２１０にフラグを立て、かつ／またはネットワーク１１０全体にわたってその特定のアプリケーション２１０を無効にすることができる。

ネットワーク１１０の１つ以上のノード１４０（例えば、集約デバイス）は、アプリケーションラベル４１２を利用して、特定のアプリケーションフローを識別し、識別されたアプリケーションフローに基づいて、１つ以上のアクションを実施することができる。例えば、ノード１４０は、アプリケーションフローを、アプリケーションフローを隔離するハニーポットネットワークパスに移動することができる。別の例として、ノード１４０は、アプリケーションフローから１つ以上のラベルを撤回することができる。さらに別の例として、ノード１４０は、アプリケーションフローに関連付けられた１つ以上のラベルを再割り当てすることができる。

動作中、モバイルデバイス１２０のモバイルエージェント１２２は、ルーティングエージェントとして機能し、ネットワーク１１０と連携して、異なるトラフィックフローがモバイルデバイス１２０からノード１４０（例えば、ＳＤ－ＷＡＮゲートウェイ、ＶＰＮヘッドエンドノード、または宛先ノード）への異なるパスを介してルーティングされることを可能にする。モバイルエージェント１２２はモバイルデバイス１２０上で実行され、したがって、通信フローを生成および／または消費するアプリケーション２１０を監視する立場にある。データベース４１０でのルックアップを通じて、モバイルエージェント１２２は、アプリケーションのタイプおよびバージョンを整数にマッピングし、その整数をフローラベルに組み込んで、アプリケーションラベル４１２を生成する。モバイルエージェント１２２は、アプリケーションラベル４１２を使用して異なるフローにラベルを付け、これは、ノード１４０に、トラフィックをより効率的にルーティングし、特定のルーティングルールを異なるフロータイプに適用する能力をもたらす。アプリケーションラベル４１２は、どのアプリケーション２１０が特定の接続に関与するかについて、トラフィック監視アプリケーション４２０に関連情報を提供する。次に、トラフィック監視アプリケーション４２０は、アプリケーションラベル４１２から取り出されたこの情報を使用して、データストリーム内の異常をよりよく検出し、それらに対してより効果的に作用することができる。

図４は、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、データベース４１０、アプリケーションラベル４１２、ノード１４０、およびトラフィック監視アプリケーション４２０の特定の配置を示しているが、本開示では、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、データベース４１０、アプリケーションラベル４１２、ノード１４０、およびトラフィック監視アプリケーション４２０の任意の適切な配置を企図している。例えば、アプリケーション２１０は、モバイルデバイス１２０のデータベース４１０に格納されていてもよい。図４は、特定の数の、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、データベース４１０、アプリケーションラベル４１２、ノード１４０、およびトラフィック監視アプリケーション４２０を示しているが、本開示では、任意の適切な数の、ネットワーク１１０、モバイルデバイス１２０、モバイルエージェント１２２、アプリケーション２１０、データベース４１０、アプリケーションラベル４１２、ノード１４０、およびトラフィック監視アプリケーション４２０を企図している。例えば、モバイルデバイス１２０は、複数のモバイルエージェント１２２および／または複数のデータベース４１０を含んでもよい。

図５は、例示的なコンピュータシステム５００を示す。特定の実施形態では、１つ以上のコンピュータシステム５００は、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施する。特定の実施形態では、１つ以上のコンピュータシステム５００は、本明細書で説明または図示する機能を提供する。特定の実施形態では、１つ以上のコンピュータシステム５００上で実行されるソフトウェアは、本明細書で説明もしくは図示する１つ以上の方法の１つ以上のステップを実施するか、または本明細書で説明もしくは図示する機能を提供する。特定の実施形態は、１つ以上のコンピュータシステム５００の１つ以上の部分を含む。本明細書では、コンピュータシステムへの言及は、必要に応じて、コンピューティングデバイスを包含し得、逆もまた同様である。さらに、コンピュータシステムへの言及は、必要に応じて、１つ以上のコンピュータシステムを包含し得る。

本開示は、任意の適切な数のコンピュータシステム５００を企図している。本開示は、任意の適切な物理形態をとるコンピュータシステム５００を企図している。限定としてではなく例として、コンピュータシステム５００は、組み込みコンピュータシステム、システムオンチップ（ＳＯＣ）、シングルボードコンピュータシステム（ＳＢＣ）（例えば、コンピュータオンモジュール（ＣＯＭ）またはシステムオンモジュール（ＳＯＭ）など）、デスクトップコンピュータシステム、ラップトップまたはノートブックコンピュータシステム、インタラクティブキオスク、メインフレーム、コンピュータシステムのメッシュ、携帯電話、携帯情報端末（ＰＤＡ）、サーバ、タブレットコンピュータシステム、拡張／仮想現実デバイス、またはこれらの２つ以上の組み合わせであり得る。必要に応じて、コンピュータシステム５００は、１つ以上のコンピュータシステム５００を含んでよく、一体型または分散型であってよく、複数の場所にまたがってよく、複数のマシンにまたがってよく、複数のデータセンターにまたがってよく、またはクラウドに常駐してよく、クラウドには１つ以上のネットワークに１つ以上のクラウド構成要素が含まれてもよい。必要に応じて、１つ以上のコンピュータシステム５００は、実質的な空間的または時間的制限なしに、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施することができる。限定ではなく一例として、１つ以上のコンピュータシステム５００は、リアルタイムまたはバッチモードで、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを実施することができる。１つ以上のコンピュータシステム５００は、必要に応じて、本明細書で説明または図示する１つ以上の方法の１つ以上のステップを、異なる時間または異なる場所で実施することができる。

特定の実施形態では、コンピュータシステム５００は、プロセッサ５０２、メモリ５０４、ストレージ５０６、入力／出力（Ｉ／Ｏ）インタフェース５０８、通信インタフェース５１０、およびバス５１２を含む。本開示は、特定の配置で特定の数の特定の構成要素を有する特定のコンピュータシステムを説明および図示するが、本開示は、任意の適切な配置で任意の適切な数の任意の適切な構成要素を有する任意の適切なコンピュータシステムを企図する。

特定の実施形態では、プロセッサ５０２は、コンピュータプログラムを構成するものなどの、命令を実行するためのハードウェアを含む。限定ではなく一例として、命令を実行するために、プロセッサ５０２は、内部レジスタ、内部キャッシュ、メモリ５０４、またはストレージ５０６から命令を検索（ｒｅｔｒｉｅｖｅ）（またはフェッチ）し、それらをデコードして実行し、次に、１つ以上の結果を、内部レジスタ、内部キャッシュ、メモリ５０４、またはストレージ５０６に書き込み得る。特定の実施形態では、プロセッサ５０２は、データ、命令、またはアドレスのための１つ以上の内部キャッシュを含み得る。本開示は、必要に応じて、任意の適切な数の任意の適切な内部キャッシュを含むプロセッサ５０２を企図する。限定ではなく一例として、プロセッサ５０２は、１つ以上の命令キャッシュ、１つ以上のデータキャッシュ、および１つ以上のトランスレーションルックアサイドバッファ（ＴＬＢ）を含み得る。命令キャッシュ内の命令は、メモリ５０４またはストレージ５０６内の命令のコピーであり得、命令キャッシュは、プロセッサ５０２によるそれらの命令の検索を高速化することができる。データキャッシュ内のデータは、プロセッサ５０２で実行される命令が動作するためのメモリ５０４またはストレージ５０６内のデータのコピーであり得、プロセッサ５０２で実行される後続の命令によるアクセスのため、またはメモリ５０４もしくはストレージ５０６への書き込みのためにプロセッサ５０２で実行された前の命令の結果であり得、または他の適切なデータであり得る。データキャッシュは、プロセッサ５０２による読み出しまたは書き込み操作を高速化することができる。ＴＬＢは、プロセッサ５０２の仮想アドレス変換を高速化することができる。特定の実施形態では、プロセッサ５０２は、データ、命令、またはアドレスのための１つ以上の内部レジスタを含み得る。本開示は、必要に応じて、任意の適切な数の任意の適切な内部レジスタを含むプロセッサ５０２を企図する。必要に応じて、プロセッサ５０２は、１つ以上の算術論理演算装置（ＡＬＵ）を含み得、マルチコアプロセッサであり得、または１つ以上のプロセッサ５０２を含み得る。本開示は、特定のプロセッサを説明および図示するが、本開示は、任意の適切なプロセッサを企図している。

特定の実施形態では、メモリ５０４は、プロセッサ５０２が実行するための命令またはプロセッサ５０２が動作するためのデータを格納するためのメインメモリを含む。限定ではなく一例として、コンピュータシステム５００は、ストレージ５０６または別のソース（例えば、別のコンピュータシステム５００など）からメモリ５０４に命令をロードすることができる。次に、プロセッサ５０２は、メモリ５０４から内部レジスタまたは内部キャッシュに命令をロードすることができる。命令を実行するために、プロセッサ５０２は、内部レジスタまたは内部キャッシュから命令を検索し、それらをデコードすることができる。命令の実行中または実行後に、プロセッサ５０２は、１つ以上の結果（中間結果または最終結果であり得る）を内部レジスタまたは内部キャッシュに書き込むことができる。次に、プロセッサ５０２は、それらの結果のうちの１つ以上をメモリ５０４に書き込むことができる。特定の実施形態では、プロセッサ５０２は、１つ以上の内部レジスタまたは内部キャッシュまたはメモリ５０４で（ストレージ５０６または他の場所とは対照的に）命令のみを実行し、かつ（ストレージ５０６または他の場所とは対照的に）１つ以上の内部レジスタまたは内部キャッシュまたはメモリ５０４内のデータに対してのみ動作する。（各々がアドレスバスおよびデータバスを含み得る）１つ以上のメモリバスは、プロセッサ５０２をメモリ５０４に結合することができる。バス５１２は、以下に説明するように、１つ以上のメモリバスを含み得る。特定の実施形態では、１つ以上のメモリ管理ユニット（ＭＭＵ）がプロセッサ５０２とメモリ５０４との間に存在し、プロセッサ５０２によって要求されるメモリ５０４へのアクセスを容易にする。特定の実施形態では、メモリ５０４は、ＲＡＭを含む。このＲＡＭは、必要に応じて、揮発性メモリであってよい。必要に応じて、このＲＡＭは、ダイナミックＲＡＭ（ＤＲＡＭ）またはスタティックＲＡＭ（ＳＲＡＭ）であってよい。さらに、必要に応じて、このＲＡＭは、シングルポートまたはマルチポートのＲＡＭであり得る。本開示は、任意の適切なＲＡＭを企図している。メモリ５０４は、必要に応じて、１つ以上のメモリ５０４を含み得る。本開示は、特定のメモリを説明および図示するが、本開示は、任意の適切なメモリを企図している。

特定の実施形態では、ストレージ５０６は、データまたは命令のための大容量ストレージを含む。限定ではなく一例として、ストレージ５０６は、ハードディスクドライブ（ＨＤＤ）、フロッピーディスクドライブ、フラッシュメモリ、光ディスク、光磁気ディスク、磁気テープ、またはユニバーサルシリアルバス（ＵＳＢ）ドライブ、またはこれらの２つ以上の組み合わせを含み得る。ストレージ５０６は、必要に応じて、取り外し可能または取り外し不可能な（または固定された）媒体を含み得る。ストレージ５０６は、必要に応じて、コンピュータシステム５００の内部または外部にあり得る。特定の実施形態では、ストレージ５０６は、不揮発性のソリッドステートメモリである。特定の実施形態では、ストレージ５０６は、ＲＯＭを含む。必要に応じて、このＲＯＭは、マスクプログラムＲＯＭ、プログラマブルＲＯＭ（ＰＲＯＭ）、消去可能ＰＲＯＭ（ＥＰＲＯＭ）、電気的消去可能ＰＲＯＭ（ＥＥＰＲＯＭ）、電気的変更可能ＲＯＭ（ＥＡＲＯＭ）、フラッシュメモリ、またはこれらの２つ以上の組み合わせであり得る。本開示は、任意の適切な物理形態をとる大容量記憶装置５０６を企図している。ストレージ５０６は、必要に応じて、プロセッサ５０２とストレージ５０６との間の通信を容易にする、１つ以上のストレージ制御ユニットを含むことができる。必要に応じて、ストレージ５０６は、１つ以上のストレージ５０６を含み得る。本開示は、特定のストレージを説明および図示するが、本開示は、任意の適切なストレージを企図している。

特定の実施形態では、Ｉ／Ｏインタフェース５０８は、ハードウェア、ソフトウェア、またはその両方を含み、コンピュータシステム５００と１つ以上のＩ／Ｏデバイスとの間の通信のための１つ以上のインタフェースを提供する。コンピュータシステム５００は、必要に応じて、これらのＩ／Ｏデバイスのうちの１つ以上を含み得る。これらのＩ／Ｏデバイスのうちの１つ以上は、人とコンピュータシステム５００との間の通信を可能にし得る。限定ではなく一例として、Ｉ／Ｏデバイスには、キーボード、キーパッド、マイク、モニター、マウス、プリンタ、スキャナ、スピーカー、スチルカメラ、スタイラス、タブレット、タッチスクリーン、トラックボール、ビデオカメラ、別の適切なＩ／Ｏデバイス、またはこれらの２つ以上の組み合わせが含まれ得る。Ｉ／Ｏデバイスは、１つ以上のセンサを含んでもよい。本開示は、任意の適切なＩ／Ｏデバイスおよびそれらに適した任意のＩ／Ｏインタフェース５０８を企図している。必要に応じて、Ｉ／Ｏインタフェース５０８は、プロセッサ５０２がこれらのＩ／Ｏデバイスの１つ以上を駆動することを可能にする１つ以上のデバイスまたはソフトウェアドライバを含み得る。Ｉ／Ｏインタフェース５０８は、必要に応じて、１つ以上のＩ／Ｏインタフェース５０８を含み得る。本開示は、特定のＩ／Ｏインタフェースを説明および図示するが、本開示は、任意の適切なＩ／Ｏインタフェースを企図している。

特定の実施形態では、通信インタフェース５１０は、コンピュータシステム５００と１つ以上の他のコンピュータシステム５００もしくは１つ以上のネットワークとの間の通信（例えば、パケットベースの通信など）のための１つ以上のインタフェースを提供する、ハードウェア、ソフトウェア、またはその両方を含む。限定ではなく一例として、通信インタフェース５１０は、イーサネットもしくは他の有線ベースのネットワークと通信するためのネットワークインタフェースコントローラ（ＮＩＣ）もしくはネットワークアダプタ、または無線ＮＩＣ（ＷＮＩＣ）もしくはＷＩ－ＦＩネットワークなどのワイヤレスネットワークを含み得る。本開示は、任意の適切なネットワークおよびそれに適した任意の通信インタフェース５１０を企図している。限定ではなく一例として、コンピュータシステム５００は、アドホックネットワーク、パーソナルエリアネットワーク（ＰＡＮ）、ＬＡＮ、ＷＡＮ、ＭＡＮ、もしくはインターネットの１つ以上の部分、またはこれらの２つ以上の組み合わせと通信することができる。これらのネットワークのうちの１つ以上の、１つ以上の部分は、有線または無線であり得る。一例として、コンピュータシステム５００は、無線ＰＡＮ（ＷＰＡＮ）（例えば、ＢＬＵＥＴＯＯＴＨ ＷＰＡＮなど）、ＷＩ－ＦＩネットワーク、ＷＩ－ＭＡＸネットワーク、携帯電話ネットワーク（例えば、グローバルシステムフォーモバイルコミュニケーションズ（ＧＳＭ）ネットワーク、ロングタームエボリューション（ＬＴＥ）ネットワーク、または５Ｇネットワークなど）、もしくはその他の適切な無線ネットワーク、またはこれらの２つ以上の組み合わせと通信することができる。コンピュータシステム５００は、必要に応じて、これらのネットワークのいずれかに適した通信インタフェース５１０を含み得る。通信インタフェース５１０は、必要に応じて、１つ以上の通信インタフェース５１０を含み得る。本開示は、特定の通信インタフェースを説明および図示するが、本開示は、任意の適切な通信インタフェースを企図している。

特定の実施形態では、バス５１２は、コンピュータシステム５００のハードウェア、ソフトウェア、またはその両方の互いに結合する構成要素を含む。限定ではなく一例として、バス５１２は、アクセラレイティッドグラフィックスポート（ＡＧＰ）もしくは他のグラフィックバス、拡張産業標準アーキテクチャ（ＥＩＳＡ）バス、フロントサイドバス（ＦＳＢ）、ハイパートランスポート（ＨＴ）相互接続、業界標準アーキテクチャ（ＩＳＡ）バス、インフィニバンド相互接続、低ピン数（ＬＰＣ）バス、メモリバス、マクロチャネルアーキテクチャ（ＭＣＡ）バス、周辺機器相互接続（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ、ＰＣＩ）バス、ＰＣＩ高速（ＰＣＩｅ）バス、サタ（Ｓｅｒｉａｌ Ａｄｖａｎｃｅｄ Ｔｅｃｈｎｏｌｏｇｙ Ａｔｔａｃｈｍｅｎｔ、ＳＡＴＡ）バス、ベサローカルバス（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ ｌｏｃａｌ ｂｕｓ、ＶＬＢ）、もしくは別の適切なバス、またはこれらの２つ以上の組み合わせを含み得る。バス５１２は、必要に応じて、１つ以上のバス５１２を含み得る。本開示は、特定のバスを説明および図示するが、本開示は、任意の適切なバスまたは相互接続を企図している。

要約すると、一実施形態では、方法は、アプリケーションに関連付けられたサービスにトラフィックをルーティングするための要求を検出することを含む。本方法はまた、アプリケーションに関連付けられたアプリケーション識別子を識別することと、アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することと、も含む。ラベルは、１つ以上のルートを含む。本方法は、ラベルを使用して、アプリケーションに関連付けられたサービスにトラフィックをルーティングすることをさらに含む。

本明細書では、コンピュータ可読非一時的記憶媒体には、１つ以上の半導体ベースまたは他の集積回路（ＩＣ）（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）もしくは特定用途向けＩＣ（ＡＳＩＣ）など）、ハードディスクドライブ（ＨＤＤ）、ハイブリッドハードドライブ（ＨＨＤ）、光ディスク、光ディスクドライブ（ＯＤＤ）、磁気光学ディスク、磁気光学ドライブ、フロッピーディスク、フロッピーディスクドライブ（ＦＤＤ）、磁気テープ、ソリッドステートドライブ（ＳＳＤ）、ＲＡＭドライブ、ＳＥＣＵＲＥ ＤＩＧＩＴＡＬカードもしくはドライブ、その他の任意の適切なコンピュータ可読非一時的記憶媒体、または必要に応じてこれらの２つ以上の適切な組み合わせが含まれ得る。コンピュータ可読非一時的記憶媒体は、必要に応じて、揮発性、不揮発性、または揮発性と不揮発性の組み合わせであり得る。

本明細書において、「または」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、包括的であり、排他的ではない。したがって、本明細書において、「ＡまたはＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「Ａ、Ｂ、またはその両方」を意味する。さらに、「および」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、連帯および個別の両方である。したがって、本明細書において、「ＡおよびＢ」は、明示的に別段の指示がない限り、または文脈によって別段の指示がない限り、「連帯的または個別的に、ＡおよびＢ」を意味する。

本開示の範囲は、当業者が理解するであろう、本明細書に説明または図示された例示的な実施形態に対するすべての変更、置換、変形、変更、および修正を包含する。本開示の範囲は、本明細書に記載または図示された例示的な実施形態に限定されない。さらに、本開示は、本明細書のそれぞれの実施形態が特定の構成要素、要素、特徴、機能、動作、またはステップを含むものとして説明および図示するが、これらの実施形態のいずれも、当業者であれば理解するであろう、本明細書のどこかで説明または図示する構成要素、要素、特徴、機能、動作、またはステップのいずれかの任意の組み合わせまたは置換を含むことができる。さらに、特定の機能を実施するように適合される、配置される、可能にする、構成されている、機能する、動作可能である、または動作する装置またはシステムまたはシステムの構成要素もしくは装置に対する特許請求の範囲における言及は、その装置、システム、または構成要素がそのように適合される、配置される、可能にする、構成されている、機能する、動作可能である、または動作する限り、その特定の機能が起動する、作動する、または解除されているかどうかにかかわらず、その装置、システム、構成要素を包含する。加えて、本開示は、特定の利点を提供するものとして特定の実施形態を説明または例示するが、特定の実施形態は、これらの利点のいずれも提供しないこと、一部またはすべてを提供すること、ができる。

本明細書に開示される実施形態は単なる例であり、本開示の範囲はそれらに限定されない。特定の実施形態は、本明細書に開示される実施形態の構成要素、要素、特徴、機能、動作、またはステップのすべて、一部を含む、またはいずれも含まない場合がある。本開示による実施形態は、特に、方法、記憶媒体、システム、およびコンピュータプログラム製品に向けた添付の特許請求の範囲に開示されており、ある請求項カテゴリ、例えば方法で言及される任意の特徴は、別の請求項カテゴリ、例えばシステム、でも特許請求することができる。添付の特許請求の範囲に戻る従属性または参照は、正式な理由でのみ選択されている。ただし、任意の先行する特許請求の範囲（特に複数の従属性）への意図的な参照から生じる任意の主題も同様に特許請求することができるため、特許請求の範囲およびその特徴の任意の組み合わせが開示され、添付の特許請求の範囲で選択される従属性に関係なく特許請求することができる。特許請求可能な主題は、添付の特許請求の範囲に記載された特徴の組み合わせのみならず、特許請求の範囲内の任意の他の特徴の組み合わせも含み、特許請求の範囲で言及される各特徴は、特許請求の範囲における任意の他の特徴または他の特徴の組み合わせと組み合わせることができる。さらに、本明細書に記載または図示される実施形態および特徴のいずれも、別個の特許請求の範囲で、および／または本明細書に説明または描かれる任意の実施形態もしくは特徴、または添付の特許請求の範囲のいずれかの特徴との任意の組み合わせで特許請求することができる。

Claims (23)

1. デバイスであって、
   １つ以上のプロセッサと、
   前記１つ以上のプロセッサに結合され、かつ命令を含む１つ以上のコンピュータ可読非一時的記憶媒体であって、前記命令は、前記１つ以上のプロセッサによって実行されたときに、前記デバイスに、
   前記デバイスのモバイルエージェントによって、アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出することと、
   前記モバイルエージェントによって、前記アプリケーションに関連付けられたアプリケーション識別子を識別することと、
   前記モバイルエージェントによって、かつ前記アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することであって、前記ラベルは１つ以上のルートを含む、選択することと、
   前記モバイルエージェントによって、前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングすることと、を含む動作を実施させる、１つ以上のコンピュータ可読非一時的記憶媒体と、を備える、デバイス。
2. 前記ラベルは、インラインセキュリティサービスを有するエクストラネットサービスをサポートし、
   前記インラインセキュリティサービスは、
   ファイアウォールサービス、
   侵入検出サービス、
   侵入防止サービス、またはクラウドアクセスセキュリティブローカー（ＣＡＳＢ）サービスのうちの少なくとも１つを含む、請求項１に記載のデバイス。
3. ヘッドエンドノードが、
   前記ラベルを受信し、
   ポリシーテーブル内に１つ以上のポリシーを保持し、かつ
   前記１つ以上のポリシーおよび前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングする、請求項１または２に記載のデバイス。
4. 前記動作は、
   前記モバイルエージェントによって、ドメインネームシステム（ＤＮＳ）要求を受信することと、
   前記アプリケーション識別子を使用して、前記ＤＮＳ要求を前記ラベルにマッピングすることと、をさらに含む、請求項１～３のいずれか一項に記載のデバイス。
5. 前記ラベルは、
   ソフトウェア定義型ワイドエリアネットワーク（ＳＤ－ＷＡＮ）、
   仮想プライベートネットワーク（ＶＰＮ）、
   マルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベル、
   ネットワークサービスヘッダ（ＮＳＨ）ラベル、または
   汎用ネットワーク仮想化カプセル化（ＧＥＮＥＶＥ）トンネルラベルのうちの少なくとも１つに関連付けられている、請求項１～４のいずれか一項に記載のデバイス。
6. 前記サービスは、
   パブリックな、サービスとしてのインフラストラクチャ（ＩａａＳ）、
   プライベートなＩａａＳ、
   パブリックな、サービスとしてのソフトウェア（ＳａａＳ）、
   プライベートなＳａａＳ、または
   プライベートエンタープライズサービスのうちの少なくとも１つに関連付けられている、請求項１～５のいずれか一項に記載のデバイス。
7. 前記動作は、
   前記モバイルエージェントによって、１つ以上のポリシーを含むポリシーテーブルを維持することと、
   前記モバイルエージェントによって、前記１つ以上のポリシーを使用して、前記アプリケーションに関連付けられた前記アプリケーション識別子を前記ラベルにマッピングすることと、をさらに含む、請求項１～６のいずれか一項に記載のデバイス。
8. アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出することと、
   前記アプリケーションに関連付けられたアプリケーション識別子を識別することと、
   前記アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することであって、前記ラベルは１つ以上のルートを含む、選択することと、
   前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングすることと、を含む、方法。
9. 前記ラベルは、インラインセキュリティサービスを有するエクストラネットサービスをサポートし、
   前記インラインセキュリティサービスは、
   ファイアウォールサービス、
   侵入検出サービス、
   侵入防止サービス、または
   クラウドアクセスセキュリティブローカー（ＣＡＳＢ）サービスのうちの少なくとも１つを含む、請求項８に記載の方法。
10. ヘッドエンドノードが、
    前記ラベルを受信し、
    ポリシーテーブル内に１つ以上のポリシーを維持し、かつ
    前記１つ以上のポリシーおよび前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングする、請求項８または９に記載の方法。
11. ドメインネームシステム（ＤＮＳ）要求を受信することと、
    前記アプリケーション識別子を使用して、前記ＤＮＳ要求を前記ラベルにマッピングすることと、をさらに含む、請求項８～１０のいずれか一項に記載の方法。
12. 前記ラベルは、
    ソフトウェア定義型ワイドエリアネットワーク（ＳＤ－ＷＡＮ）、
    仮想プライベートネットワーク（ＶＰＮ）、
    マルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベル、
    ネットワークサービスヘッダ（ＮＳＨ）ラベル、または
    汎用ネットワーク仮想化カプセル化（ＧＥＮＥＶＥ）トンネルラベルのうちの少なくとも１つに関連付けられている、請求項８～１１のいずれか一項に記載の方法。
13. 前記サービスは、
    パブリックな、サービスとしてのインフラストラクチャ（ＩａａＳ）、
    プライベートなＩａａＳ、
    パブリックな、サービスとしてのソフトウェア（ＳａａＳ）、
    プライベートなＳａａＳ、または
    プライベートエンタープライズサービスのうちの少なくとも１つに関連付けられている、請求項８～１２のいずれか一項に記載の方法。
14. １つ以上のポリシーを含むポリシーテーブルを維持することと、
    前記１つ以上のポリシーを使用して、前記アプリケーションに関連付けられた前記アプリケーション識別子を前記ラベルにマッピングすることと、をさらに含む、請求項８～１３のいずれか一項に記載の方法。
15. 命令を包含する１つ以上のコンピュータ可読非一時的記憶媒体であって、前記命令は、プロセッサによって実行されたときに、前記プロセッサに、
    アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出することと、前記アプリケーションに関連付けられたアプリケーション識別子を識別することと、
    前記アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択することであって、前記ラベルは１つ以上のルートを含む、選択することと、
    前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングすることと、を含む動作を実施させる、１つ以上のコンピュータ可読非一時的記憶媒体。
16. 前記ラベルは、インラインセキュリティサービスを有するエクストラネットサービスをサポートし、
    前記インラインセキュリティサービスは、
    ファイアウォールサービス、
    侵入検出サービス、
    侵入防止サービス、またはクラウドアクセスセキュリティブローカー（ＣＡＳＢ）サービスのうちの少なくとも１つを含む、請求項１５に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
17. ヘッドエンドノードは、
    前記ラベルを受信し、
    ポリシーテーブル内に１つ以上のポリシーを維持し、かつ
    前記１つ以上のポリシーおよび前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングする、請求項１５または１６に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
18. 前記動作は、
    前記プロセッサによって、ドメインネームシステム（ＤＮＳ）要求を受信することと、前記アプリケーション識別子を使用して、前記ＤＮＳ要求を前記ラベルにマッピングすることと、をさらに含む、請求項１５～１７のいずれか一項に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
19. 前記ラベルは、
    ソフトウェア定義型ワイドエリアネットワーク（ＳＤ－ＷＡＮ）、
    仮想プライベートネットワーク（ＶＰＮ）、
    マルチプロトコルラベルスイッチング（ＭＰＬＳ）ラベル、
    ネットワークサービスヘッダ（ＮＳＨ）ラベル、または
    汎用ネットワーク仮想化カプセル化（ＧＥＮＥＶＥ）トンネルラベルのうちの少なくとも１つに関連付けられている、請求項１５～１８のいずれか一項に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
20. 前記サービスは、
    パブリックな、サービスとしてのインフラストラクチャ（ＩａａＳ）、
    プライベートなＩａａＳ、
    パブリックな、サービスとしてのソフトウェア（ＳａａＳ）、
    プライベートなＳａａＳ、または
    プライベートエンタープライズサービスのうちの少なくとも１つに関連付けられている、請求項１５～１９のいずれか一項に記載の１つ以上のコンピュータ可読非一時的記憶媒体。
21. アプリケーションに関連付けられたサービスにトラフィックをルーティングする要求を検出するための手段と、前記アプリケーションに関連付けられたアプリケーション識別子を識別するための手段と、
    前記アプリケーション識別子を使用して、ルーティングテーブルに含まれる複数のラベルからラベルを選択するための手段であって、前記ラベルは１つ以上のルートを含む、手段と、
    前記ラベルを使用して、前記アプリケーションに関連付けられた前記サービスに前記トラフィックをルーティングするための手段と、を含む、装置。
22. 請求項９～１４のいずれか一項に記載の方法を実装するための手段をさらに含む、請求項２１に記載の装置。
23. コンピュータによって実行されたときに、前記コンピュータに、請求項８～１４のいずれか一項に記載の方法のステップを実行させるための命令を含む、コンピュータプログラム、またはコンピュータ可読媒体。