JPWO2004111864A1 - インターネットセキュア通信装置及び通信方法 - Google Patents
インターネットセキュア通信装置及び通信方法 Download PDFInfo
- Publication number
- JPWO2004111864A1 JPWO2004111864A1 JP2005506926A JP2005506926A JPWO2004111864A1 JP WO2004111864 A1 JPWO2004111864 A1 JP WO2004111864A1 JP 2005506926 A JP2005506926 A JP 2005506926A JP 2005506926 A JP2005506926 A JP 2005506926A JP WO2004111864 A1 JPWO2004111864 A1 JP WO2004111864A1
- Authority
- JP
- Japan
- Prior art keywords
- computer
- message
- bridge
- internet
- firewall
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/168—Implementing security features at a particular protocol layer above the transport layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
- Information Transfer Between Computers (AREA)
Abstract
ネットワークセキュリティ装置の再構築を行わずに、ファイアウォールを通過することのできる装置及び通信方法を提供する。アプリケーションサービスがファイアウォールによって保護されている環境で、インターネット使用時に、メッセージ・アドレス確認コンピュータ内部の第1の任意のメッセージおよび、ファイアウォールトンネル・コンピュータ内部の第2の任意のメッセージに対応するクライアントとアプリケーションサービスの間の各々のメッセージインスタンスが有効な時、クライアントからアプリケーションサービスへのアクセスを許可する。ファイアウォールトンネル・コンピュータとメッセージ・アドレス確認コンピュータはセキュア・プロトコルにより、インターネットに直接接続されている。
Description
本発明は、アプリケーションサービス・コンピューターがファイアウォールのようなセキュリティ装置によって通常のインターネット・アクセスから一般に保護されるインターネットの使用において、クライアント・コンピューターと、アプリケーションサービス・コンピューターとの間のインターネットセキュア通信装置及び通信方法に関する。
ネットワーク通信はファイアウォールや、NAT(Network Address Translator)のようなネットワークセキュリティ装置が、常に拡大するコンピューターシステム・グループのインターネットへのインタフェースとして使用される限りにおいて、複雑度を増してきている。これらのセキュリティ装置によって明らかになる重要な難題は、セキュリティ装置によってNATやファイアウォールの″背後″にある装置へ到達できないようにするため、他の正当なユーザーは、(しばしば、遠隔手続き呼び出し又は″RPC″通信による)サーバーとクライアントの間の広範囲のアクセスが、インターネットの通過に失敗することである。
リモートアクセス(例えば、制限のない、インスタントメッセージ、IPテレフォニーや、セキュリティカメラのトラブル解決等)を必要とするアプリケーションは、そのような接続性の難題が問題となる。この点において、そのようなタイプのアプリケーションに対するアプリケーション・サーバーは、しばしばリモートマネジメントに対して、Hyper Text Transfer Protocol(HTTP)のインタフェースを実装する。不幸にも、そのようなアプリケーション・サーバーは、中央のコンピューターメンテナンスグループから遠隔地に、重要な企業アプリケーションを実装しており、それらのインターネットを用いたメンテナンスのインタフェースは、対応するファイアウォールのため、メンテナンス部門によって利用できないようになっている。マネジメントインタフェースを使用する必要があるとき(そして皮肉にも、リモートマネジメントインタフェースは、NAT/ファイアウォールによってブロックすること以外に使用される時)、企業の職員は、それゆえにしばしば、重要な調整手続きを、作用させるコンピューターのある場所に物理的に輸送する必要がある。もちろんこの点において、ネットワークセキュリティは、システムに実装された調整基準として継続する必要がある。しかし、この継続したセキュリティのコストとお金は重要である。
(共にファイアウォールの背後にある)2つのドメインの間の接続性が必要な時、2つのドメイン上のアプリケーション間でメッセージを交換できるように、システム管理者はそのファイアウォールに、あるポートを空ける必要がある。このことは不幸にも、セキュリティの特徴を侵害するため、大多数の客にとって容認できる解ではない。
ファイアウォールとNATを通過する接続性は、コストとセキュリティの観点から強く望まれているにも関わらず、そのような通信の中でもセキュリティが継続するように、それらの特定のプロトコルの要求に従ってそれらのセキュリティ装置にアクセスするいまだ唯一の手段である必要がある。必要なのは、インターネットからファイアウォールを通過するセキュリティアクセス・アプリケーションサーバーへの通り道であり、そのような便利で、低コストのファイアウォール保護されたLANは、インターネットを横切り、ファイアウォールが許可された周りの、セキュアな広く双方向の通信を行うと認識されているそれらのアプリケーション・サーバーが必要な時に接続される。また、インターネットを横断する広く双方向の通信の性能を可能にするためにファイアウォールを再構成する必要がないことが、強く望まれる。
従来のネットワークシステムおよび方法は、図4に示すように、HTTPプロトコルに従うリクエストにデータを添付して送信するためのHTTPクライアント機能411が搭載された通信対象機器410と、それを操作しあるいは監視する管理装置としてのパソコン420で構成され、パソコン420はインターネット401に接続され、通信対象機器410は企業のファイアウォール430の内側に設置されている。一般にファイアウォール430は、内側から外側に向けたHTTPリクエストのパケットと、このHTTPリクエストに対応するHTTPレスポンスのパケットを通過されるように設定されている。前述のように通信対象機器410はHTTPクライアント機能411を有しており、HTTPリクエストとしてGET又はPOSTメソッドに送信したいデータを添付してパソコン420に送信する。このHTTPリクエストに対してパソコン420がHTTPリクエストを返信すると、前述のようにHTTPレスポンスはファイアウォール430を通過することができるので、通信対象機器410は、パソコン420からのレスポンスを受信することができる。例えば、特開2001−154953号公報(第4−5頁、第3図)。
解決課題
しかしながら、従来のネットワークシステムおよび方法では、ファイアウォールやNATを通過させたいアプリケーションを全てHTTPプロトコルに従ったアプリケーションとして実装する必要があり、すでに企業内に資産として保有する膨大なアプリケーションソフトウェアの資産を廃棄しなければならないという問題があった。
リモートアクセス(例えば、制限のない、インスタントメッセージ、IPテレフォニーや、セキュリティカメラのトラブル解決等)を必要とするアプリケーションは、そのような接続性の難題が問題となる。この点において、そのようなタイプのアプリケーションに対するアプリケーション・サーバーは、しばしばリモートマネジメントに対して、Hyper Text Transfer Protocol(HTTP)のインタフェースを実装する。不幸にも、そのようなアプリケーション・サーバーは、中央のコンピューターメンテナンスグループから遠隔地に、重要な企業アプリケーションを実装しており、それらのインターネットを用いたメンテナンスのインタフェースは、対応するファイアウォールのため、メンテナンス部門によって利用できないようになっている。マネジメントインタフェースを使用する必要があるとき(そして皮肉にも、リモートマネジメントインタフェースは、NAT/ファイアウォールによってブロックすること以外に使用される時)、企業の職員は、それゆえにしばしば、重要な調整手続きを、作用させるコンピューターのある場所に物理的に輸送する必要がある。もちろんこの点において、ネットワークセキュリティは、システムに実装された調整基準として継続する必要がある。しかし、この継続したセキュリティのコストとお金は重要である。
(共にファイアウォールの背後にある)2つのドメインの間の接続性が必要な時、2つのドメイン上のアプリケーション間でメッセージを交換できるように、システム管理者はそのファイアウォールに、あるポートを空ける必要がある。このことは不幸にも、セキュリティの特徴を侵害するため、大多数の客にとって容認できる解ではない。
ファイアウォールとNATを通過する接続性は、コストとセキュリティの観点から強く望まれているにも関わらず、そのような通信の中でもセキュリティが継続するように、それらの特定のプロトコルの要求に従ってそれらのセキュリティ装置にアクセスするいまだ唯一の手段である必要がある。必要なのは、インターネットからファイアウォールを通過するセキュリティアクセス・アプリケーションサーバーへの通り道であり、そのような便利で、低コストのファイアウォール保護されたLANは、インターネットを横切り、ファイアウォールが許可された周りの、セキュアな広く双方向の通信を行うと認識されているそれらのアプリケーション・サーバーが必要な時に接続される。また、インターネットを横断する広く双方向の通信の性能を可能にするためにファイアウォールを再構成する必要がないことが、強く望まれる。
従来のネットワークシステムおよび方法は、図4に示すように、HTTPプロトコルに従うリクエストにデータを添付して送信するためのHTTPクライアント機能411が搭載された通信対象機器410と、それを操作しあるいは監視する管理装置としてのパソコン420で構成され、パソコン420はインターネット401に接続され、通信対象機器410は企業のファイアウォール430の内側に設置されている。一般にファイアウォール430は、内側から外側に向けたHTTPリクエストのパケットと、このHTTPリクエストに対応するHTTPレスポンスのパケットを通過されるように設定されている。前述のように通信対象機器410はHTTPクライアント機能411を有しており、HTTPリクエストとしてGET又はPOSTメソッドに送信したいデータを添付してパソコン420に送信する。このHTTPリクエストに対してパソコン420がHTTPリクエストを返信すると、前述のようにHTTPレスポンスはファイアウォール430を通過することができるので、通信対象機器410は、パソコン420からのレスポンスを受信することができる。例えば、特開2001−154953号公報(第4−5頁、第3図)。
解決課題
しかしながら、従来のネットワークシステムおよび方法では、ファイアウォールやNATを通過させたいアプリケーションを全てHTTPプロトコルに従ったアプリケーションとして実装する必要があり、すでに企業内に資産として保有する膨大なアプリケーションソフトウェアの資産を廃棄しなければならないという問題があった。
本発明は、従来の問題を解決するためになされたものであり、資産として存在する膨大なアプリケーションを変更することなく、ファイアウォールやNATを通過させることを可能とするインターネットセキュア通信装置、および方法を提供することを目的とする。
本発明の第1の態様では、メッセージ・アドレス確認コンピューターに対する第1の任意のメッセージ、およびアプリケーションサービス・コンピュータへインターネットへのインタフェースおよび前記メッセージ・アドレス確認コンピューターへの前記インターネットへのインタフェースを提供するファイアウォールトンネル・コンピューターに対する第2の任意のメッセージ、に対して前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の各コンピューター・メッセージ・インスタンスを有効にする手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第2の態様では、前記第1の任意のメッセージは、前記クライアント・コンピューターの識別子に関連する前記ファイアウォールトンネル・コンピューターの識別子で構成されることを特徴とする。
本発明の第3の態様では、前記第1の任意のメッセージは、さらに前記ファイアウォールトンネル・コンピューターの前記識別子と前記クライアント・コンピューターの前記識別子に関連する前記アプリケーションサービス・コンピュータの識別子で構成されることを特徴とする。
本発明の第4の態様では、前記識別子は、前記アプリケーションサービス・コンピューターの論理識別子で構成されることを特徴とする。
本発明の第5の態様では、前記識別子は、前記アプリケーションサービス・コンピューターのアプリケーションの論理識別子で構成されることを特徴とする。
本発明の第6の態様では、前記第2の任意のメッセージは、前記アプリケーションサービス・コンピューターの識別子で構成されることを特徴とする。
本発明の第7の態様では、前記第2の任意のメッセージは、さらに前記クライアント・コンピューターの識別子で構成されることを特徴とする。
本発明の第8の態様では、前記第1の任意のメッセージは、前記ファイアウォールトンネル・コンピューターによって前記メッセージ・アドレス確認コンピューター内に定義されることを特徴とする。
本発明の第9の態様では、さらに、前記アプリケーションサービス・コンピューターによって前記クライアント・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第10の態様では、さらに、前記メッセージ・アドレス確認コンピューターによって前記ファイアウォールトンネル・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第11の態様では、前記メッセージ・アドレス確認コンピューターは、第1の所有者に所有される手段を有し、前記アプリケーションサービス・コンピューターと前記ファイアウォールトンネル・コンピューターは第2の所有者に所有される手段を有するとともに、前記第1の所有者と第2の所有者は、前記第1の所有者が前記第1の任意のメッセージを編集しないようにすることを合意するように構成する手段を有することを特徴とする。
本発明の第12の態様では、前記ファイアウォールトンネル・コンピューターは、外部へのHTTPプロトコル通信が通過できるようにファイアウォールによって設定されたファイアウォールのポートを通じてインターネットに接続するインタフェースを有し、前記ファイアウォールは、基本的に恒久的にいかなる内部への通信もブロックするように設定され、前記ファイアウォールを通過する双方向のメッセージを許可するように前記ファイアウォールのポートを再設定することが必要でないように、内部への通信は前記外部への通信と相互的でないことを特徴とする。
この構成により、アプリケーションサービス・コンピューターにアクセスする各々のクライアント・コンピューターをアプリケーションの論理識別子とクライアント・コンピューターの識別子を対応させてアドレス毎に識別し、パスワードで管理することができる。また、クライアント・コンピューターからアプリケーションサービス・コンピューターへのアクセスをHTTPプロトコル通信を用いてブリッジするため、ファイアウォールのセキュリティ設定を損なうことなく、安全に通信することができる。
本発明の第13の様態では、アプリケーションサービス・コンピューターとインターネットへのデータ通信を行うファイアウォールトンネル・コンピューターと、前記インターネットから前記ファイアウォールトンネル・コンピュータへのデータ通信を行い、前記インターネットからクライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターと、前記メッセージ・アドレス確認コンピューター内の第1の任意のデータベース、および前記ファイアウォールトンネル・コンピューター内の第2の任意のデータベースに対する、前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の前記通信の各コンピューターメッセージのインスタンスの検証手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第14の様態では、前記第1の任意のメッセージのデータベースは、前記クライアント・コンピューターに対する識別子に関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有するデータレコードで構成し、前記データレコードのアドレスは前記ファイアウォールトンネル・コンピュータから、前記第1の任意のデータベースのメッセージの中に定義されることを特徴とする。
本発明の第15の様態では、前記データレコードは、さらに前記アプリケーションサービス・コンピューターに対する識別子で構成することを特徴とする。
本発明の第16の様態では、前記第2の任意のメッセージのデータベースは、前記アプリケーションサービス・コンピューターに対する識別子を有するデータレコードで構成されることを特徴とする。
本発明の第17の様態では、前記第2の任意のメッセージのデータベースは、さらに前記クライアント・コンピューターに対する識別子を有することを特徴とする。
この構成により、クライアント・コンピューターの識別子と、ファイアウォールトンネル・コンピューターの識別子と、アプリケーションサービス・コンピューターの識別子をデータレコードとして持つデータベースで管理し、各メッセージのインスタンスを検証する手段を有するようにしたため、メッセージの有効性を検証することができる。
本発明の第18の様態では、アプリケーションサービス・コンピューター、およびインターネットとデータ通信を行う、ファイアウォールトンネル・コンピューターであって、前記ファイアウォールトンネル・コンピューターは、クライアント・コンピューターと前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットから前記ファイアウォールトンネル・コンピューターへのデータ通信と、前記インターネットから前記クライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターであって、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターと、前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第19の様態では、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターに対する識別子と関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有する任意のデータベースを有することを特徴とする。
本発明の第20の様態では、前記メッセージ・アドレス確認コンピューターと、前記ファイアウォールトンネル・コンピューターは、前記ファイアウォールトンネル・コンピューターが、前記メッセージ・アドレス確認コンピューターの中にある、前記任意のデータベースを変更することを可能にするようにプログラムされていることを特徴とする。
この構成により、本発明をプログラムしたインターネットセキュア通信装置を実現することができる。
本発明の第21の様態では、メッセージ・アドレス確認コンピューター内の第1の任意のメッセージ、およびファイアウォールトンネル・コンピューター内の第2の任意のメッセージに対する、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各コンピューターメッセージのインスタンスを有効にする手段を有し、前記ファイアウォールトンネル・コンピューターは、前記インターネットとのインタフェースを有し、前記メッセージ・アドレス確認コンピューターは、前記インターネットとのインタフェースを有し、前記インターネットの使用を通じて、前記クライアント・コンピューターから、前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第22の様態では、さらに、前記ファイアウォールトンネル・コンピューターによって、前記第1の任意のメッセージを定義する手段を有することを特徴とする。
この構成により、クライアント・コンピューターおよびアプリケーションサービス・コンピューターは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターを経由して、インターネットにアクセスすることができる。
本発明の第23の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記アプリケーションサービス・コンピューターの中のアプリケーション・プログラムは、前記メッセージ・アドレス確認コンピューターによって、HTTPメッセージ配送メカニズムが生成されるように、前記ブリッジ・コンピューターのプログラムを制御することを特徴とする。
本発明の第24の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記メッセージ・アドレス確認コンピューターは前記ブリッジ・コンピューターのソフトウェアのインスタンスを認証することを特徴とする。
本発明の第25の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記ブリッジ・コンピューターのプログラムは、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記一対のメッセージ・バッファは、メッセージを前記メッセージ・アドレス確認コンピューター内で実行されているブリッジサービスのプログラムと、前記アプリケーションサービス・コンピューター内で実行されているブリッジサービス・サーバーのプログラムの間を双方向に転送することを特徴とする。
この構成により、アプリケーションサービス・コンピューターのアプリケーションは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターがHTTPプロトコルで接続されるように制御し、ファイアウォールトンネル・コンピューターとアプリケーションサービス・コンピューターのアプリケーションは、HTTPプロトコルによりブリッジ接続し、ブリッジ・コンピューターのプログラムは、送受信メッセージ・バッファを定義し、メッセージ・バッファを用いてメッセージ・アドレス確認コンピューターとファイアウォールトンネル・コンピューターを双方向に転送することができる。
本発明の第26の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへ第1のHTTP接続および、前記アプリケーションサービス・コンピューターへ第2のHTTP接続を開始し、前記メッセージ処理層は、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターから前記第1の接続を経由する通信の第1のメッセージを検索し、前記メッセージ処理層は、前記第1のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第1のメッセージを前記第1の接続の受信メッセージ・バッファから前記第2の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第2の接続を経由して、前記アプリケーションサービス・コンピューターへ前記第1のメッセージを送信し、前記トランスポート層は、前記アプリケーションサービス・コンピューターから前記第2の接続を経由する通信の第2のメッセージを検索し、前記メッセージ処理層は前記第2のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第2のメッセージを前記第2の接続の受信メッセージ・バッファから前記第1の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第1の接続を経由して、前記メッセージ・アドレス確認コンピューターへ前記第1のメッセージを送信することを特徴とする。
本発明の第27の様態では、前記通信中のメッセージは、異なるアプリケーションに対して、各々異なるプロトコルが組み立てられていることを特徴とする。
本発明の第28の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへの多数のメッセージと、前記アプリケーションサービス・コンピューターへの多数のメッセージを多重化送信することを特徴とする。
本発明の第29の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムからの多数のメッセージ、および前記アプリケーションサービス・コンピューターからの多数のメッセージを多重化受信することを特徴する。
この構成により、ファイアウォールトンネル・コンピューターは、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間に、プロトコルごとに異なるメッセージを生成して1つのHTTP接続を開始し、異なるプロトコル・メッセージを1つのHTTP接続で多重化通信を行うことができる。
本発明の第30の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターと十分な多数のHTTP接続、および前記アプリケーションサービス・コンピューターと十分な多数のHTTP接続を生成し、全てのメッセージのレイテンシーは、予め定義されたレイテンシー値の範囲内で持続し、全てのメッセージのスループットは予め定義されたスループット値の範囲内で持続することを特徴とする。
この構成により、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間のHTTP接続に対して、メッセージのレイテンシーとスループットを保証することができる。
本発明の第31の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行することを特徴とする。
本発明の第32の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行し、前記メッセージ・アドレス確認コンピューターは、前記多数のファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと通信するブリッジサービス・プログラムを実行することを特徴とする。
この構成により、ファイアウォールトンネル・コンピューターおよびメッセージ・アドレス確認コンピューターの機能をプログラムで実現することができる。
本発明の第33の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して、送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファすることを特徴とする。
本発明の第34の様態では、前記ブリッジサービス・プログラムは、1つのブリッジコンピューター・プログラムから送信された多数のメッセージをバッファすることを特徴とする。
この構成により、ブリッジサービス・プログラムは多数のメッセージをバッファして多重化処理を行うことができる。
本発明の第35の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各ブリッジコンピューター・プログラムによって送信された多数のメッセージを受け入れることが可能であり、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファし、前記ブリッジサービス・プログラムは、各メッセージを同一数のアプリケーションメッセージキューに転送することを特徴とする。
この構成により、ブリッジコンピューター・プログラムとブリッジサービス・プログラムは、相互にメッセージを交換して通信し、アプリケーションごとにメッセージキューを保持して処理することができる。
本発明の第1の態様では、メッセージ・アドレス確認コンピューターに対する第1の任意のメッセージ、およびアプリケーションサービス・コンピュータへインターネットへのインタフェースおよび前記メッセージ・アドレス確認コンピューターへの前記インターネットへのインタフェースを提供するファイアウォールトンネル・コンピューターに対する第2の任意のメッセージ、に対して前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の各コンピューター・メッセージ・インスタンスを有効にする手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第2の態様では、前記第1の任意のメッセージは、前記クライアント・コンピューターの識別子に関連する前記ファイアウォールトンネル・コンピューターの識別子で構成されることを特徴とする。
本発明の第3の態様では、前記第1の任意のメッセージは、さらに前記ファイアウォールトンネル・コンピューターの前記識別子と前記クライアント・コンピューターの前記識別子に関連する前記アプリケーションサービス・コンピュータの識別子で構成されることを特徴とする。
本発明の第4の態様では、前記識別子は、前記アプリケーションサービス・コンピューターの論理識別子で構成されることを特徴とする。
本発明の第5の態様では、前記識別子は、前記アプリケーションサービス・コンピューターのアプリケーションの論理識別子で構成されることを特徴とする。
本発明の第6の態様では、前記第2の任意のメッセージは、前記アプリケーションサービス・コンピューターの識別子で構成されることを特徴とする。
本発明の第7の態様では、前記第2の任意のメッセージは、さらに前記クライアント・コンピューターの識別子で構成されることを特徴とする。
本発明の第8の態様では、前記第1の任意のメッセージは、前記ファイアウォールトンネル・コンピューターによって前記メッセージ・アドレス確認コンピューター内に定義されることを特徴とする。
本発明の第9の態様では、さらに、前記アプリケーションサービス・コンピューターによって前記クライアント・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第10の態様では、さらに、前記メッセージ・アドレス確認コンピューターによって前記ファイアウォールトンネル・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第11の態様では、前記メッセージ・アドレス確認コンピューターは、第1の所有者に所有される手段を有し、前記アプリケーションサービス・コンピューターと前記ファイアウォールトンネル・コンピューターは第2の所有者に所有される手段を有するとともに、前記第1の所有者と第2の所有者は、前記第1の所有者が前記第1の任意のメッセージを編集しないようにすることを合意するように構成する手段を有することを特徴とする。
本発明の第12の態様では、前記ファイアウォールトンネル・コンピューターは、外部へのHTTPプロトコル通信が通過できるようにファイアウォールによって設定されたファイアウォールのポートを通じてインターネットに接続するインタフェースを有し、前記ファイアウォールは、基本的に恒久的にいかなる内部への通信もブロックするように設定され、前記ファイアウォールを通過する双方向のメッセージを許可するように前記ファイアウォールのポートを再設定することが必要でないように、内部への通信は前記外部への通信と相互的でないことを特徴とする。
この構成により、アプリケーションサービス・コンピューターにアクセスする各々のクライアント・コンピューターをアプリケーションの論理識別子とクライアント・コンピューターの識別子を対応させてアドレス毎に識別し、パスワードで管理することができる。また、クライアント・コンピューターからアプリケーションサービス・コンピューターへのアクセスをHTTPプロトコル通信を用いてブリッジするため、ファイアウォールのセキュリティ設定を損なうことなく、安全に通信することができる。
本発明の第13の様態では、アプリケーションサービス・コンピューターとインターネットへのデータ通信を行うファイアウォールトンネル・コンピューターと、前記インターネットから前記ファイアウォールトンネル・コンピュータへのデータ通信を行い、前記インターネットからクライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターと、前記メッセージ・アドレス確認コンピューター内の第1の任意のデータベース、および前記ファイアウォールトンネル・コンピューター内の第2の任意のデータベースに対する、前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の前記通信の各コンピューターメッセージのインスタンスの検証手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第14の様態では、前記第1の任意のメッセージのデータベースは、前記クライアント・コンピューターに対する識別子に関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有するデータレコードで構成し、前記データレコードのアドレスは前記ファイアウォールトンネル・コンピュータから、前記第1の任意のデータベースのメッセージの中に定義されることを特徴とする。
本発明の第15の様態では、前記データレコードは、さらに前記アプリケーションサービス・コンピューターに対する識別子で構成することを特徴とする。
本発明の第16の様態では、前記第2の任意のメッセージのデータベースは、前記アプリケーションサービス・コンピューターに対する識別子を有するデータレコードで構成されることを特徴とする。
本発明の第17の様態では、前記第2の任意のメッセージのデータベースは、さらに前記クライアント・コンピューターに対する識別子を有することを特徴とする。
この構成により、クライアント・コンピューターの識別子と、ファイアウォールトンネル・コンピューターの識別子と、アプリケーションサービス・コンピューターの識別子をデータレコードとして持つデータベースで管理し、各メッセージのインスタンスを検証する手段を有するようにしたため、メッセージの有効性を検証することができる。
本発明の第18の様態では、アプリケーションサービス・コンピューター、およびインターネットとデータ通信を行う、ファイアウォールトンネル・コンピューターであって、前記ファイアウォールトンネル・コンピューターは、クライアント・コンピューターと前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットから前記ファイアウォールトンネル・コンピューターへのデータ通信と、前記インターネットから前記クライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターであって、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターと、前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第19の様態では、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターに対する識別子と関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有する任意のデータベースを有することを特徴とする。
本発明の第20の様態では、前記メッセージ・アドレス確認コンピューターと、前記ファイアウォールトンネル・コンピューターは、前記ファイアウォールトンネル・コンピューターが、前記メッセージ・アドレス確認コンピューターの中にある、前記任意のデータベースを変更することを可能にするようにプログラムされていることを特徴とする。
この構成により、本発明をプログラムしたインターネットセキュア通信装置を実現することができる。
本発明の第21の様態では、メッセージ・アドレス確認コンピューター内の第1の任意のメッセージ、およびファイアウォールトンネル・コンピューター内の第2の任意のメッセージに対する、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各コンピューターメッセージのインスタンスを有効にする手段を有し、前記ファイアウォールトンネル・コンピューターは、前記インターネットとのインタフェースを有し、前記メッセージ・アドレス確認コンピューターは、前記インターネットとのインタフェースを有し、前記インターネットの使用を通じて、前記クライアント・コンピューターから、前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第22の様態では、さらに、前記ファイアウォールトンネル・コンピューターによって、前記第1の任意のメッセージを定義する手段を有することを特徴とする。
この構成により、クライアント・コンピューターおよびアプリケーションサービス・コンピューターは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターを経由して、インターネットにアクセスすることができる。
本発明の第23の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記アプリケーションサービス・コンピューターの中のアプリケーション・プログラムは、前記メッセージ・アドレス確認コンピューターによって、HTTPメッセージ配送メカニズムが生成されるように、前記ブリッジ・コンピューターのプログラムを制御することを特徴とする。
本発明の第24の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記メッセージ・アドレス確認コンピューターは前記ブリッジ・コンピューターのソフトウェアのインスタンスを認証することを特徴とする。
本発明の第25の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記ブリッジ・コンピューターのプログラムは、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記一対のメッセージ・バッファは、メッセージを前記メッセージ・アドレス確認コンピューター内で実行されているブリッジサービスのプログラムと、前記アプリケーションサービス・コンピューター内で実行されているブリッジサービス・サーバーのプログラムの間を双方向に転送することを特徴とする。
この構成により、アプリケーションサービス・コンピューターのアプリケーションは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターがHTTPプロトコルで接続されるように制御し、ファイアウォールトンネル・コンピューターとアプリケーションサービス・コンピューターのアプリケーションは、HTTPプロトコルによりブリッジ接続し、ブリッジ・コンピューターのプログラムは、送受信メッセージ・バッファを定義し、メッセージ・バッファを用いてメッセージ・アドレス確認コンピューターとファイアウォールトンネル・コンピューターを双方向に転送することができる。
本発明の第26の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへ第1のHTTP接続および、前記アプリケーションサービス・コンピューターへ第2のHTTP接続を開始し、前記メッセージ処理層は、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターから前記第1の接続を経由する通信の第1のメッセージを検索し、前記メッセージ処理層は、前記第1のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第1のメッセージを前記第1の接続の受信メッセージ・バッファから前記第2の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第2の接続を経由して、前記アプリケーションサービス・コンピューターへ前記第1のメッセージを送信し、前記トランスポート層は、前記アプリケーションサービス・コンピューターから前記第2の接続を経由する通信の第2のメッセージを検索し、前記メッセージ処理層は前記第2のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第2のメッセージを前記第2の接続の受信メッセージ・バッファから前記第1の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第1の接続を経由して、前記メッセージ・アドレス確認コンピューターへ前記第1のメッセージを送信することを特徴とする。
本発明の第27の様態では、前記通信中のメッセージは、異なるアプリケーションに対して、各々異なるプロトコルが組み立てられていることを特徴とする。
本発明の第28の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへの多数のメッセージと、前記アプリケーションサービス・コンピューターへの多数のメッセージを多重化送信することを特徴とする。
本発明の第29の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムからの多数のメッセージ、および前記アプリケーションサービス・コンピューターからの多数のメッセージを多重化受信することを特徴する。
この構成により、ファイアウォールトンネル・コンピューターは、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間に、プロトコルごとに異なるメッセージを生成して1つのHTTP接続を開始し、異なるプロトコル・メッセージを1つのHTTP接続で多重化通信を行うことができる。
本発明の第30の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターと十分な多数のHTTP接続、および前記アプリケーションサービス・コンピューターと十分な多数のHTTP接続を生成し、全てのメッセージのレイテンシーは、予め定義されたレイテンシー値の範囲内で持続し、全てのメッセージのスループットは予め定義されたスループット値の範囲内で持続することを特徴とする。
この構成により、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間のHTTP接続に対して、メッセージのレイテンシーとスループットを保証することができる。
本発明の第31の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行することを特徴とする。
本発明の第32の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行し、前記メッセージ・アドレス確認コンピューターは、前記多数のファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと通信するブリッジサービス・プログラムを実行することを特徴とする。
この構成により、ファイアウォールトンネル・コンピューターおよびメッセージ・アドレス確認コンピューターの機能をプログラムで実現することができる。
本発明の第33の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して、送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファすることを特徴とする。
本発明の第34の様態では、前記ブリッジサービス・プログラムは、1つのブリッジコンピューター・プログラムから送信された多数のメッセージをバッファすることを特徴とする。
この構成により、ブリッジサービス・プログラムは多数のメッセージをバッファして多重化処理を行うことができる。
本発明の第35の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各ブリッジコンピューター・プログラムによって送信された多数のメッセージを受け入れることが可能であり、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファし、前記ブリッジサービス・プログラムは、各メッセージを同一数のアプリケーションメッセージキューに転送することを特徴とする。
この構成により、ブリッジコンピューター・プログラムとブリッジサービス・プログラムは、相互にメッセージを交換して通信し、アプリケーションごとにメッセージキューを保持して処理することができる。
図1は、本発明の実施の形態における、インターネットの使用を通じたメッセージ・インスタンスを接続するコンピューターネットワーク、メッセージ・アドレス確認コンピューターと、ファイアウォールトンネル・コンピューターの概略構成を示すブロック図である。
図2は、本発明の実施の形態における、図1のネットワークに従って登場するメッセージ管理に対するソフトウェアブリッジ・アーキテクチャを示すブロック図である。
図3は、本発明の実施の形態における、第1の情報処理プラットフォーム(IPP)と第2の情報処理プラットフォーム(IPP)間の相互メッセージ詳細を示すブロック図である。
図4は、従来のネットワークシステムおよび方法の概略構成を示すブロック図である。
図2は、本発明の実施の形態における、図1のネットワークに従って登場するメッセージ管理に対するソフトウェアブリッジ・アーキテクチャを示すブロック図である。
図3は、本発明の実施の形態における、第1の情報処理プラットフォーム(IPP)と第2の情報処理プラットフォーム(IPP)間の相互メッセージ詳細を示すブロック図である。
図4は、従来のネットワークシステムおよび方法の概略構成を示すブロック図である。
以下、本発明の実施の形態のインターネットセキュア通信装置、および方法について図面を用いて説明する。
発明の概略としては、(インターネットに接続する正当なユーザーとして、メッセージ・アドレス確認コンピューターに認識されるブリッジコンピューターが走行する)ファイアウォールトンネル・コンピューターは、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間のファイアウォールで保護された通常のセキュア通信を行うインターネットと(あるいは、比喩的にいえばトンネルを通過して)インタフェースを取る。メッセージ・アドレス確認コンピューターは、正当なインターネット接続ユーザーとしてクライアント・コンピューターとファイアウォールトンネル・コンピューターに認識されたもののみ、インターネットに接続する。クライアント・コンピューター、ファイアウォールトンネル・コンピューター、およびメッセージ・アドレス確認コンピューターは、グループ内の職員に高く信頼された企業内の機能グループに所属することが望ましい。そのようなグループの例としては、ある企業内のオペレーション・管理・保守サービス(OA&M)グループとして任命されたコンピューターグループが挙げられる。
任意のメッセージ・データは、メッセージ・アドレス確認コンピューター内のデータベースとしてよりも、ファイアウォールトンネル・コンピューター内のデータベースとして確立される。クライアント・コンピューターからアプリケーションサービス・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、その後、メッセージ・アドレス確認コンピューターのデータベース(第1の任意のデータベース)に対する確認プロセス(第1の任意のメッセージの確認)を経て、アプリケーションサービス・コンピューターのファイアウォールトンネル・コンピューターのデータベース(第2の任意のデータベース)に対する確認プロセス(第2の任意のメッセージの確認)を通過して、そこからアプリケーションサービス・コンピューターに到達する。アプリケーションサービス・コンピューターからクライアント・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、アプリケーションサービス・コンピューターのデータベースに対する確認プロセスを経て、メッセージ・アドレス確認コンピューターのデータベースに対する確認プロセスと、クライアント・コンピューターのファイアウォールトンネル・コンピューターのデータベースに対する確認プロセスを通過して、クライアント・コンピューターに到達する。
OA&Mセンターのメッセージ・アドレス確認コンピューターのデータベースは基本的に、ファイアウォールトンネル・コンピューターのシステム管理(第1の所有者)者の管理下にある。これらのいかなるシステム管理者も、かれらのファイアウォールトンネル・コンピューターからOA&Mセンターへログインし、(メッセージ・アドレス確認コンピューター内のデータベースに、)OA&Mセンター内のメッセージ・アドレス確認コンピューターと、アプリケーションサービス・コンピューター、ファイアウォールトンネル・コンピューター、およびシステム管理者(第2の所有者)のLAN内にあるファイアウォールトンネル・コンピューターとの間をブリッジする任意のメッセージを生成する。このことは、OA&Mセンター内のメッセージ・アドレス確認コンピューターからアプリケーションサービス・コンピューターへのアクセス経路を提供する。接続性が確立された後、OA&Mクライアント・コンピューターは、システム管理者によって作られた、OA&Mセンター内のメッセージ・アドレス確認コンピューターから、ファイアウォールトンネル・コンピューターを経由して、アプリケーションサービス・コンピューターに続く″トンネル″を用いてアプリケーションサービス・コンピューターにアクセスする。システム管理者は又、ファイアウォールトンネル・コンピューター内に、OA&Mセンター内のメッセージ・アドレス確認コンピューターからの任意のメッセージを許可する。クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各々のメッセージ・インスタンスは、インターネット接続可能なブリッジ機能を有効にするコンピューター(OA&Mセンター内のファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター)の任意のメッセージからの確認を受ける。
図1はインターネット104の使用を通じたメッセージ・インスタンスを接続するコンピューターネットワーク100、メッセージ・アドレス確認コンピューター108と、ファイアウォールトンネル・コンピューター112の概略構成を示すブロック図である。クライアント・コンピューター116と、アプリケーションサービス・コンピューター120は、インターネット104からのメッセージを交換する。保護されたファイアウォール124は、(LAN1とLAN2が相互接続された)ローカルエリアネットワーク128をインターネット104への通常のアクセスから保護する。クライアント・コンピューター132は、(1つの実装として、LAN136は企業イントラネット136である)LAN136を経由して、メッセージ・アドレス確認コンピューター108とインターネット104に接続している。ファイアウォール148は、第2のクライアント・コンピューター132、メッセージ・アドレス確認コンピューター108,およびLAN136をインターネット104への通常のアクセスから保護する。アプリケーションサービス・コンピューター120は、アプリケーション160とアプリケーション158を実行する。アプリケーションサービス・コンピューター120はまた、ブリッジサービス・サーバー152を実行する。ブリッジサービス・サーバー152は、ファイアウォールトンネル・コンピューター112(および、メッセージ・アドレス確認コンピューター108)を経由して、クライアント(例えば、クライアント・コンピューター116)から受信したメッセージ・インスタンスに応答して、メッセージ・インスタンスにファイアウォールトンネル・コンピューター112への経路を指示する。
メッセージ・アドレス確認コンピューター108は、むしろインターネット104の正当なユーザーとして特定のクライアント(例えばクライアント116)とそのファイアウォールトンネル・コンピューター(例えばファイアウォールトンネル・コンピューター112)を認識するためだけに、HTTPS(HTTPセキュアプロトコル)を経由してインターネット104に接続する。これらのHTTPセキュアプロトコルのインターネット104への″トンネル″アクセスは、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144に象徴的に図示される。関連して、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144は、それらに対応するファイアウォールを物理的にバイパスし、この明細書に記述されているように、メッセージごとのアドレスの任意の正当な方法論によって、セキュリティをデータ的に支持する。HTTPセキュアプロトコルの代わりに、別の実装では、ネットワークの所有者の特定の要望に対して、暗号のアプローチが適切なセキュリティを提供する。1つの実装では、個別にポートの設定が可能なファイアウォールの1つのポートは、HTTPプロトコル接続のために空けられ、メッセージ・アドレス確認コンピューター108および/又は、ファイアウォールトンネル・コンピューター112は、HTTPプロトコルに設定されたポートに単一の接続を提供する。
ファイアウォールトンネル・コンピューター112のシステム管理者114は、必要な認証とプライバシーを満たしてメッセージ・アドレス確認コンピューター108にログインした後、メッセージ・アドレス確認コンピューター108とアプリケーションサービス・コンピューター120の間に″トンネル″を生成する。システム管理者は基本的に、メッセージ・アドレス確認コンピューター108への接続の全てを制御し、行動の自由に於いて、物理的あるいはデータ的な接続を終端する。接続はファイアウォール124のいかなるポートを空けることを要求しないため、企業ネットワーク128は、外部のアタッカーから保護される。アプリケーションサービス・コンピューター120と、メッセージ・アドレス確認コンピューター108との間に一度トンネルか確立されると、メッセージ・アドレス確認コンピューター108のクライアント(クライアント・コンピューター116や、クライアント・コンピューター132などのOA&Mクライアント)は、メッセージ・アドレス確認コンピューター108と(ファイアウォールトンネル・コンピューター112によって許可された)ファイアウォールトンネル140を経由して、アプリケーションサービス・コンピューター120にアクセスする。
システム全体のデザインは、HTTP上に走行するキューメカニズムがベースとなる。キュー・パラダイムは、createQueue(),removeQueue(),sendSynch(),sendAsynch()メッセージといったシンプルなプリミティブを提供する。″タイムアウトにより引き抜く″と″最大数のメッセージを回復する″は、クライアントにメッセージ・インスタンスを突き戻すために使用される。(SessionInBox,MaxNumberOfMsgs,TimeOut)の優先属性形式の中のプリミティブなgetMessagesコマンドは、アプリケーション・キューにアドレスされたメッセージを回復するために使用される。1つ又は(最大限の)複数のメッセージに含まれる返信メッセージは、適切なキュー(とそれらのキューで処理要求を待つアプリケーション)に発送される。
各メッセージは、メッセージ・ボディとメッセージ・ヘッダを運ぶ封筒を含んでいる。ファイアウォールトンネル・コンピューター112で実行されるブリッジ・ソフトウェアは、一つの実装ではスタンドアロン・プログラムとして走行する。別の実装では、ブリッジ・ソフトウェアは、ブラウザ内の署名されたアプレットとして走行する。1つの実装では、アプレットバージョンのブリッジ・ソフトウェアは、インターネット・エクスプローラー内で実行し、マイクロソフトJVMあるいはサンJavaプラグインと一緒に機能する。
メッセージ・アドレス確認コンピューター108のデータベースの任意の構造は、最小で、各々のデータレコードがファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいは、クライアント・コンピューター132)を任意の対のアドレスとして区別する1セットのデータレコードで構成される。もう1つの実装では、ファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいはクライアント・コンピューター132)のアドレスの任意の識別子は、アプリケーションサービス・コンピューター120の任意のアドレスによって3つ揃いに拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は、158で任意の識別子に、さらに拡張される。
ファイアウォールトンネル・コンピューター112のデータベースの任意の構造は、最小で、各々のデータレコードがアプリケーションサービス・コンピューター120の任意のアドレスとして区別する1セットのデータレコードで構成される。別の実装では、アプリケーションサービス・コンピューター120の任意の識別子は、クライアント・コンピューター116(あるいは132)のアドレスの任意の識別子によって拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は158の任意の識別子によって、さらに拡張される。
アプリケーションサービス・コンピューター120上のブリッジサービス・サーバー152は、オプションでパスワード保護、任意のアドレス識別子確認、又は特有のアプリケーション(158、160)が要求するようなものを実行する。
図2は、図1のネットワークに従って登場するメッセージ管理に対するソフトウェアブリッジ・アーキテクチャ200を示すものである。トンネル(140,144)の両側のブリッジ・サービス204,208は、インターネット104への適切な″トンネル″を通って送信する前の、整列した、あるいは整列していない情報処理プラットフォーム(IPP:Information Processing Platform)のメッセージを重要視する。整列した、あるいは整列していない他に、ブリッジ・サービス204と208は、同期メッセージと非同期メッセージを送信する能力と、メッセージを受信する能力を提供する。ブリッジ・ソフトウェア214は、メッセージ・アドレス確認のソフトウェアを含む。ブリッジ・サービス204とブリッジ・ソフトウェア214の間、およびブリッジ・サービス208とブリッジ・ソフトウェア214の間のHTTP(S)通信は、HTTP(S)の中でSSL(Secure Socket Layer)又はTLS(Transport Layer Security)を用いることによって守られる。
さらに詳細に説明する。ブリッジ・サービス204と208はJavaサーブレット技術によって、好んで実装される。ブリッジ・サービス204と208は、(ファイアウォールトンネル・コンピューター112で実行されるインスタンスに対して)ブリッジ・ソフトウェア214にログイン、リモートキューの生成、そしてメッセージの送受信を許可する。各ログインは適切なサービスのセッションを生成し、キューはメッセージ配送に対するそのセッションと連携する。ブリッジ・サービス204と208と、ブリッジ・ソフトウェア214は、ドメイン間の転送メッセージに対するブリッジ・キューとIPPキューの間のマッピングを含む。メッセージは、別のブリッジ・サービス(例えばドメインBのブリッジ・サーバー208)に送信するために、ブリッジ・サービス(例えば、ドメインAのブリッジ・サーバー204)内にキューイングされる。
1つの実装において、ブリッジ・ソフトウェア214は2つの層を持つ。第1の層は各々のブリッジ・サービス(204、および/又は208)とメッセージを交換するHTTP接続を提供するトランスポート層である。第2の層は、各々のブリッジ・サービス204又は、208にメッセージ・インスタンス配送するメッセージ処理層である。1つの実装では、トランスポート層は以下のようなインタフェースを提供する。
−Send(非同期送信)
−SendAndWait(同期送信)
−Receive(メッセージキューの受信)
−ReceiveAndReply(コールバック関数のためのメッセージ受信)
これらのインタフェースコマンド呼び出しは、メッセージ処理層および/又は、ブリッジ・サービス204および/又は208を経由してアクセスすることができるアプリケーションの間の相互作用に対して、柔軟性を提供する。
(例えばファイアウォールトンネル・コンピューター112で実行されている)ブリッジ・ソフトウェア214は、ブリッジ・サービス204(例えば、メッセージ・アドレス確認コンピューター108内で走行するブリッジ・サービス109)とブリッジ・サービス208(例えば、アプリケーションサービス・コンピューター120内で走行するブリッジサービス・サーバー152)へのHTTP接続を開始する。接続の初期化フェーズは、メッセージ・アドレス確認コンピューター108によるブリッジ・ソフトウェア接続のインスタンスの認証を含む。ブリッジ・ソフトウェア214は、ユーザ(例えばシステム管理者)によって、あるいはアプリケーション・プログラムによって、メッセージ・アドレス確認コンピューター108とアプリケーション・サーバーとの間を直接接続するトンネルを生成するように実行される。ブリッジ・ソフトウェア214は、ブリッジ・サービス204へのHTTP接続(第1のHTTP接続)、および/又はブリッジ・サービス208へのHTTP接続(第2のHTTP接続)に対して、送信メッセージ・バッファと受信メッセージ・バッファのペアを定義する。ブリッジ・ソフトウェア214のトランスポート層は、ブリッジ・サービス204、および/又は208からメッセージを引き出す。ブリッジ・ソフトウェア214のトランスポート層は、また、ブリッジ・サービス204、および/又は208にメッセージを送信する。ブリッジ・ソフトウェア214のトランスポート層は、また、必要な時にブリッジ・サービス204、および/又は208との単一のインタラクションの中で複数のメッセージの送受信を行う。ブリッジ・ソフトウェア214のトランスポート層は、メッセージの順番を保ちながら、メッセージのレイテンシーを減らし、メッセージのスループットを増加させるためにブリッジ・サービス204、および/又は208との複数の接続を生成する。メッセージ処理層は、ブリッジ・サービス204、および/又は208との各々の接続に対して、送信メッセージ・バッファと受信メッセージ・バッファを生成する。ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス204に関連付けられた送信メッセージから、ブリッジ・サービス208に関連付けられた受信メッセージへ、メッセージを移動する。また、ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス208に関連付けられた送信メッセージから、ブリッジ・サービス204に関連付けられた受信メッセージへ、メッセージを移動する。メッセージの送信に対して、適切な許可チェックを実行した後、各々のメッセージの移動が行われる。メッセージの交換は、通常各々異なるアプリケーションに対して異なるプロトコルに従って構成される。
ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア214によって許可された各々の接続に対して、送信メッセージ・バッファを生成する。ブリッジ・サービス204、および/又は208は、送信メッセージ・バッファに関連付けられた特定のブリッジ・ソフトウェアのインスタンスに結びつけられたメッセージをバッファする。ブリッジ・ソフトウェア214のトランスポート層は、関連する送信バッファからメッセージを引き出す。ブリッジ・サービス204、および/又は208は、必要に応じてブリッジ・ソフトウェア・プログラムによって引き出し要求を開始された、メッセージを同時に処理する。ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア・プログラムによって、適切なローカル、あるいはリモートのアプリケーション・キュー(図3の相互メッセージの詳細300を参照)に送信されたメッセージを転送する。
1つの実装では、ブリッジ・サービス・ソフトウェア(サーバー・ソフトウェア204又は208)は、アプリケーション・サーバーが走行している(この例では、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューターはCPUと可能ならばディスクを共有して、論理的に分離されたものとして効果的に構成されたものであるかもしれない)ホスト・コンピューター上で実行される。しかしながら、むしろ、ファイアウォールトンネル・ソフトウェアは、サーバー120のような分離されたアプリケーション・サーバーにアクセスする1つのホストに置かれる。
システム管理者114は、インターネット104を経由して、OA&Mセンターのメッセージ・アドレス確認コンピューター108上のブリッジ・ソフトウェア214にアクセスする。よりよい実装では、OA&Mセンターのメッセージ・アドレス確認コンピューター108は、システム管理者114をユーザ名とパスワードによって認証する。
ここで論じたネットワーキング方法の利点は、多岐に渡る。アプリケーション・サーバーはNAT/ファイアウォールの後ろに置くことができ、アプリケーション・サーバーへの接続性を実現するために、ネットワーク管理者からのいかなる設定も必要としない。NAT/ファイアウォールの内側からインターネット104への全ての接続が空けられており、″穴″は、特別にNAT/ファイアウォールを通して″穴を空けられた″ものではない。このため、メッセージングはNATの特徴(例えば、対称あるいは、双方向の特徴)に依存しない。システム管理者114は、いつでもブリッジを止めることができる。メッセージのトラフィックはSSL又はTLSによって守られる。そして、クライアントは企業イントラネット136又は、インターネット104のいずれにも置くことができる。ブリッジサービス・サーバー152は、アプリケーション・サーバー(例えばサーバー120)にアクセスできる限り、顧客ネットワークのどこにでも走ることができる。例えば、アプリケーション・サーバーと同じ場所に置かれたシステム管理者のマシン上でも走ることができ、インターネット104からアクセスすることができない別のマシンでも走ることができ、インターネット104からアクセスすることができる別のマシンでも走ることができる。(ブリッジ・サービスがシステム管理者のマシンで実行される時、ブリッジ・サービスは、メッセージ・アドレス確認コンピューター108と、アプリケーション・サーバーとの間のブリッジを提供することに対して排他的に開始される。ブリッジサービス・サーバーが、インターネット104からアクセス可能なマシン上で走行する時、システム管理者114は、インターネット104からファイアウォールトンネル・コンピューターに対しブリッジサービス・サーバーにアクセスすることができるように、対応するファイアウォールを設定する。このような特徴は、システム管理者114に、ブラウザの使用により、インターネット104上のどこからもトンネルを確立することを可能にする。)
革新の別の利点は、保護された通信プロトコルが、インターネットとアプリケーション・サービス・コンピューターのネットワークの間にインストールされたファイアウォール/NAT装置の再構成を必要としないコンピューター・システム・インフラストラクチャ内に、外へ向かう経路を許可できることである。この点に関して、ファイアウォールトンネル・コンピューター112が、ファイアウォール124により外部へのHTTPプロトコル通信が継続することを可能にするようにファイアウォールのポート接続を設定することで、インターネット104に接続する時、アプリケーション間の双方向のマルチプロトコルのメッセージング(例えば、クライアント・コンピューターとアプリケーション・サービスの間のメッセージング)を許可するために、内部への通信に対する特定のファイアウォールのポートの再設定を行う必要がない。
1つの実装では、ブリッジ・ソフトウェアは、ウェブ・ブラウザ内のグラフィカル・ユーザ・インタフェースを通して、システム管理者114の制御下にある。別の実装では、ここで論じたようなHTTP/HTTPSのブリッジ・ソフトウェアを経由して、インターネットに保護されたアクセスを行うように設定された要望のアプリケーション・プログラムがあるコンピューターのアクセスは、アプリケーション・プログラムの制御下にある。どちらの場合も、アプリケーションサービス・コンピューターが走行するネットワーク上のファイアウォール/NAT装置の再設定は必要でない。
1つの実装では、アプリケーション・サービス・コンピューター120は、LAN128には接続されておらず、それゆえにファイアウォールトンネル・コンピューター112とのポイント・ツー・ポイント経由を除いて、インターネット104へのアクセスを行わない。また別の実装では、アプリケーション・サービス・コンピューター120はLAN128に接続されておらず、HTTP/HTTP(S)上で、双方向のメッセージングを用いて、インターネット104に直接アクセスし、ここで論じたような、HTTP/HTTP(S)上の暗黙に保護された双方向のメッセージングを提供するブリッジ・ソフトウェアを実行する。
1つの実装では、これまで論じてきた方法は、複数の企業が、インターネットの使用を通じてアプリケーション・サービス・コンピューターにアクセスしているクライアント・コンピューターから、ネットワーク通信を可能にするサービスに加入することを可能にし、そのインターネットでは、アプリケーション・サービス・コンピューターは、ファイアウォールのようなセキュリティ機器によって、一般のインターネット・アクセスから保護されており、メッセージ・アドレス確認コンピューターは、トンネルの保守を可能にするサービスとして利用できる。この例では、メッセージ・アドレス確認コンピューターの所有者は、アプリケーション・サービス・コンピューターおよび対応するファイアウォールトンネル・コンピューターの所有者に同意する。同意では、例えば、アプリケーションの加入者の任意のメッセージ識別子を変更しないという条件があり、このため、アプリケーションの所有者のセキュリティの権利は保護される。
図3において、第1の情報処理プラットフォーム(IPP)312と第2の情報処理プラットフォーム(IPP)302の間の相互メッセージ詳細300は、ファイアウォールトンネルを可能にするネットワークリンクをさらに拡張するアプリケーション間の、マルチプロトコル通信をサポートするメッセージ指向ミドルウェアを示している。この点において、情報処理プラットフォーム312と302は、ともにアプリケーション・サービス・コンピューター120に類似しており、コンピューター・ネットワーク100に対して論じてきた方法、あるいは地形に従った通信の中でメッセージを交換する。個別メッセージは、IPP312の中の多重化装置304の中で多重化され、IPP302の中で、復号されてアプリケーション・キュー308に配送される。各々のアプリケーション(例として、相互メッセージ詳細300に示す、APP_11、APP_1N、APP_21、APP_2N)は、アプリケーションを実行するIPPの復号装置からメッセージを受信するため、それぞれ自分のアプリケーション・キュー(例の中で、IPP302の中のAPP_11に特に関連付けられたキュー308)を持つ。アプリケーション310は、多重化装置304内で、メッセージを優先的に多重化する特定のメッセージフォーマット(プロトコル)を定義する。そのような専用の受信キューは、アプリケーション・サービス・コンピューターのネットワーク100に、同期・非同期にメッセージを配送し、アプリケーション開発者に対して、広範囲で柔軟性のある通信ミドルウェアを提供する。専用のキューはまた、同じ情報処理プラットフォーム(の″スレッド″)の中で走行するアプリケーションの間、および/また、異なる情報処理プラットフォーム(の″プロセス″)の中で走行するアプリケーションの間で、柔軟なメッセージ交換の基礎を提供する。
このような発明の実施の形態によれば、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューター間、およびファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター間、メッセージ・アドレス確認コンピューターとクライアント・コンピューター間にブリッジを行い、ファイアウォールとトンネルしてHTTP(S)プロトコルにて接続し、メッセージ・アドレス確認コンピューターは、メッセージのアドレスからインターネットの正当なユーザであるもののみに、ファイアウォールトンネル・コンピューターへの経路を指示することにより、セキュリティを確保し、ファイアウォールに特別な設定を行うことなくアプリケーションに通信のアクセス経路を提供することが可能となる。また、メッセージのキューを設けてアプリケーションごとにキューを設け、情報処理プラットフォームにて多重化通信を行うようにするため、効率的に通信を行うことができる。また、アプリケーションのプロトコル通信をブリッジするため、アプリケーションに特別な仕組みは不要となる。
発明の説明は本来単に典型的なものに過ぎない。従って、発明の要旨からそれるものでないバリエーションは、発明の範囲内にあるものと意図する。そのようなバリエーションは、発明の精神と範囲に背くものであると注意する。
発明の概略としては、(インターネットに接続する正当なユーザーとして、メッセージ・アドレス確認コンピューターに認識されるブリッジコンピューターが走行する)ファイアウォールトンネル・コンピューターは、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間のファイアウォールで保護された通常のセキュア通信を行うインターネットと(あるいは、比喩的にいえばトンネルを通過して)インタフェースを取る。メッセージ・アドレス確認コンピューターは、正当なインターネット接続ユーザーとしてクライアント・コンピューターとファイアウォールトンネル・コンピューターに認識されたもののみ、インターネットに接続する。クライアント・コンピューター、ファイアウォールトンネル・コンピューター、およびメッセージ・アドレス確認コンピューターは、グループ内の職員に高く信頼された企業内の機能グループに所属することが望ましい。そのようなグループの例としては、ある企業内のオペレーション・管理・保守サービス(OA&M)グループとして任命されたコンピューターグループが挙げられる。
任意のメッセージ・データは、メッセージ・アドレス確認コンピューター内のデータベースとしてよりも、ファイアウォールトンネル・コンピューター内のデータベースとして確立される。クライアント・コンピューターからアプリケーションサービス・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、その後、メッセージ・アドレス確認コンピューターのデータベース(第1の任意のデータベース)に対する確認プロセス(第1の任意のメッセージの確認)を経て、アプリケーションサービス・コンピューターのファイアウォールトンネル・コンピューターのデータベース(第2の任意のデータベース)に対する確認プロセス(第2の任意のメッセージの確認)を通過して、そこからアプリケーションサービス・コンピューターに到達する。アプリケーションサービス・コンピューターからクライアント・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、アプリケーションサービス・コンピューターのデータベースに対する確認プロセスを経て、メッセージ・アドレス確認コンピューターのデータベースに対する確認プロセスと、クライアント・コンピューターのファイアウォールトンネル・コンピューターのデータベースに対する確認プロセスを通過して、クライアント・コンピューターに到達する。
OA&Mセンターのメッセージ・アドレス確認コンピューターのデータベースは基本的に、ファイアウォールトンネル・コンピューターのシステム管理(第1の所有者)者の管理下にある。これらのいかなるシステム管理者も、かれらのファイアウォールトンネル・コンピューターからOA&Mセンターへログインし、(メッセージ・アドレス確認コンピューター内のデータベースに、)OA&Mセンター内のメッセージ・アドレス確認コンピューターと、アプリケーションサービス・コンピューター、ファイアウォールトンネル・コンピューター、およびシステム管理者(第2の所有者)のLAN内にあるファイアウォールトンネル・コンピューターとの間をブリッジする任意のメッセージを生成する。このことは、OA&Mセンター内のメッセージ・アドレス確認コンピューターからアプリケーションサービス・コンピューターへのアクセス経路を提供する。接続性が確立された後、OA&Mクライアント・コンピューターは、システム管理者によって作られた、OA&Mセンター内のメッセージ・アドレス確認コンピューターから、ファイアウォールトンネル・コンピューターを経由して、アプリケーションサービス・コンピューターに続く″トンネル″を用いてアプリケーションサービス・コンピューターにアクセスする。システム管理者は又、ファイアウォールトンネル・コンピューター内に、OA&Mセンター内のメッセージ・アドレス確認コンピューターからの任意のメッセージを許可する。クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各々のメッセージ・インスタンスは、インターネット接続可能なブリッジ機能を有効にするコンピューター(OA&Mセンター内のファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター)の任意のメッセージからの確認を受ける。
図1はインターネット104の使用を通じたメッセージ・インスタンスを接続するコンピューターネットワーク100、メッセージ・アドレス確認コンピューター108と、ファイアウォールトンネル・コンピューター112の概略構成を示すブロック図である。クライアント・コンピューター116と、アプリケーションサービス・コンピューター120は、インターネット104からのメッセージを交換する。保護されたファイアウォール124は、(LAN1とLAN2が相互接続された)ローカルエリアネットワーク128をインターネット104への通常のアクセスから保護する。クライアント・コンピューター132は、(1つの実装として、LAN136は企業イントラネット136である)LAN136を経由して、メッセージ・アドレス確認コンピューター108とインターネット104に接続している。ファイアウォール148は、第2のクライアント・コンピューター132、メッセージ・アドレス確認コンピューター108,およびLAN136をインターネット104への通常のアクセスから保護する。アプリケーションサービス・コンピューター120は、アプリケーション160とアプリケーション158を実行する。アプリケーションサービス・コンピューター120はまた、ブリッジサービス・サーバー152を実行する。ブリッジサービス・サーバー152は、ファイアウォールトンネル・コンピューター112(および、メッセージ・アドレス確認コンピューター108)を経由して、クライアント(例えば、クライアント・コンピューター116)から受信したメッセージ・インスタンスに応答して、メッセージ・インスタンスにファイアウォールトンネル・コンピューター112への経路を指示する。
メッセージ・アドレス確認コンピューター108は、むしろインターネット104の正当なユーザーとして特定のクライアント(例えばクライアント116)とそのファイアウォールトンネル・コンピューター(例えばファイアウォールトンネル・コンピューター112)を認識するためだけに、HTTPS(HTTPセキュアプロトコル)を経由してインターネット104に接続する。これらのHTTPセキュアプロトコルのインターネット104への″トンネル″アクセスは、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144に象徴的に図示される。関連して、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144は、それらに対応するファイアウォールを物理的にバイパスし、この明細書に記述されているように、メッセージごとのアドレスの任意の正当な方法論によって、セキュリティをデータ的に支持する。HTTPセキュアプロトコルの代わりに、別の実装では、ネットワークの所有者の特定の要望に対して、暗号のアプローチが適切なセキュリティを提供する。1つの実装では、個別にポートの設定が可能なファイアウォールの1つのポートは、HTTPプロトコル接続のために空けられ、メッセージ・アドレス確認コンピューター108および/又は、ファイアウォールトンネル・コンピューター112は、HTTPプロトコルに設定されたポートに単一の接続を提供する。
ファイアウォールトンネル・コンピューター112のシステム管理者114は、必要な認証とプライバシーを満たしてメッセージ・アドレス確認コンピューター108にログインした後、メッセージ・アドレス確認コンピューター108とアプリケーションサービス・コンピューター120の間に″トンネル″を生成する。システム管理者は基本的に、メッセージ・アドレス確認コンピューター108への接続の全てを制御し、行動の自由に於いて、物理的あるいはデータ的な接続を終端する。接続はファイアウォール124のいかなるポートを空けることを要求しないため、企業ネットワーク128は、外部のアタッカーから保護される。アプリケーションサービス・コンピューター120と、メッセージ・アドレス確認コンピューター108との間に一度トンネルか確立されると、メッセージ・アドレス確認コンピューター108のクライアント(クライアント・コンピューター116や、クライアント・コンピューター132などのOA&Mクライアント)は、メッセージ・アドレス確認コンピューター108と(ファイアウォールトンネル・コンピューター112によって許可された)ファイアウォールトンネル140を経由して、アプリケーションサービス・コンピューター120にアクセスする。
システム全体のデザインは、HTTP上に走行するキューメカニズムがベースとなる。キュー・パラダイムは、createQueue(),removeQueue(),sendSynch(),sendAsynch()メッセージといったシンプルなプリミティブを提供する。″タイムアウトにより引き抜く″と″最大数のメッセージを回復する″は、クライアントにメッセージ・インスタンスを突き戻すために使用される。(SessionInBox,MaxNumberOfMsgs,TimeOut)の優先属性形式の中のプリミティブなgetMessagesコマンドは、アプリケーション・キューにアドレスされたメッセージを回復するために使用される。1つ又は(最大限の)複数のメッセージに含まれる返信メッセージは、適切なキュー(とそれらのキューで処理要求を待つアプリケーション)に発送される。
各メッセージは、メッセージ・ボディとメッセージ・ヘッダを運ぶ封筒を含んでいる。ファイアウォールトンネル・コンピューター112で実行されるブリッジ・ソフトウェアは、一つの実装ではスタンドアロン・プログラムとして走行する。別の実装では、ブリッジ・ソフトウェアは、ブラウザ内の署名されたアプレットとして走行する。1つの実装では、アプレットバージョンのブリッジ・ソフトウェアは、インターネット・エクスプローラー内で実行し、マイクロソフトJVMあるいはサンJavaプラグインと一緒に機能する。
メッセージ・アドレス確認コンピューター108のデータベースの任意の構造は、最小で、各々のデータレコードがファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいは、クライアント・コンピューター132)を任意の対のアドレスとして区別する1セットのデータレコードで構成される。もう1つの実装では、ファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいはクライアント・コンピューター132)のアドレスの任意の識別子は、アプリケーションサービス・コンピューター120の任意のアドレスによって3つ揃いに拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は、158で任意の識別子に、さらに拡張される。
ファイアウォールトンネル・コンピューター112のデータベースの任意の構造は、最小で、各々のデータレコードがアプリケーションサービス・コンピューター120の任意のアドレスとして区別する1セットのデータレコードで構成される。別の実装では、アプリケーションサービス・コンピューター120の任意の識別子は、クライアント・コンピューター116(あるいは132)のアドレスの任意の識別子によって拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は158の任意の識別子によって、さらに拡張される。
アプリケーションサービス・コンピューター120上のブリッジサービス・サーバー152は、オプションでパスワード保護、任意のアドレス識別子確認、又は特有のアプリケーション(158、160)が要求するようなものを実行する。
図2は、図1のネットワークに従って登場するメッセージ管理に対するソフトウェアブリッジ・アーキテクチャ200を示すものである。トンネル(140,144)の両側のブリッジ・サービス204,208は、インターネット104への適切な″トンネル″を通って送信する前の、整列した、あるいは整列していない情報処理プラットフォーム(IPP:Information Processing Platform)のメッセージを重要視する。整列した、あるいは整列していない他に、ブリッジ・サービス204と208は、同期メッセージと非同期メッセージを送信する能力と、メッセージを受信する能力を提供する。ブリッジ・ソフトウェア214は、メッセージ・アドレス確認のソフトウェアを含む。ブリッジ・サービス204とブリッジ・ソフトウェア214の間、およびブリッジ・サービス208とブリッジ・ソフトウェア214の間のHTTP(S)通信は、HTTP(S)の中でSSL(Secure Socket Layer)又はTLS(Transport Layer Security)を用いることによって守られる。
さらに詳細に説明する。ブリッジ・サービス204と208はJavaサーブレット技術によって、好んで実装される。ブリッジ・サービス204と208は、(ファイアウォールトンネル・コンピューター112で実行されるインスタンスに対して)ブリッジ・ソフトウェア214にログイン、リモートキューの生成、そしてメッセージの送受信を許可する。各ログインは適切なサービスのセッションを生成し、キューはメッセージ配送に対するそのセッションと連携する。ブリッジ・サービス204と208と、ブリッジ・ソフトウェア214は、ドメイン間の転送メッセージに対するブリッジ・キューとIPPキューの間のマッピングを含む。メッセージは、別のブリッジ・サービス(例えばドメインBのブリッジ・サーバー208)に送信するために、ブリッジ・サービス(例えば、ドメインAのブリッジ・サーバー204)内にキューイングされる。
1つの実装において、ブリッジ・ソフトウェア214は2つの層を持つ。第1の層は各々のブリッジ・サービス(204、および/又は208)とメッセージを交換するHTTP接続を提供するトランスポート層である。第2の層は、各々のブリッジ・サービス204又は、208にメッセージ・インスタンス配送するメッセージ処理層である。1つの実装では、トランスポート層は以下のようなインタフェースを提供する。
−Send(非同期送信)
−SendAndWait(同期送信)
−Receive(メッセージキューの受信)
−ReceiveAndReply(コールバック関数のためのメッセージ受信)
これらのインタフェースコマンド呼び出しは、メッセージ処理層および/又は、ブリッジ・サービス204および/又は208を経由してアクセスすることができるアプリケーションの間の相互作用に対して、柔軟性を提供する。
(例えばファイアウォールトンネル・コンピューター112で実行されている)ブリッジ・ソフトウェア214は、ブリッジ・サービス204(例えば、メッセージ・アドレス確認コンピューター108内で走行するブリッジ・サービス109)とブリッジ・サービス208(例えば、アプリケーションサービス・コンピューター120内で走行するブリッジサービス・サーバー152)へのHTTP接続を開始する。接続の初期化フェーズは、メッセージ・アドレス確認コンピューター108によるブリッジ・ソフトウェア接続のインスタンスの認証を含む。ブリッジ・ソフトウェア214は、ユーザ(例えばシステム管理者)によって、あるいはアプリケーション・プログラムによって、メッセージ・アドレス確認コンピューター108とアプリケーション・サーバーとの間を直接接続するトンネルを生成するように実行される。ブリッジ・ソフトウェア214は、ブリッジ・サービス204へのHTTP接続(第1のHTTP接続)、および/又はブリッジ・サービス208へのHTTP接続(第2のHTTP接続)に対して、送信メッセージ・バッファと受信メッセージ・バッファのペアを定義する。ブリッジ・ソフトウェア214のトランスポート層は、ブリッジ・サービス204、および/又は208からメッセージを引き出す。ブリッジ・ソフトウェア214のトランスポート層は、また、ブリッジ・サービス204、および/又は208にメッセージを送信する。ブリッジ・ソフトウェア214のトランスポート層は、また、必要な時にブリッジ・サービス204、および/又は208との単一のインタラクションの中で複数のメッセージの送受信を行う。ブリッジ・ソフトウェア214のトランスポート層は、メッセージの順番を保ちながら、メッセージのレイテンシーを減らし、メッセージのスループットを増加させるためにブリッジ・サービス204、および/又は208との複数の接続を生成する。メッセージ処理層は、ブリッジ・サービス204、および/又は208との各々の接続に対して、送信メッセージ・バッファと受信メッセージ・バッファを生成する。ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス204に関連付けられた送信メッセージから、ブリッジ・サービス208に関連付けられた受信メッセージへ、メッセージを移動する。また、ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス208に関連付けられた送信メッセージから、ブリッジ・サービス204に関連付けられた受信メッセージへ、メッセージを移動する。メッセージの送信に対して、適切な許可チェックを実行した後、各々のメッセージの移動が行われる。メッセージの交換は、通常各々異なるアプリケーションに対して異なるプロトコルに従って構成される。
ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア214によって許可された各々の接続に対して、送信メッセージ・バッファを生成する。ブリッジ・サービス204、および/又は208は、送信メッセージ・バッファに関連付けられた特定のブリッジ・ソフトウェアのインスタンスに結びつけられたメッセージをバッファする。ブリッジ・ソフトウェア214のトランスポート層は、関連する送信バッファからメッセージを引き出す。ブリッジ・サービス204、および/又は208は、必要に応じてブリッジ・ソフトウェア・プログラムによって引き出し要求を開始された、メッセージを同時に処理する。ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア・プログラムによって、適切なローカル、あるいはリモートのアプリケーション・キュー(図3の相互メッセージの詳細300を参照)に送信されたメッセージを転送する。
1つの実装では、ブリッジ・サービス・ソフトウェア(サーバー・ソフトウェア204又は208)は、アプリケーション・サーバーが走行している(この例では、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューターはCPUと可能ならばディスクを共有して、論理的に分離されたものとして効果的に構成されたものであるかもしれない)ホスト・コンピューター上で実行される。しかしながら、むしろ、ファイアウォールトンネル・ソフトウェアは、サーバー120のような分離されたアプリケーション・サーバーにアクセスする1つのホストに置かれる。
システム管理者114は、インターネット104を経由して、OA&Mセンターのメッセージ・アドレス確認コンピューター108上のブリッジ・ソフトウェア214にアクセスする。よりよい実装では、OA&Mセンターのメッセージ・アドレス確認コンピューター108は、システム管理者114をユーザ名とパスワードによって認証する。
ここで論じたネットワーキング方法の利点は、多岐に渡る。アプリケーション・サーバーはNAT/ファイアウォールの後ろに置くことができ、アプリケーション・サーバーへの接続性を実現するために、ネットワーク管理者からのいかなる設定も必要としない。NAT/ファイアウォールの内側からインターネット104への全ての接続が空けられており、″穴″は、特別にNAT/ファイアウォールを通して″穴を空けられた″ものではない。このため、メッセージングはNATの特徴(例えば、対称あるいは、双方向の特徴)に依存しない。システム管理者114は、いつでもブリッジを止めることができる。メッセージのトラフィックはSSL又はTLSによって守られる。そして、クライアントは企業イントラネット136又は、インターネット104のいずれにも置くことができる。ブリッジサービス・サーバー152は、アプリケーション・サーバー(例えばサーバー120)にアクセスできる限り、顧客ネットワークのどこにでも走ることができる。例えば、アプリケーション・サーバーと同じ場所に置かれたシステム管理者のマシン上でも走ることができ、インターネット104からアクセスすることができない別のマシンでも走ることができ、インターネット104からアクセスすることができる別のマシンでも走ることができる。(ブリッジ・サービスがシステム管理者のマシンで実行される時、ブリッジ・サービスは、メッセージ・アドレス確認コンピューター108と、アプリケーション・サーバーとの間のブリッジを提供することに対して排他的に開始される。ブリッジサービス・サーバーが、インターネット104からアクセス可能なマシン上で走行する時、システム管理者114は、インターネット104からファイアウォールトンネル・コンピューターに対しブリッジサービス・サーバーにアクセスすることができるように、対応するファイアウォールを設定する。このような特徴は、システム管理者114に、ブラウザの使用により、インターネット104上のどこからもトンネルを確立することを可能にする。)
革新の別の利点は、保護された通信プロトコルが、インターネットとアプリケーション・サービス・コンピューターのネットワークの間にインストールされたファイアウォール/NAT装置の再構成を必要としないコンピューター・システム・インフラストラクチャ内に、外へ向かう経路を許可できることである。この点に関して、ファイアウォールトンネル・コンピューター112が、ファイアウォール124により外部へのHTTPプロトコル通信が継続することを可能にするようにファイアウォールのポート接続を設定することで、インターネット104に接続する時、アプリケーション間の双方向のマルチプロトコルのメッセージング(例えば、クライアント・コンピューターとアプリケーション・サービスの間のメッセージング)を許可するために、内部への通信に対する特定のファイアウォールのポートの再設定を行う必要がない。
1つの実装では、ブリッジ・ソフトウェアは、ウェブ・ブラウザ内のグラフィカル・ユーザ・インタフェースを通して、システム管理者114の制御下にある。別の実装では、ここで論じたようなHTTP/HTTPSのブリッジ・ソフトウェアを経由して、インターネットに保護されたアクセスを行うように設定された要望のアプリケーション・プログラムがあるコンピューターのアクセスは、アプリケーション・プログラムの制御下にある。どちらの場合も、アプリケーションサービス・コンピューターが走行するネットワーク上のファイアウォール/NAT装置の再設定は必要でない。
1つの実装では、アプリケーション・サービス・コンピューター120は、LAN128には接続されておらず、それゆえにファイアウォールトンネル・コンピューター112とのポイント・ツー・ポイント経由を除いて、インターネット104へのアクセスを行わない。また別の実装では、アプリケーション・サービス・コンピューター120はLAN128に接続されておらず、HTTP/HTTP(S)上で、双方向のメッセージングを用いて、インターネット104に直接アクセスし、ここで論じたような、HTTP/HTTP(S)上の暗黙に保護された双方向のメッセージングを提供するブリッジ・ソフトウェアを実行する。
1つの実装では、これまで論じてきた方法は、複数の企業が、インターネットの使用を通じてアプリケーション・サービス・コンピューターにアクセスしているクライアント・コンピューターから、ネットワーク通信を可能にするサービスに加入することを可能にし、そのインターネットでは、アプリケーション・サービス・コンピューターは、ファイアウォールのようなセキュリティ機器によって、一般のインターネット・アクセスから保護されており、メッセージ・アドレス確認コンピューターは、トンネルの保守を可能にするサービスとして利用できる。この例では、メッセージ・アドレス確認コンピューターの所有者は、アプリケーション・サービス・コンピューターおよび対応するファイアウォールトンネル・コンピューターの所有者に同意する。同意では、例えば、アプリケーションの加入者の任意のメッセージ識別子を変更しないという条件があり、このため、アプリケーションの所有者のセキュリティの権利は保護される。
図3において、第1の情報処理プラットフォーム(IPP)312と第2の情報処理プラットフォーム(IPP)302の間の相互メッセージ詳細300は、ファイアウォールトンネルを可能にするネットワークリンクをさらに拡張するアプリケーション間の、マルチプロトコル通信をサポートするメッセージ指向ミドルウェアを示している。この点において、情報処理プラットフォーム312と302は、ともにアプリケーション・サービス・コンピューター120に類似しており、コンピューター・ネットワーク100に対して論じてきた方法、あるいは地形に従った通信の中でメッセージを交換する。個別メッセージは、IPP312の中の多重化装置304の中で多重化され、IPP302の中で、復号されてアプリケーション・キュー308に配送される。各々のアプリケーション(例として、相互メッセージ詳細300に示す、APP_11、APP_1N、APP_21、APP_2N)は、アプリケーションを実行するIPPの復号装置からメッセージを受信するため、それぞれ自分のアプリケーション・キュー(例の中で、IPP302の中のAPP_11に特に関連付けられたキュー308)を持つ。アプリケーション310は、多重化装置304内で、メッセージを優先的に多重化する特定のメッセージフォーマット(プロトコル)を定義する。そのような専用の受信キューは、アプリケーション・サービス・コンピューターのネットワーク100に、同期・非同期にメッセージを配送し、アプリケーション開発者に対して、広範囲で柔軟性のある通信ミドルウェアを提供する。専用のキューはまた、同じ情報処理プラットフォーム(の″スレッド″)の中で走行するアプリケーションの間、および/また、異なる情報処理プラットフォーム(の″プロセス″)の中で走行するアプリケーションの間で、柔軟なメッセージ交換の基礎を提供する。
このような発明の実施の形態によれば、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューター間、およびファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター間、メッセージ・アドレス確認コンピューターとクライアント・コンピューター間にブリッジを行い、ファイアウォールとトンネルしてHTTP(S)プロトコルにて接続し、メッセージ・アドレス確認コンピューターは、メッセージのアドレスからインターネットの正当なユーザであるもののみに、ファイアウォールトンネル・コンピューターへの経路を指示することにより、セキュリティを確保し、ファイアウォールに特別な設定を行うことなくアプリケーションに通信のアクセス経路を提供することが可能となる。また、メッセージのキューを設けてアプリケーションごとにキューを設け、情報処理プラットフォームにて多重化通信を行うようにするため、効率的に通信を行うことができる。また、アプリケーションのプロトコル通信をブリッジするため、アプリケーションに特別な仕組みは不要となる。
発明の説明は本来単に典型的なものに過ぎない。従って、発明の要旨からそれるものでないバリエーションは、発明の範囲内にあるものと意図する。そのようなバリエーションは、発明の精神と範囲に背くものであると注意する。
本発明は、アプリケーションサービス・コンピューターがファイアウォールのようなセキュリティ装置によって通常のインターネット・アクセスから一般に保護されるインターネットの使用において、クライアント・コンピューターと、アプリケーションサービス・コンピューターとの間のインターネットセキュア通信装置及び通信方法に関する。
ネットワーク通信はファイアウォールや、NAT(Network Address Translator)のようなネットワークセキュリティ装置が、常に拡大するコンピューターシステム・グループのインターネットへのインタフェースとして使用される限りにおいて、複雑度を増してきている。これらのセキュリティ装置によって明らかになる重要な難題は、セキュリティ装置によってNATやファイアウォールの"背後"にある装置へ到達できないようにするため、他の正当なユーザーは、(しばしば、遠隔手続き呼び出し又は"RPC"通信による)サーバーとクライアントの間の広範囲のアクセスが、インターネットの通過に失敗することである。
リモートアクセス(例えば、制限のない、インスタントメッセージ、IPテレフォニーや、セキュリティカメラのトラブル解決等)を必要とするアプリケーションは、そのような接続性の難題が問題となる。この点において、そのようなタイプのアプリケーションに対するアプリケーション・サーバーは、しばしばリモートマネジメントに対して、Hyper Text Transfer Protocol(HTTP)のインタフェースを実装する。不幸にも、そのようなアプリケーション・サーバーは、中央のコンピューターメンテナンスグループから遠隔地に、重要な企業アプリケーションを実装しており、それらのインターネットを用いたメンテナンスのインタフェースは、対応するファイアウォールのため、メンテナンス部門によって利用できないようになっている。マネジメントインタフェースを使用する必要があるとき(そして皮肉にも、リモートマネジメントインタフェースは、NAT/ファイアウォールによってブロックすること以外に使用される時)、企業の職員は、それゆえにしばしば、重要な調整手続きを、作用させるコンピューターのある場所に物理的に輸送する必要がある。もちろんこの点において、ネットワークセキュリティは、システムに実装された調整基準として継続する必要がある。しかし、この継続したセキュリティのコストとお金は重要である。
(共にファイアウォールの背後にある)2つのドメインの間の接続性が必要な時、2つのドメイン上のアプリケーション間でメッセージを交換できるように、システム管理者はそのファイアウォールに、あるポートを空ける必要がある。このことは不幸にも、セキュリティの特徴を侵害するため、大多数の客にとって容認できる解ではない。
ファイアウォールとNATを通過する接続性は、コストとセキュリティの観点から強く望まれているにも関わらず、そのような通信の中でもセキュリティが継続するように、それらの特定のプロトコルの要求に従ってそれらのセキュリティ装置にアクセスするいまだ唯一の手段である必要がある。必要なのは、インターネットからファイアウォールを通過するセキュリティアクセス・アプリケーションサーバーへの通り道であり、そのような便利で、低コストのファイアウォール保護されたLANは、インターネットを横切り、ファイアウォールが許可された周りの、セキュアな広く双方向の通信を行うと認識されているそれらのアプリケーション・サーバーが必要な時に接続される。また、インターネットを横断する広く双方向の通信の性能を可能にするためにファイアウォールを再構成する必要がないことが、強く望まれる。
従来のネットワークシステムおよび方法は、図4に示すように、HTTPプロトコルに従うリクエストにデータを添付して送信するためのHTTPクライアント機能411が搭載された通信対象機器410と、それを操作しあるいは監視する管理装置としてのパソコン420で構成され、パソコン420はインターネット401に接続され、通信対象機器410は企業のファイアウォール430の内側に設置されている。一般にファイアウォール430は、内側から外側に向けたHTTPリクエストのパケットと、このHTTPリクエストに対応するHTTPレスポンスのパケットを通過されるように設定されている。前述のように通信対象機器410はHTTPクライアント機能411を有しており、HTTPリクエストとしてGET又はPOSTメソッドに送信したいデータを添付してパソコン420に送信する。このHTTPリクエストに対してパソコン420がHTTPリクエストを返信すると、前述のようにHTTPレスポンスはファイアウォール430を通過することができるので、通信対象機器410は、パソコン420からのレスポンスを受信することができる。例えば、特許文献1を参照。
特開2001−154953号公報(第4−5頁、第3図)
しかしながら、従来のネットワークシステムおよび方法では、ファイアウォールやNATを通過させたいアプリケーションを全てHTTPプロトコルに従ったアプリケーションとして実装する必要があり、すでに企業内に資産として保有する膨大なアプリケーションソフトウェアの資産を廃棄しなければならないという問題があった。
本発明は、従来の問題を解決するためになされたものであり、資産として存在する膨大なアプリケーションを変更することなく、ファイアウォールやNATを通過させることを可能とするインターネットセキュア通信装置、および方法を提供することを目的とする。
本発明の第1の態様では、メッセージ・アドレス確認コンピューターに対する第1の任意のメッセージ、およびアプリケーションサービス・コンピュータへインターネットへのインタフェースおよび前記メッセージ・アドレス確認コンピューターへの前記インターネットへのインタフェースを提供するファイアウォールトンネル・コンピューターに対する第2の任意のメッセージ、に対して前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の各コンピューター・メッセージ・インスタンスを有効にする手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第2の態様では、前記第1の任意のメッセージは、前記クライアント・コンピューターの識別子に関連する前記ファイアウォールトンネル・コンピューターの識別子で構成されることを特徴とする。
本発明の第3の態様では、前記第1の任意のメッセージは、さらに前記ファイアウォールトンネル・コンピューターの前記識別子と前記クライアント・コンピューターの前記識別子に関連する前記アプリケーションサービス・コンピュータの識別子で構成されることを特徴とする。
本発明の第4の態様では、前記識別子は、前記アプリケーションサービス・コンピューターの論理識別子で構成されることを特徴とする。
本発明の第4の態様では、前記識別子は、前記アプリケーションサービス・コンピューターの論理識別子で構成されることを特徴とする。
本発明の第5の態様では、前記識別子は、前記アプリケーションサービス・コンピューターのアプリケーションの論理識別子で構成されることを特徴とする。
本発明の第6の態様では、前記第2の任意のメッセージは、前記アプリケーションサービス・コンピューターの識別子で構成されることを特徴とする。
本発明の第7の態様では、前記第2の任意のメッセージは、さらに前記クライアント・コンピューターの識別子で構成されることを特徴とする。
本発明の第8の態様では、前記第1の任意のメッセージは、前記ファイアウォールトンネル・コンピューターによって前記メッセージ・アドレス確認コンピューター内に定義されることを特徴とする。
本発明の第9の態様では、さらに、前記アプリケーションサービス・コンピューターによって前記クライアント・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第10の態様では、さらに、前記メッセージ・アドレス確認コンピューターによって前記ファイアウォールトンネル・コンピューターのパスワードを有効にする手段を有することを特徴とする。
本発明の第11の態様では、前記メッセージ・アドレス確認コンピューターは、第1の所有者に所有される手段を有し、前記アプリケーションサービス・コンピューターと前記ファイアウォールトンネル・コンピューターは第2の所有者に所有される手段を有するとともに、前記第1の所有者と第2の所有者は、前記第1の所有者が前記第1の任意のメッセージを編集しないようにすることを合意するように構成する手段を有することを特徴とする。
本発明の第12の態様では、前記ファイアウォールトンネル・コンピューターは、外部へのHTTPプロトコル通信が通過できるようにファイアウォールによって設定されたファイアウォールのポートを通じてインターネットに接続するインタフェースを有し、前記ファイアウォールは、基本的に恒久的にいかなる内部への通信もブロックするように設定され、前記ファイアウォールを通過する双方向のメッセージを許可するように前記ファイアウォールのポートを再設定することが必要でないように、内部への通信は前記外部への通信と相互的でないことを特徴とする。
この構成により、アプリケーションサービス・コンピューターにアクセスする各々のクライアント・コンピューターをアプリケーションの論理識別子とクライアント・コンピューターの識別子を対応させてアドレス毎に識別し、パスワードで管理することができる。また、クライアント・コンピューターからアプリケーションサービス・コンピューターへのアクセスをHTTPプロトコル通信を用いてブリッジするため、ファイアウォールのセキュリティ設定を損なうことなく、安全に通信することができる。
本発明の第13の様態では、アプリケーションサービス・コンピューターとインターネットへのデータ通信を行うファイアウォールトンネル・コンピューターと、前記インターネットから前記ファイアウォールトンネル・コンピュータへのデータ通信を行い、前記インターネットからクライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターと、前記メッセージ・アドレス確認コンピューター内の第1の任意のデータベース、および前記ファイアウォールトンネル・コンピューター内の第2の任意のデータベースに対する、前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の前記通信の各コンピューターメッセージのインスタンスの検証手段で構成され、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスすることを特徴とする。
本発明の第14の様態では、前記第1の任意のメッセージのデータベースは、前記クライアント・コンピューターに対する識別子に関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有するデータレコードで構成し、前記データレコードのアドレスは前記ファイアウォールトンネル・コンピュータから、前記第1の任意のデータベースのメッセージの中に定義されることを特徴とする。
本発明の第15の様態では、前記データレコードは、さらに前記アプリケーションサービス・コンピューターに対する識別子で構成することを特徴とする。
本発明の第16の様態では、前記第2の任意のメッセージのデータベースは、前記アプリケーションサービス・コンピューターに対する識別子を有するデータレコードで構成されることを特徴とする。
本発明の第17の様態では、前記第2の任意のメッセージのデータベースは、さらに前記クライアント・コンピューターに対する識別子を有することを特徴とする。
この構成により、クライアント・コンピューターの識別子と、ファイアウォールトンネル・コンピューターの識別子と、アプリケーションサービス・コンピューターの識別子をデータレコードとして持つデータベースで管理し、各メッセージのインスタンスを検証する手段を有するようにしたため、メッセージの有効性を検証することができる。
本発明の第18の様態では、アプリケーションサービス・コンピューター、およびインターネットとデータ通信を行う、ファイアウォールトンネル・コンピューターであって、前記ファイアウォールトンネル・コンピューターは、クライアント・コンピューターと前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットから前記ファイアウォールトンネル・コンピューターへのデータ通信と、前記インターネットから前記クライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターであって、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターと、前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第19の様態では、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターに対する識別子と関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有する任意のデータベースを有することを特徴とする。
本発明の第20の様態では、前記メッセージ・アドレス確認コンピューターと、前記ファイアウォールトンネル・コンピューターは、前記ファイアウォールトンネル・コンピューターが、前記メッセージ・アドレス確認コンピューターの中にある、前記任意のデータベースを変更することを可能にするようにプログラムされていることを特徴とする。
この構成により、本発明をプログラムしたインターネットセキュア通信装置を実現することができる。
本発明の第21の様態では、メッセージ・アドレス確認コンピューター内の第1の任意のメッセージ、およびファイアウォールトンネル・コンピューター内の第2の任意のメッセージに対する、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各コンピューターメッセージのインスタンスを有効にする手段を有し、前記ファイアウォールトンネル・コンピューターは、前記インターネットとのインタフェースを有し、前記メッセージ・アドレス確認コンピューターは、前記インターネットとのインタフェースを有し、前記インターネットの使用を通じて、前記クライアント・コンピューターから、前記アプリケーションサービス・コンピューターへアクセスすることを特徴とする。
本発明の第22の様態では、さらに、前記ファイアウォールトンネル・コンピューターによって、前記第1の任意のメッセージを定義する手段を有することを特徴とする。
この構成により、クライアント・コンピューターおよびアプリケーションサービス・コンピューターは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターを経由して、インターネットにアクセスすることができる。
本発明の第23の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記アプリケーションサービス・コンピューターの中のアプリケーション・プログラムは、前記メッセージ・アドレス確認コンピューターによって、HTTPメッセージ配送メカニズムが生成されるように、前記ブリッジ・コンピューターのプログラムを制御することを特徴とする。
本発明の第24の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記メッセージ・アドレス確認コンピューターは前記ブリッジ・コンピューターのソフトウェアのインスタンスを認証することを特徴とする。
本発明の第25の様態では、前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、前記ブリッジ・コンピューターのプログラムは、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記一対のメッセージ・バッファは、メッセージを前記メッセージ・アドレス確認コンピューター内で実行されているブリッジサービスのプログラムと、前記アプリケーションサービス・コンピューター内で実行されているブリッジサービス・サーバーのプログラムの間を双方向に転送することを特徴とする。
この構成により、アプリケーションサービス・コンピューターのアプリケーションは、ファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューターがHTTPプロトコルで接続されるように制御し、ファイアウォールトンネル・コンピューターとアプリケーションサービス・コンピューターのアプリケーションは、HTTPプロトコルによりブリッジ接続し、ブリッジ・コンピューターのプログラムは、送受信メッセージ・バッファを定義し、メッセージ・バッファを用いてメッセージ・アドレス確認コンピューターとファイアウォールトンネル・コンピューターを双方向に転送することができる。
本発明の第26の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへ第1のHTTP接続および、前記アプリケーションサービス・コンピューターへ第2のHTTP接続を開始し、前記メッセージ処理層は、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターから前記第1の接続を経由する通信の第1のメッセージを検索し、前記メッセージ処理層は、前記第1のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第1のメッセージを前記第1の接続の受信メッセージ・バッファから前記第2の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第2の接続を経由して、前記アプリケーションサービス・コンピューターへ前記第1のメッセージを送信し、前記トランスポート層は、前記アプリケーションサービス・コンピューターから前記第2の接続を経由する通信の第2のメッセージを検索し、前記メッセージ処理層は前記第2のメッセージに書かれた許可ルールを実行し、前記メッセージ処理層は、前記第2のメッセージを前記第2の接続の受信メッセージ・バッファから前記第1の接続の送信メッセージ・バッファへ移動し、前記トランスポート層は、前記第1の接続を経由して、前記メッセージ・アドレス確認コンピューターへ前記第1のメッセージを送信することを特徴とする。
本発明の第27の様態では、前記通信中のメッセージは、異なるアプリケーションに対して、各々異なるプロトコルが組み立てられていることを特徴とする。
本発明の第28の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへの多数のメッセージと、前記アプリケーションサービス・コンピューターへの多数のメッセージを多重化送信することを特徴とする。
本発明の第29の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムからの多数のメッセージ、および前記アプリケーションサービス・コンピューターからの多数のメッセージを多重化受信することを特徴する。
この構成により、ファイアウォールトンネル・コンピューターは、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間に、プロトコルごとに異なるメッセージを生成して1つのHTTP接続を開始し、異なるプロトコル・メッセージを1つのHTTP接続で多重化通信を行うことができる。
本発明の第30の様態では、前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、前記トランスポート層は、前記メッセージ・アドレス確認コンピューターと十分な多数のHTTP接続、および前記アプリケーションサービス・コンピューターと十分な多数のHTTP接続を生成し、全てのメッセージのレイテンシーは、予め定義されたレイテンシー値の範囲内で持続し、全てのメッセージのスループットは予め定義されたスループット値の範囲内で持続することを特徴とする。
この構成により、メッセージ・アドレス確認コンピューターとアプリケーションサービス・コンピューターの間のHTTP接続に対して、メッセージのレイテンシーとスループットを保証することができる。
本発明の第31の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行することを特徴とする。
本発明の第32の様態では、多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行し、前記メッセージ・アドレス確認コンピューターは、前記多数のファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと通信するブリッジサービス・プログラムを実行することを特徴とする。
この構成により、ファイアウォールトンネル・コンピューターおよびメッセージ・アドレス確認コンピューターの機能をプログラムで実現することができる。
本発明の第33の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して、送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファすることを特徴とする。
本発明の第34の様態では、前記ブリッジサービス・プログラムは、1つのブリッジコンピューター・プログラムから送信された多数のメッセージをバッファすることを特徴とする。
この構成により、ブリッジサービス・プログラムは多数のメッセージをバッファして多重化処理を行うことができる。
本発明の第35の様態では、各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、前記ブリッジサービス・プログラムは、各ブリッジコンピューター・プログラムによって送信された多数のメッセージを受け入れることが可能であり、前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して送信メッセージ・バッファを定義し、前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファし、前記ブリッジサービス・プログラムは、各メッセージを同一数のアプリケーションメッセージキューに転送することを特徴とする。
この構成により、ブリッジコンピューター・プログラムとブリッジサービス・プログラムは、相互にメッセージを交換して通信し、アプリケーションごとにメッセージキューを保持して処理することができる。
以下、本発明の実施の形態のインターネットセキュア通信装置、および方法について図面を用いて説明する。
発明の概略としては、(インターネットに接続する正当なユーザーとして、メッセージ・アドレス確認コンピューターに認識されるブリッジコンピューターが走行する)ファイアウォールトンネル・コンピューターは、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間のファイアウォールで保護された通常のセキュア通信を行うインターネットと(あるいは、比喩的にいえばトンネルを通過して)インタフェースを取る。メッセージ・アドレス確認コンピューターは、正当なインターネット接続ユーザーとしてクライアント・コンピューターとファイアウォールトンネル・コンピューターに認識されたもののみ、インターネットに接続する。クライアント・コンピューター、ファイアウォールトンネル・コンピューター、およびメッセージ・アドレス確認コンピューターは、グループ内の職員に高く信頼された企業内の機能グループに所属することが望ましい。そのようなグループの例としては、ある企業内のオペレーション・管理・保守サービス(OA&M)グループとして任命されたコンピューターグループが挙げられる。
任意のメッセージ・データは、メッセージ・アドレス確認コンピューター内のデータベースとしてよりも、ファイアウォールトンネル・コンピューター内のデータベースとして確立される。クライアント・コンピューターからアプリケーションサービス・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、その後、メッセージ・アドレス確認コンピューターのデータベース(第1の任意のデータベース)に対する確認プロセス(第1の任意のメッセージの確認)を経て、アプリケーションサービス・コンピューターのファイアウォールトンネル・コンピューターのデータベース(第2の任意のデータベース)に対する確認プロセス(第2の任意のメッセージの確認)を通過して、そこからアプリケーションサービス・コンピューターに到達する。アプリケーションサービス・コンピューターからクライアント・コンピューターへ通信するコンピューターメッセージの各々のインスタンスは、アプリケーションサービス・コンピューターのデータベースに対する確認プロセスを経て、メッセージ・アドレス確認コンピューターのデータベースに対する確認プロセスと、クライアント・コンピューターのファイアウォールトンネル・コンピューターのデータベースに対する確認プロセスを通過して、クライアント・コンピューターに到達する。
OA&Mセンターのメッセージ・アドレス確認コンピューターのデータベースは基本的に、ファイアウォールトンネル・コンピューターのシステム管理(第1の所有者)者の管理下にある。これらのいかなるシステム管理者も、かれらのファイアウォールトンネル・コンピューターからOA&Mセンターへログインし、(メッセージ・アドレス確認コンピューター内のデータベースに、)OA&Mセンター内のメッセージ・アドレス確認コンピューターと、アプリケーションサービス・コンピューター、ファイアウォールトンネル・コンピューター、およびシステム管理者(第2の所有者)のLAN内にあるファイアウォールトンネル・コンピューターとの間をブリッジする任意のメッセージを生成する。このことは、OA&Mセンター内のメッセージ・アドレス確認コンピューターからアプリケーションサービス・コンピューターへのアクセス経路を提供する。接続性が確立された後、OA&Mクライアント・コンピューターは、システム管理者によって作られた、OA&Mセンター内のメッセージ・アドレス確認コンピューターから、ファイアウォールトンネル・コンピューターを経由して、アプリケーションサービス・コンピューターに続く"トンネル"を用いてアプリケーションサービス・コンピューターにアクセスする。システム管理者は又、ファイアウォールトンネル・コンピューター内に、OA&Mセンター内のメッセージ・アドレス確認コンピューターからの任意のメッセージを許可する。クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各々のメッセージ・インスタンスは、インターネット接続可能なブリッジ機能を有効にするコンピューター(OA&Mセンター内のファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター)の任意のメッセージからの確認を受ける。
図1はインターネット104の使用を通じたメッセージ・インスタンスを接続するコンピューターネットワーク100、メッセージ・アドレス確認コンピューター108と、ファイアウォールトンネル・コンピューター112の概略構成を示すブロック図である。クライアント・コンピューター116と、アプリケーションサービス・コンピューター120は、インターネット104からのメッセージを交換する。保護されたファイアウォール124は、(LAN1とLAN2が相互接続された)ローカルエリアネットワーク128をインターネット104への通常のアクセスから保護する。クライアント・コンピューター132は、(1つの実装として、LAN136は企業イントラネット136である)LAN136を経由して、メッセージ・アドレス確認コンピューター108とインターネット104に接続している。ファイアウォール148は、第2のクライアント・コンピューター132、メッセージ・アドレス確認コンピューター108,およびLAN136をインターネット104への通常のアクセスから保護する。アプリケーションサービス・コンピューター120は、アプリケーション160とアプリケーション158を実行する。アプリケーションサービス・コンピューター120はまた、ブリッジサービス・サーバー152を実行する。ブリッジサービス・サーバー152は、ファイアウォールトンネル・コンピューター112(および、メッセージ・アドレス確認コンピューター108)を経由して、クライアント(例えば、クライアント・コンピューター116)から受信したメッセージ・インスタンスに応答して、メッセージ・インスタンスにファイアウォールトンネル・コンピューター112への経路を指示する。
メッセージ・アドレス確認コンピューター108は、むしろインターネット104の正当なユーザーとして特定のクライアント(例えばクライアント116)とそのファイアウォールトンネル・コンピューター(例えばファイアウォールトンネル・コンピューター112)を認識するためだけに、HTTPS(HTTPセキュアプロトコル)を経由してインターネット104に接続する。これらのHTTPセキュアプロトコルのインターネット104への"トンネル"アクセスは、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144に象徴的に図示される。関連して、ファイアウォール124のトンネル接続140と、ファイアウォール148のトンネル接続144は、それらに対応するファイアウォールを物理的にバイパスし、この明細書に記述されているように、メッセージごとのアドレスの任意の正当な方法論によって、セキュリティをデータ的に支持する。HTTPセキュアプロトコルの代わりに、別の実装では、ネットワークの所有者の特定の要望に対して、暗号のアプローチが適切なセキュリティを提供する。1つの実装では、個別にポートの設定が可能なファイアウォールの1つのポートは、HTTPプロトコル接続のために空けられ、メッセージ・アドレス確認コンピューター108および/又は、ファイアウォールトンネル・コンピューター112は、HTTPプロトコルに設定されたポートに単一の接続を提供する。
ファイアウォールトンネル・コンピューター112のシステム管理者114は、必要な認証とプライバシーを満たしてメッセージ・アドレス確認コンピューター108にログインした後、メッセージ・アドレス確認コンピューター108とアプリケーションサービス・コンピューター120の間に"トンネル"を生成する。システム管理者は基本的に、メッセージ・アドレス確認コンピューター108への接続の全てを制御し、行動の自由に於いて、物理的あるいはデータ的な接続を終端する。接続はファイアウォール124のいかなるポートを空けることを要求しないため、企業ネットワーク128は、外部のアタッカーから保護される。アプリケーションサービス・コンピューター120と、メッセージ・アドレス確認コンピューター108との間に一度トンネルか確立されると、メッセージ・アドレス確認コンピューター108のクライアント(クライアント・コンピューター116や、クライアント・コンピューター132などのOA&Mクライアント)は、メッセージ・アドレス確認コンピューター108と(ファイアウォールトンネル・コンピューター112によって許可された)ファイアウォールトンネル140を経由して、アプリケーションサービス・コンピューター120にアクセスする。
システム全体のデザインは、HTTP上に走行するキューメカニズムがベースとなる。キュー・パラダイムは、createQueue(), removeQueue(), sendSynch(), sendAsynch() メッセージといったシンプルなプリミティブを提供する。"タイムアウトにより引き抜く"と"最大数のメッセージを回復する"は、クライアントにメッセージ・インスタンスを突き戻すために使用される。(SessionInBox, MaxNumberOfMsgs, TimeOut)の優先属性形式の中のプリミティブなgetMessages コマンドは、アプリケーション・キューにアドレスされたメッセージを回復するために使用される。1つ又は(最大限の)複数のメッセージに含まれる返信メッセージは、適切なキュー(とそれらのキューで処理要求を待つアプリケーション)に発送される。
各メッセージは、メッセージ・ボディとメッセージ・ヘッダを運ぶ封筒を含んでいる。ファイアウォールトンネル・コンピューター112で実行されるブリッジ・ソフトウェアは、一つの実装ではスタンドアロン・プログラムとして走行する。別の実装では、ブリッジ・ソフトウェアは、ブラウザ内の署名されたアプレットとして走行する。1つの実装では、アプレットバージョンのブリッジ・ソフトウェアは、インターネット・エクスプローラー内で実行し、マイクロソフトJVMあるいはサンJava プラグインと一緒に機能する。
メッセージ・アドレス確認コンピューター108のデータベースの任意の構造は、最小で、各々のデータレコードがファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいは、クライアント・コンピューター132)を任意の対のアドレスとして区別する1セットのデータレコードで構成される。もう1つの実装では、ファイアウォールトンネル・コンピューター112とクライアント・コンピューター116(あるいはクライアント・コンピューター132)のアドレスの任意の識別子は、アプリケーションサービス・コンピューター120の任意のアドレスによって3つ揃いに拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は、158で任意の識別子に、さらに拡張される。
ファイアウォールトンネル・コンピューター112のデータベースの任意の構造は、最小で、各々のデータレコードがアプリケーションサービス・コンピューター120の任意のアドレスとして区別する1セットのデータレコードで構成される。別の実装では、アプリケーションサービス・コンピューター120の任意の識別子は、クライアント・コンピューター116(あるいは132)のアドレスの任意の識別子によって拡張される。さらに別の実装では、アプリケーションサービス・コンピューター120の任意のアドレスは、特定のアプリケーション160又は158の任意の識別子によって、さらに拡張される。
アプリケーションサービス・コンピューター120上のブリッジサービス・サーバー152は、オプションでパスワード保護、任意のアドレス識別子確認、又は特有のアプリケーション(158、160)が要求するようなものを実行する。
図2は、図1のネットワークに従って登場するメッセージ管理に対するソフトウェアブリッジ・アーキテクチャ200を示すものである。トンネル(140,144)の両側のブリッジ・サービス204,208は、インターネット104への適切な"トンネル"を通って送信する前の、整列した、あるいは整列していない情報処理プラットフォーム(IPP: Information Processing Platform)のメッセージを重要視する。整列した、あるいは整列していない他に、ブリッジ・サービス204と208は、同期メッセージと非同期メッセージを送信する能力と、メッセージを受信する能力を提供する。ブリッジ・ソフトウェア214は、メッセージ・アドレス確認のソフトウェアを含む。ブリッジ・サービス204とブリッジ・ソフトウェア214の間、およびブリッジ・サービス208とブリッジ・ソフトウェア214の間のHTTP(S)通信は、HTTP(S)の中でSSL(Secure Socket Layer)又はTLS(Transport Layer Security)を用いることによって守られる。
さらに詳細に説明する。ブリッジ・サービス204と208はJava サーブレット技術によって、好んで実装される。ブリッジ・サービス204と208は、(ファイアウォールトンネル・コンピューター112で実行されるインスタンスに対して)ブリッジ・ソフトウェア214にログイン、リモートキューの生成、そしてメッセージの送受信を許可する。各ログインは適切なサービスのセッションを生成し、キューはメッセージ配送に対するそのセッションと連携する。ブリッジ・サービス204と208と、ブリッジ・ソフトウェア214は、ドメイン間の転送メッセージに対するブリッジ・キューとIPPキューの間のマッピングを含む。メッセージは、別のブリッジ・サービス(例えばドメインBのブリッジ・サーバー208)に送信するために、ブリッジ・サービス(例えば、ドメインAのブリッジ・サーバー204)内にキューイングされる。
1つの実装において、ブリッジ・ソフトウェア214は2つの層を持つ。第1の層は各々のブリッジ・サービス(204、および/又は208)とメッセージを交換するHTTP接続を提供するトランスポート層である。第2の層は、各々のブリッジ・サービス204又は、208にメッセージ・インスタンス配送するメッセージ処理層である。1つの実装では、トランスポート層は以下のようなインタフェースを提供する。
−Send(非同期送信)
−SendAndWait(同期送信)
−Receive(メッセージキューの受信)
−ReceiveAndReply(コールバック関数のためのメッセージ受信)
これらのインタフェースコマンド呼び出しは、メッセージ処理層および/又は、ブリッジ・サービス204および/又は208を経由してアクセスすることができるアプリケーションの間の相互作用に対して、柔軟性を提供する。
−SendAndWait(同期送信)
−Receive(メッセージキューの受信)
−ReceiveAndReply(コールバック関数のためのメッセージ受信)
これらのインタフェースコマンド呼び出しは、メッセージ処理層および/又は、ブリッジ・サービス204および/又は208を経由してアクセスすることができるアプリケーションの間の相互作用に対して、柔軟性を提供する。
(例えばファイアウォールトンネル・コンピューター112で実行されている)ブリッジ・ソフトウェア214は、ブリッジ・サービス204(例えば、メッセージ・アドレス確認コンピューター108内で走行するブリッジ・サービス109)とブリッジ・サービス208(例えば、アプリケーションサービス・コンピューター120内で走行するブリッジサービス・サーバー152)へのHTTP接続を開始する。接続の初期化フェーズは、メッセージ・アドレス確認コンピューター108によるブリッジ・ソフトウェア接続のインスタンスの認証を含む。ブリッジ・ソフトウェア214は、ユーザ(例えばシステム管理者)によって、あるいはアプリケーション・プログラムによって、メッセージ・アドレス確認コンピューター108とアプリケーション・サーバーとの間を直接接続するトンネルを生成するように実行される。ブリッジ・ソフトウェア214は、ブリッジ・サービス204へのHTTP接続(第1のHTTP接続)、および/又はブリッジ・サービス208へのHTTP接続(第2のHTTP接続)に対して、送信メッセージ・バッファと受信メッセージ・バッファのペアを定義する。ブリッジ・ソフトウェア214のトランスポート層は、ブリッジ・サービス204、および/又は208からメッセージを引き出す。ブリッジ・ソフトウェア214のトランスポート層は、また、ブリッジ・サービス204、および/又は208にメッセージを送信する。ブリッジ・ソフトウェア214のトランスポート層は、また、必要な時にブリッジ・サービス204、および/又は208との単一のインタラクションの中で複数のメッセージの送受信を行う。ブリッジ・ソフトウェア214のトランスポート層は、メッセージの順番を保ちながら、メッセージのレイテンシーを減らし、メッセージのスループットを増加させるためにブリッジ・サービス204、および/又は208との複数の接続を生成する。メッセージ処理層は、ブリッジ・サービス204、および/又は208との各々の接続に対して、送信メッセージ・バッファと受信メッセージ・バッファを生成する。ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス204に関連付けられた送信メッセージから、ブリッジ・サービス208に関連付けられた受信メッセージへ、メッセージを移動する。また、ブリッジ・ソフトウェア214のメッセージ処理層は、ブリッジ・サービス208に関連付けられた送信メッセージから、ブリッジ・サービス204に関連付けられた受信メッセージへ、メッセージを移動する。メッセージの送信に対して、適切な許可チェックを実行した後、各々のメッセージの移動が行われる。メッセージの交換は、通常各々異なるアプリケーションに対して異なるプロトコルに従って構成される。
ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア214によって許可された各々の接続に対して、送信メッセージ・バッファを生成する。ブリッジ・サービス204、および/又は208は、送信メッセージ・バッファに関連付けられた特定のブリッジ・ソフトウェアのインスタンスに結びつけられたメッセージをバッファする。ブリッジ・ソフトウェア214のトランスポート層は、関連する送信バッファからメッセージを引き出す。ブリッジ・サービス204、および/又は208は、必要に応じてブリッジ・ソフトウェア・プログラムによって引き出し要求を開始された、メッセージを同時に処理する。ブリッジ・サービス204、および/又は208は、ブリッジ・ソフトウェア・プログラムによって、適切なローカル、あるいはリモートのアプリケーション・キュー(図3の相互メッセージの詳細300を参照)に送信されたメッセージを転送する。
1つの実装では、ブリッジ・サービス・ソフトウェア(サーバー・ソフトウェア204又は208)は、アプリケーション・サーバーが走行している(この例では、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューターはCPUと可能ならばディスクを共有して、論理的に分離されたものとして効果的に構成されたものであるかもしれない)ホスト・コンピューター上で実行される。しかしながら、むしろ、ファイアウォールトンネル・ソフトウェアは、サーバー120のような分離されたアプリケーション・サーバーにアクセスする1つのホストに置かれる。
システム管理者114は、インターネット104を経由して、OA&Mセンターのメッセージ・アドレス確認コンピューター108上のブリッジ・ソフトウェア214にアクセスする。よりよい実装では、OA&Mセンターのメッセージ・アドレス確認コンピューター108は、システム管理者114をユーザ名とパスワードによって認証する。
ここで論じたネットワーキング方法の利点は、多岐に渡る。アプリケーション・サーバーはNAT/ファイアウォールの後ろに置くことができ、アプリケーション・サーバーへの接続性を実現するために、ネットワーク管理者からのいかなる設定も必要としない。NAT/ファイアウォールの内側からインターネット104への全ての接続が空けられており、"穴"は、特別にNAT/ファイアウォールを通して"穴を空けられた"ものではない。このため、メッセージングはNATの特徴(例えば、対称あるいは、双方向の特徴)に依存しない。システム管理者114は、いつでもブリッジを止めることができる。メッセージのトラフィックはSSL又はTLSによって守られる。そして、クライアントは企業イントラネット136又は、インターネット104のいずれにも置くことができる。ブリッジサービス・サーバー152は、アプリケーション・サーバー(例えばサーバー120)にアクセスできる限り、顧客ネットワークのどこにでも走ることができる。例えば、アプリケーション・サーバーと同じ場所に置かれたシステム管理者のマシン上でも走ることができ、インターネット104からアクセスすることができない別のマシンでも走ることができ、インターネット104からアクセスすることができる別のマシンでも走ることができる。(ブリッジ・サービスがシステム管理者のマシンで実行される時、ブリッジ・サービスは、メッセージ・アドレス確認コンピューター108と、アプリケーション・サーバーとの間のブリッジを提供することに対して排他的に開始される。ブリッジサービス・サーバーが、インターネット104からアクセス可能なマシン上で走行する時、システム管理者114は、インターネット104からファイアウォールトンネル・コンピューターに対しブリッジサービス・サーバーにアクセスすることができるように、対応するファイアウォールを設定する。このような特徴は、システム管理者114に、ブラウザの使用により、インターネット104上のどこからもトンネルを確立することを可能にする。)
革新の別の利点は、保護された通信プロトコルが、インターネットとアプリケーション・サービス・コンピューターのネットワークの間にインストールされたファイアウォール/NAT装置の再構成を必要としないコンピューター・システム・インフラストラクチャ内に、外へ向かう経路を許可できることである。この点に関して、ファイアウォールトンネル・コンピューター112が、ファイアウォール124により外部へのHTTPプロトコル通信が継続することを可能にするようにファイアウォールのポート接続を設定することで、インターネット104に接続する時、アプリケーション間の双方向のマルチプロトコルのメッセージング(例えば、クライアント・コンピューターとアプリケーション・サービスの間のメッセージング)を許可するために、内部への通信に対する特定のファイアウォールのポートの再設定を行う必要がない。
革新の別の利点は、保護された通信プロトコルが、インターネットとアプリケーション・サービス・コンピューターのネットワークの間にインストールされたファイアウォール/NAT装置の再構成を必要としないコンピューター・システム・インフラストラクチャ内に、外へ向かう経路を許可できることである。この点に関して、ファイアウォールトンネル・コンピューター112が、ファイアウォール124により外部へのHTTPプロトコル通信が継続することを可能にするようにファイアウォールのポート接続を設定することで、インターネット104に接続する時、アプリケーション間の双方向のマルチプロトコルのメッセージング(例えば、クライアント・コンピューターとアプリケーション・サービスの間のメッセージング)を許可するために、内部への通信に対する特定のファイアウォールのポートの再設定を行う必要がない。
1つの実装では、ブリッジ・ソフトウェアは、ウェブ・ブラウザ内のグラフィカル・ユーザ・インタフェースを通して、システム管理者114の制御下にある。別の実装では、ここで論じたようなHTTP/HTTPSのブリッジ・ソフトウェアを経由して、インターネットに保護されたアクセスを行うように設定された要望のアプリケーション・プログラムがあるコンピューターのアクセスは、アプリケーション・プログラムの制御下にある。どちらの場合も、アプリケーションサービス・コンピューターが走行するネットワーク上のファイアウォール/NAT装置の再設定は必要でない。
1つの実装では、アプリケーション・サービス・コンピューター120は、LAN128には接続されておらず、それゆえにファイアウォールトンネル・コンピューター112とのポイント・ツー・ポイント経由を除いて、インターネット104へのアクセスを行わない。また別の実装では、アプリケーション・サービス・コンピューター120はLAN128に接続されておらず、HTTP/HTTP(S)上で、双方向のメッセージングを用いて、インターネット104に直接アクセスし、ここで論じたような、HTTP/HTTP(S)上の暗黙に保護された双方向のメッセージングを提供するブリッジ・ソフトウェアを実行する。
1つの実装では、これまで論じてきた方法は、複数の企業が、インターネットの使用を通じてアプリケーション・サービス・コンピューターにアクセスしているクライアント・コンピューターから、ネットワーク通信を可能にするサービスに加入することを可能にし、そのインターネットでは、アプリケーション・サービス・コンピューターは、ファイアウォールのようなセキュリティ機器によって、一般のインターネット・アクセスから保護されており、メッセージ・アドレス確認コンピューターは、トンネルの保守を可能にするサービスとして利用できる。この例では、メッセージ・アドレス確認コンピューターの所有者は、アプリケーション・サービス・コンピューターおよび対応するファイアウォールトンネル・コンピューターの所有者に同意する。同意では、例えば、アプリケーションの加入者の任意のメッセージ識別子を変更しないという条件があり、このため、アプリケーションの所有者のセキュリティの権利は保護される。
図3において、第1の情報処理プラットフォーム(IPP)312と第2の情報処理プラットフォーム(IPP)302の間の相互メッセージ詳細300は、ファイアウォールトンネルを可能にするネットワークリンクをさらに拡張するアプリケーション間の、マルチプロトコル通信をサポートするメッセージ指向ミドルウェアを示している。この点において、情報処理プラットフォーム312と302は、ともにアプリケーション・サービス・コンピューター120に類似しており、コンピューター・ネットワーク100に対して論じてきた方法、あるいは地形に従った通信の中でメッセージを交換する。個別メッセージは、IPP312の中の多重化装置304の中で多重化され、IPP302の中で、復号されてアプリケーション・キュー308に配送される。各々のアプリケーション(例として、相互メッセージ詳細300に示す、APP_11、APP_1N、APP_21、APP_2N)は、アプリケーションを実行するIPPの復号装置からメッセージを受信するため、それぞれ自分のアプリケーション・キュー(例の中で、IPP302の中のAPP_11に特に関連付けられたキュー308)を持つ。アプリケーション310は、多重化装置304内で、メッセージを優先的に多重化する特定のメッセージフォーマット(プロトコル)を定義する。そのような専用の受信キューは、アプリケーション・サービス・コンピューターのネットワーク100に、同期・非同期にメッセージを配送し、アプリケーション開発者に対して、広範囲で柔軟性のある通信ミドルウェアを提供する。専用のキューはまた、同じ情報処理プラットフォーム(の"スレッド")の中で走行するアプリケーションの間、および/また、異なる情報処理プラットフォーム(の"プロセス")の中で走行するアプリケーションの間で、柔軟なメッセージ交換の基礎を提供する。
このような発明の実施の形態によれば、アプリケーションサービス・コンピューターとファイアウォールトンネル・コンピューター間、およびファイアウォールトンネル・コンピューターとメッセージ・アドレス確認コンピューター間、メッセージ・アドレス確認コンピューターとクライアント・コンピューター間にブリッジを行い、ファイアウォールとトンネルしてHTTP(S)プロトコルにて接続し、メッセージ・アドレス確認コンピューターは、メッセージのアドレスからインターネットの正当なユーザであるもののみに、ファイアウォールトンネル・コンピューターへの経路を指示することにより、セキュリティを確保し、ファイアウォールに特別な設定を行うことなくアプリケーションに通信のアクセス経路を提供することが可能となる。また、メッセージのキューを設けてアプリケーションごとにキューを設け、情報処理プラットフォームにて多重化通信を行うようにするため、効率的に通信を行うことができる。また、アプリケーションのプロトコル通信をブリッジするため、アプリケーションに特別な仕組みは不要となる。
発明の説明は本来単に典型的なものに過ぎない。従って、発明の要旨からそれるものでないバリエーションは、発明の範囲内にあるものと意図する。そのようなバリエーションは、発明の精神と範囲に背くものであると注意する。
Claims (35)
- メッセージ・アドレス確認コンピューターに対する第1の任意のメッセージ、およびアプリケーションサービス・コンピュータへインターネットへのインタフェースおよび前記メッセージ・アドレス確認コンピューターへの前記インターネットへのインタフェースを提供するファイアウォールトンネル・コンピューターに対する第2の任意のメッセージに対してクライアント・コンピューターと前記アプリケーションサービス・コンピューター間の各コンピューター・メッセージ・インスタンスを有効にする手段で構成され、
前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスする
ことを特徴とするインターネットセキュア通信方法。 - 前記第1の任意のメッセージは、前記クライアント・コンピューターの識別子に関連する前記ファイアウォールトンネル・コンピューターの識別子で構成される
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記第1の任意のメッセージは、さらに前記ファイアウォールトンネル・コンピューターの前記識別子と前記クライアント・コンピューターの前記識別子に関連する前記アプリケーションサービス・コンピュータの識別子で構成される
ことを特徴とする請求項2に記載のインターネットセキュア通信方法。 - 前記識別子は、前記アプリケーションサービス・コンピューターの論理識別子で構成される
ことを特徴とする請求項3に記載のインターネットセキュア通信方法。 - 前記識別子は、前記アプリケーションサービス・コンピューターのアプリケーションの論理識別子で構成される
ことを特徴とする請求項3に記載のインターネットセキュア通信方法。 - 前記第2の任意のメッセージは、前記アプリケーションサービス・コンピューターの識別子で構成される
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記第2の任意のメッセージは、さらに前記クライアント・コンピューターの識別子で構成される
ことを特徴とする請求項6に記載のインターネットセキュア通信方法。 - 前記第1の任意のメッセージは、前記ファイアウォールトンネル・コンピューターによって前記メッセージ・アドレス確認コンピューター内に定義される
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記アプリケーションサービス・コンピューターによって前記クライアント・コンピューターのパスワードを有効にする手段を有する
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記メッセージ・アドレス確認コンピューターによって前記ファイアウォールトンネル・コンピューターのパスワードを有効にする手段を有する
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記メッセージ・アドレス確認コンピューターは、第1の所有者に所有される手段を有し、前記アプリケーションサービス・コンピューターと前記ファイアウォールトンネル・コンピューターは、第2の所有者に所有される手段を有するとともに、
前記第1の所有者と第2の所有者は、前記第1の所有者が前記第1の任意のメッセージを編集しないようにすることを合意するように構成する手段を有する
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、外部へのHTTPプロトコル通信が通過できるようにファイアウォールによって設定されたファイアウォールのポートを通じてインターネットに接続するインタフェースを有し、
前記ファイアウォールは、基本的に恒久的にいかなる内部への通信もブロックするように設定され、前記ファイアウォールを通過する双方向のメッセージを許可するように前記ファイアウォールのポートを再設定することが必要でないように、内部への通信は前記外部への通信と相互的でない
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - アプリケーションサービス・コンピューターとインターネットへのデータ通信を行うファイアウォールトンネル・コンピューターと、前記インターネットから前記ファイアウォールトンネル・コンピュータへのデータ通信を行い、前記インターネットからクライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターと、前記メッセージ・アドレス確認コンピューター内の第1の任意のデータベース、および前記ファイアウォールトンネル・コンピューター内の第2の任意のデータベースに対する、前記クライアント・コンピューターと前記アプリケーションサービス・コンピューター間の前記通信の各コンピューターメッセージのインスタンスの検証手段で構成され、
前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターにアクセスする
ことを特徴とするインターネットセキュア通信方法。 - 前記第1の任意のメッセージのデータベースは、前記クライアント・コンピューターに対する識別子に関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有するデータレコードで構成し、前記データレコードのアドレスは前記ファイアウォールトンネル・コンピュータから、前記第1の任意のデータベースのメッセージの中に定義される
ことを特徴とする請求項13に記載のインターネットセキュア通信方法。 - 前記データレコードは、さらに前記アプリケーションサービス・コンピューターに対する識別子で構成する
ことを特徴とする請求項14に記載のインターネットセキュア通信方法。 - 前記第2の任意のメッセージのデータベースは、前記アプリケーションサービス・コンピューターに対する識別子を有するデータレコードで構成される
ことを特徴とする請求項13に記載のインターネットセキュア通信方法。 - 前記第2の任意のメッセージのデータベースは、さらに前記クライアント・コンピューターに対する識別子を有する
ことを特徴とする請求項16に記載のインターネットセキュア通信方法。 - アプリケーションサービス・コンピューター、およびインターネットとデータ通信を行う、ファイアウォールトンネル・コンピューターであって、前記ファイアウォールトンネル・コンピューターは、クライアント・コンピューターと前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットから前記ファイアウォールトンネル・コンピューターへのデータ通信と、
前記インターネットから前記クライアント・コンピューターへのデータ通信を行うメッセージ・アドレス確認コンピューターであって、前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターと、前記アプリケーションサービス・コンピューターとの間の前記データ通信の各コンピューターメッセージのインスタンスを有効にするようにプログラムされており、前記インターネットの使用を通じて、前記クライアント・コンピューターから前記アプリケーションサービス・コンピューターへアクセスする
ことを特徴とするインターネットセキュア通信装置。 - 前記メッセージ・アドレス確認コンピューターは、前記クライアント・コンピューターに対する識別子と関連した、前記ファイアウォールトンネル・コンピューターに対する識別子を有する任意のデータベースを有する
ことを特徴とする請求項18に記載のインターネットセキュア通信装置。 - 前記メッセージ・アドレス確認コンピューターと、前記ファイアウォールトンネル・コンピューターは、前記ファイアウォールトンネル・コンピューターが、前記メッセージ・アドレス確認コンピューターの中にある、前記任意のデータベースを変更することを可能にするようにプログラムされている
ことを特徴とする請求項19に記載のインターネットセキュア通信装置。 - メッセージ・アドレス確認コンピューター内の第1の任意のメッセージ、およびファイアウォールトンネル・コンピューター内の第2の任意のメッセージに対する、クライアント・コンピューターとアプリケーションサービス・コンピューターとの間の各コンピューターメッセージのインスタンスを有効にする手段を有し、
前記ファイアウォールトンネル・コンピューターは、前記インターネットとのインタフェースを有し、
前記メッセージ・アドレス確認コンピューターは、前記インターネットとのインタフェースを有し、
前記インターネットの使用を通じて、前記クライアント・コンピューターから、前記アプリケーションサービス・コンピューターへアクセスする
ことを特徴とするインターネットセキュア通信装置。 - 前記ファイアウォールトンネル・コンピューターによって、前記第1の任意のメッセージを定義する手段を有する
ことを特徴とする請求項21に記載のインターネットセキュア通信装置。 - 前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、
前記アプリケーションサービス・コンピューターの中のアプリケーション・プログラムは、前記メッセージ・アドレス確認コンピューターによって、HTTPメッセージ配送メカニズムが生成されるように、前記ブリッジ・コンピューターのプログラムを制御する
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、
前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、
前記メッセージ・アドレス確認コンピューターは、前記ブリッジ・コンピューターのソフトウェアのインスタンスを認証する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、ブリッジ・コンピューターのプログラムを実行し、
前記ブリッジ・コンピューターのプログラムは、前記メッセージ・アドレス確認コンピューターへのHTTP接続の開始、および前記アプリケーションサービス・コンピューターへのHTTP接続の開始によって、ブリッジ・コンピューターのソフトウェアのインスタンスを生成し、
前記ブリッジ・コンピューターのプログラムは、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、
前記一対のメッセージ・バッファは、メッセージを前記メッセージ・アドレス確認コンピューター内で実行されているブリッジサービスのプログラムと、前記アプリケーションサービス・コンピューター内で実行されているブリッジサービス・サーバーのプログラムの間を双方向に転送する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、
前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへ第1のHTTP接続および、前記アプリケーションサービス・コンピューターへ第2のHTTP接続を開始し、
前記メッセージ処理層は、各々の前記HTTP接続に対して定義された、送信メッセージ・バッファと受信メッセージ・バッファからなる一対のメッセージ・バッファを定義し、
前記トランスポート層は、前記メッセージ・アドレス確認コンピューターから前記第1の接続を経由する通信の第1のメッセージを検索し、
前記メッセージ処理層は、前記第1のメッセージに書かれた許可ルールを実行し、
前記メッセージ処理層は、前記第1のメッセージを前記第1の接続の受信メッセージ・バッファから前記第2の接続の送信メッセージ・バッファへ移動し、
前記トランスポート層は、前記第2の接続を経由して、前記アプリケーションサービス・コンピューターへ前記第1のメッセージを送信し、
前記トランスポート層は、前記アプリケーションサービス・コンピューターから前記第2の接続を経由する通信の第2のメッセージを検索し、
前記メッセージ処理層は前記第2のメッセージに書かれた許可ルールを実行し、
前記メッセージ処理層は、前記第2のメッセージを前記第2の接続の受信メッセージ・バッファから前記第1の接続の送信メッセージ・バッファへ移動し、
前記トランスポート層は、前記第1の接続を経由して、前記メッセージ・アドレス確認コンピューターへ前記第1のメッセージを送信する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 前記通信中のメッセージは、異なるアプリケーションに対して、各々異なるプロトコルが組み立てられている
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、
前記トランスポート層は、前記メッセージ・アドレス確認コンピューターへの多数のメッセージと、前記アプリケーションサービス・コンピューターへの多数のメッセージを多重化送信する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、
前記トランスポート層は、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムからの多数のメッセージ、および前記アプリケーションサービス・コンピューターからの多数のメッセージを多重化受信する
ことを特徴する請求項12に記載のインターネットセキュア通信方法。 - 前記ファイアウォールトンネル・コンピューターは、トランスポート層とメッセージ処理層を持つブリッジ・コンピューターのプログラムを実行し、
前記トランスポート層は、前記メッセージ・アドレス確認コンピューターと十分な多数のHTTP接続、および前記アプリケーションサービス・コンピューターと十分な多数のHTTP接続を生成し、
全てのメッセージのレイテンシーは、予め定義されたレイテンシー値の範囲内で持続し、
全てのメッセージのスループットは予め定義されたスループット値の範囲内で持続する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、
各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行する
ことを特徴とする請求項12に記載のインターネットセキュア通信方法。 - 多数のファイアウォールトンネル・コンピューターは、前記メッセージ・アドレス確認コンピューターと通信し、
各々のファイアウォールトンネル・コンピューターは、前記メッセージを可能にするブリッジコンピューター・プログラムを実行し、
前記メッセージ・アドレス確認コンピューターは、前記多数のファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと通信するブリッジサービス・プログラムを実行する
ことを特徴とする請求項1に記載のインターネットセキュア通信方法。 - 各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、
前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して、送信メッセージ・バッファを定義し、
前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファする
ことを特徴とする請求項21に記載のインターネットセキュア通信装置。 - 前記ブリッジサービス・プログラムは、1つのブリッジコンピューター・プログラムから送信された多数のメッセージをバッファする
ことを特徴とする請求項33に記載のインターネットセキュア通信装置。 - 各コンピューターメッセージのインスタンスを有効にする手段は、さらに各々の前記ファイアウォールトンネル・コンピューター内のブリッジコンピューター・プログラムと、前記メッセージ・アドレス確認コンピューター内のブリッジサービス・プログラムで構成され、
前記ブリッジサービス・プログラムは、各ブリッジコンピューター・プログラムによって送信された多数のメッセージを受け入れることが可能であり、
前記ブリッジサービス・プログラムは、各前記ブリッジコンピューター・プログラムに対して送信メッセージ・バッファを定義し、
前記ブリッジサービス・プログラムは、その各々の前記送信メッセージ・バッファ内の各前記ブリッジコンピューター・プログラムと通信する各メッセージ・インスタンスをバッファし、
前記ブリッジサービス・プログラムは、各メッセージを同一数のアプリケーションメッセージキューに転送する
ことを特徴とする請求項21に記載のインターネットセキュア通信装置。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US10/454,336 US20040249958A1 (en) | 2003-06-04 | 2003-06-04 | Method and apparatus for secure internet communications |
US10/454,336 | 2003-06-04 | ||
PCT/JP2004/008183 WO2004111864A1 (ja) | 2003-06-04 | 2004-06-04 | インターネットセキュア通信装置及び通信方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
JPWO2004111864A1 true JPWO2004111864A1 (ja) | 2006-07-20 |
Family
ID=33489717
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005506926A Pending JPWO2004111864A1 (ja) | 2003-06-04 | 2004-06-04 | インターネットセキュア通信装置及び通信方法 |
Country Status (4)
Country | Link |
---|---|
US (1) | US20040249958A1 (ja) |
JP (1) | JPWO2004111864A1 (ja) |
CN (1) | CN1759381A (ja) |
WO (1) | WO2004111864A1 (ja) |
Families Citing this family (15)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7814208B2 (en) * | 2000-04-11 | 2010-10-12 | Science Applications International Corporation | System and method for projecting content beyond firewalls |
US7363378B2 (en) * | 2003-07-01 | 2008-04-22 | Microsoft Corporation | Transport system for instant messaging |
NO318887B1 (no) * | 2003-09-05 | 2005-05-18 | Paradial As | Sanntidsproxyer |
US7360243B2 (en) | 2003-10-02 | 2008-04-15 | Adria Comm Llc | Standard based firewall adapter for communication systems and method |
US7478424B2 (en) * | 2004-11-30 | 2009-01-13 | Cymtec Systems, Inc. | Propagation protection within a network |
US7565395B2 (en) * | 2005-02-01 | 2009-07-21 | Microsoft Corporation | Mechanism for preserving session state when using an access-limited buffer |
US7853956B2 (en) * | 2005-04-29 | 2010-12-14 | International Business Machines Corporation | Message system and method |
US7983254B2 (en) * | 2005-07-20 | 2011-07-19 | Verizon Business Global Llc | Method and system for securing real-time media streams in support of interdomain traversal |
US7706373B2 (en) * | 2006-11-01 | 2010-04-27 | Nuvoiz, Inc. | Session initiation and maintenance while roaming |
KR101323852B1 (ko) * | 2007-07-12 | 2013-10-31 | 삼성전자주식회사 | 공용 보안 정책을 기반으로 하는 가상 방화벽 시스템 및 그제어방법 |
US9390172B2 (en) * | 2009-12-03 | 2016-07-12 | Microsoft Technology Licensing, Llc | Communication channel between web application and process outside browser |
CN102375865B (zh) * | 2010-08-24 | 2016-08-03 | 腾讯科技(深圳)有限公司 | 一种消息客户端的消息更新方法及消息客户端 |
CN102571751B (zh) * | 2010-12-24 | 2014-12-31 | 佳能It解决方案株式会社 | 中继处理装置及其控制方法 |
CN104793506B (zh) * | 2015-04-13 | 2019-02-26 | 卢军 | 面向物联网智能家庭设备控制的可移植控制方法及系统 |
US11290425B2 (en) * | 2016-02-01 | 2022-03-29 | Airwatch Llc | Configuring network security based on device management characteristics |
Family Cites Families (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP3688830B2 (ja) * | 1995-11-30 | 2005-08-31 | 株式会社東芝 | パケット転送方法及びパケット処理装置 |
JP3253542B2 (ja) * | 1996-11-22 | 2002-02-04 | 株式会社日立製作所 | ネットワーク通信システム |
JP3736173B2 (ja) * | 1998-05-19 | 2006-01-18 | 株式会社日立製作所 | ネットワーク管理システム |
US6233688B1 (en) * | 1998-06-30 | 2001-05-15 | Sun Microsystems, Inc. | Remote access firewall traversal URL |
US7200684B1 (en) * | 2000-04-13 | 2007-04-03 | International Business Machines Corporation | Network data packet classification and demultiplexing |
JP3777302B2 (ja) * | 2000-12-21 | 2006-05-24 | 富士通株式会社 | 通信振り分け制御装置、および通信振り分けプログラムを記憶した記憶媒体 |
GB2373418A (en) * | 2001-03-16 | 2002-09-18 | Kleinwort Benson Ltd | Method and system to provide and manage secure access to internal computer systems from an external client |
US20030046587A1 (en) * | 2001-09-05 | 2003-03-06 | Satyam Bheemarasetti | Secure remote access using enterprise peer networks |
US20030217149A1 (en) * | 2002-05-20 | 2003-11-20 | International Business Machines Corporation | Method and apparatus for tunneling TCP/IP over HTTP and HTTPS |
-
2003
- 2003-06-04 US US10/454,336 patent/US20040249958A1/en not_active Abandoned
-
2004
- 2004-06-04 WO PCT/JP2004/008183 patent/WO2004111864A1/ja active Application Filing
- 2004-06-04 CN CN200480006358.XA patent/CN1759381A/zh active Pending
- 2004-06-04 JP JP2005506926A patent/JPWO2004111864A1/ja active Pending
Also Published As
Publication number | Publication date |
---|---|
CN1759381A (zh) | 2006-04-12 |
WO2004111864A1 (ja) | 2004-12-23 |
US20040249958A1 (en) | 2004-12-09 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11411995B2 (en) | Infrastructure level LAN security | |
CN110870277B (zh) | 将中间盒引入到客户端与服务器之间的安全通信中 | |
CN106375493B (zh) | 一种跨网络通信的方法以及代理服务器 | |
US8893260B2 (en) | Secure remote access public communication environment | |
Arregoces et al. | Data center fundamentals | |
US9094400B2 (en) | Authentication in virtual private networks | |
US9756135B2 (en) | Accessing network services from external networks | |
US8332464B2 (en) | System and method for remote network access | |
US8713305B2 (en) | Packet transmission method, apparatus, and network system | |
US8340103B2 (en) | System and method for creating a secure tunnel for communications over a network | |
US10097523B2 (en) | Method and system for providing secure remote external client access to device or service on a remote network | |
CN106209838B (zh) | Ssl vpn的ip接入方法及装置 | |
US20020023143A1 (en) | System and method for projecting content beyond firewalls | |
JP6511194B2 (ja) | 高速且つスケーラブルなデータベースクラスタ通信経路 | |
JPWO2004111864A1 (ja) | インターネットセキュア通信装置及び通信方法 | |
US20030191932A1 (en) | ISCSI target offload administrator | |
WO2007002710A1 (en) | Offload stack for network, block and file input and output | |
US11936613B2 (en) | Port and loopback IP addresses allocation scheme for full-mesh communications with transparent TLS tunnels | |
WO2009062504A1 (en) | Secure communication between a client and devices on different private local networks using the same subnet addresses | |
Yin et al. | Building an application-aware IPsec policy system | |
CN100583891C (zh) | 一种通讯加密的方法与系统 | |
Marinov et al. | Performance Analysis of SNMP over SSH | |
Diamond et al. | Securing InfiniBand traffic with BlueField-2 data processing units | |
Diamond | Securing Infiniband Networks with End-Point Encryption | |
JP7193760B2 (ja) | 通信装置、及び通信方法 |