(57)【特許請求の範囲】
【請求項１】
バックボーンとしてインターネットを利用するソースサイトと目的地サイト間のプライベートなそしてセキュアなワイドエリアネットワークであって、
インターネットのアクセスのためソースのＩＳＸ／ＩＳＰプロバイダーのルータへ信号パスを提供する第１の専用のローカルループ接続と、
ソースサイトに位置しそして該第１の専用のローカルループ接続と結合された出力端を有するチャンネルサービスユニットを持つ、ソースのルーターと、
ソースサイトに位置しそして通信が該プライベートなそしてセキュアなワイドエリアネットワーク（以降ＷＡＮという）上でなされることが望まれる前記ソースサイトの１つまたはそれ以上の第１のコンピュータまたは他の装置へと、直接またはローカルエリアネットワークを通じて結合するための第１のポートを持ち、そして該ソースのルーターへと直接またはローカルエリアネットワークを通じて結合されたＷＡＮインターフェースを持つソースのファイヤーウォール回路と、
ここで該ソースのファイヤーウォールは、目的地インターネットプロトコルアドレス（以降ＩＰアドレスという）であって目的地サイトにおけるコンピュータまたは他の装置のＩＰアドレスのセットの１つを有する該第１のコンピュータまたは他の装置から送信された何れかのインターネットプロトコルパケット（以降ＩＰパケットという）をインキャプシュレートする機能を有し、該インキャプシュレートは鍵を有する任意の暗号化の方法を利用してＡｌｔｅｒＷＡＮパケットのペイロード部分を暗号化するために目的地アドレスとして該目的地サイトのファイヤーウォールのＩＰアドレスを有するＩＰパケットのペイロード部分になされ、そして該ＡｌｔｅｒＷＡＮパケットを該ソースのルータに送信し、
ここでＩＰパケットは、それらの目的地アドレスとして該ソースサイトまたは該目的地サイトのいずれかのコンピュータまたは他の装置のＩＰアドレスを有し、そして限定されたペイロードとして該ソースサイトまたは該目的地サイトのコンピュータまたは他の装置から送信された暗号化されたＩＰパケットを有し、以降ＡｌｔｅｒＷＡＮパケットとして参照され、
しかし、それらの目的地アドレスとして該目的地サイトのコンピュータまたは他の装置の該ＩＰアドレスの１つであるＩＰアドレスを有さない、該第１のコンピュータまたは他の装置から送信されたいずれのＩＰパケットもＡｌｔｅｒＷＡＮパケットにはインキャプシュレートされず、
そして、該目的地サイトにおけるコンピュータおよび装置を含む種々のソースから入来するＩＰパケットを該ソースのルータを介して受信し、そしてこれらのＩＰパケットの中のＡｌｔｅｒＷＡＮパケットを認識し、そして同じ暗号化の方法および鍵またはＡｌｔｅｒＷＡＮパケットを暗号化するために使用された鍵を利用して、該ＡｌｔｅｒＷＡＮパケットにインキャプシュレートされた該ＩＰパケットを復元し、そして少なくとも該復元されたＩＰパケットを該ソースサイトの１つまたはそれ以上のコンピュータまたは装置に送信するために、該ＡｌｔｅｒＷＡＮパケットのペイロードを解読し、
該ソースのＩＳＸ／ＩＳＰプロバイダーを除くインターネットのサービスを提供する他の参加しているＩＳＸ／ＩＳＰプロバイダーの持つ１つまたはそれ以上のルーターと、ここで該１つまたはそれ以上のルーターは終端地点において参加しているＩＳＸ／ＩＳＰプロバイダーにおけるルーターを含み、該ソースおよび終端地点におけるＩＳＸ／ＩＳＰプロバイダーおよび該他の参加しているＩＳＸ／ＩＳＰプロバイダーの該ルーターは、該ソースのＩＳＸ／ＩＳＰプロバイダーのルーターを該終端の地点における他の参加しているＩＳＸ／ＩＳＰプロバイダーのルーターへと該参加しているＩＳＸ／ＩＳＰプロバイダーの該１つまたはそれ以上のルーターを通って結合する、該ＡｌｔｅｒＷＡＮパケットのためのあらかじめ定められたプライベートトンネルデータパスを構築する機能を果たし、
ここで該ソースおよび終端地点のＩＳＸ／ＩＳＰプロバイダーおよび該他のＩＳＸ／ＩＳＰプロバイダーは、提供の契約をし、これらが実際に該ソースサイトと該目的地サイトとの間のデータパスにおけるホップ回数の少ない部分において提供し、該ＡｌｔｅｒＷＡＮパケットは、該ソースサイトと該目的地サイトとの間におけるＡｌｔｅｒＷＡＮパケットのトラフィックに関し、各ＩＳＸ／ＩＳＰプロバイダーが提供する該ＡｌｔｅｒＷＡＮパケットにより伝送される該データパスの該部分において、実質的に最悪の場合のバンド幅消費を超える平均の利用可能なバンド幅を有することを立証するために前もってテストされたインターネットサービスのプロバイダーであり、
目的地のルーターであって、該目的地のルーターと結合されるかまたはその一部であるチャンネルサービスユニットを含み、該チャンネルサービスユニットおよび第２の専用ローカルループ接続を通じて該終端の地点のＩＳＸ／ＩＳＰプロバイダーのルーターと結合された該目的地のルーターと、
該目的地のルーターへと直接またはローカルエリアネットワークを通じて結合されたＷＡＮインターフェースを持ち、該プライベートそしてセキュアなワイドエリアネットワーク上での通信が望まれる１つまたはそれ以上のコンピュータまたは装置へと、直接またはローカルエリアネットワークを通じて結合するための第２のポートを持つ目的地のファイヤーウォール回路を有し、
該目的地のファイヤーウォールは、該目的地サイトにおける該１つまたはそれ以上のコンピュータまたは装置から送信されそしてそれらの目的地アドレスとして該ソースサイトにおける該１つまたはそれ以上のコンピュータまたは装置の該ＩＰアドレスを有するＩＰパケットをＡｌｔｅｒＷＡＮパケットのペイロード部分にインキャプシュレートするように機能し、そして該ＡｌｔｅｒＷＡＮパケットのペイロードを暗号化し、そして該ＡｌｔｅｒＷＡＮパケットを該目的地のルーターに送信するが、該目的地サイトにおける該１つまたはそれ以上のコンピュータまたは装置から送信された、これらの目的地アドレスとして該ソースサイトにおける該１つまたはそれ以上のコンピュータまたは装置のＩＰアドレスを有することのないいずれのＩＰパケットもＡｌｔｅｒＷＡＮパケットにインキャプシュレートしないようにし、そして、該目的地サイトを介し該ソースサイトにおける該１つまたはそれ以上のコンピュータまたは装置を含む種々のソースからＩＰパケットを受信し、そして該受信されたＩＰパケットの中からＡｌｔｅｒＷＡＮパケットを認識し、そして該ソースのファイヤーウォールにより該ＡｌｔｅｒＷＡＮパケットの該ペイロード部分を暗号化するために使用されたのと同じ暗号化プロトコールおよび同じ鍵または該ソースのファイヤーウォールにより使用された鍵を使用して、元のＩＰパケットを復元するために該ＡｌｔｅｒＷＡＮパケットのペイロード部分を解読し、そしてＡｌｔｅｒＷＡＮパケットから復元された少なくとも解読されたＩＰパケットを該目的地サイトにおける該１つまたはそれ以上のコンピュータまたは装置に送信するために機能する、
該ワイドエリアネットワーク。
【請求項２】
バックボーンとしてインターネットを利用し、顧客のソースサイトと目的地サイトの間でワイドエリアネットワークを実行するために、ソースサイトのコンピュータと目的地サイトのコンピュータとの間でＡｌｔｅｒＷＡＮデータパケットをセキュアに送信するが、これはプライベートでありそして該顧客のみが利用でき、ＡｌｔｅｒＷＡＮではないパケットを通常のインターネットのトラフィックをルーチングするデータパスへと同時に送信するプロセスであって、
ソースのファイヤーウォールにおいて、顧客のソースサイトのコンピュータから入来するインターネットプロトコルパケット（以降ＩＰパケットという）を受信し、該ＩＰパケットのいくつかはそれらの目的地アドレスとして前記顧客の目的地サイトにおけるコンピュータのインターネットプロトコルアドレス（以降ＩＰアドレストという）を有し、
該ソースのファイヤーウォールにおいて、各該受信されたＩＰパケットの目的地アドレスを該顧客の該目的地サイトにおけるコンピュータのＩＰアドレスと比較し、そして、もしこのＩＰパケットがその目的地アドレスとして該目的地サイトのコンピュータのＩＰアドレスを有する場合には、前記ＩＰパケットはインターネット上のバーチャルプライベートネットワークを介して該目的地サイトの該コンピュータに送信する必要のあるＡｌｔｅｒＷＡＮパケットペイロードであると結論し、もし該受信したＩＰパケットの該目的地アドレスが該目的地サイトにおけるコンピュータのＩＰアドレスでない場合には、該ＩＰパケットはＡｌｔｅｒＷＡＮペイロードパケットではなく、ルート付けされるべき他のＩＰパケットとしてルート付けする必要があると結論し、
もし受信されたＩＰパケットがＡｌｔｅｒＷＡＮペイロードパケットの場合は、該ＡｌｔｅｒＷＡＮペイロードパケットを、その目的地アドレスとして該バーチャルプライベートネットワークの目的地終端のファイヤーウォールのＩＰアドレスを有するＩＰパケットのペイロード部分にインキャプシュレートし（以降ＡｌｔｅｒＷＡＮパケットとして参照される。）、そして該ＡｌｔｅｒＷＡＮペイロードパケットを復元するために該目的地サイトにおけるファイヤーウォールにより同じ暗号アルゴリズムおよび鍵が使用可能である鍵を有するいずれかの暗号アルゴリズムを使用して、該ソースのファイヤーウォールにおいて該ＡｌｔｅｒＷＡＮパケットのペイロードの部分を暗号化し、そして該ＡｌｔｅｒＷＡＮパケットをソースのルーターへと転送し、
もし受信されたＩＰパケットがＡｌｔｅｒＷＡＮペイロードパケットでない場合は、ＡｌｔｅｒＷＡＮペイロードパケットではない該受信されたＩＰパケット（以降ＡｌｔｅｒＷＡＮではないパケットとして参照される。）を該ソースのルーターへ、該ＡｌｔｅｒＷＡＮではないパケットをＡｌｔｅｒＷＡＮパケットにインキャプシュレートすることなく転送し、
該ソースのルーターにおいて、該ＡｌｔｅｒＷＡＮパケットおよび該ＡｌｔｅｒＷＡＮではないパケットの双方を、該ソースのルーターを特別に選択されたソースの参加しているＩＳＸ／ＩＳＰプロバイダーへと結合する専用ローカルループ接続上での送信に適した信号へと変換し、該信号を該特別に選択されたソースの参加しているＩＳＸ／ＩＳＰプロバイダーへと送信し、
特別に選択されたソースの参加しているＩＳＸ／ＩＳＰプロバイダーは、そのルーチングテーブルが、ＡｌｔｅｒＷＡＮパケットはバンド幅が広くホップ回数の少ないデータパスに沿って該バーチャルプライベートネットワークにおける次の参加しているＩＳＸ／ＩＳＰプロバイダーへとナチュラルにルーチングされるようになっている故に、または、ＡｌｔｅｒＷＡＮパケットが該バーチャルプライベートネットワークに沿って次のＩＳＸ／ＩＳＰプロバイダーへとバンド幅が広くホップ回数の少ないデータパスに沿ってルーチングされることが確実であるように、該特別に選択されたソースの参加しているＩＳＸ／ＩＳＰプロバイダーのルーターにあるルーチングテーブルが変更されている故に選択され、ここで該ソースの参加しているＩＳＸ／ＩＳＰプロバイダーは、該ソースサイトと該顧客の該目的地サイトとの間を伝わるＡｌｔｅｒＷＡＮパケットについて最悪の場合を超える平均の利用可能なバンド幅消費を有する該ＡｌｔｅｒＷＡＮパケットのためのデータパスを提供するように契約されている、
ステップから成る該プロセス。
【請求項３】
インターネットのアクセスを提供するために特別に選択された第１の参加しているＩＳＸ／ＩＳＰプロバイダーへ信号を結合するための専用データパスと、
バックボーンとしてインターネットを利用する顧客のソースサイトと目的地サイトと間のプライベートワイドエリアネットワーク上での通信が望まれる１つまたはそれ以上の装置と直接にまたはローカルエリアネットワークを介して結合するための第１のポートを有し、そして第２のポートを有する第１のファイヤーウォール回路と、
ここで該ファイヤーウォールは通常のパケットとＡｌｔｅｒＷＡＮペイロードパケットとを区別するために、該ソースサイトにおける１つまたはそれ以上の装置から受信された各パケットのヘッダー内の目的地アドレスを使用する機能を有し、ここでＡｌｔｅｒＷＡＮペイロードパケットは該目的地サイトまたは該ソースサイトにおける装置にアドレスされたパケットであり、そしてここで該目的地サイトにおけるコンピュータが、第２のファイヤーウォール回路および該第１のファイヤーウォール回路における該ソースサイトにおいて終端となりそして該第２のファイヤーウォール回路における外目的地サイトにおいて終端となるインターネットのようなパブリックワイドエリアネットワークを通るバーチャルプライベートネットワークトンネルを介して、該ソースサイトのコンピュータに接続され、そしてここで従来のパケットは該目的地サイトにおける装置にアドレスされていないパケットであり、該第１のファイヤーウォール回路は該ＡｌｔｅｒＷＡＮペイロードパケットを該バーチャルプライベートネットワークトンネルの該目的地終端の該第２のファイヤーウォール回路にアドレスされたＡｌｔｅｒＷＡＮパケットのペイロード部分にインキャプシュレートするために機能し、そしてさらに１つまたはそれ以上のあらかじめ定められた鍵および暗号化のアルゴリズムを利用してＡｌｔｅｒＷＡＮパケットのペイロードを暗号化するために機能し、そして該第１のファイヤーウォール回路はさらにその目的地アドレスを該第１のファイヤーウォール回路のアドレスとを比較しそして該第１のファイヤーウォール回路にアドレスされたいずれかの入来するパケットがＡｌｔｅｒＷＡＮパケットであり、そして該第１のファイヤーウォール回路に接続された該ソースサイトにおける１つまたはそれ以上のコンピュータにアドレスされた全てのパケットが従来のパケットであると結論することにより、入来するＡｌｔｅｒＷＡＮパケットと従来のパケットとを区別し、そしてインキャプシュレートされたＡｌｔｅｒＷＡＮペイロードパケットを復元するためにいずれかの入来するＡｌｔｅｒＷＡＮパケットのペイロード部分を同じ暗号化アルゴリズムおよびＡｌｔｅｒＷＡＮパケットを暗号化するために使用された１つまたはそれ以上の予め定められた鍵を使用して解読するようにに機能し、そして
該ファイヤーウォール回路の該第２のポートへと直接にまたはローカルエリアネットワーク接続によって結合された入力端を持ち、該専用データパスへと結合された出力端を持つチャンネルサービスユニットを持つソースのルーターと、
ここで該ルータおよびチャンネルサービスユニットは該第１のファイヤーウォール回路から該ＡｌｔｅｒＷＡＮおよび該従来のパケットを受信し、該パケットを該専用データパスのために選択された種類の送信メディア上での送信に適した信号へと変換する機能を有し、そして該専用データパスから受信された信号をデータパケットへと変換するためのものであり、該ソースのルーターはＡｌｔｅｒＷＡＮパケットおよび従来のパケットの双方を該専用データパス上で該特別に選択された第１の参加しているＩＳＸ／ＩＳＰプロバイダーへと送信するためのものであり、ここで該ＡｌｔｅｒＷＡＮパケットは該バーチャルプライベートネットワークトンネルおよび特別に選択された参加しているＩＳＸ／ＩＳＰプロバイダーを介して該第２のファイヤーウォール回路へと経路が設定され、またＡｌｔｅｒＷＡＮではないパケットは該バーチャルプライベートネットワークトンネルではないインターネット上のパスに沿って経路が設定され、ここで該第１の参加しているＩＳＸ／ＩＳＰプロバイダーおよび全ての該他のＩＳＸ／ＩＳＰプロバイダーは、契約されそして該ソースサイトと該目的地サイトとの間で伝えられるＡｌｔｅｒＷＡＮパケットにおいて最悪の場合のバンド幅消費を実質的に超える平均の利用可能なバンド幅を有するホップ回数の少ないデータパスを形成するために結合するＡｌｔｅｒＷＡＮパケットのためのデータパスを実際に提供するプロバイダーである、
から成る装置。
【請求項４】
インターネットをバックボーンとして利用してワイドエリアネットワークを設計し構築する方法であって、
１）ワイドエリアネットワークによって接続する必要のあるコンピュータまたは装置(以降簡単化のためコンピュータとして参照される)を有するソースサイトおよび目的地サイトを選択し、
２）該ソースサイトおよび目的地サイトの間でＡｌｔｅｒＷＡＮパケットをルート付けすることのできる、利用可能なＩＳＸ／ＩＳＰインターネットサービスプロバイダーを調べ、そして少なくともソースのＩＳＸ／ＩＳＰプロバイダーと目的地のＩＳＸ／ＩＳＰプロバイダーとを含む参加しているＩＳＸ／ＩＳＰプロバイダーとして該ソースサイトおよび目的地サイト間を伝わるＡｌｔｅｒＷＡＮパケットデータがそこを通じてルーチングされる２つまたはそれ以上のＩＳＸ／ＩＳＰプロバイダーを選択し、該参加しているＩＳＸ／ＩＳＰプロバイダーの該選択がインターネットにおけるホップ回数を最小化するようにさせ、そして該ソースおよび目的地サイトのコンピュータ間を伝わる該ＡｌｔｅｒＷＡＮパケットが通るデータパスの利用可能なバンド幅の平均が、該ソースサイトおよび目的地サイト間のトラフィックが消費する最悪の場合のバンド幅よりもはるかに広いことを保障するために、参加しているＩＳＸ／ＩＳＰプロバイダーにおけるルーターはＡｌｔｅｒＷＡＮパケットを該ソースサイトおよび目的地サイト間を伝わる間に得られるようにし、
３)ＡｌｔｅｒＷＡＮパケットがインターネットを通ることについてデータパスを検証するための、そして配送することを約束した参加しているＩＳＸ／ＩＳＰプロバイダが実際に配送することを検証するためのテストをすることによって、ステップ２において選択されたＩＳＸ／ＩＳＰプロバイダを前もってテストし、
４）該ソースおよび目的地サイト間で該ＡｌｔｅｒＷＡＮパケットが伝わるのに必要とされるインターネット上でのホップ回数を最小化するために、そしてＡｌｔｅｒＷＡＮパケットが該ソースおよび目的地サイト間を伝わるために通らなければならないデータパス内の平均の利用可能なバンド幅をソースおよび目的地サイト間のトラフィックについて最悪の場合のバンド幅消費よりも実質的に広くし、そして必要の場合には、該ホップ回数を最小にしそしてＡｌｔｅｒＷＡＮパケットをルーチングする場合に契約された該バンド幅を保証するために、該参加しているＩＳＸ／ＩＳＰプロバイダのルーチングテーブルにデータを設定することを保障するために、該参加しているＩＳＸ／ＩＳＰプロバイダとＡｌｔｅｒＷＡＮパケットのルーチングを提供することを契約し、
５)該信号が表れるソースのルータの出力とステップ２で選択されたＩＳＸ／ＩＳＰプロバイダーのグループの中の該ソースのＩＳＸ／ＩＳＰプロバイダとの間に第１の専用ローカルループ接続を確立することを契約し、
なお、該第１の専用のローカルループ接続は該ソースおよび目的地サイト間を伝わるＡｌｔｅｒＷＡＮパケットについて最悪の場合のトラフィック量を処理するのに十分な広さのバンド幅を有し、
６）目的地のルータの入力を該目的地のＩＳＸ／ＩＳＰプロバイダと結合する第２の専用ローカルループ接続を提供することを契約し、
なお、該第２の専用ローカルループ接続は該ソースおよび目的地サイト間を伝わるＡｌｔｅｒＷＡＮパケットについて最悪の場合のトラフィック量を処理するのに十分な広さのバンド幅を有し、
７）ソースのファイヤーウォール／バーチャルプライベートネットワーク回路（以降ソースのファイヤーウォールとして参照される）の信頼されていないポートをソースのルータと結合し、そして該ソースのファイヤーウォールの信頼されているポートを該装置または該ソースサイトにおける装置と結合し、
そして該ソースのファイヤーウォールを、該ソースサイトにある該装置から受信するインターネットプロトコルパケット(以降ＩＰパケットという)の目的地アドレスを調べ、そして該目的地サイトにあるいずれかの装置のインターネットプロトコルアドレス(以降ＩＰアドレスという)である目的地アドレスを有する各ＩＰパケットを第２のＩＰパケットのペイロード部分としてインキャプシュレートするように設定し（以降ＡｌｔｅｒＷＡＮパケットという）、
ここで、該ＡｌｔｅｒＷＡＮパケットはその目的地アドレスとして該目的地サイトにある目的地ファイヤーウォール／バーチャルプライベートネットワーク回路(以降目的地ファイヤーウォールとして参照される)の信頼されていないポートのＩＰアドレスを有し、そしてＡｌｔｅｒＷＡＮパケットヘッダとしてここで参照される該ペイロード部分ではない該ＡｌｔｅｒＷＡＮパケットの部分を有するペイロードとして元のＩＰパケットを有し、
該ソースのファイヤーウォールはまた全ての該ＡｌｔｅｒＷＡＮパケットのペイロードの部分をあらかじめ定められた暗号化アルゴリズムおよび１つまたはそれ以上の暗号鍵を使って暗号化するが、それらの目的地アドレスとして該目的地サイトにおけるいずれかの装置のＩＰアドレスを有しない、該ソースサイトにある該装置から受信されたパケット(以降ＡｌｔｅｒＷＡＮではないパケットとして参照される)のペイロード部分はインキャプシュレートしたり暗号化したりしないように設定されており、
そして、該目的地サイトにおけるコンピュータにより該目的地のファイヤーウォールに送信された元のＩＰパケットを回復するために、該目的地のファイヤーウォールからそれらが送信された場合に、目的地アドレスとして該ソースのファイヤーウォールの信頼されていないポートのＩＰアドレスを持つ全ての入来するＡｌｔｅｒＷＡＮパケットを認識し、そしてＡｌｔｅｒＷＡＮパケットのヘッダーを取り去り、個々の該入来するＡｌｔｅｒＷＡＮパケットのペイロードの部分を解読し、該ＡｌｔｅｒＷＡＮパケットのペイロードの部分を暗号化するために使われたものと同じ暗号化アルゴリズムおよび同じ１つまたはそれ以上の暗号鍵を利用して、該目的地のファイヤーウォールから送られた元のＩＰパケットを復元し、該復元された元のＩＰパケットを該装置または該元のＩＰパケットの目的地アドレスであるＩＰアドレスを有する該ソースサイトにある装置へと出力するために、該ソースのファイヤーウォールを入来するＩＰパケットを遮るように設定し、
８）該暗号化されたＡｌｔｅｒＷＡＮパケットおよび暗号化されていないＡｌｔｅｒＷＡＮパケットを該ソースのファイヤーウォールの該信頼されていないポートから受信し、そしてチャンネルサービスユニット内の該暗号化されたＡｌｔｅｒＷＡＮパケットおよび暗号化されていないＡｌｔｅｒＷＡＮパケットを、該ソースのＩＳＸ／ＩＳＰプロバイダーへの該第１の専用ローカルループ接続上での送信に適した信号へと変換するために、ソースのルーターを結合し、
９）該目的地のファイヤーウォールの該信頼されていないポートに接続されたファイヤーウォールポートを有し、そして該第２の専用ローカルループ接続から暗号化されたＡｌｔｅｒＷＡＮパケットおよび従来技術のＩＰパケットの双方を符号化したダウンストリームに向けた信号を受信するように形成され、該信号を変換してデジタルＩＰパケットの形に戻し、該復元されたダウンストリームに向けたＩＰパケットを該目的地のファイヤーウォールの該信頼されていないポートに接続され該ファイヤーウォールのポートから出力するため該目的地のルーターを形成する、該第２の専用ローカルループ接続を介して該目的地のＩＳＸ／ＩＳＰプロバイダーに接続されたチャンネルサービスユニットを有する、目的地のルーターを該目的地サイトに設置し、
なお、該目的地のルーターは、アップストリームに向けたＡｌｔｅｒＷＡＮパケットおよび従来のＡｌｔｅｒＷＡＮではないＩＰパケットを受信し、該パケットの双方の形式を該目的地のルーターをステップ２において選択された参加しているＩＳＸ／ＩＳＰプロバイダーの組の中の該参加している目的地のＩＳＸ／ＩＳＰプロバイダーへと結合している該第２の専用のローカルループ接続上での送信に適した信号へと変換し、そして該信号を該第２の専用ローカルループ接続上で送信するように設定されており、
１０）該復元されたデジタルＩＰパケットを受信するように、該目的地のルーターの該ファイヤーウォールのポートへと結合された信頼されていないポートを持つ目的地のファイヤーウォールを設置し、
目的地アドレスとして該目的地のファイヤーウォールの信頼されていないポートのＩＰアドレスを持つ入来するＩＰパケットをＡｌｔｅｒＷＡＮパケットとして認識し、さらに各該ＡｌｔｅｒＷＡＮパケットのＡｌｔｅｒＷＡＮパケットヘッダーを取り去るように形成され、そして各該ＡｌｔｅｒＷＡＮパケットのペイロードの部分を、各ＡｌｔｅｒＷＡＮパケットにインキャプシュレートされた元のＩＰパケットを復元するように該ソースのファイヤーウォールにおいてこのＡｌｔｅｒＷＡＮパケットを暗号化するために使われたものと同じ暗号化アルゴリズムと暗号鍵を利用して解読するように、該目的地のファイヤーウォールを設定し、そして該目的地のファイヤーウォールを、解読された元のＩＰパケットを該目的地サイトにある１つの装置またはそれ以上の装置へと結合された出力端から出力するように設定し、そして該目的地のファイヤーウォールを、該目的地サイトにある１つの装置またはそれ以上の装置から受信されたアップストリームに向けたＩＰパケットの目的地アドレスを調べ、該ソースサイトのいずれかのコンピュータまたは他の装置へとアドレスされた個々のアップストリームのＩＰパケットでも別のＩＰパケットのペイロード部分としてインキャプシュレートするように設定し、これを以降アップストリームＡｌｔｅｒＷＡＮパケット（該目的地サイトから該ソースサイトの方に伝送されるＡｌｔｅｒＷＡＮパケット）として参照し、
該ＡｌｔｅｒＷＡＮパケットは、目的地アドレスとして該ソースサイトにある該ソースのファイヤーウォールの信頼されていないポートのＩＰアドレスを持ち、また、元のＩＰパケットをそのペイロードとして持ち、
該目的地のファイヤーウォールは、あらかじめ定められた暗号化アルゴリズムと、１つまたはそれ以上の暗号鍵を利用して、全ての該アップストリームＡｌｔｅｒＷＡＮパケットのペイロードの部分を暗号化するが、該目的地サイトにある該１つの装置またはそれ以上の装置から受信したＡｌｔｅｒＷＡＮでないＩＰパケットで、それらの目的地アドレスとして該ソースサイトにあるいずれの装置のＩＰアドレスも有しない全てのＩＰパケット（以降従来のＡｌｔｅｒＷＡＮでないパケットと呼ぶ）のペイロードの部分はインキャプシュレートも暗号化もしないように設定され、該目的地のファイヤーウォールは、該暗号化されたアップストリームＡｌｔｅｒＷＡＮパケットおよび該従来のＡｌｔｅｒＷＡＮでないパケットを該目的地のルーターへと該信頼されていないポートを介して送信するように設定される、
ステップから成る方法。
【請求項５】
顧客のソースサイトを顧客の目的地サイトに接続し、インターネットをバックボーンとして利用するプライベートワイドエリアネットワークであって、
インターネットのアクセスのための第１の参加しているＩＳＸ／ＩＳＰプロバイダーへと結合された第１の専用データパスと、
該第１の専用データパスへと結合された出力端を持つチャンネルサービスユニットを持つソースのルーターと、
顧客のソースサイトにおける１つまたはそれ以上の装置へ直接またはローカルエリアネットワークを通して結合するための第１のポートを持ち、該ソースのルーターへと直接またはローカルエリアネットワークを通して結合された信頼されていないポートを有するソースのファイヤーウォール回路と、
ここで該ファイヤーウォールの該信頼されていないポートはインターネットプロトコルアドレス(以降ＩＰアドレスという)を有し、
該ソースのファイヤーウォールは、顧客の目的地サイトにおける１つまたはそれ以上の装置へアドレスされた(以降ＡｌｔｅｒＷＡＮペイロードパケットという)該顧客のソースサイトにおける１つまたはそれ以上の装置からインターネットプロトコルパケット(以降ＩＰパケットという)を、そしてインターネット上の他の位置にアドレスされたＩＰパケット(以降従来のＩＰパケットという)を受信するように、そして該顧客の目的地サイトにおける目的地のファイヤーウォールの信頼されていないポートのＩＰアドレスにアドレスされたＩＰパケット(以降出力されるＡｌｔｅｒＷＡＮパケットという)のペイロード部分として該ＡｌｔｅｒＷＡＮペイロードパケットをインキャプシュレートするために機能し、そして出力されるＡｌｔｅｒＷＡＮパケットのペイロードを、目的地のファイヤーウォールにおいて知られている第１の暗号化方法を使用し、そして鍵または該目的地のファイヤーウォールに知られている鍵であって使用者が設定可能であるものを使用して暗号化するように、そして入来するＩＰパケットを受信しそして該入来するＩＰパケットの顧客アドレスを該ソースのファイヤーウォールの該信頼されていないポートの該ＩＰアドレスと比較するように、そして各入来するＡｌｔｅｒＷＡＮパケットからインキャプシュレートされたＡｌｔｅｒＷＡＮペイロードパケットを復元するためにいずれかの暗号化方法および鍵またはそれらを暗号化するために使用された鍵を使用してそれらの目的地アドレスとして該ソースのファイヤーウォール回路の該信頼されていないポートのＩＰアドレスを有するいずれかの入来するＩＰパケット(以降入来するＡｌｔｅｒＷＡＮパケットという)のペイロード部分を解読し、そして各復元されたＡｌｔｅｒＷＡＮペイロードパケットを該ＡｌｔｅｒＷＡＮペイロードパケットがアドレスされた該顧客のソースサイトにおける装置に送信するように機能し、
終端地点において参加しているＩＳＸ／ＩＳＰプロバイダーのルーターを含むインターネットサービスにおける、他の参加しているＩＳＸ／ＩＳＰプロバイダーの１つまたはそれ以上のルーターと、
ここで該ＩＳＸ／ＩＳＰプロバイダーの該ルーターは、該顧客のソースサイトにおける１つまたはそれ以上の装置が該顧客の目的地サイトにおける１つまたはそれ以上のコンピュータに接続されたインターネットを介するバーチャルプライベートネットワークトンネルの形式において、少ないホップ回数のデータパスを構築するように機能し、該少ないホップ回数のデータパスは該顧客のソースサイトと該顧客の目的地サイトの間を伝わるＡｌｔｅｒＷＡＮパケットにおける最悪の場合のバンド幅消費よりも実質的に大きい平均の利用可能なバンド幅を有し、
目的地のルータと、該目的地のルータは該目的地のルーターに接続されまたは該目的地のルーターの一部であるチャンネルサービスユニットを含み、ここで該目的地のルータは該チャンネルサービスユニットおよび第２の専用データパスを通して該終端地点の参加しているＩＳＸ／ＩＳＰプロバイダーの該ルータに接続されており、
該出力されるＡｌｔｅｒＷＡＮパケットがアドレスされるＩＰアドレスを有する信頼されていないポートを有する目的地のファイヤーウォール回路と、ここで該信頼されていないポートは該目的地のルーターへ直接またはローカルエリアネットワークを通して結合され、そして直接またはローカルエリアネットワークを通して該顧客の目的地サイトの１つまたはそれ以上の装置に接続するための第２のポートを有し、
ここで該目的地のファイヤーウォール回路は、該顧客の目的地サイトにおける該１つまたはそれ以上の装置から該顧客のソースサイトにおける１つまたはそれ以上の装置にアドレスされたＩＰパケット(以降ＡｌｔｅｒＷＡＮペイロードパケットという)を受信するように機能し、そして、他の従来のＩＰパケットを受信するように機能し、そして、該顧客のソースサイトにおける該ソースのファイヤーウォール回路の該信頼されていないポートの該ＩＰアドレスにアドレスされたＡｌｔｅｒＷＡＮドパケット(以降出力されるＡｌｔｅｒＷＡＮパケットという)のペイロード部分として該ＡｌｔｅｒＷＡＮペイロードパケットをインキャプシュレーティングし、そして、該ソースのファイヤーウォールに知られた暗号化方法および鍵または該ソースのファイヤーウォールに知られた鍵を使用して該出力されるＡｌｔｅｒＷＡＮパケットのペイロードを暗号化するために機能し、そして、入来するＩＰパケットを受信し、そして、該入来するＩＰパケットの該目的地アドレスを該目的地のファイヤーウォールの該信頼されていないポートの該ＩＰアドレスと比較し、そして、それらの目的地アドレスとして該目的地のファイヤーウォール回路の該信頼されていないポートのＩＰアドレスを有するいずれか入来するＩＰパケット(以降入来するＡｌｔｅｒＷＡＮパケットという)のペイロード部分を、各入来するＡｌｔｅｒＷＡＮパケットからインキャプシュレートされたＡｌｔｅｒＷＡＮペイロードパケットを復元するために、いずれかの暗号化方法および鍵または該入来するＡｌｔｅｒＷＡＮパケットを暗号化するために使用された鍵を使用して解読し、そして、各復元されたＡｌｔｅｒＷＡＮペイロードパケットを該顧客の目的地サイトにおいてアドレスされた装置に送信する、
ワイドエリアネットワーク。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、多くの地点間でデータ、特に大量のデータを送らなければならないクライアントにワイドエリアネットワークのサービスを提供する事に対して有用である。
【０００２】
【従来の技術】
従来技術のＷＡＮは、電話会社の提供するフレームリレーのネットワークおよび一つの地点から一つの地点への（ポイントツーポイント）ネットワークを含む。電話会社の提供するワイドエリアネットワーク（ＷＡＮ）サービスの一種として、リースラインがある。これはアナログであったりデジタルであったりするが、典型的にはｉｎｔｒａＬＡＴＡ（ローカルアクセスおよびトランスポートエリア）に基づいてローカルエクスチェンジキャリア（ＬＥＣ）によって提供される。また、ＩｎｔｅｒＬＡＴＡのリースラインを利用する事もできるが、ローカルループの接続を提供できるＬＥＣを持つインターエクスチェンジキャリア（ＩＸＣ）によって提供されなければならない。
【０００３】
こうしたＷＡＮサービスのもう一つとしては、バーチャルプライベートネットワーク（ＶＰＮ）として知られているものがある。ＶＰＮは、数多くのロケーションを持つ非常に大きな組織によって利用されるようになっている。ＶＰＮはプライベートリースラインのトランクのネットワークであるかのごとくにユーザーには見えるが、そうではない。一般にＶＰＮのサービスは、ネットワークのターミネーションの地点（そこからデータを送りだしたり受け取ったりする場所）と共に、それぞれのターミネーションにおいて必要とするバンド幅のレベルが明らかにされているインターエクスチェンジキャリア（ＩＸＣ）を利用して提供する。それぞれのネットワークのターミネーションと最も近くにある高性能なＩＸＣのＰＯＰ（ボイントオブプレゼンス）との間では専用回線（電話のライン）を設置してある。ＰＯＰ間の接続は専用回線ではないが、提供されるサービスのレベルが十分で、かつリースラインを利用した真のプライベートネットワークと同等である事を確かなものとするために、特定された高容量の伝送設備を優先的に経由してトラフィックを転送するためのルーチングテーブルを利用したルーターによって接続される。
【０００４】
他の携帯の公衆データネットワークとしては、ＤＤＳ、スイッチされた５６Ｋｂｐｓ；デジタルＴ−キャリアシステム；デジタル８００サービス；Ｘ．２５パケットのスイッチされたサービス；フレームリレーおよびセルスイッチング等のブロードバンドのデータネットワーク、ＡＤＳＬ、ＨＤＳＬ、Ｓｏｎｅｔ、スイッチされたメガビットデータサービス、ＩＳＤＮ、および高度インテリジェントネットワーク等がある。
【０００５】
１９７４年にＡＴ＆Ｔが導入したデータフォンデジタルサービス（ＤＤＳ）は、一般に終端から終端まで完全にデジタル化された専用サービスで、多くの通信会社が提供するサービスである。ＤＤＳは一つの地点から一つの地点への（ポイントツーポイント）サービスの場合もあるし、多地点間のサービスの場合もある。ヘッドエンドのフロントエンドプロセッサが、遠隔デバイスをポールする事によりネットワークへの全てのアクセスをコントロールする。全ての通信はヘッドエンドを経なければならない。ＤＤＳの信号はＴ１ライン上のロジカルなチャネルの中を運ばれる。
【０００６】
スイッチされた５６Ｋｂｐｓは回線によってスイッチされた（専用ラインではない）デジタルサービスで、データの量が少ない場合は費用効果が良好であるが、ＤＤＳと同じアプリケーションを提供するものである。全てのコンポーネントはＤＤＳと同じであるが、デジタルローカルループおよびデジタルキャリアエクスチェンジを利用する。ＤＤＳとの主な違いは、通話用の電話番号と同等なロジカルなアドレスを使ってトラフィックがルーチングされる事である。この回線は通話がスイッチされる様にセットアップされ、保守され、そして取り去られ、また価格体制も似たものである。コストは、距離、通話時間、時間帯、月日によって異なる。
【０００７】
デジタルＴ−キャリアシステム（フラクショナルＴ１サービスを含む）は複数の専用リンクで、時間分割多重化によって設定された複数のロジカルなチャンネルを使い、単一の物理的な通信回線上で多数のロジカルなチャンネルを介してデジタルデータを運ぶ。
【０００８】
デジタル８００サービスは１９９４年にＡＴ＆Ｔが導入したもので、大量の８００サービスを利用する中規模から大規模の顧客のためのものである。
【０００９】
Ｘ．２５パケットのスイッチングは６０年代の初期に発明され、１９７１年にＡＲＰＡＮＥＴ上に構築された。Ｘ．２５は、ＩＳＤＮやスイッチされた５６／６４ＫｂｐｓのＷＡＮのようにダイアルアップサービスで、従って、本発明の部類のＡｌｔｅｒＷＡＮネットワークにおけるＷＡＮのような専用ＷＡＮには適していない。パケットスイッチングの基本的なコンセプトは、ＷＡＮにおけるインターアクティブなコンピューター通信を支援する、非常にフレキシブルな共有されたネットワークを提供する。パケットスイッチング以前には、広い地域に分散しトラフィックがあまり頻繁にはないユーザーには、コンピューターのリソースを共有する費用効果の良好な手段は存在しなかった。非同期通信の特徴はバースト的で、少量のデータを送り、バーストとバーストとの間は長く無駄である。このような通信のために専用ラインを持つ事はバンド幅の浪費であり、高価である。パケットスイッチングは必要に応じて接続を提供し、送信されたパケットの数に応じて料金を請求する事によって、こうした問題を解決する。パケットスイッチングは、また、エラーに関する性能を改善した。典型的には、パケットでスイッチされたネットワークは、パケットスイッチングのノードの一つへのダイアルアップ接続を利用する。パケットスイッチングのノードへの接続がなされると、ターゲットのホストとのセッションを開始するための一つのコントロールパケットを送る。このコントロールパケットは、ノード間を数回ホップする事によって得られる最も直接的なリンクを介して転送される。このターゲットのホストは、このセッションを開始したソースへと一つのコントロールパケットを送り返す事によって返事をする。個々のパケットは順番に番号を付けられ送信される。ＩＳＤＮは完全にデジタルのダイアルアップによるデータ通信サービスで、ツイステッドペアのローカルループを介して提供される。ＩＳＤＮのラインには、情報を伝達するＢ−チャンネル、シグナリングおよびコントロールのためのデータを伝達するＤ−チャンネル、広いバンド幅を必要とするアプリケーションのための高速データを伝達するＨ−チャンネルがある。これは商業的には失敗であった。
【００１０】
フレームリレーのネットワークは９０年代中期に初めて設置されたもので、個々のフレームが個々にアドレスされるという意味において、どちらかというとパケットスイッチングのようなものである。フレームリレーは、特別なスイッチと非常に高速な共有されたネットワークを利用する。パケットスイッチングとは異なり、フレームリレーは、実質的にはどんなコンピューターのデータストリームの送信でもサポートする。フレームの長さは最大４０９６Ｂｙｔｅｓまで可変である。フレームリレーはデータに適しており、通話またはビデオ用にはあまり適さない。Ｘ．２５のパケットスイッチングの場合と同じく、フレームリレーのオーバーヘッドは大きく、送信遅延が予期される。さらに、ネットワークが込み合う結果、果データが失われる事もある。フレームリレーのネットワークは顧客にはホップが一つしかないネットワークのように見えるかもしれないが、実際にはホップが一つしかないネットワークではない。典型的なフレームリレーのクラウドの中部には、多数のセントラルオフィス（ＣＯ）のスイッチの間に多くのリンクがある。個々のホップは遅延を増加させ、そしてバンド幅に関する込み合いを引き起こす可能性を高める。さらに、フレームリレーのネットワークは電話会社の境界を超える事ができず、一つのフレームリレーのＷＡＮ上の全てのサイトは同じフレームリレーのプロバイダーを利用していなければならなく、つまり、いくつかのサイトがＡＴ＆ＴのフレームリレーのＣＯに繋がれて、ほかのサイトがＭＣＩまたはＳｐｒｉｎｔのＣＯに繋がれているという事は不可能である。全てのフレームはそのヘッダーに、顧客および、そのトラフィックに対する特定の電話会社を経由するバーチャルなデータのパスを示す一つのＤＬＣＩコードを持つ。従って、異なるＤＬＣＩを持つフレーム同士を混在する事は、異なる電話会社のＤＬＣＩは異なるフォーマットを持ち、そのようなフレームをＣＯスイッチを介してルーチングする過程を阻害するので、不可能である。もし、一つのフレームリレーのネットワーク上の二つのロケーションが双方ともに同じフレームリレーのプロバイダーによってサポートできないならば、二つ目のフレームリレーのクラウドを構築し、この二つのクラウドを双方のクラウドに結合できる共通の場所に存在する二つのルーターによって結合し、この二つのルーターを一つのローカルエリアネットワークで結合しなければならない。
【００１１】
【発明が解決しようとする課題】
従来技術においてセルスイッチングは、データ通信ネットワークの将来であると考えられてきた。セルスイッチングは、ＡＴＭネットワークおよびスイッチされたマルチメガビットのデータサービス（ＳＭＤＳ）双方を含む。データは、５３個のオクテット分の固定した長さのセルに分けられ、高速設備を介して送られ、そして高速の専用スイッチでスイッチされる。ＡＴＭは主にデータ向けであるが、通話用およびビデオを効果的にサポートする。セルスイッチングはコスト高でオーバーヘッドが大きく、十分に開発された標準がない。ＡＴＭネットワークは、また、いまだ商業的に広くは提供されていない。
【００１２】
これら全てのアプローチの問題は、電話料金が積み重なり高価になるという事である。
【００１３】
バックボーンとしてインターネットを利用する事は、ワイドエリアネットワークを構築しコストを低減するための可能性を提供すると、最近考えられてきている。しかし、ＷＡＮのバックボーンとしてインターネットを利用する事には幾つかの問題がある。一般に、これら問題は全てサービスの質に関わる。サービスの質は、送信における遅延とともにエラーに関わる。遅延、つまり重要なパケットがソースから目的地へ到着する遅延は、コンピューターシステムを大幅に遅くしたり、運用に重大な支障をきたしたりする。遅延は、また、データ内に符号化されたプログラムのユーザーに対する表示、音声において、目に見えるギャップおよび／または聞き取れるギャップを生じさせたり、フリーズさせたりするので、ストリーミングビデオ、ストリーミングオーディオ、およびストリーミングマルチメディアの製品およびサービスの配送の効果を損ね得る。これは、例えばビデオ会議、ビデオ−オン−ディマンド、通話等において非常に邪魔であり、また望ましくないものである。遅延は、また、大きなドキュメントをダウンロードする時に非常に時間がかかるので、問題である。遅延は、ソースを目的地へと結合するインターネット上のノード間での多数のホップから生じる。
【００１４】
インターネットをバックボーンとして利用する従来技術の試みは、ソースから目的地へのデータのパスにおいてのホップの回数と利用可能なバンド幅をコントロールしなかった。結果として、ルートに沿ったルーターホップの回数、および利用可能なバンド幅が足りない事が、プライベートなネットワークのバックボーンの実現可能な候補としてインターネットを利用する事を無理なものとした。ＩＳＰは、自分の目的がローカルでのインターネットのアクセスを提供する事だけであったので、顧客の地域的、国全体、または国際的な存在を無視してローカルな事業を展開した。この結果、数少ないホップしかないルート、またはホップの沢山あるルートを持つプライベートなネットワークのバックボーンの候補としてインターネットを利用する試みがなされた。ＷＡＮの要求する最悪の場合のバンド幅に対して不充分なバンド幅を持つルートがしばしば選択され、結果として失敗した。こうしたコントロールされていないホップの回数、データパスと利用できるバンド幅のコントロールの欠如、およびその結果生じる遅延が、インターネット上でＷＡＮを構築するにおいて問題の原因となった。
【００１５】
インターネットをバックボーンとして利用する時の、もう一つの大きな問題はセキュリティーまたはプライバシーである。インターネットはパブリックな施設であるので、インターネットを介して送信されるプライベートなデータおよびセンシチブなデータは覗き見る事ができる。
【００１６】
であるから、上記の遅延、プライバシーおよび利用可能なバンド幅といった問題が生じないかたわら、データトランスポートのコストを低減する助けとなる、ＷＡＮバックボーンとしてのインターネットの利用が可能なシステムに対する必要性が生まれた。
【００１７】
【課題を解決するための手段】
［発明の要約］
ここに記述されたワイドエリアネットワークの技術（ＡｌｔｅｒＷＡＮネットワークと呼ぶ）は、最初の参加しているＩＳＸ／ＩＳＰへのローカルループ接続を提供しているどの電話会社と、そしてまた終端の地点の参加しているＩＳＸ／ＩＳＰから目的地ルーターへのローカルループ接続を提供しているどの電話会社とともに、バックボーンとしてインターネットを利用するワイドエリアネットワークの一つである。この事は顧客にとっての月々のコストを大幅に減らし、そして両終端においてローカルループを含む全てのデータパスを同じ電話会社が提供しければならないというフレームリレーの制限を取り除く。従来技術のフレームリレーの「ホップ一つの」プライベートネットワーク構造と、一つの地点から一つの地点への（ポイントツーポイント）ネットワークとを真似する事によって、高品質のサービスを保つ。バックボーンとしてインターネットを利用するＷＡＮで、プライベートフレームリレーの「ホップ一つの」構造と、一つの地点から一つの地点への（ポイントツーポイント）ネットワークとを真似するＷＡＮは如何なるものでも、確実に本発明の部類の範囲である。
【００１８】
本発明の部類に属する種類のもの全てに共通する重要な特徴の一つは、ホップの回数を減らすために適切なＩＳＸの選択し、それによってＷＡＮバックボーンとしてインターネットを利用しようという過去の失敗した試みに多く見られた遅延問題を軽減する事によって、インターネットのネットワークのルーチング過程を最適化する事である。
【００１９】
本発明の部類に属する種類のもの全てに共通する重要な特徴のもう一つは、地理的に離れている顧客のサイト間の、広いバンド幅でホップ回数が少ないあらかじめ計画されたルーチングパスに沿って、セキュアな暗号化されたデータを送信する事である。この暗号化されたＡｌｔｅｒＷＡＮのデータはバンド幅の広い専用ローカルループ接続を通って、一つ目の参加しているＡｌｔｅｒＷＡＮのＩＳＸ／ＩＳＰ設備へと送られる。そこではＡｌｔｅｒＷＡＮのパケットが、インターネット上のあらかじめ選択されたＩＳＸ設備だけのルーターへとルーチングされる。このあらかじめ選択されたＩＳＸ／ＩＳＰ設備とは、他のＩＳＸ／ＩＳＰ設備への、プライベートなトンネルに沿っての、バンド幅が広くホップ回数の少ないデータパスを提供するものの事である。これら参加しているＩＳＸ／ＩＳＰ設備のルーターは、ルーター自身のルーチングテーブルによってか、または、これらのＩＳＸ／ＩＳＰプロバイダーがＡｌｔｅｒＷＡＮのパケットをバンド幅が広くホップ回数の少ないパスを通してルーチングし、そして他のインターネットのトラフィックは他のパスに沿ってルーチングするために設定した特別なルーチングテーブルを利用して、これらのバンド幅が広くホップ回数の少ないデータパスを提供するために特別に選択されている。例えば、もしサンノゼにある顧客のサイトがＡｌｔｅｒＷＡＮを使って東京にあるもう一つのサイトへとサービスしてもらう必要がある場合は、インターネットを通してそれぞれの方向に「プライベートなトンネル」が一つ構築され、そしてプライベートなトンネルにおける一つ目の参加しているＩＳＸプロバイダーと最後の参加しているＩＳＸプロバイダーへと二つの顧客のサイトを接続するための二つの専用ローカルループが、個々の終端に一つずつ設定される。データのセキュリティーは、従来技術または特注のファイヤーウォール／ＶＰＮ技術を利用して実施される。個々の顧客のサイトにおいて、ファイヤーウォール／ＶＰＮ装置が一つ、「プライベートなトンネル」の一つを通って遠隔の終端にある顧客のサイトへと送られる個々のＡｌｔｅｒＷＡＮパケットのペイロードをセキュアに暗号化するようにコンフィギュレーションを設定されていて、この遠隔の終端にある顧客のサイトでこのペイロードは解読される。従来技術のファイヤーウォールを利用した場合、双方向の送信のために双方の終端において使われる暗号化の方法および暗号鍵は同じである。しかし、本発明は、また、一つの暗号化アルゴリズムおよび一つまたは複数の暗号鍵をダウンストリームの送信のために使い、そしてもう一つの暗号化の方法および異なる一つまたは複数の鍵をアップストリームの方向のために使う事を考察する。この方法では、特注で設計されたファイヤーウォールの使用を必要とする場合もある。どの方法を使うにしても、ファイヤーウォール内にプログラムされたあらかじめ定められたコンフィギュレーションによって、双方の終端におけるファイヤーウォールは、ソースにおけるパケットの暗号化と、目的地でのパケットの解読のために、同じ暗号化の方法および一つまたは複数の鍵を使う。ソースの終端にあるファイヤーウォールにおいて、ＡｌｔｅｒＷＡＮの「プライベートなトンネル」のもう一方の終端におけるある目的地のＩＰアドレスを持つをパケットが持つと判断された時だけ、このパケットのペイロードは送信する前に暗号化される。一旦暗号化されると、あらかじめ計画されたルートを経て目的地へと送られ、そこで遠隔の終端にあるファイヤーウォールがパケットにあるＩＰアドレスは自分にアドレスされたものであると認識する。こうしたパケットのみが解読され、そしてアドレスされている装置へと送信され、ＡｌｔｅｒＷＡＮのパケットではない他のパケットは、拒否されるか、このＡｌｔｅｒＷＡＮネットワークの一部ではない他のある装置へとルーチングされる。
【００２０】
言い換えると、過去の試みが失敗したサービスの質の問題は、ブロックしないバンド幅（常に使用でき、そして常に十分であるバンド幅）を提供し、そしてＩＳＸ設備間のインターネット上の地点間の「プライベートなトンネル」上のパスのためのルートをあらかじめ定義する事によって解決される。参加しているＩＳＸ設備は、自分のサイト間においてブロックしないバンド幅を提供する事を合意する。世界的な会社は個々の場所へのプライベートなトンネルを所有する事によって、例えばサンノゼのエンジニアが直接パリにある支店オフィスのＬＡＮに接続し、そして彼／彼女のコンピューターのデスクトップ上で、パリのＬＡＮ上にある数々のサーバーやプリンター等の全ての共有されたアイテムを「見る」事ができる。
【００２１】
こうしてルーチングパスをあらかじめ計画する事によって、ＡｌｔｅｒＷＡＮの顧客からのトラフィックが迅速に、終端から終端への遅延なく、そしてバンド幅が足りなかったりホップの回数が多すぎる事による遅延を被る事なく送信されるようになる。パケットのペイロードは暗号化されているので、このデータは「プライベートなトンネル」を通ってのインターネットを介してのトランスポートの間セキュアである。こうしたＡｌｔｅｒＷＡＮネットワークのデザインは、個々のＡｌｔｅｒＷＡＮネットワークのパケットがソースから目的地へと移動する間に経験するホップの回数を最小にし、従って、ＡｌｔｅｒＷＡＮネットワークのトラフィックが、参加しているＩＳＸ／ＩＳＰプロバイダー間を結合する、バンド幅の広いラインを介してのみルーチングされるようにする事によって、遅延を軽減する。最近、他のプロバイダーへの光ファイバーによるデータパスを持ち、大量なバンド幅を提供するＩＳＸインターネットプロバイダーが数多く設立されている。典型的には、ＡｌｔｅｒＷＡＮネットワーク上のソースおよび目的地にある一方、または双方のルーターを、一つ目のＩＳＸに共在させる事ができる。
【００２２】
プライバシーの問題は、全ての顧客の敷地内のＡｌｔｅｒＷＡＮネットワーク上に、暗号化機能のあるファイヤーウォール（好ましいファイヤーウォールはＮｅｔｓｃｒｅｅｎが市販している）を提供する事によって克服する。外部に出る全てのＡｌｔｅｒＷＡＮパケット（ＡｌｔｅｒＷＡＮパケットは、暗号化され、そして「プライベートなトンネル」内のインターネットを通るあらかじめ定義されたルートに沿って送信されたパケットである）は、従来技術のＤＥＳ暗号化のようなどんな鍵を使う暗号化アルゴリズムでも十分てはあるが、コンフィギュレーションを設定された暗号化アルゴリズムを使ってソースにおけるファイヤーウォールによって暗号化される。暗号化のプロセスは、「プライベートなトンネル」のアイデンティティー、および関連する暗号化用鍵と解読用鍵をあらかじめプログラムする必要がある。「鍵」は、パケットのペイロードの暗号化および解読のためにファイヤーウォール／ＶＰＮ装置によって使われる。鍵は、個々の「プライベートなトンネル」に対してあらかじめ割り当てられ、そしてプライベートなトンネルがセットアップされた時にファイヤーウォールの中にプログラムされた一つか二つのパスワードから個々の終端におけるファイヤーウォールによって生成される。暗号化されたパケットは、あらかじめ定義されたパスを介してルーチングされる。一般のインターネットのためのパケットは暗号化されずに、最初のＩＳＸに送り出され、通常のルーチングプロセスによってインターネットを通った道筋を見つける。あらかじめ定義されたプライベートなトンネルのためのパケットの個々は、暗号化され、専用のバンド幅の広いローカルループを通って最初のＩＳＸへと送りだされる。そこから、ＩＳＸプロバイダーの適切な選択によって設定される、あらかじめ定義されたルートに沿ってルーチングされる。
【００２３】
鍵は同じままでも良く、時間を経て変わっても良いが、暗号化されたパケットは、特定のトンネルに対する現在の鍵なしに目的地において解読できない。鍵がトンネルに沿って送信される事は決してない。それらの鍵は、個々の終端における前もってのアレンジメントによってファイヤーウォールの中にコンフィギュレーションとして設定されている。個々のトンネルは異なる鍵を一つ持つ。
【００２４】
「プライベートなトンネル」とは、あらかじめ定義された、ホップが回数少く、バンド幅の広いパスを通った、ソースのファイヤーウォールから目的地のファイヤーウォールへのインターネットを通るデータパスとして定義される。プライベートなトンネルは、ＩＳＸプロバイダーの適切な選択によって設定される。これは、トンネルによって繋がれる二つの顧客のサイトの間の全てのＩＳＸプロバイダーによって使われる通常のルーチングパスを調べる事によって為される。そうしてから、ホップの回数が最小でバンド幅の広いリンクに沿って通常ルーチングするＩＳＸプロバイダーの参加を選択する。ＡｌｔｅｒＷＡＮパケットがこれらのＩＳＸプロバイダーに到着した時は、そこで行われる通常のルーチングの結果として、ＡｌｔｅｒＷＡＮの暗号化されたパケットはバンド幅が広くホップの回数少ない一つのパスに沿って送られる。
【００２５】
ファイヤーウォールが暗号化および解読する事ができる事は知られていて、そして市販されていて、単にＡｌｔｅｒＷＡＮネットワークにおいて利用しているだけである。しかし、顧客のＡｌｔｅｒＷＡＮのサイトにあるワークステーションのブラウザーは、インターネット上の如何なるウエブサイトへでもポイントでき、  そして制限なくこれらのサイトとパケットの送信受信をできる。これらのパケットは、ここでは従来技術のパケットと呼び、そしてその目的地へは従来技術のインターネットのルーチングによって到着し、そしてＡｌｔｅｒＷＡＮのデータ構造によって作り出されるプライベートなトンネルを通って伝わらない。
【００２６】
ＡｌｔｅｒＷＡＮのデータ構造とは実際には単に、ファイヤーウォールとトンネルに沿ってあるルーターの中にあるＩＰアドレスと関連するデータで、これらがパケットをしてホップの回数の少ないパスを伝達するようにする。ＡｌｔｅｒＷＡＮのデータ構造は、どのサイトがリンクされるかによって、およびプライベートなトンネルのホップが通過する参加しているＩＳＸ／ＩＳＰプロバイダーの場所とＩＰアドレスによって、顧客毎に変わる。
【００２７】
最後に、本発明の部類に属する全ての種類は、ＷＡＮバックボーンとしてインターネットを利用しようという過去の試みが被ったバンド幅のボトルネックを解決する。これは、ＡｌｔｅｒＷＡＮのルーチングの戦略を実施する事によって為される。ＡｌｔｅｒＷＡＮの一つのデータパスは、ソースにある一つの（ルーターのパケットの世界を、物理的なメディアのアクセスコントロールおよび／または電話線の信号のプロトコールへとインターフェースするチャンネルサービスのユニットを持つ）ルーターから、十分にバンド幅の広い専用のローカルループラインを通り、最初の参加しているＩＳＸへか、もしくはＡｌｔｅｒＷＡＮネットワークのサービスに参加しているプロバイダーであるインターネットサービスプロバイダー（ＩＳＰ）へと、広がっている。そこからは、顧客による最悪のバンド幅の消費に対応できるように十分なバンド幅を持つ事を保証する他の参加しているＩＳＸプロバイダー間のデータパスに沿って、ＡｌｔｅｒＷＡＮのデータパスは広かる。請求項においては、このようなＩＳＸまたはＩＳＰプロバイダーは、「参加しているＩＳＸ／ＩＳＰ」と呼んでいる。ＡｌｔｅｒＷＡＮのネットワーク構造に参加している全てのＩＳＸまたはＩＳＰ設備は、ＡｌｔｅｒＷＡＮネットワーク参加している他のＩＳＸ／ＩＳＰ設備へとデータを送るために利用できる、ＯＣ３またはＯＣ１２データパスのような光ファイバーまたは他のバンド幅の広いデータパスを持つ。参加しているＩＳＸ／ＩＳＰ設備間の「基幹のバンド幅」と呼ぶものは、これらのバンド幅の広いリンクの事である。ＡｌｔｅｒＷＡＮの「プライベートなトンネル」のトラフィックがインターネットのバックボーン上をルーチングされるのは、この基幹のバンド幅を介してである。
【００２８】
顧客の敷地にあるソースのルーターから最も近い参加しているＩＳＸ／ＩＳＰへの専用ラインは、典型的にはＴ１のクラスかそれ以上のバンド幅のものであるが、次の二つの特徴を持っていればよい。専用でありダイアルアップであってはならない。また、支援する特定のクライアントの設備が消費する最悪の場合のバンド幅に対応できるだけの十分なバンド幅のキャパシティーを持っていなければならない。このようなラインは、請求項では「専用ライン」と呼ばれる。こうして、ソースのルーターから最も近くにある参加しているＩＳＸ／ＩＳＰへの専用ラインは、ＤＳＬもしくはフラクショナルＴ１であっても良い。
【００２９】
スペア用のバンド幅のキャパシティーを大量に持つために、自分のデータパスだけにロードを制限するＩＳＸ／ＩＳＰ設備のみを選ぶ事がＡｌｔｅｒＷＡＮネットワークの規則であるので、「専用ライン」が繋がれている「参加しているＩＳＸ／ＩＳＰ」は、最も近くにあるＩＳＸ／ＩＳＰではないかもしれない。例えば、ＡｂｏｖｅＮｅｔは典型的には他のＩＳＸ設備へのバンド幅の広いデータパス内のロードは５０％以下である。従って、ＡｌｔｅｒＷＡＮネットワークの種類は全て、例えそうしたＩＳＸ／ＩＳＰ設備が最も近くにある設備ではなくても、スペアのバンド幅のキャパシティーを大量に、予測し得る最悪の場合のバンド幅の顧客による消費量以上を必ず持つＩＳＸ／ＩＳＰ設備への専用接続を持ち、バンド幅のボトルネックが絶対に無いようにする。この様な場合にはローカルループのコストは高くなるけれども、サービスの質に関する問題なくインターネットをバックボーンとして利用する事による節約は、ローカルループのコストが高いという重荷を遥かに上回るはずである。
【００３０】
最も近くにある参加しているＩＳＸ／ＩＳＰへ専用ラインを利用する事と、スペアのキャパシティーを大量に保有するために、自分のデータパス内のトラフィックを制限するＩＳＸ／ＩＳＰ設備のみを選択する事は、従来技術の持つバンド幅のおけるボトルネックの問題を解決するＡｌｔｅｒＷＡＮネットワークの全ての種類が持つ二つの特徴である。
【００３１】
上記の構造は、ＷＡＮを実施するためにインターネットを利用しようと試みた従来の当業者を悩ませてきた、ホップの回数、バンド幅が十分かどうか、および遅延の三つの主な予想不可能なファクターをコントロールする。ＡｌｔｅｒＷＡＮネットワークの構造および運用の利点は、電話料金を大きく節約できる事、特別なクライアントソフトウエアをＰＣやワークステーションにロードする必要なしにセキュリティーをすっきりと実施する事、最悪の場合のシナリオでもバンド幅が十分に取れ、強靭なフォールトトレランスを持つインフラ構造を持つＩＳＸ基幹のインターネットのバンド幅を利用する事、ＷＡＮのニーズに対する完全または部分的にターンキーのソリューションを提供できる事、ローカルループが異なるプロバイダーの提供する異なるサービスと異なるスピードの混ざったものでも良い事、個々のロケーションへのルートに見かけ上ホップが一つだけしかない事、ローカルのルーターおよびファイヤーウォールに顧客がアクセスできる事、パブリックＩＰアドレシングおよびプライベートＩＰアドレシングの双方を利用できる事、通信は、暗号化されたパケットを利用したセキュアなトンネルを通り、セキュアである事、そして、ＡｌｔｅｒＷＡＮネットワークが本質的にその構造およびオペレーションによってホップの回数、遅延、そして利用可能なバンド幅をコントロールするので、データ、通話、およびビデオを伝達するために、どちらの終端においてもサービス用ソフトウエアのプロセスの質に依存する必要がない事、である。
【００３２】
【発明の実施の形態】
典型的にはワイドエリアネットワークの五年間におけるコストの６０−８０％は、フレームリレーおよび一つの地点から一つの地点への（ポイントツーポイント）ネットワークサービスのための、繰り返し発生する電話料金である。これらの料金のブレークダウンは、接続をするためのローカルループの料金、ノード間の距離に依存する市外通信料金、および、顧客が指定する最小のバンド幅に対するバンド幅料金、である。典型的にはこれらのコストは、ＷＡＮバックボーンとしてインターネットを利用する事によって大幅に削減する事ができるが、これは従来技術の試みにおいて災いと成った遅延および他のサービスの質上の問題を解決する事ができる場合においてのみである。これらのコストは、フレームリレーおよび一つの地点から一つの地点への（ポイントツーポイント）ネットワークを通す事によって、たとえ電話会社の境界を超える事によって余分な費用が掛からなかったとしても、大幅に削減する事ができる。本発明のＡｌｔｅｒＷＡＮネットワークは、克服すべき電話会社の境界の問題は何もない。
【００３３】
図１を参照すると、バックボーンとしてインターネットを利用し、コントロールされた少数回のホップ、削減された遅延および最悪の場合のシナリオに対してでも十分なバンド幅といった特徴を持つワイドエリアネットワークの部類に属するワイドエリアネットワークの種類のブロックダイアグラムが示されている。ワークステーション１０（またはサーバーか他の端末装置）は典型的には、この場合ＬＡＮハブまたはスイッチ１４によって表される一つのローカルエリアネットワークによって、暗号化／解読するファイヤーウォール１２に結合されている。このワークステーション１０または他の装置はまた、代替の実施例においては一つの専用ラインによってファイヤーウォール１２へと結合されていてもよく、そして、ＬＡＮ１４または個々の専用ラインによってファイヤーウォール１２へと結合された一つ以上のワークステーションまたは他の装置があってもよい。好ましいファイヤーウォールはＮｅｔｓｃｒｅｅｎが作ったものであるが、ＡｌｔｅｒＷＡＮのプライベートな一つのトンネルの終端における目的地の一つのＩＰアドレスを持つ個々のＡｌｔｅｒＷＡＮパケットを暗号化するために顧客が指定する鍵を使用する、暗号化／解読するファイヤーウォールであればどれでも十分である。
【００３４】
一つの実施例においては、ファイヤーウォールの機能は、ＡｌｔｅｒＷＡＮネットワーク上の目的地のサイトにあるノードへとアドレスされたダウンストリームのパケットを受信し暗号化する事、および、インターネット上の他のＩＰアドレスへとアドレスされた従来技術のインターネットプロトコールのパケット（以降、ＩＰパケット）を受信し、そのパケットをＡｌｔｅｒＷＡＮパケットと区別して暗号化しない事、である。ＡｌｔｅｒＷＡＮパケットおよび従来技術のＩＰパケット双方は、破線２０で示す顧客のサイト１にあるワークステーション１０または他の端末装置からファイヤーウォールへと送られる。ファイヤーウォール１２（および目的地にある対応するファイヤーウォール４０）の機能の一つは、ＡｌｔｅｒＷＡＮパケットと従来技術のＩＰパケットとを区別する事である。ＡｌｔｅｒＷＡＮパケットとは、ＡｌｔｅｒＷＡＮのプライベートな一つのトンネルの終端にある目的地へとアドレスされたパケットである。従来技術のパケットとは、ＡｌｔｅｒＷＡＮのプライベートな一つのトンネルの終端にあるアドレス以外のＩＰアドレスへとアドレスされたＩＰパケットである。プライベートな一つのトンネルの個々の終端にあるファイヤーウォールはＡｌｔｅｒＷＡＮパケットのペイロードを暗号化し、そしてファイヤーウォールの位置にある一つのルーターへと送信するようにコンフィギャーされていて、そしてそこからペイロードは、専用ローカルループ接続上の送信に適した信号フォーマットへと変換され、インターネットを介したあらかじめ定義され、バンド幅が広く、ホップ回数の少ないプライベートなトンネルに沿って一つ目のＩＳＸ／ＩＳＰプロバイダーへと送信される。従来技術のＩＰパケットは暗号化されてずにそのルーターへと送られ、同じ専用ローカルループ接続上で一つ目の参加しているＩＳＸ／ＩＳＰへと送られ、そこで、プライベートなトンネルを介した、バンド幅が広く、ホップ回数の少ないルートを利用しないで目的地へとルーチングされる。こうしたファイヤーウォールは、パケットのヘッダーを調べ、そして目的地のアドレス情報と一つまたはそれ以上のルックアップテーブルを利用して識別をし、どのパケットがＡｌｔｅｒＷＡＮネットワーク上にあるノードへとアドレスされたＡｌｔｅｒＷＡＮパケットであり、どのパケットがＡｌｔｅｒＷＡＮネットワークの外にある他のＩＰアドレスへとアドレスされたものであるかを決定する。
【００３５】
さらに詳しく述べると、プライベートな一つのトンネルの個々の終端では、一つのプライベートなトンネルの他の終端にある装置のＩＰアドレスへとアドレスされたパケットは、ファイヤーウォールによってＡｌｔｅｒＷＡＮパケットへと変換し暗号化する必要があるパケットとして認識され、そして目的地アドレスとしてプライベートなトンネルの他の終端にあるファイヤーウォールの信頼されない側にあるアドレスを持つ他のＩＰパケットの中にインキャプシュレートする。この複合化されたＡｌｔｅｒＷＡＮパケットは、目的地アドレスとして目的地のファイヤーウォールの信頼されない側にあるＩＰアドレスを持つＡｌｔｅｒＷＡＮパケットのヘッダーを付けられた、暗号化された元のＩＰパケットから成る。他の終端にあるファイヤーウォールにおいては、これらのＡｌｔｅｒＷＡＮパケットが受信されると、目的地のアドレスがファイヤーウォールの信頼されていない側のＩＰアドレスなので、そう識別される。それから、ファイヤーウォールはインキャプシュレートしているパケットのＡｌｔｅｒＷＡＮパケットのヘッダーを取り、そしてインキャプシュレートされていた元のＩＰパケットを、暗号化するために使われたものと同じ暗号化アルゴリズムと一つまたは複数の鍵を使って解読する。しかるに、解読されたパケットは、目的地のファイヤーウォールの信頼される側にあるＬＡＮ上の装置のＩＰアドレスと合致する目的地のアドレスを持ったＩＰパケットのヘッダーを持つ事になる。されから、この解読されたパケットは目的地のＬＡＮ上に置かれ、そしてアドレスされている装置へと到達する。
【００３６】
ファイヤーウォールの主要な機能は、トンネルの両終端にあるファイヤーウォールにあるものと同じになるようにコンフィギャーされている、顧客の指定する一つまたは複数の鍵でもって、ＡｌｔｅｒＷＡＮパケットのみのペイロードを暗号化する事である。好ましい実施例においては市販されているファイヤーウォールが使われていて、個々のトンネル双方の終端において、トンネルに沿ってどちらに向かって伝達するパケットに対してでも同じ暗号化アルゴリズムと暗号鍵を利用するようにコンフィギャーされている。しかし、代替の実施例においては、トンネルに沿って一方向に伝達するパケットに対しては一つの暗号化アルゴリズムと一つまたはそれ以上の暗号鍵のセットを利用し、反対方向に伝達するパケットに対しては、トンネルの個々の終端にあるファイヤーウォールの中にある異なるもう一つの暗号化アルゴリズムおよび／または異なる鍵のセットを利用するファイヤーウォールを使う事もできる。トンネルの遠隔の終端にある、対応するファイヤーウォール／ＶＰＮ装置は、パケットを暗号化するために使われたものとまったく同じ鍵でパケットを解読するようにプログラムされていなければならない。暗号化されたパケットは、パケットを解読するためのローカルな鍵でテストされる。もし合致する場合は、このパケットは解読され、ファイヤーウォール／ＶＰＮ装置を通過する事を許される。合致しなければ、このパケットは捨てられる。多くのファイヤーウォールは、プライベートなトンネルの両方向に対して、暗号化の方法および暗号化の鍵が同じであるように設定してある。ファイヤーウォール／ＶＰＮ装置がプライベートなトンネルのそれぞれの半分に対して異なる暗号化の方法および、または鍵を利用してプライベートなトンネルを構築し、そして両方のファイヤーウォール／ＶＰＮ装置が適切にコンフィギャーされている場合には、ＡｌｔｅｒＷＡＮネットワークのソリューションにおいて実施し利用する事かできる。鍵は全てのＡｌｔｅｒＷＡＮパケットに対して時間を経ても同じでもよいし、または時間を経ると変更してもよい。どんな暗号化アルゴリズムでも、これを実行する事ができるならば、十分である。ファイヤーウォールは、従来技術のＩＰパケットは暗号化せず、ソースのルーター１８または目的地のルーター４２の様なルーターへと単に転送するだけである。
【００３７】
ファイヤーウォール１２および４０は典型的には、もう一つのローカルエリアネットワークのラインによってソースのサイトか目的地のサイトにあるルーターへと結合されている。例えば、ファイヤーウォール１２はＬＡＮライン１６によって顧客のサイト１にあるルーター１８へと結合され、そしてファイヤーウォール４０はＬＡＮライン４４によって目的地にあるルーター４２へと結合されている。ルーター１８および４２はそれぞれ、ＡｌｔｅｒＷＡＮパケットおよび従来技術のＩＰパケットを異なってルーチングするように機能する。ルーター１８および４２の双方は、どんなＡｌｔｅｒＷＡＮパケットでも専用のバンド幅の広いローカルループのデータパス２２の一つの「プライベートなトンネル」へとルーチングし、このデータパス２２はこれらＡｌｔｅｒＷＡＮパケットを、ＡｌｔｅｒＷＡＮネットワークにある一つ目の参加しているＩＳＸ／ＩＳＰ２４へと導く。一つ目の参加しているＩＳＸ／ＩＳＰプロバイダーと最後の参加しているＩＳＸ／ＩＳＰプロバイダーは、また、ボックス２３および２５によって表されるチャンネルサービスユニットを備える。いかなる従来技術のＩＰパケットても、また、専用データパス２２へとルーチングされるが、これらの従来技術のデータパケットは、その目的地のアドレスがＡｌｔｅｒＷＡＮのプライベートなトンネルの他の終端にある目的地のアドレスではないので、ＡｌｔｅｒＷＡＮのプライベートなトンネルの一部ではない。ルーター１８および４２それぞれは、１９および２１によって図示するチャンネルサービスユニット一つを含む。これらのチャンネルサービスユニットはパケットのデジタルデータを、選択された専用のローカルループ信号パス２２および４６のタイプのパス上の送信に適した信号へと変換する。ローカルループ専用信号パス２２および４６は、ＣＳＵ１９および２１に対して適切なチャンネルサービスユニットもしくはケーブルモデムが選択されている限りは、双方の終端において同じタイプの信号パスである必要はない。
【００３８】
専用ライン２２は典型的には、最悪の場合のバンド幅消費のシナリオを満たすために双方向に十分なバンド幅を持ったＴ１クラス、パーシャルＴ１、ＤＳＬライン、またはそれ以上のものである。ＤＳＬラインはダウンストリームのバンド幅は１．５４４ＭＢｐｓ以上であるけれども、ＣＯに向けてのアップストリームには典型的には６４０ＫＢｐｓのバンド幅しかないので、一般的には好ましくない。しかしＡＤＳＬの中には、アップストリームが最大５ＭＢｐｓ、およびＣＯから顧客のサイトへのダウンストリームが５１．８４ＭＢｐｓのものもある。ＡＤＳＬの一種はアップストリームが１５ＭＢｐｓでダウンストリームが１５５ＭＢｐｓをサポートするけれども、顧客のＡＤＳＬモデムがセントラルオフィスから５００メートル以内になければならないので、このようなラインは、ＡｌｔｅｒＷＡＮの顧客のサイトが実質的にＣＯに存在しない限りは、非常に非現実的である。ＡｌｔｅｒＷＡＮネットワークは双方向性があり、最悪の場合のシナリオを満たすために全てのデータパスのセグメント上において十分なバンド幅を持っていなければならないので、最悪の場合のシナリオがＤＳＬラインのアップストリームのバンド幅の仕様を越えない場合を除いては、ＤＳＬラインは一般的に利用できない。また、ＤＳＬラインの場合はＣＯは顧客のサイトから約２マイル以内（より高速な種類では０．６から１．２マイル）でなければならず、参加しているＩＳＸ／ＩＳＰとの契約がこの範囲内でできない場合は、この制限のためにＤＳＬラインは利用できない。
【００３９】
ルーター１８および４２それぞれは、ルーターに内蔵された（または外付けの）チャンネルサービスユニット一つ（別途図示せず）を備える。これらのチャンネルサービスユニットのローカルループにおける機能は、（ＬＡＮ）イーサーネットのデータを、選択された専用ライン２２および４６上の電話会社のシグナリングプロトコールおよび信号フォーマットへと電気的物理的に変換する事である。専用ラインは異なるもの（電話線、ＣＡＴＶシステムのファイバー同軸ハイブリッドのデジタルケーブル、衛星双方向性リンク）でもよいし、また異なるベンダーが提供するものでもよい。例えば、もし専用ライン２２が一つのＴ１ラインであれば、チャンネルサービスユニットはＡｌｔｅｒＷＡＮパケットのデータを、選択された電話会社に適合し、ローカルループの反対側の終端にある、対応するＣＳＵ／ルーターへのデータの送信に適合したシグナリングへと変換し、ローカルループの反対側の終端で信号はＩＳＸのルーターによる処理に適したフォーマットに変換して戻す。もし専用ラインが周波数領域多重化もしくは符号領域多重化もしくはディスクリートマルチトーン変調を利用したＣＡＴＶシステムのファイバー同軸ハイブリッドのデジタルケーブルであるならば、チャンネルサービスユニットは、適切なＦＤＭＡキャリア上でイーサーネットを変調するか、「ローカルループ」を介しての送信のためにＡｌｔｅｒＷＡＮの接続専用の拡散コードを利用してスペクトルを拡散する。このインターフェースは、専用ライン２２および４６上の信号フォーマットおよびプロトコールの間で双方向性である。
【００４０】
ルーター１８および４２は、ＡｌｔｅｒＷＡＮネットワークのプライベートなトンネルのトランスレーターである。ルーターはイーサーネットのプロトコールから、専用ライン２２および上での電話会社のプロトコールへとトランスレートする。ルーター１８に到達する他の従来技術のＩＰパケットは、同じ物理的なパスおよび専用ラインに沿ってルーチングされるが、実際には異なるロジカルなパス上にある。そのペイロードは暗号化されておらず、そして「プライベートなトンネル」を通じて送られるわけではない。異なる目的地へとアドレスされたＡｌｔｅｒＷＡＮパケットは、それらの目的地のためにセットアップされたＡｌｔｅｒＷＡＮネットワークの適切なプライベートなトンネルへとルーチングされる。幾つかの実施例においては、従来技術のＩＰパケットはルーター１８がブロックし、プライベートなトンネルや専用ライン２２および４６の他のロジカルなチャンネルに入らないようにする。ルーター１８から出るデータパス２６はＤＭＺパスで、オプションである。同様に、目的地のルーター４２はＤＭＺポート２７を含む。ＤＭＺパスは、ＡｌｔｅｒＷＡＮネットワークの一部ではないなら、他のどんなデータ  パスでもよく、典型的にはメールサーバーがそこに置かれる。
【００４１】
高速専用ライン２２を備える事の副作用の一つは、クライアントの設備１（およびＷＡＮのもう一方の終端にあるクライアントの設備）にあるワークステーションが、別の接続をする事なしに、ＡｌｔｅｒＷＡＮとは関係のない他のウエブサイトへの高速インターネットアクセスをできるようになる事である。専用ライン２２上のＡｌｔｅｒＷＡＮトラフィックは、この伝送能力をＡｌｔｅｒＷＡＮではないトラフィックと共有する事になるので、この専用ローカルループ上のハンド幅がＡｌｔｅｒＷＡＮトのラフィックと従来技術のトラフィック双方の合計のニーズを満たす事が重要である。このプロセスの一部として、ＡｌｔｅｒＷＡＮパケットではないパケットはファイヤーウォールがパケットのヘッダー情報にあるアドレシング情報を見て識別し、暗号化されない。逆に、ファイヤーウォールがＡｌｔｅｒＷＡＮネットワーク内のノードへとアドレスされているとみなすパケットは、パケットのペイロードを暗号化する。その後全てのパケットはソースのルーター１８（または目的地のルーター４２）へと送られ、ルーターはパケットをルーチングする。従来技術のパケットはＡｌｔｅｒＷＡＮプライベートなトンネルではない専用ライン２２上を、最初の参加しているＩＳＸ／ＩＳＰ２４へとルーチングされる。ＡｌｔｅｒＷＡＮネットワークの最初のＩＳＸ／ＩＳＰ２４において、これらの従来技術のパケットは、ルーター２４をインターネットの他の部分へと結合する、ライン２７乃至３６によって表されるデータパスの一つから送り出され、ルーチングされる。こうしてＡｌｔｅｒＷＡＮのハードウエアおよびソフトウエアによる処理の副産物として、他のウエブページ、ウエブサイト、および電子メールサービスへと高速でアクセスできる。
ＡｌｔｅｒＷＡＮのパケットは一つ目のＩＳＸ／ＩＳＰ２４においてバンド幅の広いデータパス５０に入り、次のＡｌｔｅｒＷＡＮネットワークに参加しているＩＳＸ／ＩＳＰ４８へとルーチングされる。データパス５０は、あらかじめ選択されたＩＳＸ／ＩＳＰと、参加しているＩＳＸ／ＩＳＰ同士の間でピアレベルであらかじめ定義されたルーチングとによって、ＡｌｔｅｒＷＡＮパケットに対して選択される。こうして、ＡｌｔｅｒＷＡＮのトラフィックはナチュラルに存在するルートを利用してロケーション間を伝達する事ができるが、それらのルートはバンド幅が広く、ホップの回数が少なくなるように選択されている。参加しているＩＳＸ／ＩＳＰ設備にある個々のルーターは、同じように結合し通信し合う。そのデザインからしてＡｌｔｅｒＷＡＮのネットワークでは、バンド幅が広く、ホップの回数が少ないルートで、ナチュラルに生じるルートまたは他に存在するルートを利用する事によって構築の容易な事を含む多数の要因に基づき、一つのネットワークに対してＩＳＸ／ＩＳＰのパートナーを選択する事が要求される。ＡｌｔｅｒＷＡＮの設計者は、ＡｌｔｅｒＷＡＮの接続として構築されるべきプライベートトンネルを通してＡｌｔｅｒＷＡＮパケットを送るデータパスを確認するために、最低でピングテストおよびトレーサールートテストを実行する事によって、これらのルートを前もってテストする。ＡｌｔｅｒＷＡＮのパートナーは、通常特別なルートを加える必要はないが、デザインに基づいてＡｌｔｅｒＷＡＮネットワークを構築するにおいて、既に存在する既知のパスに従う事は、よりよいルーチングをするために時として必要となる特別なルーチングを追加する事を妨げるものではない。こうしたプロセスによって、ＡｌｔｅｒＷＡＮのネットワークでは、構築される個々の「プライベートなトンネル」のために、個々の参加しているＩＳＸ／ＩＳＰが設備を変更する必要はないく、むしろＩＳＸ／ＩＳＰ間のバンド幅の広いピアレベルの接続をトランスペアレントに利用する。しかし、本発明は、ＡｌｔｅｒＷＡＮパケットがバンド幅が広くホップ回数の少ないデータパスに沿ってルーチングされる一方、ＡｌｔｅｒＷＡＮではないパケットが他のデータパスに沿ってルーチングされる事を確実なものとするために、自分のルーチングテーブルを変更したＩＳＸ／ＩＳＰプロバイダーを利用する事を禁止するものではない。参加しているＩＳＸ／ＩＳＰは、これらのナチュラルなルートを利用して、または、一つまたはそれ以上の他の参加しているＩＳＸ／ＩＳＰと特別な契約を結び、特別なピアのアレンジメントを実施する事、および／またはお互いの間のルーチングにより、ＡｌｔｅｒＷＡＮのトラフィックのみこれらの特別なホップの回数が少なくバンド幅の広い接続を利用できるようにし、ＡｌｔｅｒＷＡＮでないトラフィックがＡｌｔｅｒＷＡＮの要求を満たすバンド幅および／またはホップの回数を提供しない他のナチュラルなルーチングに沿う事を強いるようにする事によって、ＡｌｔｅｒＷＡＮのプライベートな一つのトンネルの終端間のホップの回数の少ない接続を形成する能力に部分的に基づいて選択される。
【００４２】
図１の例においては、参加しているＩＳＸ／ＩＳＰプロバイダーが２４、４８および５４と、三つだけ示してある。バンド幅の広いパスは、参加しているＩＳＸプロバイダーの持つルーターの中にあるルーチングテーブルから結果としてナチュラルに生じるデータパスである。これらのデータパスは、ライン５０および５６によって表す。２０にある顧客のサイト＃１と５８にある顧客のサイト＃２との間のプライベートなトンネルは、専用ライン２２および４６と、参加しているＩＳＸ／ＩＳＰ  プロバイダー２４、４８および５４の持つルーチングテーブルによってＡｌｔｅｒＷＡＮパケットのために選択される、バンド幅の広いデータパス５０および５６とによって構築される
顧客のサイト＃１からのＡｌｔｅｒＷＡＮパケットが終端の地点のＩＳＸ／ＩＳＰルーター５４に到着すると、専用ライン４６上を通って、目的地のルーター４２のチャンネルサービスユニットへとルーチングされる。目的地のルーター４２は、イーサーネットのパケットをリカバーし再組み立てし、ファイヤーウォール４０へと出力する。ファイヤーウォール４０は全てのＡｌｔｅｒＷＡＮパケットを、そのローカルにあるマッチした鍵で、ファイヤーウォール／ＶＰＮ装置の中でコンフィギュレーションを設定された鍵を利用して解読し、ＬＡＮプロトコールへとフォーマットする。それから、目的地のＬＡＮのハブまたはスイッチ６０へと転送し、そこで目的地とする端末装置６４、６６または６８へとアドレスされ、ＬＡＮ６２上に送り出される。これらの端末装置の一つから顧客のサイト＃１の２０にある端末装置の一つへとアドレスされるＡｌｔｅｒＷＡＮパケットは、ファイヤーウォール４０によって暗号化され、プライベートなトンネルを通ってサイト２０へとルーチングされ、そこでファイヤーウォール１２によって解読され、ＬＡＮハブまたはスイッチ１４へと転送され、アドレスされるたサイト２０にある端末装置へとＬＡＮ７０上で送り出される
［ファイヤーウォールおよびトンネルのセットアップ］
ファイヤーウォール１２および４０は、バーチャルなプライベートネットワークを作る機能があれば、どんな市販されているファイヤーウォールでもよい。ファイヤーウォールは二つの一般的な目的を果たす。ＡｌｔｅｒＷＡＮの顧客のＬＡＮネットワークへの望ましくないアクセスに対する一般的なセキュリティーを提供する事、および、インターネットはパブリックな設備であるけれども、既知のサイト間でのプライベートで暗号化されたトンネルを提供する事、である。個々の顧客のＡｌｔｅｒＷＡＮネットワークは、使われる専用ラインと、参加しているＩＳＸ／ＩＳＰプロバイダーを通じてのセットアップされた顧客のサイト間でのプライベートなトンネルのデータパスとの種類およびバンド幅に対するニーズに基づいて、異なる。
【００４３】
一つのファイヤーウォールのインターフェースは、信頼されていないＷＡＮのインターフェース一つと、専用ラインもしくはＬＡＮのドロップラインへの一つまたはそれ以上の信頼されるＩＰインターフェースと、（もしあれば）ＤＭＺインターフェース一つとから成る。これらの三つのインターフェースは図２において、それぞれ７２、７４、７６で図示されるが、図２は典型的なＡｌｔｅｒＷＡＮネットワークの実際のハードウエアのコンフィギュレーションのブロックダイアグラムである。信頼されていないインターフェース、つまりＷＡＮインターフェースは、パブリックのインターネットのＩＳＸ／ＩＳＰの施設にあるルーターへとインターフェースするために使われ、オプションとして顧客の施設にあるルーター１８または４２を通ってインターフェースされる。信頼されるＩＰインターフェースは顧客のプライベートなローカルエリアネットワーク７０または６２へと（または、幾つかの実施例においては個々の端末装置への専用ラインへと）インターフェースする。ＤＭＺインターフェースは（オプションとして幾つかのファイヤーウォールにはある）別途の一つのネットワークをコンフィギャーするために使われ、そのネットワークにはウエブサーバーおよび電子メールサーバーを含む、パブリックアクセスおよびプライベートアクセス双方を必要とし得る装置が典型的には配置される。
【００４４】
図２における顧客の施設およびＩＳＸ／ＩＳＰにあるＬＡＮのインターフェースおよびＷＡＮのインターフェースの全ては、ＩＰアドレスをコンフィギャーする必要がある。これに関する例外は、トークンリングのようなイーサーネットＩＰとは異なるプロトコールを使うＬＡＮ全てである。こうした場合は、適切なネットワーキングと変換装置が必要となる。一般的にコンフィギャーされるべきインターフェースのそれぞれは、ＩＰアドレス、例えば２０４．１２３．１１１．１５０、ネットワークマスク、例えば２５５．２５５．２５５．０、およびデフォルトのゲートウエイ、例えば２０４．１２３．１１１．１、を含む。個々のインターフェースニ対するアドレシングは、ＩＳＸ／ＩＳＰか顧客が提供する。ＡｌｔｅｒＷＡＮ構造の構造を完ぺきにするためには、上で述べたコンフィギュレーションに加えて、電話（またはケーブルシステムのオペレーター）のバンド幅の広い専用ライン２２および４６が配備され、使用可能な状態になっていなければならない。
【００４５】
トンネルおよび暗号化の方法はファイヤーウォールのメーカーによって異なり、またバーチャルプライベートネットワーク（以降ＶＰＮ）の装置によっても異なる。この事は、ＡｌｔｅｒＷＡＮのパケットが適切に暗号化され、そして解読されるためには、個々のトンネルの個々の終端にあるファイヤーウォール／ＶＰＮのプロセスが同じ暗号化アルゴリズムを使わなければならないので、特定の一顧客のＡｌｔｅｒＷＡＮのセットアップの中で異なるメーカーの製品を一緒に使う可能性を限りあるものとする。しかし、もし全てのメーカーの全てのファイヤーウォールが同じ暗号化アルゴリズムを使用するように変更できるのならば、異なるメーカーのファイヤーウォール／ＶＰＮのプロセスを一緒に使い、組み合わせる事ができる。ＡｌｔｅｒＷＡＮパケットを暗号化し解読するためのＶＰＮのプロセスをするハードウエアおよびソフトウエアは、ファイヤーウォールの内部にインテグレートされていてもよいし、またはその外部にあってもよい。
【００４６】
バーチャルなプライベートネットワークの一つのトンネルは、トンネルの個々の終端において、次の基本的なコンポーネントおよびデータ構造を必要とする。ＶＰＮプロセッサ（ファイヤーウォールのプロセッサと同じプロセッサでもよい）上で動作している、またはプライベートなトンネルの個々の終端にあるファイヤーウォールの外部で動作している、バーチャルプライベートネットワークのプロセスがなければならない。遠隔の終端のＶＰＮの信頼されていないＷＡＮインターフェースの信頼されていないアドレスは、ニモニックのラベル、ＩＰアドレス、およびネットワークマスクを含み、個々の終端にあるＶＰＮのコンフィギュレーションデータの構造の内部にコンフィギャーされていなければならない。個々の終端にあるＶＰＮのコンフィギュレーションデータの構造は、ニモニックのラベル一つ、暗号鍵一つ、暗号化の種類を一つ、暗号化パスワード一つ、  および信頼されていない遠隔の終端のファイヤーウォール、つまりＷＡＮのインターフェースのゲートウエイのＩＰアドレス、をも含まなければならない。このようにコンフィギャーされているＶＰＮの一対が存在し、提案される一つのトンネルの個々の終端に一つのＶＰＮがあり、そして参加しているＩＳＸ／ＩＳＰプロバイダーがＡｌｔｅｒＷＡＮパケットのために二つの終端の地点の間のパスをバンド幅の広いリンク上で最小限のホップの回数でルーチングする時にのみ、プライベートなトンネルが実際に存在する事になる。いったんトンネルが作られると、ＡｌｔｅｒＷＡＮではないパケットに対して生じる、全ての従来技術のインターネットのルーターおよびコントロールされていないホップの回数およびコントロールされていない遅延は、実質的にはＡｌｔｅｒＷＡＮパケットに対してはなくなってしまう。ＡｌｔｅｒＷＡＮのデータパスは図３に示すように、ロジカルにはトンネルの相対する終端にある二つのサイト間の直接的な一つの地点から一つの地点への（ポイントツーポイント）接続のように見える。
【００４７】
プライベートなトンネルは、個々の顧客に対してその顧客のニーズに基づいて決められる。これは、ルーターによって生じる既知のホップの回数が最小になるように、一組の既知の参加しているＩＳＸ／ＩＳＰのロケーションを指定する事によって実行される。この既知の一組のサイトおよび関連したネットワークの外部の全てのインターネット上のロケーションは、従来技術のＩＰパケットを送る事のできる一般的なインターネットのサイトであると見なされる。
【００４８】
従来技術のＩＰパケットとＡｌｔｅｒＷＡＮパケットとの間の唯一の実際の違いは、ＡｌｔｅｒＷＡＮパケットのペイロードは暗号化されるが、従来技術のパケットではパケットペイロードの暗号化を実施せず、参加しているＩＳＰ／ＩＳＸのデフォルトのゲートウエイのＩＰアドレスへとルーチングされる、という事だけである。
【００４９】
個々のプライベートなトンネルの個々の終端にあるファイヤーウォールは、資格のないユーザーがＡｌｔｅｒＷＡＮの顧客のプライベートなＬＡＮをアクセスできないようにする。個々のファイヤーウォールにあるトンネルは、特定のユーザーのトラフィックのみがプライベートなトンネルにアクセスする事を許可するようなコンフィギュレーションのデータを持っている。トンネルの外部のどのアドレスへのトレーサールートも従来技術のパケットに対する全てのルーターのホップを示す一方、プライベートなトンネルの内部のどのアドレスへのトレーサールートもＡｌｔｅｒＷＡＮトのラフィックに対するプライベートなトンネルのホップのみを示す。プライベートなトンネルを一つ設定する事によって、一つ目の顧客のサイトに居るユーザーはこの顧客のもう一つのサイトにあるＬＡＮに直接接続されているかのように見えるので、トンネルの他の終端上の全ての共有されたリソースは一つ目のサイトにあるワークステーション上のデスクトップにあるかのように見える。ＡｌｔｅｒＷＡＮの構造に参加しているプロバイダーのほとんどは、ＩＳＸプロバイダーである。このため、顧客がワイドエリアネットワークのためにローカルのＩＳＰとやり取りをすると一般に起きる多数のホップは無くなる。完全に使い切っていないバンド幅の広いラインを所有する参加しているＩＳＸプロバイダーを選択する事によって、ＷＡＮのバックボーンとしてインターネットを利用する事による、利用できるバンド幅の問題は解決される。多数のＩＳＸプロバイダーは現在アメリカおよび世界中の主な都市へのホップ一つの接続を提供する。ＡｌｔｅｒＷＡＮネットワークの構造は、通信し合う必要のある顧客のサイト間のパスを最も短くするＩＳＸ／ＩＳＰを選択する事によって、この事実を利用する。このデザインおよび選択のプロセスを通して、地理的に離れている顧客のサイトへのナチュラルなルートが、これらのバンド幅の広いホップ一つのラインを専用バンド幅の広いローカルループでもって繋ぎ合わせ、任意の二つの顧客のサイトの間にインターネット通じてのプライベートな一つのトンネルを作り、フレームリレーの質とサービスをはるかに低いコストで提供する。
【００５０】
既知のバンド幅を持つ既知のパスを使ったバーチャル回線を永続的に作るので、フレームリレーの従来技術のＷＡＮは非常に望ましいと考えられた。インターネットは従来技術において同様なソリューションを提供する事ができなかった。ＡｌｔｅｒＷＡＮネットワークの構造は、最悪の場合のロードを運ぶに十分なバンド幅を持つと知られているラインのみを利用してインターネットを通したバーチャルなプライベート回線またはトンネルを作る事によって、および主にＩＳＸプロバイダーを使ってホップの回数を最小限にする事によって、これを変える。データパスがコントロールされていなかったし、バンド幅に対してユーザーが多すぎた等の何らか理由でバンド幅が足りずに許容できない遅延が生じたので、インターネットをＷＡＮのために利用しようという過去の試みは失敗した。この事は、マルチメディアのビデオおよびオーディオのトラフィックに対しては非常に望ましくない予測できない遅延を生じた。時間にセンシチブでない少量のデータを使うような、容量を必要としないユーザーのみが、インターネットをＷＡＮとして利用する事に成功する事ができた。ＡｌｔｅｒＷＡＮネットワークの構造は、主要な国内の都市および主要な世界の都市の間の既知のバンド幅の広い、通常光ファイバーの一組のリンクを利用し、「最も近い」参加しているＩＳＸ／ＩＳＰ（時として物理的に最も近いＩＳＸではなく、参加している重要な一つの都市へのバンド幅の広いラインを所有する最も近いＩＳＸ）から顧客のサイトへとローカルに繋がれた専用の一つの地点から一つの地点への（ポイントツーポイント）回線またはフレームリレー回線でもって、これらデータパスをカップルする。ユニークな面は、参加しているルーターが既知のバンド幅の広いデータパスを最小限のホップの回数でバンド幅の広い専用ローカルループ接続へと繋げて、プライバシーのために全てのＡｌｔｅｒＷＡＮのトラフィックを暗号化する事である。
【００５１】
図４は、本社がアメリカにあり、イギリス、ドイツ、フランスそして日本と世界中に多数の事務所を持つ世界的な会社のための、一つの典型的なＡｌｔｅｒＷＡＮネットワークのブロックダイアグラムである。イギリスのサイト９６にあるＬＡＮ８４上のワークステーション７８乃至８２の内の一つが、アメリカ本社にあるＬＡＮ８８上のサーバー８６にアクセスしたいと仮定する。ワークステーション７８は一つのＩＰパケットを生成し、それはファイヤーウォール９０へとアドレスされるイーサーネットパケットまたは他のＬＡＮパケットの中にインキャプシュレートされる。このファイヤーウォールは自分の持つテーブルにあるＩＰアドレスを見て、このパケットはアメリカ本社にあるＡｌｔｅｒＷＡＮの一つのＩＰアドレスへと宛てられていると判断する。そうすると、このパケットのペイロードの部分を、目的地へのトンネルのために前もって設定された鍵を使って暗号化する。この暗号化されたパケットのペイロードは、「プライベートなトンネル」を通ってイギリスのファイヤーウォール９０からアメリカのサイトのファイヤーウォール９２へと送られる。ネットワークアドレスのトランスレーションユニットは、他の会社の所有するプライベートなＩＰアドレスとコンフリクトのあるＩＰアドレスを、参加しているＩＳＸが与える信頼されていないインターフェース上の一つのＩＰアドレスへと変換する。ファイヤーウォールはＮＡＴアドレシングおよびトランスペアレントアドレシングの両方を扱う事ができるが、これは本発明には関係がない。
【００５２】
暗号化の後に、ＡｌｔｅｒＷＡＮパケットはイギリスのサイト９６にあるルーター９８へと転送される。このルーターはパケット一つ一つを調べ、ルーチングテーブルに基づいてパケットを次のＩＳＸへと転送する。この場合にルーターは、ファイヤーウォールからのパケットがローカルＬＡＮのためのものでなければ、これらを受け取る。この時にＡｌｔｅｒＷＡＮパケットおよび従来技術のＩＰパケットは同じであるが、ＡｌｔｅｒＷＡＮのトラフィックに対しては目的地への「デザインによって取り入れられた」効率の良いルーチングパスを持ち、インターネットのクラウド１０２の中で既知の内部のチャンネルサービスユニットまたは外部のチャンネルサービスユニットを介して、ルーターを最初の参加しているＩＳＸプロバイダーへと結合する専用ローカルループのライン１００によって繋がれたＩＳＸ／ＩＳＰを持つ。インターネットのクラウドの中の最初の参加しているＩＳＸのルーターは、ＡｌｔｅｒＷＡＮのパケットを受信し、ナチュラルなルーチングテーブルを利用するようにあらかじめ計画された、あらかじめ定められたプライベートなトンネルのデータパスに沿って（特別な場合に他の特別なルートを必要とするのでなければ）ルーチングする。このプロセスはプライベートなトンネルに沿ってアメリカのサイト１０６へと、個々のＩＳＸの個々のルーターにおいて続けられる。プライベートなトンネルに沿っての最後の参加しているＩＳＸは、スイッチ１０４によって表す。この場所に宛てられた全てのＡｌｔｅｒＷＡＮパケットはこのスイッチを通り、課金の目的でトラフィックのレベルをモニターするために、このスイッチを利用する事もできる。接続に対する課金は月ぎめで固定した額でも良いし、および／または基本料金に使用した量による料金を加算した課金でもよい。基本料金に使用料を加えた課金をするための情報は、それを必要とするそれぞれの場所か収集するものである。
【００５３】
スイッチ１０４から、ＡｌｔｅｒＷＡＮのパケットは顧客のアメリカのサイトにあるファイヤーウォール９２へとルーチングされ、そこで解読されてルーター１０８へと送られ、このルーターはパケットをＬＡＮ８８へと出力し、そこでサーバー８６によって受信および処理される。スイッチ１０４によってファイヤーウォール１１０へとルーチングされるＡｌｔｅｒＷＡＮではないパケットは、ＬＡＮ８８上で始められた一般的なインターネットのアクティビティーに対する返事か、ファイヤーウォールＤＭＺ上のウエブサーバー１１４および１１６に宛てられた外部のトラフィックのリクエストである。他のトラフィックは全て、ファイヤーウォールによって拒否される。これらのパケットは暗号化されておらず、ファイヤーウォール１１０が処理した後、ＬＡＮハブ１１２へとルーチングされ、そこからウエブサーバー１１４と、もう一つのウエブサーバー１１６とへ送られる。
【００５４】
イギリスまたは他の一つの海外のサイトにおいて発信され、他の海外のサイトへとアドレスされたＡｌｔｅｒＷＡＮのパケットは、決してスイッチ１０４へと行く事はない。その変わりに、例えばアメリカのサイトで発信され、フランスのサイトにあるＬＡＮ上の一つの装置へとアドレスされた一つのＩＰパケットは、イギリスのファイヤーウォール９０からフランスのファイヤーウォール９１へと延びる一つのプライベートなトンネルを通ってルーチングされる。こうして、これらのパケットは決してスイッチ１０４を通る事はない。
【００５５】
本発明はここに開示された好ましい実施例および代替の実施例によって開示されるが、本発明の精神および範囲から逸脱しない、可能な他の実施例、およびここに開示された教示に対する変更がある事は、当業者の理解するものである。このような他の実施例および他の変更は全て、本発明にある特許請求の範囲内に含まれるものである。
【００５６】
添付Ａは、典型的な一つのＡｌｔｅｒＷＡＮの本社のサイトにあるファイヤーウォールがインターネットを通して、本社から目的地のサイトのファイヤーウォールへと繋がるプライベートな一つのトンネルを作り上げるための、コンフィギュレーションコマンドの典型的なリストで、トンネルにある最初のＩＳＸのＩＰアドレスを設定する事を含む。添付Ｂは、プライベートなトンネルの他の終端にある目的地のサイトのファイヤーウォールのための、コンフィギュレーションコマンドの典型的なリストである。添付Ｃは、本社のサイトにあるルーターをコンフィギャーするためのコンフィギュレーションコマンドの典型的なリストである。添付Ｄは、目的地のサイトにあるルーターをコンフィギャーするためのコンフィギュレーションコマンドの典型的なリストである。
【００５７】
本発明はここに開示された好ましい実施例および代替の実施例によって開示されるが、本発明の精神および範囲から逸脱しない、可能な他の実施例、およびここに開示された教示に対する変更がある事は、当業者の理解するものである。このような他の実施例および他の変更は全て、本発明にある特許請求の範囲内に含まれるものである。
【図面の簡単な説明】
【図１】本発明の部類により、バックボーンとしてインターネットを利用したＷＡＮのブロックダイアグラムである。
【図２】典型的なＡｌｔｅｒＷＡＮネットワークにおいて使われる実際のハードウエアのブロックダイアグラムである。
【図３】ＡｌｔｅｒＷＡＮのプライベートなトンネルのロジックを示すものである。
【図４】幾つかの世界中のサイトに結合されたアメリカ本社のための、典型的なＡｌｔｅｒＷＡＮネットワークのブロックダイアグラムである。
【図５】添付ＡはファイヤーウォールＨＱセットアップのためのコンフィギュレーションコマンドの典型的なリストであり、図５の添付Ａ−（１）はその最初からの一部である。
【図６】図６の添付Ａ−（２）は図５の添付Ａ−（１）の続きである。
【図７】添付Ｂは目的地ファイヤーウォールセットアップのためのコンフィギュレーションコマンドの典型的なリストでる。
【図８】添付Ｃは本社ＨＱルーターセットアップのためのコンフィギュレーションコマンドの典型的なリストであり、図８の添付Ｃ−（１）はその最初からの一部である。
【図９】図９の添付Ｃ−（２）は図８の添付Ｃ−（１）の続きである。
【図１０】添付ＤはＵＫ目的地ルーターセットアップのためのコンフィギュレーションコマンドの典型的なリストである。
【符号の説明】
１０…ワークステーション
１２…ファイヤーウォール
１４…ＬＡＮハブ／スイッチ
１６…ＬＡＮライン
１８…ルーター
１９…ＣＳＵ
２０…サイト
２１…ＣＳＵ
２２…パス、専用ライン
２３、２５…チャンネルサービスユニット
２４…ＩＳＸ／ＩＳＰ
２６…データパス
２７…ＤＭＺポート、ライン
２８〜３６…ライン
４０…ファイヤーウォール
４２…ルーター
４４…ＬＡＮライン
４６…専用ライン
４８…ＩＳＸ／ＩＳＰ
５０…ライン、データパス
５４…ＩＳＸ／ＩＳＰルーター
５６…ライン、データパス
６０…スイッチ
６２…ＬＡＮ
６４、６６，６８…端末装置
７０…ローカルエリアネットワーク
７２、７４、７６…インターフェース
７８、８０、８２…ワークステーション
８４…ＬＡＮ
８６…サーバー
８８…ＬＡＮ
９０…ファイヤーウォール
９１…ファイヤーウォール
９２…ファイヤーウォール
９６…サイト
９８…ルーター
１００…ライン
１０２…クラウド
１０４…スイッチ
１０６…サイト
１０８…ルーター
１１０…ファイヤーウォール
１１２…ＬＡＮハブ
１１４…ウエブサーバー
１１６…ウエブサーバー
【図１】
0003586203.tif 000002
【図２】
0003586203.tif 000003
【図３】
0003586203.tif 000004
【図４】
0003586203.tif 000005
【図５】
0003586203.tif 000006
【図６】
0003586203.tif 000007
【図７】
0003586203.tif 000008
【図８】
0003586203.tif 000009
【図９】
0003586203.tif 000010
【図１０】
0003586203.tif 000011