(57)【要約】  セキュアリモートアクセスシステムは、ポータブルコンピュータ１１０にインストールされたクライアントソフトウェア１１４を具備する。クライアントソフトウェア１１４は、セキュアトンネルを介して、会社の内部ネットワークのＤＭＺ内のサーバにインストールされた相手側サーバソフトウェア１２０とのリモートセッションを確立する。ＤＭＺサーバは、エンタープライズ第２レベルファイアウォール１２７越しに、ルータ１３０に接続される。ルータ１３０は、デスクトップがリモートアクセスを許可されている場合に、適切なデスクトップコンピュータ１５０へセッションをルーティングする。ルータ１３０を介した負荷をバランスさせるために、帯域制限部１４０が提供されてよい。
2009520406.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワークに接続された第１クライアントコンピュータと、
前記第１ネットワークに接続され、かつ第１通信モジュールを具備するサーバと、
第２通信モジュールを具備する第２クライアントコンピュータと、
前記第１通信モジュールと前記第２通信モジュールとの間に確立されて、前記サーバを介して前記第１クライアントコンピュータを前記第２クライアントコンピュータに接続する通信トンネルと
を具備することを特徴とするシステム。
【請求項２】
前記第１ネットワークが、前記第２クライアントコンピュータから前記第１クライアントコンピュータへセッションをルーティングするためのルータを具備することを特徴とする請求項１に記載のシステム。
【請求項３】
前記第１ネットワークが、
前記サーバと前記第２クライアントコンピュータとの間の第１レベルファイアウォールと、
前記サーバと前記第１クライアントコンピュータとの間の第２レベルファイアウォールと
をさらに具備することを特徴とする請求項２に記載のシステム。
【請求項４】
前記第１ネットワークが、前記第１クライアントコンピュータと前記第２クライアントコンピュータとの間のデータフローを監視及び調整するための帯域制限部を具備することを特徴とする請求項１に記載のシステム。
【請求項５】
前記帯域制限部が、タイマーを具備することを特徴とする請求項４に記載のシステム。
【請求項６】
前記第２クライアントコンピュータが、第２ネットワークに接続されることを特徴とする請求項１に記載のシステム。
【請求項７】
前記第２ネットワークが、インターネットであることを特徴とする請求項６に記載のシステム。
【請求項８】
前記通信トンネルが、前記第１及び第２ネットワークを介して確立されることを特徴とする請求項６に記載のシステム。
【請求項９】
前記第１及び第２通信モジュールが、Ｊａｖａ（登録商標）アプリケーションであることを特徴とする請求項１に記載のシステム。
【請求項１０】
前記第１ネットワークは、前記第２クライアントコンピュータから要求された接続が許可されたものであるかどうかを判断するセキュアポリシハンドラを具備することを特徴とする請求項１に記載のシステム。
【請求項１１】
前記セキュアポリシハンドラが、前記第２クライアントコンピュータの所在地に基づいた異なるレベルの認証を有することを特徴とする請求項１０に記載のシステム。
【請求項１２】
前記第２クライアントコンピュータが前記第１ネットワークに位置している場合、第１レベル認証は、ログインＩＤ及びパスワードであることを特徴とする請求項１１に記載のシステム。
【請求項１３】
前記第２クライアントコンピュータが第２ネットワークに位置している場合、第２レベル認証は、ログインＩＤ、パスワード、及びセキュリティトークンであることを特徴とする請求項１１に記載のシステム。
【請求項１４】
前記セキュアポリシハンドラが、前記通信トンネルを終了させるための可変タイムアウト条件を有することを特徴とする請求項１０に記載のシステム。
【請求項１５】
前記タイムアウト条件は、信頼できるクライアントに対する第１待機時間と、信頼できないクライアントに対する第２待機時間と、を有し、
前記第１待機時間は、前記第２待機時間より長いことを特徴とする請求項１４に記載のシステム。
【請求項１６】
前記セキュアポリシハンドラが、資産データベースを有することを特徴とする請求項１０に記載のシステム。
【請求項１７】
前記第１ネットワークが、前記第１クライアントコンピュータへのアクセスレベル及びアクセス許可を管理するためのアクセス許可管理モジュールを具備することを特徴とする請求項１に記載のシステム。
【請求項１８】
第１クライアントコンピュータと第１ネットワークとの間の接続を確立するステップと、
前記第１クライアントコンピュータと前記第１ネットワーク上のサーバとの間の接続を確立するステップと、
前記サーバを介して、前記第１クライアントコンピュータと前記第１ネットワーク上の第２クライアントコンピュータとの間の接続を確立するステップと
を有することを特徴とする方法。
【請求項１９】
前記第１クライアントコンピュータと前記第１ネットワークとの間の接続を確立する前記ステップが、前記第１クライアントコンピュータと前記サーバとの間の第１ファイアウォールを介したアクセスの達成であることを特徴とする請求項１８に記載の方法。
【請求項２０】
前記第１クライアントコンピュータと前記第２クライアントコンピュータとの間の接続を確立する前記ステップが、前記サーバと前記第２クライアントコンピュータとの間の第２ファイアウォールを介したアクセスの達成であることを特徴とする請求項１９に記載の方法。
【請求項２１】
前記第１クライアントコンピュータと前記第２クライアントコンピュータとの間のデータフローを監視するステップと、
前記データフローをしきい値と比較するステップと、
前記比較の結果、前記しきい値を越えていた場合に、前記データフローを制限するステップと
をさらに有することを特徴とする請求項１８に記載の方法。
【請求項２２】
前記第１クライアントコンピュータと前記第１ネットワークとの間の前記接続が、第２ネットワークを介して確立されることを特徴とする請求項１８に記載の方法。
【請求項２３】
前記第２ネットワークが、インターネットであることを特徴とする請求項２２に記載の方法。
【請求項２４】
第１ネットワークに接続するために、第１クライアントコンピュータにアクセスするステップと、
セッションをオープンするために、前記第１ネットワーク上のサーバにログオンするステップと
を有し、
前記セッションは、第２クライアントコンピュータにルーティングされて、該第２クライアントコンピュータとの接続を確立し、それによって、前記第１クライアントコンピュータを介して、前記第２クライアントコンピュータ上のデータ及び／又はアプリケーションに直接アクセスすることを特徴とする方法。
【請求項２５】
前記第１ネットワークにアクセスする前記ステップが、前記第１クライアントコンピュータと前記サーバとの間の第１ファイアウォールを介したアクセスの達成であることを特徴とする請求項２４に記載の方法。
【請求項２６】
前記第２クライアントコンピュータへの前記セッションのルーティングが、前記サーバと前記第２クライアントコンピュータとの間の第２ファイアウォールを介したアクセスの達成であることを特徴とする請求項２４に記載の方法。
【請求項２７】
前記第１クライアントコンピュータと前記第２クライアントコンピュータとの間のデータフローが、監視されるととともに、しきい値と比較され、
前記比較の結果、前記しきい値を越えていた場合に、前記データフローが制限されることを特徴とする請求項２４に記載の方法。
【請求項２８】
前記第１クライアントコンピュータが、第２ネットワークを介して、前記第１ネットワークに接続されることを特徴とする請求項２４に記載の方法。
【請求項２９】
前記第２ネットワークが、インターネットであることを特徴とする請求項２８に記載の方法。
【請求項３０】
第１クライアントコンピュータ上で実行されるクライアント通信モジュールと、
第１ネットワークに接続されたサーバ上で実行されるサーバ通信モジュールと
を具備し、
前記クライアント通信モジュール及び前記サーバ通信モジュールは、実行されると、前記サーバを介して、前記第１クライアントコンピュータと前記第１ネットワーク上の第２クライアントコンピュータとの間の通信トンネルを確立することを特徴とするコンピュータプログラム製品。
【請求項３１】
前記クライアント通信モジュールが、命令を有し、
前記命令は、実行されたとき、前記サーバ通信モジュールへ転送されるデータのカプセル化を引き起こすことを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３２】
前記クライアント通信モジュールが、命令を有し、
前記命令は、実行されたとき、前記サーバ通信モジュールから受信したパケットのアンラップを引き起こすことを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３３】
前記サーバ通信モジュールが、前記クライアント通信モジュールからの接続要求が許可されたものであるかどうかを判断するセキュアポリシモジュールを具備することを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３４】
前記セキュアポリシモジュールが、前記通信トンネルを終了させる可変タイムアウト条件を有することを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３５】
前記タイムアウト条件は、信頼できるクライアントに対する第１待機時間と、信頼できないクライアントに対する第２待機時間と、を有し、
前記第１待機時間は、前記第２待機時間より長いことを特徴とする請求項３４に記載のコンピュータプログラム製品。
【請求項３６】
前記クライアント通信モジュールが、命令を有し、
前記命令は、実行されたとき、前記第１クライアントコンピュータと前記サーバとの間の第１ファイアウォールを介したアクセスをもたらすことを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３７】
前記サーバ通信モジュールが、命令を有し、
前記命令は、実行されたとき、前記サーバと前記第２クライアントコンピュータとの間の第２ファイアウォールを介したアクセスをもたらすことを特徴とする請求項３６に記載のコンピュータプログラム製品。
【請求項３８】
前記クライアント通信モジュール及び前記サーバ通信モジュールが、Ｊａｖａ（登録商標）アプリケーションであることを特徴とする請求項３０に記載のコンピュータプログラム製品。
【請求項３９】
帯域制限モジュールをさらに具備し、
前記帯域制限モジュールは、実行されたとき、前記第１クライアントコンピュータと前記第２クライアントコンピュータとの間のデータフローを監視し、前記データフローをしきい値と比較し、かつ前記比較の結果、前記しきい値を越えていた場合に、前記データフローを制限することを特徴とする請求項３０に記載のコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュアなコンピュータネットワークに関する。具体的には、本発明は、遠く離れたデスクトップへセキュアにアクセスするシステム及び方法に関する。
【０００２】
この出願は、２００５年１２月１５日に出願された米国特許仮出願第６０／７５０,
９９５号の優先権を主張するものであり、これを引用によって本願明細書に組み込む。
【背景技術】
【０００３】
しばしば、人は、自身のオフィスから離れていても、自身のデスクトップコンピュータへアクセスする必要にかられる。社員は、例えばインターネットなどの通信ネットワークを介して、オフィス外部にいても自身のデスクトップにアクセスすることができるだろう。しかしながら、インターネットからデスクトップコンピュータへ直接アクセスすることは、会社の内部ネットワークへの大きなセキュリティリスクとなる。多くの会社は、インターネットからの内部デスクトップへの直接アクセスを禁止している。
【０００４】
その代わりに、会社は、例えばシトリックス社（Citrix Systems, Inc. of Ft. Lauderdale, Florida）から入手できるメタフレームアクセススイート（Metaframe Access Suite）などのリモートアクセスソフトウェアを介して、デスクトップコンピュータへのリモートアクセスを提供する。メタフレームアクセススイートでは、クライアントソフトウェアは、社員が自身のオフィスから離れるときに持って行くポータブルコンピュータにインストールされる。クライアントソフトウェアは、ポータブルコンピュータとサーバとの間のセキュアな通信チャネルを確立するサーバソフトウェアコンポーネントが稼動しているサーバとの接続を確立する。サーバは、社員のデスクトップコンピュータの仮想マシンを生成する。仮想マシンは、ユーザによって、あたかも自身のデスクトップコンピュータにアクセスしているかのように、デスクトップコンピュータの代わりにアクセスを受ける。サーバは、遠隔地からサーバにアクセスする社員毎に仮想マシンを生成する。言い換えれば、遠隔地からサーバにアクセスする社員が２０人いれば、サーバは２０台の仮想マシンを生成する。社員は自身の仮想マシンとだけ情報をやりとりするのだが、サーバリソースが他の仮想マシンにシェアされねばならないため、レスポンスは低下する。
【０００５】
リモートアクセスソリューションの別の事例として、シトリックス社の提供するＧｏＴｏＭｙＰＣサービスがある。このサービスは、デスクトップコンピュータに簡易なサーバアプリケーションをインストールする。サーバアプリケーションは、サードパーティサイトでホストされている仲介部（broker）に、周期的にピン（ping）を打つ。ユーザは、リモートコンピュータにおいて、デスクトップコンピュータとの通信を必要とするときに、セキュアなウェブサイトへ移動してログオンする。仲介部は、ユーザを彼らのデスクトップコンピュータと照合するとともに、これもまたサードパーティサイトでホストされている通信サーバへのセッションを割り当てる。通信サーバは、セッションの間に、リモートコンピュータからオフィスコンピュータへ、不明瞭かつ高度に圧縮された暗号化データストリームを中継する。このサービスは、少数のＩＴ／セキュリティ人員しか持たない小さな会社が、このサービスによって提供されるセキュリティインフラストラクチャの保守を行なうことなく、遠隔地から自身のオフィスコンピュータへ意識することなく接続することを可能にする。しかしながら、大会社においては、オフィスコンピュータからのセッション開始は、ネットワークトラフィックを増大させるとともに、大多数の会社が自身のセキュリティポリシの一環として日常的に実行している外向き通信のモニタリングの著しい増加を意味する。従って、引き続き、遠隔地から社員のデスクトップコンピュータへ直接かつセキュアにアクセスするためのシステム及び方法への要望がある。
【発明の開示】
【課題を解決するための手段】
【０００６】
本発明の特徴及び利点が以下に記載されるとともに、その一部が記載から明らかとなり、又は本発明の実行によって理解される。本発明の目的及びその他の利点は、明細書及び特許請求の範囲、並びに添付された図面において特に指摘された構成によって実現及び達成される。
【０００７】
これら及びその他の利点を達成するために、かつ本発明の目的に従って、具体化され、広範に記載されたセキュアリモートアクセスシステムは、ポータブルコンピュータにインストールされたクライアントソフトウェアを具備する。クライアントソフトウェアは、セキュアトンネルを介して、会社の内部ネットワークのＤＭＺ内のサーバにインストールされた相手側サーバソフトウェアとのリモートセッションを確立する。ＤＭＺサーバは、エンタープライズ第２レベルファイアウォール越しに、ルータに接続される。ルータは、デスクトップがリモートアクセスを許可されている場合に、適切なデスクトップコンピュータへセッションをルーティングする。ネットワーク使用量とルータ通過限界とをバランスさせるために、帯域制限部が提供されてよい。
【０００８】
本発明の例示的な実施形態が対象とするシステムは、リモートコンピュータに格納されたクライアントセキュアトンネルと、エンタープライズＤＭＺファイアウォールと第２レベルファイアウォールとの間のサーバセキュアトンネルと、第２レベルファイアウォールを介して、サーバセキュアトンネルとの通信を行なうルータと、ルータとの通信を行なうオフィスコンピュータとを具備する。クライアントセキュアトンネル及びサーバセキュアトンネルは、リモートコンピュータとサーバセキュアトンネルとの間のセキュアトンネルを形成する。オフィスコンピュータは、セキュアトンネル及びルータを介して、リモートコンピュータによって遠隔操作される。
【発明を実施するための最良の形態】
【０００９】
添付の図面は、本発明のさらなる理解を提供するためのものであり、この明細書に組み込まれ、かつその一部を構成する。図面は、本発明の実施形態を図示するとともに、明細書の記載と共に発明の原理を説明する役割を果たす。
【００１０】
これより、添付の図面を例にとって、本発明の好適な実施形態を詳細に記載する。明細書中の記載は、本発明の例示的な実施形態を説明するためのものである。記載された実施形態がセキュアなリモートデスクトップアクセスの新しいシステム及び方法の一例に過ぎないということは、当業者には明白である。本発明の範囲から逸脱することなく、以下の記載に従ったその他の実施形態が使用できる。
【００１１】
図１は、本発明の例示的な実施形態を示すブロック図である。図１において、リモートコンピュータ１１０は、例えばインターネットなどの通信ネットワーク１１５を介してセキュアトンネルサーバ１２０との通信セッションを開始する。セキュアトンネルサーバ１２０は、セキュアポリシハンドラ１２５に問い合わせることによって、セッションを許可するかどうかを判断する。セッションが許可されれば、セキュアトンネルサーバ１２０は、第２レベルファイアウォール１２７を介して第２レベルファイアウォールの内側に位置するルータ１３０へ通信を転送する。ルータ１３０は、デスクトップアクセス許可管理部１３５に問い合わせて、要求されたオフィスコンピュータがリモートアクセスを許可されているかどうかを判断する。要求されたオフィスコンピュータがアクセスを許可されていた場合、ルータ１３０は、セッショントラフィックをオフィスコンピュータ１５０へルーティングする。リモートコンピュータ１１０とオフィスコンピュータ１５０との間でセッションが確立されれば、ユーザは、リモートコンピュータから、オフィスコンピュータ上でのプログラムの実行及びファイルアクセスを行なうことができる。
【００１２】
例示的な実施形態において、リモートコンピュータ１１０は、例えば、マイクロソフト社（Microsoft Corporation of Redmond, Washington）から入手可能なＷｉｎｄｏｗｓ（登録商標）ＸＰ  Ｐｒｏｆｅｓｓｉｏｎａｌオペレーティングシステムの一部であるマイクロソフトリモートデスクトッププロトコル（Microsoft Remote Desktop Protocol，ＲＤＰ）などのクライアントディスプレイモジュールを具備する。ＲＤＰモジュール１１２は、リモートコンピュータが、オフィスコンピュータをローカル操作するときに見たいスクリーンを表示し、かつ例えばマウス移動及びキーボード打鍵のような入力命令をリモートコンピュータからオフィスコンピュータへ送信できるようにする。
【００１３】
また、リモートコンピュータ１１０は、例えばインターネットなどのセキュアでないネットワークを介した転送のためにＲＤＰデータをカプセル化するクライアントセキュアトンネル１１４を具備する。また、クライアントセキュアトンネル１１４は、セキュアでないネットワークからパケットを受け取り、ＲＤＰデータをアンラップし、かつＲＤＰモジュール１１２へＲＤＰデータを転送する。
【００１４】
好ましくは、クライアントセキュアトンネル１１４は、リモートコンピュータの記憶装置に格納されたＪａｖａ（登録商標）プログラムである。Ｊａｖａ（登録商標）ベースのクライアントセキュアトンネル及びＲＤＰの使用は、リモートコンピュータ１１０に追加的なソフトウェアコンポーネントをインストールする必要をなくす。とは言え、他のタイプのインタフェースが、本発明の範囲から逸脱することなく使用されてよい。例えば、Ｌｉｎｕｘ（登録商標）プラットフォーム上のＩＣＡ又はＸ−Ｗｉｎｄｏｗのような他の表示プロトコル及びプラットフォームが、リモートコンピュータ１１０からオフィスコンピュータ１５０を操作するために使用されてもよい。当然ながら、それらは本発明の範囲内にある。
【００１５】
クライアントセキュアトンネル１１４は、サーバセキュアトンネル１２０との通信を行なうとともに、エンタープライズＤＭＺファイアウォール１１７とエンタープライズ第２レベルファイアウォール１２７との間の会社のＤＭＺに配置される。サーバセキュアトンネル１２０は、セキュアでないネットワークを介して、クライアントセキュアトンネル１４からパケットを受け取り、ＲＤＰデータをアンラップし、かつルータ１３０へＲＤＰデータを転送する。また、サーバセキュアトンネル１２０は、ルータ１３０から受信した送出ＲＤＰデータをカプセル化するとともに、カプセル化されたデータをセキュアでないネットワークを介してクライアントセキュアトンネル１１４へ転送する。
【００１６】
クライアントセキュアトンネル１１４とサーバセキュアトンネル１２０との間に確立されるトンネルは、大抵のファイアウォールにすでに適用されているＳＳＬポート４４３を介して確立されてよい。ＳＳＬポートの使用は、本発明の実施形態を適用するために、ファイアウォールの設定をカスタマイズする必要をなくす。それによって、外部からの攻撃に対して会社のネットワークを開放するリスクを減少させる
【００１７】
例示的な実施形態において、サーバセキュアトンネル１２０は、セキュアポリシハンドラ１２５を介して、会社のセキュリティポリシを順守させる。セキュアポリシハンドラ１２５は、認証と、例えば、ユーザ名／パスワード、及び／又は、ユーザ名／アクセストークン番号の確認などの一般的なウェブサイトアクセス許可管理とを実行する。ソースＩＰアドレスフィルタリング及びその他の制限メカニズムが、セキュアポリシハンドラ１２５によって実行されてよい。
【００１８】
本発明の例示的な実施形態によるシステムは、リモートコンピュータ１１０の所在地に基づいた可変性のセキュリティ尺度を用いる。例えば、リモートコンピュータ１１０が、セキュアなネットワークの一部ではあるが、異なるオフィス又は地理的場所に位置する場合、オフィスコンピュータ１５０にアクセスするためには、ログイン名／パスワードの組合せのみが要求させる。一方、リモートコンピュータ１１０が、インターネットを介したアクセスを必要とするホームコンピュータのような異なるネットワークに位置する場合、セキュリティトークンデバイスから生成されるセキュリティトークンのような追加的なセキュリティ尺度が、アクセスのために要求される。セキュリティトークンデバイスの一例が、ＲＳＡ社のＳｅｃｕｒＩＤである。
【００１９】
さらに、セキュリティポリシハンドラ１２５は、サーバセキュアトンネル１２０と会社のセキュリティポリシとの間の整合を提供する。サーバセキュアトンネル１２０との整合が可能なセキュリティポリシの一例は、２００４年１２月２９日に出願された米国出願第１１／０２５，８７１号に記載されているような資産データベースがある。上記出願は、引用によって本願明細書に組み込まれる。サーバセキュアトンネル１２０は、リモートコンピュータ１１０から接続要求を受信したとき、セキュアポリシハンドラ１２５に問い合わせを行なって、リモートコンピュータ１１０とサーバセキュアトンネル１２０との間でセキュアトンネルが確立されているかどうかを判断する。
【００２０】
接続が許可されている場合、また、セキュアポリシハンドラ１２５は、例えばリモートコンピュータ１１０が所定時間（すなわち、タイムアウト条件）中にデータを転送しなかった場合に、再認証／再承認を強いる。セキュリティの強化と同時に能率を維持するために、クライアントのタイプに応じた可変性のタイムアウト条件が用いられる。例えば、信頼できるクライアントから開始されたセッションは、延長された待機時間（例えば、４時間）を許可されるが、一方、信頼できないクライアント（例えば、公共のビジネスセンター）から開始されたセッションは、セッションが終了される前に、短縮された待機時間（例えば、１５分）に制限される。
【００２１】
サーバセキュアトンネル１２０は、エンタープライズ第２レベルファイアウォール１２７を介して、ルータ１３０と通信を行なう。第２レベルファイアウォール１２７は、所定のポートを介して、サーバセキュアトンネル１２０とルータ１３０との間の通信を許可するように構成される。
【００２２】
ルータ１３０は、適切なオフィスコンピュータ１５０とのリモートセッションを電子的に接続する。ルータ１３０によって、オフィスコンピュータは、エンタープライズ第２レベルファイアウォール１２７を介したシングル接続を介して、サーバセキュアトンネル１２０にアクセスできるようになる。ルータ１３０がなければ、各オフィスコンピュータ１５０は、第２レベルファイアウォール１２７を介した接続を必要とする。このことは、ネットワークのセキュリティ構造に対する重大なリスクを意味する。
【００２３】
オフィスコンピュータ１５０への接続が確立される前に、ルータ１３０は、デスクトップアクセス許可管理部１３５に問い合わせることによって、オフィスコンピュータ１５０がリモートアクセスを許可されているかどうかを判断する。デスクトップアクセス許可管理部１３５は、リモートアクセスが許可されたオフィスコンピュータのごく簡単な一覧であってよく、又は、認証及び承認を提供する先に記載した資産データベースとの接続であってもよい。デスクトップアクセス許可管理部１３５は、特定のオフィスコンピュータへのアクセスを制御するとともに、また、特定のユーザに対する特定のオフィスコンピュータへのアクセスを制限してよい。
【００２４】
接続が許可されれば、ルータ１３０は、オフィスコンピュータ１５０との接続を確立する。オフィスコンピュータ１５０は、先に記載したようにＷｉｎｄｏｗｓ（登録商標）ＸＰ  Ｐｒｏｆｅｓｓｉｏｎａｌオペレーティングシステムの一部であるＲＤＰモジュールのようなサーバディスプレイモジュール１５５を具備する。ＲＤＰモジュールは、遠隔地のユーザが、オフィスに居てオフィスコンピュータ１５０を操作するのと同じように、オフィスコンピュータ１５０上でプログラムを実行し、かつファイルを開くことを可能にする。
【００２５】
オフィスコンピュータとの接続が確立された後、帯域制限部１４０は、オフィスコンピュータ１５０とリモートコンピュータ１１０との間のトラフィックを監視する。オフィスコンピュータ１５０とリモートコンピュータ１１０との間のトラフィックの大半は、表示の更新から成る。多くのリモートディスプレイモジュールは、例えばカーソルが表示上で動いた場合に変化する表示の一部のみの更新情報を送信する。変化する表示の一部のみの送信は、リモートコンピュータ１１０へ送信しなければならないデータ量を削減するとともに、会社のネットワーク帯域への負担を軽減する。
【００２６】
オフィスコンピュータ１５０上で、新しいアプリケーションが実行され、かつ新しい文書が表示される場合、スクリーン全体が変化し、かつ転送データ量が、短期間に増大するが、短期間で減少する。一般に、ネットワークは、データ転送率のこれらの瞬間的な急増が短期間に発生し、かつ一斉に発生しないならば、処理可能である。しかしながら、リモートコンピュータ１１０がオフィスコンピュータ１５０からの動画ファイルを視聴しており、表示の大部分が絶えず変化している場合、リモート接続は、利用可能なネットワーク帯域のかなりの割合を使用する可能性がある。たとえネットワークが動画ファイルを視聴する一人のリモートユーザをサポートできたとしても、動画を視聴する１００人のリモートユーザが存在する場合には、多くのネットワークは速度低下に見舞われるだろう。
【００２７】
帯域制限部１４０は、各リモートコンピュータ１１０とそれに対応するオフィスコンピュータ１５０との間のトラフィックを監視する。トラフィックが所定のしきい値を越えて増大した場合、帯域制限部１５０は、タイマー（図示せず）をスタートさせる。トラフィックが所定の期間に対して所定のしきい値を越えたままである場合、帯域制限部１４０は、データパケットの転送の遅延を開始する。遅延は、リモートコンピュータ上の表示が「ぎくしゃく（jerky）」した動きとなる原因となる。それによって、過大な帯域を使用しているユーザへ警告する。帯域制限部１４０は、セッションのネットワークパフォーマンスが通常の挙動へ戻ったと認める場合に、制限を解除する（すなわち、通常動作に切り替える）。
【００２８】
セキュリティの追加レベルとして、本発明の例示的な実施形態は、リモートコンピュータ１１０の所在地に依存する可変性のセキュリティアクセスを用いる。例えば、リモートコンピュータ１１０が同一のセキュアネットワーク上にあるが、異なる建物又は地域に位置する場合である。
【００２９】
本発明の実施形態は、当業者には明白な、コンピュータコンポーネント及びコンピュータ実行ステップを有する。説明を簡単にするために、本発明のステップ又は要素の全てをコンピュータシステムの一部として本明細書中に記載してはいないが、各ステップ又は要素が対応するコンピュータシステム又はソフトウェアコンポーネントを具備するということを、当業者は理解する。従って、そのようなコンピュータシステム及び／又はソフトウェアコンポーネントは、それらの対応するステップ又は要素（言い換えれば、機能）を記載することによって実施可能となるとともに、本発明の範囲内にある。
【００３０】
以上、本発明の例示的な実施形態を記載したが、発明の精神又は範囲から逸脱することなく、本発明にさまざまな修正及び変形を加えることが可能であるということは、当業者には明白である。従って、先の記載は、例示のみを目的とし、限定を意図しない。故に、本発明は、添付された特許請求の範囲及びそれらの均等物から与えられるこの発明の修正例及び変形例を包含する。
【図面の簡単な説明】
【００３１】
【図１】本願発明の例示的な実施形態を示すブロック図である。
【符号の説明】
【００３２】
１１０  リモートコンピュータ
１１２  ディスプレイドライバモジュール
１１４  クライアントセキュアトンネル
１１５  インターネット
１１７  エンタープライズＤＭＺファイアウォール
１２０  サーバセキュアトンネル
１２５  セキュアポリシハンドラ
１２７  エンタープライズ第２レベルファイアウォール
１３０  ルータ
１３５  デスクトップアクセス許可管理部
１４０  帯域制限部
１５０  エンタープライズコンピュータ
１５５  ディスプレイドライバモジュール
【図１】
2009520406.tif 000003
【国際調査報告】
2009520406.tif 000004