(57)【要約】選択性が向上した、構造材料が存在する中の対象材料をエッチングするための方法は、気相エッチング剤およびコ・エッチング剤（ｃｏ−ｅｔｃｈａｎｔ）を使用する。本方法の実施形態は、コ・エッチング剤を使用しない同様のエッチング処理に比べて少なくとも約２倍から少なくとも約１００倍向上した選択性を示す。いくつかの実施形態では、対象材料は、気相エッチング剤によってエッチング可能な金属を含む。本方法の実施形態は、ＭＥＭＳデバイス、たとえば干渉変調器の製造において特に役に立つ。いくつかの実施形態では、対象材料は、気相エッチング剤によってエッチング可能な金属、たとえばモリブデンを含み、構造材料は、誘電体、たとえば二酸化ケイ素を含む。【選択図】図１
2009536405.tif 000002
【特許請求の範囲】
【請求項１】
複数の装置を有するネットワーク２００中にファイアウォールサービスを構成する方法であって、
前記ネットワーク２００中の第１の装置２１０のためのファイアウォール性能を決定するステップと、
前記ネットワーク中の第２の装置２１６のためのファイアウォールサービス要件を決定するステップと、
前記第２の装置２１６の前記ファイアウォールサービス要件および前記第１の装置２１０の前記ファイアウォール性能に従って、前記第１の装置２１０自体のために、および前記第２の装置２１６のためにファイアウォールサービスを提供するように前記第１の装置２１０を構成するステップとを含む方法。
【請求項２】
前記第１の装置２１０の後に前記第２の装置２１６を論理的に配置するために、ルータ２０２を構成するステップをさらに含む、請求項１に記載の方法。
【請求項３】
前記第１の装置２１０のための前記ファイアウォール性能を決定するステップは、前記第１の装置２１０の前記ファイアウォール性能に対応する、公開された情報をモニタするステップを含む、請求項１に記載の方法。
【請求項４】
前記ファイアウォールサービス要件を決定するステップは、前記第２の装置２１６から発行された、ファイアウォールサービスを要求するリクエストをモニタするステップを含む、請求項１に記載の方法。
【請求項５】
管理の設定によって、前記ファイアウォールサービスが、前記第２の装置２１６から発行された、ファイアウォールサービスを要求するリクエストより限定的であることが要求される、請求項４に記載の方法。
【請求項６】
前記第２の装置２１６から発行された情報が得られないとき、前記ファイアウォールサービス要件を決定するステップは、前記第２の装置２１６のためにデフォルトのファイアウォールサービスを選択するステップを含む、請求項１に記載の方法。
【請求項７】
下流の装置２１０が、最低限のファイアウォール性能を満たすファイアウォール性能を有するとき、上流の装置２０２が、それのファイアウォールサービスへのオープンアクセスを設定する、請求項１に記載の方法。
【請求項８】
設定可能なファイアウォールの保護のために適合された複数の装置を有するネットワーク２００であって、
上流側８０４および下流側８０７、８１８を有し、前記ネットワーク上の装置を用いてデータトラフィックを導くためのルータ８０６と、
前記ルータの前記下流側８０７に結合された第１の装置８０８であって、前記第１の装置８０８は、少なくとも１つのファイアウォール性能を提供する能力を有する第１の装置８０８と、
前記ルータ８１８の前記下流側に結合された第２の装置８１６であって、前記第２の装置８１６は、ファイアウォールサービスを求めるリクエストを発行するように適合される第２の装置８１６とを含み、
前記第１の装置８０８の前記少なくとも１つのファイアウォール性能が、前記ファイアウォールサービスの前記リクエストの要件を満たすとき、前記第１の装置８０８は、前記第２の装置８１６からの前記リクエストに応答して、前記少なくとも１つのファイアウォール性能を提供するネットワーク。
【請求項９】
前記要件は、前記リクエストにおいて黙示的である、請求項８に記載のネットワーク。
【請求項１０】
前記ルータ８０６は、信号を受け取り、前記第２の装置８１６にアドレス指定された、着信したトラフィックを前記第１の装置８０８に導いて、前記ファイアウォールサービスの前記リクエストを満たす、請求項８に記載のネットワーク。
【請求項１１】
前記第１の装置８０８は、ネットワーク接続８２０、９１６を前記第２の装置８１６、９２０と外部で共用する、請求項８に記載のネットワーク。
【請求項１２】
前記第１の装置８０８は、前記少なくとも１つのファイアウォール性能を提供する能力を公開する、請求項８に記載のネットワーク。
【請求項１３】
前記第２の装置８１６は、前記第１の装置８０８により公開された、前記少なくとも１つのファイアウォール性能を提供する前記能力を受け取り、前記ファイアウォールサービスの前記リクエストを前記第１の装置８０８に導く、請求項１２に記載のネットワーク。
【請求項１４】
設定可能なファイアウォールの保護のために適合された前記複数の装置のそれぞれについて、ファイアウォール性能およびファイアウォールサービス要件をモニタするためのコントローラ８１２をさらに含む、請求項８に記載のネットワーク。
【請求項１５】
前記コントローラ８１２は、前記第１の装置８０８および前記ルータ８０６の１つに組み込まれる、請求項１４に記載のネットワーク。
【請求項１６】
前記コントローラ８１２は、前記複数の装置のそれぞれにファイアウォールサービス要件を公開するための通信機能を有する、請求項１４に記載のネットワーク。
【請求項１７】
前記公開されたファイアウォールサービス要件が、前記第２の装置８１６からのファイアウォールサービスを要求する前記リクエストより限定的であるとき、前記第１の装置８０８は、前記第２の装置８１６からのファイアウォールサービスの前記リクエストより限定的である、前記少なくとも１つのファイアウォール性能を提供する、請求項１６に記載のネットワーク。
【請求項１８】
前記コントローラ８１２は、ファイアウォールサービスを求めるリクエストを発行しない第３の装置２０６に、デフォルトのファイアウォールサービスを割り当てる、請求項１４に記載のネットワーク。
【請求項１９】
他の電子装置８１６にファイアウォールサービスを提供するように構成され適合されたコンピュータ８０８であって、
上流のネットワーク８０４を有し、双方向のデータトラフィックをサポートするネットワーク接続８１０と、
前記ネットワーク接続８０７に結合され、前記他の電子装置８１６から発行されたファイアウォールサービスを求めるリクエストをモニタするように動作可能であり、前記リクエストに応答し、前記コンピュータ８０８の下流に前記他の電子装置８１６を論理的に配置するように前記ネットワーク接続８１０を構成し、および前記他の電子装置８１６に提供するためにファイアウォールサービスのレベルを決定するマネージャ８１２と、
前記マネージャ８１２および前記ネットワーク接続８１０に結合されたファイアウォールサービスのプロバイダ８１４とを含み、
前記ファイアウォールサービスのプロバイダは、そのコンピュータ８０８自体のためにファイアウォールサービスをサポートし、前記他の電子装置８１６にアドレス指定されたデータトラフィックのため、前記マネージャ８１２が決定した前記レベルに従ってファイアウォールサービスを提供するコンピュータ。
【請求項２０】
第２のネットワーク接続９１６をさらに含み、
前記ネットワーク接続上の、前記他の電子装置９２０にアドレス指定されたデータトラフィックは、前記ファイアウォールサービスのレベルによってフィルタリングされ、前記第２のネットワーク接続９１６を介して送られる、請求項１９に記載のコンピュータ。
【発明の詳細な説明】
【背景技術】
【０００１】
ネットワークに接続されたコンピュータは、そのネットワーク上の他のコンピュータからの攻撃に対して弱い。ネットワークがインターネットである場合、その攻撃は、そのコンピュータへのアクセスを得ようとする悪意のある企てから、「ゾンビ」コードのインストールやサービスを妨害する攻撃までの一連の行為を含むことがある。コンピュータへのアクセスを得ようとする悪意のある企ては、個人データを探り出そうとする意図が含まれていることがあり、また、ゾンビコードを使用して、多数のコンピュータからの大量のトラフィックによってウェブサイトを圧倒することによって、サービスを妨害する攻撃を始めることがある。アタッカーには、組織化された犯罪者、高度な技術力を持った、しかし悪意のあるコンピュータ専門家、およびよく知られた弱点を解読し、投稿されたような攻撃を繰り返し行う「スクリプトキディー」が含まれることがある。
【０００２】
ほとんどのコンピュータは、データを送信し受信するためのアドレス指定可能なポートを有する。いくつかのポートは、一定の種類のトラフィックに指定されることがある。たとえば、インターネットプロトコル（ＩＰ）によるネットワークでは、ポート８０がハイパーテキストプロトコル（ｈｔｔｐ）のトラフィックに指定されることがしばしばあり、一方、ポート４４３が安全ｈｔｔｐ（ｈｔｔｐｓ）のトラフィックにしばしば指定される。他のポートは、必要に応じて様々なサービスに指定することができる。そのように指定されたポート上の未指定のトラフィックおよび未使用のポート上のすべてのトラフィックは、コンピュータへのアクセスを得ようとする、アタッカーの企ての対象になることがある。
【０００３】
一定のプロトコルにポートのトラフィックを限定し、外部からのトラフィックすべてから未使用のポートをブロックするために、ファイアウォールを使用することができる。ファイアウォールは、保護を探し求めるコンピュータの間のネットワーク上、およびインターネットなどの「オープン」ネットワーク上に配置することができ、またはコンピュータと一体化することができる。企業または他の大規模のプライベートネットワークでは、ファイアウォールは、事業体の間でトラフィックを限定するためにも使用することができる。ファイアウォールは、不正なプロトコルを有するトラフィックを指定済みのポートでブロックすることができ、たとえば、ファイル転送プロトコル（ＦＴＰ）は、ポート８０上でブロックすることができる。同様に、ファイアウォールは、未使用のポート上のすべてのトラフィックをブロックすることができる。ハードウェアおよびソフトウェアの両方によるファイアウォールの実装が可能である。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
様々な電子装置を有するローカルエリアネットワークなどのネットワークは、ファイアウォールサービスを提供することができる第１のグループの装置、ならびにファイアウォール性能が限定された、またはそれを有さない第２のグループの装置を有することができる。その性能を有するそれら装置のファイアウォールサービス性能を公開することによって、またはファイアウォールサービスを必要とする装置のファイアウォール要件を公開することによって、あるいはその両方によって、ネットワークは、第１のグループが第２のグループの装置にファイアウォールサービスを提供することが可能になるように、構成することができる。
【課題を解決するための手段】
【０００５】
そのような分散型ファイアウォールのサービスをサポートするため、装置は、ファイアウォールサービスを提供するという、その関心／能力を知らしめる性能が必要になることがある。同じく、他の装置は、ファイアウォールサービスに対するその要求を発行する性能が必要になることがある。ネットワークの経路指定の変更は、遠いロールサービスを提供することができるようにデータトラフィックを別経路に切り替えるために、行う必要があり得、必要性に性能を適合させ、データトラフィックの経路変更を指示するために、マネージャ機能が必要になることがある。さらに、マネージャ機能は、装置がそれらの必要性を公開しない、またはそれらの公開された性能が他のシステムレベルの最低限の要件を満たしていない、そのような装置について、最低レベルのファイアウォールサービスに関する規則を強制することができる。マネージャ機能は、ルータ内など、ネットワーク内で他の装置から独立していることができ、またはファイアウォールサービスを提供する、またはそれを使用する装置の１つの中に組み込むことができる。
【発明を実施するための最良の形態】
【０００６】
以下の文章は、多数の様々な実施形態の詳細な説明を示すものであるが、その説明の法的な範囲は、この開示に添付された特許請求の範囲によって定義されることを理解すべきである。この詳細な説明は、単に例示的であると解釈すべきであり、すべてのあり得る実施形態を説明するものではない。というのは、不可能なことではないが、すべてのあり得る実施形態を説明することは、現実的でないと思われる。最新技術またはこの特許の出願日の後に開発された技術のいずれかを使用して、多数の代替実施形態を実装することができるはずであり、それらは、やはり特許請求の範囲に入ることになる。
【０００７】
「本明細書で使用されるとき、用語×××は、これによって○○○を意味するものと規定する」との文章、または同様な文を使用して、用語が、この特許において明確に定義されていない限り、明確に、または含蓄的にどちらかで、その明らかな、または通常の意味を超えてその用語の意味を限定するという意図はなく、また、その用語は、本特許の項のいずれかにおいてなされた記述のどれかに（請求項の言語以外）基づく範囲内に限定されると解釈すべきでないことも理解すべきである。本特許に添付された特許請求の範囲中に列挙されたすべての用語が、１つの意味と一致する形で本特許中に参照される範囲では、それは、読者を混乱させないように、明確にするためになされるだけであり、そのような請求項の用語が、含蓄的に、または他の方法で、その１つの意味に限定されると意図するものでない。最後に、請求項の要素が、語「手段」およびいかなる構造も列挙することなく機能を列挙して規定されない限り、すべての請求項の要素の範囲は、米国特許法第１１２条第６項の適用に基づき解釈されるとは意図されない。
【０００８】
本発明の機能性の多く、および本発明の原理の多くは、ソフトウェアプログラムまたは命令、および特定用途向け集積回路などの集積回路（ＩＣ）を用いて、またはそのような形で最善に実装される。恐らくかなりの努力、およびたとえば使える時間、最新技術、および経済的な考慮事項が動機になる多くの設計の選択にもかかわらず、本明細書で開示される概念および原理によって導かれるとき、当業者は、そのようなソフトウェアの命令およびプログラム、ならびにＩＣを、最小限の実験によって容易に製作することができるであろうことが予想される。したがって、簡潔にするために、そして本発明による原理および概念をわかりにくくするいかなるリスクも最小にするために、そのソフトウェアおよびＩＣについてのさらなる記述は、もしあるとしても、好ましい実施形態の原理および概念に関する要点に限ることにする。
【０００９】
図１に、分散型ファイアウォールのシステムに関与することができる、コンピュータ１１０の形の計算装置を示す。コンピュータ１１０の構成要素には、ただしこれらには限定されないが、処理ユニット１２０、システムメモリ１３０、およびシステムメモリを含む、様々なシステムの構成要素を処理ユニット１２０に結合するシステムバス１２１が含まれる。システムバス１２１は、メモリバスまたはメモリコントローラ、ペリフェラルバス、および様々なバスアーキテクチャのいずれかを使用するローカルバスを含む、いくつかのタイプのバス構造のいずれでもよい。例にする目的であって限定するものではないが、そのようなアーキテクチャには、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネル・アーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ、ベサ）ローカルバス、およびメザニンバスとしても知られるペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）バスが含まれる。
【００１０】
コンピュータ１１０は、通常、様々なコンピュータ可読媒体を含む。コンピュータ可読媒体は、コンピュータ１１０がアクセスすることができる、すべての利用できる媒体とすることができ、揮発性および不揮発性媒体、および取り外し可能な、および固定式の媒体を共に含む。例にする目的であって限定するものではないが、コンピュータ可読媒体は、コンピュータ記憶媒体および通信媒体を含むことができる。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報を記憶するため、すべての方法または技術で実現された、揮発性および不揮発性の取り外し可能な、および固定式の媒体を含む。コンピュータ記憶媒体には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、ディジタル多用途ディスク（ＤＶＤ）または他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置または他の磁気記憶装置、あるいは所望の情報を記憶するために使用することができ、コンピュータ１１０がアクセスすることができる他のすべての媒体が含まれるが、これらには限定されない。通信媒体は、通常、コンピュータ可読命令、データ構造、プログラムモジュール、または搬送波または他の搬送機構などの変調データ信号の形の他のデータを具現化し、任意の情報配信媒体を含む。用語「変調データ信号」は、１つまたは複数のその特性が、信号中に情報を符号化する方法で、設定される、または変更される信号を意味する。例にする目的であって限定するものではないが、通信媒体は、有線ネットワークや直接有線接続などの有線媒体、および音響、無線周波数、赤外線および他の無線の媒体などの無線媒体を含む。上記のもののすべての組合せも、コンピュータ可読媒体の範囲内に含めるべきである。
【００１１】
システムメモリ１３０は、リードオンリーメモリ（ＲＯＭ）１３１およびランダムアクセスメモリ（ＲＡＭ）１３２など、揮発性および／または不揮発性のメモリの形でコンピュータ記憶媒体を含む。基本入出力システム（ＢＩＯＳ）１３３は、起動中などにコンピュータ１１０内の要素間で情報を転送するのに役立つ基本ルーチンを含み、通常ＲＯＭ１３１中に格納される。ＲＡＭ１３２は、通常、即座にアクセスすることができる、および／または処理ユニット１２０が現在処理中であるデータおよび／またはプログラムモジュールを収容する。例にする目的であって限定するものではないが、図１に、オペレーティングシステム１３４、応用プログラム１３５、他のプログラムモジュール１３６およびプログラムデータ１３７を示す。
【００１２】
コンピュータ１１０は、他の取り外し可能／固定式の揮発性／不揮発性のコンピュータ記憶媒体も含むことができる。一例にすぎないが、図１に、固定式の不揮発性磁気媒体から読み出し、またはそれに書き込むハードディスクドライブ１４０、取り外し可能な不揮発性磁気ディスク１５２から読み出し、またはそれに書き込む磁気ディスクドライブ１５１、およびＣＤ  ＲＯＭ、または他の光媒体など、取り外し可能な不揮発性光ディスク１５６から読み出し、またはそれに書き込む光ディスクドライブ１５５を示す。例示の動作環境中で使用することができる、他の取り外し可能／固定式の揮発性／不揮発性のコンピュータ記憶媒体には、ただしこれらに限定されないが、磁気テープカセット、フラッシュメモリカード、ディジタル多用途ディスク、ディジタルビデオテープ、ソリッドステートＲＡＭ、ソリッドステートＲＯＭなどが含まれる。ハードディスクドライブ１４１は、通常、インターフェース１４０などの固定式メモリインターフェースを介してシステムバス１２１に接続され、磁気ディスクドライブ１５１および光ディスクドライブ１５５は、通常、インターフェース１５０などの取り外し可能なメモリインターフェースによってシステムバス１２１に接続される。
【００１３】
上記に述べ図１に示したこれらのドライブおよびその関連するコンピュータ記憶媒体は、コンピュータ１１０用のコンピュータ可読命令、データ構造、プログラムモジュールおよび他のデータを格納する。たとえば図１に、オペレーティングシステム１４４、応用プログラム１４５、他のプログラムモジュール１４６およびプログラムデータ１４７を格納するものとして、ハードディスクドライブ１４１を示す。これらの構成要素は、オペレーティングシステム１３４、応用プログラム１３５、他のプログラムモジュール１３６およびプログラムデータ１３７と同じもの、またはそれらと異なるもののいずれかとすることができることに留意されたい。オペレーティングシステム１４４、応用プログラム１４５、他のプログラムモジュール１４６およびプログラムデータ１４７は、ここでは異なる数字を付与して、最低限それらが異なるコピーであることを示している。ユーザは、キーボード１６２および通常マウス、トラックボールまたはタッチパッドと称される指示装置１６１などの入力装置を介して、コマンドおよび情報をコンピュータ１１０に入力する。他の入力装置は、ウェブカメラ１６３として知られる、インターネット上で画像を送信するためのカメラとすることができる。他の入力装置（図示せず）は、マイクロフォン、ジョイスティック、ゲームパッド、衛星テレビ受信用アンテナ、スキャナなどを含むことができる。これらおよび他の入力装置は、システムバスに結合されたユーザ入力インターフェース１６０を介して、処理ユニット１２０にしばしば接続されるが、パラレルポート、ゲームポートまたはユニバーサルシリアルバス（ＵＳＢ）など、他のインターフェースおよびバス構造によって接続してもよい。モニタ１９１または他のタイプの表示装置も、ビデオインターフェース１９０などのインターフェースを介してシステムバス１２１に接続される。モニタに加えて、コンピュータは、スピーカ１９７およびプリンタ１９６など、他のペリフェラル出力装置も含むことができ、それらは、出力ペリフェラルインターフェース１９５を介して接続することができる。
【００１４】
コンピュータ１１０は、遠隔コンピュータ１８０など、１つまたは複数の遠隔コンピュータへの論理接続を使用するネットワーク環境下で動作することができる。遠隔コンピュータ１８０は、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピア装置または他の通常のネットワークノードとしてもよく、通常、コンピュータ１１０に関して上記で述べた要素の多くまたはすべてを含むが、メモリ記憶装置１８１だけが図１に示されている。図１に示されている論理接続は、ローカルエリアネットワーク（ＬＡＮ）１７１および広域ネットワーク（ＷＡＮ）１７３を含むが、他のネットワークを含むこともできる。そのようなネットワーク環境は、事務所や企業規模のコンピュータネットワーク、イントラネットおよびインターネットにおいて一般的である。
【００１５】
ＬＡＮネットワーク環境下で使用されるとき、コンピュータ１１０は、ネットワークインターフェースまたはアダプタ１７０を介してＬＡＮ１７１に接続される。ネットワークインターフェースまたはアダプタ１７０は、ファイアウォール性能を含むことができ、以下でさらに述べる。ＷＡＮネットワーク環境下で使用されるとき、コンピュータ１１０は、通常、インターネットなどのＷＡＮ１７３上で通信を確立するため、モデム１７２または他の手段を含む。モデム１７２は、内部または外部にあってもよく、ユーザ入力インターフェース１６０または他の適切な機構を介してシステムバス１２１に接続することができる。ネットワーク環境下では、コンピュータ１１０に関して述べたプログラムモジュールまたはそれらの一部分は、遠隔メモリ記憶装置中に格納することができる。例として、ただし限定するのではなく、図１に、メモリ装置１８１に常駐したときの遠隔応用プログラム１８５を示す。示されているネットワーク接続は、例示的であり、コンピュータ間の通信リンクを確立する他の手段を使用することができることが理解されよう。
【００１６】
図２に、分散型ファイアウォールの実装をサポートすることができるコンピュータネットワーク２００を示す。インターネットなどの外部ネットワーク２０１は、ルータまたはインターネットゲートウェイ装置（ＩＧＤ）２０２などのネットワークインターフェースによって、コンピュータネットワーク２００に接続することができる。ＩＧＤ２０２とネットワーク２０１の間の接続は、ＩＧＤ２０２の上流接続と呼ばれることがある。ＩＧＤ２０２の反対側には、１つまたは複数の下流接続を設けることができる。第１の下流接続２０４は、コンピュータネットワーク２００上で共用されるプリンタ２０６に結合することができるが、それは、外部ネットワーク２０１上のリソースにとって利用可能にすることもできる。第２の下流接続２０８は、まずコンピュータ２１０に、その後コンピュータ２１１に結合することができる。この構成では、コンピュータ２１０は、Ｍｉｃｒｏｓｏｆｔ社のオペレーティングシステムＷｉｎｄｏｗｓ（登録商標）によって利用できるインターネット接続共用（ＩＣＳ）などのファシリティを介して、ネットワーク接続２１３上のコンピュータ２１１とその接続を共用することができる。ＩＧＤ２０２からの別の下流接続２１２は、無線トランスポート２２０上のスマートフォン／携帯情報端末（ＰＤＡ）およびラップトップ２１８などの無線装置２１６へのネットワークアクセスをサポートする無線アクセスポイント２１４に結合することができる。
【００１７】
これまでの先行技術の実装では、ＩＧＤ２０２は、ファイアウォールも含み、ＩＧＤ２０２の下流側にあるすべての装置のため、その機能を果たすことができる。これによって、すべての下流接続２０４、２０８、２１２、およびそれぞれ関連する装置は、同じファイアウォール設定を有することになる。ＩＧＤベースのファイアウォールの設定では、最低レベルの保護がデフォルトになることがあり、または無線装置２１６に対するプリンタ２０６など、他の装置に対するいくつかの装置の異なる必要性が考慮されないことがある。最新技術のＩＧＤは、ファイアウォールサービスに加えて、ネットワークアドレス変換（ＮＡＴ）機能をしばしば果たす。ＩＰｖ６をサポートするＩＧＤは、もはやＮＡＴを提供しなくなり、必要でない場合には、ファイアウォールサービスのサポートを最小限にし、ファイアウォールサービスを提供することに対する分散型のアプローチをさらに魅力的にすることもできる。
【００１８】
ファイアウォールサービスは、一連の保護性能を提供する多数の機能を含むことができる。ほとんどのファイアウォールは、未使用のポートをブロックする、すなわち特定のアプリケーションまたはサービスとは現在関連付けられていないポート上の着信トラフィックすべてを受け付けない能力を有する。指定済みのポート上では、ファイアウォールは、ｈｔｔｐ（ハイパーテキスト転送プロトコル）またはｆｔｐ（ファイル転送プロトコル）などの許可プロトコルにトラフィックを限定することができる。さらに、ファイアウォールは、特定のポート、サービス、またはアプリケーションに外部へ送信するトラフィックを限定することができる。たとえば、ウェブブラウザは、ポート８０以外のポート上では外部へのリクエストを送信することができないこともある。不明のソースによるいかなるアクティビティも、ブロックされることができる。たとえば、ファイアウォールに不明のスパイウェアプログラムを、トラフィックを送信または受信することからブロックすることができる。ファイアウォールは、ネットワークを区別することもできる、すなわちローカルエリアネットワークでは、インターネットなどの広域ネットワークとは異なってそのトラフィックを扱うことができる。ファイアウォールは、仮想プライベートネットワーク（ＶＰＮ）のレイヤ４など、安全トンネルのエンドポイントとして動作することができる。いくつかの場合、ファイアウォールは、いくつかの接続またはアプリケーションのために、安全トンネルを要求することができる。ファイアウォールは、アプリケーションまたはサービスのリクエストの接続の際、特定の命令に反応して、トラフィックをブロックするまたは許可することができる。
【００１９】
図３は、図２のネットワーク２００を使用する分散型ファイアウォールの実装の一実施形態の論理図である。ＩＧＤ２０２が、無線装置２１６などの装置のために適切なファイアウォールサービスを提供しない場合、コンピュータ２１０、ならびにＩＧＤ２０２は、もっと適切なファイアウォールサービスを提供するように構成することができる。これは、コンピュータ２１０から下流に無線アクセスポイント２１４を論理的に接続することによって達成することができ、したがって無線装置２１６を対象とした、すべてのトラフィックは、下流接続２０８を介して、まずコンピュータ２１０を通り、および論理接続２２４に送ることができる。
【００２０】
無線装置２１６のためのトラフィックは、ボイス・オーバー・インターネット・プロトコル（ＶＯＩＰ）またはインターネットパケットを含むことができる。（ネットワークで機動的なスマートフォンは、利用できる場合、ＷｉＦｉなど、コストがより低いネットワークを選択することができる）。コンピュータ２１０は、１つまたは複数の指定済みのポート上のＶＯＩＰにトラフィックを限定する、または指定済みの無線アクセスプロトコル（ＷＡＰ）のポートにインターネットトラフィックを限定するファイアウォールサービスを提供することができる。コンピュータ２１０は、その上それ自体にもファイアウォールサービスを提供することができる。そのような場合、コンピュータ２１０は、サービスが不要であることを発行することができ、したがって上流装置またはコントローラは、他の装置において、デフォルトのファイアウォールサービスをコンピュータ２１０に割り当てることはない。論理接続２２４について、以下に図４を参照してより詳細に説明する。
【００２１】
図４は、図３の分散型ファイアウォールの実装の実施形態の他の論理図である。動作の際、論理接続２２４は、ＩＧＤ２０２およびコンピュータ２１０の両方を変えることによって達成することができる。ネットワーク２１０から着信した無線装置２１６向けのトラフィックは、まず、論理接続２２６（物理接続２０８）上で装置２１０へ送ることができる。トラフィックは、コンピュータ２１０中でフィルタリングし、無線装置２１６にアドレス指定を書き換え、論理接続２２８を介してＩＧＤ２０２に送信することができる。ＩＧＤ２０２において、フィルタリングされたトラフィックは、論理接続２３０を介する新ルートで無線装置２１６に送ることができる。したがって、ＩＧＤは、ソースに依存して異なって、無線装置２１６にアドレス指定されたパケットを扱うことができる。ネットワーク２０１から着信した、無線装置２１６にアドレス指定されたパケットは、コンピュータ２１０に送ることができ、一方、コンピュータ２１０から出された、無線装置２１６にアドレス指定されたパケットは、無線装置２１６に送ることができる。論理接続２３０は、ＩＧＤ２０２から無線アクセスポイント２１４への物理接続２１２、および無線アクセスポイント２１４から無線装置２１４への無線による接続２２０に対応することができる。
【００２２】
一実施形態では、無線装置２１６は、ファイアウォールサービスを要求するリクエストを発行することができる。コンピュータ２１０は、そのリクエストに応答し、無線装置２１６と合意に達して要求されたサービスを提供することができる。ＩＧＤ２０２は、無線装置２１６またはコンピュータ２１０のいずれかから命令を受け取って、要求されたようにトラフィックを新ルートで送ることができる。いくつかの場合、ＩＧＤは、そのトラフィックが新ルートで送られている最中である装置からだけ命令を受け取ることができる。ＩＧＤ２０２がそのような命令を受け取るために、暗号認証が必要になることがある。他の実施形態では、コンピュータ２１０は、ファイアウォールサービスを提供するその能力を公開することができ、無線装置２１６は、リクエストによって応答することができる。両方の実施形態では、ファイアウォールサービスの情報を交換するために発行されるデータは、ピアツーピアなネットワーク・ディスカバリ・プロトコルを使用することができる。
【００２３】
さらに他の実施形態では、ＩＧＤ２０２またはその他の下流の装置の１つは、ファイアウォールサービス要件およびファイアウォールサービス性能を発見し、その情報を使用して装置を適合させるマネージャを含むことができる。マネージャは、それぞれの装置について最低限のファイアウォールサービス要件を、たとえばタイプによって識別するための規則を組み込むことができる。装置があるファイアウォールサービス性能を有しているが、たとえば最低限のファイアウォールサービス要件を満足しないときでも、マネージャは、ファイアウォールサービスのプロバイダをその装置に適合させることができる。
【００２４】
図５は、分散型ファイアウォールの実装の他の実施形態を示すコンピュータネットワークのブロック図である。この例示の実施形態では、ラップトップ２１８は、プリンタ２０６にファイアウォールサービスを提供する。プリンタ２０６は、プログラム可能な要素、またはフォントもしくは色の変換など、基本的な処理性能を有することができる。次いで、プリンタ２０６は、印刷ジョブのためのポート８０、およびフォントまたは変換リクエストの処理のためのポート４４３へのトラフィックを制限するようにというリクエストを発行することによって、適切なファイアウォールサービスを要求することができる。ラップトップ２１８は、プリンタ２０６からの、プリンタ２０６が受け入れることができるファイアウォールサービスに対するリクエストに応答することができる。プリンタ２０６から確認を受け取った後、ラップトップ２１８は、ＩＧＤ２０２に指図して、図６に示すように、プリンタのためにトラフィックを新ルートで送ることができる。少しの間図６を参照すると、ネットワーク２０１からプリンタ２０６に向けたトラフィックは、まず、論理接続２３２上でラップトップ２１８に導くことができる。上記のように、ラップトップ２１８は、プリンタ２０６に代わって、要求されたファイアウォールサービスを実施し、論理接続２３４上でフィルタリングされたトラフィックをＩＧＤ２０２へ転送することができる。次いで、ＩＧＤ２０２は、論理接続２３６上でプリンタ２０６へトラフィックを送ることができる。
【００２５】
図５に戻り、代替実施形態では、ＩＧＤ２０２は、ファイアウォール性能を有することができる。ラップトップ２１８は、プリンタ２０６に対して特化されたファイアウォールサービスの必要性を認識し、ＩＧＤ２０２に指図してプリンタ２０６に必要なサービスを提供することができる。この場合、ラップトップ２１８は、ディレクタとして動作するが、トラフィックを積極的には管理しない。ディレクタの役割では、ラップトップ２１８は、ファイアウォールのアクティビティの他の面をモニタし管理することもできる。たとえば、ラップトップ２１８は、ユーザまたは時刻によってファイアウォールの設定を変更することが可能なペアレンタルコントロールを有してプログラムすることができる。図５および６の実施形態では、例示のネットワーク要素としてプリンタ２０５およびラップトップ２１８が使用されている。その原理は、コンピュータ２１０、ＰＤＡ２１６、またはネットワーク接続ストレージデバイスなどの具体的には示されていない他の装置など、その他の装置に等しく適応される。
【００２６】
ファイアウォールサービスを発見し、サービスを提供するための同意を得るための他のシーケンスは、図４を参照して上記に述べたように、可能である。
【００２７】
図７は、分散型ファイアウォールの実装のさらに他の実施形態の図である。コンピュータ２１０が、接続２０８を介してＩＧＤ２０２を経由してネットワーク２０１に結合されているところが示されている。コンピュータ２１０が、ネットワーク接続２１３上でコンピュータ２１１とそのインターネットの接続を共用していることも示されている。上記に述べたように、これは、コンピュータ２１０中のファシリティを共用するインターネット接続を介してもよく、１つが接続２０８をサポートし、他が接続２１３をサポートする、２つのネットワークポートを含んでもよい。コンピュータ２１１は、ファイアウォールサービスを求めるリクエストを発行することができ、コンピュータ２１０は、要求されたサービスを提供するその能力を用いて応答することができる。次いで、２つのコンピュータ２１０、２１１は、要求されたサービスを提供することに関する条件に合意することができる。その条件は、契約上、または一時的な事項を含むが、単に、コンピュータ２１０が、コンピュータ２１１の必要を満たす、またはネットワーク２００の最低限の要件を満たすファイアウォールサービスを提供するという合意でもよい。論理的に、ＩＧＤ２０２で受け取られ、コンピュータ２１１にアドレス指定されたトラフィックは、論理接続２３８上でコンピュータ２１０へ転送し、コンピュータ２１０でフィルタリングし、論理接続２４０上で送ることができる。コンピュータ２１１からのデータは、論理リンク２４２を介して送られ、論理リンク２４４を介してＩＧＤ２０２へ、最終的には外部のネットワーク２０１へ転送されることができる。
【００２８】
図２に示すように、他の装置は、ネットワーク接続２０８上を含め、ＩＧＤ２０２の下流側に存在することができる。コンピュータ２１０が提供するファイアウォールサービスは、ネットワーク２０１上のトラフィックからだけでなく、これらローカルに接続された装置からの不要または認可されないトラフィックからも保護することができる。
【００２９】
図８は、分散型ファイアウォールの実装に関与するのに適切なコンピュータの代表的なブロック図である。広域ネットワーク８０２は、ルータ８０６へのネットワーク接続８０４または他のインターネットゲートウェイ接続を有することができる。ルータ８０６は、接続８０７を介してコンピュータ８０８に結合することができる。コンピュータ８０８は、ルータ８０６への接続８０７をサポートするネットワーク接続８１０を有することができる。コンピュータ８０８は、マネージャ８１２、あるいはネットワーク接続８１０およびファイアウォールサービスのプロバイダ８１４に結合されたコントローラを有することもできる。マネージャ８１２は、電子装置８１６など、他の装置から発行されたファイアウォールサービスを要求する発行されたリクエストをモニタするように動作することができる。次いで、マネージャ８１２は、電子装置８１６にアドレス指定されたトラフィックの受け取りをサポートし、ファイアウォールサービス８１４にそれを送るように、ネットワーク接続８１０を構成することができる。電子装置８１６にアドレス指定されたトラフィックが着信したとき、それは、ファイアウォールサービス８１４に送られ、ファイアウォールサービス要件についての合意に基づき処理されて、トラフィックをフィルタリングすることができる。次いで、ネットワーク接続８１０は、マネージャ８１２と連動して、ファイアウォールサービス８１４からのフィルタリングされたトラフィックを、ネットワーク接続８１８を介して電子装置８１６へ配信するためにルータ８０６へ戻すことができる。また、コンピュータ８０８が何らかの送信性能を有する場合、コンピュータ８０８は、フィルタリングされたトラフィックを、接続８２０を介して直接電子装置８１６へ送ることができる。コンピュータ８０８にアドレス指定されたトラフィックは、ファイアウォールサービス８１４によって処理することもできる。
【００３０】
いくつかの場合、マネージャ８１２は、お決まりの規定または管理規則を遵守するための要件に依存して、提供されるファイアウォールサービスのレベルを変更することができる。多くの場合、提供されるファイアウォールサービスは、電子装置８１６が要求することより限定的であることもあるが、それほど限定的でないファイアウォールサービスを適用してもよい。たとえば、マネージャ８１２が、ローカルな要件を削減する、上流のファイアウォールサービス（図示せず）に気づいているとき、それほど限定的でないファイアウォールサービスが適切になることがある。
【００３１】
図９は、分散型ファイアウォールの実装に関与するのに適切な他のコンピュータの代表的なブロック図である。図７に示すネットワーク構成に対応する、例示的な実施形態では、インターネットなどのネットワーク９０２が、ネットワーク接続９０４を介してコンピュータ９０６に結合されているところが示されている。コンピュータ９０６は、第１のネットワーク接続９０８、マネージャ９１０またはコントローラ、および図８を参照して説明したものと同様のファイアウォールサービス９１２を有する。コンピュータ９０６は、接続９１６を介してネットワーク９１８に結合され、その後電子装置９２０に結合された第２のネットワーク接続９１４を有しているところが示されている。電子装置９２０は、ファイアウォールサービスに対する要求を行い、コンピュータ９０６によるファイアウォールサービスを提供するという発行された申し出に応答することができ、または、コンピュータ９０６が電子装置９２０のファイアウォール性能を決定することができないとき、デフォルトのファイアウォールサービスを割り当ててもらうことができる。
【００３２】
電子装置９２０にアドレス指定され、ネットワーク接続９０８に着信したトラフィックは、マネージャ９１０によってファイアウォールサービス９１２に導くことができ、そのファイアウォールサービス９１２では、装置９２０に代わってフィルタリングを実施することができる。次いで、マネージャ９１０は、フィルタリングされたトラフィックを、電子装置９２０へ配信するためにネットワーク接続９１４に導くことができる。
【００３３】
現在のネットワークおよび装置は、上述の装置および技法から利益を受けるはずだが、コストがより低く機能がより低いインターネットゲートウェイ装置を使用するＩＰｖ６に変換されたネットワークは、よりいっそう大きな利益を受ける可能性がある。さらに、ファイアウォールサービスの必要性および要件を判断するために、インテリジェントマネージャを使用することによって、管理規則および現在のネットワークのアーキテクチャの観点から、これまでのファイアウォールのアーキテクチャによって提供される保護を保持する、またはそれを超えながら、機能性の重複をより少なくすることが可能になる。
【００３４】
前述の文章は、本発明の多数の様々な実施形態の詳細な説明を記載しているが、本発明の範囲は、本特許に添付された特許請求の範囲の文言によって規定されることを理解すべきである。詳細な説明は、例示するだけのものと解釈すべきであり、本発明のすべての可能な実施形態を説明するものではない。というのは、すべての可能な実施形態を説明することは、不可能でないとしても、現実的でないと思われるためである。多数の代替実施形態は、現在の技術または本特許の出願日の後に開発された技術のいずれかを使用して実施することができ、それらは、やはり本発明を定義する特許請求の範囲内に含まれることになる。
【００３５】
したがって、本発明の要旨および範囲から逸脱することなく、多くの変形および変更を、本明細書で説明され示された技法および構造中で実施することができる。したがって、本明細書で説明された方法および装置は、例示的なものにすぎず、本発明の範囲を限定するものでないことを理解すべきである。
【図面の簡単な説明】
【００３６】
【図１】分散型ファイアウォールの環境をサポートする、ネットワーク中で使用するのに適切なコンピュータのブロック図である。
【図２】分散型ファイアウォールの実装をサポートすることができるコンピュータネットワークのブロック図である。
【図３】分散型ファイアウォールの実装の一実施形態の論理図である。
【図４】図３に示す分散型ファイアウォールの実装の実施形態の他の論理図である。
【図５】分散型ファイアウォールの実装の他の実施形態を示す、コンピュータネットワークのブロック図である。
【図６】図５の実施形態の論理図である。
【図７】分散型ファイアウォールの実装のさらに別の実施形態の図である。
【図８】分散型ファイアウォールの実装に関与するのに適切なコンピュータの代表的なブロック図である。
【図９】分散型ファイアウォールの実装に関与するのに適切な別のコンピュータの代表的なブロック図である。
【図１】
2009536405.tif 000003
【図２】
2009536405.tif 000004
【図３】
2009536405.tif 000005
【図４】
2009536405.tif 000006
【図５】
2009536405.tif 000007
【図６】
2009536405.tif 000008
【図７】
2009536405.tif 000009
【図８】
2009536405.tif 000010
【図９】
2009536405.tif 000011
【国際調査報告】
2009536405.tif 000012
2009536405.tif 000013