(57)【要約】【課題】  ネットワークバブルアーキテクチャを実装すること、および、ＩＰアドレスプランがすでに存在するインフラへの実装を容易にすることを目的とする。【解決手段】  本発明は、複数のネットワークバブルおよび複数のネットワーク制御ポイントを備え、データを搬送するように構成されたセキュアネットワークを提供する。各ネットワークバブルは、バブルパーティションを備え、各バブルパーティションは、データを送受信するネットワーク装置を備え、ネットワークバブルに対応するネットワーク装置はすべて、共通のネットワークセキュリティポリシーを有する。ネットワーク制御ポイントには、発信パケットに、パケットを発信したネットワークバブルに対応するラベルをマークするマーカモジュールが設けられ、ラベルを使用して、ネットワークバブルのネットワークセキュリティポリシーを遂行することができる。【選択図】図１
2006042327.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワークバブルと、
複数のネットワーク制御ポイントと
を備え、
データを搬送するように構成されたセキュアネットワークであって、
各ネットワークバブルは、
１つまたは複数のバブルパーティション
を備え、
各バブルパーティションは、
データを送受信するように構成された少なくとも１つのネットワーク装置
を備え、
前記複数のネットワークバブルのうちの少なくとも１つに対応する前記ネットワーク装置は、すべて、
共通のネットワークセキュリティポリシー
を有し、
少なくとも１つのネットワーク制御ポイントには、発信パケットに、前記パケットを発信した前記ネットワークバブルに対応するラベルをマークするように構成されたマーカモジュールが設けられ、
前記ラベルを使用して、前記少なくとも１つのネットワークバブルの前記ネットワークセキュリティポリシーを遂行する
セキュアネットワーク。
【請求項２】
前記ネットワーク制御ポイント装置の少なくとも１つは、着信パケット内の前記ラベルの値に基づいて、前記少なくとも１つのネットワークバブルの前記ネットワークセキュリティポリシーを、前記着信パケットに適用するように構成される
請求項１記載のセキュアネットワーク。
【請求項３】
前記少なくとも１つのネットワーク制御ポイントは、
少なくとも１つのインタフェースを備えた１つまたは複数のネットワーク制御ポイント装置
を含み、
前記パケットに付けるべきラベルは、ネットワーク制御ポイント装置のいずれのインタフェースから発信パケットを受け取るかに従って決定される
請求項１記載のデータを搬送するように構成されたセキュアネットワーク。
【請求項４】
前記ネットワーク制御ポイント装置は、ルータである
請求項３記載のセキュアネットワーク。
【請求項５】
前記複数のネットワーク制御ポイントは、搬送中に、前記パケットに付けられたラベルの変更を許可しないことについて信頼が置ける高信頼性バックボーンを介して、互いに結合される
請求項１記載のセキュアネットワーク。
【請求項６】
各バブルは対応するラベル値を有する
請求項１記載のセキュアネットワーク。
【請求項７】
ラベル値は、未知または信頼性のない発信元からのパケット用に確保される
請求項１記載のセキュアネットワーク。
【請求項８】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトに適用される
請求項１記載のセキュアネットワーク。
【請求項９】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトの遅延ビット、スループットビット、信頼性ビットおよびコストビットに適用される
請求項１記載のセキュアネットワーク。
【請求項１０】
前記マーキングは、ＩＰｖ６パケットのフローラベルに適用される
請求項１記載のデータを搬送するように構成されたセキュアネットワーク。
【請求項１１】
前記ネットワーク制御ポイントは、発信元アドレスの信頼性を確保するように構成される
請求項１記載のデータを搬送するように構成されたセキュアネットワーク。
【請求項１２】
複数のバブルを有するネットワークをセキュア化するための複数のネットワーク制御ポイントの動作方法であって、
各バブルは、
複数のバブルパーティション、および、前記複数のバブルパーティションに接続するように構成された複数のネットワーク制御ポイント
を有し、
発信パケットに、該パケットを発信した前記ネットワークバブルに対応するラベルをマークすることと、
着信パケット内の前記ラベルの値に基づいて、前記着信パケットにセキュリティポリシーを適用することと
を含む方法。
【請求項１３】
ネットワーク制御ポイントは、
少なくとも１つのインタフェースを備えた１つまたは複数のネットワーク制御ポイント装置
を含み、
前記パケットに付けるべきラベルは、ネットワーク制御ポイント装置のいずれのインタフェースから発信パケットを受け取るかに従って決定される
請求項１２記載の方法。
【請求項１４】
前記ネットワーク制御ポイント装置は、ルータである
請求項１２記載の複数のネットワーク制御ポイントの動作方法。
【請求項１５】
搬送中に、前記パケットに付けられたラベルの変更を許可しないことについて、前記ネットワーク制御ポイントを相互接続するバックボーンを信頼すること
を含む請求項１２記載の方法。
【請求項１６】
ラベル値を、各バブルに割り当てること
を含む請求項１２記載の方法。
【請求項１７】
ラベル値を、未知または信頼性のない発信元からのパケット用に確保すること
を含む請求項１２記載の方法。
【請求項１８】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトに適用される
請求項１２記載の方法。
【請求項１９】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトの遅延ビット、スループットビット、信頼性ビットおよびコストビットに適用される
請求項１２記載の方法。
【請求項２０】
前記マーキングは、ＩＰｖ６パケットのフローラベルに適用される
請求項１２記載の方法。
【請求項２１】
複数のネットワークバブルと、
搬送中にパケットの変更を許可しないことについて信頼の置けるバックボーンを介して、互いに結合された複数のネットワーク制御ポイントと
を備えたデータを搬送するように構成されたネットワークであって、
各ネットワークバブルは、
１つまたは複数のバブルパーティション
を備え、
各バブルパーティションは、
データを送受信するように構成された少なくとも１つのネットワーク装置
を備え、
前記複数のネットワークバブルのうちの少なくとも１つに対応する前記ネットワーク装置は、すべて、
共通のネットワークセキュリティポリシー
を有し、
各バブルは、対応するラベル値
を有し、
少なくとも１つのネットワーク制御ポイントには、発信パケットに、前記パケットを発信した前記ネットワークバブルに対応するラベルをマークするように構成されたマーカモジュールが設けられ、
前記ラベルを使用して、前記少なくとも１つのネットワークバブルの前記ネットワークセキュリティポリシーを遂行することができ、
前記ネットワーク制御ポイント装置のうちの少なくとも１つの別の装置は、着信パケット内の前記ラベルの前記値に基づいて、前記少なくとも１つのネットワークバブルの前記ネットワークセキュリティポリシーを前記着信パケットに適用するように構成される
ネットワーク。
【請求項２２】
前記少なくとも１つのネットワーク制御ポイントは、
少なくとも１つのインタフェースを備えた１つまたは複数のネットワーク制御ポイント装置
を含み、
前記パケットに付けるべきラベルは、ネットワーク制御ポイント装置のいずれのインタフェースから発信パケットを受け取るかに従って決定される
請求項２１記載のネットワーク。
【請求項２３】
前記ネットワーク制御ポイント装置は、ルータである
請求項２２記載のネットワーク。
【請求項２４】
ラベル値は、未知または信頼性のない発信元からのパケット用に確保される
請求項２３記載のネットワーク。
【請求項２５】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトに適用される
請求項２３記載のネットワーク。
【請求項２６】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトの遅延ビット、スループットビット、信頼性ビットおよびコストビットに適用される
請求項２３記載のネットワーク。
【請求項２７】
前記マーキングは、ＩＰｖ６パケットのフローラベルに適用される
請求項２３記載のネットワーク。
【請求項２８】
データを搬送するように構成されたセキュアネットワークにおいて使用されるネットワーク制御ポイント装置であって、
前記ネットワークは、
複数のネットワークバブルおよび複数のネットワーク制御ポイント
を含み、
発信パケットに、該パケットを発信した前記ネットワークバブルに対応するラベルをマークするように構成されたマーカモジュールであって、前記ラベルを使用して、前記ネットワークバブルの前記ネットワークセキュリティポリシーを遂行するマーカモジュールと、
ラベルを各バブルにリンクするマーキングテーブルと
を備えるネットワーク制御ポイント装置。
【請求項２９】
着信パケット内の前記ラベルの値に基づいて、少なくとも１つのネットワークバブルの前記ネットワークセキュリティポリシーを、前記着信パケットに適用するように構成される
請求項２８記載のネットワーク制御ポイント装置。
【請求項３０】
前記パケットに付けるべきラベルは、ネットワーク制御ポイント装置のいずれのインタフェースから発信パケットを受け取るかに従って決定される
請求項２８記載のネットワーク制御ポイント装置。
【請求項３１】
前記ネットワーク制御ポイント装置は、ルータである
請求項２８記載のネットワーク制御ポイント装置。
【請求項３２】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトに適用される
請求項２８記載のネットワーク制御ポイント装置。
【請求項３３】
前記マーキングは、ＩＰｖ４パケットのＴＯＳバイトの遅延ビット、スループットビット、信頼性ビットおよびコストビットに適用される
請求項２８記載のネットワーク制御ポイント装置。
【請求項３４】
前記マーキングは、ＩＰｖ６パケットのフローラベルに適用される
請求項２８記載のネットワーク制御ポイント装置。
【請求項３５】
発信元アドレスの信頼性を確保するように構成される
請求項２８記載のネットワーク制御ポイント装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、包括的にはコンピュータネットワークに関し、より詳細には、ネットワークインフラにネットワークセキュリティポリシー制御を実装する方法および装置に関する。
【背景技術】
【０００２】
企業データネットワークは多くのネットワーク攻撃を受けやすい。
このような攻撃の危険性を軽減するために、ネットワークファイアウォールまたは同様の手法が一般的なビジネスの慣習として採用されている。
通常、こういったセキュリティ対策は、企業内または既知のホスト装置の集まりの間では無制限接続を許可するが、公衆ネットワークおよび他組織または未知の装置からのアクセスは制限する。
たとえば、企業は、従業員による公衆インターネット上のウェブサイトへのアクセスはいずれも許可するが、公衆ネットワークからの未知のユーザによる内部機密ウェブサイトへのアクセスは禁止し得る。
【０００３】
ネットワークファイアウォール機能を行う一般に知られている１つの装置はルータであり、ルータは、情報パケットを送出する次のネットワークポイントを判断する装置である。
パケットが別の装置に転送される前に、ルータは、条件または規則を提供するアクセスリストを使用して、パケットが特定の宛先にアクセスすることができるか否かを判断することができる。
さらに、こういった装置は、ユーザ認証等の機能を提供することができる。
また、アプリケーションプロキシ、たとえばｓｏｃｋｓおよびキャッシングウェブプロキシが、ネットワークセキュリティのために特定のアプリケーションの実行を許可し、また、ユーザ認証も採用し得る。
企業は通常、ファイアウォール装置の通過を許可すべきアクセスのタイプを記述したネットワークセキュリティポリシーを有する。
このポリシーは、上述のネットワークファイアウォール装置の組み合わせを適用することによって達成される。
【０００４】
米国特許出願第２００１／００４２２１３号、同第２００２／００９９８２３号、同第２００２／００６６３０号、および同第２００１／００３７３８４号の出願人らは、複製された、または少なくともマッチングするアクセス制御リストのセットを使用して高度に構成可能なセキュリティドメインのセットを提供して、複数のネットワーク制御ポイントの構成によってセキュリティポリシーを実装することができるパーティションネットワークの各種態様について記載している。
このタイプのネットワークを、本明細書ではネットワークバブルアーキテクチャ（Network Bubble Architecture）の実装と呼ぶ。
【０００５】
これら特許出願により考えられる実施形態の多くでは、発信元および宛先のＩＰアドレスを用いて、トラフィックがネットワーク制御ポイントを通過するのを許可する、または制限する。
各バブルパーティションは、バブルパーティション内のホストのインバウンド規則およびアウトバウンド規則を記述したアクセスリストを含む。
バブルレジストリが、ネットワーク制御ポイントに対するネットワーク制御ポイントアクセスリストの内容および配布を管理する。
【０００６】
この手法は概して満足のいくものであるが、ＩＰアドレッシングプランがすでに存在する既存のネットワークに実装すると、実際には、バブルパーティションは、アクセス制御リストにおいてそれぞれ別個に指定される必要がある、互いに素のＩＰアドレスサブレンジのセットによって定義され得るため、アクセス制御リストのサイズが大きくなり得る。
一方、連続したアドレスレンジが単純にバブルパーティションにマッピングされるようにＩＰアドレスプランを変更することは、遂行に多くの費用がかかり得る。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、従来提案されている手法に関連する上記欠点を軽減して、ネットワークバブルアーキテクチャを実装すること、およびＩＰアドレスプランがすでに存在するインフラへの実装を容易にすることを対象とする。
【課題を解決するための手段】
【０００８】
要するに、以上のことを達成するために、本発明は複数のネットワークバブル、および複数のネットワーク制御ポイントを備えた、データを搬送するように構成されたセキュアネットワークを提供し、各ネットワークバブルは１つまたは複数のバブルパーティションを備え、各バブルパーティションは、データを送受信するように構成された少なくとも１つのネットワーク装置を備え、複数のネットワークバブルのうちの少なくとも１つに対応するネットワーク装置はすべて、共通のネットワークセキュリティポリシーを有する。
少なくとも１つのネットワーク制御ポイントには、発信パケットに、パケットを発信したネットワークバブルに対応するラベルをマークするように構成されたマーカモジュールが設けられ、ラベルを使用して、少なくとも１つのネットワークバブルのネットワークセキュリティポリシーを遂行することができる。
【０００９】
ネットワーク制御ポイント装置の別の１つは、着信パケット内のラベルの値に基づいて、少なくとも１つのネットワークバブルのネットワークセキュリティポリシーを着信パケットに適用するように構成されることができる。
【００１０】
好ましい実施形態では、パケットに付けるべきラベルは、ルータ等のネットワーク制御ポイント装置のいずれのインタフェースから発信パケットを受け取るかに従って決定される。
【００１１】
複数のネットワーク制御ポイントは、搬送中に、パケットに付けられたラベルの変更を許可しないことについて信頼の置ける高信頼性バックボーンを介して互いに結合されることができる。
【００１２】
マーキングは、たとえば、ＩＰｖ４パケットのＴＯＳバイト、またはＩＰｖ６パケットのフローラベルに適用される。
【００１３】
別の態様では、本発明は、複数のバブルを有するネットワークをセキュア化する、複数のネットワーク制御ポイントの動作方法を提供し、各バブルは、複数のバブルパーティション、および複数のバブルパーティションに接続するように構成された複数のネットワーク制御ポイントを有し、本方法は、アウトバンドパケットに、パケットを発信したネットワークバブルに対応するラベルをマークすること、着信パケット内のラベルの値に基づいて、着信パケットにセキュリティポリシーを適用すること、とを含む。
【００１４】
さらなる一態様では、データを搬送するように構成されたセキュアネットワークにおいて使用されるルータ等のネットワーク制御ポイント装置が提供され、ネットワークは、複数のネットワークバブルおよび複数のネットワーク制御ポイントを含み、ネットワーク制御ポイント装置は、発信パケットに、パケットを発信したネットワークバブルに対応するラベルをマークするように構成されたマーカモジュールであって、ラベルを使用して、ネットワークバブルのネットワークセキュリティポリシーを遂行することができる、マーカモジュールと、ラベルを各バブルにリンクするマーキングテーブルと、を備える。
【００１５】
本発明の一実施形態について、添付図面を参照してこれより説明する。
【発明を実施するための最良の形態】
【００１６】
図１は、単純なネットワークバブルアーキテクチャを示す概略図である。
端的に言えば、このようなアーキテクチャでは、バブルＡ、Ｂ、Ｃ等のネットワークバブルおよび仮想バックボーン１１０が、区画化され、地理的に分散したネットワーク環境を表す。
各バブルは、バブルパーティション１２０ａ、１２０ｂ、１３０ａ、１３０ｂ、１３０ｃ、１４０ａと呼ぶ１つまたは複数のネットワークで構成され、バブルパーティションはそれぞれ、単一の物理的な場所にあり、バブルパーティションを相互接続する高信頼性バックボーン（ＴＢ）１１０（それ自体バブル）への物理的な接続を備える。
図１の概略例では、バブルＡは、地理的に離れたキャンパス１００Ｃおよび１００Ｂ上のバブルパーティション１２０ａおよび１２０ｂで構成されて示され、バブルＢは、キャンパス１００Ａ、１００Ｂ、および１００Ｃに分散したバブルパーティション１３０ａ、１３０ｂ、および１３０ｃで構成され、バブルＣは、キャンパス１００Ａのバブルパーティション１４０ａだけで構成される。
【００１７】
各バブルは、それ自体をその他すべてのバブルと分ける境界を有する。
境界は、各バブルパーティションがインタフェース１８０等のインタフェースを通して接続されたネットワーク制御ポイント１５０Ａ、１５０Ｂ、および１５０Ｃによって実装される。
ネットワーク制御ポイントは、以下説明するように、各バブルパーティションに共通する規則のセットを含む統一セキュリティポリシーが各バブルにわたって実装されるように、バブルパーティションに入ってくるネットワークトラフィックをフィルタリングすると共に、バブルパーティションから流れて出て行くトラフィックにラベルを付けることにより、セキュリティポリシー施行ポイントとして働く。
【００１８】
図２は、ＮＣＰ１５０Ａをより詳細に示す概略図である。
【００１９】
ＮＣＰ１５０Ａ等の各ネットワーク制御ポイントは、複数のバブルパーティションの１つまたは複数をＴＢ１１０に接続するために使用される１つまたは複数のネットワーク制御ポイント装置を備える。
ＮＣＰ１５０Ａは、３つのネットワーク制御ポイント装置２００ａ、２００ｂ、および２００ｃを備えて図２に示されるが、これは単に例示を目的としたものである。
【００２０】
ネットワークのタイプ、ルーティング、およびセキュリティポリシー要件に応じて、ネットワーク制御ポイント装置は、アクセスリストを備えたルータ、専用ネットワークファイアウォール装置、または発信元の信頼性を確保し、ネットワークセキュリティポリシーおよびルーティング機能を遂行することが可能な任意の適切な装置であることができる。
これら機能を行う装置を組み合わせたものも、所望の機能を実現するために使用することができる。
例として、インターネットプロトコル（ＩＰ）ネットワークの場合、ネットワーク制御ポイント装置はルータ、または専用ネットワークファイアウォール装置であり得る。
ワイヤレスネットワークの場合、ネットワーク制御ポイント装置としては、装置に接続されて、データをルーティングするワイヤレスアクセスポイントを挙げることができる。
ネットワーク制御ポイント装置は、アクセスリストを実装してネットワークセキュリティポリシーを遂行することができる。
【００２１】
図２の構成例では、バブルＡ  １２０ａのパーティション１は、ネットワーク制御ポイント装置２００ｂの単一のインタフェース１８０にそれぞれ接続された２セットのホストを備えたものとして示され、バブルＢのパーティション１は、１９０で示す２つのインタフェースを通してネットワーク制御ポイント装置２００ｂおよびネットワーク制御ポイント装置２００ｃの両方に接続されたものとして示される。
図２には、ネットワーク制御ポイント装置２００ｂの別のインタフェース２１０に接続され、何らかの理由により未知または信頼性のないネットワークに対応するさらなるパーティション１９５（図１に図示せず）も示される。
ネットワーク制御ポイント装置２００ａはＴＢ１１０に接続される。
【００２２】
高信頼性バックボーン１１０は、複数のネットワーク制御ポイント１５０に接続し、後述するように高信頼性バックボーン１１０を通過するネットワークパケットを変更しないことについて信頼の置けるネットワークまたはネットワークの集まりである。
高信頼性バックボーン１１０は、任意の適した基礎技術を利用して、たとえば、以下の１つまたは複数を利用して実装することができる。
すなわち、通信回線、たとえばＴ１、ＤＳ３、ＯＣ−３、インターネットサービスプロバイダ（ＩＳＰ）、ＶＰＮ、たとえばＩＰｓｅｃ、私設ネットワーク、交換および相手先固定接続ネットワーク伝送技術、たとえばフレーム中継および非同期転送モード、多重アクセス伝送技術、たとえば交換マルチメガビットデータサービス、または他の任意の有線または無線のネットワーク、またはこれらの組み合わせである。
高信頼性バックボーン１１０は、ネットワーク制御ポイント１５０の外側にあり、すべてのバブルパーティションの外部にある。
バブルパーティション自体は、高信頼性バックボーン１１０の一部ではなく、それぞれの範囲内に全体が含まれるＬＡＮおよびＷＡＮインフラに別個の現実の機器または仮想機器を利用する。
これにより、ネットワークセキュリティポリシーを、ネットワーク制御ポイントの相互接続に使用されるバックボーンから独立して管理し保守することが可能な、各バブルパーティションに一貫したものにすることができる。
本明細書において説明する高信頼性バックボーンは、発信元アドレスの信頼性の確保等、出願人の米国特許出願第２００１／００３７３８４号に記載の仮想バックボーンの特徴を有することもできるが、そうすることが求められるわけではない。
【００２３】
企業は通常、地理的に別個のサイトをリンクする１つの高信頼性バックボーン１１０を有し、ＩＳＰ等のサービスプロバイダは、顧客のニーズ、および顧客のニーズによって課されるネットワーキング要件に応じて、１つまたは複数の高信頼性バックボーンを有し得る。
高信頼性バックボーンの数は、結果として生じるネットワークの動作に関係しない。
また、１つの高信頼性バックボーンを別の高信頼性バックボーンに接続して、アクセスに利用することが可能なバブルパーティションの総数を増大させることができる。
【００２４】
この実施形態では、単一のバブル内のホストは、互いに対するネットワークアクセスが完全に許可されるものと想定するが、他の構成も可能である。
したがって、或るバブルインスタンスから別のバブルインスタンスへのネットワークアクセスは常に、２つのバブル境界を越えることになり、これら２つのバブルのセキュリティポリシーに応じて許可される場合もあれば、許可されない場合もある。
【００２５】
上記アーキテクチャの主要な１つの利点は、バブルのタイプ、およびそのバブルのタイプに標準のセキュリティポリシーを規定することができることである。
この場合、各バブルをバブルタイプのインスタンスとして識別することができる。
各バブルインスタンスはまず、バブルタイプによって決まるデフォルトのアクセスポリシーを使用して実装することができる。
好ましくは、可能なあらゆるＩＰアドレスがバブルインスタンスに割り当てられ、あらゆるバブルインスタンスに対して、バブルタイプ「未知」を含むバブルタイプが割り当てられる。
【００２６】
こういった概念の適用および有用性を示すために、同様のネットワーク接続要件、同様のアプリケーションおよびホストセキュリティ考慮事項を有する装置で構成されることを意図する、いくつかの、異なるが有用なバブルタイプについてこれより手短に説明する。
【００２７】
まず、オフィスオートメーションバブルタイプを定義することができ、それによって企業は、たとえば、従業員にとってデフォルトのネットワーク環境になる、このバブルタイプの単一のワールドワイドインスタンスを実装する。
【００２８】
オフィスオートメーションバブルタイプは、たとえば、インバウンドトラフィックに対してバブル境界において高水準の認証を要求することができる。
【００２９】
インターネットは、他の任意のバブルインスタンスに特に割り当てられていないすべてのＩＰアドレス空間を含むバブルインスタンスとして識別され得る。
【００３０】
「電子サービス」バブルタイプは、インターネット上のどこからのインバウンドアクセスに対しても、より寛大なバブル境界を要求し得る。
これは、たとえば、外部に面したウェブおよびインターネットアプリケーションサーバを含むデフォルト環境であり得る。
【００３１】
企業は、１つだけ、または少なくとも比較的少数のオフィスオートメーションバブルインスタンスを有し得るが、高度な区画化を備えた様々なインターネットに面したアプリケーションおよびデータ格納をサポートするために、いくつかの異なる「電子サービス」バブルインスタンスを実装する必要があり得る。
【００３２】
さらなるバブルタイプを、製造ライン、アプリケーション開発システム等のような、内部で使用される生産アプリケーションサーバおよび他の多くのデータセンターシステムのデフォルト環境として定義することができる。
【００３３】
インフラバブルタイプも、ＩＴインフラ自体をサポートするために定義することができる。
このような「インフラ」バブルは、インフラバブルインスタンスが、インバウンドおよびアウトバウンドバブル境界アクセス許可（または制限）を他のバブルタイプのバブルインスタンスに課す必要があり得る点で、他のタイプのものと異なる。
【００３４】
たとえば、ＤＮＳバブルタイプを定義して、ＤＮＳバブル境界が必要とするインバウンドおよびアウトバウンドアクセスを規定するだけでなく、他のバブルインスタンス内のホストが要求するインバウンドアクセスも規定して、ＤＮＳサービスが正しく動作できるようにする。
このバブルタイプの単一のインスタンスが、特定のドメイン名前空間の信頼できるＤＮＳサーバを含み得る。
このタイプのバブルインスタンスは、たとえば、ＤＨＣＰサーバおよびＮＴＰサーバも含み得る。
【００３５】
上記アーキテクチャの１つの利点は、インフラが、企業のネットワークセキュリティポリシー、ネットワークファイアウォール規則構成、およびネットワークセキュリティポリシーの管理に関連する商業的および運用的プロセスの記述を含むデータベースである中央バブルレジストリ１６０を備えることができることである。
レジストリの内容は、適宜構成されたポリシー登録ツール１７０を介して管理することができる。
【００３６】
好ましい実施形態では、各バブルパーティションには、そのバブルパーティション内のホストのインバウンド規則、およびバブルパーティションから送信されるネットワークパケットに対してのアウトバウンドマーキング規則のセットを記述したアクセス制御リスト（ＡＣＬ）が関連付けられる。
好ましい実施形態では、バブルレジストリ１６０は、ポリシーテンプレートのセットに基づいて、異なるバブルタイプごとにアクセス制御リストを生成し、アクセス制御リストをネットワーク制御ポイントに配布する。
配布は、ネットワーク制御ポイントに直接的であってもよく、または装置管理システムもしくは構成管理サーバ（図示せず）を通して間接的であってもよく、間接的な場合、装置管理システムまたは構成管理サーバが特定のアクセスリストを装置に適用する。
しかし、ＡＣＬおよびマーキング規則は、他の実施形態では、ＮＣＰにおいて手動で構成されてもよく、または自動構成および手動構成の任意の組み合わせを採用してもよいことが理解されよう。
【００３７】
好ましい実施形態では、アクセス制御リストの内容は、２つの規則群またはセクション、すなわちインバウンドローカル規則群およびインバウンドリモート規則群に分けられる。
規則群の目的は、ネットワーク制御ポイントにわたってバブルのポリシーを完全に指定し、制御できるようにし、バブルのネットワークセキュリティポリシーを異なるネットワーク制御ポイントに実装する際に一貫性を確保できるようにすることである。
【００３８】
インバウンドローカル規則群は、どのデータがバブルパーティションに入ることが許可されているかに対してアクセス制御を遂行する規則を含む。
インバウンドリモート規則群は、インバウンドローカル規則を他のバブル境界に対して遂行する規則を含む。
インバウンドリモート規則群は、インバウンドリモート規則群を必要とするインフラバブルによって使用される。
アウトバウンドマーキング規則も提供されて、後述するようにパーティションを出るパケットをマーキングする。
【００３９】
図３は、インターネットプロトコルバージョン４に対応するネットワークパケット３００の部分ブロック図である。
パケット３００は、サービス種別（ＴＯＳ）バイト３１０、プロトコルフィールド３２０、ＩＰ発信元アドレス（ＳＡ）フィールド３３０、ＩＰ宛先アドレス（ＤＡ）フィールド３４０、およびデータフィールド３５０を含む。
後述するように、ＴＯＳバイト３１０の部分は、バブルインスタンスをバブルラベル値（ＢＬＶ）の値にリンクするために使用されるＢＬＶの搬送に使用することができる。
たとえば、
【００４０】
【表１】
2006042327.tif 000003
【００４１】
データパケットが「ラベルなし」の状態である、換言すれば、データパケットの発信元が未知である、または信頼性がないことを示す、少なくとも１つの特別なＢＬＶを定義することができ、これは、上の例ではＢＬＶｚである。
【００４２】
たとえば、ＩＰｖ４では、ＢＬＶがＩＰヘッダＴＯＳバイトにおいて搬送される場合、ＢＬＶはＴＯＳビット３〜６を使用して実装することができ、これは遅延ビット、スループットビット、信頼性ビット、およびコストビットである。
この特定の選択には、ＱｏＳ管理をＩＰ先行ビット、すなわちＴＯＳビット０〜２を使用して実行可能であるという利点がある。
この例では、４ビットをＢＬＶに使用し、可能なＢＬＶの総数は１６である。
しかし、この程度の制限は、実際には、多くの現代企業のＩＴインフラに対して十分であることができることが理解されよう。
ＢＬＶ１５は、たとえば、特別な「ラベルなし」ラベルとして使用することができる。
この場合、ラベルの付いたあらゆるネットワークバブルインスタンスには一意のＢＬＶ０〜１４が与えられることになる。
【００４３】
しかし、他の多くの構成も可能であり、たとえば、ＱｏＳ管理が必要ない場合、ＤＳＣＰフィールドを使用して、最大で６４のＢＬＶにすることが可能である。
【００４４】
別の例は、ＩＰｖ６の場合の実装である。
ＢＬＶは、都合のよいことに、フローラベルフィールドで搬送することができる。
ＢＬＶ１，０４８，５７５が、特別な「ラベルなし」ラベルであることができる。
ラベルの付いたあらゆるネットワークバブルには、０〜１，０４８，５７４の一意のＢＬＶを与えることができる。
このようなＢＬＣの実装は、最大で１，０４８，５７４個のラベル付きネットワークバブルに制限される。
【００４５】
ネットワーク制御ポイントにおけるアクセス制御リストは、ＢＬＶと併せたヘッダ値の任意の組み合わせに基づいて、着信トラフィックを制御する。
【００４６】
ＢＬＶは、発信元ネットワークバブルパーティションに基づいて割り当てられ、したがって、ＮＣＰ１５０Ａ、１５０Ｂ、１５０Ｃは、バブルパーティションから出て行く各データパケット内のバブルラベル値（ＢＬＶ）を、発信元ネットワークバブルパーティションのネットワークバブルに関連する値に設定するように構成される。
図４は、ネットワーク制御ポイント装置２００ａ、２００ｂ、または２００ｃ等のネットワーク制御ポイント装置の部分概略図を示す。
ネットワーク制御ポイント装置２００は、トラフィックマーキングモジュール４１０を備えたトラフィック調整モジュール４００を備える。
トラフィックマーキングモジュール４１０は、ネットワーク制御ポイント装置のインタフェースを、ネットワークバブルインスタンスに対応するＢＬＶ値にリンクするローカルマーキングアクセスリストにアクセスすることができる。
トラフィックマーキングモジュール４１０は、ネットワーク制御モジュール２００を通過する各パケットのＢＬＶを、そのパケットを受け取ったインタフェースに対応するＢＬＶに設定する役割を果たす。
ＢＬＶが関連付けられていない任意のインタフェースで受け取られたトラフィックには、図２に示すパーティション１９５等、未知または信頼性のないパーティションに対応するＢＬＶがマークされる。
未知または信頼性のないパーティションに対応するＢＬＶがマークされたトラフィックは、バブルパーティションに入る際に、たとえば発信元アドレスおよび宛先アドレスを使用することによって他の或る方法でチェックするか、または単に破棄することができる。
【００４７】
未知または信頼性のないパーティションに対応するＢＬＶを使用することにより、いくつかの未知のバブルパーティションが、このようなパーティションから来るトラフィックに、未知または信頼性のないパーティションに対応する値であるＢＬＶｚがマークされている限り、ＮＣＰなしでＴＢ１１０と接続できるようにすることができる。
これは、バブルネットワークアーキテクチャがレガシーネットワークに実装する可能性を表すため、有用である。
【００４８】
好ましくは、パケットのマーキングは、ネットワークの端にある、装置２００ｂおよび２００ｃ等のルータ等の装置で行われる。
この場合、他のネットワーク制御装置に接続されたインタフェースを有するネットワーク制御装置２００ａ等のコアネットワーク制御ポイント装置は、こういったインタフェースに到着したトラフィックのＢＬ値を変更しないように構成される。
【００４９】
たとえば、図１に示すネットワークでは、ＮＣＰ１５０Ａは、インタフェース１８０をバブルＢに関連付けるため、そのインタフェースに到着したいずれのパケットのＢＬＶにもバブルＢのＢＬＶを設定するように構成される。
ＢＬＶはデータパケットで宛先バブルインスタンスに搬送され、仮想バックボーン１００内のいずれの中間ノードによっても変更されないものと想定される。
これにより、システム内のその他のＮＣＰが、受け取ったトラフィックを、このトラフィックに適用されるローカルインバウンド規則群に基づいてフィルタリングすることができる。
換言すれば、データパケットを直接接続された宛先ネットワークバブルパーティションに転送するＮＣＰは、インバウンドネットワークバブル境界ポリシーを、直接接続されたネットワークバブルパーティションに転送する各データパケットに適用する。
このインバウンドバブル境界ポリシーは、ＢＬＶを使用して、特定のポリシーエントリを、ＢＬフィールドの値に対応する特定の発信元ネットワークバブルインスタンスに適用するように構成される。
【００５０】
バブルインスタンスのテンプレートは、バブルパーティション内へのトラフィックの流れを制御するアクセスリストを作成するための情報を含む。
これらはローカルインバウンドアクセスリストである。
ＢＬＶはパケットの発信元パーティションにおいて設定されるため、パーティションから出て行く流れの制御は不要である。
これは、その他のバブルパーティションを高信頼性バックボーン１１０に取り付けているＮＣＰがこういったバブルパーティション内への流れを制御するためである。
【００５１】
発信元および宛先のＩＰアドレスに基づいたアクセス制御リストは、非常に柔軟に、上述したＢＬＶに基づいたアクセス制御リストと併用することができることが理解されよう。
たとえば、状況によっては、特定の発信元アドレスを有するトラフィックが、普通ならば拒絶されるＢＬＶを携えているにも拘わらず、所与のパーティションに入ることを許可することが望ましい場合や、たとえば、レガシーネットワークでの搬送状況での、トラフィックにＢＬＶをマークすることができないネットワークの部分では、発信元アドレスおよび宛先アドレスに基づいたアクセス制御リストを使用する必要がある場合がある。
【００５２】
「高信頼性バックボーン」という用語は、別記される場合を除き、ネットワーク制御ポイントを備えた、または備えていない複数のバブルまたはネットワークを接続する、ＢＬＶが搬送中に変更されない属性を有するネットワークバックボーンを指すことを意図する。
【００５３】
本発明の上記詳細な説明は、例示を目的として提供され、網羅的である、すなわち本発明を開示した厳密な実施形態に限定する意図はない。
本発明の実施形態は、システムの実装に使用される構成に応じて、異なる機能および利点を提供することができる。
したがって、本発明の範囲は添付の特許請求の範囲によって規定される。
【図面の簡単な説明】
【００５４】
【図１】ネットワークアーキテクチャを示す概略図である。
【図２】ネットワーク制御ポイントを示す概略図である。
【図３】インターネットプロトコルバージョン４に対応するネットワークパケットの部分ブロック図である。
【図４】ネットワーク制御ポイント装置を示す部分概略図である。
【符号の説明】
【００５５】
１１０・・・仮想バックボーン，
１２０ａ，１２０ｂ，１３０ａ，１３０ｂ，１３０ｃ，１４０ａ・・・バブルパーティション，
１００Ｂ，１００Ｃ・・・キャンパス，
１８０・・・インタフェース，
１５０Ａ，１５０Ｂ，１５０Ｃ・・・ネットワーク制御ポイント，
２００ａ，２００ｂ，２００ｃ・・・ネットワーク制御ポイント装置，
【図１】
2006042327.tif 000004
【図２】
2006042327.tif 000005
【図３】
2006042327.tif 000006
【図４】
2006042327.tif 000007