(57)【要約】ゲートウェイ（６）及びファイアウォール（８）を介して、第１の通信ネットワーク（７）及び第２の通信ネットワーク（８）に接続されたユーザー端末（４）間のデータ転送を監視し、制御する方法であって、前記方法は、前記ユーザー端末（４）が前記ゲートウェイ（６）へアクセス要求を送信し、前記ゲートウェイ（６）が前記アクセス要求を読み込み、それぞれの前記ユーザー端末の認証されたＩＰアドレスに基づいてアクセスを要求するそれぞれの前記ユーザー端末のためのアクセスを許可するために、前記ファイアウォール（８）において、アクセスルールを修正し、それぞれの前記ユーザー端末（４）と前記第２の通信ネットワーク（１０）との間のデータの転送を前記ファイアウォール（８）で同時に監視することを含む。処理能力の割り当ては、全体的に又は局所的にリアルタイムで制御される。
2005537699.tif 000002
【特許請求の範囲】
【請求項１】
ゲートウェイ及びファイアウォールを介して、第１の通信ネットワーク及び第２の通信ネットワークに接続されたそれぞれのユーザー端末間のデータ転送を監視し、制御する方法であって、前記方法は、
前記第２の通信ネットワークへのアクセスを要求するそれぞれの前記ユーザー端末から前記ゲートウェイへアクセス要求を送るステップと、
前記ゲートウェイが、それぞれの前記アクセス要求を読み込むステップと、
それぞれの前記ユーザー端末の認証されたＩＰアドレスに基づいてアクセスを要求するそれぞれの前記ユーザー端末のためのアクセスを許可するために、前記ファイアウォールにおいて、少なくとも一つのアクセスルールを修正するステップと、
それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するステップとを含む方法。
【請求項２】
一以上の前記ユーザー端末で得られる処理能力をリアルタイムでダイナミックに制御するステップを更に含む請求項１に記載の方法。
【請求項３】
制限された処理能力は、単一ユーザーの端末に割り当てられる請求項２に記載の方法。
【請求項４】
制限された処理能力は、複数のユーザー端末間で共有される請求項２に記載の方法。
【請求項５】
処理能力は、データをアップロードすること及び／又はダウンロードすることのために制限される請求項２に記載の方法。
【請求項６】
制限された処理能力は、規定の時間間隔のために一以上の端末に割り当てられる請求項２に記載の方法。
【請求項７】
制限された処理能力は、一以上の端末又はユーザーアカウントに対して割り当てられた優先状態に基づいて一以上の端末に割り当てられる請求項２に記載の方法。
【請求項８】
前記ユーザー端末のＩＰアドレスは、前記ユーザー端末が暗号化／復号化プロセスを用いることによって事前に認証されたことに基づき、認証される請求項１に記載の方法。
【請求項９】
ユーザー端末への一つ以上のアクセスポートを有効にし、且つ／又は無効にするステップを更に含む請求項１に記載の方法。
【請求項１０】
第１の通信ネットワークに接続された管理端末から第２の通信ネットワークへのユーザー端末のアクセスを制御するステップを更に含む請求項１に記載の方法。
【請求項１１】
ユーザー端末が前記第２の通信ネットワークへアクセスする期間を監視するステップを更に含む請求項１に記載の方法。
【請求項１２】
ユーザー端末がアップロード及び／又はダウンロードするデータ量を監視するステップを更に含む請求項１に記載の方法。
【請求項１３】
第２の通信ネットワークへアクセスするそれらのユーザー端末のユーザーの料金を監視するステップを更に含む請求項１に記載の方法。
【請求項１４】
通信ネットワークにおけるデータ転送を監視し、制御するシステムであって、前記システムは、
第１の通信ネットワークに接続された一つ以上のユーザー端末と、
ゲートウェイ及びファイアウォールを介して前記第１の通信ネットワークに接続された第２の通信ネットワークと、を含み、
前記ファイアウォールは、前記第２の通信ネットワークにアクセスする認証されたＩＰアドレスを有するそれぞれのユーザー端末のために、それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するシステム。
【請求項１５】
単一の装置がゲートウェイ及びファイアウォールの両方を含む請求項１４に記載のシステム。
【請求項１６】
前記ファイアウォールは、前記ゲートウェイとは異なる装置にある請求項１４に記載のシステム。
【請求項１７】
前記ＩＰアドレスの認証は、ゲートウェイによって実行される請求項１４に記載のシステム。
【請求項１８】
認証は、遠隔の端末を認証する暗号化／復号化プロセスを含む請求項１７に記載のシステム。
【請求項１９】
一以上の前記ユーザー端末で得られる処理能力をリアルタイムでダイナミックに制御される請求項１４に記載のシステム。
【請求項２０】
制限された処理能力は、単一ユーザーの端末に割り当てられる請求項１４に記載のシステム。
【請求項２１】
制限された処理能力は、複数のユーザー端末間で共有される請求項１４に記載のシステム。
【請求項２２】
制限された処理能力は、ユーザーアカウントに割り当てられる請求項１４に記載のシステム。
【請求項２３】
処理能力は、データをアップロードすること及び／又はダウンロードすることのために制限される請求項１４に記載のシステム。
【請求項２４】
通信ネットワークにおけるデータの転送を監視し、制御するゲートウェイであって、前記ゲートウェイは、
認証されたＩＰアドレスを有する第１の通信ネットワークに接続されたそれぞれのユーザー 端末のために、第２の通信ネットワークへのアクセスを許可するファイアウォールと、を含み、
前記ゲートウェイは、それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するゲートウェイ。
【請求項２５】
前記ゲートウェイは、更に、リアルタイムでそれぞれの前記ユーザー端末に割り当てられた処理能力をダイナミックに制御する手段を含む請求項２４に記載のゲートウェイ。
【請求項２６】
前記ゲートウェイは、更に、それぞれのユーザー端末の一つ以上のアクセスポートを有効にし、且つ／又は無効にする手段を含む請求項２４に記載のゲートウェイ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおけるデータ転送を監視し、制御する方法、システム及び装置に関する。特に、本発明は、組織において、内部ネットワークの複数の端末におけるデータの使用及びオンライン時間を監視し、制御することを可能とする方法、システム及びゲートウェイに関する。しかしながら、その方法、システム及び装置は、他の応用があることが予想される。
【背景技術】
【０００２】
今日、ある種類又は他の種類の一つ以上のコンピューターシステムを信頼しないビジネス、組織、企業等は、殆ど存在しない。コンピューターシステムは、ある領域の末端にて、一人の従業員による小規模の任務に使用される単一のデスクトップパーソナルコンピュータ／ワークステーション／端末よりなり、また、他の領域の末端にて、コンピューターシステムは、一つ以上の大型汎用コンピューターに接続された異なるネットワークにおいて複数のサーバーを通して同一のシステムで接続された数十、数百又は数千の端末よりなる。
【０００３】
コンピューターシステムの大きさにかかわりなく、端末が接続された通信ネットワーク以外の通信ネットワークへのアクセスがしばし要求される。アクセスするためには、例えば、インターネット、インターネットサービス又はアクセスプロバイダー（ＩＳＰ／ＩＡＰ）のような外部の通信ネットワークが要求される。一般に、ＩＳＰ／ＩＡＰは、必要なソフトウェア、ユーザーネーム、パスワード等を提供し、月料金を要求する。月料金は、ブロードバンド接続のように均一料金であったり、また、オンライン時間及び／又は転送されたデータ量、例えば、アップロード及び／又はダウンロードされたデータ量によって決まったりする。
【０００４】
個人ユーザー及び／又は組織が、他の通信ネットワークに接続された時間の量や、例えば、調整及び／又はセキュリティー目的の接続を超えて送信するデータ量を監視することができることが望ましい。
【０００５】
インターネットアクセスの例に戻ると、オンライン時間を監視するという公知の方法により、例えば、インターネットカフェのような、例えば、ゲームや、ブラウズ又はＬＡＮの使用というその性質によって、カフェは、現在のレートにおける使用時間に従い、顧客に料金を請求することが可能となる。このような製品の一つとして、アドヴァンスド・コム・テック社（Ａｄｖａｎｃｅｄ  Ｃｏｍ  Ｔｅｃｈ  Ｃｏ．  Ｌｔｄ）が開発したゲトー・マネージャー（Ｇｅｔｏ  Ｍａｎａｇｅｒ）が知られており、この製品の詳細はwww.swplaza.co.krに開示されている。このシステムは、管理端末（サーバー）にネットワークされた複数のユーザー端末を含み、その管理端末は、会員と非会員によって使用され得る。一旦ユーザーがＩＤでログインすると、時間カウンタが料金計算機と共に自動的に動作を開始する。もし、ユーザーが別の端末に切り替えたら、その切り替えは自動的に処理される。支払いはカード又は会員証によって時間カウンタによって行われる。このシステムにおいて、スタート時間、事前及び事後の支払いの詳細のようなアカウントの詳細、残り時間及び請求料率は管理端末において、例えば、インターネットカフェのカウンタにおいて監視され、表示される。これらの詳細のいくつかについては、ユーザーの端末でも表示される。個々の端末における自動ロック／アンロック、再起動及び／又は電源スイッチオフを含む制御機能が管理端末で利用できる。しかしながら、この製品は、それぞれの端末においてアップロード又はダウンロードされたデータ量を監視することができない。
【０００６】
データ量の監視は、個々のワークステーションにおいて、アップロード及び／又はダウンロードされたデータ量及びデータのアップロード／ダウンロード速度を示す従来のＤＵメーターを使うことによって実行され得る。ハーゲル・テクノロジー（Ｈａｇｅｌ  Ｔｅｃｈｎｏｌｏｇｉｅｓ）のＤＵメーターの詳細は、http://www.dumeter.comに記載されている。ＤＵメーターは、ユーザーによって監視時間を設定することが可能であり、ユーザー指定の時間において、データのアップロード及び／又はダウンロードがユーザー指定量を超える時に警告を出し、またオンライン時間がユーザー指定時間の限界を超える時に警告を出す。しかしながら、この設備は、個々の装置にのみ比較的正確に機能する。例えば、インターネットに接続された複数のユーザー端末の内部ネットワークにおいて、ＤＵメーターは、インターネットのゲートウェイ及びクロストークを通して、複数のユーザー端末間のトラフィックを含む、ＤＵメーターがインストールされた端末に来るすべてのトラフィックを登録する。ＤＵメーターには、データパケットの機能又はその元の機能を見分ける能力がない。
【非特許文献１】http://www.swplaza.co.kr
【非特許文献２】http://www.dumeter.com
【発明の開示】
【発明が解決しようとする課題】
【０００７】
それ故、一つ以上の通信ネットワークに接続された複数の端末全体に渡る、一つ又は複数のユーザーのデータの使用及び時間を監視できるシステム及び／又は方法、及び／又はその装置が要求されている。また、ユーザー／端末でのデータの使用及び時間の分析を可能とし、一つ以上の外部の通信ネットワークへのアクセスの許可／拒否を判定するセキュリティーを含むシステム及び／又は方法、及び／又はその装置が望まれている。
【課題を解決するための手段】
【０００８】
一つの見地に従って、最も幅の広い見地だけ又は本当に最も幅の広い見地である必要はないが、本発明は、ゲートウェイ及びファイアウォールを介して、第１の通信ネットワーク及び第２の通信ネットワークに接続されたそれぞれのユーザー端末間のデータ転送を監視し、制御する方法にあり、前記方法は、
前記第２の通信ネットワークへのアクセスを要求するそれぞれの前記ユーザー端末から前記ゲートウェイへアクセス要求を送るステップと、
それぞれの前記ユーザー端末の認証されたＩＰアドレスに基づいてアクセスを要求するそれぞれの前記ユーザー端末のためのアクセスを許可するために、前記ファイアウォールにおいて、少なくとも一つのアクセスルールを修正するステップと、
それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するステップとを含む。
【０００９】
本発明の方法は、更に、リアルタイムでそれぞれの前記ユーザー端末で得られる処理能力をダイナミックに制御するステップを含んでいてもよい。制限された処理能力は、単一ユーザーの端末、複数のユーザー端末及び／又は一つ以上の指定のユーザーアカウントに素早く割り当てられ得る。処理能力は、データをアップロードすること及び／又はダウンロードすることのために制御されるようにしてもよい。
【００１０】
本発明の方法は、更に、それぞれのユーザー端末への一つ以上のアクセスポートを有効にし、且つ／又は無効にするステップを含んでいてもよい。
【００１１】
単一の装置は、任意で、ゲートウェイ及びファイアウォールを含むようにしてもよい。または、前記ファイアウォールはゲートウェイとは異なる装置であってもよい。
【００１２】
ＩＰアドレスの認証は、好ましくは、ゲートウェイによって実行される。認証は、暗号化／復号化プロセスを使って実行される。
【００１３】
本発明の方法は、更に、第１の通信ネットワークに接続された管理端末から第２の通信ネットワークへのユーザー端末のアクセスを制御するステップを含むようにしてもよい。
【００１４】
本発明の方法は、更に、ユーザー端末が前記第２の通信ネットワークへアクセスする期間を監視するステップを含むようにしてもよい。
【００１５】
本発明の方法は、更に、ユーザー端末がアップロード及び／又はダウンロードするデータ量を監視するステップを含むようにしてもよい。
【００１６】
本発明の方法は、更に、第２の通信ネットワークへアクセスするそれらのユーザー端末のユーザーの料金を監視するステップを含むようにしてもよい。
【００１７】
もう一つの見地に従って、本発明は、通信ネットワークにおけるデータ転送を監視し、制御するシステムにあり、前記システムは、
第１の通信ネットワークに接続された一つ以上のユーザー端末と、
ゲートウェイ及びファイアウォールを介して前記第１の通信ネットワークに接続された第２の通信ネットワークと、を含み、
前記ファイアウォールは、前記第２の通信ネットワークにアクセスする認証されたＩＰアドレスを有するそれぞれのユーザー端末のために、それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視する。
【００１８】
単一の装置は、任意で、ゲートウェイ及びファイアウォールを含むようにしてもよい。または、前記ファイアウォールはゲートウェイとは異なる装置であってもよい。
【００１９】
ＩＰアドレスの認証は、好ましくは、ゲートウェイによって実行され、遠隔の端末を認証する暗号化／復号化プロセスを含む。
【００２０】
本発明のシステムは、更に、リアルタイムでのそれぞれ前記ユーザー端末で得られる処理能力をダイナミックに制御することを含むようにしてもよい。制限された処理能力は、単一ユーザーの端末、複数のユーザー端末及び／又は一つ以上の指定のユーザーアカウントに素早く割り当てられ得る。処理能力は、データをアップロードすること及び／又はダウンロードすることのために制御されるようにしてもよい。
【００２１】
更なる見地に従って、本発明は、通信ネットワークにおけるデータの転送を監視し、制御するゲートウェイにあり、前記ゲートウェイは、
認証されたＩＰアドレスを有する第１の通信ネットワークに接続されたそれぞれのユーザー 端末のために、第２の通信ネットワークへのアクセスを許可するファイアウォールと、を含み、
前記ゲートウェイは、それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視する。
【００２２】
前記ゲートウェイは、更に、リアルタイムでそれぞれの前記ユーザー端末に割り当てられた処理能力をダイナミックに制御する手段を含むようにしてもよい。
【００２３】
前記ゲートウェイは、更に、それぞれのユーザー端末への一つ以上のアクセスポートを有効にし、且つ／又は無効にする手段よりなる。
【００２４】
本発明の更なるさらなる見地及び特徴は、後述する説明により明白になるであろう。
【発明を実施するための最良の形態】
【００２５】
発明を理解する手助けとするため、また当業者が本発明の好ましい実施例の実際の効果を理解できるようにするため、添付の図面を参照する実施例のみが記載される。
【００２６】
本発明の方法は、図１に示す本発明のシステムにおいて実施される。図１は、例えば、インターネットカフェ、中小大企業又はコンピューターシステムを利用するその他の組織におけるコンピューターシステムに相当する。しかしながら、本発明のシステムは、図１に示される実施例に限定されるものではなく、本発明のシステムは、ゲートウェイによって接続されたどのような二つの通信ネットワークにも適用できる。
【００２７】
図１におけるシステムは、ゲートウェイ端末６に接続された一つ以上のユーザー端末４及び一つ以上の管理端末２を有している。管理端末２は、ユーザー端末としても考慮され得る。ユーザー端末４、管理端末２及びゲートウェイ６は、総合して、内部ネットワーク７の形式で第１の通信ネットワークとして考慮される。ゲートウェイ６は、また、カスタマイズ可能なルールを許容する公知のファイアウォール技術を用いたファイアウォール８を含む。もう一つの方法として、ファイアウォール８は、ゲートウェイ６に接続された端末９のような別の装置にインストールされ得る。内部ネットワーク７は、一つ以上の外部ネットワーク１０の形式を採る一つ以上の第２の通信ネットワークとゲートウェイ６を介して通信する。そのような外部ネットワーク１０は、内部ネットワーク７の外部にあり、インターネット、広域ネットワーク、又はインターネットプロトコルＴＣＰ／ＩＰに基づく任意のネットワーク保護区域である。当業者は、ゲートウェイ６が、ゲートウェイと外部ネットワーク１０との間に配置されたルーターと関連付けら得、また、ゲートウェイ６と端末２、４との間に配置された、ゲートウェイ６の内部及び外部における直接的な情報に対するスイッチと関連付けられ得ることを理解するであろう。
【００２８】
図１に示すシステムに代わるものとして、本発明のシステムは、二つの公共ネットワーク間又は二つの個人ネットワーク間のゲートウェイ６及びファイアウォール８を含むようにしてもよく、それ故、本発明のシステム及び方法は、図１に示すような内部及び外部ネットワークに限定されるものではない。従って、以下の実施例に記載されている内部及び外部ネットワークを、公共又は個人ネットワーク、又はそれらの組み合わせに置き換えてもよいことが理解される。
【００２９】
本発明の方法は、図２のフローチャート及び図３乃至図６の画面例を参照して記載されている。適切な場合、ステップ２０において、料金レベルと同様に、ゲーム、ブラウズ又は他の機能のようなロギングのレベルが設定される。図４に実施例が示されている。アクティビティのロギングは、ファイアウォール８によって実行され、データ量の基準ごと、例えば、メガビット（Ｍｂ）ごと及び／又は単位時間基準ごと、例えば、秒ごと、分又は他の時間単位ごとに、実行される。例えば、時間単位ごとに現在の費用で時刻がログされる。同様に又はもう一つの方法として、データのアップロード及び／又はダウンロードの制限があり、もしそれを超えたなら、ユーザーによって端末で使われた時間に加えて、又は代わるものとしてさらなる料金が負担される。もう一つの方法として、時間又はアップロード／ダウンロードのどちらか大きい方に基づいて料金が課されるようにしてもよい。ロギングが実行されることによって、多くの置換があり、本発明はどんな特定の置換にも限定されないことが理解されるであろう。
【００３０】
ステップ２２において、インターネットカフェの顧客又は企業の従業員のようなユーザーが、ユーザー端末４にログイン（ｌｏｇ  ｉｎ）する。特定のユーザーか、及び／又は、例えば、大きな組織、インターネットカフェのようなアプリケーションかによって、料金レベル、クラス、時間区分等の数がいくらでもある。
【００３１】
図２におけるステップ２４に関して、ユーザーがインターネットのような外部ネットワーク１０へのアクセスを要求しないなら、本発明の監視及び制御方法は動作せず、ユーザーがログインすると、そのユーザー自身のネットワーク即ち外部ネットワークではないネットワークが使用可能となる。しかしながら、もしユーザーが、例えばインターネットアクセスを要求するなら、ステップ２６によって示されるように、ユーザー端末のインターネットプロトコル（ＩＰ）アドレスを含むデータパケットの形式で、アクセス要求がゲートウェイ６におけるアクセスキューに追加される。しかしながら、動作速度は十分に速いので、通常は、キューに入れることは必要なく、その要求は実質的に即座に処理される。
【００３２】
ＩＰアドレスがゲートウェイ６によって読み取られる時、ゲートウェイは、そのＩＰアドレスへのアクセスを許可することをファイアウォール８に指示するというルールを発生する。ファイアウォール８は、発生したルールに従い、ステップ２８に示されているように、そのＩＰアドレスへ外部ネットワークのアクセスを許可する。供給されるＩＰアドレスは、外部のネットワーク１０へのアクセスのためのゲートウェイ６においてユーザーネーム及びパスワードを通して認証される。ファイアウォールに従ったルールリストにおける一つ以上のルールを修正することによって、外部ネットワークへのアクセスがユーザー及び端末に対して許可される。そのルールによって、ファイアウォールが特定のＩＰアドレスへのネットワークアクセスを許可又は拒否することができる。そのルールは、追加されたり、削除されたりし得る。もう一つの方法として、既存のルールが、外部ネットワークアクセスを許可又は拒否するために変更される／アップデートされるようにしてもよい。
【００３３】
図３は、管理端末２において利用できる監視及び制御インターフェースを示し、それらの端末は、使われているものと使われていないものがある。それぞれの端末及びネットワーク内のセクションの同一性が、その端末のユーザーに加えて表示されている。使用時間、Ｍｂｓ単位でダウンロードされたデータ量及び関連する料金が表示されている。
【００３４】
特定の端末にとって外部ネットワークアクセスが可能であるとき、その端末の特定のアクセスポート番号は、ゲーム及び／又はブラウズ及び／又はその端末によって実行されるその他のアクティビティのような個々の特定のアクティビティを許可し又は禁止することを可能にし、又は無効にする。許可され又は禁止される端末へアクセスするための特定のポートは、特定のユーザー及び／又は特定の端末によって決まる。ポートの有効／無効は、ファイアウォール８に対して供給されるルールであって、ファイアウォール８が従うルールによって制御される。そのルールは、例えば、ユーザーアカウントが作成されたときに設定される。初期設定は、図６の左上に示されているように、ある端末におけるすべてのアクティビティを許可するために、全てのポートをアクティブとし得る。
【００３５】
図６では、また、「すべてのポートを許可する」又は「すべてのポートをブロックする」という例外が設定され得ることを示している。例えば、図６では、例外セクションにおいてＳＳＨボックスがチェックされているため、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）を除くすべてのアクティビティのために、アーロン（１）（Ａｒｒｏｎ（１））というアカウントにすべてのポートが許可されることを示している。ＳＳＨは、ユーザーが遠隔の端末において命令を実行するために、またファイルを一つの装置から別の装置へと移動するために、外部通信ネットワーク又は別のネットワーク上の別の端末へログインすることを許可する。例外ボックスによって示されたアクティビティを許可又は禁止するために、ポートに対する「ブロック」又は「許可」ボックスがそれぞれチェックされたかによって、一つ以上の例外ボックスが確認される。もう一つの実施例は、ＨＴＭＬは許可されるが、他のタイプのデータ転送は許可されない。
【００３６】
更に図６に関して、一つ以上の端末に割り当てられている処理能力又はデータ転送速度はまた、本発明のシステム及び方法によってダイナミックに直ぐに制御され得る。処理能力は、端末に接続されたネットワークを妨害することなしに、又は通信を中断することなしに、全体的に又は局所的にリアルタイムで制御される。
【００３７】
全体的な処理能力設定は、ゲートウェイ６に接続された全ての端末に反映され、如何なる設定の変化も全体的に影響を及ぼす。例えば、もし、通常、インターネット接続に使用されるポート８０が全体的にブロックされるなら、ゲートウェイ６に接続されたそれぞれの端末は、ポート８０を通してインターネットにアクセスすることができなくなる。もう一つの例では、もし、例えば、ウェブアクセスのために２Ｍｂ／ｓの処理能力が割り当てられたなら、インターネットに接続されたすべての端末は、２Ｍｂ／ｓの処理能力を共有することになる。
【００３８】
局所的な処理能力設定は、一つ以上の指定の端末又はユーザーアカウントにのみ反映される。例えば、管理端末２のような特定の端末に対して指定の処理能力が割り当てられる。図６に示されるように、ユーザーアカウントへの指定の処理能力を割り当てる有利な点は、他方では、ユーザーがログインした端末にかかわりなく、それぞれの割り当てられた指定の処理能力を使用することができることである。図６に示された例は、アーロン（１）というユーザーアカウントのために、アップロードのために処理能力の制限は無いとセットされているが、ダウンロードのための処理能力は１０Ｍｂ／ｓと制限されている。
【００３９】
処理能力の制御の更なる特徴は、図６に示されるように、処理能力の制限に対する例外が特定されていることである。例えば、図６において、上記のポート制限の例に記載されているように、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）ボックスがチェックされる。従って、この例では、１０Ｍｂｉｔ／ｓのダウンロード制限は、このユーザーアカウントのためのＳＳＨダウンロード動作に対しては適用されない。図６に示されるように、他の完全ではない例における処理能力の制限免除は、当業者に親しみのあるプロトコル／アプリケーション／ネットワークのためのものである。
【００４０】
本発明の特徴である動的な処理能力の割り当によって、ユーザー、端末及び／又は要求されたグループに対する処理能力の割り当てが可能となる。例えば、学校やその他の教育機関のような組織は、通常は制限された処理能力の割り当てのみを有しており、本発明は、その処理能力又はその一部を、例えばメディア・ストリーミング・イベントのための一つ以上の端末に割り当てることを可能にする。処理能力の割り当ては、処理能力が例えば一つ以上の異なる端末に再分配された所定の期間後のために規定される。
【００４１】
処理能力の割り当てには、ユーザー及び／又は特定の端末が例えば番号１から５の順序で割り当てることによって優先基準がある。もし二つ以上の端末及び／又はユーザーが処理能力を奪い合うなら、最優先の端末及び／又はユーザーに処理能力が割り当てられる。
【００４２】
もう一つのシナリオとしては、処理能力への要求が急速に変化する病院のような医学的環境であり得る。例えば、Ｘ線写真、ＭＲＩ及び／又はＣＡＴスキャンのような医学的画像を含んでいるデータファイルは、大きなサイズを有しているに違いなく、しばしば医学施設の内部及びその間をネットワーク間で転送される必要がある。そのようなファイルの転送を容易にするために、処理能力がダイナミックに割り当てられ得る。これはファイルが素早く転送されることを可能にし、それはしばしば緊急事態に必要であり、ファイルが転送されている間、医学施設のコンピューターシステムがゆっくり停止することを防止する。
【００４３】
図２のステップ３０に示されているように、一度、ネットワークアクセスが特定のＩＰアドレスに許可されると、その端末のアクティビティのロギングがファイアウォール８によって開始される。ログされるデータのタイプは、スタート時間、現行セッション時間、当該セッションで発生する費用、ユーザー／顧客の制限（時間、支払い及び／又はデータ量）、アカウントタイプ（例えば、引き落とし（ｄｅｂｉｔ）又はクレジット）及び／又はアカウントステータスを含む。ファイアウォール８は、外部ネットワーク１０に接続されたそれぞれの特定のＩＰアドレスのためのデータを記録する。このデータは後述するようにゲートウェイ６によってその後要求され、表示される。
【００４４】
一旦ユーザーが、外部ネットワーク１０にログインし、アクセスを得たなら、ユーザーが、例えば「戻る」ボタンをクリックすることによりログイン前の画面に戻ることは不可能であり、本発明の方法によって、それらのセッションを監視、ロギングすることを避けようとする。一旦ユーザーがそれらのセッションを完成させたなら、例えば従業員の場合、勤務日の最後において、ステップ３２に示されているように、ユーザーは端末からログアウトする。もう一つの方法として、もし例えば、ユーザーの現在の時間制限が失効するなら、ゲートウェイ６及びファイアウォール８は、外部ネットワーク１０からユーザーをログアウトし、外部ネットワーク１０から切断することになる。これは、ユーザーのセッションが自動的に終了するように設定されているということである。もう一つの方法として、管理端末２のオペレーターが切断要求を開始することによってセッションを終了することができる。この方法では、ユーザーが重要なデータを失うことを避けるために、オペレーターがセッションの終了より前にユーザーに通知することができる。セッションの終了が管理端末２を通して行われない限り、ユーザーは、別のユーザーのセッションではなく自身のセッションのみを終了することができる。この場合、例えば組織又はインターネットカフェの場合、それは認証されたスタッフであるべきであり、その人は管理端末２を使用するために要求されるユーザーネーム及びパスワードを持っている。
【００４５】
一旦ログアウトが開始されると、ユーザーからの要求又は管理端末２からの要求の何れによっても、要求はステップ３４に示されるように、外部ネットワークからの切断要求が、切断されるべき端末のＩＰアドレスを含むデータパケットの形式でゲートウェイ６の切断キューに追加される。しかしながら、またしてもキューに追加することは通常は不要であり、切断要求は実質的に直ぐに処理される。
【００４６】
切断要求のＩＰアドレスが読み込まれる時、その特定のＩＰアドレスに対するアクセスを許可するルールは、ファイアウォール８から／内で削除又は修正され、図２のステップ３６に示されているように、ファイアウォールは、そのＩＰアドレスに対して外部ネットワークのアクセスを無効にする。
【００４７】
一旦ファイアウォール８がキューされた接続要求又は切断要求を処理したなら、誤って要求が繰り返し処理されることを防止するために、その要求はキューから消去される。
【００４８】
ステップ３８に示されるように、セッション履歴は、ファイアウォール８によって生成されたデータのログに基づいてゲートウェイ６によって維持される。それぞれのセッション履歴は、その特定のユーザー端末及び／又はその特定のユーザーに関連する情報を含んでいる。関連する情報には、端末及びユーザーＩＤ、ログオン及びログオフの時刻、セッション継続時間、請求料率、データの消費量／アップロード／ダウンロード、データのアップロード／ダウンロード制限、セッション料金、支払い方法、アカウントステータス、アクセスしたＵＲＬ及びそれぞれのＵＲＬにアクセスしている時間やそのような他の情報が含まれる。セッション履歴に含まれる情報のタイプは、必要に応じて、ユーザー単位及び／又は端末単位を基準としてゲートウェイ６及びファイアウォール８によって決定される。この情報は、サービスプロバイダから提供される請求情報と比較される。
【００４９】
図３乃至図６に示され、ここに記載されているように、ユーザーのアクティビティは、例えば、使用中の端末と使用していない端末のテーブル表示や、端末の使用に関係がある関連データの形式で、インターフェースを監視し、制御することに基づいて管理端末２によって監視され得る。しかしながら、本発明は、アクセス可能な単一の管理端末のインターフェースを監視し制御することに限定されるわけではない。管理端末のインターフェースは、管理制御へのアクセスが与えられた、システムにおける如何なる端末においてもアクセスされ得る。図５は、現在定義された端末（装置）を表示する表を示し、それは装置の同一性、その所属するセクション、そのＩＰアドレス、メディアアクセスコントロール（ＭＡＣ）アドレスを含み、いずれにせよ端末はアクティブである。
【００５０】
もし、例えば、ゲートウェイ６に問題があるか、又は停電があり、外部ネットワークアクセスが全ての端末に対して切断されるなら、本発明によると、管理端末２の接続が切れる前に、管理端末２が、接続されていた外部ネットワークにそれぞれの端末を再接続することを可能とする（関連する外部ネットワークへの接続が可能であることを提供する）。ファイアウォール８は、管理端末２からの外部ネットワーク接続を修復するための要求を受け入れる。端末のＩＰアドレスは前もってゲートウェイ６によって確認され、ファイアウォール８によって可能とされているので、ファイアウォールは、それらの以前の状態に接続を修復する。個々のユーザーは、そのセッションのために再び外部ネットワーク１０へのアクセス要求を行う必要はない。
【００５１】
どの端末にもアクセス可能なインターフェースを監視し、制御することは、管理端末として操作することであり、一般的な設定の特徴、バックアップオプション、アカウント、アクセス設定及び表示／スタッフのアクセスコードの編集を含むが、限定されないオペレーターの他の制御の特徴を提供する。
【００５２】
一般的な設定の特徴により、ファイアウォール８及び／又はゲートウェイ６上の制御が提供され、受動的なブッキングシステムとして操作するための監視方法と制御方法とが可能となる。これは、タイムスロット（ｔｉｍｅ  ｓｌｏｔｓ）が特定のユーザー及び／又は特定の端末に割り当てられることを可能にする。それ故、もし、特定のタイムスロット又は端末が予約され、異なったユーザーがその予約されたタイムスロット中に端末を予約しようとすると、ユーザー及び／又は管理端末２に対して警告がアクティブとなる。管理端末のオペレーターには、タイムスロット及び／又は端末予約を無効にするオプションが与えられている。
【００５３】
種々のセキュリティーアクセスレベルが、異なるスタッフ及びマネージャー等によって、それらの許可／先任者／セキュリティー認可等に従って設定され得る。例えば、本発明の方法によって、スタッフは、各自の端末の使用を監視し、ある範囲において各自の端末の使用を制御することができるようにするため、画面にログを表示することができる。スタッフは、外部ネットワークアクセスを有効にしたり、無効にしたりすることを許可されているが、例えば、アカウントの詳細を見ることはできず、それは管理者のアクセスのために制限されている。
【００５４】
バックアップのオプションの特徴は、例えば、これらの通常の使用に失敗した場合には、一つ以上の代わりとなるサーバーアドレス、識別表示（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）及び／又はパスワードを提供できることである。
【００５５】
本発明は、「塀で囲まれた庭」という例えばモーテル又は教育機関に使用され得る。制御されたブラウズ環境内のアクセスサイトは無料である一方、塀で囲まれた庭の外側のアクセスサイトは料金が発生し得る。ファイアウォール８は、全てのアクセス及びログ料金を適宜監視する。
【００５６】
本発明の方法によると、上述のスタッフ／ユーザーのアクセスに関連したデータが監視可能となり、ユーザー単位、装置単位及び／又は複数の装置単位に基づいて遠隔で監視された端末の一つ以上の外部ネットワークへのアクセスが可能となる。それぞれのＩＰアドレスのトラフィック、すなわち端末がファイアウォール８によってログされ、ゲートウェイ６で監視されるため、時間を監視することだけではなく、データ量の使用を監視することも含まれる。
【００５７】
本発明の方法は、ゲートウェイ６及びファイアウォール８を通過するすべてのトラフィックを監視するため、本発明の方法を用いるシステムは、システムのセキュリティー侵害にも耐性を示す。外部の端末１１からの許可されないアクセスの試みには、特定された外部の端末１１に関連したＩＰアドレスが要求される。ファイアウォール８は、その端末のＩＰアドレスに基づいたそれぞれの端末のためのログ、及びその端末のユーザーによって入力されたユーザーＩＤのためのログを生成する。ファイアウォールのルールは、ファイアウォール８及びゲートウェイ６を介して外部の端末１１と内部のネットワーク７との間のアクセス／トラフィックフローを許可するために変化したり、追加されたりしない。従って、外部の端末は、内部のネットワーク７へのアクセスを得るはずはない。さらに、本発明の方法においては、短時間後に、例えば２秒経過したら、定期的にファイアウォールが再起動する。従って、認証されていない外部の端末１１がどういうわけかファイアウォール８を無効にした場合であっても、ファイアウォール８は短時間で再起動され、認証されていない外部の端末１１へのアクセスは再度自動的に拒否される。再起動されたファイアウォール８は、外部の端末１１の認証されたＩＰアドレスを含まない。従って、認証されていない外部の端末１１のアクティビティはログされ、認証されてない外部の端末１１が管理端末の警戒によって特定されるため、認証されてない外部の端末の如何なるアクティビティも特定され得る。同様に、如何なる認証されていない端末も、認証されてないＩＰアドレスを有するが故にネットワークに接続されることはない。従って、例えば企業のスタッフ、又はインターネットカフェを使用する会員であっても、彼ら自身の装置をこのネットワークに接続することはできない。
【００５８】
本発明の方法、システム及び装置は、図１に示されている内部ネットワーク７の一部ではない一つ以上の認証された遠隔の端末１２による内部ネットワーク７へのアクセスを許可する。認証は、例えば、電子メール及び／又は使用しているセキュリティーキーを介して実行される。例えば、ゲートウェイ６は、遠隔の端末１２のユーザーによって供給された公開暗号キーを有するようにしてもよい。遠隔の端末１２のユーザーは、個人暗号／復号キーを有している。遠隔の端末が内部ネットワーク７へのアクセスを要求したとき、ゲートウェイ６は、遠隔の端末へ公開キーで暗号化されたメッセージを送る。遠隔の端末１２は、暗号化されたメッセージを復号化し、復号化されたメッセージをゲートウェイ６に返信する。ゲートウェイは、受信した復号化されたメッセージと元の暗号化されていないメッセージとを比較する。もしそれらが同一なら、遠隔の端末の身元は首尾よく認証され、ゲートウェイ６は、遠隔の端末１２から内部ネットワーク７へのアクセスを許可する。その後、ゲートウェイは、アクセスデータパケットから遠隔の端末１２のＩＰアドレスを取得し、ゲートウェイは、ここでは端末４として記載された遠隔の端末１２のアクティビティを監視できる。もし、元のメッセージと復号化されたメッセージとが異なる場合は、遠隔の端末の身元が確認されないとしてアクセスが拒否される。ユーザーＩＤ及びパスワードは、セキュリティーキーと併せて使用され得る。遠隔の端末へアクセスを許可するこの方法は、常設の外部のＩＰアドレスと一時的な外部のＩＰアドレスの両方に適用される。遠隔の端末のアクティビティは、また、管理端末に表示される。
【００５９】
本発明の方法は、Ｕｎｉｘ（登録商標）／Ｌｉｎｕｘオペレーティングシステムが好ましいが、スタッフ／ユーザーの端末でＨＴＭＬ動作可能な如何なる公知のオペレーティングシステムによっても動作する。サーバー側は、ＨＴＭＬ動作可能である以上の性能を要求されるが、それは、適切な動作システムのゲートウェイ／ファイアウォールの構成が設定されなければならないからである。
【００６０】
本発明は、無線ネットワーク、ネットワークプリンタ及び／又は如何なるプログラム、又はＴＣＰ／ＩＰプロトコル上で動作する装置上で動作する。本発明の方法は、また、ダイナミック・ホスト・コントロール・プロトコル（ＤＨＣＰ）を完全にサポートし、サブネット及び複数のゲートウェイを要求するより大きなネットワークに使用され得る。本発明の方法及びゲートウェイは、当業者によく知られている従来のブータブル・フラッシュメモリを介してインストールされる。本発明は、監視されるそれぞれの端末にインストールされる特別なソフトウェアを要求せず、またネットワークの再構成を要求しない。ソフトウェアは、ゲートウェイ装置にインストールされればよく、ゲートウェイは、ネットワークに接続される装置を探すことになる。
【００６１】
本発明もう一つの有利な点は、如何なるデータ、例えばウェブのページに関連するデータもキャッシュに格納せず、それは従来のシステムによって実行される。従って、本発明によると、ユーザーは、例えば、現在のウェブページを見ることはできるが、潜在的にキャッシュに格納された有効期限切れのウェブページのデータを見ることはできない。
【００６２】
明細書を通して、本発明の目的が記載され、本発明がどの実施例又は特定の特徴の選択に限定されるものではなく、発明を記載するものである。当業者は、発明の範囲内において特定の実施例からの変形例を理解するであろう。
【図面の簡単な説明】
【００６３】
【図１】本発明が実施される方法及び装置における本発明に従ったコンピューターシステムの代表例を示す。
【図２】インターネットのような外部の通信ネットワークへユーザー端末を接続したり、切断したりするための本発明の方法のステップを表現するフローチャートである。
【図３】端末アクティビティを監視するための監視及び制御インターフェースの一部の画面例である。
【図４】監視及び料金構成を設定するための制御インターフェースの一部の画面例である。
【図５】ネットワーク内に定義された端末を示す監視及び制御インターフェースの一部の画面例である。
【図６】監視及び特定のユーザー端末又はユーザーアカウントのための設定を編集する制御インターフェースの一部の画面例である。
【図１】
2005537699.tif 000003
【図２】
2005537699.tif 000004
【図３】
2005537699.tif 000005
【図４】
2005537699.tif 000006
【図５】
2005537699.tif 000007
【図６】
2005537699.tif 000008
【手続補正書】
【提出日】平成16年7月20日(2004.7.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ゲートウェイ及びファイアウォールを介して、第１の通信ネットワーク及び第２の通信ネットワークに接続されたユーザー端末間のデータ転送を監視し、制御する方法であって、前記方法は、
前記第２の通信ネットワークへのアクセスを要求する前記ユーザー端末から前記ゲートウェイへアクセス要求を送るステップと、
前記ゲートウェイが、前記アクセス要求を読み込むステップと、
前記ユーザー端末の認証されたＩＰアドレスに基づいてアクセスを要求する前記ユーザー端末のためのアクセスを許可するために、前記ファイアウォールにおいて、少なくとも一つのアクセスルールを修正するステップと、
前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するステップと、
前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御するステップと、
を含む方法。
【請求項２】
前記ユーザー端末と前記第２のネットワークとの通信を維持している間、前記ユーザー端末に対する前記処理能力のダイナミックな制御行われる請求項１に記載の方法。
【請求項３】
制限された処理能力は、単一ユーザーの端末に割り当てられる請求項１に記載の方法。
【請求項４】
制限された処理能力は、複数のユーザー端末間で共有される請求項１に記載の方法。
【請求項５】
処理能力は、データをアップロードすること及び／又はダウンロードすることのために制限される請求項１に記載の方法。
【請求項６】
制限された処理能力は、規定の時間間隔のために一以上の端末に割り当てられる請求項１に記載の方法。
【請求項７】
制限された処理能力は、一以上の端末又はユーザーアカウントに対して割り当てられた優先状態に基づいて一以上の端末に割り当てられる請求項１に記載の方法。
【請求項８】
前記ユーザー端末のＩＰアドレスは、前記ユーザー端末が暗号化／復号化プロセスを用いることによって事前に認証されたことに基づき、認証される請求項１に記載の方法。
【請求項９】
前記ユーザー端末の全てのアクセスポートを監視するステップを更に含む請求項１に記載の方法。
【請求項１０】
ユーザー端末の一つ以上のアクセスポートを有効にし、且つ／又は無効にするステップを更に含む請求項１に記載の方法。
【請求項１１】
前記第１のネットワークに接続された管理端末から、ユーザー端末の前記第２の通信ネットワークへのアクセスを制御するステップを更に含む請求項１に記載の方法。
【請求項１２】
ユーザー端末が前記第２の通信ネットワークへアクセスする期間を監視するステップを更に含む請求項１に記載の方法。
【請求項１３】
ユーザー端末がアップロード及び／又はダウンロードするデータ量を監視するステップを更に含む請求項１に記載の方法。
【請求項１４】
第２の通信ネットワークへアクセスするそれらのユーザー端末のユーザーの料金を監視するステップを更に含む請求項１に記載の方法。
【請求項１５】
通信ネットワークにおけるデータ転送を監視し、制御するシステムであって、前記システムは、
第１の通信ネットワークに接続された一つ以上のユーザー端末と、
ゲートウェイ及びファイアウォールを介して前記第１の通信ネットワークに接続された第２の通信ネットワークと、を含み、
前記ファイアウォールは、前記第２の通信ネットワークにアクセスする認証されたＩＰアドレスを有する前記ユーザー端末のために、一つ以上の前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視し、一つ以上の前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御するシステム。
【請求項１６】
単一の装置がゲートウェイ及びファイアウォールの両方を含む請求項１５に記載のシステム。
【請求項１７】
前記ファイアウォールは、前記ゲートウェイとは異なる装置にある請求項１５に記載のシステム。
【請求項１８】
前記ＩＰアドレスの認証は、ゲートウェイによって実行される請求項１５に記載のシステム。
【請求項１９】
認証は、遠隔の端末を認証する暗号化／復号化プロセスを含む請求項１８に記載のシステム。
【請求項２０】
前記ファイアウォールは、一つ以上の前記ユーザー端末のアクセスポートを同時に監視する請求項１５に記載のシステム。
【請求項２１】
制限された処理能力は、単一ユーザーの端末に割り当てられる請求項１５に記載のシステム。
【請求項２２】
制限された処理能力は、複数のユーザー端末間で共有される請求項１５に記載のシステム。
【請求項２３】
制限された処理能力は、ユーザーアカウントに割り当てられる請求項１５に記載のシステム。
【請求項２４】
処理能力は、データをアップロードすること及び／又はダウンロードすることのために制限される請求項１５に記載のシステム。
【請求項２５】
前記ユーザー端末と一つ以上の前記第２のネットワークとの通信を維持している間、一つ以上の前記ユーザー端末に対する前記処理能力のダイナミックな制御行われる請求項１５に記載のシステム。
【請求項２６】
通信ネットワークにおけるデータの転送を監視し、制御するゲートウェイであって、前記ゲートウェイは、
認証されたＩＰアドレスを有する第１の通信ネットワークに接続された一つ以上のユーザー端末のために、第２の通信ネットワークへのアクセスを許可するファイアウォールと、を含み、
前記ゲートウェイは、一つ以上の前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視し、一つ以上の前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御するゲートウェイ。
【請求項２７】
前記ファイアウォールは、一つ以上の前記ユーザー端末のアクセスポートを同時に監視する請求項２６に記載のゲートウェイ。
【請求項２８】
一つ以上の前記ユーザー端末と前記第２のネットワークとの通信を維持している間、一つ以上の前記ユーザー端末に対する前記処理能力のダイナミックな制御行われる請求項２６に記載のゲートウェイ。
【請求項２９】
前記ゲートウェイは、更に、それぞれのユーザー端末への一つ以上のアクセスポートを有効にし、且つ／又は無効にする手段を含む請求項２６に記載のゲートウェイ。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおけるデータ転送を監視し、制御する方法、システム及び装置に関する。特に、本発明は、組織において、内部ネットワークの複数の端末におけるデータの使用及びオンライン時間を監視し、制御することを可能とする方法、システム及びゲートウェイに関する。しかしながら、その方法、システム及び装置は、他の応用があることが予想される。
【背景技術】
【０００２】
今日、ある種類又は他の種類の一つ以上のコンピューターシステムを信頼しないビジネス、組織、企業等は、殆ど存在しない。コンピューターシステムは、ある領域の末端にて、一人の従業員による小規模の任務に使用される単一のデスクトップパーソナルコンピュータ／ワークステーション／端末よりなり、また、他の領域の末端にて、コンピューターシステムは、一つ以上の大型汎用コンピューターに接続された異なるネットワークにおいて複数のサーバーを通して同一のシステムで接続された数十、数百又は数千の端末よりなる。
【０００３】
コンピューターシステムの大きさにかかわりなく、端末が接続された通信ネットワーク以外の通信ネットワークへのアクセスがしばし要求される。アクセスするためには、例えば、インターネット、インターネットサービス又はアクセスプロバイダー（ＩＳＰ／ＩＡＰ）のような外部の通信ネットワークが要求される。一般に、ＩＳＰ／ＩＡＰは、必要なソフトウェア、ユーザーネーム、パスワード等を提供し、月料金を要求する。月料金は、ブロードバンド接続のように均一料金であったり、また、オンライン時間及び／又は転送されたデータ量、例えば、アップロード及び／又はダウンロードされたデータ量によって決まったりする。
【０００４】
個人ユーザー及び／又は組織が、他の通信ネットワークに接続された時間の量や、例えば、調整及び／又はセキュリティー目的の接続を超えて送信するデータ量を監視することができることが望ましい。
【０００５】
インターネットアクセスの例に戻ると、オンライン時間を監視するという公知の方法により、例えば、インターネットカフェのような、例えば、ゲームや、ブラウズ又はＬＡＮの使用というその性質によって、カフェは、現在のレートにおける使用時間に従い、顧客に料金を請求することが可能となる。このような製品の一つとして、アドヴァンスド・コム・テック社（Ａｄｖａｎｃｅｄ  Ｃｏｍ  Ｔｅｃｈ  Ｃｏ．  Ｌｔｄ）が開発したゲトー・マネージャー（Ｇｅｔｏ  Ｍａｎａｇｅｒ）が知られており、この製品の詳細はwww.swplaza.co.krに開示されている。このシステムは、管理端末（サーバー）にネットワークされた複数のユーザー端末を含み、その管理端末は、会員と非会員によって使用され得る。一旦ユーザーがＩＤでログインすると、時間カウンタが料金計算機と共に自動的に動作を開始する。もし、ユーザーが別の端末に切り替えたら、その切り替えは自動的に処理される。支払いはカード又は会員証によって時間カウンタによって行われる。このシステムにおいて、スタート時間、事前及び事後の支払いの詳細のようなアカウントの詳細、残り時間及び請求料率は管理端末において、例えば、インターネットカフェのカウンタにおいて監視され、表示される。これらの詳細のいくつかについては、ユーザーの端末でも表示される。個々の端末における自動ロック／アンロック、再起動及び／又は電源スイッチオフを含む制御機能が管理端末で利用できる。しかしながら、この製品は、それぞれの端末においてアップロード又はダウンロードされたデータ量を監視することができない。
【０００６】
データ量の監視は、個々のワークステーションにおいて、アップロード及び／又はダウンロードされたデータ量及びデータのアップロード／ダウンロード速度を示す従来のＤＵメーターを使うことによって実行され得る。ハーゲル・テクノロジー（Ｈａｇｅｌ  Ｔｅｃｈｎｏｌｏｇｉｅｓ）のＤＵメーターの詳細は、http://www.dumeter.comに記載されている。ＤＵメーターは、ユーザーによって監視時間を設定することが可能であり、ユーザー指定の時間において、データのアップロード及び／又はダウンロードがユーザー指定量を超える時に警告を出し、またオンライン時間がユーザー指定時間の限界を超える時に警告を出す。しかしながら、この設備は、個々の装置にのみ比較的正確に機能する。例えば、インターネットに接続された複数のユーザー端末の内部ネットワークにおいて、ＤＵメーターは、インターネットのゲートウェイ及びクロストークを通して、複数のユーザー端末間のトラフィックを含む、ＤＵメーターがインストールされた端末に来るすべてのトラフィックを登録する。ＤＵメーターには、データパケットの機能又はその元の機能を見分ける能力がない。
【非特許文献１】http://www.swplaza.co.kr
【非特許文献２】http://www.dumeter.com
【発明の開示】
【発明が解決しようとする課題】
【０００７】
それ故、一つ以上の通信ネットワークに接続された複数の端末全体に渡る、一つ又は複数のユーザーのデータの使用及び時間を監視できるシステム及び／又は方法、及び／又はその装置が要求されている。また、ユーザー／端末でのデータの使用及び時間の分析を可能とし、一つ以上の外部の通信ネットワークへのアクセスの許可／拒否を判定するセキュリティーを含むシステム及び／又は方法、及び／又はその装置が望まれている。
【課題を解決するための手段】
【０００８】
一つの見地に従って、最も幅の広い見地だけ又は本当に最も幅の広い見地である必要はないが、本発明は、ゲートウェイ及びファイアウォールを介して、第１の通信ネットワーク及び第２の通信ネットワークに接続されたそれぞれのユーザー端末間のデータ転送を監視し、制御する方法にあり、前記方法は、
前記第２の通信ネットワークへのアクセスを要求する前記ユーザー端末から前記ゲートウェイへアクセス要求を送るステップと、
前記ユーザー端末の認証されたＩＰアドレスに基づいてアクセスを要求する前記ユーザー端末のためのアクセスを許可するために、前記ファイアウォールにおいて、少なくとも一つのアクセスルールを修正するステップと、
それぞれの前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視するステップと、
前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御するステップと、を含む。
【０００９】
前記ユーザー端末と前記第２のネットワークとの通信を維持している間、前記ユーザー端末に対する前記処理能力のダイナミックな制御が行われ得る。
【００１０】
制限された処理能力は、単一ユーザーの端末、複数のユーザー端末及び／又は一つ以上の指定のユーザーアカウントに素早く割り当てられ得る。処理能力は、データをアップロードすること及び／又はダウンロードすることのために制御され得る。
【００１１】
本発明の方法は、前記ユーザー端末の全てのアクセスポートを監視するステップを更に含むようにしてもよい。
【００１２】
本発明の方法は、更に、それぞれのユーザー端末の一つ以上のアクセスポートを有効にし、且つ／又は無効にするステップを含んでいてもよい。
【００１３】
単一の装置は、任意で、ゲートウェイ及びファイアウォールを含むようにしてもよい。または、前記ファイアウォールはゲートウェイとは異なる装置であってもよい。
【００１４】
ＩＰアドレスの認証は、好ましくは、ゲートウェイによって実行される。認証は、暗号化／復号化プロセスを使って実行される。
【００１５】
本発明の方法は、更に、第１の通信ネットワークに接続された管理端末から第２の通信ネットワークへのユーザー端末のアクセスを制御するステップを含むようにしてもよい。
【００１６】
本発明の方法は、更に、ユーザー端末が前記第２の通信ネットワークへアクセスする期間を監視するステップを含むようにしてもよい。
【００１７】
本発明の方法は、更に、ユーザー端末がアップロード及び／又はダウンロードするデータ量を監視するステップを含むようにしてもよい。
【００１８】
本発明の方法は、更に、第２の通信ネットワークへアクセスするそれらのユーザー端末のユーザーの料金を監視するステップを含むようにしてもよい。
【００１９】
もう一つの見地に従って、本発明は、通信ネットワークにおけるデータ転送を監視し、制御するシステムにあり、前記システムは、
第１の通信ネットワークに接続された一つ以上のユーザー端末と、
ゲートウェイ及びファイアウォールを介して前記第１の通信ネットワークに接続された第２の通信ネットワークと、を含み、
前記ファイアウォールは、前記第２の通信ネットワークにアクセスする認証されたＩＰアドレスを有する前記ユーザー端末のために、一つ以上の前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視し、一つ以上の前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御する。
【００２０】
単一の装置は、任意で、ゲートウェイ及びファイアウォールを含むようにしてもよい。または、前記ファイアウォールはゲートウェイとは異なる装置であってもよい。
【００２１】
ＩＰアドレスの認証は、好ましくは、ゲートウェイによって実行され、遠隔の端末を認証する暗号化／復号化プロセスを含む。
【００２２】
制限された処理能力は、単一ユーザーの端末、複数のユーザー端末及び／又は一つ以上の指定のユーザーアカウントに素早く割り当てられ得る。処理能力は、データをアップロードすること及び／又はダウンロードすることのために制御されるようにしてもよい。
【００２３】
更なる見地に従って、本発明は、通信ネットワークにおけるデータの転送を監視し、制御するゲートウェイにあり、前記ゲートウェイは、
認証されたＩＰアドレスを有する第１の通信ネットワークに接続された一つ以上のユーザー 端末のために、第２の通信ネットワークへのアクセスを許可するファイアウォールと、を含み、
前記ゲートウェイは、一つ以上の前記ユーザー端末と前記第２の通信ネットワークとの間のデータの転送を前記ファイアウォールで同時に監視し、一つ以上の前記ユーザー端末に対する処理能力をダイナミックにリアルタイムで制御する。
【００２４】
前記ゲートウェイは、更に、それぞれのユーザー端末への一つ以上のアクセスポートを有効にし、且つ／又は無効にする手段よりなる。
【００２５】
本発明の更なるさらなる見地及び特徴は、後述する説明により明白になるであろう。
【発明を実施するための最良の形態】
【００２６】
発明を理解する手助けとするため、また当業者が本発明の好ましい実施例の実際の効果を理解できるようにするため、添付の図面を参照する実施例のみが記載される。
【００２７】
本発明の方法は、図１に示す本発明のシステムにおいて実施される。図１は、例えば、インターネットカフェ、中小大企業又はコンピューターシステムを利用するその他の組織におけるコンピューターシステムに相当する。しかしながら、本発明のシステムは、図１に示される実施例に限定されるものではなく、本発明のシステムは、ゲートウェイによって接続されたどのような二つの通信ネットワークにも適用できる。
【００２８】
図１におけるシステムは、ゲートウェイ端末６に接続された一つ以上のユーザー端末４及び一つ以上の管理端末２を有している。管理端末２は、ユーザー端末としても考慮され得る。ユーザー端末４、管理端末２及びゲートウェイ６は、総合して、内部ネットワーク７の形式で第１の通信ネットワークとして考慮される。ゲートウェイ６は、また、カスタマイズ可能なルールを許容する公知のファイアウォール技術を用いたファイアウォール８を含む。もう一つの方法として、ファイアウォール８は、ゲートウェイ６に接続された端末９のような別の装置にインストールされ得る。内部ネットワーク７は、一つ以上の外部ネットワーク１０の形式を採る一つ以上の第２の通信ネットワークとゲートウェイ６を介して通信する。そのような外部ネットワーク１０は、内部ネットワーク７の外部にあり、インターネット、広域ネットワーク、又はインターネットプロトコルＴＣＰ／ＩＰに基づく任意のネットワーク保護区域である。当業者は、ゲートウェイ６が、ゲートウェイと外部ネットワーク１０との間に配置されたルーターと関連付けら得、また、ゲートウェイ６と端末２、４との間に配置された、ゲートウェイ６の内部及び外部における直接的な情報に対するスイッチと関連付けられ得ることを理解するであろう。
【００２９】
図１に示すシステムに代わるものとして、本発明のシステムは、二つの公共ネットワーク間又は二つの個人ネットワーク間のゲートウェイ６及びファイアウォール８を含むようにしてもよく、それ故、本発明のシステム及び方法は、図１に示すような内部及び外部ネットワークに限定されるものではない。従って、以下の実施例に記載されている内部及び外部ネットワークを、公共又は個人ネットワーク、又はそれらの組み合わせに置き換えてもよいことが理解される。
【００３０】
本発明の方法は、図２のフローチャート及び図３乃至図６の画面例を参照して記載されている。適切な場合、ステップ２０において、料金レベルと同様に、ゲーム、ブラウズ又は他の機能のようなロギングのレベルが設定される。図４に実施例が示されている。アクティビティのロギングは、ファイアウォール８によって実行され、データ量の基準ごと、例えば、メガビット（Ｍｂ）ごと及び／又は単位時間基準ごと、例えば、秒ごと、分又は他の時間単位ごとに、実行される。例えば、時間単位ごとに現在の費用で時刻がログされる。同様に又はもう一つの方法として、データのアップロード及び／又はダウンロードの制限があり、もしそれを超えたなら、ユーザーによって端末で使われた時間に加えて、又は代わるものとしてさらなる料金が負担される。もう一つの方法として、時間又はアップロード／ダウンロードのどちらか大きい方に基づいて料金が課されるようにしてもよい。ロギングが実行されることによって、多くの置換があり、本発明はどんな特定の置換にも限定されないことが理解されるであろう。
【００３１】
ステップ２２において、インターネットカフェの顧客又は企業の従業員のようなユーザーが、ユーザー端末４にログイン（ｌｏｇ  ｉｎ）する。特定のユーザーか、及び／又は、例えば、大きな組織、インターネットカフェのようなアプリケーションかによって、料金レベル、クラス、時間区分等の数がいくらでもある。
【００３２】
図２におけるステップ２４に関して、ユーザーがインターネットのような外部ネットワーク１０へのアクセスを要求しないなら、本発明の監視及び制御方法は動作せず、ユーザーがログインすると、そのユーザー自身のネットワーク即ち外部ネットワークではないネットワークが使用可能となる。しかしながら、もしユーザーが、例えばインターネットアクセスを要求するなら、ステップ２６によって示されるように、ユーザー端末のインターネットプロトコル（ＩＰ）アドレスを含むデータパケットの形式で、アクセス要求がゲートウェイ６におけるアクセスキューに追加される。しかしながら、動作速度は十分に速いので、通常は、キューに入れることは必要なく、その要求は実質的に即座に処理される。
【００３３】
ＩＰアドレスがゲートウェイ６によって読み取られる時、ゲートウェイは、そのＩＰアドレスへのアクセスを許可することをファイアウォール８に指示するというルールを発生する。ファイアウォール８は、発生したルールに従い、ステップ２８に示されているように、そのＩＰアドレスへ外部ネットワークのアクセスを許可する。供給されるＩＰアドレスは、外部のネットワーク１０へのアクセスのためのゲートウェイ６においてユーザーネーム及びパスワードを通して認証される。ファイアウォールに従ったルールリストにおける一つ以上のルールを修正することによって、外部ネットワークへのアクセスがユーザー及び端末に対して許可される。そのルールによって、ファイアウォールが特定のＩＰアドレスへのネットワークアクセスを許可又は拒否することができる。そのルールは、追加されたり、削除されたりし得る。もう一つの方法として、既存のルールが、外部ネットワークアクセスを許可又は拒否するために変更される／アップデートされるようにしてもよい。
【００３４】
図３は、管理端末２において利用できる監視及び制御インターフェースを示し、それらの端末は、使われているものと使われていないものがある。それぞれの端末及びネットワーク内のセクションの同一性が、その端末のユーザーに加えて表示されている。使用時間、Ｍｂｓ単位でダウンロードされたデータ量及び関連する料金が表示されている。
【００３５】
特定の端末にとって外部ネットワークアクセスが可能であるとき、その端末の特定のアクセスポート番号は、ゲーム及び／又はブラウズ及び／又はその端末によって実行されるその他のアクティビティのような個々の特定のアクティビティを許可し又は禁止することを可能にし、又は無効にする。許可され又は禁止される端末へアクセスするための特定のポートは、特定のユーザー及び／又は特定の端末によって決まる。ポートの有効／無効は、ファイアウォール８に対して供給されるルールであって、ファイアウォール８が従うルールによって制御される。そのルールは、例えば、ユーザーアカウントが作成されたときに設定される。初期設定は、図６の左上に示されているように、ある端末におけるすべてのアクティビティを許可するために、全てのポートをアクティブとし得る。
【００３６】
図６では、また、「すべてのポートを許可する」又は「すべてのポートをブロックする」という例外が設定され得ることを示している。例えば、図６では、例外セクションにおいてＳＳＨボックスがチェックされているため、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）を除くすべてのアクティビティのために、アーロン（１）（Ａｒｒｏｎ（１））というアカウントにすべてのポートが許可されることを示している。ＳＳＨは、ユーザーが遠隔の端末において命令を実行するために、またファイルを一つの装置から別の装置へと移動するために、外部通信ネットワーク又は別のネットワーク上の別の端末へログインすることを許可する。例外ボックスによって示されたアクティビティを許可又は禁止するために、ポートに対する「ブロック」又は「許可」ボックスがそれぞれチェックされたかによって、一つ以上の例外ボックスが確認される。もう一つの実施例は、ＨＴＭＬは許可されるが、他のタイプのデータ転送は許可されない。
【００３７】
更に図６に関して、一つ以上の端末に割り当てられている処理能力又はデータ転送速度はまた、本発明のシステム及び方法によってダイナミックに直ぐに制御され得る。処理能力は、端末に接続されたネットワークを妨害することなしに、又は通信を中断することなしに、全体的に又は局所的にリアルタイムで制御される。
【００３８】
全体的な処理能力設定は、ゲートウェイ６に接続された全ての端末に反映され、如何なる設定の変化も全体的に影響を及ぼす。例えば、もし、通常、インターネット接続に使用されるポート８０が全体的にブロックされるなら、ゲートウェイ６に接続されたそれぞれの端末は、ポート８０を通してインターネットにアクセスすることができなくなる。もう一つの例では、もし、例えば、ウェブアクセスのために２Ｍｂ／ｓの処理能力が割り当てられたなら、インターネットに接続されたすべての端末は、２Ｍｂ／ｓの処理能力を共有することになる。
【００３９】
局所的な処理能力設定は、一つ以上の指定の端末又はユーザーアカウントにのみ反映される。例えば、管理端末２のような特定の端末に対して指定の処理能力が割り当てられる。図６に示されるように、ユーザーアカウントへの指定の処理能力を割り当てる有利な点は、他方では、ユーザーがログインした端末にかかわりなく、それぞれの割り当てられた指定の処理能力を使用することができることである。図６に示された例は、アーロン（１）というユーザーアカウントのために、アップロードのために処理能力の制限は無いとセットされているが、ダウンロードのための処理能力は１０Ｍｂ／ｓと制限されている。
【００４０】
処理能力の制御の更なる特徴は、図６に示されるように、処理能力の制限に対する例外が特定されていることである。例えば、図６において、上記のポート制限の例に記載されているように、ＳＳＨ（Ｓｅｃｕｒｅ  Ｓｈｅｌｌ）ボックスがチェックされる。従って、この例では、１０Ｍｂｉｔ／ｓのダウンロード制限は、このユーザーアカウントのためのＳＳＨダウンロード動作に対しては適用されない。図６に示されるように、他の完全ではない例における処理能力の制限免除は、当業者に親しみのあるプロトコル／アプリケーション／ネットワークのためのものである。
【００４１】
本発明の特徴である動的な処理能力の割り当によって、ユーザー、端末及び／又は要求されたグループに対する処理能力の割り当てが可能となる。例えば、学校やその他の教育機関のような組織は、通常は制限された処理能力の割り当てのみを有しており、本発明は、その処理能力又はその一部を、例えばメディア・ストリーミング・イベントのための一つ以上の端末に割り当てることを可能にする。処理能力の割り当ては、処理能力が例えば一つ以上の異なる端末に再分配された所定の期間後のために規定される。
【００４２】
処理能力の割り当てには、ユーザー及び／又は特定の端末が例えば番号１から５の順序で割り当てることによって優先基準がある。もし二つ以上の端末及び／又はユーザーが処理能力を奪い合うなら、最優先の端末及び／又はユーザーに処理能力が割り当てられる。
【００４３】
もう一つのシナリオとしては、処理能力への要求が急速に変化する病院のような医学的環境であり得る。例えば、Ｘ線写真、ＭＲＩ及び／又はＣＡＴスキャンのような医学的画像を含んでいるデータファイルは、大きなサイズを有しているに違いなく、しばしば医学施設の内部及びその間をネットワーク間で転送される必要がある。そのようなファイルの転送を容易にするために、処理能力がダイナミックに割り当てられ得る。これはファイルが素早く転送されることを可能にし、それはしばしば緊急事態に必要であり、ファイルが転送されている間、医学施設のコンピューターシステムがゆっくり停止することを防止する。
【００４４】
図２のステップ３０に示されているように、一度、ネットワークアクセスが特定のＩＰアドレスに許可されると、その端末のアクティビティのロギングがファイアウォール８によって開始される。ログされるデータのタイプは、スタート時間、現行セッション時間、当該セッションで発生する費用、ユーザー／顧客の制限（時間、支払い及び／又はデータ量）、アカウントタイプ（例えば、引き落とし（ｄｅｂｉｔ）又はクレジット）及び／又はアカウントステータスを含む。ファイアウォール８は、外部ネットワーク１０に接続されたそれぞれの特定のＩＰアドレスのためのデータを記録する。このデータは後述するようにゲートウェイ６によってその後要求され、表示される。
【００４５】
一旦ユーザーが、外部ネットワーク１０にログインし、アクセスを得たなら、ユーザーが、例えば「戻る」ボタンをクリックすることによりログイン前の画面に戻ることは不可能であり、本発明の方法によって、それらのセッションを監視、ロギングすることを避けようとする。一旦ユーザーがそれらのセッションを完成させたなら、例えば従業員の場合、勤務日の最後において、ステップ３２に示されているように、ユーザーは端末からログアウトする。もう一つの方法として、もし例えば、ユーザーの現在の時間制限が失効するなら、ゲートウェイ６及びファイアウォール８は、外部ネットワーク１０からユーザーをログアウトし、外部ネットワーク１０から切断することになる。これは、ユーザーのセッションが自動的に終了するように設定されているということである。もう一つの方法として、管理端末２のオペレーターが切断要求を開始することによってセッションを終了することができる。この方法では、ユーザーが重要なデータを失うことを避けるために、オペレーターがセッションの終了より前にユーザーに通知することができる。セッションの終了が管理端末２を通して行われない限り、ユーザーは、別のユーザーのセッションではなく自身のセッションのみを終了することができる。この場合、例えば組織又はインターネットカフェの場合、それは認証されたスタッフであるべきであり、その人は管理端末２を使用するために要求されるユーザーネーム及びパスワードを持っている。
【００４６】
一旦ログアウトが開始されると、ユーザーからの要求又は管理端末２からの要求の何れによっても、要求はステップ３４に示されるように、外部ネットワークからの切断要求が、切断されるべき端末のＩＰアドレスを含むデータパケットの形式でゲートウェイ６の切断キューに追加される。しかしながら、またしてもキューに追加することは通常は不要であり、切断要求は実質的に直ぐに処理される。
【００４７】
切断要求のＩＰアドレスが読み込まれる時、その特定のＩＰアドレスに対するアクセスを許可するルールは、ファイアウォール８から／内で削除又は修正され、図２のステップ３６に示されているように、ファイアウォールは、そのＩＰアドレスに対して外部ネットワークのアクセスを無効にする。
【００４８】
一旦ファイアウォール８がキューされた接続要求又は切断要求を処理したなら、誤って要求が繰り返し処理されることを防止するために、その要求はキューから消去される。
【００４９】
ステップ３８に示されるように、セッション履歴は、ファイアウォール８によって生成されたデータのログに基づいてゲートウェイ６によって維持される。それぞれのセッション履歴は、その特定のユーザー端末及び／又はその特定のユーザーに関連する情報を含んでいる。関連する情報には、端末及びユーザーＩＤ、ログオン及びログオフの時刻、セッション継続時間、請求料率、データの消費量／アップロード／ダウンロード、データのアップロード／ダウンロード制限、セッション料金、支払い方法、アカウントステータス、アクセスしたＵＲＬ及びそれぞれのＵＲＬにアクセスしている時間やそのような他の情報が含まれる。セッション履歴に含まれる情報のタイプは、必要に応じて、ユーザー単位及び／又は端末単位を基準としてゲートウェイ６及びファイアウォール８によって決定される。この情報は、サービスプロバイダから提供される請求情報と比較される。
【００５０】
図３乃至図６に示され、ここに記載されているように、ユーザーのアクティビティは、例えば、使用中の端末と使用していない端末のテーブル表示や、端末の使用に関係がある関連データの形式で、インターフェースを監視し、制御することに基づいて管理端末２によって監視され得る。しかしながら、本発明は、アクセス可能な単一の管理端末のインターフェースを監視し制御することに限定されるわけではない。管理端末のインターフェースは、管理制御へのアクセスが与えられた、システムにおける如何なる端末においてもアクセスされ得る。図５は、現在定義された端末（装置）を表示する表を示し、それは装置の同一性、その所属するセクション、そのＩＰアドレス、メディアアクセスコントロール（ＭＡＣ）アドレスを含み、いずれにせよ端末はアクティブである。
【００５１】
もし、例えば、ゲートウェイ６に問題があるか、又は停電があり、外部ネットワークアクセスが全ての端末に対して切断されるなら、本発明によると、管理端末２の接続が切れる前に、管理端末２が、接続されていた外部ネットワークにそれぞれの端末を再接続することを可能とする（関連する外部ネットワークへの接続が可能であることを提供する）。ファイアウォール８は、管理端末２からの外部ネットワーク接続を修復するための要求を受け入れる。端末のＩＰアドレスは前もってゲートウェイ６によって確認され、ファイアウォール８によって可能とされているので、ファイアウォールは、それらの以前の状態に接続を修復する。個々のユーザーは、そのセッションのために再び外部ネットワーク１０へのアクセス要求を行う必要はない。
【００５２】
どの端末にもアクセス可能なインターフェースを監視し、制御することは、管理端末として操作することであり、一般的な設定の特徴、バックアップオプション、アカウント、アクセス設定及び表示／スタッフのアクセスコードの編集を含むが、限定されないオペレーターの他の制御の特徴を提供する。
【００５３】
一般的な設定の特徴により、ファイアウォール８及び／又はゲートウェイ６上の制御が提供され、受動的なブッキングシステムとして操作するための監視方法と制御方法とが可能となる。これは、タイムスロット（ｔｉｍｅ  ｓｌｏｔｓ）が特定のユーザー及び／又は特定の端末に割り当てられることを可能にする。それ故、もし、特定のタイムスロット又は端末が予約され、異なったユーザーがその予約されたタイムスロット中に端末を予約しようとすると、ユーザー及び／又は管理端末２に対して警告がアクティブとなる。管理端末のオペレーターには、タイムスロット及び／又は端末予約を無効にするオプションが与えられている。
【００５４】
種々のセキュリティーアクセスレベルが、異なるスタッフ及びマネージャー等によって、それらの許可／先任者／セキュリティー認可等に従って設定され得る。例えば、本発明の方法によって、スタッフは、各自の端末の使用を監視し、ある範囲において各自の端末の使用を制御することができるようにするため、画面にログを表示することができる。スタッフは、外部ネットワークアクセスを有効にしたり、無効にしたりすることを許可されているが、例えば、アカウントの詳細を見ることはできず、それは管理者のアクセスのために制限されている。
【００５５】
バックアップのオプションの特徴は、例えば、これらの通常の使用に失敗した場合には、一つ以上の代わりとなるサーバーアドレス、識別表示（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）及び／又はパスワードを提供できることである。
【００５６】
本発明は、「塀で囲まれた庭」という例えばモーテル又は教育機関に使用され得る。制御されたブラウズ環境内のアクセスサイトは無料である一方、塀で囲まれた庭の外側のアクセスサイトは料金が発生し得る。ファイアウォール８は、全てのアクセス及びログ料金を適宜監視する。
【００５７】
本発明の方法によると、上述のスタッフ／ユーザーのアクセスに関連したデータが監視可能となり、ユーザー単位、装置単位及び／又は複数の装置単位に基づいて遠隔で監視された端末の一つ以上の外部ネットワークへのアクセスが可能となる。それぞれのＩＰアドレスのトラフィック、すなわち端末がファイアウォール８によってログされ、ゲートウェイ６で監視されるため、時間を監視することだけではなく、データ量の使用を監視することも含まれる。
【００５８】
本発明の方法は、ゲートウェイ６及びファイアウォール８を通過するすべてのトラフィックを監視するため、本発明の方法を用いるシステムは、システムのセキュリティー侵害にも耐性を示す。外部の端末１１からの許可されないアクセスの試みには、特定された外部の端末１１に関連したＩＰアドレスが要求される。ファイアウォール８は、その端末のＩＰアドレスに基づいたそれぞれの端末のためのログ、及びその端末のユーザーによって入力されたユーザーＩＤのためのログを生成する。ファイアウォールのルールは、ファイアウォール８及びゲートウェイ６を介して外部の端末１１と内部のネットワーク７との間のアクセス／トラフィックフローを許可するために変化したり、追加されたりしない。従って、外部の端末は、内部のネットワーク７へのアクセスを得るはずはない。さらに、本発明の方法においては、短時間後に、例えば２秒経過したら、定期的にファイアウォールが再起動する。従って、認証されていない外部の端末１１がどういうわけかファイアウォール８を無効にした場合であっても、ファイアウォール８は短時間で再起動され、認証されていない外部の端末１１へのアクセスは再度自動的に拒否される。再起動されたファイアウォール８は、外部の端末１１の認証されたＩＰアドレスを含まない。従って、認証されていない外部の端末１１のアクティビティはログされ、認証されてない外部の端末１１が管理端末の警戒によって特定されるため、認証されてない外部の端末の如何なるアクティビティも特定され得る。同様に、如何なる認証されていない端末も、認証されてないＩＰアドレスを有するが故にネットワークに接続されることはない。従って、例えば企業のスタッフ、又はインターネットカフェを使用する会員であっても、彼ら自身の装置をこのネットワークに接続することはできない。
【００５９】
本発明の方法、システム及び装置は、図１に示されている内部ネットワーク７の一部ではない一つ以上の認証された遠隔の端末１２による内部ネットワーク７へのアクセスを許可する。認証は、例えば、電子メール及び／又は使用しているセキュリティーキーを介して実行される。例えば、ゲートウェイ６は、遠隔の端末１２のユーザーによって供給された公開暗号キーを有するようにしてもよい。遠隔の端末１２のユーザーは、個人暗号／復号キーを有している。遠隔の端末が内部ネットワーク７へのアクセスを要求したとき、ゲートウェイ６は、遠隔の端末へ公開キーで暗号化されたメッセージを送る。遠隔の端末１２は、暗号化されたメッセージを復号化し、復号化されたメッセージをゲートウェイ６に返信する。ゲートウェイは、受信した復号化されたメッセージと元の暗号化されていないメッセージとを比較する。もしそれらが同一なら、遠隔の端末の身元は首尾よく認証され、ゲートウェイ６は、遠隔の端末１２から内部ネットワーク７へのアクセスを許可する。その後、ゲートウェイは、アクセスデータパケットから遠隔の端末１２のＩＰアドレスを取得し、ゲートウェイは、ここでは端末４として記載された遠隔の端末１２のアクティビティを監視できる。もし、元のメッセージと復号化されたメッセージとが異なる場合は、遠隔の端末の身元が確認されないとしてアクセスが拒否される。ユーザーＩＤ及びパスワードは、セキュリティーキーと併せて使用され得る。遠隔の端末へアクセスを許可するこの方法は、常設の外部のＩＰアドレスと一時的な外部のＩＰアドレスの両方に適用される。遠隔の端末のアクティビティは、また、管理端末に表示される。
【００６０】
本発明の方法は、Ｕｎｉｘ（登録商標）／Ｌｉｎｕｘオペレーティングシステムが好ましいが、スタッフ／ユーザーの端末でＨＴＭＬ動作可能な如何なる公知のオペレーティングシステムによっても動作する。サーバー側は、ＨＴＭＬ動作可能である以上の性能を要求されるが、それは、適切な動作システムのゲートウェイ／ファイアウォールの構成が設定されなければならないからである。
【００６１】
本発明は、無線ネットワーク、ネットワークプリンタ及び／又は如何なるプログラム、又はＴＣＰ／ＩＰプロトコル上で動作する装置上で動作する。本発明の方法は、また、ダイナミック・ホスト・コントロール・プロトコル（ＤＨＣＰ）を完全にサポートし、サブネット及び複数のゲートウェイを要求するより大きなネットワークに使用され得る。本発明の方法及びゲートウェイは、当業者によく知られている従来のブータブル・フラッシュメモリを介してインストールされる。本発明は、監視されるそれぞれの端末にインストールされる特別なソフトウェアを要求せず、またネットワークの再構成を要求しない。ソフトウェアは、ゲートウェイ装置にインストールされればよく、ゲートウェイは、ネットワークに接続される装置を探すことになる。
【００６２】
本発明もう一つの有利な点は、如何なるデータ、例えばウェブのページに関連するデータもキャッシュに格納せず、それは従来のシステムによって実行される。従って、本発明によると、ユーザーは、例えば、現在のウェブページを見ることはできるが、潜在的にキャッシュに格納された有効期限切れのウェブページのデータを見ることはできない。
【００６３】
明細書を通して、本発明の目的が記載され、本発明がどの実施例又は特定の特徴の選択に限定されるものではなく、発明を記載するものである。当業者は、発明の範囲内において特定の実施例からの変形例を理解するであろう。
【図面の簡単な説明】
【００６４】
【図１】本発明が実施される方法及び装置における本発明に従ったコンピューターシステムの代表例を示す。
【図２】インターネットのような外部の通信ネットワークへユーザー端末を接続したり、切断したりするための本発明の方法のステップを表現するフローチャートである。
【図３】端末アクティビティを監視するための監視及び制御インターフェースの一部の画面例である。
【図４】監視及び料金構成を設定するための制御インターフェースの一部の画面例である。
【図５】ネットワーク内に定義された端末を示す監視及び制御インターフェースの一部の画面例である。
【図６】監視及び特定のユーザー端末又はユーザーアカウントのための設定を編集する制御インターフェースの一部の画面例である。
【国際調査報告】
2005537699.tif 000009
2005537699.tif 000010