(57)【要約】  本発明は、企業ネットワーク（２０）へのセキュアトンネル接続上の無線アクセス用ルールを提供する方法及びバーチャルプライベートネットワーク（ＶＰＮ）ゲートウェイサーバ（１０）に関する。企業ネットワーク（２０）は、異なる遠隔ユーザのための異なるアクセス設定を有するファイヤウォール機能により保護される。ＶＰＮゲートウェイサーバ（１０）は、セキュアトンネルを用いて企業ネットワーク（２０）へのアクセス用の各ユーザに特定ルールを提供するユーザデータベース（１５）を含む。そのルールは、それぞれの特定ユーザに関係するＴＣＰポートの特定セットを含む。ゲートウェイサーバ（１０）は、企業ネットワーク（２０）への認証ユーザのアクセスを、関係する許可ＴＣＰサーバポートに対して、制限し、そのアクセスは、ゲートウェイサーバ（１０）により提供されるトンネル接続手段で実行される。
2007516625.tif 000002
【特許請求の範囲】
【請求項１】
企業ネットワーク（２０）へのセキュアトンネル接続上の無線アクセス用ルールを提供するバーチャル・プライベート・ネットワーク（ＶＰＮ）ゲートウェイサーバ（１０）の方法において、
前記セキュアトンネル接続上の前記アクセス用ユーザ特定ルールを提供するために、前記サーバのユーザデータベース（１５、２５）を設定するステップであって、この設定ステップは、許可ＴＣＰサーバポートの各セットに、異なる特定ユーザを関係付けるステップを有する設定ステップと、
前記セキュアトンネル接続に接続するユーザを認証するステップと、
前記ユーザデータベース（１５、２５）における前記ユーザに関係する許可ＴＣＰサーバポートの前記セットに含まれるポートを宛先として有する前記セキュアトンネルで受信したユーザデータのみを転送することで、前記企業ネットワーク（２０）への前記認証ユーザのアクセスを制限するステップと、を含む方法。
【請求項２】
前記セキュアトンネルを、前記ゲートウェイサーバ（１０）の特定ＴＣＰサーバポートに結び付けるように設定するステップを含む請求項１に記載の方法。
【請求項３】
前記設定ステップは、特定ユーザの許可ＴＣＰサーバポート番号を、前記企業ネットワーク内の特定ＩＰアドレスに関係付けるように前記ユーザデータベース（１５、２５）を設定するステップであって、前記方法は、許可ＴＣＰサーバポートに関係する前記ＩＰアドレスに前記セキュアトンネルで受信したユーザデータを転送するステップを含む請求項１又は２に記載の方法。
【請求項４】
前記セキュアトンネルにおいて受信したユーザデータを、前記ゲートウェイサーバがクライアントとして作動する別のＴＣＰ接続上の許可ＴＣＰサーバポートに転送するステップを含む請求項１〜３のいずれか一項に記載の方法。
【請求項５】
前記設定ステップは、前記企業ネットワーク内の異なるＩＰアドレスに異なるユーザの前記同じ許可ＴＣＰサーバポート番号を関係付けるように前記ユーザデータベースを設定するステップを含む請求項４に記載の方法。
【請求項６】
特定ユーザに関係する前記許可ＴＣＰサーバポートは、許可クライアント側ＴＣＰサーバポートであり、前記設定ステップは、許可クライアント側ＴＣＰサーバポートを、サーバ側ＴＣＰサーバポートに関係付けるために前記ユーザデータベース（２５）を設定するステップを含み、前記方法は、前記セキュアトンネルにおいて受信したユーザデータを、前記ゲートウェイサーバ（１０）がクライアントとして作動する別のＴＣＰ接続上の許可クライアント側ＴＣＰサーバポートに関係するサーバ側ＴＣＰサーバポートに転送するステップを含む請求項１〜３のいずれか一項に記載の方法。
【請求項７】
前記設定ステップは、特定ユーザに関係する異なる許可クライアント側ＴＣＰサーバポートを、前記同じサーバ側ＴＣＰポートに、しかし、異なる各ＩＰアドレスに関係付けるように前記ユーザデータベース（２５）を設定するステップを含み、前記方法は、前記セキュアトンネルにおいて受信したユーザデータを、許可クライアント側ＴＣＰサーバポートに関係する前記ＩＰアドレスに転送するステップを含む請求項６に記載の方法。
【請求項８】
前記設定ステップは、異なる許可クライアント側ＴＣＰサーバポートを、それぞれのＩＰアドレスを有する異なる電子メールサーバのサーバ側ＴＣＰサーバポートに関係付けるように、前記データベース（２５）を設定するステップを含む請求項７に記載の方法。
【請求項９】
前記設定ステップは、許可クライアント側ＴＣＰサーバポートを、前記企業ネットワーク内のサーバ側ＴＣＰサーバポートと企業ＤＮＳサーバのＩＰアドレスに関係付けるように前記データベース（２５）を設定するステップを含む請求項６〜８のいずれか一項に記載の方法。
【請求項１０】
前記ユーザデータベース（１５、２５）において前記認証ユーザに関係する許可ＴＣＰサーバポートの前記セットを、前記認証ユーザに、前記セキュアトンネル上を送信するステップを含む請求項１〜９のいずれか一項に記載の方法。
【請求項１１】
前記設定ステップは、許可ＴＣＰサーバポートと共に前記認証ユーザに送信されるポート特定プロトコルを該許可ＴＣＰサーバポートに関係付けるように前記ユーザデータベース（１５、２５）を設定するステップを含む請求項１０に記載の方法。
【請求項１２】
企業ネットワーク（２０）へセキュアトンネル接続上の無線アクセス用ルールを提供するバーチャル・プライベート・ネットワーク（ＶＰＮ）ゲートウェイサーバ（１０）において、
異なる特定ユーザと許可ＴＣＰサーバポートのそれぞれのセットとの間の関係を保存することにより、前記セキュアトンネル接続上の前記アクセス用ユーザ特定ルールを提供するユーザデータベース（１５、２５）と、
前記セキュアトンネル接続に接続するユーザを認証する認証手段と、
前記ユーザデータベース（１５、２５）における前記ユーザに関係する許可ＴＣＰサーバポートの前記セットに含まれるポートを宛先として有する前記セキュアトンネルで受信したユーザデータのみを転送することで、前記企業ネットワーク（２０）に前記認証ユーザのアクセスを制限するポートフィルタリング手段（１１）と、を含むサーバ。
【請求項１３】
前記セキュアトンネルは、前記ゲートウェイサーバ（１０）の特定ＴＣＰサーバポートに結び付けられる請求項１２に記載のゲートウェイサーバ。
【請求項１４】
前記ユーザデータベース（１５、２５）は、特定ユーザの許可ＴＣＰサーバポート番号を、前記企業ネットワーク内の特定ＩＰアドレスと関係付け、前記ポートフィルタリング手段は、前記セキュアトンネル内に受信したユーザデータを、許可ＴＣＰサーバポートに関係する前記ＩＰアドレスに転送するように配置される請求項１２又は１３に記載のゲートウェイサーバ。
【請求項１５】
前記ポートフィルタリング手段は、前記セキュアトンネルに受信したユーザデータを、前記ゲートウェイサーバがクライアントとして作動する別のＴＣＰ接続上の許可ＴＣＰサーバポートに転送するように配置される請求項１２〜１４のいずれか一項に記載のゲートウェイサーバ。
【請求項１６】
前記ユーザデータベースは、前記企業ネットワーク内の異なるＩＰアドレスに異なるユーザの前記同じ許可ＴＣＰサーバポート番号を関係付ける請求項１５に記載のゲートウェイサーバ。
【請求項１７】
特定ユーザに関係する前記許可ＴＣＰサーバポートは、許可クライアント側ＴＣＰサーバポートであり、前記ユーザデータベース（２５）は、許可クライアント側ＴＣＰサーバポートを、サーバ側ＴＣＰサーバポートに関係付け、前記ポートフィルタリング手段は、さらに、前記セキュアトンネルの中で受信したユーザデータを、前記ゲートウェイサーバ（１０）がクライアントとして作動する別のＴＣＰ接続の上の許可クライアント側ＴＣＰサーバポートに関係するサーバ側ＴＣＰサーバポートに転送するように配置される請求項１２〜１４のいずれか一項に記載のゲートウェイサーバ。
【請求項１８】
前記ユーザデータベース（２５）は、特定ユーザに関係する異なる許可クライアント側ＴＣＰサーバポートを、前記同じサーバ側ＴＣＰポートに、しかし、異なるそれぞれのＩＰアドレスに関係付け、前記ポートフィルタリング手段は、前記セキュアトンネルにおいて受信したユーザデータを、許可クライアント側ＴＣＰサーバポートに関係する前記ＩＰアドレスへ転送するように配置される請求項１７に記載のゲートウェイサーバ。
【請求項１９】
前記ユーザデータベース（２５）は、異なる許可クライアント側ＴＣＰサーバポートを、それぞれのＩＰアドレスを有する異なる電子メールサーバのサーバ側ＴＣＰサーバポートに関係付ける請求項１８に記載のゲートウェイサーバ。
【請求項２０】
前記ユーザデータベース（２５）は、許可クライアント側ＴＣＰサーバポートを、前記企業ネットワーク内のサーバ側ＴＣＰサーバポートと企業ＤＮＳサーバのＩＰアドレスに関係付ける請求項１７〜１９のいずれか一項に記載のゲートウェイサーバ。
【請求項２１】
前記セキュアトンネル上を、前記ユーザデータベース（１５、２５）において前記認証ユーザに関係する許可ＴＣＰサーバポートの前記セットを送信する送信手段を含む請求項１２〜２０のいずれか一項に記載のゲートウェイサーバ。
【請求項２２】
前記ユーザデータベース（１２、２５）は、ポート特定プロトコルを許可ＴＣＰサーバポートに関係付け、前記送信手段は、前記認証ユーザへの前記許可ＴＣＰサーバポートと共に前記ポート特定プロトコルを送信するように配置される請求項２１に記載のゲートウェイサーバ。
【請求項２３】
企業ネットワーク（２０）、
前記企業ネットワーク（２０）へセキュアトンネル接続上の無線アクセスを提供する請求項１２〜２２のいずれか一項によるバーチャル・プライベート・ネットワーク（ＶＰＮ）ゲートウェイサーバ（１０）、及び、
少なくとも１つの無線クライアントターミナル（４０）を含み、
前記クライアントターミナルは、前記トンネル接続上の前記ＶＰＮゲートウェイサーバ（１０）に接続するとき、特定ＴＣＰサーバとＩＰアドレスを使用するように、かつ、前記企業ネットワーク（２０）にアクセスするとき前記トンネル接続内にＴＣＰサーバポートの特定セットを使用するように設定されるバーチャル・プライベート・ネットワーク（ＶＰＮ）システム。
【請求項２４】
前記無線クライアントターミナル（４０）は、前記ゲートウェイサーバ（１０）に送信される認証メッセージに応答して前記ゲートウェイサーバ（１０）から、前記トンネル接続内で使用されるように前記ＴＣＰサーバポートを受信するように設定される請求項２３に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業ネットワークへのセキュアトンネル接続上の無線接続用ルールを提供する方法及びバーチャルプライベートネットワーク（ＶＰＮ）に関する。
【背景技術】
【０００２】
インターネットにアクセスするために無線ターミナルを使うという要望と実現性は、ここ数年急激に増加している。そのようなアクセスは、第３世代（３Ｇ）移動体ネットワークにより改良され、その第３世代（３Ｇ）移動体ネットワークは、世界中に導入され、又は、導入されようとしている。また、既存の移動体ネットワークも、例えば、ＧＰＲＳ（汎用パケット無線サービス）で更新されたＧＳＭ（移動体通信グローバルシステム）のように、そのようなアクセスを促進する付加的な機能で更新されている。
【０００３】
同時に、これらの無線ターミナルの使用を望む従業員の数は、その従業員が社外にいる場合に社内リソースにアクセスするために、連続的に増加しており、特に、遠隔作動ツール（remote working tool）として適当な機能を提供するますます力強い無線デバイスの紹介に伴い増加している。
【０００４】
企業ネットワークリソースへの無線アクセスの要望は、インターネットへの無線アクセスの実現性の増加と共に、社内リソースへの無線アクセス付きクライアントを提供するために設計されるバーチャルプライベートネットワーク（ＶＰＮ）の企業導入を増加させるだろう。
【０００５】
一般に、バーチャルプライベートネットワーク（ＶＰＮ）は、パブリックネットワーク上にセキュアで、プライベートな通信を構築するという考えである。その論理的概念のＶＰＮトンネルをプライベートネットワークに配置し、そして、そのトンネルは、２つの企業ネットワーク側を内部接続する、いわゆるサイト間ＶＰＮと、遠隔ユーザを企業ネットワークに内部接続する、いわゆるリモートアクセスＶＰＮとがある。
【０００６】
リモートアクセスＶＰＮにおいては、ＶＰＮゲートウェイサーバが典型的に、インターネットで企業ネットワークを内部接続する。従って、ユーザはＶＰＮゲートウェイサーバを通して企業ネットワークに接続するために、インターネットサービスプロバイダによって提供されるダイヤルアップインターネット接続を使用しても良い。ユーザは、公共ネットワーク上を接続するので、あるセキュア手段が必要とされ、典型的には、その接続の暗号化及びユーザの認証がある。ＶＰＮゲートウェイサーバがうまくクライアントと企業ＶＰＮゲートウェイ間の暗号化接続を超え、ユーザを承認した後で、そのユーザには、いわゆるセキュアＶＰＮトンネル上の企業ネットワークへのアクセスが提供される。そのトンネルを用いて、ユーザは、社内ネットワークの異なるリソースにアクセスできる。同様に、無線ネットワークを介して、インターネットアクセスを有する無線クライアントターミナルを使う場合、セキュアＶＰＮトンネルが、無線ネットワークとインターネットを通して、無線クライアントとＶＰＮゲートウェイ間に確立し、それにより、企業ネットワークリソースに無線リモートアクセスを可能にする。
【０００７】
述べたように、セキュアＶＰＮトンネル接続上の企業ネットワークへのアクセスは、接続の暗号化とアクセスユーザの認証を意味する。しかし、一旦セキュアトンネル接続が確立すると、そのトンネル内に、ユーザ特定アクセスルールは存在しない。代わりに、そのトンネルは、無線クライアントに、全ての認証されたアクセスユーザのために絶えず開かれた全てのＴＣＰポートを使用することを可能にする。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
全ての認証ユーザのために、セキュアトンネル接続内に、絶えず開かれたＴＣＰポートを有することは、多くの従業員が無線クライアントターミナルを用いて、企業ネットワーク内のあるアプリケーションにのみアクセスを必要とするという事実に則していない。さらに、幾人かの従業員は、ある企業アプリケーションにアクセスするために認証すらされないかもしれない。それゆえ、セキュアＶＰＮトンネル内の企業ネットワークにアクセス可能などの範囲の無線クライアントを、企業に制御可能にする単純な方法による設計を提供することが望まれる。
【課題を解決するための手段】
【０００９】
本発明は、企業ネットワークへの異なるユーザによって許可されるアクセスタイプを区別できるファイヤウォール機能でＶＰＮゲートウェイを提供する。
【００１０】
本発明によれば、この機能は、独立請求項１による方法と、独立請求項１２によるバーチャルプライベートネットワーク・ゲートウェイサーバによって達成される。好適な実施例は、その従属請求項によって規定される。
【００１１】
本発明に基づくアイデアは、企業ネットワークに無線リモートアクセスを提供することであり、その企業ネットワークは、異なる遠隔ユーザのための異なるアクセス設定を有するファイヤウォール機能によって保護される。
【００１２】
本発明によれば、ＶＰＮゲートウェイサーバは、セキュアトンネルを用いて、企業ネットワークへアクセスする各ユーザ用の特定ルールを提供するユーザデータベースを含んでいる。そのルールは、それぞれの特定ユーザに関係するＴＣＰポートの特定セットを含んでいる。ゲートウェイサーバは、企業ネットワークに対し認証されたユーザを、関係する許可ＴＣＰサーバポートに対し、ゲートウェイサーバによって提供されるトンネル接続の手段で実行されるアクセスを制限する。
【００１３】
従って、認証ユーザに、セキュアトンネル内に利用可能なＴＣＰサーバポートを使用することを許可することよりむしろ、本発明によるＶＰＮゲートウェイのファイヤウォール機能は、ユーザデータベース内のユーザに関係するＴＣＰサーバポートを用いてセキュアトンネル手段により、ユーザに企業ネットワークにアクセスすることを許可する。これは、異なるユーザによって許可される企業ネットワークへのアクセス種類を区別することが出来ることを意味する。例えば、あるユーザは、セキュアトンネル内で、全ての利用可能なＴＣＰポート又はソケットを使用することを許され、従って、企業ネットワークにおける様々な種類のアプリケーションと遠隔でインタラクションするオプションが与えられる。同時に、別のユーザは、企業ネットワーク内の電子メールサーバに遠隔でインタラクションするためのＴＣＰサーバポートを使用することのみ許されるかもしれない。
【００１４】
セキュアトンネルは、ゲートウェイサーバの特定ＴＣＰサーバポートに好ましくは結び付けられ、一方で、セキュアトンネル内の実際のユーザトラフィック用の許可ＴＣＰサーバポートは、ユーザデータベース内で事前設定される。トンネルそれ自身のためのＴＣＰサーバポートは、ユーザのアプリケーションで事前設定される。
【００１５】
好ましくは、企業ネットワークへのユーザのアクセスは、２つの分かれたＴＣＰセッションを含む。１つは、ユーザの無線クライアントターミナルとゲートウェイサーバとの間の暗号化接続の形式におけるＶＰＮトンネルで、１つは、ゲートウェイサーバと企業ネットワークのバックエンドサーバとの間のセッションである。後者のＴＣＰセッションにおいては、ゲートウェイサーバは、許可ＴＣＰサーバポートにより定義されるサーバソケットに対するクライアントとして作動する。
【００１６】
ユーザデータベースは、トンネル接続上の企業ネットワークへのユーザアクセスを制御及び改良する様々な有利な方法で設定される。これらの可能性のある設定の幾つかは、後述する。
【００１７】
好ましくは、ユーザデータベースは、特定ユーザの許可ＴＣＰサーバポート番号を、企業ネットワーク内に関係付ける。このように、同じ良く知られたソケットを用いて、又は、同じポートプロトコルに関係する異なるクライアントのユーザデータを用いてのどちらかである、同じポートプロトコルを用いて、異なるクライアントのユーザデータは、企業ネットワーク内の異なる宛先ＩＰアドレスに転送される。それから、これらの宛先は、同じアクセスプロトコルを用いて、異なるユーザ用のアクセス可能なサービスとアプリケーションを区別するように使用される。
【００１８】
ユーザデータベースは、クライアント側ＴＣＰサーバポートを、企業ネットワーク内のサーバ側ＴＣＰサーバポートと企業ＤＮＳサーバのＩＰアドレスに関係付けるように有利に設定される。これは、問題となるクライアントに、トンネル接続内の企業ＤＮＳサービスを使用することを可能にする。
【００１９】
特定ユーザに関係するトンネル内の許可ＴＣＰサーバポートのセットは、ユーザが認証された後で、ユーザに送信されるのが好ましい。このように、クライアントがこれらの許可ＴＣＰサーバポートの情報を事前設定していない場合、ユーザは、トンネル内で使用が許されるＴＣＰサーバポートが何であるか通知される。また、それは、トンネル接続を用いる前に、クライアントを事前設定せずに、ユーザデータベース内のＴＣＰポートを変更することを可能にする。
【００２０】
クライアントにより使用が許されるＴＣＰサーバポートは、良く知られたソケットのポートか、任意のポートかのどちらかである。任意のＴＣＰサーバポートが使用される場合では、本発明の実施例は、認証後にＴＣＰサーバポートと共にクライアントに送信されるポート特定プロトコルを、許可ＴＣＰサーバポートに関係付けるデータベースを提供する。
【００２１】
上述した本発明、本発明の更なる特徴、利点は、本発明の多くの実施例を示す以下の記述によりさらに十分に理解されるだろう。理解されるように、発明の精神及び範囲内から生じる様々な改良、変形及び異なる組合せは、ここで説明される一般的な調査及び次の詳細な説明を調査するとき、当業者には明確となるであろう。
【発明を実施するための最良の形態】
【００２２】
本発明の実施例は、関連する図を参照して述べられる。
【実施例】
【００２３】
図１を参照して、本発明は、より詳細に述べられる。図１は、典型的にはイントラネットである企業ネットワーク２０と、インターネットと内部接続するバーチャルプライベートネットワーク（ＶＰＮ）ゲートウェイサーバ１０を表す。ユーザの無線クライアントターミナル４０は、無線ネットワーク５０を介してインターネットにアクセスするように表される。
【００２４】
ＶＰＮゲートウェイサーバは、企業ネットワーク２０にアクセスする異なるユーザ特定ルールで異なるユーザを関係付けるように設定されるユーザデータベース１５を含む。そのユーザデータベースは、ＶＰＮトンネル接続手段で、企業ネットワークアクセスするとき使用することが許されるＴＣＰサーバポートの異なるセットで、異なるユーザを関係付けることによるユーザ特定ルールを提供する。
【００２５】
ＶＰＮゲートウェイサーバ１０は、無線クライアントターミナル４０を用いて、セキュアＶＰＮトンネルを提供する１つの特定ＴＣＰサーバポートを使うように設定されている。そしてそのセキュアＶＰＮトンネルと共に、ユーザは、企業ネットワーク２０にアクセスする。無線クライアント４０とゲートウェイサーバ１０の間のＳＳＬ（セキュアソケットレイヤ）暗号化接続を、無線クライアント４０が、自分のセッション（own session）として開始するために、この特定ポートを使うとき、トンネルが生成される。このセッションは、ゲートウェイサーバで終わりにする。ゲートウェイサーバ１０と企業ネットワーク２０のバックエンドサーバ間のさらなる接続は、新しく、暗号化されてない別のＴＣＰセッションによって提供される。
【００２６】
従って、企業ネットワーク２０のバックエンドサーバへのユーザのアクセスは、クライアント４０とゲートウェイサーバ１０の間の特定ＴＣＰセッション、及び、ゲートウェイサーバ１０とクライアントとして行動するゲートウェイサーバと共にバックエンドサーバ間の付加的なＴＣＰセッションによって提供される。
【００２７】
ＶＰＮゲートウェイサーバ１０は、さらに、ＶＰＮトンネルに接続するユーザを認証する認証手段１１、トンネルの中に認証されたユーザのアクセスを制限するポートフィルタリング手段１２、及び、認証ユーザに許容されたＴＣＰサーバポートのセットを送信する送信手段１３を含める。
【００２８】
当業者は、ユーザデータベース１５、認証手段１１、ポートフィルタリング手段１２、及び、送信手段１３は、全て、よく知られた、メモリ、インタフェース回路、マイクロプロセッサ、を含む最先端のハードウェア回路によって実装され、それらは、本発明に従って作動するように設定され、制御されることを十分理解するだろう。マイクロプロセッサは、メモリにロードされるプログラム命令を実行し、そしてそれは、本発明の様々な実施例に従って構成され作動するハードウエア回路をもたらす。これらのプログラム命令の設計は、現在の応用の内容を習得した後、プログラミングの当業者により十分に理解されるだろう。
【００２９】
図１を再び参照し、実施例を記載する。図１では、ユーザデータベース１５における例証する設定が示され、それは、ポート８０、１１０、及び、２５からなる許可されるＴＣＰポートセットを、ユーザＸに関係付ける設定である。これらのポートは、それぞれ、ＨＴＴＰ（ハイパーテキスト・トランスポート・プロトコル）、ＰＯＰ３（ポストオフィスプロトコル−バージョン３）及びＳＭＴＰ（シンプル・メール・トランスファー・プロトコル）用のソケットとして、当業者には知られている。同様に、ユーザＹは、許可されたＴＣＰポート１１０と２５のみに関係付けられ、一方、ユーザＸは、メールサーバアクセスに加えて、企業ネットワーク内のウェブアプリケーションにアクセスすることが許可される。
【００３０】
無線クライアント４０は、ゲートウェイサーバにより提供されるＶＰＮトンネルにアクセスするように設定されるクライアントアプリケーションを含む。トンネルにアクセスするために、クライアントは、ＶＰＮゲートウェイサーバのＩＰアドレス、及び、トンネルの特定ＴＣＰサーバポートに接続する。トンネル用ＴＣＰサーバポートは、例えば、ポート８３であるなら、クライアントアプリケーションは、ＶＰＮトンネルにアクセスするとき、ＴＣＰサーバポート８３に接続するように事前設定される。
【００３１】
図１に示される実施例の動作を述べる。本発明によれば、ユーザデータベース１５は、第１に、ＶＰＮトンネルを用いたＴＣＰサーバポートアクセスのためのユーザ特定ルールに設定される。上述のように、この設定は、異なるユーザに異なる許可ＴＣＰサーバポートセットを関係付けることを含む。この実施例において、ユーザデータベースの結果として生じる設定は、上述され、かつ、図１にも示される。
【００３２】
ユーザが企業ネットワークにアクセスするとき、ユーザは、ＶＰＮトンネルのＴＣＰサーバポート、即ち、この例ではポート８３、無線クライアント４０とＶＰＮゲートサーバ１０を使用する。クライアント４０とＶＰＮゲートウェイサーバ１０間のＳＳＬ暗号化された接続を開始するこのポートを用いることで、セキュアＶＰＮトンネルが生成される。それから、ＶＰＮゲートウェイサーバ１０は、トンネルのＴＣＰサーバポート８３へのＴＣＰ／ＩＰ接続上の無線クライアント４０から、ユーザにより送信されるユーザ認証とパスワード情報に基づいて、ユーザを認証する。それから、ユーザが認証されたとき、ＶＰＮゲートウェイサーバは、ユーザデータベース１５から特定ユーザに関係する許可ＴＣＰサーバポートを取り出す。それから、ＶＰＮサーバ１０は、クライアントセッション番号と特定許可ＴＣＰサーバポート、例えば接続ユーザが上記ユーザＸならポート８０、１１０及び２５を、無線クライアントアプリケーションに戻す。これらのＴＣＰサーバポートは、トンネルで許可されるポートのみである。
【００３３】
ＶＰＮゲートウェイサーバ１０から、許可ＴＣＰサーバポートを取り戻した後、無線クライアント４０は、開いたセキュアトンネルで使用するプロトコルが何であるか認識する（もし、許可ＴＣＰポートが良く知られたソケットでないなら、サーバ１０は、許可されたＴＣＰポートと共に使用するプロトコルを、クライアントに送信もするだろう）。ユーザは、許可ＴＣＰポートに関連して、使用可能なプロトコルに対応するプロトコルを要求するアプリケーションを用いることをすぐに開始する。典型的には、クライアントアプリケーションは、クライアント側のＴＣＰポートを開け、そして、許可されたサーバ側ＴＣＰポートに接続されるトンネルの中に、要求（request）を送信する。例えば、ユーザＸは、クライアント側ポート１０７７を開け、許可されたサーバ側ＴＣＰポート８０に接続されることを要求するウェブブラウザアプリケーションを使用する。クライアントは、この接続要求を、トンネル内のソケットに、即ち、サーバサイドポート８３への確立した接続を介してルート付けする。全てのクライアントは、異なるソケットへの接続のためのクライアント要求は、同じ方法で、同じ開いたサーバソケット接続、即ち、ＳＳＬ暗号化セキュアトンネルのＴＣＰサーバ側ポート８３を介して、ルート付けされる。
【００３４】
セキュアトンネル内で、無線クライアントからデータを受信するとすぐ、ゲートウェイサーバ１０は、そのデータを解読し、ユーザＸがトンネル内でＴＣＰサーバポート８０を許可されるかどうか、データベースでチェックする。ユーザが許可されると、ゲートウェイサーバ１０は、クライアントとして行動し、企業ネットワークの中でウェブアプリケーション・サーバ処理をホストするバックエンドサーバのＴＣＰポート８０への接続によって、新しく分割したＴＣＰセッションを確立する。ゲートウェイサーバ１０は、それから、解読したユーザデータをこの分割ＴＣＰセッション上に転送する。
【００３５】
ユーザＹが企業ウェブブラウザアプリケーションを起動したい場合を考える。この設定によれば、ゲートウェイサーバ１０は、企業ネットワークへのこの種のアクセスからユーザＹを防止する。ユーザＹがトンネル内のポート８０への接続要求をルート付けする場合、受信データの解読後、ゲートウェイサーバは、ユーザＹが要求ＴＣＰサーバポートを使うことを許可されないことを発見する。それゆえ、ゲートウェイサーバ１０は、バックエンドサーバのポート８０へのいかなるＴＣＰセッションを確立せず、そして、企業ネットワークへ転送されるデータは無い。しかし、ユーザＹが企業ネットワーク内のメールサーバにアクセスしようとする場合、そのようなアクセスは、トンネル（ポート２５及び１１０）内のユーザＹによる使用を許可されるＴＣＰサーバポートを含めたので、そのようなアクセスは、ゲートウェイサーバ１０によって提供されただろう。従って、ゲートウェイサーバ１０は、ユーザＹのアクセスを企業ネットワークに制限する。
【００３６】
図２を参照して、本発明の別の実施例を説明する。この実施例では、ユーザデータベースは、企業ネットワークへのアクセス用付加的ユーザ特定ルールを提供する。ＶＰＮトンネルへのアクセスの設定は、図１を参照して既に説明したものに対応する。さらに、図１の構成要素の設計と動作に対応する図２の設計と動作を有する全ての構成要素は、図１で使用された同じ参照符号で示される。
【００３７】
ユーザに関係付けられる許可ＴＣＰサーバポートは、この実施例では、許可クライアント側ＴＣＰサーバポートであり、ユーザデータベース２５におけるそのサーバポートは、各サーバ側サーバポートに関係付けられる。許可されたクライアント側ＴＣＰサーバポートへの接続用ＶＰＮトンネルを越えて要求を受信する場合、ゲートウェイサーバ１０は、関係付けられるサーバサイド側ＴＣＰサーバポートへの接続により新しいＴＣＰセッションを確立する。セキュアトンネルで受信され、行き先として許可されたクライアント側ＴＣＰサーバポートを有するユーザデータは、それから、関係付けられるサーバ側ＴＣＰサーバポートへ転送される。
【００３８】
加えて、各ユーザのクライアント側ＴＣＰサーバポートは、ＩＰアドレスと関係付けられ、異なるユーザの同じクライアント側ＴＣＰサーバポート番号に、異なるＩＰアドレスを関係付けることを可能にする。
【００３９】
図２は、ユーザＸとＹを含む実証する構成を表す。再び、企業ネットワーク上のアプリケーションは、これらの番号、即ち、ＳＭＴＰプロトコル用のポート２５、ＰＯＰ３プロトコル用のポート１１０、ＨＴＴＰプロトコル用ポート８０、ドメイン名称サーバアプリケーション用ポート５３を使用する。図２における構成と共に、ユーザＸは、異なるＩＰアドレスを有する異なるメールサーバアプリケーションを使うために、クライアント側ＴＣＰサーバポート２５、２６、１１０、及び、１１２を使用することが許可される。
【００４０】
ユーザＸを認証するとすぐに、ＶＰＮゲートウェイサーバは、許可されたクライアント側ＴＣＰサーバポートを、セキュアトンネル上をユーザＸに動かされる無線ターミナル４０へ送信する。それから、ユーザＸは、何のプロトコルが使用されるべきかを認識する。ポート番号が良く知られた（well known）ソケットで無い場合、ゲートウェイサーバも、ユーザに、特定ポートに使用されるポート特定プロトコルを送信する。代わりに、無線クライアントは、様々なポート番号と一緒に使用される何かのプロトコルと共に事前設定される。
【００４１】
図２における、ユーザデータベース２５の設定から、トンネル内のＰＯＰ３プロトコルと一緒に異なるクライアント側ＴＣＰサーバポート１１０及び１１２を使用することで、ユーザＸは、企業ネットワーク上の２つの異なるＩＰアドレス１０．１１４．２．１及び１０．１１４．２．２に属する、２つの異なるＰＯＰ３サーバ処理にアクセスが許されることがわかる。図２に示されるように、クライアント側ＴＣＰサーバポート１１０を用いて、ユーザＸからのセキュアトンネル内のトラフィックは、企業ネットワーク内のＩＰアドレス１０．１１４．２．１及びサーバサイドＴＣＰポート１１０へのＴＣＰ接続上を転送される一方で、クライアント側ＴＣＰサーバポート１１２を用いたトラフィックは、ＩＰ１０．１１４．２．２及びサーバサイドＴＣＰポート１１０上のＴＣＰコネクションに転送される。
【００４２】
他方では、ユーザＹは、クライアント側ＴＣＰサーバポート２５及び１１０を使用することが許可される。従って、企業ネットワークへのユーザＹのメールサーバは、ＩＰアドレス１０．１１４．２．２を有するメールサーバによってＰＯＰ３及びＳＭＴＰに使用されるサーバ側ＴＣＰサーバポートに制限される。従って、２つの異なるユーザの同じクライアント側ＴＣＰサーバポート番号、即ち、ポート番号１１０は、ここで、同じサーバ側ＴＣＰポート番号に関係付けられるが、異なるＩＰアドレスに関係付けられる。このように、ゲートウェイサーバは、異なる宛先ＩＰアドレスのサーバ側ＴＣＰポートに、同じ通信プロトコルを使用する異なるユーザから、ユーザデータを転送することが出来る。
【００４３】
ユーザＸは、企業ネットワーク内のウェブアプリケーションとドメインネームサーバの各サーバ側ＴＣＰポートに関係付けられるクライアント側ＴＣＰサーバポート８０及び５３をも使用することが許される。ユーザＹは、ウェブアプリケーション又はドメインネームサーバ用のサーバ側ポートに関係付けられるクライアント側ポートを有さない。従って、企業ネットワークへのユーザＹのアクセスは、メールサーバアクセスのみに制限される。
【００４４】
本発明の異なる実施例の上記の詳細な説明は、例示のみによって与えられ、それゆえ、発明の範囲を制限する意図はなく、発明の範囲は、請求の範囲で定義されることに注意すべきである。相違する上述の実施例の特徴は、添付の請求の範囲内に収まる新しい実施例を生じるように好適にも組み合わされることを特に注意すべきである。
【００４５】
さらに、添付の請求の範囲、及び、ここで一般的に説明される精神及び範囲内に収まる他の変更及び変形は、請求項及び詳細な説明を調べる当業者には明白であることを考慮すべきであろう。
【図面の簡単な説明】
【００４６】
【図１】本発明の実施例が含まれ、動作可能なシステム環境全体を概略的に例示する図である。
【図２】本発明の別な実施例が含まれ、動作可能なシステム環境全体を同じく概略的に例示する図である。
【図１】
2007516625.tif 000003
【図２】
2007516625.tif 000004
【国際調査報告】
2007516625.tif 000005
2007516625.tif 000006
2007516625.tif 000007