(57)【特許請求の範囲】
【請求項１】
サービス処理スイッチ内で複数の仮想ルータを確立することであって、該サービス処理スイッチは、公開通信ネットワークと複数の加入者サイトとの間に論理的に挿入されるように動作可能であり、該サービス処理スイッチは、サービスプロバイダの複数の加入者にサービスを提供するように動作可能であり、該複数の仮想ルータの各々は、該サービス処理スイッチの処理および格納リソースのサブセットと関連している、ことと、
カスタマイズされたアプリケーション層サービスの第１のセットを該複数の加入者のうちの第１の加入者に提供し、カスタマイズされたアプリケーション層サービスの第２のセットを該複数の加入者のうちの第２の加入者に提供し、該複数の仮想ルータを該第１の加入者か該第２の加入者かに区分けすることによって加入者リソース分離を提供することであって、該区分けすることは、（ｉ）該複数の仮想ルータの第１のサブセットを含む第１の区分を該第１の加入者に割り当て構成することと、（ｉｉ）該複数の仮想ルータの第２のサブセットを含む第２の区分を該第２の加入者に割り当て構成することとを含む、ことと、
該カスタマイズされたアプリケーション層サービスの第１のセットおよび該カスタマイズされたアプリケーション層サービスの第２のセットの相対的な処理要求に基づいて、該サービス処理スイッチのリソースを該第１の区分と該第２の区分との間で動的に再割り当てすることによって、該第１の加入者と該第２の加入者との間での処理キャパシティの変更可能な供給を提供することと
を含む、方法。
【請求項２】
前記カスタマイズされたアプリケーション層サービスの第１のセットは、ファイアウォール保護と、ウェブサイトホスティングと、インターネットサービスと、電子メールサービスと、仮想プライベートネットワークサービスとのうちの１つ以上を含む、請求項１に記載の方法。
【請求項３】
前記提供することにおいて、前記第１の加入者と前記第２の加入者との間での処理キャパシティの変更可能な供給は、前記サービスプロバイダのサービス管理システムによって制御される、請求項１に記載の方法。
【請求項４】
インターネットプロトコル（ＩＰ）サービス配信プラットフォームであって、
該ＩＰサービス配信プラットフォームは、
カスタマイズされたアプリケーション層サービスをサービスプロバイダの複数の加入者に提供するように第１のＰＯＰ（ｐｏｉｎｔ−ｏｆ  ｐｒｅｓｅｎｃｅ）内で動作可能な第１のサービス処理スイッチであって、該第１のＰＯＰは、該複数の加入者のうちの第１の加入者の第１のサイトと、該複数の加入者のうちの第２の加入者の第１のサイトとに関連しており、該第１のサービス処理スイッチは、処理リソースの第１のセットを含み、該第１のサービス処理スイッチには仮想ルータの第１のセットが確立されており、該仮想ルータの第１のセットには、該処理リソースの第１のセットが最初に割り当てられている、第１のサービス処理スイッチと、
ネットワークを介して該第１のサービス処理スイッチと通信可能なように結合された第２のサービス処理スイッチであって、該第２のサービス処理スイッチは、カスタマイズされたアプリケーション層サービスを該複数の加入者に提供するように第２のＰＯＰ内で動作可能であり、該第２のＰＯＰは、該第１の加入者の第２のサイトと、該第２の加入者の第２のサイトとに関連しており、該第２のサービス処理スイッチは、処理リソースの第２のセットを含み、該第２のサービス処理スイッチには仮想ルータの第２のセットが確立されており、該仮想ルータの第２のセットには、該処理リソースの第２のセットが最初に割り当てられている、第２のサービス処理スイッチと
を備え、
該第１の加入者に提供されたカスタマイズされたアプリケーション層サービスの第１のセットに関連した処理リソースと、該第２の加入者に提供されたカスタマイズされたアプリケーション層サービスの第２のセットに関連した処理リソースとの間の分離は、該第１の加入者か該第２の加入者かへの該仮想ルータの第１のセットおよび該仮想ルータの第２のセットの区分けによって達成され、該区分けは、（ｉ）該仮想ルータの第１のセットの第１のサブセットと該仮想ルータの第２のセットの第１のサブセットとを含む第１の区分を該第１の加入者に割り当て構成することと、（ｉｉ）該仮想ルータの第１のセットの第２のサブセットと該仮想ルータの第２のセットの第２のサブセットとを含む第２の区分を該第２の加入者に割り当て構成することとを含み、
該第１のサービス処理スイッチおよび該第２のサービス処理スイッチは、該第１の加入者および該第２の加入者の相対的な処理要求に基づいて、該処理リソースの第１のセットまたは該処理リソースの第２のセットを該第１の区分と該第２の区分との間で動的に再割り当てすることによって、該第１の加入者と該第２の加入者との間での処理キャパシティの変更可能な供給を提供するように動作可能である、ＩＰサービス配信プラットフォーム。
【請求項５】
前記第１の加入者には、前記ネットワークを介する第１のセキュアな通信チャネルを確立することと、前記第１の区分の仮想ルータを相互接続することとによって、前記第１の加入者の前記第１のサイトを該第１の加入者の前記第２のサイトに通信可能なように結合する第１の仮想プライベートネットワーク（ＶＰＮ）が提供される、請求項４に記載のＩＰサービス配信プラットフォーム。
【請求項６】
前記第２の加入者には、前記ネットワークを介する第２のセキュアな通信チャネルを確立することと、前記第２の区分の仮想ルータを相互接続することとによって、前記第２の加入者の前記第１のサイトを該第２の加入者の前記第２のサイトに通信可能なように結合する第２のＶＰＮが提供される、請求項５に記載のＩＰサービス配信プラットフォーム。
【請求項７】
前記第１のセキュアな通信チャネルおよび前記第２のセキュアな通信チャネルは、前記第１のサービス処理スイッチと前記第２のサービス処理スイッチとの間で単一のセキュアなトンネルを共有することによって確立される、請求項６に記載のＩＰサービス配信プラットフォーム。
【請求項８】
前記第１のサービス処理スイッチおよび前記第２のサービス処理スイッチに通信可能なように結合されるサービス管理システムをさらに備え、前記処理キャパシティの変更可能な供給は、該サービス管理システムによって発せられる命令に応答する、請求項４に記載のＩＰサービス配信プラットフォーム。
【請求項９】
サービスプロバイダの複数の加入者にサービスを提供するために公開通信ネットワークと複数の加入者サイトとの間に論理的に挿入されるようにサービスプロバイダネットワーク内で動作可能なサービス処理スイッチであって、
該サービス処理スイッチは、複数のサービスブレードと複数の仮想ルータとを備え、
該複数のサービスブレードの各々は、複数の処理リソースと複数の格納リソースとを有し、
該複数の仮想ルータの各々は、該複数の処理リソースのサブセットおよび該複数の格納リソースのサブセットに関連し、
該複数の処理リソースのうちの該複数の加入者のうちの第１の加入者に提供されたカスタマイズされたアプリケーション層サービスの第１のセットに関連した処理リソース、および該複数の格納リソースのうちの該複数の加入者のうちの第１の加入者に提供されたカスタマイズされたアプリケーション層サービスの第１のセットに関連した格納リソースと、該複数の処理リソースのうちの該複数の加入者のうちの第２の加入者に提供されたカスタマイズされたアプリケーション層サービスの第２のセットに関連した処理リソース、および該複数の格納リソースのうちの該複数の加入者のうちの第２の加入者に提供されたカスタマイズされたアプリケーション層サービスの第２のセットに関連した格納リソースとの間の分離は、該複数の仮想ルータを第１の区分と第２の区分とに区分けすることにより達成され、該区分けすることは、（ｉ）該複数の仮想ルータの第１のサブセットを含む該第１の区分を該第１の加入者に割り当て構成することと、（ｉｉ）該複数の仮想ルータの第２のサブセットを含む該第２の区分を該第２の加入者に割り当て構成することとを含み、
該サービス処理スイッチは、該第１の加入者および該第２の加入者の相対的なニーズに基づいて、該複数の処理リソースまたは該複数の格納リソースを該第１の区分と該第２の区分との間で動的に再割り当てすることによって、該第１の加入者と該第２の加入者との間でのリソースキャパシティの変更可能な供給を提供するように動作可能である、サービス処理スイッチ。
【請求項１０】
サービス処理スイッチ内で複数の仮想ルータを確立するステップであって、該サービス処理スイッチは、公開通信ネットワークと複数の加入者サイトとの間に論理的に挿入されるように動作可能であり、該サービス処理スイッチは、サービスプロバイダの複数の加入者にサービスを提供するように動作可能であり、該複数の仮想ルータの各々は、該サービス処理スイッチの処理および格納リソースのサブセットと関連している、ステップと、
カスタマイズされたアプリケーション層サービスの第１のセットを該複数の加入者のうちの第１の加入者に提供し、カスタマイズされたアプリケーション層サービスの第２のセットを該複数の加入者のうちの第２の加入者に提供し、該複数の仮想ルータを該第１の加入者か該第２の加入者かに区分けすることによって加入者リソース分離を提供するステップと、
該カスタマイズされたアプリケーション層サービスの第１のセットおよび該カスタマイズされたアプリケーション層サービスの第２のセットの相対的な処理要求を解決するように該サービス処理スイッチのリソースを動的に再割り当てするステップと
を含む、方法。
【請求項１１】
インターネットプロトコル（ＩＰ）サービス配信プラットフォームであって、
該ＩＰサービス配信プラットフォームは、
カスタマイズされたアプリケーション層サービスをサービスプロバイダの複数の加入者に提供するように第１のＰＯＰ（ｐｏｉｎｔ−ｏｆ  ｐｒｅｓｅｎｃｅ）内で動作可能な第１のサービス処理スイッチ手段であって、該第１のＰＯＰは、該複数の加入者のうちの第１の加入者の第１のサイトと、該複数の加入者のうちの第２の加入者の第１のサイトとに関連しており、該第１のサービス処理スイッチ手段は、処理リソースの第１のセットを含み、該第１のサービス処理スイッチ手段には仮想ルータの第１のセットが確立されており、該仮想ルータの第１のセットには、該処理リソースの第１のセットが最初に割り当てられている、第１のサービス処理スイッチ手段と、
ネットワークを介して該第１のサービス処理スイッチ手段と通信可能なように結合された第２のサービス処理スイッチ手段であって、該第２のサービス処理スイッチ手段は、カスタマイズされたアプリケーション層サービスを該複数の加入者に提供するように第２のＰＯＰ内で動作可能であり、該第２のＰＯＰは、該第１の加入者の第２のサイトと、該第２の加入者の第２のサイトとに関連しており、該第２のサービス処理スイッチ手段は、処理リソースの第２のセットを含み、該第２のサービス処理スイッチ手段には仮想ルータの第２のセットが確立されており、該仮想ルータの第２のセットには、該処理リソースの第２のセットが最初に割り当てられている、第２のサービス処理スイッチ手段と
を備え、
該第１の加入者に提供されたカスタマイズされたアプリケーション層サービスの第１のセットに関連した処理リソースと、該第２の加入者に提供されたカスタマイズされたアプリケーション層サービスの第２のセットに関連した処理リソースとの間の分離は、該第１の加入者か該第２の加入者かへの該仮想ルータの第１のセットおよび該仮想ルータの第２のセットの区分けによって達成され、該区分けは、（ｉ）該仮想ルータの第１のセットの第１のサブセットと該仮想ルータの第２のセットの第１のサブセットとを含む第１の区分を該第１の加入者に割り当て構成することと、（ｉｉ）該仮想ルータの第１のセットの第２のサブセットと該仮想ルータの第２のセットの第２のサブセットとを含む第２の区分を該第２の加入者に割り当て構成することとを含み、
該第１のサービス処理スイッチ手段および該第２のサービス処理スイッチ手段は、該第１の加入者および該第２の加入者の相対的な処理要求に基づいて、該処理リソースの第１のセットまたは該処理リソースの第２のセットを該第１の区分と該第２の区分との間で動的に再割り当てすることによって、該第１の加入者と該第２の加入者との間での処理キャパシティの変更可能な供給を提供するようにさらに動作可能である、ＩＰサービス配信プラットフォーム。
【請求項１２】
サービス処理スイッチによって読み取り可能なプログラム格納デバイスであって、該読み取り可能なプログラム格納デバイスは、カスタマイズされたアプリケーション層サービスをサービスプロバイダの複数の加入者に提供する方法ステップを実行させるように該サービス処理スイッチによって実行可能な命令のプログラムを具体的に実現し、
該方法ステップは、
該サービス処理スイッチ内で複数の仮想ルータを確立することであって、該サービス処理スイッチは、公開通信ネットワークと複数の加入者サイトとの間に論理的に挿入されるように動作可能であり、該サービス処理スイッチは、該複数の加入者にサービスを提供するように動作可能であり、該複数の仮想ルータの各々は、該サービス処理スイッチの処理および格納リソースのサブセットと関連している、ことと、
カスタマイズされたアプリケーション層サービスの第１のセットを該複数の加入者のうちの第１の加入者に提供し、カスタマイズされたアプリケーション層サービスの第２のセットを該複数の加入者のうちの第２の加入者に提供し、該複数の仮想ルータを該第１の加入者か該第２の加入者かに区分けすることによって加入者リソース分離を提供することであって、該区分けすることは、（ｉ）該複数の仮想ルータの第１のサブセットを含む第１の区分を該第１の加入者に割り当て構成することと、（ｉｉ）該複数の仮想ルータの第２のサブセットを含む第２の区分を該第２の加入者に割り当て構成することとを含む、ことと、
該カスタマイズされたアプリケーション層サービスの第１のセットおよび該カスタマイズされたアプリケーション層サービスの第２のセットの相対的な処理要求に基づいて、該サービス処理スイッチのリソースを該第１の区分と該第２の区分との間で動的に再割り当てすることによって、該第１の加入者と該第２の加入者との間での処理キャパシティの変更可能な供給を提供することと
を含む、読み取り可能なプログラム格納デバイス。
【発明の詳細な説明】
【０００１】
（本発明の分野）
本発明は、インタネットプロトコルの分野に関し、さらに詳細には、ファイアウォール等のセキュリティサービス配信の方法および装置に関する。
【０００２】
（本発明の背景）
サービスプロバイダゲームは、成長して、極端に混雑し、激しく競争的となり、多数のプレイヤーが同様の製造品およびサービスを提供する。非常に多くの匹敵するサービスを有することは議論できるだけの利益が企業にあるが、これは、潜在的に悲惨な結論を有するホストをサービスプロバイダに提供する。与えられた市場の競争者が顧客ベースによって区別できないサービスを提供している場合、区別化の負担は、まともにコストにふりかかり、最小コストの競争者が「勝利を得て」現われる。コストリーダーの位置を得るために策を弄することは、急速にサービス価格を低下させるように駆り立て、これによりマージンをほぼ無くし（ｒｅｄｕｃｅ  ｍａｒｉｇｉｎｓ  ｔｏ  ｒｕｂｂｌｅ）、サービスを日常的なものにする。さらに、属性およびコストについて同様である多数の提示が顧客を固定することを非常に困難にする。
【０００３】
動作上のコストはまた、サービスプロバイダに重要な課題を提供する。邪魔な、手動の取得プロセスは第一級の犯罪である。顧客の指示は、手動で入力されなければならず、一緒に継ぎはぎされた多数の時代遅れのバックエンドシステムによって処理されなければならない。一旦指示が処理されると、トラックロール（ｔｒｕｃｋ  ｒｏｌｌ）は、オンサイトインストール、顧客構内機器（Ｃｕｓｔｏｍｅｒ  Ｐｒｅｍｉｓｅｓ  Ｅｑｕｉｐｍｅｎｔ）（ＣＰＥ）の環境設定および次のトラブルシューティングタスクのために必要とされる。これは、マージンに食い込み、かつ重要な前金のチャージを顧客に課す時間のかかる高価なプロセスである。今日の市場で成功するために、サービスプロバイダは、公開ネットワークに投機して、資本および動作上のコストを制御する間にマージンを最大にする高い価値のある区別されたサービスを提示しなければならない。これらのサービスは、時間対市場および、さらに重要なことには、時間対収益が最小化されるために、急速に取得され、中央集権的に管理されなければならない。データネットワークサービス作成、展開および管理の従来の方法は、以上の目的を達成するための、実施されるべき新しいネットワークサービスモデルを必要とする重要な課題を提示している。
【０００４】
基礎的なインターネットアクセス、サービスプロバイダの提示の特色は、マージンがほとんど存在しないという点について便利になった。この事実は、基礎的な接続性にわたる層への機能およびサービスがコスト以外の要因について区別化できるように、新しい価値が付加される上記の機能およびサービスを捜すようにサービスプロバイダを駆り立ててきた。区別化の最も重要な機会は、管理化ネットワークサービスに見出される。管理化ネットワークサービスは、企業ＩＴ組織が戦略的なコアビジネスのイニシアチブに焦点を当て得るように、企業ＩＴ組織が時間消費の大きい駆け引き機能をアウトソーシングすることを可能にする。
【０００５】
企業顧客は、今では、費用効果のある、アウトソーシングされた接続性およびセキュリティサービス（仮想プライベートネットワーク（ＶＰＮ）および管理化ファイアウォールサービス）を要求している。企業ネットワークは、もはや外の世界から隔離されていない。ＩＴマネージャは、異なるビジネスユニット、サテライトサイト、ビジネスパートナーおよびサプライヤを彼らの会社ネットワーク、およびインターネットに接続すべくプレッシャーの高まりに直面している。これは、企業ＩＴ部門の中核的な有効性をしばしば越える多くのセキュリティ関連事項を生じさせる。問題を折り合いをつけるために、熟練したＩＴ技術者が非常にまれな資源となる。専門家スタッフおよび世界クラスの技術ならびに設備を備えたサービスプロバイダは、企業顧客に上述のサービスを配信するためにうまく位置付けされる。
【０００６】
ＩＴマネージャは管理化ネットワークサービスを利用するという点で価値を明らかに理解するが、採用にはまだ障壁がある。おそらく、障壁の中で最も重要なものは、サービスプロバイダに対してネットワーク制御を失うことの恐怖である。この恐怖を緩和するためには、成功した管理化ネットワークサービス提示は、顧客に包括的な可視性を提供しなければならず、これにより顧客は環境設定および性能の戦略を見ることができ、更新および変化を要求できる。強力な顧客ネットワーク管理（ＣＮＭ）ツールをＩＴマネージャに提供することは、管理化ネットワークサービスプロバイダについての信頼を高め、サービス取得およびメンテナンスサイクルのムダを実際に省くことができる。
【０００７】
（管理化ファイアウォールサービスに基づいた顧客構内機器（ＣＰＥ））
データネットワークサービスプロバイダは、従来、顧客サイトに専用ＣＰＥデバイスを配置することによって管理化ネットワークサービス提示を展開してきた。このＣＰＥは、特定のサービス特徴を提供することに加えて、また、いくつかのルーティング機能をサービスし得る目的構築ネットワーク機器か、または、ミドルからハイエンドの企業クラスサーバプラットフォーム（通常はＵＮＩＸ（登録商標）ベース）のいずれかである。管理化ファイアウォールソルーションの場合において、ＣＰＥデバイスは、ＶＰＮトンネル終端、暗号化、パケットフィルタリング、アクセス制御リストおよびログファイルを含むサービスを提供し得る。それぞれの顧客サイトでのＣＰＥは、サービスプロバイダＰＯＰ（ｐｏｉｎｔ  ｏｆ  ｐｒｅｓｅｎｃｅ）にてリースされた線および／または公開フレームリレーのＰＶＣ（永続的仮想回路）を介してマルチプレクサでハイエンドアクセスルータにＷＡＮ（広域エリアネットワーク）を通して集約される。
【０００８】
多くの場合、サービスプロバイダおよび企業顧客は、あらゆるサイトでＣＰＥベースのセキュリティを配置するが、ある程度、最大の会社サイトの一つまたは二つにセキュアなインターネットアクセセスポイントを配置することが非常に高価で邪魔であることがわかった。このモデルにおいて、全てのリモートサイトインターネットトラフィックがＷＡＮを通してセキュアなアクセスポイントに戻り、次いでインターネット上に出て、結果的に、会社ネットワーク上の増大したトラフィックおよび性能の犠牲が生じる。
【０００９】
サービスプロバイダは、ＣＰＥベースの管理化ファイアウォールサービスを配置し、管理し、維持する場合に重要な課題に直面する。顧客は、このようなサービスを利用することに関心を表す場合、会社ネットワークインフラストラクチャおよびサイト特定のセキュリティ要件を理解し、セキュリティポリシーの複数のセットを生み出すするために、経験のあるセキュリティプロフェッショナルとの相談が必要とされる。これは、協議の電話のセットまたは多数のオンサイト訪問を介して達成され得る。一旦セキュリティ要件およびポリシーが識別されると、サービスプロバイダは、ＣＰＥデバイスを確保しなければならない。いくつかのケースにおいて、機器ベンダーは、サービスプロバイダによって供給されたパラメータに基づいた前環境設定のいくつかのレベルを提供し得る。ＣＰＥベンダーが十分にテンプレート化され、予め環境設定されたシステムを配信しようとしながら（このシステムは企業スタッフによってプラグアンドプレイ化されている）、たいていのサービスプロバイダは、オンサイトと、ハンドオン構成と、顧客サイトそれぞれに対するトラックロールとの責任能力が必要であると仮定する。これは、特に、サーバベースのＣＰＥシステムにおいて当てはまる。サーバベースのＣＰＥシステムでは、比較的高い程度の技術的な高度性および専門技術がＵＮＩＸ（登録商標）ベースのシステムをインストールし、環境設定するために必要とされる。
【００１０】
通常、ミドルレベルハードウェアおよびセキュリティスペシャリストがアカウントマネージャと共にオンサイトで送られ、これによりＣＰＥのインストールおよび環境設定を完了させる。このスペシャリストは、サービスプロバイダ従業員、またはＣＰＥロールアウトを完了させるためにサービスプロバイダが契約したシステムインテグレータ／付加価値再販業者（ＶＡＲ）であり得る。この複数のプロセスは、顧客ネットワークへのＣＰＥデバイスの物理的インテグレーションを開始する。ＯＳおよびファイアウォール／ＶＰＮソフトウェアコンポーネントがプリロードされるＣＰＥ機器のケースでは、この技術は、すぐにシステム環境設定フェーズに進むことができる。しかし、サーバベースのＣＰＥサービスは、さらに時間を消費する、このシステムＯＳおよびソフトウェア特徴のセットをロードし、複雑性の程度をさらに増やすステップを必要とする。
【００１１】
環境設定フェーズにおいて、この技術は、ＣＰＥデバイスとサービスプロバイダＮＯＣ（ネットワーク操作センター）の中央管理システムとの間でコンタクトを確立しようと試みる。このデバイスが以前にＩＰアドレスを割り当てていなかったケースでは、バンド外のシグナリング機構は、この接続（通常は、モデムおよびＰＯＴＳライン）を完了させるために必要とされる。インテグレーションプロセスが成功した場合、ＮＯＣスタッフがこのプロセスを継ぎ、特定のポリシー構成（および可能な場合、ＩＰアドレス）をブラウザ駆動管理インターフェースを介してＣＰＥデバイスにプッシュダウンする。この全プロセスは、管理化ファイアウォールサービスを利用する全ての企業サイトに対して繰り返されなければならない。
【００１２】
さらに、メンテナンスプロセスおよびＣＰＥベースの管理化ファイアウォールサービスに対するコストはまた、サービスプロバイダおよび企業顧客の両方を押しつぶしていく可能性がある。企業は、凍結した予備のオンサイトをそのままにさせられるか、または、ファイアウォールが故障したセキュリティの無い期間に直面させられるかのいずれかであり、この状況は、たいていの今日の情報集約会社には受け入られることができない。サービスプロバイダは、すぐに利用可能となる予備の在庫と、必要な場合、システム環境設定プロセスを繰り返すためにオンサイトで行くことができるスタッフ資源を有しなければならない。顧客サイトで配置された数千のＣＰＥデバイスをトラブルシューティングすることは、膨大なコールセンター支援資源および素早くオンサイトで配置され得る高度な技術者を必要とする極端に恐ろしい課題である。
【００１３】
ＣＰＥベースのファイアウォールサービスは、従来プライベート企業ネットワークに配置されたので、これらのデバイスの元来の管理システムは、いくつかの大きなマルチサイトサービスプロバイダ顧客を管理するまで拡張するという問題を有する。ＣＰＥデバイスベンダーは、運搬業者グレードおよび拡張にこれらのシステムを上げるために先を争う。ファイアウォール管理システムは、通常、ＧＵＩベース（グラフィカルユーザインタフェースベース）の、ブラウザ駆動インターフェースである。このインタフェースは、サービスプロバイダＮＯＣにおける産業グレードＵＮＩＸ（登録商標）プラットフォーム上で起動する。管理システムは、ＩＰアドレスに基づくＣＰＥデバイスとインターフェースをとる。ＣＰＥベースの管理化ファイアウォールモデルは、サービスプロバイダを別の問題（資本コスト）に直面させる。マルチプレクサおよび高容量アクセスルータを含むＰＯＰ／アクセスインフラストラクチャを構築させるために必要とされる重要なコストに加えて、サービスプロバイダはまた、ファイアウォールおよびＶＰＮソフトウェア使用許可料を含むＣＰＥデバイスの初期コストを想定しなければならない。多くの場合、これらのコストは、顧客に回される。これは、急騰する前払いコストを生み出す。この前払いコストは、サイト毎のインストール料と結び付けられ、サービス採用の重大な障壁を提供し得る。いくつかのサービスプロバイダが管理化ファイアウォールサービスを提示する市場において、サービスプロバイダは、価格リーダーシップ位置を得るためにはＣＰＥコストを吸収し得る。このＣＰＥコストは深くマージンに食い込む。
【００１４】
ＣＰＥベースモデルはまた、管理化ファイアウォール提示を通してサービスをロールアウトする場合には制限される。侵入検出等の新しいサービスは、さらなるハードウェア／またはソフトウェアを必要とし得る。これは、結果的に、より高い資本コストおよび別の高価なトラックロールを生じさせる。
【００１５】
したがって、例えばファイアウォール等のセキュリティサービスといった様々なネットワークサービスを配信する方法およびその装置の必要性がある。
【００１６】
（本発明の要旨）
本発明は、サービスプロバイダが容易にインターネットサービス、仮想プライベートネットワークサービス、ファイアウォールサービス等を複数の顧客に提供することを可能にするフレキシブル、スケーラブルハードウェアおよびソフトウェアプラットフォームを提供する。このソルーションは、個々の変化する必要性に応じて、多いかまたは少ない処理能力および格納を有する顧客それぞれを取得するための変更であり得る。
【００１７】
本発明の１局面は、セキュリティサービスを配信する方法およびそのシステムを提供する。この方法は、第１の処理システム内にリング構成で複数のプロセッサを接続すること、第２の処理システムへのインターネットプロトコル（ＩＰ）接続を通してリング構成のプロセッサ間にセキュアな接続を確立し、これによりトンネルを形成すること、リング構成の複数のプロセッサを用いて、第２の処理システムを用いて、ルータサービスおよびホストサービスの両方を顧客に提供することを含む。
【００１８】
本発明の別の局面は、セキュリティサービスを配信するシステムを提供する。このシステムは、第１の処理システム内のリング構成内に複数のプロセッサと、第２の処理システムへのインターネットプロトコル（ＩＰ）接続を通してリング構成のプロセッサ間にセキュアな接続４１８を確立し、これによりトンネルを形成する手段と、リング構成の複数のプロセッサを用いて、第２の処理システムを用いて、ルータサービスおよびホストサービスの両方を顧客に提供する手段とを含む。
【００１９】
本発明のさらに別の局面は、セキュリティサービスを配信するシステム２０１を提供する。この第２のシステムは、リング構成において接続された第１の処理システム内の複数のプロセッサと、第２の処理システムへのインターネットプロトコル（ＩＰ）接続を通してリング構成のプロセッサ間にあるセキュアな接続を用いて形成されたトンネルとを含み、リング構成の複数のプロセッサを用いて、第２の処理システムを用いて、ルータサービスおよびホストサービスの両方が顧客に提供される。
【００２０】
（好適な実施形態の説明）
好適な実施形態の以下の詳細な説明において、本明細書の一部を形成する添付図面が参照される。ここでは、例示のために特定の実施形態が示される。この実施形態において本発明が実施され得る。他の実施形態が利用され得ること、かつ、構造的な変化が本発明の範囲から逸脱することなく行われ得ることが理解される。
【００２１】
図面に現われる参照番号の最左の（複数の）数字は、一般に、このコンポーネントが第１に導入される図面番号に対応する。同一の参照番号は、複数の図面に現われる同一のコンポーネントを示すために全体にわたって用いられる。信号および接続は、同一の参照番号またはラベルによって示され、実際の意味は、この説明の脈絡の使用から明らかであり得る。
【００２２】
いくつかの実施形態において、本発明は、１以上のキャリアクラスプラットフォーム上で起動する１以上の仮想プライベートネットワーク（ＶＰＮ）を配置する。これらのキャリアクラスプラットフォームは、インターネットサービスプロバイダ（ＩＳＰ）にコストの効率の良いソルーションを提供するために拡張する。特に、ファイアウォール等のセキュリティサービスは、ＩＳＰが彼らの顧客に提供するサービスのために、ＩＳＰによって提供され得る。複数の顧客は、プロセッサの単一のネットワークにホスティングされる。ＩＳＰは、ホスティングサービス（例えば、インターネットウェブサイトを顧客にホスティングする）およびルーティング（データをインターネットに出入りさせる）を提供する。
【００２３】
図１は、システム１００を有する本発明の１実施形態を示す。システム１００は、インターネット９９に接続された複数の類似のＩＳＰ（インターネットサービスプロバイダ）ボックス１１０を含む。この実施形態において、それぞれのボックス１１０は、アクセスルータ１１１を呼ばれるブロックによって提供されるルーティングサービスと、ブロック１１３および１１４によって提供されるホスティングサービスとを有するサブシステムを表示する。ＩＳＰは、通常、インターネットサービス（インターネットと、ユーザによる要求に応じて、データを格納し、データを提供するサーバとに対するコネクティビティおよびユーザへのネットワークコネクティビティ）を顧客ＡおよびＢを含む複数の顧客に提供する会社である。いくつかの実施形態において、顧客構内機器１１７および１１８（また、ＣＰＥ１１７および１１８とも呼ばれる。これは、ハードウェアおよびこのハードウェアを制御するソフトウェアである。このソフトウェアは、顧客の構内でインストールされる。これは、サーバルータ、スイッチおよび個々のユーザのワークステーションに接続しているネットワークならびに外部通信ネットワークへの様々なインターフェースを含み得る。）は、顧客ＡおよびＢをそれぞれ支援する機能の少なくとも一部を提供するように用いられ、ＩＳＰ１１０は、それぞれブロック１１３および１１４に静止を提供する。顧客を支援する機能は、ウェブサイトホスティング、データベースおよび他のサーバ、ｅ−メールサービス等のものを含む。顧客のＣＰＥ１１７および１１８は、例えばアクセスルータ１１１介してＩＳＰに接続し、セキュリティサービス１１２を介して顧客Ａサイト１  １１３および顧客Ｂサイト１  １１４に接続し、また、インターネット９９を一般に越えて通過する通信およびＥメールを除いて顧客Ａおよび顧客Ｂを互いから分離させる態様でインターネット９９に接続する。
【００２４】
さらに、インターネット９９を通して２つのＩＳＰボックス１１０間にセキュアな接続を確立することにより、仮想プライベートネットワークまたはＶＰＮ４１０（以下の図４参照）が作成され得る。この機能は、例えば、第１のサイトにある顧客Ａのオフィス（例えば、本部１１７）が、顧客Ａにはプライベートネットワークとして見えるもの（しかし、実際には、サイト１１７にあるいくつかのＣＰＥ、ＩＳＰ１１０．１内に提供されるいくつかのサービス１１３、インターネット９９を越えるセキュアな暗号化接続、ＩＳＰ１１０．２にもあるいくつかのサービスおよびサイト１１９にあるいくつかのＣＰＥを含む）を用いて、第２のサイトにある顧客Ａのオフィス（例えば、支部１１９）にシームレスに接続することを可能にする。サイト１１７および１１９にいるユーザは、彼らが、例えばＶＰＮ４１０によって提供される一つのプライベートネットワーク上にいる場合には、互いに通信でき、データおよびサービスを共有できる。
【００２５】
図２は、本発明の、サービスプロバイダ（ＳＰ）ネットワーク２００の１実施形態のブロック模式図である。従来のネットワーク「雲」９８は、インターネット技術において周知の、ＳＰのインターネットプロトコル（ＩＰ）または非同期転送モード（ＡＴＭ）コアを含む。ＩＰシステム２０１は、このような既存のインフラストラクチャ９８および以下の図２において説明されるような他のオプションの従来のハードウェアに接続し、ＳＰネットワーク２００を提供する。ＩＰシステム２０１は、複数の仮想ルータ（ＶＲ）２１０を提供するために、ハードウェア２３０およびソフトウェア２２０を提供する。各ＶＲ２１０は、図１の顧客サイトサービス１１３を提供するものであるルータサービスおよびサーバサービスにサポートを提供する。各ＶＲ２１０は、オブジェクトグループ２１１によって支援される。オブジェクトグループ２１１は、ルーティングオブジェクト２１２、パケットフィルタリングオブジェクト２１３、ファイアウォールオブジェクト２１２、ネットワークアドレス変換（ＮＡＴ）オブジェクト２１５および／または他のオブジェクト等の一般には異なるオブジェクトのグループである。いくつかの実施形態において、各ＶＲ２１０は、個別の具体化である。
【００２６】
いくつかの実施形態において、ソフトウェア２２０は、ＩＰネットワークオペレーティングシステム（ＩＰＮＯＳ）２２３、サービス管理システム（ＳＭＳ）２２１（例えば、いくつかの実施形態において、これは、本発明の譲受人ＣｏＳｉｎｅ  ＣｏｍｍｕｎｉｃａｔｉｏｎｓからのＩｎｖｉｓｉｏｎＴＭのソフトウェアである）および顧客ネットワーク管理システム（ＣＮＭＳ）２２２（例えば、いくつかの実施形態において、これは、本発明の譲受人ＣｏＳｉｎｅ  ＣｏｍｍｕｎｉｃａｔｉｏｎｓからのＩｎｇａｇｅＴＭのソフトウェアである）を含む。ＳＭＳ２２１は、ブレード２３９の構成のようなサービスを提供して、加入者を規定し、サービスを決定し、ＩＰセキュリティ（ＩＰＳｅｃ）公開／秘密鍵のペアを生成する。ＣＮＭＳ２２２は、サービスに対する加入者（顧客）見通しを提供するようなサービスを提供する。いくつかの実施形態において、ＣＮＭＳソフトウェアは、ユーザのＣＰＥまたはワークステーションの少なくとも一部分、一般には、会社の情報サービス（ＩＳ）本部にて実行する。
【００２７】
いくつかの実施形態において、ＩＰサーバスイッチ（ＩＰＳＸ）ハードウェア２３０は、それぞれのプリント回路カードが１以上のスケーラブルハードウェアエンクロージャを含み、それぞれが複数のサービス「ブレード」２３９（すなわち、挿入可能で取り外し可能なプリント回路カードであり、１以上のプロセッサを含み、各プロセッサがそれ自体のＣＰＵおよびメモリを有する）を有し、それぞれのサービス「ブレード」２３９がリング構成（カウンタ−回転性二重リング２３２）状に接続される。いくつかの実施形態において、３タイプのブレード２３９（（複数の）制御ブレード２３４、（複数の）プロセッサブレード２３６および（複数の）アクセスブレード２３８）が提供される。ＩＰＳＸハードウェアはまた、非常に利用可能であり、冗長性があり、ホットスワップ可能なサポート２４０（電源２４１およびファン２４２を含む）を含む。
【００２８】
図３は、本発明の、ＩＰサービス配信プラットフォーム（ＩＰＳＤＰ）３００の１実施形態のブロック模式図である。ＳＰネットワーク２００のハードウェアおよびソフトウェアは、縁の雲９５、アクセス集中の雲９６およびサービス処理の雲９７等の様々なネットワーク「雲」を生成するものとして見られ得る。これらは現存する従来のＳＰのＩＰまたはＡＴＭコアの雲９８上に構築され、それらは外部のインターネット雲９９に接続される。ＩＰＳＤＰ３００は、１以上の顧客のオフィス３０１に接続されたＩＳＰのＳＰネットワーク２００を含む。オフィス３０１それぞれは、ある量のＣＰＥ１１０を含む。示された実施形態において、三つの会社遠隔オフィス３０１．１は、当業者には周知の様々な従来の通信デバイス（フレームリレースイッチ３２６、Ｍ１３マルチプレクサ（ｍｕｘ）３２７、ＤＳＬＡＭ（デジタル加入者リンクアクセスマルチプレクサ）３２８およびダイアルアップＲＡＳ（遠隔アクセスサーバ）３２９（例えば、ダイアルアップテレコミュニケータ３０１．３の携帯システム３１０のラップトップ型コンピュータ３１６に接続されたモデム３１１からのダイアルアップ接続を受信するために用いられる））を用いて、ＳＰネットワーク２００に接続される。示された実施形態において、ＳＰネットワーク２００は、二つのシステム２０１を含み、一方は、フレームリレースイッチ３２６、Ｍ１３マルチプレクサ（ｍｕｘ）３２７、ＤＳＬＡＭ３２８および遠隔ＣＰＥ１１０に対するダイアルアップＲＡＳ３２９上に接続し、他方は、従来の通信プロトコルを用いて、顧客の会社本部のＣＰＥ１１１０（また、ＣＮＭＳ２２２によって提供される制御およびモニタリング機能を含む）に直接に接続している。上記従来の通信プロトコルは、フレームリレー（ＦＲ、Ｉ．１２２推奨「ｆｒａｍｅｗｏｒｋ  ｆｏｒ  Ｐｒｏｖｉｄｉｎｇ  Ａｄｄｉｔｉｏｎａｌ  Ｐａｃｋｅｔ  Ｍｏｄｅ  Ｂｅａｒｅｒ  Ｓｅｒｖｉｃｅｓ」のＩＴＵ−Ｔによって規定されたアクセス規格）、インターネットプロトコル（ＩＰ）、ＦＴ１（ｆｒａｃｔｉｏｎａｌ  Ｔ１）、Ｔ１／Ｅ１（１秒当たり１．５４４メガビットのキャパシティを有するデジタル転送リンク）、ＦＴ３（Ｆｒａｃｔｉｏｎａｌ  Ｔ３）、Ｔ３（Ｔ１ラインのキャパシティ）および／またはＯＣ３（光キャリアレベル３＝５１．８４０ＭｂｐｓのＯＣ１速度の３倍）（それぞれが当業者には周知の従来の通信サービスである）等である。
【００２９】
いくつかの実施形態において、ＩＰＳＤＳＰ３００は、インターネット９９を越えるセキュアな接続を用いてＶＰＮ４１０を提供し、互いに遠隔オフィス３０１を接続する。
【００３０】
図４は、本発明の、複数の仮想プライベートネットワーク４１０、４２０、４３０、４４０を提供するシステム４００のブロック模式図である。ＶＰＮ４２０、４３０および４４０それぞれは、これらが他の加入者用であることを除くと、加入者１を支援するＶＰＮ４１０と等価である。それぞれの加入者は、分割された仮想ルータ２１０のセットを有する。例えば、加入者１は、ＶＰＮ４１０に接続された、二つの位置４１１および４１２を有する。位置４１１のＶＲ２１０は、いくつかのＣＰＥ１１０およびシステム２０１−１に提供されたサポートを含み得る。位置４１２のＶＲ２１０は、いくつかのＣＰＥ１１０およびシステム２０１−２に提供されたサポートを含み得る。これら２つのＶＲ２１０は、「トンネル」、セキュアな接続を確立する。「トンネル」は、それらがセキュアな通信を維持することを可能にする。セキュアな接続は、インターネット９９等のパケットネットワークを通してさえＶＰＮ４１０を支援する。それぞれのＶＲ２１０は、独立したハードウェアルータの等価物である。それぞれのＶＲ４１０はオブジェクトグループ２１１によって支援されるので、オブジェクトは、容易に追加されるか、または排除され得、これにより、それぞれの加入者の個々の必要性を満たためのカスタマイズされたサービスを加入者毎の基礎において可能にする。ＳＰネットワーク２００上で実行するＳＭＳ２２１は、サービス取得（動的に、必要とされた場合に追加的なプロセッサ／処理能力を追加し、必要とされない場合にはＶＰＮ４１０に用いられるプロセッサ／処理能力を低減する）を容易にし得る。いくつかの実施形態において、ＩＰＮＯＳ２２３は、オープンアプリケーションプログラムインターフェース（ＡＰＩ）を用いて、新しいサービスが必要とされるときには常にプラットフォームに追加されることを可能にする。
【００３１】
いくつかの実施形態において、第１のサイトにあるシステム４０１（例えば、ＩＳＰ構内は、局所的に顧客オフィスに接続されることを前提とする）は、ＣＰＥ１１７に接続されたＶＲ２１０を有するＩＰＳＸ２０１−１を含む。このシステム４０１は、ファイアウォールサービス、（複数の）サーバおよび（複数の）ユーザ等を有する一つのルータのように外側の世界には見える。上記機能は、ＶＲ２１０およびＣＰＥ１１７のいずれかまたは両方によって提供され得、これにより、顧客は、これらのサービスの多くまたはほとんどをサービスプロバイダおよびＩＰＳＸ２０１−１にアウトソーシングできる。同様に、第２のサイトにあるシステム４０２（例えば、別のＩＳＰは、同一の顧客の遠隔オフィスに局所的に接続されることを前提とする）は、ＣＰＥ１１９に接続されたＶＲ２１０を有するＩＰＳＸ２０１−２を含む。このシステム４０２はまた、（複数の）サーバおよび（複数の）ユーザ等を有する単一のルータのように外部の世界には見える。上記のサービスは、ＶＲ２１０およびＣＰＥ１１９のいずれかまたは両方によって提供され得、これにより、顧客は、上記サービスの多くまたはほとんどをサービスプロバイダおよびＩＰＳＸ２０１−２にアウトソーシングできる。
【００３２】
図５は、本発明の、リングネットワークハードウェアプラットフォーム２３０の１実施形態のブロック模式図である。ハードウェアプラットフォーム２３０は、複数のサービス「ブレード」２３９（すなわち、１以上のプロセッサを有する挿入可能で、かつ取り外し可能なプリント回路カードであり、それぞれのプロセッサはそれ自体のＣＰＵおよびメモリを有する）を含む。それぞれの「ブレード」２３９は、リング構成（カウンタ−回転性二重リング２３２）に接続される。いくつかの実施形態において、３タイプのブレード２３９（制御ブレード２３４（図５では図示せず）、プロセッサブレード２３６（ポイント−ツゥ−ポイント（ＰＰＴＰ）接続性、ハッキング、侵入、または偶発的なアクセスに対するファイアウォール保護のような機能を提供する）およびアクセスブレード２３８（ＮＡＴ、暗号化およびルーティングのような機能を提供する））が提供される。
【００３３】
図６は、本発明の、サービス処理スイッチ６００の１実施形態のブロック模式図である。いくつかの実施形態において、サービス処理スイッチ６００は、電源２４１を有するハードウェアエンクロージャ２３０を含む。電源２４１は、ホットスワップ可能で、冗長的で、自動故障オーバー（ａｕｔｏｍａｔｉｃ  ｆａｉｌｏｖｅｒ）（一方が故障すると、他方がその役割を受け継ぐ）可能であり、ＡＣまたはＤＣを発する電源となり得る。いくつかの実施形態において、二重ホットスワップ可能で、可変スピードファン２４２が提供される。いくつかの実施形態において、ソフトウェアアップデートは、全てのオブジェクトグループ２１１（仮想ルータ）をスワップし、ソフトウェアモジュールを変えて、次いで、処理を再び始めることにより、システム故障時間なしで為され得る。いくつかの実施形態において、全てのサービスブレード２３９は、ホットスワップ可能（これらは、システムを停止することなく取り外しおよび／または挿入され得る）であり、一次のモードから保護モードまでの自動故障オーバーを含む。いくつかの実施形態において、二重カウンタ回転リング２３２は、一次の冗長性および保護冗長性を支援する。いくつかの実施形態において、システム６００は、ＮＥＢＳ  レベル３コンプライアンスを提供し、Ｙ２Ｋに準備されており、ＳＯＮＥＴ（同期光ネットワーク）１＋１ライン保護スイッチングを提供し、設備に接触することなく、ＤＳ３（デジタル信号レベル３；一秒当たり４４，７３６，０００ビット）ブレード自動故障オーバーを可能にする集積された金属製相互接続を含む。
【００３４】
図７は、本発明の、従来の現存するネットワーク要素を含む集積システム７００の１実施形態のブロック模式図である。集積システム７００は、ＣＰＥルータ１１０等の顧客の機器に接続する従来のフレームリレースイッチ３２６、Ｍ１３ｍｕｘ３２７、ＤＳＬＡＭ（デジタル加入者リンクアクセスマルチプレクサ）３２８、および、ＣＰＥルータ１１０ダイアルアップシステム３１０等の顧客の機器に接続するＲＡＳ（遠隔アクセスサーバ）３２９を任意に含む。いくつかの実施形態において、集積システム７００は、ＳＰコア９８の一部として、コアＩＰルータ７２０および／またはコアＡＴＭスイッチを含む。これは、多数の従来の技術規格のサポートと、現存するアクセス集中およびコアネットワーク要素による相互互換性とを提供する。それはまた、フレームリレーネットワークとＩＰネットワークとの間の相互動作を提示する。ネットワークアドレス変換（ＮＡＴ）は、企業加入者が彼らのネットワークアドレッシングに接触されない状態にすることを可能にする。それはまた、ＩＰおよびレガシーネットワークを一つにマージすることを可能にしてサービスの連続性（ＣＯＳ）が保証される。
【００３５】
図８は、本発明の、ハードウェア要素２３０およびソフトウェア要素２２０のブロック模式図である。ハードウェア要素２３０は、２６−スロット、１秒当たり２２ギガビット（Ｇｂｐｓ）のリングミッドプレーン８３２を備えた２面を有するシャーシ８３１を含む。サービスブレード２３９は、シャーシ８３１のいずれの面を形成するためにミッドプレーン８３２にホットプラグされ得る。３タイプのサービスブレード２３９（制御ブレード２３４、プロセッサブレード２３６およびアクセスブレード２３８）が提供される。いくつかの実施形態において、四つのプロセッサは、それぞれのサービスブレード２３９上に提供され、それぞれのプロセッサは、ＣＰＵおよびそれ自体のメモリを有し、特定化された処理がブレード２３９の様々な異なるドーターカード上で実行されることを可能にする。
【００３６】
いくつかの実施形態において、一つのシステムシャーシ８３１は、冗長性のあるバックプレーンおよびブレード終端設備８３２を提供する。アクセスブレード２３８、プロセッサブレード２３６、制御ブレード２３４、電源２４１およびファントレイ２４２は、ホットスワップ可能な動作用に設計される−任意の上記のコンポーネントは、全システムが動作しているままでサービスから取り外され得る。金属製相互接続はパッシブシステムである。このパッシブシステムは、故障オーバーサポートを提供する。この故障オーバーサポートは、ＤＳ３およびＤＳ１アクセス設備が、アクセスポートまたはカード故障がある場合に一つのアクセスブレードから別のアクセスブレードにスイッチングされることを可能にする。フェーズ１シャーシは、２６個の汎用スロットを提供し、スロットそれぞれが制御ブレード、アクセスブレードおよびプロセッサブレードについて位置される。動作するために、シャーシは、少なくとも一つの制御ブレードを含まなければならない。二つの制御ブレードまでは、同時に一つのシャーシにて動作し得る。アクセスブレードは、入力／出力要件が増すにつれて追加され、プロセッサブレードは、計算要件が段々増すにつれて追加される。
【００３７】
いくつかの実施形態において、それぞれのシステム２３０は、２５個までの処理用のブレード（ＰＢ）２３６を支援する。それぞれのプロセッサブレード２３６は、アプリケーションファイアウォール、ＬＴ２Ｐ、ＰＰＴＰ、ＮＡＴ、ＶＰＮルータを含むＩＰサービスを配信しながら、全二重トラフィック３００Ｍｂｐｓを支援するために設計される。
【００３８】
いくつかの実施形態において、それぞれのシステム２３０は、２個までの制御ブレード（ＣＢ）２３４を支援する。ＣＢ２３４は、全体システムの監視、ＩＰルータ計算、ソフトウェアアップデート管理およびネットワーク管理統計ログサービスを提供する。２個のＣＢ２３４がシャーシ８３１内で動作する場合、２個のＣＢ２３４は、いずれかの一方のＣＢ２３４が故障した場合に他方のＣＢ２３４が自動的にシステム動作を受け継ぐように同期化されたままである。このプロセスにおいて、全てのアクティブなサービスが実行中である。各制御ブレード２３４は、ホットスワップ可能であり、これにより、適切な手順が続行される場合に故障したか、または機能障害となったＣＢ２３４は、任意の顧客サービスを下げることなく、動作中のシステム２３０から取り外され得る。
【００３９】
いくつかの実施形態において、それぞれのＣＢ２３４は、管理トラフィック用の４つのイーサネット（登録商標）インターフェースを提供する。それぞれのイーサネット（登録商標）インターフェースは、異なる衝突ドメインを有し、一次および二次ＩＰアドレスで構成され得る。管理使用のために設計されたイーサネット（登録商標）インターフェースは、一次の構成および保護される構成のために構成され、両方が同一のＩＰアドレスを共有し、ＩＳＰ  ＩＰアドレス要件を低減させ得る。ＣＢ２３４イーサネット（登録商標）インターフェースは、多様なオペレーティングシステムに多様な経路を通して十分にメッシュされた通信のために構成され得る。それぞれのＣＢ２３４はまた、セキュリティアプリケーションを使用するために、ランダム＃シードジェネレータを備えられる。
【００４０】
いくつかの実施形態において、それぞれのシステム２３０は、２５個までのアクセスブレード（ＡＢ）２３８を支援する。アクセスブレード２３８は、物理的なライン終端、ハードウェア支援のＩＰ転送、ハードウェア支援の暗号化サービスおよびハードウェア支援のキュー管理を提供する。それぞれのアクセスブレード２３８は、ホットスワップ可能であり、この結果、適切な手順が続行される場合、故障されるか、または機能障害されたａｂは、任意の顧客サービス動作中のシステム２３０から取り外され得る。いくつかの実施形態において、１０／１００イーサネット（登録商標）−、ＤＳ３−およびＯＣ３タイプのアクセスブレードは、システム２３０によって支援される。
【００４１】
図９は、本発明の、リングネットワーク９３２を用いるマルチプロセッサシステム９００の１実施形態のブロック模式図である。いくつかの実施形態において、二つのネットワークリング９３３および９３４のそれぞれは、共にノード９３１に接続する。ここで、それぞれのブレード２３９は、１以上の９３１を含み、それぞれのノード９３１は、１以上のプロセッサ９３０に接続される。いくつかの実施形態において、それぞれのプロセッサは、ＭＩＰＳＣｏｒｐｏｒａｔｉｏｎからのＲ１２Ｋプロセッサ等の高性能プロセッサである。１実施形態において、それぞれのブレード２３９は、４個のノード９３１を含み、それぞれのノード９３１は、一つのプロセッサ９３０を有する。それぞれのプロセッサ９３０は、それ自体のＣＰＵ（中央演算装置）９３５およびメモリ９３６を含み、任意に、ルータ、暗号化ハードウェア等の他のハードウェアを含む。いくつかの実施形態において、ソフトウェアタスクは、あるプロセッサがデータの一部について動作し（例えば、レベル７の処理）、別のプロセッサがデータの別の一部について動作する（例えば、レベル３の処理）ように分割される。他の実施形態において、タスクの様々な処理部分が単一のプロセッサ上で実行し、そのプロセッサを共有する他のタスクについては多重処理をする。したがって、ハードウェアは、スケーラビリティを提供し、ここでローエンドシステムは、仕事全てをするプロセッサをほとんど含まず、ハイエンドシステムは、１００以上のプロセッサを含み、仕事は、より上げられたスピードおよびスループットのためにプロセッサ間に分配される。いくつかの実施形態において、リング構成の複数のプロセッサ９３０は、二重カウンタ回転リング接続９３３および９３４を形成することを含み、それぞれが複数のプロセッサ９３０のそれぞれに接続する。
【００４２】
いくつかの実施形態において、個別の制御リング９３５が提供され、全てのプロセッサ９３０全てに接続される。制御リング９３５上に通過されたデータは、制御通信がプロセッサ間に通過されることを可能にし、特に、制御ブレードがＩＰＳＸ２０１の他のブレードを構成し、制御することを可能にする。他の実施形態において、制御リング９３５が除外され、その機能はリング９３３および９３４上に重ね合わされる。
【００４３】
（論理キュー識別子）
いくつかの実施形態において、リング９３３および９３４は、パケットパッシングリングである。リング内のそれぞれのパケット９５０は、データ部分９５３およびプロセッサ要素識別子（ＰＥＩＤ９５１）を含む。このプロセッサ要素識別子（ＰＥＩＤ９５１）は、それぞれのノード９３１に対して、いずれのプロセッサにパケットが向けられるかを識別する。例えば、１６ビットＰＥＩＤは６５５２６ＰＥの一つを特定する。ＰＥＩＤがプロセッサまたは特定のノードを適合する場合、ノード９３１が適切なプロセッサ９３０にパケットを通過させる。適合しない場合、パケットが次のノード９３１に転送される。いくつかの実施形態において、それぞれのパケットはまた、ソフトウェアエンティティ（例えば、特定のＶＲ２１０用のオブジェクトグループ）を識別する論理キュー識別子（ＬＱＩＤ）を含む。ソフトウェアエンティティは、パケットが向けられるこのプロセッサ９３０上に常駐する。
【００４４】
いくつかの実施形態において、全てのノード９３１は、一意的な、グローバルに一意的な（すなわち、ＩＰＳＸ２０１内、または、一意的または複数のＩＰＳＸ２０１を有するＩＳＰ内に一意的な）ＰＥＩＤ９５１を有する。いくつかの実施形態において、これが為される方法は、ある人がブレードＩＤ（例えば、５ビット）を取り、別の人（ｙｏｕ）が例えば１１ビットであるＰＥ番号を付加する。いくつかの様式においてそれを組み立てると、いくつかのハードウェア構成内にグローバルに一意的である一意的なＩＤを入手する。なお、ＰＥＩＤ９５１はルーティング可能である。ＰＥＩＤ９５１を見るのみにより、システム２０１は、システム２０１がＰＥＩＤ９５１のみに基づいてルーティングし得るように、トポロジカル構造を有する。覚えておくべき次の事項は、システム２０１が複数の仮想コンテキストを管理していることである。システム２０１内のそれぞれのＶＲ２１０は、パケットが向けられるべき仮想ルータである。パケットが例えばノードＮ９３１に入る場合、システム２１０は、パケットを、適切な論理エンティティ、すなわち適切なコンテキストに進め、パケットが表すオブジェクトチャネルに進めることができる必要がある。したがって、宛先プロセッサ（ＰＥ）９３０内で一意的である論理キューＩＤ９５２が追加される。ノード１  ９３０上のプロセッサ９３０内のオブジェクトがノードＮ９３０上のプロセッサ９３０にチャネルをセットアップすることを望む場合、それらがＬＱＩＤ９５２を使用する必要がある。第１のＬＱＩＤ９５２およびＰＥＩＤ９５１がローカル端を共に表し、第２のＬＱＩＤ９５２およびＰＥＩＤ９５１がオブジェクトの遠隔端を共に表し、本システムは、対応するオブジェクトチャネルをマッピングし得、ネットワークを通しているオブジェクトチャネルを規定する。ネットワーキング透視図からは、ＰＥＩＤ９５１は、ＩＰアドレスのようにパケットをルーティングするＩＰアドレスのように見える。しかし、一旦特定のノード９３１に進むと、パケットのＬＱＩＤは、ＵＤＰ（ユーザデータグラムプロトコル、ＴＣＰ／ＩＰプロトコルは、宛先コンピュータ内にあるプログラムにメッセージが到達する方法を説明する）コード番号のように見える。したがって、システム２０１（例えば、ＳＭＳ２２１）は、必然的に信号を与え、システムエンド間にて進むチャネルを有するように適切なＬＱＩＤを取り決める。これは、ＰＥ９３０に入来するトラフィックがそのオブジェクト上の適切なオブジェクトチャネルへの適切なオブジェクトパスに沿って進められることを可能にする。
【００４５】
いくつかの実施形態において、オブジェクトは、別のチャネル上で別のオブジェクトと対話し得るか、または、異なるチャネルを用いて同様のオブジェクトと対話し得る。このような場合、それぞれのチャネルは、異なるＬＱＩＤ９５２を用いるが、同一のＰＥＩＤ９５１を用いる。
【００４６】
いくつかの実施形態において、システム２０１は、トラフィックをうまく処理する（ｃｉｒｃｕｍｖｅｎｔ）ショートカットをセットアップする。このトラフィックは、そうでなければ、システム２０１の外部にて送信され、次いで戻される（例えば、異なる顧客を支援する二つの異なるＶＲ２１０間のトラフィック）。このようなショートカットをセットアップするために、システム２０１は、異なるＬＱＩＤ９５２をショートカットに対して割り当てる。したがって、オブジェクトチャネルは、通常のポイント−ツゥ−ポイントパスを通常のトラフィックのために有し、ショートカットトラフィックのために用いられるマルチ−ポイント−ツゥ−ポイントパスを有する。したがって、パケットがオブジェクトに入来する場合、オブジェクトは、パケットが通常のパスに来るか、またはショートカットパス上で来るかを知る。同様に、オブジェクトがショートカットを用いることを望む場合、オブジェクトはまた、その外部へ出るショートカットトラフィックに異なるＬＱＩＤを割り当てる必要がある。ショートカットパスの一つの興味深い特徴は、通常のポイント−ツゥ−ポイントは双方向であり、データは両方向にフローできるが、ショートカットデータフローは一方向にしかフローしないことである。したがって、受信サイトは、任意の数の送信サイトを有し得る。任意の数のオブジェクトは、同一の受信サイトに送信することができる。このような理由から、これは、マルチ−ポイント−ツゥ−ポイントと呼ばれる。
【００４７】
さらに、いくつかの実施形態は、異なるレベルのショートカットを有する。例えば、パケットは、いくつかの実施形態の連続的な宛先に順次に通過され得る。ショートカットは、パケットが滝のように流れる最終端部にぽつりぽつりと伝わる。さらに、あるオブジェクトがショートカットを知る場合、このオブジェクトは、上記ショートカットについて他のオブジェクトに話し得る。他のオブジェクトが第１のオブジェクトに来て、次いで、ショートカット宛先に向けられる必要もなく、むしろ他のオブジェクトが学んだ上記ショートカットを直接に用いることができる。
【００４８】
サービスプロバイダが管理化ファイアウォールサービスの莫大な収入ポテンシャルを認識しているが、従来のＣＰＥベースの方法を介してこのようなサービスを配置し、管理し、維持するコストは幾分恐ろしいほどである。サービスプロバイダは、現在、資本および動作コストを最小にしながら、高いマージン、価値が付加された（容易に取得され、管理され、繰り返される）公開ネットワークサービスを可能にする新しいサービス配信機構を求めている。ネットワークベースの管理化ファイアウォールサービスを展開させることは、これを達成させるべき有望な手段である。ＩＰサービス配信プラットフォームをサービスプロバイダネットワークに配置することは、顧客の前提からサービスプロバイダの制御の範囲に管理化ファイアウォールサービスのインテリジェンスを生じさせる。
【００４９】
ＩＰサービス配信プラットフォームは、３つの異なるコンポーネントからなる。第１は、知的で、かつ高度にスケーラブルなＩＰサービス処理スイッチである。次は、高速サービス取得および集中システム管理を可能にする包括的なサービス管理システム（ＳＭＳ）である。最後のコンポーネントは、強力な顧客ネットワーク管理（ＣＮＭ）システムである。この顧客ネットワーク管理（ＣＮＭ）システムは、詳細なネットワークおよびサービス性能システムを企業顧客に提供し、自己取得を可能にし、管理化ネットワークサービスの制御を失うというＩＴマネージャの不安を和らげる。
【００５０】
ネットワークベースの管理化ファイアウォールサービスモデルにおいて、サービスプロバイダは、ＰＯＰでの高キャパシティアクセス集中ルータをＩＰサービス処理スイッチに置き換える。これは、より高キャパシティで、よりロバストで、よりインテリジェントなアクセススイッチであり、１００＋ＲＩＳＣ  ＣＰＵまでのスケーラブルな処理部を備える。アクセスルータに関して、さらなる顧客アクセスキャパシティは、ＩＰサービス処理スイッチシャーシにさらなるポートアクセスブレードをインストールして追加される。しかし、従来のアクセスルータと異なり、ワイヤ速度性能（ｗｉｒｅ  ｓｐｅｅｄ  ｐｅｒｆｏｒｍａｎｃｅ）およびサービス処理を保証にするように追加される。
【００５１】
インテリジェンス（ｉｎｔｅｌｌｉｇｅｎｃｅ）がＩＰサービス処理スイッチに常駐しているので、ＣＰＥデバイスをそれぞれの保護された顧客サイトに配置する必要性がない。管理化ファイアウォールサービスの配置、構成および管理全ては、ＩＰサービス処理スイッチ２３０とそのサービス管理システム２２１との間で生じる。そのサービス管理システム２２１は、サービスプロバイダＮＯＣにおいてハイエンドＵＮＩＸ（登録商標）プラットフォーム上に常駐する。顧客はまた、ウェブベースの顧客ネットワーク管理ツールを介して、サービスの取得および促進を開始する能力を有する。このウェブベースの顧客ネットワーク管理ツールは、一般に、顧客本部サイトに常駐する。これは、全体的に異なるサービス配信パラダイムであり、最小の介入またはトラックロールなしの介入あるいは、オンサイトの介入を必要としている。
【００５２】
管理化ネットワークベースのファイアウォールサービスを展開させるために、サービスプロバイダのセキュリティスタッフが企業に相談し、これにより会社ネットワークインフラストラクチャの理解を得、適切なセキュリティポリシーを展開する（これはＣＰＥモデルと類似のプロセスである）。一旦これが達成されると、ＮＯＣセキュリティスタッフは、領域的なＰＯＰのＩＰサービス処理スイッチに（サービス管理システム２２１を用いて）遠隔的にアクセスし、企業顧客にサービスを提供する。ファイアウォールサービスは、遠隔的に取得され、構成される。
【００５３】
このモデルは、サービスプロバイダが企業の現存するサービスインフラストラクチャ（リースされたラインおよびフレームリレーＰＶＣ）に投機することを可能にし、これにより、トラックロールなしで、新しく価値を付加されたサービスを配信する。全てのファイアウォールおよびＶＰＮ機能性がＰＯＰでのＩＰサービス処理スイッチ上に常駐し、次いで、サービスプロバイダからオンサイトシステムの統合および構成から構成し、企業顧客から効率的に技術を隠す。ファイアウォール検査およびアクセス制御機能およびＶＰＮトンネリングおよび暗号化は、ＩＰサービス処理スイッチにて、ＷＡＮにわたって生じ、一方で企業のセキュアなリースされたラインまたはフレームリレーＰＶＣ（永続的仮想回路）アクセスリンクがあるべき所にあるままである。顧客インターフェースは、管理化ファイアウォールサービスが展開するちょうど前に、そのルータと（アクセスルータとして機能する）ＩＰサービス処理スイッチとの間にある。さらに、顧客は、本部サイトに一般に常駐するＣＮＭを介して、ネットワークのセグメントへの可視性および制御を有する。
【００５４】
【表１】
0004628646.tif 000002
ネットワークベースのファイアウォールモデルはまた、サービスプロバイダが全ての企業顧客サイトに管理化ファイアウォールソルーションを素早くかつ、コスト効率良く展開することを可能にする。結果として、セキュアなインターネットアクセスは、全てのサイトに提供され得、これにより、ＷＡＮにわたって中央集権化されたセキュアなアクセスポイントを行き来する帰路用インターネットトラフィックに関する性能および複雑さの問題を排除する。
【００５５】
ＩＰサービス配信プラットフォームが価値を付加された公開ネットワークサービスを可能にするように設計されているので、このプラットフォームは、従来のアクセスルータよりロバストで、より高キャパシティを有し、ＣＰＥベースのシステムよりスケーラブルで管理可能な規模の大きさであるキャリアグレードシステムである。プラットフォームのサービス管理システムは、管理化ファイアウォールサービスおよび他の管理化ネットワークサービスのホストが取得され、構成され、ポイント−クリックの容易さで管理され、費用の高い、上級のセキュリティ専門家の必要性を最小限にし、サービス展開リードタイムを大幅にカットすることを可能にする。サービス管理システムは、ＩＰサービス処理スイッチ群および数万の企業ネットワークおよびＩＰアドレスを介してＮＯＣからＰＯＰでのプラットフォームへのインターフェースを支援することを可能にする。増分的なさらなるプラットフォームおよび顧客に対するサポートがモジュラーソフトウェアアドオンを介して追加される。サービスは、ＳＭＳシステムの一つのポイントおよびクリックメニュを介して取得されるとともに、ＣＮＭシステムを介して顧客によって直接に要求され得る。
【００５６】
搬送ネットワークのロバスト（ｒｏｂｕｓｔ）なＩＰサービス配信プラットフォームの展開によって、サービスプロバイダは、ＣＰＥベースのソリューション（ｓｏｌｕｔｉｏｎ）の資本コストおよび営業コストの何分の１かで、高値の、管理化ネットワークベースサービスを迅速にターンアップ（ｔｕｒｎ−ｕｐ）することが可能である。これにより、サービスプロバイダは、コストが最小のサービス配信およびサポート構造を得ることが可能である。さらに、サービスプロバイダは、より高いマージンを得て、（管理化ファイアウォールサービスをより低い顧客価格で提供する場合でも）従来のサービス配信機構を利用する競合者よりもより市場を占有することが可能である。
【００５７】
以下の実施形態は、サービスプロバイダ、システムインテグレータ、および、ハードウェア／ソフトウェアベンダーによって使用可能な四つの特定の管理化ファイアーウォールサービス配信アーキテクチャを探索する。
【００５８】
（ＣＰＥベースのモデル）
アーキテクチャ１：チェックポイント／Ｎｏｋｉａ装置
このアーキテクチャは、ファイアウォール／ＶＰＮ  ＣＰＥ装置、従来のアクセスルータ、および、管理化ファイアウォールソリューションを配信するソフトウェアベース中央管理システムを用いる。このソリューションの特定のコンポーネントは、
１．支部サイトにおけるチェックポイント（Ｃｈｅｃｋ  Ｐｏｉｎｔ）／ＮｏｋｉａＶＰＮ−１／ＩＰ−３３０装置（５０ユーザライセンス）
２．本部にあるＳｕｎ  Ｅｎｔｅｒｐｒｉｓｅ  Ｕｌｔｒａ２５０サーバプラットフォーム上のチェックポイントＶＰＮ−１／ファイアウォール−１ソフトウェアモジュール（非限定ユーザライセンス）
３．サービスプロバイダのＰＯＰにおけるシスコＣｉｓｃｏ７５１３アクセスルータ（余剰電力、余剰ＲＳＰ４）
４．ネットワークオペレーションセンター（Ｎｅｔｗｏｒｋ  Ｏｐｅｒａｔｉｏｎｓ  Ｃｅｎｔｅｒ）（ＮＯＣ）におけるＳｕｎ  Ｕｌｔｒａ６０プラットフォーム上に非限定サイト／顧客を有する（５０の顧客／モジュールをサポートする）サービスプロバイダのＮＯＣにおけるチェックポイントプロバイダ（Ｐｒｏｖｉｄｅｒ）−１管理システム
を含む。
【００５９】
図１０は、チェックポイント／Ｎｏｋｉａ装置ソリューションを有する管理化ファイアフォールサービスを提供するシステム１０００のブロック図を示す。
【００６０】
アーキテクチャ２：チェックポイントサーバ
このアーキテクチャは、ファイアウォール／ＶＰＮ  ＣＰＥサーバ、従来のアクセスルータ、および、管理化ファイアウォールソリューションを配信するソフトウェアベース中央管理システムを用いる。このソリューションの特定のコンポーネントは、
５．支部サイトにおけるＳｕｎ５Ｓサーバプラットフォーム上のチェックポイントＶＰＮ−１／ファイアウォール−１ソフトウェアモジュール（５０ユーザライセンス）
６．本部にあるＳｕｎ  Ｅｎｔｅｒｐｒｉｓｅ  Ｕｌｔｌａ２５０サーバプラットフォーム上のチェックポイントＶＰＮ−１／ファイアウォール−１ソフトウェアモジュール（非限定ユーザライセンス）
７．サービスプロバイダＰＯＰにおけるＣｉｓｃｏ７５１３アクセスルータ（余剰電力、余剰ＲＳＰ４）
８．ＮＯＣにおけるＳｕｎ  Ｕｌｔｌａ６０プラットフォーム上に非限定サイト／顧客を有する（５０の顧客／モジュールをサポートする）チェックポイントプロバイダ−１管理システム
を含む。
【００６１】
図１１は、チェックポイントファイアウォール−１サーバベースソリューションを有する管理化ファイアウォールサービスを提供するシステム１１００のブロック図を示す。
【００６２】
アーキテクチャ３：ウォッチガード（ＷａｔｃｈＧｕａｒｄ）装置モデル
このアーキテクチャは、ファイアウォール／ＶＰＮ  ＣＰＥ装置、従来のアクセスルータ、および、管理化ファイアウォールソリューションを配信するソフトウェアベース中央管理システムを用いる。このソリューションの特定のコンポーネントは、
９．支部サイトにおけるＷａｔｃｈＧｕａｒｄ  Ｆｉｒｅｂｏｘ  ＩＩ  Ｐｌｕｓ装置
１０．サービスプロバイダＰＯＰにおけるＣｉｓｃｏ７５１３アクセスルータ（余剰電力、余剰ＲＳＰ４）
１１．Ｃｏｍｐａｑ  Ｐｒｏｌｉａｎｔ  ３０００  Ｗｉｎｄｏｗｓ（登録商標）  ＮＴ  ワークステーションプラットフォーム上に非制限のサイト／顧客を、Ｓｕｎ  Ｍｉｃｒｏｓｙｓｔｅｍｓ  ５Ｓ  サーバプラットフォーム上にイベントプロセッサ（Ｅｖｅｎｔ  Ｐｒｏｃｅｓｓｏｒ）を有する（５００の顧客／モジュールをサポートする）ＭＳＳ管理システムのためのＷａｔｃｈＧｕａｒｄ
を含む。
【００６３】
図１２は、ＷａｔｃｈＧｕａｒｄ装置ソリューションを有する管理化ファイアウォールサービスを提供するシステム１２００のブロック図を示す。ＣＰＥベースの管理化ファイアウォールサービスモデルは、３つのネットワークポイント（サービスプロバイダＰＯＰ、サービスプロバイダＮＯＣ、および、顧客宅）においてシステムコンポーネントのインストールおよび構成を必要とする。
【００６４】
ＰＯＰのインフラストラクチャ
この解析において探求された３つのＣＰＥベースのアーキテクチャの各々は、同一のＰＯＰインフラストラクチャを用いる。このアクセスインフラストラクチャは、Ｃｉｓｃｏ７５１３ルータに基づいている。この７５１３の基本的な構造は、
１２．１３スロットのシャーシ
１３．ＩＯＳサービスプロバイダシステムソフトウェア
１４．（２）供給電力
１５．（２）ルートスイッチプロセッサ（ＲＳＰ４）
１６．（２）ＲＳＰ４  １２８ＭＢ  ＤＲＡＭ  オプション
１７．（２）ＲＳＰ４  ２０ＭＢ  フラッシュカードオプション
１８．２−ポート  高速  イーサネット（登録商標）カード
１９．６４ＭＢ  ＤＲＡＭオプション
２０．８ＭＢ  ＳＲＡＭオプション
を含む。
【００６５】
各々のこの基本的な構造のＲＳＰ４カードは、ポートアダプタのために１１を残してシャーシ内の一つのスロットを消費する。イーサネット（登録商標）カードは、ソフトウェアの更新のために加えられる。進入（Ｉｎｇｒｅｓｓ）トラフィックは、二重ポートチャネル化カード、および／または、（Ｔ３接続専用の）二重ポート非チャネル化Ｔ３カードを介してサポートされる。各々のチャネル化されたＴ３ポートは、１２８ＤＳ０までサポートされ得、または、ＮｘＴ１チャネル単一−ポートＯＣ−３  ＰＯＳカードは、出口側のネットワークリンクに接続性を提供する。これらのカードの各々は、単一のスロットを占める。各々のカードは、プログラム可能な多目的インタフェースプロセッサ（Ｖｅｒｓａｔｉｌｅ  Ｉｎｔｅｒｆａｃｅ  Ｐｒｏｃｅｓｓｏｒ）（ＶＩＰ２）、６４ＭＢの追加のＤＲＡＭ、および、８ＭＢの追加のＳＲＡＭを必要とする。ＶＩＰ２および追加のメモリは、Ｔ３／ＯＣ−３カード上に常駐して、追加のスロットを消費しない。
【００６６】
仮説において説明されたように、従来のマルチプレクサは、ＰＯＰに存在して、Ｃｉｓｃｏ７５１３ルータ上のチャネル化Ｔ３インタフェースへの様々なサブ−Ｔ１顧客アクセスリンクアップ（ｌｉｎｋ  ｕｐ）を総計する。ＰＯＰインフラストラクチャのインストールおよび構成プロセスがこの解析で探求された全ての管理化ファイアウォールサービスモデルについて一様であるために、これらのプロセスに関連するコストは、数値化される。
【００６７】
本発明のネットワークベースモデル−アーキテクチャ４
ＩＰサービス配信プラットフォーム３００は、ＩＰサービス処理スイッチ（Ｓｅｒｖｉｃｅ  Ｐｒｏｃｅｓｓｉｎｇ  Ｓｗｉｔｃｈ）（ＩＰＳＸ２３０）、サービス管理システム（ＳＭＳ２２１）および顧客ネットワーク管理システム（ＣＮＭＳ２２２）を含む。
【００６８】
このアーキテクチャは、ＩＰサービス処理スイッチ、および、管理化ファイアウォールソリューションを配信するソフトウェアベース中央ＳＭＳを用いる。このソリューションの特定のコンポーネントは、
２１．サービスプロバイダＰＯＰにおけるＩＰＳＸ２３０（ＩＰサービス処理スイッチ）
２２．サービスプロバイダＮＯＣにおけるＳｕｎ  Ｕｌｔｌａ６０サーバ上のサービス管理システム２２１
２３．加入者本部におけるＩｎＧａｇｅＴＭ顧客ネットワーク管理システム
を含む。
【００６９】
図１３は、管理化ファイアウォールサービスに本発明のＣｏＳｉｎｅのネットワークベースソリューションを提供するシステム１３００のブロック図を示す。
【００７０】
ＰＯＰインフラストラクチャ
ネットワークベースの管理化ファイアウォールサービスモデルのＰＯＰアクセスインフラストラクチャは、ＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  ＩＰＳＸ９０００サービス処理スイッチに基づいている。このスイッチのための基本的な構成は、
２４．２６−スロットのシャーシ
２５．余剰の電力供給
２６．ＩＰＮＯＳベースソフトウェア
２７．（ミッドプレーン（ｍｉｄｐｌａｎｅ）を完了する）リングブリッジ（Ｒｉｎｇ  Ｂｒｉｄｇｅ）＆リングブリッジ  パス−スルー
２８．（Ｉｎｖｉｓｉｏｎ  サービス管理システムとの通信のための）制御ブレード
２９．二重ポートチャネル化ＤＳ３アクセスブレード
３０．二重ポート非チャネル化ＤＳ３アクセスブレード
３１．プロセッサブレード
３２．ＯＣ−３ｃＰＯＳ主要ブレード
を含む。
【００７１】
解析
管理化ファイアウォールサービスを配置する４つのサービス配信アーキテクチャを解析することによって、ＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  ＩＰサービス配信プラットフォームに基づくネットワークベースモデルを実施する際に有利なようにデータを極端に強制することが明らかになる。以下の領域の各々において、このモデルを利用することは非常に有効である。
【００７２】
（オペレーション「ソフト」コスト）
ネットトワークベースで管理化ファイアウォールソルーションは、ＣＰＥベースのソルーション（特にサイト当たりのトラックロールおよびデバイスインストレーション料金）の展開に関連付けられたほとんどの急激なオペレーションコストを取り除く。ＣｈｅｃｋＰｏｉｎｔサーバベースのＣＰＥ展開およびインストレーションオペレーションコストのみは、ＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎネットワークベースのモデルにおいて必要とされた全５年間の資本設備投資を超える。これらのコスト１４００は図１４に示される。ＰＯＰおよびＮＯＣビルドアウトのためのインストレーションおよび構成のコストは、全てのソリューションにわたるこれらの処理の不均一性のために本研究では定量化されないが、ＣｏＳｉｎｅ  ＩＰＳＸ  ９０００サービス処理スイッチおよびＩｎｖｉｓｉｏｎサービス管理システムは、インストレーションされ構成される必要があるより少ないコンポーネント（スイッチシャーシ、ＮＯＣサーバおよびソフトウエア）を生じることに留意する価値がある。
【００７３】
（マーケットまでの時間、収入までの時間）
ネットワークベースの管理化ファイアウォールソリューションは、サービスプロバイダが管理化ファイアウォールサービスを展開するために必要な準備期間を大幅に短縮することを可能にする。サービスオファーからのＣＰＥコンポーネントの除去は、デバイスを獲得する必要性を除去する。これはまた、オンサイトインストレーションのスケジューリングに関連付けられた遅延を除去する。
【００７４】
（複雑さ）
ネットワークベースの管理化ファイアウォールソリューションは、サービスの展開に関連付けられた複雑さを大幅に低減する。配信されたデバイスの数は、数千のリモート顧客サイトから既に設けられたほんのわずかのＰＯＰに低減され、管理およびメンテナンスを著しく簡略化する。
【００７５】
ネットワークベースの管理化ファイアウォールサービスモデルは、調整可能な、反復可能な、およびコスト効率の良いサービスプロバイダのために新しい収入源を作る。中央管理サービスをてこ入れする（ｌｅｖｅｒａｇｅ）ことは、サービスプロバーダが既存の基本的なアクセスインフラストラクチャからより大きい価値を導くことを可能にする。ネットワークベースのモデルは、ＣＰＥベースのソリューションに必要な高価なオンサイトインストレーションおよびメンテナンスを除去し、同じ配信メカニズムによってさらなる価値が添付されたサービスを展開する基礎を提供する。またＣＰＥデバイスの除去は、顧客からの管理化ファイアウォールソリューションの技術を効率的に隠すことによって、内部ネットワークの複雑さおよび技術的な不安を低減する。
【００７６】
ＣｏＳｉｎｅ  ＣｏｍｍｕｎｉｃａｔｉｏｎＩＰサービス配信プラットフォーム３００は、サービスプロバイダがネットワークベースで管理化ファイアウォールサービスを展開する利益を得ることを可能にする。ＩＰＳＸ９０００サービス処理スイッチはロバストであり、数百の顧客サイトおよびネットワークベースのファイアウォールをサポートすることを可能にする高い利用可能性プラットフォームである。Ｉｎｖｉｓｉｏｎサービス管理システムは、広域全国ネットワーを介して数千の管理化ファイアウォール顧客を高速に取得および管理することを可能にし、サービスプロバイダが少数のスタッフリソースによって駆動されるボリュームセキュリティサービスをてこ入れすることを可能にする。ＩｎＧａｇｅＴＭ顧客ネットワーク管理システムは、管理化ネットワークサービスを見ることおよび強化するように顧客ＩＴマネージャに権限を与える。ＩＰサービス配信プラットフォームは、顧客ベースに新しい価値が添付されたサービスを連続的に展開するようにサービスプロバイダを配置し、これにより収入を最大化し、顧客ロックインを作成する。
【００７７】
ＩＰサービス配信プラットフォーム３００を利用するサービスプロバイダは、高い価値のＩＰベースのサービスを展開する際に重要な競争力のあるエッジを得るべきである。本発明のＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎソリューションは、サービスプロバイダが、従来のＣＰＥベースのアプローチによって管理化ファイアウォールサービスを展開することに関連付けられた資本コストを節約することを可能にする。さらに本発明のＣｏＳｉｎｅソリューションは、実質的には、ＣＰＥアプローチを悩ます高価なオペレーション「ソフト」のコストを除去する。さらに、顧客の数および帯域幅要求は経時的に増加し、コスト節約を行う。これは、大幅に収入が増加する一方で、サービスプロバイダがコストリーダーシップポジションを得ることを可能にする。
【００７８】
最終的には、ＩＰサービス配信プラットフォーム（ＩＰＳＤＰ３００）は、高い価値のある管理化ネットワークベースのファイアウォールサービスをオファーすることを探求しているサービスプロバイダにとって理想的なソリューションである。
【００７９】
本発明の一局面はパケットルーティングの方法を提供する。本方法は、ネットワークに複数のプロセッサを接続するステップと、固有のプロセッサ識別子（ＰＥＩＤ）を各プロセッサに割り当てるステップと、ネットワークを介して第１のパケットをプロセッサの第１のプロセッサにルーティングするステップであって、このようなパケットのそれぞれは、プロセッサの内の一つのＰＥＩＤに対応するＰＥＩＤ値を含み、第１のプロセッサへのルーティングは、第１のパケットのＰＥＩＤ値に基づく、ステップと、第１のプロセッサに複数のオブジェクトを構築するステップと、論理キュー識別子（ＬＱＩＤ）を第１のプロセッサにおけるオブジェクトの第１のオブジェクトに割り当てるステップであって、各パケットはまたオブジェクトの内の一つのＬＱＩＤに対応するＬＱＩＤ値を含む、ステップと、第１のパケットを第１のパケットにおけるＬＱＩＤ値に基づく第１のオブジェクトにルーティングするステップとを含む。
【００８０】
いくつかの実施形態は、複数の異なるＬＱＩＤを第１のオブジェクトに割り当てるステップとをさらに含む。
【００８１】
いくつかの実施形態は、複数のパケットを各パケット（各パケットは異なるＬＱＩＤを有する）におけるＬＱＩＤ値に基づいて第１のオブジェクトにルーティングするステップをさらに含む。
【００８２】
いくつかの実施形態では、第１のオブジェクトは仮想ルータ（ＶＲ）に関連付けられる。
【００８３】
いくつかの実施形態は、ポイントツゥーポイントデータトラフィックのために使用されるべき第１のオブジェクトを用いて第１のＬＱＩＤを構築するステップと、ショートカットデータトラフィックのために使用されるべき第１のオブジェクトを用いて第２のＬＱＩＤを構築するステップとをさらに含む。
【００８４】
いくつかの実施形態では、ネットワークはリングトポロジーで構成される。
【００８５】
本発明の別の局面は、パケットをルーティングするためのシステムを提供する。本システムは、ネットワークを用いて互いに結合された複数のプロセッサであって、各プロセッサは固有のプロセッサ識別子（ＰＥＩＤ）を含み、第１のパケットはネットワークを介してプロセッサの内の第１のプロセッサにルーティングされ、このようなパケットのそれぞれは、プロセッサの内の一つのＰＥＩＤに対応するＰＥＩＤ値を含み、第１のプロセッサへのルーティングは、第１のパケットにおけるＰＥＩＤ値に基づく、複数のプロセッサと、第１のプロセッサにおける複数のオブジェクトであって、このようなオブジェクトのそれぞれは、論理キュー識別子（ＬＱＩＤ）が割り当てられ、各パケットはまた、オブジェクトの内の一つのＬＱＩＤに対応するＬＱＩＤ値を含む、複数のオブジェクトと、第１のパケットにおけるＬＱＩＤ値に基づく第１のオブジェクトに第１のパケットをルーティングするソフトウエアとを含む。
【００８６】
いくつかの実施形態では、複数の異なるＬＱＩＤは、第１のオブジェクトに同時に割り当てられる。
【００８７】
いくつかの実施形態では、ルーティングする手段は、複数のパケット（各複数のパケットは異なるＬＱＩＤを有する）を各パケットにおけるＬＱＩＤ値に基づく第１のオブジェクトにルーティングする手段を含む。
【００８８】
いくつかの実施形態では、第１のオブジェクトは仮想ルータ（ＶＲ）に関連付けられる。
【００８９】
いくつかの実施形態では、第１のＬＱＩＤは、ポイントツゥーポイントデータトラフィックのために使用されるべき第１のオブジェクトに関連付けられ、第２のＬＱＩＤは、ショートカットデータトラフィックのために使用されるべき第１のオブジェクトに関連付けられる。
【００９０】
いくつかの実施形態では、ネットワークはリングトポロジーで構成される。
【００９１】
本発明のさらに別の局面は、パケットをルーティングするためのシステムを提供する。本システムは、ネットワークを用いて互いに結合された複数のプロセッサであって、各プロセッサは固有のプロセッサ識別子（ＰＥＩＤ）を含み、第１のパケットはネットワークを介してプロセッサの内の第１のプロセッサにルーティングされ、このようなパケットのそれぞれは、プロセッサの内の一つのＰＥＩＤに対応するＰＥＩＤ値を含み、第１のプロセッサへのルーティングは、第１のパケットにおけるＰＥＩＤ値に基づく、複数のプロセッサと、第１のプロセッサにおける複数のオブジェクトであって、このようなオブジェクトのそれぞれは、論理キュー識別子（ＬＱＩＤ）が割り当てられ、各パケットはまた、オブジェクトの内の一つのＬＱＩＤに対応するＬＱＩＤ値を含み、第１のパケットにおけるＬＱＩＤ値に基づく第１のオブジェクトに第１のパケットをルーティングする、複数のオブジェクトとを含む。
【００９２】
いくつかの実施形態は、複数の顧客間のプロセッサ能力の変更可能な規定を提供するサービス管理システムをさらに含む。
【００９３】
いくつかの実施形態は、複数の顧客のそれぞれに対するファイアウォール保護を提供するサービス管理システムをさらに含む。
【００９４】
ネットワークベースの管理化ファイアウォールサービスモデルは、サービスプロバイダのための調整可能な、反復可能な、そしてコスト効率の良い新しい収入源を作成する。中央管理サービスをてこ入れすることは、サービスプロバイダが既存の基本的なアクセスインフラストラクチャからより大きい価値を導くことを可能にする。ネットワークベースのモデルは、ＣＰＥベースのソリューションに必要な高価なオンサイトインストレーションおよびメンテナンスを除去し、同一の配信メカニズムを介してさらなる値が添付されたサービスを展開するための基礎を提供する。ＣＰＥデバイスの除去はまた、顧客からの管理化ファイアウォールソリューションの技術を効率的に隠すことによって内部ネットワークの複雑さおよび技術的不安を低減する。
【００９５】
ＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  ＩＰサービス配信プラットフォーム３００は、サービスプロバイダがネットワークベースで管理化ファイアウォールサービスを展開する利益を得ることを可能にする。ＩＰＳＸ９０００サービス処理スイッチはロバストであり、数百の顧客サイトおよびネットワークベースのファイアウォールをサポートすることを可能にする高い利用可能性プラットフォームである。Ｉｎｖｉｓｉｏｎサービス管理システムは、広域全国ネットワークを介して数千の管理化ファイアウォール顧客を高速に提供および管理することを可能にし、サービスプロバイダが少数のスタッフリソースによって駆動されるボリュームセキュリティサービスをてこ入れすることを可能にする。ＩｎＧａｇｅＴＭ顧客ネットワーク管理システムは、管理化ネットワークサービスを見ることおよび強化するように顧客ＩＴマネージャに権限を与える。ＩＰサービス配信プラットフォームは、顧客ベースに新しい値が添付されたサービスを連続的に展開するようにサービスプロバイダを配置し、これにより収入を最大化し、顧客ロックインを作成する。
【００９６】
ＩＰサービス配信プラットフォーム３００を利用するサービスプロバイダは、高い値のＩＰベースのサービスを展開する際に重要な競争力のあるエッジを得るべきである。ＣｏＳｉｎｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎソリューションは、サービスプロバイダが、従来のＣＰＥベースのアプローチによる管理化ファイアウォールサービスを展開することに関連付けられた資本コストを節約することを可能にする。さらに本発明のＣｏＳｉｎｅソリューションは、実質的には、ＣＰＥアプローチを受ける高価なオペレーション「ソフト」のコストを除去する。さらに、顧客の数および帯域幅要求は経時的に増加し、コスト節約を行う。これは、大幅に収入が増加する一方で、サービスプロバイダがコストリーダーシップポジションを得ることを可能にする。
【００９７】
最終的には、ＩＰサービス配信プラットフォーム（ＩＰＳＤＰ３００）は、高い値の管理化ネットワークベースのファイアウォールサービスをオファーすることを探求しているサービスプロバイダにとって理想的なソリューションである。
【００９８】
いくつかの実施形態では、ネットワーク産業支援設備ベンダー、サービスプロバイダ、および企業の一つ以上の経営コンサルタントのセットは、戦略的決定を行い、リスクを軽減し、そしてビジネスおよび技術コンサルティング契約による変化に影響を受ける。このアプローチは、各クライアント特有の問題、目標、予算に合わせられる。
【００９９】
これらのコンサルタントは、ネットワーク産業のリーダであり、産業リーダとの秘密契約および一般的な外観（ｐｕｂｌｉｃ  ａｐｐｅａｒａｎｃｅ）および業界誌の記事による動向に影響を与える。これらの相互作用は、クライアントが最新の産業概念および先端技術動向を知っている最初の者の中にいることをクライアントに保証する。
【０１００】
各コンサルティング契約が固有に構造化される。すなわち、強制された方法論または決まりきったレポートが利用されない。全ての者の意見を尊重しこれを求める統合クライアント／経営コンサルタントが各契約について形成される。
【０１０１】
本発明は、サービスプロバイダがインターネットサービス、仮想プライベートネットワークサービス、ファイアウォールサービス等を複数の顧客に提供することを可能にするフレキシブルな調整可能なハードウエアおよびソフトウエアプラットフォームを提供する。このソリューションは、個々の変更要求に応じて、各顧客に多少の処理パワーおよびストレージを提供するように変化し得る。
【０１０２】
本発明の一局面は、セキュリティサービスを配信する方法を提供する。本方法は、第１の処理システム内のリング構成で複数のプロセッサ９３０を接続するステップと、トンネルを形成するように、第２の処理システムへのインターネットプロトコル（ＩＰ）接続を介してリング構成でプロセッサ間のセキュアな接続を構築するステップと、リング構成で複数のプロセッサを使用し第２の処理システムを使用してルータサービスおよびホストサービスの両方を顧客に提供するステップとを含む。
【０１０３】
いくつかの実施形態では、通信ネットワークをサポートするためにいくつかの実施形態における一つ以上のプロセッサ、すなわち複数のプロセッサは、一つ以上の制御プロセッサ、一つ以上のアクセスプロセッサ、および一つ以上の処理プロセッサを含む。
【０１０４】
いくつかの実施形態では、各複数の顧客に対して、仮想ルータ２１０は、第１の処理システム４０１において形成され、第２のシステム４０２において形成された仮想ルータ２１０に動作可能に接続される。
【０１０５】
いくつかの実施形態では、各複数の顧客に対して、仮想プライベートネットワーク４１０は、仮想ルータ２１０を用いて第１の処理システム４０１に形成され、第２のシステム４０２に形成された仮想ルータ２１０に動作可能に接続される。
【０１０６】
いくつかの実施形態では、複数のプロセッサをリング構成で接続することは、二重カウンタ回転リング接続９３３および９３４を形成することを含み、各接続は、複数のプロセッサ９３０のそれぞれに接続させる。
【０１０７】
本発明の別の局面は、セキュリティサービスを配信するシステムを提供する。このシステム２０１は、第１の処理システム４０１内にリング構成の複数のプロセッサ２３０と、トンネルを形成するように第２の処理システム４１２へのインターネットプロトコル（ＩＰ）接続を介してリング構成４１１でプロセッサの間にセキュアな接続４１８を構築するための手段および複数のプロセッサをリング構成４１１で使用し、第２の処理システム４１２を使用してルータサービスおよびホストサービスの両方を顧客に提供するための手段とを含む。
【０１０８】
いくつかの実施形態では、通信ネットワークをサポートするために、複数のプロセッサは、一つ以上の制御プロセッサ、一つ以上のアクセスプロセッサ、および一つ以上の処理プロセッサを含む。
【０１０９】
いくつかの実施形態では、各複数の顧客に対して、仮想ルータは、第１の処理システムにおいて形成され、第２のシステムにおいて形成された仮想ルータに動作可能に接続される。
【０１１０】
いくつかの実施形態では、各複数の顧客に対して、仮想プライベートネットワークは、第１の処理システムに形成された仮想ルータを用いて形成され、第２のシステムに形成された仮想ルータに動作可能に接続される。
【０１１１】
いくつかの実施形態では、複数のプロセッサをリング構成で接続することは、二重カウンタ回転リング接続を形成することを含み、各接続は、複数のプロセッサのそれぞれに接続させる。
【０１１２】
本発明のさらに別の局面は、セキュリティサービスを配信するシステム２０１を提供する。この第２のシステム２０１は、リング構成で接続された第１の処理システム内の複数のプロセッサと、第２の処理システムへのインターネットプロトコル（ＩＰ）接続を介してリング構成で、プロセッサの間にセキュアな接続を用いて形成されたトンネルとを含む。ルータサービスおよびホストサービスの両方は、複数のプロセッサをリング構成で使用し、第２の処理システムを使用してルータサービスおよびホストサービスの両方を顧客に提供する。
【０１１３】
この第２のシステムのいくつかの実施形態では、通信ネットワークをサポートするために、複数のプロセッサ９３０は、一つ以上の制御プロセッサ２３４、一つ以上のアクセスプロセッサ２３８、および一つ以上の処理プロセッサ２３６を含む。いくつかの実施形態では、一つ以上のこれらのプロセッサは、ブレード２３９にパッケージングされる。
【０１１４】
この第２のシステムのいくつかの実施形態では、各複数の顧客に対して、仮想ルータ２１０は、第１の処理システム４０１において形成され、第２のシステム４０２において形成された仮想ルータ２１０に動作可能に接続される。
【０１１５】
この第２のシステムのいくつかの実施形態では、各複数の顧客に対して、仮想プライベートネットワーク４１０は、第１の処理システム４０１に形成された仮想ルータ２１０を用いて形成され、第２のシステム４１０に形成された仮想ルータ２１０に動作可能に接続される。
【０１１６】
この第２のシステムのいくつかの実施形態では、複数のプロセッサ２３０をリング構成で接続することは、二重カウンタ回転リング接続９３２および９３３を形成することを含み、各接続は、複数のプロセッサ９３０のそれぞれに接続させる。
【０１１７】
この第２のシステムのいくつかの実施形態では、複数の顧客間にプロセッサ能力の変更可能な規定を提供するサービス管理システム２２１をさらに含む。
【０１１８】
この第２のシステムのいくつかの実施形態では、各複数の顧客に対してファイアウォール保護を提供するサービス管理システム２２１をさらに含む。
【０１１９】
この第２のシステムのいくつかの実施形態では、複数の顧客間にプロセッサ能力の変更可能な規定を提供するサービス管理システム２２１をさらに含み、各顧客のリソースは、全ての他の顧客のリソースから分離される。
【０１２０】
上述の説明は例示的であり、制限されないことが意図されることが理解される。多くの他の実施形態は、上述の説明を検討する際に当業者に明らかである。従って、本発明の範囲は、このような特許請求の範囲が権利付与される均等物の全範囲と共に、添付の特許請求の範囲に関して決定されるべきである。
【図面の簡単な説明】
【図１】  図１は、本発明の、インターネット９９に接続された複数のＩＳＰボックス１１０を有するシステム１００の１実施形態のブロック模式図である。
【図２】  図２は、本発明の、サービスプロバイダネットワーク２００の１実施形態のブロック模式図である。
【図３】  図３は、本発明の、ＩＰサービス配信プラットフォーム３００の１実施形態のブロック模式図である。
【図４】  図４は、本発明の、複数の仮想プライベートネットワーク４１０、４２０、４３０、４４０を提供するシステム４００の１実施形態のブロック模式図である。
【図５】  図５は、本発明の、リングネットワークハードウェアプラットフォーム２３０の１実施形態のブロック模式図である。
【図６】  図６は、本発明の、サービス処理スイッチ６００の１実施形態のブロック模式図である。
【図７】  図７は、従来の現存するネットワーク要素を含む統括されたシステム７００の１実施形態のブロック模式図である。
【図８】  図８は、本発明の、ハードウェア要素２３０およびソフトウェア要素２２０の１実施形態のブロック模式図である。
【図９】  図９は、本発明の、リングネットワーク９３２を用いるマルチプロセッサシステム９００の１実施形態のブロック模式図である。
【図１０】  図１０は、比較用の、システム１０００のブロック模式図を示す。
【図１１】  図１１は、比較用の、システム１１００のブロック模式図を示す。
【図１２】  図１２は、比較用の、システム１２００のブロック模式図を示す。
【図１３】  図１３は、比較用の、システム１２００のブロック模式図を示す。
【図１４】  図１４は、検査点動作上の「ソフト」コスト１４００のグラフを示す。
【図１５】  図１５は、５年間の全資本コスト１５００のグラフを示す。
【図１】
0004628646.tif 000003
【図２】
0004628646.tif 000004
【図３】
0004628646.tif 000005
【図４】
0004628646.tif 000006
【図５】
0004628646.tif 000007
【図６】
0004628646.tif 000008
【図７】
0004628646.tif 000009
【図８】
0004628646.tif 000010
【図９】
0004628646.tif 000011
【図１０】
0004628646.tif 000012
【図１１】
0004628646.tif 000013
【図１２】
0004628646.tif 000014
【図１３】
0004628646.tif 000015
【図１４】
0004628646.tif 000016
【図１５】
0004628646.tif 000017