(57)【要約】【課題】  中央ポリシーサーバとリモート位置にあるポリシーエンフォーサとを含む組織用の統一ポリシー管理システムを提供する。【解決手段】  ポリシー設定を格納するための中央データベースおよびポリシーエンフォーサデータベースが、階層オブジェクト指向構造に従うＬＤＡＰデータベースとして構成される。この構造により、直感的かつ拡張可能な方式でポリシー設定を定義することができる。中央ポリシーサーバで行われたポリシー設定の変更は自動的にポリシーエンフォーサに転送されて、それぞれのデータベースが更新される。ポリシーエンフォーサは、健全性および状態の情報を収集して事前定義済ログフォーマットで送信し、ポリシーサーバが効率的にモニタできるようにそれをポリシーサーバに送信する。さらに効率的にするために、ポリシーエンフォーサのポリシー施行機能は、ハードウェア中に容易に実装できるように効果的にパーテショニングされる。【選択図】      図１
2005065305.tif 000002
【特許請求の範囲】
【請求項１】
組織中でポリシーサービスを管理するシステムであって、前記組織が、第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含み、前記システムは、
前記第１のネットワークに関連付けられる第１のエッジ装置であって、第１のデータベースに格納された第１のポリシー設定に従って前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理するように構成された第１のエッジ装置と、
前記第２のネットワークに関連付けられる第２のエッジ装置であって、第２のデータベースに格納された第２のポリシー設定に従って前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理するように構成された第２のエッジ装置と、
前記第１および第２のエッジ装置と通信する中央ポリシーサーバであって、単一の場所から前記第１および第２のポリシー設定を定義して前記第１および第２のエッジ装置を管理するように構成された中央ポリシーサーバと備えるシステム。
【請求項２】
前記ポリシーがファイアウォールポリシーである、請求項１に記載のシステム。
【請求項３】
前記ポリシーが仮想私設ネットワークポリシーである、請求項１に記載のシステム。
【請求項４】
中央ポリシーサーバが、第１および第２のエッジ装置の構成情報を格納する中央データベースを含む、請求項１に記載のシステム。
【請求項５】
前記構成情報が前記第１および第２のポリシー設定を含む、請求項４に記載のシステム。
【請求項６】
前記中央データベースが、前記第１および第２のエッジ装置に関する構成情報の変更のログを格納する、請求項４に記載のシステム。
【請求項７】
前記ポリシーサーバが、前記第１および第２のデータベースをそれぞれ更新するように前記第１および第２のエッジ装置に前記構成情報の変更を送信する、請求項６に記載のシステム。
【請求項８】
前記ポリシーサーバが、前記第１および第２のデータベースの更新が成功したときに前記変更のログを削除する、請求項７に記載のシステム。
【請求項９】
前記中央データベースと前記第１および第２のデータベースが階層オブジェクト指向構造に従って編成される、請求項４に記載のシステム。
【請求項１０】
前記階層オブジェクト指向構造が、前記第１および第２のポリシー設定を定義する複数のリソースオブジェクトおよびポリシーオブジェクトを含む、請求項９に記載のシステム。
【請求項１１】
前記リソースオブジェクトが、装置、ユーザ、ホスト、サービス、および時間からなるグループから選択される、請求項１０に記載のシステム。
【請求項１２】
前記中央データベースと前記第１および第２のデータベースが、各リソースオブジェクトおよびポリシーオブジェクトをライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして格納するＬＤＡＰデータベースである、請求項１０に記載のシステム。
【請求項１３】
前記中央ポリシーサーバが、ユーザが単一の場所から前記第１および第２のポリシー設定を定義して前記第１および第２のエッジ装置を管理できるようにするユーザアプリケーションモジュールのセットを含み、前記第１および第２のポリシー設定が、装置、ユーザ、ホスト、サービス、および時間を含めた複数のリソースオブジェクトに関連付けられる、請求項１に記載のシステム。
【請求項１４】
前記ユーザアプリケーションモジュールのセットが、前記第１および第２のエッジ装置を単一の場所からインストールできるようにする集中管理サブモジュールを含む、請求項１３に記載のシステム。
【請求項１５】
前記集中管理サブモジュールが、前記第１および第２の装置を前記中央ポリシーサーバに登録できるようにする、請求項１４に記載のシステム。
【請求項１６】
前記ユーザアプリケーションモジュールのセットが、前記リソースオブジェクトを単一の場所から管理および閲覧するポリシー管理サブモジュールを含む、請求項１３に記載のシステム。
【請求項１７】
前記中央ポリシーサーバが、ユーザが単一の場所から前記第１および第２のエッジ装置の健全性および状態をモニタできるようにするユーザアプリケーションモジュールのセットを含む、請求項１に記載のシステム。
【請求項１８】
前記中央ポリシーサーバが、
各エッジ装置から定期的に健全性および状態の情報を受信するログ収集／アーカイブモジュールと、
前記健全性および状態の情報を格納するように前記ログ収集／アーカイブモジュールに結合されたアーカイブデータベースと、
前記健全性および状態の情報に基づいて報告を作成するように前記アーカイブデータベースに結合された報告モジュールとを含む、請求項１に記載のシステム。
【請求項１９】
前記各エッジ装置が、健全性および状態の情報を収集して事前定義済みの共通ログフォーマットで送信する、請求項１８に記載のシステム。
【請求項２０】
前記健全性および状態の情報がネットワークフロー情報を含む、請求項１８に記載のシステム。
【請求項２１】
前記健全性および状態の情報が、前記各エッジ装置のリソースセットの使用に関する統計を含む、請求項１８に記載のシステム。
【請求項２２】
各エッジ装置が、各ネットワークに対するポリシーの管理を該エッジ装置に統合する複数のモジュールを含む、請求項１に記載のシステム。
【請求項２３】
前記複数のモジュールが、
着信パケットに関連付けられるプロトコルを決定する分類エンジンと、
前記着信パケットに関連付けられるポリシー設定に基づいて前記着信パケットに対する転送決定を行うポリシーエンジンと、
前記ポリシー設定に基づいて前記着信パケットを転送するパケット転送モジュールとを含む、請求項２２に記載のシステム。
【請求項２４】
前記着信パケットを送信するユーザを認証するセキュリティエンジンをさらに含む、請求項２３に記載のシステム。
【請求項２５】
前記エッジ装置を流れるパケットに関する統計を収集する統計モジュールをさらに含む、請求項２３に記載のシステム。
【請求項２６】
各ネットワークが私設ネットワークであり、各エッジ装置が、前記エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを作成するように構成される、請求項１に記載のシステム。
【請求項２７】
前記第１および第２のエッジ装置が、前記第１の私設ネットワークと前記第２の私設ネットワークとの間の安全な通信を可能にし、前記第１のエッジ装置が第１のテーブルを前記第２のエッジ装置と共有し、前記第２のエッジ装置が第２のテーブルを前記第１のエッジ装置と共有する、請求項２６に記載のシステム。
【請求項２８】
前記第１のエッジ装置が、
新ルート情報を受信し、
前記新ルート情報を前記第１のデータベースに格納し、
前記新ルート情報の一部を前記第２のエッジ装置に送信するロジックを含む、請求項２６に記載のシステム。
【請求項２９】
前記メンバネットワークに関連付けられるセキュリティポリシーに従って通信が管理される、請求項２６に記載のシステム。
【請求項３０】
前記セキュリティポリシーが、セキュリティポリシーグループの階層組織を形成するセキュリティポリシーグループに対して定義され、前記セキュリティポリシーグループが、メンバネットワーク、前記メンバネットワークへのアクセスを許可されたユーザ、および前記メンバネットワークへのアクセスを制御する規則を含む、請求項２９に記載のシステム。
【請求項３１】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーが接続ごとに自動的に構成される、請求項３０に記載のシステム。
【請求項３２】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項３０に記載のシステム。
【請求項３３】
リモートの場所から前記メンバネットワークにアクセスするリモートユーザ端末をさらに含むシステムであって、各リモートユーザ端末がプロセッサを含み、前記プロセッサがプログラム命令を実行するように動作可能であり、前記プログラム命令が、
前記エッジ装置との通信を確立することと、
前記エッジ装置に認証情報を送信することと、
前記エッジ装置から前記メンバネットワークの情報を有するテーブルを受信することとを含む、請求項３０に記載のシステム。
【請求項３４】
前記プログラム命令がさらに、前記エッジ装置から前記テーブルの更新を自動的に受信することを含む、請求項３３に記載のシステム。
【請求項３５】
前記中央ポリシーサーバと前記第１および第２のエッジ装置が第１クラスユニットおよび第２クラスユニットを含み、各第２クラスユニットが、対応する第１クラスユニットの障害発生時に前記第１クラスユニットに対するバックアップを提供する、請求項１に記載のシステム。
【請求項３６】
前記各第２クラスユニットが、最初は非アクティブ状態にあり、
対応する第１クラスユニットの障害を検出し、
前記障害の検出時に非アクティブ状態からアクティブ状態に移行するロジックを含む、請求項３５に記載のシステム。
【請求項３７】
前記各第２クラスユニットが、
第２クラスユニットの役割を引き受け、
対応する第１クラスユニットを探索すし、
対応する第１クラスユニットが検出された場合に第２クラスユニットとして初期化するロジックを含む、請求項３５に記載のシステム。
【請求項３８】
前記各第２クラスユニットがさらに、
第１クラスユニットが検出されない場合に第１クラスユニットの役割を引き受け、
対応する第２クラスユニットを探索し、
対応する第２クラスユニットが検出された場合に第１クラスユニットとして初期化するロジックを含む、請求項３７に記載のシステム。
【請求項３９】
前記各第２クラスユニットがさらに、対応する第２クラスユニットが検出されない場合に第３クラスユニットとして初期化するロジックを含む、請求項３８に記載のシステム。
【請求項４０】
各第１クラスユニットをアクティブ状態に移行する手段と、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納する手段と、
対応する第２クラスユニットに前記構成変更を転送する手段と、
前記対応する第２クラスユニット上で前記構成変更を格納する手段とをさらに備える、請求項３５に記載のシステム。
【請求項４１】
各第１クラスユニットを非アクティブ状態に移行する手段と、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納する手段と、
前記第１クラスユニットがアクティブ状態に再移行したときに前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送する手段とをさらに備える、請求項４０に記載のシステム。
【請求項４２】
各第１クラスユニットに更新情報を送信する手段と、
前記各第１クラスユニットを更新する手段と、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信する手段と、
前記各第２クラスユニットを更新する手段とをさらに備える、請求項３５に記載のシステム。
【請求項４３】
組織中でポリシーサービスを管理するシステムであって、前記組織が、第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含み、前記システムは、
前記第１のネットワークに関連付けられる第１のエッジ装置であって、第１のデータベースに格納された第１のポリシー設定に従って前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理するように構成された第１のエッジ装置と、
前記第２のネットワークに関連付けられる第２のエッジ装置であって、第２のデータベースに格納された第２のポリシー設定に従って前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理するように構成された第２のエッジ装置と、
単一の場所から前記第１および第２のポリシー設定を定義して前記第１および第２のエッジ装置を管理する中央ポリシーサーバであって、前記第１および第２のエッジ装置の構成情報を格納しており階層オブジェクト指向構造に従って編成された中央データベースに関連付けられる中央ポリシーサーバと備えるシステム。
【請求項４４】
前記第１および第２のデータベースが階層オブジェクト指向構造に従って編成される、請求項４３に記載のシステム。
【請求項４５】
前記構成情報が第１および第２のポリシー設定を含む、請求項４３に記載のシステム。
【請求項４６】
前記階層オブジェクト指向構造が、前記第１および第２のポリシー設定を定義する複数のリソースオブジェクトおよびポリシーオブジェクトを含む、請求項４５に記載のシステム。
【請求項４７】
前記中央データベースと前記第１および第２のデータベースが、各リソースオブジェクトおよびポリシーオブジェクトをライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして格納するＬＤＡＰデータベースである、請求項４６に記載のシステム。
【請求項４８】
前記リソースオブジェクトが、装置、ユーザ、ホスト、サービス、および時間からなるグループから選択される、請求項４６に記載のシステム。
【請求項４９】
前記装置が前記第１および第２のエッジ装置を含み、各装置がユーザのセットおよび特定のホストに関連付けられる、請求項４８に記載のシステム。
【請求項５０】
前記ホストが前記第１および第２のネットワークを含む、請求項４８に記載のシステム。
【請求項５１】
前記ポリシーオブジェクトが、帯域幅、ファイアウォール、管理、および仮想私設ネットワークグルーピングからなるグループから選択される、請求項４６に記載のシステム。
【請求項５２】
前記仮想私設ネットワークグルーピングが、１つまたは複数のサイト、ユーザ、および規則に関連付けられる仮想私設ネットワークを含む、請求項５１に記載のシステム。
【請求項５３】
各サイトが、エッジ装置の後ろに１つまたは複数のネットワークを含む、請求項５２に記載のシステム。
【請求項５４】
前記規則が、前記仮想私設ネットワークを流れるネットワークトラフィックに対するアクセス制御を提供するファイアウォール規則である、請求項５２に記載のシステム。
【請求項５５】
選択的にデータベースの同期をとるシステムであって、
組織中の複数のエッジ装置についての構成情報を格納する中央データベースを備え、各エッジ装置が、前記組織中のネットワークに関連付けられ、前記ネットワークに対するポリシーを管理するように構成され、
さらに、特定のエッジ装置に関連する構成情報の一部を格納する従属データベースと、
前記中央データベースおよび前記従属データベースと通信する中央ポリシーサーバとを備え、前記中央ポリシーサーバが、
前記中央データベース中の前記特定のエッジ装置に関する構成情報の一部に変更を加え、
前記変更のログを作成し、
前記中央データベースに前記ログを格納し、
前記従属データベースを更新するように前記特定のエッジ装置に前記変更を転送するロジックを含むシステム。
【請求項５６】
前記ログが、変更を加える特定のユーザに前記変更を関連付けるユーザログを含み、前記特定のユーザが前記特定のエッジ装置に関連付けられる、請求項５５に記載のシステム。
【請求項５７】
前記中央ポリシーサーバがさらに、前記変更を加える特定のユーザに基づいて前記特定のエッジ装置を識別するロジックを含む、請求項５６に記載のシステム。
【請求項５８】
前記ログが、前記特定のエッジ装置に対する変更を格納する装置ログを含む、請求項５７に記載のシステム。
【請求項５９】
前記中央ポリシーサーバがさらに、
前記特定のエッジ装置から転送状態を受信し、
前記状態が転送成功を示す場合に前記中央データベースから前記ログを削除するロジックを含む、請求項５５に記載のシステム。
【請求項６０】
前記中央データベースおよび前記従属データベースが、識別名によって識別されるライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして構成情報を格納するＬＤＡＰデータベースである、請求項５５に記載のシステム。
【請求項６１】
前記構成情報がポリシー管理情報である、請求項５５に記載のシステム。
【請求項６２】
第１のポリシー設定に従って第１のネットワークに対するポリシーを管理する第１のエッジ装置と、第２のポリシー設定に従って第２のネットワークに対するポリシーを管理する第２のエッジ装置とを含むシステムにおいて、前記システムがさらに、前記第１および第２のエッジ装置と通信して単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理するように構成された中央ポリシーサーバを含み、各エッジ装置は、
着信パケットに関連付けられるプロトコルを決定する分類エンジンと、
前記着信パケットに関連付けられるポリシー設定に基づいて前記着信パケットに対する転送決定を行うポリシーエンジンと、
前記ポリシー設定に基づいて前記着信パケットを転送するパケット転送モジュールと備えるエッジ装置。
【請求項６３】
前記分類エンジンがさらに、プロトコルからパケットストリーム中に見られるデータパターンへのマッピングを格納するプロトコルデータベースを含む、請求項６２に記載のエッジ装置。
【請求項６４】
前記ポリシーエンジンがさらに、リソースグループ名から各グループ中のメンバへの現行マッピングを有するリソースエンジンをさらに含む、請求項６２に記載のエッジ装置。
【請求項６５】
前記ポリシーエンジンがさらに、前記着信パケットに関連付けられるグループに対して指定されるポリシー設定を格納するポリシー規則バッファを含む、請求項６４に記載のエッジ装置。
【請求項６６】
前記ポリシーエンジンがさらに、前記リソースエンジンからのメンバシップ情報に基づいて前記着信パケットを前記ポリシー規則バッファ中のポリシー設定とマッチさせる決定エンジンを含む、請求項６４に記載のエッジ装置。
【請求項６７】
前記着信パケットを送信するユーザを認証するセキュリティエンジンをさらに含む、請求項６２に記載のエッジ装置。
【請求項６８】
前記エッジ装置を流れるパケットに関する統計を収集する統計モジュールをさらに含む、請求項６２に記載のエッジ装置。
【請求項６９】
前記統計モジュールが、前記エッジ装置を流れるパケットのバイトカウントを維持し、前記バイトカウントが、前記パケットに関連付けられるリソースに従って編成される、請求項６８に記載のシステム。
【請求項７０】
第１の私設ネットワークに結合された第１のエッジ装置であって、第１のエッジ装置を介して到達可能なメンバネットワークの情報を有する第１のテーブルを作成するように構成され、前記第１のテーブルが第１のデータベースに格納される第１のエッジ装置と、
第２の私設ネットワークに結合された第２のエッジ装置であって、第２のエッジ装置を介して到達可能なメンバネットワークの情報を有する第２のテーブルを作成するように構成され、前記第２のテーブルが第２のデータベースに格納される第２のエッジ装置とを備えるコンピュータネットワークであって、
前記第１および第２のエッジ装置が、前記第１の私設ネットワークと前記第２の私設ネットワークとの間で安全な通信を可能にし、前記第１のエッジ装置が前記第１のテーブルを前記第２のエッジ装置と共有し、前記第２のエッジ装置が前記第２のテーブルを前記第１のエッジ装置と共有するコンピュータネットワーク。
【請求項７１】
前記第１のエッジ装置が、
新ルート情報を受信し、
前記新ルート情報を前記第１のデータベースに格納し、
前記新ルート情報の一部を前記第２のエッジ装置に送信するロジックを含む、請求項７０に記載のコンピュータネットワーク。
【請求項７２】
前記新ルートの情報の一部がルート名である、請求項７１に記載のコンピュータネットワーク。
【請求項７３】
前記第２のエッジ装置が、
前記新ルート情報の一部を受信し、
前記新ルート情報の一部に基づいて前記第１のデータベースにアクセスし、
前記第１のデータベースから前記新ルート情報を検索し、
検索したルート情報を前記第２のデータベースに格納するロジックを含む、請求項７１に記載のコンピュータネットワーク。
【請求項７４】
前記第１のネットワークと前記第２のネットワークとの間の通信が、前記ネットワークに関するセキュリティポリシーに従って管理される、請求項７０に記載のコンピュータネットワーク。
【請求項７５】
前記セキュリティポリシーが、セキュリティポリシーグループの階層組織を形成するセキュリティポリシーグループに対して定義され、前記セキュリティポリシーグループが、メンバネットワーク、前記メンバネットワークへのアクセスを許可されたユーザ、および前記メンバネットワークへのアクセスを制御する規則を含む、請求項７４に記載のコンピュータネットワーク。
【請求項７６】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーが自動的に各接続に対して構成される、請求項７５に記載のコンピュータネットワーク。
【請求項７７】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項７５に記載のコンピュータネットワーク。
【請求項７８】
私設ネットワークに結合され、エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを作成するように構成され、前記テーブルがデータベースに格納されるエッジ装置と、
前記エッジ装置と通信しプロセッサを含むリモートユーザ端末とを備えるコンピュータネットワークであって、前記プロセッサがプログラム命令を実行するように動作可能であり、前記プログラム命令が、
前記エッジ装置との通信を確立することと、
前記エッジ装置に認証情報を送信することと、
前記エッジ装置から前記メンバネットワークの情報を有するテーブルを受信することとを含むコンピュータネットワーク。
【請求項７９】
前記プログラム命令がさらに、前記エッジ装置から前記テーブルの更新を自動的に受信することを含む、請求項７８に記載のコンピュータネットワーク。
【請求項８０】
前記プログラム命令がさらに、インストールおよび実行用のクライアントソフトウェアをダウンロードすることを含む、請求項７８に記載のコンピュータネットワーク。
【請求項８１】
前記クライアントソフトウェアが、前記エッジ装置を介して到達可能なメンバネットワークとの通信を可能にする、請求項８０に記載のコンピュータネットワーク。
【請求項８２】
前記クライアントソフトウェアが、前記メンバネットワークの情報を有するテーブルのダウンロードを可能にする、請求項８０に記載のコンピュータネットワーク。
【請求項８３】
前記クライアントソフトウェアが静的部分と動的部分を含み、前記静的部分は実行可能セットアップファイルを含み、前記動的部分は、ダウンロードするリモートユーザ端末に特有の情報で置換されるテンプレートを含む、請求項８０に記載のコンピュータネットワーク。
【請求項８４】
前記動的部分が、前記メンバネットワークの情報を有する前記エッジ装置からのテーブルで置換される、請求項８０に記載のコンピュータネットワーク。
【請求項８５】
第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含む組織中でポリシーサービスを管理するシステムであり、
前記第１のネットワークに関連付けられる第１のエッジ装置であって、第１のデータベースに格納された第１のポリシー設定に従って前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理するように構成された第１のエッジ装置と、
前記第２のネットワークに関連付けられる第２のエッジ装置であって、第２のデータベースに格納された第２のポリシー設定に従って前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理するように構成された第２のエッジ装置と、
前記第１および第２のエッジ装置と通信する中央ポリシーサーバであって、単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置の健全性および状態をモニタするように構成された中央ポリシーサーバと備えるシステム。
【請求項８６】
前記中央ポリシーサーバが、
各エッジ装置から定期的に健全性および状態の情報を受信するログ収集／アーカイブモジュールと、
前記健全性および状態の情報を格納するように前記ログ収集／アーカイブモジュールに結合されたアーカイブデータベースと、
前記健全性および状態の情報に基づいて報告を作成するように前記アーカイブデータベースに結合された報告モジュールとを含む、請求項８５に記載のシステム。
【請求項８７】
前記各エッジ装置が、健全性および状態の情報を収集して事前定義済みの共通ログフォーマットで送信する、請求項８６に記載のシステム。
【請求項８８】
前記健全性および状態の情報が前記エッジ装置を流れるネットワークフロー情報を含む、請求項８６に記載のシステム。
【請求項８９】
前記各エッジ装置が、前記エッジ装置を流れるパケットのバイトカウントを維持し、前記バイトカウントが、前記パケットに関連付けられるリソースに従って編成される、請求項８８に記載のシステム。
【請求項９０】
前記健全性および状態の情報が、前記各エッジ装置のリソースセットの使用に関する統計を含む、請求項８６に記載のシステム。
【請求項９１】
前記報告が、ある期間にわたる、特定のエッジ装置に関連付けられるリソースの使用を示す、請求項９０に記載のシステム。
【請求項９２】
前記中央ポリシーサーバがさらに、前記各エッジ装置が前記ログ収集／アーカイブモジュールに前記健全性および状態の情報をいつ転送するかを決定する手段を含む、請求項８６に記載のシステム。
【請求項９３】
第１のネットワークのポリシーを管理する第１のエッジ装置と、
第２のネットワークのポリシーを管理する第２のエッジ装置と、
前記第１および第２のエッジ装置と通信し、前記第１および第２のエッジ装置を単一の場所から管理する中央ポリシーサーバとを含む高可用性システムであって、
前記中央ポリシーサーバと前記第１および第２のエッジ装置が第１クラスユニットおよび第２クラスユニットを含み、各第２クラスユニットが、対応する第１クラスユニットの障害発生時に前記第１クラスユニットに対するバックアップを提供する高可用性システム。
【請求項９４】
前記各第２クラスユニットが、最初は非アクティブ状態にあり、
対応する第１クラスユニットの障害を検出し、
前記障害の検出時に非アクティブ状態からアクティブ状態に移行するロジックを含む、請求項９３に記載のシステム。
【請求項９５】
前記各第２クラスユニットが、
第２クラスユニットの役割を引き受け、
対応する第１クラスユニットを探索し、
対応する第１クラスユニットが検出された場合に第２クラスユニットとして初期化するロジックを含む、請求項９３に記載のシステム。
【請求項９６】
前記各第２クラスユニットがさらに、
第１クラスユニットが検出されない場合に第１クラスユニットの役割を引き受け、
対応する第２クラスユニットを探索し、
対応する第２クラスユニットが検出された場合に第１クラスユニットとして初期化するロジックを含む、請求項９５に記載のシステム。
【請求項９７】
前記各第２クラスユニットがさらに、対応する第２クラスユニットが検出されない場合に第３クラスユニットとして初期化するロジックを含む、請求項９６に記載のシステム。
【請求項９８】
各第１クラスユニットをアクティブ状態に移行する手段と、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納する手段と、
対応する第２クラスユニットに前記構成変更を転送する手段と、
前記対応する第２クラスユニット上で前記構成変更を格納する手段とをさらに備える、請求項９３に記載のシステム。
【請求項９９】
各第１クラスユニットを非アクティブ状態に移行する手段と、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納する手段と、
前記第１クラスユニットがアクティブ状態に再移行したときに前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送する手段とをさらに備える、請求項９８に記載のシステム。
【請求項１００】
各第１クラスユニットに更新情報を送信する手段と、
前記各第１クラスユニットを更新する手段と、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信する手段と、
前記各第２クラスユニットを更新する手段とをさらに備える、請求項９３に記載のシステム。
【請求項１０１】
第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含み、前記第１のネットワークが第１のエッジ装置および第１のデータベースに関連付けられ、前記第２のネットワークが第２のエッジ装置および第２のデータベースに関連付けられ、さらに、前記第１および第２のエッジ装置と通信する中央ポリシーサーバをさらに含むシステムにおいて、ポリシーサービスを管理する方法であって、
前記第１のデータベースに第１のポリシー設定を格納することと、
前記第２のデータベースに第２のポリシー設定を格納することと、
前記第１のデータベースに格納された前記第１のポリシー設定に従って、前記第１のエッジ装置から前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理することと、
前記第２のデータベースに格納された前記第２のポリシー設定に従って、前記第２のエッジ装置から前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理することと、
前記中央ポリシーサーバによって単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理することとを含む方法。
【請求項１０２】
前記ポリシーがファイアウォールポリシーである、請求項１０１に記載の方法。
【請求項１０３】
前記ポリシーが仮想私設ネットワークポリシーである、請求項１０１に記載の方法。
【請求項１０４】
前記中央ポリシーサーバが中央データベースを含み、前記方法がさらに、前記第１および第２のエッジ装置の構成情報を前記中央データベースに格納することを含む、請求項１０１に記載の方法。
【請求項１０５】
前記構成情報が前記第１および第２のポリシー設定を含む、請求項１０４に記載の方法。
【請求項１０６】
前記第１および第２のエッジ装置の構成情報に変更を加えることと、
前記変更のログを前記中央データベースに格納することとをさらに含む、請求項１０４に記載の方法。
【請求項１０７】
前記第１および第２のデータベースをそれぞれ更新するように前記第１および第２のエッジ装置に前記変更のログを送信することをさらに含む、請求項１０６に記載の方法。
【請求項１０８】
前記第１および第２のデータベースの更新が成功したときに前記中央データベースからの変更のログを削除することをさらに含む、請求項１０７に記載の方法。
【請求項１０９】
前記中央データベースと前記第１および第２のデータベースが階層オブジェクト指向構造に従って編成される、請求項１０４に記載の方法。
【請求項１１０】
前記階層オブジェクト指向構造が、前記第１および第２のポリシー設定を定義する複数のリソースオブジェクトおよびポリシーオブジェクトを含む、請求項１０９に記載の方法。
【請求項１１１】
前記リソースオブジェクトが、装置、ユーザ、ホスト、サービス、および時間からなるグループから選択される、請求項１１０に記載の方法。
【請求項１１２】
前記中央データベースと前記第１および第２のデータベースが、各リソースオブジェクトおよびポリシーオブジェクトをライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして格納するＬＤＡＰデータベースである、請求項１１０に記載の方法。
【請求項１１３】
前記中央ポリシーサーバから前記第１および第２のエッジ装置をインストールすることをさらに含む、請求項１０１に記載の方法。
【請求項１１４】
前記中央ポリシーサーバに前記第１および第２のエッジ装置を登録することをさらに含む、請求項１０１に記載の方法。
【請求項１１５】
前記中央ポリシーサーバから前記第１および第２のエッジ装置の健全性および状態をモニタすることをさらに含む、請求項１０１に記載の方法。
【請求項１１６】
各エッジ装置から健全性および状態の情報を定期的に受信することと、
前記健全性および状態の情報をアーカイブデータベースに格納することと、
前記健全性および状態の情報に基づいて報告を作成することとをさらに含む、請求項１０１に記載の方法。
【請求項１１７】
前記各エッジ装置が、健全性および状態の情報を収集して事前定義済みの共通ログフォーマットで送信する、請求項１１６に記載の方法。
【請求項１１８】
前記健全性および状態の情報がネットワークフロー情報を含む、請求項１１６に記載の方法。
【請求項１１９】
前記健全性および状態の情報が、前記各エッジ装置のリソースセットの使用に関する統計を含む、請求項１１６に記載の方法。
【請求項１２０】
前記各エッジ装置が、前記ポリシーの管理を前記エッジ装置に統合するように分類エンジン、ポリシーエンジン、およびパケット転送エンジンを含み、前記各ネットワークに対するポリシーを管理することがさらに、
前記分類エンジンを使用して、着信パケットに関連付けられるプロトコルを決定することと、
前記ポリシーエンジンを使用して、前記着信パケットに関連付けられるポリシー設定に基き前記着信パケットに対する転送決定を行うことと、
前記パケット転送モジュールを使用して、前記ポリシー設定に基き前記着信パケットを転送することとを含む、請求項１０１に記載の方法。
【請求項１２１】
前記各エッジ装置がセキュリティエンジンを含み、前記各ネットワークに対するポリシーを管理することがさらに、前記着信パケットを転送するユーザを認証することを含む、請求項１２０に記載の方法。
【請求項１２２】
前記各エッジ装置が統計モジュールを含み、前記各ネットワークに対するポリシーを管理することがさらに、前記エッジ装置を流れるパケットに関する統計を収集することを含む、請求項１２０に記載の方法。
【請求項１２３】
各ネットワークが私設ネットワークであり、各エッジ装置が、前記エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを作成するように構成される、請求項１０１に記載の方法。
【請求項１２４】
前記第１および第２のエッジ装置が、第１の私設ネットワークと第２の私設ネットワークとの間の安全な通信を可能にし、前記方法はさらに、
前記第１のテーブルを前記第２のエッジ装置と共有することと、
前記第２のテーブルを前記第１のエッジ装置と共有することとを含む、請求項１２３に記載の方法。
【請求項１２５】
新ルート情報を受信することと、
前記新ルート情報を前記第１のデータベースに格納することと、
前記新ルート情報の一部を前記第２のエッジ装置に送信することとをさらに含む、請求項１２３に記載の方法。
【請求項１２６】
前記メンバネットワークに関連付けられるセキュリティポリシーに従って通信が管理される、請求項１２３に記載の方法。
【請求項１２７】
セキュリティポリシーグループに対するセキュリティポリシーを定義することをさらに含み、前記セキュリティポリシーグループが、メンバネットワークと、前記メンバネットワークへのアクセスを許可されたユーザと、前記メンバネットワークへのアクセスを制御する規則とを含むセキュリティポリシーグループの階層組織を形成する、請求項１２６に記載の方法。
【請求項１２８】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記方法はさらに、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーを接続ごとに自動的に構成することを含む、請求項１２７に記載の方法。
【請求項１２９】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項１２７に記載の方法。
【請求項１３０】
前記システムが、リモートの場所から前記メンバネットワークにアクセスするリモートユーザ端末をさらに含み、前記方法はさらに、
前記リモート端末との通信を確立することと、
前記リモート端末から認証情報を受信することと、
前記リモート端末に前記動的メンバシップ情報を有するテーブルを送信することとを含む、請求項１２７に記載の方法。
【請求項１３１】
前記リモート端末に前記テーブルを自動的に送信することをさらに含む、請求項１３０に記載の方法。
【請求項１３２】
前記中央ポリシーサーバと前記第１および第２のエッジ装置が第１クラスユニットおよび第２クラスユニットを含み、各第２クラスユニットが、対応する第１クラスユニットの障害発生時に前記第１クラスユニットに対するバックアップを提供する、請求項１０１に記載の方法。
【請求項１３３】
前記各第２クラスユニットが最初は非アクティブ状態にあり、前記方法はさらに、
対応する第１クラスユニットの障害を検出することと、
前記障害の検出時に前記第２クラスユニットを非アクティブ状態からアクティブ状態に移行することとを含む、請求項１３２に記載の方法。
【請求項１３４】
各ユニットを初期化することをさらに含み、該初期化が、
前記ユニットに第２クラスユニットの役割を割り当てることと、
対応する第１クラスユニットを探索することと、
対応する第１クラスユニットが検出された場合に前記ユニットを第２クラスユニットとして初期化することとを含む、請求項１３２に記載の方法。
【請求項１３５】
第１クラスユニットが検出されない場合に前記ユニットに第１クラスユニットの役割を割り当てることと、
対応する第２クラスユニットを探索することと、
対応する第２クラスユニットが検出された場合に前記ユニットを第１クラスユニットとして初期化することとをさらに含む、請求項１３４に記載の方法。
【請求項１３６】
対応する第２ユニットが検出されない場合に前記ユニットを第３クラスユニットとして初期化することをさらに含む、請求項１３５に記載の方法。
【請求項１３７】
各第１クラスユニットをアクティブ状態に移行することと、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納することと、
対応する第２クラスユニットに前記構成変更を転送することと、
前記対応する第２クラスユニット上で前記構成変更を格納することをさらに含む、請求項１３２に記載の方法。
【請求項１３８】
各第１クラスユニットを非アクティブ状態に移行することと、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納することと、
前記第１クラスユニットがアクティブ状態に再移行したときに前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送することとをさらに含む、請求項１３７に記載の方法。
【請求項１３９】
各第１クラスユニットに更新情報を送信することと、
前記各第１クラスユニットを更新することと、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信することと、
前記各第２クラスユニットを更新することとをさらに含む、請求項１３２に記載の方法。
【請求項１４０】
第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含み、前記第１のネットワークが第１のエッジ装置および第１のデータベースに関連付けられ、前記第２のネットワークが第２のエッジ装置および第２のデータベースに関連付けられ、さらに、前記第１および第２のエッジ装置と通信する中央ポリシーサーバを含み、前記中央ポリシーサーバが中央データベースに関連付けられるシステムにおいて、ポリシーサービスを管理する方法であって、
前記第１および第２のエッジ装置の構成情報を、階層オブジェクト指向構造で編成される前記中央データベースに格納することと、
前記第１のデータベースに第１のポリシー設定を格納することと、
前記第２のデータベースに第２のポリシー設定を格納することと、
前記第１のデータベースに格納された前記第１のポリシー設定に従って、前記第１のエッジ装置から前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理することと、
前記第２のデータベースに格納された前記第２のポリシー設定に従って、前記第２のエッジ装置から前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理することと、
前記中央ポリシーサーバから前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理することとを含む方法。
【請求項１４１】
前記第１および第２のデータベースが階層オブジェクト指向構造に従って編成される、請求項１４０に記載の方法。
【請求項１４２】
前記構成情報が前記第１および第２のポリシー設定を含む、請求項１４０に記載の方法。
【請求項１４３】
前記階層オブジェクト指向構造が、前記第１および第２のポリシー設定を定義する複数のリソースオブジェクトおよびポリシーオブジェクトを含む、請求項１４２に記載の方法。
【請求項１４４】
前記中央データベースと前記第１および第２のデータベースが、各リソースオブジェクトおよびポリシーオブジェクトをライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして格納するＬＤＡＰデータベースである、請求項１４３に記載の方法。
【請求項１４５】
前記リソースオブジェクトが、装置、ユーザ、ホスト、サービス、および時間からなるグループから選択される、請求項１４３に記載の方法。
【請求項１４６】
前記装置が前記第１および第２のエッジ装置を含み、各装置がユーザのセットおよび特定のホストに関連付けられる、請求項１４５に記載の方法。
【請求項１４７】
前記ホストが前記第１および第２のネットワークを含む、請求項１４５に記載の方法。
【請求項１４８】
前記ポリシーオブジェクトが、帯域幅、ファイアウォール、管理、および仮想私設ネットワークのグルーピングからなるグループから選択される、請求項１４３に記載の方法。
【請求項１４９】
前記仮想私設ネットワークグルーピングが、１つまたは複数のサイト、ユーザ、および規則に関連付けられる仮想私設ネットワークを含む、請求項１４８に記載の方法。
【請求項１５０】
各サイトが、エッジ装置の後ろに１つまたは複数のネットワークを含む、請求項１４９に記載の方法。
【請求項１５１】
前記規則が、前記仮想私設ネットワークを流れるネットワークトラフィックに対するアクセス制御を提供するファイアウォール規則である、請求項１４９に記載の方法。
【請求項１５２】
選択的にデータベースの同期をとる方法であって、
組織中の複数のエッジ装置についての構成情報を中央データベースに格納することを含み、各エッジ装置が、前記組織中のネットワークに関連付けられ、前記ネットワークに対するポリシーを管理するように構成され、
さらに、特定のエッジ装置に関連する構成情報の一部を従属データベースに格納することと、
前記中央データベース中の前記特定のエッジ装置に関する構成情報の一部に変更を加えることと、
前記変更のログを作成することと、
前記中央データベースに前記ログを格納することと、
前記特定のエッジ装置に前記変更を転送することと、
前記変更に基づいて前記従属データベースを更新することとを含む方法。
【請求項１５３】
前記変更のログを作成することがさらに、前記変更を加える特定のユーザに前記変更を関連付けるユーザログを作成することを含み、前記特定のユーザが前記特定のエッジ装置に関連付けられる、請求項１５２に記載の方法。
【請求項１５４】
前記変更を加える特定のユーザに基づいて前記特定のエッジ装置を識別することをさらに含む、請求項１５３に記載の方法。
【請求項１５５】
前記変更のログを作成することがさらに、前記特定のエッジ装置に対する変更を格納する装置ログを作成することを含む、請求項１５４に記載の方法。
【請求項１５６】
前記特定のエッジ装置から転送状態を受信することと、
前記状態が転送成功を示す場合に前記中央データベースから前記ログを削除することをさらに含む、請求項１５２に記載の方法。
【請求項１５７】
前記中央データベースおよび前記従属データベースが、識別名によって識別されるライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして構成情報を格納するＬＤＡＰデータベースである、請求項１５２に記載の方法。
【請求項１５８】
前記構成情報がポリシー管理情報である、請求項１５２に記載の方法。
【請求項１５９】
第１のポリシー設定に従って第１のネットワークに対するポリシーを管理する第１のエッジ装置と、第２のポリシー設定に従って第２のネットワークに対するポリシーを管理する第２のエッジ装置とを含み、さらに、前記第１および第２のエッジ装置と通信して単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理するように構成された中央ポリシーサーバを含むシステムにおける統一ポリシー管理の方法であって、
着信パケットに関連付けられるプロトコルを決定することと、
前記着信パケットに関連付けられるポリシー設定に基づいて前記着信パケットに対する転送決定を行うことと、
前記ポリシー設定に基づいて前記着信パケットを転送することとを含む方法。
【請求項１６０】
前記決定することがさらに、
プロトコルからパケットストリーム中に見られるデータパターンへのマッピングをプロトコルデータベースに格納することと、
前記着信パケットを前記プロトコルデータベースに格納されたプロトコルとマッチさせることとを含む、請求項１５９に記載の方法。
【請求項１６１】
リソースグループ名から各グループ中のメンバとへ現行マッピングをリソースエンジン中で維持することをさらに含む、請求項１５９に記載の方法。
【請求項１６２】
前記着信パケットに関連付けられるグループに対して指定されるポリシー設定をポリシーバッファに格納することをさらに含む、請求項１６１に記載の方法。
【請求項１６３】
前記リソースエンジンからのメンバシップ情報に基づいて前記着信パケットを前記ポリシー規則バッファ中のポリシー設定とマッチさせることさらにを含む、請求項１６２に記載の方法。
【請求項１６４】
前記着信パケットを送信するユーザを認証することをさらに含む、請求項１５９に記載の方法。
【請求項１６５】
前記エッジ装置を流れるパケットに関する統計を収集することをさらに含む、請求項１５９に記載の方法。
【請求項１６６】
前記収集することがさらに、
前記エッジ装置を流れるパケットのバイトカウントを維持することと、
前記パケットに関連付けられるリソースに従って前記バイトカウントを編成することとを含む、請求項１６５に記載の方法。
【請求項１６７】
第１の私設ネットワークに結合された第１のエッジ装置と、第２の私設ネットワークに結合された第２のエッジ装置とを含み、前記第１および第２のエッジ装置が前記第１のネットワークと前記第２のネットワークとの間で安全な通信を可能にするコンピュータネットワークにおいて、メンバシップ情報を収集する方法であって、
第１のエッジ装置を介して到達可能なメンバネットワークの情報を有する第１のテーブルを作成することと、
第１のデータベースに前記第１のテーブルを格納することと、
第２のエッジ装置を介して到達可能なメンバネットワークの情報を有する第２のテーブルを作成することと、
第２のデータベースに前記第２のテーブルを格納することと、
前記第１のテーブルを前記第２のエッジ装置と共有することと、
前記第２のテーブルを前記第１のエッジ装置と共有することを含む方法。
【請求項１６８】
新ルート情報を受信することと、
前記新ルート情報を前記第１のデータベースに格納することと、
前記新ルート情報の一部を前記第２のエッジ装置に送信することとをさらに含む、請求項１６７に記載の方法。
【請求項１６９】
前記新ルートの情報の一部がルート名である、請求項１６８に記載の方法。
【請求項１７０】
前記新ルート情報の一部を受信することと、
前記新ルート情報の一部に基づいて前記第１のデータベースにアクセスすることと、
前記第１のデータベースから前記新ルート情報を検索することと、
検索したルート情報を前記第２のデータベースに格納することとをさらに含む、請求項１６８に記載の方法。
【請求項１７１】
前記第１のネットワークと前記第２のネットワークとの間の通信が、ネットワークに関するセキュリティポリシーに従って管理される、請求項１６７に記載の方法。
【請求項１７２】
前記セキュリティポリシーをセキュリティポリシーグループに対して定義することをさらに含み、前記セキュリティポリシーグループが、メンバネットワーク、前記メンバネットワークへのアクセスを許可されたユーザ、および前記メンバネットワークへのアクセスを制御する規則を含むセキュリティポリシーグループの階層組織を形成する、請求項１７１に記載の方法。
【請求項１７３】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーが各接続に対して自動的に構成される、請求項１７２に記載の方法。
【請求項１７４】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項１７２に記載の方法。
【請求項１７５】
エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを含む、私設ネットワークに結合されたエッジ装置を含むコンピュータネットワークにおいて、前記メンバネットワークの情報をリモートユーザ端末に提供する方法であって、
前記エッジ装置との通信を確立することと、
前記エッジ装置に認証情報を送信することと、
前記リモートユーザ端末上でインストールおよび実行するクライアントソフトウェアをダウンロードすることとを含み、前記クライアントソフトウェアが、前記エッジ装置を介して到達可能な前記メンバネットワークとの通信を可能にしさらに前記メンバネットワークの情報を有するテーブルのダウンロードを可能にする方法。
【請求項１７６】
前記エッジ装置から前記テーブルの更新を自動的に受信することをさらに含む、請求項１７５に記載の方法。
【請求項１７７】
前記クライアントソフトウェアが静的部分と動的部分を含み、前記静的部分は実行可能セットアップファイルを含み、前記動的部分は、ダウンロードするリモートユーザ端末に特有の情報で置換されるテンプレートを含み、前記方法はさらに、前記メンバネットワークの情報を有する前記エッジ装置からのテーブルで前記動的部分を置換することを含む、請求項１７５に記載の方法。
【請求項１７８】
第１のリソースセットを有する第１のネットワークと、前記第１のネットワークからリモートにあり第２のリソースセットを有する第２のネットワークとを含み、前記第１のネットワークが第１のエッジ装置および第１のデータベースに関連付けられ、前記第２のネットワークが第２のエッジ装置および第２のデータベースに関連付けられ、さらに、前記第１および第２のエッジ装置と通信する中央ポリシーサーバを含み、前記中央ポリシーサーバが中央データベースに関連付けられるシステムにおいて、ポリシーサービスを管理する方法であって、
前記第１および第２のエッジ装置の構成情報を前記中央データベースに格納することと、
前記第１のデータベースに第１のポリシー設定を格納することと、
前記第２のデータベースに第２のポリシー設定を格納することと、
前記第１のデータベースに格納された前記第１のポリシー設定に従って、前記第１のエッジ装置から前記第１のネットワークおよび前記第１のリソースセットに対するポリシーを管理することと、
前記第２のデータベースに格納された前記第２のポリシー設定に従って、前記第２のエッジ装置から前記第２のネットワークおよび前記第２のリソースセットに対するポリシーを管理することと、
前記中央ポリシーサーバから前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置の健全性および状態をモニタすることとを含む方法。
【請求項１７９】
前記モニタすることがさらに、
各エッジ装置から健全性および状態の情報を定期的に受信することと、
前記健全性および状態の情報をアーカイブデータベースに格納することと、
前記健全性および状態の情報に基づいて報告を作成することとをさらに含む、請求項１７８に記載の方法。
【請求項１８０】
前記各エッジ装置が、健全性および状態の情報を収集して事前定義済みの共通ログフォーマットで送信する、請求項１７９に記載の方法。
【請求項１８１】
前記健全性および状態の情報がネットワークフロー情報を含む、請求項１７９に記載の方法。
【請求項１８２】
前記エッジ装置を流れるパケットのバイトカウントを維持することと、
前記パケットに関連付けられるリソースに従って前記バイトカウントを編成することとをさらに含む、請求項１８１に記載の方法。
【請求項１８３】
前記健全性および状態の情報が、前記各エッジ装置のリソースセットの使用に関する統計を含む、請求項１７９に記載の方法。
【請求項１８４】
前記報告が、ある期間にわたる特定のエッジ装置に関連付けられるリソースの使用を示す、請求項１８３に記載の方法。
【請求項１８５】
前記モニタすることがさらに、前記各エッジ装置がログ収集／アーカイブモジュールに前記健全性および状態の情報をいつ転送するかを決定することを含む、請求項１７９に記載の方法。
【請求項１８６】
第１のネットワークのポリシーを管理する第１のエッジ装置と、第２のネットワークのポリシーを管理する第２のエッジ装置と、前記第１および第２のエッジ装置と通信する中央ポリシーサーバとを含み、前記中央ポリシーサーバが単一の場所から前記第１および第２のエッジ装置を管理するシステムにおいて、前記中央ポリシーサーバと前記第１および第２のエッジ装置中の単一点の障害を回避する方法であって、
前記中央ポリシーサーバ用と前記第１および第２のエッジ装置用の第１クラスユニットを維持することと、
前記中央ポリシーサーバと前記第１および第２のエッジ装置の第２クラスユニットを維持し、各第２ユニットが対応する第１クラスユニットに対するバックアップとしての役割を果たし、前記各第２クラスユニットが最初は非アクティブ状態にあることと、
前記第１クラスユニットのうちの１つの障害を検出することと、
前記障害の検出時に、対応するバックアップユニットを非アクティブ状態からアクティブ状態に移行することとを含む方法。
【請求項１８７】
第２クラスユニットの役割を引き受けること、
対応する第１クラスユニットを探索することと、
対応する第１クラスユニットが検出された場合に第２クラスユニットとして初期化することとをさらに含む、請求項１８６に記載の方法。
【請求項１８８】
第１クラスユニットが検出されない場合に第１クラスユニットの役割を引き受けることと、
対応する第２クラスユニットを探索することと、
対応する第２クラスユニットが検出された場合に第１クラスユニットとして初期化することとをさらに含む、請求項１８７に記載の方法。
【請求項１８９】
対応する第２クラスユニットが検出されない場合に第３クラスユニットとして初期化することをさらに含む、請求項１８８に記載の方法。
【請求項１９０】
各第１クラスユニットをアクティブ状態に移行することと、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納することと、
対応する第２クラスユニットに前記データベース構成変更を転送することと、
前記対応する第２クラスユニット上で前記構成変更を格納することとをさらに含む、請求項１８６に記載の方法。
【請求項１９１】
各第１クラスユニットを非アクティブ状態に移行することと、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納することと、
前記第１クラスユニットがアクティブ状態に再移行した後に前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送することとをさらに含む、請求項１９０に記載の方法。
【請求項１９２】
各第１クラスユニットに更新情報を送信することと、
前記各第１クラスユニットを更新することと、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信することと、
前記各第２クラスユニットを更新することとをさらに含む、請求項１８６に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークに関し、より詳細には、インターネット越しでリモート私設（プライベート）ネットワークに、効率的で統合されたスケーラブルなポリシー管理サービスを提供する装置および方法に関する。
【背景技術】
【０００２】
コンピュータおよびコンピュータネットワークの発展および普及により、企業は、それら自らのコンポーネント、それらのビジネスパートナ、顧客、および供給業者と同様に効率的に通信することができる。しかし、このようなコンピュータおよびコンピュータネットワークによってもたらされるフレキシビリティおよび効率は、企業外部からセキュリティ侵害を受けること、重要情報が誤って内部から公表されること、およびＬＡＮ、ＷＡＮ、インターネット、またはエクストラネットが不適切に使用されることを含めた、増加するリスクに直面している。
【０００３】
コンピュータネットワークの拡大の管理、ならびに様々なセキュリティ問題への対処において、ネットワーク管理者はしばしば、ファイアウォール保護、ＮＡＴ（ネットワークアドレス変換）、スパム電子メールのフィルタリング、ＤＮＳキャッシング、ウェブキャッシング、仮想私設ネットワーク（ＶＰＮ）の編成および管理、ならびにネットワークユーザが組織のＩＳＰを使用してある種のウェブサイトにアクセスすることがないようにするためのＵＲＬブロッキングなどの、ネットワークポリシー管理サービスに目を向ける。しかし、一般に各ポリシー管理サービスは、構成し、管理し、モニタする必要のある別々の装置を必要とする。さらに、組織が複数の場所にまたがって発展し拡大するにつれ、維持される装置もまた増加し、それにより、装置を構成し、管理し、モニタするための関連費用および労力が増加する。
【０００４】
この問題に対する解決法は、複数のネットワークポリシー管理機能を各場所にある単一の装置に統合して各場所がそのポリシー情報を他の場所と共有できるようにするだけですむほど単純ではない。実際、このような手法を採用することには多くの障害および難題が伴う。例えば、ポリシー管理情報を組織全体のリモート私設ネットワークにまたがって効果的に指定および配信する手法は、一般に、うまく設計されたオブジェクトモデルを必要とする。ポリシー管理情報を更新することによって組織中の複数のデータベースを同期させることもまた、複雑な問題である場合がある。さらに、組織全体にわたるリモート装置に対してポリシー情報を効率的に管理することも、難題を呈する可能性がある。さらに、効率的な分析および報告生成のために大規模な分散ポリシー管理システム中のリモート私設ネットワークからログおよび統計の情報を収集することも、困難な作業であることが多い。従来、生のパケット情報しかロギング（ログ作成）および保管されず、一般に、カスタマイズして作りこまれた時間のかかるプログラムをオフラインで生データに対して実行して、意味をなす報告および統計を作成することが必要となっている。
【０００５】
統一されたポリシー管理システムを提供することには、その他の難題もある。利点を増大させるため、このような統一ポリシー管理機能は、できるだけハードウェアで実装すべきである。しかし、ポリシー管理をチップ上に実装するには、通常、効率的な設計パーテショニングが必要である。さらに、統一ポリシー管理システムは、異なるリモートサイトにわたって拡大する仮想私設ネットワークの効率的な構成、管理、および更新を実現すべきである。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、ネットワーク管理ソリューションに関する分野において、従来のこれらおよび他の障害を克服することが必要とされている。
【課題を解決するための手段】
【０００７】
本発明は、様々なポリシー、すなわちネットワークの動作を決定する規則および命令のセットを、単一のサイトから確立し施行することのできる統一ポリシー管理システムを対象としている。本発明の一実施形態によれば、このシステムは、第１のデータベースに格納されたポリシー設定に従って第１のネットワークに対するポリシーを管理するように構成された、第１のリソースセットを有する第１のネットワークに関連付けられる第１のエッジ装置を含む。このシステムはまた、第２のデータベースに格納されたポリシー設定に従って第２のネットワークに対するポリシーを管理するように構成された、第２のリソースセットを有する第２のネットワークに関連付けられる第２のエッジ装置も含む。第１および第２のエッジ装置は、それぞれのネットワークに対するポリシーエンフォーサ（enforcer:施行装置）の役割を果たす。施行されるポリシーには、ファイアウォールポリシーやＶＰＮポリシーなどを含めることができる。
【０００８】
このシステムはさらに、第１および第２のエッジ装置と通信する中央ポリシーサーバも含む。ポリシーサーバは、単一の場所から第１および第２のポリシー設定を定義して第１および第２のエッジ装置を管理するように構成される。したがってネットワーク管理者は、ポリシーエンフォーサを個別に構成および管理する自分の労力および費用を増大させる必要がない。
【０００９】
代替実施形態では、統一ポリシー管理システムは、以下の特徴の１つまたは複数を含む。
【００１０】
中央ポリシーサーバは、ポリシーエンフォーサの構成情報を格納するための中央データベースを含むことができる。中央データベース、ならびにポリシーエンフォーサに関連付けられるデータベースは、階層オブジェクト指向構造に従って構成されたライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）データベースである。この構造は、ポリシーエンフォーサに対するポリシー設定を定義するためのリソースオブジェクトおよびポリシーオブジェクトを含む。このような構造は、ポリシー管理システムの様々な要素を直感的かつ拡張可能な方式で定義および構成できるようにすることにより、ポリシー管理を簡略化するのを助ける。
【００１１】
本発明の一実施形態によれば、リソースオブジェクトは、装置、ユーザ、ホスト、サービス、および時間を含む。装置は、特定の私設ローカルネットワークの端にあるポリシーエンフォーサである。各装置はユーザおよびホストに関連付けられる。ホストは組織中のネットワーク（例えばＬＡＮサブネット）である。サービスは、ポリシーサーバから提供される様々なサービス（例えばＨＴＴＰ、ＴＥＬＮＥＴ、ＦＴＰ）を反映する。時間は、ネットワークリソースへのアクセスを制御する際のもう１つの次元である。
【００１２】
中央データベースは、ポリシー設定を含め、すべてのポリシーエンフォーサに対する構成情報を格納する。構成情報に変更が加えられるとき、ポリシーサーバはそのような変更のログを作成し、それを後でポリシーエンフォーサに転送するために中央データベースに格納する。ポリシーエンフォーサは、変更のログを受け取ると、それぞれのデータベースをしかるべく更新し、更新が成功したかどうかをポリシーサーバに示す。更新が成功した場合、これらのポリシーエンフォーサに対応する変更のログは、中央データベースから削除される。
【００１３】
中央ポリシーサーバはさらに、ネットワーク管理者などのユーザが単一の場所からポリシーエンフォーサに対するポリシー設定を定義し、さらにポリシーエンフォーサを管理することができるようにするために、ユーザアプリケーションモジュールのセットを含むことができる。ポリシー設定は、装置、ユーザ、ホスト、サービス、および時間を含む複数のリソースオブジェクトに関連付けられることが好ましい。
【００１４】
本発明の一態様では、アプリケーションモジュールのセットは、ポリシーエンフォーサをインストールして中央ポリシーサーバに登録できるようにする集中管理サブモジュールを含む。
【００１５】
本発明の別の態様では、アプリケーションモジュールのセットは、単一の場所からリソースオブジェクトを管理および閲覧するためのポリシー管理サブモジュールを含む。
【００１６】
本発明の別の態様では、ポリシーサーバは、ユーザがポリシーエンフォーサの健全性および状態をモニタできるようにするユーザアプリケーションモジュールのセットを含む。各ポリシーエンフォーサは、健全性および状態の情報を収集し、事前定義済みの共通ログフォーマットでポリシーサーバに送信する。次いでポリシーサーバは、この情報に基づいて様々な報告を作成することができる。したがって、本発明により、組織中のリソースを実行中にモニタすることができ、一般に生データしか収集せず単調な報告生成を必要としていた従来技術に勝る本発明の他の利点ももたらされることを理解されたい。
【００１７】
それぞれのネットワークに対してポリシーを施行する際のポリシーエンフォーサの機能もまた、効果的にハードウェア実装するためにパーテショニングすることができる。本発明の一実施形態によれば、各エッジ装置は、分類エンジン、ポリシーエンジン、およびパケット転送エンジンを含めた、複数のモジュールを含むことが好ましい。分類エンジンは、着信パケットに関連付けられるプロトコルを決定する。ポリシーエンジンは、パケットに関連付けられるポリシー設定に基づいて、パケットに対する転送決定を行う。パケット転送モジュールは、次いでそのポリシー設定に基づいてパケットを転送する。
【００１８】
代替実施形態では、モジュールはさらに、パケットを送信するユーザを認証するためのセキュリティエンジン、ポリシーエンフォーサを流れるパケットの統計を収集するための統計モジュール、またはその両方も含むことができる。
【００１９】
システム中の各ネットワークもまた私設ネットワークを構成することができ、私設ネットワークに関連付けられる各ポリシーエンフォーサは、そのポリシーエンフォーサを介して到達可能なメンバネットワークの情報を有するテーブルを作成するように構成される。次いでこのテーブルは、ＶＰＮ中の他のメンバポリシーエンフォーサと共有される。これにより、動的に編纂されるメンバリストを有するＶＰＮを生み出すことができる。
【００２０】
本発明の特定の態様では、第１の私設ネットワークと第２の私設ネットワークの間の通信は、そのメンバネットワークに関連付けられるセキュリティポリシーに従って管理される。セキュリティポリシーは、セキュリティポリシーグループの階層組織を形成する、ＶＰＮクラウドと呼ばれるセキュリティポリシーグループに対して定義されることが好ましい。ＶＰＮクラウドは、メンバネットワーク（ホスト）、メンバネットワークへのアクセスを許可されたユーザ、およびそのメンバネットワークへのアクセスを制御する規則を含む。したがって、ＶＰＮクラウドによって形成される階層組織により、ネットワーク管理者は完全に網目状のＶＰＮを生み出すことができ、この中で、ＶＰＮクラウド内のあらゆるサイトは他のあらゆるサイトと完全な接続性を有する。ネットワーク管理者は、もはや手作業でＶＰＮ中の可能な各接続を構成する必要はなく、ＶＰＮクラウドを生み出して、ＶＰＮに関連付けるべきサイト、ユーザ、および規則を指定するだけでよい。次いで、ＶＰＮクラウドに対して指定された構成に基づいて各接続が構成される。したがって、この階層組織は、多数のサイトを有するＶＰＮをセットアップするのを容易にする。
【００２１】
本発明の別の態様では、ＶＰＮ中の規則は、メンバネットワーク間のトラフィックのアクセス制御を設けるファイアウォール規則である。このようなファイアウォール規則により、管理者は、ＶＰＮを流れるトラフィックに対して、もっぱらそのようなＶＰＮによって形成される暗号化されたアクセスの領域内で、きめ細かいアクセス制御権を有することができる。
【００２２】
本発明の別の態様では、リモートユーザが、リモートユーザ端末を使用してリモートの場所からメンバネットワークにアクセスする。この端末は、それが接続されているエッジ装置から動的メンバシップ情報を有するテーブルをダウンロードするためのソフトウェアを用いて構成される。さらにメンバシップ情報の更新も、端末を再構成する必要なしに自動的にリモートユーザ端末に送信される。
【００２３】
ポリシーサーバおよびポリシーエンフォーサ、ならびにその他のネットワーク装置はまた、単一障害点を回避するために第１クラスユニット（主ユニット）に加えて第２クラスユニット（バックアップユニット）を維持することにより、可用性が高くなるように構成することもできる。本発明の一態様では、バックアップユニットは最初、非アクティブ状態にあり、後に主ユニット中で障害が検出されたときにアクティブ状態に移行する。
【００２４】
本発明の別の態様では、高可用性の各装置は、初期化中に、主ユニット、バックアップユニット、またはスタンドアロンユニット（第３クラスユニット）としてのその状態を知る。
【００２５】
本発明の別の態様では、主ユニットおよびバックアップユニットのデータベースに格納された構成情報は、第１クラスユニットをアクティブ状態に移行し、第１クラスユニット上で第１のデータベース構成変更を受信して格納し、その構成変更を第２クラスユニットに転送し、第２クラスユニット上で構成変更を格納することによって同期がとられる。主ユニットが非アクティブ状態に移行したときは、バックアップユニットが、第２クラスユニット上で第２のデータベース構成変更を格納し、主ユニットがアクティブ状態に再移行した後でこれらの変更を主ユニットに転送する。
【００２６】
本発明の別の態様では、ソフトウェア更新など、主ユニットおよびバックアップユニットの更新はまた、主ユニットに更新情報を送信し、主ユニットを更新し、主ユニットからバックアップユニットに更新を送信し、バックアップユニットを更新することによって同期がとられる。したがってネットワーク管理者は、バックアップユニットを更新するために自分の労力を繰り返す必要がない。
【００２７】
本発明のこれらおよび他の特徴、態様、および利点は、後続の詳細な説明、付属の特許請求の範囲、および添付の図面について考察すればより完全に理解されるであろう。
【発明を実施するための最良の形態】
【００２８】
Ｉ．統一ポリシー管理システムアーキテクチャ
図１は、本発明の一実施形態による例示的な統一ポリシー管理システムの概略ブロック図である。図１に示すように、私設ローカルネットワーク１０２、１０４、１０６はすべて、それぞれのルータ（１１０において一般に識別する）およびインターネットサービスプロバイダ（ＩＳＰ）（図示せず）を介してインターネット１０８などの公衆ネットワークに結合される。インターネット１０８には、ウェブサーファ１１２、ダイヤルアップネットワークユーザ１１４、無許可ウェブサイトを提供するサーバ１１６、要求されない無価値の電子メールを送出する電子メールスパマ（spammers）１１８、および私設ローカルネットワーク１０２へのアクセスを探すＶＰＮクライアント１４０もまた、ＩＳＰを介して結合される。
【００２９】
一例によれば、ローカルネットワーク１０２は、組織の本部など、組織の第１の場所でユーザおよびワークステーション、サーバ、プリンタなどのリソースを接続し、ローカルネットワーク１０４は、支部オフィスなど、組織の第２の場所でユーザおよびリソースを接続する。さらに、ローカルネットワーク１０６は、組織のユーザおよびリソースへの特別なアクセスを必要とする、組織の顧客のユーザおよびリソースを接続する。組織の許可済ダイヤルアップネットワークユーザ１１４は、それぞれ第１および第２のローカルネットワークからリモートの（地理的に離れた）場所に位置し、やはり組織のユーザおよびリソースへの特別なアクセスを必要とする。さらに、ウェブサーファ１１２は、公衆インターネット１０８を介して組織のウェブサーバ１２０と通信し、組織のウェブサイトにアクセスする。
【００３０】
ローカルネットワーク１０２は、組織に対するネットワークサービスおよびポリシーを定義および管理するためのポリシーサーバ１２２を含む。ネットワークポリシーは、ファイアウォール、ＶＰＮ、帯域幅、および管理のポリシーなど、ネットワークの動作を決定する規則および命令のセットである。ファイアウォールポリシーは、公衆インターネット１０８からローカルネットワーク１０２、１０４に流入することを許可されるネットワークトラフィックと、ブロックすべきトラフィックを決定する。帯域幅ポリシーは、ローカルネットワークを流れるトラフィックに割り当てるべき帯域幅の種類を決定する。ＶＰＮポリシーは、複数のローカルネットワークにまたがるマルチサイト接続性を実現するための規則を決定する。管理ポリシーは、管理機能へのアクセス権を有するユーザ、それらのユーザに割り当てられる管理機能のタイプ、およびそれらのユーザがそのような管理機能を行使することのできるポリシーエンフォーサ１２４、１２６を決定する。組織全体に対するファイアウォール、ＶＰＮ、帯域幅、および管理のポリシーは、ポリシーサーバ１２２によって維持されるポリシーサーバデータベース１３０に格納することが好ましい。
【００３１】
各ローカルネットワーク１０２、１０４はまた、ネットワークへのアクセスを制御するための、ポリシーエンフォーサ１２４、１２６と呼ばれるエッジ装置も含む。各ポリシーエンフォーサ１２４、１２６は、それぞれのローカルネットワーク１０２、１０４のユーザおよびリソースに対するネットワークポリシーおよびサービスを、ポリシーサーバ１２２によって許可されるとおりに管理する。ポリシーエンフォーサがローカルネットワーク１０２、１０４に対するネットワークポリシーおよびサービスを管理できるように、ポリシーサーバデータベース１３０のそれぞれの部分がポリシーエンフォーサデータベース１３２、１３４にコピーされる。
【００３２】
本発明の一実施形態によれば、ポリシーサーバ１２２およびポリシーエンフォーサ１２４、１２６は、カリフォルニア州ＭｉｌｐｉｔａｓのＡｌｃａｔｅｌ  Ｉｎｔｅｒｎｅｔｗｏｒｋｉｎｇ，Ｉｎｃ．製のＦＯＲＴ  ＫＮＯＸシリーズのポリシールータと同様の方式で実装することができる。
【００３３】
ＩＩ．ネットワークポリシー管理用のオブジェクトモデル
本発明の一実施形態によれば、ポリシーサーバデータベース１３０およびポリシーエンフォーサデータベース１３２、１３４は、統一階層オブジェクト指向構造に従うＬＤＡＰデータベースである。ＬＤＡＰディレクトリサービスモデルはエントリに基づき、各エントリは、識別名（ＤＮ）で参照符を付けられた属性の集合である。各属性は、タイプおよび１つまたは複数の値を含む。タイプは通常、組織（ｏｒｇａｎｉｚａｔｉｏｎ）の「ｏ」、国（ｃｏｕｎｔｒｙ）の「ｃ」、または電子メールアドレスの「メール（ｍａｉｌ）」などのニーモニック（簡略表現）ストリングである。値は属性のタイプに依存する。例えば、「メール」属性が値「ｂａｂｓ＠ｕｍｉｃｈ．ｅｄｕ」を含むことがある。「ｊｐｅｇＰｈｏｔｏ」属性がバイナリＪＰＥＧ／ＪＦＩＦフォーマットの写真を含むことがある。ＬＤＡＰディレクトリサービスモデルについての追加の詳細は、ＲＦＣ１７７７「Ｔｈｅ  Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ」（Ｗ．Ｙｅｏｎｇ、Ｔ．Ｈｏｗｅｓ、Ｋｉｌｌｅ、Ｎｅｔｗｏｒｋ  Ｗｏｒｋｉｎｇ  Ｇｒｏｕｐ、１９９５年３月）および「ＬＤＡＰ  Ｐｒｏｇｒａｍｍｉｎｇ：  Ｄｉｒｅｃｔｏｒｙ−ｅｎａｂｌｅｄ  Ａｐｐｌｉｃａｔｉｏｎｓ  ｗｉｔｈ  Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ」（Ｔ．Ｈｏｗｅｓ、Ｍ．Ｓｍｉｔｈ、Ｍａｃｍｉｌｌａｎ  Ｔｅｃｈｎｉｃａｌ  Ｐｕｂｌｉｓｈｉｎｇ、１９９７年）に定義されており、これらを参照により本明細書に組み込む。
【００３４】
ＬＤＡＰデータベース中のエントリは、政治的、地理的、組織的な、あるいはこれらの組み合わせの境界を反映する階層ツリーのような構造に構成することが好ましい。ツリーの下部には、国を表すエントリがくる。それらの下に、州または国家組織を表すエントリがくる。州または国家組織の下に、人々、組織単位、プリンタ、文書などを表すエントリがくることができる。
【００３５】
図２は、本発明の一実施形態による、ポリシーサーバデータベース１３０が従う統一階層オブジェクト指向構造の概略的な配置図である。ポリシーエンフォーサデータベース１３２、１３４も、少数の相違を除けば同様の構造に従う。例えば、ポリシーエンフォーサデータベースは、ポリシーサーバドメインオブジェクト２０１やそれに関係するポリシーサーバオブジェクトも、ポリシードメインオブジェクト２４０も含まないことが好ましい。
【００３６】
図２に示すように、構造中の各オブジェクトはＬＤＡＰエントリとして格納することが好ましい。階層の上部には、様々なポリシーサーバリソースを含むポリシーサーバドメインオブジェクト２０１と、複数のドメインオブジェクト（一般的に２０４で参照する）がある。各ポリシードメインオブジェクト２４０は、共通ポリシーを共有するポリシーエンフォーサのグルーピングである。各ポリシードメインオブジェクト２４０は、リソースルートオブジェクト２００およびグループルートオブジェクト２０２を含む。すべてのポリシー管理機能は、装置２０４、ユーザ２０６、ホスト２０８、サービス２１０、および時間２２０を含むリソースオブジェクトについて実施されることが好ましい。したがって、ファイアウォールポリシーは、そのポリシーに、適用可能な特定の装置、ユーザ、ホスト、サービス、および時間を単に割り当てるだけで定義することができる。装置、ユーザ、ホスト、およびサービスは、より直感的にリソースを扱い編成するために、グループ名、説明、およびメンバ情報を有するグループ２１２、２１４、２１６、２１８中にそれぞれ編成することが好ましい。
【００３７】
ユーザ２０６は、安全かつ効率的なユーザ認証手段を提供するユーザドメインに関連付けることが好ましい。各ユーザドメインは、ユーザを認証することを認可された単一のポリシーエンフォーサを有する。したがって、ユーザドメインは、認証エージェントが一般にユーザと同じローカルネットワーク中に位置することを保証する。これは、ユーザ認証プロセス中のネットワーク依存性またはネットワーク待ち時間のコストを除去するのに役立つ。しかし、ユーザが、認可されたダイヤルアップユーザ１１４および顧客ネットワーク１０６からのユーザにあたる場合があることに留意されたい。これらのユーザはリモート認証エージェントと接触し、リモート認証エージェントは、プロキシとして適切なポリシーエンフォーサに認証を返す。
【００３８】
ホスト２０８は、組織中に存在する様々なネットワークである。例えば、特定のＬＡＮサブネットをシステム中のホストに指定することができる。ホスト２０８は、組織内のそれらの物理的な場所に基づいて編成することが好ましい。ホストの物理的な場所は、ホストに関連付けられる装置（ポリシーエンフォーサ）２０４によって識別される。
【００３９】
サービス２１０は、ポリシーサーバ１２２から提供される様々なサービスを反映する。このようなサービスには、例えばマルチメディアストリーミング／会議、情報検索、セキュリティおよび認証、データベースアプリケーション、メールアプリケーション、ルーティングアプリケーション、標準通信プロトコルなどが含まれる。各サービスに関連付けられる属性には、サービス名、説明、タイプ（例えばＨＴＴＰ、ＨＴＴＰＳ、ＦＴＰ、ＴＥＬＮＥＴ、ＳＭＴＰ、Ｒｅａｌ  Ｎｅｔｏｒｋｓなど）、およびグループを含めることが好ましい。
【００４０】
装置２０４は、特定のローカルネットワークの端にあるポリシーエンフォーサ１２４、１２６である。各装置／ポリシーエンフォーサは、ユーザ２０６と、ポリシーエンフォーサによって管理されるホスト／ネットワーク２０８とを含むことが好ましい。
【００４１】
時間２２０は、ネットワークリソースへのアクセスを制御する際のもう１つの次元である。時間の範囲をカバーする様々な時間オブジェクトを作成して、ファイアウォールポリシーの作成に使用することができる。
【００４２】
ポリシーを効率的かつ直感的に定義するために、リソースと同様にネットワークポリシーもオブジェクトによって定義することが好ましい。ポリシーは管理者によって定義され、公衆インターネット１０８とローカルネットワーク１０２および１０４との間を流れるネットワークトラフィック上でポリシーエンフォーサ１２４、１２６によって実施される。
【００４３】
本発明の一実施形態によれば、ポリシーオブジェクト２２２は、帯域幅ポリシー２２４、ファイアウォールポリシー２２６、管理ポリシー２２８、およびＶＰＮポリシー２３０を含む。ＶＰＮポリシー２３０は、メンバネットワークに対するセキュリティポリシーを定義し、１つまたは複数のＶＰＮクラウド２３２を含む。各ＶＰＮクラウド２３２は、サイトのリスト２３４および相互に通信できるユーザ２３６を含むセキュリティポリシーグループを定義する個別ＶＰＮまたはＶＰＮグループである。サイトは、ポリシーエンフォーサ１２４、１２６のうちの１つの後ろに物理的に位置するホスト／ネットワークのセットであることが好ましい。言い換えれば、サイトは、それに関連付けられるポリシーエンフォーサを含むネットワークの定義である。サイトに対するポリシーエンフォーサは、サイトの下のホストが通信を開始した後にＶＰＮトンネルの端点として機能する。これらの通信は、各ＶＰＮクラウド用に構成された規則のセット２３８によって支配される。規則２３８は、とりわけ、ネットワーク層における接続性に使用される暗号化のレベルや認証など、ＶＰＮアクセス許可およびセキュリティの機能を支配することができる。
【００４４】
したがって、図２のオブジェクト指向構造により、ネットワーク管理者は、直感的かつ拡張可能な方式でポリシーを定義することができる。そのようなポリシーは、単にリソースをポリシーに関連付けるだけで定義することができる。これにより、単一の論理サーバが企業全体にわたってファイアウォール、帯域幅管理、およびＶＰＮのサービスを提供する印象を管理者が持つ、ポリシー中心の管理モデルが実現する。異なる場所にある個別のポリシーエンフォーサ上でポリシーが施行されることは、管理者にはトランスペアレントである。
【００４５】
ＩＩＩ．ポリシーベースのネットワークアーキテクチャ
図３は、本発明の一実施形態によるポリシーサーバ１２２のより詳細な概略ブロック図である。ポリシーサーバ１２２は、単一のコンソールからポリシーエンフォーサ１２４、１２６に対する中央制御を可能にする管理モジュール３０２を含むことが好ましい。ポリシーサーバ１２２はさらに、ログ収集／アーカイブモジュール３０４およびポリシーサーバ報告モジュール３１６も含む。ログ収集／アーカイブモジュール３０４は、ポリシーエンフォーサ１２４、１２６ならびに管理モジュール３０２からリソースの状態および使用に関する情報を収集し、それらをアーカイブデータベース３１８に格納する。ポリシーサーバ報告モジュール３１６は、収集されたログおよびアーカイブを使用して、整った報告フォーマットで報告を生成する。
【００４６】
再び管理モジュール３０２を参照すると、管理モジュール３０２は、中央制御を補助するサブモジュール、すなわち集中管理サブモジュール３０６、ポリシー管理サブモジュール３０８、安全役割ベース管理サブモジュール３１０、およびマルチサイト接続性管理サブモジュール３１２を含むことが好ましい。
【００４７】
集中管理サブモジュール３０６は、ネットワーク管理者が中央の場所から個々のポリシーエンフォーサをインストールおよび管理できるようにする。ネットワーク管理者は、ウェブベースのグラフィカルユーザインタフェースを使用して、ポリシーエンフォーサのネットワーク構成を定義し、装置の健全性、装置のアラーム、ＶＰＮ接続状態など、装置の様々な面をモニタすることが好ましい。
【００４８】
ポリシー管理サブモジュール３０８は、ポリシーエンフォーサの複数の機能面（例えばファイアウォール、帯域幅管理、仮想私設ネットワーク）、複数のリソース（例えばユーザ、ホスト、サービス、時間）、および複数のポリシーエンフォーサに及ぶポリシーを作成する能力をネットワーク管理者に提供する。
【００４９】
安全役割ベース管理サブモジュール３１０は、役割ベースの管理を提供して、管理者が管理責任を他の管理者に委任できるようにする。このサブモジュールは、管理機能へのアクセスについては最大セキュリティを可能にすることが好ましい。
【００５０】
マルチサイト接続性管理サブモジュール３１２は、ネットワーク管理者が２つ以上のリモートサイト間に安全な通信チャネルをセットアップできるようにする。こうする間に、このサブモジュールは、集中管理サブモジュール３０６と、ポリシー管理サブモジュール３０８と、ポリシーエンフォーサ１２４、１２６の動的ルーティング機能と、管理インフラストラクチャとに影響を与えて、企業全体にわたる仮想私設ネットワークにきめ細かいアクセス制御を提供する。
【００５１】
図４は、本発明の一実施形態による集中ポリシー管理サブモジュール３０６のより詳細な概略図である。サブモジュールは、ポリシーサーバ１２２のインストールを補助するための対話式ユーザインタフェースを提供するポリシーサーバインストールウィザード４０４を含む。これに関し、ネットワーク管理者は、クロスオーバケーブルやハブなどを介してポリシーサーバ１２２のＬＡＮポートに接続されたパーソナルコンピュータへのアクセス権を有する。ネットワーク管理者は、好ましくはポリシーサーバ１２２のＵＲＬをＭｉｃｒｏｓｏｆｔ  Ｉｎｔｅｒｎｅｔ  Ｅｘｐｌｏｒｅｒなどの標準的なインターネットブラウザにタイプ入力することによってポリシーサーバ１２２に接続する。ＵＲＬは、「ｈｔｔｐ：／／＜ｉｐａｄｄｒｅｓｓ＞：８８／ｉｎｄｅｘ．ｈｔｍｌ」の形をとることが好ましく、＜ｉｐａｄｒｅｓｓ＞は、ポリシーサーバに割り当てられることになるＩＰアドレスである。ＩＰアドレスは、ブラウザがそのアドレスへの接触を試みるときに自動的にポリシーサーバに割り当てられる。管理者のパーソナルコンピュータがそのＩＰアドレスを求めてアドレス解決プロトコル要求を送信すると、ポリシーサーバは、ポート８８に宛てられたパケットが請求されていないことを検出し、そのＩＰアドレスをとる。
【００５２】
接続された後、ポリシーサーバインストールウィザード４０４は、対話式ユーザインタフェースを呼び出して、管理者がポリシーサーバ１２２をセットアップするのを補助する。とりわけ、ポリシーサーバインストールウィザード４０４は、プロンプトを表示して、サーバ名、サーバＩＰアドレス、およびルータＩＰアドレスを指定するよう管理者に促す。さらに、ポリシーサーバインストールウィザード４０４は、プロンプトを表示して、デフォルトのファイアウォール、ＶＰＮ、帯域幅、および管理のポリシーを作成するための様々なデフォルトポリシーのうちの１つを選択するよう管理者に促す。次いで、ポリシーサーバ１２２に登録する新しいポリシーエンフォーサそれぞれの上にこれらのポリシーが複製される。
【００５３】
集中管理サブモジュール３０６はさらに、ポリシーエンフォーサ１２４、１２６のインストールを補助するための対話式ユーザインタフェースを提供するポリシーエンフォーサインストールウィザード４０６も含む。ポリシーサーバ１２２のインストールと同様、ウィザード４０６へのアクセスは、ネットワーク管理者のパーソナルコンピュータを使用したウェブベースであることが好ましい。
【００５４】
接続された後、ポリシーエンフォーサインストールウィザード４０６は、対話式ユーザインタフェースを呼び出して、ネットワーク管理者が特定のポリシーエンフォーサ１２４、１２６をセットアップするのを補助する。とりわけ、ポリシーエンフォーサインストールウィザード４６４は、プロンプトを表示して、ポリシーサーバＩＰアドレス、ポリシーエンフォーサＩＰアドレス、およびルータＩＰアドレスを指定するよう管理者に促す。次いでポリシーエンフォーサは、ポリシーサーバ上のＵＲＬをポリシーエンフォーサ自体のブートストラップ情報と共に呼び出すことによってポリシーサーバ１２２に登録する。ポリシーエンフォーサを登録することにより、ポリシーエンフォーサのデータベース１３２、１３４を構成情報で初期化すること、ならびにポリシーエンフォーサの状態および健全性をポリシーサーバ１２２によってモニタすることができる。
【００５５】
ポリシーエンフォーサをポリシーサーバ１２２に登録する前に、ネットワーク管理者は、ポリシーサーバ上にポリシーエンフォーサを事前登録することが好ましい。このような事前登録により、ポリシーエンフォーサが実際に登録するときのためのポリシーエンフォーサデータ用プレースホルダノードをポリシーサーバ上に作成することができる。これに関し、集中管理サブモジュール３０６は、新しいポリシーエンフォーサの事前登録を可能にする構成インタフェース４１０を含む。
【００５６】
図５は、本発明の一実施形態によるポリシーエンフォーサ事前登録および登録のプロセスの例示的な流れ図である。ステップ４０１で、前述のポリシーエンフォーサインストールウィザード４０６を使用して、ポリシーエンフォーサがネットワークに接続され、その実際の物理的場所にインストールされる。この新しい装置のシリアル番号を有するネットワーク管理者は、ステップ４０３で新しいポリシーエンフォーサを装置グループに追加することにより、ポリシーエンフォーサを事前登録する。これに関し、構成インタフェース４１０は、図６に示すような対話式グラフィカルインタフェースを呼び出し、ネットワーク管理者が装置名４１５、シリアル番号４１７、および場所情報４１９を入力できるようにし、さらに新しいポリシーエンフォーサが属すべき装置グループ４２１を管理者が選択できるようにもする。適用ボタン４２３を作動させると、ステップ４０５で、新しいポリシーエンフォーサは、好ましくはポリシーサーバ上のＵＲＬを呼び出すことによってポリシーサーバ１２２と接触するようにされる。ポリシーサーバに接触した後、新しいポリシーエンフォーサは、その登録パケットをポリシーサーバに送信する。登録パケットは、新しいポリシーエンフォーサのシリアル番号、ならびにポリシーエンフォーサのＬＡＮ、ＷＡＮ、およびＤＭＳのＩＰアドレスを少なくとも含む。ステップ４０７で、集中管理サブモジュール３０６は、新しいポリシーエンフォーサのシリアル番号をポリシーサーバ１２２に事前登録されているポリシーエンフォーサのリストと比較する。マッチが見つかれば、ポリシーサーバ１２２は、ステップ４０９で、そのポリシーエンフォーサ用に選択された設定を好ましくはＬＤＡＰデータ交換フォーマット（ｌｄｉｆ）ファイルにパッケージ化することによって、登録プロセスを続行する。ステップ４１１で、ファイルは、好ましくはＨＴＴＰＳチャネルを介して、ポリシーエンフォーサ上のコモンゲートウェイインタフェース（ＣＧＩ）を呼び出すことによってポリシーエンフォーサに送信される。次いでポリシーエンフォーサは、ステップ４１３で、このファイルを使用してデータベース１３２や１３４などのその構成データベースを初期化する。
【００５７】
再び図４を参照すると、集中管理サブモジュール３０６は、グローバルモニタユーザインタフェース４０２およびデータコレクタプログラム４１２も含み、これらはそれぞれ、ポリシーサーバ１２２によって管理されるすべてのポリシーエンフォーサの健全性および状態を表示および収集する。データコレクタプログラム４１２は、それが管理している稼動中の各ポリシーエンフォーサから健全性および状態の情報を受け取り、関係する情報をグローバルモニタユーザインタフェースに渡す。モニタされている各ポリシーエンフォーサ中でデーモンとして稼動する健全性エージェントが、装置から定期的にデータを収集し、その健全性状態を分析する。次いで、収集されたデータは、要求されたときにデータコレクタプログラム４１２からポリシーサーバ１２２に転送される。
【００５８】
図７は、様々なタイプの健全性および状態の情報を表示する例示的なグローバルモニタユーザインタフェース４０２の画面の図である。このような情報は、システムロード（load:負荷）７１２やネットワーク使用７１４など、装置の健全性に関するものとすることができる。この情報はまた、アラーム名、タイプ、説明などを含めた、装置に対する現在アラーム７１６に関するものとすることもできる。この情報はさらに、接続タイプ、ソース／宛先、継続時間、およびＶＰＮトラフィックボリュームを含めた、現在ＶＰＮ接続７１８に関するものとすることもできる。
【００５９】
再び図３を参照すると、ポリシー管理サブモジュール３０８は、ポリシーエンフォーサ１２４、１２６のポリシー管理を可能にする。上で論じたように、すべてのポリシー管理機能は、ユーザ、装置、ホスト、サービス、および時間を含め、ポリシーデータベース１３０、１３２、１３４に格納されたリソースオブジェクトについて実施される。すべてのリソースは、インストールプロセス中に管理者によって選択されたデフォルトポリシー設定に関連付けられることが好ましい。ネットワーク管理者は、ポリシー管理サブモジュール３０８から提供されるグラフィカルユーザインタフェースを介して集約的にポリシーを閲覧し、追加し、修正する。これにより、単一の論理サーバが企業全体にわたってファイアウォール、帯域幅管理、およびＶＰＮのサービスを提供する印象を管理者が持つ、ポリシー中心の管理モデルが実現する。異なる場所にある個別のポリシーエンフォーサ上でポリシーが施行されることは、管理者にはトランスペアレントである。
【００６０】
図８は、ポリシー管理サブモジュール３０８から提供される例示的なグラフィカルユーザインタフェースの画面の図である。このインタフェースは、ユーザタブ７１８ａ、装置タブ７１８ｂ、ホストタブ７１８ｃ、サービスタブ７１８ｄ、および時間タブ７１８ｅを含めたリソースタブのリストを有するリソースパレット７１８を備える。リソースパレットは、管理者が単一のコンソールからリソース定義を追加および修正できるようにする。
【００６１】
ユーザタブ７１８ａを選択すると、システムに対して定義されたユーザグループ７２２が表示される。特定のグループを選択して、ログイン名、氏名、ユーザが属するポリシーエンフォーサ、認証方式、パスワードなどのユーザの様々な属性を定義することにより、新しいユーザを追加することもできる。
【００６２】
装置タブ７１８ｂを選択すると、図９に示すように、ポリシーサーバ１２２およびポリシーエンフォーサ１２４、１２６を管理するための様々な装置管理アイコンが表示される。ポリシーサーバシステム設定アイコン７５０は、ネットワーク管理者がポリシーサーバ１２２のＬＡＮのＩＰアドレスやＷＡＮ／ＤＭＳのＩＰアドレスのようなシステム設定を閲覧および修正できるようにする。ポリシーサーバアーカイブオプションアイコン７５２は、ポリシーサーバ１２２における報告およびその他のデータベースアーカイブオプションを指定できるようにする。グローバルＵＲＬブロッキングアイコン７５４は、すべてのポリシーエンフォーサ１２４、１２６がブロックすべき無許可ウェブサイト１１６のリストを管理者が指定できるようにする。同様に、グローバルスパムリストアイコン７５６は、すべてのポリシーエンフォーサがブロックすべきスパマ１１８の電子メールアドレスのリストを管理者が指定できるようにする。
【００６３】
管理者は、アイコン７５８を選択することによってすべてのポリシーエンフォーサ１２４、１２６に関する情報を閲覧することができる。特定のポリシーエンフォーサに関する情報は、特定の装置グループ７６１の下にある具体的なポリシーエンフォーサ７６０を選択することによって閲覧することができる。このような情報は、選択されたポリシーエンフォーサ特有のシステム設定情報７６２、ＵＲＬブロッキング情報７６４、スパムリスト情報７６６などを含む。例えば、ポリシーエンフォーサのＵＲＬブロッキング情報７６４アイコンを選択すると、選択されたポリシーエンフォーサに対してネットワーク管理者がブロックするために選択できる様々なＵＲＬカテゴリ７６８が表示される。
【００６４】
ホストタブ７１８ｃを選択すると、図１０に示すように、システムの様々なホスト（ネットワーク）が表示される。ホストは、その物理的位置に基づいて編成され、さらに特定のポリシーエンフォーサ１２４、１２６と関連付けられる。ホストは、固有の名前７７０、ネットワークのＩＰアドレス７７２、およびサブネットマスク７７４を含めた様々な属性に関連付けられる。さらに管理者は、ホストがポリシーサーバ１２２によって管理されないネットワークに属する外部ホスト７７６かどうかを指定することができる。ホストが外部ホストである場合、管理者は、そのホストが属する外部装置のＩＰアドレス７７８を指定する。装置フィールド７８０は、そのホストが属するポリシーエンフォーサの名前を管理者が入力できるようにする。各ホストはさらに、管理者によって割り当てられた特定のグループ７８２と関連付けられる。
【００６５】
サービスタブ７１８ｄを選択すると、図１１に示すように、ポリシーサーバ１２２によってサポートされる様々なサービスグループが表示される。このようなサービスグループには、例えばマルチメディアストリーミング／会議、情報検索、セキュリティおよび認証、メールアプリケーション、ルーティングアプリケーション、データベースアプリケーション、標準通信プロトコルなどが含まれる。ユーザは、望むなら新しいサービスグループを追加することもできる。
【００６６】
各サービスは、名前７８４、説明７８６、およびサービスタイプ７８８（例えばＨＴＴＰ、ＨＴＴＰＳ、ＦＴＰ、ＴＥＬＮＥＴ、ＳＭＴＰ、Ｒｅａｌ  Ｎｅｔｗｏｒｋｓなど）と関連付けられる。さらに、各サービスは、サービスグループ７９０とも関連付けられる。サービスのタイプに基づいて、サービスに対して追加情報を指定することもできる。例えば、ＨＴＴＰサービスの場合、管理者はＵＲＬブロッキング７９２を有効にするかどうかを指定することができる。
【００６７】
時間タブ７１８ｅを選択すると、図１２に示すように、ファイアウォールポリシーで使用される時間範囲をカバーする様々な時間グループアイコン７９４が表示される。例えば、作用時間グループアイコンを選択すると、ネットワーク管理者は、作用日時として設定すべき日時を設定することができる。
【００６８】
再び図８を参照すると、このインタフェースは、システムに利用可能なポリシーのリストを含むポリシーキャンバス７２０も備える。ポリシー定義は、リソースパレット７１８からドラッグしてポリシーキャンバス７２０にドロップできるリソースのセットの結合であることが好ましい。
【００６９】
ファイアウォールタブ７２０ａを選択すると、１つまたは複数のポリシーエンフォーサを含む特定のポリシードメインに対して定義されるすべてのファイアウォールポリシーが表示される。ネットワーク管理者は、ポリシーエンフォーサの事前登録中に、ポリシーエンフォーサが属すべきドメインを決定する。このインタフェースにより、ネットワーク管理者は、様々なポリシーをポリシーサーバ１２２から閲覧、追加、および修正し、ポリシーエンフォーサ１２４、１２６に対する変更を、各ポリシーエンフォーサ中で個別に変更する必要なしに行うことができる。
【００７０】
本発明の一実施形態によれば、各ファイアウォールポリシーは、ポリシーのリスト中で特定のポリシー規則を識別するためのポリシー識別子（ＩＤ）属性７２４を含む。ポリシー規則についての順番属性７２６は、ポリシーを適用すべき順序を示す。これに関し、ローカルネットワークに対するポリシーエンフォーサ１２４、１２６は、規則を一度に１つずつ順次とりあげ、それをネットワークトラフィックと比較し、好ましくはネットワークトラフィックにマッチする第１の規則を適用する。
【００７１】
各ファイアウォールポリシーはまた、適用されるファイアウォールポリシーを説明するための説明属性７２８も含む。例えば、説明は、そのポリシーがスパムブロッキング、ＵＲＬブロッキング、ＶＰＮキー管理などを可能にすることを示すことができる。アクションフラグ属性７３０は、示されているポリシーに対してトラフィックが許可されるか拒否されるかを示す。アクティブフラグ属性７３２は、そのポリシーがアクティブにされた状態かアクティブにされていない状態かを示す。したがって、ネットワーク管理者は、ポリシーを作成し、後でそれをアクティブにすることができる。アクティブにされていない状態のポリシーは、ネットワークトラフィックに影響を与えない。
【００７２】
各ファイアウォールポリシーはさらに、ユーザ属性７３４、ソース属性７３６、サービス属性７３８、宛先属性（図示せず）、および時間属性（図示せず）も含む。これらの属性はそれぞれ、グループ名またはリソース名によって表示されることが好ましい。この名前は、ＬＤＡＰデータベース１３０、１３２、または１３４のグループルートオブジェクト２０２中またはリソースルートオブジェクト中のエントリへのポインタとしての役割を果たす。
【００７３】
ユーザ属性７３４は、そのポリシーに適格なユーザグループおよびユーザを示すことが好ましい。ソース属性７３６は、そのユーザに関連するネットワークトラフィックの始発点を示す。サービス属性７３８はサービスがポリシーによって許可または拒否されることを示す。宛先属性は、指定されたサービスが許可または拒否されることになる特定のＬＡＮ、ＷＡＮ、ＤＭＳセグメントまたは特定のホストを示す。例えば、メールサーバ上でＳＭＴＰｐｏｐサービスを構成するためには、ホストはそのメールサーバが稼動しているＩＰアドレスとすることができ、指定されるサービスはＳＭＴＰである。時間属性は、ポリシーが有効にされる時間帯を示す。
【００７４】
前記に加え、各ファイアウォールポリシーはまた、ポリシーについての認証方式（例えば、なし、ＬＤＡＰ、ＳｅｃｕｒＩＤ、ＲＡＤＩＵＳ、ＷｉｎＮＴ、またはすべて）を示す認証属性（図示せず）も含む。
【００７５】
図１４は、追加ボタン７２５の作動時に新しいファイアウォールポリシーをポリシードメインに追加するための例示的なグラフィカルユーザインタフェースの画面の図である。既存のファイアウォールポリシーもまた、修正ボタン７２７および削除ボタン７２９をそれぞれ作動させることによって修正または削除することができる。
【００７６】
図１４に示すように、新しいファイアウォールポリシーは、単にポリシーの説明を説明域７２８ａ中に追加し、マッチするネットワークトラフィックに適用されるアクションをアクションボックス７３０ａ中で選択し、ポリシーをアクティブにすべきか非アクティブにすべきかをアクティブ域７３２ａ中で示すだけで定義することができる。さらに、ネットワーク管理者は、ユーザ、ソース、サービス、宛先、および時間のリソースをユーザ域７３４ａ、ソース域７３６ａ、サービス域７３８ａ、宛先域７３９ａ、および時間域７４１中でそれぞれ指定する。ネットワーク管理者はさらに、認証域７４３中でポリシーについての認証方式も選択する。ＯＫボタン７４５の作動時に、ポリシーサーバデータベースのＬＤＡＰツリーの適切なエントリが、追加の新しいポリシーを反映するようにしかるべく変更される。この変更は各ポリシーエンフォーサにも送信されるが、これについては以下にさらに詳細に述べる。
【００７７】
再び図８を参照するが、帯域幅タブ７２０ｃを選択すると、特定のポリシーエンフォーサを流れるトラフィックに割り振るべき帯域幅の種類を決定する様々な帯域幅ポリシーを表示、追加、および修正することができる。異なる帯域幅を異なるユーザ、ホスト、およびサービスに指定することもできる。
【００７８】
管理タブ７２０ｄを選択すると、ヘッドネットワーク管理者が管理責任を他の管理者に委託できるようにする様々な管理ポリシーを表示、追加、および修正することができる。これに関し、ヘッドネットワーク管理者は、どのユーザがどの機構に、かつどの装置に対してアクセス権を有するかを決定する管理ポリシーを指定する。管理ポリシーは、役割属性の仕様を除いてはファイアウォール規則と同様の属性を含むことが好ましい。ユーザの役割に応じて、ある種のユーザには追加の管理特権を与えることもできる。
【００７９】
ＩＶ．自動到達可能性更新を有する仮想私設ネットワーク
再び図３を参照するが、マルチサイト接続性管理モジュール３１２は、動的にルーティングされるＶＰＮを生み出すことを可能にし、ネットワーク管理者がメンバシップ情報を静的に構成することなくＶＰＮメンバシップリストが自動的に作成される。したがって、管理者があるポリシーエンフォーサのＬＡＮから別のポリシーエンフォーサのＬＡＮまでＶＰＮを構成した後は、ＬＡＮインタフェース上で実行されるＲＩＰｖ１やＲＩＰｖ２などのルーティングプロトコルが、それぞれのインタフェースを介して到達可能なネットワークを学習する。次いで、これらのネットワークはＶＰＮのメンバとなり、ＶＰＮの両側にあるポリシーエンフォーサ１２４、１２６は、学習されたルートを使用してメンバシップテーブルを作成する。メンバシップ情報は、ＬＤＡＰデータベース１３２、１３４を介してポリシーエンフォーサ１２４、１２６間で交換されることが好ましい。したがって、ルーティングプロトコルとＬＤＡＰを組み合わせて使用することにより、動的に編纂されるメンバリストを有するＶＰＮを生み出すことができる。
【００８０】
再び図８を参照すると、ネットワーク管理者は、リソースパレット７１８およびポリシーキャンバス７２０を使用して、マルチサイト接続性に対するＶＰＮポリシーを構成する。ポリシーキャンバス７２０中でＶＰＮタブ７２０ｂを選択すると、図１３に示すように、すでにそのシステム用に構成されたＶＰＮクラウド２７０の集合が表示される。前述のように、ＶＰＮクラウドは、セキュリティポリシーをそれに対して定義することのできる個別ＶＰＮまたはＶＰＮグループである。各ＶＰＮクラウドは、サイトノード２３２の下にサイトのリストを、かつユーザノード２３４の下に相互通信できるユーザを含む。サイトは、物理的にポリシーエンフォーサ１２４、１２６のうちの１つの後ろにあるホストのセットである。サイトに対するポリシーエンフォーサは、サイトの下のホストが通信を開始した後はＶＰＮトンネル端点として機能することが好ましい。
【００８１】
ＶＰＮクラウド中のユーザは、サイト２３４に関連付けられたホストにアクセスできるユーザである。後でさらに詳細に述べるが、ユーザは、各ユーザのパーソナルコンピュータにインストールされたＶＰＮクライアントソフトウェアを使用して、ＶＰＮクライアントとしてホストにアクセスする。
【００８２】
各ＶＰＮクラウド２７０はさらに、クラウド中のすべての接続に適用されるファイアウォール規則を含むファイアウォール規則ノード２７６も備える。規則はとりわけ、ネットワーク層における接続性に使用される暗号化のレベルや認証など、ＶＰＮアクセス許可およびセキュリティの機能を支配することができる。
【００８３】
したがって、ＶＰＮクラウドによって形成される階層組織により、ネットワーク管理者は完全に網目状のＶＰＮを生み出すことができ、この中で、ＶＰＮクラウド内のあらゆるサイトは他のあらゆるサイトと完全な接続性を有する。ネットワーク管理者は、もはや手作業でＶＰＮ中の可能な各接続を構成する必要はなく、ＶＰＮクラウドを生み出して、ＶＰＮに関連付けるべきサイト、ユーザ、および規則を指定するだけでよい。次いで、ＶＰＮクラウドに対して指定された構成に基づいて各接続が構成される。したがって、この階層組織は、多数のサイトを有するＶＰＮをセットアップするのを容易にする。
【００８４】
ネットワーク管理者は、追加ボタン２８０を作動させることによって新しいＶＰＮクラウドを追加することが好ましい。これに応答してポリシーサーバ１２２は、サイトノード２７２、ユーザノード２７４、および規則ノード２７６をＶＰＮクラウドの下に自動的に作成する。次いで管理者は、ＶＰＮ中のサイトおよびユーザを指定する。
【００８５】
本発明の一実施形態によれば、規則ノード２７６は最初に、ポリシーサーバ１２２のセットアップ中にネットワーク管理者によって選択されたポリシー設定に対応するデフォルトＶＰＮ規則２７８を含む。デフォルトＶＰＮ規則２７８は、拘束のないアクセスをＶＰＮ中のホスト間で可能にする。
【００８６】
管理者は、デフォルト規則２７８を削除して具体的なファイアウォール規則をＶＰＮに追加することにより、ＶＰＮクラウド内でアクセス制御を実施することができる。このようなファイアウォール規則により、管理者は、ＶＰＮを流れるトラフィックに対して、もっぱらそのようなＶＰＮによって形成される暗号化されたアクセスの領域内で、きめ細かいアクセス制御権を有することができる。ファイアウォール規則は、復号後または暗号化の前に、クリアテキストパケットに適用される。
【００８７】
本発明の一実施形態によれば、管理者は、デフォルト規則２７８を選択して、このような変更をデフォルト規則に対して行う。デフォルト規則を選択すると、図８に示したものと同様のグラフィカルユーザインタフェースが呼び出される。次いでネットワーク管理者は、ＶＰＮに適用可能なファイアウォール規則を定義することによってＶＰＮへのアクセスを微調整する。これらのファイアウォール規則におけるパラメータは、図８に示した一般的なファイアウォール規則と同一であることが好ましい。
【００８８】
ＶＰＮクラウドが構成された後、ＶＰＮ中のポリシーエンフォーサ１２４、１２６によってＶＰＮメンバシップ情報が動的に作成される。これに関し、各ＶＰＮサイトは、そのサイト中に含まれるホストを識別するタグを含む。実行時に、それぞれのサイトに対するポリシーエンフォーサ１２４、１２６は、各サイト中のホストを識別するタグにＩＰアドレスを関連付ける。これにより、ＩＰアドレスを静的に構成する必要なしにＩＰアドレスを動的に発見することができる。
【００８９】
メンバシップテーブルの作成後、ルーティング情報に変更があればそれが検出され、発行／加入プロセスを使用してメンバポリシーエンフォーサに通知される。実際の変更は、変更されたルーティング情報に対応する特定ネットワーク上のＬＤＡＰデータベースにポリシーエンフォーサが照会することによって検索される。
【００９０】
図１５は、ＶＰＮトンネルの両端にあるポリシーエンフォーサ１２４、１２６がそれぞれのルーティング情報を更新する概略ブロック図である。図１５に示すように、各ポリシーエンフォーサ１２４、１２６は、ネットワーク上のルートを交換するために１つまたは複数のルーティングプロトコルを実行するデーモンとして構成されたゲートモジュール２５２、２６１を含む。このようなルーティングプロトコルには、ＲＩＰｖ１、ＲＩＰｖ２、ＯＳＰＦなどを含めることができる。
【００９１】
ネットワーク管理者がポリシーエンフォーサ１２４に接続された私設ローカルネットワーク１０２に新ルートを追加したいと思う場合、管理者はステップ２４１で、その新ルートをポリシーエンフォーサ１２４中のゲートモジュール２５２にサブミットする。これは通常、追加のネットワークを有するようにポリシーエンフォーサのダウンストリームを構成することによって行われる。次いでこの情報は、標準的なルーティングプロトコルによってポリシーエンフォーサ１２４のゲートモジュール２５２に伝えられる。例えば、ポリシーサーバ１２２が、新ルートを関連付けるべきポリシーエンフォーサ１２４に新ルートを発行する。ルートは例えば、ポリシーエンフォーサＰＲ１からＬＡＮ＿Ｇｒｏｕｐという名前のＬＡＮまでの新ルートを指定する「ＬＡＮ＿Ｇｒｏｕｐ＠ＰＲ１」などのＬＤＡＰステートメントによって指定される。ステップ２４２で、ゲートモジュール２５２は、ＶＰＮドライバ２５４を含むポリシーエンフォーサのカーネル２５３に新ルートを書き込み、それによりポリシーエンフォーサ１２４は、新ルートに沿って適切なメッセージを正しく向けて送ることができる。さらにステップ２４３で、ゲートモジュール２５２は、そのＬＤＡＰデータベース１３２に新ルートを書き込む。
【００９２】
ステップ２４４で、ゲートモジュール２５２はまた、ＬＤＡＰデータベース１３２中の更新を聴取するように構成された識別名モニタ（ＤＮモニタ）デーモン２５５に新ルートの名前を提供する。ステップ２４５ａ、２４５ｂで、ＤＮモニタは、ＶＰＮデーモン２５６、およびポリシー展開ポイント（ＰＤＰ）エンジン２５７にＬＤＡＰデータベース１３２の変更を通知する。次いでＰＤＰエンジンは、ポリシーを施行するモジュールをその変更で更新する。
【００９３】
ステップ２４６で、ＶＰＮデーモン２５６は、完全なルート情報と、新ルートが属するすべてのＶＰＮのリストと、これらのＶＰＮに接続された他のポリシールータすべてのリストとを得るために、ルート名を使用してＬＤＡＰデータベース１３２にアクセスする。ステップ２４７で、ＶＰＮデーモン２５６は、新ルートの名前を他の各ポリシールータに送信することに移る。
【００９４】
ポリシールータ（エッジ装置、ポリシーエンフォーサ）１２６が新ルートの名前をポリシールータ１２４から受信すると、そのネットワークデーモン２５８は、ステップ２４８で、送信ポリシールータ１２４中のＬＤＡＰデータベース１３２にアクセスして、完全な新ルート情報を得る。新ルートが複数のＶＰＮに属し、異なるＶＰＮごとに異なるパラメータを有する場合は、異なるＶＰＮ上のルータが、個々のＶＰＮに対応する異なる情報を検索する。
【００９５】
ステップ２４９で、ネットワークデーモン２５８は、得られた新ルート情報をそれ自体のＬＤＡＰデータベース１３４に書き込み、それ自体のＤＮモニタモジュールにそれを提供する。送信ポリシールータ１２４と同様、受信ポリシールータ１２６中のＤＮモニタモジュール２５９は、そのカーネル２６５を最新の変更で更新するために、新ルート情報をそのＰＤＰエンジン２６０に提供する。
【００９６】
ポリシーエンフォーサおよびそれに関連するＶＰＮへのルートの追加に関して図１５を述べたが、ほぼ同じ技法を、ルートの削除（例えばネットワークコンポーネントが動作不能または通信不能になった場合）や、ルートの変更（ポリシールータは、ルートがすでに異なる形で存在することを認識して単にそれを上書きすればよい）にも適用できることは、当業者には容易に明らかなはずである。このようにしてＶＰＮシステムは、システム管理者による介入を最小限に抑えながら、そのポリシーエンフォーサ間でルーティング情報を動的に維持することができる。
【００９７】
Ｖ．クライアント到達可能性情報の自動更新を有する仮想私設ネットワーク
リモートユーザは、適切な証明を呈示すると、公衆インターネット１０８を介してポリシーエンフォーサ１２４、１２６の後ろにある他のＶＰＮメンバと通信する。これらのリモートユーザは、ＶＰＮクライアントソフトウェアを使用して、ＶＰＮクライアント１４０として私設ネットワークにアクセスする。本発明の一実施形態によれば、システムは、リモートユーザが自己展開実行可能ファイルをダウンロードできるようにする。この実行可能ファイルは、実行されると、ＶＰＮクライアントソフトウェアとリモートユーザ固有のＶＰＮ到達可能性情報との両方をユーザのリモート端末にインストールする。
【００９８】
各ポリシーエンフォーサ１２４、１２６は、セットアッププログラムおよびＶＰＮ到達可能性構成テンプレートを含むＶＰＮクライアントソフトウェアの自己展開実行可能ファイルのコピーを保持することが好ましい。セットアッププログラムは、ＶＰＮクライアントソフトウェアをＶＰＮクライアント１４０上にインストールできるようにする。自己展開実行可能ファイルをダウンロードすると、ダウンロードするユーザに特有のＶＰＮ到達可能性情報で構成テンプレートが置換される。
【００９９】
本発明の別の実施形態によれば、システムは、実行されるとユーザ固有のＶＰＮ到達可能性情報だけしかインストールしない自己展開実行可能ファイルをＶＰＮクライアント１４０がダウンロードできるようにする。この実施形態によれば、ＶＰＮクライアントソフトウェアはすでにＶＰＮクライアント１４０上にインストールされている。このシナリオでは、セットアッププログラムにより、ダウンロードするユーザに特有の到達可能性情報をＶＰＮクライアント１４０上にインストールすることができる。
【０１００】
本発明の第３の実施形態によれば、システムは、ＶＰＮクライアント１４０がポリシーエンフォーサ１２４、１２６に接続するたびに自動的にＶＰＮ到達可能性情報をダウンロードできるようにする。したがって、ＶＰＮ到達可能性情報は、各ＶＰＮクライアント１４０にとって最新となるように維持される。ＶＰＮセッションが確立された後は、ＶＰＮクライアント１４０とポリシーエンフォーサの間の接続はすでに安全であると見なされる。ＶＰＮクライアントは、ポリシーエンフォーサ上で稼動するウェブサーバへのコモンゲートウェイインタフェース（ＣＧＩ）照会を行い、対応するＬＤＡＰデータベースから現在のＶＰＮ到達可能性情報をダウンロードすることが好ましい。
【０１０１】
図１６は、本発明の一実施形態による自己展開実行可能ファイル２９０中のコンポーネントのブロック図である。実行可能実行可能ファイル２９０は、イリノイ州ＳｃｈａｕｍｂｕｒｇのＩｎｓｔａｌｌＳｈｉｌｅｄ  Ｓｏｆｔｗａｒｅ  ＣｏｒｐｏｒａｔｉｏｎのＩＮＳＴＡＬＬＳＨＩＥＬＤ  ＥＸＥＢＵＩＬＤＥＲなどの市販ツールを使用して作成することができる。
【０１０２】
自己展開実行可能ファイル２９０は、ＶＰＮクライアントソフトウェア、ＶＰＮ構成情報、あるいは両方をインストールするための実行可能セットアップファイル２９２を含むことが好ましい。セットアップファイル２９２は、この情報がダウンロードするＶＰＮクライアントに基づいて変化することがないため、自己展開実行可能ファイルの静的部分２９８を形成することが好ましい。自己展開実行可能ファイル２９０はさらに、ＶＰＮ到達可能性情報２９４用のＶＰＮ構成ファイルテンプレートと、ＶＰＮクライアントの事前共有キー情報２９６用のＶＰＮ構成ファイルテンプレートも含む。ＶＰＮ到達可能性情報２９４およびＶＰＮクライアントの事前共有キー２９６は、この情報がダウンロードするＶＰＮクライアントに基づいて変化するため、自己展開実行可能ファイル２９０の動的部分２９９を形成することが好ましい。次いで自己展開実行可能ファイル２９０は、テンプレートファイルとしてポリシーエンフォーサ１２４、１２６中に保管され、リモートユーザによっていつでもダウンロードできる状態となる。
【０１０３】
図１７は、本発明の一実施形態による、図１６の自己展開実行可能ファイル２９０をダウンロードするための機能ブロック図である。ステップ３２０で、新しいＶＰＮクライアント１４０は最初にポリシーエンフォーサ１２４、１２６との安全な通信セッションを確立して、自己展開実行可能ファイル２９０をダウンロードする。これは、ＶＰＮクライアントのウェブブラウザ上などでＨＴＴＰＳプロトコルセッションを介して達成することが好ましい。ステップ３２２および３２４で、ポリシーエンフォーサはＶＰＮクライアントに認証手順を行わせるが、ポリシーエンフォーサがＶＰＮクライアントのユーザ名およびパスワードを要求し、ＶＰＮクライアントがそれらを提供する。ステップ３２６で、ポリシーエンフォーサは、提供された情報をそのＶＰＮクライアントデータベース３２８中のエントリと比較する。情報が正しければ、ポリシーエンフォーサは、ユーザ用の適切な事前共有キーを見つけ、ステップ３３０で、ＶＰＮ構成データベース３３２からクライアントのＶＰＮ到達可能性情報も決定する。ＶＰＮクライアントデータベース３２８およびＶＰＮ構成データベース３３２は、ポリシーエンフォーサ１２４、１２６によって管理される単一のＬＤＡＰデータベース３１２、３１４の一部としてあってもよく、別々のＬＤＡＰデータベースを形成してもよい。
【０１０４】
ステップ３３４で、ポリシーエンフォーサは、自己展開実行可能ファイル２９０の動的部分２９９をＶＰＮ到達可能性情報およびＶＰＮクライアント固有の事前共有キーで置換する。次いでステップ３３６で、新しく生成された自己展開実行可能ファイルがＶＰＮクライアント１４０にダウンロードされる。実行可能ファイルが実行されると、これは、ＶＰＮクライアントソフトウェア、ＶＰＮ到達可能性情報、またはその両方をインストールする。
【０１０５】
同様の技法を使用して、ＶＰＮクライアントがポリシーエンフォーサに接続してセッションキーをネゴシエートするたびにＶＰＮ構成情報の新しい更新済コピーをクライアントにダウンロードすることもできる。さらにユーザは、ポリシーエンフォーサにこのような情報を明確に要求することにより、ＶＰＮネットワークの最新構成を得ることもできる。したがって、ＶＰＮクライアントは、ＶＰＮ到達可能性情報の更新がなされるたびに再インストールおよび再構成を受ける必要はない。
【０１０６】
ＶＩ．統合ポリシーエンフォーサ
本発明の一実施形態によれば、ポリシー施行のためのポリシーエンフォーサ１２４、１２６の機能は、効果的にハードウェア実装するためにパーテショニングされる。しかし、いくつかまたはすべての機能をソフトウェア、ハードウェア、またはそれらの様々な組合せに実装することもできることは、当業者には明らかなはずである。
【０１０７】
図１８は、本発明の一実施形態による様々な機能のパーテショニングを示す、ポリシーエンフォーサ１２４、１２６の概略的なブロック図である。ポリシーエンフォーサは、例えば仮想私設ネットワークを実施する際にセキュリティおよび認証の機能を実施するためのインターネットプロトコルセキュリティ（ＩＰＳｅｃ）エンジン５０２を含む。ストリームテーブル５０６は、ポリシーエンフォーサを通ってストリームに流入するパケットを組み立てる。プロトコル分類エンジン５０８は、パケットの転送に使用されたプロトコルをデコードする。ポリシーエンジン５１０は、ポリシーデータベース１３２、１３４に格納されたポリシー設定に基づいてパケットに対するポリシーを施行する。パケット転送モジュール５０４は、ルータ１１０およびバッファを介して公衆インターネットからパケットを受信し、施行されるポリシーに基づいてパケットを転送するかまたはドロップする。帯域幅管理モジュール５１４は、ポリシーデータベース１３２、１３４に格納された帯域幅設定に基づいて、転送中のパケットに帯域幅整形サービスを提供する。
【０１０８】
実際には、マッチするエントリがすでにテーブル中にあるかどうかを判定するために、着信パケットがストリームテーブル５０６と照合される。存在しない場合は、新しいエントリが追加される。ストリームテーブルは、ストリームが一意に識別されるように十分なパケット部分を含むことが好ましい。例えば、ＩＰレイヤ３からレイヤ４のトラフィックに対してポリシーを施行する際、ストリームテーブルは、着信パケットのソースＩＰ、宛先ＩＰ、ソースポート、宛先ポート、およびプロトコル番号を含む。
【０１０９】
プロトコル分類エンジン５０８は、新しいストリームをとりあげ、ストリームに関する詳細なプロトコルデコードを得る。次いで、ストリームに適用すべきポリシー規則についてポリシーエンジン５１０が照会される。ポリシーエンジン５１０から返されたポリシー規則に基づいて、パケット転送モジュール５０４、ＩＰＳｅｃエンジン５０２、帯域幅管理モジュール５１４、あるいはこれらの組み合わせは、しかるべくストリームを処理する。処理は、ストリーム中のパケットが、それらに適用されるポリシー規則セットによって指定されるすべてのアクションを受けるまで繰り返すことができる。
【０１１０】
ポリシーエンフォーサはまた、ローカルネットワークを介して転送されたパケットに関する統計、ならびにその他の状態およびリソース使用に関する情報を収集するための統計モジュール５１２も含み、ポリシーサーバ１２２に送信するためにそれらをログおよびアーカイブ形式で提供する。本発明の一実施形態によれば、統計モジュール５１２は、ネットワーク１０２、１０４を通過するパケットの現行バイトカウントを保持する。これらのバイトカウントは、いくつかのリソース（例えばユーザ、ホスト、サービス）に基づくクラスなどのクラスごとに、ならびにファイアウォールポリシーなどのポリシーおよび例外によってブロックされるバイトごとに自動でソートすることができる。これに関し、統計モジュール５１２は、ファイアウォールを通って許可された接続ごとに、関係するリソースのリストを含む状態テーブルをキャッシュ中に維持する。接続を流れるパケットごとに、統計モジュールは、リスト中の各リソースについてパケットおよびバイトカウントをインクリメントする。次いで統計モジュール５１２は、整えられた情報をポリシーサーバ１２２に転送し、ポリシーサーバ１２２はこの情報を、クラスによって編成され定期的に古いデータが破棄されるテーブル中に直接入力する。
【０１１１】
図１９は、本発明の一実施形態によるポリシーエンジン５１０のより詳細な概略ブロック図である。ポリシーエンジン５１０は、すべてのポリシー決定要求のための待ち行列としての役割を果たすポリシー要求テーブル６０２を含む。これに関し、ストリームテーブル５０６に格納された情報とマッチするパケット部分が、ポリシー要求の形でポリシーエンジン５１０に呈示される。次いでポリシー要求は、ポリシー要求テーブル６０２中で待ち行列に入れられる。
【０１１２】
リソースエンジン６０４は、リソースグループ名からメンバマッピングへの最新マッピングを維持する。ポリシー規則データベースバッファ６０８は、ポリシーエンジン５１０によって適用されることになる現ポリシー規則セットを格納する。バッファ６０８に格納されるポリシー規則は、元のグループベースの規則仕様フォーマットをとることが好ましい。したがって、バッファ６０８は、グループの各メンバに対する規則のインスタンスを生成するのではなく、グループに対して作成された規則をそのグループベースの形で格納する。
【０１１３】
決定エンジン６０６は、リソースエンジン６０４から得られる実際のメンバシップ情報に基づいて、ポリシー要求テーブル６０２中の着信ポリシー決定要求をポリシー規則データベースバッファ６０８中のポリシー規則セットとマッチさせることによってその要求を満たすロジックを含む。次いで、トラフィックにマッチする、関係するグループベースの規則が識別され、ストリームテーブル中の決定ビットが、対応するアクションの施行に向けて設定される。したがって、決定ビットは、ストリームのパケットに対して実施されるアクションのセットを形成する。次いで、そのストリームに対応するすべてのパケットが、これらの決定ビットに基づいて処理される。決定エンジンはまた、トラフィックを許可／拒否する規則のセットを含むアクセス制御リスト（ＡＣＬ）、トラフィックにサービス品質レベルを提供するためのＤｉｆｆＳｅｒｖ標準、ＶＰＮ実施情報、あるいはその両方も指定する。
【０１１４】
図２０は、本発明の一実施形態によるプロトコル分類エンジン５０８のより詳細な概略ブロック図である。図２０に示すように、プロトコル分類エンジン５０８は、ストリームデータアセンブリ７０２、スライディングストリームデータウィンドウ７０４、ＡＳＮ．１ブロック７０６、プロトコル分類状態機械７０８、およびプロトコル定義シグネチャデータベース７１０を含む。ストリームデータアセンブリ７０２は、入力パケットストリームのデータ部分を抽出して再組立てし、それをスライディングストリームデータウィンドウ７０４に格納する。スライディングストリームデータウィンドウは、先入れ先出しプロトコルに従うことが好ましい。必要なら、ＡＳＮ．１デコーダがさらに、従来のＡＳＮ．１エンコード／デコード規格によってデータストリームをデコードする。次いで、プロトコル分類状態機械７０８が、完全に再組立てされてデコードされたデータをプロトコル定義シグネチャデータベース７１０と照合する。このデータベース７１０は、プロトコル名とデータストリーム中に見られるデータパターンとのマッピングを保持することが好ましい。次いで、マッチしたプロトコルはストリームテーブル５０６に戻される。
【０１１５】
したがって、プロトコル分類エンジン５０８は、スクリプト説明されたプロトコル定義からコンパイルされ動的に更新されるシグネチャデータベースを使用して動的ストリームを完全に識別することを含めた、拡張型レイヤ３からレイヤ７プロトコルデコードおよびパケット分類を実現する。将来に新しいプロトコルが定義されたとき、ユーザがカスタムプロトコルを伴う自分自身のカスタムアプリケーションを作成したとき、あるいはこの両方の場合、これらのプロトコルの認識をプロトコル分類エンジンに追加することが必要となる可能性がある。述べたプロトコル分類エンジンアーキテクチャでは、このような追加は、新しいプロトコルが追加されるたびに設計を変更する必要なしに、単にスクリプト説明された新しいプロトコルの新しい定義をプロトコル分類エンジンに追加するだけで可能である。これにより、カスタムプロトコルサポートおよび将来のプロトコル拡張性が実現する。
【０１１６】
図２１は、本発明の一実施形態によるＩＰＳｅｃエンジン５０２のより詳細な概略ブロック図である。図２１に示すように、ＩＰＳｅｃエンジン５０２は、よく知られた方法に従って暗号キー生成に使用する乱数を生成するための擬似乱数ジェネレータ（ＰＲＮＧ）機構８０２を含む。Ｄｉｆｆｉｅ  Ｈｅｌｌｍａｎブロック８０４およびＲＳＡブロック８１２は、やはり当技術分野でよく知られた、対応する非対称公開鍵暗号化／復号化／署名アルゴリズムを実装する。ＩＫＥブロック８０６は、標準のＩＳＡＫＭＰ／Ｏａｋｌｅｙ（ＩＫＥ）鍵交換プロトコルを実装するためにＩＰＳｅｃＳＡテーブル８０８と通信する。暗号変換ブロック８１４は、標準の対称暗号化／復号化アルゴリズムを実装する。ＩＰＳｅｃカプセル化／カプセル化解除ブロック８１０は、標準のカプセル化／カプセル化解除機能を実施する。したがって、ＩＰｓｅｃエンジン５０２は、私設ローカルネットワーク１０２、１０４を通過するパケットに対し、公開鍵証明サポートおよび必要な暗号化／復号化機能による成熟した標準ベースのＩＫＥ／ＩＰＳｅｃ実施を実現する。
【０１１７】
ＶＩＩ．ネットワークポリシーログおよび統計の集約
再び図３を参照すると、ログ収集／アーカイブモジュール３０４が、ポリシーエンフォーサ１２４、１２６から、ならびに管理モジュール３０２からリソースの状態および使用に関する情報を収集し、それらをアーカイブデータベース３１８に格納する。次いでポリシーサーバ報告モジュール３１６が、収集されたログおよびアーカイブを使用して、整った報告フォーマットで報告を生成する。
【０１１８】
本発明の一実施形態によれば、各ポリシーエンフォーサ１２４、１２６は、ポリシーエンフォーサを通るトラフィックの流れに関して、ならびにポリシーエンフォーサに関連付けられるリソースの状態および使用に関して収集された情報を有するログファイルを維持する。すべてのログファイルは、好ましくはコンパクトなログを作成するように設計された、事前定義済みの共通ログフォーマットに従う。
【０１１９】
図２２は、本発明の一実施形態によるこのようなログフォーマットの概略的な配置図である。各ログエントリは、ログエントリが作成された年、月、日、時、分、秒を示すｙｙｙｙｍｍｄｄｈｈｍｍｓｓのフォーマットのタイムスタンプ８２０を含む。サービスフィールド８２２は、ポリシーエンフォーサ１２４、１２６から提供されたサービスのタイプを示す。このようなサービスには、ＶＰＮ、ＦＴＰ、Ｔｅｌｎｅｔ、ＨＴＴＰ、パケットフィルタ、帯域幅などが含まれる。各ログエントリはさらに、パケットの受信元であるソースを示すソースＩＰアドレスおよびポート８２４、ならびにパケットの転送先である宛先を示す宛先ＩＰアドレスおよびポート８２６も含む。
【０１２０】
ユーザＩＤフィールド８２８は、パケットを送信するユーザを識別する。ユーザに関する追加の詳細を得るために、ユーザＩＤは、ＬＤＡＰデータベース１３０、１３２または１３４中のエントリにマッピングすることができる。
【０１２１】
状態フィールド８３０は、動作の状態を示し、結果コードやエラーコードなどを含むことができる。例えば、パケットフィルタサービスの場合に、状態フィールドは、パケットが渡されれば結果コード「ｐ」を含み、パケットがブロックされればコード「ｂ」を含む。
【０１２２】
動作フィールド８３２は、サービスによって行われる動作のタイプについてのコードを示す。例えば、ＶＰＮサービスについての動作は、パケット送信およびパケット受信を含む。ＦＴＰサービスについての動作は、ＧＥＴ動作およびＰＵＴ動作を含む。ＨＴＴＰサービスについての動作は、ＧＥＴ動作およびＰＯＳＴ動作を含む。
【０１２３】
前記に加え、各ログエントリは、ポリシーエンフォーサがアクティビティの結果受け取ったバイトの数を示すインバイトフィールド８３２、およびポリシーエンフォーサから転送されたバイトの数を示すアウトバイトフィールド８３４も含む。さらに、継続時間フィールド８３６は、活動の継続時間を（例えば秒で）示す。
【０１２４】
特定のログエントリのいくつかのフィールドは、特定のサービスに該当しない場合は空白のままのこともある。例えばＦＴＰダウンロードの場合である。発信トラフィックがない場合、アウトバイトフィールドは空白のままになる。さらに、ログするサービスのタイプに基づいて追加のフィールドを加えることもできる。例えばＨＴＴＰアクティビティの場合である。アクセスされるＵＲＬもまた、ログエントリ中にログされる。追加のフィールドは、標準ログフォーマットの最後に付加することが好ましい。
【０１２５】
ログフォーマットがすべてのポリシーエンフォーサに共通であり、コンパクトなログを作成する目的である限り、本発明の趣旨および範囲を逸脱することなくログフォーマットに追加、削除、およびその他のタイプの修正を加えることができることを、当業者は理解されたい。
【０１２６】
ポリシーエンフォーサ１２４、１２６によって作成されたログファイルは、ポリシーサーバによって設定されたアーカイブオプションに基づいてポリシーサーバ１２２に転送される。これに関し、ネットワーク管理者は、図９のポリシーサーバアーカイブオプション７５２を選択するときに、ポリシーエンフォーサによって作成されるログに対するしきい値サイズを指定する。ログファイルは、指定のサイズを超えるとポリシーサーバ１２２に送られる。しきい値サイズが超過していない場合でも、ログファイルは少なくとも一日一度はポリシーサーバ１２２に転送されることが好ましい。ログはまた、ネットワーク管理者からの指定があれば、ポリシーエンフォーサにおいてローカルにアーカイブすることもできる。
【０１２７】
ポリシーサーバ１２２がログを受け取った後で、ログは、好ましくはＳＱＬデータベースの形をとるアーカイブデータベース３１８に格納される。ポリシーサーバ報告モジュール３１６は、このデータベースに照会して、各ポリシーエンフォーサ１２４、１２６に向けた報告を生成する。さらに、ログは、オレゴン州ＰｏｒｔｌａｎｄのＷｅｂＴｒｅｎｄｓ  Ｃｏｒｐｏｒａｔｉｏｎ製ＷＥＢＴＲＥＮＤＳなどの市販の製品によって解釈できるフォーマットにエクスポートすることもできる。
【０１２８】
報告モジュール３１６によって作成される報告は、ポリシーエンフォーサ、ユーザ、サービス、ホスト、およびＶＰＮを含めた様々なリソースについての要約使用報告を含む。例えば、報告は、ポリシーエンフォーサごとのＶＰＮ要約報告、帯域幅要約報告、パケットフィルタ報告などを含む。
【０１２９】
報告は、ある期間にわたる各リソースの使用を示すものであることが好ましい。報告の開始日および終了日はユーザが指定することができる。ユーザはさらに、特定時間の特定リソースを閲覧するために時間次元およびリソース次元を掘り下げることもできる。例えば、パケットフィルタ報告の作成において、ユーザは、開始時間および終了時間、ソースＩＰアドレス、ソースポート、宛先ＩＰアドレス、宛先ポートを指示することができる。次いで、これらの基準を満たすすべてのパケットがアーカイブデータベース３１８からフェッチされ、パケット報告の中に示される。
【０１３０】
ＶＩＩＩ．選択的にＬＤＡＰデータベースの同期をとる方法
本発明の一実施形態によれば、図１の統一ポリシー管理システム中のデータベース１３０、１３２、１３４は、ファイアウォール、ＶＰＮ、帯域幅、管理、ユーザ記録、ネットワーク記録、サービスなどのポリシーを含めたポリシー管理情報を格納したＬＤＡＰデータベースである。前述のように、ＬＤＡＰディレクトリサービスモデルは、各エントリが属性の集合であるエントリに基づく。エントリは、地理的かつ組織的な分布に従うツリー構造に構成される。エントリは、階層におけるそれらの位置に従って識別名（ＤＮ）が付けられる。
【０１３１】
ポリシーサーバ１２２は、すべてのポリシーエンフォーサについてのポリシー管理情報をポリシーサーバデータベース１３０に格納することが好ましい。この情報は、対応する属性を有する１つまたは複数のＤＮとしてデータベース１３０中で編成される。次いで、ポリシーサーバデータベースの適切な部分が、ポリシーエンフォーサデータベース１３２、１３４にコピーされる。
【０１３２】
図２３は、ＬＤＡＰルート２６５および複数のブランチ２６４、２６６、２６８、２７０を含むＬＤＡＰツリー構造のブロック図である。一実施形態によれば、ポリシーサーバ１２２は、すべてのポリシーエンフォーサ１２４、１２６についてのポリシー管理情報を有するブランチ２６４および２６６をポリシーサーバデータベース１３０中で維持する。各ポリシーエンフォーサ１２４、１２６もまた、ブランチ２６４、２６６、あるいはその両方の一部を、ポリシーサーバデータベース１３０のサブツリーとしてのそれぞれのポリシーエンフォーサデータベース１３２、１３４中で維持する。各ポリシーエンフォーサ１２４、１２６によって維持されるブランチの一部は、そのポリシーエンフォーサについての構成情報、ならびに他のポリシーエンフォーサについてのいくらかの追加情報に関するものであることが好ましい。この追加情報は、他のポリシーエンフォーサと通信するのに使用される。
【０１３３】
ポリシーサーバ１２２はさらに、サーバ上で稼動するアプリケーションのみによって使用され、ポリシーエンフォーサ１２４、１２６のどちらとも共有されない情報を格納するブランチ２６８も維持することができる。同様に、ポリシーエンフォーサ１２４、１２６も、各ポリシーエンフォーサ上のアプリケーションのみによって使用され、他のどことも共有されない情報を含むブランチ２６８の一部を維持することができる。通常、ブランチ２６８に格納されるデータは、動的に生成され、対応するサーバまたはエージェント上で稼動するアプリケーションによって使用される。
【０１３４】
ブランチ２７０は、ポリシーサーバデータベース１３０に対するＬＤＡＰツリーだけに含まれることが好ましく、ポリシーエンフォーサ１２４、１２６に伝えられる可能性のある、ロギングされたポリシー管理変更を格納する。このような変更には、例えば、前述の様々なグラフィカルユーザインタフェースを介してネットワーク管理者によって行われる、装置上のユーザ、ＶＰＮクラウド、帯域幅ポリシー、またはファイアウォールの追加、削除、または修正を含めることができる。このような変更の結果、ポリシーデータベース１３０の更新が行われ、ＬＤＡＰツリーの対応するＤＮが追加、削除、または修正される。ポリシーサーバ１２２はさらに、変更のログを作成し、それらを後でポリシーエンフォーサ１２４、１２６に配信するためにブランチ２７０に格納する。
【０１３５】
図２４は、図２３のＬＤＡＰツリーのブランチ２７０のより詳細なブロック図である。ＬＤＡＰルート２６５は適用ログ（ＡｐｐｌｙＬｏｇ）２７０ａエントリを含み、このエントリは、ユーザ（Ｕｓｅｒ）ログエントリ２７０ｂおよび装置（Ｄｅｖｉｃｅ）ログエントリ２７０ｃを含む。ユーザログエントリは、特定の管理者によって行われた変更を反映するために、具体的なＤＮ２７０ｄによって識別される具体的な管理者ログエントリを含む。装置ログエントリ２７０ｃは、特定のポリシーエンフォーサ１２４、１２６に配信される変更を反映する、具体的なＤＮ２７０ｅによって識別される具体的なログエントリを含む。管理者によって行われた変更は、図６に示す適用ボタン４１７などの適用ボタンを作動させたときにポリシーエンフォーサ１２４、１２６に伝えられることが好ましい。
【０１３６】
図２５は、本発明の一実施形態による、ＬＤＡＰ変更をログしてポリシーエンフォーサに伝えるための流れ図である。ステップ４２０で、特定のネットワーク管理者がポリシー設定変更を行う。一例によれば、管理者は、ドメイン「ｄｏｍａｉｎ１」において作業をする管理者「ａｄｍ」であり、変更は、装置上に新しいユーザを追加することである。
【０１３７】
ステップ４２２で、管理者によって行われた変更は、ポリシーサーバデータベース１３０中に反映される。これに関し、ＬＤＡＰツリーのブランチ２６４および２６６が、ポリシー設定の変更を反映するようにしかるべく修正される。さらにステップ４２４で、ポリシーサーバ１２２は、後で処理して適切なポリシーエージェントに送信するために、管理者による変更のログを生成する。ステップ４２６で、ポリシーサーバ１２２は、変更を反映するように管理者のログＤＮ２７０ｄを更新する。上の例で、かつ図２４に示すように、作成されたログが「Ａ＿Ｌ１」という名前である場合、ポリシーサーバ１２２は、「ｄｏｍａｉｎ１」にある「ａｄｍ」に対するＤＮ２７０ｄを更新して、値「Ａ＿Ｌ１」２７０ｇを有する属性「適用（ａｐｐｌｙ）」２７０ｆを作成する。管理者によって行われるその他の変更は、別々のログ（例えば「Ａ＿Ｌ２」、「Ａ＿Ｌ３」）中に反映され、管理者のログＤＮ２７０ｄ中の適用属性中にすでにある値に追加される。
【０１３８】
ステップ４２８で、ポリシーサーバ１２２は、管理者によって行われた変更を適切なポリシーエンフォーサ１２４、１２６に伝えるべきかどうかをチェックする。上で論じたように、変更は、管理者のグラフィカルユーザインタフェースから適用ボタンを作動させたときに伝えられることが好ましい。
【０１３９】
適用ボタンが作動された場合、ポリシーサーバは、ステップ４３０で、変更を送信すべき各ポリシーエンフォーサについてログを作成する。これに関し、ポリシーサーバ１２２は、管理者によって行われ、管理者のログＤＮ２７０ｄの適用属性２７０ｆの値２７０ｇ、２７０ｈ中に反映されたすべての変更を収集する。これらの変更は、管理者のドメインに属するポリシーエンフォーサごとに処理される。このような処理は、関係する変更を選び、ポリシーエンフォーサのＬＤＡＰに対するＤＮを適切に修正することを含むことが好ましい。このような適切な修正は、例えばポリシーサーバデータベース１３０中のツリー構造とポリシーエンフォーサデータベース１３２、１３４中のツリー構造が異なるために必要となる場合がある。例えば、管理者のログにおける変更は、ポリシーエンフォーサのドメイン名を指定するＤＮを含むことがある。この変更をポリシーエンフォーサに適用する際、ポリシーエンフォーサのツリー構造がドメイン名を含まないため、ドメイン名はＤＮ中で指定されないことになる。
【０１４０】
各ポリシーエンフォーサのＬＤＡＰごとに適切に修正された変更は、次いで装置ログに格納される。次いで、各ポリシーエンフォーサのログＤＮ２７０ｅが、特定のポリシーエンフォーサに送信された変更を反映するように修正される。上の例で、かつ図２４に示すように、作成された装置ログが「ＰＥ＿Ｌ１」という名前である場合、ポリシーサーバ１２２は、「ｄｏｍａｉｎ１」にある特定のポリシーエンフォーサ「ＰＥ１」に対するＤＮ２７０ｅを更新して、値「ＰＥ＿Ｌ１」２７０ｊを有する属性「適用」２７０ｉを作成する。
【０１４１】
次いでステップ４３２で、管理者のログＤＮ２７０ｄに対する適用属性２７０ｆが、ＬＤＡＰツリーから削除される。ステップ４３４で、各ポリシーエンフォーサについて収集され、ポリシーエンフォーサのログＤＮ２７０ｅのａｐｐｌｙ属性２７０ｉの値２７０ｊ、２７０ｋ中に反映された変更は、ポリシーエンフォーサのデータベース１３２、１３４を更新するためにポリシーエンフォーサに送信される。変更は、好ましくはＨＴＴＰＳチャネルを介して、ポリシーエンフォーサに送信される。
【０１４２】
ステップ４３６で、ポリシーサーバ１２２は、更新が成功したかどうかをチェックする。これに関し、ポリシーサーバ１２２は、更新が首尾よく完了したことの確認をポリシーエンフォーサから受信するのを待機する。ポリシーエンフォーサからの肯定応答時、ポリシーサーバ１２２は、ポリシーエンフォーサのログＤＮ２７０ｅに対する適用属性２７０ｅを削除する。そうでない場合、更新が成功しなければ（例えばポリシーエンフォーサがダウンしていたために）、次にもう１度適用機能が呼び出されたときに適用ログが再送される。別法として、失敗したポリシーエンフォーサは、ネットワークに再接続したとき（例えばリブートすることによって）、適用されなかった変更のログの要求をポリシーサーバ１２２に送信する。
【０１４３】
ＩＸ．高可用性ユニットに向けた状態遷移プロトコル
本発明の一実施形態によれば、ポリシーサーバ１２２、ポリシーエンフォーサ１２４、１２６、ならびに他のネットワーク装置は、主ユニットに加えてバックアップユニットを維持することにより、可用性が高くなるように構成することができる。
【０１４４】
図２６は、主ユニット９０２およびバックアップユニット９０４を含む高可用性システムの概略ブロック図である。２つのユニット９０２、９０４は、パラレルポート９０６ａ、９０６ｂ、およびケーブル９０８を介してハートビートを交換することによって相互に通信する。このようなパラレルポート９０６ａ、９０６ｂ、およびケーブル９０８は、当技術分野の市販の従来型コンポーネントである。
【０１４５】
主ユニット９０２およびバックアップユニット９０４はそれぞれ、ポート９２０ａ、９２０ｂ、９２２ａ、９２２ｂ、９２４ａ、９２４ｂをそれぞれ介して他のコンポーネント９１０、９１２、９１４に同様に接続される。これらのコンポーネント９１０、９１２、９１４は、ハブ、スイッチ、コネクタなどとすることができる。主ユニット９０２およびバックアップユニット９０４は同様のサービスおよび機能を提供し、交換可能に使用することができるため、各ユニットは、同じコンポーネント９１０、９１２、９１４に接続されることが好ましい。
【０１４６】
パラレルポートケーブル９０８は、２つのパラレルポートを接続してそれらの間の通信を可能にするように設計された従来型のラップリンクケーブルであることが好ましい。主ユニット９０２およびバックアップユニット９０４は、高可用性ポート９０６ａ、９０６ｂを介してＴＣＰパケットによって相互に通信することが好ましい。主ユニット９０２とバックアップユニット９０４の間には、高可用性ポート９０６ａ、９０６ｂを介したポイントツーポイント接続があることが好ましい。
【０１４７】
主ユニット９０２は、問題または障害があるかどうか、そのネットワークポートの状況をチェックする役割を引き受けることが好ましい。例えば、主ユニット９０２がそのネットワークポートの１つ、例えば９２２ａが動作不能であることを検出した場合、主ユニット９０２は、バックアップユニット９０４中の対応するポート９２２ｂが動作可能かどうかをチェックする。バックアップユニット９０４中の対応するポート９２２ｂが動作可能であることを検出すると、主ユニット９０２は、アクティブユニットとしてシステム機能を引き受けるようバックアップユニット９０４に要求を送る。次いで主ユニット９０２は、アクティブユニットとしてのその役割を譲渡してそれ自体をシャットダウンし、バックアップユニット９０４が主ユニット９０２の役割を引き受けることができるようにする。主ユニット９０２が動作を再開するときは、バックアップユニット９０４は、アクティブユニットとしてのその役割を譲渡するよう主ユニット９０２から要求を受け取る。
【０１４８】
主ユニット９０２がアクティブであり、そのポート中にどんな障害も検出しないとき、主ユニットは、高可用性ポート９０６ａ上で連続的に聴取してバックアップユニット９０４の状態を常に把握する。主ユニット９０２は、バックアップユニット９０４からくる信号を求めて高可用性ポート９０６ａ上で聴取を続ける。バックアップユニット９０４は、稼働中に主ユニット９０２に接続する。接続が確立された後、バックアップユニット９０４は、主ユニット９０２にハートビートを送り始める。バックアップユニット９０４は、主ユニット９０２に所定の間隔で連続的にハートビートを送る。本発明の一実施形態によれば、バックアップユニット９０４は、１秒ごとに主ユニット９０２にＫＥＥＰ＿ＡＬＩＶＥコマンドを含む「キープアライブ」パケットを送る。
【０１４９】
主ユニット９０２は、「キープアライブ」パケットに応答して、パケットのコマンドフィールドをＫＥＥＰ＿ＡＬＩＶＥ＿ＲＥＳＰコマンドに変更し、そのパケットを送り側に再送する。バックアップユニット９０４が、「キープアライブ」パケットに対して主ユニット９０２から返される応答を所定の期間（例えば１秒）に受け取らない場合、バックアップユニット９０４は、アクティブ役割を引き受ける準備を開始する。所定の期間は、連続する２つの「キープアライブ」パケットよりも長くすべきではない。
【０１５０】
アクティブユニットの役割を引き受ける際、バックアップユニット９０４は、主ユニット中の問題または障害が解決したかどうかを決定するために、通常の間隔で主ユニット９０２との接続を再確立することを試みる。問題または障害が解決されている場合、バックアップユニット９０４は、すべてのネットワークインタフェースカードのＩＰアドレスを割り当てられた値に設定した後、その制御権を主ユニット９０２に譲渡する。
【０１５１】
バックアップユニット９０４が主ユニット９０２からアクティブ役割を引き受ける状態では、そのような変更を示すアラート／アラームがネットワーク管理者に送られる。さらに、主ユニット９０２がバックアップユニット９０２からハートビートを受け取らない場合、バックアップユニットが故障したことを示すアラート／アラームが管理者に送られる。
【０１５２】
主ユニット９０２もバックアップユニット９０４も両方とも完全に機能しており、バックアップユニット９０４がアクティブ役割を引き受けたいと望む状態が生じる場合もある。この場合、バックアップユニット９０４は、主ユニット９０２にシャットダウンコマンドを送り、次いで主ユニット９０２は制御権を譲渡する。バックアップユニット９０４は、主ユニット９０２がバックアップユニット９０４にそのアクティブ役割を譲渡するよう要求を送るまで、アクティブユニットとしてその役割を継続する。
【０１５３】
本発明の一実施形態によれば、主ユニット、バックアップユニット、またはスタンドアロンユニットとしての各高可用性ユニットの初期状態決定プロトコルは、自己発見プロセスに依拠する。図２７は、本発明の一実施形態による例示的な状態発見プロセスの流れ図である。ステップ９３０で、まだその状態を主ユニットまたはバックアップユニットとして決定的に発見されていない第１の高可用性ユニット（ユニットＸ）がブートアップし、ステップ９３２で、バックアップユニットの役割を引き受ける。ステップ９３４で、ユニットＸは、主ユニットを求めてネットワークを探索し、ステップ９３６で、主ユニットが検出されたかどうか問い合わせる。回答がイエスの場合、ユニットＸは、主ユニットへの接続を試みる。それが成功すれば、ユニットＸは、ステップ９３８でバックアップユニットとして初期化する。一方、ユニットＸが主ユニットを検出しなかった場合、ユニットＸは、ステップ９４０で主ユニットの役割を引き受ける。
【０１５４】
ステップ９４２で、ユニットＸは、バックアップユニットを求めてネットワークを探索する。ステップ９４４で照会してバックアップユニットが検出された場合、ユニットＸは、バックアップユニットに接続し、ステップ９４６で主ユニットとして初期化する。一方、ユニットＸが所定時間内にネットワーク中で他のユニットを検出しなかった場合、ユニットＸは、ステップ９４８でスタンドアロンユニットとして初期化する。
【０１５５】
主ユニットおよび副次ユニットが初期化された後、２つのユニットの同期を保つために、主ユニットの構成変更がバックアップユニットにも転送される。構成情報は、中央ポリシーサーバデータベース１３０やポリシーエージェントデータベース１２４、１２６などのＬＤＡＰデータベースに格納されることが好ましい。
【０１５６】
図２８は、主ユニット中およびバックアップユニット中で構成情報の同期を維持するためのプロセスの流れ図である。ステップ９５０で主ユニットがブートアップし、ステップ９５２でバックアップユニットを検出する。ステップ９５４で、バックアップユニットは、主ユニットが機能していればそれから構成変更情報を受け取る。そうでない場合、構成変更はネットワーク管理者によってバックアップユニットに直接入力される。構成変更が主ユニットから受け取られる場合、主ユニットは、構成変更が主ユニット中で行われたときにバックアップユニットに通知する。次いで、変更はバックアップユニットに転送されて適用される。バックアップユニットは、転送の状態および適用を主ユニットに送り返す。
【０１５７】
ステップ９５６で、主ユニットがチェックされて、それが機能しているかどうかが判定される。機能している場合、主ユニットは、同様に構成変更で更新される。そうでない場合、主ユニットが機能していなければ、バックアップユニットがアクティブ役割を引き受け、ステップ９５８でアクティブユニットとなる。主ユニットは、ＣＰＵボード、ネットワークインタフェースカード、または電源における障害のために機能しなくなる場合があり、したがって非アクティブとなる場合がある。
【０１５８】
ステップ９６０で、バックアップユニットは、変更にタグ付けし、主ユニットが機能するようになった後でそれらを主ユニットに転送する。主ユニットが機能するようになった後で、主ユニットはステップ９６２に反映されるように、バックアップユニットによって維持されたタグ付き変更によって更新される。
【０１５９】
本発明の一実施形態によれば、主ユニット上およびバックアップユニット上でのソフトウェア更新はまた、複数の更新サイクルを必要とすることなく主ユニットおよびバックアップユニットを単一サイクル中で順次更新するためにも同期させる。したがってネットワーク管理者は、主ユニットと同じ情報でバックアップユニットを更新する労力を繰り返す必要はない。
【０１６０】
図２９は、主ユニットとバックアップユニットが両方とも機能しているときにこれらを更新する例示的な流れ図である。ステップ９７０で、ＬＤＡＰデータベースに格納されていないソフトウェア更新などの更新が、ネットワーク管理者からアクセス可能な管理ステーションから主ユニットに送付／送信される。次いで、主ユニットはステップ９７２でそれ自体を更新する。ステップ９７４で、主ユニットは、バックアップユニットに更新情報を自動的に送付／送信する。ステップ９７６で、バックアップユニットは、主ユニットから受け取った更新情報でそれ自体を更新する。
【０１６１】
図３０は、主ユニットが機能していないときに主ユニットおよびバックアップユニットを更新する例示的な流れ図である。ステップ９７８で、主ユニットが機能しなくなり、ステップ９８０で、主ユニットに代わってネットワーク管理者がバックアップユニットに直接アップグレードを送付／送信する。ステップ９８２で、バックアップユニットは、管理ステーションから受け取った情報でそれ自体を更新し、主ユニットが機能するようになるのを待機する。主ユニットが機能した後、ステップ９８６で、更新結果が自動的に更新用に主ユニットに送付／送信される。ステップ９８８で、主ユニットがそれ自体を更新する。
【０１６２】
本発明をその好ましい実施形態に関して詳細に述べたが、添付の特許請求の範囲に定義する本発明の主旨および範囲を逸脱することなく、本明細書に述べた例に様々な代用および修正を行うことができることを、当業者なら理解するであろう。
【０１６３】
例えば、図１の統一ポリシー管理システムは、限定するものではなく例示的なものと見なすべきである。多くの代替構成が可能であることは、本発明に啓発された当業者には明らかなはずである。例えば、ポリシーエンフォーサを有する追加のネットワークがあってもよく、追加のネットワークが全くなくてもよい。同様に、ポリシーエンフォーサは、必ずしもインターネットを介してポリシーサーバにアクセスしなければならないわけではなく、ＷＡＮやＭＡＮなどの他の手段を介して接続してもよい。要約すれば、組織内および組織外のユーザおよびリソースの数およびタイプは、本発明の範囲を逸脱しない限り、大きく異なってもよい。
【図面の簡単な説明】
【０１６４】
【図１】例示的な統一ポリシー管理システムの概略ブロック図である。
【図２】本発明の原理による、組織用に格納されたポリシーの階層オブジェクト指向構造を示す図である。
【図３】図１のポリシー管理システム中のポリシーサーバの概略ブロック図である。
【図４】図３のポリシーサーバ中の中央管理サブモジュールの概略図である。
【図５】図４の中央管理サブモジュールによって行われる装置登録プロセスの例示的な流れ図である。
【図６】装置を登録するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図７】装置の健全性および状態の情報を表示する例示的なグローバルモニタユーザインタフェースの画面の図である。
【図８】図３のポリシーサーバ中のポリシー管理サブモジュールから提供される例示的なグラフィカルユーザインタフェースの画面の図である。
【図９】システム装置を管理するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図１０】システムホストを管理するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図１１】システムサービスを管理するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図１２】時間グループを管理するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図１３】複数のＶＰＮクラウドを表示する例示的なグラフィカルユーザインタフェースの画面の図である。
【図１４】新しいファイアウォールポリシーを追加するための例示的なグラフィカルユーザインタフェースの画面の図である。
【図１５】それぞれのＶＰＮメンバシップ情報を更新するポリシーエンフォーサの概略的な機能ブロック図である。
【図１６】リモートＶＰＮクライアントによってダウンロードするための自己展開実行可能ファイル中のコンポーネントのブロック図である。
【図１７】図１６の自己展開実行可能ファイルをダウンロードするための機能ブロック図である。
【図１８】図１のポリシー管理システム中のポリシーエンフォーサの概略ブロック図である。
【図１９】図１８のポリシーエンフォーサ中のポリシーエンジンのより詳細な概略ブロック図である。
【図２０】図１８のポリシーエンフォーサ中のプロトコル分類エンジンのより詳細な概略ブロック図である。
【図２１】図１８のポリシーエンフォーサ中のインターネットプロトコルセキュリティエンジンのより詳細な概略ブロック図である。
【図２２】本発明の一実施形態による共通ログフォーマットの概略的な配置図である。
【図２３】本発明の一実施形態によるＬＤＡＰツリー構造のブロック図である。
【図２４】図２３のＬＤＡＰツリーのブランチのより詳細なブロック図である。
【図２５】ＬＤＡＰ変更をログしてポリシーエンフォーサに伝えるための流れ図である。
【図２６】主ユニットおよびバックアップユニットを含む高可用性システムの概略ブロック図である。
【図２７】高可用性ユニットによって実施される例示的な状態発見プロセスの流れ図である。
【図２８】図２６の主ユニット中およびバックアップユニット中で構成情報の同期を維持するためのプロセスの流れ図である。
【図２９】図２６の主ユニットとバックアップユニットが両方とも機能しているときにそれらを更新する、例示的な流れ図である。
【図３０】主ユニットが機能していないときに図２６の主ユニットおよびバックアップユニットを更新する、例示的な流れ図である。
【図１】
2005065305.tif 000003
【図２】
2005065305.tif 000004
【図３】
2005065305.tif 000005
【図４】
2005065305.tif 000006
【図５】
2005065305.tif 000007
【図６】
2005065305.tif 000008
【図７】
2005065305.tif 000009
【図８】
2005065305.tif 000010
【図９】
2005065305.tif 000011
【図１０】
2005065305.tif 000012
【図１１】
2005065305.tif 000013
【図１２】
2005065305.tif 000014
【図１３】
2005065305.tif 000015
【図１４】
2005065305.tif 000016
【図１５】
2005065305.tif 000017
【図１６】
2005065305.tif 000018
【図１７】
2005065305.tif 000019
【図１８】
2005065305.tif 000020
【図１９】
2005065305.tif 000021
【図２０】
2005065305.tif 000022
【図２１】
2005065305.tif 000023
【図２２】
2005065305.tif 000024
【図２３】
2005065305.tif 000025
【図２４】
2005065305.tif 000026
【図２５】
2005065305.tif 000027
【図２６】
2005065305.tif 000028
【図２７】
2005065305.tif 000029
【図２８】
2005065305.tif 000030
【図２９】
2005065305.tif 000031
【図３０】
2005065305.tif 000032
【手続補正書】
【提出日】平成16年9月15日(2004.9.15)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
選択的にデータベースの同期をとるシステムであって、
組織中の複数のエッジ装置についての構成情報を格納する中央データベースを備え、各エッジ装置が、前記組織中のネットワークに関連付けられ、前記ネットワークに対するポリシーを管理するように構成され、
さらに、特定のエッジ装置に関連する構成情報の一部を格納する従属データベースと、
前記中央データベースおよび前記従属データベースと通信する中央ポリシーサーバとを備え、前記中央ポリシーサーバが、
前記中央データベース中の前記特定のエッジ装置に関する構成情報の一部に変更を加え、
前記変更のログを作成し、
前記中央データベースに前記ログを格納し、  前記従属データベースを更新するように前記特定のエッジ装置に前記変更を転送するロジックを含むシステム。
【請求項２】
前記ログが、変更を加える特定のユーザに前記変更を関連付けるユーザログを含み、前記特定のユーザが前記特定のエッジ装置に関連付けられる、請求項１に記載のシステム。
【請求項３】
前記中央ポリシーサーバがさらに、前記変更を加える特定のユーザに基づいて前記特定のエッジ装置を識別するロジックを含む、請求項２に記載のシステム。
【請求項４】
前記ログが、前記特定のエッジ装置に対する変更を格納する装置ログを含む、請求項３に記載のシステム。
【請求項５】
前記中央ポリシーサーバがさらに、
前記特定のエッジ装置から転送状態を受信し、
前記状態が転送成功を示す場合に前記中央データベースから前記ログを削除するロジックを含む、請求項１に記載のシステム。
【請求項６】
前記中央データベースおよび前記従属データベースが、識別名によって識別されるライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして構成情報を格納するＬＤＡＰデータベースである、請求項１に記載のシステム。
【請求項７】
前記構成情報がポリシー管理情報である、請求項１に記載のシステム。
【請求項８】
第１のポリシー設定に従って第１のネットワークに対するポリシーを管理する第１のエッジ装置と、第２のポリシー設定に従って第２のネットワークに対するポリシーを管理する第２のエッジ装置とを含むシステムにおいて、前記システムがさらに、前記第１および第２のエッジ装置と通信して単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理するように構成された中央ポリシーサーバを含み、各エッジ装置は、
着信パケットに関連付けられるプロトコルを決定する分類エンジンと、
前記着信パケットに関連付けられるポリシー設定に基づいて前記着信パケットに対する転送決定を行うポリシーエンジンと、
前記ポリシー設定に基づいて前記着信パケットを転送するパケット転送モジュールと備えるエッジ装置。
【請求項９】
前記分類エンジンがさらに、プロトコルからパケットストリーム中に見られるデータパターンへのマッピングを格納するプロトコルデータベースを含む、請求項８に記載のエッジ装置。
【請求項１０】
前記ポリシーエンジンがさらに、リソースグループ名から各グループ中のメンバへの現行マッピングを有するリソースエンジンをさらに含む、請求項８に記載のエッジ装置。
【請求項１１】
前記ポリシーエンジンがさらに、前記着信パケットに関連付けられるグループに対して指定されるポリシー設定を格納するポリシー規則バッファを含む、請求項１０に記載のエッジ装置。
【請求項１２】
前記ポリシーエンジンがさらに、前記リソースエンジンからのメンバシップ情報に基づいて前記着信パケットを前記ポリシー規則バッファ中のポリシー設定とマッチさせる決定エンジンを含む、請求項１０に記載のエッジ装置。
【請求項１３】
前記着信パケットを送信するユーザを認証するセキュリティエンジンをさらに含む、請求項８に記載のエッジ装置。
【請求項１４】
前記エッジ装置を流れるパケットに関する統計を収集する統計モジュールをさらに含む、請求項８に記載のエッジ装置。
【請求項１５】
前記統計モジュールが、前記エッジ装置を流れるパケットのバイトカウントを維持し、前記バイトカウントが、前記パケットに関連付けられるリソースに従って編成される、請求項１４に記載のシステム。
【請求項１６】
第１の私設ネットワークに結合された第１のエッジ装置であって、第１のエッジ装置を介して到達可能なメンバネットワークの情報を有する第１のテーブルを作成するように構成され、前記第１のテーブルが第１のデータベースに格納される第１のエッジ装置と、
第２の私設ネットワークに結合された第２のエッジ装置であって、第２のエッジ装置を介して到達可能なメンバネットワークの情報を有する第２のテーブルを作成するように構成され、前記第２のテーブルが第２のデータベースに格納される第２のエッジ装置とを備えるコンピュータネットワークであって、
前記第１および第２のエッジ装置が、前記第１の私設ネットワークと前記第２の私設ネットワークとの間で安全な通信を可能にし、前記第１のエッジ装置が前記第１のテーブルを前記第２のエッジ装置と共有し、前記第２のエッジ装置が前記第２のテーブルを前記第１のエッジ装置と共有するコンピュータネットワーク。
【請求項１７】
前記第１のエッジ装置が、
新ルート情報を受信し、
前記新ルート情報を前記第１のデータベースに格納し、
前記新ルート情報の一部を前記第２のエッジ装置に送信するロジックを含む、請求項１６に記載のコンピュータネットワーク。
【請求項１８】
前記新ルートの情報の一部がルート名である、請求項１７に記載のコンピュータネットワーク。
【請求項１９】
前記第２のエッジ装置が、
前記新ルート情報の一部を受信し、
前記新ルート情報の一部に基づいて前記第１のデータベースにアクセスし、
前記第１のデータベースから前記新ルート情報を検索し、
検索したルート情報を前記第２のデータベースに格納するロジックを含む、請求項１７に記載のコンピュータネットワーク。
【請求項２０】
前記第１のネットワークと前記第２のネットワークとの間の通信が、前記ネットワークに関するセキュリティポリシーに従って管理される、請求項１６に記載のコンピュータネットワーク。
【請求項２１】
前記セキュリティポリシーが、セキュリティポリシーグループの階層組織を形成するセキュリティポリシーグループに対して定義され、前記セキュリティポリシーグループが、メンバネットワーク、前記メンバネットワークへのアクセスを許可されたユーザ、および前記メンバネットワークへのアクセスを制御する規則を含む、請求項２０に記載のコンピュータネットワーク。
【請求項２２】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーが自動的に各接続に対して構成される、請求項２１に記載のコンピュータネットワーク。
【請求項２３】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項２１に記載のコンピュータネットワーク。
【請求項２４】
私設ネットワークに結合され、エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを作成するように構成され、前記テーブルがデータベースに格納されるエッジ装置と、
前記エッジ装置と通信しプロセッサを含むリモートユーザ端末とを備えるコンピュータネットワークであって、前記プロセッサがプログラム命令を実行するように動作可能であり、前記プログラム命令が、
前記エッジ装置との通信を確立することと、
前記エッジ装置に認証情報を送信することと、
前記エッジ装置から前記メンバネットワークの情報を有するテーブルを受信することとを含むコンピュータネットワーク。
【請求項２５】
前記プログラム命令がさらに、前記エッジ装置から前記テーブルの更新を自動的に受信することを含む、請求項２４に記載のコンピュータネットワーク。
【請求項２６】
前記プログラム命令がさらに、インストールおよび実行用のクライアントソフトウェアをダウンロードすることを含む、請求項２４に記載のコンピュータネットワーク。
【請求項２７】
前記クライアントソフトウェアが、前記エッジ装置を介して到達可能なメンバネットワークとの通信を可能にする、請求項２６に記載のコンピュータネットワーク。
【請求項２８】
前記クライアントソフトウェアが、前記メンバネットワークの情報を有するテーブルのダウンロードを可能にする、請求項２６に記載のコンピュータネットワーク。
【請求項２９】
前記クライアントソフトウェアが静的部分と動的部分を含み、前記静的部分は実行可能セットアップファイルを含み、前記動的部分は、ダウンロードするリモートユーザ端末に特有の情報で置換されるテンプレートを含む、請求項２６に記載のコンピュータネットワーク。
【請求項３０】
前記動的部分が、前記メンバネットワークの情報を有する前記エッジ装置からのテーブルで置換される、請求項２６に記載のコンピュータネットワーク。
【請求項３１】
第１のネットワークのポリシーを管理する第１のエッジ装置と、
第２のネットワークのポリシーを管理する第２のエッジ装置と、
前記第１および第２のエッジ装置と通信し、前記第１および第２のエッジ装置を単一の場所から管理する中央ポリシーサーバとを含む高可用性システムであって、
前記中央ポリシーサーバと前記第１および第２のエッジ装置が第１クラスユニットおよび第２クラスユニットを含み、各第２クラスユニットが、対応する第１クラスユニットの障害発生時に前記第１クラスユニットに対するバックアップを提供する高可用性システム。
【請求項３２】
前記各第２クラスユニットが、最初は非アクティブ状態にあり、
対応する第１クラスユニットの障害を検出し、
前記障害の検出時に非アクティブ状態からアクティブ状態に移行するロジックを含む、請求項３１に記載のシステム。
【請求項３３】
前記各第２クラスユニットが、
第２クラスユニットの役割を引き受け、
対応する第１クラスユニットを探索し、
対応する第１クラスユニットが検出された場合に第２クラスユニットとして初期化するロジックを含む、請求項３１に記載のシステム。
【請求項３４】
前記各第２クラスユニットがさらに、
第１クラスユニットが検出されない場合に第１クラスユニットの役割を引き受け、
対応する第２クラスユニットを探索し、
対応する第２クラスユニットが検出された場合に第１クラスユニットとして初期化するロジックを含む、請求項３３に記載のシステム。
【請求項３５】
前記各第２クラスユニットがさらに、対応する第２クラスユニットが検出されない場合に第３クラスユニットとして初期化するロジックを含む、請求項３４に記載のシステム。
【請求項３６】
各第１クラスユニットをアクティブ状態に移行する手段と、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納する手段と、
対応する第２クラスユニットに前記構成変更を転送する手段と、
前記対応する第２クラスユニット上で前記構成変更を格納する手段とをさらに備える、請求項３１に記載のシステム。
【請求項３７】
各第１クラスユニットを非アクティブ状態に移行する手段と、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納する手段と、
前記第１クラスユニットがアクティブ状態に再移行したときに前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送する手段とをさらに備える、請求項３６に記載のシステム。
【請求項３８】
各第１クラスユニットに更新情報を送信する手段と、
前記各第１クラスユニットを更新する手段と、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信する手段と、
前記各第２クラスユニットを更新する手段とをさらに備える、請求項３１に記載のシステム。
【請求項３９】
選択的にデータベースの同期をとる方法であって、
組織中の複数のエッジ装置についての構成情報を中央データベースに格納することを含み、各エッジ装置が、前記組織中のネットワークに関連付けられ、前記ネットワークに対するポリシーを管理するように構成され、
さらに、特定のエッジ装置に関連する構成情報の一部を従属データベースに格納することと、
前記中央データベース中の前記特定のエッジ装置に関する構成情報の一部に変更を加えることと、
前記変更のログを作成することと、
前記中央データベースに前記ログを格納することと、
前記特定のエッジ装置に前記変更を転送することと、
前記変更に基づいて前記従属データベースを更新することとを含む方法。
【請求項４０】
前記変更のログを作成することがさらに、前記変更を加える特定のユーザに前記変更を関連付けるユーザログを作成することを含み、前記特定のユーザが前記特定のエッジ装置に関連付けられる、請求項３９に記載の方法。
【請求項４１】
前記変更を加える特定のユーザに基づいて前記特定のエッジ装置を識別することをさらに含む、請求項４０に記載の方法。
【請求項４２】
前記変更のログを作成することがさらに、前記特定のエッジ装置に対する変更を格納する装置ログを作成することを含む、請求項４１に記載の方法。
【請求項４３】
前記特定のエッジ装置から転送状態を受信することと、
前記状態が転送成功を示す場合に前記中央データベースから前記ログを削除することをさらに含む、請求項３９に記載の方法。
【請求項４４】
前記中央データベースおよび前記従属データベースが、識別名によって識別されるライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）エントリとして構成情報を格納するＬＤＡＰデータベースである、請求項３９に記載の方法。
【請求項４５】
前記構成情報がポリシー管理情報である、請求項３９に記載の方法。
【請求項４６】
第１のポリシー設定に従って第１のネットワークに対するポリシーを管理する第１のエッジ装置と、第２のポリシー設定に従って第２のネットワークに対するポリシーを管理する第２のエッジ装置とを含み、さらに、前記第１および第２のエッジ装置と通信して単一の場所から前記第１および第２のポリシー設定を定義し前記第１および第２のエッジ装置を管理するように構成された中央ポリシーサーバを含むシステムにおける統一ポリシー管理の方法であって、
着信パケットに関連付けられるプロトコルを決定することと、
前記着信パケットに関連付けられるポリシー設定に基づいて前記着信パケットに対する転送決定を行うことと、
前記ポリシー設定に基づいて前記着信パケットを転送することとを含む方法。
【請求項４７】
前記決定することがさらに、
プロトコルからパケットストリーム中に見られるデータパターンへのマッピングをプロトコルデータベースに格納することと、
前記着信パケットを前記プロトコルデータベースに格納されたプロトコルとマッチさせることとを含む、請求項４６に記載の方法。
【請求項４８】
リソースグループ名から各グループ中のメンバとへ現行マッピングをリソースエンジン中で維持することをさらに含む、請求項４６に記載の方法。
【請求項４９】
前記着信パケットに関連付けられるグループに対して指定されるポリシー設定をポリシーバッファに格納することをさらに含む、請求項４８に記載の方法。
【請求項５０】
前記リソースエンジンからのメンバシップ情報に基づいて前記着信パケットを前記ポリシー規則バッファ中のポリシー設定とマッチさせることさらにを含む、請求項４９に記載の方法。
【請求項５１】
前記着信パケットを送信するユーザを認証することをさらに含む、請求項４６に記載の方法。
【請求項５２】
前記エッジ装置を流れるパケットに関する統計を収集することをさらに含む、請求項４６に記載の方法。
【請求項５３】
前記収集することがさらに、
前記エッジ装置を流れるパケットのバイトカウントを維持することと、
前記パケットに関連付けられるリソースに従って前記バイトカウントを編成することとを含む、請求項５２に記載の方法。
【請求項５４】
第１の私設ネットワークに結合された第１のエッジ装置と、第２の私設ネットワークに結合された第２のエッジ装置とを含み、前記第１および第２のエッジ装置が前記第１のネットワークと前記第２のネットワークとの間で安全な通信を可能にするコンピュータネットワークにおいて、メンバシップ情報を収集する方法であって、
第１のエッジ装置を介して到達可能なメンバネットワークの情報を有する第１のテーブルを作成することと、
第１のデータベースに前記第１のテーブルを格納することと、
第２のエッジ装置を介して到達可能なメンバネットワークの情報を有する第２のテーブルを作成することと、
第２のデータベースに前記第２のテーブルを格納することと、
前記第１のテーブルを前記第２のエッジ装置と共有することと、
前記第２のテーブルを前記第１のエッジ装置と共有することを含む方法。
【請求項５５】
新ルート情報を受信することと、
前記新ルート情報を前記第１のデータベースに格納することと、
前記新ルート情報の一部を前記第２のエッジ装置に送信することとをさらに含む、請求項５４に記載の方法。
【請求項５６】
前記新ルートの情報の一部がルート名である、請求項５５に記載の方法。
【請求項５７】
前記新ルート情報の一部を受信することと、
前記新ルート情報の一部に基づいて前記第１のデータベースにアクセスすることと、
前記第１のデータベースから前記新ルート情報を検索することと、
検索したルート情報を前記第２のデータベースに格納することとをさらに含む、請求項５５に記載の方法。
【請求項５８】
前記第１のネットワークと前記第２のネットワークとの間の通信が、ネットワークに関するセキュリティポリシーに従って管理される、請求項５４に記載の方法。
【請求項５９】
前記セキュリティポリシーをセキュリティポリシーグループに対して定義することをさらに含み、前記セキュリティポリシーグループが、メンバネットワーク、前記メンバネットワークへのアクセスを許可されたユーザ、および前記メンバネットワークへのアクセスを制御する規則を含むセキュリティポリシーグループの階層組織を形成する、請求項５８に記載の方法。
【請求項６０】
各メンバネットワークが他のすべてのメンバネットワークと完全な接続性を有し、前記セキュリティポリシーグループに対して定義された前記セキュリティポリシーが各接続に対して自動的に構成される、請求項５９に記載の方法。
【請求項６１】
前記セキュリティポリシーがメンバネットワーク間のトラフィックの暗号化を実現し、前記規則が、前記メンバネットワーク間の暗号化されたトラフィックのアクセス制御を実現するファイアウォール規則である、請求項５９に記載の方法。
【請求項６２】
エッジ装置を介して到達可能なメンバネットワークの情報を有するテーブルを含む、私設ネットワークに結合されたエッジ装置を含むコンピュータネットワークにおいて、前記メンバネットワークの情報をリモートユーザ端末に提供する方法であって、
前記エッジ装置との通信を確立することと、
前記エッジ装置に認証情報を送信することと、
前記リモートユーザ端末上でインストールおよび実行するクライアントソフトウェアをダウンロードすることとを含み、前記クライアントソフトウェアが、前記エッジ装置を介して到達可能な前記メンバネットワークとの通信を可能にしさらに前記メンバネットワークの情報を有するテーブルのダウンロードを可能にする方法。
【請求項６３】
前記エッジ装置から前記テーブルの更新を自動的に受信することをさらに含む、請求項６２に記載の方法。
【請求項６４】
前記クライアントソフトウェアが静的部分と動的部分を含み、前記静的部分は実行可能セットアップファイルを含み、前記動的部分は、ダウンロードするリモートユーザ端末に特有の情報で置換されるテンプレートを含み、前記方法はさらに、前記メンバネットワークの情報を有する前記エッジ装置からのテーブルで前記動的部分を置換することを含む、請求項６２に記載の方法。
【請求項６５】
第１のネットワークのポリシーを管理する第１のエッジ装置と、第２のネットワークのポリシーを管理する第２のエッジ装置と、前記第１および第２のエッジ装置と通信する中央ポリシーサーバとを含み、前記中央ポリシーサーバが単一の場所から前記第１および第２のエッジ装置を管理するシステムにおいて、前記中央ポリシーサーバと前記第１および第２のエッジ装置中の単一点の障害を回避する方法であって、
前記中央ポリシーサーバ用と前記第１および第２のエッジ装置用の第１クラスユニットを維持することと、
前記中央ポリシーサーバと前記第１および第２のエッジ装置の第２クラスユニットを維持し、各第２ユニットが対応する第１クラスユニットに対するバックアップとしての役割を果たし、前記各第２クラスユニットが最初は非アクティブ状態にあることと、
前記第１クラスユニットのうちの１つの障害を検出することと、
前記障害の検出時に、対応するバックアップユニットを非アクティブ状態からアクティブ状態に移行することとを含む方法。
【請求項６６】
第２クラスユニットの役割を引き受けること、
対応する第１クラスユニットを探索することと、
対応する第１クラスユニットが検出された場合に第２クラスユニットとして初期化することとをさらに含む、請求項６５に記載の方法。
【請求項６７】
第１クラスユニットが検出されない場合に第１クラスユニットの役割を引き受けることと、
対応する第２クラスユニットを探索することと、
対応する第２クラスユニットが検出された場合に第１クラスユニットとして初期化することとをさらに含む、請求項６６に記載の方法。
【請求項６８】
対応する第２クラスユニットが検出されない場合に第３クラスユニットとして初期化することをさらに含む、請求項６７に記載の方法。
【請求項６９】
各第１クラスユニットをアクティブ状態に移行することと、
前記各第１クラスユニットについての第１のデータベース構成変更を受信して格納することと、
対応する第２クラスユニットに前記データベース構成変更を転送することと、
前記対応する第２クラスユニット上で前記構成変更を格納することとをさらに含む、請求項６５に記載の方法。
【請求項７０】
各第１クラスユニットを非アクティブ状態に移行することと、
第２クラスユニットについての第２のデータベース構成変更を、対応する第１クラスユニットが非アクティブ状態にある間に受信して格納することと、
前記第１クラスユニットがアクティブ状態に再移行した後に前記第２クラスユニットから前記第１クラスユニットに前記第２のデータベース構成変更を転送することとをさらに含む、請求項６９に記載の方法。
【請求項７１】
各第１クラスユニットに更新情報を送信することと、
前記各第１クラスユニットを更新することと、
前記各第１クラスユニットから各第２クラスユニットに更新情報を送信することと、
前記各第２クラスユニットを更新することとをさらに含む、請求項６５に記載の方法。
【外国語明細書】
2005065305.tif 000033
2005065305.tif 000034
2005065305.tif 000035
2005065305.tif 000036
2005065305.tif 000037
2005065305.tif 000038
2005065305.tif 000039
2005065305.tif 000040
2005065305.tif 000041
2005065305.tif 000042
2005065305.tif 000043
2005065305.tif 000044
2005065305.tif 000045
2005065305.tif 000046
2005065305.tif 000047
2005065305.tif 000048
2005065305.tif 000049
2005065305.tif 000050
2005065305.tif 000051
2005065305.tif 000052
2005065305.tif 000053
2005065305.tif 000054
2005065305.tif 000055
2005065305.tif 000056
2005065305.tif 000057
2005065305.tif 000058
2005065305.tif 000059
2005065305.tif 000060
2005065305.tif 000061
2005065305.tif 000062
2005065305.tif 000063
2005065305.tif 000064
2005065305.tif 000065
2005065305.tif 000066
2005065305.tif 000067
2005065305.tif 000068
2005065305.tif 000069
2005065305.tif 000070
2005065305.tif 000071
2005065305.tif 000072
2005065305.tif 000073
2005065305.tif 000074
2005065305.tif 000075
2005065305.tif 000076
2005065305.tif 000077
2005065305.tif 000078
2005065305.tif 000079
2005065305.tif 000080
2005065305.tif 000081
2005065305.tif 000082
2005065305.tif 000083
2005065305.tif 000084
2005065305.tif 000085
2005065305.tif 000086
2005065305.tif 000087
2005065305.tif 000088
2005065305.tif 000089
2005065305.tif 000090
2005065305.tif 000091
2005065305.tif 000092
2005065305.tif 000093
2005065305.tif 000094
2005065305.tif 000095
2005065305.tif 000096
2005065305.tif 000097
2005065305.tif 000098
2005065305.tif 000099
2005065305.tif 000100
2005065305.tif 000101
2005065305.tif 000102
2005065305.tif 000103
2005065305.tif 000104
2005065305.tif 000105
2005065305.tif 000106
2005065305.tif 000107
2005065305.tif 000108
2005065305.tif 000109
2005065305.tif 000110
2005065305.tif 000111
2005065305.tif 000112
2005065305.tif 000113
2005065305.tif 000114
2005065305.tif 000115
2005065305.tif 000116
2005065305.tif 000117
2005065305.tif 000118
2005065305.tif 000119