(57)【要約】エンドポイント装置とアクセスポイントサーバとの間のグローバル仮想ネットワーク接続を管理するシステム及び方法が開示される。一実施形態では、ネットワークシステムは、エンドポイント装置、アクセスポイントサーバ及び制御サーバを含んでよい。エンドポイント装置及びアクセスポイントサーバは、第１のトンネルと接続されてよい。アクセスポイントサーバ及び制御サーバは、第２のトンネルと接続されてよい。
2018518862.tif 000002
【特許請求の範囲】
【請求項１】
グローバル仮想ネットワークを管理するネットワークシステムであって、
エンドポイント装置と、
アクセスポイントサーバと、
制御サーバと、
前記エンドポイント装置を前記アクセスポイントサーバへ接続する第１のトンネルと、
前記アクセスポイントサーバを前記制御サーバへ接続する第２のトンネルと、
を含むネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムにおいて、
前記エンドポイント装置は一意の装置アイデンティティに対応付けられる、ネットワークシステム。
【請求項３】
請求項１に記載のネットワークシステムにおいて、
前記制御サーバは、IPアドレスを少なくとも１つの前記エンドポイント装置又は前記アクセスポイントサーバへ割り当てるように構成されるポート／IPアドレスマネージャを含む、ネットワークシステム。
【請求項４】
請求項１に記載のネットワークシステムにおいて、
前記制御サーバは、前記アクセスポイントサーバの仕様、前記アクセスポイントサーバの状態フラグ、又は前記アクセスポイントサーバの装置タイプ、の少なくとも１つを追跡するよう構成されるレジストリを含む、ネットワークシステム。
【請求項５】
請求項４に記載のネットワークシステムにおいて、
前記アクセスポイントサーバの前記状態フラグは、前記アクセスポイントサーバが障害を起こし、更新を要求され、過大な要求を受け、又は、最適以下の状態にあるときに設定される、ネットワークシステム。
【請求項６】
請求項５に記載のネットワークシステムにおいて、
第２のエンドポイント装置を更に含み、
前記状態フラグが設定されると、前記アクセスポイントサーバは、前記第２のエンドポイント装置への接続を妨げられる、ネットワークシステム。
【発明の詳細な説明】
【関連出願の相互参照】
【０００１】
本願は、米国仮特許出願第62/144293号（２０１５年４月７日出願）、米国仮特許出願第62/151174号（２０１５年４月２２日出願）の優先権を主張するものであり、当該出願の開示全体をここに参照のために取り込む。
【技術分野】
【０００２】
本開示は、概してネットワークに関連し、特に、グローバル仮想ネットワーク及び様々な関連補助モジュールに関する。
【背景技術】
【０００３】
人間は２００ｍｓ以上の遅延を知覚することができるる。典型的には、これが、出来事に対する平均的な人間の反応速度である。レイテンシが大きければ、（例えばシンクライアントからクラウド上のサーバへの）オンラインシステム、顧客関係管理（CRM）、企業資源計画（ERP）及び他のシステムは十分に機能せず、タイムアウトにより機能が停止するおそれがある。パケット損失が大きいハイレイテンシは、接続を使用不可能にする。仮にデータが通過すれば、特定のポイントでの甚大な遅延は、乏しいユーザエクスペリエンス（UX）をもたらす。この場合、結果として、ユーザはその状況を受け入れられないので、実際には、そのような乏しい伝送サービスは使えないものとなる。
【０００４】
これらの問題に対処するために、様々な技術が発達している。そのような技術の１つはWAN最適化であり、典型的にはローカルエリアネットワーク（LAN）の端のハードウェア（HW）装置を伴う。これは、他のLANの端にある他のWAN最適化HW装置へのトンネルを構築し、それらの間でワイドエリアネットワーク（WAN）を形成する。この技術は、２つの装置が互いに接続される、安定的な接続状態を想定する。WANオプティマイザは、データフローを圧縮及び安全化するよう試みるので、これによりしばしば速度は増す。WAN最適化を採用する商用ドライバは、送信されるデータボリュームを節約し、データ送信のコストを低減するよう試みる。この不利な点は、それがしばしばポイントツーポイントであることと、２つの装置間のインターネットを通るトラフィックフローのパスに対する制御がほぼないために、それらの間の接続が良くないときに苦労することである。これに対処するために、WANオプティマイザのユーザはしばしば、マルチプロトコルラベルスイッチング（MPLS）若しくはDDN線又は他の専用回路上でWANを駆動することを選択する。これにより、費用が増加し、通常は再び、ポイントツーポイント接続が硬直化して不安定になる。
【０００５】
直接リンク（例えばMPLS、DDN、専用回路又は他のタイプの固定的なポイントツーポイント接続）は、接続品質及びサービス品質（QoS：QualityofService）保証を提供する。それらは高価で、しばしば、インストールに非常に長い時間を要する。その理由は、接続の両端のPOPからラインを物理的に引く必要があるからである。ポイントツーポイントのトポロジは、１つのLAN内から他のLANのリソースへ、この直接接続WANを介して接続するときには、良好に機能する。しかし、一般のインターネットへのゲートウェイ（GW）が一端のLAN（例えば企業の本社）に位置するとき、支社のある国のリモートからのトラフィックは、GWを通してインターネットへとルーティングされる。トラフィックが、インターネットを介して、その支社と同じ国にあるサーバに流れ戻るとき、速度が落ちる。トラフィックは、LANからWANを介し、GWが位置するLANへと向かい、次いでインターネットを介して元の国のサーバへと戻らなくてならず、次いで、インターネットを通してGWへ戻り、専用線からLAN内のクライアントデバイスへと戻らなくてはならない。本質的には、この近くのサイトにアクセスするために、わずかなグローバルレイテンシのグローバルトランジット時間の２倍又は３倍（又はそれより悪い）がかかる。これを克服するために、適切な構成変更及び追加装置を有する他のインターネット線の代替接続により、そのようなシステムの両端で、インターネットへのローカルなトラフィックが提供される。
【０００６】
一方のLANから他方のLANへのWANリンクを作成するための他の選択肢は、トンネル（例えばIPSec又は２つのルータ、ファイアウォール、又は同様のエンド装置間の他のプロトコルトンネル）を確立することを伴う。これらは通常暗号化され、圧縮及び他のロジックを提供して、接続性を向上するよう試みることができる。２つのポイント間のルート上では、ほとんど制御を行うことができない。その理由は、それらがインターネット上の様々な中間参加者のポリシーに依存するからである。それら参加者は、ネットワーク及びピア上を介して、他のキャリア及び／又はネットワークオペレータへトラフィックを伝送する。ファイアウォール、ルータ、スイッチ及び、多くの機器ベンダからの他の装置は、それらファームウェアへと構築されたトンネリングオプションを有する。
【０００７】
近年、ラストワンマイルでの接続性は非常に改善した一方、距離、プロトコル制限、ピアリング、インタフェース及び他の問題に関する事項によって、長距離接続性や脅威については依然問題が存在する。したがって、標準的なインターネット接続のオーバーザトップで稼働するセキュアなネットワーク最適化サービスが要望される。
【発明の概要】
【０００８】
グローバル仮想ネットワーク（GVN）はネットワークの１タイプであり、インターネットのオーバーザトップ（OTT）で、ネットワーク最適化を提供する。それは画期的な技術であり、費用が高いMPLS又は専用線に比べて、費用が安い代替物を提供する。エンドポイント装置（EPD）と、より広いGVNグローバルネットワークへリンクされたアクセスポイントサーバ（SRV_AP）との間にセキュアなトンネルを有することは、多くの利点をもたらす。GVNのコア技術は、ギャップを埋めるために作成された。そのギャップに対して解決策が要求されていたが、技術が存在しなかった。
【０００９】
サービス品質（QoS）の問題（一般的な性能を改善しユーザ体験を向上するネットワーク接続に関する）に対処するという、より広いテーマに加えて他の２つの主な特徴がある。それは、このトポロジが、ネットワーク端がクラウドに拡張することを可能にすることである。更に、EPDは、より広いネットワークとローカルエリアネットワーク（LAN）との間のブリッジとして動作する。EPDは、クラウドの要素を、LANの端へのローカルノード拡張としてもたらす。
【００１０】
開示される内容は、グローバル仮想ネットワークの様々な補助モジュールを記述する。補助モジュールはGVNによって支援され、又は、GVNは補助モジュールの動作を促進する。地理的宛先の要求は、具体的には、どのようにCDAとCPAとが動作するかや、それらのインタラクションと同等の試みとに対し関連する必要がある。ジオキャスティング要素は、GeoDメカニズムがGVNのトポロジを用いて、リバースCDNジオキャスティング動作をどのように提供するかを記述する。トンネルは、高いレベルからの接続に関し何が実行可能かを記述する。アーキテクチャ及びアルゴリズム／ロジックの発明は、コンポーネント部分を記述する。グラフィックユーザインタフェース、並びに、関連するHW及びSWフレームワークはまた、ファイル転送として概説される。
【００１１】
エンドポイント装置とアクセスポイントサーバとの間の仮想グローバル仮想ネットワーク接続を管理するシステム及び方法が開示される。一実施形態では、ネットワークシステムは、エンドポイント装置、アクセスポイントサーバ及び制御サーバを含んでよい。エンドポイント装置及びアクセスポイントサーバは、第１のトンネルと接続されてよい。アクセスポイントサーバ及び制御サーバは、第２のトンネルと接続されてよい。
【図面の簡単な説明】
【００１２】
本開示の一層の理解を容易にするために、添付する図面が参照される。ここでは、類似の要素は類似の番号又は参照符号により示される。これらの図面は、本開示を限定するものとして解釈してはならない。当該図面は例示のみを意図したものである。
【図１】様々な層でヘッダがデータに付加されるときの、IPトランスポートパケットについてのパケット肥大化を示す。
【図２】OSIモデルの７つの層の各々における、データ及びヘッダのパケット肥大化を示す。
【図３】ホスト（クライアント）からホスト（サーバ）の数値的なIPアドレスへのルーティングのために、インターネットドメインネームシステム（DNS）を介したルックアップによるユニバーサルリソースロケータ（URL）解決を示すブロック図である。
【図４】本開示の実施形態による、接続セグメントに対する帯域遅延積（BDP）又はパスを、様々な接続属性を考慮して算出する計算式を示す図である。
【図５】本開示の実施形態による、エンドポイント装置（EPD）内のトラフィックフローパスを示す図である。
【図６】本開示の実施形態による、通常のインターネット接続の上位で作成されるオーバーザトップ（OTT）トンネルを示す図である。
【図７】本開示の実施形態による、通常のインターネット接続の上位で作成されるオーバーザトップ（OTT）トンネルについての仮想インタフェースを示す図である。
【図８】インターネットトラフィックのフローについて従来の実施形態を示す図である。
【図９】本開示の実施形態による、２つのゲートウェイ装置（GWD）間で確立されるトンネルを示す図である。
【図１０】本開示の実施形態による、EPD100とSRV_CNTRL200とSRV_AP300との間の通信を示す図である。この通信は、パスAPI-10A1-10A2とAPI-10A3-10A2とAPI-10A1-10A3とを介した、GVNのニュートラルなAPIメカニズム（NAPIM）を介する。
【図１１】本開示の実施形態による、ピアペアにおける２つのピアによって要求される情報のフローを示す図である。
【図１２】本開示の実施形態による、トンネル確立プロセスを示す図である。
【図１３】本開示の実施形態による、ポートをIPアドレスへ割り当ててトンネルを確立するのに用いられるロジックを図示するフローチャートである。
【図１４】本開示の実施形態による、サーバ可用性リストの重要性と、どのようにIPアドレス及び範囲が様々な装置に対して割り当てられるかを示す図である。
【図１５】本開示の実施形態による、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルの要素（ISPとネットワーク端との間のピアリングポイントを含む）を示す図である。
【図１６】本開示の実施形態による、クラウドにおいて個人的なエンドポイント装置を支援する複数周縁ファイアウォール（MPFW）を示す図である。
【図１７】本開示の実施形態による、様々なGVN装置のデータベース上のテーブルが互いにどのように関連するか、及びそれらが相互作用する方法を示す図である。
【図１８】本開示の実施形態による、グローバル仮想ネットワーク（「GVN」）によって使用され可能となる技術のブロック図である。
【図１９】本開示の実施形態による、協働して地理的宛先サービスをクライアントへ提供し、リモートな位置にあるサーバからの検索、転送及びサービス提供を最適化する３つの装置を示す図である。
【図２０】本開示の実施形態による、図１９に記載される３つの装置の動作を示す図である。
【図２１】地理的宛先メカニズムの動作を引き続き開示する例示的実施形態を示し、更に、様々なタイプのサーバから一連のファイルを検索すること、検索されたファイルを集合させること、及び、アクセスポイントサーバ（SRV_AP）からエンドポイント装置（EPD）へとその後送信することを説明する図である。
【図２２】コンテンツデリバリネットワーク（CDN）内でジオキャスティングがどのように動作するかに関する先行技術を示す図である。
【図２３】ティックサイクル期間の分析及び解釈を示す図である。
【図２４】本開示の実施形態による、非類似の様々なデータセットを比較するときに、２つの異なるデータセットの記述がどのように情報を提供するかを示す図である。
【図２５】本開示の実施形態による、複数周縁ファイアウォールとGVN内の他のシステムとの統合を示す図である。
【図２６】本開示の実施形態による、オープンインターネットを通るパスと、ベースインターネット及びオープンインターネットセグメントと、オーバーザトップ（OTT）でのグローバル仮想ネットワーク（GVN）セグメントとの混合を有するネットワーク最適化されたトラフィックであるパスと、の両方を示す図である。
【図２７】本開示の実施形態による、バックボーン及び八角形ルーティングを有するハブアンドスポークのトポロジを用いたGVNを示す図である。
【図２８】本開示の実施形態による、分散されたエンドポイント管理クラスタ（DEPAC）を示す図である。当該クラスタは、グローバル仮想ネットワーク（GVN）内又は他の類似トポロジ内で仮想的に構築可能である。
【図２９】本開示の実施形態による、一連のテストでの論理構築を示す図である。当該テストは、様々なポート及びIPアドレスをテストするインターネット上で実行される。
【図３０】本開示の実施形態による、グローバル仮想ネットワーク（GVN）内で動作する様々な装置間又は他の類似のトポロジ間で、接続トラフィック動作をロギングするメカニズムを示す図である。
【図３１】本開示の実施形態による、アプリケーション層31-800とネットワークインタフェースカード（NIC）31-000との間に重ねられた伝統的な厚みのあるスタック31-20を示す図である。この図は、NIC31-000に直接アクセスする薄いスタックアプローチ31-10とは対照的である。
【図３２】テストと本番環境との両方からの接続情報を関連付けて格納するための、単純なデータベーススキーマを示す図である。
【図３３】本開示の実施形態による、カスタムコマンドの使用例を示す図である。当該カスタムコマンドは、アプリケーション層上のトリガ（例えばグラフィックユーザインタフェース上でクリックされるボタン）と、当該トリガの結果として駆動されるディープ（深い）ロジック及びコマンドとの間の防御クッションとして動作する。
【図３４】本開示の実施形態による、グローバル仮想ネットワーク（GVN）内の地理的宛先メカニズムにおける関連装置上のモジュールを簡略化して示す図である。
【図３５】本開示の実施形態による、ポータブルエンドポイント装置（PEPD）がどのようにグローバル仮想ネットワーク（GVN）又は類似のトポロジに接続するかのいくつかの方法を示す図である。
【図３６】本開示の実施形態による、ポータブルなエンドポイント装置（PEPD）とアクセスポイントサーバ（SRV_AP）36-300との間の関係を示す図である。
【図３７】本開示の実施形態による、異なるタイプの拡張可能ソフトウェアのいくつかを示す図である。当該ソフトウェアは、ポータブルなエンドポイント装置（PEPD）上で稼働する。ソフトウェアは、リモート装置（例えばアクセスポイントサーバ（SRV_AP））上に格納され、SRV_APからPEPDへ送信される。
【図３８】本開示の実施形態による、複数地域にわたるグローバル仮想ネットワーク（GVN）内の装置間における複数のトンネルを示す図である。
【図３９】本開示の実施形態による、様々なタイプの装置によって使用される、共通コードベースのフレームワークを示す図である。当該装置の各々は、自身の属性／タイプ及びアイデンティティを有する。
【図４０】本開示の実施形態による、グローバル仮想ネットワーク（GVN）内の様々な装置についての、関係、インタラクション及びデータ関連性を示す図である。
【図４１】本開示の実施形態による、インターネットのオーバーザトップ（OTT）におけるグローバル仮想ネットワークのトポロジ及びその中で動作する様々な装置を示す図である。
【図４２】本開示の実施形態による、ウェブルート上及びウェブルート下の両方のコードを示す図である。
【図４３】本開示の実施形態による、内部的に学習されたAI知識を有する外部ソースからの情報を組み入れるアルゴリズムを示す図である。
【図４４】本開示の実施形態による、ユーザが有する要素を考慮して、ユーザの個人的な要望を比較することによって、よりスマートなアルゴリズムを設計するアプローチを簡略的に示す図である。
【図４５】本開示の実施形態による、エンドポイント装置（EPD）、中央制御サーバ（SRV_CNTRL）及びアクセスポイントサーバ（SRV_AP）に対するいくつかのシステムモジュール及びコンポーネントを示す図である。
【図４６】本開示の実施形態による、エンドポイント装置（EPD）、中央制御サーバ（SRV_CNTRL）及びアクセスポイントサーバ（SRV_AP）に対するいくつかのシステムモジュール及びコンポーネントを示す図である。
【図４７】本開示の実施形態による、エンドポイント装置（EPD）、中央制御サーバ（SRV_CNTRL）及びアクセスポイントサーバに対するいくつかのシステムモジュール及びコンポーネントを示す図である。
【図４８】本開示の実施形態による、例示的なコンピューティング装置のブロック図である。
【図４９】本開示の実施形態による、LAN内でファイルをダウンロードするプロセスやインターネットからファイルをダウンロードするプロセスを示す図である。
【図５０】本開示の実施形態による、エンドポイント装置（EPD）上のファイル転送マネージャ（FTM）や、アクセスポイントサーバ（SRV_AP）上でのFTMの動作を示す図である。
【図５１】本開示の実施形態による、セキュアなファイルストレージボリューム上のファイルの物理ストレージと、ファイルについての情報をリレーショナルデータベース（DB）に保存することと、ファイル、ファイル情報及びファイル転送プロセス間のデータ関係とを示す図である。
【発明を実施するための形態】
【００１３】
下記の説明では、本開示のシステム、方法及び媒体に関する多くの具体的な詳細や、そのようなシステム、方法及び媒体が動作する環境が記載される。これは、例えば、本開示の理解を完全にするためである。しかし、当業者にとって、そのような具体的な詳細無しに本開示の事項を実施可能であることは明確である。従来公知である特定の特徴は、本開示が複雑になることを避けるために記載されていない。また、下記の例は例示的なものであることや、他のシステム、方法及び媒体も本開示の範囲内であることを、理解されたい。
【００１４】
グローバル仮想ネットワーク（GVN）は、標準的なインターネット接続のオーバーザトップ（OTT）で、セキュアなネットワーク最適化サービスをクライアントに提供する。これは、GVNの構成部分や、GVN要素として機能できる関連技術の概略である。GVN要素はGVNとは独立して、又は、GVNのエコシステム内で動作する。このとき、それらの要素は、それら自身の目的のため、例えばGVNフレームワークを用いる。また、それらの要素は、GVNの性能及び効率を向上するために展開可能である。この概要はまた、GVNのいくつかの又は全てのコンポーネントを使用するスタンドアロンの配置として、他の技術がどのようにGVNから利益を受けるかを開示し、また、その利益を用いて、既存のGVN上の独立したメカニズムとしてどれが迅速に展開可能かを開示する。
【００１５】
ソフトウェア（SW）上の仮想プライベートネットワーク（VPN）は、クライアント装置とVPNサーバとの間のトンネルを介して、プライバシーを提供する。これらは暗号化の利点を有し、いくつかの場合には圧縮化の利点をも有する。しかし、VPNクライアントとVPNサーバとの間のトラフィックがどのように流れるかについて、制御をほぼ行うことができない。VPNサーバとホストサーバとの間や、ホストクライアントと宛先にある他の装置との間も同様である。これらはポイントツーポイントの接続であり、VPN及びいくつかの技術を用いて装置毎にクライアントソフトウェアをインストールし、各装置の接続を維持する必要がある。VPNサーバの出口点が通信パスを介して宛先ホストサーバ又はホストクライアントのすぐそばにある場合、性能は良い。そうでなければ、有用性の観点から、性能上の欠陥や不満が顕著であろう。しばしばVPNユーザにとって、１つのVPNサーバから切断して、他のVPNサーバに再接続することが必要である。これにより、１つの地域からコンテンツへのローカルアクセスは、他の地域からのそのコンテンツへのローカルアクセスに比べて良質である。
【００１６】
グローバル仮想ネットワーク（GVN）は、インターネットの上位におけるコンピュータネットワークの１タイプであり、世界中に分散され互いにセキュアにリンクされた装置のネットワークを用いて、グローバルセキュアネットワーク最適化サービスを提供する。当該リンクは、アプリケーションプログラミングインタフェース（API）、データベース（DB）複製及び他の方法を介して、高度なトンネル、協働及び通信によって実現される。GVNにおけるトラフィックルーティングは常に、アドバンストスマートルーティング（ASR）によって管理される最善の通信パスを介する。そのASRは、ビルダ、マネージャ、テスタ、アルゴリズム解析及び他の方法を組合せた自動システムによって強固にされ、経時変化する状況及び学習に適合し、システムを構成及び再構成する。
【００１７】
GVNは、１以上の通常のインターネット接続の上位で、安全、信頼、迅速、安定、正確及び集中的な同時接続性を与えるサービスを提供する。これらの利益は、ラッピング、カムフラージュ又は暗号化されたトンネルによる複数の接続を通過するデータフローを圧縮することによって達成される。そのトンネルは、EPDとEPDの近傍にあるアクセスポイントサーバ（SRV_AP）との間のものである。EPDとSRV_APとの間の接続品質は、継続的に監視される。
【００１８】
GVNは、ハードウェア（HW）エンドポイント装置（EPD）と、インストールされたソフトウェア（SW）、データベース（DB）及びGVNシステムの自動化モジュールとの組合せである。当該自動化モジュールは例えば、ニュートラルなアプリケーションプログラミングインタフェースメカニズム（NAPIM）、バックチャネルマネージャ、トンネルマネージャ、及び他の特徴等である。他の特徴は、EPDを、分散インフラ装置（例えばGVN内のアクセスポイントサーバ（SRV_AP）及び中央サーバ（SRVCNTRL））へ接続させるものである。
【００１９】
アルゴリズムは現在のネットワーク状態を断続的に分析し、傾向や長期にわたる過去の性能を考慮することで、トラフィックが通るべき最善のルートや、トラフィックをプッシュして通すものとしてどれが最善のSRV_AP又は一連のSRV_APサーバであるかを判定する。構成、通信パス及びその他の変更は、自動的に実行される。実行中は、最小限のユーザインタラクション又は干渉が要求され、又は、何らのユーザインタラクション又は干渉も要求されない。
【００２０】
EPD及びSRV_APにおけるアドバンストスマートルーティングは、できるだけ簡素に言うところの、GVNの「第３の層」を介して、最も理想的なパスを経由して発信元から宛先へとトラフィックが流れることを確実にする。この第３の層は、GVNに接続されたクライアント装置によって、通常のインターネットパスとして視認される。しかしそこでは、ホップの数は少なく、安全性は高く、且つほとんどの場合、同一の宛先へと通常のインターネットを介して流れるトラフィックよりも、レイテンシが低い。論理及びオートメーションは、GVNの「第２の層」で動作し、ここではGVNのソフトウェアは、基礎的なルーティング並びに仮想インタフェース（VIF）及び複数のトンネルの構築、通信パスの結合を自動的に監視及び制御する。GVNの第３及び第２の層は、GVNにおける動作的な「第１の層」の上位に存在する。第１の層は、下位のインターネットのネットワーク装置と相互に通信する。
【００２１】
技術的及びネットワーク的な視点から、クラウドは、装置、グループ、アレイ、装置クラスタを示す。それらはオープンインターネットを介して他の装置に接続されて利用可能である。これらの装置の物理的な位置は重要ではない。というのも、それらはしばしば、複数の位置にわたって複製されたデータを有するからである。ここでは、コンテンツデリバリネットワーク（CDN）又は他の技術を用いて、最も近いサーバから要求元クライアントへの伝送又は当該要求元クライアントから当該サーバへの伝送が行われ、接続速度を向上し、ユーザ体験（UX）を向上させる。
【００２２】
いくつかの実施形態では、本開示の内容は、周縁をクラウドまで拡張することによって、ファイアウォール（FW）の実用性価値を向上することに関する。ファイアウォールは主に、外部ネットワークからの外部脅威に対して内部ネットワークを保護するように設計されるとともに、内部ネットワークから情報データが漏洩することを防ぐ。ファイアウォールは伝統的に、１つのネットワーク（例えばローカルエリアネットワーク（LAN））と、他のネットワーク（例えば、より広いネットワークへのアップリンク）との間の端に配置される。ネットワーク管理者はFWの配置及び信頼性に敏感である。というのも彼らは、ネットワークを安全にするためにFWに頼っているからである。
【００２３】
図１は、様々な層でヘッダがデータに付加されるときの、IPトランスポートパケットについてのパケット肥大化を示す。アプリケーション層1-L04にて、データペイロードはデータ1-D4に示されるような初期サイズを有する。パケットサイズは、パケットサイズ1-Pバイトで示される。次の層、すなわちトランスポート層1-L03では、パケットサイズ1-Pバイトは、データ1-D4の元のサイズを有する。これは、データUDP1-D3と等しい。それは更に、ヘッダUDP1-H3の肥大化部分を有する。次の層、すなわちインターネット層1-L02では、ボディペイロードデータIP1-D2は、1-D3と1-H3との組合せである。それは、ヘッダIP1-H2の分だけ、1-Pバイトを増加させる。リンク層1-L01では、フレームデータ1-D1は、1-H2と1-D2との組合せである。これは更に、ヘッダフレーム1-H1とフッタフレーム1-F1とによって、1-Pバイトを増加させる。
【００２４】
図２は、OSIモデルの７つの層の各々における、データ及びヘッダのパケット肥大化を示す。元データ2-D0は、各レベルにて、アプリケーションOSI層7（2-L7）を増大させる。このとき、ヘッダ2-H7等のヘッダが付加される。その後の層７から層１までの各層にて、データ層は、前の上位のデータの層と、付加されたヘッダとの組合せである。OSIモデルにおける物理OSI層2-L1での合計の肥大化パケットは、パケットサイズ2-Pバイトで示される。
【００２５】
図３は、ホスト（クライアント）からホスト（サーバ）の数値的なIPアドレスへのルーティングのために、インターネットドメインネームシステム（DNS）を介したルックアップによるユニバーサルリソースロケータ（URL）解決を示すブロック図である。ホスト（クライアント）ソース101からホスト（サーバ）ターゲット301へのコンテンツリクエスト又はプッシュは、ファイル、データストリーム又はブロックが方向001に流れるときになされる。ホスト（サーバ）ターゲット301から、ホスト（クライアント）ソース101へのコンテンツデリバリのレスポンス002は、ファイル、データストリーム又はブロックとしてなされる。クライアントサーバ（C-S）関係にあるホスト（クライアント）ソース101は、リモートホスト（サーバ）からコンテンツにアクセスするリクエストを生成し、又は、ユニバーサルリソースロケータ（URL）又は他のネットワークに到達可能なアドレスを介して、リモートホスト（サーバ）へデータを送信する。
【００２６】
ホストクライアントからインターネットへの接続は、P01として示される。これは、クライアント101から、直接対面するPOP102への接続である。当該接続は、ローカルエリアネットワーク（LAN）内にあって、次いで、存在点（POP）を介してインターネットへ接続する。当該接続は、ラストワンマイル接続ともいう。存在点（POP）102は、インターネットサービスプロバイダ（ISP）によってエンドポイントからネットワーク及びその相互接続子を介してインターネットへ提供される接続を示す。URLが数値的なアドレスではなくドメインネームのとき、このURLはドメインネームシステム（DNS）サーバ3104に送信される。そこでドメインネームはIPv4、IPv6、又はルーティング目的の他のアドレスへ解釈される。
【００２７】
クライアント101からサーバ301へのトラフィックは、インターネット120を介してルーティングされる。当該インターネットは、POP（102及び302）間の経由（ピアリング、バックホール又は他のネットワーク境界の経由）を示す。
【００２８】
POP102からDNS103への接続P02は、ユニバーサルリソースロケータ（URL）から数値アドレスをルックアップしてターゲットサーバのIPv4アドレス又は他の数値的アドレスを取得するものであり、これによりターゲットサーバはPOP102から直接に、又はインターネット120を介して、アクセス可能である。ISPのPOP102からインターネット120への接続P03は、シングルホーム又はマルチホームであってよい。インターネット120から、ISPの又はインターネットデータセンタ（IDC）のインターネットに面したPOP302への接続P04が存在する。サーバのPOP302からホスト301への接続P05は、直接的であり、又は複数のホップを介する。
【００２９】
ドメインネームを介した名前から数値アドレスへのルックアップは、今日のインターネット上で標準的であり、DNSサーバが必須であること、や、その結果が最新であり且つ信用できることを想定している。
【００３０】
図４は、本開示の実施形態による、接続セグメントに対する帯域遅延積（BDP）又はパスを、様々な接続属性を考慮して算出する計算式を示す図である。２点間及び／又は他の複数要素間の距離が長いほど、レイテンシ効果は上昇し、データ量は増大する。当該データ量は、送信装置が受信装置から、それがデータボリュームを受信可能だったか否かについてのメッセージを受信する前に、ラインによってむやみに吸収されるものである。
【００３１】
要約すればBDP4-080を算出することは、サーバが、自身が非常に速い速度で多くの量を送信していることを知る前に、どれほどのデータがパイプを満たしうるかの尺度を示す。
【００３２】
帯域幅4-000は、メガバイト毎秒（Mbps）で測定される。グラニュラリティ4-002は時間単位（秒に関する）である。BDP4-080を正確に反映するために、バイト4-020を、システムのビット数4-022によって割る。レイテンシ4-050は、２点間において、ミリ秒（ms）単位でラウンドトリップ時間（RTT）を測定したものである。
【００３３】
したがって、例えば、属性（220msのレイテンシ4-050を有するパスの８ビットシステム上で、１秒のグラニュラリティ4-022を用いた10GigEの帯域幅）を有する次のネットワークパスのBDP4-080は次のように算出できる。
【数１】
2018518862.tif 000003
【００３４】
したがって、１０GigEライン上で送信装置は、理論上、２２０ミリ秒で33,569.3メガバイトの情報を送信可能である。その後、メッセージは受信クライアント装置から返送される。
【００３５】
この算出はまた、他のアルゴリズム（例えばRAMバッファのサイズを管理するアルゴリズム、時間及びデータ量を管理するアルゴリズム等）の基礎になる。当該データは、攻撃ベクトル等の問題が生じる前にバッファされる。ホストサーバによるスロットルダウンは、パイプの未活用を招き得る。しかし、データを膨大に受信することはまた、他の問題を招き得る。BDP4-080の算出、及び、問題に対して積極的に管理するアプローチは、ハードウェア及びネットワークリソースの効率活用につながる。
【００３６】
図５は、本開示の実施形態による、エンドポイント装置（EPD）内のトラフィックフローパスを示す図である。トラフィックは、LAN5-000とエンドポイント装置（EPD）5-100との間の接続5-CP00を流れる。エンドポイント装置（EPD）5-100から存在点（POP）5-010へは、接続5-CP06上を流れる。存在点（POP）5-010は、接続5-CP08を介してインターネット5-020へ接続される。
【００３７】
図６は、本開示の実施形態による、通常のインターネット接続の上位で作成されるオーバーザトップ（OTT）トンネルを示す図である。図６は図５と類似し、アクセスポイントサーバ（SRV_AP）6-300を追加的に示す。アクセスポイントサーバ（SRV_AP）6-300は、トンネルリスナTNLO6-380を含む。エンドポイント装置（EPD）5-100は、トンネルマネージャTMN06-180を含む。トンネルTUN06-CP80が構築され、トンネルマネージャTMN06-180とトンネルリスナTNLO6-380が接続される。トンネルは、通常のインターネット接続6-CP06及び6-CP08のオーバーザトップ（OTT）で構築される。
【００３８】
図７は、本開示の実施形態による、通常のインターネット接続の上位で作成されるオーバーザトップ（OTT）トンネルについての仮想インタフェースを示す図である。図７は図６と類似するが、EPD7-100とSRV_AP7-300とのそれぞれの装置上でフックポイントとして仮想インタフェース（VIF）を追加的に含む。これにより、複数のトンネルが２点間で構築される。この図はまた、EPD7-100とSRV_AP7-300との間に、複数のトンネル7-CP80、7-CP82及び7-CP84を示す。各装置上の仮想インタフェースVIFO7-170及びVIF07-370の主な利点は、このアプローチによって、明確な構造属性とロジカルなパスとが可能であり、もって、より複雑なトンネル構築及びその後の複雑なルーティングが可能になることである。
【００３９】
タイミング及びフロー制御に関する他の特定の利点は、下記に続く図面に示される。
【００４０】
図８は、インターネットトラフィックのフローについて従来の実施形態を示す図である。図８では、インターネットを通るトラフィックは、ローカルエリアネットワーク（LAN）8-102に接続されたホスト（クライアント）オリジン8-101から、インターネットサービスプロバイダ（ISP）の存在点（POP）8-103へ、そして、インターネット8-301、インターネットデータセンタ（IDC）8-203のPOP8-204、負荷分散装置8-202へ流れる。負荷分散装置8-202はホスト（サーバ）ターゲット8-201へトラフィックをルーティングする。
【００４１】
クライアント及びサーバの両方は、ルートについてほぼ制御を行うことができない。このルートは、それらのトラフィックがインターネット及びそれらの間の他のネットワークを介して通るものである。
【００４２】
図９は、本開示の実施形態による、２つのゲートウェイ装置（GWD）間で確立されるトンネルを示す図である。図９において、GWDA1及びGWDB1のそれぞれは、それらの内部ネットワークの端EDGE-1及びEDGE-2とオープンインターネットとの間に配置される。TUNは２つのローカルエリアねっトーク（LAN）を、より広いワイドエリアネットワーク（WAN）へ接続する。GWDA1は、インターネットサービスプロバイダISP-1から接続を受ける。GWDB1はISP-3から接続を受ける。キーポイントは、TUNは安全性及び他の利益を提供する一方で、潜在的で否定的な問題も存在することである。その理由は、ISP-3に向けられたISP-1からのトラフィックは、ISP-2のネットワークを経由しなければならないからである。
【００４３】
飽和による遅延、パケット損失又は他の問題は、ピアリングポイントPP-01及び／又はPP-02にて、又はISP-2のネットワーク内部にて、生じ得る。GWDA1とGWDB1とは、どちらもISP-2のクライアントではない。したがって、それらは、それらに対応するISP（ISP-1又はISP-3）に要求することで、ISP-2に到達する必要がある。
【００４４】
他の注目すべきことは、インターネットパスはTUN内で多くのホップ（例えば外部ホップ（EH）EH1からEH17まで）を有する一方で、トンネルのエンドポイントの各々では１つだけホップが存在することである。トンネルは、オープンインターネットのオーバーザトップ（OTT）の、暗号化されたパスである。
【００４５】
図１０は、本開示の実施形態による、EPD10-100とSRV_CNTRL10-200とSRV_AP10-300との間の通信を示す図である。この通信は、パスAPI-10A1-10A2とAPI-10A3-10A2とAPI-10A1-10A3とを介した、GVNのニュートラルなAPIメカニズム（NAPIM）を介する。
【００４６】
トンネルTUN10-1、TUN10-2及びTUN10-3がEPD10-100とSRVAP10-300との間で確立されるために、また、EPD10-100から他のSRV_APサーバまでのトンネル（例えばTUN10-4）や、TUN10-5を介して他のEPDからSRV_AP10-300までのトンネルが確立されるために、ピアペア間の各装置は、トンネル毎に特定の情報を要求する。
【００４７】
NAPIMメカニズムは、ピアペアの両側について、関連する資格証明書、座標及び他の情報を格納し、トンネルマネージャ2110及び2310を介して新たなトンネルを確立するときにそれらを用いる。SRV_CNTRL10-300上のサーバ可用性メカニズム2222は、様々なトンネルの性能を評価する。当該トンネルは、トンネルテスタ2221によってEPD側でテストされ、トンネルテスタ2312によってSRV_AP側でテストされる。テストからの情報は、SRV_CNTRL10-200上の接続性アナライザ2288へ中継される。テスト結果は、割り当てられたIPアドレス及びポートの組合せ、使用されるポート、過去に使用された組合せからの結果、ポートスペクトルテストからの結果、及び、他の関連情報を含む。
【００４８】
サーバ可用性リストはEPD10-100へ、IPアドレスとポートとのリストを提示する。このリストは、トンネルマネージャによって使用され、新たなトンネルを確立する。リスト上に記載されたSRV_AP10-300及び他のSRV_APサーバは、EPD10-100によってなされる接続試行のリスニングにつき通知を受ける。
【００４９】
サーバ可用性は、確立すべきトンネルに対し予期される最善の性能に基づいて、SRV_APのIPアドレスとポートとの組合せリストを優先させる。一方サーバ可用性はまた、利用可能なSRV_APサーバの現状の負荷を監視し、他のEPDに与えられる割り当てリストや他の利用可能な情報を分散させる。
【００５０】
図１１は、本開示の実施形態による、ピアペアにおける２つのピアによって要求される情報のフローを示す図である。ピアは、クライアント（C）及びサーバ（S）のいずれであってもよいし、P-2-Pトポロジにおける他のピアに対するピアであってよい。この例示的実施形態内の符号及び記述を簡素化する目的で、CtoS及びP-2-Pは、２つのピアの関係に対する同一タイプを示す。ここでは、CtoSが記載される。GVNは主に、装置間でCtoS関係を使用する。しかし、その方法及び技術は、トンネル確立のためにP-2-Pのピアペアに適用可能である。
【００５１】
暗号化トンネルはその性質上、安全な通信パスである。これを通ってデータが流れ得る。クライアント及びサーバは距離的に離れる。それらの間の通信は、オープンで暗号化されていないインターネット上でなされる。暗号化されたトンネルは理想的なチャネルであり、これを通してデータを安全に交換する。人間であるネットワーク管理者が各端にいれば、彼らは装置をプログラムすることができる。しかし、セキュリティ情報（例えばパスフレーズ、キー及び他の情報）をどのように中継するかについては、困難が存在する。音声通話を用いて協働する者もいれば、セキュアなウェブサイトを通して一連のポスティングを行って情報又は他の方法を共有する者もいる。単一のトンネルを手動で設定することには課題がある。複数のトンネルを管理することは面倒である。
【００５２】
ピアペアにおける２つの装置間で一連の暗号化トンネルを自動的に確立するためには、情報を安全に共有することが要求される。トンネル情報はまた、最新のものであり且つ装置上に安全に格納される必要がある。構築処理中に、対処しなくてはならない脅威が更に存在する。トンネル動作中には、対処すべき他の脅威が存在する。
【００５３】
SRV_CNTRL11D00は中央サーバであり、リポジトリを含む。当該リポジトリは、データベーステーブル内の情報、セキュアファイル格納システム内に格納されるファイル、メモリ内のリスト、及び他の関連情報を管理する。SRV_CNTRLはまた、アルゴリズム及びメカニズムを有し、特定のデータを評価し、情報レポートを生成する。
【００５４】
クライアント装置11D01は装置を示し、特定のIPアドレス及びポートを介してサーバ装置へ接続を「ダイヤル」することによって、トンネルの確立を開始する。GVNに同時に接続される多くのクライアント装置11D01が存在し得る。それらは類似のソフトウェア及び構成を有し、また、クライアント同士を識別する要素（一意の装置アイデンティティ、UUID、及びトンネル毎又はクライアント毎の一意の情報）をも有する。
【００５５】
サーバ装置11D02は装置を示す。当該装置は、特定のIPアドレス及びポート上のクライアント接続試行をリスニングする。もしクライアントが正しいプロトコル及び構築シーケンスに従い、正しい資格証明書及び他のセキュリティ情報を提示すれば、サーバはクライアントに対し、サーバに対するトンネルを確立することを許可する。GVNに同時に接続される多くのサーバ装置11D02が存在し得る。それらは類似のソフトウェア及び構成を有し、また、互いを識別する要素（一意の装置アイデンティティ、UUID、及び他の一意の情報）をも有する。
【００５６】
トンネル情報11S2は、クライアント装置11D01及びサーバ装置11D02上に格納される情報を示す。各装置は複数のトンネルを確立する。各トンネルは、トンネル情報とセキュリティ情報とのセットを自身で有する。いくつかのトンネル情報のセットが、現在アクティブなトンネルの確立のために使用可能である。他のトンネル情報セットは、将来のトンネルのために保存されてよい。
【００５７】
特定の情報（例えばパスフレーズ）はCとSとの間で同等である。当該情報は一方から他方に提示される。他の情報は、適応性に応じて異なる。２ポイント間でトンネルを確立するための要件は次のものを含んでよい。すなわち、クライアント／サーバトポロジ及び設定、トンネルによって使用される各エンドポイントのIP及びポート、トンネルメトリック（MTUサイズ、プロトコル、及び動作のための他の情報を含む）、キー、パスフレーズ、トンネルに使用されるセキュリティ保護についての他の情報、SSL資格証明書、トンネル動作前の情報交換を保護するための他の情報、及び、他の情報である。情報は、GVNにおいてニュートラルなAPIの特定のAPIアクションコールを用いて、装置間で共有される。
【００５８】
トンネル前処理11S0は、トンネル11S0が装置11D01及び11D02と、SRV_CNTRL上のリポジトリ11D00との間で情報を受信及び共有し、装置11D01及び11D02へ戻るプロセスを記述する。API通信パスAPI-CPO、API-CP2、API-CP4及びAPI-CP6は、リクエスト−レスポンス情報交換を示す。矢印は一方の装置から他方の装置への情報の流れの方向を示す。
【００５９】
サーバ11D02は、情報を、パスAPI-CP0を介してSRV_CNTRL11D00装置の情報受信C-0モジュールへ報告する。SRV_CNTRL11D00は、サーバから情報を受信すると共に、関連するアイデンティティ、トンネル、現在の負荷、及び他の情報をそのリポジトリに格納する。例えばSRV_CNTRL11D00上のアルゴリズム及びAIロジックは、サーバ負荷を分析する。クライアント11D01からの、最新の且つ予想される要求に基づいて、サーバ可用性C-1マトリックスが更新される。サーバ可用性C-1情報は、GVNのAPによって、クライアント11D01へ、情報共有C-6モジュールとAPIコールパスAPI-CP6とを介して、データベース複製によって伝達可能である。この伝達は、GVNを介した直接ファイル共有又は他の方法によってなされる。
【００６０】
クライアント11D01は情報を、パスAPI-CP2を介してSRV_CNTRL11D00装置の情報受信C-0モジュールへ報告する。この情報は、SRV_CNTRL11D00のリポジトリ内に格納される。クライアント11D01からの特定のトンネル情報は、パスAPI-CP4を介してサーバ11D02へと、情報共有C-6モジュールによって共有される。
【００６１】
SRV_CNTRL11D00は、サーバごとにクライアント11C-4の最新リストをコンパイルする。当該リストは、サーバ11D02に対し、パスAPI-CP4と情報共有C-6とを介して発行される。
【００６２】
もしクライアント11D01又はサーバ11D02のどちらかが、最新トンネル情報を用いてトンネル構築中に問題を検出すると、一方又は他の装置は、それぞれAPI-CP2又はAPI-CPOを介して、トンネル情報の新たなセットをSRV_CNTRLが生成するよう要求する。新たなトンネル情報セットは、ピアペアにおける稜堡のピアへ、情報共有C-6を介して共有される。クライアント11D01の情報はAPI-CP4を介して送信される。サーバD02の情報はAPI-CP6を介して送信される。
【００６３】
クライアントC-4のリストとサーバ11D02の最新状態とは、サーバ可用性C-2に対し直接の影響をもたらす。
【００６４】
各サーバ11D02は、クライアントC-4のリストを編成し、安全にし及び調整する必要がある。クライアントC-4は、サーバ11D02の共有ソースへ新たなトンネルを確立するよう試みる。この情報は流動的であり、SRV_CNTRL11D00に対しセキュアなAPIコールを介して定期的に更新される必要がある。
【００６５】
装置間で情報を安全に調和させる必要があることは、それらの間のトンネルの整合性を保護するために本質的なものである。
【００６６】
トンネル確立段階（S4）は、情報共有C-6を介したトンネル構築プロセスを記述するものである。トンネルを確立するためにクライアントとサーバとの間でなされるステップについては、図１１を参照されたい。パスTP0は、クライアント11D01と情報交換C-10との間のパスであって、情報交換C-10からパス11TP2を介してサーバ11D02までのパスを示す。
【００６７】
構築中脅威C-8は、トンネル構築中の情報交換C-10に対する脅威を示す。もしトンネルタイプのシグネチャが可視的であれば、トンネル構築C-8中に脅威が存在する。当該脅威は例えば、無権限の中間動作主体からの偽のトランスポート層セキュリティ（TLS）ハンドシェーク、ハンドシェーク上のTLSエラー、ポート及びIP識別のブロック又は遮断、フィルタリング装置に起因するタイムアウト、又は、中間のISP、ファイアウォール若しくは装置によるリセットパケットの送信等）である。
【００６８】
もし情報交換C-10が成功すれば、トンネル確立C-12ステップが実行され、ルートが適用される。他の関連アクションは、トンネルTUNが、クライアント11D01とサーバ11D02との間で安全に確立されることを可能にする。
【００６９】
トンネル動作S6は、トラフィックがトンネルを通って、通常状態で流れるときを記述する。装置間で情報を伝達することが必要である。SRV_CNTRL11D00上では、様々なクライアント11D01及びサーバ11D2装置について一意の情報を管理する必要がある。それらの間で確立される複数のトンネルについても同様である。
【００７０】
装置間での情報交換は、定期的に生じる必要がある。というのも、新たな動的トンネルを生成する必要が繰り返し生じるからである。IPアドレス上のいくつかのポートはブロックされることがあり、又は、ブロックされるようになることがある。そのIPアドレスについてポートを単純に変更することによって、トンネル確立やデータフローが可能になる。更に各トンネルは、トンネル間の衝突を避けるために、IPアドレス毎に１以上の一意のポートを必要とする。クライアント11D01装置が新たなトンネル情報の作成を要求すると、ランダムなポート番号が生成され、ターゲットサーバ11D02上のその特定のIPアドレスについてのポート可用性が、２以上の要素について確認される。当該要素は、ポートが既存のトンネルによって既に使用されている場合（動作中か、動作前のスタンバイ状態か）や、そのポートが過去にピアペアにおける特定のクライアント11D01／サーバ11D02によって使用されたことがある場合や、そのポートがブロックされた場合を含む。いずれの場合でも、新たなランダム番号が生成される。IPアドレス毎に65536個のポートが利用可能である。特定の番号が特定のサービスのために記憶される。例えば最低の5500個の場合、60036個のポートが利用可能である。これらは、ランダム番号生成器によって最低5001個且つ最大65536個が使用される。そのピアペアに対しトンネルが除去されポートがブロックされたものとして記録されると、それは他のピアペアにとって利用可能である。このようにポートを解放することは、ポートの枯渇を避けるために必要である。したがって、IP及びポートの組合せをSRV_CNTRL11D00によって追跡することが必要である。
【００７１】
トンネルは、複数ステップにわたる自身の構築を支援するが、制限もある。セキュアでありつつも、ほとんどのトンネルは構築中、可視的である。それがどのような類のトンネルであるかのハンドシェーク及びシグネチャは、動作中に可視的である。手動で設定されたキーは扱いにくく、頻繁には変更されない。もし長期に使用されれば、それらが破壊されるリスクは増大する。したがって、キーは頻繁に新たなキーに再設定されるべきである。
【００７２】
自動システムは、情報（例えば新たなキー、IPアドレスに対するポート、及び他の情報）が作成され、この情報がピアペアの両側にとって利用可能であることを確実にして、トンネルを確立又は再確立可能にする必要がある。両側は、トンネルを確立可能なように構成及び準備される必要がある。したがって、ピアペア間で情報を交換することは安全である必要がある。さもなければトンネル自体のセキュリティの整合性は妥協されてしまう。
【００７３】
トンネルが動作しトラフィックをプッシュするとき、動作上の脅威C-14が存在する。トンネルシグネチャは可視的であってよい（例えばトンネルが傍受可能であり不明瞭でない場合）。トンネルタイプが検出可能であれば、トンネル構造は既知である。このことは、パケットストリームが取得され、力ずくのキー破壊が使用されてトンネルのコンテンツが復号化される危険を招く。あるいは、リセットコード又は他のトンネル制御コードが既知の場合、リセット信号がトンネルを破壊し得る。したがって、ピアペアにおけるクライアント11D01とサーバ11D02装置との間のトンネルセキュリティ及び整合性を維持するためには、情報を更新し共有することを自動化し安全にする必要がある。
【００７４】
GVN構造によって、装置は、最新の情報に基づいて、ピアペア間で自動的にセキュアトンネルを構築することが可能である。セキュリティ特性及び方法の組合せは、自己強化的な保護を提供する。
【００７５】
図１２は、本開示の実施形態による、トンネル確立プロセスを示す図である。図１２に示す例は、トンネル確立及び管理プロセスにおける、マネージャ、プロセス、データベース（Db）、記憶装置（HFS）、パス及び、３つの関連主体間で通信するための他の特徴を示す。
【００７６】
この例では、単一のトンネルTUN012-CP80が、エンドポイント装置（EPD）12-100とアクセスポイントサーバ（SRV_AP）12-300との間絵確立される。トンネルは、EPD12-100上のトンネルマネージャ（ビルダ）12-D110によって起動される。それは、IPアドレス上の特定のポイントを「ダイヤル」する。当該ポイントは、SRV_AP12-300上のトンネルマネージャ（リスナ）12-D310によってリスニングされる。
【００７７】
ビルダとリスナとの間での３つの主なステップは、ハンドシェイク（12-S1）、情報交換（12-S2）及びトンネル確立プロセス（12-S3）である。
【００７８】
例えば12-CP02として記載される他の通信パスがまた存在する。これは、直接SSH又は同等タイプの直接の装置間通信であってよい。
【００７９】
EPD12-100と中央制御サーバ（SRV_CNTRL）12-200との間のAPIパス12-PA1や、SRV_AP12-300とSRV_CNTRL12-300との間の他のAPIパス12-PA2は、情報を安全に共有するために使用される。当該情報は、トンネル、ピアであるEPD12-100とSRV_AP300とについての情報や、SRV_CNTRL12-300を介する他の関連情報である。
【００８０】
各装置内では、トンネルマネージャは、他のモジュール及びマネージャ（例えば装置マネージャ12-D120及び12-D320）、又はその他と協働する。
【００８１】
EPD12-100とSRV_AP300との間のパス12-TP01から12-TP02は、情報交換のための他の専用トンネルを示す。加えて、データトラフィックのためのTUN012-CP80が示される。
【００８２】
図１３は、本開示の実施形態による、ポートをIPアドレスへ割り当ててトンネルを確立するのに用いられるロジックを図示するフローチャートである。フローは、使用するポート及びIPアドレスを選択するときに様々な要因を考慮に入れる。
【００８３】
最初のステップは、IPアドレス割り当てのためにポートに対するパラメータ13-010を集めることである。これは、特定の装置によって使用される所望のポート及びIPアドレスが、装置ID又は他の要素によって特定されたか否かを確認することで行われる。パラメータはまた、ポート番号や、より管理上の設定値について、最低値及び最高値を決定する。
【００８４】
「ロジックゲートIP＋ポートは特定された？（13-020）」で示されるステップは、特定のポートが、装置IPによってサーバ装置の特定のIPアドレスに対応付けられるリクエストがあったか否かを確認する。
【００８５】
もしポート及びIPアドレスが特定されれば、それらの使用可能性は承諾され、ロジックはYes（13-P022）のパスをたどる。もし優先的なポート及びIPが特定されなければ、ロジックはパス13-P030をたどり、ランダム番号生成器13-030へと向かう。そこでは、ランダムポートが範囲内で生成される。
【００８６】
ステップ13-050でルックアップが実行され、そのポート−IPアドレスマッピングに対する現在及び過去の使用が確認され（Dbレジストリ13-B100までのパス13-B102を介する）、ポートが解放されているか、現状使用されているかが確認される。２回目の確認は、過去の使用を見て、そのポートとIPとの組合せが過去にその装置又は他の装置によって使用されたことを示すか否かを確認することによって行われる。もしそうであれば、その使用は比較的問題を有する。装置におけるフィルタリング若しくは混雑又は他の理由によって不安定な又は信頼できないいくつかのポートは、問題を有するものとして記録される。もし他の装置について、問題のあるポートをブロックする傾向があれば、そのポートとIPアドレスとの組合せは利用不可なものとして記録される。
【００８７】
ステップ13-060にて、もしポートが利用可能でなければ、接続点13-012を介して、ポート−IPアドレスマッピングを生成するプロセスが再開する。
【００８８】
もしポートが利用可能であれば、ステップ13-100にて、IPアドレスに対しポートが、使用のために割り当てられる。この割り当ては、パス13-B112を介してDbレジストリ13-B100に格納される。次に、APIコール13-120を介してポートからIPアドレスへの割り当てが発行される。このため、関連装置は、ポートの利用可能性の状態を認識する。最後のステップは、ポートからIPアドレスへの割り当て13-130をロギングする。このロギングには、使用されるロジックと、将来のポート割り当ての効率を向上することを支援する他の要因とが含まれる。
【００８９】
図１４は、本開示の実施形態による、サーバ可用性リストの重要性と、どのようにIPアドレス及び範囲が様々な装置に対して割り当てられるかを示す図である。IPv6は、可能なIPアドレスの広い範囲を提供する。一方、標準IPv4では、パブリックIPアドレス及びプライベートIPアドレスの両方につき量は有限である。これは、EPDがどのSRV_APに接続可能かに対し影響を与える。
【００９０】
この図では、EPD14-100は、SRV_AP14-300、14-302及び14-306へトンネルを確立する。EPD14-102は、SRV_AP14-300、14-304及び14-308へトンネルを確立する。
【００９１】
この例は、どのように内部IP範囲10.10.191.0から10.10.191.255までが、２つのSRV_AP14-302及び14-304に使用可能かを示し、IP範囲10.10.192.0から10.10.192.255までがSRV_AP14-306及び14-308の両方に使用可能かを示す。
【００９２】
したがって、例えば10.10.191.18はEPD14-100によって、SRV_AP14-302へのトンネルを確立するために使用可能である。同時に10.10.191.18はまた、EPD14-102によって、SRV_AP14-304に接続するために使用可能である。
【００９３】
EPD14-100及びEPD14-102は、互いに直接作用して衝突を防ぐ必要がない。その理由は、TUNマネージャと協働して各EPDについて発行されるサーバ可用性リストは、EPDにつき、IPアドレス（内部及び外部）の組合せを割り当て、何らの衝突無くSRV_APに接続するからである。
【００９４】
図１５は、本開示の実施形態による、LANからEPD、SRV_AP、SRV_AP、EPD及びLANへのGVNトンネルの要素（ISPとネットワーク端との間のピアリングポイントを含む）を示す図である。これは、２つのSRV_APを介する、２つのLAN端の間のエンドツーエンドのGVNトンネルを示す。これは更に、EH-3とEH-15との間のインターネットの特定の部分にわたってトラフィックを伝送する、異なるインターネットサービスプロバイダ（ISP）についての更に情報を示す。
【００９５】
EDGE-1は、LAN-1の装置とISP-1のPOPとの間のネットワークアクセス接続についての境界点である。PP-01は、ISP-1及びISP-2ネットワークの間の、ピアリングが生じるポイントである。PP-02は、ISP-2及びISP-3ネットワークの間の、ピアリングが生じるポイントである。EDGE-2は、LAN-2の装置とISP-3のPOPとの間のネットワークアクセス接続についての境界点である。
【００９６】
いくつかの利点は、SRV_AP-1をPP-1に配置することによって実現可能である。これにより、このSRV_APはISP-1及びISP-2の両方と直接ピアリングすることができる。いくつかの利点は、SRV_AP-2をPP-2に配置することによって実現可能である。これにより、このSRV_APはISP-2及びISP-3の両方と直接ピアリングすることができる。もしISP-2のネットワークが理想的でなければ、他のルート、ライン、ISP又はキャリアを通して、トラフィックをGVNによってISP-2の周囲に代替的にルーティングすることが可能である。
【００９７】
GVNのニュートラルな第３の層におけるホップカウントは８である。ISP間の距離は、正しい縮尺ではない。更に、ISPのネットワーク内にはそれより多いホップが存在してよい。しかし簡素化の目的で、限られた量だけが示される。
【００９８】
図１６は、本開示の実施形態による、クラウドにおいて個人的なエンドポイント装置を支援する複数周縁ファイアウォール（MPFW）を示す図である。この図は、可動的な位置からGVNに接続するポータブル装置を示す。境界16-M1は、パーソナルエリアネットワーク（PAN）16-010とGVNとの間の端である。
【００９９】
この図は、パーソナルエンドポイント装置（PEPD）16-130のトポロジを示す。ここでは、いくつかの接続や、クラウドに分散された他の機能が示される。この図は更に、クラウドに分散されたファイアウォールの動作を開示する。また、ローカル装置（例えばパーソナルエンドポイント装置（PEPD）16-130）に代わってクラウドで実行される他の動作も開示される。PEPD16-130は比較的強力ではなく、エンドポイント装置（EPD）よりもポータブルである。このときそれは、GVNによって提供されるパーソナルエリアネットワーク接続（アドバンストスマートルーティング（ASR）、複数周縁ファイアウォール等を含む）を利用する。
【０１００】
図示されるキーポイントとしては、パーソナル装置は、電力を処理する必要性を、クラウドへと広げる。PEPD上のモジュールは、プロセッサCPU106、メモリRAM108及びネットワークインタフェースNIC102といったハードウェアコンポーネントを含む。オペレーティングシステムは、ミニマルなO／S110であり、システムソフトウェアシステムSW112と、接続モジュール172とのプラットフォームを提供する。この基礎的な構成は、PEPD16-130が、それ自身とアクセスポイントサーバSRV_AP16-300との間にトンネルを確立することを可能にするのに十分である。
【０１０１】
SRV_AP16-300におけるコンポーネント部分は、プロセッサCPU306、メモリRAM308及びネットワークインタフェースNIC302といったハードウェアコンポーネントを含む。オペレーティングシステムO／S310は、O／S110よりも、大規模にインストールされたものである。O／S310は、SRV_AP16-300のために、システムソフトウェアシステムSW312と接続モジュール372のためのプラットフォームを提供する。アドバンストスマートルーティング（ASR）モジュール350及び他のモジュール370は、SRV_AP16-300と、接続されたPEPD-16-130との両方に対して機能を提供する。
【０１０２】
PEPD16-130は、動作するトンネル16-TUN2に依存してよく、トラフィックを伝送して、クラウド上のASR、FW及び他の動作機能を実現可能である。
【０１０３】
図１７は、本開示の実施形態による、様々なGVN装置のデータベース上のテーブルが互いにどのように関連するか、及びそれらが相互作用する方法を示す図である。例えばSRV_CNTRL上のリポジトリデータベースDB2300は、自身で様々なテーブルを有する。当該テーブルは、装置と、ニュートラルなAPIメカニズム（NAPIM）を介した複数装置間のインタラクションとに関する。テーブル（例えばデータベースDB2300内の装置レジストリDBT2310）は、REPO  ACTIVEとして設計される。これは、当該テーブルが多くのソースから情報を受信すること、読み書き可能であること、及び、テーブル（例えば、データベースEPDのローカルDbDB2100の一部としての装置アイデンティティFBT2102）への選択的又は完全複製のための情報ソースとしてクエリされることが可能であることを意味する。このテーブルDBT2101は記号SELREP+Wを有する。これは、DBT2310からの選択的複製を可能にし、また、それが、装置レジストリへ関連アイデンティティを報告することを可能にする。
【０１０４】
情報の制御及びリリースは、データマネージャによって管理される。データベーステーブルのタイプの指示子は、通常の読み書きテーブルについての「REGULAR」、読み取り専用の複製テーブルについての「REP  INFO」、読み取り専用の、部分的に複製されるテーブル（関連行のみ）についての「SEL  REP」、装置レジストリDBT2310のためのリポジトリ上の全てのソース（例えばアイデンティティ）から組み合わされたテーブルについての「REPOS  ACTIVE」を含む。他の可能性としては、SRVLOGS上のデータベースDB2800上で組み合わされるソーステーブルからの「LOGGING」を含む。これらのテーブル指示子は、例示的なものに過ぎず、現実世界で使用されるときには異なってよい。使用に応じて、より多くのテーブルや他のタイプのものが存在してよい。
【０１０５】
図１８は、本開示の実施形態による、グローバル仮想ネットワーク（「GVN」）によって使用され可能にされる技術のブロック図である。この図は、GVNコア要素G0、GVNモジュールG100及びグローバル仮想ネットワークGVNによって可能となる技術G200を含む。GVNコアは、メカニズムG1と、その構成コンポーネント部分であるトポロジG2、構成G3、ロジックG4及び制御G5のレイヤとの概略を含む。GVNコアG0はまた、GVN要素G6に対する関係を有する。
【０１０６】
GVNは、プラグイン及び／又はスタンドアロンのGVNモジュールG100を含むことができる。GVNモジュールG100は、ニュートラルなAPIメカニズム（「NAPIM」）G102（PCT国際出願PCT/US16/12178号に記載され、参照によってここに全体を取り込む）、地理的宛先（「Geo-D」）G104（PCT国際出願PCT/US15/64242号に記載され、参照によってここに全体を取り込む）、アドバンストスマートルーティング（「ASR」）G106、接続G108、及び他のモジュールG110（米国仮特許出願US62/151,174号に記載され、参照によってここに全体を取り込む）を含むが、これらに限られない。
【０１０７】
GVNはまた、プラットフォームを提供し、他の技術を可能にする。当該技術は、ネットワークタペストリG202、MPFWMG204、ネットワークスリングショットG206、ネットワークビーコンG208、ティックのグラニュラリティG210及び他の技術G212を含むがこれに限られない。これらは、米国仮特許出願第62/174,394号と、米国仮特許出願第62/266,060号に記載され、参照によってここに全体を取り込む。
【０１０８】
GVNによって可能になるGVNモジュール（G100）及び技術（G200）は、既存のGVNの上位で、GVNの一部のコンポーネントとして動作可能であり、又は、独立してGVNの全ての又はいくつかの隔離された部分を用いて自身のスタンドアロン動作を支援可能である。
【０１０９】
図１９は、本開示の実施形態による、協働して地理的宛先サービスをクライアントへ提供し、リモートな位置にあるサーバからの検索、転送及びサービス提供を最適化する３つの装置を示す図である。
【０１１０】
その装置とは、エンドポイント装置（EPD）19-100、アクセスポイントサーバ（SRV_AP）19-300、及び、支援キャパシティにおける、中央制御サーバ（SRV_CNTRL）19-200である。
【０１１１】
コンテンツデリバリエージェント（CDA）19-D120は、EPD19-100上で動作する。コンテンツプルエージェントは、SRGV_AP19-300上で動作する。
【０１１２】
CDA19-D120は、EPD19-100上のアドバンストスマートルーティング（ASR）モジュール19-D102と協働すると共に、キャッシュマネージャ19-D130とも協働する。
【０１１３】
CPA19-D320は、URLルックアップ及びDNSキャッシュマネージャ19-D310と通信し、命令を直接提供し、リモートフェッチャーボット（RFBOT）19-D328から情報を受信する。CPA19-D320はまた、SRV_AP19-300上のキャッシュマネージャ19-D330と共に、そのアクションを調整する。
【０１１４】
CPA19-D320は、CDA19-D120から命令を受信し、コンテンツサーバに連絡し、ターゲットサーバからコンテンツを検索する。
【０１１５】
図２０は、本開示の実施形態による、図１９に記載される３つの装置の動作を示す図である。当該３つの装置は、地理的宛先メカニズムを構成し、エンドポイント装置（EPD）20-100、アクセスポイントサーバ（SRV_AP）20-300、及び中央制御サーバ（SRV_CNTRL）20-200を含む。
【０１１６】
コンテンツプルエージェント（CPA）20-D320は、コンテンツデリバリエージェント（CDA）20-D120から命令を受信する。当該命令とは、EPD20-100に接続されたクライアント20-800が、地理的宛先フェッチング及びコンテンツサーバ20-600からのコンテンツの検索を要求することである。コンテンツサーバ20-600は、SRV_AP20-300が存在する地域に位置する。
【０１１７】
CPA20-D320は、CDA20-D120から命令を受信し、URLからコンテンツをフェッチする。CPA20-D320はこの情報をリモートフェッチャーボット（RFBOT）20-D328へ渡して、URLのルックアップを実行し、そのDNS情報が20-D310にてローカルにキャッシュされているか否かを確認する。もしそれがキャッシュされておりその情報が古くなければ、キャッシュされた情報が使用される。もし情報がキャッシュに存在しなければ、又は古ければ、DNSサーバ20-604に対して新たなルックアップが実行される。結果が返され、20-D310に格納される。RFBOT20-D328はCPA20-D320に対し、それがDNS情報を無事に取得したことを通知する。CPA20-D320は、RFBOT20-D328に対し、コンテンツサーバ20-600に連絡するように命令する。RFBOT20-D328は、そのサーバからコンテンツファイルをフェッチする。RFBOT20-D328はパースのためにコンテンツをCPA20-D320へ渡し、フェッチされたコンテンツに埋め込まれたコンテンツリンクを更に確認する。CPA20-D320は次いで、URLルックアップ及びキャッシュマネージャ20-D310と協働すると共に、RFBOT20-D328と協働し、サーバのネットワーク座標についての情報をフェッチする。当該座標に他のコンテンツが存在する。例えばアセットサーバ20-602は、画像、CSS、JavaScript、及び他の関連アセットファイルをホストしてよい。ストリーミングファイルはストリーミング特定サーバ20-606から提供される。ファイルは、ファイルサーバ20-610から提供される。第三者からの、包含されたコンテンツは、サーバ20-608から利用可能である。
【０１１８】
図２１は、地理的宛先メカニズムの動作を引き続き開示する例示的実施形態を示し、更に、様々なタイプのサーバから一連のファイルを検索すること、検索されたファイルを集合させること、及び、アクセスポイントサーバ（SRV_AP）21-200からエンドポイント装置（EPD）21-100へとその後送信することを説明する図である。
【０１１９】
コンテンツファイルがRFBOT21-D328によって無事に検索されると、それらはキャッシュマネージャ21-D330へ渡される。各ファイルについての情報、及び検索された全てのファイルのマニフェスト（管理表）は、コンテンツプルエージェント（CPA）21-D320によって分析される。この情報は、キャッシュマネージャ21-D330へ伝達され、また、EPD21-100上のキャッシュマネージャ21D130へ伝達される。
【０１２０】
コンテンツファイル情報の管理表は更に、EPD21-100上のコンテンツデリバリエージェント（CDA）21-D120へ共有される。CDA21-120は、キャッシュマネージャ21-130と通信し、21700からのファイルの群を待機して受信する。当該群は分解され、21-100上のローカルホストから個別に、EPD21-100に接続され又は近いクライアントへ、提供される。
【０１２１】
多くの観点で、これはコンテンツデリバリネットワークの反対のように動作する。
【０１２２】
図２２は、コンテンツデリバリネットワーク（CDN）内でジオキャスティングがどのように動作するかの先行技術を示す図である。ここでは、１つの地域S22-00におけるサーバがコンテンツ（例えばストリーミング動画）を有し、他の地域（例えばC22-20、C22-22及び／又はC22-24等）に位置するクライアントが当該コンテンツの検索を希望する。ここでは帯域幅及びレイテンシ問題が存在し、ある地域に位置するS22-00から他の地域に位置するクライアントへと長距離に渡って情報を伝達ことを妨げる。
【０１２３】
否定的な影響を低減するために、S22-00の所有者は、ジオキャスティングサーバ（GS）（GS22-10）を設定し、S22-00からのコンテンツをバッファに入れ、又は、S22-00からのライブストリームのためのストリーミングリフレクタとして動作可能である。これによりコンテンツは、GS22-10によって、クライアントC22-20、C22-22及び／又はC22-24へと効率的に提供される。
【０１２４】
図２３は、ティックサイクル期間の分析及び解釈を示す図である。人工知能は、将来の計算を支援し、システムリソース及び他の要素を考慮し、処理すべきアイテムの量に基づいて、ティックの処理時間及び処理後時間がどれほどの長さかを見積もる。
【０１２５】
期間毎に算出されたメトリック（当期のデータ、並びに、短期及び長期の過去データ）は、様々な周期的な傾向に基づいて、標準偏差曲線上に描かれる。最小値、最大値、平均値及び他の分析値の表記は、現在の性能が期待に沿っているか、それより良いか、悪いか、あるいは先の期待とは異なっているか否かを示す。
【０１２６】
このデータ収集及びコンテキスト分析は、人工知能（AI）アルゴリズムが決定を行うことを支援する。
【０１２７】
当期13-T08は、短期13-T18及び長期13-T28の性能データと比較可能である。
【０１２８】
図２４は、本開示の実施形態による、非類似の様々なデータセットを比較するときに、２つの異なるデータセットの記述がどのように情報を提供するかを示す図である。
【０１２９】
キーポイントは、グループ１はデータセットA、B、C、D及びFを有し、グループ２はデータセットA、C、D及びEを有する一方で、直接的な比較からの情報（ここでは、セットA、C及びDが重複する）が、比較対象のセットの特徴のコントラスト又は補強証拠を提供可能であることである。
【０１３０】
セットBとセットEとの対比はまた、考慮すべき差異及び代替物に対する洞察を与えてよい。
【０１３１】
異なる時点で異なるデータセットを提示されるインテリジェントアルゴリズムは、グループ間で重複するセットを比較可能でなければならなず、また、一方のグループに存在するが他方のグループには存在しないセットをどのように分析し、これを結果に対し重み付けするかを考慮にいれることが可能でなければならない。
【０１３２】
図２５は、本開示の実施形態による、複数周縁ファイアウォールとGVN内の他のシステムとの統合を示す図である。情報攻撃は常に生じる。それらが国家、企業、ハッカー又は他の主体のいずれによるものであっても、それらの攻撃は容赦ない。その傾向を考慮すると、脅威は増している。本開示のトポロジを用いれば、活発な攻撃についての情報を統合する可能性が存在する。当該情報は、インターネット上の受動ファイアウォール又は他の中間監視装置によって検出され、セキュリティプロバイダ企業又は組織によって収集され、報告される。攻撃の種類が、侵入、フィッシング攻撃、知的財産の盗取、DDoS攻撃、又は他の既知若しくは未知の脅威のいずれであろうとも、キーポイントは、ネットワークを保護することである。
【０１３３】
図２５は、様々な装置間でのリクエスト／レスポンス（REQ／RESP）APIループを示す。これらの情報ループは情報を共有可能である。当該情報は、クラウドファイアウォール（例えばCFW-DPI25-142LB又はCFW-SPI25-144LB）が、それを通って流れるトラフィックについて学習する情報である。当該情報は、SRV_CNTRL25-200へ報告される。情報ループは、SRV_CNTRL25-200からクラウドファイアウォール（例えばCFW-DPI25-142LB又はCFW-SPI25-144LB）へ情報を渡すことで、他の位置における攻撃についての情報を共有可能である。更に、SRV_CNTRL25-200上のデータベースDb25-B200に格納される情報はまた、発見的パターン、既知の脅威のシグネチャ、共有されるフィードを監視するグローバルインターネットからの情報、を含む。人間である管理者にとっての可視性はまた、クライアント25-108上のグラフィックユーザインタフェース（GUI）にて、パス25-GUI-AJAXを介して、EPD25-100上でホストされたインスタンスから利用可能である。
【０１３４】
この情報交換トポロジの柔軟性はまた、性能の監視、クラウド上のファイアウォールリソースに対するスケーラブルな使用、システム管理及び他の目的を可能にする。
【０１３５】
エンドポイント装置（EPD）25-100又は中央制御サーバ（SRV_CNTRL）25-200上でホストされたグラフィックユーザインタフェース（GUI）は、ファイアウォール動作についての情報を提供し、ユーザが使用するポイント・クリック制御面を提供可能である。
【０１３６】
図２６は、本開示の実施形態による、２つのパスを示す図である。パスの１つはオープンインターネットを通るパスである。もう１つは、オープンインターネットセグメントと、ベースインターネットのオーバーザトップ（OTT）でのグローバル仮想ネットワーク（GVN）セグメントとの組合せを通る、ネットワーク最適化されたトラフィックの組合せである。
【０１３７】
１つのパスは、ホップPO-1からPO-14まで、ローカルインターネット26-CPT140、地域間インターネット26-CPT340及びローカルインターネット26-CPT240を介した、オープンインターネットを通るパスである。
【０１３８】
他のパスはまた、ホップPO-1からPO-14までであるが、先のパスとは異なる。というのも、当該他のパスは、GVNのSRV_APへのトンネルOTTラストワンマイル26-CPT100から、GVNトンネルを介する長距離接続26-CPT300、そして、リモート地域におけるインターネットを介したEIPからターゲット、を進むからである。
【０１３９】
GVNトンネル26-CPT300を介する長距離接続についての、ネットワークセグメントの各ブロックについてメトリック（例えばAt=26-TZミリ秒の測定時間）は定量化可能な値を提供する。この値は、比較可能である。アルゴリズム分析は、例えば26-D00で開始するパス同士を比較可能である。インターネットQoS測定23-D10に関する一方の分析は、エンドツーエンドのオープンインターネットパスを見ることができる。他方の分析は、GVNQoS測定26-D20を見ることができる。比較及び対比の評価は、インターネット接続対GVN26-D30で実行される。
【０１４０】
もしオープンインターネットの方が良ければ（26-DP40）、そのパスが使用される。もしGVN最適化されたパスの方が良ければ（DP-DP50）、それが使用される。これは、図示目的の１つの実施形態に過ぎず、限定的なものではない。図２７は、本開示の実施形態による、バックボーン及び八角形ルーティングを有するハブアンドスポークのトポロジを用いたGVNを示す図である。
【０１４１】
図２７は、２つの異なる地域（27-RGN-A及び27-RGN-B）におけるGVNのネットワークトポロジを示し、それらの地域がパス27-POA及び27-POBを介してグローバル接続27-RGN-ALLへどのように接続されるかを示す。更に図２７は、２つの地域のそれぞれで、ハブアンドスポーク接続を示す。
【０１４２】
SRV_BBX27-280及びSRV_BBX27-282は、バックボーン交換サーバであり、グローバル接続を提供する。SRV_BBXは、地域におけるグローバルリンクとしての、１以上の負荷分散サーバであってよい。27-17-RGN-Aにおけるアクセスポイントサーバ（SRV_AP）27-302、27-304及び27-306は、SRV_BBX27-280へ接続する。中央制御サーバ（SRV_CNTRL）27-200は、その地域における全ての装置にサービスを提供する。中央制御サーバは、１以上の複数マスターSRV_CNTRLサーバであってよい。エンドポイント装置（EPD）27-100から27-110までは、１以上の複数同時トンネルを通って１以上の複数SRV_APサーバに接続する。
【０１４３】
この図はまた、各地域において、ハブアンドスポークモデルに対する追加スポークとして、複数の出入口ポイント（EIP）27-EIP420、27-EIP400、27-EIP430及び27-EIP410を示す。当該モデルは、オープンインターネットとの間の複数パスを有する。このトポロジは、リモート地域におけるEIPへのEPD接続を提供する。これは、GVNを通してルーティングされる。代替例として、このトポロジはまた、同一地域におけるEIPへのEPD接続、同一地域のEPDへの接続、又は、リモート地域のEPDへの接続を提供する。これらの接続は、GVNを通して安全に最適化される。
【０１４４】
図２８は、本開示の実施形態による、分散されたエンドポイント管理クラスタ（DEPAC）28-800を示す図である。当該クラスタは、グローバル仮想ネットワーク（GVN）28-000内又は他の類似トポロジ内で仮想的に構築可能である。
【０１４５】
装置間トラフィックは、暗号化トンネル内を伝達される。これらのトンネルは、複数装置を共に、ベースインターネットのオーバーザトップ（OTT）にある、より広いネットワークへ連結する。
【０１４６】
ここでは２つのタイプのエンドポイント装置が示される。すなわち、エンドポイント装置（EPD）（例えば28-120であり、この背後はローカルエリアネットワーク（LAN）がある）と、ポータブルエンドポイント装置（PEPD）（例えば28-150であり、この背後にはパーソナルエリアネットワーク（PAN）がある）。
【０１４７】
ここで示される他の装置は、アクセスポイントサーバ（SRV_AP）（例えば28-308）と、中央制御サーバ（SRV_CNTRL）28-200である。
【０１４８】
このトポロジは、トンネルを通るトラフィックに対するセキュリティと、装置のIPアドレスを隠すことによるセキュリティとの両方を提供する。というのも、そのトラフィックは、リモートな出入り口ポイント（EIP）を介してインターネットへと出るからである。
【０１４９】
GVNを28-100内のトラフィックに対する最善且つ最も効率のよいルーティングは、アドバンストスマートルーティング（ASR）メカニズムによって実行される。
【０１５０】
図２９は、本開示の実施形態による、一連のテストでの論理構築を示す図である。当該テストは、様々なポート及びIPアドレスをテストするインターネット上で実行される。これは、ポートの範囲を特定することを可能にし、データアレイ29-BT030を介して特定のIPアドレス上で実行する。
【０１５１】
カウンタは、テスト29-030を追跡する。各テストの結果はアレイ29-090内に保存される。これは次いで、ステップ29-800にて返されロギングされる。
【０１５２】
このアルゴリズムは、プロダクションのために割り当てられる利用可能なIP及びポートの一覧をテストするために使用され、また、同一のアクセスポイントサーバ（SRV_AP）に対するIP及びポートの性能をテスト及び分析し、それらを比較するために使用される。最新テスト結果に対する接続の性能ログを見て、基準線を確立し且つテスト結果が予想性能範囲内か否かを評価することは有用である。また、テスト中にネットワーク接続を監視して、テストが他の接続性能に影響しないようにすることも有用である。
【０１５３】
図３０は、本開示の実施形態による、グローバル仮想ネットワーク（GVN）内で動作する様々な装置間又は他の類似のトポロジ間で、接続トラフィック動作をロギングするメカニズムを示す図である。そのような装置は、エンドポイント装置（EPD）30-100と、アクセスポイントサーバ（SRV_AP）30-300及び30-320を含む。
【０１５４】
ネットワークインタフェース、仮想インタフェース及びトンネルインタフェース上のロギングのメータポイント（MPoL）は、各装置からの（アウトバウンドの）及び各装置への（インバウンドの）トラフィックの両方をロギングする。
【０１５５】
したがって、例えば、EPD30-100とSRV_AP30-300との間のトンネルTUN030-T00は、そのようなロギングポイントを４つ（すなわち、EPD30-100上の、MPoL(インバウンド)30-108及びMPoL(アウトバウンド)30-106と、SRV_AP30-300上の、MPoL(インバウンド)30-308とMPoL(アウトバウンド)30-306）有する。
【０１５６】
一方の装置上のアウトバウンドMPoLと、それが接続される他方の装置上のインバウンドMPoLとの間には直接の関係が存在する。
【０１５７】
したがって、例えばSRV_AP30-300上のアウトバウンドMPoL30-306は、EPD30-100へ送信されるトラフィックと、パス30-P108を通るインバウンドMPoL30-108への直接相互作用とを測定する。送信されるトラフィックの総計は、他端で受信されるトラフィック量と比較可能である。その量は互いに等しいはずである。受信された量が送信された量より少なければ、損失が存在する。消費ビリングメカニズム上の公平の観点から、もしトラフィックがEPD30-100上で開示されるなら、それはインバウンド30-108上で受信されるトラフィックに基づいているはずである。反対に、EPD30-100からSRV_AP30-300に到達するトラフィックは、SRV_AP30-300上のインバウンドMPoL30-308によって受信される量に基づいているはずである。
【０１５８】
もしインバウンドMPoL上で受信されたトラフィックが、それと対応するアウトバウンドMPoLから送信されたトラフィックよりも大きい場合が存在すれば、これは、エラーか、故障か、悪意の中間者によるデータ注入のいずれを意味する。
【０１５９】
帯域幅（BW）ビリングモデルと消費（CONS）ビリングモデルとの間の差異は、帯域幅モデル30-1008において、トラフィックは、ライン30-1002のBW伝送容量よりも小さい量に形成されてよいことである。反対に、消費ベースモデルでは、BWの形成はなく、最大の帯域幅30-1086は、実際、ライン30-1002で示される、評価されたBW伝送容量を超えてよい。
【０１６０】
BWモデル30-1008の利点は、支払いが行われたBWトンネルのMbps量まで、データトラフィックが無制限であることである。これについては、比較的コストが高い障壁がある。実際の使用は通常、特定の時間の間だけであり、他の時間では容量の浪費がある。
【０１６１】
CONSモデル30-1088の利点はトンネルのスロットルがないことである。その結果、容量は、ラインにおける、評価されたBW伝送容量に到達し又は超えることさえ可能である。このモデルは有利である。というのも、データは可能な限り速く転送され、従量課金ベースで請求される。また、転送されたギガバイトGBによって支払いが行われれば、消費者にとって障壁が低い。
【０１６２】
図３１は、本開示の実施形態による、アプリケーション層31-800とネットワークインタフェースカード（NIC）31-000との間に重ねられた伝統的な厚みのあるスタック31-20を示す図である。この図は、NIC31-000に直接アクセスする薄いスタックアプローチ31-10とは対照的である。
【０１６３】
厚いスタックに対する薄いスタックの利点は、それが速く、リソースを比較的消費せず、したがって、比較的多くのネットワーク接続インタラクションを処理可能であることである。
【０１６４】
図３２は、テストと本番環境との両方からの接続情報を関連付けて格納するための、単純なデータベーススキーマを示す図である。
【０１６５】
当業者はこの利点を認識する。テーブル、フィールド、符号及び他の情報は、参照のため提示されるに過ぎず、様々な本番配置では異なってよい。
【０１６６】
サーバ可用性モジュール32-280は、実際の使用、負荷及び生の本番環境における他の要素を考慮して、IPアドレスとポートとの組合せの現在の割り当てを検証する。それは更に、割り当て済みだがスタンバイ状態の配置の潜在的影響を分析し、実際のリソース需要の影響を予想する。
【０１６７】
装置がサーバ可用性モジュールへリクエストを行うとき、それが実際に要求するものは、利用可能なサーバのリスト、及び、具体的にはIPとポートとのリストである。それは、現在又は過去に、サーバへのトンネルを確立するために使用される（された）ものである。各トンネルは特定の情報を有する。当該情報は、トンネル情報32-220のもとのテーブルによって定義されたものとして、トンネル確立プロセスにおいて各ペアに既知である必要がある。
【０１６８】
サーバ可用性リストは、接続情報に接続される。当該接続情報は、装置ID32-P288及び装置タイプID32-P220の両方によりトンネル32-210を生成するために使用される。
【０１６９】
ピアオリジンID(Peer_Origin_ID)は、トンネルを生成する発信元装置のIDを指す。
【０１７０】
ピアターゲットID(Peer_Target_ID)は、トンネルが生成される先のリスニング装置のIDを指す。ほとんどの場合、アレイ32-BT020における装置ID(Device_ID)フィールドは、32-BT020におけるピアオリジンID(Peer_Origin_ID)フィールドと同等である。
【０１７１】
したがって、サーバ可用性リストは、全ての装置によって使用されることができるリストである。しかし、１つの特定の装置についてのコンテキストのリストは、それに関連するコンテキストのレコードと共に容易に検索される。アレイ32-BT020におけるフラグ状態フィールドは重要である。というのもこれは、この情報の状態を示すことができるからであり、それが使用されなければ、本番において、撤退し、ブロックされ、さもなければマークされてしまう。
【０１７２】
サーバ可用性メカニズム32-280は、多くの要因を考慮し、クライアントによるリソース需要を分散する（例えばEPDは、接続先のSRV_APの利用可能なリソースに反してトンネルを確立することを望む）。
【０１７３】
この管理メカニズムは、多くのEPDから特定の装置への自動トンネルジャンプが生じないようにする。例えばもし全てのEPDが、EPDが接続先としてどのサーバをどのように抽出するかについて影響を与えること無く、同一のサーバ可用性リストを共有すれば、非常に多くのEPDがいくつかのSRV_APに接続してしまい、かなり少ないEPDが他のSRV_APに接続することがある。飽和したSRV_APに接続されたEPDが、最適な接続よりも少ない接続を受け付けていると認識する場合、もしそれらが同一のリストを共有していれば、リスト上の次のサーバにジャンプすることによって、不安定な移動が生じ、ラインに問題が生じる。
【０１７４】
サーバ可用性は、その特定のEPDに対するコンテキストにおいて、最善のSRV_APを順に並べることによってこの類の問題に対処し、また、リスト生成時には、全体的な視点と予測的に広がる負荷とを考慮して、本番環境上の需要圧力を予想する。
【０１７５】
図３３は、本開示の実施形態による、カスタムコマンドの使用例を示す図である。当該カスタムコマンドは、アプリケーション層上のトリガ（例えばグラフィックユーザインタフェース上でクリックされるボタン）と、当該トリガの結果として駆動されるディープ（深い）ロジック及びコマンドとの間の防御クッションとして動作する。
【０１７６】
トリガコード実行が深く進むほど、システムへの危機のリスクが大きくなる。これは難問を提示する。というのも、一方では、無権限のクライアントは深いアクセスを有するべきでないからである。しかし、ユーザがトリガしたい特定のスクリプトは、深く探求する必要がある。さもなければそれらは未解決であり、実行時に発効しないからである。
【０１７７】
この図は、十分な符号を有する。そのため、これを見る当業者は情報フローを理解する。
【０１７８】
カスタムコマンドを実行するステップ33-200は、トリガを行うユーザがカスタムコマンド33-L20の実行レベルに対してのみ限定された権利を有し、以下のものに対してはそうでないことを想定する。これらの限定された権利は、センシティブなコマンドを駆動すること、深いフォルダ又はファイルにアクセスすること、又は、さもなければより深いシステムレベルに障害を与え又は侵入することを防ぐ。「カスタムコマンドは権限を付与され、深いスクリプト及びコマンドを呼び出す（33-D150）」へのパス33-P150は、シーケンス及び一連のステップを定義する。これらは、特定のカスタムコマンドを許可し、安全且つセキュアな方法で、意図された特定の機能を駆動する。
【０１７９】
「O／Sがインストールされたパッケージ＋コンフィグレーション」（33-12）にて、カスタムコマンド内に埋め込まれたコマンドはまた、深いO／Sレベルの機能に対する制御を、制御された方法で呼び出すことが可能であってよい。可能な最低レベルのコマンドもまた、制御された方法で、改ざんのないカスタムコマンドのコンテンツのみに基づいて、呼び出されてよい。
【０１８０】
したがって、トリガを行うユーザは、33-L20よりも深く進むことができず、また、センシティブなコマンドを呼び出す権限を有さない。しかし、アクセス先として許可されたカスタムコマンドを呼び出すアクションによって、カスタムコマンドファイルのコンテンツは、より大きい権限状態で駆動可能である。このとき、システムのセキュリティは損なわれず、カスタムコマンドの呼び出し及び潜在的にはその結果は、トリガを行うクライアント33-800にとって利用可能である。
【０１８１】
図３４は、本開示の実施形態による、グローバル仮想ネットワーク（GVN）内の地理的宛先メカニズムにおける関連装置上のモジュールを簡略化して示す図である。これは、コンテンツデリバリエージェント（CDA）とコンテンツプルエージェント（CPA）との間のインタラクションを記述する。
【０１８２】
CDA及びCPA並びに関連モジュールは互いに独立して駆動するよう設計されるが、それらの間には情報フローが存在し、互いの動作をトリガする。
【０１８３】
例えばEPD34-D120上のASRモジュールは、CDA34-D110に対し、SRVAP34-300が位置するリモート地域からURLをフェッチするよう助言することができる。CDA34-D110は、パス34-CP310を介してCPA34-D310と通信し、地理的宛先メカニズムを要求して、リモート地域から、そのURLにおけるこのコンテンツ及び全ての関連コンテンツをフェッチする。
【０１８４】
CPA34-D310はリモートフェッチャーボット（RFBOT）34-D312に対し、34-D350にてルックアップを実行して、正確なターゲットサーバを発見すること及びRFBOT34-D312にコンテンツをフェッチさせることを命令する。CPA34-D310は、更なるコンテンツに対する埋め込まれたリンクコンテンツをパースし、次いで、RFBOT34-D312にそれをフェッチするよう指示する。
【０１８５】
結果としてプルされるコンテンツは、２つの目的で、CPA34-D310によって記録される。１つ目は、マニフェスト及び検索されたデータをキャッシュマネージャ34-D330へ送信し、また、マニフェストのコピーをCDA34-D110へ返すことである。
【０１８６】
この協働は有用である。というのも、CDA34-D110は、キャッシュマネージャ34-D130と協働して、フェッチされたコンテンツを受信することを期待することができ、また、受信したデータを、CPA34-D310によって作成されたマニフェストと比較可能である。このように制御されたアプローチによって、効率性やセキュリティ上の利点が実現する。というのも、受信されたデータは、マニフェストと一致するはずであり、赤いフラグは、あり得る機能不全又は悪意の中間者によるデータ改変攻撃についての精査をトリガするからである。
【０１８７】
SRV_CNTRL34-200は、装置間の情報伝達のためのニュートラルなチャネルとして有用であり、また、様々な装置上のチェーンキャッシュに対する全体的な管理のためのニュートラルなチャネルとしても有用である。
【０１８８】
図３５は、本開示の実施形態による、ポータブルエンドポイント装置（PEPD）（例えば35-150又は35-152）がどのようにグローバル仮想ネットワーク（GVN）35-000又は類似のトポロジに接続するかのいくつかの方法を示す図である。この例では、PEPD35-150は、３つの異なる装置に対し、複数の接続オプションを有する。まず、２つの異なるアクセスポイントサーバ（SRV_AP）へのパスが存在する。すなわち、アクセスポイントサーバ（SRV_AP）35-304に対する、パス35-T10Bとそれに近い地域の35-T10Aとを介するパスと、他の地域におけるSRV_AP35-300に対する、パス35-T12A及び35-T12Bを介するパスである。PEDP35-150にとっての３つ目のオプションは、35-T12Aと35-T12Cとを介するEPD35-100へのパスである。
【０１８９】
サーバ可用性メカニズムを介するそのリソース及び権限が許す限り、PEPDは、可能な限り多くのSRV_APサーバへ接続してよい。しかし、PEPD35-150がEPD35-100へ接続するためには、それらの間に関係性がある必要がある。例えば、双方が同一の分散エンドポイントエリアクラスタ（DEPAC）に属し、且つ、そのEPDに対しPEPDが接続する権限が付与される場合に存在する関係性である。
【０１９０】
図３６は、本開示の実施形態による、ポータブルなエンドポイント装置（PEPD）36-150とアクセスポイントサーバ（SRV_AP）36-300との間の関係を示す図である。これは更に、前述の装置の各々上のモジュールのいくつかを示す。PEPD36-150は、典型的には、比較的小さい量の物理リソース（例えば処理能力36-106、RAM36-102、ストレージ36-H100及び他のシステム属性）を有する。SRV_AP36-300は、クラウド上の動的な仮想インスタンスであってよく、これは、RAM36-302、処理能力36-306、ストレージ36-H300及び他のリソースにつき膨大な量を提供する。
【０１９１】
PEPD36-150は、典型的には、最小限のオペレーティングシステム36-110と、シンプルセキュリティの一式（suite）36-114、最小化されたシステムソフトウェア36-120及び一般的に小さいフットプリントとを有する。このベアボーンアプローチは、要求される機能性と、他の関連要素（例えばコスト、バッテリ消費、物理サイズ等）とが均衡することを確実にする。
【０１９２】
１つの解決方法は、仮想ソフトウェアコンテナ36-160が、PEPD36-150上で利用可能にすることである。PEPD36-150は、ソフトウェアをローカルにダウンロードして駆動し、又は、記号的なリンクに対するフックポイントとして動作することができる。当該リンクは、ローカルシステムと、リモートな位置（例えばSRV_AP36-300上）で駆動するソフトウェアとの間のリンクである。
【０１９３】
このような配置は、２つの装置間のトンネルTUN0によって可能になり安全化される。当該トンネル通って、データが流れるだけでなく、ソフトウェアコマンド、クエリ、結果及び他の機能がリモートで駆動可能である。
【０１９４】
上述の通り、このアプローチには、いくつかの利点が存在する。しかし、その他の利点が存在してよい。
【０１９５】
図３７は、本開示の実施形態による、異なるタイプの拡張可能ソフトウェアのいくつかを示す図である。当該ソフトウェアは、ポータブルなエンドポイント装置（PEPD）37-150上で稼働する。ソフトウェアは、リモート装置（例えばアクセスポイントサーバ（SRV_AP）37-300）上に格納され、SRV_AP37-158からPEPD37-150へ送信される。
【０１９６】
この第１のタイプは、コアソフトウェア（例えばダウンロードされローカルに実行されるソフトウェア）37-1520であり、PEPD37-150上に格納され駆動する。他のタイプは、リモートで駆動される分散ソフトウェア37-1300である。このソフトウェアは、PEPD37-150をSRV_AP37-300へ接続し、そこでソフトウェアが駆動する。
【０１９７】
このメカニズムには多くの利点が存在する。その利点は、PEDPリソースの効率的使用や、ソフトウェアの最新版が駆動していることを確実にすることを含む。
【０１９８】
他の要素は、ソフトウェア作成者の知的財産権を保護することである。というのも、そのいくつかは物理的に１つの位置に存在し、他の位置におけるソフトウェアフックポイントによって結果が使用された状態で駆動する。そのようなトポロジにおいて、装置の両方は、完全なフレームワーク、コードベース及びランタイム属性への可視性を有するよう、アクセスされる必要があろう。
【０１９９】
図３８は、本開示の実施形態による、複数地域にわたるグローバル仮想ネットワーク（GVN）内の装置間における複数のトンネルを示す図である。EPD38-100は位置38-MOにある。地域38-M2におけるSRV_APは、SRV_AP38-300、SRV_AP38-302及びSRV_AP38-304を含む。地域38-M3におけるSRV_APは、SRV_AP38-310、SRV_AP38-312及びSRVAP38-314である。アドバンストスマートルーティング（ASR）は、EPD38-100と様々なSRV_AP装置との間の複数トンネル及びパスに対するルーティングを管理するために使用される。ASRは、SRV_AP間や地域間での、ループ、誤った地理的宛先ルーティング、ASRリモートリダイレクト後戻り、リンク破壊、及び他の問題が発生するリスクを低減可能である。
【０２００】
図３９は、本開示の実施形態による、様々なタイプの装置によって使用される、共通コードベースのフレームワークを示す図である。当該装置の各々は、自身の属性／タイプ及びアイデンティティを有する。
【０２０１】
装置アイデンティティモジュール39-100によって使用されるハードウェアUUID39-110は、データベース39-B100に格納された装置関連レコードに関連する。アイデンティティクラス39-120を呼び出すことで、その特定の装置に対して、多くの異なるコンテキスト関係を設定することができる。
【０２０２】
共通コードフレームワークの範囲内では、装置は、39-100を介するいくつかのソースから自身のアイデンティティについて知ることによって、多くのことを収集することができる。当該多くのことは、例えばその役割39-310、そのタイプ39-300を含む。ベースコードのその要素は39-200に属し、アプリケーション39-800はロードされ実行される。
【０２０３】
論理上、次のステップでは、装置タイプ39-300を知ることによって、装置タイプ特有モジュール39-320がロードされる。また、装置の役割39-310によって、O／S特有モジュール39-500がロードされ装置のそのタイプに対する動作を維持することをトリガすることができる。
【０２０４】
装置タイプ39-300及び役割39-310はまた、ピアリングするピアペア39-520や動作及び統合39-600に対し影響を有する。
【０２０５】
その装置に特有な環境が一旦動作すると、アプリケーション39-800は、その特有の装置に対し、コンテキストにしたがって駆動する。
【０２０６】
そのことは当業者にとって自明である。
【０２０７】
図４０は、本開示の実施形態による、グローバル仮想ネットワーク（GVN）内の様々な装置についての、関係、インタラクション及びデータ関連性を示す図である。
【０２０８】
ポート及びIPアドレスマネージャ40-200は、トンネル40-270、サーバ40-200及び他の要素について、様々なデータを使用し、サーバ可用性40-260にリソースを割り当て、次いで、様々な装置に対しそれを使用し分配する。
【０２０９】
データ（例えば装置40-110又はサーバ40-220のリスト等）と、モジュールが互いに作用してその情報を用いるか、との間には論理的な関係がある。
【０２１０】
内部サブネットマネージャ[EPD_サブネット]+[SRV_APサブネット]+[インフラストラクチャサブネット]40-300は、この情報を用いて、自動設定と使用に関する管理者へのメッセージ送信との両方において、衝突を避ける際に使用されるサブネット範囲を算出し、また、将来の衝突が生じないことを確保するために範囲を「確保する」。
【０２１１】
グローバル仮想ネットワーク（GVN）は、様々な装置に依存する。当該装置は協働して、インターネットのオーバーザトップ（OTT）のネットワークタイプを共に組織する。レジストリ40-B100は装置、それらの関係、仕様、タイプ、及び他の要素を追跡する。システムのコア要素は、協働するモジュール及びマネージャを含み、GVN構築を実行し効率的に管理する。
【０２１２】
アドバンストスマートルーティング（ASR）マネージャ40-500は、ベースインターネット接続と、インターネットのOTTにおけるGVN層内のネットワークとを確認する。自動システムが効率的且つ効果的に動作するために、ポート及びIPアドレスマネージャ40-200並びに内部サブネットマネージャ40-300は様々な他のモジュールと作用する。
【０２１３】
サーバ可用性40-260はトンネル40-270と、それらのIP及びポート使用40-276とを確認し、接続テスト40-158（現在及び過去の両方）を調査し、IPアドレスごとの使用に基づいてポート可用性を算出する。当該IPアドレスは、サーバ40-122、装置40-210及び他の要素に割り当てられ、サーバリソースがどのように使用され割り当てられるかを管理する。
【０２１４】
サーバ可用性モジュールの主な利点は、リソース使用と、アクセスポイントサーバ（SRV_AP）のIPアドレス及びポートとの一覧を作成することと、どの装置40-210（例えばエンドポイント装置（EPD））がSRV_APに接続してそれらの間でトンネル（TUN）40-270を確立することを希望するかを確認することである。サーバ可用性モジュールは、IPアドレスとポートについての個人仕様のリストを算出し編集する。それらは、使用すべきEPDについての最善の選択肢を提供するよう設計される。トンネルレジストリ40-150は、サーバ可用性がデータベースを調査することを可能にする。すなわち、現在及び過去の状況に基づいて接続テスト40-158を行い、確立すべき且つASR40-500を介したルーティングのためのトンネル40-270についての最善の接続オプションを重み付けし順位付けする。
【０２１５】
分散されたエンドポイント管理クラスタ（DEPAC）40-250は、GVNの構築を拡張したものである。DEPACは、EPDの後方にあるローカルエリアネットワーク（LAN）とパーソナルエリアネットワーク（PAN）とのサブネットと、ポータブルエンドポイント装置（EPD）40-210とを、サブネットを共に連結させることによって、より広く接続されたネットワークへリンクさせることを可能にする（40-300）。内部サブネットマネージャは、トンネルについてのEPDサブネット、SRV_APサブネット、及び他の関連インフラストラクチャサブネットについて積極的に知る必要がある。これにより、新たなサブネットを割り当て且つ１つのサブネットの端を他のサブネットの端と接続して、より広い構造へ接続するときには、現在使用中のものについて知ることによって、サブネットの割り当てが重複するという衝突を防ぐことが確実である。
【０２１６】
IPアドレス割り当てのデータベース40-120は、内部サブネットマネージャ40-300によって使用される情報を提供する。DEPACクラスタ40-250は、メンバー装置40-210を有する。各装置は、それぞれに一意なアイデンティティ40-212を有する。
【０２１７】
ユーザ40-280と装置40-210との間にも、アイデンティティクラス又は類似のロジック40-282によって管理される装置アイデンティティ40-212に基づいた関係がある。したがって、ユーザはDEPACクラスタを管理可能である。
【０２１８】
開示されるトポロジは、自動且つ手動で支援される、トンネル40-270の構築を可能にする。このとき、ASRマネージャ40-500及び他の要素のおかげで、効率的なルーティングがなされる。
【０２１９】
もし装置が障害を起こし、更新される必要があり、要求を過大に受け、又は最適ではない状態にあれば、その装置についての装置フラグ40-112を「利用可能」以外のものに設定する。これによりサーバ可用性モジュール40-260は、装置を、新たなサーバ可用性リストに割り当てることができないことを知ることができる。当該リストは、使用のために他の装置に発行されるものである。
【０２２０】
他の利点としては、過去の使用の分析は、現在の状態、及び、ルーティング、リソース割り当て及び他の要素に関する決定を行うために使用されるAIアルゴリズムと、比較可能である。
【０２２１】
データベースレジストリ40-B100内のデータにアクセスしそれをGUIに表示することによって、接続に対する、中央化されたリアルタイム監視、リソース使用及び他の要素が可能となる。
【０２２２】
GVNモジュール及びマネージャは、構築すべき要素を確立し管理する。当該GVNモジュール及びマネージャによって提供される情報を使用する自動システムにより、管理は一層容易である。
【０２２３】
トラフィックフロー、ASRによって設定されたパス、サーバ可用性40-260及び他のモジュール（図示せず）に対して、深い分析が可能である。このことは、現在及び過去の使用についての可視性を容易にするだけでなく、将来の接続がどのように動作するかの予想的且つ認識的分析の基礎として役立つ。
【０２２４】
図４１は、本開示の実施形態による、インターネットのオーバーザトップ（OTT）におけるグローバル仮想ネットワークのトポロジ及びその中で動作する様々な装置を示す図である。装置のいくつかの例は、エンドポイント装置（EPD）（例えばEPD41-110）、ポータブルエンドポイント装置（PEPD）（例えば41-152）、アクセスポイントサーバ（SRV_AP）（例えば41-308）及び中央制御サーバ（SRV_CNTRL）（例えば41-200）を含む。
【０２２５】
また、GVN装置（例えばSRV_AP41-308）とインターネット（例えば41-018）との間には、出入口ポイント（EIP）（例えば41-318）が存在してよい。
【０２２６】
図４１では、２つの独立した分散エンドポイント管理クラスタDEPAC0及びDEPAC2を示す、他の層が存在する。
【０２２７】
DEPAC0のメンバーはPEPD41-150、EPD41-102及びEPD41-106である。
【０２２８】
DEPAC2のメンバーはEPD41-100、PED41-152、EPD41-110及びEPD41-108である。
【０２２９】
DEPACメンバーは、既存のGVNパスを介して互いに接続し、サブネットを共に接続し、ローカルエリアネットワーク（LAN）とパーソナルエリアネットワーク（PAN）とを連結する内部トンネルを、より広いワイドエリアネットワーク（WAN）へリンクさせる。
【０２３０】
図４２は、本開示の実施形態による、ウェブルート上42-Bound2及びウェブルート下42-Bound0の両方のコードを示す図である。
【０２３１】
最低限のコードはフォルダ内のファイルに格納される必要がある。当該フォルダは、ウェブルート下42-Bound0のオープンインターネットから直接アクセス可能である。
【０２３２】
センシティブなファイル（コンフィグレーションファイル、クラス、関数、資格証明書、センシティブな情報及び他のファイルを含む）は、ウェブルート上42-Bound2に格納される。
【０２３３】
サーバ側スクリプトパッケージ（パーサ）42-D110は、検索時のファイル内のセンシティブコードを処理する必要があるということには議論の余地がある。しかし、障害、コンフィグレーションミス又はハッキングによってファイルがダウンロードされる場合がある。このことは、実行されるべき埋め込みコードに対する直接的な可視性を提供する。
【０２３４】
下方に格納されるファイル内に含まれるサーバ側コードだけが、ウェブルート上42-Bound4のファイルへの関連リンクである必要がある。
【０２３５】
上記及び下記の用語は、ファイルパスを指す。例えば次の通りである。
/volume/folder/instance/code/secure/***（セキュアなフォルダ及びパスはここである）
/volume/folder/instance/code/public/http/ALL_here_is_on_open_internet_HTTP
/volume/folder/instance/code/public/https/ALL_here_is_on_open_internet_HTTPS
【０２３６】
上記の例のウェブルートとは、次の通りである。
/volume/folder/instance/code/public/http/
/volume/folder/instance/code/public/https/
【０２３７】
上記の任意のものは、サーバ内からアクセス可能であり、インターネット経由ではアクセス可能でない。http及びhttps内の全てのファイル及びフォルダはアクセス可能である。
【０２３８】
図４３は、本開示の実施形態による、内部的に学習されたAI知識を有する外部ソースからの情報を組み入れるアルゴリズムを示す図である。
【０２３９】
情報の正確性を確認する開始ステップ43-000は、情報のソース及びタイプによって実行される。
【０２４０】
定義されたパターン43-102は、43-P108によって有効にされ、ルールになる。他からの情報に基づいた警告43-122は、無視されるか、あるいはそれもルール43-112になるかのどちらかであってよい。
【０２４１】
図４４は、本開示の実施形態による、ユーザが有する要素を考慮して、ユーザの個人的な要望を比較することによって、よりスマートなアルゴリズムを設計するアプローチを簡略的に示す図である。この「ジュース」の例では、「何かを一緒に混ぜる（44-130）」ステップは、所望の結果を得ることに焦点をあてるために必要なプロセスとして示される。「希望が満たされたか否かの分析（44-140）」は、最善の結果が得られたか否かを判定し、僅かに異なる入力及び方法でプロセスを再度回して所望の結果に近づくべきか否かを判定する。
【０２４２】
いくつかの実施形態では、有しているものと最善の利益に対する希望とに基づいて、プロセス中に、最終プロセスの産出物に組み入れられないが結果に影響を与える要素が、使用されてよい。ジュースの例を拡張すると、柑橘類の皮をむくとき、柑橘類の皮は人（例えばジュースを作る者）を元気にし得るが、それは最後には捨てられて使用されない。他の例は、りんごとみかんは共に人間の健康によいが、酸化状態にある人にとって柑橘類は理想的でない。
【０２４３】
キーポイントとしては、アルゴリズムは柔軟であるべきであり、様々な状態、プロセス、入力及び出力を考慮して、評価に対して全体的なアプローチをすることである。
【０２４４】
図４５は、本開示の実施形態による、エンドポイント装置（EPD）45-100、中央制御サーバ（SRV_CNTRL）45-200及びアクセスポイントサーバ45-300に対するいくつかのシステムモジュール及びコンポーネントを示す図である。この図はまた、EPD45-100上のデータベース5100、SRV_CNTRL45-200上のデータベース5200、SRV_CNTRL45-200上のリポジトリデータベース5202、及びSRV_AP45-300上のデータベース5300を示す。この図は階層的であり、最低レベルのハードウェア装置が底にあり、それに続くシステム、コンポーネント、モジュール及びマネージャが下位層の上位に確立される。ファイル及びデータは、階層的なファイルシステム（HFS）上、すなわち、EPD45-100上のストレージ装置45-H100と、SRV_CNTRL45-200上の45-H200と、SRV_AP45-300上の45-H300とに格納される。これらのシステム図に示されるコンポーネントは全て、独立して動作するが、作用する相手である他の装置についての情報に依存してもよい。
【０２４５】
RAMは、ランダムアクセスメモリを意味する。CPUは中央処理装置を意味し、またサブプロセッサを含むことができる。NICはネットワークインタフェースカードを意味する。Dbはデータベースソフトウェアを意味する。DNSはドメインネームシステムを意味する。HOSTはホスティングソフトウェアを意味する。APIアプリケーションプログラミングインタフェースを意味する。ASRはアドバンストスマートルーティングを意味する。GeoDは地理的宛先を意味する。GVNはグローバル仮想ネットワークを意味する。CDAはコンテンツデリバリエージェントを意味する。CPAはコンテンツプルエージェントを意味する。RFBOTはリモートフェッチャーボットを意味する。追加のモジュール、マネージャ、システム及びソフトウェアコンポーネントが存在してよい。
【０２４６】
図４６は、本開示の実施形態による、エンドポイント装置（EPD）46-100、中央制御サーバ（SRV_CNTRL）46-200及びアクセスポイントサーバ（SRV_AP）46-300に対するいくつかのシステムモジュール及びコンポーネントを示す図である。この図は更に、各装置のサブシステム（例えばEPD46-100に対するEPDsub-sys46-1000、CNTRL46-200に対するSRV_CNTRLSub-sys46-2000、SRV_AP46-300に対するSRV_APsub-sys46-3000）を示す。サブシステムは機能によって識別され、接頭辞で示される。当該接頭辞は、ファイアウォール関連サブシステムに対するFW、トンネル関連サブシステムに対するTUN、仮想インタフェース関連サブシステムに対するVIF、サーバ可用性リスト及び関連システムに対するSRV_Avail、バッファ管理及び関連システムに対するBUFF  Mgr、ロギングモジュール及び関連サブシステムに対するLOG、一般接続動作に対するCONNECTIVITYを含む。
【０２４７】
図４７は、本開示の実施形態による、エンドポイント装置（EPD）47-100、中央制御サーバ（SRV_CNTRL）47-200及びアクセスポイントサーバ47-300に対するいくつかのシステムモジュール及びコンポーネントを示す図である。サブシステムは機能によって識別され、接頭辞で示される。当該接頭辞は、一般接続動作に対するConnectivity、アドバンストスマートルーティングに対するASR、アプリケーションプログラミングインタフェースに対するAPI、ロギングモジュール及び関連サブシステムに対するLOG、サーバ可用性リスト及び関連システムに対するSRV_Avail、バッファ管理及び関連システムに対するBUFF  Mgrを含む。
【０２４８】
図４８は、本開示の実施形態による、例示的なコンピューティング装置4800のブロック図である。いくつかの実施形態では、コンピューティング装置4800は、本発明で開示される任意の適切な装置であってよい。コンピューティング装置4800は、少なくとも１つのプロセッサ4802と少なくとも１つのメモリ4804とを含んでよい。プロセッサ4802はハードウェアであってよく、コンピュータ可読命令（例えばソフトウェア）を実行するよう構成される。プロセッサ4802は、汎用プロセッサ又は用途特化ハードウェア（例えば特定用途向け集積回路（ASIC）、プログラマブルロジックアレイ（PLA）、フィールドプログラマブルゲートアレイ（FPGA）又は任意の他の集積回路）であってよい。プロセッサ4802はコンピュータ命令又はコンピュータコードを実行して、所望のタスクを実行することができる。メモリ4804は、一時的又は非一時的コンピュータ可読媒体（例えばフラッシュメモリ、磁気ディスク装置、光学ドライブ、プログラマブル読み取り専用メモリ（PROM）、読み取り専用メモリ（ROM）、ランダムアクセスメモリ（RAM）又は任意の他のメモリ若しくはメモリの組合せ）であってよい。
【０２４９】
いくつかの実施形態では、メモリ4804はモジュール4806を含む。プロセッサ4802は、メモリ4804に格納されるモジュール4806を駆動するよう構成可能である。当該モジュール4806はプロセッサ4802に、本開示の様々なステップを実行させるよう構成される。
【０２５０】
図４９は、本開示の実施形態による、LAN内でファイルをダウンロードするプロセスやインターネットからファイルをダウンロードするプロセスを示す図である。それは、LAN端49-880のEPDによって提供されるファイルを、リモートサーバ49-840によって提供されるファイルと比較及び対比する。
【０２５１】
LAN49-880内のファイルをダウンロードすることは、ファイアウォール、フィルタリング及び比較的高い帯域幅（BW）、非常に低いレイテンシ、少ないホップ数及び他の利点に対する全体的な制御をもたらす。
【０２５２】
オープンインターネット上のリモートサーバからダウンロードする場合、中間パスに対する制御がほとんどなく、ファイアウォールからのフィルタリングや、中間装置による圧迫があり得る。
【０２５３】
中間のトラフィックを最適化することで、多くの問題が解決される。しかし、ダウンロードBWは、依然、ラストワンマイル接続又は最小ピアリングポイント若しくはネットワークセグメントによって制限される。
【０２５４】
したがって、ファイル49-810をリモートインターネット49-050のリモートサーバからダウンロードすることは、多くの場合、LAN49-020からファイル49-800をダウンロードすることより遅く行われる。
【０２５５】
図５０は、本開示の実施形態による、エンドポイント装置（EPD）50-100上のファイル転送マネージャ（FTM）や、アクセスポイントサーバ（SRV_AP）50-300上でのFTM50-360の動作を示す図である。
【０２５６】
クライアント50-000は、パス50-P000、LAN50-020及びEPD50-100を介してサーバ50-350へ、ファイル50-800のアップロードを開始する。EPD50-100はトラフィックを、グローバル仮想ネットワーク（GVN）50-200を通して、最適化された長距離50-980にわたってルーティングし、また、SRV_AP50-300、50-P050、リモート地域50-050におけるインターネット、パス50-P350を介してサーバ50-350へルーティングする。サーバ50-350は、クライアント50-000からの接続を受け付け、パケットペイロードのストリーム内で送信されるマルチパートアタッチメント内ファイルを受信するというプロセスを開始する。
【０２５７】
閾値パラメータ変数によって設定された所定のサイズよりも大きいファイルについては、ステップ１の50-10にて、FTM50-160によって、クライアント50-000からのファイル50-800の元のアップロードストリームが検出される。このファイルストリームは次いで、捕捉され、EPD50-100上のファイルキャッシュ50-180へとプルされる。このネットワークパスは、レイテンシが低い極端に短距離なものなので（50-920）、アップロードファイル内の残りのデータは、非常に早くアップロードを完了する。したがって、クライアント視点からは、アップロード時間は低減される。これは、クライアントを解放するという利点を有する。FTM50-160は、このデータを受信しつつ、サーバ50-350へのアップロードストリームを維持しファイルキャッシュ50-180から送信する。ファイルを完全に受信するとFTM50-160は、アップロードが完了するまで、クライアントに代わって、アップロードを継続する。
【０２５８】
ステップ１の50-10にて、元のストリームが検出される。サーバが接続を受け付け有効なソケットを開いた後で初めて、ストリームは有効なものとみなされる。
【０２５９】
ステップ２の50-12にて、アップロードストリームは、ローカルファイルキャッシュ50-180へリダイレクトされ、LAN50-020の速度を早めて、そこで収集される。それはまた、最適化されたGVNトポロジを介したサーバ50-350へのアップロードストリームの送信を継続する。このことは、ステップ３の50-28における、ターゲットサーバ50-350に近いリモート地域にある、SRV_AP50-300上のファイルキャッシュ50-380への通過を含む。
【０２６０】
SRV_AP50-300上のFTM50-360は接続を維持し、パス50-P350を介して可能な限り早く、ファイル50-810をサーバ50-350へ送信する。ステップ５の50-32は、接続が有効に維持され且つ健全であることを示し、また、ファイル50-810が、SRV_AP50-300とサーバ50-350との間にて、GVNを短距離で且つ低レイテンシ50-950で出ることを示す。
【０２６１】
図５１は、本開示の実施形態による、セキュアなファイルストレージボリューム51-H750上のファイルの物理ストレージと、ファイルについての情報をリレーショナルデータベース（DB）（例えば51-B700）に保存することと、ファイル、ファイル情報及びファイル転送プロセス内のステップの間のデータ関係とを示す図である。ファイルを（ソースファイルに近い）ファイルキャッシュ51-180に格納し、当該ファイルを次のファイルキャッシュ51-380へプッシュすることで、ファイルが、クライアント51-000からアップロードストリームキャプチャと、ファイルのチェーンキャッシュとを介してサーバ51-350へ送信される。このときファイルは、ファイル転送マネージャ（FTM）51-360によって管理されるサーバ51-350へ格納される。多次元アレイ51-BT030は、ファイルについての情報（ファイル情報）、GVNを介してファイルが通るべきパス（ファイルパス）、及びメタデータ（File_Meta）及び宛先の情報（宛先情報）を記述する。宛先情報は、ターゲット装置のタイプ、資格証明書（要求された場合）及び他の情報を含む。
【０２６２】
ファイルパスの多次元アレイ51-BT050に対するサブアレイは、オリジン（発信元）、ターゲット及び中間ホップについて情報を含む。
【０２６３】
各ホップ51BT-070の特徴を記述するサブアレイが存在する。これは、装置、そのタイプ、コード又はそのホスト名についての情報及び他の情報を含む。このサブアレイはまた、「テーブル：装置51-730」へとリンクされる。
【０２６４】
テーブル：ファイル51-720は、ファイルについての情報を含み、ファイル51-722につき、普遍的に一意の識別子を含む。物理ストレージ上のファイル名は、UUID51-722であってよく、UUIDの「テーブル：ファイル51-720」を介して、そのファイル名を含むファイル情報レコードへの記号的リンクを有する。
【０２６５】
本開示の内容の適用範囲は、構築処理の詳細や、それに続く記載に示され又は図面に示されるコンポーネントの配置だけに限られない。本開示の内容は、他の実施形態にも適用可能であり、様々な方法で実装され実行されることができる。また、本書で使用される用語及び用法は、記述目的のものであり、事項を限定するものとみなされてはならない。
【０２６６】
したがって当業者は、本開示が基づく概念が、本開示のの内容の幾つかの目的を実現する他の構造、システム、方法及び媒体を設計する基礎として容易に利用可能であることを理解する。したがって重要なことは、請求項が、本開示の趣旨及び範囲から逸脱しない範囲で、同等の構成を含むものとみなされることである。
【０２６７】
本開示の内容が、上述の例示的実施形態に記述され図示される。しかし、本開示は例示目的のものに過ぎないこと、及び、本開示の詳細な実装内容は、本開示の内容の趣旨及び範囲を逸脱しない範囲で多くの変形例を有することを理解されたい。当該趣旨及び範囲は、請求項によってのみ限定される。
【図１】
2018518862.tif 000004
【図２】
2018518862.tif 000005
【図３】
2018518862.tif 000006
【図４】
2018518862.tif 000007
【図５】
2018518862.tif 000008
【図６】
2018518862.tif 000009
【図７】
2018518862.tif 000010
【図８】
2018518862.tif 000011
【図９】
2018518862.tif 000012
【図１０】
2018518862.tif 000013
【図１１】
2018518862.tif 000014
【図１２】
2018518862.tif 000015
【図１３】
2018518862.tif 000016
【図１４】
2018518862.tif 000017
【図１５】
2018518862.tif 000018
【図１６】
2018518862.tif 000019
【図１７】
2018518862.tif 000020
【図１８】
2018518862.tif 000021
【図１９】
2018518862.tif 000022
【図２０】
2018518862.tif 000023
【図２１】
2018518862.tif 000024
【図２２】
2018518862.tif 000025
【図２３】
2018518862.tif 000026
【図２４】
2018518862.tif 000027
【図２５】
2018518862.tif 000028
【図２６】
2018518862.tif 000029
【図２７】
2018518862.tif 000030
【図２８】
2018518862.tif 000031
【図２９】
2018518862.tif 000032
【図３０】
2018518862.tif 000033
【図３１】
2018518862.tif 000034
【図３２】
2018518862.tif 000035
【図３３】
2018518862.tif 000036
【図３４】
2018518862.tif 000037
【図３５】
2018518862.tif 000038
【図３６】
2018518862.tif 000039
【図３７】
2018518862.tif 000040
【図３８】
2018518862.tif 000041
【図３９】
2018518862.tif 000042
【図４０】
2018518862.tif 000043
【図４１】
2018518862.tif 000044
【図４２】
2018518862.tif 000045
【図４３】
2018518862.tif 000046
【図４４】
2018518862.tif 000047
【図４５】
2018518862.tif 000048
【図４６】
2018518862.tif 000049
【図４７】
2018518862.tif 000050
【図４８】
2018518862.tif 000051
【図４９】
2018518862.tif 000052
【図５０】
2018518862.tif 000053
【図５１】
2018518862.tif 000054
【国際調査報告】
2018518862.tif 000055