(57)【要約】各接続がその独自のセキュリティ関連付けを有することを要求せずに、コンピューティングデバイスへの複数の接続を横断して、ネットワークトラフィックをセキュア化するためのシステムおよび方法が、提供される。本システムは、データグラムを得て、データグラムをエンコードするように構成される、ＩＰｓｅｃエンコーダであって、コンピューティングエンティティと関連付けられたセキュリティ関連付けを含む、ＩＰｓｅｃエンコーダと、メタデータとエンコードされたデータグラムを関連付けるように構成される、パケット分析器と、コンピューティングデバイスへの複数の接続のうちの１つを使用して、エンコードされたデータグラムを伝送するためのゲートウェイとを含むことができる。
2018522481.tif 000002
【特許請求の範囲】
【請求項１】
コンピューティングデバイスへの１つまたはそれを上回る接続にわたってネットワークトラフィックをセキュア化するためのシステムであって、
データグラムを得て、データグラムをエンコードするように構成される、ＩＰｓｅｃエンコーダであって、前記ＩＰｓｅｃエンコーダは、コンピューティングエンティティと関連付けられた少なくとも１つのＩＰｓｅｃセキュリティ関連付けを含む、ＩＰｓｅｃエンコーダと、
第１のメタデータのセットと前記エンコードされたデータグラムとを関連付けるように構成される、パケット分析器と、
前記コンピューティングデバイスへの複数の接続のうちの１つを使用して、前記エンコードされたデータグラムを伝送するためのゲートウェイと、
を備える、システム。
【請求項２】
前記データグラムの属性に基づいて、第２のメタデータのセットと前記データグラムとを関連付けるように構成される、分類器をさらに備える、請求項１に記載のシステム。
【請求項３】
少なくとも、前記データグラムと関連付けられた第２のメタデータのセットに基づいて、前記複数の接続のうちの１つを選択するように構成される、パケットルータをさらに備える、請求項１および２のいずれかに記載のシステム。
【請求項４】
前記複数の接続を評価するように構成される、リンク評価器をさらに備え、
前記パケットルータはさらに、少なくとも、前記第１の関連付けられたメタデータのセットおよび前記第２の関連付けられたメタデータのセットならびに前記複数の接続の評価のうちの１つに基づいて、前記エンコードされたデータグラムをルーティングするように構成される、請求項３に記載のシステム。
【請求項５】
前記エンコードされたデータグラムと関連付けられた第１のメタデータのセットは、タイムスタンプまたはシーケンス番号のうちの少なくとも１つを含む、請求項１−４のいずれかに記載のシステム。
【請求項６】
前記コンピューティングデバイスは、
１つまたはそれを上回るエンコードされたデータグラムを受信することと、
部分的に、前記第１のメタデータのセットに基づいて、前記１つまたはそれを上回るエンコードされたデータグラムを編成することと、
少なくとも、前記コンピューティングエンティティと関連付けられたセキュリティ関連付けを使用して、前記１つまたはそれを上回るエンコードされたデータグラムをデコードすることと
を行うように構成される、請求項１−５のいずれかに記載のシステム。
【請求項７】
前記コンピューティングデバイスは、前記コンピューティングエンティティを含む、請求項１−６のいずれかに記載のシステム。
【請求項８】
前記コンピューティングデバイスは、前記コンピューティングエンティティに通信可能に結合される、請求項１−７のいずれかに記載のシステム。
【請求項９】
コンピューティングデバイスへの１つまたはそれを上回る接続にわたってネットワークトラフィックをセキュア化するための方法であって、前記方法は、１つまたはそれを上回るプロセッサによって行われ、
データグラムを得るステップと、
ＩＰｓｅｃに準拠するエンコーディングを使用して、前記データグラムをエンコードするステップであって、少なくとも１つのＩＰｓｅｃセキュリティ関連付けは、第１のコンピューティングエンティティと関連付けられる、ステップと、
メタデータと前記エンコードされたデータグラムとを関連付けるステップと、
前記コンピューティングデバイスへの複数の接続のうちの１つを横断して、前記エンコードされたデータグラムを伝送するステップと、
を含む、方法。
【請求項１０】
前記データグラムの属性に基づいて、第２のメタデータのセットと前記データグラムとを関連付けるステップをさらに含む、請求項９に記載の方法。
【請求項１１】
少なくとも、前記データグラムと関連付けられた第２のメタデータのセットに基づいて、前記複数の接続のうちの１つを選択するステップをさらに含む、請求項９および１０のいずれかに記載の方法。
【請求項１２】
前記複数の接続を評価するステップと、
少なくとも、前記第１のメタデータのセットおよび前記第２のメタデータのセットならびに前記複数の接続の評価のうちの１つに基づいて、前記エンコードされたデータグラムをルーティングするステップと、
をさらに含む、請求項９−１１のいずれかに記載の方法。
【請求項１３】
前記エンコードされたデータグラムと関連付けられた第１のメタデータのセットは、タイムスタンプまたはシーケンス番号のうちの少なくとも１つを含む、請求項９−１２のいずれかに記載の方法。
【請求項１４】
前記タイムスタンプまたは前記シーケンス番号のうちの少なくとも１つは、前記１つまたはそれを上回るエンコードされたデータグラムを前記コンピューティングエンティティにおいて編成するために使用される、請求項９−１３のいずれかに記載の方法。
【請求項１５】
第１のコンピューティングデバイスに、第２のコンピューティングデバイスへの１つまたはそれを上回る接続にわたってネットワークトラフィックをセキュア化するための方法を行わせる、前記第１のコンピューティングデバイスの１つまたはそれを上回るプロセッサによって実行可能な命令を記憶する非一過性コンピュータ可読記憶媒体であって、前記方法は、
データグラムを得るステップと、
ＩＰｓｅｃに準拠するエンコーディングを使用して、前記データグラムをエンコードするステップであって、少なくとも１つのＩＰｓｅｃセキュリティ関連付けは、第１のコンピューティングエンティティと関連付けられる、ステップと、
メタデータと前記エンコードされたデータグラムとを関連付けるステップと、
前記第２のコンピューティングデバイスへの複数の接続のうちの１つを横断して、前記エンコードされたデータグラムを伝送するステップと、
を含む、非一過性コンピュータ可読記憶媒体。
【請求項１６】
前記第１のコンピューティングデバイスの１つまたはそれを上回るプロセッサによって実行可能な命令のセットは、前記第１のコンピューティングデバイスに、
前記データグラムの属性に基づいて、第２のメタデータのセットと前記データグラムとを関連付けるステップ
をさらに行わせる、請求項１５に記載のコンピュータ可読記憶媒体。
【請求項１７】
前記第１のコンピューティングデバイスの１つまたはそれを上回るプロセッサによって実行可能な命令のセットは、前記第１のコンピューティングデバイスに、
少なくとも、前記データグラムと関連付けられた第２のメタデータのセットに基づいて、前記複数の接続のうちの１つを選択するステップ
をさらに行わせる、請求項１５および１６のいずれかに記載のコンピュータ可読記憶媒体。
【請求項１８】
前記第１のコンピューティングデバイスの１つまたはそれを上回るプロセッサによって実行可能な命令のセットは、前記第１のコンピューティングデバイスに、
前記複数の接続を評価するステップと、
少なくとも、前記第１のメタデータのセットおよび前記第２のメタデータのセットならびに前記複数の接続の評価のうちの１つに基づいて、前記エンコードされたデータグラムをルーティングするステップと、
をさらに行わせる、請求項１５−１７のいずれかに記載のコンピュータ可読記憶媒体。
【請求項１９】
前記エンコードされたデータグラムと関連付けられたメタデータは、タイムスタンプまたはシーケンス番号のうちの少なくとも１つを含む、請求項１５−１８のいずれかに記載のコンピュータ可読記憶媒体。
【請求項２０】
前記タイムスタンプまたは前記シーケンス番号のうちの少なくとも１つは、前記１つまたはそれを上回るエンコードされたデータグラムを前記コンピューティングエンティティにおいて編成するために使用される、請求項１５−１９のいずれかに記載のコンピュータ可読記憶媒体。
【発明の詳細な説明】
【背景技術】
【０００１】
モデムコンピューティング環境では、多くの場合、ネットワークを使用して、遠隔コンピューティングシステムをともに接続する必要がある。例えば、企業等の組織は、多くの場合、国内および世界中の両方において、複数の場所に広がって支店、従業員、または契約社員を有する。現在のネットワーキング技術は、パブリックおよびプライベートコンピュータネットワークの両方を通して、これらの異種コンピューティング環境間の通信を可能にする。多くの場合、別個のコンピューティング環境は、インターネットを使用して、相互に接続される。オフィスおよび従業員が相互に接続することを可能にすることによって、組織は、統一されたコンピューティング環境を作成することができる。
【０００２】
パブリックおよびプライベートの両方でリンクされたネットワークを横断して組織を接続することは、取扱に注意が必要なデータに対してセキュリティリスクを呈し得る。データがインターネットまたは他のパブリックネットワークを横断して通過するにつれて、多くの異なる種類の電子攻撃に脆弱となる。個々のアプリケーションまたは接続は、暗号化等の保護を利用することができるが、組織は、全ネットワークトラフィックに対してオフィスまたは従業員間にセキュアなリンクを提供することに関心がある。種々の技法が、そのようなリンクを提供するために使用されることができる。例えば、組織は、パブリックに対して非公開である、２つの場所間の直接物理接続を購入またはリースしてもよい。加えて、組織は、データを暗号化する、アプリケーションを採用することができる。または、組織は、従来の仮想プライベートネットワークを利用して、セキュアな通信を可能にすることができる。
【０００３】
取扱に注意が必要なデータをセキュリティ脆弱性から保護することに加え、組織は、遠隔コンピューティング環境間の接続が信頼性があって、かつ効率的であることを確実にしなければならない。組織は、１つの接続が障害を受ける場合、他の接続がネットワークを維持するために利用可能であることを確実にするために、異なるインターネットサービスプロバイダまたはネットワークを横断して複数の接続を利用することを含む、いくつかの方法において信頼性を改良することができる。接続は、インターネット等のパブリックネットワークをトラバースする、またはプライベートリンク上の２つのエンドポイントを直接接続することができる。組織は、そのネットワークトラフィックを複数の接続を横断して拡散させ、全体的帯域幅を増加させることによって、または直接プライベートリンク上で使用されるとき、効率を増加させることができる、具体的ネットワーキングプロトコルを採用することによって、効率を増加させることができる。いくつかのインスタンスでは、組織はまた、具体的アプリケーションまたは目的のために、その一般的ネットワークトラフィックと別個の具体的タイプの接続を利用し得る。
【０００４】
組織は、種々の技術を利用して、セキュリティおよび信頼性問題に別個に対処することができるが、両方の問題に同時に対処することは、技術的課題を提示し得る。組織は、以下およびＩｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ（「ＩＥＴＦ」）のＲｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔ（「ＲＦＣ」）４３０１により詳細に説明される、インターネットプロトコルセキュリティ（「ＩＰｓｅｃ」）のような技術を使用し、具体的接続上の全ネットワークトラフィックに対してセキュアな接続を作成することができる。しかしながら、ＩＰｓｅｃは、セキュアな通信を可能にするために、ソースと宛先との間で共有される証明書のセットを作成することを要求する。これらの証明書は、Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ（「ＩＫＥ」）等の技術を使用してネゴシエートされなければならない。ＩＰｓｅｃ接続を定義する証明書および他のセキュリティパラメータは、Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ（「ＳＡ」）と称される。リンクが切断される度に、新しいＳＡが、リンクが復活するときに確立されなければならず、それによって、リンクを維持するオーバーヘッドを増加させる。さらに、各一方向接続は、その独自のＳＡを要求する。適切なセキュリティを確実にするための一般的アプローチである、暗号化および認証の両方が利用されるとき、１つまたは２つのＳＡが、利用されるＩＰｓｅｃの具体的変形例に応じて、一方向リンク毎に必要である。故に、エンドポイント間の全ての双方向接続が、２つまたは４つのいずれかのＳＡのネゴシーションを設定に対して要求する。典型的双方向リンクを横断してＩＰｓｅｃ設定を維持することは、非常に単純であり得る。しかし、冗長または付加的リンクの数が増えるにつれて、ネゴシエートおよび維持されなければならないＳＡの数も同様に増える。現代のコンピューティングネットワークにおいて信頼性があって、かつセキュアな通信を確実にするために、複数の同時ＩＰｓｅｃ接続を維持することは、有意なネットワーキングオーバーヘッドおよび管理課題をもたらす。
【発明の概要】
【課題を解決するための手段】
【０００５】
本明細書に説明される実施形態は、２つのネットワークエンドポイント間のセキュアな通信を提供する。これらのエンドポイントは、１つまたはそれを上回るネットワーク接続を通して接続されることができる。説明される実施形態によって提供されるセキュアな通信は、１つのＩＰｓｅｃ接続のための設定および維持のみを要求しながら、同時に、複数のネットワーク経路を利用することができる。これらの技術は、複数の同時リンクにわたってＩＰｓｅｃ通信を管理するためのオーバーヘッドおよび維持要件を著しく低減させることができる。さらに、複数の経路を横断してＩＰｓｅｃ通信を提供するために要求されるオーバーヘッドの多くを排除する際、これらの技術は、ネットワーク効率および帯域幅を改良する。説明される実施形態は、加えて、ネットワークを横断して伝送される各データグラムと関連付けられたデータに基づいて、個々の経路の知的選択を提供することができる。
【図面の簡単な説明】
【０００６】
こで、本開示の例示的実施形態を示す、付随の図面を参照する。
【０００７】
【図１】図１は、本開示の実施形態に準拠する、例示的ネットワーク環境のブロック図である。
【図２Ａ】図２Ａ−２Ｂは、本開示の実施形態に準拠する、例示的コンピューティングデバイスのブロック図である。
【図２Ｂ】図２Ａ−２Ｂは、本開示の実施形態に準拠する、例示的コンピューティングデバイスのブロック図である。
【図３Ａ】図３Ａ−３Ｃは、本開示の実施形態に準拠する、例示的データグラムのブロック図である。
【図３Ｂ】図３Ａ−３Ｃは、本開示の実施形態に準拠する、例示的データグラムのブロック図である。
【図３Ｃ】図３Ａ−３Ｃは、本開示の実施形態に準拠する、例示的データグラムのブロック図である。
【図４】図４は、本開示の実施形態に準拠する、例示的ネットワーク環境内に提供される例示的アプライアンスのブロック図である。
【図５】図５は本開示の実施形態に準拠する、データグラムを伝送する、例示的方法を表す、フローチャートである。
【図６】図６は、本開示の実施形態に準拠する、データグラムを受信する例示的方法を表す、フローチャートである。
【発明を実施するための形態】
【０００８】
ここで、本開示に従って実装される例示的実施形態を詳細に参照されるであろうが、その実施例は、付随の図面に図示される。可能である場合は常に、同一参照番号は、図面全体を通して、同一または同様の部品を指すために使用されるであろう。
【０００９】
図１は、例示的ネットワーク環境１００のブロック図である。例示的ネットワーク環境１００は、仮想ネットワーク環境を対象とするが、ネットワーク環境は、パケットを使用して通信する、任意のタイプのネットワークであることができることを理解されたい。ネットワーク環境１００は、１つまたはそれを上回るクライアントデバイス１０２と、パブリックネットワーク１０４と、１つまたはそれを上回るゲートウェイＩ０６と、１つまたはそれを上回るアプライアンス１０８と、プライベートネットワーク１１０と、データセンタ１２０と、支店１４０とを含むことができる。
【００１０】
１つまたはそれを上回るクライアントデバイス１０２は、遠隔サービスをデータセンタ１２０から種々の手段を通して取得することができる、デバイスである。クライアントデバイス１０２は、直接（例えば、クライアントデバイス１０２Ｅ）またはパブリックネットワーク１０４（例えば、クライアントデバイス１０２Ａ−Ｄ）もしくはプライベートネットワーク１１０（例えば、クライアントデバイス１０２Ｆ）を通して間接的にのいずれかで、データセンタ１２０と通信することができる。クライアントデバイス１０２が、パブリックネットワーク１０４またはプライベートネットワーク１１０を通して通信すると、通信リンクが、確立されることができる。例えば、リンクは、パブリックネットワーク１０４、ゲートウェイ１０６Ａ、およびアプライアンス１０８Ａによって確立され、それによって、クライアントデバイス（例えば、クライアントデバイスＩ０２Ａ−Ｄ）アクセスをデータセンタ１２０に提供することができる。リンクはまた、アプライアンス１０８Ｃ、プライベートネットワーク１１０、およびアプライアンス１０８Ａを含む、支店１４０によって確立され、それによって、クライアントデバイス（例えば、クライアントデバイス１０２Ｆ）アクセスをデータセンタ１２０に提供することができる。付加的リンクはまた、アプライアンス１０８Ｂ、ゲートウェイ１０６Ｂ、パブリックネットワーク１０４、ゲートウェイ１０６Ａ、およびアプライアンス１０８Ａによって確立され、クライアントデバイス１０２Ｇにパブリックネットワーク１０４を通してデータセンタ１２０へのアクセスを提供することができる。クライアントデバイス１０２は、コンピュータ（例えば、クライアントデバイス１０２Ａ、１０２Ｅ、１０２Ｆ、および１０２Ｇ）、ラップトップ（例えば、クライアントデバイス１０２Ｂ）、タブレット（例えば、クライアントデバイス１０２Ｃ）、およびモバイルスマートフォン（例えば、クライアントデバイス１０２Ｄ）として描かれるが、クライアントデバイス１０２は、パケットをデータセンタ１２０へおよびそこから通信する、任意のタイプのデバイス（例えば、ウェアラブルスマートウォッチ等）であり得ることを理解されたい。
【００１１】
パブリックネットワーク１０４およびプライベートネットワーク１１０は、広域ネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、または都市規模ネットワーク（ＭＡＮ）等の任意のタイプのネットワークであることができる。実施例として、ＷＡＮは、インターネットまたはＷｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂであることができ、ＬＡＮは、企業イントラネットであることができる。パブリックネットワーク１０４およびプライベートネットワーク１１０は、有線ネットワークまたは無線ネットワークであることができる。
【００１２】
ゲートウェイ１０６Ａ−Ｂは、物理デバイス、または異なるプロトコルを有する２つのネットワーク間でインターフェースをとる物理デバイスの一部である、ソフトウェアである。ゲートウェイ１０６Ａ−Ｂ、例えば、サーバ、ルータ、ホスト、またはプロキシサーバであることができる。いくつかの実施形態では、ゲートウェイ１０６Ａ−Ｂは、ゲートウェイ１０６Ａ−Ｂをパブリックネットワーク１０４（例えば、インターネット）から分離するファイアウォールを含む、またはそれに結合されることができる。ゲートウェイ１０６Ａ−Ｂは、クライアントデバイス１０２から受信された信号をアプライアンス１０８Ａ−Ｂおよび／またはデータセンタ１２０が理解し得る信号に、もしくはその逆に修正する能力を有する。
【００１３】
アプライアンス１０８Ａは、広域ネットワーク（ＷＡＮ）トラフィックを最適化および制御することができる、デバイスである。いくつかの実施形態では、アプライアンス１０８Ａは、ローカルエリアネットワーク（ＬＡＮ）トラフィック、都市規模ネットワーク（ＭＡＮ）トラフィック、または無線ネットワークトラフィック等の他のタイプのネットワークトラフィックを最適化する。アプライアンス１０８Ａはまた、多くの企業ネットワークにおいて一般的であるＭｕｌｔｉｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈｉｎｇ（「ＭＰＬＳ」）のような異なるネットワークをハンドリングすることができる。アプライアンス１０８Ａは、例えば、データパケットがスケジュールされた時間およびレートで伝送またはドロップされ得るように、確立された通信リンク内のデータパケットをスケジュールすることによって、ネットワークトラフィックを最適化することができる。いくつかの実施形態では、アプライアンス１０８Ａは、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍ’ｓ  Ｂｒａｎｃｈ  Ｒｅｐｅａｔｅｒ、Ｎｅｔｓｃａｌｅｒ、またはＣｌｏｕｄＢｒｉｄｇｅ等の物理デバイスである。いくつかの実施形態では、アプライアンス１０８Ａは、仮想アプライアンスであることができる。いくつかの実施形態では、アプライアンス１０８Ａは、仮想マシン（例えば、仮想クラウドブリッジ）の複数のインスタンスを有する、物理デバイスであることができる。いくつかの実施形態では、第１のアプライアンス（例えば、アプライアンス１０８Ａ）は、第２のアプライアンス（例えば、アプライアンス１０８Ｂまたはアプライアンス１０８Ｃ）と連動または協働し、ネットワークトラフィックを最適化する。例えば、第１のアプライアンスは、ＷＡＮと企業ＬＡＮ（例えば、データセンタ１２０）との間に位置することができる一方、第２のアプライアンス（例えば、アプライアンス１０８Ｃ）は、支店（例えば、支店１４０）とＷＡＮ接続との間に位置することができる。付加的アプライアンス（例えば、アプライアンス１０８Ｂ）もまた、パブリックネットワーク１０４を通して接続され得る。いくつかの実施形態では、ゲートウェイ１０６Ａおよびアプライアンス１０８Ａの機能性は、単一物理デバイス内に位置することができる。アプライアンス１０８Ａ、１０８Ｂ、および１０８Ｃは、機能的に同一または類似することができる。
【００１４】
データセンタ１２０は、物理または仮想のいずれかにおける、特定のパブリックまたはプライベートエンティティに関するデータおよび情報の記憶、管理、および配布のための中央リポジトリである。データセンタ１２０は、コンピュータシステムならびに１つまたはそれを上回る物理サーバ、仮想サーバ、および記憶システム等の関連付けられたコンポーネントを格納するために使用されることができる。データセンタ１２０は、とりわけ、１つまたはそれを上回るサーバ（例えば、サーバ１２２）と、バックエンドシステム１３０とを含むことができる。いくつかの実施形態ではデータセンタ１２０は、ゲートウェイ１０６、アプライアンス１０８、または両方の組み合わせを含むことができる。
【００１５】
サーバ１２２は、ＩＰアドレスによって表されるエンティティであって、単一エンティティまたはサーバファームのメンバとして存在することができる。サーバ１２２は、物理サーバまたは仮想サーバであることができる。いくつかの実施形態では、サーバ１２２は、ハードウェア層と、オペレーティングシステムと、１つまたはそれを上回る仮想マシンを作成または管理するハイパーバイザとを含むことができる。サーバ１２２は、１つまたはそれを上回るサービスをエンドポイントに提供する。これらのサービスは、１つまたはそれを上回るアプリケーション１２８を１つまたはそれを上回るエンドポイント（例えば、クライアントデバイス１０２Ａ−Ｇまたは支店１４０）に提供することを含む。例えば、アプリケーション１２８は、Ｗｉｎｄｏｗｓ（登録商標）ベースのアプリケーションおよびコンピューティングリソースを含むことができる。
【００１６】
デスクトップ配信コントローラ１２４は、仮想デスクトップ１２６等のクライアントデバイス（例えば、クライアントデバイス１０２Ａ−Ｇまたは支店１４０）へのサービスの配信を可能にする、デバイスである。デスクトップ配信コントローラ１２４は、全仮想デスクトップ通信を管理、維持、および最適化するために要求される機能性を提供する。
【００１７】
いくつかの実施形態では、サービスは、１つまたはそれを上回るアプリケーション１２８を提供し得る、１つまたはそれを上回る仮想デスクトップ１２６を提供することを含む。仮想デスクトップ１２６は、複数のユーザが単一共有遠隔デスクトップサービスデスクトップにアクセスすることを可能にする、ホストされた共有デスクトップ、各ユーザがその独自の仮想マシンを有することを可能にする、仮想デスクトップインフラストラクチャデスクトップ、ストリーミングディスクイメージ、ローカル仮想マシン、個々のアプリケーション（例えば、１つまたはそれを上回るアプリケーション１２８）、またはそれらの組み合わせを含むことができる。
【００１８】
バックエンドシステム１３０は、コンピュータネットワーキングハードウェア、アプライアンス、またはサーバファームもしくはサーバの集合内のサーバの単一または複数のインスタンスであって、直接もしくは間接的に、サーバ１２２とインターフェースをとる。例えば、バックエンドシステム１３０は、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリサービス、Ｋｅｒｂｅｒｏｓベースの認証、ドメイン名システム（ＤＮＳ）ベースのネーミングおよび他のネットワーク情報、ならびにいくつかのサーバ間のディレクトリ更新の同期を含む、いくつかのネットワークサービスを提供し得る、Ｍｉｃｒｏｓｏｆｔ（ＴＭ）  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｏｒｙを含むことができる。バックエンドシステム１３０はまた、とりわけ、Ｏｒａｃｌｅバックエンドサーバ、ＳＱＬサーババックエンド、および／またはダイナミックホスト構成プロトコル（ＤＨＣＰ）を含むことができる。バックエンドシステム１３０は、データ、サービス、または両方の組み合わせをデータセンタ１２０に提供することができ、これは、次いで、様々な形態を介して、その情報をクライアントデバイス１０２または支店１４０に提供することができる。
【００１９】
支店１４０は、データセンタ１２０を有するＷＡＮの一部である、ローカルエリアネットワーク（ＬＡＮ）の一部である。支店１４０は、とりわけ、アプライアンス１０８Ｃと、遠隔バックエンド１４２とを含むことができる。いくつかの実施形態では、アプライアンス１０８Ｃは、支店１４０とプライベートネットワーク１１０との間に位置することができる。前述のように、アプライアンス１０８Ｃは、アプライアンス１０８Ａと連動することができる。遠隔バックエンド１４２は、データセンタ１２０のバックエンドシステム１３０と類似様式において設定されることができる。クライアントデバイス１０２Ｆは、支店１４０の現場に位置することができる、または支店１４０から遠隔に位置することができる。
【００２０】
アプライアンス１０８Ａ−Ｃおよびゲートウェイ１０６Ａ−Ｂは、本明細書に説明される任意のタイプおよび形態のネットワーク上で通信可能なコンピュータまたはネットワーキングデバイス等、任意のタイプおよび形態のコンピューティングデバイスとして展開される、またはその上で実行されることができる。図２Ａ−２Ｂに示されるように、各コンピューティングデバイス２００は、中央処理ユニット（ＣＰＵ）２２１と、メインメモリ２２２とを含む。ＣＰＵ２２１は、メインメモリ２２２からフェッチされた命令に応答し、それを処理する、任意の論理回路であることができる。ＣＰＵ２２１は、メモリ（例えば、メインメモリ２２２）またはキャッシュ（例えば、キャッシュ２４０）内に記憶される特定の命令のセットを実行可能な単一もしくは複数のマイクロプロセッサ、フィールドプログラマブルゲートアレイ（ＦＰＧＡＳ）、またはデジタル信号プロセッサ（ＤＳＰ）であることができる。メモリは、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ（コンパクトディスク読取専用メモリ）、ＭＯ（光磁気）ドライブ、ＤＶＤ−ＲＯＭ（デジタル多用途ディスク読取専用メモリ）、ＤＶＤ−ＲＡＭ（デジタル多用途ディスクランダムアクセスメモリ）、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、フラッシュＥＰＲＯＭもしくは任意の他のフラッシュメモリ、キャッシュ、レジスタ、任意の他のメモリチップもしくはカートリッジ、または半導体メモリ等の有形および／または非一過性コンピュータ可読媒体を含む。メインメモリ２２２は、データを記憶可能であって、任意の記憶装置場所がＣＰＵ２２１によって直接アクセスされることを可能にする、１つまたはそれを上回るメモリチップであることができる。メインメモリ２２２は、任意のタイプのランダムアクセスメモリ（ＲＡＭ）または本明細書に説明されるように動作可能な任意の他の利用可能なメモリチップであることができる。図２Ａに示される例示的実施形態では、ＣＰＵ２２１は、システムバス２５０を介して、メインメモリ２２２と通信する。コンピューティングデバイス２００はまた、視覚的ディスプレイデバイス２２４と、Ｉ／Ｏコントローラ２２３を通して接続される入力／出力（Ｉ／Ｏ）デバイス２３０（例えば、キーボード、マウス、またはポインティングデバイス）とを含むことができ、両方とも、システムバス２５０を介して通信する。当業者は、ＣＰＵ２２１がまた、シリアル通信様式または２地点間通信様式を通して等、システムバス２５０を通して以外の様式でメモリ２２２および他のデバイスと通信することもできることを理解するであろう。さらに、Ｉ／Ｏデバイス２３０はまた、コンピューティングデバイス２００のための記憶および／またはインストール媒体を提供することができる。
【００２１】
図２Ｂは、ＣＰＵ２２１がメモリポート２０３を介してメインメモリ２２２と直接通信する、例示的コンピューティングデバイス２００の実施形態を描写する。ＣＰＵ２２１は、バックサイドバスとも称される二次バスを介して、キャッシュ２４０と通信することができる。ある他の実施形態では、ＣＰＵ２２１は、システムバス２５０を介して、キャッシュ２４０と通信することができる。キャッシュ２４０は、典型的には、メインメモリ２２２より高速の応答時間を有する。図２Ｂに示される実施形態等のいくつかの実施形態では、ＣＰＵ２２１は、Ｉ／Ｏポートを介して、Ｉ／Ｏデバイス２３０と直接通信することができる。さらなる実施形態では、Ｉ／Ｏデバイス２３０は、システムバス２５０と、ＵＳＢバス、Ａｐｐｌｅ  Ｄｅｓｋｔｏｐバス、ＲＳ−２３２シリアル接続、ＳＣＳＩバス、Ｆｉｒｅ  Ｗｉｒｅバス、Ｆｉｒｅ  Ｗｉｒｅ８００バス、Ｅｔｈｅｒｎｅｔ（登録商標）バス、ＡｐｐｌｅＴａｌｋバス、Ｇｉｇａｂｉｔ  Ｅｔｈｅｒｎｅｔ（登録商標）バス、Ａｓｈｙｃｈｒｏｎｏｕｓ  Ｔｒａｎｓｆｅｒ  Ｍｏｄｅバス、ＨＩＰＰＩバス、Ｓｕｐｅｒ  ＨＩＰＰＩバス、ＳｉｒｉａｌＰｌｕｓバス、ＳＣＩ／ＬＡＭＰバス、ＦｉｂｒｅＣｈａｎｎｅｌバス、またはＳｉｒｉａｌ  Ａｔｔａｃｈｅｄ小コンピュータシステムインターフェースバス等の外部通信バスとの間のブリッジ２７０であることができる。
【００２２】
図２Ａに示されるように、コンピューティングデバイス２００は、３．５−インチ、５．２５−インチディスク、またはＺＩＰディスク等のフロッピー（登録商標）ディスクを受容するためのフロッピー（登録商標）ディスクドライブ、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒ／ＲＷドライブ、ＤＶＤ−ＲＯＭドライブ、種々のフォーマットのテープドライブ、ＵＳＢデバイス、ハードドライブ、または任意のクライアントエージェント２２０もしくはその一部等のソフトウェアおよびプログラムをインストールするために好適な任意の他のデバイス等の任意の好適なインストールデバイス２１６をサポートすることができる。コンピューティングデバイス２００はさらに、オペレーティングシステムおよび他の関連ソフトウェアを記憶するため、かつクライアントエージェント２２０に関連する任意のプログラム等のアプリケーションソフトウェアプログラムを記憶するための１つまたはそれを上回るハードディスクドライブもしくは独立ディスクの冗長アレイ等の記憶デバイス２２８を備えることができる。随意に、インストールデバイス２１６のいずれかはまた、記憶デバイス２２８としても使用され得る。
【００２３】
さらに、コンピューティングデバイス２００は、限定ではないが、標準的電話回線、ＬＡＮまたはＷＡＮリンク（例えば、８０２．１１、Ｔｌ、Ｔ３、５６ｋｂ、Ｘ．２５）、ブロードバンド接続（例えば、ＩＳＤＮ、ＦｒａｍｅＲｅｌａｙ、ＡＴＭ）、無線接続、または前述の任意もしくは全てのいくつかの組み合わせを含む、種々の接続を通して、ＬＡＮ、ＷＡＮ、ＭＡＮ、またはインターネットとインターフェースをとるためのネットワークインターフェース２１８を含むことができる。ネットワークインターフェース２１８は、内蔵ネットワークアダプタ、ネットワークインターフェースカード、ＰＣＭＣＩＡネットワークカード、カードバスネットワークアダプタ、無線ネットワークアダプタ、ＵＳＢネットワークアダプタ、モデム、またはコンピューティングデバイス２００と、通信し、本明細書に説明される動作を行うことが可能な任意のタイプのネットワークのインターフェースをとるために好適な任意の他のデバイスを備えることができる。
【００２４】
ネットワーキングは、２つまたはそれを上回るコンピューティングデバイス、システム、もしくは環境を接続するように設計される、多くの異なる技術およびプロトコルを包含することができる。例えば、インターネットプロトコル（「ＩＰ」）は、インターネットトラフィックを制御およびルーティングするために一般に使用される、標準的通信プロトコルである。ＩＰは、インターネットのためのバックボーンプロトコルとして広く使用されている。ＩＰの最も一般に使用されるバージョンは、ＩＰバージョン４（「ＩＰｖ４」）およびＩＰバージョン６（「ＩＰｖ６」）である。これらのプロトコルは、それぞれ、ＩＥＴＦ  ＲＦＣ７９１およびＩＥＴＦ  ＲＦＣ２４６０に説明されており、両方とも、当技術分野において周知である。
【００２５】
ＩＰデータグラム（一般に、パケットとも称される）を伝送する接続は、ＩＰに依拠する一式のプロトコルであるＩＰｓｅｃを使用して、セキュア化されることができる。ＩＰｓｅｃは、ネットワークを横断して送信される前に、各データグラムを修正し、コンピューティングエンティティ間のセキュアな接続を提供するためのフレームワークを提供する。コンピューティングエンティティは、データグラムを受信することが可能なハードウェア実装コンピューティングデバイス（例えば、図１からのゲートウェイ１０６、アプライアンス１０８、クライアントデバイス１０２のいずれか）または仮想コンピューティングデバイス（例えば、アプライアンス１０８上で実行するソフトウェアモジュール）であることができる。ＩＰｓｅｃ動作の具体的モードおよびバリアントは、以下により詳細に説明される。ＩＰｓｅｃがＩＰデータグラムをカプセル化するために使用され得る前に、ＩＰｓｅｃ接続の２つのエンドポイントは、伝送されるデータを保護するために使用するセキュリティパラメータのセットをネゴシエートすることができる。これらのセキュリティパラメータは、コンピュータネットワーク環境の外側で作成および共有されることができる。代替として、これらのセキュリティパラメータは、ＳＡを作成するためのＩＫＥ等の公知の方法を使用して設定されることができる。２つのエンドポイント間の各一方向接続は、ＳＡを要求する。故に、ＩＰｓｅｃのＡｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ（「ＡＨ」）またはＥｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐｒｏｔｏｃｏｌ（「ＥＳＰ」）バリアントのいずれかを使用する双方向ＩＰｓｅｃ接続は、少なくとも２つのＳＡを要求する。いくつかの実施形態では、ＡＨおよびＥＳＰの両方が組み合わせて使用される場合、４つものＳＡが、エンドポイント間の双方向通信のために要求され得る。
【００２６】
複数の接続を横断したＩＰｓｅｃをサポートするための試みが成されている。例えば、Ａ  Ｍｕｌｔｉ−ｌｉｎｋ  Ａｇｇｒｅｇａｔｅ  ＩＰＳｅｃ  Ｍｏｄｅｌ，  Ｙｕｎ−ｈｅ  ｈａｎｇ，  ｅｔ  ａｌ．，  ３  Ｅｄｕｃ．，  Ｔｅｃｈ．，  ａｎｄ  Ｃｏｍｐｕｔｅｒ  Ｓｃｉ．：ＥＴＣＳ’  ０９．  ＦｉｒｓｔＩｎｔ’ｌ  Ｗｏｒｋｓｈｏｐ  Ｏｎ，  ４８９−４９３（２００９）は、２つのエンドポイント間の複数の接続を横断してＩＰｓｅｃを自動的に管理するソフトウェアコンポーネントを提案している。本アプローチは、ＩＰｓｅｃ管理およびオーバーヘッドを別個のモジュールの中に抽象化し、デベロッパのために複数の同時接続を横断したＩＰｓｅｃの使用をより単純にするが、複数の接続を横断したＩＰｓｅｃに関する基本問題は、残っている。すなわち、接続の数が増加するにつれて、ソフトウェアまたはハードウェアは、抽象化のレベルにかかわらず、依然として、接続毎にＳＡを維持しなければならず、障害を受けた各個々のリンクを再構築するオーバーヘッドを被る。さらに、これらのアプローチは、ＳＡが作成された時点で待ち時間および他のネットワーク特性を判定することによって、複数の接続を横断して負荷バランシングを提供することを試みている。しかし、これらの既存のモジュールは、各接続のプロパティを継続的に監視することができないため、提供される負荷バランシングは、非効果的である。さらに、これらの方法は、暗号化されたデータグラムのコンテンツを分析することができないため、データコンテンツに基づいて、サービスの品質の利点を提供することができない。本開示に準拠する実施形態は、これらの基本問題を解決する。これらの実施形態は、以下により詳細に説明される。
【００２７】
図３Ａ−３Ｃは、本開示に準拠する、例示的データグラムのブロック図である。図３Ａは、本開示の実施形態に準拠する、標準的ＩＰデータグラム３００を表すブロック図である。ＩＰデータグラム３００は、インターネットまたは他のネットワークを横断してデータのルーティングを可能にするための情報を含有する、ネットワーキングパケットである。ＩＰデータグラム３００は、ＩＰｖ４またはＩＰｖ６のいずれかに準拠するＩＰデータグラムであることができる。ＩＰデータグラム３００は、ＩＰデータグラム３００がネットワークを横断して伝送される方法を制御する種々の情報および設定を含有し得る、ＩＰヘッダ３０１を含むことができる。例えば、ＩＰヘッダ３０１は、ＩＰアドレスの形態におけるホスト情報を含み、データグラムのためのソースおよび宛先を示すことができる。ＩＰヘッダ３０１に加え、ＩＰデータグラム３００は、ＩＰデータ３２０を含む。ＩＰデータ３２０は、未加工データを含む、または周知のユーザデータグラムプロトコルまたは伝送制御プロトコル等のプロトコルにおけるデータの付加的カプセル化を含むことができる。
【００２８】
図３Ｂにおけるデータグラムは、トランスポート３５０モードおよびトンネル３５１モードの両方におけるＩＰｓｅｃ  ＡＨデータグラムを含む。図３Ｂにおけるように、図３Ｃに示されるデータグラムは、トランスポート３５５モードおよびトンネル３５６モードにおけるＩＰｓｅｃ  ＥＳＰデータグラムを含む。
【００２９】
図３Ｂ−３Ｃは、種々のＩＰｓｅｃ動作モードに一致するように修正される例示的ＩＰデータグラムを表す。ＩＰｓｅｃは、種々のモードに従ってＩＰデータグラムをエンコードすることができる。特に、ＩＰｓｅｃは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ（「ＡＨ」）データグラムまたはＥｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ（「ＥＳＰ」）データグラムを作成することができる。これらのタイプのカプセル化はそれぞれさらに、トランスポートモードまたはトンネルモードのいずれかにおいて使用されることができる。これらの構成はそれぞれ、以下により詳細に説明される。
【００３０】
ＩＰｓｅｃ  ＡＨは、データグラムが認証され得るように、ＩＰデータグラムの修正を可能にする。本認証は、とりわけ、データグラムソースの検証を可能にし、および／またはデータグラムが伝送中に変化していないことを確実にすることができる。ＩＰｓｅｃ  ＡＨは、データグラムの暗号化を提供しないが、データグラム内にカプセル化されたデータは、ある他のプロセスまたはアプリケーションを使用して、ＩＰｓｅｃによる修正に先立って暗号化されることができる。ＩＰｓｅｃ  ＡＨは、データグラムのＩＰヘッダ（例えば、ＩＰヘッダ３０１）内のフィールドのうちのいくつかの暗号ハッシュを計算し、計算されたハッシュをデータグラムとともに伝送することによって、データを検証することができる。
【００３１】
ＩＰｓｅｃ  ＥＳＰは、オリジナルＩＰデータグラム（例えば、ＩＰデータグラム３００）を含む、ＩＰｓｅｃペイロードの暗号化を可能にすることができる。ＩＰｓｅｃ  ＥＳＰはまた、ＩＰｓｅｃ  ＡＨに類似する種々のヘッダ内のフィールドの暗号ハッシュを使用して、認証を提供することができる。
【００３２】
概して、トランスポートモードは、ＡＨまたはＥＳＰ形態のいずれかにおいて、ソースエンドポイントから宛先エンドポイントへのＩＰｓｅｃ保護を提供する。トランスポートモードは、２つのホスト間の直接リンクをセキュア化するために使用されることができる。
【００３３】
トンネルモードは、ＡＨまたはＥＳＰ形態のいずれかにおいて、２つのエンドポイント間の接続の一部に沿ってＩＰｓｅｃ保護を提供する。トンネルモードが、２つのエンドポイント間の経路全体をセキュア化するために使用されることができるが、一般に、別個のセキュアなネットワーク上の２つのエンドポイントがインターネット等の非セキュア化ネットワークを横断して通信するときに使用される。トンネルモードは、パブリックの非セキュア化ネットワークを交差する接続の一部のみがＩＰｓｅｃでカプセル化されることを可能にすることができる。
【００３４】
図３Ｂは、本開示の実施形態に準拠する、ＩＰｓｅｃ  ＡＨを使用してカプセル化された例示的ＩＰデータグラム３００のブロック図である。トランスポート３５０モードでは、ＩＰｓｅｃは、暗号ハッシュを計算し、計算されたハッシュをＡＨヘッダ３１０の一部として挿入することができる。ＡＨヘッダ３１０は、ＩＰヘッダ３０１とデータ３２０との間のオリジナルＩＰデータグラムの中に挿入されることができる。ＩＰヘッダ３０１内に規定された宛先において、新しい暗号ハッシュが、計算され、ＡＨヘッダ３１０内に記憶される情報と比較されることができる。ハッシュが合致する場合、ＡＨヘッダ３１０は、データグラムから除去され、オリジナルＩＰデータグラム３００を残すことができる。ＩＰデータグラム３００は、次いで、関連プロセスまたはアプリケーションを提供されることができる。
【００３５】
トンネル３５１モードでは、ＩＰｓｅｃは、トランスポート３５０モードにおいて行われ得る場合と同様に、暗号ハッシュを計算する。トンネル３５１モードでは、ＡＨヘッダ３１０は、ＩＰヘッダ３０１の前に置かれる。データグラム全体（例えば、ＡＨヘッダ３１０、ＩＰヘッダ３０１、およびデータ３２０）が、次いで、新しいＩＰヘッダ内にカプセル化され、データグラムのための新しいＩＰフィールドを規定することができる。新しいＩＰヘッダ３３０内に規定された宛先では、宛先は、新しいＩＰヘッダ３３０を除去し、トランスポート３５０モードにおいて行われた場合と同様に、ＡＨヘッダ３１０を使用して同一認証チェックを行い、ＡＨヘッダ３１０をストリップし、ＩＰヘッダ３０１内のオリジナル宛先およびフィールドに基づいて、ＩＰデータグラム３００をルーティングすることができる。
【００３６】
図３Ｃは、本開示の実施形態に準拠する、ＩＰｓｅｃ  ＥＳＰを使用してカプセル化された例示的ＩＰデータグラム３００のブロック図である。トランスポート３５５モードでは、ＩＰｓｅｃは、標準的暗号化アルゴリズム（例えば、ＤＥＳ、ｔｒｉｐｌｅ−ＤＥＳ、ＡＥＳ、およびＢｌｏｗｆｉｓｈ）および所定の暗号化キーを使用して、データ３２０を暗号化し、ＥＳＰヘッダ３４０およびＥＳＰトレーラ３４１をデータグラムおよび周囲データ３２０内に含むことができる。ＥＳＰヘッダ３４０およびＥＳＰトレーラ３４１は、解読を補助するための情報を含むことができる。随意に、ＩＰｓｅｃ  ＥＳＰは、ＩＰｓｅｃ  ＡＨにおいて行われた類似様式で暗号ハッシュを計算することによって認証を含むことができ、認証詳細をＥＳＰ認証３４２内に含むことができる。ＩＰヘッダ３０１内に規定された宛先では、含まれる場合、認証情報は、検証されることができ、ＥＳＰ認証３４２は、データグラムからストリップされることができる。さらに、データ３２０は、関連付けられたＳＡ内に記憶される所定の暗号化キーならびにＥＳＰヘッダ３４０およびＥＳＰトレーラ３４１内の情報を使用して解読されることができる。宛先は、解読に続いて、ＥＳＰヘッダ３４０およびＥＳＰトレーラ３４１をストリップし、ＩＰヘッダ３０１およびデータ３２０から成るオリジナルＩＰデータグラムのみを残すことができる。ＩＰデータグラムは、次いで、関連プロセスまたはアプリケーションに提供されることができる。
【００３７】
トンネル３５６モードでは、ＩＰＳｅｃ  ＥＳＰは、ＩＰヘッダ３０１およびデータ３２０の両方を含む、オリジナルＩＰデータグラム全体を暗号化する。ＥＳＰヘッダ３４０は、ＩＰヘッダ３０１の前に置かれ、ＥＳＰトレーラ３４１は、データ３２０の後に置かれる。トランスポート３５５モードと同様に、随意の認証がＥＳＰ認証３４２内に含まれる種々のヘッダフィールドの暗号ハッシュを使用して、提供されることができる。ＩＰｓｅｃ  ＥＳＰは、新しいＩＰヘッダ３３０を作成し、カプセル化されたデータグラムのルーティングを制御し、それをデータグラムの開始に置くことができる。新しいＩＰヘッダ３３０内に規定された宛先では、宛先デバイスは、ＥＳＰ認証３４２内の情報を検証し、ＥＳＰヘッダ３４０内の情報、ＥＳＰトレーラ３４１、および所定のキーを使用して、ＩＰヘッダ３０１およびデータ３２０を解読し、新しいＩＰヘッダ３３０、ＥＳＰヘッダ３４０、ＥＳＰトレーラ３４１、およびＥＳＰ認証３４２をデータグラムから除去し、ＩＰヘッダ３０１内のオリジナル情報に従って、データグラムをルーティングすることができる。
【００３８】
図４は、本開示の実施形態に準拠する、例示的ネットワーク環境内に提供される例示的アプライアンス４１０のブロック図である。アプライアンス４１０は、図１からのアプライアンス１０８Ａ−Ｃのいずかであることができる。アプライアンス４１０は、他のコンポーネントまたは関連機能の特定の機能を行うプログラムの一部と併用するために設計される、パッケージ化された機能的ハードウェアユニットである、モジュールであることができる。いくつかの実施形態では、アプライアンス４１０はまた、図１からのゲートウェイ１０６Ａ−Ｂのいずれかであり得る、ゲートウェイを含むことができる。概して、アプライアンス４１０は、送信パケットを処理することができ、データグラムを他のネットワーク（例えば、プライベートネットワーク４０１）またはクライアントデバイス（例えば、クライアント４０３）から受け取ることができる。アプライアンス４１０は、データグラムを処理し、そのコンテンツを分析し、ＩＰｓｅｃ保護データグラムを生成し、以前に分析された情報に基づいて、それらのデータグラムを複数の接続のうちの任意の１つを横断して転送することができる。アプライアンス４１０は、ＩＰｓｅｃをサポートするために付加的ＳＡを作成する必要なく、複数の同時接続をサポートすることができる。
【００３９】
プライベートネットワーク４０１は、付加的コンピューティングデバイスにアタッチされた任意のプライベートネットワークであることができる。プライベートネットワークは、図１からのプライベートネットワーク１１０であることができる。プライベートネットワーク４０１にアタッチされたデバイスまたは他のコンピューティングデバイスは、別のネットワークまたはデバイスに意図されるデータグラムを処理のためにアプライアンス４１０に送信することができる。
【００４０】
同様に、クライアント４０３は、他のネットワークまたはデバイスに意図されるデータグラムを処理のためにアプライアンス４１０に提供することができる。クライアント４０３は、クライアントデバイス１０２Ａ−Ｇのうちの１つであることができる。クライアント４０３は、中間ネットワークを通して通過せずに、アプライアンス４１０に直接接続されることができる。
【００４１】
アプライアンス４１０は、データグラムをプライベートネットワーク４０１、クライアント４０３、またはデータをアプライアンス４１０によって到達可能なネットワークまたはコンピューティングデバイスに送信する任意の他のコンピューティングデバイスから受信することができる。アプライアンス４１０は、それぞれ、宛先Ｄ１−Ｄ３を接続する複数のリンクのためのソースＳ１−Ｓ３であることができる。アプライアンス４１０は、ネットワーク接続のソースとして示されるが、アプライアンス４１０はまた、データをプライベートネットワーク４０１またはクライアント４０３に意図される他のネットワークデバイスもしくはコンピュータから受信することができることを理解されたい。アプライアンス４１０は、ネットワークを横断して単一ＩＰｓｅｃチャネルを提供するように設計される複数のコンポーネントから成ることができる。いくつかの実施形態では、アプライアンス４１０は、ゲートウェイ４２０と組み合わせられる。他の実施形態では、ゲートウェイ４２０は、アプライアンス４１０と通信可能に結合される別個のコンポーネントである。
【００４２】
アプライアンス４１０は、分類器４１１を含む。分類器４１１は、アプライアンス４１０に供給されるデータグラムを分析することができる、モジュールである。分類器４１１は、データグラムを検査し、データグラムと関連付けられたメタデータを作成し、ルーティング決定を補助することができる。各データグラムと関連付けられたメタデータは、種々の要因（例えば、ソースまたは宛先ＩＰアドレス、下層アプリケーション、データグラムにおいて使用される付加的プロトコル、データグラム自体のコンテンツ、またはデータグラムの他の属性）に基づくことができる。本メタデータは、事前に設定されたルールに従って割り当てられることができる、またはシステムの変更要件に動的に基づくことができる。例えば、ＩＰデータグラム内のデータが、トラフィックのタイプに対応する場合、特定のＤＳＣＰタグを示すメタデータが、データグラムに追加されることができる。本実施例では、メタデータは、データグラムが、他のタイプのネットワークトラフィックより高い優先順位を要求し得るＤＳＣＰタグＥｘｐｅｄｉｔｅｄ  Ｆｏｒｗａｒｄｉｎｇ（「ＥＦ」）を使用して分類される、Ｖｏｉｃｅ  ｏｖｅｒ  ＩＰ（「ＶＯＩＰ」）トラフィックを含有することを示すことができる。ルーティング決定が行われるとき、具体的メタデータは、異なるタイプのトラフィックのために選定されるリンクに影響を及ぼすことができる。例えば、ＤＳＣＰタグＥＦと関連付けられたデータグラムは、本タイプのトラフィックに最良に好適な具体的物理リンクを使用して伝送されることができる。データグラムがＶＯＩＰトラフィックを搬送することを示すメタデータを伴う、データグラムは、より高いサービスの品質を確実にするために、短待ち時間および低ジッタ接続を使用して伝送されることができる。
【００４３】
メタデータがＩＰデータグラムと関連付けられた後、データグラムは、ＩＰｓｅｃ４１２に提供される。ＩＰｓｅｃ４１２は、ＩＰｓｅｃ仕様に準拠して、かつＳＡ４１３内に記憶されるプロパティに基づいて、ＩＰデータグラムをエンコードするように設計される、モジュールである。ＳＡ４１３は、所望のエンドポイント（例えば、ゲートウェイ４２１またはアプライアンス４３０）とのＩＰｓｅｃ通信を可能にするために、ＩＫＥ等のプロセスに従って作成されたＳＡであることができる。ＳＡ４１３は、データグラムがアプライアンス４１０によって伝送されることに先立って作成される。一般に利用可能な多くのＩＰｓｅｃモジュールは、アプライアンス４１０の中に組み込まれ、ＩＰｓｅｃ４１２に関して説明される機能性を提供することができる。
【００４４】
パケット分析器４１７は、エンコードされたデータグラムおよび関連付けられたメタデータを分析し、ルーティング情報を提供し、付加的フィールドをデータグラムに追加するように設計される、モジュールである。例えば、パケット分析器は、分類器４１１によって提供されるメタデータに基づいて、データグラムがＭＰＬＳ接続を使用して送信されるべきであることを判定し得る。別の実施例では、パケット分析器４１７は、データグラムが最速ルーティングに従って送信され得る、またはデータグラムが低重要性を有し、他のネットワークトラフィックより低く優先順位が付けられ得ることを判定するであろう。これらの判定は、付加的メタデータとしてエンコードされたデータグラムと関連付けられることができる。さらに、パケット分析器４１７は、タイムスタンプおよびシーケンス番号をエンコードされたデータグラムに追加することができる。本タイムスタンプおよびシーケンス番号は、適切な順序で異なる物理リンクを横断して送信されたデータグラムのシーケンスを再び組み立てるために受信側アプライアンス（例えば、アプライアンス４３０）によって使用されることができる。分析後、パケット分析器は、データグラムおよび関連付けられたメタデータをゲートウェイ４２０に提供することができる。
【００４５】
ゲートウェイ４２０は、遠隔ネットワークおよびデバイスへのルーティングおよび物理接続をハンドリングするように設計される、モジュールである。前述のように、いくつかの実施形態では、ゲートウェイ４２０は、アプライアンス４１０の一部である。他の実施形態ではゲートウェイ４２０は、別個のモジュールである。ゲートウェイ４２０は、他のネットワークまたはコンピューティングデバイスへの物理接続を提供する。加えて、ゲートウェイ４２０は、ネットワークトラフィックをルーティングし、物理ネットワークリンクを監視するように設計される、モジュールまたは機能性を含むことができる。物理ネットワークリンクが障害を受けると、ゲートウェイ４２０は、接続を再確立することができる。ＳＡは、ゲートウェイ４２０に先立って、仮想エンドポイントにおいて設定されるため、物理リンクの再確立は、新しいＳＡの作成と関連付けられたオーバーヘッドを要求しない。代わりに、物理リンクが再確立されるとき、それらは、新しいＳＡの必要なく、すでにＩＰｓｅｃ保護経路の一部である。
【００４６】
ゲートウェイ４２０は、パケットルータ４２１を含むことができる。パケットルータ４２１は、それらのデータグラムと関連付けられたコンテンツおよびメタデータならびに種々のネットワーク接続の現在の状態に従って、ＩＰデータグラムをルーティングするように設計される、モジュールである。パケットルータ４２１は、ルーティング決定をデータグラムのメタデータ内の情報のみに基づくことができる、またはメタデータ情報とリンク評価器４２２によって提供される情報を組み合わせることができる。リンク評価器４２２は、以下により詳細に説明される。パケットルータ４２１は、提供される情報を使用して、具体的データグラムのための最適リンク（例えば、ネットワークソースＳｌ−Ｓ３によって表されるネットワーク接続のうちの１つ）を選択することができる。例えば、パケット分析器４１７が、データグラムがＤＳＣＰタグＥＦとして分類されたデータを含有すると指定する場合、パケットルータ４２１は、本タイプのトラフィックに最良に好適な専用物理リンクを選定することができる。別の実施例では、リンク評価器４２２によって提供されるデータが、特定のリンクが低下または輻輳していることを示す場合、パケットルータ４２１は、新しいトラフィックをその物理リンクに追加することを回避することができる。パケットルータ４２１がリンクを選定後、データグラムは、選択された接続上で伝送されることができる。
【００４７】
リンク評価器４２２は、アクティブネットワーク接続のステータスを継続的に分析するように設計される、モジュールである。データグラムが、ソースＳｌ−Ｓ３から伝送された後、ソースは、伝送統計をリンク評価器４２２に提供することができる。これは、データグラムが宛先Ｄｌ−Ｄ３のうちの１つに到達する時間、特定の接続のエラーレート、またはネットワークリンクのステータスに関連する任意の他の統計を含むことができる。リンク評価器４２２は、ネットワーク接続のそれぞれからの情報を組み合わせ、その情報をパケットルータ４２１に提供し、ルーティング決定を補助することができる。加えて、リンク評価器４２２は、特定の接続が障害を受けると、それを検出し、ゲートウェイ４２０にリンクが再確立されなければならないことをアラートすることができる。
【００４８】
ゲートウェイ４２０によって伝送されるデータグラムは、ゲートウェイ４２１の宛先Ｄｌ−Ｄ３において受信されることができる。ゲートウェイ４２１は、複数の物理接続に到着したデータグラムを受信し、それらをデコーディングのために単一データグラムストリームに組み合わせるように設計される、モジュールである。図４に図示されないが、ゲートウェイ４２１は、データグラムを伝送するためのゲートウェイ４２１と同一コンポーネントを含むことができる。故に、いくつかの実施形態では、ゲートウェイ４２０とゲートウェイ４２１との間の通信は、双方向であって、ゲートウェイ４２１が宛先およびソースの両方として動作することができることを意味する。ゲートウェイ４２１は、宛先Ｄｌ−Ｄ３において受信されたデータグラムをアプライアンス４３０に転送することができる。
【００４９】
アプライアンス４３０は、ＩＰｓｅｃ仕様に準拠し、かつＳＡ４３３内に記憶されるプロパティに基づいて、ＩＰデータグラムをデコードし得る、ＩＰｓｅｃモジュール４３２を含むことができる。ＳＡ４３３は、所望のエンドポイント（例えば、ゲートウェイ４２０またはアプライアンス４１０）とのＩＰｓｅｃ通信を可能にするためにＩＫＥ等のプロセスに従って設定されたＳＡであることができる。ＳＡ４３３は、データグラムがアプライアンス４３０によって受信されることに先立って作成される。一般に利用可能な多くのＩＰｓｅｃモジュールは、アプライアンス４３０の中に組み込まれ、ＩＰｓｅｃ４３２に関して説明される機能性を提供することができる。ＩＰｓｅｃ４３２は、ＩＰｓｅｃ４１２と同一構造および機能性を有することができる（その逆も同様）。さらに、ＳＡ４３３は、ＳＡ４１３に合致し、ＩＰｓｅｃ４３２がＩＰｓｅｃ４１２でエンコードされたデータグラムをデコードすることを可能にすることができる。
【００５０】
受信されたデータグラムをデコードした後、アプライアンス４３０は、オリジナルＩＰヘッダ内のＩＰアドレスに従って、データグラムをルーティングすることができる。データグラムは、例えば、図１からのクライアントデバイス１０２の実施例であり得る、クライアントデバイス４０５または４０４に直接ルーティングされることができる。データグラムはまた、さらなるルーティングのために、プライベートネットワーク４０２に転送されることができる。プライベートネットワーク４０２は、図１からのプライベートネットワーク１１０の実施例であることができる。
【００５１】
図４のブロック図は、例えば、クライアントデバイス（例えば、クライアントデバイス４０３）がセキュアな様式で遠隔クライアントデバイス（例えば、クライアントデバイス４０５）と通信することを可能にする、本開示に準拠する実施形態を実証する。図４に示されるように、物理ネットワークリンク（例えば、Ｓｌ−Ｓ３からＤｌ−Ｄ３）の場所においての代わりに、アプライアンス４１０およびアプライアンス４３０においてＩＰｓｅｃトンネルを作成することは、２つのエンドポイント間に複数の物理リンクが存在する場合でも、ＳＡの単一セットがネットワーク経路のためにネゴシエートされることを可能にする。ルーティングされる前にパケットを分析することによって（例えば、パケット分析器４１７において）、開示される実施形態は、トラフィックを知的にルーティングし、利用可能なネットワークリンクを最適化することができる。さらに、ＩＰｓｅｃアドミニストレーションおよび設定を物理リンクから離れて抽象化することによって、開示される実施形態は、物理リンク毎に別個のＩＰｓｅｃトンネルを管理することに関わるオーバーヘッドおよび難点の多くを排除することができる。さらに、開示される実施形態は、複数のＩＰｓｅｃ接続を維持することと関連付けられたオーバーヘッドおよび難点を低減または排除せずに、マルチリンクＩＰｓｅｃトンネル管理を別個のモジュールまたはコンポーネントの中にカプセル化のみする、従来システムを改良する。
【００５２】
図４に開示される実施形態およびモジュールまたはコンポーネントは、例示である。コンポーネントの多くは、組み合わせられる、または分離され、異なる構成で設置され得ることを理解されたい。図４の構造は、限定を意図するものではない。
【００５３】
図５は、複数の物理リンクを横断してＩＰｓｅｃでエンコードされたデータグラムを遠隔コンピューティング環境に提供するための例示的方法５００を表す、フローチャートである。図示されるプロシージャは、ステップを削除する、またはさらに付加的ステップを含むように改変されることができることが容易に理解されるであろう。初期開始ステップ５０１の後、アプライアンス（例えば、アプライアンス４１０）は、遠隔コンピューティング環境への伝送のために意図されるＩＰデータグラムを得ることができる（ステップ５１０）。得られるデータグラムは、ローカルクライアント（例えば、クライアント４０３）またはアプライアンスに通信可能に結合されるある他のコンピューティングデバイスにおいて発生することができる。
【００５４】
アプライアンスは、次いで、宛先および他の特性に従って、データグラムを分類することができる（ステップ５２０）。例えば、分類器（例えば、分類器４１１）が、とりわけ、データグラムのタイプ、データグラム内のデータまたはプロトコルのタイプ、および他のネットワークトラフィックに関連するデータグラムの相対的重要性を考慮するために使用されることができる。
【００５５】
データグラムを分類後、分類器は、分類に基づいて、メタデータとータグラムを関連付けることができる（ステップ５３０）。本メタデータは、ルーティングエンジンによる後の使用のために、データグラムのコンテンツまたは性質を記述することができる。メタデータは、とりわけ、データグラム内のデータのタイプ、データグラムの重要性、およびカプセル化されたプロトコルを示すことができる。
【００５６】
メタデータがデータグラムと関連付けられた後、アプライアンスは、ＩＰｓｅｃポリシに従うエンコーディングを使用してデータグラムをエンコードすることができる（ステップ５４０）。アプライアンスは、任意の標準的ＩＰｓｅｃモジュールまたはシステムを使用することができる。ＩＰｓｅｃモジュールまたはシステムによって使用されるＳＡは、ＩＫＥ等の一般に理解される技法を使用して、前もってネゴシエートされることができる。
【００５７】
エンコードした後、アプライアンスは、（例えば、パケット分析器４１７を使用して）付加的制御情報とエンコードされたデータグラムを関連付けることができる（ステップ５５０）。付加的情報は、少なくとも、タイムスタンプおよびシーケンス番号を含むことができる。タイムスタンプおよびシーケンス番号は、宛先エンドポイントにおいて使用され、異なる経路を辿ったデータグラムを生成されたものと同一シーケンスに再編成することができる。
【００５８】
アプライアンスは、関連付けられたメタデータおよび各個々のネットワークリンクのアプライアンスの知識に基づいて、（例えば、ゲートウェイ４２０、パケットルータ４２１、およびソースＳＩ−Ｓ３を使用して）エンコードされたデータグラムを伝送することができる（ステップ５６０）。アプライアンスは、帯域幅を最適化するために、より高速の応答時間を有するリンクを優先することができる。いくつかの実施形態では、ソース（例えば、図４からのＳｌ−Ｓ３のうちの１つ）は、データグラムと関連付けられたメタデータのみに基づいて判定されるであろう。例えば、ＭＰＬＳデータを搬送するデータグラムは、具体的ネットワークリンクに結び付けられてもよい。
【００５９】
データグラムが伝送された後、伝送のソースは、使用される具体的物理接続についての伝送統計を得ることができる（ステップ５７０）。それらの統計は、例えば、ドロップされたパケットの数、エラーレート、待ち時間、および物理リンクに関連する他の分析を含むことができる。これらの接続統計は、アプライアンスに提供されることができる（例えば、リンク評価器４２２を使用して）。アプライアンスは、接続統計を評価し、評価をアプライアンスに提供することができる（例えば、パケットルータ４２１を使用して）（ステップ５８０）。故に、評価は、データグラムが伝送され、ネットワーク条件が変動するにつれて、周期的に更新される。
【００６０】
図６は、複数の物理リンクを横断してＩＰｓｅｃエンコードされたデータグラムを遠隔コンピューティング環境から受信するための例示的方法６００を表す、フローチャートである。図示されるプロシージャは、ステップを削除する、またはさらに付加的ステップを含むように改変されることができることが容易に理解されるであろう。初期開始ステップ６０１後、アプライアンス（例えば、アプライアンス４３０）は、ＩＰｓｅｃ互換性エンコーディングを使用してエンコードされたＩＰデータグラムを得ることができる（ステップ６１０）。得られるデータグラムは、遠隔クライアント（例えば、クライアント４０３）またはアプライアンスに通信可能に結合されるある他のコンピューティングデバイスにおいて発生することができる。
【００６１】
データグラムを得た後、アプライアンスはデータグラムに埋め込まれたタイムスタンプおよびシーケンス番号に基づいて、得られる他のデータグラムの中のデータグラムを編成することができる（ステップ６２０）。各データグラムは、データグラムが多くの物理リンクのうちの任意の１つを横断して伝送されることができるため、個々に処理されるが、送信された同一順序で到着しなくてもよい。いくつかの実施形態では、編成は、データグラムがデコードされた後に生じることができる。
【００６２】
データグラムを他の関連付けられたデータグラムとともに編成した後、アプライアンスは、関連データグラムのタイムスタンプおよびシーケンス番号に基づいて、データグラム（例えば、ＩＰｓｅｃ４３２およびＳＡ４３３を使用して）を適切なシーケンスでデコードすることができる（ステップ６３０）。アプライアンスは、オリジナルＩＰヘッダ宛先に従って、デコードされたデータグラムをコンピューティングデバイス（例えば、クライアント４０５、クライアント４０４、またはプライベートネットワーク４０２に接続される別のデバイス）にルーティングすることができる（ステップ６４０）。
【００６３】
前述の明細書では、実施形態が、実装毎に変動し得る多数の具体的詳細を参照して説明された。説明される実施形態のある適応および修正が行われることができる。他の実施形態は、本明細書に開示される実施形態の仕様および実践の検討から当業者に明白となり得る。明細書および実施例は、例示にすぎないものとして見なされることが意図される。また、図示されるステップのシーケンスは、例証目的のために意図されるものであって、ステップの任意の特定のシーケンスに限定されることを意図するものではない。したがって、当業者は、これらのステップが、同一方法を実装しながら、異なる順序で行われることができることを理解し得る。
【図１】
2018522481.tif 000003
【図２Ａ】
2018522481.tif 000004
【図２Ｂ】
2018522481.tif 000005
【図３Ａ】
2018522481.tif 000006
【図３Ｂ】
2018522481.tif 000007
【図３Ｃ】
2018522481.tif 000008
【図４】
2018522481.tif 000009
【図５】
2018522481.tif 000010
【図６】
2018522481.tif 000011
【国際調査報告】
2018522481.tif 000012
2018522481.tif 000013
2018522481.tif 000014