(57)【特許請求の範囲】
【請求項１】
コンピュータと、ネットワークリソースとの間のコンピュータネットワークコネクションを確立するための手段と、
前記コンピュータネットワークコネクションのセキュリティレベルを決定するための手段と、
前記コンピュータネットワークコネクションの決定された前記セキュリティレベルを使用して、ネットワークへの前記コンピュータのアクセスレベルを制御するための手段とを備え、
前記セキュリティレベルを決定するための前記手段は、前記コンピュータネットワークコネクションが暗号化されているかを判定するための手段を備える、
ことを特徴とする中間装置。
【請求項２】
前記コンピュータネットワークコネクションが暗号化されているかを判定するための前記手段は、Wired Equivalent Privacy(“WEP”)暗号化を使用して、前記コンピュータネットワークコネクションが暗号化されているかを判定するための手段を備える、
請求項１記載の中間装置。
【請求項３】
前記アクセスレベルを制御するための前記手段は、前記セキュリティレベルを決定するための前記手段が、前記コンピュータネットワークコネクションが暗号化されていることを判定したときにのみ、前記ネットワークリソースへの接続を前記コンピュータに許可するための手段をさらに備える、
請求項１又は２記載の中間装置。
【請求項４】
前記アクセスレベルを制御するための前記手段は、前記コンピュータネットワークコネクションが暗号化されているかにかかわらず、前記ネットワークリソースへのアクセスを前記コンピュータに許可するための手段をさらに備える、
請求項３記載の中間装置。
【請求項５】
コンピュータと、ネットワークリソースとの間のコンピュータネットワークコネクションを確立するステップと、
前記コンピュータネットワークコネクションのセキュリティレベルを決定するステップと、
前記コンピュータネットワークコネクションの決定された前記セキュリティレベルを使用して、ネットワークへの前記コンピュータのアクセスレベルを制御するステップとを含み、
前記セキュリティレベルを決定するための前記ステップは、前記コンピュータネットワークコネクションが暗号化されているかを判定するステップを含む、
ことを特徴とするネットワークリソースへのアクセスレベルの制御方法。
【請求項６】
プロセッサに、
コンピュータと、ネットワークリソースとの間のコンピュータネットワークコネクションを確立するステップと、
前記コンピュータネットワークコネクションのセキュリティレベルを決定するステップと、
前記コンピュータネットワークコネクションの決定された前記セキュリティレベルを使用して、ネットワークへの前記コンピュータのアクセスレベルを制御するステップとを含み、
前記セキュリティレベルを決定するための前記ステップが、前記コンピュータネットワークコネクションが暗号化されているかを判定するステップを含む、
ネットワークリソースへのアクセスを制御するための方法を実行させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークリソースへのアクセスを制御することに関する。より詳細には、本発明は、ネットワークへのコネクションのセキュリティレベルに基づいて、ネットワークリソースへのアクセスレベルを制御することに関する。
【０００２】
【従来の技術】
コンピュータネットワークへの無線アクセスが知られている。たとえば、ユーザは、ラップトップパーソナルコンピュータ（“ＰＣ”）のようなタイプの計算装置をインターネット又はイントラネットのようなネットワークに接続することができる。無線ネットワーキングのための標準規格は、ＩＥＥＥ802.11ダイレクトシーケンス（“ＤＳ”）及びＩＥＥＥ802.11bネットワークである。
【０００３】
かかるネットワークでは、ネットワークのセキュリティレベルは、Wired Equivalent Privacy（“ＷＥＰ”）セキュリティを利用することにより、高められる場合がある。かかるＷＥＰは、無線通信を暗号化して、容易な傍受を妨げることができる。
【０００４】
【発明が解決しようとする課題】
ＷＥＰ暗号化は、標準規格であるので、異なる製造者によるハードウェアの無線ネットワーキングの相互使用を可能にする。かかるＷＥＰ暗号化を使用するために、ユーザは、エンドクライアントであるラップトップコンピュータと、無線装置と通信するアクセスポイントとの両者において同じ暗号キーを設定する。ユーザが異なる無線ネットワークを利用するとき、暗号キーは、それぞれのネットワークキーと一致するために変更されなければならない。
【０００５】
本発明者は、それぞれのネットワークについて暗号キーを変更すること、及び該暗号キーを思い出すことは面倒であると認識している。ネットワーク暗号キーであるＷＥＰキーを変更する必要をなくすために、本発明者は、ＷＥＰ暗号化を容易にオフすることが可能であると考えるが、これにより、セキュリティ、すなわちＷＥＰセキュリティにより提供される暗号化がオフされることにもなることを認識している。
【０００６】
【課題を解決するための手段】
本発明者は、ネットワークコネクションのセキュリティレベルに基づいて、ネットワークリソースへのアクセスレベルを制御するシステムを発展させる。好適な実施の形態では、無線ネットワークコネクションが利用されるが、有線又は他のタイプのネットワークコネクションが利用される場合もある。
【０００７】
コンピュータとネットワークリソースの間には中間装置が存在し、コンピュータと中間装置の間には、ネットワークコネクションが確立される。コンピュータと中間装置の間には、コンピュータネットワークコネクションのセキュリティレベルの判定が存在する。コンピュータネットワークコネクションのセキュリティレベルに基づいて、コンピュータは、１つ以上のネットワークリソースへのアクセスを有することが許可される。
【０００８】
本発明の実施の形態によれば、コンピュータと中間装置の間のネットワークコネクションは、無線ネットワークコネクションである。更なる実施の形態によれば、無線ネットワークコネクションは、ＩＥＥＥ802.11b規格に従うものである。
【０００９】
本発明の実施の形態によれば、コンピュータネットワークコネクションのセキュリティレベルは、コンピュータネットワークが暗号化されているかを調べることにより決定される。本発明のさらなる実施の形態によれば、セキュリティレベルは、Wired Equivalent Privacy（“ＷＥＰ”）暗号化を使用して、コンピュータネットワークコネクションが暗号化されているかを調べることにより決定される。ネットワークリソースは、コンピュータネットワークコネクションのセキュリティレベルに基づいてアクセスが許可されるものであり、ファイルサーバへのアクセス、インターネットへのアクセス、又は電子メールサーバへのアクセスを含んでいる。
【００１０】
本発明の実施の形態によれば、コンピュータネットワークコネクションのセキュリティレベルの決定は、中間装置自身により実行される。望むのであれば、中間装置は、ファイアウォール機能を有するルータとして実現することができる。本発明の別の実施の形態によれば、ネットワークリソースへのアクセスレベルの制御は、ネットワークオペレーティングシステム、又は該システムのディレクトリサービスにより実行される場合がある。さらに、個別のファイアウォール装置が利用されて、ネットワークリソースへのコンピュータのアクセスレベルが制御される場合もある。
【００１１】
【発明の実施の形態】
添付図面を参照して、本発明、及び本発明の効果についてより完全な理解が得られる。図面を参照して、ここでは、幾つかの図面を通して、同じ参照符号には、特に図１と同一又は対応する構成要素を示している。
【００１２】
計算装置２は、ネットワークコネクション４を通して中間装置１０に接続されている。計算装置６は、コンピュータネットワークコネクション８を通して中間装置１０に接続されている。計算装置２及び６は、同一又は異なるタイプの計算装置であってもよく、各種ハードウェアを使用して実現される場合がある。計算装置２は、計算するいずれかのタイプの装置（たとえば、コンピュータ）とすることができる。
【００１３】
たとえば、計算装置２及び６は、デスクトップコンピュータ、ラップトップコンピュータ、ハンドヘルドコンピュータ、パームコンピューティング装置、パーソナルデジタルアシスタント、又はセルラーフォン又はセルラーフォンタイプの装置を使用して実現されてもよい。
【００１４】
コンピュータネットワークコネクション４及び８は、いずれか所望の手法で実現されてもよく、１実施の形態では、無線コンピュータネットワークコネクションである。本実施の形態では、配線（wires）は、計算装置と中間装置の間で情報を伝達するための媒体であるのみでなく、無線周波数、赤外線、又は超音波のような無線通信媒体がコンピュータネットワークコネクションとして利用されてもよい。
【００１５】
本発明で利用される場合がある特定の無線タイプのコンピュータネットワークコネクションは、ＩＥＥＥ802.11規格に従うコネクションであり、より好ましくは、ＩＥＥＥ802.11b規格に従うコネクションである。しかし、有線ネットワークコネクションを含めた他の適切なコネコネクションがネットワークコネクション４及び８として利用される場合もある。
【００１６】
中間装置１０は、中間体、すなわち計算装置２，６、ネットワーク１２Ａ、及び中間装置１０に接続される構成要素の間の接続装置として機能する。中間装置１０についての更なる情報は、図２及び図３に関して説明される。
【００１７】
図１Ｂは、各種ネットワークリソースを含んでいるネットワーク１２Ｂを例示している。本発明の実施の形態によれば、図１Ａのネットワーク１２Ａ、及び図１Ｂのネットワーク１２Ｂは、同じネットワークであり、互いに直接接続される。代替的に、ネットワーク１２Ａ及び１２Ｂは、（図５に関して説明される）ファイアウォール装置によるような中間装置を通して互いに接続されるか、或いはハブ、ブリッジ、スイッチ、ルータ又は他の適切なネットワーク接続装置のような別の装置により互いに接続される。
【００１８】
ネットワーク１２Ｂは、たとえば、ログインサーバ３０、ファイルサーバ３２、電子メールサーバ３４、及びインターネットに接続されるインターネットサーバ３６を含めて、ネットワーク１２Ｂに接続される各種ネットワークリソースを有している。
【００１９】
ログインサーバ３０は、コンピュータの管理、及び望むのであれば管理の１つの点からのネットワーキングリソースを許可する。ログインサーバ３０は、コンピュータネットワークへのアクセスを管理するための製品であるNovell Directory Services（“ＮＤＳ”）を使用して実現されてもよい。ＮＤＳを使用して、ネットワーク管理者は、ユーザのデータベースをセットアップして制御し、グラフィカルユーザインタフェースによるディレクトリを使用してユーザのデータベースを管理することができる。
【００２０】
ＮＤＳ又はログインサーバ３０を使用して、遠隔地にある、計算装置２，６を含めたコンピュータのユーザは、適切であれば、中心的に追加、更新及び管理することができる。ネットワークへのログイン動作は、実行又は解釈されるスクリプトにより典型的に制御される。Novell Directory Servicesの代替として、Microsoft社のActive Directory ディレクトリサービスとして利用してもよい。さらに、いずれかの適切なソフトウェア及び／又はハードウェアを利用して、ネットワークリソースへのアクセスを制御、及びネットワークリソースの管理を補助してもよい。
【００２１】
ログインサーバ３０が図１Ｂにおける個別のサーバとして例示されているが、ファイルサーバ、或いはネットワーク１２Ｂの他のサーバ又はリソースのような他の機能を実行するサーバを使用してディレクトリサービス又はログインサーバ機能を実現することが可能である。
【００２２】
ファイルサーバ３２は、コンピュータネットワーク１２Ｂのユーザによりアクセスされるファイルを含んでいる。電子メールサーバは、ネットワークの電子メールアカウントを管理及び制御し、インターネット電子メールの送信及び受信を許可するために使用してもよい。
【００２３】
インターネットサーバ３６は、インターネット３８へのアクセスを許可する。望むのであれば、インターネットサーバ３６は、World Wide Webのブラウザ表示を可能にするために利用されてもよく、ファイル転送プロトコルを使用してファイル転送を可能にすることができ、たとえば、電子メールサーバ３４により、インターネット電子メールメッセージの送信及び受信を許可してもよい。
【００２４】
電子メールサーバ３４及びインターネットサーバ３６が個別のサーバとして例示されているが、望むのであれば、これらの装置により実行される機能が１つの装置に統合されてもよい。さらに、図１Ｂに例示されているサーバ及びリソースを１つ以上のサーバ又はコンピュータに結合してもよい。
【００２５】
また、図１Ｂのネットワークに例示されているのは、ユーザ２０，２２及び２４である。これらのユーザは、パーソナルコンピュータ、ワークステーション、又はダム端末として実現されてもよく、ネットワーク１２Ｂのサーバへのアクセスを有する。さらに、ユーザは、図１Ａに例示されるいずれかの装置へのアクセスを有してもよく、又は該装置を制御することができる。
【００２６】
さらに、プリントサーバは、図１Ａ及び図１Ｂに例示される装置からの情報のプリント出力を許可するネットワーク１２Ｂに接続されてもよく、１つ以上のプリンタに接続されていてもよい。さらに、ネットワーク１２Ａ及び／又は１２Ｂは、ローカルエリアネットワーク（“ＬＡＮ”）として実現されてもよいし、ワイドエリアネットワーク（“ＷＡＮ”）、インターネット、イントラネット、又はこれらのタイプのネットワークの組合せとして実現されてもよい。
【００２７】
図２Ａは、中間装置１０の機能的な構成要素を例示している。図２Ａ、及び図３もまた、計算装置２及び６への配線を使用しない無線周波数（“ＲＦ”）のコネクションに関して例示されている。本発明はかかるコネクションに限定されず、他のタイプの無線ネットワークコネクション又は有線ネットワークコネクションを使用して実現されてもよい。
【００２８】
図２Ａでは、中間装置は、無線ＬＡＮカード５２に接続されたアンテナ５０を含んでいる。無線ＬＡＮカード５２は、アンテナ５０に信号を送出し、アンテナ５０からの信号を受ける機能を有し、ドライバ５４及び５６も利用する。無線ＬＡＮカード５２は、ドライバ５４及び５６のようなソフトウェア又はファームウェアにより制御されてもよい。
【００２９】
本発明によれば、中間装置１０と計算装置２及び６の間での異なる通信について、異なるセキュリティレベルを使用することができる。たとえば、かかる機能性を実行するために、図２Ａには、ドライバ５４が例示されている。ドライバ５４は、無線カード５２のためのソフトウェア又はファームウェアとしての役割を果たし、たとえば、計算装置２及び／又は６との暗号化通信を実行する。
【００３０】
また、暗号化されていない通信を実行するために例示されているドライバ５６が存在する。暗号化は、無線ネットワークで一般的に使用されているWired Equivalent Privacy（“ＷＥＰ”）暗号化規格に従い実行されてもよいが、他のタイプの暗号化又はセキュリティプロテクションを利用してもよい。暗号化及び非暗号化通信について、２つの個別のドライバ５４及び５６がそれぞれ例示されているが、本発明の実際の実現は、望むのであれば、同じドライバを使用して暗号化及び非暗号化の両者を実行してもよい。
【００３１】
中間装置１０内に含まれるファイアウォール又はファイアウォール装置５８が存在し、この装置は、ファイアウォール機能を実行するブロック及び構成である。このファイアウォール５８は、計算装置２及び６がアクセスするネットワークリソースを制御するために利用されてもよい。
【００３２】
本発明によれば、以下に更に詳細に説明されるように、計算装置と中間装置の間のネットワーク接続が暗号化されているときに、全てのネットワークリソースへのアクセス、又はネットワークリソースのより完全なセットへのアクセスを実行することが望まれる場合がある。この場合、構成要素すなわちブロック６２は、図１Ｂに例示されている各種ネットワークリソースへの高レベルなアクセスを提供するレベル１のアクセスについて、ファイアウォール設定を提供する。
【００３３】
代替的に、計算装置と中間装置１０の間の接続について、非暗号化のような低レベルのセキュリティが利用される場合、低い第２のレベルすなわちレベル２アクセスについて、ファイアウォール設定が利用されるような設定、又は機能すなわちブロック６４が利用される。
【００３４】
この場合、ユーザは、たとえば、インターネットサーバ３６を通したインターネット３８へのアクセス、さらに望むのであれば、電子メールサーバ３４へのアクセスのような制限されたネットワークリソースのセットのアクセスを有してもよい。ファイルサーバ３２へのアクセス、及び／又は可能であれば他のリソースへのアクセスは、レベル１についてのファイアウォール設定が機能ブロック６２に関して利用されるときにのみ提供されてもよい。
【００３５】
機能ブロック５８がファイアウォールとしてラベル付けされる場合、ネットワークリソースに対する制約は、ファイアウォール装置を使用して実現される場合があるが、ネットワークリソースへのアクセスの様々なレベルを提供する機能が可能である限り、ファイアウォール５８の代わりに、他の装置又は機能が可能である。ファイアウォール５８は、ＬＡＮカード６６に接続されており、ＬＡＮカード６６は、ネットワーク１２Ａへのインタフェースを提供する。
【００３６】
図２Ｂは、中間装置の代替的な実施の形態を例示している。この代替的な実施の形態では、図２Ａの例示的な構成要素に加えて、無線ＬＡＮカード５３に接続されるアンテナ５１が存在している。さらに、無線ＬＡＮカード５３は、ドライバ５３に接続されており、ドライバ５６は、暗号化することなしに動作する。
【００３７】
本実施の形態では、ＬＡＮカードにおけるファームウェアにより１つ以上の実施の形態に従い暗号化が実行されるために、２つの無線ＬＡＮカード５２及び５３が例示されている。このように、本実施の形態に従う実現は、暗号化通信向けにＬＡＮカード５２を利用し、非暗号化通信向けにＬＡＮカード５３を利用している。
【００３８】
図３は、中間装置１０のハードウェアブロック図を例示している。いずれか汎用又は特定用途向けのマイクロプロセッサ、又は処理装置である場合があるＣＰＵ８０が存在している。リードオンリメモリ（“ＲＯＭ”）８２は、制御プログラム及び／又は中間装置１０のオペレーティングシステムを記憶するために利用される。ＲＯＭの代替として、たとえば、中間装置１０の制御プログラムの更新及び変更を可能にするフラッシュメモリ又はＥＥＰＲＯＭのような再書込み可能な不揮発性のメモリを利用してもよい。
【００３９】
ランダムアクセスメモリ（“ＲＡＭ”）８４は、中間装置の作業パラメータ及び変数を記憶するために使用される。無線装置８６は、アンテナ５０に接続され、通信の送信及び制御、及び望むのであれば通信のフォーマット化に関連した機能を実行する。さらに、又は代替的に、ＣＰＵ８０は、通信の送信及び制御を実行又は補助してもよい。
【００４０】
ＬＡＮカード６６は、ネットワーク１２Ｂに対するインタフェースを提供し、従来のＬＡＮ又はＷＡＮインタフェースを使用して実現される場合がある。Ｉ／Ｏポート９０が存在しており、キーボード、マウス、シリアルケーブル、ユニバーサルシリアルバスケーブル、ファイアウォールケーブル、又は他の計算装置が中間装置１０にインタフェースされることを可能にし、これにより、中間装置１０の動作をモニタ及び／又は制御することができる。
【００４１】
また、望むのであれば、中間装置１０は、ディスプレイ９２を含んでおり、中間装置１０の状態及び通信動作を表示することを可能にし、単に１つ以上のＬＥＤ又は小型ＬＣＤディスプレイにであってもよい。代替的に、望むのであれば、フルサイズのＬＣＤディスプレイ又はＣＲＴを利用してもよい。図３で例示されている様々な構成要素は、システムバス９４により接続される。
【００４２】
本発明の１実施の形態によれば、中間装置は、ルータである。したがって、中間装置によりルーティング機能が実行される。さらに、実施の形態によれば、また、中間装置１０は、ファイアウォール機能を含んでいる。ルーティング機能及びファイアウォール機能の両者は、ソフトウェアを利用して実現されてもよい。
【００４３】
たとえば、Linuxオペレーティングシステムは、カーネルにルーティング機能及びオペレーティング機能を有しており、ＩＰパケット中継として言及される。ファイアウォールの設定、すなわちネットワークリソースへのアクセスレベルは、図１Ａにおける様々な計算装置２及び６について個々に制御することができる。したがって、無線ＬＡＮカード５２についてのアクセスレベル設定又はファイアウォール設定は、中間装置にアクセスする様々な計算装置について、異なるようにすることができる。
【００４４】
代替的に、本発明は、DI-711 Production Description and Product Specification に記載されたD-Link DI-711 Broadband/Firewall 、及び／又はSMC Barricade Overview, Technical Specs, and User Guide に記載されるThe SMC Barricade Wireless Broadband Routerのソフトウェア又はファームウェア機能を変更することにより容易に実現することができ、それぞれの開示及び動作は、参照により本明細書に組込まれる。
【００４５】
さらに、本発明のシステムは、望むのであれば、米国特許第5,636,220号、第6,167,514号、第6,148,334号、及び本明細書で引用又は参照された特許又は論文に開示される教示のいずれかを利用して実現してもよい。これら全ての記載は、参照により本明細書に組込まれる。さらに、中間装置１０及びその動作は、Cabletron System社によるRoam About 802.11 Wireless Networking Guideに含まれる教示又は説明のいずれかを補助又は利用して実現してもよい。これら全ての記載は、参照により本明細書に組込まれる。
【００４６】
図４では、本発明の動作を示すフローチャートが説明されている。開始の後、ステップ１０２では、無線ネットワーク向けの通信パラメータが設定される。たとえば、設定されるパラメータは、伝送レート、計算装置からの無線通信を受信する１つ以上の中間装置が存在するときに利用されるアクセスポイント密度、スリープモードのような電力管理設定、Request To Send 信号に関連するＲＴＳ閾値パラメータを含んでいる。
【００４７】
アクセスポイントは、無線装置が有線ネットワークにインタフェースされる装置である。例として、中間装置１０は、アクセスポイントと考えられる。しかし、本発明は、望むのであれば、全ての有線ネットワーク、又は全ての無線ネットワークに、或いはこれらの組み合わせに適用されてもよい。したがって、ステップ１０２は、計算装置と中間装置１０の間の有線通信向けの通信パラメータを設定するために利用されてもよい。
【００４８】
ステップ１０４では、計算装置と中間装置１０の間での接続のセキュリティパラメータが設定される。かかるセキュリティパラメータは、システム名、中間装置名、アクセスポイント１０を単に知ることである。更なるセキュリティレベルを利用してもよいし、又は、たとえば、ＷＥＰ規格に従う暗号化のように設定してもよい。暗号化の他の形式を利用してもよく、異なるレベルの暗号かを設定するためのキーについて、異なる暗号化キーの長さ又はビット数を利用してもよい。さらに、望むのであれば、変動するタイプのパラメータを利用してもよい。
【００４９】
ステップ１０６では、ステップ１０４で設定されたセキュリティの設定を調べる。代替的に、セキュリティパラメータは、異なる時間で設定されてもよいし、デフォルトパラメータであってもよい。セキュリティ設定は、ステップ１０６で調べられ、ネットワークリソースへのどのレベルでのアクセスを計算装置が有さなければならないかが決定される。
【００５０】
ステップ１０８では、ネットワークリソースへのアクセスレベルは、セキュリティ設定に基づいて設定される。たとえば、ＷＥＰ暗号化が使用されたとき、或いは高い又はあるタイプの暗号化又はセキュリティシステムが利用されたとき、かかる高いレベルのセキュリティを有する計算装置は、それぞれのネットワークリソース、又は大部分のネットワークリソースのような多数のネットワークリソースにアクセスを提供する。
【００５１】
また、セキュリティレベルが比較的高いレベルに設定されたとき、すなわち暗号化がオンされているとき、たとえば、ネットワークリソースのうちの１つであるファイルサーバへのアクセスが許可される。たとえば、暗号化がオンされていない場合は、ファイルサーバへのアクセスが拒否される。
【００５２】
ファイルサーバについて要求されるアクセスレベルとは反対に、インターネットへのアクセスは、公に利用されているリソースに対して、単にアクセスすることである。したがって、インターネットへのアクセスは、コネクション４又は８のようなコンピュータネットワークコネクションが暗号化又は安全であるかにかかわらず許可される。
【００５３】
電子メールサーバへのアクセスに関して、望むのであれば、システムをセットアップして、セキュリティレベルが暗号化又はある高いレベルに設定されているとき、電子メールサーバをアクセス可能にするか、又は、代替的に、暗号化されていないときであっても電子メールサーバをアクセス可能にしてもよい。実施の形態では、電子メールにアクセスする人又は計算装置は、彼又は彼女自身の電子メールアカウントへのアクセスを有するのみであるべきである。
【００５４】
セキュリティ設定を調べるステップ１０６、及びセキュリティ設定に基づいてアクセスレベルを設定するステップ１０８は、同じ装置により実行されてもよいし、異なる装置により実行されてもよい。１実施の形態によれば、中間装置は、ルータ、又は無線ルータとして実現される場合があり、セキュリティ設定に基づいてネットワークリソースへのアクセスレベルを設定及び制御してもよい。一方で、他の実施の形態及び実現も可能であり、それらのうちの幾つかは以下に記載される。
【００５５】
上記内容の少なくとも１部によれば、アクセスレベルの制御は、中間装置１０、及び／又は中間装置１０内のファイアウォール機能を使用して実現される。しかし、ネットワークリソースへのコンピュータのアクセスレベルの制御は、ログインサーバ３０自身により実行されてもよいし、又は中間装置１０により実行される機能と共にログインサーバ３０により実行されてもよい。
【００５６】
また、上述したように、ログインサーバ３０は、図１Ｂに例示されるファイルサーバ３２の一部、又は他のサーバの一部であってもよい。ユーザがコンピュータにログオンしたとき、Novell Directory Services（“ＮＤＳ”）のようなディレクトリサービスを利用して、コンピュータネットワークの許可、ユーザが有する特定のネットワークリソースを制御してもよい。
【００５７】
代替的な利用されるディレクトリサービスは、Microsoft社のActive Directoryであってもよいが、他のソフトウェア、ディレクトリサービス又はシステムを利用して、ネットワークへのアクセスレベルを制御してもよい。ディレクトリサービスは、ネットワークオペレーティングシステムの一部と考えてもよいし、望むのであれば、ネットワークオペレーティングシステムから分離されていてもよい。
【００５８】
ネットワークオペレーティングシステム又はディレクトリサービスを利用してネットワークへのアクセスを制御するとき、又はネットワークリソースへのアクセスを制御するとき、ログインサーバ又はネットワーク上の他のコンピュータは中間装置に問合わせ、セキュリティパラメータを決定する（たとえば、暗号化がオンであるかオフであるか、或いは暗号化のレベル）。
【００５９】
代替的に、ログインサーバ又はディレクトリサービスからの問合わせに対照的に、中間装置は、それ自身の開始に関して、セキュリティレベル、セキュリティパラメータ、及び／又は通信パラメータを送信してもよく、それらの何れかを利用して、ネットワークリソースへの計算装置のアクセスレベルを制御してもよい。
【００６０】
この実施の形態では、ネットワークリソースへのコンピュータ又は計算装置２及び６のアクセスレベルの制御がログインサーバ３０、ネットワークオペレーティングシステム、及び／又はディレクトリサービスにより実行される場合、中間装置は、ブリッジ、又は２つの無線装置をインタフェースするブリッジとして実現されてもよい。したがって、この実施の形態では（又は、いずれかの実施の形態では）、中間装置は、例として、RoamAbout Wireless LAN、又はそのアクセスポイントを使用して実現されてもよい。かかる利用は、望むのであれば、システムのコストが低減される場合がある。
【００６１】
さらに、この実施の形態では、中間装置は、ブリッジ、ハブ、又は内部にルーティング機能を有さないスイッチであってもよく、及び／又は中間装置１０と計算装置２及び／又は６の間の有線によるコネクションを利用してもよい。さらに、有線コネクション及び無線コネクションの組合せは、コネクション４及び８として利用されてもよく、また、コネクションは、各種セキュリティレベルを利用してもよい。
【００６２】
本発明の更に別の実施の形態として、個別のファイアウォール装置を図１Ａのネットワーク１２Ａと図１Ｂのネットワーク１２Ｂの間に配置してもよい。図５を参照して、ネットワーク１２Ａとネットワーク１２Ｂの間に接続されたファイアウォール装置１４０が例示されている。このファイアウォール装置は、計算装置とネットワークリソースの間を通過する情報又はネットワークパケットを制限又はフィルタリングするために利用される。
【００６３】
ファイアウォール装置１４０として利用されるファイアウォール装置の例として、SonicWALL XPRS2は、参照により本明細書に組込まれ、ネットワーク１２Ａ及び／又はネットワーク１２Ｂを接続するスタンドアロン型ファイアウォール装置として利用される場合がある。さらに、ファイアウォール装置１４０は、適切なソフトウェアを実行する計算装置、又はネットワークリソースへのアクセスを制限又は制御する適切なソフトウェアをルーティングするルーティング装置のような所望の構成又はファイアウォール装置を使用して実現されてもよい。
【００６４】
この実施の形態では、ネットワーク１２Ａは、従来のコンピュータネットワークとして実現されてもよいし、コンピュータバス、シリアルコネクション、パラレルコネクション、ユニバーサルシリアルバスコネクション、ファイアウォールコネクション、有線コネクション、又は何れか所望のタイプのコネクションを使用することによるようなインタフェース、又はいずれかのタイプのコンピュータ通信装置を使用して実現してもよい。
【００６５】
ネットワーク１２Ａとネットワーク１２Ｂの間にスタンドアロン型ファイアウォール装置１４０が存在する実施の形態では、計算装置と中間装置１０の間のコンピュータネットワークコネクションのセキュリティレベルを決定するステップは、中間装置１０により実行されてもよい。中間装置１０は、計算装置２及び６と中間装置自身の間のコネクションのタイプを示す情報をその内部に記憶している。したがって、中間装置１０は、コネクション４及び８のセキュリティレベルに関する情報をスタンドアロン型ファイアウォール装置４０に送信することが可能である。
【００６６】
さらに、又はセキュリティレベルを決定する中間装置の代替として、ファイアウォール装置１４０は、中間装置１０に問合わせて、コンピュータネットワークコネクションのセキュリティレベルを決定する。さらに、ファイアウォール装置１４０は、ディレクトリサービス又はオペレーティングシステムがネットワークリソースへのアクセスレベルを制御する実施の形態と利用されてもよい。さらに、本発明は、上記実施の形態の何れかの組合せとなる実施の形態を含んでいる。
【００６７】
本発明に関して、望むのであれば、計算装置２についてＷＥＰ暗号化をオンにして、計算装置６についてＷＥＰ暗号化をオフにすることができる。しかし、計算装置の両者についてＷＥＰ暗号化をオンにすることもできる。暗号化が１つ以上の計算装置について使用される場合、異なる暗号化キーがそれぞれのユーザについて利用可能であることが好ましい。かかる暗号化キーは、ネットワーク管理者により割当てられてもよい。
【００６８】
計算装置が適切なセキュリティレベル又は暗号化を使用するとき、かかる計算装置は、ネットワークへの十分なアクセスを有する場合がある。これは、かかる計算装置が全てのＴＣＰ（Transmission Control Protocol）及びＵＤＰ（User Datagram Protocol）プロトコルを利用するか、又はアクセスしてもよいことを意味している。かかるユーザは、望むのであれば、ＷＥＢブラウジング、ＦＴＰを使用したファイル転送、及びウィンドウズ（登録商標）ファイル共有を実行することが許可される場合がある。
【００６９】
本発明は、いずれかのタイプの通信、計算、送信、及び／又は使用が望まれるファイアウォール装置を使用して実現されてもよい。本明細書で記載された各種機能は、汎用のマイクロプロセッサ、コンピュータ、又はプログラマブルロジック、又は本発明の教示を実行するためにプログラムされた回路、及び／又は特定用途向けハードウェア又は回路、或いはその組合せを使用して実現することができる。
【００７０】
かかる装置向けのソフトウェア及びハードウェア符号化は、当業者であれば明らかなように、本発明の教示に基づいて、熟練したプログラマ又はエンジニアにより容易に準備される。また、本発明は、特定用途向け集積回路、プログラマブルロジックアレイ、又は当業者であれば容易に明らかであるような従来の構成素子回路の適切なネットワークにより実現される場合がある。
【００７１】
また、本発明は、本発明の処理をコンピュータに実行させるようにプログラムして使用することができる命令を含む記憶媒体であるコンピュータプログラムプロダクトを含んでいる。記憶媒体は、限定されるものではないが、フロプティカルディスク、光ディスク、ＣＤ−ＲＯＭ、及び光磁気ディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、磁気カード又は光カード、又はいずれかのタイプの電子的命令を記憶するのに適したディスクいずれかのタイプのディスクを含んでいる。また、本発明は、本発明のコンピュータプログラムプロダクトに対応するデータ構造を記憶する本明細書で記載されたようなメモリを含んでいる。
【００７２】
上述した教示に照らして、本発明の様々な変更及びバリエーションが明らかに可能である。したがって、特許請求の範囲の範囲内で、発明の実施の形態で特に記載された以外で本発明を実施してもよいことを理解されるべきである。
【図面の簡単な説明】
【図１Ａ】更なるネットワークリソースへのインタフェースとしての役割を果たす中間装置に接続される２つの計算装置を例示する図である。
【図１Ｂ】図１Ａの計算装置がアクセスを有する更なるネットワークリソースを含むネットワークを例示する図である。
【図２Ａ】図１Ａの中間装置の概念的なブロック図である。
【図２Ｂ】図１Ａの中間装置の概念的なブロック図の代替的な実施の形態を説明する図である。
【図３】中間装置のハードウェア構成のブロック図である。
【図４】本発明の動作を説明するフローチャートである。
【図５】図１Ａにおける中間装置から図１Ｂに例示されるネットワークに接続する、本発明の１実施の形態で使用されるファイアウォール装置を示す図である。
【符号の説明】
２，６：計算装置
１０  ：中間装置
１２Ａ，１２Ｂ：ネットワーク
２０，２２，２４：ユーザ
３０：ログインサーバ
３２：ファイルサーバ
３４：電子メールサーバ
３６：インターネットサーバ
３８：インターネット
５２，５３：無線ＬＡＮカード
５４：無線ＬＡＮカードドライバ（暗号化）
５６：無線ＬＡＮカードドライバ（非暗号化）
５８：ファイアウォール
６２：レベル１に設定するファイアウォール
６４：レベル２に設定するファイアウォール
６６：ＬＡＮカード
８０：ＣＰＵ
８２：ＲＯＭ
８４：ＲＡＭ
８６：無線装置
９０：Ｉ／Ｏポート
９２：ディスプレイ
１４０：ファイアウォール装置
【図１Ａ】
0003989271.tif 000002
【図１Ｂ】
0003989271.tif 000003
【図２Ａ】
0003989271.tif 000004
【図２Ｂ】
0003989271.tif 000005
【図３】
0003989271.tif 000006
【図４】
0003989271.tif 000007
【図５】
0003989271.tif 000008