(57)【特許請求の範囲】
【請求項１】
サーバによりネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
前記クライアント・コンピュータの個々のユーザによって変更可能な、前記クライアント・コンピュータに対するユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える段階と、
を備え、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項２】
請求項１記載の方法であって、前記クライアント・コンピュータへのアクセスを選択的に与える前記段階が、
前記サーバにおいて、外部コンピュータと前記クライアント・コンピュータとの間の接続を確立する要求を受け取る段階と、
前記ユーザ変更可能セキュリティ設定によって許可される場合に、前記外部コンピュータと前記クライアント・コンピュータとの間の接続を確立する段階と、
を備える方法。
【請求項３】
請求項２記載の方法であって、前記接続が前記入り接続である方法。
【請求項４】
請求項１記載の方法であって、前記クライアント・コンピュータへのアクセスを選択的に与える前記段階が、
前記サーバにおいて、前記外部コンピュータから入りパケットを受け取る段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記入りパケットを前記クライアント・コンピュータに送る段階と、
を備える方法。
【請求項５】
請求項４記載の方法であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされている方法
【請求項６】
請求項５記載の方法であって、前記第１のプロトコルが前記ネットワークによって使用される方法。
【請求項７】
請求項５記載の方法であって、前記入りパケットが、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られる方法。
【請求項８】
請求項７記載の方法であって、前記別のプロトコルが、前記サーバに接続された付加価値通信網で使用される方法。
【請求項９】
請求項７記載の方法であって、前記のカプセル化された入りパケットを前記クライアント・コンピュータにおいてカプセル化解除する段階を更に備える方法。
【請求項１０】
請求項１記載の方法であって、
前記クライアント・コンピュータの個々のユーザから前記ユーザ変更可能なセキュリティ設定に対する変更を受け取る段階と、
前記サーバに前記変更を与える段階と、
を更に備える方法。
【請求項１１】
請求項１記載の方法であって、前記ユーザ変更可能なセキュリティ設定が入り接続の確立を禁止する方法。
【請求項１２】
請求項１記載の方法であって、前記ユーザ変更可能なセキュリティ設定が入り接続の確立を許容する方法。
【請求項１３】
請求項１記載の方法であって、前記ネットワークが公衆網である方法。
【請求項１４】
請求項１記載の方法であって、前記サーバがアクセス・サーバである方法。
【請求項１５】
ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するシステムであって、
前記クライアント・コンピュータ及び前記ネットワークに接続されたサーバと、
コンピュータ可読媒体におけるサーバ・ソフトウェアであって、前記サーバに、ユーザ変更可能なセキュリティ設定を維持する動作と、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作とを実行させる命令を備え、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるサーバ・ソフトウェアと、
コンピュータ可読媒体におけるクライアント・ソフトウェアであって、前記クライアント・コンピュータに、前記クライアント・コンピュータのユーザから前記ユーザ変更可能なセキュリティ設定に対する変更を受け取る動作と、前記変更を前記サーバ・コンピュータに与える動作とを実行させる命令を備えるクライアント・ソフトウェアと、
を具備するシステム。
【請求項１６】
請求項１５記載のシステムであって、前記サーバ・ソフトウェアが、
前記サーバにおいて、前記外部コンピュータと前記クライアント・コンピュータとの間の接続を確立するための要求を受け取る命令と、
前記ユーザ変更可能なセキュリティ設定により許可される場合に、前記外部コンピュータと前記クライアント・コンピュータとの間の前記接続を確立する命令と、
を更に備えるシステム。
【請求項１７】
請求項１６記載のシステムであって、前記接続が前記入り接続であるシステム。
【請求項１８】
請求項１５記載のシステムであって、前記サーバ・ソフトウェアが、
前記サーバにおいて、前記外部コンピュータから入りパケットを受け取る命令と、
前記ユーザ変更可能なセキュリティ設定により許可される場合に、前記入りパケットを前記クライアント・コンピュータへ送る命令と、
を更に備えるシステム。
【請求項１９】
請求項１８記載のシステムであって、前記入りパケットが第１のプロトコルにしたがってフォーマットされているシステム。
【請求項２０】
請求項１９記載のシステムであって、前記第１のプロトコルが前記ネットワークによって使用されるシステム。
【請求項２１】
請求項１９記載のシステムであって、前記入りパケットが、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られるシステム。
【請求項２２】
請求項２１記載のシステムであって、前記別のプロトコルが、前記サーバに接続された付加価値通信網によって使用されるシステム。
【請求項２３】
請求項２１記載のシステムであって、前記サーバ・ソフトウェアが、前記のカプセル化された入りパケットをカプセル化解除する命令を更に備えるシステム。
【請求項２４】
請求項１５記載のシステムであって、前記ネットワークが公衆網であるシステム。
【請求項２５】
請求項１５記載のシステムであって、前記サーバがアクセス・サーバであるシステム。
【請求項２６】
ネットワークへ接続されたクライアント・コンピュータへのアクセスを制御するためのサーバであって、
前記サーバを前記クライアント・コンピュータへ接続するための第１のポートと、
前記サーバを前記ネットワークに接続するための第２のポートと、
コンピュータ可読媒体におけるソフトウェアであって、前記サーバに、
前記クライアント・コンピュータのユーザによって変更可能なユーザ変更可能なセキュリティ設定を維持する動作と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作と、
を実行させる命令を備えるソフトウェアと、
を具備し、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるサーバ。
【請求項２７】
請求項２６記載のサーバであって、
前記サーバにおいて、前記外部コンピュータと前記クライアント・コンピュータとの間の接続を確立するための要求を受け取る命令と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記外部コンピュータと前記クライアント・コンピュータとの間の前記接続を確立する命令と、
を更に備えるサーバ。
【請求項２８】
請求項２７記載のサーバであって、前記接続が前記入り接続であるサーバ。
【請求項２９】
請求項２７記載のサーバであって、前記ソフトウェアが、
前記サーバにおいて、前記外部コンピュータから入りパケットを受け取る命令と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記入りパケットを前記クライアント・コンピュータへ送る命令と、
を更に備えるサーバ。
【請求項３０】
請求項２９記載のサーバであって、前記入りパケットが第１のプロトコルにしたがってフォーマットされているサーバ。
【請求項３１】
請求項３０記載のサーバであって、前記第１のプロトコルが前記ネットワークによって使用されるサーバ。
【請求項３２】
請求項３０記載のサーバであって、前記入りパケットが、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られるサーバ。
【請求項３３】
請求項３２記載のプロトコルであって、前記別のプロトコルが、前記サーバに接続された付加価値通信網によって使用されるサーバ、
【請求項３４】
請求項２６記載のサーバであって、前記ネットワークが公衆網であるサーバ。
【請求項３５】
請求項２６記載のサーバであって、前記サーバがアクセス・サーバであるサーバ。
【請求項３６】
サーバによってネットワークに接続されたクライアント・コンピュータに常駐するコンピュータ可読媒体におけるクライアント・コンピュータ・ソフトウェアであって、
前記クライアント・コンピュータに、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記クライアント・コンピュータのユーザからユーザ変更可能なセキュリティ設定に対する変更を受け取り、前記ユーザ変更可能なセキュリティ設定が、該設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与えるよう用いられる動作であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される動作と、
前記変更を前記サーバに与える動作と、
を実行させる命令を備えるクライアント・コンピュータ・ソフトウェア。
【請求項３７】
請求項３６記載のソフトウェアであって、前記ユーザ変更可能なセキュリティ設定が、該設定によって許可される場合に、前記外部コンピュータと前記クライアント・コンピュータとの間の接続を確立するように前記サーバによって使用されるソフトウェア。
【請求項３８】
請求項３７記載のソフトウェアであって、前記接続が前記入り接続であるソフトウェア。
【請求項３９】
請求項３６記載の方法であって、前記ユーザ変更可能なセキュリティ設定が、該設定によって許可される場合に、入りパケットを前記クライアント・コンピュータへ送るよう前記サーバによって使用されるソフトウェア。
【請求項４０】
請求項３９記載のソフトウェアであって、前記入りパケットが第１のプロトコルにしたがってフォーマットされているソフトウェア。
【請求項４１】
請求項４０記載のソフトウェアであって、前記第１のプロトコルが前記ネットワークによって使用されるソフトウェア。
【請求項４２】
請求項４０記載のソフトウェアであって、前記入りパケットが、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られるソフトウェア。
【請求項４３】
請求項４２記載のソフトウェアであって、前記別のプロトコルが、前記サーバに接続された付加価値通信網であるソフトウェア。
【請求項４４】
請求項４２記載のソフトウェアであって、前記のカプセル化されたパケットをカプセル化解除する命令を更に備えるソフトウェア。
【請求項４５】
サーバによってネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
前記クライアント・コンピュータに対するユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える段階であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される段階と、
を備え、
前記クライアント・コンピュータへのアクセスを選択的に与える前記段階が、
前記サーバにおいて、前記外部コンピュータから入りパケットを受け取る段階と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送る段階と、
を備え、
前記入りパケットが第１のプロトコルにしたがってフォーマットされ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られ、前記別のプロトコルが、前記サーバに接続された付加価値網によって使用される方法。
【請求項４６】
サーバによってネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
前記クライアント・コンピュータに対するユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える段階であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される段階であり、前記サーバにおいて、前記外部コンピュータから入りパケットを受け取るステップと、前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送るステップであって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られるステップとを備える段階と、
前記クライアント・コンピュータにおいて、前記のカプセル化された入りパケットをカプセル化解除する段階と、
を備える方法。
【請求項４７】
サーバによってネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
前記クライアント・コンピュータに対するユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える段階と、
を備え、
前記クライアント・コンピュータへのアクセスを選択的に与える段階が、
外部コンピュータと前記クライアント・コンピュータとの間の接続を確立する要求を前記サーバにおいて受け取る段階と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する段階と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記外部コンピュータと前記クライアント・コンピュータとの間の接続を確立する段階と、
を備え、
前記接続が入り接続であり、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項４８】
ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するシステムであって、
前記クライアント・コンピュータ及び前記ネットワークに接続されたサーバと、
コンピュータ可読媒体におけるサーバ・ソフトウェアであって、前記サーバに、
ユーザ変更可能なセキュリティ設定を維持する動作と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される動作と、
前記サーバにおいて、前記クライアント・コンピュータから入りパケットを受け取る動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送る動作と、
を実行させる命令を備えるサーバ・ソフトウェアと、
コンピュータ可読媒体におけるクライアント・ソフトウェアであって、前記クライアント・コンピュータに、
前記クライアント・コンピュータのユーザから前記ユーザ変更可能なセキュリティ設定に対する変更を受け取る動作と、
前記変更を前記サーバ・コンピュータに与える動作であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られ、前記別のプロトコルが前記サーバに接続された付加価値網によって使用される動作と、
を実行させる命令を備えるクライアント・ソフトウェアと、
を具備するシステム。
【請求項４９】
ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するシステムであって、
前記クライアント・コンピュータ及び前記ネットワークに接続されたサーバと、
コンピュータ可読媒体におけるサーバ・ソフトウェアであって、前記サーバに、
ユーザ変更可能なセキュリティ設定を維持する動作と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される動作と、
前記サーバにおいて、前記クライアント・コンピュータから入りパケットを受け取る動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送る動作と、
を実行させる命令を備えるサーバ・ソフトウェアと、
コンピュータ可読媒体におけるクライアント・ソフトウェアであって、前記クライアント・コンピュータに、
前記クライアント・コンピュータのユーザから前記ユーザ変更可能なセキュリティ設定に対する変更を受け取る動作と、
前記変更を前記サーバ・コンピュータに与える動作であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られる動作と、
を実行させる命令を備えるクライアント・ソフトウェアと、
を具備し、
前記サーバ・ソフトウェアが、前記のカプセル化された入りパケットをカプセル化解除する動作を更に含むシステム。
【請求項５０】
ネットワークへ接続されたクライアント・コンピュータへのアクセスを制御するためのサーバであって、
前記サーバを前記クライアント・コンピュータへ接続するための第１のポートと、
前記サーバを前記ネットワークに接続するための第２のポートと、
コンピュータ可読媒体におけるソフトウェアであって、前記サーバに、
ユーザ変更可能なセキュリティ設定を維持する動作と、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される動作と、
前記サーバにおいて、前記クライアント・コンピュータから入りパケットを受け取る動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送る動作であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られ、前記別のプロトコルが前記サーバに接続された付加価値網によって使用される動作と、
を実行させる命令を備えるソフトウェアと、
を具備するサーバ。
【請求項５１】
サーバによってネットワークに接続されたクライアント・コンピュータに常駐するコンピュータ可読媒体におけるクライアント・コンピュータ・ソフトウェアであって、
前記クライアント・コンピュータに、
前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立したかどうかを決定する動作と、
前記クライアント・コンピュータのユーザからユーザ変更可能なセキュリティ設定に対する変更を受け取り、前記ユーザ変更可能なセキュリティ設定によって許可される場合に、該設定を、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与えるよう用いる動作であって、前記クライアント・コンピュータが以前に外部コンピュータとの出接続を確立した場合にのみ、前記ユーザ変更可能なセキュリティ設定により、前記外部コンピュータからの入り接続が前記クライアント・コンピュータにおいて確立される動作と、
前記変更を前記サーバに与える動作と、
を実行させる命令を備え、
前記ユーザ変更可能なセキュリティ設定が許可する場合に前記クライアント・コンピュータへ前記入りパケットを送るよう前記ユーザ変更可能なセキュリティ設定が用いられ、
前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られ、
前記別のプロトコルが前記サーバに接続された付加価値網によって使用される
クライアント・コンピュータ・ソフトウェア。
【請求項５２】
サーバによってネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
ユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階であって、前記ユーザ変更可能なセキュリティ設定が、前記クライアント・コンピュータの個々のユーザによって変更可能である段階と、
前記ネットワークからの前記クライアント・コンピュータへのアクセスを選択的に阻止する段階であって、前記クライアント・コンピュータによって確立された外部コンピュータとの以前の出接続がない場合に、前記ユーザ変更可能なセキュリティ設定が、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるのを阻止する段階と、
を具備する方法。
【請求項５３】
請求項５２に記載の方法であって、前記クライアント・コンピュータによって開始された外部コンピュータとの以前の出接続がない場合に、前記ユーザ変更可能なセキュリティ設定が、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるのを阻止する方法。
【請求項５４】
請求項１記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項５５】
請求項１５に記載のシステムであって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるシステム。
【請求項５６】
請求項２６に記載のサーバであって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるサーバ。
【請求項５７】
請求項３６に記載のソフトウェアであって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立されるソフトウェア。
【請求項５８】
請求項４５に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項５９】
請求項４６に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６０】
請求項４７に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６１】
請求項４８に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６２】
請求項４９に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６３】
請求項５０に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６４】
請求項５１に記載の方法であって、前記クライアント・コンピュータによって前記外部コンピュータとの前記出接続が以前に開始された場合のみ、前記ユーザ変更可能なセキュリティ設定によって、前記外部コンピュータからの入り接続が前記クライアント・コンピュータに対して確立される方法。
【請求項６５】
サーバによってネットワークに接続されたクライアント・コンピュータへのアクセスを制御する方法であって、
前記クライアント・コンピュータに対するユーザ変更可能なセキュリティ設定を前記サーバにおいて維持する段階と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える段階であって、前記サーバにおいて外部コンピュータから入りパケットを受け取り、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られるステップと、前記ユーザ変更可能なセキュリティ設定が許可する場合に前記入りパケットを前記クライアント・コンピュータへ送るステップとを備える段階と、
を備える方法。
【請求項６６】
ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するシステムであって、
前記クライアント・コンピュータ及び前記ネットワークに接続されたサーバと、
コンピュータ可読媒体におけるサーバ・ソフトウェアであって、前記サーバに、
ユーザ変更可能なセキュリティ設定を維持する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作と、
前記サーバにおいて、前記クライアント・コンピュータから入りパケットを受け取る動作であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られる動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に前記入りパケットを前記クライアント・コンピュータへ送る動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に、前記入りパケットを前記クライアント・コンピュータへ送る動作と、
を実行させる命令を備えるサーバ・ソフトウェアと、
コンピュータ可読媒体におけるクライアント・ソフトウェアであって、前記クライアント・コンピュータに、
前記クライアント・コンピュータのユーザから前記ユーザ変更可能なセキュリティ設定に対する変更を受け取る動作と、
前記変更を前記サーバ・コンピュータに与える動作と、
を実行させる命令を備えるクライアント・ソフトウェアと、
を具備するシステム。
【請求項６７】
ネットワークへ接続されたクライアント・コンピュータへのアクセスを制御するためのサーバであって、
前記サーバを前記クライアント・コンピュータへ接続するための第１のポートと、
前記サーバを前記ネットワークに接続するための第２のポートと、
コンピュータ可読媒体におけるソフトウェアであって、前記サーバに、
ユーザ変更可能なセキュリティ設定を維持する動作と、
前記ユーザ変更可能なセキュリティ設定によって許可される場合に、前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与える動作と、
前記サーバにおいて、前記クライアント・コンピュータから入りパケットを受け取る動作であって、前記入りパケットが第１のプロトコルにしたがってフォーマットされ、且つ、且つ、別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られる動作と、
前記ユーザ変更可能なセキュリティ設定が許可する場合に前記入りパケットを前記クライアント・コンピュータへ送る動作と、
を実行させる命令を備えるソフトウェアと、
を具備するサーバ。
【請求項６８】
サーバによってネットワークに接続されたクライアント・コンピュータに常駐するコンピュータ可読媒体におけるクライアント・コンピュータ・ソフトウェアであって、
前記クライアント・コンピュータに、
前記クライアント・コンピュータのユーザからユーザ変更可能なセキュリティ設定に対する変更を受け取る動作であって、前記ユーザ変更可能なセキュリティ設定が、該設定によって許可される場合に前記ネットワークから前記クライアント・コンピュータへのアクセスを選択的に与えるよう前記サーバによって用いる動作と、
前記変更を前記サーバに与える動作であって、前記ユーザ変更可能なセキュリティ設定が、該設定によって許可された場合に前記クライアント・コンピュータへ第１のプロトコルにしたがってフォーマットされた入りパケットを送るよう前記サーバによって用いられ、前記入りパケットが別のプロトコルにしたがってカプセル化されてから前記クライアント・コンピュータへ送られる動作と、
を実行させる命令を備えるクライアント・コンピュータ・ソフトウェア。
【発明の詳細な説明】
【０００１】
技術分野
本出願は、ユーザによって構成可能なファイアウォールを有する公衆網アクセス・サーバに関する。
【０００２】
背景
図１に示すコンピュータ・システム１００は、他のコンピュータ・ユーザとの通信や、様々なコンピュータ・リソースへのアクセスや、電子コンテンツ（すなわちテキスト、画像、映画、音楽またはその他の音声、アニメーション、３Ｄ仮想世界、他のオブジェクトへのリンクの、任意の組合せ）の閲覧、生成、そうでない場合には操作などのタスクを、ユーザが実施できるようにするソフトウェアを実行するための典型的なハードウェア設定を表す。このシステムは、様々な入出力（Ｉ／Ｏ）デバイス（マウス１０３、キーボード１０５、表示装置１０７）および汎用コンピュータ１００を含み、汎用コンピュータ１００は、中央処理装置（ＣＰＵ）１２１と、Ｉ／Ｏユニット１１７と、データおよびオペレーティング・システム１１１や１つまたは複数のアプリケーション・プログラム１１３などの様々なプログラムを記憶するメモリ１０９とを備える。コンピュータ・システム１００はまた、通常、通信リンク１２５（例えば電話回線）を介してネットワーク１２７とデータを交換するための、何らかの種類の通信カードまたはデバイス１２３（例えばモデムやネットワーク・アダプタ）も含む。
【０００３】
図２に示すように、コンピュータ・システム１２９のユーザは、アクセス・サーバ１３３（インターネット・サービス・プロバイダすなわち「ＩＳＰ」など）を介して公衆網１３１（例えばインターネット）にアクセスすることができる。このことはとりわけ、コンピュータ・システム１２９が、公衆網１３１に接続された（図２には示されていない）他のコンピュータ（「外部」コンピュータと呼ぶ）との間でデータを送受信することを可能にする。例えば、外部コンピュータの１つはウェブ・サイトのホストとして働くことができ、コンピュータ・システム１２９は、このホストから、コンピュータ・システム１２９上で稼動する「ブラウザ」プログラム（例えばカリフォルニア州マウンテンビューのＮｅｔｓｃａｐｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｃｏｒｐｏｒａｔｉｏｎから市販されているＮｅｔｓｃａｐｅ  Ｃｏｍｍｕｎｉｃａｔｏｒバージョン４．７などのインターネット・ブラウザ）を使用してウェブ・ページを閲覧することができる。
【０００４】
しかし、インターネットなどの公衆網１３１に接続することにより、コンピュータ・システム１２９は、公衆網１３１を使用して、それに接続されたコンピュータへの未許可アクセスを得ようとする部外者（「ハッカー」または「クラッカー」と呼ばれることもある）から、攻撃を受けやすくなる可能性がある。このような部外者はしばしば、コンピュータ・システム１２９への未許可アクセスを得た後、コンピュータ・システム１２９上にあるデータおよびプログラムを閲覧、コピー、改変、削除、および／または再配布する。
【０００５】
ダイヤルアップ・モデム接続（「ダイヤルアップ接続」と呼ぶ）を用いて従来の電話サービス（ＰＯＴＳ）回線を介してインターネットにアクセスするユーザにとっての脅威は、通常は比較的少なかった。このようなダイヤルアップ接続を採用するユーザには通常、一時的な「ＩＰアドレス」が割り当てられる。ＩＰ（インターネット・プロトコル）アドレスは、インターネット上で特定のコンピュータまたはその他のネットワーク・デバイスを識別する、全世界で固有の識別子である。例えば図３に示すように、ユーザは、ＰＯＴＳ回線を使用してアクセス・サーバ１４７にダイヤルすることにより、コンピュータ１４５に接続されたモデム１４３を介してインターネット１４１にアクセスすることができる。アクセス・サーバ１４７は、複数の「ポート」を有する端末サーバ１４９を備える。ユーザのモデム１４３から送信されるデータを受信するために、端末サーバ１４９のポートにはいくつかのダイヤルアップ・モデム（図３には示さず）が接続される。端末サーバ１４９は、ダイヤルアップ・ホスト・コンピュータ１５１（例えばＵＮＩＸ（登録商標）オペレーティング・システムの一変形を駆動するコンピュータ・ワークステーション）に接続される。ダイヤルアップ・ホスト・コンピュータ１５１は、通常は高速接続１５３（例えばＴ１接続）を介してインターネット１４１に接続される。アクセス・サーバ１４７および高速接続１５３は、通常はＩＳＰによって維持される。
【０００６】
通常、ユーザがアクセス・サーバ１４７にダイヤルする度に、異なる一時ＩＰアドレスがユーザのコンピュータ１４５に割り当てられる。ユーザは通常、インターネットにアクセスしていないときはコンピュータ１４５をアクセス・サーバ１４７から切断しているので、ユーザのコンピュータ１４５に割り当てられるＩＰアドレスは一時的なものである。これによりＩＳＰは、前にユーザのコンピュータ１４５に割り当てたＩＰアドレスを、その後にアクセス・サーバ１４７にダイヤルする別のコンピュータの一時ＩＰアドレスとして再使用することができる。
【０００７】
ユーザのコンピュータ１４５のＩＰアドレスは、ユーザがアクセス・サーバ１４７にダイヤルする度に変わることがあるので、ユーザのコンピュータのＩＰアドレスを知ることが必要なハッキング技法を、部外者が首尾よく用いるのは難しい。例えば、ユーザのコンピュータ１４５のＩＰアドレスがわからなければ、そのコンピュータにテルネット接続することはできない。
【０００８】
最近、従来のダイヤルアップ・インターネット接続に代わる高速の接続が、ますます普及しつつある。これらの高速の代替には、ディジタル加入者線（「ＤＳＬ」）およびケーブル・モデム接続が含まれるが、これらは通常、ユーザが自分の電話回線をデータ接続と同時に音声伝送にも使用することを可能にする。この結果、これらの新しい高速接続のユーザの多くは、インターネットにアクティブにアクセスしていないときでも、自分のコンピュータをインターネットから切断しない。このようにして継続的に接続しておくことで、ユーザは、通常ならインターネットにアクセスする度に受けることになる、インターネットへの再接続に関連するオーバーヘッド（遅延および労力）を回避することができる。この結果、多くのインターネット・サービス・プロバイダは、このような高速「常時接続」インターネット接続を利用するコンピュータに、固定（すなわち一時的でない）ＩＰアドレスを割り当てている。しかし、永久ＩＰアドレスを使用するといくつかのハッキング技法が容易になるので、固定ＩＰアドレスを使用するときは、一時ＩＰアドレスの使用に関連するセキュリティの利点が失われる。
【０００９】
ビジネスや教育施設などの企業がそれらのネットワークおよびコンピュータ（通常は固定ＩＰアドレスが割り当てられる）を保護するのに用いてきた方式の１つは、「ファイアウォール」の採用である。ファイアウォールは、企業のネットワークおよび／またはコンピュータ（「内部」ネットワークおよびコンピュータと呼ぶ）に公衆網を介してアクセスしようとする他のコンピュータ（「外部」コンピュータと呼ぶ）からの、内部ネットワークおよびコンピュータへのアクセスを制御するためのシステムである。ファイアウォールの目的は、ネットワーク要素が公衆網からの未許可アクセスを受けないようにしながら、ネットワーク要素が公衆網に結び付けられるようにし、それにより公衆網にアクセスすることができるようにすることである。首尾よいファイアウォールは、ネットワーク要素（例えばルータ、コンピュータ、サーバなど）が公衆網を介した攻撃または未許可照会を受けないようにしながら、ネットワーク要素が公衆網要素と通信できるようにする。このようなファイアウォールは、「パケット・フィルタリング」や「アプリケーション・ゲートウェイ」など周知の技法を用いて、どのデータ・パケットを内部ネットワークおよびコンピュータに転送するかを決定する。
【００１０】
ビジネスおよび教育の場で使用されるネットワークおよびコンピュータを保護するために採用されるファイアウォールは、通常、ファイアウォールで保護されるネットワークの各内部ユーザがどのように公衆網にアクセスできるかを決定するセキュリティ・ポリシーを実施する。通常、これらのセキュリティ・ポリシーは、あるタイプのユーザすべてに同じ公衆網・アクセス権が割り当てられる「万能サイズ（ｏｎｅ−ｓｉｚｅ−ｆｉｔｓ−ａｌｌ）」の手法を実施する。この万能サイズの手法は一般に実施、維持、および監査が簡単であり、このような施設は一般にこのような手法を施設のネットワークおよびコンピュータのユーザに課す立場にあるので、このような手法はしばしば、このような施設の場では望ましい。
【００１１】
しかし従来、大部分のインターネット・サービス・プロバイダは、インターネットから生じる攻撃から自身のユーザのコンピュータを保護するためにファイアウォールを採用してこなかった。ダイヤルアップ接続を介してインターネットにアクセスするユーザなら、通常、一時ＩＰアドレスの使用に関連するセキュリティ利点により、このようなセキュリティ対策を必要としない。さらに、大部分のＩＳＰは、従来ファイアウォールの使用に関連していたタイプの万能サイズのセキュリティ・ポリシーを自身のユーザに課すことを望まない、かつ／あるいは課す立場にはない。そうではなくＩＳＰは、通常、ユーザが望むならユーザのコンピュータ上に何らかのタイプのファイアウォール（「クライアントベース・ファイアウォール」と呼ぶ）を実装することをユーザに任せていた。
【００１２】
クライアントベース・ファイアウォールは通常、ある程度の技術的知識がユーザ側に必要である。例えば、攻撃からの追加の保護が必要なユーザは、脅威と、クライアントベース・ファイアウォールが提供できる潜在的保護とのいずれかを認識していない場合がある。脅威とクライアントベース・ファイアウォールが提供できる潜在的保護とをユーザが認識している場合でも、ユーザは、必要な技術的専門知識がないために、クライアントベース・ファイアウォールを正しくインストールできないか、インストールする気にならないことがある。ユーザはまた、クライアントベース・ファイアウォールを保守することができない場合もある。例えばユーザは、新たに発見された潜在的なセキュリティの弱点に対処する更新版ソフトウェアを適時にインストールすることができない場合がある。実際、クライアントベース・ファイアウォールのもう１つの欠点は、クライアントベース・ファイアウォールの各ユーザが別個にユーザのファイアウォールを更新しなければならないことである。
【００１３】
本発明者は、アクセス・サーバのユーザに万能サイズの解決法を課すことのないサーバベース・ファイアウォールの解決法の必要性を認識した。
概要
実装形態は、以下の特徴のうちの１つまたは複数を含むことができる。一態様では、サーバによってネットワーク（例えば公衆網）に接続されたクライアント・コンピュータへのアクセスを制御する方法は、クライアント・コンピュータに対し、ユーザによって変更可能なセキュリティ設定をサーバにおいて維持することを含むことができる。この方法はまた、ユーザによって変更可能なセキュリティ設定によって許可される場合に、ネットワークからクライアント・コンピュータへのアクセス権を選択的に与えることを含むこともできる。
【００１４】
クライアント・コンピュータへのアクセス権を選択的に与えることは、外部コンピュータとクライアント・コンピュータとの間の接続（例えば入り接続）を確立する要求をサーバにおいて受信すること、および、ユーザによって変更可能なセキュリティ設定によって許可される場合に、外部コンピュータとクライアント・コンピュータとの間の接続を確立することを含むことができる。さらに、クライアント・コンピュータへのアクセス権を選択的に与えることは、外部コンピュータからの入りパケットをサーバにおいて受信すること、および、ユーザによって変更可能なセキュリティ設定によって許可される場合に、入りパケットをクライアント・コンピュータに転送することを含むこともできる。入りパケットは、ネットワークによって使用されるものとすることのできる第１のプロトコルに従ってフォーマットされる。入りパケットはまた、クライアント・コンピュータに転送する前に別のプロトコル（例えばサーバに接続された付加価値通信網によって使用されるプロトコル）に従ってカプセル化され得る。この方法はまた、カプセル化済みの入りパケットをクライアント・コンピュータにおいてカプセル化を解除することを含むこともできる。
【００１５】
この方法はさらに、ユーザによって変更可能なセキュリティ設定に対する変更をクライアント・コンピュータのユーザから受け取ること、および、この変更をサーバに提供することを含むこともできる。ユーザによって変更可能なセキュリティ設定は、入り接続が確立されるのを禁止することもでき、入り接続が確立されるのを許可することもできる（例えば、以前にその外部コンピュータとの出接続がクライアント・コンピュータによって確立された場合に）。
【００１６】
別の態様では、ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するためのシステムは、クライアント・コンピュータとネットワーク（例えば公衆網）とに接続されたサーバ（例えばアクセス・サーバ）を含むことができる。このシステムはまた、コンピュータ可読媒体中のサーバ・ソフトウェアを含むこともでき、このサーバ・ソフトウェアは、ユーザによって変更可能なセキュリティ設定を維持すること、および、ユーザによって変更可能なセキュリティ設定によって許可される場合に、ネットワークからクライアント・コンピュータへのアクセス権を選択的に与えることを、サーバに行わせる命令を含む。さらに、このシステムは、コンピュータ可読媒体中のクライアント・ソフトウェアを含むこともでき、このクライアント・ソフトウェアは、ユーザによって変更可能なセキュリティ設定に対する変更をクライアント・コンピュータのユーザから受け取ること、および、この変更をサーバ・コンピュータに提供することを、クライアント・コンピュータに行わせる命令を含む。
【００１７】
サーバ・ソフトウェアは、外部コンピュータとクライアント・コンピュータとの間の接続（例えば入り接続）を確立する要求をサーバにおいて受信する命令と、ユーザによって変更可能なセキュリティ設定によって許可される場合に、外部コンピュータとクライアント・コンピュータとの間の接続を確立する命令を含むことができる。
【００１８】
サーバ・ソフトウェアはまた、外部コンピュータからの入りパケットをサーバにおいて受信する命令と、ユーザによって変更可能なセキュリティ設定によって許可される場合に、入りパケットをクライアント・コンピュータに転送する命令を含むこともできる。入りパケットは、ネットワークによって使用されるものとすることのできる第１のプロトコルに従ってフォーマットすることができる。このシステムはまた、入りパケットを、クライアント・コンピュータに転送する前に別のプロトコル（例えばサーバに接続された付加価値通信網によって使用されるプロトコル）に従ってカプセル化することもできる。サーバ・ソフトウェアはまた、カプセル化済みの入りパケットのカプセル化を解除する命令を含むこともできる。
【００１９】
別の態様では、ネットワークに接続されたクライアント・コンピュータへのアクセスを制御するためのサーバは、サーバをクライアント・コンピュータに接続するための第１のポートと、サーバをネットワークに接続するための別のポートを備えることができる。サーバはまた、コンピュータ可読媒体中のソフトウェアを含むこともでき、このソフトウェアは、ユーザによって変更可能なセキュリティ設定を維持すること、および、ユーザによって変更可能なセキュリティ設定によって許可される場合に、ネットワークからクライアント・コンピュータへのアクセス権を選択的に与えることを、サーバに行わせる命令を含む。
【００２０】
別の態様では、サーバによってネットワークに接続されたクライアント・コンピュータ上にあるコンピュータ可読媒体中のクライアント・コンピュータ・ソフトウェアは、ユーザによって変更可能なセキュリティ設定に対する変更をクライアント・コンピュータのユーザから受け取ること、および、この変更をサーバ・コンピュータに提供することを、クライアント・コンピュータに行わせる命令を含むことができる。ユーザによって変更可能なセキュリティ設定をサーバが使用して、ユーザによって変更可能なセキュリティ設定によって許可される場合にネットワークからクライアント・コンピュータへのアクセス権を選択的に与えることができる。例えば、ユーザによって変更可能なセキュリティ設定をサーバが使用して、ユーザによって変更可能なセキュリティ設定によって許可される場合に外部コンピュータとクライアント・コンピュータとの間の接続（例えば入り接続）を確立することができる。また、ユーザによって変更可能なセキュリティ設定をサーバが使用して、ユーザによって変更可能なセキュリティ設定によって許可される場合に、入りパケットをクライアント・コンピュータに転送することもできる。入りパケットは、ネットワークによって使用されるものとすることのできる第１のプロトコルに従ってフォーマットされる。さらに、入りパケットは、クライアント・コンピュータに転送する前に別のプロトコル（例えばサーバに接続された付加価値通信網によって使用されるプロトコル）に従ってカプセル化される。ソフトウェアはまた、カプセル化済みの入りパケットのカプセル化を解除する命令を含むこともできる。
【００２１】
以下の利点の１つまたは複数を実現することができる。ユーザによって構成可能なファイアウォールを有する公衆網アクセス・サーバは、アクセス・サーバのユーザに万能サイズの解決法を課さないサーバベース・ファイアウォールの解決法を提供する。サーバベース・ファイアウォールは、このようなサーバベース・ファイアウォールを適切に管理するのに必要な専門知識をおそらく有するＩＳＰによって集中管理することができる。またＩＳＰは、サーバベース・ファイアウォールの集中管理位置で対応を実施することにより、サーバベース・ファイアウォールにとっての新たな脅威および／またはサーバベース・ファイアウォールの脆弱性に対応することができる。これは、このような対応をクライアント・コンピュータ上でアクセス・サーバの各ユーザに別個に実施させるのとは対照的である。加えて、このようなアクセス・サーバは、デフォルトのセキュリティ設定を採用することにより、ユーザのコンピュータにとっての潜在的な脅威および／またはファイアウォールを採用することの潜在的な利益を認識していないユーザにも、ある程度の保護を提供する。
【００２２】
その他の利点および特徴は、図面および特許請求の範囲を含めた以下の説明から明らかになるであろう。様々な図面の中の同じ参照番号および名称は、同じ要素を示す。
【００２３】
詳細な記述
図４に、ユーザがファイアウォールを構成することのできる、公衆網へのアクセスを制御するプロセス１０を示す。ステップ１２で、ユーザが公衆網にアクセスする際に経由するアクセス・サーバにより、ユーザによって変更可能なセキュリティ設定が維持される。ユーザによって変更可能なセキュリティ設定を使用して、どの外部コンピュータまたはネットワーク・デバイス（すなわち公衆網を介さなければユーザのコンピュータにアクセス不可能なコンピュータおよびネットワーク・デバイス）がユーザのコンピュータにアクセスでき、ユーザ・コンピュータへのどのタイプのアクセスが許可されるかを指定することができる。本明細書で使用する用語「アクセス」は、例として、ユーザのコンピュータとの接続（例えばＴＣＰ接続）を確立する試み、またはパケット（例えばＩＰパケット）をユーザのコンピュータに送信する試みを含む。
【００２４】
クライアント・コンピュータへのアクセスが試みられた場合（ステップ１４でチェックする）、ステップ１６で、ユーザによって構成可能なセキュリティ設定をチェックして、試みられたアクセスが現在のセキュリティ設定によって許可されるかどうか決定する。試みられたアクセスが現在のセキュリティ設定によって許可されない場合は、ユーザ・コンピュータへのアクセスは許可されない（ステップ１８に示す）。試みられたアクセスが現在のセキュリティ設定によって許可される場合は、ユーザ・コンピュータへのアクセスは許可される（ステップ２０に示す）。
【００２５】
ユーザによって構成可能なセキュリティ設定をユーザが変更する場合（ステップ２２でチェックされる）、ステップ２４で、ユーザによって構成可能なセキュリティ設定に対する変更をアクセス・サーバに提供する。次いで、プロセス１０はステップ１２にループバックし、アクセス・サーバは、ユーザによって構成可能なセキュリティ設定を、ユーザによって加えられた変更で更新することによって維持する。
【００２６】
図５に、プロセス１０を実施することのできるアクセス・サーバ３０を示す。アクセス・サーバ３０は、端末サーバ３２および端末情報ハンドラ３４を備えることができる。端末サーバ３２は、アクセス・サーバ３０を複数のクライアント・コンピュータ３６に接続するように構成される。端末サーバ３２は通常、複数のポート（図５には示さず）を有し、クライアントは、これらのポートを介してアクセス・サーバ３０との接続を確立することができる。端末サーバ３２は、任意のタイプの通信リンクを使用して、アクセス・サーバ３０とクライアント・コンピュータ３６との間で所望の数およびタイプの接続を確立するように構成され得る。上記通信リンクには、例えば、クライアント・コンピュータ３６に接続されたクライアント・ダイヤルアップ・モデム３８と端末サーバ３２に接続されたサーバ・モデム（図示せず）との間に確立されるダイヤルアップ接続、クライアント・コンピュータ３６に接続されたクライアントＤＳＬモデム４０と端末サーバ３２に接続されたサーバＤＳＬモデム（図示せず）との間に確立されるＤＳＬ接続、及び、クライアント・コンピュータ３６に接続されたケーブル・モデム４２と端末サーバ３２に接続されたヘッドエンド・コントローラ内の受信機ポート・カード（図示せず）との間に確立されるケーブル・モデム接続が含まれる。図５には、端末サーバ３２を単一のエンティティとして示してあるが、端末サーバ３２は、論理的、物理的、および／または地理的に、相互にかつ／または端末情報ハンドラ３４から切り離された、複数の端末サーバとして実装され得ることを理解されたい。さらに、実装形態によっては、端末サーバ３２は、端末情報ハンドラ３４を所有および／または維持するエンティティとは別個のエンティティによって所有および／または維持することもできる。
【００２７】
端末情報ハンドラ３４は、端末サーバ３２に接続されて、クライアント・コンピュータ３６を付加価値通信網４４（例えばＡｍｅｒｉｃａ  Ｏｎｌｉｎｅやその他のオンライン・サービス・プロバイダ）および／または公衆網４６（例えばインターネット）に接続する。端末情報ハンドラ３４と端末サーバ３２の間の接続は、すべてのクライアント・コンピュータ３６からのトラフィックを処理できる高速接続（例えば高速ネットワーク接続）であることが好ましい。図５には、端末情報ハンドラ３４と端末サーバ３２の間の接続を１つしか示していないが、例えば帯域幅および／または信頼性を増大させるために、端末情報ハンドラ３４と端末サーバ３２の間で複数の接続を用いることもできることを理解されたい。さらに、図５には端末情報ハンドラ３４を単一のエンティティとして示してあるが、端末情報ハンドラ３４は、論理的、物理的、および／または地理的に、相互にかつ／または端末サーバ３２から切り離された、複数の端末情報ハンドラとして実装してもよいことも理解されたい。
【００２８】
クライアント・コンピュータ３６は、情報パケットを送受信することにより、付加価値通信網４４および公衆網４６に接続されたコンピュータと通信する。一実装形態では、付加価値通信網４４は、第１のプロトコル（Ａｍｅｒｉｃａ  Ｏｎｌｉｎｅ付加価値通信網によって使用される専有（ｐｒｏｐｒｉｅｔａｒｙ）プロトコルなど）に従ってフォーマットされたパケットを転送するように構成され、公衆網４６は、第２のプロトコル（ＴＣＰ／ＩＰプロトコルなど）に従ってフォーマットされたパケットを転送するように構成される。クライアント・コンピュータ３６は、付加価値通信網４４を介して情報を交換できるように、専有プロトコルに従ってフォーマットされたパケット（「専有パケット」と呼ぶ）を生成および受信できるクライアント・ソフトウェア（Ａｍｅｒｉｃａ  Ｏｎｌｉｎｅバージョン４．０または５．０クライアント・プログラムなど）を実行する。クライアント・ソフトウェアはまた、クライアント・コンピュータ３６が公衆網４６を介して情報を交換できるように、ＴＣＰ／ＩＰプロトコルに従ってフォーマットされたパケット（「ＩＰパケット」と呼ぶ）を生成および受信することもできる。クライアント・コンピュータ３６がＩＰパケットを生成したときは、ＩＰパケットのヘッダ部分（ソース・アドレスおよび宛先アドレスの情報を含む）は、クライアント・コンピュータ３６に割り当てられたローカルＩＰアドレスを含む。ローカルＩＰアドレスは、一時ＩＰアドレスと永久ＩＰアドレスのどちらかであり得る。
【００２９】
ただし、図５に示す実装形態では、アクセス・サーバ３０は専有プロトコルに従ってフォーマットされたパケットを転送するように構成される。したがって、ＩＰパケットがアクセス・サーバ３０から公衆網４６上に適切に転送できるようになる前に、ＩＰパケットは、アクセス・サーバ３０によって使用される専有プロトコルに適合するように再フォーマットしなければならない。ＩＰパケットは、「トンネリング（ｔｕｎｎｅｌｌｉｎｇ）」と呼ばれるプロセスを用いて、専有プロトコルに適合するように再フォーマットすることができる。トンネリングは、まずＩＰパケットを専有パケット中に「カプセル化」することを含む。ＩＰパケットは、ＩＰパケットのヘッダ部分を「ストリッピング」して除去し、ＩＰパケットのペイロード（すなわちデータ）部分を専有パケットのペイロード部分中に配置することにより、カプセル化することができる（「カプセル化済みパケット」と呼ばれる）。別法として、ＩＰパケットは、未変更のＩＰパケット全体を専有パケット中に「包み込む」ことによってカプセル化することもできる。言い換えれば、ＩＰパケット全体を専有パケットのペイロード部分中に配置することができる。どちらの場合も、専有パケットのヘッダ部分は、元のＩＰパケットのヘッダ部分からのヘッダ情報を使用してフォーマットされる。ＩＰパケットのカプセル化は、例えば、クライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアによって、または端末サーバ３２上で稼動するソフトウェア（例えば図５に示すトンネル４８）によって行うことができる。次いで、カプセル化済みパケットは、アクセス・サーバ３０によって専有プロトコルに従って転送される。
【００３０】
端末情報ハンドラ３４が、公衆網４６に転送される専有パケットを識別したとき（例えば、専有パケットの宛先アドレス・フィールドを調べることによって）は、この専有パケットは、最終的に公衆網４６に転送する前に、ＩＰプロトコルに適合するように再フォーマットしなければならない。専有パケットは、カプセル化済みパケットを公衆網４６に転送する前に「カプセル化解除する（ｄｅ−ｃａｐｓｕｌａｔｅ）」トンネル４８によって再フォーマットされる。カプセル化済みパケットは、カプセル化済みパケットのヘッダ部分をストリッピングして除去し、カプセル化済みパケットのペイロード部分をＩＰパケットのペイロード部分中に配置することにより、カプセル化解除される。専有パケットからの宛先アドレスが、送出ＩＰパケットの宛先アドレスとして使用される。送出ＩＰパケットのソース・アドレスとしては、クライアント・コンピュータ３６のローカルＩＰアドレスを使用することもでき、あるいは、例えば元のＩＰパケットを生成したクライアント・コンピュータ３６のローカルＩＰアドレスを公衆網にさらすのを避けるために、動的に割り当てられるＩＰアドレス（「動的に割り当てられるホスト・アドレス又は「ＤＡＨＡ」ＩＰアドレスと呼ばれる）を使用することもできる。カプセル化済みパケットが、元のＩＰパケットを専有パケット中に包み込むことによってカプセル化されたものである場合、カプセル化済みパケットのペイロード部分は、元のＩＰパケットを含む。この元のＩＰパケットを、クライアント・コンピュータ３６によって本来生成されたように公衆網４６に転送することもでき（すなわちＩＰパケットのソース・アドレス中にクライアント・コンピュータ３６のローカルＩＰアドレスがある）、あるいは、元のＩＰパケットを生成したクライアント・コンピュータ３６のローカルＩＰアドレスを公衆網４６にさらすのを避けるために、ＩＰパケットのソース・アドレス・フィールドにＤＡＨＡ  ＩＰアドレスを配置することによって元のＩＰパケットを修正することもできる。
【００３１】
同様に、アクセス・サーバ３０に転送される入りＩＰパケットも、トンネル４８によって専有パケット中にカプセル化されて、対応する入り専有パケットが生成され、これがアクセス・サーバ３０によって適切なクライアント・コンピュータ３６に転送される。クライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアが、カプセル化済みの入り専有パケットをカプセル化解除して、公衆網４６から受信された元のＩＰパケットを復元する。
【００３２】
図５に示すアクセス・サーバ３０を使用して、プロセス１０を実施することができる。例えばアクセス・サーバ３０は、入り接続を確立することのできるアドレスを指定する、ユーザによって構成可能なセキュリティ設定を、クライアント・コンピュータ３６ごとに（またはクライアント・コンピュータ３６のユーザごとに）維持することができる。クライアント・コンピュータ３６のユーザは、クライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアを使用して、ユーザによって構成可能な設定を設定することができる。例えば図６に示すように、ユーザのクライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアは、「ファイアウォール・オプション」ダイアログ・ボックスを表示することができ、ユーザはこのダイアログ・ボックス中で、ラジオ・ボタンをクリックすることにより事前定義済みの３つのセキュリティ設定のうちの１つを指定することができる。図６に示すように、事前定義済みのセキュリティ設定は、すべての入り接続がブロックされる設定と、未知のアドレスからの入り接続がブロックされる設定と、すべての入り接続が許可される設定を含む。別法として、ユーザは、「進む」ボタンを選択することにより、カスタマイズ・セキュリティ設定を生み出すこともできる。カスタマイズ・セキュリティ設定を指定することをユーザが選択した場合、ユーザは、ブロックまたは許可すべき特定の接続元アドレスを指定すること、ブロックまたは許可するいくつかの接続タイプを指定すること、および／あるいは、接続をブロックまたは許可するその他の条件を指定することができる。クライアント・ソフトウェアはまた、クライアント・コンピュータ３６のローカルＩＰアドレスが公衆網４６にさらされることをユーザが望むかどうか、あるいは代わりにＤＡＨＡ  ＩＰアドレスが使用されることをユーザが望むかどうかを、ユーザが選択することを可能にするように構成することもできる。ユーザが明示的にセキュリティ設定を選択しない場合は、デフォルトのセキュリティ設定が自動的に選択されることが好ましい。
【００３３】
図６に示すセキュリティ設定オプションは、指定のアドレスからの接続を阻止および許可することに関するものだが、指定のアドレスからのパケット（接続とは対照的に）を阻止および／または許可することをユーザが指定できるようにクライアント・ソフトウェアを変更することもできることを理解されたい。実際、ユーザによって構成可能なセキュリティ設定は、外部コンピュータおよびデバイスによるどんなタイプの通信またはアクセスでも阻止および／または許可する条件を指定することができる。
【００３４】
図７に、プロセス１０を実施するためにアクセス・サーバ３０によって（例えば端末情報ハンドラ３４のトンネル４８によって）実行することのできるプロセス５０を示す。ステップ５２で、プロセス５０は、公衆網４６を使用してクライアント・コンピュータ３６と外部コンピュータまたは他のデバイスとの間の出接続を確立するよう求めるクライアント・コンピュータ３６からの要求（すなわち専有パケット）が受信されたかどうかチェックする。このような要求がアクセス・サーバ３０によって受信された場合は、ステップ５４で、クライアント・コンピュータ３６が出接続を確立したことのある宛先アドレスのリスト（「前接続リスト」と呼ぶ）に、その外部コンピュータの宛先アドレスを追加する。ステップ５６で、出接続の一部として外部コンピュータに向けられる出の専有パケット（後で説明するようにクライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアによってカプセル化されたもの）をカプセル化解除して、公衆網４６に転送すべき対応するＩＰパケットを生成する。ステップ５８で、出接続の一部として外部コンピュータからクライアント・コンピュータ３６に送信される入りＩＰパケットであって、アクセス・サーバ３０によって受信された入りＩＰパケットをカプセル化して、対応する専有パケットを生成する。対応する専有パケットは、アクセス・サーバ３０によってクライアント・コンピュータ３６に転送される。この例では、ユーザによって構成されるセキュリティ設定が各出接続の確立を許可するかどうか決定するために、ユーザによって構成されるセキュリティ設定をチェックすることをしないが、プロセス５０は、各出接続を確立する前にこのようなチェックを実施するように修正することもできることを理解されたい。
【００３５】
ステップ６０で、プロセス５０は、外部コンピュータとクライアント・コンピュータ３６との間の入り接続を確立するよう求める外部コンピュータからの要求（すなわちＩＰパケット）が受信されたかどうかチェックする。このような要求がアクセス・サーバ３０によって受信された場合は、ステップ６２で、ＩＰパケットのソース・アドレス（外部コンピュータに対応する）をチェックして、ユーザによって構成可能なセキュリティ設定が外部コンピュータとクライアント・コンピュータ３６との間におけるこのような入り接続の確立を許可するかどうか決定する。
【００３６】
例えば、識別フィールド２０２、セキュリティ・レベル・フィールド２０４、許可されたアドレスのリスト（「許可リスト」と呼ぶ）２０６、および／または阻止されたアドレスのリスト（「阻止リスト」と呼ぶ）２０８を有するデータ構造２００（図８に示す）を、アクセス・サーバ３０によって（例えばトンネル４８によって）維持することができる。識別フィールド２０２は、データ構造２００がどのコンピュータおよび／またはユーザに関連するかを示す標識を含む。セキュリティ・レベル・フィールド２０４は、ユーザによって構成可能なセキュリティ設定が入り接続の確立を許可するかどうか決定するために許可リスト２０６および／または阻止リスト２０８を調べるべきかどうかを示すデータを含む。許可リスト２０６は、クライアント・コンピュータ３６（またはユーザ）への入り接続を確立することを許可されている外部コンピュータまたは他のネットワーク・デバイスのアドレス（例えばＩＰアドレス）を含む。例えば、ステップ５４で更新される前接続リストを許可リスト２０６に組み込むことができる。阻止リスト２０８は、クライアント・コンピュータ３６への入り接続を確立することが許可されていない外部コンピュータまたは他のネットワーク・デバイスのアドレスを含む。例えば、クライアント・ソフトウェアは、特定ユーザとの入り接続が阻止されることをユーザが指定できるように構成することができる。
【００３７】
セキュリティ・レベル・フィールド２０４が許可リスト２０６を調べるように指示している場合は、プロセス５０は、要求を出しているＩＰパケットのソース・アドレスを許可リスト２０６中で探索することにより、ユーザによって構成可能なセキュリティ設定が要求のあった入り接続の確立を許可するかどうか決定することができる。ソース・アドレスが許可リスト２０６中に見つからない場合は、要求された入り接続の確立は許可されない。セキュリティ・レベル・フィールド２０４が阻止リスト２０８を調べるように指示している場合は、プロセス５０は、ソース・アドレスを阻止リスト２０８中で探索することにより、ユーザによって構成可能なセキュリティ設定が要求のあった入り接続の確立を許可するかどうか決定することができる。ソース・アドレスが阻止リスト２０８中に見つからない場合は、要求された入り接続の確立は許可される。セキュリティ・レベル・フィールド２０４はまた、すべての入り接続を確立できること、またはどの入り接続も確立できないことを示すデータを含むこともできる。さらに、セキュリティ・レベル・フィールド２０４は、要求された入り接続を許可および／または阻止するかどうか決定するために他の何らかの条件を使用すべきであることを示す他のデータを含むこともできる。
【００３８】
再び図７を参照するが、ユーザによって構成可能なセキュリティ設定が、要求された入り接続の確立を許可する場合は、ステップ６４で、入り接続の一部として外部コンピュータからクライアント・コンピュータ３６に送信される入りＩＰパケットをカプセル化して、クライアント・コンピュータ３６に転送できる対応する専有パケットを生成する。また、ユーザによって構成可能なセキュリティ設定がこのような入り接続の確立を許可する場合は、ステップ６６で、入り接続の一部として外部コンピュータに向けられる出の専有パケット（後で説明するようにクライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアによってカプセル化されたもの）をカプセル化解除して、公衆網３４を介して外部コンピュータに転送できる対応するＩＰパケットを生成する。
【００３９】
ステップ６８で、プロセス５０は、ユーザによって構成可能なセキュリティ設定に対する変更がクライアント・コンピュータから受信されたかどうかチェックする。このような変更が受信された場合、ステップ７０でアクセス・サーバ３０は、アクセス・サーバ３０がそのクライアント・コンピュータ（またはユーザ）に対して維持している、ユーザによって構成可能なセキュリティ設定を更新する。
【００４０】
図９に、プロセス１０を実施するためにクライアント・コンピュータ３６によって（例えばクライアント・コンピュータ３６上で稼動するクライアント・ソフトウェアの一部として）実行することのできるプロセス８０を示す。ステップ８２で、プロセス８０は、クライアント・コンピュータ３６から出ＩＰパケットが送信されているかどうかチェックする。アウトバウンドＩＰパケットが送信されている場合は、ステップ８４で、出ＩＰパケットをカプセル化して、対応する専有パケットを生成し、ステップ８６で、これをアクセス・サーバ３０に転送する。
【００４１】
ステップ８８で、プロセス８０は、公衆網４６からの入りの専有パケット（入りの専有パケットのソース・アドレス・フィールドをチェックすることによって決定される）がアクセス・サーバ３０を介してクライアント・コンピュータ３６に転送されたかどうかチェックする。このような入りの専有パケットがクライアント・コンピュータ３６に転送された場合、ステップ９０で、入りの専有パケットをカプセル化解除して、アクセス・サーバ３０によって受信された元のＩＰパケットを復元し、ステップ９２で、これをクライアント・ソフトウェアによって従来方式で処理する。
【００４２】
ステップ９４で、プロセス８０は、ユーザによって構成可能なセキュリティ設定をユーザが変更したかどうかチェックする。ユーザによって構成可能なセキュリティ設定をユーザが変更した場合、クライアント・ソフトウェアは、ステップ９６で（例えば図６に示したタイプのダイアログ・ボックスを介して）ユーザから変更を受け取り、ステップ９８で、変更をアクセス・サーバ３０に転送する。
【００４３】
本明細書に述べたシステムおよび技法の様々な実装形態は、ディジタル電子回路中で、またはコンピュータ・ハードウェア、ファームウェア、ソフトウェア中で、またはこれらの組合せにおいて実現することができる。本明細書に述べた技法および方法の１つまたは複数を使用するシステムまたは他の装置は、コンピュータ・プログラムによって構成されたコンピュータ可読記憶媒体として実装することができ、このように構成された記憶媒体は、コンピュータ・システムが具体的な事前定義済みの方式で入力に作用するように、かつ／または出力を生成するようにする。このようなコンピュータ・システムは、データ記憶システムからデータおよび命令を受け取り、データ記憶システムにデータおよび命令を送る１つまたは複数のプログラム可能プロセッサと、適した入出力デバイスとを備えることができる。
【００４４】
各コンピュータ・プログラムは、高水準の手続き型言語またはオブジェクト指向プログラミング言語で、また望むならアセンブリ言語または機械語で実装することができる。いずれの場合も、言語は、コンパイル済みまたは翻訳済み言語とすることができる。適したプロセッサには、例として、汎用マイクロプロセッサと特殊目的マイクロプロセッサの両方が含まれる。
【００４５】
一般にプロセッサは、読出し専用メモリおよび／またはランダム・アクセス・メモリから命令およびデータを受け取る。コンピュータ・プログラム命令およびデータを有形に組み入れるのに適した記憶デバイスには、ＥＰＲＯＭやＥＥＰＲＯＭやフラッシュ・メモリ・デバイスなどの半導体メモリ・デバイス、内部ハード・ディスクや取外し可能ディスクなどの磁気ディスク、光磁気ディスク、およびＣＤ−ＲＯＭディスクを含めた、すべての形の不揮発性メモリが含まれる。
【００４６】
以上はいずれも、特別設計のＡＳＩＣ（特定用途向け集積回路）によって補うこと、またはその中に実装することができる。
本発明のいくつかの実施形態について述べた。ただし、本発明の趣旨および範囲を逸脱することなく様々な修正を加えることができることを理解されたい。したがって、他の実施形態も頭記の特許請求の範囲内である。
【図面の簡単な説明】
【図１】  コンピュータ・システムのブロック図である。
【図２】  典型的なネットワーク・コンピューティング環境を示す図である。
【図３】  インターネットへの典型的なダイヤルアップ接続を示す図である。
【図４】  ユーザがファイアウォールを構成することのできる、公衆網へのアクセスを提供するプロセスのフローチャートである。
【図５】  クライアント・コンピュータを付加価値通信網および公衆網に接続するアクセス・サーバのブロック図である。
【図６】  クライアント・コンピュータのユーザが使用してセキュリティ設定を変更することのできるウィンドウの概略図である。
【図７】  図５のアクセス・サーバによって実行されるプロセスのフローチャートである。
【図８】  図５のアクセス・サーバによって維持されるデータ構造の概略図である。
【図９】  図５のクライアント・コンピュータによって実行されるプロセスのフローチャートである。
【図１】
0003819295.tif 000002
【図２】
0003819295.tif 000003
【図３】
0003819295.tif 000004
【図４】
0003819295.tif 000005
【図５】
0003819295.tif 000006
【図６】
0003819295.tif 000007
【図７】
0003819295.tif 000008
【図８】
0003819295.tif 000009
【図９】
0003819295.tif 000010