▶ インテグリティ セキュリティ サービシーズ エルエルシーの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022174727
(43)【公開日】2022-11-24
(54)【発明の名称】仮想多重化接続のためのシステムおよび方法
(51)【国際特許分類】
H04L 67/142 20220101AFI20221116BHJP
H04L 67/02 20220101ALI20221116BHJP
【ＦＩ】
H04L67/142
H04L67/02
【審査請求】未請求
【請求項の数】30
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2022076269
(22)【出願日】2022-05-02
(31)【優先権主張番号】17/316,975
(32)【優先日】2021-05-11
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】519170209
【氏名又は名称】インテグリティ セキュリティ サービシーズ エルエルシー
(74)【代理人】
【識別番号】110000796
【氏名又は名称】弁理士法人三枝国際特許事務所
(72)【発明者】
【氏名】ロケッツ ニール
(57)【要約】 （修正有）
【課題】ターゲットアプリケーションとソースアプリケーションとの間の複数の仮想伝送制御プロトコル接続を容易にするシステム、デバイス及び方法を提供する。
【解決手段】システムは、サーバプロキシとクライアントプロキシとサーバプロキシとクライアントプロキシとの間に介在するネットワークプロテクションとを含む。サーバプロキシは、ターゲット識別子を含むステートレスプロトコルを介してクライアントプロキシからオープン要求を受信する。サーバプロキシは、ターゲット識別子に基づいてサーバプロキシとターゲットアプリケーション間の接続をオープンし、セッション識別子及びシーケンス識別子のオープン要求のステータスを示す応答をクライアントプロキシに提供し、セッション識別子及びインクリメントされたシーケンス識別子を含むデータ要求をクライアントプロキシから受信し、データ要求をターゲットアプリケーションに提供する。
【選択図】図２Ａ
【解決手段】システムは、サーバプロキシとクライアントプロキシとサーバプロキシとクライアントプロキシとの間に介在するネットワークプロテクションとを含む。サーバプロキシは、ターゲット識別子を含むステートレスプロトコルを介してクライアントプロキシからオープン要求を受信する。サーバプロキシは、ターゲット識別子に基づいてサーバプロキシとターゲットアプリケーション間の接続をオープンし、セッション識別子及びシーケンス識別子のオープン要求のステータスを示す応答をクライアントプロキシに提供し、セッション識別子及びインクリメントされたシーケンス識別子を含むデータ要求をクライアントプロキシから受信し、データ要求をターゲットアプリケーションに提供する。
【選択図】図２Ａ
【特許請求の範囲】
【請求項1】
ターゲットアプリケーションとソースアプリケーションとの間の複数の仮想伝送制御プロトコル接続を容易にするためのシステムであって、
サーバプロキシと、
クライアントプロキシと、
前記サーバプロキシと前記クライアントプロキシとの間に介在するネットワークプロテクションを含み、
前記サーバプロキシが、
ステートレスプロトコルを介して前記クライアントプロキシからオープン要求を受信する動作あって、前記オープン要求がターゲット識別子を含む、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記クライアントプロキシへの応答を提供する動作であって、前記応答は、セッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記クライアントプロキシからデータ要求を受信する動作あって、前記データ要求は、前記セッション識別子およびインクリメント済みシーケンス識別子を含み、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を通して前記ターゲットアプリケーションにデータ要求を提供する動作と、を含む動作を、前記サーバプロキシのプロセッサに実行させるコンピュータ実行可能命令を含んでおり、また前記クライアントプロキシが、
ユニフォームリソースロケータに基づいて前記ステートレスプロトコルを介して前記サーバプロキシに前記オープン要求を送信する動作と、
前記ステートレスプロトコルを介して、前記オープン要求に対する応答を受信する動作と、
前記ステートレスプロトコルを介して、前記セッション識別子および所定の値だけインクリメントされたインクリメント済みシーケンス識別子とを含むデータ要求を前記サーバプロキシに提供する動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシを通して前記ターゲットアプリケーションから１つまたは複数のデータメッセージを受信する動作と、を含む動作を、前記クライアントプロキシのプロセッサに実行させる第２コンピュータ実行可能命令を含んでいる、システム。
サーバプロキシと、
クライアントプロキシと、
前記サーバプロキシと前記クライアントプロキシとの間に介在するネットワークプロテクションを含み、
前記サーバプロキシが、
ステートレスプロトコルを介して前記クライアントプロキシからオープン要求を受信する動作あって、前記オープン要求がターゲット識別子を含む、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記クライアントプロキシへの応答を提供する動作であって、前記応答は、セッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記クライアントプロキシからデータ要求を受信する動作あって、前記データ要求は、前記セッション識別子およびインクリメント済みシーケンス識別子を含み、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を通して前記ターゲットアプリケーションにデータ要求を提供する動作と、を含む動作を、前記サーバプロキシのプロセッサに実行させるコンピュータ実行可能命令を含んでおり、また前記クライアントプロキシが、
ユニフォームリソースロケータに基づいて前記ステートレスプロトコルを介して前記サーバプロキシに前記オープン要求を送信する動作と、
前記ステートレスプロトコルを介して、前記オープン要求に対する応答を受信する動作と、
前記ステートレスプロトコルを介して、前記セッション識別子および所定の値だけインクリメントされたインクリメント済みシーケンス識別子とを含むデータ要求を前記サーバプロキシに提供する動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシを通して前記ターゲットアプリケーションから１つまたは複数のデータメッセージを受信する動作と、を含む動作を、前記クライアントプロキシのプロセッサに実行させる第２コンピュータ実行可能命令を含んでいる、システム。
【請求項2】
前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、請求項１のシステム。
【請求項3】
前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、請求項１のシステム。
【請求項4】
前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、応答および１つまたは複数のデータメッセージのヘッダに付加される、請求項１のシステム。
【請求項5】
前記サーバプロキシによって実行される動作がさらに、前記サーバプロキシおよび前記ターゲットアプリケーションのうちの１つまたは複数によって、前記クライアントプロキシから受信した前記セッション識別子および前記インクリメント済みシーケンス識別子のうちの少なくとも１つに基づいてデータ要求を認証することを含む、請求項１のシステム。
【請求項6】
前記サーバプロキシによって実行される動作がさらに、前記認証に基づいて、前記ターゲットアプリケーションと前記サーバプロキシとの間の接続をクローズすることと、前記ステートレスプロトコルを介して前記クライアントプロキシにエラー応答を送信することとを含む、請求項５のシステム。
【請求項7】
前記クライアントプロキシによって実行される動作がさらに、
前記ステートレスプロトコルを介して、前記サーバプロキシからの通信なしに所定期間の後にポーリング命令を送信する動作であって、ポーリング命令は、前記セッション識別子と、所定の値だけインクリメントされたインクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシからポーリング応答を受信する動作であって、前記ポーリング応答は、前記サーバプロキシと前記ターゲットアプリケーションのうちの１つによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと前記クライアントプロキシ宛てバッファリング済みメッセージのカウントのうちの１つと、を含んでおり、前記バッファリング済みメッセージは、所定期間の間に前記サーバプロキシでバッファリングされる、動作と
を含む、請求項１のシステム。
前記ステートレスプロトコルを介して、前記サーバプロキシからの通信なしに所定期間の後にポーリング命令を送信する動作であって、ポーリング命令は、前記セッション識別子と、所定の値だけインクリメントされたインクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシからポーリング応答を受信する動作であって、前記ポーリング応答は、前記サーバプロキシと前記ターゲットアプリケーションのうちの１つによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと前記クライアントプロキシ宛てバッファリング済みメッセージのカウントのうちの１つと、を含んでおり、前記バッファリング済みメッセージは、所定期間の間に前記サーバプロキシでバッファリングされる、動作と
を含む、請求項１のシステム。
【請求項8】
前記クライアントプロキシによって実行される動作がさらに、
前記ソースアプリケーションとの通信に基づいて、前記ソースアプリケーションと前記クライアントプロキシとの間の接続をクローズする動作と、
前記ステートレスプロトコルを介して前記サーバプロキシにクローズ要求を送信する動作と
を含む、請求項１のシステム。
前記ソースアプリケーションとの通信に基づいて、前記ソースアプリケーションと前記クライアントプロキシとの間の接続をクローズする動作と、
前記ステートレスプロトコルを介して前記サーバプロキシにクローズ要求を送信する動作と
を含む、請求項１のシステム。
【請求項9】
前記サーバプロキシによって実行される動作がさらに、
前記クローズ要求を受信する動作と、
前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズする動作と
を含む、請求項８のシステム。
前記クローズ要求を受信する動作と、
前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズする動作と
を含む、請求項８のシステム。
【請求項10】
ターゲットアプリケーションと外部デバイス間の複数の仮想伝送制御プロトコル接続を容易にするためのサーバプロキシであって、前記サーバプロキシが、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信する動作であって、オープン要求にはターゲット識別子が含まれている、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、オープン要求のステータスを示す前記外部デバイスへオープンステータス応答を提供する動作であって、前記オープンステータス応答にはセッション識別子およびシーケンス識別子のうちの少なくとも１つが含まれている、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済みシーケンス識別子を含む前記外部デバイスからのデータ要求を受信する動作であって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を介して、受信したデータ要求から前記ターゲットアプリケーションにデータを提供する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含んでいる、サーバプロキシ。
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信する動作であって、オープン要求にはターゲット識別子が含まれている、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、オープン要求のステータスを示す前記外部デバイスへオープンステータス応答を提供する動作であって、前記オープンステータス応答にはセッション識別子およびシーケンス識別子のうちの少なくとも１つが含まれている、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済みシーケンス識別子を含む前記外部デバイスからのデータ要求を受信する動作であって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を介して、受信したデータ要求から前記ターゲットアプリケーションにデータを提供する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含んでいる、サーバプロキシ。
【請求項11】
前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、請求項１０のサーバプロキシ。
【請求項12】
前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、請求項１０のサーバプロキシ。
【請求項13】
前記サーバプロキシが、前記外部デバイスを宛先とし、前記データ要求に応答して前記ターゲットアプリケーションから受信した、１つまたは複数の応答メッセージをバッファリングするように構成される、請求項１０のサーバプロキシ。
【請求項14】
前記動作がさらに、
第２応答を前記外部デバイスに提供する動作を含み、第２応答は、前記サーバによって所定の値だけインクリメントされたシーケンス番号、および前記データ要求のステータスと、サーバプロキシに現在バッファリングされて外部デバイス宛てのデータメッセージのカウントを示す値とのうち、少なくとも１つを含む、請求項１０のサーバプロキシ。
第２応答を前記外部デバイスに提供する動作を含み、第２応答は、前記サーバによって所定の値だけインクリメントされたシーケンス番号、および前記データ要求のステータスと、サーバプロキシに現在バッファリングされて外部デバイス宛てのデータメッセージのカウントを示す値とのうち、少なくとも１つを含む、請求項１０のサーバプロキシ。
【請求項15】
前記動作がさらに、
前記セッション識別子と前記インクリメント済みシーケンス番号のうちの少なくとも１つに基づいて、前記データ要求を認証する動作を含む、請求項１０のサーバプロキシ。
前記セッション識別子と前記インクリメント済みシーケンス番号のうちの少なくとも１つに基づいて、前記データ要求を認証する動作を含む、請求項１０のサーバプロキシ。
【請求項16】
前記動作がさらに、前記認証の結果に基づいて、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズすることを含む、請求項１５のサーバプロキシ。
【請求項17】
前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記オープンステータス応答および前記データ要求のヘッダに付加される、請求項１１のサーバプロキシ。
【請求項18】
前記サーバプロキシと前記ターゲットアプリケーションとの間でオープンされる接続が、ステートフル接続を含む、請求項１０のサーバプロキシ。
【請求項19】
前記動作がさらに、
前記ステートレスプロトコルを介して、前記外部デバイスからの通信なしに、所定期間の後に前記外部デバイスからのポーリング要求を受信する動作であって、前記ポーリング要求は、前記セッション識別子と、前記外部デバイスによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含んでいる、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を提供する動作であって、前記ポーリング応答は、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含み、また、ノーコンテンツインジケータと所定の期間中に前記外部デバイス用にバッファリングされたメッセージのカウントのうちの、少なくとも１つを含んでいる、動作とを含む、請求項１０のサーバプロキシ。
前記ステートレスプロトコルを介して、前記外部デバイスからの通信なしに、所定期間の後に前記外部デバイスからのポーリング要求を受信する動作であって、前記ポーリング要求は、前記セッション識別子と、前記外部デバイスによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含んでいる、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を提供する動作であって、前記ポーリング応答は、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含み、また、ノーコンテンツインジケータと所定の期間中に前記外部デバイス用にバッファリングされたメッセージのカウントのうちの、少なくとも１つを含んでいる、動作とを含む、請求項１０のサーバプロキシ。
【請求項20】
前記動作がさらに、バッファリング済みメッセージのカウントが０より大きいことを前記ポーリング応答が示す場合、前記ステートレスプロトコルを介して、前記バッファリング済みメッセージを前記外部デバイスに送信することを含む、請求項１９のサーバプロキシ。
【請求項21】
前記外部デバイスが、少なくとも１つのネットワークプロテクションデバイスによってサーバプロキシから分離されている、請求項１０のサーバプロキシ。
【請求項22】
ターゲットアプリケーションと通信するためのクライアントプロキシであって、
ユニフォームリソースロケータに基づくステートレスプロトコルを介してオープン要求を提供する動作であって、前記オープン要求には、ターゲット識別子が含まれている、動作と、
前記ステートレスプロトコルを介して前記オープン要求への応答を受信する動作であって、前記応答は前記オープン要求のステータスを示し、セッション識別子とシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済み前記シーケンス識別子とを含むデータ要求を提供する動作であって、インクリメント済み前記シーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応している、動作と、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションから発信された１つ以上のデータ応答を受信する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含む、クライアントプロキシ。
ユニフォームリソースロケータに基づくステートレスプロトコルを介してオープン要求を提供する動作であって、前記オープン要求には、ターゲット識別子が含まれている、動作と、
前記ステートレスプロトコルを介して前記オープン要求への応答を受信する動作であって、前記応答は前記オープン要求のステータスを示し、セッション識別子とシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済み前記シーケンス識別子とを含むデータ要求を提供する動作であって、インクリメント済み前記シーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応している、動作と、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションから発信された１つ以上のデータ応答を受信する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含む、クライアントプロキシ。
【請求項23】
前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、請求項２２のクライアントプロキシ。
【請求項24】
前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、請求項２２のクライアントプロキシ。
【請求項25】
前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記応答および前記データ要求のヘッダに付加される、請求項２３のクライアントプロキシ。
【請求項26】
前記動作がさらに、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションと通信することなく、所定期間の後にポーリング要求を提供する動作であって、前記ポーリング要求は、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を受信する動作であって、前記ポーリング応答が、前記クライアントプロキシから所定の値だけリモートでインクリメントされた１つまたは複数の前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと、前記クライアントプロキシ宛てに、所定期間中にバッファリングされたバッファリング済みメッセージのカウントとを含む、動作と
を含む、請求項２２のクライアントプロキシ。
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションと通信することなく、所定期間の後にポーリング要求を提供する動作であって、前記ポーリング要求は、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を受信する動作であって、前記ポーリング応答が、前記クライアントプロキシから所定の値だけリモートでインクリメントされた１つまたは複数の前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと、前記クライアントプロキシ宛てに、所定期間中にバッファリングされたバッファリング済みメッセージのカウントとを含む、動作と
を含む、請求項２２のクライアントプロキシ。
【請求項27】
前記クライアントデバイスとセキュアな前記アプリケーションとの間に、ファイアウォールとゲートウェイデバイスのうち少なくとも１つが介在している、請求項２２のクライアントプロキシ。
【請求項28】
前記動作がさらに、
ステートフル接続を介して、ソースアプリケーションに１つまたは複数のデータメッセージを送信することを含む、請求項２２のクライアントプロキシ。
ステートフル接続を介して、ソースアプリケーションに１つまたは複数のデータメッセージを送信することを含む、請求項２２のクライアントプロキシ。
【請求項29】
セキュアな環境内のターゲットアプリケーションとセキュアな環境の外部デバイスとの間の仮想伝送制御プロトコル接続を介して通信を実行するための方法であって、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求にはターゲット識別子が含まれている、受信することと、
前記ターゲット識別子に基づいて、前記ターゲットアプリケーションとのセキュアな環境内のネットワークリソースを介してステートフル接続をオープンすることと、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記外部デバイスへ応答を提供することであって、前記応答には、セッション識別子とシーケンス識別子のうち少なくとも１つが含まれている、提供することと、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済みシーケンス識別子とを含む前記外部デバイスからのデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、
前記ステートレスプロトコルを介して、受信済み前記データ要求から前記ステートフル接続を介して前記ターゲットアプリケーションにデータを送信することと、
を含む、方法。
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求にはターゲット識別子が含まれている、受信することと、
前記ターゲット識別子に基づいて、前記ターゲットアプリケーションとのセキュアな環境内のネットワークリソースを介してステートフル接続をオープンすることと、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記外部デバイスへ応答を提供することであって、前記応答には、セッション識別子とシーケンス識別子のうち少なくとも１つが含まれている、提供することと、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済みシーケンス識別子とを含む前記外部デバイスからのデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、
前記ステートレスプロトコルを介して、受信済み前記データ要求から前記ステートフル接続を介して前記ターゲットアプリケーションにデータを送信することと、
を含む、方法。
【請求項30】
前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、請求項２９の方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、一般に、２つ以上の異なるプロテクト済みネットワーク間でデータを送信するためのシステム、デバイス、および方法に関する。より詳細には、本開示は、ステートレスプロトコルを介してステートフルな多重化伝送制御プロトコル接続をエミュレートするための改良されたシステム、デバイス、および方法に関する。
【背景技術】
【0002】
ネットワーク通信の開始以来、ネットワークセキュリティは、個人間でも、また企業間でも、非常に重要になっている。ネットワークを攻撃から守るためのツールは、ネットワーク間においてセキュアで確実で信頼性の高い通信を可能にするために欠かせないものとなっている。
【0003】
伝送制御プロトコル（ＴＣＰ）接続は、インターネットプロトコルスイートの主要なプロトコルの１つであり、インターネットプロトコル（「ＩＰ」）のトランスポート層の一部を形成している。ＴＣＰは、インターネットプロトコル（「ＩＰ」）ネットワークを介して通信を行う様々なホスト上で動作するアプリケーション間において、ステートフルで、順序付けされた、エラーチェック済みのバイトストリーム配信を提供する。モノのインターネット（「ＩｏＴ」）に関連する多くのインターネットアプリケーションは、ＴＣＰに依存しており、例えば、セキュアソケッツレイヤ（「ＳＳＬ」）およびトランスポートレイヤセキュリティ（「ＴＬＳ」）は、ＴＣＰを介して実行されることが多い。
【0004】
ＴＣＰはコネクション型であり、クライアントとサーバとの間の接続は、データがＴＣＰを介して送信される前に確立される。一般的にクライアントからの接続要求をリスンする（パッシブオープン）サーバは、通常、要求を受信し、クライアントデバイスとの接続をオープンする。確立された接続は、双方向のステートフルな（および概して長命な）接続である。
【0005】
ＴＣＰの安定性と可用性により、脆弱性が生じる。例えば、ＴＣＰ接続は特に、サービス妨害、接続ハイジャック、ＴＣＰ拒否、およびリセット攻撃を受けることが多い。これに基づいて、多くのサーバオペレータもクライアントも同様に、例えば、ファイアウォール、ゲートウェイ、プロキシなどを含む１つまたは複数のメカニズムを介して、内部ローカルエリアネットワーク（「ＬＡＮ」）を外部広域ネットワーク（「ＷＡＮ」）から保護し分離する。
【0006】
これらのプロテクトメカニズムは、内部攻撃に対する所望のバリアを提供する一方で、プロテクトメカニズムの背後に位置するサーバアプリケーションへのアクセスを求めるクライアントデバイスが接続を確立しようとするときに障害となる場合がある。
【発明の概要】
【0007】
本発明者らは、様々なネットワークプロテクトメカニズムに対応するため、またプロテクトメカニズムの背後に位置する様々なアプリケーションに対するクライアントアクセスを可能にするために、ステートレスで短命の一方向の技術的アプローチを使用して、ＴＣＰ接続の双方向性、ステートフル性、および長命をエミュレートする仮想ＴＣＰ接続を創出することが望ましいと判断した。
【0008】
したがって、本技術は、仮想の多重化された送信プロトコル（「ＴＣＰ」）接続を提供できる改善されたシステム、デバイス、および方法を含む。いくつかの実施形態では、ターゲットアプリケーションとソースアプリケーションとの間の複数の仮想伝送制御プロトコル接続を容易にするためのシステムが提供される。前記システムは、サーバプロキシと、クライアントプロキシと、サーバプロキシとクライアントプロキシとの間に介在するネットワークプロテクションとを含む。前記サーバプロキシは、ステートレスプロトコルを介してクライアントプロキシからオープン要求を受信することであって、前記オープン要求がターゲット識別子を含む、受信することと、前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンすることと、前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記クライアントプロキシへの応答を提供することであって、前記応答がセッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、提供することと、前記ステートレスプロトコルを介して、前記クライアントプロキシからのデータ要求を受信することであって、前記データ要求が前記セッション識別子およびインクリメント済みシーケンス識別子を含み、前記インクリメント済みシーケンス識別子が所定の値だけインクリメントされたシーケンス識別子に対応する、受信することと、前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を通じて前記ターゲットアプリケーションに前記データ要求を提供することと、を含む動作を、前記サーバプロキシのプロセッサに実行させるコンピュータ実行可能命令を含む。前記クライアントプロキシは、ユニフォームリソースロケータに基づいて前記ステートレスプロトコルを介して前記サーバプロキシに前記オープン要求を送信することと、前記ステートレスプロトコルを介して前記オープン要求に対する応答を受信することと、前記ステートレスプロトコルを介して、前記セッション識別子および所定の値だけインクリメントされた前記インクリメント済みシーケンス識別子を含む前記データ要求を前記サーバプロキシに提供することと、前記ステートレスプロトコルを介して、前記サーバプロキシによって前記ターゲットアプリケーションから１つまたは複数のデータメッセージを受信することと、を含む動作を、前記クライアントプロキシのプロセッサに実行させる第２コンピュータ実行可能命令を含む。
【0009】
そのようなシステムを提供することにより、ＴＣＰ接続を仮想的にエミュレートするために、一方向で、ステートレスで、従来型短命のプロトコルを実装することができ、またプロテクトメカニズムの背後に配置されたプロテクト済みアプリケーションへのより広範でよりセキュアなアクセスが可能になる。
【0010】
１つまたは複数のデータメッセージの各々は、少なくとも、前記セッション識別子と、所定の値だけインクリメントされた後続のインクリメント済みシーケンス番号とを含み得る。
【0011】
前記ステートレスプロトコルは、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つであり得る。
【0012】
前記シーケンス識別子は、ランダムに生成されたインクリメント可能な値を含み得る。
【0013】
セッション識別子、シーケンス番号、およびインクリメント済みシーケンス番号のうちの少なくとも１つは、応答および１つまたは複数のデータメッセージの、ヘッダに付加され得る。
【0014】
前記サーバプロキシによって実行される動作はさらに、前記サーバプロキシおよび前記ターゲットアプリケーションのうちの１つまたは複数によって、前記クライアントプロキシから受信した前記セッション識別子および前記インクリメント済みシーケンス識別子のうちの少なくとも１つに基づいて前記データ要求を認証することを含み得る。
【0015】
前記サーバプロキシによって実行される動作はさらに、前記認証に基づいて、前記ターゲットアプリケーションと前記サーバプロキシとの間の接続をクローズすることと、前記ステートレスプロトコルを介して前記クライアントプロキシにエラー応答を送信することと、を含み得る。
【0016】
前記クライアントプロキシによって実行される動作はさらに、前記ステートレスプロトコルを介して、前記サーバプロキシからの通信なしに所定期間の後にポーリング命令を送信することであって、前記ポーリング命令が、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含む、送信することと、前記ステートレスプロトコルを介して、前記サーバプロキシからポーリング応答を受信することであって、前記ポーリング応答が、前記サーバプロキシと前記ターゲットアプリケーションのうちの１つによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータとクライアントプロキシ宛てのバッファリング済みメッセージのカウントのうちの１つとを含み、前記バッファリング済みメッセージが、所定期間中に前記サーバプロキシでバッファリングされる、受信することと、を含み得る。
【0017】
前記クライアントプロキシによって実行される動作はさらに、前記ソースアプリケーションとの通信に基づいて、前記ソースアプリケーションとク前記ライアントプロキシとの間の接続をクローズすることと、前記ステートレスプロトコルを介して前記サーバプロキシにクローズ要求を送信することと、を含み得る。
【0018】
前記サーバプロキシによって実行される動作はさらに、前記クローズ要求を受信することと、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズすることと、を含み得る。
【0019】
本開示のさらなる実施形態によると、ターゲットアプリケーションと外部デバイスとの間の複数の仮想伝送制御プロトコル接続を容易にするためのサーバプロキシが提供される。前記サーバプロキシは、ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求がターゲット識別子を含む、受信することと、前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンすることと、前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記外部デバイスにオープンステータス応答を提供することであって、前記オープンステータス応答がセッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、提供することと、前記ステートレスプロトコルを介して、前記セッション識別子および前記インクリメント済みシーケンス識別子を含む前記外部デバイスからデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、前記ステートレスプロトコルを介して、前記受信したデータ要求からのデータを、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を介して前記ターゲットアプリケーションに提供することと、を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含む。
【0020】
前記ステートレスプロトコルは、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含み得る。
【0021】
前記シーケンス識別子は、ランダムに生成されたインクリメント可能な値を含み得る。
【0022】
前記サーバプロキシは、前記外部デバイスを宛先とし、前記データ要求に応答して前記ターゲットアプリケーションから受信した、１つまたは複数の応答メッセージをバッファリングするように構成され得る。
【0023】
前記動作はさらに、第２応答を外部デバイスに提供することを含むことができ、第２応答は、前記サーバによって所定の値だけインクリメントされた前記シーケンス番号を含み、また、前記データ要求のステータス、および前記サーバプロキシに現在バッファリングされて前記外部デバイス宛てのデータメッセージのカウントを示す値のうち、少なくとも１つを含む。
【0024】
前記動作はさらに、前記セッション識別子および前記インクリメント済みシーケンス番号のうちの少なくとも１つに基づいて、前記データ要求を認証することを含み得る。
【0025】
前記動作は、認証の結果に基づいて、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズすることを含み得る。
【0026】
前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つは、前記オープンステータス応答と前記データ要求の、ヘッダに付加され得る。
【0027】
前記サーバプロキシと前記ターゲットアプリケーションとの間でオープンされる接続は、ステートフル接続であってもよい。
【0028】
前記動作はさらに、前記ステートレスプロトコルを介して、前記外部デバイスからの通信なしに、所定期間の後に前記外部デバイスからのポーリング要求を受信することであて、前記ポーリング要求が、前記セッション識別子と、前記外部デバイスによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含む、受信することと、前記ステートレスプロトコルを介して、ポーリング応答を提供することであって、前記ポーリング応答が、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと所定期間中に外部デバイス用にバッファリングされたメッセージのカウントのうちの少なくとも１つを含む、提供することと、を含み得る。
【0029】
前記動作はさらに、前記ポーリング応答が、バッファリング済みメッセージのカウントが０より大きいことを示す場合、前記ステートレスプロトコルを介して、前記バッファリング済みメッセージを前記外部デバイスに送信することを含み得る。
【0030】
前記外部デバイスは、少なくとも１つのネットワークプロテクションデバイスによって前記サーバプロキシから分離されてもよい。
【0031】
本開示のさらに別の実施形態によれば、ターゲットアプリケーションと通信するためのクライアントプロキシが提供される。前記クライアントプロキシは、ユニフォームリソースロケータに基づいてステートレスプロトコルを介してオープン要求を提供することであって、前記オープン要求がターゲット識別子を含む、提供することと、前記ステートレスプロトコルを介して、前記オープン要求に対する応答を受信することであって、前記応答が、前記オープン要求のステータスを示し、セッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、受信することと、前記ステートレスプロトコルを介して、前記セッション識別子およびインクリメント済みシーケンス識別子を含むデータ要求を提供することであって、前記インクリメント済みシーケンス識別子が、所定の値だけインクリメントされた前記シーケンス識別子に対応する、提供することと、前記ステートレスプロトコルを介して、前記ターゲットアプリケーションから発信される１つまたは複数のデータ応答を受信することと、を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含む。
【0032】
前記ステートレスプロトコルは、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つであり得る。
【0033】
前記シーケンス識別子は、ランダムに生成されたインクリメント可能な値を含み得る。
【0034】
前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つは、前記応答と前記データ要求の、ヘッダに付加され得る。
【0035】
前記動作はさらに、前記ステートレスプロトコルを介して、前記ターゲットアプリケーションと通信することなく、所定期間の後にポーリング要求を提供することであって、前記ポーリング要求が、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含む、提供することと、前記ステートレスプロトコルを介して、ポーリング応答を受信することであって、前記ポーリング応答が、前記クライアントプロキシから所定の値だけリモートでインクリメントされた１つまたは複数のインクリメント済みシーケンス番号と、ノーコンテンツインジケータと、前記クライアントプロキシ宛てに、所定期間中にバッファリングされたバッファリング済みメッセージのカウントとを含む、受信することと、を含み得る。
【0036】
前記クライアントデバイスと前記セキュアなアプリケーションとの間に、ファイアウォールとゲートウェイデバイスのうち少なくとも１つが介在してもよい。
【0037】
前記動作はさらに、ステートフル接続を介して、ソースアプリケーションに１つまたは複数の前記データメッセージを送信することを含み得る。
【0038】
本開示のさらに別の実施形態によれば、セキュアな環境内のターゲットアプリケーションと前記セキュアな環境の外部デバイスとの間の仮想伝送制御プロトコル接続を介して通信を実行するための方法が提供される。前記方法は、ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求にはターゲット識別子が含まれている、受信することと、前記ターゲット識別子に基づいて、前記セキュリティな環境内のネットワークリソースを介して前記ターゲットアプリケーションとのステートフル接続をオープンすることと、前記ステートレスプロトコルを介して、オープン要求のステータスを示す前記外部デバイスへの応答を提供することであって、前記応答には、セッション識別子とシーケンス識別子のうち少なくとも１つが含まれている、提供することと、前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済みシーケンス識別子とを含む前記外部デバイスからデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、前記ステートレスプロトコルを介して、前記受信したデータ要求から前記ステートフル接続によって前記ターゲットアプリケーションにデータを送信することと、を含む。
【0039】
前記ステートレスプロトコルは、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つであり得る。
【0040】
他の点で矛盾しない限り、上記の要素と本明細書内の要素との組み合わせが可能であると考えている。
【0041】
前述の概略的な記述および以下の詳細な記述は共に、例示的かつ説明的なものにすぎず、特許請求の範囲に記載の本開示を限定するものではないことを理解されたい。
【図面の簡単な説明】
【0042】
本明細書に組み込まれ、本明細書の一部を構成する添付の図面は、開示された主題の多数の特徴の例を示している。添付の図面は、説明と共に、本明細書に記載の様々な技術の原理を説明するのに役立つ。
【0043】
【図1A】本発明の実施形態による例示的な構成を示す概略図である。
【図1B】本発明の実施形態による別の例示的な構成を示す概略図である。
【図2A】本発明の実施形態を実施するための例示的なメッセージングシーケンスを示すスイムレーン図である。
【図2B】本発明の実施形態を実施するための例示的なメッセージングシーケンスを示すスイムレーン図である。
【図2C】本発明の実施形態を実施するための例示的なメッセージングシーケンスを示すスイムレーン図である。
【図2D】本発明の実施形態を実施するための例示的なメッセージングシーケンスを示すスイムレーン図である。
【図3A】本開示の実施形態によるクライアント側の方法を示すフローチャートである。
【図3B】本開示の実施形態によるサーバ側の方法を示すフローチャートである。
【図4】本明細書に記載の例示的な実施形態と一致するシステムおよび方法のために実装できる例示的なコンピューティングシステムのブロック図である。
【発明を実施するための形態】
【0044】
ここで、本明細書に記載の技術の様々な実施態様を詳細に参照していただくと、それらの例が添付の図面に示されている。便宜上、図面全体を通して同じ参照番号を使用して、同一または類似のパーツを指している。
【0045】
本開示の実施形態は、広域ネットワーク（「ＷＡＮ」）を介してリンクされた異なるローカルネットワーク上に位置するデバイス間の通信およびデータ転送を容易にすることを意図している。本開示の異なるネットワークは、１つまたは複数のネットワークプロテクションデバイスを介してＷＡＮからも互いからも分離されてもよく、１つのネットワーク上のデバイスに向けられたパケットは、ＷＡＮに到達し、最終的には別のネットワーク上のデバイスに到達するために、ネットワークプロテクションデバイスを通過しなければならない。本開示において言及される１つまたは複数のネットワークプロテクションデバイスは、ＷＡＮとローカルネットワークとの間の分離を提供する任意の適切なネットワークプロテクションデバイス、例えば、ルータ、ゲートウェイ、ファイアウォール、モデム、端末アダプタ等を含み得る。そのようなデバイスはさらに、ポート転送、ネットワークアドレス変換、フィルタリング、セキュリティ機能などの様々なサービスを実行するように構成されてもよい。本開示の実施形態はさらに、以下に説明するように、ネットワークプロテクションデバイス１４０がインバウンドおよび／またはアウトバウンドのネットワークトラフィックを特に制限する通信を、容易にすることを意図している。本開示の実施形態は、データ交換がステートレスプロトコルを介して行われる場合でも、異なるローカルネットワーク上のデバイス間で状態が維持されるようにする。この技術的効果は、少なくとも、各コンピューティングデバイスがそれぞれの状態を独立してローカルに維持することと、その後の通信中に参照されるセッション識別子および／またはシーケンス番号を用いて維持された状態にインデックスを付けることによって、達成される。
【0046】
図１Ａは、本発明の実施形態による例示的な構成を示す概略図である。システム１００は、とりわけ、クライアントデバイス１１０と、クライアントプロキシエージェント２１０と、サーバプロキシエージェント２２０と、複数の通信ネットワーク７０４～７０８を介してクライアント１１０およびそのソースアプリケーション１１５によって使用されるターゲットアプリケーション１３０へのアクセスを提供する１つまたは複数のサーバ１２０とを含み、これらは、ネットワークプロテクションデバイス１４０を介したネットワークパケットの通過を必要とする。図示の例では、ネットワークプロテクションによって保護されたデバイス１２０、２２０およびネットワーク７０８は、セキュアなネットワーク環境１２５と考えることができる。
【0047】
図１Ｂは、本発明の実施形態による別の例示的な構成１００’を示す概略図である。図１Ｂの実施形態は、図１Ａの実施形態と同様であるが、ただし、クライアントプロキシエージェント２１０の機能はクライアント１１０内に実装され、サーバプロキシエージェント２２０の機能はサーバデバイス１２０内に実装されている。当業者は、他の構成も可能であり、本実施例を限定するような意図はないことを理解されるであろう。
【0048】
様々な実施形態では、クライアントデバイス１１０は、任意の適切なコンピューティングデバイスを含むことができ、これらは、ネットワークを介して通信するように構成され、また、サーバデバイス１２０上で実行される１つまたは複数のターゲットアプリケーション１３０からのデータコンシューマとして、および／またはターゲットアプリケーションへのデータプロバイダとして、ソースアプリケーション１１５を実行するように構成される。例えば、パーソナルコンピュータ、モバイルデバイス、ビデオゲームコンソールなどである。いくつかの実施形態によれば、クライアントデバイス１１０は、とりわけ、モノのインターネット（ＩｏＴ）センサ、家電製品、車両、または車両の一部であるデバイス（例えば、車載ユニット（ＯＢＵ）など）であってもよい。例えば、クライアントデバイス１１０は、車両、船舶（例えば、ボート）、航空機、宇宙船、医療機器、ロボット、ドローン、無線もしくは有線通信モジュール、またはＩｏＴデバイスを含むことができる。いくつかの例では、クライアントデバイス１１０は、とりわけ、交通制御装置（例えば、信号機、交通灯、または電子交通標識）の路側ユニット（ＲＳＵ）、デジタル広告板、歩行者警告システム、オートバイセンサ、自転車センサ、電子標識、街灯センサ、または工事警告センサに対応し得る。
【0049】
クライアントデバイス１１０は、様々なアプリケーションを実行して、クライアントデバイスおよび／またはそのユーザにサービスまたは情報を提供するよう構成され得る。例えば、クライアントデバイス１１０は、プロビジョニング情報（例えば、セキュリティ証明書、許可など）を取得するように構成されたアプリケーション１１５を、例えば、サーバ１２０からそのような情報を要求することによって、実行するように構成され得る。クライアントデバイス１１０はまた、例えば、クライアントデバイス１１０によって生成された情報、および／またはサーバ１２０から受信された情報といった、プロビジョニング情報を、要求しているデバイスに提供するように構成されたアプリケーション１１５を実行するように構成されてもよい。クライアントデバイス１１０によって任意の数のソースアプリケーション１１５を実行することができ、そのようなアプリケーションは、本開示の範囲から逸脱することなく任意の数の異なる機能を提供する。
【0050】
いくつかの実施形態によれば、また図１Ｂに示すように、クライアントデバイス１１０は、クライアントプロキシエージェント２１０に関連する機能を提供することができ、このような機能については、以下でより詳細に説明する。例えば、クライアントプロキシエージェント２１０は、接続クライアント側で要求を開始することができ、すなわち、１つまたは複数のソースアプリケーション１１５に代わって要求者として作動することが可能であり、とりわけ、クライアント１１０がセキュアなネットワーク環境１２５の外部にある場合に、可能である。
【0051】
サーバデバイス１２０は、ターゲットアプリケーション１３０とも呼ばれ得る、１つまたは複数のサーバアプリケーション１３０を実行するように構成され得る。本明細書で使用する場合、「サーバアプリケーション」および「ターゲットアプリケーション」という用語は、コンピューティングデバイス（例えば、サーバデバイス１２０）上で実行されていて、セキュアなネットワーク環境１２５内に配置された（例えば、ネットワークプロテクションデバイス１４０によって保護された）、ソフトウェアアプリケーション１３０などを意味すると理解されてもよい。
【0052】
クライアントデバイス１１０は、ソースアプリケーション１１５とも呼ばれ得る、１つまたは複数のクライアントアプリケーション１１５を実行するように構成され得る。本明細書で使用する場合、「クライアントアプリケーション」および「ソースアプリケーション」という用語は、プロテクト済みソフトウェアアプリケーション（サーバアプリケーション１３０など）など（例えば、サービス、インターフェースなど）へのアクセスを必要とする、コンピューティングデバイス（例えば、クライアントデバイス１１０）上で実行されているソフトウェアアプリケーション１１５など（例えば、サービス、インターフェースなど）を意味すると理解されてもよい。図示の例では、プロテクト済みサーバアプリケーション１３０は、クライアントネットワーク７０４とは異なるネットワーク（例えば、プロテクト済みローカルネットワーク７０８）にリンクされたコンピューティングデバイス（例えば、サーバデバイス１２０）上で実行されている。動作中、クライアントアプリケーション１１５のうちの１つまたは複数は、ターゲットアプリケーション１３０へのアクセスを（例えば、データ消費、ストレージなどのために）必要とし、および／またはターゲットアプリケーションからの情報を必要とし得る。
【0053】
様々な実施形態において、サーバデバイス１２０は、プロテクト済みローカルネットワーク７０８からの発信(outgoing)トラフィックのためにネットワークプロテクションデバイス１４０によってブロックおよび／またはフィルタリングされる１つまたは複数のネットワークポートを介して、プロテクト済みローカルネットワーク７０８内で通信することができる。特に、本開示の実施形態によれば、セキュアなネットワーク環境１２５の外部で動作するクライアント／ソースアプリケーション１１５は、後述するように、サーバプロキシ２２０を介してオープンしている単一のポートを介してルーティングしながら、セキュアなネットワーク環境１２５内のサーバ／ターゲットアプリケーション１３０への接続をいくつでもオープン可能にすることができる。
【0054】
サーバデバイス１２０は、様々なデバイスから要求メッセージを受信し、そのようなメッセージに応答して、例えばデータ、ステータス情報などを含む応答メッセージを返すように構成されてもよい。例えば、クライアントデバイス１１０は、サーバ１２０へのクエリを使用してデータセットを要求することができ、サーバ１２０は、クエリを実行し、応答データセットおよび／または他の情報（例えば、セット内にデータが無いことを示すステータスメッセージ）を含む１つまたは複数のパケットを用いてクライアント１１０に応答することができる。
【0055】
いくつかの実施形態によれば、また図１Ｂに示すように、サーバデバイス１２０はさらに、クライアントプロキシエージェント２１０に関連する機能を提供することができるが、このような機能については、以下でより詳細に説明する。例えば、サーバプロキシエージェント２２０は、接続クライアント側から要求を受信することができ、とりわけ、セキュアなネットワーク環境１２５内からクライアントアプリケーション１１５と１つまたは複数のサーバアプリケーション１２２との間の仲介者として、機能することができる。
【0056】
サーバ１２０およびそのローカル通信ネットワーク７０８は、とりわけ、セキュアなネットワークインフラストラクチャ１２５内に配置されてもよく、これは、セキュアなネットワークインフラストラクチャの外部に位置するクライアントまたは他のデバイスとの一部またはすべての通信を禁止するように構成されてもよい。より具体的には、図示のような様々な実施形態では、ネットワークプロテクションデバイス１４０は、１つまたは複数のポートでの外部通信を禁止するように、および／または各パケットがセキュアなネットワークインフラストラクチャ１２５の境界を通過するときに各パケットをスキャンして、パケットをブロックするかどうかを決定するように、構成することができる。ＷＡＮ７０６を介してセキュアなネットワークインフラストラクチャ１２５の境界に到達するパケットを含む広域ネットワーク（「ＷＡＮ」）トラフィック（例えば、インターネットトラフィック、セルラーネットワークトラフィックなど）は、ネットワークトラフィック（例えば、パケット）がセキュアなネットワークインフラストラクチャ１２５に（例えば、ネットワーク７０８に進むために）入ることを許可され得るかどうかを決定するよう機能する、ネットワークプロテクションデバイス１４０を通過するように方向づけされ得る。
【0057】
様々な実施形態において、セキュアなネットワークインフラストラクチャ１２５は、例えば、セキュアなネットワークインフラストラクチャ１２５に出入りするデータパケットから成る限定または特定のネットワークトラフィックのみを許可することによってプロテクト動作を実行するように構成された、１つまたは複数のネットワークプロテクションデバイス１４０（例えば、ゲートウェイ、ファイアウォールなど）を含むことができる。プロテクト動作はさらに、例えば、ハイパーテキストトランスファープロトコル（「ＨＴＴＰ」）接続およびハイパーテキストトランスファープロトコルセキュアド（「ＨＴＴＰＳ」）接続のような、より容易に制御されるステートレスで短命の接続を介したデータトラフィックを提供しながら、長命のステートフル接続（例えば、伝送制御プロトコル（「ＴＣＰ」）接続）の使用および可用性を制限することを含み得る。
【0058】
本開示の実施形態によれば、セキュアなネットワーク環境１２５外のデバイス（例えば、クライアントデバイス１１０、クライアントプロキシエージェント２１０など）とセキュアなネットワーク環境１２５内のデバイス（例えば、サーバプロキシエージェント２２０および／またはサーバ１２０）との間の通信を実施するために、所定のポートを使用するステートレスで短命の接続プロトコルを事前に選択することができる。例えば、いくつかの実施形態によれば、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間の通信は、ポート４４３（例えば、ネットワークプロテクションデバイス１４０のポート４４３）上のＨＴＴＰＳを使用して実施され得る。したがって、この例では、ポート４４３上のＨＴＴＰＳは、セキュアなネットワークインフラストラクチャ１２５の外部にあるデバイス１１０への指定された通信チャネルとして、事前に選択されてもよい。本開示の範囲から逸脱することなく、任意の適切なプロトコルおよびポートを選択することができる。
【0059】
クライアントデバイス１１０とクライアントネットワーク７０４との間の通信のために、任意の適切なプロトコル、例えばＴＣＰを実装することができる。同様に、セキュアなネットワーク環境１２５内で、サーバデバイス１２０とサーバローカルネットワーク７０８との間の通信のために、任意の適切な通信プロトコル、例えば、ＴＣＰを実装することができる。言い換えれば、それぞれのローカルネットワーク内の通信のために、ステートフルで長命の接続プロトコルを実装することができ、それによってセキュリティを侵害することなく通信を強化することができる。
【0060】
クライアントプロキシエージェント２１０は、複数のソースクライアントアプリケーション１１５とサーバプロキシエージェント２２０との間の複数の接続を管理するように構成され得る。例えば、１つまたは複数のソースクライアントアプリケーション１１５は、クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０を介して１つまたは複数のターゲットサーバアプリケーション１３０との通信を開始することができ、クライアントプロキシエージェント２１０は、クライアントソースアプリケーション１１５に関連する接続の各々について、セッション識別子、シーケンス番号、および１つまたは複数のターゲット識別子（例えば、ターゲットポート識別子）のうちの、少なくとも１つを維持するように構成され得る。様々な実施形態において、セッション識別子、シーケンス番号、およびターゲット識別子は、図２Ａ～２Ｄに関してより詳細に説明するように、サーバ１２０および／またはサーバプロキシエージェント２２０によって生成または提供されてもよい。
【0061】
クライアントプロキシエージェント２１０は、クライアント１１０上で実行されているソースクライアントアプリケーション１１５から受信したメッセージを受信し、再パッケージ化し、リダイレクトするとともに、サーバプロキシエージェント２２０を介してターゲットサーバアプリケーション１３０から受信した応答メッセージを処理するように構成され得る。すなわち、クライアントプロキシエージェント２１０は、クライアントデバイス１１０およびサーバ１２０と、その中の各アプリケーションとの間の仲介者として機能するように構成される。例えば、クライアントプロキシエージェント２１０は、ローカルクライアントネットワーク７０４上の所定のポート（すなわち、バウンドポート）上のステートフル接続（例えば、ＴＣＰ接続）を介してクライアントアプリケーション１１５からメッセージを受信することができる。クライアントプロキシエージェント２１０は、メッセージを受信したポートに基づいてクライアントアプリケーション１１５を識別することができる。例えば、クライアントプロキシエージェント２１０は、１つまたは複数のルックアップテーブル（例えば、データベース、ファイル構造など）を含むことができ、ルックアップテーブルは、クライアントアプリケーション１１５をバウンドポートにリンクさせ、追加のアプリケーション情報、例えばステートレスで短命のプロトコルを介したサーバプロキシエージェント２２０への要求の再送信に関連する情報、を含んでいる。そのような情報は、例えばアドレス情報を含むことができ、アドレス情報は、ユニフォームリソースロケータ（「ＵＲＬ」）（例えば、インターネットプロトコルアドレス、ドメインネームサービス（「ＤＮＳ」）アドレスなど）、および特に、所望のサーバ１２０およびサーバアプリケーション１３０に連絡するためのターゲットポートなどである。
【0062】
識別された情報に基づいて、クライアントプロキシエージェント２１０は、要求に関連する識別された情報の一部または全部を含む、対応する要求をパッケージ化するように構成され得る。例えば、クライアントプロキシエージェント２１０は、アドレス識別子と、選択されたステートレスショートライフプロトコルと一致するプロトコルスタックとを使用して、送信要求を再パッケージ化するように構成されてもよく、その後、所定のポートを介して、所定のステートレスプロトコルを介して指定されたアドレス（例えば、ＵＲＬ）にメッセージを送信（すなわち、ダイレクト）することができる。再パッケージングおよび再送信については、２Ａ～２Ｄに関して以下により詳細に説明する。
【0063】
いくつかの実施形態によれば、クライアントプロキシエージェント２１０は、クライアントデバイス１１０とは分離されてもよく、クライアントデバイス１１０とサーバ１２０との間の通信を実行するための任意の適切なデバイス上で実行されてもよい。任意の数のクライアントプロキシエージェント２１０、例えば、１つのクライアントプロキシエージェント２１０が各サーバ１２０に対して存在してもよく、各サーバは、サーバのローカルネットワーク７０８への（事前選択されたステートレスプロトコルを介した）仮想ステートフル接続を形成することを意図したサーバアプリケーション１３０を有する。
【0064】
クライアントプロキシエージェント２１０はまた、サーバプロキシエージェント２２０がサーバ１２０から受信したデータを求めてサーバプロキシエージェント２２０に定期的にポーリングするように構成されてもよい。例えば、サーバプロキシエージェント２２０が、クライアントプロキシエージェント２１０による読み取りを待っているデータがまだ有ることを示す応答を送信した場合、および／または、クライアントプロキシエージェント２１０が、所定の閾値時間が経過した後（例えば、通信なしで１分後）にサーバプロキシエージェント２２０にデータを要求しなかった場合、その後、クライアントプロキシエージェント２１０は、サーバプロキシエージェント２２０をポーリングして、ポーリング要求を送信することによってデータおよび／またはステータスメッセージを要求し、取得することができる。あるいは、サーバプロキシエージェント２２０は、現在サーバプロキシエージェント２２０においてバッファリング中のコンテンツまたは利用可能なコンテンツが無い（例えば、応答データが無い）ことを示すインジケータを含む、応答を送信することができる。いくつかの実施形態では、所定の閾値期間は設定可能であってもよく、例えば、待ち時間、アプリケーション性能などに基づいて設定されてもよい。
【0065】
サーバプロキシエージェント２２０は、セキュアなネットワーク環境１２５内から、ネットワークプロテクションアプリケーションまたはデバイス１４０を介して、１つまたは複数のクライアントプロキシエージェント２１０によるアクセスを、１つまたは複数のサーバアプリケーション１３０に供与または提供するように構成され得る。サーバプロキシエージェント２２０は、本開示の実施形態による機能を可能にする目的で、ネットワークプロテクションデバイス１４０によってＷＡＮトラフィックに対してオープンされた１つまたは複数のポートを介して、１つまたは複数のクライアントデバイス１１０および／またはクライアントプロキシ２１０から要求を受信するように構成され得る。
【0066】
様々な実施形態において、要求メッセージを送信するため、また要求メッセージに関連するデータおよび／またはステータス情報を受信ためにセキュアなネットワーク環境１２５内で、サーバプロキシエージェント２２０は、ターゲットアプリケーション１３０を実行するサーバ１２０への１つまたは複数の接続をオープンするように構成される。例えば、サーバ１２０上のターゲットポート（すなわち、クライアントプロキシエージェント２１０が、識別済みクライアントアプリケーション１１５に基づいて要求メッセージの中で指定したポート）を含むサーバプロキシエージェント２２０によって、要求（例えば、オープン要求）が受信されると、サーバプロキシエージェント２２０は、その要求を認証（例えば、ターゲットポートが既知のサーバアプリケーションにリンクされた既知のポートであるかどうかを判定）し、次いで、サーバ１２０と、ターゲットポートによって識別された関連するターゲットアプリケーション１３０との、ステートフルで長命の接続をオープンしようと試みるよう構成され得る。
【0067】
クライアントプロキシエージェント２１０と同様に、サーバプロキシエージェント２２０は、ターゲットポート（すなわち、クライアントプロキシエージェント２１０から受信する際の）を、サーバアプリケーション１３０と、サーバ１２０およびアプリケーション１３０に関連する様々な他のアプリケーション情報とにリンクする、１つまたは複数のルックアップテーブル（例えば、データベース、ファイル構造など）を含むことができる。例えば、そのような情報はアドレス情報を含むことができ、アドレス情報は、ユニフォームリソースロケータ（「ＵＲＬ」）（例えば、インターネットプロトコルアドレス、ドメインネームサービス（「ＤＮＳ」）アドレスなど）と、特に、所望のサーバ１２０およびサーバアプリケーション１３０に連絡するためのターゲットポートなどである。
【0068】
サーバプロキシエージェント２２０は、とりわけ、要求と共に受信した指示されたターゲットポートに基づいて、要求および／またはメッセージが有効であるかどうかを判定することができる。例えば、サーバプロキシエージェント２２０が、ルックアップにターゲットポートが存在しないと判定した場合、サーバプロキシエージェント２２０は、要求が無効であると判定することができる。いくつかの実施形態では、ターゲットポートがルックアップテーブルなどにおいてサーバアプリケーション１３０にマッピングされ、それにより、サーバ／アプリケーションが有効であると識別されたとサーバプロキシエージェント２２０は判定するかもしれないが、それにもかかわらず、その後のサーバ１２０への要求は失敗する場合がある。そのような実施形態において、サーバ１２０は、失敗接続を示すステータスを有するエラー応答メッセージをサーバプロキシエージェント２２０に送り返すように構成されてもよい。対照的に、サーバ１２０によって接続の確立が成功すると、サーバプロキシ２２０は、アプリケーション１３０とクライアントアプリケーション１１５との間で現在オープンしているセッションを識別する、セッションＩＤおよび任意選択的にシーケンス番号で応答するように構成されてもよい。これにより、クライアントプロキシ２１０に対して、接続が良好にオープンしたことが通知される。
【0069】
サーバプロキシエージェント２２０は、複数のソースクライアントアプリケーション１１５とそれ自体との間の複数の接続、ならびに１つまたは複数のターゲットサーバアプリケーション１３０とそれ自体との間の接続を管理するように構成され得る。例えば、１つまたは複数のソースクライアントアプリケーション１１５は、クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０を介して、１つまたは複数のターゲットサーバアプリケーション１３０との通信を開始することができる。サーバプロキシエージェント２２０は、クライアントソースアプリケーションに関連する接続の各々に対して、セッション識別子、シーケンス番号、および１つまたは複数のターゲット識別子（例えば、ターゲットポート識別子）のうちの少なくとも１つを生成および維持するように構成されてもよく、図２Ａ～２Ｄに関してより詳細に説明するように、この情報に基づいてクライアント宛てメッセージを付加するように構成されてもよい。例えば、サーバプロキシエージェント２２０は、オープン要求に応答して、一意のセッション識別子および任意選択でランダムな初期シーケンス番号をセキュアに生成するように構成され得る。
【0070】
サーバプロキシエージェント２２０はさらに、クライアントデバイス１１０および／またはソースクライアントアプリケーション１１５向けのデータをバッファリングするように構成され得る。例えば、ソースクライアントアプリケーション１１５によって開始されたデータ要求に対する１つまたは複数の応答メッセージは、クライアントプロキシエージェント２１０からの通信（例えば、ポーリング要求）を待ちながら、サーバプロキシエージェント２２０にバッファリングされてもよい。このようなバッファリングは、サーバプロキシエージェント２２０が、クライアントプロキシエージェント２１０が通信を行っていないことを認識したときに（例えば、４分というような所定の時間内に）、ターゲットサーバアプリケーション１３０からデータメッセージを受信すると実行され、また、サーバプロキシエージェント２２０のストレージデバイス（例えば、ランダムアクセスメモリ、パーマネントストレージなど）および／またはサーバプロキシエージェント２２０がアクセス可能な外部ストレージデバイスを用いて実現され得る。
【0071】
サーバプロキシエージェント２２０は、ターゲットサーバアプリケーション１３０からのメッセージを受信し、再パッケージ化し、クライアントプロキシエージェント２１０に送信するように構成され得る。クライアントプロキシエージェント２１０と同様に、サーバプロキシエージェント２２０は、ターゲットサーバアプリケーション１３０から受信したデータを、クライアントプロキシエージェント２１０への送信に適した形式に再パッケージ化することができる。サーバプロキシエージェント２２０はさらに、例えば、ターゲットサーバアプリケーション１３０からの再パッケージ化されたメッセージをクライアントプロキシ２１０において認証できるようにするために、発信データおよび状態データを含む、ターゲットサーバアプリケーション１３０によって確立された各セッションの情報を維持するように構成され得る。
【0072】
クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０の各々は、ネットワークプロテクションデバイス１４０をトラバースするために、所定のポートを介して所定のステートレスプロトコルによって通信するように構成され得る。例えば、ＨＴＴＰおよび／またはＨＴＴＰＳは、プロキシエージェント２２０、２１０に連絡するためのインターネットプロトコルアドレス指定（例えば、ＩＰｖ４、ＩＰｖ６など）を使用して、ステートレスプロトコルとして実装されてもよい。所定のポートは、例えば、ＨＴＴＰポート８０の場合やＨＴＴＰＳの場合であれば、ポート４４３であってもよい。当業者であれば、他のアドレス指定スキームが（例えば、ドメインネームサービス（「ＤＮＳ」）などを使用して）実装され得ること、およびステートレスプロトコルのデフォルトポートは、例えばセキュリティ目的で、必要に応じて変更され得ることを承知であろう。
【0073】
選択された短命のステートレスプロトコルに関連するデータパケット構造は、セキュアなネットワーク環境１２５内の１つまたは複数のサーバ１２０上のアプリケーション１３０向けの様々なデータを内包するヘッダおよびボディ部分を含むことができる。したがって、クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０は、選択された短命のステートレスプロトコルを介して送受信されるデータパケットのヘッダおよびボディ部分を操作し修正するように構成され得る。そのような修正は、以下で詳細に説明する。
【0074】
本開示の例示的な実施形態は、１つのサーバデバイス１２０、１つのクライアントデバイス１１０、１つのクライアントプロキシエージェント２１０、および１つのサーバプロキシエージェント２２０を有するシステムに関して説明されているが、任意の数のそのようなデバイス、エージェント、アプリケーションなどが実装されてもよい。例えば、複数のサーバデバイス１２０は、セキュアなネットワーク環境１２５内の様々なサーバアプリケーション１３０で構成されてもよく、一方、複数のクライアントデバイス１１０は、セキュアなネットワーク環境１２５の外部から複数のサーバデバイスのうちの１つまたは複数に、（例えば、所望のアプリケーション１３０がどこにあるかに応じて）アクセスするように構成されてもよい。このような例では、他の変形例の中でも、各クライアントデバイス１１０に対応する１つのクライアントプロキシエージェント２１０と、各サーバ１２０に対応する１つのサーバプロキシエージェント２２０とが実装されてもよい。
【0075】
図２Ａ～２Ｄは、本発明の実施形態を実施するためのメッセージングシーケンスの具体的な例を示すスイムレーン図である。図２Ａ～２Ｄの各スイムレーン図は、クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０を介したソースクライアントアプリケーション１１５とターゲットサーバアプリケーション１３０との間の通信のフェーズを表す。スイムレーン図に関連して、図３Ａは、本開示の実施形態によるクライアント側の方法３００の一例を示すフローチャートであり、図３Ｂは、本開示の実施形態によるサーバ側の方法３５０の一例を示すフローチャートである。
【0076】
図２Ａは、本開示の実施形態による、ソースクライアントアプリケーション１１５とターゲットサーバアプリケーション１３０との間の仮想接続のための接続開放シーケンスを示すスイムレーン図２００であり、ターゲットアプリケーション１３０は、セキュアなネットワーク環境１２５内に位置するサーバ１２０上で実行されている。ソースクライアントアプリケーション１１５は、クライアントプロキシエージェント２１０によって受信されるオープンメッセージ（メッセージ２５１）を介して、ソースアプリケーション１１５とクライアントプロキシエージェント２１０との間の接続のオープンを開始することができる（図３Ａの動作３０２）。いくつかの実施形態では、オープンメッセージ２５１は、クライアントローカルネットワーク７０４を介して（例えば、ＴＣＰ接続を介して）、送受信されてもよい。サーバアプリケーション識別のためのサーバプロキシエージェント２２０宛てのターゲット識別子（例えば、ターゲットポート識別子）を含むオープンメッセージ２５１は、上述したように、要求を行っているクライアントアプリケーション１１５を識別する機能を有し得るクライアントプロキシエージェント２１０の所定のポートに送信される。例えば、ソースアプリケーション１１５は、ターゲットポート識別子１００１を用いて、クライアントプロキシエージェント２１０に対するＴＣＰオープン要求２５１をポート１０００上で開始することができる。
【0077】
オープンメッセージ２５１を受信すると、クライアントプロキシエージェント２１０は、例えば、クライアントプロキシエージェント２１０にメッセージを送信したポートに基づいて、（例えば、アプリケーション／ポートのリンケージまたはマッピングを含む、ルックアップテーブルなどに対してクエリを実行することによって）、ソースアプリケーション１１５を識別することができる（図３Ａの動作３０４）。例えば、メッセージが送信されたポート１０００は、ルックアップテーブルに見られるように、クライアントデバイス１１０上で実行されている第１クライアントアプリケーション１１５「ｆｏｏ」にリンクされてもよい。
【0078】
示した例では、クライアントプロキシエージェント２１０はまた、例えば、オープンメッセージに含まれるターゲットポート識別子（この例ではターゲットポート１００１）に基づいて、ターゲットサーバアプリケーション１３０を識別しようと試みる（動作２５２および３０４）。クライアントプロキシエージェント２１０は、要求に含まれるターゲットポート識別子に基づいて、クライアントソースアプリケーション１１５が接続したいターゲットサーバアプリケーション１３０を決定するためにルックアップテーブルにクエリを行うことができる。例えば、クライアントプロキシエージェント２１０は、ポート１００１を検索し、例えばアドレス情報（例えばＵＲＬ）、ターゲットサーバアプリケーション名（例えば「ｂａｒ」）、データタイプ、予想される応答時間など、ターゲットアプリケーション１３０に関連する情報を判定または発見することができる。
【0079】
クライアントプロキシエージェント２１０がルックアップテーブル内でサーバアプリケーション１３０を識別することができない場合（図３Ａの動作３０４のＮｏ）、クライアントプロキシエージェント２１０は、中でも、クライアント１１０の要求側クライアントアプリケーション１１５に、エラーメッセージを返すように構成されてもよい（図３Ａの動作３０６、図２Ａには図示なし）。例えば、クライアントプロキシエージェント２１０は、ルックアップテーブル内でポート１００１を検索し、結果が存在しないという決定をすることができる。結果が存在しないことに基づいて、クライアントプロキシエージェント２１０は、オープン要求が無効であると判断することができ、ソースクライアントアプリケーション１１５に対してエラーメッセージ３０６で応答することができる。
【0080】
ターゲットサーバアプリケーション１３０を識別して（図３Ａの動作３０４のＹｅｓ）、例えばルックアップテーブルから、アドレス情報を含む追加情報を取得すると、クライアントプロキシエージェント２１０は、システム１００で使用するために選択され実装されたステートレスプロトコル（例えば、ＨＴＴＰ、ＨＴＴＰＳなど）を介して、オープンメッセージ２５１を、対応するオープン要求２５３として再パッケージ化することができる。例えば、クライアントプロキシエージェント２１０は、ステートレスプロトコルを介してサーバプロキシエージェント２２０のアドレス（例えば、ＵＲＬ）に送信されるべきＨＴＴＰＳ ＰＯＳＴ／オープン要求２５３を準備することができる。そうするために、クライアントプロキシエージェント２１０は、以前にクライアントプロキシ２１０によって実行されたソースアプリケーション１１５およびターゲットサーバアプリケーション１３０の識別に基づいて、ソースポート識別子および／またはターゲットポート識別子をＰＯＳＴメッセージ（例えば、ＰＯＳＴメッセージのヘッダ）に付加することができる。
【0081】
上記で使用した例をそのまま続けて説明すると、オープンメッセージ２５１は、第１ソースアプリケーション１１５がポート１０００を介して送信したもので、ターゲットポート表示１００１を含んでおり、このメッセージは、ＨＴＴＰＳ ＰＯＳＴ要求２５３に変換されて、（例えば、ネットワークプロテクションデバイス１４０の）ポート４４３に送信されてもよく、このメッセージはまた、要求２５１に含まれたターゲットサーバアプリケーションポート１００１に基づいてルックアップテーブルから識別されたアドレス（例えば、ＵＲＬ）にアドレス指定される。いくつかの実施形態では、ソースポート識別子（例えば、ポート１０００）は、ＨＴＴＰＳ ＰＯＳＴ２５３のヘッダに付加されてもよい。特に、ソースポート識別子およびソースポート識別子の変更は、システム１００の様々な実施形態において実施されてもされなくてもよい。
【0082】
選択されたステートレスで短命のプロトコルに準拠するフォーマットに再パッケージ化されると、クライアントプロキシエージェント２１０は、ターゲットサーバアプリケーション１３０に対応する識別済みアドレスにオープン要求を送信することができる（メッセージ２５３で、図３Ａには図示なし）。例えば、オープン要求２５３は、ポート４４３上でＨＴＴＰＳを介して上記で識別されたＵＲＬまたはＩＰアドレスに送信されてもよく、それによって、ネットワークプロテクションデバイス１４０の通過と、セキュアなネットワーク環境１２５内に配置されたサーバプロキシエージェント２２０による受信とを可能にする。
【0083】
いくつかの実施形態によれば、および上述したように、ネットワークプロテクションデバイス１４０は、ポート転送用に構成されたゲートウェイおよび／またはルータを含むことができ、それにより、本明細書に記載の機能および動作をサポートする１つ（または複数）の特定のポート上でメッセージまたは要求を受信すると、例えば、特定のポートがデフォルトでＨＴＴＰＳポート４４３（または他の所定のポート）になり、ゲートウェイおよび／またはルータは、処理のためにメッセージまたは要求をサーバプロキシエージェント２２０に自動的にリダイレクト（すなわち、転送）することができる。
【0084】
特別に構成されたポートを介してネットワークプロテクション１４０を通過し、ステートレスで短命のプロトコルを使用することができるオープン要求２５３を受信すると（図３Ｂの動作３５２）、サーバプロキシエージェント２２０は、オープン要求２５３のヘッダで指定されたターゲットポートが、セキュアなネットワーク環境１２５内にあるサーバ１３０の有効なターゲットポートであるかどうかを判定することができる（動作２５４）（図３Ｂの動作３５４）。例えば、クライアントプロキシエージェント２１０と同様に、サーバプロキシエージェント２２０はルックアップテーブルを使用すること、またはターゲットポートとターゲットサーバアプリケーション１３０および他の関連情報とをリンクまたは他の様態で関連付ける情報を含む、他の適切なデータ構造を使用すること、ができる。上記の例を進めると、ターゲットポート識別子「１００１」は、サーバ１２０上のターゲットサーバアプリケーション１３０にリンクされてもよく、サーバプロキシエージェント２２０は、サーバ１２０においてターゲットサーバアプリケーション１３０とコンタクトするため、またはインターフェース接続するための、アドレス指定情報などをルックアップテーブルから取得することができる。
【0085】
サーバプロキシエージェント２２０が、オープン要求のヘッダに含まれるターゲットポート識別子に基づいてターゲットサーバアプリケーション１３０および／またはターゲットサーバ１２０を識別できない場合（例えば、動作２５４の間にルックアップテーブルにターゲットポートのエントリが無い場合）（図３Ｂの動作３５４のＮｏ）、サーバプロキシエージェント２２０は、ステートレスで短命のプロトコルを介して、不適切な要求を示すエラー応答（メッセージ２５５）をクライアントプロキシエージェント２１０（図３Ａと３Ｂには図示なし）に送信することができる（図３Ｂの動作３５６）。例えば、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間の通信用のステートレスで短命のプロトコルとしてＨＴＴＰまたはＨＴＴＰＳが実装されている場合、サーバプロキシエージェント２２０は、ＨＴＴＰ４０４エラー応答を返して、ターゲットサーバアプリケーション１３０および／またはターゲットサーバ１２０が認識されなかったこと、または有効でないこと、を示すことができる。
【0086】
一方、サーバプロキシエージェント２２０が、オープン要求のヘッダに含まれるターゲットポート識別子に基づいて、ターゲットサーバアプリケーション１３０および／またはターゲットサーバ１２０を識別した場合（図３Ｂの動作３５４のＹｅｓ）、サーバプロキシエージェント２２０は、サーバアプリケーション１３０とのステートフルで長命の接続（例えば、ＴＣＰ）を確立することができる（メッセージ２５６、図３Ｂには図示なし）。例えば、サーバプロキシエージェント２２０は、サーバアプリケーション１３０が存在するサーバ１２０に対してＴＣＰオープンメッセージを発行することができる。サーバプロキシエージェント２２０は、クライアントプロキシエージェント２１０からのオープン要求のヘッダに提供されたターゲットポート識別子を識別している間にルックアップで発見された情報に基づいて、サーバ１２０をアドレス指定することができる。当業者であれば、サーバプロキシエージェント２２０とサーバアプリケーション１３０との間の通信には任意の適切なプロトコルが使用されること、およびＴＣＰは単に例として挙げていること、を理解されるであろう。
【0087】
サーバプロキシエージェント２２０とサーバアプリケーション１３０との間で接続の確立が成功すると、サーバアプリケーション１３０および／またはサーバ１２０は、オープンステータスメッセージで応答することができる（メッセージ２５７、図３Ｂのステップ３５８）。オープンステータスメッセージ２５７は、ステータスならびに追加情報含むことができ、追加情報は例えば、サーバ１２０上のターゲットサーバアプリケーション１３０との現行セッション用のサーバ１２０のターゲットポートを示す新しい仮想接続（「ｖｃｏｎ」）ターゲットポート識別子である。例えば、接続の確立に成功すると、サーバ１２０は、ＴＣＰ ＡＣＫ（例えば、メッセージ２５７）をサーバプロキシエージェント２２０に送信することができ、ＴＣＰ ＡＣＫのヘッダに含まれているものは、サーバ１２０によって、例えば１８８８のような新しい通信ターゲットポートに付加されてもよく、それによって成功を示し、ターゲットサーバアプリケーション１３０と通信する際に参照される新しいｖｃｏｎポートを提供する。
【0088】
これに応えて、サーバプロキシエージェント２２０は、所望の識別子、例えばクライアントアプリケーション１１５からターゲットサーバアプリケーション１３０への確立された接続に対応する一意のセッション識別子、を生成するが（動作３５９）、この一意のセッション識別子は、ターゲットサーバアプリケーション１３０とソースクライアントアプリケーション１１５との間の通信全体を通して維持される。例えば、サーバプロキシエージェント２２０は、一意のセッション識別子をグローバルな一意の識別子（「ＧＵＩＤ」）としてランダムに生成することができる。さらに、サーバプロキシエージェント２２０は、セッションの初期シーケンス番号としてランダムシーケンス番号（例えば、ランダム整数）をセキュアに生成することができる。例えば、サーバプロキシエージェント２２０は、例として乱数生成器に供給される初期シード値に基づいて、セッション番号をランダムに生成することができる。さらなる実施形態によれば、ランダムシーケンス番号は、ターゲットサーバアプリケーション１３０によって生成されてもよい。さらなる実施形態によれば、サーバプロキシエージェント２２０のオペレーティングシステムに関連付けられた乱数生成器（例えば、セキュアな乱数生成器）を、乱数生成用に使用することができる。そのような実施形態では、エントロピーは、例えば、プロセッサ温度、ユーザインタラクションなどを介して含まれ得る。
【0089】
次いで、サーバプロキシエージェント２２０は、一意のセッション識別子、シーケンス番号を格納し、また、いくつかの実施形態によれば、以下でより詳細に説明するように、今後の参照のためにｖｃｏｎターゲット識別子を格納する。
【0090】
一意のセッション識別子とシーケンス番号の生成および格納に続いて、サーバプロキシエージェント２２０は、サーバアプリケーション１３０／サーバデバイス１２０への接続が成功したことを示すオープンステータス応答（メッセージ２５８）を作成し、ステートレスプロトコルを介してクライアントプロキシエージェント２１０にメッセージを送信することができる（図３Ｂ、動作３５８）。次いで、サーバプロキシエージェント２２０は、一意のセッション識別子、シーケンス番号を含むことができ、また、いくつかの実施形態によれば、オープンステータス応答２５８においてｖｃｏｎターゲット識別子を含むことができる。このオープンステータス応答２５８は、システム１００内で使用するために選択されたステートレスで短命のプロトコルに基づいてパッケージ化され得る。例えば、一意のセッション識別子およびシーケンス番号を含むように、ＨＴＴＰＳ２００「ＯＫ」メッセージのヘッダが付加されてもよい。このようにして、ＨＴＴＰＳ２００「ＯＫ」メッセージは、ステートレスで短命のプロトコルを介してクライアントプロキシエージェント２１０に付加される。
【0091】
クライアントプロキシエージェント２１０は、オープンステータス応答２５８を受信する（図３Ａの動作３０８）。メッセージステータスが成功を示していると判定すると、クライアントプロキシエージェント２１０は、以前に確立されたステートフルで短命の接続プロトコル（例えば、ＴＣＰ）を介して、一意のセッション識別子と、シーケンス番号と、実装されている場合にはｖｃｏｎターゲットポート識別子とを含む、成功したオープンステータスを示す情報を、ソースクライアントアプリケーション１１５に送信２５９を行うことができる（図３Ａには図示なし）。ソースクライアントアプリケーション１１５は、成功を示すオープンステータスメッセージを受信すると、一意のセッション識別子と、シーケンス番号と、実装されている場合にはｖｃｏｎターゲットポート識別子とを使用して、サーバアプリケーション１３０との通信を開始することができる。
【0092】
図２Ｂは、本開示の実施形態によるデータ要求検証シーケンスの一例を示すスイムレーン図２０１である。特に、図２Ｂのイベント、動作、およびメッセージは、図２Ａに関して強調されているように、通信チャネルの接続が成功した後に実行される。
【0093】
通信チャネルが設定された後、ソースクライアントアプリケーション１１５は、ターゲットサーバアプリケーション１３０へデータメッセージ２６１を通信することができるように、クライアントプロキシエージェント２１０へ、１つまたは複数のデータメッセージ２６１を送信することができる（図３Ａの動作３１０）。例えば、ソースクライアントアプリケーション１１５は、データ、これは例えば、ソースクライアントアプリケーション１１５によって選択されたデジタル証明書および／またはその他のデータといった識別データ、を準備することができ、ソースクライアントアプリケーション１１５は、その（例えば識別情報などを含む）データを、以前に確立されたステートフルで長命の接続を介して、クライアントプロキシエージェント２１０へ送信することができる。
【0094】
次に、クライアントプロキシエージェント２１０は、ソースクライアントアプリケーション１１５から受信したデータメッセージ２６１を、サーバプロキシエージェント２２０へ送信するために、再パッケージ化してデータ要求にする。データは、クライアントプロキシエージェント２１０とソースクライアントアプリケーション１１５との間の通信用に使用される事前選択されたステートレスで短命のプロトコルに従って、再パッケージ化され得る。様々な実施形態では、クライアントプロキシエージェント２１０における再パッケージ化は、例えば、データパケット（例えば、ヘッダへの付加）と併せて、少なくとも、以前に取得した一意のセッション識別子と、所定量（例えば、１、２、１０、１５など）だけインクリメントされたシーケンス番号とを含み得る。いくつかの実施形態によれば、シーケンス番号は、サーバプロキシエージェント２２０に知られている値だけ、または期待されている値だけ、インクリメントされてもよい。あるいは、シーケンス番号を、最初はランダムな値でインクリメントすることができ、一旦確立すると、通信セッションの存続期間を通して使用することができる。いくつかの実施形態によれば、インクリメント値は、セッションＩＤによって定義されるようにセッションの確立が成功したときに、例えば、クライアントプロキシ２１０によってサーバプロキシ２２０へ、あるいはその逆へ、伝達されてもよい。
【0095】
いくつかの実施形態では、クライアントプロキシエージェント２１０は、ソースクライアントアプリケーション１１５から受信したデータを、例えば、ＨＴＴＰＳ／データ要求２６２のボディに挿入し、ＨＴＴＰＳ／データ要求２６２のヘッダを変更して、おそらく特に、一意のセッション識別子とインクリメント済みのシーケンス番号とを含むフィールド／情報を含めることができる。特に、いくつかの実装形態では、ｖｃｏｎターゲットポート識別子も、再パッケージ化されたデータ要求のヘッダに含まれ得る。
【0096】
様々な実施形態において、クライアントプロキシエージェント２１０は、その後、以下でより詳細に説明する検証目的でサーバプロキシエージェント２２０から受信され得る後続の通信と比較するために、インクリメント済みシーケンス番号をインクリメントして保存する。
【0097】
次いで、クライアントプロキシエージェント２１０は、ネットワークプロテクションデバイス１４０内のオープンポートを介して、ステートレスで短命のプロトコルによってデータ要求２６２をサーバプロキシエージェント２２０に送信することができる（図３Ａ、動作３１０）。例えば、セッション識別子およびインクリメント済みシーケンス番号を含む再パッケージ化されたデータ要求２６２は、ＨＴＴＰＳを介してポート４４３に送信され、それによってネットワークプロテクションデバイス１４０を通過し、サーバプロキシエージェント２２０に到着し得る。
【0098】
クライアントプロキシ２１０からデータ要求２６２を受信すると（図３Ｂの動作３６０）、次に、サーバプロキシエージェント２２０は、２６３において、一意のセッション識別子に基づいて、およびいくつかの実施形態ではインクリメント済みシーケンス番号に基づいて、データ要求２６２を認証することを引き受ける。上述したように、様々な実施形態において、サーバプロキシエージェント２２０は、今後の参照のためにすべての一意のセッション識別子および関連するシーケンス番号を格納する。そのような実施形態では、データ要求２６２を受信すると、サーバプロキシエージェント２２０は、一意のセッション識別子およびシーケンス番号を取得するためにデータ要求２６２のヘッダを検査または処理することができ、次いで、要求に含まれるセッション識別子が、サーバ１２０に関連付けられた現行セッションの既知のセッション識別子であるかどうかを判定することができる。
【0099】
セッション識別子が、サーバプロキシエージェント２２０によって認証され得ない場合（例えば、は現在アクティブなセッション識別子の中に無い）、データ要求２６２は、失敗したデータ要求としてフラグが立てられ、サーバプロキシエージェント２２０は、エラー応答２６４を、クライアントプロキシエージェント２１０に送り返すことができる（図３Ａと３Ｂには図示なし）。次いで、クライアントプロキシエージェント２１０は、例えば、セッションが不明であるか、サーバ１２０で期限切れになっているために、通信が失敗したことを、ソースクライアントアプリケーション１１５および／またはクライアントデバイス１１０に通知することができる。その後、ソースクライアントアプリケーション１１５は、必要に応じて、ターゲットサーバアプリケーション１３０との接続および通信のチャネルを再確立するための適切な動作を行うことができる。
【0100】
いくつかの実施形態によれば、サーバプロキシエージェント２２０がシーケンス番号および／またはセッション識別子を認証することができず、クライアントプロキシエージェント２１０が、応答として、失敗したデータ要求を示すエラー応答を受信すると、クライアントプロキシエージェント２１０は、ソースクライアントアプリケーション１１５によって確立されたステートフルで長命の接続をクローズすることができる。あるいは、クライアントプロキシエージェント２１０は、ソースクライアントアプリケーション１１５に、データ要求２６２の再送信を所定回数試行させることができる。
【0101】
様々な実施形態において、要求検証処理２６３のさらなる機能として、データ要求２６２と共に受信したセッション識別子が、ターゲットサーバアプリケーション１３０との保留中のセッションに対応する既知のセッション識別子と一致するとき、サーバプロキシエージェント２２０は次に、データ要求２６２と共に受信したシーケンス番号を、そのセッション識別子に関連付けられた以前に格納したシーケンス番号と比較して、受信したシーケンス番号が、所定の値（例えば、１）だけインクリメントされた格納済みシーケンス番号と一致するかどうかを判定することができる。所定の値（例えば、１）だけインクリメントされた格納済みシーケンス番号が、データ要求２６２で受信したシーケンス番号と一致しない場合、データ要求２６２は、失敗したデータ要求としてフラグが立てられ、エラー応答２６４がクライアントプロキシエージェント２１０に送信される。所定の値だけインクリメントされた格納済みシーケンス番号が、データ要求２６２とともに受信したシーケンス番号と一致する場合、データ要求２６２は認証され、サーバプロキシエージェント２２０は、図２Ｃにおいて強調されているように、データ要求２６２の処理を進めることができる。
【0102】
図２Ｃは、本開示の実施形態によるデータトランザクションシーケンスの一例を示すスイムレーン図２０１である。図２Ｃの下方約１／３に示すように、データ要求２６２の検証が成功した後、クライアントプロキシエージェント２１０は、サーバプロキシエージェント２２０とサーバ１３０との間に以前に確立されたステートフルで長命な接続を介して、また実装されている場合はターゲットサーバアプリケーション１３０の指示されたｖｃｏｎターゲットポート上で、対応するデータメッセージ２６６をターゲットサーバアプリケーション１３０に送信することができる。
【0103】
次いで、ターゲットサーバアプリケーション１３０は、ターゲットサーバアプリケーション１３０によって定義された規則および命令に従ってデータ要求２６６を処理して、要求者（例えば、クライアントアプリケーション１１５）に応答データを送信または提供するかどうか、および／またはどのデータを提供するか、を決定することができる。例えば、ターゲットサーバアプリケーション１３０は、デジタル証明書のデータ要求を含むメッセージ２６６を受信すると、例えば、データメッセージ２６６に含まれるデータに基づいて、要求者がそのような証明書を受信する権利があることを認証するステップを始めることができる。
【0104】
ターゲットサーバアプリケーション１３０が、ソースクライアントアプリケーション１１５が無効な要求を行ったと判定した場合、ターゲットサーバアプリケーション１３０は、その要求が無効であることを示すステータスメッセージ２７０を、ステートフルで長命の接続を介してサーバプロキシエージェント２２０へ送信することができる。次いで、サーバプロキシエージェント２２０は、所定のステートレスで短命のプロトコル（例えば、ＨＴＴＰＳ）に従って無効要求ステータスメッセージ２７０を再パッケージ化し、再パッケージ化されたステータス応答２７１をクライアントプロキシエージェント２１０に送信することができる。例えば、そのようなステータス応答は、ＨＴＴＰ４００無効な要求応答として実装されてもよい。様々な実施形態において、ステータスメッセージ２７０は、セッション識別子、好ましくは、所定の値だけインクリメントされたシーケンス番号を含むように再パッケージ化され、これは、例えば、ステータスメッセージ２７１のヘッダに付加されてもよく、それにより、クライアントプロキシエージェント２１０は、どのソースクライアントアプリケーション１１５が無効な要求（例えば、２６１）を発行したかを判定することができる。
【0105】
一方、データメッセージ２６６内の要求が有効なデータ要求であるとターゲットサーバアプリケーション１３０が判定した場合、ターゲットサーバアプリケーション１３０は、その規則および命令の中に規定されるようにデータ要求を処理することができる。上記の例を進めると、例えばデータメッセージ２６６に含まれるデータに基づいて、サーバアプリケーション１３０がデジタル証明書要求は有効であると判断した場合、ターゲットサーバアプリケーション１３０は証明書を生成または取得し、それをデータメッセージ２７０に含めるかまたは再パッケージ化することによって、証明書をサーバプロキシエージェント２２０に送信することができる。サーバプロキシエージェント２２０への送信は、サーバアプリケーション１３０とサーバプロキシエージェント２２０との間に以前に確立されたステートフルで長命の接続を介して行われてもよい。
【0106】
サーバアプリケーション１３０からデータメッセージ２７０を受信すると、サーバプロキシエージェント２２０は、事前選択されたステートレスで短命のプロトコルに基づいて、データメッセージ２７０を再フォーマットまたは再パッケージ化して、対応するデータ応答２７１にするよう構成される。例えば、サーバプロキシエージェント２２０は、まず、データ要求（例えば、２６２）に関連付けられたセッション用に以前に格納したシーケンス番号を取得し、次いで、そのシーケンス番号を所定の値（例えば、１）だけインクリメントする。次いで、サーバプロキシエージェント２２０は、ＨＴＴＰＳデータ応答を生成し、ＨＴＴＰＳデータ応答に、データ要求に関連付けられた一意のセッション識別子およびインクリメント済みシーケンス番号を含める（例えば、そのヘッダに追加する）ことができる。さらに、ＨＴＴＰＳデータメッセージのボディは、ターゲットサーバアプリケーション１３０から返されたデジタル証明書および／または他のデータを含むように付加されてもよい。あるいは、いくつかの実施形態によれば、サーバプロキシエージェント２２０は、ステートレスプロトコルを介してオープンステータス応答２５８の後に生成された応答を有する一意のセッション識別子および／またはインクリメント済みシーケンス番号を含まない場合もある。そのような実施形態（ならびに任意選択的に他の実施形態）では、サーバプロキシエージェント２２０は、受信した要求ごとに１つだけ応答を生成することができ、したがって、クライアントプロキシエージェント２１０は、既知のセッション識別子と、セッションが既に確立されているターゲットサーバアプリケーション１３０から受信した応答ごとの既知のインクリメント値とに基づいて、セッション識別子および／または一意のシーケンス識別子を暗黙的に識別することができる。
【0107】
いくつかの実施形態によれば、データ要求メッセージ２６６に応答して、ターゲットサーバアプリケーション１３０は、ソースクライアントアプリケーション１１５向けの複数の応答データメッセージ２７０を生成することができる。ターゲットサーバアプリケーション１３０は、クライアントプロキシエージェント２１０を介してソースクライアントアプリケーション１１５に送信するために、複数の応答メッセージをサーバプロキシエージェント２２０に提供することができる。そのような実施形態では、データメッセージ２７１は、複数のメッセージカウントに対応するメッセージカウントを含むことができ（例えば、ヘッダ、ボディなどに付加される）、複数のメッセージは、サーバプロキシエージェント２２０においてバッファリングされてもよく、ソースクライアントアプリケーション１１５向けとされてもよい。例えば、ソースクライアントアプリケーション１１５によって開始されたデータ要求またはクエリは、ターゲットサーバアプリケーション１３０に、複数のデータセットおよび／または１つのデータセットを検索させることができ、データセットはサイズが大きく、送信するためにパースを行って、より小さいピースまたはパケットにすることが必要である。次いで、データメッセージ２７１は、クエリに応答して、ソースクライアントアプリケーション１１５向けのデータセットおよび／またはパケットの数を示すようにフォーマットされ得る。
【0108】
図２Ｃの例に示すように、サーバプロキシエージェントは次に、例えば、ステートレスで短命のプロトコルを介して、かつ特別なポート（例えば、４４３）などを介して、またはネットワークプロテクションデバイス１４０を介して、クライアントプロキシエージェント２１０に、再パッケージ化されたステータス／データ応答２７１を提供または送信することができる（図３Ｂの動作３６２）。
【0109】
データ／ステータス応答２７１を取得または受信すると（図３Ａの動作３１４）、クライアントプロキシエージェント２１０は、通信のセキュリティを確保するため、また意図したソースクライアントアプリケーション１１５を判定および／または認証するために、データ／ステータス応答２７１を認証するように構成され得る。データ／ステータス応答２７１の検証は、例えば、クライアントプロキシエージェント２１０に格納された既知の値との比較によりデータステータス応答２７１のヘッダに提供された一意のセッション識別子およびシーケンス番号をチェックすることによって、実行され得る。クライアントプロキシエージェント２１０は、データステータスメッセージ２７１のヘッダから一意のセッション識別子を抽出し、セッション識別子がクライアントプロキシサーバ２１０にとって既知であるかどうかを（例えば、アクティブなセッション識別子をルックアップすることによって）決定することができる。ルックアップに基づいてセッション識別子がクライアントプロキシサーバエージェント２１０にとって未知である場合、応答は無効として処理され得る（例えば、廃棄）。一方、セッション識別子がクライアントプロキシサーバエージェント２１０にとって既知である場合、クライアントプロキシエージェント２１０は、いくつかの実施形態では、その後、データ／ステータスメッセージ２７１とともに提供されるシーケンス番号を抽出することができ、また、シーケンス番号をクライアントプロキシエージェント２１０において以前に格納したシーケンス番号と比較して、シーケンス番号が所定の値だけ適切にインクリメントされたかどうかを判定することができる。シーケンス番号が所定の値だけインクリメントされると、データ／ステータス応答２７１が認証され、次いで、以前に確立されたステートフルで長命の接続によってソースクライアントアプリケーション１１５に送信され得る（データ／ステータスメッセージ２７３、図３Ａには図示なし）。
【0110】
あるいは、サーバプロキシエージェント２２０がセッション識別子および／またはインクリメント済みシーケンス番号を含まない実施形態によれば、クライアントプロキシエージェント２１０は、データ／ステータス応答２７１を取得または受信すると、サーバプロキシエージェント２２０によって確立された信頼できるセッションに基づいて、クライアントデバイス１１０において、関連するソースアプリケーション１１５に応答を転送することができる。
【0111】
クライアントプロキシエージェント２１０が、（例えば、データ／状況メッセージ２７１のヘッダ内の命令に基づいて）ソースクライアントアプリケーション１１５宛ての複数のメッセージを示すデータ／ステータス応答２７１を受信した場合（図３Ａ、動作３１４）、または、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間の通信が所定の閾値期間（例えば、４分後にタイムアウト）に無かった場合には、クライアントプロキシエージェント２１０は、ステートレスで短命のプロトコルを介してサーバプロキシエージェント２２０にポーリング要求２７６を送信して（図３Ａ、３Ｂには図示なし）、ステートレスで短命の接続を介したソースクライアントアプリケーション１１５のキュー内の次のメッセージに対応する、後続のデータ／ステータスメッセージ２７８をサーバプロキシエージェント２２０に送信させることができる。例えば、クライアントプロキシエージェント２１０は、サーバプロキシエージェント２２０から、ヘッダがソースクライアントアプリケーション１１５向けの２つのメッセージを示しているメッセージを受信することができる。サーバプロキシエージェント２２０からの最初のメッセージの受信に続いて、クライアントプロキシエージェント２１０は、サーバプロキシエージェント２２０に、ＨＴＴＰＳ／ｐｏｌｌ要求（メッセージ２７６）を送信することができる。これに応えて、次にサーバプロキシエージェント２２０は、ソースクライアントアプリケーション１１５向けの第２メッセージを送信することができる（例えば、図３Ｂの動作３６２と同様）。後続のデータ／ステータスメッセージ２７８の各々は、初期データ／ステータスメッセージ２７１に関して上述したもの（例えば、２７２）と同様の方法で認証されてもよく、検証時に、データは、ステートフルな長命の接続を介してソースクライアントアプリケーション１１５に送信される（メッセージ２８２）。あるいは、クライアントプロキシエージェント２１０用にデータメッセージが現在バッファリングされていない場合、サーバプロキシエージェント２２０は、ポーリング要求ポーリングに対するポーリング応答において「ノーコンテンツ」インジケータを送信することができる。
【0112】
図２Ｄは、本開示の実施形態による接続クロージングシーケンスを強調するスイムレーン図２０１である。本明細書で説明するように、ソースクライアントアプリケーション１１５が、ネットワークプロテクション１４０による新規の通信チャネルを介して、セキュアなネットワーク１２５内のターゲットサーバアプリケーション１３０との所望のデータトランザクションを完了すると、クライアントアプリケーション１１５は、クライアントアプリケーション１１５とクライアントプロキシエージェント２１０との間で以前に確立されたステートフルで長命の接続を通したクローズ接続メッセージ２６１を介して、クライアントプロキシエージェント２１０との接続をクローズすることができる。クローズ接続メッセージ２６１を受信すると、クライアントプロキシエージェント２１０は、ソースクライアントアプリケーション１１５とのステートフルで長命の接続をクローズすることができ、次いで、サーバプロキシエージェント２２０に送信するためのステートレスで短命のプロトコルを介した送信を求めるクローズ要求２６２を準備することができる。セキュアでないネットワーク７０４と７０６のクライアントプロキシエージェント２１０によって用意されたクローズ要求は、例えば、一意のセッション識別子と、所定の値だけインクリメントされた最新のシーケンス番号をヘッダに含めることができる。
【0113】
セキュアなネットワーク環境１２５内のサーバプロキシエージェント２２０は、クローズ要求２６２を受信すると、例えば上述したように（すなわち、セッション識別子と、以前に格納した値との適合性を保証するために任意選択的にシーケンス番号とを確認することによって）、クローズ要求２６２を認証することができる（動作２６３）。クローズ要求が認証されると、サーバプロキシエージェント２２０は、その後、サーバアプリケーション１３０にクローズ接続メッセージを発行することができ（メッセージ２６６）、それによって、サーバプロキシエージェント２２０とターゲットサーバアプリケーション１３０との間で以前に確立されたステートフルで長命の接続がクローズすることになる。
【0114】
サーバプロキシエージェント２２０が、クローズ要求２６２を認証できない場合（例えば、未知のセッション識別子、無効なシーケンス番号など）、上述したように、不正な要求であることを示すエラー応答（図示せず）を、クライアントプロキシエージェント２１０に送ることができる。対照的に、接続の検証およびクロージングが成功した場合、クローズステータス応答２６７は、例えば、ステートレスで短命のプロトコルを介して送信され得る。様々な実施形態において、クローズステータスメッセージ２６７は、例えば、クローズステータスメッセージ２６７のヘッダに、セッション識別子およびインクリメント済みシーケンス番号を含むことができる。
【0115】
図４は、本技術の実施形態と一致するシステムおよび方法を実施するために使用され得る一例のコンピューティングシステム４００のブロック図である。他の構成要素および／または配置も使用することができる。いくつかの実装形態では、コンピューティングシステム４００を使用して、とりわけ、クライアントデバイス１１０、サーバデバイス１２０、クライアントプロキシエージェント２１０、サーバプロキシエージェント２２０、およびネットワークプロテクションデバイス１４０など、本開示の実施形態の様々なコンポーネントを少なくとも部分的に実装することができる。いくつかの実装形態では、コンピューティングシステム４００と同様の一連のコンピューティングシステムは、それぞれ専用のハードウェアでカスタマイズされてもよいし、および／またはコンポーネントを実装するための専用サーバとしてプログラムされてもよく、これらは、ネットワーク４０４を介して互いに通信することができ、ネットワークは、ネットワーク７０４、７０６、７０８のうちの１つまたは複数であるか、または１つまたは複数に接続してもよい。
【0116】
図４に示す例では、コンピューティングシステム４００は、中央処理装置（ＣＰＵ）４０６、メモリ４０８、入力／出力（Ｉ／Ｏ）モジュール４１０、および不揮発性ストレージデバイス４１０などの複数のコンポーネントを含む。システム４００は、様々な方法で実装され得る。例えば、統合プラットフォーム（例えば、サーバ、ワークステーション、パーソナルコンピュータ、ラップトップなど）としての実装は、ＣＰＵ４０６、メモリ４０８、およびＩ／Ｏモジュール４１２を備えることができる。そのような構成では、コンポーネント４０６、４０８、４１０は、ローカルデータバス４５０を介して接続および通信することができ、外部Ｉ／Ｏ接続を介して（例えば、別個のデータベースシステムとして実装される）データリポジトリ４１６にアクセスすることができる。Ｉ／Ｏモジュール４１２は、直接通信リンク（例えば、配線接続またはローカルＷｉ－Ｆｉ（登録商標）接続）を介して、ローカルエリアネットワーク（ＬＡＮ）などのネットワークを介して、もしくは携帯電話ネットワークまたはインターネットなどのＷＡＮを介して、および／または他の適切な接続を介して、外部デバイスに接続することができる。システム４００は、スタンドアロンであってもよいし、またはより大きなシステムのサブシステムであってもよい。
【0117】
ＣＰＵ４０６は、１つまたは複数の既知のプロセッサまたは処理デバイスであってもよく、例えば、カリフォルニア州サンタクララのＩｎｔｅｌ（登録商標）Ｃｏｒｐｏｒａｔｉｏｎによって製造されたＣｏｒｅ（登録商標）ファミリーのマイクロプロセッサ、またはカリフォルニア州サニーベールのＡＭＤ（登録商標） Ｃｏｒｐｏｒａｔｉｏｎによって製造されたＲｙｚｅｎ（登録商標）ファミリーのマイクロプロセッサなどである。メモリ４０８は、本技術の実装に関連する特定の機能、方法、およびプロセスを実行するためにＣＰＵ４０６によって実行または使用される命令および情報を格納するように構成された１つまたは複数の高速ストレージデバイスであってもよい。ストレージデバイス４１０は、揮発性または不揮発性、磁気、半導体、テープ、光学、または他のタイプのストレージデバイスまたはコンピュータ可読媒体であってもよく、これには、ＣＤおよびＤＶＤなどのデバイスおよび長期ストレージを意図したソリッドステートデバイスなどが含まれる。
【0118】
図示の実施態様では、ストレージデバイス４１０は、１つまたは複数のプログラムまたはアプリケーション４１８を含み、これらは、ＣＰＵ４０６によって実行されると、本技術と一致する様々な動作、手順、プロセス、または方法を実行する。あるいは、ＣＰＵ４０６は、システム４００から遠隔に配置された１つまたは複数のプログラムを実行することができる。例えば、システム４００は、ネットワーク４０４を介して１つまたは複数のリモートプログラムにアクセスすることができ、これらのプログラムは、実行されると、本技術の実装に関連する機能およびプロセスを実行する。
【0119】
一実装形態では、ストレージデバイス４１０は、とりわけ、ソースクライアントアプリケーション１１５、ターゲットサーバアプリケーション１３０、クライアントプロキシエージェント２１０、および／またはサーバプロキシエージェント２２０について、本明細書で説明する機能および動作を実行するためのアプリケーション４１８を含むことができる。いくつかの実装形態では、メモリ４０８はまた、本技術に補助機能を提供する他の方法およびプロセスを実装する他のプログラムまたはアプリケーションを含むことができる。いくつかの例では、ストレージデバイス４１０は、任意の適切な非一時的コンピュータ可読媒体を含むことができる。例えば、非一時的コンピュータ可読媒体は、本明細書に記載の技術による命令を実行するようにＣＰＵ４０６に指示するコンピュータ実行可能命令を含むことができる。
【0120】
ストレージデバイス４１０はまた、本技術とは無関係の他のプログラム（図示せず）、および／またはＣＰＵ４０６によって実行されると当技術分野で周知のいくつかの機能を実行するオペレーティングシステム（図示せず）で、構成されてもよい。例として、オペレーティングシステムは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｕｎｉｘ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ａｐｐｌｅ Ｃｏｍｐｕｔｅｒ（登録商標）オペレーティングシステム、または他のオペレーティングシステムであってもよい。オペレーティングシステムの選択、およびオペレーティングシステムの使用さえも、本技術にとって重要ではない。
【0121】
Ｉ／Ｏモジュール４１２は、システム４００によってデータを受信および／または送信できるようにする１つまたは複数の入力／出力デバイスを備えることができる。例えば、Ｉ／Ｏモジュール４１２は、ユーザからのデータの入力を可能にするキーボード、タッチスクリーン、マウスなどのような１つまたは複数の入力デバイスを含むことができる。さらに、Ｉ／Ｏモジュール４１２は、データを出力またはユーザに提示することを可能にする、ディスプレイ画面、ＣＲＴモニタ、ＬＣＤモニタ、プラズマディスプレイ、プリンタ、スピーカデバイスなどのような１つまたは複数の出力デバイスを含むことができる。Ｉ／Ｏモジュール４１２はまた、コンピューティングシステム４００が、ネットワーク４０４内のデバイスを含む他のマシンおよびデバイスとの、例えばデジタルな通信を可能にする、１つまたは複数のデジタルおよび／またはアナログの通信入出力デバイスを含むことができる。他の構成および／または複数の入力および／または出力デバイスが、Ｉ／Ｏモジュール４１２に組み込まれてもよい。
【0122】
図示の実装形態では、システム４００はネットワーク４０４（例えば、インターネット、プライベートネットワーク、仮想プライベートネットワーク、セルラーネットワークもしくは他のネットワーク、またはこれらの組み合わせ）に接続され、ネットワークは、サーバ、パーソナルコンピュータ、ラップトップコンピュータ、クライアントデバイスなどの様々なシステムおよびコンピューティングマシンに接続することができる。一般に、システム４００は、ネットワーク４０４を介して、外部のマシンおよびデバイスからデータを入力し、外部のマシンおよびデバイスにデータを出力することができる。
【0123】
図４に示す例示的な実装形態では、データリポジトリ４１６は、システム４００によってホストされる。他の実装形態では、データリポジトリ４１６は、システム４００の外部のスタンドアロンデータベースであってもよい。様々な実施形態において、データリポジトリ４１６は、本技術と一致するシステムおよび方法を実施するために使用されるデータを管理および格納することができる。例えば、データリポジトリ４１６は、識別情報を含むデータ構造を管理し格納することができ、識別情報は、例として、１つまたは複数のソースクライアントアプリケーション１１５、例えばルックアップテーブル内のターゲットサーバアプリケーション１３０、および同様のものについての、ターゲット情報（例えば、ＵＲＬ、アドレス、および／またはポート情報）である。
【0124】
いくつかの実施形態では、データリポジトリ４１６は、情報を格納し、システム４００を介してアクセスおよび／または管理される１つまたは複数のデータベースを含むことができる。例として、データリポジトリ４１６は、Ｏｒａｃｌｅ（登録商標）データベース、Ｓｙｂａｓｅ（商標）データベース、または他のリレーショナルデータベースであってもよい。しかしながら、本技術と一致するシステムおよび方法は、異なったデータ構造またはデータベースに限定されず、データベースまたはデータ構造の用途であっても限定されない。
【0125】
当業者であれば、図４のシステムのコンポーネントおよび実装の詳細は、説明を簡潔かつ明確にするために提示された例であることを認識するであろう。他のコンポーネントおよび実装の詳細が使用されてもよい。
【0126】
前述の例は、説明を明確にするために、サーバおよびクライアントデバイスなどのコンピュータ化されたデバイスの特定の例を使用しているが、本技術はこれらの特定の例に限定されない。本技術と一致する様々な実装形態は、多種多様なコンピュータ機器と共に使用されてもよいし、コンピュータ機器用に使用されてもよく、コンピュータ機器は、例えば数ある中でも、医療機器（例えば、透析機、輸液ポンプなど）、ロボット、ドローン、自動運転車両、および無線通信モジュール（例えば、埋め込み型ユニバーサル集積回路カード（ｅＵＩＣＣ））などである。
【0127】
当業者であれば、本開示を評価するにあたり、様々な実施形態において、一意のセッション識別子およびシーケンス番号に基づいて、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間のセキュアな通信を、複数のソースクライアントアプリケーション１１５のためのネットワークプロテクションデバイス１４０内の１つのオープンポートを介して実現することができ、それによって、ステートレスで短命の接続プロトコルを介したサーバ１２０との仮想多重接続へと至ることが理解されるであろう。さらに、実装を比較的小さくすることで、オーバーヘッドが低減され、性能が向上する。エンドポイントの数を制限することで、実装は簡略化される。
【0128】
本明細書に開示した技術の仕様および実施の考察から、本技術の他の実施態様が、当業者には明らかであろう。例示的な実施形態の様々な変更、ならびに開示の主題が関係する当業者にとって明らかな主題の他の実施形態は、開示した主題の範囲内にあると見なされる。
【0129】
例えば、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間に暗号化されていないチャネルが望まれるいくつかの実施形態によれば、ＨＴＴＰプロトコルが実装され得る。そのような実施形態において通信を保護するために、セキュリティ構造、例えばＤｉｆｆｉｅ Ｈｅｌｌｍａｎ鍵交換が、仮想接続のオープンステージにおいて実装されてもよい。
【0130】
さらに、いくつかの実施形態によれば、オープン仮想接続が別々にポーリングされるのとは対照的に、同じクライアントプロキシエージェント２１０に出入りする仮想接続用のデータが合体されてもよく、それによってパフォーマンスが向上する。
【0131】
また、ステートレスプロトコルを介して送信される１つまたは複数（例えば、すべて）の要求および応答に対し、クライアントプロキシエージェント２１０とサーバプロキシエージェント２２０との間で相互認証を実施することができる。例えば、クライアントプロキシエージェント２１０およびサーバプロキシエージェント２２０の各々は、信頼できる認証局によってアサインされたそれぞれの証明書が割り当てられてもよい。クライアントプロキシエージェント２１０からの各要求は、クライアントプロキシエージェント２１０に割り当てられた証明書を、サーバプロキシエージェント２２０に提示することができ、それに応えて、サーバプロキシエージェント２２０が、自身に割り当てられた証明書を、クライアントプロキシエージェント２１０に確認のために提示することができる。同様に、サーバプロキシエージェント２２０によってクライアントプロキシエージェント２１０に送信される各応答について、プロセスを逆に行うことができる。そのようなプロセスによって、サーバプロキシエージェント２２０およびクライアントプロキシエージェント２１０は、例えば、ターゲットサーバアプリケーション１３０への不正接続をオープンする目的で様々なポート識別子を示すサーバプロキシエージェント２２０への繰り返し要求といった、悪意のある攻撃のリスクおよび／または影響を減らすことが可能になり得る。
【0132】
本開示は、以下の条項を含む実施形態を含むが、これらの条項に限定するものではない。
条項１ ターゲットアプリケーションとソースアプリケーションとの間の複数の仮想伝送制御プロトコル接続を容易にするためのシステムであって、
サーバプロキシと、
クライアントプロキシと、
前記サーバプロキシと前記クライアントプロキシとの間に介在するネットワークプロテクションを含み、
前記サーバプロキシが、
ステートレスプロトコルを介して前記クライアントプロキシからオープン要求を受信する動作あって、前記オープン要求がターゲット識別子を含む、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記クライアントプロキシへの応答を提供する動作であって、前記応答は、セッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記クライアントプロキシからデータ要求を受信する動作あって、前記データ要求は、前記セッション識別子およびインクリメント済みシーケンス識別子を含み、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を通して前記ターゲットアプリケーションにデータ要求を提供する動作と、を含む動作を、前記サーバプロキシのプロセッサに実行させるコンピュータ実行可能命令を含んでおり、また前記クライアントプロキシが、
ユニフォームリソースロケータに基づいて前記ステートレスプロトコルを介して前記サーバプロキシに前記オープン要求を送信する動作と、
前記ステートレスプロトコルを介して、前記オープン要求に対する応答を受信する動作と、
前記ステートレスプロトコルを介して、前記セッション識別子および所定の値だけインクリメントされたインクリメント済みシーケンス識別子とを含むデータ要求を前記サーバプロキシに提供する動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシを通して前記ターゲットアプリケーションから１つまたは複数のデータメッセージを受信する動作と、を含む動作を、前記クライアントプロキシのプロセッサに実行させる第２コンピュータ実行可能命令を含んでいる、システム。
条項２ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項１のシステム。
条項３ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項１～２のいずれかのシステム。
条項４ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、応答および１つまたは複数のデータメッセージのヘッダに付加される、条項１～３のいずれかのシステム。
条項５ 前記サーバプロキシによって実行される動作がさらに、前記サーバプロキシおよび前記ターゲットアプリケーションのうちの１つまたは複数によって、前記クライアントプロキシから受信した前記セッション識別子および前記インクリメント済みシーケンス識別子のうちの少なくとも１つに基づいてデータ要求を認証することを含む、条項１～４のいずれかのシステム。
条項６ 前記サーバプロキシによって実行される動作がさらに、認証に基づいて、前記ターゲットアプリケーションと前記サーバプロキシとの間の接続をクローズすることと、前記ステートレスプロトコルを介して前記クライアントプロキシにエラー応答を送信することとを含む、条項５のシステム。
条項７ 前記クライアントプロキシによって実行される動作がさらに、
前記ステートレスプロトコルを介して、前記サーバプロキシからの通信なしに所定期間の後にポーリング命令を送信する動作であって、ポーリング命令は、前記セッション識別子と、所定の値だけインクリメントされたインクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシからポーリング応答を受信する動作であって、前記ポーリング応答は、前記サーバプロキシと前記ターゲットアプリケーションのうちの１つによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと前記クライアントプロキシ宛てバッファリング済みメッセージのカウントのうちの１つと、を含んでおり、前記バッファリング済みメッセージは、所定期間の間に前記サーバプロキシでバッファリングされる、動作と
を含む、条項１～６のいずれかのシステム。
条項８ 前記クライアントプロキシによって実行される動作がさらに、
前記ソースアプリケーションとの通信に基づいて、前記ソースアプリケーションと前記クライアントプロキシとの間の接続をクローズする動作と、
前記ステートレスプロトコルを介して前記サーバプロキシにクローズ要求を送信する動作と
を含む、条項１～７のいずれかのシステム。
条項９ 前記サーバプロキシによって実行される動作がさらに、
前記クローズ要求を受信する動作と、
前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズする動作と
を含む、条項８のシステム。
条項１０ ターゲットアプリケーションと外部デバイス間の複数の仮想伝送制御プロトコル接続を容易にするためのサーバプロキシであって、前記サーバプロキシが、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信する動作であって、オープン要求にはターゲット識別子が含まれている、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、オープン要求のステータスを示す前記外部デバイスへオープンステータス応答を提供する動作であって、前記オープンステータス応答にはセッション識別子およびシーケンス識別子のうちの少なくとも１つが含まれている、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子と前記インクリメント済みシーケンス識別子を含む前記外部デバイスからのデータ要求を受信する動作であって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーション間の接続を介して、受信したデータ要求から前記ターゲットアプリケーションにデータを提供する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含んでいる、サーバプロキシ。
条項１１ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項１０のサーバプロキシ。
条項１２ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項１０～１１のいずれかのサーバプロキシ。
条項１３ 前記サーバプロキシが、前記外部デバイスを宛先とし、前記データ要求に応答して前記ターゲットアプリケーションから受信した、１つまたは複数の応答メッセージをバッファリングするように構成される、条項１０～１２のいずれかのサーバプロキシ。
条項１４ 前記動作がさらに、
第２応答を前記外部デバイスに提供する動作を含み、第２応答は、前記サーバによって所定の値だけインクリメントされたシーケンス番号、およびデータ要求のステータスと、サーバプロキシに現在バッファリングされて外部デバイス宛てのデータメッセージのカウントを示す値とのうち、少なくとも１つを含む、条項１０～１３のいずれかのサーバプロキシ。
条項１５ 前記動作がさらに、
前記セッション識別子と前記インクリメント済みシーケンス番号のうちの少なくとも１つに基づいて、前記データ要求を認証する動作を含む、条項１０～１４のいずれかのサーバプロキシ。
条項１６ 前記動作がさらに、前記認証の結果に基づいて、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズすることを含む、条項１５のサーバプロキシ。
条項１７ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記オープンステータス応答および前記データ要求のヘッダに付加される、条項１１～１６のいずれかのサーバプロキシ。
条項１８ 前記サーバプロキシと前記ターゲットアプリケーションとの間でオープンされる接続が、ステートフル接続を含む、条項１０～１７のいずれかのサーバプロキシ。
条項１９ 前記動作がさらに、
前記ステートレスプロトコルを介して、前記外部デバイスからの通信なしに、所定期間の後に前記外部デバイスからのポーリング要求を受信する動作であって、前記ポーリング要求は、前記セッション識別子と、外部デバイスによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を提供する動作であって、前記ポーリング応答は、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含み、また、ノーコンテンツインジケータと所定期間中に前記外部デバイス用にバッファリングされたメッセージのカウントのうちの、少なくとも１つを含む、動作とを含む、条項１０～１８のいずれかのサーバプロキシ。
条項２０ 前記動作がさらに、バッファリング済みメッセージのカウントが０より大きいことを前記ポーリング応答が示す場合、前記ステートレスプロトコルを介して、前記バッファリング済みメッセージを前記外部デバイスに送信することを含む、条項１９のサーバプロキシ。
条項２１ 前記外部デバイスが、少なくとも１つのネットワークプロテクションデバイスによってサーバプロキシから分離されている、条項１０～２０のいずれかのサーバプロキシ。
条項２２ ターゲットアプリケーションと通信するためのクライアントプロキシであって、クライアントプロキシは、コンピュータ実行可能命令を含み、これらの命令によってプロセッサは、
ユニフォームリソースロケータに基づくステートレスプロトコルを介してオープン要求を提供する動作であって、前記オープン要求には、ターゲット識別子が含まれている、動作と、
前記ステートレスプロトコルを介して前記オープン要求への応答を受信する動作であって、前記応答は前記オープン要求のステータスを示し、セッション識別子とシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済み前記シーケンス識別子とを含むデータ要求を提供する動作であって、インクリメント済み前記シーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応している、動作と、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションから発信された１つ以上のデータ応答を受信する動作
を含む、動作を実行する、クライアントプロキシ。
条項２３ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項２２のクライアントプロキシ。
条項２４ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項２２～２３のいずれかのクライアントプロキシ。
条項２５ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記応答および前記データ要求のヘッダに付加される、条項２３～２４のいずれかのクライアントプロキシ。
条項２６ 前記動作がさらに、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションと通信することなく、所定期間の後にポーリング要求を提供する動作であって、前記ポーリング要求は、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を受信する動作であって、前記ポーリング応答が、前記クライアントプロキシから所定の値だけリモートでインクリメントされた１つまたは複数の前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと、前記クライアントプロキシ宛てに、所定期間中にバッファリングされたバッファリング済みメッセージのカウントとを含む、動作と
を含む、条項２２～２５のいずれかのクライアントプロキシ。
条項２７ 前記クライアントデバイスと前記セキュアなアプリケーションとの間に、ファイアウォールとゲートウェイデバイスのうち少なくとも１つが介在している、条項２２～２６のいずれかのクライアントプロキシ。
条項２８ 前記動作がさらに、
ステートフル接続を介して、ソースアプリケーションに１つまたは複数の前記データメッセージを送信することを含む、条項２２～２７のいずれかのクライアントプロキシ。
条項２９ セキュアな環境内のターゲットアプリケーションとセキュアな環境の外部のデバイスとの間の仮想伝送制御プロトコル接続を介して通信を実行するための方法であって、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求にはターゲット識別子が含まれている、受信することと、
前記ターゲット識別子に基づいて、前記ターゲットアプリケーションとのセキュアな環境内のネットワークリソースを介してステートフル接続をオープンすることと、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記外部デバイスへ応答を提供することであって、前記応答には、セッション識別子とシーケンス識別子のうち少なくとも１つが含まれている、提供することと、
前記ステートレスプロトコルを介して、前記セッション識別子と前記インクリメント済みシーケンス識別子とを含む前記外部デバイスからのデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、
前記ステートレスプロトコルを介して、前記受信済みデータ要求からス前記テートフル接続を介して前記ターゲットアプリケーションにデータを送信することと、
を含む、方法。
条項３０ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項２９の方法。
条項１ ターゲットアプリケーションとソースアプリケーションとの間の複数の仮想伝送制御プロトコル接続を容易にするためのシステムであって、
サーバプロキシと、
クライアントプロキシと、
前記サーバプロキシと前記クライアントプロキシとの間に介在するネットワークプロテクションを含み、
前記サーバプロキシが、
ステートレスプロトコルを介して前記クライアントプロキシからオープン要求を受信する動作あって、前記オープン要求がターゲット識別子を含む、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記クライアントプロキシへの応答を提供する動作であって、前記応答は、セッション識別子およびシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記クライアントプロキシからデータ要求を受信する動作あって、前記データ要求は、前記セッション識別子およびインクリメント済みシーケンス識別子を含み、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続を通して前記ターゲットアプリケーションにデータ要求を提供する動作と、を含む動作を、前記サーバプロキシのプロセッサに実行させるコンピュータ実行可能命令を含んでおり、また前記クライアントプロキシが、
ユニフォームリソースロケータに基づいて前記ステートレスプロトコルを介して前記サーバプロキシに前記オープン要求を送信する動作と、
前記ステートレスプロトコルを介して、前記オープン要求に対する応答を受信する動作と、
前記ステートレスプロトコルを介して、前記セッション識別子および所定の値だけインクリメントされたインクリメント済みシーケンス識別子とを含むデータ要求を前記サーバプロキシに提供する動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシを通して前記ターゲットアプリケーションから１つまたは複数のデータメッセージを受信する動作と、を含む動作を、前記クライアントプロキシのプロセッサに実行させる第２コンピュータ実行可能命令を含んでいる、システム。
条項２ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項１のシステム。
条項３ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項１～２のいずれかのシステム。
条項４ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、応答および１つまたは複数のデータメッセージのヘッダに付加される、条項１～３のいずれかのシステム。
条項５ 前記サーバプロキシによって実行される動作がさらに、前記サーバプロキシおよび前記ターゲットアプリケーションのうちの１つまたは複数によって、前記クライアントプロキシから受信した前記セッション識別子および前記インクリメント済みシーケンス識別子のうちの少なくとも１つに基づいてデータ要求を認証することを含む、条項１～４のいずれかのシステム。
条項６ 前記サーバプロキシによって実行される動作がさらに、認証に基づいて、前記ターゲットアプリケーションと前記サーバプロキシとの間の接続をクローズすることと、前記ステートレスプロトコルを介して前記クライアントプロキシにエラー応答を送信することとを含む、条項５のシステム。
条項７ 前記クライアントプロキシによって実行される動作がさらに、
前記ステートレスプロトコルを介して、前記サーバプロキシからの通信なしに所定期間の後にポーリング命令を送信する動作であって、ポーリング命令は、前記セッション識別子と、所定の値だけインクリメントされたインクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシからポーリング応答を受信する動作であって、前記ポーリング応答は、前記サーバプロキシと前記ターゲットアプリケーションのうちの１つによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと前記クライアントプロキシ宛てバッファリング済みメッセージのカウントのうちの１つと、を含んでおり、前記バッファリング済みメッセージは、所定期間の間に前記サーバプロキシでバッファリングされる、動作と
を含む、条項１～６のいずれかのシステム。
条項８ 前記クライアントプロキシによって実行される動作がさらに、
前記ソースアプリケーションとの通信に基づいて、前記ソースアプリケーションと前記クライアントプロキシとの間の接続をクローズする動作と、
前記ステートレスプロトコルを介して前記サーバプロキシにクローズ要求を送信する動作と
を含む、条項１～７のいずれかのシステム。
条項９ 前記サーバプロキシによって実行される動作がさらに、
前記クローズ要求を受信する動作と、
前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズする動作と
を含む、条項８のシステム。
条項１０ ターゲットアプリケーションと外部デバイス間の複数の仮想伝送制御プロトコル接続を容易にするためのサーバプロキシであって、前記サーバプロキシが、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信する動作であって、オープン要求にはターゲット識別子が含まれている、動作と、
前記ターゲット識別子に基づいて前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をオープンする動作と、
前記ステートレスプロトコルを介して、オープン要求のステータスを示す前記外部デバイスへオープンステータス応答を提供する動作であって、前記オープンステータス応答にはセッション識別子およびシーケンス識別子のうちの少なくとも１つが含まれている、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子と前記インクリメント済みシーケンス識別子を含む前記外部デバイスからのデータ要求を受信する動作であって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、動作と、
前記ステートレスプロトコルを介して、前記サーバプロキシと前記ターゲットアプリケーション間の接続を介して、受信したデータ要求から前記ターゲットアプリケーションにデータを提供する動作と、
を含む動作を、プロセッサに実行させるコンピュータ実行可能命令を含んでいる、サーバプロキシ。
条項１１ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項１０のサーバプロキシ。
条項１２ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項１０～１１のいずれかのサーバプロキシ。
条項１３ 前記サーバプロキシが、前記外部デバイスを宛先とし、前記データ要求に応答して前記ターゲットアプリケーションから受信した、１つまたは複数の応答メッセージをバッファリングするように構成される、条項１０～１２のいずれかのサーバプロキシ。
条項１４ 前記動作がさらに、
第２応答を前記外部デバイスに提供する動作を含み、第２応答は、前記サーバによって所定の値だけインクリメントされたシーケンス番号、およびデータ要求のステータスと、サーバプロキシに現在バッファリングされて外部デバイス宛てのデータメッセージのカウントを示す値とのうち、少なくとも１つを含む、条項１０～１３のいずれかのサーバプロキシ。
条項１５ 前記動作がさらに、
前記セッション識別子と前記インクリメント済みシーケンス番号のうちの少なくとも１つに基づいて、前記データ要求を認証する動作を含む、条項１０～１４のいずれかのサーバプロキシ。
条項１６ 前記動作がさらに、前記認証の結果に基づいて、前記サーバプロキシと前記ターゲットアプリケーションとの間の接続をクローズすることを含む、条項１５のサーバプロキシ。
条項１７ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記オープンステータス応答および前記データ要求のヘッダに付加される、条項１１～１６のいずれかのサーバプロキシ。
条項１８ 前記サーバプロキシと前記ターゲットアプリケーションとの間でオープンされる接続が、ステートフル接続を含む、条項１０～１７のいずれかのサーバプロキシ。
条項１９ 前記動作がさらに、
前記ステートレスプロトコルを介して、前記外部デバイスからの通信なしに、所定期間の後に前記外部デバイスからのポーリング要求を受信する動作であって、前記ポーリング要求は、前記セッション識別子と、外部デバイスによって所定の値だけインクリメントされた前記インクリメント済みシーケンス番号とを含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を提供する動作であって、前記ポーリング応答は、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含み、また、ノーコンテンツインジケータと所定期間中に前記外部デバイス用にバッファリングされたメッセージのカウントのうちの、少なくとも１つを含む、動作とを含む、条項１０～１８のいずれかのサーバプロキシ。
条項２０ 前記動作がさらに、バッファリング済みメッセージのカウントが０より大きいことを前記ポーリング応答が示す場合、前記ステートレスプロトコルを介して、前記バッファリング済みメッセージを前記外部デバイスに送信することを含む、条項１９のサーバプロキシ。
条項２１ 前記外部デバイスが、少なくとも１つのネットワークプロテクションデバイスによってサーバプロキシから分離されている、条項１０～２０のいずれかのサーバプロキシ。
条項２２ ターゲットアプリケーションと通信するためのクライアントプロキシであって、クライアントプロキシは、コンピュータ実行可能命令を含み、これらの命令によってプロセッサは、
ユニフォームリソースロケータに基づくステートレスプロトコルを介してオープン要求を提供する動作であって、前記オープン要求には、ターゲット識別子が含まれている、動作と、
前記ステートレスプロトコルを介して前記オープン要求への応答を受信する動作であって、前記応答は前記オープン要求のステータスを示し、セッション識別子とシーケンス識別子のうちの少なくとも１つを含む、動作と、
前記ステートレスプロトコルを介して、前記セッション識別子とインクリメント済み前記シーケンス識別子とを含むデータ要求を提供する動作であって、インクリメント済み前記シーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応している、動作と、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションから発信された１つ以上のデータ応答を受信する動作
を含む、動作を実行する、クライアントプロキシ。
条項２３ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項２２のクライアントプロキシ。
条項２４ 前記シーケンス識別子が、ランダムに生成されたインクリメント可能な値を含む、条項２２～２３のいずれかのクライアントプロキシ。
条項２５ 前記セッション識別子、前記シーケンス番号、および前記インクリメント済みシーケンス番号のうちの少なくとも１つが、前記応答および前記データ要求のヘッダに付加される、条項２３～２４のいずれかのクライアントプロキシ。
条項２６ 前記動作がさらに、
前記ステートレスプロトコルを介して、前記ターゲットアプリケーションと通信することなく、所定期間の後にポーリング要求を提供する動作であって、前記ポーリング要求は、前記セッション識別子と、所定の値だけインクリメントされた前記インクリメント済みシーケンス番号を含む、動作と、
前記ステートレスプロトコルを介して、ポーリング応答を受信する動作であって、前記ポーリング応答が、前記クライアントプロキシから所定の値だけリモートでインクリメントされた１つまたは複数の前記インクリメント済みシーケンス番号と、ノーコンテンツインジケータと、前記クライアントプロキシ宛てに、所定期間中にバッファリングされたバッファリング済みメッセージのカウントとを含む、動作と
を含む、条項２２～２５のいずれかのクライアントプロキシ。
条項２７ 前記クライアントデバイスと前記セキュアなアプリケーションとの間に、ファイアウォールとゲートウェイデバイスのうち少なくとも１つが介在している、条項２２～２６のいずれかのクライアントプロキシ。
条項２８ 前記動作がさらに、
ステートフル接続を介して、ソースアプリケーションに１つまたは複数の前記データメッセージを送信することを含む、条項２２～２７のいずれかのクライアントプロキシ。
条項２９ セキュアな環境内のターゲットアプリケーションとセキュアな環境の外部のデバイスとの間の仮想伝送制御プロトコル接続を介して通信を実行するための方法であって、
ステートレスプロトコルを介して前記外部デバイスからオープン要求を受信することであって、前記オープン要求にはターゲット識別子が含まれている、受信することと、
前記ターゲット識別子に基づいて、前記ターゲットアプリケーションとのセキュアな環境内のネットワークリソースを介してステートフル接続をオープンすることと、
前記ステートレスプロトコルを介して、前記オープン要求のステータスを示す前記外部デバイスへ応答を提供することであって、前記応答には、セッション識別子とシーケンス識別子のうち少なくとも１つが含まれている、提供することと、
前記ステートレスプロトコルを介して、前記セッション識別子と前記インクリメント済みシーケンス識別子とを含む前記外部デバイスからのデータ要求を受信することであって、前記インクリメント済みシーケンス識別子は、所定の値だけインクリメントされた前記シーケンス識別子に対応する、受信することと、
前記ステートレスプロトコルを介して、前記受信済みデータ要求からス前記テートフル接続を介して前記ターゲットアプリケーションにデータを送信することと、
を含む、方法。
条項３０ 前記ステートレスプロトコルが、ハイパーテキストトランスファープロトコルおよびハイパーテキストトランスファープロトコルセキュアドのうちの１つを含む、条項２９の方法。
【図1A】
【図1B】
【図2A】
【図2B】
【図2C】
【図2D】
【図3A】
【図3B】
【図4】
【外国語明細書】