仮想プライベート・ネットワーク上のピア・ツー・ピア・ネットワーク
【課題】本発明は新しいネットワーク・トポロジを提供する。さらに詳しくは、仮想プライベート・ネットワーク上にピア・ツー・ピア・ネットワークを定義する。
【解決手段】該ピア・ツー・ピア・ネットワークは、ピア・ツー・ピア・ネットワーク自体によって施行される予め定められたルールに従って通信することを許可された、仮想プライベート・ネットワーク内の１組の指定されたユーザを含む。これは、仮想プライベート・ネットワークとは関係なく、ピア・ツー・ピア・ネットワークの指定されたユーザ間の安全確実な通信をもたらす。
【解決手段】該ピア・ツー・ピア・ネットワークは、ピア・ツー・ピア・ネットワーク自体によって施行される予め定められたルールに従って通信することを許可された、仮想プライベート・ネットワーク内の１組の指定されたユーザを含む。これは、仮想プライベート・ネットワークとは関係なく、ピア・ツー・ピア・ネットワークの指定されたユーザ間の安全確実な通信をもたらす。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的に通信システムおよびネットワークに関する。さらに詳しくは、本発明はピア・ツー・ピア・ネットワークおよび仮想プライベート・ネットワークに関する。
【背景技術】
【０００２】
今日の世界経済において、多州および多国籍企業は普通である。そのような事業が効率的に働くには、安全確実な社内通信チャネルが極めて重要である。最近まで、統合サービスデジタル通信網（ＩＳＤＮ）からＯＣ３（オプチカル・キャリア３）ファイバまでの範囲に及ぶ専用線が使用されてきた。インターネットは、仮想プライベート・ネットワーク（ＶＰＮ）として知られる新しい、より安価な社内通信モダリティのためのフレームワークをもたらした。
【０００３】
ＶＰＮは基本的に、公衆ネットワーク（例えばインターネット）を使用してリモート・サイトまたはユーザを一緒に接続するプライベート・ネットワークである。専用の接続を使用する専用線とは異なり、ＶＰＮは、企業のプライベート・ネットワークまたは中央サイトから従業員のリモート・サイトまでインターネットをルーティングまたはトンネリングする「仮想」接続を使用する。「トンネル」は、２つの接続間のブラインド・リレーとして働く仲介プログラムである。トンネルは、インターネット・セキュリティ・プロトコル（ＩＰｓｅｃ）、ポイント・ツー・ポイント・トンネリング・プロトコルすなわちＰＰＴＰ、およびレイヤ２トンネリング・プロトコル（Ｌ２ＴＰ）をはじめ、任意の数のプロトコルによって定義されるように形成することができる。
【０００４】
在宅勤務者まで拡張された暗号化ＶＰＮには、主に２つのタイプがある。すなわち、ＩＰｓｅｃ ＶＰＮおよびセキュア・ソケット層／トランスポート層セキュリティ（ＳＳＬ／ＴＬＳ）ＶＰＮである。ＩＰｓｅｃ ＶＰＮは、コーポレート・サーバと専用ハードウェアまたはソフトウェア・クライアントとの間を接続する。そのようなＶＰＮはＴＣＰまたはＵＤＰトラフィックをサポートしており、ＧＲＥ（ジェネリック・ルーティング・カプセル化）を介して他のトラフィック型をサポートするように拡張することができる。ＳＳＬ ＶＰＮは、クライアントが汎用ウェブ・ブラウザを使用して企業のＶＰＮサーバに接続することを可能にする。それらはＴＣＰトラフィックだけをサポートするので、ＩＰｓｅｃ ＶＰＮより機能性が限定される。
【０００５】
典型的なＶＰＮセッションを行なうためのプロセスを、図１に関連して説明する。中央サイト１００はファイヤウォール１０４、メイン・オフィスＬＡＮ １０８、およびＶＰＮサーバ１１２（ＩＰｓｅｃまたはＳＳＬ ＶＰＮサーバのような）を含む。リモート・サイト１１６はファイヤウォール１２０、ＶＰＮクライアント１２４、およびリモート・オフィスＬＡＮ １２８を含む。２つのＬＡＮ １０８および１２８は、信頼できないネットワーク１３２（インターネットのような）によって相互接続される。
【０００６】
ＶＰＮサーバ１１２はメイン・オフィスＬＡＮ １０８に別個に接続されるように図示されているが、ＶＰＮサーバ１１２はメイン・オフィスＬＡＮ １０８とファイヤウォール１０４との間に存在することもある。代替的に、ＶＰＮサーバ１１２はファイヤウォール１０４に組み込まれてもよい。
【０００７】
トンネリングは、リモート通信装置と中央サイトとの間で安全確実な通信を行なうために、ＶＰＮクライアント１２４およびサーバ１１２によって使用される。トンネリングは、パケット全体を別のパケット内に入れ、カプセル化されたパケットを信頼できないネットワーク１３２で送信する。トンネリングには３つの異なるプロトコルが要求される。すなわち、信頼できないネットワークによって規定されるプロトコル（例えばＩＰ）、カプセル化プロトコル（ジェネリック・ルーティング・カプセル化つまりＧＲＥ、ＩＰセキュリティ・プロトコルつまりＩＰｓｅｃ、レイヤ２転送つまりＬ２Ｆプロトコル、ポイント・ツー・ポイント・トンネリング・プロトコルつまりＩＰｓｅｃ、レイヤ２トンネリング・プロトコルつまりＬ２ＴＰ、セキュア・ソケット層（ＳＳＬ）、トランスポート層セキュリティＴＬＳ、レイヤ３など）、および搬送されるオリジナル・データによって規定されるパッセンジャ・プロトコル（ＩＰＸ、ＮｅｔＢｅｕｉ、ＩＰ、およびボイス・オーバＩＰつまりＶｏＩＰプロトコル）である。例えばＩＰｓｅｃでは、ＩＰパケットは暗号化され、別のＩＰヘッダ内にカプセル化される。
【０００８】
ＶＰＮの形成は、セキュア・メイン・オフィスＬＡＮ １０８とリモート・オフィスＬＡＮ １１６との間に安全確実な通信チャネルを確立するのに役立つ。現在のＶＰＮの１つの弱点は、それらが安全確実な通信を容易化するために、ＶＰＮサーバ１１２に頼っていることである。したがって、帯域幅のような通信処理能力が、ＶＰＮサーバ１１２の能力によって決定され、かつ限定される。他方、ピア・ツー・ピア（Ｐ２Ｐ）ネットワークは主として、比較的少数のサーバにそれを集中させるというよりむしろ、ネットワークの参加者のコンピュータ能力および帯域幅に頼っている。Ｐ２Ｐネットワークは、ユーザがファイルならびに他の実時間および非実時間データまたは通信を共有することを希望する場合に有用である。
【０００９】
現在のインターネットをベースとするＰ２Ｐネットワークの例として、Ｓｋｙｐｅ、Ｎｉｍｃａｔ、ヤフー・インスタント・メッセンジャーなどが挙げられる。そのようなＰ２Ｐネットワークは比較的単純な直接接続ネットワークであり、発呼者および／または被呼者がネットワーク・アドレス変換（ＮＡＴ）装置の背後に隠れて動作するときに、またはインターネット・ベースの非ＮＡＴ仲介に依存するときに接続性について解決するために、ＳＴＵＮ、ＩＣＥ、ＴＵＲＮなどのような調停サーバを必要とする場合があることを無視している。そのようなＰ２Ｐネットワークは、オーバレイ・トポロジに頼らずに動作する。むしろ、ほとんどのＰ２Ｐネットワークは、通信ネットワークで相互に通信する任意の２つのエンティティのようである。さらに、Ｐ２Ｐ参加者のグループ化は現在、クライアント・ルールによって駆動されない。むしろ、Ｐ２Ｐ参加者のグループ化は従来、プレゼンスおよび他のポリシに対し中央サーバによって促進される通り、ルールに基づくグループ化またはコミュニティに基づいている。これは、Ｐ２Ｐネットワークのコントロールをクライアントから奪い取る。換言すると、現在のＰ２Ｐネットワークは今のところ、ネットワークの残部から完全には自律的でないが、そのようなネットワークは処理タスクを分散することができる。
【００１０】
ＶＰＮをＰ２Ｐネットワークと結合することが示唆されてきた。例えば、「ＥＬＡ：Ａ Ｆｕｌｌｙ Ｄｉｓｔｒｉｂｕｔｅｄ ＶＰＮ Ｓｙｓｔｅｍ ｏｖｅｒ Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ Ｎｅｔｗｏｒｋ」と称するＡｏｙａｇｉらのＩＥＥＥ論文には、Ｐ２Ｐネットワーク上の完全分散ＶＰＮシステムが提案されており、その内容全体をこの言及によって本書に援用する。Ｐ２Ｐネットワーク上の完全分散ＶＰＮシステムはその中で、どこでもローカル・エリア（ＥＬＡ）ネットワークと呼ばれている。ＥＬＡネットワークは、サーバ無しでグループのノード間にＶＰＮ用のプライベート・オーバレイ・ネットワークを確立することを可能にする。これは、ＶＰＮサーバのユーザ無しにＶＰＮシステムを構築することを可能にし、それによって、ＶＰＮサーバに内在する処理上の障害および単一点障害が緩和される。この特定の論文は、従来のＶＰＮに内在する処理上の問題を分散するのに役立つが、該論文は、従来独立型または自律的ではないＰ２Ｐネットワークに関連する問題に対処していない。
【非特許文献１】Ａｏｙａｇｉら「ＥＬＡ：Ａ Ｆｕｌｌｙ Ｄｉｓｔｒｉｂｕｔｅｄ ＶＰＮ Ｓｙｓｔｅｍ ｏｖｅｒ Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ Ｎｅｔｗｏｒｋ」
【発明の開示】
【発明が解決しようとする課題】
【００１１】
これらおよび他の必要性は、本発明の様々な実施形態および構成によって対処される。本発明は一般的に、ＶＰＮ上のＰ２Ｐネットワークのオーバレイを容易にするシステム、装置、および方法に向けられる。
【課題を解決するための手段】
【００１２】
本発明の一実施形態では、
第１組の通信装置用のオーバレイ・ネットワークを提供すること、および
オーバレイ・ネットワーク上に第２組の通信装置用のピア・ツー・ピア・ネットワークを定義すること、
を一般的に含む方法を提供する。
【００１３】
オーバレイ・ネットワークは、既存の公衆または専用通信ネットワークの上に確立することができる。一実施形態では、オーバレイ・ネットワークは、インターネットのような公衆通信ネットワークの上に確立されたＶＰＮオーバレイ・ネットワークを含む。
【００１４】
オーバレイ・ネットワーク上のＰ２Ｐネットワークの確立は、Ｐ２Ｐネットワークのメンバが相互に、クライアント・ルール駆動構成の下で完全に自律的なＰ２Ｐ通信を享受することを可能にする。従来のＰ２Ｐネットワークはアプリケーション層のみで通信ポリシを調整してきたが、本発明の一実施形態では、開放型システム間相互接続（ＯＳＩ）モデルまたは伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）モデルのアプリケーション層、トランスポート層、およびネットワーク層で通信を制御および調整する通信ポリシを、Ｐ２Ｐネットワークに対して定義することができる。Ｐ２Ｐネットワークの自律性は、Ｐ２Ｐネットワーク内に安全確実な通信を確立することのできるカスタマイズされたＰ２Ｐネットワークを形成するのに有用である。さらに、Ｐ２Ｐネットワークはオーバレイ・ネットワーク上に確立されるので、Ｐ２Ｐネットワークは必然的に、オーバレイ・ネットワークに関連する境界線およびセキュリティ・ポリシを受け継ぐ。一実施形態では、かなりの程度のインフラストラクチャ依存性（例えば最小限、オーバレイ・ネットワークのＤＮＳおよびＤＨＣＰに対する依存性）が存在するが、アプリケーション層では、Ｐ２Ｐネットワークの純粋な自律性が利用可能である。
【００１５】
本発明の別の態様は、オーバレイ・ネットワーク上のＰ２Ｐネットワークの形成を容易にする装置を提供することである。本発明の一実施形態では、該装置は、オーバレイ・ネットワーク上のＰ２Ｐネットワークを定義するように適応された管理コンソールを備え、ここでＰ２Ｐネットワークはオーバレイ・ネットワークに属する第１組のユーザ内に第２組のユーザを含む。
【００１６】
オーバレイ・ネットワーク上にＰ２Ｐネットワークを形成することにより、これまで実現されなかったＰ２Ｐネットワークの自律性が達成可能である。したがって、セキュリティ、選択的制御、および認証（例えばオーバレイ・ネットワークの可変長および可変制御リーシュ）をＰ２Ｐネットワークに使用することが可能である。つまり、Ｐ２Ｐは、そのポリシを、それが頼っているインフラストラクチャとは別個に定義することができる程度に、自律的である。
【００１７】
本書で使用する場合、「ユーザ」は、通信装置を利用かつ／または通信装置と対話することのできる任意の人間または物を指すのに使用される。
【００１８】
これらおよび他の利点は、本書に含まれる本発明の開示から明らかになるであろう。上記の実施形態および構成は完全でも包括的でもない。理解される通り、上述した特徴、または以下で詳述する特徴の１つまたは複数を単独で、または組み合わせて利用する、本発明の他の実施形態が可能である。
【００１９】
本書で使用する場合、「少なくとも１つ」、「１つまたは複数」および「および／または」は、接続的でも離接的でもある、範囲が制限されていない表現である。例えば、「Ａ、Ｂ、およびＣの少なくとも１つ」、「Ａ、Ｂ、またはＣの少なくとも１つ」、「Ａ、Ｂ、およびＣの１つまたは複数」、「Ａ、Ｂ、またはＣの１つまたは複数」、および「Ａ、Ｂ、および／またはＣ」は各々、Ａのみ、Ｂのみ、Ｃのみ、ＡおよびＢの両方、ＡおよびＣ共に、ＢおよびＣ共に、またはＡ、Ｂ、およびＣ共に、を意味する。
【発明を実施するための最良の形態】
【００２０】
本発明を以下で、例示的通信システムに関連して説明する。本発明は、例えばサーバおよび／またはデータベースを使用するシステムに使用するのによく適しているが、いずれかの特定の型の通信システムまたはシステム要素の構成との使用に限定されない。開示する技術は、Ｐ２Ｐネットワークを形成することが望ましいどんな通信用途にも使用することができることを、当業者は理解されるであろう。
【００２１】
本発明の例示的システムおよび方法について、ＩＰ通信ソフトウェア、モジュール、および関連通信ハードウェアに関連しても説明する。しかし、本発明を不必要に曖昧にすることを回避するために、以下の説明は、ブロック図の形で示すことができ、周知であり、またはその他の方法で要約される周知の構造、ネットワーク構成要素、および装置については省略する。
【００２２】
説明を目的として、本発明の完全な理解をもたらすために、多数の詳細を記載する。しかし、本発明は、本書に記載する特定の詳細を越える多種多様なやり方で実施することができることを理解されたい。
【００２３】
さらに、本書に示す例示的実施形態は一所に配置されたシステムの様々な構成要素を示すが、システムの様々な構成要素は、通信ネットワークおよび／またはインターネットのような分散ネットワークの離れた部分に、もしくは専用の安全確実なシステム、安全確実でないシステム、ならびに／もしくは暗号化システム内に配置することができることを理解されたい。したがって、システムの構成要素は、企業サーバ、ＰＢＸのような１つまたは複数の装置に組み込むことができ、もしくはアナログおよび／またはデジタル通信ネットワークのような分散ネットワークの特定のノードに一所に配置することができることを理解されたい。以下の説明から、かつ計算効率から理解される通り、システムの構成要素は、システムの動作に影響することなく、分散ネットワーク内の任意の位置に配設することができる。例えば、様々な構成要素を放送ヘッド・エンド・サーバ、１つまたは複数のユーザの構内、またはそれらの何らかの組合せに配置することができる。同様に、システムの１つまたは複数の機能部をサーバ、ゲートウェイ、ＰＢＸ、および／または関連通信装置の間で分散することができる。
【００２４】
最初に図２を参照しながら、本発明の少なくとも一部の実施形態に係る通信システム２００について説明する。通信システム２００は一般的に、インターネットのような公衆つまり信頼できない通信ネットワーク２０４、オーバレイ・ネットワーク２０８、および回線交換ネットワーク２１２を含む。オーバレイ・ネットワーク２０８は、公衆通信ネットワーク２０４上で動作するプライベート・ネットワークを含んでもよい。本発明の一実施形態では、オーバレイ・ネットワーク２０８はＶＰＮネットワークを含む。言うまでもなく、オーバレイ・ネットワーク２０８は、Ｍｂｏｎｅ、Ａｂｏｎｅ、または６ｂｏｎｅオーバレイ・ネットワークのような、公衆通信ネットワーク上で動作する他の型の通信ネットワークを含んでもよい。オーバレイ・ネットワーク２０８はまた、当業界で公知の他の型の企業ネットワークをも含んでもよい。
【００２５】
オーバレイ・ネットワーク２０８はトンネルを用いて、公衆通信ネットワーク２０４上に仮想ネットワークを形成する。ＶＰＮオーバレイ・ネットワーク２０８のユーザには、企業サーバへのアクセス、企業イントラネットへのアクセスなどのようなプライベート・ネットワークの利点がもたらされる一方、ＶＰＮオーバレイ・ネットワーク２０８を維持する企業は、公衆通信ネットワーク２０４の上にオーバレイ・ネットワークを管理することによってもたらされる低運用コストから利益を得る。ＶＰＮオーバレイ・ネットワーク２０８の異なるノードを、共通サーバに接続することができ（すなわち、ハブ・アンド・スポーク構成）、または分散的に異なるサーバに接続することができる（すなわちメッシュ構成）。適切なＶＰＮオーバレイ・ネットワーク２０８の例として、ＩＰｓｅｃ ＶＰＮ、ＳＳＬ／ＴＬＳ ＶＰＮ、オープンＶＰＮ、ポイント・ツー・ポイント・トンネリング・プロトコル（ＰＰＴＰ）ＶＰＮ、レイヤ２トンネリング・プロトコル（Ｌ２ＴＰ）ＶＰＮ、Ｐ２ＴＰバージョン３ＶＰＮ、マルチプロトコル・ラベル・スイッチング（ＭＰＬＳ）ＶＰＮ、レイヤ２転送（Ｌ２Ｆ）ＶＰＮ、レイヤ３ＶＰＮ、またはいずれかの他の型の公知のＩＰベースのＶＰＮがあるが、それらに限定されない。
【００２６】
本発明の少なくとも１つの実施形態では、オーバレイ・ネットワーク２０８は、その中に定義された少なくとも１つのＰ２Ｐネットワーク２３２を含む。さらに詳しくは、Ｐ２Ｐネットワーク２３２はオーバレイ・ネットワーク２０８の上に確立される。これは、アプリケーション層だけではなく、トランスポート層およびネットワーク層でも完全に自律的なＰ２Ｐネットワーク２３２の実現を可能にする。これは、島状のＩＰ通信装置がＰ２Ｐと通信することを可能にする一方で、Ｐ２Ｐネットワーク２３２が各層のユーザ定義パラメータ（すなわちネットワーク、トランスポート、およびアプリケーション・レベルのユーザ・アクセス制御または企業リーシュ）を持つことを可能にする。Ｐ２Ｐネットワーク２３２はまた、オーバレイ・ネットワーク２０８のセキュリティ機能を受け継ぐ。オーバレイ・ネットワーク２０８内にＰ２Ｐネットワーク２３２を形成することで、異なるセキュリティ・ポリシを持つことを希望し、あるいはＰ２Ｐネットワーク２３２のメンバ間の高品質通信を確実にすることを希望する、ユーザおよび／または通信装置（すなわちエンティティ）の自律したコミュニティの形成が可能になる。
【００２７】
例として、Ｐ２Ｐネットワーク２３２は、ＶＰＮで特定用途向けトランスポート・セレクタを適用することによって、ＩＰｓｅｃ ＶＰＮオーバレイ・ネットワーク２０８の上に定義することができる。特定用途向けトランスポート・セレクタは、Ｐ２Ｐネットワーク２３２の全メンバに適用されるＰ２Ｐネットワーク２３２用の通信ポリシを確立することができる。一実施形態では、Ｐ２Ｐネットワーク２３２用のポリシは、ＶＰＮオーバレイ・ネットワーク２０８に属するが、Ｐ２Ｐネットワーク２３２には属さない、他の通信装置の通信ポリシとは異なる。
【００２８】
オーバレイ・ネットワーク２０８は、ファイヤウォール２１６または同様の型のセキュリティ装置を介して、公衆通信ネットワーク２０４に接続することができる。ファイヤウォール２１６は、オーバレイ・ネットワーク２０８内のセキュリティを維持しながら、公衆通信ネットワーク２０４の上にオーバレイ・ネットワーク２０８を確立することを助ける。ファイヤウォール２１６は、多数の異なる通信装置を接続するための多数の異なるＮＡＴ型をサポートし、ネットワーク外の通信装置からのオーバレイ・ネットワーク２０８の侵入を検知し、ウィルスの脅威が無いか検査し、オーバレイ・ネットワーク２０８の容易化に関連する他の機能を実行するように適応させることができる。
【００２９】
公衆通信ネットワーク２０４およびオーバレイ・ネットワーク２０８は、ＯＳＩモデルまたはＴＣＰ／ＩＰモデルのネットワーク層で動作する、インターネット・プロトコル（ＩＰ）通信のような、パケットをベースとする通信および通信プロトコルをサポートする能力によって特徴付けられる。公衆通信ネットワーク２０４およびオーバレイ・ネットワーク２０８は、ゲートウェイ２２０を介して、回線交換ネットワーク２１２のような、パケットをベースとしないネットワークと通信するように適応されてもよい。回線交換ネットワーク２１２は、１つのエンド・ポイントから別のエンド・ポイントへのアナログおよび／またはデジタル通信信号の送信をサポートすることができる。アナログおよび／またはデジタル信号からパケットをベースとする信号へのメッセージの変換は、ゲートウェイ２２０によって達成される。ゲートウェイ２２０はまた、パケットをベースとする信号からアナログおよび／またはデジタル信号への変換をもサポートすることができる。したがって、パケットをベースとする通信装置２２４は、ゲートウェイ２２０を介して、それぞれの通信ネットワークを通してアナログ通信装置２２８と通信することができてもよい。さらに、オーバレイ・ネットワーク２０８および／またはオーバレイ・ネットワーク２０８内のＰ２Ｐネットワークに属するパケットをベースとする通信装置はまた、アナログ通信装置２２８と通信することを可能としてもよい。
【００３０】
図３Ａは、本発明の少なくとも一部の実施形態に係る例示的ＶＰＮオーバレイ・ネットワーク２０８を示す。ＶＰＮオーバレイ・ネットワーク２２８は、３つの異なるＰ２Ｐネットワーク２３２ａ〜ｃを含むように示されている。ＶＰＮオーバレイ・ネットワーク２０８に３つのＰ２Ｐネットワーク２３２が示されているが、より多数またはより少数のＰ２Ｐネットワーク２３２を、ＶＰＮオーバレイ・ネットワーク２０８またはいずれかの他の型のオーバレイ・ネットワーク２０８上に確立することができることを、当業者は理解されるであろう。本発明の一実施形態では、ＶＰＮオーバレイ・ネットワーク２０８はＶＰＮサーバ３０４または同様の型のヘッド・エンドを含む。ＶＰＮサーバ３０４は、様々なＰ２Ｐネットワーク２３２と、Ｐ２Ｐネットワークに割り当てられていない他の通信装置３２０との間に接続を提供することができる。一実施形態では、ＶＰＮオーバレイ・ネットワーク２０８は、ハブ・アンド・スポーク構成、つまりＶＰＮサーバ３０４がＳＩＰアプリケーションに感応する透過的トランスポートおよびルータとして働くトポロジに構成することができる。ハブ・アンド・スポーク・トポロジでは、ＶＰＮオーバレイ・ネットワーク２０８に属する通信装置間の通信、および／またはＰ２Ｐネットワーク２３２間の通信は、ＶＰＮサーバ３０４を通してルーティングされる。各Ｐ２Ｐネットワーク２３２は、Ｐ２Ｐネットワーク２３２に対して設定されたポリシに応じて、ＶＰＮサーバ３０４に対して異なる従属性を有することができる。
【００３１】
代替的実施形態では、ＶＰＮオーバレイ・ネットワーク２０８は、メッシュ・トポロジに構成されることができ、その場合、ＶＰＮオーバレイ・ネットワーク２０８の各通信装置は、ＶＰＮサーバ３０４を使用することなく、他の通信装置と直接通信する。したがって、ＶＰＮオーバレイ・ネットワーク２０８がメッシュ構成である場合、異なるＰ２Ｐネットワーク２３２が相互に直接通信することができる。ハブ・アンド・スポークおよびメッシュ型構成では、ＶＰＮオーバレイ・ネットワーク２０８を管理する企業は、ＶＰＮサーバ３０４でＩＰフローのきめ細かいトラフィック・アクセス制御を選択することができる。換言すると、ＩＰトラフィックのルーティングは、伝送されるメッセージに応じて、ＶＰＮサーバ３０４を通過してもよく、必ずしも通過しなくてもよい。
【００３２】
本発明の実施形態では、ＶＰＮサーバ３０４に管理コンソール３０８を設けることができる。管理コンソール３０８は、定義されたＶＰＮオーバレイ・ネットワーク２０８またはいずれかの他の型のオーバレイ・ネットワーク２０８に基づき、制約付きＰ２Ｐネットワーク２３２を定義するように適応されることができる。換言すると、管理コンソール３０８は、Ｐ２Ｐコミュニティ内でどんなエンティティが通信することができるかの境界線を定義することができる。管理コンソール３０８はまた、所与のＰ２Ｐネットワーク２３２内のエンティティのポリシを定義してもよい。これは、カスタマイズされたセキュリティ機能を形成し、かつ／またはＰ２Ｐネットワーク２３２のメンバ間のより信頼できる通信を確実にするのを助ける。管理コンソール３０８はまた、様々なＰ２Ｐネットワーク２３２のメンバシップを維持し、かつ施行することができる。図３で分かるように、Ｐ２Ｐネットワーク２３２は一般的に、ＶＰＮオーバレイ・ネットワーク２０８内の全ての通信装置より少数の装置のメンバシップを含むが、そのような制限されたメンバシップは必須ではない。管理コンソール３０８は、ＶＰＮオーバレイ・ネットワーク２０８内の通信装置のアイデンティティのみならず、それらのそれぞれのメンバシップをも維持することができる。
【００３３】
一実施形態では、管理コンソール３０８は、Ｐ２Ｐネットワーク２３２に属する通信装置３１２と、Ｐ２Ｐネットワーク２３２に属さない通信装置３２０とを識別し、かつ区別することができる。さらに、管理コンソール３０８は、特定の通信装置３１２および／またはユーザが割り当てられているＰ２Ｐネットワーク２３２のレコードを維持してもよい。例えば、第１組の通信装置３１２、３２０は、ＶＰＮオーバレイ・ネットワーク２０８全体に属してよい。これらの通信装置の第１部分集合は、第１Ｐ２Ｐネットワーク２３２ａに属してよく、これらの通信装置の他の部分集合は、第２Ｐ２Ｐネットワーク２３２ｂおよび第３Ｐ２Ｐネットワーク２３２ｃに属してもよい。本発明の少なくとも一部の実施形態では、通信装置３１２および／またはユーザは、多数の異なるＰ２Ｐネットワーク２３２に属することができるが、そのような実施形態は図３に明示的に示されていない。
【００３４】
管理コンソール３０８は、Ｐ２Ｐネットワーク２３２内の自律的なＰ２Ｐ通信を容易にするために、Ｐ２Ｐネットワーク２３２のメンバシップのレコードを維持してもよい。各Ｐ２Ｐネットワーク２３２は、その能力およびポリシが、通信するために頼っているインフラストラクチャ（すなわちＶＰＮオーバレイ・ネットワーク２０８）とは別個に定義される程度に自律的である。管理コンソール３０８はＰ２Ｐネットワーク２３２の様々な通信装置３１２と通信して、それらが相互に通信する方法に一貫性があることを確実にすることができる。
【００３５】
Ｐ２Ｐネットワーク２３２の構成および相対的自律性は、Ｐ２Ｐネットワーク２３２で使用される通信装置の型によっても変化することがある。第１Ｐ２Ｐネットワーク２３２ａは、第１の可能なＰ２Ｐネットワーク・トポロジの例を提供する。さらに詳しくは、第１Ｐ２Ｐネットワーク２３２ａは、第１Ｐ２Ｐネットワーク２３２ａ内の通信装置３１２を接続するサーバ３１６または同様の専用処理および／もしくはルーティング装置を含む。サーバ３１６は、Ｐ２Ｐネットワーク２３２のポリシを定義しかつ施行するために管理コンソール３０８を装備してもよい。管理コンソール３０８は、メンバ通信装置３１２間のメッセージおよびデータのルーティングを容易にし、それによってハブ・アンド・スポーク型トポロジを形成するように適応されることができる。しかし、サーバ３１６を有する第１Ｐ２Ｐネットワーク２３２ａでは、メッシュ・トポロジも企図することができる。サーバ３１６はまた、第１Ｐ２Ｐネットワーク２３２ａの全ての通信装置３１２が対等に生まれるように、特定レベルの監督を可能にする、第１Ｐ２Ｐネットワーク２３２ａの１種のスーパノードとしても働くことができる。
【００３６】
さらに、第１Ｐ２Ｐネットワーク２３２ａの通信装置３１２は、第１Ｐ２Ｐネットワーク２３２ａに無い通信装置３１２との通信セッション中に、サーバ３１６を通してルーティングされるそれらの着信および発信メッセージを有してもよい。したがって、サーバ３１６は基本的に、ＶＰＮオーバレイ・ネットワーク２０８の残部およびより広い通信システム２００と第１Ｐ２Ｐネットワーク２３２ａ全体のためのルータとして働くことができる。
【００３７】
本書で使用する場合、用語「サーバ」は、ＰＢＸ、企業交換機、企業サーバ、または他の型の電気通信システム交換機もしくはサーバのみならず、他の型のプロセッサをベースとする通信制御装置、例えばメディア・サーバ（すなわち電子メール・サーバ、ボイスメール・サーバ、ウェブ・サーバなど）、コンピュータ、付属物等をも含むことを理解されたい。
【００３８】
管理コンソール３０８はまた、第１Ｐ２Ｐネットワーク２３２ａ内の通信装置３１２間の認証を中央管理してもよい。通信装置３１２間の認証は、通信セッションが行なわれる前に要求されてもよい。認証が中央管理されるＰ２Ｐネットワーク２３２では、接続を確立する前に、鍵が１つの通信装置３１２から別の通信装置に、または管理コンソール３０８に直接渡されてもよい。受け取った鍵は次いで、それがまだ管理コンソール３０８に提供されていなかった場合、それに提供され、そこで認証判定が行なわれる。認証判定は、いずれかの公知の型の対称または非対称プロトコルを用いて行なうことができる。認証が確認された（すなわち、両方の通信装置が同一Ｐ２Ｐネットワーク２３２に属すると判定された）場合、管理コンソール３０８は次いで、通信セッションが許可されることを受信側通信装置３１２に通知する。しかし、Ｐ２Ｐネットワーク２３２のポリシは、通信セッション中も依然として施行されてもよい。認証のステップは、各通信装置３１２に、それが同一Ｐ２Ｐネットワーク２３２の他の通信装置３１２との安全確実な通信セッションに従事していることを確信させるのに役立つ。
【００３９】
代替的実施形態では、通信装置３１２間の分散認証を可能としてもよい。管理コンソール３０８は、鍵および関連通信装置３１２のリストを維持し、該リストを第１Ｐ２Ｐネットワーク２３２の様々な通信装置３１２に提供することができる。これにより、Ｐ２Ｐネットワーク２３２内の全ての通信装置３１２は、通信セッションを開始する前に、別の通信装置３１２と共に内部認証することができるようになる。管理コンソール３０８は適切な通信装置３１２にリストを周期的に提供し、または要求があり次第、リストを供給することができる。代替的に、管理コンソール３０８は、リストが更新されたときにいつでもリストを配布してもよい。
【００４０】
第２Ｐ２Ｐネットワーク２３２ｂは、Ｐ２Ｐネットワーク２３２の第２のトポロジ例を提供する。第２Ｐ２Ｐネットワーク２３２ｂは、より大きいＶＰＮオーバレイ・ネットワーク２０８へのルータとして働き、Ｐ２Ｐネットワーク２３２のポリシを調整および管理し、かつ他の処理タスクを実行する、サーバ３１６を持たない。むしろ、第２Ｐ２Ｐネットワーク２３２ｂは複数の通信装置３１２を含み、そのうちの少なくとも１つは、メッシュ・トポロジで相互接続された管理コンソール３０８を具備するが、第２Ｐ２Ｐネットワーク２３２ｂでハブ・アンド・スポーク・トポロジをサポートしてもよい。
【００４１】
図３に示す第２Ｐ２Ｐネットワーク２３２ｂでは、各通信装置３１２は少なくとも２つの他の通信装置３１２に接続され、結果的にメッシュ・トポロジが形成される。メッシュ・ネットワークは、任意の通信装置３１２を介して通信装置３１２間の通信を容易にする。管理コンソール３０８を含む通信装置３１２はボス型通信装置３１２とみなすことができ、一部の予め定められたトラフィックはそこを通過することができるが、トラフィックの残部は第２Ｐ２Ｐネットワーク２３２ｂのより広いメッシュを通してルーティングされる。この特定のトポロジは、単一サーバ３１６の処理要求のみならず、Ｐ２Ｐネットワーク２３２全体の単一点障害の可能性をも緩和するのに役立つ。第２Ｐ２Ｐネットワーク２３２ｂは、管理コンソール３０８が、ＶＰＮオーバレイ・ネットワーク２０８の通信構造とは独立して、第２Ｐ２Ｐネットワーク２３２ｂに特定的な様々なポリシを定義することができるという点で、第１Ｐ２Ｐネットワーク２３２ａと全く同様に自律的である。
【００４２】
第２Ｐ２Ｐネットワーク３１２に属する通信装置３１２と、該ネットワークに属さない通信装置３１２、３２０との間の通信は、指定された通信装置３１２（すなわち管理コンソール３０８を含む通信装置３１２）を通してルーティングすることができる。したがって、指定された通信装置３１２は、第２Ｐ２Ｐネットワーク２３２ｂの他のＰ２Ｐネットワーク２３２、通信装置３２０、および通信システム２００のいずれかの他の通信装置へのルータとして働く。
【００４３】
第１Ｐ２Ｐネットワーク２３２ａのサーバ３１６および第２Ｐ２Ｐネットワーク２３２ｂの指定された通信装置３１２に含まれる管理コンソール３０８は、自律的に、つまりＶＰＮサーバ３０４の管理コンソール３０８からの支援無く、動作するように適応させることができる。したがって、各Ｐ２Ｐネットワーク２３２は、その対応する管理コンソール３０８によって局所的に管理することができる。代替的実施形態では、Ｐ２Ｐネットワーク２３２の管理責任は、ＶＰＮサーバ３０４の管理コンソール３０８とＰ２Ｐネットワーク２３２に対応する管理コンソール３０８との間で分担することができる。たとえ１つの通信装置３１２だけが、そこに設けられた管理コンソール３０８を有するように図示されていても、ＶＰＮオーバレイ・ネットワーク２０８の各通信装置３１２が管理コンソール３０８を備えることができ、それによってＶＰＮサーバ３０４からの各通信装置３１２の自律性がもたらされることを当業者は理解されるであろう。
【００４４】
第３Ｐ２Ｐネットワーク２３２ｃは、本発明の実施形態に従って使用することのできるＰ２Ｐネットワーク・トポロジの第３例を提供する。第３Ｐ２Ｐネットワーク２３２ｃは、ルータとして働くサーバ３１６を持たず、局所的管理コンソール３０８をも持たない。むしろ、第３Ｐ２Ｐネットワーク２３２ｃはメッシュ・トポロジで相互接続された複数の通信装置３１２を含むが、ハブ・アンド・スポーク・トポロジもサポートすることができる。第３Ｐ２Ｐネットワーク２３２ｃの通信装置３１２は基本的に同一能力を含み、同様に動作することができる。第３Ｐ２Ｐネットワーク２３２ｃの各通信装置３１２は、指定された通信装置３１２を通してメッセージおよびデータをルーティングする代わりに、外部通信装置と通信することができる。
【００４５】
各Ｐ２Ｐネットワーク２３２は、Ｐ２Ｐネットワーク２３２内の通信のために施行される第１組のポリシ、およびＰ２Ｐネットワーク２３２の外の通信のために施行される第２の異なる組のポリシを持つことができる。Ｐ２Ｐネットワーク２３２の各通信装置３１２は、Ｐ２Ｐネットワーク２３２内で通信するときに同一ポリシに従うことを要求されるので、Ｐ２Ｐネットワーク２３２内の通信はより確実なセキュリティおよび連続性を持つことができる。これはＰ２Ｐネットワーク２３２内の通信の効率性および信頼性を高める。
【００４６】
今、図３Ｂを参照しながら、ハブ・アンド・スポークＰ２Ｐネットワーク２３２の詳細を、本発明の少なくとも一部の実施形態に従ってさらに説明する。ハブ・アンド・スポークＰ２Ｐネットワーク２３２は、インターネットまたは何らかの他の分散通信ネットワークのような第１通信ネットワーク３２４を介して、ＶＰＮサーバ３０４と通信する多数の通信装置３１２のメンバシップを含んでもよい。ＶＰＮサーバ３０４は、企業ネットワークまたは他の型のイントラネットのような第２通信ネットワーク３０４と通信することができる。ＶＰＮサーバ３０４は、第２通信ネットワーク３２８を介して管理サーバ３３２、ＩＰ ＰＢＸ３３６、および構成データベース３４０と通信することができる。
【００４７】
ＶＰＮサーバ３０４は、Ｐ２Ｐネットワーク２３２におけるポリシのプロビジョニングおよび施行を可能にすることができる。ハブ・アンド・スポーク・トポロジを越えて、プロビジョニングは、ＶＰＮサーバ３０４との接続性を持ちかつそれを制御する権限を付与された企業のエンティティ（例えば管理サーバ３３２）からもたらされてもよい。ＶＰＮサーバ３０４は一般的に、Ｐ２Ｐネットワーク２３２に対しそのようなトポロジにおける施行点として働くことができる。ポリシ規定は、ＶＰＮサーバ３０４による参照のために構成データベース３４０に維持することができる。
【００４８】
規定の施行は、ＩＰトラフィックの解析によって、かつ規則をデータグラムおよびセッション状態で異なる深さで適用することによって、ネットワーク・レベル（例えばＩＰレベル）、トランスポート・レベル（例えばＴＣＰ／ＵＤＰレベル）、および／またはアプリケーション・レベル（例えばＳＩＰ、ウェブ、ＳＯＡＰ等）で行なわれてもよい。アクセス制御、ＱｏＳ、およびルーティングの施行に関するポリシは、ＶＰＮ上に確立されたＰ２Ｐハブ・アンド・スポーク・ネットワーク２３２でＶＰＮサーバ３０４によって施行されてもよい。
【００４９】
今、図３Ｃを参照しながら、フル・メッシュＰ２Ｐネットワーク２３２モデルの詳細について、本発明の少なくとも一部の実施形態に従って説明する。メッシュＰ２Ｐネットワーク２３２のポリシもまた、ＶＰＮサーバ３０４によって管理されてもよい。しかし、アクセス制御、ＱｏＳ、およびルーティング・ポリシは、ひとたび制定されると分散され、自律的になってもよい。通信装置３１２間のＰ２Ｐ通信はノード間で直接的であり、任意選択的に、プロビジョニング時に管理サーバ３３２から企業構成毎にポリシ条件によって規制されてもよい。
【００５０】
フル・メッシュＰ２Ｐネットワーク２３２は、全てのＰ２Ｐノードがそのピアにトラフィックをそのピアに直接流すことを可能にする。ＶＰＮサーバ３０４によるポリシの制御は、そのようなトポロジでは任意である。それにもかかわらず、ＶＰＮサーバ３０４は、第２通信ネットワーク３２８に接続された企業ＩＰ ＰＢＸ３３６（コール・サーバ）またはいずれかの他のアプリケーション・サーバにＰ２Ｐネットワーク２３２をブリッジさせるように、任意の制御ゲートウェイを形成することができる。ＶＰＮサーバ３０４は、Ｐ２Ｐネットワーク２３２を規制する参加ポリシに基づいて、Ｐ２Ｐネットワーク２３２を制御することができる。管理サーバ３３２はＰ２Ｐネットワーク２３２を構成し、制御管理をＶＰＮサーバ３０４に委託する。
【００５１】
フル・メッシュＰ２Ｐネットワーク２３２は、自律的Ｐ２Ｐネットワーク２３２がそのコミュニティの外部と、例えば別のＰ２Ｐネットワーク２３２と通信するようになるとき、またはメイン企業（例えばＩＰ ＰＢＸ３３６および／またはイントラネット）ユーザ・コミュニティに動的に参加および離脱するようになるときを除き、自律的Ｐ２Ｐネットワークに制御を委託することができる。
【００５２】
今、図４Ａおよび４Ｂを参照しながら、管理コンソール３０８によって使用される２つの例示的データ構造について、本発明の少なくとも一部の実施形態に従って説明する。最初に図４Ａを参照しながら、ユーザ中心データ構造４０４について、本発明の少なくとも一部の実施形態に従って説明する。データ構造４０４は、Ｐ２Ｐネットワーク２３２をオーバレイ・ネットワーク２０８に維持するための多数のデータ・フィールドを含む。データ構造４０４に設けられるデータ・フィールドの型として、ユーザ・フィールド４０８、通信装置フィールド４１２、ＩＤフィールド４１６、鍵フィールド４２０、Ｐ２Ｐネットワーク・フィールド４２４、およびポリシ・フィールド４２８が挙げられるが、それらに限定されない。
【００５３】
ユーザ・フィールド４０８は、特定のユーザまたはユーザのグループを記載または識別するデータを含む。ユーザは一般的にメンバであり、オーバレイ・ネットワーク２０８にアクセスすることができる。ユーザはまた、１つまたは複数の通信装置に関連付けられることもあり、それは通信装置フィールド４１２に記載することができる。通信装置フィールド４１２は、単数または複数のどの通信装置が特定のユーザに関連付けられるかを記載する。ユーザに関連付けられてもよいそのような装置の例として、例えばコンピュータまたはラップトップ、従来のアナログ電話機、パケットをベースとする電話機、ＶｏＩＰ電話機、セルラ電話機、パーソナル・デジタル・アシスタント（ＰＤＡ）、ビデオフォン、および／または携帯電子メール検索装置が挙げられる。通信装置の記述は、通信装置の型の記述のみならず、所与の装置の識別子をも含んでもよい。特定の通信装置の識別子は、ＩＰアドレス、内線番号、ポート・アドレス、製造番号、またはいずれかの他の型の一意または準一意の識別子を含むことができる。
【００５４】
ＩＤフィールド４１６は、ユーザおよび／またはユーザの関連通信装置に割り当てられた識別子または他の型の一意のＩＤを格納する。ＩＤは、管理コンソール３０８が単一のＩＤによってエンティティを参照することを可能にする、管理コンソール３０８用の識別子として働く。図４Ａから分かるように、ＩＤはユーザに割り当てられてもよく、あるいはユーザに関連付けられた各通信装置に割り当てられてもよい。管理コンソール３０８はまた、通信装置の認証中、および通信装置へ／からのメッセージのルーティング中にもＩＤを使用することができる。
【００５５】
認証中に使用されてもよい追加データは鍵である。鍵情報は、鍵フィールド４２０に維持される。単一ユーザおよび／または通信装置に対し、複数の鍵を鍵フィールド４２０に維持することができる。鍵フィールド４２０に維持されてもよい１つの鍵として、認証鍵がある。鍵フィールド４２０に維持されてもよい第２の鍵として、暗号化鍵がある。認証鍵は、所与の通信装置および／またはユーザを認証し、かつ通信装置および／またはユーザがどのＰ２Ｐネットワーク２３２のメンバであるかを判定するために使用される。暗号化鍵は、Ｐ２Ｐネットワーク２３２を越えて、かつ／またはＰ２Ｐネットワーク２３２の外部に送信するためのメッセージを暗号化するために使用される。所与のＰ２Ｐネットワーク２３２に対し暗号化ポリシが定義されていない場合にはユーザおよび／または通信装置への暗号化鍵の割当ては不要でもよい。
【００５６】
本発明の一実施形態では、各ユーザおよび／または通信装置に一意の認証鍵が割り当てられる。認証鍵は一般的に複数の通信装置間で共有されないので、一意の認証鍵の使用は比較的安全確実なＰ２Ｐネットワークをもたらす。代替的に、管理コンソール３０８が、各々の個人ユーザおよび／または通信装置の名前または種類を決定してもよく、かつＰ２Ｐネットワーク２３２の残部に、それらが探さなければならないものはその決定された名前または種類であることを知らせてもよい。管理コンソール３０８はまた、Ｐ２Ｐネットワーク２３２の他の通信装置および／またはユーザに、各々の種類に対応する鍵を通知してもよく、通信装置は、鍵を精査して鍵が信頼できる名前または種類に対応するかどうかを判定することによって、他の通信装置を認証することができる。
【００５７】
Ｐ２Ｐネットワーク・フィールド４２４は、所与のユーザおよび／または通信装置が割り当てられているＰ２Ｐネットワーク２３２があれば、それに関するデータを含むことができる。Ｐ２Ｐネットワークは任意の番号として、または企業の部署として表示ことができる。オーバレイ・ネットワーク２０８上でＰ２Ｐネットワーク２３２を使用することのできるエンティティの例として、企業で働きかつオーバレイ・ネットワーク２０８にアクセスすることのできる人間の財務部、エンジニアリング部、法務部、またはいずれかの他の論理的下位部署が挙げられる。
【００５８】
Ｐ２Ｐネットワーク識別データを維持することに加えて、データ構造４０４は、所与のＰ２Ｐネットワーク２３２のためのポリシ・データを含むことができる。上述の通りポリシ・データは各Ｐ２Ｐネットワーク間で異なってもよく、ポリシ・データ・フィールド４２８に格納される。特定のＰ２Ｐネットワーク２３２に対して定義されるポリシは、ＯＳＩモデルまたはＴＣＰ／ＩＰモデルのアプリケーション層、トランスポート層、またはネットワーク層の少なくとも１つの動作パラメータを制御することができる。これは、各Ｐ２Ｐネットワーク２３２のセキュリティを別々に維持し、かつオーバレイ・ネットワーク２０８内の他のＰ２Ｐネットワークから制御することを可能にする。さらに、特定のＰ２Ｐネットワーク２３２は、通信の特定の局面に対してより厳格なポリシを要求することができるが、他のＰ２Ｐネットワーク２３２は、それほど厳格なポリシを要求しなくてもよい。所与のＰ２Ｐネットワーク２３２に対するポリシ、ならびにしたがって割り当てられたユーザおよび／または通信装置に適用されるポリシは、ポリシ・フィールド４２８に概説される。本発明の一実施形態では、所与のＰ２Ｐネットワーク２３２に対するポリシは、Ｐ２Ｐネットワーク２３２に割り当てられた全てのエンティティに平等に適用される。ポリシ・データ・フィールド４２８に定義されるポリシの型として、暗号化ポリシ、セキュリティ・ポリシ、外部通信ポリシ、アプリケーション・ポリシ、ルーティング・ポリシ、通信トラフィック・ポリシ、ならびにアプリケーション層、トランスポート層、および／またはネットワーク層で通信を制御および調整するための他のポリシが挙げられるが、それらに限定されない。
【００５９】
単一のユーザが多数の通信装置に関連付けられるように図示されているが、本発明の実施形態では、多数のユーザが単一の通信装置に関連付けられることも考えられる。さらに、たとえ各ユーザが特定のＰ２Ｐネットワーク２３２に割り当てられている状態が図示されていても、本発明の少なくとも一部の実施形態は、ユーザではなく通信装置をＰ２Ｐネットワーク２３２に割り当てる能力を提供する。
【００６０】
今、図４Ｂを参照しながら、Ｐ２Ｐネットワーク中心データ構造４３２について、本発明の少なくとも一部の実施形態に従って説明する。データ構造４３２は、所与のＰ２Ｐネットワークに関連するデータを含む多数のデータ・フィールドを含むことができる。そのようなデータ・フィールドの例として、Ｐ２Ｐネットワーク識別子フィールド４３６、ユーザ・フィールド４４０、ＩＤフィールド４４４、鍵フィールド４４８、およびポリシ・フィールド４５２が挙げられるが、それらに限定されない。
【００６１】
Ｐ２Ｐネットワーク識別子フィールド４３６は、特定のＰ２Ｐネットワーク２３２について記述する情報を含む。各Ｐ２Ｐネットワーク２３２には、記述的ラベルまたは無作為に割り当てられた英数字ラベルが設けられてもよい。特定のＰ２Ｐネットワーク２３２に割り当てられたエンティティは、ユーザ・フィールド４４０で識別される。一実施形態では、各Ｐ２Ｐネットワーク２３２は少なくとも２つのエンティティのメンバシップを含む。ユーザおよび／または通信装置は、１つまたは複数のＰ２Ｐネットワーク２３２に割り当てられてもよい。
【００６２】
各Ｐ２Ｐネットワーク２３２は、所与のＰ２Ｐネットワークに一意のＩＤおよび鍵を割り当てられてもよい。Ｐ２ＰネットワークのＩＤはＩＤフィールド４４４に維持することができ、鍵は鍵フィールド４４８に維持することができる。鍵はＰ２Ｐネットワークに一意とすることができ、したがってＰ２Ｐネットワーク内の全てのユーザの間で共有される。鍵は認証鍵および／または暗号化鍵を含むことができる。ユーザおよび／または通信装置が所与のＰ２Ｐネットワーク２３２に割り当てられると、関連付けられた鍵および／またはＩＤを、割り当てられたユーザおよび／または通信装置に送信することができる。次いで、ユーザが別のユーザに接触しようとするときに、送信側ユーザが同一Ｐ２Ｐネットワーク２３２に属していることを、受信側ユーザが検証することができ、かつ通信セッションのためのポリシを確立することができるように、鍵および／またはＩＤは受信側ユーザに送信される。
【００６３】
Ｐ２Ｐネットワーク２３２用の通信ポリシは、ポリシ・フィールド４５２に維持することができる。ポリシ・フィールド４５２に記載されたポリシは、ユーザ中心データ構造４０４のポリシ・フィールド４２８のポリシと同様とすることができる。管理コンソール３０８は、Ｐ２Ｐネットワーク２３２をオーバレイ・ネットワーク２０８内に維持し、かつさらにそのようなＰ２Ｐネットワーク２３２に割り当てられたエンティティを管理するのを助けるように、一方または両方のデータ構造４０４、４３２を利用することができる。データ構造４０４、４３２は、所与のＰ２Ｐネットワーク２３２内の通信装置または他のネットワーク・ノードの間で共有することもできる。
【００６４】
図５は、本発明の少なくとも一部の実施形態に従ってＰ２Ｐネットワーク２３２を形成する方法を示すフローチャートである。該方法は、ＶＰＮオーバレイ・ネットワーク２０８およびより詳しくはＩＰｓｅｃ ＶＰＮネットワークのようなオーバレイ・ネットワーク２０８が、公衆通信ネットワーク２０４上に確立されたときに、開始される。次いでオーバレイ・ネットワーク２０８内のエンティティが識別され、メモリに維持される（ステップ５０４）。
【００６５】
ひとたびＶＰＮオーバレイ・ネットワーク２０８内のエンティティが識別されると、該方法は、これらのエンティティの部分集合を識別することによって続行される（ステップ５０８）。エンティティの識別された部分集合は一般的に、ＶＰＮオーバレイ・ネットワーク２０８に属するエンティティの集合より小さく、したがってＶＰＮオーバレイ・ネットワーク２０８に割り当てられた全てのエンティティを包含するものではない。
【００６６】
エンティティの部分集合の識別に続いて、該方法は、エンティティの部分集合のＰ２Ｐネットワーク２３２を定義することによって続行される（ステップ５１２）。Ｐ２Ｐネットワーク２３２は、ＶＰＮオーバレイ・ネットワーク２０８に関連するセキュリティ上の利点を受け取るために、ＶＰＮオーバレイ・ネットワーク２０８の上に確立される。次いで、エンティティの部分集合は、Ｐ２Ｐネットワーク２３２でピア・ツー・ピア方式で相互に通信することができる。
【００６７】
Ｐ２Ｐネットワーク２３２がＶＰＮオーバレイ・ネットワーク２０８の上に確立された後、管理コンソール３０８はＰ２Ｐネットワーク２３２のポリシを決定する（ステップ５１６）。ポリシは、ユーザ定義する（すなわち、Ｐ２Ｐネットワーク２３２に属する１つまたは複数のエンティティによって定義する）か、システム管理者によって定義するか、かつ／またはＶＰＮオーバレイ・ネットワーク２０８によって確立された特定のベース・ポリシによって定義することができる。決定することのできるポリシの１種として、Ｐ２Ｐネットワーク２３２で通信するために使用することのできる特定のアプリケーションの定義が挙げられる。アプリケーション・ポリシによって許可または抑制される適切な通信アプリケーションの例として、電子メール、ＶｏＩＰ、ＳＭＳテキスト、チャット、インスタント・メッセージング（ＩＭ）、およびビデオのみならず、ＴＣＰ／ＩＰモデルのアプリケーション層で定義されるプロトコル（例えばＤＨＣＰ、ＦＴＰ、ＨＴＴＰ、ＰＯＰ３、ＳＩＰ、ＳＭＴＰ、ＳＳＨ、ＲＣＰ、ＲＴＰ、ＲＴＣＰ、およびＤＮＳ）が挙げられる。このステップで定義されるポリシは、トランスポート層プロトコル（例えばＴＣＰ、ＵＤＰ、ＤＣＣＰ、ＳＣＴＰ、ＧＴＰ等）およびネットワーク層プロトコル（例えばＩＰｖ４、ＩＰｖ６、ＡＲＰ、ＲＡＲＰ、ＩＣＭＰ、ＩＧＭＰ、ＲＳＶＰ、ＩＰｓｅｃ等々）に対する抑制または許可をも確立することができる。Ｐ２Ｐネットワーク２３２に対して決定することのできる他のポリシとして、Ｐ２Ｐネットワーク２３２に属さないエンティティとの通信を規制するポリシが挙げられる。さらに、Ｐ２Ｐネットワーク２３２内のメッセージのみならず、Ｐ２Ｐネットワークの外部に送出されるメッセージのためのルーティング・ポリシも決定することができる。
【００６８】
Ｐ２Ｐネットワーク２３２のためのポリシが決定されると、管理コンソール３０８は、Ｐ２Ｐネットワーク２３２のメンバ・エンティティに対しポリシを施行する（ステップ５２０）。このステップで、管理コンソール３０８は、同一Ｐ２Ｐネットワーク２３２内の２つのエンティティが相互に通信セッションを確立しているときにそれを決定し、エンティティが通信することを可能にするパラメータを定義する。代替的に、Ｐ２Ｐネットワーク２３２に属する各エンティティにポリシ情報を提供することができ、それらが同一Ｐ２Ｐネットワーク２３２に属する別のエンティティと通信していることをそれらが決定したときに、エンティティは自動的にポリシを施行して、Ｐ２Ｐネットワーク２３２と信頼できる一貫した通信を確立するのを助ける。
【００６９】
今、図６を参照しながら、Ｐ２Ｐネットワーク２３２内のエンティティの通信を容易にする方法について、本発明の少なくとも一部の実施形態に従って説明する。該方法は、管理コンソール３０８がＰ２Ｐネットワーク２３２で使用するための鍵を決定することから開始される。Ｐ２Ｐネットワーク２３２で使用される鍵は、ネットワーク内の各エンティティに一意とすることができ、あるいは代替的に、ネットワーク自体に一意とすることができる。各エンティティに一意の鍵（例えば暗号化および認証）を利用する実施形態は、同一Ｐ２Ｐネットワーク２３２の全てのエンティティの間で鍵を共有する場合より高レベルのセキュリティを達成することができる。鍵の大きさは、公知の暗号化および認証プロトコルで使用される任意の大きさとすることができる。Ｐ２Ｐネットワーク２３２に対しより高レベルのセキュリティを希望する場合には、比較的高強度の鍵（例えば１２８ビットの鍵）を使用することができる。Ｐ２Ｐネットワーク２３２に対しより低レベルのセキュリティを希望する場合には、低強度の鍵を、または一般ＩＤさえもエンティティに割り当てることができる。
【００７０】
Ｐ２Ｐネットワーク２３２に対して、さらに詳しくはＰ２Ｐネットワーク２３２に属するエンティティに対して鍵が決定された後、鍵はネットワーク内のエンティティに割り当てられる。エンティティへの鍵の割当ては、単に、エンティティ識別子を上記のデータ構造４０４、４３２のどちらかにおける特定の鍵に関連付けることを含む。代替的に、割り当てられた鍵はエンティティに送信し、すぐにアクセスできるようにそこに維持することができる。
【００７１】
鍵がＰ２Ｐネットワーク２３２内のエンティティに送信された場合、該方法は、エンティティがそれらの割当て鍵を受信したときに続行される（ステップ６１２）。使用される送信プロトコルの型は、希望するセキュリティのレベルに依存する。比較的高レベルのセキュリティをＰ２Ｐネットワーク２３２に希望する場合には、鍵は割り当てられたエンティティに送信する前に暗号化することができる。
【００７２】
ひとたびエンティティがそれぞれの鍵を受信すると、または少なくとも鍵がそれらに割り当てられると、該方法は、１つのエンティティが別のエンティティと通信を開始したときに続行される（ステップ６１６）。通信は、別の通信装置によって発呼されたときに、または通信装置もしくはユーザのリストから通信装置もしくはユーザを選択することによって開始される。通信が開始されると、鍵は、受信側エンティティ（すなわち通信セッションを開始した側ではない通信装置）または管理コンソール３０８のいずれか、認証判定の責任を負う方の装置に送信される（ステップ６２０）。
【００７３】
その後、鍵は適切な装置で受信される（ステップ６２４）。一実施形態では、鍵は認証の責任を負う装置に直接送信され、受信される。代替的実施形態では、鍵は最初に受信側通信装置に送信され、それが次に鍵を管理コンソール３０８に転送する。適切な装置が鍵を受信すると、鍵は受信側装置によって解析される（ステップ６２８）。このステップでは、解析は、送信側通信装置のアイデンティティが何であるか、どのようなユーザが送信側通信装置と関連付けられるか、かつ／またはどのようなＰ２Ｐネットワークに送信側通信装置が関連付けられるかを決定することを含んでもよい。鍵の解析は、鍵が送信のために暗号化された場合に特定の解読ステップをも含むだけでなく、単数または複数の鍵がデータ構造４０４、４３２内の既知の鍵または鍵フォーマットに照らして比較される比較ステップをも含んでもよい。
【００７４】
鍵が適切に解析された後、鍵、およびしたがって送信側エンティティが受信側エンティティと同一Ｐ２Ｐネットワーク２３２に属するかどうかが決定される（ステップ６３２）。送信側および受信側エンティティが同一Ｐ２Ｐネットワーク２３２に属する場合には、管理コンソール３０８が、装置間の通信を規制する通信ポリシを決定する（ステップ６３６）。さらに詳しくは、管理コンソール３０８はＰ２Ｐネットワーク２３２のポリシを決定する。言うまでもなく、管理コンソール３０８が各通信装置に常駐する場合、各装置は、通信リンクを確立する前に、Ｐ２Ｐ通信を規制するポリシをすでに知っている。
【００７５】
通信ポリシが決定されると、該方法は、それぞれのエンティティ間の通信セッションを許可することによって続行される（ステップ６４０）。通信セッションを許可することの一部として、セッションのための決定されたポリシが管理コンソール３０８によって、かつ／または通信装置自体によって施行される（ステップ６４４）。
【００７６】
ステップ６３２に戻って説明するが、受信した鍵の解析から、送信側エネルギが同一Ｐ２Ｐネットワークに属さないことが示された場合、該方法は、Ｐ２Ｐネットワーク２３２の外部の通信が許可されるかどうかを決定することによって続行される（ステップ６４８）。特定のＰ２Ｐネットワーク２３２のエンティティがＰ２Ｐネットワーク２３２に属さない他のエンティティと通信できない場合、エンティティ間の通信は抑制され、通信リンクは切断される（ステップ６５２）。
【００７７】
他方、Ｐ２Ｐネットワーク２３２の外部のエンティティとの通信が許可される場合、該方法は、Ｐ２Ｐネットワーク２３２の外部の通信を含むセッションのための通信ポリシを決定することによって続行される（ステップ６５６）。Ｐ２Ｐネットワーク２３２の外部の通信を規制するポリシは、Ｐ２Ｐネットワーク２３２内の通信を規制するポリシとは異なってもよい。例えば、Ｐ２Ｐネットワーク２３２内では、Ｐ２Ｐネットワーク２３２の外部より高レベルのセキュリティを達成することができる。さらに、Ｐ２Ｐネットワークから離れる通信の場合、ルーティング・ポリシが異なってもよい。例えば、通信装置３１２またはサーバ３１６は、Ｐ２Ｐネットワーク２３２内に留まらない、あるいはＰ２Ｐネットワーク２３２から生じたものでない全てメッセージの経路の通過点として指定されてもよい。これは本質的に、同一オーバレイ・ネットワーク２０８に属するエンティティが必ずしも同一のやり方で相互に通信しなくてもよいことを意味する。むしろ、そのような通信の性質は、それぞれのエンティティがＰ２Ｐネットワーク２３２に属しているならば、どのＰ２Ｐネットワーク２３２に属しているかによって異なる。言うまでもなく、通信セッションは依然として、オーバレイ・ネットワーク２０８によって定められたフレームワークおよびポリシを全体として維持する。
【００７８】
ひとたびＰ２Ｐネットワーク２３２外部の通信セッションの許可が確立されると、該方法は、エンティティ間の通信セッションを許可することによって続行される（ステップ６６０）。Ｐ２Ｐネットワーク２３２外部の通信セッションを許可することの一部として、セッションのための決定されたポリシが管理コンソール３０８によって、かつ／または通信装置自体によって施行される（ステップ６４４）。さらに、指定されたルーティング装置を介して通信をルーティングさせるようにポリシから指示される場合、通信セッションは、選択されたルーティング装置を介してメッセージをルーティングすることで続行される（ステップ６６８）。指定ルーティング装置は通常、少なくとも一方のエンティティのＰ２Ｐネットワーク２３２の一部である。さらに、両方のエンティティが異なるＰ２Ｐネットワーク２３２に属する場合、各々が、指定ルーティング装置を介してメッセージをルーティングするように要求されてもよく、その場合、全てのメッセージは２つの予め定められたルーティング装置を介してルーティングされる。
【００７９】
図７は、本発明の少なくとも一部の実施形態に従って使用される例示的パケット構造７００を示す。パケット７００は、ネスト状三重オーバレイとも呼ばれる３層ポリシ法のＰ２Ｐ ＶＰＮの場合、３層に分割することができる。パケット７００は、第１層の第１部分に対応する外側ＩＰトンネル・ヘッダ７０４、第１層の第２部分に対応するＩＰｓｅｃヘッダ７０８、第１層の第３部分に対応する内側ＩＰヘッダ７１２、第２層に対応するＴＣＰ／ＵＦＰヘッダ７１６、および第３層に対応するアプリケーション特定的ヘッダ７２０を含むことができる。パケット７００はまた、パケット・ペイロードを担持するためのペイロード部７２４、およびＩＰｓｅｃトレイラ７２８をも含むことができる。３つの層は独立していてもよく、多くの場合、同時にパケット７００に加えることができる。内側ＩＰヘッダ７１２、ＴＣＰ／ＵＤＰヘッダ７１６、アプリケーション特定的ヘッダ７２０、および／またはペイロード部７２４は、信頼できないネットワークで送信するために暗号化されるパケットの部分を含んでもよい。パケット７００の暗号化された部分は、セキュリティ・ポリシに応じてＶＰＮサーバ３０４に可視または不可視とすることができる。ＶＰＮサーバ３０４がより大きい制御を実施し、自律性の低いＰ２Ｐネットワーク２３２が形成される場合、暗号化部分はハブ・アンド・スポークＰ２Ｐネットワーク２３２に対し可視とされてもよい。より少ない制御およびより大きい自律性がＰ２Ｐネットワーク２３２に与えられる場合、該部分はメッシュＰ２Ｐネットワーク２３２で不可視とされてもよい。
【００８０】
第１層は、オーバレイ・ネットワーク２０８上のＰ２Ｐネットワーク２３２の層３ポリシに対応する。第１層は３つの異なる部分に分割されてもよい。第１層の第１部分は、フル・メッシュ構成では宛先メッシュ・ノードに、またはハブ・アンド・スポーク構成ではＶＰＮサーバ３０４を介して宛先Ｐ２Ｐノードに、トラフィックを案内するために、外側ＩＰトンネル・ヘッダ７０４を使用することができる。したがって、ハブ・アンド・スポーク構成では、パケット７００は、パケットの上で宛先を記述する追加の外側ＩＰヘッダ（図示せず）を含むことができる。いずれの構成でも、外側ＩＰトンネル・ヘッダ７０４はＱｏＳ情報を担持することができる。外側ＩＰトンネル・ヘッダ７０４の情報は、宛先に基づく宛先制御のため、およびルーティングの決定のためにも使用することができる。ＩＰｓｅｃヘッダ７０８によって表わされる第１層の第２部分は主として、セキュリティ・ポリシ施行情報を担持するために使用することができる。内側ＩＰヘッダ７１２によって表わされる第１層の第３部分は、追加施行情報のみならず、ハブ・アンド・スポーク構成に対するＶＰＮサーバ３０４による制御に関するデータをも担持するために使用することができる。内側Ｉｐヘッダ７１２内の情報は、最終宛先のＱｏＳポリシをも変更させてもよい。
【００８１】
第２層は、オーバレイ・ネットワーク２０８上のＰ２Ｐネットワーク２３２のための層４ポリシに対応する。第２層はＴＣＰ／ＵＤＰヘッダ７１６を利用して、トランスポート層でアプリケーション・プロトコルを区別するための情報を格納するＴＣＰ／ＵＤＰヘッダ７１６を用いて、強いアクセス制御を適用することもできる。これらのアクセス制御はＶＰＮポリシの柔軟性によって左右される。例えば、アクセス制御ポリシは、ＶＰＮの構成がエンド・ツー・エンドであるか、それともハブをベースとするかによって、かつ暗号化が施行されるか否かによって変化する。
【００８２】
第３層はアプリケーション・ポリシに対応し、アプリケーション特定的ヘッダ７２０を利用してアプリケーション特定的情報を格納する。例えば、アプリケーション特定的ヘッダ７２０は、ＳＩＰ Ｐ２Ｐノード・ユーザが、ＳＩＰインスタント・メッセージおよび他のＳＩＰをベースとする機能を遮断しながら、ＳＩＰ呼を発信することができるか否かを決定するために使用することができる。これは、アプリケーションおよびそれによって使用されるＳＩＰプロトコルに特定的な機能ポリシである。情報は、ＱｏＳポリシの一部としてどのコーデックを使用することができるか、およびどの帯域幅を使用することができるかを決定するために使用することもできる。それはまた、ＴＬＳ暗号化信号およびＳＲＴＰ暗号化メディアをペイロード部７２４でトランスポートすることができるかどうかをも制御することができる。アプリケーション特定的ヘッダ７２０はまた、特定の呼をルーティング・ポリシの１例として企業のボイスメールにリダイレクトすべきであるかどうかを決定する情報をも含むことができる。
【００８３】
上述の通り、３層ネスト状オーバレイでは、Ｐ２Ｐネットワーク・オーバレイは、ＩＰｓｅｃ ＶＰＮ構成（例えばメッシュまたはハブ・アンド・スポーク構成）によって定義されるベースＩＰ層（すなわち第１層）に実現することができる。第１層にはさらに、ＴＣＰ／ＵＤＰトランスポート層つまり第２層を重ねることができる。第２層は、ポート番号およびプロトコル（例えばＴＣＰ、ＵＤＰ、またはＩＣＭＰ）を使用することによって、Ｐ２Ｐネットワークで使用される異なるプロトコル（例えばＳＩＰ、ＳＭＴＰ、ＨＴＴＰ、ＦＴＰ、テルネット等）を区別する。これらの層には両方とも、アプリケーション・レベルのアウェアネスを定義する第３層を重ねることができる。第３層は、ハブ・アンド・スポーク構成ではアプリケーション層ゲートウェイまたはモジュールを介して、またはフル・メッシュ構成の場合はＰ２Ｐノードで分散アプリケーション・ポリシ構成によって、ＶＰＮサーバ３０４の論理を定義することができる。構成時間の関与を除き、管理サーバ３３２および企業インフラストラクチャの残部（例えば第２通信ネットワーク３２８に接続された装置）は、Ｐ２Ｐ ＶＰＮをその自律インパルスおよびトポロジに基づく制御に任す。
【００８４】
上述したフローチャートを事象の特定の順序に関連して説明したが、本発明の動作に実質的に影響を及ぼすことなく、この順序を変化させることができることを理解されたい。加えて、事象の正確な順序は、例示的実施形態で記載した通りに発生する必要は無い。本書に示す例示的技術は、具体的に例証した実施形態に限定されず、他の例示的実施形態と共に利用することもでき、記載した各特徴は個別にかつ別々に請求可能である。
【００８５】
本発明のシステム、方法、およびプロトコルは、記載した通信機器、プログラムされたマイクロプロセッサもしくはマイクロコントローラおよび周辺集積回路素子、ＡＳＩＣまたは他の集積回路、デジタル信号プロセッサ、離散素子回路のようなハードワイヤード電子もしくは論理回路、ＰＬＤ、ＰＬＡ、ＦＰＧＡ、ＰＡＬのようなプログラム可能な論理デバイス、電話機のような通信装置、いずれかの匹敵する手段などに加えて、またはその代わりに、専用コンピュータ上に実現することができる。一般的に、本書で例証した方法論を実現することのできる状態機械を実現することのできる任意の装置を使用して、本発明に係る様々な通信方法、プロトコル、および技術を実現することができる。
【００８６】
さらに、開示した方法は、様々なコンピュータまたはワークステーション・プラットフォームで使用することのできる移植可能なソースコードを提供する、オブジェクトまたはオブジェクト指向ソフトウェア開発環境を使用してソフトウェアで容易に実現することができる。代替的に、開始したシステムは、標準論理回路またはＶＬＳＩ設計を使用して、部分的にまたは完全にハードウェアで実現することができる。ソフトウェアまたはハードウェアのいずれを使用して本発明に係るシステムを実現するかは、システムの速度および／または効率要件、特定の機能、および利用される特定のソフトウェアもしくはハードウェア・システムまたはマイクロプロセッサもしくはマイクロコンピュータ・システムに依存する。本書で例証した通信システム、方法、およびプロトコルは、本書に提示した機能的説明から、かつコンピュータおよび通信技術の一般的な基礎知識により、該当する技術分野の通常の熟練者によって、いずれかの公知または後で開発されるシステムもしくは構造、装置、および／またはソフトウェアを用いることによって、ハードウェア、および／またはソフトウェアで容易に実現することができる。
【００８７】
さらに、開示した方法は、記憶媒体に格納し、かつコントローラおよびメモリと協働してプログラムされた汎用コンピュータ上で、専用コンピュータ上、マイクロプロセッサ上などで実行することのできるソフトウェアで容易に実現することができる。これらの場合、本発明のシステムおよび方法は、パーソナル・コンピュータ上に埋め込まれたアプレット、ＪＡＶＡ（登録商標）またはＣＧＩスクリプトのようなプログラムとして、サーバまたはコンピュータ・ワークステーションに常駐するリソースとして、専用通信システムまたはシステム構成要素に埋め込まれたルーチンなどとして実現することができる。システムはまた、システムおよび／または方法を、通信装置またはシステムのハードウェアおよびソフトウェア・システムのようなソフトウェアおよび／またはハードウェア・システムに、物理的に組み込むことによって実現することもできる。
【００８８】
したがって、Ｐ２Ｐネットワークを提供するためのシステム、装置、および方法が本発明に従って提供されたことは明白である。本発明を多数の実施形態に関連して説明したが、該当する技術分野の通常の熟練者にとって、多くの代替物、変形、および変化が明白になることは明らかである。したがって、本発明の精神および範囲内の全てのそのような代替物、変形、均等物、および変化を包含するつもりである。
【図面の簡単な説明】
【００８９】
【図１】先行技術の実施形態に係るＶＰＮシステムを示すブロック図である。
【図２】本発明の実施形態に係るオーバレイ・ネットワーク上のＰ２Ｐネットワークによる通信システムを示すブロック図である。
【図３Ａ】本発明の実施形態に係るＰ２Ｐネットワークの可能な構成を示すブロック図である。
【図３Ｂ】本発明の実施形態に係るハブ・アンド・スポークＰ２Ｐネットワークの詳細を示すブロック図である。
【図３Ｃ】本発明の実施形態に係るフル・メッシュＰ２Ｐネットワークの詳細を示すブロック図である。
【図４Ａ】本発明の実施形態に従って使用される第１の可能なデータ構造を示す図表である。
【図４Ｂ】本発明の実施形態に従って使用される第２の可能なデータ構造を示す図表である。
【図５】本発明の実施形態に従ってＰ２Ｐネットワークを形成する方法を示す流れ図である。
【図６】本発明の実施形態に従ってＰ２Ｐネットワークでの装置の通信を容易にする方法を示す流れ図である。
【図７】本発明の実施形態に従って使用されるパケット構造を示すブロック図である。
【技術分野】
【０００１】
本発明は、一般的に通信システムおよびネットワークに関する。さらに詳しくは、本発明はピア・ツー・ピア・ネットワークおよび仮想プライベート・ネットワークに関する。
【背景技術】
【０００２】
今日の世界経済において、多州および多国籍企業は普通である。そのような事業が効率的に働くには、安全確実な社内通信チャネルが極めて重要である。最近まで、統合サービスデジタル通信網（ＩＳＤＮ）からＯＣ３（オプチカル・キャリア３）ファイバまでの範囲に及ぶ専用線が使用されてきた。インターネットは、仮想プライベート・ネットワーク（ＶＰＮ）として知られる新しい、より安価な社内通信モダリティのためのフレームワークをもたらした。
【０００３】
ＶＰＮは基本的に、公衆ネットワーク（例えばインターネット）を使用してリモート・サイトまたはユーザを一緒に接続するプライベート・ネットワークである。専用の接続を使用する専用線とは異なり、ＶＰＮは、企業のプライベート・ネットワークまたは中央サイトから従業員のリモート・サイトまでインターネットをルーティングまたはトンネリングする「仮想」接続を使用する。「トンネル」は、２つの接続間のブラインド・リレーとして働く仲介プログラムである。トンネルは、インターネット・セキュリティ・プロトコル（ＩＰｓｅｃ）、ポイント・ツー・ポイント・トンネリング・プロトコルすなわちＰＰＴＰ、およびレイヤ２トンネリング・プロトコル（Ｌ２ＴＰ）をはじめ、任意の数のプロトコルによって定義されるように形成することができる。
【０００４】
在宅勤務者まで拡張された暗号化ＶＰＮには、主に２つのタイプがある。すなわち、ＩＰｓｅｃ ＶＰＮおよびセキュア・ソケット層／トランスポート層セキュリティ（ＳＳＬ／ＴＬＳ）ＶＰＮである。ＩＰｓｅｃ ＶＰＮは、コーポレート・サーバと専用ハードウェアまたはソフトウェア・クライアントとの間を接続する。そのようなＶＰＮはＴＣＰまたはＵＤＰトラフィックをサポートしており、ＧＲＥ（ジェネリック・ルーティング・カプセル化）を介して他のトラフィック型をサポートするように拡張することができる。ＳＳＬ ＶＰＮは、クライアントが汎用ウェブ・ブラウザを使用して企業のＶＰＮサーバに接続することを可能にする。それらはＴＣＰトラフィックだけをサポートするので、ＩＰｓｅｃ ＶＰＮより機能性が限定される。
【０００５】
典型的なＶＰＮセッションを行なうためのプロセスを、図１に関連して説明する。中央サイト１００はファイヤウォール１０４、メイン・オフィスＬＡＮ １０８、およびＶＰＮサーバ１１２（ＩＰｓｅｃまたはＳＳＬ ＶＰＮサーバのような）を含む。リモート・サイト１１６はファイヤウォール１２０、ＶＰＮクライアント１２４、およびリモート・オフィスＬＡＮ １２８を含む。２つのＬＡＮ １０８および１２８は、信頼できないネットワーク１３２（インターネットのような）によって相互接続される。
【０００６】
ＶＰＮサーバ１１２はメイン・オフィスＬＡＮ １０８に別個に接続されるように図示されているが、ＶＰＮサーバ１１２はメイン・オフィスＬＡＮ １０８とファイヤウォール１０４との間に存在することもある。代替的に、ＶＰＮサーバ１１２はファイヤウォール１０４に組み込まれてもよい。
【０００７】
トンネリングは、リモート通信装置と中央サイトとの間で安全確実な通信を行なうために、ＶＰＮクライアント１２４およびサーバ１１２によって使用される。トンネリングは、パケット全体を別のパケット内に入れ、カプセル化されたパケットを信頼できないネットワーク１３２で送信する。トンネリングには３つの異なるプロトコルが要求される。すなわち、信頼できないネットワークによって規定されるプロトコル（例えばＩＰ）、カプセル化プロトコル（ジェネリック・ルーティング・カプセル化つまりＧＲＥ、ＩＰセキュリティ・プロトコルつまりＩＰｓｅｃ、レイヤ２転送つまりＬ２Ｆプロトコル、ポイント・ツー・ポイント・トンネリング・プロトコルつまりＩＰｓｅｃ、レイヤ２トンネリング・プロトコルつまりＬ２ＴＰ、セキュア・ソケット層（ＳＳＬ）、トランスポート層セキュリティＴＬＳ、レイヤ３など）、および搬送されるオリジナル・データによって規定されるパッセンジャ・プロトコル（ＩＰＸ、ＮｅｔＢｅｕｉ、ＩＰ、およびボイス・オーバＩＰつまりＶｏＩＰプロトコル）である。例えばＩＰｓｅｃでは、ＩＰパケットは暗号化され、別のＩＰヘッダ内にカプセル化される。
【０００８】
ＶＰＮの形成は、セキュア・メイン・オフィスＬＡＮ １０８とリモート・オフィスＬＡＮ １１６との間に安全確実な通信チャネルを確立するのに役立つ。現在のＶＰＮの１つの弱点は、それらが安全確実な通信を容易化するために、ＶＰＮサーバ１１２に頼っていることである。したがって、帯域幅のような通信処理能力が、ＶＰＮサーバ１１２の能力によって決定され、かつ限定される。他方、ピア・ツー・ピア（Ｐ２Ｐ）ネットワークは主として、比較的少数のサーバにそれを集中させるというよりむしろ、ネットワークの参加者のコンピュータ能力および帯域幅に頼っている。Ｐ２Ｐネットワークは、ユーザがファイルならびに他の実時間および非実時間データまたは通信を共有することを希望する場合に有用である。
【０００９】
現在のインターネットをベースとするＰ２Ｐネットワークの例として、Ｓｋｙｐｅ、Ｎｉｍｃａｔ、ヤフー・インスタント・メッセンジャーなどが挙げられる。そのようなＰ２Ｐネットワークは比較的単純な直接接続ネットワークであり、発呼者および／または被呼者がネットワーク・アドレス変換（ＮＡＴ）装置の背後に隠れて動作するときに、またはインターネット・ベースの非ＮＡＴ仲介に依存するときに接続性について解決するために、ＳＴＵＮ、ＩＣＥ、ＴＵＲＮなどのような調停サーバを必要とする場合があることを無視している。そのようなＰ２Ｐネットワークは、オーバレイ・トポロジに頼らずに動作する。むしろ、ほとんどのＰ２Ｐネットワークは、通信ネットワークで相互に通信する任意の２つのエンティティのようである。さらに、Ｐ２Ｐ参加者のグループ化は現在、クライアント・ルールによって駆動されない。むしろ、Ｐ２Ｐ参加者のグループ化は従来、プレゼンスおよび他のポリシに対し中央サーバによって促進される通り、ルールに基づくグループ化またはコミュニティに基づいている。これは、Ｐ２Ｐネットワークのコントロールをクライアントから奪い取る。換言すると、現在のＰ２Ｐネットワークは今のところ、ネットワークの残部から完全には自律的でないが、そのようなネットワークは処理タスクを分散することができる。
【００１０】
ＶＰＮをＰ２Ｐネットワークと結合することが示唆されてきた。例えば、「ＥＬＡ：Ａ Ｆｕｌｌｙ Ｄｉｓｔｒｉｂｕｔｅｄ ＶＰＮ Ｓｙｓｔｅｍ ｏｖｅｒ Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ Ｎｅｔｗｏｒｋ」と称するＡｏｙａｇｉらのＩＥＥＥ論文には、Ｐ２Ｐネットワーク上の完全分散ＶＰＮシステムが提案されており、その内容全体をこの言及によって本書に援用する。Ｐ２Ｐネットワーク上の完全分散ＶＰＮシステムはその中で、どこでもローカル・エリア（ＥＬＡ）ネットワークと呼ばれている。ＥＬＡネットワークは、サーバ無しでグループのノード間にＶＰＮ用のプライベート・オーバレイ・ネットワークを確立することを可能にする。これは、ＶＰＮサーバのユーザ無しにＶＰＮシステムを構築することを可能にし、それによって、ＶＰＮサーバに内在する処理上の障害および単一点障害が緩和される。この特定の論文は、従来のＶＰＮに内在する処理上の問題を分散するのに役立つが、該論文は、従来独立型または自律的ではないＰ２Ｐネットワークに関連する問題に対処していない。
【非特許文献１】Ａｏｙａｇｉら「ＥＬＡ：Ａ Ｆｕｌｌｙ Ｄｉｓｔｒｉｂｕｔｅｄ ＶＰＮ Ｓｙｓｔｅｍ ｏｖｅｒ Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ Ｎｅｔｗｏｒｋ」
【発明の開示】
【発明が解決しようとする課題】
【００１１】
これらおよび他の必要性は、本発明の様々な実施形態および構成によって対処される。本発明は一般的に、ＶＰＮ上のＰ２Ｐネットワークのオーバレイを容易にするシステム、装置、および方法に向けられる。
【課題を解決するための手段】
【００１２】
本発明の一実施形態では、
第１組の通信装置用のオーバレイ・ネットワークを提供すること、および
オーバレイ・ネットワーク上に第２組の通信装置用のピア・ツー・ピア・ネットワークを定義すること、
を一般的に含む方法を提供する。
【００１３】
オーバレイ・ネットワークは、既存の公衆または専用通信ネットワークの上に確立することができる。一実施形態では、オーバレイ・ネットワークは、インターネットのような公衆通信ネットワークの上に確立されたＶＰＮオーバレイ・ネットワークを含む。
【００１４】
オーバレイ・ネットワーク上のＰ２Ｐネットワークの確立は、Ｐ２Ｐネットワークのメンバが相互に、クライアント・ルール駆動構成の下で完全に自律的なＰ２Ｐ通信を享受することを可能にする。従来のＰ２Ｐネットワークはアプリケーション層のみで通信ポリシを調整してきたが、本発明の一実施形態では、開放型システム間相互接続（ＯＳＩ）モデルまたは伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）モデルのアプリケーション層、トランスポート層、およびネットワーク層で通信を制御および調整する通信ポリシを、Ｐ２Ｐネットワークに対して定義することができる。Ｐ２Ｐネットワークの自律性は、Ｐ２Ｐネットワーク内に安全確実な通信を確立することのできるカスタマイズされたＰ２Ｐネットワークを形成するのに有用である。さらに、Ｐ２Ｐネットワークはオーバレイ・ネットワーク上に確立されるので、Ｐ２Ｐネットワークは必然的に、オーバレイ・ネットワークに関連する境界線およびセキュリティ・ポリシを受け継ぐ。一実施形態では、かなりの程度のインフラストラクチャ依存性（例えば最小限、オーバレイ・ネットワークのＤＮＳおよびＤＨＣＰに対する依存性）が存在するが、アプリケーション層では、Ｐ２Ｐネットワークの純粋な自律性が利用可能である。
【００１５】
本発明の別の態様は、オーバレイ・ネットワーク上のＰ２Ｐネットワークの形成を容易にする装置を提供することである。本発明の一実施形態では、該装置は、オーバレイ・ネットワーク上のＰ２Ｐネットワークを定義するように適応された管理コンソールを備え、ここでＰ２Ｐネットワークはオーバレイ・ネットワークに属する第１組のユーザ内に第２組のユーザを含む。
【００１６】
オーバレイ・ネットワーク上にＰ２Ｐネットワークを形成することにより、これまで実現されなかったＰ２Ｐネットワークの自律性が達成可能である。したがって、セキュリティ、選択的制御、および認証（例えばオーバレイ・ネットワークの可変長および可変制御リーシュ）をＰ２Ｐネットワークに使用することが可能である。つまり、Ｐ２Ｐは、そのポリシを、それが頼っているインフラストラクチャとは別個に定義することができる程度に、自律的である。
【００１７】
本書で使用する場合、「ユーザ」は、通信装置を利用かつ／または通信装置と対話することのできる任意の人間または物を指すのに使用される。
【００１８】
これらおよび他の利点は、本書に含まれる本発明の開示から明らかになるであろう。上記の実施形態および構成は完全でも包括的でもない。理解される通り、上述した特徴、または以下で詳述する特徴の１つまたは複数を単独で、または組み合わせて利用する、本発明の他の実施形態が可能である。
【００１９】
本書で使用する場合、「少なくとも１つ」、「１つまたは複数」および「および／または」は、接続的でも離接的でもある、範囲が制限されていない表現である。例えば、「Ａ、Ｂ、およびＣの少なくとも１つ」、「Ａ、Ｂ、またはＣの少なくとも１つ」、「Ａ、Ｂ、およびＣの１つまたは複数」、「Ａ、Ｂ、またはＣの１つまたは複数」、および「Ａ、Ｂ、および／またはＣ」は各々、Ａのみ、Ｂのみ、Ｃのみ、ＡおよびＢの両方、ＡおよびＣ共に、ＢおよびＣ共に、またはＡ、Ｂ、およびＣ共に、を意味する。
【発明を実施するための最良の形態】
【００２０】
本発明を以下で、例示的通信システムに関連して説明する。本発明は、例えばサーバおよび／またはデータベースを使用するシステムに使用するのによく適しているが、いずれかの特定の型の通信システムまたはシステム要素の構成との使用に限定されない。開示する技術は、Ｐ２Ｐネットワークを形成することが望ましいどんな通信用途にも使用することができることを、当業者は理解されるであろう。
【００２１】
本発明の例示的システムおよび方法について、ＩＰ通信ソフトウェア、モジュール、および関連通信ハードウェアに関連しても説明する。しかし、本発明を不必要に曖昧にすることを回避するために、以下の説明は、ブロック図の形で示すことができ、周知であり、またはその他の方法で要約される周知の構造、ネットワーク構成要素、および装置については省略する。
【００２２】
説明を目的として、本発明の完全な理解をもたらすために、多数の詳細を記載する。しかし、本発明は、本書に記載する特定の詳細を越える多種多様なやり方で実施することができることを理解されたい。
【００２３】
さらに、本書に示す例示的実施形態は一所に配置されたシステムの様々な構成要素を示すが、システムの様々な構成要素は、通信ネットワークおよび／またはインターネットのような分散ネットワークの離れた部分に、もしくは専用の安全確実なシステム、安全確実でないシステム、ならびに／もしくは暗号化システム内に配置することができることを理解されたい。したがって、システムの構成要素は、企業サーバ、ＰＢＸのような１つまたは複数の装置に組み込むことができ、もしくはアナログおよび／またはデジタル通信ネットワークのような分散ネットワークの特定のノードに一所に配置することができることを理解されたい。以下の説明から、かつ計算効率から理解される通り、システムの構成要素は、システムの動作に影響することなく、分散ネットワーク内の任意の位置に配設することができる。例えば、様々な構成要素を放送ヘッド・エンド・サーバ、１つまたは複数のユーザの構内、またはそれらの何らかの組合せに配置することができる。同様に、システムの１つまたは複数の機能部をサーバ、ゲートウェイ、ＰＢＸ、および／または関連通信装置の間で分散することができる。
【００２４】
最初に図２を参照しながら、本発明の少なくとも一部の実施形態に係る通信システム２００について説明する。通信システム２００は一般的に、インターネットのような公衆つまり信頼できない通信ネットワーク２０４、オーバレイ・ネットワーク２０８、および回線交換ネットワーク２１２を含む。オーバレイ・ネットワーク２０８は、公衆通信ネットワーク２０４上で動作するプライベート・ネットワークを含んでもよい。本発明の一実施形態では、オーバレイ・ネットワーク２０８はＶＰＮネットワークを含む。言うまでもなく、オーバレイ・ネットワーク２０８は、Ｍｂｏｎｅ、Ａｂｏｎｅ、または６ｂｏｎｅオーバレイ・ネットワークのような、公衆通信ネットワーク上で動作する他の型の通信ネットワークを含んでもよい。オーバレイ・ネットワーク２０８はまた、当業界で公知の他の型の企業ネットワークをも含んでもよい。
【００２５】
オーバレイ・ネットワーク２０８はトンネルを用いて、公衆通信ネットワーク２０４上に仮想ネットワークを形成する。ＶＰＮオーバレイ・ネットワーク２０８のユーザには、企業サーバへのアクセス、企業イントラネットへのアクセスなどのようなプライベート・ネットワークの利点がもたらされる一方、ＶＰＮオーバレイ・ネットワーク２０８を維持する企業は、公衆通信ネットワーク２０４の上にオーバレイ・ネットワークを管理することによってもたらされる低運用コストから利益を得る。ＶＰＮオーバレイ・ネットワーク２０８の異なるノードを、共通サーバに接続することができ（すなわち、ハブ・アンド・スポーク構成）、または分散的に異なるサーバに接続することができる（すなわちメッシュ構成）。適切なＶＰＮオーバレイ・ネットワーク２０８の例として、ＩＰｓｅｃ ＶＰＮ、ＳＳＬ／ＴＬＳ ＶＰＮ、オープンＶＰＮ、ポイント・ツー・ポイント・トンネリング・プロトコル（ＰＰＴＰ）ＶＰＮ、レイヤ２トンネリング・プロトコル（Ｌ２ＴＰ）ＶＰＮ、Ｐ２ＴＰバージョン３ＶＰＮ、マルチプロトコル・ラベル・スイッチング（ＭＰＬＳ）ＶＰＮ、レイヤ２転送（Ｌ２Ｆ）ＶＰＮ、レイヤ３ＶＰＮ、またはいずれかの他の型の公知のＩＰベースのＶＰＮがあるが、それらに限定されない。
【００２６】
本発明の少なくとも１つの実施形態では、オーバレイ・ネットワーク２０８は、その中に定義された少なくとも１つのＰ２Ｐネットワーク２３２を含む。さらに詳しくは、Ｐ２Ｐネットワーク２３２はオーバレイ・ネットワーク２０８の上に確立される。これは、アプリケーション層だけではなく、トランスポート層およびネットワーク層でも完全に自律的なＰ２Ｐネットワーク２３２の実現を可能にする。これは、島状のＩＰ通信装置がＰ２Ｐと通信することを可能にする一方で、Ｐ２Ｐネットワーク２３２が各層のユーザ定義パラメータ（すなわちネットワーク、トランスポート、およびアプリケーション・レベルのユーザ・アクセス制御または企業リーシュ）を持つことを可能にする。Ｐ２Ｐネットワーク２３２はまた、オーバレイ・ネットワーク２０８のセキュリティ機能を受け継ぐ。オーバレイ・ネットワーク２０８内にＰ２Ｐネットワーク２３２を形成することで、異なるセキュリティ・ポリシを持つことを希望し、あるいはＰ２Ｐネットワーク２３２のメンバ間の高品質通信を確実にすることを希望する、ユーザおよび／または通信装置（すなわちエンティティ）の自律したコミュニティの形成が可能になる。
【００２７】
例として、Ｐ２Ｐネットワーク２３２は、ＶＰＮで特定用途向けトランスポート・セレクタを適用することによって、ＩＰｓｅｃ ＶＰＮオーバレイ・ネットワーク２０８の上に定義することができる。特定用途向けトランスポート・セレクタは、Ｐ２Ｐネットワーク２３２の全メンバに適用されるＰ２Ｐネットワーク２３２用の通信ポリシを確立することができる。一実施形態では、Ｐ２Ｐネットワーク２３２用のポリシは、ＶＰＮオーバレイ・ネットワーク２０８に属するが、Ｐ２Ｐネットワーク２３２には属さない、他の通信装置の通信ポリシとは異なる。
【００２８】
オーバレイ・ネットワーク２０８は、ファイヤウォール２１６または同様の型のセキュリティ装置を介して、公衆通信ネットワーク２０４に接続することができる。ファイヤウォール２１６は、オーバレイ・ネットワーク２０８内のセキュリティを維持しながら、公衆通信ネットワーク２０４の上にオーバレイ・ネットワーク２０８を確立することを助ける。ファイヤウォール２１６は、多数の異なる通信装置を接続するための多数の異なるＮＡＴ型をサポートし、ネットワーク外の通信装置からのオーバレイ・ネットワーク２０８の侵入を検知し、ウィルスの脅威が無いか検査し、オーバレイ・ネットワーク２０８の容易化に関連する他の機能を実行するように適応させることができる。
【００２９】
公衆通信ネットワーク２０４およびオーバレイ・ネットワーク２０８は、ＯＳＩモデルまたはＴＣＰ／ＩＰモデルのネットワーク層で動作する、インターネット・プロトコル（ＩＰ）通信のような、パケットをベースとする通信および通信プロトコルをサポートする能力によって特徴付けられる。公衆通信ネットワーク２０４およびオーバレイ・ネットワーク２０８は、ゲートウェイ２２０を介して、回線交換ネットワーク２１２のような、パケットをベースとしないネットワークと通信するように適応されてもよい。回線交換ネットワーク２１２は、１つのエンド・ポイントから別のエンド・ポイントへのアナログおよび／またはデジタル通信信号の送信をサポートすることができる。アナログおよび／またはデジタル信号からパケットをベースとする信号へのメッセージの変換は、ゲートウェイ２２０によって達成される。ゲートウェイ２２０はまた、パケットをベースとする信号からアナログおよび／またはデジタル信号への変換をもサポートすることができる。したがって、パケットをベースとする通信装置２２４は、ゲートウェイ２２０を介して、それぞれの通信ネットワークを通してアナログ通信装置２２８と通信することができてもよい。さらに、オーバレイ・ネットワーク２０８および／またはオーバレイ・ネットワーク２０８内のＰ２Ｐネットワークに属するパケットをベースとする通信装置はまた、アナログ通信装置２２８と通信することを可能としてもよい。
【００３０】
図３Ａは、本発明の少なくとも一部の実施形態に係る例示的ＶＰＮオーバレイ・ネットワーク２０８を示す。ＶＰＮオーバレイ・ネットワーク２２８は、３つの異なるＰ２Ｐネットワーク２３２ａ〜ｃを含むように示されている。ＶＰＮオーバレイ・ネットワーク２０８に３つのＰ２Ｐネットワーク２３２が示されているが、より多数またはより少数のＰ２Ｐネットワーク２３２を、ＶＰＮオーバレイ・ネットワーク２０８またはいずれかの他の型のオーバレイ・ネットワーク２０８上に確立することができることを、当業者は理解されるであろう。本発明の一実施形態では、ＶＰＮオーバレイ・ネットワーク２０８はＶＰＮサーバ３０４または同様の型のヘッド・エンドを含む。ＶＰＮサーバ３０４は、様々なＰ２Ｐネットワーク２３２と、Ｐ２Ｐネットワークに割り当てられていない他の通信装置３２０との間に接続を提供することができる。一実施形態では、ＶＰＮオーバレイ・ネットワーク２０８は、ハブ・アンド・スポーク構成、つまりＶＰＮサーバ３０４がＳＩＰアプリケーションに感応する透過的トランスポートおよびルータとして働くトポロジに構成することができる。ハブ・アンド・スポーク・トポロジでは、ＶＰＮオーバレイ・ネットワーク２０８に属する通信装置間の通信、および／またはＰ２Ｐネットワーク２３２間の通信は、ＶＰＮサーバ３０４を通してルーティングされる。各Ｐ２Ｐネットワーク２３２は、Ｐ２Ｐネットワーク２３２に対して設定されたポリシに応じて、ＶＰＮサーバ３０４に対して異なる従属性を有することができる。
【００３１】
代替的実施形態では、ＶＰＮオーバレイ・ネットワーク２０８は、メッシュ・トポロジに構成されることができ、その場合、ＶＰＮオーバレイ・ネットワーク２０８の各通信装置は、ＶＰＮサーバ３０４を使用することなく、他の通信装置と直接通信する。したがって、ＶＰＮオーバレイ・ネットワーク２０８がメッシュ構成である場合、異なるＰ２Ｐネットワーク２３２が相互に直接通信することができる。ハブ・アンド・スポークおよびメッシュ型構成では、ＶＰＮオーバレイ・ネットワーク２０８を管理する企業は、ＶＰＮサーバ３０４でＩＰフローのきめ細かいトラフィック・アクセス制御を選択することができる。換言すると、ＩＰトラフィックのルーティングは、伝送されるメッセージに応じて、ＶＰＮサーバ３０４を通過してもよく、必ずしも通過しなくてもよい。
【００３２】
本発明の実施形態では、ＶＰＮサーバ３０４に管理コンソール３０８を設けることができる。管理コンソール３０８は、定義されたＶＰＮオーバレイ・ネットワーク２０８またはいずれかの他の型のオーバレイ・ネットワーク２０８に基づき、制約付きＰ２Ｐネットワーク２３２を定義するように適応されることができる。換言すると、管理コンソール３０８は、Ｐ２Ｐコミュニティ内でどんなエンティティが通信することができるかの境界線を定義することができる。管理コンソール３０８はまた、所与のＰ２Ｐネットワーク２３２内のエンティティのポリシを定義してもよい。これは、カスタマイズされたセキュリティ機能を形成し、かつ／またはＰ２Ｐネットワーク２３２のメンバ間のより信頼できる通信を確実にするのを助ける。管理コンソール３０８はまた、様々なＰ２Ｐネットワーク２３２のメンバシップを維持し、かつ施行することができる。図３で分かるように、Ｐ２Ｐネットワーク２３２は一般的に、ＶＰＮオーバレイ・ネットワーク２０８内の全ての通信装置より少数の装置のメンバシップを含むが、そのような制限されたメンバシップは必須ではない。管理コンソール３０８は、ＶＰＮオーバレイ・ネットワーク２０８内の通信装置のアイデンティティのみならず、それらのそれぞれのメンバシップをも維持することができる。
【００３３】
一実施形態では、管理コンソール３０８は、Ｐ２Ｐネットワーク２３２に属する通信装置３１２と、Ｐ２Ｐネットワーク２３２に属さない通信装置３２０とを識別し、かつ区別することができる。さらに、管理コンソール３０８は、特定の通信装置３１２および／またはユーザが割り当てられているＰ２Ｐネットワーク２３２のレコードを維持してもよい。例えば、第１組の通信装置３１２、３２０は、ＶＰＮオーバレイ・ネットワーク２０８全体に属してよい。これらの通信装置の第１部分集合は、第１Ｐ２Ｐネットワーク２３２ａに属してよく、これらの通信装置の他の部分集合は、第２Ｐ２Ｐネットワーク２３２ｂおよび第３Ｐ２Ｐネットワーク２３２ｃに属してもよい。本発明の少なくとも一部の実施形態では、通信装置３１２および／またはユーザは、多数の異なるＰ２Ｐネットワーク２３２に属することができるが、そのような実施形態は図３に明示的に示されていない。
【００３４】
管理コンソール３０８は、Ｐ２Ｐネットワーク２３２内の自律的なＰ２Ｐ通信を容易にするために、Ｐ２Ｐネットワーク２３２のメンバシップのレコードを維持してもよい。各Ｐ２Ｐネットワーク２３２は、その能力およびポリシが、通信するために頼っているインフラストラクチャ（すなわちＶＰＮオーバレイ・ネットワーク２０８）とは別個に定義される程度に自律的である。管理コンソール３０８はＰ２Ｐネットワーク２３２の様々な通信装置３１２と通信して、それらが相互に通信する方法に一貫性があることを確実にすることができる。
【００３５】
Ｐ２Ｐネットワーク２３２の構成および相対的自律性は、Ｐ２Ｐネットワーク２３２で使用される通信装置の型によっても変化することがある。第１Ｐ２Ｐネットワーク２３２ａは、第１の可能なＰ２Ｐネットワーク・トポロジの例を提供する。さらに詳しくは、第１Ｐ２Ｐネットワーク２３２ａは、第１Ｐ２Ｐネットワーク２３２ａ内の通信装置３１２を接続するサーバ３１６または同様の専用処理および／もしくはルーティング装置を含む。サーバ３１６は、Ｐ２Ｐネットワーク２３２のポリシを定義しかつ施行するために管理コンソール３０８を装備してもよい。管理コンソール３０８は、メンバ通信装置３１２間のメッセージおよびデータのルーティングを容易にし、それによってハブ・アンド・スポーク型トポロジを形成するように適応されることができる。しかし、サーバ３１６を有する第１Ｐ２Ｐネットワーク２３２ａでは、メッシュ・トポロジも企図することができる。サーバ３１６はまた、第１Ｐ２Ｐネットワーク２３２ａの全ての通信装置３１２が対等に生まれるように、特定レベルの監督を可能にする、第１Ｐ２Ｐネットワーク２３２ａの１種のスーパノードとしても働くことができる。
【００３６】
さらに、第１Ｐ２Ｐネットワーク２３２ａの通信装置３１２は、第１Ｐ２Ｐネットワーク２３２ａに無い通信装置３１２との通信セッション中に、サーバ３１６を通してルーティングされるそれらの着信および発信メッセージを有してもよい。したがって、サーバ３１６は基本的に、ＶＰＮオーバレイ・ネットワーク２０８の残部およびより広い通信システム２００と第１Ｐ２Ｐネットワーク２３２ａ全体のためのルータとして働くことができる。
【００３７】
本書で使用する場合、用語「サーバ」は、ＰＢＸ、企業交換機、企業サーバ、または他の型の電気通信システム交換機もしくはサーバのみならず、他の型のプロセッサをベースとする通信制御装置、例えばメディア・サーバ（すなわち電子メール・サーバ、ボイスメール・サーバ、ウェブ・サーバなど）、コンピュータ、付属物等をも含むことを理解されたい。
【００３８】
管理コンソール３０８はまた、第１Ｐ２Ｐネットワーク２３２ａ内の通信装置３１２間の認証を中央管理してもよい。通信装置３１２間の認証は、通信セッションが行なわれる前に要求されてもよい。認証が中央管理されるＰ２Ｐネットワーク２３２では、接続を確立する前に、鍵が１つの通信装置３１２から別の通信装置に、または管理コンソール３０８に直接渡されてもよい。受け取った鍵は次いで、それがまだ管理コンソール３０８に提供されていなかった場合、それに提供され、そこで認証判定が行なわれる。認証判定は、いずれかの公知の型の対称または非対称プロトコルを用いて行なうことができる。認証が確認された（すなわち、両方の通信装置が同一Ｐ２Ｐネットワーク２３２に属すると判定された）場合、管理コンソール３０８は次いで、通信セッションが許可されることを受信側通信装置３１２に通知する。しかし、Ｐ２Ｐネットワーク２３２のポリシは、通信セッション中も依然として施行されてもよい。認証のステップは、各通信装置３１２に、それが同一Ｐ２Ｐネットワーク２３２の他の通信装置３１２との安全確実な通信セッションに従事していることを確信させるのに役立つ。
【００３９】
代替的実施形態では、通信装置３１２間の分散認証を可能としてもよい。管理コンソール３０８は、鍵および関連通信装置３１２のリストを維持し、該リストを第１Ｐ２Ｐネットワーク２３２の様々な通信装置３１２に提供することができる。これにより、Ｐ２Ｐネットワーク２３２内の全ての通信装置３１２は、通信セッションを開始する前に、別の通信装置３１２と共に内部認証することができるようになる。管理コンソール３０８は適切な通信装置３１２にリストを周期的に提供し、または要求があり次第、リストを供給することができる。代替的に、管理コンソール３０８は、リストが更新されたときにいつでもリストを配布してもよい。
【００４０】
第２Ｐ２Ｐネットワーク２３２ｂは、Ｐ２Ｐネットワーク２３２の第２のトポロジ例を提供する。第２Ｐ２Ｐネットワーク２３２ｂは、より大きいＶＰＮオーバレイ・ネットワーク２０８へのルータとして働き、Ｐ２Ｐネットワーク２３２のポリシを調整および管理し、かつ他の処理タスクを実行する、サーバ３１６を持たない。むしろ、第２Ｐ２Ｐネットワーク２３２ｂは複数の通信装置３１２を含み、そのうちの少なくとも１つは、メッシュ・トポロジで相互接続された管理コンソール３０８を具備するが、第２Ｐ２Ｐネットワーク２３２ｂでハブ・アンド・スポーク・トポロジをサポートしてもよい。
【００４１】
図３に示す第２Ｐ２Ｐネットワーク２３２ｂでは、各通信装置３１２は少なくとも２つの他の通信装置３１２に接続され、結果的にメッシュ・トポロジが形成される。メッシュ・ネットワークは、任意の通信装置３１２を介して通信装置３１２間の通信を容易にする。管理コンソール３０８を含む通信装置３１２はボス型通信装置３１２とみなすことができ、一部の予め定められたトラフィックはそこを通過することができるが、トラフィックの残部は第２Ｐ２Ｐネットワーク２３２ｂのより広いメッシュを通してルーティングされる。この特定のトポロジは、単一サーバ３１６の処理要求のみならず、Ｐ２Ｐネットワーク２３２全体の単一点障害の可能性をも緩和するのに役立つ。第２Ｐ２Ｐネットワーク２３２ｂは、管理コンソール３０８が、ＶＰＮオーバレイ・ネットワーク２０８の通信構造とは独立して、第２Ｐ２Ｐネットワーク２３２ｂに特定的な様々なポリシを定義することができるという点で、第１Ｐ２Ｐネットワーク２３２ａと全く同様に自律的である。
【００４２】
第２Ｐ２Ｐネットワーク３１２に属する通信装置３１２と、該ネットワークに属さない通信装置３１２、３２０との間の通信は、指定された通信装置３１２（すなわち管理コンソール３０８を含む通信装置３１２）を通してルーティングすることができる。したがって、指定された通信装置３１２は、第２Ｐ２Ｐネットワーク２３２ｂの他のＰ２Ｐネットワーク２３２、通信装置３２０、および通信システム２００のいずれかの他の通信装置へのルータとして働く。
【００４３】
第１Ｐ２Ｐネットワーク２３２ａのサーバ３１６および第２Ｐ２Ｐネットワーク２３２ｂの指定された通信装置３１２に含まれる管理コンソール３０８は、自律的に、つまりＶＰＮサーバ３０４の管理コンソール３０８からの支援無く、動作するように適応させることができる。したがって、各Ｐ２Ｐネットワーク２３２は、その対応する管理コンソール３０８によって局所的に管理することができる。代替的実施形態では、Ｐ２Ｐネットワーク２３２の管理責任は、ＶＰＮサーバ３０４の管理コンソール３０８とＰ２Ｐネットワーク２３２に対応する管理コンソール３０８との間で分担することができる。たとえ１つの通信装置３１２だけが、そこに設けられた管理コンソール３０８を有するように図示されていても、ＶＰＮオーバレイ・ネットワーク２０８の各通信装置３１２が管理コンソール３０８を備えることができ、それによってＶＰＮサーバ３０４からの各通信装置３１２の自律性がもたらされることを当業者は理解されるであろう。
【００４４】
第３Ｐ２Ｐネットワーク２３２ｃは、本発明の実施形態に従って使用することのできるＰ２Ｐネットワーク・トポロジの第３例を提供する。第３Ｐ２Ｐネットワーク２３２ｃは、ルータとして働くサーバ３１６を持たず、局所的管理コンソール３０８をも持たない。むしろ、第３Ｐ２Ｐネットワーク２３２ｃはメッシュ・トポロジで相互接続された複数の通信装置３１２を含むが、ハブ・アンド・スポーク・トポロジもサポートすることができる。第３Ｐ２Ｐネットワーク２３２ｃの通信装置３１２は基本的に同一能力を含み、同様に動作することができる。第３Ｐ２Ｐネットワーク２３２ｃの各通信装置３１２は、指定された通信装置３１２を通してメッセージおよびデータをルーティングする代わりに、外部通信装置と通信することができる。
【００４５】
各Ｐ２Ｐネットワーク２３２は、Ｐ２Ｐネットワーク２３２内の通信のために施行される第１組のポリシ、およびＰ２Ｐネットワーク２３２の外の通信のために施行される第２の異なる組のポリシを持つことができる。Ｐ２Ｐネットワーク２３２の各通信装置３１２は、Ｐ２Ｐネットワーク２３２内で通信するときに同一ポリシに従うことを要求されるので、Ｐ２Ｐネットワーク２３２内の通信はより確実なセキュリティおよび連続性を持つことができる。これはＰ２Ｐネットワーク２３２内の通信の効率性および信頼性を高める。
【００４６】
今、図３Ｂを参照しながら、ハブ・アンド・スポークＰ２Ｐネットワーク２３２の詳細を、本発明の少なくとも一部の実施形態に従ってさらに説明する。ハブ・アンド・スポークＰ２Ｐネットワーク２３２は、インターネットまたは何らかの他の分散通信ネットワークのような第１通信ネットワーク３２４を介して、ＶＰＮサーバ３０４と通信する多数の通信装置３１２のメンバシップを含んでもよい。ＶＰＮサーバ３０４は、企業ネットワークまたは他の型のイントラネットのような第２通信ネットワーク３０４と通信することができる。ＶＰＮサーバ３０４は、第２通信ネットワーク３２８を介して管理サーバ３３２、ＩＰ ＰＢＸ３３６、および構成データベース３４０と通信することができる。
【００４７】
ＶＰＮサーバ３０４は、Ｐ２Ｐネットワーク２３２におけるポリシのプロビジョニングおよび施行を可能にすることができる。ハブ・アンド・スポーク・トポロジを越えて、プロビジョニングは、ＶＰＮサーバ３０４との接続性を持ちかつそれを制御する権限を付与された企業のエンティティ（例えば管理サーバ３３２）からもたらされてもよい。ＶＰＮサーバ３０４は一般的に、Ｐ２Ｐネットワーク２３２に対しそのようなトポロジにおける施行点として働くことができる。ポリシ規定は、ＶＰＮサーバ３０４による参照のために構成データベース３４０に維持することができる。
【００４８】
規定の施行は、ＩＰトラフィックの解析によって、かつ規則をデータグラムおよびセッション状態で異なる深さで適用することによって、ネットワーク・レベル（例えばＩＰレベル）、トランスポート・レベル（例えばＴＣＰ／ＵＤＰレベル）、および／またはアプリケーション・レベル（例えばＳＩＰ、ウェブ、ＳＯＡＰ等）で行なわれてもよい。アクセス制御、ＱｏＳ、およびルーティングの施行に関するポリシは、ＶＰＮ上に確立されたＰ２Ｐハブ・アンド・スポーク・ネットワーク２３２でＶＰＮサーバ３０４によって施行されてもよい。
【００４９】
今、図３Ｃを参照しながら、フル・メッシュＰ２Ｐネットワーク２３２モデルの詳細について、本発明の少なくとも一部の実施形態に従って説明する。メッシュＰ２Ｐネットワーク２３２のポリシもまた、ＶＰＮサーバ３０４によって管理されてもよい。しかし、アクセス制御、ＱｏＳ、およびルーティング・ポリシは、ひとたび制定されると分散され、自律的になってもよい。通信装置３１２間のＰ２Ｐ通信はノード間で直接的であり、任意選択的に、プロビジョニング時に管理サーバ３３２から企業構成毎にポリシ条件によって規制されてもよい。
【００５０】
フル・メッシュＰ２Ｐネットワーク２３２は、全てのＰ２Ｐノードがそのピアにトラフィックをそのピアに直接流すことを可能にする。ＶＰＮサーバ３０４によるポリシの制御は、そのようなトポロジでは任意である。それにもかかわらず、ＶＰＮサーバ３０４は、第２通信ネットワーク３２８に接続された企業ＩＰ ＰＢＸ３３６（コール・サーバ）またはいずれかの他のアプリケーション・サーバにＰ２Ｐネットワーク２３２をブリッジさせるように、任意の制御ゲートウェイを形成することができる。ＶＰＮサーバ３０４は、Ｐ２Ｐネットワーク２３２を規制する参加ポリシに基づいて、Ｐ２Ｐネットワーク２３２を制御することができる。管理サーバ３３２はＰ２Ｐネットワーク２３２を構成し、制御管理をＶＰＮサーバ３０４に委託する。
【００５１】
フル・メッシュＰ２Ｐネットワーク２３２は、自律的Ｐ２Ｐネットワーク２３２がそのコミュニティの外部と、例えば別のＰ２Ｐネットワーク２３２と通信するようになるとき、またはメイン企業（例えばＩＰ ＰＢＸ３３６および／またはイントラネット）ユーザ・コミュニティに動的に参加および離脱するようになるときを除き、自律的Ｐ２Ｐネットワークに制御を委託することができる。
【００５２】
今、図４Ａおよび４Ｂを参照しながら、管理コンソール３０８によって使用される２つの例示的データ構造について、本発明の少なくとも一部の実施形態に従って説明する。最初に図４Ａを参照しながら、ユーザ中心データ構造４０４について、本発明の少なくとも一部の実施形態に従って説明する。データ構造４０４は、Ｐ２Ｐネットワーク２３２をオーバレイ・ネットワーク２０８に維持するための多数のデータ・フィールドを含む。データ構造４０４に設けられるデータ・フィールドの型として、ユーザ・フィールド４０８、通信装置フィールド４１２、ＩＤフィールド４１６、鍵フィールド４２０、Ｐ２Ｐネットワーク・フィールド４２４、およびポリシ・フィールド４２８が挙げられるが、それらに限定されない。
【００５３】
ユーザ・フィールド４０８は、特定のユーザまたはユーザのグループを記載または識別するデータを含む。ユーザは一般的にメンバであり、オーバレイ・ネットワーク２０８にアクセスすることができる。ユーザはまた、１つまたは複数の通信装置に関連付けられることもあり、それは通信装置フィールド４１２に記載することができる。通信装置フィールド４１２は、単数または複数のどの通信装置が特定のユーザに関連付けられるかを記載する。ユーザに関連付けられてもよいそのような装置の例として、例えばコンピュータまたはラップトップ、従来のアナログ電話機、パケットをベースとする電話機、ＶｏＩＰ電話機、セルラ電話機、パーソナル・デジタル・アシスタント（ＰＤＡ）、ビデオフォン、および／または携帯電子メール検索装置が挙げられる。通信装置の記述は、通信装置の型の記述のみならず、所与の装置の識別子をも含んでもよい。特定の通信装置の識別子は、ＩＰアドレス、内線番号、ポート・アドレス、製造番号、またはいずれかの他の型の一意または準一意の識別子を含むことができる。
【００５４】
ＩＤフィールド４１６は、ユーザおよび／またはユーザの関連通信装置に割り当てられた識別子または他の型の一意のＩＤを格納する。ＩＤは、管理コンソール３０８が単一のＩＤによってエンティティを参照することを可能にする、管理コンソール３０８用の識別子として働く。図４Ａから分かるように、ＩＤはユーザに割り当てられてもよく、あるいはユーザに関連付けられた各通信装置に割り当てられてもよい。管理コンソール３０８はまた、通信装置の認証中、および通信装置へ／からのメッセージのルーティング中にもＩＤを使用することができる。
【００５５】
認証中に使用されてもよい追加データは鍵である。鍵情報は、鍵フィールド４２０に維持される。単一ユーザおよび／または通信装置に対し、複数の鍵を鍵フィールド４２０に維持することができる。鍵フィールド４２０に維持されてもよい１つの鍵として、認証鍵がある。鍵フィールド４２０に維持されてもよい第２の鍵として、暗号化鍵がある。認証鍵は、所与の通信装置および／またはユーザを認証し、かつ通信装置および／またはユーザがどのＰ２Ｐネットワーク２３２のメンバであるかを判定するために使用される。暗号化鍵は、Ｐ２Ｐネットワーク２３２を越えて、かつ／またはＰ２Ｐネットワーク２３２の外部に送信するためのメッセージを暗号化するために使用される。所与のＰ２Ｐネットワーク２３２に対し暗号化ポリシが定義されていない場合にはユーザおよび／または通信装置への暗号化鍵の割当ては不要でもよい。
【００５６】
本発明の一実施形態では、各ユーザおよび／または通信装置に一意の認証鍵が割り当てられる。認証鍵は一般的に複数の通信装置間で共有されないので、一意の認証鍵の使用は比較的安全確実なＰ２Ｐネットワークをもたらす。代替的に、管理コンソール３０８が、各々の個人ユーザおよび／または通信装置の名前または種類を決定してもよく、かつＰ２Ｐネットワーク２３２の残部に、それらが探さなければならないものはその決定された名前または種類であることを知らせてもよい。管理コンソール３０８はまた、Ｐ２Ｐネットワーク２３２の他の通信装置および／またはユーザに、各々の種類に対応する鍵を通知してもよく、通信装置は、鍵を精査して鍵が信頼できる名前または種類に対応するかどうかを判定することによって、他の通信装置を認証することができる。
【００５７】
Ｐ２Ｐネットワーク・フィールド４２４は、所与のユーザおよび／または通信装置が割り当てられているＰ２Ｐネットワーク２３２があれば、それに関するデータを含むことができる。Ｐ２Ｐネットワークは任意の番号として、または企業の部署として表示ことができる。オーバレイ・ネットワーク２０８上でＰ２Ｐネットワーク２３２を使用することのできるエンティティの例として、企業で働きかつオーバレイ・ネットワーク２０８にアクセスすることのできる人間の財務部、エンジニアリング部、法務部、またはいずれかの他の論理的下位部署が挙げられる。
【００５８】
Ｐ２Ｐネットワーク識別データを維持することに加えて、データ構造４０４は、所与のＰ２Ｐネットワーク２３２のためのポリシ・データを含むことができる。上述の通りポリシ・データは各Ｐ２Ｐネットワーク間で異なってもよく、ポリシ・データ・フィールド４２８に格納される。特定のＰ２Ｐネットワーク２３２に対して定義されるポリシは、ＯＳＩモデルまたはＴＣＰ／ＩＰモデルのアプリケーション層、トランスポート層、またはネットワーク層の少なくとも１つの動作パラメータを制御することができる。これは、各Ｐ２Ｐネットワーク２３２のセキュリティを別々に維持し、かつオーバレイ・ネットワーク２０８内の他のＰ２Ｐネットワークから制御することを可能にする。さらに、特定のＰ２Ｐネットワーク２３２は、通信の特定の局面に対してより厳格なポリシを要求することができるが、他のＰ２Ｐネットワーク２３２は、それほど厳格なポリシを要求しなくてもよい。所与のＰ２Ｐネットワーク２３２に対するポリシ、ならびにしたがって割り当てられたユーザおよび／または通信装置に適用されるポリシは、ポリシ・フィールド４２８に概説される。本発明の一実施形態では、所与のＰ２Ｐネットワーク２３２に対するポリシは、Ｐ２Ｐネットワーク２３２に割り当てられた全てのエンティティに平等に適用される。ポリシ・データ・フィールド４２８に定義されるポリシの型として、暗号化ポリシ、セキュリティ・ポリシ、外部通信ポリシ、アプリケーション・ポリシ、ルーティング・ポリシ、通信トラフィック・ポリシ、ならびにアプリケーション層、トランスポート層、および／またはネットワーク層で通信を制御および調整するための他のポリシが挙げられるが、それらに限定されない。
【００５９】
単一のユーザが多数の通信装置に関連付けられるように図示されているが、本発明の実施形態では、多数のユーザが単一の通信装置に関連付けられることも考えられる。さらに、たとえ各ユーザが特定のＰ２Ｐネットワーク２３２に割り当てられている状態が図示されていても、本発明の少なくとも一部の実施形態は、ユーザではなく通信装置をＰ２Ｐネットワーク２３２に割り当てる能力を提供する。
【００６０】
今、図４Ｂを参照しながら、Ｐ２Ｐネットワーク中心データ構造４３２について、本発明の少なくとも一部の実施形態に従って説明する。データ構造４３２は、所与のＰ２Ｐネットワークに関連するデータを含む多数のデータ・フィールドを含むことができる。そのようなデータ・フィールドの例として、Ｐ２Ｐネットワーク識別子フィールド４３６、ユーザ・フィールド４４０、ＩＤフィールド４４４、鍵フィールド４４８、およびポリシ・フィールド４５２が挙げられるが、それらに限定されない。
【００６１】
Ｐ２Ｐネットワーク識別子フィールド４３６は、特定のＰ２Ｐネットワーク２３２について記述する情報を含む。各Ｐ２Ｐネットワーク２３２には、記述的ラベルまたは無作為に割り当てられた英数字ラベルが設けられてもよい。特定のＰ２Ｐネットワーク２３２に割り当てられたエンティティは、ユーザ・フィールド４４０で識別される。一実施形態では、各Ｐ２Ｐネットワーク２３２は少なくとも２つのエンティティのメンバシップを含む。ユーザおよび／または通信装置は、１つまたは複数のＰ２Ｐネットワーク２３２に割り当てられてもよい。
【００６２】
各Ｐ２Ｐネットワーク２３２は、所与のＰ２Ｐネットワークに一意のＩＤおよび鍵を割り当てられてもよい。Ｐ２ＰネットワークのＩＤはＩＤフィールド４４４に維持することができ、鍵は鍵フィールド４４８に維持することができる。鍵はＰ２Ｐネットワークに一意とすることができ、したがってＰ２Ｐネットワーク内の全てのユーザの間で共有される。鍵は認証鍵および／または暗号化鍵を含むことができる。ユーザおよび／または通信装置が所与のＰ２Ｐネットワーク２３２に割り当てられると、関連付けられた鍵および／またはＩＤを、割り当てられたユーザおよび／または通信装置に送信することができる。次いで、ユーザが別のユーザに接触しようとするときに、送信側ユーザが同一Ｐ２Ｐネットワーク２３２に属していることを、受信側ユーザが検証することができ、かつ通信セッションのためのポリシを確立することができるように、鍵および／またはＩＤは受信側ユーザに送信される。
【００６３】
Ｐ２Ｐネットワーク２３２用の通信ポリシは、ポリシ・フィールド４５２に維持することができる。ポリシ・フィールド４５２に記載されたポリシは、ユーザ中心データ構造４０４のポリシ・フィールド４２８のポリシと同様とすることができる。管理コンソール３０８は、Ｐ２Ｐネットワーク２３２をオーバレイ・ネットワーク２０８内に維持し、かつさらにそのようなＰ２Ｐネットワーク２３２に割り当てられたエンティティを管理するのを助けるように、一方または両方のデータ構造４０４、４３２を利用することができる。データ構造４０４、４３２は、所与のＰ２Ｐネットワーク２３２内の通信装置または他のネットワーク・ノードの間で共有することもできる。
【００６４】
図５は、本発明の少なくとも一部の実施形態に従ってＰ２Ｐネットワーク２３２を形成する方法を示すフローチャートである。該方法は、ＶＰＮオーバレイ・ネットワーク２０８およびより詳しくはＩＰｓｅｃ ＶＰＮネットワークのようなオーバレイ・ネットワーク２０８が、公衆通信ネットワーク２０４上に確立されたときに、開始される。次いでオーバレイ・ネットワーク２０８内のエンティティが識別され、メモリに維持される（ステップ５０４）。
【００６５】
ひとたびＶＰＮオーバレイ・ネットワーク２０８内のエンティティが識別されると、該方法は、これらのエンティティの部分集合を識別することによって続行される（ステップ５０８）。エンティティの識別された部分集合は一般的に、ＶＰＮオーバレイ・ネットワーク２０８に属するエンティティの集合より小さく、したがってＶＰＮオーバレイ・ネットワーク２０８に割り当てられた全てのエンティティを包含するものではない。
【００６６】
エンティティの部分集合の識別に続いて、該方法は、エンティティの部分集合のＰ２Ｐネットワーク２３２を定義することによって続行される（ステップ５１２）。Ｐ２Ｐネットワーク２３２は、ＶＰＮオーバレイ・ネットワーク２０８に関連するセキュリティ上の利点を受け取るために、ＶＰＮオーバレイ・ネットワーク２０８の上に確立される。次いで、エンティティの部分集合は、Ｐ２Ｐネットワーク２３２でピア・ツー・ピア方式で相互に通信することができる。
【００６７】
Ｐ２Ｐネットワーク２３２がＶＰＮオーバレイ・ネットワーク２０８の上に確立された後、管理コンソール３０８はＰ２Ｐネットワーク２３２のポリシを決定する（ステップ５１６）。ポリシは、ユーザ定義する（すなわち、Ｐ２Ｐネットワーク２３２に属する１つまたは複数のエンティティによって定義する）か、システム管理者によって定義するか、かつ／またはＶＰＮオーバレイ・ネットワーク２０８によって確立された特定のベース・ポリシによって定義することができる。決定することのできるポリシの１種として、Ｐ２Ｐネットワーク２３２で通信するために使用することのできる特定のアプリケーションの定義が挙げられる。アプリケーション・ポリシによって許可または抑制される適切な通信アプリケーションの例として、電子メール、ＶｏＩＰ、ＳＭＳテキスト、チャット、インスタント・メッセージング（ＩＭ）、およびビデオのみならず、ＴＣＰ／ＩＰモデルのアプリケーション層で定義されるプロトコル（例えばＤＨＣＰ、ＦＴＰ、ＨＴＴＰ、ＰＯＰ３、ＳＩＰ、ＳＭＴＰ、ＳＳＨ、ＲＣＰ、ＲＴＰ、ＲＴＣＰ、およびＤＮＳ）が挙げられる。このステップで定義されるポリシは、トランスポート層プロトコル（例えばＴＣＰ、ＵＤＰ、ＤＣＣＰ、ＳＣＴＰ、ＧＴＰ等）およびネットワーク層プロトコル（例えばＩＰｖ４、ＩＰｖ６、ＡＲＰ、ＲＡＲＰ、ＩＣＭＰ、ＩＧＭＰ、ＲＳＶＰ、ＩＰｓｅｃ等々）に対する抑制または許可をも確立することができる。Ｐ２Ｐネットワーク２３２に対して決定することのできる他のポリシとして、Ｐ２Ｐネットワーク２３２に属さないエンティティとの通信を規制するポリシが挙げられる。さらに、Ｐ２Ｐネットワーク２３２内のメッセージのみならず、Ｐ２Ｐネットワークの外部に送出されるメッセージのためのルーティング・ポリシも決定することができる。
【００６８】
Ｐ２Ｐネットワーク２３２のためのポリシが決定されると、管理コンソール３０８は、Ｐ２Ｐネットワーク２３２のメンバ・エンティティに対しポリシを施行する（ステップ５２０）。このステップで、管理コンソール３０８は、同一Ｐ２Ｐネットワーク２３２内の２つのエンティティが相互に通信セッションを確立しているときにそれを決定し、エンティティが通信することを可能にするパラメータを定義する。代替的に、Ｐ２Ｐネットワーク２３２に属する各エンティティにポリシ情報を提供することができ、それらが同一Ｐ２Ｐネットワーク２３２に属する別のエンティティと通信していることをそれらが決定したときに、エンティティは自動的にポリシを施行して、Ｐ２Ｐネットワーク２３２と信頼できる一貫した通信を確立するのを助ける。
【００６９】
今、図６を参照しながら、Ｐ２Ｐネットワーク２３２内のエンティティの通信を容易にする方法について、本発明の少なくとも一部の実施形態に従って説明する。該方法は、管理コンソール３０８がＰ２Ｐネットワーク２３２で使用するための鍵を決定することから開始される。Ｐ２Ｐネットワーク２３２で使用される鍵は、ネットワーク内の各エンティティに一意とすることができ、あるいは代替的に、ネットワーク自体に一意とすることができる。各エンティティに一意の鍵（例えば暗号化および認証）を利用する実施形態は、同一Ｐ２Ｐネットワーク２３２の全てのエンティティの間で鍵を共有する場合より高レベルのセキュリティを達成することができる。鍵の大きさは、公知の暗号化および認証プロトコルで使用される任意の大きさとすることができる。Ｐ２Ｐネットワーク２３２に対しより高レベルのセキュリティを希望する場合には、比較的高強度の鍵（例えば１２８ビットの鍵）を使用することができる。Ｐ２Ｐネットワーク２３２に対しより低レベルのセキュリティを希望する場合には、低強度の鍵を、または一般ＩＤさえもエンティティに割り当てることができる。
【００７０】
Ｐ２Ｐネットワーク２３２に対して、さらに詳しくはＰ２Ｐネットワーク２３２に属するエンティティに対して鍵が決定された後、鍵はネットワーク内のエンティティに割り当てられる。エンティティへの鍵の割当ては、単に、エンティティ識別子を上記のデータ構造４０４、４３２のどちらかにおける特定の鍵に関連付けることを含む。代替的に、割り当てられた鍵はエンティティに送信し、すぐにアクセスできるようにそこに維持することができる。
【００７１】
鍵がＰ２Ｐネットワーク２３２内のエンティティに送信された場合、該方法は、エンティティがそれらの割当て鍵を受信したときに続行される（ステップ６１２）。使用される送信プロトコルの型は、希望するセキュリティのレベルに依存する。比較的高レベルのセキュリティをＰ２Ｐネットワーク２３２に希望する場合には、鍵は割り当てられたエンティティに送信する前に暗号化することができる。
【００７２】
ひとたびエンティティがそれぞれの鍵を受信すると、または少なくとも鍵がそれらに割り当てられると、該方法は、１つのエンティティが別のエンティティと通信を開始したときに続行される（ステップ６１６）。通信は、別の通信装置によって発呼されたときに、または通信装置もしくはユーザのリストから通信装置もしくはユーザを選択することによって開始される。通信が開始されると、鍵は、受信側エンティティ（すなわち通信セッションを開始した側ではない通信装置）または管理コンソール３０８のいずれか、認証判定の責任を負う方の装置に送信される（ステップ６２０）。
【００７３】
その後、鍵は適切な装置で受信される（ステップ６２４）。一実施形態では、鍵は認証の責任を負う装置に直接送信され、受信される。代替的実施形態では、鍵は最初に受信側通信装置に送信され、それが次に鍵を管理コンソール３０８に転送する。適切な装置が鍵を受信すると、鍵は受信側装置によって解析される（ステップ６２８）。このステップでは、解析は、送信側通信装置のアイデンティティが何であるか、どのようなユーザが送信側通信装置と関連付けられるか、かつ／またはどのようなＰ２Ｐネットワークに送信側通信装置が関連付けられるかを決定することを含んでもよい。鍵の解析は、鍵が送信のために暗号化された場合に特定の解読ステップをも含むだけでなく、単数または複数の鍵がデータ構造４０４、４３２内の既知の鍵または鍵フォーマットに照らして比較される比較ステップをも含んでもよい。
【００７４】
鍵が適切に解析された後、鍵、およびしたがって送信側エンティティが受信側エンティティと同一Ｐ２Ｐネットワーク２３２に属するかどうかが決定される（ステップ６３２）。送信側および受信側エンティティが同一Ｐ２Ｐネットワーク２３２に属する場合には、管理コンソール３０８が、装置間の通信を規制する通信ポリシを決定する（ステップ６３６）。さらに詳しくは、管理コンソール３０８はＰ２Ｐネットワーク２３２のポリシを決定する。言うまでもなく、管理コンソール３０８が各通信装置に常駐する場合、各装置は、通信リンクを確立する前に、Ｐ２Ｐ通信を規制するポリシをすでに知っている。
【００７５】
通信ポリシが決定されると、該方法は、それぞれのエンティティ間の通信セッションを許可することによって続行される（ステップ６４０）。通信セッションを許可することの一部として、セッションのための決定されたポリシが管理コンソール３０８によって、かつ／または通信装置自体によって施行される（ステップ６４４）。
【００７６】
ステップ６３２に戻って説明するが、受信した鍵の解析から、送信側エネルギが同一Ｐ２Ｐネットワークに属さないことが示された場合、該方法は、Ｐ２Ｐネットワーク２３２の外部の通信が許可されるかどうかを決定することによって続行される（ステップ６４８）。特定のＰ２Ｐネットワーク２３２のエンティティがＰ２Ｐネットワーク２３２に属さない他のエンティティと通信できない場合、エンティティ間の通信は抑制され、通信リンクは切断される（ステップ６５２）。
【００７７】
他方、Ｐ２Ｐネットワーク２３２の外部のエンティティとの通信が許可される場合、該方法は、Ｐ２Ｐネットワーク２３２の外部の通信を含むセッションのための通信ポリシを決定することによって続行される（ステップ６５６）。Ｐ２Ｐネットワーク２３２の外部の通信を規制するポリシは、Ｐ２Ｐネットワーク２３２内の通信を規制するポリシとは異なってもよい。例えば、Ｐ２Ｐネットワーク２３２内では、Ｐ２Ｐネットワーク２３２の外部より高レベルのセキュリティを達成することができる。さらに、Ｐ２Ｐネットワークから離れる通信の場合、ルーティング・ポリシが異なってもよい。例えば、通信装置３１２またはサーバ３１６は、Ｐ２Ｐネットワーク２３２内に留まらない、あるいはＰ２Ｐネットワーク２３２から生じたものでない全てメッセージの経路の通過点として指定されてもよい。これは本質的に、同一オーバレイ・ネットワーク２０８に属するエンティティが必ずしも同一のやり方で相互に通信しなくてもよいことを意味する。むしろ、そのような通信の性質は、それぞれのエンティティがＰ２Ｐネットワーク２３２に属しているならば、どのＰ２Ｐネットワーク２３２に属しているかによって異なる。言うまでもなく、通信セッションは依然として、オーバレイ・ネットワーク２０８によって定められたフレームワークおよびポリシを全体として維持する。
【００７８】
ひとたびＰ２Ｐネットワーク２３２外部の通信セッションの許可が確立されると、該方法は、エンティティ間の通信セッションを許可することによって続行される（ステップ６６０）。Ｐ２Ｐネットワーク２３２外部の通信セッションを許可することの一部として、セッションのための決定されたポリシが管理コンソール３０８によって、かつ／または通信装置自体によって施行される（ステップ６４４）。さらに、指定されたルーティング装置を介して通信をルーティングさせるようにポリシから指示される場合、通信セッションは、選択されたルーティング装置を介してメッセージをルーティングすることで続行される（ステップ６６８）。指定ルーティング装置は通常、少なくとも一方のエンティティのＰ２Ｐネットワーク２３２の一部である。さらに、両方のエンティティが異なるＰ２Ｐネットワーク２３２に属する場合、各々が、指定ルーティング装置を介してメッセージをルーティングするように要求されてもよく、その場合、全てのメッセージは２つの予め定められたルーティング装置を介してルーティングされる。
【００７９】
図７は、本発明の少なくとも一部の実施形態に従って使用される例示的パケット構造７００を示す。パケット７００は、ネスト状三重オーバレイとも呼ばれる３層ポリシ法のＰ２Ｐ ＶＰＮの場合、３層に分割することができる。パケット７００は、第１層の第１部分に対応する外側ＩＰトンネル・ヘッダ７０４、第１層の第２部分に対応するＩＰｓｅｃヘッダ７０８、第１層の第３部分に対応する内側ＩＰヘッダ７１２、第２層に対応するＴＣＰ／ＵＦＰヘッダ７１６、および第３層に対応するアプリケーション特定的ヘッダ７２０を含むことができる。パケット７００はまた、パケット・ペイロードを担持するためのペイロード部７２４、およびＩＰｓｅｃトレイラ７２８をも含むことができる。３つの層は独立していてもよく、多くの場合、同時にパケット７００に加えることができる。内側ＩＰヘッダ７１２、ＴＣＰ／ＵＤＰヘッダ７１６、アプリケーション特定的ヘッダ７２０、および／またはペイロード部７２４は、信頼できないネットワークで送信するために暗号化されるパケットの部分を含んでもよい。パケット７００の暗号化された部分は、セキュリティ・ポリシに応じてＶＰＮサーバ３０４に可視または不可視とすることができる。ＶＰＮサーバ３０４がより大きい制御を実施し、自律性の低いＰ２Ｐネットワーク２３２が形成される場合、暗号化部分はハブ・アンド・スポークＰ２Ｐネットワーク２３２に対し可視とされてもよい。より少ない制御およびより大きい自律性がＰ２Ｐネットワーク２３２に与えられる場合、該部分はメッシュＰ２Ｐネットワーク２３２で不可視とされてもよい。
【００８０】
第１層は、オーバレイ・ネットワーク２０８上のＰ２Ｐネットワーク２３２の層３ポリシに対応する。第１層は３つの異なる部分に分割されてもよい。第１層の第１部分は、フル・メッシュ構成では宛先メッシュ・ノードに、またはハブ・アンド・スポーク構成ではＶＰＮサーバ３０４を介して宛先Ｐ２Ｐノードに、トラフィックを案内するために、外側ＩＰトンネル・ヘッダ７０４を使用することができる。したがって、ハブ・アンド・スポーク構成では、パケット７００は、パケットの上で宛先を記述する追加の外側ＩＰヘッダ（図示せず）を含むことができる。いずれの構成でも、外側ＩＰトンネル・ヘッダ７０４はＱｏＳ情報を担持することができる。外側ＩＰトンネル・ヘッダ７０４の情報は、宛先に基づく宛先制御のため、およびルーティングの決定のためにも使用することができる。ＩＰｓｅｃヘッダ７０８によって表わされる第１層の第２部分は主として、セキュリティ・ポリシ施行情報を担持するために使用することができる。内側ＩＰヘッダ７１２によって表わされる第１層の第３部分は、追加施行情報のみならず、ハブ・アンド・スポーク構成に対するＶＰＮサーバ３０４による制御に関するデータをも担持するために使用することができる。内側Ｉｐヘッダ７１２内の情報は、最終宛先のＱｏＳポリシをも変更させてもよい。
【００８１】
第２層は、オーバレイ・ネットワーク２０８上のＰ２Ｐネットワーク２３２のための層４ポリシに対応する。第２層はＴＣＰ／ＵＤＰヘッダ７１６を利用して、トランスポート層でアプリケーション・プロトコルを区別するための情報を格納するＴＣＰ／ＵＤＰヘッダ７１６を用いて、強いアクセス制御を適用することもできる。これらのアクセス制御はＶＰＮポリシの柔軟性によって左右される。例えば、アクセス制御ポリシは、ＶＰＮの構成がエンド・ツー・エンドであるか、それともハブをベースとするかによって、かつ暗号化が施行されるか否かによって変化する。
【００８２】
第３層はアプリケーション・ポリシに対応し、アプリケーション特定的ヘッダ７２０を利用してアプリケーション特定的情報を格納する。例えば、アプリケーション特定的ヘッダ７２０は、ＳＩＰ Ｐ２Ｐノード・ユーザが、ＳＩＰインスタント・メッセージおよび他のＳＩＰをベースとする機能を遮断しながら、ＳＩＰ呼を発信することができるか否かを決定するために使用することができる。これは、アプリケーションおよびそれによって使用されるＳＩＰプロトコルに特定的な機能ポリシである。情報は、ＱｏＳポリシの一部としてどのコーデックを使用することができるか、およびどの帯域幅を使用することができるかを決定するために使用することもできる。それはまた、ＴＬＳ暗号化信号およびＳＲＴＰ暗号化メディアをペイロード部７２４でトランスポートすることができるかどうかをも制御することができる。アプリケーション特定的ヘッダ７２０はまた、特定の呼をルーティング・ポリシの１例として企業のボイスメールにリダイレクトすべきであるかどうかを決定する情報をも含むことができる。
【００８３】
上述の通り、３層ネスト状オーバレイでは、Ｐ２Ｐネットワーク・オーバレイは、ＩＰｓｅｃ ＶＰＮ構成（例えばメッシュまたはハブ・アンド・スポーク構成）によって定義されるベースＩＰ層（すなわち第１層）に実現することができる。第１層にはさらに、ＴＣＰ／ＵＤＰトランスポート層つまり第２層を重ねることができる。第２層は、ポート番号およびプロトコル（例えばＴＣＰ、ＵＤＰ、またはＩＣＭＰ）を使用することによって、Ｐ２Ｐネットワークで使用される異なるプロトコル（例えばＳＩＰ、ＳＭＴＰ、ＨＴＴＰ、ＦＴＰ、テルネット等）を区別する。これらの層には両方とも、アプリケーション・レベルのアウェアネスを定義する第３層を重ねることができる。第３層は、ハブ・アンド・スポーク構成ではアプリケーション層ゲートウェイまたはモジュールを介して、またはフル・メッシュ構成の場合はＰ２Ｐノードで分散アプリケーション・ポリシ構成によって、ＶＰＮサーバ３０４の論理を定義することができる。構成時間の関与を除き、管理サーバ３３２および企業インフラストラクチャの残部（例えば第２通信ネットワーク３２８に接続された装置）は、Ｐ２Ｐ ＶＰＮをその自律インパルスおよびトポロジに基づく制御に任す。
【００８４】
上述したフローチャートを事象の特定の順序に関連して説明したが、本発明の動作に実質的に影響を及ぼすことなく、この順序を変化させることができることを理解されたい。加えて、事象の正確な順序は、例示的実施形態で記載した通りに発生する必要は無い。本書に示す例示的技術は、具体的に例証した実施形態に限定されず、他の例示的実施形態と共に利用することもでき、記載した各特徴は個別にかつ別々に請求可能である。
【００８５】
本発明のシステム、方法、およびプロトコルは、記載した通信機器、プログラムされたマイクロプロセッサもしくはマイクロコントローラおよび周辺集積回路素子、ＡＳＩＣまたは他の集積回路、デジタル信号プロセッサ、離散素子回路のようなハードワイヤード電子もしくは論理回路、ＰＬＤ、ＰＬＡ、ＦＰＧＡ、ＰＡＬのようなプログラム可能な論理デバイス、電話機のような通信装置、いずれかの匹敵する手段などに加えて、またはその代わりに、専用コンピュータ上に実現することができる。一般的に、本書で例証した方法論を実現することのできる状態機械を実現することのできる任意の装置を使用して、本発明に係る様々な通信方法、プロトコル、および技術を実現することができる。
【００８６】
さらに、開示した方法は、様々なコンピュータまたはワークステーション・プラットフォームで使用することのできる移植可能なソースコードを提供する、オブジェクトまたはオブジェクト指向ソフトウェア開発環境を使用してソフトウェアで容易に実現することができる。代替的に、開始したシステムは、標準論理回路またはＶＬＳＩ設計を使用して、部分的にまたは完全にハードウェアで実現することができる。ソフトウェアまたはハードウェアのいずれを使用して本発明に係るシステムを実現するかは、システムの速度および／または効率要件、特定の機能、および利用される特定のソフトウェアもしくはハードウェア・システムまたはマイクロプロセッサもしくはマイクロコンピュータ・システムに依存する。本書で例証した通信システム、方法、およびプロトコルは、本書に提示した機能的説明から、かつコンピュータおよび通信技術の一般的な基礎知識により、該当する技術分野の通常の熟練者によって、いずれかの公知または後で開発されるシステムもしくは構造、装置、および／またはソフトウェアを用いることによって、ハードウェア、および／またはソフトウェアで容易に実現することができる。
【００８７】
さらに、開示した方法は、記憶媒体に格納し、かつコントローラおよびメモリと協働してプログラムされた汎用コンピュータ上で、専用コンピュータ上、マイクロプロセッサ上などで実行することのできるソフトウェアで容易に実現することができる。これらの場合、本発明のシステムおよび方法は、パーソナル・コンピュータ上に埋め込まれたアプレット、ＪＡＶＡ（登録商標）またはＣＧＩスクリプトのようなプログラムとして、サーバまたはコンピュータ・ワークステーションに常駐するリソースとして、専用通信システムまたはシステム構成要素に埋め込まれたルーチンなどとして実現することができる。システムはまた、システムおよび／または方法を、通信装置またはシステムのハードウェアおよびソフトウェア・システムのようなソフトウェアおよび／またはハードウェア・システムに、物理的に組み込むことによって実現することもできる。
【００８８】
したがって、Ｐ２Ｐネットワークを提供するためのシステム、装置、および方法が本発明に従って提供されたことは明白である。本発明を多数の実施形態に関連して説明したが、該当する技術分野の通常の熟練者にとって、多くの代替物、変形、および変化が明白になることは明らかである。したがって、本発明の精神および範囲内の全てのそのような代替物、変形、均等物、および変化を包含するつもりである。
【図面の簡単な説明】
【００８９】
【図１】先行技術の実施形態に係るＶＰＮシステムを示すブロック図である。
【図２】本発明の実施形態に係るオーバレイ・ネットワーク上のＰ２Ｐネットワークによる通信システムを示すブロック図である。
【図３Ａ】本発明の実施形態に係るＰ２Ｐネットワークの可能な構成を示すブロック図である。
【図３Ｂ】本発明の実施形態に係るハブ・アンド・スポークＰ２Ｐネットワークの詳細を示すブロック図である。
【図３Ｃ】本発明の実施形態に係るフル・メッシュＰ２Ｐネットワークの詳細を示すブロック図である。
【図４Ａ】本発明の実施形態に従って使用される第１の可能なデータ構造を示す図表である。
【図４Ｂ】本発明の実施形態に従って使用される第２の可能なデータ構造を示す図表である。
【図５】本発明の実施形態に従ってＰ２Ｐネットワークを形成する方法を示す流れ図である。
【図６】本発明の実施形態に従ってＰ２Ｐネットワークでの装置の通信を容易にする方法を示す流れ図である。
【図７】本発明の実施形態に従って使用されるパケット構造を示すブロック図である。
【特許請求の範囲】
【請求項１】
第１組の通信装置および第１組のユーザの少なくとも一方のための仮想プライベート・ネットワーク（ＶＰＮ）オーバレイ・ネットワークを提供すること、および
前記オーバレイ・ネットワーク上に第２組の通信装置および第２組のユーザの少なくとも一方のためのピア・ツー・ピア・ネットワークを定義すること、
を含む方法。
【請求項２】
公衆通信ネットワークの上に確立されたオーバレイ・ネットワークであって、相互に通信することのできる第１組の通信装置および第１組のユーザの少なくとも一方を有する前記オーバレイ・ネットワークにおいて、
前記ピア・ツー・ピア・ネットワークが前記第１組の通信装置内の第２組の通信装置および前記第１組のユーザ内の第２組のユーザの少なくとも一方を含むピア・ツー・ピア・ネットワークを、前記オーバレイ・ネットワーク上に定義するための管理手段、
を含む装置。
【請求項３】
（ａ）管理手段が、ピア・ツー・ピア・ネットワークを少なくとも部分的に容易にするように適応されたサーバ上に常駐すること、および
（ｂ）管理手段が、ピア・ツー・ピア・ネットワークに属するユーザに関連付けられた通信装置上に常駐すること、
の少なくとも一方が真である、請求項２に記載の装置。
【請求項４】
（ａ）前記第１組の通信装置が前記第２組の通信装置の全ての通信装置を含み、かつ前記第２組の通信装置が前記第１組の通信装置の全ての通信装置を含むものではないこと、および
（ｂ）前記第２組のユーザの全てのユーザが前記第１組のユーザに含まれ、前記第１組のユーザの全てのユーザが前記第２組のユーザに含まれるわけではないこと、
の少なくとも一方が真である、請求項１に記載の方法、または請求項２に記載の装置。
【請求項５】
前記第２組の通信装置および第２組のユーザの少なくとも一方に対して通信ポリシが定義され、前記通信ポリシがピア・ツー・ピア・ネットワークでの通信、およびピア・ツー・ピア・ネットワークから前記第１組の通信装置および前記第１組のユーザの少なくとも一方における通信装置の残部への通信に対して施行される、請求項１に記載の方法、または請求項２に記載の装置。
【請求項６】
通信ポリシがセキュリティ・ポリシ、許可、ルーティング・ポリシ、許容アプリケーション、および暗号化ポリシの少なくとも１つを含み、前記ポリシが、ＴＣＰ／ＩＰアプリケーション層プロトコル、トランスポート層プロトコル、およびネットワーク層プロトコルの少なくとも１つに関係する抑制および許可の１つを含み、ピア・ツー・ピア・ネットワーク内の各通信装置に対し名前および種類の少なくとも１つが決定され、ピア・ツー・ピア・ネットワーク内の各通信装置に鍵が割り当てられ、ピア・ツー・ピア・ネットワークに属する受信側通信装置は送信側通信装置から鍵を受信し、受信した鍵はピア・ツー・ピア・ネットワーク内の通信装置の名前および種類の少なくとも１つとに一致することが決定され、前記通信ポリシに従って前記受信側通信装置と前記送信側通信装置との間の通信セッションが許可される、請求項５に記載の方法または装置。
【請求項７】
第２組の通信装置および第２組のユーザの前記少なくとも一方が第２組のユーザであり、識別子および鍵の少なくとも一方が決定され、識別子および鍵の前記少なくとも一方がピア・ツー・ピア・ネットワーク内の各通信装置に割り当てられ、通信における割り当てられた鍵の使用は、割り当てられた鍵を提供するユーザが第２組のユーザに属することを示し、ピア・ツー・ピア・ネットワークに属する受信側通信装置は送信側通信装置から識別子および鍵の少なくとも一方を受信し、受信した識別子および鍵の前記少なくとも一方は、割り当てられた識別子および鍵の前記少なくとも一方と一致することが決定され、前記通信ポリシに従って前記受信側通信装置と前記送信側通信装置との間の通信セッションが許可され、
前記第２組のユーザの各ユーザに割り当てられた鍵が共通鍵を含むこと、および
前記第２組のユーザの各ユーザに割り当てられた鍵が一意の鍵を含むこと、
の少なくとも一方が真である、請求項５に記載の方法または装置。
【請求項８】
ピア・ツー・ピア・ネットワークの通信装置が、ピア・ツー・ピア・ネットワーク外の通信装置との通信を確立することを希望し、前記ピア・ツー・ピア・ネットワーク内の前記通信装置が、前記ピア・ツー・ピア・ネットワーク外の前記通信装置に送信するためのメッセージを生成し、前記メッセージが、前記ピア・ツー・ピア・ネットワークに属する予め定められた通信装置を解してメッセージをルーティングすることによって、前記ピア・ツー・ピア・ネットワーク外の前記通信装置に送信される、請求項１および２のいずれか１項に記載の方法または装置。
【請求項９】
第２組の通信装置および第２組のユーザの前記少なくとも一方が第２組のユーザであり、前記第２組のユーザが、外側ＩＰトンネル・ヘッダ、ＩＰｓｅｃヘッダ、および内側ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダ、アプリケーション特定的ヘッダ、ならびにデータ・ペイロードを含むパケットを使用して、相互に通信する、請求項１および２のいずれか１項に記載の方法または装置。
【請求項１０】
前記ピア・ツー・ピア・ネットワークがメッシュ・トポロジおよびハブ・アンド・スポーク・トポロジの少なくとも一方を含み、前記ピア・ツー・ピア・ネットワーク内の各通信装置は、予め定められたＴＣＰ／ＩＰアプリケーション層プロトコルを使用して相互の通信を確立するように適応され、前記オーバレイ・ネットワークは、メッシュおよびハブ・アンド・スポーク・トポロジの少なくとも一方で構成されたＩＰｓｅｃ、Ｌ２、およびＬ３ ＶＰＮオーバレイ・ネットワークの少なくとも１つを含む、請求項２に記載の装置。
【請求項１】
第１組の通信装置および第１組のユーザの少なくとも一方のための仮想プライベート・ネットワーク（ＶＰＮ）オーバレイ・ネットワークを提供すること、および
前記オーバレイ・ネットワーク上に第２組の通信装置および第２組のユーザの少なくとも一方のためのピア・ツー・ピア・ネットワークを定義すること、
を含む方法。
【請求項２】
公衆通信ネットワークの上に確立されたオーバレイ・ネットワークであって、相互に通信することのできる第１組の通信装置および第１組のユーザの少なくとも一方を有する前記オーバレイ・ネットワークにおいて、
前記ピア・ツー・ピア・ネットワークが前記第１組の通信装置内の第２組の通信装置および前記第１組のユーザ内の第２組のユーザの少なくとも一方を含むピア・ツー・ピア・ネットワークを、前記オーバレイ・ネットワーク上に定義するための管理手段、
を含む装置。
【請求項３】
（ａ）管理手段が、ピア・ツー・ピア・ネットワークを少なくとも部分的に容易にするように適応されたサーバ上に常駐すること、および
（ｂ）管理手段が、ピア・ツー・ピア・ネットワークに属するユーザに関連付けられた通信装置上に常駐すること、
の少なくとも一方が真である、請求項２に記載の装置。
【請求項４】
（ａ）前記第１組の通信装置が前記第２組の通信装置の全ての通信装置を含み、かつ前記第２組の通信装置が前記第１組の通信装置の全ての通信装置を含むものではないこと、および
（ｂ）前記第２組のユーザの全てのユーザが前記第１組のユーザに含まれ、前記第１組のユーザの全てのユーザが前記第２組のユーザに含まれるわけではないこと、
の少なくとも一方が真である、請求項１に記載の方法、または請求項２に記載の装置。
【請求項５】
前記第２組の通信装置および第２組のユーザの少なくとも一方に対して通信ポリシが定義され、前記通信ポリシがピア・ツー・ピア・ネットワークでの通信、およびピア・ツー・ピア・ネットワークから前記第１組の通信装置および前記第１組のユーザの少なくとも一方における通信装置の残部への通信に対して施行される、請求項１に記載の方法、または請求項２に記載の装置。
【請求項６】
通信ポリシがセキュリティ・ポリシ、許可、ルーティング・ポリシ、許容アプリケーション、および暗号化ポリシの少なくとも１つを含み、前記ポリシが、ＴＣＰ／ＩＰアプリケーション層プロトコル、トランスポート層プロトコル、およびネットワーク層プロトコルの少なくとも１つに関係する抑制および許可の１つを含み、ピア・ツー・ピア・ネットワーク内の各通信装置に対し名前および種類の少なくとも１つが決定され、ピア・ツー・ピア・ネットワーク内の各通信装置に鍵が割り当てられ、ピア・ツー・ピア・ネットワークに属する受信側通信装置は送信側通信装置から鍵を受信し、受信した鍵はピア・ツー・ピア・ネットワーク内の通信装置の名前および種類の少なくとも１つとに一致することが決定され、前記通信ポリシに従って前記受信側通信装置と前記送信側通信装置との間の通信セッションが許可される、請求項５に記載の方法または装置。
【請求項７】
第２組の通信装置および第２組のユーザの前記少なくとも一方が第２組のユーザであり、識別子および鍵の少なくとも一方が決定され、識別子および鍵の前記少なくとも一方がピア・ツー・ピア・ネットワーク内の各通信装置に割り当てられ、通信における割り当てられた鍵の使用は、割り当てられた鍵を提供するユーザが第２組のユーザに属することを示し、ピア・ツー・ピア・ネットワークに属する受信側通信装置は送信側通信装置から識別子および鍵の少なくとも一方を受信し、受信した識別子および鍵の前記少なくとも一方は、割り当てられた識別子および鍵の前記少なくとも一方と一致することが決定され、前記通信ポリシに従って前記受信側通信装置と前記送信側通信装置との間の通信セッションが許可され、
前記第２組のユーザの各ユーザに割り当てられた鍵が共通鍵を含むこと、および
前記第２組のユーザの各ユーザに割り当てられた鍵が一意の鍵を含むこと、
の少なくとも一方が真である、請求項５に記載の方法または装置。
【請求項８】
ピア・ツー・ピア・ネットワークの通信装置が、ピア・ツー・ピア・ネットワーク外の通信装置との通信を確立することを希望し、前記ピア・ツー・ピア・ネットワーク内の前記通信装置が、前記ピア・ツー・ピア・ネットワーク外の前記通信装置に送信するためのメッセージを生成し、前記メッセージが、前記ピア・ツー・ピア・ネットワークに属する予め定められた通信装置を解してメッセージをルーティングすることによって、前記ピア・ツー・ピア・ネットワーク外の前記通信装置に送信される、請求項１および２のいずれか１項に記載の方法または装置。
【請求項９】
第２組の通信装置および第２組のユーザの前記少なくとも一方が第２組のユーザであり、前記第２組のユーザが、外側ＩＰトンネル・ヘッダ、ＩＰｓｅｃヘッダ、および内側ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダ、アプリケーション特定的ヘッダ、ならびにデータ・ペイロードを含むパケットを使用して、相互に通信する、請求項１および２のいずれか１項に記載の方法または装置。
【請求項１０】
前記ピア・ツー・ピア・ネットワークがメッシュ・トポロジおよびハブ・アンド・スポーク・トポロジの少なくとも一方を含み、前記ピア・ツー・ピア・ネットワーク内の各通信装置は、予め定められたＴＣＰ／ＩＰアプリケーション層プロトコルを使用して相互の通信を確立するように適応され、前記オーバレイ・ネットワークは、メッシュおよびハブ・アンド・スポーク・トポロジの少なくとも一方で構成されたＩＰｓｅｃ、Ｌ２、およびＬ３ ＶＰＮオーバレイ・ネットワークの少なくとも１つを含む、請求項２に記載の装置。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【図４Ａ】
【図４Ｂ】
【図５】
【図６】
【図７】
【図２】
【図３Ａ】
【図３Ｂ】
【図３Ｃ】
【図４Ａ】
【図４Ｂ】
【図５】
【図６】
【図７】
【公開番号】特開２００８−３０６７２５（Ｐ２００８−３０６７２５Ａ）
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【出願番号】特願２００８−１４８６８４（Ｐ２００８−１４８６８４）
【出願日】平成２０年６月６日（２００８．６．６）
【出願人】（５０６０７９７１１）アバイア テクノロジー エルエルシー (45)
【Ｆターム（参考）】
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【出願日】平成２０年６月６日（２００８．６．６）
【出願人】（５０６０７９７１１）アバイア テクノロジー エルエルシー (45)
【Ｆターム（参考）】
[ Back to top ]