JP2009508403A - 準拠性に基づくダイナミックネットワーク接続 - Google Patents

Abstract

通信装置の準拠レベルに応じて、通信装置（１１０）と適切なコンピュータネットワーク（１９８又は１７０）とを動的に接続するためのシステム（１００，３００，４００，５００，６００，７００）と方法（２００）が開示される。一実施例では、準拠ネットワーク（１５０）に接続された通信装置（１１０）が、宛先ネットワーク（１７０）の１以上のポリシーとの十分な準拠性についてチェックされる。十分な準拠性を有しない場合、本実施例では、通信装置（１１０）は、不十分な準拠性の間は宛先ネットワーク（１７０）に接続することが許可されず、任意的には、準拠ネットワーク（１５０）との接続（１２５）を介し何れか適切な更新を受け付ける。準拠性が十分である場合、又は準拠性を十分なものにされたとき、本実施例では、通信装置（１１０）は、通信装置（１１０）と準拠ネットワーク（１５０）との間に以前に確立された接続（１２５）と同一でない接続（１７５）を介し宛先ネットワーク（１７０）に接続することが許可される。本発明の他の特徴では、認証プロトコル通信中に認証プロトコルに関係のないデータを転送するシステム（８００）及び方法（９００）が開示される。

Description

発明の詳細な説明

［発明の分野］
本発明は、一般にコンピュータネットワークに関し、より詳細には、コンピュータネットワークに接続する通信装置の準拠性チェック及び修正に関する。
［発明の背景］
コンピュータネットワークにアクセスする通信装置は、当該コンピュータネットワークに対して設定されるポリシーに従っているべきである。多くのケースにおいて、これらのポリシーの一部又はすべてが時間の経過と共に更新され、通信装置はまた、コンピュータネットワークにアクセスするため更新されることが要求されるかもしれない。

関連技術では、通信装置がコンピュータネットワークに接続する際、コンピュータネットワークへのゲートウェイが、ネットワークのポリシーに対する準拠性について通信装置をチェックし、必要に応じて、準拠していないエリアを修正する。通信装置が必要な準拠性の修正を受けると、通信装置は、ネットワークに“入る”ことが、すなわち、コンピュータネットワークの他のノードにアクセスすることが許可される。典型的には、この関連技術では、受け付けた準拠性の修正は、通信装置がコンピュータネットワークから切断される後まで、通信装置に適用される。
［発明の概要］
本発明によると、通信装置が宛先ネットワークのポリシーに準拠することを可能にするシステムであって、当該通信装置が宛先ネットワークの少なくとも１つの所定のポリシーに十分に準拠しているかチェックし、当該通信装置が前記少なくとも１つの所定のポリシーに十分準拠していない場合、当該通信装置が前記宛先ネットワークに接続することを許可しないよう構成された準拠ネットワークに接続するよう構成される通信装置と、前記準拠ネットワークと前記通信装置との間を接続するための第１コンフィギュレーションと、前記第１コンフィギュレーションから少なくとも部分的に変更され、前記通信装置と前記宛先ネットワークとの間を接続するための第２コンフィギュレーションとを有する接続とを有するシステムが提供される。

また本発明によると、当該通信装置と宛先ネットワークとの間の接続又は当該通信装置と前記宛先ネットワーク以外の準拠ネットワークとの間の接続を選択する手段と、前記選択された接続を確立する手段とを有する通信装置であって、前記選択する手段は、当該通信装置が前記宛先ネットワークの少なくとも１つの所定のポリシーに十分準拠していない確率が所定のレベルを超えたとき、前記宛先ネットワーク以外の準拠ネットワークとの接続を選択するよう構成される通信装置が提供される。

さらに本発明によると、通信装置が宛先ネットワークのポリシーに準拠することを可能にする方法であって、前記通信装置に該通信装置と前記宛先ネットワークとの間の接続を介し前記宛先ネットワークに接続するようにさせ、前記通信装置と前記宛先ネットワークとの間の接続とは異なる前記通信装置と準拠ネットワークとの間の接続を介し前記準拠ネットワークに接続させるよう操作するステップと、前記準拠ネットワークによって、前記宛先ネットワークの少なくとも１つの所定のポリシーとの十分な準拠性について前記通信装置をチェックするステップと、前記通信装置が前記少なくとも１つの所定のポリシーとの十分な準拠性を有しない場合、前記通信装置が前記宛先ネットワークに接続することを禁止するステップとを有する方法が提供される。

さらに本発明によると、通信装置とコンピュータネットワークとの間でデータを転送する方法であって、ＡＡＡサーバとそれのクライアントとの間の認証プロトコル通信において前記通信装置と前記コンピュータネットワークとの間でデータを転送するステップを有し、前記データは、前記認証プロトコルに関連しないデータを含む方法が提供される。

さらに本発明によると、通信装置とコンピュータネットワークとの間でデータを転送するシステムであって、通信装置及びコンピュータネットワークと、前記通信装置と前記コンピュータネットワークとの間に接続されたＡＡＡサーバと該ＡＡＡサーバに対するクライアントとを有し、前記サーバと前記クライアントとの間の認証プロトコル通信は、前記通信装置と前記コンピュータネットワークとの間でデータを転送するのに使用され、前記データは、前記認証プロトコルに関連しないデータを含むシステムが提供される。
［発明の詳細な説明］
準拠性に基づくダイナミックネットワーク接続のための方法及びシステムを含む本発明の各実施例が記載される。

本発明による準拠性に基づくダイナミックネットワーク接続の原理及び処理は、図面及び添付した説明を参照してより良好に理解されるかもしれない。以下に与えられるすべての具体例は、ここに記載及び規定される本発明の非限定的な説明である。

図１は、本発明の実施例による準拠性に基づくダイナミックネットワーク接続のためのコンフィギュレーション１００のブロック図である。コンフィギュレーション１００は、１以上の通信装置１１０、１以上の準拠ネットワーク１５０、１以上の宛先ネットワーク及び任意的に１以上のストップオーバーネットワーク１９８を有する。コンフィギュレーション１００はまた、通信装置１１０と準拠ネットワーク１５０との間を接続する１以上の装置・準拠間接続１２５、通信装置１１０と宛先ネットワーク１７０との間を接続する１以上の装置・宛先間接続１７５、及び任意的な通信装置１１０とストップオーバーネットワーク１９８との間を接続する１以上の装置・ストップオーバー間接続１９５を有する。説明の簡単化のため、準拠ネットワーク１５０は１つであると仮定されるが、他の実施例では、コンフィギュレーション及び修正情報を共有するなどの複数の準拠ネットワークが存在してもよく、以下に記載されるものに類似した方法及びシステムが、必要な変更を加えて他の実施例において利用可能であることが、読者には明らかであるべきである。説明の簡単化のため、１つの準拠ネットワーク１７０、１つの装置・準拠間接続１２５、１つの装置・宛先間接続１７５、任意的な１つのストップオーバーネットワーク１９８及び任意的な１つの装置・ストップオーバー間接続１９５は、特定の準拠ネットワーク１５０に関連付けされるが、他の実施例では、特定の準拠ネットワーク１５０は、複数の宛先ネットワーク１７０、複数の装置・準拠間接続１２５、複数の装置・宛先間接続１７５、複数の装置・ストップオーバー間接続１９５、及び／又は複数のストップオーバーネットワーク１９８に関連付けされてもよく、以下に説明される同様の方法及びシステムは、必要な変更を加えて他の実施例において利用可能であることは、読者に明らかであるべきである。

説明の簡単化のため、上述されるように、１以上の通信装置１１０がコンフィギュレーション１００に参入可能であるが、図１では、１つの通信装置１１０のみが示される。通信装置１１０は、必要に応じて宛先ネットワーク１７０への接続を含む、ここに規定及び説明されるような機能を実行するよう構成されたソフトウェア、ハードウェア及び／又はファームウェアの何れかの組み合わせであってもよい。通信装置１１０の具体例として、適用可能な宛先ネットワーク１７０に必要とされるような携帯電話、ページャ、ファックス機、電話、デスクトップコンピュータ、ラップトップコンピュータ、他のタイプのコンピュータ、携帯情報端末（ＰＤＡ）などを含む。

宛先ネットワーク１７０は、通信装置１１０がインターネット、企業ＬＡＮなどのローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、キャンパスエリアネットワーク（ＣＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ホームエリアネットワーク（ＨＡＮ）、ヴァーチャルプライベートネットワーク（ＶＰＮ）、パーソナルエリアネットワーク（ＰＡＮ）、企業又はＤＭＺ（Ｄｅｍｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）ネットワークなどにアクセスすることを所望する何れかのコンピュータネットワークとすることが可能である。以降で使用される「コンピュータネットワーク」という用語は、ネットワークが１つのコンピュータ（プログラマブルマシーン）を有する実施例と、ネットワークが共にリンクした複数のコンピュータ（プログラマブルマシーン）を有する実施例とを含む。

宛先ネットワーク１７０にアクセスする任意の通信装置１１０に対する所望の又は必要とされる属性を規定する１以上のポリシーが、宛先コンピュータネットワーク１７０に関連付けされる。ポリシーの具体例として、ソフトウェアコンフィギュレーション、接続性ポリシーコンフィギュレーション、ユーザインタフェースポリシー、セキュリティコンフィギュレーション、第三者ソフトウェアポリシー、汎用ファイルダウンロード及び暗号化キーなどの１以上を含む。最新の関連付けされたポリシーの適用は、宛先通信ネットワーク１７０に適切にアクセスするための通信装置１１０を準備する。所望されるセキュリティレベルに応じて、セキュリティポリシー及び準拠性要求が、ここに記載される各種方法により１以上の各主体により設定及び／又は実施されてもよい。典型的には、宛先ネットワーク１７０などサーバにより設定及び実行されるセキュリティポリシー及び準拠性の実施は、通信装置１１０や他の主体などのクライアントにより実行されるポリシー及び実施より高い安全性を有している。

準拠ネットワーク１５０は、ここに規定及び説明されるような機能を実行するソフトウェア、ハードウェア及び／又はファームウェアの何れかの組み合わせを含む何れかのコンピュータネットワークとすることが可能である。準拠ネットワーク１５０は、宛先ネットワーク１７０の最新ポリシーについて通信装置１１０の準拠性をチェックするよう構成される。当該実施例に応じて、準拠ネットワーク１５０は、１つの場所に集中化されてもよく、又は複数の場所に分散化されてもよい。

ストップオーバーネットワーク１９８は、以下で詳細に説明されるように、準拠ネットワーク１５０に接続された後、通信装置１１０が宛先ネットワーク１７０に一部の状況において接続する何れか適切なコンピュータネットワークとすることができる。

各接続１２５、１７５及び１９５は、コンフィギュレーション１００の適用可能部分を接続するのに適した任意の接続とすることが可能である。実施例に応じて、接続１２５、１７５及び１９５の２以上の間で要素を共有してもよいし、そうでなくてもよい。実施例に応じて、接続１２５、１７５及び１９５の何れかは、他のネットワークへのアクセスの排除（例えば、ＶＰＮのケースにおけるスプリットトンネリングの不許可など）、データトランスポートのインテグリティ（例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）若しくは他のトランスポートプロトコルの使用及び／又はＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）セキュリティＩＰｓｅｃのケースにおけるメッセージダイジェストによるなど）、宛先の検証（例えば、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎなどの暗号化法を介したクライアント証明書、予め共有される秘密及び／又は相互認証を利用など）及びデータセキュリティ（例えば、交換ネットワークを介した直接的な接続及び／又はＶＰＮトンネルの暗号化などによる）の１以上を必要とするかもしれず、又はそうでないかもしれない。

ここでの記載から読者に明らかになるように、通信装置１１０は、通信装置１１０に関連する１以上の条件に基づき、準拠ネットワーク１５０、宛先ネットワーク１７０又はストップオーバーネットワーク１９８に動的に接続する。宛先ネットワーク１７０の少なくとも１つのポリシーに通信装置１１０が十分には準拠していない可能性が所定のレベル以上であるとき、通信装置１１０は、宛先ネットワーク１７０に接続することなく準拠ネットワーク１５０に接続する（すなわち、宛先ネットワーク１７０以外の準拠ネットワーク１５０との接続を確立する）。実施例に応じて、この所定のレベルは可変的なものであってもよく、準拠性が不十分である可能性がわずかであっても、一部の実施例は、宛先ネットワーク１７０以外の準拠ネットワーク１５０との接続を必要とし、他の実施例は、準拠性が不十分である可能性がかなりあったとしても、宛先ネットワーク１７０以外の準拠ネットワーク１５０との接続を必要とする。他方、実施例に応じて、宛先ネットワーク１７０との接続は、通信装置１１０が宛先ネットワーク１７０のすべてのポリシーに十分準拠している可能性が所定のレベル以上である場合に許可されてもよい。ここで、所定のレベルは、いくつかのケースでは完全な確実性を要求し、他のケースでは、完全な確実性を要求しないものとすることが可能である。例えば、通信装置１１０が十分な準拠性を有していない所定のレベルの可能性が少なくとも存在するとき、通信装置１１０は、宛先ネットワーク１７０に接続されず、準拠ネットワーク１５０に接続することが可能である。他の例として、通信装置１１０が十分な準拠性を有していることが明らかであるとき（すなわち、所定のレベルの可能性が少なくとも存在する）、通信装置は、いくつかのケースでは宛先ネットワーク１７０に接続することができる（及び任意的には、準拠ネットワーク１５０に接続可能である）。他の例として、通信装置１１０は以前の不十分な準拠性によりストップオーバーネットワーク１９８に接続されていることを仮定する。また、通信装置１１０が宛先ネットワーク１７０に現在接続可能であるか、又は宛先ネットワーク１７０に接続可能となるように現在修正可能であるが、通信装置１１０の不十分な準拠性の現在の可能性が所定のレベル以上であると信じる理由が存在すると仮定する。本例では、通信装置１１０はまず、準拠ネットワーク１５０によりチェックされてもよい。（十分な準拠性が確認されるまで、通信装置１１０は宛先ネットワーク１７０に接続しない。）本例では、通信装置１１０は、準拠ネットワーク１５０に接続されながら、ストップオーバーネットワーク１９８に接続されてもよく、又はチェックを受けるため、準拠ネットワーク１５０に再接続される必要があるかもしれない。

通信装置１１０が十分な準拠性を有しない確率及び／又は十分な準拠性を有する確率を決定する方法は、実施例に応じて可変的なものとすることが可能であり、例えば、通信装置１１０の内部及び／又は外部の１以上の条件を考慮することなどを含む可能性がある。これらの条件は、準拠ネットワークへの最後の接続からの時間（いくつかのケースでは、以前に受け付けたパスの時間有効性に等しいかもしれない）、準拠ネットワーク１５０との最後の接続からの通信装置１１０のコンフィギュレーションの変更、不十分な準拠性が疑われる又は仮定される通信装置１１０の１以上を含むかもしれない。例えば、チェックサム又はメッセージダイジェストによる通信装置１００のソフトウェアインテグリティの検証の失敗、実行中のソフトウェアの有無に関するポリシーに規定されるような固有のチェックの結果、ポリシーにより求められるものに満たない第三者ソフトウェアのバージョン、ポリシーにより求められるようなデータファイル又はソフトウェアインストールの有無、及び通信装置１１０の意図される処理を妨害しようとする試みの検出（例えば、ポリシーによっては可能でないコマンドラインユーティリティの使用、クライアント装置１１０のソフトウェアの永続的部分をシャットダウンする試み、又は通信装置１１０の各コンポーネント間の通信をブロック又は破壊する試みなど）の１以上が、通信装置１１０に不十分な準拠性を推測又は仮定させる。

図２は、本発明の実施例による準拠性に基づくダイナミックネットワーク接続のための方法を示す。本発明は、図２を参照して図示及び説明される具体的な段階又は各段階の順序により限定されるものでない。また、他の実施例は図２の図示された実施例から選択された段階のみを有することが可能であり、及び／又はさらなる段階は図２には示されないことに留意すべきである。

段階２０２において、通信装置１１０は宛先ネットワーク１７０に接続することを意図する。例えば、通信装置１１０のユーザは、宛先ネットワーク１７０に接続することを所望する表示を提供するかもしれない。本例から続けて、ユーザは、宛先ネットワーク１７０に接続するため、通信装置１１０のグラフィカルユーザインタフェース（ＧＵＩ）の“接続”ボタンを押下してもよい。他の例として、通信装置１１０上のアプリケーションは、宛先ネットワーク１７０との接続を要求するかもしれない。

いくつかの実施例では、上述されたように、不十分な準拠性の確率が所定のレベル以上であると判断されたと仮定すると、方法２００は段階２０４に移行する。不十分な準拠性が所定のレベル以上であると判断された場合、方法２００は、いくつかの実施例は段階２２０に直接移行する（すなわち、通信装置１１０が宛先ネットワーク１７０に接続する）。例えば、これらの実施例の１つでは、十分な準拠性の確率が所定のレベル以上となると判断された場合、ユーザは、段階２０４に移行するか、又は段階２２０に直接移行するという選択肢を有するかもしれない。

これらの実施例の１つでは、通信装置１１０はまず、通信装置１１０が準拠性を十分有している確率をおそらく向上させる可能性がある通信装置１１０が実行可能な任意のプロセスを実行する。本実施例では、その後になって始めて、通信装置１１０が不十分な準拠性しか有していない確率が所定のレベル以上であるか判断し、段階２０４に続く。

他の実施例では、不十分な準拠性が所定のレベル以上となるか否かに関係なく、方法２００は段階２０４に続く。本実施例では、通信装置１１０が段階２０２において宛先ネットワーク１７０に接続しようとするときは常に、方法２００は段階２０４に続く。

段階２０４では、通信装置１１０はまず準拠ネットワーク１５０に接続する。実施例に応じて、通信装置１１０は、準拠ネットワーク１５０に接続するため、予め割り当てられた１以上の秘密を要求するか、又は何れも要求しないようにしてもよい。

段階２０６において、準拠ネットワーク１５０は、通信装置１１０が宛先ネットワーク１７０の最新のポリシーに十分準拠しているかチェックする。例えば、準拠ネットワーク１５０は、脆弱性を検出するＮｅｓｓｕｓ（ｗｗｗ．ｎｅｓｓｕｓ．ｏｒｇにおいて入手可能）などの脆弱性スキャン及び／又はセキュリティスキャンの実行、アンチウイルスデータベースバージョンのチェック、オペレーティングシステムパッチレベルのチェック、実行中のプログラムの有無のチェック、インストールされたプログラム又は他のデータの有無のチェック、リスニングＴＣＰ又はＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ポートの有無のチェック、Ｓｎｏｒｔ（ｗｗｗ．ｓｎｏｒｔ．ｏｒｇにおいて入手可能）などの侵入検出システムを使用した装置１１０からのＴＣＰ及びＵＤＰトラフィックの観察、及びクライアントソフトウェアにおいてインタフェースを介し提供されるようなファイルチェックサム若しくはメッセージダイジェストなどの１以上を実行するかもしれない。

通信装置１１０は、段階２０６の準拠性チェックの検出に基づき、段階２０８において十分な準拠性を有しているとみなされた場合、通信装置１１０には段階２１６において宛先ネットワークにアクセスするためのパスが提供される（段階２１６の以下の説明を参照されたい）。通信装置１１０が十分な準拠性を有していないとみなされた場合、方法２００は段階２０９に続く。

いくつかの実施例では、通信装置１１０は、更新が存在する場合でさえ、十分な準拠性を有しているとみなされるかもしれない。例えば、これらの実施例のいくつかでは、助言的な又は強制的な更新が所望又は必要でない場合、任意的な所望される更新が利用可能であるか否かに関係なく、通信装置１１０は十分な準拠性を有するとみなされるかもしれない。任意的には、これらの実施例では、任意的な更新が準拠ネットワーク１５０などによって利用可能である場合、例外通知が生成されるかもしれない。他の実施例として、所望されるが、準拠ネットワーク１５０に容易に利用可能でない助言的及び／又は任意的な更新がある場合、通信装置１１０は十分な準拠性を有するとみなされるかもしれない。他の実施例では、任意的である場合でさえ、更新が存在及び／又は容易に利用可能であるとき、通信装置１１０は十分な準拠性を有するとみなされない。

段階２０９において、通信装置１１０を更新しようとすることによって、非準拠性を解決するための試みがなされるべきか判断される。更新が試みられるべきでないと判断された場合、通信装置は、段階２１４において宛先ネットワーク１７０から離れた状態に維持される（段階２１４の以下の説明を参照されたい）。

例えば、いくつかの実施例では、通信装置１１０に十分な準拠性を備えるための更新が準拠ネットワーク１５０に容易には利用可能でないため（例えば、通信装置１１０に感染した新たに発見されたウイルスに対する解決手段がまだ存在しないためなど）、通信装置１１０が侵入者であると推測／判断されたため、通信装置１１０のソフトウェアが侵害され、インストールが終了状態にあるため、通信装置１１０が真正クライアントとしてなりすまそうとしており、準拠性チェック処理を完了することができないためなどの１以上の理由のため、更新の試みが試行されないかもしれない（段階２０９）。

更新が試行されるべきであると判断された場合、段階２１０において、通信装置１１０は準拠ネットワーク１５０から１以上の更新を受け付ける。何れの更新が提供されるべきかの判断は、段階２０６の準拠性チェックの結果に基づく。例えば、いくつかの実施例では、通信装置１１０は、準拠ネットワーク１５０に容易に利用可能なすべての強制的及び／又は助言的更新を受け付ける。他の例として、一実施例では、通信装置１１０が任意的な更新なく十分な準拠性を有していないとみなされるため、強制的又は助言的更新が利用可能であるか否かに関係なく、通信装置１１０は段階２１０において任意的な利用可能な更新を受け付ける。他の実施例では、通信装置１１０は、強制的又は助言的更新がまた受け付けされている場合に限って、段階２１０において任意的な更新を受け付ける。

実施例に応じて、段階２１０において受け付ける更新は、セキュリティ準拠性ポリシーを実施するのに要求されるように、新たなソフトウェアなどの通信装置１１０のための新たなアイテム、既存のアイテムの新たなバージョン、パッチ、アンチウイルスデータベース更新、スパイウェア消去データベース更新、ＶＰＮ接続プロファイル、Ｘ．５０９証明書、ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）、暗号化キー（公開、共有及び／又は秘密）、ソフトウェア消去、ソフトウェアリセット、ハードウェア又はデバイスドライバ切断及び装着スクリプトの１以上を有することが可能である。適用される際、更新は宛先ネットワーク１７０の最新のポリシーに準拠するように、通信装置１１０の属性を再構成する。

段階２１２において、準拠ネットワークは、受け付けた更新が通信装置１１０に十分な準拠性を与えたか判断する。そうである場合、通信装置１１０には、段階２１６において宛先ネットワーク１７０にアクセスするのに必要とされるパスが提供される。任意的には、このパスが提供又は有効とされる前に、装置の再接続及び／又は再チェックが上述されるように要求されるかもしれない。

通信装置１１０は、実施例に応じて、何れかの理由により段階２１２において十分な準拠性がないとみなされるかもしれない。理由の具体例として、通信装置１１０のソフトウェアが侵害され、インストールが終了状態にあるため、アンチウイルス、個人ファイアウォール又はスパイウェアなどの第三者ソフトウェアに対する１以上の更新が通信装置１１０により受け付け失敗したためなどの理由の１以上を含む。

いくつかの実施例では、提供された助言的及び／又は任意的更新の受け付けが成功したか否かに関係なく、すべての強制的な更新の受け付けが成功した場合、通信装置１１０は段階２１２において十分な準拠性を有しているとみなされる。例えば、上記実施例の１つにおいて、ＩＳＳ ＲＳＤＰの実行が強制的なものであると仮定すると、段階２１０における更新がＩＳＳ ＲＳＤＰの実行を許可しない場合、通信装置１１０は十分な準拠性を有していないとみなされる。他の例として、上記実施例の１つにおいて、ログイン警告が設けられることが助言されていると仮定すると、段階２１０の更新がログイン警告を提供することに失敗した場合、通信装置１１０は依然として十分な準拠性を有しているとみなされるかもしれない（他の準拠性の問題がなければ）。通信装置１１０が十分な準拠性を有しているとみなされた場合でさえ、更新が通信装置１１０によって受け付け失敗した場合、例外通知が準拠ネットワーク１５０などにより準備されるかもしれない。

通信装置が段階２１２において十分な準拠性がないと判断された場合、通信装置１１０は、段階２１４において宛先ネットワーク１７０から離れた状態に維持される。

実施例に応じて、段階２１４は、通信装置１１０が宛先ネットワーク１７０から離れて維持されている限り、多数のアクションの１以上を有することが可能である。例えば、一実施例では、段階２１４において準拠ネットワーク１５０は、隔離ネットワークなどストップオーバーネットワーク１９８へのパスを通信装置１１０に提供する。本例を続けて、通信装置１１０は、準拠ネットワーク１５０が通信装置１１０を十分に準拠したものにするかもしれない非準拠性を解決することが可能となるまで、ストップオーバーネットワーク１９８に保持されてもよい。さらに本例を続けて、通信装置１１０は、ストップオーバーネットワーク１９８に接続している間に準拠ネットワーク１５０と接続されていてもよし、そうでなくてもよく、これにより、十分に準拠したものにするため、準拠ネットワーク１５０に再接続する必要があるかもしれないし、そうでないかもしれない。他の例として、他の実施例では、段階２１４において準拠ネットワーク１５０は、通信装置１１０を十分に準拠したものとすることが可能となるまで、通信装置１１０との接続を維持する。他の例として、他の実施例では、段階２１４において、準拠ネットワーク１５０は、宛先ネットワーク１７０のパスを通信装置１１０に提供せず、通信装置１１０は準拠ネットワーク１５０から切断することを可能にする。

一実施例では、方法２００は、段階２１４が実行された場合に終了し、通信装置１１０が再び宛先ネットワーク１７０に到達することを試みるため、方法２００は始めから再実行される。他の実施例では、段階２１４が実行されると、準拠ネットワーク１５０が段階２１２において決定された通信装置１１０の非準拠性を訂正することを可能にするかもしれない状況の変化がモニタリングされる。変化が検出された場合、更新がチェックされる。更新が準拠ネットワーク１５０に利用可能である場合、段階２１０と以降の各段階が実行される。このチェックは、具体的には、段階２１２において決定された非準拠性を解消する更新のためのものとすることが可能であり、又は段階２１２において決定された非準拠性を解消するかもしれない、又はそうでないかもしれない任意の更新についての一般的なチェックすることも可能である。他の実施例では、段階２１４が実行されると、通信装置１１０を十分に準拠的なものとしてきた状況の変化がモニタリングされ、変化が検出された場合、段階２０８と以降の各段階が実行される。

段階２１６において、準拠ネットワーク１５０により通信装置１１０にパスが提供される。このパスは、通信装置１１０が宛先ネットワーク１７０にアクセスすることを可能にする。段階２１６において通信装置１１０が宛先ネットワーク１７０にアクセ右することを可能にするため提供されるパス、又はストップオーバーネットワーク１９８に対して段階２１４において任意的に提供されるパスは、通信装置１１０が宛先ネットワーク１７０（又はストップオーバーネットワーク１９８）との接続を確立することを可能にする任意のリソースとすることが可能である。パスを提供する方法の具体例として、デジタル識別チケット及び秘密暗号化キーを提供するＫｅｒｂｅｒｏｓ認証プロトコル（ｗｅｂ．ｍｉｔ．ｅｄｕ／Ｋｅｒｂｅｒｏｓから入手可能である）の利用、予め共有されたキーの提供、以降のある時点で期限が切れるクライアント証明書の提供、通信装置１１０が宛先ネットワーク１７０又はストップオーバーネットワーク１９８に到達可能となるように、ＶＰＮサーバの位置及びそれに係る共有されたパスワード（まとめてＶＰＮプロファイル）の提供（実施例に応じて、ＶＰＮプロファイルは、使用後に通信装置１００により消去されてもよいし、そうでなくてもよい）、１回限りのパスワードの生成の１以上を含む。いくつかのケースでは、提供されたパスは、時間などの外部条件及び／又は通信装置１１０の内部の条件などに関連する有効性、何れのアプリケーションがインストール及び／又は実行されているか、準拠ネットワーク１５０との最後の接続からコンフィギュレーションに変更があったかなどの他の条件を課してもよい。例えば、一実施例では、宛先ネットワーク１７０にアクセスするためのパスは、通信装置１１０が所定の時間フレーム内に、一回又は限定された回数だけ宛先ネットワーク１７０に接続することを許可する制限的有効性を有するかもしれない。

何れかのパスを生成する方法が利用可能である。例えば、一実施例では、段階２１６（又はストップオーバーネットワーク１９８については段階２１４）において通信装置１１０に提供されるパスは、所定の秘密（ユーザ名／パスワード、ＶＰＮプロファイルなど）を伴うかもしれない。この秘密は、準拠ネットワーク１５０と宛先ネットワーク１７０（又はストップオーバーネットワーク１９８）の双方において以前に決定及び設定されているものであってもよく、又は共通のアルゴリズムに基づく秘密生成手段が、準拠ネットワーク１５０と宛先ネットワーク１７０（又はストップオーバーネットワーク１９８）の双方において設定されたものであってもよい。他の実施例では、準拠ネットワーク１５０は、通信装置１１０に提供されるパスと宛先ネットワーク（又はストップオーバーネットワーク１９８）に提供される対応するパスとの共有された秘密を生成する。他の実施例では、準拠ネットワーク１５０は、外部のチケット発行システムからのチケットを要求する。このチケットは、段階２１６（又は２１４）において通信装置１１０にわたされ、認証のため宛先ネットワーク（又はストップオーバーネットワーク１９８）に提供される。宛先ネットワーク１７０（又はストップオーバーネットワーク１９８）は、検証のためチケット発行システムにチケットを提示する。チケットの範囲は、準拠ネットワーク１５０と宛先ネットワーク１７０（又はストップオーバーネットワーク１９８）の双方を含むため、相互認証が可能となる。

実施例に応じて、準拠ネットワーク１５０と宛先ネットワーク１７０との間の分離レベルは、可変的なものであるかもしれず、準拠ネットワーク１５０と任意的なストップオーバーネットワーク１９８との間の分離レベルは、可変的なものであるかもしれない。上述されるようないくつかのケースでは、通信装置１１０に提供されるパスに加えて、１回のパスなどの対応するパスが、通信装置１１０と宛先ネットワーク１７０又はストップオーバーネットワーク１９８との間の接続を可能にするため、段階２１６において宛先ネットワーク１７０に提供されるか、又は段階２１４においてストップオーバーネットワーク１９８に提供される。これらのケースでは、準拠ネットワーク１５０と宛先ネットワーク１７０との間、及び／又は準拠ネットワーク１５０とストップオーバーネットワーク１９８との間にはある程度の接続があるかもしれない。他のケースでは、例えば、所定のパスワードや大変強力な認証が利用されるとき、対応するパスが宛先ネットワーク１７０又はストップオーバーネットワーク１９８に提供されないかもしれず、このため、これらのケースでは、準拠ネットワーク１５０と宛先ネットワーク１７０との間の分離、及び／又は準拠ネットワーク１５０とストップオーバーネットワーク１９８との間の分離はより完全なものであるかもしれない。

読者は、装置・準拠間接続１２５と装置・宛先間接続１７５は異なる（すなわち、同一でない）ものであるため、準拠ネットワーク１５０による悪意ある改ざんは、準拠性が宛先ネットワークへのゲートウェイによりチェック及び修正される関連技術より、宛先ネットワーク１７０を危うくする可能性が低い。いくつかの実施例では、パスをプロテクトするための追加的なセキュリティ手段が利用可能であり、これにより、準拠ネットワークの悪意ある改ざんが宛先ネットワーク１７０を危うくする可能性をさらに低いものとする。例えば、一実施例では、パスが暗号化によりプロテクトされ、通信装置１１０がチェックを通過した（すなわち、十分な準拠性を有すると判断された）後に始めて段階２１６において準拠ネットワーク１５０によりリリースされる。他の実施例では、パスは、通信装置１１０がチェックを通過した後に始めて段階２１６において暗号計算により生成される。他の実施例では、パスは準拠ネットワーク１５０に格納されず、チケット発行システムが相互認証のため利用される。

段階２１８において、通信装置１１０は、任意的に準拠ネットワーク１５０から切断される。また任意的に段階２１８において、段階２２０における宛先ネットワーク１７０との接続前に、何れかの受け付けされた秘密が適用される。読者は、受け付けた更新が宛先ネットワーク１７０との接続前に適用される実施例において、典型的には、更新が宛先ネットワークへのゲートウェイから受け付けされ、宛先ネットワークからの切断後に始めて適用される関連技術に対して大きな効果を奏することを認識するであろう。準拠ネットワーク１５０からの切断が宛先ネットワーク１７０との接続前には行われない実施例では、準拠ネットワーク１５０からの切断が行われたときに、何れか受け付けた更新が適用される。

段階２２０において、通信装置１１０は、段階２１６において受け付けたパスを用いて宛先ネットワーク１７０に接続する。当該パスがない場合、通信装置１１０は宛先ネットワーク２２０に接続することができないであろう。

実施例に応じて、通信装置１１０は、段階２１６において提供されるパスの他に、共有された秘密、ログインユーザ名、パスワードなど、段階２２０において宛先ネットワーク１７０に接続するための追加的な認証を要求するかもしれない。

通信装置１１０が段階２２０において宛先ネットワーク１７０に接続すると、通信装置１１０は、任意的に、ある時点における不十分な準拠性の確率が所定のレベルを超えているか検出しようとするため、段階２２２において１以上の所定の条件をモニタリングする。実施例に応じて、このモニタリングは、継続的、定期的、又は所定のイベントによりトリガー時（例えば、新たなアプリケーションが通信装置１１０にインストールされたときなど）のみとすることが可能である。モニタリングされる条件は、外部及び／又は内部条件を含む可能性がある。モニタリングされる条件の具体例として、経過時間（受け付けたパスが制限された時間に対するものであった場合）、通信装置１１０におけるコンフィギュレーションの変更、チェックサム又はメッセージダイジェストによる通信装置１００のソフトウェアインテグリティの検証結果、実行中のソフトウェアの有無に対するポリシーに規定されるような特定のチェックの結果、ポリシーにより要求されるバージョンと比較した第三者ソフトウェアのバージョン、ポリシーにより要求されるようなデータファイル又はソフトウェアインストールの有無、及び通信装置１１０の意図した処理を妨害しようとする試み（例えば、ポリシーにより不可とされたコマンドラインユーティリティの使用、クライアント装置１１０上のソフトウェアの持続的部分をシャットダウンする試み、又は通信装置１１０の各コンポーネントの間の通信をブロック又は妨害するための試みなど）の１以上を含む。

不十分な準拠性の確率が所定の閾値を下回り続ける場合、宛先ネットワーク１７０との接続が継続し、例えば、ユーザが切断を所望するとき、又は通信装置１１０上のアプリケーションがもはや宛先ネットワーク１７０へのアクセスを要求しないときなど、宛先ネットワーク１７０との接続が中断されるとき、方法２００は終了する。段階２２２のモニタリング中、不十分な準拠性の確率が所定のレベルを上回る場合、方法２００は段階２２３に続く。

段階２２３において、段階２２２のモニタリングの結果が準拠ネットワーク１５０による通信装置１１０の準拠性の再チェックを要求するか判断される。そうである場合、通信装置１１０は、段階２２４において宛先ネットワーク１７０から切断される。通信装置１１０は、任意的に段階２２６において宛先ネットワーク１７０から切断され、方法２００は段階２０６〜２２２を繰り返す。段階２１０において受け付けた更新は、具体的には、段階２２２の前のラウンドのモニタリング中に非準拠性が確率が所定のレベルを上回る確率に寄与した検出された条件を解決する更新とすることが可能であり、又は非準拠性の確率を所定のレベルを超過させた何れかの条件に関連する、又は関連しない何れかの更新とすることが可能である。通信装置１１０が宛先ネットワーク１７０との接続中に準拠ネットワーク１５０に依然として接続されている場合、段階２２６を省略することが可能である。

段階２２３において、段階２２２のモニタリングの結果が、準拠ネットワーク１５０による通信装置１１０の準拠性の再チェックを求めないと判断された場合、方法２００は、通信装置１１０が非準拠性を解消するためのアクションを実行した後に終了する。例えば、宛先ネットワーク１７０に接続している間、宛先ネットワーク１７０にアクセスするための許可なく外部へのインスタントメッセージを行わないというポリシーを仮定する。この場合、宛先ネットワーク１７０との接続中、通信装置１１０が外部へのインスタントメッセージを試みる場合、通信装置１１０は、インスタントメッセージの実行を回避するが、インスタントメッセージを回避することにより非準拠性が十分に解消されたとみなされるかもしれないため、準拠ネットワーク１５０によりチェックされる必要はないかもしれない。他の例として、ウイルスプログラムなどのプログラムが１回クラッシュした場合、通信装置１１０は、準拠ネットワーク１５０を利用することなく非準拠性を解消しようとし、他方、プログラムが何回もクラッシュした場合、通信装置は準拠ネットワーク１５０によるチェックを行うため、段階２２４において宛先ネットワーク１７０から切断するかもしれない。

他の実施例では、段階２２２のモニタリングの結果が準拠ネットワーク１５０による通信装置１１０の準拠性に対する再チェックを要求しないことが、段階２２３において決定されるいくつかのケースでは、通信装置１１０は非準拠性を解消するためのアクションを実行する前に、依然として宛先ネットワーク１７０から切断するかもしれない。

他の実施例では、段階２２２において、不十分な準拠性の確率が所定のレベルを超過したと判断された場合、通信装置１１０は宛先ネットワーク１７０から切断し、方法２００が終了される。再接続するためには、方法２００は再び最初から実行される必要がある。

他の実施例では、段階２２２〜２２６が省略され、非準拠性のモニタリングは実行されない。その代わりに、段階２０８が実行された次の時点に始めて（すなわち、宛先ネットワーク１７０との新たな接続が意図されるとき）、準拠性のチェックがチェックされる。

他の実施例では、通信装置１１０は、何れかの時点で準拠ネットワーク１５０に接続可能であり、任意的にはすべての時点で接続可能であり、このため、段階２０４及び２２６は不要であるかもしれない。これら他の実施例では、段階２０６は、一部のケースでは、段階２０２と２０６が段階２２４の直後に行われた直後に行われるかもしれない。

図３は、本発明の実施例による通信装置１１０と準拠ネットワーク１５０の各モジュールを示すブロック図３００である。

図３に示される実施例では、通信装置１１０は、接続選択モジュール３１２、接続確立モジュール３１４、更新／パス受付モジュール３１６、更新適用モジュール３１８及び条件評価モジュール３２０を有する。各モジュール３１２、３１４、３１６、３１８及び３２０は、ここに規定及び説明される機能を実行するソフトウェア、ハードウェア及び／又はファームウェアの何れかの組み合わせから構成することが可能である。いくつかの実施例では、通信装置１１０は、図３に示される各モジュールの一部を排除し、及び／又は追加的なモジュールを含む。いくつかの実施例では、通信装置１１０に含まれるような図３に示されるモジュールのいくつかは、図３の他の部分に含まれるかもしれない。通信装置１１０の図３に示される各モジュールへの分割は、理解を簡単化するためのものであり、他の実施例では、これらのモジュールの何れかは複数のモジュールに分離され、又は他の何れかのモジュールと組み合わせ可能である。

図３に示される実施例では、準拠ネットワーク１５０は、準拠チェックモジュール３５２、更新準備モジュール３５４、１以上の準拠データストア３５８及び任意的なパス準備モジュール３５６を含む。各モジュール３５２、３５４、３５６及び３５８は、ここに規定及び説明される機能を実行するソフトウェア、ハードウェア及び／又はファームウェアの何れかの組み合わせから構成することが可能である。説明の簡単化のため、以下では１つの準拠データストア２５８が説明されるが、他の実施例では、更新準備３５４及び／又は準拠チェック３５２の各機能について、個別のデータストア３５８が存在し、これらの実施例では、後述されるものと同様の方法及びシステムが必要な変更を加えて利用される。

いくつかの実施例では、準拠ネットワーク１５０は、図３に示されるモジュールの一部を排除し、及び／又は追加的なモジュールを含む。いくつかの実施例では、準拠ネットワーク１５０に含まれるような図３に示されるモジュールのいくつかは、図３の他の部分に含まれるかもしれない。準拠ネットワーク１５０の図３に示されるモジュールへの分割は、理解を簡単化するためのものであり、他の実施例では、これらのモジュールの何れかが複数のモジュールに分割されるか、又は他の何れかのモジュールに組み合わされてもよい。上述されるように、実施例に応じて、準拠ネットワーク１５０は１つの位置に集中化されてもよく、又は準拠ネットワーク１５０の各部分が複数の位置に分散化されてもよい。例えば、一実施例では、準拠ネットワーク１５０は、準拠データストア３５８に加えて、ポリシーダウンロードサービス（更新準備モジュール３５４に対応する）と、セキュリティモニタリング、スキャン、パッチ及びチケット発行サービス（準拠性チェック３５２及び任意的にパス準備３５６に対応する）の２つのサーバを有し、これらは、一体化、同一位置に配置又は各位置に配置することが可能である。他の実施例では、これら２つのサーバの機能は、より少数の又はより多数の個別マシーンに分割される。

図３に示されるモジュールを利用した処理の一例が、ここで提供される。一実施例では、接続選択手段３１２はまず、通信装置１１０が宛先ネットワーク１７０に接続することを意図したときは常に、又は不十分な準拠性の確率が所定の閾値を超える所定の状況の下で（条件評価手段３２０９により評価されるような）、準拠ネットワーク１５０との接続を選択する。本実施例では、接続確立手段３１４は、装置・準拠間接続１２５を介し準拠ネットワーク１５０に接続し、これに応答して、準拠チェック手段３５２は、通信装置１１０が宛先ネットワーク１７０の最新のポリシーとの十分な準拠性を有しているかチェックする。更新準備手段３５４は、任意的にはデータストア３５８からの更新を準備する。パス準備手段３５６は、任意的には、宛先ネットワーク１７０又はストップオーバーネットワーク１９８にアクセスするためのパスを準備する。（上述されるように、パスは予め決定され、共有され、又はチケット処理されるかもしれない。）更新／パス受付手段３１６は、準拠ネットワーク１５０から更新及び／又はパスを受け付ける。（更新が送受信された場合、準拠チェック手段３５２は、任意的に準拠性を再チェックし、パス準備手段３５６又は外部のチケット発行システムが任意的に新たな適切なパスを準備し、更新／パス受付手段３１６が、任意的にこれらのパスを受け付けるかもしれない。）受け付けたパスのタイプに基づき（存在する場合）、接続選択手段３１２は新たな（適切な）接続を選択し、接続確立手段３１４は適切な接続を確立する。本実施例を続けて、受け付けたパスが宛先ネットワーク１７０に対するものである場合、通信装置１１０は、装置・宛先間接続１７５を介し宛先ネットワーク１７０に接続する。更新適用手段３１８は、例えば、新たな接続の確立前に受け付けた更新を適用する。新たな接続が確立されると、条件評価手段３２０は、接続中に、接続選択手段３１２による他の接続選択及び／又は現在の接続からの切断を要する条件の変更（十分な準拠性の確立の変更を生じさせる）を疑う理由があるかチェックする。例えば、通信装置１１０上にウイルスが検出された場合、通信装置１１０は、宛先ネットワーク１５０から切断し、接続確立手段３１４は、必要に応じて、ウイルスを処理する更新を受け付けようとするため、装置・準拠間接続１２５を介し準拠ネットワーク１５０に接続するかもしれない。他の例として、本例では隔離ネットワークであるストップオーバーネットワーク１９８との接続が確立されていると仮定する。条件評価手段３２０が、隔離がもはや必要でないと推測した場合、条件確立手段３１４は、必要に応じて、通信装置１１０の現在の準拠性をチェックするため、準拠ネットワーク１５０に接続するかもしれない。

実施例に応じて、接続選択手段３１２は、一度に１つの接続しか選択せず、又は同時に各接続を可能にするかもしれない。例えば、一実施例では、通信装置１１０が十分な準拠性を有する確率が所定のレベル以上である場合、接続選択手段３１２は、接続確立手段３１４が準拠ネットワーク１５０などの他の接続に加えて、宛先ネットワーク１７０との接続を確立することを可能にするかもしれないが、不十分な準拠性の確率が所定のレベル以上である場合、接続選択手段３１２は、準拠ネットワーク１５０との接続を可能にするが、宛先ネットワーク１７０との接続を許可しないかもしれない（すなわち、宛先ネットワーク１７０以外）。

上述されるように、記載された各機能は、記載された各コンポーネントにより提供されるかもしれない。本発明の他の実施例では、準拠ネットワークの１以上の特徴が、宛先ネットワーク１７０に含まれ、及び／又は複製され、処理されるかもしれない。例えば、継続中のセキュリティを提供するため、チェック手段３５２などの追加的な準拠性チェック手段が、宛先ネットワーク１７０に関連付けされ、処理されるかもしれない。このため、宛先ネットワークは、装置１１０により継続中の準拠性を持続的にモニタリングすることが可能である。通信装置１１０が宛先ネットワーク１７０との接続中に準拠性を喪失したと判断された場合、当該装置はネットワークから切断され、ここに記載された方法により準拠ネットワーク１５０に再接続及びその内部において準拠性を証明することが要求されるかもしれない。

上述されるように、本発明の特徴の１つは、装置・準拠間接続１２５と装置・宛先間接続１７５との間の区別（すなわち、独立性）である。装置・準拠間接続１２５と装置・宛先間接続１７５は、装置・準拠間接続１２５と装置・宛先間接続１７５との間でいくつかの要素（すべての要素ではないが）が共有されている場合でさえ、互いに独立している。接続１２５と１７５をさらに記載したいくつかの実施例がここで詳述される。以下に記載される実施例では、説明の簡単化のため、ストップオーバーネットワーク１９８と装置・ストップオーバー間接続１９５は存在しないと仮定されるが、ストップオーバーネットワーク１９８と装置・ストップオーバー間接続１９５とを含む実施例では、以下に記載されるものと同様のシステム及び方法が、必要な変更を加えて利用可能である。

図４は、本発明の実施例による装置・準拠間接続１２５と装置・宛先間接続１７５をさらに詳細にしたコンフィギュレーション４００のブロック図である。図示された実施例では、装置・宛先間接続１７５は、（有線又は無線）物理リンク４０２とネットワーク装置４０４を有する。装置・準拠間接続１２５は、リンク４０２、ネットワーク装置４０４及びＡＡＡ（Ａｕｔｈｏｒｉｚａｔｉｏｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）サーバ４１５を有する。一実施例では、コンフィギュレーション４００は、ローカルエリアネットワーク又はキャンパスシナリオにおいて使用される。

ネットワーク装置４０４は、方法２００に従って必要に応じて、通信装置１１０からのデータが宛先ネットワーク１７０又は準拠ネットワーク１５０に転送されることを可能にする何れか適切な装置とすることが可能である。ここでの説明では、ネットワーク装置４０４が宛先ネットワーク１７０を宛先とする通信装置１１０からのデータを宛先ネットワーク１７０に送信するとき、通信装置１１０は宛先ネットワーク１７０に接続されているとみなされる。同様に、ネットワーク装置４０４が準拠ネットワーク１５０を宛先とする通信装置１１０からのデータをＡＡＡサーバ４１５（及び準拠ネットワーク１５０）に送信するとき、通信装置１１０は準拠ネットワーク１５０に接続されているとみなされる。ネットワーク装置の具体例として、ルータ、プロキシサーバ、ファイアウォール、ワイヤレスアクセスポイント、ネットワークスイッチ及びネットワークブリッジがあげられる。

一実施例では、ＡＡＡサーバ４１５は、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバである。ここで、ＲＡＤＩＵＳは、ＡＡＡサーバについて広範に設けられているプロトコルである。他の実施例は、Ｄｉａｍｅｔｅｒ、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）、Ｗｉｎｄｏｗｓ（登録商標） ＮＴ ＬＡＮ Ｍａｎａｇｅｒ（ＮＴＬＭ）又は他の何れか適切な認証タイプなど、他のタイプの認証を利用することが可能である。

説明の簡単化のため、ここで説明されるすべてのＡＡＡサーバはＲＡＤＩＵＳサーバであり、使用される認証プロトコルはＲＡＤＩＵＳプロトコルであると仮定される。しかしながら、他の認証タイプが利用される実施例では、それに類似した方法及びシステムが、必要な変更を加えて利用可能である。

ＲＡＤＩＵＳサーバは読者に周知であるため、当該プロトコルの特定の属性のみが以下で説明される。以下のＲＡＤＩＵＳメッセージタイプは本記載に関連し、以下にリストされる。

１．Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔ
ネットワークアクセス接続のための認証及び許可を要求するため、ＲＡＤＩＵＳクライアントにより送信される。

２．Ａｃｃｅｓｓ−Ａｃｃｅｐｔ
Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージに応答して、ＲＡＤＩＵＳサーバにより送信される。当該メッセージは、ＲＡＤＩＵＳクライアントに接続の試みが認証及び許可されたことを通知する。

３．Ａｃｃｅｓｓ−Ｒｅｊｅｃｔ
Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージに応答して、ＲＡＤＩＵＳサーバにより送信される。当該メッセージは、ＲＡＤＩＵＳクライアントに接続の試みが拒絶されたことを通知する。秘密が真正なものでない場合、又は接続の試みが許可されない場合、ＲＡＤＩＵＳサーバはこのメッセージを送信する。

４．Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅ
Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージに応答して、ＲＡＤＩＵＳサーバにより送信される。当該メッセージは、応答を要求するＲＡＤＩＵＳクライアントへのチャレンジである。

例えば、ＲＡＤＩＵＳプロトコルでは、Ａｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅメッセージは、当該チャレンジに回答するための秘密を有するＡｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージにより応答されるかもしれない。ここでは、このタイプのアクセスリクエストは、理解を容易にするため、“チャレンジレスポンス”と呼ばれる。

図示された実施例では、動作について、通信装置１１０は、リンク４０２に適したネットワーク装置４０４と互換性を有する何れかのプロトコルを利用して、ネットワーク装置４０４に認証を受けようとする。実施例に応じて利用可能なプロトコルの具体例として、リンクレベル、ウェブページ認証（Ｗｉ−Ｆｉホットスポット、ホテルのブロードバンドなど壁のある庭に対して）、チャレンジレスポンスをサポートするネットワークプロトコル（ＨＴＴＰベーシック認証（ＲＦＣ２０４５）、ＦＴＰ（ＲＦＣ９５９）など）などがあげられる。ＲＡＤＩＵＳサーバ４１５に対するＲＡＤＩＵＳクライアントとして動作するネットワーク装置４０４は、Ａｃｃｅｓｓ−Ｒｅｑｅｕｓｔ（チャレンジレスポンスを含む）をＲＡＤＩＵＳサーバ４１５に送信し、ＲＡＤＩＵＳサーバ４１５からＡｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅを受け取る。一実施例では、ネットワーク装置４０４を認証するのに使用されるプロトコル及びＲＡＤＩＵＳ仕様は、限定されていない個数のＡｃｃｅｓｓ−Ｃｈａｌｌｅｎｇｅ／チャレンジレスポンスメッセージがやりとりされ、これにより、認証プロトコル通信における通信装置１１０と準拠ネットワーク１５０との間のデータ交換手段を生成することを規定する。いくつかの実施例では、通信装置１１０と準拠ネットワーク１５０との間のデータペイロードは、ＲＡＤＩＵＳパケットタイプに適した属性にトンネリングされる。例えば、上記実施例の１つでは、データペイロードはチャレンジレスポンスメッセージではＵｓｅｒ−Ｐａｓｓｗｏｒｄ属性により転送され、Ａｃｃｅｓｓ−ＣｈａｌｌｅｎｇｅメッセージではＲｅｐｌｙ−Ｍｅｓｓａｇｅ属性により転送される。このトンネリングは、ネットワーキングにおいて用いられる何れか確立されたトンネリング方法により実現されるかもしれない。

例えば、段階２０６〜２１６が、認証プロトコルメッセージのパケットにおいてデータペイロードとしてトンネリングされる準拠ネットワーク１５０からの更新（段階２１０における）との認証プロトコル通信中に実行されるかもしれない。一実施例では、ＲＡＤＩＵＳサーバ４１５は、段階２１０の一部として以下の機能の１以上を実行する。サーバ４１５は、通信装置１１０からの更新リクエストを受付及び準備し、この更新リクエストを準拠ネットワーク１５０に転送し、更新データの通信装置１１０への送信を処理する。

送信の終了時、通信装置１１０は、更新が受付されたことを確認し、ネットワーク装置４０４が最終的なＡｃｅｓｓ−Ｒｅｑｕｅｓｔ（更新が受付されたことを示す）を送信することを要求するかもしれない。一実施例では、通信装置１１０は、チェックサム及び再送機能と送信エンドマーカーを有したブロック指向通信プロトコルが存在するため、送信エンドが生じたことを確認してもよい。最終的なＡｃｃｅｓｓ−Ｒｅｑｕｅｓｔは、任意的には、更新の適用を確認するため、更新処理の一部として暗号化処理により生成されるキーイング情報を含むかもしれない。

一実施例では、すべての更新の受付を示す最終的なＡｃｃｅｓｓ−ＲｅｑｕｅｓｔがＲＡＤＩＵＳサーバ４１５により受信されると、準拠ネットワーク１５０は、通信装置１１０が十分な準拠性を有しているかチェックし（段階２１２）、任意的に、適切な秘密（すなわち、適切なパス）を準備するかもしれない。あるいは、更新が試行されない場合（段階２０８に対してイエス又は段階２０９に対してノー）、準拠ネットワーク１５０は、任意的には、適切なネットワークに到達するため、適切な秘密を準備するようにしてもよい。これらの秘密（すなわち、適切なパス）は、段階２１６（ここでのパスは、宛先ネットワーク１７０にアクセスするためのものである）又は段階２１４（ストップオーバーネットワーク１９８が存在し、パスがストップオーバーネットワーク１９８に到達するためのものである実施例）において、認証プロトコル通信の一部としてＡｃｃｅｓｓ−Ａｃｃｅｐｔメッセージによりサーバ４１５によって送信される。他の実施例では、通信装置１１０が段階２１２において十分な準拠性を有していないと判断された場合、Ａｃｃｅｓｓ−Ｒｅｊｅｃｔメッセージが送信されるかもしれない。（すなわち、段階２１４において、通信装置１１０がネットワーク１７０において許可されない。）
図４のコンフィギュレーション４００の特徴は、認証プロトコル通信が認証関連データ以外の情報を送信するのに利用されるということは、読者に明らかであるべきである。典型的には、必ずしも必要ではないが、認証関連データは、Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔメッセージにおいてユーザ識別情報とパスワードとを含み、成功／失敗がＡｃｃｅｓｓ−Ａｃｃｅｐｔ／Ｒｅｊｅｃｔ／Ｃｈａｌｌｅｎｇｅメッセージに含まれる。具体的には、コンフィギュレーション４００において、認証プロトコル通信は、通信装置１１０が宛先ネットワーク１７０にアクセスするのに十分な準拠性を有しているか否かに関連するデータと、任意的には、通信装置１１０を十分に準拠させるためのデータ（すなわち、１以上の更新）とを有する。

一実施例では、通信装置１１０は、ネットワーク装置４０４と互換性を有するプロトコルにおいて認証トラフィックに限定されたアクセスを有し、宛先ネットワーク１７０に接続されたときに限って、ＴＣＰ／ＩＰ通信を確立する。

図５は、本発明の実施例による宛先ネットワーク１７０が企業ＬＡＮである無線環境におけるコンフィギュレーション４００の一例を示すブロック図５００である。図示された実施例では、リンク４０２は、例えば、ＩＥＥＥ８０２．１ｘ規格に従う無線リンクである。（すなわち、プロトコルはリンクレベルプロトコルである。）ネットワーク装置４０４は、８０２．１ｘスイッチ５０４である。通信装置１１０は、リンク５０２を介しスイッチ５０４に接続するよう構成されたラップトップなどの無線装置５１０である。宛先ネットワーク１７０は、企業リソース５７０を含む。ＡＡＡサーバ４１５は、ＲＡＤＩＵＳサーバ５１５である。準拠ネットワーク１５０は、ポリシーダウンロードサーバ５５５、セキュリティモニタリング、スキャン、パッチ及びチケット処理サーバ５５７及びデータストア５５９を有する。スイッチ５０４は、例えば、ＶＬＡＮ割当てを利用して宛先ネットワーク１７０又はＲＡＤＩＵＳサーバ４１５とＭＡＣアドレスとを関連付けするため、無線装置５１０のＭＡＣアドレスをマッチングする。一実施例では、ＲＡＤＩＵＳペイロードないに認証方法をカプセル化するＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）が、リモートユーザを認証するためＥＡＰがＩＥＥＥ８０２装置（ＩＥＥＥ８０２．１１ｂ（Ｗｉ−Ｆｉ）無線アクセスポイント及びイーサネット(登録商標)スイッチを含む）によりどのように利用可能であるか規定するネットワークポート認証のためのＩＥＥＥ８０２．１ｘ規格に従って、リモートユーザを認証するのに利用される。

図６は、本発明の他の実施例による装置・準拠間接続１２５と装置・宛先間接続１７５をさらに詳細にしたコンフィギュレーション６００のブロック図である。図示された実施例は、通信装置１１０と準拠ＶＰＮサーバ６２０とを有するエンドポイントを有する準拠ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）６１０を利用する。読者により理解されるように、準拠ＶＰＮ６１０は、インターネットなどの共有された又はパブリックネットワークを介したリンクを含むプライベートネットワークを拡張したものであり、それは、ポイント・ツー・ポイントプライベートリンクの１以上の性質をエミュレートするようにして、共有された又はパブリックリンクを介した通信装置１１０と準拠ネットワーク１５０との間のデータの転送を可能にする。例えば、一実施例では、ポイント・ツーポイントリンクをエミュレートするため、データは、それがエンドポイントに到達するため共有された又はパブリックな送信インターネットワークをトラバースすることを可能にするルーティング情報を提供するヘッダによりカプセル化又はラップされる。他の例として、一実施例では、プライベートリンクをエミュレートするため、送信されるデータは秘匿化するためカプセル化される。実施例に応じて、ＶＰＮ６１０は、ユーザ認証、アドレス管理及び暗号化キー管理などのセキュリティ手段の１以上をさらに又は代わりに提供するかもしれない。図示された実施例では、装置・準拠間接続１２５は、ＶＰＮサーバ６２０と、ＶＰＮサーバ６２０と通信装置１１０との間の接続とを有する。

図示された実施例では、動作について、ＶＰＮ６１０が確立されている間に、各段階２０６〜２１６が実行される。何れかの更新（段階２１０から）及び／又はパス（ストップオーバーネットワーク１９８による実施例の段階２１６又は２１４から）が、準拠ＶＰＮ６１０を介し転送される。通信装置１１０が準拠していると判断されると（更新の受付により、又は更新を受け付けることなく）、一実施例では、準拠ＶＰＮ６１０は、段階２１８の一部として提供されるかもしれない。準拠ＶＰＮ６１０は、完全なネットワーク接続を提供し、すべてのＴＣＰ／ＩＰプロトコルへのアクセスを提供するが、他の何れのネットワークへのアクセスを排除する準拠ＶＰＮ６１０を有する宛先ネットワーク１７０から分離した独立したネットワーク環境を可能にする。

図７は、本発明の実施例によるコンフィギュレーション６００の一例を示すブロック図７００である。図示された実施例では、通信装置１１０はラップトップ７１０であり、装置・準拠間接続１２５は、ネットワークアクセスサーバ７０２、インターネット７０４及び準拠ＶＰＮサーバ６２０を有する。準拠ＶＰＮ６１０は、装置・準拠間接続１２５（すなわち、ネットワークアクセスサーバ７０２、インターネット７０４及び準拠ＶＰＮサーバ６２０）とラップトップ７１０とを含む。装置・宛先間接続１７５は、ネットワークアクセスサーバ７０２、インターネット７０４及び企業ＶＰＮサーバ７５０を有する。企業ＶＰＮ７４５は、装置・宛先間接続１７５（すなわち、ネットワークアクセスサーバ７０２、インターネット７０４及びＶＰＮサーバ７５０）とラップトップ７１０とを有する。宛先ネットワーク１７０は、企業リソース７７０を含む。他の実施例では、宛先ネットワーク１７０は、インターネット（無制限なアクセスなど）又は通信装置１１０がアクセスすることを所望する何れかのコンピュータネットワークとすることが可能である。準拠ネットワーク１５０は、ポリシーダウンロードサーバ７５５、セキュリティモニタリング、スキャン、パッチ及びチケット処理サーバ７５７並びにデータストア７５９を有する。

いくつかの実施例では、無制限なインターネットへのラップトップ７１０によるアクセスは、ラップトップ７１０がインターネット７０４を含む装置・準拠間接続１２５を介し準拠ネットワーク１５０に接続されている間でさえブロックされるかもしれない。例えば、上記実施例の１つでは、ラップトップ７１０上のネットワークアダプタは、（ネットワークアダプタを構成するための）ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）及びＩＰＳｅｃ（ＶＰＮトンネル及びコンフィギュレーションのための）のみを許可するフィルタによりプロテクトされるかもしれない。他の実施例では、ラップトップ７１０のネットワークアダプタは、８０２．１１ホットスポット検出及びＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）ＶＰＮ処理のためＤＨＣＰ及びＨＴＴＰのみを許可するフィルタによりプロテクトされるかもしれない。

例えば、任意的にダイアルアップサービスを利用する際、インターネットを介し準拠ＶＰＮサーバ６２０に接続することが許可されるように（すなわち、段階２０４を実行することが可能とされる秘密を受信する）、コンフィギュレーション７００はＲＡＤＩＵＳサーバ７０８を含む。他の実施例では、ＲＡＤＩＵＳサーバ７０８は、例えば、秘密が要求されない場合、他の認証ソースが利用される場合、及び／又はＣＤＭＡ（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ）、ＤＳＬ（Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）などの準拠ＶＰＮサーバ６２０へのアクセスが常に利用可能である場合、省略されてもよい。

いくつかのケースでは、ポリシーダウンロードサーバ７５５は、企業ＶＰＮサーバ７５０による利用されるパス（すなわち、上述された宛先ネットワーク１７０に提供される対応するパス）を生成するかもしれない。ＲＡＤＩＵＳサーバ７０８がコンフィギュレーション７００に含まれる実施例では、対応するパスがＲＡＤＩＵＳサーバ７０８に配設されるかもしれない。同様に、ストップオーバーネットワーク１９８による実施例では、ストップオーバーネットワーク１９８により使用されるパスが、ＲＡＤＩＵＳサーバ７０８に生成及び配設されてもよい。

動作について、ラップトップ７１０は、任意的に、インターネット認証を受け付けるため、ＲＡＤＩＵＳサーバ７０８にアクセスする。ラップトップ７１０は、その後に、準拠性についてチェックするため（段階２０８）、並びに必要な場合及び所望される場合、更新及び／又はパスを受け付けるため（段階２１０／２１４／２１６）、装置・準拠間接続１２５を介しポリシーダウンロードサーバ７５５及びセキュリティモニタリング、スキャン、パッチ及びチケット処理サーバ７７７（準拠ネットワーク１５０の）にアクセスする。チェック及び／又は受付が完了すると、準拠ＶＰＮ６１０は任意的に分割され、受け付けた更新が適用される（段階２１８）。その後、ラップトップ７１０は、装置・宛先間接続１７５を介し企業リソース７７０にアクセスする（段階２２０）。

本発明の他の特徴では、図４のコンフィギュレーション４００は、通信装置８１０との間の何れか適切なタイプのデータ転送のため、ＲＡＤＩＵＳチャレンジリクエスト及びチャレンジレスポンスメッセージを利用するよう変更される。図８は、本発明の実施例による装置・ネットワーク間接続８２５を利用してコンピュータネットワーク８５０と通信装置８１０との間でデータを転送するためのコンフィギュレーション８００（コンフィギュレーション４００から変更された）のブロック図である。通信装置８１０は、コンピュータネットワーク８５０との通信を含む、ここに規定及び説明されるような機能を実行するよう構成されたソフトウェア、ハードウェア及び／又はファームウェアの何れかの組み合わせであってもよい。通信装置８１０の具体例として、適用可能なコンピュータネットワーク８５０に応じて、携帯電話、ページャ、ファックス機、電話、デスクトップコンピュータ、ラップトップコンピュータ、他のタイプのコンピュータ、携帯情報端末（ＰＤＡ）などがあげられる。コンピュータネットワークは、ＴＣＰ／ＩＰ、ＨＤＬＣ、通信装置８１０と共有されるリンクレベルプロトコルなどの何れか適切なコンピュータネットワークとすることが可能である。装置・ネットワーク間接続８２５は、無線又は有線物理リンク８０２、ネットワーク装置８０４（例えば、ルータ、プロキシサーバ、ファイアウォール、無線アクセスポイント、ネットワークスイッチ及び／又はネットワークブリッジなど）、及びＡＡＡサーバ８１５を含む。ＡＡＡサーバ８１５は、ＲＡＤＩＵＳ、Ｄｉａｍｅｔｅｒ、ＬＤＡＰ、Ｗｉｎｄｏｗｓ（登録商標） ＮＴ ＬＡＮマネージャ（ＮＴＬＭ）を含む何れか適切な認証タイプを利用可能であるが、上述されるように、説明の簡単化のため、すべてのＡＡＡサーバは本説明ではＲＡＤＩＵＳサーバであると仮定される。任意的には、コンフィギュレーション８００のリンク８０２とネットワーク装置８０４はまた、通信装置８１０と他のネットワークとを接続する１以上の追加的な接続の一部であってもよい。コンフィギュレーション８００が、通信装置８１０とコンピュータネットワーク８５０との間でデータを転送する方法に関連して説明される。

図９は、本発明の実施例による通信装置８１０とコンピュータネットワーク８５０との間でデータを転送する方法９００のフローチャートである。本発明は、図９を参照して図示及び説明された具体的な各段階又は各段階の順序により限定されるものでない。また、他の実施例は、図９に図示された実施例から選択された段階のみ及び／又は図９に示されていない追加的な各段階を有することが可能であることが留意されるべきである。

段階９０２において、ＲＡＤＩＵＳサーバ８１５に対するＲＡＤＩＵＳクライアントとして機能するネットワーク装置８０４は、ＲＡＤＩＵＳサーバ８１５にアクセスリクエストを転送する。段階９０４において、無制限な個数のアクセスチャレンジ／チャレンジレスポンスメッセージが、ネットワーク装置８０４とＲＡＤＩＵＳサーバ８１５との間でやりとりされ、これにより、認証プロトコル通信において通信装置８１０とコンピュータネットワーク８５０との間のデータ交換手段が生成される。いくつかの実施例では、通信装置８１０とネットワーク８５０との間のデータペイロードは、例えば、チャレンジレスポンスメッセージおけるＵｓｅｒ−Ｐａｓｓｗｏｒｄ属性及びアクセスチャレンジメッセージにおけるＲｅｐｌｙ−Ｍｅｓｓａｇｅ属性において、ＲＡＤＩＵＳパケットタイプに適した属性によりトンネリングされる。このトンネリングは、ネットワーキングにおいて用いられる何れか確立されたトンネリング方法により実現可能である。段階９０６において、通信装置８１０とネットワーク８５０との間のデータの所望又は要求された転送が完了すると、認証プロトコル通信は終了する。例えば、一実施例では、通信装置８１０は、すべてのデータが転送されたことを確認するかもしれない。（例えば、チェックサム及び再送機能と送信エンドマーカーによるブロック指向通信プロトコルなどがあるため。）従って、通信装置８１０は、ネットワーク装置８０４が最終的なＡｃｃｅｓｓ−Ｒｅｑｅｕｓｔを送信するよう要求するかもしれない。最終的なアクセスリクエストは、任意的には、暗号化処理により生成されるキーイング情報を含むかもしれない。本例を続けて、ＲＡＤＩＵＳサーバ８１５は、任意的には、認証プロトコル通信のクローズ処理の一部としてＡｃｃｅｓｓ−Ａｃｃｅｐｔ又はＡｃｃｅｓｓ−Ｒｅｊｅｃｔメッセージを利用して、認証を許可又は拒絶するかもしれない。

図８のコンフィギュレーション８００及び方法９００の特徴は、認証プロトコル通信が認証関連データ以外の情報を送信するのに利用されるということであることが、読者に明らかであるべきである。典型的には、必ずしも必要ではないが、認証関連データは、アクセスリクエストメッセージにユーザ識別情報及びパスワードを有し、成功／失敗が、Ａｃｃｅｓｓ−Ａｃｃｅｐｔ／Ｒｅｊｅｃｔ／Ｃｈａｌｌｅｎｇｅメッセージに含まれる。具体的には、コンフィギュレーション８００及び方法９００において、認証プロトコル通信は、通信装置８１０とコンピュータネットワーク８５０との間で何れか適切なタイプのデータを転送するのに利用可能である。

本発明が限られた個数の実施例に関して説明されたが、本発明はこれらに限定されるものでなく、本発明の多数の変形、変更、改良及び他の適用が読者に明らかとなるであろう。

図１は、本発明の実施例による準拠性に基づくダイナミックネットワーク接続のためのコンフィギュレーションのブロック図である。 図２は、本発明の実施例による準拠性に基づくダイナミックネットワーク接続のための方法のフローチャートである。 図３は、本発明の実施例による図１のコンフィギュレーションにおける通信装置及び準拠ネットワークの各モジュールを示すブロック図である。 図４は、本発明の実施例による図１のコンフィギュレーションにおける通信装置と宛先ネットワークとの間の接続と、通信装置と準拠ネットワークとの間の接続とを示すブロック図である。 図５は、本発明の実施例による図４の各接続の例を示すブロック図である。 図６は、本発明の他の実施例による図１のコンフィギュレーションにおける通信装置と宛先装置との間の接続と、通信装置と準拠ネットワークとの間の接続とを示すブロック図である。 図７は、本発明の実施例による図６の各接続の例を示すブロック図である。 図８は、本発明の実施例による認証プロトコル通信におけるデータを転送するためのコンフィギュレーションのブロック図である。 図９は、本発明の実施例による認証プロトコル通信におけるデータを転送するための方法のフローチャートである。

Claims (26)

1. 通信装置が宛先ネットワークのポリシーに準拠することを可能にするシステムであって、
   当該通信装置が宛先ネットワークの少なくとも１つの所定のポリシーに十分に準拠しているかチェックし、当該通信装置が前記少なくとも１つの所定のポリシーに十分準拠していない場合、当該通信装置が前記宛先ネットワークに接続することを許可しないよう構成された準拠ネットワークに接続するよう構成される通信装置と、
   前記準拠ネットワークと前記通信装置との間を接続するための第１コンフィギュレーションと、前記第１コンフィギュレーションから少なくとも部分的に変更され、前記通信装置と前記宛先ネットワークとの間を接続するための第２コンフィギュレーションとを有する接続と、
   を有するシステム。
2. 前記準拠ネットワークはまた、必要に応じて、前記通信装置を前記少なくとも１つの所定のポリシーに十分準拠させることを試みるよう構成される、請求項１記載のシステム。
3. 前記準拠ネットワークは、前記通信装置が前記少なくとも１つの所定のポリシーに十分準拠していると判断された場合、前記宛先ネットワークにアクセスするためのパスを前記通信装置に提供するよう構成される、請求項１記載のシステム。
4. 前記第１コンフィギュレーションは、ネットワーク装置とＡＡＡ（Ａｕｔｈｏｒｉｚａｔｉｏｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）サーバとを有する、請求項１記載のシステム。
5. 前記ネットワーク装置と前記ＡＡＡサーバとの間の認証プロトコル通信において、データが前記通信装置と前記準拠ネットワークとの間で転送される、請求項４記載のシステム。
6. 前記データは、前記準拠ネットワークから前記通信装置への少なくとも１つの更新を有する、請求項５記載のシステム。
7. 前記ネットワーク装置は、８０２．１ｘスイッチを有する、請求項４記載のシステム。
8. 前記第１コンフィギュレーションは、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）サーバを有する、請求項１記載のシステム。
9. データは、バーチャルプライベートネットワークを介し前記通信装置と前記準拠ネットワークとの間で転送され、
   前記バーチャルプライベートネットワークは、前記通信装置、ネットワークアクセスサーバ、インターネット及び前記ＶＰＮサーバを有する、請求項８記載のシステム。
10. 前記データは、前記準拠ネットワークから前記通信装置への少なくとも１つの更新を含む、請求項９記載のシステム。
11. 当該通信装置と宛先ネットワークとの間の接続又は当該通信装置と前記宛先ネットワーク以外の準拠ネットワークとの間の接続を選択する手段と、
    前記選択された接続を確立する手段と、
    を有する通信装置であって、
    前記選択する手段は、当該通信装置が前記宛先ネットワークの少なくとも１つの所定のポリシーに十分準拠していない確率が所定のレベルを超えたとき、前記宛先ネットワーク以外の準拠ネットワークとの接続を選択するよう構成される通信装置。
12. 少なくとも１つの所定の条件を評価する手段をさらに有し、
    前記評価された少なくとも１つの所定の条件が、当該通信装置のための前記接続の選択において前記選択する手段により使用される、請求項１１記載の通信装置。
13. 前記準拠ネットワークから更新を受け付ける手段と、
    前記受け付けた更新を当該通信装置に適用する手段と、
    をさらに有する、請求項１１記載の通信装置。
14. 当該通信装置の前記宛先ネットワークへのアクセスを許可するパスを前記準拠ネットワークから受け付ける手段をさらに有し、
    前記接続を選択する手段は、当該通信装置が前記パスを受け付ける手段により受付された有効なパスを保持しているとき、前記宛先ネットワークとの接続を選択するよう構成される、請求項１１記載の通信装置。
15. 通信装置が宛先ネットワークのポリシーに準拠することを可能にする方法であって、
    前記通信装置に該通信装置と前記宛先ネットワークとの間の接続を介し前記宛先ネットワークに接続するようにさせ、前記通信装置と前記宛先ネットワークとの間の接続とは異なる前記通信装置と準拠ネットワークとの間の接続を介し前記準拠ネットワークに接続させるよう操作するステップと、
    前記準拠ネットワークによって、前記宛先ネットワークの少なくとも１つの所定のポリシーとの十分な準拠性について前記通信装置をチェックするステップと、
    前記通信装置が前記少なくとも１つの所定のポリシーとの十分な準拠性を有しない場合、前記通信装置が前記宛先ネットワークに接続することを禁止するステップと、
    を有する方法。
16. 前記通信装置によって、該通信装置が前記少なくとも１つの所定のポリシーとの十分な準拠性を有しない場合、前記準拠ネットワークから少なくとも１つの適切な更新を受け付けるステップと、
    前記準拠ネットワークによって、前記通信装置が前記少なくとも１つの所定のポリシーとの十分な準拠性を以降に有しなくなったかチェックするステップと、
    を有する、請求項１５記載の方法。
17. 前記通信装置を前記準拠ネットワークから切断し、前記宛先ネットワークに接続ずる前に、前記受け付けた少なくとも１つの適切な更新を適用するステップをさらに有する、請求項１６記載の方法。
18. 前記準拠ネットワークが前記通信装置を前記少なくとも１つの所定のポリシーに十分準拠させることができない場合、前記通信装置を隔離ネットワークに接続するステップをさらに有する、請求項１５記載の方法。
19. 前記通信装置が前記宛先ネットワークの少なくとも１つの所定のポリシーのすべてに十分準拠していると前記準拠ネットワークが判断した場合、前記準拠ネットワークによって、前記宛先ネットワークに接続するためのパスを前記通信装置に提供するステップをさらに有する、請求項１５記載の方法。
20. 前記宛先ネットワークとの接続中に前記通信装置によって少なくとも１つの所定の条件をモニタリングし、前記通信装置が少なくとも１つの所定のポリシーとの十分な準拠性を有していない確率が所定のレベルを超過する場合、前記非準拠性を修正しようとするステップをさらに有する、請求項１９記載の方法。
21. 前記修正しようとするステップは、前記宛先ネットワークから前記通信装置を切断し、前記準拠ネットワークによって、前記通信装置が十分な準拠性を有しているかチェックし、必要に応じて、前記宛先ネットワークに再接続することを許可する前に、前記通信装置を十分準拠させることを含む、請求項２０記載の方法。
22. 前記通信装置を前記準拠ネットワークに接続するステップは、前記通信装置が十分な準拠性を有しない確率が所定のレベルを超過したとき実行される、請求項１５記載の方法。
23. 通信装置とコンピュータネットワークとの間でデータを転送する方法であって、
    ＡＡＡサーバとそれのクライアントとの間の認証プロトコル通信において前記通信装置と前記コンピュータネットワークとの間でデータを転送するステップを有し、
    前記データは、前記認証プロトコルに関連しないデータを含む方法。
24. 前記コンピュータネットワークは、準拠ネットワークを有し、
    前記データは、前記通信装置に対する前記準拠ネットワークからの更新を含む、請求項２３記載の方法。
25. 通信装置とコンピュータネットワークとの間でデータを転送するシステムであって、
    通信装置及びコンピュータネットワークと、
    前記通信装置と前記コンピュータネットワークとの間に接続されたＡＡＡサーバと該ＡＡＡサーバに対するクライアントと、
    を有し、
    前記サーバと前記クライアントとの間の認証プロトコル通信は、前記通信装置と前記コンピュータネットワークとの間でデータを転送するのに使用され、
    前記データは、前記認証プロトコルに関連しないデータを含むシステム。
26. 前記コンピュータネットワークは、準拠ネットワークを有し、
    前記データは、前記通信装置に対する前記準拠ネットワークからの更新を含む、請求項２５記載のシステム。

Images