JP5068495B2

JP5068495B2 - 分散型認証機能

Info

Publication number: JP5068495B2
Application number: JP2006222961A
Authority: JP
Inventors: サデイア・ダラニコタ; リユツク・アブシリス; ゴパル・スーリヤ
Original assignee: アルカテル−ルーセント
Priority date: 2005-09-01
Filing date: 2006-08-18
Publication date: 2012-11-07
Anticipated expiration: 2026-08-18
Also published as: WO2007030238A3; EP1764975B1; EP1764975A1; US8069475B2; CN1925399A; JP2007068161A; WO2007030238A2; US20070050839A1; KR20080047587A; KR101325790B1

Description

本明細書の開示は、一般にデータネットワークで認証機能を促進することに関し、より詳細にはＩＥＥＥ８０２．１Ｘ規格を使用した受動光ネットワーク（ＰａｓｓｉｖｅＯｐｔｉｃａｌＮｅｔｗｏｒｋ）で認証機能を促進することに関する。

電気電子学会（ＩＥＥＥ）の８０２．１Ｘ規格（すなわち８０２．１Ｘ）はネットワークのアクセス制御を促進するための規格である。この規格は、例えば受動光ネットワーク（ＰａｓｓｉｖｅＯｐｔｉｃａｌＮｅｔｗｏｒｋ）（ＰＯＮ）、ワイファイ無線ネットワーク等のデータネットワークで、ユーザトラフィックを認証および制御するための効果的な枠組みを提供する。８０２．１Ｘの基本的な機能は、（例えば、特定の種類のトラフィックについて）認証が完了するまで、ネットワークポートを使用不能にしておくことである。８０２．１Ｘの制御下にあるこのようなネットワークポートは、本明細書では制御下のポートと呼ばれる。結果によって、制御下のポートはすべてのトラフィックに対して利用可能となるか、または少なくともトラフィックの一部について使用不能のままであるかのいずれかである。

８０２．１Ｘは、認証メッセージの受け渡しを行うために拡張認証プロトコル（ＥＡＰ）を使用する。「ＬＡＮ上のＥＡＰ（ＥＡＰｏＬ）」は、イーサネット（登録商標）などのパケットネットワークのために特に構成されている。８０２．１Ｘは認証セッションの開始および終了、ならびにサプリカントとオーセンティケータとの間のＥＡＰメッセージの受け渡し、およびオーセンティケータを介したサプリカントから認証サーバへのＥＡＰメッセージの受け渡しのためにＥＡＰｏＬを使用する。遠隔認証ダイヤルインユーザサービス（ＲｅｍｏｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌＩｎＵｓｅｒＳｅｒｖｉｃｅ）（ＲＡＤＩＵＳ）プロトコルは、オーセンティケータから認証サーバへＥＡＰメッセージを送信するために使用される典型的なプロトコルである。サプリカントとはネットワークへのアクセスを要求するエンティティ（例えばユーザまたはクライアント）であり、オーセンティケータとはネットワークポートをサプリカントに与えるネットワークデバイス（例えばアクセスポイント（ＡＰ）、ネットワークアクセスサーバ（ＮＡＳ）等）であり、認証サーバとは認証を与えるサーバである。一部のネットワーク（例えば比較的小規模のネットワーク）では、認証サーバはしばしばオーセンティケータと同じネットワーク要素に配置される。

従来の方法では、最初の８０２．１Ｘ認証機能はサプリカントがオーセンティケータとの接続を試みることから始まる。オーセンティケータは、クライアントから認証サーバへＥＡＰパケットのみを渡すために、ポート（すなわち制御下のポート）を使用可能にすることによって応答する。オーセンティケータはサプリカントの身元を確認できるまで、ＨＴＴＰ、ＤＨＣＰおよびＰＯＰ３パケットなど、その他すべてのトラフィックを遮断する。オーセンティケータは、サプリカントの身元の認証を促進するために、認証サーバと相互に作用する。一旦サプリカントの身元がうまく認証されると、オーセンティケータはその他の種類のトラフィック用の制御されたポートを開く。

８０２．１Ｘを介した認証を実施するための従来の方法は、低電力、低コストのデバイスにとって、全面的な機能はコストが高くつきすぎ、複雑すぎるという点で制限される。例えばＰＯＮの光ネットワーク端末（ＯＮＴ）は、比較的高度なデータプレーンのパケット処理機能と比較的制限された制御プレーン機能とを備えた、比較的低コスト、低電力のデバイスとして意図的に設計されている。したがって、オーセンティケータのポートアクセスエンティティ（ＰｏｒｔＡｃｃｅｓｓＥｎｔｉｔｙ）（ＰＡＥ）機能のすべてを８０２．１Ｘを介してＯＮＴ上で動作させることは、ＲＡＤＩＵＳクライアント機能を備えたＯＮＴでホストＩＰスタックを必要とするので、ＯＮＴのコストと複雑さとが増すことに加え、ＯＮＴで厳重なセキュリティおよび処理能力の要件が必要となる。

したがって、比較的低電力、低コストのデバイスで、コスト面で有効な８０２．１Ｘを介した認証の実施を可能にするための方法は、実用的で有益なものとなろう。

本発明の実施形態は、細部の８０２．１Ｘ処理を比較的よりコストの高い、より高機能なＰＯＮの光回線端末（ＯｐｔｉｃａｌＬｉｎｅＴｅｒｍｉｎａｌ）（ＯＬＴ）に残しておいて、受動光ネットワーク（ＰＯＮ）の光ネットワーク端末（ＯＮＴ）などの低電力、低コストのデバイスでの、コスト効率的な８０２．１Ｘ認証機能の実施を提供する。本発明は、例えば通信リンクを介して機能ブロック間で情報を透過的に送信するためのトンネリングプロトコルを備えた個別のネットワーク要素で実装されることが可能な機能ブロックに、８０２．１Ｘ認証機能を分解することによって行われる。ＯＮＴはＰＯＮにサービスを提供するＯＬＴにしっかりと結合されているため、オーセンティケータのポートアクセスエンティティ（ＰＡＥ）機能はＯＮＴとＯＬＴとの間で効果的かつ効率的に分散させることが可能である。この分散型の配置で、ＯＮＴは（すなわちポートからのパケットを受理または拒否するために）制御下のポートのステートマシンの実施に対して責任を負い、ＯＬＴは局所または遠隔の身元認証（例えばサプリカントの身元認証）を含めた、オーセンティケータＰＡＥ機能の残り部分（ｒｅｍａｉｎｄｅｒ）に対して責任を負う。ＯＮＴ上の制御下のポートの機能の実施は比較的単純な方法で提供されるが、一方で８０２．１ＸのセキュリティはＯＮＴで実施される。そのようにする中で、本発明の実施形態はＯＮＴなどの比較的低電力、低コストのデバイスを介し、８０２．１Ｘの認証機能の実施に関する制限を有利に克服する。

本発明の１つの実施形態では、方法は非認証メッセージを送信しようとするエンティティの身元が認証されるまで、ＰＯＮのＯＮＴからの前記非認証メッセージの送信を抑制することと、ＰＯＮのＯＬＴによる受信のためのＯＮＴからの認証要求と、エンティティのためにＯＮＴによりエンティティ認証確認を受信したことに応答して、ＯＮＴからの非認証メッセージの送信を可能にすることとを備える。ＯＮＴからの非認証メッセージの送信を抑制すること、およびＯＮＴからの非認証メッセージの送信を可能にすることはＯＮＴによって実行される。

本発明の別の実施形態では、ＰＯＮはＯＮＴとＯＬＴとを備える。ＯＮＴは少なくとも１つのデータ処理デバイスと、少なくとも１つのデータ処理デバイスに接続されたメモリと、メモリからアクセス可能な、またＯＮＴの少なくとも１つのデータ処理デバイスによって処理可能なＯＮＴ命令とを含む。ＯＮＴ命令は、非認証メッセージを送信しようとするエンティティの身元が認証されるまでＯＮＴからの前記非認証メッセージの送信を抑制すること、およびそのエンティティについてエンティティ認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にすることを、ＯＮＴの少なくとも１つのデータ処理デバイスが促進することができるように構成される。

本発明の別の実施形態では、ＰＯＮはオーセンティケータＰＡＥ機能の制御下のポートの動作を提供するように構成されたＯＮＴと、オーセンティケータＰＡＥ機能のエンティティ認証の動作を提供するように構成されたＯＬＴとを備える。ＯＮＴとＯＬＴとは、これらの間の相互作用が可能になるように相互に接続される。

ここで本発明の具体的な態様を見ると、少なくとも１つの実施形態で、ＰＯＮは少なくとも１つのデータ処理デバイスと、ＯＬＴの少なくとも１つのデータ処理デバイスに接続されたメモリと、メモリからアクセス可能な、またＯＬＴの少なくとも１つのデータ処理デバイスによって処理可能なＯＬＴ命令とを含むＯＬＴをさらに備える。ＯＬＴ命令は、エンティティの身元を認証すること、および身元が認証されたことに応答してエンティティ認証確認を送信することを、ＯＬＴの少なくとも１つのデータ処理デバイスが促進することができるように構成される。

本発明の少なくとも１つの実施形態では、ＯＮＴからの非認証メッセージの送信を抑制すること、およびＯＮＴからの非認証メッセージの送信を可能にすることはＯＮＴによって実行される。

本発明の少なくとも１つの実施形態では、本発明による方法および命令は、エンティティの身元を認証し、身元が認証されたことに応答して、ＯＮＴによる受信のためにエンティティ認証確認を送信するようにそれぞれ構成されている。

本発明の少なくとも１つの実施形態では、エンティティの身元を認証すること、およびエンティティ認証確認を送信することは、ＯＬＴと認証サーバとのうちの少なくとも１つによって実行される。

本発明の少なくとも１つの実施形態で、エンティティ認証要求を送信すること、およびエンティティ認証確認を送信することのそれぞれは、ＯＮＴとＯＬＴとの間の専用トンネルを介して拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路からＥＡＰメッセージを抽出することのうちの少なくとも１つとを含む。

本発明の少なくとも１つの実施形態で、本発明による方法および命令は、エンティティの身元を認証することが実行されることが可能になるように、エンティティ認証要求をオーセンティケータＰＡＥ機能に向けて送るようにそれぞれが構成される。

本発明のこれら、およびその他の目的、実施形態、利点および／または特徴は、図面および添付の特許請求の範囲に関連する以下の詳述をさらに吟味することで、容易に明らかとなろう。

図１Ａ〜１Ｃは本明細書では方法１００と呼ばれる、本発明による方法を示す。方法１００は、分散型の配置でＩＥＥＥ８０２．１ＸのオーセンティケータＰＡＥ機能を実行するために構成される。この分散型の配置で、ＰＯＮのＯＮＴは、（すなわちポートからのパケットを受理または拒否するために）制御下のポートのステートマシンの実施に対して責任を負い、ＯＮＴに接続されたＰＯＮのＯＬＴは、局所または遠隔のエンティティの身元認証（例えばサプリカントの身元認証）を含めた、オーセンティケータＰＡＥ機能の残り部分に対して責任を負う。したがって方法１００により、８０２．１Ｘオーセンティケータ機能の制御下のポートの動作は、比較的低電力、低コストのデバイスであるＯＮＴを介して有利に実施されるようになる。

ＯＮＴはＰＯＮのファイバ基盤を通じてＯＬＴに接続される。ＯＮＴは加入者の構内でイーサネット（登録商標）のポート接続性を提供する。この方法では、ＯＮＴは例えばネットワーク接続性を備えたパーソナルコンピュータシステムなどの、顧客構内機器（ＣＰＥ）を提供する。本発明によるＯＮＴは、戸建用ユニットのＯＮＴか、または集合住宅用ユニットのＯＮＴであってよいことを本明細書で開示する。本明細書ではまた、本発明が特定の型またはブランドのＯＮＴを介した実施態様に限定されないことも開示する。本明細書での開示を見ることで、当業者には本発明が任意の数の異なる型および／またはブランド、またはＯＮＴに適用可能であることが理解されよう。

ここで図１Ａを参照すると、方法１００は、ＯＮＴの制御下のポート上で非ＥＡＰメッセージの送信を抑制する動作１０２をＯＮＴが実行することで開始される。このために、ＯＮＴは制御下のポートがうまく認証されるまで、ＯＮＴの制御下のポート上のすべての非ＥＡＰメッセージを中断する。本発明によるメッセージは１つもしくは複数のパケット、またはその他の種類のデータ伝送ユニットから構成されてよいことが本明細書で開示される。

サプリカントの制御で、ＣＰＥは接続されたＯＮＴによる受信のためにＥＡＰ開始メッセージを送信する動作１０４を実行する。ＥＡＰ開始メッセージを送信する動作１０４は、ＥＡＰ開始メッセージの準備を促進することを含む。ＥＡＰ開始メッセージは、ＯＮＴの制御下のポートを介した非ＥＡＰメッセージの送信および／または受信を求めるＣＰＥの要望を通信する情報を含む。

ＥＡＰ開始メッセージを受信する動作１０６をＯＮＴが実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ身元要求メッセージを送信する動作１０８を実行する。ＥＡＰ身元要求メッセージを送信する動作１０８は、ＥＡＰ身元要求メッセージの準備を促進することを含む。ＥＡＰ身元要求メッセージは、サプリカントの認証情報（例えばユーザネームおよびパスコード）を求める要求を通信する情報を含む。

ＥＡＰ身元要求メッセージを受信する動作１１０をＣＰＥが実行したことに応答して、ＣＰＥはＯＮＴによる受信のためにＥＡＰ応答メッセージ（すなわちサプリカントの認証要求）を送信する動作１１２を実行する。ＥＡＰ応答メッセージを送信する動作１１２は、ＥＡＰ応答メッセージの準備を促進することを含む。ＥＡＰ応答メッセージは、要求されるサプリカントの認証情報を含む。

ＥＡＰ応答メッセージを受信する動作１１４をＯＮＴが実行したことに応答して、ＯＮＴはＯＮＴに用いられるＯＬＴによる受信のためにＥＡＰ応答メッセージを転送する動作１１６を実行する。本明細書で、送信（ｔｒａｎｓｍｉｔｔｉｎｇ）という用語は送信（ｓｅｎｄｉｎｇ）と転送（ｆｏｒｗａｒｄｉｎｇ）を含むものとして定義される。しかしながら転送とは一般的に、メッセージを送信するデバイスによって作成されていないメッセージを送信することを意味する。ＯＬＴはＥＡＰ応答メッセージを受信する動作１１８を実行し、その後、認証サーバによる受信のためにＥＡＰ応答メッセージを転送する動作１２０を実行する。

認証サーバはＥＡＰ応答メッセージを受信する動作１２２を実行する。ＥＡＰ応答メッセージに含まれる情報（例えばサプリカントの資格）、および認証サーバに保持されている情報（例えば知られている真正のサプリカントの資格）によって、認証サーバはサプリカントの身元の確実性を判定する動作１２４を実行する。サプリカントの身元の確実性を判定する中で、認証サーバはＯＬＴ（すなわちオーセンティケータ）に代わってサプリカントの資格を確認する。サプリカントの身元が真正であると判定される場合、認証を行うサーバはＯＬＴおよびＯＮＴを介したＣＰＥによる受信のために承認メッセージ（すなわちエンティティ認証確認）を送信する動作１２６を実行する。サプリカントの身元が真正ではないか、または認証不可能と判定される場合、認証を行うサーバはＯＮＴおよびＯＬＴを介したＣＰＥによる受信のために拒否メッセージを送信する動作１２８を実行する。

遠隔認証ダイヤルインユーザサービス（ＲＡＤＩＵＳ）機能によって構成されたバックエンドサーバは、認証サーバの一例である。上で開示された方法の身元認証はＲＡＤＩＵＳサーバで実施されてもよいことが本明細書で開示される。本明細書ではまた、ＯＬＴとＲＡＤＩＵＳサーバなどのバックエンド認証サーバとの間の通信は、「ＲＡＤＩＵＳプロトコル上のＥＡＰ」カプセル化機能を使用して実行されてもよいことも開示される。

ここで図１Ｂを参照すると、サプリカントの確認が真正と判定され、認証を行うサーバがＯＬＴおよびＯＮＴを介したＣＰＥによる受信のために承認メッセージを送信する場合、ＯＬＴはＥＡＰ承認メッセージを受信する動作１３０を実行し、その後ＯＮＴによる受信のためにＥＡＰ承認メッセージを転送する動作１３２を実行する。ＥＡＰ承認メッセージを受信する動作１３４を実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ承認メッセージを転送する動作１３６を実行し、ＯＮＴの制御下のポートでの非ＥＡＰメッセージの送信を可能にする動作１３８を実行する。ＣＰＥはＥＡＰ承認メッセージを受信する動作１４０を実行し、それによってエンティティ認証確認がＣＰＥを介してサプリカントに提示されるようにする。

図１Ｃに示されるように、ＯＮＴが、ＯＮＴの制御下のポートでの非ＥＡＰメッセージの送信を可能にした後のある時点で、ＣＰＥはＯＮＴによる受信のためにログオフメッセージを送信する動作１４２を実行する。例えば、ログオフメッセージはサプリカントの要求で送信されてもよく、または制御下のポート上での定められた休止期間の後（すなわち、いかなる非ＥＡＰトラフィックもない定められた期間の後）で送信されてもよい。ログオフメッセージを受信する動作１４４を実行したことに応答して、ＯＮＴは非ＥＡＰメッセージの送信を抑制する動作１４６を実行し、非ＥＡＰメッセージが制御下のポートを介して通信されてよいように、ＯＮＴが同一か、または異なるサプリカントの身元の認証を待っている状態で、方法１００が終了する。

ログオフメッセージを送信する動作１４２はＯＬＴ（すなわちオーセンティケータ）によってか、または認証サーバによって選択的に実施されることが本明細書で開示される。例えば、オーセンティケータまたは認証サーバは、オーセンティケータによって受信されるシステム管理者からの要求に応じて、制御下のポートで識別される定められたセキュリティ侵害条件等に応じて、制御下のポート上での定められた休止期間の後（すなわち、いかなる非ＥＡＰトラフィックもない定められた期間の後）でログオフメッセージを送信してもよい。

図１Ｂに戻りこれを参照すると、サプリカントの身元が真正ではないか、または認証不可能と判定され、認証を行うサーバがＯＮＴおよびＯＬＴを介したＣＰＥによる受信のために拒否メッセージを送信する場合、ＯＬＴはＥＡＰ拒否メッセージを受信する動作１４８を実行し、その後ＯＮＴによる受信のためにＥＡＰ拒否メッセージを転送する動作１５０を実行する。ＥＡＰ拒否メッセージを受信する動作１５２を実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ拒否メッセージを転送する動作１５４を実行する。ＣＰＥはＥＡＰ拒否メッセージを受信する動作１５６を実行して、それによって非認証通知がＣＰＥを介してサプリカントに提示されるようにし、この時点で方法１００は終了する。

本発明による認証サーバは、局所の認証機能を提供するＯＬＴの機能部品（すなわちオーセンティケータ）であるか、または遠隔の認証機能を提供するＯＬＴから独立したネットワーク要素（例えばＲＡＤＩＵＳサーバ）であってもよいことが、本明細書で開示される。いずれの場合でも、認証サーバは１つまたは複数のサプリカントの資格を認証するために必要な情報（すなわち、知られている真正のサプリカントの資格）を保持する。知られている真正のサプリカントの資格は、サプリカント認証情報の確実性を判定するために、サプリカント認証情報と比較される。

ＯＬＴ（すなわちオーセンティケータ）はＥＡＰ開始メッセージを送信する動作１０４、ＥＡＰ身元要求メッセージを受信する動作１１０、およびＥＡＰ応答メッセージを送信する動作１１２を選択的に実行することが、本明細書で開示される。オーセンティケータは、ＯＮＴによって特定のトラフィックが受信されるようにする動作を、そうした非ＥＡＰのトラフィックを最初にＯＮＴが可能にすることなく実行することができる。オーセンティケータが制御下のポート上の非ＥＡＰのトラフィックフローを可能にすることを必要としてもよい状況の例は、システム管理者からのトラフィックの伝達、およびその他の認証されたエンティティからのトラフィックの伝達を含むが、これらに限定されるわけではない。オーセンティケータがそうした動作を実行する場面では、認証され、確認されるのはサプリカントの身元よりもむしろオーセンティケータの身元（例えばオーセンティケータを通じて動作する認証されたエンティティ）である。

図２は本発明によるＰＯＮの実施形態を示しており、本明細書ではＰＯＮ２００と呼ばれる。ＰＯＮ２００は、図１Ａ〜１Ｃの方法１００に関して先に開示したような認証機能を実行するように構成される。ＰＯＮ２００はＯＮＴ２０４とＯＬＴ２０８とを含む。ＯＮＴはこれに接続されたサプリカントＣＰＥ２０６（例えばパーソナルコンピューティングシステム）を有し、ＯＬＴ２０８はこれに接続された認証サーバ２１０（すなわちＯＬＴ２０８から独立したアプリケーションサーバ）を有する。ＯＮＴ２０４は、通信リンク２１１によってＯＬＴ２０８に接続される。したがって、ＯＮＴ２０４、ＣＰＥ２０６、ＯＬＴ２０８および認証サーバ２１０の間でメッセージが通信されてもよい。

ＯＮＴ２０４はデータ処理デバイス２１２、ＯＮＴ２０４のデータ処理デバイス２１２に接続されたメモリ２１４、およびメモリ２１４からのアクセスが可能で、ＯＮＴ２０４のデータ処理デバイス２１２によって処理可能なＯＮＴ命令２１６を含む。ＯＮＴ命令２１６は、他の機能の中で、データ処理デバイス２１２がオーセンティケータポートアクセスエンティティ（ＰＡＥ）機能の制御下のポートの動作を促進できるように構成される。好ましい実施形態で、そのような制御下のポートの動作はＯＮＴ２０４からの非認証メッセージの送信を抑制すること、ＯＬＴ２０８による受信のためにＯＮＴ２０４からサプリカント認証要求を送信すること、およびＯＬＴ２０８からエンティティ認証確認を受信したことに応答してＯＮＴ２０４からの非認証メッセージの送信を可能にすることを含むが、これらに限定されるわけではない。

ＯＬＴ２０８はデータ処理デバイス２１８、ＯＬＴ２０８のデータ処理デバイス２１８に接続されたメモリ２２０、およびメモリ２２０からのアクセスが可能で、ＯＬＴ２０８のデータ処理デバイス２１８によって処理可能なＯＬＴ命令２２２を含む。ＯＬＴ命令２２２は、他の機能の中で、データ処理デバイス２１２がオーセンティケータＰＡＥ機能のエンティティ認証の動作を促進できるように構成される。好ましい実施形態で、そのようなエンティティ認証の動作はサプリカントの身元を認証することと、身元が認証されたことに応答してＯＬＴ２０８およびＯＮＴ２０４を介したＣＰＥ２０６による受信のためにエンティティ認証確認を送信することとを含むが、これらに限定されるわけではない。

ＥＡＰメッセージは少なくとも２つの異なる方法によって、通信リンク２１１上でＯＮＴ２０４とＯＬＴ２０８との間で通信されてもよいことが、本明細書で開示される。第１の方法で、通信リンク２１１は事前に確立された（例えば専用の）トンネルであり、ＥＡＰメッセージは事前に確立されたトンネル上でＯＮＴ２０４とＯＬＴ２０８との間で通信される。例えば、ＬＡＮ上のＥＡＰ（ＥＡＰｏＬ）カプセル化機能を用いるイーサネット（登録商標）では、ＥＡＰメッセージは事前に確立されたトンネル上でＯＮＴ２０４からＯＬＴ２０８へ転送される。ＢＰＯＮ技術の場合、このトンネルは、ＥＡＰトラフィックのためのＯＮＴ毎の独立した専用仮想接続（ＰｒｉｖａｔｅＶｉｒｔｕａｌＣｏｎｎｅｃｔｉｏｎ）（ＰＶＣ）であることが可能である。事前に確立されたトンネル上でＯＮＴ２０４からＯＬＴ２０８へ送信されるＥＡＰメッセージは、ＯＬＴ２０８上でＰＡＥ機能に向け直される。同じく、サプリカントＣＰＥ２０６へのＥＡＰメッセージは、ＯＮＴ２０４とＯＬＴ２０８との間のトンネル上にＯＬＴ２０８によって挿入される。第２の方法で、ＥＡＰメッセージは非ＥＡＰメッセージと同じデータトンネルで転送される。非ＥＡＰメッセージを含むデータ経路からのＥＡＰメッセージの抽出が可能となるように、ＯＮＴ２０４とＯＬＴ２０８との両方でフィルタリング機構が実施される。データトンネルから抽出された、ＯＮＴ２０４からＯＬＴ２０８へのＥＡＰメッセージは、ＯＬＴ２０８上でＰＡＥ機能に向け直される。同じく、サプリカントＣＰＥ２０６のユーザへのＥＡＰメッセージは、ＯＮＴ２０４とＯＬＴ２０８との間のデータトンネルのデータ経路の中にＯＬＴ２０８によって挿入される。

前述の詳細な説明では、本発明を実行することができる具体的な実施形態を例として示した、詳細な説明の一部をなす添付の図面を参照してきた。当業者が本発明の実施形態を実行できるようにするために、これらの実施形態およびその特定の変形形態を十分に詳細に説明してきた。こうした発明の開示の精神または範囲から逸脱することなく、その他の適切な実施形態が活用され、論理的、機械的、化学的および電気的変更がなされてもよいことを理解されたい。不必要な詳述を避けるために、説明では当業者には知られているある種の情報を省略している。したがって、前述の詳細な説明は本明細書で言及される特定の形態に限定されることを意図しているのではなく、それとは反対に、添付の特許請求の精神および範囲に合理的に含まれることが可能な代替物、変更物および均等物を包含することを意図している。

図１Ｂと図１Ｃと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。図１Ａと図１Ｃと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。図１Ａと図１Ｂと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。本発明によって構成された受動光ネットワークの実施形態を示す図である。

符号の説明

１００方法
１０２、１０４、１０６、１０８、１１０、１１２、１１６、１２０、１２２、１２４、１２６、１２８、１３０、１３４、１３８、１４０、１４２、１４４、１４８、１５６動作
２００ＰＯＮ
２０４ＯＮＴ
２０６サプリカントＣＰＥ
２０８ＯＬＴ
２１０認証サーバ
２１１通信リンク
２１２、２１８データ処理デバイス
２１４、２２０メモリ
２１６ＯＮＴ命令
２２２ＯＬＴ命令

Claims

非認証メッセージを送信しようとするエンティティ（ＣＰＥ）の身元が認証されるまで受動光ネットワーク（ＰＯＮ）（２００）の光ネットワーク端末（ＯＮＴ）からの前記非認証メッセージの送信を抑制する、ＯＮＴによって実行され（１０２）、
ＯＮＴでエンティティ認証確認を受信したこと（１３４）に応答して非認証メッセージの送信を可能にする（１３８）、ＯＮＴによって実行される（１３８）、方法（１００）であって、
サプリカントの制御で、エンティティ（ＣＰＥ）は接続されたＯＮＴによる受信のためにＥＡＰ開始メッセージを送信する動作（１０４）を実行し、
ＥＡＰ開始メッセージを受信する動作（１０６）をＯＮＴが実行したことに応答して、ＯＮＴがエンティティ（ＣＰＥ）による受信のためにＥＡＰ身元要求メッセージを送信する動作（１０８）を実行し、
ＥＡＰ身元要求メッセージを受信する動作（１１０）をエンティティ（ＣＰＥ）が実行したことに応答して、エンティティ（ＣＰＥ）がＥＡＰ応答メッセージを送信する動作（１１２）を実行し、
ＥＡＰ応答メッセージを受信する動作（１１４）をＯＮＴが実行したことに応答して、ＯＮＴが、ＯＮＴに用いられる光回線端末（ＯＬＴ）による受信のためにＥＡＰ応答メッセージを転送する動作（１１６）を実行し、
ＯＬＴが、ＥＡＰ応答メッセージを受信する動作（１１８）を実行し、及び、認証サーバによる受信のためにＥＡＰ応答メッセージを転送する動作（１２０）を実行し、
認証サーバがＥＡＰ応答メッセージを受信する動作（１２２）を実行し、
認証サーバがサプリカントの身元の確実性を判定する動作（１２４）を実行し、
サプリカントの身元が真正であると判定される場合、認証サーバがＯＬＴおよびＯＮＴを介したエンティティ（ＣＰＥ）による受信のために承認メッセージを送信する動作（１２６）を実行し、
サプリカントの身元が真正ではないか、または認証不可能と判定される場合、認証サーバがＯＮＴおよびＯＬＴを介したエンティティ（ＣＰＥ）による受信のために拒否メッセージを送信する動作（１２８）を実行することを特徴とする、方法。
サプリカントの身元が真正と判定され、認証サーバがＯＬＴおよびＯＮＴを介したエンティティ（ＣＰＥ）による受信のために承認メッセージを送信する場合、ＯＬＴが、ＥＡＰ承認メッセージを受信する動作（１３０）を実行し、及び、ＯＮＴによる受信のためにＥＡＰ承認メッセージを転送する動作（１３２）を実行し、
ＥＡＰ承認メッセージを受信する動作（１３４）を実行したことに応答して、ＯＮＴが、エンティティ（ＣＰＥ）による受信のためにＥＡＰ承認メッセージを転送する動作（１３６）を実行し、及び、ＯＮＴの制御下のポートでの非ＥＡＰメッセージの送信を可能にする動作（１３８）を実行し、エンティティ（ＣＰＥ）がＥＡＰ承認メッセージを受信する動作（１４０）を実行し、
ＯＮＴが、ＯＮＴの制御下のポートへの非ＥＡＰメッセージの送信を可能にした後のある時点で、エンティティ（ＣＰＥ）、ＯＬＴ、又は認証サーバが、ＯＮＴによる受信のためにログオフメッセージを送信する動作（１４２）を実行し、
ログオフメッセージを受信する動作（１４４）を実行したことに応答して、ＯＮＴが非ＥＡＰメッセージの送信を抑制する動作（１４６）を実行し、
サプリカントの身元が真正ではないか、または認証不可能と判定され、認証サーバがＯＮＴおよびＯＬＴを介したエンティティ（ＣＰＥ）による受信のために拒否メッセージを送信する場合、ＯＬＴが、ＥＡＰ拒否メッセージを受信する動作（１４８）を実行し、及びＯＮＴによる受信のためにＥＡＰ拒否メッセージを転送する動作（１５０）を実行し、
ＥＡＰ拒否メッセージを受信する動作（１５２）を実行したことに応答して、ＯＮＴが、エンティティ（ＣＰＥ）による受信のためにＥＡＰ拒否メッセージを転送する動作（１５４）を実行し、及び、エンティティ（ＣＰＥ）がＥＡＰ拒否メッセージを受信する動作（１５６）を実行する、請求項１に記載の方法。
サプリカント認証要求を送信すること、および前記エンティティ認証確認を送信することのそれぞれが、
ＯＮＴとＯＬＴとの間の専用トンネル（２１１）を介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、
ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出することのうちの少なくとも１つを含む、請求項１に記載の方法。
前記エンティティの身元を認証することができるように、ＯＮＴでサプリカント認証要求をオーセンティケータポートアクセスエンティティ（ＰＡＥ）機能に向けて送ることをさらに含む、請求項１に記載の方法。
前記エンティティの身元を認証することおよび前記エンティティ認証確認を送信することが、少なくとも１つのＯＬＴと認証サーバとによって実行され、
サプリカント認証要求を送信することおよび前記エンティティ認証確認を送信することのそれぞれが、ＯＮＴとＯＬＴとの間の専用トンネルを介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出することのうちの少なくとも１つを含む、請求項４に記載の方法。
光ネットワーク端末（ＯＮＴ）であって、少なくとも１つのデータ処理デバイス（２１２）と、ＯＮＴの前記少なくとも１つのデータ処理デバイスに接続されたメモリ（２１４）を備えた、前記光ネットワーク端末（ＯＮＴ）と、
認証サーバ（２１０）と、
光回線端末（ＯＬＴ）（２０８）であって、少なくとも１つのデータ処理デバイス（２１８）と、ＯＬＴの前記少なくとも１つのデータ処理デバイスに接続されたメモリ（２２０）とを備えた、前記光回線端末（ＯＬＴ）と、
を備え、前記ＯＬＴと前記認証サーバが、協働してエンティティ（ＣＰＥ）の身元を認証を促進するように構成された、受動光ネットワーク（ＰＯＮ）であって、
ＯＮＴの前記少なくとも１つのデータ処理デバイスが、非認証メッセージを送信しようとするエンティティの身元が認証されるまでＯＮＴからの前記非認証メッセージの送信を抑制するように構成され、
ＯＮＴの前記少なくとも１つのデータ処理デバイスが、さらに、エンティティ認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にするように構成され、
前記認証サーバ（２１０）、前記ＯＬＴ及び前記ＯＮＴは、サプリカントの制御で、エンティティ（ＣＰＥ）が接続されたＯＮＴによる受信のためにＥＡＰ開始メッセージを送信する動作（１０４）を実行する場合に、前記エンティティと、以下の、
ＥＡＰ開始メッセージを受信する動作（１０６）をＯＮＴが実行したことに応答して、ＯＮＴがエンティティ（ＣＰＥ）による受信のためにＥＡＰ身元要求メッセージを送信する動作（１０８）を実行するステップと、
ＥＡＰ身元要求メッセージを受信する動作（１１０）をエンティティ（ＣＰＥ）が実行したことに応答して、エンティティ（ＣＰＥ）がＥＡＰ応答メッセージを送信する動作（１１２）を実行するステップと、
ＥＡＰ応答メッセージを受信する動作（１１４）をＯＮＴが実行したことに応答して、ＯＮＴが、ＯＮＴに用いられる光回線端末（ＯＬＴ）による受信のためにＥＡＰ応答メッセージを転送する動作（１１６）を実行するステップと、
ＯＬＴが、ＥＡＰ応答メッセージを受信する動作（１１８）を実行し、及び、認証サーバによる受信のためにＥＡＰ応答メッセージを転送する動作（１２０）を実行するステップと、
認証サーバがＥＡＰ応答メッセージを受信する動作（１２２）を実行するステップと、
認証サーバがサプリカントの身元の確実性を判定する動作（１２４）を実行するステップと、
サプリカントの身元が真正であると判定される場合、認証サーバがＯＬＴおよびＯＮＴを介したエンティティ（ＣＰＥ）による受信のために承認メッセージを送信する動作（１２６）を実行するステップと、
サプリカントの身元が真正ではないか、または認証不可能と判定される場合、認証サーバがＯＮＴおよびＯＬＴを介したエンティティ（ＣＰＥ）による受信のために拒否メッセージを送信する動作（１２８）を実行するステップを実行するように構成された、ことを特徴とする、受動光ネットワーク（ＰＯＮ）。
サプリカントの身元が真正と判定された場合には、
認証サーバがＯＬＴへ承認メッセージを送信するように構成され、
ＯＬＴが、認証サーバからの承認メッセージを受信するのに応答して、拡張認証プロトコル（ＥＡＰ）承認メッセージを送信するように構成され、
ＯＮＴが、ＥＡＰ承認メッセージをエンティティへ転送するように構成され、及び／又は、
サプリカントの身元が真正ではないか、または認証不可能と判定された場合には、
認証サーバがＯＬＴへ拒否メッセージを送信するように構成され、
認証サーバから拒否メッセージを受信したのに応答して、ＯＬＴが、ＥＡＰ拒否メッセージをＯＮＴへ送信するように構成され、
ＯＮＴが、ＥＡＰ拒否メッセージをエンティティへ転送するように構成された、請求項６に記載のＰＯＮ。
サプリカント認証要求を送信すること、および前記エンティティ認証確認を送信することのそれぞれが、
ＯＮＴとＯＬＴとの間の専用トンネルを介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、
ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出することとのうちの少なくとも１つを含む、請求項６に記載のＰＯＮ。
前記エンティティの身元を認証することができるように、ＯＮＴでサプリカント認証要求をオーセンティケータポートアクセスエンティティ（ＰＥＡ）機能に向けて送ることを、ＯＬＴの前記少なくとも１つのデータ処理デバイスが促進するように構成された、請求項６に記載のＰＯＮ。