JP5367936B2 - 分離サブネットを使用してセキュリティ・ポリシーを実現する方法、装置、およびネットワーク・アーキテクチャ - Google Patents

Description

本発明は、データ・ネットワークの分野に関し、より詳細には、分離サブネットワークを使用してセキュリティ・ポリシーを実現することでウィルスおよびその他の悪意があるアプリケーションからネットワーク・システムを保護する方法に関する。

インターネットとローカル・イントラネットが世界的に普及したことで、情報が配布される速度と範囲などの多数の望ましい結果が得られた一方、多くの望ましくない結果も引き起こされることになった。そのようなネットワークの実施に伴う最も知られている望ましくない結果は、コンピュータ・ウィルス、ワーム、およびその他の悪意のあるアプリケーションが容易に送信されてしまうことである。具体的には、インターネットおよびローカル・イントラネットの到来以前は、ユーザは未知の外部ソースから自分のコンピュータにデータを読み込んだりコピーする機会はほとんどなかった。ただし、今日のユーザは、例えば、ウェブ・ブラウザを用いてワールドワイドウェブからＥメールまたはダウンロードを介して未知のコンピュータから日常的にデータを受信している。したがって、ネットワーク・アクセスを提供するいかなる会社またはサービス・プロバイダもセキュリティにかかわっている。特に、ウィルスおよびその他の悪意があるアプリケーションは阻止しなければならない脅威である。大半の悪意のあるアプリケーションは、有名なオペレーティング・システム、特にＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）のすべてのバージョンなどの広範に使用されているオペレーティング・システムの知られているセキュリティの穴に付け込んでくる。それらはまず無防備なステーションに感染し、このホストを用いてこの感染および／またはネットワークに過剰な負荷をかける目的で通信を開始する。

現在、最も入手が可能なウィルス保護ソフトウェア・パッケージは、ウィルスを識別してシステムから除去することに主眼を置いている。ウィルス保護プログラムはウィルスまたはワームの知られている部分がないかＥメールおよびその他のファイルをスキャンしてコンピュータを保護する。ファイルが知られているウィルスまたはワームを含んでいると識別されるといつでも、ユーザに警報が発せられ、ファイルを除去するかファイル内のウィルスを除去することができる。新しいウィルスが識別されるといつでも、新しいウィルスの識別可能な特徴を検索するために新しいコードが記述される。ただし、ウィルス保護ソフトウェアは新しいウィルスの識別可能な特徴を知らず、ファイル・スキャン時にそれを見つけることができないため、これらのソフトウェア・プログラムは、ウィルス・ソフトウェア・プログラムが作成された後で作成された新しいウィルスに対して無効である。

本発明は、サブネットワークを使用してネットワークにアクセスするために必要なセキュリティ・ポリシーを実現する方法、装置、およびネットワーク・アーキテクチャを提供することで、従来技術の様々な欠点に対処する。

本発明の一実施形態では、ネットワークのセキュリティ・ポリシーを実現する方法は、ネットワークへの接続を望むクライアントがセキュリティ・ポリシーの現在のバージョンに準拠しているか否かを判定する工程と、クライアントがセキュリティ・ポリシーの現在のバージョンに準拠していない場合、ネットワークへのクライアントのアクセスを拒否し、クライアントをセキュリティ・ポリシーの現在のバージョンにアクセスするための分離サブネットワークに向ける工程とを含む。本発明の様々な実施形態で、分離サブネットワーク内で、非準拠クライアントは、キャプティブ・ポータルによって、セキュリティ・ポリシーの現在のバージョンにアクセスするためのローカル・サーバに向けられる。本発明の別の実施形態では、分離サブネットワーク内で、非準拠クライアントは、キャプティブ・ポータルによって、クライアントをセキュリティ・ポリシーの現在のバージョンにアクセスする所定のウェブサイトに向けるためのウェブ・サーバに向けられる。

本発明の別の実施形態では、クライアントのネットワークへの接続要求に応じてネットワークのセキュリティ・ポリシーを実現するアドレスは、情報およびプログラム命令を記憶するメモリと、命令を実行するプロセッサとを含む。アドレス・サーバは本発明の方法の工程を実行するように構成され、特に一実施形態では、ネットワークへの接続を望むクライアントがネットワークのセキュリティ・ポリシーの現在のバージョンに準拠しているか否かを決定する工程を実行するように構成され、クライアントがセキュリティ・ポリシーの現在のバージョンに準拠していない場合にはネットワークへのクライアントのアクセスを拒否してクライアントをセキュリティ・ポリシーの現在のバージョンにアクセスするための分離サブネットワークに向けるように構成される。

本発明の別の実施形態では、クライアントのネットワークへの接続要求に応じてネットワークのセキュリティ・ポリシーを実現するネットワーク・アーキテクチャは、少なくとも１つのクライアントと、非準拠クライアントをセキュリティ・ポリシーの現在のバージョンにアクセス可能にし、非準拠クライアントをネットワーク・リソースから分離する分離サブネットワークとを含み、ネットワークは少なくとも１つのクライアントのネットワークへのアクセスを制御する少なくとも１つのアドレス・サーバを含む。ネットワーク・アーキテクチャでは、アドレス・サーバは、ネットワークへの接続を望むクライアントがセキュリティ・ポリシーの現在のバージョンに準拠しているか否かを決定するように構成され、クライアントがセキュリティ・ポリシーの現在のバージョンに準拠していない場合にはネットワークへのクライアントのアクセスを拒否するように構成される。アドレス・サーバはさらにクライアントをセキュリティ・ポリシーの現在のバージョンにアクセスするための分離サブネットワークに向ける。

本発明の教示は添付図面を参照しながら以下の詳細な説明を読むことで容易に理解できる。
理解を容易にするために、可能な場合には、各図に共通する同一の要素を示すために同一の参照番号を使用している。

本発明の様々な実施形態がＩＰネットワークに関して本明細書で示されているが、本発明の特定の実施形態を本発明を限定するものとして扱ってはならない。本発明の概念は、ネットワークの少なくとも分離された部分を用いてセキュリティ・ポリシーを実現するほとんどすべてのネットワークに適用できることが当業者には明らかであり、また本発明の教示から知ることができるであろう。

図１は、本発明の一実施形態による分離サブネットワークを有するＩＰネットワークの一部の高レベル・ブロック図である。図１のＩＰネットワーク１００は、例えば、クライアント・デバイス１１０と、ＩＰネットワーク・ブランチ１２０と、分離サブネットワーク１４０（本明細書では検疫サブネットワークと呼ぶ）とを含む。図１のＩＰネットワーク１００のサブネットワーク１４０は、例えば、キャプティブ・ポータル（例えば、ルータ）１４２を含む。ＩＰネットワーク１００のＩＰネットワーク・ブランチ１２０は、ＩＰアドレス・サーバ（例えば、ＤＨＣＰサーバ）１２２などの代表的なＩＰネットワーク構成要素を含む体表的なＩＰネットワークを含む。ＩＰネットワーク・ブランチ１２０は、ファイル・サーバ、その他のクライアントおよびウェブ・サーバ（図示せず）などの他の代表的なネットワーク構成要素をさらに含む。図１のＩＰネットワーク１００のＩＰアドレス・サーバ１２２は、クライアント・ソフトウェアの最新バージョンとＩＰネットワーク１００のＩＰネットワーク・ブランチ１２０との通信に必要な最新のセキュリティ・ポリシーとに関する情報を維持する。最新のセキュリティ情報は、ウィルス保護ソフトウェアの最新バージョンなどのＩＰネットワーク・ブランチ１２０との通信に必要なセキュリティ措置に関する情報を含むことができる。クライアント・ソフトウェアは、セキュリティ・ポリシーをダウンロードするため、またはセキュリティ・ポリシーが示す他のセキュリティ措置を実行するためにクライアントが必要とするソフトウェアを含むことができる。

図１のＩＰネットワーク１００では、ＩＰアドレス・サーバ１２２がＤＨＣＰサーバとして例示されているが、本発明の代替実施形態では、ＰＰＰダイヤルイン・サーバなどのその他のサーバを本発明のＩＰネットワークのＩＰブランチ内で実施することができる。同様に、図１のＩＰネットワーク１００では、キャプティブ・ポータル１４２がルータとして例示されているが、本発明の代替実施形態では、ドメイン・ネーム・サーバ（ＤＮＳ）などのその他のデバイスを本発明のＩＰネットワークのサブネットワーク内で実施してクライアントの通信要求を転送することができる。例えば、すべての要求について同じＩＰアドレスを返送するＤＮＳサーバを実施して常に所定の開始ページを提示するように構成されたウェブ・サーバにクライアントを向けることができる。

図２は、図１のＩＰネットワーク１００のＩＰネットワーク・ブランチ１２０内で使用するのに適したアドレス・サーバの高レベル・ブロック図である。図２のアドレス・サーバ１２２は、プロセッサ２１０と情報および制御プログラムを記憶するメモリ２２０とを含む。プロセッサ２１０は、電源、クロック回路、キャッシュ・メモリなどの従来のサポート回路２３０とメモリ２２０内に記憶されたソフトウェア・ルーチンの実行を支援する回路とを協働する。アドレス・サーバ１２２はまた、アドレス・サーバ１２２と通信する様々な機能要素間のインターフェースを形成する入出力回路２４０を含む。例えば、図１の実施形態では、アドレス・サーバ１２２は信号経路Ｓ１を介してクライアント１１０と通信する。

図２のアドレス・サーバ１２２は本発明に従って様々な制御機能を実行するようにプログラミングされた汎用コンピュータとして示されているが、本発明は、例えば、特定用途向け集積回路（ＡＳＩＣ）としてハードウェアで実施することができる。したがって、本明細書に記載するプロセス工程は、ソフトウェア、ハードウェア、またはその組合せによって等価に実行できると広く解釈されるものである。

図１のＩＰネットワーク１００内で、クライアント１１０がＩＰネットワークのＩＰブランチ１２０との接続を確立すると、ＩＰアドレス・サーバ１２２はクライアント１１０からの接続にクライアント１１０から送信された特別のマークまたはトークンがないか検証する。例えば、ＤＨＣＰサーバがＩＰアドレス・サーバ１２２として実施される場合、ＤＨＣＰサーバはＤＨＣＰクライアントＩｄオプションを実施してクライアント１１０からの接続に特別のマークまたはトークンがないか検証することができる。このマークが最新のセキュリティ・ポリシーへの準拠（すなわち、例えば、セキュリティ・ポリシー・ファイル上のハッシュ値を計算し、この値をクライアント・マークが提供する値と比較することで決定された）を示す時には、ＩＰアドレス・サーバ１２２は従来のＩＰネットワーク内と同様にＩＰネットワーク・ブランチ１２０と通信するためにクライアント１１０にＩＰアドレスを発行する。

本発明のセキュリティ・ポリシーは、ほぼどのフォーマットでも表現でき、特に、ＩＰアドレス・サーバ１２２によって検証可能なように、受動的フォーマット（例えば、クライアントのメモリ内の文書）または能動的なフォーマット（例えば、スクリプト）などの様々な知られているフォーマットで表現できる。例えば、本発明の様々な実施形態で、セキュリティ・ポリシーは、クライアント１１０上で実行されるスクリプト言語（例えば、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、ＶＢＳｃｒｉｐｔなど）で表現される。スクリプト言語を使用して、例えば、Ｗｉｎｄｏｗｓ（登録商標）のレジストリ、インストールしたオペレーティング・システムのバージョン、インストールしたパッチおよびソフトウェア、インストールしたアプリケーションのバージョン、実行中のサービス、パケットを受信するためにオープンしているネットワーク・ポート、一般構成および設定、およびシステムにログインしたユーザなどのローカル・マシンの状態を参照して、クライアントが最新のセキュリティ・ポリシーに準拠しているか否かを判定できる。

図１を再度参照すると、ＩＰアドレス・サーバ１２２によって、クライアント１１０がマークを提供しないか無効な（期限切れの）マーク（例えば、期限切れのウィルス保護ソフトウェアおよび／またはその他の期限切れのセキュリティ・ポリシー）を提供したと判定した場合、クライアント１１０は、クライアント１１０を図１のＩＰネットワーク１００のサブネットワーク１４０に向けるように構成された所定のサブネットワーク範囲内のＩＰアドレスをＩＰアドレス・サーバ１２２によって割り当てられる。サブネットワーク範囲は、例えば、特別の範囲（１０．９．ｘ．ｘ）内のＩＰアドレスを含むことができる。この範囲は空いた私設アドレス空間の一部で、インターネット中にルーティングできるものではない。これは、インターネットへのルータがこの範囲内のソース・アドレスが付いたパケットをデフォルトで送信しないということを意味する。この範囲内のソース・アドレスが付いたパケットは内部ルータによっても送信されず、標準のパケット・フィルタ機能／規則を用いて、保護されるべき各サーバ（例えば、ファイル・サーバ、メール・サーバなど）でフィルタリングされることを確認する作業によって分離が完了する。より詳細には、本発明で、サブネットワーク・アドレスはクライアント１１０をサブネットワーク１４０（検疫サブネットワーク）に向け、サブネットワーク１４０はＩＰネットワーク１００の残りから、特に、ファイル・サーバ、他のクライアント、ウェブ・サーバなどのＩＰネットワーク・ブランチ１２０のネットワーク・リソースから分離された別の論理ネットワークを形成する。上記のように、分離サブネットワーク１４０は論理的に別の（物理的に別ではなく）ネットワークを含む。ただし、本発明の代替形態では、本発明のＩＰネットワークは２つの物理ソケットとユーザとの対話を実施し、第１のソケットＡ（検査済み）または第２のソケットＢ（検疫）にケーブルを接続する。ただし、第２の解決策はあまり実用的ではない。

本発明の様々な実施形態では、図１を参照すると、分離サブネットワーク１４０で、キャプティブ・ポータル１４２はクライアント１１０をオプションのローカル・サーバ１６０にリダイレクトする。ローカル・サーバ１６０は少なくとも必要なセキュリティ・ポリシーを含み、ＩＰネットワーク・ブランチ１２０へのアクセスに必要な「承認」マークを得るためにダウンロードして実行しなければならないクライアント・ソフトウェアを含む。クライアント・ソフトウェアは、ＩＰネットワーク・ブランチ１２０へのアクセスを許可されるためにクライアント１１０にインストールしなければならない必要なパッチ／ソフトウェアおよびセキュリティ・ポリシーを記述したポリシー・ファイルを提供する。クライアント・ソフトウェアはまた、クライアント１１０のウィルス・スキャンなどの追加の検査を実行できる。本発明の別の利点は、上記の構成で、クライアント・ソフトウェアはクライアント１１０によってダウンロードでき、したがって、クライアント１１０に事前インストールする必要がないということである。その結果、クライアントがクライアント・ソフトウェアをインストールする必要なしに、ネットワークはセキュリティ準拠を決定して実現できる。あるいは、クライアントがクライアント・ソフトウェアをインストールし、上記のようにローカル・サーバまたはその他のソースによって必要に応じてクライアント・ソフトウェアを更新してグレードアップすることも本発明の範囲内である。

クライアント・ソフトウェアがセキュリティ・ポリシーへの準拠を確認すると、例えば、ＤＨＣＰクライアントＩＤを所定の値に設定することでクライアント１１０は「承認」マークを付与され、以前に探したＩＰアドレスの更新が要求される。クライアント１１０が「承認」マークを付与されると、ＩＰアドレス・サーバ１２２はクライアント１１０からの通信に準拠を検出し、通常のＩＰネットワークと同様にＩＰネットワーク・ブランチ１２０との通信のためのＩＰアドレスをクライアント１１０に発行する。

本発明の代替実施形態で、図１を再度参照すると、分離サブネットネットワーク１４０内のキャプティブ・ポータル１４２はウェブ・ポータルを含む。ウェブ・ポータルはクライアント１１０からのすべてのウェブ・ブラウザ要求をインターセプトしてクライアント１１０をウェブ・ページ（図示せず）にリダイレクトする。ウェブ・ページ上で、ＩＰネットワーク・ブランチ１２０へのアクセスに必要な「承認」マークを得るためにダウンロードして実行しなければならないクライアント・ソフトウェアおよびセキュリティ・ポリシーへのリンクが提供される。前述のように、クライアント・ソフトウェアは、ＩＰネットワーク・ブランチ１２０へのアクセスを許可されるためにクライアント１１０にインストールしなければならない必要なパッチ／ソフトウェアおよびセキュリティ・ポリシーを記述したポリシー・ファイルを提供する。クライアント・ソフトウェアはまた、ウィルス・スキャンなどの追加の検査を実行できる。あるいは、不明パッチおよびその他の（セキュリティの）更新が、更新のダウンロード元へのリンクと共にユーザに提示される。検疫サブネットワーク１４０を用いてこれらの更新を取り出してインストールすることができる。

前述のように、クライアント・ソフトウェアがセキュリティ・ポリシーへの準拠を確認すると、クライアント１１０は「承認」マークを付与され（すなわち、ＤＨＣＰクライアントＩＤを所定の値に設定することで）、以前に探したＩＰアドレスの更新が要求される。今度は、ＩＰアドレス・サーバ１２２はクライアント１１０からの通信に準拠を検出し、通常のＩＰネットワークと同様にＩＰネットワーク・ブランチ１２０との通信のためのＩＰアドレスをクライアント１１０に発行する。

図３は、本発明の一実施形態によるサブネットワークを用いてセキュリティ・ポリシーを実現する方法を示す図である。工程３０２で方法３００が開始し、ＩＰネットワークへのアクセスを求めるクライアントからのアクセス要求がＩＰネットワークのＩＰアドレス・サーバによって受信される。次いで方法３００は工程３０４に進む。

工程３０４で、ＩＰネットワークのＩＰアドレス・サーバは、クライアントからの要求にＩＰネットワークとの通信に必要な最新のセキュリティ・ポリシーに準拠する、クライアントが示す特別のマークまたはトークンがあるか調べる。クライアントからの通信が要求された最新のセキュリティ・ポリシーへの準拠を示す場合、方法３００は工程３０６に進む。クライアントからの通信が要求された最新のセキュリティ・ポリシーへの非準拠を示す場合、方法３００は工程３０８に進む。

工程３０６で、ＩＰネットワークのＩＰアドレス・サーバはＩＰネットワークと通信するためのＩＰアドレスをクライアントに発行する。次いで方法３００は終了する。
工程３０８で、ＩＰネットワークのＩＰアドレス・サーバは、クライアントを分離サブネットワークに向けるように構成された以前に決定されたサブネットワーク範囲のＩＰアドレスをクライアントに割り当てる。次いで方法３００は工程３１０に進む。

工程３１０で、分離サブネットワーク内のキャプティブ・ポータルは、少なくともセキュリティ・ポリシーの最新バージョンを含むクライアント・ソフトウェアの最新バージョンを含むローカル・サーバにクライアントをリダイレクトする。次いで方法３００は工程３１２に進む。

代替工程３１０で、分離サブネットワーク内のキャプティブ・ポータルはウェブ・ポータルである。ウェブ・ポータルはクライアントからのすべてのウェブ・ブラウザ要求をインターセプトし、クライアントをウェブ・ページにリダイレクトする。ウェブ・ページ上で、少なくともセキュリティ・ポリシーの最新バージョンを含むクライアント・ソフトウェアの最新バージョンへのリンクが提供される。

工程３１２で、クライアントはクライアント・ソフトウェアをダウンロードして実行し、クライアントのセキュリティ・ポリシーを更新してＩＰネットワーク・ブランチへのアクセス権を得る。工程３１２で、クライアント・ソフトウェアはクライアントのウィルス・スキャンを実行してもよい。次いで方法３００は工程３１４に進む。

工程３１４で、クライアントによってダウンロードされたクライアント・ソフトウェアは、クライアントのセキュリティ・ポリシーへの準拠を確認し、クライアントは「承認」マークを付与され、以前に探したＩＰアドレスの更新がＩＰアドレス・サーバに要求される。ＩＰアドレス・サーバがこれを許可する。次いで方法３００は終了する。

クライアントがＩＰアドレスを介して分離サブネットワークに向けられる図１の例を参照しながら本発明の様々な実施形態について説明してきたが、上記の実施形態が本発明の分離を提供する唯一の考えられる実施態様というわけではない。例えば、ダイヤルアップ接続を達成しようとするネットワーク内で、クライアントの分離サブネットワークへのリダイレクション（すなわち、分離または検疫）は、クライアントをクライアントのセキュリティ・ポリシーの更新を提供するように構成された所定のダイヤルイン・サーバに向ける特定の番号（例えば、０８００−ＱＵＡＲＡＮＴＩＮＥ）に発呼することで実施できる。

本発明の代替実施形態では、検疫されたクライアントを分離する別の可能性は、複数の仮想ローカル・エリア・ネットワーク（ＶＬＡＮ）を使用することである。ＶＬＡＮは、実際にはＬＡＮの異なるセグメント上に物理的に位置することがあっても同じケーブルに接続されたかのように動作するコンピュータのネットワークとして定義される。ＶＬＡＮはハードウェアではなくソフトウェアで構成され、このためＶＬＡＮは極めて柔軟になっている。そのような環境で、クライアントはネットワーク・アクセスを許可される前に認証を行う必要がある。クライアントはＲＡＤＩＵＳサーバ応答で異なるＶＬＡＮ ＩＤを割り当てられる。そのようなＶＬＡＮ ＩＤの１つは「検疫ＶＬＡＮ」で、各交換機はこのＶＬＡＮ上で特定のポートにパケットを送信し、検疫されたクライアントからのパケットをルーティングする際にＶＬＡＮを通してクライアントが重要なマシンまたはリソースに達しないようにする。

本発明の代替形態で、８０２．Ｘ認証、および特に拡張可能認証プロトコル（ＥＡＰ）トンネル化方法が実施されて検疫されたクライアントを分離する。そのような実施形態では、外部識別（すなわち、トンネル設定に用いる識別）が所定の文字列値（例えば、ハッシュ値）に設定される。そのような構成によって、ＲＡＤＩＵＳサーバは準拠クライアントを非準拠クライアントと区別してクライアントに発行する適当なＶＬＡＮ ＩＤ（それぞれ正規または検疫された）および／または特定のＩＰアドレスを返送する。

本発明のさらに別の実施形態では、仮想私設網（ＶＰＮ）トンネル接続が実施されて検疫されたクライアントを分離する。そのような実施形態では、検疫されたクライアントに異なるＶＰＮサーバ・アドレス（名前またはＩＰアドレス）が使用される。ＶＰＮサーバはまた、検疫されたクライアントが所定の限定されたサーバだけにアクセスできるように、検疫されたクライアントからのパケットをルーティングする際に１組の特別なＩＰフィルタリング規則を実行することで検疫を実施できる。あるいは、別の物理イーサネット（登録商標）・カードをＶＰＮサーバに追加して、検疫されたクライアントからのパケットだけをそのイーサネット（登録商標）・インターフェースに送信することができる。

以上、本発明の様々な実施形態について説明してきたが、本発明の基本的な範囲を逸脱することなく本発明のその他の実施形態を考案することができる。したがって、本発明の適当な範囲は首記の請求の範囲に従って決定される。

本発明の一実施形態による分離サブネットワークを有するＩＰネットワークの一部の高レベル・ブロック図である。 図１のＩＰネットワーク内で使用するのに適したアドレス・サーバの一実施形態の高レベル・ブロック図である。 本発明の一実施形態によるサブネットワークを用いてセキュリティ・ポリシーを実現する方法を示す図である。

Claims (10)

1. プロセッサで実行されたときに、ネットワークのセキュリティ・ポリシーを実現する方法を該プロセッサに実行させるためのコンピュータ命令からなるコンピュータプログラムを記録するコンピュータ読み取り可能な記録媒体であって、前記方法が
   前記ネットワークへの接続を望むクライアントが前記セキュリティ・ポリシーの現在のバージョンに準拠しているか否かを判定する工程であって、前記セキュリティ・ポリシーが、クライアント上で実行するのに適合するアクティブ・フォーマットにて表現され、及び準拠が前記クライアントにより送られるトークンを検査することによって判定される工程と、
   クライアントが前記セキュリティ・ポリシーの現在のバージョンに準拠していない場合、拡張可能認証プロトコル（ＥＡＰ）を用いて、前記ネットワーク内の複数の利用可能な仮想ローカル・エリア・ネットワーク（ＶＬＡＮｓ）のうちのサブセットのみの有効なユーザとして前記クライアントを認証するようにすることにより、複数の仮想ローカル・エリア・ネットワーク（ＶＬＡＮｓ）の前記ネットワークへのクライアントのアクセスを制限する工程と、を含むコンピュータ読取り可能な記録媒体。
   
2. 前記セキュリティ・ポリシーの現在のバージョンをダウンロードすると、クライアントが前記トークンを生成する、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
3. 該セキュリティ・ポリシーの現在のバージョンに準拠していると判定された準拠クライアントに、前記ネットワークに接続するためのアドレスが発行される、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
4. 該セキュリティ・ポリシーの現在のバージョンに準拠していないと判定された非準拠クライアントは、この非準拠クライアントを該複数の利用可能な仮想ローカル・エリア・ネットワーク（ＶＬＡＮｓ）の該サブセットに向けるよう適合する所定のＩＰアドレスが発行されることによって、該複数の利用可能なＶＬＡＮｓの該サブセットに向けられる、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
5. 該セキュリティ・ポリシーの現在のバージョンに準拠していないと判定された非準拠クライアントは、該非準拠クライアントを複数の仮想ローカル・エリア・ネットワークのうちの１つのネットワークに向けるのに適合した所定のアドレスを発行されることによって、該複数の仮想ローカル・エリア・ネットワークのうちの該１つのネットワークに向けられる、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
6. 該セキュリティ・ポリシーの現在のバージョンに準拠していないと判定された非準拠クライアントは、この非準拠クライアントを該複数の利用可能なＶＬＡＮｓの該サブセットに向けるのに適合したＶＬＡＮ ＩＤが発行されることにより、該複数の利用可能なＶＬＡＮｓの該サブセットに向けられる、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
7. 該セキュリティ・ポリシーの現在のバージョンに準拠していないと判定された非準拠クライアントは、該非準拠クライアントを所定の分離したＶＬＡＮにむけるのに適合した仮想ローカル・エリア・ネットワークＩＤ（ＶＬＡＮ ＩＤ）により、分離したサブネットワークに向けられる、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
8. ＲＡＤＩＵＳサーバは、クライアントが準拠クライアントであるか又は非準拠クライアントであるかに応じて異なるＶＬＡＮ ＩＤを該クライアントに割り当て、該クライアントが非準拠クライアントである場合に、該ＶＬＡＮ ＩＤによって特定されるＶＬＡＮを通して該非準拠クライアントからのパケットを各交換機がルーティングし、該非準拠クライアントがネットワーク資源の全てに到達しないようする、請求項７に記載のコンピュータ読取り可能な記録媒体。
   
9. 該複数の利用可能なＶＬＡＮｓの該サブセットがすべてのネットワーク資源から該セキュリティ・ポリシーの現在のバージョンに準拠していないと判定された非準拠クライアントを分離する処理、
   該複数の利用可能なＶＬＡＮｓの該サブセットが、前記セキュリティ・ポリシーの現在のバージョンにアクセスするためのローカル・サーバに該非準拠クライアントを向ける処理、及び
   該複数の利用可能なＶＬＡＮｓの該サブセットは、前記セキュリティ・ポリシーの現在のバージョンにアクセスするための所定のウェブサイトに該非準拠クライアントを向けるウェブ・サーバに対して、この非準拠クライアントを向ける処理、
   のうちの少なくとも１つの処理が行われる、請求項１に記載のコンピュータ読取り可能な記録媒体。
   
10. クライアントがネットワークへの接続を要求すると前記ネットワークのセキュリティ・ポリシーを実現する装置であって、情報及びプログラム命令を記憶するメモリと、前記プログラム命令を実行するプロセッサとを含み、
    前記ネットワークへの接続を望むクライアントが前記セキュリティ・ポリシーの現在のバージョンに準拠しているか否かを判定する工程であって、前記セキュリティ・ポリシーがクライアント上で実行するのに適合したアクティブ・フォーマットで表現され、及び準拠が前記クライアントにより送られるトークンを検査することにより判定される工程と、
    クライアントが前記セキュリティ・ポリシーの現在のバージョンに準拠していない場合、拡張可能認証プロトコル（ＥＡＰ）を用いて、前記ネットワーク内の複数の利用可能な仮想ローカル・エリア・ネットワーク（ＶＬＡＮｓ）のうちのサブセットのみの有効なユーザとして前記クライアントを認証するようにすることにより、複数の仮想ローカル・エリア・ネットワーク（ＶＬＡＮｓ）の前記ネットワークへのクライアントのアクセスを制限する工程と、を遂行するよう機能する装置。

Images