(57)【要約】事前の通信ネットワークに亘るリモート、自動化および安全ネットワーク装置プロビジョニングのための装置および方法を提供する。一実施形態に従って、ネットワーク装置のアドレス可能性の自動確立は目的のネットワーク環境に対してサポートされる。工場デフォルト構成におけるネットワーク装置の起動時プロセスは、ネットワーク装置が通信し且つ目的のネットワーク環境においてアドレス可能であるようにする、アドレス可能データを含む記憶装置の存在を検出する。記憶装置の存在の検出の後、ネットワーク装置は、記憶装置に関連する通信プロトコルを用いることにより記憶装置からアドレス可能データを受信する。最終的に、ネットワーク装置のアドレス可能性は、アドレス可能データに基づいてネットワーク装置の１つまたはそれ以上のアドレスパラメータを構成することにより目的のネットワーク環境における他のノードによりアドレスされ且つそれらと通信することが可能であるように、確立される。
2005503727.tif 000002
【特許請求の範囲】
【請求項１】
工場デフォルト構成におけるネットワーク装置の起動時プロセスにより、ネットワーク装置が機能するネットワーク環境においてネットワーク装置が通信可能であり且つアドレス可能であるアドレス可能データを含む記憶装置の存在を検出する段階；
記憶装置の存在が検出した後、記憶装置からネットワーク装置にアドレス可能データをトランスポートするために記憶装置に関連するプロトコルを用いることによりアドレス可能データをネットワーク装置において受信する段階；並びに
アドレス可能データに基づいてネットワーク装置の１つまたはそれ以上のアドレスパラメータを構成することによりネットワーク環境において他のノードによりアドレスされ且つ他のノードと通信することを可能にするために起動時プロセスによりネットワーク装置のアドレス可能性を確立する段階；
から構成されることを特徴とする方法。
【請求項２】
請求項１に記載の方法であって、ネットワーク装置はデザインされたプロビジョニングポートを含み、前記記憶装置の存在を検出する段階は、デザインされたプロビジョニングポートに結合される記憶装置の存在を検出する手順を含む、ことを特徴とする方法。
【請求項３】
請求項２に記載の方法であって、デザインされたプロビジョニングポートは非同期ＥＩＡ２３２準拠通信ポートから構成される、ことを特徴とする方法。
【請求項４】
請求項２に記載の方法であって、記憶装置は、不揮発性プログラム可能メモリを含むハードウェアトークンから構成される、ことを特徴とする方法。
【請求項５】
請求項１に記載の方法であって、アドレス可能データは：
ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス；
ネットワーク装置のためのローカルＩＰサブネットマスク；
ネットワーク装置のためのデフォルトゲートウェイに関連するＩＰアドレス；並びに
リモート装置構成サーバのＩＰアドレス；
から構成される、ことを特徴とする方法。
【請求項６】
請求項１に記載の方法であって：
記憶装置から取り出されるセキュリティエータを用いて直接的または間接的に構成リクエストを暗号化し；並びに
リモート装置構成サーバに暗号化された構成リクエストを送信する；
起動時プロセスからさらに構成される、ことを特徴とする方法。
【請求項７】
請求項１に記載の方法であって、記憶装置はまた、十分定義された機能状態にネットワーク装置を移行させるために十分な構成データを含み、方法は、記憶装置からネットワーク装置に構成データをトランスポートするためにプロトコルを使用することにより構成データをネットワーク装置において受信する段階からさらに構成される、ことを特徴とする方法。
【請求項８】
請求項１に記載の方法であって、前記記憶装置の存在を検出する段階に先立って、記憶装置または他の記憶装置はネットワーク装置へのファームウェアのローディングをロードまたは制御する段階であって、ファームウェアはブート時プロセスを表す命令を含む、段階、から構成される、ことを特徴とする方法。
【請求項９】
請求項１に記載の方法であって、ブート時プロセスからリモート装置構成サーバに構成リクエストを送信する段階であって、構成リクエストは記憶装置から取り出されたセキュリティデータを含むかまたはセキュリティデータに基づいて暗号化される、ことを特徴とする方法。
【請求項１０】
請求項９に記載の方法であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、方法は、リモート装置構成サーバから構成データを構成リクエストに応じて受信する段階であって、構成データはネットワーク装置がトンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数とトンネルとを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスを含む、段階からさらに構成される、ことを特徴とする方法。
【請求項１１】
請求項１に記載の方法であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）ゲートウェイから構成される、ことを特徴とする方法。
【請求項１２】
請求項１に記載の方法であって、ネットワーク装置はルータから構成される、ことを特徴とする方法。
【請求項１３】
請求項１に記載の方法であって、前記アドレス可能データを受信する段階に先立って、且つ前記記憶装置の存在を検出する段階に応じて、ネットワーク装置がアドレス可能データの受信およびネットワーク装置の前記確立したアドレス可能性を処理するためにプロビジョニングモードに入る段階からさらに構成される、ことを特徴とする方法。
【請求項１４】
請求項１に記載の方法であって、記憶装置は無線携帯装置から構成される、ことを特徴とする方法。
【請求項１５】
請求項１に記載の方法であって、記憶装置はユニバーサルシリアルバス（ＵＳＢ）から構成される、ことを特徴とする方法。
【請求項１６】
請求項１に記載の方法であって、記憶装置はスマートカードから構成される、ことを特徴とする方法。
【請求項１７】
請求項１に記載の方法であって、記憶装置は磁気符号化カードから構成される、ことを特徴とする方法。
【請求項１８】
工場デフォルト状態からネットワーク装置が所定のネットワーク環境において通信でき且つアドレス可能である初期動作状態にネットワーク装置を移行するネットワーク装置のアドレス可能性を確立するための段階；並びに
リモート装置構成サーバからネットワークに亘って１つまたはそれ以上のデータトランスファとして残りの構成データを得ることにより所定のネットワーク環境においてネットワークトラフィックを処理するためにネットワーク装置が構成され且つ準備される、十分定義された機能状態に初期動作状態からネットワーク装置を移行させるネットワーク装置をプロビジョニングするための段階；
から構成されることを特徴とする方法。
【請求項１９】
請求項１８に記載の装置であって、前記ネットワーク装置のアドレス可能性を確立するための段階は、ネットワーク装置の非同期ＥＩＡ準拠通信ポートに結合されるハードウェアトークンの使用を含み、ハードウェアトークンは、ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス、ネットワーク装置のためのデフォルトゲートウェイに関連するＩＰアドレス、ＩＰサブセットマスクおよびリモート装置構成サーバのＩＰアドレスを含むアドレス可能データを記憶する不揮発性のプログラム可能メモリを含む、段階から構成される、ことを特徴とする方法。
【請求項２０】
請求項１８に記載の装置であって、前記ネットワーク装置のアドレス可能性を確立するための段階は、ネットワーク装置のネイティブコンソールコマンドの集合を用いてネットワーク装置を制御するネットワーク装置のポートに結合されるハードウェアトークンから構成される、ことを特徴とする方法。
【請求項２１】
工場デフォルト構成において第１バーチャルプライベートネットワーク（ＶＰＮ）装置の起動時プロセスにより、第１ＶＰＮネットワーク装置のデザインされたプロビジョニングポートに結合されるハードウェアトークンの存在を検出する段階であって、ハードウェアトークンは、第１ＶＰＮ装置がネットワーク環境において通信し且つ所定のアドレス可能であるようにするアドレス可能データを記憶した不揮発性のプログラム可能メモリを含む、段階；
ハードウェアトークンの不揮発性のプログラム可能メモリからアドレス可能データを読み取るためにハードウェアトークンに関連するプロトコルを用いることによりアドレス可能データを第１ＶＰＮ装置において受信する段階；
アドレス可能データに基づいて第１ＶＰＮ装置の１つまたはそれ以上のアドレスパラメータを設定することにより所定のネットワーク環境において他のネットワーク装置と通信することを可能にするために、起動時プロセスにより第１ＶＰＮ装置のアドレス可能性を確立する段階；
起動時プロセスからリモート装置構成サーバに構成リクエストを送信する段階であって、構成リクエストはセキュリティデータに基づいて暗号化されまたはハードウェアトークンから読み取られるセキュリティデータを含む、段階；
構成リクエストに応じて、リモート装置構成サーバからトン熱構成データを受信する段階であって、トンネル構成データは所定のネットワーク環境に関連する第２ＶＰＮ装置のインターネットプロトコル（ＩＰ）アドレスを含む、段階；並びに
トンネルをトンネル構成データに基づいてトランジットネットワークにより第１ＶＰＮ装置と第２ＶＰＮ装置との間に確立するようにする段階；
から構成されることを特徴とする方法。
【請求項２２】
請求項２１に記載の装置であって、トレンジットネットワークはプライベートインターネットワークから構成される、ことを特徴とする方法。
【請求項２３】
請求項２１に記載の装置であって、トレンジットネットワークはパブリックインターネットワークから構成される、ことを特徴とする方法。
【請求項２４】
請求項２３に記載の装置であって、トランジットネットワークはインターネットから構成される、ことを特徴とする方法。
【請求項２５】
通信することができ且つ所定のネットワーク環境においてアドレス可能である、初期動作構成に置かれる第１ネットワーク装置；並びに
第１ネットワーク装置のデザインされたプロビジョニングポートと結合されるハードウェアトークンであって、第１ネットワーク装置のためのアドレス可能データを記憶した不揮発性のプログラム可能メモリを含む、ハードウェアトークン；
から構成され、
第１ネットワーク装置は、デザインされたプロビジョニングポートにおいてハードウェアトークンの存在を検出することに応じてアドレス可能フェーズを自動的に開始することができ、アドレス可能フェーズの間に、第１ネットワーク装置はハードウェアトークンからアドレス可能データを受信し、現時点の構成から初期動作構成に移行する；
ことを特徴とするネットワーク装置プロビジョニングシステム。
【請求項２６】
請求項２５に記載のネットワーク装置プロビジョニングシステムであって：
第１ネットワーク装置のための構成データの第１集合を含む構成データの複数の集合へのアクセスを管理するためのリモート装置構成サーバ；
からさらに構成され、
第１ネットワーク装置のためのアドレス可能データはリモート装置構成の多面おインターネットプロトコル（ＩＰ）アドレスを含み；
ハードウェアトークンのプログラム可能メモリは構成データの第１集合に対応する一意の識別子をさらに記憶し；並びに
第１ネットワーク装置はアドレス可能フェーズの完了を受けて光栄フェーズを自動的に開始することができ、構成フェーズの間に、第１ネットワーク装置はリモート装置構成サーバに一意の識別子を含む構成リクエストを送信し、リモート装置構成サーバは第１ネットワーク装置に構成データの第１集合を提供することにより構成リクエストに応じる；
ことを特徴とするネットワーク装置プロビジョニングシステム。
【請求項２７】
請求項２６に記載のネットワーク装置プロビジョニングシステムであって、第１ネットワーク装置は第１バーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、構成データの第１集合は、第１ネットワーク装置がトンネルを確立する第２ＶＰＮ装置のＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数とを含む、ことを特徴とするネットワーク装置プロビジョニングシステム。
【請求項２８】
請求項２６に記載のネットワーク装置プロビジョニングシステムであって、第１ネットワーク装置はルータから構成され、構成データの第１集合はアクセス制御リスト（ＡＣＬ）の情報を含む、ことを特徴とするネットワーク装置プロビジョニングシステム。
【請求項２９】
記憶装置からアドレス可能データを受信するためのプロビジョニングインタフェースであって、アドレス可能データは、ネットワーク装置が通信し且つ目的のネットワーク環境においてアドレス可能であることを可能にする、プロビジョニングインタフェース；
ファームウェアを記憶した１つまたはそれ以上のメモリモジュールであって、起動時プロセスの間に記憶装置の存在をチェックし、記憶装置が存在する場合、アドレス可能データが記憶装置に関連するプロトコルを使用して記憶装置から受信されるようにし、および、アドレス可能データに基づいてネットワーク装置の１つまたはそれ以上のアドレスパラメータによりネットワーク装置のアドレス可能性を確立するための、１つまたはそれ以上のメモリモジュール；並びに
パワーアップまたはリセットに応じてファームウェアを実行するために１つまたはそれ以上のフラッシュメモリモジュールに結合されるプロセッサ；
から構成されることを特徴とするネットワーク装置。
【請求項３０】
請求項２９に記載のネットワーク装置であって、プロビジョニングインタフェースは非同期ＥＩＡ２３２準拠通信ポートから構成される、ことを特徴とするネットワーク装置。
【請求項３１】
請求項２９に記載のネットワーク装置であって、ファームウェアはリモート装置構成サーバに構成リクエストをさらに送信し、構成リクエストは記憶装置から取り出されるまたはセキュリティデータに基づいて暗号化される、ことを特徴とするネットワーク装置。
【請求項３２】
請求項３１に記載のネットワーク装置であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）から構成され、ファームウェアは、構成リクエストに応じて、リモート装置構成サーバから構成データをさらに受信し、構成データは、ネットワーク装置がトンネルを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数とを含む、ことを特徴とするネットワーク装置。
【請求項３３】
請求項３１に記載のネットワーク装置であって、ネットワーク装置はルータから構成され、ファームウェアは、構成リクエストに応じて、リモート装置構成サーバから構成データをさらに受信し、構成データはアクセス制御リスト（ＡＣＬ）情報を含む、ことを特徴とするネットワーク装置。
【請求項３４】
ネットワーク装置のプロセッサにより実行される場合、プロセッサが：
ネットワーク装置が通信し且つ機能するネットワーク環境においてアドレス可能であるようにされるアドレス可能データを含む記憶装置の存在を検出し；
記憶装置からネットワーク装置にアドレス可能データをトランスポートするための記憶装置に関連するプロトコルを用いることによりアドレス可能データを受信し；並びに
アドレス可能データに基づいてネットワーク装置の１つまたはそれ以上のアドレスパラメータを構成することによりネットワーク環境における他のノードによりアドレスされ且つ通信することを可能にするネットワーク装置のアドレス可能性を確立する；
ようにされる命令を表すデータを記憶した、ことを特徴とする機械読み取り可能媒体。
【請求項３５】
請求項３４に記載の機械読み取り可能媒体であって、アドレス可能データは：
ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス；
ネットワーク装置のためのローカルＩＰサブネットマスク；
ネットワーク装置のためのデフォルトゲートウェイの関連するＩＰアドレス；並びに
リモート装置構成サーバのＩＰアドレス；
から構成される、ことを特徴とする機械読み取り可能媒体。
【請求項３６】
請求項３４に記載の機械読み取り可能媒体であって、命令は、プロセッサにより実行される場合、プロセッサがリモート装置構成サーバに構成リクエストを送信するようにする命令をさらに含み、構成リクエストは記憶装置から取り出された情報に基づくセキュリティデータを含む、ことを特徴とする機械読み取り可能媒体。
【請求項３７】
請求項３４に記載の機械読み取り可能媒体であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、命令は、プロセッサにより実行される場合、プロセッサが、構成リクエストに応じて、リモート装置構成サーバから構成データを受信するようにする命令をさらに含み、構成データは、ネットワーク装置がトンネルを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数を含む、ことを特徴とする機械読み取り可能媒体。
【請求項３８】
ネットワーク装置を配置する方法であって：
ネットワーク装置を提供する段階；
ネットワーク装置のデザインされたプロビジョニングポートと結合するためにハードウェアトークンを提供する段階；
デザインされたプロビジョニングポートにおいてハードウェアと訓の存在を検出することを受けてアドレス可能フェーズを自動的に開始することができる、ネットワーク装置のためのアドレス可能データと共にハードウェアトークンの不揮発性メモリをプログラムする段階であって、アドレス可能フェーズは、ネットワーク装置がハードウェアトークンからアドレス可能データを受信し、且つ現時点の構成からネットワーク装置がネットワーク環境において通信可能であって所定のアドレス可能である初期動作構成に移行するようにする、段階；並びに
ネットワーク装置が所定のネットワーク環境においてインストールされるネットワークサイトにネットワーク装置とプログラムされた記憶装置とを別々に発送する段階；
から構成されることを特徴とする方法。
【請求項３９】
請求項３８に記載の方法であって、ネットワーク装置は、アドレス可能フェーズの完了を受けて、構成フェーズを自動的に開始することができ、その間に、ネットワーク装置はリモート構成データベースへのアクセスを管理することに対して責任をもつリモート構成サーバに構成リクエストを送信し、方法は：
リモート構成データベースにおいてネットワーク装置のための構成データを更新し、構成データをセキュリティデータの一意の集合と関連付ける段階；並びに
構成リクエストを含むネットワーク装置に提供されるセキュリティデータの一意の集合と共にハードウェアトークンの不揮発性メモリをプログラムする段階；
からさらに構成されることを特徴とする方法。
【請求項４０】
請求項３８に記載の方法であって、アドレス可能データは：
ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス；
ネットワーク装置のためのローカルＩＰサブネットマスク；
ネットワーク装置のためのデフォルトゲートウェイの関連するＩＰアドレス；並びに
リモート装置構成サーバのＩＰアドレス；
から構成される、ことを特徴とする方法。
【請求項４１】
請求項３９に記載の方法であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、構成データは、ネットワーク装置がトンネルを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数を含む、ことを特徴とする方法。
【請求項４２】
請求項４１に記載の方法であって、構成データを受信することを受けて、ネットワーク装置は、トンネルがトランジットネットワークによりピアＶＰＮ装置を用いて確立されるようにする、ことを特徴とする方法。
【請求項４３】
請求項３８に記載の方法であって、ネットワーク装置はルータから構成される、ことを特徴とする方法。
【請求項４４】
請求項３８に記載の方法であって、デザインされたプロビジョニングポートは、非同期ＥＩＡ２３２準拠通信ポートから構成される、ことを特徴とする方法。
【請求項４５】
ネットワーク装置をインストールする方法であって：
ネットワーク装置のデザインされたプロビジョニングポートにおいてハードウェアトークンの存在を検出することに応じてアドレス可能フェーズを自動的に開始することができるネットワーク装置の配送を受け取る段階；
ハードウェアトークンをネットワーク装置のデザインされたプロビジョニングポートに結合するためにハードウェアトークンの配送を受け取る段階であって、ハードウェアトークンは、ネットワーク装置が所定のネットワーク環境において通信でき且つアドレス可能である初期動作状態にネットワーク装置をするためにアドレス可能データを記憶する不揮発性のプログラム可能メモリを含む、段階；
ネットワーク装置を所定のネットワーク環境と通信可能であるように結合する段階；並びに
ハードウェアトークンをネットワーク装置のデザインされたプロビジョニングポートに結合し且つネットワーク装置を起動するようにすることによりアドレス可能フェーズを開始する段階であって、アドレス可能フェーズは、ネットワーク装置がハードウェアトークンからアドレス可能データを受信し且つ現時点の構成から初期動作構成に移行するようにする、段階；
から構成されることを特徴とする方法。
【請求項４６】
請求項４５に記載の方法であって、ハードウェアトークンの不揮発性のプログラム可能メモリはネットワーク装置のための構成データの集合に関連する一意の識別子を記憶し且つリモート構成データベースに記憶し、ネットワーク装置はアドレス可能フェーズの完了を受けて構成フェーズを自動的に開始することができ、その間に、ネットワーク装置は、構成データの集合がリモート構成データベースへのアクセスを管理することに対して責任をもつリモート構成サーバに一意の識別子を含む構成リクエストを送信することによりネットワーク装置に提供されるようにする、ことを特徴とする方法。
【請求項４７】
請求項４５に記載の方法であって、アドレス可能データは：
ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス；
ネットワーク装置のためのローカルＩＰサブネットマスク；
ネットワーク装置のためのデフォルトゲートウェイの関連するＩＰアドレス；並びに
リモート装置構成サーバのＩＰアドレス；
から構成される、ことを特徴とする方法。
【請求項４８】
請求項４６に記載の方法であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、構成データは、ネットワーク装置がトンネルを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数を含む、ことを特徴とする方法。
【請求項４９】
請求項４８に記載の方法であって、構成データを受信することを受けて、ネットワーク装置は、トンネルがトランジットネットワークによりピアＶＰＮ装置を用いて確立されるようにする、ことを特徴とする方法。
【請求項５０】
請求項４５に記載の方法であって、ネットワーク装置はルータから構成される、ことを特徴とする方法。
【請求項５１】
請求項４５に記載の方法であって、デザインされたプロビジョニングポートは、非同期ＥＩＡ２３２準拠通信ポートから構成される、ことを特徴とする方法。
【請求項５２】
ネットワーク装置を配送する方法であって：
ネットワーク装置が所定のネットワーク環境においてインストールされるカスタマネットワークサイトに工場デフォルト構成の状態にある十分に動作可能なネットワーク装置を発送する段階であって、ネットワーク装置は、ネットワーク装置のデザインされたプロビジョニングポートにおいて外付けのユーザが使い易いスマートハードウェア記憶装置の存在を決定することに応じてアドレス可能フェーズを自動的に開始することができる、段階；並びに
カスタマが自動的なプロビジョニングの特徴をリクエストした場合、ネットワーク装置のためのアドレス可能データと共に外付けのユーザが使い易いスマートハードウェア記憶装置をプログラムする段階であって、スマートハードウェア記憶装置はネットワーク装置のデザインされたプロビジョニングポートに結合し且つ動作可能フェーズが開始されるようにし、動作可能フェーズは、アドレス可能データがスマートハードウェア記憶装置からネットワーク装置にトランスファされるようにし且つネットワーク装置が工場デフォルト構成からネットワーク装置が所定のネットワーク環境において通信できアドレス可能である初期動作構成に移行することを可能にする、段階；並びに
プログラムされたスマートハードウェア記憶装置をカスタマのネットワークサイトに発送する段階；
から構成されることを特徴とする方法。
【請求項５３】
請求項５２に記載の方法であって、ネットワーク装置はアドレス可能フェーズの完了を受けて構成フェーズを自動的に開始することができ、その間に、ネットワーク装置はリモート構成データベースへのアクセスを管理することに対して責任をもつリモート構成サーバに構成リクエストを送信する、方法であり：
リモート構成データベースにおいてネットワーク装置のための構成データを更新し、構成データをセキュリティデータの一意の集合と関連付ける段階；並びに
構成リクエストを含むネットワーク装置に提供されるセキュリティデータの一意の集合と共にハードウェアトークンの不揮発性メモリをプログラムする段階；
からさらに構成されることを特徴とする方法。
【請求項５４】
請求項５２に記載の方法であって、アドレス可能データは：
ネットワーク装置のための一意のインターネットプロトコル（ＩＰ）アドレス；
ネットワーク装置のためのローカルＩＰサブネットマスク；
ネットワーク装置のためのデフォルトゲートウェイの関連するＩＰアドレス；並びに
リモート装置構成サーバのＩＰアドレス；
から構成される、ことを特徴とする方法。
【請求項５５】
請求項５３に記載の方法であって、ネットワーク装置はバーチャルプライベートネットワーク（ＶＰＮ）装置から構成され、構成データは、ネットワーク装置がトンネルを確立するピアＶＰＮ装置の少なくとも１つのＩＰアドレスと、トンネルにより許可されるトラフィックタイプのためのポートおよびプロトコル数を含む、ことを特徴とする方法。
【請求項５６】
請求項５５に記載の方法であって、構成データを受信することを受けて、ネットワーク装置は、トンネルがトランジットネットワークによりピアＶＰＮ装置を用いて確立されるようにする、ことを特徴とする方法。
【請求項５７】
請求項５２に記載の方法であって、ネットワーク装置はルータから構成される、ことを特徴とする方法。
【請求項５８】
請求項５２に記載の方法であって、デザインされたプロビジョニングポートは、非同期ＥＩＡ２３２準拠通信ポートから構成される、ことを特徴とする方法。
【請求項５９】
請求項５２に記載の方法であって、ネットワーク装置およびプログラムされたスマートハードウェア記憶装置はカスタマのネットワークサイトに別々に発送される、ことを特徴とする方法。
【請求項６０】
請求項５２に記載の方法であって、プログラムされたスマートハードウェア記憶装置は１つまたはそれ以上の中間装置によりネットワーク装置のデザインされたプロビジョニングポートに結合する、ことを特徴とする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、ネットワーキング装置に関する。さらに詳細には、本発明は、十分定義された機能状態に至らせるように、目的とするネットワーク環境と、ネットワーク装置への構成データの安全で自動的なプロビジョニングとのためにルータ、スイッチ、ファイアウォール、バーチャルプライベートネットワークゲートウェイ等のアドレス可能性の安全で自動的な確立のための方法および装置に関する。
【背景技術】
【０００２】
例えば、ルータ、スイッチ、ファイアウォールおよびバーチャルプライベートネットワークゲートウェイのようなネットワーク結合および通信装置は、極めて管理が強化されている。これらのネットワーク装置は、通常、ネットワーク装置が周囲の装置のコンテキストにおいてどのように機能するようになっているかに基づいて、現時点で全て設定されなければならない多くの構成可能パラメータをサポートする。このような種類の装置を適切にセットアップするために、代表的には、組織は、ネットワーキングの原理およびプロトコルの的確な理解をもつ有資格の管理者（スタッフのまたは第３パーティからの誰か）に依存する。さらに、このようなスキルを有する管理者は、代表的には、ネットワーク装置を動作可能にするためにネットワーク装置に何らかの物理的アクセスをする必要がある。従って、管理者は、代表的には、ネットワークの各々のサイトに移動して、管理者の意図する場所への設置に先立って、ネットワーク装置にアクセスすることを可能にする必要がある。
【０００３】
ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｃｏｌ）のような幾つかの管理プロトコルは、有効なインターネットプロトコル（ＩＰ）を既に有するネットワーク装置が既存のネットワークに亘って構成されることを可能にするために存在する一方、現在は、工場のデフォルト段階からネットワーク装置が意図するネットワーク環境において通信可能且つアドレス可能である初期動作段階にネットワーク装置を自動的且つ安全にもっていくための機構が存在しない。
【発明の開示】
【課題を解決するための手段】
【０００４】
本発明は、同様な構成要素には同様な参照番号を添えて添付図面を示すが、これは、例としてであって、限定するためのものではない。
【０００５】
既存の通信ネットワークに亘って提供される、遠隔の、自動化され且つ安全なネットワーク装置についての機構および方法について説明する。概して、本発明の実施形態は、例えば、ルータ、スイッチ、ファイアウォールおよびバーチャルプライベートネットワークゲートウェイ等のネットワーク装置を提供するため且つアドレス可能性を確立するための、管理上簡単且つ複雑でない機構を提供するようにする。
【０００６】
自動的且つ実施可能であるアドレス可能性および自動的プロビジョニングは、特に、サービス管理が多くの場合にサービスプロバイダの手中に留めたままにしなければならないカスタマには技術が未だに十分理解されていないＶＰＮ（仮想プライベートネットワーク）産業において、重要な販売上の特徴を提供するものと考えられる。現在まで、このようなサービス管理の重要な部分は、加入者案内器をセットアップするためにオンサイト訪問が必須である。そのような訪問を回避するための能力は、ＶＰＮサービスプロバイダおよび／または装置ベンダに対して実質的にコスト削減に移行させることにあると予想される。
【０００７】
本発明の実施形態のさらなる優位性は、スキルを持ったネットワーキング作業者の生産性を高めることができる元々の相手先商標による製造会社（ＯＥＭ：Ｏｒｉｇｉｎａｌ  Ｅｑｕｉｐｍｅｎｔ  Ｍａｎｕｆａｃｔｕｒｅｒ）およびサービスプロバイダのカスタマ、並びに、使用の容易さおよび効率の向上を実現する改善されたネットワーキング装置のエンドユーザを含むことであって、それらの実施形態においては、技術要員も個々のサイト訪問も必要ではない。
【０００８】
以下の説明においては、説明目的のために、本発明の十分な理解を提供するために多くの具体的な詳細説明を行う。しかしながら、本発明はそれらの具体的な詳細な例を用いなくても実行可能であることは当業者には明確に理解されるであろう。
【０００９】
本発明は、以下に説明するように、種々の段階を含む。それら本発明の段階は、ハードウェアコンポーネントにより実行可能であり、または命令を用いてプログラムされた特定目的プロセッサまたは汎用プロセッサが段階を実行するようにするために用いられることが可能である機械実行可能命令において実施可能である。また、それら段階はハードウェアおよびソフトウェアの組み合わせにより実行されることが可能である。
【００１０】
本発明は、本発明に従ったプロセスを実行するコンピュータ（または、他の電子装置）をプログラムするために用いられることが可能である命令を記憶した機械読み取り可能媒体を含むことが可能であるコンピュータプログラムプロダクトとして提供することが可能である。機械読み取り可能媒体は、フロッピー（登録商標）ディスク、オプティカルディスク、コンパクトディスク読み出し専用メモリ（ＣＤ−ＲＯＭ）、光磁気ディスク、ＲＯＭ，ランダムアクセスメモリ（ＲＡＭ）、消去可能読み取り専用メモリ（ＥＰＲＯＭ），電気的消却プログラム可能型読み取り専用メモリ（ＥＥＰＲＯＭ）、磁気または光カード、フラッシュメモリ、または電子的命令を記憶するために適する他のタイプの媒体／機会読み取り可能媒体を含むことが可能であるが、これらに限定されるものではない。さらに、本発明はまた、コンピュータプログラムプロダクトとしてダウンロードされることが可能であり、プログラムは、搬送波または通信リンク（例えば、モデムまたはネットワーク接続）による他の伝搬媒体において実施されるデータ信号としてリモートコンピュータからリクエストするコンピュータにトランスポートされることが可能である。
【００１１】
便宜上、本発明の実施形態については、バーチャルプライベートネットワーク（ＶＰＮ）装置を参照し、例としてＶＰＮネットワークに関連させて説明する一方、本発明は、例えば、ルータ、スイッチ、ブリッジおよびファイアウォール等の種々の他のネットワーク装置並びに種々の他のネットワーク環境に同様に適用可能である。さらに、ここで説明するＶＰＮプロビジョンマネージャはサイト間のＶＰＮサービスにアドレスする一方、ルータのような補完装置のためのリモートアクセスサービスについて検討する。さらに、プレミアムＩＰサービスとの統合により、サービスの品質（ＱｏＳ）、音声およびアプリケーション配信の機構が加えられることが可能である。
用語
本発明の種々の実施形態を実行することが可能である例としてのネットワーク環境につい説明する前に、本明細書を通して用いる幾つかの用語について、ここで間単に定義する。
【００１２】
ここで用いるように、“ネットワーク装置”は、一般に、ローカルエリアネットワーク（ＬＡＮ）の相互接続された集合に亘るコンピュータからコンピュータへの通信を容易にする中間装置をいう。例としてのネットワーク装置は、ゲートウェイ、ルータ、スイッチ、ブリッジおよびファームウェアを含む。
【００１３】
用語“ファームウェア”は、一般に、ネットワーク装置を操作するためおよびその特徴を実行するために用いられるプログラム命令をいう。ファームウェアは、例えば、オペレーティングシステム、装置ドライバ、ネットワークプロトコルスタックおよび管理プロトコル等のシステム構成要素を実行するプログラム命令を含む。これらのプログラム命令は、例えば、フラッシュメモリモジュール、ＥＰＲＯＭ、ＥＥＰＲＯＭおよびＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）に記憶されることが可能であり、または、それらの命令は、以下に定義するようなスマートハードウェア記憶装置の制御の下で、中間装置または通信プロトコルを使用して、全部または一部を装置に送信されることが可能である。
【００１４】
用語“工場デフォルト構成”または“工場デフォルト状態”は、一般に、“インストールしてすぐに使用できる”または未初期化構成または状態であって、ネットワーク装置はファームウェアを含むが、機能する目的のネットワーク環境においてそれ自身を識別するデータを含まず、目的のネットワーク環境における他のネットワーク装置を識別するデータを含まない、未初期化構成または状態である。例えば、工場デフォルト構成におけるネットワーク装置は、例えば、ネットワークにより採用されるアドレス空間におけるインターネットプロトコル（ＩＰ）アドレスのような論理アドレスをまだ割り当てられていないとき、ネットワークにアドレスされることができない。さらに、ネットワーク装置は、そのピアの論理アドレスに関する情報を有しないとき、ネットワークにおいて通信することができない。
【００１５】
用語“初期動作構成”または“初期動作状態”は、一般に、初期化された構成または状態をいうが、必ずしも、十分に定義された機能状態である必要はない。例えば、例えば、有効なＶＩ構成を有する初期動作構成におけるネットワーク装置は、特定のネットワーク環境において通信可能であり且つアドレス可能であるが、特定のタイプのネットワークトラフィックをどのように操作するかについてまだ識別できない可能性がある。
【００１６】
用語“アドレス可能データ”は、一般に、工場デフォルト構成から初期動作構成にネットワーク装置を直接的または間接的に移行することができるデータをいう。ここで説明する実施形態に従って、アドレス可能データは１つまたはそれ以上の次のようなものを含むことが可能である。すなわち、（１）ネットワーク装置のためのＩＰアドレスのような、一意の論理アドレス、（２）ネットワーク装置のためのローカルＩＰサブネットマスク、（３）ネットワーク装置のためのデフォルトゲートウェイに関連する論理アドレス、（４）リモート装置構成サーバの論理アドレス、（５）ネットワーク装置のための一意の論理アドレスにマッピングされることができるかまたは表される、例えば、ドメイン名システム（ＤＮＳ）のドメイン名アドレス等の論理名、（６）デフォルトゲートウェイに関連する論理アドレスにマッピングすることができるかまたは表される論理名、並びに（７）リモート装置構成サーバの論理アドレスにマッピングすることができるかまたは表される論理名、である。
【００１７】
用語“構成データ”は、一般に、初期動作構成から十分に定義された機能状態にネットワーク装置を移行させることができるデータをいう。例えば、１つまたはそれ以上のピアＶＰＮ装置をもつ安全なトンネルを確立する第１ＶＰＮ装置との関連において、第１ＶＰＮ装置のための構成データは、安全なトンネルを通って移動することを可能にするネットワークトラフィックのタイプについての詳細およびピアＶＰＮ装置のＩＰアドレスを含むことが可能である。この例においては、第１ＶＰＮ装置がピアＶＰＮ装置をもつ安全なトンネルを確立し、許容ネットワークトラフィックのみが各々の安全なトンネルを通って移動することを確実にするように、それ自身を適切に構成したとき、十分定義された機能状態が達成される。
【００１８】
用語“安全なデータ”は、一般に、リモート装置構成サーバから構成データにアクセスするためにネットワーク装置により用いられる共有秘密を生成するために利用されることが可能である共有秘密またはデータをいう。一実施形態に従って、秘密データは、ネットワーク装置とリモート装置構成サーバとの間で交換される通信を直接にまたは間接的に暗号化するために用いられる。他の実施形態においては、秘密データは、記憶装置からネットワーク装置に変換される一意の識別子またはパスワードから構成される。中間装置をもつ通信を含むことが可能である他の実施形態においては、そのような中間装置間の通信自身が、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）およびＸ．５０９証明書のような付加的なセキュリティ機構を利用することが可能である。
【００１９】
ここで用いるように、表現、ネットワーク装置の“アドレス可能性の確立”は、一般に、工場デフォルト状態（例えば、目的のネットワーク環境において動作可能でない状態）から初期動作状態（例えば、ネットワーク装置が、目的のネットワーク環境において他のネットワーク装置によりアドレスされることができ且つそれらと通信することができる状態）にネットワーク装置を移行させるプロセスをいう。
【００２０】
ここで用いるように、ネットワーク装置を“プロビジョニング”するは、一般に、ネットワーク装置管理、すなわち、構成、サービスおよびアプリケーションについての１つまたはそれ以上の次のような段階に関連する構成データまたはパラメータを提供することをいう。すなわち、（１）ネットワーク装置を十分に定義された機能状態に移行させるために必要とされるカスタマに特定のデータ全てをもつネットワーク装置を構成すること、（２）サービスの品質（ＱｏＳ）および音声のようなプレミアムＩＰサービスをかのうにすること、である。
【００２１】
ここで用いるように、“バーチャルプライベートネットワークまたはＶＰＮ”は、一般に、暗号技術を用いる各々の他のネットワーク間で通信するインターネットのようなトランジットネットワークに結合されるコンピュータシステムおよびネットワーク装置のようなノードの集合をいう。このように、専用回線および／または長距離専用回線にコストを掛けることなく、ノード間で交換されるメッセージが非認証ユーザにより妨害されたり理解されたりすることから安全である、広域ネットワーク（ＷＡＮ）を構成することが可能である。
【００２２】
ここで用いるように、“スマートハードウェア記憶装置”は、ネットワーク装置に外部から通信可能であるように結合されることが可能である、ユーザが使い易く、可搬型で、取り外し可能な記憶装置をいう。従って、この定義は、ネットワーク装置において内部に用いられることが意図されるフラッシュメモリモジュールは除外する。しかしながら、スマートハードウェア記憶装置は、ネットワーク装置を構成するために、ファームウェアまたはブートストラップパラメータのような、フラッシュメモリモジュールのようなモジュールにおいて記憶されるデータをロード、選択または変更することに関係されることが可能である。重要なことに、スマートハードウェア記憶装置は、ネットワーク装置に直接または物理的に結合される必要がない。例えば、スマートハードウェア記憶装置は、１つまたはそれ以上の中間装置を通じてネットワーク装置のプロビジョニングポートに直接にまたは間接に結合させることが可能であり、または無線データ送信プロトコルを使用してネットワーク装置と通信することが可能である。種々のタイプのハードウェア記憶装置としては、電気的セキュリティ装置、キー、キーカード、ロック、センチネル、ドングル、ハードウェアキー、無線携帯装置、スマートカード、磁気符号化カード、またはＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）ハードウェアトークン等を含むハードウェアトークンが挙げられる。
【００２３】
ここで用いるように、“トランジットネットワーク”は、中間パブリックまたは専用ネットワーク或いはインターネットワークであることが可能である。インターネットは、パブリックインターネットワークの例である。社内ネットワークまたはエンタープライズネットワークはプライベートネットワークまたはインターネットワークの例である。
【発明を実施するための最良の形態】
【００２４】
ＶＰＮプロビジョニングシステムの例
図１は、本発明の一実施形態に従ったバーチャルプライベートネットワーク（ＶＰＮ）プロビジョニングシステム１００の例を示している。この例において、ＶＰＮプロビジョニングシステム１００は、２つのＶＰＮゲートウェイ１１５および１２５、コンソールコンピュータ１３０、２つのトークン１１６および１２６、構成データベース１３５および装置構成サーバ１１０から構成される。
【００２５】
ＶＰＮゲートウェイ１１５および１２５が適切なカスタマネットワークサイトに提供された後、ＶＰＮゲートウェイ１１５および１２５は、管理的に簡単且つ複雑でないインストールプロセスの一部として、インターネットのようなトランジットネットワークに結合される。この例において、ＶＰＮゲートウェイ１１５および１２５は、トークン１１６および１２６のような外部の記憶装置から帯域外データを受信するために、１９９７年１０月に発行された、米国規格協会（ＡＮＳＩ：Ａｍｅｒｉｃａｎ  Ｎａｔｉｏｎａｌ  Ｓｔａｎｄａｒｄｓ  Ｉｎｓｔｉｔｕｔｅ）／アメリカ電気通信工業会（ＴＩＡ：Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｉｎｄｕｓｔｒｙ  Ａｓｓｏｃｉａｔｉｏｎ／米国電子工業会（ＥＩＡ：Ｅｌｅｃｔｒｏｎｉｃ  Ｉｎｄｕｓｔｒｉｅｓ  Ａｌｌｉａｎｃｅ）−２３２−Ｆ−１９９７（ＡＮＳＩ／ＴＩＡ／ＥＩＡ−２３２−Ｆ−１９９７）（以後、“ＥＩＡ２３２”と略す）に準拠する非同期通信ポート、または他のシリアル、パラレルまたはＵＳＢポートのようなプロビジョニングインタフェース１１７および１２７を備えている。ここで、マニュアル構成プロセスまたは自動化構成プロセスは、ＶＰＮゲートウェイ１１５および１２５を十分定義された機能状態に移行させるために開始される。例えば、自動化構成プロセスは、ＶＰＮゲートウェイ１１５および１２５間にトンネルを確立するために適切なパラメータを得ることが可能であり、それにより、ＶＰＮゲートウェイ１１５および１２５はトンネル１２０によりトランジットネットワーク１０５に亘って安全にデータを交換することが可能になる。
【００２６】
コンソールコンピュータ１３０は、ネットワーク技術者が構成データを構成データベース１３５に入力することを可能にする構成プログラム（図示せず）を実行する。コンソールコンピュータ１３０はまた、以下でさらに詳細に説明するように、構成プログラムがアドレス可能データおよびセキュリティデータのようなデータと共にトークン１１６および１２６のような記憶装置をプログラムすることが可能にする非同期ＥＩＡ２３２準拠通信ポート等のインタフェース（図示せず）を含む。
【００２７】
一実施形態に従って、トークン１１６および１２６は、通信プロトコルとしてプログラムされることおよび読み出されることができる、代表的には１００バイトオーダーにある、比較的小容量の不揮発性でプログラム可能なメモリを含むスマートハードウェア装置である。破線で示すように、トークン１１６および１２６は、ＶＰＮゲートウェイ１１５および１２５のような、プロビジョンされるネットワーク装置およびコンソールコンピュータ１３０の両方のインタフェースをとることが可能である。例えば、トークン１１６および１２６は、非同期ＥＩＡ２３２準拠通信ポートのようなポートにプラグで接続されることが可能である。代表的なシナリオにおいては、トークン１１６および１２６は、所定の目的のネットワーク環境において、ＶＰＮゲートウェイ１１５および１２５のようなネットワーク装置を用いてアドレス可能データと共にコンソールコンピュータ１３０によりプログラムされる。単純化のために、特定のタイプのハードウェアトークンを使用することに関して本発明の実施形態を説明する一方、他の実施形態においては、例えば、無線携帯装置、スマートカード、磁気符号化カードまたはＵＳＢ（ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）等の種々の他の記憶装置がトークン１１６および１２６の代わりに使用されることが可能である。
【００２８】
装置構成サーバ１１０はネットワーク１０５に結合され、構成データベース１３５へのアクセスを有する。装置構成サーバ１１０は、ネットワーク装置からの構成リクエストに応じるサーバプログラム（図示せず）を実行する。一実施形態においては、構成データを送信するために管理プロトコルを使用する。管理プロトコルは、ネットワーク装置がネットワーク１０５に亘って装置構成サーバ１１０に／から構成ファイルのような構成データを送信および／または受信することを可能にするネットワーク装置において実行するファームウェアプログラム、装置構成サーバ１１０並びにネットワーク１０５と適合する通信プロトコルである。管理プロトコルは、セキュリティのための暗号を含むことが可能であり、これにより、初期リモート構成および／またはリモート管理が安全に実施されることが可能になる。他の一実施形態において、ネットワーク装置は、中間ＶＰＮゲートウェイを使用して装置構成サーバ１１０をもつ安全な管理トンネルを確立する。一旦、管理トンネルが確立されると、ＳＮＭＰのような標準的な管理プロトコルが装置を構成するために使用される。他の一実施形態において、装置構成サーバ１１０の機能および構成データベース１３５は、２００１年３月に発行されたＲＦＣ（Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ）３０８４および２０００年１月に発行されたＲＦＥ２７４８に記載されているような、Ｃｏｍｍｏｎ  Ｏｐｅｎ  Ｐｏｌｉｃｙ  Ｓｅｒｖｉｃｅ  Ｕｓａｇｅ  ｆｏｒ  Ｐｏｌｉｃｙ  Ｐｒｏｖｉｓｉｏｎｉｎｇ（ＣＯＰＳ−ＰＲ）Ｐｏｌｉｃｙ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ  ａｎｄ  Ｐｏｌｉｃｙ  Ｓｅｒｖｅｒにより実行される。重要なことに、他の実施形態において、ＶＰＮゲートウェイ１１５および１２５が装置構成サーバに結合され、構成データが送信されるネットワークは、ＶＰＮゲートウェイ１１５および１２５が通信するネットワークと異なるネットワークであることが可能である。
【００２９】
ネットワーク装置プロビジョニング
図２は、本発明の一実施形態に従ったネットワーク装置プロビジョニングシステムの種々のフェーズを示す高レベルのフロー図である。以下の説明においては、カスタマは、ベンダにより提供されるネットワーキングサービスを用いることを所望すること、および、ベンダは、カスタマのサイトに目的のネットワーク環境のための適切なアドレス可能データを用いて事前にプログラムされる記憶装置およびネットワーク装置を発送し、初期のリモート構成をサポートするためにリモート装置構成サーバを提供すること、が仮定される。しかしながら、他の実施形態においては、種々の他のシナリオを検討する。例えば、１つまたはそれ以上のネットワーク装置のサプライヤ、プログラムされた記憶装置のサプライヤ並びにリモート構成サーバのサプライヤは、異なるエンティティであることが可能である。
【００３０】
図に示した実施形態においては、ネットワーク装置プロビジョニングシステムの処理はブロック２０５において開始する。ブロック２０５において、デザインフェーズが実行される。代表的には、いずれかのネットワーク装置がベンダにより発送される前に、カスタマはベンダに注文をする。これは、カスタマのネットワーク環境と注文されたネットワーク装置のカスタマの意図する配置とについての関連技術の詳細をベンダが捕捉するための理想的な好機である。従って、本発明の一実施形態に従って、ネットワーク装置はネットワークにおいてどこに存在するか、およびネットワーク装置はパケットをどのように処理するか等の特定な詳細が、顧客のネットワークサイトへのネットワーク装置の配送に先立って、顧客から得られる。このような特定な情報は、次いで、アドレス可能フェーズおよび構成フェーズそれぞれにおいて用いられるアドレス可能データおよび構成データを生成するために、コンソールコンピュータを用いて高いスキルを有するネットワーク技術者により統合される。簡単に言えば、アドレス可能データは、概念的には、ネットワーク装置を有効なＩＰ構成のような初期動作構成において起動することを可能にするデータの基本的集合と考えることが可能であって、目的のネットワーク環境において通信でき且つアドレス可能であるものである。一方、構成データは、ネットワーク装置が初期動作構成の域を超えて十分定義された機能状態に移行することを可能にするデータの集合であって、カスタマにより所望されるように、パケットをトランスポートし、フィルタリングし、および／またはルーティングするために構成され且つ準備される、データの集合である。そのようなデータの具体的な例については、以下で説明する。
【００３１】
ブロック２１０において、アドレス可能なフェーズが実行される。アドレス可能なフェーズは、代表的には、ネットワーク装置がカスタマのネットワークサイトに提供され、目的のネットワーク環境と結合された後、実行される。この時点で、ネットワーク装置の工場デフォルト構成が機能する目的のネットワーク環境に対してネットワーク装置を識別するためのデータを含んでいないことを、指摘することは有用である。さらに、工場デフォルト構成において、ネットワーク装置は、目的のネットワーク環境における他のネットワーク装置の同一性については識別しない。一般に、ネットワークにおいて通信し且つアドレス可能であるためにネットワーク装置に必要とされることは、ＩＰアドレスおよびそれ自身のサブネットマスクと並びにそのデフォルトゲートウェイの論理アドレスのような一意の論理アドレスである。これと可能性のある他の基本的情報を提供することは、スマートハードウェアトークンのような事前にプログラムされる記憶装置を用いてネットワーク装置へのこの情報のトランスポートを含むアドレス可能フェーズの目的である。他の実施形態においては、無線携帯装置、スマートカードまたは磁気符号化カード等の、種々の他の記憶装置を使用することが可能である。
【００３２】
ネットワーク装置の構成を完了し、十分定義された機能状態に移行するために、構成データベース１３５に記憶される残りのカスタマ固有データ（“構成データ”）は、構成フェーズを実行することにより、ブロック２１５において、ネットワーク装置に提供される。アドレス化のフェーズが完了した後、ネットワーク装置は、ネットワークにおいて通信することができ且つアドレス可能である。従って、一実施形態において、アドレス可能フェーズの完了時に、ネットワーク装置は、トランジットネットワーク１０５に亘って構成データベースから構成データをダウンロードするために装置構成サーバ１１０にリクエストする。
【００３３】
さらに、他の一実施形態において、例えば、３つの装置の予めプロビジョンされた十分な網目状ネットワークに第４の装置を加えるために、ネットワークのデザインを変更し且つネットワーク装置を更新するように、デザインフェーズ、アドレス可能フェーズおよび構成フェーズは、後に繰り返されることができる。この場合、デザインフェーズ、アドレス可能フェーズおよび構成フェーズは、上記のように、新しい装置をプロビジョンする役割を果たす。しかしながら、デザインフェーズおよび構成フェーズのみが、３つの事前に構成された装置を変更するために実行されるが、それらのアドレス可能性を再確立することは必要ない。
【００３４】
デザインフェーズ処理
図３は、本発明の実施形態に従ったデザインフェーズ処理を示すフロー図である。この図に示した実施形態は、構成データが依存する情報は、カスタマから既に得られたものと仮定している。例えば、上記のように、カスタマの目的のネットワーク環境と意図されたネットワーク装置の使用法に関して具体的詳細を得るための理想的時間は、注文を受けるプロセスの間またはネットワーク装置を発送する前である。
【００３５】
いずれにしても、デザインフェーズ処理は、カスタマにより注文したネットワーク装置が工場デフォルト状態で適切なネットワークサイトに発送されるブロック３０５において開始する。
【００３６】
ブロック３１０に移る前に、ネットワーク技術者はカスタマの要求を分析し、ネットワーク装置が目的のネットワーク環境において初期動作状態で起動可能にするためのパラメータを決定する。例えば、インターネットに関してネットワーク装置が動作可能であるようにし、ネットワーク装置が自動的なリモート初期構成処理を実行することを可能にするために、代表的には、次のようなパラメータの集合を指定する。
●  ネットワーク装置のローカルＩＰサブネットマスクおよびそのサブネットにおける一意のＩＰアドレス。通信ネットワークの標準的技法に従って、これらのアドレスは、目的のネットワークにおけるネットワーク装置のための一意のパブリックアドレスを提供するために選択される。また、ネットワークアドレス変換（ＮＡＴ）のようなアドレスマッピング技術がネットワーク装置のために用いられる場合、一部の一意のパブリックアドレスはネットワーク装置にマッピングされる。
●  トランジットネットワーク１０５を経由してネットワーク装置からリモート装置構成サーバ１１０にデータをルーティングするデフォルトゲートウェイのＩＰアドレス。デフォルトゲートウェイはまた、装置構成サーバ１１０からネットワーク装置へのリターンデータをルーティングする。
●  装置構成サーバ１１０のＩＰアドレス。
自動プロビジョニングが使用されない他の実施形態において、装置構成サーバ１１０のＩＰアドレスは、アドレス可能データの一部として含まれる必要はない。異なる根とワークプロトコルを用いる異なるネットワーク環境においては、例えば、他のアドレス可能データの最小集合が、ネットワーク装置を動作可能にするために必要であることは、理解される必要がある。
【００３７】
安全な構成を可能にするために、各々のネットワーク装置はまた、認証のためにセキュリティデータを備えることが可能である。例えば、各々のネットワーク装置は、装置構成サーバ１１０が使用されているネットワーク装置および／またはスマートハードウェア装置を有効であると確認することを可能にするために、装置構成サーバ１１０に提供することができる一意の識別子またはパスワードを割り当てられることが可能である。
【００３８】
ブロック３１０において、現時点のネットワーク装置のための構成データは、一意の識別子またはパスワードのようなセキュリティデータに関連付けられ且つ構成データベース１３５に対して更新される。例えば、一実施形態に従って、ネットワーク技術者は、カスタマにより注文されるネットワーク装置のためのパラメータを構データベース１３５に入力するために、コンソールコンピュータ１３０において実行するコンソールプログラムを用いることが可能である。コンソールプログラムの１つの優位性は、コンソールプログラムが、全てのネットワーク装置のために一貫する構成データを生成し且つ有効であることを確認することにより、より大きいネットワークのためにこのタスクの信頼性を実質的に改善できることである。そうでなければ、これは共通のエラーソースになる。
【００３９】
ブロック３１５において、現時点のネットワーク装置に関連するスマートハードウェア記憶装置は、ネットワーク装置のアドレス可能データおよびブロック３１０において用いられた対応するセキュリティデータを用いてプログラムされる。一実施形態において、ネットワーク技術者は、ＥＩＡ２３２準拠通信ポートにスマートハードウェア記憶装置を取り付け、次いで、スマートハードウェア記憶装置に関連する通信プロトコルを使用して、スマートハードウェア記憶装置におけるメモリにアドレス可能データをコピーすることにより、これを成し遂げる。
【００４０】
ブロック３２０において、プログラムされたハードウェア記憶装置は、別々にネットワーク装置サイトに発送される。
【００４１】
ブロック３２５において、デザインフェーズのアクティビティが全てのカスタマのネットワーク装置に対して完了したかどうかが決定される。その決定がされる場合、デザインフェーズは完了し、そうでなければ、デザインフェーズはブロック３１０から継続する。
【００４２】
この例においては、ここで説明した新規のプロビジョニングスキームのセキュリティの特徴を示すことを意図している。ネットワーク装置は密封されたダンボール箱に留めることができるため、ネットワーク装置および例えばハードウェアトークンのようなスマートハードウェア記憶装置は、カスタマのネットワークサイトに別々に発送されることが可能である。このように、事前にプログラムされたハードウェア記憶装置を使用することにより、泥棒が別々に発送されたハードウェア記憶装置を発送中に盗むことができず、正当な権利者のネットワークアドレスをコピーしたり妨害したりできない場合、その泥棒は正当な権利者として振舞うこともネットワーク装置をオンライン上に持ち込むこともできないので、結局、ネットワーク装置が発送中に盗まれるという安全への侵害の機会を最小化する。
【００４３】
ネットワーク装置の例
図４は、本発明の一実施形態に従ったネットワーク装置４００の単純化した高水準のブロック図である。ネットワーク装置４００は、本発明の特徴を実行することが可能である、例えば、ＶＰＮゲートウェイ、スイッチまたはファイアウォール等のネットワーク通信装置またはネットワークコンピューティング装置の例を示している。本発明の種々の実施形態に従って、ネットワーク装置は、現在のまたは将来のバージョンのＩｎｔｅｌ（登録商標）ＮｅｔＳｔｒｕｃｔｕｒｅ（登録商標）３１ｘｘ系列のＶＰＮ装置、または現在のまたは将来のバージョンのＩｎｔｅｌ  Ｅｘｐｒｅｓｓ  Ｒｏｕｔｅｒのような他のＩｎｔｅｌのネットワークコンピューティングプロダクトとすることが可能である（ＩｎｔｅｌおよびＮｅｔＳｔｒｕｃｔｕｒｅは登録商標、または米国カリフォルニア州サンタクララ市のＩｎｔｅｌ社の登録された商標である）。
【００４４】
とにかく、この例において、ネットワーク装置４００は、通信情報のためのバス４１０のような通信手段と情報を処理し且つ命令を実行するためのバス４１０に結合される１つまたはそれ以上のプロセッサ４１５とから構成される。ネットワーク装置４００は、情報とプロセッサ４１５により実行される命令とを記憶するためにバスに結合される、ランダムアクセスメモリ（ＲＡＭ）４２０または他の動的記憶装置（または、メインメモリという）からさらに構成される。メインメモリ４２０はまた、一時的変数またはプロセッサ４１５による命令の実行の間の他の中間情報を記憶するために使用されることが可能である。ネットワーク装置４００はまた、読み出し専用メモリ（ＲＯＭ）および／または静的情報およびプロセッサ４１５のための命令を記憶するためにバス４１０に結合される他の静的記憶装置から構成される。
【００４５】
フラッシュディスク、磁気ディスクまたは光ディスクのようなデータ記憶装置４３０および対応するドライブはまた、情報および命令を記憶するためにバス４１０に結合されることが可能である。一実施形態に従って、データ記憶装置の動作を制御する、ブートストラップ方法のようなファームウェアプログラムは、ＲＯＭ４２５またはプロセッサ４１５によるアクセスおよび実行のためのデータ記憶装置４３０において記憶されることが可能である。
【００４６】
スマートハードウェア記憶装置の例
図５は、本発明の一実施形態に従ったスマートハードウェア記憶装置５００のブロック図である。スマートハードウェア記憶装置５００は、例としてのプログラム可能ハードウェアトークン、または、例えば、ネットワーク装置のプロビジョニングポートによりネットワーク装置に外部からインタフェースをとることが可能である他のユーザの使い易い記憶装置を表す。本発明の一実施形態に従って、スマートハードウェア記憶装置は、米国コロラド州リッジウェイ市のＭｉｃｒｏｃｏｍｐｕｔｅｒ  Ａｐｐｌｉｃａｔｉｏｎｓ社製のドングルの現在のまたは将来のバージョンのＫＥＹＬＯＫ（登録商標）系列、または、米国ジョージア州アトランタ市のＭａｒｘ（登録商標）Ｓｏｆｔｗａｒｅ  Ｓｅｃｕｒｉｔｙ社製のエンハンスされたまたはカスタマイズされた現在のまたは将来のバージョンのハードウェアキーのＣＲＹＰＴＯ−ＢＯＸ系列から構成される（ＫＥＹ−ＬＯＫは登録商標または米国コロラド州リッジウェイ市のＭｉｃｒｏｃｏｍｐｕｔｅｒ  Ａｐｐｌｉｃａｔｉｏｎｓの登録された商標であり、ＣＲＹＰＴＯ−ＢＯＸおよびＭＡＲＸは登録商標または米国ジョージア州アトランタ市のＭａｒｘ  Ｓｏｆｔｗａｒｅ  Ｓｅｃｕｒｉｔｙ  の登録された商標である）。
【００４７】
本発明の種々の実施形態に従って、多かれ少なかれ備えられるハードウェア記憶装置は特定の実施のために好ましい状態にすることが可能である。ここでは、２つの例としての構成について説明する。１つは実線で示す機能ユニットに関し、もう１つは破線で示す機能ユニットに関する。しかしながら、ハードウェア記憶装置５００の構成は、使用の容易さ、セキュリティおよび単純さ、並びに／或いは、価格および性能等の他の制約の間の好ましいバランスのような多くの要因に依存して実施毎に変化する。
【００４８】
一実施形態において、スマートハードウェア記憶装置５００は、図示された機能ユニットのサブセットのみ、すなわち、実線で示される機能ユニットから構成される。この例において、スマートハードウェア記憶装置５００は、通信情報のための共通のまたは専用のバス５１０のような通信手段と、アドレス可能フェーズおよび構成フェーズそれぞれの間にネットワーク装置による使用のためのアドレス可能データおよびセキュリティデータのような静的情報を記憶するためにバス５１０に結合される他の静的記憶装置および／またはプログラム可能な不揮発性メモリ５２５とを含む。スマートハードウェア記憶装置５００はまた、１つまたはそれ以上の入力／出力（Ｉ／Ｏ）と、ネイティブ通信プロトコルの命令の下でプログラム可能な不揮発性メモリ５２５にプログラムされるデータを受信するためのバス５１０に結合されるプログラミングインタフェースとを含む。一実施形態に従って、使用の容易化のために、（１）例えば、プログラム可能な不揮発性メモリ５２５にプログラムされるためにコンソールコンピュータからデータを受信することと、（２）工場デフォルト構成においてネットワーク装置にプログラム可能な不揮発性メモリ５２５にあるデータを出力することと、の両方のために、１つのＩ／Ｏおよびプログラミングインタフェースが含まれる。しかしながら、他の実施形態において、Ｉ／Ｏおよびプログラミングインタフェース５４０は、異なるポートタイプをもつ相互動作性を促進するために、別々で独立したプログラミングと出力インタフェースを含むことが可能である。
【００４９】
他の実施形態に従って、スマートハードウェア記憶装置５００は、実線により示される機能ユニットに加えて、破線により示される機能ユニットから構成される。この例において、スマートハードウェア記憶装置５００はまた、種々のネットワーク装置のためのネイティブコンソールコマンドの集合を実行するための命令のような命令を実行し且つ情報を処理するために、バス４１０と結合される、プロセッサ５１５のようなプロセッシング手段を含む。ハードウェア記憶装置５００は、情報およびプロセッサ５１５により実行される命令を記憶するためにバス５１０に結合される、ランダムアクセスメモリ（ＲＡＭ）５２０または他の動的記憶装置（または、メインメモリという）からさらに構成される。メインメモリ５２０はまた、プロセッサ５１５による命令の実行の間に一時的変数または他の中間情報を記憶するために使用されることが可能である。例えば、フラッシュディスク、磁気ディスクまたは光ディスクおよび対応する装置等のデータ記憶装置５３０はまた、情報および命令を記憶するためにバス５１０に結合されることが可能である。
【００５０】
この構成に従って、スマートハードウェア記憶装置５００は、ネイティブコンソールコマンドの集合を用いて、ネットワーク装置を制御することによりブートストラップファームウェアにおける特有のプロビジョニングモードを支援しないネットワーク装置を動作することが可能である。例えば、一実施形態に従って、トークンは、アドレス可能フェーズに相当するものを実行するために特定のネットワーク装置を命令し、装置構成サーバに接続し、構成フェーズを完了するデータおよび論理（デザインフェーズの間に指定される）を含むことが可能である。他の実施形態に従って、スマートハードウェア記憶装置５００は、ネットワーク装置の既存のブーとストラップファームウェアを更新、再ロードまたは補うことに直接的または間接的に関係することが可能である。例えば、デザインフェーズの間に指定される論理およびデータは、スマートハードウェア記憶装置５００が装置構成サーバまたは一部の他の中間装置からファームウェアの更新をダウンロードするために命令するネットワーク装置にネイティブコンソールコマンドを出すようにすることが可能である。次いで、アドレス可能および／または構成フェーズは、ここで説明するように継続することが可能である。
【００５１】
トークンに代わる手段として、他の既知のまたは将来の媒体はまた、ここで説明するプロビジョニングシステムと共に使用することに適している。しかしながら、ここで説明した実施形態との関連において説明したハードウェアトークンの１つを使用することには幾つかの優位性がある。第１に、プラグ接続可能な構成要素としてのハードウェアトークンは、スキルのない要員のための使用の容易性を提供し、オペレータによるエラーのリスクを著しく削減する。トークンの所有が適切に管理される場合、ハードウェアトークンはまた、安全なキー配布方法としての役割を果たすことができる。第２に、ハードウェアトークンはエンハンスするが、互換性のあるネットワーク装置の操作を変えない。ネットワーク装置は、自動的なプロビジョンの特徴が利用可能でなく、またはカスタマによりリクエスト／注文されない場合でさえ、工場から発送されるとき、十分動作可能な１つの装置である。従って、スキルの高いネットワーク管理者の手元で、まさに段ボール箱から取り出されたばかりの新品のユニットは、管理可能な状態で自動的に確立され且つ自動的にプロビジョンされるユニットと同じ使用可能機能をもって実行されるために目的のネットワーク環境に接続され且つ手作業で構成されることが可能である。
【００５２】
結果として、ここで説明する柔軟性のあるプロビジョニングスキームは、強力な特徴、すなわち、自動化されたプロビジョニングを可能にし、その特徴のない他の十分動作可能なネットワーク装置においてさえ可能である。したがって、プロダクトは、ベンダが利便性を得ることができる汎用性を獲得する。具体的には、ＶＰＮ産業においては、サービスプロバイダは、自分自身の装置を管理したいと思うカスタマに自動化されたプロビジョニングの特徴を伴わないＶＰＮ装置を売ることが可能であるが、ｘＳＰ管理解決法を所望するカスタマに自動化されたプロビジョニングの特徴を伴うＶＰＮ装置を売ることが可能である。
【００５３】
トークンは、自由自在に取り付けられたり、取り外されたりすることができる、外部接続されるユーザの使い易い構成要素であるために、このような汎用性が促進する。存在しているとき、トークンは、ネットワーク装置が自動的にプロビジョンされるようにする。トークンが存在していないとき、ネットワーク装置は正常に起動し且つ既知のまたはマニュアル構成に依存する。同じ汎用性および使用の容易さは、例えば、カスタマのデータをもつネットワーク装置を構成するために、フラッシュメモリモジュールを交換することに依存するスキームにより達成されることはできない。
【００５４】
アドレス可能フェーズ
図６は、本発明の一実施形態に従ったアドレス可能フェーズの処理を示すフロー図である。一実施形態において、以下に説明するアクションは、プロセッサ４１５のようなプログラムされるプロセッサの制御の下で実行されることが可能である。しかしながら、代わりの実施形態において、アクションは、例えば、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）、トランジスタトランジスタ論理回路（ＴＴＬ）または特定用途向け集積回路（ＡＳＩＣ）等のいずれかのプログラム可能なまたは直接指定された論理回路により、全部または一部実行されることが可能である。
【００５５】
簡単には、本発明の実施形態に従って、ネットワーク装置のインスタレーションは、何らかのネットワーキングスキルを有する必要のないカスタマ側の要員により完成させることができる。事前にプログラムされたスマートハードウェア記憶装置が各々のカスタマサイトに到着するとき、カスタマ側の要員は、電源ケーブルとネットワークケーブルをネットワーク装置に接続し、スマートハードウェア記憶装置を対応するネットワーク装置と結合するために、するために簡単な指示書に従う（例えば、例としての実施において、ＥＩＡ２３２準拠通信ポートのようなネットワーク装置のデザインされたプロビジョニングポートにハードウェアトークンをプラグ接続する）。ネットワーク装置が次にリセットまたはパワーアップされるとき、起動時の手順は、スマートハードウェア記憶装置の存在を検出し、特定のプロビジョニングモードを入力し、アドレス可能データを読み取る。
【００５６】
ネットワーク装置４００が、例えば、パワーオンにされる（コールドブート）ことにより、リセットボタンを押される（ウォームブート）ことにより、またはリスタートするためにソフトウェアコマンドを与えること（ウォームブート）により、開始されまたはリセットされるとき、ブートストラップローダプログラムが実行される。代表的には、一組のパワーオンのみのテストのような幾つかの基本的ハードウェア診断テストを連続的に実行した後、オペレーティングシステム（ＯＳ）は、不揮発性記憶装からプロセッサ４１５またはダイレクトメモリアクセスコントローラのような他の装置により動作メモリにロードされる。ＯＳにより構成される命令のシーケンスは、次いで、不揮発性記憶装置から動作メモリに他のプログラムをロードするためにプロセッサ２０５により実行される。しかしながら、本発明の一実施形態に従って、ＯＳに制御を渡すに先立ち、ブートストラッププロセス、或いはブートストラッププロセス（一般に、“起動時プロセス”または“起動時方法”という）までにまたはその前に開始される他のファームウェアプログラムは、アドレス可能データを受信するために特定のプロビジョニングモードを入力するかどうかを決定する。図に示した実施形態において、特定のプロビジョニングモードは、ネットワーク装置ブートストラッププロセスの一部としてブロック６３０および６３５により表される。
【００５７】
アドレス可能フェーズの処理はブロック６０５において開始する。ここで説明する例においては、便宜上、起動時プロセスはブートストラッププロセスであると仮定される。ネットワーク装置のコールドブートまたはウォームブートのとき、ネットワーク装置のブートストラッププロセスは開始される。判定ブロック６１０において、ネットワーク装置のアドレス可能パラメータの状態が決定される。アドレス可能パラメータが初期化された場合、ブートストラッププロセスはブロック６１５により継続される。そうでない場合であって、アドレス可能パラメータは工場デフォルト状態にある（例えば、未初期化の）場合、ブートストラッププロセスは判定ブロック６２０により継続される。
【００５８】
ブロック６１５において、ネットワーク装置は、ネットワーク装置が予め初期化された現時点のアドレス可能パラメータに従って起動し、ブートストラッププロセスは完了する。
【００５９】
ネットワーク装置のアドレス可能パラメータが未初期化であることを決定した判定ブロック６２０において、ブートストラッププロセスは、スマートハードウェア記憶装置が存在するかどうかを検出する。一実施形態において、存在の決定は、ネットワーク装置のデザインされたプロビジョニングポートへのハードウェアトークンの物理的接続をセンシングすることが含まれる。しかしながら、代わりの実施形態において、存在の検出は、携帯情報端末（ＰＤＡ）のような無線携帯装置の物理的近接性を検出することを含むことが可能である。他の実施形態に従って、スマートハードウェア記憶装置の存在は、ネットワーク装置のカードリーダを通した磁気符号化カードまたはネットワーク装置のスマートカードインタフェースにおけるスマートカードの存在により示される。いずれにしても、スマートハードウェア記憶装置が存在する場合、ブートストラッププロセスは、特定のプロビジョニングモードに入り、ブロック６３０により継続される。存在しない場合、ネットワーク装置はアドレス不可能状態において起動し、ブートストラッププロセスは完了する。
【００６０】
ブロック６３０において、アドレス可能データは、もしあれば、スマートハードウェア記憶装置に関連する通信プロトコルを用いて、スマートハードウェア記憶装置から読み取られる。従って、リモート初期構成が実行される場合、この時点で、一意の識別子またはパスワードはまた、スマートハードウェア記憶装置から読み取られることが可能である。最終的に、ブロック６３５において、ネットワーク装置のアドレス可能パラメータは、スマートハードウェア記憶装置から読み取られたアドレス可能データと共に初期化される。例えば、ブートストラッププロセスは、ネットワーク装置の不揮発性メモリにおいてアドレス可能データを記憶し、ネットワーク装置のＩＰアドレス、ＩＰサブネットマスクおよびデフォルトゲートウェイアドレスをアドレス可能データにおいて指定されるアドレスに設定することが可能である。一実施形態において、ブートストラッププロセスは、ブロック６３５からネットワーク装置構成フェーズの処理に、自動的にまたはユーザ入力に応じて継続する。しかしながら、代わりの実施形態において、ブロック６３５の後、ネットワーク装置は新しく初期化されたアドレス可能パラメータに従って起動し、ブートストラッププロセスは完了する。
【００６１】
構成フェーズ
簡潔にいうと、上記の実施形態に従って、一旦、アドレス可能性が確立されると、ネットワーク装置において実行される起動時プロセス（例えば、ネットワーク装置のブートストラッププロセスの間に開始されるファームウェアプログラム）は、プログラムされたスマートハードウェア記憶装置から得られるアドレスにおいて装置構成サーバにリクエストを送信する。構成フェーズは、ネットワーク装置とリモート装置構成サーバにおいて実行される起動時プロセスの間の通信と処理を含む。便宜上、異なる処理スレッドは、図７および図８それぞれを参照するネットワーク装置の見地からおよびリモート装置構成サーバの見地から切り離して説明する。
【００６２】
図７は、本発明の一実施形態に従ったネットワーク装置構成フェーズの処理についてのフロー図である。上記のように、一実施形態に従って、構成プロセスは、ブロック６３５の完了の後、自動的またはマニュアルで開始されることが可能である。この実施形態において、ブロック７０５乃至７３０は、特定のプロビジョニングモードの一部である。いずれにしても、この時点で、ネットワーク装置は、周囲のネットワーク環境（ルータ等）と通信するために、アドレス可能データを用いることができる。従って、ネットワーク装置はネットワークに亘ってデータを送信且つ受信することができ、構成フェーズに進むことができる。
【００６３】
ネットワーク装置構成フェーズの処理は、構成データのリクエストが装置構成サーバ１１０（例えば、アドレス可能フェーズの間に、予め供給されたことが仮定される論理アドレス）に送信されるブロック７０５において開始する。認証が装置構成サーバ１１０により実行される一実施形態に従って、構成データのリクエストは、スマートハードウェア記憶装置、セキュリティデータの一部またはセキュリティデータに基づいて生成されるデータからのセキュリティデータを含む。それに代えて、セキュリティデータは、構成データのリクエストおよび装置構成サーバの応答のような、ネットワーク装置と装置構成サーバとの間で交換される通信を直接的または間接的に暗号化するために用いられることが可能である。
【００６４】
ネットワーク装置およびスマートハードウェア記憶装置がブロック７１０において装置構成サーバ１１０により成功裏に認証化される場合、リクエストされた構成データは、例えば、管理プロトコルとして、装置構成サーバ１１０から受信される。
【００６５】
判定ブロック７１５において、構成データがネットワーク装置により成功裏に受信されたかどうかが決定される。成功裏に受信された場合、プロセス波ブロック７２０に進む。そうでない場合、プロセスはブロック７２５の処理を実行するように分岐する。ブロック７２０において、装置構成サーバから受信された構成データは、自動化構成プロセスの一部として使用されることが可能である。一実施形態において、構成データは、目的のネットワーク環境において十分機能的になるように、ネットワーク装置が必要とする残りのデータを表す。残りのデータを受信した後、構成データにより識別される１つまたはそれ以上のピア装置により接続が確率されることが可能である。一実施形態に従って、ネットワーク装置はＶＰＮゲートウェイであり、構成データは、（１）ＶＰＮゲートウェイがトンネリングするピアＶＰＮ装置の１つまたはそれ以上のＩＰアドレス、および（２）トンネルを通して可能とされるトラフィックタイプのためのポートおよびプロトコル数、を含む。有利なことに、このように、スキルを有しない要員が、複数のネットワーク装置が並行してネットワークに対して構成されるようにできる。
【００６６】
判定ブロック７２５において、装置構成サーバからの構成データの成功しなかった受信のとき、所定のリトライ数を上回ったかどうかの決定がなされる。所定のリトライ数を上回った場合、処理ブロック７３０において、ネットワーク装置は非構成状態になる。そうでない場合、リトライは、処理ブロック７０５において継続されることにより、開始される。
【００６７】
一実施形態において、一旦、装置構成サーバが成功裏に全ての構成データを送信し、ネットワーク装置が成功裏に構成データを受信すると、ネットワーク装置は、カスタマの要求に従って動作するために十分構成される。その結果、ネットワーク装置は、ネットワーク装置がいまだに添付されているトークンを用いて再起動される場合、プロビジョニングを繰り返すことを回避するために特定のプロビジョニングモードを無効にすることが可能である。
【００６８】
それに代えて、自動化プロビジョニングプロセスは、現時点の構成データを更新された構成データと置き換えるために繰り返されることが可能である。このように、プロビジョニングシステムは、後の時間における新しい構成を用いてネットワーク装置を更新することができる。各々のネットワーク装置に対して初期アドレス可能性とセキュリティデータを提供した場合、プロビジョニングシステムは、現行のリモート管理を安全に実行するために位置付けられる。
【００６９】
図８は、本発明の一実施形態に従った装置構成サーバの構成フェーズの処理を示すフロー図である。装置構成サーバが、処理ブロック８０５においてネットワーク装置から構成データのリクエストを受信した後、装置構成サーバは、リクエストが送信されたネットワーク装置が自動化プロビジョニングサーバのために登録されたものとして認識されるものであるかどうかを決定するために、ブロック８１０および８２５において、認証／確認プロセスを実行する。さらに、トークンは、構成データに対するリクエストにおいて与えられる一意の識別子またはパスワードのようなセキュリティデータに基づいて認証される。具体的には、処理ブロック８１０において、装置構成サーバは、ネットワーク装置および構成データベースにおけるトークン識別子を調べ、それらを認可されたリストと比較する。次いで、判定ブロック８１５において、ネットワーク装置およびトークンが認証プロセスを通過するかどうかの決定がなされる。通過する場合、構成データベースへのアクセスが、ネットワーク装置に構成データを提供する目的のために認められ、処理はブロック８２０において継続される。そうでない場合であって、ネットワーク装置かまたはトークンのどちらかが認証されない場合、構成データベースへのアクセスは拒絶され、構成フェーズは、リクエストされるネットワーク装置に構成データを提供する装置構成サーバをもつことができず終了する。一実施形態に従って、ネットワーク装置および／またはトークン認証スキームは、パスワード認証プロトコル（ＰＡＰ）またはチャレンジ  ハンドシェイク認証プロトコル（ＣＨＡＰ）のような種々の利用可能な認証プロトコルの１つを使用することが可能である。
【００７０】
処理ブロック８２０において、装置構成サーバは、リクエストにおいて与えられたセキュリティデータに基づいて、ネットワーク装置のための構成データベースにおける構成データの適切な集合を調べる。構成データが構成データベースにおいて見つけられた場合、それは、ブロック８２５においてトランジットネットワーク１０５に亘ってリクエストしているネットワーク装置に送信される。一実施形態に従って、送信されたデータは、装置構成サーバにより暗号化され、構成データベースとスマートハードウェア記憶装置の両方において記憶された共有の秘密を用いてネットワーク総理ファームウェアにより暗号解読される。
【００７１】
ここで説明した実施形態は、代わりの実施形態の全てのデータにおいて、リモートソース（例えば、装置構成サーバ）からネットワーク装置への構成データのネットワークトランスポートに焦点を当てている一方、例えば、アドレス可能性および構成データはスマートハードウェア記憶装置に記憶され、直接、スマートハードウェア記憶装置によりネットワーク装置に提供されることが可能である。しかしながら、ここで説明したデータトランスポート方法は、カスタマの要求の複雑さに従って、構成データは数キロバイト乃至数十または数百キロバイトまでのいずれかのかなりの量の記憶空間量を占めることが可能である。ネットワークデータトランスポートを用いる場合、提供媒体の容量に制限はない。
【００７２】
さらに、ネットワークデータトランスポート提供機構は、装置構成サーバが異種装置の大きいネットワークに対して継続中のリモート管理を提供することを可能にする。各々の装置がデータトランスポートプロトコルをサポートする場合、装置構成サーバは各々のタイプの装置に適切な構成データを提供することができる。さらに、ネットワークデータトランスポート提供機構は、装置構成サーバが大きいネットワークにおいて多くのネットワーク装置に構成の変更を同時に適用するためにプロトコルを用いることができるため、速度と拡張性とにおける優位性を有している。
【００７３】
以上の詳細説明において、本発明の具体的な実施形態を参照して説明した。しかしながら、本発明の範囲および広い主旨とから逸脱することなく、それら実施形態に対して種々の修正および変更が可能であることは明らかであろう。従って、以上の詳細説明および図面は例示的なものであり、限定的なものではない。
【図面の簡単な説明】
【００７４】
【図１】本発明の一実施形態に従ったバーティカルプライベートネットワーク（ＶＰＮ）プロビジョニングシステムの例を示す図である。
【図２】本発明の一実施形態に従ったネットワーク装置プロビジョニングシステムの種々のフェーズを占める高水準のフロー図である。
【図３】本発明の一実施形態に従ったデザインフェーズの処置を示すフロー図である。
【図４】本発明の一実施形態に従ったネットワーク装置の高水準のブロック図である。
【図５】本発明の一実施形態に従ったスマートハードウェア記憶装置のブロック図である。
【図６】本発明の一実施形態に従ったアドレス可能フェーズの処理を示すフロー図である。
【図７】本発明の一実施形態に従ったネットワーク装置構成フェーズの処理を示すフロー図である。
【図８】本発明の一実施形態に従った装置構成サーバ構成フェーズの処理を示すフロー図である。
【図１】
2005503727.tif 000003
【図２】
2005503727.tif 000004
【図３】
2005503727.tif 000005
【図４】
2005503727.tif 000006
【図５】
2005503727.tif 000007
【図６】
2005503727.tif 000008
【図７】
2005503727.tif 000009
【図８】
2005503727.tif 000010
【国際公開パンフレット】
2005503727.tif 000011
2005503727.tif 000012
2005503727.tif 000013
2005503727.tif 000014
2005503727.tif 000015
2005503727.tif 000016
2005503727.tif 000017
2005503727.tif 000018
2005503727.tif 000019
2005503727.tif 000020
2005503727.tif 000021
2005503727.tif 000022
2005503727.tif 000023
2005503727.tif 000024
2005503727.tif 000025
2005503727.tif 000026
2005503727.tif 000027
2005503727.tif 000028
2005503727.tif 000029
2005503727.tif 000030
2005503727.tif 000031
2005503727.tif 000032
2005503727.tif 000033
2005503727.tif 000034
2005503727.tif 000035
2005503727.tif 000036
2005503727.tif 000037
2005503727.tif 000038
2005503727.tif 000039
2005503727.tif 000040
2005503727.tif 000041
2005503727.tif 000042
2005503727.tif 000043
2005503727.tif 000044
2005503727.tif 000045
2005503727.tif 000046
2005503727.tif 000047
2005503727.tif 000048
2005503727.tif 000049
2005503727.tif 000050
2005503727.tif 000051
2005503727.tif 000052
2005503727.tif 000053
2005503727.tif 000054
2005503727.tif 000055
2005503727.tif 000056
2005503727.tif 000057
2005503727.tif 000058
2005503727.tif 000059
2005503727.tif 000060
2005503727.tif 000061
【国際調査報告】
2005503727.tif 000062
2005503727.tif 000063
2005503727.tif 000064