(57)【要約】      （修正有）【課題】ポートベース認証の際にネットワークトラフィックのブロッキングを防止する方法を提供する。【解決手段】ネットワークインターフェイス（２６）と、ネットワークインターフェイスに結合したパケットフィルタ（２０４）と、パケットフィルタに結合した認証モジュール（２０６）と、認証モジュールに結合したタイマーモジュール（２０８）とを有する装置（２０２）である。認証モジュール（２０６）は、ネットワークインターフェイス（２６）において認証プロトコルのパケットの送信を許可し、タイマーが期限時に至るまで他のすべてのパケットの送信をブロックするように前記パケットフィルタ（２０４）を設定し、装置（２０２）を成功裏に認証するまで認証プロトコルの他の１つ以上のパケットを送信し、すべてのパケットの送信を許可するようにパケットフィルタ（２０４）を設定する。【選択図】図２
2008097600.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークインターフェイスと、
前記ネットワークインターフェイスに結合したパケットフィルタと、
前記パケットフィルタに結合した認証モジュールと、
前記認証モジュールに結合したタイマーモジュールとを有する装置であって、
前記認証モジュールはロジックを有し、前記ロジックは実行されたとき、
前記ネットワークインターフェイスにおいて認証プロトコルのパケットの送信を許可し、他のすべてのパケットの送信をブロックするように前記パケットフィルタを設定し、
前記タイマーモジュールに、指定された期限時を有するタイマーをスタートさせ、
前記タイマーが前記期限時に至る前に前記認証プロトコルのパケットの受信に応答して、前記タイマーモジュールに前記タイマーをディスエーブルさせ、前記装置を成功裏に認証するまで前記認証プロトコルの他の１つ以上のパケットを送信し、すべてのパケットの送信を許可するように前記パケットフィルタを設定する装置。
【請求項２】
前記認証モジュールは、実行されたとき、前記タイマーが前記期限時に至り、認証プロトコルパケットが受信されていない時、すべてのパケットの送信を許可するように前記パケットフィルタを設定するロジックをさらに有する、請求項１に記載の装置。
【請求項３】
前記認証プロトコルは拡張認証プロトコル（ＥＡＰ）またはＩＥＥＥ８０２．１ｘ認証に基づく、請求項１に記載の装置。
【請求項４】
前記認証プロトコルはＥＡＰ−ＳＩＭ、ＥＡＰ−ＴＬＳ、ＬＥＡＰ、ＥＡＰ−ＡＫＡ、ＰＥＡＰ、ＥＡＫ−ＳＫＥ、ＥＡＰ−ＭＳＣＨＡＰ−Ｖ２、ＥＡＰ−ＧＳＳ及びＥＡＰ−ＴＴＬＳのうちの１つである、請求項１に記載の装置。
【請求項５】
前記認証プロトコルは、ＰＥＡＰとともに使用されるとき、ＥＡＰ−ＭＤ５、ＥＡＰ−ＯＴＰまたはＥＡＰ−ＳＥＣＵＲＥＩＤの１つである、請求項１に記載の装置。
【請求項６】
前記ネットワークインターフェイスは認証器のポートに結合するように構成されている、請求項１に記載の装置。
【請求項７】
実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有するＤＨＣＰクライアントをさらに有する、請求項６に記載の装置。
【請求項８】
実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有するＤＨＣＰクライアントをさらに有し、前記指定された期限時は前記装置のブート遅延以上である、請求項１に記載の装置。
【請求項９】
多機能プリンタを有する、請求項１に記載の装置。
【請求項１０】
前記認証モジュールはさらにロジックを有し、前記ロジックは実行されたとき、
複数のブートアップイベントについて前記装置のブート遅延の実際値を表す１つ以上の時間値を決定し、
前記１つ以上の時間値に基づき前記装置のブート遅延の平均実際値を前記装置の不揮発性メモリに格納し、
前記装置の前記ブート遅延の平均実際値に基づき前記タイマーモジュールの前記指定された期限時を決定するように動作可能である、請求項１に記載の装置。
【請求項１１】
ネットワークインターフェイスと、
前記ネットワークインターフェイスに結合したパケットをフィルタする手段と、
前記パケットフィルタ手段に結合した前記装置の認証を実行する手段と、
前記認証モジュールに結合した計時手段とを有する装置であって、
前記認証を実行する手段は、
前記ネットワークインターフェイスにおいて認証プロトコルのパケットの送信を許可し、他のすべてのパケットの送信をブロックするように前記パケットフィルタ手段を設定する手段と、
前記計時手段に、指定した期限時を有するタイマーをスタートさせる手段と、
前記タイマーが前記期限時に至る前に前記認証プロトコルのパケットの受信に応答して、前記タイマーモジュールに前記タイマーをディスエーブルさせ、前記装置を成功裏に認証するまで前記認証プロトコルの他の１つ以上のパケットを送信し、すべてのパケットの送信を許可するように前記パケットフィルタを設定する手段とを有する装置。
【請求項１２】
前記認証実行手段は、前記タイマーが前記期限時に至り、認証プロトコルパケットが受信されていない時、すべてのパケットの送信を許可するように前記パケットフィルタを設定する手段をさらに有する、請求項１１に記載の装置。
【請求項１３】
前記認証プロトコルは拡張認証プロトコル（ＥＡＰ）またはＩＥＥＥ８０２．１ｘ認証に基づく、請求項１１に記載の装置。
【請求項１４】
前記認証プロトコルはＥＡＰ−ＳＩＭ、ＥＡＰ−ＴＬＳ、ＬＥＡＰ、ＥＡＰ−ＡＫＡ、ＰＥＡＰ、ＥＡＫ−ＳＫＥ、ＥＡＰ−ＭＳＣＨＡＰ−Ｖ２、ＥＡＰ−ＧＳＳ及びＥＡＰ−ＴＴＬＳのうちの１つである、請求項１１に記載の装置。
【請求項１５】
前記認証プロトコルは、ＰＥＡＰとともに使用されるとき、ＥＡＰ−ＭＤ５、ＥＡＰ−ＯＴＰまたはＥＡＰ−ＳＥＣＵＲＥＩＤの１つである、請求項１１に記載の装置。
【請求項１６】
前記ネットワークインターフェイスは認証器のポートに結合するように構成されている、請求項１１に記載の装置。
【請求項１７】
実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有するＤＨＣＰクライアントをさらに有する、請求項１６に記載の装置。
【請求項１８】
実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有するＤＨＣＰクライアントをさらに有し、前記指定された期限時は前記装置のブート遅延以上である、請求項１１に記載の装置。
【請求項１９】
多機能プリンタを有する、請求項１１に記載の装置。
【請求項２０】
前記認証実行手段は、実行されたとき、
複数のブートアップイベントについて前記装置のブート遅延の実際値を表す１つ以上の時間値を決定し、
前記１つ以上の時間値に基づき前記装置のブート遅延の平均実際値を前記装置の不揮発性メモリに格納し、
前記装置の前記ブート遅延の平均実際値に基づき前記タイマーモジュールの前記指定された期限時を決定するロジックをさらに有する、請求項１１に記載の装置。
【請求項２１】
コンピュータにより実行される方法であって、
前記ネットワークインターフェイスにおいて認証プロトコルのパケットの送信を許可し、他のすべてのパケットの送信をブロックするように前記パケットフィルタを設定する段階と、
指定された期限時を有するタイマーをスタートさせる段階と、
前記タイマーが前記期限時に至る前に認証プロトコルパケットを受信したとき、前記タイマーをディスエーブルさせ、前記装置を成功裏に認証するまで前記認証プロトコルの他の１つ以上のパケットを送信し、すべてのパケットの送信を許可するように前記パケットフィルタを設定する段階とを有する方法。
【請求項２２】
前記タイマーが前記期限時に至り、認証プロトコルパケットが受信されていない時、すべてのパケットの送信を許可するように前記パケットフィルタを設定する段階をさらに有する、請求項２１に記載の方法。
【請求項２３】
前記認証プロトコルは拡張認証プロトコル（ＥＡＰ）またはＩＥＥＥ８０２．１ｘ認証に基づく、請求項２１に記載の方法。
【請求項２４】
認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信する段階をさらに有し、前記指定された期限時は前記装置のブート遅延以上である、請求項２１に記載の方法。
【請求項２５】
ロジックを有するコンピュータ読み取り可能記憶媒体であって、前記ロジックは実行された時、１つ以上のプロセッサに、
前記ネットワークインターフェイスにおいて認証プロトコルのパケットの送信を許可し、他のすべてのパケットの送信をブロックするように前記パケットフィルタを設定する段階と、
指定された期限時を有するタイマーをスタートさせる段階と、
前記タイマーが前記期限時に至る前に認証プロトコルパケットを受信したとき、前記タイマーをディスエーブルさせ、前記装置を成功裏に認証するまで前記認証プロトコルの他の１つ以上のパケットを送信し、すべてのパケットの送信を許可するように前記パケットフィルタを設定する段階とを実行させるコンピュータ読み取り可能媒体。
【請求項２６】
さらに、前記１つ以上のプロセッサにより実行されたとき、前記タイマーが前記期限時に至り、認証プロトコルパケットが受信されていない時、すべてのパケットの送信を許可するように前記パケットフィルタを設定するロジックを有する、請求項２５に記載のコンピュータ読み取り可能媒体。
【請求項２７】
前記認証プロトコルは拡張認証プロトコル（ＥＡＰ）またはＩＥＥＥ８０２．１ｘ認証に基づく、請求項２５に記載のコンピュータ読み取り可能媒体。
【請求項２８】
前記１つ以上のプロセッサにより実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックをさらに有し、前記指定された期限時は前記装置のブート遅延以上である、請求項２５に記載のコンピュータ読み取り可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は概してネットワークデータ処理に関する。本発明は、より具体的には、ネットワークデバイスのポートベース認証に関する。
【背景技術】
【０００２】
このセクションで説明するアプローチは、達成しようとすることができるものであるが、必ずしも以前に思いついたものや達成しようと試みたものではない。それゆえ、特に注意しない限り、このセクションに記載したアプローチはいずれもこのセクションに記載したことをもって先行技術であると考えるべきではない。
【０００３】
ポートベース認証において、多機能プリンタ、パーソナルコンピュータ、サーバ等のネットワークエンドステーションデバイスは、そのエンドステーションがルータやスイッチ等のネットワークインフラストラクチャ要素に認証されなければ、これらのネットワークインフラストラクチャ要素の物理ポートまたは論理ポートを通してネットワークにアクセスすることはできない。認証を行うには、ポート上にパケットを検出すると、インフラストラクチャ要素はエンドステーションに信用証明（credential）の提供を要求し、ＲＡＤＩＵＳやＴＡＣＡＣＳ＋等のプロトコルにより認証・許可・会計（ＡＡＡ）サーバと通信することにより、その証明書を確認または有効化する。
【０００４】
認証の実行には、エンドステーションデバイスとインフラストラクチャ要素が複数メッセージの通信を行う時間、インフラストラクチャ要素ＡＡＡサーバと通信する時間、及びＡＡＡサーバがセキュアデータベース中の信用証明（credential）を検索して確認する時間が必要である。しかし、認証プロセスが完了する前に、エンドステーションデバイスの他のプロセスがポートにトラフィックを送ろうと試みることもある。例えば、ＩＥＴＦのＲＦＣで規定されているＤＨＣＰ（Dynamic  Host  Control  Protocol）を使用するデバイスにおいて、ＤＨＣＰクライアントは、認証プロセスが完了する前に、ＤＨＣＰＲＥＱＵＥＳＴメッセージを送信して、リーストＩＰアドレス（leased  IP  address）を取得しようとするかも知れない。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
こうした環境下では不都合な結果が生じることがある。非認証デバイスからＤＨＣＰその他のトラフィックを受信すると、インフラストラクチャ要素はポートを閉じ、そのポートにおける認証メッセージを含むすべての通信を終了してしまうので、認証ができないことがある。そのような場合、ネットワーク管理者はコンソールコマンド等を使って、インフラストラクチャ要素にポートを再度開けるように指示しなければならない。手作業が入り、インフラストラクチャ要素が再設定されるまでエンドステーションデバイスがネットワーク上で使えないので、このような指示は望ましくない。別の場合には、インフラストラクチャ要素が不正トラフィック（unauthorized  traffic）を黙って破棄してしまう。結果として、ＤＨＣＰの下でダイナミックアドレスを探してエンドステーションデバイスがタイムアウトし、ダイナミックアドレスを取得できないので、記憶されたスタティックＩＰアドレスをデフォルト（default）にしてしまうことがある。スタティックＩＰアドレスを使用すると、ネットワークデバイスには接続性（connectivity）が制限されるなどの問題が生じる。
【０００６】
マイクロソフトウィンドウズ(登録商標)ＸＰ  ＤＨＣＰクライアントはこの問題を解決するため、異なる時間間隔で定期的にＤＨＣＰＲＥＱＵＥＳＴパケットを再送する。しかし、一部のインフラストラクチャ要素の応答は、非認証デバイスに接続されたポートをシャットダウンすることである。
【課題を解決するための手段】
【０００７】
ポートベース認証の際にネットワークトラフィックのブロッキングを防止する方法を提供する。一態様では、本発明は提供する方法においては、ネットワークデバイスは、認証が成功するまで、ポートベース認証を用いるポートに結合されたインターフェイスにおいて、認証プロトコルトラフィックの送信のみを許され、その他のトラフィックの送信を許されない。
【０００８】
他の態様では、本発明が提供する装置は、ネットワークインターフェイスと、前記ネットワークインターフェイスに結合したパケットフィルタと、前記パケットフィルタに結合した認証モジュールと、前記認証モジュールに結合したタイマーモジュールとを有する。前記認証モジュールはロジックを有し、前記ロジックは実行されたとき、前記ネットワークインターフェイスにおいて認証プロトコルのパケットの送信を許可し、他のすべてのパケットの送信をブロックするように前記パケットフィルタを設定し、前記タイマーモジュールにタイマーをスタートさせ、前記タイマーが前記期限時に至る前に前記認証プロトコルのパケットの受信に応答して、前記タイマーモジュールに前記タイマーをディスエーブルさせ、前記装置を成功裏に認証するまで、他の１つ以上の認証プロトコルパケットを送信し、すべてのパケットの送信を許可するように前記パケットフィルタを設定する。
【０００９】
この態様の一実施形態では、前記認証モジュールはさらに、実行されたとき、前記タイマーが前記期限時に至り、認証プロトコルパケットが受信されていない時、すべてのパケットの送信を許可するように前記パケットフィルタを設定する。
【００１０】
他の実施形態では、前記認証プロトコルは拡張認証プロトコル（ＥＡＰ）またはＩＥＥＥ８０２．１ｘ認証に基づく。他の実施形態では、前記認証プロトコルはＥＡＰ−ＳＩＭ、ＥＡＰ−ＴＬＳ、ＬＥＡＰ、ＥＡＰ−ＡＫＡ、ＰＥＡＰ、ＥＡＫ−ＳＫＥ、ＥＡＰ−ＭＳＣＨＡＰ−Ｖ２、ＥＡＰ−ＧＳＳ及びＥＡＰ−ＴＴＬＳのうちの１つである。さらに他の実施形態では、前記認証プロトコルは、ＰＥＡＰとともに使用されるとき、ＥＡＰ−ＭＤ５、ＥＡＰ−ＯＴＰまたはＥＡＰ−ＳＥＣＵＲＥＩＤの１つである。
【００１１】
さらに別の実施形態では、前記ネットワークインターフェイスは認証器のポートに結合するように構成されている。さらに別の実施形態では、ＤＨＣＰクライアントは、実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有する。
【００１２】
さらに他の実施形態では、ＤＨＣＰクライアントは、実行された時、前記認証器にＤＨＣＰＲＥＱＵＥＳＴメッセージを送信するように動作可能なロジックを有し、前記指定された期限時は前記装置のブート遅延以上である。
【００１３】
さらに別の実施形態では、本装置は多機能プリンタを有する。
【００１４】
さらに別の実施形態では、前記認証モジュールはさらにロジックを有し、前記ロジックは実行されたとき、複数のブートアップイベントについて前記装置のブート遅延の実際値を表す１つ以上の時間値を決定し、前記１つ以上の時間値に基づき前記装置のブート遅延の平均実際値を前記装置の不揮発性メモリに格納し、前記装置の前記ブート遅延の平均実際値に基づき前記タイマーモジュールの前記指定された期限時を決定する。
【発明を実施するための最良の形態】
【００１５】
本発明は、添付した図面において実施例によって示すが、本発明を限定するものではない。同じ参照数字は同じ要素を示す。
【００１６】
以下の詳細な説明では、説明を目的として、本発明を完全に理解してもらうために、具体的な詳細事項を開示した実施形態例を記載する。しかし、言うまでもなく、本発明はこれらの詳細がなくても実施することができる。他の場合において、ブロック図として周知の構造やデバイスを示すが、これは本発明が不明瞭になることを避けるためである。以下の概略によって実施形態を説明する：
１.０    構成面の概要
２.０    機能面の概要
３.０    ハードウェアの概要
１.０    構成面の概要
図１は実施形態を使用し得るネットワーク例を示すブロック図である。図２は一実施形態によるネットワークエンドステーションデバイスを示すブロック図である。図１を参照するに、ネットワークエンドステーションデバイス１０は、インターフェイス２６とリンク２４とにより、ネットワークインフラストラクチャ要素１６のインターフェイス２８に結合している。ネットワークインフラストラクチャ要素１６は１つ以上のネットワーク２０により直接的または間接的に認証サーバ２２に結合している。エンドステーションデバイス１０は、多機能プリンタ、パーソナルコンピュータ、ワークステーション、またはその他のネットワークエンドポイントを含む。一実施形態では、エンドステーションデバイス１０は株式会社リコーのリコーＡＦＩＣＩＯ多機能プリンタであり、認証モジュール１２とＤＨＣＰクライアント１４を有する。
【００１７】
ネットワークインフラストラクチャ要素１６は認証器１８を有する。一実施形態では、インフラストラクチャ要素１６はルータ、スイッチ、ゲートウェイ、その他のネットワークアクセスデバイスである。インターフェイス２８はインフラストラクチャ要素１６の物理ポートまたは論理ポートのいずれかを有する。
【００１８】
一実施形態では、認証サーバ２２はマイクロソフトＲＡＤＩＵＳサーバやシスコシステムズ社のＣｉｓｃｏセキュアＡＣＳ等の認証・許可・会計（ＡＡＡ）サーバであり、ユーザの信用証明のセキュアな記憶装置を有する。認証サーバ２２は、ＲＡＤＩＵＳ（Remote  Access  Dial-in  User  Service）やＴＡＣＡＣＳ＋等の認証プロトコルを用いて、認証器１８と通信する。かかる構成においては、認証器１８は認証サーバ２２のＡＡＡクライアントである。このように、完全な認証シーケンスには認証モジュール１２、認証器１８、認証サーバ２２が係わってくる。
【００１９】
認証モジュール１２とＤＨＣＰクライアント１４は別のプロトコルメッセージを用いてリンク２４により通信する。このように、図１の構成の問題は、認証器１８がインターフェイス２８上のエンドステーションデバイス１０を認証する前に、ＤＨＣＰクライアント１４がリンク２４によりインターフェイス２８にＤＨＣＰメッセージを通信しようと試みることである。それに応じて、インフラストラクチャ要素１６は、ＤＨＣＰメッセージが不正なトラフィックであると判断して、インターフェイス２８をシャットダウンすることがある。
【００２０】
ここで図２を参照するに、一実施形態では、ネットワークエンドステーションデバイス２０２はパケットフィルタ２０４を有する。このパケットフィルタ２０４は、インターフェイス２６に結合しており、パケットがインターフェイス２６に送信される前にそのパケットをフィルタするように構成されている。パケットフィルタ２０４は、ＤＨＣＰクライアント１４に結合した入力を有し、ＤＨＣＰメッセージがインターフェイス２６に送信される前に、デバイス２０２から来るＤＨＣＰメッセージをフィルタすることができる。
【００２１】
パケットフィルタ２０４は認証モジュール２０６と結合した入力も有し、認証プロトコルパケットがインターフェイス２６に送られる前に、認証プロトコルによりフォーマットされたパケットやメッセージを受け取り、フィルタする。認証モジュール２０６は、ユーザ名−パスワード、デジタル証明書（certificate）、デバイス識別子、その他の記憶されているデバイス信用証明（credentials）に基づき、ＲＡＤＩＵＳまたはＴＡＣＡＣＳ＋等の認証プロトコルに応じて、デバイス２０２の認証を実行するように構成されている。
【００２２】
認証モジュール２０６はタイマーモジュール２０８に結合している。このタイマーモジュール２０８は、指定された時間や期限を計時し、時間が経過した時に認証モジュールに信号を送る。認証モジュール２０６は、設定モジュール２１０に結合している。この設定モジュール２１０は、インターフェイス２６またはコンソールインターフェイスの設定コマンドのユーザ入力を受け取り、認証モジュールを設定することができる。例えば、設定モジュールはパスワードや信用証明の設定、暗号鍵強度の変更、認証メカニズムの変更、タイマーモジュール２０８の指定期限（specified  expiration  value）の変更等のために使用される。
【００２３】
タイマーモジュール２０８、設定モジュール２１０、認証モジュール２０６、パケットフィルタ２０４、及びＤＨＣＰクライアント１４は、ここで説明した機能を実行するコンピュータプログラムその他のソフトウェア要素で実施することもできる。
２.０    機能面の概要
一般的に、ここに説明する方法を用いて、ネットワークエンドステーションデバイスは、認証が完了するか指定されたタイムアウトが発生するまで、ポートベース認証（port-based  authentication）を使用するポートに結合されたインターフェイスには、認証プロトコルトラフィックのみを送信することができ、その他のトラフィックを送信することはできない。タイムアウトは、一般的にはエンドステーションデバイスのブート遅延より少し長いものを選択する。
【００２４】
図３はポートベース認証の実行プロセスを示すフロー図である。図４はタイマー時間の適応的決定プロセスを示すフロー図である。最初に図３を参照して、ステップ３０２において、ネットワークデバイスのパワーをオンにする。例えば、パワーをデバイス２０２に与える。デバイス２０２はパワーアップシーケンスまたはブートアップシーケンスを実行して、非パワー状態からパワーオンされた動作可能状態になる。
【００２５】
ステップ３０４において、パケットフィルタはすべてのパケットを受信するが、認証プロトコルパケット以外のパケットの送信はブロックされる。例えば、認証モジュール２０６は、認証モジュールからの認証プロトコルパケットの送信は許可するが、ＤＨＣＰクライアント１４からのＤＨＣＰパケットやその他の機能要素からのその他のパケットの送信はブロックするようにパケットフィルタ２０４を設定する。
【００２６】
ステップ３０４は一般的にデバイスのブートアップシーケンスの比較的早い時期に実行され、そのデバイスが認証プロトコルパケット以外のパケットをネットワークインターフェイスに送信できないようにする。さらに、このアプローチを用いると、ＤＨＣＰクライアント１４やその他の機能要素は、デバイス２０２がインフラストラクチャ要素１６に認証される前に、インターフェイス２６にトラフィックを送信することはできない。出て行くＤＨＣＰトラフィックをブロックしても不都合な結果は生じない。ほとんどのＤＨＣＰクライアントは、最初のリクエストが失敗であるか、または応答がなくても、リーストダイナミックアドレス（leased  dynamic  address）を取得するためにＤＨＣＰＲＥＱＵＥＳＴパケットを再送するように構成されているからである。
【００２７】
ステップ３０６において、プロセスはタイマーをスタートさせる。例えば、認証モジュール２０６はタイマーモジュール２０８に信号を送り、指定された期限（expiration  time  value）まで計時させる。指定される期限時は、例えば、タイマーモジュール２０８にハードコード（hard-coded）されていても、設定ファイルからタイマーモジュール２０８が取得しても、設定モジュール２１０からタイマーモジュール２０８に提供されてもよい。タイマーモジュールが期限時（expiration  time  value）を判断する具体的な方法は重要ではない。
【００２８】
一実施形態では、期限時（expiration  time）はデバイス２０２の分かっているブート遅延より少し長く設定する。期限時は、例えば、１０秒から１８０秒までの範囲であるが、それより長くてもよい。好適な期限時はデバイスのブート遅延に基づき選択することができる。さらに、図４を参照してここに説明する実施形態においては、過去のブート遅延の実際値に基づいて期限時を適応的に決定してもよい。
【００２９】
ブート遅延にほぼ等しい期限時（expiration  time）を使用する根拠は、デバイスがポートベース認証を完了してスイッチやルータにアクセスする十分な時間を与えるが、ブートアップシーケンスが完了してデバイスが使用可能になる時までにそのデバイスが認証を完了していないとき、ポートをオープンにするからである。このアプローチは、認証の実行に十分な時間をとることと、ブートアップ後できるだけ早くユーザがエンドステーションデバイスを使用できることとのバランスをとるものである。トレードオフに応じて、結果として、期限時の選択や期限時選択の方法は異なる。
【００３０】
ステップ３０８において、タイマーの期限が来たか判断する。タイマーの期限が来ていなければ、次にステップ３１０において、認証プロトコルパケットを受信したか判断する。図２の場合、ネットワークインフラストラクチャ要素１６の認証器１８が認証シーケンスを開始した時、エンドステーションデバイス２０２はインターフェイス２６に認証プロトコルパケットを受信している。例えば、インフラストラクチャ要素１６がインターフェイス２８におけるポートベース認証を実施するように構成されているとき、かかる認証が開始される。
【００３１】
認証パケットが受信されていなければ、制御はステップ３１０からステップ３０８に移り、計時を再開し、タイマーの期限が来たかテストする。
【００３２】
最初の認証パケットを受信すると、ステップ３１４において、タイマーがディスエーブル（disable）される。しかし、パケットフィルタの状態は変化しない。このように、認証プロトコルトラフィックのみがエンドステーションデバイスから出ることができる。ステップ３１６において、プロセスは認証が完了したかテストし、もし完了していなければ、認証が成功裏に完了するまでループを回る。
【００３３】
認証処理でエラーが発生したとき、ステップ３１６は適当なエラー処理や例外処理（exception  handling）を有し、ステップ３１６が無限ループにならないようにする。実施形態の説明を明りょうにするため、ここではステップ３１６において認証が成功裏に完了し、制御がステップ３１２に移ったと仮定する。
【００３４】
一実施形態では、タイマーはディスエーブルされたままであり、例外処理やエラーリカバリの間に、パケットフィルタは認証パケット以外のパケットの送信をブロックするように構成されている。このアプローチの根拠は、ネットワークインフラストラクチャ要素１６の認証器１８が一旦認証を開始すると、エンドステーションデバイスは認証プロトコルパケット以外のパケットを送信するべきではなく、さもないとインフラストラクチャ要素がポートをシャットダウンするか、その他の不都合な結果が生じることである。
【００３５】
ステップ３１２において、パケットフィルタはすべてのパケットの送信ができるように設定される。図２の場合における上記プロセスフローの根拠は、エンドステーションデバイス２０２がインフラストラクチャ要素１６に成功裏に認証された後、インフラストラクチャ要素１６はすべてのトラフィックを受け付けて転送し、トラフィックをドロップしたりプロテクトされたインターフェイス２８をシャットダウンしたりしないことである。
【００３６】
タイマーの期限が来ると、制御はステップ３１２に移り、パケットフィルタはすべてのパケットを送信するように設定される。このように、タイマーの期限が来ておらず、ネットワークエンドステーションデバイスがネットワークインフラストラクチャ要素から認証プロトコルパケットを受信してなく認証を開始していないとき、プロセスはインフラストラクチャ要素のインターフェイスがオープンであるか、ポートベース認証が使用されていないと仮定する。それゆえ、非認証デバイスからのトラフィックによりインフラストラクチャ要素がインターフェイスをシャットダウンする危険性はない。それに応じて、パケットフィルタは、ＤＨＣＰトラフィックその他のすべてのトラフィックをインターフェイス２６に送信させる。
【００３７】
ここで図４を参照して、一実施形態では、ステップ４０２において、タイマー時間を適応的に決定するプロセスは、複数のブートアップイベントに対して装置のブート遅延の実際値を表す時間を決定する。例えば、認証モジュール２０６その他のロジックは、システムクロックその他のタイマーとともに動作して、デバイス２０２のブートシーケンスの早い時期に現在時を記憶し、ブートシーケンスが終了するか終了に近くなるのを待ち、その時の現在時を判断する。その時の現在時と記憶された時間の差はトータルブート遅延を示し、その結果として得られたブート遅延値を記憶する。
【００３８】
一実施形態では、ステップ４０４において、不揮発性メモリの専用記憶領域がデバイスのブート遅延の平均実際値で更新される。例えば、ステップ４０２において新しいブート遅延値を求めると、プロセスは専用記憶領域から前の値を読み出して、移動平均を計算し、その結果を記憶させる。
【００３９】
ステップ４０６において、タイマーモジュールの指定された期限時は、その装置のブート遅延の平均実際値に基づき決定される。一実施形態では、図３のステップ３０６において、タイマーモジュール２０８は、認証モジュールからの信号に応答して計時を開始し、不揮発性メモリの専用記憶領域からブート遅延の平均実際値を読み出し、その値を期限時の値として使用する。
【００４０】
結果として、ここで説明したアプローチを用いて、図３のタイマーの期限時をデバイスの実際のブートアップ時間やブート遅延の変化に適応させることができ、図３のプロセスを使用することができる。このアプローチにより、認証が始まるのを図３のプロセスが待つ時間の長さを最適化することができる。
３.０    ハードウェアの概要
図５は、本発明の一実施形態を実装するコンピュータシステム５００を示すブロック図である。コンピュータシステム５００は、情報をやりとりするバス５０２その他の通信メカニズムと、バス５０２に結合した情報を処理するプロセッサ５０４とを有する。コンピュータシステム５００は、さらに、ランダムアクセスメモリ（ＲＡＭ）またはその他のダイナミック記憶デバイス等のメインメモリ５０６を含む。このメインメモリは、バス５０２に結合しており、情報と、プロセッサ５０４により実行される命令とを格納する。メインメモリ５０６は、プロセッサ５０４による命令の実行中に、一時的変数やその他の中間情報を記憶するために使用することもできる。コンピュータシステム５００は、さらに、読み出し専用メモリ（ＲＯＭ）５０４その他の静的記憶デバイスを含む。この読出専用メモリは、バス５０２に結合されており、静的な情報とプロセッサ５０４の命令とを格納する。記憶装置５１０（磁気ディスクや光ディスク等）が設けられ、バス５０２に結合されており、情報と命令を格納する。
【００４１】
コンピュータシステム５００は、バス５０２を介して、ディスプレイ５１２（陰極線管（ＣＲＴ）等）に結合されており、コンピュータユーザに情報を表示する。入力装置５１４は、英数字その他のキーを含み、バス５０２に結合されており、情報とコマンド選択をプロセッサ５０２に伝送する。他のタイプのユーザ入力装置はカーソル制御部５１６であり、マウス、トラックボール、またはカーソル方向キー等である。これらは、プロセッサ５０４に方向情報とコマンド選択を伝送し、ディスプレイ５１２上のカーソルの動きを制御する。この入力装置は典型的には２つの軸、すなわち第１の軸（例えばｘ軸）と第２の軸（例えばｙ軸）で２自由度を有し、これによりデバイスが平面内の点を特定することができる。
【００４２】
本発明は、ここに説明した方法を実施するためのコンピュータシステム５００の使用方法にも関する。本発明の一実施形態によると、これらの方法のコンピュータシステム５００による実行は、メインメモリ５０６に含まれる１つ以上の命令の１つ以上のシーケンスをプロセッサ５０４が実行することにより行われる。かかる命令は、メインメモリ５１０に他の機械読み取り可能媒体（記憶装置５０６等）から読み込まれる。メインメモリ５０６に含まれる命令シーケンスの実行により、プロセッサ５０４はここに説明したプロセスステップを実行する。他の実施形態では、ソフトウェア命令に替えて、またはソフトウェア命令と組み合わせて、ハードワイヤー回路（hard-wired  circuitry）を使用して本発明を実施することもできる。このように、本発明の実施形態は、ハードウェア回路とソフトウェアの特定の組み合わせに限定はされない。
【００４３】
ここで、「機械読み取り可能媒体」との用語は、機械に特定のやり方で動作させるデータを提供するいかなる媒体も指す。コンピュータシステム５００を用いて実施する一実施形態では、様々な機械読み取り可能媒体を使用して、例えば、プロセッサ５０４が実行する命令を提供する。かかる媒体は、多数の形式をとることができ、例えば、不揮発性媒体、揮発性媒体、伝送媒体等を含むが、これらに限定はされない。不揮発媒体は、例えば光ディスクまたは磁気ディスクを含み、記憶装置５１０等である。揮発性媒体は、ダイナミックメモリを含み、メインメモリ５０６等である。伝送媒体は、同軸ケーブル、銅線、光ファイバを含み、バス５０２を含むワイヤも含む。伝送媒体は、音波や光波であって、無線通信や赤外線データ通信で生成されるものの形態を取ることもできる。かかる媒体はすべて有体物であり、その媒体により担われる命令が、その命令をマシンに読み取る物理的メカニズムにより検出可能である。
【００４４】
機械読み取り可能媒体の一般的な形態には次のものが含まれる。例えば、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、その他の磁気媒体、ＣＤ−ＲＯＭその他の光媒体、パンチカード、紙テープ、その他の穴のパターンを有する物理媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、フラッシュＥＰＲＯＭ、その他のメモリチップまたはカートリッジ、以下に説明する搬送波、コンピュータが読み取れるその他のいかなる媒体。
【００４５】
機械読み取り可能媒体の様々な形態を使用して、１つ以上の命令の１つ以上のシーケンスをプロセッサ５０４に搬送し、実行させる。例えば、命令は最初にリモートコンピュータの磁気ディスク上に担われていてもよい。リモートコンピュータは、その命令をそのダイナミックメモリにロードして、モデムを用いて電話回線を介してその命令を送信することができる。コンピュータシステム５００のモデムは、電話回線上のデータを受信し、赤外線トランスミッタを用いてそのデータを赤外線信号に変換することができる。赤外線検出器が赤外線信号に担われているデータを受信して、適当な回路がそのデータをバス５０２に載せることができる。バス５０２はそのデータをメインメモリ５０６に送り、プロセッサ５０４はその命令を読み出して実行する。メインメモリ５０６が受け取った命令は、任意的に記憶装置５１０に記憶され、その前または後にプロセッサ５０４により実行される。
【００４６】
コンピュータシステム５００は、バス５０２に結合した通信インターフェイス５１８も含む。通信インターフェイス５１８は、ネットワークリンク５２０との双方向データ通信カップリングを提供する。ネットワークリンクはローカルネットワーク５２２に接続されている。例えば、通信インターフェイス５１８は、統合デジタルサービスネットワーク（ＩＳＤＮ）カードまたはモデムであって、対応するタイプの電話回線へのデータ通信接続を提供する。他の例として、通信インターフェイス５１８は、ローカルエリアネットワーク（ＬＡＮ）カードであって、互換性のあるＬＡＮへのデータ通信接続を提供してもよい。無線リンクを実施してもよい。かかる実施では、通信インターフェイス５１８は、いろいろなタイプの情報を表すデジタルデータストリームを搬送する電気的、電磁気的、または光学的信号を送受信する。
【００４７】
ネットワークリンク５２０は、一般的には、１つ以上のネットワークを介して他のデータデバイスとのデータ通信を提供する。例えば、ネットワークリンク５２０は、ローカルネットワーク５２２により、ホストコンピュータ５２４またはインターネットサービスプロバイダ（ＩＳＰ）５２６により運営されているデータ機器への通信を提供する。ＩＳＰ５２６は、同様に、現在は一般的にインターネット５２８と呼ばれている、世界規模のパケットデータ通信ネットワークによるデータ通信サービスを提供する。ローカルネットワーク５２２とインターネット５２８は、両方とも、デジタルデータストリームを担う電気的、電磁気的、または光学的信号を使用する。様々なネットワーク中の信号やネットワークリンク５２０と通信インターフェイス５１８上の信号は、コンピュータシステム５００との間でデジタルデータを搬送し、情報を伝送する搬送波の形式の例である。
【００４８】
コンピュータシステム５００は、ネットワーク、ネットワークリンク５２０、及び通信インターフェイス５１８により、メッセージを送信しプログラムコードを含むデータを受信することができる。インターネットの例では、サーバ５３０は、インターネット５２８、ＩＳＰ５２６、ローカルネットワーク５２２、及び通信インターフェイス５１８を介して、要求されたアプリケーションプログラムのコードを送信してもよい。
【００４９】
受信したコードは、受信しつつプロセッサ５０４により実行されてもよいし、後で実行するために記憶装置５１０またはその他の不揮発性記憶装置に記憶されてもよい。このように、コンピュータシステム５００は、搬送波の形態でアプリケーションコードを取得してもよい。
【００５０】
上記の通り明細書では、実施ごとに変わり得る多数の詳細を参照して本発明の実施形態を説明した。このように、本発明であり、出願人が本発明であると考えているものを示すのは、願書に添付した特許請求の範囲であり、特許後の訂正も含め特許された請求項である。かかる請求項に含まれる用語についてここで明示的に記載した定義は、請求項で使用されるかかる用語の意味を司るものである。よって、請求項中に明示的に含まれていない限定、要素、特性、特徴、利益、または属性は、いかなる方法によっても、かかる請求項の範囲を限定するものではない。したがって、明細書と図面は例示であって限定ではないと考えるべきである。
【図面の簡単な説明】
【００５１】
【図１】実施形態を使用し得るネットワーク例を示すブロック図である。
【図２】一実施形態によるネットワークエンドステーションデバイスを示すブロック図である。
【図３】ポートベース認証の実行プロセスを示すフロー図である。
【図４】タイマー時間の適応的決定プロセスを示すフロー図である。
【図５】一実施形態を実施するために使用するコンピュータシステムを示すブロック図である。
【符号の説明】
【００５２】
１０  ネットワークエンドステーションデバイス
１４  ＤＨＣＰクライアント
１２  認証モジュール
１６  ネットワークインフラストラクチャ要素
１８  認証器
２０  ネットワーク
２２  認証サーバ
２０２  ネットワークエンドステーションデバイス
２０８  タイマーモジュール
２１０  設定モジュール
２０６  認証モジュール
２０４  パケットフィルタ
５０２  バス
５０４  プロセッサ
５０６  メインメモリ
５０８  ＲＯＭ
５１０  記憶装置
５１２  ディスプレイ
５１４  入力デバイス
５１６  カーソル制御部
５１８  通信インターフェイス
５２０  ネットワークリンク
５２２  ローカルネットワーク
５２４  ホスト
５２６  ＩＳＰ
５２８  インターネット
５３０  サーバ
【図１】
2008097600.tif 000003
【図２】
2008097600.tif 000004
【図３】
2008097600.tif 000005
【図４】
2008097600.tif 000006
【図５】
2008097600.tif 000007