(57)【要約】【課題】光ネットワーク端末（ＯＮＴ）と光回線端末（ＯＬＴ）とを含む受動光ネットワーク（ＰＯＮ）を提供すること。【解決手段】ＯＮＴはオーセンティケータポートアクセスエンティティ（ＰＡＥ）機能の制御下のポートの動作を提供するために構成され、ＯＬＴはオーセンティケータＰＡＥ機能のエンティティ認証の動作を提供するために構成される。オーセンティケータＰＡＥ機能の制御下のポートの動作は、ＯＮＴからの非認証メッセージの送信を抑制することと、ＯＬＴへサプリカント認証要求を送信することと、サプリカント認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にすることとを含む。オーセンティケータＰＡＥ機能のエンティティ認証の動作は、サプリカントの身元の認証を促進することと、身元が認証されたことに応答してＯＮＴによる受信のためにサプリカント認証確認の送信を促進することとを含む。【選択図】図２
2007068161.tif 000002
【特許請求の範囲】
【請求項１】
非認証メッセージを送信しようとするエンティティの身元が認証されるまで受動光ネットワーク（ＰＯＮ）の光ネットワーク端末（ＯＮＴ）からの前記非認証メッセージの送信を抑制する、ＯＮＴによって実行されるステップと、
ＯＮＴでエンティティ認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にする、ＯＮＴによって実行されるステップとを備える、方法。
【請求項２】
エンティティの身元を認証するステップと、
身元が認証されたことに応答して、ＯＮＴによる受信のために前記エンティティ認証確認を送信するステップとをさらに備える、請求項１に記載の方法。
【請求項３】
前記抑制するステップおよび前記可能にするステップがＯＮＴによって実行され、
前記エンティティの身元を認証するステップおよび前記エンティティ認証確認を送信するステップが、少なくとも１つのＯＬＴと認証サーバとによって実行される、請求項２に記載の方法。
【請求項４】
エンティティ認証要求を送信するステップおよび前記エンティティ認証確認を送信するステップのそれぞれが、
ＯＮＴとＯＬＴとの間の専用トンネルを介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信するステップと、
ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出するステップとのうちの少なくとも１つを含む、請求項２に記載の方法。
【請求項５】
前記エンティティの身元を認証することができるように、サプリカント認証要求をオーセンティケータポートアクセスエンティティ（ＰＥＡ）機能に向けて送ることをさらに含む、請求項２に記載の方法。
【請求項６】
前記抑制するステップおよび前記可能にするステップがＯＮＴによって実行され、
前記エンティティの身元を認証するステップおよび前記エンティティ認証確認を送信するステップが、少なくとも１つのＯＬＴと認証サーバとによって実行され、
エンティティ認証要求を送信するステップおよび前記エンティティ認証確認を送信するステップのそれぞれが、ＯＮＴとＯＬＴとの間の専用トンネルを介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信するステップと、ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出するステップとのうちの少なくとも１つを含む、請求項５に記載の方法。
【請求項７】
少なくとも１つのデータ処理デバイスと、
ＯＮＴの前記少なくとも１つのデータ処理デバイスに接続されたメモリと、
前記メモリからアクセス可能な、またＯＮＴの前記少なくとも１つのデータ処理デバイスによって処理可能なＯＮＴ命令であって、非認証メッセージを送信しようとするエンティティの身元が認証されるまでＯＮＴからの前記非認証メッセージの送信を抑制すること、およびエンティティ認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にすることを、ＯＮＴの前記少なくとも１つのデータ処理デバイスが促進することができるように構成された前記ＯＮＴ命令とを含む光ネットワーク端末（ＯＮＴ）を備えた、受動光ネットワーク（ＰＯＮ）。
【請求項８】
少なくとも１つのデータ処理デバイスと、
ＯＬＴの前記少なくとも１つのデータ処理デバイスに接続されたメモリと、
前記メモリからのアクセスが可能で、ＯＬＴの前記少なくとも１つのデータ処理デバイスによって処理可能なＯＬＴ命令であって、サプリカントの身元を認証すること、および身元が認証されたことに応答して、ＯＮＴによる受信のために前記エンティティ認証確認を送信することを、ＯＬＴの前記少なくとも１つのデータ処理デバイスが促進することができるように構成された前記ＯＬＴ命令とを含むＯＬＴをさらに備えた、請求項７に記載のＰＯＮ。
【請求項９】
サプリカント認証要求を送信すること、および前記エンティティ認証確認を送信することのそれぞれが、
ＯＮＴとＯＬＴとの間の専用トンネルを介して、拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、
ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路から前記ＥＡＰメッセージを抽出することとのうちの少なくとも１つを含む、請求項８に記載のＰＯＮ。
【請求項１０】
ＯＬＴ命令が、前記エンティティの身元を認証することができるようにエンティティ認証要求をオーセンティケータポートアクセスエンティティ（ＰＥＡ）機能に向けて送ることを、ＯＬＴの前記少なくとも１つのデータ処理デバイスが促進することができるようにさらに構成された、請求項８に記載のＰＯＮ。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書の開示は、一般にデータネットワークで認証機能を促進することに関し、より詳細にはＩＥＥＥ８０２．１Ｘ規格を使用した受動光ネットワーク（Ｐａｓｓｉｖｅ  Ｏｐｔｉｃａｌ  Ｎｅｔｗｏｒｋ）で認証機能を促進することに関する。
【背景技術】
【０００２】
電気電子学会（ＩＥＥＥ）の８０２．１Ｘ規格（すなわち８０２．１Ｘ）はネットワークのアクセス制御を促進するための規格である。この規格は、例えば受動光ネットワーク（Ｐａｓｓｉｖｅ  Ｏｐｔｉｃａｌ  Ｎｅｔｗｏｒｋ）（ＰＯＮ）、ワイファイ無線ネットワーク等のデータネットワークで、ユーザトラフィックを認証および制御するための効果的な枠組みを提供する。８０２．１Ｘの基本的な機能は、（例えば、特定の種類のトラフィックについて）認証が完了するまで、ネットワークポートを使用不能にしておくことである。８０２．１Ｘの制御下にあるこのようなネットワークポートは、本明細書では制御下のポートと呼ばれる。結果によって、制御下のポートはすべてのトラフィックに対して利用可能となるか、または少なくともトラフィックの一部について使用不能のままであるかのいずれかである。
【０００３】
８０２．１Ｘは、認証メッセージの受け渡しを行うために拡張認証プロトコル（ＥＡＰ）を使用する。「ＬＡＮ上のＥＡＰ（ＥＡＰｏＬ）」は、イーサネット（登録商標）などのパケットネットワークのために特に構成されている。８０２．１Ｘは認証セッションの開始および終了、ならびにサプリカントとオーセンティケータとの間のＥＡＰメッセージの受け渡し、およびオーセンティケータを介したサプリカントから認証サーバへのＥＡＰメッセージの受け渡しのためにＥＡＰｏＬを使用する。遠隔認証ダイヤルインユーザサービス（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）（ＲＡＤＩＵＳ）プロトコルは、オーセンティケータから認証サーバへＥＡＰメッセージを送信するために使用される典型的なプロトコルである。サプリカントとはネットワークへのアクセスを要求するエンティティ（例えばユーザまたはクライアント）であり、オーセンティケータとはネットワークポートをサプリカントに与えるネットワークデバイス（例えばアクセスポイント（ＡＰ）、ネットワークアクセスサーバ（ＮＡＳ）等）であり、認証サーバとは認証を与えるサーバである。一部のネットワーク（例えば比較的小規模のネットワーク）では、認証サーバはしばしばオーセンティケータと同じネットワーク要素に配置される。
【０００４】
従来の方法では、最初の８０２．１Ｘ認証機能はサプリカントがオーセンティケータとの接続を試みることから始まる。オーセンティケータは、クライアントから認証サーバへＥＡＰパケットのみを渡すために、ポート（すなわち制御下のポート）を使用可能にすることによって応答する。オーセンティケータはサプリカントの身元を確認できるまで、ＨＴＴＰ、ＤＨＣＰおよびＰＯＰ３パケットなど、その他すべてのトラフィックを遮断する。オーセンティケータは、サプリカントの身元の認証を促進するために、認証サーバと相互に作用する。一旦サプリカントの身元がうまく認証されると、オーセンティケータはその他の種類のトラフィック用の制御されたポートを開く。
【０００５】
８０２．１Ｘを介した認証を実施するための従来の方法は、低電力、低コストのデバイスにとって、全面的な機能はコストが高くつきすぎ、複雑すぎるという点で制限される。例えばＰＯＮの光ネットワーク端末（ＯＮＴ）は、比較的高度なデータプレーンのパケット処理機能と比較的制限された制御プレーン機能とを備えた、比較的低コスト、低電力のデバイスとして意図的に設計されている。したがって、オーセンティケータのポートアクセスエンティティ（Ｐｏｒｔ  Ａｃｃｅｓｓ  Ｅｎｔｉｔｙ）（ＰＡＥ）機能のすべてを８０２．１Ｘを介してＯＮＴ上で動作させることは、ＲＡＤＩＵＳクライアント機能を備えたＯＮＴでホストＩＰスタックを必要とするので、ＯＮＴのコストと複雑さとが増すことに加え、ＯＮＴで厳重なセキュリティおよび処理能力の要件が必要となる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、比較的低電力、低コストのデバイスで、コスト面で有効な８０２．１Ｘを介した認証の実施を可能にするための方法は、実用的で有益なものとなろう。
【課題を解決するための手段】
【０００７】
本発明の実施形態は、細部の８０２．１Ｘ処理を比較的よりコストの高い、より高機能なＰＯＮの光回線端末（Ｏｐｔｉｃａｌ  Ｌｉｎｅ  Ｔｅｒｍｉｎａｌ）（ＯＬＴ）に残しておいて、受動光ネットワーク（ＰＯＮ）の光ネットワーク端末（ＯＮＴ）などの低電力、低コストのデバイスでの、コスト効率的な８０２．１Ｘ認証機能の実施を提供する。本発明は、例えば通信リンクを介して機能ブロック間で情報を透過的に送信するためのトンネリングプロトコルを備えた個別のネットワーク要素で実装されることが可能な機能ブロックに、８０２．１Ｘ認証機能を分解することによって行われる。ＯＮＴはＰＯＮにサービスを提供するＯＬＴにしっかりと結合されているため、オーセンティケータのポートアクセスエンティティ（ＰＡＥ）機能はＯＮＴとＯＬＴとの間で効果的かつ効率的に分散させることが可能である。この分散型の配置で、ＯＮＴは（すなわちポートからのパケットを受理または拒否するために）制御下のポートのステートマシンの実施に対して責任を負い、ＯＬＴは局所または遠隔の身元認証（例えばサプリカントの身元認証）を含めた、オーセンティケータＰＡＥ機能の残り部分（ｒｅｍａｉｎｄｅｒ）に対して責任を負う。ＯＮＴ上の制御下のポートの機能の実施は比較的単純な方法で提供されるが、一方で８０２．１ＸのセキュリティはＯＮＴで実施される。そのようにする中で、本発明の実施形態はＯＮＴなどの比較的低電力、低コストのデバイスを介し、８０２．１Ｘの認証機能の実施に関する制限を有利に克服する。
【０００８】
本発明の１つの実施形態では、方法は非認証メッセージを送信しようとするエンティティの身元が認証されるまで、ＰＯＮのＯＮＴからの前記非認証メッセージの送信を抑制することと、ＰＯＮのＯＬＴによる受信のためのＯＮＴからの認証要求と、エンティティのためにＯＮＴによりエンティティ認証確認を受信したことに応答して、ＯＮＴからの非認証メッセージの送信を可能にすることとを備える。ＯＮＴからの非認証メッセージの送信を抑制すること、およびＯＮＴからの非認証メッセージの送信を可能にすることはＯＮＴによって実行される。
【０００９】
本発明の別の実施形態では、ＰＯＮはＯＮＴとＯＬＴとを備える。ＯＮＴは少なくとも１つのデータ処理デバイスと、少なくとも１つのデータ処理デバイスに接続されたメモリと、メモリからアクセス可能な、またＯＮＴの少なくとも１つのデータ処理デバイスによって処理可能なＯＮＴ命令とを含む。ＯＮＴ命令は、非認証メッセージを送信しようとするエンティティの身元が認証されるまでＯＮＴからの前記非認証メッセージの送信を抑制すること、およびそのエンティティについてエンティティ認証確認を受信したことに応答してＯＮＴからの非認証メッセージの送信を可能にすることを、ＯＮＴの少なくとも１つのデータ処理デバイスが促進することができるように構成される。
【００１０】
本発明の別の実施形態では、ＰＯＮはオーセンティケータＰＡＥ機能の制御下のポートの動作を提供するように構成されたＯＮＴと、オーセンティケータＰＡＥ機能のエンティティ認証の動作を提供するように構成されたＯＬＴとを備える。ＯＮＴとＯＬＴとは、これらの間の相互作用が可能になるように相互に接続される。
【００１１】
ここで本発明の具体的な態様を見ると、少なくとも１つの実施形態で、ＰＯＮは少なくとも１つのデータ処理デバイスと、ＯＬＴの少なくとも１つのデータ処理デバイスに接続されたメモリと、メモリからアクセス可能な、またＯＬＴの少なくとも１つのデータ処理デバイスによって処理可能なＯＬＴ命令とを含むＯＬＴをさらに備える。ＯＬＴ命令は、エンティティの身元を認証すること、および身元が認証されたことに応答してエンティティ認証確認を送信することを、ＯＬＴの少なくとも１つのデータ処理デバイスが促進することができるように構成される。
【００１２】
本発明の少なくとも１つの実施形態では、ＯＮＴからの非認証メッセージの送信を抑制すること、およびＯＮＴからの非認証メッセージの送信を可能にすることはＯＮＴによって実行される。
【００１３】
本発明の少なくとも１つの実施形態では、本発明による方法および命令は、エンティティの身元を認証し、身元が認証されたことに応答して、ＯＮＴによる受信のためにエンティティ認証確認を送信するようにそれぞれ構成されている。
【００１４】
本発明の少なくとも１つの実施形態では、エンティティの身元を認証すること、およびエンティティ認証確認を送信することは、ＯＬＴと認証サーバとのうちの少なくとも１つによって実行される。
【００１５】
本発明の少なくとも１つの実施形態で、エンティティ認証要求を送信すること、およびエンティティ認証確認を送信することのそれぞれは、ＯＮＴとＯＬＴとの間の専用トンネルを介して拡張認証プロトコル（ＥＡＰ）メッセージを送信することと、ＥＡＰメッセージと非ＥＡＰメッセージとを含むデータ経路でＥＡＰメッセージを送信し、データ経路からＥＡＰメッセージを抽出することのうちの少なくとも１つとを含む。
【００１６】
本発明の少なくとも１つの実施形態で、本発明による方法および命令は、エンティティの身元を認証することが実行されることが可能になるように、エンティティ認証要求をオーセンティケータＰＡＥ機能に向けて送るようにそれぞれが構成される。
【００１７】
本発明のこれら、およびその他の目的、実施形態、利点および／または特徴は、図面および添付の特許請求の範囲に関連する以下の詳述をさらに吟味することで、容易に明らかとなろう。
【発明を実施するための最良の形態】
【００１８】
図１Ａ〜１Ｃは本明細書では方法１００と呼ばれる、本発明による方法を示す。方法１００は、分散型の配置でＩＥＥＥ８０２．１ＸのオーセンティケータＰＡＥ機能を実行するために構成される。この分散型の配置で、ＰＯＮのＯＮＴは、（すなわちポートからのパケットを受理または拒否するために）制御下のポートのステートマシンの実施に対して責任を負い、ＯＮＴに接続されたＰＯＮのＯＬＴは、局所または遠隔のエンティティの身元認証（例えばサプリカントの身元認証）を含めた、オーセンティケータＰＡＥ機能の残り部分に対して責任を負う。したがって方法１００により、８０２．１Ｘオーセンティケータ機能の制御下のポートの動作は、比較的低電力、低コストのデバイスであるＯＮＴを介して有利に実施されるようになる。
【００１９】
ＯＮＴはＰＯＮのファイバ基盤を通じてＯＬＴに接続される。ＯＮＴは加入者の構内でイーサネット（登録商標）のポート接続性を提供する。この方法では、ＯＮＴは例えばネットワーク接続性を備えたパーソナルコンピュータシステムなどの、顧客構内機器（ＣＰＥ）を提供する。本発明によるＯＮＴは、戸建用ユニットのＯＮＴか、または集合住宅用ユニットのＯＮＴであってよいことを本明細書で開示する。本明細書ではまた、本発明が特定の型またはブランドのＯＮＴを介した実施態様に限定されないことも開示する。本明細書での開示を見ることで、当業者には本発明が任意の数の異なる型および／またはブランド、またはＯＮＴに適用可能であることが理解されよう。
【００２０】
ここで図１Ａを参照すると、方法１００は、ＯＮＴの制御下のポート上で非ＥＡＰメッセージの送信を抑制する動作１０２をＯＮＴが実行することで開始される。このために、ＯＮＴは制御下のポートがうまく認証されるまで、ＯＮＴの制御下のポート上のすべての非ＥＡＰメッセージを中断する。本発明によるメッセージは１つもしくは複数のパケット、またはその他の種類のデータ伝送ユニットから構成されてよいことが本明細書で開示される。
【００２１】
サプリカントの制御で、ＣＰＥは接続されたＯＮＴによる受信のためにＥＡＰ開始メッセージを送信する動作１０４を実行する。ＥＡＰ開始メッセージを送信する動作１０４は、ＥＡＰ開始メッセージの準備を促進することを含む。ＥＡＰ開始メッセージは、ＯＮＴの制御下のポートを介した非ＥＡＰメッセージの送信および／または受信を求めるＣＰＥの要望を通信する情報を含む。
【００２２】
ＥＡＰ開始メッセージを受信する動作１０６をＯＮＴが実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ身元要求メッセージを送信する動作１０８を実行する。ＥＡＰ身元要求メッセージを送信する動作１０８は、ＥＡＰ身元要求メッセージの準備を促進することを含む。ＥＡＰ身元要求メッセージは、サプリカントの認証情報（例えばユーザネームおよびパスコード）を求める要求を通信する情報を含む。
【００２３】
ＥＡＰ身元要求メッセージを受信する動作１１０をＣＰＥが実行したことに応答して、ＣＰＥはＯＮＴによる受信のためにＥＡＰ応答メッセージ（すなわちサプリカントの認証要求）を送信する動作１１２を実行する。ＥＡＰ応答メッセージを送信する動作１１２は、ＥＡＰ応答メッセージの準備を促進することを含む。ＥＡＰ応答メッセージは、要求されるサプリカントの認証情報を含む。
【００２４】
ＥＡＰ応答メッセージを受信する動作１１４をＯＮＴが実行したことに応答して、ＯＮＴはＯＮＴに用いられるＯＬＴによる受信のためにＥＡＰ応答メッセージを転送する動作１１６を実行する。本明細書で、送信（ｔｒａｎｓｍｉｔｔｉｎｇ）という用語は送信（ｓｅｎｄｉｎｇ）と転送（ｆｏｒｗａｒｄｉｎｇ）を含むものとして定義される。しかしながら転送とは一般的に、メッセージを送信するデバイスによって作成されていないメッセージを送信することを意味する。ＯＬＴはＥＡＰ応答メッセージを受信する動作１１８を実行し、その後、認証サーバによる受信のためにＥＡＰ応答メッセージを転送する動作１２０を実行する。
【００２５】
認証サーバはＥＡＰ応答メッセージを受信する動作１２２を実行する。ＥＡＰ応答メッセージに含まれる情報（例えばサプリカントの資格）、および認証サーバに保持されている情報（例えば知られている真正のサプリカントの資格）によって、認証サーバはサプリカントの身元の確実性を判定する動作１２４を実行する。サプリカントの身元の確実性を判定する中で、認証サーバはＯＬＴ（すなわちオーセンティケータ）に代わってサプリカントの資格を確認する。サプリカントの身元が真正であると判定される場合、認証を行うサーバはＯＬＴおよびＯＮＴを介したＣＰＥによる受信のために承認メッセージ（すなわちエンティティ認証確認）を送信する動作１２６を実行する。サプリカントの身元が真正ではないか、または認証不可能と判定される場合、認証を行うサーバはＯＮＴおよびＯＬＴを介したＣＰＥによる受信のために拒否メッセージを送信する動作１２８を実行する。
【００２６】
遠隔認証ダイヤルインユーザサービス（ＲＡＤＩＵＳ）機能によって構成されたバックエンドサーバは、認証サーバの一例である。上で開示された方法の身元認証はＲＡＤＩＵＳサーバで実施されてもよいことが本明細書で開示される。本明細書ではまた、ＯＬＴとＲＡＤＩＵＳサーバなどのバックエンド認証サーバとの間の通信は、「ＲＡＤＩＵＳプロトコル上のＥＡＰ」カプセル化機能を使用して実行されてもよいことも開示される。
【００２７】
ここで図１Ｂを参照すると、サプリカントの確認が真正と判定され、認証を行うサーバがＯＬＴおよびＯＮＴを介したＣＰＥによる受信のために承認メッセージを送信する場合、ＯＬＴはＥＡＰ承認メッセージを受信する動作１３０を実行し、その後ＯＮＴによる受信のためにＥＡＰ承認メッセージを転送する動作１３２を実行する。ＥＡＰ承認メッセージを受信する動作１３４を実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ承認メッセージを転送する動作１３６を実行し、ＯＮＴの制御下のポートでの非ＥＡＰメッセージの送信を可能にする動作１３８を実行する。ＣＰＥはＥＡＰ承認メッセージを受信する動作１４０を実行し、それによってエンティティ認証確認がＣＰＥを介してサプリカントに提示されるようにする。
【００２８】
図１Ｃに示されるように、ＯＮＴが、ＯＮＴの制御下のポートでの非ＥＡＰメッセージの送信を可能にした後のある時点で、ＣＰＥはＯＮＴによる受信のためにログオフメッセージを送信する動作１４２を実行する。例えば、ログオフメッセージはサプリカントの要求で送信されてもよく、または制御下のポート上での定められた休止期間の後（すなわち、いかなる非ＥＡＰトラフィックもない定められた期間の後）で送信されてもよい。ログオフメッセージを受信する動作１４４を実行したことに応答して、ＯＮＴは非ＥＡＰメッセージの送信を抑制する動作１４６を実行し、非ＥＡＰメッセージが制御下のポートを介して通信されてよいように、ＯＮＴが同一か、または異なるサプリカントの身元の認証を待っている状態で、方法１００が終了する。
【００２９】
ログオフメッセージを送信する動作１４２はＯＬＴ（すなわちオーセンティケータ）によってか、または認証サーバによって選択的に実施されることが本明細書で開示される。例えば、オーセンティケータまたは認証サーバは、オーセンティケータによって受信されるシステム管理者からの要求に応じて、制御下のポートで識別される定められたセキュリティ侵害条件等に応じて、制御下のポート上での定められた休止期間の後（すなわち、いかなる非ＥＡＰトラフィックもない定められた期間の後）でログオフメッセージを送信してもよい。
【００３０】
図１Ｂに戻りこれを参照すると、サプリカントの身元が真正ではないか、または認証不可能と判定され、認証を行うサーバがＯＮＴおよびＯＬＴを介したＣＰＥによる受信のために拒否メッセージを送信する場合、ＯＬＴはＥＡＰ拒否メッセージを受信する動作１４８を実行し、その後ＯＮＴによる受信のためにＥＡＰ拒否メッセージを転送する動作１５０を実行する。ＥＡＰ拒否メッセージを受信する動作１５２を実行したことに応答して、ＯＮＴはＣＰＥによる受信のためにＥＡＰ拒否メッセージを転送する動作１５４を実行する。ＣＰＥはＥＡＰ拒否メッセージを受信する動作１５６を実行して、それによって非認証通知がＣＰＥを介してサプリカントに提示されるようにし、この時点で方法１００は終了する。
【００３１】
本発明による認証サーバは、局所の認証機能を提供するＯＬＴの機能部品（すなわちオーセンティケータ）であるか、または遠隔の認証機能を提供するＯＬＴから独立したネットワーク要素（例えばＲＡＤＩＵＳサーバ）であってもよいことが、本明細書で開示される。いずれの場合でも、認証サーバは１つまたは複数のサプリカントの資格を認証するために必要な情報（すなわち、知られている真正のサプリカントの資格）を保持する。知られている真正のサプリカントの資格は、サプリカント認証情報の確実性を判定するために、サプリカント認証情報と比較される。
【００３２】
ＯＬＴ（すなわちオーセンティケータ）はＥＡＰ開始メッセージを送信する動作１０４、ＥＡＰ身元要求メッセージを受信する動作１１０、およびＥＡＰ応答メッセージを送信する動作１１２を選択的に実行することが、本明細書で開示される。オーセンティケータは、ＯＮＴによって特定のトラフィックが受信されるようにする動作を、そうした非ＥＡＰのトラフィックを最初にＯＮＴが可能にすることなく実行することができる。オーセンティケータが制御下のポート上の非ＥＡＰのトラフィックフローを可能にすることを必要としてもよい状況の例は、システム管理者からのトラフィックの伝達、およびその他の認証されたエンティティからのトラフィックの伝達を含むが、これらに限定されるわけではない。オーセンティケータがそうした動作を実行する場面では、認証され、確認されるのはサプリカントの身元よりもむしろオーセンティケータの身元（例えばオーセンティケータを通じて動作する認証されたエンティティ）である。
【００３３】
図２は本発明によるＰＯＮの実施形態を示しており、本明細書ではＰＯＮ２００と呼ばれる。ＰＯＮ２００は、図１Ａ〜１Ｃの方法１００に関して先に開示したような認証機能を実行するように構成される。ＰＯＮ２００はＯＮＴ２０４とＯＬＴ２０８とを含む。ＯＮＴはこれに接続されたサプリカントＣＰＥ２０６（例えばパーソナルコンピューティングシステム）を有し、ＯＬＴ２０８はこれに接続された認証サーバ２１０（すなわちＯＬＴ２０８から独立したアプリケーションサーバ）を有する。ＯＮＴ２０４は、通信リンク２１１によってＯＬＴ２０８に接続される。したがって、ＯＮＴ２０４、ＣＰＥ２０６、ＯＬＴ２０８および認証サーバ２１０の間でメッセージが通信されてもよい。
【００３４】
ＯＮＴ２０４はデータ処理デバイス２１２、ＯＮＴ２０４のデータ処理デバイス２１２に接続されたメモリ２１４、およびメモリ２１４からのアクセスが可能で、ＯＮＴ２０４のデータ処理デバイス２１２によって処理可能なＯＮＴ命令２１６を含む。ＯＮＴ命令２１６は、他の機能の中で、データ処理デバイス２１２がオーセンティケータポートアクセスエンティティ（ＰＡＥ）機能の制御下のポートの動作を促進できるように構成される。好ましい実施形態で、そのような制御下のポートの動作はＯＮＴ２０４からの非認証メッセージの送信を抑制すること、ＯＬＴ２０８による受信のためにＯＮＴ２０４からサプリカント認証要求を送信すること、およびＯＬＴ２０８からエンティティ認証確認を受信したことに応答してＯＮＴ２０４からの非認証メッセージの送信を可能にすることを含むが、これらに限定されるわけではない。
【００３５】
ＯＬＴ２０８はデータ処理デバイス２１８、ＯＬＴ２０８のデータ処理デバイス２１８に接続されたメモリ２２０、およびメモリ２２０からのアクセスが可能で、ＯＬＴ２０８のデータ処理デバイス２１８によって処理可能なＯＬＴ命令２２２を含む。ＯＬＴ命令２２２は、他の機能の中で、データ処理デバイス２１２がオーセンティケータＰＡＥ機能のエンティティ認証の動作を促進できるように構成される。好ましい実施形態で、そのようなエンティティ認証の動作はサプリカントの身元を認証することと、身元が認証されたことに応答してＯＬＴ２０８およびＯＮＴ２０４を介したＣＰＥ２０６による受信のためにエンティティ認証確認を送信することとを含むが、これらに限定されるわけではない。
【００３６】
ＥＡＰメッセージは少なくとも２つの異なる方法によって、通信リンク２１１上でＯＮＴ２０４とＯＬＴ２０８との間で通信されてもよいことが、本明細書で開示される。第１の方法で、通信リンク２１１は事前に確立された（例えば専用の）トンネルであり、ＥＡＰメッセージは事前に確立されたトンネル上でＯＮＴ２０４とＯＬＴ２０８との間で通信される。例えば、ＬＡＮ上のＥＡＰ（ＥＡＰｏＬ）カプセル化機能を用いるイーサネット（登録商標）では、ＥＡＰメッセージは事前に確立されたトンネル上でＯＮＴ２０４からＯＬＴ２０８へ転送される。ＢＰＯＮ技術の場合、このトンネルは、ＥＡＰトラフィックのためのＯＮＴ毎の独立した専用仮想接続（Ｐｒｉｖａｔｅ  Ｖｉｒｔｕａｌ  Ｃｏｎｎｅｃｔｉｏｎ）（ＰＶＣ）であることが可能である。事前に確立されたトンネル上でＯＮＴ２０４からＯＬＴ２０８へ送信されるＥＡＰメッセージは、ＯＬＴ２０８上でＰＡＥ機能に向け直される。同じく、サプリカントＣＰＥ２０６へのＥＡＰメッセージは、ＯＮＴ２０４とＯＬＴ２０８との間のトンネル上にＯＬＴ２０８によって挿入される。第２の方法で、ＥＡＰメッセージは非ＥＡＰメッセージと同じデータトンネルで転送される。非ＥＡＰメッセージを含むデータ経路からのＥＡＰメッセージの抽出が可能となるように、ＯＮＴ２０４とＯＬＴ２０８との両方でフィルタリング機構が実施される。データトンネルから抽出された、ＯＮＴ２０４からＯＬＴ２０８へのＥＡＰメッセージは、ＯＬＴ２０８上でＰＡＥ機能に向け直される。同じく、サプリカントＣＰＥ２０６のユーザへのＥＡＰメッセージは、ＯＮＴ２０４とＯＬＴ２０８との間のデータトンネルのデータ経路の中にＯＬＴ２０８によって挿入される。
【００３７】
前述の詳細な説明では、本発明を実行することができる具体的な実施形態を例として示した、詳細な説明の一部をなす添付の図面を参照してきた。当業者が本発明の実施形態を実行できるようにするために、これらの実施形態およびその特定の変形形態を十分に詳細に説明してきた。こうした発明の開示の精神または範囲から逸脱することなく、その他の適切な実施形態が活用され、論理的、機械的、化学的および電気的変更がなされてもよいことを理解されたい。不必要な詳述を避けるために、説明では当業者には知られているある種の情報を省略している。したがって、前述の詳細な説明は本明細書で言及される特定の形態に限定されることを意図しているのではなく、それとは反対に、添付の特許請求の精神および範囲に合理的に含まれることが可能な代替物、変更物および均等物を包含することを意図している。
【図面の簡単な説明】
【００３８】
【図１Ａ】図１Ｂと図１Ｃと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。
【図１Ｂ】図１Ａと図１Ｃと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。
【図１Ｃ】図１Ａと図１Ｂと共に、本発明による認証ＰＡＥ機能を促進する方法の実施形態を示す図である。
【図２】本発明によって構成された受動光ネットワークの実施形態を示す図である。
【符号の説明】
【００３９】
１００  方法
１０２、１０４、１０６、１０８、１１０、１１２、１１６、１２０、１２２、１２４、１２６、１２８、１３０、１３４、１３８、１４０、１４２、１４４、１４８、１５６  動作
２００  ＰＯＮ
２０４  ＯＮＴ
２０６  サプリカントＣＰＥ
２０８  ＯＬＴ
２１０  認証サーバ
２１１  通信リンク
２１２、２１８  データ処理デバイス
２１４、２２０  メモリ
２１６  ＯＮＴ命令
２２２  ＯＬＴ命令
【図１Ａ】
2007068161.tif 000003
【図１Ｂ】
2007068161.tif 000004
【図１Ｃ】
2007068161.tif 000005
【図２】
2007068161.tif 000006
【外国語明細書】
2007068161.tif 000007
2007068161.tif 000008
2007068161.tif 000009
2007068161.tif 000010
2007068161.tif 000011
2007068161.tif 000012
2007068161.tif 000013
2007068161.tif 000014
2007068161.tif 000015
2007068161.tif 000016
2007068161.tif 000017
2007068161.tif 000018
2007068161.tif 000019
2007068161.tif 000020
2007068161.tif 000021
2007068161.tif 000022
2007068161.tif 000023
2007068161.tif 000024