專利名稱：提供網(wǎng)絡(luò)隔離的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明一般涉及網(wǎng)絡(luò)訪問管理，并更為具體地涉及在允許客戶訪問網(wǎng)絡(luò)資源之前檢查客戶的安全狀態(tài)。
背景技術(shù)：
在計(jì)算機(jī)網(wǎng)絡(luò)、客戶端、服務(wù)器和對等設(shè)備(peer)中通常使用信任模塊(trust model)和機(jī)制(mechanism)以確保未授權(quán)的用戶不能獲得對網(wǎng)絡(luò)資源的訪問，所述網(wǎng)絡(luò)資源例如是文件、打印機(jī)、其他計(jì)算機(jī)、或在網(wǎng)絡(luò)上可訪問的任何資源。這些信任模型和機(jī)制用于識別那些沒有惡意的用戶。然而，用戶的機(jī)器在用戶不知道的情況下對網(wǎng)絡(luò)構(gòu)成威脅是可能的。例如，機(jī)器可能包含病毒，或具有用戶未知的安全漏洞。因此不管用戶有沒有惡意，用戶機(jī)器的不安全狀態(tài)應(yīng)當(dāng)從網(wǎng)絡(luò)脫離直到安全缺陷被修補(bǔ)。該安全問題尤其存在于三個(gè)網(wǎng)絡(luò)環(huán)境動(dòng)態(tài)主機(jī)配置協(xié)議(DHCP)、虛擬個(gè)人網(wǎng)絡(luò)(VPN)、IEEE802.1X、和網(wǎng)際協(xié)議安全(IPsec)。
DHCP是一個(gè)網(wǎng)際協(xié)議(IP)分配規(guī)范，由此分配規(guī)范服務(wù)器能夠?qū)P地址分配或“租借”給客戶一段指定的時(shí)間。當(dāng)DHCP客戶第一次將其自身連接于網(wǎng)絡(luò)時(shí)，其廣播一個(gè)DHCP DISCOVER數(shù)據(jù)包。在局部段的DHCP服務(wù)器截獲該廣播，并返回一個(gè)DHCP OFFER數(shù)據(jù)包，該DHCP OFFER數(shù)據(jù)包包含IP地址以及為客戶提供網(wǎng)絡(luò)訪問所必需的其他信息。由于客戶可以從多個(gè)不同服務(wù)器接收多個(gè)DHCP OFFER數(shù)據(jù)包，所以客戶必須從中選擇，并廣播一個(gè)標(biāo)識了所選擇的明確服務(wù)器的DHCP REQUEST數(shù)據(jù)包。所選擇的服務(wù)器會返回一個(gè)DHCPACK告知客戶租借完成了。如果由于某種原因使所述提供(offer)不再有效，這種原因比如是超時(shí)或其他客戶正在分配該租界，那么所選擇的服務(wù)器必須利用DHCPNAK信息作出反應(yīng)。這將導(dǎo)致客戶發(fā)送另外一個(gè)DHCPDISCOVER數(shù)據(jù)包，并重新開始該過程。
如果客戶端已通過一些其他手段(例如，手動(dòng)配置)獲得了網(wǎng)絡(luò)地址，那么客戶端可以使用DHCPINFORM請求信息以獲得其他本地配置參數(shù)。接收DHCPINFORM信息的服務(wù)器構(gòu)造具有適于客戶端的任何本地配置參數(shù)的DHCPACK信息。一旦客戶端具有了租借，那么在租借期限到達(dá)另一個(gè)DHCPREQUEST信息之前必須對其更新。如果客戶端在其截止日期之前結(jié)束使用租借，那么客戶端將DHCP RELEASE信息發(fā)送給服務(wù)器以使租借對其他節(jié)點(diǎn)是可用的。如果服務(wù)器到租借結(jié)束時(shí)沒有從客戶端收到信息，那么服務(wù)器將租借標(biāo)記為未更新，并使其對其他客戶端是可用的。
在傳統(tǒng)DHCP供應(yīng)系統(tǒng)中，DHCP服務(wù)器可以執(zhí)行一個(gè)認(rèn)證程序以確保請求網(wǎng)絡(luò)訪問的客戶端具有已驗(yàn)證的憑證(credentials)。例如，在向客戶端提供DHCP OFFER之前，機(jī)構(gòu)局域網(wǎng)(LAN)上的DHCP服務(wù)器需要一個(gè)訪問代碼來證明用戶有權(quán)訪問所述LAN。認(rèn)證程序防止未授權(quán)或有惡意的用戶對網(wǎng)絡(luò)資源的訪問。然而，傳統(tǒng)的認(rèn)證程序不能阻止不安全，或甚至有惡意的機(jī)器訪問網(wǎng)絡(luò)。用戶可以具有有效的權(quán)利來訪問網(wǎng)絡(luò)，但是用戶的機(jī)器會被病毒感染，或包含安全漏洞，這些應(yīng)該在允許該機(jī)器訪問網(wǎng)絡(luò)之前予以糾正。
其中處于嚴(yán)重不安全狀態(tài)的機(jī)器對網(wǎng)絡(luò)構(gòu)成威脅的另一個(gè)環(huán)境是VPN。VPN是包含鏈接到諸如因特網(wǎng)之類的共享或公共網(wǎng)絡(luò)的個(gè)人網(wǎng)絡(luò)的擴(kuò)展。VPN使你可以在共享或公共因特網(wǎng)上的兩個(gè)計(jì)算機(jī)之間以模擬點(diǎn)到點(diǎn)的私有(private)鏈接特性的方式發(fā)送數(shù)據(jù)。配置或創(chuàng)建虛擬個(gè)人網(wǎng)絡(luò)的行為稱為虛擬個(gè)人連網(wǎng)。為了模擬點(diǎn)到點(diǎn)鏈接，利用一個(gè)報(bào)頭(header)壓縮或打包數(shù)據(jù)，該報(bào)頭提供路由信息使數(shù)據(jù)穿過共享或公共傳輸因特網(wǎng)到達(dá)終點(diǎn)。為了模擬私有鏈接，正被發(fā)送的數(shù)據(jù)為了保密性而被壓縮。在共享或公共網(wǎng)絡(luò)上截獲的數(shù)據(jù)包沒有加密密鑰是不能破譯的。在其中私有數(shù)據(jù)被壓縮的連接部分稱為隧道。其中私有數(shù)據(jù)被加密的連接部分稱為虛擬個(gè)人網(wǎng)絡(luò)(VPN)連接。
VPN也使用認(rèn)證協(xié)議。網(wǎng)絡(luò)訪問服務(wù)器(NAS)向VPN客戶端向遠(yuǎn)程客戶端發(fā)送詢問，該詢問包括一個(gè)段落(session)ID和一個(gè)任意的詢問字符串。遠(yuǎn)程客戶端必須返回用戶名和詢問字符串的加密形式，通話ID，以及散列的MD4(MD4-hashed)密碼。使用密碼的MD4散列的散列性這種設(shè)計(jì)提供了另一級別的安全，因?yàn)檫@種設(shè)計(jì)允許服務(wù)器存儲散列的密碼而不是明文密碼。然而，傳統(tǒng)認(rèn)證程序再一次不能防止不安全、或者甚至有惡意的機(jī)器訪問網(wǎng)絡(luò)。VPN客戶端可以給出有效證明，但是VPN客戶端機(jī)器本身會被病毒感染，或包含了一個(gè)安全漏洞，這些應(yīng)該在允許該機(jī)器訪問VPN之前予以糾正。
其中用戶認(rèn)證不足的另外一個(gè)環(huán)境是使用IPsec。IPsec定義了確保保密性的兩個(gè)功能數(shù)據(jù)加密和數(shù)據(jù)完整性。IPsec在不加密的情況下使用認(rèn)證報(bào)頭(AH)以提供資源認(rèn)證和完整性，并連同加密一起使用壓縮安全凈荷(ESP)來提供認(rèn)證和完整性。利用IPsec，只有發(fā)送者和接收者知道安全密鑰。如果認(rèn)證數(shù)據(jù)有效，那么該接收者知道通信來自該發(fā)送者并且在傳送中沒有變化。
IPsec能夠被想像為TCP/IP疊層(stack)下的一個(gè)層。該層由每個(gè)計(jì)算機(jī)上的安全策略和發(fā)送者與接收者之間協(xié)商的安全關(guān)聯(lián)(association)控制。所述策略包括一組過濾器和相關(guān)的安全措施。如果一個(gè)數(shù)據(jù)包的IP地址，協(xié)議，和端口號與過濾器匹配，所述數(shù)據(jù)包則服從相關(guān)的安全措施。第一個(gè)這樣的數(shù)據(jù)包觸發(fā)發(fā)送者和接收者之間的安全關(guān)聯(lián)的協(xié)商。因特網(wǎng)密鑰交換(IKE)就是這種協(xié)商的標(biāo)準(zhǔn)協(xié)議。在IKE協(xié)商期間，兩個(gè)計(jì)算機(jī)在認(rèn)證和數(shù)據(jù)安全方法上達(dá)成一致，執(zhí)行相互認(rèn)證，并為后來的數(shù)據(jù)加密產(chǎn)生共享密鑰。
在已建立安全關(guān)聯(lián)之后，能夠?yàn)槊總€(gè)計(jì)算機(jī)進(jìn)行數(shù)據(jù)傳送，將數(shù)據(jù)安全處理應(yīng)用于向遠(yuǎn)程客戶端傳送的數(shù)據(jù)包。所述處理只能保證所傳送數(shù)據(jù)的完整性，或者它也能將其加密。IP凈荷的數(shù)據(jù)完整性和數(shù)據(jù)認(rèn)證可以由位于IP報(bào)頭和傳送報(bào)頭之間的認(rèn)證報(bào)頭提供。認(rèn)證報(bào)頭包括認(rèn)證數(shù)據(jù)和序列號，其都用于驗(yàn)證發(fā)送者，確保信息在傳送中未被修改過，并防止重放攻擊。
然而，傳統(tǒng)的認(rèn)證程序又一次不能防止不安全，或甚至有惡意的機(jī)器訪問網(wǎng)絡(luò)。計(jì)算機(jī)可以給出有效證明，但是機(jī)器本身會被病毒感染，或者包含一個(gè)安全漏洞，這些應(yīng)該在允許機(jī)器訪問另一個(gè)計(jì)算機(jī)的網(wǎng)絡(luò)資源之前予以糾正。
IEEE802.1x是基于端口的網(wǎng)絡(luò)訪問控制的標(biāo)準(zhǔn)，所述網(wǎng)絡(luò)訪問控制提供對802.11無線網(wǎng)絡(luò)和有線以太網(wǎng)的經(jīng)認(rèn)證的網(wǎng)絡(luò)訪問。基于端口的網(wǎng)絡(luò)訪問控制利用可切換局域網(wǎng)(LAN)基本構(gòu)造的物理特性來認(rèn)證連接于LAN端口的設(shè)備并且萬一認(rèn)證過程失敗防止對那個(gè)端口的訪問。
在基于端口的網(wǎng)絡(luò)訪問控制交互過程中，LAN端口采取兩個(gè)角色中的一個(gè)認(rèn)證者或請求者(supplicant)。在認(rèn)證者角色中，LAN端口在其允許用戶訪問能夠通過那個(gè)端口訪問的設(shè)備之前執(zhí)行認(rèn)證。在請求者的角色中，LAN端口請求訪問通過認(rèn)證者的端口能夠訪問的設(shè)備。認(rèn)證服務(wù)器，可以是一個(gè)獨(dú)立的實(shí)體或者與認(rèn)證者在一起，代表認(rèn)證者檢查請求者的證書。接著認(rèn)證服務(wù)器響應(yīng)認(rèn)證者，指示請求者是否被授權(quán)訪問認(rèn)證者的設(shè)備。
認(rèn)證者的基于端口的網(wǎng)絡(luò)訪問控制定義了通過一個(gè)物理LAN端口對LAN的兩個(gè)邏輯訪問點(diǎn)。第一邏輯訪問點(diǎn)，未受控制的端口，允許認(rèn)證者和LAN上的其他計(jì)算機(jī)之間的數(shù)據(jù)交換，而不管計(jì)算機(jī)的授權(quán)狀態(tài)。第二邏輯訪問點(diǎn)，受控端口，允許經(jīng)認(rèn)證的LAN用戶和認(rèn)證者之間的數(shù)據(jù)交換。IEEE802.1x使用標(biāo)準(zhǔn)的安全協(xié)議，例如遠(yuǎn)程認(rèn)證撥入(Dial-In)用戶設(shè)備(RADIUS)，來提供集中式用戶識別，認(rèn)證，動(dòng)態(tài)密鑰管理，和計(jì)費(fèi)。
然而，傳統(tǒng)的認(rèn)證程序再一次不能防止不安全，或甚至有惡意的機(jī)器訪問網(wǎng)絡(luò)。計(jì)算機(jī)可以給出有效證明，但是機(jī)器本身會被病毒感染，或者包含一個(gè)安全漏洞，應(yīng)該在允許機(jī)器訪問另一個(gè)計(jì)算機(jī)的網(wǎng)絡(luò)資源之前予以糾正。因此，保證直到客戶端是安全的并能夠證明他們的安全狀態(tài)才允許客戶端的網(wǎng)絡(luò)訪問的系統(tǒng)和方法是本領(lǐng)域的需要。

發(fā)明內(nèi)容
為了上述目的，本發(fā)明提供一種用于與執(zhí)行隔離策略的服務(wù)器進(jìn)行交互的網(wǎng)絡(luò)隔離客戶端，所述網(wǎng)絡(luò)隔離客戶端包括至少一個(gè)通過網(wǎng)絡(luò)協(xié)議與服務(wù)器通信的執(zhí)行客戶端；以及從至少一個(gè)策略客戶端獲得至少一個(gè)健康聲明的協(xié)作客戶端；其中協(xié)作客戶端提供一個(gè)接口，通過所述接口至少一個(gè)策略客戶端與協(xié)作客戶端進(jìn)行通信，并且其中協(xié)作客戶端將至少一個(gè)健康聲明集中到健康列表的聲明中并向至少一個(gè)執(zhí)行客戶端提供健康列表的聲明。在發(fā)明的一個(gè)實(shí)施例中，至少一個(gè)執(zhí)行客戶端使用健康列表的聲明以獲得對服務(wù)器上的網(wǎng)絡(luò)資源的訪問。為了符合本發(fā)明的特點(diǎn)，至少一個(gè)執(zhí)行客戶端是動(dòng)態(tài)主機(jī)控制協(xié)議，虛擬個(gè)人網(wǎng)絡(luò)客戶端，和IPsec客戶端中的一個(gè)。協(xié)作客戶端通過由至少一個(gè)策略客戶端提供的接口與至少一個(gè)策略客戶端通信。協(xié)作客戶端和執(zhí)行客戶端可以包含在一個(gè)計(jì)算機(jī)的一個(gè)操作系統(tǒng)中。
本發(fā)明的另一個(gè)實(shí)施例包括一種用于執(zhí)行網(wǎng)絡(luò)隔離策略的網(wǎng)絡(luò)隔離服務(wù)器，包括至少一個(gè)用于通過網(wǎng)絡(luò)協(xié)議與至少一個(gè)客戶端通信的執(zhí)行服務(wù)器，以及一個(gè)用于從執(zhí)行服務(wù)器接收一個(gè)健康聲明列表的協(xié)作服務(wù)器，所述列表包括至少一個(gè)健康聲明，并用于查詢至少一個(gè)策略服務(wù)器以確認(rèn)至少一個(gè)健康聲明。如果每個(gè)健康聲明都被確認(rèn)，那么協(xié)作服務(wù)器指示至少一個(gè)執(zhí)行服務(wù)器授權(quán)至少一個(gè)客戶端訪問網(wǎng)絡(luò)資源。如果每個(gè)健康聲明都沒有被確認(rèn)，那么協(xié)作服務(wù)器指示至少一個(gè)執(zhí)行服務(wù)器執(zhí)行從至少一個(gè)策略服務(wù)器獲得的隔離策略。為了符合本發(fā)明的特點(diǎn)，協(xié)作服務(wù)器提供一個(gè)端口，通過這個(gè)端口至少一個(gè)策略服務(wù)器與協(xié)作服務(wù)器通信。協(xié)作服務(wù)器通過由至少一個(gè)策略服務(wù)器提供的接口與至少一個(gè)策略服務(wù)器通信。
在發(fā)明的另一個(gè)實(shí)施例中，提供一種用于允許策略客戶端與隔離客戶端通信的應(yīng)用程序設(shè)計(jì)接口，所述接口包括一個(gè)用于將策略客戶端綁定于隔離客戶端的綁定命令(bind call)，以及一個(gè)通知隔離客戶端隔離策略的變化的通知命令。
在發(fā)明的另外一個(gè)實(shí)施例中，提供一種應(yīng)用程序設(shè)計(jì)接口，用于允許隔離客戶端與策略客戶端通信，所述接口包括從策略客戶端獲取健康聲明的獲取命令。
在發(fā)明的另外一個(gè)實(shí)施例中，提供一種應(yīng)用程序設(shè)計(jì)接口，用于允許策略服務(wù)器與隔離服務(wù)器通信，所述接口包括一個(gè)綁定命令(bind call)，用于將策略客戶端綁定于隔離客戶端，以及一個(gè)響應(yīng)命令，用于表示健康聲明是有效的。
在發(fā)明的另外一個(gè)實(shí)施例中，提供一個(gè)應(yīng)用程序設(shè)計(jì)接口用于允許隔離服務(wù)器與策略服務(wù)器通信，所述接口包括用于由策略服務(wù)器確認(rèn)健康聲明的確認(rèn)命令。
在發(fā)明的另外一個(gè)實(shí)施例中，一種方法用于網(wǎng)絡(luò)隔離管理，包括從遠(yuǎn)程動(dòng)態(tài)主機(jī)控制協(xié)議(DHCP)服務(wù)器接收一個(gè)從請求網(wǎng)絡(luò)資源的客戶端獲得的健康聲明，所述健康聲明反映了客戶端的系統(tǒng)狀態(tài)；確認(rèn)所述健康聲明；如果健康聲明有效，那么指示DHCP服務(wù)器授權(quán)該請求；并且如果健康聲明無效，那么指示DHCP服務(wù)器不授權(quán)該請求并將客戶端隔離。
從以下參照附圖對實(shí)施例的詳細(xì)描述中，本發(fā)明的其他特點(diǎn)和優(yōu)勢變得更為顯而易見。


附圖引入其中并形成示例本發(fā)明幾個(gè)方面的說明書的一部分，與描述一起用于解釋發(fā)明的原理。在附圖中圖1A是總體示例本發(fā)明在其上運(yùn)行的示范網(wǎng)絡(luò)環(huán)境的示意圖；
圖1B是總體示例本發(fā)明存在的示范計(jì)算機(jī)系統(tǒng)的方塊圖；圖2是本發(fā)明的部件的示意概圖。
圖3根據(jù)本發(fā)明實(shí)施例，示出了獲得健康清單的方法；圖4示出了本發(fā)明實(shí)施例的軟件部件；圖5根據(jù)本發(fā)明實(shí)施例，示出了客戶端與服務(wù)器通信的方法；圖6示出了本發(fā)明一個(gè)實(shí)施例的元件的示范交互；圖7示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的客戶端/服務(wù)器結(jié)構(gòu)；圖8示出了使用DHCP的本發(fā)明的一個(gè)實(shí)施例；圖9示出了使用IPsec的本發(fā)明的一個(gè)實(shí)施例；以及圖10示出了使用多個(gè)DHCP服務(wù)器供應(yīng)一個(gè)客戶端的本發(fā)明的一個(gè)實(shí)施例；其中將結(jié)合一些優(yōu)選實(shí)施例來描述本發(fā)明，目的不在于將其限制在那些實(shí)施例中。相反，目的在于覆蓋包括在由所附權(quán)利要求定義的發(fā)明的精神和范圍之內(nèi)的所有的替換，修改和等同。
具體實(shí)施例方式
參照附圖，其中相同的附圖標(biāo)記表示相同的元件，示出的本發(fā)明在適合的處理環(huán)境中執(zhí)行。以下描述基于本發(fā)明的實(shí)施例并且不應(yīng)該被認(rèn)為相對于本文中沒有明確描述的可替換實(shí)施例而限制本發(fā)明。
在以下描述中，本發(fā)明是參照由一個(gè)或多個(gè)處理設(shè)備執(zhí)行的操作的行為或符號表示而描述的，除非另外說明。同樣地，可以理解的是這種行為或操作，有時(shí)稱為被計(jì)算機(jī)可執(zhí)行的，包括以結(jié)構(gòu)形式表示數(shù)據(jù)的電信號的處理設(shè)備的處理單元的操作。該操作轉(zhuǎn)換數(shù)據(jù)或?qū)⑺鼈儽４嬖谔幚碓O(shè)備的存儲設(shè)備中，所述處理設(shè)備以本領(lǐng)域技術(shù)人員熟知的方式重新配置或調(diào)整設(shè)備的操作。數(shù)據(jù)被保存的數(shù)據(jù)結(jié)構(gòu)是數(shù)據(jù)格式所定義的具有特定特性的存儲器物理位置。然而，盡管在上文中描述了本發(fā)明，但是并不意味著限制本發(fā)明，本領(lǐng)域的技術(shù)人員會理解下文中所描述的各種行為和操作也可以由硬件實(shí)現(xiàn)。
現(xiàn)參照圖1A將描述在其中使用本發(fā)明的一個(gè)網(wǎng)絡(luò)環(huán)境的例子。示例網(wǎng)絡(luò)包括在網(wǎng)絡(luò)111上彼此進(jìn)行通信的幾個(gè)計(jì)算機(jī)110，其中網(wǎng)絡(luò)111由云狀表示。網(wǎng)絡(luò)111可以包括許多公知的部件，例如路由器，網(wǎng)關(guān)，網(wǎng)絡(luò)集線器等，并允許計(jì)算機(jī)110通過有線和/或無線媒體進(jìn)行通信。當(dāng)在網(wǎng)絡(luò)111上彼此交互時(shí)，其中一個(gè)或多個(gè)計(jì)算機(jī)可以作為相對其它計(jì)算機(jī)的客戶端，網(wǎng)絡(luò)服務(wù)器，隔離服務(wù)器，或同級。因此，本發(fā)明的各個(gè)實(shí)施例可以在客戶端，網(wǎng)絡(luò)服務(wù)器，隔離服務(wù)器，同級或它們的組合上實(shí)現(xiàn)，盡管本文所包含的具體示例不能涉及到所有這些類型的計(jì)算機(jī)。
圖1B示出了在其中可以實(shí)施本發(fā)明的適合的處理系統(tǒng)環(huán)境100的例子。處理系統(tǒng)環(huán)境100只是適合的處理環(huán)境的一個(gè)例子，而不意味著對本發(fā)明的使用或功能的范圍的任何限制。處理環(huán)境100也不應(yīng)該被解釋為具有與示例處理環(huán)境100中所示例的任何一個(gè)元件或元件的組合相關(guān)的任何依存性或必要性。
本發(fā)明是利用多種其他通用或?qū)Ｓ锰幚硐到y(tǒng)環(huán)境或配置運(yùn)行的。適合本發(fā)明使用的公知處理系統(tǒng)，環(huán)境和配置的示例包括，但不僅限于，個(gè)人計(jì)算機(jī)，服務(wù)器計(jì)算機(jī)，手提式或便攜式設(shè)備，多處理器系統(tǒng)，基于微處理器的系統(tǒng)，機(jī)頂盒，可編程電子消費(fèi)品(consumer electronic)，網(wǎng)絡(luò)PC，微型計(jì)算機(jī)，大型機(jī)，包括任意上述系統(tǒng)和設(shè)備的分布式處理環(huán)境，等等。
本發(fā)明可以以通常計(jì)算機(jī)可執(zhí)行的指令的形式描述，例如由計(jì)算機(jī)執(zhí)行的程序模塊。通常，程序模塊包括執(zhí)行特定任務(wù)或?qū)崿F(xiàn)特定抽象數(shù)據(jù)類型的例行程序，程序，對象，元件，數(shù)據(jù)結(jié)構(gòu)等。本發(fā)明也可以在分布式處理環(huán)境中實(shí)現(xiàn)，在分布式處理環(huán)境中任務(wù)由通過通信網(wǎng)絡(luò)連接的遠(yuǎn)程處理設(shè)備執(zhí)行。在分布式處理環(huán)境中，程序模塊既可以存儲在包括存儲器設(shè)備的本地計(jì)算機(jī)存儲介質(zhì)中，也可以存儲在包括存儲器設(shè)備的遠(yuǎn)程計(jì)算機(jī)存儲介質(zhì)中。
參照圖1B，用于實(shí)現(xiàn)本發(fā)明的示例系統(tǒng)包括一個(gè)計(jì)算機(jī)ll0形式的通用處理設(shè)備，可以作為在本發(fā)明范圍內(nèi)的客戶端，網(wǎng)絡(luò)服務(wù)器，隔離服務(wù)器，或同級。計(jì)算機(jī)110的部件可以包括，但不限于，一個(gè)處理單元120，系統(tǒng)存儲器130，和將多個(gè)系統(tǒng)部件連接到處理單元120的系統(tǒng)總線121，所述多個(gè)系統(tǒng)部件包括系統(tǒng)存儲器130。系統(tǒng)總線121可以是幾種類型的總線結(jié)構(gòu)的任意一種，包括存儲器總線或存儲控制器，外設(shè)總線，和使用多個(gè)總線結(jié)構(gòu)中的任意一種的局部總線。為了舉例而非限制，這種結(jié)構(gòu)包括工業(yè)標(biāo)準(zhǔn)結(jié)構(gòu)總線，微通道結(jié)構(gòu)總線，增強(qiáng)的ISA總線，視頻電子標(biāo)準(zhǔn)協(xié)會局部總線，以及外設(shè)部件互連總線，也通稱為夾層(Mezzanine)總線。
計(jì)算機(jī)110通常包括多種計(jì)算機(jī)可讀介質(zhì)。計(jì)算機(jī)可讀介質(zhì)可以是任何能夠由計(jì)算機(jī)110訪問的可用介質(zhì)，包括易失和非易失介質(zhì)，移動(dòng)和非移動(dòng)介質(zhì)。為了舉例而非限制，計(jì)算機(jī)可讀介質(zhì)可以包括計(jì)算機(jī)存儲介質(zhì)和傳播介質(zhì)。計(jì)算機(jī)存儲介質(zhì)包括在用于存儲信息(例如計(jì)算機(jī)可讀指令，數(shù)據(jù)結(jié)構(gòu)，程序模塊，或其他數(shù)據(jù))的任何方法或技術(shù)中使用的易失和非易失，移動(dòng)和非移動(dòng)介質(zhì)。計(jì)算機(jī)存儲介質(zhì)包括，但不限于，RAM，ROM，EEPROM，閃存或其他存儲器技術(shù)，CD-ROM，數(shù)字通用光盤(digital versatile disk)或其他光盤存儲器，磁帶盒，磁帶，磁盤存儲器或其他磁盤存儲設(shè)備，或能夠用于存儲所需信息并能夠由計(jì)算機(jī)110訪問的任何其他介質(zhì)。傳播介質(zhì)通常包含計(jì)算機(jī)可讀指令，數(shù)據(jù)結(jié)構(gòu)，程序模塊，或在已調(diào)制的數(shù)據(jù)信號(例如載波或其他傳輸機(jī)制)中的其他數(shù)據(jù)，并包括任何信息傳遞介質(zhì)?！耙颜{(diào)制的數(shù)據(jù)信號”一詞表示具有一個(gè)或多個(gè)其特征集合或以在信號中編碼信息的方式變化的信號。為了舉例而非限制，通信介質(zhì)包括有線介質(zhì)，例如有線網(wǎng)絡(luò)或單線連接，以及無線介質(zhì)，例如聲音，RF，紅外線，和其他無線介質(zhì)。任何上述介質(zhì)的組合也應(yīng)該包括在計(jì)算機(jī)可讀介質(zhì)的范圍之內(nèi)。
系統(tǒng)存儲器130包括易失和非易失存儲器形式的計(jì)算機(jī)存儲介質(zhì)，例如只讀存儲器(ROM)131和隨機(jī)存取存儲器(RAM)132。基本輸入/輸出系統(tǒng)133(BIOS)，包含基本例行程序有助于(例如在啟動(dòng)期間)在計(jì)算機(jī)110之內(nèi)的部件之間傳送信息，通常存儲在ROM131中。RAM132通常包含由處理單元120立即可訪問或當(dāng)前正在操作的數(shù)據(jù)和程序模塊。為了舉例而非限制，圖1B示例了操作系統(tǒng)134，應(yīng)用程序135，其他程序模塊136，和程序數(shù)據(jù)137。
計(jì)算機(jī)110也可以包括其他可移動(dòng)/非移動(dòng)，易失/非易失計(jì)算機(jī)存儲介質(zhì)。只為了舉例，圖1B示出了讀取或?qū)懭敕且苿?dòng)、非易失的磁性介質(zhì)的硬盤驅(qū)動(dòng)器141，讀取或?qū)懭肟梢苿?dòng)、非易失的磁盤152的磁盤驅(qū)動(dòng)器151，，以及讀取或?qū)懭肟梢苿?dòng)、非易失的光盤156的光盤驅(qū)動(dòng)器155，所述光盤例如是CD ROM或其他光學(xué)介質(zhì)?？梢杂糜谑纠幚憝h(huán)境100中的其他可移動(dòng)/非移動(dòng)，易失/非易失計(jì)算機(jī)存儲介質(zhì)包括，但不僅限于，磁帶盒，閃存卡，數(shù)字通用磁盤，數(shù)字視頻磁帶，固態(tài)RAM，固態(tài)ROM，等等。硬盤驅(qū)動(dòng)器141通常通過例如接口140的非移動(dòng)存儲器接口連接于系統(tǒng)總線121，并且磁盤驅(qū)動(dòng)器151和光盤驅(qū)動(dòng)器155通常通過例如接口150的可移動(dòng)存儲器接口連接于系統(tǒng)總線121。
圖1B中示例的以及上述的驅(qū)動(dòng)器和它們相關(guān)的計(jì)算機(jī)存儲介質(zhì)為計(jì)算機(jī)110提供計(jì)算機(jī)可讀指令，數(shù)據(jù)結(jié)構(gòu)，程序模塊和其他數(shù)據(jù)的存儲。在圖1B中，例如，硬盤驅(qū)動(dòng)器141示例為存儲操作系統(tǒng)144，應(yīng)用程序145，其他程序模塊146，和程序數(shù)據(jù)147。注意的是，這些部件也可以與操作系統(tǒng)134，應(yīng)用程序135，其他程序模塊136和程序數(shù)據(jù)137相同或不同。操作系統(tǒng)144，應(yīng)用程序145，其他程序模塊146和程序數(shù)據(jù)147被給定了不同數(shù)字以至少說明它們是不同的拷貝。
用戶可以通過諸如鍵盤162和定位設(shè)備161的輸入設(shè)備將命令和信息輸入到計(jì)算機(jī)110中，定位設(shè)備通常指的是鼠標(biāo)，軌跡球，或觸摸屏。其他輸入設(shè)備(未示出)可以包括麥克風(fēng)，操縱桿，游戲板，圓盤式衛(wèi)星電視天線，等等。這些和其他輸入設(shè)備通常通過用戶輸入接口160連接于處理單元120，所述用戶輸入接口160連接于系統(tǒng)總線121，但也可以通過其它接口和總線結(jié)構(gòu)連接，諸如并行端口，游戲端口或通用串行總線。顯示器191或其他類型的顯示設(shè)備也通過諸如視頻接口190的接口連接于系統(tǒng)總線121。除了顯示器191，計(jì)算機(jī)110也可以包括通過輸出外部接口195連接的其它外部輸出設(shè)備，例如揚(yáng)聲器197和打印機(jī)196，。
計(jì)算機(jī)110可以在使用邏輯連接一個(gè)或多個(gè)遠(yuǎn)程計(jì)算機(jī)(例如遠(yuǎn)程計(jì)算機(jī)180)的聯(lián)網(wǎng)環(huán)境中運(yùn)行。遠(yuǎn)程計(jì)算機(jī)180可以是另一個(gè)人計(jì)算機(jī)，服務(wù)器，路由器，網(wǎng)絡(luò)PC，同級設(shè)備，或其他普通的網(wǎng)絡(luò)節(jié)點(diǎn)，并通常包括與個(gè)人計(jì)算機(jī)110相關(guān)的上述多個(gè)或所有部件，盡管圖1B中只示例了存儲設(shè)備181。圖1B中所描述的邏輯連接包括局域網(wǎng)(LAN)171和廣域網(wǎng)(WAN)173，但也可以包括其他網(wǎng)絡(luò)。這種聯(lián)網(wǎng)環(huán)境在辦公室，企業(yè)范圍計(jì)算機(jī)網(wǎng)絡(luò)，企業(yè)內(nèi)部互聯(lián)網(wǎng)，和因特網(wǎng)中是常見的。
當(dāng)用于LAN聯(lián)網(wǎng)環(huán)境時(shí)，個(gè)人計(jì)算機(jī)110通過網(wǎng)絡(luò)接口或適配器170連接于LAN171。當(dāng)用于WAN聯(lián)網(wǎng)環(huán)境時(shí)，計(jì)算機(jī)110通常包括調(diào)制解調(diào)器172或用于在例如是因特網(wǎng)的WAN173上建立通信的其他裝置。調(diào)制解調(diào)器172可以是內(nèi)部的也可以是外部的，可以通過用戶輸入接口160或其他適合的機(jī)制連接于系統(tǒng)總線121。在聯(lián)網(wǎng)環(huán)境中，所述與個(gè)人計(jì)算機(jī)110相關(guān)的程序模塊，或其部分，可以存儲在遠(yuǎn)程存儲設(shè)備181中。為了舉例并非限制，圖1B將遠(yuǎn)程應(yīng)用程序185示例為存儲在存儲設(shè)備181中?？梢岳斫獾氖牵镜木W(wǎng)絡(luò)連接只是示例，并且在計(jì)算機(jī)之間建立通信連接的其他方式也可以使用。
在以下描述中，本發(fā)明是參照由一個(gè)或多個(gè)計(jì)算機(jī)執(zhí)行的操作的行為或符號表示而描述的，除非另外說明。同樣地，可以理解的是這種行為或操作，有時(shí)稱為被計(jì)算機(jī)執(zhí)行的，包括以結(jié)構(gòu)形式表示數(shù)據(jù)的電信號的計(jì)算機(jī)的處理單元的處理。該處理轉(zhuǎn)換數(shù)據(jù)或?qū)⑺鼈儽４嬖谟?jì)算機(jī)的存儲設(shè)備中，所述計(jì)算機(jī)以本領(lǐng)域技術(shù)人員熟知的方式重新配置或調(diào)整設(shè)備的操作。數(shù)據(jù)被保存的數(shù)據(jù)結(jié)構(gòu)是數(shù)據(jù)格式所定義的具有特定特性的存儲器物理位置。然而，盡管在上文中描述了本發(fā)明，但是并不意味著限制本發(fā)明，本領(lǐng)域的技術(shù)人員會理解下文中所描述的各種行為和操作也可以由硬件實(shí)現(xiàn)。
參照圖2，本發(fā)明的一個(gè)實(shí)施例包括至少三個(gè)計(jì)算機(jī)客戶端210，策略服務(wù)器220，和隔離執(zhí)行服務(wù)器(QES)230?？蛻舳?10到QES230的機(jī)器交互有兩種形式，其中所述交互包括健康聲明列表(SoHs)和SoH響應(yīng)，其中所述交互包括健康清單(BoH)。本發(fā)明的另一個(gè)實(shí)施例進(jìn)一步包括修補(bǔ)服務(wù)器240，用于向客戶端210提供必要的軟件和補(bǔ)丁更新以使客戶端與從策略服務(wù)器220下載的策略一致。
策略服務(wù)器220包含檢查策略，管理員希望客戶端查看，例如操作系統(tǒng)(OS)版本，抗病毒標(biāo)記版本等。策略服務(wù)器的例子是Windows更新服務(wù)器(WUS)和抗病毒標(biāo)記更新服務(wù)器。策略服務(wù)器也改變信息，客戶端需要所述信息將客戶端改變?yōu)檎_的配置，例如補(bǔ)丁，抗病毒更新等。網(wǎng)絡(luò)可以包含多個(gè)策略服務(wù)器，也就是說，可以有一個(gè)補(bǔ)丁的策略服務(wù)器和抗病毒服務(wù)的另一個(gè)策略服務(wù)器。客戶端檢查和配置策略的管理員可以改變策略服務(wù)器上的這個(gè)策略。策略服務(wù)器向客戶端下載檢查策略以及策略管理員配置到策略服務(wù)器中的修補(bǔ)變化。策略服務(wù)器允許QES230查看來自客戶端210的SoH是有效的。
策略管理員設(shè)置將要應(yīng)用于策略服務(wù)器220的客戶的策略。該策略被下載并應(yīng)用于客戶端210。當(dāng)客戶端210發(fā)出網(wǎng)絡(luò)資源請求時(shí)，例如DHCP，802.1X等，客戶端210連同請求一起提供一個(gè)SoH列表。QES230驗(yàn)證這些SoH，聯(lián)系策略服務(wù)器220以獲得所期望的客戶策略并返回網(wǎng)絡(luò)資源的響應(yīng)和SoH響應(yīng)列表。網(wǎng)絡(luò)管理員能夠?qū)⒏綦x策略配置于QES230。如果由于隔離原因機(jī)器被拒絕網(wǎng)絡(luò)資源，則通知客戶端210的用戶，并且用戶可以請求關(guān)于客戶如何解決該問題的更為詳細(xì)的信息。用戶也可以請求支持信息。
客戶端210可以與一個(gè)或多個(gè)策略服務(wù)器通信，例如一個(gè)客戶端可以從多個(gè)不同策略服務(wù)器獲取策略和配置，所述不同策略服務(wù)器例如是補(bǔ)丁的WUS服務(wù)器和抗病毒標(biāo)記服務(wù)器?？蛻舳?10也與一個(gè)或多個(gè)QES230通信以請求網(wǎng)絡(luò)資源。如果客戶端被隔離，則客戶端在系統(tǒng)托盤里向用戶顯示一個(gè)球狀提示(balloon)和一個(gè)圖標(biāo)。用戶可以請求隔離狀態(tài)的詳細(xì)情況。該詳細(xì)情況包括哪個(gè)策略是最新的。用戶可以請求查看隔離的支持信息?？蛻舳?10請求網(wǎng)絡(luò)資源，包括DHCP發(fā)現(xiàn)，請求，802.1X認(rèn)證，VPN認(rèn)證和IPsec IKE交換。客戶端210提供其SoH列表并且QES230驗(yàn)證SoH列表以確定設(shè)定了多少次對網(wǎng)絡(luò)資源的訪問。QES用完全訪問網(wǎng)絡(luò)資源或限制訪問網(wǎng)絡(luò)資源來響應(yīng)對網(wǎng)絡(luò)資源的請求。
QES230從客戶端接收網(wǎng)絡(luò)請求，例如DHCP請求，802.1X認(rèn)證請求，IPsecSA請求等。作為該網(wǎng)絡(luò)請求的一部分，客戶端210發(fā)送一個(gè)或多個(gè)SoH。每個(gè)類型的策略有一個(gè)SoH，例如有一個(gè)SoH描述補(bǔ)丁的健康狀態(tài)，有另一個(gè)SoH描述抗病毒的健康狀態(tài)等。如果需要，QES230通過與策略服務(wù)器通信獲得特定類型的策略來驗(yàn)證每個(gè)SoH?？蛻舳?10在兩種情況下與多于一個(gè)QES230通信當(dāng)使用多個(gè)類型的QES230(例如802.1X RADIUS服務(wù)器和DCHP服務(wù)器)時(shí)和當(dāng)客戶端210和QES230之間的協(xié)議支持一個(gè)類型的多個(gè)QES(例如DHCP將廣播DHCP發(fā)現(xiàn)發(fā)送到可以響應(yīng)的多個(gè)DHCP QES)時(shí)。網(wǎng)絡(luò)管理員可以為策略服務(wù)器配置QES230，其用于驗(yàn)證來自客戶機(jī)的SoH以及當(dāng)驗(yàn)證成功或失敗時(shí)訪問的數(shù)量。
修補(bǔ)服務(wù)器240可以是能夠用于糾正機(jī)器狀態(tài)的任何服務(wù)器，例如提供信息改變機(jī)器的狀態(tài)以使其不再被隔離。所述信息可以是軟件或配置信息。由于隔離的機(jī)器不能與非隔離機(jī)器進(jìn)行通信，所以修補(bǔ)服務(wù)器對隔離網(wǎng)絡(luò)是可用的。通常修補(bǔ)服務(wù)器也可與未隔離的機(jī)器通信。為了舉例而非限制，修補(bǔ)服務(wù)器的范例是(1)www.windowsupdate.com，其中美國微軟公司發(fā)布視窗OS安全更新(Windows OS Security Updates)，并且客戶端更新服務(wù)和WUS客戶端可以從該地址下載安全更新。如果視窗更新被用做一個(gè)修補(bǔ)服務(wù)器，則因特網(wǎng)需要可以直接或通過瀏覽器代理訪問隔離的機(jī)器。(2)SMS服務(wù)器，SMS客戶端從其中下載配置信息，腳本和軟件。(3)域控制器，其具有多種方法以將配置用于客戶端。如果其中一種方法被使用，那么域控制器就是一個(gè)修補(bǔ)服務(wù)器并需要由隔離的機(jī)器進(jìn)行訪問。
圖3示例了客戶端210，策略服務(wù)器220，QES230和修補(bǔ)服務(wù)器240之間的交互。在步驟310，客戶端向QES發(fā)送一個(gè)表示客戶端的安全和軟件狀態(tài)的SoH列表。在步驟320，如果客戶端接收了一個(gè)包括BoH的SoH響應(yīng)，則客戶端結(jié)束并現(xiàn)在可以退出隔離。然而，如果SoH響應(yīng)不包括BoH，則在步驟330客戶端從策略服務(wù)器下載策略更新。基于這些策略，在步驟340客戶端接著從修補(bǔ)服務(wù)器下載必要的更新。在步驟350客戶端接著運(yùn)行系統(tǒng)健康檢查以生成一個(gè)新的SoH列表。該進(jìn)程接著返回步驟310以重試BoH攔截(acquisition)。
參照圖4，客戶機(jī)包括三個(gè)軟件部件，隔離策略客戶端(QPC)410，隔離協(xié)作客戶端(QCC)420，和隔離執(zhí)行客戶端(QEC)430。客戶機(jī)可以包含一個(gè)或多個(gè)QPS，例如QPC410a，QPC410b，和QPC410c。每個(gè)QPC與一個(gè)或多個(gè)策略服務(wù)器440進(jìn)行通信并為網(wǎng)絡(luò)提供策略和配置。由于QPC必須了解策略服務(wù)器440提供的策略和配置的類型，所以QPC由提供一個(gè)或多個(gè)策略服務(wù)器440的相同實(shí)體來提供。每個(gè)QPC向QCC420提供一個(gè)SoH。當(dāng)QPC的SoH發(fā)生改變時(shí)，QPC也通知QCC420，例如當(dāng)QPC與其策略服務(wù)器440通信時(shí)，策略服務(wù)器440可以改變所需的配置和檢查條件。QPC410將執(zhí)行該新的策略并產(chǎn)生一個(gè)不同的SoH。這里只有一個(gè)QCC從各個(gè)QPC收集SoH。萬一QPC不可用(例如，機(jī)器啟動(dòng))，則QCC420緩存這些SoH。根據(jù)來自QEC的要求，QCC420向一個(gè)或多個(gè)QEC430提供SoH列表。
客戶機(jī)可以包含一個(gè)或多個(gè)QEC，例如DHCP430的QEC，IPsec 430b的QEC，和802.1X 430c的QEC。每個(gè)QEC與QES450通信。通常QEC430是利用請求網(wǎng)絡(luò)資源的協(xié)議進(jìn)行通信的現(xiàn)有部件。隔離是通過限制利用將有關(guān)QEC430上客戶端的健康狀態(tài)的信息傳送至QES協(xié)議而獲取資源來實(shí)現(xiàn)的，這些例子是DHCP，IEEE802.1X的PEAP和VPN和IPsec。對于DHCP，DHCP協(xié)議具有SoH列表。當(dāng)QEC430需要作出網(wǎng)絡(luò)請求時(shí)，從QCC420獲取SoH列表。
參照圖5，客戶端560能夠通過將SoH列表發(fā)送到特定協(xié)議(protocol-specific)隔離執(zhí)行服務(wù)器(QES)540來與隔離服務(wù)器(QS)510通信，其中隔離執(zhí)行服務(wù)器540將列表傳遞給QCS530。QS510能夠與一個(gè)或多個(gè)策略服務(wù)器550通信以為隔離策略服務(wù)器(QPS)520獲取策略更新。接著QCS530可以確定是否應(yīng)該通過將BoH列表發(fā)送給一個(gè)或多個(gè)QPS520以驗(yàn)證SoH而發(fā)布BoH。QPS520將SoH響應(yīng)發(fā)送給QCS530，QCS530將其發(fā)送給相應(yīng)的QES540，QES540接著將其發(fā)送給客戶端560。如果將要發(fā)布一個(gè)BoH，則QCS530包括一個(gè)具有SoH響應(yīng)的BoH。
圖6示例了本發(fā)明一個(gè)實(shí)施例的部件的示例性交互。在步驟601，QPC將更新的策略下載給客戶端。下載的策略特定于QPC的類型，例如補(bǔ)丁客戶端或抗病毒客戶端。在步驟602，QPC通知QCC關(guān)于QPC策略的策略改變。在步驟603，QCC通知一個(gè)或多個(gè)QEC有關(guān)策略的改變。接著在步驟604，QEC從QCC請求SoH列表。在步驟605，QCC從一個(gè)或多個(gè)QPC請求所有的SoH。在步驟606，每個(gè)QPC發(fā)送其SoH。在步驟607，QCC接著將SoH列表提交給QEC。在步驟608，QEC將SoH列表傳送給QS的QES，并請求一個(gè)BoH。在步驟609，QES請求驗(yàn)證SoH。QCS接收SoH并將每個(gè)SoH提交給相應(yīng)的QPS以用于驗(yàn)證。在步驟611，如果QPS沒有當(dāng)前的策略，則從策略服務(wù)器下載它們。在步驟612，QPS接著驗(yàn)證SoH并將結(jié)果作為SoH響應(yīng)提交給QCS。在步驟613，QCS收集SoH響應(yīng)并將它們提交給QES，以使在步驟614QES可以根據(jù)它們共享的協(xié)議將SoH響應(yīng)提交給相應(yīng)的QEC。如果SoH被驗(yàn)證了，則QCS進(jìn)一步包括具有SoH響應(yīng)的BoH。
此外，參照圖7，整個(gè)結(jié)構(gòu)包括作為客戶端的部件和作為服務(wù)器的部件(注意客戶端和服務(wù)器部件可以在相同的機(jī)器上，例如當(dāng)向同級發(fā)出請求時(shí)IPsec可以是客戶端而當(dāng)從同級接收請求時(shí)是服務(wù)器)。QPC獲取并可以改變機(jī)器的狀態(tài)，例如，他們獲取管理員已經(jīng)決定將機(jī)器處于“健康”或“非健康”的機(jī)器狀態(tài)。QPC向QCC提供SoH。QCC存儲信息以備QEC需要客戶端的SoH的時(shí)候。無論什么時(shí)候QEC需要作出網(wǎng)絡(luò)請求，其都從QCC獲取SoH并將它們發(fā)送給QES的QEC。QES將SoH傳遞給QCS。QCS將SoH傳遞給正確的QPS。策略服務(wù)器/QPS檢查機(jī)器的狀態(tài)并通知QCS客戶機(jī)是“健康”或“非健康”。QEC和QES是能夠允許或不允許訪問網(wǎng)絡(luò)資源(例如VPN，DHCP，和IPsec)的多種技術(shù)。QES部件依據(jù)QCS確定客戶機(jī)為“健康”或“非健康”和執(zhí)行器是否應(yīng)該執(zhí)行的策略決定而供給或拒絕網(wǎng)絡(luò)資源，例如，QCS可以選擇從QPS記錄結(jié)果但無論QPS的結(jié)果如何都返回成功。
不需要每個(gè)QPS都有一個(gè)匹配的QPC。QCS調(diào)用每個(gè)向QCS作出“綁定”調(diào)用的QPS。如果SoH不能提供給QPS，則傳遞一個(gè)空SoH并返回一個(gè)空SoH響應(yīng)。QES除了作為提供或拒絕網(wǎng)絡(luò)資源的網(wǎng)絡(luò)技術(shù)之外，也能夠作為獨(dú)立的隔離服務(wù)器。在這個(gè)角色中，隔離服務(wù)器QES能夠接收QPC的“健康狀態(tài)”，驗(yàn)證多個(gè)SoH，并向QCC返回能夠由其他QEC/QES使用的BoH而QES不必需要使用自己的QPS來驗(yàn)證客戶機(jī)的狀態(tài)。
在QPC和策略服務(wù)器之間使用的協(xié)議是依據(jù)QPC和策略服務(wù)器(例如WUS定義其自身協(xié)議)而定的。QCC和QCS之間使用的協(xié)議傳送SoH和SoH響應(yīng)緩沖器。所述協(xié)議是在執(zhí)行器協(xié)議上傳送的。QEC和QES之間使用的協(xié)議依據(jù)執(zhí)行器技術(shù)而定。DHCP QEC/QES使用DHCP協(xié)議。SoH和SoH響應(yīng)是通過DHCP供應(yīng)選項(xiàng)(vendor option)傳送的。PEAP QEC/QES使用PEAPv2協(xié)議。SoH和SoH響應(yīng)是通過PEAP TLV傳送的。SoH和SoH響應(yīng)也可以通過諸如XML的SOAP傳送。
參照圖8，在本發(fā)明的一個(gè)實(shí)施例中QEC/QES使用DHCP通信。DHCP隔離不向機(jī)器提供默認(rèn)的網(wǎng)關(guān)地址，但向所選擇的機(jī)器(例如DHCP，DNS，補(bǔ)丁服務(wù)器(例如WUS))提供靜態(tài)路線。也向提供給255.255.255.255的IP地址設(shè)置網(wǎng)絡(luò)掩碼(netmask)，所以不存在到正常本地子網(wǎng)絡(luò)的路線。因此當(dāng)應(yīng)用試圖發(fā)送任何其他IP地址而不是那些允許的地址時(shí)，目的地不能達(dá)到的錯(cuò)誤將出現(xiàn)在TCP/IP堆棧中。由于DHCP服務(wù)器是管理機(jī)器，所以可以包括QPS在機(jī)器內(nèi)。
QPC和QPS/策略服務(wù)器850，例如SMS或WUS，能夠?qū)⒖蛻舳?10的策略從服務(wù)器860傳送到客戶端810。QPC820將以預(yù)定的間隔輪詢服務(wù)器進(jìn)行更新。無論什么時(shí)候機(jī)器的“健康狀態(tài)”發(fā)生變化，QPC820都將其SoH發(fā)布給QCC830。QCC830將每個(gè)QPC820的SoH收集到SoH列表中。無論什么時(shí)候SoH發(fā)生改變，QCC830都通知所有的QEC。當(dāng)QEC(DHCP客戶端)840想請求一個(gè)IP地址或更新一個(gè)IP地址時(shí)，其通過QCC830從QPC和SoH緩存器中獲取SoH列表，并利用一個(gè)或多個(gè)DHCP選項(xiàng)將其傳遞給QES(DHCP服務(wù)器)890。QES(DHCP服務(wù)器)890將SoH列表提供給QCS880，所述QCS880將每個(gè)SoH傳遞給正確的QPS870。每個(gè)QPS870可以聯(lián)系其策略服務(wù)器850以驗(yàn)證客戶端的SoH對那個(gè)客戶端來說是正確和當(dāng)前的，例如，沒有補(bǔ)丁被安裝在這個(gè)客戶端。如果客戶端是當(dāng)前并正確的，則QPS870向QCS880返回成功。如果所有的QPS向QCS880返回成功，則QCS880向QES(DHCP服務(wù)器)890返回成功。QES(DHCP服務(wù)器)890接著將正確的DHCP選項(xiàng)返回到QES(DHCP服務(wù)器)840，包括一個(gè)BoH。
參照圖9，在本發(fā)明的一個(gè)實(shí)施例中QEC/QES使用IPsec協(xié)議通信。IPsec隔離執(zhí)行是通過拒絕從隔離的客戶端設(shè)立IPsec SA而實(shí)現(xiàn)的。未隔離的機(jī)器將不會從隔離的機(jī)器接受IPsec SA。隔離系統(tǒng)需要一種方法以免除一些機(jī)器和設(shè)備。隔離客戶端只支持某些OS，運(yùn)行其他OS的機(jī)器是一直被隔離的，或者網(wǎng)絡(luò)管理員必須接受，直到該機(jī)器被允許與未隔離的機(jī)器通信才不再運(yùn)行策略檢測位。由于IPsec客戶端直接從另一個(gè)客戶端請求網(wǎng)絡(luò)資源，所以同級IPsec客戶端不能直接使用QPS。QCC必須使用隔離服務(wù)器QEC來獲取一個(gè)BoH，所述BoH將是一個(gè)IPsec沒有改變IKE的情況下可以傳送到IKE的同級的X.509證明。
QPC和QPS/策略服務(wù)器(例如SMS或WUS)960；將客戶端910的策略從服務(wù)器970傳送到客戶端910。QPC920將以固定間隔輪詢策略服務(wù)器進(jìn)行更新。無論什么時(shí)候機(jī)器的“健康狀態(tài)”發(fā)生變化，QPC920都將其SoH發(fā)布給QCC930。QCC930將每個(gè)QPC的SoH收集到SoH列表中。無論什么時(shí)候SoH發(fā)生改變，QCC930都通知所有的QEC。當(dāng)接收到這個(gè)通知時(shí)，QS QEC940獲取SoH并將其發(fā)送到QS QES976。隔離服務(wù)器QES976將SoH列表提供給QCS974，所述QCS974將每個(gè)SoH傳遞給正確的QPS972。每個(gè)QPS可以聯(lián)系其策略服務(wù)器960以驗(yàn)證客戶端的SoH對那個(gè)客戶端來說是正確和當(dāng)前的，例如，沒有補(bǔ)丁被安裝在這個(gè)客戶端。如果客戶端是當(dāng)前并正確的，則QPS972向QCS974返回成功。如果所有的QPS向QCS974返回成功，則QCS974向隔離服務(wù)器QES976返回成功。如果QCS974向其返回成功，則隔離服務(wù)器QES976向QS QEC940返回BoH。QS QEC940接著向緩存BoH的QCC930返回BoH。QCC930接著向所有執(zhí)行器發(fā)出通知BoH已經(jīng)發(fā)生改變。當(dāng)IPsec被請求向同級設(shè)立IKE SA時(shí)，QEC(IPsec)950從BoH緩存器獲取BoH并將其傳遞給同級980的QES(IPsec)984。QES(IPsec)984將BoH傳遞給QCS982，所述QCS982對BoH進(jìn)行驗(yàn)證并將成功(如果被確認(rèn))返回到QES(IPsec)984，QES(IPsec)984接著接受遠(yuǎn)程IKE通信。
在本發(fā)明的另一個(gè)實(shí)施例中，系統(tǒng)使用VPN執(zhí)行。VPN執(zhí)行是通過如果客戶端應(yīng)該被隔離則將IP過濾器放置在VPN服務(wù)器上來實(shí)現(xiàn)的，因此只有能夠到達(dá)VPN服務(wù)器的服務(wù)器是DNS，DHCP和修補(bǔ)服務(wù)器。SoH和SoH響應(yīng)的隔離交換實(shí)施為不需要新EPA方法的EAP交換，所述新EAP方法是在任何所需的用戶或機(jī)器認(rèn)證之后束縛于PEAPv2的。整個(gè)EAP部分將直到包括嵌入EAP認(rèn)證的PEAP部分和EAP隔離部分完成才會完成。如果PEAPv2部分成功完成，則整個(gè)EAP部分成功完成。如果所有嵌入的EAP方法都成功完成，則PEAPv2部分成功完成。嵌入的EAP方法運(yùn)行的順序是由RADIUS服務(wù)器驅(qū)動(dòng)的，所述RADIUS服務(wù)器是利用哪個(gè)EAP方法必須成功執(zhí)行并以哪個(gè)順序而配置的?？蛻舳薖EAP將配置為其中嵌入的EAP方法允許被RADIUS服務(wù)器請求。
在本發(fā)明的另一個(gè)實(shí)施例中，系統(tǒng)使用IEEE802.1X執(zhí)行。夏威夷的IEEE802.1X執(zhí)行使用EAP中具有的PEAPv2協(xié)議，其中EAP是IEEE802.1X中所具有的。IEEE802.1X執(zhí)行通過如果客戶端應(yīng)該被隔離則將IP過濾器放置在NAS(以太網(wǎng)切換或無線訪問點(diǎn))而實(shí)現(xiàn)，因此只有能夠通過NAS的服務(wù)器是DNS，DHCP，和修補(bǔ)服務(wù)器。
參照圖10描述了本發(fā)明的另一個(gè)實(shí)施例。在這個(gè)實(shí)施例中，網(wǎng)絡(luò)包括多個(gè)DHCP服務(wù)器，用于提供用戶對網(wǎng)絡(luò)資源的訪問。每個(gè)DHCP服務(wù)器1030都包括一個(gè)之前已經(jīng)描述的QES。網(wǎng)絡(luò)1020進(jìn)一步包括遠(yuǎn)程認(rèn)證撥入用戶服務(wù)(RADIUS)服務(wù)器1040，所述服務(wù)器1040包括之前已經(jīng)描述的QCS和QPS。因此，在這個(gè)實(shí)施例中隔離協(xié)作和策略管理集中位于整個(gè)網(wǎng)絡(luò)1020的一個(gè)RADIUS服務(wù)器上。當(dāng)客戶端1010請求從其中一個(gè)DHCP服務(wù)器1030訪問網(wǎng)絡(luò)資源時(shí)，DHCP服務(wù)器的QES依賴RADIUS服務(wù)器1040的QCS和QPS來認(rèn)證健康狀態(tài)。如果RADIUS服務(wù)器1040確認(rèn)了客戶端所提供的健康狀態(tài)，則DHCP服務(wù)器1030準(zhǔn)許客戶端訪問網(wǎng)絡(luò)。如果健康狀態(tài)沒有被確認(rèn)，則DHCP服務(wù)器1030根據(jù)RADIUS服務(wù)器1040所提供的策略將客戶端置于隔離狀態(tài)。
提供網(wǎng)絡(luò)基礎(chǔ)設(shè)施支持的DNS服務(wù)器需要可以訪問到被隔離的和非隔離機(jī)器。網(wǎng)絡(luò)管理員可以選擇使得因特網(wǎng)代理服務(wù)器可以訪問被隔離的機(jī)器以允許那些機(jī)器訪問因特網(wǎng)。
本發(fā)明的結(jié)構(gòu)支持多個(gè)QPC，包括(1)抗病毒QPC，給出關(guān)于AV是否在運(yùn)行，AV的版本，AV正在使用的標(biāo)記版本，AV是否正在實(shí)時(shí)檢查等的SoH。(2)檢查文件或注冊登陸存在或不存在的QPC。該QPC允許檢查諸如ICF的OS配置和ICS配置，是否安裝了malware等。(3)檢查每個(gè)過程建立的TCP/IP連接的數(shù)量的QPC。接著QPS能夠隔離具有打開許多連接的應(yīng)用程序的客戶端。除了服務(wù)器或端對端應(yīng)用程序之外，這種類型的行為未必是正確的。也可能在沒有QPC的情況下支持QPS。這一點(diǎn)使得網(wǎng)絡(luò)行為檢查提供輸入客戶端是否應(yīng)該被隔離。
現(xiàn)在描述用于訪問上述軟件部件提供的接口的程序設(shè)計(jì)模型。隔離執(zhí)行系統(tǒng)具有一個(gè)公共的API在QPC和QCC之間的客戶端上，以及一個(gè)公用的API在QPS和QCS之間的服務(wù)器端。每個(gè)API是一個(gè)COM接口而不是遠(yuǎn)程可調(diào)用的。兩個(gè)API都沒有標(biāo)記為安全用于初始化或安全用于腳本?？蛻舳薃PI是同步的并且服務(wù)器API是非同步的。也有用于QEC，QCC，QES，QCS之間的其他COMAPI。
Quarantine Coordination Client<-Quarantine Policy Client(IQuarPolicyClientBinding)(隔離協(xié)作客戶端<-隔離策略客戶端(IQuarPolicyClientBinding))該接口是由QCC提供的。由QPC使用。該接口被ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。這是QPC與隔離平臺通信的的主登陸點(diǎn)。是由QPC通過全局接口表(Global Interface Table)訪問的。負(fù)責(zé)與QCC服務(wù)的內(nèi)部過程(inter-process)通信。如果QCC服務(wù)沒有運(yùn)行，則COM將配置為啟動(dòng)服務(wù)。在QCC服務(wù)不能進(jìn)行更新的情況下，QPC輪詢QCCQPC->Bind直到QCC服務(wù)運(yùn)行。
Initialize(QPC_ID，Product GUID，QPCQCC CLSID，QPC_READ CLSID，QPCQCCIF)。該API在運(yùn)行時(shí)間為QPC調(diào)用以將其QPCQCC接口提供給QCC。Product GUID對于所有版本的產(chǎn)品來說必須是相同的。如果可能的話，不同版本的產(chǎn)品也應(yīng)該使用相同的QPC_ID/QPS_ID，并將版本添加到SoH。否則新的版本應(yīng)該使用不同的QPC_ID/QPS_ID，但是使用相同的Product GUID。QPCQCC CLSID是用于COM對象的CLSID，并且必須支持實(shí)施QPCQCC接口的接口。QPC必須利用CoCreateInstance(QPCQCC Class GUID，QPCQCC IFGUID，&Object)創(chuàng)建QPCQCCIF。QPC_READ CLSID是QPC_READ接口的CLSID。該接口支持從QPC查詢信息。
Uninitialize(QPC_ID)。該API是當(dāng)QPC存在時(shí)在運(yùn)行時(shí)間調(diào)用的。QPC在作出該調(diào)用之前應(yīng)該確認(rèn)對QCC沒有未完成的調(diào)用，一旦已作出該調(diào)用則不應(yīng)該再對QCC作出其它調(diào)用。在作出該調(diào)用以前，QPC不應(yīng)該破壞QPCQCC和QPC_READ IF。一旦所有對QPCQCC和QPC_READ的調(diào)用都已返回，則QCC將返回該調(diào)用。當(dāng)QPC使調(diào)用釋放時(shí)，應(yīng)該使對QPCQCC和QPC_READ的任何調(diào)用都無效。
NotifySoHChange(QPC_ID)。該API通知QCC由QPC保存的SoH狀態(tài)已經(jīng)變化。
QuerySystemQuarantineState(QPC_ID，*Q/NQ/Probation，*ProbationTime)。該API允許QPC查詢當(dāng)前的客戶端隔離狀態(tài)。
Quarantine Coordination Client<-Quarantine Enforcement Client(IQuarEnforcementClientBinding)(隔離協(xié)作客戶端<-隔離執(zhí)行客戶端(IQuarEnforcementClientBinding))QCC提供的接口由QEC使用。該接口被ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。該接口是由QCC提供并由QEC使用。QEC通過全局接口表來訪問該接口。它是QEC用于與QCC通信的主登錄點(diǎn)。
Initialize(QEC_ID，QECQCC CLSID，QEC_READ CLSID，QECQCCIF)。該API在運(yùn)行時(shí)間為QEC調(diào)用以將其QECQCC接口提供給QCC。QECQCCCLSID必須提供類型QECQCC的接口。QECQCCIF是從QECQCC_Class_GUID獲取的接口。
Uninitialize(QEC_ID)。該API是當(dāng)QEC存在并且不再使用QECQCC接口時(shí)，在運(yùn)行時(shí)間調(diào)用的。
QuerySoHs(QEC_ID，ConnectionState IF)。該API是在QEC需要將SoH列表提供給其QES時(shí)由QEC調(diào)用的。QEC將不會知曉SoH緩沖器的格式，而顯然地必須將SoH緩沖器的格式傳遞給QES。ConnectionState IF是由QEC分配的并傳遞到QCC并且如果必要的話接著傳遞到QPC。QCC和QPC可以設(shè)置和查詢有關(guān)處理(transaction)的信息。一旦該API已經(jīng)返回了QCC，則QPC可以不訪問ConnectionState IF。該函數(shù)對于綁定于QCC的QPC都調(diào)用QuerySoHs，并接著為QName添加緩沖存儲器中可提供的任何其他SoH。在返回該函數(shù)之前必須調(diào)用ConnectionState IF的TestSoHHash。如果函數(shù)返回了S_OK，則QuerySoHs返回S_FALSE以表示沒有SoH發(fā)生變化，否則該函數(shù)通過調(diào)用ConnectionState IF的SetSoHHash來更新SoH Hash。QEC應(yīng)該經(jīng)常訪問QuerySoHs以查看ConnectionState是否具有啟動(dòng)的隔離等。如果對于QEC來說沒有隔離工作可做，則QCC將返回一個(gè)NO_QUARANTINE_INFORMATION狀態(tài)。
QuerySoHResponseQuarantineState(QEC_ID，ConnectionState IF，*Q/NQ)。該接口由QEC調(diào)用以從QCS SoHResponse獲得隔離/未隔離狀態(tài)。
NotifyConnectionStateUp(QEC_ID，ConnectionState IF)。當(dāng)其QES返回SoHResponse列表時(shí)該API由QEC調(diào)用，并且QEC處于讀狀態(tài)以使用所述Response。所述SoHResponse列表已經(jīng)由QEC設(shè)置，并且QEC一定不知曉其緩沖器格式，而顯然地必須將緩沖器的格式傳遞給QCC。SoHResponse可以是空的，因此QES/QEC不能傳送SoHResponse。ConnectionState IF是由QEC分配的并傳遞給QCC，并且如果必要的話接著傳遞給QPC。QCC和QPC可以設(shè)置和查詢有關(guān)處理的信息。
NotifyConnectionStateDown(QEC_ID，ConnectionState IF)。該API由QEC調(diào)用以通知QCC連接已經(jīng)改變?yōu)橄陆?down)狀態(tài)，并且QCC可能需要更新系統(tǒng)隔離狀態(tài)。
NotifySoHChangeFailure(QEC_ID)。如果QEC未能執(zhí)行NotifySoHChange則由QEC調(diào)用該API。接著QCC應(yīng)該啟動(dòng)一個(gè)計(jì)時(shí)器，并當(dāng)計(jì)時(shí)器超時(shí)的時(shí)候調(diào)用QECQCC->NotifySoHChange。
Quarantine Policy Client<-Quarantine Coordination Client(IquarPolicyClientCallback)(隔離策略客戶端<-隔離協(xié)作客戶端(IQuarPolicyClientCallback))QPC提供一個(gè)接口由QCC使用。該接口被ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不能遠(yuǎn)程訪問。該接口由QPC提供而由QCC使用。包括調(diào)用該接口的QCC在內(nèi)的任何代碼必須使用其中QPC不能模仿調(diào)用者的語境。當(dāng)QPC調(diào)用QCC上的綁定時(shí)，QPC傳遞一個(gè)Class GUID，QCC使用所述Class GUID來產(chǎn)生QPCQCC接口實(shí)例。
QuerySoH(QPC_ID，ConnectionStateRead IF)。該API由QCC調(diào)用以查詢SoH。QPC必須調(diào)用ConnectionState->SetSoH以設(shè)置它們的SoH。如果QPC經(jīng)由網(wǎng)絡(luò)傳送不同的SoH，則QPC應(yīng)該查詢ConnectionState IF的QName以返回正確的SoH。
ProcessSoHResponse(QPC_ID，ConnectionStateRead IF，*QPS_Result)。QPC處理來自QCC的SoH響應(yīng)接口。當(dāng)ProcessSoHResponse應(yīng)該已被調(diào)用時(shí)如果QPC沒有綁定于QCC，則SoHResponse被放棄。QName是返回SoH響應(yīng)的網(wǎng)絡(luò)的隔離名稱。SoHResponse可以是空的，因此QES/QEC不能傳送SoHResponse。QPS_Result是從QPS返回的HRESULT返回到其SoHResponse中的QPC。QPS_Result將利用QCC/QEC記錄信息記錄。
NotifySystemQuarantineStateChange(QPC_ID，Q/NQ)。通知QPC系統(tǒng)隔離狀態(tài)已經(jīng)改變。
QueryStatus(QPC_ID，*State，*Percentage，*MessageID)。提供QPC的當(dāng)前狀態(tài)和描述進(jìn)程的信息，所述進(jìn)程趨向于達(dá)到其策略配置以及由此達(dá)到其SoH。狀態(tài)(State)是在進(jìn)程中，成功完成，和未能完成的其中一個(gè)。百分比(Percentage)是0到100％，返回-1表示QPC不支持％。所述信息一定是能夠和QPC_READIF一起使用的MessageID。
Quarantine Enforcement Client<-Quarantine Coordination Client(IquarEnforcementClientCallback)(隔離執(zhí)行客戶端<-隔離協(xié)作客戶端(IQuarEnforcementClientCallback))QEC提供一個(gè)接口由QCC使用。該接口是有QEC提供而由QCC使用的。該接口被ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不能遠(yuǎn)程訪問。當(dāng)QEC請求綁定于QCC時(shí)，QEC傳遞一個(gè)Class GUID，QCC使用所述Class GUID來產(chǎn)生一個(gè)QECQCC接口實(shí)例。
NotifySoHChange(QEC_ID)。該API通知QEC由QCC保存的SoH狀態(tài)已經(jīng)變化。QEC不應(yīng)該忽視該調(diào)用，但是如果QEC是被占用的則可以，但并不推薦忽略該調(diào)用。當(dāng)系統(tǒng)處于隔離時(shí)QCC將不時(shí)的該API。
QueryConnectionState(QEC_ID，*Number_IF，*ConnectionState[])。該API查詢QEC其隔離接口ID的列表。ConnectionState的格式是ConnectionState IF的排列(array)。
ResetQuarantineState(QEC_ID)。當(dāng)QCC啟動(dòng)或禁止隔離時(shí)，由QCC調(diào)用此API。QEC將重新配置任何隔離配置。
SoHStateIF該接口由連接狀態(tài)(ConnectionState)和交易狀態(tài)(TransactionState)接口使用。連接狀態(tài)和交易狀態(tài)使用此接口的實(shí)例來包含SoH的列表以及來包含SoHResponses的列表。
QuerySoHStateRead該API由QCC和QCS使用以獲得SoH狀態(tài)讀取(SoHStateRead)接口。SetListOfSoHResponses(SoHResponse)由QEC使用此API以設(shè)置SoHResponses列表。QueryListOfSoHResponses(*SoHResponse)由QES使用此API以查詢SoHResponses列表。SetSoHResponse(QPS_ID，SoHResponse)由QCS使用此API以設(shè)置SoHResponse。SetListOfSoHs(SoHs)由QES使用此API以設(shè)置SoH列表。應(yīng)將QCC SoH復(fù)制出交易ID。如果在SoH列表中沒有QCC SoH，那么應(yīng)該創(chuàng)建和分配交易ID。在使用SoH列表之前，此API應(yīng)該驗(yàn)證SoH格式列表。QueryListOfSoHs(SoHs)由QES使用此API以查詢它們的或另一個(gè)SoH。SetSoH(QPS_ID，SoH)由QCC使用此API以設(shè)置SoH。SetQCSQPS_IDs此API用來設(shè)置QCS SoHResponse中優(yōu)選的QPS_IDs。QueryQCSQPS_IDs此API用于從QCS SoHResponse中讀取優(yōu)選的QPS_IDs。SetQCCClientName此API用于從QCC SoH中讀取客戶端名稱。QueryQCCCIientName此API用于從QCC SoH中讀取Client Name。SetQCSClientState此API用于設(shè)置QCS已經(jīng)決定的客戶端狀態(tài)。QueryQCSClientState該API用于從QCS SoHResponse中讀取客戶端狀態(tài)。SetQCCClientState此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCCClientState此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCCTransactionID此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCCTransactionID此API用于從QCC SoH中讀取客戶端狀態(tài)。
SetQCSTransactionID此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSTransactionID此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCCOSVersion此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCCOSVersion此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCCOSSPVersion此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCCOSSPVersion此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCCProcessorArchitecture此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCCProcessorArchitecture此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCSQPS_Results此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSQPS_Results此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCSQName該API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSQName此API用于從QCC SoH中讀取客戶狀態(tài)。SetQCSQCSName此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSQCSName此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCSProbationTime此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSProbationTime此API用于從QCC SoH中讀取客戶端狀態(tài)。SetQCSURL此API用于在QCC SoH中設(shè)置當(dāng)前客戶端狀態(tài)。QueryQCSURL此API用于從QCC SoH中讀取客戶端狀態(tài)。
SoHStateReadIF該接口由連接狀態(tài)和交易狀態(tài)接口使用。通過此接口傳送到QPC和QPS以查詢SoH和SoHResponses。
QuerySoHResponse(QPS_ID，SoH)由QCC和QPC使用此API以查詢它們的或另一個(gè)SoHResponse。QuerySoH(QPS_ID，SoH)由QCS和QPS使用此API以查詢它們的或另一個(gè)SoH。
Connection Statefor QEC/QCC(IquarClientConnection)(QEC/QCC的連接狀態(tài)(IQuarClinetConnection))QEC使用此接口以管理每一個(gè)唯一的網(wǎng)絡(luò)″接口″狀態(tài)，所述″接口″具有隔離狀態(tài)。將此接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不可遠(yuǎn)程地訪問該接口。將此接口提供給QEC和QCC。將連接狀態(tài)讀取(ConnectionStateRead)接口提供給QCC、QEC和QPC。網(wǎng)絡(luò)″接口″可以映射到物理NIC或可以映射到連向另一個(gè)機(jī)器的邏輯連接，例如IPsec。
QueryConnectionStateRead此API允許QCC查詢連接狀態(tài)讀取接口。QuerySoHtate此API允許QEC和QCC查詢SoHtate接口。SetMaxSize允許將QEC設(shè)置到SoH列表大小所支持的它的最大值。SetQNameQCC從QCS接收QName并且在連接狀態(tài)IF上設(shè)置QName。SetQCSName此API允許QCC設(shè)置在該連接狀態(tài)上使用的當(dāng)前QCS。SetPreferredQPS_IDs由QCC使用以便為QCS設(shè)置優(yōu)選QPS_IDs。SetURL由QCC使用以便為QCS設(shè)置URL。SetSoHHash存儲在連接狀態(tài)IF對象中的SoH的散列。SetTransactionID(ConnectionStateID，Length)由QEC使用API以便設(shè)置交易ID。QEC應(yīng)該為連接狀態(tài)接收ID，例如為DHCP這應(yīng)該是NIC MAC地址。SetTransactionID應(yīng)該將此與隨機(jī)數(shù)混編并且產(chǎn)生八字節(jié)散列。SetQuarantineState(Quarantine_Enable，Quarantine/Probation/Non-quarantine)依賴從QCS返回的QCS->QCC SoH中的結(jié)果設(shè)置隔離/非隔離狀態(tài)。SetProbationTime(ProbationTime)設(shè)置在此C連接狀態(tài)IF上的察看時(shí)間。只有當(dāng)QCS/QCCSoH包含察看時(shí)間和察看的隔離狀態(tài)時(shí)才調(diào)用它。查看時(shí)間是很短的時(shí)間。此API保留TestProbationTime的察看終止時(shí)間。查看時(shí)間0意思是沒有設(shè)置查看時(shí)間。SetQECInfo(EnumType，QECInfo)EnumType包含來自QEC的、關(guān)于QEC的信息。QECInfo取決于QEC EnumType但是包含以下DHCP QEC(Client IP address，Client MAC address、PEAP QEC、和IPsec QEC。Serialize(outputbuffer，*size)此API將連接狀態(tài)IF配置寫入輸出緩沖器中。不應(yīng)該將輸出緩沖器安置在任何非管理員可以存取、讀取或?qū)懭氲牡胤?。Deserialize(*inputbuffer，size)此API將輸入緩沖器讀取到連接狀態(tài)IF配置中。DHCP QEC能將此API能與串行器一起使用以便將連接狀態(tài)信息保存和再存入寄存器中。只有管理員能夠訪問寄存數(shù)據(jù)。
Connection State for QPC(IQuarPolicyClientConnection)(QPC連接狀態(tài)(IQuarPolicyClientConnection))QEC使用此接口以管理每一個(gè)唯一的網(wǎng)絡(luò)″接口″狀態(tài)，所述″接口″具有隔離狀態(tài)。將此接口進(jìn)行ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不可遠(yuǎn)程地訪問。將此接口提供給QEC、QCC和QPC。網(wǎng)絡(luò)“接口”可以映射到物理NIC或可以映射到連向另一個(gè)機(jī)器的邏輯連接，例如IPsec。表格列出了方法以及哪個(gè)元件使用每個(gè)方法。
QuerySoHStateRead此API允許QPC查詢SoHStateRead接口。QueryMaxSize最大大小允許QEC指定QCC可以返回的、SoH緩沖的極限大小。QueryQNameQName指定正在SoH里查詢的隔離名稱。如果QEC不知道QName，那么它應(yīng)該使用“”。QCC應(yīng)該返回帶有“”公開的QName、或者上次使用的SoH。QueryQCSName如果知道，那么查詢在此連接狀態(tài)上的當(dāng)前QCS。QueryPreferredQPS_IDs由QCC使用以便為QCS查詢優(yōu)選QPS_IDs。QueryURL由QCC使用以便為QCS查詢URL。TestSoHHash產(chǎn)生僅僅由SetSoH設(shè)置的SoH的散列，并且將其與以前存儲的散列相比，并且如果散列相配那么返回S_OK否則返回S_FALSE。QueryTransactionID(*ID)此API返回由設(shè)置交易ID設(shè)置的、由QCC、QEC和QPC使用的交易ID。當(dāng)他們記錄時(shí)他們應(yīng)該將此ID增加到日志中。QueryQECInfo(EnumType QECInfo)EnumType包含來自QEC的、關(guān)于QEC的信息。QECInfo取決于QEC EnumType但是包含以下DHCP QEC(Client IP address，Client MACaddress、PEAP QEC、和IPsec QEC。QueryQuarantineState(*Quarantine_Enable，*Quarantine/Probation/Non-quarantine)返回隔離/察看和非隔離的隔離狀態(tài)。TestProbationTime(*Passed)因?yàn)檎{(diào)用SetProbationTime，它返回查看時(shí)間是否已經(jīng)過去。如果沒有設(shè)置查看時(shí)間則Passed將返回錯(cuò)誤。QueryProbationTime(*ProbationTime)在此連接狀態(tài)IF上查詢察看時(shí)間。如果沒有設(shè)置查看時(shí)間則返回0。SetQPCInfo(Info，Length of info，Size)QPC可以保留一些有關(guān)連接狀態(tài)IF對象的消息，例如它可以保留與此隔離接口一同使用的策略服務(wù)器名/地址。信息的最大大小是256字節(jié)。沒有應(yīng)該存儲的編號或指針。QueryQPCInfo(*Info，*Length of info)此API允許QPC查詢以前保留的、相對連接狀態(tài)IF的信息。人們期望，返回緩沖器大小至少有256字節(jié)，那就是說，可以經(jīng)由SetQPCInfo設(shè)置的極限大小。
隔離協(xié)作客戶管理IFQCC提供兩個(gè)理接口。一個(gè)用于讀取而一個(gè)用于寫入。COM對象是單元素集合并且在Com全球的運(yùn)行表格中提供。它以這樣的方式在全球表格中提供它通向全部的WINSTA實(shí)例中的netshell.dll。接口是IQuarClientInfo將此接口ACL到每個(gè)人并且不可遠(yuǎn)距離訪問。必須在這樣的情形下調(diào)用此包括QCC和QCC UI的任何密碼其中QPC無法假冒調(diào)用者。EnumQPC(*QPC_IDs，*QPC_READ CLSID[])列舉與QCC and它們的QPC_READ IF寄存的QPC列表。EnumQEC(*QEC_IDs，*QEC_READ CLSID [])列舉在QCC和它們的QEC_READ IF里寄存的QEC列表。QuerySystemQuarantineState(*Quarantine_Enable，*Quarantine/Probation/Non-quarantine)查詢系統(tǒng)的隔離狀態(tài)。QueryQPCState(QPC_ID，*bind/unbind，*datetime，*SoH)查詢QPC_ID的質(zhì)量控制中心狀態(tài)。返回綁定/未綁定狀態(tài)。API返回上次更新SoH的時(shí)間/日期并且返回當(dāng)前SoH。QueryQECQuarantineState(QEC_ID，*bind/unbind，*ConnectionState IF [])查詢用于QEC_ID的QCC狀態(tài)。返回綁定/未綁定狀態(tài)。如果將清空、如果沒有綁定QEC ID，那么返回用于QEC的連接狀態(tài)IF的列表。QueryStatus(QPC_ID，LANGID，*State，*Percentage，*MessageID)供給QPC的當(dāng)前狀態(tài)和描述改正其SoH的進(jìn)程的信息。狀態(tài)是以下之一(1)隔離了但是更新失敗。用戶不得不從管理員或支持網(wǎng)點(diǎn)得到幫助；(2)隔離了并且更新進(jìn)行中；和(3)隔離了并且全部的更新成功。百分比是0到100％，返回-1意思是QPC不支持百分比。信息必須是可與QPC_READ IF使用的MessageID。信息也應(yīng)該是關(guān)于QPC是做什么的本地文本加上關(guān)于QPS_Result的文本。
IQuarCIientConfig將此接口ACL到本地系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不能遠(yuǎn)距離訪問。此接口沒有API。
隔離策略客戶管理IFIQuar Policy ClientInfo將此接口ACL到每個(gè)人并且不可遠(yuǎn)距離訪問。必須在這樣的情形下調(diào)用此包括QCC和QCC UI的任何密碼其中QPC無法假冒調(diào)用者。QueryFriendlyName(QPC_ID，*MessageID)此API為QPC的好聽的名字返回MessageID。QueryQPSResuIt(QPC_ID，QPS_Result，*MessageID)此API為QPS_RESULT返回MessageID。QueryMessage(QPC_ID，LANGID，MessageID，*Message)此API為MessageID和指定LANGID返回單一碼串。如果用于LANGID的串不存在，那么必須返回用于默認(rèn)系統(tǒng)LANGID的串。
IQuarPolicyClientConfig此接口沒有API。
隔離執(zhí)行客戶端管理IFIQuar Enforcement ClientInfo將此接口ACL到每個(gè)人并且不可遠(yuǎn)距離訪問。QueryFriendlyName(QEC_ID，*MessageID)此API返回用于QEC的好聽的名字的信息ID。QueryMessage(QEC_ID，LANGID，MessageID，*Message)此API返回用于信息ID和指定LANGID的單一碼串。如果用于LANGID的串不存在，那么必須返回用于默認(rèn)系統(tǒng)LANGID的串。
IQuarEnforcementClientConfig此接口沒有API。
在QEC初始化期間，當(dāng)QCC為它自己的QECQCC接口傳送其類GUID時(shí)，QEC調(diào)用QCCQEC->Bind。正在接收綁定調(diào)用的QCC創(chuàng)建并且查詢用于QEC的QECQCC接口。在QPC初始化期間，當(dāng)QCC為它自己的QPCQCC接口傳送其類GUID時(shí)，QPC調(diào)用QCCQPC->Bind。正在接收綁定調(diào)用的QCC創(chuàng)建并且查詢用于QPC的QPCQCC接口。另外，QCC使用QECQCC->NotifySoHChange通知QEC可能的SoH變化。
當(dāng)QPC改變它自己的SoH時(shí)，它通過調(diào)用QCCQPC接口上的NotifySoHChange來通知QCC。QCC調(diào)用與它一起寄存的每個(gè)QEC并且調(diào)用在每個(gè)QECQCC接口上的NotifySoHChange。每個(gè)QEC檢查其用于任何啟動(dòng)隔離的“接口”的隔離“接口”。對于這些接口中的每個(gè)，當(dāng)QCC為每個(gè)隔離“接口”傳送連接狀態(tài)IF時(shí)，QEC調(diào)用QuerySoH。QCC將為每個(gè)已經(jīng)調(diào)用與連接狀態(tài)IF綁定在一起作為參數(shù)的QPC調(diào)用QuerySoH。然后QCC將為存儲在QCC高速緩沖存儲器中的、正確的連接狀態(tài)IF添加任何SoH，并且返回SoH列表到QEC以便可以在連接狀態(tài)IF上使用。QCC必須在產(chǎn)生SoH列表之后、在從QuerySoH回來之前也調(diào)用QuerySoHHash以便核對SoH列表是否從上次未改變。如果QuerySoHHash返回S_OK即SoH列表是未改變的那么QuerySoH應(yīng)該返回S_FALSE。如果QuerySoHHash返回S_FALSE那么SoH列表是不同的。然后QCC必須調(diào)用SetSoHHash以便更新保留的散列到SoH的新列表。QCC也必須當(dāng)產(chǎn)生SoH列表時(shí)調(diào)用QueryMaxSize并且包含SoH列表的緩沖不可比最大大小更大。SoH列表應(yīng)該截?cái)嘀猎谧畲蟠笮》秶鷥?nèi)、完整的SoH的極限數(shù)。
然后QEC將SoH列表發(fā)送至QES對應(yīng)部分，QES對應(yīng)部分將他們發(fā)送到其QCS來處理。QCS將傳送SoHResponse列表至QES以便返回到QEC。正接收SoHResponse列表的QEC將調(diào)用在QCCQEC接口上的ProcessSoHResponses。QCC將分解SoHResponse列表并為每個(gè)已經(jīng)調(diào)用了綁定和SoHResponse列表里的SoHResponse的QPC調(diào)用ProcessSoHResponse。任何用于沒有調(diào)用綁的QPC的SoHResponse將被刪除。當(dāng)QCC處理ProcessSoHResponses函數(shù)時(shí)，它使用傳送到ProcessSoHResponses的ConnectionState IF上的許多API。由QEC創(chuàng)建和管理連接狀態(tài)IF，并且當(dāng)ProcessSoHResponses完成時(shí)，QCC和QPC都不允許使用連接狀態(tài)IF。QCC可以調(diào)用SetQName以在連接狀態(tài)IF上設(shè)置隔離名稱。QName是由QCS在QCS->QCC SoH中提供的。
現(xiàn)在描述QEC網(wǎng)絡(luò)請求API交互作用。當(dāng)QEC需要作出網(wǎng)絡(luò)請求時(shí)，它需要獲得SoH來發(fā)送。它調(diào)用在QCC上的QuerySoH來做這個(gè)工作。除交互作用由QEC引進(jìn)的，而非由QPC調(diào)用NotifySoHChange引進(jìn)的以外，接口與用與NotifySoHChange的相同。
Quarantine Policy server<-Quarantine Coordination Server(IQuarPolicyServerBinding)(隔離策略服務(wù)器<-隔離協(xié)作服務(wù)器(IQuarPolicyServerBinding))將這個(gè)APIACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。QPS提供接口以便由QCS使用。QCS調(diào)用CoCreatelnstance以獲得此接口Initialize(QPS_ID)；Uninitialize(QPS_ID)；ValidateSoH(QPS_ID，TransactionStateReadIF)由QCS調(diào)用此API以請求QPS驗(yàn)證它的SoH。QPS必須調(diào)用交易狀態(tài)讀取>查詢SoH以獲得它的SoH。如果SoH緩沖是空的則在交易狀態(tài)讀取->OnValidateSoHComplete中的SoHResponse緩沖一定是空的。當(dāng)完成驗(yàn)證時(shí)，QPS必須立即返回此調(diào)用并且調(diào)用交易狀態(tài)讀取->OnValidateSoHComplete。
Quarantine Coordination server<-Quarantine Enforcement Server(IQuarEnforcementServerBinding)(隔離策略服務(wù)器<-隔離執(zhí)行服務(wù)器(IQuarEnforcementServerBinding))將這個(gè)接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。由QES經(jīng)由全球的接口表格對其進(jìn)行訪問。ValidateSoH(QES_ID，TransactionState IF，ResponseTime)由QES調(diào)用此API以要求QCS驗(yàn)證SoH列表。QCS必須調(diào)用交易狀態(tài)讀取—>QuerySoH以獲得它的SoH。QES不會知道SoH緩沖格式并且必須透明地傳送到QCS。此調(diào)用必須立即返回并且QCS將隨隔離狀態(tài)結(jié)果一起調(diào)用交易狀態(tài)->OnValidateSoHComplete。響應(yīng)時(shí)間是QCS必須調(diào)用OnValidateSoHsComplete以便結(jié)果對QES有用的時(shí)間。
QCS/QES的交易狀態(tài)(IQuarServerTransaction)將這個(gè)接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。將此接口提供于QES和QCS。TransactionStateRead(See Section Error!Reference source not found.)接口提供于QCS、QES和QPS。QueryQCSStateRead(*QCSStateReadIF)此API返回接口至QCSStateRead。QuerySoHState此API允許QES和QCS查詢SoHtate接口。SetQESInterfaces(QEs_ID，QESTransactionStateIF，QES_READ IF)此API設(shè)置由此交易狀態(tài)情況使用的QES交易狀態(tài)和QES_READ接口。QES必須在使用之后正確地廢棄這些接口。SetQCSInterface(QCSTransactionStateIF)此API設(shè)置由此交易狀態(tài)實(shí)例使用的QCS交易狀態(tài)接口。QES必須在使用之后正確地廢棄這些接口。OnValidateSoHsComplete當(dāng)此接口完成處理ValidateSoH后，QCS將調(diào)用此接口。此函數(shù)調(diào)用QESTransactionState->OnValidateSoHsComplete。SetQuarantineConfig由QES使用此API以便指定將要用于此ValidateSoH的QCS配置。此API允許QES指定QCS，所述QCS客戶做出此請求已經(jīng)受隔離決定影響的連接性。QCS應(yīng)該將此信息增加至日志信息。MessageID是由于以下原因而免檢的ID，例如保留、范圍、域名匹配、BOOTP。當(dāng)記錄免檢時(shí)，記錄MessageID。SetMaxSize(MaxSize)由QES使用以便指定QCS返回的SoHResponse的最大尺寸。SetClientName(Clientmachine/domain name)由QCS使用以便設(shè)置來自被用來記錄的QCC SoH的客戶機(jī)器/域名。SetClientState(Quarantine/Probation/Non-quarantine)由QES或QCS使用以便設(shè)置來自QCC SoH的客戶隔離狀態(tài)。如果QES不能設(shè)置時(shí)只有QCS可以設(shè)置這個(gè)狀態(tài)。SetConnectionState(Up/Down)由QES使用以便設(shè)置當(dāng)前連接狀態(tài)。Clear如果再使用對象時(shí)，可用于重新設(shè)定其狀態(tài)。
QPS的交易狀態(tài)(IQuarPolicyServerTransactoin)將此接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。將此接口提供給QES、QCS和QPS。OnValidateSoHComplete(SoHResponse)當(dāng)此接口完成處理ValidateSoH時(shí)，QPS將調(diào)用此接口。此函數(shù)調(diào)用QCSTransactionState->OnValidateSoHsComplete。此函數(shù)調(diào)用TransactionState->SetSoHResponse以及在SoHResponse中傳送的。API在調(diào)用SetSoHResponse之前必須驗(yàn)證SoHResponse。QuerySoHStateRead(SoHStateRead)此API用于獲取SoHStateRead接口。QueryClientState(*Quarantine/Probation/Non-quarantine)可以由QPS使用以便得到客戶隔離狀態(tài)。QueryQES(*QES_ID，*QES_READCLSID)此API為SetQESInterfaces調(diào)用的QES返回QES_ID和QES_READ IF。QueryConnectionState(Up/Down)由QCS使用以便查詢當(dāng)前連接狀態(tài)。QueryQuarantineConfig由QCS 使用此API以便獲得將用于此連接狀態(tài)IF的質(zhì)量檢驗(yàn)標(biāo)準(zhǔn)配置。配置參數(shù)包括隔離狀態(tài)開/關(guān)/察看如果QPS告知客戶應(yīng)該被隔離并且沒有使用免檢，QCS應(yīng)該作出決定。試用期如果察看是客戶狀態(tài)選擇，那么使用試用期。Quarantine Logging enabled應(yīng)該記錄隔離決定但是用戶連接性不受影響。Connectivity Exempt Non_Quartine aware clients免檢不設(shè)置SoH的任何客戶。故障URL由于故障將返回到客戶的URL。正規(guī)表達(dá)式免檢用于機(jī)器/域名以外。免檢理由此交易將從QES被免檢的理由。QueryTransactionID(*ID)由QCS、QES和QPS使用此API。當(dāng)他們記錄時(shí)他們應(yīng)該將此ID增加到日志上。QueryMaxSize(*MaxSize)此API允許QCS獲得QES可以接受的、SoHResponses列表的極限大小。QueryClientName(*Client machine/domain name)可以由QPS使用以便得到客戶機(jī)器/域名，例如用于日志。。
Quarantine Coordination server<-TransactionState(IquarPolicyServerCallback)(隔離協(xié)作服務(wù)器<-交易狀態(tài)(IQuarPolicyServerCallback))QCS提供接口以便由交易狀態(tài)使用。將此接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)。通過QCS->SetQCSInterface API，它給出了交易狀態(tài)實(shí)例。OnValidateSoHCompIete(交易狀態(tài)IF，Q/NQ，QPS_Result)由在OnValidateSoHCompIete上的交易狀態(tài)調(diào)用此API。QPS_Result是描述QPS為什么返回Q/NQ結(jié)果的HRESULT。如果QPS返回INVALID_SOH的HRESULT，QCS應(yīng)該調(diào)用帶有INVALID_SOH的HRESULT的TransactionState->OnValidateSoHsComplete。
Quarantine Enforcement server<-TransactionState(IquarEnforcementServerCallback)(隔離執(zhí)行服務(wù)器<-交易狀態(tài)(IQuarEnforcementServerCallback))OnValidateSoHsComplete(Transaction IF，Q/NQ)QES不會知道SoHResponse緩沖格式并且必須透明地傳送至QEC。如果QPS使OnValidateSoHCompIete與HRESULT INVALID_SOH失敗了，或者QCS在SoH列表的驗(yàn)證中失敗，那么它應(yīng)該傳送INVALID_SOH的HRESULT。
隔離協(xié)作服務(wù)器管理IF(QCS)QCS提供兩個(gè)管理接口，一個(gè)用于讀取而且一個(gè)用于寫入。只有管理員能夠訪問寫入接口。讀取接口可以由所有用戶訪問。COM對象是單元素集合并且在Com全球的運(yùn)行表格中提供。它以這樣的方式在全球表格中提供它通向全部的WINSTA實(shí)例中的netshell.dll。所述接口是IQuarServerlnfo將此接口ACL到每個(gè)人。EnumQPS(*QPS_IDs，*QPS_READ CLSID[])列舉向QCS登記的QPS的列表。IQuarServerConfig將此接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不可遠(yuǎn)程地訪問。此接口沒有API。
隔離策略服務(wù)器管理IF(QPS)將此接口ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不可遠(yuǎn)程地訪問。IQuarPolicyServerInfoQueryFriendlyName(QPS_ID，*MessageID)此API返回用于QPS的好聽的名字的MessageID。QueryQPSResult(QPS_ID，QPS_Result，*MessageID)此API返回用于QPS_RESULT的系統(tǒng)ID。QueryMessage(QPS_ID，LANGID，MessageID，*Message)此API返回用于MessageID和指定LANGID的單一碼串。如果用于LANGID的串不存在，那么必須返回用于默認(rèn)系統(tǒng)LANGID的串。IQuarPoIicyServerConfig此接口沒有API。
隔離執(zhí)行服務(wù)器管理IF(QES)將此接口進(jìn)行ACL至局域系統(tǒng)和網(wǎng)絡(luò)服務(wù)，并且不可遠(yuǎn)程地訪問。IQuarEnforcementServerInfoQueryFriendlyName(QES_ID，*MessageID)此API返回用于QES的好聽的名字的MessageID。QueryMessage(QES_ID，LANGID，MessageID，*Message)此API返回用于MessageID和指定LANGID的單一碼串。如果用于LANGID的串不存在，那么必須返回用于默認(rèn)系統(tǒng)LANGID的串。QueryInfo(EnumType，QESInfo)EnumType包含來自QES關(guān)于客戶的信息。QESInfo取決于QES但是包含以下DHCP QES(ProposedClient IP address，Lease time，Client MACaddress)、PEAP QES(RADIUS Attributes)。IQuarEnforcementServerConfigSetInfo(EnumType，QESInfo)由QES使用此API以便設(shè)置QES信息。
現(xiàn)在將鑒于上述描述的API來更詳細(xì)地描述本發(fā)明的元件。
健康聲明是來自每個(gè)QPC的信息的集合。來自每個(gè)QPC的信息描述由每個(gè)客戶端核對的客戶端的狀態(tài)。將SoH傳送至QCS元件，所述QCS元件解析SoH而且傳送每個(gè)信息單元至正確的QPS以便驗(yàn)證。QCC負(fù)責(zé)高速緩存來自每個(gè)QPC的信息。每當(dāng)QPC的策略信息改變時(shí)，每個(gè)QPC公開其信息至QCC。QCC生產(chǎn)單個(gè)的、包含一或多個(gè)SoH(總有QCC SoH)的數(shù)據(jù)包。QCC將此單個(gè)數(shù)據(jù)包供給QEC。如果需要QEC/QES協(xié)議，QEC/QES負(fù)責(zé)破碎/碎片合并。QCS生產(chǎn)單個(gè)的、包含一或多個(gè)SoH響應(yīng)(總有QCS SoH Response)的數(shù)據(jù)包。QCS將此單個(gè)數(shù)據(jù)包供給QES。如果需要QES/QEC協(xié)議，QES/QEC負(fù)責(zé)破碎/碎片合并。QPC和QPS包括通過增加新的信息到SoH的最后，來控制在SoH中的版本。如果不可能改變SoH版本，那么QPC和QPS可以分配新的QPC_ID/QPS_ID但是綁定調(diào)用(隨后描述)必須使用一樣的Product GUID。
QPC做一組核對而且公開其SoH至QCC。SoH包含QPS可以使用以便檢查客戶端處于正確的狀態(tài)的信息。QPS可以返回SoH響應(yīng)緩沖至客戶端。此用于通知QPC如果發(fā)生故障該做什么，例如，輪詢服務(wù)器以便得到更新的檢查。它還可以用于提供信息至客戶端，諸如應(yīng)當(dāng)用于得到其信息來源的服務(wù)器的名字。QPC與運(yùn)行在局域系統(tǒng)或網(wǎng)絡(luò)服務(wù)范圍試運(yùn)轉(zhuǎn)的服務(wù)一致地運(yùn)行。提供給QCC、必須僅僅為本地計(jì)算機(jī)ACL的COM接口計(jì)算局域系統(tǒng)或網(wǎng)絡(luò)服務(wù)。為了啟動(dòng)QCC以將用戶界面(UI)顯示給展出關(guān)于為什么機(jī)器被隔離以及將機(jī)器解除隔離的進(jìn)程的信息的用戶，QPC供給狀況API(隨后描述)以便啟動(dòng)QCC來查詢每個(gè)QPC其狀態(tài)和在更新客戶端以便與其策略服務(wù)器相稱的QPC進(jìn)程。在聯(lián)網(wǎng)的安全模式中的機(jī)器不應(yīng)該使得QCC運(yùn)行。如果運(yùn)行繞過隔離調(diào)用那么QEC。如果運(yùn)行繞過隔離調(diào)用那么QPC。
QCC是用于客戶端的多路調(diào)制器/控制器。QCC集中來自每個(gè)QPC的SoH信息并且高速緩存SoH。當(dāng)QPC提供新的SoH時(shí)，更新高速緩存。當(dāng)QPC COM對象從機(jī)器上卸載時(shí)，刪除在高速緩存中的登錄。因?yàn)樵赒CCQPC->Bind調(diào)用(隨后描述)中傳送QPC COM GUID，因而被檢測到。當(dāng)隔離狀態(tài)改變時(shí)QCC提供通告機(jī)制，以及在QPS和QPC之間的通信信道給QPC。QCC保持系統(tǒng)隔離狀態(tài)并且收集來自每個(gè)QPC的狀態(tài)信息并且將兩者提供給QCC UI。QCC供給SoH列表至QEC，并且傳送SoH響應(yīng)至QPC。
QCC支持用于QPC的API以便將上述服務(wù)提供給QPC。將APIACL至僅用于本地計(jì)算機(jī)計(jì)算局域系統(tǒng)或網(wǎng)絡(luò)服務(wù)。QCC UI可以使用另一個(gè)API來查詢隔離狀況及其他狀態(tài)信息以便顯示給用戶。QCC UI在用戶范圍內(nèi)部運(yùn)行因此用于QCC UI的QCC API必須ACL至每個(gè)人。將QCC實(shí)現(xiàn)為服務(wù)；全部的QEC取決于此服務(wù)。QCC當(dāng)做網(wǎng)絡(luò)服務(wù)運(yùn)行。在初始化期間QPC企圖調(diào)用綁定，并且如果此調(diào)用因?yàn)镼CC沒有運(yùn)行而失敗，那么它們周期性地企圖調(diào)用綁定。每當(dāng)其SoH改變時(shí)，QPC就調(diào)用NotifySoHChange。QCC將調(diào)用在每個(gè)QEC上的NotifySoHChange。只要系統(tǒng)被隔離，QCC每過周期的間隔就調(diào)用在每個(gè)QEC上的NotifySoHChange。QCC和QCS使用SoH/SoHResponse格式以便交換它們自己的信息，例如，為QCS通知QCC它是否已經(jīng)隔離了。QCC將SoH裝入緩沖器以便傳送到QEC。QCC和QCS將總是首先將其自己的SoH放在緩沖器中。QCC和QCS將包括來自全部的QPC和QPS的SoH。如果QCC具有來自QCS的、請求QPS_ID的列表，那么它必須在插入QCC SoH之后將SoH以在QCS SoH中指定的順序插入SoH。
如果QEC最大大小太小，那么QCC應(yīng)該插入完整的SoH直到到達(dá)最大大小。QEC將盡可能多地傳送信息至QES/QCS/QPS。如果遺漏的SoH影響隔離策略，那么將隔離機(jī)器，但是QCS SoHResponse為QPS返回QPS_IDs列表，所述QPS運(yùn)行在QES/QCS/QPS服務(wù)器上因此QCC可以提供在重操作中最少的信息。如果QCS返回察看的隔離時(shí)間以及察看時(shí)間，那么QCC保留在連接狀態(tài)IF上的察看時(shí)間。然后QCC啟動(dòng)察看時(shí)間計(jì)時(shí)器。當(dāng)察看時(shí)間終止時(shí)，QCC觸發(fā)NotifySoHChange至全部的QEC。當(dāng)QEC調(diào)用QuerySoH時(shí)，QCC檢查連接狀態(tài)IF(ConnectionState IF)察看時(shí)間(Probation Time)，并且如果察看時(shí)間期滿那么返回SoH是否已經(jīng)改變的SoH列表。如果系統(tǒng)狀態(tài)是察看，那么察看時(shí)間是第一個(gè)連接狀態(tài)察看時(shí)間滿期之前的時(shí)間。如果QEC調(diào)用QCCQEC->NotifySoHChangeFailure，那么QCC必須運(yùn)行計(jì)時(shí)器并且當(dāng)計(jì)時(shí)器終止時(shí)調(diào)用QECQCC->NotifySoHChange。如果QPC調(diào)用QuerySystemQuarantineState，那么QCC一定已經(jīng)合并了獨(dú)立的連接狀態(tài)隔離狀態(tài)以便產(chǎn)生單個(gè)系統(tǒng)狀態(tài)。利用以下規(guī)則按以下順序合并獨(dú)立狀態(tài)在隔離狀態(tài)->系統(tǒng)狀態(tài)中的任何連接狀態(tài)是隔離；在隔離狀態(tài)中的未連接狀態(tài)和在察看狀態(tài)->系統(tǒng)狀態(tài)中的任何連接狀態(tài)是察看；在非隔離狀態(tài)->系統(tǒng)狀態(tài)中的全部的連接狀態(tài)是非隔離。由于QCC是服務(wù)，它將在svchost中運(yùn)行并且當(dāng)它停止時(shí)卸載全部的其dlls。QCC顯示器調(diào)用QEC，如果在短期(X毫秒)內(nèi)API不返回，那么QCC事件記錄此內(nèi)容并從QPC使用的列表中消除QPC并且忽視任何來自該QPC調(diào)用。QCC監(jiān)督程序調(diào)用QPC，如果在短期(X毫秒)內(nèi)API不返回，那么QCC事件記錄此內(nèi)容并從QEC使用的列表中消除QEC。服務(wù)可重新起動(dòng)。QEC和QPC將能由于QCC重新啟動(dòng)而恢復(fù)。
如果QCC或任何的QEC被破壞或崩潰，當(dāng)SoH無效時(shí)系統(tǒng)一定自動(dòng)地進(jìn)入隔離。配置QCCQPC和QCCQEC COM對象以便自動(dòng)啟動(dòng)QCC服務(wù)。配置QCC以便開始機(jī)器引導(dǎo)。QCC從QPC高速緩存SoH(它不高速緩存QCCSoH)。高速緩沖存儲器是在服務(wù)和系統(tǒng)再啟動(dòng)過程中是持久穩(wěn)固的。QCC具有登記參數(shù)，其配置是否啟動(dòng)隔離客戶端。當(dāng)設(shè)置登記參數(shù)時(shí)，QCC自動(dòng)地啟動(dòng)和禁止隔離。當(dāng)禁止隔離時(shí)，QuerySoH返回?zé)oSoH(包括無QCC SoH)。QCCQPC->NotifySoHChange無行為地返回。QCCQEC->ProcessSoHResponses處理QCS SoHResponse而不是其它的SoHResponses。QCC_READ->QueryQuarantineState返回在QCS SoHResponse中的隔離狀態(tài)。QCS發(fā)送信息至在QCS SoHResponse中的QCC。QCS高速緩存該信息。此信息的索引在QCS SoHResponse中的QCS GUID中。
用戶需要注意到，機(jī)器是否被隔離。以雙層顯示此信息系統(tǒng)范圍一機(jī)器是否處于隔離以及哪個(gè)QPC失?。缓兔恳粋€(gè)連接—對于DHCP、802.1X和VPN這是每一個(gè)連接，對于IPsec這是連接至對等機(jī)器的每一個(gè)連接。對于系統(tǒng)范圍的信息，當(dāng)系統(tǒng)在隔離中時(shí)，在系統(tǒng)托盤中顯示圖標(biāo)。顯示帶有信息文本的球狀提示并且用戶點(diǎn)擊該球狀提示以便得到狀況對話。隔離狀況對話調(diào)用帶有QCC_ID(0，0，311和0)的QPC_ID的QCC_READ->QueryStatus。QCC使用這個(gè)返回關(guān)于未曾調(diào)用綁定的QPC的狀態(tài)信息。特別地，如果系統(tǒng)被隔離而且SoH Response是提供給不能傳達(dá)QPC的QCC，用于QCC_ID的QCC_READ->QueryStatus注釋隔離客戶端丟失。狀態(tài)會話顯示每QPC的、顯示各個(gè)QPC的狀態(tài)的一些全部的正文和信息。也顯示顯示來自QCS SoH中的URL的網(wǎng)頁的按鈕，以及顯示網(wǎng)絡(luò)連接文件夾的按鈕。在限制性的IE瀏覽器中顯示網(wǎng)頁，僅僅允許基本的HTML并且不允許Active X、Java或者其它的腳本、不允許鏈接、不允許DHTML。隔離狀態(tài)信息的顯示(例如處于隔離的機(jī)器)發(fā)生在正在運(yùn)行探測器的全部的交互的窗口站上。這允許在所有正在運(yùn)行Fast User切換的用戶和所有記錄在終端服務(wù)器上的用戶上顯示隔離狀態(tài)信息。命令行使用netsh顯示系統(tǒng)范圍內(nèi)的隔離情報(bào)。還可以通過netsh允許和禁止隔離系統(tǒng)。QCC可以追蹤文件，啟用/禁止使用netsh的追蹤。無論隔離狀態(tài)什么時(shí)候變化，所述QCC記錄跟隨追蹤文件Quarantine/Probation/Non-Quarantion狀態(tài)，QPS_Bound，Transaction ID，QESGUID，QNAME GUID QECInformationNIC MAC地址，IP地址，不能從QPC得到診斷信息的QPC，不能得到處理的SoH Response QPS_ID，和SoH的內(nèi)容和SoH響應(yīng)。
QEC元件提供隔離執(zhí)行。存在許多可能的QECDHCP、VPN、PEAP和IPsec。QEC使用BoH或者SoH中的一個(gè)來證明客戶端的狀態(tài)。DHCP QEC將SoH傳達(dá)至DHCP服務(wù)器。IPsec QEC只使用BoHs。當(dāng)接口到達(dá)或者離開(go)時(shí)，例如PnP事件，QEC調(diào)用QCCQEC->NotifyInterfaceStateChange。如果接口產(chǎn)生Mediasense連接/斷開，那么QEC產(chǎn)生QCCQEC->NotifyInterfaceStateChange。如果在接口上的連通性變化例如IP地址、802.1X鍵、等等，那么QEC生成QCCQEC->NotifyInterfaceStateChange。QEC和QES不知道SoH列表和SoH Response緩沖列表的格式。當(dāng)QCC調(diào)用QECQCC->NotifySoHChange時(shí)，QEC立即返回調(diào)用。如果QEC發(fā)現(xiàn)由于任何原因它不能處理NotifySoHChange，那么它可以或者保留告示以隨后處理或者它可以調(diào)用QCCQEC->NotifySoHChangeFailure并且忽視NotifySoHChange。在這種情況下，QCC將開始計(jì)時(shí)器。當(dāng)那計(jì)時(shí)器期滿時(shí)，QCC將調(diào)用在全部的QEC上的QECQCC->NotifySoHChange。
DHCP QEC獲得包含來自QCC的SoH的列表的緩沖。如果需要的話DHCP客戶端將緩沖分段，并且將各個(gè)片斷放置到將在DHCP Discover、DHCP Request和DHCP Inform中發(fā)送的DHCP選項(xiàng)中。不將SoH增加到DHCP Decline和DHCP release。所使用的DHCP選項(xiàng)是MicrosoftVendor選項(xiàng)。DHCP QEC和QES不知道SoH列表的格式、單獨(dú)的SoH的格式，也不知道包含SoHResponse的緩沖。
PEAP QEC可以使用SoH或者BoH。如果使用SoHs/SoHResponses，那么在PEAP通道內(nèi)部必須交換它們以便提供服務(wù)器的認(rèn)證和SoH/SoHResponse交換的保護(hù)。當(dāng)PEAP QEC和VPN一起使用并且不將客戶端配置為使用策略服務(wù)器(例如WUS)時(shí)，那么QPS將中斷(fail)客戶端。如果QPC需要關(guān)于它的策略服務(wù)器的結(jié)構(gòu)信息，那么QPS將在它的SoHResponse中提供此信息至QPC，例如WUS QPS將把WUS服務(wù)器名放置在SoHResponse中。
IPsec QEC使用BoH。這意味著IPsec執(zhí)行隔離系統(tǒng)需要采用隔離器。隔離器驗(yàn)證SoH并且如果SoH是經(jīng)過驗(yàn)證的那么發(fā)出BoH。
在本發(fā)明一個(gè)實(shí)施例中，隔離器是DHCP服務(wù)器。DHCP服務(wù)器機(jī)器包含DHCP QES、所述QCS和所述QPS。DHCP QES處理隔離DHCP選項(xiàng)，收集SoH信息并且生成SoH的列表并且利用QCSQES->ValidateSoH將該列表傳遞至QCS。QCS將各個(gè)SoH拆分并且利用QPCQCS->ValidateSoH將各個(gè)SoH傳遞至正確的QPS。通過QPS調(diào)用QCSQPS->OnValidateSoHComplete，QCS收集來自各個(gè)QPS的結(jié)果，并且通過調(diào)用TransactionState->OnValidateSoHComplete來將結(jié)果通知給DHCP QES。DHCP QES獲得非隔離DHCP選項(xiàng)，如果客戶端將被置入隔離，那么它獲得隔離選項(xiàng)并且使用隔離選項(xiàng)代替相等的非隔離選項(xiàng)，刪除指定為不發(fā)送給隔離客戶端的任何選項(xiàng)。
QPS驗(yàn)證它們的SoH，必要時(shí)訪問它們的策略服務(wù)器。各個(gè)QPS返回隔離或者非隔離至QCS。QPS還可以返回一些QCS將發(fā)送給QCC的信息(SoHResponse)，所述QCC將其傳給QPC。QEC/QCC發(fā)送在DHCP Discover和DHCP Request中的SoH并且QCS/QES處理這些并且發(fā)送在DHCP Offer和DHCP Ack中的SoH Responses。這允許隔離為BOOTP和DHCP客戶端而工作。DHCP服務(wù)器發(fā)現(xiàn)范圍和隔離屬性并在調(diào)用ValidateSoH以前調(diào)用TransactionState->SetQuarantineConfig和TransactionState->SetConnectivityExempt，所以ConnectivityExempt標(biāo)志等等是已知的。DHCP服務(wù)器調(diào)用ValidateSoH以便以下進(jìn)入的DHCP分組DHCP Discover、DHCPRequest和DHCP Inform。這允許質(zhì)量控制標(biāo)準(zhǔn)超越(override)全部的DHCP隔離處理。該DHCP服務(wù)器不調(diào)用用于DHCP Decline和DHCP Release的ValidateSoH。除DHCP服務(wù)器具有用于客戶端的有效的IP地址之外，該DHCP服務(wù)器不調(diào)用用于DHCP Discover和DHCP請求的QCS。除客戶端具有有效的租借期限(lease)之外，它不為DHCP Inform調(diào)用QCS。這樣做以致QCS不處理或者為DHCP不能為其提供IP地址的客戶端高速緩沖信息。
如果DHCP服務(wù)器隔離和RQC/RQS隔離一起使用，那么應(yīng)當(dāng)申請用于DHCP服務(wù)器的以下結(jié)構(gòu)將如果VPN服務(wù)器正在利用DHCP服務(wù)器以便獲得用于VPN客戶端的IP地址。那么應(yīng)該使用分離的DHCP范圍并且該范圍將禁止DHCP隔離。如果VPN服務(wù)器沒有利用DHCP服務(wù)器來獲得用于VPN客戶端的IP地址，但是將DHCP范圍配置成為DHCP服務(wù)器以返回用于DHCP通知信息的DHCP選項(xiàng)，那么應(yīng)該使用分離的DHCP范圍并且該范圍將禁止DHCP隔離。如果需要的話DHCP將SoH Responses列表分段，并且將各個(gè)片斷放置到將在DHCP Offer和DHCPACK中發(fā)送的DHCP選項(xiàng)中。沒有將SoHResponses添加到DHCP NAK。DHCP服務(wù)器跟蹤以下數(shù)字當(dāng)做性能計(jì)數(shù)器并且還在DHCP MMC中顯示它們隔離里激活租借的數(shù)目；在非隔離里激活租借的數(shù)目；在察看里激活租借的數(shù)目；丟失隔離請求的數(shù)目。如果通過QCS的QCSQES->ValidateSoH失敗，那么如果隔離結(jié)構(gòu)被啟用或者察看，DHCP服務(wù)器將丟失該請求。如果發(fā)生這種情況，QES將每5分鐘生成事件記錄加上在最后地5分鐘里丟失請求數(shù)目。如果OnValidateSoHComplete帶有故障地完成了，那么DHCP服務(wù)器將隔離客戶端。由于QCS必須首先將QCSSoHResponses放置在SoHResponses列表中，因此這種情況將不會發(fā)生。定義QCS SoHResponse的極限大小小于用于SoHResponses列表的DHCP MaxSize。DHCP服務(wù)器具有注冊配置參數(shù)以便指定QCS用于各個(gè)ValidateSoH的斷開時(shí)間。響應(yīng)斷開時(shí)間(Response Timeout)QCS等待QPS從調(diào)用ValidateSoH的QCS調(diào)用OnValidateSoHComplete的毫秒數(shù)。在QCSQES->ValidateSoH中將此傳送到QCS。
QCS用于驗(yàn)證SoH列表。SoH列表從QES提供給QCS(包括隔離服務(wù)器QES)。QCS分解SoH列表并且傳送每個(gè)SoH至正確的QPS。如果QPS對SoH無效的，那么所述SoH被遺漏并忽視。QCS從每個(gè)QPS收集結(jié)果并且產(chǎn)生單個(gè)結(jié)果。這個(gè)結(jié)果用于決定是否隔離。QCS具有總體隔離/非隔離配置以便允許在不發(fā)生隔離的情況下配置和測試系統(tǒng)。通過布爾等式(QPS_ID1‖QPS_ID2)&&QPS_ID3，QCS將QPS結(jié)果合并到單個(gè)結(jié)果中。這意味著為了不隔離的結(jié)果，QPS_ID1或者QPS_ID2必須返回非隔離并且QPS_ID3必須返回非隔離?？梢詫CS配置為察看和察看周期而不是隔離。當(dāng)QPS結(jié)果是隔離時(shí)，可以將QCS配置為返回給隔離。在所有情況下，QCS應(yīng)該將結(jié)果記錄到審查記錄文件中。QCS還產(chǎn)生關(guān)于每個(gè)SoH驗(yàn)證請求和結(jié)果的日志信息并且將日志結(jié)果存儲到審查記錄文件里。網(wǎng)絡(luò)管理員修改此等式以啟動(dòng)或禁止檢查QPS是容易的。這允許管理員當(dāng)帶有特別的檢查的問題發(fā)生時(shí)容易地禁止檢查，例如如果AV策略服務(wù)器存在問題那么禁止AV QPS。
由DHCP QES和由隔離服務(wù)器QES使用QCS。即使當(dāng)QEC不提供SoH時(shí)，仍然由QES調(diào)用QCS。當(dāng)客戶端不支持隔離時(shí)將處理該情形。這允許QCS決定用于這些客戶端的策略。QCS可以選擇隔離或不隔離這些客戶端不支持隔離的客戶端。決定是否這樣做必須是由網(wǎng)絡(luò)管理員配置。QCS高速緩存來自QPS的結(jié)果。當(dāng)SoH列表與SoH Responses列表相同時(shí)，隔離/非隔離/察看用于一個(gè)短時(shí)期，默認(rèn)值是30秒?？梢岳玫怯涀兞扛淖兡J(rèn)時(shí)間。如果在SoH列表高速緩存上沒有發(fā)現(xiàn)匹配，那么調(diào)用QCSQPS->Bind全部QPS與他們的SoH一起被調(diào)用(或者如果沒有用于QPS-ID的SoH那么就沒有SoH)。然后QCS運(yùn)行計(jì)時(shí)器用于Response Timeout毫秒。如果所調(diào)用的任何QPS未曾調(diào)用OnValidateSoHComplete，那么QCS將調(diào)用OnValidateSoHComplete連同至此的結(jié)果和至此SoHResponses列表；否則當(dāng)上次期待的QPS調(diào)用QCSQPS->OnValidateSoHComplete時(shí)，QCS調(diào)用QESTransactionState->OnValidateSoHsComplete。QCS必須在任何其它處理之前驗(yàn)證SoH列表。如果驗(yàn)證失敗，那么QCS連同故障一起調(diào)用TransactionState->OnValidateSoHComplete。由于不同的客戶端可以具有取決于QPC的不同SoH，因此高速緩沖存儲器為相同的QPS存儲多個(gè)SoH。如果ValidateSoH請求沒有SoH列表，那么QCS發(fā)送SoHResponses的空表至客戶端。QCS將響應(yīng)信息裝入緩沖以便傳送到QES。為QCS配置隔離名，即GUID。在QCS SoH Response中將隔離名傳送到QCC。QCS在第一次執(zhí)行中還生成QCS名GUID并將其包括在每個(gè)QCS SoH Response中。QCC使用該GUID以便標(biāo)識不同的QCS并跟蹤諸如優(yōu)選每個(gè)QCS的QPS_ID列表之類的信息。
如果將客戶端連接到二個(gè)或更多具有不同隔離名稱的網(wǎng)絡(luò)上，那么在每個(gè)網(wǎng)絡(luò)上的QPS可以具有不同的檢查設(shè)置因此它們的QPC可以具有不同的SoH。將隔離名稱傳送至QPC并且如果QPC支持用于不同的策略服務(wù)器的多個(gè)SoH，所述QPC可以發(fā)行相對于具體的隔離名稱的SoH。如果QPC僅僅處理單個(gè)策略服務(wù)器，那么它發(fā)行沒有隔離名稱的SoH。QCS將調(diào)用在QPS上的ValidateSoH，所述QPS已經(jīng)調(diào)用綁定，但是如果在SoH列表中沒有SoH，那么至QPS的ValidateSoH調(diào)用包含空的SoH緩沖。這允許即使沒有安裝QPC也可以調(diào)用QPS，并且還支持QPS檢查客戶端而無需客戶端機(jī)軟件例如網(wǎng)絡(luò)IDS。在這種情況下，QPS不能供應(yīng)SoH Response并且依賴外部信息并且交易狀態(tài)IF信息來決定客戶端的隔離狀態(tài)。
QCS利用來自QCC SoH的機(jī)器名來查找在AD中的機(jī)器對象。如果機(jī)器對象存在隔離連接性免檢，那么在機(jī)器對象上檢查變量，并且如果機(jī)器是隔離連接性免檢，那么應(yīng)該由QCS返回非隔離。將隔離免檢變量提供在在ActiveDirectory中的計(jì)算機(jī)計(jì)算UI上。只有在全部的其它QCS處理之后QCS才處理免檢，這種QCS處理例如是調(diào)用QPSQCS->ValidateSoH和QCSQPS->OnValidateSoHComplete。然后QCS申請任何免檢。這意味著QPS可以為它們的QPC產(chǎn)生SoHResponses。在安裝時(shí)，QPS通過QCSQPS->Register向QCS登記。寄存器經(jīng)由登記參數(shù)。QCS創(chuàng)建QPS COM對象作為proc對象之外的對象。QCS監(jiān)控注冊表并且如果有增加的話創(chuàng)建新的COM對象，并且如果QPS是從注冊表上刪掉的，那么QCS停用QPS。
用于DHCP服務(wù)器的QES UI包含用于QCS的UI。通過SetQuarantineConfig設(shè)置的配置參數(shù)有隔離狀態(tài)開/關(guān)/察看、察看周期、隔離啟用日志、客戶端知道的免檢非隔離知道的、故障URL、和基于域名之外的正規(guī)表達(dá)式。隔離狀態(tài)開(Quarantine State On)啟動(dòng)QCS驗(yàn)證SoH。隔離狀態(tài)關(guān)(Quarantine State off)禁止QCS驗(yàn)證SoH。QCS將返回用于適應(yīng)的狀態(tài)的未知數(shù)(Unknow)和未受連接性狀態(tài)影響的連接性(Connectivity)。察看啟動(dòng)QCS以便驗(yàn)證SoH，并且返回正確的控訴狀態(tài)但是在客戶端變?yōu)榉强卦V時(shí)，將把連接性狀態(tài)設(shè)置為察看一段時(shí)間。察看周期是當(dāng)客戶端變成非適應(yīng)的時(shí)，非適應(yīng)的客戶端不受連接性影響的時(shí)間。
隔離策略客戶端和隔離策略服務(wù)器(連同策略服務(wù)器)負(fù)責(zé)實(shí)現(xiàn)一套關(guān)于客戶端的檢查。隔離策略服務(wù)器需要根據(jù)客戶端檢查的結(jié)果作出決定并且向隔離協(xié)作服務(wù)器匯報(bào)客戶端檢查是好的還是不好的。檢查執(zhí)行取決于隔離策略客戶端。本發(fā)明一個(gè)實(shí)施例中，嵌入在Windows內(nèi)部的唯一QPC將是WUS。WUS將僅僅檢查相對WUS服務(wù)器的補(bǔ)釘水平，所述WUS服務(wù)器僅僅配置MicrosoftOS補(bǔ)釘。如果QPS可以不必要求客戶端元件，例如網(wǎng)絡(luò)IDS，就檢查客戶端，那么系統(tǒng)有可能包括QPS而不必包括QPC。在這種情況下，QPS無需來自QPC的SoH，就可以連同隔離/非隔離來響應(yīng)QCS。當(dāng)使用這樣的QPS時(shí)，QCS調(diào)用QPS但是不提供SoH。QPS能因此決定客戶端機(jī)器是″不健康的″。
最好是，QPS在QPC應(yīng)該聯(lián)系的策略服務(wù)器的SoHResponse地址/名稱中返回至QPC。期望QPC處理其自己與其策略服務(wù)器的通信并且當(dāng)需要時(shí)重操作通信。最好是，在SoHResponse中QPS向QPC發(fā)送提示以便當(dāng)QPS中斷SoH時(shí)檢查其策略與其策略服務(wù)器。QPC負(fù)責(zé)保護(hù)它們使用的、以獲得策略配置信息的策略服務(wù)器的身份。QPC可以支持多個(gè)用于產(chǎn)生SoH信息的策略服務(wù)器。每一QName GUID應(yīng)該跟蹤不同的SoH信息。對家用機(jī)器來說，對其進(jìn)行配置以便從WindowsUpdate得到更新是正確的。當(dāng)ProcessSoHResponse被調(diào)用時(shí)，QPC將不會期望能夠與其策略服務(wù)器的連接。當(dāng)已經(jīng)調(diào)用ProcessSoHResponse時(shí)，可能還未配置IP地址。QPC應(yīng)該使用IP地址將此通告API。QPS將不會改變交易狀態(tài)中的任何信息，該交易狀態(tài)僅僅用于查詢。它將不會在此COM對象上增加任何參考計(jì)算。QPS應(yīng)該立即返回任何調(diào)用至ValidateSoH并且內(nèi)部地將這些請求排隊(duì)。如果QPS需要傳達(dá)至其策略服務(wù)器，那么它將不會將此通信與其它ValidateSoH請求串行化。如果QPS無法在ValidateSoH里排隊(duì)，那么它應(yīng)該立即中斷該調(diào)用，期望QPS能夠排隊(duì)并且并行地處理許多這些請求。應(yīng)該將QPS實(shí)現(xiàn)為多線程的設(shè)備。
在注冊其接口，等等時(shí)，QPC和QPS需要遵循用于COM安裝的正常規(guī)則。在安裝時(shí)，QPC和QPS不需要通知QCC或者QCS。當(dāng)在QCCQPC或者QCSQPS接口上的BindAPI被調(diào)用時(shí)，QCC和QCS將開始使用新的QPC或者QPS。QPS安裝必須按如下設(shè)置注冊和未注冊注冊表當(dāng)安裝和卸載QCS時(shí)，它需要QPS通過注冊表通知QCS。當(dāng)QCS開啟并且當(dāng)修改注冊表時(shí)，QCS使用CoCreateInstance來創(chuàng)建每個(gè)QPSQCS接口的proc實(shí)例的外觀。Register(QPS_ID，Product GUID，QPSQCS CLSID，QPS_READ CLSID)該API實(shí)現(xiàn)為注冊表。當(dāng)安裝QPS時(shí)，QPS必須更新此注冊表。Unregister(QPS_ID)將此API實(shí)現(xiàn)為注冊表。在卸載QPC或者QPS時(shí)，應(yīng)將刪除在該系統(tǒng)上全部的碎屑，包括在該登記處全部的COM登記信息以及所有文件。
WUS客戶端從WUS服務(wù)器獲得該客戶端應(yīng)該已經(jīng)安裝的補(bǔ)釘列表。WUS客戶端檢查是否安裝了所述補(bǔ)釘，并且如果沒有，那么從WUS服務(wù)器或者從Windowsupdate.com下載所述補(bǔ)釘并且安裝所述補(bǔ)釘。WUS使用與機(jī)器記錄相關(guān)的、簽名的cookie來識別客戶端，所述機(jī)器記錄依次包含上次同步時(shí)間的信息。WUS在機(jī)器記錄中保持該IP地址但是不用此進(jìn)行查找。QCS和QCC給QPC和QPS通信信道，QPC可以發(fā)送信息至QPS以識別該客戶端并且供給狀態(tài)信息至QPS。如果需要的話，QPS可以提供情報(bào)至QPC。對于WUS，如果客戶端中斷QPS檢查，那么QPS提供WUS客戶端需要使用的WUS服務(wù)器名。這允許為WUS客戶端提供WUS服務(wù)器。
現(xiàn)在參考圖7描述詳細(xì)部件的交互作用?？傮w交互作用如下工作每當(dāng)SoH改變時(shí)，QPC使用QCCQPC->NotifySoHChange來通知QCC。當(dāng)SoH列表改變時(shí)，QCC使用QECQCC->NotifySoHChange通知全部的QEC。當(dāng)QEC需要SoH列表時(shí)，它使用QCCQEC->QuerySoH從QCC請求列表。QEC使用依賴于QEC/QES的機(jī)制發(fā)送SoH列表至QES，例如DHCP使用DHCP選項(xiàng)。對于任何已經(jīng)調(diào)用QCCQPC->Bind的QPC，QCC調(diào)用QPCQCC->QuerySoH，然后QCC從SoH高速緩沖存儲器中增加任何附加的SoH。然后QCC返回該列表至QEC。QES使用QCSQES->ValidateSoH將SoH列表傳送至QCS。QCS分解SoH列表并且使用QPSQCS->ValidateSoH來傳送每個(gè)SoH至正確的QPS。每個(gè)QPS驗(yàn)證客戶端的SoH并且SoH是否正確返回至QCS。QPS可以選擇性地請求QCS在SoHResponse緩沖中傳送一些信息至QPC。QCS從不同的QPS收集全部的結(jié)果并且產(chǎn)生單個(gè)隔離/非隔離結(jié)果和SoHResponse列表。QCS將其自己的SoHResponse增加到該列表中并將該結(jié)果和列表傳送至QES。QES檢查隔離/非隔離結(jié)果并且以強(qiáng)制指定的方式執(zhí)行隔離，例如DHCP不提供缺省網(wǎng)關(guān)。QES傳送SoHResponses列表至QEC。QEC使用QCCQEC->ProcessSoHResponses傳送信息客戶端列表至QCC。QCC分解SoHResponses列表并且使用QPCQCC->ProcessSoHResponse來傳送正確的SoHResponse至正確的QPC。QCC處理其自己的SoHResponse。QCC的SoHResponse包含關(guān)于服務(wù)器是否隔離該客戶端的信息。QCC使用隔離/察看/非隔離信息來向用戶顯示信息。在Maui，經(jīng)由QEC/QES的、在QCC和QCS之間的通信是無保護(hù)的。可以由QPC/QPS來保護(hù)QPC/QPS通信，但是這超過隔離平臺的范圍之外。
因?yàn)镈HCP客戶端從網(wǎng)絡(luò)服務(wù)器(DHCP服務(wù)器)請求網(wǎng)絡(luò)資源，因而DHCP服務(wù)器可以包括QPS。QPC和QPS/策略服務(wù)器，例如SMS或者WUS，將用于客戶端的策略從從服務(wù)器傳送到該客戶端。QPC將以管理上定義的間隔輪詢服務(wù)器看看是否存在過更新。每當(dāng)機(jī)器的SoH改變時(shí)，QPC將通知QCC。每當(dāng)SoH已經(jīng)改變時(shí)，QCC通知全部的QEC。當(dāng)QEC(DHCP客戶端)想要請求IP地址或者更新IP地址時(shí)，它從QPC和SoH高速緩沖存儲器獲得SoH并且使用一或多個(gè)DHCP選項(xiàng)將其傳給DHCP服務(wù)器。QES(DHCP服務(wù)器)將SoH列表供給QCS，所述QCS傳送每個(gè)SoH至正確的QPS。每個(gè)QPS可以聯(lián)絡(luò)其策略服務(wù)器以便驗(yàn)證，用于客戶端的SoH是用于該客戶端的正確的和當(dāng)前的，例如在該客戶端上沒有準(zhǔn)備安裝補(bǔ)釘。如果客戶端是當(dāng)前和正確的，QPS返回成功至QCS。如果全部的QPS都返回成功至QCS，那么QCS返回成功至DHCP服務(wù)器。然后該DHCP服務(wù)器返回正確的DHCP選項(xiàng)至DHCP客戶端。DHCP服務(wù)器在接收Discover、Request或者Inform信息而不管信息是否包含SoH DHCP選項(xiàng)時(shí)，將總是調(diào)用QCS。這允許QCS決定如何處理不支持隔離的客戶端。當(dāng)DHCP QEC與非隔離啟動(dòng)DHCP服務(wù)器通信時(shí)，它必須工作。這將允許客戶端在非隔離啟動(dòng)網(wǎng)絡(luò)上工作。
當(dāng)PEAP QEC不與RADIUS服務(wù)器啟動(dòng)的隔離通信時(shí)，它必須工作。這將允許客戶端在非隔離啟動(dòng)網(wǎng)絡(luò)上工作。當(dāng)PEAP QEC需要提供SoH至RADIUS QES時(shí)，它調(diào)用QuerySoH。當(dāng)這發(fā)生取決于PEAP在其上運(yùn)行的媒介VPN時(shí)，當(dāng)建立VPN信道時(shí)，調(diào)用PEAP。VPN不重新運(yùn)行PEAP。802.1X當(dāng)802.1X需要認(rèn)證或者再認(rèn)證至NAS時(shí)調(diào)用PEAP。在通信期間可以發(fā)生多次這種情況。因?yàn)镮Psec客戶端直接地從另一個(gè)客戶端請求網(wǎng)絡(luò)資源，所以對等IPsec客戶端無法直接地使用QPS。QCC必須使用隔離服務(wù)器以獲得BoH。BoH可以采取幾種形式用于與所請求的服務(wù)器建立IPSec SA的Kerberos證明(Ticket)；與根據(jù)組內(nèi)成員(稱作“清理組”)應(yīng)用于機(jī)器的組策略對象(GPO)有關(guān)、或者與現(xiàn)有非啟動(dòng)機(jī)器說明有關(guān)的Kerberos證明；用于建立IPSecSA的X.509或者XRML證書。管理SA的建立的IPSec策略與BoH是可探測的，并且如果其狀態(tài)改變諸如它不再與策略適應(yīng)，那么必須是客戶端不可探測的。
如果客戶端處于察看狀態(tài)，那么X.509或者XRML證書僅僅對于查看期有效。如果客戶端處于察看狀態(tài)，并且清理組用于管理kerberos證明的分配，那么必須支持兩個(gè)必要條件。Kerberos證明的有效期不能長于該試用期。如果當(dāng)察看期滿時(shí)客戶端沒有提供更新的SoH，那么QES必須采取適當(dāng)?shù)牟襟E以便將該客戶端從清理組中刪除。QPC和QPS/策略服務(wù)器，例如SMS或者WUS，將用于客戶端的策略從服務(wù)器傳達(dá)該客戶端。QPC將不時(shí)輪詢服務(wù)器看看是否存在過更新。每當(dāng)機(jī)器的“健康狀態(tài)”改變時(shí)，QPC將向QCC公開SoH。QCC將從每個(gè)QPC收集SoH到SoH列表中。每當(dāng)SoH已經(jīng)改變時(shí)，QCC通知全部的QEC。接收該通告時(shí)QS客戶端QEC獲得SoH列表并且將其發(fā)送至隔離器QES。隔離器QES將SoH列表提供給QCS，所述QCS傳送每個(gè)SoH至正確的QPS。每個(gè)QPS可以聯(lián)絡(luò)其策略服務(wù)器以便驗(yàn)證，用于客戶端的SoH是用于該客戶端的正確的和當(dāng)前的，例如在該客戶端上沒有準(zhǔn)備安裝補(bǔ)釘。如果客戶端是當(dāng)前和正確的，QPS返回成功至QCS。如果全部的QPS都返回成功至QCS，那么QCS返回成功至隔離器QES。如果證書用于建立IPsec SAs，那么如果QCS返回成功至隔離器QES，那么隔離器QES就返回BoH至QS QEC。然后QS QEC返回BoH至將其高速緩存的QCC。如果使用了清理組，QES將增加該客戶端至清理組，并且返回QUAR_SUCCESS至該客戶端。
如果這是該特定客戶端的第一次驗(yàn)證，該客戶端現(xiàn)在可以繼續(xù)并從TGS請求TGT。如果該客戶端已經(jīng)具有TGT并且該客戶端中斷策略檢查，那么QES必須從清理組中消除該客戶端并且通知TGS此客戶端不再與策略適應(yīng)。特別推薦的是，在策略適應(yīng)的正確性以外，TGT無效，由此除那周期以外沒有從TGT發(fā)出SGT是有效的。然后QCC向全部的QEC發(fā)送通知，BoH已經(jīng)改變。當(dāng)請求IPsec將IKE SA設(shè)置為對等時(shí)，它從BoH高速緩沖存儲器獲得BoH并且如果證書用于表現(xiàn)BoH，那么將其傳給對等IPsec。如果使用清理組，那么客戶端將使用TGT以便按慣例地請求SGT于是使用證明建立SA。對等IPsec傳送BoH/證明至QCS，所述QCS驗(yàn)證它并且返回成功至對等IPsec，然后所述對等IPsec接受遠(yuǎn)程IKE通信。
為了舉例說明和描述起見，已經(jīng)介紹了本發(fā)明各實(shí)施例的上述描述。以上描述既不是詳盡的，更不是要將本發(fā)明限制到所公開的確切的實(shí)施例。按照上述教導(dǎo)，可能作出許多修改或者變化。在此選擇并且描述的論述的實(shí)施例是為了提供本發(fā)明原理及其實(shí)際應(yīng)用的最佳例證，從而使一個(gè)本領(lǐng)域普通技術(shù)人員能夠在各實(shí)施例中利用本發(fā)明以及作為適于特殊的使用進(jìn)行各種修改。當(dāng)按照所賦予的清楚、合法、和公正的范圍來解釋所附權(quán)利要求時(shí)，全部的上述的修改和變化是在由所附權(quán)利要求決定的本發(fā)明范圍之內(nèi)的。
權(quán)利要求
1.一種網(wǎng)絡(luò)隔離客戶端，用于與執(zhí)行隔離策略的服務(wù)器進(jìn)行交互，包括至少一個(gè)通過網(wǎng)絡(luò)協(xié)議與服務(wù)器通信的執(zhí)行客戶端；以及從至少一個(gè)策略客戶端獲得至少一個(gè)健康聲明的協(xié)作客戶端，其中協(xié)作客戶端提供一個(gè)接口，通過所述接口所述至少一個(gè)策略客戶端與協(xié)作客戶端進(jìn)行通信，并且所述協(xié)作客戶端將所述至少一個(gè)健康聲明匯編成健康聲明列表，并向所述至少一個(gè)執(zhí)行客戶端提供所述健康聲明列表。
2.如權(quán)利要求1所述的網(wǎng)絡(luò)隔離客戶端，其特征在于，所述至少一個(gè)執(zhí)行客戶端使用健康聲明列表以獲得從服務(wù)器訪問網(wǎng)絡(luò)資源的權(quán)利。
3.如權(quán)利要求1所述的網(wǎng)絡(luò)隔離客戶端，其特征在于，所述至少一個(gè)執(zhí)行客戶端是動(dòng)態(tài)主機(jī)配置協(xié)議客戶端、虛擬個(gè)人網(wǎng)絡(luò)客戶端和IPsec客戶端中的一個(gè)。
4.如權(quán)利要求1所述的網(wǎng)絡(luò)隔離客戶端，其特征在于，所述協(xié)作客戶端通過由所述至少一個(gè)策略客戶端提供的接口與所述至少一個(gè)策略客戶端進(jìn)行通信。
5.如權(quán)利要求1所述的網(wǎng)絡(luò)隔離客戶端，其特征在于，所述協(xié)作客戶端和執(zhí)行客戶端都包括在計(jì)算機(jī)的操作系統(tǒng)中。
6.如權(quán)利要求1所述的網(wǎng)絡(luò)隔離客戶端，其特征在于，所述至少一個(gè)策略客戶端從至少一個(gè)策略服務(wù)器獲得網(wǎng)絡(luò)策略，并產(chǎn)生表示主機(jī)是遵守網(wǎng)絡(luò)策略的的健康聲明。
7.一種計(jì)算機(jī)可讀介質(zhì)，包括用于執(zhí)行權(quán)利要求1的方法的計(jì)算機(jī)可讀指令。
8.一種客戶端遵守網(wǎng)絡(luò)隔離策略的方法，包括從一個(gè)或多個(gè)策略服務(wù)器獲取策略；執(zhí)行系統(tǒng)診斷以確定客戶端是否遵守所獲取的策略；如果客戶端未能遵守所獲取的策略，則糾正客戶端的安全狀態(tài)；產(chǎn)生健康聲明列表，每個(gè)健康聲明表示客戶端是遵從相應(yīng)的策略的；以及將健康聲明列表傳送到隔離服務(wù)器以用于確認(rèn)。
9.如權(quán)利要求8所述的方法，其特征在于，糾正客戶端的安全狀態(tài)包括從修補(bǔ)服務(wù)器下載軟件補(bǔ)丁。
10.如權(quán)利要求8所述的方法，其特征在于，每個(gè)健康聲明是由策略客戶端生成的，用來確定客戶端是否遵守規(guī)定的策略。
11.如權(quán)利要求8所述的方法，其特征在于，進(jìn)一步包括如果健康聲明列表被確認(rèn)，則從隔離服務(wù)器接收健康清單，其中所述健康清單向隔離服務(wù)器和網(wǎng)絡(luò)上的其它計(jì)算機(jī)表示客戶端遵守網(wǎng)絡(luò)的安全策略。
12.如權(quán)利要求8所述的方法，其特征在于，所述健康聲明列表由協(xié)議執(zhí)行客戶端傳送到隔離服務(wù)器，其中協(xié)議執(zhí)行客戶端所執(zhí)行的協(xié)議是動(dòng)態(tài)主機(jī)配置協(xié)議、虛擬個(gè)人網(wǎng)絡(luò)協(xié)議、IPsec協(xié)議和IEEE 802.1X協(xié)議中的一種。
13.一種計(jì)算機(jī)可讀介質(zhì)，包括用于執(zhí)行權(quán)利要求8的方法的計(jì)算機(jī)可讀指令。
14.一種網(wǎng)絡(luò)隔離服務(wù)器，用于執(zhí)行網(wǎng)絡(luò)隔離策略，包括用于通過網(wǎng)絡(luò)協(xié)議與至少一個(gè)客戶端通信的至少一個(gè)執(zhí)行服務(wù)器；以及用于從執(zhí)行服務(wù)器接收包括至少一個(gè)健康聲明的健康聲明列表，并用于查詢至少一個(gè)策略服務(wù)器以驗(yàn)證所述至少一個(gè)健康聲明的協(xié)作服務(wù)器。
15.如權(quán)利要求14所述的網(wǎng)絡(luò)隔離服務(wù)器，其特征在于，如果每個(gè)健康聲明都被驗(yàn)證，那么協(xié)作服務(wù)器指示所述至少一個(gè)執(zhí)行服務(wù)器準(zhǔn)許所述至少一個(gè)客戶端訪問網(wǎng)絡(luò)資源。
16.如權(quán)利要求14所述的網(wǎng)絡(luò)隔離服務(wù)器，其特征在于，如果不是每個(gè)健康聲明都被確認(rèn)，那么協(xié)作服務(wù)器指示所述至少一個(gè)執(zhí)行服務(wù)器執(zhí)行從所述至少一個(gè)策略服務(wù)器獲得的隔離策略。
17.如權(quán)利要求14所述的網(wǎng)絡(luò)隔離服務(wù)器，其特征在于，協(xié)作服務(wù)器提供一個(gè)端口，通過這個(gè)端口所述至少一個(gè)策略服務(wù)器與協(xié)作服務(wù)器通信。
18.如權(quán)利要求14所述的網(wǎng)絡(luò)隔離服務(wù)器，其特征在于，協(xié)作服務(wù)器通過由所述至少一個(gè)策略服務(wù)器提供的接口與至少一個(gè)策略服務(wù)器通信。
19.一種用于網(wǎng)絡(luò)隔離管理的方法，包括從遠(yuǎn)程動(dòng)態(tài)主機(jī)控制協(xié)議(DHCP)服務(wù)器接收從請求網(wǎng)絡(luò)資源的客戶端獲得的健康清單，所述健康清單反映了客戶端的系統(tǒng)狀態(tài)；確認(rèn)所述健康清單；如果健康聲明有效，則指示DHCP服務(wù)器準(zhǔn)許該請求；如果健康聲明無效，那么指示DHCP服務(wù)器不準(zhǔn)許該請求并將客戶端隔離。
20.一種計(jì)算機(jī)可讀介質(zhì)，包括用于執(zhí)行權(quán)利要求19的方法的計(jì)算機(jī)可讀指令。
全文摘要
提供了一種系統(tǒng)和方法，用于保證具有無效或破壞狀態(tài)的機(jī)器被限制訪問網(wǎng)絡(luò)資源。位于客戶機(jī)器上的隔離協(xié)作客戶端(QCC)從多個(gè)隔離策略客戶端獲取健康聲明。QCC封裝所述聲明并將封裝提供給隔離執(zhí)行客戶端(QEC)。QEC向隔離執(zhí)行服務(wù)器(QES)發(fā)送封裝以及網(wǎng)絡(luò)訪問請求。QES將所述封裝傳遞給隔離協(xié)作服務(wù)器(QCS)，隔離協(xié)作服務(wù)器解開封裝并將各個(gè)健康聲明傳遞給相應(yīng)的隔離策略服務(wù)器(QPS)。QPS確認(rèn)健康聲明并通知QCS結(jié)果。如果客戶端提供了有效的健康聲明，則QES準(zhǔn)許客戶端訪問網(wǎng)絡(luò)。
文檔編號H04L12/24GK1761209SQ20051008963
公開日2006年4月19日 申請日期2005年4月27日 優(yōu)先權(quán)日2004年4月27日
發(fā)明者A·帕勒卡, C·C-H·喬伊, E·D·萊維斯, H·貝克, L·布拉迪克, N·C·吉德瓦尼, T·M·莫利, V·P·卡瑪斯 申請人:微軟公司