CN100417152C - 分布式网络验证及接入控制系统 - Google Patents

Abstract

用户利用硬布线或无线连接方式通过连接至一网络来取得对一专用网络的接入，随后启始以任何网站为目标的因特网接入请求。如果该用户并未被授权进行因特网接入的话，那么该用户被传送至第一预定网站，该网站把该用户指向一个可通过因特网接入的验证服务器。该验证服务器向该用户传送一个请求验证信息的HTTP表单网页。当该用户响应时，该专用网络中的一网络监视装置改变该表单网页以根据该网络的位置来包括用户的硬件地址和已编码ID。该验证服务器把该数据转送至一守门者服务器，其将验证该新用户并且跟据该网络的位置和该用户的硬件地址来传送一解锁消息以及另一已编码ID。

Description

分布式网络验证及接入控制系统

技术领域

本发明涉及一种计算机方法与系统，其用以在因特网的有线和无线进入点因特网进行用户验证与数据业务的接入控制。

背景技术

因特网的普遍化已使得大量的信息可以被任何使用因特网连接的人随手可得。因特网电子邮件已经成为一种基本的商务通信形式。目前，使用陆地线接入链路的因特网连接已成为主流，例如拨号调制解调器、数字用户线路与电缆调制解调器。

这些类型的连接虽然相当普遍，但对用户提供的移动性却相当有限，且将使对因特网连接进行共享变得相当困难。例如，许多图书馆在专用的计算机终端上提供因特网接入，且某些大学校园中的多栋建筑物提供了网络接入插座，以便让使用膝上型计算机的学生能方便地进行接入。这些方法均提供一种用以在除了自己本身的陆地线接入链路之外的位置接入因特网的方式，但均需要在公共提供的接入点上维持静止，而且提供该项网络连接的机构都需要对基础建设进行实质性投资。由于基本上并不可能使多位用户共享相同的网络接入插座或专用终端，相关机构必须对其想提供服务的主顾提供单独接入点。此外，这些提供对其网络的接入插座的机构，例如大学，在给予用户对其网络的接入权之前，将典型地需要用户能具备一个经注册的网络帐户，这将更进一步地限制该网络对大众的接入性。

相似地，当一供货商访问一顾客网站(在其计算机网络上没有供货商的帐户)时，该供货商将发现很难取得对该网络的接入权，并且因此很难进入因特网、电子邮件帐户与其它重要数据。如果该供货商能够幸运地取得对网络插座的接入权的话，该供货商将仍必需任由顾客网站的网络管理员的摆布。基于安全的理由，公司往往设定其计算机网络，以拒绝并未出现在其注册用户接入列表上的任何人的接入。

因此，因特网的移动接入将受到两种因素的限制。第一种因素是，用户为维持对位于稀疏分布的网络接入插座的线路连接的物理需要。第二种因素是，对并未具有已注册帐户的人来说，取得网络接入权是相当困难的。这些因素中的第一种因素已经能够通过无线数据网络的引进而克服，其并不需要用户维持对网络接入插座的接入线，且因此不需要用户维持静态。此外，因为网络连接是无线的，对多个用户来说，便相对容易地可利用相同接入点来进行连接和断开对网络的连接。

克服第二种因素的方法并不是直接的，且将在以下更详细地阐述。

目前广泛可得的无线数据网络的一个实例是低速个人通信服务(Personal Communication Service、PCS)网络。该种网络的主要接入装置是蜂窝式电话，其具有内建式无线应用协议(WAP)的特征。这些无线网络在授权频率中运作，且是集中式规划地，并由大型电信公司所构建。典型地，各个小区将具有约为2至10英里的较大半径，且以约19Kbps的低速操作。对任何给定地理区域来说，只有少量的电信公司可在该区域中进行服务，而各个网络是专有的且对竞争网络是封闭的。因此，某种程度来说，无法从一网络漫游至另一网络。此外，它的低速将使对因特网的完全接入变得不切实际，且该种网络装置将典型地受限为只能显示进行简单的文本显示。

一种新发展出来的新型无线数据网络将提供较高速度，约1至11Mbps。这些网络在未授权频带中操作，且将根据新发展出来的无线通信协议标准，例如IEEE 802.11、蓝牙(Bluetooth)和homeRF。该种网络的共同特征是具有约200英尺的小型小区半径。该小区为无线或红外线基站，其将作为对网络的接入点。多个该种接入点可互相邻近地分布，以扩展该种无线网络的整体范围。对该种网络的介绍揭露于美国专利5,771,462与5,539,824中。

可以利用该种无线网络装置来形成各种不同网络配置。图1将展示多个配备有无线网络无线装置的计算机11至17，其特征在于各自的天线19至25。当计算机11至17位于彼此邻近处时，它们在彼此之间可形成一种特别类型的网络。然而，并未位于该种特别类型网络中的是一个基站小区，其可把该特别类型网络连接至具有对因特网的陆地线接入权的一有线网络。因此，该种特别类型网络并不具有对因特网的接入权。

现在请参照图2，为了接入因特网，一个人需要取得对网络的接入权，该网络具有一路由器37，该路由器进而把该网络连接至因特网35。该种网络的特征典型地在于，一个用于控制对网络上各种不同服务的接入权的服务器31，这些服务包括因特网服务。工作站33利用各种不同种类的硬件布线媒体53连接至服务器31。该网络可提供无线接入点41和43，以分别地把计算机47与49耦合至由服务器31所控制的硬布线网络，该计算机47与49中配备有表示为天线的无线通信装置。接入点41与43通过各种不同通信系统，例如无线与红外线波，来建立与计算机47与49的无线连接，且沿着缆线53对服务器31具备一硬布线连接。接入点41与43的功能是要分别地中继服务器31与无线网络计算机47及49间的通信，但服务器31仍将控制应该提供给计算机47与49何种服务。因此，服务器31可拒绝提供因特网服务给计算机47与49。确实，如果计算机47与49并未具有已向服务器31注册的网络帐户的话，服务器31可拒绝计算机47与49进入网络。

如上所述，无线网络具有小范围，因此第二接入点45可作为较远无线网络计算机51与接入点43间的中继器。以上是利用多个基站接入点43与45来扩展无线网络范围的实例。

现在请参照图3，许多网络布局配置是已知的，且服务器53不需要位于路由器55与其它网络节点61至65之间。在图3的网络布局中，接入点67具有对路由器55的直接接入权，该路由器55仅而具有对因特网59的接入权，但这并不表示服务器53丧失了对该网络的控制权。不论该布局如何，服务器53仍可负责验证新用户和分配资源。再次地，接入点67被显示为无线接入点，因为它可方便地使多位用户61至65容易地接入该网络，但其它硬布线接入点连接同样是典型的。

尽管相当便利，该种无线网络在过去是被禁止的，因为其成本相对较高。直到近年来，虽然实现无线网络所必要的组件是昂贵的，但科技近年来的发展已经降低了实现无线网络所需要的小区基站与无线装置的费用。该种无线网络在业界中已越来越盛行，且本发明的申请人已可预测出将来许多小型企业可运作其自己自主的无线网络。该种自主无线网络的大小可为市区街区大小至小型建筑物大小，甚至为咖啡店大小。那么对移动性用户来说，便可通过配备有适当无线通信装置的移动计算装置来取得对无线网络的永远接入权。因此，该种无线网络将可克服限制上述对因特网的自由和移动接入权的第一种因素。

尽管如此，仍然必须面对上述的第二种因素，其限制了对因特网的移动接入权。由于大部分自主无线网络是独立的，移动用户将典型地未具备对目标网络的接入权，除非已经在目标网络上为移动用户事先设定了接入帐户。即便用户在多个无线网络上具有接入帐户，每当从一自主网络移动至另一自主网络时，该用户将必须停止其活动且重新在不同的无线网络进行验证。

在描述用于接入外部网络的方法以及用于实现多个网络转换的方法的领域中可以找到一些现有技术。例如，美国专利5,878,127已经展示了一种电话系统，其便利于从非网络位置或工作站对专用网络进行远程访问。该系统根据非网络工作站的呼叫者号码及/或由远程呼叫者所输入的验证码，准许对专用网络的远程访问。美国专利6,016,318说明了通过一种包括位置寄存器的″公共移动数据网络″(Public Mobile Data Network)来提供对专用LAN与因特网的接入的各种不同方法，而该寄存器作为用以储存移动数据终端的位置信息与用户信息的数据库。相似地，美国专利5,978,373展示一种方法，其使远程用户可以取得对专用WAN的安全接入。一中央验证办公室作为一代理主机，以授权远程用户且建立对该专用网络的安全连接。该中央办公室向远程用户传送一服务注册模板HTML文件以供远程用户填写。一旦远程用户已经被验证了，将与该专用网络建立连接。相似地，美国专利5,918,019展示了一种系统，其可使远程用户通过因特网来建立对专用网络的仿真直接拨号连接。

美国专利6,000,033展示了一种系统，其中用户在多个数据库中具有带不同口令的帐户。为了访问所有数据库，用户可登录至主口令数据库，该数据库将把适当口令提交至用户希望访问的任一数据库。美国专利5,872,915展示了一种方法，其允许通过因特网对在网络服务器上的软件进行安全访问。用户通过网络浏览器输入数据，数据被传送至网络服务器应用程序。该网络服务器应用程序随后将验证该网络浏览器，且传送适当输入数据至一应用网关，这些数据包括唯一地识别该网络浏览器的数据。该应用网关随后使用从浏览器接收的验证数据来确定是否该浏览器的用户被授权访问该软件应用程序。美国专利5,805,719说明了另一种验证用户的方法，其中该系统并不使用有利于授权交易的ID标记，通过把直接从一个未知用户个人采集的独特生物统计样本，例如指纹或声音录音，与预先获得和存储的相同类型的已验证生物统计样本进行相关比较来验证用户。

发明内容

上述用以验证用户并增加外部网络间通信的方法并未解决允许不具有对目标网络的注册帐户的移动用户进行网络接入的问题。相似地，他们也没有讨论实现该种系统所需要的基础建设。

本发明目的之一在于提供一种系统与方法，其允许移动用户通过外部数据网络来取得因特网接入权。

本发明另一目的在于提供一种系统，其不必使用中介专用网络，也能进行对因特网的无线接入。

上述的目的可以由一个用于在多个小半径数据网络上允许计算装置的分布式接入控制的方法来实现。然而，本发明并不限于小半径数据网络，且可以应用在传统硬布线、大半径网络中。想要取得专用网络接入的用户首先对目标网络建立物理连接。该物理连接可以经由一无线基站或可经由有线集线器、交换机或防火墙。一旦进行连接，潜在新用户可以尝试取得对目标网络的资源(例如因特网服务)的接入权。

典型地，专用网络可通过首先尝试验证新用户的身份和网络特权来响应于尝试取得网络接入的新用户。如果新用户并不在该专用网络的授权用户列表中的话，该专用网络将有权拒绝该新用户进入该网络，或使其在访客帐户的名义下以新用户的最小特权建立一临时会活。然而，如果给予了新用户一访客帐户，该专用网络将不会具有新用户身份的精确纪录。因此，大部分专用网络将选择拒绝任何未注册用户的进入。该种网络响应在一个构想的分布式网络中尤其存在问题，其中该分布式网络包含可响应于移动个人的多个小型专用网络。本发明将通过建立一种系统来寻求减缓该种困境，该系统可让使用该″访客″帐户的新用户被正确地识别。

该识别不仅对于维持网络上所有用户的准确纪录是有用的，而且对于计费也是有用的。例如，在含有多个小型专用网络的分布式网络中，可能希望按照专用网络上的接入时间来对″访客″用户计费。在本发明中，这是由一个集中式验证网络服务器来实现的，其中移动用户和目标专用网络都向该服务器预订。该移动用户产生用于该验证网络服务器的帐户，该帐户包括一识别手段，例如一口令。该专用网络接受来自验证网络服务器的验证结果，且为新用户产生适当限制的网络接入。

在运作中，客户装置(新用户)通过一接入控制装置物理地连接至该目标网络，并启动一因特网接入请求。如果该客户装置并未在目标网络的授权用户的列表中的话，该接入控制将通过因特网把客户装置重定向至验证网络服务器。该验证网络服务器向客户装置传送一HTML登录网页，客户装置通过该网页把适当验证信息提供给该系统。该验证装置对由客户装置传送给它的信息进行分析，并验证该客户装置。如果该客户装置被正确地识别的话，该验证网络服务器随后把一″解锁″消息发送至该接入控制装置，该消息专用于指定的客户装置。随后来自该客户装置的所有电信业务将流过接入控制装置，直到一接入期满事件发生为止，例如一定时器期满、一个显式的″禁止客户装置″消息，或一个客户装置断开消息。

因此很重要的是，验证网络服务器可以正确地识别客户装置与目标网络。由于在此业界中网络地址转换服务的普遍使用，无法确保从客户装置所接收到的IP地址信息是正确的，也不能完全依赖于网络浏览器所提供的识别信息，例如小应用程序(cookies)，来建立该客户装置的身份；否则，该系统将可能受到软件黑客的恶意使用。因此，本发明利用从客户装置的硬件主机地址和接入点的硬件主机地址产生的被嵌入一个HTML文件的保留串字段中的ID来建立用户的身份。

此外，由于本发明的主要目的在于提供给移动用户提供因特网接入，本发明提出使用增强式远程接入点，该接入点具有内建路由器能力，以直接地把潜在客户用户连接至该验证网络服务器与因特网，而不需要专用者的自主网络。该验证网络服务器可维持所使用的各个接入点的纪录，和客户用户的名字。因此，增强式接入点的所有者将仍可维持所有用户的正确纪录以进行计费。或者，可由验证网络服务器向客户用户直接地进行计费或收费，并把计费额的一部分传送至客户用户所使用的增强式接入点的所有者。

附图说明

本发明的上述及其它目的、特征与优点将通过以下参照附图说明的优选实施例来更好地理解，其中：

图1说明现有技术中利用无线通信的一特别网络；

图2为利用有线与无线网络连接的第一现有技术网络布置；

图3为利用有线与无线网络连接的第二现有技术网络布置；

图4说明现有技术中利用IP协议的网络通信；

图5为现有技术中使用网络地址转换的说明；

图6为根据本发明的第一网络布置；

图7为根据本发明的第二网络布置；以及

图8为一方框图，其显示第一网络布置中的消息流动。

具体实施方式

为了便于本发明的使用，目前优选例示实施例的最佳模式是以最小的调整来使用现有硬件和软件工具。如本领域所知，网络通信过程被分为多个标准化阶段或层，且各个层被分配进行网络通信所必要的特定工作。广泛使用的网络通信标准为开放系统互连(Open SystemInterconnection、OSI)标准，其由国际标准组织(ISO)所发展出来。该OSI通信模型把网络通信分成七个层。各个层均具有事先定义的标准化的机制，用于与其上层和其下层进行通信。以此方式，只要能使用相同标准化机制来与相邻层进行通信，任何层均可被调整或最佳化，而不需要调整任何其它层。

第一层为物理层，它描述用以传送和接收逻辑1和逻辑0的硬件媒体。第二层为数据链路层，它将消息转换为正确格式，使物理层能够传送，并转换物理层所接收的消息，以使上层能理解。基本上，数据链路层将消息格式化为封装该消息的数据帧，并增加定制化信息，包括CRC码、目的地址信息，以及源地址信息。第三层为网络层，且其主要功能是将数据从源网络引导至目的网络。该第三层有时称为网间层，因为其工作基本上是安排消息的路线并给上层提供一种标准网络接口。本发明位于此第三层中，进而可以用软件调整来实现而不需要任何额外硬件调整。由于大部分现有硬件，例如路由器和集线器，已具备可更新固件，本发明可以容易地并入目前网络。

各种不同种类的网络协议可以与OSI模型的第三层相关联，但本发明优选地利用因特网协议(IP)，其是网络所使用的用于与因特网进行通信的协议。因此，有利地是在进行更进一步讨论之前，能简短地说明与本发明优选实施例的最佳模式相关的IP地址协议的其它部分。

现在请参照图4，计算机71为第一网络72的一部分，其希望与为第二网络79一部分的计算机75进行通信。两个网络72与79通过路由器74进行耦合，而该路由器在网络72与79之间中继消息。网络中的每个节点具有一唯一硬件地址，包括与计算机71进行通信的路由器74的A侧，以及与计算机75进行通信的路由器74的B侧。当相同网络中的节点把彼此当成目标进行通信时，所传送消息包含有首部信息，该首部信息包括源节点的硬件和IP地址以及目的或目标节点的硬件和IP地址。相同网络中的所有节点可拾取消息，但如果目的硬件地址并不符合其本身的地址时，该消息将被忽略。假如硬件地址符合于一特定节点的话，那么该节点检查该消息的IP地址以验证它们的确为该消息的目标接收者。例如，假如计算机71希望传送一消息至路由器74，那么该消息首部将包括的源硬件地址为100，源IP地址为222.222.222.1，目的硬件地址为200，且目的IP地址为222.222.222.2。如果路由器74想要响应于该消息的话，那么其响应将包括相似首部，其中该源与目的地址将交换。

当消息必须通过多个网络以到达目的节点时，每当该消息穿过一路由器时该首部信息将改变。尽管如此，目的节点的IP地址将在网络上维持恒定。例如，假设计算机71希望传送消息至计算机75，该信息的首部必须通过路由器74来中继该消息。因此，离开计算机71的消息将包括源硬件地址100，和IP地址为222.222.222.1，以及计算机75的IP地址。然而，由于计算机75与计算机71并不位于相同网络中，该消息将包括路由器74的硬件地址200。该路由器74将拾取该消息，因为该消息具有其硬件地址，但在检查该目的IP地址之后，可识别出该消息的最终目的地为计算机75。因此，该路由器将以新首部转送该消息至计算机75。该新首部将通过维持其源IP地址222.222.222.1来把计算机71识别为该消息的始发者，但将通过列出该路由器74的B侧的源硬件地址300来把路由器74识别为该转送消息的发送者。由于路由器74的B侧将面对与计算机75相同的网络79，该转送消息将包括计算机75的正确目的硬件和IP地址。当进行响应时，尽管是从路由器74收到消息，计算机75将知道该消息的最初源为计算机71，因为其IP地址被保留。不论该消息在到达计算机75之前必须经过多少路由器，上述上述情况都是不变的。如此一来可以得知，消息首部中的源IP地址可以唯一地识别消息的始发者，而且每当该消息穿过一路由器时源硬件地址就改变，因此源硬件地址不是用以识别消息的始发者的可靠源。因此，如本发明所要求的，消息首部中的源IP地址似乎将是一个用以跨越多个网络识别一特定节点的首要候选。然而，如果消息越过一个利用网络地址转换(Network Address Translation、NAT)服务来管理其接入网络节点的网络的话，便不是这种情况。

为了使一个节点接入因特网，该节点必须具有唯一IP地址。然而，唯一IP地址的数量是限定的，且许多网络利用NAT服务以允许许多网络节点或网络计算机能利用相同的IP地址来接入因特网。

一种简单的网络地址转换的实例显示在图5中。在此，计算机72至76为网络的部分，其利用网络地址转换管理器78来共享单一有效IP地址，201.1.2.3。各个计算机72至76被给予任意IP地址，其在该网络中是唯一的，但未必是有效的因特网IP地址。当计算机72至76中之一想要接入因特网80时，它们必须首先经过利用正确IP地址84以及其自己的硬件地址104中继消息至因特网的NAT管理器78。此外，NAT 78把唯一接入端口号码分配给各个来自计算机72至76的输入消息，并维持一个把始发源计算机74至76的硬件和IP地址与所分配到的端口号码相关联的表。经分配的端口号码是包含在封装消息的首部中的识别数据的一部分，且因此将随着该消息传送至因特网80。当从因特网80接收消息时，已接收消息的首部信息将列出NAT 78的IP和硬件地址作为其目的数据，但将同时还具有NAT 78已经分配给原始中继消息的端口号码。NAT 78使用该端口号码来识别计算机72至76中哪一个始发了该消息，且因此把来自于因特网的响应中继给计算机72至76。

如此一来，因特网80中的目标网页将无法识别消息的始发者，因为在NAT 78背后，所有来自该网络的消息将具有相同源IP和硬件地址。因此，当试图识别始发了一个消息的网络节点时，本发明的优选实施例将选择不依赖于消息首部中的源IP地址。

本发明的主要目的在于能够唯一地识别移动用户，不论该用户连接何种网络来接入因特网。因此，当识别移动用户的源时，本发明的优选实施例与现有技术不同。

根据本发明网络系统的第一实施例展示在图6中。本发明可应用于一种网络中，其布置类似于图2或任何其它已知网络配置，但优选地，根据本发明，接入点123可设置于具有因特网接入的网络节点附近。在图6中，路由器127将源网络129与因特网131耦合。因此，接入点123显示在路由器127旁边。在此实例中，利用膝上型计算机121的移动用户利用无线接入点123连接至网络129。可以理解，移动用户还可以利用硬件接入插座连接至网络129。

在网络129中，服务器125优选地负责验证所有新用户和分配各种不同网络服务，包括因特网接入。在此实例中，移动用户利用膝上型计算机121和接入点123来接入网络129，但并未具有服务器125的网络帐户，且将因此典型地被拒绝网络接入。尽管如此，该移动用户通过任何一种网络浏览器(例如Microsoft Internet Explorer、Netscape Navigator)来启始因特网接入会话至希望目标网页133。该移动用户装置121因此将经过其域名解析过程以识别目标网页133的地址。网络129将允许所有DNS业务流至因特网，即使是来自未经授权的用户，且移动用户将因此接收到目标网页133的正确IP地址。

如本领域已知，由源主机把SYN分组(即同步化/起动分组)发送到目的主机然后等待同步化确认(SYN ACK)来起动一个TCP连接。然而，在此实例中如图8所示，当移动用户装置121在步骤1尝试着通过使用获得的目的IP地址把一TCP SYN分组发送至该目标网页133来打开一个到目标装置133的HTTP连接时，网络129拦截该分组并检查是否该移动用户装置121已被授权可取得对因特网的接入权。若是，那么该消息将因此被转送。如果该移动用户装置未被授权的话，那么该分组的路径被重新安排至一个预定的重定向网络服务器139。重定向网络服务器139在步骤2中通过传送″网站重定位″消息来进行响应，该消息将指示移动用户装置121到一个验证网络服务器137(此重定向能力对于用于编写网页的通用语言HTML来说是公知的)。该移动用户的网络浏览器在步骤3通过自动地重新传送该HTTP请求至验证网络服务器137，来响应该″网站重定位″消息。再次地，网络129拦截该TCP SYN分组，但在辨识出目标网站现在为验证网络服务器137之后，该分组将毫无变动地被转送。

因此，网络129并不禁止未经授权用户的因特网接入，它仅仅限制对有限数量的预定网站的接入。对事先授权网站(例如验证网络服务器137)的因特网接入请求将被允许接入因特网，但所有对未经授权网站的因特网请求被自动地重新路由至重定向服务器网站139。

步骤4中，验证网络服务器137向移动用户装置121提出一个HTTP表单网页，其要求移动用户的验证信息。该用户提供的验证信息可包括用户ID与口令，该用户通过其网络浏览器输入该ID与口令。在此处应该要注意的是，虽然移动用户ID已经由网络129提供了IP地址以便在网络内进行通信，从移动用户装置121传送至验证网络服务器137的因特网分组不能可靠地用于唯一地识别移动用户装置121，因为网络129将可能使用网络地址转换。为了克服此项限制，传送至移动用户装置121的HTTP表单网页包括跟随在由验证网络服务器137提供的唯一客户装置ID关键字EF1之后的嵌入式保留字段。该保留字段可位于发出数据分组中，其与该唯一客户装置ID关键字EF1距离预定字节数。或者，该保留字段可以紧跟在唯一客户装置ID关键字EF1之后。

在步骤5，当移动用户装置121转送其验证数据至验证网络服务器137时，网络129检测出一个消息分组正被传送至验证网络服务器137，且通过检查该消息分组以检测该嵌入式保留字段来进行响应。由于该消息直接地来自于移动客户装置121，其消息分组首部中的唯一硬件地址将仍为有效。网络129通过基于移动客户装置121的唯一硬件地址、目前会话信息、和网络129的地址信息产生新客户装置ID关键字EF2来进行响应。该地址信息将取决于本系统所实现的装置。在步骤6中，该新客户装置ID关键字被插入至嵌入式保留字段中，且该经调整的消息被转送至验证网络服务器137。

在从用户移动装置121收到HTTP表单网页后，验证网络服务器137将分析HTTP表单网页中的信息。优选地，利用后端CGI脚本(script)来分析该信息。在步骤7中，该验证网络服务器137把该用户提供的信息和来自嵌入式保留字段的新客户装置ID关键字转送到守门者服务器(gatekeeper)135。该守门者服务器可通过因特网接入，或可直接地连接至该验证网络服务器137。优选地，该信息将沿着一个安全链路，从验证网络服务器137传送至守门者服务器135。

应该要注意的是，服务器125、重定向网络服务器139、验证网络服务器137与守门者服务器135并不需要位于分离的机器上，且其中一个或多个可共存在同一机器上。再者，并不需要通常意义上的服务器，而可以是能够执行属性功能的网页、脚本、小程序或其它例程。此外，重定向网络服务器139的功能性不需要是分离的，可以集成在网络129中。

守门者服务器135处理已接收的验证数据信息，并检查是否该用户已注册。如果该移动客户具有合法帐户，那么守门者服务器135将解码对位于嵌入式保留字段中的新客户装置ID关键字解码，以确定该移动用户装置121的硬件地址。在步骤8中，守门者服务器135随后根据相同的客户装置ID关键字，把已加密″解锁″消息传送至网络129。如上所说明的，运行本系统的网络129内的控制装置把移动用户装置121的地址信息插入HTTP表单网页中，因此守门者135直接地把该″解锁″消息传送至该控制装置。优选地，利用新客户装置ID关键字来加密该“解锁”消息。或者，可产生第三客户装置ID关键字并在加密过程中使用。它可包括移动客户装置121的硬件地址，以及网络129的因特网协议地址。

网络129验证该已加密的″解锁″消息，随后更新其内部接入列表，以许可把因特网服务提供给移动客户装置121。随后所有从移动客户装置121到因特网的业务将由网络129毫无限制地转送，直到如以下将详细说明的情况出现为止：允许接入时间期满，接收一个显式的“禁止客户装置”消息，或者客户装置121与网络129断开。

在图6的说明中，本发明被说明为一种在网络129中运作的程序例程，但该程序例程的位置并未明确地陈述出来。本发明可以是在服务器125、路由器127或接入点123中运作的程序例程，或可被划分(parse)以在该三者中分散其例程。

因此，网络129上的所有移动用户被唯一地识别和验证。那么对网络129来说可以向移动用户收取其在网络129上的接入时间所产生的费用。或者，由于移动用户被守门者服务器135所验证，有利地是，由守门者服务器135或另外的专门服务器来纪录移动用户装置121通过该网络129接入因特网131的时间，并根据此来收费。在另一替代实施例中，移动用户已经事先对其网络接入的预定时间量进行了付款。当移动用户被允许接入专用网络(例如网络129)时，事先已付费的时间量被传送至网络129，且一旦时间已期满时，将切断移动用户123的连接。移动用户装置123尚未使用的剩余时间可转送至守门者服务器135或相应的专门服务器，且用户帐户中的剩余时间将因此而更新。

本发明的一项替代实施例显示在图7中。在图7中，与图6中相同的组件将编有相同的组件编号并且如上所述。在此替代实施例中，接入点105与111具有进行路由选择以连接至因特网131的能力。因此，接入点105或111均不需要单独的硬布线网络(例如图6中显示的网络129)来实现本发明。

为了进行展示，无线接入点105被显示为位于咖啡店中，且无线接入点111被显示为位于自动机械商店的等候室中。移动用户可通过无线接入点105和用以建立到网络的节点连接的任何已知装置(例如手持式计算装置101或膝上型计算机103)来接入因特网131。在本实例中，接入点105被显示为无线接入装置，但它也可提供到客户装置的硬布线连接。相似地，移动用户可通过无线接入点111使用膝上型计算机109来接入因特网131。在此实施例中，对守门者服务器135来说，优选地由装置101、103与109来维持因特网接入时间纪录，且随后把总结报告发送给无线接入点105和111的所有者。

已经根据本发明的优选实施例说明了本发明；然而，上述仅为例示，并不意图限制本发明的范围。实际上对于本领域技术人员来说，可以进行各种变型，并且这些变型都落入本发明的范围。

Claims (32)

1. 一种用以控制网络上的因特网接入的系统，该系统包括：

至少一个接入装置，其用以连接至该网络并用以始发多个发出数据分组，每个所述至少一个接入装置具有一唯一硬件地址；

一重定向服务器，其通过因特网接入；

一网络监视装置，其用以监视从该网络发送至因特网的发出数据分组并用以验证一发出数据分组的始发者接入装置是否已被授权进行因特网接入，而从已授权接入装置始发的所有发出数据分组被不受阻碍地转送至因特网，且从未经授权接入装置始发的所有发出数据分组被检查以确定其目标目的因特网网站，并且该监视装置用以检查一确定的目标目的因特网网站是否符合于一预定的验证服务器，且如果相符的话，把一对应的发出数据分组转送至该预定的验证服务器，且该网络监视装置通过忽略该确定的目标目的因特网网站并把该发出数据分组转送至该重定向服务器来响应不相符的情况；

由此，传送至因特网的所有发出数据分组都取得对因特网的接入，不论其各自的始发者接入装置是否被授权进行因特网接入。

2. 根据权利要求1所述的系统，其中响应于来自未授权始发者接入装置的一已接收数据分组，该重定向服务器向该未授权始发者接入装置传送一个指示它连接至该预定的验证服务器的消息。

3. 根据权利要求1所述的系统，其中响应于一未请求的已接收数据分组，该验证服务器向该未请求的已接收数据分组的一始发者接入装置传送一个请求验证信息的询问表单，而该询问表单包括一隐藏保留字段和第一识别关键字。

4. 根据权利要求3所述的系统，其中该隐藏保留字段无法由接收该询问表单的该始发者接入装置访问。

5. 根据权利要求3所述的系统，其中该第一识别关键字是基于来自该网络监视装置的地址信息的。

6. 根据权利要求3所述的系统，其中该网络监视装置在验证出该确定的目标目的因特网网站符合于该预定验证服务器之后并且在把该发出数据分组转送至该预定的验证服务器之前，进一步扫描该发出数据分组的内容以搜寻该第一识别关键字，并且在找到该第一识别关键字之后，根据该始发者接入装置的唯一硬件地址产生第二识别关键字，而该第二识别关键字被插入在该隐藏保留字段中。

7. 根据权利要求6所述的系统，其中该第二识别关键字是额外地基于目前通信会话信息的。

8. 根据权利要求6所述的系统，其中该第二识别关键字是额外地基于该网络监视装置的位置信息的。

9. 根据权利要求6所述的系统，其中该隐藏保留字段位于该发出数据分组内，其与该第一识别关键字相距预定数量的字节。

10. 根据权利要求6所述的系统，其中该隐藏保留字段在该发出数据分组中紧随在该第一识别关键字之后。

11. 根据权利要求3所述的系统，其中在通过因特网将该询问表单传送回该验证服务器之前，接收该询问表单的该始发者接入装置使用网络浏览软件以把该请求的验证信息提供到该询问表单中。

12. 根据权利要求1所述的系统，其中该验证服务器响应于具有隐藏保留字段的一请求数据分组，从该请求数据分组中抽取出该隐藏保留字段和验证信息的内容，而该抽取出的该隐藏保留字段和验证信息的内容被传送至一守门者服务器。

13. 根据权利要求12所述的系统，其中该守门者服务器通过因特网来接入。

14. 根据权利要求12所述的系统，其中该验证服务器使用CGI脚本来分析来自于该请求数据分组的抽取信息。

15. 根据权利要求12所述的系统，其中该守门者服务器把该验证信息与一预定数据库进行比较以确定是否该始发者接入装置已经注册，并通过把一解锁消息传送至该网络监视装置来响应于注册的该始发者接入装置的验证。

16. 根据权利要求15所述的系统，其中该解锁消息被利用一识别关键字来加密。

17. 根据权利要求15所述的系统，其中在验证出该始发者接入装置已注册之后，该守门者服务器对该隐藏保留字段的内容进行解码以确定该始发者接入装置的唯一硬件地址，并且以该硬件地址来标示该解锁消息。

18. 根据权利要求15所述的系统，其中该网络监视装置响应于该解锁消息的接收，更新一网络接入列表，以授权该始发者接入装置进行因特网接入。

19. 一种系统，其用以通过因特网在专用网络上远程地验证用户，该系统包括：

一网络接入装置，其用以允许该用户接入该专用网络，该接入装置具有一唯一硬件地址；

一验证服务器，其可通过因特网来接入；

一网络监视装置，其用以监视从该专用网络发送至因特网的所有发出消息的目的地址，并且用以扫描其目的地为该验证服务器的任何消息的内容，以在该消息中搜寻第一预定识别码，该网络监视装置响应该第一预定识别码的检测，确定始发该消息的该接入装置的硬件地址并且根据该硬件地址产生第二识别码，该网络监视装置在把该消息转送至该验证服务器之前，进一步在该消息中插入该第二识别码；

该验证服务器响应于来自该网络监视装置的转送消息的接收，从该第二识别码解码该硬件地址，以及根据该硬件地址产生一第三识别码，并将其连同一解锁消息一起传送至该网络监视装置。

20. 根据权利要求19所述的系统，其中该网络监视装置响应于该解锁消息，更新网络接入列表以授权网络接入装置的硬件地址与嵌入在该第三识别码中的地址相同的用户进行因特网接入。

21. 根据权利要求19所述的系统，其中该第二识别码是进一步基于该网络监视装置的因特网协议地址的。

22. 根据权利要求19所述的系统，其中该第三识别码是进一步基于该网络监视装置的因特网协议地址的。

23. 根据权利要求19所述的系统，其中该网络监视装置响应于目的地是该验证服务器、并且不包含该第一预定识别码的消息，在不改变该消息的情况下把该消息转送至该验证服务器。

24. 根据权利要求19所述的系统，其中该网络监视装置进一步用于验证一发出消息是否由一已授权用户始发，并且允许来自已授权用户的所有发出消息不受阻碍地接入因特网，检查来自未经授权用户的所有消息的目的地址以确定其目的地是否为该验证服务器，并且响应于除了该验证服务器以外的目的地址，忽视该目的地址并通过因特网把该消息转送至一预定重定向服务器；

由此，对因特网传送的所有发出消息被允许接入因特网，不论该消息是否始发于一未经授权用户。

25. 根据权利要求24所述的系统，其中该重定向服务器响应于来自未授权用户的一已接收消息，向该未授权用户的网络接入装置传送一个指示它连接至该验证服务器的消息。

26. 根据权利要求19所述的系统，其中该验证服务器响应于不包含该第二识别码的一已接收消息，根据该专用网络的位置信息产生该第一预定识别码，该验证服务器进一步对始发该消息的该网络接入装置传送一个向其相应用户请求验证信息的询问表单，该询问表单包括一隐藏保留字段和该第一预定识别码。

27. 根据权利要求26所述的系统，其中该隐藏保留字段无法由接收该询问表单的该用户访问。

28. 根据权利要求26所述的系统，其中该隐藏保留字段在该询问表单中跟随在该第一预定识别码之后。

29. 根据权利要求26所述的系统，其中该网络监视装置在由用户发送到该验证服务器的任何消息的该隐藏保留字段中插入该第二识别码。

30. 根据权利要求26所述的系统，进一步具有一守门者服务器，该验证服务器能够进一步识别从未经授权用户接收的填写的询问表单，且该验证服务器能够从该第二识别码中分析出该未经授权用户的验证信息以及该硬件地址；

该验证信息和硬件地址被中继至该守门者服务器以进行验证，该守门者服务器响应于未经授权用户的验证，产生该第三识别码并把该解锁消息传送至该网络监视装置。

31. 根据权利要求30所述的系统，其中该守门者服务器通过一安全链路从该验证服务器接入。

32. 根据权利要求30所述的系统，其中该验证服务器通过因特网接入该守门者服务器。

Images