CN101040496B - Vpn网关设备和主机系统 - Google Patents

Vpn网关设备和主机系统 Download PDF

Info

Publication number
CN101040496B
CN101040496B CN2005800345843A CN200580034584A CN101040496B CN 101040496 B CN101040496 B CN 101040496B CN 2005800345843 A CN2005800345843 A CN 2005800345843A CN 200580034584 A CN200580034584 A CN 200580034584A CN 101040496 B CN101040496 B CN 101040496B
Authority
CN
China
Prior art keywords
session
communication session
ssl
vpn
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2005800345843A
Other languages
English (en)
Other versions
CN101040496A (zh
Inventor
藤田范人
石川雄一
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of CN101040496A publication Critical patent/CN101040496A/zh
Application granted granted Critical
Publication of CN101040496B publication Critical patent/CN101040496B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Abstract

一种VPN网关(A11)，包括：WAN接口(A111)，用于经由在WAN侧上建立的IPsec隧道(B11-B14)，与客户端节点(C1、C2、D1、D2)交换分组；LAN接口(A112)，用于与同LAN侧连接的服务器节点(A131-A136)交换分组；会话中继单元(A114)，用于暂时终止客户端节点要针对服务器节点建立的第一通信会话，并建立用于将第一通信会话中继到服务器节点的第二通信会话；以及SSL处理器(A116)，用于使第二通信会话构成为SSL。这种设置可以将数据中心(A1)中的服务器动态地分配到VPN，仅允许经认证的服务器与VPN中的另一节点进行通信，并避免了服务器所执行的通信被窃听和篡改。

Description

VPN网关设备和主机系统
技术领域
本发明涉及一种VPN网关设备和主机系统，更具体地，涉及一种用于终止在WAN侧建立的VPN隧道的VPN网关设备和包括该VPN网关设备的主机系统。
背景技术
将诸如服务器和网络设备之类的资源提供给用户等的主机服务是由数据中心公司提供的服务之一。提供该主机服务的数据中心侧的系统被称为主机系统。
参考文献1(日本专利No.3491828)和参考文献2(日本专利公开No.2003-32275)描述了传统主机系统的示例。在这些参考文献中描述的主机系统中，VPN(虚拟专用网络)网关放置在数据中心(在参考文献1和2中，VPN网关也被称为VPN路由器)。该VPN网关建立到外部的如IPsec隧道或L2TP隧道的VPN隧道，并容纳VPN。VLAN逻辑地分离VPN网关的LAN(局域网)侧的部分，并且VPN网关使所容纳的VPN与VLAN相关联。通过动态地改变与安装在数据中心的服务器相连的VLAN的设置以及VPN网关中的VPN与WLAN的关联设置，可以动态地改变要分配给VPN的服务器的组合。
在该主机系统中，数据中心的服务器并不通过VPN隧道而直接容纳在VPN中，而是经由与VPN网关相连的VLAN，容纳在由VPN隧道形成的VPN中。利用该设置，仅通过改变数据中心服务器中的VLAN设置和开关以及VPN与WLAN的关联设置，可将服务器动态地分配给VPN，而不需要改变VPN隧道的设置。
发明内容
本发明要解决的问题
当服务器通过直接终止VPN隧道而容纳在VPN中时，通过使用VPN隧道认证机制，可以检测并避免误认为是服务器。然而，当如传统主机系统一样，VLAN存在于服务器和VPN隧道之间时，VPN隧道认证机制不能够用于服务器。因此，如果错误服务器可以与VLAN相连，则甚至是错误服务器也能够与同VLAN相关联的VPN中的节点进行通信。因此，传统的主机系统的问题在于，甚至是错误服务器也可容纳在VPN中。
此外，由于通过AES(高级加密标准)等对数据进行了加密，所以可避免在VPN隧道上通信的数据被窃听，并且由于使用SHA-1等而形成了数字签名，所以还可避免数据被篡改。然而，当如传统主机系统一样，VLAN存在于服务器和VPN隧道之间时，数据以没有任何加密或数字签名的明文形式在VLAN上通信，因此数据对窃听和篡改没有抵抗性。如上所述，传统主机系统的问题在于，在服务器所执行的通信中，会发生窃听和篡改。
本发明用于解决上述问题，并且本发明的目的是在服务器经过LAN与VPN相连的主机系统中，仅允许经认证的服务器与VPN中的另一节点进行通信。
本发明的另一目的是在服务器经过LAN与VPN相连的主机系统中，避免对服务器所执行的通信进行窃听和篡改。
解决问题的手段
为了实现上述目的，本发明的VPN网关设备的特征在于，所述VPN网关设备包括：WAN接口，用于经由在WAN侧建立的VPN隧道来与客户端节点交换分组；LAN接口，用于与同LAN侧相连的服务器节点交换分组；会话中继单元，用于暂时终止客户端节点要针对服务器节点建立的第一通信会话，并针对服务器节点建立用于中继第一通信会话的第二通信会话；以及SSL处理器，用于使会话中继单元所建立的第二通信会话构成为SSL。
此外，本发明的VPN网关设备的特征在于，所述VPN网关设备包括：WAN接口，用于经由在WAN侧建立的第一VPN隧道来与客户端节点交换分组；LAN接口，用于与同LAN侧相连的服务器节点来交换分组；以及分组中继单元，用于经由在LAN接口和服务器节点之间建立的第二VPN隧道，将从客户端节点寻址到服务器节点并由WAN接口接收的分组中继并传送到服务器节点。
本发明的效果
在本发明中，经由VPN网关设备的WAN侧上的VPN隧道而通信的会话以SSL的形式，在从VPN网关设备到LAN侧上的服务器节点之间的间隔中进行中继。
此外，在本发明中，经由VPN网关设备的WAN侧上的VPN隧道而通信的分组经由VPN隧道，在从VPN网关设备到LAN侧上的服务器节点之间的间隔中进行中继。
上述设置使得可以向VPN动态地分配数据中心中的服务器，避免了将错误服务器分配给VPN，仅允许经认证的服务器与VPN中的另一节点进行通信，并且避免了服务器所执行的通信被窃听和篡改。
附图说明
图1是示出了本发明第一实施例的设置的方框图；
图2是示出了图1所示的会话中继单元的主要部分的方框图；
图3是示出了本发明第一实施例的操作的流程图；
图4是示出了本发明第二实施例的设置的方框图；
图5是示出了图4所示的分组中继单元的主要部分的方框图；
图6是示出了本发明第二实施例的操作的流程图；以及
图7是示出了本发明第三实施例的设置的方框图。
具体实施方式
下面结合附图来详细解释本发明的实施例。
(第一实施例)
参考图1，本发明第一实施例包括数据中心1A、主干网B1、终端C1和D1、以及VPN点C2和D2。
安装在数据中心A1中的VPN网关A11经由IPsec隧道B11至B14，通过主干网B1与终端C1、VPN点C2、终端D1以及VPN点D2相连。在与VPN点C2和D2的连接中，分别安装在VPN点C2和D2中的VPN网关C21和D21终止IPsec隧道。主干网B1的示例是互联网和数据通信网，例如IP-VPN和广域以太网(注册商标)。尽管在将IPsec用于VPN隧道的情况下来解释本实施例，但是本发明同样适用于使用L2TP(第二层隧道协议)等的情况。
数据中心A1包括上述的VPN网关A11、VLAN A121至A123以及服务器A131至A136。在LAN侧，VPN网关A11提供三个VLAN，即VLAN A121至A123；服务器A131和A132与VLAN A121相连，服务器A133和A134与VLAN A122相连，服务器A135和A136与VLAN A123相连。服务器A131至A136是向VPN中的客户端提供诸如HTTP(超文本传输协议)和SIP(会话初始协议)之类的服务的信息处理器。
VPN网关A11包括WAN(广域网)接口(WAN I/F)A111、LAN接口(LAN I/F)A112、IPsec处理器(VPN处理器)A113、会话中继单元A114、会话中继表存储单元A115以及SSL处理器A116。
WAN接口A111是与主干网B1侧(WAN侧)交换分组的通信接口。
LAN接口A112是与数据中心A1中的节点(在本实施例中是服务器A131至A136)交换分组的通信接口。
IPsec处理器A113终止在主干网B1上建立的IPsec隧道B11至B14。IPsec隧道B11至B14与VPN相对应。在本实施例中，IPsec隧道B11和B12用在VPN-A中，而IPsec隧道B13和B14用在VPN-B中。IPsec处理器A113具有经由会话中继单元A114来与LAN侧进行通信的功能，并且还具有对要与WAN侧交换的分组进行加密和解密的功能。
在传输层，会话中继单元A114对VPN网关A11所发送和接收的分组进行中继。中继方法通过参照存储在会话中继表存储单元A115中的会话中继表来确定。例如，当从IP地址为10.1.0.1的终端C1接收到目的地为地址10.0.0.1的服务器A131的HTTP会话时，会话中继单元A114暂时终止与该会话相对应的TCP连接(第一通信会话)，并建立将连接中继到作为实际目的地的服务器A131的TCP连接(第二通信会话)。在这种情况下，执行透明中继，使得分别作为HTTP会话的源和目的地的终端C1和服务器A131并不关心TCP连接的中继。即，在对建立在终端C1和服务器A131之间的会话进行中继时，在终端C1
Figure 200580034584310000210003_0
VPN网关A11之间的间隔和VPN网关A11
Figure 200580034584310000210003_1
服务器A131之间的间隔中通信的分组的源和目的地IP地址保持相同。
会话中继单元A114还具有使要中继的TCP连接构成为在连接的LAN侧上的SSL(安全套接层)的功能。例如，当在终端C1和服务器A131之间建立HTTP会话时，在数据转换为HTTPS(SSL上的HTTP)的同时在VPN网关A11和服务器A131之间交换数据。由SSL处理器A116执行构成为SSL的过程。
存储在会话中继表存储单元A115中的会话中继表是登记了会话中继单元A114中的TCP连接中继方法的表。下表1示出了该表的一个示例。
[表1]
Figure G05834584320070412D000051
在表1所示的该会话中继表中，登记了两个VPN(即VPN-A和VPN-B)中的会话中继方法的条目。
经由VPN-A中的VPN网关A11的WAN侧的隧道B11和B12来执行通信，并经由VPN-B中的隧道B13和B14来执行通信。此外，在VPN网关A11的LAN侧，VLAN1和VLAN2对应于VPN-A，而且VLAN3对应于VPN-B。根据目的地IP地址来确定与每个会话相对应的VLAN。将具有目的地IP地址10.0.0/24和10.0.1/24的会话传送到VLAN1和VLAN2。将具有目的地地址192.168.0/24的会话传送到VLAN3。
对于VLAN1，允许中继与由“任意”表示的所有目的地端口号(目的地信息)相对应的会话；仅将目的地端口号(目的地信息)是80和5060的会话作为SSL会话进行中继，而直接中继与其它端口号相对应的会话。在SSL间隔中，仅允许连接其证书发出者的CN(通称)是“vpn-a的管理员”的服务器。
对于VLAN2，允许中继目的地端口为80和23的会话；以SSL的形式来中继目的地端口为80的会话；直接中继目的地端口为23的会话。在SSL间隔中，仅允许连接其证书发出者的CN(通称)是缺省路由验证组织(例如Verisign或Microsoft)的服务器。
对于VLAN3，允许中继与所有目的地端口号相对应的会话；仅以SSL的形式来中继目的地端口为80和5060的会话，而直接中继与其它端口号相对应的会话。在SSL间隔中，仅允许连接其证书发出者的CN(通称)是“vpn-b的管理员”的服务器。
SSL处理器A116具有在VPN网关A11的LAN侧上的间隔中使会话中继单元A114所中继的会话构成为SSL的功能。SSL处理器S116还具有检查与SSL会话相连的服务器是否是已授权服务器的功能。通过检查由SSL握手协议中的服务器所给出的服务器证书是否是由与在会话中继表中登记的CN相对应的发出者所发出的，来进行该检查。
下面参考图2来更详细地解释会话中继单元A114。如图2所示，会话中继单元A114具有确定单元A1141、认证单元A1142和会话处理器A1143。
确定单元A1141参照存储在会话中继表存储单元A115中的会话中继表，并根据会话的目的地端口号，确定是否允许对会话中继单元A114所接收的会话进行中继。如果允许中继该会话，则确定单元A1141参照会话中继表，并根据所关心的会话的目的地端口号，确定是否使用于中继所关心会话的会话构成为SSL。更具体地，确定单元A1141执行稍后将描述的图3的步骤S102至S104中的过程。
如果确定单元A1141确定使会话构成为SSL，则认证单元A1142执行与会话中继单元A114所接收的会话的目的地服务器的SSL握手，并根据从该SSL握手中的目的地服务器发送的服务器证书的发出者，来对目的地服务器进行认证。更具体地，认证单元A1142执行稍后将描述的图3的步骤S106和步骤S108中的过程。
如果确定单元A1141确定不允许中继该会话，则会话处理器A1143通过对会话执行TCP复位来断开该会话。如果确定单元A1141确定允许中继该会话，则会话处理器A1143建立用于中继所关心会话的会话。此外，如果确定单元A1141确定不构成为SSL，则会话处理器A1143不将用于中继所关心会话的会话构成为SSL；如果确定单元A1141确定构成为SSL，则会话处理器A1143使SSL处理器A116将用于中继所关心会话的会话构成为SSL。此外，如果目的地服务器的认证不成功，则会话处理器A1143通过对会话执行TCP复位，来断开所关心的会话和用于中继该会话的会话。更具体地，会话处理器A1143执行稍后将描述的图3的步骤S105、S107和S109中的过程。
下面参考图3来详细解释在本实施例中VPN网关A11在WAN侧和LAN侧之间中继会话的操作。
首先，VPN网关A11从WAN接口A111侧接收分组。将分组传送到IPsec处理器A113并解密，并将解密的分组传送到会话中继单元A114来读出源和目的地IP地址以及源和目的地端口号(图3的步骤S101)。
如果分组并不对应于当前在用的会话，则会话中继单元A114将分组识别为新的会话，并通过参照存储在会话中继表存储单元A115中的会话中继表，来确定处理该会话的方法(步骤S102)。更具体地，根据与分组相对应的VPN的ID、目的地IP地址和目的地端口号，会话中继单元A114确定要将会话传送到的VLAN的ID，并确定是否中继该会话。以VPN网关A11经由隧道B11从IP地址为10.1.0.1的终端C1接收到与发送到IP地址为10.0.0.1的服务器A131的HTTP消息(端口80)相对应的分组，并且将表1所示的会话中继表用作会话中继方法的情况为例来进行解释。
会话中继单元A114在会话中继表中参照与VPN-A有关的条目，作为与该分组相对应的VPN的ID，并根据该分组的目的地IP地址，确定传送目的地是VLAN1。此外，会话中继单元A114通过参照会话中继表，确认允许将会话中继到VLAN1的目的地端口号，并确定是否允许中继该会话(步骤S103)。对于HTTP消息，目的地端口号是80，包括在允许中继会话的目的地端口号80、5060和“任意”的范围内，所以会话中继单元A114确定允许中继该会话(如果是“任意”，则无条件地允许中继)。
如果会话中继单元A114在步骤S103中确定允许中继会话，则会话中继单元A114参照会话中继表，并确定是否通过使会话构成为SSL来中继会话(步骤S104)。对于HTTP消息，目的地端口号是80，包括在SSL中继的目的地端口中，因此会话中继单元A114确定以SSL的形式来中继该会话。
如果会话中继单元A114确定不允许中继该会话，则会话中继单元A114将复位与该会话相对应的TCP连接的分组发送到该会话的发送源(TCP复位)，从而断开该会话(步骤S105)。
如果会话中继单元A114在步骤S104中确定以SSL的形式来中继会话，则会话中继单元A114经由SSL处理器A116，执行与会话的目的地的SSL握手(步骤S106)。
如果会话中继单元A114在步骤S194中确定不以SSL的形式来中继会话，则会话中继单元A114并不使会话构成为SSL，而直接将该会话中继到目的地服务器(步骤S107)。在这种情况下，会话中继单元A114可通过暂时终止与会话相对应的TCP连接，来中继该会话，或者可通过直接建立端到端的TCP连接而不终止该连接，来简单地传送分组。
在步骤S106中执行的SSL握手中，通过服务器证书消息将服务器的证书发送到VPN网关A11。会话中继单元A114经由SSL处理器A116，接收从服务器发送的证书，将证书的发出者CN与在会话中继表中登记的条目相比较，并检查是否许可该证书，从而对服务器进行认证(步骤S108)。
如果会话中继单元A114在步骤S108中确定许可服务器证书，即服务器的认证是成功的，则会话中继单元A114通过使会话构成为LAN侧的SSL来中继会话(步骤S109)。在此之后，通过VPN网关A11的WAN侧上的IPsec隧道来加密数据，并通过LAN侧上的SSL来加密数据，以在该会话中执行通信。
如果会话中继单元A114在步骤S108中确定不许可服务器证书，即服务器的认证不成功，则会话中继单元A114向会话的发送源和服务器发送复位相应TCP连接的分组(TCP复位)，从而断开该会话(步骤S105)。即，会话中继单元A114断开终端C1要针对服务器建立的会话以及用于中继该会话的会话。
以上解释了用于在本实施例的VPN网关A11的WAN侧和LAN侧之间中继会话的操作。
通过假设容纳服务器A131至A136的数据中心A1存在于单点处，而解释了本实施例。然而，还可以甚至以分布式数据中心的形式来执行该实施例，其中，多个数据中心通过专用线路或广域以太网(注册商标)连接，以仿真地理上分散的服务器虚拟地安装在一个数据中心的系统。
下面解释本实施例的效果。
在本实施例中，以SSL形式在从VPN网关A11到LAN侧的服务器的间隔中中继会话，该会话经由建立以用于形成VPN网关A11的WAN侧的VPN的IPsec或L2TP的VPN隧道进行通信。由于SSL用在传统系统不能够通过VPN隧道执行认证和加密的间隔中，所以不可能误认为是服务器或窃听和篡改通信。这可以解决传统的问题，即避免误认为是服务器、以及服务器所执行的通信被窃听或篡改。
此外，本实施例并不强迫例如终端C1的任何客户端要关心在客户端和服务器之间建立的会话中的SSL的使用。即，由于客户端通过使用不是SSL的例如HTTP或SIP(会话初始协议)的普通协议来与服务器进行通信，所以可在并不特意使应用程序与SSL相对应的情况下执行应用程序。服务器侧必须支持SSL，以便在与客户端的会话中使用SSL。然而，由于服务器可使用通用SSL lapper，例如作为免费软件提供的stunnel(http：//stunnel.org)，所以即使在服务器上执行的应用程序并不直接支持SSL，服务器也可执行SSL通信。因此，可通过使用通用服务器和客户端来执行SSL通信。
(第二实施例)
下面参考附图来详细解释本发明的第二实施例。
参考图4，本发明第二实施例与本发明第一实施例的主要不同之处在于，使用具有在VPN网关A21和服务器A131之间建立IPsec隧道的功能的VPN网关A21来代替VPN网关A11。
数据中心A2包括VPN网关S21、LAN A22和服务器A131至A136。LAN A22容纳服务器A131至A136。
VPN网关A21包括WAN接口(WAN I/F)A211、LAN接口(LANI/F)A212、IPsec处理器(VPN处理器)A213、分组中继单元A214和分组中继表存储单元A215。
WAN接口A211和LAN接口A212具有与第一实施例的VPN网关A11的WAN接口A111和LAN接口A112相同的功能。
除了第一实施例的VPN网关A11的IPsec处理器A113的功能之外，IPsec处理器A213还具有通过使用IPsec来加密和解密经由LAN接口A212发送和接收的分组的功能。
图4示出了在VPN网关A21和服务器A132、A134、A136之间建立了IPsec隧道A221至A224的示例。IPsec隧道A222和A223是针对相同的服务器A134建立的，但是与不同的VPN相关联。当在这种情况下存在多个VPN时，针对相同的服务器来建立与这些VPN相关联的多个IPsec隧道，以便在多个VPN中容纳该服务器。
此外，这些IPsec隧道不需要处于实际建立了IPsec SA(安全联盟)的状态下；也可在检测到要使用这些IPsec隧道来发送和接收分组时建立IPsec隧道。在这种情况下，在WAN侧接收到分组时，IPsec处理器A213在LAN侧建立IPsec隧道。如果在预定时间内没有分组流动，则不建立SA。
分组中继单元A214具有在VPN网关A21的WAN侧上建立的IPsec隧道B11至B14与在LAN侧上建立的隧道A221至A224之间中继和传送分组的功能。分组中继单元A214通过参照存储在分组中继表存储单元A215中的分组中继表来确定中继/传送方法。
分组中继表是分组中继单元A214在确定分组中继期间的中继方法时参照的表。下表2示出了该表的一个示例。
[表2]
Figure G05834584320070412D000111
在表2所示的该分组中继表中，登记了两个VPN(即VPN-A和VPN-B)中的分组中继方法的条目。与VPN网关A21的WAN侧上的这些VPN相对应的隧道与表1所示的会话中继表中的相同。在VPN网关A21的LAN侧，IPsec隧道A221和A223与VPN-A相对应，而IPsec隧道A222和A224与VPN-B相对应。
在该表中，根据分组的目的地IP地址和目的地端口号来中继和传送从与WAN侧上的VPN-A相对应的IPsec隧道接收到的分组；如果目的地IP地址是10.0.0.2而且目的地端口号为80或5060，则将分组中继且传送到经由IP隧道A221连接的服务器(服务器A132)。如果目的地IP地址是10.0.1.2(目的地端口号可以具有任意数字(“任意”))，则将分组中继且传送到经由IPsec隧道A223连接的服务器(服务器A134)。仅允许每个IPsec隧道与其证书发出者的CN为“vpn-a的管理员”的服务器相连。尽管下面将解释根据证书来认证服务器的操作，也可使用预设口令(预共享的密钥)等来对服务器进行认证。
中继从与WAN侧上的VPN-B相对应的IPsec隧道接收到的分组的方法与中继从与VPN-A相对应的IPsec隧道接收到的分组的方法相同。
在本实施例中，服务器A134与两个VPN(即VPN-A和VPN-B)相对应。因此，服务器A134可通过选择性地使用与这两个VPN相对应的IPsec隧道，以作为从这两个VPN可用的服务器来提供服务。
下面参考图5来详细解释分组中继单元A214。如图5所示，分组中继单元A214具有确定单元A2141、认证单元A2142以及会话处理器A2143。
确定单元A2141参照存储在分组中继表存储单元A215中的分组中继表，并根据分组的目的地IP地址和目的地端口号(目的地信息)，确定是否允许中继由WAN接口A211所接收的分组。更具体地，确定单元A2141执行稍后将描述的图6的步骤S202和S203中的过程。
在用于在LAN侧建立IPsec的协议过程中，认证单元A2142根据从目的地服务器发送来的服务器证书的发出者，来对目的地服务器进行认证。更具体地，认证单元A2142执行稍后将描述的图6的步骤S207中的过程。
如果确定单元A2141确定不允许中继分组，并且目的地服务器的认证不成功，则会话处理器A2143丢弃WAN接口A211所接收的分组；在其它情况下，会话处理器A2143中继并传送该分组。更具体地，会话处理器S2143执行稍后将描述的图6的步骤S205和S208中的过程。
下面参考图6来详细解释在本实施例中VPN网关A21在WAN侧和LAN侧之间中继分组的操作。
首先，VPN网关A21从WAN接口A211侧接收分组。将该分组传送到IPsec处理器A213并解密，并将解密的分组传送到分组中继单元A214，以读出源和目的地IP地址以及源和目的地端口号(图6中的步骤S201)。
根据读出的源和目的地IP地址以及源和目的地端口号，分组中继单元A214通过参照存储在分组中继表存储单元A215中的分组中继表，来确定处理该分组的方法(步骤S202)。更具体地，根据与该分组相对应的VPN的ID、目的地IP地址和目的地端口号，分组中继单元A214确定分组要传送到的LAN侧上的IPsec隧道，并确定是否中继该分组。以VPN网关A21经由隧道B11从IP地址为10.1.0.1的终端C1接收到与发送到IP地址为10.0.0.2的服务器A132的SIP消息(端口5060)相对应的分组，并且将表2所示的分组中继表用作分组中继方法的情况为例来进行解释。
分组中继单元A214在分组中继表中参照与VPN-A有关的条目，VPN-A作为该分组相对应的VPN的ID，并根据该分组的目的地IP地址和目的地端口号，确定是否允许中继该分组(步骤S203)。对于SIP消息，目的地地址是10.0.0.2，目的地端口号是5060，所以分组中继单元A214确定允许中继该分组。
如果分组中继单元A214在步骤S203中确定允许中继并传送该分组，则分组中继单元A214确定是否已经建立了分组要传送到的LAN侧的IPsec隧道(步骤S204)。
如果在步骤S203中确定不允许分组的中继和传送，则VPN网关S12丢弃该分组(步骤205)。
如果在步骤S204中确定尚未建立分组要传送到的LAN侧IPsec隧道，则IPsec处理器A213执行IKE(因特网密钥交换)协商来建立到作为分组的传送目的地的服务器的IPsec隧道(步骤S206)。
在步骤S206中的IKE协商中，服务器和VPN网关A21互相认证；VPN网关A21将服务器所给出的证书发出者CN与在分组中继表中的登记条目相比较，并检查是否许可该证书(步骤S207)。
如果在步骤S207中确定许可由服务器给出的证书，则分组中继单元A214将分组中继并传送到在LAN侧上建立的IPsec隧道(步骤S208)。
如果在步骤S207中确定不许可由服务器给出的证书，则分组中继单元A214丢弃该分组(步骤S205)。
此外，如果在步骤S204中确定已经建立了分组要传送到的LAN侧IPsec隧道，则分组中继单元A214通过跳过步骤S206和S207中的过程，将分组中继并传送到IPsec(步骤S208)。
在此之后，通过使用VPN网关A21的WAN侧和LAN侧上的IPsec隧道，通过加密数据来执行该会话中的通信。
上面解释了在VPN网关A21的WAN侧和LAN侧之间中继分组的操作。
尽管在本实施例中使用IPsec隧道来在VPN网关A21和服务器A131至A136之间传送分组，但是还可以使用具有加密和认证机制的另一隧道协议，例如L2TP(与IPsec一起使用)或PPTP。
此外，如在第一实施例中所解释的，即使在数据中心A2不存在于单个基地而具有分布式数据中心的形式的情况下，也可以执行本实施例。
下面解释本实施例的效果。
在本实施例中，经由例如另一IPsec的用于在从VPN网关A21到LAN侧上的服务器的间隔中中继和传送分组的第二VPN隧道，对经由建立以形成VPN网关A21的WAN侧上的VPN的例如IPsec或L2TP的第一VPN隧道而通信的分组进行中继。由于VPN隧道同样用在LAN侧上，所以可以避免误认为是服务器和窃听或篡改通信。
(第三实施例)
本发明的VPN网关设备的功能实质可由硬件来实现，也可由计算机和程序来实现。下面参考图7来解释由计算机A31和程序A318来实现VPN网关设备的实施例。
计算机A31具有如下设置：总线A316使WAN接口A311、LAN接口A312、介质接口(介质I/F)A313、运算处理器A314和存储单元A315相互连接。程序A318记录在例如磁盘或半导体存储器的计算机可读记录介质A317中。当记录介质A317与介质接口A313相连时，程序A318存储在存储单元A315中。运算处理器A314读出存储在存储单元A315中的程序A318，并根据程序A318来操作，从而实现上述第一实施例中的WAN接口A111、LAN接口A112、IPsec处理器A113、会话中继单元A114、会话中继表存储单元A115和SSL处理器A116，以及上述第二实施例中的WAN接口A211、LAN接口A212、IPsec处理器A213、分组中继单元A214以及分组中继表存储单元A215。
尽管上面解释了本发明的实施例，但是本发明不局限于上述实施例，而可进行多种添加和改变。

Claims (5)

1.一种VPN网关设备，其特征在于，所述VPN网关设备包括：
WAN接口，用于经由在WAN侧建立的VPN隧道来与客户端节点交换分组；
LAN接口，用于与同LAN侧相连的服务器节点交换分组；
会话中继单元，暂时终止从所述客户端节点要针对所述服务器节点建立的第一通信会话，并针对所述服务器节点建立用于中继所述第一通信会话的第二通信会话；以及
SSL处理器，用于使所述会话中继单元所建立的第二通信会话构成为SSL，
所述VPN网关设备还包括：
存储单元，用于针对每个目的地信息，存储表示在中继会话时是否使会话构成为SSL的信息，
其中，所述会话中继单元包括：
确定单元，用于参照存储在所述存储单元中的信息，并根据第一通信会话的目的地信息，确定是否使第二通信会话构成为SSL；以及
会话处理器，用于在所述确定单元确定不使所述第二通信会话构成为SSL时，不使所述第二通信会话构成为SSL；以及在所述确定单元确定使所述第二通信会话构成为SSL时，使所述第二通信会话构成为SSL。
2.根据权利要求1所述的VPN网关设备，其特征在于，所述VPN网关设备的存储单元还用于针对每个目的地信息，存储表示是否允许会话中继的信息，
其中，所述会话中继单元中的确定单元还用于参照存储在所述存储单元中的信息，并根据第一通信会话的目的地信息，确定是否允许中继；以及
所述会话中继单元中的会话处理器还用于在不允许中继所述第一通信会话时，通过针对第一通信会话执行TCP复位，来断开所述第一通信会话，并在允许中继所述第一通信会话时建立所述第二通信会话。
3.根据权利要求1所述的VPN网关设备，其特征在于，所述会话中继单元包括：
认证单元，用于在建立所述第二通信会话的SSL握手中，根据从所述服务器节点发送的服务器证书的发出者，来对所述服务器节点进行认证；以及
所述会话中继单元中的所述会话处理器还用于在对所述服务器节点的认证不成功时，通过针对所述第一通信会话和所述第二通信会话执行TCP复位，来断开所述第一通信会话和所述第二通信会话。
4.一种主机系统，其特征在于，所述主机系统包括：
VPN网关设备，用于终止在WAN侧建立的VPN隧道；以及
服务器节点，与所述VPN网关设备的LAN侧相连，
其中，所述VPN网关设备包括：
WAN接口，用于经由所述VPN隧道来与客户端节点交换分组；
LAN接口，用于与所述服务器节点交换分组；
会话中继单元，用于暂时终止从所述客户端节点要针对所述服务器节点建立的第一通信会话，以及针对所述服务器节点，建立用于中继所述第一通信会话的第二通信会话；以及
SSL处理器，用于使所述会话中继单元所建立的第二通信会话构成为SSL，
所述VPN网关设备还包括：
存储单元，用于针对每个目的地信息，存储表示在中继会话时是否使会话构成为SSL的信息，
其中，所述会话中继单元包括：
确定单元，用于参照存储在所述存储单元中的信息，并根据第一通信会话的目的地信息，确定是否使第二通信会话构成为SSL；以及
会话处理器，用于在所述确定单元确定不使所述第二通信会话构成为SSL时，不使所述第二通信会话构成为SSL；以及在所述确定单元确定使所述第二通信会话构成为SSL时，使所述第二通信会话构成为SSL。
5.根据权利要求4所述的主机系统，其特征在于，所述会话中继单元包括：
认证单元，用于在建立所述第二通信会话的SSL握手中，根据从所述服务器节点发送的服务器证书的发出者，来对所述服务器节点进行认证；以及
所述会话中继单元中的会话处理器还用于在对所述服务器节点的认证不成功时，通过针对所述第一通信会话和所述第二通信会话执行TCP复位，来断开所述第一通信会话和所述第二通信会话。
CN2005800345843A 2004-10-19 2005-10-13 Vpn网关设备和主机系统 Expired - Fee Related CN101040496B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP304254/2004 2004-10-19
JP2004304254 2004-10-19
PCT/JP2005/018860 WO2006043463A1 (ja) 2004-10-19 2005-10-13 Ｖｐｎゲートウェイ装置およびホスティングシステム

Publications (2)

Publication Number Publication Date
CN101040496A CN101040496A (zh) 2007-09-19
CN101040496B true CN101040496B (zh) 2010-09-15

Family

ID=36202879

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2005800345843A Expired - Fee Related CN101040496B (zh) 2004-10-19 2005-10-13 Vpn网关设备和主机系统

Country Status (5)

Country Link
US (1) US20080037557A1 (zh)
JP (1) JP4737089B2 (zh)
CN (1) CN101040496B (zh)
TW (1) TWI310275B (zh)
WO (1) WO2006043463A1 (zh)

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102609640B (zh) 2004-10-25 2015-07-15 安全第一公司 安全数据分析方法和系统
US20090037587A1 (en) * 2005-02-28 2009-02-05 Nec Corporation Communication system, communication apparatus, communication method, and program
US7583662B1 (en) * 2005-04-12 2009-09-01 Tp Lab, Inc. Voice virtual private network
JP4775154B2 (ja) * 2006-07-25 2011-09-21 日本電気株式会社 通信システム、端末装置、プログラム、及び、通信方法
US11062342B2 (en) 2006-07-27 2021-07-13 Blackhawk Network, Inc. System and method for targeted marketing and consumer resource management
US20140200997A1 (en) * 2006-07-27 2014-07-17 Blackhawk Network, Inc. System and Method for Selecting, Distributing, Redeeming, and Reconciling Digital Offers
JP4630296B2 (ja) * 2007-02-15 2011-02-09 日本電信電話株式会社 ゲートウェイ装置および認証処理方法
JP4941117B2 (ja) * 2007-06-13 2012-05-30 日本電気株式会社 サーバ装置、ネットワークシステム及びそれらに用いるネットワーク接続方法
JP4530027B2 (ja) * 2007-11-13 2010-08-25 日本電気株式会社 コンピュータシステム
US8762447B2 (en) * 2008-05-02 2014-06-24 General Electric Company System and method to secure communications over a public network
EP2159961B1 (en) * 2008-09-01 2013-12-11 Alcatel Lucent Method, device and module for optimising the remote management of home network devices
JP5239966B2 (ja) * 2009-03-17 2013-07-17 富士通株式会社 中継装置、テナント管理プログラム
JP4802263B2 (ja) * 2009-07-17 2011-10-26 株式会社日立製作所 暗号化通信システム及びゲートウェイ装置
CA2781872A1 (en) * 2009-11-25 2011-06-09 Security First Corp. Systems and methods for securing data in motion
CN102118386B (zh) * 2009-12-25 2013-11-27 佳能It解决方案株式会社 中继处理装置、中继处理方法
JP5816872B2 (ja) * 2010-03-31 2015-11-18 株式会社ネクステック 情報処理装置、プログラム、情報処理方法、および情報処理システム
CN102255870B (zh) * 2010-05-19 2015-04-29 上海可鲁系统软件有限公司 一种分布式网络中的安全认证方法及系统
CA2800809A1 (en) 2010-05-28 2011-12-01 Lawrence A. Laurich Accelerator system for use with secure data storage
US8374183B2 (en) 2010-06-22 2013-02-12 Microsoft Corporation Distributed virtual network gateways
US9143480B2 (en) * 2011-01-10 2015-09-22 Secure Global Solutions, Llc Encrypted VPN connection
JP5618886B2 (ja) 2011-03-31 2014-11-05 株式会社日立製作所 ネットワークシステムおよび計算機振り分け装置、計算機振り分け方法
US9058336B1 (en) 2011-06-30 2015-06-16 Emc Corporation Managing virtual datacenters with tool that maintains communications with a virtual data center that is moved
US9282142B1 (en) * 2011-06-30 2016-03-08 Emc Corporation Transferring virtual datacenters between hosting locations while maintaining communication with a gateway server following the transfer
US10042657B1 (en) 2011-06-30 2018-08-07 Emc Corporation Provisioning virtual applciations from virtual application templates
US10264058B1 (en) 2011-06-30 2019-04-16 Emc Corporation Defining virtual application templates
US9323820B1 (en) 2011-06-30 2016-04-26 Emc Corporation Virtual datacenter redundancy
US8769058B1 (en) 2011-06-30 2014-07-01 Emc Corporation Provisioning interfacing virtual machines to separate virtual datacenters
JP2013077995A (ja) * 2011-09-30 2013-04-25 Ntt Data Corp Ｖｐｎシステム、ｖｐｎ接続方法
CN102546794B (zh) * 2011-12-30 2015-01-21 华为技术有限公司 浏览器客户端与后端服务器直通的方法、网关和通信系统
CN103067282B (zh) * 2012-12-28 2017-07-07 华为技术有限公司 数据备份方法、装置及系统
US10200352B2 (en) * 2013-03-15 2019-02-05 Netop Solutions A/S System and method for secure application communication between networked processors
JP6107498B2 (ja) * 2013-07-17 2017-04-05 富士通株式会社 通信方法、通信装置及び通信プログラム
TWI501105B (zh) * 2014-03-27 2015-09-21 Neovue Inc 遠端機密檔案管制系統
JP5842040B2 (ja) * 2014-09-12 2016-01-13 株式会社日立製作所 ネットワークシステム
US11070395B2 (en) * 2015-12-09 2021-07-20 Nokia Of America Corporation Customer premises LAN expansion
US10404761B2 (en) * 2016-02-04 2019-09-03 Airwatch, Llc Segregating VPN traffic based on the originating application
JP6662136B2 (ja) * 2016-03-22 2020-03-11 日本電気株式会社 中継装置、通信システム、中継方法及び中継プログラム
CN107306214B (zh) * 2016-04-18 2020-04-03 华为技术有限公司 终端连接虚拟专用网的方法、系统及相关设备
KR101712922B1 (ko) * 2016-06-10 2017-03-08 주식회사 아라드네트웍스 동적 터널엔드 방식의 가상 사설 네트워크 시스템과 그를 위한 가상 라우터 및 매니저 장치
US11870777B2 (en) * 2018-05-18 2024-01-09 Mitsubishi Electric Corporation Relay device and communication system
KR102059150B1 (ko) * 2019-05-02 2019-12-24 주식회사 스텔스솔루션 IPsec 가상 사설 네트워크 시스템
CN113872990B (zh) * 2021-10-19 2023-06-30 南方电网数字电网研究院有限公司 基于ssl协议的vpn网络证书认证方法、装置和计算机设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001306519A (ja) * 2000-04-26 2001-11-02 Ntt Communications Kk 認証接続システム及び方法
US20030191799A1 (en) * 2000-03-14 2003-10-09 Netilla Networks, Inc. Apparatus and accompanying methods for providing, through a centralized server site, a secure, cost-effective, web-enabled, integrated virtual office environment remotely accessible through a network-connected web browser
JP2004503011A (ja) * 2000-07-05 2004-01-29 アーンスト　＆　ヤング　エルエルピー コンピュータサービスを提供するための方法および装置
CN1495619A (zh) * 2002-09-18 2004-05-12 ������������ʽ���� 存储系统及其控制方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6298060B1 (en) * 1998-04-30 2001-10-02 Nippon Telegraph And Telephone Corporation Layer 2 integrated access scheme
US7436830B2 (en) * 2000-04-03 2008-10-14 P-Cube Ltd. Method and apparatus for wire-speed application layer classification of upstream and downstream data packets
US6823462B1 (en) * 2000-09-07 2004-11-23 International Business Machines Corporation Virtual private network with multiple tunnels associated with one group name
JP2002082907A (ja) * 2000-09-11 2002-03-22 Nec Corp データ通信におけるセキュリティ機能代理方法、セキュリティ機能代理システム、及び、記録媒体
JP4225681B2 (ja) * 2000-12-06 2009-02-18 富士通株式会社 仮想閉域網構築方法及び装置並びに中継装置
US7673133B2 (en) * 2000-12-20 2010-03-02 Intellisync Corporation Virtual private network between computing network and remote device
US20020103931A1 (en) * 2001-01-26 2002-08-01 Mott Charles J. Virtual private networking using domain name service proxy
US7391782B2 (en) * 2001-03-06 2008-06-24 Fujitsu Limited Packet relaying apparatus and relaying method with next relaying address collation
US6983382B1 (en) * 2001-07-06 2006-01-03 Syrus Ziai Method and circuit to accelerate secure socket layer (SSL) process
US7139811B2 (en) * 2001-08-01 2006-11-21 Actona Technologies Ltd. Double-proxy remote data access system
US7085827B2 (en) * 2001-09-20 2006-08-01 Hitachi, Ltd. Integrated service management system for remote customer support
US7116665B2 (en) * 2002-06-04 2006-10-03 Fortinet, Inc. Methods and systems for a distributed provider edge
US20050193103A1 (en) * 2002-06-18 2005-09-01 John Drabik Method and apparatus for automatic configuration and management of a virtual private network
US7680878B2 (en) * 2002-09-30 2010-03-16 Panasonic Corporation Apparatus, method and computer software products for controlling a home terminal
US7440573B2 (en) * 2002-10-08 2008-10-21 Broadcom Corporation Enterprise wireless local area network switching system
JP3965160B2 (ja) * 2003-01-21 2007-08-29 三星電子株式会社 相異なる私設網に位置したネットワーク装置間の通信を支援するネットワーク接続装置
US20040177157A1 (en) * 2003-02-13 2004-09-09 Nortel Networks Limited Logical grouping of VPN tunnels
US7467400B1 (en) * 2003-02-14 2008-12-16 S2 Security Corporation Integrated security system having network enabled access control and interface devices
US7486659B1 (en) * 2003-02-24 2009-02-03 Nortel Networks Limited Method and apparatus for exchanging routing information between virtual private network sites
US20040210663A1 (en) * 2003-04-15 2004-10-21 Paul Phillips Object-aware transport-layer network processing engine
US7478427B2 (en) * 2003-05-05 2009-01-13 Alcatel-Lucent Usa Inc. Method and apparatus for providing adaptive VPN to enable different security levels in virtual private networks (VPNs)
JP3912609B2 (ja) * 2003-07-04 2007-05-09 日本電信電話株式会社 リモートアクセスｖｐｎ仲介方法及び仲介装置
US20060010485A1 (en) * 2004-07-12 2006-01-12 Jim Gorman Network security method

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030191799A1 (en) * 2000-03-14 2003-10-09 Netilla Networks, Inc. Apparatus and accompanying methods for providing, through a centralized server site, a secure, cost-effective, web-enabled, integrated virtual office environment remotely accessible through a network-connected web browser
JP2001306519A (ja) * 2000-04-26 2001-11-02 Ntt Communications Kk 認証接続システム及び方法
JP2004503011A (ja) * 2000-07-05 2004-01-29 アーンスト　＆　ヤング　エルエルピー コンピュータサービスを提供するための方法および装置
CN1495619A (zh) * 2002-09-18 2004-05-12 ������������ʽ���� 存储系统及其控制方法

Also Published As

Publication number Publication date
WO2006043463A1 (ja) 2006-04-27
JP4737089B2 (ja) 2011-07-27
US20080037557A1 (en) 2008-02-14
CN101040496A (zh) 2007-09-19
JPWO2006043463A1 (ja) 2008-05-22
TW200625876A (en) 2006-07-16
TWI310275B (en) 2009-05-21

Similar Documents

Publication Publication Date Title
CN101040496B (zh) Vpn网关设备和主机系统
US11283772B2 (en) Method and system for sending a message through a secure connection
US7231664B2 (en) System and method for transmitting and receiving secure data in a virtual private group
US7386889B2 (en) System and method for intrusion prevention in a communications network
US7188365B2 (en) Method and system for securely scanning network traffic
US20020162026A1 (en) Apparatus and method for providing secure network communication
EP1783622A1 (en) Communication system
US20090150665A1 (en) Interworking 802.1 AF Devices with 802.1X Authenticator
US20080104692A1 (en) Virtual security interface
Mambo et al. Implementation of virtual private networks at the transport layer
US7895648B1 (en) Reliably continuing a secure connection when the address of a machine at one end of the connection changes
Sharma Secure Remote Access IPSEC Virtual Private Network to University Network System
Gokulakrishnan et al. A survey report on VPN security & its technologies
CN110351308B (zh) 一种虚拟专用网络通信方法和虚拟专用网络设备
Cisco Introduction to Cisco IPsec Technology
WO2001091418A2 (en) Distributed firewall system and method
Arora et al. Comparison of VPN protocols–IPSec, PPTP, and L2TP
Casole et al. Secure access to corporate resources in a multi-access perspective: needs, problems, and solutions
Djin Managing Access Control in Virtual Private Networks
Djin Technical Report TR2005-544 Department of Computer Science
Napier SECURING VIRTUAL PRIVATE NETWORKS
Tiruchendur An Efficient Approach to Secure VPN based on Firewall using IPSec & IPtables
Xhemajli Implementing Virtual Privat Network in Small to Medium Sized Enterprises

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20100915

Termination date: 20151013

EXPY Termination of patent right or utility model