CN101047599B

CN101047599B - 一种分布式ssl vpn系统构架方法

Info

Publication number: CN101047599B
Application number: CN200610025359XA
Authority: CN
Inventors: 袁初成
Original assignee: 袁初成
Current assignee: SHANGHAI DI'AN TECHNOLOGY CO., LTD.
Priority date: 2006-03-31
Filing date: 2006-03-31
Publication date: 2011-09-07
Anticipated expiration: 2026-03-31
Also published as: CN101047599A

Abstract

本发明公开了一种分布式SSL VPN系统构架方法，该方法包括：安装服务端；在不同运营商处安装交换单元设备并连接以构成SSL VPN交换平台；在客户端安装SSL VPN设备，并为SSL VPN设备分配唯一标识；为SSL VPN设备配置一个客户端局域网内部IP地址，使其可访问Internet并在SSL VPN交换平台上注册；客户端利用图形化配置向导，创建帐号和访问控制权限；进入SSL VPN使用工作流程，完成数据的交互传输。本发明通过网络分布式架构及使用方法，解决了SSL VPN服务租用额外链路的问题。

Description

一种分布式SSL VPN系统构架方法

技术领域

本发明涉及一种涉及计算机软件和信息安全领域，尤其涉及一种分布式SSL VPN系统及构架方法。

背景技术

网络时代，如何安全可靠地远程访问办公室内部网络资源是各个公司一件大事。目前市场中逐渐流行采用SSL VPN(安全套接层虚拟专网)运营模式。所谓SSL是Secure SocketLayer Protocol的简称，即安全套接层协议，它是一种加密传输技术协议，通过给对称加密技术约定对称密钥，建立加密通道，经过这个通道的信息均被加密；所谓VPN是Virtual PrivateNetwork英文简称，被称为虚拟专用网络或虚拟私人网络，是一种常用于连接中、大型企业或团体与团体问的私人网络的通讯方法。虚拟私人网络的讯息透过公用的网络架构(例如：互联网)来传送内联网的网络讯息。VPN没有改变原有广域网络的一些特性，如多重协议的支持、高可靠性及高扩充度，而是在更为符合成本效益的基础上来达到这些特性。上述两者结合而产生的所谓SSL VPN(安全套接层虚拟专网)以其可大幅增强最终用户的远程接入、端点安全性、易于使用和外联网应用的潜力而被有需要远程访问办公室内部网络资源的各个公司所关注。但目前SSL VPN均为集中式构架系统，如附图5所示：即通常运营商首先用VPDN、专线或其它类型的VPN线路连通用户的应用系统(服务器)，然后通过在数据中心(IDC)部署的一套大型SSL VPN设备将不同用户的应用分别发布出来，供远程用户访问。在这种模式下的用户访问流程如图3所示。只要用户连上Internet网，利用IE浏览器访问SSL VPN设备，通过身份认证之后，即可安全的使用机构内部的应用资源了。但是，这种运营模式的持续发展能力和可扩张性均很差，随着用户量的不断增加和SSL VPN产品的不断普及，由于以下原因，将很快步入维护困难的境地：在这种模式下，运营商需要维护所有用户帐号及访问策略，并且在业务开通时，必须面对千差万别且不断变化的机构/企业网络；并且不可避免的要为用户开通连接IDC的线路，这就牵涉到对用户内部网络及应用系统的调整，由此产生的工程及维护非常复杂。

发明内容

本发明要解决的技术问题是提供一种分布式SSL VPN系统构架方法，可以解决SSL VPN的维护问题。

为解决上述技术问题，本发明提供了一种分布式SSL VPN系统，包括：服务端；SSL VPN交换平台，含至少一布于运营商处的交换单元设备；客户端，含SSL VPN设备，SSL VPN设备具唯一标识，可访问工nterrlet并可会自动在SSL VPN交换平台注册；服务端、SSL VPN交换平台、客户端通过INTERNET连接。

为解决上述技术问题，本发明还提供了一种分布式SSL VPN系统构架方法，包括如下步骤：安装服务端；在不同运营商处安装交换单元设备并连接以构成SSL VPN交换平台；在客户端安装SSL VPN设备，并为SSL VPN设备分配唯一标识；为SSL VPN设备配置一个客户端局域网内部IP地址，使其可访问Internet并在SSL VPN交换平台上注册；客户端利用图形化配置向导，创建帐号和访问控制权限；进入SSL VPN使用工作流程，完成数据的交互传输；其中，该SSL VPN使用工作流程包括以下步骤：

a.开始；b.服务端导入ID文件并尝试连接SSL VPN交换平台，如连接且注册成功，进入步骤c；如无法注册则继续尝试连接SSL VPN交换平台；c.SSL VPN交换平台侦听是否有外部请求，如有客户端请求进入步骤d；d.SSL VPN交换平台查询判断是否客户端已在SSL VPN交换平台注册，如果已注册，到步骤e；如果未注册，发送访问失败信息给客户端并到步骤i；e.所述SSL VPN交换平台上各交换单元设备首先分别测试其自身至客户端和服务端的速度，然后选出其中访问客户端和服务端用时最少的交换单元设备，再将数据传输路径转移至选出的用时最少的交换单元设备上，选出的用时最少的交换单元设备透明转发客户端请求；到步骤f；f.服务端身份认证模块检查认证客户端身份，如通过认证到步骤g，如未通过认证发送认证失败信息给客户端并到步骤i；g.服务端访问控制检查客户端访问权限，如不满足访问权限条件，则发送拒绝服务信息给客户端并到步骤i；如满足访问权限条件，则进入步骤h；h.SSL VPN交换平台与客户端建立SSL连接，然后解密数据，并发送至应用服务器，应用服务器处理数据，并返回响应，进入步骤i；i.结束此次工作流程。

本发明通过网络分布式架构及使用方法，可以构建维护简单，可长期稳定发展的SSL VPN，解决了用户为了SSL VPN服务还要租用额外链路的问题。

附图说明

图1是传统SSL VPN访问流程图；

图2是本发明系统访问流程图；

图3是传统的SSL VPN用户访问过程关系示意图；

图4是本发明系统用户访问过程关系示意图；

图5是传统SSL VPN系统构架示意图；

图6是本发明系统构架示意图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步详细的说明。

如图5所示是传统SSL VPN系统构架示意图，采用的是集中式的构架分；如图6是本发明系统构架示意图，在图6中，运营商首先按本发明组建分布在Internet各处的SSL VPN交换平台，不同的部门和企业租用SSLVPN服务后，按本发明应在其内部网络中部署一台安全门户网关(SSL VPN设备)，它可以利用用户原有的各种Internet线路，自动连接到交换平台上注册。注册成功后，在全球各地的远程用户就可以通过各种Internet线路访问SSL VPN交换平台，再转到相应的门户网关。

本发明的方法详述如下：

首先安装服务端并在运营商的IDC机房中部署专用交换单元设备；为申请SSL VPN业务的用户分配一个独一无二的标识名称；在用户的局域网中放置满足用户需求的SSL VPN设备(根据用户访问量来决定放置高、中、低端型号产品)；为SSL VPN设备配置一个用户内部网络的私有IP地址，让设备能上Internet即可，其会按程序自动到SSL VPN交换平台上注册；用户利用图形化配置向导、创建帐号和访问控制权限后，SSL VPN就可以使用了，即用户可以通过SSL VPN，完成数据的交互传输。具体的用户使用流程，如图2所示：

a.开始；

b.服务端导入ID文件并尝试连接SSL VPN交换平台，如连接且注册成功，进入步骤c；如无法注册则继续尝试连接SSL VPN交换平台；

c.SSL VPN交换平台侦听是否有外部请求，如有客户端请求进入步骤d；

d.SSL VPN交换平台查询判断是否客户端已在SSL VPN交换平台注册，如果已注册，到步骤e；如果未注册，发送访问失败信息给客户端并到步骤i；

e.所述SSL VPN交换平台上各交换单元设备首先分别测试其自身至客户端和服务端的速度，然后选出其中访问客户端和服务端用时最少的交换单元设备，再将数据传输路径转移至选出的用时最少的交换单元设备上，选出的用时最少的交换单元设备透明转发客户端请求；到步骤f；

f.服务端身份认证模块检查认证客户端身份，如通过认证到步骤g，如未通过认证发送认证失败信息给客户端并到步骤i；

g.服务端访问控制检查客户端访问权限，如不满足访问权限条件，则发送拒绝服务信息给客户端并到步骤i；如满足访问权限条件，则进入步骤h；

h.SSL VPN交换平台与客户端建立SSL连接，然后解密数据，并发送至应用服务器，应用服务器处理数据，并返回响应，进入步骤i；

i.结束此次工作流程。

图1是传统SSL VPN模式下访问流程图，可作为本发明对比。另外图4是本发明系统用户访问过程关系示意图，表明了访问时的模块调用关系，而图3则是传统的SSL VPN用户访问过程关系示意图，可对比。

本发明的分布式模式改变了原有SSL VPN点式分布的格局，真正实现了SSL VPN的网络化。按本发明运营商构建了SSL VPN交换网络。此网络的作用类似于我们今天所熟知的公共电话交换网(PSTN)，区别在于本网络是由分布在Internet上不同位置的专用交换单元设备组成的。SSL VPN交换网络为网络中的每个安全门户网关(SSL VPN设备)分配一个独一无二的标识名称，负责整个SSL VPN运营网络的数据交换(只转发数据，不对数据进行加/解密)，并控制每台安全门户网关(SSL VPN设备)上的用户访问数量。而真正具体控制远程访问和数据加/解密的安全门户网关(SSL VPN设备)被放置在用户的内部网络中，用户可以通过各种Internet线路连接到SSLVPN交换网络中，根据用户量的大小，选配不同性能的设备，用户可以自己去管理帐号和对内部网络的访问权限。

用户在使用SSL VPN时，首先访问网络交换平台的域名或IP地址，然后再通过设备标识名称找到想连接的SSL VPN设备。这个过程类似于我们现在拨打电话的方式，即区号代表网络交换平台的地址，电话号码代表具体要找的SSL VPN设备。

综上所述，本发明在技术及运营上的优点是显而易见的：

(1)运营商运营维护成本大大降低，没有责任风险。

在这种模式下，运营商不需要付出巨大的维护成本，仅负责分配安全门户网关(SSL VPN设备)的标识名称(类似于分配电话号码)和控制每台SSLVPN设备上的并发用户数。SSL VPN上开什么样的帐号、发布什么样的应用以及设置什么样的访问权限都可以由用户自己灵活掌控。这一方面大大减轻了运营商的维护压力，同时规避了帐号被盗用后，责任无法界定的尴尬。

(2)本发明可做到跨网络的访问优化和提速。

由于SSL VPN的使用者通常是移动办公人士，可能今天用电信的Internet链路，明天用网通的，后天用联通或是铁通的；但是SSL VPN的设备基本上只接一个运营商的线路，那么在使用中就不可避免的存在跨网络访问的问题。因为运营商之间基本没有优化措施，所以在跨网络访问时，速度非常慢，更不要说跨两个以上网络会是怎样了；再加之各种应用系统对网络时延都有要求。所以，经常造成连而不通，通而无用的情况。这是用户自建SSL VPN系统所不能解决的问题。但是，本发明具备跨网络访问优化的功能，并且能够构成一个路由优化的网络体系，它可以帮助用户自动找到一条时延最小的网络路径，从而提高对内部应用系统的访问速度。

(3)可通过关闭所有In-Bond端口，提高系统安全防护能力的实施方式。

目前，Internet中黑客和蠕虫病毒肆虐，它们通常会先扫描系统端口，然后利用开放的端口进行恶意攻击。目前，所有的SSL VPN系统都要开放443端口，关闭了就无法提供访问服务。这就为黑客和蠕虫病毒留下了可能侵入的途径。而利用本发明运营商提供的交换平台，可以从根本上断绝黑客和蠕虫的攻击途径，用户可以关闭所有开放的(In-Bond)端口，并且不会响应正常的访问，做到了实体隔离。使SSL VPN业务不仅可以用于远程安全访问，还能够用于内部网络应用系统的安全防护，可以替代现有局限性很大网闸系统。

(4)节省IP地址资源

我们国家拥有的Internet合法IP地址资源本来就少，随着社会信息化水平的不断提高，Internet合法IP地址的需求量急剧扩大；用户租用IP地址的费用在不断增加。而用户自建SSL VPN时，固定合法IP地址是必须的，这就需要用户再花钱租用地址。而利用本发明运营商的交换平台，用户只需要有条能上Internet的链路就可以了，有没有固定合法IP都无所谓。这使SSL VPN的门槛大大降低，配合低端产品，可以实现的SSL VPN的快速普及。

(4)本发明客户端无需租用专用线路。

在本发明的SSL VPN模式下，用户根据自己实际的访问量来租用相对应的服务或设备，并且不必再租用一条线路连接到IDC，完全可以利用现有的Internet线路就能够使用。这就使业务的适用群体可以囊获各行各业的不同用户，不在人为的把一部分用户区隔掉，即使已经租用了别的运营商的线路，照样可以使用本发明的SSL VPN服务。这用以前的运营模式是不可能实现的。

Claims

1.一种分布式SSL VPN系统构架方法，其特征在于，包括如下步骤：

安装服务端；在不同运营商处安装交换单元设备并连接以构成SSL VPN交换平台；在客户端安装SSL VPN设备，并为所述SSL VPN设备分配唯一标识；为所述SSL VPN设备配置一个客户端局域网内部IP地址，使其可访问Internet并在所述SSL VPN交换平台上注册；客户端利用图形化配置向导，创建帐号和访问控制权限；进入SSL VPN使用工作流程，完成数据的交互传输；

其中，所述SSL VPN使用工作流程包括以下步骤：

a.开始；

b.所述服务端导入ID文件并尝试连接所述SSL VPN交换平台，如连接且注册成功，进入步骤c；如无法注册则继续尝试连接所述SSL VPN交换平台；

c.所述SSL VPN交换平台侦听是否有外部请求，如有客户端请求进入步骤d；

d.所述SSL VPN交换平台查询判断是否客户端已在SSL VPN交换平台注册，如果已注册，到步骤e；如果未注册，发送访问失败信息给客户端并到步骤i；

g.所述服务端访问控制检查客户端访问权限，如不满足访问权限条件，则发送拒绝服务信息给客户端并到步骤i；如满足访问权限条件，则进入步骤h；

h.所述SSL VPN交换平台与所述客户端建立SSL连接，然后解密数据，并发送至应用服务器，应用服务器处理数据，并返回响应，进入步骤i；

i.结束此次工作流程。