CN101277215A

CN101277215A - 通过端口代理中继实现远程设备监控管理的系统和方法

Info

Publication number: CN101277215A
Application number: CNA2007100909461A
Authority: CN
Inventors: 刘波; 张成良; 孙为国; 广小明
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2007-03-28
Filing date: 2007-03-28
Publication date: 2008-10-01
Anticipated expiration: 2027-03-28
Also published as: CN101277215B

Abstract

本发明公开一种通过端口代理中继的机制实现NAT和防火墙后设备监控管理的系统和方法、计算机程序及其存储介质，能够实现基于对各种管理终端软件工具和对不同种类设备和应用的远程管理的代理承载。根据本发明的通过端口代理中继实现远程设备监控管理的系统包括：至少一个远程维护终端；至少一个被管理设备或应用；内部接入代理，用于对所述至少一个被管理设备或应用进行内部管理；以及公共接入代理，通过网络与所述至少一个远程维护终端与所述内部接入代理相连，其中，所述至少一个远程维护终端通过所述公共接入代理和所述内部接入代理对所述至少一个被管理设备或应用进行远程管理和维护。

Description

通过端口代理中继实现远程设备监控管理的系统和方法

技术领域

本发明涉及远程设备和应用的监控管理。更具体地说，本发明涉及一种通过端口代理中继的机制实现NAT和防火墙后设备监控管理的系统和方法、计算机程序及其存储介质，能够实现基于对各种管理终端软件工具和对不同种类设备和应用的远程管理的代理承载。

背景技术

在以宽带为基础的信息化应用中，由于IPV4地址的限制和安全性的考虑，很多设备和应用被放置在NAT或防火墙的后面。如放在企业办公网中用来提供VoIP服务的IAD设备、IP Phone设备、打印机或办公电脑等，还有很多软件提供商为企业提供的应用系统如OA系统、Email系统等，这些系统由不同的厂商提供，构成了企业信息化的基础设施。但是由于供应分散，维护需求高低不同，维护的方式也不尽一致，再加上网络安全和可达性的问题，这些设备的远程管理和维护受到了很大的限制，依靠上门服务则大大的提高了服务成本。提供一种安全的、可管理和运营的远程管理系统和方法对提高信息化设备的维护能力是非常有用的。这个系统可以由一个中立的第三方负责管理，为不同的设备和应用的提供厂家服务，为其进行远程的管理维护提供承载支持。

目前可以实现对跨网设备的管理的技术主要有以下两种方法。

第一种方法主要通过修改被管理设备的SNMP操作能力来实现。一般SNMP设备通过两个不同的端口被网管服务器管理，一个用来向网管服务器主动发送Trap等信息，另一个由网管服务器用来向被管理设备读取Mibs信息。修改后被管理设备只用一个主动发送的端口，在开始时由被管理设备主动向网管服务器发送管理初始信息，网管服务器记录被管理设备情况和NAT转换后的端口并通过这些信息读取被管理设备的Mibs信息。网管服务器和被管理设备需要保持和NAT的会话。

另一种方法则通过专门的SNMP代理的方式来实现。在用户私有的网络内放置网管的代理服务器，由代理服务器负责对被管理设备信息进行定期查询并接收Trap等信息并发送到网管服务器。

这些现有技术的主要不足是管理手段比较单一(一般都使用SNMP的管理能力)，维护控制能力不足。另外，能够管理的设备和应用面比较窄小(只能针对某厂家设备)，设备要求较高，对老设备改造困难。此外，这些现有技术的安全性控制能力也比较弱。

发明内容

有鉴于此，本发明提出一种通过端口代理中继的机制实现NAT和防火墙后设备监控管理的系统和方法、计算机程序及其存储介质，能够实现基于对各种管理终端软件工具和对不同种类设备和应用的远程管理的代理承载。

根据本发明的一个方面，为了实现上述目的，本发明提供一种通过端口代理中继实现远程设备监控管理的系统，包括：至少一个远程维护终端；至少一个被管理设备或应用；内部接入代理，用于对所述至少一个被管理设备或应用进行内部管理；以及公共接入代理，通过网络与所述至少一个远程维护终端与所述内部接入代理相连，其中，所述至少一个远程维护终端通过所述公共接入代理和所述内部接入代理对所述至少一个被管理设备或应用进行远程管理和维护。

根据本发明的另一个方面，为了实现上述目的，本发明提供一种通过端口代理中继实现远程设备监控管理的方法，包括：远程维护终端请求公共接入代理以连接被管理设备或应用；以及存在可用连接时，公共接入代理通过内部接入代理将远程维护终端与被管理设备或应用相连。

另外，本发明还提供用于实施上述通过端口代理中继实现远程设备监控管理的方法的计算机程序。

此外，还提供其上记录有用于实施上述通过端口代理中继实现远程设备监控管理的方法的计算机程序代码的至少一种计算机可读记录介质的计算机程序产品。

根据本发明的上述通过端口代理中继的机制实现NAT和防火墙后设备监控管理的系统和方法、计算机程序及其存储介质，能够容易地实现基于对各种管理终端软件工具和对不同种类设备和应用的远程管理的代理承载。

本发明的其它目的、特征和优点将通过结合附图和下面的描述变得更加清楚，在本发明的整个附图中，相似的附图标记表示相同或类似的部分。

附图说明

本发明的细节，关于其结构和操作，可以参考附图来最好地理解，其中相似的参考数字指的是相似部分，并且其中：

图1示出根据本发明的实施方案的“远程设备维护管理平台”的构成框图；

图2示出了通过公共接入代理将多个远程维护终端与多个内部接入代理相连的方框图；

图3示出远程操作员通过远程维护终端认证登录被管理设备或应用的流程；以及

图4示出远程维护终端与被管理设备或应用之间进行的数据流交换。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。然而，本发明可以以多种不同形式实施，并且不应解释为受限于在此所述的实施例。

在此，首先简要说明端口代理技术的原理和操作方法。

端口代理技术是通过一个应用程序实现的，这个程序同时实现了“客户端”和“服务端”部分的应用协议。实际上，端口代理完成的功能主要包括：

a)象服务端一样接受客户端的会话；

b)从客户处获得最终目标服务器的域名和地址；

c)以一个客户端的方式和最终目标服务器建立会话；

d)中继传递所有客户端和服务器端之间的请求，回应及数据；以及

e)根据规则对用户访问和会话进行控制。

这样，通过端口代理可以将管理会话延伸到NAT或防火墙之后。如果使用两个端口代理进行接力中继的话，可以显著提高使用的简便性和安全性，从而获得一个理想的远程管理维护方案。

基于此，本发明提出了基于端口代理技术实现内网设备和应用的远程管理和维护的系统和方法、计算机程序及其存储介质，并将其简称为“远程设备维护管理平台”。该“远程设备维护管理平台”支持用户用各种管理工具(SNMP网管站、web、超级终端等)对各种用户设备或应用进行管理。

图1示出该“远程设备维护管理平台”的构成框图。如图1所示，该“远程设备维护管理平台”包括远程维护终端11、公共网络(Internet)12、公共接入代理13、内部网络(Intranet)14、内部接入代理15、以及被管理设备或应用16。

公共接入代理13部署在互联网上，使用专门的服务器和固定的域名、IP地址。用户使用远程维护终端11可以随时登录公共接入代理13。在用户需要对被管理设备或应用16进行管理时，只需要用所需的管理软件对公共接入代理13进行操作即可。在操作时，和与远程维护终端11在一个网段内基本一样，唯一不同的是需要加上服务分配的端口号。

例如，使用Web对一个网关进行管理时，原来的管理方法是http://www.ngn.cn/admin。而使用“远程设备维护管理平台”时调整为http://www.ngn.cn:22001/admin即可。这里22001是平台分配给用户管理某一组设备使用的专用端口号。

对于远程维护终端11，公共接入代理13主要完成如下功能。

监听功能：公共接入代理13监听所有分配给远程维护终端11的端口号，处理远程维护终端11的连接请求。

认证功能：公共接入代理13验证远程维护终端11的用户名和密码，确定当前用户是否是申请连接的合法用户。如果是合法用户则进行下一步的操作，如果是非法用户则拒绝其访问。

连接功能：公共接入代理13使用一个IPSec的加密管道和内部接入代理15连接，当需要建立远程维护终端11和内部接入代理15的连接时，公共接入代理13根据用户请求的端口号，查找对应到内部接入代理15的出口通道并建立转发机制，将用户的数据包全部从进入端口转发到出口通道，同时需要完成数据包的IPSec加密。公共接入代理13具备同时维护多个到内部接入代理15的IPSec通道的能力。图2示出了通过公共接入代理13将多个远程维护终端11与多个内部接入代理相连的方框图。

控制功能：公共接入代理13记录不成功的连接请求，并且根据远程维护终端11及其外部代理程序的请求终止成功的连接，记录成功连接的端口号，起止时间等信息，并可以标准的CDR格式传送到计费系统。公共接入代理13还接受管理员的命令允许或终止连接，控制单个连接的时间和流量，并控制总连接的数量和带宽流量等。

对于内部接入代理15，公共接入代理13主要完成如下功能。

监听功能：公共接入代理13监听所有允许端口上的IPSec连接请求，端口范围包括从80-36000的全部端口，公共接入代理13同时处理内部接入代理15的连接请求。

认证安全功能：验证内部接入代理15的内置密钥和MAC地址等信息，确定当前内部接入代理15的连接请求是否合法。如果是合法请求则进行下一步的操作，非法请求则拒绝接入。

连接功能：建立和维护不同内部接入代理15请求的IPSec连接，当有对应的远程维护终端11访问时，在远程维护终端11的端口和IPSec连接之间进行数据包的转发。

控制功能：与上面所述对远程维护终端11的控制功能基本相同，因此在此略去其详细描述。

内部接入代理15部署在用户内部网络的某台电脑上，由内部网络为其分配IP地址即可，内部接入代理15能通过内部网络以IP协议访问被管理设备或应用16。内部代理接入15在被管理设备或应用16出现故障需要远程维护时，在维护人员建议后由客户配合启动。启动后由客户根据预先的配置选择由远程人员维护的单台设备。远程维护人员的权限由客户控制。

对于公共接入代理13，内部接入代理15需要完成如下功能。

连接功能：当被启动后，向公共接入代理13发送连接请求，并发送需要的认证信息(随软件下发的密钥文件和加密后的MAC地址信息)，在认证通过后建立和维护IPSec连接，并将从公共接入代理13接收的数据包转发到被管理设备或应用16。建立IPSec连接时首先选择安装时配置的高端口号(＞80)，当连接失败时选择80端口进行连接。

控制功能：记录连接的设备地址，起止时间等信息；接受管理员的命令允许或终止连接。

对于被管理设备或应用16，内部接入代理15需要完成如下功能。

连接功能：在接收到从公共接入代理13的数据包后转发到被管理设备或应用16，同时接收被管理设备或应用16返回的数据包，转发到公共接入代理13。

下面将结合图3和图4所示的流程图详细描述远程操作员认证登录被管理设备的流程以及在上述“远程设备维护管理平台”上管理数据流的传输过程。

图3示出远程操作员通过远程维护终端11认证登录被管理设备或应用16的流程，其详细的工作流程说明如下。

步骤S31：远程维护终端11请求连接远程维护设备或应用16。

步骤S32：公共接入代理13回复当前没有可用连接，请求被拒绝。

步骤S33：内部接入代理15向公共接入代理13请求建立连接，同时提供认证信息。

步骤S34：公共接入代理13验证认证信息正确，同意建立连接。如果该内部接入代理15是第一次登录，公共接入代理13则本次不验证MAC地址并登记来源MAC地址供下次验证使用。

步骤S35：远程维护终端11请求连接远程维护设备或应用16。

步骤S36：公共接入代理13回复有可用连接。

步骤S37：远程维护终端11提供认证信息，公共接入代理13验证用户认证信息正确后要求内部接入代理15确认本次连接。

步骤S38：内部接入代理15确认本次连接。

步骤S39：公共接入代理13回复远程维护终端11，同意建立连接。

至此，完成了远程维护终端11与内部接入代理15的连接。内部接入代理15在接收到从公共接入代理13的数据包后转发到被管理设备或应用16，同时接收被管理设备或应用16返回的数据包，转发到公共接入代理13。这样，实现了远程维护终端11与被管理设备或应用16之间的数据交换。

图4示出了远程维护终端11与被管理设备或应用16之间进行的数据流交换。

管理的数据流首先通过远程维护终端11和公共接入代理13之间建立的TCP连接发送到公共接入代理13，然后通过公共接入代理13和内部接入代理15之间建立的IPSec通道发送到内部接入代理15。在本处，用户通过选择不同的端口号来确定本次操作对应的内部接入代理15。内部接入代理15则将用户的流量转发到最终需要被远程维护的设备或应用16上，本处由客户配置决定本次操作对应的被管理设备或应用16。

在此应该指出的是，远程管理和维护的数据流是双向的，在返回时按照原路由逐次返回远程维护终端11。

此外，根据本发明的远程维护终端11可以采用各种被管理设备或应用16接受的终端，例如包括但不限于浏览器、SNMP网管软件、Telnet远程登陆、FTP、Windows或X-Windows远程桌面等。

另外，虽然上面详细描述了本发明的实施例的示例，但是本发明也可以采取例如系统、设备、方法、程序或存储介质(记录介质)等的形式。更具体地说，本发明可以应用于由多个装置组成的系统或者包括单个装置的设备。

应该指出的是，本发明也可以通过这样的方式实现，即直接或间接地将实现前述实施例的功能的软件程序(与在根据这些实施例的附图中示出的流程图相对应的程序)提供给系统或设备，通过该系统或设备的计算机读取所提供的程序代码，然后执行该程序代码。

从而，由于本发明的功能处理由计算机实现，因此安装在计算机中的程序代码本身也能够实现本发明。换句话说，本发明的权利要求也涵盖用于实现本发明的功能处理的目的的计算机程序本身。

在这种情况下，只要系统或设备具有该程序的功能，就可以以任何形式，例如作为目标代码由解释器执行的程序、或者提供给操作系统的脚本数据，执行该程序。

可以用来提供该程序的记录介质的例子是软盘、硬盘、光盘、磁光盘、MO、CD-ROM、CD-R、CD-RW、磁带、非易失性类型的存储卡、ROM和DVD(DVD-ROM和DVD-R)。

对于提供该程序的方法，客户端计算机可以使用该客户端计算机的浏览器连接到因特网上的网站，并且可以将本发明的计算机程序或者该程序的可自动安装压缩文件下载到诸如硬盘的记录介质。此外，可以通过将组成程序的程序代码划分成多个文件并且从不同的网站下载这些文件来提供本发明的程序。换句话说，通过计算机向多个用户下载实现本发明的功能处理的程序文件的WWW(万维网)服务器也被本发明的权利要求涵盖。

此外，还有可能对本发明的程序进行加密并将其存储在诸如CD-ROM的存储介质上，将该存储介质分发给用户，允许满足特定要求的用户通过因特网从网站下载解密密钥信息，并允许这些用户通过使用该密钥信息对被加密程序进行解密，由此将该程序安装在用户计算机中。

此外，除了通过由计算机执行所读取的程序来实现根据这些实施例的前述功能的情况之外，在计算机上运行的操作系统等也可以基于该程序的指令而执行全部或部分实际处理，以便可以通过该处理实现前述实施例的功能。

此外，在将从记录介质读取的程序写入到被插入到计算机中的功能扩展板或者在连接到计算机的功能扩展单元中提供的存储器之后，安装在该功能扩展板或功能扩展单元上的CPU等基于该程序的指令而执行全部或部分实际处理，以便可以通过该处理实现前述实施例的功能。

如上所述，根据本发明的上述“远程设备维护管理平台”，通过端口代理中继的机制实现了NAT和防火墙后设备监控管理的系统和方法、计算机程序及其存储介质，从而能够容易地实现基于对各种管理终端软件工具和对不同种类设备和应用的远程管理的代理承载。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims

1. 一种通过端口代理中继实现远程设备监控管理的系统，包括：

至少一个远程维护终端；

至少一个被管理设备或应用；

内部接入代理，用于对所述至少一个被管理设备或应用进行内部管理；以及

公共接入代理，通过网络与所述至少一个远程维护终端与所述内部接入代理相连，

其中，所述至少一个远程维护终端通过所述公共接入代理和所述内部接入代理对所述至少一个被管理设备或应用进行远程管理和维护。

2. 如权利要求1所述的系统，其中，所述远程维护终端通过公共网络与公共接入代理相连，所述内部接入代理经由内部网络与公共接入代理相连。

3. 如权利要求2所述的系统，其中，所述公共接入代理监听所有分配给远程维护终端的端口号，处理所述远程维护终端的连接请求，并且验证所述远程维护终端的用户名和密码，确定当前用户是否是申请连接的合法用户。

4. 如权利要求3所述的系统，其中所述公共接入代理使用一个IPSec的加密管道和所述内部接入代理连接，当需要建立所述远程维护终端和所述内部接入代理的连接时，所述公共接入代理根据用户请求的端口号，查找对应到所述内部接入代理的出口通道并建立转发机制，将用户的数据包全部从进入端口转发到出口通道，同时完成数据包的IPSec加密。

5. 如权利要求4所述的系统，其中，所述公共接入代理记录不成功的连接请求，并且根据所述远程维护终端的请求终止成功的连接，记录成功连接的端口号、起止时间信息，并以标准的CDR格式传送到计费系统。

6. 如权利要求5所述的系统，其中，所述公共接入代理接受管理员的命令允许或终止连接，控制单个连接的时间和流量，并控制总连接的数量和带宽流量。

7. 如权利要求1至6任一所述的系统，其中，所述内部接入代理在接收到从所述公共接入代理的数据包后转发到被管理设备或应用，同时接收被管理设备或应用返回的数据包，转发到所述公共接入代理。

8. 如权利要求7所述的系统，其中，远程维护终端采用被管理设备或应用接受的终端，包括但不限于浏览器、SNMP网管软件、Telnet远程登陆、FTP、Windows或X-Windows远程桌面。

9. 一种通过端口代理中继实现远程设备监控管理的方法，包括：

远程维护终端请求公共接入代理以连接被管理设备或应用；以及

存在可用连接时，公共接入代理通过内部接入代理将远程维护终端与被管理设备或应用相连。

10. 根据权利要求9所述的方法，还包括：

内部接入代理向公共接入代理请求建立连接，同时提供认证信息；以及

公共接入代理验证认证信息正确后同意建立连接，从而确定存在可用连接。

11. 根据权利要求10所述的方法，其中如果内部接入代理是第一次登录，公共接入代理则本次不验证MAC地址并登记来源MAC地址供下次验证使用。

12. 根据权利要求11所述的方法，还包括：

远程维护终端提供认证信息，公共接入代理验证用户认证信息；以及

在验证用户认证信息正确后，公共接入代理要求内部接入代理确认本次连接。

13. 如权利要求12所述的方法，其中，所述远程维护终端通过公共网络与公共接入代理相连，所述内部接入代理经由内部网络与公共接入代理相连。

14. 如权利要求13所述的方法，其中，所述公共接入代理监听所有分配给远程维护终端的端口号，处理所述远程维护终端的连接请求，并且验证所述远程维护终端的用户名和密码，确定当前用户是否是申请连接的合法用户。

15. 如权利要求14所述的方法，其中所述公共接入代理使用一个IPSec的加密管道和所述内部接入代理连接，当需要建立所述远程维护终端和所述内部接入代理的连接时，所述公共接入代理根据用户请求的端口号，查找对应到所述内部接入代理的出口通道并建立转发机制，将用户的数据包全部从进入端口转发到出口通道，同时完成数据包的IPSec加密。

16. 如权利要求15所述的方法，其中，所述公共接入代理记录不成功的连接请求，并且根据所述远程维护终端的请求终止成功的连接，记录成功连接的端口号、起止时间信息，并以标准的CDR格式传送到计费系统。

17. 如权利要求16所述的方法，其中，所述公共接入代理接受管理员的命令允许或终止连接，控制单个连接的时间和流量，并控制总连接的数量和带宽流量。

18. 如权利要求13至17任一所述的方法，其中，所述内部接入代理在接收到从所述公共接入代理的数据包后转发到被管理设备或应用，同时接收被管理设备或应用返回的数据包，转发到所述公共接入代理。

19. 如权利要求18所述的方法，其中，远程维护终端采用被管理设备或应用接受的终端，包括但不限于浏览器、SNMP网管软件、Telnet远程登陆、FTP、Windows或X-Windows远程桌面。

20. 一种计算机程序，当由计算机执行时能够使计算机执行权利要求9～19所述的各种动作。

21. 一种记录在至少一种计算机可读介质中的计算机程序产品，包括当计算机使用时，使计算机执行权利要求9～19所述的方法步骤的功能性描述素材。