CN104160677B - 用于实现在资产的远程控制中使用的数据传输网络的设备布置和方法 - Google Patents

Abstract

在根据本发明的远程控制方法中，在资产中的远程控制系统的家庭控制网络密钥和家庭控制网络设备之间建立虚拟专用网络。为了建立虚拟专用网络，家庭控制网络密钥和家庭控制网络设备二者都确定从它们所连接到的数据传输网络到因特网的它们的网络路径（201）。所确定的网络路径存储（202）在因特网上的家庭控制网络服务器中。当期望形成虚拟专用网络时，家庭控制网络服务器向家庭控制网络密钥和家庭控制网络设备提供所存储的网络路径。通过利用所接收的网络路径，家庭控制网络密钥和家庭控制网络设备使用它们已知的若干数据传输连接的建立方法来开始在它们之间建立虚拟专用网络（55）。

Description

用于实现在资产的远程控制中使用的数据传输网络的设备布置和方法

本发明涉及用于提供在资产中的远程可控制致动器所需的数据传输网络的方法。

远程可控制设备和系统越来越多地被安装在资产和家庭中。系统的目的是保护和/或维护资产中的这样的条件，使得在其中居住是既安全又舒适的。远程控制或远程监控设备的范围很广。同一资产可具有来自若干供应商的设备。这些设备常常不能彼此直接通信。每个系统具有其操作逻辑也很常见，操作逻辑的远程控制需要特定的数据通信解决方案的使用。

建筑物服务供应商最近已通过从运营商为客户针对其自己的目标订购、单独地花费附加连接来开始非常一般性地解决问题，该附加连接包含某些目标特定的约定特征并且必须经由电话网络或宽带网络被单独地维护，该宽带网络可以是永久的无线2G/3G网络宽带连接。大多数供应商已经发现这是此刻对于他们最容易的操作模式，即使它包含若干问题点。

如果为该目标提供新的附加连接，则常常必须单独就数据通信问题与本地内联网的管理者达成一致。内联网管理者可能不得不对于该连接进行附加网络配置，使得建立远程连接可以成功。

人们还可利用专用解决方案来试图解决对目标的远程使用。因此，设备供应商可从运营商购买其自己的无线电网络并且在该无线电网络中形成私人接入点名称（APN），私人接入点名称（APN）确定在GPRS（通用分组无线电服务）和HSDPA（高速下行链路分组接入）/HSUPA（高速上行链路分组接入）网络中的数据通信设置。通过使用APN设置，经由无线2G/3G/4G网络将因特网连接提供给目标中的设备。在这样的情形中，用户必须分别为该连接和为实现其远程使用的接口调制解调器和程序支付费用。通常这样的附加连接不能或不可以为多于一种使用目的而被使用，例如，用于建筑服务供应商提供的设备的远程使用。另外，运营商如今通常限制在这样的连接中数据传递的最大量，其当被超出时可引起对于连接拥有者的大的附加费用。

在具有若干资产的房屋业主团体类型目标中，可将资产连接到仅在资产之间形成的内联网内发生的“远程使用”。如果远程联系用户在物理上处于除了在内联网中的正被讨论的资产中的一个以外的其它地方，则对于这样的目标不会获得真正的远程联系。

本发明的目的是提供资产中的技术设备的远程控制布置所需要的新的加密数据传输布置，其中在资产和家庭中已经存在的因特网连接同样地利用在对建筑服务和监视的远程使用中。使用根据本发明的数据通信连接的建立方法，将资产的目标连接变更为同样地适合于远程使用。在目标中的数据网络连接的已经存在的功能和目标中的内联网没有变更。

本发明的目的使用数据传输连接的建立方法来实现，其中以固定的方式安装在资产中的家庭控制网络设备和实现资产的监控的人的家庭控制网络密钥基于它们从根据本发明的家庭控制网络服务器接收的联系信息来在因特网上建立安全的双向连接。在资产中要受远程控制或远程监控的设备所连接到的资产中的家庭控制网络设备连接到资产中的数据网络接口设备/网络终端，例如调制解调器。

家庭控制网络设备的当前IP地址和家庭控制网络密钥被保持在与本发明相关的家庭控制网络服务器中，该IP地址用于建立在所述设备之间的连接。由于根据本发明的连接建立方法，所述设备可连接到某个私人的、非公用网络，并且它们可仍然在因特网上建立在它们自己当中的安全数据传输连接。有利地，所述设备在所建立的连接中的某个点处还获得公用IP地址足以在因特网上建立在移动家庭控制网络密钥与固定安装的家庭控制网络设备之间的数据传输连接，即使家庭控制网络设备和家庭控制网络密钥仅同时具有非公用IP地址。在本发明的优选实施例中，在家庭控制网络服务器已经向设备发送设备可用的IP地址之后，它不参与实际数据传输连接的建立。

在资产中的根据本发明的远程控制系统中利用的数据传输连接的建立方法的优点是，家庭控制网络设备对中的两个设备均可搜索它们从它们的放置位置到连接到因特网的资产的设备的IP地址的路由，并且将搜索到的路由存储在因特网上的单独家庭控制网络服务器中以用于设备对的识别和IP地址。

本发明的另一优点是，根据本发明的每个家庭控制网络设备对在它们自己当中独立地形成预先确定的唯一设备对或设备组，其在待建立的数据传输网络中识别彼此。由于该识别方法，用户携带的家庭控制网络密钥或安装在一些数据处理设备中的计算机程序只与其自己的唯一家庭控制网络设备对建立网络连接，并且不能与任何其它网络设备建立连接，该计算机程序实现家庭控制网络密钥的功能。

本发明的又一优点是，根据本发明的远程控制系统的设备对可借助于家庭控制网络服务器的地址信息通过服务的本地网络设备和因特网（VPN:虚拟专用网络）来在它们自己当中根据直接双向安全OSI模型（开放系统互连参考模型）独立地建立数据链路层（层2）级或还有网络层（层3）级数据传输连接。

本发明的又一优点是，家庭控制网络设备对可以也通过这样的防火墙在它们自己当中建立安全数据传输连接，防火墙有时候改变其源或目标端口。

根据本发明的在家庭控制网络的两个网络终端之间的虚拟专用网络的建立方法特征在于，

-形成预定网络终端对的第一网络终端和第二网络终端二者都不时地将轮询发送到家庭控制网络服务器，预定网络终端对的成员被只允许与彼此通信，其中家庭控制网络服务器被询问设备对的另一设备是否连接数据传输网络，且如果是，则

-第一网络终端和第二网络终端二者连接到家庭控制网络服务器以建立虚拟专用网络并从家庭控制网络服务器请求路由信息，以便建立在所述网络终端之间的端对端数据传输连接。

-在家庭控制网络服务器检查出网络终端是预定网络终端对之后，家庭控制网络服务器向第一网络终端和第二网络终端二者都发送所请求的路由信息，以及

-第一网络终端和第二网络终端使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供至少一个虚拟专用网络。

要连接到虚拟专用网络的根据本发明的家庭控制网络密钥特征在于，它可包括处理器、存储器和存储在其中的计算机程序代码，其配置成：

-不时地将轮询发送到家庭控制网络服务器，其中它被询问家庭控制网络设备是否连接到数据传输网络，家庭控制网络设备被预先确定为家庭控制网络密钥的网络终端对，且家庭控制网络密钥被允许与家庭控制网络设备通信，且如果家庭控制网络设备连接到数据传输网络，则：

-连接到家庭控制网络服务器并从家庭控制网络服务器请求家庭控制网络设备的路由信息，以便建立到家庭控制网络设备的虚拟专用网络，

-从家庭控制网络服务器接收家庭控制网络设备的路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供与家庭控制网络设备的至少一个虚拟专用网络。

在资产中的根据本发明并连接到虚拟专用网络的家庭控制网络设备特征在于，它的处理器、存储器和存储在其中的计算机代码配置成：

-不时地将轮询发送到家庭控制网络服务器，其中它被询问家庭控制网络密钥是否连接到数据传输网络，家庭控制网络密钥被预先确定为家庭控制网络设备的网络终端对，且家庭控制网络设备被只允许与家庭控制网络密钥通信，且如果家庭控制网络密钥连接到数据传输网络，则：

-连接到家庭控制网络服务器并从家庭控制网络服务器请求家庭控制网络密钥的路由信息，以便建立到家庭控制网络密钥的虚拟专用网络，

-从家庭控制网络服务器接收家庭控制网络密钥的路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供与家庭控制网络密钥的至少一个虚拟专用网络。

在家庭控制网络密钥中利用的根据本发明的计算机程序特征在于，它包括：

-用于不时地将轮询发送到家庭控制网络服务器的代码模块，其中家庭控制网络服务器被询问家庭控制设备是否连接到数据传输网络，家庭控制网络密钥与家庭控制设备形成预定终端对，预定终端对的成员被允许仅与彼此通信，且如果家庭控制网络设备连接到数据传输网络，则：

-用于连接到家庭控制网络服务器并从家庭控制网络服务器请求家庭控制网络设备的路由信息以便建立到家庭控制网络设备的虚拟专用网络的代码模块，

-用于从家庭控制网络服务器接收家庭控制网络设备的路由信息的代码模块，以及

-用于使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程以便提供与家庭控制网络设备的至少一个虚拟专用网络的代码模块。

在家庭控制网络设备中利用的根据本发明的计算机程序特征在于，它包括：

-用于不时地将轮询发送到家庭控制网络服务器的代码模块，其中家庭控制网络服务器被询问家庭控制网络密钥是否连接到数据传输网络，家庭控制网络设备与家庭控制网络密钥形成预定终端对，预定终端对的成员被允许仅与彼此通信，且如果家庭控制网络密钥连接到数据传输网络，则：

-用于连接到家庭控制网络服务器并从家庭控制网络服务器请求家庭控制网络密钥的路由信息以便建立到家庭控制网络密钥的虚拟专用网络的代码模块，

-用于从家庭控制网络服务器接收家庭控制网络密钥的路由信息的代码模块，以及

-用于使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程以便提供与家庭控制网络密钥的至少一个虚拟专用网络的代码模块。

在从属权利要求中给出了本发明的一些有利的实施例。

本发明的基本思想如下：为了实现在一些资产中的远程控制，制造了设备对——家庭控制网络设备和家庭控制网络密钥（设备），其中至少一个家庭控制网络设备和至少一个家庭控制网络密钥（设备）可只与彼此建立安全的数据传输连接。所述家庭控制网络密钥（设备）可以是为了这个目的而制造的单独电子设备，或它也可以是某个数据处理设备，其中安装根据本发明的计算机程序，所述程序实现家庭控制网络密钥功能。

要受远程控制的在资产中的家庭控制网络设备安装在要控制的在资产中的现有内联网网络或因特网网络中。它在内联网或因特网网络中建立一个子网络——控制内联网网络，在资产中要控制的各种致动器使用有线或无线数据传输连接来连接到控制内联网网络。

在本发明的一个有利的实施例中，单独家庭控制网络密钥或若干家庭控制网络密钥可以起在不同资产中的两个或更多个家庭控制网络设备的设备对的作用。家庭控制网络设备和家庭控制网络密钥的识别代码结合其制造存储在所述设备中，或所述设备在它们第一次被连接在例如其USB端口处时改变其识别代码。通过使用识别代码，家庭控制网络设备和家庭控制网络密钥在它们之间建立双向安全数据传输连接。

结合启动，这两个设备确定从其局部网络一直到连接到因特网的网络终端的设备的路由信息，该路由信息是连接建立所需的。这个路由信息存储在连接到因特网的根据本发明的家庭控制网络服务器中。当家庭控制网络密钥（设备）想建立经由因特网到在某个资产中的其设备对的数据传输连接时，它从家庭控制网络服务器检索起其设备对的作用的家庭控制网络设备的路由信息。通过利用所得到的路由信息，家庭控制网络密钥开始直接端对端数据传输连接的建立过程，通过该过程安全的虚拟专用网络（VPN）在家庭控制网络密钥和家庭控制网络设备之间被有利地建立。在数据传输连接的该建立中，按需要使用适当的数据传输协议。

可试图有利地建立端对端数据传输连接首先作为基于TCP的数据传输连接或作为基于UDP的数据传输连接，如果这是在设备之间的数据传输网络部件所允许的。

如果要建立的数据传输连接具有偶尔改变其源和/或目标端口以便防止网络攻击的网络部件（例如防火墙），则除了上面提到的以外还通过使用UDP端口扫描来试图有利地建立端对端数据传输连接。除了UDP端口扫描以外，还可试图也通过使用ICMP协议建立端对端数据传输连接。

如果由于一个原因或其它原因，不能使用上面提到的协议来建立直接端对端数据传输连接，则通过与本发明有关的家庭控制网络服务器来建立基于TCP协议的安全隧道。在这个实施例中，家庭控制网络服务器不对它所接收的安全消息加密，而是同样地将它们直接传递到接收设备。如果在该建立的TCP中继连接期间发现将可能建立VPN数据传输连接，则数据传输有利地改变到该另一双向端对端数据传输连接。

当建立通过家庭控制网络服务器中继的直接数据传输连接或数据传输连接时，在资产中的家庭控制网络密钥和家庭控制网络设备之间建立直接VPN数据传输连接。

在与资产的控制和管理有关的现有内部数据传输网络和将业务从资产中继到因特网的网络终端之间要受远程控制的资产的内部数据传输网络中安装根据本发明的家庭控制网络设备。与资产控制有关的所有设备连接到家庭控制网络设备的输入，且家庭控制网络设备的输出连接到意欲用于中继因特网业务的网络终端的内联网设备的输入。

在根据本发明的家庭控制网络系统中，家庭控制网络密钥是无线地或通过电缆连接而连接的网络终端的设备和适当的数据处理设备。

在根据本发明的另一实施例中，家庭控制网络密钥可连接到某个数据处理设备，其连接到因特网。可能的数据处理设备是例如PC、平板计算机或智能电话。在这个实施例中，可例如借助于LAN接口（局域网）、WLAN接口（无线LAN）、WAN接口（广域网）、USB接口（通用串行总线）或天线接口来完成家庭控制网络密钥到数据处理设备的连接。

在本发明的一个有利的实施例中，实现家庭控制网络密钥的功能的计算机程序存储在便携式数据存储装置（例如USB棒）中，计算机程序可从便携式数据存储装置安装到适当的数据处理设备中。安装在数据处理设备中的程序模拟家庭控制网络密钥的所有功能。

在下文中，将详细描述本发明。在本描述中，参考附图，其中：

图1a作为例子示出可如何在处理远程控制的客户端设备和资产的单独控制或管理设备之间建立根据本发明的双向数据传输连接，

图1b示出根据本发明的另一例子，其中可在处理远程控制的客户端设备和资产的单独控制或管理设备之间建立双向数据传输连接，

图2示出如何建立在客户端设备和资产中的设备之间的数据传输连接的示例性流程图，

图3a作为例子示出包括在图2中的步骤201中的部分步骤，

图3b作为例子示出包括在图2中的步骤206中的建立步骤，

图4作为例子示出根据本发明的家庭控制网络设备，

图5a作为例子示出根据本发明的家庭控制网络密钥，

图5b作为例子示出根据本发明的另一家庭控制网络密钥，

图6作为例子示出根据本发明的家庭控制网络服务器，以及

图7示出在家庭控制网络系统中利用的根据本发明的连接层。

在下面的描述中的实施例仅作为例子被给出，且本领域中的技术人员也可以用不同于在本描述中所描述的一些其它方式实现本发明的基本思想。虽然本描述在若干地方中可以参考某个实施例或某些实施例，这并不意味着参考将只针对一个所描述的实施例或所描述的特性将只在一个所述实施例中可用。可组合两个或更多个实施例的单独特性，并可因此提供本发明的新的实施例。

图1a和1b示出根据本发明的远程控制系统的两个有利的实施例1A和1B。在图1a和1b的例子中，由软件转换成家庭控制网络密钥的数据处理设备41c或一个家庭控制网络密钥42、42b用于建立到同一资产中的一个家庭控制网络设备61的数据传输连接。转换成根据本发明的家庭控制网络密钥的数据处理设备41c或家庭控制网络密钥42、42b然而也可有利地与在两个或更多个资产中的单独家庭控制网络设备一起起作用。

在图1a和1b的两个实施例中，数据传输网络主要具有相同的基本网络结构。在这两个附图中，用附图标记2示出因特网。某个公用网络或内联网（附图标记3）也连接到因特网2。网络3可以是固定或无线数据传输网络。在图1a中，第一数据传输网络4——资产的房屋控制远程网络——连接到网络3，实现远程控制的客户端设备（附图标记41a）可连接到房屋控制远程网络。在图1b中，家庭控制网络密钥42b连接到数据处理设备41c，其又连接到公用网络/内联网网络3。

当家庭控制网络设备61或家庭控制网络密钥42、42b连接到其自己的本地数据传输网络时，它不时地将轮询发送到属于远程控制系统的家庭控制网络服务器21，以便找出它自己的对应设备是否连接到网络。如果从家庭控制网络服务器21所发送的回复中对应设备连接到其自己的数据传输网络变得明显，则设备对的两个成员通过下面描述的过程开始虚拟专用网络（VPN数据传输连接）的建立过程。

在图1a和1b中用附图标记5指明要受远程控制的资产中的房屋内联网。第二数据传输网络6——房屋控制内联网——连接到房屋内联网网络5。资产中的要受远程控制的致动器62-65连接到房屋控制内联网。

对本领域中的技术人员很明显，在根据本发明的家庭控制网络设备61和/或家庭控制网络密钥42、42b或41c和因特网2之间也可以有比在图1a和1b中所示的更多的子网络。

在图1a和1b的例子中，根据本发明的第二网络终端——家庭控制网络设备61（HCND）——连接到房屋内联网网络10.0.0.0/24（附图标记5）。房屋内联网网络5使用网络终端51连接到因特网2。网络终端51可以是路由器、调制解调器或防火墙，其还可包括网络地址转换器NAT。图1a和1b的例子中，房屋内联网5在包含NAT功能的防火墙FW1（附图标记51）后面。在图1a和1b的例子中的防火墙FW1的公用IP地址是240.1.1.2。在房屋内联网5中，防火墙FW1的内部IP地址是10.0.0.1。两个示例性其它数据处理设备也连接到房屋内联网网络5，这两个数据处理设备在房屋内联网网络中的IP地址是10.0.0.3和10.0.0.4。

房屋控制内联网网络172.17.0.0/24（HCI）（附图标记6）经由家庭控制网络设备61连接到房屋内联网网络5。家庭控制网络设备61在房屋控制内联网网络中的IP地址是172.17.0.1，而在房屋内联网网络中是10.0.0.2。在图1a和1b的例子中，四个示例性设备/服务器62、63、64和65连接到房屋控制内联网6。设备/服务器可使用永久连接或无线数据传输连接而连接到房屋控制内联网6。

附图标记62示出照明控制web服务器，其在房屋控制内联网网络中的IP地址是172.17.0.5。对于远程用户，照明控制web服务器62被看作设备HCND4。

附图标记63示出热控制web服务器，其在房屋控制内联网网络中的IP地址是172.17.0.4。对于远程用户，热控制web服务器63被看作设备HCND1。

附图标记64示出监视摄像机web服务器，其在房屋控制内联网网络中的IP地址是172.17.0.3。对于远程用户，监视摄像机web服务器62被看作设备HCND2。

附图标记65示出空调web服务器，其在房屋控制内联网网络中的IP地址是172.17.0.2。对于远程用户，空调web服务器65被看作设备HCND3。

在图1a的例子中，根据本发明的第一网络终端——家庭控制网络密钥42（HCNK）——连接到房屋控制远程网络172.17.0.0/24（附图标记4）。房屋控制远程网络4在内联网3的防火墙FW2（附图标记31）后面。NAT防火墙31的公用IP地址在本例中是240.2.1.2，且NAT防火墙的内部IP地址是10.0.1.1。

房屋控制远程网络172.17.0.0/24（HCRN）（附图标记4）经由根据本发明的家庭控制网络密钥42连接到数据传输网络3。家庭控制网络密钥42的IP地址在内联网网络中是10.0.1.2而在房屋控制远程网络中是172.17.0.6。在图1a和1b的例子中，示例性数据处理设备41a连接到房屋控制远程网络4，数据处理设备在房屋控制远程网络4中的IP地址是172.17.0.7。当期望远程地控制连接到房屋控制内联网网络6的设备/服务器62、63、64或65时，这个数据处理设备41a被使用。

根据本发明的家庭控制网络密钥42和家庭控制网络设备61需要彼此的路由信息，以便使它们能够基于数据链路层或基于网络层在它们之间建立数据传输连接，在图1a和1b的例子中是VPN数据传输连接55。所确定的路由信息由根据本发明的家庭控制网络密钥42和家庭控制网络设备61存储在因特网上的家庭控制网络服务器21（HCNS）中。

在图1a的例子中，NAT防火墙不完全限制外发的UDP通信。它们在一种状态中是所谓的NAT防火墙，且“具有存储器”，这也不会不可预知地改变UDP（用户数据报协议）连接的源端口号，如果它们不是必须的话。在图1a的例子中，目的是在数据链路层中建立在家庭控制网络密钥42和家庭控制网络设备61之间的以太网级连接。

当在根据图1a的远程控制系统1A中时，期望在设备之间建立属于虚拟专用网络（VPN）的数据传输连接55，然后设备42和61二者都通过对应设备从家庭控制网络服务器21检索存储在其中的路由信息。在移交路由信息之前，家庭控制网络服务器21检查出它实际上是被允许的家庭控制网络密钥/家庭控制网络设备对的问题。借助于所检索的路由信息，家庭控制网络密钥42和家庭控制网络设备61在它们之间建立直接VPN连接。当VPN连接55完成时，在房屋控制远程网络4中的数据处理设备41a可与在房屋控制网络6中的设备62、63、64或65进行联系。

为了使建立数据传输连接变得可能，家庭控制网络密钥42和家庭控制网络设备61必须确定从它们自己的网络至少到因特网2的其网络路径。在下文中，所述网络路径信息由术语路由信息指代。这个网络路径确定可例如以家庭控制网络密钥42和家庭控制网络设备61有利地利用的下列方式做出。

在图1a的例子中，网络路由由家庭控制网络密钥42和家庭控制网络设备61确定。这些设备将所发现的网络路径存储在家庭控制网络服务器21上，家庭控制网络服务器21将它们存储在其存储器中。

根据本发明的家庭控制网络密钥42和家庭控制网络设备61也有利地具有确定自由网络空间的能力。所述设备配置成通过利用在家庭控制网络服务器21上的网络路径信息来自动为它们自己确定可用网络空间。所述设备请求家庭控制网络服务器21给出网络空间的一些自由部分。家庭控制网络服务器21检查它接收到的网络路径并返回某个网络块，其中甚至没有一个地址在由此已知的任何设备的网络路径中被提到。

家庭控制网络设备61也在其自己的子网络4和6中为连接到这些子网络的设备有利地提供DHCP和DNS服务。此外，家庭控制网络密钥42和家庭控制网络设备61起连接到子网络的设备的默认网关的作用。

图1b示出根据本发明的另一远程控制系统1B。在图1b中，由用户利用的数据处理设备41c连接到以附图标记3描绘的数据传输网络。图1b的实施例不同于图1a的实施例之处在于图1a的家庭控制网络密钥42的功能用包括USB存储器42e的家庭控制网络密钥42b代替，家庭控制网络密钥42b可连接到由客户端利用的数据处理设备41c。在这个实施例中，数据处理设备41c和设备42b共同起家庭控制网络密钥的作用。

在本发明的另一有利的实施例中，实现根据本发明的家庭控制网络密钥的功能的计算机程序被安装到数据处理设备41c。可通过将USB记忆棒附接到在数据处理设备41c中的USB端口，来例如从USB记忆棒将计算机程序有利地存储在数据处理设备41c中。对于本领域中的技术人员很明显，某个其它现有技术数据存储装置也可用作计算机程序的存储装置。在这个实施例中，数据处理设备41c使用安装在其中的计算机程序模拟根据本发明的家庭控制网络密钥。

在图1b的例子中，图1a的家庭控制网络密钥42在用户的数据处理设备41c中被全部或部分地模拟。用户在其数据处理设备41c中使用浏览器与这个模拟软件进行联系，或可替代地，模拟软件在数据处理设备41c中打开浏览器窗口。通过在数据处理设备41c中发动根据本发明的模拟程序来开始模拟，该模拟程序通过软件实现物理家庭控制网络密钥42的所有功能。

在这个实施例中，通过利用用户的数据处理设备41c来实现图1a的家庭控制网络密钥42的所有功能——通信、启动和连接建立，由此，根据图1a的物理上分离的家庭控制网络密钥42对建立到资产中的设备对61的连接是不需要的。

如果由于某个原因上面描述的直接VPN隧道的建立在图1a和1b中呈现的家庭控制网络密钥42、42b或41c和家庭控制网络设备61之间不是成功的或它仅仅是偶尔成功的（例如，如果网络部件偶尔改变源和/或目标端口），则远程控制布置可利用结合图3b描述的其它访问协议。此外在这种情况下，对于客户端设备用户，远程控制系统以与在图1a或图1b中呈现的远程控制系统中相同的方式起作用。

下面是在图1a的例子中根据本发明的远程控制系统1A的操作的例子。

家庭控制网络设备61：

家庭控制网络设备61例如通过将电缆附接到家庭控制网络设备61的WAN端口来连接到10.0.0.0/24网络（房屋内联网5）。家庭控制网络设备61使用DHCP过程自动检索其IP设置。在房屋内联网网络5中的防火墙FW1有利地起DHCP服务器的作用，该防火墙将在24比特网络掩码（255.255.255.0）中的IP地址10.0.0.2给予家庭控制网络设备61。DHCP服务器还给予默认路由器地址10.0.0.1和DNS服务器地址10.0.0.1。

家庭控制网络设备61通过借助于DNS服务器查明家庭控制网络服务器21的IP地址（HCNS、DNS地址etahallinta.fi）来开始通信。DNS服务器10.0.0.1将IP地址为240.1.1.1给予家庭控制网络服务器21。

家庭控制网络设备61使用TCP或UDP协议在因特网上与家庭控制网络服务器21进行联系240.1.1.1。家庭控制网络设备61使用结合制造确定的证书和/或口令来认证与家庭控制网络服务器21的相互操作权限。这个数据传输连接例如使用SSL/TLS加密被有利地加密。家庭控制网络服务器21从进入的连接看到家庭控制网络设备61的公用IP地址，其在图1a的例子中是240.1.1.2。家庭控制网络设备61将它自己的地址和网络掩码（10.0.0.2/24）通知给家庭控制网络服务器21。家庭控制网络服务器21将这个信息存储在其Tosibox数据库中。

家庭控制网络设备61还有利地执行对于家庭控制网络服务器21的跟踪路由操作，并将所发现的网络路径报告给家庭控制网络服务器21。家庭控制网络服务器21将家庭控制网络设备61的所接收的网络路径存储在其Tosibox数据库中。

接着家庭控制网络设备61还有利地执行ICMP记录路由操作，并将所发现的路由报告给家庭控制网络服务器21。家庭控制网络服务器21将从家庭控制网络设备61接收的路由存储在其Tosibox数据库中。

其后，家庭控制网络设备61通过将查询发送到家庭控制网络服务器21来执行自由网络空间的自动确定。在图1a和1b的例子中，家庭控制网络服务器21将网络空间172.17.0.0/24返回到家庭控制网络设备61。

家庭控制网络设备61对其内联网6利用网络空间，且家庭控制网络设备61取172.17.0.1作为其自己的IP地址。家庭控制网络设备61通知家庭控制网络服务器21关于该利用，服务器将信息存储在其Tosibox数据库中。

在图1a和1b中，家庭控制网络设备61被示出为其自己的单独设备，其建立它自己的子网络用于控制资产中的设备。对本领域中的技术人员很明显，家庭控制网络设备61的功能可被集成为计算机化或房屋工程设备的一部分，计算机化或房屋工程设备具有足够的处理器和存储器容量以及用于使用有线数据传输连接或无线数据传输连接来将各种技术装置连接到计算机化或房屋工程设备的连接装置。

家庭控制网络密钥42：

在图1a的例子中，家庭控制网络密钥42的WAN端口连接到10.0.1.0/24网络（数据传输网络3）。家庭控制网络密钥42从DHCP服务器检索IP地址信息，防火墙FW2起DHCP服务器（附图标记31）的作用。家庭控制网络密钥得到IP地址10.0.1.2。家庭控制网络密钥42的默认路由器31的地址是10.0.1.1，且DNS服务器31的地址是10.0.1.1，其从DHCP服务器得到。

家庭控制网络密钥42通过借助于DNS服务器查明家庭控制网络服务器21的IP地址（HCNS、DNS地址hcns.fi）来开始通信。在图1和2的例子中，DNS服务器10.0.1.1给出240.1.1.1作为家庭控制网络服务器21的IP地址。

其后，家庭控制网络密钥42主要使用UDP协议其次使用TCP协议在因特网上联系在地址240.1.1.1上的家庭控制网络服务器21。家庭控制网络密钥42使用预先分配的证书和/或口令来认证与家庭控制网络服务器21的相互操作权限。该数据传输连接例如使用SSL/TLS加密被有利地加密。家庭控制网络服务器21从进入的连接看到家庭控制网络密钥42的公用IP地址240.2.1.2。家庭控制网络密钥42此外将它自己的地址和网络掩码10.0.1.2/24通知给家庭控制网络服务器21。家庭控制网络服务器21将这个信息存储在其Tosibox数据库中。

接着，家庭控制网络密钥42执行跟踪路由操作，并将所发现的网络路径报告给家庭控制网络服务器21，家庭控制网络服务器21将信息存储在其Tosibox数据库中。

家庭控制网络密钥42还有利地执行ICMP记录路由操作，并将所发现的网络路径报告给家庭控制网络服务器21，家庭控制网络服务器21将信息存储在其Tosibox数据库中。

家庭控制网络服务器21检查所接收的路由信息，且如果存在重叠，则家庭控制网络服务器21将它们报告给家庭控制网络密钥42，家庭控制网络密钥42在必要时再次执行自由网络空间的自动确定。

数据处理设备41c作为家庭控制网络密钥：

在根据图1b的实施例1B中，家庭控制网络密钥42可以用家庭控制网络密钥42b或用户的数据处理设备41c代替，其中包括家庭控制网络密钥的功能的计算机程序从适当的数据存储装置（例如USB记忆棒）被存储。所述家庭控制网络密钥42b可以有利地是包括USB连接的所谓的电子设备。在图1b的实施例中，家庭控制网络密钥42的上述功能由从USB记忆棒安装到用户的数据处理设备41c中的计算机程序执行。

在根据图1b的实施例中，可结合制造或在最终使用目标处确定家庭控制网络密钥42b和家庭控制网络设备61的配对。如果配对确定在最终使用目标处完成，则家庭控制网络密钥42b在根据图1b的实施例中暂时连接到家庭控制网络设备61。该连接有利地通过设备的USB端口或经由无线无线电网络来实现。

经由耦合，家庭控制网络密钥42b和家庭控制网络设备61可接收其设备对的识别代码，并将它自己的识别代码发送到其设备对。其后，这两个设备可只与彼此建立数据传输连接。

有利地如下实现家庭控制网络密钥计算机程序到用户的用户终端41c的传输。

当家庭控制网络密钥42b通过其到数据处理设备41c的连接暂时被附接时，于是包含在具有其单独识别代码的家庭控制网络密钥42b中的计算机程序被安装在用户的数据处理设备41c中（附图标记42e）。结合该安装，数据处理设备41c的用户被询问他是否想利用设备和/或程序的保护功能。如果期望激活保护功能，则在这种情况下，家庭控制网络密钥安装程序请求用户只向用户的数据处理设备41c或向所安装的程序或如果需要的话向这两者给予他的口令。

如果期望，家庭控制网络密钥与其程序、单独识别代码和口令一起也可例如存储在被很好地保护的内部网络服务器上，当必要时，它可从内部网络服务器移动回到新的家庭控制网络密钥（例如，如果原始密钥设备被破坏或丢失）。

在本发明的有利实施例中，包含在家庭控制网络密钥42b中的程序与其识别代码一起也可存储在若干数据处理设备41c上，这些数据处理设备41c可因此与第一数据处理设备并行地起作用。

在本发明的有利实施例中，包含在家庭控制网络密钥42b中的计算机程序例如也可位于因特网上的服务器上，它可从该服务器被检索。在这个有利的实施例中，物理的家庭控制网络密钥42b本身可只包括识别设备对所需的识别代码。

图2作为示例性流程图示出在家庭控制网络密钥42或42b和家庭控制网络设备61一起配对之后根据本发明的远程控制方法的操作。

当家庭控制网络设备61或家庭控制网络密钥42、42b连接到其自己的本地数据传输网络时，它/它们不时地将轮询（所谓的进行轮询）发送到属于远程控制系统的家庭控制网络服务器21，以便找出它自己的对应设备对是否连接到网络。如果从家庭控制网络服务器21发送的回复中对应设备对连接到其自己的数据传输网络变得明显，则设备对的两个成员都通过稍后描述的过程开始虚拟专用网络（VPN数据传输连接）的建立过程。

在步骤200中，家庭控制网络设备61连接到房屋内联网网络5，且家庭控制网络密钥42或支持或模拟家庭控制网络密钥4ab的数据处理设备41c也有利地连接到内联网网络3。在资产中的要受远程控制的所有设备使用永久连接或无线连接来连接到家庭控制网络设备61。

在步骤201中，家庭控制网络设备61和家庭控制网络密钥42、42b或模拟家庭控制网络密钥41c的数据处理设备41c二者确定它们到家庭控制网络服务器21的网络路径，如果它们的当前网络路径信息不是最新的。在图3a中更详细示出在步骤201中使用的过程。

在步骤302中，家庭控制网络设备和/或家庭控制网络密钥42、4a或模拟家庭控制网络密钥的数据处理设备41c二者都在家庭控制网络服务器21上存储它们的所确定的网络路径，如果最新的网络路径信息能够被确定。

在步骤203中，要在远程控制中被利用的根据本发明的设备42、42a或41c和61接收下列信息：他们的设备对已向家庭控制网络服务器21注册或注册遗漏。如果属于设备对之一的根据本发明的设备42、42b或41c和61的最新网络路径信息遗漏，则远程控制系统1A或1B在指定延迟212之后移动到家庭控制网络服务器连接的侦听和检查步骤213。

在连接建立开始时，家庭控制网络密钥42/42b和家庭控制网络设备61二者在步骤204中从家庭控制网络服务器21请求对应方的最新网络路径信息。家庭控制网络服务器21检查出它是预先确定的被允许的设备对的问题，且在检查之后它在步骤205中将网络路径信息发送到这两个设备。其后，家庭控制网络服务器21释放到这两个设备42/42b和61的连接，且因此它不再是正形成的VPN隧道55的一部分。

在步骤206中，家庭控制网络密钥42/42b/42c和家庭控制网络设备61在它们之间形成VPN隧道55。在图3b中更详细描述了包括在步骤206中的部分步骤。

在步骤207中，在资产中的用户的客户端设备41a或41c和目标设备62-65二者都连接到所建立的VPN网络。

在图1a的实施例中，用户的客户端设备41a通过家庭控制网络密钥42连接到VPN网络。在图1b的实施例中，连接到用户的数据处理设备41c的家庭控制网络密钥42b是VPN网络的端点之一。在目标中的要受远程控制的设备62-65通过家庭控制网络设备61连接到VPN网络。

在步骤208中，用户的客户端设备41a或41c和在资产中的要控制的设备62-65是同一VPN网络的部分，由此，它们可在彼此之间交换信息。在远程控制系统中规定的延迟之后，步骤209包括检查在客户端设备41a或41c和目标设备62-65之间的数据传输连接是否仍然是活动的。如果数据传输连接是活动的，则过程返回到步骤208，且数据传输被允许继续。

如果在步骤209中发现VPN连接不再是活动的，则在步骤210中做出关于在建立连接时的可能的新尝试的决定。

如果在步骤210中决定在建立连接时进行新尝试，则过程分支到步骤214。在步骤214中，检查成员是否知道对应方的最新网络路径。如果网络路径信息是最新的，则过程分支到步骤205，其中家庭控制网络服务器将对应方的最新网络路径信息发送到用于建立VPN隧道的根据本发明的设备。

如果在步骤214中发现网络路径细节之一遗漏或不是最新的，则过程返回到步骤201，其中根据本发明的设备中的一个或两个的网络路径信息的确定被更新。

在这个替代中，过程有利地还包括用于释放VPN连接的必要过程，使得根据本发明的连接过程本身可被成功地更新。根据预定的数量来尝试连接建立。

如果在步骤210中决定建立VPN连接的新尝试将不再被做出，因为进行了预定数量的连接建立尝试或由于某个其它原因不期望建立VPN连接，则过程移动到步骤211。在步骤211中，释放所使用的VPN数据传输网络。这是例如当家庭控制网络密钥被关闭时的情况。

在VPN数据传输网络被释放之后，预定的延迟212在远程控制系统1A或1B中利用的过程中跟着发生。在延迟212之后，过程移动到家庭控制网络服务器的侦听功能213。在那里至少当前携带的家庭控制网络设备61不时地将连接请求发送到家庭控制网络服务器21。

家庭控制网络设备61有利地发送连接请求，直到家庭控制网络服务器21将最新网络路径信息发送给它为止。当网络路径信息被接收到时，VPN连接的建立过程在步骤201中开始。

分支到步骤212也可从步骤203发生。这在一个或两个设备的网络路径信息不能够被确定并存储在家庭控制网络服务器上时发生。此外，过程的这个分支在步骤231和214之后返回到步骤201，其中参与远程控制的至少一个设备尝试确定其网络路径信息并将它存储在家庭控制网络服务器21上。

在图3a中更详细描述了在步骤201中使用的搜索过程。

在步骤2011中利用DHCP协议（动态主机配置协议），可检索数据处理设备的网络接口的IP设置。使用DHCP过程可得到的设置至少包括数据处理设备的IP地址、网络掩码、默认网关和DNS服务器（域名系统），其将域名转换成IP地址。

在步骤2012中利用的跟踪路由过程是使用TCP/IP协议的工具，其查明分组通过哪个路由或网络路径移动到所确定的机器。在跟踪路由过程中，连接到网络的数据传输设备通过添加分组的生存时间值（TTL）来查明网络路径，其从零开始一次发送一个生存时间值（TTL）。

查明网络路径一般以下面的方式出现。数据处理设备使用TTL值“0”将具有在外部网络中的某个目标地址的IP分组发送到默认网关。默认网关用TTL过期的消息对此做出响应。例如默认网关的IP地址、延迟等从该消息中变得清楚。

其后，数据处理设备使用TTL值“1”将具有在外部网络中的某个目标地址的IP分组发送到默认网关。在默认网关之后的路由器再次用消息“TTL过期”做出响应，从该消息中，该后续(第二)路由器的IP地址变得清楚。该传输/响应过程通过增加TTL值来继续，直到到达期望目标。在因特网的情况中，一般在TTL值为6-15的情况下到达最终目标。最终结果是，数据处理设备知道到外部世界（例如因特网）的网络路径。

ICMP协议（因特网控制消息协议）可在查明外部地址时被利用。在ICMP过程中使用ICMP分组的记录路由标记，该标记请求在网络路径上的设备的操作系统在ICMP分组的标题中记录发送路由器的IP地址。

图3b示出实现VPN隧道的建立并在图2中的步骤206中利用的连接建立过程2060-2064中的一些。在图3b中，可选的连接建立过程被示为同时利用的并行过程。然而本发明不限于这个实施例，而是连接建立过程也可根据应用以适当的方式被实现为连续的连接建立过程。在这个实施例中，即使在VPN隧道的一个连接建立之后，也不一定尝试利用其它连接建立方法。

图3b的例子示出VPN隧道的五个可能的建立方法。使用附图标记2060示出通过使用TCP协议来建立VPN隧道。如果在家庭控制网络设备和家庭控制网络密钥之间的通信网络的元件允许连接建立，则它在步骤2060a中被查明。如果不能建立连接，则有利地再次尝试连接建立。

使用附图标记2061示出通过使用UDP协议来建立VPN隧道。如果在家庭控制网络设备和家庭控制网络密钥之间的通信网络的元件允许连接建立，则它在步骤2061a中被查明。如果不能建立连接，则有利地再次尝试连接建立。

使用附图标记2062示出通过使用稍后描述的UDP端口扫描来建立VPN隧道。如果在家庭控制网络设备和家庭控制网络密钥之间的通信网络的元件允许连接建立，则它在步骤2062a中被查明。如果不能建立连接，则有利地再次尝试连接建立。

使用附图标记2063示出通过使用稍后描述的ICMP过程来建立VPN隧道。如果在家庭控制网络设备和家庭控制网络密钥之间的通信网络的元件允许连接建立，则它在步骤2063a中被查明。如果不能建立连接，则有利地再次尝试连接建立。

使用附图标记2064示出通过使用稍后描述的TCP中继过程来建立VPN隧道。有利地，当在家庭控制网络设备和家庭控制网络密钥之间的通信网络元件不允许直接端对端VPN隧道的建立时利用这个过程。此外在这个过程中，在步骤2060a中查明安全的数据传输连接是否在家庭控制网络设备和家庭控制网络密钥之间已被成功地建立。如果不能建立连接，则有利地再次尝试连接建立。

每个连接建立过程2060-2064可提供在家庭控制网络设备61和家庭控制网络密钥42或42b之间的VPN数据传输连接。在步骤2069中，选择一个或多个VPN隧道，其用作数据传输连接。

使用程序命令来实现图2、3a和3b所示的所有过程步骤，程序命令在适当的通用或专用处理器中被执行。程序命令存储在由家庭控制网络设备61和家庭控制网络密钥42利用的存储介质（例如存储器）上，处理器可从该存储介质检索并实现它们。对计算机可读介质的提及可例如还包含特殊部件，例如可编程USB闪速存储器、逻辑阵列（FPLA）、专用集成电路（ASIC）和信号处理器（DSP）。

通过使用UDP协议来建立VPN隧道的例子，在图1a的布置中的附图标记2061：

家庭控制网络密钥42开始配对过程。它通知家庭控制网络服务器21它想有利地通过使用UDP协议建立到家庭控制网络设备61的数据传输连接。家庭控制网络服务器21决定所请求的数据传输连接应使用下面的端口号来建立：

-家庭控制网络密钥：UDP源端口10500、UDP目标端口10501、目标IP地址240.1.1.2

-家庭控制网络设备：UDP源端口10501、UDP目标端口10500、目标IP地址240.2.1.2

家庭控制网络服务器21将这个信息报告给家庭控制网络密钥42和家庭控制网络设备61。

其后，家庭控制网络密钥42将UDP分组发送到在源端口10500到目标端口10501上的地址240.1.1.2。所发送的分组通过包含NAT功能的防火墙FW2，因为外发业务没有被强烈地限制。FW2防火墙31记住UDP分组作为在接下来的X秒内与联系信息10.0.0.2、240.1.1.2、10500和10501的连接。

UDP分组到达在家庭控制网络设备61前面的FW1防火墙，该防火墙不允许进入的业务且它丢掉分组。分组不到达地址10.0.0.2。

家庭控制网络设备61将UDP分组发送到在源端口10501到目标端口10500上的地址240.2.1.2。所发送的UDP分组通过FW1NAT防火墙51，因为外发业务未被限制。FW1防火墙51记住UDP分组作为在接下来的X秒内与联系信息10.0.0.2、240.2.1.2、10501和10501的连接。

UDP分组到达FW2防火墙31。FW2防火墙31记住IP地址10.0.1.2已建立到在源端口10500和目标端口10501上的地址240.1.1.2的UDP连接。因为UDP分组来自在源端口10501和到目标端口10500上的所述源地址240.2.1.2，FW2防火墙31将分组解释为与设备10.0.1.2所建立的连接有关的返回通信。防火墙FW2其后执行地址改变操作。它将UDP分组的目标地址改变为10.0.1.2。其后，FW2防火墙31将UDP分组路由到地址10.0.1.2。现在，家庭控制网络密钥42从家庭控制网络设备61接收消息。从家庭控制网络设备61到家庭控制网络密钥42的单向数据传输连接现在存在。

现在，家庭控制网络密钥42将UDP分组发送到在源端口10500到目标端口10501上的地址240.1.1.2。UDP分组到达FW1防火墙51。FW1防火墙51记住IP地址10.0.1.2已建立到在源端口10501和目标端口10500上的地址240.2.1.2的UDP连接。因为UDP分组来自在源端口10501上和到目标端口10500的所述源地址240.2.1.2，FW2防火墙51将所接收的分组解释为与设备10.0.0.2所建立的连接有关的返回通信。FW1防火墙51执行地址改变，即，将分组的目标地址改变为10.0.0.2。其后，FW1防火墙51将分组路由到地址10.0.0.2。

现在，在家庭控制网络密钥42和家庭控制网络设备61之间的双向UDP连接存在。这些设备可彼此双向地通信。家庭控制网络设备61和家庭控制网络密钥42使用例如OpenVPN软件在它们之间有利地形成数据链路层级VPN隧道。

家庭控制网络设备61有利地使所创建的VPN隧道55与它所管理的房屋控制远程网络172.17.0.0/24（附图标记6）桥接。以相同的方式，家庭控制网络密钥42使所创建的VPN隧道55与其LAN端口桥接，所以它能够在数据链路层级上提供在网络172.17.0.0/24中的内联网接口。在这些操作之后，房屋控制远程网络4和房屋控制内联网6通过因特网2形成专用VPN网络。

通过使用UDP端口扫描来建立VPN隧道的例子，在图1a的布置中的附图标记2062：

如果数据传输网络中的一个元件偶尔改变源或目标端口，则UDP端口扫描可被利用。下面描述的方法的步骤根据下列事实而彼此不同：偶尔改变源或目标端口的元件是否在发送或接收构件前面。

1．在源端口上扫描：

在家庭控制网络设备61前面的防火墙51只改变发送分组的源地址，源端口没有改变。

家庭控制网络设备61开始发送具有下列信息的UDP分组：源端口5000、源IP10.0.0.2、目标IP5.5.5.5、例如在1024->1054之间的目标端口（30个不同的源端口）。每个UDP分组的数据（有效载荷）包括所选择的目标端口，例如1024。借助于此，它在接收端中是已知的，所发送的分组穿过防火墙31去往该端口。

UDP分组的发送频率有利地是200毫秒。首先例如，在源端口1024上发送UDP分组，在200ms内在源端口1025上发送另一UDP分组，等等。在最后一个源端口1054上发送了UDP分组之后（在大约6秒之后），家庭控制网络设备61再次以相同的顺序从源端口1024开始发送UDP分组。

其后，家庭控制网络密钥42也开始发送具有下列信息的UDP分组：源IP10.0.1.2、目标IP6.6.6.6、目标端口5000、例如在1024->65535之间的源端口（64511个不同的源端口）。UDP分组的发送频率有利地是50毫秒。也就是说，首先例如，在源端口1024上发送UDP分组，在50ms内在源端口1025上发送另一UDP分组，等等。每个UDP分组的有效载荷包括所使用的源端口，例如1024。这个信息在它穿过NAT防火墙51时可用于识别所使用的源端口中的哪个改变到哪个源端口。

目的是在这个步骤期间，由家庭控制网络密钥42发送的UDP分组通过防火墙51，或由家庭控制网络设备61发送的UDP分组通过家庭控制网络密钥42的防火墙31。当设备中的一个或另一个看到UDP分组安然通过时，对于与UDP分组被标记为来自于的位置相同的源端口做出对该UDP分组的响应。其后，可开始VPN连接的建立。

分组的发送继续，直到使连接工作或取消连接建立为止。

2．在目标端口上扫描：

在家庭控制网络密钥42前面的NAT防火墙31改变所发送的数据分组的源地址和源端口。一般，源端口偶尔改变，例如源端口1024可例如改变成源端口16431。

家庭控制网络密钥42开始发送具有下列信息的UDP分组：源端口5000、源IP10.0.1.2、目标端口6.6.6.6、例如在1024->1054之间的源端口（30个不同的源端口）。每个UDP分组的数据（有效载荷）包括源端口，例如1024。借助于此，它在接收端中是已知的，从源端口发送的UDP分组穿过防火墙31。

UDP分组的发送频率有利地是200毫秒。首先例如，在源端口1024上发送UDP分组，在200ms内在源端口1025上发送UDP分组，等等。在最后一个源端口1054上发送UDP分组之后（在大约6秒之后），家庭控制网络密钥42再次以相同的顺序从源端口1024开始发送UDP分组。

其后，家庭控制网络设备61开始发送具有下列信息的UDP分组：源IP10.0.0.2、目标IP5.5.5.5、源端口5000、例如在1024->65535之间的目标端口（64511个不同的目标端口）。分组的发送频率有利地是50毫秒。首先，UDP分组在目标端口1024上被发送，在50ms内在目标端口1025上被发送，等等。每个UDP分组的有效载荷包括由分组使用的目标端口，例如1024。这个信息在它穿过NAT防火墙31时可用于识别所使用的目标端口中的哪个改变成哪个目标端口。

目的是在这个步骤期间，由家庭控制网络密钥42发送的UDP分组通过在家庭控制网络设备61前面的防火墙51，或由家庭控制网络设备61发送的UDP分组通过在家庭控制网络密钥42前面的防火墙31。当设备之一看到UDP分组通过时，对于与分组看起来来自于的相同的源端口做出对该分组的响应。

分组的发送继续，直到使连接工作或取消连接建立为止。

在两种上面提到的情况中，VPN连接的建立可如下开始：

与VPN连接一起使用的三个一组的端口：

-由家庭控制网络设备61使用的源端口（host1_real_source_port）。

-由家庭控制网络设备的NAT防火墙51转换的源端口，其与由家庭控制网络密钥42使用的目标端口（host1_translated_source_port）相同。

-由家庭控制网络密钥42使用的目标端口（host2_real_source_port）。

家庭控制网络设备61打开VPN连接：

-目标IP6.6.6.6

-源端口host1_real_source_port

-源端口host2_real_source_port

家庭控制网络密钥42打开VPN连接：

-目标IP5.5.5.5

-源端口host2_real_source_port

-目标端口host1_translated_source_port

NAT防火墙31和51二者都认为连接从其自己的内联网建立，由此，UDP连接穿过NAT防火墙31和51被路由。

通过使用ICMP协议建立VPM隧道的例子，在图1a的布置中的附图标记2063：

如果在数据传输网络中的网络元件允许ICMPECHO和ICMPECHOREPLY型分组的通信，则可利用IP协议的控制协议。

ICMP方法1：永久ICMPECHOID：

当数据传输网络中的防火墙不对TTL过期消息做出反应时，这个实施例是可能的。

家庭控制网络密钥42经由路由器10.0.1.1发送具有下列信息的IP分组：目标IP6.6.6.6、源IP10.0.1.2、TTL1、类型ICMP、ICMP型ECHOREQUEST、ID1234、序列1，且分组的有效载荷是空的。

所发送的分组穿过NAT防火墙31，由此，分组的源IP改变->5.5.5.5，分组的TTL改变1->0。NAT防火墙31记住，使用ID号1234，源IP10.0.1.2改变成1回波请求。

在因特网2中的路由器（没有在图1a中示出）接收IP分组，该路由器的示例性IP地址为3.1.1.1，该IP分组的TTL为0。这个路由器用“ICMPTTL生存时间过期”消息回复防火墙31。

防火墙31接收“ICMPTTL生存时间过期”消息，但然而不对它做出反应。

家庭控制网络设备61通过路由器10.0.1.1发送具有下列信息的IP分组：目标IP5.5.5.5、源IP10.0.0.2、TTL255、类型ICMP、ICMP型ECHOREPLY、ID1234、序列1，且分组的有效载荷有利地包括VPN通信的30-1400个字节。

所发送的ICMPECHO分组穿过防火墙51，由此，分组的源IP改变->6.6.6.6。ICMP分组到达防火墙31。防火墙31记住具有ICMPECHOID号1234的请求较早被发送。防火墙31记住请求的发送方是设备10.0.1.2。防火墙51将分组进一步路由到地址10.0.1.2。分组的目标IP改变5.5.5.5->10.0.1.2。

家庭控制网络密钥42接收ICMPECHO分组，且因此家庭控制网络设备61将自由形式数据的分组成功地发送到家庭控制网络密钥42。

分别地，家庭控制网络密钥42继续发送ICMPECHOREQUEST分组，且家庭控制网络设备61继续发送ICMPECHOREPLY消息。家庭控制网络密钥42和家庭控制网络设备61在它们本身之间形成单向数据传输连接。

接着，家庭控制网络密钥42和家庭控制网络设备61还形成另一反向ICMP连接。该连接如上所述被建立。只有连接建立的方向改变。在连接建立过程结束时，家庭控制网络设备61接收由家庭控制网络密钥42发送的ICMP分组，该分组的有效载荷有利地包括VPN通信的30-1400个字节。

家庭控制网络密钥42和家庭控制网络设备61继续如上所述向彼此发送请求。因此，双向连接现在存在于家庭控制网络密钥42和家庭控制网络设备61之间。ECHOREPLY消息包括VPN连接的TLS加密通信，使得穿透NAT防火墙31和51的直接VPN连接在家庭控制网络密钥42和家庭控制网络设备61之间成功地形成。

ICMP方法2：可变ICMPECHOID：

数据传输连接可具有以新的ICMPECHOREQUEST是必要的那种方式处理TTL消息（生存时间过期）的网络元件，例如防火墙，使得ICMPECHOREPLY将通过。因而每个“TTL过期”消息“耗尽（eat）”一个ICMPECHOREPLY分组的位置。当这种类型的网络元件看到“TTL过期”消息时，它不再将“ICMPECHOREPLY”消息路由到目标。

该方法与永久ICMPECHOID的情况的差异是，ICMPECHOID在每个ICMPECHOREQUEST和ICMPECHOREPLY分组对中是不同的。ICMPECHOREQUEST和ICMPECHOREPLY分组对的发送在时间的基础上同步地发生，使得ICMPECHOREQUEST和ICMPECHOREPLY基本上同时被发送。因而ICMPECHOREQUEST离开发送构件的NAT防火墙，之后其它设备的ICMPECHOREPLY到达同一防火墙上。

有利地，大值用作TTL值，使得在防火墙从另一端的防火墙接收到“TTL过期”或“错误”、“ICMPECHOREPLY”之前，ICMPECHOREQUEST分组将尽可能长地停留在途中。

在下文中是在图1a的情况下的这个IMPCECHO方法的例子：

家庭控制网络密钥42经由路由器10.0.0.1发送具有下列信息的IP分组：目标IP6.6.6.6、源IP10.0.1.2、TTL255、类型ICMP、ICMP型ECHOREQUEST、ID1000、序列1，且分组的有效载荷是空的。

同时，家庭控制网络设备61发送具有下列信息的IP分组：目标IP5.5.5.5、源IP10.0.0.2、TTL255、类型ICMP、ICMP型ECHOREPLY、ID1000、序列1。分组的有效载荷在它起始部分中包括数字“2000”，然后跟随ICMPECHOREQUEST的所请求的发送频率（例如500ms），且其后是有利地为30-1400字节的自由形成的VPM通信。

由家庭控制网络密钥42发送的ICMPECHOREQUEST分组穿过NAT防火墙31。因而分组的源IP改变->5.5.5.5。NAT防火墙31记住，在ID号1000的情况下，源IP10.0.0.2变成一个ICMPECHOREQUEST。

同时，由家庭控制网络设备61发送的ICMPECHOREQUEST分组穿过NAT防火墙51。因而分组的源IP改变->6.6.6.6。NAT防火墙51记住，在ID号1000的情况下，源IP10.0.0.2变成ICMPECHOREQUEST。

所发送的ICMPECHOREQUEST分组在因特网2中“穿过”彼此，即，两个分组在操作员的网络中同时都在途中。

ICMPECHOREQUEST分组到达防火墙51，且防火墙51对其回复。回复的结果不是明显的，因为在由防火墙51发送的ICMPECHOREPLY分组之前已经发送由家庭控制网络设备61发送的ICMPECHOREPLY。如果防火墙51不回复ICMPECHOREQUES分组，这也不重要。

由家庭控制网络设备61发送的ICMPECHOREPLY分组到达防火墙31。防火墙31记住，具有ID号1000的ICMPECHO分组被较早发送。防火墙31记住，请求的发送方是设备10.0.1.2。防火墙31通过改变分组的目标IP5.5.5.5->10.0.1.2将分组进一步路由到地址10.0.1.2。

家庭控制网络密钥42接收ICMP分组，且因此家庭控制网络设备61将自由形式数据的ICMP分组成功地发送到家庭控制网络密钥42。

接着，家庭控制网络密钥42和家庭控制网络设备61还形成另一反向ICMP连接。该连接如上所述被建立。只有连接建立的方向改变。在连接建立过程结束时，家庭控制网络密钥42接收分组，该分组的有效载荷包括有利地为30-1400字节的VPN通信。

家庭控制网络设备61和家庭控制网络密钥42继续发送ICMPECHOREQUEST和ICMPECHOREPLY分组对，使得每个ICMP分组对具有不同的ECHOID。因此，由防火墙31和51发送的ICMPECHOREPLY或TTL生存时间超过消息不阻碍通信。

家庭控制网络设备61和家庭控制网络密钥42在它们自己当中首先借助于单独的家庭控制网络服务器21且当在ICMPECHOREPLY分组的有效载荷的开始部分中建立直接到彼此的数据传输连接时约定ECHOID号和发送频率。在ICMPREPLY分组的开始部分中，在每个分组中，通知由相应的设备发送的前面的ECHOREQUESTID和由设备对ECHOREQUEST分组请求的发送频率。因此，两个设备都知道那个ECHOID需要在下一ECHOREQUEST分组中被发送，以及下一ECHOREQUEST何时需要被发送。如果例如在ECHOREPLY分组中，所请求的发送频率是500ms，则总是当以毫秒为单位的从连接建立的时刻起的时间可除尽500时，设备才发送它的ECHOREQUEST分组。

通过使用TCP协议来建立VPN隧道的例子，在图1a的布置中的附图标记2064：

辅助TCP中继连接在相应于任何其它连接（例如在两个设备之间的正常直接UDP连接）的数据安全的意义上起作用。与所使用的TCP中继服务器的VPN连接没有打开，但加密发生在建立连接的终端设备中。强行进入TCP中继服务器不能破坏所建立的VPN连接，且根据本发明的家庭控制网络密钥不能被欺骗而连接到错误的设备。

TCP中继连接建立的例子：

家庭控制网络密钥42的公用IP地址是5.5.5.5，家庭控制网络设备61的公用IP地址是6.6.6.6，以及TCP中继服务器（家庭控制网络服务器21）的公用IP地址是7.7.7.7。

家庭控制网络密钥42做出到地址7.7.7.7和到其端口443的TCP连接。TCP中继服务器看到所请求的连接并接受它。TCP握手发生且TCP信道打开。家庭控制网络密钥42沿着TCP信道将连接的唯一信息（例如连接ID）发送到TCP中继服务器。

TCP中继服务器接收信息，且借助于此可稍后将所接收的连接链接到正确的家庭控制网络设备61。

家庭控制网络设备61做出到地址7.7.7.7、到端口443的TCP连接。TCP中继服务器看到所请求的连接并接受它。TCP握手发生且TCP信道打开。家庭控制网络设备61沿着TCP信道将连接的唯一信息（例如连接ID）发送到TCP中继服务器。

TCP中继服务器接收信息，且借助于此，TCP中继服务器稍后知道家庭控制网络设备61要连接到哪个家庭控制网络密钥42。

TCP中继服务器开始在家庭控制网络密钥42和家庭控制网络设备61之间在TCP连接之间发送消息。TCP中继服务器从来自家庭控制网络密钥42的TCP连接读取数据，并同样地将数据发送到家庭控制网络设备61的TCP连接。相应地，TCP中继服务器从家庭控制网络设备61的连接读取数据，并同样地将读取的数据发送到家庭控制网络密钥42的TCP连接。数据传输双向地继续，直到另一TCP连接被中断为止。当另一TCP连接被中断时，另一TCP连接也由TCP中继服务器中断。

图4示出根据本发明的家庭控制网络设备61的功能主要部件。家庭控制网络设备61具有电源621。它可以是蓄电池或基于馈路电流（mainscurrent）的电源。家庭控制网络设备的所有电气部件从电源621得到它们的操作电压。

家庭控制网络设备61具有一个或多个处理器622。处理器或处理器装置可包括算术逻辑单元、一组不同的寄存器和控制电路。计算机可读信息或程序或用户信息可被存储于其上的数据存储布置623（例如存储器单元或存储器装置）连接到处理器装置。存储器装置623一般包含允许读取和写入功能二者的存储器单元（随机存取存储器，RAM）和包含仅可从中读取数据的非易失性存储器的存储器单元（只读存储器，ROM）。设备寄存器、在VPN连接的建立中被利用的证书、当前网络路径信息和家庭控制网络设备61的操作所需的所有程序有利地存储在所述存储器装置中。

存储在家庭控制网络设备61的存储器中的程序的一些例子是操作系统（例如Linux）、TCP/IP程序、VPN程序（例如OpenVPN）、DHCP客户端设备/服务器程序（例如ISCDHCP）、DNS服务器程序（例如dnsmasq）、数据库程序（例如SQLite）、远程控制程序（例如OpenSSH）、证书管理/确认程序（例如GPG）和用户接口库（例如LuCI）。

家庭控制网络设备61还包括接口元件，其包括用于接收或发送信息的输入/输出或输入/输出装置624、625、626、627和628。使用输入装置接收的信息被传输以由家庭控制网络设备61的处理器装置622处理。家庭控制网络设备的接口元件将信息传输到数据传输网络或外部数据处理设备。家庭控制网络设备61的接口元件有利地是WAN端口624、一个或多个LAN端口625、天线端口626、USB端口627和控制端口628。家庭控制网络设备61和家庭控制网络密钥42或41c的配对可有利地例如经由USB端口627来完成。

对本领域中的技术人员很明显，家庭控制网络设备61的功能可被集成为计算机化或房屋工程设备的一部分，计算机化或房屋工程设备具有足够的处理器和存储器容量以及用于使用有线数据传输连接或无线数据传输连接来将各种技术装置连接到计算机化或房屋工程设备的连接装置。这个计算机化设备（其中集成家庭控制网络设备的功能）连接到某个数据传输网络5，存在从该数据传输网络5对公共因特网的访问。

图5a示出根据本发明的家庭控制网络密钥42的功能主要部件。家庭控制网络设备42具有电源421。它可以是蓄电池或基于馈路电流的电源。家庭控制网络设备的所有电气部件从电源421得到它们的操作电压。

家庭控制网络密钥42可包括一个或多个处理器422。处理器或处理器装置可包括算术逻辑单元、一组不同的寄存器和控制电路。计算机可读信息或程序或用户信息可被存储于其上的数据存储布置423（例如存储器单元或存储器装置）连接到处理器装置。存储器装置423一般包含允许读取和写入功能二者的存储器单元（随机存取存储器，RAM）和包含仅可从中读取数据的非易失性存储器的存储器单元（只读存储器，ROM）。要在VPN连接的建立中被利用的证书、当前网络路径信息和家庭控制网络密钥42的操作所需的所有程序有利地存储在所述存储器装置中。

存储在家庭控制网络密钥42的存储器中的程序的一些例子是操作系统（例如Linux）、TCP/IP程序、VPN程序（例如OpenVPN）、DHCP客户端设备/服务器程序（例如ISCDHCP）、DNS服务器程序（例如dnsmasq）、数据库程序（例如SQLite）、远程控制程序（例如OpenSSH）、证书管理/确认程序（例如GPG）和用户接口库（例如LuCI）。

家庭控制网络密钥42还包括接口元件，其包括用于接收或发送信息的输入/输出或输入/输出装置424、425、426、427和428。使用输入装置接收的信息被传输以由家庭控制网络密钥42的处理器装置422处理。家庭控制网络设备的接口元件将信息传输到数据传输网络或外部数据处理设备。家庭控制网络设备42的接口元件有利地是WAN端口424、一个或多个LAN端口425、天线端口426、USB端口427和控制端口428。

图5b示出根据本发明的第二实施例的家庭控制网络密钥42b的功能主要部件。根据这个实施例的家庭控制网络密钥42b可包括一个或几个密码处理器422b。处理器或处理器装置可包括算术逻辑单元、一组不同的寄存器和控制电路。密码处理器422b有利地包括内部存储器单元，其中存储单独的专用密码密钥。

计算机可读信息或程序或用户信息可被存储于其上的数据存储布置423b（例如闪速存储器单元或存储器装置）连接到处理器装置。存储器装置423b一般包含允许读取和写入功能二者的存储器单元（随机存取存储器，RAM）和包含仅可从中读取数据的非易失性存储器的存储器单元（只读存储器，ROM）。家庭控制网络密钥42b的识别信息、其当前网络路径、要在VPN连接的建立中被利用的证书、当前网络路径信息、起其设备对的作用的家庭控制网络设备61的识别信息和家庭控制网络密钥42b的操作所需的所有程序有利地存储在所述存储器装置中。

存储在家庭控制网络密钥42b的存储器中的程序的一些例子是操作系统（例如Linux）、TCP/IP程序、VPN程序（例如OpenVPN）、DHCP客户端设备/服务器程序（例如ISCDHCP）、数据库程序（例如SQLite）、证书管理/确认程序（例如GPG）和用户接口库（例如LuCI）。

家庭控制网络密钥42还包括接口元件，其包括用于接收或发送信息的输入/输出或输入/输出装置426b。使用输入装置接收的信息被传输以由家庭控制网络密钥42b的处理器装置422b处理。家庭控制网络设备的接口元件有利地用于将来自家庭控制网络密钥的存储器423b的信息传输到外部数据处理设备41c或家庭控制网络设备61。相应地，信息或命令可经由接口元件例如从数据处理设备被接收，家庭控制网络密钥42b连接到该数据处理设备。

关于它们的访问权限级别，存在至少两个级别的上述家庭控制网络密钥42或42b，例如管理员和基本用户级别密钥设备。较高访问权限级别密钥设备用户/所有者（例如管理员）具有对较低级别的家庭控制网络密钥用户（例如基本用户）的所有控制目标的控制权限。另一方面，较低级别密钥设备访问权限级别的所有者不能访问任何其他比他自己的目标更高访问权限级别的控制目标。

图6示出家庭控制网络服务器21的功能主要部件。家庭控制网络服务器21有利地也起TCP中继服务器的作用。家庭控制网络服务器21包括电源611。它可以是蓄电池或基于馈路电流的电源。家庭控制网络服务器21的所有电气部件从电源611得到它们的操作电压。

家庭控制网络服务器21具有一个或多个处理器212。处理器或处理器装置可包括算术逻辑单元、一组不同的寄存器和控制电路。计算机可读信息或程序或用户信息可被存储于其上的数据存储布置613（例如存储器单元或存储器装置）连接到处理器装置。存储器装置613一般包含允许读和写功能二者的存储器单元（随机存取存储器，RAM）和包含仅可从中读取数据的非易失性存储器的存储器单元（只读存储器，ROM）。在远程控制系统（Tosibox寄存器）中的设备对的识别信息、每个设备对的当前网络路径信息、建立要在设备对和Tosibox数据库之间建立的VPN数据传输连接所需的所有程序有利地存储在所述存储器装置中。

存储在家庭控制网络服务器21的存储器中的程序的一些例子是操作系统（例如Linux）、TCP/IP程序、DHCP服务器/客户端设备程序（例如ISCDHCP）、DNS服务器程序（例如bind）、数据库程序（例如SQLite）、证书管理/确认程序（例如GPG）和用户接口库（例如LuCI）。

家庭控制网络服务器21还包括接口元件，其包括用于接收或发送信息的输入/输出或输入/输出装置614。使用输入装置接收的信息被传输以由家庭控制网络服务器21的处理器装置612处理。家庭控制网络服务器的接口元件将信息传输到数据传输网络或外部数据处理设备。家庭控制网络服务器21的接口元件有利地是WAN端口614。

家庭控制网络服务器21有利地还包括用户接口（在图6中未示出），其包括用于从服务器21的用户接收信息的装置。用户接口可包括键盘、触摸屏、智能电话和扬声器。

图7示出在家庭控制网络设备61、家庭控制网络密钥42、42b和家庭控制网络服务器21之间的数据传输中利用的数据链路层（Tosibox层）。

物理Tosibox层包括对建立在参与远程控制的两个设备之间的物理数据传输连接的替代。数据传输连接可例如通过将它们的以太网端口处的设备耦合到具有到因特网的连接的本地以太网网络来建立。可替代地，数据传输连接可被建立到局部WLAN网络中，存在从本地WLAN网络到因特网的连接。第三替代是形成2G或3G数据传输连接。在这个实施例中，建立2G或3G连接的终端设备连接到家庭控制网络设备和/或家庭控制网络密钥的USB端口。

Tosibox数据链路层包括可在与VPN数据传输连接耦合的分组中利用的连接建立过程。替代或并行的连接建立过程包括在构件之间的直接TCP数据传输连接、在构件之间的直接UDP数据传输连接、通过使用端口扫描建立的数据传输连接、基于在构件之间的ICMPECHO消息的数据传输连接，或通过家庭控制网络服务器（TCP中继构件）建立的中继数据传输连接。

VPN加密层包括家庭控制网络设备61已知的加密过程（家庭控制网络密钥的个人、私人密码密钥和公用密码密钥）和家庭控制网络密钥42、42b已知的加密过程（家庭控制网络设备的个人、私人密码密钥和公钥）。使用这些加密过程，家庭控制网络设备61和家庭控制网络密钥42、42b能够通过使用PKI加密过程（公钥基础设施）来建立安全的VPN数据传输连接。

上面描述了在建立根据本发明的远程控制系统的VPN数据传输连接时利用的一些过程。此外，描述了在远程控制系统中实现这些过程的部件的有利实施例。本发明不限于上面描述的解决方案，并且创造性思想可以在权利要求的范围内用很多方式来应用。

Claims (16)

1.一种用于提供在资产中的远程控制系统的致动器的第一网络终端（42，42b）和第二网络终端（61）之间的虚拟专用网络（55，VPN）的远程控制方法，其特征在于

-形成预定网络终端对的所述第一网络终端（42，42b）和所述第二网络终端（61）二者都不时地将轮询发送到家庭控制网络服务器（21），所述预定网络终端对的成员被只允许与彼此通信，其中所述家庭控制网络服务器被询问设备对的另一设备是否连接到数据传输网络，且如果是，则

-所述第一网络终端（42，42b）和所述第二网络终端（61）二者都连接（201）到所述家庭控制网络服务器（21）以便建立虚拟专用网络并从所述家庭控制网络服务器（21）请求（204）路由信息，以便建立在所述网络终端之间的端对端数据传输连接，

-在所述家庭控制网络服务器检查出所述网络终端（42，42b，61）是所述预定网络终端对之后，所述家庭控制网络服务器（21）向所述第一网络终端（42，42b）和所述第二网络终端（61）二者发送（205）所请求的路由信息（205），以及

-所述第一网络终端（42，42b）和所述第二网络终端（61）使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供至少一个虚拟专用网络（55）。

2.如权利要求1所述的远程控制方法，其特征在于，所述虚拟专用网络作为在网络终端（2060，2060a）之间的直接TCP数据传输连接、作为在网络终端（2061，2061a）之间的直接UDP数据传输连接、通过使用在网络终端（2062，2062a）之间的UDP端口扫描、通过利用IP控制协议的ICMPECHO消息（2063，2063a）或使用经由所述家庭控制网络服务器（21）中继的TCP数据传输连接（2064，2064a）来建立。

3.如权利要求2所述的远程控制方法，其特征在于，如果也使用建立虚拟专用网络的另一方法建立了所述虚拟专用网络（55），则释放至少中继虚拟TCP专用网络。

4.一种用于在资产中的致动器的家庭控制网络密钥设备（42，42b），包括：

-网络接口元件，其包括用于网络接口（3，4）的输入/输出装置（424，425，426，426b，427，428），

-处理器（422，422b），以及

-存储器（423，423b），其包含计算机程序代码，

其特征在于，所述处理器、所述存储器和存储在其中的所述计算机程序代码配置成：

-不时地将轮询发送到家庭控制网络服务器（21），其中它被询问家庭控制网络设备（61）是否连接到数据传输网络，所述家庭控制网络设备被预先确定为家庭控制网络密钥设备（42，42b）的网络终端对，所述家庭控制网络密钥设备（42，42b）只被允许与所述家庭控制网络设备通信，且如果所述家庭控制网络设备连接到所述数据传输网络，则：

-连接（201）到所述家庭控制网络服务器（21）并从所述家庭控制网络服务器（21）请求（204）所述家庭控制网络设备（61）的路由信息，以便建立到所述家庭控制网络设备（61）的虚拟专用网络，

-从所述家庭控制网络服务器（21）接收所述家庭控制网络设备（61）的所述路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供与所述家庭控制网络设备（61）的至少一个虚拟专用网络（55）。

5.如权利要求4所述的家庭控制网络密钥设备，其特征在于，它配置成建立虚拟专用网络作为到所述家庭控制网络设备（61）的直接TCP数据传输连接（2060，2060a）、建立虚拟专用网络作为到所述家庭控制网络设备（61）的直接UDP数据传输连接（2061，2061a）、通过使用UDP端口扫描（2062，2062a）建立与所述家庭控制网络设备（61）的虚拟专用网络、通过利用IP控制协议的ICMPECHO消息（2063，2063a）建立与所述家庭控制网络设备（61）的虚拟专用网络，或配置成建立经由所述家庭控制网络服务器（21）中继到所述家庭控制网络设备（61）的TCP数据传输连接（2064，2064a）。

6.如权利要求5所述的家庭控制网络密钥设备，其特征在于，它配置成如果也使用建立虚拟专用网络的另一方法建立了所述虚拟专用网络（55）则释放至少中继虚拟TCP专用网络。

7.一种用于在资产中的致动器的家庭控制网络设备（61），包括：

-网络接口元件，其包括用于网络接口（5）的输入/输出装置（624，625，626，627，628），

-处理器（622），以及

-存储器（623），其包含计算机程序代码，

其特征在于，所述处理器、所述存储器和存储在其中的所述计算机程序代码配置成：

-不时地将轮询发送到家庭控制网络服务器（21），其中它被询问家庭控制网络密钥设备（42，42b）是否连接到数据传输网络，所述家庭控制网络密钥设备被预先确定为家庭控制网络设备（61）的网络终端对，所述家庭控制网络设备（61）只被允许与所述家庭控制网络密钥设备通信，且如果所述家庭控制网络密钥设备连接到所述数据传输网络，则：

-连接（201）到所述家庭控制网络服务器（21）并从所述家庭控制网络服务器（21）请求（204）所述家庭控制网络密钥设备（42，42b）的路由信息，以便建立到所述家庭控制网络密钥设备（42，42b）的虚拟专用网络，

-从所述家庭控制网络服务器（21）接收所述家庭控制网络密钥设备（42，42b）的所述路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程，以便提供与所述家庭控制网络密钥设备（42，42b）的至少一个虚拟专用网络（55）。

8.如权利要求7所述的家庭控制网络设备，其特征在于，它配置成建立虚拟专用网络作为到所述家庭控制网络密钥设备（42，42b）的直接TCP数据传输连接（2060，2060a）、建立虚拟专用网络作为到所述家庭控制网络密钥设备（42，42b）的直接UDP数据传输连接（2061，2061a）、通过使用UDP端口扫描（2062，2062a）建立与所述家庭控制网络密钥设备（42，42b）的虚拟专用网络、通过利用IP控制协议的ICMPECHO消息（2063，2063a）建立与所述家庭控制网络密钥设备（42，42b）的虚拟专用网络，或配置成建立经由所述家庭控制网络服务器（21）中继到所述家庭控制网络密钥设备（42，42b）的TCP数据传输连接（2064，2064a）。

9.如权利要求8所述的家庭控制网络设备，其特征在于，它配置成如果也使用建立虚拟专用网络的另一方法建立了所述虚拟专用网络（55）则释放至少中继虚拟TCP专用网络。

10.一种家庭控制网络服务器（21），包括：

-网络接口元件，其包括输入/输出装置（614），

-处理器（612），以及

-存储器（613），其包含计算机程序代码，

其特征在于，所述处理器、所述存储器和存储在其中的所述计算机程序代码配置成：

-在所述家庭控制网络服务器的所述存储器中存储用于资产的远程控制的由两个网络终端形成的网络终端对（42，42b，62）的识别信息，

-从所述网络终端对（42，42b，62）接收由它们确定的网络路径信息，

-从第一网络终端（42，42a）接收其网络终端对的路由信息请求，

-检查哪个是充当进行所述路由信息请求的所述第一网络终端的预定网络终端对的另一网络终端（61），所述第一网络终端（42，42a）只被允许与第二网络终端通信，

-将所述网络终端对的所述路由信息发送到所述第一网络终端（42，42a）和所述第二网络终端（61）二者，如果它们二者都连接到数据传输网络，

-接收结合所述网络终端对（42，42b，61）使用的网络空间信息，并将被允许的网络空间信息发送到所述家庭控制网络设备（61），以及

-当至少一个直接虚拟专用网络（55）在所述网络终端对（42，42b，61）之间已被成功地建立时，释放到所述网络终端对（42，42a，61）的数据传输连接。

11.一种用于提供家庭控制网络设备功能的方法，包括确定从家庭控制网络密钥设备（42，42b）到因特网（2）的路由信息，其特征在于，所述方法还包括：

-不时地将轮询发送到家庭控制网络服务器（21），其中所述家庭控制网络服务器被询问家庭控制设备（61）是否连接到数据传输网络，所述家庭控制网络密钥设备（42，42b）与家庭控制设备（61）形成预定终端对，所述预定终端对的成员被允许仅与彼此通信，且如果所述家庭控制设备连接到所述数据传输网络，则：

-连接（201）到所述家庭控制网络服务器（21）并从所述家庭控制网络服务器（21）请求（204）所述家庭控制网络设备（61）的路由信息以便建立到所述家庭控制网络设备（61）的虚拟专用网络，

-从所述家庭控制网络服务器（21）接收所述家庭控制网络设备（61）的所述路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程以便提供与所述家庭控制网络设备（61）的至少一个虚拟专用网络（55）。

12.如权利要求11所述的方法，其特征在于，它还包括：建立虚拟专用网络作为到所述家庭控制网络设备（61）的直接TCP数据传输连接（2060，2060a）、建立虚拟专用网络作为到所述家庭控制网络设备（61）的直接UDP数据传输连接（2061，2061a）、通过使用UDP端口扫描（2062，2062a）建立与所述家庭控制网络设备（61）的虚拟专用网络、通过利用IP控制协议的ICMPECHO消息（2063，2063a）建立与所述家庭控制网络设备（61）的虚拟专用网络，或建立经由所述家庭控制网络服务器（21）中继到所述家庭控制网络设备（61）的TCP数据传输连接（2064，2064a）。

13.如权利要求12所述的方法，其特征在于，它还包括：如果也使用建立虚拟专用网络的另一方法建立了所述虚拟专用网络（55）则释放至少中继虚拟TCP专用网络。

14.一种用于提供家庭控制网络设备功能的方法，包括确定从家庭控制网络设备（61）到因特网（2）的路由信息，其特征在于，所述方法还包括：

-不时地将轮询发送到家庭控制网络服务器（21），其中所述家庭控制网络服务器被询问家庭控制密钥（42，42b）是否连接到数据传输网络，所述家庭控制网络设备（61）与所述家庭控制密钥形成预定终端对，所述预定终端对的成员被允许仅与彼此通信，且如果所述家庭控制密钥连接到所述数据传输网络，则：

-连接（201）到所述家庭控制网络服务器（21）并从所述家庭控制网络服务器（21）请求所述家庭控制网络密钥设备（42，42b）的路由信息以便建立到所述家庭控制网络密钥设备（42，42b）的虚拟专用网络，

-从所述家庭控制网络服务器（21）接收所述家庭控制网络密钥设备（42，42b）的所述路由信息，以及

-使用虚拟专用网络的若干已知的建立方法开始端对端数据传输连接的建立过程以便提供与所述家庭控制网络密钥设备（42，42b）的至少一个虚拟专用网络（55）。

15.如权利要求14所述的方法，其特征在于，它还包括：建立虚拟专用网络作为到所述家庭控制网络密钥设备（42，42b）的直接TCP数据传输连接（2060，2060a）、建立虚拟专用网络作为到所述家庭控制网络密钥设备（42，42b）的直接UDP数据传输连接（2061，2061a）、通过使用UDP端口扫描（2062，2062a）建立与所述家庭控制网络密钥设备（42，42b）的虚拟专用网络、通过利用IP控制协议的ICMPECHO消息（2063，2063a）建立与所述家庭控制网络密钥设备（42，42b）的虚拟专用网络，或建立经由所述家庭控制网络服务器（21）中继到所述家庭控制网络密钥设备（42，42b）的TCP数据传输连接（2064，2064a）。

16.如权利要求15所述的方法，其特征在于，它还包括：如果也使用建立虚拟专用网络的另一方法建立了所述虚拟专用网络（55）则释放至少中继虚拟TCP专用网络。