CN1716961A

CN1716961A - 提供具有限制访问的资源的方法

Info

Publication number: CN1716961A
Application number: CNA2005100878977A
Authority: CN
Inventors: W·瓦伊达
Original assignee: Alcatel NV
Current assignee: Alcatel CIT SA; Alcatel Lucent NV
Priority date: 2004-05-11
Filing date: 2005-05-11
Publication date: 2006-01-04
Anticipated expiration: 2025-05-11
Also published as: EP1596553B1; EP1596553A1; MXPA06000627A; US20050265263A1; WO2005109819A3; CN100527737C; RU2387089C2; WO2005109819A2; RU2005141487A

Abstract

本发明涉及一种在IP网络内提供具有限制访问的资源的方法，以及执行该方法的访问服务器。用户通过IP网络登陆访问服务器。访问服务器存储关于至少一个释放的应用服务器的数据，其中，关于至少一个释放的应用服务器的数据包括因特网服务提供商的联系数据和验证数据，该服务提供商提供应用服务器到IP网络的接入，该验证数据对于请求因特网服务提供商准许应用服务器接入IP网络而言是必需的。访问服务器通过IP网络在访问服务器和通过所述联系数据所指定的因特网服务提供商的网络接入服务器之间建立连接。因此，访问服务器通过所述验证数据请求网络接入服务器连接应用服务器和IP网络、分配IP地址给应用服务器并且在应用服务器和访问服务器之间中继数据。

Description

提供具有限制访问的资源的方法

技术领域

本发明涉及一种访问服务器和一种用于在IP网络内提供具有限制访问的资源的方法。

本发明基于优先权申请欧洲专利04291205.5，在此将其引入作为参考。

背景技术

在当今的电信网络中维持信息的安全性和保密性正变得越来越重要。发展了如虚拟专用网、验证授权服务以及隧道协议的概念，以确保信息的安全性和保密性。

例如，WO03/060718描述了一种基于应用服务器、验证授权服务器和因特网浏览器的系统。证书和验证会话cookie可以被存储在客户机上。客户、应用服务器和验证授权服务器形成了交互式计算机网络。数据库存储信息专用于应用。验证授权服务器的部件封装可用于应用和应用服务器的服务。两种类型的服务是可用的：授权服务和用户数据服务。授权服务可由应用来使用，以为特定用户查询关于特定资源的授权。用户数据服务可由应用来使用以查询关于用户的信息。验证模块可维持关于用户在系统的注册的数据。帐户管理器允许用户管理他们的许可证。由此，可以将访问应用的许可授权给第二用户。一旦验证了该第二用户，就为其提供对所述应用的访问。

但是这样的方法是基于因特网中应用服务器的静态释放以及域名服务器和路由表的静态配置的。此外，这样的方法通过由应用服务器自身所执行的保护机制来限制对该应用服务器的访问。这将使得因特网中的动态临时资源部署变得复杂。

发明内容

本发明的目的是提供具有限制访问的动态因特网资源。

本发明的目的是通过一种在IP网络内提供具有限制访问的资源的方法来达到的，其中，该方法包括下列步骤：通过IP网络登陆到访问服务器，该访问服务器存储关于至少一个释放的应用服务器的数据，并且该关于至少一个释放的应用服务器的数据包括因特网服务提供商的联系数据以及验证数据，该提供商提供应用服务器到IP网络的接入，所述验证数据对于请求因特网服务提供商准许应用服务器接入IP网络而言是必需；通过IP网络，在访问服务器和通过所述联系数据所指定的因特网服务提供商的网络接入服务器之间建立连接；以及由所述访问服务器通过所述验证数据请求因特网服务提供商的所述网络接入服务器，以连接所述应用服务器和IP网络、分配IP地址给该应用服务器并且在所述应用服务器和所述访问服务器之间中继数据(IP＝因特网协议)。

本发明的目的还通过一种用于在IP网络内提供具有限制访问的资源的访问服务器来达到，其中，所述访问服务器包括存储单元，其用于存储关于至少一个释放的应用服务器的数据，所述关于至少一个释放的应用服务器的数据包括因特网服务提供商的联系数据和验证数据，该提供商提供所述应用服务器到IP网络的接入，所述验证数据对于请求因特网服务提供商准许应用服务器接入IP网络而言是必需的；以及控制单元，其适于通过IP网络，在所述访问服务器和通过所述联系数据所指定的因特网服务提供商的网络接入服务器之间建立连接，并且通过所述验证数据请求所述网络接入服务器连接所述应用服务器和IP网络、分配IP地址给该应用服务器并且在所述应用服务器和所述访问服务器之间中继数据。

本发明能够在IP网络中实现简单并且安全的临时资源部署。它在公共IP网络中增强了安全性，可靠性和保密性。不再需要在本地应用服务器上执行和更新特定的安全应用来限制对应用服务器的资源的访问。此外，它有可能在应用服务器上应用动态IP地址分配方案。由于每次通过所述访问服务器来准许访问时新的IP地址就被分配给所述应用服务器，因此使得第三方不可能联系所述应用并且试图克服本地安全机制。此外，所述访问服务器触发所述应用服务器与IP网络的连接。由于所述应用服务器仅在所述访问服务器请求时才被连接到IP网络，因此第三方不可能在没有该访问服务器的许可的情况下通过IP网络来联系所述应用服务器。因此，本发明能够在结合了较高级别的安全性和保密性的IP网络中实现简单并且动态的临时资源部署。

通过从属权利要求所说明的本发明的实施例达到了其它优点。

优选地，所述访问服务器通过IP网络，与由所存储的联系数据所指定的因特网服务提供商的网络接入服务器建立了安全的连接。例如，所述访问服务器和网络接入服务器使用SSL协议来建立这种安全连接(SSL＝安全套接层)。

此外，当因特网服务提供商的网络接入服务器连接所述应用服务器和IP网络并且分配了IP地址给该应用服务器时，在所述访问服务器和应用服务器之间建立安全的连接。接下来，在所述应用服务器和访问服务器之间被交换的数据必须通过所述安全的数据连接被传送。用户通过安全的数据连接登陆到所述访问服务器，所述连接是通过IP网络在用户的IP终端和所述访问服务器之间而被建立的。此外，所述访问服务器中继这样的数据：必须在所述应用服务器和登陆到所述访问服务器的IP终端之间被交换。因此，所述访问服务器在所述网络接入服务器和所述应用服务器之间提供安全连接，该网络接入服务器传送所述IP终端，该应用服务器保证在用户和应用服务器之间所交换的数据的安全性和保密性。此外，所述网络接入服务器通过安全连接，将分配给所述应用服务器的IP地址传送到对该地址进行保密的访问服务器。所述访问服务器和网络接入服务器都不将所述信息传送到用户终端。因此，分配给所述应用服务器的IP地址被保存在安全的环境中，这进一步提高了系统的安全性。第三方不可能通过监控IP数据流而侦察到这个IP地址，也不可能侦察到用户的IP终端。

优选地，所述访问服务器存储关于在IP网络中部署资源的、多个释放的应用服务器的数据。所述数据的每个都包括由访问服务器所执行的授权过程所使用的特定用户验证数据。当用户登陆到访问服务器时，所述授权过程就被起动并且检查访问用户访问由该用户指定的应用服务器的授权。存储在所述访问服务器的存储单元中的用户验证数据被用来执行所述授权过程。

根据本发明的优选实施例，关于至少一个释放的应用服务器的数据还包括详细指定了应用服务器上的访问权限的准许配置文件(grant profile)。例如，它指定了一组预定用户、关于他们的访问权限和用户验证数据的细节、所述用户准许给其它用户子权限的权限、取决于时间和环境条件的访问权限等。所述访问服务器在执行前述的授权过程时检查与所述准许配置文件的一致性。由此，不同用户的访问授权可以完全适合安全性要求和用户需要。

根据本发明的另一个实施例，所述访问服务器提供一种网络服务，这种服务使得用户可以将他们的计算机注册为即时的(on the fly)应用服务器。用户登陆到访问服务器并且预订该访问服务器提供的服务。例如，当用户打算去度假或者商务旅行而仍打算访问存储在所注册的计算机中的数据时，可以将他的电脑的一个或若干个注册为应用服务器。因而，用户将联系数据和授权数据传送到所述访问服务器。这些数据被存储在访问服务器的存储单元中。在这个注册过程之后，用户能够通过连接到IP网络的任何IP终端来访问所述注册计算机中的数据。这使得用户可以在IP网络中以非常灵活的方式临时部署资源。

根据本发明的优选实施例，在IP网络中提供了多个访问服务器。优选地，用户或应用服务器随机地选择用于注册应用服务器的访问服务器。因此，第三方不可能知道这些访问服务器中的哪一个能够联系应用服务器。为了访问所述应用服务器，第三方还必需获得用于注册该应用服务器的访问服务器的联系数据。所述方法进一步改善了由所述应用服务器存储的数据的安全性和保密性。

本发明使得可以通过公共交换电信网络来连接在IP网络中提供资源的应用服务器，例如通过根据需要建立的ISDN或DSL信道(ISDN＝综合业务数字网；DSL＝数字用户线)。这能够在IP网络中简单并且灵活地临时提供资源。

附图说明

结合附图，通过阅读下面当前优选的示例性实施例的详细描述，本发明的所述和其它特征和优点将被更好地理解，其中：

图1是示出了具有多个根据本发明的访问服务器的电信系统的框图；

图2是根据本发明的访问服务器的功能视图。

具体实施方式

图1示出了IP网络1，网络接入服务器31至33，接入网41至43和应用服务器51至58。

所述IP网络1是由多个物理互连通信网络组成的，该网络使用公共IP协议作为第三级通信协议(IP＝因特网协议)。这些物理网络例如是ATM、MPLS、以太网或SDH网络(ATM＝异步传输模式；MPLS＝多协议标记交换；SDH＝同步数字层次结构)。

多个访问服务器21至27被连接到所述IP网络1。所述访问服务器21至27的每一个都由一个或若干个互相连接的计算机组成，该计算机执行一组软件程序并且配备有能通过所述IP网络1进行通信的通信设备。所述访问服务器21至27存储关于应用服务器51至58的数据，所存储的数据包括因特网服务提供商的联系数据以及验证数据，所述提供商提供分别的应用服务器到所述IP网络1的接入，所述验证数据对于请求所述因特网服务提供商准许分别的应用服务器接入所述IP网络而言是必需的。此外，它还提供这样的功能性：注册所述信息并且应用该信息以在所述IP网络1中提供应用服务器51至58的资源。

所述应用服务器51至58通过所述接入网41至43与网络接入服务器31至33被连接到所述IP网络1。作为例子，应用服务器51至52通过接入网41和网络接入服务器31被连接到所述IP网络1，应用服务器53至55通过接入网42和网络接入服务器32被连接到所述IP网络1，应用服务器56至58通过接入网43和网络接入服务器33被连接到所述IP网络1。

所述接入网41至43例如是一个或若干个电话网络，例如PSTN网络或ISDN网络(PSTN＝公共交换电信网；ISDN＝综合服务数字网)。此外，网络41至43可以是固定或移动电信网络，例如根据GSM或UMTS标准的网络(GSM＝全球移动通信系统；UMTS＝通用移动电信系统)。

例如，应用服务器51至58通过访问网络41至43的交换连接被连接到IP网络1。在这种情况下，应用服务器51至58使用模拟或ISDN调制解调器来与所述IP网络1交换数据。此外，应用服务器51至58可以通过DSL连接或通过有线网络被连接到IP网络1(DSL＝数字用户线)。

不同的因特网服务提供商在接入网41至43中提供出现点(POP)。所述出现点使得它们的用户能够接入IP网络1。例如，因特网服务提供商在电话网络的每个区域中提供一个或若干个出现点。它们的用户通过电话网络来访问所述出现点从而与IP网络1交换数据。出现点由一个或多个网络接入服务器组成，例如网络接入服务器31。所述网络接入服务器31检查用于联系该出现点的授权。其检查这个用户通过服务来接入IP网络1的授权，所述服务是操作所述出现点的因特网服务提供商所提供的。授权数据在请求接入IP网络1的应用服务器和所联系的出现点的分别的网络接入服务器之间被交换。如果所述检查结果是肯定的，则网络接入服务器31将IP地址分配给所述应用服务器并且在所述IP网络1和应用服务器之间中继数据。

此外，所述网络接入服务器31提供了通过IP网络1被联系以执行所述类型的授权过程的接口，并且如果所述授权是肯定，则将应用服务器51至58中所选的一个连接到所述IP网络1。

所述应用服务器51至58是配备有通信卡的计算机以经由接入网41至43进行通信。

为了使得其计算机的资源在IP网络1中是可用的，用户选择所述访问服务器21至26之一，通过IP网络1登陆到所选的访问服务器并且在所选的访问服务器内将所述计算机注册为应用服务器。例如，用户触发在应用服务器51和访问服务器23之间的、通过接入网41和IP网络1的安全连接的建立。因而，关于包括因特网服务提供商的联系数据和验证数据的应用服务器51的数据，在所述注册过程中从应用服务器51被传送到访问服务器23，所述因特网服务提供商提供该应用服务器51到IP网络1的接入，所述验证数据对于请求该因特网服务提供商准许应用服务器51接入IP网络1而言是必需的。

此外，用户可以通过连接到IP网络1的任何IP终端登陆到所选的访问服务器以注册所述应用服务器51。通过必须被注册的应用服务器来执行所述注册过程是不必要的。

优选地，所述应用服务器51从可用的访问服务器的列表中随机选择访问服务器21至27之一，接着联系所述随机选择的访问服务器来起动所述注册过程。此外，可以在IP网络1中提供代理(broker)，所述代理执行随机选择过程并且将所述随机选择的访问服务器的地址答复给访问终端。在一组可用的访问服务器中随机选择访问服务器还改善了系统的安全性。

如果用户打算通过IP网络1远程访问应用服务器51的资源，则其联系访问服务器23。例如，所述用户通过IP终端6联系访问服务器23，登陆到访问服务器23并且请求访问应用服务器51。所述访问服务器23执行授权过程，该授权过程检查用户访问应用服务器51的授权。因而，它通过IP网络1建立到通过联系数据所指定的因特网服务提供商的网络接入服务器的连接，所述联系数据针对应用服务器51而被注册。例如，访问服务器23建立与网络接入服务器31的连接。因而，访问服务器通过为应用服务器51所注册的验证数据，来请求网络接入服务器31连接IP网络1和应用服务器51、分配IP地址给应用服务器51并且在应用服务器和访问服务器23之间中继数据。如果所述授权过程的结果是肯定的，则网络接入服务器31触发在应用服务器51和网络接入服务器31之间的通过接入网41的通信连接的建立。因而，它分配IP地址给应用服务器51并且传送所分配的IP地址给访问服务器23。接下来，数据在访问服务器23和应用服务器51之间被双向交换，其中，所交换的数据是通过网络接入服务器31来中继的。此外，访问服务器23对必须在IP终端6和应用服务器51之间被交换的数据进行中继，并且由此提供在IP终端6和应用服务器51之间的端到端通信连接8。

如果所述IP终端6释放所述端到端连接8或请求访问服务器23释放该端到端连接8，则该访问服务器23请求网络接入服务器31释放它与应用服务器51的连接，于是网络接入服务器31就中断了应用服务器51与IP网络1之间的连接。

接下来，访问服务器23的另一个实施例的详细实现将通过图2来示例说明。

图2示出了访问服务器23、IP终端6、网络接入服务器31和应用服务器51。

所述访问服务器23是通过硬件平台和基于这个硬件平台被执行的若干软件应用来形成的。访问服务器23的功能性通过该访问服务器23的硬件平台执行所述应用程序来实现。从功能的角度来看，访问服务器23包括存储单元232，两个控制单元231和234以及通信单元239。

所述存储单元232存储关于注册在访问服务器23中的多个应用服务器的数据。对于所述访问服务器的每一个，存储单元232存储用户验证数据、准许配置文件数据和因特网服务提供商联系与验证数据。

所述用户验证数据包括例如用户姓名和由用户或管理员选择的用于访问分别的应用服务器的密码。此外，可以存储用于解密由访问终端加密的随机数的密钥来检查该终端的验证。

所述因特网服务提供商的联系数据指定了因特网服务提供商的一个或若干个网络接入服务器，该提供商提供分别的应用服务器到IP网络1的接入。支持所述类型的服务的因特网服务提供商的每一个都提供至少一个支持根据本发明的方法的网络接入服务器。例如，所述存储单元232存储所述网络接入服务器的访问接口的IP地址，该网络接入服务器被提供用于与访问服务器21至27进行交互。

所述验证数据包括请求因特网服务提供商准许应用服务器接入IP网络1所必需的数据。所述数据包括关于应用服务器的身份或地址、应用服务器的用户的预订以及验证数据的信息，例如分配给所述预订的密码或密钥。

所述准许配置文件指定被授权访问分别的应用服务器的用户或用户群。可以将不同的用户验证数据分配给不同的用户和/或用户群。此外，准许配置文件可选地指定了被准许给不同的用户或用户配置文件的访问权限的细节。此外，其可选地包括与不同的用户、用户群或访问权限相关联的时间和/或环境条件。例如，特定用户或用户群的访问权限受限于特定的时间段、用户的特定位置或用于联系访问服务器23的特定的IP终端或IP地址。访问权限可能限制了用户或用户群对下列内容的访问：分别的应用服务器的特定的资源和/或数据，或对所述资源和/或数据的访问的类型，例如限制所述访问以读取应用服务器51的文档系统的特定部分。

所述控制单元231管理存储在所述存储单元232中的数据，它提供下列功能性：注册应用服务器并且在存储单元232中创建专用注册，以及在存储单元232中删除和修改这些注册。此外，所述控制单元231提供针对所述功能性的访问接口，所述功能性使得用户可以在存储单元232中创建、删除以及修改注册。优选地，所述访问接口是基于WEB技术的，该技术使得用户可以通过WEB浏览器访问注册服务。

所述控制单元234由控制器235和一个或多个中继过程236至238形成。此外，控制单元234与终端通信单元239进行交互，该通信单元提供到IP终端的访问接口，该IP终端请求访问注册在访问服务器23的存储单元232中的应用服务器的资源。例如，所述通信单元239提供WEB浏览器可访问的、基于WEB的接口。

所述IP终端6通过通信单元239的访问接口来联系访问服务器23，以请求到特定应用服务器的访问。此外，该IP终端6传送标识和/或用户数据和验证数据到访问服务器23。所述控制器235检查在请求中所指定的应用服务器是否在存储单元232中被注册。此外，其执行检查访问用户和/或IP终端的真实性的验证过程。这个验证过程借助于针对在请求中所指定的分别的应用服务器而存储的用户验证数据来进行。此外，所述控制器235检查所述准许配置文件的条件是否针对被验证的用户而被满足。如果所识别的访问服务器没有在存储单元232中注册、如果验证过程的结果不是肯定的或者如果准许配置文件的条件没有被满足，则控制器235拒绝进一步执行所述请求。

另外，所述控制器235建立与网络接入服务器的安全连接，该网络接入服务器是通过所述注册联系数据所指定的。因此，它请求这个网络接入服务器，例如是网络接入服务器31，连接应用服务器与IP网络1。接下来，验证过程在控制器235和网络接入服务器31之间被执行，其中，该控制器235为特定的访问服务器使用存储在所述存储单元232中的验证数据，以授权所述请求。当接收到由网络接入服务器31分配给例如应用服务器51的应用服务器的IP地址时，所述控制器建立通过IP网络1的、到应用服务器51的安全通信连接，并且创建例如中继过程236的中继过程以在IP终端6和应用服务器51之间中继数据。优选地，所述控制器236在IP终端6和访问服务器23之间通过IP网络1建立安全连接71，该IP网络接下来被用于交换由中继过程236中继的数据。

此外，所述中继过程236监控在IP终端6和应用服务器51之间被交换的数据，并且检查与所述准许配置文件的一致性。如果它检测到对访问服务器的资源的访问与在准许配置文件中所指定的访问权限相矛盾，则拒绝所述请求的中继。此外，所述应用服务器51的资源还可以通过本地保护机制来保护，并且用户必须执行附加的验证过程以最终访问该应用服务器51的资源。例如，分配给通信的数据73在IP终端6和应用服务器51之间通过中继过程236被交换，该中继过程确保在IP终端6的用户和应用服务器51之间的所述最终的端到端验证。接下来，所述IP终端6可以基于由所述中继过程236所中继的数据71的交换，来访问应用服务器51的资源。

Claims

1.一种在IP网络内提供具有限制访问的资源的方法，该方法包括下列步骤：

通过所述IP网络登陆访问服务器，该访问服务器存储关于至少一个释放的应用服务器的数据，其中，所述关于至少一个释放的应用服务器的数据包括因特网服务提供商的联系数据以及验证数据，该因特网服务提供商提供所述应用服务器到所述IP网络的接入，所述验证数据对于请求所述因特网服务提供商准许所述应用服务器接入所述IP网络而言是必需的；

通过所述IP网络，在所述访问服务器和通过所述联系数据所指定的因特网服务提供商的网络接入服务器之间建立连接；并且

由所述访问服务器通过所述验证数据来请求所述网络接入服务器连接所述应用服务器和所述IP网络、分配IP地址给该应用服务器并且在该应用服务器和该访问服务器之间中继数据。

2.根据权利要求1的方法，其中，该方法还包括下列步骤：在所述访问服务器和所述应用服务器之间建立安全连接，并且通过所述安全连接传送与该应用服务器所交换的数据。

3.根据权利要求1的方法，其中，该方法还包括这样的步骤：通过所述访问服务器，对必须在所述应用服务器和登陆到该访问服务器的IP终端之间被交换的数据进行中继。

4.根据权利要求1的方法，其中，用户通过安全数据连接登陆到所述应用服务器，所述安全数据连接是在所述用户的IP终端和所述访问服务器之间通过所述IP网络被建立的。

5.根据权利要求1的方法，其中，该方法还包括这样的步骤：通过所述访问服务器执行授权过程，该授权过程检查访问用户访问由该用户指定的应用服务器的授权。

6.根据权利要求5的方法，其中，关于至少一个释放的应用服务器的数据包括指定所述应用服务器的访问权限的准许配置文件，并且当所述访问服务器执行所述授权过程时检查与所述准许配置文件的一致性。

7.根据权利要求1的方法，其中，所述网络接入服务器通过ISDN或DSL连接，来连接所述应用服务器和所述IP网络。

8.根据权利要求1的方法，其中，用户通过所述IP网络登陆到所述访问服务器，以将其计算机注册为应用服务器。

9.根据权利要求1或8的方法，其中，该方法还包括下列步骤：在所述IP网络中提供多个访问服务器，并且随机选择用于注册所述应用服务器的访问服务器。

10.一种用于在IP网络内提供具有限制访问的资源的访问服务器，该访问服务器包括存储单元，其用于存储关于至少一个释放的应用服务器的数据，其中，关于所述至少一个释放的应用服务器的数据包括因特网服务提供商的联系数据以及验证数据，所述因特网服务提供商提供所述应用服务器到所述IP网络的接入，所述验证数据对于请求所述因特网服务提供商准许所述应用服务器接入所述IP网络而言是必需的；控制单元，其用于通过所述IP网络，在所述访问服务器和通过所述联系数据所指定的因特网服务提供商的网络接入服务器之间建立连接，并且用于通过所述验证数据来请求所述网络接入服务器连接所述应用服务器和所述IP网络、分配IP地址给该应用服务器并且在所述应用服务器和所述访问服务器之间中继数据。