CN1719813A - 具ssl保护功能的安全网关及方法 - Google Patents

具ssl保护功能的安全网关及方法 Download PDF

Info

Publication number
CN1719813A
CN1719813A CN 200410063796 CN200410063796A CN1719813A CN 1719813 A CN1719813 A CN 1719813A CN 200410063796 CN200410063796 CN 200410063796 CN 200410063796 A CN200410063796 A CN 200410063796A CN 1719813 A CN1719813 A CN 1719813A
Authority
CN
China
Prior art keywords
client
driver element
ssl
vpn
security gateway
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN 200410063796
Other languages
English (en)
Other versions
CN100385885C (zh
Inventor
高文鸿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
WEIDA ELECTRIC CO Ltd
Original Assignee
WEIDA ELECTRIC CO Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by WEIDA ELECTRIC CO Ltd filed Critical WEIDA ELECTRIC CO Ltd
Priority to CNB2004100637961A priority Critical patent/CN100385885C/zh
Publication of CN1719813A publication Critical patent/CN1719813A/zh
Application granted granted Critical
Publication of CN100385885C publication Critical patent/CN100385885C/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种具SSL保护功能的安全网关及方法,适用于连接一客户端及一服务器端的网络系统中,其包括操作接口、SSL VPN驱动单元、连结接口及IPSEC VPN驱动单元。当该任一客户端欲与服务器端建立IPSEC VPN时,利用客户端大多数使用支持SSL安全协议的网络浏览器,该安全网关先对客户端进行有关SSL安全协议的身份验证,以在服务器端及客服端之间建立一SSL VPN通道。待该安全网关确认该客户端的身份验证合法后,即自动将其安全关联(SA)以设定文件格式经由此SSL VPN通道的保护下安全地传回该客户端,由该客户端的使用者执行设定文件后,即可在服务器端与客户端之间建立起IPSEC VPN通道。

Description

具SSL保护功能的安全网关及方法
技术领域
本发明涉及一种具SSL(Secure Socket Layer,安全套接字层)保护功能的安全网关及方法,尤其涉及一种兼具SSL及IPSEC两种安全协议的安全网关及方法。
背景技术
随着网络技术发展的日新月异,虽然造就了数字数据传送的便捷性,但同时亦包括了许多承载私密数据如公司机密、个人ID或密码的封包(Packet)往来于公众使用的网络系统如因特网(Internet)之中,而可能面临被不肖黑客(Hacker)从中入侵或窃取的问题,因此要如何维护网络数据的传送安全,已经是非常重要的课题。目前针对网络安全,已有各类型的网络产品(InternetAppliance,IA)不断的推陈出新,像是一种安全网关(Security Gateway)或防火墙(Firewall)装置可装设于该网络系统的任一接收端及/或发出端以保护准备传送的数据,并且大多采用一特定的安全标准如FTP,HTTP或Telent。
此外,市面也已常见一种虚拟专用网络网关(Virtual Private NetworkGateway,VPN Gateway),提供虚拟专用网络(VPN)的机制,其主要功能在于:任一位于远程的使用端计算机系统,如位于一局域网络中,利用此机制,在经由一公众网络环境如因特网(Internet)或异步传输(ATM)网络,而与一服务器端计算机系统连接时,可在该两端之间建立起一VPN通道(Tunnel)以传送私密的数据,其传输环境如同是处于公司的局域网络如Intranet或Extranet一般,故能同时兼顾公众网络的便利性及内部网络的安全性。因此,利用此类虚拟专用网络,任何经授权的远程使用者即可经由因特网而与其它使用者、公司、分支机构、经销商或客户群分别建立专属的连结通道,以传递彼此之间重要的信息。举例而言,当一远程的使用端计算机系统欲自外部进入公司内的计算机系统如一服务器端计算机系统时,初始会先在各自所属的虚拟专用网络(VPN)装置如网关之间建立起一VPN信道,其原理采用一种信道技术(Tunneling),像是常见的IPSEC、PPTP、L2TP等三种通讯协议的其中之一,在公众网络如因特网中构筑出一条如同使用在内部网络环境中的安全信道,其中并以封装形式(Encapsulation)保护使用端传送的私密数据的数据封包(Packet),防止在传送数据予接收端的过程中遭外人如黑客入侵窃取,同时该私密数据的传送还可配合其它机制如安全认证、身分验证(IDAuthentication)或加/解密机制(Decryption/Encryption)等,这些加/解密机制大多使用以下两种编码型式:一种为呈对称式的密钥加密(Secret keycryptography),及一种非对称式的公钥加密(Public key cryptography)。
以网络安全协议(IPSEC,Internet Protocol Security)为例,其为网络工程小组(Internet Engineering Task Force,IETF)为整合不同的标准所订定,将加/解密技术运用于网络层(IP Layer)的端对端通讯中,以确保客户端及/或服务器端之间在传送数据时的资格验证(Authentication)、完整性(Integrity)、存取控制(Access Control)及机密性(Confidentially)。前述IPSEC通讯协议包括一安全关联(Security Association,SA),以供双方进行身份验证、沟通共享的加/解密算法、以及彼此产生、交换、和建立金钥。而每一台符合IPSEC通讯协议的VPN网关的安全关联(Security Association,SA)大多记录在一种IPSECVPN单元如该台IPSEC VPN网关的驱动软/固件中,且不同的IPSEC VPN网关会各自使用不同的安全关联(SA),若要在该客户端及服务器端两端之间建立起双向沟通的IPSEC VPN通道时,则该两端皆需持有对方的安全关联(SA)才能进行。在任一端如客户端的IPSEC VPN网关取得另一端如服务器端的IPSEC VPN网关的安全关联(SA)的过程中,该客户端的IPSEC VPN网关要先接收并设定该服务器端IPSEC VPN网关传来的安全关联的组态参数(Configuration Parameter);然而,公知IPSEC VPN网关在建立IPSEC VPN通道时经常会发生下列问题:
(1)在网站对网站(site-to-site)的网络架构中,客户端如要取得一远程服务器端的IPSEC VPN网关的安全关联的组态参数时,大多是从一公众网络如因特网(Internet)传送至一客户端的IPSEC VPN网关进行设定,或甚至由双方IT人员直接使用电话边沟通边设定,但此种传输方式缺乏保护的机制,安全性较差,以致该安全关联的组态参数容易被黑客从中截取;并且,安全关联的组态参数设定非常复杂,对于新手而言非常容易出错,所以在设定操作上十分不方便。
(2)在远程访问(Remote Access)的网络架构中,如使用笔记型计算机的移动使用者欲与一远程服务器端如公司之间建立起一IPSEC VPN通道,则可能需要先经由电话或电子邮件等非安全的管道取得该服务器端的VPN网关的安全关联(SA)的组态参数,并将该安全关联(SA)的组态参数以手动方式逐一设定于笔记型计算机的IPSEC VPN软件中;但是,此种安全关联的取得过程同样不安全且操作不易。
发明内容
为解决上述公知技术的问题,本发明的一主要目的在于提供一种具SSL保护功能的安全网关及方法,适用于连接一客户端对服务器端(Client-To-Server)的网络架构中,因该邻近于服务器端的安全网关同时支持SSL及IPSEC两种安全协议,当该任一客户端欲与服务器端建立IPSEC VPN时,利用客户端大多使用可支持SSL安全协议的网络浏览器,该安全网关的一SSL VPN驱动单元可先对客户端进行有关SSL安全协议的身份验证,并在服务器端及客服端之间建立一SSL VPN通道;待安全网关的SSL VPN驱动单元确认该客户端的身份验证属合法无误后,即代表进一步同意在服务器端与客户端之间建立起一IPSEC VPN通道,则该安全网关的一IPSEC VPN驱动单元会自动将其安全关联(SA),并经由SSL VPN驱动单元制作成设定文件及在SSL VPN通道的保护下安全地传送予该客户端,故数据传送的安全性极高。当该客户端的使用者收到此包含安全关联的设定文件时,仅需加以启动即可完成对安全关联(SA)的设定,即在服务器端与客户端之间建立起IPSEC VPN通道,故其设定操作极为方便及准确。
为实现前述目的,本发明提供一种同时支持SSL及IPSEC两种安全协议的安全网关,其适用于连接一客户端及一服务器端的网络系统中,包括:一操作接口、SSL VPN驱动单元、连结接口及IPSEC VPN驱动单元。前述该安全网关装置邻近于该服务器端,而该客户端进一步具有一支持SSL安全协议的网络浏览器以对应该服务器端的安全网关的SSL VPN驱动单元,以及一IPSEC VPN网关或IPSEC VPN应用软件以对应该服务器端的安全网关的IPSEC VPN驱动单元。
前述安全网关的操作接口,经由网络系统在前述客户端的一网络浏览器上产生一网页画面,且该网页画面提供一远程访问自动设定机制,要求该客户端的使用者自网络浏览器输入一身份验证数据以传送至该安全网关的SSLVPN驱动单元进行验证。该SSL VPN驱动单元,受前述远程访问自动设定机制启动的牵连,在服务器端及客户端之间的网络系统上建立起一SSL VPN通道,接收前述身份验证数据,并判断该身份验证数据是否合法,以决定是否同意客户端与服务器端之间进一步建立起IPSEC VPN通道。当服务器端的安全网关的SSL VPN驱动单元判断该身份验证数据为合法时,即通知该客户端将其一安全认证数据经由该SSL VPN信道安全传送至该SSL VPN驱动单元处理。该连结接口,中介该SSL VPN驱动单元与IPSEC VPN驱动单元之间的数据传送,如前述安全认证数据。该IPSEC VPN驱动单元,依据该连结接口传来的前述安全认证数据产生一安全关联,并通过SSL VPN驱动单元进一步制作成一包含安全关联的设定文件,且在经由该SSL VPN通道的保护之下传予该客户端。当该客户端收到该包含安全关联的设定文件并加以执行时,即可在客户端的IPSEC VPN网关及应用软件上完成对安全关联的设定,进而使该客户端及服务器端之间建立起一IPSEC VPN通道。
此外,本发明进一步提供一种使安全网关具有SSL保护功能的方法,适用于连接至少一客户端及一服务器端的网络系统中,其中该安全网关位于服务器端,包括:
使服务器端的安全网关的一操作接口经该客户端的一支持SSL安全协议的网络浏览器上产生一特定的网页画面,且该网页画面具有一远程访问自动设定机制,用于要求客户端的使用者输入其身份验证数据以传送至该安全网关的一SSL VPN驱动单元;
启动该远程访问自动设定机制,进而牵引该安全网关的SSL VPN驱动单元在该服务器端及客户端之间建立起一SSL VPN通道以传送身份验证数据;
使SSL VPN驱动单元对此身份验证数据进行符合SSL安全协议的身份验证,以判断该客户端的身份验证数据是否合法,进而决定是否同意客户端与服务器端之间建立起IPSEC VPN通道;
当该SSL VPN驱动单元判断出该身份验证数据为合法时,则要求客户端经由该SSL VPN通道传送其安全认证数据至该安全网关的SSL VPN驱动单元;
该SSL VPN驱动单元经由一连结接口的数据中介,将该安全认证数据传予与该安全网关的一IPSEC VPN驱动单元处理;
该IPSEC VPN驱动单元依据该安全认证数据产生一安全关联,并通过该SSL VPN驱动单元制作成一包含安全关联的设定文件,且经由该SSL VPN通道的保护之下安全地传送该包含安全关联的设定文件予客户端;以及
客户端执行该包含安全关联的设定文件以完成对安全关联的设定,进而使该客户端及服务器端之间建立起一IPSEC VPN通道。
为使本发明的上述目的、特征和优点能更明显易懂,下文特举实施例,并配合附图,详细说明如下:
附图说明
图l显示一种依据本发明的一第一实施例的具SSL保护功能的安全网关,运用于一客户端对服务器端(Client-To-Server)的网络架构中,其中该客户端配备一IPSEC VPN应用软件;
图2显示一种依据本发明的一第二实施例的具SSL保护功能的安全网关,运用于一客户端对服务器端(Client-To-Server)的网络架构中,其中该客户端配备一IPSEC VPN网关;以及
图3和4图为连续的流程图,依据前述图1及2图的安全网关,使安全网关具有SSL保护功能的方法。
其中,附图标记说明如下:
10,20服务器端                        12,22因特网
14,24客户端
100,200具SSL保护功能的安全网关
102,202服务器端计算机系统            142,242客户端计算机系统
144,244网络浏览器                    146 IPSEC VPN应用软件
246 IPSEC VPN网关                     1002,2002操作接口
1004,2004 SSL VPN驱动单元            1006,2006连结接口
1008,2008 IPSEC VPN驱动单元
S104,S108,S110,S114,S120,S130,S140,S150,S160,S170,S180,S190,S204,S208,S210,S214,S220,S230,S240,S250,S260,S270,S280及S290为方法步骤
具体实施方式
首先如图1所示,为依据本发明的一第一较佳实施例的一安全网关100,其同时支持SSL及IPSEC两种安全协议,并适用于连接一服务器端10及一客户端14的网络架构如因特网12中,其主要包括:一操作接口1002、一SSL VPN驱动单元1004、一连结接口1006及一IPSEC VPN驱动单元1008。此外,前述安全网关100装置邻近设于该服务器端10的一计算机系统102如服务器,而该客户端14进一步具有一计算机系统142如笔记型计算机、一支持SSL安全协议的网络浏览器144对应该服务器端10的安全网关100的SSL VPN驱动单元1004,以在服务器端10及客户端14之间建立一SSLVPN通道,以及一IPSEC VPN应用软件146或一IPSEC VPN网关246(见图2),用于对应该服务器端10的安全网关100的IPSEC VPN驱动单元1008,以在服务器端10及客户端14之间建立一IPSEC VPN通道。
前述安全网关100的操作接口(UI)1002,经由因特网12在前述客户端14的计算机系统142的一网络浏览器144上产生一网页画面,且该网页画面提供一远程访问自动设定机制,当该机制被客户端14的使用者点选启动时,会要求该使用者自网络浏览器144输入一身份验证数据,供该机制进一步接收并传送此身份验证数据至该安全网关100的SSL VPN驱动单元1004,以进行符合SSL安全协议的身份验证。前述该身份验证数据包括:经该服务器端10预先授权可以进行联机存取的个人账号及/或密码。
该SSL VPN驱动单元1004,依据本实施例为一支持SSL安全协议的VPN驱动固件(Firmware),主要用于保护网络传输架构中应用层(ApplicationLayer)的数据传送,故能与客户端14的网络浏览器144对应产生SSL安全协议的保护。前述远程访问自动设定机制启动时,即牵连该SSL VPN驱动单元1004在服务器端10及客户端14之间的因特网12上建立起一SSL VPN通道,进而将前述身份验证数据经由该SSL VPN信道安全地传送至SSL VPN驱动单元1004。当该SSL VPN驱动单元1004接收到前述身份验证数据时,会先判断持有该身份验证数据的客户端14是否属于预先授权的合法客户端,以决定是否同意在服务器端10与客户端14之间进一步建立起IPSEC VPN通道,以传送或存取服务器端的私密数据如公司机密数据等。当该SSL VPN驱动单元1004判断该身份验证数据确为合法时,即经由该网络浏览器144发出一信息通知该客户端14将其一安全认证数据经由该SSL VPN信道安全传送至该SSL VPN驱动单元1004处理,其中该安全认证数据可包括:客户端14的网络地址(IP)、金钥或凭证等,其可借助该服务器端10或客户端14的计算机系统102,142主动侦测或由该使用者手动上传。反之,当SSL VPN驱动单元1004判断该身份验证数据并非合法时,则发出一警告信息予该客户端14,拒绝进一步建立IPSEC VPN通道。
该连结接口1006,依据本实施例为一种套接字程序(Socket),专管网络传输架构中有关应用层(Application Layer)及网络层(IP Layer)之间的数据传送,故可用于中介该SSL VPN驱动单元1004与IPSEC VPN驱动单元1008之间的数据传送,其中包括前述安全认证数据。
该IPSEC VPN驱动单元1008,依据本实施例为一支持IPSEC安全协议的VPN驱动固件(Firmware),用于保护网络传输架构中网络层(IP Layer)的数据传送。该IPSEC VPN驱动单元1008依据该连结接口1006传来的前述安全认证数据产生一安全关联(SA),并通过该SSL VPN驱动单元1004进一步制作成一包含安全关联的可执行设定文件,且在经由该SSL VPN通道的保护之下传回该客户端14。
当该客户端14收到该包含安全关联的设定文件并加以执行时,即可在客户端14的IPSEC VPN网关246(见图2)或应用软件146(见图1)上完成对安全关联的设定,进而使该客户端14及服务器端10之间建立起一IPSEC VPN通道。
请进一步参考图2,显示依据本发明的一第二较佳实施例的一安全网关200,同样运用于连接一客户端24及一服务器端20的因特网22上,其与前述第一实施例的差异仅在第二实施例的客户端24配置一IPSEC VPN网关246,而第一实施例的客户端14配置一IPSEC VPN应用软件146,其余都相同。
此外,图3及图4显示依据图1及图2的安全网关100,200,使该安全网关100,200执行SSL保护功能的方法,其适用于连接至少一客户端14,24及一服务器端10,20的网络系统12,22中,其中该安全网关100,200位于服务器端10,20,其步骤包括:
步骤S104,S204,使服务器端10,20的安全网关100,200的一操作接口1002,2002自远方客户端14,24计算机系统142,242的一支持SSL安全协议的网络浏览器144,244上产生一特定的网页画面,且该网页画面具有一远程访问自动设定机制;
步骤S106,S206,启动该网页画面的远程访问自动设定机制,即发出信息要求该客户端14,24的使用者输入其身份验证数据;
步骤S108,S208,使该远程访问自动设定机制接收该客户端14,24的使用者所输入的身份验证数据,以传送至该安全网关100,200的一SSL VPN驱动单元1004,2004;
步骤S110,S210,受到该远程访问自动设定机制启动的牵引,使该安全网关100,200的SSL VPN驱动单元1004,2004在该服务器端10,20及客户端14,24之间建立起一SSL VPN通道,并使该身份验证数据借助该SSL VPN信道的保护传送至SSL VPN驱动单元1004,2004;
步骤S112,S212,使SSL VPN驱动单元1004,2004对此身份验证数据进行符合SSL安全协议的身份验证,以判断该客户端14,24的身份验证数据是否合法,进而决定是否同意客户端14,24与服务器端10,20之间建立起一IPSEC VPN通道;
步骤S114,S214,当该SSL VPN驱动单元1004,2004判断出该身份验证数据为合法时,即代表服务器端10,20的SSL VPN驱动单元1004,2004同意进一步与客户端14,24建立起IPSEC VPN通道,故要求客户端14,24经由该SSL VPN通道传送其安全认证数据至该安全网关100,200的SSL VPN驱动单元1004,2004;反之,当发现该客户端14,24的身份验证数据并非合法时,则发出一警告信息予客户端14,24的网络浏览器144,244,表示拒绝进一步建立IPSEC VPN通道;
步骤S120,S220,该SSL VPN驱动单元1004,2004借助一连结接口1006,2006的数据中介,将该安全认证数据传予与该安全网关100,200的一IPSECVPN驱动单元1008,2008处理;
步骤S130,S230,该IPSEC VPN驱动单元1008,2008依据该安全认证数据产生一安全关联(SA),并通过该连结接口1006,2006传予该SSL VPN驱动单元1004,2004;
步骤S132,S232,该SSL VPN驱动单元1004,2004将该安全关联(SA)制作成一包含安全关联的可执行设定文件;以及
步骤S140,S240,在该SSL VPN通道的保护下,安全地传送该包含安全关联的设定文件予客户端14,24的计算机系统142,242中。
请进一步参考图4的步骤S160,S260,客户端14,24在其计算机系统142,243中执行该包含安全关联的设定文件,以在IPSEC VPN网关246(见图2)或IPSEC VPN应用软件146(见图1)完成对安全关联的设定;
步骤S170,S270,客户端14,24依据该安全关联,请求服务器端10,20的安全网关100,200的IPSEC VPN驱动单元1008,2008与该客户端14,24之间建立起一IPSEC VPN通道;
步骤S180,S280,该安全网关100,200的IPSEC VPN驱动单元1008,2008同意与该客户端14,24建立起IPSEC VPN通道;以及
步骤S190,S290,该客户端14,24及服务器端10,20之间开始建立起IPSEC VPN信道以传送私密数据。
综上所述,依据本发明较佳实施例的具SSL保护功能的安全网关及方法,借助该安全网关同时支持SSL及IPSEC两种安全协议,并利用客户端的一般网络浏览器皆广泛支持SSL安全协议的特性,使任一客户端欲与服务器端建立IPSEC VPN时,先借助该服务器端的安全网关的一SSL VPN驱动单元与客户端网络浏览器之间存在的SSL安全协议,对客户端的使用者进行有关SSL安全协议的身份验证,以在服务器端及客服端之间建立一SSL VPN通道。当安全网关的SSL VPN驱动单元确认该客户端的身份验证属合法无误后,即同意在服务器端与客户端之间建立起一IPSEC VPN通道,其中该安全网关的一IPSEC VPN驱动单元自动将其安全关联(SA),并经由SSL VPN驱动单元制作成设定文件及在SSL VPN通道的保护下安全地传送予该客户端,故数据传送具有较高的安全性。当该客户端的使用者收到此包含安全关联的设定文件时,仅需加以启动即可完成对安全关联(SA)的设定,使服务器端与客户端之间建立起IPSEC VPN通道,故其设定操作亦极为方便及准确。
虽然本发明已以较佳实施例揭示如上,然而其并非用以限定本发明,任何本领域的技术人员,在不脱离本发明的精神和范围内,可做一些更动与润饰。

Claims (26)

1.一种安全网关,适用于连接至少一客户端及一服务器端的网络系统中,包括:
一操作接口,经由网络系统在所述客户端的一网络浏览器产生一网页画面,且该网页画面提供一远程访问自动设定机制供该客户端的使用者启动;
一SSL VPN驱动单元,受所述远程访问自动设定机制启动的牵连,在服务器端及客户端之间的网络系统上建立起一SSL VPN通道,并使该客户端的一安全认证数据经由该SSL VPN信道安全传送至该SSL VPN驱动单元;
一连结接口,中介该SSL VPN驱动单元与一IPSEC VPN驱动单元之间的数据传送,其中包括该安全认证数据;以及
该IPSEC VPN驱动单元,依据该连结接口传来的所述安全认证数据产生一安全关联,并通过SSL VPN驱动单元进一步制作成一包含该安全关联的信息,且经由该SSL VPN通道传予该客户端设定,使该客户端及服务器端之间建立起一IPSEC VPN通道。
2.如权利要求1所述的安全网关,其特征在于该安全网关设于服务器端。
3.如权利要求1所述的安全网关,其特征在于该客户端进一步配备一IPSEC VPN网关或一IPSEC VPN应用软件以对应该服务器端的安全网关的IPSEC VPN驱动单元。
4.如权利要求3所述的安全网关,其特征在于该客户端的网络浏览器支持SSL安全协议以对应该服务器端的安全网关的SSL VPN驱动单元。
5.如权利要求4所述的安全网关,其特征在于当该远程访问自动设定机制启动时,会要求该客户端的使用者自网络浏览器输入一身份验证数据以传送至该安全网关的SSL VPN驱动单元,其中该身份验证数据至少包括密码。
6.如权利要求5所述的安全网关,其特征在于该客户端的身份验证数据经由该SSL VPN通道传予该安全网关的SSL VPN驱动单元。
7.如权利要求6所述的安全网关,其特征在于该SSL VPN驱动单元进一步判断其收到的身份验证数据是否合法,以决定是否同意客户端与服务器端之间建立起IPSEC VPN通道。
8.如权利要求7所述的安全网关,其特征在于当该SSL VPN驱动单元判断出该身份验证数据为合法时,则要求客户端经由该SSL VPN通道传送其安全认证数据至该SSL VPN驱动单元。
9.如权利要求8所述的安全网关,其特征在于该安全认证数据包括:客户端的网络地址、金钥或凭证。
10.如权利要求1所述的安全网关,其特征在于该SSL VPN驱动单元为一支持SSL安全协议的VPN驱动固件,用于保护应用层上的数据传送。
11.如权利要求10所述的安全网关,其特征在于该连结接口为一套接字程序。
12.如权利要求11所述的安全网关,其特征在于该IPSEC VPN驱动单元为一支持IPSEC安全协议的VPN驱动固件,用于保护网络层上的数据传送。
13.如权利要求1所述的安全网关,其特征在于该包含安全关联的信息为一可执行的设定文件。
14.一种使安全网关具有SSL保护功能的方法,适用于连接至少一客户端及一服务器端的网络系统中,其中该安全网关位于服务器端,包括:
使安全网关的一操作接口经该客户端的网络浏览器产生一特定的网页画面,其上具有一远程访问自动设定机制;
启动该客户端网络浏览器的网页画面上的远程访问自动设定机制,进而牵引该安全网关的一SSL VPN驱动单元在该服务器端及客户端之间建立起一SSL VPN通道;
使该客户端的一安全认证数据经由该SSL VPN信道安全传送至该安全网关的SSL VPN驱动单元;
该SSL VPN驱动单元将该安全认证数据传予与该安全网关的一IPSECVPN驱动单元处理;
该IPSEC VPN驱动单元依据该安全认证数据产生一安全关联,并通过该SSL VPN驱动单元制作成一包含安全关联的信息,且经由该SSL VPN通道传送该包含安全关联的信息予客户端设定;以及
借助客户端设定该包含安全关联的信息,使该客户端及服务器端之间建立起一IPSEC VPN通道。
15.如权利要求14所述的方法,其特征在于该客户端进一步配备一IPSEC VPN网关或一IPSEC VPN应用软件以对应该服务器端的安全网关的IPSEC VPN驱动单元。
16.如权利要求15所述的方法,其特征在于该客户端的网络浏览器支持SSL安全协议以对应该安全网关的SSL VPN驱动单元。
17.如权利要求16所述的方法,其特征在于进一步包括:当该远程访问自动设定机制启动时,会要求该客户端的使用者自网络浏览器输入一身份验证数据以传送至该安全网关的SSL VPN驱动单元,其中该身份验证数据至少包括密码。
18.如权利要求17所述的方法,其特征在于该客户端的身份验证数据经由该SSL VPN信道传予该SSL VPN驱动单元。
19.如权利要求18所述的方法,其特征在于该安全网关的SSL VPN驱动单元判断其收到的身份验证数据是否合法,以决定是否同意客户端与服务器端之间建立起IPSEC VPN通道。
20.如权利要求19所述的方法,其特征在于当该SSL VPN驱动单元判断出该身份验证数据为合法时,则要求客户端经由该SSL VPN通道传送其安全认证数据至该安全网关的SSL VPN驱动单元。
21.如权利要求20所述的方法,其特征在于该安全认证数据包括:客户端的网络地址、金钥或凭证。
22.如权利要求14所述的方法,其特征在于该SSL VPN驱动单元为一支持SSL安全协议的VPN驱动固件,用于保护应用层上的数据传送。
23.如权利要求22所述的安全网关,其特征在于该SSL VPN驱动单元借助一连结接口的数据中介将该安全认证数据传予与该安全网关的IPSECVPN驱动单元处理。
24.如权利要求23所述的方法,其特征在于该IPSEC VPN驱动单元为一支持IPSEC安全协议的VPN驱动固件,用于保护网络层上的数据传送。
25.如权利要求14所述的方法,其特征在于该包含安全关联的信息为一可执行的设定文件。
26.一种使安全网关具有SSL保护功能的方法,适用于连接至少一客户端及一服务器端的网络系统中,其中该安全网关位于服务器端,包括:
使安全网关的一操作接口经该客户端的网络浏览器产生一特定的网页画面,且该网页画面进一步具有一远程访问自动设定机制,接收该客户端的使用者自网络浏览器输入一身份验证数据;
启动该客户端网络浏览器的网页画面上的远程访问自动设定机制,进而牵引该安全网关的一SSL VPN驱动单元;
在该服务器端及客户端之间建立起一SSL VPN通道,使该客户端的身份验证数据经由该SSL VPN信道传予该安全网关的SSL VPN驱动单元;
该SSL VPN驱动单元判断其收到的身份验证数据是否合法,以决定是否同意客户端与服务器端之间建立起IPSEC VPN通道;
当判断出该身份验证数据为合法时,则要求客户端经由该SSL VPN通道传送一可建立所述IPSEC VPN信道的安全认证数据予该安全网关的一IPSEC VPN驱动单元处理;
该IPSEC VPN驱动单元依据该安全认证数据产生一安全关联,并经由SSL VPN驱动单元及SSL VPN信道的保护下安全地传回客户端;以及
使该客户端设定该安全关联,进而使该客户端及服务器端之间建立起一IPSEC VPN通道。
CNB2004100637961A 2004-07-09 2004-07-09 具ssl保护功能的安全网关及方法 Expired - Fee Related CN100385885C (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CNB2004100637961A CN100385885C (zh) 2004-07-09 2004-07-09 具ssl保护功能的安全网关及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CNB2004100637961A CN100385885C (zh) 2004-07-09 2004-07-09 具ssl保护功能的安全网关及方法

Publications (2)

Publication Number Publication Date
CN1719813A true CN1719813A (zh) 2006-01-11
CN100385885C CN100385885C (zh) 2008-04-30

Family

ID=35931538

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB2004100637961A Expired - Fee Related CN100385885C (zh) 2004-07-09 2004-07-09 具ssl保护功能的安全网关及方法

Country Status (1)

Country Link
CN (1) CN100385885C (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100596069C (zh) * 2006-08-15 2010-03-24 中国电信股份有限公司 家庭网关中IPSec安全策略的自动配置系统和方法
CN101242324B (zh) * 2007-02-09 2010-08-11 联想网御科技(北京)有限公司 一种基于ssl协议的远程安全接入方法和系统
CN101989974A (zh) * 2009-08-04 2011-03-23 西安交大捷普网络科技有限公司 一种ssl vpn的内网web访问的安全控制方法
CN101047599B (zh) * 2006-03-31 2011-09-07 袁初成 一种分布式ssl vpn系统构架方法
CN101072108B (zh) * 2007-07-17 2011-09-28 杭州华三通信技术有限公司 一种ssl vpn客户端安全检查方法、系统及其装置
CN102244575A (zh) * 2010-05-10 2011-11-16 航天信息股份有限公司 增值税网上报税数据安全传输系统及方法
CN102377731A (zh) * 2010-08-10 2012-03-14 正文科技股份有限公司 虚拟专用网络系统及其网络装置
CN101997835B (zh) * 2009-08-10 2014-02-19 北京多思科技发展有限公司 网络安全通讯方法、数据安全处理装置和用于金融的系统
CN103716325A (zh) * 2013-12-31 2014-04-09 网神信息技术(北京)股份有限公司 访问网络的安全控制方法、装置及系统
CN103793658A (zh) * 2012-10-30 2014-05-14 华耀(中国)科技有限公司 一种基于vpn的离线文件的保护系统及方法
WO2017161706A1 (zh) * 2016-03-25 2017-09-28 中兴通讯股份有限公司 一种局域网内网资源的访问控制方法、装置及网关设备
CN107294935A (zh) * 2016-04-11 2017-10-24 深圳市深信服电子科技有限公司 虚拟专用网络访问方法、装置和系统
CN111884877A (zh) * 2020-07-23 2020-11-03 厦门爱陆通通信科技有限公司 一种增强ipsec链路稳定性的有效网关检测机制的方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1094682B1 (en) * 1999-10-22 2005-06-08 Telefonaktiebolaget LM Ericsson (publ) Mobile phone incorporating security firmware
CN1150718C (zh) * 2001-06-29 2004-05-19 华为技术有限公司 在虚拟私有网的隧道虚接口上保证互联网协议安全的方法
US7107464B2 (en) * 2001-07-10 2006-09-12 Telecom Italia S.P.A. Virtual private network mechanism incorporating security association processor
CN1268088C (zh) * 2001-11-29 2006-08-02 东南大学 基于pki的vpn密钥交换的实现方法
CN1291565C (zh) * 2002-06-28 2006-12-20 成都卫士通信息产业股份有限公司 采用基于ip层虚拟专用网建立安全组播隧道的技术

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101047599B (zh) * 2006-03-31 2011-09-07 袁初成 一种分布式ssl vpn系统构架方法
CN100596069C (zh) * 2006-08-15 2010-03-24 中国电信股份有限公司 家庭网关中IPSec安全策略的自动配置系统和方法
CN101242324B (zh) * 2007-02-09 2010-08-11 联想网御科技(北京)有限公司 一种基于ssl协议的远程安全接入方法和系统
CN101072108B (zh) * 2007-07-17 2011-09-28 杭州华三通信技术有限公司 一种ssl vpn客户端安全检查方法、系统及其装置
CN101989974A (zh) * 2009-08-04 2011-03-23 西安交大捷普网络科技有限公司 一种ssl vpn的内网web访问的安全控制方法
CN101997835B (zh) * 2009-08-10 2014-02-19 北京多思科技发展有限公司 网络安全通讯方法、数据安全处理装置和用于金融的系统
CN102244575A (zh) * 2010-05-10 2011-11-16 航天信息股份有限公司 增值税网上报税数据安全传输系统及方法
CN102377731A (zh) * 2010-08-10 2012-03-14 正文科技股份有限公司 虚拟专用网络系统及其网络装置
CN103793658A (zh) * 2012-10-30 2014-05-14 华耀(中国)科技有限公司 一种基于vpn的离线文件的保护系统及方法
CN103793658B (zh) * 2012-10-30 2016-08-31 华耀(中国)科技有限公司 一种基于vpn的离线文件的保护系统及方法
CN103716325A (zh) * 2013-12-31 2014-04-09 网神信息技术(北京)股份有限公司 访问网络的安全控制方法、装置及系统
WO2017161706A1 (zh) * 2016-03-25 2017-09-28 中兴通讯股份有限公司 一种局域网内网资源的访问控制方法、装置及网关设备
CN107294935A (zh) * 2016-04-11 2017-10-24 深圳市深信服电子科技有限公司 虚拟专用网络访问方法、装置和系统
CN107294935B (zh) * 2016-04-11 2020-05-19 深信服科技股份有限公司 虚拟专用网络访问方法、装置和系统
CN111884877A (zh) * 2020-07-23 2020-11-03 厦门爱陆通通信科技有限公司 一种增强ipsec链路稳定性的有效网关检测机制的方法

Also Published As

Publication number Publication date
CN100385885C (zh) 2008-04-30

Similar Documents

Publication Publication Date Title
US10326756B2 (en) Management of certificate authority (CA) certificates
TWI271076B (en) Security gateway with SSL protection and method for the same
US9407617B2 (en) Pass-thru for client authentication
US8886934B2 (en) Authorizing physical access-links for secure network connections
US7543332B2 (en) Method and system for securely scanning network traffic
US6804777B2 (en) System and method for application-level virtual private network
US8468347B2 (en) Secure network communications
US20060005239A1 (en) Inspected secure communication protocol
CN101141244A (zh) 网络加密数据病毒检测和消除系统和代理服务器及方法
CN1719813A (zh) 具ssl保护功能的安全网关及方法
FR2844941A1 (fr) Demande d'acces securise aux ressources d'un reseau intranet
CN111935213B (zh) 一种基于分布式的可信认证虚拟组网系统及方法
US20100031337A1 (en) Methods and systems for distributed security processing
CN1523808A (zh) 接入虚拟专用网(vpn)的数据加密方法
AU2003294304B2 (en) Systems and apparatuses using identification data in network communication
CN102348210A (zh) 一种安全性移动办公的方法和移动安全设备
JP4783340B2 (ja) 移動ネットワーク環境におけるデータトラフィックの保護方法
Prandini et al. Splitting the HTTPS stream to attack secure web connections
CN1314221C (zh) 一种安全代理方法
CN110995662B (zh) 一种基于多路网络媒介的数据传输方法和系统
CN200962603Y (zh) 一种可信边界安全网关
CN1767504A (zh) 电子邮件管理系统及方法
US20060059538A1 (en) Security system for wireless networks
CN101938428A (zh) 一种报文的传输方法和设备
CN115835194B (zh) 一种nb-iot物联网终端安全接入系统及接入方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C17 Cessation of patent right
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20080430