NO330137B1

NO330137B1 - Arrangement for prosessering av klientforesporsler

Info

Publication number: NO330137B1
Application number: NO20034382A
Authority: NO
Inventors: Markku Koskela
Original assignee: Teliasonera Finland Oyj
Priority date: 2001-04-03
Filing date: 2003-10-01
Publication date: 2011-02-21
Also published as: NO20034382L; FI113303B; EP1386257A1; DE60201899D1; DE60201899T2; NO20034382D0; WO2002082315A1; FI20010690A; ATE282228T1; FI20010690A0; EP1386257B1

Description

Den foreliggende oppfinnelsen angår hovedsakelig forespørsler som kommer fra en klient til en nettverkstjener. Mer spesifikt angår oppfinnelsen http-forespørsler. Videre angår oppfinnelsen et sikkerhetsarrangement for tjenester.

Bakgrunn

Nåværende tjenerarrangementer fremskaffer tjenester som vanligvis inneholder en brannmur, som i fig. 1 og 2. Brannmuren er et sikkerhetselement hvis formål er å holde uønskede tjenesteforespørsler utenfor tjenesteleverandørsystemet. Det er to typer brannmurer: filtrerende brannmurer som blokkerer utvalgte nettverkspakker, og proxytjenere som danner nettverksforbindelsen. Uansett er det passende å tenke på brannmurer som pakkefiltere. Data er kun tillatt å komme ut fra systemet dersom brannmurens regler tillater det. Ettersom pakker ankommer, filtreres disse, for eksempel på grunnlag av type, avsenderadresse, destinasjonsadresse og portinformasjon som finnes i hver pakke.

Fig. 1 viser et eksempel på et nåværende mulig arrangement. Klientenes terminaler 1 sender tjenesteforespørsler 8, slik som http-forespørsler gjennom en brannmur 2 til en http-tjener 4. Forespørslene rettes til de riktige applikasjonene 5, slik som CGI (Common Gateway Interface), API (Application Programming Interface), ISAPI (Internet Server Application Programming Interface) eller Java Servlet, som håndterer videresendingsprosessen for hver forespørsel. Applikasjonen kan anvende middelvare tjenester 6 for prosessering av forespørselen videresendt 9 i et back-end system, det vil si i systemet bak http-tjeneren. Middelvareprosesseringselementet 6 kan anvende en database 7 for å spørre 10 etter nødvendige data som behøves for å etablere tjenesten som forespørres. Databasen returnerer forespørselen 11 som et svar tilbake til prosesseringselementet eller direkte til applikasjonen. Alternativt kan applikasjonen ha en direkte forbindelse til en relevant database. Applikasjonene 5 sender 12 svar til klientenes terminaler gjennom brannmuren.

Alle forbindelser mellom klientenes terminaler og http-tjeneren går gjennom et tillatt "hull" 3 i brannmuren. Hullet lar pakkene som ikke filtreres gå gjennom. I situasjoner som i fig. 1 må brannmuren imidlertid tillate http-trafikk siden brannmuren er plassert mellom klientenes terminaler (på Internett) og http-tjeneren. Siden http-trafikkmengden er meget stor kan ikke brannmuren danne en svært effektiv sikkerhetsvirkning.

Et annet problem som oppstår i systemet i fig. 1 er at forbindelsen til applikasjonen og back-end systemet er åpnet (etablert) på utsiden av tjenesteleveranse arrangementet. Dette eksponerer arrangementet for tusener av samtidige http-forespørsler, som kan danne en overbelastningssituasjon i tjenestearrangementet, og også krasje arrangementet. Naturligvis ønsker ikke tjenesteleverandører at dette skjer.

Fig. 2 viser et annet eksempel på et mulig nåværende arrangement. Klientenes terminaler 1 sender tjenesteforespørsler 8, slik som http-forespørsler til en http-tjener 4. Forespørslene er rettet mot de riktige applikasjonene 5, som håndterer prosesseringen av hver videresendt forespørsel. Applikasjonen kan anvende middelvare tjenester 6 for prosessering av forespørselen videresendt 9 i et back-end system, det vil si systemet bak http-tjeneren. Forespørslene 9 sendt til back-end systemet kan gå gjennom en brannmur 2A. Middelvare prosesseringselementet 6 kan anvende en database 7 for å spørre 10 etter nødvendige data som trengs for å etablere tjenesten som forespørres. Databasen svarer 11 tilbake til prosesseringselementet eller direkte til applikasjonen gjennom brannmuren. Alternativt kan applikasjonen ha en direkte forbindelse til en relevant database. Applikasjonene 5 sender 12 svar til klientenes terminaler.

Alle forbindelser fra klientenes terminaler går rett gjennom http-tjeneren som retter dem til den relevante applikasjonen. Det kan sees fra fig. 2 at brannmuren må tillate ulike typer trafikk å gå gjennom seg på grunn av de ulike applikasjonene. Så brannmuren må altså ha flere "hull" 3 for å la pakkene som ikke filtreres vekk gå gjennom. Et resultat av å ha flere "hull" i brannmuren 2A er at denne løsningen også er utsatt for sikkerhetsrisikoer.

Også i fig. 2 er forbindelsene til applikasjonene og back-end systemet åpnet (etablert) på utsiden av tjenesteleveranse arrangementet, noe som eksponerer arrangementet for tusener av samtidige http-forespørsler, som kan danne en overbelastningssituasjon i tjenestearrangementet, og også krasje arrangementet.

Patentpublikasjonen US 6,141,759 viser også en nåværende løsning hvor forbindelser er åpnet (etablert) på utsiden av brannmuren, noe som gjør det mulig å krasje systemet til en tjenesteleverandør. Intensjonen med denne oppfinnelsen er å øke sikkerhetsnivået til et tjenesteleveranse arrangement og å eliminere krasjing av arrangementet fra utsiden.

Oppfinnelsen

Ideen i samsvar med oppfinnelsen er at en http-forespørsel som kommer fra en klients terminal plukkes opp av en forespørselshåndterer fra en http-tjener. http-tjeneren inneholder en applikasjon for å motta klientforespørslene og for sending av svar, en køfor de mottatte klientforespørslene og en annen køfor svarene, http-tjeneren er plassert på utsiden av brannmuren og forespørselshåndtereren er på innsiden av brannmuren, som også er back-end systemer for forespørselshåndtereren. Siden forespørselshåndtereren krever at http-tjeneren returnerer en klientforespørsel i forespørselskøen som et svar til håndtereren, åpnes en forbindelse gjennom brannmuren, det vil si den etableres, inne i brannmuren. Med andre ord syter forespørselshåndtereren i brannmuren trafikken gjennom brannmuren. Dette arrangementet eliminerer situasjoner hvor http-forespørsler som kommer fra Internett overbelaster tjenesteleveranse systemene.

Forespørselshåndtereren videresender forespørslene til back-end systemene, hvor forespørslene håndteres for å etablere svar for å sende dem tilbake til klientene. Svarene sendes gjennom brannmuren enten til svarkøen eller til en spesiell database hvorfra http-tjeneren kan plukke dem opp.

Siden alle forbindelsene gjennom brannmuren åpnes på innsiden av brannmuren, er sikkerheten til tjenesteleveranse arrangementet mer pålitelig enn hos eksisterende løsninger.

Kort beskrivelse av figurene

I det følgende vil oppfinnelsen bli beskrevet i detalj ved hjelp av de vedlagte tegningene, hvor:

fig. 1 illustrerer et eksempel på en eksisterende løsning for prosessering av http-forespørsler, fig. 2 illustrerer et annet eksempel på en eksisterende løsning for prosessering av http-forespørsler,

fig. 3 illustrerer et eksempel på et arrangement i samsvar med oppfinnelsen,

fig. 4 illustrerer et eksempel på et flytskjema som beskriver fremgangsmåten i samsvar med oppfinnelsen, og

fig. 5 illustrerer et eksempel på et annet arrangement i samsvar med oppfinnelsen.

Fig. 3 viser et eksempel på et arrangement i samsvar med oppfinnelsen. En klientterminal 1 sender en http-forespørsel 41 til http-tjeneren 31. http-tjeneren omfatter en applikasjon 32 som håndterer mottak av http-forespørslene i et inngangsprosesseringselement 33, og tilbakesending av svar til klientenes terminaler i et utgangsprosesseringselement 34. De mottatte http-forespørslene videresendes 42 for å lagre dem i en forespørselskø35. http-tjeneren omfatter også en svarkø36 for svar til klientenes terminaler, http-tjeneren er plassert på utsiden av en brannmur 2B.

På innsiden av brannmuren er det et element 37, som kalles forespørselshåndtereren, som håndterer opprettelsen av forbindelser gjennom brannmuren. Forespørselshåndtereren retter også http-forespørsler til en relevant applikasjon 39 for å etablere tjenesten som forespørres.

Forespørselshåndtereren er fortrinnsvis middelvare programvare. Definisjonen av middelvare er ikke nøyaktig, men vanligvis anses middelvare for å være et lag eller programvare mellom nettverket og applikasjonene. Middelvare gjør avanserte nettverksapplikasjoner mye enklere å bruke. Mulige middelvareteknikker for å danne forespørselshåndtereren er for eksempel CORBA,

TUXEDO, COM, DCOM, RPC og RMI.

Forespørselshåndtereren 37 slår opp 43 i forespørselskøen 35 i http-tjeneren 31 om en forespørsel er tilgjengelig i køen, noe som krever et svar 44 til forespørselshåndtereren. Samtidig oppretter håndtereren en forbindelse gjennom brannmuren, det vil si åpner et "hull" 3A i brannmuren, når et oppslag sendes. Dersom det er en forespørsel i forespørselskøen kan denne uttrykkes i et svar for forespørselen hos forespørselshåndtereren og sende denne til forespørselshåndtereren gjennom hullet i brannmuren 2B.

Forespørselshåndtereren slår opp 45 i en applikasjonslogikk 38, hvilken applikasjon 39 som er den rette for forespørselen. Applikasjonslogikken avbilder 46 (for eksempel ved bruk av URL informasjon) applikasjonen og http-forespørselen og returnerer 47 avbildningsinformasjonen til forespørselshåndtereren. Forespørselshåndtereren sender 50 http-forespørselen til den rette applikasjonen 39. Det kan være mulig at applikasjonslogikken er kombinert med forespørselshåndtereren, men det å holde dem adskilt er foretrukket.

Det skal bemerkes at forespørselshåndtereren opptrer som en klientprosess, som anvender tjenester utenfor, det vil si http-tjeneren, applikasjonslogikken og applikasjonene.

Dersom det behøves kan applikasjonen 39 anvende en database 7 for å slå opp 48 etter data som trengs for å etablere tjenesteforespørselen. Svardata leveres tilbake 49A gjennom applikasjonen og forespørselshåndtereren til svarkøen gjennom brannmuren eller til en spesiell database 40 på utsiden av brannmuren. Den spesielle databasen anvendes dersom responsen inneholder en større mengde data grunnet det er ineffektivt eller umulig å anvende svarkøen. Alternativt leveres svardataene tilbake 49B gjennom applikasjonen til svarkøen eller den spesielle databasen.

Utgangsprosesseringselementet 34 spør 51 svarkøen 36 eller den spesielle databasen 40 svarer klart for levering til klientenes terminaler 1. Dersom det er svar i køen eller i databasen ledes 52 svarene til utgangsprosesseringselementet 34, som leverer 53 dem til klientenes terminaler.

Fig. 4 viser et eksempel på et flytskjema som beskriver fremgangsmåten i samsvar med oppfinnelsen. Først mottar inngangsprosesseringselementet 33 i http-tjeneren 60 en http-forespørsel fra en klients terminal. Den mottatte http-forespørselen lagres 61 i forespørselskøen. Forespørselshåndtereren, som er på den andre siden av brannmuren, slår opp 62 mottatte http-forespørsler i forespørselskøen. På grunn av dette åpner forespørselshåndtereren en forbindelse gjennom brannmuren fra den andre siden av brannmuren. Som et svar på oppslaget returneres 63 http-forespørselen til forespørselshåndtereren gjennom brannmuren.

Deretter slår 64 forespørselshåndtereren opp etter en relevant applikasjon for håndtering av http-forespørselen fra applikasjonslogikken. Som et svar på oppslaget avbilder 65 applikasjonslogikken den relevante applikasjonen og http-forespørselen sammen, og returnerer avbildningsinformasjonen til forespørselshåndtereren. Forespørselshåndtereren sender 67 http-forespørselen til den relevante applikasjonen.

Applikasjonen kan etterspørre 68 nødvendige data ved behov, etter et svar på en forespørsel fra en database. Dersom dataene fra databasen behøves for å utføre svaret fra forespørselen, ledes svaret fra databasen til applikasjonen. Alternativt kan applikasjonen danne svar på forespørselen uten bruk av databasen.

Applikasjonen sender 70 svaret fra forespørselen enten direkte til svarkøen i http-tjeneren eller til den spesielle databasen på den andre (usikre) siden av brannmuren, eller gjennom forespørselshåndtereren til svarkøen i http-tjeneren eller til den spesielle databasen på den andre siden av brannmuren.

Utgangsprosesseringselementet i http-tjeneren slår opp 71 svarene på forespørselen fra svarkøen og den spesielle databasen. Dersom et svar på forespørselen eksisterer i svarkøen eller i den spesielle databasen, leverer (sender) 72 utgangsprosesseringselementet denne til klientens terminal.

Arrangementet i samsvar med oppfinnelsen tilbyr et svært robust miljø for leveranse av tjenester. Arrangementet er tilnærmet lineært skalerbart. Forespørselshåndtereren kan plukke opp http-forespørsler fra flere http-tjenere og stiller disse i kø som vist i fig. 5. På den andre siden kan det også være flere forespørselshåndterere, som er i stand til å levere forespørsler til de samme applikasjonene. Arrangementet er også stabilt siden http-tjenerne og forespørselshåndtererne kan plukke opp en http-forespørsel fra køen hos den samme http-tjeneren.

Prosesseringen av http-forespørsler kan prioriteres, http-tjenerne kan inneholde flere forespørsels- og svarkøer, som kan anvendes for prioriteringen. Dette betyr at http-tjeneren plasserer http-forespørsler i ulike køer i samsvar med bestemte kriterier. Kriteriet kan for eksempel være URL en som forespørres, eller deler av denne, sesjons ID, klientens IP-adresse eller klientens telefonnummer. Hver køkan være forbundet med en egen forespørselshåndterer.

Forespørselshåndterere kan variere fra hverandre. For eksempel er bestemte forespørselshåndterere optimert for rask håndtering, andre for å ta i betraktning sikkerhetsbehov, og enkelte forespørselshåndterere for håndtering av en bestemt type trafikk, slik som ledelsestrafikk eller tjenester med høy prioritet. Forespørselshåndterere kan også fremskaffe autentiserings- og autorisasjonsoppgaver, og også sesjonsledelse. Forespørselshåndterere kan også støtte transaksjonsstyring.

Det skal bemerkes at arrangementet i samsvar med oppfinnelsen kan realiseres på mange måter. Applikasjonen som håndterer inngangs/utgangs prosessering i http tjeneren kan utføres ved bruk av vanlige teknikker ved applikasjonsgrensesnitt, slik som CGI, NSAPI, ISAPI eller JavaServlet. Forespørsels- og svarkøer kan handle etter et FIFO prinsipp (First In First Out). Køene fremskaffer lese- (GetRequest) og skrive- (AddRequest) handlinger. Tjenestene til køene kan utføres ved bruk av ulike teknikker, slik som mellomvare (CORBA, TUXEDO, DCOM, COM, RPC, RMI). Middelvareteknikker kan anvendes når forespørselshåndtereren utføres som nevnt tidligere.

Applikasjonslogikken kan også utføres ved bruk av middelvareteknikker. Applikasjonsteknikken kan tenkes å være en tjeneste, hvorfra forespørselshåndtereren kan spørre etter den relevante applikasjonen for http-forespørselen under prosessering. Den spesielle databasen kan også sees på som en tjeneste, gjennom hvilke applikasjoner kan levere store svar til http-tjeneren, forbi svarkøen. Det er flere måter å fremskaffe databasen på, ved bruk av et vanlig filsystem med for eksempel FTP eller NFS, ved bruk av enkelte databaseteknikker eller modellering av databasen som en tjeneste, slik som CORBA.

Det skal bemerkes at forespørselshåndtereren fortrinnsvis handler som en klient som anvender tjenester på utsiden, men dette er ikke den eneste løsningen for å utføre et arrangement i samsvar med oppfinnelsen. Selv om oppfinnelsen er beskrevet i denne teksten til å håndtere http-forespørsler fra klienters terminaler, slik som en nettleser eller en WAP mobiltelefon, så skal det bemerkes at det også er mulig å håndtere andre typer forespørsler. I samsvar med det som er nevnt ovenfor, er det klart at arrangementet i samsvar med oppfinnelsen kan utføres på mange måter, innenfor rammen av oppfinnelsestanken.

Claims

1. Arrangement for å fremskaffe tjenester i et kommunikasjons nettverksmiljø, som omfatter minst én klients terminal (1), en tjener (31) for å koble tjenestene og klientenes terminaler, et back-end system (7, 38, 39) for hver tjener og en brannmur (2B) mellom tjeneren og back-end systemet,karakterisert vedat tjeneren omfatter en applikasjon (32) for å motta tjenesteforespørsler fra klientenes terminaler og for å sende svar til klientenes terminaler, en forespørselskø(35) for de mottatte tjenesteforespørslene og en svarkø(36) for svarene som skal sendes til klientenes terminaler, og back-end systemet, som håndterer utføringen av svarene, omfatter en forespørselshåndterer (37) for å åpne en forbindelse gjennom brannmuren for å plukke opp forespørslene fra forespørselskøen.

2. Arrangement i samsvar med patentkrav 1,karakterisert vedat arrangementet videre omfatter en spesiell database (40) for å beholde svarene, som er for store for håndtering av svarkøen.

3. Arrangement i samsvar med patentkrav 2,karakterisert vedat applikasjonen for å motta tjenesteforespørslene videre omfatter: et inngangsprosesseringselement (33) for å motta tjenesteforespørselen og levere dem til forespørselskøen (35) og et utgangsprosesseringselement (34) for å slå opp svarene fra svarkøen (36) og fra den spesielle databasen (40) og for å sende svarene til klientenes terminaler.

4. Arrangement i samsvar med patentkrav 3,karakterisert vedat back-end systemet videre omfatter en applikasjonslogikk (38) for å avbilde forespørslene fra forespørselshåndtereren (37) og applikasjonene (39) som håndterer forespørslene.

5. Arrangement i samsvar med patentkrav 3 eller 4,karakterisert vedat back-end systemet omfatter minst én (7) database hvorfra applikasjonene (39), som håndterer forespørslene, kan spørre etter nødvendige data for svarene som sendes til svarkøen (36) eller til den spesielle databasen (40).

6. Arrangement i samsvar med patentkrav 5,karakterisert vedat den spesielle databasen (40) er utformet til å være en tjeneste for de andre elementene hos arrangementet som anvender den spesielle databasen (40).

7. Arrangement i samsvar med patentkrav 6,karakterisert vedat forespørsels- (35) og svarkøen (36) er utformet til å være tjenester for de andre elementene hos arrangementet som anvender dem.

8. Arrangement i samsvar med patentkrav 7,karakterisert vedat applikasjonslogikken (38) er utformet til å være en tjeneste for de andre elementene hos arrangementet som anvender den.

9. Arrangement i samsvar med patentkrav 8,karakterisert vedat forespørselshåndtereren (37) er utformet til å være en klient som anvender tjenestene i arrangementet.

10. Arrangement i samsvar med et av patentkravene 1 til 9,karakterisert vedat tjenesteforespørslene er http-forespørsler.

11. Fremgangsmåte for å fremskaffe tjenester i et kommunikasjonsnettverksmiljø, som omfatter minst én klients terminal (1), en tjener (31) for kobling av tjenestene og klientenes terminaler, et back-end system (7, 38, 39) for hver tjener og en brannmur (2B) mellom tjeneren og back-end systemet, hvor fremgangsmåten omfatter å motta en tjenesteforespørsel fra klientens terminal i tjeneren og sende et svar til klientens terminal,karakterisert vedat fremgangsmåten omfatter følgende trinn: lagre de mottatte tjenesteforespørslene i en forespørselskø (35) i tjeneren, åpne en forbindelse fra back-end siden av brannmuren for å slå opp en forespørsel i forespørselskøen (35) aven forespørselshåndterer (37), returnere forespørselen fra forespørselskøen (35) på tjenersiden av brannmuren til forespørselshåndtereren (37) i back-end siden av brannmuren, som et svar på etterspørselen, og sende svaret fra back-end siden av brannmuren til et forhåndsbestemt element (36, 40) på tjenersiden av brannmuren.

12. Fremgangsmåte i samsvar med patentkrav 11,karakterisert vedat fremgangsmåten videre omfatter trinnene: forespørre en relevant applikasjon (39) fra en applikasjonslogikk (38) på back-end siden av brannmuren hos forespørselshåndtereren (37), og sende forespørselen fra forespørselshåndtereren (37) til den relevante applikasjonen (39) for å danne svaret.

13. Fremgangsmåte i samsvar med patentkrav 12karakterisert vedat mellom trinnene med å slå opp den relevante applikasjonen og å sende forespørselen fra forespørselshåndtereren til den relevante applikasjonen, omfatter den trinnene: avbilde den relevante applikasjonen (39) og forespørselen i applikasjonslogikken (38), og sende avbildningsinformasjonen fra applikasjonslogikken (38) til forespørselshåndtereren (37).

14. Fremgangsmåte i samsvar med patentkrav 12 eller 13,karakterisert vedat fremgangsmåten ved behov videre omfatter å spørre etter nødvendige data fra en database (7) og å returnere de nødvendige dataene som et svar til den relevante applikasjonen (39) for å danne svaret.

15. Fremgangsmåte i samsvar med patentkrav 12, 13, eller 14,karakterisert vedat svaret sendes fra applikasjonen til det forhåndsbestemte elementet, som er en svarkø(36) i tjeneren.

16. Fremgangsmåte i samsvar med patentkrav 15,karakterisert vedat svaret sendes gjennom forespørselshåndtereren (37).

17. Fremgangsmåte i samsvar med patentkrav 12, 13, eller 14,karakterisert vedat svaret sendes fra applikasjonen til det forhåndsbestemte elementet, som er en spesiell database (40) på tjenersiden av brannmuren.

18. Fremgangsmåte i samsvar med patentkrav 17,karakterisert vedat svaret sendes gjennom forespørselshåndtereren (37).

19. Fremgangsmåte i samsvar med patentkrav 11 eller 16,karakterisert vedat før trinnet med å sende svaret fra tjeneren til klientens terminal omfatter fremgangsmåten å slå opp svaret fra svarkøen (36) med et utgangsprosesseringselement (34).

20. Fremgangsmåte i samsvar med patentkrav 17 eller 18,karakterisert vedat før sendingen av svaret fra tjeneren til klientens terminal omfatter fremgangsmåten å slå opp svaret fra den spesielle databasen (40) med et utgangsprosesseringselement (34).