SE524238C2 - Anordning och förfarande för att underhandla om nätparametrar - Google Patents

Description

Im 15 20 25 30 524 238 2 servrar som hanterar e-möten eller andra tjänster som distribuerar media för att iden- tifiera klientterrninaler.

En lösning på problemet hur trafik skall möjliggöras till och från klientterminaler och servrar med en mellanliggande brandvägg eller annat skyddsarrangemang är att installera en specifik mediaproxyserver i anslutning till kommunikationsservern.

Emellertid är detta både komplicerat och kostsamt och därför finns det ett behov av en förbättrad lösning till detta problem.

Sammanfattning av uppfinningen Det är därför ett ändamål med föreliggande uppfinning att undanröja de tidigare nämnda problemen hos känd teknik förknippade med gruppkommunikationstjänster och dessutom tillhandahålla en generellt användbar lösning. Detta åstadkoms genom en anordning och ett förfarande för datakommunikation i realtid innefattande en sändande klientterminal och åtminstone en mottagande klientterminal, där klient- terminalema är försedda med skyddsorgan, och där realtidsdatakommunikationen sänds via en mellanliggande distributionsserver, skyddsorganet är försett med en nätöversättningsenhet för att mappa en internt tillgänglig nätdestinationsadress med en motsvarande externt tillgänglig nätdestinationsadress, kännetecknad av att den sändande klientterminalen och den mellanliggande distributionsservem är anpassade att utbyta information mellan varandra om de aktuella destinationsadressema för mappning så att servern skall kunna få tillgång till den mottagande klientterrninalen vid datakommunikation i realtid.

Med hjälp av föreliggande uppfinning utförs underhandling mellan en server och en klientterrninal för att propagera nät-IP-infonnationen som erfordras för mediakom- munikation i realtid. Detta görs genom direkt kommunikation mellan klienttermina- len och servem under utnyttjande av en dataförbindelse med kommunikationsproto- koll för transmission av nätinfonnation i fall där nätadressöversättning inte erford- 10 15 20 25 30 524 238 n nu. 3 ras. Klientterminalen och den mellanliggande kommunikationsservem är anpassade att utbyta information om nätparametrar för att kunna identifiera mappningsstruktu- ren mellan klientens terminalvy av nätparametrama och servervyn efter att data har passerat enheten för översättning av nätadresser. Mappningsinformationen används därefter för att identifiera klientterminalen vid servern liksom för att informera servern om vart den skall skicka realtidsmedia för att det skall nå den mottagande klienten.

Kort beskrivning av ritningarna Särdrag, ändamål och ytterligare fördelar hos denna uppfinning kommer att vara uppenbara genom att läsa denna beskrivning tillsammans med de därtill hörande ritningama, i vilka samma hänvisningsbeteckningar hänför sig till samma element och i vilka: Fig. 1 illustrerar en schematisk översikt av organ som erfordras för att skicka ett mediaflöde av data i enlighet med föreliggande uppfinning.

Fig. 2 är en schematisk illustration av mappningen av nätadresser vid skickande av ett mediaflöde av data i enlighet med föreliggande uppfinning.

Detaljerad beskrivning Följande beskrivning är av bästa tänkbara slag (best mode) som för närvarande övervägs för att praktisera uppfinningen. Beskrivningen skall inte ses som begrän- sande, utan har utarbetats endast i syfte att beskriva de generella principerna av upp- finningen. Skyddsomfånget hos uppfinningen bör fastställas med hänvisning till de godkända patentkraven.

Med hänvisning till fig. 1 är en sändande klientterminal 10 förbunden med den mot- tagande klienttenninalen 20. Förbindelsen görs företrädesvis mellan den sändande klienttenninalen och den mottagande klientterminalen via en mellanliggande kom- im 15 20 25 30 524 238 | . | . .- 4 munikationsserver 30, vilken är anpassad att rikta eller vidarebefordra kommunika- tionsdata från vilken som helst sändande kommunikationsterminal till en annan mot- tagande kommunikationsterminal. Ett skyddsorgan 12, 22 är anordnat mellan var och en av klientterminalerna och datanätet för distribution av data som skyddar klientterminalerna från skadligt intrång, såsom datavirus eller andra förstörande och nätdistribuerade attacker för vilka klientterrninalen kan utsättas. Ett slags skydds- organ är ett programvarubaserat brandväggsarrangemang eller annat datorskydds- organ, såsom en virussköld. De sändande och mottagande klientterrninalerna kan innefatta vilken som helst elektronisk utrustning som används för kommunikations- ändamål, såsom en persondator eller annan slags mobil kommunikationsterminal inkluderande handdatorer, mobiltelefoner, konsoler och elektroniska organisations- verktyg.

I enlighet med en utföringsforrn, vilken avbildas i fig. 2, är den generella funktionen hos en nätadressöversättare följande: En klientterminal A skall upprätta kommuni- kation med en annan klientterniinal B. Klientterminalen A är skyddad av en brand- vägg och/eller en nätadressöversättare C. Klientterminal B lyssnar uppmärksamt på signaler som matas in på. dess portnummer "x". Vid utförande av signaleringen, skall klientterminal A skicka en signal från portnummer "y" till klientterrninal Bzs port- nummer "x". Emellertid hindrar brandväggen och/eller arrangemanget för nätadress- översättning C detta paket och återsänder det från ett portnummer "z" hos skydds- organet C till portnummer "x" hos klientterminalen B. Nu har där upprättats ett till- stånd i brandväggen och/eller nätadressöversättaren C med en mappning av en port på den extema sidan från port "z" hos skyddsorganet C till port "y" hos klientter- minalen A, d.v.s. klientterrninalen B skickar nu data till port "z" och brandväggen och/eller nätadressöversättaren översätter detta till port "y" hos klientterminalen A.

För att bibehålla tillståndet för tillåten retur, måste klientterrninalen A kontinuerligt skicka information till klienttenninalen B genom brandväggen och/eller arrange- manget för nätadressöversättning C.

Vw 15 20 25 30 524 238 š v Mer i detalj, och dessutom med hänvisning till fig. 2, är funktionen hos ett visst arrangemang för nätadressöversättning i enlighet med föreliggande uppfinning som följ er: Det första steget är att klienttenninal A och klienttenninal B utväxlar ett hemligt informationsinnehåll, en s.k. nyckel, vilken kan vara en stor och godtyckligt vald siffra som hanteras som hemlig inforrnation, Cr. Detta görs via en mekanism, som är krypterad och därför säker HTTP (HTTPS). I syfte att vara tydlig fastän känt av den skicklige inom området, betyder HTTP "hypertext transfer protocol" och detta protokoll används för närvarande som standardfonnat for att skicka infonna- tion via webben. Denna hemliga information skickas via TCP i ett säkert transport- tillstånd för att säkerställa att infonnationen når sin avsedda mottagare. Nästa steg för klienttenninalen A är att initiera kommunikation med klientterminalen B via port "x" hos klientterrninalen B. Klienttenninalen A skickar data från port "y" via arrangemanget för nätöversättning C. Arrangemanget C vidarebefordrar data till klientterrninalen via dess port "z". Data flödar nu från klientterminalen B till klient- tenninalen A med hjälp av att klientterrninalen B skickar data till port "z" hos arrangemanget för nätöversättning C, vilket i sin tur översätter denna data till port "y" hos klientterminal A. Vid detta skede av transmissionen, skickar klientterrnina- len B en begäran till klientterminalen A att kryptera ett godtyckligt ord "vad som helst" genom att utnyttja sin säkra nyckel Cr, vilken är densamma som tidigare nämnts, och skickar sedan det krypterade och godtyckliga ordet "vad som helst" till klientterrninalen B. Klientterminalen B, vilken också har i sin ägo den säkra nyckeln Cr gör detsamma och under förutsättning att resultaten av de två krypterade orden är desamma, godkänns den överförda informationen i form av datatrafik från klient- terminalen A via arrangemanget för nätöversättning C till klienttenninalen B som korrekt. Detta betyder att ytterligare datatrafik kan utväxlas mellan klienttenninal A och klientterminal B.

Genom att använda den ovan beskrivna funktionen hos anordningen i ñg. 1, ger den mer detaljerade beskrivningen därför följande tolkning av illustrationen: Två klient- tenninaler 10, 20 för kommunikation vilka båda är belägna bakom nätöversättnings- 10 15 20 25 30 524 238 u» ø u o . nu 6 arrangemang 12, 22. Kommunikation mellan de två klienttemiinalerna måste vara upprättad via en tredje part, vilken kan inkludera vilket som helst slags kommunika- tionsorgan 30, såsom exempelvis en kommunikationsserver eller en portal. De första stegen för att upprätta en funktionell kommunikationskanal mellan kommunika- tionsklientterminalema 10 och 20 utförs parallellt mellan de individuella klienterna 10 respektive 20, och å andra sidan med kommunikationsorganet 30. Så snart kom- munikationskanalema 10-30 respektive 20-30 är upprättade, kan klientterrninalema 10 och 20 kommunicera med varandra genom att skicka data via kommunikations- organet 30.

Den ovan beskrivna proceduren och funktionen har likheter med den kiyptologiskt kända metoden att uppfordra respons (challenge response). Vidare består det god- tyckliga ordet "vad som helst" helt och hållet av godtyckliga symboler vilka inte nödvändigtvis har någon betydelse eller är ett känt ord.

Ett skyddsorgan, såsom en brandvägg, är ofta arrangerat på så sätt att det tillåter trafik att komma in i en skyddad zon endast under förutsättning att motsvarande traflk har skickats ut från den skyddade zonen. I en situation när kommunikations- kanalen inte har utnyttjats under en viss tidsperiod, förändras tillståndet hos en brandvägg från ett datagenomträngligt, öppet tillstånd till ett låst tillstånd. Andra typer av särdrag förknippade med brandväggar är den beskrivna översättningen av nätadresser.

Via dataförbindelsen distribueras vilken slags mediainforrnation som helst, såsom flödande video, kommunikationsdata för IP-telefoni eller synkron kommunikations- data i realtid.

I enlighet med föreliggande uppfinning finns programvara utvecklad parallellt med förfarandet för att skicka och godkänna ett mediaflöde av data. Programvaran finns i ett minne i anslutning till organet för att skicka och godkänna i enlighet med fig. 1. 524 238 av :no a u u | nu 7 Programvaran är utformad for att instruera hårdvaran att utföra de sekventiella för- farandestegen som tidigare beskrivits i detta dokument med särskild hänvisning till fig. 2 och patentkraven i kategorin forfarande.

Claims (8)

10 15 20 25 30 524 238 Patentkrav

1. Anordning för datakommunikation i realtid innefattande en sändande klienttenni- nal (10) och åtminstone en mottagande klientterminal (20), där klientterrninalema är försedda med skyddsorgan (12, 22), datakommunikationen i realtid skickas via en mellanliggande distributionsserver (30), skyddsorganet (12, 22) är försett med en nätöversättningsenhet (ej visad) för att mappa en internt åtkomlig nätdestinations- adress med en motsvarande extemt åtkomlig nätdestinationsadress, kännetecknad av att den sändande klienttenninalen (10) och den mellanliggande distributionsser- vem (30) är anpassade att utväxla information mellan varandra om den aktuella mappningen av destinationsadresser för att servem skall kunna få tillgång till den mottagande klienttenninalen (20) med datakommunikation i realtid.

2. Anordning för datakommunikation i realtid enligt krav 1, kännetecknad av att skyddsorganet är ett brandväggsarrangemang.

3. Anordning för datakommunikation i realtid enligt krav l eller 2, kännetecknad av att skyddsorganet är ett virussköldarrangemang.

4. Anordning för datakommunikation i realtid enligt kraven 1-3, kännetecknad av att datakommunikationen i realtid inkluderar data från flödande video, IP-telefoni eller synkron kommunikation.

5. Förfarande för datakommunikation i realtid innefattande en sändande klienttermi- nal (l0) och åtminstone en mottagande klienttenninal (20), där klientterminalema är försedda med skyddsorgan (12, 22), datakommunikationen i realtid sänds via en mellanliggande distributionsserver (30), skyddsorganet (12, 22) är försett med en nätöversättningsenhet (ej visad) för att mappa en intemt åtkomlig nätdestinations- adress med en motsvarande externt åtkomlig nätdestinationsadress, kännetecknat av utväxling av information mellan den sändande klientterminalen (10) och den 10 15 20 25 30 524 238 n : o v | n. 9 mellanliggande distributionsservem (30) om den aktuella mappningen av destina- tionsadresser så att servern skall kunna få tillgång till den mottagande klientterrni- nalen (20) med datakommunikation i realtid.

6. Förfarande för datakommunikation i realtid enligt krav 5, vidare kännetecknat av utväxling av ett hemligt inforrnationsinnehåll, såsom en s.k. nyckel, mellan de sän- dande och mottagande klientterminalerna, den mottagande klientterminalen skickar en begäran till den sändande klienttermina- len att kryptera en godtycklig sekvens genom att använda det hemliga informations- innehållet, de sändande och mottagande klientterminalema krypterar den godtyckliga sekven- sen genom att utnyttja det utväxlade identiska hemliga informationsinnehållet, och jämförelse av resultaten för kommunikationsterminalemas krypterade sekvenser för att kunna bekräfta ytterligare transmission av datakommunikation i realtid mellan klientterminalerna.

7. Förfarande för datakommunikation i realtid enligt krav 6, vidare kännetecknat av utväxling av det hemliga inforrnationsinnehållet, den s.k. nyckeln, i ett säkert transporttillstånd såsom säker HTTP (hypertext transfer protocol) via TCP (trans- mission control protocol).

8. Dataprogramprodukt för datakommunikation i realtid innefattande en sändande klientterminal (10) och åtminstone en mottagande klientterminal (20), där klientter- minalema är försedda med skyddsorgan (12, 22), datakommunikationen i realtid skickas via en mellanliggande distributionsserver (30), och där skyddsorganet (12, 22) är försett med en nätöversättningsenhet (ej visad) för mappning av en internt åtkomlig nätdestinationsadress med en motsvarande externt åtkomlig nätdestina- tionsadress, kännetecknad av att dataprogramprodukten är anpassad för att utföra förfarandestegen enligt kraven 5-7.