TW200847725A - Enabling secure remote assistance using a terminal services gateway - Google Patents

Description

200847725 九、發明說明： 【發明所屬之技術領域】 本發明是有關於使用一終端服務閘道器啟動安全遠端 協助的技術。 【先前技術】 電腦使用者（尤其是並無太多專業技能的使用者）經常 fS 曰面臨到在組態或使用上的問題，而這些問題讓支援技術 人員或甚僅一友人或家人成員是難以在電話上進行診斷並 修復。透過一網路或網際網路連線所提供之遠端辅助對於 使用者而言是一種獲得該等所需協助的有效方式，並且對 於企業協助櫃檯來說可較簡便地且較低成本地協助其使用 者。在收到一對於遠端輔助的請求之後，該協助者（即如協 助樞檯專家）可按遠端方式連接至該問題電腦，觀看其桌面 榮幕’並且透過網路連接藉由發送鍵盤與滑鼠命令以暫時 地控制該電腦。

^ 而在其中一遠端使用者（亦即該「受助者」）位在一 NAT (網路位址轉譯器）防火牆之後，並且該協助者是在一企業 網路之内而受一緣界或週圈類型的防火牆所保護之情況 下’既已證實確難提供遠端協助。NAT防火牆常用於小型 及/或家庭網路，藉以將該小型網路中之電腦的ip (「網際 網路協定」）位址重新對映至一單一 IP位址，而此位址通 Φ疋由網際網路閘道器利用一镜線或DSL (數位用戶線 路）連接所提供。該週圈防火牆通常是用以針對於惡意軟體 200847725 (亦即像是病毒、特洛伊木馬、後門（「Rootkits」）、間諜 軟體等等的惡意軟體），藉由檢指Λ 士 現入方訊務以監視該内部企 業網路與Ά網路’網際網路之間的訊務。此外，當受助 者是位於^企業·網路之内而在—防火牆後$，並且該協助 者是身處〆不同企業網路之内而亦在一防火牆後方時，可 能會難以實作遠端協助。

對於這些問題的現有解決方式是包含利用一中介項， 像是網際網路上之一節點，而該協助者及該受助者在此相 見以進行連接。在-些情況下雖可獲令人滿意結果，然該 網際網路節點並不安全’同時-般說來必須佈署額外資 源，並且經常會因該等節點的可獲用性之故而造成擴充性 限制。-種對於中介項的替代方式是，對於網路管理者而 言，開啟新的入方連接埠（在該週圈防火牆的情況下），或 是將一入方連接埠對映至該網路内的一特定電腦（在ΝΑΤ 防火牆的情況下）。然而，網路管理者將常會開啟或對映連 接埠產生猶豫，這是由於此等動作會内隱地不安全，並且 可能導致對網路或企業之安全性的顯著風險，而這是危及 到防火牆之所欲目的。 本「發明背景」乙節係經提供以介紹後文所述之「發 明概要」及「詳細說明」的簡要概念。本「發明背景」並 非為以輔助決定所主張之主題項目的範圍，亦不應將其視 為將所主張之主題項目限制在解決任何或所有前文所呈現 之缺點或問題的實作。 6 200847725 【發明内容】 可藉一配置方式以提供位在防火牆及/或NAT裝置後 方之多台電腦間的安全遠端協助對話，其中此配置係利用 一終端服務（「TS」）閘道器以供，在與於一傳統終端服務 對話之中所運用者相反的方向上，由一終端服務客戶端運

用一遠端桌面協定（「RDP」）連接。該連接係透過一 A 吊規 T S閘道器協定機制所進行，而位在一防火牆後方之了 $客

Ο 戶端可藉此機制建立一至該遠端伺服器的連接，其 ’、τ 1¾ 词 服器通常是位在一保護一企業網路之防火牆的後方。 、、後 該伺服器運作如該終端服務客戶端，藉以利用所建立之丁$ 閘道器連接將RDP資料穿過該NAT防火牆而隨傳至— 戶端。如此，該伺服器及客戶端在進行過該TS閘道哭連 接之後即交換角色。在這些經交換之角色裡，該伺服器（亦 即原始客戶端）將控制訊息發送至該客戶端。該伺服器自 客戶端（亦即該原始伺服器）收到呈現資料，藉此供以在^ 遠端協助對話之支援中按遠端方式觀看由該客戶端所顯L 的圖形使用者介面。 ^ 止系網路防火牆後方 在各種說明性範例裡

的協助櫃檯向一位在一用於網際網路存取之N 1防火牆 後方的遠端客戶端（即如一家庭使用者）提供遠端協助。° 一說明性範例裡，該遠端客戶端存取一由該ts閘道如在 提供的網頁鏈結，而其在當啟用後可於一由該TS =态~ 所示出的插件模組與一位在遠端客戶端上的C〇M _ \ (「共同物件模型」）元件’像是ActiveX，之間， 1型 咬·立起—. 200847725 RPC/HTTPS ( 遠端 %序呼叫」/利用「超文字傳送協 藉SSL (「安全插口 〜」 層」））連接。在另一說明性範例裡，會 將一來自該客戶诚土 ^的遇如連接埠轉送至該TS閘道器。在 兩者說明性範例裡，盥命Μ、皆#、也/ . ^ ^ ^ …该TS閘道盗進行連接的功能僅類 似如一常規連接’此連接是由該遠端客戶端所啟動（透過該

ActiveX元件），而連至一位在該企業網路内部且運行一終 端服務客戶端的協助櫃檯伺服器。該協助櫃檯伺服器運行 f Ο 一遠端協助應用程式以載入一終端服務客戶端，俾利用連 至該遠端客戶端的所建立TS閘道器連接而經由該NAT防 火牆以隧傳RDP顯示資料。如此可建立一端對端連接，而 在此之上可於遠端協助對話過程中在該協助櫃檯與該遠端 客戶端之間串流傳送含有圖形呈現資料的RDP資料及命 令。 本「概述」係經提供以介紹一種按一較簡化形式，而 在後文「詳細說明J所進一步描述的選擇概念。本「概述」 並非為以識別所主張之主題項目的各項關鍵特點或基本特 性，亦非為以用於決定所主張主題項目之範圍的輔助。 【實施方式】 第1圖顯示〆説明性逡端協助環境100，其中自一稱 為協助者105之佝脈器對一位於一客戶端處的受助者108 提供遠端協助。後文中將描述該說明性環境1〇〇,藉此提 供本項對於在多台電腦間提供安全遠端協助之配置的情 境。一種典型的遠端協助情境為一位在該遠端客戶端處之 8

200847725 使用者向一協助櫃檯伺服器請求協助，而此伺服 業網路的一部份。從而，如該受助者1 0 8之遠端 用例如一即時網路傳訊服務或是電子郵件以發出 協助的請求。該協助者105,像是位於協助櫃檯處 連接至該受助者108藉以進行一遠端協助對話， 請求之協助呈現予位在遠端客戶端的使用者。 該協助者105及該受助者108通常是透過一 而通訊，此網路可經配置如一區域網路，或是配 域網路而可利用像是網際網路之公眾網路的其一 環境100裡，該協助者105及該受助者108是利 服務對話透過網路11 8而通訊，在本說明性範例 一遠端桌面協定（「RDP」），其通常是運作於一 105與該受助者108之間的TCP/IP (「傳輸控制i 網路協定」）連接上。 遠端協助通常是依循一項程序，即其中該協 應於一來自該受助者108之協助請求以利用在訊 換的認證資料而啟動一連接。一旦該受助者1 〇 8 接，該者即可運用一項功能性，其中可藉由透過 網路11 8上所串流傳送至該協助者1 0 5之呈現資 對該協助者105提供一觀看該螢幕（亦即正常地 經耦接至該受助者108之監視器121或顯示裝置_ 的能力。 該協助者1 0 5亦可暫時地控制該受助者1 0 8 鍵盤事件1 3 2及滑鼠事件1 3 6按如控制訊息而在 器係一企 客戶端利 對於遠端 .的專家， 並且將所 網路11 8 置如一廣 局部。在 用一終端 裡是利用 該協助者 岛定/網際 助者會回 帶外所交 接受該連 RDP而在 料 126， 顯示在一 L的圖形） ，藉此將 RDP·上自 9 200847725 該協助者105發送至該受助者1〇8。因此，一位在該協助 者105處之協助櫃檯專家可與支援該受助者108的電腦進 行互動，而宛如該協助檀棱專豕正坐在該客戶端受助者 1 0 8之前般。

U 在第1圖所顯示之遠端協助環境裡’於一遠端協 助對話過程中，該圖形RDP呈現資料是從該遠端客戶端（亦 即該受助者 1 0 8)流至該協助櫃檯伺服器（亦即該協助者 105)，而同時該RDP控制訊息（亦即該等鍵盤及滑鼠事件 132和136)則是從該伺服器協助者1〇5流至遠端的客戶端 受助者108。 第2圖顯示一說明性終端服務架構200，其 τ 一 NAT (網路位址轉譯器）防火牆後方的遠端客戶端2〇5利 用一終端服務（「TS」）閘道器2 1 6以存取一終端伺服器 2 2 5 ’而此伺服器是位在一企業或公司網路2 3丨之内，以藉 此啟動一終端服務對話。該客戶端205被視為遠端，原因 在於其是位在該企業網路23丨之外，並且透過一外部網路 240以存取該企業網路23卜在本項用以提供安全遠端協助 之配置的夕數個應用裡，該外部網路2 4 〇係至少部份地利 用-像是網際網路之公眾網路所配置。在替代性配置裡， 該外部㈣240可經配置如—虛擬私有網路（「vpNj )。 然而’該ts閘道胃216在正常情況下係經組態設定以讓 ::證之遠端客戶端能夠自任何經網際網路連接而運行一 終‘服務客戶端（复又魏為一、土 匕、又稱為遏端桌面客戶端）的裝置連接 至以止業網路2 3 1内部的狄媳 内邛的、，，、糙伺服器。即如第2圖所示， 10

200847725 該TS閘道器216係共置於一防火牆242處，而此防 可對自該外部網路240至該企業網路23 1的入方訊務 監視。 在一典型的終端服務環境裡，一應用程式是全然 行於該終端伺服器225上。該遠端客戶端205並不執 地的應用程式軟體。該伺服器將圖形使用者介面傳送 客戶端。該客戶端將該使用者的輸入傳返至該伺服器 而，即如第2圖所示，該遠端客戶端205產生鍵盤事 及滑鼠事件 245，該等在一網路連接上係自該遠端客 205而重新導向至該終端伺服器 225，即如參考編號 所示者，而傳至該企業網路2 3 1。該終端伺服器2 2 5 其本身的虛擬鍵盤及滑鼠驅動程式以接收並解譯這些 及滑鼠事件。 在該終端伺服器225處，一 RDP視訊驅動程式藉 用該RDP協定以將呈現資訊建構成網路封包，並透過 路249將該等傳送至該遠端客戶端 205以呈現顯示 255。該顯示協定通常係經加密，且概為按一雙向方式 在一些情況下僅會對自該遠端客戶端205至該終端伺 225的資料進行加密。此加密係經運用，俾防止使用 碼及其他敏感資訊因受線路「嗅聞」而遭人發現。 在該遠端客戶端205處，該呈現資料255係經解 相對應的GDI API (「圖形裝置介面應用程式設計介！ 呼叫，藉此在一耦接顯示裝置或監視器上顯示出圖形 晝面及使用者介面。從而，即如第2圖所示，在一終 火牆 進行 地運 行本 至該 。從 244 戶端 249 運用 鍵盤 由利 該網 輸出 ，缺 服器 者密 譯成 & J ) 螢幕 端服 11 200847725 務對話過程中，該RDP控制訊息是從該遠端客戶端205流 至該終端伺服器225，並且RDP圖形呈現資料則是從該終 端伺服器225流至該遠端客戶端205。這與在如第1圖所 示並且在隨附文字中所敘述之遠端協助情境中使用的資料 流相反。 第3圖顯示第2圖所示之架構2 0 0的細節。在此說明 性範例裡，該TS閘道器216可利用經由RPC/HTTPS (「遠 端程序呼叫」/利用「超文字傳送協定」藉SSL (「安全插 口層」）經安全加密）連接（亦即「管道」），即如參考編號 306所註記，所隧傳之RDP，而於該遠端客戶端205與該 終端伺服器225之間構成一安全、經加密連接，於其上常 駐有一或更多的生產應用程式3〇5-1、2、.·、Ν，甚至即如 在本例中當該遠客戶端是位在一 NAT防火牆2 1 0的後方處 亦然。從而，該TS閘道器216通常可消除對VPN連接進 行組態設定的需要，讓遠端客戶端能夠經由網際網路以連 接至該企業網路2 3 1 ’而同時提供一廣泛的安全組態模 型，這可讓管理者能夠控制對網路上之特定資源的存取。 應強調RPC/HTTPS提供一種將該遠端客戶端2〇5連接至 該TS閘道器2 1 6的可能方法。而在替代性實作裡可利用 其他的連接方法或協定，這是因為該TS閘道器通常是利 用一可插拔傳送機制所所組態設定。因此，可將該 RPC/HTTPS連接例如替換為一利用SSTP (「安全插口隨傳 協定」）的隧傳方式或是其他協定，而不致負面地影響到用 以提供如本揭所述之安全遠端協助的功能性。 12 200847725 一終端服務客戶端310通常是敕l ^ ^ 疋知如一在該遠端客戶端 205上之可執行權案所部署，並可利用該Rpc/HTTps管道 306以進行一連至該終端祠服器225 # RDp連接316，藉 此建立一連接而支援一終端服務對話。 第4圖顯示-利用―TS閘道器416以支援遠端協助 的說明性配置400，其中該RDP流程逆向，並且一協助樞 檯伺服器422執行如該終端服務客戶端，而遠端客戶端42 9 則執行如該終端服務伺服器。在此，該協助.櫃檯伺服器422 回應於來自一使用者（即如一協助櫃檯專家）的輸入而產生 鍵盤事件437及滑鼠事件44〇，該等是在一 RDp串流裡於 一 RPC/HTTPS管道上所發送，即如參考編號45〇所標註 者。該退知客戶端429係經配置以在該Rpc/HTTPS管道 450上將圖形RDP呈現資料452串流傳送至該協助櫃檯伺 服器422 ° 即如與第2及3圖所示之說明性範例般，在該配置4〇〇 内之遠端客戶端429係位在一 NAT防火牆455的後方，旅 且透過一外部網路460以與在一企業網路453内的協助櫃 檯伺服器422相通訊。 該配置400係利用一說明性方法的流程圖所描述，即 如第5圖所示者。該方法開始於區塊505。在區塊511，〆 位在該遠端客戶端429處的使用者決定需要協助，並且向 一位在一企業網路防火牆（即如第2圖的防火牆242)後方 的協助櫃檯請求該協助。在區塊515，該協助櫃檯人員決 定需要進行一遠端協助對話，藉以解決該遠端使用者的問 13 200847725 題。 &區塊520,該協助櫃檯人員提供該TS閘道器416上 的一特殊網路鏈結465。當該遠端使用者點按該鏈結時， P如區塊523所示，一像是ActiveX元件467之COM式元 件可建立—與一插件模組472的RPC/HTTPS連接，此模 、且係、左文敦於該TS閘道器416上。該ActiveX元件467 可韻雲φ __ 而聲而由該遠端客戶端42 9自該TS閘道器416或其 p 他來源下裁。 該插件模組472係經配置以與主控該遠端協助應用程 式/終端服務客戶端432的協助櫃檯伺服器422相通訊。在 一說明性實作裡，這包含在該TS閘道器4 1 6上一稱為「遠 端化連接埠」之預定連接槔上收聽。在一替代性實作裡， —對此1連接埠或對該遠端應用程式/終端服務客戶端432 的連接請求會叫用一自該插件模組472至該ActiveX元件 467通知以開始建立一 rdp對話，並且將該RDP資料自該 ActiveX元件467串流傳送至該RA應用程式/TS客戶端 432 °即如區塊528所示，此連接對該TS閘道器416而言 看似一常規TS閘道器連接。在轉送遠端連接埠的情況下， 此連接對該TS閘道器41 6而言則看似一自該遠端客戶端 429所轉送的遠端連接埠（亦即TCP連接埠編號33 89)。 在區塊531，該協助櫃檯伺服器422運行一遠端協助 程序，其載入一終端服務客戶端432並且與該TS閘道器 插件模組472進行通訊，藉以隧傳資料而至該遠端客戶端 的桌面。在該插件模組472與該ActiveX元件467之間所 14 200847725 建立的TS閘道器連接係用以支援該遠端古 第5圖之區塊535所示。亦即，當在該遠與 該協助櫃檯伺服器422之間利用該TS閘道 建立一終端服務對話後，即可對於該遠端餐 其尋常的個別角色。該遠端客戶端429將圖 料發送至該協助櫃檯伺服器422以供該協庚 遠端客戶端429觀看問題。此外，可自該協 422發送RDP控制訊息（亦即鍵盤及滑鼠事 遠端協助對話過程中暫時地控制該遠端客戶 明性方法結束於區塊5 5 0。 雖既已按照特定於結構特性及/或方法 描述主題事項，然應暸解在後载申請專利範 題事項並非必然地受限於前述各項特定特性 地，上述各項特定特性及動作係按如實作該 之範例形式所揭示。 〇 【圖式簡單說明】 第1圖顯示一說明性環境，其中可 助者提供遠端協助； 第2圖顯示一說明性架構，其中一 後1的遠端客戶端藉由利用—終端服務 在一企業網路内的終端伺服器，藉此支法 第3圖顯示如第2圖所示之說明性 第4圖顯示一利用一終端服務閘道 备助對話，即如 g客戶端429與 L器4 1 6成功地 《助對話而交換 形RDP呈現資 7權擾專家在該 r助櫃檯伺服器 件）’藉以在該 端429。本說 動作之語言來 圍中所定義主 或動作。相反 申請專利範圍 協助者對一受 ~ NAT防火牆 器以存取一位 冬端服務對話； 的細節； 支援遠端協助 15 200847725 的說明性配置，其中該RDP流程逆向，並且一協助櫃檯伺 服器執行如該終端服務客戶端，而遠端客戶端則執行如該 終端服務伺服器；以及 第5圖係一利用一終端服務閘道器而在多台電腦間提 供安全遠端協助之說明性方法的流程圖。 在圖式裡類似參考編號是表示相仿構件。 【主要元件符號說明】 100 遠端協助環境 105 協助者 108 受助者 118 網路 121 監視器 126 呈現資料 132 鍵盤事件 136 滑鼠事件 200 終端服務架構 205 遠端客戶端 210 NAT防火牆 216 終端服務（「TS」）閘道器 225 終端伺服器 231 企業網路 240 外部網路 242 防火牆 16 200847725 244 鍵盤事件 245 滑鼠事件 249 事件重新導向 255 顯示輸出 3 10 終端服務客戶端 305 應用程式 306 RPC/HTTPS 管道 316 RDP連接 400 配置方式 416 TS閘道器 422 協助櫃檯伺服器 429 遠端客戶端 432 遠端應用程式/終端服務客戶端 437 鍵盤事件 440 滑氣事件 450 RPC/HTTPS 管道 452 圖形RDP呈現資料 453 企業網路 455 NAT防火牆 460 外部網路 465 特殊網路鏈結 467 ActiveX 元件 472 插件模組 17

Claims (1)

1. 200847725 十、申請專利範圍： 1 · 一種用 戶端的方法 以將遠端m助s供、給一位火牆後方之客 ’該方法包含如下步驟： 於一 TS閑道器上主控一鍵結，因此在依循該鍵結時， 可於該客戶端與該TS w道器之間建立一安全連接；以及 一伺服器接收一連接請求，在當執行該連接請求 時可在該安全連接上建立經由該防火牆而自該祠服器通 向該客戶端的隧道’其中可經由該安全連接串流傳送遠端 協助資料。 2.如申請專利範圍第i項所述之方法，其中該安全連接 係一在HTTP上支援遠端程序呼叫的SSL隧道。 3·如申請專利範圍第！項所述之方法，其中一在該客戶 〇 $上的ActiveX元件可建立該安全連接，其連接-由該TS 閘道器所示出之插件模組。 4.如申明專利範圍第1項所述之方法，更包含下列步 驟將遲端連接埠自該客戶端轉送至該TS閛道器，並 且在該遠端連接槔處自該飼服器接收該連接請求。 5.如申請專利範圍第4項所述之方法，其中更包含下列 18 200847725 步驟：在該遠端連接蜂 端連接埠的連接請求時 戶端。 上建立一收聽器 ’該收聽器可將 ’而當收到對該遠 一通知發送至該客 6·如申請專利範圍第5項所述之方 … 部署在一 TS閘道器插件模組中。 Ί該收聽窃係 Γ 7. 如申請專利範圍第1項所述之方法，… 全連接上的随道之後，該飼服器及該客/:建立該安 經交換，因此可自該伺服％的個別角色係 客戶鳊呈現該遠端協助。 8. — -種含有複數指令之電腦可讀取媒體，當藉由“ 在—電子裝置上的一或更多處 ％咬置 執仃一用以提供與一位在一防火 時，可 防人騰後方之客戶王 〇 助對話之方法，該方法包含如下步驟·· 、延端協 利用一 COM元件，以建立一 務連接; 與-則道器的终端服 經由該終端服務連接，將—連接土車自一客戶 至該TS閘道器；以及 、^化 S閉道器接收到對該遠端化連接蜂 ^求時，自該TS間道器接收—通知，該通知可叫用接 方法，其用以使該㈣元件連接一在該客 連 之終端服務程序。 運行 19 200847725 9.如申請專利範圍第8項所述之電腦可讀取媒體 在完成該連接方法時，該連接方法獲致對該遠端化 之連接清求的成功。 ，其中 t接埠 1 0 ·如申請專利範圍第 該終細服務連接係利用 8項所述之電腦可讀取媒體 SSL藉一網際網路連接所實

   1 1.如申請專利範圍第 在該遠知協助對話期間 8項所述之電腦可讀取媒體 ，運行於該客戶端上之該終 程序將RDP資 料發送至該TS閘道器 該 Ο 13·如申明專利範 啤矛6項所述之電腦可讀取媒 自一遠端伺服器拯a斗土 貝界千 B 收該連接請求’該伺服器係經 如協助櫃的方式姐 式對該客戶端提供遠端協助。 牆後方之客戶端的方 广^供給-位 -方法包含如下步驟： 自該客戶端拉 接收一返端協助請求； 回應該請求，對該遠端客戶端提供 ’各戶鈿奴供一欲依循 其中 〇 其中 服務 其中 其中 以按 防火 結， 20 200847725 藉以利用一由該TS閘道器所示出的插件模 伺服器連接之一終端服務連接，其中該插件 該飼服器所主控之遠端協助程序相通訊；以 實作該終端服務連接自該伺服器至該客 歷（reverse traversal)，藉以建立一安全隧道 牆通往該客戶端。 1 5 ·如申請專利範圍第1 *項所述之方法，其 步驟·經由在該伺服器與該客戶端之間所建 以串流傳送遠端協助資料。 1 6 ·如申請專利範圍第1 4項所述之方法，其 含一 NAT裝置。 士申δ月專利範圍第1 4項所述之方法’其 T S閘道器所主控的網路鏈結。 如申晴專利範圍第1 4項所述之方法，其 連接係利用RDP而在—網際網路連接上經由 作。 1 9.如申請專利範圍第1 4項所述之方法，莫 逆向遍歷之後，該伺服器係運作如一終端服 魬，建立與一 模組可與一由 戶端的逆向遍 ，其經該防火 中更包含下列 立的安全隧道 中該防火牆包 中該鏈結係一 中該終端服務 f HTTPS所實 中’在實作該 務客戶端，藉 21 200847725 以將該遠端協助提供給該客戶端。 2 0.如申請專利範圍第1 4項所述之方法，其中該遠端協助 程序係經配置以將一終端服務客戶端載入至該伺服器。

   22