TW201714444A - 虛擬私人網路建立連結之方法 - Google Patents

Abstract

一種虛擬私人網路建立連結之方法，適用於可連到網際網路的服務器端及用戶端，透過信認的第三方伺服器，互相取得該服務器端與該用戶端的公共網際協議（Internet Protocol, IP）位址及公共端口(port)建立該服務器端及該用戶端的的VPN連線程式點對點直接連線。本發明避免不必要的繁瑣設定與連線動作，提供一種更簡單的方式建立起虛擬私有網路通信系統，並透過虛擬私有網路通信系統的機制提供各私有網路之間的裝置點對點傳輸能力。

Description

虛擬私人網路建立連結之方法

本發明是關於一種網際網路數據傳輸領域，尤其涉及一種虛擬私有網(VPN)建立連結之方法。

隨著網際網路(Internet)的快速普及，在第四版的網際網路協議(Internet Protocol version 4,IPv4)架構下，公有網際網路協議位址(Public Internet Protocol address, Public IP address)的數量已經不足以供快速出現的大量的網路用戶使用。因此，在私有網路(Private Network)或企業內部網路(Enterprise Intranet)的概念被提出後，如今私有網路已廣為各個組織體系所使用。

隨著行動電子商務的蓬勃發展，越來越多的使用者認識到，經濟全球化的最佳途徑是發展基於行動商務應用。隨著行動商務活動的日益頻繁，各企業開始允許其生意夥伴、供應商也能夠訪問本企業的局域網，從而大大簡化資訊交流的途徑，增加資訊交換速度。這些合作和聯繫是動態的，並依靠網路來維持和加強，於是各企業發現，這樣的資訊交流不但帶來了網路的複雜性，還帶來了管理和安全性的問題，因為網際網路是一個全球性和開放性的、基於TCP/IP技術的、不可管理的國際互聯網路，因此，基於網際網路的商務活動就面臨非善意的資訊威脅和安全隱患。

又，基本上，在私有網路中被配置虛擬IP的服務器端可利用閘道器等方式與連結至外部的服務，但對外部網路位址是不具有IP層級的連線能力。

當私有網路內部的服務器端欲與網際網路中的一服務器端(或行動上網裝置)連線時，可以利用NAT轉址的機制達成。但當在私有網路內部的服務器端所欲相互通信的另一服務器端同樣的處在另一個私有網路內部時，在兩個私有網路之間則需要虛擬私人網路(Virtual Private Network,VPN)的架構，利用網際網路來傳遞兩個私有網路之間的訊息。虛擬私人網路利用已加密的通道協議(Tunneling Protocol)來達到保密、傳送端認證、訊息準確性等私人訊息安全效果，以達到私人網路中的訊息不被外部服務器端/使用者所擷取變更的目標。

然而，在現有建立通道協議的方法中，必須經由相當繁瑣的連線以及設定才能完成。在保有著傳遞訊息的安全性的情況下，要如何以更簡潔的方式完成虛擬私人網路的連線，成為本領域中急需被解決的問題。

於是，為解決習知虛擬私人網路的連線設定與連線不便的問題，本發明提供一種簡易且容易設定的虛擬私人網路建立連結之方法，使得不同分屬不同私有網路下的服務器端與行動上網裝置可經由簡單的連線方式直接進行網路通信。

為達上述目的，本發明揭露一種虛擬私人網路建立連結之方法，適用於可連到網際網路的一服務器端及一用戶端，其包括：該服務器端透過服務者帳號及服務者密碼登入信認的第三方伺服器用以交換訊息，該用戶端也透過使用者連線帳號及使用者密碼登入至信認的第三方伺服器用以交換訊息，該用戶端透過第三方伺服器發送包括使用者連線帳號及共網際協議（IP）位址及公共端口(port)的連線請求給該服務器端；該服務器端比對使用者連線帳號再回應是否建立連線及連線資訊，且可連線的回應中包括共網際協議（IP）位址、公共端口(port)與自動校時(NTP)伺服器；透過該服務器端與該用戶端的第三方伺服器傳遞的同步連線時間來指定的連接時間後，透過該服務器端與該用戶端的公共網際協議（IP）位址及公共端口(port)建立該服務器端及該用戶端的點對點直接連線。

其中，該第三方伺服器在本發明中係作為訊息交換的媒介，所以該第三方伺服器為任何存在提供網際網路服務系統商的網路伺服器，例如登入Google網際網路服務的Gmail帳號與密碼，而該服務器端的服務者帳號與該用戶端的使用者連線帳號不相同。又，該服務器端及用戶端的第三方伺服器可以是相同系統商的網路伺服器，例如當第三方伺服器為即時通訊伺服器時，該服務端與用戶端必須使用同一種類通訊伺服器；或該服務器端及用戶端的第三方伺服器可以是不同系統商的網路伺服器，例如當第三方伺服器為電子郵件(e-mail)伺服器時，該服務端與用戶端可以使用任何的e-mail 帳號都可以達到訊息交換的目的。

本發明的優點在於，透過信認的第三方伺服器及其提供的帳號密碼，使該服務器端與該用戶端簡單的建立點對點直接連線，避免不必要的繁瑣設定與連線動作，提供一種更簡單的方式讓各個私有網路之間建立起虛擬私有網路通信系統，並透過虛擬私有網路通信系統的機制提供各私有網路之間的裝置點對點傳輸能力。

茲有關本發明之詳細內容及技術說明，現以實施例來作進一步說明，但應瞭解的是，該等實施例僅為例示說明之用，而不應被解釋為本發明實施之限制。

請參閱圖1及圖2，本發明揭露一種虛擬私人網路建立連結之方法，為達上述目的，本發明揭露一種虛擬私人網路建立連結之方法，適用於可連到網際網路200的一服務器端100及一用戶端110，該服務器端100及用戶端110分別是可以連上網際網路200的裝置。

該服務器端100為一虛擬私人網路(Virtual Private Network, VPN)主機，該服務器端100已內建有下面連線方法之虛擬私人網路連線程式，其中該服務器端100可以是一路由器（Router），同時具有連接兩個以上個別網路之功能；當然，該服務器端100也可以是單獨的設備，實施上該服務器端100可以裝設在一般路由器（Router）的後端，或前端。而，該用戶端110可以是任何可以上網的裝置，如個人電腦、筆記型電腦等，或該用戶端110是行動移動裝置，並且裝載VPN連線程式（APP），VPN連線程式需為對應本發明連線方法的連線程式。

首先針對註冊程序，如圖1的步驟S301~S303，先由該服務器端100透過網際網路200傳送邀請訊息（含邀請的驗證碼）給該用戶端110 (步驟S301)，邀請訊息傳遞方式可以透過e-mail或即時通訊軟體(例如Twitter、WeChat、LINE等) 其中之一，可為該用戶端110上使用者所接收之網路傳遞方式，同時在邀請訊息中含有VPN連線程式下載聯結，尤其當該用戶端110是行動移動裝置，例如智慧型手機、平板電腦，必需先下載VPN連線程式（APP）。以下說明實施例及圖式中該用戶端110係以手機做為說明例。

該用戶端110收到邀請訊息後，在回覆期限(例如24小時或3天)內，該用戶端110（此時該用戶端110已經裝載有VPN連線程式）回應邀請訊息，該用戶端110的VPN連線程式會自動透過該裝置上的e-mail 或是即時通訊帳號回傳，回傳該用戶端110將在VPN連線用的使用者連線帳號及邀請時的驗證碼等註冊資訊給該服務器端100 (步驟S302)；其中，使用者連線帳號可不同於該用戶端110接收邀請訊息的e-mail或即時通訊軟體帳號。

該服務器端100在接收到該用戶端110回傳的註冊資訊後(使用者連線帳號及驗證碼)，將該用戶端110 VPN連線程式上的使用者連線帳號儲存於一VPN連線的註冊表單中，並回應該用戶端110是否接受/或拒絕該用戶端110 VPN連線程式的對應資料(使用者連線帳號及驗證碼)(步驟S303)，使該用戶端110的VPN連線程式知道是否註冊成功，同時動態產生一組密碼，並由該服務器端100透過網際網路200傳送VPN連線的密碼給該用戶端110的VPN連線程式。

其中，該服務器端100與該用戶端110之VPN連線程式的邀請程序中的服務者帳號與使用者連線帳號係為服務端100與用戶端110信認的第三方伺服器210的連線帳號。

該第三方伺服器210在本發明中係作為訊息交換的媒介，所以該第三方伺服器210是任何存在提供網際網路服務的廠商伺服器；當第三方伺服器210為電子郵件(e-mail)伺服器時，該服務端100與用戶端110可以使用任何的e-mail 帳號都可以達到訊息交換的目的。例如登入Google網際網路服務的Gmail帳號與密碼等，該服務端100與用戶端110所使用的第三方伺服器210不必是同一個網際網路服務系統公司。

而，當第三方伺服器210為即時通訊伺服器時，該服務端100與用戶端110必須使用同一種類通訊伺服器，才可以達到訊息交換的目的；當然，該服務端100與用戶端110可以同時登入不同的即時通訊伺服器。例如：同時登入Twitter、WeChat、LINE…等。

註冊程序在於確認VPN連線的註冊表單的使用者連線帳號與密碼，實施上也可以由服務器端100直接建立，不影響後續說明的連線程序。

在連線程序上，如圖2的步驟S310~S316；首先，透過網際網路200，該服務器端100透服務端連線帳號及服務端密碼登入至信認的第三方伺服器210(步驟S310)，該用戶端110的VPN連線程式透過使用者連線帳號及使用者密碼登入至信認的第三方伺服器210(步驟S311)；也就是服務器端100與用戶端110分別連上網際網路200上各自信認的第三方伺服器210。

如前述，該服務端100與用戶端110所使用的第三方伺服器210不必是同一個網際網路服務系統公司。該服務端100與用戶端110所使用的第三方伺服器210可以為同一網際網路服務系統公司，如使用同一種類通訊伺服器，Twitter、WeChat、LINE等。

然後，該用戶端110的VPN連線程式透過第三方伺服器210發送連線請求(步驟S312)，其連線資訊中包括該用戶端110的使用者連線帳號及該用戶端110VPN連線程式的公共網際協議（Internet Protocol, IP）位址及公共端口(port)；在此點對點（P2P）連線成功後再經由此通道傳遞VPN連線密碼，以防止密碼被盜取的可能性。

在該服務器端100接到該用戶端110的連線要求及連線資訊時，如果該用戶端110VPN連線程式的使用者帳號不在VPN連線的註冊表單中或是該連線帳號已過期，或是該連線帳號不是有效的狀態，則透過第三方伺服器210給予拒絕連線的資訊。

反之，如果該用戶端110VPN連線程式的使用者帳號在VPN連線的註冊表單中，在回傳回應訊息(步驟S313)時，透過第三方伺服器210將該服務器端100的公共網際協議（Internet Protocol, IP）位址及公共端口(port)資訊與動態指定的自動校時(NTP)伺服器220傳給用戶端110。

然後，該服務器端100將與自動校時(NTP)伺服器220 (步驟S314)同步連接時間，該用戶端110的VPN連線程式也使用的相同自動校時(NTP)伺服器220進行同步連接時間(步驟S315)；當指定的連接時間到達後，透過雙方的公共網際協議（Internet Protocol, IP）位址及公共端口(port)建立該服務器端100及該用戶端110的VPN連線程式點對點（P2P）直接連線(步驟S316)。

本發明透過信認的第三方伺服器210及其提供的帳號與密碼登入機制，透過相同系統或不同系統的第三方信認機制，使該服務器端100與該用戶端110的VPN連線程式藉由簡單的幾個步驟建立點對點直接連線，避免目前VPN連線時不必要的繁瑣設定與連線動作。在保有傳遞訊息的安全性的情況下，以更簡潔的方式完成虛擬私人網路的連線。

惟以上所述者，僅為本發明之較佳實施例而已，當不能以此限定本發明實施之範圍，即大凡依本發明申請專利範圍及發明說明內容所作之簡單的等效變化與修飾，皆仍屬本發明專利涵蓋之範圍內。

100‧‧‧服務器端
110‧‧‧用戶端
200‧‧‧網際網路
210‧‧‧第三方伺服器
220‧‧‧自動校時(NTP)伺服器
S301~S303、S310~S316‧‧‧步驟

圖1為本發明邀請的時序流程示意圖。 圖2為本發明虛擬私人網路建立連結的時序流程示意圖。

100‧‧‧服務器端

110‧‧‧用戶端

200‧‧‧網際網路

210‧‧‧第三方伺服器

220‧‧‧自動校時(NTP)伺服器

S310~S316‧‧‧步驟

Claims (5)

1. 一種虛擬私人網路建立連結之方法，適用於連接到網際網路的一服務器端及一用戶端，其包括： 該服務器端透過服務者帳號及服務者密碼登入信認的第三方伺服器，該用戶端也透過使用者連線帳號及使用者密碼登入至信認的第三方伺服器； 該用戶端透過第三方伺服器發送包括使用者連線帳號及共網際協議（IP）位址及公共端口(port)的連線請求給該服務器端； 該服務器端比對使用者連線帳號再回應是否建立連線及連線資訊，且可連線的回應中包括共網際協議（IP）位址、公共端口(port)及自動校時(NTP)伺服器； 透過該服務器端與該用戶端的第三方伺服器傳遞的同步連線時間來指定的連接時間後，透過該服務器端與該用戶端的公共網際協議（IP）位址及公共端口(port)建立該服務器端及該用戶端的點對點直接連線。
2. 如申請專利範圍第1項所述之虛擬私人網路建立連結之方  法，其中，該第三方伺服器係為任何存在提供網際網路服務系統商的網路伺服器。
3. 如申請專利範圍第2項所述之虛擬私人網路建立連結之方法，其中，該服務器端及該用戶端的第三方伺服器係為相同系統商的網路伺服器。
4. 如申請專利範圍第2項所述之虛擬私人網路建立連結之方法，其中，該服務器端及該用戶端的第三方伺服器係為不同系統商的網路伺服器。
5. 如申請專利範圍第1項所述之虛擬私人網路建立連結之方法，其中，該服務器端的服務者帳號與該用戶端的使用者連線帳號不相同。