TW202137733A

TW202137733A - 於虛擬私有網路中連結設備的裝置、方法及電腦可讀取記錄媒體

Info

Publication number: TW202137733A
Application number: TW109110238A
Authority: TW
Inventors: 柯銘錡
Original assignee: 柯銘錡
Priority date: 2020-03-26
Filing date: 2020-03-26
Publication date: 2021-10-01

Abstract

一種於虛擬私有網路中連結設備的方法，該方法包括：a) 在一主設備未建立穿隧連結以前，直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；b) 判斷該驗證碼是否正確；c) 若該驗證碼正確，記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，直接或透過該第三方雲端服務傳送拒絕訊息給該從設備；d) 直接或透過該第三方雲端服務來得到關於從設備的連線請求，並據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備；e) 於該主設備與該從設備建立穿隧連結以後，透過該穿隧連結來接收該從設備所傳送之一連線密碼；f) 判斷該從設備所傳送之該連線密碼是否正確；及g) 若該連線密碼正確，則維持該穿隧連結；若該連線密碼不正確，則中斷該穿隧連結。其中該連線密碼進一步加以編碼以提升安全性。

Description

於虛擬私有網路中連結設備的裝置、方法及電腦可讀取記錄媒體

本發明關於虛擬私有網路之設備，尤其是關於虛擬私有網路之設備、方法及電腦可讀取記錄媒體。

當一台終端裝置使用虛擬私有網路（Virtual Private Network，VPN）服務進行通訊而必須對一台VPN伺服器設定時，必須要對該VPN伺服器或是其網際網路連線閘道器進行複雜的網路通訊參數，如網路位址、連接埠等進行設定，這是一個非常繁雜的工作。此外，在現有的設定方法中，虛擬私有網路的終端裝置必須與VPN伺服器進行專業設定程序後，才能進一步取得後者所產生的設定檔案。將該設定檔案儲存於終端裝置以後，才能於遠端處上網時，透過VPN軟體進行穿隧連線。當於遠端需要連上VPN的終端裝置數量很多時，這些設定手續及設定檔案的取得過程將會消耗用戶相當多的時間及精力。如果設定過程發生失敗情況、產生無法預期的問題或設定檔案遺失或損壞的話，往往會造成無法使用VPN的狀況。此外，前述設定的其中一個目的是為了讓VPN伺服器能夠在網際網路上開放出來，使得VPN終端裝置能夠對其進行連線，而此一開放的結果卻極有可能產生出安全上的一個隱憂。

另外，現有的VPN技術為了能夠簡化連線設定，往往需要自行建立網路代理伺服器（Proxy Server），並於線上提供連線專屬軟體或可以連線之VPN伺服器的網路通訊參數，以透過該代理伺服器來達成連線。然而透過自行建立VPN伺服器的VPN技術，必須支付金額不少的維運費用，對於服務與裝置供應商而言不划算。

因此，上述關於VPN之技術仍有待改善，以使得VPN之連線建立更加便利及安全並且幾乎無須投入維運費用。

為了解決前述問題，本發明提出了一種於虛擬私有網路中連結設備的裝置與方法，其能動態增進虛擬私有網路之設定的便利性及安全性，亦能使得虛擬私有網路之連線建立更加安全。

依照本發明，虛擬私有網路的主設備及從設備具有設定模式，使得建立虛擬私有網路之連線設定，如白名單等，對使用者來說更加方便及友善，同時也無須對其網際網路連線閘道器做任何設定上的異動，大大簡化連線設定的過程而減少架設虛擬私有網路所需的時間，並且也不再需要將虛擬私有網路伺服器在網際網路上開放出來，此舉無疑能增進虛擬私有網路之設定上的便利性及安全性。另一方面，為了進一步強化虛擬私有網路主設備及從設備的連線時的安全性並省卻連線所需耗費的成本，虛擬私有網路主設備及從設備可以於穿隧連結未建立以前直接或透過第三方雲端網路服務來進行通訊，從而進行各個設定或處理。此外，更可於穿隧連結建立後，進一步進行身分驗證，從而決定是否維持穿隧連結。前述第三方雲端網路服務可以是非自行建立且為人們所普遍信任的，如此，使得虛擬私有網路主設備及從設備之連線建立更加安全並且近乎零成本。

本發明的態樣之一是一種於虛擬私有網路中連結設備的方法，該方法包括步驟：a) 在一主設備未建立穿隧連結（tunneling）以前，直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；b) 判斷該驗證碼是否正確；c) 若該驗證碼正確，記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，直接或透過該第三方雲端服務傳送拒絕訊息給該從設備；d) 直接或透過該第三方雲端服務來得到關於從設備的連線請求，並據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備；e) 於該主設備與該從設備建立穿隧連結以後，透過該穿隧連結來接收該從設備所傳送之一連線密碼；f) 判斷該從設備所傳送之該連線密碼是否正確；及g) 若該連線密碼正確，則維持該穿隧連結；若該連線密碼不正確，則中斷該穿隧連結，其中該連線密碼進一步加以編碼以提升安全性。

前述方法中，該步驟d)可進一步包括子步驟：d1) 直接或透過該第三方雲端服務來得到關於該從設備的連線請求，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠；d2) 判斷該主設備的白名單是否有記錄該從設備的識別資訊；d3) 若該白名單有記錄該從設備的識別資訊，則直接或透過該第三方雲端服務傳送連線建立訊息至該從設備，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結；及d4) 若該白名單未記錄該從設備的識別資訊，則回覆拒絕訊息給該從設備。

本發明的態樣之另一是一種電腦可讀取記錄媒體，其儲存一個或多個程式模組，當以虛擬私有網路中之一裝置執行該一個或多個程式模組時，令該裝置執行如前述適用於虛擬私有網路主設備之方法。

本發明的態樣之另一是一種於虛擬私有網路中連結設備之裝置，包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一主設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組判斷該驗證碼是否正確；若該驗證碼正確，該處理模組記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，該處理模組直接或透過該第三方雲端服務傳送拒絕訊息給該從設備；該處理模組控制該網路模組直接或透過第三方雲端服務來得到關於從設備的連線請求，且該處理模組據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備；於該主設備與該從設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來接收該從設備所傳送之連線密碼，並判斷該從設備所傳送之連線密碼是否正確；若該連線密碼正確，則該處理模組維持該穿隧連結；若該連線密碼不正確，則該處理模組控制該網路模組中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。

本發明的態樣之另一是一種於虛擬私有網路中連結設備的方法，包括步驟：a) 在一從設備未建立穿隧連結以前，直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；b) 直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息；c) 直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結；d) 於該從設備與該主設備建立穿隧連結以後，透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。

前述方法中，該步驟c) 可進一步包括子步驟：c1) 直接或透過該第三方雲端服務及該主設備的識別資訊來傳送關於該從設備的連線請求至該主設備，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠；及c2) 直接或透過該第三方雲端服務得到該主設備所傳送的連線建立訊息，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結。

本發明的態樣之另一是一種電腦可讀取記錄媒體，其儲存一個或多個程式模組，當以虛擬私有網路中之一裝置執行該一個或多個程式模組時，令該裝置執行如前述適用於虛擬私有網路從設備之方法。

本發明的態樣之另一是一種於虛擬私有網路中連結設備之裝置，包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一從設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息；該處理模組控制該網路模組直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結；於該從設備與該主設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。

本發明將藉由參照下列的實施方式而更具體地描述。

圖1為依據本發明之實施例之虛擬私有網路系統的示意方框圖。如圖1所示，虛擬私有網路系統包括主設備100及從設備200。主設備100是提供虛擬私有網路服務的虛擬私有網路伺服器。主設備100可以被配置於某場所，如辦公室，並與網路10連接，且可具有公開的或私有的網路位置（IP地址），主設備100可進一步讓一個以上的終端裝置，如終端裝置11、12與13，透過主設備100而以有線或無線方式形成區域網路，或連接其它網路。另一方面，從設備200是虛擬私有網路客戶端（VPN Client）。從設備200可被配置在相對於主設備100之遠端的某一場所，如家中或公共場所並與網路連接，也具有公開的或私有的網路位置。從設備200可進一步讓一個以上的終端裝置，如終端裝置21、22與23，經由從設備200與主設備100，透過網路10形成虛擬私有網路。上述的終端裝置可以為任何可以連接網路的裝置如電腦、智慧型裝置、印表機、或網路攝影機等。此外，本實施例中所提出的網路10可以是透過一種以上的通訊協定，以無線、有線方式或其組合而形成的通訊基礎架構。舉例而言，如圖1所示的網路10可以是基於TCP/IP協定的通訊網路，如網際網路；網路10亦可以是行動通訊網路。依照本發明，任何可以讓主設備100和從設備200之間進行通訊的連結者皆可視為圖1中的網路10。

使用者在對主設備100及從設備200進行基本的連線設定後，可保持主設備100與網路10連線，並將從設備200設置於遠端，並透過當地的網路服務提供者而連接至網路10後，進一步透過如穿隧技術（tunneling）、加解密技術（encryption/decryption）、金鑰管理技術（key management）、使用者與設備身分鑑別技術（authentication）等虛擬私有網路之技術而使從設備200以安全加密方式從遠端連線至主設備100。如此，在遠端之終端裝置21、22與23將可透過從設備200而安全地與主設備100通訊，從而進行存取主設備100的網路資源。

圖2為主設備100的系統方框圖。如圖2所示，主設備100包括一網路模組110、一處理模組120與一記憶模組130。網路模組110用於與網路10及終端裝置，如終端裝置21連結。處理模組120與網路模組110及記憶模組130耦接，當開機時將記憶模組130中的作業系統131啟動調用，透過作業系統131讓使用者對主設備100進行操作。此外，處理模組120接受操作指令以驅動網路模組110，對外部網路連結的設備進行資料收發。記憶模組130中存有一管理服務程式132。當處理模組120透過作業系統131執行管理服務程式132時，管理服務程式132可用於進行連線之設定，如白名單、密碼等設定。此外，處理模組120透過作業系統131亦可選擇性地執行其它程式133以進行資料處理。從設備200的架構與主設備100類似，亦包括網路模組、處理模組120與記憶模組等基礎架構，記憶模組中也有對應的作業系統與執行管理服務程式。然而，本發明對於主設備100或從設備200的架構及實作方式，並不做特別限制。

本發明中所示的終端裝置為智慧型手機、平板電腦、筆電等，可配置對主設備100及從設備200進行無線連線，如以藍牙、無線區域網路、或其他無線連線方式，並執行應用程式（如專屬之APP、或以網頁瀏覽器）從而對主設備100及從設備200進行連線設定。主設備100及從設備200可分別與兩個用以識別此兩設備的識別圖像，如二維條碼，有關聯。舉例來說，終端裝置讀取一主設備二維條碼後，則可藉由主設備二維條碼中的識別資訊如識別碼而得以與主設備100進行設定的動作；終端裝置讀取一從設備二維條碼後，則可藉由從設備二維條碼中的譬如識別資訊而得以與從設備200進行設定的動作。實作上，可以賦予每一台主設備及從設備各自唯一的識別圖像，藉此可以有助於簡化設定所需要的步驟。與主設備100（或從設備200）有關聯的識別圖像（如二維條碼）可以印刷或以任何方式設置在物品上或是以電子圖檔的方式呈現，以便安裝設定。舉例而言，如主設備二維條碼及從設備二維條碼之識別圖像可以分別設置主設備100及從設備200的外殼上。該等識別圖像（如二維條碼）亦可印在產品的說明書、實體標籤上，以方便使用者攜帶或使用。此外，此識別圖像（如二維條碼）更可以電子檔案的方式用以電子方式傳輸或呈現於終端裝置從而便於掃瞄或解讀當中的識別資訊。

對於使用者而言，在設定主設備100時，可藉由終端裝置，如終端裝置21，讀取主設備100的主設備二維條碼而與主設備100進行設定的動作。藉此，終端裝置21之應用程式（如APP或瀏覽器）與主設備100於執行設定模式的管理服務程式通訊而進行設定。接著，藉由終端裝置21讀取從設備200所關聯的從設備二維條碼之後，可直接將從設備200的識別資訊加入至主設備100所記錄的一白名單中。使用者可透過終端裝置21設定從設備200於加入至白名單請求時所需的驗證碼。此外，使用者透過終端裝置21設定從設備200向主設備100發出連線請求以建立連線的所需的連線密碼。然後，使用者可以撰擇性地透過終端裝置21編輯關於從設備200的名單。藉此，可簡易地完成對主設備100之設定。在主設備100重新啟動後，即可按照上述設定開始運作。

對於使用者而言，在設定從設備200時，可藉由終端裝置21讀取從設備200的從設備二維條碼而與從設備200進行設定的動作。藉此，終端裝置21之應用程式（如APP或瀏覽器）與從設備200於執行設定模式的管理服務程式通訊而進行設定。接著，藉由終端裝置21讀取一主設備100所關聯的主設備二維條碼之後，可直接連線（如以區網或其他通訊方式如藍芽）或間接地（如透過第三方雲端服務）將主設備100加入至白名單中。有關於上述間接地，如透過第三方雲端服務，詳情將於後以實施例說明之。使用者可透過終端裝置21設定將從設備200加入至主設備100（或其他主設備）時所需的驗證碼。此外，使用者亦可透過終端裝置21設定將從設備200向該主設備100（或其他主設備）提出連線請求時所需的連線密碼。然後，使用者可以撰擇性地透過終端裝置21編輯從設備200上關於主設備的名單。藉此，可簡易地完成對從設備200之設定。在從設備200重新啟動後，即可按照上述設定開始運作。此外，在一實施例中，若從設備200上關於主設備的名單有記錄一台或複數台主設備（如記錄其識別資訊）的話，更可選擇欲要連線的主設備；如此，在重新啟動後，從設備200將會主動向被選擇的主設備提出連線的請求，從而建立穿隧連結。

在上述實施例中，任何可以用來包含主設備或從設備之辨識資訊的識別圖像（如二維條碼），皆可用作實現於本發明之上述實施例。而二維條碼可以為PDF417碼、QR碼、漢信碼、顏色條碼或快速記錄碼(quick mark code)等，但本發明並不受此例子限制。例如，該等識別圖像亦可以為任何可以識別該等裝置的任何圖像。

此外，在以下一些實施例中提供於虛擬私有網路中連結設備的方法的多個實施例。舉例而言，在主設備及從設備未建立穿隧連結（tunneling）以前，主設備及從設備可通過利用第三方雲端服務來互通資訊，從而處理或提出加入白名單的請求，或是處理或提出穿隧連結的連線請求等運作。

實作上，可以在主設備及從設備中各自配置能夠與一種或複數種的第三方雲端服務連線的程式或軟體模組，利用第三方雲端服務的通訊或資料下載的功能，於虛擬私有網路主設備及從設備未建立穿隧連結之前，通過從第三方雲端服務得到的資料經過分析（parsing）、過濾（filtering）、及/或辨識等任何資料探勘（data mining）的方式來得知該資料是否為有用的資訊或是否應該回覆或進行下一步的處理。為了通過利用第三方雲端服務來互通資訊，可賦予依據本發明之任何主設備及從設備具有識別資訊或與識別資訊有所關聯。識別資訊可為至少包含一識別碼（identification code；ID code）或可進一步包含其他資料。將傳送的資料包含此識別資訊，以便於分辨資料的來源或欲傳送的對象。舉例而言，例如採用雲端信箱服務（如Gmail），並使主設備及從設備可共同利用雲端信箱服務之某一個或複數個電子信箱。如此，可以利用電子郵件格式中任何一種欄位來傳送資訊給對方。例如，虛擬私有網路從設備發出的電子郵件的主旨上附上識別資訊（如識別碼）及事件的種類。譬如，主旨為：ID123WL52RT3_C0001，可代表欲向識別碼123WL52RT3的裝置發出編號為C0001的設定（如白名單設定）的請求；又例如，ID123WL52RT3_C0100，表示向該裝置發出編號為C0100的設定（如建立穿隧連結）的請求。此外，可按照通訊的需要，進一步利用電子郵件格式中任何一種欄位將其他資訊例如發送方的識別資訊（如上述虛擬私有網路從設備的識別碼）來傳送資訊給虛擬私有網路主設備。故此，可基於第三方雲端服務的通訊或資料下載的功能而建立一種通訊協定。然而，本發明對於該通訊協定或上述識別資訊的使用方式，並不特別限制；故此，任何使用第三方雲端服務及識別資訊來使虛擬私有網路主設備及從設備互通訊息的方式皆可視為可應用於本發明的實施例中。

舉例而言，以下的第三方雲端服務皆可用於本發明的實施例中，例如雲端信箱服務（如Gmail、Yahoo、MSN等）、雲端硬碟或備份服務（如Dropbox、Google Drive等）、或雲端通訊服務（如Twitter、WeChat、LINE等）。然而，本發明對於可應用於本發明的第三方雲端服務的種類，並不受上述例子限制。

以下進一步就主設備及從設備分別說明其運作方式的實施例。

請見圖3，該圖為適用於主設備之於虛擬私有網路中連結設備的方法之一實施例的流程圖。如圖3所示，該方法包括如下步驟。首先，在一主設備未建立穿隧連結以前，直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼（S01）。接著，判斷該驗證碼是否正確（S02）。若該驗證碼正確，記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，直接或透過該第三方雲端服務傳送拒絕訊息給該從設備（S03）。接著，直接或透過該第三方雲端服務來得到關於從設備的連線請求，並據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備（S04）。於該主設備與該從設備建立穿隧連結以後，透過該穿隧連結來接收該從設備所傳送之一連線密碼（S05）。接著，判斷該從設備所傳送之該連線密碼是否正確（S06），最後，若該連線密碼正確，則維持該穿隧連結；若該連線密碼不正確，則中斷該穿隧連結（S07）；其中連線密碼得進一步加以編碼以提升安全性。

此外，上述適用於主設備之於虛擬私有網路中連結設備的方法中，並不受圖3中所示之步驟的次序限制。實作上，步驟S01至步驟S03可用於處理一從設備A之加入白名單請求，而步驟S04可用於處理同一從設備A之連線請求。然而，本發明並不此限制；亦即步驟S01至步驟S03可用於處理一從設備A之加入白名單請求，而步驟S04可用於處理另一從設備B之連線請求。故本發明不受如圖3所示之步驟的次序限制。另外，步驟S01至步驟S03亦可用以處理前述設定模式中，終端裝置21於掃瞄了主設備的主設備二維條碼以間接（即透過第三方雲端服務）所發出的加入白名單的請求。此外，步驟S04與S05亦可用以處理設定模式中，從設備被設定了欲要連線的主設備且重新啟動後，從設備主動向該被選擇的主設備提出連線的請求，從而建立穿隧連結。故此，圖3所示之實施例，並不受如圖3所示之步驟的次序限制。

圖4為圖3中步驟S04的子步驟的流程圖。如圖4所示，步驟S04可包括如下子步驟。第一：直接或透過該第三方雲端服務來得到關於該從設備的連線請求，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠（S041）；第二：判斷該主設備的白名單是否有記錄該從設備的識別資訊（S042）；第三：若該白名單有記錄該從設備的識別資訊，則直接或透過該第三方雲端服務傳送連線建立訊息至該從設備，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結（S043）；第四：若該白名單未記錄該從設備的識別資訊，則回覆拒絕訊息給該從設備（S044）。藉此，該主設備與該從設備建立穿隧連結。

此外，如步驟S044所示，若該白名單沒有記錄該從設備的識別資訊，則直接或透過第三方雲端服務傳送回覆拒絕訊息給該從設備。然而，本發明並不上述例子限制，譬如，在另一些實施例中，若該白名單沒有記錄該從設備的識別資訊，則可發出訊息請求該從設備輸入驗證碼以將該識別資訊記錄於該白名單中，或進行其他處理。

請見圖5，該圖為適用於從設備之於虛擬私有網路中連結設備的方法之一實施例的流程圖。如圖5所示，該方法包括如下步驟。首先，在一從設備未建立穿隧連結以前，直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼（S11）。接著，直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息（S12），直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結（S13）。最後，於該從設備與該主設備建立穿隧連結以後，透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結（S14）其中連線密碼得進一步加以編碼以提升安全性。

此外，上述適用於從設備之於虛擬私有網路中連結設備的方法中，並不受圖5中所示之步驟的次序限制。實作上，步驟S11與S12可用於向一主設備提出加入白名單請求，而步驟S13可用於向同一主設備提出之連線請求。然而，本發明並不此限制；亦即步驟S11與S12可用於向一主設備P提出加入白名單請求，而步驟S13可用於向另一主設備Q提出連線請求。故本發明不受如圖5所示之步驟的次序限制。另外，步驟S11與S12亦可用以處理前述設定模式中，終端裝置21於掃瞄了主設備的主設備二維條碼以間接（即透過第三方雲端服務）所發出的加入白名單的請求。此外，步驟S13與S14亦可用以處理：如前述設定模式中，從設備被設定了欲要連線的主設備且重新啟動後，從設備主動向該被選擇的主設備提出連線的請求，從而建立穿隧連結。故此，圖5所示之實施例，並不受如圖5所示之步驟的次序限制。

圖6為圖5中步驟S13的子步驟的流程圖。如圖6所示，步驟S13可包括如下子步驟。第一：直接或透過該第三方雲端服務及該主設備的識別資訊來傳送關於該從設備的連線請求至該主設備，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠（S131）；及第二：直接或透過該第三方雲端服務得到該主設備所傳送的連線建立訊息，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結（S132）。

此外，在另一實施例中，若該白名單沒有記錄該從設備的識別資訊，則該從設備將會直接或透過第三方雲端服務得到該主設備所回覆的拒絕訊息。然而，本發明並不上述例子限制，譬如，在另一些實施例中，若該白名單沒有記錄該從設備的識別資訊，則該從設備會得到該主設備所發出的訊息請求該從設備輸入驗證碼以將該識別資訊記錄於該白名單中，或進行其他處理。

本發明之一些實施例更提供一種電腦或運算裝置可讀取記錄媒體，其上儲存一個或多個程式模組。當以虛擬私有網路中之一裝置執行該一個或多個程式模組時，令該裝置執行依據如圖3至圖6之實施例或其任何組合之虛擬私有網路之連結設備的管理方法。這些實施例的可讀取記錄媒體比如但不受限於：光學式資訊儲存媒體、磁式資訊儲存媒體或記憶體、如記憶卡、靭體或ROM或RAM或可程式化之微控制器之內建記憶體。

此外，在本發明的另一些實施例中，提出一種虛擬私有網路主設備，其包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一主設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組判斷該驗證碼是否正確；若該驗證碼正確，該處理模組記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，該處理模組直接或透過該第三方雲端服務傳送拒絕訊息給該從設備；該處理模組控制該網路模組直接或透過第三方雲端服務來得到關於從設備的連線請求，且該處理模組據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備；於該主設備與該從設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來接收該從設備所傳送之連線密碼，並判斷該從設備所傳送之連線密碼是否正確；若該連線密碼正確，則該處理模組維持該穿隧連結；若該連線密碼不正確，則該處理模組控制該網路模組中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。

在本發明的另一些實施例中，提出一種虛擬私有網路從設備，其包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一從設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息；該處理模組控制該網路模組直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結；於該從設備與該主設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。

舉例而言，上述主設備或從設備可參照圖2之架構，按照產品的需求而實現，然而，本發明並不受圖2之例子限制，當可以採用任何架構達成。

雖然本發明已以實施方式揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明之精神和範圍內，當可作些許之更動與潤飾，因此本發明之保護範圍當視後附之申請專利範圍所界定者為準。

10:網路 11、12、13:終端裝置 21、22、23:終端裝置 20:伺服器 100:主設備 110:網路模組 120:處理模組 130:記憶模組 131:作業系統 132:管理服務程式 133:其它程式 200:從設備

圖1為依據本發明之實施例之虛擬私有網路系統的示意方框圖，圖2為主設備的系統方框圖，圖3為適用於主設備之於虛擬私有網路中連結設備的方法之一實施例的流程圖，圖4為圖3中步驟S04的子步驟的流程圖，圖5為適用於從設備之於虛擬私有網路中連結設備的方法之一實施例的流程圖，圖6為圖5中步驟S13的子步驟的流程圖。

Claims

一種於虛擬私有網路中連結設備的方法，包括步驟： a) 在一主設備未建立穿隧連結（tunneling）以前，直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼； b) 判斷該驗證碼是否正確； c) 若該驗證碼正確，記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，直接或透過該第三方雲端服務傳送拒絕訊息給該從設備； d) 直接或透過該第三方雲端服務來得到關於從設備的連線請求，並據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備； e) 於該主設備與該從設備建立穿隧連結以後，透過該穿隧連結來接收該從設備所傳送之一連線密碼； f) 判斷該從設備所傳送之該連線密碼是否正確；及 g) 若該連線密碼正確，則維持該穿隧連結；若該連線密碼不正確，則中斷該穿隧連結，其中該連線密碼進一步加以編碼以提升安全性。
如請求項1所述之於虛擬私有網路中連結設備的方法，其中該步驟d)進一步包括子步驟： d1) 直接或透過該第三方雲端服務來得到關於該從設備的連線請求，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠； d2) 判斷該主設備的白名單是否有記錄該從設備的識別資訊； d3) 若該白名單有記錄該從設備的識別資訊，則直接或透過該第三方雲端服務傳送連線建立訊息至該從設備，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結；及 d4) 若該白名單未記錄該從設備的識別資訊，則回覆拒絕訊息給該從設備。
一種電腦可讀取記錄媒體，其儲存一個或多個程式模組，當以虛擬私有網路中之一裝置執行該一個或多個程式模組時，令該裝置執行如請求項1或2所述之方法。
一種於虛擬私有網路中連結設備之裝置，包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一主設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來得到關於一從設備的一加入白名單請求，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組判斷該驗證碼是否正確；若該驗證碼正確，該處理模組記錄該識別資訊於該主設備的一白名單中以將該從設備加入至該白名單，並直接或透過該第三方雲端服務傳送接受訊息給該從設備；若該驗證碼不正確，該處理模組直接或透過該第三方雲端服務傳送拒絕訊息給該從設備；該處理模組控制該網路模組直接或透過第三方雲端服務來得到關於從設備的連線請求，且該處理模組據以判斷是否與該從設備建立穿隧連結或回覆拒絕訊息給該從設備；於該主設備與該從設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來接收該從設備所傳送之連線密碼，並判斷該從設備所傳送之連線密碼是否正確；若該連線密碼正確，則該處理模組維持該穿隧連結；若該連線密碼不正確，則該處理模組控制該網路模組中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。
一種於虛擬私有網路中連結設備的方法，包括步驟： a) 在一從設備未建立穿隧連結以前，直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼； b) 直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息； c) 直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結； d) 於該從設備與該主設備建立穿隧連結以後，透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結，其中連線密碼得進一步加以編碼以提升安全性。
如請求項5所述之於虛擬私有網路中連結設備的方法，其中該步驟c) 進一步包括子步驟： c1) 直接或透過該第三方雲端服務及該主設備的識別資訊來傳送關於該從設備的連線請求至該主設備，該連線請求包含該從設備的識別資訊、網路地址、和動態產生的通訊埠；及 c2) 直接或透過該第三方雲端服務得到該主設備所傳送的連線建立訊息，該連線建立訊息包含該主設備的網路地址與動態產生的通訊埠，藉此該主設備與該從設備建立穿隧連結。
一種電腦可讀取記錄媒體，其儲存一個或多個程式模組，當以虛擬私有網路中之一裝置執行該一個或多個程式模組時，令該裝置執行如請求項5或6所述之方法。
一種於虛擬私有網路中連結設備之裝置，包括：一網路模組，與網路連結從而提供網路通訊；一記憶模組；及一處理模組，與該網路模組及該記憶模組耦接，其中：在一從設備未建立穿隧連結以前，該處理模組控制該網路模組直接或透過一第三方雲端服務來傳送關於該從設備的一加入白名單請求至一主設備，該加入白名單請求包括該從設備的一識別資訊及一驗證碼；該處理模組直接或透過該第三方雲端服務及該主設備的識別資訊來得到該主設備所回覆的接受訊息或拒絕訊息；該處理模組控制該網路模組直接或透過該第三方雲端服務來傳送關於該從設備的連線請求至該主設備，並藉此與該主設備建立穿隧連結；於該從設備與該主設備建立穿隧連結以後，該處理模組控制該網路模組透過該穿隧連結來傳送該從設備之一連線密碼給該主設備，從而讓該主設備判斷是否維持該穿隧連結或中斷該穿隧連結；其中連線密碼得進一步加以編碼以提升安全性。