專利名稱：用于遠程網(wǎng)絡(luò)訪問的統(tǒng)一體系結(jié)構(gòu)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明一般涉及通信網(wǎng)絡(luò)，尤其涉及實現(xiàn)遠程訪問通信網(wǎng)絡(luò)的組件。
技術(shù)背景虛擬個人網(wǎng)絡(luò)(VPN)是其中至少部分通過諸如因特網(wǎng)的公共網(wǎng)絡(luò)基礎(chǔ)構(gòu)架 傳遞通信的個人網(wǎng)絡(luò)。VPN廣泛地用于公司內(nèi)或公司之間的通信，因為它們可以 擴展用戶能連接公司網(wǎng)絡(luò)的地理區(qū)域，降低遠程用戶的傳遞時間和傳輸成本，并提 高勞動者的生產(chǎn)力。為了連接到某些VPN，用戶調(diào)用駐留在他/她的客戶端設(shè)備(例如個人計算機、 個人數(shù)字助理或其它設(shè)備)的一個或多個軟件組件(例如VPN客戶端應(yīng)用程序) 來建立連接。調(diào)用軟件組件使得客戶端設(shè)備與VPN上的網(wǎng)絡(luò)接入網(wǎng)關(guān)通信，該網(wǎng) 關(guān)通?；谲浖M件提供的信息來驗證用戶的訪問證書。 一旦認(rèn)證發(fā)生，在客戶端 設(shè)備上運行的應(yīng)用程序一般能夠按需訪問網(wǎng)絡(luò)上的資源。網(wǎng)絡(luò)資源可以包括例如網(wǎng) 頁、數(shù)據(jù)結(jié)構(gòu)(例如文件)或電子郵件服務(wù)器。每次客戶端設(shè)備上的應(yīng)用程序請求 訪問網(wǎng)絡(luò)資源時，網(wǎng)關(guān)便推動連接。這種布置一般稱為"傳統(tǒng)VPN"模式。通過其它VPN，經(jīng)濟和/或安全顧慮會造成采用其它的訪問技術(shù)。例如，最近 轉(zhuǎn)而采用使用加密套接字協(xié)議層(SSL)技術(shù)的應(yīng)用程序代理來建立遠程用戶對 VPN的訪問。簡而言之，在采用應(yīng)用程序代理的配置中，在客戶端應(yīng)用程序能夠 訪問網(wǎng)絡(luò)上的資源之前，用戶使用在客戶端設(shè)備上運行的瀏覽器應(yīng)用程序來導(dǎo)航到 指定為到VPN的接入點的網(wǎng)頁。用戶可經(jīng)由瀏覽器應(yīng)用程序提供登陸證書以獲得 對VPN的訪問。在認(rèn)證時，在客戶端設(shè)備上運行的其它應(yīng)用程序能夠訪問網(wǎng)絡(luò)資 源，而無需用戶再次提供登陸證書。這種配置一般被稱為"應(yīng)用程序代理"模型。轉(zhuǎn)向應(yīng)用程序代理模型的一個原因是對于企業(yè)使用不是很昂貴，因為允許自 動向VPN認(rèn)證的軟件組件無需在所有的客戶端設(shè)備上安裝和維護。另一個原因是 應(yīng)用程序代理模型提供額外的安全優(yōu)點，即在接入點接收到的通信會得到比傳統(tǒng) VPN配置中更嚴(yán)格的監(jiān)視，這樣惡意方會更難以使用客戶端設(shè)備來攻擊公司VPN。發(fā)明簡述申請人意識到，與使用應(yīng)用程序代理模型來允許遠程用戶訪問VPN相關(guān)聯(lián)的 一個缺點是通常，當(dāng)客戶端認(rèn)證時，客戶端設(shè)備上的應(yīng)用程序，以及在許多情況 下它們的服務(wù)器對應(yīng)部分，必須在客戶端應(yīng)用程序能夠自動地訪問網(wǎng)絡(luò)資源之前被 修改。作為示例，由于許多企業(yè)在它們各自用戶社區(qū)之間有成千上萬的應(yīng)用程序正 在使用中，這些修改可能對通過應(yīng)用程序代理模型為雇員提供遠程網(wǎng)絡(luò)訪問的企業(yè) 提出嚴(yán)重挑戰(zhàn)。例如，對于需要修改的每個應(yīng)用程序，可能要求企業(yè)與應(yīng)用程序的 供應(yīng)商協(xié)商以要求必要的修改、實現(xiàn)修改并將它們鋪開到用戶社區(qū)。這個過程會是 非常昂貴和耗時的。此外，對于某些應(yīng)用程序，實現(xiàn)所需修改可能有重大的技術(shù)障 礙。這與傳統(tǒng)的VPN模型不同，在傳統(tǒng)模型中在認(rèn)證時，在客戶端設(shè)備上運行的 應(yīng)用程序一般能夠無縫地訪問網(wǎng)絡(luò)資源而無需修改。然而，如上所述，采用傳統(tǒng)的 VPN模型是昂貴的，因為對于每個用戶的個別認(rèn)證，它會要求將軟件組件安裝在 客戶端設(shè)備上。傳統(tǒng)的VPN模型也會提供較少的應(yīng)用程序?qū)Ｓ冒踩δ堋榱似胶膺@些競爭顧慮，許多企業(yè)對遠程網(wǎng)絡(luò)訪問采用應(yīng)用程序代理模型， 但僅允許在客戶端設(shè)備上運行的應(yīng)用程序的子集訪問網(wǎng)絡(luò)資源。因而，許多企業(yè)采 用應(yīng)用程序代理模型，并且知道某些用戶會不能采用特定應(yīng)用程序提供的某個功能 (例如要求網(wǎng)絡(luò)訪問)。這種安排不是最佳的。相應(yīng)地，本發(fā)明的一個實施例以提供應(yīng)用程序代理模型的安全優(yōu)點以及與傳 統(tǒng)的VPN模型相關(guān)聯(lián)的應(yīng)用程序?qū)W(wǎng)絡(luò)資源的無縫訪問，而無需修改在客戶端設(shè) 備上運行的應(yīng)用程序的方式，提供了便于遠程網(wǎng)絡(luò)訪問的體系結(jié)構(gòu)。在一個實施例中，該體系結(jié)構(gòu)包括安裝在客戶端設(shè)備上和網(wǎng)絡(luò)接入網(wǎng)關(guān)兩者 上用于驗證網(wǎng)絡(luò)上的客戶端的基于軟件的組件。在一個實施例中，客戶端上的組件 包括客戶端網(wǎng)絡(luò)訪問管理器(CNAM)，其中當(dāng)發(fā)生預(yù)定事件(例如應(yīng)用程序嘗試 解析網(wǎng)絡(luò)名稱)時，該管理器會自動地開始與網(wǎng)絡(luò)的通信，并經(jīng)由網(wǎng)關(guān)來方便驗證 以建立與網(wǎng)絡(luò)的連接。在一個實施例中，客戶端設(shè)備上CNAM的存在使得無需修 改其它客戶端應(yīng)用程序，由此便于使用并且提供類似于傳統(tǒng)VPN模型的功能。在 一個實施例中，該體系結(jié)構(gòu)也包括安裝在網(wǎng)絡(luò)接入網(wǎng)關(guān)上的組件，該組件提供許多 通常與應(yīng)用程序代理模型相關(guān)聯(lián)的安全優(yōu)點。雖然本發(fā)明的實施例會對便于對VPN的遠程訪問有用，但是本發(fā)明不限于這個方面。例如，可以采用該體系結(jié)構(gòu)來方便對任何適當(dāng)類型的專用或半專用網(wǎng)絡(luò)的 訪問。作為示例，可以部署該體系結(jié)構(gòu)來允許向?qū)Φ染W(wǎng)絡(luò)的訪問?？梢蕴峁┯糜诠?理對等通信的組件，諸如管理分配到此的帶寬和/或在其上施加安全策略的組件。附圖簡要描述附圖并不一定按照比例繪制。在附圖中，不同附圖中示出的每個相同或近似 相同的組件由相同的附圖標(biāo)記表示。為了清楚起見，每個組件不會在每個附圖中都 進行標(biāo)注。在附圖中

圖1是根據(jù)本發(fā)明的一個實施例示出方便遠程訪問的示例性體系結(jié)構(gòu)組件的框圖；圖2是根據(jù)本發(fā)明的一個實施例示出示例性進程的流程圖，該進程可以由客 戶端設(shè)備上的組件執(zhí)行以方便客戶端設(shè)備對網(wǎng)絡(luò)的遠程訪問；圖3是根據(jù)本發(fā)明的一個實施例示出示例性進程的流程圖，該進程可以由服 務(wù)器上的組件執(zhí)行以方便遠程網(wǎng)絡(luò)訪問；圖4是根據(jù)本發(fā)明的一個實施例示出可用于方便訪問對等網(wǎng)絡(luò)的示例性體系 結(jié)構(gòu)組件的框圖；圖5是根據(jù)本發(fā)明的一個實施例示出示例性進程的流程圖，該進程可以由超 節(jié)點執(zhí)行以管理分配給對等通信的帶寬；圖6是示出其上可實現(xiàn)本發(fā)明的實施例的各方面的計算機的框圖；以及 圖7是示出其上可實現(xiàn)本發(fā)明的實施例的各方面的示例性存儲器的框圖。
具體實施方式
圖1示出了本發(fā)明的方便對VPN的遠程訪問的一個示例性實施例。所示出的 實施例包括駐留在客戶端設(shè)備100和網(wǎng)絡(luò)接入網(wǎng)關(guān)150上的體系結(jié)構(gòu)組件。圖1 也示出了經(jīng)由這些組件使客戶端設(shè)備100可進行訪問的網(wǎng)絡(luò)資源170。在一個實施 例中，每個示出的組件通過軟件來實現(xiàn)。然而，本發(fā)明不限于這個方面，因為這些 組件中的任一個或全部可以以任何合適的方式實現(xiàn)，包括通過硬件來實現(xiàn)。圖1所示組件的功能可以通過描述客戶端應(yīng)用程序訪問網(wǎng)絡(luò)上的資源170A的 進程來示出。在該進程的開始處，用戶可以采用(例如，提供輸入)客戶端設(shè)備 IOO上的應(yīng)用程序105。在一個實施例中，應(yīng)用程序105包括電子郵件應(yīng)用程序(例 如由華盛頓州雷德蒙市的微軟公司提供的Microsoft Outlook)，而網(wǎng)絡(luò)資源170A包括電子郵件服務(wù)器。圖1的以下描述的剩余部分假設(shè)情況如此。然而，應(yīng)該理解 本發(fā)明不限與此，因為可以采用任何客戶端應(yīng)用程序和/或訪問任何網(wǎng)絡(luò)資源。在所描述的實施例中，由網(wǎng)絡(luò)堆棧iio (在一個實施例中是在客戶端設(shè)備100 上執(zhí)行的操作系統(tǒng)的組件)檢測到應(yīng)用程序105的活動，諸如應(yīng)用程序105試圖解 析網(wǎng)絡(luò)資源的名稱。在這方面，本領(lǐng)域的技術(shù)人員會認(rèn)識到，由于應(yīng)用程序105 通常對網(wǎng)絡(luò)資源170A采用與用于標(biāo)識網(wǎng)絡(luò)上網(wǎng)絡(luò)資源170A (例如網(wǎng)絡(luò)地址，諸 如IP地址)的標(biāo)識符不同的標(biāo)識符(例如域名)，應(yīng)用程序105通常試圖解析網(wǎng) 絡(luò)資源170A的名稱以確定其網(wǎng)絡(luò)標(biāo)識符。應(yīng)該理解，活動無需由作為操作系統(tǒng)的 部分來實現(xiàn)的組件(例如網(wǎng)絡(luò)堆棧IIO)來觀測，因為本發(fā)明不限于這個方面。可 用采用任何適當(dāng)?shù)慕M件。當(dāng)然，應(yīng)用程序105無需采用諸如域名的標(biāo)識符來訪問網(wǎng)絡(luò)資源。例如，如 果有可能，應(yīng)用程序105可采用網(wǎng)絡(luò)資源的網(wǎng)絡(luò)地址。以下參考圖4描述了應(yīng)用程 序指定網(wǎng)絡(luò)地址的示例性情況。在所述的實施例中，應(yīng)用程序105首先與域名服務(wù)(DNS)解析器120通信， 以嘗試解析客戶端上的網(wǎng)絡(luò)名稱。在一個實施例中，DNS解析器120維護先前己 解析出的域名的網(wǎng)絡(luò)標(biāo)識符的集合，諸如那些作為先前應(yīng)用程序活動結(jié)果被訪問的 網(wǎng)絡(luò)資源的網(wǎng)絡(luò)標(biāo)識符。在所述實施例中，如果DNS解析器120不能在不咨詢DNS服務(wù)器的情況下 將網(wǎng)絡(luò)資源170A的網(wǎng)絡(luò)地址提供給應(yīng)用程序105，則通知CNAM 115。在所述實 施例中，CNAM115包括定義了在預(yù)定義事件發(fā)生時進行的處理的已編程指令，諸 如當(dāng)DNS解析器120需要解析域名時。圖2示出了一進程的示例性實施例，執(zhí)行該進程以評估與在客戶端設(shè)備上執(zhí) 行的應(yīng)用程序相關(guān)的事件是否應(yīng)該造成要建立網(wǎng)絡(luò)連接。在進程200開始時，在動 作210處觀察到與應(yīng)用程序相關(guān)發(fā)生的事件。該事件可以是例如應(yīng)用程序嘗試解析 網(wǎng)絡(luò)名稱。在動作220處通過將該事件與一個或多個規(guī)則進行比較來評估該事件。 例如，會將事件與CNAM 115所包含的己編程指令定義的一個或多個規(guī)則作比較。 在動作230中，判定事件是否滿足任一規(guī)則。例如，在動作230處會判定應(yīng)用程序 105嘗試解析網(wǎng)絡(luò)名稱是否滿足規(guī)則。如果判定應(yīng)用程序事件滿足任何規(guī)則，那么 就在動作240處建立連接，并且進程結(jié)束。否則，進程返回到開始處，以便可以繼 續(xù)觀察應(yīng)用程序事件。當(dāng)然，在觀察到應(yīng)用程序事件時執(zhí)行的處理不限于建立到網(wǎng)絡(luò)的連接，并且定義處理的事件不限于應(yīng)用程序嘗試解析網(wǎng)絡(luò)名稱?？梢远x任何適當(dāng)?shù)氖录? 或處理。定義處理和/或事件的已編程指令可以是例如由諸如網(wǎng)絡(luò)管理員的用戶所 定義的。在所描述的實施例中，當(dāng)預(yù)定事件發(fā)生時所進行的處理是CNAM115評估DNS解析器120嘗試解析的域名，基于域名選擇特定的DNS服務(wù)器(即DNS映 射器160)(例如域名與DNS映射器160之間的關(guān)聯(lián))，并指示DNS解析器120 聯(lián)系DNS映射器160以解析域名。應(yīng)該理解，可以基于所提供的域名從多個類似的DNS服務(wù)器組件選擇DNS 映射器160。此外，由于基于域名選擇DNS服務(wù)器，如果不提供域名，那么無需 采用網(wǎng)關(guān)來方便客戶端和網(wǎng)絡(luò)資源之間的通信。在網(wǎng)關(guān)是到VPN的接入點的實現(xiàn) 中這會很有利。例如，當(dāng)網(wǎng)關(guān)150是到VPN的接入點時，如果客戶端設(shè)備100提 供了例如CNAM 115判定不應(yīng)該發(fā)送給DNS映射器160的域名，則可以無需采用 網(wǎng)關(guān)來方便客戶端設(shè)備100和可經(jīng)由因特網(wǎng)公開訪問的網(wǎng)絡(luò)資源之間的通信。該系 統(tǒng)可允許客戶端訪問網(wǎng)絡(luò)資源而不接入VPN，由此消除處理開銷和與之相關(guān)聯(lián)的 費用。也應(yīng)該理解，無需僅基于域名來選擇DNS服務(wù)器，因為DNS服務(wù)器可以基 于任何適當(dāng)?shù)男畔磉x擇。本發(fā)明不限于特定的實現(xiàn)。在所描述的實施例中，DNS解析器120于是嘗試聯(lián)系DNS映射器160。該嘗 試由網(wǎng)絡(luò)堆棧110處理。如果還沒有建立連接，則網(wǎng)絡(luò)堆棧IIO會指示遠程接入服 務(wù)(RAS)連接125來連接到網(wǎng)絡(luò)接入網(wǎng)關(guān)150，以使得應(yīng)用程序105可以訪問網(wǎng) 絡(luò)資源170A。更具體地，指示RAS連接125在客戶端100和網(wǎng)絡(luò)接入網(wǎng)關(guān)150之 間建立點對點連接。本領(lǐng)域的技術(shù)人員會認(rèn)識到，在客戶端和網(wǎng)關(guān)之間建立點對點 連接在客戶端IOO上建立了網(wǎng)絡(luò)接口，這類似于傳統(tǒng)的VPN布置，而與應(yīng)用程序 代理模型不同。由于建立了網(wǎng)絡(luò)接口，在以下描述的步驟中會將IP地址分配給客 戶端100用于與網(wǎng)絡(luò)通信。RAS連接125于是嘗試通過聯(lián)系VPN服務(wù)器155而在客戶端100和網(wǎng)絡(luò)接入 網(wǎng)關(guān)150之間建立點對點連接。在所描述的實施例中，RAS連接125和VPN服務(wù) 器155建立并維護客戶端100和網(wǎng)絡(luò)接入網(wǎng)關(guān)150之間的連接，并且可以保持該連 接直到它在一可配置的時間段上保持空閑(即不在連接上傳遞通信)。本領(lǐng)于的技 術(shù)人員會認(rèn)識到，以這種方式使用RAS組件來建立和維護客戶端和網(wǎng)關(guān)之間的點 對點連接是與傳統(tǒng)VPN共通的。在一個實施例中，客戶端100和網(wǎng)絡(luò)接入網(wǎng)關(guān)150之間的通信經(jīng)由SSL協(xié)議 進行，雖然本發(fā)明不限于這方面。可以采用任何合適的通信協(xié)議。然而，根據(jù)本發(fā)明的一個實施例，與將網(wǎng)絡(luò)資源170A的實際網(wǎng)絡(luò)地址(例如 IP地址)提供給應(yīng)用程序150不同，DNS映射器160提供新的網(wǎng)絡(luò)地址，將它分 配給VPN服務(wù)器155，并將該新提供的地址提供給客戶端100上的DNS解析器120。 結(jié)果，可以在客戶端上解析客戶端設(shè)備100上應(yīng)用程序?qū)υL問網(wǎng)絡(luò)資源的后續(xù)嘗 試，從而無需與DNS映射器進行通信。在一個實施例中，新提供的地址由DSN映射器160動態(tài)生成。具體地，與一 些傳統(tǒng)的方法不同，不預(yù)先提供(例如手動創(chuàng)建)新的地址以用于訪問網(wǎng)絡(luò)資源， 它是由DNS映射器160特定地生成，以供客戶端IOO用于訪問網(wǎng)絡(luò)資源170A。新 的地址也不是經(jīng)由一種或多種算法從實際網(wǎng)絡(luò)地址導(dǎo)出的。同樣地，在一個實施例 中，不會將新的地址限制于特定的格式。例如，可以使用IPv4、 IPv6或任何其它 適當(dāng)?shù)母袷缴傻刂?，從而如果己知例如客戶端或網(wǎng)絡(luò)資源采用IPv4格式，則動 態(tài)地生成IPv4格式的地址。在所描述的實施例中，DNS映射器160也將網(wǎng)絡(luò)資源170A的新提供的網(wǎng)絡(luò) 地址和實際的網(wǎng)絡(luò)地址提供給傳輸層代理165。因為對于許多不同的網(wǎng)絡(luò)資源和/ 或客戶端設(shè)備，該進程可以被重復(fù)許多次，所以可以向VPN服務(wù)器155提供許多 IP地址，每個網(wǎng)絡(luò)資源一個。圖3示出了描述用于執(zhí)行上述進程的示例性技術(shù)的流程圖。在進程300開始 時，在動作310處接收到訪問網(wǎng)絡(luò)資源的請求。在動作320處，確定(例如，如上 所述解析)資源的網(wǎng)絡(luò)地址。在動作330處，提供新的網(wǎng)絡(luò)地址。例如，可以將新 的地址分配給VPN服務(wù)器155。在動作340處，將新的地址提供給客戶端設(shè)備， 用于訪問網(wǎng)絡(luò)資源。在完成動作340時，該進程結(jié)束。作為該進程的結(jié)果，當(dāng)應(yīng)用程序105隨后嘗試訪問網(wǎng)絡(luò)資源170A時，它使用 新提供的網(wǎng)絡(luò)地址。應(yīng)用程序105將訪問請求發(fā)送到該地址，且由VPN服務(wù)器155 接收該請求。接著請求被發(fā)送給傳輸層代理165，在所描述的實施例中，該傳輸層 代理165會維護由DNS映射器160先前提供的信息，使得它能夠基于新提供的網(wǎng) 絡(luò)地址確定網(wǎng)絡(luò)資源170A的網(wǎng)絡(luò)地址。然而，應(yīng)該理解，可以用任何適當(dāng)?shù)姆绞?來確定網(wǎng)絡(luò)資源170A的實際網(wǎng)絡(luò)地址，因為本發(fā)明不限于這個方面。在所描述的實施例中，與向網(wǎng)絡(luò)資源170A發(fā)送請求不同，傳輸層代理165終 止網(wǎng)關(guān)150上的訪問請求并使用網(wǎng)絡(luò)資源170A的實際網(wǎng)絡(luò)地址與之建立直接連接。此后，從應(yīng)用程序105到網(wǎng)羅資源170A的通信首先傳輸?shù)骄W(wǎng)關(guān)150，接著沿 該新建立的連接從網(wǎng)關(guān)150傳輸?shù)骄W(wǎng)絡(luò)資源170A。類似地，從網(wǎng)絡(luò)資源170A到 應(yīng)用程序105的通信首先在網(wǎng)絡(luò)資源170A和網(wǎng)關(guān)150之間傳輸，接著沿網(wǎng)關(guān)150 和客戶端100之間的連接傳輸。這樣，傳輸層協(xié)議165用作應(yīng)用程序105和資源 170A之間的代理。在所描述的實施例中，傳輸層代理165采用插件168來實現(xiàn)用于應(yīng)用程序105 和網(wǎng)絡(luò)資源170A之間通信的安全策略。插件168可以例如包括已編程指令，當(dāng)執(zhí) 行該指令時，檢査應(yīng)用程序105和網(wǎng)絡(luò)資源170A之間的連接以判定它是否符合策 略。作為示例，插件168可用檢査通信以判定它是否不帶病毒。然而，應(yīng)該理解， 可以以任何適當(dāng)?shù)姆绞綉?yīng)用任何適當(dāng)?shù)牟呗?。例如，可以實現(xiàn)不與安全直接或間接 相關(guān)的策略。此外，無需由插件對傳輸層代理165實現(xiàn)策略，因為可以采用任何適 當(dāng)?shù)慕M件。此外，作為示例，可以由用戶(例如網(wǎng)絡(luò)管理員或第三方供應(yīng)商或顧問) 來定義策略。同樣地，策略可以定義對網(wǎng)關(guān)150上傳輸?shù)娜魏瓮ㄐ诺臋z查，包括向 諸如服務(wù)器、端口和/或其它資源等資源的通信。應(yīng)該理解，上述的組件和技術(shù)提供了常規(guī)VPN體系結(jié)構(gòu)的許多優(yōu)點，而不包 含它們相應(yīng)的缺點。例如，上述體系結(jié)構(gòu)可以提供應(yīng)用程序代理模型的安全優(yōu)點， 而無需修改客戶端應(yīng)用程序以允許訪問網(wǎng)絡(luò)資源。類似地，上述體系結(jié)構(gòu)便于對典 型的傳統(tǒng)VPN的網(wǎng)絡(luò)資源的無縫訪問，而無需犧牲安全性。也應(yīng)該理解，上述體系結(jié)構(gòu)包括客戶端設(shè)備上、使其很像傳統(tǒng)VPN中的客戶 端設(shè)備那樣運作的組件和網(wǎng)絡(luò)接入網(wǎng)關(guān)上、使其很像應(yīng)用程序代理那樣運作的組 件。例如，客戶端100上的CNAM115可以以類似于在傳統(tǒng)VPN中實現(xiàn)的客戶端 組件的方式管理應(yīng)用程序(例如應(yīng)用程序105)和網(wǎng)絡(luò)資源170之間的通信，使得 客戶端設(shè)備上的應(yīng)用程序可以無縫并透明地訪問網(wǎng)絡(luò)資源而不被修改。類似地，傳 輸層代理165和/或插件168會通過終止網(wǎng)絡(luò)接入網(wǎng)關(guān)150上的訪問請求和檢查其 上的通信來提供可與應(yīng)用程序代理模型相比擬的安全級別。如上所述，雖然本發(fā)明的各方面在允許遠程訪問VPN時是有用的，但是本發(fā) 明的實施例可以具有許多用途，包括與便于其它網(wǎng)絡(luò)配置中的連接相關(guān)的用途。例 如，可以采用許多上述的組件和技術(shù)中的多個來方便對等(P2P)網(wǎng)絡(luò)中的連接。本領(lǐng)域的技術(shù)人員會認(rèn)識到，對等連接主要是經(jīng)由超節(jié)點來完成的，超節(jié)點 在網(wǎng)絡(luò)的節(jié)點之間中繼通信。通常，超節(jié)點可訪問節(jié)點(即它們不駐留在防火墻、 網(wǎng)絡(luò)接入轉(zhuǎn)換器(NAT)組件或防止輸入連接的其它設(shè)備的之后)，包括駐留在防火墻、NAT或其它安全設(shè)備之后的節(jié)點。 一般地計算機會志愿作為超節(jié)點(例 如由它擁有者，可以是個人或企業(yè))。其作為超節(jié)點的身份通常諸如經(jīng)由華盛頓州雷德蒙市的微軟公司提供的對等名稱解析協(xié)議(PNRP)公布。簡而言之，PNRP 允許將超節(jié)點的身份和/或位置公布到分布式數(shù)據(jù)庫，可使用分布式數(shù)據(jù)庫來訪問 節(jié)點(例如因特網(wǎng)上的)。當(dāng)客戶端設(shè)備啟動對等應(yīng)用程序(例如由華盛頓州雷德 蒙市的微軟公司生產(chǎn)的Windows Messenger或其它對等應(yīng)用程序)時，應(yīng)用程序會 查詢數(shù)據(jù)庫以發(fā)現(xiàn)超節(jié)點的位置和身份。在一個實施例中，安裝在圖1的客戶端設(shè)備100上的組件可以在對等節(jié)點上 實現(xiàn)，且安裝在圖1的網(wǎng)絡(luò)接入網(wǎng)關(guān)上的組件可以在超節(jié)點上實現(xiàn)，以便于對等網(wǎng) 絡(luò)上的節(jié)點對另一節(jié)點進行訪問。圖4示出了一個說明性實現(xiàn)。由圖1所示的組件執(zhí)行的許多技術(shù)可以由圖4所示的組件執(zhí)行，以方便到對 等網(wǎng)絡(luò)的連接。作為示例，節(jié)點101會嘗試訪問超節(jié)點151，作為"自舉 (bootstrapping)"進程的部分，以獲取超節(jié)點151提供的通信中繼服務(wù)。網(wǎng)絡(luò)堆 棧110可以觀察該事件并通知包含定義了在諸如自舉進程的事件發(fā)生時所進行的 處理的已編程指令的CNAM 115。例如，CNAM 115會導(dǎo)致經(jīng)由對等RAS連接126 和RAS轉(zhuǎn)發(fā)服務(wù)器156來在節(jié)點101和超節(jié)點151之間建立連接。然后，超節(jié)點 會向節(jié)點101分配網(wǎng)絡(luò)地址(例如IP地址)。如圖1中所描述的實施例，節(jié)點101和超節(jié)點151之間的通信可以經(jīng)由SSL 通信協(xié)議或任何其它適當(dāng)?shù)耐ㄐ艆f(xié)議進行。超節(jié)點151會通知節(jié)點101可經(jīng)由網(wǎng)絡(luò)訪問的其它節(jié)點。節(jié)點101可發(fā)出訪 問節(jié)點102的請求，它會指定節(jié)點102的網(wǎng)絡(luò)地址。具體地，節(jié)點101可向超節(jié)點 151發(fā)送傳輸控制協(xié)議(TCP)連接請求(例如發(fā)送分組請求)，超節(jié)點151會檢 查節(jié)點101為請求指定的目標(biāo)網(wǎng)絡(luò)地址(例如IP地址)，確定它對應(yīng)于仍可經(jīng)由 網(wǎng)絡(luò)訪問的節(jié)點，并在判定節(jié)點102仍可訪問時轉(zhuǎn)發(fā)請求。節(jié)點102可接收和拒絕 訪問請求。在一個實施例中，由于對等網(wǎng)絡(luò)上的節(jié)點之間的通信流過超節(jié)點，而不在傳 輸層代理165處終止，因此無需DNS映射器160來解析由節(jié)點101提供的標(biāo)識符 或提供新的網(wǎng)絡(luò)地址并將其提供給節(jié)點101，如圖l中所示的配置中。取而代之， 通信指向超節(jié)點151，并流過超節(jié)點151到達節(jié)點102。在對等網(wǎng)絡(luò)上可以有多于一個超節(jié)點，且對于每個超節(jié)點可能不能直接訪問 所有的節(jié)點。如果節(jié)點102不能由超節(jié)點151直接訪問，那么超節(jié)點151可將通信轉(zhuǎn)發(fā)到能夠直接訪問節(jié)點102的另一個超節(jié)點。因此，在一個實施例中，超節(jié)點151包括互連180，它判定超節(jié)點151是否可以直接訪問節(jié)點102，如果否，就將 通信轉(zhuǎn)發(fā)給超節(jié)點152以最終傳遞給節(jié)點102。在一個實施例中，超節(jié)點151包括帶寬管理器175，它可以管理在超節(jié)點上傳 輸?shù)耐ㄐ帕克加玫膸?。例如?dāng)超節(jié)點是志愿的計算機，而提供方也希望將計算 機用于需要網(wǎng)絡(luò)訪問(例如瀏覽萬維網(wǎng))的其它活動時，這會是有用的。例如，帶 寬管理器175會確保預(yù)留足夠的帶寬用于與計算機作為超節(jié)點的職能不相關(guān)的這 些其它活動。在一個實施例中，帶寬管理器175可以被配置成(例如由諸如網(wǎng)絡(luò)管 理員的用戶)改變預(yù)留帶寬的量。圖5示出了可用于管理分配給對等通信的帶寬的示例性技術(shù)。當(dāng)節(jié)點向超節(jié) 點發(fā)出要經(jīng)由對等網(wǎng)絡(luò)來通信的請求時，諸如當(dāng)節(jié)點自舉時，進程500可以開始。 在進程500開始時，在動作510中，超節(jié)點接收到來自節(jié)點的要經(jīng)由對等網(wǎng)絡(luò)通信 的請求。該請求可以包括在節(jié)點和第二節(jié)點之間傳遞信息的期望帶寬要求的信息。 可以使用任何適當(dāng)?shù)募夹g(shù)來確定期望帶寬要求，諸如通過檢查由節(jié)點執(zhí)行的先前通 信。在動作520處，檢查該請求以判定超節(jié)點是否具有足夠的帶寬來支持期望的 帶寬要求。例如，超節(jié)點151上的帶寬管理器175最初將帶寬的第一部分分配給對 等活動，將第二部分分配給其它活動。此外，超節(jié)點會積極參與支持網(wǎng)絡(luò)上其它節(jié)點之間的對等通信。結(jié)果，超節(jié) 點可檢查最初分配給對等活動的帶寬量、用于正在進行的對等通信的帶寬量和/或 其它信息，以判定是否存在足夠的帶寬來支持節(jié)點提供的期望帶寬要求。如果判定不存在足夠帶寬來支持期望帶寬要求，則在動作530處，超節(jié)點向 節(jié)點發(fā)出拒絕請求的通信，且該進程結(jié)束。例如，超節(jié)點會向節(jié)點發(fā)送指明由于缺 乏足夠的帶寬而拒絕請求的消息。節(jié)點可例如接著將類似的連接請求發(fā)送給另一超 節(jié)點。如果在動作502處判定超節(jié)點具有足夠帶寬來支持期望帶寬要求，則在動作 540處，超節(jié)點向節(jié)點發(fā)出批準(zhǔn)請求的通信。在動作540完成時，該進程結(jié)束。此 后，節(jié)點會經(jīng)由超節(jié)點將通信發(fā)送到另一節(jié)點。通過可以由超節(jié)點直接發(fā)送給另一 節(jié)點，或者可以被發(fā)送給另一超節(jié)點，以便最終遞送給另一節(jié)點。在一個實施例中，可以采用插件168來向由超節(jié)點151中繼和/或發(fā)送的通信 上施加策略(例如與安全性相關(guān)的)。例如，如果將超節(jié)點151用于企業(yè)網(wǎng)絡(luò)上用戶之間的對等連接，則企業(yè)會使用插件168來確保用戶之間的通信是不帶病毒的。 應(yīng)該理解，本發(fā)明實施例的各方面可以在一個或多個計算機系統(tǒng)上實現(xiàn)，諸如圖6所示的示例性計算機系統(tǒng)600。計算機系統(tǒng)600包括輸入設(shè)備602、輸出設(shè) 備601、處理器603、存儲系統(tǒng)604和存儲606，它們都經(jīng)由互連機構(gòu)605直接或 間接地耦合，該互連機制605可包括一個或多個總線或交換機。輸入設(shè)備602從用 戶或機器(例如操作員或電話接收機)接收輸入，而輸出設(shè)備601向用戶顯示信息 或?qū)⑿畔l(fā)送給機器(例如液晶顯示器)。處理器603執(zhí)行稱為操作系統(tǒng)的程序，該操作系統(tǒng)控制其它計算機程序的執(zhí) 行，并提供調(diào)度、輸入/輸出和其它設(shè)備控制、計算、編譯、存儲分配、數(shù)據(jù)管理、 存儲器管理、通信和數(shù)據(jù)流控制。處理器和操作系統(tǒng)定義了計算機平臺，對該平臺 可以以其它計算機編程語言編寫應(yīng)用程序。處理器603也可以執(zhí)行一個或多個程序，以實現(xiàn)各種功能，諸如體現(xiàn)本發(fā)明 各方面的功能。這些程序可以用諸如過程程序設(shè)計語言、面向?qū)ο蟪绦蛟O(shè)計語言、 宏語言、或其組合的計算機編程語言來編寫。這些程序可以存儲在存儲系統(tǒng)606中。存儲系統(tǒng)可以將信息保持在易失性或 非易失性介質(zhì)上，并可以是固定的或可移動的。圖7更詳細地示出了存儲系統(tǒng)。它 一般包括計算機可讀和可寫的非易失性記錄介質(zhì)701，在其上存儲定義程序或程序 所使用的信息的信號。介質(zhì)可以是例如磁盤或閃存。通常，在操作中，處理器603 使得數(shù)據(jù)從非易失性記錄介質(zhì)701讀出，并讀入到易失性存儲器702中(例如隨機 存取存儲器或RAM)，與介質(zhì)701相比，易失性存儲器702允許處理器603更快 速地訪問該信息。該存儲器702可以位于存儲系統(tǒng)706中，如圖7中所示，或位于 存儲系統(tǒng)604中，如圖6中所示。處理器603 —般在集成電路存儲器604、 702中 操控數(shù)據(jù)，并在處理完成后將數(shù)據(jù)復(fù)制到介質(zhì)701。對于管理介質(zhì)701和集成電路 存儲器元件604、 702之間的數(shù)據(jù)移動，有多種已知的機制，并且本發(fā)明不限于此。 本發(fā)明也不限于特定的存儲器系統(tǒng)604或存儲系統(tǒng)606。也應(yīng)該理解，本發(fā)明的上述實施例可以用多種方式中的任一種來實現(xiàn)。例如， 可是使用硬件、軟件或其組合來實現(xiàn)上述功能。當(dāng)用軟件實現(xiàn)時，可以在任何適當(dāng) 的處理器或處理器集合(無論是在單個計算機中提供還是在多個計算機之間分布) 上執(zhí)行軟件代碼。在這方面，應(yīng)該理解，代理的上述功能可以分布在多個進程和/ 或系統(tǒng)之間。還應(yīng)該理解，執(zhí)行本申請中所描述的功能的任何組件或組件集合一般 被視為控制上述功能的一個或多個控制器。 一個或多個控制器可以用許多方式實現(xiàn)，諸如使用專用硬件，或采用使用微碼或軟件來編程的一個或多個處理器來執(zhí)行 上述功能。當(dāng)控制器存儲或提供用于系統(tǒng)操作的數(shù)據(jù)時，這樣的數(shù)據(jù)可以存儲在一 中央儲存庫、多個儲存庫或它們的組合中。由此描述了本發(fā)明的至少一個實施例的若干個方面，應(yīng)該理解，對于本領(lǐng)域 的技術(shù)人員容易進行各種改變、修改和改進。這種改變、修改和改進旨在作為本發(fā) 明的部分，并旨在落入本發(fā)明的精神和范圍中。相應(yīng)地，以上描述和附圖僅是示例 性的。
權(quán)利要求
1.在包括經(jīng)由網(wǎng)絡(luò)通信的客戶端設(shè)備、網(wǎng)關(guān)系統(tǒng)和網(wǎng)絡(luò)資源的系統(tǒng)中，所述客戶端能夠通過在所述網(wǎng)絡(luò)上與所述網(wǎng)關(guān)系統(tǒng)的通信來訪問所述網(wǎng)絡(luò)資源，所述網(wǎng)絡(luò)資源在所述網(wǎng)絡(luò)上由第一網(wǎng)絡(luò)地址標(biāo)識，所述第一網(wǎng)絡(luò)地址具有第一格式，所述第一格式是多種格式之一，至少一種計算機可讀介質(zhì)具有記錄在其上的指令，當(dāng)由所述網(wǎng)關(guān)系統(tǒng)執(zhí)行時所述指令執(zhí)行一種方法，所述方法包括以下動作(A)從所述客戶端設(shè)備接收訪問所述網(wǎng)絡(luò)資源的第一請求，所述第一請求指定所述客戶端設(shè)備用以標(biāo)識所述網(wǎng)絡(luò)資源的名稱或網(wǎng)絡(luò)地址；(B)判定所述第一請求是否指定了名稱；以及(C)在判定所述第一請求指定了名稱時(C1)處理所述第一請求以基于所述名稱確定所述網(wǎng)絡(luò)資源的所述第一網(wǎng)絡(luò)地址；(C2)動態(tài)地生成第二網(wǎng)絡(luò)地址以供所述客戶端設(shè)備用于訪問所述網(wǎng)絡(luò)資源，在執(zhí)行動作(B)之前不提供所述第二網(wǎng)絡(luò)地址用于訪問所述網(wǎng)絡(luò)資源，所述第二網(wǎng)絡(luò)地址不限于符合所述第一格式；(C3)將所述第二網(wǎng)絡(luò)地址提供給所述客戶端設(shè)備，用于訪問所述網(wǎng)絡(luò)資源；(C4)從所述客戶端設(shè)備接收訪問所述網(wǎng)絡(luò)資源的請求，所述請求被引導(dǎo)到所述第二網(wǎng)絡(luò)地址；(C5)與所述第一網(wǎng)絡(luò)地址處的網(wǎng)絡(luò)資源建立連接；(C6)終止所述請求；以及(C7)經(jīng)由所述連接來方便所述客戶端設(shè)備和所述網(wǎng)絡(luò)資源之間的通信。
2. 如權(quán)利要求1所述的至少一種計算機可讀介質(zhì)，其特征在于，所述動作(C7) 還包括在所述客戶端設(shè)備和所述網(wǎng)絡(luò)資源之間的通信上施加安全策略。
3. 如權(quán)利要求2所述的至少一種計算機可讀介質(zhì)，其特征在于，所述動作(C7)包括判定所述客戶端和所述網(wǎng)絡(luò)資源之間的通信不帶有病毒。
4. 如權(quán)利要求1所述的至少一種計算機可讀介質(zhì)，其特征在于，所述動作(C7) 還包括經(jīng)由加密套接字協(xié)議層(SSL)協(xié)議來方便所述客戶端設(shè)備和所述網(wǎng)關(guān)系統(tǒng) 之間的通信。
5. 如權(quán)利要求1所述的至少一種計算機可讀介質(zhì)，其特征在于所述動作(C)還包括，在判定所述第一請求指定所述第一網(wǎng)絡(luò)地址時(C8)將所述第一請求轉(zhuǎn)發(fā)給所述第一網(wǎng)絡(luò)地址處的網(wǎng)絡(luò)資源。
6. 如權(quán)利要求5所述的至少一種計算機可讀介質(zhì)，其特征在于，所述客戶端 設(shè)備包括對等網(wǎng)絡(luò)上的第一節(jié)點，所述網(wǎng)關(guān)系統(tǒng)包括所述對等網(wǎng)絡(luò)上的超節(jié)點，且 所述網(wǎng)絡(luò)資源包括所述對等網(wǎng)絡(luò)上的第二節(jié)點。
7. 如權(quán)利要求5所述的至少一種計算機可讀介質(zhì)，其特征在于，所述動作(C8)還包括在將所述第一請求轉(zhuǎn)發(fā)給所述網(wǎng)絡(luò)資源之前，判定在所述網(wǎng)關(guān)上是否分配了 足夠的帶寬來支持所述第一請求，并在判定分配了足夠的帶寬時轉(zhuǎn)發(fā)所述第一請 求。
8. 如權(quán)利要求5所述的至少一種計算機可讀介質(zhì)，其特征在于，所述動作(C8) 還包括在將所述第一請求轉(zhuǎn)發(fā)給所述網(wǎng)絡(luò)資源之前，在所述第一請求上施加安全策略。
9. 如權(quán)利要求8所述的至少一種計算機可讀介質(zhì)，其特征在于，施加所述安 全性策略的所述動作(C8)還包括判定所述第一請求不帶有病毒。
10. 如權(quán)利要求1所述的至少一種計算機可讀介質(zhì)，其特征在于，在其上執(zhí) 行所述指令的所述網(wǎng)關(guān)系統(tǒng)包含單個設(shè)備。
11. 在包括多個網(wǎng)關(guān)系統(tǒng)和網(wǎng)絡(luò)資源的網(wǎng)絡(luò)化系統(tǒng)中，客戶端設(shè)備用于經(jīng)由 與所述多個網(wǎng)關(guān)系統(tǒng)中的一個的通信來訪問所述網(wǎng)絡(luò)資源，所述客戶端設(shè)備包括應(yīng)用程序，用于發(fā)出訪問所述網(wǎng)絡(luò)資源的請求，所述請求指定由所述應(yīng)用程 序用以標(biāo)識所述網(wǎng)絡(luò)資源的名稱； 連接控制器，用于 接收所述請求；響應(yīng)于接收所述請求，處理所述請求以從所述多個網(wǎng)關(guān)系統(tǒng)中選擇所述 客戶端要與之通信以訪問所述網(wǎng)絡(luò)資源的第一網(wǎng)關(guān)系統(tǒng)，所述選擇基于由所 述應(yīng)用程序指定的所述名稱；開始與所述第一網(wǎng)關(guān)系統(tǒng)的連接。
12. 如權(quán)利要求ll所述的客戶端設(shè)備，其特征在于，所述連接控制器還用于 在建立與所述第一網(wǎng)關(guān)系統(tǒng)的連接時向所述第一網(wǎng)關(guān)系統(tǒng)提供信息，所述信息對由 所述第一網(wǎng)關(guān)系統(tǒng)認(rèn)證所述客戶端設(shè)備是有用的。
13. 如權(quán)利要求ll所述的客戶端設(shè)備，其特征在于，所述應(yīng)用程序是電子郵 件客戶端應(yīng)用程序，所述網(wǎng)絡(luò)資源是電子郵件服務(wù)器。
14. 如權(quán)利要求ll所述的客戶端設(shè)備，其特征在于，所述連接控制器僅經(jīng)由 軟件實現(xiàn)。
15. 如權(quán)利要求ll所述的客戶端設(shè)備，其特征在于，經(jīng)由SSL協(xié)議進行所述 客戶端設(shè)備和所述第一網(wǎng)關(guān)系統(tǒng)之間的通信。
16. 如權(quán)利要求ll所述的客戶端設(shè)備，其特征在于，其中所述系統(tǒng)還包括第二網(wǎng)絡(luò)資源，所述客戶端設(shè)備可經(jīng)由因特網(wǎng)訪問所述第二 網(wǎng)絡(luò)資源；以及所述應(yīng)用程序還用于發(fā)出訪問網(wǎng)絡(luò)地址處而非名稱處的所述第二網(wǎng)絡(luò)資源的 第二請求；以及所述連接控制器還用于處理所述第二請求，以判定不應(yīng)與所述第一網(wǎng)關(guān)系統(tǒng) 建立連接以訪問所述第二網(wǎng)絡(luò)資源。
17. —種包括客戶端設(shè)備、多個網(wǎng)關(guān)系統(tǒng)中的第一網(wǎng)關(guān)系統(tǒng)和網(wǎng)絡(luò)資源的系 統(tǒng)，所述客戶端設(shè)備、第一網(wǎng)關(guān)系統(tǒng)和網(wǎng)絡(luò)資源經(jīng)由網(wǎng)絡(luò)通信，所述客戶端設(shè)備用 于通過經(jīng)由所述網(wǎng)絡(luò)向所述第一網(wǎng)關(guān)系統(tǒng)發(fā)出請求來訪問所述網(wǎng)絡(luò)資源，所述請求 指定由所述客戶端設(shè)備用以標(biāo)識所述網(wǎng)絡(luò)資源的名稱或用于在網(wǎng)絡(luò)上標(biāo)識網(wǎng)絡(luò)資 源的網(wǎng)絡(luò)地址，所述第一網(wǎng)關(guān)系統(tǒng)用于處理所述請求，以判定所述請求是指定了名 稱還是網(wǎng)絡(luò)地址，并且在判定所述請求指定名稱時，終止所述第一網(wǎng)關(guān)系統(tǒng)上的所 述請求，并經(jīng)由所述第一網(wǎng)關(guān)系統(tǒng)和所述網(wǎng)絡(luò)資源之間的連接來方便所述客戶端設(shè) 備和所述網(wǎng)絡(luò)資源之間的通信，而在判定所述請求指定網(wǎng)絡(luò)地址時，將所述請求轉(zhuǎn) 發(fā)給所述網(wǎng)絡(luò)地址處的網(wǎng)絡(luò)資源，其中所述客戶端還用于從所述多個網(wǎng)關(guān)系統(tǒng)中選 擇第一網(wǎng)關(guān)系統(tǒng)，用于基于由所述客戶端用于標(biāo)識所述網(wǎng)絡(luò)資源的名稱來接收所述 請求。
18. 如權(quán)利要求17所述的系統(tǒng)，其特征在于，所述請求是經(jīng)由SSL協(xié)議發(fā)送的。
19. 如權(quán)利要求17所述的系統(tǒng)，其特征在于，其中在判定所述請求指定網(wǎng)絡(luò) 地址時，所述第一網(wǎng)關(guān)系統(tǒng)還用于判定所述第一網(wǎng)關(guān)系統(tǒng)上是否有足夠的帶寬可用 于支持所述請求。
20. 如權(quán)利要求17所述的系統(tǒng)，其特征在于，所述第一網(wǎng)關(guān)還用于在所述請 求上施加安全策略。
全文摘要
提供了一種允許遠程訪問網(wǎng)絡(luò)的統(tǒng)一的體系結(jié)構(gòu)。該網(wǎng)絡(luò)可以包括例如虛擬個人網(wǎng)絡(luò)(VPN)和/或?qū)Φ染W(wǎng)絡(luò)。在一個實施例中，該體系結(jié)構(gòu)包括安裝在客戶端設(shè)備/節(jié)點和網(wǎng)關(guān)/超節(jié)點上的組件。在該客戶端設(shè)備上實現(xiàn)的組件可方便類似于傳統(tǒng)VPN的方式的訪問，而該網(wǎng)關(guān)上的組件可方便類似于應(yīng)用程序代理的方式的訪問。作為示例，客戶端設(shè)備和網(wǎng)關(guān)之間的通信可經(jīng)由加密套接字協(xié)議層(SSL)通信協(xié)議而進行。
文檔編號G06F15/16GK101218577SQ200680024722
公開日2008年7月9日 申請日期2006年7月10日 優(yōu)先權(quán)日2005年7月8日
發(fā)明者A·M·墨奇, A·格巴德格辛, D·G·泰勒, H·L·桑德斯, N·C·吉德瓦尼, P·G·梅費爾德 申請人:微軟公司