[發(fā)明專利]服務(wù)器發(fā)起的安全網(wǎng)絡(luò)連接

有效

• 申請(qǐng)?zhí)枺?/td>: 200810095095.4
• 申請(qǐng)日: 2008-05-05
• 公開（公告）號(hào): CN101437022A
• 公開（公告）日: 2009-05-20
• 發(fā)明（設(shè)計(jì)）人: 肯特·A·沃森;西蒙·J·杰拉泰;保羅·弗雷利;菲利普·A·謝弗;達(dá)雷恩·湯姆
• 申請(qǐng)（專利權(quán)）人: 叢林網(wǎng)絡(luò)公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L9/36
• 代理公司: 北京康信知識(shí)產(chǎn)權(quán)代理有限責(zé)任公司
• 代理人: 余 剛;尚志峰

1.一種用于在通信會(huì)話期間轉(zhuǎn)換角色的方法，所述方法包括：

用管理裝置接收初始傳輸控制協(xié)議(TCP)同步(SYN) 數(shù)據(jù)包，所述初始傳輸控制協(xié)議同步數(shù)據(jù)包由作為TCP客戶 端的被管理裝置輸出，以請(qǐng)求發(fā)起所述管理裝置和所述被管理 裝置之間的TCP會(huì)話；

從所述管理裝置輸出TCP同步確認(rèn)(SYN-ACK)的數(shù)據(jù) 包，以使所述管理裝置作為TCP服務(wù)器接受所述TCP會(huì)話；

在建立所述TCP會(huì)話之后并且在所述TCP會(huì)話上建立任 何附加通信協(xié)議之前，用所述管理裝置接收由所述被管理裝置 輸出的角色顛倒消息，所述角色顛倒消息指定被管理裝置ID， 并且基于所述被管理裝置ID，用所述管理裝置定位所述被管 理裝置的記錄，以驗(yàn)證所述被管理裝置；以及

基于所述被管理裝置的驗(yàn)證，用所述管理裝置根據(jù)安全 外殼(SSH)協(xié)議通過所述TCP會(huì)話發(fā)起安全外殼(SSH)連 接，以便使所述管理裝置充當(dāng)所述安全外殼協(xié)議的客戶端，而 所述被管理裝置充當(dāng)所述安全外殼(SSH)協(xié)議的服務(wù)器。

2.根據(jù)權(quán)利要求1所述的方法，其中，所述安全外殼協(xié)議應(yīng)用非 對(duì)稱驗(yàn)證方案來建立所述管理裝置與所述被管理裝置之間的 安全連接。

3.根據(jù)權(quán)利要求2所述的方法，其中，所述安全外殼協(xié)議通過要 求充當(dāng)安全外殼客戶端的所述管理裝置將用戶名和密碼驗(yàn)證 信息提供給充當(dāng)安全外殼服務(wù)器的所述被管理裝置來應(yīng)用非 對(duì)稱驗(yàn)證方案。

4.根據(jù)權(quán)利要求1所述的方法，其中，接收所述初始傳輸控制協(xié) 議同步(TCP?SYN)數(shù)據(jù)包包括：用所述管理裝置從安全裝 置接收由所述被管理裝置輸出的所述初始傳輸控制協(xié)議同步 數(shù)據(jù)包，所述安全裝置將所述被管理裝置與所述管理裝置分 離。

5.根據(jù)權(quán)利要求4所述的方法，其中，接收所述初始傳輸控制協(xié) 議同步數(shù)據(jù)包還包括：用所述管理裝置接收由所述被管理裝置 輸出的初始傳輸控制協(xié)議同步數(shù)據(jù)包，且依據(jù)所述初始傳輸控 制協(xié)議同步數(shù)據(jù)包，所述安全裝置通過重寫所述傳輸控制協(xié)議 同步數(shù)據(jù)包的源網(wǎng)際協(xié)議(IP)地址字段來執(zhí)行網(wǎng)絡(luò)地址轉(zhuǎn)換， 以使所述源網(wǎng)際協(xié)議(IP)地址字段指定公共IP地址，而非 被分配到所述被管理裝置的專用IP地址。

6.根據(jù)權(quán)利要求4所述的方法，其中，接收所述角色顛倒消息包 括：用所述管理裝置從所述安全裝置接收用于指定所述被管理 裝置ID的所述角色顛倒消息。

7.根據(jù)權(quán)利要求4所述的方法，其中，發(fā)起所述安全外殼連接包 括：一旦接收到所述角色顛倒消息，就利用所述管理裝置通過 所述安全裝置，來根據(jù)所述安全外殼協(xié)議通過所述TCP會(huì)話 發(fā)起所述安全外殼連接，從而所述管理裝置充當(dāng)所述安全外殼 協(xié)議的所述客戶端而所述被管理裝置充當(dāng)所述安全外殼協(xié)議 的所述服務(wù)器。

8.根據(jù)權(quán)利要求7所述的方法，還包括：用所述管理裝置接收多 個(gè)SSH消息，所述安全裝置根據(jù)所述SSH消息執(zhí)行網(wǎng)絡(luò)地址 轉(zhuǎn)換，其中，所述安全裝置通過重寫所述SSH消息的源網(wǎng)際 協(xié)議(IP)地址字段來執(zhí)行網(wǎng)絡(luò)地址轉(zhuǎn)換，以使所述源網(wǎng)際協(xié) 議(IP)地址字段指定公共網(wǎng)際協(xié)議(IP)地址，而非被分配 到所述被管理裝置的專用網(wǎng)際協(xié)議(IP)地址。

9.根據(jù)權(quán)利要求1所述的方法，

其中，接收所述初始傳輸控制協(xié)議同步數(shù)據(jù)包包括：接 收由作為所述TCP客戶端的被管理裝置輸出的所述初始傳輸 控制協(xié)議同步(TCP?SYN)數(shù)據(jù)包，以作為發(fā)起所述管理裝 置和所述被管理裝置之間的持續(xù)TCP會(huì)話、周期TCP會(huì)話、 以及按需TCP會(huì)話之一的請(qǐng)求，以及

其中，發(fā)起所述安全外殼(SSH)連接包括：通過所述持 續(xù)TCP會(huì)話、所述周期TCP會(huì)話、和所述按需TCP會(huì)話中的 一個(gè)發(fā)起所述安全外殼連接。

10.根據(jù)權(quán)利要求1所述的方法，其中，接收所述角色顛倒消息包 括：用所述管理裝置接收用于指定消息標(biāo)識(shí)符(ID)、消息版 本、裝置ID、主機(jī)密鑰、以及鍵入散列(keyed-hash)消息驗(yàn) 證碼(HMAC)中的三個(gè)或更多個(gè)的角色顛倒消息。