專利名稱：基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種基于相互認證的虛擬專用網(wǎng)絡(luò)(Virtual Private Network VPN)服務(wù)設(shè)備和方法，更具體來說，涉及一種可靠性提高的在應(yīng)用層(application layer)操作的VPN服務(wù)設(shè)備和方法。
背景技術(shù)：
在分散的企業(yè)環(huán)境中，連接總公司和分公司的典型的方式是利用專用線路(leased line)或巾貞中繼(Frame relay)構(gòu)建網(wǎng)絡(luò)的方式。但是這樣的專用線路(leasedline)或巾貞中繼(Frame relay)具有線路費用相對貴的問題。據(jù)此，作為利用相比專用線路或幀中繼費用低廉的互聯(lián)網(wǎng)公用網(wǎng)絡(luò)的網(wǎng)絡(luò)服務(wù)，虛擬專用網(wǎng)絡(luò)被廣泛使用。VPN技術(shù)是虛擬地構(gòu)建專用通信網(wǎng)絡(luò)的技術(shù)，利用現(xiàn)有的公用網(wǎng)絡(luò)連接遠程終端(分公司)和總公司來與外部進行安全的通信。現(xiàn)有的VPN使用IPSec、SSL等協(xié)議在傳輸層(transport layer)和網(wǎng)絡(luò)層(network layer)上進行操作。然而，對于這樣的在傳輸層以下操作VPN而言，由于難以通過中繼功能擴展且對硬件的依賴性高，存在客戶端移植性差的問題。作為上述問題的解決方案，提出了使用SSH協(xié)議的、在應(yīng)用層操作的VPN技術(shù)。對于在應(yīng)用層操作VPN而言，雖然相對容易擴展，但通過中繼服務(wù)器(relay server)連接時，由于只提供簡單的路徑，因此存在可靠性下降的問題。此外，當提供多個VPN服務(wù)器被連接到一個中繼服務(wù)器的托管的VPN(hosted VPN)服務(wù)時，由于將多個企業(yè)而不是一個企業(yè)作為對象提供VPN服務(wù)，因此發(fā)生網(wǎng)絡(luò)安全設(shè)置和IP沖突的問題。韓國專利公開第10-2006-0126952號公開了中繼客戶端訪問主服務(wù)的過程的一次協(xié)議服務(wù)。票務(wù)機關(guān)將第一張票發(fā)送到客戶端，并將第二張票發(fā)送到一次協(xié)議服務(wù)。接收到票的一次協(xié)議服務(wù)和主服務(wù)利用第二協(xié)議進行通信。此外，一次協(xié)議服務(wù)利用第二協(xié)議被封裝的第一協(xié)議與客戶端進行通信。由于從票務(wù)機關(guān)接收到票的相應(yīng)的一次協(xié)議服務(wù)和客戶端進行通過協(xié)議封裝化的數(shù)據(jù)收發(fā)，因此數(shù)據(jù)的安全性和可靠性被維持。然而，通過票務(wù)機關(guān)的選擇而不是通過從客戶端向一次協(xié)議服務(wù)主動請求認證來實現(xiàn)客戶端的認證。此外，不存在針對主服務(wù)的認證過程。因此，存在由相應(yīng)的一次協(xié)議服務(wù)中繼的客戶端和主服務(wù)之間的可靠性不足的問題。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種VPN服務(wù)設(shè)備和方法，通過參與到在應(yīng)用層操作的VPN和用戶終端之間的通信路徑的設(shè)置，從而提供比較容易擴展且可靠性提高的VPN服務(wù)。本發(fā)明的目的還在于提供一種記錄有用于在計算機中執(zhí)行VPN服務(wù)方法的程序的計算機可讀記錄介質(zhì)，其中，所述VPN服務(wù)方法通過參與到在應(yīng)用層操作的VPN和用戶終端之間的通信路徑的設(shè)置，從而提供比較容易擴展且可靠性提高的VPN服務(wù)。
為了解決所述技術(shù)問題，根據(jù)本發(fā)明的基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備包括存儲單元，存儲由向用戶終端提供專用網(wǎng)絡(luò)的訪問的虛擬專用網(wǎng)絡(luò)(VPN)服務(wù)器生成的第一公共密鑰和所述用戶終端生成的第二公共密鑰；認證單元，利用所述第一公共密鑰認證所述VPN服務(wù)器，利用所述第二公共密鑰認證所述用戶終端；通道管理單元，生成在由所述認證單元認證的所述VPN服務(wù)器和所述VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第一 VPN通道，生成在由所述認證單元認證的所述用戶終端和VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第二 VPN通道，并在所述用戶終端和所述VPN服務(wù)器之間中繼數(shù)據(jù)的收發(fā)。為了解決所述技術(shù)問題，根據(jù)本發(fā)明的基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)方法包括認證步驟，利用由向用戶終端提供專用網(wǎng)絡(luò)的訪問的虛擬專用網(wǎng)絡(luò)(VPN)服務(wù)器生成的第一公共密鑰認證所述VPN服務(wù)器，利用所述用戶終端生成的所述第二公共密鑰認證所述用戶終端；通道管理步驟，生成在由所述認證步驟認證的VPN服務(wù)器和所述VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第一 VPN通道，生成在由認證步驟認證的用戶終端和VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第二 VPN通道，并在所述用戶終端和所述VPN服務(wù)器之間中繼數(shù)據(jù)的收發(fā)。根據(jù)本發(fā)明的基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和方法，本發(fā)明通過客戶端(client)和VPN服務(wù)器的相互認證提供可靠性和安全性提高的連接。此外，本發(fā)明構(gòu)建多個服務(wù)器被連接的多層(mult1-tier)構(gòu)造，從而具有以低費用獲得高擴展性和負荷分散效果。這樣的構(gòu)造能夠通過沒有分配IP的應(yīng)用層的托管的VPN服務(wù)，解決網(wǎng)絡(luò)兼容性和IP沖突的問題。


圖1是示出根據(jù)本發(fā)明的包括基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備的整個網(wǎng)絡(luò)構(gòu)成的圖，圖2是示出針對用戶終端的優(yōu)選實施例的構(gòu)成的框圖，圖3是示出針對能夠從用戶終端訪問VPN服務(wù)器的VPN客戶端程序的執(zhí)行過程的優(yōu)選實施例的執(zhí)行過程的流程圖，圖4是示出針對根據(jù)本發(fā)明的虛擬專用網(wǎng)絡(luò)服務(wù)裝置的優(yōu)選實施例的構(gòu)成的框圖，圖5是示出針對VPN服務(wù)器的優(yōu)選實施例的構(gòu)成的框圖，圖6是示出針對VPN服務(wù)器管理單元的優(yōu)選實施例的構(gòu)成的框圖，圖7是示出針對在虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和VPN服務(wù)器之間直到形成第一 VPN通道的過程的優(yōu)選實施例的執(zhí)行過程的流程圖，圖8是示出針對在用戶終端和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間直到形成第二 VPN通道的過程的優(yōu)選實施例的執(zhí)行過程的流程圖，圖9是表示使用根據(jù)本發(fā)明的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備管理多個客戶的實施例的圖，圖10是表示使用根據(jù)本發(fā)明的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備連接企業(yè)內(nèi)的總公司和分公司的實施例的圖。
具體實施方式
以下，參照附圖來詳細說明根據(jù)本發(fā)明的基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和方法的優(yōu)選實施例。圖1是示出根據(jù)本發(fā)明的包括基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100的整個網(wǎng)絡(luò)構(gòu)成的圖。參照圖1，整個網(wǎng)絡(luò)包括虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100、用戶終端110、認證服務(wù)器120、認證數(shù)據(jù)庫130和VPN服務(wù)器140。用戶終端110作為能夠安裝并執(zhí)行可訪問VPN服務(wù)器140的程序的設(shè)備，可以是能夠利用公用網(wǎng)絡(luò)的便攜式通信裝置(諸如，PDA、智能電話、筆記本等)等。圖2是示出針對用戶終端110的優(yōu)選實施例的構(gòu)成的框圖。參照圖2，用戶終端110包括控制單元210、存儲單元220和VPN訪問單元230。VPN訪問單元230執(zhí)行能夠使用戶終端110訪問VPN服務(wù)器140的VPN客戶端程序?？刂茊卧?10中安裝有操作系統(tǒng)(OS :operate system)。操作系統(tǒng)邏輯地對用戶終端110的硬件進行連接和控制。此外，操作系統(tǒng)將VPN客戶端程序等多種應(yīng)用程序連接到移動終端110的硬件，并控制該硬件。存儲單元220以電子的方式存儲有指令和數(shù)據(jù)。當用戶終端110正常工作時，存儲單元220中通常存儲操作系統(tǒng)(OS)的主要部分、應(yīng)用程序的一部分或全部、當前正在使用的數(shù)據(jù)。圖3是示出針對由VPN訪問單元230執(zhí)行的訪問VPN服務(wù)器140的過程的優(yōu)選實施例的執(zhí)行過程的流程圖。VPN訪問單元230將包括將要進行通信的VPN服務(wù)器140的識別信息的認證數(shù)據(jù)和認證請求發(fā)送到認證服務(wù)器120(S310)，其中，認證服務(wù)器120能夠?qū)⒄J證請求發(fā)送到VPN服務(wù)器140。其后，認證服務(wù)器120利用包括在認證數(shù)據(jù)中的VPN服務(wù)器140的ID訪問VPN服務(wù)器140，并請求針對用戶終端110的認證(S310)。通過公共IP實現(xiàn)發(fā)送到認證服務(wù)器120的認證數(shù)據(jù)和認證請求。認證數(shù)據(jù)中包含將要訪問的VPN服務(wù)器140的標識符(ID)、用戶終端110的標識符以及VPN服務(wù)器140的訪問密碼。當由VPN服務(wù)器140的認證成功時，VPN訪問單元230生成第二公共密鑰和第二私有密鑰以及第三公共密鑰和第三私有密鑰(S320)。VPN訪問單元230將第二公共密鑰登記在虛擬專用網(wǎng)絡(luò)服務(wù)器設(shè)備100，并由虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100使用第二公共密鑰獲得認證(S330)。具體來說，當VPN訪問單元230根據(jù)事前設(shè)定的認證協(xié)議向虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100請求訪問時，相互間將要使用的算法被選擇。在這種情況下，可在相互間使用的算法包括加密算法、哈希(hash)算法、基于哈希算法的消息認證碼(HMAC)算法和壓縮算法。在選擇算法之后，生成并相互交換將在算法(AES、3DES等)中使用的對稱密鑰(第二加密密鑰)。此外，周期性地隨機再生成第二加密密鑰并交換該第二加密密鑰。此后，VPN訪問單元230使用作為對稱密鑰的第二加密密鑰對VPN服務(wù)器140的標識符、用戶終端110的標識符 以及第二私有密鑰進行加密，并向虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100請求認證。虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100使用第二公共密鑰認證VPN訪問單元230。
VPN訪問單元230將第三公共密鑰登記在VPN服務(wù)器140，由VPN服務(wù)器140使用第三公共密鑰進行認證(S340)。具體來說，當VPN訪問單元230根據(jù)事先設(shè)定的認證協(xié)議向VPN服務(wù)器140請求訪問時，相互間將要使用的算法被選擇。在這種情況下，可在相互間使用的算法包括加密算法、哈希(hash)算法、基于哈希算法的消息認證碼(HMAC)算法和壓縮算法。在選擇算法之后，生成并相互交換將在算法(AES、3DES等)中使用的對稱密鑰(第一加密密鑰)。此外，周期性地隨機再生成第一加密密鑰并交換該第一加密密鑰。此后，VPN訪問單元230使用作為對稱密鑰的第一加密密鑰對VPN服務(wù)器140的標識符、用戶終端110的標識符以及第三私有密鑰進行加密，并向VPN服務(wù)器140請求認證。VPN服務(wù)器140使用第三公共密鑰認證VPN訪問單元230。VPN訪問單元230通過第二 VPN通道和第一 VPN通道與VPN服務(wù)器140進行數(shù)據(jù)的發(fā)送和接收(S350)，其中，在第二 VPN通道中數(shù)據(jù)在虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100和用戶終端110之間傳輸，在第一 VPN通道中數(shù)據(jù)在虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100和VPN服務(wù)器140之間傳輸。VPN訪問單元230使用第一加密密鑰將發(fā)送到VPN服務(wù)器140的數(shù)據(jù)進行加密，并使用第一加密密鑰對從VPN服務(wù)器140接收到的數(shù)據(jù)進行解密，從而VPN訪問單元230與VPN服務(wù)器140進行數(shù)據(jù)的發(fā)送和接收。此外，VPN訪問單元230使用第二加密密鑰對發(fā)送到VPN服務(wù)器140的進行加密，使用第二加密密鑰對從VPN服務(wù)器140接收的數(shù)據(jù)進行解密，從而VPN訪問單元230與VPN服務(wù)器140進行數(shù)據(jù)的發(fā)送和接收。此外，為了提高數(shù)據(jù)的發(fā)送和接收的安全性，可以以如下方式進行數(shù)據(jù)的發(fā)送和接收在使用第一加密密鑰對發(fā)送到VPN服務(wù)器140的數(shù)據(jù)進行加密之后，使用第二加密密鑰再次對其進行加密，且在使用第二加密密鑰對從VPN服務(wù)器140接收的數(shù)據(jù)進行解密之后，使用第一加密密鑰再次對其進行解密。VPN客戶端程序可以以應(yīng)用的形式從運行VPN服務(wù)器140被下載到用戶終端110并被使用。此外，VPN客戶端程序可事先被存儲在移動終端110中。重新參照圖1，認證服務(wù)器120執(zhí)行用于連接VPN服務(wù)器140和用戶終端110的初始登記過程。VPN服務(wù)器140向認證服務(wù)器120請求發(fā)出許可證密鑰。認證放服務(wù)器120根據(jù)VPN服務(wù)器140的許可證密鑰的發(fā)出請求，發(fā)出許可證密鑰，并發(fā)送到VPN服務(wù)器140。其后，認證服務(wù)器120將獲得了許可證密鑰的VPN服務(wù)器140的標識符存儲在認證數(shù)據(jù)庫130，其中，認證數(shù)據(jù)庫130存儲有針對VPN服務(wù)器140的識別信息等。認證服務(wù)器120利用許可證密鑰向VPN服務(wù)器140請求認證。VPN服務(wù)器140確認許可證密鑰，以對認證服務(wù)器120進行認證，并生成第一公共密鑰和第一私有密鑰。此外，認證服務(wù)器120使用許可證密鑰對許可證信息進行加密。許可證信息相應(yīng)于VPN服務(wù)器140的標識符、許可證類型、許可證期限、用戶終端110和VPN服務(wù)器140的數(shù)量以及代表IP和端口。由許可證密鑰加密的許可證信息通過一般的web服務(wù)器從認證服務(wù)器120發(fā)送到VPN服務(wù)器140。另一方面，認證服務(wù)器120從用戶終端110接收認證數(shù)據(jù)和認證請求。認證數(shù)據(jù)中包含將要訪問的VPN服務(wù)器140的標識符、用戶終端110的標識符和VPN服務(wù)器140的訪問密碼。此外，認證服務(wù)器120將從用戶終端110接收的認證數(shù)據(jù)存儲在認證數(shù)據(jù)庫130中，并使用包括在認證數(shù)據(jù)中的VPN服務(wù)器140的標識符訪問VPN服務(wù)器140，請求用戶終端110的認證。如果由VPN服務(wù)器140認證了用戶終端110，則認證服務(wù)器120通知用戶終端110認證成功。被通知認證成功與否的用戶終端110生成第二公共密鑰和第二私有密鑰以及第三公共密鑰和第三私有密鑰，并準備與VPN服務(wù)器140進行數(shù)據(jù)的發(fā)送和接收。重新參照圖1，根據(jù)本發(fā)明的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100可位于N0C(網(wǎng)絡(luò)操作中心)或作為專用網(wǎng)絡(luò)和公共網(wǎng)絡(luò)之間的中立區(qū)域DMZ(隔離區(qū)，demilitarized zone)網(wǎng)絡(luò)上。圖4是示出針對根據(jù)本發(fā)明的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100的優(yōu)選實施例的構(gòu)成的框圖。 參照圖4，根據(jù)本發(fā)明虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100包括存儲單元410、認證單元420、通道管理單元430、安全處理單元440、連接管理單元450和路由單元460。在存儲單元410中存儲VPN服務(wù)器140生成的第一公共密鑰和用戶終端110生成的第二公共密鑰。如上所述，VPN服務(wù)器140通過確認許可證密鑰來對認證服務(wù)器120進行認證，并生成第一公共密鑰和第一私有密鑰。如果用戶終端110被VPN服務(wù)器140認證，則生成第二公共密鑰和第二私有密鑰。認證單元420利用第一公共密鑰認證VPN服務(wù)器140，并利用第二公共密鑰認證用戶終端110。具體來說，當VPN服務(wù)器140根據(jù)事先設(shè)定的認證協(xié)議向認證單元420請求訪問時，在相互間將要使用的算法被選擇。在這種情況下，可在相互間使用的算法包括加密算法、哈希(hash)算法、基于哈希算法的消息認證碼(HMAC)算法和壓縮算法。在選擇算法之后，生成并相互交換將在算法(AES、3DES等)中使用的對稱密鑰(第三加密密鑰)。此外，周期性地隨機再生成第三加密密鑰并交換該第三加密密鑰。此后，VPN服務(wù)器140使用作為對稱密鑰的第三加密密鑰對VPN服務(wù)器140的標識符、用戶終端110的標識符以及第一私有密鑰進行加密，并向認證單元420請求認證。認證單元420使用第一公共密鑰認證VPN服務(wù)器140。也就是說，通過VPN服務(wù)器140的訪問以向外(out-bound)的形式實現(xiàn)認證。相似地，用戶終端110根據(jù)事先設(shè)定的認證協(xié)議向認證單元420請求訪問時，在相互間將要使用的算分被選擇。在這種情況下，可在相互間使用的算法包括加密算法、哈希(hash)算法、基于哈希算法的消息認證碼(HMAC)算法和壓縮算法。在選擇算法之后，生成并相互交換將在算法(AES、3DES等)中使用的對稱密鑰(第二加密密鑰)。此外，周期性地隨機再生成第二加密密鑰并交換該第二加密密鑰。此后，用戶終端110使用作為對稱密鑰的第二加密密鑰對VPN服務(wù)器140的標識符、用戶終端110的標識符以及第二私有密鑰進行加密，并向認證單元420請求認證。認證單元420使用第二公共密鑰認證用戶終端110。通道管理單元430生成第一 VPN通道和第二 VPN通道，以中繼用戶終端和VPN服務(wù)器140之間的數(shù)據(jù)的發(fā)送和接收，其中，在第一 VPN通道中數(shù)據(jù)在由認證單元420認證的VPN服務(wù)器140和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100之間傳輸，在第二 VPN通道中數(shù)據(jù)在由認證單元420認證的用戶終端110和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100之間傳輸。可使用在用戶終端110和VPN服務(wù)器140之間設(shè)定的第一加密密鑰，來對通過第一 VPN通道和第二 VPN通道在用戶終端110和VPN服務(wù)器140之間收發(fā)的數(shù)據(jù)進行加密。安全處理單元440使用在用戶終端110和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100之間設(shè)定的第二加密密鑰來對從用戶終端Iio接收的數(shù)據(jù)進行解密之后，使用在VPN服務(wù)器140和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備100之間設(shè)定的第三加密密鑰進行加密并發(fā)送到VPN服務(wù)器140，且使用第三加密密鑰對從VPN服務(wù)器140接收的數(shù)據(jù)進行解密之后使用第二加密密鑰對其進行加密并發(fā)送到用戶終端110。在使用第一加密密鑰對從用戶終端110接收的數(shù)據(jù)進行加密之后，可使用第二加密密鑰再次對其進行加密。此外，在使用第一加密密鑰對從VPN服務(wù)器140接收的數(shù)據(jù)進行加密之后，也可使用第三加密密鑰對其進行加密。也就是說，安全處理單元440可發(fā)送和接收再加密的數(shù)據(jù)。當從用戶終端110接收到訪問VPN服務(wù)器的請求時，連接管理單元450基于認證數(shù)據(jù)庫130的信息確定將與用戶終端110連接的VPN服務(wù)器140，其中，對應(yīng)于多個VPN服務(wù)器140中的每一個VPN服務(wù)器而被允許訪問的至少一個用戶終端110的信息相關(guān)聯(lián)地被存儲在認證數(shù)據(jù)庫130中。對應(yīng)于多個VPN服務(wù)器140中的每一個VPN服務(wù)器而被允許訪問的至少一個用戶終端Iio的信息被事先存儲在認證數(shù)據(jù)庫130中，或者可通過從VPN服務(wù)器140傳送而存儲在認證數(shù)據(jù)庫130中。此外，具有相同的被允許訪問的至少一個用戶終端110的信息的多個VPN服務(wù)器140具有相同的識別信息，并具有彼此不同的所述識別信息的子識別信息。在這種情況下，當從用戶終端110接收到訪問VPN服務(wù)器140的請求時，連接管理單元450確定將要與用戶終端110連接的VPN服務(wù)器140，以在具有相同的識別信息的VPN服務(wù)器140之間均勻地分配由用戶終端110和VPN服務(wù)器140之間的連接引起的負荷。表I是表示能夠與具有相同的VPN識別信息和彼此不同的VPN子識別信息的VPN服務(wù)器140連接的用戶終端的表。[表 I]
權(quán)利要求
1.一種虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，從虛擬專用網(wǎng)絡(luò)VPN服務(wù)器接收向用戶終端提供專用網(wǎng)絡(luò)的訪問的第一公共密鑰且從用戶終端接收第二公共密鑰，其特征在于，包括存儲單元，存儲所述第一公共密鑰和所述第二公共密鑰；認證單元，利用所述第一公共密鑰認證VPN服務(wù)器，利用所述第二公共密鑰認證所述用戶終端；通道管理單元，基于通過所述認證單元的所述VPN服務(wù)器的認證結(jié)果生成在所述VPN 服務(wù)器和所述VPN服務(wù)設(shè)備之間中繼數(shù)據(jù)的第一 VPN通道，基于通過所述認證單元的所述用戶終端的認證結(jié)果生成在所述VPN服務(wù)設(shè)備和所述用戶終端之間中繼數(shù)據(jù)的第二 VPN通道，并在所述用戶終端和所述VPN服務(wù)器之間中繼數(shù)據(jù)。
2.如權(quán)利要求1所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，使用在所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰對通過所述第一 VPN 通道和所述第二 VPN通道在所述用戶終端和所述VPN服務(wù)器之間被中繼的數(shù)據(jù)進行加密。
3.如權(quán)利要求1或2所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，還包括安全處理單元，在使用在所述用戶終端和所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間設(shè)定的第二加密密鑰對從所述用戶終端接收的數(shù)據(jù)進行解密之后，使用所述VPN服務(wù)器和所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間設(shè)定的第三加密密鑰對解密后的數(shù)據(jù)進行加密，并將加密的數(shù)據(jù)發(fā)送到所述VPN服務(wù)器，在使用所述第三加密密鑰對從所述VPN服務(wù)器接收的數(shù)據(jù)進行解密之后，使用所述第二加密密鑰對解密后的數(shù)據(jù)進行加密，并將加密的數(shù)據(jù)發(fā)送到所述用戶終端。
4.如權(quán)利要求1所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，還包括連接管理單元，當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，基于認證數(shù)據(jù)庫的信息確定將與所述用戶終端連接的VPN服務(wù)器。
5.如權(quán)利要求1所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，還包括連接管理單元，當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，確定將與所述用戶終端連接的VPN服務(wù)器，且使得由用戶終端和VPN服務(wù)器之間的訪問引起的負荷在具有相同的識別信息的VPN服務(wù)器之間被均勻地分配。
6.如權(quán)利要求5所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，所述具有相同的識別信息的多個VPN服務(wù)器具有不同的子識別信息。
7.如權(quán)利要求1所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，還包括路由單元，當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，將所述用戶終端的路由路徑設(shè)定為連接到與所述用戶終端能夠訪問的VPN服務(wù)器生成所述第一 VPN通道的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備。
8.如權(quán)利要求1所述的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，其特征在于，所述通道管理單元通過所述第二 VPN通道從所述用戶終端接收第三公共密鑰，通過所述第一 VPN通道將所述第三公共密鑰發(fā)送到所述VPN服務(wù)器。
9.一種虛擬專用網(wǎng)絡(luò)服務(wù)方法，通過虛擬專用網(wǎng)絡(luò)VPN服務(wù)器向用戶終端提供專用網(wǎng)絡(luò)的訪問，其特征在于，包括如下步驟使用從所述VPN服務(wù)器接收的第一公共密鑰認證VPN服務(wù)器；利用從所述用戶終端接收的第二公共密鑰認證所述用戶終端；生成在VPN服務(wù)器和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第一 VPN通道和在用戶終端和虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第二 VPN通道；所述第一 VPN通道基于針對VPN服務(wù)器的認證結(jié)果中繼從VPN服務(wù)器接收或發(fā)送到所述VPN服務(wù)器的數(shù)據(jù)，所述第二 VPN通道基于針對所述用戶終端的認證結(jié)果中繼從所述用戶終端接收或發(fā)送到所述用戶終端的數(shù)據(jù)。
10.如權(quán)利要求9所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，通過所述第一 VPN通道和所述第二 VPN通道在所述用戶終端和所述VPN服務(wù)器之間發(fā)送和接收的數(shù)據(jù)是使用在所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰進行加密的數(shù)據(jù)。
11.如權(quán)利要求9或10所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，還包括如下步驟: 使用在所述用戶終端和所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間設(shè)定的第二加密密鑰對從所述用戶終端接收的數(shù)據(jù)進行解密；使用所述VPN服務(wù)器和所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間設(shè)定的第三加密密鑰對使用第二加密密鑰進行解密的數(shù)據(jù)進行加密；將使用第三加密密鑰進行加密的數(shù)據(jù)發(fā)送到所述VPN服務(wù)器；使用所述第三加密密鑰對從所述VPN服務(wù)器接收的數(shù)據(jù)進行解密之后，使用所述第二加密密鑰對解密后的數(shù)據(jù)進行加密；將使用第二加密密鑰進行加密的數(shù)據(jù)發(fā)送到所述用戶終端。
12.如權(quán)利要求9所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，還包括當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，基于認證數(shù)據(jù)庫的信息確定將與所述用戶終端連接的VPN服務(wù)器。
13.如權(quán)利要求9所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，還包括當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，確定將與所述用戶終端連接的 VPN服務(wù)器，且使得由用戶終端和VPN服務(wù)器之間的訪問弓丨起的負荷在具有相同的識別信息的VPN服務(wù)器之間被均勻地分配。
14.如權(quán)利要求13所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，所述具有相同的識別信息的多個VPN服務(wù)器具有不同的子識別信息。
15.如權(quán)利要求9所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，還包括當從所述用戶終端接收到訪問VPN服務(wù)器的請求時，將所述用戶終端的路由路徑設(shè)定為連接到與所述用戶終端能夠訪問的VPN服務(wù)器生成所述第一 VPN通道的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備。
16.如權(quán)利要求9所述的虛擬專用網(wǎng)絡(luò)服務(wù)方法，其特征在于，還包括通過所述第二 VPN通道從所述用戶終端接收第三公共密鑰，通過所述第一 VPN通道將所述第三公共密鑰發(fā)送到所述VPN服務(wù)器。
17.—種虛擬專用網(wǎng)絡(luò)提供設(shè)備，用于向用戶終端提供專用網(wǎng)絡(luò)的訪問，其特征在于， 包括VPN密鑰管理單元，在生成第一公共密鑰和第一私有密鑰之后，將所述第一公共密鑰登記于在所述用戶終端和VPN服務(wù)器之間中繼數(shù)據(jù)的發(fā)送和接收的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備中，并處理所述用戶終端生成的第二公共密鑰的登記；VPN認證單元，使用第二公共密鑰認證所述用戶終端；VPN數(shù)據(jù)收發(fā)單元，通過第一 VPN通道和第二 VPN通道與所述用戶終端進行數(shù)據(jù)的發(fā)送和接收，其中，在第一 VPN通道中數(shù)據(jù)在使用所述第一公共密鑰認證所述虛擬專用網(wǎng)絡(luò)提供設(shè)備的所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和VPN服務(wù)器之間傳輸，在第二 VPN通道中數(shù)據(jù)在由所述VPN認證單元認證的用戶終端和所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備之間傳輸。
18.如權(quán)利要求17所述的虛擬專用網(wǎng)絡(luò)提供設(shè)備，其特征在于，使用所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰對通過所述VPN數(shù)據(jù)收發(fā)單元發(fā)送到所述用戶終端的數(shù)據(jù)進行加密，并使用所述第一加密密鑰對從所述用戶終端接收的數(shù)據(jù)進行解密。
19.如權(quán)利要求17所述的虛擬專用網(wǎng)絡(luò)提供設(shè)備，其特征在于，還包括VPN安全處理單元，在使用所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰對發(fā)送到所述用戶終端的數(shù)據(jù)進行加密之后，使用虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和用戶終端之間設(shè)定的第二加密密鑰對加密的數(shù)據(jù)進行再加密，在使用所述第二加密密鑰對從用戶終端接收的數(shù)據(jù)進行解密之后，使用所述第一加密密鑰對解密的數(shù)據(jù)進行再解密。
20.一種虛擬專用網(wǎng)絡(luò)提供方法，在虛擬專用網(wǎng)絡(luò)提供設(shè)備中實現(xiàn)，且通過中繼從用戶終端接收的或發(fā)送到所述用戶終端的數(shù)據(jù)的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備，允許所述用戶終端訪問專用網(wǎng)絡(luò)，其特征在于，包括生成第一公共密鑰和第一私有密鑰；將所述第一公共密鑰登記在所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備中；處理所述用戶終端生成的第二公共密鑰的登記；使用第二公共密鑰認證所述用戶終端；通過使用所述第一公共密鑰認證所述虛擬專用網(wǎng)絡(luò)提供設(shè)備的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和所述VPN服務(wù)器以及所述用戶終端之間生成的VPN通道，經(jīng)由所述虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備從所述用戶終端接收數(shù)據(jù)或?qū)?shù)據(jù)發(fā)送到所述用戶終端。
21.如權(quán)利要求20所述的虛擬專用網(wǎng)絡(luò)提供方法，其特征在于，使用所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰對發(fā)送到所述用戶終端的數(shù)據(jù)進行加密，并使用所述第一加密密鑰對從所述用戶終端接收的數(shù)據(jù)進行解密。
22.如權(quán)利要求20所述的虛擬專用網(wǎng)絡(luò)提供方法，其特征在于，還包括在使用所述用戶終端和所述VPN服務(wù)器之間設(shè)定的第一加密密鑰對發(fā)送到所述用戶終端的數(shù)據(jù)進行加密之后，使用虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和用戶終端之間設(shè)定的第二加密密鑰對加密的數(shù)據(jù)進行再加密，在使用所述第二加密密鑰對從用戶終端接收的數(shù)據(jù)進行解密之后，使用所述第一加密密鑰對解密的數(shù)據(jù)進行再解密。
全文摘要
提供了一種基于相互認證的虛擬專用網(wǎng)絡(luò)服務(wù)設(shè)備和方法。存儲單元存儲由向用戶終端提供專用網(wǎng)絡(luò)的訪問的虛擬專用網(wǎng)絡(luò)(VPN)服務(wù)器生成的第一公共密鑰和用戶終端生成的第二公共密鑰。認證單元利用第一公共密鑰認證VPN服務(wù)器，利用第二公共密鑰認證用戶終端。通道管理單元，生成在由認證單元認證的VPN服務(wù)器和VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第一VPN通道，生成在由認證單元認證的用戶終端和VPN服務(wù)設(shè)備之間傳輸數(shù)據(jù)的第二VPN通道，并在用戶終端和VPN服務(wù)器之間中繼數(shù)據(jù)的發(fā)送和接收。根據(jù)本發(fā)明，將VPN服務(wù)分離為相互認證的層，從而可構(gòu)建在維持可靠性和安全性的同時具有高擴展性和負荷分散的效果的VPN服務(wù)。
文檔編號H04L29/06GK103036867SQ201210371379
公開日2013年4月10日 申請日期2012年9月28日 優(yōu)先權(quán)日2011年9月28日
發(fā)明者李錫珉, 全南守, 南承祐, 金鎮(zhèn)龍 申請人:三星Sds株式會社