[發明專利]服務器發起的安全網絡連接

有效

• 申請號: 200810095095.4
• 申請日: 2008-05-05
• 公開（公告）號: CN101437022A
• 公開（公告）日: 2009-05-20
• 發明（設計）人: 肯特·A·沃森;西蒙·J·杰拉泰;保羅·弗雷利;菲利普·A·謝弗;達雷恩·湯姆
• 申請（專利權）人: 叢林網絡公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/36
• 代理公司: 北京康信知識產權代理有限責任公司
• 代理人: 余 剛;尚志峰

1.一種用于在通信會話期間轉換角色的方法，所述方法包括：

用管理裝置接收初始傳輸控制協議(TCP)同步(SYN) 數據包，所述初始傳輸控制協議同步數據包由作為TCP客戶 端的被管理裝置輸出，以請求發起所述管理裝置和所述被管理 裝置之間的TCP會話；

從所述管理裝置輸出TCP同步確認(SYN-ACK)的數據 包，以使所述管理裝置作為TCP服務器接受所述TCP會話；

在建立所述TCP會話之后并且在所述TCP會話上建立任 何附加通信協議之前，用所述管理裝置接收由所述被管理裝置 輸出的角色顛倒消息，所述角色顛倒消息指定被管理裝置ID， 并且基于所述被管理裝置ID，用所述管理裝置定位所述被管 理裝置的記錄，以驗證所述被管理裝置；以及

基于所述被管理裝置的驗證，用所述管理裝置根據安全 外殼(SSH)協議通過所述TCP會話發起安全外殼(SSH)連 接，以便使所述管理裝置充當所述安全外殼協議的客戶端，而 所述被管理裝置充當所述安全外殼(SSH)協議的服務器。

2.根據權利要求1所述的方法，其中，所述安全外殼協議應用非 對稱驗證方案來建立所述管理裝置與所述被管理裝置之間的 安全連接。

3.根據權利要求2所述的方法，其中，所述安全外殼協議通過要 求充當安全外殼客戶端的所述管理裝置將用戶名和密碼驗證 信息提供給充當安全外殼服務器的所述被管理裝置來應用非 對稱驗證方案。

4.根據權利要求1所述的方法，其中，接收所述初始傳輸控制協 議同步(TCP?SYN)數據包包括：用所述管理裝置從安全裝 置接收由所述被管理裝置輸出的所述初始傳輸控制協議同步 數據包，所述安全裝置將所述被管理裝置與所述管理裝置分 離。

5.根據權利要求4所述的方法，其中，接收所述初始傳輸控制協 議同步數據包還包括：用所述管理裝置接收由所述被管理裝置 輸出的初始傳輸控制協議同步數據包，且依據所述初始傳輸控 制協議同步數據包，所述安全裝置通過重寫所述傳輸控制協議 同步數據包的源網際協議(IP)地址字段來執行網絡地址轉換， 以使所述源網際協議(IP)地址字段指定公共IP地址，而非 被分配到所述被管理裝置的專用IP地址。

6.根據權利要求4所述的方法，其中，接收所述角色顛倒消息包 括：用所述管理裝置從所述安全裝置接收用于指定所述被管理 裝置ID的所述角色顛倒消息。

7.根據權利要求4所述的方法，其中，發起所述安全外殼連接包 括：一旦接收到所述角色顛倒消息，就利用所述管理裝置通過 所述安全裝置，來根據所述安全外殼協議通過所述TCP會話 發起所述安全外殼連接，從而所述管理裝置充當所述安全外殼 協議的所述客戶端而所述被管理裝置充當所述安全外殼協議 的所述服務器。

8.根據權利要求7所述的方法，還包括：用所述管理裝置接收多 個SSH消息，所述安全裝置根據所述SSH消息執行網絡地址 轉換，其中，所述安全裝置通過重寫所述SSH消息的源網際 協議(IP)地址字段來執行網絡地址轉換，以使所述源網際協 議(IP)地址字段指定公共網際協議(IP)地址，而非被分配 到所述被管理裝置的專用網際協議(IP)地址。

9.根據權利要求1所述的方法，

其中，接收所述初始傳輸控制協議同步數據包包括：接 收由作為所述TCP客戶端的被管理裝置輸出的所述初始傳輸 控制協議同步(TCP?SYN)數據包，以作為發起所述管理裝 置和所述被管理裝置之間的持續TCP會話、周期TCP會話、 以及按需TCP會話之一的請求，以及

其中，發起所述安全外殼(SSH)連接包括：通過所述持 續TCP會話、所述周期TCP會話、和所述按需TCP會話中的 一個發起所述安全外殼連接。

10.根據權利要求1所述的方法，其中，接收所述角色顛倒消息包 括：用所述管理裝置接收用于指定消息標識符(ID)、消息版 本、裝置ID、主機密鑰、以及鍵入散列(keyed-hash)消息驗 證碼(HMAC)中的三個或更多個的角色顛倒消息。