CN101095134A - 自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法 - Google Patents

自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法 Download PDF

Info

Publication number
CN101095134A
CN101095134A CNA2005800155622A CN200580015562A CN101095134A CN 101095134 A CN101095134 A CN 101095134A CN A2005800155622 A CNA2005800155622 A CN A2005800155622A CN 200580015562 A CN200580015562 A CN 200580015562A CN 101095134 A CN101095134 A CN 101095134A
Authority
CN
China
Prior art keywords
client computer
server
computing machine
party
bag
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2005800155622A
Other languages
English (en)
Inventor
布赖恩·吉莱斯皮
赫尔穆特·萨门
大卫·特雷西
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
XDS Inc
Original Assignee
XDS Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by XDS Inc filed Critical XDS Inc
Publication of CN101095134A publication Critical patent/CN101095134A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/256—NAT traversal
    • H04L61/2567—NAT traversal for reachability, e.g. inquiring the address of a correspondent behind a NAT server
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Abstract

使用会话控制服务器(SCS)自动且动态地发起和建立服务器和客户机之间的安全连接的系统和方法。服务器和客户机均通过网络地址转换器或转换(NAT)路由器或防火墙连接到不受信任网络(如因特网)。服务器和客户机均独立信任的SCS作为中间方来约定所需的连接参数，以建立服务器和客户机之间的安全连接。该系统和方法不需要在客户机上进行任何用户配置并且无需服务器接受来自客户机的直接的连接请求或包，由此允许服务器防火墙对所有入站业务总是保持关闭。

Description

自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法
相关申请
本申请要求2004年4月12日提交的美国临时专利申请No.60/561,806的优先权，其全部内容通过参考结合于此。
技术领域
本发明涉及计算机组网和网络安全领域。更具体而言，本发明涉及自动且动态地发起和建立一个计算机(即服务器)和多个计算机(即客户机)之间的安全连接的方法，所述计算机中的每个计算机都在网络地址转换器路由器和/或防火墙之后。
背景技术
因特网在所连接的计算机数量上持续地经历快速的扩展，据估计，广泛可用的无线连接性和便携式计算设备的趋向将使得每天所连接的新计算机的数量呈指数地增加。这种快速扩展迅速提高了保护计算机免于受到未授权接入的损害的需要，并且已经开始导致因特网网络本身的许多可升级能力问题。例如，互联网协议版本4(IPv4)使用32位IP(互联网协议)地址，这意味着因特网上计算机的理论最大数量是大约40亿。然而，由于在如何分配和路由IP地址方面的低效，实际的极限值是非常低的。因此，IPv4不能为当前因特网的扩展提供足够的唯一地址。较新版本的网络协议(IPv6)使用128位地址空间，并因此提供较大数量的IP地址，当然，在其被广泛采用以前，已使用其它技术来克服IPv4的地址限制并提供对因特网连接的计算机的安全保护。
现今广泛使用的一种这样的解决方案是网络地址转换(NAT)，其中仅当用户的计算机需要从内部网络伸出并连接到诸如，举例而言，Web服务器的公共因特网服务器时，才将内部网络，诸如AOL或其它因特网服务提供商(ISP)上所使用的私有地址转换成公有IP地址。假定任何一个时刻在因特网上通信的计算机的数量比连接但未激活的计算机的总数低得多，通过NAT仅向当前通信的计算机分配公有IP地址，由此降低了所需的IP地址数量。该方案还由于为NAT路由器或防火墙之后的计算机提供的匿名而提供了附加的安全性，通过从因特网发起的连接无法到达在NAT路由器或防火墙之后被提供匿名的计算机。
NAT路由器主要围绕客户机/服务器模式来设计，这里，私有网络内的客户机发起到具有固定的IP地址和域名服务或服务器(DNS)名称的公用服务器的连接。
NAT路由器之后的内部主机的匿名和不可访问性对于诸如web浏览器的客户机软件并不是问题，其只需要发起外出到公共可用的服务器的连接。然而，对于需要服务器通过穿过其NAT路由器的进入的连接安全地连接到客户机的应用，如文件共享、游戏应用、视频会议、IP互联网承载语音电话，或者对于到不允许客户机从互联网直接连接到它们的计算机服务器的安全接入，这是个问题。
当这些计算机中的一个在NAT路由器之后时，如果不使用专门技术和连接类型、位置、服务或NAT路由器/防火墙类型的每个变化所需的通常是复杂的人工配置，其它计算机不能连接到该计算机。
因此，NAT所建立的寻址和连接性的非对称特性的确产生了许多问题：a)将广泛可用的互联网服务的安全性限制到仅出站的应用，如万维网；以及b)将潜在地对大消费者市场有吸引力的许多附加互联网应用和服务的可使用性和大量市场可用性限制到能够管理当前可用的NAT和NAT穿透技术强加的复杂的配置和系统管理要求的较小数量的专业训练的用户。
发明内容
因此，本发明的目的是提供克服上述缺点的自动发起和动态建立服务器和客户机之间的因特网连接的方法和系统。
根据本发明的一个实施例，所述方法和系统自动且动态地发起和建立服务器和有防火墙的客户设备(客户机)之间的连接，优选为受保护的连接，所述服务器和客户设备均通过网络地址转换器或转换(NAT)路由器或防火墙连接到不受信任的网络(如因特网)。本发明的安全连接的发起和建立无需在客户机上进行任何用户配置并且无需服务器接受来自客户机的任何直接的连接请求和/或包，由此有利地允许服务器防火墙对所有入站业务(inbound traffic)总是保持关闭。
本发明使得能够在因特网上创建动态实例化的虚拟点对点网络连接以根据需要安全地连接服务器和客户机，由此有利地以前所未有的易用性为一般用户提供对服务器的单一动作接入(如一次鼠标点击，或通电或网络插入动作)。
根据本发明的一个实施例，上述方法和系统利用服务器和客户机均独立信任的具有公有IP地址的第三计算机，例如受信任方，如会话控制服务器(SCS)，作为中间方来安全地约定建立服务器和客户机之间的连接所需的连接参数，所述连接优选为安全连接。SCS仅参与服务器/客户机连接建立，而不参与服务器和客户机之间的后续通信(即消息交换)。因此，本发明避免了与中继和在此讨论的其它基于服务器的技术关联的性能和安全问题。
客户机将包含其自身地址和随机产生的唯一标识符(针对到每个服务器的每个客户机连接请求是不同的)的连接请求发送到SCS，由此向SCS提供了客户机的连接参数，否则这些连接参数会被NAT路由器和/或由防火墙隐藏。可将客户机编程为在通电时、连接到任何新的有NAT的网络时、其网络参数发生任何变化时总是自动执行该步骤，由此在无需任何用户配置或干预的情况下提供了与服务器的安全连接的自动和动态发起/建立和重新建立。
然后SCS为客户机和服务器的每一个提供各自的连接参数，然后这些参数在它们之间安全地交换，使得首先客户机的连接参数被递送给服务器并被服务器唯一地识别，且最后在成功地完成先前步骤时，服务器通过客户机的NAT路由器或防火墙发起到客户机的安全连接，由此使得能够通过安全地克服客户机NAT路由器或防火墙强加的入站业务限制而建立外部发起的连接，并且允许服务器保持其自己的NAT路由器/防火墙对所有来自不受信任网络的入站业务关闭。
根据本发明的一个实施例，一种用于自动发起和动态建立经由不受信任网络的安全连接的系统包括：客户设备，通过防火墙或网络地址转换器(NAT)路由器连接到不受信任网络；服务器，通过防火墙连接到不受信任网络并且不接受来自任何客户设备的直接的连接请求或包；以及受信任计算机，连接到不受信任网络，用于在服务器和客户设备之间交换连接参数而无需对客户设备进行配置。客户设备经由受信任计算机接收来自服务器的唯一连接标识符。服务器的防火墙从客户设备接收包括所述唯一连接标识符的未经请求的包以动态建立客户设备和服务器之间的临时映射。如果自客户设备接收的未经请求的包中的唯一连接标识符与所存储的唯一连接标识符匹配，则服务器使用动态建立的临时映射经由不受信任网络向客户设备发送响应包，由此通过NAT路由器建立服务器和客户设备之间的安全连接。
为了理解本发明，必需理解即使利用计算机安全方面的所有进步，因特网仍然是固有地不安全的环境，因为难以使“易用性”问题和受信任的接入单元相协调。通过提供消除了欺骗性用户假扮合法用户的可能性的方法途径，本发明切中问题的要害，同时本发明没有增加、而事实上是消除了一般用户会觉得是负担的许多单元。
以上相当广泛地概括了本发明的特点和技术优点以便于较好地理解以下对本发明的详述。以下将描述本发明的附加特点和优点，其形成了本发明的权利要求的主题。本领域的技术人员应理解，所公开的特定概念和实施例可以容易地用作修改或设计实现本发明的相同目的的其它结构的基础。本领域的技术人员亦应认识到，这样的等同构造并不背离在所附权利要求中所提出的本发明的实质和范围。结合附图考虑以下描述将会更好地理解被认为是本发明特性的，关于其组织和操作方法的新特征，以及进一步的目的和优点。然而，应当清楚地理解，每个图都仅用来图示和描述，而并非对本发明的限制。
附图说明
可参照在此通过举例给出且并非意图使本发明仅限于此的描述来理解本发明，而结合附图可得到对本发明的最佳理解，在附图中：
图1是示出在NAT或防火墙之后的连接到不受信任网络的各个计算机的示例性框图；并且
图2-8是示出根据本发明的一个实施例自动发起和动态建立服务器和客户机之间的连接的步骤的示例性框图，其中，服务器和客户机的每一个均处于防火墙或NAT路由器之后。
具体实施方式
根据本发明的一个实施例，所述系统和方法自动且动态地发起并建立服务器和有防火墙的客户设备之间的连接，优选为安全连接。现在转到图1，所示为服务器1100和客户设备(客户机1200)，两者通过网络地址转换器或转换(NAT)路由器或防火墙1300连接到不受信任网络1000(如因特网)。服务器和客户机之间的连接在不要求在客户机1200上进行任何用户配置并且服务器1100未接受来自客户机1200的任何直接的连接请求和/或包的情况下被发起和建立，由此允许服务器防火墙1300对所有入站业务总是保持关闭。
根据一个实施例，本发明利用具有公有IP地址的第三计算机1400，例如诸如会话控制服务器(SCS)的受信任方，该第三计算机1400被服务器1100和客户机1200两者独立地信任且安全地连接到该两者。客户机1200将包括其自身地址和随机产生的唯一标识符(针对向服务器的每个客户机连接请求是不同的)的连接请求发送到SCS 1400，由此向SCS1400提供客户机的连接参数，否则这些连接参数会由NAT路由器1300和/或由防火墙1300隐藏。根据本发明的一个方面，可将客户机1200编程为在通电时、连接到任何新的有NAT的网络时、其网络参数发生任何变化时总是自动执行该步骤，由此提供与服务器1100的安全连接的自动和动态发起/建立和重新建立，而无需任何用户配置或干预。
SCS1400为客户机1200和服务器1100的每一个提供各自的连接参数，然后这些参数在它们之间安全地交换，使得首先客户机的连接参数递送给服务器1100并被服务器1100唯一地识别，且最后在成功地完成先前步骤时，服务器1100通过客户机的NAT路由器或防火墙1300发起到客户机1200的安全连接，由此使得能够通过安全地克服客户机NAT路由器或防火墙1300强加的入站业务限制而建立外部发起的连接，并且允许服务器1100保持其自己的NAT路由器/防火墙1300对来自不受信任网络的所有入站业务关闭。
SCS仅参与服务器/客户机连接建立，而不参与服务器和客户机之间的后续通信(即消息交换)。因此，本发明避免了与中继和其它基于服务器的技术关联的性能和安全问题。
中继技术是客户机-服务器通信的一种改变形式，并且依赖于两个客户机，所述两个客户机使用它们两者都可连接到的、具有公有IP地址的服务器。NAT路由器之后的这两个客户机彼此之间不能进行直接连接，但每一个可与具有公有IP地址的服务器进行连接。该服务器然后充当中继并且将消息从一个客户机转发到另一个客户机。该方法的缺点在于，由于依赖服务器来中继客户机之间的所有通信，其需要使用服务器的可用处理能力和可用网络带宽来连接客户机，因此其性能和可升级能力性依赖于这些参数。此外，不断地在服务器上进行客户机间数据通信的拷贝，由此会产生附加的安全威胁。
UDP穿孔技术基于允许应用“穿孔”通过NAT路由器并且建立彼此之间的直接连接的防火墙的一般特性。
根据本发明的一个示例性实施例，以下描述用于自动发起和建立NAT路由器或防火墙1300之后的服务器1100和客户机1200之间的经由不受信任网络1000的安全连接的系统、方法和计算机指令。应理解在此描述的所有交互都发生在诸如因特网的不受信任网络1100上。亦应理解，在此描述的所有交互可能发生在非安全连接上。现在结合图2-8描述根据本发明一个示例性实施例的到服务器1100的自动和动态客户侧连接。
如图2所示，在步骤2000，服务器1100发起和建立(或永久保持)到SCS 1400的安全连接。根据本发明的一个方面，该连接可在诸如具有IPSEC的网络工作层(OSI层3)上形成。根据本发明的另一个方面，该安全连接可使用诸如具有安全套接层(SSL)的应用层(OSI层7)机制。服务器1100和SCS1400之间的所有后续通信都可以在该安全通信信道上进行。
如图3所述，在步骤2010，客户机1200发起与SCS 1400的安全连接。根据本发明的一个方面，该安全连接可使用诸如具有安全套接层(SSL)的应用层(OSI层7)机制。客户机1200和SCS 1400之间的所有后续通信都可以在该安全通信通道上进行。
如图4所示，在步骤2020，客户机1200向SCS 1400发送请求以便被连接到期望的服务器1100。这可以是诸如用户请求的客户机发起事件的结果，或者可将客户机1200编程为在通电时、连接到任何新的有NAT的网络时、其网络参数发生任何变化时总是自动执行该步骤，由此提供与服务器1100的安全连接的自动和动态发起/建立和重新建立，而无需任何用户配置或干预。
在步骤2030，SCS 1400向服务器发送包括指定目的地入站端口、客户机NAT公有地址的唯一标签，并且从服务器1400接收随机产生的连接标识符(ID)。应理解，根据本发明的一个实施例，服务器1100所提供的目的地入站端口在发起、建立和使用与客户机1200的安全连接的整个过程中保持关闭。如图5所示，通过使用该SCS提供的信息，服务器1100对将可能由服务器1100建立的到客户机1200的连接的其自己的一端进行配置。该配置的特性依赖于将建立的安全连接的特性，然而通常会涉及一些密钥产生和交换。例如，根据本发明的一个方面，该安全连接可在诸如具有IPSEC的网络工作层(OSI层3)上形成。根据本发明的另一个方面，该安全连接可使用诸如具有安全套接层(SSL)的应用层(OSI层7)机制。
如图6所示，在步骤2040，SCS 1400指示客户机1200将包含所述ID的未经请求的UDP或TCP包发送到服务器提供的IP地址和目的地端口。SCS 1400对将可能由服务器1100建立的到客户机1200的安全连接的客户机端进行配置。对于客户机侧，该配置的特性依赖于将形成的安全连接的特性，然而通常会涉及一些密钥产生和交换。例如，根据本发明的一个方面，该安全连接可使用诸如具有安全套接层(SSL)的应用层(OSI层7)机制。
在步骤2050，客户机1200将UDP或TCP包发送到SCS 1400所提供的服务器IP地址和目的地端口。应理解服务器1100和服务器的防火墙1300仍保持对客户机1200关闭。由此，在步骤2050，在客户机NAT路由器1300中建立客户机1200和服务器1100之间的临时映射。该映射包括客户机的真实IP地址和源端口(私有侧)和NAT假扮的客户机IP地址和源端口(公有侧)之间的转换。在形成之后，该映射将在一小段时间内保持有效，由此允许服务器1100在已经创建的映射的指定的时间帧内根据那个映射直接连接到客户机1200。
在步骤2050，服务器的防火墙1300看见所述UDP或TCP包，将其中的ID和NAT公有地址与它从SCS 1400接收到的ID和NAT公有地址进行比较。如果匹配，则服务器的防火墙1300向服务器1100通知该事件。在步骤2050，服务器的防火墙1300则总是丢掉未经请求的包，即该包从不进入服务器的IP堆栈，如图7所述。服务器的防火墙1300继续检查指定目的地端口上的进入包以察看它们是否为询问包。根据本发明的一个实施例，服务器的防火墙1300检查标签的所有三个元素以提防安全攻击，如冒充真实客户机1200的主机的连接请求。服务器的防火墙1300将仅考虑来自NAT公有地址、去往指定目的地端口并且包含随机生成的ID的包。作为进一步的安全保证，作为该技术的一部分，可对UDP/TCP包进行加密。
在步骤2060，服务器1100使用由服务器的防火墙1300转发的源端口来发起到客户机1200的UDP或TCP连接。应理解，在步骤2050创建的NAT映射保持合理的一段时间(在收到UDP或TCP包后至少几秒钟，当然可能更长)。根据本发明的一个方面，参见图8，在步骤2060，服务器1100可以以此方式通过NAT连接到客户机。
本领域的技术人员将理解，客户机1200在其网络地址参数变化时，如在客户机1200移动到不同的连接位置时，将自动地连接以及动态地重新连接到服务器1100，除了单一用户动作如通电、一次鼠标点击或一次键击以外无需任何用户干预。因此，应理解，借助于本发明的实施例，将客户机1200连接到服务器1100不要求客户机1200知道任何用户信息或处理或执行任何用户功能。
举例来说，根据本发明的一个实施例，人们将理解本发明适用于通过TCP/SSL建立服务器1100和无状态客户机1200之间经由互联网的安全连接。无状态客户机1200通常定义为不执行任何用户功能或包含任何用户数据的计算机。更确切地，无状态客户机1200可构建为包括CPU、存储器、帧缓冲器和网络端口、鼠标和键盘输入和可选的IO端口的网络设备。它由内置的软件来操作，仅执行网络和显示管理固定功能，且不允许任何对其它软件的下载或执行。它不运行任何应用程序。其唯一的用途是作为远程人接口设备。所述内置软件实现网络堆栈以允许经由类似因特网的网络与服务器通信。
客户机的无状态性是在于人与应用交互的情景，或所有的执行都是在服务器侧进行的计算环境。在任何时刻都没有应用状态或数据驻留在客户机中。它所具有的唯一状态具有临时特性并且与网络连接性有关，即TCP连接状态。根据一个实施例，本发明仅使用在TCP上实现安全套接层(SSL)的无状态客户机的网络堆栈，如在此详细描述的，并因此实现了在任何情况下不能执行任何用户功能的无状态客户机1200和服务器1100之间的安全连接的自动和动态建立。
无状态客户机1200经由TCP/SSL自动连接到SCS 1400并且通过新建立的连接发送所请求的服务器1100的名称。
SCS 1400检测来自套接连接的无状态客户机IP地址。SCS 1400读取所请求的服务器名称并确定其是否具有到所需服务器1100的连接。如果SCS 1400没有这样的到所需服务器1100的连接，则SCS 1400或者等待直到它获得这样的连接，或者指示无状态客户机1200稍后重试。如果服务器1100连接到SCS 1400，则SCS 1400将无状态客户机IP地址发送到服务器1100。服务器1100读取该无状态客户机地址，生成唯一的32位随机数标识符(所述ID)并且将该ID连同其IP地址和端口发送到SCS 1400。然后服务器1100指示其防火墙1300探测具有设置给所述ID的值的初始序列号的来自无状态客户机的公有IP地址的“TCPSYN”(TCP连接请求)包。
同时，SCS 1400将服务器IP地址、端口和ID转发到无状态客户机1200。此时，无状态客户机1200产生到服务器IP地址和端口的未经请求的TCP连接请求，该请求具有设置给所述ID的值的初始序列号。该外出的包将准备(prime)在去往服务器1100的途中的任何NAT，并且还将服务器IP地址和端口以及所述ID保存在无状态客户机的网络堆栈的底部的SEQ转换器层中。一旦这样的包到达服务器1100，服务器的防火墙1300就查找匹配并且执行以下三个任务：a)存储无状态客户机地址/端口、服务器地址/端口和序列号；b)通知服务器1100并提供无状态客户机公用端口；以及c)丢掉该包。
现在服务器1100打开将穿过服务器防火墙1300的到无状态客户机IP/端口的TCP连接。服务器的防火墙1300看见外出TCP连接请求(设置SYN旗标)，找到匹配并且设置TCP ACK旗标和确认号。在外部，应理解该包看起来象是对自无状态客户机1200接收的未经请求的TCP连接请求的响应，并且它通过NAT网关传送回到无状态客户机1200。
在此包到达无状态客户机1200时，SEQ转换器层对该包进行匹配并且删除TCP ACK旗标，使得无状态客户机TCP堆栈看到来自服务器1100的实际连接请求。
无状态客户机TCP堆栈接受该连接，并以具有SYN和ACK旗标设置两者的TCP包做出响应。该TCP包被删除了SYN旗标并存储了无状态客户机序列号和先前存储的ID之间的差异的SEQ转换器层来匹配。应理解在网络上，该TCP包看起来象是TCP 3-向握手的第三方。
当来自无状态客户机1200的TCP包到达服务器的防火墙1300时，对该TCP包进行匹配并且设置SYN旗标。该TCP包穿过服务器的防火墙1300，因为它是对连接请求的响应。来自服务器1100的实际第三TCP握手包没有变化地穿过，因为它被当做正常的确认包。在无状态客户机1200，每个到达的包获得通过先前存储的序列差异调整的其确认号，并且每个外出的包获得通过该差异调整的其序列号。应理解在服务器110和无状态客户机1200之间的连接的终结时专门的旗标毁坏(flagmangling)并非必需。
尽管已详细描述了本发明及其优点，应理解可在所附权利要求限定的精神和范围内对本发明进行各种变化、替换和更改。而且，本发明的范围并不是想要局限于说明书中所描述的过程、机器、制造、物质组成、装置、方法和步骤的特定实施例。根据本发明的公开内容，本领域的技术人员将理解，可根据本发明来利用现有或以后开发的执行与在此描述的对应实施例基本相同的功能或实现与其基本相同的结果的过程、机器、制造、物质组成、装置、方法或步骤。因此，所附权利要求意图在于在其范围内包括这样的过程、机器、制造、物质组成、装置、方法或步骤。

Claims (31)

1.一种使用服务器和客户机均信任的第三方计算机自动发起和动态建立所述客户机和所述服务器之间的经由不受信任网络的安全连接的方法，所述服务器不接受来自任何客户机的直接的连接请求或包，所述客户机和所述服务器的每一个通过防火墙或网络地址转换器(NAT)路由器连接到所述不受信任网络，所述方法包括如下步骤：
在通电时通过所述客户机的用户的单一动作、在连接到所述不受信任网络时，或在所述客户机的网络参数发生任何变化时，所述客户机向所述第三方计算机自动发送连接请求，所述连接请求包括连接到所述服务器的请求；以及
使用所述第三方计算机经由所述不受信任网络在所述服务器和所述客户机之间交换连接参数，所述连接参数包括唯一连接标识符，以通过与所述客户机关联的NAT路由器建立所述服务器和所述客户机之间的安全连接，由此向所述客户机的所述用户提供到所述服务器的单一动作接入。
2.根据权利要求1所述的方法，进一步包括以下步骤：
与所述服务器关联的防火墙接收来自所述客户机的包括所述唯一连接标识符的未经请求的包，以动态建立所述客户机和所述服务器之间的临时映射；以及
如果确定所述未经请求的包中的所述唯一连接标识符与所存储的唯一连接标识符匹配，则所述服务器使用所述动态建立的临时映射经由所述不受信任网络向所述客户机发送响应包。
3.根据权利要求1所述的方法，进一步包括以下步骤：
所述服务器接收来自所述第三方计算机的所述客户机的目的地入站端口和与所述客户机关联的所述NAT路由器的公有地址；以及
所述服务器将所述服务器的目的地端口和与所述服务器关联的所述防火墙的IP地址以及用于所述客户机的所述唯一连接标识符发送给所述第三方计算机。
4.根据权利要求3所述的方法，进一步包括以下步骤：
所述客户机从所述第三方计算机接收使用所述服务器的所述目的地端口和与所述服务器关联的所述防火墙的所述IP地址将所述未经请求的包发送到所述服务器的指令；以及
如果确定在所述服务器的所述目的地端口上收到来自与所述客户机关联的所述NAT路由器的所述公有地址的所述未经请求的包，则所述服务器向所述客户机发送所述响应包。
5.根据权利要求3所述的方法，进一步包括以下步骤：所述服务器使用自所述第三方计算机接收的所述客户机的所述目的地入站端口发起到所述客户机的所述安全连接。
6.根据权利要求2所述的方法，其中所述接收步骤包括以下步骤：与所述服务器关联的所述防火墙接收来自所述客户机的包括所述唯一连接标识符的未经请求的UDP或TCP包。
7.一种使用服务器和客户机均信任的第三方计算机自动发起和动态建立所述客户机和所述服务器之间的经由不受信任网络的安全连接的方法，所述服务器不接受来自任何客户机的直接的连接请求或包，所述客户机和所述服务器的每一个通过防火墙或网络地址转换器(NAT)连接到所述不受信任网络，所述方法包括如下步骤：
使用所述第三方计算机经由所述不受信任网络在所述服务器和所述客户机之间交换连接参数，所述连接参数包括唯一连接标识符；
与所述服务器关联的防火墙接收来自所述客户机的包括所述唯一连接标识符的未经请求的包，以动态建立所述客户机和所述服务器之间的临时映射；以及
如果确定所述未经请求的包中的所述唯一连接标识符与所存储的唯一连接标识符匹配，则所述服务器使用所述动态建立的临时映射经由所述不受信任网络向所述客户机发送响应包，由此通过与所述客户机关联的NAT路由器建立所述服务器和所述客户机之间的安全连接。
8.根据权利要求7所述的方法，进一步包括以下步骤：
所述服务器从所述第三方计算机接收所述客户机的目的地入站端口和与所述客户机关联的所述NAT路由器的公有地址；以及
所述服务器向所述第三方计算机发送所述服务器的目的地端口和与所述服务器关联的所述防火墙的IP地址以及用于所述客户机的所述唯一连接标识符。
9.根据权利要求8所述的方法，进一步包括以下步骤：
所述客户机从所述第三方计算机接收使用所述服务器的所述目的地端口和与所述服务器关联的所述防火墙的所述IP地址将所述未经请求的包发送到所述服务器的指令；以及
如果确定在所述服务器的所述目的地端口上收到来自与所述客户机关联的所述NAT路由器的所述公有地址的所述未经请求的包，则所述服务器向所述客户机发送所述响应包。
10.根据权利要求8所述的方法，进一步包括以下步骤：所述服务器使用自所述第三方计算机接收的所述客户机的所述目的地入站端口发起到所述客户机的所述安全连接。
11.根据权利要求7所述的方法，其中所述接收步骤包括以下步骤：与所述服务器关联的所述防火墙接收来自所述客户机的包括所述唯一连接标识符的未经请求的UDP或TCP包。
12.根据权利要求7所述的方法，进一步包括以下步骤：所述客户机向所述第三方计算机发送连接请求，所述连接请求包括连接到所述服务器的请求。
13.根据权利要求12所述的方法，进一步包括以下步骤：在所述客户机通电时通过用户的单一动作、在连接到所述不受信任网络时或在所述客户机的网络参数发生任何变化时，所述客户机向所述第三方计算机自动发送所述连接请求，由此向所述客户机的所述用户提供到所述服务器的单一动作接入。
14.一种使用服务器和客户机均信任的第三方计算机自动发起和动态建立所述客户机和所述服务器之间的经由不受信任网络的安全连接的系统，所述服务器不接受来自任何客户机的直接的连接请求或包；其中所述客户机和所述服务器的每一个通过防火墙或网络地址转换器(NAT)连接到所述不受信任网络；其中所述客户机可操作来在通电时通过用户的单一动作、在连接到所述不受信任网络时或在所述客户机的网络参数发生任何变化时，向所述第三方计算机自动发送连接请求，所述连接请求包括连接到所述服务器的请求；并且其中所述服务器和所述客户机可操作来使用所述第三方计算机经由所述不受信任网络交换连接参数，所述连接参数包括唯一连接标识符，以通过与所述客户机关联的NAT路由器建立所述服务器和所述客户机之间的安全连接，由此向所述客户机的所述用户提供到所述服务器的单一动作接入。
15.根据权利要求14所述的系统，其中与所述服务器关联的防火墙可操作来接收来自所述客户机的包括所述唯一连接标识符的未经请求的包，以动态建立所述客户机和所述服务器之间的临时映射；并且其中如果确定所述未经请求的包中的所述唯一连接标识符与所存储的唯一连接标识符匹配，则所述服务器可操作来使用所述动态建立的临时映射经由所述不受信任网络向所述客户机发送响应包。
16.根据权利要求14所述的系统，其中所述服务器可操作来执行根据权利要求1所述的方法，该方法进一步包括以下步骤：
所述服务器接收来自所述第三方计算机的所述客户机的目的地入站端口和与所述客户机关联的所述NAT路由器的公有地址；以及
所述服务器向所述第三方计算机发送所述服务器的目的地端口和与所述服务器关联的所述防火墙的IP地址以及用于所述客户机的所述唯一连接标识符。
17.根据权利要求16所述的系统，其中所述客户机可操作来接收来自所述第三方计算机的使用所述服务器的所述目的地端口和与所述服务器关联的所述防火墙的所述IP地址将所述未经请求的包发送到所述服务器的指令；并且其中如果确定在所述服务器的所述目的地端口上收到来自与所述客户机关联的所述NAT路由器的所述公有地址的所述未经请求的包，则所述服务器可操作来向将所述客户机发送所述响应包。
18.根据权利要求16所述的系统，其中所述服务器可操作来使用来自所述第三方计算机的所述客户机的所述目的地入站端口发起到所述客户机的所述安全连接。
19.根据权利要求15所述的系统，其中所述服务器可操作来接收来自所述客户机的包括所述唯一连接标识符的未经请求的UDP或TCP包。
20.根据权利要求14所述的系统，其中所述客户机是不执行任何用户功能或包含任何用户数据的无状态客户机。
21.根据权利要求14所述的系统，其中所述客户机是单一功能网络感知的消费者设备。
22.根据权利要求21所述的系统，其中所述单一功能网络感知的消费者设备是以下设备中的一种：蜂窝电话、音乐播放器/记录器、视频播放器/记录器、游戏播放器或便携式电子邮件设备。
23.一种使用服务器和客户机均信任的第三方计算机自动发起和动态建立所述客户机和所述服务器之间的经由不受信任网络的安全连接的系统，所述服务器不接受来自任何客户机的直接的连接请求或包；其中所述客户机和所述服务器的每一个通过防火墙或网络地址转换器(NAT)连接到所述不受信任网络；其中所述服务器和所述客户机可操作来使用所述第三方计算机经由所述不受信任网络交换连接参数，所述连接参数包括唯一连接标识符；其中与所述服务器关联的所述防火墙可操作来接收来自所述客户机的包括所述唯一连接标识符的未经请求的包，以动态建立所述客户机和所述服务器之间的临时映射；并且其中如果确定所述未经请求的包中的所述唯一连接标识符与所存储的唯一连接标识符匹配，则所述服务器可操作来使用所述动态建立的临时映射经由所述不受信任网络向所述客户机发送响应包，由此通过与所述客户机关联的所述NAT路由器建立所述服务器和所述客户机之间的安全连接。
24.根据权利要求23所述的系统，其中所述服务器可操作来接收来自所述第三方计算机的所述客户机的目的地入站端口和与所述客户机关联的所述NAT路由器的公有地址；并且其中所述客户机可操作来接收来自所述第三方计算机的所述服务器的目的地端口和IP地址以及所述唯一连接标识符。
25.根据权利要求24所述的系统，其中所述客户机可操作来接收来自所述第三方计算机的将所述未经请求的包发送到所述服务器的指令；并且其中如果确定在所述服务器的所述目的地端口上收到来自与所述客户机关联的所述NAT路由器的所述公有地址的所述未经请求的包，则所述服务器可操作来向所述客户机发送响应包。
26.根据权利要求23所述的系统，其中所述服务器可操作来使用自所述第三方计算机接收的所述客户机的所述目的地入站端口发起到所述客户机的所述安全连接。
27.根据权利要求23所述的系统，其中所述客户机是不执行任何用户功能或包含任何用户数据的无状态客户机。
28.根据权利要求23所述的系统，其中所述客户机是单一功能网络感知的消费者设备。
29.根据权利要求28所述的系统，其中所述单一功能网络感知的消费者设备是以下设备中的一种：蜂窝电话、音乐播放器/记录器、视频播放器/记录器、游戏播放器或便携式电子邮件设备。
30.根据权利要求23所述的系统，其中所述客户机可操作来向所述第三方计算机发送连接请求，所述连接请求包括连接到所述服务器的请求。
31.根据权利要求30所述的系统，其中所述客户机可操作来在所述客户机通电时通过用户的单一动作、在连接到所述不受信任网络时、或所述客户机的网络参数发生任何变化时向所述第三方计算机自动发送所述连接请求，由此向所述客户机提供到所述服务器的单一动作接入。
CNA2005800155622A 2004-04-12 2005-04-12 自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法 Pending CN101095134A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US56180604P 2004-04-12 2004-04-12
US60/561,806 2004-04-12

Publications (1)

Publication Number Publication Date
CN101095134A true CN101095134A (zh) 2007-12-26

Family

ID=35150655

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2005800155622A Pending CN101095134A (zh) 2004-04-12 2005-04-12 自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法

Country Status (9)

Country Link
US (3) US20050238034A1 (zh)
EP (1) EP1738530A2 (zh)
JP (2) JP2008505512A (zh)
KR (1) KR20070041438A (zh)
CN (1) CN101095134A (zh)
AU (1) AU2005234496A1 (zh)
BR (1) BRPI0509900A (zh)
CA (1) CA2562912A1 (zh)
WO (1) WO2005101747A2 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102812685A (zh) * 2010-03-05 2012-12-05 阿尔卡特朗讯公司 防火墙后面的安全连接发起主机
CN106797312A (zh) * 2014-07-10 2017-05-31 瑞尔创新国际公司 用于安全实时的云服务的系统和方法
CN111095862A (zh) * 2017-09-12 2020-05-01 新纳聚克斯集团 基于动态ip地址修改防火墙的方法、系统和介质

Families Citing this family (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2003276869A1 (en) * 2002-09-09 2004-03-29 Netrake Corporation System for allowing network traffic through firewalls
JP4421946B2 (ja) * 2004-05-31 2010-02-24 京セラ株式会社 通信端末装置およびその通信方法
US20060072569A1 (en) * 2004-10-04 2006-04-06 Wizzysoft Corporation Network address translation protocol for transmission control protocol connections
US20090055541A1 (en) * 2005-03-22 2009-02-26 Nec Corporation Connection parameter setting system, method thereof, access point, server, wireless terminal, and parameter setting apparatus
US20070047585A1 (en) * 2005-06-23 2007-03-01 Xds Inc. Methods and apparatus for network address change for mobile devices
NO20055084L (no) * 2005-10-31 2007-05-02 Telenor Asa System og fremgangsmate for etablering av en forbindelse mellom en klient i et nettverk og en web-tjeneste i et annet nettverk
US8788706B2 (en) * 2006-02-27 2014-07-22 Vudu, Inc. Method and system for managing data transmission between devices behind network address translators (NATs)
US7706373B2 (en) * 2006-11-01 2010-04-27 Nuvoiz, Inc. Session initiation and maintenance while roaming
WO2008082483A1 (en) * 2006-12-21 2008-07-10 Simtone Corporation Service chaining methods and apparatus
US20080225749A1 (en) * 2007-03-13 2008-09-18 Dennis Peng Auto-configuration of a network device
US10469556B2 (en) * 2007-05-31 2019-11-05 Ooma, Inc. System and method for providing audio cues in operation of a VoIP service
US9225626B2 (en) 2007-06-20 2015-12-29 Ooma, Inc. System and method for providing virtual multiple lines in a communications system
US7707294B2 (en) * 2007-06-26 2010-04-27 Microsoft Corporation Edge traversal service dormancy
US8056890B2 (en) * 2007-07-02 2011-11-15 William Thomas Engel Cut mat
US20090168755A1 (en) * 2008-01-02 2009-07-02 Dennis Peng Enforcement of privacy in a VoIP system
US8515021B2 (en) * 2008-02-25 2013-08-20 Ooma, Inc. System and method for providing personalized reverse 911 service
US8374188B2 (en) * 2008-06-24 2013-02-12 Microsoft Corporation Techniques to manage a relay server and a network address translator
ES2704473T3 (es) 2009-02-06 2019-03-18 Xmedius Solutions Inc Atravesamiento de NAT usando perforación de agujero
KR20100134433A (ko) * 2009-06-15 2010-12-23 엘지전자 주식회사 기능 제어부를 갖는 이동 단말기
US8681973B2 (en) * 2010-09-15 2014-03-25 At&T Intellectual Property I, L.P. Methods, systems, and computer program products for performing homomorphic encryption and decryption on individual operations
JP5760736B2 (ja) 2011-06-22 2015-08-12 富士通株式会社 通信装置
US9774916B2 (en) * 2011-11-10 2017-09-26 Throughtek Technology (Shenzhen) Co., Ltd. Information concentrating center capable of making P2P connections with remote client devices
JP5835846B2 (ja) * 2012-08-29 2015-12-24 株式会社日立製作所 ネットワークシステム及び仮想ノードのマイグレーション方法
US9166952B2 (en) * 2012-10-15 2015-10-20 Thales Canada Inc Security device bank and a system including the and SD security device bank
CN102946387B (zh) * 2012-11-01 2016-12-21 惠州Tcl移动通信有限公司 一种防御拒接服务攻击的方法
US9398050B2 (en) 2013-02-01 2016-07-19 Vidder, Inc. Dynamically configured connection to a trust broker
US20140247941A1 (en) * 2013-03-01 2014-09-04 Oplink Communications, Inc. Self-configuring wireless network
US9386010B2 (en) * 2013-05-02 2016-07-05 Globalfoundries Inc. Abstracted authenticated client connectivity application programming interface (API)
US9386148B2 (en) 2013-09-23 2016-07-05 Ooma, Inc. Identifying and filtering incoming telephone calls to enhance privacy
US9560198B2 (en) 2013-09-23 2017-01-31 Ooma, Inc. Identifying and filtering incoming telephone calls to enhance privacy
TWI566592B (zh) * 2014-01-07 2017-01-11 物聯智慧科技（深圳）有限公司 能與遠端客戶裝置建立點對點連接之信息聚集中心
US10769931B2 (en) 2014-05-20 2020-09-08 Ooma, Inc. Network jamming detection and remediation
US9633547B2 (en) 2014-05-20 2017-04-25 Ooma, Inc. Security monitoring and control
US10553098B2 (en) 2014-05-20 2020-02-04 Ooma, Inc. Appliance device integration with alarm systems
US11330100B2 (en) 2014-07-09 2022-05-10 Ooma, Inc. Server based intelligent personal assistant services
US10911368B2 (en) 2015-05-08 2021-02-02 Ooma, Inc. Gateway address spoofing for alternate network utilization
US10009286B2 (en) 2015-05-08 2018-06-26 Ooma, Inc. Communications hub
US9521069B2 (en) 2015-05-08 2016-12-13 Ooma, Inc. Managing alternative networks for high quality of service communications
US10771396B2 (en) 2015-05-08 2020-09-08 Ooma, Inc. Communications network failure detection and remediation
US11171875B2 (en) 2015-05-08 2021-11-09 Ooma, Inc. Systems and methods of communications network failure detection and remediation utilizing link probes
US10116796B2 (en) 2015-10-09 2018-10-30 Ooma, Inc. Real-time communications-based internet advertising
US10021117B2 (en) * 2016-01-04 2018-07-10 Bank Of America Corporation Systems and apparatus for analyzing secure network electronic communication and endpoints
US10469262B1 (en) 2016-01-27 2019-11-05 Verizon Patent ad Licensing Inc. Methods and systems for network security using a cryptographic firewall
CN106096923A (zh) * 2016-06-27 2016-11-09 联想(北京)有限公司 一种安全支付防护方法及电子设备
TWI608749B (zh) * 2016-08-31 2017-12-11 群暉科技股份有限公司 用來控制一客戶端裝置存取一網路裝置之方法以及控制裝置
US10554480B2 (en) 2017-05-11 2020-02-04 Verizon Patent And Licensing Inc. Systems and methods for maintaining communication links
US11201925B2 (en) 2020-04-28 2021-12-14 Caterpillar Inc. Communicating parameters based on a change
EP4002798A1 (de) * 2020-11-17 2022-05-25 Wobben Properties GmbH Verfahren zum herstellen einer datenverbindung zu einem windpark sowie windparkkommunikationssystem
CN114598532B (zh) * 2022-03-11 2023-07-28 北京百度网讯科技有限公司 连接建立方法、装置、电子设备和存储介质

Family Cites Families (65)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA1337132C (en) * 1988-07-15 1995-09-26 Robert Filepp Reception system for an interactive computer network and method of operation
US5623605A (en) * 1994-08-29 1997-04-22 Lucent Technologies Inc. Methods and systems for interprocess communication and inter-network data transfer
US5621660A (en) * 1995-04-18 1997-04-15 Sun Microsystems, Inc. Software-based encoder for a software-implemented end-to-end scalable video delivery system
US5918051A (en) * 1995-07-19 1999-06-29 Ricoh Company, Ltd. Object-oriented communication system with support for multiple remote machine types
US7092369B2 (en) * 1995-11-17 2006-08-15 Symbol Technologies, Inc. Communications network with wireless gateways for mobile terminal access
US7130888B1 (en) * 1996-02-16 2006-10-31 G&H Nevada-Tek Method and apparatus for controlling a computer over a TCP/IP protocol network
US5802178A (en) * 1996-07-30 1998-09-01 Itt Industries, Inc. Stand alone device for providing security within computer networks
US5896499A (en) * 1997-02-21 1999-04-20 International Business Machines Corporation Embedded security processor
US6154843A (en) * 1997-03-21 2000-11-28 Microsoft Corporation Secure remote access computing system
US6104716A (en) * 1997-03-28 2000-08-15 International Business Machines Corporation Method and apparatus for lightweight secure communication tunneling over the internet
US6202156B1 (en) * 1997-09-12 2001-03-13 Sun Microsystems, Inc. Remote access-controlled communication
GB2330034A (en) * 1997-10-01 1999-04-07 Northern Telecom Ltd A narrowband to broadband interface for a communications system
US6425005B1 (en) * 1997-10-06 2002-07-23 Mci Worldcom, Inc. Method and apparatus for managing local resources at service nodes in an intelligent network
US6104392A (en) * 1997-11-13 2000-08-15 The Santa Cruz Operation, Inc. Method of displaying an application on a variety of client devices in a client/server network
US6362836B1 (en) * 1998-04-06 2002-03-26 The Santa Cruz Operation, Inc. Universal application server for providing applications on a variety of client devices in a client/server network
JP4676060B2 (ja) * 1997-11-14 2011-04-27 マイクロソフト コーポレーション 多数のクライアント−サーバ・セッションおよび以前のセッションへのユーザのダイナミック再接続をサポートするサーバ・オペレーティング・システム
US6085247A (en) * 1998-06-08 2000-07-04 Microsoft Corporation Server operating system for supporting multiple client-server sessions and dynamic reconnection of users to previous sessions using different computers
US6216157B1 (en) * 1997-11-14 2001-04-10 Yahoo! Inc. Method and apparatus for a client-server system with heterogeneous clients
US6038616A (en) * 1997-12-15 2000-03-14 Int Labs, Inc. Computer system with remotely located interface where signals are encoded at the computer system, transferred through a 4-wire cable, and decoded at the interface
US6178438B1 (en) * 1997-12-18 2001-01-23 Alcatel Usa Sourcing, L.P. Service management system for an advanced intelligent network
US6038301A (en) * 1997-12-31 2000-03-14 Alcatel Usa Sourcing, L.P. Method and system for engineering a service in an advanced intelligent network
US6044403A (en) * 1997-12-31 2000-03-28 At&T Corp Network server platform for internet, JAVA server and video application server
US6233577B1 (en) * 1998-02-17 2001-05-15 Phone.Com, Inc. Centralized certificate management system for two-way interactive communication devices in data networks
US6510216B1 (en) * 1998-03-23 2003-01-21 Mci Communications Corporation Intelligent network provisioning system and method
US6223289B1 (en) * 1998-04-20 2001-04-24 Sun Microsystems, Inc. Method and apparatus for session management and user authentication
US6230296B1 (en) * 1998-04-20 2001-05-08 Sun Microsystems, Inc. Method and apparatus for providing error correction
US6438141B1 (en) * 1998-04-20 2002-08-20 Sun Microsystems, Inc. Method and management of communications over media of finite bandwidth
US6209031B1 (en) * 1998-07-17 2001-03-27 International Business Machines Corporation Configuring computer network operations based upon a sequence of interactive user entries into a network server computer with a one time entry of data commonly required by multiple clients
US6393605B1 (en) * 1998-11-18 2002-05-21 Siebel Systems, Inc. Apparatus and system for efficient delivery and deployment of an application
US7143093B1 (en) * 1998-12-17 2006-11-28 Webmethods, Inc. Enterprise computer system
US6505248B1 (en) * 1999-03-24 2003-01-07 Gte Data Services Incorporated Method and system for monitoring and dynamically reporting a status of a remote server
US6591306B1 (en) * 1999-04-01 2003-07-08 Nec Corporation IP network access for portable devices
US6711610B1 (en) * 1999-09-10 2004-03-23 International Business Machines Corporation System and method for establishing secure internet communication between a remote computer and a host computer via an intermediate internet computer
US6874088B1 (en) * 1999-10-22 2005-03-29 Mission Critical Linux, Llc Secure remote servicing of a computer system over a computer network
US6886103B1 (en) * 1999-10-28 2005-04-26 Lucent Technologies Inc. Method and apparatus for extending network address translation for unsupported protocols
US6643701B1 (en) * 1999-11-17 2003-11-04 Sun Microsystems, Inc. Method and apparatus for providing secure communication with a relay in a network
GB2357226B (en) * 1999-12-08 2003-07-16 Hewlett Packard Co Security protocol
GB2357227B (en) * 1999-12-08 2003-12-17 Hewlett Packard Co Security protocol
US7103770B2 (en) * 2000-01-27 2006-09-05 Web Data Solutions, Inc. Point-to-point data streaming using a mediator node for administration and security
US6981041B2 (en) * 2000-04-13 2005-12-27 Aep Networks, Inc. Apparatus and accompanying methods for providing, through a centralized server site, an integrated virtual office environment, remotely accessible via a network-connected web browser, with remote network monitoring and management capabilities
US20010042202A1 (en) * 2000-04-14 2001-11-15 Horvath Charles J. Dynamically extendible firewall
CA2309398C (en) * 2000-05-24 2012-02-21 Steven P. Meyer A system, computer product and method for providing a private communication portal
US20020065949A1 (en) * 2000-06-14 2002-05-30 Dennis Heaton Virtual network computing
US7278142B2 (en) * 2000-08-24 2007-10-02 Veritas Operating Corporation Dynamic computing environment using remotely allocable resources
US6915347B2 (en) * 2000-10-17 2005-07-05 Sun Microsystems, Inc. Associating multiple display units in a grouped server environment
US7035828B2 (en) * 2000-10-25 2006-04-25 Topmoxie, Inc. Method and system for modifying and transmitting data between a portable computer and a network
WO2002037749A1 (en) * 2000-11-03 2002-05-10 Fusionone, Inc. Secure authentication of users via intermediate parties
US6944860B2 (en) * 2001-01-16 2005-09-13 Sun Microsystems, Inc. Method and apparatus for representing and encapsulating active computing environments
JP3917076B2 (ja) * 2001-02-20 2007-05-23 アイボール ネットワークス インコーポレイテッド ファイアウォールを通過してデータを送信可能にする方法および装置
US7082614B2 (en) * 2001-03-08 2006-07-25 Sun Microsystems, Inc. System for identification of smart cards
US6999912B2 (en) * 2001-03-13 2006-02-14 Microsoft Corporation Provisioning computing services via an on-line networked computing environment
US6931449B2 (en) * 2001-03-22 2005-08-16 Sun Microsystems, Inc. Method migrating open network connections
WO2002103964A1 (en) * 2001-06-18 2002-12-27 Sony Corporation Data transmission apparatus, data transmission method, and data transmission method program
US7124191B2 (en) * 2001-06-26 2006-10-17 Eastman Kodak Company Method and system for managing images over a communication network
US7117267B2 (en) * 2001-06-28 2006-10-03 Sun Microsystems, Inc. System and method for providing tunnel connections between entities in a messaging system
US6954792B2 (en) * 2001-06-29 2005-10-11 Sun Microsystems, Inc. Pluggable authentication and access control for a messaging system
US7353281B2 (en) * 2001-08-06 2008-04-01 Micron Technology, Inc. Method and system for providing access to computer resources
US20030061301A1 (en) * 2001-09-25 2003-03-27 Frank Chethik Music on demand system and method
US7010608B2 (en) * 2001-09-28 2006-03-07 Intel Corporation System and method for remotely accessing a home server while preserving end-to-end security
US20030084103A1 (en) * 2001-10-29 2003-05-01 Comverse, Ltd. Method and system for third-party initiation of an anonymous tele-chat session
KR100422252B1 (ko) * 2001-12-20 2004-03-11 삼성전자주식회사 씬 클라이언트 네트워크 시스템과 그 네트워크 시스템의데이터 전송 방법
US6934706B1 (en) * 2002-03-22 2005-08-23 International Business Machines Corporation Centralized mapping of security credentials for database access operations
US7676579B2 (en) * 2002-05-13 2010-03-09 Sony Computer Entertainment America Inc. Peer to peer network communication
US7363363B2 (en) * 2002-05-17 2008-04-22 Xds, Inc. System and method for provisioning universal stateless digital and computing services
US7069438B2 (en) * 2002-08-19 2006-06-27 Sowl Associates, Inc. Establishing authenticated network connections

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102812685A (zh) * 2010-03-05 2012-12-05 阿尔卡特朗讯公司 防火墙后面的安全连接发起主机
CN102812685B (zh) * 2010-03-05 2015-06-24 阿尔卡特朗讯公司 防火墙后面的安全连接发起主机
CN106797312A (zh) * 2014-07-10 2017-05-31 瑞尔创新国际公司 用于安全实时的云服务的系统和方法
CN111095862A (zh) * 2017-09-12 2020-05-01 新纳聚克斯集团 基于动态ip地址修改防火墙的方法、系统和介质

Also Published As

Publication number Publication date
US20110066739A1 (en) 2011-03-17
BRPI0509900A (pt) 2007-09-18
JP2011072038A (ja) 2011-04-07
CA2562912A1 (en) 2005-10-27
US8631139B2 (en) 2014-01-14
WO2005101747A2 (en) 2005-10-27
AU2005234496A1 (en) 2005-10-27
KR20070041438A (ko) 2007-04-18
WO2005101747A3 (en) 2007-09-13
JP2008505512A (ja) 2008-02-21
EP1738530A2 (en) 2007-01-03
US20050238034A1 (en) 2005-10-27
US20120222108A1 (en) 2012-08-30

Similar Documents

Publication Publication Date Title
CN101095134A (zh) 自动发起和动态建立有防火墙的服务器和有防火墙的客户机之间的安全的因特网连接的系统和方法
US11909712B2 (en) Network address translation for virtual machines
US7646775B2 (en) Protocol and system for firewall and NAT traversal for TCP connections
US10805113B2 (en) Application transmission control protocol tunneling over the public internet
Rosenberg et al. TCP Candidates with Interactive Connectivity Establishment (ICE)
US20070271453A1 (en) Identity based flow control of IP traffic
US11575757B2 (en) Cloaked remote client access
CN109005179A (zh) 基于端口控制的网络安全隧道建立方法
CN106537885A (zh) 接入节点
JP5874354B2 (ja) 中継サーバ及び中継通信システム
KR100660123B1 (ko) Ｎａｔ 통과를 위한 브이.피.엔 서버 시스템 및 브이.피.엔클라이언트 단말기
JP4401302B2 (ja) 通信管理システム、通信管理方法、及び通信管理プログラム
JPH1132088A (ja) ネットワークシステム
US11665755B2 (en) Peer-to-peer communication among end user devices
Sivasubramanian et al. Management of end-to-end security in collaborative IP network environments
KR101150299B1 (ko) 사용자와 네트워킹 행위의 동시 공증 기반 다중 방화벽 동적 통과 기법 및 이에 적합한 장치
Komu Host identity payload in home networks
JP2017098939A (ja) データ送信補助方法
CA2323221A1 (en) Method and apparatus for data communication between a plurality of parties

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
CI01 Publication of corrected invention patent application

Correction item: Inventor

Correct: Tracy David

False: Tracey David

Number: 52

Page: 888

Volume: 23

CI02 Correction of invention patent application

Correction item: Inventor

Correct: Tracy David

False: Tracey David

Number: 52

Volume: 23

REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1108955

Country of ref document: HK

C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Open date: 20071226

REG Reference to a national code

Ref country code: HK

Ref legal event code: WD

Ref document number: 1108955

Country of ref document: HK