CN1870643A - 利用顺序号的数据通信协调 - Google Patents

Abstract

描述了用于客户端—服务器通信的顺序号，以控制客户端对服务器资源的使用。服务器授予客户端的信用，该客户端消耗信用以向服务器发送每个命令。每个信用对应一顺序号，一组顺序号构成有效命令窗口。服务器强制实施对于每个接收到的命令，该命令包括有效命令窗口内的一顺序号，且该号码不曾被另一命令所使用。服务器还可以保持最大窗口大小，以便具有信用的客户端不能发送具有超过最大顺序号的顺序号的命令。当结合于数据通信协议中时，会产生服务质量、对抗服务拒绝、信息丢失的检测、服务器资源的划分、安全的信息签名、以及其他许多益处。

Description

利用顺序号的数据通信协调

相关申请的交叉参考

本申请要求于2005年5月25日提交的美国临时专利申请序列号60/685,008的优先权，该专利申请结合在此作为参考。本发明涉及共同待决的名为“DataCommunication Protocol”的美国专利申请，其代理人档案号为5612/311754，与本发明同时提交，已转让给本发明的受让人，且结合在此作为参考。

背景技术

今天仍然使用的许多数据通信协议，如SMB(服务器信息块)协议，是在计算机资源有很大不同的时代发展起来的，例如，那时网络带宽一般是有限的且存储器非常珍贵。结果是，当在当代网络中使用时，这种协议会限制总体性能。例如，因为是在存储器有限的时候设计的，使用的缓冲器很小，则要求更多的往返行程来传递大量数据。

而且，现有的SMB协议还有随时间而变得明显的其他限制。例如，现有的SMB协议易受拒绝服务攻击的影响；该协议的设计使得它很难对抗这些攻击。同样地，现在没有用于执行类似服务质量的操作，这是由于例如受信任的客户获得与不受信任的客户相同的服务器资源。总而言之，尽管是频繁使用且有价值的协议，但是当用于当代网络资源时，现有的SMB版本还是不够理想。

发明内容

简要的说，本发明的各个方面针对对客户端一服务器通信使用顺序号，如结合在数据通信协议中，以控制客户端对服务器资源的使用。本发明的各个方面将顺序号的使用应用于排序并非重要的协议，但却提供服务质量、服务拒绝对抗、服务器资源的划分、安全信息签名、以及其他许多益处。

服务器授予客户端信用(credit)，客户端使用信用用于向服务器发送每条命令。每个信用与一顺序号对应，一组顺序号构成有效命令窗口。服务器强制实施对于每个接收到的命令，该命令包括有效命令窗口内的一顺序号，且该顺序号未曾被另一个命令所使用。服务器还可保持最大窗口大小，以便即使具有信用的客户端也不能发送顺序号超过与最大窗口大小对应的最大顺序号的命令。

一般来说，一旦从客户端接收命令，服务器验证顺序号是否在窗口内且之前未被使用。然后，服务器从客户端可用的那些顺序号中除去相应的顺序号，因此消耗一个信用。然后，服务器确定是否授予该客户端一个或多个其他的信用。

因此，提供了一种通过包含对于授予客户端的每个信用唯一号码的有效操作窗口，控制授予客户端的信用数，从而限制对服务器资源的使用的机制。一种实施机制确保允许对接收到的命令的进一步的服务器操作，该命令包括有效操作窗口内的一顺序号，且该唯一号码未被另一个命令所使用。一种分配机制控制授予客户的信用和有效操作窗口内的唯一号码。

当结合附图考虑时，从下面的详细说明中，本发明的其他优点会更为明显。

附图说明

本发明通过例子来说明，且不受伴随的附图的限制，附图中相同的标号指示相同的元件，并且其中：

图1示出其中可以结合本发明的各个方面的通用计算环境的说明性的例子。

图2是根据本发明的各个方面，表示其中客户端与服务器通信的示例性网络环境的框图。

图3到图13是根据本发明的各个方面，为使用顺序号而保持的客户和服务器的数据的表示。

具体实施例

示例性的操作环境

图1示出本发明可以实现于其中的适合的计算系统环境100的例子。计算系统环境100只是适合的计算环境的一个例子，并不意图提出对本发明的使用范围或功能的任何限制。计算环境100也不应解释为对有关示例性的操作环境100中描述的一个元件或元件组合有任何依赖或要求。

本发明在许多其他通用或专用的计算系统环境或配置中是可操作的。适合本发明使用的熟知的计算系统、环境、和/或配置的例子包括，但不限于：个人计算机、服务器计算机、手提或膝上设备、写字板设备、多处理器系统、基于微处理器的系统、机顶盒、可编程的消费电子产品、网络PC、微型机、大型机、包括以上任何一种系统或设备的分布式计算环境等等。

本发明的可在计算机可执行指令的一般上下文中描述，如计算机可执行的程序模块。一般来说，程序模块包括例程、程序、对象、组件、数据结构等等，它们执行特定的任务或实现特定的抽象数据类型。本发明也可以在分布式计算环境中实施，其中由通过通信网络链接的远程处理设备来执行任务。在分布式计算环境中，程序模块可位于包括存储器存储设备的本地和/或远程计算机存储介质中。

参考图1，用于实现本发明的示例性的系统包括计算机110形式的通用计算设备。计算机110的组件包括，但不限于，处理单元120、系统存储器130、以及连接各种系统组件，包括把系统存储器连接到处理单元120的系统总线121。系统总线121可为几种类型的总线结构的任何一种，包括：存储器总线或存储器控制器、外围总线、以及使用任何一种总线结构的局部总线。作为例子，而非限制，这些结构包括工业标准结构(ISA)总线、微通道结构(MCA)总线、增强型ISA总线、视频电子标准协会(VESA)局部总线、以及外围组件互联(PCI)总线，也称为Mezzanine总线。

计算机110一般包括各种计算机可读介质。计算机可读介质可为计算机110可访问的任何可用介质，且包括易失和非易失的介质、以及可移动的和不可移动的介质。作为例子，而非限制，计算机可读介质可包括计算机存储介质和通信介质。计算机存储介质包括易失和非易失的介质、可移动的和不可移动的介质，这些介质以用于信息存储的任何方法或技术，比如计算机可读指令、数据结构、程序模块或其它数据来实现。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其它存储技术、CDROM、数字视频盘(DVD)或其它光存储器、磁性磁带、磁性录音带、磁性磁盘存储器或其它的磁性存储设备，或可用于存储需要的信息并可由计算机110访问的任何其它介质。通信介质一般包括计算机可读指令、数据结构、程序模块或在一个调制数据信号，如载波或其它传输机制中的其它数据，且包括任何信息传递介质。术语“调制数据信号”意思是以编码信号中的信息的方式设置或改变其一个或多个特征的信号。作为例子，而非限制，通信介质包括，如有线网络或直接线缆连接的有线介质，以及如声频、RF、红外线和其它无线介质。以上的任何组合也应该包括在计算机可读介质的范围内。

系统存储器130包括，以如只读存储器(ROM)131和随机存取存储器(RAM)132的易失和非易失的存储器形式的计算机存储介质。基本输入/输出系统133(BIOS)一般存储在ROM 131内，它包括如启动时帮助在计算机110内的元件间传输信息的基本例程。RAM 132一般包含可由处理单元120即时存取和/或目前在操作的数据和/或程序模块。作为例子而非限制，图1说明了操作系统134、应用程序135、其它程序模块136以及程序数据137。

计算机110还包括其它可移动/不可移动、易失/非易失的计算机存储介质。仅仅作为例子，图1示出了从不可移动、非易失的磁性介质读取或向其中写入的硬盘驱动器141、从可移动的、非易失的磁性磁盘152读取或向其中写入的磁盘驱动器151、以及用于向如CD ROM或其它光学介质的可移动、非易失的光学介质156读写的光盘驱动器155。其它能用于示例性的操作环境的可移动/不可移动、易失/非易失的计算机存储介质包括但不限于：磁性盒式磁带、闪存卡、数字多用途盘、数字视频磁带、固态RAM、固态ROM等等。硬盘驱动器141一般通过如接口140的不可移动的存储器接口连接到系统总线121，而磁盘驱动器151通过如接口150的可移动的存储器接口连接到系统总线121。

以上图1描述并示出的驱动器及其关联的计算机存储介质，为计算机110提供了计算机可读指令、数据结构、程序模块和其它数据的存储。例如，图1中，为存储操作系统144、应用程序145、其它程序模块146和程序数据147而示出了硬盘驱动器141。注意，这些组件可与操作系统134、应用程序135、其它程序模块136和程序数据137相同，也可与之不同。这里对操作系统144、应用程序145、其它程序模块146和程序数据147给出不同的标号，以至少说明它们是不同的副本。用户可通过输入设备，如键盘162和定点设备161(通常指鼠标、跟踪球或触摸板)向计算机110输入命令和信息。其它输入设备(未在图1中示出)可包括操作杆、游戏垫、圆盘式卫星天线、扫描仪等等。这些以及其它输入设备通常通过连接到系统总线的用户输入接口160，连接到处理单元120，但是也可以通过其它接口和总线结构相连，如并行端口、游戏端口或通用串行总线(USB)。监视器191或其它类型的显示设备也通过接口，如视频接口190连接到系统总线121。监视器191也可以与触摸屏面板等集成。注意，监视器和/或触摸屏面板可以物理连接到其中结合了计算设备110的外壳，如一写字板类型的个人计算机中。此外，如计算设备110的计算机也可包括其他外围输出设备，如扬声器195和打印机196，它们通过外围接口194等进行连接。

计算机110可以工作在使用到一个或多个如远程计算机180的远程计算机的逻辑连接的网络化环境中。远程计算机180可以是个人计算机、服务器、路由器、网络PC、对等设备或其他公共网络节点，且一般包括与计算机110相关的许多或所有上述元件，尽管图1中仅说明了存储器存储设备181。图1所示的逻辑连接包括局域网(LAN)171以及广域网(WAN)173，但也可包括其他网络。这种网络环境常见于办公室、企业范围的计算机网络、内联网以及因特网。

当用于LAN网络环境时，计算机110通过网络接口或适配器170连接到局域网171。当用于WAN网络环境时，计算机110一般包括调制解调器172或其他装置，用于在如因特网的广域网173上建立通信。调制解调器172可为内置或外置，它通过用户输入接口160或其他适合的机制连接到系统总线121。在网络化环境中，所述与个人计算机110有关的程序模块，或其一部分可存储在远程存储设备内。作为例子，而非限制，图1示出了驻留在存储器设备181上的远程应用程序185。应该认识到。所示的网络连接是示例性的，并且在计算机间建立通信的其他手段也可以使用。

利用顺序号的数据通信的协调

这里描述的技术的各个方面针对可用于数据通信协议中的机制，如SMB协议的修改版本(2.x或更高)。一般在这里描述的实现的一个例子中，所述机制控制该修订的SMB协议中的数据/命令流，用于基于Windows的文件共享。然而，容易理解，本发明并不限于基于Windows的系统或SMB协议，而是相反，这种示例性技术一般可适用于其他文件共享协议和数据通信协议，包括那些不必处理文件数据的协议。例如，实现本发明的许多方式都是可行的，包括，用于与打印机、指定的数据管道、类属设备等等的通信。同样，本发明并不限于这里所使用的任何特定的基于文件的例子或其他例子，而是可用于一般在计算中提供益处和优点的许多方式。

转到图2，示出了代表示例性的网络环境的框图，其中客户端202通过一个或多个通信信道与服务器204通信。尽管按照位于两个分离的计算机内，如图1的主计算机系统110和远程计算机系统180，对客户端机器202和服务器204的功能和组件进行了描述，但可在一个机器上或可分布于许多计算机上提供这两个计算机的组件或其执行的功能。例如，计算机系统可包含多种网络应用设备之一，如打印服务器或打印机本身、以及NAS存储设备等等。

来自应用程序206的网络文件系统命令由客户端重定向器组件208进行处理，该命令与对应的公共网络模块(SRVNET)210进行通信，以在文件系统212上执行该命令。一般来说，客户端202建立一连接，然后与服务器204协商，以最终建立会话。作为其中一部分，在处理针对文件系统的命令之前，客户端和服务器商定一通信协议。这个例子中，用于该连接/会话的经商定的协议是SMB 2.0，借此，客户端的SMB引擎220采用SMB 2.0驱动器进行与服务器204之间的通信。类似地，公共网络模块(SRVNET)210采用SMB 2.0提供器226来处理此连接上的客户端通信。如下所述，提供器226包括确保客户端使用合适的顺序号的实施机制和数据结构，或另外与之相关联。

转到利用顺序号的数据通信协调的概念，顺序号提供了一种机制，其中服务器可通过该机制限制给定客户端能够对服务器发出的工作量。如即将理解的那样，这是通过使服务器提供允许客户端在标识给定命令时使用的可用顺序号的窗口来实现的。为了实现顺序号和想要的行为，采用信用的概念，这里信用授予客户端消耗服务器端的部分资源的权利，这些资源包括客户端可消耗的要求返回操作的存储器以及CPU周期。客户端每发送一个命令就消耗一个信用，且依赖于服务器的响应，可被授予零、一个或多个额外的信用。不允许客户端重复使用一顺序号，因此客户端能发出的命令数受到控制。注意，为方便起见，使用单调增加的顺序号，然而，任何唯一的(每个会话/连接)号码都是等效的。

例如，如果服务器授予客户端五个信用，则该服务器给予客户端同时提交五个操作的权利。当服务器需要限制客户端时，服务器减少给该客户端的可用信用。当服务器希望给予客户端更多有用的资源时，服务器可授予客户端信用。

这就给服务器若干选项。通过向客户端授予零个信用，服务器停止对该客户端的资源分配。或者，通过返回一个信用，服务器保持先前的窗口大小。通过返回一个以上的信用，服务器允许客户端使用更多的资源用于执行命令。假定该协议严格意义上为命令-响应协议，一个限制是服务器不能允许窗口大小为零(没有有效的顺序号)，除非有办法授予带外(out of band)的信用。注意，如果存在授予客户端信用的方法而不要求客户端在使用这种方法的协议内请求这些信用，那么不会存在这种限制。

注意，协商请求/响应具有为0的顺序号(也称为信息标识符，或MID)，以及大小为1的窗口。在SMB 2.0中，以下的头部方便了这种信息的传递，如在前述有关的共同待决的、名为“Data Communication Protocol”的美国专利申请中进一步描述的那样：typedef struct_SMB2_HEADER{

   UCHAR        Protocol[4];       //包含0xFE,′S′,′M′,′B′

   USHORT       StructureSize;     //=sizeof(SMB2_HEADER).

                                  //(版本化)

   USHORT       Epoch;            //每次服务器重启时递增

   NTSTATUS     Status;            //命令的状态

   USHORT       Command;           //用于此分组联合的命令

   {

      USHORT    CreditsRequested;  //在客户端发送时,请求更多信用

      USHORT    CreditsGranted;    //在服务器响应时,授予客户端信用

   };

   ULONG        Flags;

   ULONG        Reserved;

   UINT64       MessageId;         //标识该信息  发送/响应

   union

   {

      struct

      {

         UINT64 ProcessId;         //进程标识符

         UINT64 SessionId;         //会话标识符

         ULONG  TreeId;            //树形连接(Tree Connect)标识符

      };

      struct

      {

         UINT64 AsyncId;           //用于标识长期持续的命令

      };

   };

   UCHAR        Signature[8];      //分组的签名

   ULONG        NextCommand;       //到下一个的偏移

}_SMB2_HEADER,*PSMB2_HEADER;

从以上头部结构中可以看出，客户端请求许多想要的信用，然而服务器控制向客户端授予信用。因此，服务器能够基于客户端的身份、行为或任何其他属性或标准来缩减或增加窗口。顺序号也提供一种方式以唯一标识对于一给定的连接从客户端向服务器发送的命令。

通过建立命令窗口，客户端和服务器开始。通过使用默认或协商的初始顺序号(ISN)(也称为初始信息标识符，或MID)和信用数(NoC)来启动命令窗口，该命令窗口代表服务器将接受以标识给定命令的可允许号码的范围。因此，该命令窗口最初包含[ISN，ISN+NoC-1]。对大多数协议而言，默认可为ISN＝1，NoC＝1，因此当第一次协商时，该命令窗口简单地为[1，1]，代表服务器将接受以标识命令的唯一顺序号为一(1)。

随着通信的进行，客户端通过用完该范围内的号码而移到窗口低处的号码。一旦使用一号码，它就不能被再次使用，这是由服务器实施的。同时，服务器可确定通过授予用户更多的信用来延伸窗口末端。例如，如果命令窗口为[A，B]，当客户端发送命令A时，有效的命令窗口实质上变为[A+1，B]。当服务器响应命令A时，它可向客户端授予从零到任何实际数量的信用。因此，如果服务器返回N个信用，则有效命令窗口变为[A+1，B+N]。

对于可允许范围内的顺序号的使用不要求是按次序的。该协议是为方便顺序号的异步使用而建立的，只要被使用的号码在有效范围内。这就允许网络协议发送可用的分组，而不是尝试实施有序的发送。因此，如果很大的分组要求顺序号A，但在准备缓冲器的同时，A+1而A+2进入且它们很小，则无需等待启动A的发送而发送A+1和A+2(只要窗口的末端≥A+2)是合法的。

注意，如果存在有效命令窗口[1，5]，并发送分组2，3，4，则服务器可回授允许除{2，3，4}之外的窗口[1，8](意思是1和8之间除2到4以外的所有号码)的信用。最终，服务器将有可能停止授予信用，直到发送分组1且允许该窗口滑动(slide)。如果在这一点上，客户端发送1，且服务器响应而授予信用，则窗口变为[5，9]。

有效命令窗口的实施是在服务器端进行的。该系统允许象客户端结构与具有当前顺序号和最大顺序号，以及使用互锁的比较和增量作为唯一要求的异步方法一样简单。

因此，有效命令窗口(也称为有效操作或有效Op窗口)包含服务器会接受的有效标识符的窗口。客户端用下一个有效顺序号发送每个后续命令(一直到其有效信用为止)，不需要保持有效窗口的视图。要求客户端理解以下描述的“最大窗口大小”的概念。下面提出使用有效命令/操作窗口的例子。

可能阻塞达不确定的时间量的任何操作，如改变-通知或指定的管道读取或创建(因为它可能待决于操作锁的中断)，被认为是阻塞操作。为了方便这种操作，客户端可在发送的命令中提供“操作上下文”值，即阻塞标记。然后，当服务器成功地发起该操作时，它做出响应，允许递增顺序号，即使该操作仍然在服务器端进行。然而，这种长期运行的操作所持有的资源经常是常规命令要求的资源的子集。因此，允许服务器确定允许客户端消耗的“阻塞Op信用”(也称为长期操作信用，或LOC)的最大数量。顺序号也允许长期运行的命令和带有来自服务器的多重响应的命令，通过控制客户端可以消耗多少资源来加以平衡。

因此，对有效命令窗口的延伸允许该窗口继续正常滑动，且不会被可能花费不确定时间量的操作所阻碍。为此，服务器授予客户端一给定数量的阻塞Op信用，且带有阻塞Op标记而发出的任何操作将消耗阻塞Op信用。当服务器接收命令时，服务器可向客户端发回带有确认对长期命令的接收并返回长期命令ID(也称为异步标识符(AsyncID))的标记集的中间响应。这个响应允许有效命令窗口正常滑动。当该长期命令结束时，使用该长期命令ID向客户端发回新的响应，以指示响应于哪个分组。这种发送-响应一响应架构允许窗口连续移动，且该信用机制允许服务器保留对客户端可消耗多少资源的控制。如果存在来自客户端的大量正在进行的长期操作，服务器甚至可以缩减有效命令窗口。

替代性的实施例包括允许客户端向服务器暗示长期命令即将到来的协议。异步概念的另一中实现还可使客户端发出中间“接受”等等，以便异步/阻塞操作采用与简单的发送-接收-接收相对的“发送-接收-发送-接收”的形式。注意，经常为请求-响应通信调谐一些基础传输(例如，TCP)，且可能在请求-响应-响应情况下引入延迟。

因为协议和传输的异步特性，当前的有效窗口并不直接等于当前最小的顺序ID加上信用，因为一些中间命令可能会首先被接收，或者例如，顺序ID＝1的命令可能长期进行。然而，服务器可在有效窗口停止增长之前对其设置能够增长到多大的限制。继续以上的例子，服务器可指定最大窗口大小为十(10)。这就意味着如果服务器在接收或完成分组1的处理之前，接收并处理分组2，3，4，5和6，则有效操作(命令)窗口可增至[1，10]。因此，有效的顺序号为1，7，8，9，10。然而，如果服务器然后接收分组7并处理它，则有效操作(命令)窗口将不会滑动至[1，11]，而是保持在[1，10]，可接受的顺序号为1，8，9，10。对命令8的响应会指示(-1)的信用，以告知该客户端他正到达其可接受的限制的末端，即，现在其信用值为4。这是服务器防止客户端曾跳过顺序内的给定号码(这会防止窗口很好地滑动)的一种方式。这也证明了对那些将持续很长时间的命令对服务器发出“阻塞Op”的价值。

跟踪服务器端的有效命令窗口在计算上可能是代价高的，因为服务器需要保持对交集(intersecting sets)的跟踪。为了简化，一个示例性实现将建立上述的最大窗口大小，作为服务器将允许命令窗口的最大值。一旦建立该最大值，服务器分配代表该大小的缓冲器，且当命令进入时，缓冲器内此位置的值就会改变。只要该窗口大小保持小于或等于最大窗口大小，则随着窗口开始向前移动，服务器向前移动其缓冲器指针。同样地，当由于授予信用而使末端增长时，服务器沿缓冲器移动其末端指针。运算器处理缓冲器“覆盖(wrap)”最大窗口大小的情况。通过分配更大的缓冲器并把当前的值复制进去，就可能动态增长最大窗口大小。使用互锁操作来跟踪窗口内有效命令的状态，以AVAILABLE(可用)开始。一旦从客户端接收命令，它们转移到IN_PROGRESS，且当发出响应(或者对于长期运行命令情况时为中间响应)时，它转移到USED。如果转移到USED的值是窗口内的第一个值，则该窗口向前滑动，直到遇到非USED的值。

另一个备选方案允许服务器通过备用信道(alternate channel)或通过未排序的通信来调用信用。例如，考虑服务器已经授予客户端十个信用，但希望裁减到五个信用，这一般不会发生，直到客户端使用五个命令。如果该客户端空闲，服务器可指示客户端在接下来的N秒内必须使用五个信用，否则它就违规且会被终止(或者失去这些信用)。这就允许服务器限制客户端，而不必依靠客户端去移动它们自己的窗口。

通过使用各种例子，转到对本发明的操作的说明，当前状态将以下面的格式提出：

Min：1

当前信用：(5，1)

信用：(5，1)

有效：[1，5]除{}

Max：[1，11]

“Min”列示出了允许客户端使用的最低的未被使用的客户端顺序号；“当前信用”是以(正常信用，阻塞Op信用)的形式授予客户端多少信用。客户端对发送消耗信用，且可能基于接收(依赖于响应)重新递增信用。下一列，“信用”简单示出了允许客户端的信用的当前最大数量。

“有效”和“Max”表示用于顺序标识符确认的服务器端的结构(注意，客户端不需要对此有任何想法)。“有效”示出了伴随除了已经使用的顺序标识符(例如，由位图跟踪)的有效Op窗口，而“Max”示出了客户端曾在完成第一个操作，即导致窗口移动的操作之前能填入的MaxCommandWindow(最大命令窗口)。

图3到图9代表服务器204保持的有效操作(有效Op)窗口330_s如何增长的例子(注意，在图3到图9中，随着有效操作窗口的改变，其标号的第一个数字改变，例如，图3的有效操作窗口标号为330_s，图4的有效操作窗口标号为430_s等等)。

在图3中，授予客户端5个信用以及起始顺序号(或MID)1。分配器组件322使用以上一般描述的一些标准320(如客户端的类型)来确定授予客户端的量。这个例子中，当前有效操作窗口因此为[1，5]，如图5中由窗口330_s内的单个数字垂直地表示。因此，服务器204将接受带有来自该客户端202的顺序号为1，2，3，4或5的分组。备选地，这以上述格式如下表示：

Min：1

当前信用：(5，1)

信用：(5，1)

有效：[1，5]除{}

Max：[1，11]

使用有效Op窗口320_s，以随意地拒绝分组；如果这些分组在有效Op窗口320_s内，则服务器204检查内部例外映射(exception map)，以保证顺序号未被使用。

在单调增加的接收的一般情况下，客户端发送MID＝1的分组，且客户端和服务器转移至图4和下面的表所表示的状态(注意，[1，5]被认为是有效的，但1只对来自服务器的响应是真正有效的，对来自客户端的另一个接受是无效的，这对于首先检验Min＝2来说会失败)。

Min：2

当前信用：(4，1)

信用：(5，1)

有效：[1，5]除{1}

Max：[1，11]

图4中，服务器接收并处理顺序号等于1的命令。这就意味着1对后续命令来说不再是有效的顺序号，如以上表内“有效/除”列内和图4的标号430_s的有效操作窗口内的带括号的{1}所表示那样。

当服务器响应时，根据响应，它授予客户端一额外的(+1)信用，并滑动窗口，如图5和以下表所示：

Min：2

当前信用：(5，1)

信用：(5，1)

有效：[2，6]除{}

Max：[2，12]

现在，客户端的有效窗口为[2，6]。考虑当出现乱序接收时，例如，传输中的异步发送使得服务器在接收命令2(以及对其响应)之前接收命令3。则将在概念上存在有效Op窗口630_s，如图6和以下所示：

Min：2

当前信用：(5，1)

信用：(5，1)

有效：[2，7]除{3}

Max：[2，12]

注意，在该表中，有效窗口延伸，但最大窗口并未滑动。然而，当服务器接收命令2并响应时，窗口730_s将滑动，如图7和以下所示：

Min：4

当前信用：(5，1)

信用：(5，1)

有效：[4，8]除{}

Max：[4，14]

接下来考虑恶意客户端试图通过发送命令并拒绝响应来用尽服务器上的资源的情况。这里，该客户端已经向服务器发送命令4和5，并拒绝响应。则状态变为图8和以下所示：

Min：6

当前信用：(3，1)

信用：(5，1)

有效：[4，8]除{4，5}

Max：[4，14]

发送顺序标识符为6，7，8的命令后，因为信用实施，客户端缺少信用且所有分组都被拒绝，如图9和以下表所示：

Min：9

当前信用：(0，1)

信用：(5，1)

有效：[4，8]除{4，5，6，7，8}

Max：[4，14]

转到最大窗口实施的例子，使用图10到图13及其类似的表。考虑恶意客户端试图发送分组N+1且没有发送分组N的情况。图10到图13的例子将在最后的攻击者之前的状态开始，即，图10本来是图7：

Min：4

当前信用：(5，1)

信用：(5，1)

有效：[4，8]除{}

Max：[4，14]

客户端发送命令5，6，7，8，9，10，且服务器做出响应，当没有发送命令4。图11和以下表示出了这种状态：

Min：4

当前信用：(5，1)

信用：(5，1)

有效：[4，14]除{5，6，7，8，9，10}

Max：[4，14]

注意，客户端仍然有5个信用，因为命令窗口内仍有5个可行的时隙(slot)。然而，当客户端发送命令11且服务器响应时，存在图12和以下表中的情况：

Min：4

当前信用：(4，1)

信用：(5，1)

有效：[4，14]除{5，6，7，8，9，10，11}

Max：[4，14]

注意，然后客户端继续发送命令12，13，14。对于每个命令，客户端的可用信用数逐一减少，因为MaxWindow内没有可用的时隙。对命令12，13，14，这将会继续：

Min：4

当前信用：(1，1)

信用：(5，1)

有效：[4，14]除{5，6，7，8，9，10，11，12，13，14}

Max：[4，14]

现在，服务器将从客户端接受的唯一命令是命令4，如图13所示。

很容易理解，顺序号的窗口的属性在许多想要的情况中是非常具有优势的。这些情况中的一些包括防止服务拒绝，允许服务质量，为客户端和服务器提供公共语言以引用在给定连接上执行的命令、允许长期运行命令和带有来自服务器的多重响应的命令、但用控制客户端能够消耗多少资源来平衡它，以及允许安全签名的连续使用。

就防止服务拒绝而言，服务器可限制给定的客户端连接可消耗的资源的数量，直到服务器鉴别了该客户端且该客户端行为正确。例如，通过允许服务器控制分配给客户端的资源，当检测到明显的攻击时，服务器能进入“应急模式”，其中服务器把其客户端可用的资源减至最少，并以信任的方式回授它们。服务器给每个客户端足够小的窗口，以允许进行工作，但防止任何单个客户端实质上控制所有资源。当攻击过去或减小时，服务器可对证明值得信任的客户端重新授予资源。

就允许服务质量而言，可用的窗口模式允许服务器基于客户端的身份和/或其行为来缩放分配给他们的资源数量。例如，服务器可向连接到文件服务器的web服务器分配比访问单独文档的单个用户更多的资源。作为另一个例子，如果另一个服务器是正访问文件服务器的数据库，则文件服务器可比授予普通用户的信用数更高地对授予的信用数加权。

而且，当控制服务质量时，对客户端的资源分配可基于客户端的各种需要而动态改变。这就允许服务器以完全公平的方式，或考虑其他信息来授予信用。管理员可基于资源优先级来配置机器，且可随用户连接和断开连接来利用这一点并动态变化。

顺序号还为客户端和服务器提供公共语言，以引用在给定连接上执行的命令。这有助于建立各种特征，包括持久的句柄。例如，因为客户端和服务器都商定了用于在发送和接收命令时标识命令的公共语言，即顺序号机制，则当发生断开连接时，基于连接重建，服务器和客户端有一种直接的方式来确定接收了哪些命令以及和未接收哪些命令。没有这种设定模式，则很难进行跟踪，特别是当命令标识符是由客户端选择的并且被再次使用时更是如此。

顺序号进一步允许安全签名的连续使用，而没有当前模型的极端性能问题；发送不需要排序(尽管仍需要计算整个分组的校验和，并在发出之前接收整个分组)。就分组签名而言，可重放性(replayability)是可能的。更为具体地，进行签名的网络协议需要把索引号嵌入分组中，以防止已签名的分组的可重放性，否则攻击者可简单地重发该分组而无需重新签名，而该分组仍然有效。其他方法包括时间标签等等，然而这些方法要求客户端和服务器之间的某种形式的同步。如果使用索引号，通常客户端和服务器之间的网络通信量变为串行化，因为客户端必须确保在其发送分组2之前服务器接收分组1。

利用作为命令标识符嵌入的顺序号，以及服务器上支持的有效窗口，利用其内的顺序号的并行命令发送就自然地发生。服务器实施有效窗口，以便每个命令只能被发出一次，由此可重放性不再是问题，只要该协议确保用于签名的密钥对于每个经鉴别的连接来说是唯一的。注意，如果命令标识符滚动(rollover)，则可重放性可能成为问题，且因此32位或64位左右的顺序号对于防止这一点来说是合乎需要的，如果允许断开的连接的重新建立，则64位可能更为合乎需要。

尽管附图示出且以上详细描述了说明性的实施例，但本发明可以做出各种修改和替代性的构造。然而，应该理解，这里并未意图将本发明限制在所揭示的特定形式中，相反，本发明将覆盖所有变化、替代性的构造、以及落入本发明的精神和范围内的等价物。

Claims (20)

1.在具有客户端和服务器的网络计算环境中的一种方法，该方法包含：

授予客户端至少一个信用，每个信用对应该客户端可用于向服务器发送命令的一顺序号，一个或多个顺序号的集合构成有效命令窗口；以及

强制实施对于每个接收到的命令，该命令包括有效命令窗口内的一顺序号，且该顺序号不曾被另一个命令所使用。

2.如权利要求1所述的方法，其特征在于，进一步包括：保持最大窗口大小，以便具有信用的客户端不能发送带有超过与最大窗口大小对应的最大顺序号的顺序号的命令。

3.如权利要求1所述的方法，其特征在于，进一步包括：响应于接收命令，向所述客户端返回调整窗口的未使用的顺序号。

4.如权利要求3所述的方法，其特征在于，未使用的顺序号是相对于有效命令窗口内的最近的号码单调增加的值。

5.如权利要求1所述的方法，其特征在于，每个顺序号是长度为32位或更大的固定大小的值。

6.如权利要求1所述的方法，其特征在于，进一步包括：授予客户端至少一个阻塞操作信用，且在服务器强制实施客户端不超过使用的阻塞操作信用的最大数量。

7.如权利要求6所述的方法，进一步包括：接收与阻塞操作信用对应的命令，返回指示阻塞操作正在进行的数据，并伴随用于此操作的、在该阻塞操作一旦完成时就返回的标识符。

8.如权利要求7所述的方法，进一步包括：响应于接收阻塞操作命令，向客户端返回调整窗口的未使用的顺序号。

9.如权利要求1所述的方法，进一步包括：接收来自客户端的对额外的信用的请求，并拒绝该请求，以减少客户端可用的信用数。

10.如权利要求1所述的方法，进一步包括：少调用至少一个先前授予客户端的信用。

11.如权利要求10所述的方法，进一步包括：通知该客户端将调用至少一个信用，除非该信用在调用之前被使用。

12.至少一种包含计算机可读指令的计算机可读介质，当执行该指令时，执行以下步骤，包括：

授予客户端多个信用，每个信用与该客户端用于向服务器发送命令的顺序号对应，顺序号构成有效命令窗口；以及

一旦从该客户端接收命令就：

验证该顺序号是否在窗口内且之前是否未被使用过；

从该客户端可使用的顺序号中除去相应的顺序号，并消耗一个信用；以及

确定是否授予该客户端至少一个其他的信用。

13.如权利要求12所述的计算机可读介质，其特征在于，服务器确定授予客户端至少一个其他的信用，并基于授予的每个信用，用相应的顺序号调整有效命令窗口。

14.如权利要求12所述的计算机可读介质，其特征在于，服务器确定不授予该客户端另一个信用，从而动态地减少了该客户端可用的信用。

15.如权利要求12所述的计算机可读介质，其特征在于，服务器通过评估最大窗口大小，确定不授予该客户端另一个信用。

16.如权利要求12所述的计算机可读介质，其特征在于，具有进一步的计算机可执行指令，包括：调用至少一个先前授予用户的信用。

17.如权利要求12所述的计算机可读介质，其特征在于，具有进一步的计算机可读指令，包括：通知该客户端将调用至少一个信用，除非该信用在调用之前被使用。

18.在具有客户端和服务器的网络计算环境中的一种服务器端的系统，它包含：

通过控制授予客户端的信用数来限制服务器资源的使用的机制，该机制包括：

包含对于授予客户端的每个信用唯一的号码的有效操作窗口；

确保允许对接收到的命令的进一步的服务器操作的实施机制，该命令包括有效操作窗口内的一顺序号，且该唯一号码从未被另一个命令所使用；和控制授予客户端的信用和有效操作窗口内的唯一号码的分配机制。

19.如权利要求18所述的系统，其特征在于，用于限制服务器资源的使用的机制与服务器信息阻塞协议驱动器相关联。

20.如权利要求18所述的系统，其特征在于，该机制包括用于调用至少一个先前授予客户端的信用的装置。

Images