專利名稱：用于安全遠(yuǎn)程臺式機訪問的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及安全計算機網(wǎng)絡(luò)。具體地說，本發(fā)明涉及安全地訪問 遠(yuǎn)禾呈臺式才幾的系統(tǒng)和方法。
背景技術(shù)：
人在離開他/她的辦公室后經(jīng)常需要訪問他/她的臺式計算機。當(dāng)雇 員離開辦公室時，他們可以通過通信網(wǎng)絡(luò)例如互聯(lián)網(wǎng)來訪問他們的臺 式機。但是，從互聯(lián)網(wǎng)直接訪問臺式計算機會給公司的內(nèi)部網(wǎng)絡(luò)帶來
很高的安全風(fēng)險，并且很多公司禁止從互聯(lián)網(wǎng)直接訪問內(nèi)部的臺式機。 作為替代，很多公司允許經(jīng)由遠(yuǎn)程訪問軟件來訪問臺式計算機，
例如可從位于佛羅里達(dá)Ft. Lauderdale的Citrix System Inc.公司獲得的 軟件Metaframe Access Suite(元幀訪問系歹'J )。在軟件Metaframe Access Suite中，客戶軟件安裝在雇員離開辦公室后隨身攜帶的便攜式計算機 上?？蛻糗浖c運行服務(wù)器軟件部分的服務(wù)器建立一個連接，該連接 在便攜式計算機和服務(wù)器之間建立一個安全通信通道。服務(wù)器產(chǎn)生該 雇員臺式計算機的虛擬機器，用戶訪問該虛擬機器而不是臺式計算機， 就象訪問他/她的臺式計算機一樣。服務(wù)器為每個從遠(yuǎn)程位置訪問該服 務(wù)器的雇員產(chǎn)生一個虛擬機器。換句話說，如果有20個從遠(yuǎn)程位置訪 問服務(wù)器的雇員，服務(wù)器就產(chǎn)生20個虛擬機器。雖然雇員只是與他/ 她的虛擬機器進(jìn)行交互，但是由于服務(wù)器的資源必須被與其它虛擬機 器共享，因此虛擬機器的響應(yīng)將下降。
另一個遠(yuǎn)程訪問方案的例子是由位于佛羅里達(dá)Ft. Lauderdale的 Citrix System Inc.公司提供的GoToMyPC服務(wù)。該服務(wù)安裝一個小型 服務(wù)器應(yīng)用程序到臺式計算機上，它利用ping命令周期性地訪問位于 第三方站點的 一 個代理。當(dāng)遠(yuǎn)程計算機的用戶想與臺式計算機通信時，
6
則到達(dá)一個安全網(wǎng)站并登入。上述代理將用戶與他/她的臺式計算機進(jìn) 行匹配，且向同樣位于第三方站點的通信服務(wù)器分配進(jìn)程。在上述進(jìn) 程中，該通信服務(wù)器從遠(yuǎn)程計算機傳送不透明且高度壓縮的加密數(shù)據(jù) 流到辦公室計算機。該服務(wù)能夠使具有較少IT/安全人員的小公司從遠(yuǎn) 程位置透明地連接到他們的辦公室計算機，且不用維護(hù)該服務(wù)所提供 的內(nèi)部安全結(jié)構(gòu)。但是，在大公司中，從辦公室計算機引起的進(jìn)程增 大了網(wǎng)絡(luò)的流量，并使許多大公司作為日常安全工作一部分執(zhí)行的流 出通信監(jiān)視的工作量大增。因此，需要一種從遠(yuǎn)程直接和安全地訪問 雇員臺式計算機的系統(tǒng)和方法。

發(fā)明內(nèi)容
下面描述本發(fā)明的特征和優(yōu)點，它們可從說明書中獲得，也可以 從實施本發(fā)明而學(xué)到。本發(fā)明的目的和其它優(yōu)點通過下面的詳細(xì)描述、 權(quán)利要求和附圖所指出的具體結(jié)構(gòu)而實現(xiàn)和取得。
如下文所體現(xiàn)和描述，為實現(xiàn)根據(jù)本發(fā)明目的的這些及其它優(yōu)點，
一種安全遠(yuǎn)程訪問系統(tǒng)包括安裝在便攜式計算機上的客戶軟件，它 通過一個安全通道與安裝在公司內(nèi)部網(wǎng)絡(luò)的DMZ中的一個服務(wù)器上 的對應(yīng)服務(wù)器軟件建立一個遠(yuǎn)程進(jìn)程。該DMZ服務(wù)器連接到一個企 業(yè)第二層防火墻后的路由器。如果該臺式計算機允許遠(yuǎn)程訪問，該路 由器將上述遠(yuǎn)程進(jìn)程路由到適合的臺式計算機?？梢耘溆?一個帶寬限 制器以平衡通過路由器的載荷。
本發(fā)明的一個實施例涉及一個系統(tǒng)，該系統(tǒng)包括存儲在遠(yuǎn)程計 算機上的客戶安全通道；在企業(yè)DMZ防火墻和第二層防火墻之間的 服務(wù)器安全通道，客戶安全通道和服務(wù)器安全通道形成位于遠(yuǎn)程計算 機和服務(wù)器安全通道之間的一個安全通道；通過第二層防火墻與服務(wù) 器安全通道通信的路由器；和與路由器通信的辦公室計算機，該辦公 室計算機可以由遠(yuǎn)程計算機通過安全通道和上述路由器遠(yuǎn)程操作。


提供用于幫助進(jìn)一 步理解本發(fā)明且作為本說明書 一部分的附圖描 述了本發(fā)明的實施例，并且與后面的描述一起用于解釋本發(fā)明的原理。 附圖包括
圖1為顯示本發(fā)明實施例的方框圖。
具體實施例方式
下面參照附圖示出的本發(fā)明優(yōu)選實施例作出詳細(xì)描述。下文的描 述應(yīng)理解為描述本發(fā)明的例示性實施例。本領(lǐng)域普通技術(shù)人員能夠認(rèn) 識到，例如所描述的實施例只是安全遠(yuǎn)程臺式機訪問的新穎系統(tǒng)和方 法的簡單例子。在不脫離本發(fā)明范圍的情況下，可以根據(jù)下面的描述 實現(xiàn)其它實施例。
圖1是顯示本發(fā)明實施例的方框圖。在圖1中，遠(yuǎn)程計算機110 在通信網(wǎng)絡(luò)115例如互聯(lián)網(wǎng)上與安全通道服務(wù)器120開始一個通信進(jìn) 程。安全通道服務(wù)器120通過查詢安全政策管理器125確定是否允許 該進(jìn)程。 一旦該進(jìn)程被允許，安全通道服務(wù)器120通過第二層防火墻 127將該通信進(jìn)程發(fā)送到位于第二層防火墻內(nèi)的路由器130。路由器 130查詢臺式機許可管理135，以確定是否允許遠(yuǎn)程訪問所請求的辦公 室計算機。如果允許訪問所請求的辦公室計算機，路由器130則將上 述進(jìn)程流量路由到辦公室計算機150。 一旦在遠(yuǎn)程計算機110和辦公 室計算機150之間建立了進(jìn)程，用戶可以從遠(yuǎn)程計算機執(zhí)行辦公室計 算機上的程序和訪問文件。
在本實施例中，遠(yuǎn)程計算機110包括客戶顯示模塊，例如作為位 于華盛頓Redmond的微軟(Microsoft Corporation V/^司的Windows XP 專業(yè)片反才喿作系統(tǒng)的一部分的Microsoft Remote Desktop Protocol ( RDP， 遠(yuǎn)程臺式機協(xié)議)。RDP模塊112使得遠(yuǎn)程計算機能夠顯示用戶在操 作辦公室計算機時所看到的屏幕，且能夠從遠(yuǎn)程計算機向辦公室計算 機發(fā)送輸入指令，例如鼠標(biāo)的移動和鍵盤的敲擊。
遠(yuǎn)程計算機110還包括客戶安全通道114，客戶安全通道114將 RDP數(shù)據(jù)封裝以用于在不安全的網(wǎng)絡(luò)，例如互聯(lián)網(wǎng)上傳輸?？蛻舭踩?br> 通道114還從不安全網(wǎng)絡(luò)上接收數(shù)據(jù)包、解開RDP數(shù)據(jù)以及將RDP 數(shù)據(jù)發(fā)送到RDP模塊112。
客戶安全通道114優(yōu)選為存儲在遠(yuǎn)程計算機的存儲裝置上的Java 程序。雖然基于客戶安全通道和RDP的Java使用消除了在遠(yuǎn)程計算 機110上安裝附加軟件組件的需要，但是在不背離本發(fā)明范圍的情況 下，也可以使用其它類型的界面。例如其它的顯示協(xié)議和平臺，如Linux 平臺上的獨立計算結(jié)構(gòu)(Independent Computing Architecture, ICA ) 或X-Windows，可以用于從遠(yuǎn)程計算機IIO操作辦公室計算機150, 這些應(yīng)當(dāng)被理解為落在本發(fā)明保護(hù)范圍內(nèi)。
客戶安全通道114與服務(wù)器安全通道120通信，并可以位于企業(yè) 隔離區(qū)(demilitarized zone, DMZ)防火墻117和企業(yè)第二層防火墻 127之間的公司DMZ中。服務(wù)器安全通道120經(jīng)由不安全網(wǎng)絡(luò)從客戶 安全通道114接收數(shù)據(jù)包，解開RDP數(shù)據(jù)，以及將RDP數(shù)據(jù)發(fā)送到 路由器130。服務(wù)器安全通道120還將從路由器130接收的輸出RDP 數(shù)據(jù)進(jìn)行封裝，并通過不安全的網(wǎng)絡(luò)上將封裝的數(shù)據(jù)發(fā)送到客戶安全 通道114。
建立在客戶安全通道114和服務(wù)器安全通道120之間的通道可以 通過安全套接層(Secure Sockets Layer, SSL )端口 443來建立，例如 大多數(shù)防火墻已采用的端口。 SSL端口的使用消除了用戶配置防火墻 以適應(yīng)本發(fā)明實施例的需要，由此降低了因公開公司網(wǎng)絡(luò)而被外部攻 擊的風(fēng)險。
在本實施例中，服務(wù)器安全通道120通過安全政策管理器125可 以增強公司的安全政策。安全政策管理器125執(zhí)行授權(quán)驗證和通用網(wǎng) 絡(luò)許可管理，例如，驗證用戶名/密碼和/或用戶名/訪問令牌號碼(token number)。源網(wǎng)際協(xié)議(Internet Protocol, IP )地址過濾和其它限制機 制也可以由安全政策管理器125實現(xiàn)。
本發(fā)明實施例的系統(tǒng)根據(jù)遠(yuǎn)程計算機110的位置可以采用各種安 全措施。例如，如果遠(yuǎn)程計算機110是安全網(wǎng)絡(luò)的一部分、但位于不 同的辦公室或不同地理位置，則可能僅需要登入/密碼的結(jié)合就能訪問
辦公室計算機150。另一方面，如果遠(yuǎn)程計算機IIO在不同的網(wǎng)絡(luò)上，
例如家用的計算機通過互聯(lián)網(wǎng)要求訪問，則可能需要額外的安全措施， 例如需要從安全令牌裝置產(chǎn)生的安全令牌來實現(xiàn)訪問。例如，安全令
牌裝置為RSA公司的SecurID。
此外，安全政策管理器125可以在服務(wù)器安全通道120和公司安 全政策之間提供接口。能夠與服務(wù)器安全通道120連接的安全政策的 一個例子是資產(chǎn)數(shù)據(jù)庫，例如2004年12月29日提交的美國專利申請 11/025,871中所描述的資產(chǎn)數(shù)據(jù)庫，在此引入該專利申請作為參考。 在從遠(yuǎn)程計算機IIO接收到連接請求時，服務(wù)器安全通道120可以查 詢安全政策管理器125以確定是否在遠(yuǎn)程計算機IIO和服務(wù)器安全通 道120之間建立安全通道。
如果允許連接，安全政策管理器125還可以增強再驗證/再授權(quán)， 例如如果遠(yuǎn)程計算機110沒有在預(yù)定期間內(nèi)發(fā)送數(shù)據(jù)(即超時條件)。 為增大安全性同時保持效率，可以根據(jù)客戶的類型采用可變的超時條 件。例如，由可信的客戶發(fā)起的進(jìn)程可以在進(jìn)程被終止之前允許延長 的空閑時間(例如4小時)，而由不可信的客戶(例如公共的商務(wù)中 心)發(fā)起的進(jìn)程則被限制為較短的空閑時間(例如15分鐘)。
服務(wù)器安全通道120通過企業(yè)第二層防火墻127與路由器130通 信。該第二層防火墻127被配置為允許經(jīng)由一個預(yù)定端口在服務(wù)器安 全通道120和路由器130之間進(jìn)行通信。
路由器130電連接遠(yuǎn)程進(jìn)程到合適的辦公室計算機150。路由器 130使辦公室計算機能夠通過經(jīng)過企業(yè)第二層防火墻127的單個連接 訪問服務(wù)器安全通道120。如果沒有路由器130，每個辦公室計算機 150將需要一個經(jīng)過第二層防火墻127的連接，這會給網(wǎng)絡(luò)的安全結(jié) 構(gòu)帶來明顯的風(fēng)險。
在建立與辦公室計算機150的連接之前，路由器130通過查詢臺 式機許可管理135來確定是否允許辦公室計算機150被遠(yuǎn)程訪問。臺 式機許可管理135可以簡單為允許遠(yuǎn)程訪問的辦公室計算機的列表， 也可以是連接到之前描述的可以提供授權(quán)和驗證的資產(chǎn)數(shù)據(jù)庫的接
口。臺式機許可管理135控制對特定辦公室計算機的訪問，也可以限 制特定用戶對特定計算機的訪問。
一旦允許上述連接，路由器130建立到辦公室計算機150的連接。 辦公室計算機150包括服務(wù)器顯示模塊155，例如上文所述為Windows XP專業(yè)版操作系統(tǒng)一部分的RDP模塊。RDP模塊使遠(yuǎn)程用戶能夠運 行辦公室計算機150上的程序和打開文件，正如遠(yuǎn)程用戶在辦公室中 并操作辦公室計算機150 —樣。
在與辦公室計算機150建立連接之后，帶寬限制器140監(jiān)視辦公 室計算機150和遠(yuǎn)程計算機110之間的流量。通常，辦公室計算機150 和遠(yuǎn)程計算機110之間的流量塊包括顯示器的更新。很多遠(yuǎn)程顯示模 塊只對例如當(dāng)光標(biāo)在顯示器上移動時顯示器上改變的部分更新進(jìn)行發(fā) 送。只對顯示器上改變的部分進(jìn)行發(fā)送減少了必須發(fā)送到遠(yuǎn)程計算機 110的數(shù)據(jù)量，并降低了對公司網(wǎng)絡(luò)帶寬的壓力。
當(dāng)在辦公室計算機150上啟動新的應(yīng)用程序或顯示新的文件時， 整個屏幕發(fā)生改變，并且在短時間內(nèi)發(fā)送的數(shù)據(jù)量增大，但在短時間 后又會降低。由于這些瞬間尖峰發(fā)生在很短的時間，并且不會突然發(fā) 生，因此網(wǎng)絡(luò)通常能夠以數(shù)據(jù)傳送速率處理這些瞬間的尖峰。但是如 果遠(yuǎn)程計算機110從辦公室計算機150觀看視頻文件，這時顯示器的 大部分會持續(xù)改變，遠(yuǎn)程連接就會使用相當(dāng)數(shù)量的可用網(wǎng)絡(luò)帶寬片段。 即使網(wǎng)絡(luò)能夠支持單個遠(yuǎn)程用戶觀看視頻文件，但如果有100個遠(yuǎn)程 用戶觀看視頻文件的話，則很多網(wǎng)絡(luò)將會降低速度。
帶寬限制器140監(jiān)視每個遠(yuǎn)程計算機110和它相應(yīng)的辦公室計算 機150之間的流量。如果流量增大到預(yù)定閾值以上，帶寬限制器150 啟動計時器(圖未示出)。如果流量在預(yù)定時間段內(nèi)保持在預(yù)定閾值 以上，則帶寬限制器140可以開始延遲數(shù)據(jù)包的發(fā)送。該延遲導(dǎo)致遠(yuǎn) 程計算機上顯示的動作出現(xiàn)停動現(xiàn)象，由此警告該用戶其使用了過量 的帶寬。如果注意到進(jìn)程的網(wǎng)絡(luò)性能已回復(fù)到正常行為，帶寬限制器 140可以去除上述限制(例如，轉(zhuǎn)回到正常的#:作)。
作為附加的安全級別，本發(fā)明的實施例可以根據(jù)遠(yuǎn)程計算機110
的位置采用可變的安全訪問。例如，如果遠(yuǎn)程計算機110位于相同的 安全網(wǎng)絡(luò)中但位于不同的建筑物或區(qū)域中。
本發(fā)明的實施例包括計算機部件和計算機執(zhí)行步驟，它們對于本 領(lǐng)域技術(shù)人員將顯而易見的。為了說明的方便，這里沒有對作為計算 機系統(tǒng) 一 部分的本發(fā)明的每個步驟或部件都進(jìn)行描述，但本領(lǐng)域技術(shù) 人員可以知道每個步驟或部件都可以具有對應(yīng)的計算機系統(tǒng)或軟件部 件。因此，這樣的計算4幾系統(tǒng)或軟件部件可以通過它們對應(yīng)步驟或部 件(即它們的功能)的描述來實現(xiàn)，并且也落在本發(fā)明的保護(hù)范圍之 內(nèi)。
上文已描述了本發(fā)明的例示性實施例，對本領(lǐng)域技術(shù)人員來說， 在不離開本發(fā)明精神或范圍的情況下，可以對本發(fā)明進(jìn)行各種修改和
改進(jìn)。因此，上述說明只是舉例性的，而目的不在于限制本發(fā)明。因 此，只要是落在本申請的權(quán)利要求或其等同物的范圍之內(nèi)，本發(fā)明則 目的覆蓋對本發(fā)明的這些所有修改和變化。
權(quán)利要求
1.一種系統(tǒng)，包括連接到第一網(wǎng)絡(luò)的第一客戶計算機；連接到第一網(wǎng)絡(luò)的服務(wù)器，所述服務(wù)器包括第一通信模塊；包括第二通信模塊的第二客戶計算機；和建立在所述第一通信模塊和所述第二通信模塊之間的通信通道，以通過所述服務(wù)器將所述第一客戶計算機連接到所述第二客戶計算機。
2. 如權(quán)利要求l所述的系統(tǒng)，其中所述第一網(wǎng)絡(luò)包括用于路由從 所述第二客戶計算機到所述第 一客戶計算機進(jìn)程的路由器。
3. 如權(quán)利要求2所述的系統(tǒng)，其中所述第一網(wǎng)絡(luò)還包括位于所述服務(wù)器和所述第二客戶計算機之間的第 一層防火墻；和 位于所述服務(wù)器和所述第 一客戶計算機之間的第二層防火墻。
4. 如權(quán)利要求1所述的系統(tǒng)，其中所述第一網(wǎng)絡(luò)包括帶寬限制器， 所述帶寬限制器用于監(jiān)視和管理在所述第一客戶計算機和所述第二客 戶計算機之間的數(shù)據(jù)流動。
5. 如權(quán)利要求4所述的系統(tǒng)，其中所述帶寬限制器包括計時器。
6. 如權(quán)利要求l所述的系統(tǒng)，其中所述第二客戶計算機連接到第 二網(wǎng)絡(luò)。
7. 如權(quán)利要求6所述的系統(tǒng)，其中所述第二網(wǎng)絡(luò)是互聯(lián)網(wǎng)。
8. 如權(quán)利要求6所述的系統(tǒng)，其中所述通信通道通過所述第一網(wǎng) 絡(luò)和所述第二網(wǎng)絡(luò)建立。
9. 如權(quán)利要求l所述的系統(tǒng)，其中所述第一通信模塊和所述第二 通信^^塊為Java應(yīng)用程序。
10. 如權(quán)利要求l所述的系統(tǒng)，其中所述第一網(wǎng)絡(luò)包括安全政策 管理器，所述安全政策管理器用于確定是否允許來自所述第二客戶計 算機的連接請求。
11. 如權(quán)利要求IO所述的系統(tǒng)，其中所述安全政策管理器包括根 據(jù)所述第二客戶計算機的位置而不同的授權(quán)級。
12. 如權(quán)利要求11所述的系統(tǒng)，其中如果所述第二客戶計算機位 于所述第一網(wǎng)絡(luò)上，第一授權(quán)級包括登入ID和密碼。
13. 如權(quán)利要求11所述的系統(tǒng)，其中如果所述第二客戶計算機位 于所述第二網(wǎng)絡(luò)上，第二授權(quán)級包括登入ID、密碼和安全令牌。
14. 如權(quán)利要求IO所述的系統(tǒng)，其中所述安全政策管理器包括用 于終止所述通信通道的可變超時條件。
15. 如權(quán)利要求14所述的系統(tǒng)，其中所述超時條件包括用于可信 客戶的第 一 空閑時間和用于不可信客戶的第二空閑時間，所述第 一 空閑時間長于所述第二空閑時間。
16. 如權(quán)利要求IO所述的系統(tǒng)，其中所述安全政策管理器包括資 產(chǎn)數(shù)據(jù)庫。
17. 如權(quán)利要求l所述的系統(tǒng)，其中所述第一網(wǎng)絡(luò)包括用于管理 對所述第 一 客戶計算機的訪問級別和許可的許可管理模塊。
18. —種方法，包括以下步驟 在第一客戶計算機和第一網(wǎng)絡(luò)之間建立連接；在所述第一客戶計算機和所述第一網(wǎng)絡(luò)上的服務(wù)器之間建立連接^ 和通過所述服務(wù)器在所述第一客戶計算機和所述第一網(wǎng)絡(luò)上的第二 客戶計算機之間建立連接。
19. 如權(quán)利要求18所述的方法，其中在所述第一客戶計算機和所 述第一網(wǎng)絡(luò)之間建立連接的步驟包括通過所述第一客戶計算機和所述 服務(wù)器之間的第 一防火墻獲得訪問。
20. 如權(quán)利要求19所述的方法，其中在所述第一客戶計算機和所 述第二客戶計算機之間建立連接的步驟包括通過所述服務(wù)器和所述第 二客戶計算機之間的第二防火墻獲得訪問。
21. 如權(quán)利要求18所述的方法，還包括以下步驟 監(jiān)視所述第一客戶計算機和所述第二客戶計算機之間的數(shù)據(jù)流； 將所述數(shù)據(jù)流和一閾值進(jìn)行比較；和如果比較所述數(shù)據(jù)流超過所述閾值，則限制所述數(shù)據(jù)流。
22. 如權(quán)利要求18所述的方法，其中所述第一客戶計算機和所述 第 一 網(wǎng)絡(luò)之間的連接是通過第二網(wǎng)絡(luò)建立的。
23. 如權(quán)利要求22所述的方法，其中所述第二網(wǎng)絡(luò)為互聯(lián)網(wǎng)。
24. —種方法，包括以下步驟 訪問第一客戶計算機以連接到第一網(wǎng)絡(luò)，和 登入所述第一網(wǎng)絡(luò)上的服務(wù)器以打開一個進(jìn)程；其中所述進(jìn)程被路由到第二客戶計算機以建立與所述第二客戶計 算機的連接，使得通過所述第一客戶計算機直接訪問所述第二客戶計 算機上的數(shù)據(jù)和/或應(yīng)用程序。
25. 如權(quán)利要求24所述的方法，其中訪問所述第一網(wǎng)絡(luò)的步驟包 括通過所述第一客戶計算機和所述服務(wù)器之間的第一防火墻獲得訪 問。
26. 如權(quán)利要求24所述的方法，其中路由所述進(jìn)程到所述第二客 戶計算機的步驟包括通過所述服務(wù)器和所述第二客戶計算機之間的第 二防火墻獲得訪問。
27. 如權(quán)利要求24所述的方法，其中所述第一客戶計算機和所述 第二客戶計算機之間的數(shù)據(jù)流被監(jiān)視且和一閾值進(jìn)行比較，如果比較所述數(shù)據(jù)流超過了所述閾值，則限制所述數(shù)據(jù)流。
28. 如權(quán)利要求24所述的方法，其中所述第一客戶計算機通過第 二網(wǎng)絡(luò)連接到所述第一網(wǎng)絡(luò)。
29. 如權(quán)利要求28所述的方法，其中所述第二網(wǎng)絡(luò)為互聯(lián)網(wǎng)。
30. —種計算機程序產(chǎn)品，包括 用于在第一客戶計算機上執(zhí)行的客戶通信模塊；和用于在連接到第 一 網(wǎng)絡(luò)的服務(wù)器上執(zhí)行的服務(wù)器通信模塊，其中當(dāng)執(zhí)行所述客戶通信模塊和所述服務(wù)器通信模塊時，通過所述服務(wù)器在所述第一客戶計算機和所述第一網(wǎng)絡(luò)上的第二客戶計算機之間建立通4言通道。
31. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述客戶通信模 塊包括被執(zhí)行用于封裝將被傳送到所述服務(wù)器通信模塊的數(shù)據(jù)的指令。
32. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述客戶通信模 塊包括被執(zhí)行用于解開從所述服務(wù)器通信模塊接收的數(shù)據(jù)包的指令。
33. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述服務(wù)器通信 模塊包括安全政策模塊，所述安全政策模塊用于確定是否允許來自所 述客戶通信模塊的連接請求。
34. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述安全政策模 塊包括用于終止所述通信通道的可變超時條件。
35. 如權(quán)利要求34所述的計算機程序產(chǎn)品，其中所述超時條件包 括用于可信客戶的第 一 空閑時間和用于不可信客戶的第二空閑時間， 所述第 一 空閑時間長于所述第二空閑時間。
36. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述客戶通信模 塊包括被執(zhí)行用于促成通過所述第一客戶計算機和所述服務(wù)器之間的 第 一 防火墻進(jìn)行訪問的指令。
37. 如權(quán)利要求36所述的計算機程序產(chǎn)品，其中所述服務(wù)器通信 模塊包括被執(zhí)行用于促成通過所述服務(wù)器和所述第二客戶計算機之間 的第二防火墻進(jìn)行訪問的指令。
38. 如權(quán)利要求30所述的計算機程序產(chǎn)品，其中所述客戶通信模 塊和所述服務(wù)器通信模塊為Java應(yīng)用程序。
39. 如權(quán)利要求30所述的計算機程序產(chǎn)品，還包括帶寬限制器模 塊，所述帶寬限制器模塊被執(zhí)行用于監(jiān)視所述第一客戶計算機和所述 第二客戶計算機之間的數(shù)據(jù)流，將所述數(shù)據(jù)流和一閾值進(jìn)行比較，以及如果比較所述數(shù)據(jù)流超過所述閾值限制所述數(shù)據(jù)流。
全文摘要
一種安全遠(yuǎn)程訪問系統(tǒng)包括安裝在便攜式計算機(110)上的客戶軟件(114)，客戶軟件(114)通過一個安全通道與安裝在公司內(nèi)部網(wǎng)絡(luò)DMZ中的一個服務(wù)器上的對應(yīng)服務(wù)器軟件(120)建立遠(yuǎn)程進(jìn)程。該DMZ服務(wù)器連接到位于企業(yè)第二層防火墻(127)后面的路由器(130)。如果臺式計算機允許遠(yuǎn)程訪問，路由器(130)將上述遠(yuǎn)程進(jìn)程路由到適合的臺式計算機(150)?？梢耘渲脦捪拗破?140)以平衡通過路由器(130)的載荷。
文檔編號G06K9/00GK101361082SQ200680047392
公開日2009年2月4日 申請日期2006年12月14日 優(yōu)先權(quán)日2005年12月15日
發(fā)明者哈里·戈帕爾克里什南, 拉夫曼·阿齊茲 申請人:雷曼兄弟有限公司