專利名稱：管理對(duì)用于沒有虛擬專用網(wǎng)客戶端的便攜設(shè)備的虛擬專用網(wǎng)的接入的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種用于管理無線設(shè)備和網(wǎng)絡(luò)之間的安全連接的技術(shù)。
背景技術(shù)：
很多人在他們的日常工作期間越來越多地使用一個(gè)或多個(gè)便攜式通信設(shè)備。這樣的便攜式設(shè)備包括膝上型計(jì)算機(jī)、個(gè)人數(shù)字助理(PDA)和無線電話。這些便攜式通信設(shè)備提供經(jīng)由無線連接來接入通信網(wǎng)絡(luò)的能力。無線電話以及一些類型的PDA使得用戶能夠接入公共無線電話網(wǎng)絡(luò)。當(dāng)今的公共無線電話網(wǎng)絡(luò)通常使用諸如時(shí)分多址(TDMA)、碼分多址(CDMA)、全球移動(dòng)標(biāo)準(zhǔn)(GSM)和第三代蜂窩電話標(biāo)準(zhǔn)的若干種公知無線標(biāo)準(zhǔn)之一。許多膝上型計(jì)算機(jī)通過使用IEEE802.11i標(biāo)準(zhǔn)的公共網(wǎng)絡(luò)來提供無線連接。對(duì)于許多用戶來說，對(duì)公共無線網(wǎng)絡(luò)的接入使得能夠隨后接入企業(yè)網(wǎng)絡(luò)、即預(yù)期的通信目的地。
過去，大多數(shù)企業(yè)網(wǎng)絡(luò)依賴于與一個(gè)或多個(gè)公共網(wǎng)絡(luò)的租用線路連接來允許用戶接入。租用線路連接提供高安全性，但是具有高成本。隨著因特網(wǎng)的出現(xiàn)，公共網(wǎng)絡(luò)提供商現(xiàn)在向企業(yè)網(wǎng)絡(luò)運(yùn)營商提供在公共網(wǎng)絡(luò)內(nèi)建立虛擬專用網(wǎng)(VPN)的能力。這樣的VPN使用虛擬連接來模擬專用租用線路網(wǎng)絡(luò)的等同物(equivalent)，但是具有降低的成本。
在給定的公共網(wǎng)絡(luò)內(nèi)，若干VPN可以共享公共的通信路徑。因此，安全性仍然重要，以確保非計(jì)劃中的接收者不能訪問目的地為特定企業(yè)網(wǎng)絡(luò)的數(shù)據(jù)。在VPN網(wǎng)絡(luò)中存在各種安全技術(shù)。這樣的技術(shù)經(jīng)常使用不同的加密技術(shù)，包括對(duì)稱密鑰和公共密鑰加密。一些VPN使用因特網(wǎng)協(xié)議安全協(xié)議(IPSEC)。為了使得便攜式通信設(shè)備能夠建立經(jīng)由VPN到企業(yè)網(wǎng)絡(luò)的端到端的連接，該通信設(shè)備必須包括VPN客戶端，所述VPN客戶端采用實(shí)現(xiàn)各種安全協(xié)議所必需的硬件和/或軟件的形式。雖然諸如膝上型計(jì)算機(jī)的一些便攜式通信設(shè)備擁有并入VPN客戶端的能力，但是許多較小的設(shè)備(例如無線電話和PDA)不具有所述能力。因此，這種較小的便攜式通信設(shè)備不能容易地通過VPN建立到企業(yè)網(wǎng)絡(luò)的連接。
因此，需要一種用于使便攜式通信設(shè)備能夠至少部分地通過VPN建立與企業(yè)網(wǎng)絡(luò)的連接的技術(shù)。

發(fā)明內(nèi)容
簡而言之，根據(jù)本原理的優(yōu)選實(shí)施例，提供了一種用于在便攜式通信設(shè)備和企業(yè)網(wǎng)絡(luò)之間建立連接的方法。該方法在無線接入點(diǎn)接收到便攜式通信設(shè)備對(duì)于接入企業(yè)網(wǎng)絡(luò)的請(qǐng)求時(shí)開始。響應(yīng)于該接入請(qǐng)求，無線接入點(diǎn)確定便攜式通信設(shè)備試圖接入的企業(yè)網(wǎng)絡(luò)的身份。無線接入點(diǎn)使用無線認(rèn)證(authentication)協(xié)議來認(rèn)證便攜式通信設(shè)備。當(dāng)成功地認(rèn)證了便攜式通信設(shè)備時(shí)，無線接入點(diǎn)與所識(shí)別的企業(yè)網(wǎng)絡(luò)建立虛擬專用網(wǎng)，以促成便攜式通信設(shè)備和企業(yè)網(wǎng)絡(luò)之間的通信。以這種方式，無線接入點(diǎn)建立便攜式設(shè)備和該接入點(diǎn)之間的使用無線LAN安全機(jī)制的連接、以及該接入點(diǎn)和企業(yè)網(wǎng)絡(luò)之間的VPN連接。


圖1示出根據(jù)現(xiàn)有技術(shù)的無線網(wǎng)絡(luò)的方框示意圖，其中便攜式通信設(shè)備包括VPN客戶端，用于通過端到端的VPN連接來與企業(yè)網(wǎng)絡(luò)通信；以及圖2示出根據(jù)本原理的無線網(wǎng)絡(luò)的方框示意圖，其中便攜式通信設(shè)備部分地通過VPN連接與企業(yè)網(wǎng)絡(luò)通信，而不需要便攜設(shè)備包括VPN客戶端。
具體實(shí)施例方式
為了最佳地理解用于促成部分地通過VPN進(jìn)行的便攜式通信設(shè)備和企業(yè)網(wǎng)絡(luò)之間的通信、而在便攜式通信設(shè)備上不需要VPN客戶端的本原理的技術(shù)，對(duì)于現(xiàn)有技術(shù)的簡短討論將證明是有益的。
圖1示出了現(xiàn)有技術(shù)通信網(wǎng)絡(luò)10的方框示意圖，其中，諸如膝上型計(jì)算機(jī)、無線電話或PDA的便攜式通信設(shè)備12經(jīng)由虛擬專用網(wǎng)(VPN)16與企業(yè)網(wǎng)絡(luò)14建立端到端的通信鏈接。VPN16通過公共網(wǎng)絡(luò)18和無線接入點(diǎn)20而在企業(yè)網(wǎng)絡(luò)14和便攜式通信設(shè)備12之間延伸。雖然被示出為單個(gè)實(shí)體，但是無線接入點(diǎn)20可以包括未示出的無線網(wǎng)絡(luò)的一部分。在所圖解的實(shí)施例中，企業(yè)網(wǎng)絡(luò)14包括耦接到局域網(wǎng)24的企業(yè)網(wǎng)關(guān)服務(wù)器20。
為了使便攜式通信設(shè)備12通過VPN16建立與企業(yè)網(wǎng)絡(luò)14的端到端的通信鏈接，便攜式通信設(shè)備12必須擁有VPN客戶端26?？紤]到可適用的一個(gè)或多個(gè)安全協(xié)議，VPN客戶端26采用一個(gè)或多個(gè)程序和相關(guān)聯(lián)的數(shù)據(jù)的形式，并且可能采用使得便攜式通信設(shè)備12能夠來與VPN16連接的一個(gè)或多個(gè)硬件元件(未示出)的形式。雖然諸如膝上型計(jì)算機(jī)的一些便攜式通信設(shè)備擁有并入VPN客戶端22的能力，但是具有較少資源的其他便攜式通信設(shè)備(例如無線電話設(shè)備)沒有這樣的能力。因此，具有有限資源的便攜式通信設(shè)備缺少通過VPN16建立與企業(yè)網(wǎng)絡(luò)14的通信鏈接的能力。
圖2示出了根據(jù)本原理的優(yōu)選實(shí)施例的通信網(wǎng)絡(luò)100的方框示意圖，其用于使得一個(gè)或多個(gè)便攜式通信設(shè)備(例如設(shè)備12a和12b)能夠至少部分地通過虛擬專用網(wǎng)(VPN)16來建立與企業(yè)網(wǎng)絡(luò)14的通信。圖2的網(wǎng)絡(luò)100擁有許多與圖1的網(wǎng)絡(luò)10相同的元件，因此，相同的標(biāo)號(hào)表示相同的元件。
圖2的網(wǎng)絡(luò)100與圖1的網(wǎng)絡(luò)10不同之處在于一個(gè)重要方面。與其中便攜式通信設(shè)備12包括VPN客戶端26的圖1的網(wǎng)絡(luò)10不同，圖2的網(wǎng)絡(luò)100中的便攜式通信設(shè)備12a和12b無一包括VPN客戶端。不是像圖1中那樣通過VPN16建立與企業(yè)網(wǎng)絡(luò)14的端到端的通信鏈接，便攜式通信設(shè)備12a和12b中的每一個(gè)首先使用若干種公知無線通信協(xié)議之一來建立與無線接入點(diǎn)20的通信鏈接。因此，例如，如果便攜式通信設(shè)備12a和12b之一包括無線電話或PDA，則在該設(shè)備和無線接入點(diǎn)20之間的通信典型地將使用若干種公知的無線電話通信協(xié)議(例如CDMA、TDMA、GSM、3G等)中的任一種來進(jìn)行。根據(jù)它們的配置，便攜式通信設(shè)備12a和12b之一或全部可以使用IEEE802.11i協(xié)議來與無線接入點(diǎn)20通信。經(jīng)由無線協(xié)議而不是先前所述的那些協(xié)議進(jìn)行的通信也可以發(fā)生。
一旦便攜式通信設(shè)備12a和12b之一建立了與無線接入點(diǎn)20的通信鏈接，則無線接入點(diǎn)隨后試圖識(shí)別該便攜式通信設(shè)備試圖接入的企業(yè)網(wǎng)絡(luò)以允許認(rèn)證。無線接入點(diǎn)20以兩種方式的至少一種來識(shí)別企業(yè)網(wǎng)絡(luò)14。例如，與便攜式通信設(shè)備的用戶相關(guān)聯(lián)的證書可以標(biāo)識(shí)企業(yè)網(wǎng)絡(luò)14。例如，用戶的證書將包括用戶名、即bob@thomson.net，并且該用戶名的域部分指定企業(yè)網(wǎng)絡(luò)。用戶也可以具體標(biāo)識(shí)他或她試圖接入的企業(yè)網(wǎng)絡(luò)14。
無線接入點(diǎn)20通過與能夠驗(yàn)證用戶證書的企業(yè)網(wǎng)絡(luò)14協(xié)商來認(rèn)證便攜式通信設(shè)備的用戶。這樣的認(rèn)證可以通過在無線接入點(diǎn)20和便攜式通信設(shè)備之間使用IEEE802.11i通信協(xié)議來進(jìn)行。在無線接入點(diǎn)20和企業(yè)網(wǎng)絡(luò)14之間，可以使用RADIUS通信協(xié)議。當(dāng)成功地認(rèn)證時(shí)，無線接入點(diǎn)20使用諸如臨時(shí)密鑰完整性協(xié)議(TKIP)、Wi-Fi保護(hù)接入(WPA)或高級(jí)加密標(biāo)準(zhǔn)(AES)的無線LAN安全機(jī)制來與便攜式通信設(shè)備12a和12b之一建立安全會(huì)話。
無線接入點(diǎn)20也例如通過IPSEC、使用常見的VPN模型、代表便攜式通信設(shè)備來在其自己和企業(yè)網(wǎng)絡(luò)14之間建立VPN。無線接入點(diǎn)20橋接這兩個(gè)安全連接，以便在便攜式設(shè)備和企業(yè)網(wǎng)絡(luò)之間建立端到端的連接。注意，可以作為單個(gè)VPN會(huì)話而預(yù)先建立無線接入點(diǎn)20和企業(yè)網(wǎng)絡(luò)14之間的VPN連接。注意，無線接入點(diǎn)20必須信任企業(yè)網(wǎng)絡(luò)14，從而與其中不必信任中間網(wǎng)絡(luò)的圖1中的端到端VPN解決方案相比引入了額外的復(fù)雜度。
上面描述了用于使通信設(shè)備能夠建立與企業(yè)網(wǎng)絡(luò)的連接而不需要便攜式計(jì)算設(shè)備擁有VPN客戶端的技術(shù)。
權(quán)利要求
1.一種用于在便攜式通信設(shè)備和企業(yè)網(wǎng)絡(luò)之間建立連接的方法，包括以下步驟在無線接入點(diǎn)處從便攜式通信設(shè)備接收對(duì)于接入企業(yè)網(wǎng)絡(luò)的請(qǐng)求；在無線接入點(diǎn)處確定該便攜式通信設(shè)備試圖接入哪個(gè)企業(yè)網(wǎng)絡(luò)在無線接入點(diǎn)處使用無線接入認(rèn)證協(xié)議來認(rèn)證該便攜式通信設(shè)備，以便建立與該便攜式通信設(shè)備的無線通信鏈接；建立到要由該便攜式通信設(shè)備接入的企業(yè)網(wǎng)絡(luò)的虛擬專用網(wǎng)連接，以便經(jīng)由所述接入點(diǎn)而在便攜式通信設(shè)備和所述企業(yè)網(wǎng)絡(luò)之間提供連接；以及橋接所述無線通信鏈接和虛擬專用通信連接。
2.根據(jù)權(quán)利要求1的方法，其中，所述確定步驟還包括以下步驟從試圖接入所述企業(yè)網(wǎng)絡(luò)的便攜式通信設(shè)備接收識(shí)別證書；從該識(shí)別證書識(shí)別所述企業(yè)網(wǎng)絡(luò)。
3.根據(jù)權(quán)利要求1的方法，其中，所述確定步驟還包括以下步驟從試圖接入所述企業(yè)網(wǎng)絡(luò)的便攜式通信設(shè)備接收網(wǎng)絡(luò)標(biāo)識(shí)；以及從該網(wǎng)絡(luò)標(biāo)識(shí)識(shí)別所述企業(yè)網(wǎng)絡(luò)。
4.根據(jù)權(quán)利要求1的方法，其中，所述認(rèn)證步驟還包括以下步驟與所述企業(yè)網(wǎng)絡(luò)協(xié)商，以便驗(yàn)證便攜式通信設(shè)備的證書。
5.根據(jù)權(quán)利要求的方法，其中，所述認(rèn)證步驟還包括使用臨時(shí)密鑰完整性協(xié)議、wi-fi保護(hù)接入?yún)f(xié)議或高級(jí)加密標(biāo)準(zhǔn)協(xié)議之一來認(rèn)證便攜式通信設(shè)備。
6.一種用于操作便攜式通信設(shè)備以接入企業(yè)網(wǎng)絡(luò)的方法，包括以下步驟從便攜式通信設(shè)備發(fā)送接入請(qǐng)求，以便由無線接入點(diǎn)接收；由便攜式通信設(shè)備提供對(duì)于要接入的企業(yè)網(wǎng)絡(luò)的身份的指示，以便由無線接入點(diǎn)接收；以及從便攜式通信設(shè)備向無線接入點(diǎn)提供認(rèn)證信息，以使得無線接入點(diǎn)能夠建立與便攜式通信設(shè)備的無線通信鏈接，并且使得無線接入點(diǎn)能夠建立與所述企業(yè)網(wǎng)絡(luò)的VPN連接，從而無線接入點(diǎn)能夠橋接所述VPN連接和無線通信鏈接。
8.一種用于在便攜式通信設(shè)備和企業(yè)網(wǎng)絡(luò)之間建立連接的裝置，包括用于在無線接入點(diǎn)處從便攜式通信設(shè)備接收對(duì)于接入企業(yè)網(wǎng)絡(luò)的請(qǐng)求的部件；用于在無線接入點(diǎn)處確定該便攜式通信設(shè)備試圖接入哪個(gè)企業(yè)網(wǎng)絡(luò)的部件用于在無線接入點(diǎn)處使用無線接入認(rèn)證協(xié)議來認(rèn)證該便攜式通信設(shè)備、以便建立與該便攜式通信設(shè)備的無線通信鏈接的部件；用于建立到要由該便攜式通信設(shè)備接入的企業(yè)網(wǎng)絡(luò)的虛擬專用網(wǎng)連接、以便經(jīng)由所述接入點(diǎn)而在便攜式通信設(shè)備和所述企業(yè)網(wǎng)絡(luò)之間提供連接的部件；以及用于橋接所述無線通信鏈接和虛擬專用通信連接的部件。
9.根據(jù)權(quán)利要求8的裝置，其中，所述確定部件還包括用于從試圖接入所述企業(yè)網(wǎng)絡(luò)的便攜式通信設(shè)備接收網(wǎng)絡(luò)標(biāo)識(shí)的部件；以及用于從該網(wǎng)絡(luò)標(biāo)識(shí)識(shí)別所述企業(yè)網(wǎng)絡(luò)的部件。
10.根據(jù)權(quán)利要求8的裝置，其中，所述確定部件還包括用于從試圖接入所述企業(yè)網(wǎng)絡(luò)的便攜式通信設(shè)備接收網(wǎng)絡(luò)標(biāo)識(shí)的部件；以及用于從該網(wǎng)絡(luò)標(biāo)識(shí)識(shí)別所述企業(yè)網(wǎng)絡(luò)的部件。
全文摘要
一種便攜式通信設(shè)備(12a，12b)有益地可以通過虛擬專用網(wǎng)(16)鏈接來接入企業(yè)網(wǎng)絡(luò)(14)，而不需要VPN客戶端(26)。為了實(shí)現(xiàn)通信，便攜式通信設(shè)備使用一種或若干種公知的安全無線協(xié)議來與無線接入點(diǎn)(20)建立通信鏈接。無線接入點(diǎn)通過VPN(16)來與企業(yè)網(wǎng)絡(luò)建立通信鏈接，并且橋接所述連接，以便在便攜式計(jì)算設(shè)備和企業(yè)網(wǎng)絡(luò)之間提供端到端的鏈接。
文檔編號(hào)H04L12/56GK1954580SQ200580015793
公開日2007年4月25日 申請(qǐng)日期2005年5月10日 優(yōu)先權(quán)日2004年5月17日
發(fā)明者奧利維爾·格林, 張俊彪, 庫馬·拉馬斯沃米 申請(qǐng)人:湯姆森特許公司