RU2316126C2

RU2316126C2 - Personal remote inter-network screen

Info

Publication number: RU2316126C2
Application number: RU2006110038/09A
Authority: RU
Inventors: Ари ЛАССИЛА; Йюрки СТЕВАЛЛЬ; Харри СУХОНЕН
Original assignee: Нокиа Корпорейшн
Priority date: 2003-08-29
Filing date: 2003-08-29
Publication date: 2008-01-27
Also published as: RU2006110038A

Abstract

FIELD: method and server (10) of virtual private network (VPN) gateways for providing rules for wireless access through protected tunnel connection into corporate network (20).

SUBSTANCE: in accordance to the invention, corporate network (20) is protected by functional capabilities of inter-network screen with different access configurations for different remote users. Server (10) of VPN-gateways includes database (15) of users, which provides rules for accessing corporate network (20) for each user with usage of protected tunnel. Access rules include certain sets of TCP-ports, associated with certain users. Server (10) of gateways limits access of authenticated user to corporate network (20), where access is performed by means of tunnel connection, provided by server (10) of gateways, to associated permitted server TCP-ports.

EFFECT: expanded functional capabilities.

3 cl, 2 dwg

Description

ОБЛАСТЬ ТЕХНИКИ, К КОТОРОЙ ОТНОСИТСЯ ИЗОБРЕТЕНИЕFIELD OF THE INVENTION

Настоящее изобретение относится к способу и серверу шлюзов виртуальной частной сети (VPN) для обеспечения правил для беспроводного доступа по защищенному туннельному соединению в корпоративную сеть.The present invention relates to a method and server for virtual private network gateways (VPNs) for providing rules for wireless access over a secure tunnel connection to a corporate network.

ПРЕДШЕСТВУЮЩИЙ УРОВЕНЬ ТЕХНИКИBACKGROUND OF THE INVENTION

Ожидается, что желание и возможность использовать беспроводные терминалы для осуществления доступа к сети Интернет будут быстро расти в течение ближайших лет. Такой доступ будет значительно усовершенствован сетями мобильной связи третьего поколения (3G), которые операторы сетей мобильной связи внедрили или готовы внедрить по всему миру. К тому же, существующие сети мобильной связи в последнее время были модернизированы дополнительными функциональными возможностями для содействия такому доступу, например, сети GSM (глобальной системы мобильной связи), модернизированные функциональными возможностями GPRS (общей службы пакетной радиопередачи).It is expected that the desire and ability to use wireless terminals to access the Internet will grow rapidly over the coming years. Such access will be significantly improved by third-generation mobile networks (3G), which mobile network operators have implemented or are ready to introduce worldwide. In addition, existing mobile networks have recently been upgraded with additional functionality to facilitate such access, for example, GSM (global mobile communication system) networks, upgraded with GPRS (General Packet Radio Broadcast) functionality.

В то же время, количество служащих, желающих использовать беспроводные терминалы для осуществления доступа к ресурсам своей компании, когда они находятся вне офиса, является постоянно возрастающим, особенно с внедрением все более и более мощных беспроводных устройств, которые предоставляют функциональные возможности, каковые делают их применимыми в качестве инструментального средства удаленной работы.At the same time, the number of employees who want to use wireless terminals to access their company’s resources when they are away from the office is constantly increasing, especially with the introduction of more and more powerful wireless devices that provide the functionality that makes them applicable as a tool for remote work.

Желание осуществления беспроводного доступа к ресурсам корпоративной сети вместе с возрастающими возможностями для беспроводного доступа к сети Интернет будет увеличивать развертывание компаниями виртуальных частных сетей (VPN), предназначенных для обеспечения клиентов беспроводным доступом к ресурсам компании.The desire to provide wireless access to corporate network resources, together with the increasing opportunities for wireless access to the Internet, will increase the deployment of virtual private networks (VPNs) by companies to provide customers with wireless access to company resources.

Вообще, виртуальная частная сеть (VPN) является концепцией, которая надстраивает защищенную частную инфраструктуру связи поверх сети общего пользования. Логическое понятие VPN-туннель подменяет частную линию связи, и туннель может взаимно связывать два узла корпоративной сети, так называемая VPN межузловой связи, или взаимно связывать удаленного пользователя с корпоративной сетью, так называемая VPN удаленного доступа.In general, a virtual private network (VPN) is a concept that builds a secure private communications infrastructure on top of a public network. The logical concept of a VPN tunnel replaces a private communication line, and a tunnel can interconnect two nodes of a corporate network, the so-called inter-site VPN, or interconnect a remote user with a corporate network, the so-called remote access VPN.

В VPN удаленного доступа сервер VPN-шлюзов в типичном случае взаимно связывает корпоративную сеть с сетью Интернет. Так, пользователь может использовать Интернет-соединение по телефонной линии, предоставляемое поставщиком Интернет-обслуживания, для того чтобы подключиться к корпоративной сети через сервер VPN-шлюзов. Поскольку пользователь подключается через сеть общего пользования, необходимо предпринимать определенные меры безопасности, в типичном случае, шифрование соединения и аутентификацию пользователя. После того, как сервер VPN-шлюзов успешно аутентифицирует пользователя по шифрованному соединению между клиентом и корпоративным VPN-шлюзом, пользователь обеспечивается доступом в корпоративную сеть через так называемый защищенный VPN-туннель. Используя туннель, пользователь способен осуществлять доступ к разным ресурсам в сети компании. Подобным образом, если пользователи используют беспроводные клиентские терминалы, имеющие доступ к Интернет через беспроводную сеть, защищенные VPN-туннели могут быть установлены между беспроводными клиентами и VPN-шлюзом через беспроводную сеть и сеть Интернет, тем самым давая возможность беспроводного удаленного доступа к корпоративным сетевым ресурсам.In a remote access VPN, the VPN gateway server typically interconnects the corporate network with the Internet. Thus, a user can use a telephone line Internet connection provided by an Internet service provider to connect to a corporate network via a VPN gateway server. Since the user connects through the public network, certain security measures must be taken, typically encrypting the connection and authenticating the user. After the VPN gateway server successfully authenticates the user over the encrypted connection between the client and the corporate VPN gateway, the user is provided with access to the corporate network through the so-called secure VPN tunnel. Using the tunnel, the user is able to access various resources in the company’s network. Similarly, if users use wireless client terminals that access the Internet through a wireless network, secure VPN tunnels can be established between wireless clients and a VPN gateway through a wireless network and the Internet, thereby enabling wireless remote access to corporate network resources. .

Как установлено, доступ в корпоративную сеть через защищенное соединение VPN-туннеля предполагает шифрование соединения и аутентификацию осуществляющего доступ пользователя. Однако, как только защищенное туннельное соединение установлено, в пределах туннеля нет никаких специфичных для конкретного пользователя правил доступа. Взамен туннель дает беспроводному клиенту возможность использовать все TCP-порты (порты протокола управления передачей), которые постоянно открыты для любого аутентифицированного осуществляющего доступ пользователя.As it was established, access to the corporate network through a secure connection of the VPN tunnel implies encryption of the connection and authentication of the accessing user. However, once a secure tunnel connection is established, there are no user-specific access rules within the tunnel. Instead, the tunnel allows the wireless client to use all the TCP ports (transmission control protocol ports) that are constantly open to any authenticated accessing user.

Наличие постоянно открытых TCP-портов в пределах защищенного проходного соединения для всех аутентифицированных пользователей не согласуется с тем фактом, что многие служащие, использующие беспроводные клиентские терминалы, нуждаются всего лишь в доступе к определенным приложениям в пределах корпоративной сети. Более того, некоторые служащие даже могут еще не быть авторизованными (уполномоченными) для осуществления доступа к определенным корпоративным приложениям. Следовательно, желательно предусмотреть конструкцию, которая простым путем дает компании возможность управлять тем, до какой степени беспроводным клиентам предоставлена возможность осуществлять доступ в корпоративную сеть в пределах защищенного VPN-туннеля.The presence of permanently open TCP ports within a secure loop-through connection for all authenticated users is not consistent with the fact that many employees using wireless client terminals only need access to certain applications within the corporate network. Moreover, some employees may not even be authorized (authorized) to access certain corporate applications. Therefore, it is desirable to provide a design that, in a simple way, allows the company to control the extent to which wireless clients are given the opportunity to access the corporate network within a secure VPN tunnel.

СУЩНОСТЬ ИЗОБРЕТЕНИЯSUMMARY OF THE INVENTION

Настоящее изобретение предусматривает VPN-шлюз с функциональными возможностями межсетевого экрана, который способен различать тип доступа, разрешенного по разным пользователям, в корпоративную сеть.The present invention provides a VPN gateway with firewall functionality that is capable of distinguishing between the types of access allowed by different users to the corporate network.

Согласно изобретению эти функциональные возможности достигаются посредством способа по независимому п. 1 формулы изобретения и сервером шлюзов виртуальной частной сети по независимому п. 12 формулы изобретения. Предпочтительные варианты осуществления определены в зависимых пунктах формулы изобретения.According to the invention, these functionalities are achieved by the method according to independent claim 1 of the claims and the gateway server of the virtual private network according to independent claim 12 of the claims. Preferred embodiments are defined in the dependent claims.

Идея, на которой основано настоящее изобретение, состоит в том, чтобы предоставлять беспроводный удаленный доступ в корпоративную сеть, которая защищена функциональными возможностями межсетевого экрана, с разными конфигурациями доступа для разных удаленных пользователей.The idea that the present invention is based on is to provide wireless remote access to a corporate network that is protected by firewall functionality, with different access configurations for different remote users.

Согласно изобретению сервер VPN-шлюзов включает в себя базу данных пользователей, которая предусматривает правила, специфичные для каждого пользователя, для доступа в корпоративную сеть с использованием защищенного туннеля. Правила включают в себя конкретные наборы TCP-портов, ассоциированные с соответственными отдельными пользователями. Сервер шлюзов ограничивает доступ аутентифицированного пользователя в корпоративную сеть, каковой доступ выполняется посредством туннельного соединения, предоставленного сервером шлюзов, к ассоциированным разрешенным серверным TCP-портам.According to the invention, the VPN gateway server includes a user database that provides rules specific to each user for accessing the corporate network using a secure tunnel. The rules include specific sets of TCP ports associated with the respective individual users. The gateway server restricts the authenticated user access to the corporate network, which access is made through the tunnel connection provided by the gateway server to the associated allowed server TCP ports.

Таким образом, вместо предоставления аутентифицированному пользователю возможности использовать любые имеющиеся в распоряжении серверные TCP-порты в пределах защищенного туннеля функциональные возможности межсетевого экрана сервера VPN-шлюзов согласно настоящему изобретению будут всего лишь представлять пользователю возможность осуществлять доступ в корпоративную сеть посредством защищенного туннеля с использованием серверных TCP-портов, ассоциированных с пользователем в базе данных пользователей. Это означает, что возможно различать типы доступа в корпоративную сеть, которые разрешены по разным пользователям. Например, одному пользователю может быть предоставлена возможность использовать все имеющиеся в распоряжении TCP-порты, или сокеты, в пределах защищенного туннеля, таким образом, давая возможность удаленно взаимодействовать с различным количеством приложений в корпоративной сети. Одновременно, другому пользователю может быть предоставлена возможность использовать только серверные TCP-порты для удаленного взаимодействия с процессом сервера электронной почты в корпоративной сети.Thus, instead of allowing the authenticated user to use any available server TCP ports within the secure tunnel, the firewall functionality of the VPN gateway server according to the present invention will merely provide the user with the ability to access the corporate network through the secure tunnel using server TCP ports associated with the user in the user database. This means that it is possible to distinguish between types of access to the corporate network that are allowed for different users. For example, a single user may be given the opportunity to use all the available TCP ports, or sockets, within a secure tunnel, thus allowing remote interaction with a different number of applications on the corporate network. At the same time, another user may be given the opportunity to use only server TCP ports for remote interaction with the e-mail server process on the corporate network.

Защищенный туннель предпочтительно связан с конкретным серверным TCP-портом сервера шлюзов, в то время как разрешенные TCP-порты для реального пользовательского трафика в пределах туннеля являются заранее сконфигурированными в базе данных пользователей. Серверный TCP-порт для самого туннеля предварительно сконфигурирован в приложении пользователя.The secure tunnel is preferably associated with a specific server TCP port of the gateway server, while the allowed TCP ports for real user traffic within the tunnel are pre-configured in the user database. The server TCP port for the tunnel itself is preconfigured in the user application.

Предпочтительно, пользовательский доступ в корпоративную сеть содержит два отдельных TCP-сеанса. Один - VPN-туннель в виде шифрованного соединения между пользовательским беспроводным клиентским терминалом и сервером шлюзов и один сеанс - между сервером шлюзов и внутренним сервером корпоративной сети. В последнем из двух TCP-сеансе сервер шлюзов действует в качестве клиента по отношению к серверному сокету, задаваемому разрешенным серверным TCP-портом.Preferably, user access to the corporate network contains two separate TCP sessions. One is a VPN tunnel in the form of an encrypted connection between the user wireless client terminal and the gateway server, and one session is between the gateway server and the internal server of the corporate network. In the last of the two TCP sessions, the gateway server acts as a client with respect to the server socket specified by the allowed server TCP port.

База данных пользователей может быть сконфигурирована различными полезными способами, чтобы контролировать и уточнять доступ пользователей в корпоративную сеть через туннельное соединение. Некоторые из этих возможных конфигураций обсуждены ниже.The user database can be configured in various useful ways to control and refine user access to the corporate network via a tunnel connection. Some of these possible configurations are discussed below.

Предпочтительно, база данных пользователей ассоциирует номер серверного TCP-порта отдельного пользователя с отдельным IP-адресом (адресом межсетевого протокола) в пределах корпоративной сети. Таким образом, пользовательские данные разных клиентов, использующих протокол одного и того же порта посредством либо использования одних и тех же широко известных сокетов, либо использования разных номеров TCP-портов, ассоциированных с протоколом одного и того же порта, могут быть переправлены адресатам информации с разными IP-адресами в пределах корпоративной сети. Эти адресаты информации затем могут быть использованы, чтобы различать доступные ресурсы и приложения для разных пользователей, использующих один и тот же протокол доступа.Preferably, the user database associates the server TCP port number of an individual user with a separate IP address (Internet Protocol address) within the corporate network. Thus, user data of different clients using the protocol of the same port through either using the same well-known sockets or using different TCP port numbers associated with the protocol of the same port can be forwarded to the recipients of information with different IP addresses within the corporate network. These recipients of information can then be used to distinguish between available resources and applications for different users using the same access protocol.

Преимущественно, разрешенные серверные TCP-порты пользователя являются серверными TCP-портами клиентской стороны, ассоциированными в базе данных пользователей с соответственными серверными TCP-портами серверной стороны. Это предоставляет возможность ассоциировать разные серверные TCP-порты клиентской стороны с одним и тем же серверным TCP-портом серверной стороны. Это является полезным, так как это дает клиенту возможность выполнять, например, два разных экземпляра клиентских прикладных процессов по отношению к одному и тому же серверному прикладному процессу. Например, клиент может иметь два параллельных процесса почтового клиента, осуществляющих связь с одним и тем же процессом почтового сервера.Advantageously, the allowed server TCP ports of the user are the client side server TCP ports associated in the user database with the corresponding server side server TCP ports. This provides the ability to associate different server TCP ports of the client side with the same server TCP port of the server side. This is useful because it gives the client the ability to run, for example, two different instances of the client application processes with respect to the same server application process. For example, a client can have two parallel mail client processes communicating with the same mail server process.

Кроме того, полезно конфигурировать базу данных пользователей, чтобы ассоциировать разные TCP-порты клиентской стороны, разрешенные для отдельного пользователя, с одним и тем же TCP-портом серверной стороны, но с разными IP-адресами. Таким образом, клиент способен получать параллельные соединения, с использованием одного и того же протокола, с разными IP-адресами в корпоративной сети, используя разные TCP-порты клиентской стороны для разных соединений. Это предоставляет возможность для клиента иметь в распоряжении разные параллельные процессы почтового клиента, осуществляющие связь с разными процессами почтового сервера по разным IP-адресам.In addition, it is useful to configure the user database to associate different client-side TCP ports that are allowed for a single user with the same server-side TCP port, but with different IP addresses. Thus, the client is able to receive parallel connections, using the same protocol, with different IP addresses on the corporate network, using different client-side TCP ports for different connections. This provides an opportunity for the client to have at their disposal different parallel processes of the mail client, which communicate with different processes of the mail server at different IP addresses.

Преимущественно, база данных пользователей сконфигурирована так, чтобы ассоциировать серверный TCP-порт клиентской стороны с серверным TCP-портом серверной стороны и IP-адресом корпоративного DNS-сервера (сервера службы доменных имен) в пределах корпоративной сети. Это дает представляющему интерес клиенту возможность использовать корпоративную DNS-службу в пределах туннельного соединения.Advantageously, the user database is configured to associate the client side server TCP port with the server side server TCP port and the IP address of the corporate DNS server (domain name service server) within the corporate network. This gives the client of interest the ability to use the corporate DNS service within the tunnel connection.

Набор разрешенных серверных TCP-портов в пределах туннеля, которые ассоциированы с конкретным пользователем, предпочтительно передается пользователю после того, как он был аутентифицирован. Таким образом, пользователь будет информирован о тех серверных TCP-портах, которым разрешено быть использованными в туннеле, в случае, когда клиент не был предварительно сконфигурирован посредством информации о таких разрешенных серверных TCP-портах. К тому же это дает возможность изменения разрешенных TCP-портов в базе данных пользователей без необходимости соответственным образом переконфигурировать клиента перед использованием туннельного соединения.The set of allowed server TCP ports within the tunnel that are associated with a particular user is preferably transmitted to the user after he has been authenticated. Thus, the user will be informed about those server TCP ports that are allowed to be used in the tunnel, in the case when the client has not been preconfigured using information about such allowed server TCP ports. In addition, this makes it possible to change the allowed TCP ports in the user database without the need to reconfigure the client accordingly before using the tunnel connection.

Серверные TCP-порты, разрешенные для использования клиентом, могут быть широко известными сокетами или произвольными портами. В случае, когда используются произвольные серверные TCP-порты, вариант осуществления изобретения предусматривает, что база данных пользователей ассоциирует специфичный для конкретного порта протокол с разрешенными серверными TCP-портами, каковые протоколы передаются клиенту вместе с TCP-портами после аутентификации.Server TCP ports allowed for use by the client can be well-known sockets or arbitrary ports. In the case where arbitrary server TCP ports are used, an embodiment of the invention provides that the user database associates a port-specific protocol with allowed server TCP ports, which protocols are transmitted to the client along with the TCP ports after authentication.

Упомянутые выше и дополнительные признаки и преимущества настоящего изобретения будут в большей степени полностью понятны из последующего описания некоторого количества иллюстративных вариантов осуществления изобретения. Как понятно, различные модификации, изменения и различные сочетания признаков, попадающие в пределы сущности и объема изобретения, станут очевидными специалистам в данной области техники при изучении главной идеи, изложенной в материалах настоящей заявки, и последующего подробного описания.The above and additional features and advantages of the present invention will be more fully understood from the following description of a number of illustrative embodiments of the invention. As you know, various modifications, changes and various combinations of features that fall within the essence and scope of the invention will become apparent to specialists in this field of technology when studying the main idea presented in the materials of this application, and the subsequent detailed description.

ПЕРЕЧЕНЬ ФИГУРLIST OF FIGURES

Иллюстративные варианты осуществления настоящего изобретения далее будут описаны со ссылкой на сопроводительные чертежи, на которых:Illustrative embodiments of the present invention will now be described with reference to the accompanying drawings, in which:

Фиг.1 - схематичное представление иллюстративной среды системы в целом, в которой вариант осуществления изобретения заключен и работоспособен; иFigure 1 is a schematic representation of an illustrative environment of the system as a whole, in which an embodiment of the invention is enclosed and operational; and

Фиг.2 - схематичное представление той же самой иллюстративной среды системы в целом, в которой еще один вариант осуществления изобретения заключен и работоспособен.Figure 2 is a schematic representation of the same illustrative environment of the system as a whole, in which another embodiment of the invention is enclosed and operational.

ПОДРОБНОЕ ОПИСАНИЕ ИЗОБРЕТЕНИЯDETAILED DESCRIPTION OF THE INVENTION

Со ссылкой на фиг.1 далее изобретение будет описано более подробно. Фиг.1 показывает сервер 10 шлюзов виртуальной частной сети (VPN), взаимно связывающий корпоративную сеть 20, в типичном случае - сеть Интернет (локальную сеть, использующую технологии Интернет) и сеть Интернет 30. Пользовательский беспроводной клиентский терминал 40 показан в качестве обладающего доступом к сети Интернет через беспроводную сеть 50.With reference to FIG. 1, the invention will now be described in more detail. 1 shows a gateway server 10 of a virtual private network (VPN) interconnecting a corporate network 20, typically an Internet network (a local area network using Internet technologies) and an Internet network 30. A user wireless client terminal 40 is shown as having access to Internet via a wireless network 50.

Сервер VPN-шлюзов включает в себя базу 15 данных пользователей, сконфигурированную так, чтобы ассоциировать разных пользователей с разными специфичными для конкретного пользователя правилами для осуществления доступа в корпоративную сеть 20. База данных пользователей предоставляет специфичные для конкретного пользователя правила посредством ассоциирования разных пользователей с разными наборами серверных TCP-портов, которые разрешено использовать при осуществлении доступа в корпоративную сеть посредством соединения VPN-туннеля.The VPN gateway server includes a user database 15 configured to associate different users with different user-specific rules for accessing the corporate network 20. The user database provides user-specific rules by associating different users with different sets server TCP ports, which are allowed to be used when accessing the corporate network through the connection of the VPN tunnel.

Сервер 10 VPN-шлюзов сконфигурирован так, чтобы использовать один конкретный серверный TCP-порт для предоставления защищенного VPN-туннеля, с помощью которого пользователь может осуществлять доступ в корпоративную сеть 20 с использованием беспроводного клиентского терминала 40. Туннель создается, когда беспроводной клиент 40 использует этот конкретный порт, чтобы инициировать шифрованное SSL-соединение (соединение уровня защищенных сокетов) между клиентом 40 и сервером 10 шлюзов в качестве собственного сеанса. Этот сеанс заканчивается на сервере шлюзов. Дополнительные соединения между сервером 10 шлюзов и внутренними серверами корпоративной сети 20 обеспечиваются посредством новых нешифрованных отдельных TCP-сеансов.The VPN gateway server 10 is configured to use one specific server TCP port to provide a secure VPN tunnel with which the user can access the corporate network 20 using the wireless client terminal 40. The tunnel is created when the wireless client 40 uses this a specific port to initiate an encrypted SSL connection (secure socket level connection) between the client 40 and the gateway server 10 as a native session. This session ends on the gateway server. Additional connections between the gateway server 10 and the internal servers of the corporate network 20 are provided through new unencrypted separate TCP sessions.

Таким образом, пользовательский доступ к внутреннему серверу корпоративной сети 20 обеспечивается посредством отдельного TCP-сеанса между клиентом 40 и сервером 10 шлюзов и дополнительным TCP-сеансом между сервером 10 шлюзов и внутренним сервером, где сервер шлюзов действует в качестве клиента.Thus, user access to the internal server of the corporate network 20 is provided through a separate TCP session between the client 40 and the gateway server 10 and an additional TCP session between the gateway server 10 and the internal server, where the gateway server acts as a client.

Сервер 10 VPN-шлюзов дополнительно включает в себя средство 11 аутентификации для аутентификации пользователя, подключающегося к VPN-туннелю, средство 12 фильтрации портов для ограничения доступа аутентифицированного пользователя в туннеле и средство 13 передачи для передачи набора разрешенных серверных TCP-портов аутентифицированному пользователю.The VPN gateway server 10 further includes authentication means 11 for authenticating the user connecting to the VPN tunnel, port filtering means 12 for restricting the access of the authenticated user in the tunnel, and transmission means 13 for transmitting the set of allowed server TCP ports to the authenticated user.

Специалисту в данной области техники должно быть понятно, что база 15 данных пользователей, средство 11 аутентификации, средство 12 фильтрации портов - все реализованы хорошо известными аппаратными схемами современного уровня техники, включающими в себя схемы памяти, интерфейсные схемы и микропроцессор, которые сконфигурированы и управляемы, с тем чтобы работать в соответствии с изобретением. Микропроцессор выполняет программные команды, которые загружены в память и которые предписывают аппаратным схемам быть сконфигурированными и работать в соответствии с различными вариантами осуществления изобретения. Назначение этих программных команд будет понятно специалисту в области программирования после восприятия изучаемого содержания настоящей заявки.One of ordinary skill in the art should understand that a user database 15, authentication means 11, port filtering means 12 are all implemented by well-known hardware circuits of the state of the art, including memory circuits, interface circuits, and a microprocessor that are configured and controlled, in order to work in accordance with the invention. The microprocessor executes program instructions that are loaded into memory and which instruct the hardware circuits to be configured and operate in accordance with various embodiments of the invention. The purpose of these program commands will be clear to a specialist in the field of programming after perceiving the studied content of this application.

Снова со ссылкой на фиг.1 далее будет описан иллюстративный вариант осуществления. На фиг.1 показана иллюстративная конфигурация в базе 15 данных пользователей, которая ассоциирует пользователя Х с набором разрешенных TCP-портов, состоящим из портов 80, 110 и 25. Эти порты известны специалистам в данной области техники как сокеты для протоколов HTTP (протокола передачи гипертекста), POP3 (почтового протокола - версия 3) и SMTP (протокола пересылки электронной почты), соответственно. Подобным образом пользователь Y ассоциирован только с разрешенными портами 110 и 25. Таким образом, доступ пользователя Y в корпоративную сеть 20 сконфигурирован ограниченным доступом к почтовому серверу, тогда как пользователю X, в дополнение к доступу к почтовому серверу, также предоставлена возможность осуществлять доступ к Web-приложениям в пределах корпоративной сети.Again, with reference to FIG. 1, an exemplary embodiment will now be described. Figure 1 shows an illustrative configuration in user database 15, which associates user X with a set of allowed TCP ports consisting of ports 80, 110, and 25. These ports are known to those skilled in the art as sockets for HTTP protocols (Hypertext Transfer Protocol) ), POP3 (mail protocol version 3) and SMTP (email forwarding protocol), respectively. Similarly, user Y is associated only with allowed ports 110 and 25. Thus, user Y’s access to corporate network 20 is configured with limited access to the mail server, while user X, in addition to access to the mail server, is also given the opportunity to access the Web Applications within the corporate network.

Беспроводной клиент 40 включает в себя клиентское приложение, сконфигурированное так, чтобы осуществлять доступ к VPN-туннелю, предоставленному сервером шлюзов. Чтобы осуществить доступ к туннелю, клиент подключается к IP-адресу сервера VPN-шлюзов и конкретному серверному TCP-порту туннеля. Если серверным TCP-портом для туннеля является, например, порт 83, клиентское приложение будет предварительно сконфигурировано так, чтобы подключаться к серверному TCP-порту 83 при осуществлении доступа к VPN- туннелю.Wireless client 40 includes a client application configured to access a VPN tunnel provided by a gateway server. To access the tunnel, the client connects to the IP address of the VPN gateway server and the specific server TCP port of the tunnel. If the server TCP port for the tunnel is, for example, port 83, the client application will be preconfigured to connect to server TCP port 83 when accessing the VPN tunnel.

Далее будет описана работа варианта осуществления, показанного на фиг.1. Согласно изобретению база 15 данных пользователей сначала конфигурируется специфичными для конкретных пользователей правилами касательно доступа к серверным TCP-портам с использованием VPN-туннеля. Как описано выше, это конфигурирование включает в себя ассоциирование разных наборов разрешенных серверных TCP-портов с разными пользователями. Результирующая конфигурация базы данных пользователей в этом варианте осуществления описана выше и, к тому же, показана на фиг.1.Next, operation of the embodiment shown in FIG. 1 will be described. According to the invention, the user database 15 is first configured by user-specific rules regarding access to server TCP ports using a VPN tunnel. As described above, this configuration involves associating different sets of allowed server TCP ports with different users. The resulting user database configuration in this embodiment is described above and, moreover, is shown in FIG.

Когда пользователь желает осуществить доступ в корпоративную сеть, он использует беспроводной клиент 40 и IP-адрес сервера 10 VPN-шлюзов для подключения к серверному TCP-порту сервера 10 VPN-шлюзов, чтобы подключиться к серверному TCP-порту VPN-туннеля, то есть, в этом случае, порту 83. Посредством использования этого порта для инициации SSL-шифрованного соединения между клиентом 40 и сервером 10 шлюзов создается защищенный VPN-туннель. Сервер 10 VPN-шлюзов затем будет аутентифицировать пользователя на основании информации идентификации и пароля, передаваемой пользователем с беспроводного клиента 40 по TCP/IP-соединению на серверный TCP-порт 83 туннеля. Когда пользователь аутентифицирован, сервер VPN-шлюзов извлекает разрешенные серверные TCP-порты, ассоциированные с конкретным пользователем, из базы 15 данных пользователей. Сервер 10 VPN затем возвращает номер сеанса клиента и конкретные разрешенные серверные TCP-порты приложению беспроводного клиента, например, порты 80, 110 и 25, если подключающимся пользователем является описанный выше пользователь Х. Этими серверными TCP-портами теперь являются только порты, разрешенные в туннеле.When the user wants to access the corporate network, he uses the wireless client 40 and the IP address of the VPN gateway server 10 to connect to the server TCP port of the VPN gateway server 10 to connect to the server TCP port of the VPN tunnel, that is, in this case, port 83. By using this port to initiate an SSL encrypted connection between the client 40 and the gateway server 10, a secure VPN tunnel is created. The VPN gateway server 10 will then authenticate the user based on the authentication information and password transmitted by the user from the wireless client 40 via a TCP / IP connection to the server TCP port 83 of the tunnel. When the user is authenticated, the VPN gateway server retrieves the allowed server TCP ports associated with a specific user from the user database 15. The VPN server 10 then returns the client session number and the specific allowed server TCP ports to the wireless client application, for example, ports 80, 110, and 25 if the connecting user is user X described above. These server TCP ports are now only the ports allowed in the tunnel .

Приняв разрешенные серверные TCP-порты от сервера 10 VPN-шлюзов, беспроводной клиент 40 будет знать, какие протоколы следует использовать в открытом защищенном туннеле. (Если бы разрешенные TCP-порты не были широко известными сокетами, сервер 10 также был бы должен передавать клиенту протоколы для использования с разрешенными TCP-портами). Теперь пользователь может начинать использование приложений, требующих протоколов, соответствующих протоколам, которые возможно использовать в связи с разрешенными TCP-портами. В типичном случае, клиентское приложение будет открывать TCP-порт клиентской стороны и передавать запрос в пределах туннеля, который должен быть присоединен к разрешенному TCP-порту серверной стороны. Например, пользователь Х может использовать приложение Web-браузера (средства просмотра Web-страниц в сети Интернет), которое открывает порт 1077 клиентской стороны и осуществляет запрос, чтобы стать подключенным к разрешенному TCP-порту 80 серверной стороны. Клиент будет направлять этот запрос для подключения к сокету в туннеле, то есть через установленное соединение, на TCP-порт 83 серверной стороны. Все клиентские запросы для подключения к разным сокетам таким образом направляются на одно и то же открытое соединение серверного сокета, то есть серверный TCP-порт 83 SSL-шифрованного защищенного туннеля.Having accepted the allowed server TCP ports from the VPN gateway server 10, the wireless client 40 will know which protocols should be used in the open secure tunnel. (If the allowed TCP ports were not well-known sockets, server 10 would also have to pass the client protocols for use with the allowed TCP ports). Now the user can start using applications that require protocols that comply with the protocols that can be used in connection with the allowed TCP ports. In a typical case, the client application will open the client side TCP port and transmit the request within the tunnel, which should be connected to the allowed server side TCP port. For example, user X may use a Web browser application (a Web browser for browsing the Internet) that opens the client side port 1077 and makes a request to become connected to the allowed server side TCP port 80. The client will forward this request to connect to the socket in the tunnel, that is, through the established connection, to TCP port 83 of the server side. All client requests for connecting to different sockets are thus directed to the same open connection of the server socket, that is, server TCP port 83 of the SSL encrypted secure tunnel.

По приему данных от беспроводного клиента в защищенном туннеле сервер 10 шлюзов дешифрует данные и сверяет с базой данных пользователей, разрешено ли пользователю Х использовать серверный TCP-порт 80 в туннеле. Когда это так, сервер 10 шлюзов будет действовать как клиент и устанавливать новый отдельный ТСР-сеанс посредством подключения к TCP-порту 80 того внутреннего сервера, который вмещает серверный процесс Web-приложения в корпоративной сети. Сервер 10 шлюзов затем будет пересылать дешифрованные пользовательские данные в рамках этого отдельного TCP-сеанса.Upon receiving data from a wireless client in a secure tunnel, the gateway server 10 decrypts the data and checks with the user database whether user X is allowed to use server TCP port 80 in the tunnel. When this is the case, the gateway server 10 will act as a client and establish a new separate TCP session by connecting to the TCP port 80 of the internal server that hosts the server process of the Web application on the corporate network. The gateway server 10 will then forward the decrypted user data as part of this separate TCP session.

Допустим теперь, что пользователь Y захотел бы запустить приложение Web-браузера. Согласно конфигурации сервер 10 шлюзов будет препятствовать пользователю Y в этом виде доступа в корпоративную сеть. Когда пользователь Y направляет запрос на подключение к порту 80 в туннеле, сервер шлюзов, после дешифрования принятых данных, будет обнаруживать, что пользователю Y не разрешено использовать запрошенный серверный TCP-порт. Следовательно, сервер 10 шлюзов не будет устанавливать какой бы то ни было TCP-сеанс на порт 80 внутреннего сервера, и никакие данные не будут переправляться в корпоративную сеть. Однако, если бы пользователь Y попытался осуществить доступ к почтовому серверу в корпоративной сети, такой доступ мог бы быть предоставлен сервером 10 шлюзов, так как при этом были бы задействованы серверные TCP-порты, разрешенные для использования пользователем Y в туннеле (порт 25 и 110). Таким образом, сервер 10 шлюзов ограничивает доступ пользователя Y в корпоративную сеть.Suppose now that user Y would like to launch a web browser application. According to the configuration, the gateway server 10 will prevent user Y from accessing the corporate network in this form. When user Y sends a request to connect to port 80 in the tunnel, the gateway server, after decrypting the received data, will detect that user Y is not allowed to use the requested server TCP port. Therefore, the gateway server 10 will not establish any TCP session on port 80 of the internal server, and no data will be forwarded to the corporate network. However, if user Y tried to access the mail server on the corporate network, such access could be provided by the gateway server 10, since this would involve server TCP ports allowed for use by user Y in the tunnel (ports 25 and 110 ) Thus, the gateway server 10 restricts user Y access to the corporate network.

Со ссылкой на фиг.2 далее будет описан еще один иллюстративный вариант осуществления изобретения. В этом варианте осуществления база данных пользователей сконфигурирована так, чтобы предоставлять дополнительные специфичные для конкретного пользователя правила для доступа в корпоративную сеть. Конфигурация и доступ к VPN-туннелю соответствуют уже описанным со ссылкой на фиг.1. Более того, все элементы на фиг.2, имеющие конструкцию и работу, соответствующие таковым у элементов по фиг.1, обозначены такими же ссылочными символами, как использованные на фиг.1.With reference to FIG. 2, another illustrative embodiment of the invention will now be described. In this embodiment, the user database is configured to provide additional user-specific rules for accessing the corporate network. The configuration and access to the VPN tunnel correspond to those already described with reference to FIG. Moreover, all the elements in figure 2, having the design and operation corresponding to those of the elements in figure 1, are denoted by the same reference symbols as used in figure 1.

Разрешенными серверными TCP-портами, ассоциированными с пользователем, в этом варианте осуществления являются разрешенные серверные TCP-порты клиентской стороны, которые в базе 25 данных пользователей ассоциированы с соответственными серверными TCP-портами серверной стороны. При приеме запроса по VPN-туннелю для подключения к разрешенному серверному TCP-порту сервер 10 шлюзов будет устанавливать новый TCP-сеанс посредством подключения к ассоциированному серверному TCP-порту серверной стороны. Пользовательские данные, принятые в защищенном туннеле и имеющие разрешенный серверный TCP-порт клиентской стороны в качестве адресата информации, будут затем переправлены на ассоциированный серверный TCP-порт серверной стороны.The allowed server TCP ports associated with the user in this embodiment are the allowed client side server TCP ports, which in the user database 25 are associated with the corresponding server side server TCP ports. Upon receipt of the request via the VPN tunnel to connect to the allowed server TCP port, the gateway server 10 will establish a new TCP session by connecting to the server side of the associated TCP server port. User data received in a secure tunnel and having a client-side TCP server port authorized as the destination of information will then be forwarded to the server-side TCP server port associated with it.

В дополнение, серверный TCP-порт клиентской стороны каждого пользователя ассоциирован с IP-адресом, давая возможность одному и тому же номеру серверного TCP-порта клиентской стороны разных пользователей быть ассоциированным с разными IP-адресами.In addition, the client side server TCP port of each user is associated with an IP address, allowing the same client side server TCP port number of different users to be associated with different IP addresses.

Фиг.2 показывает иллюстративную конфигурацию, которая включает в себя пользователей X и Y. Снова подразумевается, что приложения в корпоративной сети используют номера портов пользователей в соответствии с общепринятым способом для использования этих номеров, то есть порт 25 - для протокола SMTP, порт 110 - для протокола POP3, порт 80 - для протокола HTTP и порт 53 - для приложений сервера службы доменных имен. С конфигурацией по фиг.2 пользователю Х разрешено использовать серверные TCP-порты 25, 26, 110 и 112 клиентской стороны, чтобы осуществлять доступ к приложениям разных почтовых серверов, имеющим разные IP-адреса.Figure 2 shows an illustrative configuration, which includes users X and Y. Again, it is understood that applications on the corporate network use user port numbers in accordance with the generally accepted method for using these numbers, that is, port 25 for SMTP, port 110 for for POP3, port 80 for HTTP and port 53 for domain name service server applications. With the configuration of FIG. 2, user X is allowed to use client-side TCP server ports 25, 26, 110, and 112 to access applications of different mail servers having different IP addresses.

После аутентификации пользователя Х сервер VPN-шлюзов передает разрешенные серверные TCP-порты клиентской стороны на беспроводной терминал 40, эксплуатируемый пользователем Х, по защищенному туннелю. Пользователь Х в таком случае знает, какие порты, которые разрешены, должны быть использованы. Если бы номер порта не был широко известным сокетом, сервер шлюзов также передавал бы пользователю специфичный для конкретного порта протокол, который должен быть использован совместно с конкретным портом. В качестве альтернативы, беспроводной клиент предварительно конфигурируется тем, какие протоколы следует использовать с различными номерами портов.After user X is authenticated, the VPN gateway server transmits the allowed client side TCP server ports to the wireless terminal 40 operated by user X over a secure tunnel. User X then knows which ports that are allowed should be used. If the port number were not a well-known socket, the gateway server would also transmit to the user a port-specific protocol that should be used with a particular port. Alternatively, the wireless client is preconfigured with which protocols to use with different port numbers.

Из конфигурации базы 25 данных пользователей по фиг.2 можно видеть, что пользователю Х разрешено осуществлять доступ к процессам двух разных POP3-серверов, находящихся по двум разным IP-адресам 10.114.2.1 и 10.114.2.2 в корпоративной сети, посредством использования двух разных серверных TCP-портов 110 и 112 клиентской стороны совместно с протоколом POP3 в туннеле. Как указано на фиг.2, трафик в защищенном туннеле от пользователя Х, использующий серверный TCP-порт 110 клиентской стороны, будет пересылаться через TCP-соединение на IP-адрес 10.114.2.1 и TCP-порт 110 серверной стороны, тогда как трафик, использующий серверный TCP-порт 112 клиентской стороны, будет пересылаться в TCP-соединение на IP-адрес 10.114.2.2 и TCP-порт 110 серверной стороны.From the configuration of the user database 25 of FIG. 2, it can be seen that user X is allowed to access the processes of two different POP3 servers located at two different IP addresses 10.114.2.1 and 10.114.2.2 on the corporate network by using two different server TCP ports 110 and 112 of the client side in conjunction with the POP3 protocol in the tunnel. As indicated in FIG. 2, traffic in a secure tunnel from user X using client side server TCP port 110 will be forwarded through a TCP connection to IP address 10.114.2.1 and server side TCP port 110, while traffic using server TCP port 112 of the client side will be forwarded to the TCP connection to the IP address 10.114.2.2 and TCP port 110 of the server side.

Пользователю Y, с другой стороны, разрешено использовать только серверные TCP-порты 25 и 110 клиентской стороны. Таким образом, доступ к почтовому серверу пользователя Y в корпоративную сеть ограничен серверными TCP-портами серверной стороны, используемыми для POP3 и SMTP почтовым сервером, имеющим IP-адрес 10.114.2.2. Таким образом, один и тот же номер серверного TCP-порта клиентской стороны двух разных пользователей, то есть номер 110 порта, в этот момент ассоциирован с одним и тем же номером TCP-порта серверной стороны, но с разными IP-адресами. Таким образом, сервер шлюзов способен пересылать пользовательские данные от разных пользователей, которые используют один и тот же протокол передачи данных, на TCP-порты серверной стороны адресатов информации с разными IP-адресами.User Y, on the other hand, is allowed to use only client server TCP ports 25 and 110. Thus, access to user Y's mail server on the corporate network is limited by server-side TCP ports on the server side used for POP3 and SMTP by a mail server with IP address 10.114.2.2. Thus, the same server TCP port number of the client side of two different users, that is, port number 110, at this moment is associated with the same server side TCP port number, but with different IP addresses. Thus, the gateway server is able to forward user data from different users who use the same data transfer protocol to the TCP ports of the server side of the recipients of information with different IP addresses.

Пользователю Х к тому же разрешено использовать серверные TCP-порты 80 и 53 клиентской стороны, ассоциированные с соответственными TCP-портами серверной стороны и IP-адресами приложения Web-сервера или сервера службы доменных имен в корпоративной сети. Пользователь Y не имеет каких бы то ни было портов клиентской стороны, ассоциированных с портами серверной стороны для приложений Web-серверов или приложений серверов службы доменных имен. Таким образом, доступ пользователя Y в корпоративную сеть ограничен доступом только к почтовому серверу.User X is also allowed to use the server TCP ports 80 and 53 of the client side associated with the corresponding TCP ports of the server side and the IP addresses of the Web server application or the domain name service server on the corporate network. User Y does not have any client-side ports associated with server-side ports for Web server applications or domain name service server applications. Thus, user Y’s access to the corporate network is limited to access only the mail server.

Должно быть отмечено, что вышеприведенное подробное описание разных вариантов осуществления изобретения было дано только в качестве иллюстрации, и что, следовательно, они не имеют намерением ограничивать объем изобретения, так как он определен прилагаемой формулой изобретения. Главным образом должно быть понятно, что признаки разных преимущественно описанных вариантов осуществления могут комбинироваться, чтобы создавать новые варианты осуществления, попадающие в пределы объема, определяемого прилагаемой формулой изобретения.It should be noted that the above detailed description of various embodiments of the invention was given only as an illustration, and that, therefore, they do not intend to limit the scope of the invention, as it is defined by the attached claims. Mostly it should be understood that the features of the various mainly described embodiments can be combined to create new embodiments that fall within the scope defined by the appended claims.

Кроме того, следует понимать, что другие изменения и модификации, попадающие в пределы объема, определяемого прилагаемой формулой изобретения, и в пределы сущности, изложенной в материалах настоящей заявки, станут очевидными специалистам в данной области техники при изучении формулы изобретения и подробного описания.In addition, it should be understood that other changes and modifications falling within the scope defined by the attached claims, and within the essence set forth in the materials of this application, will become apparent to experts in the art when studying the claims and detailed description.

Claims

1. A method for providing, through a server (10) gateways of a virtual private network (VPN), rules for wireless access over a secure tunnel connection to a corporate network (20), the method including the steps of

configure the database (15, 25) of the server user data to provide user-specific rules for access via a secure tunnel connection, the configuration includes the step of associating different specific users with the corresponding sets of allowed server TCP ports;

authenticate a user connecting to a secure tunnel connection; and

restrict the authenticated user’s access to the corporate network (20) by sending only user data received via a secure tunnel, which, as the addressee of information, has a port that is included in the set of allowed server TCP ports associated with the user in the database (15, 25 ) user data, while the allowed TCP server ports associated with a particular user are the allowed client TCP server ports, and the configuration step includes a step in which the user data base (25) is configured so as to associate the allowed server TCP port of the client side with the server TCP port of the server side, the method including the step of forwarding user data received over the secure tunnel to server TCP port of the server side, associated with the allowed server TCP port of the client side, through a separate TCP connection, in which connection the gateway server acts as a client, and the configuration step includes the stage at which the user data base (25) is configured so as to associate different allowed server TCP ports of the client side that are associated with a particular user with the same TCP port of the server side, but with different corresponding IP addresses, the method includes the step of sending user data received over the secure tunnel to the IP address associated with the allowed server TCP port of the client side.

2. The method according to claim 1, comprising the step of configuring the secure tunnel so that it is associated with a specific server TCP port of the gateway server (10).

3. The method according to claim 1, in which the configuration step includes configuring the database (25) so as to associate different allowed server TCP ports of the client side with server TCP ports of the server side of different email servers having corresponding IP addresses.

4. The method according to claim 1, in which the configuration step includes configuring the database (25) so as to associate the allowed server TCP port of the client side with the server TCP port of the server side and the IP address of the corporate DNS servers within the corporate network.

5. The method according to claim 1, which includes transmitting to the authenticated user, through a secure tunnel, a set of allowed TCP server ports that are associated with the authenticated user in the user data base (15, 25).

6. The method according to claim 5, in which the configuration step includes configuring the user data base (15, 25) so as to associate a specific port protocol with an allowed server TCP port, which is a specific port specific protocol transmitted along with the authorized server TCP port to an authenticated user.

7. The server (10) of the gateways of the virtual private network (VPN), which provides rules for wireless access via a secure tunnel connection to the corporate network (20) and includes a database (15, 25) of user data that provides user-specific rules for access over a secure tunnel connection by preserving associations between different specific users and the corresponding sets of allowed server TCP ports;

authentication means (11) for authenticating a user connecting to a secure tunnel connection;

port filtering means (12) for restricting authenticated user access to the corporate network (20) by sending only user data received over a secure tunnel, which, as an information destination, has a port that is included in the set of allowed server TCP ports associated with the user in the database (15, 25) of user data, while the allowed server TCP ports associated with a specific user are the allowed server TCP ports of the client side, and the curled database (25) of user data associates the allowed server TCP port of the client side with the server TCP port of the server side, the filtering port is configured to forward user data received via a secure tunnel to the server TCP port of the server side associated with the allowed server The TCP-port of the client side, on a separate TCP connection, in which connection the server (10) acts as a client, while the database (25) of user data associates different allowed servers Black TCP ports of the client side, which are associated with a specific user, with the same server TCP port of the server side, but with different corresponding IP addresses, while the port filtering tool is configured to forward user data received over a secure tunnel, to the IP address associated with the authorized server TCP port of the client side.

8. The gateway server according to claim 7, wherein the secure tunnel is connected to a specific server TCP port of the gateway server (10).

9. The gateway server of claim 8, in which the database (25) of the data associates different allowed server TCP ports of the client side with server TCP ports of the server side of different email servers having corresponding IP addresses.

10. The gateway server according to claim 7, wherein the user data base (25) associates the allowed server TCP port of the client side with the server TCP port of the server side and the IP address of the corporate DNS server within the corporate network.

11. The gateway server according to claim 7, including transmission means for transmitting to the authenticated user, through a secure tunnel, a set of allowed server TCP ports that is associated with the authenticated user in the user data base (15, 25).

12. The gateway server according to claim 11, wherein the user data base (15, 25) associates a port-specific protocol with an allowed server TCP port, wherein said transmission medium is configured to transmit a port-specific protocol together with an allowed server TCP port to authenticated user.

13. A virtual private network (VPN) system, including a corporate network (20);

a server (10) of gateways of a virtual private network (VPN) in accordance with any one of items 7-12 for providing wireless access via a secure tunnel connection to a corporate network (20); and

at least one wireless client terminal (40),

the client terminal is configured to use a separate server TCP port and IP address when connecting VPN gateways to the server (10) via a tunnel connection and a specific set of server TCP ports within a tunnel connection when accessing a corporate network (20 )

14. The system of claim 13, wherein the wireless client terminal (40) is configured to receive server TCP ports to be used within the tunnel connection from the gateway server (10) in response to an authentication message transmitted to the server ( 10) gateways.