安全通信协议的拆分式终止的制作方法

专利名称：安全通信协议的拆分式终止的制作方法
安全通信协议的拆分式终止 相关申请的交叉引用
本申请要求提交于2005年8月10日的题为"Split Termination for Secure Communication Protocols (用于安全通信协议的拆分式终止)"的美国临时专 利申请No. 60/707,804号的优先权并出于所有目的通过引用包括该临时申请。 本申请与提交于2002年10月30日的题为"Transaction Accelerator for Client-Server Communication Systems (用于客户机-服务器通信系统的事务处理 加速器)"的美国专利申请No.lO/285,315号(以下称为"McCannel")、提 交于2003年8月12日的题为"Transparent Client-Server Transaction Accelerator (透明客户机-服务器事务处理加速器)"的美国专利申请No.lO/640,405号(以 下称为"McCanne III")、提交于2003年8月12日的题为"Cooperative Proxy Auto-Discovery and Connection Interception (合作式代理自动发现和连接截取)" 的美国专利申请No.10/640,562号(以下称为"McCanne IV")、提交于2003 年8月12日的题为"Content Delivery for Client-Server Protocols with User Affinities using Connection End-Point Proxies (使用连接端点协议且具有用户亲 和力的客户端-服务器协议的内容递送)"的美国专利申请No.lO/640，459号(以 下称为"McCanne V")、提交于2005年3月18日的题为"Improved Reliability and Availability of Distributed Files Servers (分布式文件服务器的改善的可靠性 和可用性)"的美国专利申请No.60/663,174号(以下称为"Burman")、以 及提交于2005年3月18日的题为"Connection Forwarding (连接转发)"的 美国临时专利申请No.60/663，366号(以下称为"Ly")、提交于2005年3月 15日的题为"Rules-Based Transaction Prefecthing Using Connection End-Point Proxies (使用连接端点代理的基于规则的事务处理预取"的美国临时专利申请 No.60/662，452号相关并出于所有目的通过引用包括这些申请。
背景技术：
本申请涉及数据网络领域，尤其涉及用于改善数据网络上的安全通信的性 能的系统和方法。为了在不可信网络上建立安全通信， 一种常见方法是使用同 时使用公共密钥加密技术和对称密钥加密技术两者的协议。通常，公共密钥加 密比对称密钥加密具有更好的安全特性但是在计算上也更昂贵。因此，这两种 类型的加密通过使用公共密钥技术在两个实体之间协商一对称密码来组合。该 对称密钥密码被用于实体之间的批量数据传送。安全套接层(SSL)和传输层
安全性(TLS)是具有这种形式的安全通信协议的广泛使用的示例，如在使用 IKE的基于RSA的机制协商安全性关联时的IPSec。
安全通信协议经常为每个受保护的连接增添计算成本。对于向客户端计算 机提供许多同时安全连接的服务器计算机，安全通信协议所强加的额外的计算 开销可能是相当大的。为了减小提供大量安全连接的计算机的安全通信协议的 计算开销，有各种专门终止安全连接的设备。 一般而言，这些安全连接终止设 备对于客户端系统表现为提供安全连接的服务器。安全连接终止设备管理连接 的加密及其它安全性相关方面，由此减轻向客户端系统提供服务的服务器系统 的由安全连接所强加的额外开销。
这些安全连接终止设备以和支持安全通信协议的服务器几乎相同的方法 配置，包括例如私有密钥、公共密钥、以及安全性证书。从安全性的角度来看， 安全连接终止设备与服务器是等同的且必须等同地受到保护。如果安全连接终 止设备的安全性例如由于丢失服务器私有密钥而受到危害，则攻击者将能够建 立将被安全通信协议客户端系统所信任的伪造服务器。
诸如在McCanne I中所述的事务处理加速器可提供广域网(WAN)上的 操作的性能改善，但这只有当传送的数据或者为可理解的(即，事务处理加速 器可解释该协议的至少部分)或者是重复的(即，相同数据以相同格式穿过网
络)时才如此。安全通信协议的使用阻碍了事务处理加速，因为加密(通过设 计)呈递了不可理解和不重复的加密数据。
类似观察适用于本地高速缓存即使安全通信协议请求询问本地高速缓存 的对象，也不可能分辨客户端与服务器之间进行的网络话务。 一些高速缓存系 统已经包括了通过加载相关联的服务器系统的服务器密钥和证书来本地终止 安全通信协议的能力。然而，这些设备中的许多都不包括对密钥和证书的受保护存储，而是依赖于隐藏式保全。由于所涉及的风险和在多个边缘位置处密钥 管理的成本和复杂度，这些高速缓存系统几乎不被用来终止大型数据中心之外 的安全连接。相反在接近服务器的反向代理配置中，这些安全通信协议高速缓 存已经更多地被用作安全通信协议终止的变体。
因此需要一种用以与安全通信协议终止一起提供事务处理加速或高速缓 存的事务处理加速器或网络高速缓存系统。还需要一种用以在不要求向边缘设 备布署和维护服务器私有密钥的情况下支持安全通信协议终止的事务处理加 速器或网络高速缓存系统。

发明内容
事务处理加速器可被配置成终止安全连接。在一实施例中，连接在一个或 多个服务器系统与广域网之间的服务器方事务处理加速器被配置成终止安全 连接，而客户端方事务处理加速器则不是，以预防与管理服务器私有密钥相关 联的问题。
采用这种事务处理加速器的布置，客户端可发起与服务器方事务处理加速 器——相对于客户端表现为服务器——的连接。客户端方事务处理加速器可看 到安全通信协议交互经过(以跟踪进度)但不能阅读己被任何一端所加密的任 何内容。
在协商安全连接建立的公共密钥部分之后，服务器方事务处理加速器的实 施例与客户端方事务处理加速器协作以协商该安全连接建立的对称密钥部分。 客户端方事务处理加速器使用该对称密钥在客户端与服务器之间进行安全批 量数据传送。由于该布置，客户端方事务处理加速器能够与服务器方事务处理 加速器相合作地解密安全话务并对其加速，即使客户端方事务处理加速器不知 道服务器私有密钥。在又一实施例中，经加速的话务仍在安全连接上被跨网络 地携带。


本发明将参照以下附图进行描述，其中
图1示出了使用适于与本发明的实施例一起使用的事务处理加速器的系统；
图2A-2C示出了帮助客户端与服务器之间的通信的现有技术事务处理加 速器的实际和表观的交互；
图3A-3C示出了根据本发明的实施例的帮助客户端与服务器之间的通信 的事务处理加速器的实际和表观的交互；
图4示出了根据本发明的实施例的使用SSL的客户端方加速器的状态以及
图5示出了根据本发明的实施例的使用SSL的服务器方加速器的状态图。
具体实施例方式
图1示出了使用适于与本发明的实施例一起使用的事务处理加速器的系 统100。客户端110经过事务处理加速器120和140跨广域网(WAN) 130与 服务器150通信。事务处理加速器120和140可以是相同设备或可专用于它们 在网络中所在的位置。为了讨论的目的，根据在系统100中的角色和位置，事 务处理加速器120和140被具体称为客户端方和服务器方事务处理加速器。该 术语仅被用来明晰它们在系统100中的角色和位置，而并不暗示任何实现或封 装上的必要差异。具体而言，"客户端"和"服务器"可表示由TCP连接的 方向所确定的角色，其中客户端发起连接而服务器对该连接请求进行响应。在 这种连接角色意义上的客户端和服务器可以对应或者可以不对应于术语客户 端和服务器的其它常见使用。
客户端IIO可以通过各种链路、局域网(LAN)、或可包括路由器、交换 机、防火墙、或其它网络设备的其它通信技术连接到客户端方加速器120和 WAN130。通过可以但无需对应于客户端方上所用的技术和配置的其它各种通 信技术，服务器150可类似地连接到服务器方加速器140和WAN130。 WAN 130可包括通过路由器、网关、防火墙、或其它网络设备互连的各种网络和因 特网的集合。WAN 130的部分或全部可包括虚拟私域网。此外，客户端和服 务器与加速器的关联可以基于网络连接的底层物理配置或基于诸如带宽或等 待延迟等网络特性。例如， 一组加速器中的一个可以基于其间的网络带宽或等 待延迟与特定客户端或服务器相关联。如McCanne I和McCanne III中所述，事务处理加速器120和140加速客 户端IIO与服务器150之间的通信。如McCanne I和McCanne III中所述，工 作中的事务处理加速器120和140可以被考虑为同时具有外信道和内信道两 者。外信道包括分别介于客户端方事务处理加速器120与客户端IIO之间以及 介于服务器方事务处理加速器140与服务器150之间的连接112和142。内信 道包括事务处理加速器120与140之间经由WAN 130的连接。在一些应用中， 客户端方事务处理加速器120和服务器方事务处理加速器140通过诸如虚拟私 域网所采用的安全或加密连接来通信。
事务处理加速器120和140布置外信道连接和网络话务以使得客户端110 与服务器150之间的交互与在不存在事务处理加速器120和140的情况下将发 生的交互相同或基本相似。外信道的这种特性有时被称为透明性。内信道的存 在和特性通常被对客户端110和服务器150隐藏。由于客户端110或服务器150 通常不知道内信道，所以可在该内信道上使用各种优化和安全机制来改善客户 端IIO与服务器150之间的通信的质量、性能、和可靠性而不会影响客户端110 或服务器150，并且在任意时间点使用的具体优化机制可根据需要而改变。
客户端110与服务器150之间的至少部分网络话务通过或被转移到加速器 120和140。加速器120接收自客户端110的网络话务被通过如在交叉引用的 申请中所述的各种手段中的任意一种进行优化以便穿过包括WAN 130的内信 道。加速器140接收到的经优化的网络话务然后被解优化以便等同于原始发送 自客户端110的网络话务或者是其可接受的替代。经过解优化的网络话务然后 被发送到服务器150。同样，加速器140接收自服务器150的网络话务被优化 以穿过WAN 130。加速器120接收到的经优化的网络话务然后被逆优化以等 同于原始发送自服务器150的网络话务或者是其可接受的替代。经过逆优化的 网络话务然后被发送到客户端110。
在系统100中，事务处理加速器120和140是径内(in-path)连接的，从 而使得客户端IIO与服务器150之间的所有网络话务都通过这些加速器。在系 统100的其它布置中，事务处理加速器120和140是径外(out-of-path)连接 的。在径外连接布置中，客户端110与服务器150之间的所有网络话务通过路 由器、交换机、或其它联网设备。路由器、交换机、或其它联网设备被配置成将客户端110与服务器150之间网络话务的部分或全部转移到事务处理加速器
120或140之一。网络话务向事务处理加速器的转移可以用诸如Web高速缓存 通信协议(WCCP)等重定向或高速缓存协议来促进。
图2A-2C示出了帮助客户端与服务器之间的通信的现有技术事务处理加 速器的实际和表观交互。图2A示出了从客户端210到服务器240的单个逻辑 连接的示例要素及其连接。在图2A中，客户端210a具有到客户端方加速器 220的网络连接271。客户端方加速器220具有到服务器方加速器230的网络 连接272。服务器方加速器230具有到服务器240a的网络连接273。如图2A 中所示，在一些实现中，客户端方加速器220是通过网络连接与一个或多个客 户端连接的硬件设备。在其它实现中，客户端方加速器220可以实现为与客户 端210a集成在一起的软件和/或硬件。在这些实现中，网络连接272可被省略。
图2B示出了可用以匹配从客户端和服务器来看的表观连接。在图2b中， 客户端210b具有到"服务器"250的网络连接274。 S卩，客户端210b就像其 具有到服务器240b的连接(图2c中的逻辑上的连接276)—样，但客户端210b 实际上具有到扮作"服务器"250的客户端方加速器220的连接274。类似地， 服务器240b具有到"客户端"260的网络连接服务器240b就像其具有到客 户端210b的连接(同样为图2c中逻辑上的连接276)，但服务器240b实际上 具有到扮作"客户端"260的服务器方加速器230的连接275。
图2C显示客户端210c的逻辑连接经由得自图2A的网络连接的网络连接 276与服务器240c通信。
如上所讨论的，客户端和服务器可能希望通过安全通信协议来通信以保护 敏感信息。即使事务处理加速器之间的内连接是安全的，但该连接对于客户端 和服务器通常是不可见的。此外，客户端与服务器之间的通信在经过外连接时 应该仍是安全的。因此，客户端和服务器将经常试图在彼此之间直接建立安全 连接。然而，安全通信协议的使用阻碍了事务处理加速，因为加密(通过设计) 呈递了不可理解且不重复的经加密的数据。
本发明的一个实施例允许客户端与服务器彼此之间直接建立安全连接同 时仍然能够事务处理加速。该实施例确保客户端与服务器之间的通信在经过内 部和外连接两者时都是安全的。图3A-3C示出了根据本发明的实施例的帮助客户端与服务器之间的通信 的事务处理加速器的实际和表观交互。在图3A中，客户端310a经由到客户端 方加速器320a的网络连接371与服务器340a通信。类似地，服务器340a经 由到服务器方加速器330a的网络连接373与服务器340a通信。
客户端方加速器320a和服务器方加速器330a通过可以基于SSL、 IPSec、 或许多其它安全通信机制中的任意一种的安全信道372通信。安全信道372可 以是为客户端310a与服务器340a之间的通信专门建立的，或者可以是为多个 客户端与服务器之间通过加速器320a和330a的数个不同通信所共享的。同样 地，安全信道372的终止可以与到客户端或服务器的特定连接的发起或终止相 关或不相关。安全信道372可以周期性地或根据网络、连接、或网络话务特性 所确定的来重新发起、重设密钥、或重新协商其安全参数。提示重新发起、重 设密钥、或重新协商的功能本质上可以是确定性的、随机的、或伪随机的。
客户端和服务器可试图建立直接安全连接。图3B示出了要实现的逻辑效 果客户端310b通过安全连接378与服务器340b通信。安全连接378可用来 发起客户端310b与服务器340b之间的通信。或者，客户端310b和服务器340b 可在建立安全连接378之前，通过诸如不安全的TCP连接等不安全的网络连 接来不安全地交换信息。
然而建立了安全连接378，为了事务处理加速器能够加速WAN上的SSL 网络话务，事务处理加速器必须能够在每方解密网络话务。在以下讨论的实施 例中，诸如加密密钥和数字证书等安全性信息被提供给事务处理加速器以允许 事务处理加速器对安全连接378实行完全电子欺骗和终止。因此，客户端和服 务器所建立的安全连接378可被用于到事务处理加速器的外连接的全部或部 分。
图3C示出了根据本发明的实施例的安全连接的发起和操作。服务器方事 务处理加速器330c接收来自服务器340c或管理系统301的诸如加密密钥和数 字证书等安全性信息302。安全性信息302足以让事务处理加速器330c担任服 务器340c以及任选地其它服务器的身份。在实施例中，服务器340c可直接向 服务器方事务处理加速器330c提供全部或部分安全性信息302，或者另一计算 机系统可向服务器方事务处理加速器330c提供服务器340c的安全性信息302。客户端310c经由客户端方事务处理加速器320c向服务器340c发送安全 连接请求304a。客户端方事务处理加速器320c截取安全连接请求304a并进而 将该安全连接请求304b转发给服务器方事务处理加速器330c。在一实施例中， 客户端方事务处理加速器320c对于该转发起到网桥设备的作用，以使得请求 304b与304a相类似或等同。
由于服务器方事务处理加速器330c具有足以担任服务器340c的身份的安 全性信息，所以服务器方事务处理加速器330c将用安全连接响应306a对安全 连接请求304b作出响应。客户端方事务处理加速器320c将截取该安全连接响 应306a并将安全连接响应306b转发给客户端310c,由此在客户端310c与服 务器方事务处理加速器330c之间建立安全连接312a。经由该安全连接312a发 送的任何信息对于包括客户端方事务处理加速器320c在内的任何居间组件都 是不可理解的。在一实施例中，客户端方事务处理加速器320c对于该转发起 到网桥设备的作用，以使得请求306b与306a相类似或等同。
在一实施例中，服务器方事务处理加速器330c还将任选地与服务器340c 交换消息304c和306c以在服务器方事务处理加速器330c与服务器340c之间 建立第二安全连接313。该任选的第二安全连接313将服务器方事务处理加速 器330c与服务器340c之间经由外连接335的通信加密。如果连接服务器方事 务处理加速器330c和服务器340c的网络被考虑为是安全的，则该任选的第二 安全连接313可以被省略。在又一实施例中，如果服务器方事务处理加速器 330c与服务器340c之间的通信被加密，则可以采用一些形式的连接重用以便 确保无需服务器发起或终止每个传入的客户端连接的安全连接313。
在一些实施例中，安全连接312a的安全性协议——例如SSL可要求类似 于在客户端310c与服务器方事务处理加速器330c之间交换的消息304和306 的一系列消息以建立安全连接。对于诸如SSL等一些安全性协议，消息304 和306使用公共密钥加密技术来建立安全连接312a。公共密钥加密技术被用来 在客户端310c与服务器方事务处理加速器330c之间共享对称密钥。 一旦安全 连接312a工作，则该对称密钥将被安全连接312的两侧用来加密和解密信息。
在安全连接312a的发起和对称密钥的交换期间，该对称密钥以及消息304 和306中任何其它经加密的信息对于客户端方事务处理加速器320c是不可读的。如以下具体讨论的，该对称密钥和其它安全连接信息将被提供给客户端方
事务处理加速器320c，以允许事务处理加速器320c和330c能够优化内连接 325上的安全网络话务。
在一实施例中，客户端方事务处理加速器320c选择对称密钥密码组并将 其传送给服务器方事务处理加速器330c，由后者再将该密码组使用在消息306 中以建立与客户端310c的安全连接312a。客户端方事务处理加速器320c保存 该密码组以供以后使用。在另一实施例中，服务器方事务处理加速器330c选 择该对称密钥密码组并将该密码组使用在消息306中以建立与客户端310c的 安全连接312a。该密码组经由安全连接316被从服务器方事务处理加速器330c 传送到客户端方事务处理加速器320c。例如，安全连接316可以是任意多个先 前建立的用于服务器方事务处理加速器330c与客户端方事务处理加速器320c 之间的命令和控制数据或者用于与一个或多个客户端和/或服务器相关联的优 化网络话务的安全连接中的一个。在一些实施例中，如果公共密钥信息是客户 端方事务处理加速器330c所已知的，则服务器方事务处理加速器330c可以将 整个对称密钥协商传给客户端方事务处理加速器320c。
在客户端310c与服务器方事务处理加速器330c之间的安全连接312a建 立之后，服务器方事务处理加速器330c的一实施例将该安全连接信息308转 发给客户端方事务处理加速器320c。安全连接信息308允许客户端方事务处理 加速器320c代替服务器方事务处理加速器330c接管该安全连接312a。因此， 客户端310与服务器方事务处理加速器330c之间的安全连接312a被变换成客 户端方310c与服务器方事务处理加速器330c之间的安全连接312b。
安全连接信息308可包括诸如对称密钥或用以解密来自客户端310c的安 全连接网络话务并通过所建立的该安全连接恰当地作出响应所必需的其它类 型的加密信息的信息。在一实施例中，如果客户端方事务处理加速器320c己 经具有足以解密和加密该安全连接上的网络话务的信息，则无需安全连接信息 308。
在客户端方事务处理加速器320c己经接收到安全连接信息308之后，客 户端310c与服务器340c之间经由安全连接312b传送的网络话务可以被事务 处理加速器320c和330c所截取、分析、和优化。客户端310c通过新建立的安全连接312b向服务器340c发送网络话务314a。由于安全连接312b终止于 客户端方事务处理加速器320c处，所以客户端方事务处理加速器320c截取、 解密、并处理网络话务314a以形成网络话务314b。网络话务314b可被优化以 在内连接325上传送。
客户端方事务处理加速器320c与服务器方事务处理加速器330c传送网络 话务314b。在一实施例中，网络话务314b是经由安全连接316来传送的。如 以上所讨论的，安全连接316可能先前己被建立用于携带事务处理加速器320c 与330c之间的优化网络话务、或者可能先前已被建立用于携带事务处理加速 器320c与330c之间的控制消息和加密信息。用于携带优化网络话务的安全连 接也可响应于客户端/服务器连接发起而动态地创建。
在一实施例中，加速器320c和330c可终止多个客户端和/或服务器之间 的安全连接。在这些应用中，加速器320c和330c可以多种方法来共享安全连 接312b、 313、和316。在一个示例中，客户端方和服务器方加速器320c和330c 可为每个客户端和服务器维护单独的外信道安全连接312c。在另一实施例中， 客户端方和服务器方加速器320c和330c可利用外信道安全连接来携带和与客 户端和/或服务器的多个连接相关联的数据。
客户端方和服务器方加速器320c和330c的实施例可为每对客户端-服务 器通信利用单独的内信道安全连接。或者，客户端方和服务器方加速器320c 和330c的实施例可利用内信道安全连接316来携带与多个客户端和/或服务器 相关联的数据。在该实施例中，内信道安全连接316可频繁更新以维护安全性。 例如，内信道安全连接316可以在一指定时间段之后或在携带指定数目的客户 端-服务器外信道连接的数据之后更新。在又一实施例中，加速器320c和330c 维护可用内信道安全连接池，其中每个连接用于携带与一对或多对客户端方外 信道安全连接相关联的数据。
服务器方事务处理加速器330c接收优化的网络话务314b并将其变换为经 逆优化的网络话务314c。经逆优化的网络话务314c可以等同于原始发送自客 户端310c的网络话务314a或者是其可以接受的替代。服务器方事务处理加速 器330c与服务器340c传送该经逆优化的网络话务314c。在一实施例中，网络 话务314c是经由安全连接313被携带到服务器340c的。在另一实施例中，网络话务314c是经由不安全连接被携带到服务器340c的。
返回网络话务(从服务器340c到客户端310c)采取相类似但相逆的路径。 服务器方事务处理加速器330c接收来自服务器340c的网络话务。该网络话务 被优化并经由安全连接316跨内连接325地被发送到客户端方事务处理加速器 320c。客户端方事务处理加速器320c将接收到的网络话务逆优化并在经由安 全连接312b将其发送给客户端310c之前对该经逆优化的网络话务应用适当的 加密。
在一实施例中，如果客户端310c试图重新协商安全连接312b,安全连接 312b将终止且如上所述地重新建立。在另一实施例中，如果客户端310c试图 重新协商安全连接312b，则安全连接312b将被转换回安全连接312a的形式并 且服务器方事务处理加速器330c将执行重新协商的服务器方。在该实施例中， 成功的重新协商将再次导致服务器方加速器330c向客户端方加速器320c发送 安全通信信息308，使得安全连接312a被转换回安全连接312b的形式。
在一实施例中，如果服务器方事务处理加速器330c不能终止与客户端 310c的安全连接，例如，由于其没有相关密钥和/或证书，则该网络话务被传 到诸如服务器340c等恰当的服务器。与该安全连接相关联的后续网络话务也 被事务处理加速器320c和330c所全部复制。在另一实施例中，指示安全连接 不能被终止的该"负面"信息被传到客户端方事务处理加速器320c从而使得 诸如要求相同密钥的后续类似网络连接自动地旁路事务处理加速器320c和 330c。该负面信息高速缓存可被来自服务器方事务处理加速器的其密钥配置己 经改变的信号所部分或全部地无效，从而使得事务处理加速器不继续旁路它们 可以终止的连接。
在一实施例中，安全连接316的安全性协议、密码组、和/或安全性算法 与安全连接312b所用的不同。该能力允许事务处理加速器320c和330c终止 来自仅支持弱密码组但实际使用更强形式的加密跨内信道325和广域网携带网 络话务的较早的或具有安全性缺陷的客户端310c的安全连接。
在另一实施例中，服务器方事务处理加速器330c不终止安全连接312， 而代之以将安全连接请求304传给服务器340c。在该实施例中，服务器方事务 处理加速器320c仍需要服务器私有密钥以便能够阅读经服务器加密的信息，但无需呈现数字证书以担任服务器304c的身份。相反，服务器方事务处理加 速器330c监视该安全通信协议交互并向客户端方事务处理加速器通知所协商
的对称密钥。该模式对于加速现有安全通信协议卸载基础设施是有用的，并且
对于加速虚拟私域网(VPN)的安全通信协议可能是有用的。在该实施例中， 服务器方事务处理加速器将用与客户端所用的相同的对称密钥加密的经重构 的数据呈现给服务器，因为服务器相信它是终止安全连接的唯一实体。然而， 客户端方与服务器方事务处理加速器之间的通信还可使用相同密钥或完全不 同的密钥和/或加密技术来保护优化数据的传送。
在一实施例中，事务处理加速器320c和330c采用自签署的证书。在该实 施例中，自签署的证书和过程被用来建立诸如安全连接316等安全连接。在该 实施例中，事务处理加速器之间的关联不是在各对设备之间自发建立的，而是 由系统管理员针对客户端方和服务器方事务处理加速器显式配置的。
在该实施例中，事务处理加速器或中央管理控制台可向管理员呈现可呈现 自签署的证书及名称、IP地址和/或其它标识信息的设备的列表，管理员可选 择单独地接受或拒绝每个设备。默认地，除非管理员指定否则不创建关联。
当试图在没有其它线索情况下认证身份时，诸如当一任意web浏览器联 系一任意web服务器时， 一般需要常被用来签署证书的外部可信证书权威机 构。在一实施例中，不依赖于外部可信证书权威机构的自签署的证书可在具有 诸如管理员对组织上下文的知识等帮助认证事务处理加速器的身份的其它线 索时使用。管理员的选择由非计算性组织上下文来通知，诸如"我们正试图使 一些设备在线？该设备的IP地址是？现在对呈现新证书的设备存在任何合法 理由吗？"
一般而言，在组织的边缘的设备相比于在核心处(诸如在数据中心)的设 备受到的防护较差且更容易受到攻击。考虑对这样的边缘设备进行攻击所得到 的结果是值得的。攻击者可得到对应于事务处理加速器的证书(不论是自签署 还是外部签署)的私有密钥，由此通过获取对其用于与其它事务处理加速器通 信的安全信道的访问来破坏该事务处理加速器。在该事务处理加速器被破坏的 时间段内，这样的攻击者就能够像己经具有对所有服务器私有密钥的访问一样 实施相同的攻击。然而，服务器私有密钥本身是决不会为攻击者所得到的，即使在发生了这样的破坏时。通过重新获取对事务处理加速器的控制并对其重设 密钥，终结了攻击的可能性。对单个受到危害的事务处理加速器重设密钥相比 于对广泛使用的服务器重设密钥其破坏性要小得多，并且当考虑多个这种广泛 使用的服务器时该优势增大。
上述安全连接终止方案具有若干优点，包括
在客户端方事务处理加速器处不需要服务器密钥或证书；仅有针对每个 安全连接而改变的短期对称密钥。
' 对客户端方事务处理加速器/服务器方事务处理加速器网络话务的保护 可以通过自签署的证书和过程来完成。
，客户端方事务处理加速器所执行的加密是相对廉价的对称加密而非更昂 贵的公共密钥加密。
，结构上类似于所有事务处理在逻辑上都应被发送到服务器的其它类型的 事务处理加速器功能。
图4示出了根据本发明的实施例的使用SSL安全连接协议的客户端方加 速器的状态图400。对于本领域的技术人员显而易见的是，对于具有类似公共
密钥/对称密钥拆分的不同协议可以同样地构造一相类似的状态图。对于本领域 的技术人员将显而易见的是，该图是出于方便理解的目的而布置的，可以对状 态和转换进行许多细小的重新布置而不会显著更改客户端方事务处理加速器 如何工作的本质。相应地，该图应被理解为示出了工作的一般性原理。在该图
中，以下縮写被用于各种消息交互
"RfC"为"接收自客户端"
"RfTA"为"接收自(服务器方)事务处理加速器"
"StC"为"发送给客户端"
"StTA"为"发送给(服务器方)事务处理加速器" 另外，縮写"H/S"被用于"握手"。
当初始网络连接配置被建立(401)时，进入初始状态(Initial) 405。初 始状态405之外的第一路线是在服务器方事务处理加速器判定该连接应被旁路 (即，不是由事务处理加速器来终止)。消息416使系统进入旁路(Bypass) 状态430。旁路状态430具有较简单的行为，其中接收自服务器方事务处理加速器的任何消息433作为消息434被发送到客户端以及接收自客户端的任何消 息431立即作为消息432被发送给服务器方事务处理加速器。为了与该图中的 其余部分相一致，指示出了客户端消息(Client Msg)状态435和服务器消息
(Server Msg)状态440，但在实施例中，这些状态将是非常无足轻重的、零 成本的、或者实现中不存在的。
起始自初始状态405的其它状态转换与SSL握手相关。在一实施例中， 客户端方事务处理加速器不参与握手，因为安全连接握手的终止发生在服务器 方事务处理加速器处。相应地，与初始状态405相关的动作主要是监视握手网 络话务旁路。 一旦接收到来自客户端的握手消息406，系统就进入客户端握手
(Client Handshake)状态410，然后将同一握手消息407发送给服务器方事务 处理加速器并返回初始状态405。同样地， 一旦接收到来自服务器方事务处理 加速器的握手消息408，系统就进入服务器握手(Server Handshake)状态415， 然后将同一握手消息409发送给客户端并返回初始状态405。
在一实施例中， 一旦接收到来自服务器方事务处理加速器的关机
(Shutdown)消息——发生在服务器已经拒绝了连接时，客户端方事务处理加 速器还可退出初始状态405。 一旦接收到消息417，系统移到关闭(Closed)状 态470。
当发送来自服务器的最后一个握手消息411时，系统从服务器握手状态 415转换到缓冲(Buffering)状态420。在一实施例中，该最后一个握手消息 是作为使用的协议的静态属性而可标识的，然而替换性实施例也是可能的，其 中该最后一个握手消息是由所交换的消息的计数、设置成指示握手的结束的一 个或多个位、或者诸如发生或达到一完全不同协议的指定状态的外部事件等外 部触发因素来标识的。
一旦进入缓冲状态420，客户端方事务处理加速器就保存经由安全连接接 收到的任何客户端消息直至接收到来自服务器方事务处理加速器的密码组信 息。在等待密码组时，接收到的每个客户端消息412被简单地保存(413)以 供后续解密和加速。 一旦接收到密码组或足以终止安全连接414的其它信息， 客户端方事务处理加速器就移到活动(Active)状态445。
在已经接收到了密码组信息的活动状态445中，客户端方事务处理加速器能够解密接收自客户端的消息并将发送给客户端的消息加密。相应地，接收自客户端的每个消息446通过移到解密(Decrypt)状态450来处理，由后者解密 该消息446并将经优化的消息447发送给服务器方事务处理加速器。接收自服 务器方事务处理加速器的每个经优化的消息448通过加密状态455来逆优化并 处理，由后者将经加密的消息449经由安全连接发送给客户端。如上所讨论的， 客户端方和服务器方事务处理加速器优化网络话务以便在内连接上传送。
与活动状态445相关联的其它状态与关闭安全连接或重新协商该安全连 接相关。如果客户端关闭到客户端方事务处理加速器的连接，则客户端方事务 处理加速器注意到该关闭并向服务器方事务处理加速器发送"客户端关闭"消 息451并移到客户端关闭(Client Closed)状态460。在该状态下，客户端方事 务处理加速器在加密—CC (Encrypt—CC)状态465下将经由服务器方事务处理 加速器来自服务器的任何剩余数据461加密、将经加密的消息462发送给客户 端、并返回客户端关闭状态460。
在一实施例中，如果关闭连接的潜在原因已知是已经破坏了该连接的突发 故障，则不执行该加密，相反由于无法将其发送给客户端而放弃接收到的数据。
同样地，如果服务器关闭了到服务器方事务处理加速器的连接，则客户端 方连接加速器接收到来自服务器方事务处理加速器的"服务器关闭"消息并移 到服务器关闭(Server Closed)状态475。在该状态475中，客户端方事务处 理加速器在解密一SC (Decrypt_SC)状态480下对接收自客户端的任何剩余数 据463进行解密和优化、将经优化的消息464发送给服务器方事务处理加速器、 并返回服务器关闭状态475。
在一实施例中，如果关闭连接的潜在原因已知是己经破坏了该连接的突发 故障，则不执行该解密，相反由于无法将其发送给服务器而放弃接收到的数据。
客户端方事务处理加速器从客户端关闭状态460或服务器关闭状态475 转换到关闭状态470。 一旦接收到来自服务器方事务处理加速器的"服务器关 闭"消息453就发生从客户端关闭状态460的该转换。相应地， 一旦注意到客 户端关闭且向服务器方事务处理加速器发送"客户端关闭"消息454就发生从 服务器关闭状态475的该转换。
转到安全连接的重新协商，如果接收自客户端的消息是安全连接请求或请求新的安全连接的其它类型的"你好(Hello)"消息，则客户端方事务处理加 速器开始一新的安全连接协商。客户端方事务处理加速器向服务器方加速器发
送"会话转储(Session Dump)"消息4S1，以信令指示该连接的终止应移回 到服务器方加速器。
在重新协商期间可能发生的错误类似于在初始协商期间可能发生的错误， 对于本领域的技术人员显而易见的是，这些错误可以用与已经解释的相类似的 状态和转换来处理。在一些实施例中，重新协商重用已被呈现可用于初始连接 建立和协商的状态和转换是可能的且合乎需要的。在其它实施例中，重新协商 使得连接被旁路(移到旁路状态430或具有类似行为的不同状态)或者连接被 破坏(强制地移到其中连接正关闭或被关闭的状态之一)是优选的。
图5示出了根据本发明的实施例的使用SSL安全连接协议的服务器方加 速器的状态图500。对于本领域的技术人员将显而易见的是，对于具有类似公 共密钥/对称密钥拆分的不同协议可以同样地构造一相类似的状态图。对于本领 域的技术人员将显而易见的是，该图是出于方便理解的目的而布置的，可以对 状态和转换进行许多细小的重新布置而不会显著更改服务器方事务处理加速 器如何工作的本质。相应地，该图应被理解为示出了工作的一般性原理。在该 图中，以下縮写被用于各种消息交互
"RfS"为"接收自服务器"
"RfTA"为"接收自(客户端方)事务处理加速器"
"StS"为"发送给服务器"
"StTA"为"发送给(客户端方)事务处理加速器"
当建立(501) 了初始网络连接配置时进入初始状态505。当发生提示服务器方 事务处理加速器判定该连接应被旁路(而非终止)的数个条件之一时，服务器 方事务处理加速器可退出初始状态505。 一个条件是要联系的服务器是该服务 器方事务处理加速器没有其相关密钥或证书的一个服务器，因此该服务器方事 务处理加速器不能终止该服务器的连接。另一条件是客户端正尝试使用不被该 服务器方事务处理加速器所支持的协议或版本，即使在客户端使用一不同的协 议或版本的情况下该服务器方事务处理加速器将能够终止到该服务器的连接。 在任一条件下，服务器方事务处理加速器都将向客户端方事务处理加速器发送"旁路(Bypass)"消息506并且系统移到旁路状态535。
旁路状态535具有较简单的行为，其中接收自服务器的任何消息538都作 为消息539被转发给客户端方事务处理加速器，以及接收自客户端方事务处理 加速器的任何消息536都作为消息537被转发给服务器。为了与该图中的其余 部分相一致，指示出了客户端消息状态540和服务器消息状态545，但在实施 例中，这些状态将是非常无足轻重的、零成本的、或者实现中不存在的。
从初始状态505的另一退出发生在客户端发送安全连接请求消息508以发 起安全连接且服务器方事务处理加速器具有终止该安全连接的必要信息时。服 务器方事务处理加速器移到服务器连接(Server Connection)状态510。服务器 连接状态510的潜在原理是仅在服务器接受服务器方事务处理加速器的相应连 接请求时接受客户端的连接请求。
在服务器连接状态510中，服务器方事务处理加速器尝试连接到服务器。 在一实施例中，与服务器的相关安全连接握手消息是在该状态510中处理的。 不论与服务器的安全连接的发起成功与否，服务器方事务处理加速器都转换出 服务器连接状态510。
一旦不能发起与服务器的安全连接，511，服务器方事务处理加速器拒绝 未决的客户端请求并移到拒绝客户端(Refuse Client)状态515。从该状态515, 服务器方事务处理加速器向客户端方事务处理加速器发送关机消息516以指示 服务器已经拒绝了该安全连接且移到关闭状态585。
相反，如果发起与服务器的安全连接的尝试成功，则服务器方事务处理加 速器经由转换512移到接受客户端(Accept Client)状态520以完成与客户端 的安全连接。在一实施例中，就和服务器连接状态510处理与服务器的若干握 手消息交换一样，接受客户端状态520可处理与客户端的若干握手消息交换以 发起安全连接。
该示例状态图500显示与适用于一些安全连接协议的实施例相对应地，状 态510结束以及服务器连接建立都是在事务处理加速器转换到状态520之前。 然而，其它实施例也可交织服务器握手和客户端握手。例如，服务器方事务处 理加速器可以在服务器方事务处理加速器与服务器之间的相应安全连接建立 之前接受来自客户端的安全连接请求，并随后在服务器拒绝与服务器方事务处理加速器的安全连接的情况下稍后终止与客户端的安全连接。
当服务器方事务处理加速器仍然处于接受客户端状态520中时，积极的服 务器可能在客户端连接建立之前立即开始发送数据。在一实施例中，如缓冲状
态523所指示地，接收自服务器的任何此类数据都被缓冲以供在客户端连接已 被建立时进行后续处理。通过指示接收到来自服务器的任意信息的转换524进 入缓冲状态523。通过指示保存接收到的信息的转换526退出缓冲状态523 (回 到接受客户端状态520)。
如果与客户端的安全连接发起过程失败，则转换521服务器方事务处理加 速器移到断开服务器(Disconnect Server)状态525以优雅地断开其与服务器 己建立的连接。从断开服务器状态525，服务器方事务处理加速器向客户端方 事务处理加速器发送关机消息517并移到关闭状态585。
在一实施例中，服务器方事务处理加速器可在两个条件下从服务器连接状 态510转换到旁路状态535。服务器可从服务器方事务处理加速器要求客户端 认证513。服务器方事务处理加速器具有该服务器的密钥和证书，但是没有任 何客户端的类似密钥和证书，所以对客户端认证的需求要求向服务器呈现实际 客户端的凭证，进而将由服务器导致对事务处理加速器不透明的会话的协商。 同时，服务器可指示514它将重用该客户端的现有会话。如果重用的连接取决 于服务器方事务处理加速器所未知的信息，则服务器方事务处理加速器再次选 择旁路该连接。
对于本领域的技术人员将显而易见的是，转换513的旁路情形在能够接受 在服务器方事务处理加速器处存储特定客户端的密钥和证书的特殊情形中可 以容易地避免。然而，同样将显而易见的是，这种在服务器方事务处理加速器 处对客户端密钥和证书的存储实际上破坏了其密钥和证书被存储的客户端的 客户端认证的完整性。对客户端密钥和证书的存储在特定场合下可能是有价值 的，但是作为一般性方法它将意味着客户端认证步骤无意义。因此，相同效果 的更有效率的实现将简单地丢弃对客户端认证的需求。
在服务器方事务处理加速器已经成功地发起了与客户端的安全连接且建 立了到服务器的连接的情形中，服务器方事务处理加速器向客户端方事务处理 加速器发送包括相关密码组信息的会话上下文(SessionContext)消息522，以允许客户端方事务处理加速器加密和解密去往/来自客户端的信息。服务器方事 务处理加速器然后移到活动状态550。
在活动状态550中，客户端和服务器安全连接都已建立。客户端方事务处 理加速器已经成为客户端的安全连接的终止点，以执行对去往/来自客户端的数 据的批量加密/解密。当服务器方事务处理加速器处于活动状态550中时，通过 移到逆优化、加密、和将经加密的消息547发送给服务器的加密状态555,对 接收自客户端方事务处理加速器的每个经优化的消息546进行处理。通过移到 解密、优化、和将经优化的消息549发送给客户端方事务处理加速器的解密状 态560，对服务器方事务处理加速器接收自服务器的每个消息458进行处理。 如果在进入活动状态550之前已使用缓冲状态523对数据进行了缓冲，则在处 理接收自服务器的任何其它消息之前，通过使用解密状态560并发送给客户端 方事务处理加速器，被缓冲的数据被发送给客户端。
与活动状态550相关联的其它状态与关闭或重新协商安全连接相关。如果 客户端关闭到客户端方事务处理加速器的连接，则客户端方事务处理加速器注 意到该关闭并向服务器方事务处理加速器发送"客户端关闭"消息551，再由 服务器方事务处理加速器向服务器发送"关闭"消息并移到客户端关闭状态 565。在该状态下，服务器方事务处理加速器在解密一CC状态575解密接收自 服务器的任何剩余数据561、将经解密的数据562发送给客户端方事务处理加 速器、并返回客户端关闭状态565。在一实施例中，如果关闭连接的潜在原因 被己知是已经破坏了该连接的突发故障，则不执行该解密，相反由于无法将其 发送给客户端方事务处理加速器而放弃接收到的数据。
同样地，如果服务器关闭到服务器方事务处理加速器的连接，则服务器方 事务处理加速器注意到该关闭并向客户端方连接加速器发送"服务器关闭"消 息552并移到服务器关闭状态570。在该状态中，服务器方事务处理加速器在 加密—SC状态580中将接收自客户端方事务处理加速器(563)的任何剩余数 据563加密、将经加密的数据564发送给服务器、并返回服务器关闭状态570。 在一实施例中，如果关闭连接的潜在原因已知是已经破坏了该连接的突发故 障，则不执行该加密，相反由于无法将其发送给服务器而放弃接收到的数据。
从客户端关闭状态565或服务器关闭状态570，服务器方事务处理加速器可转换到关闭状态585。从客户端关闭状态565，服务器方事务处理加速器注 意到服务器的关闭并向客户端方事务处理加速器发送"服务器关闭"消息553。 相应地，从服务器关闭状态570，服务器方事务处理加速器接收到来自客户端 方事务处理加速器的"客户端关闭"消息并将"关闭"消息554发送给服务器。
转到安全连接的重新协商，如果客户端方事务处理加速器向服务器方事务 处理加速器发送"会话转储"消息581，则该消息581信令指示该安全连接的 终止应移回到服务器方。服务器方事务处理加速器移到复位会话(Reset Session)状态590。在服务器方事务处理加速器转换到客户端重新协商(Client Renegotiation)状态595之前，可在客户端与服务器方事务处理加速器之间交 换各种安全连接请求和响应消息586。在重新协商之前，服务器方事务处理加 速器将基于该系统的策略、配置、容量、至少一个相关密钥的可用性、和/或连 接的长度来确定其是否可重新协商该安全连接。
在服务器方事务处理加速器向客户端方事务处理加速器发送"会话转储" 消息587之后，该安全连接的终止移回客户端方事务处理加速器且服务器方事 务处理加速器重新进入活动状态550。
在重新协商期间可能发生的错误类似于在初始协商期间可能发生的错误， 对于本领域的技术人员显而易见的是，这些错误可以用与已经解释的相类似的 状态和转换来处理。在一些实施例中，重新协商重用已被呈现可用于初始连接 建立和协商的状态和转换是可能的且合乎需要的。在其它实施例中，重新协商 使得连接被旁路(移到旁路状态535或具有类似行为的不同状态)或者连接被 破坏(强制地移到其中连接正关闭或被关闭的状态之一)是优选的。
因此，该说明书和附图应以说明性而非限制性意义来理解。然而显然的是， 可对其作出各种变形和改动而不会背离如在权利要求中所阐述的本发明的宽
泛的精神实质和范围。
权利要求
1.一种发起安全连接的方法，所述方法包括使用截取实体截取来自客户端的安全连接请求；发起与所述客户端的安全连接，其中所述安全连接与使得能够经由所述安全连接对数据进行安全传送的至少一个属性相关联；以及将所述属性转发给网络设备，由此使得所述网络设备能够维护与所述客户端的所述安全连接。
2. 如权利要求1所述的方法，其特征在于，所述安全连接请求发起所述 客户端与服务器之间的连接。
3. 如权利要求1所述的方法，其特征在于，所述安全连接请求发起用于 所述客户端与服务器之间先前建立的连接的安全性。
4. 如权利要求l所述的方法，其特征在于，所述截取来自客户端的安全 连接请求包括接收由在所述客户端径内的第二截取实体先前截取到的安全连接请求并 将其重定向到所述截取实体。
5. 如权利要求4所述的方法，其特征在于，所述接收安全连接请求包括经由高速缓存协议接收所述安全连接请求。
6. 如权利要求l所述的方法，其特征在于，所述截取来自客户端的安全连接请求包括经由所述客户端的径内网络连接截取来自所述客户端的所述安全连接请求。
7. 如权利要求l所述的方法，.其特征在于，所述发起与客户端的安全连 接包括用所述截取实体观察所述客户端与服务器之间安全连接的发起； 根据所述安全连接的发起确定所述安全连接的属性；以及 接收所述客户端与所述服务器之间所述安全连接的发起完成的指示。
8. 如权利要求7所述的方法，其特征在于，所述观察安全连接的发起是 通过由所述截取实体接收与所述服务器相关联的安全性信息来促进的。
9. 如权利要求l所述的方法，其特征在于，所述发起安全连接包括发起所述截取实体与服务器之间的第一安全连接；以及发起所述截取实体与所述客户端之间的第二安全连接。
10. 如权利要求9所述的方法，其特征在于，所述第一安全连接的发起是 在所述第二安全连接发起之前完成的。
11. 如权利要求9所述的方法，其特征在于，所述第二安全连接是在所述 第一安全连接的发起完成之前发起的。
12. 如权利要求l所述的方法，其特征在于，所述属性包括将被用于为所 述安全连接加密数据的密码。
13. 如权利要求1所述的方法，其特征在于，接收所述转发的属性的所述 网络设备在网络上比所述截取实体更靠近所述客户端。
14. 如权利要求13所述的方法，其特征在于，所述网络设备和所述截取 实体在所述网络上与所述客户端的接近度是由网络特性决定的。
15. 如权利要求14所述的方法，其特征在于，所述网络特性包括所述网 络的从所述网络设备和所述截取实体到所述客户端的网络等待延迟。
16. 如权利要求14所述的方法，其特征在于，所述网络特性包括所述网 络的从所述网络设备和所述截取实体到所述客户端的网络带宽。
17. 如权利要求14所述的方法，其特征在于，接收所述转发的属性的所 述网络设备与所述客户端被包括局域网的第一网络分隔开，并且其中所述截取 实体与所述客户端被包括广域网的第二网络分隔开。
18. 如权利要求14所述的方法，其特征在于，接收所述转发的属性的所 述网络设备与包括所述客户端的计算机系统集成在一起。
19. 如权利要求l所述的方法，其特征在于，还包括 截取从服务器定向至所述客户端的数据；将所述数据中的至少一部分与一指示符相关联地传送给所述网络设备，以 使得所述网络设备将进一步经由所述安全连接向所述客户端传送所述数据的 所述部分。
20. 如权利要求l所述的方法，其特征在于，还包括 接收来自所述网络设备的第一数据，其中所述第一数据对应于由所述网络设备先前经由所述安全连接从所述客户端接收到的第二数据；以及将第三数据传送给所述服务器，其中所述第三数据对应于所述第一数据。
21. 如权利要求l所述的方法，其特征在于，所述将属性转发给网络设备包括发起与所述网络设备的附加安全连接；以及经由所述附加安全连接传送所述属性。
22. —种与客户端安全通信的方法，所述方法包括在第一网络设备处截取从客户端到服务器的安全连接请求；响应于所述安全连接请求发起所述第一网络设备与所述客户端之间的第一安全连接；以及响应于所述第一安全连接的发起成功完成将所述第一安全连接已经在所述客户端与所述第一网络设备之间建立的 指示符从所述第一网络设备传送给所述第二网络设备；以及在所述第二网络设备处承担对与所述客户端的所述第一安全连接的控制， 以使得所述客户端与所述服务器之间的通信通过所述客户端与所述第二网络 设备之间的所述第一安全连接。
23. 如权利要求22所述的方法，其特征在于，所述截取来自客户端的安全连接请求包括接收先前由在所述客户端径内的第二截取实体截取到的安全连接请求并 将其重定向到所述截取实体。
24. 如权利要求22所述的方法，其特征在于，所述截取来自客户端的安全连接请求包括经由所述客户端的径内网络连接截取来自所述客户端的所述安全连接请求。
25. 如权利要求22所述的方法，其特征在于，还包括在所述第一 网络设备处接收从所述服务器定向至所述客户端的第一数据； 将对应于所述第一数据的第二数据从所述第一网络设备传送给所述第二 网络设备；以及将对应于所述第二数据的第三数据从所述第二网络设备经由所述第一安全连接传送给所述客户端。
26. 如权利要求25所述的方法，其特征在于，所述第二数据包括所述第 一数据的经优化的版本且所述第三数据包括等价于所述第一数据的、所述第二 数据的经逆优化的版本。
27. 如权利要求22所述的方法，其特征在于，还包括 经由所述第一安全连接在所述第二网络设备处接收从所述客户端定向至所述服务器的第一数据；将对应于所述第一数据的第二数据从所述第二网络设备传送给所述第一 网络设备；以及将对应于所述第二数据的第三数据从所述第一网络设备传送给所述服务器。
28. 如权利要求27所述的方法，其特征在于，所述第二数据包括所述第 一数据的经优化的版本且所述第三数据包括等价于所述第一数据的、所述第二 数据的经逆优化的版本。
29. 如权利要求22所述的方法，其特征在于，所述响应于安全连接请求 发起与客户端的第一安全连接包括，确定所述服务器是否能够响应于所述安全 连接请求建立与所述客户端的安全连接。
30. 如权利要求29所述的方法，其特征在于，所述确定服务器是否能够 响应于安全连接请求建立与客户端的安全连接包括，在所述第一网络设备与所 述服务器之间建立第二安全连接。
31. 如权利要求22所述的方法，其特征在于，所述第二网络设备响应于 所述指示使用对称加密密钥经由所述第一安全连接发起与所述客户端的通信。
32. 如权利要求31所述的方法，其特征在于，所述指示包括所述对称加 密密钥。
33. 如权利要求31所述的方法，其特征在于，还包括 由所述第二网络设备选择对称加密密钥； 将所选定的对称加密密钥传送给所述第一网络设备；以及 在所述第一安全连接发起期间或之后将所选定的对称加密密钥从所述第一网络设备传送给所述客户端。
34. 如权利要求22所述的方法，其特征在于，所述第一和第二网络设备经由第二安全连接通信。
35. 如权利要求34所述的方法，其特征在于，所述第一和第二网络设备使用公钥密码术和由互信的证明权威机构签署的证书发起所述第二安全连接。
36. 如权利要求34所述的方法，其特征在于，所述第一和第二网络设备使用自签署的证书和对此类证书谨慎接受的过程来发起所述第二安全连接。
37. 如权利要求34所述的方法，其特征在于，所述第二安全连接使用与所述第一安全连接的安全性不同的安全性。^
38. 如权利要求34所述的方法，其特征在于，所述第二安全连接使用与所述第一安全连接的安全性相类似的安全性。
39. 如权利要求34所述的方法，其特征在于，所述第二安全连接传送与 所述第一安全连接相关联的数据，并且所述第一和所述第二网络设备之间的附 加安全连接传送与一附加客户端相关联的数据。
40. 如权利要求39所述的方法，其特征在于，单个内信道连接的使用的 长度是由已使用过该连接的外信道连接的数目决定的。
41. 如权利要求39所述的方法，其特征在于，单个内信道连接的使用的 长度是由自该连接第一次使用起过去了的时间决定的。
42. 如权利要求39所述的方法，其特征在于，有内信道连接池可供重用。
43. 如权利要求22所述的方法，其特征在于，所述服务器方外信道连接 被重用于多个客户端方外信道连接。
44. 如权利要求43所述的方法，其特征在于，单个服务器方外信道连接 的使用的长度是由已经使用过该连接的客户端方外信道连接的数目决定的。
45. 如权利要求43所述的方法，其特征在于，单个服务器方外信道连接 的使用的长度是由自该连接第一次使用起过去了的时间决定的。
46. 如权利要求43所述的方法，其特征在于，有内信道连接池可供重用。
47. 如权利要求29所述的方法，其特征在于，所述确定服务器是否能够 响应于安全连接请求建立与客户端的安全连接包括访问安全连接高速缓存以寻找表征被所述服务器拒绝了的先前的安全连 接请求的信息；将所述安全连接请求的特性与所述信息相比较；响应于确定所述安全连接请求的特性类似于所述信息而将所述安全连接 请求转发给所述服务器，由此使所述服务器能够建立与所述客户端的安全连 接。
48. 如权利要求47所述的方法，其特征在于，还包括 响应于存储在所述第一网络设备处的私钥信息的改变，使所述安全连接高速缓存的至少一部分无效。
49. 如权利要求47所述的方法，其特征在于，还包括 和与所述服务器连接的附加网络设备共享所述安全连接高速缓存的至少一部分。
50. 如权利要求22所述的方法，其特征在于，所述在第二网络设备处承 担对与客户端的安全连接的控制包括在所述第二网络设备处检测所述客户端作出的安全连接重新协商请求；将所述安全连接重新协商请求的指示符从所述第二网络设备传送给所述第一网络设备；响应于所述安全连接重新协商请求的指示符，在所述第一网络设备处承担 对与所述客户端的所述第一安全连接的控制；在所述第一网络设备处确定所述第一安全连接能否由所述第一网络设备 重新协商；响应于确定所述第一网络设备可重新协商所述第一安全连接与所述客户 端重新协商所述第一安全连接；以及响应于确定所述第一网络设备不能重新协商所述第一安全连接将所述安 全连接重新协商请求转发给所述服务器，由此使所述服务器能够与所述客户端 重新协商安全连接。
51. —种与客户端安全通信的方法，所述方法包括观察客户端与服务器之间安全连接的发起；接收所述客户端与所述服务器之间所述安全连接的发起完成的指示；代表所述服务器承担对与所述客户端的所述安全连接的控制； 经由网络设备接收从所述服务器定向至所述客户端的数据；以及经由所述安全连接将所述数据传送给所述客户端。
52. 如权利要求51所述的方法，其特征在于，所述安全连接的发起完成 的指示包括使得能够经由所述安全连接对数据的进行安全传送的至少一个属 性。
53. 如权利要求51所述的方法，其特征在于，所述安全连接的发起的指 示标志着要求私钥的交互的结束以及仅要求对称密钥的交互的开始。
54. 如权利要求52所述的方法，其特征在于，所述属性包括对称密钥。
55. 如权利要求51所述的方法，其特征在于，所述服务器是VPN设备。
56. 如权利要求51所述的方法，其特征在于，所述承担对安全连接的控 制包括通过观察所述安全连接的发起来确定所述安全连接的属性； 将所述属性转发给网络设备，由此使得所述网络设备能够维护与所述客户 端的所述安全连接。
全文摘要
事务处理加速器可被配置成终止安全连接。服务器方加速器截取来自客户端并定向至服务器的安全连接请求。服务器方事务处理加速器代替服务器对安全连接请求作出响应，由此在客户端与服务器方事务处理加速器之间建立安全连接。或者，服务器方加速器监视客户端与服务器之间安全连接的建立。在该安全连接已经建立之后，服务器方加速器将安全性信息转发给客户端方加速器，以使得客户端方加速器承担对该安全连接的控制。由于该布置，客户端方加速器能够与服务器方加速器相合作地加密和解密该安全连接上的数据并对其加速。在又一实施例中，加速器之间经加速的话务经由另一安全连接被跨网络地携带。
文档编号G06F15/16GK101292233SQ200680037143
公开日2008年10月22日 申请日期2006年7月26日 优先权日2005年8月10日
发明者C·拉森, M·S·戴尔, S·莫如古 申请人:河床技术股份有限公司