专利名称：Vpn连接系统和vpn连接方法
技术领域：
本发明涉及一种VPN(虚拟专用网)连接系统，尤其是涉及一种基于经过转发服务器的VPN连接而构成回叫系统的VPN连接系统。
背景技术：
传统上，已经有多种与基于VPN(虚拟专用网)连接的回叫系统相关的技术，这种 VPN连接使用来自在公司办公室之外所携带的终端的电子邮件传送系统。例如，日本专利公开JP2004_280595A(专利文献1)和PCT国际公开 W02006/011464(专利文献2)的国内再公开揭示了相关的技术。根据日本专利公开JP2004-280595A (专利文献1)的认证方法是一种基于VPN连 接而构成回叫系统的方法。为了实现日本专利公开JP2004-280595A中的方法，基于该回叫 认证方法而构成VPN连接的每个客户端设备和服务器设备都需要SMTP (简单邮件传输协 议)客户端功能和POP (邮局协议)客户端功能。在这种电子邮件传送系统的基础上，实现 了用于VPN连接的认证信息的传送/接收。然而，这种技术在不能使用SMTP或者POP的情形或环境下不能构成VPN连接。即， 在不存在或者不能使用电子邮件传送系统的情况下，这种连接方法无法执行。另外，在没有构建足够的IT基础设施的情况下，这种电子邮件传送系统成为了瓶 颈。在这种情况下，已知存在通信超时的情况。因此，需要一种不使用电子邮件传送系统的接入方法。例如，在不使用电子邮件 传送系统的情况下，需要将客户端侧终端的认证信息传送到存在于公司基础架构网络上的 VPN服务器设备上。然而，不能使用将认证信息从客户端设备通过直接通信连接传送到VPN服务器设 备这种方式，原因在于，为了实现直接通信，需要额外地在DMZ (非军事化地区)放置VPN服 务器设备，并需要为到防火墙的通信进行设置。这与日本专利公开JP2004-280595A(专利 文献1)中的优点是相矛盾的。
发明内容
本发明的目的在于提供一种无需使用电子邮件传送系统就可以构成基于VPN连 接的回叫系统的连接方法。根据本发明的一个方面，VPN连接系统包括客户端设备；转发服务器设备；以及 VPN服务器设备。所述客户端设备响应于VPN(虚拟专用网)连接请求而产生客户端认证数 据。所述转发服务器设备通过不同于电子邮件的协议来转发通信。所述VPN服务器设备与 所述转发服务器设备通过所述协议建立始终接通的连接。所述客户端设备通过所述协议与 所述转发服务器建立连接以将客户端认证数据发送到转发服务器。所述转发服务器设备将 所发送的客户端认证数据转发到VPN服务器设备。所述VPN服务器设备基于客户端认证数 据对客户端设备进行认证，在认证失败的时候将VPN连接失败报告给客户端设备，而在认证成功的时候实现与客户端设备的VPN连接。根据本发明的另一方面，VPN连接方法包括VPN(虚拟专用网)服务器设备通过协议与转发服务器设备之间建立总是接通的连接；客户端设备响应于VPN连接请求而产生 客户端认证数据；客户端服务器通过协议与转发服务器建立连接以便客户端服务器将客户 端认证数据发送到转发服务器；转发服务器将所发送的客户端认证数据转发到VPN服务器 设备；VPN服务器设备基于客户端认证数据来对客户端设备进行认证；在认证失败的时候， VPN服务器将VPN连接失败报告给客户端设备；而在认证成功的时候，VPN服务器实现与客 户端设备的VPN连接。注意，在根据本发明的VPN连接中，VPN服务器设备是计算机设备或担当VPN服务 器的VM(虚拟机)环境。另外，转发服务器设备是计算机设备或者是担当转发服务器的VM 环境。另外，客户端设备是计算机设备或者是担当用于VPN服务器和转发服务器的客户端 的VM环境。根据本发明，即使在不能使用SMTP或POP的环境中，也可以在基础构架网络上的 VPN服务器上执行认证。
通过下面结合附图对特定的优选示例性实施例的描述，本发明的上面和其他目 的、优点和特征将变得更加显而易见，其中图1是展示本发明的示例性实施例的VPN连接系统的结构示例的框图；图2是展示用于VPN连接请求的认证数据的示例的图表；图3是展示用于转发服务器设备的数据表示例的图表；图4是展示在本发明的示例性实施例的VPN连接系统中的整体操作概述的顺序 图；图5A是展示在本发明的示例性实施例的VPN连接系统中第一处理的概述的顺序 图；图5B是展示在本发明的示例性实施例的VPN连接系统中第一处理的概述的顺序 图；图5C是展示在本发明的示例性实施例的VPN连接系统中第一处理的概述的顺序 图；图6是展示在本发明的示例性实施例的VPN连接系统中第二处理的概述的顺序 图；图7A是展示在本发明的示例性实施例的VPN连接系统中第三处理的概述的顺序 图；图7B是展示在本发明的示例性实施例的VPN连接系统中第三处理的概述的顺序 图；图7C是展示在本发明的示例性实施例的VPN连接系统中第三处理的概述的顺序 图；图7D是展示在本发明的示例性实施例的VPN连接系统中第三处理的概述的顺序 图8是展示在本发明的示例性实施例的VPN连接系统中第四处理的概述的顺序 图9A是展示在本发明的第二示例性实施例的VPN连接系统中第三处理的概述的 顺序图；图9B是展示在本发明的第二示例性实施例的VPN连接系统中第三处理的概述的 顺序图；图9C是展示在本发明的第二示例性实施例的VPN连接系统中第三处理的概述的 顺序图以及图9D是展示在本发明的第二示例性实施例的VPN连接系统中第三处理的概述的 顺序图。
具体实施例方式<第一示例性实施例>下面参考附图来描述本发明第一示例性实施例。如图1所示，根据本发明的第一示例性实施例的VPN连接系统包括客户端设备1、 转发服务器设备2和VPN服务器设备3。客户端设备1担当VPN连接中的客户端。转发服务器设备2是取代电子邮件传送系统的设备。在本示例性实施例中，基于 不同于电子邮件传送系统的协议(SMTP或者POP)的唯一协议，转发服务器设备2通过不是 VPN连接的连接方法，在VPN连接中转发客户端和服务器之间的通信。VPN服务器设备3担当VPN连接中的服务器。客户端设备1包括认证数据产生部分11、用户信息累积部分12、认证密钥发送部 分13、转发信息累积部分14和连接接收部分15。认证数据产生部分11产生用于基于客户端的VPN连接请求而在服务器中执行终 端认证的认证数据。在本示例性实施例中，认证数据产生部分11基于客户端设备1到VPN 服务器设备3的VPN连接请求，产生用于在VPN服务器设备3中认证客户端设备1的认证 数据。用户信息累积部分12 (也称作第一用户信息累积部分)是存储用户信息的信息累 积设备，该用户信息是产生用于VPN连接请求的客户端认证数据所需的。在本示例性实施 例中，用户信息累积部分12在客户端设备1上存储了用户信息。作为用户信息的一个例子， 可以是使用客户端设备1的用户的识别信息或属性信息。然而，实际上，用户信息并不局限 于这些例子。认证密钥发送部分13基于VPN连接请求来执行通信。在本示例性实施例中，基于 不同于电子邮件传送系统的协议(SMTP或者POP)的唯一协议，认证密钥发送部分13通过 不是VPN连接的连接方法发送认证数据。转发信息累积部分14 (也称作第一转发信息累积部分)是存储用于通过转发服务 器设备进行通信所需信息的信息累积部分。在本示例性实施例中，转发信息累积部分14存 储了用于识别转发服务器设备2的识别信息。注意，转发信息累积部分14可以进一步适用 于存储有关在客户端设备1和转发服务器2之间，以及转发服务器设备2和VPN服务器设备3之间的通信方法的信息。连接接收部分15 (也称作第一连接接收部分)做出VPN连接。转发服务器设备2包括认证密钥传送部分21、转发信息累积部分22和目的设备认 证部分23。认证密钥传送部分21将对VPN服务器设备连接请求的数据传送给VPN服务器设备。转发信息累积部分22 (也称作第二转发信息累积部分)是存储通信所需信息的信息累积设备。在本示例性实施例中，转发信息累积部分22存储指示认证数据转发功能的状 态(0N/0FF)的信息。当认证数据转发功能的状态被打开(ON)时，认证密钥传送部分21将 对于VPN服务器设备的连接请求数据传送到VPN服务器设备。另外，转发信息累积部分22 存储唯一地确定目的设备识别信息和目的连接信息的数据表。即，转发信息累积部分22存 储数据表，该数据表中目的设备识别信息和目的连接信息相互关联注册。目的设备认证部分23确定是否可以执行响应于连接请求目的而到VPN服务器设 备的通信。VPN服务器设备3包括客户端认证部分31、用户信息累积部分32、认证密钥接收部 分23、转发信息累积部分34和连接接收部分35。客户端认证部分31对已经做出VPN连接请求的客户端设备进行认证。用户信息累积部分32 (也称作第二用户信息累积部分)是存储基于VPN连接请求 而认证客户端设备所需用户信息的信息累积设备。例如，用户信息累积部分32存储允许该 VPN连接的用户信息。可选地，用户信息累积部分32可以适用于存储拒绝VPN连接的用户 fn息ο认证密钥接收部分33基于VPN连接请求来执行通信。转发信息累积部分34 (也称作第三转发信息累积部分)是存储通过转发服务器设 备的通信所需信息的信息累积设备。在本示例性实施例中，转发信息累积部分34存储了有 关转发服务器设备2的地址信息。连接接收部分35 (也称作第二连接接收部分)做出VPN连接。在本示例性实施例 中，连接接收部分35与连接接收部分15建立VPN连接以做出该VPN连接。参考图2，描述了用于VPN连接请求的认证数据。用于VPN连接的数据包括客户端认证数据4、设备识别信息5和连接请求数据6。客户端认证数据4是由客户端设备产生的认证数据。客户端认证数据4用于在已 经接收到VPN连接请求的VPN服务器设备中执行客户端认证。在本示例性实施例中，客户 端认证数据4是由客户端设备1产生的。一旦通过转发服务器设备2从客户端设备1接收 到VPN连接请求，VPN服务器设备3使用包括在VPN连接请求中的客户端认证数据4来执 行客户端认证。设备识别信息5是对于VPN服务器设备唯一的识别信息。在本示例性实施例中， 设备识别信息5指示VPN服务器设备3。连接请求数据6是用于转发的发送数据，其意在用于转发服务器设备。在本示例 性实施例中，连接请求数据6被发送给转发服务器设备2。连接请求数据6包括客户端认证 数据4和设备识别信息5。
图3展示用于转发服务器设备2的数据表。该数据表被存储在转发信息累积部分 22中。该数据表具有项目号、目的设备识别信息和目的连接信息。在本示例性实施例中，对 于项目号“ 1 ”，存储目的设备识别信息“0003”和目的连接信息“连接1 ”。另外，对于项目号 “2”，存储目的设备识别信息“0033”和目的连接信息“连接2”。接下来，以下详细描述根据本发明的示例性实施例的操作。本示例性实施例基于这样的假设下面的信息已经注册到各个信息累积部分。在用户信息累积设备12和用户信息累积部分32的每一个中，注册了执行连接认证的同一用户的信息(用户信息A)。在转发信息累积部分14中，注册了有关VPN服务器设备3的设备识别信息5(代 码0003)。另外，在转发信息累积部分14中，注册了有关转发服务器设备2的地址信息。在转发信息累积部分22中，存储了用于指示认证数据转发功能的状态(0N/0FF) 的信息。另外，在转发信息累积部分22中，注册了有关转发服务器设备2的连接认证信息 (代码0002)。在转发信息累积部分34中，注册了有关转发服务器设备2的连接认证信息(代 码0002)和有关VPN服务器设备3的设备识别信息5 (代码0003)。另外，在转发信息累 积部分34中，注册了有关转发服务器设备2的地址信息。下面，参考图4，描述在根据本发明第一示例性实施例的VPN连接系统中的整体操 作的概述。(1)步骤 Sl基于设备的激活，VPN服务器设备3建立与转发服务器设备2之间的总是接通的 连接。总是接通的连接是一种非VPN连接的连接，并且基于不同于电子邮件传送系统的协 议(SMTP或者POP)的唯一协议。(2)步骤 S2基于客户端的VPN连接请求，客户端设备1开始VPN连接，并产生客户端认证数据 4。(3)步骤 S3客户端设备1建立与转发服务器设备2的连接以发送客户端认证数据4。所述连 接是一种非VPN连接的连接，并且基于不同于电子邮件传送系统的协议(SMTP或者POP)的 唯一协议。转发服务器设备2转发该数据以将客户端认证数据4传送到VPN服务器设备3。(4)步骤 S4VPN服务器设备3基于客户端认证数据4来执行客户端认证。作为客户端认证的 结果，如果认证失败，那么VPN服务器设备3就在VPN连接中通知客户端设备1失败。此外，作为客户端认证的结果，如果认证成功，那么VPN服务器设备3就做出与客 户端设备1之间的VPN连接。参考图5A、5B和5C所示的顺序图，描述对应于由指示图4中的步骤Sl的虚线所 包围的部分的操作。(1)步骤 SlOl认证密钥接收部分33访问转发信息累积部分34以检查有关转发服务器设备2的 地址信息，并基于该地址信息，向认证密钥传送部分21做出连接请求。
(2)步骤 S102认证密钥传送部分21访问转发信息累积部分22以检查认证数据转发功能的状 态。如果认证数据转发功能的状态被关闭(OFF)，那么认证密钥传送部分21就不使用该功 能，从而也不执行任何后续操作。即，如果认证数据转发功能的状态是OFF，那么转发服务器 设备2就在此结束处理。(3)步骤 S103如果认证数据转发功能的状态是0N，那么认证密钥传送部分21就向认证密钥接 收部分33请求连接认证信息。(4)步骤 S104认证密钥接收部分33访问转发信息累积部分34以获得用于与转发服务器设备2 进行通信的连接认证信息(代码0002)，并将该连接认证信息(代码0002)发送到认证密 钥传送部分21。(5)步骤 S105认证密钥传送部分21从认证密钥接收部分33接收连接认证信息(代码0002)， 并访问转发信息累积部分22以将从认证密钥接收部分33接收到的连接认证信息(代码
0002)与能够访问注册的连接认证信息进行比较。作为比较的结果，如果这些连接认证信息 不相互匹配，那么认证密钥传送部分21就将该请求认为是坏的连接请求，不执行任何后续 操作。(6)步骤 S106作为比较的结果，如果这些连接认证信息相互比配，那么认证密钥传送部分21就 允许与认证密钥接收部分33建立总是接通的连接。(7)步骤 S107如果建立了与认证密钥传送部分21的总是接通的连接，那么认证密钥接收部分 33就访问转发信息累积部分34以获得有关VPN服务器设备3的设备识别信息5 (代码
0003)，并将设备识别信息5(代码0003)发送到认证密钥传送部分21。(8)步骤 S108认证密钥传送部分21从认证密钥接收部分33接收设备识别信息5 (代码0003) 以将其作为数据表在转发信息累积部分22中进行注册，所述数据表唯一地确定“设备识别 信息5”和“认证传送部分21和认证密钥接收部分33之间的连接信息(连接1) ”。图3显 示了该数据表。参考图6所示顺序图，描述对应于由指示图4中的步骤S2的虚线所包围的部分的 操作。(1)步骤 S201响应于认证数据产生请求，认证数据产生部分11访问用户信息累积设备12以获 取有关该用户的信息(用户信息A)，并产生用于客户端认证的客户端认证数据4。(2)步骤 S202认证数据产生部分11将所产生的客户端认证数据4发送到认证密钥发送部分13以请求发送该客户端认证数据4。参考图7A、7B和7C中所示的顺序图，描述对应于由指示图4中的步骤S3的虚线所包围的部分的操作。(1)步骤 S301认证密钥发送部分13访问转发信息累积部分14以获取有关作为目的VPN服务器设备3的VPN服务器设备3的设备识别信息5 (代码0003)，并将该设备识别信息5 (代码 0003)添加到客户端认证数据4以产生将要发送给转发服务器设备2的连接请求数据6。(2)步骤 S302认证密钥发送部分13访问转发信息累积部分14以检查有关转发服务器设备2的 地址信息，并基于该地址信息，向认证密钥传送部分21做出连接请求。(3)步骤 S303认证密钥传送部分21访问转发信息累积部分22以检查认证数据转发功能的状 态。如果该状态为OFF，那么认证密钥传送部分21就不使用该功能，从而也不执行任何后 续的操作。即，如果认证数据转发功能的状态是OFF，那么转发服务器设备2就在此结束处理。(4)步骤 S304如果认证数据转发功能的状态是0N，那么认证密钥传送部分21就通知认证密钥 发送部分13通信连接允许，以允许数据发送。即，认证密钥传送部分21允许建立与认证密 钥发送部分13之间的连接。(5)步骤 S3O5认证密钥发送部分13从认证密钥传送部分21接收通信连接允许，并且如果允许 数据发送，那么就将连接请求数据6发送到认证密钥传送部分21。(6)步骤 S3O6认证密钥传送部分21接收连接请求数据6，并将连接请求数据6分割成客户端认 证数据4和设备识别信息5 (代码0003)。(7)步骤 S3O7认证密钥传送部分21通知目的设备认证部分23设备识别信息5 (代码0003)，以 请求检查对应于设备识别信息5 (代码0003)的目的VPN服务器设备。(8)步骤 S308目的设备认证部分23访问转发信息累积部分22以检查在图3所示的数据表中匹 配设备识别信息5(代码0003)的设备识别信息。如果在数据表中不存在匹配设备识别信 息5 (代码0003)的设备识别信息，那么目的设备认证部分23就将该请求认为是坏的连接 请求，进而不执行任何后续操作。(9)步骤 S309如果在数据表中存在匹配设备识别信息5 (代码0003)的设备识别信息，那么目 的设备认证部分23就从数据表中获取对应于该设备识别信息的连接信息，并基于该连接 信息向认证密钥传送部分21做出使用总是接通的连接进行数据发送的请求。(10)步骤 S310认证密钥传送部分21使用由目的设备认证部分23请求的总是接通的连接以将客 户端认证数据4发送到认证密钥接收部分33。下面，在顺序图(图8)中示出了对应于由指示图4中步骤S4的虚线所包围的部分的操作，以提供描述。
(1)步骤 S401认证密钥接收部分33从认证密钥传送部分21接收客户端认证数据4以向客户端 认证部分31做出使用客户端认证数据4进行客户端认证的请求。(2)步骤 S402客户端认证部分31访问用户信息累积部分32以获得有关用户的信息(用户信息 A)，并执行客户端认证数据4的认证。如果认证失败，那么客户端认证部分31就将该请求 认为是坏的连接请求，进而不执行任何后续操作。此外，如果认证成功，客户端认证部分31就将该请求看做正确的请求以允许与客 户端设备1进行VPN连接。在本示例性实施例中，客户端认证部分31将有关允许与客户端 设备1进行VPN连接的信息注册到用户信息累积部分32中。连接接收部分35访问用户信息累积部分32，并且如果注册了有关允许与客户端 设备1进行VPN连接的信息，那么就与连接接收部分15进行VPN连接。S卩，VPN服务器设 备3与客户端设备1进行VPN连接。从上面可以看出，无需使用电子邮件传送系统就可以进行基于VPN连接的回叫系 统。根据本发明的示例性实施例，无论是否存在电子邮件传送系统，都可以对基于VPN 连接的回叫系统进行认证。另外，根据本发明的该示例性实施例，基于VPN连接的回叫系统可以引入到仅使 用Web邮件和群件来经营业务的公司中。根据本发明的该示例性实施例，不使用电子邮件传送系统，以便可以增强连接请 求的认证速度。〈第二示例性实施例〉 下面描述本发明的第二示例性实施例。在完成建立与VPN服务器设备3的总是接通的连接之前接收到来自客户端设备的 连接请求的情况下，本示例性实施例暂停连接认证以增强连接性。在本示例性实施例中的VPN连接系统的配置与第一示例性实施例中的相同。艮口， 如图1所示，在本示例性实施例中的VPN连接系统包括，客户端设备1、转发服务器设备2和 VPN服务器设备3。客户端设备1、转发服务器设备2和VPN服务器设备3与第一示例性实施例中的相 同。本示例性实施例基于这样的假设，即已经执行了后续的操作。转发服务器设备2将指示认证数据转发功能的状态(0N/0FF)的信息注册到转发 信息累积部分22。另外，转发服务器设备2将有关转发服务器设备2的连接认证信息(代 码0002)注册到转发信息累积部分22。进一步，转发服务器设备2将有关目的服务器的搜索性能信息(例如，10秒间隔内 三次)注册到转发信息累积部分22中。注意，搜索性能信息是这样一种信息，其限定基于认 证密钥传送部分21执行检查处理的间隔和次数，该检查处理是在转发信息累积部分22中 的数据表上检查设备识别信息是否匹配由VPN服务器设备3通知来的设备识别信息5 (代码0003)。VPN服务器设备3将有关转发服务器设备2的连接认证信息(代码0002)和有关 VPN服务器设备3的设备识别信息5 (代码0003)注册到转发信息累积部分34中。VPN服务器设备3将有关转发服务器设备2的地址信息注册到转发信息累积部分34。客户端设备1将有关VPN服务器设备3的设备识别信息5 (代码0003)注册到转 发信息累积部分14。客户端设备1将有关转发服务器设备2的地址信息注册到转发信息累积部分14。客户端设备1将有关执行连接认证的同一用户的信息(用户信息A)注册到用户 信息累积设备12中。类似地，VPN服务器设备3将有关执行连接认证的同一用户的信息 (用户信息A)注册到用户信息累积部分32。在本示例性实施例中，对应于由指示图4中的步骤S3的虚线包围的部分的操作不 同于第一示例性实施例中的操作。其他操作与第一示例性实施例中的相同。参考图9A、9B、9C和9D所示的顺序图，描述了对应于由指示图4中的步骤S3的虚 线所包围部分的操作。(1)步骤 S501认证密钥发送部分13访问转发信息累积部分14以获取有关作为目的VPN服务器 设备3的VPN服务器设备3的设备识别信息5 (代码0003)，并将该设备识别信息5添加到 客户端认证数据4，以产生将要发送给转发服务器设备2的连接请求数据6。(2)步骤 S502认证密钥发送部分13访问转发信息累积部分14以检查有关转发服务器设备2的 地址信息，并基于该地址信息，对认证密钥传送部分21做出连接请求。(3)步骤 S503认证密钥传送部分21访问转发信息累积部分22以检查认证数据转发功能的状 态。如果认证数据转发功能的状态为OFF，那么认证密钥传送部分21就不使用该功能，进而 也不执行任何后续操作。即，如果认证数据转发功能的状态是OFF，那么转发服务器设备2 就在此结束处理。(4)步骤 S504如果认证数据转发功能的状态为0N，那么认证密钥传送部分21就通知认证密钥 发送部分13通信连接允许以允许进行数据发送。即，认证密钥传送部分21允许建立与认 证密钥发送部分13的连接。(5)步骤 S5O5认证密钥发送部分13从认证密钥传送部分21接收通信连接允许，并且，如果允许 数据发送，就将连接请求数据6发送到认证密钥传送部分21。(6)步骤 S5O6认证密钥传送部分21接收连接请求数据6，并将连接请求数据6分割成客户端认 证数据4和设备识别信息5 (代码0003)。(7)步骤 S5O7认证密钥传送部分21通知目的设备认证部分23设备识别信息5 (代码0003)以请求检查对应于设备识别信息5 (代码0003)的目的VPN服务器设备。(8)步骤 S508目的设备认证部分23访问转发信息累积部分22以在图3所示的数据表中检查匹配设备识别信息5(代码0003)的设备识别信息。如果在数据表中不存在匹配设备识别信 息5 (代码0003)的设备识别信息，那么目的设备认证部分23就在经过一定的时间周期之 后再次进行检查。(9)步骤 S509目的设备认证部分23访问转发信息累积部分22以检查搜索性能信息(在10秒 间隔内3次)，并以预定的间隔执行设备识别信息是否匹配设备识别信息5的检查处理(代 码0003)预定的次数。在本示例性实施例中，目的设备认证部分23以10秒间隔，执行设 备识别信息是否匹配设备识别信息5的检查处理(代码0003)三次。如果所有这三次检 查结果都是不匹配，那么目的设备认证部分23就认为该请求是坏连接请求，进而不认证任 何后续操作。(10)步骤 S510如果存在设备识别信息匹配设备识别信息5 (代码0003)，那么目的设备认证部 分23就从数据表获取对应于该设备识别信息的连接信息，并基于该连接信息向认证密钥 传送部分21请求使用总是接通的连接进行数据发送。(11)步骤 S511认证密钥传送部分21使用由目的设备认证部分23请求的总是接通的连接以将客 户端认证数据4发送到认证密钥接收部分33。注意，上述各个示例性实施例可以组合执行。例如，本发明的VPN连接系统可以适 用于能够选择对应于上述每一个示例性实施例的功能。如上所述，在本发明的VPN连接系统中，无需使用电子邮件传送系统就可以实现 基于VPN连接的回叫系统。根据本发明的上述示例性实施例的VPN连接系统使用基于唯一协议而将VPN连接 认证数据转发到VPN连接服务器的设备。在这些示例性实施例的VPN连接系统中，准备了 具有转发功能(转发设备)的设备以便将有关客户端设备的认证信息传送到VPN服务器设 备。转发设备不使用SMTP或POP，而是基于不同于电子邮件传送系统协议(SMTP或者POP) 的唯一协议来进行通信在本发明的VPN连接系统中使用的转发设备可以在多个客户端设备和多个VPN服 务器设备之间执行转发发送。另外，在使用转发设备的情况下，在各个设备之间的通信假设 都将被编码。另外，在基于唯一协议的通信中，使用了在转发设备中使用的现有端口号。因此，即使在不能使用SMTP或POP的环境中，也可以执行利用存在于公司局域网 中的VPN服务器设备的认证。这可以使得基于传统回叫认证的VPN连接可以不依赖于电子 邮件传送系统的存在与否而做出。如上面那样，详细描述了本发明的某些示例性实施例；但是，实际上，本发明并不 局限于任何上述示例性实施例，而是在不脱离本发明的范围的情况下包括各种修改。(进一步示例性实施例1)一种VPN连接系统，其中当认证数据转发功能的状态被打开时，所述认证密钥传送部分通过协议与客户端设备建立连接，接收所述连接请求数据，并将所述连接请求数据分割成客户端认证数据和设备识别信息。(进一步示例性实施例2) —种VPN连接方法，包括当所述认证数据转发功能的 状态被打开时，转发服务器设备通过协议与客户端设备建立连接，接收所述连接请求数据， 并将所述连接请求数据分割成客户端认证数据和设备识别信息。
权利要求
一种VPN连接系统，包括客户端设备，配置成响应于虚拟专用网VPN连接请求而产生客户端认证数据；转发服务器设备，配置成通过不同于电子邮件的协议转发通信；和VPN服务器设备，配置成通过所述协议与所述转发服务器设备建立总是接通的连接，其中所述客户端设备配置成通过所述协议与所述转发服务器建立连接，以将所述客户端认证数据发送到所述转发服务器，所述转发服务器设备配置成将所发送的客户端认证数据转发给所述VPN服务器设备，并且所述VPN服务器设备配置成基于所述客户端认证数据来执行所述客户端设备的认证，并在所述认证失败时，将VPN连接失败报告给所述客户端设备，以及在认证成功时，与所述客户端设备实现VPN连接。
2.根据权利要求1所述的VPN连接系统，其中所述客户端设备包括第一用户信息累积部分，配置成存储用于产生所述客户端认证数据的用户信息； 认证数据产生部分，配置成通过访问所述用户信息，响应于所述VPN连接请求以产生 所述客户端认证数据；第一转发信息累积部分，配置成存储指示所述转发服务器设备的地址的地址信息和用 于指定所述VPN服务器设备的设备识别信息；认证密钥传送部分，配置成通过访问所述地址信息，通过所述协议建立到所述转发服 务器设备的连接，并通过将所述设备识别信息发送到所述转发服务器设备，请求连接到所 述VPN连接服务器设备；和第一连接接收部分，配置成实现与所述VPN服务器设备的VPN连接。
3.根据权利要求2所述的VPN连接系统，其中所述转发服务器设备包括第二转发信息累积部分，配置成存储指示认证数据转发功能是打开还是关闭的状态信 息，和指定所述转发服务器设备的连接认证信息；认证密钥传送部分，配置成在所述认证数据转发功能被打开并且从所述客户端设备 发送来所述设备识别信息的时候，向所述VPN服务器设备请求VPN服务器设备侧的连接认 证信息；并且在存储于所述第二转发信息累积部分的所述连接认证信息与所述VPN服务 器设备侧的连接认证信息相匹配的时候，通过所述协议建立与所述转发服务器设备和所述 VPN服务器设备之间的总是接通的连接。
4.根据权利要求3所述的VPN连接系统，其中所述认证密钥发送部分配置成在建立 了所述总是接通的连接的时候，将数据表存储在所述第二转发信息累积部分中，在该数据 表中，所述设备识别信息和指示所建立的总是接通的连接的连接信息相互关联，并且所述转发服务器设备进一步包括目的设备认证部分，配置成从所述认证密钥传送部分获取设备识别信息；执行所获 取的设备识别信息和存储在所述数据表中的设备识别信息之间的匹配；在匹配结果是匹配 的时候，从所述数据表中检索对应于所获取的设备识别信息的连接信息；并且基于所获取 的连接信息，请求通过总是接通的连接对所述认证密钥传送部分进行数据发送，并且所述认证传送部分配置成基于所获取的连接信息，通过所述总是接通的连接将所述 客户端认证数据发送到所述VPN服务器设备。
5.根据权利要求4所述的VPN连接系统，其中所述第二转发信息累积部分存储了定义 匹配的间隔和次数的搜索性能信息，并且所述目的设备认证部分配置成当在所述数据表中没有发现所获取的设备认证信息 时，以由所述搜索性能信息定义的间隔和次数来重复匹配；并且在所有重复匹配的结果都 是不匹配时，确定所述VPN连接请求为坏的。
6.根据权利要求4所述的VPN连接系统，其中所述VPN服务器设备包括第三转发信息累积部分，配置成存储指示所述转发服务器设备的地址的地址信息、用 于与所述转发服务器设备进行通信的连接认证信息和指定所述VPN服务器设备的设备识 别信息，和认证密钥接收部分，配置成基于存储在所述第三转发信息累积部分中的地址信息，请 求连接到所述转发服务器设备；在从所述转发服务器接收到所述连接认证信息的请求时， 将存储在所述第三转发信息累积部分中的所述连接认证信息发送到所述转发服务器设备； 在建立了与所述转发服务器设备的总是接通的连接时，将所述设备识别信息发送到所述转 发服务器设备；并且从所述转发服务器设备获取所述客户端认证数据。
7.根据权利要求6所述的VPN连接系统，其中所述VPN服务器设备进一步包括 第二用户信息累积部分，配置成存储作为连接认证目标的用户信息；客户端认证部分，配置成从所述认证密钥接收部分获取所述客户端认证数据；通过 访问存储在所述第二用户信息累积部分中的所述用户信息，来执行基于所述客户端认证数 据的认证；并且在基于所述客户端认证数据的认证成功的时候，将指示与所述客户端设备 的VPN连接被允许的信息注册到所述第二用户信息累积部分；和第二连接接收部分，配置成在指示与所述客户端设备的VPN连接被允许的信息被注册 到所述第二用户信息累积部分的时候，实现与所述客户端设备的VPN连接。
8.用于根据权利要求1到7的任何一个所述的VPN连接系统的客户端设备。
9.用于根据权利要求1到7的任何一个所述的VPN连接系统的转发服务器设备。
10.用于根据权利要求1到7的任何一个所述的VPN连接系统的VPN服务器设备。
11.一种VPN连接方法，包括虚拟专用网络VPN服务器设备通过协议建立与转发服务器设备的总是接通的连接； 客户端设备响应于VPN连接请求而产生客户端认证数据；客户端服务器通过所述协议建立与所述转发服务器的连接，以通过该客户端服务器将 所述客户端认证数据发送到所述转发服务器；所述转发服务器将所发送的客户端认证数据转发到所述VPN服务器设备； VPN服务器设备基于所述客户端认证数据对该客户端设备进行认证； 在所述认证失败时，VPN服务器将VPN连接失败报告给所述客户端设备；并且 在所述认证成功时，VPN服务器实现与所述客户端设备的VPN连接。
12.根据权利要求11所述的VPN连接方法，进一步包括所述客户端设备将用于产生所述客户端认证数据的用户信息存储在第一用户信息累 积部分中；所述客户端设备通过访问所述用户信息，响应于所述VPN连接请求来产生所述客户端 认证数据；所述客户端设备将指示所述转发服务器设备的地址的地址信息和指定所述VPN服务 器设备的设备识别信息存储在第一转发信息累积部分中；所述客户端设备通过访问包括在所述转发服务器设备中的认证密钥传送部分中的地 址信息，通过所述协议来建立对所述转发服务器设备的连接，以便通过将所述设备识别信 息发送到所述转发服务器设备来请求连接到VPN服务器设备；并且 所述客户端设备实现与所述VPN服务器设备的VPN连接。
13.根据权利要求12所述的VPN连接方法，进一步包括所述转发服务器将指示认证数据转发功能被打开还是被关闭的状态信息和指定所述 转发服务器设备的连接认证信息存储到第二转发信息累积部分中；当所述认证数据转发功能打开并且从所述客户端设备发送来所述设备识别信息的时 候，所述转发服务器向所述VPN服务器设备请求VPN服务器设备侧连接认证信息；并且当存储于所述第二转发信息累积部分的连接认证信息与VPN服务器设备侧连接认证 信息相匹配的时候，所述转发服务器通过所述协议建立与所述转发服务器设备和所述VPN 服务器设备之间的总是接通的连接。
14.根据权利要求13所述的VPN连接方法，进一步包括当建立了所述总是接通的连接的时候，所述转发服务器将数据表存储在第二转发信息 累积部分中，在该数据表中，设备识别信息和指示所建立的总是接通的连接的连接信息相 互关联，所述转发服务器设备从所述认证密钥传送部分获取所述设备识别信息； 所述转发服务器设备执行在所获取的设备识别信息和存储在所述数据表中的设备识 别信息之间的匹配；当匹配结果为匹配的时候，所述转发服务器设备从所述数据表中检索对应于所获取的 设备识别信息的连接信息，并且基于所获取的连接信息，请求通过所述总是接通的连接对 所述认证密钥传送部分进行数据发送，并且所述转发服务器设备基于所获取的连接信息，通过所述总是接通的连接将所述客户端 认证数据发送到所述VPN服务器设备。
15.根据权利要求14所述的VPN连接方法，进一步包括所述转发服务器设备存储了定义匹配的间隔和次数的搜索性能信息； 当在所述数据表中没有发现所获取的设备认证信息时，所述转发服务器设备以由所述 搜索性能信息所定义的间隔和次数来重复匹配；并且当所有重复匹配的结果都是不匹配时，确定所述VPN连接请求为坏的。
16.根据权利要求14所述的VPN连接方法，进一步包括所述VPN服务器设备存储指示所述转发服务器设备的地址的地址信息、用于与所述转 发服务器设备进行通信的连接认证信息和指定所述VPN服务器设备的设备识别信息，所述VPN服务器设备基于存储在所述第三转发信息累积部分中的地址信息，请求连接 到所述转发服务器设备；当从所述转发服务器接收到所述连接认证信息的请求时，所述VPN服务器设备将存储 在所述第三转发信息累积部分中的连接认证信息发送到所述转发服务器设备；当建立了与所述转发服务器设备的总是接通的连接时，所述VPN服务器设备将所述设备识别信息发送到所述转发服务器设备；所述VPN服务器设备通过包括在所述VPN服务器中的认证密钥接收部分从所述转发服 务器设备获取所述客户端认证数据。
17.根据权利要求16所述的VPN连接方法，进一步包括所述VPN服务器设备将作为连接认证目标的用户信息存储在第二用户信息累积部分中；所述VPN服务器设备从所述认证密钥接收部分获取所述客户端认证数据； 所述VPN服务器设备通过访问存储在所述第二用户信息累积部分中的用户信息，执行 基于所述客户端认证数据的认证；当基于所述客户端认证数据的所述认证成功的时候，所述VPN服务器设备将指示与所 述客户端设备的VPN连接被允许的信息注册到所述第二用户信息累积部分；并且当指示与所述客户端设备的VPN连接被允许的信息被注册在所述第二用户信息累积 部分的时候，所述VPN服务器设备实现与所述客户端设备的VPN连接。
全文摘要
为了建立回叫类型的VPN连接，VPN服务器通过不同于电子邮件传送系统的唯一协议建立总是接通的连接。客户端产生用于由VPN服务器实现的客户端认证的客户端认证数据，并通过所述唯一协议建立所述转发服务器以发送所述客户端认证数据。所述转发服务器设备将所述客户端认证数据通过唯一协议转发到VPN服务器。VPN服务器基于所转发的数据来实现客户端认证。VPN服务器基于认证的结果来建立与客户端的VPN连接。
文档编号H04L12/56GK101827041SQ20101012309
公开日2010年9月8日 申请日期2010年3月1日 优先权日2009年3月2日
发明者永田笃志 申请人:日本电气株式会社