[发明专利]用于远程网络访问的统一体系结构

说明书

技术领域

本发明一般涉及通信网络，尤其涉及实现远程访问通信网络的组件。

背景技术

虚拟个人网络(VPN)是其中至少部分通过诸如因特网的公共网络基础构架传递通信的个人网络。VPN广泛地用于公司内或公司之间的通信，因为它们可以扩展用户能连接公司网络的地理区域，降低远程用户的传递时间和传输成本，并提高劳动者的生产力。

为了连接到某些VPN，用户调用驻留在他/她的客户端设备(例如个人计算机、个人数字助理或其它设备)的一个或多个软件组件(例如VPN客户端应用程序)来建立连接。调用软件组件使得客户端设备与VPN上的网络接入网关通信，该网关通常基于软件组件提供的信息来验证用户的访问证书。一旦认证发生，在客户端设备上运行的应用程序一般能够按需访问网络上的资源。网络资源可以包括例如网页、数据结构(例如文件)或电子邮件服务器。每次客户端设备上的应用程序请求访问网络资源时，网关便推动连接。这种布置一般称为“传统VPN”模式。

通过其它VPN，经济和/或安全顾虑会造成采用其它的访问技术。例如，最近转而采用使用加密套接字协议层(SSL)技术的应用程序代理来建立远程用户对VPN的访问。简而言之，在采用应用程序代理的配置中，在客户端应用程序能够访问网络上的资源之前，用户使用在客户端设备上运行的浏览器应用程序来导航到指定为到VPN的接入点的网页。用户可经由浏览器应用程序提供登陆证书以获得对VPN的访问。在认证时，在客户端设备上运行的其它应用程序能够访问网络资源，而无需用户再次提供登陆证书。这种配置一般被称为“应用程序代理”模型。

转向应用程序代理模型的一个原因是对于企业使用不是很昂贵，因为允许自动向VPN认证的软件组件无需在所有的客户端设备上安装和维护。另一个原因是应用程序代理模型提供额外的安全优点，即在接入点接收到的通信会得到比传统VPN配置中更严格的监视，这样恶意方会更难以使用客户端设备来攻击公司VPN。

发明简述

申请人意识到，与使用应用程序代理模型来允许远程用户访问VPN相关联的一个缺点是：通常，当客户端认证时，客户端设备上的应用程序，以及在许多情况下它们的服务器对应部分，必须在客户端应用程序能够自动地访问网络资源之前被修改。作为示例，由于许多企业在它们各自用户社区之间有成千上万的应用程序正在使用中，这些修改可能对通过应用程序代理模型为雇员提供远程网络访问的企业提出严重挑战。例如，对于需要修改的每个应用程序，可能要求企业与应用程序的供应商协商以要求必要的修改、实现修改并将它们铺开到用户社区。这个过程会是非常昂贵和耗时的。此外，对于某些应用程序，实现所需修改可能有重大的技术障碍。

这与传统的VPN模型不同，在传统模型中在认证时，在客户端设备上运行的应用程序一般能够无缝地访问网络资源而无需修改。然而，如上所述，采用传统的VPN模型是昂贵的，因为对于每个用户的个别认证，它会要求将软件组件安装在客户端设备上。传统的VPN模型也会提供较少的应用程序专用安全功能。

为了平衡这些竞争顾虑，许多企业对远程网络访问采用应用程序代理模型，但仅允许在客户端设备上运行的应用程序的子集访问网络资源。因而，许多企业采用应用程序代理模型，并且知道某些用户会不能采用特定应用程序提供的某个功能(例如要求网络访问)。这种安排不是最佳的。

相应地，本发明的一个实施例以提供应用程序代理模型的安全优点以及与传统的VPN模型相关联的应用程序对网络资源的无缝访问，而无需修改在客户端设备上运行的应用程序的方式，提供了便于远程网络访问的体系结构。

在一个实施例中，该体系结构包括安装在客户端设备上和网络接入网关两者上用于验证网络上的客户端的基于软件的组件。在一个实施例中，客户端上的组件包括客户端网络访问管理器(CNAM)，其中当发生预定事件(例如应用程序尝试解析网络名称)时，该管理器会自动地开始与网络的通信，并经由网关来方便验证以建立与网络的连接。在一个实施例中，客户端设备上CNAM的存在使得无需修改其它客户端应用程序，由此便于使用并且提供类似于传统VPN模型的功能。在一个实施例中，该体系结构也包括安装在网络接入网关上的组件，该组件提供许多通常与应用程序代理模型相关联的安全优点。

虽然本发明的实施例会对便于对VPN的远程访问有用，但是本发明不限于这个方面。例如，可以采用该体系结构来方便对任何适当类型的专用或半专用网络的访问。作为示例，可以部署该体系结构来允许向对等网络的访问。可以提供用于管理对等通信的组件，诸如管理分配到此的带宽和/或在其上施加安全策略的组件。

附图简要描述