TW200812298A - Business-to-business remote network connectivity - Google Patents

Description

200812298 九、發明說明： 【發明所屬之技術領域】 本發明係關於為規則地在顧客位置中工作之支援人員及 顧問提供至雇主網路的連接，且更特定言之，本發明係關 於以m觀點與顧客觀點安全之方式提供該連接。 【先前技術】 VPN連接在JL業巾係常見的且允許具有通用網際網路存 取之使用者以安全方式自家庭網路連接至其雇主網路。然 兩，自諸如顧客設施之公司内部的網際網路連接通常出於 安全性目的而限於少數埠（對於Ηττρ通常為埠8〇)且將不允 許對於訪問者存取其遠端雇主"家庭”辦公室中之郵件及其 他應用所需的其他活動。對於可自顧客位置内部工作的來 自其他公司之供應商、顧問及支援人員而言，通常不允許 所需VPN存取。若允許卿連接，料通常將讓任何資料 自顧客位置流動至顧問雇主網路，且因此自顧客觀點而言 為不安全的。 隨後需要一允許由在顧客位置處之訪問人員以兩個公司 白可k任之安全方式對其自身公司内部網路進行存取的經 改良方法。 本發明係關於克服上述問題中的一或多者。 【發明内容】 本發明提供一種安全網路機制，以出於存取在顧客位置 處之使用者/顧問之’，家庭”公司處的郵件、參考材料及專門 應用資料庫之目的而將該等使用者/顧問與其雇主網路相 116629.doc 200812298 連接。具體言之，本發明允許此網路連接基於企業規則而 發生且藉由一中心系統加以登入及控制以減小敏感資訊被 轉移出顧客位置之可能性。 本發明系統之主要組件為專門網路路由器，其允許主公 司限制向外部威脅之暴露同時允許規則訪問者對其雇主内 部網路之存取。此係藉由使用適當投送訊務之 一組路由器/ VPN伺服器同時在網路上維護網路名稱伺服器能力來達 成。本發明之主要成份為經由中心系統而控制路由器系統 之此力，其導致產生基於當時之情況而受控制的動態存取 網路。 本發明之一目標為向規則地在顧客位置中工作之支援人 員及顧問提供至雇主網路之安全連接。 本發明之另一目標為以自雇主觀點與顧客觀點安全之方 式提供該連接。 本發明之又一目標為提供將允許主公司限制向外部威脅 之暴露同時允許規則訪問者對其雇主内部網路之存取的安 全連接。 可自對本說明書、圖式及附加申請專利範圍之研究而獲 得本發明之其他目標、態樣及優點。 【實施方式】 如本文中所使用的，以下術語將具有以下意義： ’’顧客顧客為特定企業設施。其他供應=可在此位置 中且附接至此網路，即使其並非顧客之員工。 ”顧問”：不同於顧客之企業之員工，其需要在顧客設施 116629.doc 200812298 中但亦需要具有對其自身雇主之網路及應用的存取。 "鑑認’’：識別一人之過程（常見方法為使用者m及密 碼）。 "授權’’：確定允許一人做何事（諸如轉移檔案）之過程。 "DHCP":動態主機組態協定。一方法，其中在將電腦 _ 插入網路中時向該電腦動態地指派一網路位址。 ’•DNS名稱"：包含領域之完全合格主機名稱（例如， ’丨mailman.ilstechnology.com”）。 "eCentre":用於安全合作之應用。在本文中，其為可與 本發明一同使用以提供其他功能性之樣本應用。 ”主機名稱解析表"··出於識別與主機名稱相關聯之實體 ip的目的之電腦位址及其名稱之一„。此在標準網路中 為常見的，但對於在多個網路中使用之系統更關鍵以解析 正確網路中之正確系統。 π網際網路協定位址（IP)” ：系統之網際網路位址（例如， π192·168·1·19，，）。 、 f’IPSec” ：用於安全通信之標準協定。 ”系統之命名” ··網路電腦之名稱及相關聯之位址。 ’’網路映射（NATing)” ：用以在兩個不同網路之間映射網 路位址之方法。 ' 特權·由官理者設定的允許或拒絕使用者對服務之存 取（諸如VPN存取）的許可。藉由設定存取特權，管理者押 制使用者對受限制資料的存取。 工 ’’服務網（ServiceNet)":基於多點對多點VPN連接服務的 116629.doc 200812298 對集線器之特定實施。 人糸::路官理者:作為顧客設施之員工的特殊類型之 人顧客糸統網路管理者（或簡單地，網路管理者） 建立及管理路由n、防火牆及其存取控制清單。管理者二 心派使用者密碼及存取特權，且在適當時委託管理職責 "虛擬私有網路（VPN)"··以安全方式在使用者自丄二1 部至該企業内部之間的連接。 一 一以下詳細論述本發明之各種實施例。雖然論述了特 不性實施例’但應瞭解，此僅出於說明之目的而進行。孰 習相關技術者應認識到，在㈣離本發明之精神及範嘴= 情況下可使用其他組件及組態。 、 先前方法 今曰對於在顧客位置處工作且需要存取其家庭網路及系 統之支援或顧問人員而言，存在若干可用之連接選擇。可 能存在未於以下描述之其他連接選擇，但此等選擇為一此 最常見實施。出於實例之目㈤，吾人假定該顧問須存取： 於其雇主網路中的電子郵件系統與特定應用伺服器。 選擇1 ·連接至已在網頁上可用之主機系統。然而，此 僅可在雇主網路處之郵件系統及應用系統具有一允許網頁 劉覽器存取（通常為物上之Ηττρ)的使用者介面時進行。 雇主企業將亦須使得此等伺服器自網際網路而非在其區域 企業網路中為可見的，&而將其暴露至安全性問題。圖1 說明該連接之標準實施。在此組態中，顧問將使其工作站 100及網際網路網頁瀏覽器附接至顧客網路、經顧客閘道 116629.doc 200812298 器3(Π投送至外部網際網路連接，且隨後至顧問閑道器如 以連接至其郵件210或應用212系統之主頁。 案之問題包含·· 解决方 1 ) A司不願意將其内部系統暴露至網際網路。 2) 珠多應用不具有可用於此方法之網頁瀏覽器介面。 3) 公司須獲得供網際網路上使用之公用Ip。 選擇h ··另-常見選擇為建立如圖2中所示之標準站點 對站點（She-t0-site)VPN連接。在此狀況下，兩個企業以顧 客閘道器301中之VPN _a且以顧問閘道器彻中之洲 600 b對其防火牆進行組態以允許該兩個企業網路之間的 直接企業對企業VPN 6⑻連接從而允許顧問存取a雇主企 業網路及相關應用。然@，存在與此實施相關聯之問題， 该專問題包含： υ控制僅在槔層級（p(m ievel)iMf。在νρΝ中對訊務不 存在内容控制’·換言之，可發生任何通信。此料每一方 而言較不安全。 2) 對於每一合作夥伴而言，需要一獨立VPN連接或埠。 錢於單-連接為最佳化的且對於多個顧問及供應商合作 知伴而a，須具有其之多個執行個體。此可能難以在逐個 人的基礎上進行管理。 3) 在顧客網路與顧問家庭網路之間可存在ιρ位址衝突。 不存在用於站點之間的DNS解析之機制。需要重組態應用 以存取其雇主系統。 4) 顧問雇主站點將允許可提供有效密碼的連接於其顧客 116629.doc •10- 200812298 網路中之任何者進入。 5)通常使用DHCP定址連接顧問，此使得使用者系統為 匿名的。若系統以固定IP位址組態，則其不會在多個顧客 位置處工作（由於其具有不同子網路位址機制，故其不會 在其網路中皆指派同一位址）。 選擇2b :在此狀況下，公司可使用在以上選擇2a中所述 之站點對站點VPN連接，且進一步對其進行限制以允許一 限定組之系統位址或IP之間的存取。此在理論上減少了向 限疋數目之系統的暴露，但使用者仍可將至電信網路之原 始連接用於連接至另一系統且獲得對最初並非供存取之其 他系統的存取。 因此需要諸如本文所述之本發明之企業對企業遠端網路 料系統的替代性解決方案，其建立—模擬用於終端使用 百之栎準VPN連接的環境，但亦提供兩個關鍵改良u)經 由對活動之_及對每—轉封包之檢驗的更好安全性； )至客戶之主機名稱解析表格，因而命名問題得以透明 "也解析，且亦允許具有同一子網路命名機制（亦即， ”92.168丄x")的多個網路交互作用而無需專門位址網路位 址轉換（natting)。 本發明之企業對企業連接 如圖3中所不’本發明之企業對企業網路連接系統具有 允許企業之間的標準VPN連接之組件。其亦含有與該㈣ 對準安裝之額外硬體（"HW”）及軟體（"sw")以提供對系統之 額外動‘％控制。其利用在總流程中鏈結在—起之—組 H6629.doc 200812298 VPN ’以使得存在較好控制。 顧問仍將其工作站100連接至顧客網路，且具體言之連 接至經擴展顧客安全閘道控制器3〇〇。在本發明中y現存 在所建立之多個VPN 700、_及9()()，其提供端對端安: 性及對封包細節之檢驗4等行動係藉由訊務控制集線器 5〇〇加以控制且以IP映射DB 53〇領域名稱映射資訊而擴 展。 在訊務控制集線器500及顧客VPN伺服器3〇〇及顧問vpN 伺服器400之原始安裝及組態期間建立用於步驟4中之 VPN2連接800(參見圖4至圖5)及用於步驟6十之連接 900(參見圖4至圖5)。 圖4展示連接及建立顧問之工作站1〇〇的流程圖。在步驟 1中，顧問將其工作站100插入顧客網路300令且經由 而向其指派網路連接IP位址。在此實例中，網路連接”位 址可為”192·168·1·22”。又，作為正常DHCp操作之部分， 工作站1〇〇經指派有顧客網路上之區域DNS(領域名稱伺服 裔）以提供名稱解析。由於本發明之部分為後續步驟，故 將-用於領域名稱解析之第二方法（亦即’名稱解析表格） 增加至工作站100，該第二方法將允許顧問工作站1〇〇解析 或投送回至其家庭雇主網路上之系統。 在步驟2中，顧問開始其在連接至區域顧客安全閘道控 制器300之VPN 70〇a(參見圖3)及VPN 7〇〇b(參見圖3)中的 部分。作為連接過程之部分，顧問之客戶工作站1〇〇呈現 一證明且顧問輸入密碼，且在特定埠上對顧客安全閘道控 116629.doc -12- 200812298 =器300進行請求。此等資訊片斷可轉移至訊務控制集線 益500，該訊務控制集線器5〇〇在步驟3中基於區域清單及 月而驗也5亥等資訊片斷；如步驟5及6中所示，可以外部 伺服器檢查顧問使用者資訊以供使用者驗證。在步驟7 中’該，驗證返回工作站1〇〇，且完成建立vpNi 7〇〇之 步驟。 而

Ik後，在步驟8及9中，將額外資料自安全閘道控制器 300轉移至顧問工作站100。此資料為諸如"i〇.mm”之 新指派之子網路位址，及所需名稱解析表格入口，該等入 允許顧問工作站100請求連接至由諸如”mail 之完全合格領域名稱稱作的伺服器，且在其家庭網路中獲 知與一在顧客網路中可具有同一名稱之伺服器相對的正確 伺服益、。子網路位址之一般形式係藉由，，1010·20χ"指示， 丹中H10.20”界定子網路且”χ"部分指示特定工作站 1 00。具有不同子網路位址之多個工作站可因此使用同一 子網路。通常，子網路對於顧問雇主將係唯一的，以致來 自同雇主之顧問不管其所定位之顧客位置如何皆使用同 一子網路。然而，熟習此項技術者應瞭解，即使子網路對 於各種顧問雇主並非唯一的，本發明系統將仍為完全可操 作的。 在步驟8中’安全閘道控制器300將特定子網路上之邏輯 新位址‘派給該顧問工作站1 〇 〇。本質上，為資訊之轉移 而建立虛擬”隧道”。此新位址子網路可與顧問之供應商名 稱相關聯。在此實例中，工作站1 〇〇之二次位址（對於在 116629.doc 200812298 VPN環境内）可為"1〇.1().2().22"。此子網路位址對於特定使 用者顧問可為固定的，以使得不論其自哪一顧客位置開始 而始終獲得此位址。此將允許其獲得對可具有靠址之限 制,的應用之存取。在此實例中，最初由顧客之DHCp指派 的192.168.1.22"位址保持不變。顧問工作站1〇〇現具有兩 個DNS參考，—者用於顧客網路且—者用於家庭雇主網 路。 纟步驟9中’藉由自訊務控制集線器500返回穿過顧客安 全閘道控制器3〇〇且隨後直至顧問工作站刚而為顧問建立 區域名稱解析表格來建立—詩領域名稱解析之二次方 法。將來自訊務控制集線器5〇〇之名稱飼服器定義增加至 顧問工作站100。經組態以指向顧問雇主之網路的工作站 ⑽上顧問應用飼服器名稱及相關位址（IP)保持不變且將經 田随道之組合而自動投送至雇主網路。名稱解析表格之複 本係維護於顧客安全閘道控制器300上，以使得其可直接 、^控制$ 3GG發达至顧問王作站⑽而無需對訊務控制集線 為500進行請求。此等區域複本可以規則時間間隔或基於 改變而更新。 ' 入I替代方法為在工作站100處增加二次領域名稱伺服器 入口’其指向雇主網路上之伺服器。 驟H)中，顧問工作站100對連接至家庭郵件系統進 仃吻求。此請求通過VPN1隧道7〇〇(參見圖3)至顧客安全閘 =制woo ’該顧客安全閘道控制器则在步驟u中經由 阶隨道800(參見圖3)將請求傳遞至訊務控制集線写 116629.doc -14- 200812298 500 〇 在步驟11中，利用另一VPN2 800,此次該VPN2係自顧 客安全閘道控制器3GG至中心訊務控制集線器_。將來自 特定顧客站點之所有訊務投送至訊務控制集線器5〇〇上之 同-埠，以使得良好地瞭解目的地環境。在顧客安全閘道 控制器300之初始起動期間，控制器3〇〇將用以建立其識別 碼之X509證明（x509 Cert)傳遞至集線器5〇〇。訊務控制集 線器500對請求進行回應且在通信鏈中建立第二 800。此建立了每當另一顧問工作站1〇〇請求外部存取時所 使用之VPN2 800隨道。 訊務控制集線器500在步驟12中於區域表格中查找目的 地資訊，且在步驟13中將該資訊沿著vpn3隧道900(參見 圖3)轉遞至顧問雇主安全閘道控制器4〇〇且直至區域網路 系統。 在步驟13中，在使用來自訊務控制集線器5〇〇之預建立 隧道的情況下，使用第三VPN3 900連接。基於最初來自顧 客安全閘道控制器300之資訊（指派給工作站1〇〇的原始連 接及子網路之埠號（例如，”1〇1〇·2〇χ”》，訊務控制集線 器5 00能夠確定該連接係來自特定供應商或顧問公司，且 因此所有訊務係投送至適當顧問雇主閘道控制器4〇〇。現 存在多方之安全端對端連接。每一顧問公司可被指派有訊 務控制集線器500上之獨立埠以使得可視需要使用額外控 制量測進行獨立存取。 在操作期間，顧客及顧問公司可利用如圖5中所示的 116629.doc -15- 200812298 VPN 700、VPN 800及vpN 9〇〇之鏈來插入其自身安全性策 略。第一 VPN1 700終止於區域路由器或顧客安全閘道控制 器300中以使得顧客可具有對離開其設施之資訊的控制。 在顧客安全閘道控制器300中採用定製防火牆33〇來檢驗資 料封包且確定僅允許流過可接受訊務。不同於傳統防火 牆，定製防火牆330可改變埠/連接而不會破壞其他使用者 之現有連接。自顧問工作站1〇〇至訊務控制集線器5〇〇且隨 後至其家庭系統而維護邏輯連接85〇 ,同時顧客可執行應 用私式以檢驗安全閘道控制器3 0 0中之封包。 為使訊務控制集線器500適當起作用，自ip映射530 維護及使用以下資訊。存在將顧客安全閘道控制器3〇〇内 部上之特定顧客子網路及埠號映射至訊務控制器集線器 5〇〇之輸出側上的特定供應商IP及埠號之一組表格。巧位 址及特定埠之組合提供關於誰正設法連接（亦即，哪一顧 問）之資訊。亦存在一組DNS表袼，其如在系統中被定義 的般係藉由母一雇主加以規定。雇主提供諸如郵件伺服 器210或應用伺服器212之伺服器的清單，其顧問通常將自 顧客站點存取該清單。將此等伺服器儲存於訊務控制集線 器500上之ip映射DB 530中以與區域顧客安全閘道控制器 3〇〇共用。當顧問工作站1〇〇請求連接至安全閘道控制器 3〇〇時，將此二次DNS資訊提供回至工作站10〇。 此意味著：工作站100具有兩個DNS表格，一者在原於 網路連接處以DHCP定址提供至其，且一者自vPNl 7〇〇連 接提供至其。來自VPN1 700連接之DNS入口儲存於與該網 116629.doc -16- 200812298 路位址相關聯的區域記憶體中直至該¥削彻連接不再可 用為止。 通吊，顧客安全閘道控制器300將具有面向，，内部”顧客 網路之多個埠’其中每一供應商/顧問公司具有一專用 埠。舉例而言，來自公司八之顧問或供應商將始終經由同 專用埠而存取顧客安全問道控制器3〇()。多個顧問/供應 商可同時利用埠。藉由將每一袁 心 猎由將母埠扣派給一不同供應商/顧 門a司顧客可以單一顧客安全閘道控制器3〇〇管理一整 組供應商VPN連接。 為使顧客安全閘道控制器300適當起作用，維護及使用 以下貝汛。來自特定公司之顧問皆使用同一進入埠供其連 接至顧客安全閘道控制器3〇〇。對於每一顧問公司存在一 獨立埠，以使得可將其家庭顧問雇主網路之正確映射提供 回至其。在安全閘道控制器3〇〇之，，出埠"側上，存在一至 汛務控制集線器500之單一埠，此允許在出埠訊務可共用 同一隧道時對隧道進行較易管理。在此單一隧道上之訊務 係藉由子網路位址（基於至顧客安全閘道控制器3〇〇之原始 埠連接而指派）及進入埠之組合加以識別。在訊務控制集 線器500處之網路路由表袼中查找此等以傳遞至正確位 置。 圖6展不在三個不同位置中於三個不同時間連接之顧問 工作站（其中不改變該顧問工作站）的一實例。在此實例 中，工作站100、150及16〇皆為同一工作站，但由於其在 不同顧客位置處，故基於參考簡易起見係藉由不同參考號 116629.doc -17- 200812298 碼加以識別。 在工作站100之狀況下，顧問在連接至其安全閘道控制 器300之公司1處，且具有一允許其投送至其雇主網路處的 其雇主郵件伺服器210及/或應用伺服器212而不改變區域 工作站（不同於由本發明自動進行的）之DNS入口。在工作 站150之狀況下，同一工作站現連接至顧客2網路且連接至 其安全閘道控制器350，且亦可連接至其雇主網路處的其 雇主郵件伺服器210及/或應用伺服器212而不進行改變。 類似地，工作站160連接至顧客3處之安全閘道控制器36〇 且投送回至其雇主網路處之其郵件伺服器21〇。然而，基 於每一顧客所允許之規則’可允許或拒絕不同組的存取 在每一狀況下，已將二次領域名稱伺服器（DNS)提供至 顧問工作站100、15〇、16〇。然而，顧客具有對此新⑽S 系統之内容的控制。在顧客丨及2之狀況下，其已藉由允許 顧問雇主之網路處之兩個系統（郵件210及應用212)的各別 DNS 3G3及353含有用於完全合袼領域名稱之所有已請求入 口而允許該兩個系統為可達到的。然而，在顧客3之狀況 下，其已將其所允許2DNS 363限制為僅含有待存取郵件 210之完全合格領域名稱的單一入口。因此，顧客具有對 在其網路中所允許發生之事的安全控制。 如圖7中所不，本發明允許顧問工作站1〇〇、i 〇2、15〇、 152在不同顧客位置處之多個連接的擴展架構。在顧^ 處，來自公司A之兩個顧問工作站1〇〇及1〇2各自連接至顧 116629.doc -18· 200812298 客安全閘道控制器300上的同一埠1〇〇。其各自指派有同一 子、，，罔路（例如，”1〇1〇·2〇χ，，），且可連接回至公司A網路中 的其家庭控制器45〇。雖然顧問工作站1〇〇、ι〇2指派有同 子、、周路，但其將指派有不同子網路位址。舉例而言，顧 問工作站1〇0可指派有子網路位址，，10·10·20·20”，同時顧問 工作站102可指派有子網路位址，，1〇·1〇·2〇·21”。可防止兩個 顧問工作站⑽及⑽在經指派子網路上彼此交換資訊；然 而可建立本發明以允許來自同一公司之工作站之間的資 汛父換。來自公司Β之第三顧問工作站104亦可連接至同一 顧客安王閘道控制器3〇〇，但由於顧問工作站工來自不同 公司，故其將連接於顧客安全閘道控制器3〇〇上之不同埠 (例如，埠200)上且接收一具有不同子網路位址㈠列如， ”1〇·20·20·22，，）的不同子網路（例如，，，1〇·2〇2〇χ，，）。 類似地’顧客2處之顧問工作站⑼（來自公司a)將連接 至顧客2之安全閘道控制器35()上的專用埠，其中顧客二處 之顧問工作站152(來自公^B)連接至顧客2之安全問道控 制器350上的不同專用埠。 每-顧客安全閉道控制器300、350將具有一獨立璋，該 等顧客安㈣道控制器在該獨立埠上連接至訊務控制集線 器500。舉例而言，如圖7中所示，顧客α之安全閘道控 制器300連接至埠2000處之訊務控制集線器5〇〇，同時顧客 2處之安全閘道_器35()連接至物嶋之訊務控制集線 器500。此使通信流保持獨立且允許將子網路映射至特定 顧問雇主閘道控制器400、450。 116629.doc -19- 200812298 此外，每一雇主閘道控制器連接至訊務控制集線器5〇〇 之出埠側上的一專用埠。舉例而言，公司B之閘道控制器 4〇〇連接至埠4000，同時公司A之閘道控制器45〇連接至埠 3000。此亦有助於使通信流保持獨立且允許子網路之映 射。 本發明解決方案之一增加之特徵為可程式地更改顧客安 全閘道控制器300。基於此特徵，其可與諸如eCentre 1〇〇〇 的其他產品之特徵相組合以進一步控制總解決方案從而使 得可存取性可基於企業規則。舉例而言，存取時間可為有 限的，或僅可在存在核準時或僅可在某一狀況發生在另一 應用中時授與存取。在圖8於步驟15中展示自控制應用 1 0 0 0至5fl務控制集線器5 〇 〇之此通信。在此實例中，控制 應用1000為eCentre產品，但熟習此項技術者應認識到，可 代替其利用替代控制應用。 以類似之方式，顧客閘道控制器3〇〇可鏈結至諸如公司 之LDAP使用者管理系統的外部應用11〇〇。以此方式，由 顧問工作站1〇〇呈現給顧客安全閘道控制器3〇〇的原始使用 者涊證及密碼可經由訊務控制集線器5〇〇而傳遞至外部程 式110 0以供使用者顧問之驗證。以此方式，每一顧問可呈 現由其公司所使用的來自證明機構之證明，諸如（但不限 於）Verisign、Thawte、自簽署證明（Self signed cert)等。 本發明之一些益處及特徵為： 提供經由管理者輸入或程式輸入而動態地改變VpN之狀 態的能力。 116629.doc -20 - 200812298 提供給予客戶一主機名稱解析表格以在於兩個獨立企業 、罔路（例如’ mailman.customer.com，，及，，mailman.consultant.com，，） 中類似之DNS名稱或ip位址存在時移除混淆。在更常見 WINS解析的狀況下，彼等兩個伺服器將具有同一名稱： ’’mailman，，。 無論顧問去往何處（顧客或家庭網路），顧問之客戶應用 無須經重組態。 可在標準網際網路或IPSec連接上執行。 僅需要在顧客站點處之單一埠連接以處理用於多個顧問 及合作夥伴之存取。 對本發明系統之進一步擴展為結合"ServiceNet”（參見美 國序列號第1〇/385,442號）連接而使用其以使得多個站點之 間的總體容易得多。 捉供從顧客連接至且有效地管理大量顧問連接之能力。 允許顧問在安全連接上指派有一，，固定，，IP位址以使得限 制由IP位址進行存取的任何應用仍將工作。 對中心訊務集線器提供程式控制以使得可視變化情況而 改變連接規則。 提供一在顧客層級之定製防火牆以允許顧客監視用於現 场顧問之出蜂訊務。可動態地修改防火牆而不會影響現有 連接。 雖然以上已描述本發明之各種實施例，但應瞭解，其已 由僅實例而非限制之方式加以呈現。舉例而言，僅出於參 考之目的而在本文中及在申請專利範圍中使用術語，，顧問，，、 116629.doc -21 - 200812298 " 、顧客"及”雇主"。本發明經設計以經由vpn連 接及訊務控制器集線器而提供任何兩個網路之間的安全通 信。因此，本發明之寬度及範疇不應受以上所述例示性實 施例之任一者限制，而應替代地僅根據以下申請專利範圍 及其均等物而界定。 雖然已特定參看圖式描述了本發明，但應瞭解，可在不 偏離本發明之精神及範嘴的情況下進行各種修改。 町組之申請專利範圍並非限制而僅$舉例說明本發明 之車又佳樣。應瞭解，本專利甲請案替代地涵蓋如本文所 示及描述的本發明之所有態樣。 【圖式簡單說明】 圖1繪示標準網頁存取網路組態； 圖2繪示企業之間的標準vpN連接； 圖3繪示根據本發明之_奢》 知乃心貝w例具有訊務控制器集線器 之本發明的企業對企業連接發明； 圖4繪示本發明之組件之流程交互作用圖，· 圖5緣示根據本發明之系統及組件交互作用的架構圖· 圖6繪示根據本發明在三個不_客環境中連接之客戶 工作站的架構圖； 圖7纷示具有多個使用者之本 赞月糸、、充之元全實施；及 圖8繪示根據本發明之另一實 I呃例具有對VPN連接之拎 加之控制的本發明系統。 曰 【主要元件符號說明】 100 顧問工作站/埠 116629.doc •22· 200812298 102 顧問工作站 104 顧問工作站 150 顧問工作站 152 顧問工作站 160 顧問工作站 200 埠 210 郵件伺服器 212 應用伺服器 300 顧客安全閘道控制器 301 顧客閘道器 303 DNS 330 定製防火牆 350 安全閘道控制器 353 DNS 360 安全閘道控制器 363 所允許DNS 400 顧問雇主安全閘道控制器 401 顧問閘道器 450 公司A之閘道控制器 500 訊務控制集線器 530 IP映射DB 600 VPN 600a VPN 600b VPN 116629.doc - 23 - 200812298 700 VPN1隧道 700a VPN 700b VPN 800 VPN2隧道 850 邏輯連接 900 VPN3隧道/VPN3連接 1000 琿/控制應用/eCentre 1100 外部應用程式 2000 埠 3000 埠 4000 埠 116629.doc -24-

Claims (1)

1. 200812298 十、申請專利範圍： 1. 一種網路連接系統，其包括： 、一提供於一顧客網路内之顧客閘道控制器，該顧客間 道控制器可經由—第一 VPN連接而連接至一顧問工作 站； 一提供於一外部網路内之訊務控制集線器，該訊務控 制集線器可經由一第二VpN連接而連接至該顧客閘道控 制器； 狄π μ —顧問雇主網路内之顧問雇主閘道控制器， 該顧問雇主閘道控制器可經由一第三VPN連接而連接至 該訊務控制集線器， 其中安全通信係經由該第一 νρΝ連接至該第三νρΝ連 接及該訊務控制集線器而建立於該顧問工作站與其對應 的顧問雇主網路之間。 2.如請求項丨之網路連接系統，其中該顧客閘道控制器包 含多個輸入埠，每一埠專用於一特定顧問雇主，以致一 特疋顧問雇主之所有顧問工作站經由同一埠而連接至該 顧客閘道控制器。 3·如請求項2之網路連接系統，其中該訊務控制集線器包 含多個輸入埠，每一埠專用於一特定顧客，以致來自一 特疋顧客之所有訊務係投送至該訊務控制集線器上的同 一輸入埠。 4·如印求項3之網路連接系統，其中該訊務控制集線器在 由該顧客閘道控制器處之該顧問工作站使用的該輸入埠 116629.doc 200812298 上接收咨二17 貝机，且基於該資訊而將訊務投送至適當雇主網 路。 如明求項1之網路連接系統，其中該顧問雇主閘道控制 器接收識別起始該連接之該顧問工作站的資訊，其中該 顧問雇主基於與該顧問工作站相關聯之特權規則而授與 /顧問工作站對該顧問雇主網路中之資料庫及應用的存 取。 6·如請求項1之網路連接系統，其中該訊務控制集線器包 含多個輸出埠，每一埠專用於一特定顧問雇主，以使得 至特別顧問雇主之所有訊務自該訊務控制集線器上之 同一輸出埠而投送。 如請求項1之網路連接系統，其中該顧問工作站係藉由 該顧客閘道控制器而鑑認以建立該第一 vpN連接。 8·如請求項1之網路連接系統，其進一步包括一連接至該 汛務控制集線器之軟體應用程式，其中該軟體應用程式 基於企業規則而控制該顧問工作站與該顧問雇主閘道控 制器之間的訊務流量。 9·如請求項8之網路連接系統，其中該顧問工作站係藉由 «亥軟體應用程式而鑑認以建立該第一 VpN連接。 10·如請求項丨之網路連接系統，其中該顧問工作站係藉由 連接至該訊務控制集線器之LDAP而鑑認以建立該第 一 VPN連接，其中該lDAP與該顧問雇主網路相關聯。 11 ·如请求項1之網路連接系統，其中該顧客閘道控制器包 含一提供於該第一 VPN連接與該第二VPN連接之間的防 116629.doc 200812298 火牆，該防火牆檢驗資料封包以確保僅允許經授權資料 進入遠顧客網路及自該顧客網路出去。 12·如請求項11之網路連接系統，其中該防火牆可經控制以 獨立地檢驗每一資料封包且對是否基於所允許情況而傳 遞每一資料封包進行一決策。 13 ·如晴求項11之網路連接系統，其中該防火膽可經控制以 改變該顧客閘道控制器處之埠及/或連接而不會破壞現有 連接。 14·如請求項11之網路連接系統，其中該防火牆可藉由一在 該顧客閘道控制器外部之應用加以控制從而修改對該顧 客網路之存取/自該顧客網路之存取的情況。 1 5 ·如请求項1之網路連接系統，其中來自同一顧問雇主之 顧問工作站係指派有同一子網路以連接至其顧問雇主網 路。 16·如請求項15之網路連接系統，其中每一顧問工作站在該 同一子網路内具有一不同子網路位址。 17·如請求項1之網路連接系統，其中該顧問工作站經鑑認 以建立該第一 VPN連接，且其中一旦進行鑑認，該顧問 工作站便自該訊務控制集線器接收一領域名稱伺服器入 口，該領域名稱伺服器入口指向該顧問雇主網路上之一 伺服器。 116629.doc