CN102170451A

CN102170451A - 一种vpn客户端接入方法和装置

Info

Publication number: CN102170451A
Application number: CN2011101277215A
Authority: CN
Inventors: 闻义勇; 陈铭霖; 林彦
Original assignee: Sangfor Network Technology Shenzhen Co Ltd
Current assignee: Sangfor Network Technology Shenzhen Co Ltd
Priority date: 2011-05-17
Filing date: 2011-05-17
Publication date: 2011-08-31

Abstract

本发明公开了一种VPN客户端接入方法和装置，该装置包括VPN客户端、数据存储模块和用于连接主机的接口，其中所述VPN客户端包括：认证模块，用于获取用户身份认证信息进行身份认证，登陆VPN，并创建VPN隧道；远程接入界面，用于启动远程接入程序访问内网资源；网络访问过滤模块，用于将所述远程接入程序访问内网的网络数据通过所述VPN隧道转发给内网主机；文件操作过滤模块，用于将所述远程接入程序要创建或写入本地主机磁盘中的文件重定向到所述数据存储模块中。本发明通过采用动态网络拦截和文件重定向，实现了VPN客户端接入的零安装、零冲突和零痕迹，且使VPN仅仅对远程接入程序可见，提高了内网的安全性。

Description

一种VPN客户端接入方法和装置

技术领域

本发明涉及移动技术应用领域，尤其涉及一种VPN客户端接入方法和装置。

背景技术

随着网络的发展，尤其是网络经济的发展，企业日益扩张，客户和员工分布日益广泛，合作伙伴日益增多，企业远程接入访问和远程移动办公的需求也越来越强烈。传统基于固定物理地点的专线方式已经难以满足企业需求。在这种背景下，VPN(Virtual Private Network，虚拟专用网络)远程接入技术越来越多地应用到了企业网络中。

目前存在的VPN产品，为了解决所有的远程应用接入(包括浏览器/服务器(B/S)和客户端/服务器(C/S)应用)，都必须在接入终端的操作***上安装插件和驱动，建立一个到内网的通道，并将应用数据包转发到内网。即使VPN使用SSL VPN的接入方式，也只是在解决B/S应用接入和少量的有固定协议的C/S应用接入时不需要安装插件，而对于普通C/S形式的远程应用接入，还是必须通过在接入终端的操作***上安装插件或者驱动来解决。这样就增加了VPN客户端的维护和部署难度。VPN远程接入的使用者在不同时刻，可能使用不同的PC终端进行接入，那么每台PC主机在第一次访问VPN的时候都必须安装客户端插件。而由于终端***使用环境的复杂性，所有修改***的设置和安装程序都可能***作***禁止，或者被杀毒软件拦截，或者与其他软件冲突，从而导致控件无法被正常安装到***，使VPN远程接入无法使用。这种非零安装的接入方式，导致了即使VPN用户注销，安装的插件和驱动也仍然会保留在接入终端的操作***中。

此外，在很多企业的办公应用中，需要进行远程接入的应用程序非常少，所以企业用户并不希望将该控件安装到操作***上，因为该控件对***中所有应用程序都是可见的。这种全局安装的接入方式会导致非法程序在用户不知情的情况下借用VPN隧道而攻击内网或者窃取内网资料，存在一定的远程接入安全隐患。

发明内容

本发明要解决的技术问题在于，针对现有技术中VPN客户端使用前必须进行安装、使用时存在冲突且使用后留下痕迹等缺陷，提供一种零安装、零冲突和零痕迹的VPN客户端接入方法和装置。

本发明解决其技术问题所采用的技术方案是：

提供一种VPN客户端接入方法，包括：

S1、将VPN客户端接入装置与接入终端连接；

S2、所述VPN客户端接入装置获取用户身份认证信息，登陆VPN，并创建VPN隧道；

S3、通过所述VPN客户端接入装置启动远程接入程序访问内网资源；

S4、所述VPN客户端接入装置将所述远程接入程序访问内网的网络数据通过所述VPN隧道转发给内网主机；

S5、所述VPN客户端接入装置将所述远程接入程序要创建或写入本地主机磁盘中的文件重定向到所述VPN客户端接入装置中。

本发明VPN客户端接入方法中，步骤S1具体包括从所述VPN客户端接入装置中调用所述用户身份认证信息。

本发明VPN客户端接入方法中，步骤S1具体包括通过专用接口调用所述用户身份认证信息，其中所述用户身份认证信息在所述VPN客户端接入装置中被物理隔离。

本发明VPN客户端接入方法中，所述VPN客户端接入装置基于移动KEY或U盘。

本发明VPN客户端接入方法中，所述用户身份认证信息包括用户证书或用户名密码。

本发明还提供一种VPN客户端接入装置，包括VPN客户端、数据存储模块和用于连接主机的接口，其中所述VPN客户端包括：

认证模块，用于获取用户身份认证信息进行身份认证，登陆VPN，并创建VPN隧道；

远程接入界面，用于启动远程接入程序访问内网资源；

网络访问过滤模块，用于将所述远程接入程序访问内网的网络数据通过所述VPN隧道转发给内网主机；

文件操作过滤模块，用于将所述远程接入程序要创建或写入本地主机磁盘中的文件重定向到所述数据存储模块中。

本发明VPN客户端接入装置中，还包括认证信息存储模块，所述认证信息存储模块用于存储用户身份认证信息。

本发明VPN客户端接入装置中，所述认证信息存储模块被物理隔离，且必须通过专用接口访问所述认证信息存储模块。

本发明VPN客户端接入装置中，所述VPN客户端接入装置基于移动KEY或U盘。

本发明VPN客户端接入装置中，所述用户身份认证信息包括用户证书或用户名密码。

本发明一种VPN客户端接入方法和装置的有益效果为：通过采用动态网络拦截和文件重定向，克服了传统VPN客户端接入时会对接入终端操作***造成影响这一缺陷，实现了VPN客户端接入的零安装、零冲突和零痕迹，且使VPN仅仅对远程接入程序可见，提高了内网的安全性。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是根据本发明一个实施例的VPN客户端接入装置的框图；

图2是根据本发明另一个实施例的VPN客户端接入装置的框图；

图3是根据本发明一个实施例的VPN客户端接入方法的流程图；

图4是根据本发明一个实施例的实现远程接入的示意图；

图5是根据本发明一个实施例的实现文件重定向的示意图；

图6是根据本发明一个实施例的远程接入界面的示意图；

图7是根据本发明另一个实施例的远程接入界面的示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明的各种实施例提供了一种VPN客户端接入装置。该装置包括VPN客户端、数据存储模块和用于连接主机的接口，其中VPN客户端包括认证模块、远程接入界面、网络访问过滤模块和文件操作过滤模块。认证模块用于获取用户身份认证信息进行身份认证，登陆VPN，并创建VPN隧道。远程接入界面用于启动远程接入程序访问内网资源。网络访问过滤模块用于将远程接入程序访问内网的网络数据通过VPN隧道转发给内网主机。文件操作过滤模块用于将远程接入程序要创建或写入本地主机磁盘中的文件重定向到数据存储模块中。

图1是根据本发明一个实施例的VPN客户端接入装置的框图。在本实施例中，VPN客户端接入装置包括VPN客户端110、数据存储模块120和用于连接主机的接口130，其中VPN客户端110包括认证模块111、远程接入界面112、网络访问过滤模块113和文件操作过滤模块114。

VPN客户端110并不只是简单的VPN客户端安装程序，而是可以直接使用的VPN客户端。

数据存储模块120可以用于存储用户个人数据，它可以是任意合适的具有数据存储功能的电路、组件、代码和/或其组合。

接口130用于将VPN客户端与接入终端连接，以便VPN客户端与接入终端间的交互，从而可以借助主机通过VPN客户端访问内网资源。接口130可以是任意合适类型的数据接口，例如USB等。

认证模块111可以用于获取用户身份认证信息进行身份认证，认证通过后自动登陆VPN，并创建VPN隧道以便访问内网资源。用户身份认证信息可以直接保存在VPN客户端接入装置中，也可以由用户输入。用户身份认证信息可以包括用户证书或用户名密码。

远程接入界面112可以用于启动远程接入程序以便通过VPN隧道访问内网资源。远程接入界面112可以为用户提供一个启动应用程序的途径。远程接入界面112上显示了进行远程接入的应用程序图标，还可以提供由用户选择具体路径来启动应用程序的功能。用户必须通过点击界面112上的应用程序图标，或者通过界面112选择程序路径来启动期望运行的应用程序，才能进行VPN远程应用接入，进而访问内网资源。

网络访问过滤模块113可以用于将远程接入程序访问内网的网络数据通过VPN隧道转发给内网主机。远程接入程序是指通过远程接入界面112启动运行的应用程序及其子程序。例如，网络访问过滤模块113可以拦截或过滤远程接入程序网络操作API函数，而忽视其它程序的网络操作函数。当远程接入程序访问VPN内网时，网络访问过滤模块113可以将网络数据通过VPN隧道转发给内网主机，从而实现远程接入。其中，API(Application Programming Interface，应用程序编程接口)是一套用来控制操作***的各个部件的外观和行为的由操作***预先定义的***函数。

文件操作过滤模块114可以用于将远程接入程序要创建或写入本地主机磁盘中的文件重定向到数据存储模块120中。例如，文件操作过滤模块114可以截拦或过滤远程接入程序文件操作API函数，而忽视其它程序的文件操作函数。当远程接入程序创建或者写入本地主机磁盘文件时，文件操作过滤模块114可以将目标文件重定向到VPN客户端接入装置的数据存储模块120中。

在工作过程中，远程接入用户首先将VPN客户端接入装置通过接口130连接到接入终端。自动或手动运行认证模块111，运行认证模块111可以获取用户身份认证信息进行身份认证，并在认证通过后自动登陆VPN，创建VPN隧道以便访问内网资源。随后启动远程接入界面112，并通过远程接入界面112启动远程接入程序以便通过VPN隧道访问内网资源。网络访问过滤模块113可以拦截远程接入程序网络操作API函数，并将远程接入程序访问内网产生的网络数据通过VPN隧道转发给内网主机，从而实现远程接入。文件操作过滤模块114可以拦截远程接入程序文件操作API函数，并将远程接入程序要创建或写入本地主机磁盘中的文件重定向到数据存储模块120中。用户断开VPN客户端接入装置与接入终端的连接后，自动注销VPN，VPN隧道也随之断开，接入终端中的所有应用都无法再进行远程接入访问。

本发明提供的VPN客户端接入装置通过采用动态网络拦截和文件重定向，克服了传统VPN客户端接入时会对接入终端操作***造成影响这一缺陷，实现了VPN客户端接入的零安装、零冲突和零痕迹，且使VPN仅仅对远程接入程序可见，提高了内网的安全性。

图2是根据本发明另一个实施例的VPN客户端接入装置的框图。在本实施例中，VPN客户端接入装置包括VPN客户端110、数据存储模块120、认证信息存储模块140和接口130，VPN客户端110包括认证模块111、远程接入界面112、网络访问过滤模块113和文件操作过滤模块114。其中，VPN客户端110、数据存储模块120、接口130、认证模块111、远程接入界面112、网络访问过滤模块113和文件操作过滤模块114都已参考图1进行了详细描述，在此不再重复。

认证信息存储模块140可以用于存储用户身份认证信息。用户身份认证信息可以包括用户证书或用户名密码，这些用户身份认证信息可以由VPN管理员预先设置在认证信息存储模块140中。例如，可以在VPN控制台为VPN管理员提供一种制作VPN客户端的工具。VPN管理员可以通过这个工具将用户的身份认证信息(用户证书或者用户名密码)写入认证信息存储模块中，从而为每个用户分配使用VPN客户端的接入权限。

认证模块111可以直接从认证信息存储模块140中读取用户身份认证信息进行认证，而不需用户手动输入用户身份认证信息，实现了VPN客户端接入装置的即插即用。

在本发明的另一个实施例中，认证信息存储模块140被物理隔离，且必须通过专用接口访问该认证信息存储模块140。例如，可以将认证信息存储模块140与VPN客户端存储区和数据存储模块做物理隔离，只有通过厂商提供的特殊专用接口才能读取和写入认证信息存储模块。这样可以避免对用户认证信息的随意修改，防止他人窃取用户认证信息，提高了VPN客户端接入装置的安全性。

在工作过程中，当远程接入用户将带有VPN客户端的接入装置通过接口130***PC后，该接入装置中的认证模块111自动运行，调用厂商提供的专用接口从认证信息存储模块140中读取用户身份认证信息，自动登录到VPN，并创建VPN隧道，随后启动远程接入界面112。网络访问过滤模块113可以拦截远程接入程序网络操作API函数，并将远程接入程序访问内网产生的网络数据通过VPN隧道转发给内网主机，从而实现远程接入。文件操作过滤模块114截拦远程接入程序文件操作API函数，当远程接入程序创建或者写入本地主机磁盘文件时，文件操作过滤模块114可以将目标文件重定向到数据存储模块120中。用户断开VPN客户端接入装置与接入终端的连接后，自动注销VPN，VPN隧道也随之断开，所有应用都无法再进行远程接入访问。

另外，如果VPN客户端接入装置丢失，用户可以使用普通的VPN客户端登录，通过禁用或修改对应的用户认证信息等方式禁止属于自己的VPN客户端接入装置登录VPN，或者可以由管理员禁用个人使用的VPN客户端。

在本发明的一些实施例中，VPN客户端接入装置可以基于移动KEY。移动KEY是一种USB接口的硬件设备，它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用移动KEY内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码锁中，理论上使用任何方式都无法读取，因此保证了用户认证的安全性。但是，这仅仅是本发明的一个实施例，并不用于限制本发明，在本发明的其它实施例中，还可以使用其它用于VPN客户端接入装置的存储载体，例如U盘等其他移动存储设备。

图3是根据本发明一个实施例的VPN客户端接入方法的流程图。在本实施例中，VPN客户端接入方法从步骤S1开始。

在步骤S1中，将VPN客户端接入装置与接入终端连接。VPN客户端接入装置可以基于移动KEY。移动KEY是一种USB接口的硬件设备，它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用移动KEY内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码锁中，理论上使用任何方式都无法读取，因此保证了用户认证的安全性。但是，这仅仅是本发明的一个实施例，并不用于限制本发明，在本发明的其它实施例中，还可以使用其它用于VPN客户端接入装置的存储载体，例如U盘等其他移动存储设备。

在步骤S2中，VPN客户端接入装置获取用户身份认证信息，登陆VPN，并创建VPN隧道以便访问内网资源。用户身份认证信息可以直接保存在VPN客户端接入装置中，即VPN客户端接入装置可以直接提取用户身份认证信息进行自动认证。VPN客户端接入装置还可以通过用户输入来获取用户身份认证信息。用户身份认证信息可以包括用户证书或用户名密码。

在步骤S3中，通过VPN客户端接入装置启动远程接入程序访问内网资源。例如，可以通过VPN客户端接入装置中的应用程序图标启动远程接入程序，还可以由用户选择具体路径来启动远程接入程序。用户必须通过点应用程序图标，或者通过选择程序路径来启动期望运行的应用程序，才能进行VPN远程应用接入，进而访问内网资源。

在步骤S4中，VPN客户端接入装置可以将远程接入程序访问内网的网络数据通过VPN隧道转发给内网主机。远程接入程序是指通过VPN客户端接入装置启动运行的应用程序及其子程序。例如，VPN客户端接入装置可以拦截或过滤远程接入程序网络操作API函数，而忽视其它程序的网络操作函数。当远程接入程序访问VPN内网时，VPN客户端接入装置可以将网络数据通过VPN隧道转发给内网主机，从而实现远程接入。其中，API(Application Programming Interface，应用程序编程接口)是一套用来控制操作***的各个部件的外观和行为的由操作***预先定义的***函数。

在步骤S5中，VPN客户端接入装置可以将远程接入程序要创建或写入本地主机磁盘中的文件重定向到VPN客户端接入装置中。例如，VPN客户端接入装置可以截拦或过滤远程接入程序文件操作API函数，而忽视其它程序的文件操作函数。当远程接入程序创建或者写入本地主机磁盘文件时，VPN客户端接入装置可以将目标文件重定向到VPN客户端接入装置VPN客户端接入装置中。

本发明提供的VPN客户端接入方法通过采用动态网络拦截和文件重定向，克服了传统VPN客户端接入方法对接入终端操作***造成影响这一缺陷，实现了VPN客户端接入的零安装、零冲突和零痕迹，且使VPN仅仅对远程接入程序可见，提高了内网的安全性。

在本发明的一些实施例中，可以将用户身份认证信息预先直接存储在VPN客户端接入装置中。例如，可以在VPN控制台为VPN管理员提供一种制作VPN客户端的工具。VPN管理员可以通过这个工具将用户的身份认证信息(用户证书或者用户名密码)写入认证信息存储模块中，从而为每个用户分配使用VPN客户端的接入权限。这样，VPN客户端接入装置可以直接读取用户身份认证信息进行认证，而不需用户手动输入用户身份认证信息，实现了VPN客户端接入装置的即插即用。

在基于上述实施例的更佳实施例中，可以将用户身份认证信息物理隔离，且必须通过专用接口读取或写入这些用户认证信息。例如，可以将用户认证信息与VPN客户端和其它用户数据做物理隔离，只有通过厂商提供的特殊专用接口才能读取和写入用户认证信息。这样可以避免对用户认证信息的随意修改，防止他人窃取用户认证信息，提高了VPN客户端接入方法的安全性。

在本发明的其它实施例中，用户断开VPN客户端接入装置与接入终端的连接后，自动注销VPN，VPN隧道也随之断开，所有应用都无法再进行远程接入访问。

图4是根据本发明一个实施例的实现远程接入的示意图。在本实施例中，当远程接入程序访问网络的时候，访问行为首先被网络访问过滤模块113拦截。网络访问过滤模块113判断访问目的地址是否为授权给用户的VPN内网地址。如果目的地址是授权的内网地址，则网络访问过滤模块113将数据转发给VPN，再由VPN转发给内网。若目的地址是其他地址，则网络访问过滤模块113不做任何转发，该地址被直接发送给目的地址。这样，非远程接入程序的任何网络访问都不会被网络访问过滤模块转发到内网，从而保证了内网的安全。

图5是根据本发明一个实施例的实现文件重定向的示意图。当远程接入程序要保存文件到本地的时候，文件操作过滤模块114可以先拦截文件写入行为。文件操作过滤模块114可以拦截判断保存该文件的目的地址是否为本地主机(即接入终端)的磁盘。如果是，则文件操作过滤模块114将该文件重定向到VPN客户端接入装置中。如果不是，则文件操作过滤模块114不做任何重定向，该文件被直接保存到目的地址中。这样，可以避免远程接入程序将文件保存到本地主机中，而在主机上留下痕迹，从而对本地主机造成影响。同时，非远程接入程序的任何文件操作都不会重定向到VPN客户端接入装置中。

图6是根据本发明一个实施例的远程接入界面的示意图。图7是根据本发明另一个实施例的远程接入界面的示意图。图6和7分别描绘了远程接入界面112为用户提供的两种不同的显示风格。

在图6中，示出了与WINDOWS***类似的桌面与开始菜单风格，将用户本地WINDOWS操作***的桌面和开始菜单复制显示，从外观看来展示了一个新的桌面。用户可以通过双击界面上的图标，或者通过***开始菜单，或者通过“我的电脑”找到具体的程序，来启动远程接入程序。

在图7中，示出了与苹果***类似的桌面图标风格，只在界面上显示常用的应用程序和管理配置的应用程序图标，提供一个可以打开VPN客户端接入装置中数据存储模块的文件夹。用户可以通过双击界面上图标，或者点击“远程接入应用”选择程序的具体路径，来启动远程接入程序。

尽管以上是在WINDOWS操作***上面的远程接入界面进行说明的。但是，本发明的应用环境并不只限于PC环境和WINDOWS操作***，还可以应用于除了WINDOWS外的其他操作***和其他终端设备中，如在LINUX操作***实现基于移动KEY的VPN客户端接入，或者在手机终端上实现基于SD卡的VPN客户端接入。可以在VPN控制台为管理员提供一种制作VPN客户端的工具。管理员通过这个工具将用户的身份认证信息(用户证书或者用户名密码)写入认证信息存储模块，将VPN客户端写入VPN客户端存储区，为每个用户分配使用客户端的接入权限，这样就可以制作一个完整的即插即用VPN客户端接入装置。

本发明与传统的VPN客户端相比，有以下几个特点：

(1)方便、快捷接入VPN。本发明即插即用客户端携带非常方便。用户不用记住VPN的地址和个人认证信息，只需要将带有即插即用客户端的移动存储设备***接入终端中，就可以完成自动从登录VPN到远程接入的过程。

(2)零安装、零冲突、快速接入VPN。本发明中的VPN客户端已经被写入到了移动存储设备中，所以用户登录VPN不需要在接入终端上安装任何客户端。且VPN客户端只对远程接入程序进行网络和文件操作API拦截，仅对远程接入程序可见，所以不需要将任何控件安装到***中或拷贝到本地磁盘中。这样既实现了VPN客户端的零安装(即不在终端的操作***上安装和拷贝插件、驱动等任何程序)，又在很大程度上减少了与***软件的冲突，实现零冲突，并且由于用户初次登录VPN时没有安装控件过程，所以同时也加快了用户接入VPN的速度。

(3)零痕迹。VPN客户端的免安装使得任何插件都不会保留在***中，也不会修改***的任何设置。VPN客户端将远程接入程序创建和写入到本地磁盘的文件重定向到了移动存储设备中，所以文件(包括浏览器产生的缓存文件)不会在本地的主机磁盘有任何保留。

总之，本发明使用动态文件重定向技术和网络拦截技术，提供了一种零安装、零冲突、零访问痕迹和即插即用的VPN客户端接入方法和装置。

虽然本发明是通过具体实施例进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。另外，针对特定情形或材料，可以对本发明做各种修改，而不脱离本发明的范围。因此，本发明不局限于所公开的具体实施例，而应当包括落入本发明权利要求范围内的全部实施方式。

Claims

1.一种VPN客户端接入方法，其特征在于，包括：

S1、将VPN客户端接入装置与接入终端连接；

2.根据权利要求1所述的VPN客户端接入方法，其特征在于，步骤S1具体包括从所述VPN客户端接入装置中调用所述用户身份认证信息。

3.根据权利要求2所述的VPN客户端接入方法，其特征在于，步骤S1具体包括通过专用接口调用所述用户身份认证信息，其中所述用户身份认证信息在所述VPN客户端接入装置中被物理隔离。

4.根据权利要求1所述的VPN客户端接入方法，其特征在于，所述VPN客户端接入装置基于移动KEY或U盘。

5.根据权利要求1所述的VPN客户端接入方法，其特征在于，所述用户身份认证信息包括用户证书或用户名密码。

6.一种VPN客户端接入装置，其特征在于，包括VPN客户端、数据存储模块和用于连接主机的接口，其中所述VPN客户端包括：

远程接入界面，用于启动远程接入程序访问内网资源；

7.根据权利要求6所述的VPN客户端接入装置，其特征在于，还包括认证信息存储模块，所述认证信息存储模块用于存储用户身份认证信息。

8.根据权利要求7所述的VPN客户端接入装置，其特征在于，所述认证信息存储模块被物理隔离，且必须通过专用接口访问所述认证信息存储模块。

9.根据权利要求6所述的VPN客户端接入装置，其特征在于，所述VPN客户端接入装置基于移动KEY或U盘。

10.根据权利要求6所述的VPN客户端接入装置，其特征在于，所述用户身份认证信息包括用户证书或用户名密码。