專利名稱：位置確定的網(wǎng)絡訪問的制作方法
技術領域：
本發(fā)明一般地涉及客戶端到服務器通信，并且更特別地涉及網(wǎng)絡訪問確定。
背景技術：
在客戶端設備被允許與網(wǎng)絡通信之前，可以在網(wǎng)絡處實現(xiàn)安全協(xié)議。可以實現(xiàn)網(wǎng)絡驗證模塊、設備或服務器來執(zhí)行安全檢查。不允許客戶端設備通過網(wǎng)絡驗證設備訪問，直到該客戶端設備的身份被驗證和確認為止。這些檢查被設計成保護網(wǎng)絡的完整性和安全性，不受到未經允許的、非惡意的免費網(wǎng)絡使用以及導致安全危害、重要數(shù)據(jù)的破壞的惡意使用，以及與有價值的網(wǎng)絡使用相反的其他活動。網(wǎng)絡可能需要適當?shù)倪B接信息，諸如用于建立網(wǎng)絡連接的操作模式和網(wǎng)絡名稱。 它們可能需要適當?shù)尿炞C和加密參數(shù)來建立發(fā)送和接收通信。在某些環(huán)境中，需要手動配置參數(shù)和設置。這些協(xié)議可能在建立用于用戶的連接的過程中提供復雜情況和困難。此類系統(tǒng)可以在用戶的眼界內設置用來建立連接的能力的事實也可能提供問題。 用戶保持重要的安全數(shù)據(jù)的完整性不被危害和安全的意愿和能力可能是網(wǎng)絡管理的公開的、未解決的問題。網(wǎng)絡管理員可能期望不依賴于現(xiàn)有的安全協(xié)議及參數(shù)、或者除了現(xiàn)有的安全協(xié)議及參數(shù)之外以自動的、穩(wěn)健的、故障自動保險(failsafe)的方式來管理網(wǎng)絡安全。 此外，當用戶不在給定參數(shù)的范圍內時，網(wǎng)絡管理員可能期望安全系統(tǒng)阻止例如由用戶進行的網(wǎng)絡訪問。公司的辦公室的地理或物理位置可以有資格作為示例性的理想?yún)?shù)。


由以下的圖舉例說明了根據(jù)本發(fā)明的實施例。圖IA是圖示了用于在有線線路環(huán)境中提供網(wǎng)絡訪問的示例性系統(tǒng)的框圖； 圖IB是圖示了用于在無線環(huán)境中提供網(wǎng)絡訪問的示例性系統(tǒng)的框圖2是在示例性有線線路和無線環(huán)境中使用的狀態(tài)機的示例性圖示；以及圖3是根據(jù)示例性有線線路和無線環(huán)境使用的電信流路徑的示例性圖示。
具體實施例方式圖IA圖示了用于在有線線路環(huán)境中提供網(wǎng)絡訪問的示例性系統(tǒng)100。示例性系統(tǒng) 100包括客戶端設備102、網(wǎng)絡訪問設備104、定位服務器106、和安全服務器108?？蛻舳嗽O備102、網(wǎng)絡訪問設備104、定位服務器106和安全服務器108中的每個或任何組合可以全部地或部分地、在任一部件中或按功能包括硬件、軟件、固件、或其組合，并且可以在一個或多個計算機系統(tǒng)或其他處理系統(tǒng)中加以實現(xiàn)。僅通過示例的方式，計算機系統(tǒng)可以包括計算設備、通信設備、電話、個人數(shù)字助理(PDA)、個人計算機(PC)、手持 PC、客戶端工作站、瘦客戶端、胖客戶端、代理服務器、網(wǎng)絡通信服務器、遠程訪問設備、客戶端計算機、服務器計算機、路由器、萬維網(wǎng)服務器、數(shù)據(jù)、媒體、音頻、視頻、通話或流式技術服務器。計算機系統(tǒng)可以包括一個或多個處理器，其可以被連接到通信基礎設施，包括LAN，WAN, ISP和通信總線以及其他網(wǎng)絡元件。計算機系統(tǒng)可以包括任何存儲元件。通過示例的方式，存儲元件可以包括主存儲器、隨機存取存儲器(RAM)、和次存儲器，其可以包括例如硬盤驅動器、可移動存儲驅動器、 軟磁盤驅動器、磁帶驅動器、光盤驅動器以及緊致盤驅動器⑶-ROM。計算機系統(tǒng)還可以包括任何輸入設備。示例性輸入設備可以包括鼠標或其他定點設備(諸如數(shù)字轉換器)，和鍵盤或其他數(shù)據(jù)輸入設備。計算機系統(tǒng)還可以包括任何輸出設備。示例性輸出設備可以包括顯示器和顯示界面。計算機系統(tǒng)還可以包括任何輸入/輸出(I/O)通信設備和接口。示例性 I/O通信設備可以包括通信端口、網(wǎng)絡接口卡和調制解調器。示例性通信接口可以允許在計算機系統(tǒng)和外部設備之間傳輸軟件和數(shù)據(jù)。網(wǎng)絡訪問設備104可以包括提供訪問示例性系統(tǒng)100的網(wǎng)絡的能力的任何設備。 示例性網(wǎng)絡訪問設備104可以包括路由器，其為可以沿著網(wǎng)絡轉發(fā)數(shù)據(jù)分組的設備。示例性路由器可以被連接到兩個或更多個網(wǎng)絡，其可以是例如局域網(wǎng)(LAN)、廣域網(wǎng)(WAN)以及因特網(wǎng)服務供應商(ISP)網(wǎng)絡的任何組合。路由器可以被定位在兩個或更多個此類網(wǎng)絡在其中連接的網(wǎng)關處。示例性網(wǎng)絡訪問設備104是交換機或網(wǎng)絡集線器。示例性交換機可以包括硬件或軟件的組合，其使得多個客戶端設備102在LAN、WAN、Internet或后者的某組合內或跨越 LAN、WAN、Internet或后者的某組合連接在一起。示例性交換機能夠在數(shù)據(jù)分組被接收的時候檢查該數(shù)據(jù)分組，確定該分組的源和目標設備，并且適當?shù)剞D發(fā)它們?？蛻舳嗽O備102可以包括請求通過有線的、或有線線路連接建立與系統(tǒng)網(wǎng)絡100 的通信的任何設備。示例性客戶端設備102包括個人計算機、膝上型和筆記本計算機，然而上述計算機系統(tǒng)中的任何一個都可以有資格作為客戶端設備。定位服務器106可以包括下述任何設備，該設備基于除了安全服務器108所采用的參數(shù)或協(xié)議之外的參數(shù)或協(xié)議(包括但不限于基于客戶端設備102的位置的參數(shù)或協(xié)議) 來確定客戶端設備102是否被許可訪問網(wǎng)絡。示例性定位服務器106包括在服務器中執(zhí)行定位軟件的處理器，然而上述計算機系統(tǒng)中的任何一個都可以有資格作為定位服務器。定位服務器106還可以連同策略服務器一起、基于策略服務器、或與策略服務器協(xié)作運行，策略服務器的功能是用來確定是否提供網(wǎng)絡訪問，以及在何種程度上提供該網(wǎng)絡訪問。例如， 網(wǎng)絡訪問可能被拒絕、或被提供到整個網(wǎng)絡、或到該網(wǎng)絡的局部部件、或到該網(wǎng)絡內的局部操作功能。在示例性實施例中，可以由策略服務器執(zhí)行上述定位服務器106的特征和功能中的任何一個。在示例性實施例中，可以由定位服務器106執(zhí)行上述策略服務器的特征和功能中的任何一個。安全服務器108可以包括任何下述設備，該設備基于網(wǎng)絡安全協(xié)議和參數(shù)確定客戶端設備102是否被許可訪問網(wǎng)絡。示例性安全服務器108包括在服務器中執(zhí)行安全軟件的處理器，然而上述計算機系統(tǒng)中的任何一個都可以有資格作為安全服務器。安全服務器 108還可以連同策略服務器一起、基于策略服務器，或與策略服務器協(xié)作運行。圖IB圖示了用于提供到無線設備的網(wǎng)絡訪問的示例性系統(tǒng)100。圖IB的示例性系統(tǒng)100包括客戶端設備102、網(wǎng)絡訪問設備104、定位服務器106、和安全服務器108。這些設備的特征和功能與參考圖IA所指出的上面的那些一樣。在示例性實施例中，客戶端設備102可以是無線設備。示例性無線設備可以包括移動電話和無線PDA、個人計算機以及手持PC。圖IB的示例性系統(tǒng)100還包括無線設備110。無線設備可以包括提供到網(wǎng)絡的無線設備訪問的任何設備。示例性無線設備Iio是被表示為無線訪問點、訪問點、或Wi-Fi訪問點的設備，其可以是將無線客戶端設備102連接到網(wǎng)絡訪問設備104的無線網(wǎng)絡的網(wǎng)絡集線器。示例性無線訪問點可以包括無線路由器、無線網(wǎng)關、以及基站。無線設備110和網(wǎng)絡訪問設備104的組合還可以共享LAN、WAN或hternet連接，或提供有線和無線網(wǎng)絡之間的橋接。圖2圖示了用于系統(tǒng)100的示例性有線線路和無線環(huán)境的示例性狀態(tài)機。圖3圖示了根據(jù)系統(tǒng)100的示例性有線線路和無線環(huán)境使用的示例性電信流路徑。同時，該圖可以被用來說明本實施例的功能和特征。最初，系統(tǒng)可以處于無網(wǎng)絡訪問狀態(tài)202。在這里，客戶端設備102可以不具有到系統(tǒng)100的訪問。不具有網(wǎng)絡連接的客戶端設備102可以嘗試連接到系統(tǒng)網(wǎng)絡100。客戶端設備102 可以發(fā)送網(wǎng)絡訪問請求302到網(wǎng)絡入口點，也就是網(wǎng)絡訪問點104。網(wǎng)絡訪問點104然后可以發(fā)送請求306到定位服務器106來定位客戶端設備102 的特性。在示例性實施例中，該特性是客戶端設備102的地理或物理位置，并且請求306是對定位客戶端設備102的請求。在接收到網(wǎng)絡訪問請求104并且發(fā)送該請求以定位客戶端設備102之時、期間或之后，該系統(tǒng)可以進入保持狀態(tài)204。在示例性實施例中，在其上可以連接新的客戶端設備102的網(wǎng)絡訪問設備的端口 104可以具有關于安全的設置。該設置可以被用來確定是否將訪問定位服務器106和安全服務器108中的一者或兩者。在實施例中，該連接可以是有線線路連接。在實施例中，該連接可以是無線連接。在示例性實施例中，因為連接可以被自動許可，所以端口不要求驗證，并且安全服務器108不需要被訪問。在示例性實施例中，端口要求驗證，并且定位服務器106和/或安全服務器108確定是否對新的客戶端設備102許可到網(wǎng)絡的連接。如果要求安全驗證，則安全碼、參數(shù)和/或協(xié)議可以在308中、在客戶端設備102、 網(wǎng)絡訪問設備104、和/或安全服務器108之間被交換?？梢詧?zhí)行任何類型的安全驗證。示例性安全驗證方法可以包括IEEE 802. IX驗證、消息驗證碼(MAC)驗證以及有線等效保密 (WEP)驗證。作為示例，端口可以使用或要求IEEE 802. IX驗證。該標準可以被用于無線 802. 11訪問點，并且基于可擴展驗證協(xié)議(ΕΑΡ)。該標準可以要求涉及客戶端設備102、 驗證器和驗證服務器之間的通信的驗證?？梢杂删W(wǎng)絡訪問設備104、安全服務器108、外部設備、或這些設備的任何組合執(zhí)行驗證器和驗證服務器的功能。例如，驗證器可以是有線 Ethernet交換機或無線訪問點，驗證服務器可以是遠程驗證撥入用戶服務(RADIUS)數(shù)據(jù)庫?？蛻舳嗽O備102可以提供憑證(諸如用戶名、密碼或數(shù)字證書)給驗證安全服務器108， 其使用驗證器來檢驗所述憑證。客戶端設備102不會被允許通過該驗證器訪問系統(tǒng)100，直到其身份被認可為止。如果該憑證是有效的，則客戶端設備102可以被允許訪問系統(tǒng)100。
作為示例，端口可以使用或要求消息驗證碼(MAC)驗證，其中加密的MAC碼被用來驗證該消息?？梢杂删W(wǎng)絡訪問設備104、安全服務器108、外部設備、或這些設備的任何組合執(zhí)行驗證功能。在這里，由安全服務器108執(zhí)行的MAC算法可以視作輸入將被驗證的任意長度的消息和密鑰，并且輸出MAC。MAC值可以通過允許擁有密鑰的安全服務器108檢測對該消息內容的任何改變來保護消息的數(shù)據(jù)完整性和真實性。客戶端設備102不會被允許訪問系統(tǒng)100直到其身份被認可為止。如果憑證是有效的，則客戶端設備102可以被允許訪問系統(tǒng)100。作為示例，端口可以要求TOP驗證。TOP驗證可以包括開放系統(tǒng)(Open System)或共享密鑰(Shared Key)驗證。可以由網(wǎng)絡訪問設備104、安全服務器108、外部設備、或這些設備的任何組合執(zhí)行驗證功能。WEP驗證算法可以使用流密碼冗余校驗4 (RC4)用于數(shù)據(jù)保密，以及循環(huán)冗余校驗(CRC-32)校驗和用于數(shù)據(jù)完整性。在共享密鑰驗證中，使用四通的質詢響應握手，其中安全服務器108可以響應于網(wǎng)絡訪問請求發(fā)送明碼電文質詢(clear text challenge)給客戶端設備102?？蛻舳嗽O備102可以使用配置的WEP密鑰加密該質詢電文，并且以另一驗證請求將其發(fā)回。安全服務器108可以解密該信息，將該信息與其曾發(fā)送的明碼電文比較，并且根據(jù)該比較的成功，可以許可安全的訪問。在驗證和關聯(lián)后，WEP 可以被用于加密數(shù)據(jù)幀?？蛻舳嗽O備102不會被允許訪問系統(tǒng)100直到執(zhí)行驗證并且客戶端設備102的身份被認可為止。如圖2中所示出的那樣，在示例性實施例中，在等待上面指出的安全交換308的結果之際，系統(tǒng)的狀態(tài)不會從網(wǎng)絡訪問狀態(tài)202改變。原因是，在示例性實施例中，在對客戶端設備102許可網(wǎng)絡訪問之前，還期望來自定位服務器106的肯定響應。返回到圖3，定位服務器106和/或代理服務器確定期望的特性(諸如客戶端設備 102的地理或物理位置)是否是可接受的。在示例性實施例中，如果客戶端設備102位于可接受的位置內，則定位服務器106的肯定響應可以要求網(wǎng)絡訪問設備104來接受該連接并且允許進入。在示例性實施例中，定位服務器106確定客戶端設備102的位置，并且代理服務器(未示出)確定是否許可客戶端設備102網(wǎng)絡訪問，并且在什么程度上許可該訪問。代理服務器可以支配(condition)或以其他方式用信號通知網(wǎng)絡訪問設備104來許可或拒絕相應級別的訪問。在示例性實施例中，上述代理服務器的功能。 網(wǎng)絡訪問可以基于通信級別，其中網(wǎng)絡訪問可以被完全拒絕，無條件地許可，或被部分地許可。在部分訪問被許可的情況下，可以針對網(wǎng)絡的部分部件或部分、針對網(wǎng)絡資源的部分功能、針對部分時間段來許可訪問?？梢曰谏鲜龌蛉魏纹渌麉?shù)確定網(wǎng)絡訪問，其被實時地或根據(jù)預先確定的條件來加以確定。 定位服務器106可以使用任何方法來確定客戶端設備102的位置。在示例性實施例中，基于其上連接了客戶端設備102的網(wǎng)絡訪問設備104的端口確定客戶端設備102的位置。在示例性實施例中，客戶端設備102的位置是基于其上連接了客戶端設備102的網(wǎng)絡訪問設備104的端口，以及連接客戶端設備102到網(wǎng)絡訪問設備104的物理通信線路的長度。示例性通信線路包括以太網(wǎng)(Ethernet)電纜。在示例性實施例中，可以通過采用三角測量來定位客戶端設備102和/或無線設備110。在示例性實施例中，三角測量方法使用來自客戶端設備102和/或無線設備110周圍的訪問點的信號強度數(shù)據(jù)來確定它們的相應的位置中的一個或多個。
網(wǎng)絡權限310可以被發(fā)送至客戶端設備102。如圖2中所示出的那樣，系統(tǒng)可以離開保持狀態(tài)204并且允許在訪問被許可的狀態(tài)206下進行訪問。在示例性實施例中，如果已經從安全交換308接收到有利的或肯定的響應，則網(wǎng)絡訪問被許可并且發(fā)生狀態(tài)改變成訪問被許可的狀態(tài)206。在示例性實施例中，客戶端設備102并不位于可接受的位置內。在這里，定位服務器106的否定響應可以要求網(wǎng)絡訪問設備104拒絕該連接及進入系統(tǒng)100。網(wǎng)絡拒絕314 可以被發(fā)送至客戶端設備102。如圖2中所示出的那樣，系統(tǒng)可以離開保持狀態(tài)204并且返回到無網(wǎng)絡訪問狀態(tài)202。在示例性實施例中，由定位服務器106執(zhí)行超時功能。在這里，客戶端設備102不位于可接受的位置內，但是定位服務器106可以允許額外的時間以供客戶端設備102進入可接受的位置。原因是，客戶端設備102可能是移動的，并且網(wǎng)絡操作者可能期望允許額外的時間以供客戶端設備102進入可接受的位置。一旦超時周期已經結束，客戶端設備102 被認為并不位于可接受的位置內。在這里，定位服務器106可以發(fā)送否定響應到網(wǎng)絡訪問設備104以拒絕該連接及進入系統(tǒng)100。此外，網(wǎng)絡拒絕314可以被發(fā)送至客戶端設備102。 如圖2中所示出的那樣，系統(tǒng)離開保持狀態(tài)204并且返回到無網(wǎng)絡訪問狀態(tài)202。此外，在示例性實施例中，系統(tǒng)可以被保持在保持狀態(tài)204中，直到在安全認可過程中一個或多個事件發(fā)生或結束為止。例如，可能有用的是將該系統(tǒng)保持在保持狀態(tài) 204中，至少直到來自定位服務器106和/或代理服務器的響應指示該位置將被給予上面指出的訪問級別中的一個為止。示例性事件包括(i)將要針對非安全和靜態(tài)的WEP安全策略發(fā)送的關聯(lián)響應；( )將要針對具有預共享密鑰(WPA-PSK)和WPA安全策略的Wi-Fi 受保護訪問發(fā)送的四通握手的第三消息；(iii)將要針對動態(tài)的WEP安全策略發(fā)送的基于 LAN的可擴展驗證協(xié)議(EAPOL)成功消息；以及(iv)將要針對萬維網(wǎng)驗證安全策略發(fā)送的 WebAuth成功消息。雖然本發(fā)明的各種實施例已經在上面被描述，但是應當理解的是，它們僅通過示例的方式，而不是限制的方式被提出。因此，本發(fā)明的寬度和范圍不應受到上述示例性實施例中的任何實施例的限制，而是替代地應該只根據(jù)以下權利要求以及它們的等價物而被限定。
權利要求
1.一種網(wǎng)絡驗證系統(tǒng)，包括網(wǎng)絡訪問設備，其用于與內部網(wǎng)絡建立通信；客戶端設備，其用于通過與所述網(wǎng)絡訪問設備對接來請求和建立通過所述內部網(wǎng)絡的通信；處理器，其用于與所述網(wǎng)絡訪問設備對接以建立所述客戶端設備和所述內部網(wǎng)絡之間的通信，并且以基于所述客戶端設備的位置建立所述通信的通信級別。
2.權利要求1所述的系統(tǒng)，其中所述通信級別包括下述各項中的任何一個被拒絕到所述內部網(wǎng)絡的通信；被無條件地允許到所述內部網(wǎng)絡的通信。
3.權利要求2所述的系統(tǒng)，其中所述通信級別進一步包括下述各項中的任何一個被許可到所述內部網(wǎng)絡的局部部分的通信；被許可到網(wǎng)絡資源的局部功能的通信。
4.權利要求1所述的系統(tǒng)，所述處理器包括用于確定所述客戶端設備的所述位置的定位服務器模塊。
5.權利要求4所述的系統(tǒng)，所述處理器包括策略服務器模塊，該策略服務器模塊用于基于所述客戶端設備的所述位置確定所述通信級別，并且支配所述網(wǎng)絡訪問設備以建立與客戶端設備的所述通信級別。
6.權利要求4所述的系統(tǒng)，所述定位服務器模塊用于基于以下各項中的至少一個來確定所述客戶端設備的所述位置其上連接了所述客戶端設備的網(wǎng)絡訪問設備的端口 ；將所述客戶端設備連接到所述網(wǎng)絡訪問設備的物理通信線路的長度；使用來自所述客戶端設備和無線連接到所述客戶端設備的無線設備中的任何一個周圍的一個或多個訪問點的信號強度數(shù)據(jù)來確定的三角測量方法。
7.權利要求1所述的系統(tǒng)，所述處理器進一步包括用于建立所述通信作為安全通信的安全服務器模塊。
8.權利要求7所述的系統(tǒng)，其中所述安全服務器模塊執(zhí)行以下各項中的至少一個有線等效保密(WEP)驗證；消息驗證碼(MAC)驗證；以及IEEE 802. IX驗證。
9.權利要求1所述的系統(tǒng)，其中所述網(wǎng)絡訪問設備檢查接收的數(shù)據(jù)分組以確定其目標地址并且將所述數(shù)據(jù)分組轉發(fā)到所述目標地址。
10.權利要求9所述的系統(tǒng)，其中所述網(wǎng)絡訪問設備包括以下各項中的至少一個路由器；網(wǎng)絡集線器；交換機；所述交換機包括以下各項中的至少一個LAN交換機；WAN交換機Ethernet交換機。
11.權利要求1所述的系統(tǒng)，其中所述客戶端設備包括以下各項中的至少一個個人計算機；筆記本計算機；計算設備；通信設備；無線手機；電話；以及個人數(shù)字助理。
12.權利要求1所述的系統(tǒng)，其中所述通信包括以下各項中的任何一個有線線路通信；和無線通信。
13.一種用于驗證客戶端設備到內部網(wǎng)絡的方法，包括從所述客戶端設備到網(wǎng)絡訪問設備發(fā)送網(wǎng)絡訪問請求消息；執(zhí)行一個或多個安全驗證過程以確定所述客戶端設備到所述內部網(wǎng)絡的訪問的第一通信級別；執(zhí)行一個或多個位置驗證過程以基于所述客戶端設備的位置來確定所述客戶端設備至IJ所述內部網(wǎng)絡的訪問的第二通信級別；以及基于所述訪問的第一通信級別和所述訪問的第二通信級別的組合規(guī)劃來允許所述客戶端設備到所述內部網(wǎng)絡的通信訪問。
14.權利要求13所述的方法，其中所述訪問的第二通信級別包括下述各項中的任何一個被拒絕到所述內部網(wǎng)絡的通信訪問；被無條件地允許到所述內部網(wǎng)絡的通信訪問。
15.權利要求14所述的方法，其中所述訪問的第二通信級別進一步包括下述各項中的任何一個被許可到所述內部網(wǎng)絡的局部部分的通信訪問；被許可到網(wǎng)絡資源的局部功能的通信訪問。
16.權利要求13所述的方法，其中在以下各項中的任何一項期間，網(wǎng)絡訪問的狀態(tài)被置于保持狀態(tài)中執(zhí)行所述一個或多個安全驗證過程以確定所述客戶端設備到所述內部網(wǎng)絡的訪問的所述第一通信級別；執(zhí)行所述一個或多個位置驗證過程以確定所述客戶端設備到所述內部網(wǎng)絡的訪問的所述第二通信級別。
17.權利要求13所述的方法，其中所述客戶端設備的訪問的所述第二通信級別是基于提供所述內部網(wǎng)絡的實體的一個或多個預先指定的設施內的所述客戶端設備的位置。
全文摘要
提供一種用于網(wǎng)絡驗證的系統(tǒng)和方法。網(wǎng)絡訪問設備用于與內部網(wǎng)絡建立通信?？蛻舳嗽O備用于通過與所述網(wǎng)絡訪問設備對接來請求和建立通過所述內部網(wǎng)絡的通信；處理器用于與所述網(wǎng)絡訪問設備對接以建立所述客戶端設備和所述內部網(wǎng)絡之間的通信。所述處理器還用于基于所述客戶端設備的位置建立所述通信的通信級別。
文檔編號H04W48/04GK102461265SQ200980160427
公開日2012年5月16日 申請日期2009年7月10日 優(yōu)先權日2009年5月12日
發(fā)明者丹達巴尼 S. 申請人:惠普開發(fā)有限公司