BRPI0401091B1

BRPI0401091B1 - Network areas

Info

Publication number: BRPI0401091B1
Application number: BRPI0401091-4A
Authority: BR
Inventors: Shelest Art; B. Ward Richard
Original assignee: Microsoft Technology Licensing, Llc
Priority date: 2003-04-01
Filing date: 2004-03-26
Publication date: 2017-12-19
Also published as: AU2004200909B2; EP1465382A2; ZA200401585B; US9003048B2; RU2004109906A; CN1534938B; BRPI0401091A; PL366534A1; TW200423628A; MXPA04002415A; JP2004310774A; CA2458771C; HK1069039A1; DE602004009357T2; ATE375672T1; TWI348847B; EP1465382B1; KR101046096B1; DE602004009357D1; JP4575696B2

Abstract

"zonas de rede". um computador atribui redes a zonas de rede com base em propriedades predefinidas para cada zona e/ou propriedades das redes. um programa de aplicação instalado no computador provê o computador com informações de preferência que indicam a zona de rede cujas políticas de rede ou propriedades melhor são mais adequadas para o programa de aplicação. em seguida, ao executar o programa de aplicação, o computador limita o contato de rede do programa de aplicação à(s) rede(s) atribuída(s) à(s) zona(s) de rede identificadas como uma zona ou zonas de rede preferidas ou identificadas por uma propriedade ou propriedades de rede preferida por meio das informações de preferência do programa de aplicação.

Description

"ZONAS DE REDE" CAMPO DA TÉCNICA A presente invenção refere-se, de modo geral, à segurança computacional, e, mais particularmente, ao controle da exposição de aplicações e dados computacionais a redes de propriedades variadas por meio do uso de zonas de rede predefinidas.

FUNDAMENTOS DA INVENÇÃO A proliferação de dispositivos computacionais móveis (por exemplo, computadores do tipo laptop, telefones celulares, PDAs), e de métodos de conectividade (por exemplo, Ethernet, Wi-fi, celulares) introduz cenários nos quais um dispositivo computacional pode ser anexado a diversas redes de propriedades variadas durante o curso de um dia. Por exemplo, um homem de negócios pode usar um computador laptop em uma rede doméstica na parte da. manhã antes de ir para o trabalho, e em seguida usar o mesmo computador laptop mais tarde ainda pela manhã no trabalho quando conectado a uma rede corporativa. O mesmo computador laptop pode em seguida ser levado em uma viagem de negócios naquela tarde quando o mesmo podería se conectar à Internet por meio de um Wi-fi (abreviatura de "fidelidade sem fio"), por exemplo, no aeroporto. Além da possibilidade de se conectar a diversas redes com propriedades diferentes durante momentos diferentes em um único dia, estes dispositivos computacionais móveis cada vez mais se conectam a diversas diferentes redes ao mesmo tempo. A exposição a certos ambientes de rede (por exemplo, a Internet) pode impor riscos particulares aos dispositivos computacionais móveis quando tais dispositivos são inicialmente configurados para operarem em um ambiente de rede estática em particular reconhecida como segura (por exemplo, um ambiente de rede doméstica protegida por uma barreira de proteção (firewall) da Internet). A facilidade de se conectar dispositivos computacionais móveis a várias redes com diferentes propriedades aumenta o risco de tais dispositivos fazerem contatos indesejáveis em um ambiente de rede hostil.

Os métodos atuais para administrar a segurança de rede em tais computadores de modo geral se aplicam à rede estática particular â qual os computadores são conectados. As configurações de segurança de rede que protegem computadores em uma rede estática (por exemplo, em uma rede doméstica) são de modo geral implementadas em uma "interface", como, por exemplo, em uma barreira de proteção associada apenas à rede estática. A Figura 1 ilustra um ambiente de redução típico no qual um ambiente de rede segura (por exemplo, uma rede doméstica) é separado de um ambiente de rede insegura (por exemplo, a Internet) por meio de limites de segurança. 0 limite de segurança representa uma barreira de proteção instalada em um computador com gateway. A barreira de proteção pode ser configurada de modo a cumprir as políticas particulares designadas a proteger computadores de rede doméstica (isto é, de um ambiente de rede segura) contra o contato indesejável com dispositivos da Internet. Sendo assim, embora os computadores da rede doméstica possam ser configurados de modo a compartilhar arquivos livremente, a barreira de proteção pode ser configurada para recusar quaisquer solicitações externas (isto é, da Internet) para o compartilhamento de arquivos. Esta configuração pode funcionar bem no sentido de proteger os computadores de um ambiente de rede estática, no qual a barreira de proteção é configurada de maneira apropriada. ■ No entanto, as políticas de segurança cumpridas pela barreira de proteção de uma rede doméstica de ambiente seguro não trafega com um computador móvel quando o computador móvel é removido do ambiente de rede doméstica e está conectado à Internet, por exemplo, através de uma rede de Wi-fi pública. 0 computador móvel fica, portanto, sujeito a solicitações de arquivo externas ou ataques (por exemplo, o apagamento de arquivos) por parte de outros dispositivos na Internet a menos que as políticas de compartilhamento de arquivos específicas para o computador sejam manualmente ajustadas cada vez que o computador móvel é retirado do ambiente de rede doméstica. Existem vários outros cenários e exemplos nos quais aplicações e arquivos de tais computadores móveis podem ficar expostos a riscos similares. A eficácia dos métodos atuais para a administração de segurança de rede para tais computadores móveis é otimizada somente enquanto os computadores permanecem conectados à rede estática configurada de modo a prover um ambiente seguro.

Por conseguinte, existe a necessidade de uma maneira de proteger dispositivos computacionais móveis conectáveis a várias redes com propriedades variadas.

SUMARIO DA INVENÇÃO São apresentados um sistema e métodos para o controle do acesso a conexões de rede de acordo com zonas de rede.

Em uma modalidade, um programa de aplicação provê uma preferência que indica uma zona ou zonas de rede preferidas. Uma conexão é permitida entre o programa de aplicação e uma rede associada à zona ou zonas de rede preferidas. As conexões entre o programa de aplicação e redes não associadas à zona ou zonas de rede preferidas são impedidas.

BREVE DESCRIÇÃO DOS DESENHOS

Os mesmos numerais de referência são usados em todos os desenhos para referência a componentes e recursos similares. A Figura 1 ilustra um ambiente de rede convencional de acordo com a técnica anterior. A Figura 2 ilustra um ambiente de sistema exemplar adequado para a implementação de um dispositivo computacional móvel habilitado a controlar comunicações de rede através do emprego e execução de zonas de rede. A Figura 3 é um diagrama de blocos de um computador móvel exemplar configurado de modo a controlar comunicações de rede através do emprego e execução de zonas de rede. A Figura 4 é um diagrama de blocos parcial ilustrando os recursos do computador móvel exemplar da Figura 3 em mais detalhe. A Figura 5 ilustra um exemplo funcional particular de um computador móvel exemplar tal como o mostrado na Figura 3. A Figura 6 é um fluxograma ilustrando um método exemplar para a implementação de uma modalidade de um •computador móvel tal como o mostrado na Figura 3. A Figura 7 ilustra um ambiente computacional exemplar adequado para a implementação de um computador móvel tal como o mostrado na Figura 3.

DESCRIÇÃO DETALHADA DA INVENÇÃO

VISÃO GERAL A apresentação a seguir trata de sistemas e métodos para o controle da exposição de várias aplicações, serviços e dados em um computador móvel a diferentes redes com propriedades de rede variadas. Um computador atribui uma rede a uma zona de rede com base em propriedades predefinidas para a zona e nas propriedades da rede. Um computador atribui redes para zonas de rede com base em propriedades predefinidas para cada zona e/ou nas propriedades das redes. Um programa de aplicação instalado no computador provê o computador com informações de preferência que indicam uma zona de rede cujas políticas de rede ou propriedades melhor se aplicam ao programa de aplicação. Em seguida, ao se executar o programa de aplicação, o computador limita o contato de rede para o programa de aplicação à(s) rede(s) atribuída (s) à(s) zona(s) de rede identificada (s) como uma zona / zonas de rede preferidas, ou identificada(s) por uma propriedade ou propriedades de rede preferidas, por meio das informações de preferência do programa de aplicação.

Os benefícios dos sistemas e métodos apresentados incluem uma proteção maior contra uma comunicação de rede potencialmente prejudicial para um dispositivo computacional móvel que se conecta a diversas redes diferentes de propriedades variadas por todo um período de tempo ou ao mesmo tempo. Além disso, a necessidade de se configurar definições de segurança em tal computador móvel é menor uma vez que o computador continuamente executa as zonas de rede às quais várias aplicações e serviços foram inscritos, qualquer que seja a rede ou redes às quais o computador se encontra conectado.

MODALIDADE EXEMPLAR A Figura 2 mostra um ambiente de sistema exemplar 200 adequado para a implementação de uma ou mais modalidades de um dispositivo computacional móvel capaz de controlar comunicações de rede através do emprego e execução de zonas de rede. O ambiente 200 tipicamente inclui um dispositivo computacional móvel 202 (computador móvel) e uma ou mais redes com propriedades variadas, tais como, por exemplo, a Internet 204, uma rede corporativa / empresarial 206, e uma rede doméstica / residencial 208. O computador móvel 202 pode ser implementado como vários dispositivos de computacional capazes de se conectarem a várias redes, como, por exemplo, à Internet 204, a uma rede corporativa 206, ou a uma rede doméstica 208. Sendo assim, o computador móvel 202 é tipicamente um dispositivo computacional fisicamente móvel, como, por exemplo, um computador do tipo laptop, um PDA (assistente digital pessoal), um telefone celular ou coisa do gênero. No entanto, não há intenção de se limitar o computador móvel 202 a um dispositivo fisicamente móvel, e, sendo assim, o computador móvel 202 pode incluir várias outras formas de computadores pessoais (PCs). Certas implementações de computador móvel 202 tipicamente executam funções computacionais comuns, tais como, correio eletrônico, calendários, organização de tarefas, processamento de palavras, navegação na Web, e assim por diante. Na modalidade descrita, o computador móvel 202 executa um sistema operacional de plataforma aberta, como, por exemplo, os sistemas operacionais da marca Windows® da Microsoft®. Uma implementação exemplar de computador móvel 202 é descrita em mais detalhe abaixo com referência à Figura 7. 0 computador móvel 202 pode empregar vários modos para conectar uma ou mais redes em momentos diferentes ou ao mesmo tempo. O ambiente de sistema exemplar 200 da Figura 2 pretende ilustrar exemplos de algumas maneiras nas quais um computador móvel 202 pode se conectar a uma ou mais redes. No entanto, o ambiente 200 da Figura 2 não pretende indicar que as conexões de rede ilustradas sejam todas necessárias, tampouco o ambiente 200 da Figura 2 pretende indicar que o computador móvel 202 se limite âs conexões de rede ilustradas.

Por conseguinte, o computador móvel 202 é ilustrado no ambiente de sistema exemplar 200 da Figura 2 como estando diretamente conectado à Internet 204 por meio de uma conexão sem fio 210, como, por exemplo, um GPRS (Serviço de Rádio de Pacote Geral), um UMTS (Sistema de Telecomunicação Móvel Universal), um WAP (Protocolo de Aplicação Sem Fio), um PCS (Serviço de Comunicação Pessoal) ou coisa do gênero. 0 computador móvel 202 é também ilustrado como estando conectado indiretamente à Internet por meio de uma rede doméstica 208, que pode incluir um computador doméstico 212 que implementa um NAT (Tradutor de Endereços de Rede) ou um dispositivo de Gateway Residencial dedicado. 0 tradutor NAT é um padrão da Internet que permite que uma rede de área local (LAN) utilize um conjunto de endereços IP para tráfego interno e um segundo conjunto de endereços para tráfego externo. Uma caixa de tradutor NAT localizado onde a rede LAN (por exemplo, uma rede doméstica 208) encontra a Internet faz todas as traduções de endereço IP necessárias. O modem a cabo 214 atua como um computador principal ou gateway para o computador doméstico 212 e outros clientes 212 e outros clientes, como, por exemplo, o computador móvel 202.

No ambiente 200 da Figura 2, o computador móvel 202 é ilustrado como estando diretamente conectado à rede doméstica 208. No entanto, a rede doméstica 208 pode também ser uma rede de área local sem fio (WLAN), ou uma rede Wi-fi {abreviatura de "fidelidade sem fio"), à qual o computador móvel 202 é conectado por meio de uma conexão (de rádio) sem fio. Com relação a este aspecto, o computador móvel 202 pode se conectar indiretamente à Internet não apenas por meio de uma rede Wi-fi doméstica, como, por exemplo, pela rede doméstica 208, mas também por meio de qualquer rede Wi-fi encontrada em vários locais públicos e comuns, incluindo, por exemplo, uma cafeteria, um aeroporto internacional, e assim por diante. A tecnologia Wi-fi ê especificada na especificação 802.11b do Instituto de Engenheiros Elétricos e Eletrônicos (IEEE) e faz parte de uma série de especificações sem fio, Conforme apresentado acima, a rede doméstica 208 tipicamente inclui um computador doméstico 212 com ICS e uma tecnologia de conexão à Internet, como, por exemplo, um cabo de modem 214. 0 computador móvel 202 é também mostrado na Figura 2 como estando indiretamente conectado a uma rede corporativa 206 por meio de um servidor VPN (rede privada virtual) 216. As redes VPNs são tipicamente criadas usando a Internet 204 como o meio para o transporte de dados. Sendo assim, várias maneiras de se conectar à Internet, como, por exemplo, as apresentadas acima, também se aplicam às redes VPNs. Os sistemas de rede VPN usam criptografia e outros mecanismos de segurança a fim de garantir que usuários autorizados acessem a rede e que dados não possam ser interceptados. A rede doméstica 208, a rede corporativa 206, e a Internet 204 ilustradas na Figura 2 são incluídas como redes exemplares de um ambiente de sistema exemplar 200, e são de modo geral bem conhecidas por aqueles versados na técnica. Estas redes são também usadas como redes exemplares nas modalidades descritas no presente documento abaixo. Não há intenção, no entanto, de se limitar o número ou a configuração de outras redes que possam também ser aplicáveis ao ambiente 200 e às modalidades exemplares apropriadas abaixo. A rede doméstica 208 tipicamente inclui dois ou mais computadores (por exemplo, computadores domésticos 212, computador móvel 202) interligados de modo a formar uma rede de área local (LAN) dentro de uma casa. Uma rede doméstica 208 permite que proprietários de computador se interliguem a múltiplos computadores de modo que cada um possa compartilhar arquivos, programas, impressoras, outros dispositivos periféricos, e acesso a Internet (por exemplo, por meio de um gateway residencial) com outros computadores, diminuindo a necessidade de equipamentos redundantes. Por exemplo, um computador mais antigo sem uma unidade de CD-ROM pode acessar o CD-ROM de um computador mais novo, o que poderá eliminar a necessidade de se comprar um CD-ROM para o computador mais antigo. 0 compartilhamento de arquivos em uma rede doméstica 208 é também mais fácil do que transferir arquivos para vários computadores domésticos usando um meio de armazenagem portátil, como, por exemplo, um disco flexível. Existem vários tipos de redes domésticas que utilizam conexões conectadas fisicamente assim como conexões sem fio. Estas conexões podem incluir, por exemplo, conexões a cabo diretas, Ethernet tradicional, uma rede de linha telefônica e uma rede RF (de freqüência de rádio).

Uma rede corporativa ou empresarial 206, com freqüência referida como uma intranet, é geralmente distinguível de uma rede doméstica 208 pelo seu uso mais geral, os tipos de dispositivos que se encontram interligados, o uso de protocolos de comunicação, e assim por diante. Por exemplo, quando uma rede doméstica puder interligar computadores pessoais e dispositivos periféricos (por exemplo, uma impressora, um leitor ótico) de modo a formar uma rede LAN, e usar um protocolo de comunicação ponto-a-ponto, uma rede corporativa 206 podería formar uma rede LM por meio da interconexão de computadores pessoais, estações de trabalho, servidores, e dispositivos periféricos e ao mesmo tempo usar uma arquitetura de cliente / servidor para comunicação. Uma rede corporativa 206 tipicamente inclui conexões através de um ou mais computadores de gateway até a Internet externa 204. Como as redes domésticas, as redes corporativas 206 podem utilizar tanto conexões conectadas fisicamente como conexões sem fio, como, por exemplo, conexões a cabo diretas, Ethernet tradicional, uma rede de linha telefônica e uma rede RF (de freqüência de rádio).

Em geral, a Internet 204 é um sistema mundial de redes de computador no qual usuários de qualquer primeiro computador podem obter informações de qualquer segundo computador se o primeiro computador tiver a permissão apropriada ou se o segundo computador não estiver apropriadamente seguro. A Internet 204 pode ser distinguida em geral através de seu uso em um TCP/lP {Protocolo de Controle de Transmissão / Protocolo de Internet) como sua linguagem de comunicação básica ou protocolo. O protocolo TCP/IP facilita o compartilhamento de informações através do uso, por exemplo, da World Wide Web (Rede Mundial) que utiliza o HTTP. (Protocolo de Transferência de Hipertexto), do correio eletrônico que se baseia no SMTP (Protocolo de Transferência de Correio Simples), de grupos de notícias Usenet, da troca de mensagens e do FTP (Protocolo de Transferência de Arquivos) . Estes e outros protocolos são com frequência empacotados juntos com o protocolo TCP/IP como uma "suíte" (uma coleção de programas que trabalham juntos eficientemente).

Conforme apresentado em mais detalhe abaixo, modalidades exemplares do ambiente 200 da Figura 2 implementam um computador móvel 202 configurado de modo a controlar as comunicações e/ou contatos entre aplicações e/ou contatos entre aplicações e serviços no computador móvel 202 e várias redes (por exemplo, a rede doméstica 208, a rede corporativa 206, e a Internet 204) por meio do emprego e execução de zonas de rede. Em geral, o controle das comunicações em rede desta maneira protege o computador móvel 202 e suas várias aplicações e dados contra contatos potencialmente danosos inicializados a partir de um ambiente de rede desconhecido e/ou inseguro, como, por exemplo, a Internet 204.

MODALIDADES EXEMPLARES A Figura 3 é uma representação em diagrama de blocos de uma modalidade exemplar de um computador móvel 202 configurado para controlar a comunicação entre diferentes redes com propriedades variadas (por exemplo, a Internet 204, a rede corporativa 206, a rede doméstica 208) e vários programas de aplicação e dados em um computador móvel 202. Em geral, o controle dos contatos / comunicações de rede é feito através do emprego e execução de zónas de rede. O computador móvel 202 é implementado na modalidade exemplar da Figura 3 como um PC (computador pessoal) do tipo laptop. 202. O PC do tipo laptop 202 inclui um processador 300, uma memória volátil 302 (isto é, uma memória RAM), e uma memória não volátil 304 (por exemplo, uma memória ROM, um disco rígido, um disco flexível, uma memória de CD-ROM, etc.) . A memória não volátil 304 de modo geral provê a armazenagem das instruções legíveis em computador / processador, das estruturas de dados, dos módulos de programa e de outros dados para o PC 202. Uma implementação exemplar de um PC do tipo laptop 202 é descrita em mais detalhe abaixo com referência à Figura 7. O PC do tipo laptop 202 implementa um sistema operacional (OS) 306 no processador 300 a partir da memória volátil 302. 0 sistema OS 306 é armazenado na memória 304 e inicialmente carregado a partir da memória 304 para a memória volátil 302 por meio de um programa de partida (não mostrado) . O sistema OS 306 é de modo geral configurado de modo a gerenciar outros programas de aplicação 308 que ficam também armazenados na memória 304 e executáveis no processador 300 a partir da memória volátil 302. O sistema OS 306 honra as solicitações de serviços feitas pelos programas de aplicação 308 através de interfaces de programa de aplicação predefinidas (APIs). Em termos mais específicos, o sistema OS 306 tipicamente determina a ordem na qual múltiplas aplicações 308 são executadas no processador 300 e o tempo de execução calculado para cada aplicação 308, gerencia o compartilhamento da memória 302 entre múltiplas aplicações 308, manipula a entrada para e a saída de dispositivos de hardware anexados (por exemplo, discos rígidos, impressoras, portas de discagem), e assim por diante. Além disso, os usuários podem tipicamente interagir diretamente com o sistema OS 306 por meio de uma interface de usuário, como, por exemplo, uma linguagem de comando ou uma interface de usuário gráfica. O PC do tipo laptop 202 tipicamente implementa vários programas de aplicação 308 armazenados na memória 304 e executáveis no processador 300. Estas aplicações 308 podem incluir programas de software que implementam, por exemplo, processadores de palavras, planilhas, navegadores, programas de compartilhamento de arquivos, sistemas de gerenciamento de banco de dados (DBMS), aplicações não hierárquicas, tocadores de multimídia, ferramentas de desenho auxiliadas por computador ou coisa do gênero.

Na modalidade da Figura 3, o sistema OS 306 do PC do tipo laptop 2 02 é ilustrado incluindo um módulo de zona 310, enquanto as aplicações 308 são ilustradas incluindo um módulo de preferência de zona 312. 0 módulo de zona 310 é configurado de modo a suportar e/ou definir um número de zonas de rede, cada uma das quais incorporando um conjunto de propriedades de rede e políticas consistentes com as redes particulares às quais o PC do tipo laptop móvel 202 pode se conectar. Na modalidade descrita da Figura 3, as redes particulares incluem a Internet 204, uma rede corporativa 206, e uma rede doméstica 208. No entanto, conforme indicado acima, as redes ilustradas não pretendem limitar a extensão de qualquer rede que possa ser aplicável a esta e a outras modalidades. O módulo de zona 310 compreende uma pluralidade de zonas de rede distintas uma da outra de acordo com certas propriedades de rede e políticas de cumprimento que cada zona incorpora. Quando um PC do tipo laptop 202 faz uma conexão de rede, o módulo de zona 310 determina as propriedades da rede e atribui à rede uma zona de rede particular ,cujas 'próprias propriedades incorporadas correspondem às propriedades de rede. Por exemplo, quando o PC do tipo laptop 202 é conectado a uma rede doméstica 208, a rede doméstica 208 será atribuída a uma zona de rede que incorpora ou personifica as propriedades da rede doméstica 208. Para uma rede doméstica 208, as propriedades de rede podem tipicamente ser associadas a uma zona de rede com políticas de segurança mais liberais, como, por exemplo, as políticas que permitem um compartilhamento de arquivos sem a necessidade de uma senha, por exemplo. Em geral, e conforme apresentado abaixo com relação às Figuras 4 e 5, cada zona de rede que é suportada pelo módulo de zona 310 possui uma única rede associada ao mesmo ou atribuída ao mesmo.

Além de determinar propriedades de rede para redes conectadas ao PC do tipo laptop 202 e de atribuir redes às zonas de rede apropriadas de acordo com as propriedades de rede, o módulo de zona 310 também atribui aplicações 308 a zonas de rede particulares de acordo com preferências de zona indicadas pelas aplicações 308. Sendo assim, conforme mostrado na Figura 4, uma aplicação 308 é atribuída a uma zona de rede em particular 400 com base em uma zona de rede provida para o módulo de zona 310 pela aplicação 308.

Mais particularmente, a Figura 4 demonstra o conceito de atribuir uma aplicação 3 08 a uma zona de rede 400 ao mostrar como quatro aplicações diferentes 308 (1-4) no PC 202 são atribuídas a três zonas de rede diferentes 400 (isto é, a zona 1, 400 (1); a zona 2, 400(2); a zona 3, 400(3)) que são suportadas pelo módulo de zona 310. a Figura 4 pretende, em parte, ilustrar como uma aplicação 308 pode ser atribuída a uma única zona de rede 4 00 ou a inúmeras zonas de rede 400 simultaneamente. Sendo assim, enquanto a aplicação 1 (308(1)), a aplicação 2 (308 (2) ) , e a aplicação 3 (308(3)) são atribuídas à zona 1 (400(1)), à zona 2 (400(2)), e à zona 3 (400 (3)), respectívamente, a aplicação 4 (308(4)) é atribuída a todas três zonas 400 (1,2,3) simultaneamente. Nota-se que, embora a'Figura 4 e a Figura 5 (apresentadas abaixo) e sua apresentação em anexo indiquem um módulo de zona 310 que suporta três zonas 400 (isto é, a zona 1, 400(1); a zona 2, 400(2); a zona 3, 400(3)), não há intenção de se limitar o número de zonas 400 a três zonas. Sendo assim, o módulo de zona 310 pode suportar zonas adicionais 400, com cada zona 400 sendo associada a uma rede em particular conectada ou conectãvel ao PC do tipo laptop 2 02 .

As aplicações 308 comunicam sua preferência para a zona de rede 4 00 ou zonas de rede através de um módulo de preferência de zona 312. 0 módulo de preferência de zona 312 é tipicamente embutido ou programado com as informações de preferência de zona no momento que a aplicação 308 é desenhada. Sendo assim, após a instalação de uma aplicação 308 no PC do tipo laptop 202, o módulo de preferência de zona 312 pode comunicar as informações de preferência de zona para o módulo de zona 310 do sistema OS 306. No entanto, o módulo de preferência de zona 312 pode também permitir que um usuário indique uma preferência de zona. De acordo com tal cenário, durante a instalação de uma aplicação 308 no PC laptop 202, um módulo de preferência de zona 312 pode gerar uma interface de usuário (por exemplo, uma interface de usuário gráfica ou interface de linha de comando) no PC 202 através do qual um usuário pode especificar uma ou mais preferências de zona de rede para a aplicação 308. As preferências de zona são em seguida comunicadas ao módulo de zona 310 do sistema OS 306.

Quando o módulo de zona 310 atribui uma aplicação 3 08 a uma zona de rede 4 00 de acordo com a preferência de zona de rede recebida a partir da aplicação 308, o módulo de zona 310 em seguida executa as políticas da zona 400 com relação àquela aplicação 308. Sendo assim, o módulo de zona 310 limita o contato de rede para uma aplicação 308 a somente aquela rede (ou redes) associada(s) ã zona (ou zonas) de rede que a aplicação 308 especifica como uma zona (ou zonas) de rede preferida (s) . 0 PC do tipo laptop 202 pode ser conectado a várias redes ao mesmo tempo, e, ainda, a uma aplicação 308 que executa no PC 202 pode apenas "ver" ou se comunicar com as redes associadas às zonas de rede preferidas 400 da aplicação 308.

Em uma outra modalidade, uma aplicação 308 pode se comunicar com uma política de conexão de rede personalizada através do módulo de preferência de zona 312. Nesta modalidade, o módulo de preferência de zona 312 é incorporado / programado com instruções de comunicação específicas que definem as conexões de rede para a aplicação 308. As instruções podem incluir, por exemplo, os locais específicos na Internet com os quais a aplicação 308 pode se comunicar. Sendo assim, após a instalação da aplicação 308 no PC do tipo laptop 202, o módulo de preferência de zona 312 comunica as instruções para o módulo de zona 310 do sistema OS 306. O módulo de zona 310 usa as instruções de modo a efetivamente definir uma zona personalizada, e em seguida atribui a aplicação 308 àquela zona. Em seguida, o módulo de zona 310 executa as políticas da zona personalizada de acordo com as instruções específicas recebidas da aplicação 308. A execução tipicamente inclui a limitação do contato de rede para a aplicação 308 aos locais de rede expressos nas instruções recebidas da aplicação 308.

Em seguida, embora o PC do tipo laptop 202 possa ser conectado a várias redes ao mesmo tempo e acessar vários locais de rede, a aplicação 3 08 só pode "ver" ou se comunicar com os locais de rede expressos nas instruções recebidas a partir da aplicação 308. A Figura 5 ilustra um exemplo mais específico de como as zonas de rede 400 implementadas em uma modalidade tal como a descrita acima podem ser usadas para controlar comunicações entre aplicações 308 que executam em um PC do tipo laptop móvel 202 e em várias redes associadas conectadas ao PC 202. A ilustração da Figura 5 pretende indicar que o PC do tipo laptop 202 é conectado a três redes de propriedades variadas ao mesmo tempo. As redes às quais o PC 202 é conectado são uma rede doméstica 208, uma rede corporativa 206, e a Internet 204. Cada rede ê atribuída (isto é, através do módulo de zona 310) a, ou associada a, uma zona de rede particular 400 com base nas propriedades da rede. Sendo assim, a rede doméstica 208 é atribuída à zona 1 (400 (1)), a rede corporativa 206 é atribuída à zona 2 (400(2)), e a Internet 204 é atribuída à zona 3 (400(3)). As aplicações 308 que especificam uma zona em particular 400 como uma zona preferida se submeterão às políticas da zona em particular 400.

As aplicações 308 representadas no PC do tipo laptop 202 na Figura 5 incluem uma aplicação de compartilhamento de arquivos 308(1), uma aplicação de servidor SQL 308(2), uma aplicação 308(3) ponto-a-ponto (P2P), e uma aplicação de navegador (por exemplo, a Internet Explorer) 308(4). Cada aplicação 308 provê (por exemplo, durante instalação no PC 202) ao módulo de zona 310 (Figuras 3 e 4) informações que indicam de preferência para qual zona (ou zonas) 400 a aplicação 308 deve ser atribuída. Sendo assim, a aplicação de compartilhamento de arquivos' 308(1) é atribuída à zona 1 (400(1)), a aplicação de servidor SQL 308(2) é atribuída à zona 2 (400(2)), a aplicação P2P 308(3) é atribuída à zona 3 (400 (3)), e a aplicação de navegador 308(4) é atribuída às zonas 1, 2, e 3.

Uma aplicação 308 específica zonas de rede particulares 400 como zonas preferidas com base na funcionalidade particular da aplicação 308, Por exemplo, uma aplicação de compartilhamento de arquivos 308(1) tipicamente permite que um número de pessoas em uma rede utilize o mesmo arquivo ou arquivos através de alguma combinação de ser capaz de ler ou visualizar o(s) arquivo (s), gravar ou modificar o(s) arquivo(s), copiar o(s) arquivo(s), ou imprimir o(s) arquivo (s) . Sendo assim, se um usuário em um primeiro computador decide compartilhar arquivos, neste caso um usuário em um segundo computador pode acessar os arquivos compartilhados. A operação de tais aplicações de compartilhamento de arquivos 308(1) de modo geral presume que não haja nenhuma intenção hostil imposta pelos vários computadores que querem compartilhar arquivos. Sendo assim, tais aplicações de compartilhamento de arquivos 308(1) tipicamente especificam uma zona de rede 400 consistente com esta suposição.

Na ilustração da Figura 5, a zona 1 (400(1)) provê um ambiente de rede (isto é, uma rede doméstica 208} cujas propriedades são consistentes com a funcionalidade pretendida da aplicação de compartilhamento de arquivos 308(1). Independentemente de qualquer outra conexão de rede com o PC do tipo laptop 202, o módulo de zona 310 do PC do tipo laptop 202 executa a zona de rede 1 (400(1)) de tal modo que a aplicação de compartilhamento de arquivo 308(1) "veja" somente a conexão com a rede doméstica 208. A execução da zona 1 (400(1)) pelo módulo de zona 310 essencialmente bloqueia qualquer comunicação entre a aplicação de compartilhamento de arquivo 308(1) e qualquer rede conectada ao PC 202 que não seja uma rede doméstica 208.

De maneira similar, outras aplicações, como, por exemplo, as aplicações 308(2), 308(3), e 308(4), especificam zonas de rede particulares 400 como zonas preferidas com base na funcionalidade particular das aplicações 308. Uma aplicação de servidor SQL 308(2) é uma aplicação que é desenhada de modo a funcionar em um ambiente corporativo / empresarial, e, portanto, a mesma tipicamente especifica uma zona de rede 400 consistente com seu uso funcional. Por conseguinte, a aplicação de servidor SQL 308(2) ilustrada na Figura 5 indica a zona 2 (400(2)) como sua zona preferida, e o módulo de zona 310 no PC do tipo laptop 202 executa a zona 2 (400(2)) de tal modo que a aplicação SQL 308(2) "veja" apenas a conexão com a rede corporativa 2 06, independentemente de outras conexões de rede que possam existir no PC do tipo laptop 202. Uma aplicação P2P 308(3) é desenhada de modo a funcionar em um ambiente de Internet, e, portanto, tipicamente especifica uma zona de rede 400 consistente com este uso funcional. Por conseguinte, a aplicação 308 P2P 308(3) da Figura S indica a zona 3 (400(3)) como sua zona preferida, uma vez que a zona 3 suporta e executa a Internet como a sua única conexão de rede. Sendo assim, o módulo de zona 310 no PC do tipo laptop 202 garante que a aplicação P2P 308(3) "veja" apenas a conexão com a Internet 204, independente de que outras conexões de rede possam existir no PC do tipo laptop 202. A aplicação de navegador 308(4) da mesma forma especifica zonas de rede particulares 400 como zonas preferidas com base na funcionalidade particular de uma aplicação de navegador 308 (4) . Os navegadores são aplicações que são de modo geral desenhadas de modo a funcionar em todos os ambientes de rede, e provêm seus próprios conjuntos de definições de segurança. Por conseguinte, a aplicação de navegador 308(4) da Figura 5 especifica todas três zonas de rede 400 (1-3) como zonas preferidas. Sendo assim, o módulo de zona 310 no PC do tipo laptop 202 assegura que a aplicação de navegador 308(4) seja capaz de "ver" todas as conexões de rede com o PC do tipo laptop 202.

MÉTODOS EXEMPLARES Métodos exemplares para a implementação de uma ou mais modalidades de um computador móvel 202 configurado de modo a controlar comunicações entre diferentes redes com propriedades variadas e vários programas de aplicação e dados no computador 202 serão agora descritos com referência básica ao fluxograma da Figura 6. Os métodos se aplicam de modo geral às modalidades exemplares apresentadas acima com relação às Figuras 3 a 5. Os elementos dos métodos descritos podem ser executados por qualquer meio apropriado, incluindo, por exemplo, por meio da execução de instruções legíveis no processador definidas em um meio legível em processador.

Um "meio legível em processador", conforme aqui usado, pode ser qualquer meio que pode conter, armazenar, comunicar, propagar, ou transportar instruções para uso ou execução por um processador. Um meio legível em processador pode ser, sem limitação, qualquer sistema, aparelho, dispositivo ou meio de propagação eletrônico, magnético, ótico, eletromagnético, infravermelho, ou semicondutor. Exemplos mais específicos de um meio legível em processador incluem, entre outros, uma conexão elétrica com um ou mais fios, um disquete de computador portátil, uma memória de acesso aleatório (RAM), uma memória de leitura (ROM), uma memória de leitura programável apagável (EPROM ou memória Flash) , uma fibra ótica, ou uma memória de leitura de disco compacto portátil (CDROM). A Figura 6 mostra um método exemplar 600 para a implementação de uma modalidade de um computador móvel 202 configurado para controlar comunicações entre redes com propriedades variadas e programas de aplicação e dados no computador móvel 202. No bloco 602, as zonas de rede são definidas. Um computador móvel 202 define uma pluralidade de zonas de rede com base nas propriedades de rede e em políticas de comunicação / conexão de rede. As zonas personalizadas, cujas propriedades e/ou políticas serão determinadas com base' nas instruções de um programa de aplicação 308, podem também ser incluídas como zonas de rede.

No bloco 604, o computador 2 02 se conecta a uma rede. A rede pode ser qualquer tipo de rede incluindo, por exemplo, uma rede doméstica 208, uma rede corporativa 206, e a Internet 204. No bloco 606, o computador 202 determina as propriedades da rede, e no bloco 608, o mesmo atribui a rede a uma zona de rede de acordo com as propriedades de rede. A rede é atribuída a uma zona de rede cujas propriedades são consistentes com as propriedades determinadas para a rede.

No bloco 610, o computador 202 inicializa a instalação de um programa de aplicação 308. No bloco 612, o computador 202 recebe informações de preferência da aplicação 30 8 instalada que indica uma zona de rede preferida para a aplicação. Em uma modalidade, as informações de preferência podem incluir instruções de comunicação que definem as propriedades e as políticas de conexão para uma zona personalizada. Em uma outra modalidade, as informações de preferência podem simplesmente inclui uma ou mais propriedades preferidas pela aplicação 308. No bloco 614, o computador 202 associa / atribui a aplicação 308 a uma zona de rede com base nas informações de. preferência da aplicação 308. Dependendo das informações de preferência, a zona (ou zonas) de rede podem ser uma zona de rede especificada como a zona de rede preferida da aplicação, a mesma pode ser uma zona personalizada definida pelas informações de preferência, ou pode ser uma zona de rede que inclui uma ou mais redes que possuem uma ou mais propriedades incluídas nas informações de preferência da aplicação 308.

Em seguida, o computador 202 executa a zona de rede com a qual a aplicação é associada de diversas maneiras. No bloco 616, o computador 202 impede que o programa de aplicação 308 veja e/ou aceite comunicação de uma rede não associada à zona de rede preferida. Para as zonas personalizadas, o computador pode incluir o impedimento de o programa de aplicação 308 aceitar comunicação de locais de rede não especificados na zona personalizada. No bloco 618, o computador 202 impede que o programa de aplicação 308 veja e/ou inicie comunicação com uma rede não associada à zona de rede preferida. Para as zonas personalizadas, o computador pode incluir o impedimento de o programa de aplicação 308 inicialize comunicação com qualquer local de rede não especificado na zona personalizada.

No bloco 620, o computador 202 permite que o programa de aplicação aceite comunicação da rede associada à zona de rede preferida. Para as zonas personalizadas, o computador pode incluir a permissão de o programa de aplicação 308 aceitar comunicação dos locais de rede especificados na zona personalizada. No bloco 622, o computador 202 permite que o programa de aplicação inicialize comunicação com a rede associada à zona de rede preferida. Para as zonas personalizadas, o computador pode incluir a permissão de o programa de aplicação inicializar comunicação com locais de rede especificados na zona personalizada, Embora um ou mais métodos tenham sido descritos por meio de fluxogramas e texto associados aos blocos de fluxogramas, deve-se entender que os blocos não necessariamente precisam ser executados na ordem na qual os mesmos são apresentados, e que uma ordem alternativa pode resultar em vantagens similares. Além disso, os métodos não são exclusivos e podem ser realizados sozinhos ou em combinação entre si.

COMPUTADOR EXEMPLAR A Figura 7 ilustra um exemplo de um ambiente computacional adequado 700 que pode ser usado no sentido de implementar um computador móvel 202. Embora uma configuração específica seja mostrada, o computador 202 pode ser implementado em outras configurações computacionais. O ambiente computacional 700 inclui um sistema de computação de uso geral na forma de um computador 702. Os componentes do computador 702 podem incluir, não se limitando, porém, a, um ou mais processadores ou unidades de processamento 704, uma memória de sistema 706, e um barramento de sistema 708 que acopla vários componentes de sistema incluindo o processador 704 e a memória de sistema 706. 0 barramento de sistema representa um ou mais de quaisquer dentre diversos tipos de estruturas de barramento, incluindo um barramento de memória ou controladora de memória, um barramento periférico, uma porta gráfica acelerada, e um processador ou barramento local que usa qualquer dentre uma variedade de arquiteturas de barramento.

Um exemplo de um barramento de sistema 708 é um barramento de Interconexão de Componentes Periféricos (PCI), também conhecido como um barramento de Mezanino. O computador 702 tipicamente inclui uma variedade de meios legíveis em computador. Estes meios podem ser qualquer meio disponível acessível pelo computador 702 e inclui tanto meios voláteis como não voláteis, meios removíveis ou não removíveis. A memória de sistema 706 inclui um meio legível em computador na forma de uma memória volátil, como, por exemplo, a memória de acesso aleatório (RAM) 710, e/ou uma memória não volátil, como, por exemplo, uma memória de leitura (ROM) 712, Um sistema de entrada / saída básica (BIOS) 714, contendo as rotinas básicas que ajudam a transferir informações entre elementos dentro do computador 702, como, por exemplo, durante a partida, fica armazenado na memória ROM 712. A memória RAM 710 tipicamente -contém dados e/ou módulos de programa que são imediatamente acessíveis a e/ou presentemente operados pela unidade de processamento 704. 0 computador 702 pode ainda incluir outros meios ' de armazenagem em computador removíveis / não removíveis, voláteis / não voláteis. À guisa de exemplo, a Figura 7 ilustra uma unidade de disco rígido 716 para a leitura de gravação em um meio magnético não removível, não volátil (não mostrado) , uma unidade de disco magnético 718 para a leitura de e gravação em um disco magnético removível, não volátil 720 (por exemplo, em um "disco flexível") , e uma unidade de disco ótico 722 para a leitura de e/ou gravação em um disco ótico removível, não volátil 734, como, por exemplo, um CD-ROM,. um DVD-ROM, ou outro meio ótico. A unidade de disco rígido 716, a unidade de disco magnético 718, e a unidade de disco ótico 722 são cada qual conectadas ao barramento de sistema 708 por meio de uma ou mais interfaces de meio de dados 726. De maneira alternativa, a unidade de disco rígido 716, a unidade de disco magnético 718, e a unidade de disco ótico 722 podem ser conectadas ao barramento de sistema 708 por meio de uma interface SCSI (não mostrada).

As unidades de disco e seus meios legíveis em computador associados provêm uma armazenagem não volátil de instruções legíveis em computador, estruturas de dados, módulos de programa, e outros dados para o computador 702. Embora o exemplo ilustre um disco rígido 716, um disco magnético removível 720, e um disco ótico removível 724, deve-se apreciar que outros tipos de meios legíveis em computador que podem armazenar dados acessíveis por um computador, como, por exemplo, cassetes magnéticos ou outros dispositivos de armazenagem magnéticos, cartões de memória flash, CD-ROM, discos versáteis digitais (DVD) ou outra armazenagem ótica, memórias de acesso aleatório (RAM), memórias de leitura (ROM), uma memória de leitura programável eletricamente apagável (EEPROM), ou coisa do gênero, podem ainda ser utilizados para implementar o sistema e o ambiente computacionais exemplares.

Qualquer número de módulos de programa pode ser armazenado no disco rígido 716, no disco magnético 720, no disco ótico 724, na memória ROM 712, e/ou na memória RAM ■ 710,, incluindo, à guisa de exemplo, um sistema operacional 726, um ou mais programas de aplicação 728, outros módulos de programa 73 0, e dados de programa 732. Cada qual dentre tal sistema operacional 72 6, um ou mais programas de aplicação 728, outros módulos de programa 730, e dados de programa 732 (ou alguma combinação dos mesmos) podem incluir uma modalidade de um sistema de cachê para informações de acesso de rede de usuário. 0 computador 702 pode incluir uma variedade de meios legíveis em computador / processador identificados como meios de comunicação. Os meios de comunicação tipicamente incorporam instruções legíveis em computador, estruturas de dados, módulos de programa, ou outros dados em um sinal de dados modulado, como, por exemplo, uma onda portadora ou outro mecanismo de transporte e incluem quaisquer meios de liberação de informação. O termo "sinal-de dados modulado" significa um sinal que tem uma ou mais de suas características definidas ou mudadas de tal maneira a codificar informações no sinal. À guisa de exemplo, e não de limitação, os meios de comunicação incluem meios conectados fisicamente, como, por exemplo, uma rede conectada fisicamente ou uma conexão direta conectada fisicamente, e meios sem fio, como, por exemplo, meios acústicos, RP, infravermelhos, ou outros meios sem fio. As combinações de quaisquer dentre o acima são também incluídas dentro do âmbito dos meios legíveis em computador.

Um usuário pode entrar comandos e informações no sistema computacional 702 via dispositivos de entrada, como, por exemplo, um teclado 734 e um dispositivo de indicação 736 (por exemplo, um "mouse"). Outros dispositivos de entrada 738 (não mostrados especificamente) podem incluir um microfone, um joystick, um controlador de jogo, uma antena parabólica, uma porta serial, um leitor ótico, e/ou coisa do gênero. Estes e outros dispositivos de entrada são conectados à unidade de processamento 704 via interfaces de entrada / saída 740 que são acopladas ao barramento de sistema 708, mas podem ser conectados por meio de outras estruturas de interface e barramento, como, por exemplo, uma > porta paralela, uma porta de jogo, ou um barramento serial universal (USB).

Um monitor 742 ou outro tipo de dispositivo de imagem pode também ser conectado ao barramento de sistema 708 via uma interface, como, por exemplo, um adaptador de i vídeo 744. Além do monitor 742, outros dispositivos periféricos de saída podem incluir componentes, como, por exemplo, alto-falantes (não mostrados) e uma impressora 746 que podem ser conectados ao computador 702 via as interfaces de entrada / saída 740. i 0 computador 702 pode operar em um ambiente de rede usando conexões lógicas com um ou mais computadores remotos, como, por exemplo, um dispositivo computacional remoto 748. À guisa de exemplo, o dispositivo computacional remoto 748 pode ser um computador pessoal, um computador portátil, um servidor, um roteador, um computador de rede, um dispositivo ponto-a-ponto ou outro nó de rede comum, ou coisa do gênero. 0 dispositivo computacional remoto 748 é ilustrado como um computador portátil que pode incluir muitos dos ou todos os elementos e recursos descritos no presente documento com relação ao sistema computacional 702.

As conexões lógicas entre o computador 702 e o computador remoto 748 são ilustradas como uma rede de área local (LAN) 750 ou uma rede área ampla (WAN) 752. Estes ambientes de rede são comuns em escritórios, redes computacionais empresariais, intranets, e na Internet. Quando implementado em um ambiente de rede LAN, o computador 702 é conectado a uma rede local 750 via uma interface de rede ou adaptador 754. Quando implementado em um ambiente de rede WAN, o computador 702 tipicamente inclui um modem 756 ou outro dispositivo para estabelecer comunicação na rede de área ampla 752. 0 modem 756, que pode ser interno ou externo ao computador 702, pode ser conectado ao barramento de sistema 708 via as interfaces de entrada / saída 740 ou outros mecanismos apropriados. Deve-se apreciar que as conexões de rede ilustradas são exemplares e que outros dispositivos para estabelecer enlaces de comunicação entre os computadores 702 e 748 podem ser empregados.

Em um ambiente de rede, como, por exemplo, o ilustrado no ambiente computacional 700, os módulos de programa ilustrados com relação ao computador 702, ou suas partes, podem ser armazenados em um dispositivo de armazenagem de memória remoto. À guisa de exemplo, os programas de aplicação remotos 758 residem em um dispositivo de memória do computador remoto 748. Para fins de ilustração, os programas de aplicação e outros componentes de programa executáveis, como, por exemplo, o sistema operacional, são ilustrados no presente documento como blocos discretos, embora se reconheça que tais programas e componentes residem em vários momentos em diferentes componentes de armazenagem do sistema computacional 702, e são executados pelos processadores de dados do computador.

CONCLUSÃO

Embora a presente invenção tenha sido descrita em uma linguagem específica aos recursos estruturais e/ou atos metodológicos, deve-se entender que a presente invenção definida nas reivindicações em apenso não se limita necessariamente aos recursos específicos ou atos descritos. Em contrapartida, os recursos específicos e atos são apresentados como formas exemplares de se implementar a invenção reivindicada.

REIVINDICAÇÕES

Claims

1. Método (600) caracterizado pelo fato de que compreende as etapas de: definir (620-608) uma pluralidade de zonas de rede (400(1) - 400(3)) de modo que cada zona de rede corresponda a uma política de conexão de rede diferente; receber (610, 612) uma preferência de zona de rede de um programa de aplicação (308, 308(1) - 308(4), 728, 758) indicando uma política de conexão de rede preferencial para o programa de aplicação; e aplicar (616-622) a política de conexão de rede preferida de acordo com a preferência de zona de rede durante a execução do programa de aplicação.

2. Método de acordo com a reivindicação 1, caracterizado pelo fato de que a política de conexão de rede preferida é uma política de conexão de rede personalizada, o método compreendendo ainda: receber (610, 612) instruções do programa de aplicação que definem a política de conexão de rede personalizada; e aplicar (616, 622) a política de conexão de rede personalizada de acordo com as instruções durante a execução do programa de aplicação.

3. Método de acordo com a reivindicação 1 ou 2, caracterizado pelo fato de que: receber uma preferência de zona de rede de um programa de aplicação compreende a recepção, a partir do programa de aplicação, de uma preferência que especifica uma zona de rede preferida; e aplicar a política de comunicação de rede preferida compreende: permitir (620, 622) uma conexão entre o programa de aplicação e uma rede (204, 206, 208, 750, 752) associada a zona de rede preferida; e impedindo (616, 618) uma conexão entre o programa de aplicação e uma rede (204, 206, 208, 750, 752) não associada à zona de rede preferida.

4. Método de acordo com a reivindicação 3, caracterizado pelo fato de que compreende ainda associar (614) a rede com a zona de rede preferida.

5. Método de acordo com a reivindicação 4, caracterizado pelo fato de que definir também compreende associar (604,608) propriedades de rede a cada zona de rede.

6. Método de acordo com a reivindicação 5, caracterizado pelo fato de que associar inclui ainda: conectar (604) à rede; determinar (606) propriedades de rede da rede; e atribuir (608) a rede à zona de rede com base nas propriedades da rede.

7. Método de acordo com qualquer uma das reivindicações 3 a 6, caracterizado pelo fato de que compreende ainda associar (614) o programa de aplicação com a zona de rede preferida.

8. Método de acordo com qualquer uma das reivindicações 3 a 7, caracterizado pelo fato de que receber compreende ainda iniciar (610) uma instalação do programa de aplicação.

9. Método de acordo com uma das reivindicações 3 a 8, caracterizado pelo fato de que permitir uma conexão compreende ainda: permitir (620) que o programa de aplicação aceite uma comunicação a partir da rede associada à zona de rede preferida; e permitir (622) que o programa de aplicação inicie uma comunicação para a rede associada à zona de rede preferida.

10. Método de acordo com qualquer uma das reivindicações 3 a 9, caracterizado pelo fato de que impedir uma conexão compreende ainda: impedir (616) que o programa de aplicação aceite uma comunicação a partir da rede não associada à zona de rede preferida; e impedir (618) que o programa de aplicação inicie uma comunicação para a rede não associada à zona de rede preferida.

11. Método de acordo com qualquer uma das reivindicações 3 a 10, caracterizado pelo fato de que a preferência compreende uma propriedade de rede preferida usada para identificar a zona de rede preferida com base em uma rede que possui a propriedade de rede preferida.

12. Método de acordo com qualquer uma das reivindicações 3 a 11, caracterizado pelo fato de que a preferência compreende propriedades e políticas de conexão que definem a zona de rede preferida como uma zona personalizada.

13. Método de acordo com a reivindicação 1 ou 2, caracterizado pelo fato de que compreende ainda: reconhecer uma conexão (210) a uma primeira rede (204, 206, 208, 750, 752); e associar (604-608) a primeira rede com uma primeira zona de rede (400(1) - 400(3)); permitir (620, 622) acesso à primeira rede para o programa de aplicação se a política de conexão de rede preferida especificar a primeira zona de rede como uma zona de rede preferida; e impedir (616, 618) acesso à primeira rede para o programa de aplicação se a política de conexão de rede preferida especificar uma segunda zona de rede como uma zona de rede preferida.

14. Método de acordo com a reivindicação 13, caracterizado pelo fato de que associar inclui ainda: determinar (606) propriedades de rede da primeira rede; e atribuir (608) a primeira rede à primeira zona de rede com base nas propriedades da rede.

15. Método de acordo com a reivindicação 13 ou 14, caracterizado pelo fato de que compreende ainda: reconhecer uma conexão (710) para uma segunda rede (204, 206, 208, 750, 752); associar (604-608) a segunda rede com a segunda zona de rede; permitindo (620, 622) acesso à segunda rede para o programa de aplicação se a política de conexão de rede preferida especificar a segunda zona de rede como uma zona de rede preferida; e impedir (616, 618) acesso à segunda rede para o programa de aplicação se a política de conexão de rede preferida especificar a primeira zona de rede como uma zona de rede preferida.

16. Método de acordo com a reivindicação 15, caracterizado pelo fato de que compreende ainda permitir (620, 622) acesso à primeira rede e à segunda rede para o programa de aplicação se a política de conexão de rede preferida especificar a primeira zona de rede e a segunda zona de rede como zonas de rede preferenciais.

17. Computador (202, 700) caracterizado pelo fato de que compreende: um processador (300, 704); uma memória (304, 706, 716); um módulo de zona (310) armazenado na memória e executável no processador; em que o módulo de zona está configurado para definir e suportar uma zona de rede (400(1) - 400(3)) e para receber uma preferência de zona de rede de um aplicativo (308, 308(1) - 308(4), 728, 758) e aplicar (616-622) a zona de rede para o aplicativo de acordo com a preferência de zona de rede e em que cada zona de rede corresponde a uma política de conexão de rede diferente.

18. Computador de acordo com a reivindicação 17, caracterizado pelo fato de que a zona de rede é uma zona personalizada e a preferência de zona de rede inclui instruções que definem propriedades para a zona personalizada.

19. Computador de acordo com a reivindicação 17 ou 18, caracterizado pelo fato de que compreende ainda: a preferência de zona de rede recebida pelo módulo de zona; e uma zona de rede preferencial (400 (1) - 400 (3)) especificada pela preferência de zona de rede; em que o módulo de zona está configurado para impedir a comunicação (616, 618) entre um programa de aplicação e qualquer rede (204, 206, 208, 750, 752) que não está atribuída à zona de rede preferida.

20. Computador de acordo com a reivindicação 19, caracterizado pelo fato de que compreende ainda: uma pluralidade de zonas de rede (400(1) - 400(3)) definidas pelo módulo de zona; e uma pluralidade de conexões de rede (210) , cada conexão de rede atribuída pelo módulo de zona a uma zona de rede distinta.

21. Computador de acordo com a reivindicação 20, caracterizado pelo fato de que cada zona de rede representa uma rede diferente (204, 206, 208, 750, 752).

22. Computador de acordo com a reivindicação 20 ou 21, caracterizado pelo fato de que cada zona de rede representa uma rede (204, 206, 208, 750, 752) selecionada do grupo que compreende: uma rede doméstica (208, 750) ; uma rede corporativa (206, 750); e a internet (204, 752).

23. Computador de acordo com qualquer uma das reivindicações 20 a 22, caracterizado pelo fato de que a zona de rede preferida é uma zona personalizada e a preferência de zona de rede compreende instruções que definem políticas de comunicação para o programa de aplicação.

24. Computador de acordo com qualquer uma das reivindicações 20 a 23, caracterizado pelo fato de que as conexões de rede são selecionadas do grupo que compreende: uma conexão de rede doméstica; uma conexão de rede corporativa; e uma conexão à internet (210) .

25. Computador de acordo com qualquer uma das reivindicações 17 a 24, caracterizado pelo fato de que compreende ainda meios para executar cada uma das etapas do método como definido nas reivindicações 1 a 16.