CN101197795A - 网络业务保护方法和业务网关 - Google Patents

Abstract

本发明实施例公开一种网络业务保护方法，包括：业务网关接收业务报文；所述业务网关对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文进行安全处理。相应的，本发明实施例还提供一种业务网关。本发明实施例技术方案能够更好的对网络业务进行保护。

Description

网络业务保护方法和业务网关

技术领域

本发明涉及通信技术领域，具体涉及一种网络业务保护方法和业务网关。

背景技术

目前的网络例如GPRS(通用分组无线业务)/UMTS(通用移动通信系统)、CDMA(码分多址接入)、WiMAX(微波接入世界协作论坛)网络都可以提供分组数据业务，满足人们随时随地进行数据通信的需要。通过无线接入提供分组数据业务，需要分组业务网关，分组业务网关在GPRS/UMTS网络上被称为GGSN(GPRS网关支持节点)，在CDMA网络上被称为PDSN(分组数据服务节点)，在WiMAX网络上被称为ASN GW(接入服务网网关)。分组业务网关与无线接入网侧相连的接口为接入侧接口，如GGSN的Gn口、PDSN的RP口、ASN GW的R6口，与分组数据网络PDN侧相连的接口为网络侧接口，如GGSN的Gi口、PDSN的Pi口、ASN GW的R3口。APN(AccessPoint Name，接入点名称，对应于GPRS/UMTS网络)或Domain(域，对应CDMA网络)是一种接入标识，可以标识出分组业务网关和PDN(分组数据网络)。APN或Domain中配置的参数包括：接入的PDN、鉴权方式、IP地址分配方式、DNS属性等。针对不同的PDN，需配置不同的APN或Domain。例如，假设GGSN提供移动用户通过某ISP访问Internet，同时也允许用户访问某企业网，那么就需要在GGSN上建立两个APN：一个用于用户访问互联网Internet，另一个用于用户访问企业网。

在网络当中，网络安全十分重要，一般都设置防火墙。防火墙的作用是保护内部网络的安全，可以使受保护的网络避免遭到外部网络的攻击。防火墙技术中涉及到安全域的概念。一个安全域是一个或多个接口的任意组合，具有一个安全级别(安全级别在下面简称为安全级)。在设备内部，这个安全级通过一个0-100的数字来表示，数字越大表示安全级越高，不存在两个具有相同安全级的安全域。现有技术中一般只有当业务报文在分属于两个不同安全域的接口之间流动的时候，才会激活防火墙的安全规则检查功能。

现有技术中，已经开始出现在分组网关集成防火墙功能，为用户提供安全的业务的需求。通过分组网关内置防火墙功能，用于对网络侧接口安全域提供安全防护，与在网络侧接口外置防火墙提供的功能相同，但可以简化组网。

在对现有技术的研究和实践过程中，发明人发现现有技术存在以下问题：

虽然现有技术已经开始在分组网关内置防火墙功能，但现有技术依然是只有当业务报文在分属于两个不同安全域的接口之间流动的时候，才会激活防火墙的安全规则检查功能，但多个APN或Domain可能对应同一个接口，而从一个APN或Domain到另外一个接口流动时，也可能存在安全问题，因此现有技术提供的网络业务保护方法还有待改善。

发明内容

本发明实施例的目的是提供一种网络业务保护方法和业务网关，能够更好的对网络业务进行保护。

为解决上述技术问题，本发明所提供的实施例是通过以下技术方案实现的：

本发明实施例提供一种网络业务保护方法，包括：业务网关接收业务报文；所述业务网关对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文进行安全处理。

本发明实施例提供一种业务网关，包括：对外接口模块，用于接收业务报文；分组网关模块，用于对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文转发到防火墙模块进行安全处理；防火墙模块，用于对所述分组网关模块转发的所述业务报文进行安全处理。

上述技术方案可以看出，本发明实施例通过引入分组业务网关用户信息，通过网络侧接口对应的安全域与业务对应的用户所属接入标识对应的安全域的比较来判断是否需要进行安全处理，从而实现更深层次的安全防护，比现有技术的安全保护更完善。

附图说明

图1是本发明实施例对应上行过程网络业务保护方法流程图；

图2是本发明实施例对应下行过程网络业务保护方法流程图；

图3是本发明实施例一网络业务保护方法流程图；

图4是本发明实施例二网络业务保护方法流程图；

图5是本发明实施例业务网关结构示意图。

具体实施方式

本发明实施例提供了一种网络业务保护方法，能够更好的对网络业务进行保护。

本发明实施例提出的网络业务保护方法，使用独立单板或独立硬件处理引擎作为防火墙硬件平台运行防火墙软件，即防火墙模块与分组业务网关不共CPU，并配置防火墙安全策略，在分组业务网关处理用户业务报文时，根据本发明实施例提出的判断方法判断出需要防火墙进行安全检查时，根据防火墙安全策略对用户报文进行防火墙过滤，以阻止用户对分组业务网关的攻击、用户对网络服务器的攻击或来自网络的对用户的攻击，保护分组业务网关，提升用户业务体验，从而也最大限度保护了运营商的利益。

本发明实施例在分组业务网关上配置不同的安全域和相应的安全级，不同安全域的安全级不相同，并在分组业务网关上配置防火墙，并配置防火墙使能命令和配置防火墙的安全策略，可配置的安全策略与独立网元防火墙的安全策略可以相同，也可以不相同。分组业务网关配置不同的安全域和相应的安全级后，配置用户所属APN或Domain相关参数，并配置该APN或Domain所属安全域，即把APN或Domain加入安全域；配置分组业务网关与PDN侧之间的网络侧接口例如Gi或Pi接口，并配置该网络侧接口所属的安全域，即把网络侧接口加入安全域。

以下结合附图对本发明实施例进行详细介绍。

请参阅图1，是本发明实施例对应上行过程网络业务保护方法流程图。

该实施例以网络侧接口为Gi接口、接入标识为APN举例说明但不局限于此。

图1中包括步骤：

步骤101、分组业务网关的对外接口模块接收到网络的接入侧发送的上行业务报文，根据上行业务报文中信息判断是无线分组数据业务时，把业务报文转到分组网关模块处理；

步骤102、分组网关模块接收对外接口模块转发的业务报文后，根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理，然后比较用户所属APN安全域和该业务报文进出Gi接口对应的安全域是否相同，如果不同，把业务报文转到防火墙模块处理；否则，业务报文不进行防火墙安全检查，直接出Gi接口；

步骤103、防火墙模块对业务报文进行安全检查，违反防火墙安全策略的业务报文，将其丢弃；符合防火墙安全策略的报文，将其转发到对外接口模块；

步骤104、对外接口模块把业务报文从Gi接口转发到网络侧。

请参阅图2，是本发明实施例对应下行过程网络业务保护方法流程图。该实施例以网络侧接口为Gi接口、接入标识为APN举例说明但不局限于此。

图2中包括步骤：

步骤201、分组业务网关的对外接口模块在Gi接口收到网络侧发送的下行业务报文；

步骤202、对外接口模块根据下行业务报文中信息判断该业务报文是无线分组数据业务时，转发到分组网关模块；

步骤203、分组网关模块比较用户APN所属安全域和该业务报文进出Gi接口对应的安全域是否相同，如果不同，把业务报文转到防火墙模块处理；否则，业务报文不进行防火墙安全检查，直接进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理后通过对外接口模块把完成处理的业务报文发送到接入侧；

步骤204、防火墙模块对分组网关模块转发的业务报文进行安全检查，通过防火墙安全检查的业务报文，防火墙把它转发到分组网关模块；否则，丢弃业务报文；

步骤205、分组网关模块接收防火墙模块发送的报文，根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理，通过对外接口模块把完成处理的报文发送到接入侧。

以下进一步介绍本发明具体应用例。

请参阅图3，是本发明实施例一网络业务保护方法流程图。

实施例一中，假设应用于GPRS/UMTS/LTE(长期演进)网络，分组业务网关集成防火墙模块，采用GGSN/FW表示。GGSN/FW为独立网元，完成用户接入控制、数据承载、防火墙功能。GGSN/FW连接互联网Internet。

图3中具体包括步骤：

步骤301、在GPRS/UMTS/LTE网络中，支持分组数据业务的终端通过建立空口链路、PDP context(分组数据协议上下文)激活流程建立分组数据业务承载；

在PDP context激活流程中，GGSN/FW根据PDP context激活消息在用户上下文中记录终端激活业务所用APN、APN所属安全域及安全级等信息；

步骤302、终端发送分组数据业务上行业务报文到GGSN/FW；

步骤303、GGSN/FW根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理(可以是按流量或时长进行计费等)，然后比较用户所属APN安全域和该业务报文进出Gi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理，由防火墙模块完成安全处理，处理完后出Gi接口发送到网络侧Internet；如果相同，业务报文不进行防火墙安全检查，直接出Gi接口发送到网络侧Internet；

步骤304、GGSN/FW接收由Internet发送来的下行业务报文，比较用户所属APN安全域和该业务报文进出Gi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理，由防火墙模块完成安全处理，处理完后，再根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理；如果相同，对业务报文不进行防火墙安全检查，直接根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理；

步骤305、GGSN/FW把完成业务和计费处理的业务报文通过接入网发送到终端。

需要说明的是，该实施例是以GGSN/FW连接互联网Internet举例说明但不局限于此，也可以通过隧道方式接入VPN(虚拟专用网)网络。

还需说明的是，该实施例中只是为描述的方便，将上行业务报文和下行业务报文的处理过程一起进行说明，但它们是两个独立的过程，没有必然的联系。

请参阅图4，是本发明实施例二网络业务保护方法流程图。

实施例二中，设应用于CDMA网络，分组业务网关集成防火墙模块，采用PDSN/FW表示。PDSN/FW为独立网元，完成用户接入控制、数据承载、防火墙功能。PDSN/FW通过隧道方式(例如GRE(通用路由封装)、L2TP(二层隧道协议)等)接入VPN网络。

图4中具体包括步骤：

步骤401、在CDMA网络中，支持分组数据业务的终端通过建立空口链路、PPP协商、用户认证流程建立分组数据业务承载；

在用户认证阶段，PDSN/FW根据用户名或本地配置在用户上下文中记录终端激活业务所用Domain、Domain所属安全域及安全级等信息；

步骤402、终端发送分组数据业务上行报文到PDSN/FW；

步骤403、PDSN/FW根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理(可以是按流量或时长进行计费等)，然后比较用户所属Domain安全域和该业务报文进出Pi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理，由防火墙模块完成安全处理，处理完后出Pi接口通过隧道链路发送到VPN网络；如果相同，业务报文不进行防火墙安全检查，直接出Pi接口通过隧道链路发送到VPN网络；

步骤404、PDSN/FW接收VPN网络通过隧道发送的下行业务报文，PDSN/FW完成去隧道封装，比较用户所属Domain安全域和该业务报文进出Pi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理，由防火墙模块完成安全处理，处理完后，再根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理；如果相同，业务报文不进行防火墙安全检查，直接根据用户上下文信息进行分组数据业务处理(包括进行通信协议栈映射处理等)，并进行计费处理；

步骤405、PDSN/FW把完成业务和计费处理的业务报文通过CDMA接入网发送到终端。

需要说明的是，该实施例是以通过隧道方式(例如GRE、L2TP等)接入VPN网络举例说明但不局限于此，也可以连接互联网Internet。

还需说明的是，该实施例中只是为描述的方便，将上行业务报文和下行业务报文的处理过程一起进行说明，但它们是两个独立的过程，没有必然的联系。

另外，本发明实施例提供的方法同样适用于WiMAX网络系统，其原理是相同的，只是相关网元有所变化，如分组业务网关在WiMAX网络上被称为ASN GW(接入服务网网关)，与分组数据网络PDN侧相连的网络侧接口为ASN GW的R3口等。

通过上述实施例可以发现，本发明实施例通过在集成防火墙的基础上引入分组业务网关用户信息，通过网络侧接口对应安全域与用户所属接入标识的对应安全域的比较来判断是否需要进行防火墙安全检查，从而实现更深层次的安全防护，比现有技术的安全保护更完善。

上述内容详细介绍了本发明实施例网络业务保护方法，相应的，本发明实施例提供一种业务网关。

请参阅图5，是本发明实施例业务网关结构示意图。

如图5所述，业务网关包括：对外接口模块501、分组网关模块502、防火墙模块503。

对外接口模块501，用于接收业务报文。

分组网关模块502，用于对业务报文进行检测，若判断出业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文转发到防火墙模块503进行安全处理，若判断出业务报文的网络侧接口对应的安全域与预配置的所述业务对应的用户所属接入标识对应的安全域相同，则将业务报文发送出去。

防火墙模块503，用于对所述分组网关模块502转发的业务报文进行安全检查。

所述分组网关模块502包括：配置单元5021、检测单元5022。

配置单元5021，用于配置不同安全域及安全级，并将网络侧接口、用户所属接入标识配置相应安全域。用户所属接入标识可以是用户所属APN或Domain，配置单元5021配置APN或Domain所属安全域，即把APN或Domain加入安全域。网络侧接口可以是Gi或Pi接口，配置单元5021配置Gi或Pi接口所属的安全域，即把Gi或Pi接口加入安全域。

检测单元5022，用于根据配置单元5021的配置信息对业务报文进行检测，若判断出业务报文的网络侧接口对应分安全域与所述业务对应的用户所属接入标识对应的安全域不同，则转发到防火墙模块503进行安全处理。例如，应用于GPRS/UMTS/LTE网络时，比较用户所属APN安全域和该业务报文进出Gi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理；应用于CDMA网络时，比较用户所属Domain安全域和该业务报文进出Pi接口对应的安全域是否相同，如果不同，则需要进行防火墙处理。

所述分组网关模块502进一步包括：处理单元5023。

处理单元5023，用于在所述对外接口模块501接收的业务报文为上行业务报文时，在所述检测单元5022对业务报文进行检测之前对所述上行业务报文进行业务和计费处理；在所述对外接口模块501接收的业务报文为下行业务报文时，在所述防火墙模块503进行安全处理后对所述下行业务报文进行业务和计费处理。

所述业务网关配置的防火墙模块503与所述业务网关使用不相同的中央处理器CPU。

综上所述，本发明实施例通过在集成防火墙的基础上引入分组业务网关用户信息，通过网络侧接口对应的安全域与业务对应的用户所属接入标识对应的安全域的比较来判断是否需要进行防火墙安全检查，从而实现更深层次的安全防护，比现有技术的安全保护更完善。

以上对本发明实施例所提供的一种网络业务保护方法和业务网关进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (15)

1.一种网络业务保护方法，其特征在于，包括：

业务网关接收业务报文；

所述业务网关对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文进行安全处理。

2.根据权利要求1所述的网络业务保护方法，其特征在于：

所述业务网关配置有防火墙模块；相应的，

所述将业务报文进行安全处理具体为：将所述业务报文转发到所述防火墙模块进行安全处理。

3.根据权利要求1所述的网络业务保护方法，其特征在于：

若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域相同，则将所述业务报文发送出去。

4.根据权利要求2所述的网络业务保护方法，其特征在于：

所述防火墙模块进行安全处理具体为：

将违反防火墙模块安全策略的业务报文丢弃，将符合防火墙模块安全策略的业务报文发送出去。

5.根据权利要求2所述的网络业务保护方法，其特征在于：

所述业务网关配置的防火墙模块与所述业务网关使用不相同的中央处理器CPU。

6.根据权利要求1所述的网络业务保护方法，其特征在于：

所述网络侧接口为Gi接口或为Pi接口，所述业务对应的用户所属接入标识为接入点名称APN或为域Domain。

7.根据权利要求1至6任一项所述的网络业务保护方法，其特征在于：

所述业务网关接收业务报文之前进一步包括：将网络侧接口、所述业务对应的用户所属接入标识配置相应安全域。

8.根据权利要求1至6任一项所述的网络业务保护方法，其特征在于：

所述业务网关接收的所述业务报文为上行业务报文时，所述业务网关对所述业务报文进行检测之前进一步包括：

对所述上行业务报文进行业务和计费处理。

9.根据权利要求1至6任一项所述的网络业务保护方法，其特征在于：

所述业务网关接收的所述业务报文为下行业务报文时，所述防火墙模块进行安全检查后进一步包括：

所述业务网关对所述下行业务报文进行业务和计费处理。

10.一种业务网关，其特征在于，包括：

对外接口模块，用于接收业务报文；

分组网关模块，用于对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则将所述业务报文转发到防火墙模块进行安全处理；

防火墙模块，用于对所述分组网关模块转发的所述业务报文进行安全处理。

11.根据权利要求10所述的业务网关，其特征在于：

所述分组网关模块若判断出所述业务报文的网络侧接口对应的安全域与预配置的所述业务对应的用户所属接入标识对应的安全域相同，则将所述业务报文发送出去。

12.根据权利要求10或11所述的业务网关，其特征在于，所述分组网关模块包括：

配置单元，用于配置不同安全域及安全级，并将网络侧接口、所述业务对应的用户所属接入标识配置相应安全域；

检测单元，用于根据所述配置单元的配置信息对所述业务报文进行检测，若判断出所述业务报文的网络侧接口对应的安全域与所述业务对应的用户所属接入标识对应的安全域不同，则转发到防火墙模块进行处理。

13.根据权利要求10或11所述的业务网关，其特征在于，所述分组网关模块进一步包括：

处理单元，用于在所述对外接口模块接收的所述业务报文为上行业务报文时，在所述检测单元对所述业务报文进行检测之前对所述上行业务报文进行业务和计费处理。

14.根据权利要求10或11所述的业务网关，其特征在于，所述分组网关模块进一步包括：

处理单元，用于在所述对外接口模块接收的所述业务报文为下行业务报文时，在所述防火墙模块进行安全处理后对所述下行业务报文进行业务和计费处理。

15.根据权利要求10或11所述的业务网关，其特征在于，

所述业务网关配置的防火墙模块与所述业务网关使用不相同的中央处理器CPU。

Images