CN101543004B - 安全网络体系结构 - Google Patents

安全网络体系结构 Download PDF

Info

Publication number
CN101543004B
CN101543004B CN200780043053.XA CN200780043053A CN101543004B CN 101543004 B CN101543004 B CN 101543004B CN 200780043053 A CN200780043053 A CN 200780043053A CN 101543004 B CN101543004 B CN 101543004B
Authority
CN
China
Prior art keywords
node
network
peripheral
server
connection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN200780043053.XA
Other languages
English (en)
Other versions
CN101543004A (zh
Inventor
何利文
布赖恩·利特莱法尔
托马斯·马丁
迪内希·卡拉特
克里斯多佛·拉瑟福德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
British Telecommunications PLC
Original Assignee
British Telecommunications PLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from EP07251372A external-priority patent/EP1976219A1/en
Application filed by British Telecommunications PLC filed Critical British Telecommunications PLC
Priority claimed from PCT/GB2007/004441 external-priority patent/WO2008062175A1/en
Publication of CN101543004A publication Critical patent/CN101543004A/zh
Application granted granted Critical
Publication of CN101543004B publication Critical patent/CN101543004B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Abstract

本发明提供了一种具有中央控制配置(C1-C4)和多个外围节点(P1-P8)的星形连接网络(C1-C4，P1-P8)。每个外围节点具有这样的装置，该装置将网络上的通信限制为使用相应加密连接与该中央控制配置，除非该外围节点从该控制配置接收了与另一外围节点建立直接连接的明确授权。该中央控制配置包括：用于建立与各外围节点的加密连接的装置；使用两个或更多各自的加密连接在两个或更多个外围节点之间交换控制分组以在两个外围节点之间建立授权连接的装置；用于存储指定外围节点之间的何种连接被允许的安全策略信息的数据库；以及使用该控制分组交换装置根据存储的安全策略信息授权可允许的连接的授权装置。

Description

安全网络体系结构
技术领域
本发明涉及网络安全，且更具体而言但不排他地，涉及在不安全网络或网络集合(例如因特网)上提供安全的虚拟网络(例如，企业内部网)。
背景技术
对公用网络和专用网络的用户而言，网络安全始终是一个问题。虚拟专用网络(VPN)可用于在因特网之上扩展专用网络以例如允许远程用户访问该专用网络。通常，一旦远程用户越过了防火墙，该用户就可对该专用网络进行完全的访问。类似地，在专用网络内部连接的用户通常也可对该网络进行完全的访问，或者基于在专用网络内的独立资源处设置的安全规定而对他们的访问进行限制。
诸如广域网(WAN)的分布式专用网络通常使用专线来耦合地理位置分离的局域网(LAN)，然而这是昂贵的，通常要求每个站点处防火墙规则协同设置，这是复杂的，并且由于不同的本地要求，还可能随时间而产生分歧，导致连接困难。
发明内容
概括地，在一个方面，本发明提供了一种星形连接网络，其中中央服务器节点例如在因特网之上使用各自加密的连接(诸如安全套接层(SSL)会话)耦合到多个客户机节点。客户机节点的外部通信被限制为使用与服务器节点的各自加密的连接，因此两个客户机节点之间的分组要经由服务器节点路由(至少是为了开始连接)。服务器节点包括用于建立与每个客户机节点的加密连接的装置，例如，诸如SSL服务器的VPN服务器。来自客户机节点的分组通过防火墙路由到VPN服务器，发往客户机节点的分组通过防火墙从VPN服务器路由，该防火墙根据多个规则准许或拒绝进入的分组和外发的分组。这些规则取决于各自加密的连接的建立，因而，例如，与建立的加密连接无关的分组可以被阻挡或拒绝。这些规则还取决于安全策略，该安全策略可以包括与发送/接收分组所涉及的客户机节点(例如，该客户机节点是否对应于对访问其他客户机节点具有某些限制的雇员或对应于远程连接的客户机节点)相关的附加限制。这种布置允许这样的安全策略：使用防火墙集中控制网络的所有客户机节点。
在一实施方式中，该虚拟专用网络服务器是被配置成经由防火墙接收和发送所有分组的SSL服务器。该VPN服务器还被配置成产生建立的加密连接的列表，该列表可以被输入到用于实现安全策略的安全策略引擎以产生用于更新防火墙中的现有规则的一组规则。
在一实施方式中，各客户机节点包括安全存储在防篡改硬件模块中的认证信息以用于在建立与服务器节点的加密连接时进行认证。防篡改硬件模块可以限制对服务器节点的外部接入，且可以使用安全存储的私钥签署公共证书以使得服务器节点能够通过使用与该私钥相关的相应公钥来验证该公共证书来自于相应客户机节点。
在一实施方式中，该安全策略引擎包括诸如AT&T实验室的KeyNoteTM这样的高级引擎，用于响应于接收了对应于识别出的客户机的虚拟专用网络的建立指示的上下文处理器或者其他软件模块提供的多个会话参数和诸如客户机公钥这样的客户机标识，返回准许或拒绝判定。该上下文处理器将客户机标识和会话参数处理或者转换为具有用于策略引擎的预定格式的查询，且将返回的判定转换成相应的更新后的防火墙规则。该会话参数包括：目的地地址；会话类型；用于会话的应用类型；端口号。
优选地，一旦服务器授权了用于特定应用的连接(即，从安全策略引擎接收到准许判定之后)，则将用于获得许可判定的会话参数记录为当前会话参数设置且随后检查每个进入分组(任一方向)以确保该分组匹配其存储的当前会话参数设置之一。这通过判断应用标识方便地完成，该应用标识识别作为分组去往目的地或者分组来源的应用；具体而言，在一实施方式中，这能够通过检查各分组的套接字标识(源和目的地IP地址以及端口号)是否匹配当前会话参数之一而完成，因为这些当前会话参数唯一地将每个分组与相关应用相关联。当服务器例如通过观察TCP连接断开或者当连接不被使用的超时周期耗尽时而检测出应用希望结束特定连接时，服务器可以删除相应会话参数设置，使得仅适度地存储当前设置。优选地，服务器或者防火墙接收的与存储的当前会话参数设置之一不匹配的任意分组被丢弃。
在一实施方式中，使用虚拟局域网(VLAN)在一个或更多个互连分组交换网状网络上实现星形连接网络，来支持加密连接。VLAN在第2层实现，这增加了客户机节点和服务器节点之间的加密连接上的数据通信的速度。
在另一方面，提供了一种服务器节点，该服务器节点用于具有多个客户机节点的星形连接网络；且其包括用于建立与各客户机节点的加密连接的装置，诸如VPN服务器，该VPN服务器被布置以经由防火墙且使用两个相应加密连接在两个客户机之间路由分组，该防火墙被设置以根据多个规则阻挡或者允许所述分组，使用上述两个加密连接的所述分组通过该防火墙路由，且该规则依赖于与客户机节点的各自的加密连接的建立且依照预定的安全策略。
在另一方面，提供了一种客户机节点，该客户机节点用于具有多个客户机节点和一服务器节点的星形网络；该客户机节点包括：使用加密连接限制跨越网络与服务器节点通信的装置；以及使用加密连接经由服务器节点将分组路由到另一客户机节点的装置。在一实施方式中，该客户机节点包括防篡改硬件模块以加强该限制和路由，并提供用于建立加密链接的认证证明。
在另选的实施方式中，最初由外围节点(对应于第一实施方式的客户机节点)进行与中央控制节点(对应于服务器节点)的外部通信，但是不要求所有后续分组也都分别通过中央控制节点和各通信外围节点之间的加密SSL连接经过中央控制节点，在该实施方式中，与中央节点的初始连接用于建立两个通信外围节点(用作对等节点，或者一个用作客户机且另一个用作服务器)之间的(更直接的)连接。受信任的计算模块可用于加强策略，由此，仅可以在从中央控制装置获得明确授权之后才能建立到中央控制节点之外的其他目的地的连接。优选地，这包括要求接收了明确授权的连接(不需要经过中央控制节点/配置)所涉及的所有节点在需要时发送、接收和/或转发合适的数据分组。优选地，这种授权是有时间限制的且当授权时间期满时，要求来自中央控制节点/配置的新的授权。
在又一另选实施方式中，不是具有单个中央控制节点，而是存在多个中央控制节点，这些中央控制节点彼此互连，且从外围节点和用于网络活动记录目的的角度，其行为就像单个节点一样。
因而，根据这些另选实施方式，提供了一种具有很多外围节点和一中央控制配置的星形连接网络；其中，各外围节点具有除非该外围节点已经从中央控制配置接收了明确的建立另一连接的授权以外，使用相应加密连接限制跨越网络到中央控制节点的通信装置；并且其中，该中央控制配置包括：用于建立与各外围节点的加密连接的装置；使用两个或更多各自的加密连接与两个或更多外围节点交换控制分组以建立两个外围节点之间的授权连接的装置；存储安全策略信息的数据库，该安全策略信息规定外围节点之间的何种连接被允许；以及使用该控制分组交换装置根据存储的安全策略信息授权允许的连接的授权装置。
在这种布置中，根据其希望实现的功能，外围节点可用作客户机、服务器、对等点或代理服务器。各外围节点能够通过发起连接本身或响应于从中央控制配置接收到建立这种连接的请求，而建立与中央控制配置的安全连接。
优选地，该中央控制配置包括攻击检测模块，该模块可操作以分析未被授权的连接尝试且试图检测这种无效尝试中的任意模式。在一实施方式中，任何检测出的模式都被报告给管理员，管理员然后可以设置丢弃或登陆的策略且然后丢弃匹配该模式的任意后续连接尝试，而不发送任意响应或执行任意加密相关处理。在另选的配置中，该攻击检测模块可以自动地应用这种策略而不是依靠人类管理员来完成。优选地，该中央控制配置采取的任意这种行为仍然被报告给管理员以使得管理员能够在必要时超控任意自动应用的策略。
以这种方式，代表攻击的集中点的集中体系结构能够鲁棒地防范可能的攻击，包括对用于建立安全连接的多个请求形式的服务攻击的分布式拒绝。
本发明还提供操作星形连接网络、服务器节点和客户机节点的相应方法。这些方法可以使用存储在包括有形数据存储设备的载体装置上的计算机程序来实现。
附图说明
现在将参照下面的附图以仅为示例而非限制性的方式描述实施方式，附图中：
图1是示出了根据一实施方式的网络体系结构的示意图；
图2是示出了根据一实施方式处理分组的方法的流程图；
图3是示出了根据一实施方式查询策略引擎的方法的流程图；
图4是示出了用于底层网络的星形连接网络安全覆盖的示意图；
图5是根据一实施方式在服务器节点和客户机节点之间建立加密连接的方法；以及
图6是类似于图1的示意图，但是其示出了根据另一实施方式的网络体系结构。
具体实施方式
图1示出了在很多IP或其他分组交换网络之上实现的且根据一实施方式的安全星形连接虚拟网络的示意图。安全虚拟网络或虚拟因特网(VI)100包括服务器节点110以及经由两个分组交换网络150与该服务器节点110耦合的很多客户机节点160。在该实施方式中，底层互连网络是因特网150a和由上覆式安全虚拟网络(overlying secure virtualnetwork)100的运营商运营的局域网(LAN)150b。然而，该网络配置用于使解释简单，可以使用不同底层网络体系结构实现各种另选实施方式，例如，仅使用因特网、使用多个互连的WLAN和LAN、因特网和蜂窝网络或任意数目的分组和/或电路交换网络的其他组合。
每个客户机节点160包括受信任平台模块(TPM)170，其是集成到客户机中的防篡改硬件设备。TPM 170在每个客户机节点160上执行严格的安全策略，确保节点160仅通过各自的互连网络150a和/或150b与中央服务器节点110通信。这例如可以通过实现局部防火墙且利用TPM 170上的端口进行外部接口来实现。另选地或者另外地，客户机TPM 170上的软件将监控客户机节点160上运行了何种处理。TPM 170将仅准许对这样的处理或者应用进行外部访问：所述处理或者应用可被配置以仅准许去往虚拟网络100或来自虚拟网络100的通信量。在文档服务器和其他资源或者甚至目的地或第二客户机节点上，可以使用开放源apache(阿帕奇)网络服务器，其中配置文件被设置为拒绝到公共IP地址的请求，但是接受与虚拟网络服务器110相关的IP地址。这防止了客户机从这些节点访问资源而不经过服务器节点110。TPM 170还为各各自的客户机节点160提供诸如安全数字证书的认证书以及用于与中央服务器节点110连接的安全加密工具。TPM 170还可以被布置以在允许去往/来自服务器110的通信量之前要求客户机160的用户进行认证。
中央服务器节点(VI)110包括诸如防火墙115之类的分组过滤器、诸如安全套接字层(SSL)服务器120的加密连接或会话服务器、上下文处理器125、安全策略引擎130以及安全策略135的存储器。到互连网络150的所有连接都经由防火墙115，该防火墙115将每个进入分组和外发分组与一系列防火墙规则相匹配。所述分组可以与各种参数相匹配，所述参数例如是分组的源和目的地地址、端口地址、分组相关的应用以及本领域技术人员将意识到的且取决于服务器运营商的安全策略135的各种其他安全相关参数。
中央服务器110通常也包括TPM 170，其为SSL服务器120提供诸如用于服务器的安全数字证书的认证证明以及用于与客户机节点160相连的安全加密工具。
SSL服务器120或其他加密连接服务器能够在服务器节点110和各客户机节点160之间建立和维持单独的加密连接。使用相互认证和以及存储在各自的客户机节点160和服务器110的TPM 170中的密匙和加密算法建立各SSL会话。应当理解，每个SSL会话或连接加密和封装各自的客户机节点160和服务器110之间的分组。从客户机节点接收的分组然后通过防火墙115路由，如果它们满足防火墙规则，则被准许或允许经过SSL服务器120。典型地，防火墙规则将询问接收的分组和其封装分组有效载荷的源和目的地地址。SSL服务器120将照常使用SSL操作解封装和解密接收的分组以恢复封装的分组。目的地地址被识别且分组被再封装、再加密且然后经由防火墙115转发到目的地客户机节点160。同样，防火墙115根据防火墙规则询问外发分组。
每个客户机节点160因此被有效地分配到其自己的单独安全域，传递到或来自其他客户机节点的任意分组必须经过防火墙115。这允许网络100的安全策略被集中管理且应用于网络100的所有客户机节点160。这与防火墙用做两个分立网络(例如因特网和内部LAN)之间的安全接口的典型布置不同。位于现有系统的LAN内的客户机节点不经过防火墙实现的安全策略，且被假定为是值得信任的。类似地，一旦远程计算机越过了防火墙，典型地，其将被准许进行与LAN安全域中其他用户相同的访问(权限)。
作为附加的安全措施，使用SSL或者使用各客户机节点160上的TPM170实现的其他加密连接工具，在该实施方式中，使用服务器节点110上的TPM，来加密各个客户机节点160和服务器节点110之间的连接。作为又一安全措施，当与客户机节点160建立新的SSL连接/会话时以及当现有SSL连接/会话例如因为远程用户退出因特网150a而终止时，防火墙规则自动更新。防火墙规则的更新使用上下文处理器125完成，该上下文处理器125是服务器节点处理器上实现的软件模块，且其从SSL服务器120接收当前SSL会话的列表。通过比较这些列表与存储的先前的SSL会话列表或者根据当前防火墙规则确定的SSL会话列表，上下文处理器125可以判断新的和终止的SSL会话且相应地更新防火墙规则。典型地，这将涉及使用新设置代替防火墙115上的诸如iptable(IP表)的现有防火墙规则，该新设置包括涉及到与新的和终止的SSL会话相关的客户机160的更新规则。
在最简单的配置中，规则将被更新以现在准许或允许具有与和新SSL会话相关的客户机节点向对应的源和目的地地址的分组。类似地，规则将更新，以拒绝或者阻止具有与终止的SSL会话相关的客户机节点相对应的源和目的地地址的分组。然而，与各客户机节点160相关的规则通常更加复杂，例如可以基于雇员类型实现限制，其中对某些服务器(例如160d)的访问被限制为某些雇员类型。类似地，可以基于地点，例如基于客户机节点是经由因特网还是本地LAN连接到服务器节点而对访问进行限制。上下文处理器125因而将请求针对该或各新客户机节点160的策略细节。这可以通过输入客户机标识完成，该客户机标识例如是网络内唯一编号或者其他引用(reference)，诸如与和SSL服务器120建立了SSL连接的客户机节点160r相关的公钥。策略引擎130在策略数据库135中查询与新连接的客户机节点160r相关的策略陈述。这些策略陈述可以对于客户机节点160r唯一，或者可以与一组这种客户机节点160(例如，特定雇员等级)相关。这些策略陈述被传递回上下文处理器125，该上下文处理器将它们转换成用于更新防火墙115的iptable或其他防火墙规则。另选地，上下文处理器125可以被配置为向策略引擎130转发取决于新的(和/或终止的)客户机节点160的特定格式的查询。策略引擎130然后返回针对特定资源的各请求的准许/拒绝型响应(格式化的查询)。这些响应被上下文处理器125解释且被转换成更新的防火墙规则。
在该实施方式中，策略引擎130以高级语言形式的策略陈述来操作，所述策略陈述然后被上下文处理器转换成iptable规则或者其他详细的防火墙规则。这使得可以更灵活地改变用于各个客户机节点或客户机节点组的安全策略。然而，策略引擎130和上下文处理器125的功能可以合并，使得可以根据新连接的客户机节点160r自动检索详细的防火墙规则，且然后将它们写入到防火墙中。
该实施方式提供了很多优点。不管用户位于被安全虚拟网络运营商运营的“内部”网络150b上还是位于不受信任因特网150a上；在网络100上都统一被假设为是“外部访问”，即从不受运营商控制的互连网络150a到系统或者安全虚拟网络100的用户的访问。该系统还允许对各用户的在虚拟网络100上的访问权利进行完全控制，且帮助确保客户机节点160、中央服务器节点100的安全性，并且将安全虚拟网络或系统100作为整体加以维护。通过使用辐射形或星形连接体系结构来产生虚拟安全覆盖，用户和资源被划分到分离的安全域，这使得更加难以不经检测就建立两个装置或节点之间的连接，因而减小了安全缺口攻击成功的风险。这种划分还允许基于诸如物理位置、机器安全状态以及基于角色的特权这样的因素，而给予不同级别的连接性和特权。这反过来提供了高灵活和粒度的中央访问控制。而且，因为所有系统流量都经过中央服务器110，因而所有系统活动能够被容易地记录和稽核；例如，用于检测闯入。如有需要，防火墙可以即刻锁定整个系统。
附加优点在于，受益于以减小的成本提供相同或更好的安全性的基于因特网的解决方案，可以消除用于内部安全的防火墙保护的物理LAN的使用，——对于SME尤其如此。类似地，不再需要用于WAN基础设施的专线的使用。在需要安全域划分的情况下也可以体现成本的节约，因为不再需要域间附加的防火墙或者实际的附加物理网络基础设施，因为这种域划分可以使用服务器节点110集中地实现。
下面参照图2和图3中示出的方法，更详细地描述系统100的操作。这些方法涉及经由中央服务器节点110路由的请求方客户机节点160r和文档服务器客户机节点160d之间的通信。图2示出了操作防火墙115和SSL服务器120的方法。该方法(200)最初在防火墙110处接收来自第一节点或者请求方节点160r的分组(205)。所述分组可能已经在因特网150a、由与安全虚拟网络或安全系统100相同实体控制的LAN 150b或者很多网络组合上传送。该分组可以是加密SSL或其他加密连接分组，或者可以是例如包括请求建立加密连接的请求在内的无加密连接分组。防火墙115然后将接收分组与典型地已知以iptable实现的很多防火墙规则进行匹配。防火墙规则通常将指示哪些目的地和源地址是允许的以及哪些是要被阻挡的。它们也可以限制允许的分组的端口和应用程序类型。在分组是SSL分组的情况，可以另外检测封装分组的目的地和源以及可能的其他参数——对于本领域技术人员而言这已知为深度分组检测。与用于建立加密连接的已知初始请求类型相关且寻址到SSL或其他加密连接服务器120的无封装分组通常将被自动允许(210，是)。被寻址到中央服务器110的其它部分的分组通常将被阻挡。在分组是SSL分组的情况，防火墙将通过检查封装分组的源和目的地地址判断发送客户机160r是否被允许与(最终)目的地客户机160d通信。
在分组由于违反防火墙规则之一而被防火墙阻挡的情况(210N)，可以向分组的发送方返回错误消息(215)。例如，可以返回指示特定通信在星形连接虚拟安全网络100中不被允许的错误消息。在分组被防火墙允许的情况下(210Y)，所述分组然后被路由到VPN或SSL服务器(220)。SSL服务器判断所述分组是否与SSL连接建立或终止请求相关(225)，且如果不相关(225，否)，则解封装和解密所述分组以恢复封装的分组(230)。如已知的，SSL分组含有对应于发送客户机节点160r的源地址以及对应于SSL服务器120的目的地地址。然而封装分组将包括对应于发给客户机160r的源地址和对应于最终目的客户机160d的目的地地址。SSL服务器120然后识别封装分组的目的地地址(235)，在该示例中，为文档服务器节点160d。该方法然后再加密和封装分组(240)。
现在，通常在SSL服务器120和第二或文档服务器客户机节点160d之间的不同SSL连接上的再加密分组然后被转发到防火墙(245)。SSL服务器120将通常被配置为使得所有外发分组都被路由到防火墙115。防火墙115然后同样对照防火墙规则检查来自于SSL服务器120的分组(250)。和前面一样，这例如可能涉及检查再加密分组的源和目的地地址以及分组的端口地址和应用类型。同样，可以使用其中解封装和解密分组也被防火墙检测的深度分组检测。如果分组被阻挡(250，否)，则错误信息被产生且通常被发送到原始发送方——请求方客户机节点160r。然而，如果分组被防火墙允许(250，是)，则所述分组然后被路由到目的地或第二客户机节点(265)，在该示例中为文档服务器160d。
请求方或者第一客户机节点160r发送到文档服务器或者第二客户机节点160d的分组可能涉及对文档的请求。使用如上所述的在文档服务器和中央服务器之间以及请求方节点160r和中央服务器110之间的独立的SSL加密连接，含该文档的分组然后经由中央服务器110被发送到请求方节点160r。这样，形成了重叠在互连网状网络150a和150b上的安全星形连接系统100的一部分的客户机节点160之间的所有通信都经由中央服务器110在相应加密隧道或连接之上路由，且防火墙115向所有这些通信应用合适的安全策略。
在来自客户机节点160的进入分组涉及建立或终止与SSL服务器120的SSL连接时(225，是)，它们被防火墙115所允许。该方法(200)然后判断所述分组涉及新的VPN连接请求还是涉及终止现有VPN连接的请求(270)。终止客户机节点160和SSL服务器之间的现有SSL连接的请求(270，否)导致连接以本领域技术人员所熟悉的方式断开。SSL服务器120维护当前SSL连接的列表，且该列表在连接断开时更新(290)。典型地，列表将包括各自的客户机节点160的公钥，这些公钥视需要而被标记为被终止或被连接；另选地，可以简单地从列表中移除被终止的客户机节点连接的公钥。某些标准SSL服务器120可能需要修改其软件来提供这种列表。当所述分组与用于客户机节点(例如160r)和SSL服务器120之间的新的SSL连接的请求相关时，实现SSL连接建立过程(280)。SSL连接建立过程(280)可以采用已知的SSL建立方法，不过通常使用进行请求的客户机节点的TPM(例如170r)。认证机构(CA)将签署分别存储在客户机160r和服务器节点110的TPM 170r、170s中的针对服务器和客户机公钥两者的证书。在SSL协议中，这些证书被交换和验证。这允许它们使用公钥密码来产生会话密匙。数字证书还使用存储在TPM中的相应私钥签署/加密。相应的TPM公钥然后用于验证公共数字证书来自相应TPM。这增强了系统的安全性。当客户机节点(160r)被服务器节点(110)认证且建立了SSL连接时，当前SSL连接的列表被更新以包括新认证和连接的客户机节点(160r)。
为了增强安全性，本实施方式的防火墙115使用的防火墙规则响应于SSL服务器120维护的当前SSL连接的变化而自动更新。因而，例如，当客户机节点(例如160r)没有与SSL服务器120建立SSL连接时，防火墙规则阻挡去往或来自该客户机节点(160r)的任意分组。该规则的例外是涉及建立SSL连接的从“未连接”客户机节点(160r)寻址到SSL服务器120的无封装分组(以及从SSL服务器120到客户机节点160r的无封装分组)。除了基于是否与相应客户机节点160建立了SSL连接来允许或阻挡分组之外，防火墙规则还附加地实现更高级别的安全策略。这种策略可以限制特定节点160r和其他客户机节点160之间的通信。这可以基于与客户机节点160的正常或指定用户相关的某些参数。例如，用户不可以访问企业的人力资源数据库或其他敏感数据，除非该用户来自于相关部门。另外，当用户通过公共因特网150a连接到系统100时，可以限制其对于某些其他客户机节点(例如160y)的访问，但是当他们通过企业内部LAN 150b连接时则不受此限制。类似地，可以基于去往/来自客户机160的分组相关的应用的类型限制访问。例如，当经由公共因特网150a连接时，特定用户的客户机节点160r可以被限制为检查电子邮件，而当经由内部LAN 150b连接时可以不实现该限制。这种性质的各种其他安全限制将被本领域技术人员意识到，且意在由本实施方式实施。
为了实现这些特征，本实施方式使用上下文处理器125和策略引擎130。参考图3描述这些功能的操作，图3示出了操作上下文处理器125的方法。方法(300)定期查询SSL服务器120维护的当前SSL连接的列表(305)。当前列表可以与先前的列表进行比较以判断已经建立的新的SSL连接和已经终止的旧SSL连接。对于每个终止的SSL连接(310，终止)，该方法使得与客户机节点相关的防火墙规则返回为缺省设置；典型地，阻挡去往/来自客户机节点的所有分组，但是涉及与SSL服务器120建立新连接的分组除外(315)。与建立新SSL连接相关的一组全局防火墙规则被维护，且与终止的客户机节点的附加访问权限相关的任何规则都被删除。
对于每个新SSL连接(310，新)，该方法针对与新SSL连接相关的客户机(例如160r)查询策略引擎130(325)。典型地，这将涉及形成标准查询格式的策略请求，该请求包括诸如用于客户机的系统唯一标识(IDclient)(例如客户机公钥)以及用于客户机的目的地地址(Addr-dest)的细节以例如确立客户机装置正使用哪个网络(150a或150b)连接到系统100。该信息也可从SSL服务器120维护的列表获得，且由根据本方法(300)操作的上下文处理器125检索和转换为用于策略引擎130的适当格式。可以在策略判定中使用的某些其他细节包括：源/目的地端口、关于请求的目的地的精细细节(目录、文件、数据库条目)、环境细节、环境细节、时/天/日期、当前系统负荷。下面将更详细地描述使用用于策略引擎130的KeyNoteTM和用于防火墙的iptable的示例实施方式。
策略引擎130从上下文处理器125接收请求，且查询系统的运营商陈述的各种安全策略135(330)。为了实现安全策略135的灵活管理，这些策略通常以诸如KeynoteTM的高级语言陈述，其中单个策略例如可以应用于各组客户机。上下文处理器125中的合适的转换功能能够将这些策略例如实现为iptable中的单独的防火墙规则，并且仅涉及各自的客户机。策略引擎130针对从上下文处理器125接收的客户机身份，判断是否存在与安全策略135的任意匹配(330)。如果没有匹配，则防火墙规则不更新，且这将典型地意味着进行请求的客户机节点在安全策略135下没有访问特权。去往/来自该客户机的分组因此将继续被防火墙115阻挡。然而，如果客户机身份匹配一个或更多个安全策略，则这种匹配策略用于从搜索引擎130返回对上下文处理器的查询的准许/拒绝判定(330)。策略可以例如基于客户机节点160的位置限制客户机节点分组可以向其转发或从其接收的目的地地址。类似地，还可以限制端口号和应用类型。各种其他访问限制将被本领域技术人员所了解且可以通过本实施方式实现。策略引擎130返回的策略判定然后被上下文处理器125转换为防火墙规则(335)。对应于策略判定的特定防火墙规则将依赖于实现的防火墙115，且典型示例是iptable，不过也可以使用其他类型。高级策略引擎130与上下文处理器125的一起使用允许采用模块化方法来实现自动防火墙更新。因而，例如，如果实现不同防火墙115，这仅需要修改上下文处理器的转换软件。然而，在另选实施方式中，上下文处理器125和策略引擎130功能可以合并到单个软件模块中。
已经获得了涉及新连接的客户机的防火墙规则之后，防火墙115的iptable被更新(340)。已知这可以通过使用针对新连接的客户机的附加的或变化了的规则重写所有iptable并且刷新防火墙来实现。一旦防火墙规则被更新，则连接到SSL服务器120的客户机现在可以经由SSL服务器120向/从其他客户机节点转发/接收分组，各分组被防火墙115允许或阻挡。
尽管加密连接被描述为SSL，但另选地可以使用各种其他加密隧道技术，例如包括，IPsec和传输层安全(TLS)。而且，尽管通常SSL要求会限制可实现的应用的浏览器，但可以使用存在的各种SSL软件客户端(诸如Stunnel)来在本身不具备SSL能力的非浏览器应用(例如邮件客户机)中实现SSL能力。
SSL隧道或VPN可以在虚拟LAN(VLAN)体系结构(诸如SSL上以太网)上运行。示例的包包括OpenVPN和OpenSSL。这些包不要求诸如另一防火墙和VPN集线器这样的专用硬件，且可以仅使用软件实现。
可使用各种Linux开源应用来创建第2层(例如TCP上以太网)加密连接。Brctl Linux以太网桥接软件允许基于以太网地址而非IP地址转发分组。这意味着所有较高层协议可以透明地穿过该桥。该桥将被将被隧穿的各个客户机物理联网接口所需要。该桥还将被服务器所需要以桥接虚拟接口，换句话说，旁路服务器本身的操作系统接口驱动器；例如，用以使能加密连接上的加密。服务器桥为包括很多客户机节点160的各VLAN或VLAN组所要求。Stunnel可以在客户机和中央服务器两者上实现以分别请求和创建SSL连接。因而，Stunnel允许在SSL内对任意TCP连接进行加密以提供VLAN隧道顶部的各种SSL隧道。VTun可以在客户机上使用以将物理接口与由vtun会话建立的虚拟接口相绑定。这通过调用反馈接口且然后调用Stunnel完成。服务器上的Vtun在第2层将新隧道绑定在一起以创建很多虚拟以太网。Vtun服务器的单个实例运行单个配置文件，该配置文件定义VLAN/桥接组的细节。
图4示出了在图1的网络体系结构(100)之上实现的星形连接网络400。星形连接网络400具有作为其星形连接点的中央服务器节点410，每个客户机节点460使用诸如SSL会话490的加密连接而连接到服务器节点410。软件模块480安装在每个客户机节点460上且其包括各种软件和/或硬件工具(例如修改的个人防火墙和/或apache网络服务器)以实现加密会话(例如Stunnel)且限制从客户机通信端口到中央服务器的通信。在上述VLAN实施方式中，软件模块480还包括Brctl和Vtun以在第2层实现VLAN体系结构以在星形连接网络配置内优化客户机节点和服务器节点410之间的通信。中央服务器410还包括相应的软件模块485，在该实施方式中，该软件模块包括Stunnel、Brctl和Vtun以实现SSL会话490和用于实现星形连接网络400的第二层VLAN体系结构。该图示出了通过分立的SSL连接490(概括地由标号495示出)经由服务器节点410进行的两个客户机节点460r和460y之间的通信。
尽管描述了VLAN方法用于与现有的基于Linux软件工具一起来实现现有因特网450a和其他网络450b之上的星形连接网络400，但也可以使用各种另选的方法。例如，对于小型星形连接网络400，可以简单地在因特网或LAN上实现SSL连接490而不使用VLAN。在这种情况下，Stunnel或某些其他基于VPN的技术可以被添加到客户机节点和服务器节点以实现SSL连接。在又一另选中，可以使用另选的基于VPN的技术，诸如点对点隧道协议(PPPTP)、第二层隧道协议(L2TP)、L2TPv3，多协议标签交换(MPLS)和第二层转发(L2F)协议。而且，尽管提到了适于在本实施方式中实现的各种特定软件包，但技术人员将熟悉可以另选地不经修改或经过微小修改而使用的来自开源或专利资源(Proprietary Source)的其他软件包。
TPM 170可用于加强安全策略，使得客户机节点160上的外部通信必须只能与VI服务器节点110进行。TPM通常将要求客户机节点的用户为进行VI访问而向TPM认证其自身。这可以使用密码和/或从用户测量的生物参数来完成。
在参照图1至图3描述的实施方式中，KeyNoteTM策略引擎可以与使用iptable的防火墙一起使用。iptable通常是静态和固定且复杂的。然而，在某些实施方式中，它们可以动态地操纵。为使得管理更加容易，安全策略以基本格式陈述，且然后在运行时间被解释和执行。KeyNote对照一组策略处理正确格式化的查询。可以在授权人、许可人、条件和签名方面实现策略。
授权人是具有创建所有策略的权力的实体(服务器节点110的运营商以及因此虚拟网络100的运营商)的公钥。其被安全存储在服务器TPM170中并且可以或者另选地被硬编码进服务器110代码，使得攻击者不能代之以其自身密匙。给定策略的许可人是准许进行访问的用户的公钥，其通过TPM产生。条件将判断准予访问的用户的必要条件，例如：策略的唯一标识符、策略的有效周期、用户被允许访问的应用。签名字段是使用授权人私钥签署的策略的内容的数字签名。其是TPM私钥，且仅能够由该特定服务器节点或特定专用远程节点上的密匙签署。
策略引擎读取客户机公钥，且查询策略以得出允许客户进行什么访问。所述查询包括：客户机公钥；应用的名称；当前时间；调用的策略(每个策略必须被单独调用)的列表。这些细节能够由上下文处理器在提交查询之前建立。策略引擎然后返回允许的资源/行为的列表。
针对策略引擎130的查询的准备由上下文处理器125进行，该上下文处理器125从SSL服务器120检索要求的信息且进行适当的转换。类似地，当从策略引擎130检索到允许的行为/资源的列表时，上下文处理器125将其转换为用于更新防火墙115的iptable。
图5示出了修改的SSL连接建立方法，其中使用客户机装置上的TPM工具以及VI服务器上的相应硬编码密匙。客户机最初向服务器发送SSL客户机问候消息(505)。该消息包括客户机节点160的TPM 170产生的随机数据。该消息还包括标准SSL握手信息，诸如最高SSL版本、支持的密码、数据压缩方法和会话ID。该客户机问候消息被SSL服务器120接收且以本领域技术人员已知的常规方式处理。另外，使用预定密匙和算法处理该随机数据，该预定密匙和算法可以被硬编码到SSL服务器120中，或者单独但是安全地存储在中央服务器110的TPM 170上。这种经处理的随机数据然后被包括在响应于客户机问候消息而发送到客户机节点的服务器问候消息中(510)。如所知的，服务器问候消息通常还包含所选SSL版本、所选密码、所选数据压缩方法以及分配的会话ID。该消息被客户机节点接收，且处理的随机数据可用作后续认证处理的一部分。
服务器然后转发数字证书，该数字证书包括CA签署的公钥(515)。服务器的公钥通常被硬编码进SSL服务器代码使得恶意实体不可能改变它。客户机节点160接收服务器证书，且使用存储在其TPM 170上的私钥进行认证。这通常要求TPM进行用户认证以确定用户的身份，例如由用户在客户机节点160键入密码或进行其他登陆过程来进行该认证。客户机160然后从其TPM 170检索其自己的数字证书，该数字证书由CA签署。包括客户机公钥和认证签名的该证书被发送到服务器(520)。服务器以已知的方式认证客户机证书。客户机节点160和SSL服务器120然后协商会话密匙(525)，这通常利用Diffe-Hellman交换，使用在客户问候消息中最初发送的随机数据进行。在会话密匙同意之后，如通常一样，可以进行客户机和服务器之间的加密数据传输(530)。
图6示出了另选实施方式，其中中央服务器功能分布在多个中央服务器C1、C2、C3和C4之间。这些中央服务器彼此互连。因为中央服务器操作以提供虚拟企业内部网(VI)，此后它们将被称为VI中央控制服务器C1-C4。图6还示出了多个局部外围客户机节点P1-P8。因为在外围节点之间具有各种直接连接，各外围节点具有到VI服务器节点的至少两个直接连接；然而，在图6中，为清晰起见，仅示出了用于三个外围节点P1、P2和P3的连接。VI服务器部分地或者完全网格化，即，每个VI服务器连接到多于两个的其他VI服务器以引入更多的可靠性和冗余，使得可以实现高可用性和负载均衡。而且，每个外围节点直接连接到至少两个VI服务器，一个是缺省服务器，另一格是备份服务器。因此，在图6中，可以看出，P1、P2和P3分别具有缺省中央服务器C1、C2和C3以及备份中央服务器C2、C1和C3。执行如上所述的VI服务器功能所要求的信息在VI服务器的整个网络分布。
变型例
在很多情况下，网络具有分开的控制平面和数据平面是有利的。这可以帮助改善网络的性能(在传输数据的速度方面)且改善网络的安全性(通常当客户被限制为仅使用数据平面时，恶意客户更加难以访问控制平面)。
在本实施方式的虚拟企业内部网中，这可以以下面的方式(再次参考图6作为示例网络)(一定程度地)实现。在系统引导期间，网络将使用诸如OSPF的传统IGP基于当前网络拓扑而收敛。由此，每个VI服务器能够计算所有外围节点对之间的路径。另外，常规远程访问技术可用于准许远程和/或移动节点(例如，雇员的家用PC或者膝上电脑)使用诸如RADIUS的常规远程访问协议连接到中央控制配置。
当任意外围节点希望连接到另一外围节点以获取某一服务或应用时，即使在一些外围节点对之间存在直接链路，在没有从分布式中央VI控制服务器功能获得授权的情况下，也不允许它们形成直接连接。因此，代替地，进行请求的外围节点必须发送初始请求到其缺省VI服务器，供其考虑。例如，假设P1希望连接到P3，它必须发送请求到其缺省控制节点C1，C1能够认证P1且基于本地存储的安全策略调查P1是否具有特权来使用请求的服务。在授权处理之后，C1开始发送请求信息到目的地外围节点P3。
C1知道C3是用于P3的缺省VI服务器且当前启动并运行。因为IGP协议，C1知道怎样经由直接链路(或者如果不存在直接连接，则经由其他中间VI服务器)发送请求到C3。C3然后可以将该请求转发到P3。如果P3能够处理该请求，它发送“请求接受”消息到C3且C3继续将其传递到C1，且然后C1能够开始针对每个中间节点(中间节点可以是，并且在本示例中是，所有客户机节点)的查询处理，以确保它们具有足够的资源来提供发送服务。最后，C1发送“请求接受”消息到P1，且告知其到P3的路由。P1能够启动与P2的对话，告知P2下面的分组的目的地是P3。因为P2受C2命令向P1提供发送服务，所以它可以从P1接收分组且向P3转发所有的分组。
优选地，为实现这点，通过安全的方式，例如安全传输层(TLS)协议或安全套接字层(SSL)协议，所述分组以使用合适协议的加密形式发送。这类似于如上所述的主实施方式，只不过此处不是具有两个分离的SSL连接，而是仅具有可能桥接一个或更多个中间节点的一个这种连接，而且与主实施方式的情况不同，不需要任意中间节点来进行加密和解密，仅所述两个通信节点需要进行加密和解密。实际上，即使连接经由VI服务器节点(或者非分布式实施方式中的单独的服务器节点)，通过不使(多个)VI服务器节点作为两个分离SSL连接的端点进行解密和加密，也会节省(多个)VI服务器节点的相当可观的处理资源。而且，一旦建立了授权连接，就避免了VI服务器节点或中心防火墙(例如，形成中心控制配置的一部分的防火墙)对每个到来的分组进行深度分组检查的需要，这同样节省了中心控制配置的处理资源。一旦建立了“直接”连接，就免除了对中心控制配置的繁重的处理要求，特别是加密/解密以及优选地深度分组检查，这里的“直接”连接特征化了作为本说明书中使用的术语“直接连接”，不是指单独的分组在目的周围节点之间的发送中不经过中间节点(特别是当它们作为路由器或开关运行时等)。
如上所述的资源协商和预留处理是典型的，如果目的地客户机不能处理请求或不能提供所要求的服务，则进行请求的客户机被告知这点(且其可以判定怎样完成它，例如，稍后再试一次或者试图发现另选源)；另选地，如果中间节点不能提供所要求的发送资源，可以寻觅另选路由。例如，如果P3不能满足作为服务提供方的请求，它发送“请求拒绝”消息到C3，且随后C3将其转发到C1且C1告知P1。另外，如果诸如P2的任意中间客户机不能提供用于P1的发送服务，它们告知它们自己的缺省VI服务器(例如，P2将告知其缺省服务器C2且C2将传递该信息到C1)。协同服务器(即用于该请求客户机的缺省服务器，在本示例中即为C1)然后可以通过运行IGP或某些其他类似的路由发现协议试图发现另选路径(例如用于P1到达P3)，且最终可以获得另选路径(诸如P1-P4-P3)且然后进行与上述处理类似的处理。
一般而言，诸如网络路由信息、请求初始化、认证、授权、系统登录、安全策略管理等的控制信息全部由VI服务器(分布式或非分布式)处理。客户流量通常通过中间客户机分发。通过避免与控制流量相比量相对大的客户流量(数据)经由VI服务器，这帮助缓解了VI服务器的负载，这还具有显著减小了经由客户数据平面发起的拒绝服务(DoS)攻击的可能性的安全益处。DoS攻击即通过发送大量数据试图淹没VI服务器，但是因为仅经过授权(并且仅可能是经TPM检查为未被攻陷的(uncompromised)授权设备)才被允许发送数据，所以受Dos攻击的风险比较低。再者，通过减小VI服务器的工作负荷，其对这样的DoS攻击将更加鲁棒，该DoS攻击包括未授权设备在实际没有任何希望或者意图来发起连接或发送任何数据的情况下试图发起连接。
使用TPM防止外围节点不经控制配置的授权而彼此建立直接连接的一种方法是规定：一个节点仅在被中央控制配置授权并且进行连接的节点提供的证明正确地将该节点认证为标识的节点时，该节点才允许从不同于中央控制配置的任意其他节点进行到它们的进入直接连接(即它们仅仅完成到它们的到来的直接连接)。能够使用进行连接的节点的TPM来提供这些受信任证明。使用这种布置，系统管理员能够进行布置使得最敏感设备(例如，存储公司敏感信息的文件服务器)仅被合法且未被攻陷的设备接触；通常，诸如文件服务器的设备本身一般不需要建立连接，使得它们几乎没有不经意地接触可能危及安全的机器的风险，即使较不重要的节点(例如雇员的膝上电脑)将变得危及安全且允许从未授权设备进行与其的连接或者试图进行未授权连接这样的风险也不会引起(像未授权设备能够启动与其不受损害对于公司安全很重要的未被攻陷的节点的未授权连接那样的)大的安全威胁。可以代替更常规的TPM的使用，或者在更常规的TPM的使用之外，来进行这一点，以确保设备正直性不被运行在设备上的软件的未授权添加或修改而被攻陷。
内部无源监控
因为虚拟企业内部网络服务器体系结构基于针对其服务的所有客户机的虚拟星形拓扑，所以设备之间的所有通信必须经过虚拟企业内部网络服务器。因此，如果VI服务器在所有隧道端点执行“深度分组检测”，则虚拟网络中的每一个单个流可以被检测、记录，且在需要时被报告或甚至阻挡。随着隧道终止且解封装的底层两个分组被呈现给使用虚拟接口为虚拟LAN网段，此时，将使用软件入侵检测系统(IDS)库对分组进行检测且重建到TCP流中。随着各新的隧道被建立，新的IDS处理将被调用，因而确保所有连接被监控。
该功能是极其有用的，因为它可用于信息交易和每个客户机的行为的内部监控。例如，其可以被配置以向系统管理员发出警报以例如指示正发生某些异常行为，诸如发送大量文档、在工作时间之外频繁地访问系统或者在没有必要授权等的情况下试图猜出密码等。
外部攻击检测
每个VI服务器被基于签名的入侵检测系统保护，该系统在识别已知攻击方面是十分精确的，然而其不能认出任意新类型的攻击。在VI基础设施中，VI服务器可以是中央点，攻击者可以在该中央点发起各种攻击。例如，恶意人员能够使用低速DDoS攻击技术，其通过以较低速度(即每秒小于5个分组)发送请求但是要求较大计算工作量来处理诸如认证、访问控制等。这是一种协同行为，其试图隐藏其攻击网络的意图且一般会被IDS系统忽视，但是目的在于使VI服务器的计算能力过度负荷从而劣化其性能。当一个VI服务器识别到诸如大量无效认证、丢失分组等某些异常时，它开始分析所有这种请求的行为且创建针对这些分组的基本模式，诸如报头、源地址、目的地地址、有效载荷、消息等。在直接的情况，可以创建用于攻击的新的签名并警告网络管理员进行人工分析。在人工确认之后，其然后将新的签名广播到所有VI服务器并要求它们更新自己的签名数据库。否则，它将发送可疑行为的摘要到所有VI服务器，并获得响应。然后，它可以使用某些“事件相关技术”创建用于新攻击的签名或将其处理为故障警报。一般而言，每个VI服务器在正常情况中本地保存其所有系统登陆信息，取决于操作要求，数据将在VI服务器上存储固定时间(即3天)，然后将过期的数据传输到本地存储盘或存储网络。
因为VI服务器提供整个网络服务且网络上的每个点都由上述处理监控，因而能够实现更高质量的威胁评估和异常检测。
技术人员将意识到，上述设备和方法可以实施为诸如盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的编程存储器或者诸如光学和电学信号载体的数据载体上的处理器控制代码。对于很多应用，本发明的实施方式将实现在DSP(数字信号处理器)、ASIC(特定用途集成电路)或FPGA(现场可编程门阵列)上。因而，所述代码可以包括常规编程代码或微代码或者例如用于建立或控制ASIC或FPGA的代码。所述代码还可以包括用于动态配置诸如可再编程逻辑门阵列的可再配置设备的代码。类似地，所述代码可以包括用于硬件描述语言(诸如VerilogTM或VHDL(超高速集成电路硬件描述语言))的代码。技术人员将意识到，所述代码可以分布在多个彼此通信的耦合组件之间。当合适时，实施方式还可以使用运行在现场可(再)编程模拟阵列或类似装置上的代码实现以配置模拟硬件。
技术人员还将意识到，一般地，根据上述教导，各种实施方式及针对它们描述的具体特征将可以与其他实施方式或其具体描述的特征自由组合。技术人员还将认识到，可以针对描述的具体示例做出各种另选和修改而不偏离所附权利要求的范围。

Claims (11)

1.一种具有中央服务器节点和许多外围节点的星形连接网络，其中
各外围节点在其能够在网络上建立的直接通信的类型方面被限制为：能够使用各自的加密连接建立与所述中央服务器节点的直接通信，但是不能直接建立与任何其他外围节点的连接，除非至少该外围节点或相应的目标外围节点从所述中央服务器节点接收到了建立或完成所述直接建立与任何其他外围节点的连接的明确授权；以及其中
所述中央服务器节点包括：
用于建立与各外围节点的加密连接的装置；
用于使用两个或更多个各自的加密连接与两个或更多个外围节点交换控制分组，从而在两个外围节点之间建立授权连接的装置；
数据库，其用于存储规定外围节点之间可允许什么连接的安全策略信息；以及
授权装置，其用于使用所述控制分组交换装置基于所存储的安全策略信息对可允许的连接进行授权。
2.根据权利要求1的网络，其中所述中央服务器节点的功能分布在多个中央服务器节点中。
3.根据权利要求1或2的网络，其中所述用于建立与各外围节点的加密连接的装置包括：
虚拟专用网络服务器，其被配置为通过防火墙接收所有分组，所述防火墙会丢弃所有分组，除非所述分组指向或源于所述中央服务器节点，或者与两个外围节点之间的明确授权的连接相关，其中所述明确授权的连接通过所述虚拟专用网络服务器进行。
4.根据权利要求3的网络，其中所述中央服务器节点包括攻击检测模块，其可操作对未能被授权的连接尝试进行分析并且尝试检测这样的未能被授权的尝试中的任何模式。
5.根据权利要求1的网络，其中各外围节点包括安全存储在防篡改硬件模块中的认证信息，用于对建立与所述中心控制的加密连接或在来自所述中央服务器节点的明确授权之后与外围节点的加密连接进行认证。
6.根据权利要求4的网络，其中所述中央服务器节点包括：
安全策略引擎，其包括高级引擎，该高级引擎响应于接收到虚拟专用网络的建立的指示的上下文处理器所提供的客户机标识和多个会话参数而返回准许或拒绝判定，该虚拟专用网络与所标识的客户机对应，所述上下文处理器将所返回的决定处理为对应的更新规则。
7.根据权利要求6的网络，其中所述会话参数包括：源和目的地网络地址，以及端口号。
8.根据权利要求7的网络，其中所述会话参数还包括，应用程序标识，所述应用程序标识用于标识希望发起所述连接的所述应用程序或者应用程序类型。
9.根据权利要求1的网络，其中使用虚拟局域网在一个或更多个互连分组交换网状网络上实现所述星形连接网络，来支持所述加密连接。
10.一种用于具有许多外围节点的星形连接网络的中央服务器节点；所述中央服务器节点包括：
用于建立与各外围节点的加密连接的装置；
用于使用两个或更多个各自的加密连接与两个或更多个外围节点交换控制分组，从而在两个外围节点之间建立授权连接的装置；
数据库，其用于存储规定可允许外围节点之间什么连接的安全策略信息；以及
授权装置，其用于使用所述控制分组交换装置基于所存储的安全策略信息对可允许的连接进行授权。
11.一种操作具有中央服务器节点和多个外围节点的星形连接网络的方法；该方法包括：
将网络上的通信限制为所述中央服务器节点与外围节点之间使用各自的加密连接的通信，除非所述外围节点从所述中央服务器节点接收到了建立另一连接的明确授权；
建立两个或更多个外围节点与所述中央服务器节点之间的加密连接；
使用两个或更多个各自加密连接与两个或更多个外围节点交换控制分组，以建立两个外围节点之间的授权连接；
存储规定允许在外围节点之间的什么连接的安全策略信息；以及
基于所存储的安全策略信息授权可允许的连接，并且从所述中央服务器节点向相应的外围节点发送对应的授权消息。
CN200780043053.XA 2006-11-20 2007-11-20 安全网络体系结构 Active CN101543004B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
GB0623101A GB0623101D0 (en) 2006-11-20 2006-11-20 Secure network architecture
GB0623101.3 2006-11-20
EP07251372A EP1976219A1 (en) 2007-03-29 2007-03-29 Secure network architecture
EP07251372.4 2007-03-29
PCT/GB2007/004441 WO2008062175A1 (en) 2006-11-20 2007-11-20 Secure network architecture

Publications (2)

Publication Number Publication Date
CN101543004A CN101543004A (zh) 2009-09-23
CN101543004B true CN101543004B (zh) 2012-07-25

Family

ID=37605584

Family Applications (2)

Application Number Title Priority Date Filing Date
CN200780043053.XA Active CN101543004B (zh) 2006-11-20 2007-11-20 安全网络体系结构
CN200780043063.3A Expired - Fee Related CN101543005B (zh) 2006-11-20 2007-11-20 安全网络体系结构

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN200780043063.3A Expired - Fee Related CN101543005B (zh) 2006-11-20 2007-11-20 安全网络体系结构

Country Status (3)

Country Link
US (2) US8959334B2 (zh)
CN (2) CN101543004B (zh)
GB (1) GB0623101D0 (zh)

Families Citing this family (127)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8719562B2 (en) * 2002-10-25 2014-05-06 William M. Randle Secure service network and user gateway
US8782393B1 (en) 2006-03-23 2014-07-15 F5 Networks, Inc. Accessing SSL connection data by a third-party
US8806605B1 (en) * 2008-01-11 2014-08-12 Juniper Networks, Inc. Provisioning network access through a firewall
US8762447B2 (en) * 2008-05-02 2014-06-24 General Electric Company System and method to secure communications over a public network
US8321926B1 (en) * 2008-12-02 2012-11-27 Lockheed Martin Corporation System and method of protecting a system that includes unprotected computer devices
US9137209B1 (en) * 2008-12-10 2015-09-15 Amazon Technologies, Inc. Providing local secure network access to remote services
US20100313262A1 (en) * 2009-06-03 2010-12-09 Aruba Networks, Inc. Provisioning remote access points
CN101997826A (zh) * 2009-08-28 2011-03-30 中兴通讯股份有限公司 一种控制网元、转发网元及因特网协议网络的路由方法
US9386023B2 (en) * 2009-10-09 2016-07-05 Blackberry Limited Method, apparatus and system for managing packet delivery
US8700892B2 (en) * 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US8607353B2 (en) * 2010-07-29 2013-12-10 Accenture Global Services Gmbh System and method for performing threat assessments using situational awareness
KR101377462B1 (ko) * 2010-08-24 2014-03-25 한국전자통신연구원 ＣＰＵ 및 메모리 상태를 이용한 ＤＤｏＳ 공격 차단 정책의 자동화된 제어 방법 및 장치
CN101997875B (zh) * 2010-10-29 2013-05-29 北京大学 一种安全的多方网络通信平台及其构建方法、通信方法
DE102010043102A1 (de) * 2010-10-29 2012-05-03 Siemens Aktiengesellschaft Verfahren zur manipulationsgesicherten Schlüsselverwaltung
US20120157049A1 (en) * 2010-12-17 2012-06-21 Nichola Eliovits Creating a restricted zone within an operating system
KR101206602B1 (ko) * 2011-04-15 2012-11-29 엔에이치엔(주) Ｖｐｎ을 사용한 모바일 네트워크의 트래픽 측정 방법 및 장치
US9690941B2 (en) * 2011-05-17 2017-06-27 Microsoft Technology Licensing, Llc Policy bound key creation and re-wrap service
US9553817B1 (en) 2011-07-14 2017-01-24 Sprint Communications Company L.P. Diverse transmission of packet content
US9100437B2 (en) * 2011-09-28 2015-08-04 Fisher-Rosemount Systems, Inc. Methods, apparatus, and articles of manufacture to provide firewalls for process control systems
KR20130040065A (ko) * 2011-10-13 2013-04-23 삼성전자주식회사 전자 장치 및 그 암호화 방법
US9787681B2 (en) 2012-01-06 2017-10-10 Optio Labs, Inc. Systems and methods for enforcing access control policies on privileged accesses for mobile devices
JP2015508540A (ja) 2012-01-06 2015-03-19 オプティオ ラブス リミテッド ライアビリティ カンパニー モバイルコンピューティングにおけるセキュリティを強化するためのシステムおよび方法
US9609020B2 (en) 2012-01-06 2017-03-28 Optio Labs, Inc. Systems and methods to enforce security policies on the loading, linking, and execution of native code by mobile applications running inside of virtual machines
US10432587B2 (en) * 2012-02-21 2019-10-01 Aventail Llc VPN deep packet inspection
EP2634993B1 (en) 2012-03-01 2017-01-11 Certicom Corp. Devices and methods for connecting client devices to a network
US9304801B2 (en) * 2012-06-12 2016-04-05 TELEFONAKTIEBOLAGET L M ERRICSSON (publ) Elastic enforcement layer for cloud security using SDN
US9166952B2 (en) 2012-10-15 2015-10-20 Thales Canada Inc Security device bank and a system including the and SD security device bank
KR101558054B1 (ko) * 2012-11-19 2015-10-06 삼성에스디에스 주식회사 안티 멀웨어 시스템 및 안티 멀웨어 시스템에서의 패킷 처리 방법
US9467326B2 (en) 2012-12-03 2016-10-11 Hewlett-Packard Development Company, L.P. Rate limiting mechanism based on device load/capacity or traffic content
US9015438B2 (en) 2012-12-03 2015-04-21 Aruba Networks, Inc. System and method for achieving enhanced performance with multiple networking central processing unit (CPU) cores
US9773107B2 (en) 2013-01-07 2017-09-26 Optio Labs, Inc. Systems and methods for enforcing security in mobile computing
US20140258511A1 (en) * 2013-03-11 2014-09-11 Bluebox Security Inc. Methods and Apparatus for Reestablishing Secure Network Communications
US20140283136A1 (en) * 2013-03-13 2014-09-18 Optio Labs, Inc. Systems and methods for securing and locating computing devices
US10033693B2 (en) 2013-10-01 2018-07-24 Nicira, Inc. Distributed identity-based firewalls
US9998438B2 (en) * 2013-10-23 2018-06-12 Microsoft Technology Licensing, Llc Verifying the security of a remote server
US9516061B2 (en) * 2013-11-26 2016-12-06 Cisco Technology, Inc. Smart virtual private network
WO2015089318A2 (en) * 2013-12-12 2015-06-18 Good Technology Corporation Secure communication channels
US9215213B2 (en) * 2014-02-20 2015-12-15 Nicira, Inc. Method and apparatus for distributing firewall rules
US9479475B1 (en) 2014-03-17 2016-10-25 Michael E. Mazarick System and method for IPv4 to IPv6 transition rather than an outage
US9503427B2 (en) 2014-03-31 2016-11-22 Nicira, Inc. Method and apparatus for integrating a service virtual machine
US9906494B2 (en) 2014-03-31 2018-02-27 Nicira, Inc. Configuring interactions with a firewall service virtual machine
US9215210B2 (en) 2014-03-31 2015-12-15 Nicira, Inc. Migrating firewall connection state for a firewall service virtual machine
US9392015B2 (en) * 2014-04-28 2016-07-12 Sophos Limited Advanced persistent threat detection
US10122753B2 (en) 2014-04-28 2018-11-06 Sophos Limited Using reputation to avoid false malware detections
US9917851B2 (en) 2014-04-28 2018-03-13 Sophos Limited Intrusion detection using a heartbeat
US10581852B2 (en) * 2014-05-14 2020-03-03 Sequitur Labs, Inc. Hardware implementation methods and system for secure, policy-based access control for computing devices
US9729512B2 (en) 2014-06-04 2017-08-08 Nicira, Inc. Use of stateless marking to speed up stateful firewall rule processing
US9825913B2 (en) 2014-06-04 2017-11-21 Nicira, Inc. Use of stateless marking to speed up stateful firewall rule processing
EP4216589A1 (en) * 2014-06-24 2023-07-26 Google LLC Mesh network commissioning
US11050857B2 (en) 2014-07-17 2021-06-29 Texas Instruments Incorporated Transmission control protocol (TCP) acknowledgement (ACK) packet suppression
JP6579735B2 (ja) * 2014-08-05 2019-09-25 キヤノン株式会社 情報処理システム、情報処理装置、情報処理システムの制御方法、情報処理装置の制御方法、及びプログラム
US9124638B1 (en) 2014-08-28 2015-09-01 Iboss, Inc. Applying group policies
US10462185B2 (en) 2014-09-05 2019-10-29 Sequitur Labs, Inc. Policy-managed secure code execution and messaging for computing devices and computing device security
US9407612B2 (en) * 2014-10-31 2016-08-02 Intel Corporation Technologies for secure inter-virtual network function communication
US10375193B2 (en) * 2014-11-26 2019-08-06 Hughes Network Systems, Llc Source IP address transparency systems and methods
US9692727B2 (en) 2014-12-02 2017-06-27 Nicira, Inc. Context-aware distributed firewall
US9614757B2 (en) * 2014-12-17 2017-04-04 Telefonaktiebolaget Lm Ericsson (Publ) Method and arrangement for relocating packet processing functions
IN2014MU04068A (zh) 2014-12-18 2015-06-05 Cyberoam Technologies Pvt Ltd
US9891940B2 (en) 2014-12-29 2018-02-13 Nicira, Inc. Introspection method and apparatus for network access filtering
US9807117B2 (en) * 2015-03-17 2017-10-31 Solarflare Communications, Inc. System and apparatus for providing network security
US10685130B2 (en) 2015-04-21 2020-06-16 Sequitur Labs Inc. System and methods for context-aware and situation-aware secure, policy-based access control for computing devices
US11847237B1 (en) 2015-04-28 2023-12-19 Sequitur Labs, Inc. Secure data protection and encryption techniques for computing devices and information storage
US11425168B2 (en) 2015-05-14 2022-08-23 Sequitur Labs, Inc. System and methods for facilitating secure computing device control and operation
US9755903B2 (en) 2015-06-30 2017-09-05 Nicira, Inc. Replicating firewall policy across multiple data centers
US9900285B2 (en) 2015-08-10 2018-02-20 International Business Machines Corporation Passport-controlled firewall
US10324746B2 (en) 2015-11-03 2019-06-18 Nicira, Inc. Extended context delivery for context-based authorization
US9917856B2 (en) 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US10412048B2 (en) 2016-02-08 2019-09-10 Cryptzone North America, Inc. Protecting network devices by a firewall
US9560015B1 (en) 2016-04-12 2017-01-31 Cryptzone North America, Inc. Systems and methods for protecting network devices by a firewall
US10135727B2 (en) 2016-04-29 2018-11-20 Nicira, Inc. Address grouping for distributed service rules
US10819418B2 (en) * 2016-04-29 2020-10-27 Honeywell International Inc. Systems and methods for secure communications over broadband datalinks
US10348685B2 (en) 2016-04-29 2019-07-09 Nicira, Inc. Priority allocation for distributed service rules
US11425095B2 (en) 2016-05-01 2022-08-23 Nicira, Inc. Fast ordering of firewall sections and rules
US11171920B2 (en) 2016-05-01 2021-11-09 Nicira, Inc. Publication of firewall configuration
US11258761B2 (en) 2016-06-29 2022-02-22 Nicira, Inc. Self-service firewall configuration
US11088990B2 (en) 2016-06-29 2021-08-10 Nicira, Inc. Translation cache for firewall configuration
EP3270560B1 (de) * 2016-07-12 2020-03-25 Siemens Aktiengesellschaft Verfahren zum aufbau gesicherter kommunikationsverbindungen zu einem industriellen automatisierungssystem und firewall-system
US10367757B2 (en) 2016-08-27 2019-07-30 Nicira, Inc. Extension of network control system into public cloud
US10341371B2 (en) 2016-08-31 2019-07-02 Nicira, Inc. Identifying and handling threats to data compute nodes in public cloud
US10333983B2 (en) 2016-08-30 2019-06-25 Nicira, Inc. Policy definition and enforcement for a network virtualization platform
US10938837B2 (en) 2016-08-30 2021-03-02 Nicira, Inc. Isolated network stack to manage security for virtual machines
US10700865B1 (en) 2016-10-21 2020-06-30 Sequitur Labs Inc. System and method for granting secure access to computing services hidden in trusted computing environments to an unsecure requestor
US10193862B2 (en) 2016-11-29 2019-01-29 Vmware, Inc. Security policy analysis based on detecting new network port connections
US10630507B2 (en) * 2016-11-29 2020-04-21 Ale International System for and method of establishing a connection between a first electronic device and a second electronic device
CN110168499B (zh) 2016-12-06 2023-06-20 Nicira股份有限公司 在主机上执行上下文丰富的基于属性的服务
US10581960B2 (en) 2016-12-22 2020-03-03 Nicira, Inc. Performing context-rich attribute-based load balancing on a host
US11032246B2 (en) 2016-12-22 2021-06-08 Nicira, Inc. Context based firewall services for data message flows for multiple concurrent users on one machine
US10812451B2 (en) 2016-12-22 2020-10-20 Nicira, Inc. Performing appID based firewall services on a host
US10802858B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Collecting and processing contextual attributes on a host
US10803173B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Performing context-rich attribute-based process control services on a host
US10805332B2 (en) 2017-07-25 2020-10-13 Nicira, Inc. Context engine model
CN106657134B (zh) * 2017-01-12 2020-01-07 比特大陆科技有限公司 稳定通信的方法、系统、挖矿服务器和客户端
US10708306B2 (en) 2017-06-15 2020-07-07 Palo Alto Networks, Inc. Mobile user identity and/or SIM-based IoT identity and application identity based security enforcement in service provider networks
WO2018231855A1 (en) * 2017-06-15 2018-12-20 Palo Alto Networks, Inc. Location based security in service provider networks
US10693918B2 (en) 2017-06-15 2020-06-23 Palo Alto Networks, Inc. Radio access technology based security in service provider networks
US10834136B2 (en) 2017-06-15 2020-11-10 Palo Alto Networks, Inc. Access point name and application identity based security enforcement in service provider networks
US10721272B2 (en) 2017-06-15 2020-07-21 Palo Alto Networks, Inc. Mobile equipment identity and/or IOT equipment identity and application identity based security enforcement in service provider networks
US11050789B2 (en) 2017-06-15 2021-06-29 Palo Alto Networks, Inc. Location based security in service provider networks
US10812532B2 (en) 2017-06-15 2020-10-20 Palo Alto Networks, Inc. Security for cellular internet of things in mobile networks
GB2564430C (en) * 2017-07-07 2021-02-17 Gurulogic Microsystems Oy Data communication system and method
CN107465752B (zh) * 2017-08-22 2021-02-05 苏州浪潮智能科技有限公司 一种连接管理方法及装置
US10567482B2 (en) 2017-08-24 2020-02-18 Nicira, Inc. Accessing endpoints in logical networks and public cloud service providers native networks using a single network interface and a single routing table
EP3673627B1 (en) 2017-08-27 2023-09-13 Nicira, Inc. Performing in-line service in public cloud
US10778651B2 (en) 2017-11-15 2020-09-15 Nicira, Inc. Performing context-rich attribute-based encryption on a host
US10862753B2 (en) 2017-12-04 2020-12-08 Nicira, Inc. High availability for stateful services in public cloud logical networks
US10601705B2 (en) 2017-12-04 2020-03-24 Nicira, Inc. Failover of centralized routers in public cloud logical networks
US10802893B2 (en) 2018-01-26 2020-10-13 Nicira, Inc. Performing process control services on endpoint machines
US10862773B2 (en) 2018-01-26 2020-12-08 Nicira, Inc. Performing services on data messages associated with endpoint machines
WO2019151916A1 (en) * 2018-02-05 2019-08-08 Telefonaktiebolaget Lm Ericsson (Publ) Method and radio access network node for handling a wireless device capable of alternating between idle and active state
US10715511B2 (en) 2018-05-03 2020-07-14 Honeywell International Inc. Systems and methods for a secure subscription based vehicle data service
US10819689B2 (en) 2018-05-03 2020-10-27 Honeywell International Inc. Systems and methods for encrypted vehicle data service exchanges
EP3584734A1 (de) * 2018-06-19 2019-12-25 Siemens Aktiengesellschaft Hardware-sicherheitsmodul
US11343229B2 (en) 2018-06-28 2022-05-24 Vmware, Inc. Managed forwarding element detecting invalid packet addresses
US11374794B2 (en) 2018-08-24 2022-06-28 Vmware, Inc. Transitive routing in public cloud
US11196591B2 (en) 2018-08-24 2021-12-07 Vmware, Inc. Centralized overlay gateway in public cloud
US11310202B2 (en) 2019-03-13 2022-04-19 Vmware, Inc. Sharing of firewall rules among multiple workloads in a hypervisor
CN109981640B (zh) * 2019-03-25 2021-07-23 新华三技术有限公司 连接建立方法和装置
CN110022590B (zh) * 2019-04-15 2021-03-16 上海未瞳信息技术有限公司 一种基于局域网集中管理的无线接入点注册系统
CN110351308B (zh) * 2019-08-20 2021-12-31 北京天融信网络安全技术有限公司 一种虚拟专用网络通信方法和虚拟专用网络设备
US11374909B2 (en) * 2019-11-22 2022-06-28 Flex Ltd. Use of trusted platform modules for cryptographic operations in an internet of things device
US11539718B2 (en) 2020-01-10 2022-12-27 Vmware, Inc. Efficiently performing intrusion detection
US11108728B1 (en) 2020-07-24 2021-08-31 Vmware, Inc. Fast distribution of port identifiers for rule processing
US11962584B2 (en) * 2020-07-27 2024-04-16 Twistlock, Ltd. Providing zero trust network security without modification of network infrastructure
US11829793B2 (en) 2020-09-28 2023-11-28 Vmware, Inc. Unified management of virtual machines and bare metal computers
US11818785B2 (en) * 2020-10-01 2023-11-14 Zebra Technologies Corporation Reestablishment control for dropped calls
US11899594B2 (en) 2022-06-21 2024-02-13 VMware LLC Maintenance of data message classification cache on smart NIC
US11928062B2 (en) 2022-06-21 2024-03-12 VMware LLC Accelerating data message classification with smart NICs

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6823462B1 (en) * 2000-09-07 2004-11-23 International Business Machines Corporation Virtual private network with multiple tunnels associated with one group name
CN1578215A (zh) * 2003-06-30 2005-02-09 微软公司 安全协议的自动协商系统和方法

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5864683A (en) 1994-10-12 1999-01-26 Secure Computing Corporartion System for providing secure internetwork by connecting type enforcing secure computers to external network for limiting access to data based on user and process access rights
US7120692B2 (en) * 1999-12-02 2006-10-10 Senvid, Inc. Access and control system for network-enabled devices
EP1118925B1 (en) * 2000-01-19 2004-11-10 Hewlett-Packard Company, A Delaware Corporation Security policy applied to common data security architecture
US20020035639A1 (en) * 2000-09-08 2002-03-21 Wei Xu Systems and methods for a packet director
US20020042875A1 (en) * 2000-10-11 2002-04-11 Jayant Shukla Method and apparatus for end-to-end secure data communication
US6954790B2 (en) * 2000-12-05 2005-10-11 Interactive People Unplugged Ab Network-based mobile workgroup system
US7328336B2 (en) * 2001-06-26 2008-02-05 Ncipher Corporation Ltd System and method for small-area system data processing
WO2003003660A1 (en) 2001-06-27 2003-01-09 Hyglo Ab System and method for establishment of virtual private networks using transparent emulation clients
US7546629B2 (en) 2002-03-06 2009-06-09 Check Point Software Technologies, Inc. System and methodology for security policy arbitration
US7197550B2 (en) * 2001-08-23 2007-03-27 The Directv Group, Inc. Automated configuration of a virtual private network
CA2462448C (en) * 2001-11-20 2010-04-27 Senvid, Inc. Access and control system for network-enabled devices
US7509687B2 (en) 2002-03-16 2009-03-24 Trustedflow Systems, Inc. Remotely authenticated operation method
US7415605B2 (en) * 2002-05-21 2008-08-19 Bio-Key International, Inc. Biometric identification network security
US7216369B2 (en) * 2002-06-28 2007-05-08 Intel Corporation Trusted platform apparatus, system, and method
JP4042776B2 (ja) * 2002-08-20 2008-02-06 日本電気株式会社 攻撃検知装置および攻撃検知方法
US7231664B2 (en) * 2002-09-04 2007-06-12 Secure Computing Corporation System and method for transmitting and receiving secure data in a virtual private group
US7685317B2 (en) 2002-09-30 2010-03-23 Intel Corporation Layering mobile and virtual private networks using dynamic IP address management
US7574738B2 (en) 2002-11-06 2009-08-11 At&T Intellectual Property Ii, L.P. Virtual private network crossovers based on certificates
US20040210623A1 (en) 2003-03-06 2004-10-21 Aamer Hydrie Virtual network topology generation
GB2399902A (en) 2003-03-28 2004-09-29 Hewlett Packard Development Co Security in trusted computing systems
US7478427B2 (en) 2003-05-05 2009-01-13 Alcatel-Lucent Usa Inc. Method and apparatus for providing adaptive VPN to enable different security levels in virtual private networks (VPNs)
US7808974B2 (en) 2003-06-19 2010-10-05 At&T Intellectual Property I, L.P. Method and apparatus for Voice over Internet Protocol telephony using a virtual private network
US7305705B2 (en) 2003-06-30 2007-12-04 Microsoft Corporation Reducing network configuration complexity with transparent virtual private networks
US7075933B2 (en) * 2003-08-01 2006-07-11 Nortel Networks, Ltd. Method and apparatus for implementing hub-and-spoke topology virtual private networks
US20050132229A1 (en) 2003-11-12 2005-06-16 Nokia Corporation Virtual private network based on root-trust module computing platforms
US20050114546A1 (en) 2003-11-20 2005-05-26 Heng-Chien Chen Method for establishing virtual intranet over internet based on a digital closed network constructed from a telephone exchange and a key telephone system and the virtual intranet structure using the same
US7769995B2 (en) * 2004-01-07 2010-08-03 Microsoft Corporation System and method for providing secure network access
US7164679B2 (en) 2004-01-12 2007-01-16 Ciena Corporation Scalable abstraction of topology across domain boundaries
EP2264956B1 (en) * 2004-07-23 2017-06-14 Citrix Systems, Inc. Method for securing remote access to private networks
US7590589B2 (en) 2004-09-10 2009-09-15 Hoffberg Steven M Game theoretic prioritization scheme for mobile ad hoc networks permitting hierarchal deference
US7809939B2 (en) * 2006-03-31 2010-10-05 Intel Corporation Trusted point-to-point communication over open bus
US8869262B2 (en) * 2006-08-03 2014-10-21 Citrix Systems, Inc. Systems and methods for application based interception of SSL/VPN traffic

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6823462B1 (en) * 2000-09-07 2004-11-23 International Business Machines Corporation Virtual private network with multiple tunnels associated with one group name
CN1578215A (zh) * 2003-06-30 2005-02-09 微软公司 安全协议的自动协商系统和方法

Also Published As

Publication number Publication date
US20100064133A1 (en) 2010-03-11
US8544081B2 (en) 2013-09-24
US8959334B2 (en) 2015-02-17
CN101543005A (zh) 2009-09-23
US20100037311A1 (en) 2010-02-11
CN101543004A (zh) 2009-09-23
GB0623101D0 (en) 2006-12-27
CN101543005B (zh) 2012-11-28

Similar Documents

Publication Publication Date Title
CN101543004B (zh) 安全网络体系结构
US10659434B1 (en) Application whitelist using a controlled node flow
US11381557B2 (en) Secure data transmission using a controlled node flow
US8082574B2 (en) Enforcing security groups in network of data processors
US8146145B2 (en) Method and apparatus for enabling enhanced control of traffic propagation through a network firewall
US7536715B2 (en) Distributed firewall system and method
US7574738B2 (en) Virtual private network crossovers based on certificates
Frankel et al. Guide to IPsec VPNs:.
US9591480B2 (en) Method and device for secure communication of a component of a vehicle with an external communication partner via a wireless communication link
Rauf et al. Security and privacy for IoT and fog computing paradigm
JP2005503047A (ja) 安全なネットワークを供給するための装置と方法
US20080072033A1 (en) Re-encrypting policy enforcement point
KR20060044494A (ko) 인증 서버와 연동되는 네트워크 관리 시스템 및 네트워크관리 서버
Lefebvre et al. On SDPN: integrating the software-defined perimeter (SDP) and the software-defined network (SDN) paradigms
EP2095598B1 (en) Secure network architecture
Kwon et al. Mondrian: Comprehensive Inter-domain Network Zoning Architecture.
EP1976219A1 (en) Secure network architecture
EP1290852A2 (en) Distributed firewall system and method
Tian et al. Network Security and Privacy Architecture
Esper et al. Implementing Protection on Internal Networks using IPSec Protocol
Murhammer et al. A Comprehensive Guide to Virtual Private Networks, Volume III: Cross-Platform Key and Policy Management
Hares et al. Interface to the Routing System (I2RS) Security-Related Requirements
Hares et al. RFC 8241: Interface to the Routing System (I2RS) Security-Related Requirements
CN114640514A (zh) 安全服务系统、访问控制方法和计算机可读存储介质
Frankel et al. SP 800-77. Guide to IPsec VPNs

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant