CN102687458A - 虚拟主机安全简档 - Google Patents

Abstract

为多家庭设备连接到的每个网络创建并应用虚拟防火墙简档的体系结构。在一种实现中，所述虚拟简档可以基于所述网络的地址范围。这确保了多家庭设备到多个网络的无缝并发连接性。

Description

虚拟主机安全简档

背景

主机防火墙通常取决于主机所连接到的网络而配置不同的防火墙简档。目前，可提供三种标准类型的简档——工作、家庭和公共。换言之，如果用户连接到工作网络，则主机防火墙在工作简档中；如果用户在家，则主机防火墙在家庭简档中。公共防火墙通常很受限制，而工作/家庭防火墙通常限制较少。

在多家庭（multi-homed）机器（同时连接到多个网络）中，主机防火墙需要确定该机器的防火墙简档。在这种情况下，主机防火墙选择防火墙简档中最受限制的。例如，如果该机器连接到企业网络（企业内网）和本地商业处的公共网络两者，则应用公共简档，因为公共简档通常是这些简档中限制较多的。然而，这对无缝连接性来说是障碍，因为企业内网上的机器由于为防火墙选择的限制性简档而不能联系此机器。

概述

下面提供了简化的概述，以便提供对此处所描述的一些新颖实施例的基本理解。本概述不是广泛的概览，并且它不旨在标识关键/重要元素或描绘本发明的范围。其唯一目的是以简化形式呈现一些概念，作为稍后呈现的更具体描述的序言。

所公开的体系结构允许为机器（设备）连接到的每个网络创建和应用虚拟安全简档，诸如防火墙简档。每个安全简档包括根据该简档约束设备连接性的一组规则。在一个实现中，该虚拟安全简档可基于单一网络或在多个网络上的地址范围。例如，如果多家庭机器M连接到网络A（其具有地址范围A1-A10）和网络B（其具有地址范围B1-B10），则可创建两组安全规则（例如，防火墙）。对于来自网络A的所有通信量，一组规则被约束为适用于地址范围（A1-A10），而对于来自网络B的所有通信量，另一组规则被约束为适用于地址范围（B1-B10）。这确保多家庭机器M到网络A和网络B两者的无缝并发连接性。

为了实现上述及相关目的，本文结合下面的描述和附图来描述某些说明性方面。这些方面指示了可以实践本文所公开的原理的各种方式，并且所有方面及其等效方面旨在落入所要求保护的主题的范围内。结合附图阅读下面的详细描述，其它优点和新颖特征将变得显而易见。

附图简述

图1示出根据所公开的体系结构的计算机实现的安全系统。

图2示出安全系统的一替代实施例，其进一步包括管理组件。

图3示出安全系统的一替代实施例，其基于网络寻址（addressing）应用防火墙简档。

图4示出用于多家庭设备的计算机实现的安全方法。

图5示出图4的方法的其它方面。

图6示出可用于根据所公开的体系结构的执行用于多家庭的安全简档管理和利用的计算系统的框图。

图7示出执行多家庭设备的安全简档管理和利用的计算环境的示意框图。

详细描述

所公开的体系结构允许为多家庭设备中的相应地不同通信连接使用不同的安全简档。以防火墙为上下文，多个虚拟主机防火墙简档允许主机防火墙基于例如该设备连接到的每个网络的地址范围来创建多个防火墙简档。这允许与多家庭设备连接到的所有网络的无缝连接性。更具体而言，如果一设备连接到两个网络，则创建并施加两组防火墙规则——（例如，为网络A的地址范围应用一组规则，而为网络B的地址范围应用另一组规则）。

现在参考附图，全部附图中相同的参考编号用于指代相同的元素。在下面的描述中，为了进行说明，阐述了很多具体细节以便提供对本发明的全面理解。然而，显而易见，可以没有这些具体细节的情况下实施各新颖实施方式。在其他情况下，以框图形式示出了各个公知的结构和设备以便于描述本发明。本发明将涵盖落入所要求保护的主题的精神和范围内的所有修改、等效方案和替换方案。

图1示出根据所公开的体系结构的计算机实现的安全系统100。系统100包括一组虚拟安全简档102，该组虚拟安全简档102为多家庭设备104提供通信安全。该组安全简档102与连接106相关联，数据分组可从该连接106接收。安全简档102还可与多个物理连接相关联，意味着关系可以是1对多，以及1对1。系统100还可包括用于响应于从连接106的多个连接接收数据分组而自动选择并且应用该组安全简档102的安全简档的安全组件108。安全组件108还可由管理员策略来驱动。

该组安全简档102可包括防火墙简档，所述防火墙简档配置到多家庭设备104的安全访问。该组安全简档102可包括与虚拟网络相关联的安全简档。即，该安全简档配置用于与该虚拟网络交互的安全设置。附加地或替代地，该组安全简档102可包括与物理网络相关联的安全简档。即，该安全简档配置用于与该物理网络交互的安全设置。

该组安全简档102可包括约束到与相应地不同的连接相关联的不同地址（例如，网络）的通信的安全简档。换言之，第一安全简档包括用于配置在由第一地址或地址范围限定的第一连接上的安全通信的设置，而第二安全简档包括用于配置在由第二地址或地址范围限定的第二连接上的安全通信的设置。注意，连接106可以是网络连接和/或内部应用和进程连接。

图2示出安全系统的一替代实施例200，其进一步包括管理组件202。管理组件202允许安全简档102的创建。管理组件202还可处理安全简档102的存储。例如，存储可以是到网络存储的，并且此后可按需进行选择、检索以及下载到该多家庭设备。替代地，或与其相组合，可将适当的简档下载到该多家庭设备进行存储，然后在用活动连接（例如，内部进程连接和/或外部连接）使用时高速缓存。

在本示例性说明中，该组安全简档102包括：第一简档204、第二简档206、以及第三简档208，每个简档对应于连接106中的三个：第一活动连接210、第二活动连接212和第三非活动连接214。一旦系统200（例如，安全组件108）确定一连接是活动的，则相应的安全简档也被安全组件108激活。对连接是活动还是非活动的这种判定可以通过检查通过连接传递的分组来作出。因此，第一简档204和第二简档206被激活并提供安全通信。换言之，第一安全简档204向第一连接210提供安全通信而第二安全简档向第二连接212提供安全通信。

此外，第一和第二安全简档（204和206）所提供的安全性是脱节的，因为第一安全简档204不影响第二连接212的安全性，而第二安全简档206不影响第一连接210的安全性。

图3示出安全系统的一替代实施例300，其基于网络寻址（addressing）应用防火墙简档。在一个实现中，虚拟安全简档102可基于单一网络或在多个网络上的网络地址或网络地址范围。这里，多家庭设备104的安全组件108感测到网络连接302中的两个是活动的：第一网络连接304和第二网络连接306。安全组件108可检查分组以确定哪些网络连接302是活动的，并且确定要选择并应用（安全简档102的）哪些防火墙简档。

例如，如果多家庭设备104活动地连接到第一网络连接304（其具有地址范围A1-10）和第二网络连接306（其具有地址范围B1-B10），则可创建并应用两组防火墙安全规则。对于来自第一网络连接304的所有通信量，一组防火墙规则——第一防火墙简档308——被约束为适用于地址范围（A1-A10），而对于来自第二网络连接306的所有通信量，第二组防火墙规则——第二防火墙简档310——被约束为适用于地址范围（B1-B10）。这确保多家庭设备104到第一和第二网络连接（304和306）两者的无缝并发连接性。

同一防火墙规则可被应用于多个简档也在即时体系结构的构想内——每个防火墙规则可采用它能适用的一组简档。因此，存在防火墙规则、防火墙简档、以及连接。每个防火墙规则可属于一个或多个简档。每个简档可被应用于一个或多个连接。

换言之，计算机实现的安全系统300包括用于为多家庭104设备提供通信安全的一组防火墙简档。所述防火墙简档与可从其接收数据分组的连接302相关联。系统300还包括安全组件108，安全组件108自动地选择具体的防火墙简档并将其应用于连接302中的活动连接。

该组防火墙简档配置对多家庭设备104的防火墙访问。该组防火墙简档包括与虚拟网络、物理网络和/或虚拟网络和物理网络两者相关联的防火墙简档。该组防火墙简档包括约束到与相应地不同的网络连接相关联的不同网络地址的通信的防火墙简档。系统300还可包括用于创建防火墙简档并将防火墙简档下载到多家庭设备104的安全组件108的管理组件202（未示出）。

此处所包括的是一组表示用于执行所公开的架构的新颖方面的示例性方法的流程图。尽管出于解释简明的目的，此处例如以流程图形式示出的一个或多个方法被示出并且描述为一系列动作，但是可以理解，各方法不受动作的次序的限制，因为根据本发明，某些动作可以按与此处所示并描述的不同的次序和/或与其他动作同时发生。例如，本领域的技术人员将明白并理解，方法可被替换地表示为一系列相互相关联的状态或事件，诸如以状态图的形式。此外，并非方法中所示出的所有动作都是新颖实现所必需的。

图4示出用于多家庭设备的计算机实现的安全方法。在400，在该多家庭设备处检测活动连接。在402，为每个活动连接选择安全简档。在404，应用每个活动连接的安全简档以提供通过所述活动连接的安全通信。

图5示出图4的方法的其它方面。在500，创建所述安全简档并将其下载到该多家庭设备。在502，如在相应安全简档中所限定的，基于与一活动连接相关联的地址范围约束到该活动连接的通信。在504，如在该安全简档中所限定的，约束到虚拟网络的通信。在506，如在该安全简档中所限定的，约束到物理网络的通信。在508，将所述安全简档（其为防火墙简档）存储在主机防火墙上以根据活动连接来选择性地施加。

如在本申请中所使用的，术语“组件”和“系统”旨在表示计算机相关的实体，其可以是硬件、硬件和软件的组合、软件、或者执行中的软件。例如，组件可以是，但不仅限于，在处理器上运行的进程、处理器、硬盘驱动器、多个存储驱动器（光学，固态和/或磁存储介质）、对象、可执行程序、运行的线程、程序、和/或计算机。作为说明，在服务器上运行的应用和服务器两者都可以是组件。一个或多个组件可以驻留在进程和/或执行的线程内，且组件可以位于一个计算机上和/或分布在两个或更多的计算机之间。词语“示例性”在此处可用于表示用作示例、实例或说明。在此被描述为“示例性”的任何方面或设计并不一定要被解释为相比其它方面或设计更优选或有利。

现在参考图6，示出了可用于根据所公开的体系结构的执行用于多家庭的安全简档管理和利用的计算系统600的框图。为了提供用于其各方面的附加上下文，图6及以下讨论旨在提供对其中可实现各方面的合适的计算系统600的简要概括描述。尽管以上描述是在可在一个或多个计算机上运行的计算机可执行指令的一般上下文中进行的，但是本领域的技术人员将认识到，新颖实施例也可结合其它程序模块和/或作为硬件和软件的组合来实现。

用于实现各方面的计算系统600包括计算机602，其具有处理单元604、诸如系统存储器606等的计算机可读存储、以及系统总线608。处理单元604可以是各种市场上可买到的处理器中的任一种，诸如单处理器、多处理器、单核单元以及多核单元。此外，本领域的技术人员可以理解，各新颖方法可用其它计算机系统配置来实施，包括小型机、大型计算机、以及个人计算机（例如，台式、膝上型等）、手持式计算设备、基于微处理器的或可编程的消费电子产品等，其每一个都可在操作上耦合到一个或多个相关联的设备。

系统存储器606可包括计算机可读存储，如易失性（VOL）存储器610（例如，随机存取存储器（RAM））和非易失性存储器（NON-VOL）612（如ROM、EPROM、EEPROM等）。基本输入/输出系统（BIOS）可被存储在非易失性存储器612中，并且包括诸如在启动期间便于在计算机602内的组件之间传递数据和信号的基本例程。易失性存储器610还可包括诸如静态RAM等高速RAM来用于高速缓存数据。

系统总线608提供了用于包括，但不限于存储器子系统606的系统组件对处理单元604的接口。系统总线608可以是若干种总线结构中的任一种，这些总线结构还可使用各类可购买到的总线体系结构中的任一种互连到存储器总线（带有或没有存储器控制器）以及外围总线（例如，PCI、PCIe、AGP、LPC等）。

计算机602还包括机器可读存储子系统614以及用于将存储子系统614接口到系统总线608和其他所需计算机组件的存储接口616。存储子系统614可包括例如硬盘驱动器（HDD）、磁软盘驱动器（FDD）和/或光盘存储驱动器（例如，CD-ROM驱动器、DVD驱动器）中的一个或多个。存储接口616可包括诸如，例如EIDE、ATA、SATA和IEEE 1394等接口技术。

一个或多个程序和数据可被存储在存储器子系统606、机器可读和可移动存储器子系统618（例如，闪存驱动器形状因子技术）和/或存储子系统614（例如，光、磁、固态）中，这些程序和数据包括操作系统620、一个或多个应用程序622、其他程序模块624以及程序数据626。

一个或多个应用程序622、其他程序模块624以及程序数据626可包括例如图1的系统100的实体和组件、图2的系统200的实体和组件、图3的系统300的实体和组件、以及图4-5。

一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、方法、数据结构、其他软件组件等等。操作系统620、应用622、模块624和/或数据626的全部或部分也可被高速缓存在诸如易失性存储器610等存储器中。应该明白，所公开的体系结构可以用各种市场上可购得的操作系统或操作系统的组合（例如，作为虚拟机）来实施。

存储子系统614和存储器子系统（606和618）用作用于数据、数据结构、计算机可执行指令等的易失性和非易失性存储的计算机可读介质。计算机可读介质可以是可由计算机602访问的任何可用介质，且包括可移动和不可移动的易失性和非易失性、内部和/或外部介质。对于计算机602，介质容纳以任何合适的数字格式对数据的存储。本领域的技术人员应当理解，可使用其他类型的计算机可读介质，如zip驱动器、磁带、闪存卡、闪存驱动器、磁带盒等来存储用于执行所披露的体系结构的新颖方法的计算机可执行指令。

用户可以使用诸如键盘和鼠标等外部用户输入设备628来与计算机602、程序和数据交互。其他外部用户输入设备628可包括话筒、IR（红外）遥控器、操纵杆、游戏手柄、照相机识别系统、指示笔、触摸屏、姿势系统（例如，眼移动、头移动等）和/或类似物。在计算机602是例如便携式计算机的情况下，用户可以使用诸如触摸垫、话筒、键盘等板载用户输入设备630来与计算机602、程序和数据交互。这些和其它输入设备通过输入/输出（I/O）设备接口632经由系统总线608连接到处理单元604，但也可通过其它接口连接，如并行端口、IEEE 1394串行端口、游戏端口、USB端口、IR接口等。I/O设备接口632也便于输出外围设备634的使用，如打印机、音频设备、摄像设备等，如声卡和/或板载音频处理能力。

一个或多个图形接口636（通常也称为图形处理单元（GPU））提供计算机602和外部显示器638（例如，LCD、等离子）和/或板载显示器640（例如，对于便携式计算机）之间的图形和视频信号。图形接口636也可作为计算机系统板的一部分来制造。

计算机602可以使用经由有线/无线通信子系统642到一个或多个网络和/或其他计算机的逻辑连接在联网环境（例如，基于IP的）中操作。其他计算机可包括工作站、服务器、路由器、个人计算机、基于微处理器的娱乐设备、对等设备或其他常见的网络节点，并且通常包括以上相对于计算机602描述的许多或所有元件。逻辑连接可包括到局域网（LAN）、广域网（WAN）热点等的有线/无线连接。LAN和WAN联网环境常见于办公室和公司，并且方便了诸如内联网等企业范围计算机网络，所有这些都可连接到例如因特网等全球通信网络。

当在联网环境中使用时，计算机602经由有线/无线通信子系统642（例如，网络接口适配器、板载收发机子系统等）连接到网络来与有线/无线网络、有线/无线打印机、有线/无线输入设备644等通信。计算机602可包括用于通过网络建立通信的调制解调器或其他装置。在联网环境中，相对于计算机602的程序和数据可被存储在远程存储器/存储设备中，如与分布式系统相关联。应该理解，所示网络连接是示例性的，并且可以使用在计算机之间建立通信链路的其他手段。

计算机602可用于使用诸如IEEE802.xx标准家族等无线电技术来与有线/无线设备或实体通信，例如在操作上安置在与例如打印机、扫描仪、台式和/或便携式计算机、个人数字助理（PDA）、通信卫星、任何一件与无线可检测标签相关联的设备或位置（例如，电话亭、报亭、休息室）以及电话的无线通信（例如，IEEE802.11空中调制技术）中的无线设备。这至少包括对于热点的Wi-Fi（或无线保真）、WiMax，以及BluetoothTM无线技术。由此，通信可以是如对于常规网络那样的预定义结构，或者仅仅是至少两个设备之间的自组织（ad hoc）通信。Wi-Fi网络使用称为IEEE802.11x（a、b、g等）的无线电技术来提供安全、可靠、快速的无线连接。Wi-Fi网络可用于将计算机彼此连接、连接到因特网以及连接到有线网络（使用IEEE 802.3相关的介质和功能）。

现在参考图7，示出了执行多家庭设备的安全简档管理和利用的计算环境700的示意框图。环境700包括一个或多个客户端702。客户端702可以是硬件和/或软件（例如，线程、进程、计算设备）。例如，客户端702可以容纳cookie和/或相关联的上下文信息。

环境700还包括一个或多个服务器704。服务器704也可以是硬件和/或软件（例如，线程、进程、计算设备）。服务器704可以例如通过使用本体系结构来容纳线程以执行变换。客户端702和服务器704之间的一种可能的通信可以是以适用于在两个或更多计算机进程之间传输的数据包的形式。例如，数据包可以包括cookie和/或相关联的上下文信息。环境700包括可以用来促进客户端702和服务器704之间通信的通信框架706（例如，诸如因特网等全球通信网络）。

通信可以经由有线（包括光纤）和/或无线技术来促进。客户端702可操作地连接到一个或多个客户端数据存储708，可以使用这些客户端数据存储来存储客户端702本地的信息（例如，cookie和/或相关联的上下文信息）。同样地，服务器704可以在操作上连接到可以用来存储服务器704本地的信息的一个或多个服务器数据存储710。

上面描述的包括所公开的体系结构的各示例。当然，描述每一个可以想到的组件和/或方法的组合是不可能的，但本领域内的普通技术人员应该认识到，许多其他组合和排列都是可能的。因此，该新颖体系结构旨在涵盖所有这些落入所附权利要求书的精神和范围内的更改、修改和变化。此外，就在详细描述或权利要求书中使用术语“包括”而言，这一术语旨在以与术语“包含”在被用作权利要求书中的过渡词时所解释的相似的方式为包含性的。

Claims (15)

1.一种计算机实现的安全系统，包括：

为多家庭设备提供通信安全的一组安全简档，所述安全简档与连接相关联，从所述连接能接收数据分组；以及

用于响应于从多个连接接收数据分组而自动选择并应用安全简档的安全组件。

2.如权利要求1所述的系统，其特征在于，所述连接是网络连接。

3.如权利要求1所述的系统，其特征在于，所述一组安全简档包括防火墙简档，所述防火墙简档配置到所述多家庭设备的安全访问。

4.如权利要求1所述的系统，其特征在于，所述一组安全简档包括与虚拟网络相关联的安全简档。

5.如权利要求1所述的系统，其特征在于，所述一组安全简档包括与物理网络相关联的安全简档。

6.如权利要求1所述的系统，其特征在于，所述一组安全简档包括约束到与相应地不同的连接相关联的不同网络地址的通信的安全简档。

7.如权利要求1所述的系统，其特征在于，还包括用于创建所述安全简档并将所述安全简档下载到所述多家庭设备的所述安全组件的管理组件。

8.一种用于多家庭设备的计算机实现的安全方法，包括：

检测所述多家庭设备处的活动连接；

为每个活动连接选择安全简档；以及

应用每个活动连接的所述安全简档以提供通过所述活动连接的安全通信。

9.如权利要求8所述的方法，其特征在于，还包括创建所述安全简档并将所述安全简档下载到所述多家庭设备。

10.如权利要求8所述的方法，其特征在于，还包括，如在相应安全简档中所限定的，基于与一活动连接相关联的地址范围约束到所述活动连接的通信。

11.如权利要求8所述的方法，其特征在于，还包括，如在所述安全简档中所限定的，约束到虚拟网络的通信。

12.如权利要求8所述的方法，其特征在于，还包括，如在所述安全简档中所限定的，约束到物理网络的通信。

13.如权利要求8所述的方法，其特征在于，还包括将所述安全简档存储在主机防火墙上以根据活动连接选择性地施加，其中所述安全简档是防火墙简档。

14.如权利要求8所述的方法，其特征在于，还包括，基于与一活动连接相关联的地址范围将相应的防火墙简档应用到所述活动连接，其中所述防火墙简档是安全简档。

15.如权利要求8所述的方法，其特征在于，所述活动连接是网络连接。

Images