CN105210408A - 被卸载的安全即服务 - Google Patents

Abstract

在一种实现中，移动网络中的流量被卸载至安全即服务服务器或云服务器。移动网络中的移动访问网关(MAG)识别被配置用于在移动网络上进行通信的一个或多个移动节点。MAG接收包括移动节点的地址的消息，并且基于该消息发送请求至安全即服务服务器。MAG根据该消息将流量流转发至安全即服务服务器，该安全即服务服务器被配置为检测流量流中的恶意软件的指示和/或根据用户配置文件过滤流量流的内容。

Description

被卸载的安全即服务

技术领域

本公开总地涉及移动数据流量领域，更具体地涉及针对安全应用的被卸载的移动数据流量。

背景技术

移动数据流量是指移动网络(例如，蜂窝网络)上的数据流量。智能手机的出现使得全世界的移动数据流量在近五年以每年翻倍的速度增长。目前的移动数据流量是2000年的全球互联网总量的8倍。预期移动数据流量的数量未来将以指数的速率继续增长。到2016年，预计移动数据流量将增长18倍。预计移动连接设备的数量将超过世界人口的数量。

移动网络运营商继续开发新的策略以容纳指数增长的移动数据流量。一些策略涉及在移动网络的最近的访问边缘卸载IP流。数据卸载采用并行或补充网络技术来递送最初去往蜂窝网络的数据。该方法导致移动分组内核的有效使用并且降低了传输成本。终端用户享受更高的带宽以及更低的服务成本。然而，使用传统技术无法将一些IP流卸载到补充网络。

附图说明

这里参考以下附图描述当前实施例中的示例实施例。

图1示出了用于卸载安全即服务的示例网络。

图2示出了用于卸载安全即服务的网络的另一示例。

图3示出了用于图2或图1的网络的示例网络设备。

图4示出了用于卸载安全即服务的示例时序图。

图5示出了用于卸载安全即服务的示例流程图。

具体实施方式

总述

在一个实施例中，一种方法包括：识别被配置用于在蜂窝网络上进行通信的移动节点；接收用于卸载流量流的消息，其中该消息包括移动节点的地址；基于该消息发送请求至安全即服务服务器(securityasaserviceserver)；以及根据该消息转发流量流至安全即服务服务器。

在另一个实施例中，一种装置至少包括通信接口和控制器。通信接口被配置为接收用于卸载移动网络上的移动节点的流量流的消息，并且该消息包括移动节点的地址。控制器被配置为基于该消息生成针对安全即服务服务器的请求，并且根据该消息将流量流路由至安全即服务服务器。

在又一个实施例中，一种计算机可读介质包括指令，以识别用于在移动网络上进行通信的移动节点，接收用于卸载流量流的消息，其中该消息包括移动节点的地址，生成将流量流卸载到安全即服务服务器的请求，并且将流量流转发至安全即服务服务器，从而使得安全即服务服务器被配置为修改流量流。

示例实施例

代理移动IPv6为至少一个移动节点(MN)提供移动管理。尽管描述符是“IPv6”，但是移动节点可以是单栈节点(比如，仅是IPv4节点或仅是IPv6节点)，或者移动节点可以是双栈节点(比如，具有IPv4和IPv6性能的节点)。MN避开了IP移动信令。相反，移动访问网关(MAG)被配置为代表与MAG相关联的MN执行移动信令。MAG是网络设备，该网络设备可以是路由器。在其他实现中，MAG可以是网关、集线器、交换机、或其他网络设备。MAG可以是用于MN的访问路由器(第一跳路由器)。也就是说，MAG作为第一跳路由器为MN提供至互联网的连接。

本地移动锚点(LMA)是代理移动IPv6中用于MN的归属代理。LMA存储到达每个MN所需的所有路由信息。移动节点被分配以来自归属网络的地址。移动节点与转交地址相关联，该转交地址提供关于移动节点的当前位置的信息。转交地址由MAG代表移动节点提供(如在2008年出版的请求注解(RFC)5213中所描述的)。寻址到移动节点的归属地址的IPv6分组可以通过LMA被路由至其转交地址。LMA是移动节点的归属链路上的路由器，移动节点已经向LAM注册了其转交地址。当移动节点没有被连接至归属网络时，归属代理会拦截归属链路上的寻址到归属地址的分组、封装这些分组、并且将这些分组隧道传送至移动节点的注册的转交地址。

在针对IPv6的PMIPv6中，移动节点可以被分配以来自归属网络和本地访问网络二者的前置代码。如果移动节点使用由本地访问网络提供的前置代码到达互联网中的某个目的地(例如，web服务器)，则基于在MAG和LMA之间协商的安全策略的流量将经受检查，并且被MAG转发至云服务。在这种情景中MAG用作云连接器。

图1示出了用于卸载安全即服务的示例网络。该网络包括本地访问网络部分100和归属网络部分102，每个部分都被连接到互联网111。本地访问网络100包括至少一个移动节点101和移动访问网关(MAG)103。移动访问网关103可以与互联网111直接连接，或通过云服务109与互联网111连接。本地访问网络100还可以包括网络地址转换设备和本地服务。归属网络部分102包括被配置为通过蜂窝网络访问移动内容106的本地移动锚点105。

卸载代理移动IPv6域中的MAG和LMA之间的流量的说明在2012年2月9日出版的、可以在http：//tools.ietf.org/html/draft-ietf-netext-pmipv6- sipto-option-05得到的工作草案“IPv4TrafficOffloadSelectorOptionforProxyMobileIPv6”中被描述。卸载流量包括IP流。IP流是包括基于源地址、目的地地址、源端口、目的地端口、或另一指示符的常用流量选择器的一组IP分组。卸载流量被直接路由至本地访问网路部分100，而不被路由至归属网络部分102。

MAG103被配置为通过使用流量选择器识别能够被卸载的流量来卸载流量。在一个示例中，超文本传输协议(HTTP)被MAG103卸载，并且其它流被隧道传送至LMA105和归属网络部分102。可以使用无线本地访问网络(WLAN)或其他访问网络将卸载流量路由至互联网111。

卸载流量有助于优化MN的速度以及MN的操作者的用户体验。然而，卸载流量不会经受由归属网络部分102提供的网络安全服务。这些网络安全服务包括恶意软件检查。恶意软件可以包括病毒、流氓软件、和其它安全威胁。

MAG103被配置为将流量重定向至提供云服务109的基于云的安全设备。MAG103可以执行云连接器，以将特定的IP流连接至基于云的安全设备。云连接器是存储在MAG103中并由MAG103执行或由MAG103托管的一组指令，该组指令与MAG103的路由指令结合以便提供云服务109。云连接器生成与IP流相关联的识别消息。识别消息将MN与IP流相关联。识别消息可以为IP流指定安全策略。安全策略定义将在IP流上执行的一个或多个安全服务。

在一个示例中，MAG103可以从LMA105查询与特定的MN101相关联的安全策略。LMA105包括将多个MN与相应的安全策略相关联的、存储在存储器中的安全数据库。安全策略根据服务水平协议(SLA)(比如，高水平SLA或策略以及低水平SLA或策略)变化。高水平策略可以基于用户的年龄进行成人内容过滤或家长控制。高水平策略可以阻止流氓软件或恶意内容的下载。低水平策略可以被配置为阻止来自任意外部源的流量，或阻止来自没有列出之前来自移动节点的输出分组的源的流量。低水平策略可以限定传输控制协议(TCP)连接的打开只能从归属网络被打开。

LMA105向MAG103提供适当的安全策略。MAG103基于安全策略选择云服务109，或者在IP流的识别消息中包括表明安全策略的数据。

云服务109是软件即服务(SaaS)的示例。云服务可以是由加利福尼亚圣何塞市思科系统公司提供的CiscoScanSafeCloudWebSecurity。云服务109提供安全服务。安全服务包括恶意软件阻止、内容过滤、以及统计信息收集。安全服务提供恶意软件阻止，作为对抗目标为移动节点的病毒、间谍软件、以及其它流氓软件的保护措施。安全服务提供内容过滤，以限制在移动节点处接收的内容的类型。内容过滤可以是基于家长控制的，或者可以是针对移动热点或公共网络专门定制的过滤。内容过滤可以是基于用户配置文件的。安全服务通过对数据流进行计数来提供统计信息收集。例如，可以对流中的分组数目或数据量进行计数，并且将计数结果报告至服务提供者。替代地或另外，云服务109可以提供垃圾邮件过滤。云服务109可以包括电子邮件过滤器。电子邮件过滤器可以包括诸如关键字、地址整理、以及已知垃圾邮件寄送者的列表之类的条件。

LMA105将流量卸载至MAG103。MAG103将流量路由至去往互联网111的路由中的云服务109，并且来自互联网111的流量通过云服务109返回。

图2示出了用于卸载安全即服务的网络的另一示例。图2包括被连接到MAG103的多个移动设备101a-c。移动设备101a-c可以是蜂窝设备(例如，3G、4G、4G-LTE、或以后开发的移动标准)、无线保真设备(例如，IEEE802.11标准族)、或其他类型的设备。移动设备101a-c可以被配置以诸如WiMAX、第3代合作伙伴计划(3GPP)标准、3GPP2、以及基于WLAN的访问架构之类的访问技术。

MAG103与LMA105和归属认证、授权、以及计费(HAAA)服务器107相耦合。LMA105管理移动设备101a-c的路由信息。每个移动节点被分配以提供关于移动节点的当前位置的信息的转交地址。HAAA服务器105位于用户的归属网络中。分布式系统的安全架构使能控制哪些用户被允许访问到哪些服务、以及它们已经使用多少资源。HAAA服务器107可以被配置为执行远程认证拨号用户服务(RADIUS)协议或直径(diameter)协议。

MAG103被配置为根据IP流识别移动设备101a-c中的一个移动设备。HAAA服务器107授权和/或认证进行本地网络访问的移动节点。HAAA服务器107还可以被配置为向MAG103提供移动节点的策略配置文件。本地网络认证移动节点，并且将表明认证的数据发送至MAG103。

响应于对移动节点的认证，MAG103生成代理绑定更新(PBU)。PBU是包括用于在归属网络接口的网络前置代码和移动节点的转交地址之间建立绑定的数据的请求消息。MAG103向LMA105发送PBU。

LMA105授权接收的PBU，并且利用代理绑定确认(PBA)作为应答消息来对MAG103进行响应。可以通过使用认证、授权、以及计费协议(例如，直径协议、RADIUS)查询HAAA服务器107来执行对PBU的授权。LMA105还可以代表移动节点为移动会话建立路由和隧道。

LMA105获取包括针对移动节点的策略配置文件的识别消息。当直径协议被用作认证、授权、以及计费协议时，策略配置文件可以被编码为属性值对(AVP)分组。MAG103接收包括用于卸载流量流的策略配置文件的识别消息。该识别消息还包括移动节点的地址。

MAG103被配置为向HAAA107通告云连接器认知和性能。HAAA107利用预定的云连接器配置文件对MAG103进行响应。MAG103被配置为基于识别消息向云服务109发送请求。在与云服务109建立连接后，MAG103根据识别消息向云服务109转发IP流。

图3示出了用于图2或图1的网络的示例网络设备300。网络设备300至少包括存储器301、控制器303、和通信接口305。在一个示例中，数据库307(而不是HAAA服务器107或LMA105)存储策略配置文件。另外，可以提供不同的或更少的组件。不同的网络设备可以具有相同或不同的组件部署。

网络设备300可以是MAG或LMA。网络设备300可以执行上述实施例，其中网络设备300生成PBU，HAAA服务器107授权PBU并且利用移动节点的策略配置文件进行响应。替代地，网络设备300可以被配置为在分布式系统中采用面向消息的协议传送数据。这种中间件协议的示例是可扩展消息出席协议(XMPP)。XMPP可以被称为发布订阅系统、实时通信协议，或者即时通讯协议。其它这种协议(例如，针对即时消息和出席扩展的会话发起协议(SIMPLE))可以被使用。

发布控制系统被配置为定义和创建主题，并且通过被广播至所有订阅特定主题的实体的事件通知来发布信息。MAG103被配置为充当XMPP客户端。例如，MAG103向LMA105注册其本身，LMA105用作XMPP服务器。MAG103被配置为查询移动节点的策略配置文件。策略配置文件可以被表示为抽象模型，该抽象模型允许XMPP客户端根据MAG103的性能解析并应用策略。

图4使用即时通讯实施例示出了包括用于卸载安全即服务的阶段A到J的可选结合的示例时序图。阶段A到J中任意数目的阶段可以被包括，并且阶段A到J可以如所包含的协议所允许的被以不同顺序或同时或重叠地执行。

网络设备300可以用作MAG103。在卸载安全即服务之前，网络设备300首先执行流量卸载协商。控制器303被配置为在阶段A执行与移动节点101的第2层附接，该阶段包括移动节点101的识别。如阶段B所示，控制器30协商可扩展认证协议(EAP)认证。利用HAAA服务器107进行的认证可以被省去。

用于协商IP流量卸载的在MAG103和LMA105之间的信令消息交换由阶段C和D概括示出。MAG103生成PBU并将PBU发送至LMA105，LMA105确认请求。PBU识别移动节点。控制器303建立PMIPv6隧道。

在阶段E，利用即时通讯协议或实时协议在MAG103和LMA105之间建立附加的通信。在一个示例中，MAG103可以用作XMPP客户端，并且LMA105可以用作XMPP服务器。MAG103根据XMPP向LMA103注册。

如阶段F所示，控制器100生成针对移动节点101的策略配置文件的查询。该查询是用于卸载流量流的识别消息的另一个示例，该识别消息包括表明移动节点的身份和移动节点的配置文件策略的数据。该查询可以是可扩展访问控制标记语言(XACML)格式的。XACML是标准、简洁并且抽象的格式，策略配置文件可以通过即时通讯协议被表示和传输，并且通常由云服务设备解释。可以使用其他格式(例如，XML、ASCII)。MAG103还被配置为根据识别消息向云服务设备109转发流量流。云服务被配置为解码策略配置文件的格式。例如，云服务设备109被配置为根据MAG103的性能解析策略配置文件并应用策略。

在阶段G，云服务109可以连同卸载流量流一起接收两个数据段，用于策略执行。第一个数据段是包括识别消息的请求，该识别消息包括移动节点101的识别信息。识别消息可以是在2005年12月出版的请求注解(RFC)4282中描述的网络访问标识符(NAI)。NAI是PMIPv6域中的稳定标识符，该标识符能够预测地识别移动节点(而不论移动节点的位置在哪里)。第二个数据段是识别作为流量重定向设备的MAG103的流量重定向器识别信息。云服务109被配置为根据IP地址识别流量重定向设备。IP地址可以被包括在标记内。标记是用作准许MAG103使用云服务109的标签的数据分组。

标记还可以包括到期时间、活动/不活动标志、可选名称、或附加数据中的一项或多项。到期时间定义MAG103具有使用云服务109的许可的持续时间或特定有效期。该标记可以是密码加密的。

流量重定向设备(例如，MAG103)将流量重定向至云服务109。可以使用两个替代过程如阶段H所示地实现流量重定向(阶段H考虑了流)。阶段J示出了HTTP流，阶段I示出了媒体流(例如，视频、会话发起协议(SIP)呼叫)。

在流量重定向的第一示例中，流量可以通过通用路由封装(GRE)或其他封装技术被封装。GRE隧道将流量从流量重定向设备转发至云服务109。转发的数据分组可以包括GRE封装、元数据、和来自移动节点的原始分组。元数据包括移动节点的识别值和标记。可以使用由云服务109生成的预共享密钥加密元数据，并且使用HAAA(LMA105作为锚点)将元数据安全地递送至MAG103。在流量重新分配之前可以通过移动节点、MAG103、和LMA105的任意组合交换预共享密钥。

在流量重定向的第二示例中，流量重定向设备可以向分组添加自定义头部。自定义头部可以是HTTP头部。元数据包括移动数据的识别值和标记。元数据可以被嵌入在自定义头部内。可以使用由云服务109生成的预共享密钥加密元数据，并且使用HAAA(LMA105作为锚点)将元数据安全地递送至MAG103。该示例中的流量重定向设备充当云服务与移动节点之间的媒介，其中该云服务使用与云服务服务器的单独连接。流量重定向设备修改请求中的源IP地址和目的地IP地址、添加自定义头部、并且将修改后的请求转发至云服务109。

云服务109被配置为提供至少一个应用程序接口(API)。API可以使用认证授权机制(例如，开放认证(OAuth))。API包括被配置为创建标记、删除标记、和列出标记的指令。标记是充当准许MAG103使用云服务109的标签的数据分组。云服务109可以通过HTTPS安全地提供API。

这种API可以是RESTfulAPI，包括至少两种REST资源。这些资源将Java脚本对象注解(JSON)用作数据建模语言。这些资源可以包括Token(标记)资源和TokenService(标记服务)资源。而且，云服务可以组织并区分存储在存储器的列表中的一列RESTURL资源。该列表允许云服务109支持多个租户。云服务109被配置为基于租户识别值来识别RESTURL资源。

LMA105被配置为向云服务109发送POST请求，以创建包括请求主体的新标记，该请求主体包含MAG103的IP地址和该标记的到期时间。在云服务109接收到POST请求之后，云服务109被配置为创建新标记并利用标记资源URL进行响应。LMA105被配置为在标记资源URL上执行GET以获得表示标记的JSON对象。

资源的示例JSON对象可以包括：

{

″标记(token)″：字母-数字

″到期时间(expiry-time)″：日期格式

“ip类型(ip-type)”：“文本”

“ip地址(ip-address)”：“文本”

“密钥(key)”：“字母-数字”

}

ip-type值为IPv4或IPv6。ip-address值可以包括标记被分配至的MAGIP地址。密钥值通过LMA/HAAA被发送至MAG103，MAG在将请求转发至云服务109之前使用密钥值加密元数据。

标记资源允许查看标记细节或删除标记。标记资源的示例URL是/api/{tenant-id}/tokenservice/{token-id}。标记资源支持GET(获得)和DELETE(删除)方法或命令。在标记资源URL上的GET方法被用来取回与标记相关联的细节。DELETE方法被用来删除现存的标记。

标记服务资源被配置为提供标记的创建和列表。标记服务资源的示例URL包括/api/{tenant-id}/tokenservice。标记服务资源支持GET和POST方法和命令。在标记服务资源URL上的GET方法可以被用来列出已经被创建的标记。POST方法可以被用来创建新标记。

控制器303可以包括通用处理器、数字信号处理器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、模拟电路、数字电路、或它们的结合、或其它已知或以后开发的处理器。控制器303可以是单个设备或设备的组合(比如，与网络、分布式处理、或云计算相关联的设备的组合)。

存储器301可以是易失性存储器或非易失性存储器。存储器301可以包括只读存储器(ROM)、随机存取存储器(RAM)、闪存、电可擦除编程只读存储器(EEPROM)、或其他类型的存储器中的一个或多个。存储器301(比如，安全数字(SD)存储卡)可以从网络设备300移除。

除了入站端口和出站端口以外，通信接口还可以包括任意可操作的连接。可操作的连接可以是这样的连接，其中信号、物理通信、和/或逻辑通信可以在该连接上被发送和/或被接收。可操作的连接可以包括物理接口、电接口、和/或数据接口。

图5示出了用于卸载安全即服务的示例流程图。该流程图的过程可以由MAG103、LMA105、或其他网络设备执行。附加的、不同的、或更少的动作可以被提供。在动作S101，由网络设备识别移动节点。可以通过由归属网络分配的IP地址或由MAG代表移动节点提供的转交地址来识别移动节点。

在动作S103，在网络设备处接收禁止卸载流量流的消息。识别消息可以指定针对IP流的安全策略。该安全策略定义将要在IP流上执行的一个或多个安全服务。安全策略可以包括成人内容过滤。安全策略可以描述这样的保护水平(低、中、或高)，该保护水平定义在搜索恶意软件时修改流量流的过程中的限制程度。

预期流量重定向器将标记包括在与流量相关联的元数据中。这使得扫描安全(Scansafe)将重定向的流量与经授权的MAG相关联。另外，NAI也将是元数据的一部分。可以使用由使用HAAA/LMA作为锚点的塔生成的预共享密钥来加密元数据。该预共享密钥将被安全地递送至MAG。

在S105，网络设备向安全即服务服务器发送请求。可以在流量流之前或与流量流一起发送该请求。该请求定义策略执行。该请求可以包括由2005年出版的RFC4282定义的网络访问标识符(NAI)，NAI可以包括PMIPv6域。NAI是移动节点的稳定标识符，PMIPv6域中的移动实体可以使用NAI来可预测地识别移动节点。该请求还可以包括识别网络设备的流量重定向器身份。在S107，网络设备将流量流转发至安全即服务服务器。

网络可以包括有线网络、无线网络、或它们的组合。无线网络可以是蜂窝电话网络、802.11、802.16、802.20、或WiMax网络。而且，网络可以是公共网络(比如，互联网)、专用网络(比如，内联网)、或它们的组合，并且可以利用现在可用的或以后开发的各种网络协议(包括但不限于基于TCP/IP的网络协议)。

尽管示出的计算机可读介质是单个介质，但是术语“计算机可读介质”包括单个介质或多个介质，比如，集中或分布的数据库、和/或存储一个或多个指令集的关联缓存和服务器。术语“计算机可读介质”还应该包括能够存储、编码、或承载供处理器执行的指令集，或使计算机执行本文公开的任意一种或多种方法或操作的任意介质。

在特定的非限制性示例实施例中，计算机可读介质可以包括诸如存储卡或容纳有一个或多个非易失性只读存储器的其他包之类的固态存储器。而且，计算机可读介质可以是随机访问存储器或其它易失性可重写存储器。另外，计算机可读介质可以包括磁-光或光介质(比如，磁盘、磁带、或其它存储设备)，以捕捉诸如通过传输介质传送的信号之类的载波信号。电子邮件的数字文件附件或其它自包含的信息档案或档案集可以被认为是作为有形存储介质的分布介质。因此，本公开被认为包括计算机可读介质或分布介质、以及其它的其中可以存储数据或指令的等同介质和继承介质中的任意一种或多种。计算机可读介质可以是非暂态的，该介质包括所有有形的计算机可读介质。

在替代实施例中，专用硬件实现(比如，专用集成电路、可编程逻辑阵列、和其它硬件设备)能够被构建，以实现本文所述的一种或多种方法。可以包括各种实施例的装置和系统的应用可以广泛地包括各种电子计算机系统。本文所述的一个或多个实施例可以使用两个或更多个指定的互相连接的硬件模块或设备连同能够在这些模块之间或通过这些模块传送的相关控制和数据信号实现功能，或者可以实现为专用集成电路的部分。因此，本系统覆盖软件、固件、和硬件实现。

根据本公开的各种实施例，本文所述的方法可以由计算机系统可执行的软件程序实现。而且，在非限制性的示例实施例中，实现可以包括分布式处理、组件/对象分布式处理、以及并行处理。替代地，可以构建虚拟计算机系统处理，来实现本文所述的方法或功能中的一种或多种。

尽管本说明书参考特定的标准和协议描述了可以在特定实施例中实现的组件和功能，但是本发明并不限于这样的标准和协议。例如，针对互联网和其它分组交换网络传输的标准(例如，TCP/IP、UDP/IP、HTML、HTTP、HTTPS)表示本领域的状态的示例。这些标准被具有本质上相同功能的更快或更多的有效等同周期性地取代。因此，具有如本文公开的相同或相似功能的替换标准和协议被认为是其等同。

计算机程序(也称为程序、软件、软件应用、脚本、或代码)可以由包括编译语言或解释语言在内的任意形式的编程语言编写，并且计算机程序可以被以任意形式部署，包括单独的程序或模块、组件、子程序、或其它适用于计算环境的单元。计算机程序不必与文件系统中的文件相对应。程序可以被存储在保存其它程序或数据(例如，存储在标记语言文档中的一个或多个脚本)的文件的一部分中、专用于正在讨论的程序的单个文件中、或多个协同文件(例如，存储一个或多个模块、子程序、或代码部分的文件)中。计算机程序可以被配置为在一个计算机上或在位于一个站点或者分布在多个站点并且通过通信网络互连的多个计算机上执行。

本说明书中描述的过程和逻辑流可以由执行一个或多个计算机程序的一个或多个可编程处理器执行，以通过操作输入数据并生成输出来执行功能。过程和逻辑流也可以由专用逻辑电路(例如，FPGA(现场可编程门阵列)或ASIC(专用集成电路))执行，并且装置也可以被实现为专用逻辑电路(例如，FPGA或ASIC)。

如在本申请中所使用的，术语“电子线路”或“电路”指的是所有以下各项：(a)仅包括硬件的电路实现(比如，仅包括模拟和/或数字电路的实现)；(b)电路和软件(和/或固件)的组合，比如(如果适用)：(i)一个或多个处理器的组合，或(ii)一个或多个处理器/软件的部分(包括共同协作使得装置(比如，移动电话或服务器)执行各种功能的一个或多个数字信号处理器、软件、和一个或多个存储器)；和(c)需要用于操作的软件或固件的电路(比如，一个或多个微处理器或一个或多个微处理器的一部分)，即使软件或固件不是物理存在的。

“电路”的这种定义应用于本申请(包括任意权利要求)中所有使用该术语的情况。作为另一个示例，本申请中所使用的术语“电路”还覆盖仅用处理器(或多个处理器)或处理器的部分以及它(或它们)附带的软件和/或固件的实现。例如，如果适用于特定权利要求的元件，术语“电路”还覆盖用于移动电话的基带集成电路或应用处理器集成电路，或服务器、蜂窝网络设备、或其他网络设备中的类似的集成电路。

适用于执行计算机程序的处理器包括(例如)通用和专用的微处理器以及任意种类的数字计算机中的任意一个或多个处理器。通常，处理器将从只读存储器或随机存取存储器或它们二者接收指令和数据。计算机的主要元件是用于执行指令的处理器和用于存储指令和数据的一个或多个存储器设备。通常，计算机还将包括用于存储数据的一个或多个大容量存储设备(例如，磁、磁光盘、或光盘)，或者计算机被操作地耦合以从一个或多个大容量存储设备接收数据或将数据传输至一个或多个大容量存储设备。然而，计算机并不需要这种设备。此外，计算机可以被嵌入在另一个设备(例如，移动电话、个人数字助理(PDA)、移动音频播放器、全球定位系统接收器等)中。适于存储计算机程序指令和数据的计算机可读介质包括所有形式的非易失性存储器、介质、和存储设备，例如包括半导体存储设备(例如，EPROM、EEPROM)和闪存设备；磁盘(例如，内置硬盘或可移动磁盘)；磁光盘；以及CDROM和DVD-ROM盘。处理器和存储器可以由专用逻辑电路补充，或并入专用逻辑电路中。

本说明书中描述的主题的实施例可以在包括后端组件(例如，数据服务器)、或包括中间件组件(例如，应用服务器)、或包括前端组件(例如，具有图形用户界面或Web浏览器的客户端计算机，通过该图形用户界面或Web浏览器用户可以与本说明书中描述的主题的实现相互作用)、或包括任意一个或多个这种后端、中间件、前端组件的组合的计算系统中实现。该系统的组件可以通过数字数据通信的任意形式或介质(例如，通信网络)相互连接。通信网络的示例包括局域网(“LAN”)和广域网(“WAN”，例如，互联网)。

计算系统可以包括客户端和服务器。客户端和服务器通常互相远离，并且一般通过通信网络相互作用。由于计算机程序在各个计算机上运行并且相互具有客户端-服务器关系，所以出现了客户端-服务器的关系。

本文中描述的实施例的图解旨在提供对各种实施例的结构的大体上的理解。这些图解并不旨在作为对利用本文所述的结构或方法的装置和系统的所有元件和特征的完整描述。许多其他实施例对于审阅本公开的本领域技术人员是显而易见的。可以从本公开得出其他实施例并利用其他实施例，从而可以在不脱离本公开的范围的情况下做出结构和逻辑的替换和改变。另外，这些图解仅是说明性的，并且不需要按比例绘制。图解中的某些部分可以被放大，而且其他部分可以被缩小。因此，本公开和附图可以被认为是示意性的而不是限定性的。

尽管本说明书包含许多规定，但是这些规定不应该被理解为对本发明或本发明所要求的范围的限制，而是对本发明的特定实施例的具体特征的描述。在本说明书的上下文中的不同实施例中描述的某些特征也可以在单个实施例中被结合实现。相反，在上下文中的单个实施例中描述的各种特征也可以分别在多个实施例中或在任意合适的子组合中被实现。此外，尽管上述的特征在某些组合中起作用并且甚至是在最初也是这样请求的，但是来自所请求的组合的一个或多个特征在某些情况中可以从组合中分离出来，并且所请求的组合可以被导向到子结合或变化的子结合。

相似地，尽管在本说明书和附图中按照特定的顺序描绘并描述操作，但是应该理解的是如所请求的，这些操作可以以所示的特定顺序执行或以顺序次序执行，或者执行所有所示的操作以实现期望的结果。在某些环境中，多重任务和并行处理是有优势的。此外，上述实施例中的各种系统组件的分割不应该被理解为在所有的实施例中都需要这种分割，并且应该理解的是所述的程序组件和系统通常可以被集成在单个软件产品中或被组装在多个软件产品中。

在本文中公开的一个或多个实施例仅出于方便的目的被单独/或统称为“本发明”，并且并不旨在将本申请的范围自动地限定到任意特定的发明或发明概念。此外，尽管这里示出并描述了特定实施例，但是应该理解的是被设计用于实现相同或相似目的的后续部署可以替换所示出的特定实施例。本公开旨在覆盖随后对各种实施例的任意或所有的改变或变化。在查阅本说明书后，上述实施例以及其它在本文中没有明确描述的实施例的组合对本领域技术人员来说是显而易见的。

为符合37C.F.R.§1.72(b)的规定，本公开的摘要被提供并提交，应该理解的是该摘要并不用来解释或限定权利要求的范围或含义。另外，在上述的详细描述中，出于简明公开的目的各种特征可以被归并或在单个实施例中描述。本公开不应该被理解为反应这样一种意图：请求保护的实施例需要的特征比在每个权利要求中明确列举的特征多。相反，如下面的权利要求所反映的主题可以针对比任意公开的实施例的所有的特征更少的特征。因此，下面的权利要求被合并到详细描述中，权利要求基于其自身分别限定所请求保护的主题。

以上的详细描述被认为是示意性的而不是限制性的，并且应该理解的是下面包括所有等同的权利要求旨在限定本发明的范围。权利要求不应该被认为局限于所描述的顺序或元件，除非明确阐明这样的效果。因此，落入所附权利要求及其等同的范围和精神内的所有实施例被本发明请求保护。

Claims (20)

1.一种方法，包括：

识别移动节点，其中所述移动节点被配置用于在蜂窝网络上进行通信；

接收用于卸载流量流的消息，其中所述消息包括移动节点的地址；

基于所述消息发送请求至安全即服务服务器；以及

根据所述消息转发流量流至所述安全即服务服务器。

2.如权利要求1所述的方法，还包括：

从归属认证、授权、以及计费(HAAA)服务器接收所述移动节点的策略配置文件信息。

3.如权利要求1所述的方法，还包括：

发送代理绑定更新消息至本地移动锚点，其中响应于所述代理绑定更新消息，针对所述移动节点的移动会话被发起。

4.如权利要求1所述的方法，还包括：

作为可扩展消息出席协议客户端向本地移动锚点注册；以及

从所述本地移动锚点接收所述移动节点的策略配置文件信息。

5.如权利要求1所述的方法，其中，所述安全即服务服务器被配置为检测所述流量流中的恶意软件的指示。

6.如权利要求1所述的方法，其中，所述安全即服务服务器被配置为根据用户配置文件过滤所述流量流的内容。

7.如权利要求1所述的方法，还包括：

以即时通讯协议生成针对策略配置文件的请求。

8.如权利要求7所述的方法，其中，所述即时通讯协议是可扩展消息出席协议(XMPP)。

9.如权利要求1所述的方法，其中，被发送至所述安全即服务服务器的所述请求包括网络访问标识符。

10.如权利要求1所述的方法，还包括：

使用应用程序接口(API)生成对于所述安全即服务服务器的所述请求。

11.如权利要求1所述的方法，其中，所述API定义包括移动访问网关的地址的标记。

12.一种网络设备，包括：

通信接口，被配置为接收用于卸载移动网络上的移动节点的流量流的消息，其中所述消息包括所述移动节点的地址；以及

控制器，被配置为基于所述消息生成针对安全即服务服务器的请求，并根据所述消息将流量流路由至所述安全即服务服务器。

13.如权利要求12所述的网络设备，其中，所述消息包括来自归属认证、授权、以及计费(HAAA)服务器的所述移动节点的策略配置文件信息。

14.如权利要求12所述的网络设备，其中，所述控制器被配置为发送代理绑定更新消息至本地移动锚点，其中响应于所述代理绑定更新消息，针对所述移动节点的移动会话被发起。

15.如权利要求12所述的网络设备，其中，所述控制器被配置为作为可扩展消息出席协议客户端向本地移动锚点注册，并且所述通信接口从所述本地移动锚点接收所述移动节点的策略配置文件信息。

16.如权利要求12所述的网络设备，其中，所述安全即服务服务器被配置为检测所述流量流中的恶意软件的指示。

17.如权利要求12所述的网络设备，其中，所述安全即服务服务器被配置为根据用户配置文件过滤所述流量流的内容。

18.一种包含指令的非暂态计算机可读介质，所述指令在被执行时被配置为：

识别移动节点，其中所述移动节点被配置用于在移动网络上进行通信；

接收用于卸载流量流的消息，其中所述消息包括所述移动节点的地址；

生成将流量流卸载到安全即服务服务器的请求；以及

将所述流量流转发至所述安全即服务服务器，其中所述安全即服务服务器被配置为修改所述流量流。

19.如权利要求18所述的非暂态计算机可读介质，所述指令还被配置为：

发送代理绑定更新消息至本地移动锚点，其中响应于所述代理绑定更新消息，针对所述移动节点的移动会话被发起。

20.如权利要求18所述的非暂态计算机可读介质，所述指令还被配置为：

作为可扩展消息出席协议客户端向本地移动锚点注册；以及

从所述本地移动锚点接收所述移动节点的策略配置文件信息。