CN1898901A

CN1898901A - 加强对多播传输的访问控制

Info

Publication number: CN1898901A
Application number: CNA2004800363508A
Authority: CN
Inventors: 刘昌明; 格莱格里·M.·莱伯维兹; 珀维·德塞
Original assignee: Jungle Network
Current assignee: Jungle Network; Juniper Networks Inc
Priority date: 2003-10-31
Filing date: 2004-10-29
Publication date: 2007-01-17
Also published as: CN105743665A; CN105743665B; WO2005043814A1; US20050114656A1; US7725925B2; US20100195529A1; US7941826B2

Abstract

提供了用于多播访问控制的系统、设备、方法和计算机程序产品，以便基于输入数据的源区域和目的地区域来分析输入数据(730)。基于分析结果把适当的访问控制规则应用于输入数据(740)。多播访问控制的附加实现方式包括使用代理会合点(1045)，其可操作以便用作会合点来代替实际会合点。

Description

加强对多播传输的访问控制

技术领域

本发明涉及安全网络通信。

背景技术

涉及计算机组的网络计算应用程序可能需要同时通信。有三种常规的方式来设计用于同时组通信的网络应用程序，所述方式为：单播、广播和多播。常规的单播系统要求向一个特殊的接收方传输每一数据分组的副本。为了传输到多个接收方，需要与每一接收方进行独立的连接。随着接收方数目的增加，进行多个直接连接需要大量带宽，并且由于同一分组必须被反复地复制然后传输给每一接收方，故而可能会产生延迟。在常规的广播系统中，把每一分组的一个副本发送给广播地址。当实际只有少数人员希望或者需要接收广播时，广播传输被发送给大量人员。

采用常规的多播系统，网络应用程序可以发送向一组接收方而不是仅向一个接收方(如单播系统中那样)寻址的一个或多个分组的一个副本。然后，一个或多个网络负责把一个或多个分组转发给必要的接收方。多播通常使用目的地网际协议(IP)地址的标准化范围(例如，224.0.0.0-239.255.255.255)。通过在多播目的地IP地址范围内设置分组的目的地IP地址，多播源用信号通知网络的其余部分多播传输。所使用的多播目的地IP地址是多播组地址。

协议独立多播-稀疏模式(Protocol Independent Multicast-SparseMode，PIM-SM)是对多播传输的一种控制范例。在PIM-SM系统中，多播接收方通过使用互联网组管理协议(Internet Group ManagementProtocol，IGMP)向最近的路由器即“最后一跳路由器”发信号来请求参与到组传输中。最后一跳路由器使用PIM-SM来请求来自下一跳路由器的特定多播流。因此，基于PIM-SM系统，多播分组只能去被请求的地方。为了使多播从源向最后一跳路由器移动，可能需要此处被称为会合点的一种路由器。这是因为多播源和最后一跳路由器最初不知道彼此的存在。图1举例说明了包括会合点130的常规PIM-SM系统的例子。参考图1，多播接收方140a-140d(合称为“140”)可以用信号通知最后一跳路由器它们想要特定的传输。最后一跳路由器125a-125c(合称为“125”)然后经由中间路由器120向会合点130发出对多播传输的加入请求。对于不同的多播组传输来说，可以存在不同的会合点。最后一跳路由器125可以确定对于特定的多播传输而言、向哪个会合点发送加入请求。例如当它们不知道源在何处时，最后一跳路由器125与会合点130进行连接，以便访问源多播流，而不是直接把加入请求传输至多播源110。会合点130经由第一跳路由器115和一个或多个中间节点(诸如多播路由器120)从多播源110接收多播传输，并且向预订了所述多播的所有多播接收方140分发多播传输。

图2中示出了常规的多播路由器120。多播路由器120包括用于接收数据的接口210，访问控制列表220，用于确定网络中数据所沿的下一路径的路由器230以及用于向下一目的地转发数据的转发模块240。访问控制列表220确定是否允许访问多播路由器。访问控制可以基于IP地址信息，所述IP地址信息包括多播组、数据所来自的路由器或者接受用户的列表。

发明内容

本说明书描述了用于提供多播访问控制的设备、系统、方法和计算机程序产品。

依照符合本发明原理的一种实现方式，提供了一种多播访问控制设备。所述设备可以包括分析器。所述分析器可操作以便分析输入数据。所述设备可以包括包含访问控制规则的数据库。所述设备可以包括访问控制引擎，所述访问控制引擎可操作以便基于分析器的结果把适当的访问控制规则应用于输入数据。

依照本发明的另一方面，提供了一种用于执行多播访问控制的方法。所述方法包括在多播访问控制设备处接收输入数据。所述输入数据可以被分析。可以把访问控制规则应用于输入数据。

依照本发明的又一方面，提供了一种用于多播访问控制的计算机程序产品。所述计算机程序产品包括用于在多播访问控制设备处接收输入数据的指令。所述计算机程序产品包括用于分析所述输入数据的指令。所述计算机程序产品包括用于把访问控制规则应用于所述输入数据的指令。

依照本发明的又一方面，提供了一种多播访问控制系统。所述多播访问控制系统包括可操作以便提供多播传输的多播源。提供了与多个区域相交的多播访问控制设备。所述多播访问控制系统包括会合点。所述多播访问控制系统包括一个或多个多播接收方。

依照本发明的又一方面，提供了一种多播访问控制系统。所述多播访问控制系统包括可操作以便提供多播传输的多播源。所述多播访问控制系统包括包含代理会合点的多播访问控制设备。所述多播访问控制系统包括会合点，所述会合点可操作以便把多播传输从多播源路由至多个多播接收方。

在附图和以下描述中阐明了本发明的一个或多个实施例的细节。根据所述描述和附图并且根据权利要求书，本发明的其它特征、目的以及优势将更加明显。

附图说明

并入并且构成此说明书一部分的附图举例说明了本发明的实现方式，并且结合此描述来解释本发明。在所述附图中，

图1是使用会合点的常规多播系统的示意图；

图2是常规的多播路由器的示意图；

图3是使用基于区域的访问控制的多播系统的示意图；

图4是使用基于区域的访问控制的可替代多播系统的示意图；

图5是多播路由器的功能框图；

图6是多播路由器的访问控制组件的功能框图；

图7是举例说明使用多播路由器的访问控制方法的流程图；

图8是举例说明使用多播路由器的可替代访问控制方法的流程图；

图9是举例说明使用多播路由器的可替代访问控制方法的流程图；

图10是提供代理会合点的可替代多播系统的示意图；

图11是提供代理会合点的可替代多播系统的示意图；

图12是包括代理会合点的多播路由器的访问控制组件的功能框图；

图13是举例说明使用包括代理会合点的多播路由器的访问控制方法的流程图；并且

图14是举例说明使用包括代理会合点的多播路由器的可替代访问控制方法的流程图。

具体实施方式

本发明的如下详细描述参考附图。不同附图中的相同的附图标记表示相同或者类似元素。此外，接下来的详细描述不限制本发明。相反，本发明的范围由所附权利要求书及其等效物来定义。

图3是举例说明依照本发明一种实现方式配置的多播系统的框图。所述多播系统包括经由一个或多个路由器耦合至会合点330的多播源310。耦合至多播源310的第一跳路由器315可以把注册消息传输至会合点330，以便创建从多播源310到会合点330的多播传输的路径。然后，会合点330可以向多播接收方(例如多播接收方340和380a-380c(合称为“380”))通知多播传输。最后一跳路由器350a-350b(合称为“350”)可以把协议独立多播(PIM)加入请求传输至会合点330，以便经由会合点330接收来自多播源310的多播传输。所述PIM加入消息是在控制面(control plane)中转送的。在控制面中执行信号通知和路由协议。所述控制面包括诸如PIM-SM的协议，其用于建立数据面(data plane)。所述数据面(也称为转发面)包括网络上数据的实际传输。例如，当其中一个多播最后一跳路由器350向会合点330发送PIM加入消息时，在会合点330和该最后一跳路由器350之间在控制面构造路径。从会合点330向多播接收方380的实际多播传输通过在控制面创建的路径出现在数据面。控制面消息的例子包括PIM加入请求和PIM PRUNE消息、单播注册消息和引导路由器(boot strap router，BSR)通知，以下将其称为多播控制通知。虽然在此申请中给出的例子是用于PIM和PIM-SM的，但是任何多播路由协议的控制通知都可以按符合本发明原理的方式应用。数据面消息包括多播传输的实际内容或媒体流，并且以下将其称为媒体传输。

访问控制多播路由器360提供了区域之间的交叉点。区域是一组接口。区域可以表示一个接口或者接口的集合以及接口服务的网络。接口可以是物理的、例如是物理接口el.1，或者它们可以是逻辑的，例如作为在物理接口el.1上但处于不同虚拟局域网或者虚拟系统中的VLAN标记的子接口的逻辑接口el.1，并且可以是不同区域的一部分。区域可以是预先定义的或者可以根据输入来创建。另外，可以基于多播组的成员来定义区域。多播组的成员可以处于同一区域中，即使它们彼此没有处于地理或逻辑接近。如图3中所示那样，源310和会合点330位于区域1(Z1)内。最后一跳路由器340和多播接收方370位于区域2(Z2)内，而最后一跳路由器350a和350b以及接收方380a和380b位于区域3(Z3)内。因此，从多播源310至多播接收方例如多播接收方380a-380b的媒体传输必须从区域1传递至区域3。作为选择，从多播源310至多播接收方370的媒体传输必须从区域1传递至区域2。访问控制多播路由器360在控制面和数据面对跨区域的消息提供访问控制。

图4举例说明了多播系统的另一实现方式，其中多播源410和会合点470位于不同的区域内。依照符合本发明原理的一种实现方式，所述多播系统包括经由第一跳路由器415以及中间路由器420a和420b(合称为“420”)耦合至访问控制多播路由器430的多播源410。多播访问受控路由器430提供了区域之间的交叉点。源410、第一跳路由器415和中间路由器420可以位于区域1(Z1)内。多播访问受控路由器430可以经由位于区域2(Z2)内的最后一跳路由器440耦合至多播接收方450。区域3(Z3)可以包括会合点470和多播接收方480，其中会合点470耦合至路由器460而多播接收方480耦合至最后一跳路由器465。路由器460和最后一跳路由器465可以耦合至访问控制多播路由器430。因此，从多播源410至会合点470的媒体传输从区域1传递至区域3。另外，从多播源410至多播接收方450的媒体传输最初从区域1传递至区域3中的会合点470。然后，可以把传输转发给处于区域2的多播接收方450。访问控制多播路由器430可以在控制面和数据面中对跨区域的消息提供访问控制。

图5是举例说明了符合本发明原理的访问控制多播路由器500的一种实现方式的功能框图。在图5中，访问控制多播路由器500可以包括用于接收和发送诸如多播分组的数据的接口510，访问控制模块520，用于确定输出数据所走的路径的路由器530以及用于计算如何以及向何处发送输出数据的转发模块540。访问控制模块520可以确定是否允许访问访问控制多播路由器500，包括在控制面。另外，访问控制模块520例如可以通过编辑PIM消息中的源和目的地信息来编辑并且转发多播控制通知，正如当存在网络地址转换边界时或者为适应重叠地址所必需的那样。

图6是举例说明访问控制模块520的一个实施例的另一功能框图，所述访问控制模块520包括区域分析器610、多播地址转换模块620、多播访问控制规则630和访问控制引擎640。区域分析器610可操作以便确定消息对应的区域。例如，消息可以具有用于识别消息来自何处的源区域以及用于识别消息去向何处的目的地区域。在多播组的所有成员都处于同一区域内的区域实现方式中，目的地区域将是包括多播组的所有成员的区域。多播地址转换模块620可以在控制面和数据面应用地址转换。例如，当发送方具有私有、非可路由地址(例如，10.1.1.1)时，地址转换模块620可以转换多播控制通知的发送方地址。另外，多播访问控制规则630可以建立特殊的访问控制策略。例如，多播访问控制规则630可以包括用于允许消息从区域3传递至区域1但不从区域2至区域1的策略。访问控制引擎640可操作以便基于由区域分析器610执行的区域分析结果来确定哪些访问控制策略应用于特定的消息。另外，访问控制引擎640可以确定多播地址转换模块620将会执行何种地址转换，如果有的话。

现在参考图7，该图示出了用于允许诸如图3的多播访问受控路由器360的多播访问受控路由器把多播接收方加入至媒体传输的过程。依照符合本发明原理的一种实现方式，访问控制多播路由器360最初接收多播控制通知(动作710)。在一个实施例中，所述多播控制通知是由最后一跳路由器(例如，最后一跳路由器350a-350b和340)传输的控制面消息。例如，企图参与到媒体传输中的多播接收方380a把多播控制通知经由最后一跳路由器350a传输至会合点330。由于多播最后一跳路由器350a和会合点330位于不同的区域(分别是区域3和区域1)内，所以多播控制通知经过访问控制多播路由器360。

接下来，访问控制多播路由器360分析所述多播控制通知，并且确定是否可以把多播控制通知转发给会合点330(动作720)。区域分析器610(图6)然后分析多播控制通知的区域(动作730)。在符合本发明原理的一种实现方式中，区域分析器610可以审查多播控制通知以便确定多播控制通知的源和接收方区域。例如，来自多播接收方380a的多播控制通知的源区域是区域3。由于会合点330位于区域1内，所以用于多播控制通知的目的地区域是区域1。

在分析区域之后，访问控制引擎640把访问控制策略应用于多播控制通知(动作740)。在一种实现方式中，访问控制引擎640使用包含在适用于多播控制通知的区域(如区域分析器610所确定的)的多播访问控制规则630内的访问控制策略。接下来，作为所应用的访问控制策略的结果，访问控制引擎640确定是否允许多播控制通知经由访问控制多播路由器360前进(动作750)。例如，访问控制策略可以允许将多播控制通知从区域3传输至区域1，或者作为选择，访问控制策略可以拒绝将多播控制通知从区域3传输至区域1。所述访问控制策略还可以是更加集中的。例如，访问控制策略可以表明多播控制通知可以被允许从区域3中的第一个最后一跳路由器350a到区域1的路由器320，但是不能从区域3中的第二个最后一跳路由器350b到区域1中的路由器320。由此，不同级别的访问控制策略可被实现。如果基于访问控制策略的应用而不允许多播控制通知继续到会合点330，那么可以另外处理所述多播控制通知(动作760)。适当处理的例子可以包括丢弃所述多播控制通知、记录所述请求以及警告所述请求。

如果确定允许多播控制通知前进到会合点330，那么访问控制引擎640接着确定是否需要进行多播控制通知的地址转换(动作770)。如果需要地址转换，那么多播地址转换模块620执行地址转换(动作780)，并且转发模块540把多播控制通知路由至会合点330(动作790)。在一个示例性的实施例中，多播地址转换模块620可以基于访问控制策略而在控制面执行地址转换或者编辑。如果不需要地址转换，那么访问控制多播路由器360把多播控制通知路由至会合点330(动作790)。

图8是举例说明符合本发明原理的用于路由多播请求的方法的替代实现方式的流程图。如图8所示，例如当会合点330包括引导路由器(BSR)时，会合点330可以首先向多播接收方(例如，多播接收方370和380a-380b)通知媒体传输。然后由访问控制多播路由器360接收来自会合点330的多播控制通知(动作810)。然后，会合点330可以使用诸如路由器320的中间路由器把多播控制通知传输至多播接收方。由于多播接收方370和380a-380b位于不同于会合点330(区域1)的区域(区域2和区域3)内，所述多播控制通知必须经过访问控制多播路由器360。具体来讲，所述多播控制通知必须从区域1传递至区域2以便到达多播接收方370，并且多播控制通知必须从区域1传递至区域3以便到达多播接收方380a-380b。

一旦接收到多播控制通知，访问控制多播路由器360可以分析多播控制通知以确定是否可以把传输转发给多播接收方370和380a-380b(动作820)。多播控制通知的分析可以包括分析多播控制通知的区域(动作830)。区域分析器610审查所述多播控制通知以便确定多播控制通知的源和目的地区域。例如，来自会合点330的多播控制通知的源区域是区域1。所述多播控制通知的目的地区域是区域2和3。

在分析区域之后，访问控制引擎640可以把访问控制策略应用于多播控制通知(动作840)。访问控制引擎640可以使用包含在适用于多播控制通知的源和目的地区域(如区域分析器610所确定的)的多播访问控制规则630内的访问控制策略。在符合本发明原理的一种实现方式中，作为应用访问控制策略的结果，访问控制引擎640可以确定是否允许多播控制通知经由访问控制多播路由器360前进(动作850)。例如，访问控制策略可以允许多播控制通知从区域1传输至区域2和3，或者，访问控制策略可以拒绝多播控制通知从区域1传输至区域2和3。如果基于访问控制策略的应用而确定不允许多播控制通知继续到最后一跳路由器340和350a-350b，那么可以另外处理所述多播控制通知(动作860)。适当处理的例子可以包括丢弃所述多播控制通知、记录所述请求并且警告所述请求。作为选择，访问控制策略可以只允许多播控制通知传给某些多播接收方。例如，所述访问控制策略可以允许注册消息从区域1传递至区域3但不从区域1传递至区域2。因此，多播控制通知可以被转发给最后一跳路由器350a(或者350b)但不转发给最后一跳路由器340。

如果在动作850中确定允许多播控制通知前进到最后一跳路由器340和350a-350b中至少一个，那么访问控制引擎640接着确定是否需要进行多播控制通知的地址转换(动作870)。如果需要地址转换，那么多播地址转换模块620可以执行地址转换(动作880)，然后向允许的多播接收方路由(即，使用转发模块540)多播控制通知(动作890)。例如，如果允许从区域1传输至区域2，那么源地址或者目的地(单个或者组)地址或者它们两者可以在分组被释放到区域2中以前可被改变。如果确定不需要地址转换，那么访问控制多播路由器360可以向最后一跳路由器340和350a-350b路由所述多播控制通知(动作890)。应该理解的是，可以独立于传输转发判定而执行地址转换。例如，也许不允许传输从区域1进行至区域3，然而在从区域1向区域2转发所述传输的过程中仍可以进行地址转换。此外，可以允许从区域1向区域2和3两者转发，而对到区域2和3的每个传输执行唯一地址转换。

图9是举例说明在符合本发明原理的多播系统中使用诸如访问控制多播路由器430的访问控制多播路由器的方法的流程图。如图4所示，多播源410和会合点470处于不同的区域。最初，访问控制多播路由器430接收由多播源410触发的多播控制通知，其中多播源410向第一跳路由器415发送多播分组(动作910)。多播控制通知可以由第一跳路由器415和中间路由器传输至会合点470。然而，由于多播源410位于区域1内，而会合点470位于区域3内，所以多播控制通知必须经过访问控制多播路由器430以便从区域1传递至区域3。

因此，访问控制多播路由器430接下来分析所述多播控制通知，以便确定是否可以把多播控制通知转发给会合点470(动作920)。此分析的一种实现方式可以包括分析所述多播控制通知的区域(动作930)。更具体地说，区域分析器610可以审查所述多播控制通知以便确定多播控制通知的源和目的地区域。例如，来自多播源410的多播控制通知的源区域是区域1。由于会合点470位于区域3内，所以用于多播控制通知的目的地区域是区域3。

在区域分析之后，访问控制引擎640可以把访问控制策略应用于多播控制通知(动作940)。在符合本发明原理的一种实现方式中，访问控制引擎640可以使用包含在适用于多播控制通知的区域(如区域分析器610所确定的)的多播访问控制规则630内的访问控制策略。接下来，基于所应用的访问控制策略，访问控制引擎640可以确定是否允许多播控制通知经由访问控制多播路由器430前进(动作950)。例如，访问控制策略可以允许将多播控制通知从区域1传输至区域3，或者所述访问控制策略可以拒绝多播控制通知从区域1传输至区域3，但是允许多播控制通知从区域1传输至区域2。如上所述，所述访问控制策略还可以是更加集中的。例如，访问控制策略可以表明多播控制通知可以被允许从区域1中的路由器420a或420b向区域3中的第一路由器460传输，但是不能从区域1中的路由器420a或者420b向区域3中的最后一跳路由器465传输。如果基于访问控制策略的应用而确定不允许多播控制通知继续到会合点470，那么可以另外处理所述多播控制通知(动作960)。如同上述，适当的处理可以包括丢弃所述多播控制通知、记录所述请求以及警告所述请求。

然而，如果在动作950中确定允许多播控制通知前进到会合点470，那么访问控制引擎640接着确定是否需要进行多播控制通知的地址转换(动作970)。在符合本发明原理的一种实现方式中，如果需要地址转换，那么地址转换模块620可以执行地址转换(动作980)。更具体地说，地址转换可以应用于源地址、一个或多个目的地地址或者它们两者。然后，可以把多播控制通知路由至会合点470(动作990)。然而，如果在动作970中确定不需要进行地址转换，那么访问控制多播路由器430把多播控制通知路由至会合点470(动作990)。

在可替代的实现方式中，多播系统可以包括一个以上的域。一个域内的设备可以被秘密编址，以便使位于该域外部的设备不可视或者无法访问。例如，使用私有地址的域内会合点不能被企图访问媒体传输的最后一跳路由器访问。作为选择，域内的会合点可以位于安全设备之后，所述安全设备诸如是用于防止对位于防火墙之后的设备进行外部访问的防火墙。为了便于媒体传输，可以提供代理会合点，所述代理会合点可以被包括在访问控制多播路由器中，以便执行外部域不能访问的会合点的功能。在不允许直接访问会合点的情况下，所述代理会合点可以提供一种方式来向其他域表示会合点。因为会合点位于私有网络内，并且由此具有不可视的IP地址或者由于诸如防火墙的安全设备来实现防止外部访问的策略，所以可以防止对会合点的直接访问。

图10是举例说明包括两个域和代理会合点的可替代多播系统的框图。在符合本发明原理的一种实现方式中，所述多播系统可以包括第一域1060和第二域1065。另外，诸如因特网或者其它网络(诸如Mbone)的网络1035可以位于这些域之间。在一个实施例中，第一域1060可以包括经由中间路由器1020和第一跳路由器1015耦合至会合点1030的多播源1010。访问控制多播路由器1005可以提供区域之间的交叉点。区域1(Z1)可以包括多播源1010、会合点1030、第一跳路由器1015和中间路由器1020。区域2(Z2)可以包括最后一跳路由器1025和多播接收方1040。区域3(Z3)可以包括位于第二域1065内的中间路由器1050、最后一跳路由器1052a-1052c(合称为“1052”)和多播接收方1055a-1055c(合称为“1055”)。另外，可以在区域3内提供访问控制多播路由器1005内的代理会合点1045。最后一跳路由器1052a-1052c和会合点1030之间的通信在区域1和3之间以及第一域1060和第二域1065之间传递。

图11是举例说明具有两个域的可替代多播系统的框图。在符合本发明原理的一种实现方式中，所述多播系统可以包括第一域1170和第二域1165。诸如因特网的网络1125可以位于这些域之间。另外，第二域1165可以包括访问控制多播路由器1005，其充当区域之间的交叉点。区域1(Z1)可以包括位于第一域1170内的第一跳路由器1115、路由器1120和多播源1110。另外，区域1可以包括访问控制多播路由器1005内的代理会合点1045。区域2(Z2)可以包括经由最后一跳路由器1140耦合至访问控制多播路由器1005的多播接收方1145。区域3(Z3)可以包括路由器1150、最后一跳路由器1152a-1152b(合称为“1152”)以及多播接收方1155a-1155b(合称为“1155”)和会合点1160。来自多播源1110的多播控制通知在第一域1170和第二域1165之间以及在区域1和区域3之间传递，以便到达会合点1160。

图12是示出了包括在访问控制多播路由器1005内的访问控制模块1200的功能框图。在符合本发明原理的一种实现方式中，访问控制模块1200可以包括区域分析器1210、代理会合点(RP，rendezvouspoint)1045、多播地址转换模块1230、多播访问控制规则1240和访问控制引擎1250。在一种实现方式中，区域分析器1210、多播访问控制规则1240和访问控制引擎1250可以起如上相对于图6所述的作用。此外，在示例性的实现方式中，对于外部域而言，代理会合点1045好像是位于访问控制多播路由器1005内的会合点。因此，代理会合点1045可以执行用于位于外部域内的设备的会合点的功能，而不允许对位于域内的会合点进行直接访问。

图13是举例说明使用图10的多播访问受控路由器1005来把多播接收方加入媒体传输的一种实现方式的流程图。在符合本发明原理的一种实现方式中，访问控制多播路由器1005最初接收多播控制通知(动作1310)。在一个示例性的实施例中，多播控制通知可以是由下游多播路由器(例如，多播路由器1050)传输的控制面消息。例如，企图参与到媒体传输中的多播接收方1055a使用像IGMP的协议向最后一跳路由器1052a发信号。最后一跳路由器1052a再向位于访问控制多播路由器1005内的代理会合点1045传输加入请求。对于多播路由器1050和1052a而言，代理会合点1045好象是会合点1030。然而，真实的会合点1030可以被秘密地编址(例如，10.10.10.10)，并且由此对于外部网络而言是不可视的。相反，代理会合点1045具有外部可视的IP地址(例如，1.1.1.1)，并且因此对外部路由器1050和1052a来说，好象是会合点。

接下来，访问控制多播路由器1005分析所述多播控制通知，以便确定是否可以把多播控制通知转发给会合点1030(动作1320)。依照符合本发明原理的一种实现方式，多播控制通知分析可以包括分析多播控制通知的区域(动作1330)。更具体地说，区域分析器1210可以审查所述多播控制通知以便确定源和目的地区域。例如，来自最后一跳路由器1052a的多播控制通知的源区域是区域3。由于目标目的地是位于区域3内的代理会合点1045，所以多播控制通知的目的地区域好象是区域3。然而，为分析目的，由于访问控制多播路由器1005将要把多播控制通知转发给会合点3010，所以目的地区域被认为是会合点1030所在的区域1。

在分析区域之后，访问控制引擎1250把访问控制策略应用于多播控制通知(动作1340)。依照一种实现方式，访问控制引擎1250使用包含在适用于多播控制通知的区域(如区域分析器1210所确定的)的多播访问控制规则1240内的访问控制策略。然后，基于所应用的访问控制策略，访问控制引擎1250确定是否允许多播控制通知经由访问控制多播路由器1005前进(动作1350)。例如，访问控制策略可以允许将多播控制通知从区域3传输至区域1，或者，访问控制策略可以拒绝多播控制通知从区域3传输至区域1。作为选择，可以允许多播控制通知从区域3到区域1，但是只在特殊时间对特殊多播组有效。如果基于访问控制策略的应用而确定不允许多播控制通知继续到会合点1030，那么可以另外处理所述多播控制通知(动作1360)。另外的处理可以包括丢弃所述多播控制通知、记录所述请求并且警告所述请求。

如果在动作1350中确定允许多播控制通知前进到会合点1030，那么多播地址转换模块1230对多播控制通知执行地址转换以便把多播控制通知指向会合点1030(动作1370)。在符合本发明原理的一种实现方式中，多播地址转换模块1230编辑控制面多播控制通知，以便利用会合点1030的内部地址来替代代理会合点1045的目的地地址(例如，把1.1.1.1改变为10.10.10.10)。另外，如果把访问控制策略设计成能这样做，那么可以编辑多播控制通知的源，使得所述源好象是来自代理会合点(例如，1.1.1.1)。由此，会合点1030将把媒体传输路由至代理会合点1045，然后，所述代理会合点1045可以把传输代理至多播接收方。然后，访问控制多播路由器1005可以把多播控制通知路由至会合点1030(动作1380)。

图14是举例说明在如图11所示的多播系统中使用访问控制多播路由器1005的方法的另一实现方式的流程图，在所述多播系统中，多播源1110和会合点1160处于不同的域。最初，访问控制多播路由器1005接收来自多播源1110的多播控制通知(动作1410)。在一个实施例中，所述多播控制通知由多播源1110经由第一跳路由器1115和路由器1120被传输至位于访问控制多播路由器1005内的代理会合点1045。对于第一跳路由器1115和路由器1120而言，代理会合点1045好象是会合点1160。然而，由于实际的会合点1160被秘密地编址(例如，10.10.10.10)，由此对于第一跳路由器1115和路由器1120是不可视的。代理会合点1045具有外部可视的IP地址(例如，1.1.1.1.)，并且因此对外部路由器1120和第一跳路由器1115来说好象是会合点。

接下来，访问控制多播路由器1005可以分析所述多播控制通知，以便看看是否可以把多播控制通知转发给会合点1160(动作1420)。此分析可以包括分析所述多播控制通知的区域(动作1430)。区域分析器610接着审查所述多播控制通知以便确定多播控制通知的源和目的地区域。例如，来自多播源1110的多播控制通知的源区域是区域1。由于目标目的地是位于区域1内的代理会合点1045，所以多播控制通知的目的地区域好象也是区域1。然而，由于访问控制多播路由器1005可以把单播注册消息转发至会合点1160，所以目的地区域被设置为会合点1160所在的区域3。

在区域分析之后，访问控制引擎1250把访问控制策略应用于多播控制通知(动作1440)。在符合本发明原理的一种实现方式中，访问控制引擎1250可以使用包含在适用于多播控制通知的区域(如区域分析器1210所确定的)的多播访问控制规则1240内的访问控制策略。接下来，基于所应用的访问控制策略，访问控制引擎1250确定是否允许多播控制通知经由访问控制多播路由器1005前进(动作1450)。例如，访问控制策略可以允许将多播控制通知从区域1传输至区域3，或者所述访问控制策略可以拒绝将多播控制通知从区域1传输至区域3，但是允许多播控制通知从区域1传输至区域2。如果基于访问控制策略的应用而确定不允许多播控制通知继续到会合点1160，那么可以另外处理所述多播控制通知(动作1460)。适当的处理的例子可以包括丢弃所述多播控制通知、记录所述请求并且警告所述请求。代理会合点1045继续充当区域1中的会合点1160，即使不允许多播控制通知继续朝向会合点1160。

如果在动作1450中确定允许多播控制通知前进到会合点1160，那么多播地址转换模块1230对多播控制通知执行地址转换(动作1470)。目的地从代理会合点45改变为会合点1160(例如把IP地址从1.1.1.1改变为10.10.10.10)。作为选择，所述源也可以被改变以便在位于区域3内的访问控制多播路由器500反映出源位置(例如，10.1.1.1)。结果，单播消息的发送方在会合点1160看来将是10.1.1.1。由此，使用代理会合点1045的访问控制多播路由器1005对会合点1160来说好象是媒体传输的源。然后，访问控制多播路由器430可以把多播控制通知路由至会合点1160(动作1480)。

先前描述了具有两个域的多播系统。然而，多播系统内可以包括两个以上的域。具有两个以上域的访问控制多播路由器和代理会合点的功能与具有两个域时的功能相同。

本发明以及此处所述的所有功能操作可以依照数字电子电路或者计算机硬件、固件、软件或者它们的组合来实现。本发明可以作为计算机程序产品来实现，即，一种可确实地嵌入例如是机器可读的存储设备或者传播信号的信息载体中的计算机程序，所述计算机程序可由数据处理设备执行或者控制其操作，所述数据处理设备例如是可编程处理器、计算机或者多个计算机。计算机程序可以依照任何形式的程序设计语言来撰写，包括编译或者翻译语言，并且其可以采用任何的形式，包括按照独立程序或者按照模块、组件、子程序或者适用于计算环境的其它单元的形式。计算机程序可以被采用以便在一台或多台计算机上执行，所述一台或多台计算机可位于一个场所内，或者跨越多个场所分布或由通信网络互连。

本发明的方法步骤可以由一个或多个可编程处理器执行，所述可编程处理器执行计算机程序以便通过对输入数据进行操作并且生成输出来执行本发明的功能。方法步骤还可以通过本发明的设备来执行，并且本发明的设备可以作为专用逻辑电路来实现，所述专用逻辑电路例如是FPGA(现场可编程门阵列)或者ASIC(专用集成电路)。

举例来说，适用于执行计算机程序的处理器包括通用和专用微处理器，以及任何类型的数字计算机的任何一个或多个处理器。通常，处理器将接收来自只读存储器或者随机存取存储器或者它们两者的指令和数据。计算机的基本元件是用于执行指令的处理器和用于存储指令和数据的一个或多个存储器设备。通常，计算机还将包括一个或多个大容量存储设备来存储数据，或者被可操作地耦合以便接收来自一个或多个大容量存储设备的数据或向其转送数据，或者既接收又转送，所述一个或多个大容量存储设备例如是磁性、磁光盘或者是光盘。适用于具体化计算机程序指令和数据的信息载体包括所有形式的非易失性存储器，举例来说包括半导体存储器设备，例如，EPROM、EEPROM和闪存设备；磁盘，例如，内部硬盘或者移动盘；磁光盘；和CD-ROM和DVD-ROM盘。处理器和存储器可以通过专用逻辑电路来添加，或者并入其中。

为了提供与用户的交互，本发明可以在计算机上实现，所述计算机具有例如CRT(阴极射线管)或者LCD(液晶显示器)监视器的显示设备，用于向用户显示信息，并且具有键盘和例如鼠标或者轨迹球的指示设备，通过这些设备，用户可以提供对计算机的输入。还可以使用其它设备来提供与用户的交互；例如，提供给用户的反馈可以是任何形式的感觉反馈，例如是视觉反馈、听觉反馈或者触觉反馈；并且来自用户的输入可以依照任何方式接收，包括声学、语音或者触觉输入。

本发明可以在计算系统中实现，所述计算系统包括例如是数据服务器的后端组件，或者包括例如是应用服务器的媒件组件，或者包括例如是具有图形用户界面或者网络浏览器的客户端计算机的前端组件(经由这些组件，用户可以与本发明的实现方式交互)或者是这种后端、媒件或者前端组件的组合。所述系统的组件可以通过例如通信网络的任何形式或者媒体的数字数据通信来互连。通信网络的例子包括局域网(“LAN”)和广域网(“WAN”)，例如是因特网。

所述计算系统可以包括客户端和服务器。客户端和服务器一般彼此相隔甚远，并且通常经由通信网络来相互作用。客户端和服务器的关系借助于在各个计算机上运行的并且具有客户端-服务器彼此关系的计算机程序来实现。

对本发明示例性的实施例的先前描述提供了举例说明和描述，但是不意味着是穷举或者把本发明限制为所公开的确切形式。根据上述教导或者通过实施本发明能够进行修改和变化。

此外，虽然已经就图7-9、13和14描述了一系列动作，但是这些动作的顺序可以依照符合本发明的其它实现方式而有所改变。另外，非从属的动作可以并行实现。

除非明确说明，否则不应该把用于描述本申请的元件、动作或指令看作是本发明关键性的或者必要的。此外，正如此处使用的那样，冠词“一”意在包括一项或多项。当意欲只表示一个时，使用术语“一个”或类似词语。此外，除非另外明确说明，否则，短语“基于”意味着“基于、至少部分基于”的意思。本发明的范围由权利要求书和其等效物来定义。

Claims

1.一种多播访问控制设备，包括：

分析器，可操作以便分析输入数据；

数据库，包括访问控制规则；以及

访问控制引擎，可操作以便基于所述分析器的结果，把来自数据库的适当访问控制规则应用于所述输入数据。

2.如权利要求1所述的设备，其中所述输入数据是控制面消息。

3.如权利要求2所述的设备，其中所述控制面消息是协议独立多播加入请求。

4.如权利要求1所述的设备，其中所述输入数据是多播通知。

5.如权利要求1所述的设备，其中所述输入数据是单播注册消息。

6.如权利要求1所述的设备，其中所述分析器可操作以便基于所述输入数据的一个或多个源区域以及一个或多个目的地区域来分析输入数据。

7.如权利要求6所述的设备，其中一个或多个源区域是发出所述输入数据的一个或多个接口所在的区域。

8.如权利要求6所述的设备，其中一个或多个目的地区域是用于接收所述输入数据的接口所在的区域。

9.如权利要求1所述的设备，其中所述访问控制规则至少基于入口和出口区域。

10.如权利要求1所述的设备，其中所述输入数据可以包括多个目的地区域。

11.如权利要求1所述的设备，还包括：多播地址转换模块，可操作以便在控制和数据面两者编辑输入数据。

12.如权利要求11所述的设备，其中所述多播地址转换模块编辑输入数据的源地址。

13.如权利要求11所述的设备，其中所述多播地址转换模块编辑输入数据的目的地地址，诸如多播组地址。

14.如权利要求13所述的设备，其中所述多播地址转换模块编辑一个或多个目的地地址或者多个目的地地址的组地址或者输入数据的组地址。

15.如权利要求1所述的设备，还包括：

路由模块，可操作以便路由输出多播和非多播数据。

16.如权利要求15所述的设备，其中所述路由模块把协议独立多播加入请求路由至会合点。

17.如权利要求15所述的设备，其中所述路由模块把多播通知路由至多个多播接收方。

18.如权利要求15所述的设备，其中所述路由模块把具有任何定位器服务的单播控制面消息诸如会话启动协议注册消息路由至会合点。

19.如权利要求1所述的设备，还包括：

代理会合点，可操作地连接至所述访问控制引擎，并且可操作以便基于应用的访问控制规则把输入数据代理至接收方。

20.如权利要求19所述的设备，其中所述分析器可操作以便基于所述输入数据的一个或多个源区域和一个或多个目的地区域来分析输入数据。

21.如权利要求19所述的设备，其中所述分析器可操作以便基于所述输入数据的一个或多个源地址和一个或多个目的地地址来分析输入数据。

22.一种用于执行多播访问控制的方法，包括：

在多播访问控制设备处接收输入数据；

分析所述输入数据；并且

把访问控制规则应用于所述输入数据。

23.如权利要求22所述的方法，其中所述输入数据是控制面消息。

24.如权利要求23所述的方法，其中所述控制面消息是协议独立多播消息。

25.如权利要求23所述的方法，其中所述控制面消息是独立多播加入消息。

26.如权利要求22所述的方法，其中所述输入数据是媒体传输。

27.如权利要求22所述的方法，其中所述输入数据是单播注册消息。

28.如权利要求22所述的方法，还包括：

在分析所述输入数据期间识别到达和出口区域；并且

基于所述到达和出口区域来应用所述访问控制规则。

29.如权利要求22所述的方法，还包括：

在分析所述输入数据期间识别源和目的地区域。

30.如权利要求29所述的方法，还包括：

基于所述源区域和目的地区域来应用所述访问控制规则。

31.如权利要求29所述的方法，其中所述源区域是发出输入数据的接口所在的区域。

32.如权利要求29所述的方法，其中所述目的地区域是用于接收输入数据的接口所在的区域。

33.如权利要求22所述的方法，其中所述输入数据可以包括多个目的地区域。

34.如权利要求22所述的方法，还包括：

在多播地址转换模块处对输入数据执行地址转换。

35.如权利要求34所述的方法，还包括：

在所述多播地址转换模块处编辑所述输入数据的源地址。

36.如权利要求34所述的方法，还包括：

在所述多播地址转换模块处编辑所述输入数据的目的地地址。

37.如权利要求34所述的方法，还包括：

在所述多播地址转换模块处编辑所述输入数据的一个或多个多播组地址。

38.如权利要求34所述的方法，还包括：

在所述多播地址转换模块处编辑所述输入数据的多个目的地地址中的一个或多个目的地地址。

39.如权利要求22所述的方法，还包括：

在应用所述访问控制规则之后，把输入数据路由至接收方。

40.如权利要求39所述的方法，还包括：

把协议独立多播加入请求路由至会合点。

41.如权利要求39所述的方法，还包括：

向多个多播接收方路由多播通知。

42.如权利要求39所述的方法，还包括：

把单播注册消息路由至会合点。

43.如权利要求22所述的方法，还包括：

基于所应用的访问控制规则，把所述输入数据代理至接收方。

44.如权利要求43所述的方法，其中分析所述输入数据还包括：基于所述输入数据的源区域和目的地区域来分析输入数据。

45.一种用于多播访问控制的计算机程序产品，其有形地存储在计算机可读介质上，所述计算机程序产品包括指令，所述指令可操作以便令可编程处理器执行如下步骤：

在多播访问控制设备处接收输入数据；

分析输入数据；并且

在控制和数据面把访问控制规则应用于输入数据。

46.如权利要求45所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：在分析所述输入数据的同时，确定源和目的地区域。

47.如权利要求45所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：基于到达和出口区域来应用访问控制规则。

48.如权利要求45所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：

在多播地址转换模块处对输入数据执行地址转换；

在所述多播地址转换模块处编辑所述输入数据的源地址；并且

49.如权利要求45所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：

在多播地址转换模块处对输入数据执行地址转换；并且

50.如权利要求45所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：

在应用访问控制规则之后，把输入数据路由出出口接口。

51.如权利要求50所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：

把诸如协议独立多播加入请求的多播控制面消息路由至会合点。

52.如权利要求50所述的产品，还包括可操作以便令可编程处理器执行如下步骤的指令：

基于所应用的访问控制规则把多播控制面消息代理至代理会合点。

53.一种多播访问控制系统，包括：

多播源，可操作以便提供多播传输；

与多个区域相交的多播访问控制设备；

会合点；以及

一个或多个多播接收方。

54.如权利要求53所述的系统，其中所述会合点可操作以便把多播传输从多播源向多个多播接收方路由。

55.如权利要求53所述的系统，其中所述多播访问控制设备可操作以便在控制和数据面提供多播访问控制。

56.如权利要求53所述的系统，其中所述多播源和会合点处于与多播访问控制设备相交的不同区域中。

57.如权利要求53所述的系统，其中所述会合点和至少一个多播接收方处于与多播访问控制设备相交的不同区域中。

58.如权利要求53所述的系统，其中所述会合点和一个以上的多播接收方处于与多播访问控制设备相交的不同区域中。

59.如权利要求53所述的系统，其中所述会合点和一个以上的多播接收方每个处于与多播访问控制设备相交的不同区域中。

60.如权利要求53所述的系统，其中所述多播源和会合点位于同一区域中。

61.如权利要求53所述的系统，其中所述会合点和至少一个多播接收方位于同一区域中。

62.一种多播访问控制系统，包括：

多播源，可操作以便提供多播传输；

与多个区域相交并包括代理会合点的多播访问控制设备；以及

会合点，可操作以便把多播传输从多播源路由至多个多播接收方。

63.如权利要求62所述的系统，其中所述多播源和会合点位于不同域中。

64.如权利要求62所述的系统，其中所述多播源和会合点处于与多播访问控制设备相交的不同区域中。

65.如权利要求62所述的系统，其中所述会合点和至少一个多播接收方位于不同域中。

66.如权利要求62所述的系统，其中所述会合点和至少一个多播接收方处于与多播访问控制设备相交的不同区域中。

67.如权利要求62所述的系统，其中所述会合点和一个以上的多播接收方处于与多播访问控制设备相交的不同区域中。

68.如权利要求62所述的系统，其中所述会合点和一个以上的多播接收方每个处于与多播访问控制设备相交的不同区域中。

69.如权利要求62所述的系统，其中所述代理会合点处于与多播源相同的区域中。

70.如权利要求62所述的系统，其中所述代理会合点处于与至少一个多播接收方相同的区域中。