WO2010051731A1 - 一种管理过滤规则的方法、媒体网关及系统 - Google Patents

一种管理过滤规则的方法、媒体网关及系统 Download PDF

Info

Publication number
WO2010051731A1
WO2010051731A1 PCT/CN2009/074538 CN2009074538W WO2010051731A1 WO 2010051731 A1 WO2010051731 A1 WO 2010051731A1 CN 2009074538 W CN2009074538 W CN 2009074538W WO 2010051731 A1 WO2010051731 A1 WO 2010051731A1
Authority
WO
WIPO (PCT)
Prior art keywords
filtering rule
context
packet filtering
media gateway
packet
Prior art date
Application number
PCT/CN2009/074538
Other languages
English (en)
French (fr)
Inventor
祝宁
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to ES09824386.8T priority Critical patent/ES2573705T3/es
Priority to EP09824386.8A priority patent/EP2339808B1/en
Publication of WO2010051731A1 publication Critical patent/WO2010051731A1/zh
Priority to US13/102,779 priority patent/US8571047B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/10—Architectures or entities
    • H04L65/102—Gateways
    • H04L65/1043—Gateway controllers, e.g. media gateway control protocol [MGCP] controllers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/10—Architectures or entities
    • H04L65/102—Gateways
    • H04L65/1023—Media gateways
    • H04L65/103—Media gateways in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/60—Network streaming of media packets
    • H04L65/65—Network streaming protocols, e.g. real-time transport protocol [RTP] or real-time control protocol [RTCP]

Definitions

  • the present invention relates to the field of network communications, and in particular, to a method for managing a filtering rule, a media gateway, and a system. Background technique
  • the Next Generation Network is a distributed network structure that can effectively carry voice, video, and multimedia services, and separates business applications, service control, and service delivery functions.
  • Existing NGN networks mainly include Media Gateway (MG) and Media Gateway Controller (MGC).
  • the MGC is used to implement call state management and control of MG bearer resources.
  • the MG is configured to implement media stream establishment, modification, release, and resource management according to MGC control.
  • the media gateway works as a border gateway in back-to-back (B2B) mode. That is, each terminal is created on two IP networks, and the address of the IP network is allocated. This address acts as the source address for the outgoing media stream and the destination address for the received media stream in the respective IP network. For each terminal, each media stream usually has a certain peer of the media stream. Generally, the filtering rule only needs to filter the address of the peer end, so there is usually only one filtering rule.
  • the media gateway in the 64 protocol works in the routing mode, using the terminal to represent the interface, that is, the terminal corresponds to the interface, rather than an address in the IP network, and the corresponding filtering rule is set in On the terminal that represents the interface.
  • To set the firewall packet filtering rule on the interface a single filtering rule is not enough.
  • the firewall packet filtering rule on an interface may reach tens of thousands.
  • the media gateway controller cannot effectively control the filtering rules in the port on the media gateway, SP, usually the media gateway controller is almost impossible. Performs control operations such as auditing on the filtering rules in the attributes on the terminal of the media gateway. Summary of the invention
  • the technical problem to be solved by the embodiments of the present invention is to provide a method, a media gateway and a system for managing filtering rules.
  • the media gateway controller can be effectively implemented to manage packet filtering rules on the media gateway.
  • an embodiment of the present invention provides a method for managing a filtering rule, including: a media gateway receiving a processing message sent by a media gateway controller; and a media gateway according to a processing message sent by the media gateway controller
  • the packet filtering rule context is maintained.
  • the packet filtering rule context includes at least one filtering rule for performing packet filtering on the packet sent and received by the media gateway, where the processing message includes a message for creating, modifying, or deleting a packet filtering rule context.
  • an embodiment of the present invention provides a media gateway, including: a context processing unit, configured to maintain a packet filtering rule context according to a processing message sent by a media gateway controller, where the packet filtering rule context includes at least a filtering rule for performing packet filtering on the packet sent and received by the media gateway, where the processing message includes a message for creating, modifying, or deleting a packet filtering rule context; and a filtering unit, configured to: according to the context of the packet filtering rule The filtering rule performs packet filtering on the packet sent and received by the media gateway.
  • the embodiment of the present invention further provides a network system, including a media gateway controller and a media gateway, where the media gateway controller is configured to send a processing message to the media gateway, where the media gateway is configured to
  • the processing message sent by the media gateway controller maintains a packet filtering rule context, and receives the media gateway according to the filtering rule in the context of the packet filtering rule
  • the packet sent by the packet filtering rule includes at least one filtering rule for performing packet filtering on the packet sent and received by the media gateway, where the processing message includes a message for creating, modifying, or deleting a packet filtering rule context.
  • the packet filtering rule of the interface of the media gateway is controlled by using a method of processing a packet filtering rule in the media gateway, since there may be multiple contexts, All the filtering rules of the interface of the multimedia gateway are set, so that the context can be set multiple times through the message transmitted between the media gateway controller and the media gateway, so as to effectively implement the media gateway controller on the media gateway interface. Packet filtering rules are managed.
  • FIG. 1 is a schematic structural diagram of an NGN network in the prior art
  • FIG. 2 is a schematic flowchart of a specific embodiment of a method for implementing packet filtering according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a specific embodiment of a network system according to an embodiment of the present invention.
  • FIG. 4 is a schematic structural diagram of a context processing unit in a network system according to an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram 1 of a specific embodiment of a media gateway according to an embodiment of the present invention
  • FIG. 6 is a schematic structural diagram 2 of a specific embodiment of a media gateway according to an embodiment of the present invention. detailed description
  • FIG. 1 is a schematic structural diagram of an NGN network in the prior art.
  • the NGN network mainly includes MGC and MG.
  • the MGC is used to implement call state management and control of MG bearer resources.
  • the MG is configured to implement media stream establishment, modification, release, and resource management according to MGC control.
  • the MGC and the MG exchange information according to the H.248 protocol or the Media Gateway Control Protocol (MGCP), and the MG and the MG exchange information according to the RTP protocol.
  • MGCP Media Gateway Control Protocol
  • the inventor has found that if the packet filtering rule on the interface is described by the attribute on the terminal defined in the prior art, the attribute is in the attribute on a certain terminal.
  • the number of filtering rules may be up to tens of thousands, which causes the attribute to be very long.
  • FIG. 2 is a schematic flowchart diagram of a specific implementation manner of a method for implementing packet filtering according to an embodiment of the present invention. As shown in Figure 2, the method includes:
  • the media gateway maintains the packet filtering rule context according to the processing message sent by the media gateway controller.
  • the packet filtering rule context includes at least one filtering rule for performing packet filtering processing on the packet sent and received by the media gateway. After summarizing the single or multiple packet filtering rules saved in the context of all packet filtering rules involved in an interface, it is the complete list of packet filtering rules on the interface.
  • the processing message may be a message for creating, modifying, or deleting a packet filtering rule context
  • the corresponding media gateway may create a new packet filtering rule context according to the processing message sent by the media gateway controller, or modify the created packet filtering rule context. , or delete the created packet filtering rule Context, and after the creation, modification, or deletion of the packet filtering rule context is complete, a reply message is returned to the Media Gateway Controller.
  • Modifying the rule context includes adding, modifying, or deleting filter rules in the context of the packet filter rule.
  • the H.248 protocol is taken as an example to describe the meaning of the packet filtering rule context in the MGC.
  • various resources on the MG are abstractly represented as terminals (Termination).
  • the terminal is further divided into physical terminals and temporary (Ephemeral) terminals.
  • the former represents some semi-permanent physical entities, such as Time Division Multiplex (TDM) channels, and the latter represents some temporary applications.
  • the root terminal also represents the MG as a whole.
  • the combination between terminals can be expressed as a context.
  • the context can contain multiple terminals, so the topology is used to describe the interrelationship between the terminals. For a terminal that has not been associated with another terminal, it is included by a special context called a null (Nul l ) context.
  • Commands include Add, Modify, Subtract, Move, AuditValue, AuditCapabiities, Notify, ServiceChange. But not limited to these.
  • Command parameters also known as descriptors, are classified as Properties, Signals, Events, and Statistics, but are not limited to these. The parameters with business relevance are logically aggregated into a package.
  • a new context that is, a packet filtering rule context
  • the packet filtering rule context also includes one or more of the following attributes: a filtering rule object, information for identifying a network domain to which the filtering rule acts, or information for identifying an interface functioning by the filtering rule;
  • the identifier context is a packet filtering rule context.
  • the switch attribute is used to identify whether the filtering rule in the context of the packet filtering rule is valid.
  • the priority attribute is used to identify the priority of the filtering rule in the context of the packet filtering rule.
  • terminals in the context of the packet filtering rule, which is determined by the characteristics of the context of the packet filtering rule itself. These terminals are mainly added to ensure the existence of the packet filtering rule context, and some information can also be saved on these terminals, such as saving packet filtering rules, filtering rule objects, identification attributes, packet filtering rule switch attributes, priority attributes, and the like. . You can modify the context of the packet filtering rule in the commands of adding, deleting, modifying, and moving. From the perspective of the context of the packet filtering rule, modifying the context attribute of the packet filtering rule can be said to modify the context of the packet filtering rule.
  • the media gateway performs packet filtering on the packet sent and received by the media gateway according to the filtering rule in the context of the packet filtering rule.
  • the context includes:
  • the identity attribute can be the context attribute of the H.248 protocol FilterRule, the data type is Boolean (B00L, or bool type), and its value can be "Yes” or "No".
  • the default value can be set to "No”. When the attribute value is "Yes”, it indicates that the context is a packet filtering rule context; when the attribute value is "No”, it indicates that the context is not a packet filtering rule context.
  • the identity attribute can also be extended on the existing H.248 attribute.
  • the IP routing packet of H.248 has an attribute description context type, such as a back-to-back type, an IP route type, or a NAT type.
  • a new type enumeration value in this attribute is the packet filtering rule type.
  • the filtering rule can be the context attribute FilterRuleltem of the H.248 protocol, which is used to save the packet filtering rule item.
  • the media gateway controller or the media gateway can implement the operation and maintenance of the packet filtering rule.
  • the data type of the context attribute can be a string that holds an item of the packet filtering rule table.
  • Packet filtering rules can include one or more of the rules listed below:
  • Any packet entering or leaving the intranet cannot use the private address or 127. 0. 0/8 as the source or destination address. DHCP autoconfiguration and broadcast addresses are also blocked.
  • FilterRuleltem The syntax of FilterRuleltem is flexible, for example:
  • acout: 138.76.28.0/2" means a packet that is allowed to be sent to the network segment 138.76.28.0 with a mask of 255.255.255.0;
  • reject: 138.76.28.100:10000 means to reject the packet sent to the host with the address 138.76.28.100 and port 10000;
  • acout: 138.76.28.100:10000 means a package that is allowed to be sent to a host with an address of 138.76.28.100 and a port of 10000;
  • Attribute FilterRuleltem can store a packet filtering rule item in a string, or save multiple packet filtering rule items by using a separator.
  • FilterRuleltem can also be defined as a list of strings to hold multiple packet filtering rule entries.
  • the packet filtering rule context may be deleted by deleting all terminals in the existing packet filtering context, and the packet filtering rule carried by the context attribute FilterRuleltem in the context of the packet filtering rule Then it is deleted. Or directly delete the packet filtering rule item by setting the value of the context attribute FilterRuleltem to a null value.
  • the packet filtering rule switch attribute can be the context attribute of the H.248 protocol Fi lterRuleSwitch, which is used as a switch to indicate whether the packet filtering rule saved in the packet filtering context is used.
  • This attribute value can be of type B00L. If it is “Yes”, it means that the packet filtering rule saved in the packet filtering context is valid and needs to be used. If it is "No”, it means that the packet filtering rule saved in the packet filtering context is invalid.
  • the priority attribute can be the context attribute Fi lterRulePrior of the H.248 protocol.
  • the context attribute is used to describe the priority of the packet filtering rule.
  • the packet filtering rule with high priority is used first.
  • the value of this attribute can be an integer type. For example, the smaller the number, the higher the priority of the corresponding packet filtering rule.
  • the filtering rule object information may be a context attribute FilterRuleNetwork of the H.248 protocol, and the context attribute is used to identify information of a network domain to which the filtering rule applies or/and information of an interface, such as information describing a network domain in which the packet filtering rule acts, Or the information of the interface (logical interface or physical interface) acting on it, or the information of the interface plus the information of the network domain.
  • Step 1 The media gateway controller sends a message to the media gateway to create a packet filtering rule context.
  • the process of creating a packet filtering rule context is to add one or more terminals to a wildcard.
  • the media gateway returns the context ID assigned by the media gateway in the reply message.
  • the value of the context property FilterRule is "Yes", indicating that the context is a packet filtering rule context.
  • the value of the context attribute FilterRuleltem is "rein : 138. 76. 28. 0/24" means rejection from the network address 138.76.28.0, the packet of the network segment with the mask of 255.255.255.0.
  • FilterRuleSwitch is "yes” , indicating that the packet filtering rule is valid.
  • the context property FilterRulePrior has a value of 100, indicating a priority of 100.
  • Context attribute The value of FilterRuleNetwork is "interfacel", which means that the package is filtered and applied to interface interfacel.
  • Step 2 After receiving the message of the H.248 creation packet filtering rule context, the media gateway creates the new context C1 according to the indication in the H.248 message, and then returns a response message to the media gateway controller.
  • FilterRuleltem adds the packet filtering rule to interface interfacel to filter the packets transmitted on interface Interface1.
  • Step 1 The media gateway controller sends a message to modify the packet filtering rule context to the media gateway to modify the value of the attribute FilterRuleltem of the context C1, and modify it from "rein: 138.76.28.0/24" to "acin: 138.76.28.0/24 " ,
  • the modified rule indicates that the packet from the network segment with the network address 138.76.28.0 and the mask is 255.255.255.0 is allowed.
  • Step 2 The media gateway modifies the attribute of the context C1 according to the received message, and returns a response message to the media gateway controller. And modify the related packet filtering rules that are being used on the interface interfacel to filter the packets transmitted on the interface Interface1.
  • Step 1 The media gateway controller sends a message for deleting the packet filtering rule context to the media gateway, and deletes all terminals in the context C1.
  • Step 2 The media gateway deletes the context C1 or deletes all the filtering rules in the context C1 according to the indication, returns a response message to the media gateway controller, and deletes the packet filtering rule "acin: 138.76.28.0/24" on the interface interface1.
  • the packet filtering rule, the packet filtering rule switch, the priority, and the filtering rule object information are maintained by the context attribute. You can also maintain this information by maintaining the terminal attributes in the context, including in the terminal properties:
  • the filtering rule can be the property of the H.248 protocol Fi lterRuleltemT, which is carried in the terminal's localcontrol descriptor.
  • the data type of the context attribute and the saved information are the same as the context attribute Fi 1 terRul eltem in the previous embodiment.
  • the packet filtering rule switch attribute can be the attribute of the H.248 protocol Fi lterRuleSwitchT, and the packet filtering rule switch attribute is carried in the local control descriptor of the terminal.
  • the data type of the packet filtering rule switch attribute and the saved information are the same as the context attribute Fi l terRul eSwitch in the previous embodiment.
  • the priority attribute can be the attribute of the H.248 protocol Fi lterRulePriorT, which is carried in the localcontrol descriptor of the terminal.
  • the data type of the priority attribute and the saved information are the same as the context attribute Fi IterRulePrior in the previous embodiment.
  • the filtering rule object information may be the context attribute Fi lterRuleNetworkT of the H.248 protocol, which is carried in the localcontrol descriptor of the terminal.
  • the data type of the context attribute and the saved information are the same as the context attribute Fi lterRuleNetwork in the previous embodiment.
  • terminal attributes are set to the terminal in the context of the packet filtering rule.
  • the operation of these terminals can also be understood as the addition, modification and deletion of the packet filtering context.
  • the media gateway controller controls the packet filtering rule of the interface of the media gateway by adopting a method for processing a packet filtering rule context in the media gateway.
  • a method for processing a packet filtering rule context in the media gateway since there may be more than one context, it is possible to set all the filtering rules of the interface of the multimedia gateway in multiple times, so that the context can be set multiple times through the message transmitted between the media gateway controller and the media gateway.
  • the media gateway controller to manage packet filtering rules on the media gateway interface.
  • FIG. 3 is a schematic structural diagram of a specific embodiment of a network system according to an embodiment of the present invention.
  • the network system includes a media gateway 1 and a media gateway controller 2, wherein the media gateway controller 2 is configured to send a processing message to the media gateway 1, and the media gateway 1 is configured to perform processing according to the media gateway controller 2.
  • the message is used to maintain the packet filtering rule context, and the packet sent and received by the media gateway is filtered according to the filtering in the context of the packet filtering rule.
  • the packet filtering rule context includes at least one packet filtering for the packet sent and received by the media gateway. Filter rules.
  • the media gateway 1 includes:
  • the context processing unit 12 is configured to maintain, according to the processing message sent by the media gateway controller, a packet filtering rule context, where the packet filtering rule context includes at least one filtering rule for performing packet filtering on the packet sent and received by the media gateway.
  • the filtering unit 14 is configured to perform packet filtering on the packet sent and received by the media gateway according to the filtering rule in the context of the packet filtering rule.
  • the context processing unit 12 includes one or more of the following creation module 120, modification module 122, and deletion module 124:
  • FIG. 4 is a schematic structural diagram of a context processing unit in a network system according to an embodiment of the present invention. As shown in FIG. 4, the context processing unit 12 is a case where all three modules are included. At the same time, the context processing unit 12 further includes a response module 126 for returning a response message to the media gateway controller after the creation module 120 is created, or the modification module 122 is modified, or the deletion module 124 is deleted.
  • FIG. 5 is a schematic structural diagram 1 of a specific embodiment of a media gateway according to an embodiment of the present invention.
  • the media gateway may further include a storage unit 16 for storing a packet filtering rule context, and the storage unit 16 includes a rule module for storing the filtering rule.
  • the storage unit 16 may further include one or more of the following modules: an identifier attribute module, configured to store an identifier attribute whose context is a packet filter rule context; a packet filter rule switch attribute module, configured to store the identifier The switch attribute of the filter rule in the context of the packet filter rule is valid; the priority attribute module is configured to store a priority attribute of the priority of the filter rule in the context of the packet filter rule; the object module is configured to store the filter rule object information, The filtering rule object information is used to identify the information of the network domain to which the filtering rule applies or/and the information of the interface.
  • the case shown in Fig. 5 is the case where all of the above five modules are included.
  • FIG. 6 is a schematic structural diagram 2 of a specific embodiment of a media gateway according to an embodiment of the present invention.
  • the media gateway may include a terminal attribute storage unit 18, configured to store terminal attributes of the terminal in the context of the packet filtering rule, and the terminal attribute storage unit 18 includes a terminal rule storage module, configured to store the filtering rule in the terminal attribute.
  • the terminal attribute storage unit 18 further includes one or more of the following modules: a terminal object module, configured to store filter rule object information in the terminal attribute, and the filter rule object information is used to identify the network to which the filter rule applies.
  • the information of the domain or the information of the interface configured to store, in the terminal attribute, an identifier attribute whose identifier context is a packet filter rule context; a terminal packet filter rule switch attribute module, configured to store the identifier package in the terminal attribute A switch attribute that filters whether the filter rule in the rule context is valid.
  • the terminal priority attribute module is configured to store, in the terminal attribute, a priority attribute that identifies a priority of the filter rule in the context of the packet filter rule.
  • the media gateway may include the storage unit 16 and the terminal attribute storage unit 18 at the same time, or may include only one of them. As long as one of the included storage unit 16 or/and the terminal attribute storage unit 18 stores a filter rule, or correspondingly stores a corresponding attribute.
  • Each of the sub-modules in the element 16 and the terminal attribute storage unit 18 may cross-appear (ie, the corresponding filtering rule and some optional optional attributes may be partially implemented by the context attribute, and partially implemented by the terminal attribute).
  • the packet filtering rule of the interface of the media gateway is controlled by using a method of processing a packet filtering rule in the media gateway, since there may be multiple contexts, All the filtering rules of the interface of the multimedia gateway are set, so that the context can be set multiple times through the message transmitted between the media gateway controller and the media gateway, so as to effectively implement the media gateway controller on the media gateway interface. Packet filtering rules are managed.
  • the device embodiments described above are merely illustrative, wherein the units illustrated as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, ie may be located in one place. , or it can be distributed to multiple network elements. Some or all of the modules may be selected according to actual needs to achieve the purpose of the solution of the embodiment. Those of ordinary skill in the art can understand and implement without undue creative work.

Landscapes

  • Engineering & Computer Science (AREA)
  • Multimedia (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

一种管理过滤规则的方法、 媒体网关及系统 本申请要求 2008年 11月 7日提交中国专利局、申请号为 200810218964. 8、 发明名称为 "一种实现包过滤的方法、 媒体网关及系统" 的中国专利申请的 优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及网络通讯领域， 尤其涉及一种管理过滤规则的方法、 媒体网 关及系统。 背景技术
下一代网络 （Next Generation Network, NGN) 为分布式网络结构， 能 够有效承载语音、 视频和多媒体业务， 实现业务应用、 业务控制和业务传送 功能三者的分离。 现有 NGN网络主要包括媒体网关 （Media Gateway, MG) 和 媒体网关控制器 (Media Gateway Controller, MGC) 。 其中， MGC, 用于实 现呼叫状态的管理， 以及对 MG承载资源的控制； MG, 用于根据 MGC的控制实 现媒体流的建立、 修改、 释放以及资源管理。
通常媒体网关作为边界网关时工作在背靠背 （back-to-back, B2B)模式 下。 即在两个 IP网络各创建一个终端， 分配所在 IP网络的地址。 该地址在 各自的 IP网络中作为发出媒体流的源地址和接收媒体流的目的地址。 对于每 个终端来说， 通常每个媒体流都有确定的媒体流对端， 一般情况下过滤规则 只需要针对该对端的地址进行过滤， 所以过滤规则通常只有一条。
H. 248. 64协议中的媒体网关工作在路由模式， 使用终端代表接口， 即终 端对应的是接口， 而不是 IP网络中的某一地址， 相应的过滤规则则是设置在 了代表接口的终端上。 而要在接口上设置防火墙的包过滤规则， 单条过滤规 则是不够的， 某个接口上的防火墙包过滤规则可能达到几万条。
在实现本发明过程中， 发明人发现， 采用上述现有的技术， 无法实现媒 体网关控制器对媒体网关上的端口中的过滤规则的有效控制， SP， 通常情况 下媒体网关控制器几乎不可能对媒体网关的终端上的属性中的过滤规则进行 审计等控制操作。 发明内容
本发明实施例所要解决的技术问题在于， 提供一种管理过滤规则的方法、 媒体网关及系统。 可有效的实现媒体网关控制器对媒体网关上的包过滤规则 进行管理。
为了解决上述技术问题， 一方面， 本发明的实施例提供了一种管理过滤 规则的方法， 包括： 媒体网关接收媒体网关控制器发送的处理消息； 媒体网 关根据媒体网关控制器发送的处理消息对包过滤规则上下文进行维护， 所述 包过滤规则上下文中至少包括一条对所述媒体网关收发的报文进行包过滤的 过滤规则， 所述处理消息包括创建、 修改或删除包过滤规则上下文的消息。
另一方面， 本发明的实施例提供了一种媒体网关， 包括： 上下文处理单 元， 用于根据媒体网关控制器发送的处理消息对包过滤规则上下文进行维护， 所述包过滤规则上下文中至少包括一条对所述媒体网关收发的报文进行包过 滤的过滤规则， 所述处理消息包括创建、 修改或删除包过滤规则上下文的消 息； 过滤单元， 用于根据所述包过滤规则上下文中的所述过滤规则对所述媒 体网关收发的报文进行包过滤。
本发明实施例中还提供了一种网络系统， 包括媒体网关控制器和媒体网 关， 其中， 所述媒体网关控制器， 用于向所述媒体网关发送处理消息； 所述 媒体网关， 用于根据所述媒体网关控制器发送的处理消息对包过滤规则上下 文进行维护， 并根据所述包过滤规则上下文中的过滤规则对所述媒体网关收 发的报文进行包过滤， 所述包过滤规则上下文中至少包括一条对所述媒体网 关收发的报文进行包过滤的过滤规则， 所述处理消息包括创建、 修改或删除 包过滤规则上下文的消息。
在本发明实施例所提供的技术方案中， 由于采用处理媒体网关中的包过 滤规则上下文的方法对媒体网关的接口的包过滤规则进行控制， 由于该上下 文可以有多个， 这样就可以分多次对多媒体网关的接口的所有过滤规则进行 设置， 使得可以通过媒体网关控制器和媒体网关之间的传递的消息多次对上 下文进行设置， 以有效的实现媒体网关控制器对媒体网关接口上的包过滤规 则进行管理。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面 描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为现有技术中 NGN网络的结构示意图；
图 2为本发明实施例的实现包过滤的方法具体实施例的流程示意图； 图 3为本发明实施例的网络系统具体实施例的结构示意图；
图 4为本发明实施例的网络系统中上下文处理单元的结构示意图； 图 5为本发明实施例的媒体网关具体实施例的结构示意图一；
图 6为本发明实施例的媒体网关具体实施例的结构示意图二。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
图 1为现有技术中 NGN网络的结构示意图。如图 1所示， NGN网络主要包 括 MGC和 MG。 其中， MGC, 用于实现呼叫状态的管理， 以及对 MG承载资源的 控制； MG, 用于根据 MGC 的控制实现媒体流的建立、 修改、 释放以及资源管 理。 MGC 和 MG 之间根据 H. 248 协议或媒体网关控制协议 （Media Gateway Control Protocol , MGCP)进行信息交互， MG和 MG之间根据 RTP协议进行信 息交互。
在现有的技术条件下， 发明人在实现本发明实施例时发现， 如果通过现 有技术中定义的终端上的属性来描述接口上的包过滤规则， 则由于某一终端 上的属性中的过滤规则可能多达几万条， 而导致该属性非常长； 那么当媒体 网关控制器需要新建或修改媒体网关接口的过滤规则时， 由于上述终端上的 属性是作为整体进行修改等操作的， 因此， MGC向 MG发送包含上述过滤规则 的终端上的属性的修改消息时， 该消息会变得很长， 而 MGC和 MG通讯协议 H. 248中的消息在传输层允许的长度是有限。 因此， 通常情况下几乎不可能对 终端上的属性中的过滤规则进行审计等控制操作。
为此提出了如下所述的本发明实施例中的技术方案， 已解决上述问题。 图 2为本发明实施例的实现包过滤的方法的具体实施例的流程示意图。如图 2 所示， 该方法包括：
201、 媒体网关根据媒体网关控制器发送的处理消息对包过滤规则上下文 进行维护， 包过滤规则上下文中至少包括一条对媒体网关收发的报文进行包 过滤处理的过滤规则。 将某个接口涉及到的所有的包过滤规则上下文中保存 的单条或者多条包过滤规则汇总后， 就是该接口上的完整的包过滤规则列表。
其中， 处理消息可以是创建、 修改或者删除包过滤规则上下文的消息， 相应的媒体网关则可根据媒体网关控制器发送的处理消息创建新的包过滤规 则上下文， 或修改已创建的包过滤规则上下文、 或删除已创建的包过滤规则 上下文， 并在创建、 修改或删除包过滤规则上下文完成后， 向媒体网关控制 器返回应答消息。
创建包过滤规则上下文时可以创建一个内容为空的包过滤规则上下文， 也可以在创建包过滤规则上下文的同时通过设置上下文属性等方式设置该包 过滤规则上下文的过滤规则； 对已创建的包过滤规则上下文进行修改包括增 加、 修改或删除包过滤规则上下文中的过滤规则。
其中， 以 H. 248协议为例对 MGC中的包过滤规则上下文的意义进行描述: 在 H. 248协议中， MG上的各种资源被抽象表示为终端（Termination) 。 终端 又分为物理 （Physical ) 终端和临时 （Ephemeral ) 终端， 前者代表一些具有 半永久存在性的物理实体， 例如时分复用和复用 （Time Division Multiplex, TDM) 通道等， 后者代表一些临时申请用后释放的公共资源， 例如 RTP流等。 另以根 （Root ) 终端代表 MG 整体。 终端之间的组合可以表示为上下文 (Context ) 。 上下文可以包含多个终端， 因而以拓扑 （Topology) 来描述终 端间的相互关系。对于还未与其它终端发生关联的终端，由一个称为空（Nul l ) 上下文的特殊上下文来包含。
基于协议的这种抽象模型， 呼叫的接续实际上就是对终端和上下文的操 作。 这种操作通过 MGC和 MG之间的命令 （Command) 、 请求 （Request ) 和响 应（Reply)来完成。命令类型包括添加（Add)、修改（Modify )、删减（Subtract )、 移动 (Move ) 、 审计值 (AuditValue ) 、 审计會力 (AuditCapabi l ities ) 、 通报 （Notify ) 、 服务改变 （ServiceChange ) ， 但不限于这些。 命令参数， 也称为描述符（Descriptor )， 被分类为属性（Property )、信号（Signal ) 、 事件 （Event ) 、 统计 （Statistic ) ， 但不限于这些。 具有业务相关性的参 数逻辑上聚合成为包 （Package ) 。
H. 248协议消息中被创建的上下文中必须要加入终端，还可以在后续消息 中加入新的终端， 或者从上下文中删除或者挪走已有终端。 如果上下文中所 有终端都被删除或者挪走， 则该上下文也就没有存在的价值， 自动被删除。 本发明实施例中采用了一种的新的上下文， 即包过滤规则上下文， 来存 储过滤规则。 包过滤规则上下文中还包括下述属性中的一个或多个： 过滤规 则对象， 用于标识过滤规则作用的网络域的信息， 或用以标识过滤规则作用 的接口的信息； 标识属性， 用于标识上下文为包过滤规则上下文； 开关属性， 用于标识包过滤规则上下文中的过滤规则是否有效； 优先级属性， 用于标识 包过滤规则上下文中的过滤规则的优先级。
其中， 在包过滤规则上下文中有一个或者多个终端， 这是由包过滤规则 上下文本身的特性决定。 这些终端主要是为了保证包过滤规则上下文的存在 而被加入， 也可以在这些终端上保存一些信息， 比如保存包过滤规则、 过滤 规则对象、 标识属性、 包过滤规则开关属性、 优先级属性等信息。 可以在增 加， 删除， 修改， 移动等命令中修改包过滤规则上下文属性， 从包过滤规则 上下文的角度理解， 修改包过滤规则上下文属性可以说是对包过滤规则上下 文的修改操作。
202、 媒体网关根据包过滤规则上下文中的过滤规则对媒体网关收发的报 文进行包过滤。
对上述包过滤规则上下文进一歩进行举例如下， 该上下文中包括：
1 ) 标识属性， 本属性为可选
该标识属性可为 H. 248协议的上下文属性 FilterRule, 数据类型为布尔 (B00L, 或 bool 类型） ， 其取值可以为 "Yes "或者 "No" ， 默认值可设为 "No" 。 当该属性值为 "Yes " 时， 表示该上下文为一个包过滤规则上下文； 当该属性值为 "No" 时表示该上下文不是包过滤规则上下文。
该标识属性也可以在现有的 H. 248的属性上扩展， 如， 还 H. 248的 IP路 由包中有属性描述上下文的类型， 例如为背靠背类型， IP路由类型或者 NAT 类型等， 可以在该属性中新增一个类型枚举值为包过滤规则类型。
2 ) 过滤规则， 本属性为必选 过滤规则可为 H. 248协议的上下文属性 Fi lterRuleltem, 该上下文属性 用于保存包过滤规则项。 通过对该上下文属性值的设置和修改， 媒体网关控 制器或媒体网关可以实现对包过滤规则的操作和维护。 该上下文属性的数据 类型可为字符串， 该字符串保存包过滤规则表的一项。
包过滤规则可包括下面所列的规则中的一项或是多项：
拒绝来自某主机或某网段的连接；
允许来自某主机或某网段的连接；
拒绝来自某主机或某网段的指定端口的连接；
允许来自某主机或某网段的指定端口的连接；
拒绝本地主机或本地网络与其它主机或其它网络的所有连接；
允许本地主机或本地网络与其它主机或其它网络的所有连接；
拒绝本地主机或本地网络与其它主机或其它网络的指定端口的连接； 允许本地主机或本地网络与其它主机或其它网络的指定端口的连接； 任何进入内网的数据包不能将内部地址作为源地址；
任何进入内网的数据包必须将内部地址作为目的地址；
任何离开内网的数据包必须将内部地址作为源地址；
任何离开内网的数据包不能将内部地址作为目的地址；
任何进入或者离开内网的数据包不能把私有地址或者 127. 0. 0. 0/8作为 源地址或者目的地址。 DHCP自动配置和广播地址也要被阻塞。
属性 Fi lterRuleltem的语法比较灵活， 例如可以为：
"rein : 138. 76. 28. 0/24 "表示拒绝来自网络地址 138. 76. 28. 0， 掩码为
255. 255. 255. 0的网段的包；
" acin : 138. 76. 28. 0/24 "表示允许来自网络地址 138. 76. 28. 0， 掩码为
255. 255. 255. 0的网段的包；
"rein : 138. 76. 28. 100 : 10000 "表示拒绝来自地址为 138. 76. 28. 100, 端口为 10000的主机的包； "acin: 138.76.28.100:10000"表示允许来自地址为 138.76.28.100, 端口为 10000的主机的包；
"reout: 138.76.28.0/24"表示拒绝发往网络地址 138.76.28.0， 掩码 为 255.255.255.0的网段的包；
"acout: 138.76.28.0/24"表示允许发往网络地址 138.76.28.0， 掩码 为 255.255.255.0的网段的包；
"reout: 138.76.28.100:10000"表示拒绝发往地址为 138.76.28.100， 端口为 10000的主机的包；
"acout: 138.76.28.100:10000"表示允许发往地址为 138.76.28.100， 端口为 10000的主机的包；
"relnaddr"表示进入内网的数据包不能将内部地址作为源地址； " aclnaddr "表示进入内网的数据包必须将内部地址作为目的地址； "acOutaddr"表示离开内网的数据包必须将内部地址作为源地址； "reOutaddr"表示离开内网的数据包不能将内部地址作为目的地址； 类似的上述对属性具体内容的定义也可以有其他的方式， 此处不做赘述。 其中， 上下文属性 FilterRuleltem的一个字符串中可以保存一个包过滤 规则项， 也可以通过用分割符隔开的方式保存多个包过滤规则项。
上下文属性 FilterRuleltem 的数据类型还可以定义成字符串列表的形 式， 以保存多个包过滤规则项。
在建立新的包过滤上下文的时候， 可以通过设置上下文属性 FilterRuleltem的值的形式设置媒体网关的包过滤规则项目。
可以通过修改已有的包过滤上下文中的上下文属性 FilterRuleltem 的 值， 从而更改其保存的包过滤规则项。 这种操作可以理解成对包过滤规则上 下文的修改。
可以通过删除已有的包过滤上下文中所有终端的方式删除该包过滤规则 上下文， 该包过滤规则上下文中上下文属性 FilterRuleltem携带的包过滤规 则因此被删除。 或直接则将上下文属性 Fi lterRuleltem的值设置成空值的方 式删除包过滤规则项。
3 ) 包过滤规则开关属性， 本属性为可选
包过滤规则开关属性可为 H. 248协议的上下文属性 Fi lterRuleSwitch, 该属性用于作为开关， 表示该包过滤上下文中保存的包过滤规则是否被使用。 该属性值可为 B00L类型。 如果是 "Yes " ， 表示该包过滤上下文中保存的包 过滤规则有效， 需要被使用。 如果是 "No " ， 表示该包过滤上下文中保存的 包过滤规则无效。
4) 优先级属性， 本属性为可选
优先级属性可为 H. 248协议的上下文属性 Fi lterRulePrior,该上下文属 性用于描述包过滤规则的优先级别， 优先级别高的包过滤规则先被使用。 该 属性值可为整数类型， 如当数字越小时表示对应的包过滤规则的优先级别越 高。
5 ) 过滤规则对象信息， 本属性为可选
过滤规则对象信息可为 H. 248协议的上下文属性 Fi lterRuleNetwork,该 上下文属性用于标识适用过滤规则的网络域的信息或 /和接口的信息， 如描述 包过滤规则作用在的网络域的信息， 或者作用在的接口 （逻辑接口或者物理 接口） 的信息， 或者接口的信息加网络域的信息。
以上述对上下文中包含的具体内容为例对图 2中描述的过程举例如下：
1 ) 创建新的包过滤规则上下文的情况
歩骤一、 媒体网关控制器向媒体网关发送 H. 248创建包过滤规则上下文 的消息创建一个新的包过滤规则上下文， 创建包过滤规则上下文的过程是将 一个或者多个终端加入一个用通配符作为上下文 ID的上下文中， 媒体网关在 应答消息中返回媒体网关分配的上下文 ID。 在该消息中， 上下文属性 Fi lterRule的值为 "Yes "， 表示该上下文为包过滤规则上下文。 上下文属性 Fi lterRuleltem 的值为 "rein : 138. 76. 28. 0/24" 表示拒绝来自网络地址 138.76.28.0 , 掩码为 255.255.255.0 的网段的包。 上下文属性
FilterRuleSwitch 的值为 "yes" ， 表示该包过滤规则有效。 上下文属性 FilterRulePrior 的值为 100， 表示优先级别为 100。 上下文属性 FilterRuleNetwork 的值为 "interfacel" 表示该包过滤过则作用在接口 interfacel上。
歩骤二、 媒体网关接收到该 H.248创建包过滤规则上下文的消息后， 按 照 H.248消息中的指示创建上述新的上下文 C1, 然后返回应答消息给媒体网 关控制器。 并根据该上下文中的上下文属性 FilterRuleltem 在接口 interfacel上增加该包过滤规则，以便对接口 Interfacel上传输的报文包进 行过滤。
2) 修改上下文的情况
歩骤一、 媒体网关控制器向媒体网关发送修改包过滤规则上下文的消息 修改上下文 C1 的属性 FilterRuleltem 的值， 将其 由 "rein: 138.76.28.0/24"修改为 "acin: 138.76.28.0/24" ， 修改后的规则表示允 许来自网络地址 138.76.28.0， 掩码为 255.255.255.0的网段的包。
歩骤二、 媒体网关按照接收的消息修改上下文 C1的属性， 返回应答消息 给媒体网关控制器。并修改在接口 interfacel上正在使用的相关包过滤规则， 以便对接口 Interfacel上传输的报文包进行过滤。
3) 删除上下文或删除上下文中的过滤规则的情况
歩骤一、 媒体网关控制器向媒体网关发送删除包过滤规则上下文的消息， 删除上下文 C1中的所有终端。
歩骤二、 媒体网关按照指示删除上下文 C1或删除上下文 C1 中的所有过 滤规则， 返回应答消息给媒体网关控制器， 并删除接口 interfacel上的包过 滤规则 "acin: 138.76.28.0/24" 。 以上的实施例中通过上下文属性维护包过滤规则、 包过滤规则开关、 优 先级和过滤规则对象信息。 也可以通过维护上下文中的终端属性的方式维护 这些信息， 则在终端属性中包括：
(1)过滤规则， 本属性为必选
该过滤规则可为 H. 248协议的属性 Fi lterRuleltemT,该上下文属性在终 端的 localcontrol描述符中携带。 该上下文属性的数据类型以及保存的信息 和前面实施例中的上下文属性 Fi 1 terRul eltem相同。
(2)包过滤规则开关属性， 本属性为可选
包过滤规则开关属性可为 H. 248协议的属性 Fi lterRuleSwitchT,该包过 滤规则开关属性在终端的 localcontrol描述符中携带。 该包过滤规则开关属 性的数据类型以及保存的信息和前面实施例中的上下文属性 Fi l terRul eSwitch相同。
(3) 优先级属性， 本属性为可选
优先级属性可为 H. 248协议的属性 Fi lterRulePriorT, 该优先级属性在 终端的 localcontrol描述符中携带。 该优先级属性的数据类型以及保存的信 息和前面实施例中的上下文属性 Fi IterRulePrior相同。
(4) 过滤规则对象信息， 本属性为可选
过滤规则对象信息可为 H. 248协议的上下文属性 Fi lterRuleNetworkT, 该属性在终端的 localcontrol描述符中携带。 该上下文属性的数据类型以及 保存的信息和前面实施例中的上下文属性 Fi lterRuleNetwork相同。
这些终端属性被设置到包过滤规则上下文中的终端上。 对这些终端的操 作也可以理解为对包过滤上下文的增加， 修改和删除操作。
以上的过滤规则和增加的一些可选属性还可以部分通过上下文属性实 现， 部分通过终端属性实现。
在本发明实施例所提供的技术方案中， 媒体网关控制器通过采用处理媒 体网关中的包过滤规则上下文的方法对媒体网关的接口的包过滤规则进行控 制， 由于该上下文可以有多个， 这样就可以分多次对多媒体网关的接口的所 有过滤规则进行设置， 使得可以通过媒体网关控制器和媒体网关之间的传递 的消息多次对上下文进行设置， 以有效的实现媒体网关控制器对媒体网关接 口上的包过滤规则进行管理。
图 3为本发明实施例的网络系统具体实施例的结构示意图。 如图 3所示， 网络系统包括媒体网关 1和媒体网关控制器 2， 其中， 媒体网关控制器 2用于 向媒体网关 1发送处理消息； 媒体网关 1用于根据媒体网关控制器 2发送的 处理消息对包过滤规则上下文进行维护， 并根据包过滤规则上下文中的过滤 过则对媒体网关收发的报文进行包过滤， 包过滤规则上下文中至少包括一条 对媒体网关收发的报文进行包过滤的过滤规则。
其中， 媒体网关 1包括：
上下文处理单元 12， 用于根据媒体网关控制器发送的处理消息对包过滤 规则上下文进行维护， 包过滤规则上下文中至少包括一条对媒体网关收发的 报文进行包过滤的过滤规则；
过滤单元 14， 用于根据包过滤规则上下文中的过滤规则对媒体网关收发 的报文进行包过滤。
其中， 上下文处理单元 12包括下述创建模块 120、 修改模块 122和删除 模块 124中的一种或多种：
创建模块 120，用于根据媒体网关控制器发送的创建消息创建新的包过滤 规则上下文； 修改模块 122， 用于根据媒体网关控制器发送的修改消息修改已 创建的包过滤规则上下文， 其中， 修改已创建的包过滤规则上下文包括增加、 修改或删除包过滤上下文中的过滤规则； 删除模块 124， 用于根据媒体网关控 制器发送的删除消息删除已创建的包过滤规则上下文。 图 4为本发明实施例 的网络系统中上下文处理单元的结构示意图。 如图 4所示， 上下文处理单元 12为 3种模块都包括的情况。 同时， 上下文处理单元 12还包括应答模块 126， 用于在创建模块 120创 建完成、 或修改模块 122修改完成、 或删除模块 124删除完成后， 向媒体网 关控制器返回应答消息。
图 5为本发明实施例的媒体网关具体实施例的结构示意图一。 如图 5所 示， 媒体网关还可包括存储单元 16， 用于存储包过滤规则上下文， 存储单元 16包括规则模块， 用于存储过滤规则。进一歩的， 该存储单元 16还可包括下 述模块中的一个或多个： 标识属性模块， 用于存储标识上下文为包过滤规则 上下文的标识属性； 包过滤规则开关属性模块， 用于存储标识包过滤规则上 下文中的过滤规则是否有效的开关属性； 优先级属性模块， 用于存储标识包 过滤规则上下文中的过滤规则的优先级的优先级属性； 对象模块， 用于存储 过滤规则对象信息， 过滤规则对象信息用于标识适用过滤规则的网络域的信 息或 /和接口的信息。 图 5中所示的为上述 5个模块都包括的情况。
图 6为本发明实施例的媒体网关具体实施例的结构示意图二。 如图 6所 示， 媒体网关可包括终端属性存储单元 18， 用于存储包过滤规则上下文中的 终端的终端属性， 终端属性存储单元 18包括终端规则存储模块， 用于在终端 属性中存储过滤规则。 进一歩的， 该终端属性存储单元 18还包括下述模块中 的一个或多个： 终端对象模块， 用于在终端属性中存储过滤规则对象信息， 过滤规则对象信息用于标识适用过滤规则的网络域的信息或 /和接口的信息； 终端标识属性模块， 用于在终端属性中存储标识上下文为包过滤规则上下文 的标识属性； 终端包过滤规则开关属性模块， 用于在终端属性中存储标识包 过滤规则上下文中的过滤规则是否有效的开关属性； 终端优先级属性模块， 用于在终端属性中存储标识包过滤规则上下文中的过滤规则的优先级的优先 级属性。
其中， 媒体网关中可同时包括存储单元 16和终端属性存储单元 18， 也可 以仅包括其中一个。 只要包括的存储单元 16或 /和终端属性存储单元 18中的 一个存储有过滤规则， 或同时相应的存储有相应的属性即可。 即上述存储单 元 16和终端属性存储单元 18中的各子模块可以交叉出现 （即相应的过滤规 则和增加的一些可选属性可以部分通过上下文属性实现， 部分通过终端属性 实现） 。
在本发明实施例所提供的技术方案中， 由于采用处理媒体网关中的包过 滤规则上下文的方法对媒体网关的接口的包过滤规则进行控制， 由于该上下 文可以有多个， 这样就可以分多次对多媒体网关的接口的所有过滤规则进行 设置， 使得可以通过媒体网关控制器和媒体网关之间的传递的消息多次对上 下文进行设置， 以有效的实现媒体网关控制器对媒体网关接口上的包过滤规 则进行管理。
以上所描述的装置实施例仅仅是示意性的， 其中作为分离部件说明的单 元可以是或者也可以不是物理上分开的， 作为单元显示的部件可以是或者也 可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元 上。 可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案 的目的。 本领域普通技术人员在不付出创造性的劳动的情况下， 即可以理解 并实施。
通过以上的实施方式的描述， 本领域的技术人员可以清楚地了解到各实 施方式可借助软件加必需的通用硬件平台的方式来实现， 当然也可以通过硬 件。 基于这样的理解， 上述技术方案本质上或者说对现有技术做出贡献的部 分可以以软件产品的形式体现出来， 该计算机软件产品可以存储在计算机可 读存储介质中， 如 R0M/RAM、 磁碟、 光盘等， 包括若干指令用以使得一台计算 机设备 （可以是个人计算机， 服务器， 或者网络设备等） 执行各个实施例或 者实施例的某些部分所述的方法。
以上所述的实施方式， 并不构成对该技术方案保护范围的限定。 任何在 上述实施方式的精神和原则之内所作的修改、 等同替换和改进等， 均应包含 在该技术方案的保护范围之内。

Claims

权 利 要 求 书
1、 一种管理过滤规则的方法， 其特征在于， 所述方法包括：
媒体网关接收媒体网关控制器发送的处理消息；
所述媒体网关根据所述处理消息对包过滤规则上下文进行维护， 所述包 过滤规则上下文中至少包括一条对所述媒体网关收发的报文进行包过滤的过 滤规则， 所述处理消息包括创建、 修改或删除包过滤规则上下文的消息。
2、 如权利要求 1所述的方法， 其特征在于， 所述媒体网关根据所述处理 消息对包过滤规则上下文进行维护包括：
根据所述媒体网关控制器发送的创建包过滤规则上下文的消息创建新的 包过滤规则上下文， 或根据所述媒体网关控制器发送的修改包过滤规则上下 文的消息修改已创建的包过滤规则上下文、 或根据所述媒体网关控制器发送 的删除包过滤规则上下文的消息删除已创建的包过滤规则上下文；
在所述创建、 或修改、 或删除完成后， 向媒体网关控制器返回应答消息。
3、 如权利要求 2所述的方法， 其特征在于， 所述根据所述媒体网关控制 器发送的修改包过滤规则上下文的消息修改已创建的包过滤规则上下文包 括：
根据所述媒体网关控制器发送的修改包过滤规则上下文的消息增加、 或 修改、 或删除所述包过滤规则上下文中包括的过滤规则。
4、 如权利要求 1或 2所述的方法， 其特征在于， 所述包过滤规则上下文中 还包括下述上下文属性中的一个或多个：
过滤规则对象， 用于标识过滤规则作用在的网络域信息或接口信息； 标识属性， 用于标识所述上下文为包过滤规则上下文；
包过滤规则开关属性， 用于标识所述包过滤规则上下文中的过滤规则是 否有效；
优先级属性， 用于标识所述包过滤规则上下文中的过滤规则的优先级。
5、 如权利要求 1至 3中任一项所述的方法， 其特征在于， 所述包过滤规则 上下文中包括终端， 所述终端的终端属性中包括所述过滤规则。
6、 如权利要求 1至 3中任一项所述的方法， 其特征在于， 所述包过滤规则 上下文中包括终端， 所述终端的终端属性中包括下述属性中的一个或多个： 过滤规则对象， 用于标识过滤规则作用在的网络域的信息或 /和接口的信 息；
标识属性， 用于标识所述上下文为包过滤规则上下文；
包过滤规则开关属性， 用于标识所述包过滤规则上下文中的过滤规则是 否有效；
优先级属性， 用于标识所述包过滤规则上下文中的过滤规则的优先级。
7、 一种媒体网关， 其特征在于， 所述媒体网关包括：
上下文处理单元， 用于根据媒体网关控制器发送的处理消息对包过滤规 则上下文进行维护， 所述包过滤规则上下文中至少包括一条对所述媒体网关 收发的报文进行包过滤的过滤规则， 所述处理消息包括创建、 修改或删除包 过滤规则上下文的消息；
过滤单元， 用于根据所述包过滤规则上下文中的所述过滤规则对所述媒 体网关收发的报文进行包过滤。
8、 如权利要求 7所述的媒体网关， 其特征在于， 所述上下文处理单元包 括下述创建模块、 修改模块和删除模块中的一种或多种：
所述创建模块， 用于根据所述媒体网关控制器发送的创建包过滤规则上 下文的消息创建新的包过滤规则上下文；
所述修改模块， 用于根据所述媒体网关控制器发送的修改包过滤规则上 下文的消息修改已创建的包过滤规则上下文， 其中， 所述修改已创建的包过 滤规则上下文包括增加、 修改或删除所述包过滤上下文中的过滤规则；
所述删除模块， 用于根据所述媒体网关控制器发送的删除包过滤规则上 下文的消息删除已创建的包过滤规则上下文； 所述上下文处理单元还包括：
应答模块， 用于在所述创建模块创建完成、 或所述修改模块修改完成、 或所述删除模块删除完成后， 向媒体网关控制器返回应答消息。
9、 如权利要求 8所述的媒体网关， 其特征在于， 所述媒体网关中包括存 储单元， 所述存储单元包括规则模块， 用于存储所述过滤规则；
或， 所述存储单元还包括下述模块中的一个或多个：
对象模块， 用于存储过滤规则对象信息， 所述过滤规则对象信息用以标 识适用所述过滤规则的网络域的信息或 /和接口的信息；
标识属性模块， 用于存储标识所述上下文为包过滤规则上下文的标识属 性；
包过滤规则开关属性模块， 用于存储标识所述包过滤规则上下文中的过 滤规则是否有效的开关属性；
优先级属性模块， 用于存储标识所述包过滤规则上下文中的过滤规则的 优先级的优先级属性。
10、 如权利要求 8所述的媒体网关， 其特征在于， 所述媒体网关包括终端 属性存储单元， 用于存储包过滤规则上下文中的终端的终端属性；
所述终端属性存储单元包括终端规则存储模块， 用于在所述终端属性中 存储所述过滤规则。
11、 如权利要求 8或 10所述的媒体网关， 其特征在于， 所述终端属性存储 单元还包括下述模块中的一个或多个：
终端对象模块， 用于在所述终端属性中存储过滤规则对象信息， 所述过 滤规则对象信息用以标识适用所述过滤规则的网络域信息或 /和接口信息； 终端标识属性模块， 用于在所述终端属性中存储标识所述上下文为包过 滤规则上下文的标识属性；
终端包过滤规则开关属性模块， 用于在所述终端属性中存储标识所述包 过滤规则上下文中的过滤规则是否有效的开关属性； 终端优先级属性模块， 用于在所述终端属性中存储标识所述包过滤规则 上下文中的过滤规则的优先级的优先级属性。
12、 一种网络系统， 其特征在于， 所述系统包括媒体网关控制器和媒体 网关：
所述媒体网关控制器， 用于向所述媒体网关发送处理消息；
所述媒体网关， 用于根据所述媒体网关控制器发送的处理消息对包过滤 规则上下文进行维护， 并根据所述包过滤规则上下文中的过滤规则对所述媒 体网关收发的报文进行包过滤， 所述包过滤规则上下文中至少包括一条对所 述媒体网关收发的报文进行包过滤的过滤规则， 所述处理消息包括创建、 修 改或删除包过滤规则上下文的消息。
PCT/CN2009/074538 2008-11-07 2009-10-20 一种管理过滤规则的方法、媒体网关及系统 WO2010051731A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
ES09824386.8T ES2573705T3 (es) 2008-11-07 2009-10-20 Procedimiento, pasarela multimedia y sistema para gestionar reglas de filtrado
EP09824386.8A EP2339808B1 (en) 2008-11-07 2009-10-20 Method, media gateway and system for managing filtering rules
US13/102,779 US8571047B2 (en) 2008-11-07 2011-05-06 Method, media gateway and system for managing a filter rule

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810218964.8A CN101741821A (zh) 2008-11-07 2008-11-07 一种实现包过滤的方法、媒体网关及系统
CN200810218964.8 2008-11-07

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/102,779 Continuation US8571047B2 (en) 2008-11-07 2011-05-06 Method, media gateway and system for managing a filter rule

Publications (1)

Publication Number Publication Date
WO2010051731A1 true WO2010051731A1 (zh) 2010-05-14

Family

ID=42152487

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/074538 WO2010051731A1 (zh) 2008-11-07 2009-10-20 一种管理过滤规则的方法、媒体网关及系统

Country Status (5)

Country Link
US (1) US8571047B2 (zh)
EP (1) EP2339808B1 (zh)
CN (2) CN101741821A (zh)
ES (1) ES2573705T3 (zh)
WO (1) WO2010051731A1 (zh)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130067488A1 (en) * 2010-05-19 2013-03-14 Hughes Systique India Private Limited Method and system for efficient inter- process communication in a high availability system
US9565213B2 (en) * 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9154414B2 (en) * 2013-05-30 2015-10-06 Cisco Technology, Inc. Reverse path forwarding router system
FR3034608A1 (fr) * 2015-03-31 2016-10-07 Orange Procede de priorisation de flux medias dans un reseau de communications
CN106301982B (zh) * 2015-05-29 2020-01-07 中国移动通信集团公司 一种接口消息监测方法及装置
US9723027B2 (en) 2015-11-10 2017-08-01 Sonicwall Inc. Firewall informed by web server security policy identifying authorized resources and hosts
US9860259B2 (en) 2015-12-10 2018-01-02 Sonicwall Us Holdings Inc. Reassembly free deep packet inspection for peer to peer networks
US11134057B2 (en) * 2018-08-27 2021-09-28 The Boeing Company Systems and methods for context-aware network message filtering
CN109063199B (zh) * 2018-09-11 2022-10-25 优视科技有限公司 资源过滤方法及其装置、电子设备、计算机可读介质
CN110278558B (zh) * 2019-07-25 2022-09-13 迈普通信技术股份有限公司 报文的交互方法及wlan系统
CN112702311B (zh) * 2020-11-30 2022-10-14 锐捷网络股份有限公司 一种基于端口的报文过滤方法和装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1870631A (zh) * 2005-11-11 2006-11-29 华为技术有限公司 媒体网关的门控方法
CN101005496A (zh) * 2006-06-27 2007-07-25 华为技术有限公司 媒体网关分组过滤方法及媒体网关

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7254832B1 (en) * 2000-08-28 2007-08-07 Nortel Networks Limited Firewall control for secure private networks with public VoIP access
FR2844415B1 (fr) * 2002-09-05 2005-02-11 At & T Corp Systeme pare-feu pour interconnecter deux reseaux ip geres par deux entites administratives differentes
US7380011B2 (en) * 2003-10-01 2008-05-27 Santera Systems, Inc. Methods and systems for per-session network address translation (NAT) learning and firewall filtering in media gateway
CN1905555B (zh) 2005-07-30 2010-07-07 华为技术有限公司 基于ngn业务的防火墙控制系统及方法
US9246938B2 (en) * 2007-04-23 2016-01-26 Mcafee, Inc. System and method for detecting malicious mobile program code

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1870631A (zh) * 2005-11-11 2006-11-29 华为技术有限公司 媒体网关的门控方法
CN101005496A (zh) * 2006-06-27 2007-07-25 华为技术有限公司 媒体网关分组过滤方法及媒体网关

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2339808A4 *

Also Published As

Publication number Publication date
ES2573705T3 (es) 2016-06-09
EP2339808A1 (en) 2011-06-29
EP2339808B1 (en) 2016-03-23
CN105897702B (zh) 2019-03-19
CN101741821A (zh) 2010-06-16
US8571047B2 (en) 2013-10-29
EP2339808A4 (en) 2012-05-16
CN105897702A (zh) 2016-08-24
US20110211586A1 (en) 2011-09-01

Similar Documents

Publication Publication Date Title
WO2010051731A1 (zh) 一种管理过滤规则的方法、媒体网关及系统
WO2009121305A1 (zh) 网络地址转换地址映射表维护方法、媒体网关及其控制器
US8472430B2 (en) VoIP packet prioritization
US7068598B1 (en) IP packet access gateway
WO2022033121A1 (zh) 一种kubernetes中资源暴露方法、系统、设备以及介质
CN108075920A (zh) 一种视联网终端的管理方法和系统
JP2006109407A (ja) コールの再構成時にコール・コンポーネントをマージするための方法および装置
US20070076634A1 (en) Network management apparatus and network system
WO2007140691A1 (fr) Procédé, appareil, et système de mise en œuvre du service de configuration vpn
WO2012016536A1 (zh) 一种接入网设备的服务通信方法及系统
WO2015180040A1 (zh) 流表管理方法及相关设备和系统
WO2005011216A1 (fr) Systeme et procede pour realiser une commutation d'appels multimedia dans un reseau prive
CN108810581A (zh) 一种软件菜单的更新方法和装置
EP2062426A2 (en) Methods, systems, and computer program products for associating independent legs of a call in a telecommunications network
WO2012000364A1 (zh) 实现会议电视系统跨网段信令互通的方法及系统
CN111193767B (zh) 请求数据发送方法、装置和集群化服务器系统
CN108206927A (zh) 一种会议同步方法和装置
EP2701358B1 (en) Method, device, and system for implementing multimedia data recording
CN109951668B (zh) 一种视联网终端与互联网终端通话的方法和装置
WO2010054561A1 (zh) 一种媒体流代理方法、语音交换机及通信系统
CN101552747B (zh) 路由管理方法、装置和系统
EP1185069A2 (en) Method and system for providing anonymity in an IP telephony network
US7477647B2 (en) Method of control common call connection and media gateway for executing the method
CN116325659A (zh) 用于合法侦听的分组的路由的方法、系统和计算机可读介质
WO2008151559A1 (fr) Procédé, système et appareil pour sélectionner une passerelle de médias virtuels

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09824386

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009824386

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE