WO2010060385A1 - 一种跨越虚拟防火墙发送和接收数据的方法、装置及系统 - Google Patents

一种跨越虚拟防火墙发送和接收数据的方法、装置及系统 Download PDF

Info

Publication number
WO2010060385A1
WO2010060385A1 PCT/CN2009/075185 CN2009075185W WO2010060385A1 WO 2010060385 A1 WO2010060385 A1 WO 2010060385A1 CN 2009075185 W CN2009075185 W CN 2009075185W WO 2010060385 A1 WO2010060385 A1 WO 2010060385A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
security
unit
decrypted
virtual firewall
Prior art date
Application number
PCT/CN2009/075185
Other languages
English (en)
French (fr)
Inventor
朱志强
张日华
侯贵斌
徐勇
谢文辉
马擘
高国鲁
陆晓萍
付翠花
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Priority to EP09828645.3A priority Critical patent/EP2357763B1/en
Priority to ES09828645.3T priority patent/ES2546136T3/es
Publication of WO2010060385A1 publication Critical patent/WO2010060385A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method, apparatus, and system for transmitting and receiving data across a virtual firewall.
  • a firewall refers to a combination of components that are placed between different networks, such as a trusted intranet and an untrusted public network or network security zone. Firewalls often use security zones to develop security policies to monitor, limit, or change data flows across firewalls, shielding the internal information, structure, and health of the network as much as possible to protect the internal network. .
  • the virtual firewall is the logical sub-entity of the firewall main system 4, and it acts as an independent firewall for users.
  • the firewall primary system is called the root firewall, and the root firewall is one.
  • the number of virtual firewalls can be dynamically created according to the configuration, at least one. By creating a logical virtual firewall on the firewall, the remaining throughput in the system can be used for rental services while meeting the system's own needs, thereby increasing the return on benefits.
  • the VPN technology has become the mainstream technology of the virtual firewall technology.
  • Each virtual firewall is a combination of a VPN instance, a security instance, and a configuration instance. It can provide a private routing and forwarding plane, security service, and configuration management plane for the virtual firewall user.
  • IPSec Interne t Protocol
  • the IPSec protocol provides high-quality, inter-connected IP data.
  • the specific communication parties use encryption and data source authentication at the IP layer to ensure the privacy, integrity and authenticity of the data transmitted on the network.
  • a virtual security zone and a virtual security zone (VZ0NE domain) for transiting data flows are respectively disposed in the virtual firewall and the root firewall, respectively, in the virtual firewall and Set the respective ports on the private security zone that has been set in the root firewall, and set security policies between the virtual firewall and the security zone of the root firewall respectively.
  • the sender uses the firewall to which the data flow belongs.
  • the security policy between the source security zone and the virtual security zone of the firewall filters the data flow, and transmits the filtered data to the receiving end.
  • the receiving end uses the destination security zone of the firewall reached by the data flow and the virtual security zone of the firewall.
  • the security policy between the two filters the data flow.
  • the VZ0NE domain when processing the data flow across the firewall, the VZ0NE domain needs to be configured for each firewall. In addition to configuring the security policy between the security zones of the firewall, the private security zone and the VZ0NE domain in the firewall need to be separately configured. Between the security policy, as the VFW continues to increase, the VZ0NE domain to be configured is also increasing, and more and more security policies need to be configured. The configuration is very complicated. Moreover, in the prior art, when the data stream is forwarded across the firewall, each data stream must be separately filtered at the transmitting end and the receiving end to implement the data stream forwarding, which is not only complicated in processing but also inter-domain between the firewalls. Relationships are very difficult to manage.
  • Embodiments of the present invention provide a method for transmitting and receiving data across a virtual firewall, which can simplify processing of inter-domain relationships when forwarding data across different virtual firewalls.
  • An embodiment of the present invention provides a method for transmitting data across a virtual firewall, where the virtual firewall is provided with a corresponding security tunnel, and the security tunnel is provided with a protection domain, and the method for transmitting data across the virtual firewall includes: The virtual firewall performs security filtering on the data by using a security policy between the security zone where the data entry port is located and the protection zone of the security tunnel of the first virtual firewall, and sends the data to the security tunnel of the first virtual firewall.
  • the security tunnel of the first virtual firewall encrypts the data that is filtered by the security, and sends the encrypted data to the second virtual firewall by using the security tunnel of the first virtual firewall, where the second virtual firewall is used. The data is sent out.
  • a method for receiving data across a virtual firewall where the virtual firewall is provided with a corresponding security tunnel, and the security tunnel is provided with a protection domain, and the virtual firewall is The method for receiving data by the firewall includes: receiving, by the first virtual firewall, data to be decrypted, finding a decryption security tunnel of the data, and transmitting the data to the decryption security tunnel; and decrypting the security tunnel to decrypt the data, and Modifying the security zone to which the entry port belongs in the decrypted data to the protection domain of the decrypted security tunnel; the second virtual firewall adopts a security policy pair between the protection domain of the decrypted security tunnel and the security zone where the data arrives The data is subjected to security filtering.
  • the embodiment of the present invention further provides a sending device, including a first security processing unit, an encryption unit, and a sending unit, where the first security processing unit is provided with a security area, and each security area is separately provided with a security policy,
  • the encryption unit is provided with a protection domain, where:
  • the first security processing unit is configured to perform security filtering on the data by using a security policy between the security zone to which the data entry port belongs and the protection zone of the encryption unit, and send the security filtered data to the encryption unit;
  • the encryption unit is configured to encrypt data that is used by the first security processing unit, and send the encrypted data to the sending unit;
  • the sending unit is configured to send the encrypted data by the encryption unit.
  • the embodiment of the present invention further provides a receiving device, including a receiving unit, a decrypting unit, and a second security processing unit.
  • the second security processing unit is provided with a security area, and a security policy is set between each security area, and the decryption is performed.
  • a protection field is set in the unit:
  • the receiving unit is configured to receive data to be decrypted, search for a decryption unit of the data, and send the data to the decryption unit;
  • the decrypting unit is configured to decrypt the data to be decrypted received by the receiving unit, and modify the security area to which the entry port belongs to the protection domain of the decryption unit;
  • the second security processing unit securely filters the data by using a security policy between the protection domain of the decryption unit and the security zone to which the data arrives.
  • the embodiment of the present invention further provides a network system, including a sending device and a receiving device, where the sending device and the receiving device are both provided with a security area and a protection domain, and the protection domain in the sending device is in the sending device.
  • a security zone the protection zone of the receiving device is a security zone in the receiving device, and a security policy is set between the security zone of the sending device and the receiving device, where: the sending device adopts a security zone to which the data entry port belongs.
  • the security policy between the protection domains encrypts and transmits the data after performing security filtering on the data; the receiving device is used to connect Receiving response data of the data sent by the sending device, the response data is the data to be decrypted from the destination address to the local end, decrypting the data to be decrypted after receiving the data to be decrypted, and the access port in the decrypted data belongs to
  • the security zone is modified to be a protection domain in the receiving device, and the data is used for security filtering by using the protection domain and the security zone in the receiving device.
  • the technical solution of the embodiment of the present invention implements the method for forwarding data across the virtual firewall by using the secure tunnel as above, and simplifies the inter-domain between different virtual firewalls while ensuring the security of data transmission.
  • the processing of the relationship directly using the security policy between the two domains in the same virtual firewall to securely filter the data flow, can simply handle the inter-domain relationship of the data flow across the firewall, and realize the forwarding of data across the virtual firewall.
  • the configuration is simple and easy to manage.
  • the method also effectively implements the reuse of the ports of the virtual firewall, which greatly saves resources.
  • FIG. 1 is a schematic structural diagram of a firewall according to an embodiment of the present disclosure
  • FIG. 2 is a schematic diagram of a process of transmitting data across a firewall according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a process of receiving data across a firewall according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of a sending device according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of a receiving device according to an embodiment of the present disclosure.
  • FIG. 6 is a schematic diagram of a network system according to an embodiment of the present invention.
  • VFW0, VFW1, and VFW2 are the three virtual firewalls of the firewall.
  • V0W0, VFW1, and VFW2 are respectively configured with port 0, port 1, and port 2.
  • Each virtual firewall is divided into multiple security zones.
  • the security zone is divided into two security zones, including an Untrus t zone and a Trus t zone, and security zones are set in each virtual firewall. Strategy.
  • the dotted line a in Fig. 1 indicates the data flow direction sent by VFW1, and the data is sent out through port 0 in VFW0.
  • the dotted line a' in Fig. 1 indicates the response data of the data indicated by the aforementioned broken line a received by WW1, and the data is entered through port 0 in VFW0.
  • an IPSecl tunnel is configured, and the IPSecl exit is port 0 in VFW0. It should be noted that IPSecl is "one-way".
  • IPSecl protects the data sent by VFW1 that needs to be sent to the public network through VFW0 (as indicated by the dotted line a in Figure 1) and The response data of the data (the response data of the data indicated by the broken line a is indicated by a broken line a' in FIG. 1), that is, the response data of the aforementioned data to be received by the VFW1 to be transmitted through the data transmitted to the public network or the VFW0 is allowed to enter.
  • IPSecl is encrypted or decrypted. If the data to be sent from VFW0 through VFW1 can only be protected by VFW1 IPSec tunnel configured for VFW0.
  • the protection domain of the IPSecl is the Untrus t domain of the VFW1. As long as it is a safe area in VFW1.
  • the dotted line b in Fig. 1 indicates the data flow direction sent by VFW2, and the data is also transmitted through port 0 in VFW0.
  • the broken line b in Fig. 1 indicates the response data of the data indicated by the aforementioned broken line b received by the VFW 2, and the response data is entered through the port 0 in w.
  • an IPSec2 tunnel is configured, and the egress of IPSec2 is port 0 in VFW0.
  • IPSec2 is also "one-way", that is, IPSec2 only protects the data sent from VFW2 that needs to be sent to the public network through VFW0 (as indicated by the dotted line b in Figure 1) and the response data of the data ( The response data of the data indicated by the broken line b is indicated by a broken line b in Fig. 1).
  • the IPSec2 protection domain is configured as the Untrus t domain in VFW2, but is not limited to the Untrus t domain in 2, as long as it is in VFW2, in order to handle the inter-domain relationship between the data and the virtual firewall.
  • the safe area is fine.
  • FIG. 2 is a schematic flowchart of processing data sent across a virtual firewall according to an embodiment of the present invention.
  • the schematic diagram shows a process for processing data by using a virtual firewall provided by an embodiment of the present invention as a data transmission.
  • the following is a combination of a broken line a and a broken line b in FIG.
  • the process flow is shown across the virtual firewall to describe the process flow.
  • Step 201 In the first virtual firewall, the security policy between the security zone where the data entry port is located and the protection zone of the IPSec tunnel of the first virtual firewall is used to securely filter data, and the security filtered data is sent to the first An IPSec tunnel of a virtual firewall.
  • the dotted line a in Figure 1 indicates the data sent by VFW1 to the outside, and the data needs to pass through VFW0.
  • the security policy between the Trus t domain where the data entry port 1 is located and the IPSecl protection domain of VFW1 is used to securely filter data.
  • the dotted line b in Fig. 1 indicates the data sent by the VFW2 to the outside, and the data needs to pass through VFW0.
  • the IPSec2 of the protection data is configured for the VFW2 at the time of configuration, and the Unt rus t security area of the VFW2 is set to the protection domain of the IPSec2, when the data is transmitted from the VFW2, the Trus t domain where the data enters the port 2 is used.
  • the security policy between the protection domain of IPSec2 of VFW2 securely filters data.
  • Step 202 The IPSec tunnel of the first virtual firewall encrypts the data that is filtered by the security, and sends the encrypted data to the second virtual firewall by using the IPSec tunnel.
  • the data indicated by the dotted line a is filtered, the data is encrypted by the IPFcl of the VFW1, and the encrypted data is forwarded from the VFW0 to the public network.
  • the data indicated by the dotted line b is filtered through security.
  • the data is encrypted by IPSec2 of VFW2, and the encrypted data is forwarded from VFW0 to the public network.
  • the method for sending the encrypted data to the second virtual firewall in step 202 may use the method of marking the encrypted data on the second virtual firewall, or may be used in the forwarding list of the data.
  • the manner of indicating the second virtual firewall of the data is not limited to the above two methods.
  • Step 203 The second virtual firewall sends data.
  • the security of forwarding data across the VFW is ensured due to the configuration of the IPSec tunnel.
  • the IPSeccl protection zone and the IPSec2 protection zone are configured for the IPSec and IPSec2, and the IPSec2 protection zone is the original Untrus t security zone of the VFW1.
  • the IPSec2 protection zone is also the original Untrus t security zone of the VFW2.
  • VFW2 Process flow of inter-domain relationships during VFW forwarding.
  • VFW2 when VFW2 sends data, it also uses the security policy between security zones in VFW2 to securely filter data.
  • the data in the VFW0 can be forwarded through the IPSeccl and IPSec2 encryption, so that the data in multiple VFWs can be forwarded through the same port, which achieves the purpose of port multiplexing and saves resources. .
  • FIG. 3 is a schematic flowchart of processing data received across a virtual firewall according to an embodiment of the present invention.
  • the schematic diagram shows a processing flow of data when a virtual firewall receives data according to an embodiment of the present invention, where the data is data to be decrypted, and the purpose of the data is The address is the terminal to the local end.
  • the response data of the data transmitted by ⁇ and VFW2 (indicated by the broken line a and the broken line b in FIG. 1) in the foregoing embodiment will be received by the local end firewall (as shown by the broken line a and the broken line b' in FIG. 1).
  • the processing flow is described as an example.
  • Step 301 The first virtual firewall receives the data to be decrypted, and searches for the decrypted IPSec tunnel of the data to be decrypted, and then sends the data to the IPSec tunnel.
  • a broken line a in Fig. 1 indicates response data of data indicated by the aforementioned broken line a received by VFW1, and the response data is entered by port 0 in VFW0.
  • the broken line b' indicates the response data of the data indicated by the aforementioned broken line b received by the VFW2, and the response data is also entered by the port 0 in . Therefore, the source firewall VFW0 searches for the decryption tunnel for the incoming response data, sends the response data indicated by a' to its decryption tunnel IPSecl, and sends the response data indicated by b' to its decryption tunnel IPSec2.
  • Step 302 The IPSec tunnel decrypts the data, and the security zone to which the entry port belongs in the decrypted data is modified into the protection domain of the IPSec tunnel.
  • IPSecl decrypts the response data indicated by a', and modifies the parameters of the response data indicating the security zone in which the port is located (that is, the Trus t area where port 0 of the firewall VFW0 is located).
  • IPSecl protection domain that is, Untrus t domain of VFW1
  • IPSec2 IPSec2 to b'
  • the parameters in the security area where the port is located that is, the Trus t area where port 0 of the firewall VFW0 is located
  • the parameters in the security area where the port is located that is, the Trus t area where port 0 of the firewall VFW0 is located
  • the parameters in the security area where the port is located that is, the Trus t area where port 0 of the firewall VFW0 is located
  • IPSec2 that is, the Untrus t field of VFW2
  • Step 303 The second virtual firewall performs security filtering on the data by using a security policy between the protection domain of the IPSec tunnel and the security zone where the data arrives.
  • the response data indicated by the dotted line a' enters the VFW1 and uses the protection domain of IPSecl (ie, the Unt rus t security zone of 1) and the security zone where the data arrives (ie, the Trus t domain in the middle).
  • the security policy is used to perform security filtering on the data.
  • the dotted line b indicates that the response data enters VFW2 and adopts the protection domain of IPSec2 (that is, the Untrus t security zone of VFW2) and the security zone where the data arrives (that is, the Trus t domain in VFW2).
  • the security policy between the two is to securely filter the data.
  • the method for finding the decryption tunnel of the data described in step 301 may be implemented by taking the destination IP of the data and the serial peripheral interface SPI (a protocol field in the AH, ESP protocol, ie, Ser ia l Per iphera l interface Three parts of the serial peripheral interface and the protocol type, through which the three sections find the tunnel that the data needs to enter.
  • SPI serial peripheral interface SPI
  • the manner of modifying the security zone to which the ingress port belongs in the decrypted data may be performed by adding a label of the protection domain of the IPSec tunnel to the data, or marking the forwarding list of the data in the forwarding list of the data.
  • the security zone to which the ingress port of the data belongs is the manner of the IPSec tunnel protection domain. It is not limited to the above two methods.
  • the technical solution provided by the embodiment of the present invention uses the virtual firewall as the IPSec channel when the local firewall sends data, and ensures the security of the data when the virtual firewall receives the response data as the local firewall. . And because the inbound domain of the data is modified, when the inter-domain relationship of the data across the virtual firewall is processed, only the security policy between the original security zones in the second virtual firewall that the data arrives is used to securely filter the data, and reduce the data. The processing flow of complex inter-domain relationships in the prior art.
  • the number of ports of the virtual firewall is controlled by the firewall device used, and is not limited to the three ports shown in FIG. 1 .
  • the port in the embodiment of the present invention is not limited to a physical port or a virtual port, as long as the port can be set to the VFW.
  • the number of VFWs is determined by the number of ports, that is, one VFW can be configured for each virtual port. Any one of the VFWs in the embodiment of the present invention
  • the ports in the port can be used as the common outgoing port of other VFWs, as port 0 in Figure 1.
  • an exit may be arbitrarily set for data that needs to be forwarded across the virtual firewall, as long as the corresponding IPSec is configured for the virtual firewall before forwarding the data.
  • the tunnel can be.
  • the data in VFW1 can be sent through VFTO or through VFW2.
  • the data sent by VFW0 can also be sent via VFW1 or 2.
  • the method for sending data and receiving data across the virtual firewall is not only applicable to the virtual firewall, but also can be regarded as a special virtual firewall, and is suitable for data forwarding between the root firewall and the virtual firewall. .
  • the IPSec technology is adopted when processing data across the virtual firewall, and the protection domain is configured for the IPSec tunnel, and the security of the data across the virtual firewall is ensured,
  • the virtual security zone needs to be configured separately. Instead, the original security zone of the virtual firewall and the security policy between the domains are used to securely filter data, thereby reducing the configuration of complex inter-domain security policies in the prior art. Only one security filtering is required in the process to ensure data security and reduce the processing flow of inter-domain relationships.
  • each VFW can forward and share ports with each other. Therefore, the ports of the firewall are reused, which greatly saves resources.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).
  • the sending device includes a first security processing unit 401, an encryption unit 402, and a sending unit 403.
  • the security processing unit 401 and the sending unit 403 are both provided with a security area.
  • the encryption unit 402 includes an encryption module 4021 and an identification module 4022, wherein the encryption module 4021 encrypts the data in the first security processing unit 401, and includes an Unt rus t domain and a Trus t domain.
  • the identification module 4022 causes the encrypted data to enter the sending unit, and the encryption unit 402 is provided with a protection domain, which is the first security processing list.
  • the Unt rus t field in the element 401 is not limited to the Unt rus t field in the first security processing unit 401, as long as it is the security area in the first security processing unit 401.
  • the first security processing unit 401 securely filters data by using a security policy between the security zone where the data entry port is located and the protection zone of the encryption unit 402, and sends the security filtered data to the power density unit 402.
  • the encryption unit 402 is configured to encrypt data that is passed through the first security processing unit 401, and send the encrypted data to the sending unit 403.
  • the encryption unit 402 includes an encryption module 4021 and an identification module 4022, wherein the encryption module 4021 encrypts data from the first security processing unit 401, and the identification module 4022 is configured to pass the encryption module.
  • the encrypted data is sent to the sending unit 403, and the identifying module 4022 can mark the encrypted data by marking the sending unit 403 or by indicating the sending unit 403 in the forwarding list of the data.
  • the data is transmitted to the transmitting unit 403, and is not limited to the above two modes.
  • the sending unit 403 is configured to send the encrypted data by the encryption unit 402.
  • the transmitting device described herein includes a firewall or a firewall device, and the specific implementation of the encryption unit may be an I PSec tunnel.
  • FIG. 5 is a schematic diagram of a receiving device according to an embodiment of the present invention, where the receiving device includes a receiving unit 501, a decrypting unit 502, and a second security processing unit 503, wherein the receiving unit 501 and the second security processing unit 503 are both provided with Security zone (including Unt rus t domain and Trus t domain), and receiving unit
  • Security zone including Unt rus t domain and Trus t domain
  • the decryption unit 502 includes a decryption module 5021 and a modification module 5022.
  • the decryption unit 502 is provided with a protection domain, and the protection domain is provided.
  • the protection domain is not limited to the Unt rus t domain in the second security processing unit 503, as long as it is the security in the second security processing unit 503. The area is fine.
  • the receiving unit 501 is configured to receive the data to be decrypted, search the decryption unit of the data, and send the data to the decryption unit 502.
  • the destination address of the data to be decrypted is a terminal at the local end.
  • the method for finding the decryption unit of the data may use the destination IP of the data, the SPI (the AH, a protocol field in the ESP protocol), and the protocol type, and the three parts are used to find the data to enter.
  • the decrypting unit 502 is configured to perform decryption operation on the data to be decrypted received by the receiving unit 501, and The security zone to which the entry port belongs in the data is modified to the protection domain of the decryption unit 502.
  • the decryption unit 502 includes a decryption module 5021 and a modification module 5022.
  • the decryption module 5021 decrypts the data to be decrypted
  • the modification module 5022 is configured to enter the security of the entry port in the data decrypted by the decryption module 5021.
  • the area is modified to the protection domain of the decryption unit 502, and the modification module 5022 may modify the manner in which the security zone to which the entry port belongs in the data may adopt a manner of marking the data with the protection domain of the decryption unit 502.
  • the manner in which the security zone to which the data entry port belongs is the protection domain of the decryption unit 502 is also indicated in the forwarding list of the data, and is not limited to the foregoing two modes.
  • the second security processing unit 503 is configured to perform security defense processing on the decrypted data of the decryption unit 502, where the security defense process is a security policy between the protection domain of the decryption unit 502 and the security zone where the data arrives.
  • the data is security filtered.
  • the receiving device described herein includes a firewall or firewall type device, and the specific implementation form of the decrypting unit may be an IPSec tunnel.
  • the first security processing unit in the sending device and the second security processing unit in the receiving device may be physically a unit.
  • the encryption unit in the sending device and the decrypting unit in the receiving device may also be a unit.
  • the transmitting unit in the transmitting device and the receiving unit in the receiving device may also be one unit.
  • FIG. 6 is a schematic diagram of a network system according to an embodiment of the present invention.
  • the network system includes a sending device 601 and a receiving device 602.
  • a sending device 601 configured to send data
  • the receiving device 602 is configured to receive response data of the data sent by the sending device 601, where the data is the data to be decrypted from the destination address to the local end.
  • the sending device 601 includes a first security processing unit 6011, an encryption unit 6012, and a sending unit 6013.
  • the encryption unit 6012 includes an encryption module 60121 and an identification module 60121.
  • the first security processing unit 6011 and the sending unit 6013 are each provided with a security zone (including an Untrus t domain and a Trus t domain), and a security policy is set between the security zones of the first security processing unit 6011. Similarly, A security policy is also provided between the security zones of the transmitting unit 6013.
  • the encryption unit 6012 is provided with a protection domain, and the protection domain of the encryption unit 6012 is the Untrus t domain in the first security processing unit 6011. It should be noted that the protection domain of the encryption unit 6012 is not limited to the first The Untrus t field in the security processing unit 6011 may be a security area in the first security processing unit 6011.
  • the first security processing unit 6011 is configured to perform security filtering on the data by using a security policy between the security zone where the data entry port is located and the protection domain of the encryption unit 6012, and send the security filtered data to the encryption unit 6012.
  • the encryption unit 6012 is configured to encrypt data that is passed through the first security processing unit 6011, and send the data to the sending unit 6013.
  • the encryption unit 6012 includes an encryption module 60121 and an identification module 60122.
  • the encryption module 60121 encrypts data from the first security processing unit 6011, and the identification module 60122 is configured to send the data encrypted by the encryption module 60121 to the sending unit 6013.
  • the identification module 60122 may send the data to the sending unit 6013 by marking the encrypted data with the label of the sending unit 6013 or by indicating the sending unit 6013 in the forwarding list of the data, and is not limited to the above two. Ways.
  • the sending unit 6013 is configured to send the encrypted data by the encryption unit 6012.
  • the receiving device 602 includes a receiving unit 6021, a decrypting unit 6022, and a second security processing unit 6023, wherein the decrypting unit 6022 includes a decrypting module 60221 and a modifying module 60222.
  • the security unit (including the Un trus t domain and the Tr us domain) is also disposed in the receiving unit 6021 and the second security processing unit 6023, and a security policy is set between the security zones of the receiving unit 6021. Similarly, a security policy is also set between the security zones of the second security processing unit 6023.
  • the decryption unit 6022 is provided with a protection domain, and the protection domain of the decryption unit 6022 is the Untrus t domain in the second security processing unit 6023. It should be noted that the protection domain of the decryption unit 6022 is not limited to the second security processing unit.
  • the Untrus t field in 6023 is only required to be a secure area in the second security processing unit 6023.
  • the receiving unit 6021 is configured to receive the data to be decrypted, search the decryption unit of the data, and send the data to the decryption unit 6022.
  • the destination address of the data to be decrypted is a terminal at the local end.
  • the receiving unit 6021 searches for the decryption unit of the data
  • the destination IP the SPI (the AH, a protocol field in the ESP protocol), and the protocol type of the data may be extracted, and the data needs to be searched through the three parts. Entering decryption unit 6022.
  • the decrypting unit 6022 is configured to perform a decryption operation on the data to be decrypted received by the receiving unit 6021. And modifying the security zone to which the entry port belongs in the decrypted data to the protection domain of the decryption unit 6022.
  • the decryption unit 6022 includes a decryption module 60221 and a modification module 60222.
  • the decryption module 6021 decrypts the data to be decrypted
  • the modification module 6G222 is configured to enter the security of the entry port in the data decrypted by the decryption module 6021.
  • the area is modified to the protection domain of the decryption unit 6022, and the modification module 60222 can modify the manner in which the security zone to which the entry port belongs in the data, and the manner in which the data of the protection domain of the decryption unit 6022 is tagged on the data is used.
  • the manner in which the security zone to which the data entry port belongs is the protection domain of the decryption unit 6022 is also indicated in the forwarding list of the data, and is not limited to the foregoing two modes.
  • the second security processing unit 6023 is configured to perform security defense processing on the decrypted data of the decryption unit 6022, where the security defense process is a security policy between the protection domain of the decryption unit 6022 and the security zone where the data arrives.
  • the data is security filtered.
  • the transmitting device and the receiving device are configured as a firewall or a firewall device, and the specific implementation form of the encryption unit and the decrypting unit may be an IPSec tunnel.
  • the first security processing unit in the sending device of the network system and the second security processing unit in the receiving device may be physically one unit.
  • the encryption unit in the sending device and the decrypting unit in the receiving device may also be A unit
  • the transmitting unit in the transmitting device and the receiving unit in the receiving device may also be one unit.

Description

一种跨越虚拟防火墙发送和接收数据的方法、 装置及系统 本申请要求于 2008 年 11 月 29 日提交中国专利局、 申请号为 200810217797. 5 , 发明名称为 "一种跨越虚拟防火墙发送和接收数据的方法 及系统" 的中国专利申请的优先权。
技术领域
本发明涉及通信技术领域， 尤其涉及一种跨越虚拟防火墙发送和接收数 据的方法、 装置及系统。
背景技术 防火墙（FW， Fi rewa l l )是指设置在不同网络之间， 如可信的企业内部 网和不可信的公共网或网络安全区域之间的一系列部件的组合。 防火墙常常 基于安全区域来制定安全策略， 以对跨越防火墙的数据流进行监测、 限制或 更改， 尽可能地对外部屏蔽网络内部的信息、 结构和运行状况， 以此来实现 对内部网络的安全保护。
近年来， 随着 VPN 技术的兴起和不断发展， 虚拟防火墙 ( Vi rtua l-f i rewa l l , VFW )技术应运而生。 虚拟防火墙是防火墙主系统 4汙生 的逻辑子实体， 对用户表现为独立的防火墙。 创建虚拟防火墙后， 将用户面 对的防火墙主系统称为根防火墙， 根防火墙为一个， 虚拟防火墙的数量可根 据配置动态创建， 至少为一个。 通过在防火墙上创建逻辑上的虚拟防火墙， 可以在满足系统自身需求的同时， 将系统中的剩余吞吐量用于出租业务， 提 高更大的利益回报。 目前， VPN技术已经成为虚拟防火墙技术的主流技术， 每 个虚拟防火墙都是 VPN 实例、 安全实例和配置实例的综合体， 能够为虚拟防 火墙用户提供私有的路由转发平面、 安全服务和配置管理平面。
随着网络安全技术的飞快发展， 越来越多的大型企业利用互联网采用 IP 安全协议（ Interne t Protocol Secur i ty, IPSec )技术构建 VPN网络， IPSec 协议为 IP数据提供了高质量的、 可互操作的、 基于密码学的安全性能。 特定 的通信方之间在 IP层通过加密与数据源验证等方式， 来保证数据在网络上传 输时的私有性、 完整性、 真实性。 现有技术在处理跨越不同防火墙间的数据流时， 通过在虚拟防火墙及根 防火墙中分别设置有私有安全区域和用于中转数据流的虚拟安全区域 ( VZ0NE 域），分別在所述虛拟防火墙和根防火墙中已设置的任一私有安全区域上设置 各自的端口， 并分别在所述虚拟防火墙及根防火墙的安全区域间设置安全策 略， 当数据流跨越防火墙发送时， 发送端采用数据流所属防火墙的源安全区 域与该防火墙虚拟安全区域间的安全策略对数据流进行过滤， 将过滤后的数 据传到接收端， 接收端采用数据流所到达的防火墙的目的安全区域与该防火 墙的虚拟安全区域间的安全策略对该数据流进行过滤。
现有技术在处理跨越防火墙的数据流时， 需要为每个防火墙配置 VZ0NE 域， 并且除了配置防火墙原有的安全区域之间的安全策略， 还需要分别配置 防火墙中的私有安全区域与 VZ0NE域之间的安全策略， 随着 VFW的不断增加， 要配置的 VZ0NE域也不断增加， 需要配置的安全策略也会越来越多， 配置十 分复杂。 而且现有技术在实现数据流跨防火墙转发时， 对每个数据流都要在 发送端和接收端分別进行安全过滤才能实现数据流的转发， 不仅处理过程复 杂， 而且各个防火墙之间的域间关系非常难以管理。
发明内容
本发明实施例提供了一种跨越虚拟防火墙发送和接收数据的方法， 所述 方法能够简化跨越不同虚拟防火墙转发数据时域间关系的处理。
根据本发明实施例提供一种跨越虚拟防火墙发送数据的方法， 所述虚拟 防火墙设置有相应的安全隧道， 所述安全隧道设置有保护域， 所述跨越虚拟 防火墙发送数据的方法包括： 在第一虚拟防火墙， 采用数据进入端口所在的 安全区域与所述第一虛拟防火墙的安全隧道的保护域之间的安全策略对数据 进行安全过滤， 将所述数据发送至所述第一虚拟防火墙的安全隧道； 所述第 一虚拟防火墙的安全隧道对通过安全过滤的数据进行加密， 通过所述第一虚 拟防火墙的安全隧道将所述加密后的数据发送至第二虛拟防火墙， 所述第二 虛拟防火墙用于将所述数据发送出去。
根据本发明实施例提供一种跨越虚拟防火墙接收数据的方法所述虚拟防 火墙设置有相应的安全隧道， 所述安全隧道设置有保护域， 所述跨越虚拟防 火墙接收数据的方法包括： 第一虚拟防火墙接收待解密数据， 查找所述数据 的解密安全隧道， 将所述数据发送至所述解密安全隧道； 所述解密安全隧道 对所述数据进行解密 , 并将解密后数据中的进入端口所属的安全区域修改为 所述解密安全隧道的保护域； 第二虚拟防火墙采用所述解密安全隧道的保护 域与所述数据到达的安全区域之间的安全策略对所述数据进行安全过滤。
本发明实施例还提供一种发送设备， 包括第一安全处理单元、 加密单元 和发送单元， 所述笫一安全处理单元设置有安全区域， 且各安全区域之间分 别设置有安全策略， 所述加密单元设置有保护域， 其中：
所述第一安全处理单元，用于釆用数据进入端口所属的安全区域与加密单 元的保护域之间的安全策略对数据进行安全过滤， 将安全过滤后的数据发送 至所述加密单元；
所述加密单元，用于对通过所述第一安全处理单元的数据进行加密，并将 所述加密后的数据发送至所述发送单元；
所述发送单元， 用于发送所述加密单元加密后的数据。
本发明实施例还提供一种接收设备， 包括接收单元、解密单元和第二安全 处理单元， 所述第二安全处理单元中设置有安全区域， 且各安全区域间设置 有安全策略， 所述解密单元中设置有保护域：
所述接收单元，用于接收待解密数据，查找所述数据的解密单元后将所述 数据送入所述解密单元；
所述解密单元，用于对所述接收单元所接收的待解密数据进行解密，并将 所述数据中进入端口所属的安全区域修改为所述解密单元的保护域；
所述第二安全处理单元，釆用所述解密单元的保护域与所述数据到达的安 全区域之间的安全策略对所述数据进行安全过滤。
本发明实施例还提供一种网络系统， 包括发送设备和接收设备， 所述发 送设备和接收设备中均设置有安全区域和保护域， 所述发送设备中的保护域 为所述发送设备中的安全区域， 所述接收设备的保护域为所述接收设备中的 安全区域， 且分别为发送设备和接收设备的安全区域间设置有安全策略， 其 中： 发送设备采用数据进入端口所属的安全区域与所述保护域之间的安全策 略对所述数据进行安全过滤后将所述数据进行加密并发送； 接收设备用于接 收发送设备发送的数据的应答数据， 所述应答数据为目的地址到本地端的待 解密数据， 接收待解密数据后对所述待解密数据进行解密， 并将所述解密后 数据中的进入端口所属的安全区域修改为所述接收设备中的保护域 , 采用所 述保护域与所述接收设备中的安全区域对所述数据进行安全过滤。
从上述技术方案可以看出， 本发明实施例的技术方案通过采用如上的使 用安全隧道实现跨越虚拟防火墙转发数据的方法， 在确保数据传输的安全性 的同时简化了不同虛拟防火墙之间的域间关系的处理， 直接利用同一虛拟防 火墙内在的两个域间之间的安全策略对数据流进行安全过滤， 就可以简单的 处理数据流跨防火墙时的域间关系， 实现跨虚拟防火墙转发数据， 而无需采 用现有技术在配置时添加众多不同虚拟防火墙中安全区域之间的安全策略的 方法来处理跨虛拟防火墙转发数据时的域间关系， 配置简单， 便于管理。 该 方法还有效的实现了对虛拟防火墙的端口的重复使用， 大大节省了资源。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面 描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例提供的防火墙的结构示意图；
图 2为本发明实施例提供的跨越防火墙发送数据的过程示意图； 图 3为本发明实施例提供的跨越防火墙接收数据的过程示意图； 图 4为本发明实施例提供的发送设备的示意图；
图 5为本发明实施例提供的接收设备示意图；
图 6为本发明实施例提供的网络系统示意图。
具体实施方式 下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有做 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
为了实现本发明实施例， 首先需要了解本发明实施例的技术方案所需要 的防火墙的配置示意图。 为了方便描述， 以在一个^ f艮防火墙上创建的 3个虚 拟防火墙为例简单进行描述， 需要说明的是， 所述根防火墙可以看作为一个 特殊的虛拟防火墙。
如图 1所示， VFW0、 VFW1、 VFW2分别是才艮防火墙的三个虚拟防火墙， VFW0, VFW1和 VFW2中分别设置有端口 0、 端口 1、 端口 2。 每个虚拟防火墙分别划 分有多个安全区域，本发明实施例中以划分为 2个安全区域为例，包括 Untrus t 区域和 Trus t区域， 每个虛拟防火墙中的各安全区域之间设置有安全策略。
图 1中的虚线 a表示 VFW1发送的数据流向， 所述数据通过 VFW0中的端 口 0发送出去。 图 1中的虚线 a' 表示 WW1接收的前述虚线 a表示的数据的 应答数据， 所述数据通过 VFW0中的端口 0进入。 为了保护 VFW1发送的数据， 配置了 IPSecl隧道， IPSecl的出口为 VFW0中的端口 0。需要说明的是， IPSecl 是 "单向" 的， 这里所说的 "单向" 是指 IPSecl保护 VFW1发送的需要通过 VFW0发送至公网的数据（如图 1中用虚线 a来表示） 以及该数据的应答数据 (如图 1中用虚线 a'来表示虚线 a所表示数据的应答数据）， 即 VFW1发送的 要通过 发送至公网的数据或 VFW0接收到的前述数据的应答数据才允许 进入 IPSecl进行加密或解密， 如果是从 VFW0发出的要通过 VFW1的数据只能 由另外为 VFW0配置的通过 VFW1的 IPSec隧道进行保护。 为了处理数据跨越 虚拟防火墙时的域间关系，为 IPSecl配置了保护域， IPSecl的保护域为 VFW1 中的 Untrus t 域， 需要说明的是， IPSecl 的保护域并不仅限于 VFW1 中的 Untrus t域， 只要是 VFW1中的安全区域即可。
同样的， 图 1中的虚线 b表示 VFW2发送的数据流向， 该数据也通过 VFW0 中的端口 0发送出去。 图 1中的虚线 b，表示 VFW2接收的前述虚线 b表示的数 据的应答数据， 该应答数据通过 w 中的端口 0进入。 为了保护 1发送 的数据， 配置了 IPSec2隧道， IPSec2的出口为 VFW0中的端口 0。 同样需要 说明的是， IPSec2也是 "单向" 的， 即 IPSec2也只保护从 VFW2发送的需要 通过 VFW0发送至公网的数据（如图 1中用虚线 b来表示）以及该数据的应答 数据 (如图 1中用虚线 b，来表示虚线 b所表示数据的应答数据）。 为了处理数 据跨越虚拟防火墙时的域间关系， 为 IPSec2配置了保护域， IPSec2的保护域 为 VFW2中的 Untrus t域， 但也不限于 2中的 Untrus t域， 只要是 VFW2中 的安全区域即可。
图 2 是本发明实施例处理跨越虛拟防火墙发送数据的流程示意图， 该示 意图表示了本发明实施例提供的虛拟防火墙作为发送数据时对数据的处理流 程， 以下将结合图 1 中虚线 a和虚线 b所示的数据流跨虚拟防火墙发送的过 程对该处理流程进行具体描述。
步骤 201 : 在第一虛拟防火墙， 采用数据进入端口所在的安全区域与第一 虛拟防火墙的 IPSec 隧道的保护域之间的安全策略对数据进行安全过滤， 将 安全过滤后的数据发送至所述第一虚拟防火墙的 IPSec隧道。
如图 1所示， 图 1中虚线 a表示 VFW1对外发送的数据， 所述数据需要通 过 VFW0。 发送时， 首先对其端口 1接收到的待发送数据进行安全防范处 理，由于在配置时为 VFW1配置了保护数据的 IPSec 1，并且将 VFW1中的 Unt rus t 安全区域设置为 IPSec l的保护域。 因此， 当数据从 VFW1发送时， 采用数据 进入的端口 1所在的 Trus t域与 VFW1的 IPSecl的保护域之间的安全策略对 数据进行安全过滤。 图 1中的虚线 b表示 VFW2对外发送的数据， 所述数据需 要通过 VFW0。 由于在配置时为 VFW2配置了保护数据的 IPSec2 , 并且将 VFW2 中的 Unt rus t安全区域设置为 IPSec2的保护域， 因此， 当数据从 VFW2发送 时， 采用数据进入的端口 2所在的 Trus t域与 VFW2的 IPSec2的保护域之间 的安全策略对数据进行安全过滤。
步骤 202 :所述第一虚拟防火墙的 IPSec隧道对通过安全过滤的数据进行 加密， 通过所述 IPSec隧道将加密后的数据发送至第二虛拟防火墙。
如图 1所示， 虚线 a表示的数据通过安全过滤后， 由 VFW1的 IPSecl对 该数据进行加密， 并使加密后的数据从 VFW0转发至公网； 同理， 虚线 b表示 的数据通过安全过滤后， 由 VFW2的 IPSec2对该数据进行加密， 并使加密后 的数据从 VFW0转发至公网。
步骤 202 中所述将加密完成后的数据发送至第二虚拟防火墙的方法可以 釆用在该加密数据上打上所述第二虚拟防火墙的标签的方式， 也可以釆用在 该数据的转发列表中标明该数据的第二虚拟防火墙的方式， 且不限于上述两 种方式。
步骤 203： 所述第二虚拟防火墙发送数据。 在此实施例中， 由于配置了 IPSec隧道， 保证了跨 VFW转发数据的安全 性。 并且由于为 IPSecl和 IPSec2分别配置有 IPSecl的保护域和 IPSec2的 保护域， 且 IPSecl的保护域为 VFW1原有的 Untrus t安全区域， IPSec2的保 护域也为 VFW2原有的 Untrus t安全区域， 因此， 当 VFW1发送数据时， 是利 用 VFW1中的安全区域之间的安全策略对数据进行安全过滤， 即进行安全防范 处理的域间关系均为 VFW1的域间关系， 从而简化了现有技术中跨 VFW转发时 域间关系的处理流程。 同理， VFW2发送数据时对该数据也是利用 VFW2中的安 全区域之间的安全策略对数据进行安全过滤。 并且由于采用了一定措施使经 过 IPSecl和 IPSec2加密完成后的数据都能够进入 VFW0中进行转发， 使多个 VFW中的数据均能通过同一个端口转发，达到了端口复用的目的，节省了资源。
图 3是本发明实施例处理跨越虛拟防火墙接收数据的流程示意图， 该示 意图表示本发明实施例提供的虚拟防火墙接收数据时对数据的处理流程， 所 述数据均为待解密数据， 且数据的目的地址是到本地端的终端。 为了便于描 述， 以下将以本地端防火墙接收前述实施例中 πη和 VFW2发送的数据 （如 图 1中虚线 a和虚线 b表示） 的应答数据（如图 1中虚线 a，和虚线 b'所示） 的处理流程为例进行具体描述。
步骤 301 : 第一虚拟防火墙接收待解密数据， 查找所述待解密数据的解密 IPSec隧道后将所述数据送入所述 IPSec隧道。
如图 1所示， 图 1中的虚线 a， 表示 VFW1接收的前述虚线 a表示的数据 的应答数据， 该应答数据由 VFW0中的端口 0进入。 虚线 b'表示 VFW2接收的 前述虛线 b表示的数据的应答数据， 该应答数据也由 中的端口 0进入。 因此， 源防火墙 VFW0 对进入的应答数据要进行查找解密隧道的操作， 将 a' 所表示的应答数据送入其解密隧道 IPSecl , 将 b'所表示的应答数据送入其解 密隧道 IPSec2。
步骤 302: 所述 IPSec隧道对所述数据进行解密， 并将解密后数据中的进 入端口所属的安全区域修改为所述 IPSec隧道的保护域。
如图 1所示， IPSecl对 a'所示的应答数据进行解密后， 将该应答数据中 表示其进入端口所在的安全区域（即防火墙 VFW0中的端口 0所在的 Trus t区 域） 的参数修改为 IPSecl的保护域（即 VFW1的 Untrus t域）； IPSec2对 b' 所示的应答数据进行解密后，将该数据中表示其进入端口所在的安全区域（即 防火墙 VFW0中的端口 0所在的 Trus t区域）的参数修改为 IPSec2的保护域（即 VFW2的 Untrus t域)。
步骤 303:第二虚拟防火墙通过所述 IPSec隧道的保护域与所述数据到达 的安全区域之间的安全策略对所述数据进行安全过滤。
如图 1所示， 虛线 a'表示的应答数据进入 VFW1后采用 IPSecl的保护域 (即 1的 Unt rus t安全区域）与所述数据到达的安全区域 (即 中的 Trus t域）之间的安全策略对数据进行安全过滤；虚线 b，表示的应答数据进入 VFW2后采用 IPSec2的保护域（即 VFW2的 Untrus t安全区域）与所述数据到 达的安全区域（即 VFW2中的 Trus t域 )之间的安全策略对数据进行安全过滤。
步骤 301 中所述的寻找数据的解密隧道的方法， 具体实现可以采用取出 该数据的目的 IP、 串行外围设备接口 SPI ( AH、 ESP协议中的一个协议字段， 即 Ser ia l Per iphera l interface , 串行外围设备接口 )和协议类型三个部分， 通过这三个部分查找该数据需进入的隧道。
步骤 302 中所述修改解密后的数据中的进入端口所属的安全区域的方式 可以采用给该数据上打上所述 IPSec 隧道的保护域的标签的方式， 也可以采 用在该数据的转发列表中标明所述数据的进入端口所属的安全区域为所述 IPSec隧道保护域的方式。 且不限于上述两种方式。
由上述实施例可以看出， 本发明实施例提供的技术方案在虚拟防火墙作 为本地端防火墙接收应答数据时， 利用了该虚拟防火墙作为本地端防火墙发 送数据时的 IPSec通道， 保证了数据的安全性。 并且由于修改了该数据的入 域， 在处理数据跨虚拟防火墙的域间关系时只需要釆用数据到达的第二虚拟 防火墙中原有的安全区域之间的安全策略对数据进行安全过滤， 减化了现有 技术中复杂的域间关系的处理流程。
在上述本发明实施例所提供的跨虚拟防火墙发送数据以及接收数据的实 施方式中， 虚拟防火墙的端口数量是由使用的防火墙设备来控制的， 并不限 于图 1所示的 3个端口。 且本发明实施例中的端口并不限于是物理端口还是虚 拟端口， 只要该端口能够设置到 VFW中即可。 VFW的数量是根据端口的数量来 确定的，即可以为每一个虚拟端口配置一个 VFW。本发明实施例中任意一个 VFW 中的端口均可作为其他 VFW的共同出端口， 如图 1中的端口 0。
在上述本发明实施例所提供的跨虚拟防火墙发送数据以及接收数据的技 术方案中， 可以为需要跨虛拟防火墙转发的数据任意设置一个出口， 只要在 转发数据之前为该虚拟防火墙配置了相应的 IPSec隧道即可。 如 VFW1中的数 据可以通过 VFTO发送， 也可以通过 VFW2发送， 同样的， VFW0发送的数据也 可以通过 VFW1或 2发送。
本发明实施例所提供的跨越虛拟防火墙发送数据以及接收数据的方法不 仅适用虚拟防火墙之间， 也可以将根防火墙看作一个特殊的虚拟防火墙， 适 用于及根防火墙与虚拟防火墙之间的数据转发。
本发明实施例所提供的技术方案中， 由于在处理跨越虚拟防火墙的数据 时采用了 IPSec技术， 并为 IPSec隧道配置了保护域， 在保证了数据跨虛拟 防火墙传输时的安全性基础上， 不需要另外配置虚拟安全区域， 而是利用该 虚拟防火墙原有的安全区域以及域间的安全策略对数据进行安全过滤， 从而 减少了现有技术中复杂的域间安全策略的配置， 在传送数据的过程中只需要 进行一次安全过滤就能够保证数据的安全性， 减少了域间关系的处理流程。 并且由于使用了 IPSec技术， 使各个 VFW可以相互转发， 共用端口， 因此， 也使防火墙的端口起到了重复使用的效果， 大大节省了资源。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流 程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存储于 计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的实施例 的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory , ROM )或随机存储记忆体 ( Random Acces s Memory, RAM )等。
图 4为本发明实施例所述的发送设备示意图， 该发送设备包括第一安全处 理单元 401、 加密单元 402以及发送单元 403 , 其中， 笫一安全处理单元 401和 发送单元 403均设置有安全区域（包括 Unt rus t域和 Trus t域）， 且第一安全处 安全策略， 加密单元 402中包括加密模块 4021和标识模块 4022 , 其中加密模块 4021对第一安全处理单元 401中的数据进行加密， 标识模块 4022使加密后的数 据进入发送单元， 为加密单元 402设置有保护域， 该保护域为第一安全处理单 元 401中的 Unt rus t域， 需要说明的是， 所述保护域并不仅限于第一安全处理 单元 401中的 Unt rus t域， 只要是第一安全处理单元 401中的安全区域即可。
第一安全处理单元 401 ,采用数据进入端口所在的安全区域与加密单元 402 的保护域之间的安全策略对数据进行安全过滤， 将安全过滤后的数据发送至 力口密单元 402。
加密单元 402 ,用于对通过第一安全处理单元 401的数据进行加密，并将所 述加密后的数据发送至发送单元 403。
加密单元 402包括加密模块 4021和标识模块 4022 , 其中加密模块 4021对来 自第一安全处理单元 401的数据进行加密， 标识模块 4022用于将经过加密模块
4021加密后的数据发送至发送单元 403， 所述标识模块 4022可以通过在该加密 数据上打上所述发送单元 403的标签或通过在所述数据的转发列表中标明发 送单元 403的方式将所述数据发送至发送单元 403 , 且不限于上述两种方式。
发送单元 403， 用于发送加密单元 402加密后的数据。
这里所述的发送设备包括防火墙或防火墙类设备，加密单元的具体实现形 式可以为 I PSec隧道。
图 5为本发明实施例所述的接收设备示意图， 该接收设备包括了接收单元 501、 解密单元 502、 第二安全处理单元 503， 其中， 接收单元 501和第二安全 处理单元 503中均设置有安全区域（包括 Unt rus t域和 Trus t域）， 且接收单元
501中的安全区域之间以及第二安全处理单元 503中的安全区域之间分別设置 有安全策略，解密单元 502包括解密模块 5021和修改模块 5022 ,该解密单元 502 设置有保护域， 该保护域为第二安全处理单元 503中的 Unt rus t域， 需要说明 的是， 所述保护域并不仅限于第二安全处理单元 503中的 Unt rus t域， 只要是 第二安全处理单元 503中的安全区域即可。
接收单元 501 , 用于接收待解密数据， 查找所述数据的解密单元后将所述 数据送入解密单元 502。 所述待解密数据的目的地址是本地端的终端。
所述寻找数据的解密单元的方法，可以釆用取出该数据的目的 IP、SPI( AH、 ESP协议中的一个协议字段）和协议类型三个部分， 通过这三个部分查找该数 据需进入的解密单元 502。
解密单元 502 ,用于对接收单元 501所接收的待解密数据进行解密操作，并 将该数据中进入端口所属的安全区域修改为所述解密单元 502的保护域。
所述解密单元 502包括解密模块 5021和修改模块 5022 , 所述解密模块 5021 对所述待解密数据进行解密， 所述修改模块 5022用于将通过解密模块 5021解 密后的数据中进入端口所属的安全区域修改为所述解密单元 502的保护域， 所 述修改模块 5022修改所述数据中进入端口所属的安全区域的方式可以采用给 所述数据上打上所述解密单元 502的保护域的标签的方式， 也可以釆用在所述 数据的转发列表中标明所述数据进入端口所属的安全区域为所述解密单元 502的保护域的方式， 且不限于上述两种方式。
第二安全处理单元 503,用于对解密单元 502解密后的数据进行安全防范 处理， 所述安全防范处理是通过所述解密单元 502 的保护域与所述数据到达 的安全区域之间的安全策略对所述数据进行安全过滤。
这里所述的接收设备包括防火墙或防火墙类设备，所述解密单元的具体实 现形式可以为 IPSec隧道。
上述发送设备中的第一安全处理单元和接收设备中的第二安全处理单元 在物理上可以为一个单元， 同理， 发送设备中的加密单元和接收设备中的解 密单元也可为一个单元， 发送设备中的发送单元与接收设备中的接收单元也 可为一个单元。
图 6为本发明实施例所述的网络系统示意图，该网络系统包括发送设备 601 和接收设备 602。
发送设备 601 , 用于发送数据；
接收设备 602 ,用于接收发送设备 601发送的数据的应答数据，所述数据为 目的地址到本地端的待解密数据。
所述发送设备 601包括第一安全处理单元 6011、 加密单元 6012和发送单元 6013 , 其中加密单元 6012包括加密模块 60121和标识模块 60121。
所述第一安全处理单元 6011和发送单元 6013中均设置有安全区域（包括 Untrus t域和 Trus t域）， 且在第一安全处理单元 6011的各安全区域间设置有安 全策略， 同样的， 在发送单元 6013的各安全区域间也设置有安全策略。 所述 加密单元 6012设置有保护域， 所述加密单元 6012的保护域为第一安全处理单 元 6011中的 Untrus t域， 需要说明的是， 加密单元 6012的保护域并不仅限于第 一安全处理单元 6011中的 Untrus t域， 只要是第一安全处理单元 6011中的安全 区域即可。
第一安全处理单元 6011 ,用于采用数据的进入端口所在的安全区域与加密 单元 6012的保护域之间的安全策略对数据进行安全过滤， 将安全过滤后的数 据发送至加密单元 6012。
加密单元 6012，用于对通过第一安全处理单元 6011的数据进行加密，并将 所述数据发送至发送单元 6013。
加密单元 6012包括加密模块 60121和标识模块 60122 , 其中加密模块 60121 对来自第一安全处理单元 6011的数据进行加密， 标识模块 60122用于将经过加 密模块 60121加密后的数据发送至发送单元 6013 , 所述标识模块 60122可以通 过在该加密数据上打上所述发送单元 6013的标签或通过在所述数据的转发列 表中标明发送单元 6013的方式将所述数据发送至发送单元 6013 , 且不限于上 述两种方式。
发送单元 6013， 用于将加密单元 6012加密后的数据发送出去。
所述接收设备 602包括接收单元 6021、 解密单元 6022和第二安全处理单元 6023 , 其中解密单元 6022包括解密模块 60221和修改模块 60222。
所述接收单元 6021和所述第二安全处理单元 6023中也设置有安全区域（包 括 Un trus t域和 Tr us t域 ) , 且在所述接收单元 6021的各安全区域间设置有安全 策略， 同样的， 在所述第二安全处理单元 6023的各安全区域间也设置有安全 策略。 所述解密单元 6022设置有保护域， 所述解密单元 6022的保护域为第二 安全处理单元 6023中的 Untrus t域， 需要说明的是， 解密单元 6022的保护域也 不限于第二安全处理单元 6023中的 Untrus t域， 只要是第二安全处理单元 6023 中的安全区域即可。
接收单元 6021，用于接收待解密数据，查找所述数据的解密单元后将所述 数据送入解密单元 6022 , 所述待解密数据的目的地址是本地端的终端。
所述接收单元 6021寻找所述数据的解密单元时可以通过取出该数据的目 的 IP、 SPI ( AH、 ESP协议中的一个协议字段）和协议类型三个部分， 通过这 三个部分查找该数据需进入的解密单元 6022。
解密单元 6022 , 用于对接收单元 6021所接收的待解密数据进行解密操作， 并将解密后数据中进入端口所属的安全区域修改为所述解密单元 6022的保护 域。
所述解密单元 6022包括解密模块 60221和修改模块 60222 , 所述解密模块 60221对所述待解密数据进行解密， 所述修改模块 6G222用于将通过解密模块 60221解密后的数据中进入端口所属的安全区域修改为所述解密单元 6022的 保护域， 所述修改模块 60222修改所述数据中进入端口所属的安全区域的方式 可以采用给该数据上打上所述解密单元 6022的保护域的标签的方式， 也可以 采用在所述数据的转发列表中标明所述数据进入端口所属的安全区域为所述 解密单元 6022的保护域的方式， 且不限于上述两种方式。
第二安全处理单元 6023 ,用于对解密单元 6022解密后的数据进行安全防 范处理， 所述安全防范处理是通过所述解密单元 6022的保护域与所述数据到 达的安全区域之间的安全策略对所述数据进行安全过滤。
这里所述的发送设备和接收设备包括防火墙或防火墙类设备，所述加密单 元和所述解密单元的具体实现形式可以为 IPSec隧道。
上述网络系统的发送设备中的第一安全处理单元和接收设备中的第二安 全处理单元在物理上可以为一个单元， 同理， 发送设备中的加密单元和接收 设备中的解密单元也可为一个单元， 发送设备中的发送单元与接收设备中的 接收单元也可为一个单元。
以上所述仅为本发明的几个实施例， 可以理解的是， 对本领域普通技术 人员来说， 可以根据本发明实施例的技术方案及其发明构思加以等同替换或 改变， 而所有这些改变或替换都应属于本发明所附的权利要求的保护范围。

Claims

权利 要求 书
1、 一种跨越虚拟防火墙发送数据的方法， 其特征在于， 所述虚拟防火墙设 置有相应的安全隧道， 所述安全隧道设置有保护域， 所述跨越虚拟防火墙发送 数据的方法包括：
在第一虚拟防火墙， 采用数据进入端口所属的安全区域与所述第一虚拟防 火墙的安全隧道的保护域之间的安全策略对数据进行安全过滤， 将安全过滤后 的数据发送至所述第一虚拟防火墙的安全隧道；
所述第一虚拟防火墙的安全隧道对通过安全过滤的数据进行加密， 通过所 述第一虚拟防火墙的安全隧道将所述加密后的数据发送至第二虚拟防火墙， 所 述第二虚拟防火墙用于将所述数据发送出去。
2、 如权利要求 1所述的发送方法， 其特征在于： 所述安全隧道的保护域是 所述安全隧道所保护的防火墙中的安全区域。
3、 如权利要求 1所述的发送方法， 其特征在于： 所述安全隧道将所述加密 后的数据发送至第二虚拟防火墙的方法包括在所述数据中打上所述第二虚拟防 火墙的标签。
4、 如权利要求 1所述的发送方法， 其特征在于： 所述安全隧道将加密后的 数据发送至第二虚拟防火墙的方法还包括， 在所述数据的转发列表中标明所述 第二虛拟防火墙。
5、 一种跨越虛拟防火墙接收数据的方法， 其特征在于， 所述虛拟防火墙设 置有相应的安全隧道， 所述安全隧道设置有保护域， 所述跨越虚拟防火墙接收 数据的方法包括：
第一虚拟防火墙接收待解密数据， 查找所述数据的解密安全隧道， 将所述 数据发送至所述解密安全隧道；
所述解密安全隧道对所述数据进行解密， 并将解密后数据中的进入端口所 属的安全区域修改为所述解密安全隧道的保护域；
第二虛拟防火墙采用所述解密安全隧道的保护域与所述数据到达的安全区 域之间的安全策略对所述数据进行安全过滤。
6、 如权利要求 5所述的接收方法， 其特征在于： 所述安全隧道的保护域 是所述安全隧道所保护的防火墙中的安全区域。
7、 如权利要求 5所述的接收方法， 其特征在于： 所述查找数据的解密安全 隧道的方法包括取出所述数据的目的 I P、 串行外围设备接口 SP I和协议类型， 通过所述目的 IP、 串行外围设备接口 SPI和协议类型查找所述数据需进入的解 密安全隧道。
8、 如权利要求 5所述的接收方法， 其特征在于， 所述修改解密后的数据中 的进入端口所属的安全区域的方法包括： 在所述数据上打上所述解密安全隧道 的保护域的标签。
9、 如权利要求 5所述的接收方法， 其特征在于， 所述修改解密后的数据的 源安全区域的方法还包括： 在所述数据的转发列表中标明所述数据的进入端口 所属的安全区域为所述解密安全隧道的保护域。
10、 一种发送设备， 其特征在于： 包括第一安全处理单元、 加密单元和发 送单元， 所述第一安全处理单元设置有安全区域， 且各安全区域之间分别设置 有安全策略， 所述加密单元设置有保护域， 其中：
所述第一安全处理单元，用于釆用数据进入端口所属的安全区域与加密单元 的保护域之间的安全策略对数据进行安全过滤， 将安全过滤后的数据发送至所 述加密单元；
所述加密单元，用于对通过所述第一安全处理单元的数据进行加密，并将所 述加密后的数据发送至所述发送单元；
所述发送单元， 用于发送所述加密单元加密后的数据。
11、如权利要求 10所述的发送设备， 其特征在于： 所述加密单元的保护域为 所述第一安全处理单元中的安全区域。
12、如权利要求 10所述的发送设备， 其特征在于： 所述加密单元包括加密模 块和标识模块，
所述加密模块， 用于对来自所述第一安全处理单元的数据进行加密； 所述标识模块， 用于将所述加密模块加密后的数据打上所述发送但还的标 签， 将所述加密后的数据发送至所述发送单元； 或者
所述标识模块，用于在所述数据的转发列表中标明所述加密后数据的发送单 元， 将所述加密后的数据发送至所述发送单元。
13、 一种接收设备， 其特征在于： 包括接收单元、 解密单元和第二安全处理 单元， 所述第二安全处理单元中设置有安全区域， 且各安全区域间设置有安全 策略， 所述解密单元中设置有保护域：
所述接收单元，用于接收待解密数据，查找所述数据的解密单元后将所述数 据送入所述解密单元；
所述解密单元，用于对所述接收单元所接收的待解密数据进行解密，并将所 述数据中进入端口所属的安全区域修改为所述解密单元的保护域；
所述第二安全处理单元，采用所述解密单元的保护域与所述数据到达的安全 区域之间的安全策略对所述数据进行安全过滤。
14、如权利要求 1 3所述的网絡系统， 其特征在于： 所述解密单元的保护域为 所述第二安全处理单元中的安全区域。
15、如权利要求 1 3所述的网络系统， 其特征在于： 所述解密单元包括解密模 块和修改模块，
所述解密模块用于将所述接收单元接收的待解密数据进行解密；
所述修改模块用于将所述解密模块解密后的数据中的进入端口所属的安全 区域修改为所述解密单元的保护域。
16、 一种网络系统， 其特征在于，包括发送设备和接收设备， 所述发送设备 和接收设备中均设置有安全区域和保护域， 所述发送设备中的保护域为所述发 送设备中的安全区域， 所述接收设备的保护域为所述接收设备中的安全区域， 且分别为发送设备和接收设备的安全区域间设置有安全策略， 其中：
发送设备，采用数据进入端口所属的安全区域与所述保护域之间的安全策略 对所述数据进行安全过滤后将所述数据进行加密并发送；
接收设备，用于接收发送设备发送的数据的应答数据，所述应答数据为目的 地址到本地端的待解密数据， 接收待解密数据后对所述待解密数据进行解密， 并将所述解密后数据中的进入端口所属的安全区域修改为所述接收设备中的保 护域， 采用所述保护域与所述接收设备中的安全区域对所述数据进行安全过滤。
PCT/CN2009/075185 2008-11-29 2009-11-27 一种跨越虚拟防火墙发送和接收数据的方法、装置及系统 WO2010060385A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09828645.3A EP2357763B1 (en) 2008-11-29 2009-11-27 Methods apparatuses for crossing virtual firewall to transmit and receive data
ES09828645.3T ES2546136T3 (es) 2008-11-29 2009-11-27 Métodos y aparatos para cruzar un denominado 'cortafuegos' virtual con el fin de transmitir y recibir datos

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008102177975A CN101478533B (zh) 2008-11-29 2008-11-29 一种跨越虚拟防火墙发送和接收数据的方法及系统
CN200810217797.5 2008-11-29

Publications (1)

Publication Number Publication Date
WO2010060385A1 true WO2010060385A1 (zh) 2010-06-03

Family

ID=40839165

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/075185 WO2010060385A1 (zh) 2008-11-29 2009-11-27 一种跨越虚拟防火墙发送和接收数据的方法、装置及系统

Country Status (4)

Country Link
EP (2) EP2916492B1 (zh)
CN (1) CN101478533B (zh)
ES (2) ES2546136T3 (zh)
WO (1) WO2010060385A1 (zh)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8281377B1 (en) 2008-04-15 2012-10-02 Desktone, Inc. Remote access manager for virtual computing services
CN101478533B (zh) * 2008-11-29 2012-05-23 成都市华为赛门铁克科技有限公司 一种跨越虚拟防火墙发送和接收数据的方法及系统
CN102394897A (zh) * 2011-12-18 2012-03-28 西安安智科技有限公司 结合底线策略实现虚拟防火墙安全策略的系统和方法
US9467305B2 (en) 2012-03-07 2016-10-11 Vmware, Inc. Multitenant access to multiple desktops on host machine partitions in a service provider network
US9560014B2 (en) * 2013-01-23 2017-01-31 Mcafee, Inc. System and method for an endpoint hardware assisted network firewall in a security environment
WO2014188233A1 (en) * 2013-05-23 2014-11-27 Pismo Labs Technology Ltd. Methods and systems for dynamic domain name system (ddns)
US9253158B2 (en) 2013-08-23 2016-02-02 Vmware, Inc. Remote access manager for virtual computing services
CN103561027A (zh) * 2013-11-05 2014-02-05 曙光云计算技术有限公司 虚拟网络隔离的实现方法和实现装置
CN104113522A (zh) * 2014-02-20 2014-10-22 西安未来国际信息股份有限公司 一种作用于云计算数据中心安全域的虚拟防火墙组件的设计
CN107251005B (zh) 2014-12-08 2021-05-25 安博科技有限公司 从远程网络区域进行内容检索的系统及方法
US11711346B2 (en) 2015-01-06 2023-07-25 Umbra Technologies Ltd. System and method for neutral application programming interface
JP2018507639A (ja) 2015-01-28 2018-03-15 アンブラ テクノロジーズ リミテッドＵｍｂｒａ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ． グローバル仮想ネットワークについてのシステム及び方法
WO2016164612A1 (en) 2015-04-07 2016-10-13 Umbra Technologies Ltd. Systems and methods for providing a global virtual network (gvn)
JP2018517372A (ja) 2015-06-11 2018-06-28 アンブラ テクノロジーズ リミテッドＵｍｂｒａ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ． ネットワークタペストリの複数プロトコルの統合のための方法及びシステム
CN108293063B (zh) 2015-12-11 2022-05-24 安博科技有限公司 用于网络挂毯和瞬间粒度上的信息弹弓的系统和方法
EP4216072A1 (en) 2016-04-26 2023-07-26 Umbra Technologies Ltd. Sling-routing logic and load balancing
CN105939356B (zh) * 2016-06-13 2019-06-14 北京网康科技有限公司 一种虚拟防火墙划分方法和装置
CN106534153B (zh) * 2016-11-30 2023-06-13 广东科达洁能股份有限公司 基于互联网建立桥接专线系统
CN107483341B (zh) * 2017-08-29 2020-10-02 杭州迪普科技股份有限公司 一种跨防火墙报文快速转发方法及装置
CN107888500B (zh) * 2017-11-03 2020-04-17 东软集团股份有限公司 报文转发方法及装置、存储介质、电子设备
CN110290153A (zh) * 2019-07-19 2019-09-27 国网安徽省电力有限公司信息通信分公司 一种防火墙的端口管理策略自动下发方法及装置
CN112511439B (zh) * 2020-11-25 2023-03-14 杭州迪普科技股份有限公司 数据转发方法、装置、设备及计算机可读存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1949741A (zh) * 2005-10-11 2007-04-18 华为技术有限公司 一种处理跨越不同防火墙间数据流的方法
CN101212453A (zh) * 2006-12-29 2008-07-02 凹凸科技（中国）有限公司 实现网络访问控制的方法及其防火墙装置
US20080163357A1 (en) * 2006-12-29 2008-07-03 Hisky Xiao Virtual firewall
CN101478533A (zh) * 2008-11-29 2009-07-08 成都市华为赛门铁克科技有限公司 一种跨越虚拟防火墙发送和接收数据的方法及系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100466599C (zh) * 2005-07-22 2009-03-04 上海贝尔阿尔卡特股份有限公司 一种专用局域网的安全访问方法及用于该方法的装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1949741A (zh) * 2005-10-11 2007-04-18 华为技术有限公司 一种处理跨越不同防火墙间数据流的方法
CN101212453A (zh) * 2006-12-29 2008-07-02 凹凸科技（中国）有限公司 实现网络访问控制的方法及其防火墙装置
US20080163357A1 (en) * 2006-12-29 2008-07-03 Hisky Xiao Virtual firewall
CN101478533A (zh) * 2008-11-29 2009-07-08 成都市华为赛门铁克科技有限公司 一种跨越虚拟防火墙发送和接收数据的方法及系统

Also Published As

Publication number Publication date
ES2546136T3 (es) 2015-09-18
ES2622104T3 (es) 2017-07-05
EP2357763A4 (en) 2011-10-05
EP2357763A1 (en) 2011-08-17
EP2916492B1 (en) 2017-01-11
EP2916492A1 (en) 2015-09-09
EP2357763B1 (en) 2015-06-03
CN101478533A (zh) 2009-07-08
CN101478533B (zh) 2012-05-23

Similar Documents

Publication Publication Date Title
WO2010060385A1 (zh) 一种跨越虚拟防火墙发送和接收数据的方法、装置及系统
US9461975B2 (en) Method and system for traffic engineering in secured networks
US11005818B2 (en) Dynamic, user-configurable virtual private network
CN106375493B (zh) 一种跨网络通信的方法以及代理服务器
US7536715B2 (en) Distributed firewall system and method
JP6236528B2 (ja) ネットワークルーティングのためのパケット分類
JP2022023942A (ja) クライアント－クラウドまたはリモートサーバーの安全なデータまたはファイル・オブジェクト暗号化ゲートウェイ
US7441262B2 (en) Integrated VPN/firewall system
US7188365B2 (en) Method and system for securely scanning network traffic
US20220150700A1 (en) Security association reuse for multiple connections
KR20100107033A (ko) 암호화된 트래픽의 합법적 인터셉트를 가능하게 하는 방법 및 장치
Liyanage et al. Secure hierarchical virtual private LAN services for provider provisioned networks
WO2023124880A1 (zh) 一种基于MACSec网络的报文处理方法和装置
US20220279350A1 (en) Establishing multiple security associations in a connection operation
Cisco Configuring IPSec Network Security
CN112235318B (zh) 实现量子安全加密的城域网系统
Cisco About IPSec
Cisco About IPSec
Cisco About IPSec
WO2001091418A2 (en) Distributed firewall system and method
Ahmed et al. Architecture based on tor network for securing the communication of northbound interface in sdn
Lin et al. Security research of VPN technology based on MPLS
Hardikar et al. Virtual Private Network: A Study of its Various Aspects
Wadhwa et al. Providing Security in VPN by using Tunneling and Firewall
Zave et al. 1 Security provided by endpoints

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09828645

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009828645

Country of ref document: EP