WO2014180235A1 - 数据包过滤规则配置方法、装置及系统 - Google Patents

数据包过滤规则配置方法、装置及系统 Download PDF

Info

Publication number
WO2014180235A1
WO2014180235A1 PCT/CN2014/075740 CN2014075740W WO2014180235A1 WO 2014180235 A1 WO2014180235 A1 WO 2014180235A1 CN 2014075740 W CN2014075740 W CN 2014075740W WO 2014180235 A1 WO2014180235 A1 WO 2014180235A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet filtering
filtering rule
data packet
packet
server
Prior art date
Application number
PCT/CN2014/075740
Other languages
English (en)
French (fr)
Inventor
邓旺波
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2014180235A1 publication Critical patent/WO2014180235A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0806—Configuration setting for initial configuration or provisioning, e.g. plug-and-play
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/082—Configuration setting characterised by the conditions triggering a change of settings the condition being updates or upgrades of network functionality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H04L67/63—Routing a service request depending on the request content or context

Definitions

  • the present invention relates to the field of communications, and in particular, to a packet filtering rule configuration method, apparatus, and system.
  • BACKGROUND OF THE INVENTION Various threats to terminal security, such as cyber attacks, viruses, and phishing websites in the modern Internet, ravage terminal devices that access the Internet.
  • network packet technology plays a very important role in secure networking of terminals. Packets that do not conform to the rule cannot pass by setting the interception or permission of packets entering the terminal from the Internet or entering the Internet from the terminal.
  • the traditional packet filtering technology is generally controlled in the firewall of the terminal, and the terminal user sets the corresponding filtering rule.
  • This method is not convenient for centralized management of the terminal filtering rules, and the controllability of the network access is not strong, Applicable to scenarios where the terminal is centrally managed.
  • a terminal rule Once a terminal rule is set unreasonably, it is attacked by the network and infected by the virus, which endangers other terminals in the network.
  • the server configures the parameters of the client's packet filtering rules.
  • the client establishes a connection with the server in the initial stage, and then the server sends the corresponding configuration parameters to the client. At the end, the client starts the packet filtering process. To some extent, the function of the unified management client is solved.
  • the embodiments of the present invention provide a method, an apparatus, and a system for configuring a packet filtering rule to solve at least the problem that the configuration of the packet filtering rule is complicated.
  • a data packet filtering rule configuration method including: sending a configuration request carrying a predetermined identifier to a server, where the predetermined identifier includes at least one of the following: a packet filtering rule The identifier of the requesting party, the identifier of the packet filtering rule; receiving the server according to the The packet filtering rule delivered by the configuration request; loading the packet filtering rule to the packet filtering driver of the requesting party.
  • the server has a corresponding relationship between the identifier of the requester of the packet filtering rule and the packet filtering rule, and/or the identifier of the packet filtering rule is saved and The correspondence between packet filtering rules.
  • the method further comprises: filtering, by the packet filtering driver, the requesting party to communicate with a network And sending the intercepting log of the data packet to the server, where the intercepting log is generated according to the information of the data packet intercepted by the data packet filtering rule.
  • filtering the data packet that the requesting party communicates with the network comprises: filtering, in the case that the data packet is a transport layer data packet, filtering the data packet by using a transport driver interface layer; In the case of packets of the network layer and/or the data link layer, the data packets are filtered by the middle layer driver.
  • filtering the data packet that the requesting party communicates with the network includes: according to the data packet filtering rule and the data packet The carried application identifier, respectively filtering packets of one or more applications of the requesting party to communicate with the network.
  • the receiving the data packet filtering rule that is sent by the server according to the configuration request further includes: receiving the updated packet filtering rule that is sent by the server according to the configuration request, where The updated packet filtering rule includes at least one of the following: the server performs a packet filtering rule determined according to the intercepting log sent by the requesting party and a predetermined algorithm, and/or the server determines according to a user input. Packet filtering rules.
  • a packet filtering rule configuration apparatus including: a first sending module, configured to send a configuration request carrying a predetermined identifier to a server, where the predetermined identifier includes the following At least one of: an identifier of the requester of the packet filtering rule, an identifier of the packet filtering rule, and a receiving module, configured to receive the packet filtering rule delivered by the server according to the configuration request; And a packet filtering driver for loading the packet filtering rule to the requesting party.
  • the device further includes: a filtering module, configured to filter, by the packet filtering driver, a data packet that the requesting party communicates with the network; and a second sending module, configured to send the intercepting of the data packet Logging to the server, where the interception log is generated according to information of a data packet intercepted by the data packet filtering rule.
  • the filtering module includes: a filtering unit, configured to separately filter one or more applications of the requesting party to communicate with a network according to the data packet filtering rule and an application identifier carried in the data packet Packet.
  • a data packet filtering rule configuration system including: a terminal and a server, where the terminal is configured to send a configuration request carrying a predetermined identifier to the server,
  • the predetermined identifier includes at least one of the following: an identifier of the terminal, an identifier of the data packet filtering rule, and a packet filtering rule that is sent by the server according to the configuration request; a packet filtering rule to the packet filtering driver request of the terminal; the server is configured to determine, according to the configuration request, the data packet filtering rule that is requested by the terminal; and send the data packet filtering rule to The terminal.
  • the configuration request that carries the predetermined identifier is sent to the server, where the predetermined identifier includes at least one of the following: an identifier of the requester of the packet filtering rule, and an identifier of the packet filtering rule; Receiving, by the server, the data packet filtering rule that is sent according to the configuration request; loading the data packet filtering rule to the data packet filtering driver of the requesting party, and solving the configuration of the data packet filtering rule
  • the complicated operation problem simplifies the configuration process of the packet filtering rule and improves the flexibility of the network connection control.
  • FIG. 1 is a schematic flow chart of a method for configuring a packet filtering rule according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of a device for configuring a packet filtering rule according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of a packet filtering rule configuration system according to an embodiment of the present invention
  • FIG. 5 is a flowchart of initialization of a packet filtering system according to a preferred embodiment of the present invention
  • FIG. 7 is a flow diagram of dynamically updating a terminal packet filtering rule by a server in accordance with a preferred embodiment of the present invention.
  • FIG. 1 is a schematic flowchart of a method for configuring a data packet filtering rule according to an embodiment of the present invention. As shown in FIG. 1, the process includes the following steps: Step S102: Sending And carrying the configuration request with the predetermined identifier to the server, where the predetermined identifier includes at least one of the following: an identifier of the requester of the packet filtering rule, and an identifier of the packet filtering rule.
  • Step S104 Receive a packet filtering rule delivered by the server according to the configuration request.
  • Step S106 Load the packet filtering rule to the requester's packet filtering driver.
  • the server may query the identifier of the data packet filtering rule or the data packet filtering rule corresponding to the identifier of the requesting party of the data packet filtering rule according to the saved corresponding correspondence.
  • at least one of the following two correspondences is stored in the server: the correspondence between the identifier of the requester of the packet filtering rule and the packet filtering rule, the identifier of the packet filtering rule, and the packet filtering rule Correspondence.
  • the packet filtering rule saved in the server is a filtering rule that is preset to multiple security levels according to a certain scenario
  • the requesting party may carry the identifier of the required security level in the configuration request, and the server may Sending a corresponding packet filtering rule to the requesting party according to the identifier of the security level.
  • the requesting party may filter the data packet that the requesting party communicates with the network through the packet filtering driver.
  • the requesting party may also feed back the intercepting log of the data packet to the server, where The interception log is generated based on the information of the packet intercepted by the packet filtering rule.
  • the filter driver applies the identity of the requester of the packet filtering rule to the packet filtering rule, and/or, the packet filtering rule The identifier matches the packet filtering rule. If the match is unsuccessful, the filter driver filters out the packet for communication and saves the intercepted action to the intercept log to the server.
  • the manner of filtering the data packet may be performed according to actual requirements. For example, in the case that the data packet is a transport layer data packet, the data packet may be filtered through the transport driver interface layer; the data packet is a network layer and/or data. In the case of a link layer packet, the packet can be filtered by the middle layer driver.
  • a different policy is applied to data packets of different applications for packet filtering, and in this embodiment, a packet filtering mechanism based on application control is also provided, that is, request
  • the party matches the configured packet filtering rule with the application identifier carried in the received packet to be considered.
  • the filtering rule matches the application identifier
  • the packet carrying the corresponding application identifier is respectively matched according to the matching rule.
  • the data packet carrying the unmatched application identifier may be processed according to a default setting.
  • the default setting may be: intercepting an unmatched data packet, or allowing unmatched data. Receive and send packets.
  • the requesting party may further receive an updated packet filtering rule that is sent by the server according to the configuration request, where the updated packet filtering rule may be that the server updates according to a predetermined policy, or may be based on
  • the input of the user is updated, for example, the packet filtering rule determined by the server according to the intercepting log sent by the requesting party and the predetermined algorithm, or the packet filtering rule determined by the server according to the input of the user.
  • the relevant professional management personnel manually modify the corresponding rules according to the actual running requirements, after the server monitors the corresponding filtering rules, and starts to issue updates to the requesting party. Filter rules.
  • the embodiment further provides a data packet filtering rule configuration device, and the data packet filtering rule configuration device described in the device embodiment corresponds to the foregoing method embodiment, and the specific embodiment has been described in detail in the method embodiment. , will not repeat them here.
  • 2 is a schematic structural diagram of a packet filtering rule configuration apparatus according to an embodiment of the present invention. As shown in FIG.
  • the apparatus includes: a first sending module 22, a receiving module 24, and a loading module 26, wherein the first sending module 22 For transmitting a configuration request carrying a predetermined identifier to the server, where the predetermined identifier includes at least one of the following: an identifier of the requester of the packet filtering rule, and an identifier of the packet filtering rule; the receiving module 24 is coupled to the first sending The module 22 is configured to receive a packet filtering rule that is sent by the server according to the configuration request.
  • the loading module 26 is coupled to the receiving module 24, and is configured to load a packet filtering rule to the requester's packet filtering driver.
  • the first sending module 22 is configured to send a predetermined identifier to the server.
  • the receiving module 24 receives the packet filtering rule sent by the server, and the loading module 26 loads the packet filtering rule to the request.
  • the way of packet filtering driver solves the packet filtering rules in related technologies
  • the configuration causes complicated operation problems, simplifies the configuration process of the packet filtering rules, and improves the flexibility of the network connection control.
  • the modules and units involved in this embodiment may be implemented by software or by hardware.
  • the described modules and units in this embodiment may also be disposed in a processor. For example, it may be described as follows:
  • a processor includes a first sending module 22, a receiving module 24, and a loading module 26. The names of these modules do not constitute a limitation on the module itself in some cases.
  • the first sending module may also be described as "set to send a module carrying a configuration request with a predetermined identifier to the server.”
  • the server Preferably, at least one of the following two correspondences is stored in the server: the correspondence between the identifier of the requester of the packet filtering rule and the packet filtering rule, the identifier of the packet filtering rule, and the correspondence between the packet filtering rules .
  • FIG. 3 is a schematic diagram of a preferred structure of a packet filtering rule configuration apparatus according to an embodiment of the present invention. As shown in FIG. 3, the apparatus further includes: a filtering module 32, configured to filter a requester by using a packet filtering driver.
  • the data packet that communicates with the network; the second sending module 34 is configured to send the intercepting log of the data packet to the server, where the intercepting log is generated according to the information of the data packet intercepted by the data packet filtering rule.
  • the filtering module 32 may filter the data packet through a transport driver interface layer; in the case that the data packet is a network layer and/or a data link layer data packet, This packet can be filtered by the middle tier driver.
  • the filtering module 32 is further configured to filter the data packets of one or more applications of the requesting party to communicate with the network according to the packet filtering rules and the application identifiers carried in the data packets.
  • the receiving module 24 is further configured to receive an updated packet filtering rule that is sent by the server according to the configuration request, where the updated packet filtering rule may be: the server determines according to the intercepting log sent by the requesting party and a predetermined algorithm. Packet filtering rules, and/or packet filtering rules determined by the server based on user input.
  • This embodiment further provides a data packet filtering rule configuration system.
  • FIG. 4 is a schematic structural diagram of a data packet filtering rule configuration system according to an embodiment of the present invention. As shown in FIG.
  • the system includes: a terminal 42 (corresponding to the above-mentioned packet filtering rule configuration device, configured to complete the corresponding function of the requesting party) and a server 44 (set to complete the corresponding function of the server), wherein
  • the terminal 42 is configured to send a configuration request carrying the predetermined identifier to the server 44, where the predetermined identifier includes at least one of the following: an identifier of the terminal 42 and an identifier of the packet filtering rule; and the receiving server 44 delivers the configuration according to the configuration request.
  • a packet filtering rule loading a packet filtering rule to the packet filtering driver request of the terminal 42
  • the server 44 is configured to determine a packet filtering rule requested by the terminal 42 according to the configuration request, and send the packet filtering rule to the terminal 42.
  • the preferred embodiment of the present invention provides a centralized configuration and hierarchical management of terminal network packet filtering in a scenario where centralized management of the terminal is required. And dynamic update methods.
  • 5 is an initialization flowchart of a packet filtering system according to a preferred embodiment of the present invention.
  • a server is searched from a preset server address configuration, and a connection is established with the server.
  • the packet filtering rule can be configured to disable network access and allow network access by default according to actual needs. However, when network access is prohibited, network communication with each configured server address can be allowed by default.
  • Step S502 Initializing the terminal power-on system.
  • Step S504 The terminal searches for a server.
  • Step S506 The terminal connects to the server.
  • Step S508 The server performs authentication authentication on the terminal.
  • Step S510 The network filtering of the terminal is correspondingly initialized according to the configuration. After the foregoing steps are performed, the server performs authentication and level recognition on the terminal according to the information carried in the terminal connection, and the rule set of the corresponding level is sent from the rule pool to the terminal, which is provided in the preferred embodiment.
  • One way to achieve this is as follows:
  • the server generates a filter rule pool according to actual needs according to actual needs.
  • the rule pool generates different rule sets according to different levels according to actual hierarchical requirements.
  • the basic public rule set may also be included, and each different level is different.
  • the ID is identified.
  • the terminal may carry corresponding ID information, and the server maps the corresponding level ID according to the ID, and the server extracts the corresponding rule set from the rule pool according to the level ID, and together with the public basis The rule set is sent to the terminal.
  • FIG. 6 is a flowchart of initializing the configuration of the terminal packet filtering server according to a preferred embodiment of the present invention, as shown in FIG.
  • the process includes: Step S602: The terminal initializes the filtering configuration.
  • Step S606 The server determines the level ID to which the terminal belongs according to the terminal ID.
  • Step S608 The server selects a corresponding rule set from the rule pool according to the level ID.
  • Step S610 determining whether the rule set is non-empty; wherein, if the determination result is yes, step S614 is performed, and if the determination result is no, step S612 is performed.
  • Step S612 Send the corresponding error code to the terminal; wherein, after step S612 is performed, step S622 is performed.
  • Step S614 Send the rule set to the terminal.
  • Step S616 The terminal application service monitors that a rule is sent.
  • Step S618 The terminal application service converts the rule into a corresponding data structure and sends it to the driver.
  • Step S620 The driver updates the corresponding rule list.
  • Step S622 The terminal data packet is filtered, and the initialization ends. After the above steps are performed, the terminal application needs to be filtered and filtered by the kernel driver when the network communication is required, and the kernel driver performs the IP address and port number carried in the data packet according to the configured rules. Match, if the match is successful, it will be filtered according to the corresponding set intercept action. If the match is not successful, then according to the configuration option, you can choose to intercept or allow. Therefore, the terminal can upload the corresponding interception record to the server for analysis and positioning by the server according to actual needs.
  • the server performs analysis of a certain algorithm according to the interception record, and performs some automatic adjustment and modification on the corresponding rule, and may also have relevant professional management personnel according to actual operation requirements, and corresponding rules. Make a manual modification configuration.
  • the server monitors the corresponding rule set modification, it starts to issue a request flow process for updating the rule set to the terminal that uses the rule set to implement dynamic update of the rule set.
  • the kernel driver can get the rule set from the user program and modify the corresponding rule match list in real time.
  • the driver can filter packets located at the transport layer or network layer or data link layer according to actual needs.
  • the data packet for the transport layer can be filtered using TDI based layer, and the packet filtering for the network layer and the data link layer can be filtered using the middle layer driver.
  • the kernel driver can flexibly control the filtering of the data packet, and the data packet can be filtered based on the application, so that the network connection of the application can be more flexibly controlled, and the application is allowed to be used, Ensure the security of the terminal and filter out the communication of unknown network data that may have security risks.
  • FIG. 7 is a flowchart of dynamically updating a terminal packet filtering rule by a server according to a preferred embodiment of the present invention. As shown in FIG.
  • the process of dynamically updating includes the following steps: Niu Shaocong S702: The server rule set changes.
  • Niu Shaocong S712 Load (attach) the corresponding rules to the driver.
  • Niu Shaocong S714 Driver update configuration rule list.
  • centralized network management of the terminal can be implemented, and hierarchical control can be performed for different network access requirements, and network packet filtering can be performed at the same time.
  • Realize dynamic rule update, real-time effective, and adaptive filtering and modification of rules can be implemented with the corresponding filtering log analysis algorithm.
  • Industrial Applicability According to an embodiment of the present invention, a corresponding packet filtering rule is requested according to an identifier of a requester or a packet filtering rule by a set data packet filtering rule, and the data packet is loaded to a requester's data.
  • the packet filtering driver solves the problem that the configuration of the packet filtering rule in the related art leads to complicated operation, simplifies the configuration process of the packet filtering rule, and improves the flexibility of the network connection control.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices.
  • they may be implemented by program code executable by the computing device, such that they may be stored in the storage device by the computing device, or they may be separately fabricated into individual integrated circuit modules, or they may be Multiple modules or steps are made into a single integrated circuit module.
  • the invention is not limited to any specific combination of hardware and software.

Abstract

本发明提供了一种数据包过滤规则配置方法、装置及系统，其中，该方法包括：发送携带有预定标识的配置请求至服务端，其中，预定标识包括以下至少之一：数据包过滤规则的请求方的标识、数据包过滤规则的标识；接收服务端根据所述配置请求下发的数据包过滤规则；加载数据包过滤规则至请求方的数据包过滤驱动程序。通过本发明的方法，解决了相关技术中数据包过滤规则的配置导致操作复杂的问题，简化了数据包过滤规则的配置过程，提高了对网络连接控制的灵活性。

Description

数据包过滤规则 IBS方法、 装¾¾系统
技术领域 本发明涉及通信领域， 具体而言， 涉及一种数据包过滤规则配置方法、 装置及系 统。 背景技术 现代互联网中网络攻击、 病毒和钓鱼网站等各种威胁终端安全的手段肆虐接入互 联网的终端设备， 网络数据包技术作为防火墙的基本技术， 对终端的安全联网起到非 常重要的作用， 通过设置从英特网进入终端的数据包或者从终端进入英特网的数据包 的拦截或允许， 使不符合规则的数据包不能通过。 传统的数据包过滤技术一般在终端的防火墙中进行控制， 由终端使用者设置相应 的过滤规则， 这种方式不便于对于终端过滤规则的集中管理， 对网络接入的可控性不 强， 不适用于终端集中管理的场景。 一旦某一台终端规则设置不合理， 导致受到网络 的攻击以及病毒的感染而危及到网络内的其他终端。 也有一些包过滤技术采用了 C/S的架构， 由服务器对客户端的包过滤规则进行了 相应的参数配置， 由客户端在初始阶段与服务器建立连接， 然后由服务器将相应的配 置参数发给客户端， 客户端随即启动包过滤流程。 在一定程度上解决了统一管理客户 端的功能， 但是这种方式容易在需要对终端的网络接入进行差异化控制的应用场景中 存在不足， 同时如果需要实时的修改过滤规则， 则需要断开连接， 重新进行连接， 参 数配置以及启动过滤。 在一定程度上增加了操作的复杂性。 针对相关技术中数据包过滤规则的配置导致操作复杂的问题， 目前尚未提出有效 的解决方案。 发明内容 本发明实施例提供了一种数据包过滤规则配置方法、 装置及系统， 以至少解决数 据包过滤规则的配置导致操作复杂的问题。 根据本发明实施例的一个方面， 提供了一种数据包过滤规则配置方法， 包括： 发 送携带有预定标识的配置请求至服务端， 其中， 所述预定标识包括以下至少之一： 数 据包过滤规则的请求方的标识、 所述数据包过滤规则的标识； 接收所述服务端根据所 述配置请求下发的所述数据包过滤规则； 加载所述数据包过滤规则至所述请求方的数 据包过滤驱动程序。 优选地， 在所述服务端中保存有所述数据包过滤规则的请求方的标识与所述数据 包过滤规则的对应关系， 和 /或， 保存有所述数据包过滤规则的标识与所述数据包过滤 规则的对应关系。 优选地， 在加载所述数据包过滤规则至所述请求方的所述数据包过滤驱动程序之 后， 所述方法还包括： 通过所述数据包过滤驱动程序， 过滤所述请求方与网络进行通 信的数据包； 发送所述数据包的拦截日志至所述服务端， 其中， 所述拦截日志是根据 所述数据包过滤规则拦截的数据包的信息生成的。 优选地， 过滤所述请求方与网络进行通信的所述数据包包括： 在所述数据包为传 输层数据包的情况下， 通过传输驱动程序接口层过滤所述数据包； 在所述数据包为网 络层和 /或数据链路层的数据包的情况下， 通过中间层驱动程序过滤所述数据包。 优选地，在所述数据包过滤规则为基于应用程序控制的数据包过滤规则的情况下， 过滤所述请求方与网络通信的数据包包括： 根据所述数据包过滤规则和所述数据包中 携带的应用程序标识， 分别过滤所述请求方的一个或多个应用程序与网络进行通信的 数据包。 优选地， 接收所述服务端根据所述配置请求下发的所述数据包过滤规则还包括： 接收所述服务端根据所述配置请求下发的更新的所述数据包过滤规则， 其中， 所述更 新的所述数据包过滤规则包括以下至少之一： 所述服务端根据所述请求方发送的拦截 日志和预定算法确定的数据包过滤规则，和 /或所述服务端根据用户的输入确定的数据 包过滤规则。 根据本发明实施例的另一方面， 提供了一种数据包过滤规则配置装置， 包括： 第 一发送模块， 用于发送携带有预定标识的配置请求至服务端， 其中， 所述预定标识包 括以下至少之一： 数据包过滤规则的请求方的标识、 所述数据包过滤规则的标识； 接 收模块， 用于接收所述服务端根据所述配置请求下发的所述数据包过滤规则； 加载模 块， 用于加载所述数据包过滤规则至所述请求方的数据包过滤驱动程序。 优选地， 所述装置还包括： 过滤模块， 用于通过所述数据包过滤驱动程序， 过滤 所述请求方与网络进行通信的数据包； 第二发送模块， 用于发送所述数据包的拦截日 志至所述服务端， 其中， 所述拦截日志是根据所述数据包过滤规则拦截的数据包的信 息生成的。 优选地， 所述过滤模块包括： 过滤单元， 用于根据所述数据包过滤规则和所述数 据包中携带的应用程序标识， 分别过滤所述请求方的一个或多个应用程序与网络进行 通信的数据包。 根据本发明实施例的另一个方面， 提供了一种数据包过滤规则配置系统， 包括： 终端和服务端， 其中， 所述终端， 用于发送携带有预定标识的配置请求至所述服务端， 其中， 所述预定标识包括以下至少之一： 所述终端的标识、 所述数据包过滤规则的标 识； 接收所述服务端根据所述配置请求下发的所述数据包过滤规则； 加载所述数据包 过滤规则至所述终端的数据包过滤驱动程序请求； 所述服务端， 用于根据所述配置请 求确定所述终端所请求的所述数据包过滤规则；发送所述数据包过滤规则至所述终端。 通过本发明实施例， 采用发送携带有预定标识的配置请求至服务端， 其中， 所述 预定标识包括以下至少之一： 数据包过滤规则的请求方的标识、 所述数据包过滤规则 的标识； 接收所述服务端根据所述配置请求下发的所述数据包过滤规则； 加载所述数 据包过滤规则至所述请求方的数据包过滤驱动程序的方式， 解决了数据包过滤规则的 配置导致操作复杂的问题， 简化了数据包过滤规则的配置过程， 提高了对网络连接控 制的灵活性。 附图说明 此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部分， 本发 明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的不当限定。 在附图 中- 图 1是根据本发明实施例的数据包过滤规则配置方法的流程示意图； 图 2是根据本发明实施例的数据包过滤规则配置装置的结构示意图； 图 3是根据本发明实施例的数据包过滤规则配置装置的优选结构示意图； 图 4根据本发明实施例的数据包过滤规则配置系统的示意图； 图 5是根据本发明优选实施的数据包过滤系统的初始化流程图； 图 6是根据本发明优选实施例的终端数据包过滤服务器配置的初始化流程图； 图 7是根据本发明优选实施例的服务器对终端数据包过滤规则进行动态更新的流 程图。 具体实施方式 需要说明的是， 在不冲突的情况下， 本申请中的实施例及实施例中的特征可以相 互组合。 下面将参考附图并结合实施例来详细说明本发明。 在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执 行， 并且， 虽然在流程图中示出了逻辑顺序， 但是在某些情况下， 可以以不同于此处 的顺序执行所示出或描述的步骤。 本实施例提供了一种数据包过滤规则配置方法， 图 1是根据本发明实施例的数据 包过滤规则配置方法的流程示意图， 如图 1所示， 该流程包括如下的步骤： 步骤 S102: 发送携带有预定标识的配置请求至服务端， 其中， 预定标识包括以下 至少之一： 数据包过滤规则的请求方的标识、 数据包过滤规则的标识。 步骤 S104: 接收服务端根据配置请求下发的数据包过滤规则。 步骤 S106: 加载数据包过滤规则至请求方的数据包过滤驱动程序。 通过上述步骤， 采用根据通过设置的数据包过滤规则的标识或者数据包过滤规则 的请求方的标识请求对应的数据包过滤规则， 并将所述数据包加载到请求方的数据包 过滤驱动程序， 解决了现有相关技术中数据包过滤规则的配置导致操作复杂的问题， 简化了数据包过滤规则的配置过程， 提高了对网络连接控制的灵活性。 优选地， 服务端可以根据保存的相应的对应关系， 查询数据包过滤规则的标识或 者数据包过滤规则的请求方的标识对应的数据包过滤规则。 在这种情况下， 在服务器 端中至少保存有以下两种对应关系之一： 数据包过滤规则的请求方的标识与数据包过 滤规则的对应关系、 数据包过滤规则的标识与数据包过滤规则的对应关系。 通过上述 方式， 可以将不同的数据包过滤规则配置给不同的请求方， 请求方也可以根据自身的 需求， 在服务端上选择相应的数据包过滤规则进行配置。 较优地， 在服务端中保存的 数据包过滤规则是按照一定的场景预设为多个安全等级的过滤规则， 请求方可以在配 置请求中携带有需求的安全等级的标识， 则服务端可以根据该安全等级的标识下发对 应的数据包过滤规则给该请求方。 优选地， 在步骤 S106之后， 请求方可以通过数据包过滤驱动程序， 过滤请求方与 网络进行通信的数据包； 可选的， 请求方还可以将数据包的拦截日志反馈给服务端， 其中， 拦截日志是根据数据包过滤规则拦截的数据包的信息生成的。 其中， 过滤驱动 程序对数据包过滤规则的请求方的标识与数据包过滤规则， 和 /或， 数据包过滤规则的 标识与数据包过滤规则进行匹配， 如果匹配不成功， 过滤驱动程序过滤掉进行通信的 数据包， 并将拦截的动作保存到拦截日志到服务器。 优选地， 过滤数据包的方式可以根据实际需求来进行， 例如， 在数据包为传输层 数据包的情况下， 可以通过传输驱动程序接口层过滤数据包； 在数据包为网络层和 / 或数据链路层的数据包的情况下， 可以通过中间层驱动程序过滤数据包。 优选地， 为了提高安全性和灵活性， 实现对于不同应用程序的数据包应用不同的 策略进行数据包过滤， 在本实施例中还提供了一种基于应用程序控制的数据包过滤机 制， 即请求方对配置的数据包过滤规则和接收到的待过虑数据包中携带的应用程序标 识进行匹配， 在过滤规则与应用程序标识匹配时， 分别根据匹配的规则对携带有对应 应用程序标识的数据包进行处理。 优选地， 对于携带有未匹配到的应用程序标识的数 据包， 可以根据默认设置进行处理， 例如， 默认设置可以是： 对未匹配到的数据包进 行拦截， 也可以是允许未匹配到的数据包的接收和发送。 优选地，在步骤 S104中，请求方还可以接收服务端根据配置请求下发的更新的数 据包过滤规则， 其中， 更新的数据包过滤规则可以是服务端按照预定策略更新的， 也 可以是根据用户的输入进行更新的， 例如： 服务端根据请求方发送的拦截日志和预定 算法确定的数据包过滤规则， 或者服务端根据用户的输入确定的数据包过滤规则。 例 如， 根据实际的需要， 相关专业管理人员根据实际运行中的需求， 对相应的规则做出 手动的修改配置， 服务器在监控到相应的过滤规则修改之后， 并开始对请求方下发更 新之后的过滤规则。 本实施例还提供了一种数据包过滤规则配置装置， 该装置实施例中描述的数据包 过滤规则配置装置对应于上述方法实施例， 其具体的实施例在方法实施例中已经进行 过详细说明， 在此不再赘述。 图 2是根据本发明实施例的数据包过滤规则配置装置的结构示意图，如图 2所示， 该装置包括： 第一发送模块 22、接收模块 24和加载模块 26， 其中，第一发送模块 22， 用于发送携带有预定标识的配置请求至服务端， 其中， 预定标识包括以下至少之一： 数据包过滤规则的请求方的标识、数据包过滤规则的标识；接收模块 24耦合至第一发 送模块 22， 用于接收服务端根据所述配置请求下发的数据包过滤规则； 加载模块 26 耦合至接收模块 24， 设置为加载数据包过滤规则至请求方的数据包过滤驱动程序。 在上述本实施例装置中，采用了第一发送模块 22发送预定标识至服务器，根据所 述预定标识， 接收模块 24接收服务器下发的数据包过滤规则， 加载模块 26加载数据 包过滤规则至请求方的数据包过滤驱动程序的方式， 解决了相关技术中数据包过滤规 则的配置导致操作复杂的问题， 简化了数据包过滤规则的配置过程， 提高了对网络连 接控制的灵活性。 本实施例中所涉及到的模块、 单元可以通过软件的方式实现， 也可以通过硬件的 方式来实现。 本实施例中的所描述的模块、 单元也可以设置在处理器中， 例如， 可以 描述为： 一种处理器包括第一发送模块 22、 接收模块 24和加载模块 26。 其中， 这些 模块的名称在某种情况下并不构成对该模块本身的限定， 例如， 第一发送模块还可以 被描述为 "设置为发送携带有预定标识的配置请求至服务端的模块"。 优选地， 在服务器端中至少保存有以下两种对应关系之一： 数据包过滤规则的请 求方的标识与数据包过滤规则的对应关系、 数据包过滤规则的标识与数据包过滤规则 的对应关系。 图 3是根据本发明实施例的数据包过滤规则配置装置的优选结构示意图， 如图 3 所示， 优选地， 该装置还包括： 过滤模块 32， 设置为通过数据包过滤驱动程序， 过滤 请求方与网络进行通信的数据包； 第二发送模块 34， 设置为发送数据包的拦截日志至 服务端， 其中， 拦截日志是根据数据包过滤规则拦截的数据包的信息生成的。 优选地， 过滤模块 32在数据包为传输层数据包的情况下， 可以通过传输驱动程序 接口层过滤该数据包； 在数据包为网络层和 /或数据链路层的数据包的情况下， 可以通 过中间层驱动程序过滤该数据包。 优选地，过滤模块 32还设置为根据数据包过滤规则和数据包中携带的应用程序标 识， 分别过滤请求方的一个或多个应用程序与网络进行通信的数据包。 优选地，接收模块 24还设置为接收服务端根据配置请求下发的更新的数据包过滤 规则， 其中， 更新的数据包过滤规则可以是： 服务端根据请求方发送的拦截日志和预 定算法确定的数据包过滤规则，和 /或，服务端根据用户的输入确定的数据包过滤规则。 本实施例还提供了一种数据包过滤规则配置系统， 图 4根据本发明实施例的数据 包过滤规则配置系统的结构示意图。 如图 4所示， 该系统包括： 终端 42 (相当于上述 的数据包 过滤规则配置装置， 设置为完成上述请求方的相应功能） 和服务端 44 (设 置为完成上述服务端的相应功能）， 其中， 终端 42， 设置为发送携带有预定标识的配 置请求至服务端 44， 其中， 预定标识包括以下至少之一： 终端 42的标识、 数据包过 滤规则的标识； 接收服务端 44根据配置请求下发的数据包过滤规则； 加载数据包过滤 规则至终端 42的数据包过滤驱动程序请求； 服务端 44， 设置为根据配置请求确定终 端 42所请求的数据包过滤规则， 并发送数据包过滤规则至终端 42。 下面将结合优选的实施例对其实现过程进行详细描述。 针对上述现有终端网络数据包过滤技术存在的不足， 本发明优选实施例的目的是 针对需要对终端进行集中管理的场景中， 提供了一种实现对终端网络数据包过滤进行 集中配置， 分级管理和动态更新的方法。 图 5是根据本发明优选实施例的数据包过滤系统的初始化流程图， 在图 5中， 终 端上电初始化中， 从预置的服务器地址配置中搜寻服务器， 并与服务器建立连接， 此 时终端数据包过滤规则可以根据实际需要配置成默认禁止网络接入和允许网络接入， 但是在禁止网络接入时， 能够默认允许与所配置的各个服务器地址之间的网络通信。 该方法的步骤包括： 步骤 S502: 终端上电系统初始化。 步骤 S504: 终端搜寻服务器。 步骤 S506: 终端连接服务器。 步骤 S508: 服务器对终端进行鉴权认证。 步骤 S510: 终端的网络过滤根据配置进行相应的初始化。 在上述步骤执行完之后， 服务器根据终端连接时携带的信息， 对终端进行鉴权以 及级别认知， 并从规则池中取出相应级别的规则集下发给终端， 在本优选实施例中提 供的一种实现方法如下：
1)服务器根据实际需要， 按一定方式生成一个过滤规则池， 规则池中根据实际的 分级要求按不同级别生成不同的规则集， 当然也可以包括基础的公共规则集， 每个不 同的级别以不同的 ID进行标识。
2)终端在与服务器进行初始化连接的流程中， 可以携带相应的 ID信息， 服务器根 据这个 ID映射出对应的级别 ID， 服务器根据级别 ID从规则池中取出相应的规则集， 并连同公共的基础规则集下发给终端。
3 )终端监控到有规则从服务器传过来，然后将相应的规则转化成对应的数据结构 发送给内核的数据包过滤驱动程序， 驱动程序就会重新加载这些规则。 由终端上的应 用服务程序决定是否清除原来配置的规则， 还是保留之前的规则。 在本优选实施例中还提供了一种终端数据包过滤服务器配置的初始化方法， 图 6 是根据本发明优选实施例的终端数据包过滤服务器配置的初始化流程图，如图 6所示， 该初始化流程包括： 步骤 S602: 终端初始化过滤配置。 步骤 S604: 终端向服务器发送终端 ID等信息。 步骤 S606: 服务器根据终端 ID判断终端所属的级别 ID。 步骤 S608: 服务器根据级别 ID从规则池中选择对应的规则集。 步骤 S610: 判断规则集是否非空； 其中， 在判断结果为是时， 则执行步骤 S614, 在判断结果为否时， 则执行步骤 S612。 步骤 S612:发送对应的错误码到终端；其中，执行完步骤 S612之后执行步骤 S622。 步骤 S614: 将规则集发送给终端。 步骤 S616: 终端应用服务监控到有规则发送过来。 步骤 S618: 终端应用服务将规则转化成相应的数据结构发送给驱动程序 步骤 S620: 驱动程序更新对应的规则列表。 步骤 S622: 终端数据包过滤， 初始化结束。 在上述步骤执行完之后， 紧接着终端应用程序在需要进行网络通信的时候， 需要 经过内核的驱动程序进行过滤筛选， 内核的驱动程序根据配置的规则对数据包中携带 的 IP地址和端口号进行匹配， 若匹配成功， 则按照对应设置的拦截动作进行过滤， 若 匹配不成功， 那么根据配置选项， 可以选择拦截或者允许。 因此， 可以根据实际的需要， 终端可以将对应的拦截记录上传到服务器， 供服务 器进行分析定位。 优选地， 可以根据实际的需要， 服务器根据拦截记录进行一定算法的分析， 对相 应的规则做一些自动化的调整和修改， 也可以有相关的专业管理人员根据实际运行中 的需求， 对相应的规则做出手动的修改配置。 服务器监控到相应的规则集修改之后， 并开始对使用该规则集的终端下发更新规则集的请求流程，以实现规则集的动态更新。 例如， 内核驱动程序可以从用户程序获取规则集， 实时的修改相应的规则匹配列 表。 驱动程序可以根据实际需求， 对位于传输层或者网络层或者数据链路层的数据包 进行过滤。 优选地， 对于传输层的数据包可以使用基于 TDI层过滤， 对于网络层和数 据链路层的数据包过滤可以使用中间层驱动程序进行过滤。 优选地， 采用内核驱动程序可以灵活的控制数据包的过滤， 可以以应用程序为依 据进行数据包的过滤， 这样可以更加灵活的控制应用程序的网络连接， 在允许使用相 应应用程序的前提下， 保证终端的安全性， 过滤掉未知的可能存在安全隐患的网络数 据的通信。 图 7是根据本发明优选实施例的服务器对终端数据包过滤规则进行动态更新的流 程图， 如图 7所示， 上述动态更新的过程包括如下步骤： 牛少聰 S702: 服务器规则集发生变化。 牛少聰 S704: 找到规则集所对应的终端。 牛少聰 S706: 发送新的规则集到终端。 牛少聰 S708: 终端根据规则集选择是否保留原始规则。 牛少聰 S710: 清除驱动之前配置的规则。 牛少聰 S712: 加载 （附加） 相应的规则到驱动。 牛少聰 S714: 驱动程序更新配置规则列表。 综上所述， 根据本发明的上述优选实施例， 可以实现对终端的网络接入进行集中 式管理， 同时能针对不同的网络接入需求差异化的进行分级控制， 同时针对网络数据 包过滤能够实现动态的规则更新， 实时有效， 搭配相应的过滤日志分析算法还可以实 现规则的自适应调整和修改。 工业实用性 根据本发明实施例， 采用根据通过设置的数据包过滤规则的标识或者数据包过滤 规则的请求方的标识请求对应的数据包过滤规则， 并将所述数据包加载到请求方的数 据包过滤驱动程序， 解决了现有相关技术中数据包过滤规则的配置导致操作复杂的问 题， 简化了数据包过滤规则的配置过程， 提高了对网络连接控制的灵活性。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可以用通用 的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布在多个计算装置所 组成的网络上， 可选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以 将它们存储在存储装置中由计算装置来执行， 或者将它们分别制作成各个集成电路模 块， 或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。 这样， 本发明 不限制于任何特定的硬件和软件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技 术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和原则之内， 所作的 任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1. 一种数据包过滤规则配置方法， 包括：
发送携带有预定标识的配置请求至服务端， 其中， 所述预定标识包括以下 至少之一： 数据包过滤规则的请求方的标识、 所述数据包过滤规则的标识； 接收所述服务端根据所述配置请求下发的所述数据包过滤规则； 加载所述数据包过滤规则至所述请求方的数据包过滤驱动程序。
2. 根据权利要求 1所述的方法， 其中， 在所述服务端中保存有所述数据包过滤规 则的请求方的标识与所述数据包过滤规则的对应关系， 和 /或， 保存有所述数据 包过滤规则的标识与所述数据包过滤规则的对应关系。
3. 根据权利要求 1所述的方法， 其中， 在加载所述数据包过滤规则至所述请求方 的所述数据包过滤驱动程序之后， 所述方法还包括：
通过所述数据包过滤驱动程序，过滤所述请求方与网络进行通信的数据包； 发送所述数据包的拦截日志至所述服务端， 其中， 所述拦截日志是根据所 述数据包过滤规则拦截的数据包的信息生成的。
4. 根据权利要求 3所述的方法， 其中， 过滤所述请求方与网络进行通信的所述数 据包包括：
在所述数据包为传输层数据包的情况下， 通过传输驱动程序接口层过滤所 述数据包；
在所述数据包为网络层和 /或数据链路层的数据包的情况下，通过中间层驱 动程序过滤所述数据包。
5. 根据权利要求 3所述的方法， 其中， 在所述数据包过滤规则为基于应用程序控 制的数据包过滤规则的情况下， 过滤所述请求方与网络通信的数据包包括： 根据所述数据包过滤规则和所述数据包中携带的应用程序标识， 分别过滤 所述请求方的一个或多个应用程序与网络进行通信的数据包。
6. 根据权利要求 1至 5中任一项所述的方法， 其中， 接收所述服务端根据所述配 置请求下发的所述数据包过滤规则还包括： 接收所述服务端根据所述配置请求下发的更新的所述数据包过滤规则， 其 中， 所述更新的所述数据包过滤规则包括以下至少之一： 所述服务端根据所述 请求方发送的拦截日志和预定算法确定的数据包过滤规则，和 /或所述服务端根 据用户的输入确定的数据包过滤规则。 一种数据包过滤规则配置装置， 包括：
第一发送模块， 设置为发送携带有预定标识的配置请求至服务端， 其中， 所述预定标识包括以下至少之一： 数据包过滤规则的请求方的标识、 所述数据 包过滤规则的标识；
接收模块， 设置为接收所述服务端根据所述配置请求下发的所述数据包过 滤规则；
加载模块， 设置为加载所述数据包过滤规则至所述请求方的数据包过滤驱 动程序。 根据权利要求 7所述的装置， 其中， 所述装置还包括： 过滤模块， 设置为通过所述数据包过滤驱动程序， 过滤所述请求方与网络 进行通信的数据包；
第二发送模块， 设置为发送所述数据包的拦截日志至所述服务端， 其中， 所述拦截日志是根据所述数据包过滤规则拦截的数据包的信息生成的。 根据权利要求 8所述的装置， 其中， 所述过滤模块包括：
过滤单元， 设置为根据所述数据包过滤规则和所述数据包中携带的应用程 序标识，分别过滤所述请求方的一个或多个应用程序与网络进行通信的数据包。 一种数据包过滤规则配置系统， 包括： 终端和服务端， 其中，
所述终端， 设置为发送携带有预定标识的配置请求至所述服务端， 其中， 所述预定标识包括以下至少之一： 所述终端的标识、 所述数据包过滤规则的标 识； 接收所述服务端根据所述配置请求下发的所述数据包过滤规则； 加载所述 数据包过滤规则至所述终端的数据包过滤驱动程序请求；
所述服务端， 设置为根据所述配置请求确定所述终端所请求的所述数据包 过滤规则； 发送所述数据包过滤规则至所述终端。
PCT/CN2014/075740 2013-11-27 2014-04-18 数据包过滤规则配置方法、装置及系统 WO2014180235A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310616991.1 2013-11-27
CN201310616991.1A CN104683295B (zh) 2013-11-27 2013-11-27 数据包过滤规则配置方法、装置及系统

Publications (1)

Publication Number Publication Date
WO2014180235A1 true WO2014180235A1 (zh) 2014-11-13

Family

ID=51866702

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/075740 WO2014180235A1 (zh) 2013-11-27 2014-04-18 数据包过滤规则配置方法、装置及系统

Country Status (2)

Country Link
CN (1) CN104683295B (zh)
WO (1) WO2014180235A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3758412A4 (en) * 2018-08-15 2021-06-02 Tencent Technology (Shenzhen) Company Limited MULTI-CHANNEL DATA TRANSMISSION METHOD AND APPARATUS

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105245601A (zh) * 2015-10-15 2016-01-13 桂林电子科技大学 一种数据过滤方法及数据过滤系统
CN105656943B (zh) * 2016-03-15 2019-07-05 上海缔安科技股份有限公司 一种应用数据拦截系统及方法
CN106341341B (zh) * 2016-09-05 2020-04-03 广州华多网络科技有限公司 一种请求数据包过滤方法及其系统
CN107688586B (zh) * 2016-12-28 2020-03-27 平安科技（深圳）有限公司 客户数据屏蔽处理方法和装置
CN106713355B (zh) * 2017-01-23 2020-02-21 绿网天下（福建）网络科技股份有限公司 一种基于pc端的网络过滤方法及客户端pc
CN107277024A (zh) * 2017-06-27 2017-10-20 北京明朝万达科技股份有限公司 一种基于tdi接口层的数据防泄漏方法及系统
CN110443059A (zh) * 2018-05-02 2019-11-12 中兴通讯股份有限公司 数据保护方法及装置
CN113242150B (zh) * 2021-06-03 2022-11-22 上海天旦网络科技发展有限公司 K8s中基于Calico网络插件的数据包抓取方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050268335A1 (en) * 2004-05-28 2005-12-01 Nokia Inc. System, method and computer program product for updating the states of a firewall
CN1885836A (zh) * 2006-07-04 2006-12-27 华为技术有限公司 一种即时通信中信息过滤和保密的方法和装置
CN101064878A (zh) * 2006-04-24 2007-10-31 华为技术有限公司 一种实现内容过滤的移动终端、系统、网络实体及方法
EP2007111A1 (fr) * 2007-06-22 2008-12-24 France Telecom Procédé de filtrage de paquets en provenance d'un réseau de communication
CN101422000A (zh) * 2006-04-14 2009-04-29 高通股份有限公司 为通信环境中的各种话务流提供服务质量

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101364952A (zh) * 2007-08-08 2009-02-11 华为技术有限公司 事件订阅方法及过滤规则配置方法和相关设备
CN101132404A (zh) * 2007-09-14 2008-02-27 腾讯科技（深圳）有限公司 一种网页内容分级显示系统及方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050268335A1 (en) * 2004-05-28 2005-12-01 Nokia Inc. System, method and computer program product for updating the states of a firewall
CN101422000A (zh) * 2006-04-14 2009-04-29 高通股份有限公司 为通信环境中的各种话务流提供服务质量
CN101064878A (zh) * 2006-04-24 2007-10-31 华为技术有限公司 一种实现内容过滤的移动终端、系统、网络实体及方法
CN1885836A (zh) * 2006-07-04 2006-12-27 华为技术有限公司 一种即时通信中信息过滤和保密的方法和装置
EP2007111A1 (fr) * 2007-06-22 2008-12-24 France Telecom Procédé de filtrage de paquets en provenance d'un réseau de communication

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3758412A4 (en) * 2018-08-15 2021-06-02 Tencent Technology (Shenzhen) Company Limited MULTI-CHANNEL DATA TRANSMISSION METHOD AND APPARATUS
JP2021521749A (ja) * 2018-08-15 2021-08-26 テンセント・テクノロジー・（シェンジェン）・カンパニー・リミテッド マルチ・チャネル・データ伝送方法、装置及びシステム並びにコンピュータ・プログラム、電子機器
US11350318B2 (en) 2018-08-15 2022-05-31 Tencent Technology (Shenzhen) Company Limited Multichannel data transmission method and apparatus
JP7174834B2 (ja) 2018-08-15 2022-11-17 テンセント・テクノロジー・（シェンジェン）・カンパニー・リミテッド マルチ・チャネル・データ伝送方法、装置及びシステム並びにコンピュータ・プログラム、電子機器

Also Published As

Publication number Publication date
CN104683295B (zh) 2020-02-14
CN104683295A (zh) 2015-06-03

Similar Documents

Publication Publication Date Title
WO2014180235A1 (zh) 数据包过滤规则配置方法、装置及系统
US9888010B2 (en) System and method for providing an integrated firewall for secure network communication in a multi-tenant environment
US9356928B2 (en) Mechanisms to use network session identifiers for software-as-a-service authentication
US11489872B2 (en) Identity-based segmentation of applications and containers in a dynamic environment
US9571523B2 (en) Security actuator for a dynamically programmable computer network
US8887296B2 (en) Method and system for object-based multi-level security in a service oriented architecture
US11496387B2 (en) Auto re-segmentation to assign new applications in a microsegmented network
WO2017152754A1 (zh) 软件定义网路sdn安全通信的方法及装置
US20070274285A1 (en) System and method for configuring a router
US20090122798A1 (en) Ip network system and its access control method, ip address distributing device, and ip address distributing method
JP6940240B2 (ja) 証明書取得方法、認証方法及びネットワークデバイス
US9246906B1 (en) Methods for providing secure access to network resources and devices thereof
US20070274314A1 (en) System and method for creating application groups
US9882965B2 (en) Techniques for network process identity enablement
US11792194B2 (en) Microsegmentation for serverless computing
CN109496411B (zh) 一种用于改善网络安全的方法和系统
WO2009115029A1 (zh) 一种修复数据的方法、系统和装置
US20220201041A1 (en) Administrative policy override in microsegmentation
KR100893935B1 (ko) Ａｒｐ를 이용한 호스트의 네트워크 격리방법
US20230231915A1 (en) Bare-metal connection storage method and system, and apparatus
JP6076276B2 (ja) 通信システム及び通信方法
TW201721498A (zh) 具安全與功能擴充性的有線區域網路使用者管理系統及方法
US11178150B1 (en) Methods for enforcing access control list based on managed application and devices thereof
US11870767B1 (en) Methods for providing adaptive authentication for federated environment and devices thereof
US20220038422A1 (en) Authentication and firewall enforcement for internet of things (iot) devices

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14794352

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14794352

Country of ref document: EP

Kind code of ref document: A1