WO2016206171A1 - 一种基于网络隔离的安全连网方法及终端 - Google Patents

一种基于网络隔离的安全连网方法及终端 Download PDF

Info

Publication number
WO2016206171A1
WO2016206171A1 PCT/CN2015/085873 CN2015085873W WO2016206171A1 WO 2016206171 A1 WO2016206171 A1 WO 2016206171A1 CN 2015085873 W CN2015085873 W CN 2015085873W WO 2016206171 A1 WO2016206171 A1 WO 2016206171A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
network
namespace
virtual network
network card
Prior art date
Application number
PCT/CN2015/085873
Other languages
English (en)
French (fr)
Inventor
胡军杰
申泽奇
Original Assignee
宇龙计算机通信科技(深圳)有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 宇龙计算机通信科技(深圳)有限公司 filed Critical 宇龙计算机通信科技(深圳)有限公司
Publication of WO2016206171A1 publication Critical patent/WO2016206171A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a secure networking method and terminal based on network isolation.
  • the network connection strategy of the existing smart terminal is to preferentially use the Wi-Fi network when there is a Wi-Fi connection available, and the carrier network (2G) is used when the Wi-Fi network is unavailable.
  • 2G the carrier network
  • /3G/4G network The network connection strategy of the existing smart terminal, such as a mobile phone, is to preferentially use the Wi-Fi network when there is a Wi-Fi connection available, and the carrier network (2G) is used when the Wi-Fi network is unavailable.
  • /3G/4G network 3G/4G network.
  • the invention provides a secure networking method and terminal based on network isolation, so as to appropriately select a networking mode and ensure secure networking, and ensure information security in the terminal.
  • a secure networking method based on network isolation including:
  • the external network is connected through the mobile data network to request or transmit the data.
  • a terminal comprising: a kernel, at least one first namespace, and a second namespace;
  • the kernel includes:
  • An isolation unit configured to isolate the at least one first namespace and the second namespace according to the network resource, where the process in the first namespace is connected to the external network through a wireless local area network or a mobile data network, where the second namespace is The process is connected to the external network through the mobile data network;
  • a first receiving unit configured to receive a process creation request corresponding to an application, where the process requests data from an external network or sends data to the external network;
  • a determining unit configured to determine, according to the set to which the package name of the application belongs or the domain in which the process creation request is initiated, to determine that the process belongs to the second namespace;
  • a connecting unit configured to connect to the external network through the mobile data network, to request or send the data.
  • two or more independent network environments are isolated by using a Namespace mechanism provided by the kernel, wherein in a secure network environment, the terminal only The network can be connected through the mobile data network, so that the appropriate connection mode can be selected for the terminal and the network can be securely connected to ensure the information security in the terminal.
  • FIG. 1 is a schematic flowchart of a method for secure networking based on network isolation according to an embodiment of the present invention
  • FIG. 2 is a system architecture diagram of a secure network connection based on network isolation according to an example of an embodiment of the present invention
  • FIG. 3 is a schematic flow chart for further detailing a network isolation-based secure networking method provided by the embodiment shown in FIG. 1;
  • FIG. 4 is a schematic structural diagram of a terminal according to an embodiment of the present disclosure.
  • FIG. 5 is a schematic structural diagram for further detailing a terminal provided by the embodiment shown in FIG. 4.
  • FIG. 1 is a schematic flowchart of a network isolation-based secure networking method according to an embodiment of the present invention, where the method includes the following steps:
  • Step S101 The at least one first namespace Namespace and the second Namespace are isolated according to the network resource, wherein the process in the first Namespace is connected to the external network through a wireless local area network or a mobile data network, and the process in the second Namespace passes the mobile The data network is connected to the external network.
  • Namespace is a resource isolation mechanism provided by the Linux kernel. After using the Nasmespace mechanism, system resources such as PID (process ID), IPC (interprocess communication), and Network are no longer global, but are specific.
  • PID process ID
  • IPC internal processing
  • Network the resources in each Namespace are transparent to other Namespaces.
  • This embodiment mainly uses the Network Namespace to isolate the network.
  • a Network Namespace provides a completely independent view of the network protocol stack for the process, including network device interfaces, IPv4 and IPv6 protocol stacks, IP routing tables, firewall rules, sockets, and more.
  • a Network Namespace provides a separate network environment, just Same as a standalone system. A physical device can only exist in one Network Namespace, but can be moved from one Namespace to another.
  • FIG. 2 is a system architecture diagram of a secure network connection based on network isolation according to an example of an embodiment of the present invention.
  • the operating system or the kernel isolates two network Namespaces according to required network resources, namely Network Namespace A and Network Namespace B.
  • wlan0 is the physical network card used by the wireless local area network WLAN
  • rmnet0 is the physical network card used by the data network
  • APP1, APP2, and APP3 represent relatively high security requirements for the network. After such an application is placed in Namespace B, it can only access the Internet through data traffic.
  • Step S102 Receive a process creation request corresponding to an application, where the process requests data from an external network or sends data to the external network.
  • the operating system or kernel creates a new process that instructs to request data from an external network or send data to an external network.
  • Step S103 Determine, according to the set to which the package name of the application belongs or the domain in which the process creation request is initiated, that the process belongs to the second Namespace.
  • Each APP has a package name for each application, and multiple collections are predefined.
  • Each collection is a package name of a group of applications.
  • the application corresponding to the package name in the collection A belongs to Namespace A, and the package name in the collection B.
  • the corresponding application belongs to Namespace B. Therefore, depending on which application process is created and the package name of the application, if the package name belongs to the set B, it can be determined that the process belongs to the Namespace B.
  • a terminal has multiple domains. It is stipulated that the process created by a certain domain must be connected through the mobile network. Therefore, the domain in which the request is created according to the process is initiated, and the process belongs to Namespace B.
  • Step S104 connecting an external network through the mobile data network to request or send the data.
  • a network isolation-based secure networking method provided by the present invention is provided by using a kernel
  • the Namespace mechanism isolates two or more independent network environments.
  • the terminal can only connect to the network through the mobile data network, so that the terminal can select an appropriate networking mode and ensure secure networking. To ensure the security of the information in the terminal.
  • FIG. 3 is a schematic flowchart for further detailing a network isolation-based secure networking method provided by the embodiment shown in FIG. 1 , where the method includes the following steps:
  • Step S201 isolate at least one first namespace Namespace and a second Namespace, wherein the process in the first Namespace is connected to the external network through a wireless local area network or a mobile data network, and the process in the second Namespace passes the movement
  • the data network is connected to the external network.
  • Step S202 Receive a process creation request corresponding to an application, where the process requests data from an external network or sends data to the external network.
  • Step S203 determining that the process belongs to the second Namespace according to the set to which the package name of the application belongs or the domain in which the process creation request is initiated.
  • Steps S201-S203 are the same as steps S101-S103 of the embodiment shown in FIG. 1, and details are not described herein again.
  • Step S204 Send a data request corresponding to the process to a second virtual network card connected to the second Namespace.
  • Step S205 the second virtual network card sends the data request to the first virtual network card connected to the first Namespace.
  • Step S206 the first virtual network card is derived from the second virtual network card according to the data request, and the data request is sent to the external network through the mobile data network, and the external network is received by the mobile data.
  • the data returned by the network sends the data to the second virtual network card.
  • Step S207 the second virtual network card feeds back the data to the process.
  • Step S208 receiving the data fed back by the second virtual network card.
  • Step S209 Send a data transmission request corresponding to the process to a second virtual network card connected to the second Namespace, where the data transmission request carries data to be sent.
  • Step S210 the second virtual network card sends the data sending request to the first virtual network card connected to the first Namespace.
  • Step S211 The first virtual network card is sent from the second virtual network card according to the data sending request, and the to-be-sent data is sent to the external network through the mobile data network.
  • the VETH-A (ie, the first virtual network card) and the VETH-B (ie, the second virtual network card) shown in FIG. 2 are virtual network devices of the type veth, and the devices generally appear in pairs.
  • the packet sent from a veth can reach its peer veth directly.
  • Veth provides a pipe-like abstraction that tunnels between different Namespaces. With virtual network devices, you can bridge the physical devices in other Namespaces. If you don't need to connect to an external network, you only need to interconnect the two Namespaces, then veth is sufficient.
  • Namespace B For the physical network card wlan0, if the veth virtual network card and bridge are not used, and the corresponding routing rules and NAT address translation are configured, the process in Namespace B does not know the existence of the physical network card of wlan0, and therefore cannot be accessed through waln0. External network, that is to say, you cannot use the WIFI network to access the Internet.
  • Steps S204-S208 are processes for requesting data from an external network
  • steps S209-S211 are processes for transmitting data to an external network.
  • two or more independent network environments are isolated by using a Namespace mechanism provided by the kernel, wherein in a secure network environment, the terminal can only move data through The network is connected to the network, so that the terminal can select an appropriate networking mode and ensure secure networking, thereby ensuring information security in the terminal.
  • FIG. 4 is a schematic structural diagram of a terminal according to an embodiment of the present invention.
  • the terminal 1000 includes: a kernel 100, a first namespace 101, and a second namespace 102.
  • the kernel 100 includes:
  • the isolation unit 11 is configured to isolate at least one first namespace Namespace and a second Namespace according to the network resource, where the process in the first Namespace passes through the wireless local area
  • the network or mobile data network is connected to the external network, and the processes in the second Namespace are connected to the external network through the mobile data network.
  • Namespace is a resource isolation mechanism provided by the Linux kernel. After the Nasmespace mechanism, system resources such as PID (process ID), IPC (interprocess communication), and Network are no longer global, but belong to a specific Namespace. The resources in the Namespace are transparent to other Namespaces.
  • This embodiment mainly uses the Network Namespace to isolate the network.
  • a Network Namespace provides a completely independent view of the network protocol stack for the process, including network device interfaces, IPv4 and IPv6 protocol stacks, IP routing tables, firewall rules, sockets, and more.
  • a Network Namespace provides a separate network environment, just like a standalone system. A physical device can only exist in one Network Namespace, but can be moved from one Namespace to another.
  • the isolation unit 11 isolates two network Namespaces according to required network resources, namely, Network Namespace A and Network Namespace B.
  • the wlan0 is the physical network card used by the WIFI
  • the rmnet0 is the physical network card used by the data network, and the process receives or sends the data packet through the two network cards.
  • APP1, APP2, and APP3 represent relatively high security requirements for the network. After such an application is placed in Namespace B, it can only access the Internet through data traffic.
  • the first receiving unit 12 is configured to receive a process creation request corresponding to an application, where the process requests data from an external network or sends data to the external network.
  • the first receiving unit 12 receives a process creation request corresponding to one application.
  • the determining unit 13 is configured to determine that the process belongs to the second Namespace according to the set to which the package name of the application belongs or the domain in which the process creation request is initiated.
  • Each APP has a package name for each application, and multiple collections are predefined.
  • Each collection is a package name of a group of applications.
  • the application corresponding to the package name in the collection A belongs to Namespace A, and the package name in the collection B.
  • the corresponding application belongs to the Namespace B. Therefore, the determining unit 13 determines, according to which application's process and the application's package name, if the package name belongs to the set B, it can be determined that the process belongs to the Namespace B.
  • a terminal has multiple domains. It is stipulated that the process created by a certain domain must be connected through the mobile network. Therefore, the domain in which the request is created according to the process is initiated, and the process belongs to Namespace B.
  • the connecting unit 14 is configured to connect to the external network through the mobile data network to request or send the data.
  • connection unit 14 can request or send data through rmnet0, that is, through the mobile data network.
  • a terminal can isolate two or more independent network environments by using a Namespace mechanism provided by a kernel, wherein in a secure network environment, a terminal can only connect to a network through a mobile data network, thereby Select the appropriate networking method for the terminal and ensure secure connection to ensure the information in the terminal is secure.
  • the terminal 2000 includes: a kernel 200, a first virtual network card 102, and a first connection with the first virtual network card 102.
  • the kernel 200 includes:
  • the isolation unit 21 is configured to isolate at least one first namespace Namespace and a second Namespace according to the network resource, where the process in the first Namespace is connected to the external network through a wireless local area network or a mobile data network, and the process in the second Namespace passes The mobile data network is connected to an external network.
  • the first receiving unit 22 is configured to receive a process creation request corresponding to an application, where the process requests data from an external network or sends data to the external network.
  • the determining unit 23 is configured to determine that the process belongs to the second Namespace according to the set to which the package name of the application belongs or the domain in which the process creation request is initiated.
  • the functions of the isolation unit 21, the first receiving unit 22, and the determining unit 23 are the same as those of the isolation unit 11, the first receiving unit 12, and the determining unit 13 of the embodiment shown in FIG. 4, and details are not described herein again.
  • the connecting unit 24 is configured to connect to the external network through the mobile data network to request or send the data.
  • connection unit 24 includes a transmitting unit 241 and a second receiving unit 242.
  • the sending unit 241 is configured to send a data request corresponding to the process to a second virtual network card connected to the second Namespace.
  • the second virtual network card 104 is configured to send the data request to a first virtual network card connected to the first Namespace.
  • the first virtual network card 102 is configured to, according to the data request, originate from the second virtual network card, send the data request to the external network by using the mobile data network, and receive the external network by using the mobile Data returned by the data network, the data being sent to the second virtual network card.
  • the second virtual network card 104 is further configured to feed back the data to the process.
  • the second receiving unit 242 is configured to receive the data that is fed back by the second virtual network card.
  • the sending unit 241 is further configured to send a data sending request corresponding to the process to a second virtual network card connected to the second Namespace, where the data sending request carries data to be sent.
  • the second virtual network card 104 is further configured to send the data sending request to the first virtual network card connected to the first Namespace.
  • the first virtual network card 102 is further configured to send the to-be-sent data to the external network by using the second virtual network card according to the data sending request.
  • the VETH-A (ie, the first virtual network card) and the VETH-B (ie, the second virtual network card) shown in FIG. 2 are virtual network devices of the type veth, and the devices generally appear in pairs.
  • the packet sent from a veth can reach its peer veth directly.
  • Veth provides a pipe-like abstraction that tunnels between different Namespaces. With virtual network devices, you can bridge the physical devices in other Namespaces. If you don't need to connect to an external network, you only need to interconnect the two Namespaces, then veth is sufficient.
  • the process in the Namespace B does not know the wlan0.
  • the physical network card exists, so it is impossible to access the external network through waln0, that is to say, the WIFI network cannot be used to access the Internet.
  • a terminal can isolate two or more independent network environments by using a Namespace mechanism provided by a kernel, wherein in a secure network environment, a terminal can only connect to a network through a mobile data network, thereby Select the appropriate networking method for the terminal and ensure secure connection to ensure the information in the terminal is secure.
  • Computer readable media includes both computer storage media and communication media including any medium that facilitates transfer of a computer program from one location to another.
  • a storage medium may be any available media that can be accessed by a computer.
  • the computer readable medium may include a random access memory (RAM), a read-only memory (ROM), and an electrically erasable programmable read-only memory (Electrically Erasable Programmable).
  • EEPROM Electrically Error Read-Only Memory
  • CD-ROM Compact Disc Read-Only Memory
  • Any connection may suitably be a computer readable medium.
  • the software is transmitted from a website, server, or other remote source using coaxial cable, fiber optic cable, twisted pair, Digital Subscriber Line (DSL), or wireless technologies such as infrared, radio, and microwave, Then coaxial cable, fiber optic cable, twisted pair, DSL or wireless technologies such as infrared, wireless and microwave are included in the media In the shadow.
  • DSL Digital Subscriber Line
  • a disk and a disc include a compact disc (CD), a laser disc, a compact disc, a digital versatile disc (DVD), a floppy disk, and a Blu-ray disc, wherein the disc is usually magnetically copied, and the disc is The laser is used to optically replicate the data. Combinations of the above should also be included within the scope of the computer readable media.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种基于网络隔离的安全连网方法及终端。其中的方法包括：根据网络资源，隔离出至少一个第一命名空间(Namespace)和第二命名空间；接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据；根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二命名空间；通过所述移动数据网络连接外部网络，以请求或发送所述数据。还公开了相应的终端。本发明通过利用内核提供的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。

Description

一种基于网络隔离的安全连网方法及终端
本申请要求于2015年06月26日提交中国专利局，申请号为201510367443.9、发明名称为“一种基于网络隔离的安全连网方法及终端”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信技术领域，尤其涉及一种基于网络隔离的安全连网方法及终端。
背景技术
现有智能终端如手机的网络连接策略是在有可用Wi-Fi连接的情况下，优先选择使用Wi-Fi网络，而在Wi-Fi网络不可用的时候，才会去使用运营商网络(2G/3G/4G网络)。随着移动互联网的发展，手机在线支付、手机购物、手机网上银行等电子商务类应用在移动端迅猛发展，而这类应用带来的支付安全问题也日益凸显，如果用户连接到Wi-Fi，会带来安全隐患，比如黑客可以利用Wi-Fi网络，获取用户手机内的照片、个人文档等私密信息，甚至于银行卡密码等敏感信息。如果单纯禁止Wi-Fi连接又会造成用户的使用不方便(毕竟运营商网络流量费用较高，且网速相对于Wi-Fi较慢)。
如何选择连网方式并保证安全连网，成为当前需要解决的技术问题。
发明内容
本发明提供了一种基于网络隔离的安全连网方法及终端，以合适地选择连网方式并保证安全连网，保证终端中的信息安全。
一方面，提供了一种基于网络隔离的安全连网方法，包括：
根据网络资源，隔离出至少一个第一命名空间和第二命名空间，其中，第一命名空间中的进程通过无线局域网或移动数据网络连接外部网络，第二命名空间中的进程通过所述移动数据网络连接外部网络；
接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向 所述外部网络发送数据；
根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二命名空间；
通过所述移动数据网络连接外部网络，以请求或发送所述数据。
另一方面，提供了一种终端，所述终端包括：内核、至少一个第一命名空间和第二命名空间；
所述内核包括：
隔离单元，用于根据网络资源，隔离出所述至少一个第一命名空间和第二命名空间，其中，第一命名空间中的进程通过无线局域网或移动数据网络连接外部网络，第二命名空间中的进程通过所述移动数据网络连接外部网络；
第一接收单元，用于接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据；
确定单元，用于根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二命名空间；
连接单元，用于通过所述移动数据网络连接外部网络，以请求或发送所述数据。
可见，根据本发明提供的一种基于网络隔离的安全连网方法及终端，通过利用内核提供的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种基于网络隔离的安全连网方法的流程示意图；
图2为本发明实施例示例的一种基于网络隔离的安全连网的系统架构图；
图3为对图1所示实施例提供的一种基于网络隔离的安全连网方法进一步详细说明的流程示意图；
图4为本发明实施例提供的一种终端的结构示意图；
图5为对图4所示实施例提供的一种终端进一步详细说明的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参阅图1，为本发明实施例提供的一种基于网络隔离的安全连网方法的流程示意图，该方法包括以下步骤：
步骤S101，根据网络资源，隔离出至少一个第一命名空间Namespace和第二Namespace，其中，第一Namespace中的进程通过无线局域网或移动数据网络连接外部网络，第二Namespace中的进程通过所述移动数据网络连接外部网络。
Namespace(命名空间)是Linux内核提供的一种资源隔离机制，使用Nasmespace机制后，PID(进程的ID)、IPC(进程间通信)、Network等系统资源不再是全局性的，而是属于特定的Namespace，每个Namespace里面的资源对其他Namespace都是透明的。本实施例主要使用了其中的Network Namespace来进行网络的隔离。一个Network Namespace为进程提供了一个完全独立的网络协议栈的视图，包括网络设备接口，IPv4和IPv6协议栈，IP路由表，防火墙规则，sockets等。一个Network Namespace提供了一份独立的网络环境，就 跟一个独立的系统一样。一个物理设备只能存在于一个Network Namespace中，但可以从一个Namespace移动到另一个Namespace中。图2为本发明实施例示例的一种基于网络隔离的安全连网的系统架构图，操作系统或内核根据所需的网络资源隔离出了两个网络Namespace，分别为Network Namespace A和Network Namespace B，其中的wlan0为无线局域网WLAN使用的物理网卡，rmnet0为数据网络使用的物理网卡，进程通过这两个网卡来接收或者向外发送数据包。图中，APP1、APP2、APP3代表对网络安全性要求比较高，这类APP放在Namespace B之后，仅能通过数据流量来上网。
步骤S102，接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据。
如果用户点击某个APP进行连网获取数据或发送数据到外部网络，操作系统或内核会创建一个新的进程，该进程指示从外部网络请求数据或向外部网络发送数据。
步骤S103，根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二Namespace。
每个APP即每个应用都有一个包名，预先定义多个集合，每个集合为一组应用的包名，集合A中的包名对应的应用都属于Namespace A，集合B中的包名对应的应用都属于Namespace B，因此，根据创建的是哪个应用的进程以及该应用的包名，如果该包名属于集合B，就可以确定该进程属于Namespace B了。
一个终端有多个域，规定通过某个域创建的进程必须通过移动网络连网，因此，就可以根据发起该进程创建请求所在的域，确定该进程属于Namespace B了。
步骤S104，通过所述移动数据网络连接外部网络，以请求或发送所述数据。
确定该要求从外部网络请求数据或向外部网络发送数据的进程属于Namespace B了，就可以通过rmnet0即通过移动数据网络连网，以请求或发送数据了。
根据本发明提供的一种基于网络隔离的安全连网方法，通过利用内核提供 的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。
请参阅图3，为对图1所示实施例提供的一种基于网络隔离的安全连网方法进一步详细说明的流程示意图，该方法包括以下步骤：
步骤S201，根据网络资源，隔离出至少一个第一命名空间Namespace和第二Namespace，其中，第一Namespace中的进程通过无线局域网或移动数据网络连接外部网络，第二Namespace中的进程通过所述移动数据网络连接外部网络。
步骤S202，接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据。
步骤S203，根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二Namespace。
步骤S201-S203与图1所示实施例的步骤S101-S103相同，在此不再赘述。
下面详细介绍如何通过所述移动数据网络连接外部网络，以请求或发送所述数据：
步骤S204，将所述进程对应的数据请求发送给与第二Namespace连接的第二虚拟网卡。
步骤S205，所述第二虚拟网卡将所述数据请求发送给与第一Namespace连接的第一虚拟网卡。
步骤S206，所述第一虚拟网卡根据所述数据请求来源于所述第二虚拟网卡，将所述数据请求通过所述移动数据网络发送到外部网络，以及接收所述外部网络通过所述移动数据网络返回的数据，将所述数据发送给所述第二虚拟网卡。
步骤S207，所述第二虚拟网卡将所述数据反馈给所述进程。
步骤S208，接收所述第二虚拟网卡反馈的所述数据。
步骤S209，将所述进程对应的数据发送请求发送给与第二Namespace连接的第二虚拟网卡，所述数据发送请求携带待发送的数据。
步骤S210，所述第二虚拟网卡将所述数据发送请求发送给与第一Namespace连接的第一虚拟网卡。
步骤S211，所述第一虚拟网卡根据所述数据发送请求来源于所述第二虚拟网卡，将所述待发送数据通过所述移动数据网络发送到外部网络。
图2中所示的VETH-A(即第一虚拟网卡)和VETH-B(即第二虚拟网卡)是类型为veth类型的虚拟网络设备(virtual network device)，该设备一般都是成对出现的，从一个veth发出的数据包可以直接到达它的peer veth。veth提供了一种类似管道的抽象，可以在不同的Namespace之间建立隧道。利用虚拟网络设备，可以建立到其他Namespace中的物理设备的桥接。如果不需要连接外部网络，仅仅只需要两个Namespace之间互联，则veth就足够了。
为了连接外部的物理网络，还需要引入Linux bridge，通过给Linux bridge和VETH-B分别分配IP地址，加上相应的路由规则和路由表并结合网络地址转换技术(NAT)，可以实现两个Namespace内的进程通过一个相同的物理网卡rmnet0来访问外部网络。
而对于物理网卡wlan0，如果没有采用veth虚拟网卡和bridge，并配置相应的路由规则和NAT地址转换，Namespace B内的进程是不知道wlan0这个物理网卡的存在的，因此也就不能通过waln0来访问外部网络，也就是说不能使用WIFI网络来上网。
其中，步骤S204-S208为向外部网络请求数据的过程，步骤S209-S211为向外部网络发送数据的过程。
根据本发明提供的一种基于网络隔离的安全连网方法，通过利用内核提供的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。
请参阅图4，为本发明实施例提供的一种终端的结构示意图，该终端1000包括：内核100、第一命名空间101、第二命名空间102，该内核100包括：
隔离单元11，用于根据网络资源，隔离出至少一个第一命名空间Namespace和第二Namespace，其中，第一Namespace中的进程通过无线局域 网或移动数据网络连接外部网络，第二Namespace中的进程通过所述移动数据网络连接外部网络。
Namespace是Linux内核提供的一种资源隔离机制，使用Nasmespace机制后，PID(进程的ID)、IPC(进程间通信)、Network等系统资源不再是全局性的，而是属于特定的Namespace，每个Namespace里面的资源对其他Namespace都是透明的。本实施例主要使用了其中的Network Namespace来进行网络的隔离。一个Network Namespace为进程提供了一个完全独立的网络协议栈的视图，包括网络设备接口，IPv4和IPv6协议栈，IP路由表，防火墙规则，sockets等。一个Network Namespace提供了一份独立的网络环境，就跟一个独立的系统一样。一个物理设备只能存在于一个Network Namespace中，但可以从一个Namespace移动到另一个Namespace中。图2为本发明实施例示例的一种基于网络隔离的安全连网的系统架构图，隔离单元11根据所需的网络资源隔离出了两个网络Namespace，分别为Network Namespace A和Network Namespace B，其中的wlan0为WIFI使用的物理网卡，rmnet0为数据网络使用的物理网卡，进程通过这两个网卡来接收或者向外发送数据包。图中，APP1、APP2、APP3代表对网络安全性要求比较高，这类APP放在Namespace B之后，仅能通过数据流量来上网。
第一接收单元12，用于接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据。
如果用户点击某个APP进行连网获取数据或发送数据到外部网络，操作系统或内核会创建一个新的进程，该进程指示从外部网络请求数据或向外部网络发送数据。第一接收单元12接收对应一个应用的进程创建请求。
确定单元13，用于根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二Namespace。
每个APP即每个应用都有一个包名，预先定义多个集合，每个集合为一组应用的包名，集合A中的包名对应的应用都属于Namespace A，集合B中的包名对应的应用都属于Namespace B，因此，确定单元13根据创建的是哪个应用的进程以及该应用的包名，如果该包名属于集合B，就可以确定该进程属于Namespace B了。
一个终端有多个域，规定通过某个域创建的进程必须通过移动网络连网，因此，就可以根据发起该进程创建请求所在的域，确定该进程属于Namespace B了。
连接单元14，用于通过所述移动数据网络连接外部网络，以请求或发送所述数据。
确定该要求从外部网络请求数据或向外部网络发送数据的进程属于Namespace B了，连接单元14就可以通过rmnet0即通过移动数据网络连网，以请求或发送数据了。
根据本发明提供的一种终端，通过利用内核提供的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。
请参阅图5，为对图4所示实施例提供的一种终端进一步详细说明的结构示意图，该终端2000包括：内核200、第一虚拟网卡102、以及与第一虚拟网卡102连接的第一命名空间103、第二虚拟网卡104、以及与第二虚拟网卡104连接的第二命名空间105。该内核200包括：
隔离单元21，用于根据网络资源，隔离出至少一个第一命名空间Namespace和第二Namespace，其中，第一Namespace中的进程通过无线局域网或移动数据网络连接外部网络，第二Namespace中的进程通过所述移动数据网络连接外部网络。
第一接收单元22，用于接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据。
确定单元23，用于根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二Namespace。
隔离单元21、第一接收单元22、确定单元23的功能与图4所示实施例的隔离单元11、第一接收单元12、确定单元13相同，在此不再赘述。
连接单元24，用于通过所述移动数据网络连接外部网络，以请求或发送所述数据。
在本实施例中，连接单元24包括：发送单元241和第二接收单元242。
发送单元241，用于将所述进程对应的数据请求发送给与第二Namespace连接的第二虚拟网卡。
所述第二虚拟网卡104，用于将所述数据请求发送给与第一Namespace连接的第一虚拟网卡。
所述第一虚拟网卡102，用于根据所述数据请求来源于所述第二虚拟网卡，将所述数据请求通过所述移动数据网络发送到外部网络，以及接收所述外部网络通过所述移动数据网络返回的数据，将所述数据发送给所述第二虚拟网卡。
所述第二虚拟网卡104还用于将所述数据反馈给所述进程。
第二接收单元242，用于接收所述第二虚拟网卡反馈的所述数据。
所述发送单元241还用于将所述进程对应的数据发送请求发送给与第二Namespace连接的第二虚拟网卡，所述数据发送请求携带待发送的数据。
所述第二虚拟网卡104还用于将所述数据发送请求发送给与第一Namespace连接的第一虚拟网卡。
所述第一虚拟网卡102还用于根据所述数据发送请求来源于所述第二虚拟网卡，将所述待发送数据通过所述移动数据网络发送到外部网络。
图2中所示的VETH-A(即第一虚拟网卡)和VETH-B(即第二虚拟网卡)是类型为veth类型的虚拟网络设备(virtual network device)，该设备一般都是成对出现的，从一个veth发出的数据包可以直接到达它的peer veth。veth提供了一种类似管道的抽象，可以在不同的Namespace之间建立隧道。利用虚拟网络设备，可以建立到其他Namespace中的物理设备的桥接。如果不需要连接外部网络，仅仅只需要两个Namespace之间互联，则veth就足够了。
为了连接外部的物理网络，还需要引入Linux bridge，通过给Linux bridge和VETH-B分别分配IP地址，加上相应的路由规则和路由表并结合网络地址转换技术(NAT)，可以实现两个Namespace内的进程通过一个相同的物理网卡rmnet0来访问外部网络。
而对于物理网卡wlan0，如果没有采用veth虚拟网卡和bridge，并配置相应的路由规则和NAT地址转换，Namespace B内的进程是不知道wlan0这个 物理网卡的存在的，因此也就不能通过waln0来访问外部网络，也就是说不能使用WIFI网络来上网。
根据本发明提供的一种终端，通过利用内核提供的Namespace机制，隔离出两个以上的相互独立的网络环境，其中在安全的网络环境中，终端只能通过移动数据网络来连接网络，从而可以为终端选择合适的连网方式并保证安全连网，保证终端中的信息安全。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为根据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可以用硬件实现，或固件实现，或它们的组合方式来实现。当使用软件实现时，可以将上述功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、电可擦可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。此外。任何连接可以适当的成为计算机可读介质。例如，如果软件是使用同轴电缆、光纤光缆、双绞线、数字用户线(Digital Subscriber Line，DSL)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或者其他远程源传输的，那么同轴电缆、光纤光缆、双绞线、DSL或者诸如红外线、无线和微波之类的无线技术包括在所属介质的定 影中。如本发明所使用的，盘(Disk)和碟(disc)包括压缩光碟(CD)、激光碟、光碟、数字通用光碟(DVD)、软盘和蓝光光碟，其中盘通常磁性的复制数据，而碟则用激光来光学的复制数据。上面的组合也应当包括在计算机可读介质的保护范围之内。
总之，以上所述仅为本发明技术方案的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

  1. 一种基于网络隔离的安全连网方法，其特征在于，包括：
    根据网络资源，隔离出至少一个第一命名空间和第二命名空间，其中，第一命名空间中的进程通过无线局域网或移动数据网络连接外部网络，第二命名空间中的进程通过所述移动数据网络连接外部网络；
    接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据；
    根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二命名空间；
    通过所述移动数据网络连接外部网络，以请求或发送所述数据。
  2. 如权利要求1所述的方法，其特征在于，所述集合包括一组应用的包名，对应所述集合中的应用的包名的进程属于所述第二命名空间；或
    所述第二命名空间对应一个域，所述域内发起的进程属于所述第二命名空间。
  3. 如权利要求1或2所述的方法，其特征在于，所述通过所述移动数据网络连接外部网络，以请求所述数据，包括：
    将所述进程对应的数据请求发送给与第二命名空间连接的第二虚拟网卡；
    所述第二虚拟网卡将所述数据请求发送给与第一命名空间连接的第一虚拟网卡；
    所述第一虚拟网卡根据所述数据请求来源于所述第二虚拟网卡，将所述数据请求通过所述移动数据网络发送到外部网络，以及接收所述外部网络通过所述移动数据网络返回的数据，将所述数据发送给所述第二虚拟网卡；
    所述第二虚拟网卡将所述数据反馈给所述进程；
    接收所述第二虚拟网卡反馈的所述数据。
  4. 如权利要求3所述的方法，其特征在于，还包括：
    所述第一虚拟网卡若接收到所述外部网络通过所述Wi-Fi返回的数据，将所述数据丢弃。
  5. 如权利要求3所述的方法，其特征在于，所述通过所述移动数据网络连接外部网络，以发送所述数据，包括：
    将所述进程对应的数据发送请求发送给与第二命名空间连接的第二虚拟网卡，所述数据发送请求携带待发送的数据；
    所述第二虚拟网卡将所述数据发送请求发送给与第一命名空间连接的第一虚拟网卡；
    所述第一虚拟网卡根据所述数据发送请求来源于所述第二虚拟网卡，将所述待发送数据通过所述移动数据网络发送到外部网络。
  6. 一种终端，其特征在于，所述终端包括：内核、至少一个第一命名空间和第二命名空间；
    所述内核包括：
    隔离单元，用于根据网络资源，隔离出所述至少一个第一命名空间和第二命名空间，其中，第一命名空间中的进程通过无线局域网或移动数据网络连接外部网络，第二命名空间中的进程通过所述移动数据网络连接外部网络；
    第一接收单元，用于接收对应一个应用的进程创建请求，所述进程为从外部网络请求数据或向所述外部网络发送数据；
    确定单元，用于根据所述应用的包名所属的集合或发起所述进程创建请求所在的域，确定所述进程属于第二命名空间；
    连接单元，用于通过所述移动数据网络连接外部网络，以请求或发送所述数据。
  7. 如权利要求6所述的终端，其特征在于，所述集合包括一组应用的包名，对应所述集合中的应用的包名的进程属于所述第二命名空间；或
    所述第二命名空间对应一个域，所述域内发起的进程属于所述第二命名空间。
  8. 如权利要求6或7所述的终端，其特征在于，所述终端还包括第一虚拟网卡和第二虚拟网卡；
    所述连接单元包括：
    发送单元，用于将所述进程对应的数据请求发送给与第二命名空间连接的第二虚拟网卡；
    所述第二虚拟网卡，用于将所述数据请求发送给与第一命名空间连接的第一虚拟网卡；
    所述第一虚拟网卡，用于根据所述数据请求来源于所述第二虚拟网卡，将所述数据请求通过所述移动数据网络发送到外部网络，以及接收所述外部网络通过所述移动数据网络返回的数据，将所述数据发送给所述第二虚拟网卡；
    所述第二虚拟网卡还用于将所述数据反馈给所述进程；
    所述连接单元还包括：
    第二接收单元，用于接收所述第二虚拟网卡反馈的数据。
  9. 如权利要求8所述的终端，其特征在于：
    所述第一虚拟网卡还用于若接收到所述外部网络通过所述Wi-Fi返回的数据，将所述数据丢弃。
  10. 如权利要求8所述的终端，其特征在于：
    所述发送单元还用于将所述进程对应的数据发送请求发送给与第二命名空间连接的第二虚拟网卡，所述数据发送请求携带待发送的数据；
    所述第二虚拟网卡还用于将所述数据发送请求发送给与第一命名空间连接的第一虚拟网卡；
    所述第一虚拟网卡还用于根据所述数据发送请求来源于所述第二虚拟网卡，将所述待发送数据通过所述移动数据网络发送到外部网络。
PCT/CN2015/085873 2015-06-26 2015-07-31 一种基于网络隔离的安全连网方法及终端 WO2016206171A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201510367443.9A CN105577632B (zh) 2015-06-26 2015-06-26 一种基于网络隔离的安全连网方法及终端
CN201510367443.9 2015-06-26

Publications (1)

Publication Number Publication Date
WO2016206171A1 true WO2016206171A1 (zh) 2016-12-29

Family

ID=55887294

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/085873 WO2016206171A1 (zh) 2015-06-26 2015-07-31 一种基于网络隔离的安全连网方法及终端

Country Status (2)

Country Link
CN (1) CN105577632B (zh)
WO (1) WO2016206171A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10176005B2 (en) * 2014-03-31 2019-01-08 Cypherpath, Inc. Environment virtualization
CN111294316A (zh) * 2018-12-07 2020-06-16 网宿科技股份有限公司 基于用户态协议栈虚拟路由器的网络隔离方法和装置
CN111835685A (zh) * 2019-04-19 2020-10-27 厦门网宿有限公司 一种监控Nginx网络隔离空间的运行状态的方法和服务器
CN111835684A (zh) * 2019-04-19 2020-10-27 厦门网宿有限公司 一种haproxy设备的网络隔离监控方法及系统
CN111949471A (zh) * 2019-05-16 2020-11-17 珠海格力电器股份有限公司 一种用于终端进程的监听控制方法

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106779648B (zh) * 2016-12-16 2020-10-16 Oppo广东移动通信有限公司 一种网络数据发送方法及移动终端
CN111294221B (zh) * 2018-12-07 2023-03-03 网宿科技股份有限公司 一种基于haproxy的网络隔离配置方法及其装置
CN111294220B (zh) * 2018-12-07 2022-06-21 网宿科技股份有限公司 基于nginx的网络隔离配置方法和装置
CN111294827A (zh) * 2019-02-28 2020-06-16 展讯通信（上海）有限公司 一种应用程序的自适应网络通信方法及装置
CN111669355B (zh) * 2019-03-08 2023-04-18 厦门网宿有限公司 一种批量处理nginx网络隔离空间的方法及nginx服务器
CN110336758B (zh) * 2019-05-28 2022-10-28 厦门网宿有限公司 一种虚拟路由器中的数据分发方法及虚拟路由器
CN111143062A (zh) * 2019-12-19 2020-05-12 上海交通大学 一种用户态协议栈对外部负载进程的均衡分割策略

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010068630A1 (en) * 2008-12-10 2010-06-17 Amazon Technologies, Inc. Providing local secure network access to remote services
CN103618736A (zh) * 2013-12-09 2014-03-05 成都达信通通讯设备有限公司 移动终端自动切换不同通道联网接口的安全应用系统
CN104239764A (zh) * 2014-10-15 2014-12-24 北京奇虎科技有限公司 终端设备及其系统功能的管控方法和装置
CN104331329A (zh) * 2014-09-30 2015-02-04 上海斐讯数据通信技术有限公司 支持域管理的移动办公安全系统及方法
CN104483951A (zh) * 2014-12-19 2015-04-01 宇龙计算机通信科技(深圳)有限公司 一种控制智能家居设备的方法、装置及终端

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009151814A1 (en) * 2008-04-30 2009-12-17 Strands, Inc. Scaleable system and method for distributed prediction markets
CN103796282A (zh) * 2014-02-27 2014-05-14 黄晓峰 一种用于智能移动终端的网络电话的处理方法
CN104394130B (zh) * 2014-11-12 2017-07-25 国云科技股份有限公司 一种多租户虚拟网络隔离方法
CN104579831A (zh) * 2014-12-26 2015-04-29 北京网秦天下科技有限公司 数据传输处理方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010068630A1 (en) * 2008-12-10 2010-06-17 Amazon Technologies, Inc. Providing local secure network access to remote services
CN103618736A (zh) * 2013-12-09 2014-03-05 成都达信通通讯设备有限公司 移动终端自动切换不同通道联网接口的安全应用系统
CN104331329A (zh) * 2014-09-30 2015-02-04 上海斐讯数据通信技术有限公司 支持域管理的移动办公安全系统及方法
CN104239764A (zh) * 2014-10-15 2014-12-24 北京奇虎科技有限公司 终端设备及其系统功能的管控方法和装置
CN104483951A (zh) * 2014-12-19 2015-04-01 宇龙计算机通信科技(深圳)有限公司 一种控制智能家居设备的方法、装置及终端

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10176005B2 (en) * 2014-03-31 2019-01-08 Cypherpath, Inc. Environment virtualization
CN111294316A (zh) * 2018-12-07 2020-06-16 网宿科技股份有限公司 基于用户态协议栈虚拟路由器的网络隔离方法和装置
CN111294316B (zh) * 2018-12-07 2022-07-01 网宿科技股份有限公司 基于用户态协议栈虚拟路由器的网络隔离方法和装置
CN111835685A (zh) * 2019-04-19 2020-10-27 厦门网宿有限公司 一种监控Nginx网络隔离空间的运行状态的方法和服务器
CN111835684A (zh) * 2019-04-19 2020-10-27 厦门网宿有限公司 一种haproxy设备的网络隔离监控方法及系统
CN111949471A (zh) * 2019-05-16 2020-11-17 珠海格力电器股份有限公司 一种用于终端进程的监听控制方法

Also Published As

Publication number Publication date
CN105577632A (zh) 2016-05-11
CN105577632B (zh) 2018-08-24

Similar Documents

Publication Publication Date Title
WO2016206171A1 (zh) 一种基于网络隔离的安全连网方法及终端
JP6423047B2 (ja) 仮想ネットワークインタフェースオブジェクト
EP3225014B1 (en) Source ip address transparency systems and methods
US8819211B2 (en) Distributed policy service
US8650326B2 (en) Smart client routing
CN111885075A (zh) 容器通信方法、装置、网络设备及存储介质
US20080192648A1 (en) Method and system to create a virtual topology
US20120291024A1 (en) Virtual Managed Network
US9819679B1 (en) Hardware assisted provenance proof of named data networking associated to device data, addresses, services, and servers
US20080195756A1 (en) Method and system to access a service utilizing a virtual communications device
CN104221331B (zh) 用于以太网交换机的没有查找表的第2层分组交换
TW201229779A (en) Providing virtual networks using multi-tenant relays
KR20150013860A (ko) 클라이언트 없는 클라우드 컴퓨팅
WO2022242507A1 (zh) 通信方法、装置、计算机可读介质、电子设备及程序产品
US11968080B2 (en) Synchronizing communication channel state information for high flow availability
US20220263793A1 (en) Cloud infrastructure resources for connecting a service provider private network to a customer private network
WO2014101432A1 (zh) 数据包的处理方法及后台服务器
CN110417632B (zh) 一种网络通信方法、系统及服务器
US20110276697A1 (en) Remote Session Management
JP6346208B2 (ja) 通信システム
US11134117B1 (en) Network request intercepting framework for compliance monitoring
JP2024507142A (ja) サービスプロバイダプライベートネットワークを顧客プライベートネットワークに接続するためのクラウドインフラストラクチャリソース
JP2018082310A (ja) ＰａａＳ接続プログラム、ＰａａＳ接続方法及びＰａａＳ接続装置
CN111866100A (zh) 一种控制数据传输速率的方法、装置和系统
WO2016205998A1 (zh) 一种数据传输方法、设备及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15896066

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15896066

Country of ref document: EP

Kind code of ref document: A1