專利名稱：實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、utm的系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)通信安全領(lǐng)域，尤其涉及一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM 的系統(tǒng)及方法。
背景技術(shù)：
目前，網(wǎng)絡(luò)接入認(rèn)證系統(tǒng)與設(shè)備、網(wǎng)絡(luò)傳輸加密系統(tǒng)與設(shè)備、UTM系統(tǒng)與設(shè)備在部 署時(shí)基本上都是以單一產(chǎn)品應(yīng)用、疊加部署的方式。而目前市場上大多數(shù)安全交換機(jī)都只 是帶認(rèn)證、VLAN劃分功能；雖然也存在少數(shù)把防毒、與IDS、IDP聯(lián)動(dòng)實(shí)現(xiàn)了概念的結(jié)合的交 換機(jī)也已經(jīng)有，但這些產(chǎn)品都只是停留在產(chǎn)品的堆砌階段，并不能實(shí)現(xiàn)上述功能的無縫集 成。 因此，采用上述部署方式會(huì)不可避免地有如下缺點(diǎn)不同產(chǎn)品之間聯(lián)動(dòng)性極差、兼 容性差；整體網(wǎng)絡(luò)性能差；部署成本高。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是提供一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方 法，該方法可實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的無縫集成，增強(qiáng)系統(tǒng)部件聯(lián)動(dòng)性、提升整 體網(wǎng)絡(luò)性能、降低組網(wǎng)成本。 本發(fā)明進(jìn)一步所要解決的技術(shù)問題是提供一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、
UTM的系統(tǒng)，該方法可實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的無縫集成，增強(qiáng)系統(tǒng)部件聯(lián)動(dòng)
性、提升整體網(wǎng)絡(luò)性能、降低組網(wǎng)成本。 為解決上述技術(shù)問題，本發(fā)明采用如下技術(shù)方案 —種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，該系統(tǒng)包括有 網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)，用于根據(jù)預(yù)設(shè)的認(rèn)證方式，對訪問網(wǎng)絡(luò)的用戶進(jìn)行接入認(rèn)
證； 網(wǎng)絡(luò)傳輸加解密子系統(tǒng)，用于根據(jù)預(yù)設(shè)的密鑰，在網(wǎng)絡(luò)傳輸鏈路中，對需要加/解 密的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行加/解密； 統(tǒng)一威脅管理子系統(tǒng)，用于按照預(yù)設(shè)的管理策略，對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行統(tǒng)一威脅管 理； 網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)，與上述各子系統(tǒng)相連，判斷網(wǎng)絡(luò)數(shù)據(jù)包類型和有效性，并根
據(jù)其類型和有效性選擇將其流轉(zhuǎn)到所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和
統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)的接入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。 相應(yīng)地，本發(fā)明還公開了一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，該方法包
括以下步驟 受控主機(jī)過濾驅(qū)動(dòng)步驟，在受控主機(jī)的網(wǎng)絡(luò)驅(qū)動(dòng)底層截獲來自受控主機(jī)認(rèn)證客戶 端或網(wǎng)絡(luò)應(yīng)用客戶端的網(wǎng)絡(luò)數(shù)據(jù)包，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，將其發(fā)送到設(shè)備驅(qū)動(dòng)層；
網(wǎng)絡(luò)流轉(zhuǎn)控制步驟，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，并根據(jù)其類型和有效性選擇將其流
5轉(zhuǎn)到所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng) 的接入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。
本發(fā)明的有益效果是 本發(fā)明的實(shí)施例通過在一個(gè)交換設(shè)備的一次收包過程中，實(shí)現(xiàn)了網(wǎng)絡(luò)接入認(rèn)證、 傳輸加密、以及UTM的無縫集成，從而增強(qiáng)了系統(tǒng)部件聯(lián)動(dòng)性、提升了整體網(wǎng)絡(luò)性能、并且 降低了組網(wǎng)成本。 下面結(jié)合附圖對本發(fā)明作進(jìn)一步的詳細(xì)描述。


圖1是本發(fā)明提供的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)的一個(gè)實(shí)施例。
圖2是本發(fā)明提供的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)的端口連接關(guān)系示 意圖。 圖3是本發(fā)明提供的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)的組網(wǎng)結(jié)構(gòu)示意 圖。
具體實(shí)施例方式
下面參考圖1詳細(xì)描述本發(fā)明提供的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)的 一個(gè)實(shí)施例；如圖所示，本實(shí)施例主要包括有 網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)l，用于根據(jù)預(yù)設(shè)的認(rèn)證方式，對訪問網(wǎng)絡(luò)的用戶進(jìn)行接入認(rèn) 證； 網(wǎng)絡(luò)傳輸加密子系統(tǒng)2，用于根據(jù)預(yù)設(shè)的密鑰，在網(wǎng)絡(luò)傳輸鏈路中，對需要加/解 密的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行加/解密； 統(tǒng)一威脅管理子系統(tǒng)3，用于按照預(yù)設(shè)的管理策略，對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行統(tǒng)一威脅管 理； 網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)4，與上述各子系統(tǒng)相連，用于在受控主機(jī)的網(wǎng)絡(luò)驅(qū)動(dòng)底層截 獲網(wǎng)絡(luò)數(shù)據(jù)包，判斷其類型和有效性，并根據(jù)其類型和有效性選擇將其流轉(zhuǎn)到所述網(wǎng)絡(luò)接 入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)的接入認(rèn)證、或 者加/解密和統(tǒng)一威脅管理。 具體實(shí)現(xiàn)時(shí)，所述網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)4具體包括有 過濾驅(qū)動(dòng)主控模塊41，設(shè)置在受控主機(jī)的網(wǎng)絡(luò)驅(qū)動(dòng)層，用于轉(zhuǎn)發(fā)受控主機(jī)的認(rèn)證 客戶端或網(wǎng)絡(luò)應(yīng)用客戶端與網(wǎng)絡(luò)處理器之間的管理數(shù)據(jù)或業(yè)務(wù)數(shù)據(jù)； 網(wǎng)絡(luò)協(xié)議棧42，設(shè)置在交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層，用于將來自受控主機(jī)的網(wǎng)絡(luò)數(shù)據(jù)
包根據(jù)其包類型和有效性流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和
統(tǒng)一威脅管理子系統(tǒng)，執(zhí)行對應(yīng)的接入認(rèn)證、或者加解密和統(tǒng)一威脅管理，并根據(jù)其接收到
的被處理后的網(wǎng)絡(luò)數(shù)據(jù)包類型，將所述網(wǎng)絡(luò)數(shù)據(jù)包通過所述過濾驅(qū)動(dòng)主控模塊發(fā)送到受控
主機(jī)的認(rèn)證客戶端或網(wǎng)絡(luò)應(yīng)用客戶端。
另外，所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)1具體包括有 過濾驅(qū)動(dòng)管理模塊ll，設(shè)置在所述認(rèn)證客戶端與過濾驅(qū)動(dòng)主控模塊之間，用于接 收來自所述認(rèn)證客戶端的管理數(shù)據(jù)包，跟蹤并更新其認(rèn)證狀態(tài)后，將其發(fā)送到所述過濾驅(qū)動(dòng)主控模塊； 認(rèn)證代理模塊12，設(shè)置在所述設(shè)備驅(qū)動(dòng)層，用于通過管理數(shù)據(jù)交換網(wǎng)絡(luò)向所述網(wǎng)
絡(luò)層發(fā)送認(rèn)證數(shù)據(jù)包，接收所述網(wǎng)絡(luò)層返回的認(rèn)證回應(yīng)數(shù)據(jù)包，并判斷該認(rèn)證回應(yīng)數(shù)據(jù)包
是否需要轉(zhuǎn)發(fā)給認(rèn)證客戶端，若是，則將其轉(zhuǎn)化為預(yù)設(shè)的格式后發(fā)送給網(wǎng)絡(luò)協(xié)議棧； 認(rèn)證服務(wù)模塊13，設(shè)置在所述網(wǎng)絡(luò)層，用于接收來自所述認(rèn)證代理模塊的認(rèn)證數(shù)
據(jù)包，并按照預(yù)設(shè)的認(rèn)證流程向其發(fā)送認(rèn)證回應(yīng)數(shù)據(jù)包。 所述統(tǒng)一威脅管理子3系統(tǒng)具體包括有 UTM代理模塊31，設(shè)置在所述設(shè)備驅(qū)動(dòng)層、通過管理數(shù)據(jù)交換網(wǎng)絡(luò)與服務(wù)器相連， 用于從服務(wù)器端獲得預(yù)設(shè)的UTM策略； UTM執(zhí)行模塊32，設(shè)置在所述設(shè)備驅(qū)動(dòng)層、與所述網(wǎng)絡(luò)協(xié)議棧相連，用于按照UTM 代理模塊31獲得的UTM策略對所述網(wǎng)絡(luò)協(xié)議棧發(fā)送的業(yè)務(wù)數(shù)據(jù)包執(zhí)行統(tǒng)一威脅管理后，將
其發(fā)送到業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)，并將從業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收的業(yè)務(wù)數(shù)據(jù)包執(zhí)行統(tǒng)一威脅管 理后，將其發(fā)送到所述網(wǎng)絡(luò)協(xié)議棧。 所述網(wǎng)絡(luò)傳輸加密子系統(tǒng)2具體包括有 傳輸加密代理模塊21，設(shè)置在交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層，通過管理數(shù)據(jù)交換網(wǎng)絡(luò)與 服務(wù)器相連，用于與服務(wù)器通信，獲得預(yù)設(shè)的密鑰； 過濾驅(qū)動(dòng)加密模塊22，設(shè)置在所述受控主機(jī)的網(wǎng)絡(luò)應(yīng)用客戶端與過濾驅(qū)動(dòng)主控模 塊之間，用于將來自所述網(wǎng)絡(luò)應(yīng)用客戶端的業(yè)務(wù)數(shù)據(jù)包以預(yù)設(shè)的密鑰加密后，發(fā)送給所述 過濾驅(qū)動(dòng)主控模塊，并將來自所述過濾驅(qū)動(dòng)主控模塊的加密業(yè)務(wù)數(shù)據(jù)包解密后，轉(zhuǎn)發(fā)到所 述網(wǎng)絡(luò)應(yīng)用客戶端； 驅(qū)動(dòng)層加解密模塊23，分別設(shè)置在所述設(shè)備驅(qū)動(dòng)層的上行端口和下行端口 ，用于 根據(jù)預(yù)設(shè)的統(tǒng)一威脅管理策略的檢查深度判斷從所述上行端口接收和下行端口接收到的 加密業(yè)務(wù)數(shù)據(jù)包是否需要解密，若是則對其包進(jìn)行解密，以及對符合預(yù)設(shè)的統(tǒng)一威脅管理 策略的需要加密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加密； 網(wǎng)絡(luò)層加解密模塊24，設(shè)置在所述網(wǎng)絡(luò)層的業(yè)務(wù)通信口、并通過所述網(wǎng)橋連接到 業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)，用于對在交換節(jié)點(diǎn)內(nèi)部及與其他網(wǎng)絡(luò)之間傳輸?shù)男枰?解密的業(yè)務(wù) 數(shù)據(jù)進(jìn)行加/解密。 下面參考圖2描述本發(fā)明提供的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法的一個(gè) 實(shí)施例；如圖所示，本實(shí)施例實(shí)現(xiàn)一次實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的過程主要包括 以下步驟 受控主機(jī)過濾驅(qū)動(dòng)步驟，在受控主機(jī)的網(wǎng)絡(luò)驅(qū)動(dòng)層截獲來自受控主機(jī)認(rèn)證客戶端
或網(wǎng)絡(luò)應(yīng)用客戶端的網(wǎng)絡(luò)數(shù)據(jù)包，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，將其發(fā)送到網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)層； 網(wǎng)絡(luò)流轉(zhuǎn)控制步驟，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，并根據(jù)其類型和有效性選擇將其流
轉(zhuǎn)到所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)
的接入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。
具體實(shí)現(xiàn)時(shí)，所述網(wǎng)絡(luò)流轉(zhuǎn)控制步驟具體包括 過濾驅(qū)動(dòng)主控模塊將來自受控主機(jī)的認(rèn)證客戶端的管理數(shù)據(jù)包或者網(wǎng)絡(luò)應(yīng)用客 戶端的業(yè)務(wù)數(shù)據(jù)包發(fā)送到認(rèn)證代理模塊；或者將來認(rèn)證代理模塊的管理數(shù)據(jù)包發(fā)送到所述 認(rèn)證客戶端、業(yè)務(wù)數(shù)據(jù)包發(fā)送到所述網(wǎng)絡(luò)應(yīng)用客戶端；
設(shè)備驅(qū)動(dòng)層的網(wǎng)絡(luò)協(xié)議棧判斷來自所述過濾驅(qū)動(dòng)主控模塊的網(wǎng)絡(luò)數(shù)據(jù)包的類型 和有效性，若為管理數(shù)據(jù)包，則將其流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)執(zhí)行接入認(rèn)證，若為 業(yè)務(wù)數(shù)據(jù)包，則將其流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行加解密 和統(tǒng)一威脅管理；或者將來自所述業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)或認(rèn)證代理模塊的網(wǎng)絡(luò)數(shù)據(jù)包發(fā)送到 所述過濾驅(qū)動(dòng)主控模塊。 具體實(shí)現(xiàn)時(shí)，所述接入認(rèn)證包括但不限于網(wǎng)絡(luò)通用的PPPoE、802. IX、 DHCP+WEB等 接入認(rèn)證方式，網(wǎng)絡(luò)中的配置子系統(tǒng)負(fù)責(zé)所述認(rèn)證方式的預(yù)設(shè)，而其具體認(rèn)證處理過程如 下 過濾驅(qū)動(dòng)管理模塊收到來自受控主機(jī)的認(rèn)證客戶端的管理數(shù)據(jù)包后，跟蹤并更新 用戶的認(rèn)證狀態(tài)，并通過過濾驅(qū)動(dòng)主控模塊發(fā)送給認(rèn)證代理模塊； 認(rèn)證代理模塊將所述管理數(shù)據(jù)包按照預(yù)設(shè)的認(rèn)證協(xié)議格式發(fā)送給認(rèn)證執(zhí)行模 塊； 認(rèn)證執(zhí)行模塊接收到所述管理數(shù)據(jù)包之后，向所述認(rèn)證代理模塊發(fā)送一個(gè)認(rèn)證回 應(yīng)數(shù)據(jù)包； 認(rèn)證代理模塊接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包之后，判斷是否需要將其轉(zhuǎn)發(fā)給受控主 機(jī)認(rèn)證客戶端，若是，則將其轉(zhuǎn)化為認(rèn)證客戶端認(rèn)證傳輸格式的數(shù)據(jù)包后，發(fā)送到網(wǎng)絡(luò)協(xié)議 棧； 網(wǎng)絡(luò)協(xié)議棧接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包后，通過網(wǎng)絡(luò)處理器將其發(fā)送到過濾驅(qū)動(dòng) 主控模塊； 過濾驅(qū)動(dòng)主控模塊接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包之后，判斷是否需要將其轉(zhuǎn)發(fā)給受
控主機(jī)認(rèn)證客戶端，若是，則將其發(fā)送到受控主機(jī)的認(rèn)證客戶端。 而所述UTM具體包括 與服務(wù)器通信，獲得預(yù)設(shè)的UTM策略； 對所述網(wǎng)絡(luò)協(xié)議棧通過網(wǎng)橋發(fā)送的業(yè)務(wù)數(shù)據(jù)包按照所述UTM策略執(zhí)行統(tǒng)一威脅 管理后，將其發(fā)送到所述業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)； 或者將從所述業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收到的數(shù)據(jù)包按照所述UTM策略執(zhí)行統(tǒng)一威 脅管理后，發(fā)送到所述網(wǎng)絡(luò)協(xié)議棧。 另外，具體實(shí)現(xiàn)時(shí)，所述加解密算法包括但不限于aes、 twof ish、 serpent等加密 算法，所述配置子系統(tǒng)負(fù)責(zé)加解密算法的預(yù)設(shè)，而其具體加密處理過程如下
與服務(wù)器通信，獲得預(yù)設(shè)的密鑰； 將來自所述網(wǎng)絡(luò)應(yīng)用客戶端的業(yè)務(wù)數(shù)據(jù)包以預(yù)設(shè)的密鑰加密后，發(fā)送給所述過濾 驅(qū)動(dòng)主控模塊，或者將來自所述過濾驅(qū)動(dòng)主控模塊的加密業(yè)務(wù)數(shù)據(jù)包解密后，轉(zhuǎn)發(fā)到所述 網(wǎng)絡(luò)應(yīng)用客戶端； 根據(jù)預(yù)設(shè)的統(tǒng)一威脅管理策略的檢查深度判斷從業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收或下行 端口接收到的加密業(yè)務(wù)數(shù)據(jù)包是否需要解密，若是則對其包進(jìn)行解密，以及對符合預(yù)設(shè)的 統(tǒng)一威脅管理策略的需要加密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加密； 對通過交換節(jié)點(diǎn)的業(yè)務(wù)通信口發(fā)送/接收到的需要加/解密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加
/解密。 具體實(shí)現(xiàn)時(shí)，本實(shí)施例的配置系統(tǒng)可以B/S模式、C/S模式、或者配置文件等形式，此處不再贅述。 下面參考圖2詳細(xì)描述本實(shí)施例中各端口的連接關(guān)系；如圖所示，其端口分配如 下 下行口為交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層(IXP425系統(tǒng))與受控主機(jī)通信的網(wǎng)口 ； 上行口為交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層(IXP425系統(tǒng))IXP425與業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)通信
的網(wǎng)口 ； IXP425管理口為交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層(IXP425系統(tǒng))與管理數(shù)據(jù)交換網(wǎng)絡(luò)通信 的網(wǎng)口 ； 業(yè)務(wù)口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與業(yè)務(wù)數(shù)據(jù)流轉(zhuǎn)硬件網(wǎng)絡(luò)通信的網(wǎng)口 ；
層三口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與通過路由器/NAT設(shè)備與其他交換節(jié)點(diǎn) 的網(wǎng)絡(luò)層進(jìn)行業(yè)務(wù)通信的網(wǎng)口； 業(yè)務(wù)級聯(lián)口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與其他交換節(jié)點(diǎn)的網(wǎng)絡(luò)層直接連接 (層二交換機(jī))進(jìn)行業(yè)務(wù)通信的網(wǎng)口； 解密口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與非加密網(wǎng)絡(luò)進(jìn)行業(yè)務(wù)通信的網(wǎng)口 ；
X86管理口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與系統(tǒng)內(nèi)所有網(wǎng)絡(luò)驅(qū)動(dòng)層(IXP425系 統(tǒng))通過管理數(shù)據(jù)交換網(wǎng)絡(luò)交換管理信息的網(wǎng)口； 級聯(lián)管理口為交換節(jié)點(diǎn)的網(wǎng)絡(luò)層(X86系統(tǒng))與其他交換節(jié)點(diǎn)的網(wǎng)絡(luò)層交換管理 數(shù)據(jù)的網(wǎng)口。 具體實(shí)現(xiàn)時(shí)，不同業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)系統(tǒng)內(nèi)的業(yè)務(wù)數(shù)據(jù)交換方式可以是一下三種 方式的任意組合 1、與對端業(yè)務(wù)數(shù)據(jù)流轉(zhuǎn)硬件網(wǎng)絡(luò)系統(tǒng)通過所述層三口連接；
2、與對端業(yè)務(wù)數(shù)據(jù)流轉(zhuǎn)硬件網(wǎng)絡(luò)系統(tǒng)通過所述業(yè)務(wù)級聯(lián)口連接；
3、與對端業(yè)務(wù)數(shù)據(jù)流轉(zhuǎn)硬件網(wǎng)絡(luò)系統(tǒng)通過所述的解密口連接。
圖3還示出了本實(shí)施例的組網(wǎng)結(jié)構(gòu)。 本發(fā)明在一個(gè)交換設(shè)備的一次收包過程中，實(shí)現(xiàn)了網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、以及 UTM的無縫集成，從而增強(qiáng)了系統(tǒng)部件聯(lián)動(dòng)性、提升了整體網(wǎng)絡(luò)性能、并且降低了組網(wǎng)成本。
以上所述是本發(fā)明的優(yōu)選實(shí)施方式，應(yīng)當(dāng)指出，對于本技術(shù)領(lǐng)域的普通技術(shù)人員 來說，在不脫離本發(fā)明原理的前提下，還可以做出若干改進(jìn)和潤飾，這些改進(jìn)和潤飾也視為 本發(fā)明的保護(hù)范圍。
權(quán)利要求
一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，其特征在于，該系統(tǒng)包括有網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)，用于根據(jù)預(yù)設(shè)的認(rèn)證方式，對訪問網(wǎng)絡(luò)的用戶進(jìn)行接入認(rèn)證；網(wǎng)絡(luò)傳輸加解密子系統(tǒng)，用于根據(jù)預(yù)設(shè)的密鑰，在網(wǎng)絡(luò)傳輸鏈路中，對需要加/解密的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行加/解密；統(tǒng)一威脅管理子系統(tǒng)，用于按照預(yù)設(shè)的管理策略，對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行統(tǒng)一威脅管理；網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)，與上述各子系統(tǒng)相連，判斷網(wǎng)絡(luò)數(shù)據(jù)包類型和有效性，并根據(jù)其類型和有效性選擇將其流轉(zhuǎn)到所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)的接入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。
2. 如權(quán)利要求1所述的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，其特征在于，所述網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)包括有過濾驅(qū)動(dòng)主控模塊，設(shè)置在所述網(wǎng)絡(luò)驅(qū)動(dòng)層，用于轉(zhuǎn)發(fā)受控主機(jī)的認(rèn)證客戶端或網(wǎng)絡(luò)應(yīng)用客戶端與網(wǎng)絡(luò)處理器之間的管理數(shù)據(jù)或業(yè)務(wù)數(shù)據(jù)；網(wǎng)絡(luò)協(xié)議棧，設(shè)置在交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層，用于將來自受控主機(jī)的網(wǎng)絡(luò)數(shù)據(jù)包根據(jù)其包類型和有效性流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)，執(zhí)行對應(yīng)的接入認(rèn)證、或者加解密和統(tǒng)一威脅管理，并根據(jù)其接收到的被處理后的網(wǎng)絡(luò)數(shù)據(jù)包類型，將所述網(wǎng)絡(luò)數(shù)據(jù)包通過所述過濾驅(qū)動(dòng)主控模塊發(fā)送到受控主機(jī)的認(rèn)證客戶端或網(wǎng)絡(luò)應(yīng)用客戶端。
3. 如權(quán)利要求2所述的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，其特征在于，所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)包括有過濾驅(qū)動(dòng)管理模塊，設(shè)置在所述認(rèn)證客戶端與過濾驅(qū)動(dòng)主控模塊之間，用于接收來自所述認(rèn)證客戶端的管理數(shù)據(jù)包，跟蹤更新其認(rèn)證狀態(tài)并將其發(fā)送到所述過濾驅(qū)動(dòng)主控模塊；認(rèn)證代理模塊，設(shè)置在所述設(shè)備驅(qū)動(dòng)層，用于通過管理數(shù)據(jù)交換網(wǎng)絡(luò)向所述網(wǎng)絡(luò)層發(fā)送認(rèn)證數(shù)據(jù)包，接收所述網(wǎng)絡(luò)層返回的認(rèn)證回應(yīng)數(shù)據(jù)包，并判斷該認(rèn)證回應(yīng)數(shù)據(jù)包是否需要轉(zhuǎn)發(fā)給認(rèn)證客戶端，若是，則將其轉(zhuǎn)化為預(yù)設(shè)的格式后發(fā)送給網(wǎng)絡(luò)協(xié)議棧；認(rèn)證服務(wù)模塊，設(shè)置在所述網(wǎng)絡(luò)層，用于接收來自所述認(rèn)證代理模塊的認(rèn)證數(shù)據(jù)包，并按照預(yù)設(shè)的認(rèn)證流程向其發(fā)送認(rèn)證回應(yīng)數(shù)據(jù)包。
4. 如權(quán)利要求2或3所述的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，其特征在于，所述統(tǒng)一威脅管理子系統(tǒng)包括有UTM代理模塊，設(shè)置在所述設(shè)備驅(qū)動(dòng)層、通過管理數(shù)據(jù)交換網(wǎng)絡(luò)與服務(wù)器相連，用于從服務(wù)器端獲得預(yù)設(shè)的UTM策略；UTM執(zhí)行模塊，設(shè)置在所述設(shè)備驅(qū)動(dòng)層、與所述網(wǎng)絡(luò)協(xié)議棧相連，用于按照所述UTM代理模塊獲得的UTM策略對所述網(wǎng)絡(luò)協(xié)議棧發(fā)送的業(yè)務(wù)數(shù)據(jù)包執(zhí)行統(tǒng)一威脅管理后，將其發(fā)送到業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)，并將從業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收的業(yè)務(wù)數(shù)據(jù)包執(zhí)行統(tǒng)一威脅管理后，將其發(fā)送到所述網(wǎng)絡(luò)協(xié)議棧。
5. 如權(quán)利要求4所述的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，其特征在于，所述網(wǎng)絡(luò)傳輸加密子系統(tǒng)包括有傳輸加密代理模塊，設(shè)置在交換節(jié)點(diǎn)的設(shè)備驅(qū)動(dòng)層，通過管理數(shù)據(jù)交換網(wǎng)絡(luò)與服務(wù)器相連，用于與服務(wù)器通信，獲得預(yù)設(shè)的密鑰；過濾驅(qū)動(dòng)加密模塊，設(shè)置在所述受控主機(jī)的網(wǎng)絡(luò)應(yīng)用客戶端與過濾驅(qū)動(dòng)主控模塊之 間，用于將來自所述網(wǎng)絡(luò)應(yīng)用客戶端的業(yè)務(wù)數(shù)據(jù)包以預(yù)設(shè)的密鑰加密后，發(fā)送給所述過濾 驅(qū)動(dòng)主控模塊，并將來自所述過濾驅(qū)動(dòng)主控模塊的加密業(yè)務(wù)數(shù)據(jù)包解密后，轉(zhuǎn)發(fā)到所述網(wǎng) 絡(luò)應(yīng)用客戶端；驅(qū)動(dòng)層加解密模塊，分別設(shè)置在所述設(shè)備驅(qū)動(dòng)層的上行端口和下行端口 ，用于根據(jù)預(yù) 設(shè)的統(tǒng)一威脅管理策略的檢查深度判斷從所述上行端口接收和下行端口接收到的加密業(yè) 務(wù)數(shù)據(jù)包是否需要解密，若是則對其包進(jìn)行解密，以及對符合預(yù)設(shè)的統(tǒng)一威脅管理策略的 需要加密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加密；網(wǎng)絡(luò)層加解密模塊，設(shè)置在所述網(wǎng)絡(luò)層的業(yè)務(wù)通信口、并通過所述網(wǎng)橋連接到業(yè)務(wù)數(shù) 據(jù)交換網(wǎng)絡(luò)，用于對在交換節(jié)點(diǎn)內(nèi)部及與其他網(wǎng)絡(luò)之間傳輸?shù)男枰?解密的業(yè)務(wù)數(shù)據(jù)進(jìn) 行加/解密。
6. —種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，其特征在于，該方法包括以下步驟 受控主機(jī)過濾驅(qū)動(dòng)步驟，在受控主機(jī)的網(wǎng)絡(luò)驅(qū)動(dòng)層截獲來自受控主機(jī)認(rèn)證客戶端或網(wǎng)絡(luò)應(yīng)用客戶端的網(wǎng)絡(luò)數(shù)據(jù)包，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，將其發(fā)送到網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)層；網(wǎng)絡(luò)流轉(zhuǎn)控制步驟，判斷網(wǎng)絡(luò)數(shù)據(jù)包的類型，并根據(jù)其類型和有效性選擇將其流轉(zhuǎn)到 所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或者網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)的接 入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。
7. 如權(quán)利要求6所述的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，其特征在于，所述網(wǎng) 絡(luò)流轉(zhuǎn)控制步驟具體包括過濾驅(qū)動(dòng)主控模塊將來自受控主機(jī)的認(rèn)證客戶端的管理數(shù)據(jù)包或者網(wǎng)絡(luò)應(yīng)用客戶端 的業(yè)務(wù)數(shù)據(jù)包發(fā)送到認(rèn)證代理模塊；或者將來自認(rèn)證代理模塊的管理數(shù)據(jù)包發(fā)送到所述認(rèn) 證客戶端、業(yè)務(wù)數(shù)據(jù)包發(fā)送到所述網(wǎng)絡(luò)應(yīng)用客戶端；設(shè)備驅(qū)動(dòng)層的網(wǎng)絡(luò)協(xié)議棧判斷來自所述過濾驅(qū)動(dòng)主控模塊的網(wǎng)絡(luò)數(shù)據(jù)包的類型和有 效性，若為管理數(shù)據(jù)包，則將其流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)執(zhí)行接入認(rèn)證，若為業(yè)務(wù) 數(shù)據(jù)包，則將其流轉(zhuǎn)到對應(yīng)的網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行加解密和統(tǒng) 一威脅管理；或者將來自業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)或認(rèn)證代理模塊的網(wǎng)絡(luò)數(shù)據(jù)包發(fā)送到所述過濾 驅(qū)動(dòng)主控模塊。
8. 如權(quán)利要求7所述的網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，其特征在于，所述接入認(rèn) 證處理具體包括過濾驅(qū)動(dòng)管理模塊收到來自受控主機(jī)的認(rèn)證客戶端的管理數(shù)據(jù)包后，跟蹤并更新用戶的認(rèn)證狀態(tài)，并通過過濾驅(qū)動(dòng)主控模塊將其發(fā)送到認(rèn)證代理模塊；認(rèn)證代理模塊將所述管理數(shù)據(jù)包按照預(yù)設(shè)的認(rèn)證協(xié)議格式發(fā)送給認(rèn)證服務(wù)模塊； 認(rèn)證服務(wù)模塊接收到所述管理數(shù)據(jù)包之后，向所述認(rèn)證代理模塊發(fā)送一個(gè)認(rèn)證回應(yīng)數(shù)據(jù)包；認(rèn)證代理模塊接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包之后，判斷是否需要將其轉(zhuǎn)發(fā)給受控主機(jī)認(rèn) 證客戶端，若是，則將其轉(zhuǎn)化為認(rèn)證客戶端認(rèn)證傳輸格式的數(shù)據(jù)包后，發(fā)送到網(wǎng)絡(luò)協(xié)議棧；網(wǎng)絡(luò)協(xié)議棧接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包后，通過網(wǎng)絡(luò)處理器將其發(fā)送到過濾驅(qū)動(dòng)主控 模塊；過濾驅(qū)動(dòng)主控模塊接收到所述認(rèn)證回應(yīng)數(shù)據(jù)包之后，判斷是否需要將其轉(zhuǎn)發(fā)給受控主機(jī)認(rèn)證客戶端，若是，則將其發(fā)送到受控主機(jī)的認(rèn)證客戶端。
9. 如權(quán)利要求7所述的網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，其特征在于，所述UTM具 體包括與服務(wù)器通信，獲得預(yù)設(shè)的UTM策略；對所述網(wǎng)絡(luò)協(xié)議棧發(fā)送的業(yè)務(wù)數(shù)據(jù)包按照所述UTM策略執(zhí)行統(tǒng)一威脅管理后，將其發(fā) 送到所述業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)；或者將從所述業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收到的數(shù)據(jù)包按照所述UTM策略執(zhí)行統(tǒng)一威脅管 理后，發(fā)送到所述網(wǎng)絡(luò)協(xié)議棧。
10. 如權(quán)利要求7所述的網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法，所述加解密處理具體包 括有與服務(wù)器通信，獲得預(yù)設(shè)的密鑰；將來自所述網(wǎng)絡(luò)應(yīng)用客戶端的業(yè)務(wù)數(shù)據(jù)包以預(yù)設(shè)的密鑰加密后，發(fā)送到所述過濾驅(qū)動(dòng) 主控模塊，或者將來自所述過濾驅(qū)動(dòng)主控模塊的加密業(yè)務(wù)數(shù)據(jù)包以預(yù)設(shè)的密鑰解密后，轉(zhuǎn) 發(fā)到所述網(wǎng)絡(luò)應(yīng)用客戶端；根據(jù)預(yù)設(shè)的統(tǒng)一威脅管理策略的檢查深度判斷從業(yè)務(wù)數(shù)據(jù)交換網(wǎng)絡(luò)接收到的加密業(yè) 務(wù)數(shù)據(jù)包是否需要解密，若是則對其包進(jìn)行解密，以及對符合預(yù)設(shè)的統(tǒng)一威脅管理策略的 需要加密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加密；對通過交換節(jié)點(diǎn)的業(yè)務(wù)通信口發(fā)送/接收到的需要加/解密的業(yè)務(wù)數(shù)據(jù)包進(jìn)行加/解密。
全文摘要
本發(fā)明公開一種實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的系統(tǒng)，包括網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)，用于對訪問網(wǎng)絡(luò)的用戶進(jìn)行接入認(rèn)證；網(wǎng)絡(luò)傳輸加解密子系統(tǒng)，用于在網(wǎng)絡(luò)傳輸鏈路中對需要加/解密的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行加/解密；統(tǒng)一威脅管理子系統(tǒng)，用于對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行統(tǒng)一威脅管理；網(wǎng)絡(luò)流轉(zhuǎn)控制子系統(tǒng)，與上述各子系統(tǒng)相連，判斷網(wǎng)絡(luò)數(shù)據(jù)包類型和有效性并將其流轉(zhuǎn)到所述網(wǎng)絡(luò)接入認(rèn)證子系統(tǒng)、或網(wǎng)絡(luò)傳輸加密子系統(tǒng)和統(tǒng)一威脅管理子系統(tǒng)執(zhí)行相應(yīng)的接入認(rèn)證、或者加/解密和統(tǒng)一威脅管理。本發(fā)明還公開了相應(yīng)的實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的方法。本發(fā)明可實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM的無縫集成，同時(shí)可根據(jù)需要配置選用網(wǎng)絡(luò)接入認(rèn)證、傳輸加密、UTM功能的不同組合。
文檔編號(hào)H04L12/56GK101783791SQ20091010512
公開日2010年7月21日 申請日期2009年1月16日 優(yōu)先權(quán)日2009年1月16日
發(fā)明者藍(lán)曉敏 申請人:深圳市維信聯(lián)合科技有限公司