[发明专利]安全网络体系结构

权利要求书

1.一种具有中央服务器节点和许多外围节点的星形连接网络，其中

各外围节点在其能够在网络上建立的直接通信的类型方面被限制 为：能够使用各自的加密连接建立与所述中央服务器节点的直接通信， 但是不能直接建立与任何其他外围节点的连接，除非至少该外围节点或 相应的目标外围节点从所述中央服务器节点接收到了建立或完成所述直 接建立与任何其他外围节点的连接的明确授权；以及其中

所述中央服务器节点包括：

用于建立与各外围节点的加密连接的装置；

用于使用两个或更多个各自的加密连接与两个或更多个外围节 点交换控制分组，从而在两个外围节点之间建立授权连接的装置；

数据库，其用于存储规定外围节点之间可允许什么连接的安全 策略信息；以及

授权装置，其用于使用所述控制分组交换装置基于所存储的安 全策略信息对可允许的连接进行授权。

2.根据权利要求1的网络，其中所述中央服务器节点的功能分布在 多个中央服务器节点中。

3.根据权利要求1或2的网络，其中所述用于建立与各外围节点的 加密连接的装置包括：

虚拟专用网络服务器，其被配置为通过防火墙接收所有分组，所述 防火墙会丢弃所有分组，除非所述分组指向或源于所述中央服务器节点， 或者与两个外围节点之间的明确授权的连接相关，其中所述明确授权的 连接通过所述虚拟专用网络服务器进行。

4.根据权利要求3的网络，其中所述中央服务器节点包括攻击检测 模块，其可操作对未能被授权的连接尝试进行分析并且尝试检测这样的 未能被授权的尝试中的任何模式。

5.根据权利要求1的网络，其中各外围节点包括安全存储在防篡改 硬件模块中的认证信息，用于对建立与所述中心控制的加密连接或在来 自所述中央服务器节点的明确授权之后与外围节点的加密连接进行认 证。

6.根据权利要求4的网络，其中所述中央服务器节点包括：

安全策略引擎，其包括高级引擎，该高级引擎响应于接收到虚拟专 用网络的建立的指示的上下文处理器所提供的客户机标识和多个会话参 数而返回准许或拒绝判定，该虚拟专用网络与所标识的客户机对应，所 述上下文处理器将所返回的决定处理为对应的更新规则。

7.根据权利要求6的网络，其中所述会话参数包括：源和目的地网 络地址，以及端口号。

8.根据权利要求7的网络，其中所述会话参数还包括，应用程序标 识，所述应用程序标识用于标识希望发起所述连接的所述应用程序或者 应用程序类型。

9.根据权利要求1的网络，其中使用虚拟局域网在一个或更多个互 连分组交换网状网络上实现所述星形连接网络，来支持所述加密连接。

10.一种用于具有许多外围节点的星形连接网络的中央服务器节点； 所述中央服务器节点包括：

用于建立与各外围节点的加密连接的装置；

用于使用两个或更多个各自的加密连接与两个或更多个外围节点交 换控制分组，从而在两个外围节点之间建立授权连接的装置；

数据库，其用于存储规定可允许外围节点之间什么连接的安全策略 信息；以及

授权装置，其用于使用所述控制分组交换装置基于所存储的安全策 略信息对可允许的连接进行授权。

11.一种操作具有中央服务器节点和多个外围节点的星形连接网络 的方法；该方法包括：

将网络上的通信限制为所述中央服务器节点与外围节点之间使用各 自的加密连接的通信，除非所述外围节点从所述中央服务器节点接收到 了建立另一连接的明确授权；

建立两个或更多个外围节点与所述中央服务器节点之间的加密连 接；

使用两个或更多个各自加密连接与两个或更多个外围节点交换控制 分组，以建立两个外围节点之间的授权连接；

存储规定允许在外围节点之间的什么连接的安全策略信息；以及

基于所存储的安全策略信息授权可允许的连接，并且从所述中央服 务器节点向相应的外围节点发送对应的授权消息。