[发明专利]用于具有基于区域的防火墙的路由器中的多播的安全服务

权利要求书

1.一种网络路由器，包括：

多个接口，配置为发送和接收多播包；

防火墙，集成在所述网络路由器中，所述防火墙配置为 将状态防火墙服务应用至所述多播包；

路由引擎，包括控制单元，所述控制单元执行路由协议 以维护指定通过网络的路由的路由信息，其中所述控制单元执 行至少一种多播协议来建立用于将所述多播包从多播源传递 到多个多播接收器的多播组；

转发引擎，被所述路由引擎配置为根据所述路由信息来 为所述多播包选择下一跳，所述转发引擎包括基于所选择的下 一跳来将所述多播包转发到所述接口的交换结构，其中所述转 发引擎包括流控制模块，一旦从所述网络接收到多播包，则所 述流控制模块将一个或多个所述多播包引向所述防火墙以应 用所述状态防火墙服务；以及

用户接口，用户通过所述用户接口指定在将所述状态防 火墙服务应用于所述多播包时要由所述防火墙识别的一个或 多个区域，其中所述用户接口支持这样的语法：

(1)允许所述用户定义与所述区域相关联的所述多个接 口的子集；以及

(2)允许所述用户定义将被应用于与多播组相关联的多 播会话的单一多播策略，其中所述多播策略指定将被应用于所 指定的区域的多播会话的动作，

其中，所述语法允许所述用户定义所述单一多播策略以 指定一个或多个通用服务，该一个或多个通用服务复制前将被 应用于发往所述区域的一个或多个区域中的两个或更多接口 的所述多播包的拷贝，并且所述语法允许所述用户定义所述单 一多播策略以指定一个或多个例外，所述一个或多个例外指定 所述区域中的一个或多个区域以及复制后将被应用于用于所 述一个或多个区域的所述多播包的拷贝的额外服务，

其中所述防火墙配置为基于由所述用户指定的所述多播 策略和所述区域将所述状态防火墙服务应用于所述多播包。

2.根据权利要求1所述的网络路由器，其中所述语法允许所述用 户使用单一命令来定义所述单一多播策略。

3.根据权利要求1所述的网络路由器，其中所述路由引擎配置为 创建多播复制树并将所述多播复制树安装到与所述转发引擎 相关联的多播转发信息库(FIB)，其中所述多播复制树指定 对多播包进行复制以传输至所述多播接收器的方式。

4.根据权利要求3所述的网络路由器，其中所述路由引擎配置为 一旦所述网络路由器接收到与所述多播组相关联的多播会话 的第一多播包，则创建用于多播组的多播复制树并将所述多播 复制树安装至所述多播FIB。

5.根据权利要求3所述的网络路由器，进一步包括：

服务守护进程，

其中，在创建所述多播复制树之前，所述路由引擎配置 为向所述服务守护进程提供外发接口(OIF)列表，其中所述 服务守护进程基于所定义的多播策略来修改所述OIF列表， 并将所修改的OIF列表作为多个独立的OIF子列表提供给所 述路由引擎，所述多个独立的OIF子列表表示将被应用通用 服务的那些OIF和对应于指定将被应用额外服务的例外的那 些OIF，并且其中所述路由引擎创建用于每个所述OIF子列表 的多播复制树并将其安装到所述多播FIB。

6.根据权利要求5所述的网络路由器，其中一旦接收到来自所述 多播接收器之一的表示与多播组有关的成员状态改变的多播 动作请求，则所述服务守护进程配置为基于所述改变向所述路 由引擎提供更新的OIF子列表。

7.根据权利要求1所述的网络路由器，其中当所述防火墙配置有 允许转发那些不存在匹配策略的包的缺省策略时，所述路由引 擎创建转发OIF列表，该OIF列表独立地指定那些不需要防 火墙提供状态防火墙服务的OIF。

8.根据权利要求1所述的网络路由器，其中所述防火墙维护包括 条目的多播会话表，所述条目指定：(a)一个或多个通用服务， 将被应用于发往所述网络路由器的两个或更多外发接口的所 述多播包的拷贝，以及(b)一个或多个例外，指定一个或多 个外发接口以及将被应用于所述一个或多个外发接口的所述 多播包的拷贝的额外服务。