[发明专利]用于具有基于区域的防火墙的路由器中的多播的安全服务

说明书

技术领域

本发明涉及计算机网络，更特别地，涉及计算机网络中的多播通信的传输。 

背景技术

计算机网络是交换数据和共享资源的互联计算装置的集合。存在多种方法来在网络内的计算装置之间通信数据。通常被称为“多播”的一种方法，使用多播树，在多播树中源装置将用于发布的单个数据包发送至一个或多个接收计算装置的组。使用多播，源装置向数据分配多播标识符，使得该组中的每个计算装置接收数据的拷贝。在一些情况下，源装置经由网络将多播包发送至为多播配置的路由器。进而，路由器复制包并将包的拷贝转送至其他多播使能的路由器。其他路由器进而复制这些包并重复转发处理，使得每个接收装置接收到包的拷贝。以该方式，使用多播树，经由一个或多个网络传送多播包。 

消费者可以通过提交“多播动作请求”来在由一个内容提供商或多个内容提供商提供的不同多播内容之间进行切换。更具体地，多播动作请求使得消费者加入以及离开与多播标识符相关联的各种多播组。用于发布多播动作请求(例如加入请求)的示例性协议是互联网组管理协议(IGMP)。为了加入特定多播组，接收装置将 多播加入请求发送至上游(即中间的)路由器，其进而将加入请求发送至源装置。 

由于增加了对可接入网络的计算机的依赖，网络安全已经成为组织和个人的主要问题。为了有助于保证他们的计算机的安全，组织和个人经常在公共网络和私有网络之间安装安全装置。这些安全装置的目的在于防止来自公共网络的不需要的或恶意的信息侵袭私有网络中的装置。 

这些安全装置通常被称作防火墙装置。典型地，防火墙是配置为基于组织的安全策略允许或拒绝通信流的专用装置。典型的高端防火墙通过动态地将流向一组服务卡的包进行负荷均衡来提供包转发。这些服务卡提供基于流的安全服务，例如，流分块、网络地址转换(NAT)、防病毒(AV)扫描和检查、侵入检测保护(IDP)和/或其他任何安全服务。该防火墙装置通常拦截进入和离开私有网络的包，并使用这些服务卡处理这些包以基于包括在每个包中的可以定义与该包相关联的流的状态的信息来确定是否允许或拒绝该包。 

然而，传统的防火墙因为各种原因而在将安全服务应用于多播通信时有困难。例如，一些防火墙可能在复制多播通信之前应用服务，这就导致对所有多播通信非常统一的处理且缺少丰富性。其他防火墙可以在复制多播通信之后应用服务，这就导致不能伸缩(scalable)的多播，特别是对于在高端防火墙环境中可能需要的大量的复制。此外，当前系统的表达性趋向于关注将多播分成单独应用安全服务的n路单播流，这就导致防火墙中的资源的浪费。 

发明内容

一般地，本发明旨在用于提供用于多播流的可伸缩防火墙服务的技术。该技术可以改进将安全服务应用于防火墙网络装置中的多播传输的可伸缩性。此外，防火墙可以集成在路由装置中，从而允许单个装置提供包括多播支持的路由功能以及防火墙服务。例如，服务提供商可以如在此所述的配置单个装置来提供多播服务给消费者并应用防火墙策略至消费者多播通信。集成的防火墙可以是基于区域的防火墙，其提供基于区域的防火墙服务，允许基于区域的安全策略被定义和被应用于路由器的不同网络接口，从而允许基于区域的防火墙提供不同信任等级的网络之间的可伸缩的安全连接。 

根据本发明的技术，基于区域的防火墙提供具有命令语法的用户接口，该命令语法允许用户定义对多播包复制前服务和复制后服务的应用。该技术可以影响用于有效复制多播包的集成服务网络装置的转发面构造。此外，在此描述的技术可以允许表达性和缩放结合至集成服务网络装置的多个平面中，例如管理面、控制面、服务面以及数据面。 

例如，集成服务网络装置的管理面支持命令语法，该语法允许网络管理员定义反映多播行为的多播策略。该语法提供了用于每个多播策略的单一容器(container)，并使用了直观和用户友好的表达性。该语法允许用户相对于在基于区域的防火墙上定义的不同区域为将要应用的服务类型进行分类，这就得到可伸缩的服务处理。