[發明專利]通信方法、支持可信網絡接入的安全策略協商方法及系統

有效

• 申請號: 201010142686.X
• 申請日: 2010-04-02
• 公開（公告）號: CN102215211A
• 公開（公告）日: 2011-10-12
• 發明（設計）人: 陳書義;顏正清;高峰;李媛
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L9/00
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 吳艷;龍洪

1.一種通信方法，其特征在于，用于可信網絡接入(TNC)網絡和為非可信網絡接入網絡的本地網絡的通信，該方法包括：

所述本地網絡支持跨域協同可信網絡接入(IF-FTNC)接口；

所述TNC網絡請求訪問所述本地網絡的通信實體時，所述本地網絡通過所述IF-FTNC接口同所述TNC網絡進行策略協商，若所述策略協商的協商結果為允許通信，則所述TNC網絡直接與所述本地網絡進行通信。

2.如權利要求1所述的方法，其特征在于，所述TNC網絡的接入請求者(AR)請求訪問所述本地網絡的通信實體。

3.如權利要求2所述的方法，其特征在于，所述AR訪問所述本地網絡的通信實體的具體過程為：

所述TNC網絡的策略執行點(PEP)收到所述AR發起的訪問請求后，在本地查詢相應的安全策略，或者向所述本地網絡的策略決策點(PDP)發起網絡訪問決策請求；并根據查詢到的安全策略或所述PDP返回的網絡訪問決策，將該訪問請求轉發給所述本地網絡的控制實體或者拒絕該訪問請求；

所述控制實體接收到所述PEP轉發的訪問請求后，如果在本地查詢到相應的安全策略，則根據查詢到的安全策略將該訪問請求轉發給所述通信實體或拒絕該訪問請求；如果在本地沒有查詢到相應的安全策略，則向所述本地網絡的策略服務器發起查詢請求，所述策略服務器在本地查詢相應的安全策略或者與所述PDP進行策略協商，并向所述控制實體返回安全策略決策，所述控制實體根據所述策略服務器返回的安全策略決策將該訪問請求轉發給所述通信實體或拒絕該訪問請求。

4.一種支持可信網絡接入的安全策略協商方法，其特征在于，支持IF-FTNC接口的非可信網絡接入網絡的本地網絡與TNC網絡通過所述IF-FTNC接口實現安全策略協商，所述方法包括：

所述本地網絡的通信實體請求訪問所述TNC網絡時，所述TNC網絡對所述通信實體進行安全狀態評估，若評估通過，則允許所述本地網絡的通信實體訪問所述TNC網絡。

5.如權利要求4所述的方法，其特征在于，若所述評估未通過，則所述TNC網絡對所述本地網絡的通信實體的訪問權限進行限制。

6.如權利要求4所述的方法，其特征在于，所述TNC網絡的PDP對所述通信實體進行安全狀態評估，所述通信實體支持配置或執行TNC客戶端的能力。

7.如權利要求5或6所述的方法，其特征在于，

若所述通信實體不支持配置或執行TNC客戶端的能力，且所述TNC網絡中存在元數據訪問點MAP，則所述TNC網絡根據所述MAP提供的安全信息關聯分析結果，對所述通信實體的訪問請求進行決策。

8.一種支持可信網絡接入的安全策略協商系統，其特征在于，包括非TNC網絡的本地網絡、IF-FTNC接口和TNC網絡，其中，所述本地網絡中進一步包括：控制實體、策略服務器和通信實體，所述TNC網絡中進一步包括：AR、MAP、PDP和PEP，其中：

所述通信實體用于，向所述TNC網絡的AR發起訪問請求；

所述控制實體用于，接收到所述通信實體發起的訪問請求后，在本地查詢或者向所述策略服務器查詢是否有相應的安全策略，如果查詢到，則將收到的所述訪問請求轉發給所述PEP；

所述策略服務器用于，收到所述控制實體發起的查詢請求后，返回相應的安全策略；以及，收到所述PDP的安全策略協商請求消息后，與所述PDP進行安全策略的協商，并向所述PDP返回安全策略協商應答消息；

所述MAP用于，收集和關聯所述TNC網絡的安全信息；

所述PEP用于，收到所述控制實體轉發的訪問請求后，在本地查詢或者向所述PDP查詢是否有相應的安全策略，如果查詢到，則將所述安全策略轉發給所述AR；以及，執行所述PDP下發的安全策略；

所述PDP用于，收到所述PEP發起的查詢請求后，如果在本地查詢到相應的安全策略，則將查詢到的安全策略返回給所述PEP；如果在本地沒有查詢到相應的安全策略，則向所述策略服務器發送安全策略協商請求消息，并根據所述策略服務器返回的安全策略協商應答消息向所述PEP下發安全策略。