[發明專利]一種實現網絡虛擬安全域的方法

有效

• 申請號: 201210209518.7
• 申請日: 2012-06-25
• 公開（公告）號: CN102739665A
• 公開（公告）日: 2012-10-17
• 發明（設計）人: 付強;鄧鴻;許勇
• 申請（專利權）人: 成都衛士通信息產業股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 徐宏

1.一種實現網絡虛擬安全域的方法，其具體包含以下步驟：終端設備采用網絡驅動接口規范中間層驅動攔截所有通過網絡驅動接口規范發送和接收的數據包，如果攔截到的數據包為發送數據包，則將數據包打上標簽后再轉發出去；如果攔截到的數據包為接收數據包，則判斷該數據包是否有標簽，若該數據包無標簽，則判定該數據包的發送端設備為未授信終端設備，阻斷該數據包并告警；若該數據包有標簽，則解析數據包標簽的內容，并根據策略判斷放行或阻斷該數據包。

2.如權利要求1所述的實現網絡虛擬安全域的方法，其特征在于所述將數據包打上標簽具體包括：將要發送的數據包拆分為以太頭、IP頭和IP數據段三個部分，然后填充虛擬安全域標簽，并將虛擬安全域標簽與IP數據段一起加密，最后將以太頭、IP頭、虛擬安全域標簽和IP數據段重新組裝成一個數據包發送出去。

3.如權利要求2所述的實現網絡虛擬安全域的方法，其特征在于所述解析數據包標簽具體包括：識別出數據包中的虛擬安全域標簽，并將標簽信息和本地策略進行判斷，是否允許接收該數據包發送端發送的數據包，是，則放行該數據包，并將數據包中的虛擬安全域標簽去掉，解密IP數據段的內容，將數據包還原為原始數據包；否，則阻止該數據包。

4.如權利要求3所述的實現網絡虛擬安全域的方法，其特征在于所述虛擬安全域標簽包括標簽的長度、標簽識別名、該終端所屬的安全域名。

5.如權利要求4所述的實現網絡虛擬安全域的方法，其特征在于所述方法還包括：將設備終端劃分成多個安全域，同一個安全域內的設備終端允許相互通信，不同安全域之間的設備終端通過管理服務器進行配置是否允許通信。