[发明专利]将远程设备管理属性分发给服务节点以用于服务规则处理

说明书

本发明公开了将远程设备管理属性分发给服务节点以用于服务规则处理。一些实施例提供了用于基于来自远程设备管理(RDM)系统的数据消息属性来处理网络中的远程设备数据消息的新颖方法。例如，一些实施例的方法识别与数据消息相关联的RDM属性集，并且然后基于识别出的RDM属性集来执行一个或多个服务操作。

本申请是基于申请号为201680050484.8、申请日为2016年8月26日、发明名称为“将远程设备管理属性分发给服务节点以用于服务规则处理”的专利申请的分案申请。

背景技术

安全远程访问是当今许多企业网络的共同特征。这种访问允许旅行的员工(例如，漫游的销售人员)或在家工作的使用电子通信的员工例如通过L3虚拟专用网络(VPN)来访问企业网络。安全远程访问还用于通过公共部署的网络基础设施(诸如安全套接字层(SSL)和互联网协议安全性(IPSec))使用L2 VPN将多站点提供商的数据中心缝合在一起。

安全远程访问典型地通过在面向互联网的网络的周边安装VPN网关来提供。VPN网关允许外部设备/网络经由隧道机制(诸如SSL/DTLS或IKE/IPSec)连接到企业内部网络中。隧道端点对传出流量进行加密以用于转发，并且对传入流量进行解密并将其馈送到它们相应的网络中。基于路由和策略的转发(PBF)将相关流量从内部网络引导至本地隧道端点以用于转发，在本地隧道端点处，使用桥接或PBF进一步处理相关流量，以寻找到远程网络的正确隧道。在被授权并获得对专用网络的访问之后，外部客户端能够像位于专用网络内的任何其它客户端一样访问网络中的资源。

当今，并没有对来自外部客户端的流量实施许多策略。当今存在在终端用户设备上的应用级别处进行分段和安全性的各种技术。若干移动设备管理(MDM)平台(例如，Air-Watch/iOS)需要远程应用或者经由指定的VPN访问所有网络资源，或者基于用户身份维持针对应用的公用或专用姿态。

但是，现有平台不陷于同一粒度的基于简档的访问的网络侧。为了限制设备对数据中心内某些资源的访问，当今的现有平台使用静态防火墙规则，鉴于可能存在的大量简档，因此除了规则膨胀之外，对静态防火墙规则进行供给和管理会变得繁琐。这也没有考虑跨区域的设备移动性以及诸如DNS名称的应用访问供给，即，如何使不同应用服务于或路由到具有相同URI的不同用户/设备。

发明内容

一些实施例提供了用于基于来自远程设备管理(RDM)系统的数据消息属性来处理网络中的远程设备数据消息的新颖方法。例如，一些实施例的方法执行源网络地址转换(SNAT)操作，该操作基于与接收到的数据消息相关联的RDM属性集将新的源网络地址(例如，新的源互联网协议(IP)地址和/或新的源端口)插入到接收到的远程设备数据消息的报头中。然后该方法将数据消息转发到网络内的消息目的地。当消息穿过网络到其目的地时，网络的一个或多个网络元件基于消息报头中插入的源网络地址根据网络的一个或多个策略来处理该数据消息。这些操作的示例包括路由操作、防火墙操作、网络地址转换操作以及其它中间盒(middlebox)操作。

其它实施例的方法直接基于与数据消息相关联的RDM属性集对接收到的远程设备数据消息执行其它网络操作。例如，在一些实施例中，网络元件根据通过分析数据消息的RDM属性集而解析出的网络的一个或多个策略来处理数据消息。这样的网络元件的一个示例是基于接收到的消息的RDM属性集执行防火墙操作的防火墙设备。在一些实施例中，这些防火墙设备实施可以按照RDM属性集以及其它消息报头值(例如，L2-L7报头值)定义的防火墙规则。