一种网络资源访问与隔离的系统的制作方法
【专利摘要】本发明提供了一种网络资源访问与隔离的系统，该系统包括访问来源、资源容器、接口和分配表；当所述访问来源对所述资源容器中的网络资源进行访问时，所述访问来源向所述接口发出请求，所述接口根据所述分配表的定义，对所述访问来源开放指定的所述资源容器，所述访问来源访问的对象仅限于指定的资源容器，而不可访问其他容器。该系统用于解决资源虚拟化环境下或网络标识有限情况下或需要网络资源对外标识一致的情况下的访问与隔离的问题。
【专利说明】—种网络资源访问与隔离的系统
【技术领域】
[0001]本发明涉及一种信息安全领域的系统，具体讲涉及一种网络资源访问与隔离的系统。
【背景技术】
[0002]随着设备运算能力的大量提升以及集中化的运行模式的大量应用，网络资源的虚拟化被大量应用。虚拟化是指，计算元件在虚拟的基础上而不是真实的基础上运行，是一个为了简化管理，优化资源的解决方案。如同空旷、通透的写字楼，整个楼层几乎看不到墙壁，用户可以用同样的成本构建出更加自主适用的办公空间，进而节省成本，发挥空间最大利用率。上述将有限的固定的资源根据不同需求进行重新规划以达到最大利用率的思路，在IT领域就叫做虚拟化技术。
[0003]目前，大量使用的虚拟化技术，包括服务器虚拟化、桌面虚拟化等均是在同一平台上通过不同的网络标识区分虚拟出的网络资源，并对外提供服务。
[0004]隔离，是指相互之间断绝接触。网络资源的隔离指同一访问源对不同网络资源之间的访问是相斥的，访问一个资源即不可访问另一资源。
[0005]目前的虚拟化技术主要依赖于网络标识，通过基于网络标识的访问控制实现，无法实现资源之间的隔离。另一方面当网络标识有限时，或需要网络资源对外标识一致的情况下，目前的NAT方式可以将大量的资源标识通过标识的缩减，譬如限制可访问的端口、IP地址等，使得大量的网络资源通过少量的网络标识限制性的对外提供服务，当某个访问源需要访问多个网络资源的全部对外服务时，则无法实现。
[0006]因此，需要提供一种具有对资源的全面访问能力和资源间的隔离能力的访问与隔尚系统。
【发明内容】
[0007]为克服上述现有技术的不足，本发明提供一种网络资源访问与隔离系统。
[0008]实现上述目的所采用的解决方案为:
[0009]一种网络资源访问与隔离的系统，其改进之处在于:所述系统包括访问来源、资源容器、接口和分配表；
[0010]所述访问来源为具有唯一网络标识的请求使用网络资源的对象；
[0011]所述资源容器封装不同的网络资源，所述资源容器对外使用同一所述接口 ；
[0012]所述分配表定义访问来源和资源容器的对应关系。
[0013]进一步的，所述资源容器定义网络资源及所述网络资源和所述接口间的交互的环境。
[0014]进一步的，不同的所述资源容器之间相互排斥，互相之间不可访问。
[0015]进一步的，所述访问来源通过所述接口访问所述资源容器的网络资源，所述接口通过所述分配表的定义对所述访问来源开放所述资源容器。
[0016]进一步的，所述资源容器之间使用互相独立的标识以识别不同资源容器；
[0017]进一步的，所述接口对外使用唯一的网络标识；所述访问来源仅访问所述接口。
[0018]进一步的，当所述访问来源对所述资源容器中的网络资源进行访问时，所述访问来源向所述接口发出请求，所述接口根据所述分配表的定义确定访问来源，根据所述分配表对所述访问来源开放指定的所述资源容器，所述访问来源访问的对象仅限于指定的所述资源容器，不可访问其他资源容器。
[0019]进一步的，不同的所述资源容器仅向所述接口提供独立的网络访问，所述接口保证所有所述资源容器的访问过程不发生交叉，确保所述资源容器之间隔离。
[0020]与现有技术相比，本发明具有以下有益效果:
[0021]1、本发明提供的系统通过将网络资源封装在不同的资源容器中，并进行非网络化标识，不同的资源容器之间互斥，对外则根据访问来源分配访问资源，解决了资源虚拟化环境下或网络标识有限情况下或需要网络资源对外标识一致的情况下的访问与隔离的问题。
[0022]2、本发明提供的系统，通过增加内部标识，资源容器使用内部标识提供互相之间的识别，而对外则使用接口的唯一网络标识向外提供访问；减少外部网络标识的占用，提供多种网络资源的访问。
[0023]3、本发明提供的系统中，接口 Interface将不同访问来源的访问通过分配表分配访问来源所访问的资源容器，实现网络资源的隔离，解决了资源虚拟化环境下或网络标识有限情况下或需要网络资源对外标识一致的情况下的访问与隔离的问题。
[0024]4、本发明提供的系统中，访问来源的访问由于接口 Interface的干预，所有数据被直接转发于指定的资源容器中，即对于访问来源来说，其他资源容器中的网络资源是隔离而不可访问的，实现网络资源的访问和隔离过程。
[0025]5、本发明提供的系统能够在资源有限条件下，或在虚拟环境无法提供确定资源的情况下，提供资源的访问和隔离措施。
[0026]6、本发明提供的系统能够应用于Ethernet、Internet、电力线网络、光纤网络等任何基于设备标识进行通信的网络。
【专利附图】
【附图说明】
[0027]图1为本实施例中系统逻辑图；
[0028]图2为本实施例中访问间的隔离关系示意图；
[0029]图3为本实施例中资源间隔离关系示意图。
【具体实施方式】
[0030]下面结合附图对本发明的【具体实施方式】做进一步的详细说明。
[0031]本发明提供了一种网络资源访问与隔离的系统，该系统包括访问来源、资源容器、接口和分配表。如图1系统逻辑图所示。
[0032]访问来源是指需要使用网络资源的对象，具有独立的网络标识。
[0033]资源容器是对各种不同类型网络资源的封装，提供可统一访问的接口。
[0034]资源容器与资源容器之间使用互相独立的标识以识别不同容器，该标识由一串数值组成；而接口对外则使用唯一的网络标识。
[0035]所述资源容器实现网络资源的定义，及实现网络资源与接口 Interface之间的交互的环境的定义。
[0036]不同的所述资源容器之间相互排至，互相之间不可访问。
[0037]不同的所述资源容器仅向所述接口提供独立的网络访问，所述接口保证所有所述资源容器的访问过程不发生交叉，确保所述资源容器之间隔离。
[0038]所述分配表实现所述访问来源对单个网络资源的访问权限的定义。例如有访问来源A、B、C，网络资源D、E、F，通过分配表定义好各访问来源对应的网络资源，实现在访问时对所述访问来源开放指定的所述资源容器。
[0039]分配表将每个网络资源可供访问的访问来源进行明确，建立分配表。
[0040]所述访问来源通过所述接口访问所述资源容器的网络资源，所述接口通过所述分配表的定义对所述访问来源开放所述资源容器。
[0041]当访问来源通过网络进行访问时，其只识别接口所对应的唯一的网络标识，而不识别接口后侧的资源容器；接口通过分配表决定访问来源访问哪个网络资源。
[0042]当所述访问来源对所述资源容器中的网络资源进行访问时，所述访问来源向所述接口发出请求，所述接口根据所述分配表的定义，对所述访问来源开放指定的所述资源容器，所述访问来源访问的对象仅限于指定的资源容器，而不可访问其他容器。
[0043]如图2所示，图2为访问间的隔离关系示意图；通过对容器的定义以及对访问来源的定义，可建立一个访问对应关系。
[0044]访问来源A由IP地址进行定义，访问来源A不限于此定义形式，任何网络标识方法都可定义访问来源A。分配表将每个网络资源可供访问的访问来源A进行对应，建立分配表。
[0045]当访问来源A对资源容器B中的网络资源进行访问时，访问来源A向接口Interface发出请求,接口 Interface根据分配表的定义,对访问来源A开放指定的资源容器B，访问来源A访问的对象仅限于该指定资源容器B，而不可以访问其他资源容器。
[0046]使得不同的访问来源A通过接口 Interface访问网络资源时，获得各自独立的网络资源，实现访问上的隔离。
[0047]如图3所示，图3为资源间隔离关系示意图；不同的资源容器B仅向接口Interface提供独立的网络访问，接口 Interface保证所有资源容器B的访问过程不发生交叉，确保容器之间的隔离。
[0048]最后应当说明的是:以上实施例仅用于说明本申请的技术方案而非对其保护范围的限制，尽管参照上述实施例对本申请进行了详细的说明，所属领域的普通技术人员应当理解:本领域技术人员阅读本申请后依然可对申请的【具体实施方式】进行种种变更、修改或者等同替换，但这些变更、修改或者等同替换，均在申请待批的权利要求保护范围之内。
【权利要求】
1.一种网络资源访问与隔离的系统，其特征在于:所述系统包括访问来源、资源容器、接口和分配表； 所述访问来源为具有唯一网络标识的请求使用网络资源的对象； 所述资源容器封装不同的网络资源，所述资源容器对外使用同一所述接口 ； 所述分配表定义访问来源和资源容器的对应关系。
2.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:所述资源容器定义网络资源及所述网络资源和所述接口间的交互的环境。
3.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:不同的所述资源容器之间相互排斥，互相之间不可访问。
4.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:所述访问来源通过所述接口访问所述资源容器的网络资源，所述接口通过所述分配表的定义对所述访问来源开放所述资源容器。
5.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:所述资源容器之间使用互相独立的标识以识别不同资源容器。
6.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:所述接口对外使用唯一的网络标识；所述访问来源仅访问所述接口。
7.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:当所述访问来源对所述资源容器中的网络资源进行访问时，所述访问来源向所述接口发出请求，所述接口根据所述分配表的定义确定访问来源，根据所述分配表对所述访问来源开放指定的所述资源容器，所述访问来源访问的对象仅限于指定的所述资源容器，不可访问其他资源容器。
8.如权利要求1所述的一种网络资源访问与隔离的系统，其特征在于:不同的所述资源容器仅向所述接口提供独立的网络访问，所述接口保证所有所述资源容器的访问过程不发生交叉，确保所述资源容器之间隔离。
【文档编号】H04L29/08GK104394217SQ201410696992
【公开日】2015年3月4日 申请日期:2014年11月26日 优先权日:2014年11月26日
【发明者】郭骞, 李尼格, 范杰, 俞庚申, 冯谷, 余勇, 蒋诚智, 高鹏, 石聪聪, 曹宛恬, 张小建 申请人:国家电网公司, 中国电力科学研究院