具体实施方式
本公开涉及用于使得能够访问在计算设备中配置的不同安全周界内的各种网络或代理资源的***和方法。周界一般可指代用来创建资源(比如应用、存储的数据和/或网络访问)的逻辑分隔的安全策略。周界内包括的资源可被加密和密码保护,以便安全地将这些资源与不同周界中的资源分隔。例如,不同周界中的资源可被禁止传输数据。在一些实现中,周界可包括个人周界和企业周界(或公司周界)。个人周界一般可指代由用户缺省创建的、并由相同用户管理的周界。企业周界一般可指代为用户创建或者由用户创建的、并由远程管理服务器或服务(例如黑莓企业服务器(BES)、黑莓平板电脑管理服务(BPAS)或黑莓设备服务器(BDS)等)进行管理的周界,其可以与企业(例如商业)相关联或可以不与企业(例如商业)相关联。在本公开中,在计算设备中配置的周界还可被称作安全分区、安全区域、角色(persona)、身份简档或其它类似术语,其中不同周界内的操作由不同安全策略来控制。下文中,为了简明,将使用周界来指代上述任一术语。下文中,个人周界可指代由最终用户配置和管理的周界,而企业用户可指代由企业设备服务器配置和管理的周界。
本文描述了用于在经由具有到企业服务的安全连接的移动通信设备来访问企业服务时启用企业周界中的企业代理资源的方法和***。例如,如果移动通信设备已经预配置有到企业网络的连接,则在平板计算机上配置的企业周界可通过由移动通信设备提供的企业代理连接而连接到相同的企业网络。本文使用的诸如“企业”之类的术语可指代商业或工作关系,也可以指代其中对集中式资源进行统一管理的其它类型的联网环境。
计算设备(例如平板计算机)可建立到移动通信设备的连接,以便访问其它网络。在一些***中,移动通信设备可被用作向计算设备提供到其它网络的访问的代理或网关连接。计算设备可使用“系缆(tethering)”技术来访问企业网络,比如通过移动通信设备。例如,移动通信设备(例如黑莓智能电话)可具有经由移动电信服务到企业网络的安全连接。移动通信设备可访问(例如通过蜂窝网络)与企业网络相关联的企业服务。移动通信设备可向系缆或其它方式关联的计算设备中配置的一个或多个周界提供到企业服务和/或企业网络的访问。在一些实现中,移动通信设备可通过直接无线连接(例如无线LAN、蓝牙TM)系缆到计算设备。在一些根据本公开的实现中,计算设备中的企业周界能够经由系缆到移动通信设备来访问企业网络中的企业服务。对本领域技术人员来讲明显的是:其它类型的设备可用于到企业网络的系缆连接。在本公开中,为了简明,将使用移动通信设备来描述可以选择性地经由系缆或任何其它适合的配对或连接来提供到企业网络的访问的设备。
图1是示出了经由移动通信设备104获得到企业资源的访问的第一计算设备102的示例通信***100。在高级别上,***100包括与移动通信设备104可通信耦合的第一计算设备102。移动通信设备104可通信耦合到蜂窝网络106和企业网络108。第一计算设备102包括被配置为防止访问分区资源的周界110a和110b。移动通信设备104包括被配置为防止访问与之关联的资源的移动企业周界110c。企业网络108包括用于向服务器资源账户提供访问的企业服务器112。针对操作的高级别描述,第一计算设备102可以无线地发送用于使用移动通信设备104连接到网络的连接请求。移动通信设备104可在允许连接之前执行认证,然后发送指示许可连接请求的信息。所发送的信息可包括关于在移动通信设备104处可用的网络的信息,包括与移动企业周界110c相关联的标识。所发送的信息中包括的标识可由第一计算设备102用来确定移动通信设备104是否具有与周界110a和110b之一相关联的移动企业周界110c。
参见对元素的更详细的描述,设备102和104可以是可操作为经由用户界面(比如图形用户界面(GUI)、CLI(命令行界面)、或各种其它用户界面中的任何一个)接收来自用户的请求的任何本地或远程计算设备。在各种实现中,设备102和104可包括可操作为接收、发送、处理和存储与通信***100相关联的任何适当数据的电子计算设备。如本公开中所使用,设备102和104预期包括具有网络通信能力的任何电子设备或计算设备。例如,设备102和104可以是:平板计算机、个人计算机、膝上计算机、触摸屏终端、工作站、网络计算机、信息站(kiosk)、无线数据端口、无线或有线电话、个人数据助理(PDA)、智能电话、在这些或其它设备中的至少一个处理器、或任何其它适合的处理设备。例如,设备102和104可包括移动通信设备,并且可以包括或可以不包括输入设备(比如键区、触摸屏、鼠标、或其它能够接受信息的设备)和传达与对资源的操作相关联的信息(包括数字数据、可视信息或GUI)的输出设备。设备102和104可包括固定的或可移除的存储介质(诸如磁计算机盘、CD-ROM、闪存、或其他合适的介质),以便通过显示(比如GUI)从用户接收输入以及向用户提供输出。此外,与本附图和其他附图中示出的周界相比,设备102和104可以包括更少或更多的周界。
在一些实现中,第一计算设备102和移动通信设备104可以使用蓝牙TM、Wi-Fi、WiMAX、近场通信(NFC)或其它无线通信协议来无线地进行通信。计算设备102可以通过无线连接114与移动通信设备104进行通信。移动通信设备104可以与蜂窝网络106无线地通信。例如,移动通信设备104可以包括一个或多个无线网络能力,包括第二代(2G)、第三代(3G)和/或***(4G)电信技术。示例2G、3G和4G电信网络标准包括:全球移动通信***(GSM)、暂行标准95(IS-95)、通用移动电信***(UMTS)、CDMA2000(码分多址)、3GPP长期演进(LTE)、高级LTE(LTE-A)等。
在一些实现中,第一计算设备102可基于系缆或任何其它连接经由移动通信设备104来访问企业服务器112。在这种情况中,如果移动通信设备104(例如黑莓智能电话)包括系缆功能并能够与企业服务器112执行蜂窝网络通信,移动通信设备104从而可被用作连接设备(还称作系缆或桥接设备),以使得能够在第一计算设备102和企业服务器112之间进行通信。第一计算设备102和移动通信设备104可使用直接无线连接(例如蓝牙TM、红外、光学连接、Wi-Fi、WiMax、RFID、NFC等)、有线连接(例如USB、火线等)或个域网或局域网来进行通信。移动通信设备104可以访问在企业服务器112上维护的企业账户。移动通信设备104还可将移动企业周界110c与企业账户相关联,移动企业周界110c在移动通信设备104上本地维护安全策略。企业账户可以是例如向移动通信设备104推送数据的账户。
企业网络108可以是与企业相关联的网络。企业可包括公司或商业实体、政府机构、非盈利机构或任何其它组织,并且可以与设备102和104中的一个或两个上配置的账户相关联。在一些实现中,企业可以是设备102或104的拥有者。在一些实现中,设备102或104可以由用户拥有,并且在这些情况中,用户可以是用来配置没备上的企业周界的企业。当然,企业还可出租设备102或104,或者可以雇佣负责维护、配置、控制和/或管理设备102和104的承包商或代理商。在示出的实现中,网络108可促进与设备102和104的通信。网络108可在网络地址之间传递例如网际协议(IP)分组、帧中继帧、异步传输模式(ATM)单元、语音、视频、数据和其它适合信息。此外,虽然企业网络108被示为单一网络,但是网络108可包括多个网络。简而言之,企业网络108是被配置为与设备104进行通信的任何适合的网络。在示出的实现中,企业网络108包括企业服务器112。
企业服务器112可包括被配置为管理对一个或多个服务器资源账户的访问的任何软件、硬件、固件或它们的组合。企业账户可以是例如ActiveSync电子邮件、日历或联系人账户。企业账户可以与企业周界(例如110a、110b和/或110c)相关联,从而企业周界可确保用于访问账户的应用、数据和安全策略的安全。企业服务器112可维护或执行与企业周界和账户相关联的资源、设置和安全策略。企业服务器112可接收与企业账户相关联的请求,并发起对周界110的生成,连同提供对账户的访问。在一些实现中,企业服务器112可发送指示针对访问服务器资源账户的安全策略的信息。如上文所述,企业服务器112还可向设备指派企业标识符,连同许可对服务器用户账户进行访问。例如,企业服务器112可向设备102或104发送企业标识符连同发送安全策略。企业标识符可包括网络地址、雇员编号或其它字符串。
图2A是与图1相似的示例通信***,其中,描述了第一计算设备的一个或多个可选组件。
第一计算设备202包括第一计算设备102的示例实现。如图所示,通信***200包括第一计算设备202,如图2B中的箭头250所示,第一计算设备202可以可通信耦合到移动通信设备204。移动通信设备204可访问公共网络208a和/或企业网络208b。图2B中描述了关于移动通信设备204的更多细节。第一计算设备202包括一个或多个网络接口,其中可包括Wi-Fi接口210a、蜂窝接口210b、局域网(LAN)接口210c、通用串行总线(USB,未示出)和蓝牙TM接口210d。根据本公开,可提供和使用其它接口。如上文所述,网络接口可以包括相关领域技术人员所知的各种有线或无线通信接口。在图2A中,网络接口210a~210d提供与移动通信设备204的通信。例如,蓝牙接口210d可包括第一计算设备202和移动通信设备204之间的短距离射频连接(示为箭头250)。对短距离射频连接(或者备选地,直接有线连接)的使用可被称作第一计算设备202和移动通信设备204之间的系缆或配对。
第一计算设备202可被配置具有一个或多个周界。在图2A中的示例***中,第一计算设备202被配置具有第一周界220a和第二周界220b。在图2A的示例中,第一周界220a被称作“个人”周界,而第二周界220b被称作“企业周界”。在周界220a、220b中的每一个中,可通过与周界相关联的一个或多个安全策略来管理各种应用、数据、配置和网络接口。例如,第一周界220a具有第一应用222、数据(未示出)、配置224和多个端口(其中之一具有附图标记226)。第二周界220b包括一个或多个应用232(例如“工作”应用)、数据(未示出)、配置234和多个端口(其中之一具有附图标记236)。第二周界220b还可包括可由硬件、软件或其任何组合提供的虚拟私有网络(VPN)功能238。周界管理器240(根据本公开,其可包括网桥管理器242)帮助执行安全策略并提供控制对每个周界220a、220b的访问的附加安全策略。例如,周界管理器240可以在允许用户调用与特定周界相关联的应用或资源之前执行密码保护。
周界管理器240可包括网桥管理器242。网桥管理器242可以是周界管理器240的一部分或可以是单独的模块。周界管理器240和网桥管理器242可被实现为控制第一计算设备202的操作的操作***的一部分。网桥管理器242负责管理用来促进周界220a、220b和接口210a~210d之间的访问的端口226、236。在一个示例中,网桥管理器242可控制端口226、236,以促进系缆。在图2A和2B的示例中,当通过将第一计算设备202和移动通信设备204进行系缆或配对来建立通信信道(示为箭头250)时,网桥管理器242创建表示两个设备之间的不同会话的一个或多个分离套接字。例如,网桥管理器242可创建与移动通信设备处的第一代理相关联的第一套接字。每个套接字可与通信信道上的会话(也称为链路)相关联。通信信道可具有在相同通信信道上建立的多个通信会话。在图2A的示例中,第一计算设备202处的第一套接字与移动通信设备204处的第一端口直接关联。通过建立与端口相关联的套接字,两个设备202、204能够维护对设备之间的通信会话的分离。例如,与第一套接字有关的通信会话被定向至第一代理。类似地,去往/来自第二套接字的通信被定向至第二代理,第二代理可通信链接到企业网络208b。在移动通信设备处实施的规则用来保持用于每个会话的业务在移动通信设备处分离。相似地,在第一计算设备202处建立规则,以便通过将会话与具体套接字和/或端口相关联来保持会话分离。
网桥管理器242维护第一计算设备202处的端口226、236并且还可使用端口226、236和接口210a~210d来创建一个或多个“虚拟接口”。这种虚拟接口可由操作***来实现,以便分别为周界220a、220b中的每一个单独识别接口。如图2A所示,第一应用222位于第一周界220a中,并且可以利用一个或多个端口226来访问接口210a~210d,以便访问公共网络208a。然而,第一应用222不具有到只被配置在第二周界220b内的端口236的访问。针对每个周界的周界配置可允许访问具体应用,这种复杂性不属于本公开的主题。针对本公开的目的,被配置在周界内的应用只能够访问与该应用处于相同周界中的端口相关联的网络资源。在一些实现中,可使用与端口236相同的端口标识来识别端口226,比如当它们被定向在相同的物理接口上且不具有周界特定的配置时。然而,在本公开中,周界内启用的端口的实例被视为已经由网桥管理器关联到特定物理接口的唯一端口,并且在一些情况中,还被视为由网桥管理器关联到物理接口上的特定会话的唯一端口。
在本公开中,具体周界可包括数据、网络访问资源(例如经由虚拟接口)、应用、配置文件、一个或多个策略、上述各项的组合或其它资源。数据可包括各种对象或数据,包括类别、框架、应用、备份数据、商业对象、作业、网页、网页模板、数据库表、存储商业和/或动态信息的仓库以及任何其它适当的信息(包括与设备和/或应用相关联的任何参数、变量、算法、指令、规则、约束、或对它们的引用)。
图2B是与图1类似的示例通信***249,其中,描述了移动通信设备204的一个或多个可选组件。***249示出了第一计算设备202使用一个或多个端口226、236和系缆251与移动通信设备204可通信耦合(经由通信信道250)的情况(这可通过使用图2A中的接口210a~210d中的任何一个来完成)。在通信信道250上,可能存在一个或多个分离的通信会话254、256。在示例中,来自第一计算设备202的第一通信会话254与移动通信设备204的连接代理264相关联。公共连接代理264提供到公共网络208a的访问284。移动通信设备204可使用在图中统一表示为接口294的一个或多个其它网络接口(比如WiFi、蜂窝等)来提供访问284。
在示例中,来自第一计算设备202的第二通信会话256可与企业连接代理266相关联。企业连接代理266提供到企业网络208b的访问286。在一些实现中,企业连接代理266还可提供到与移动企业周界相关联的数据(比如与配置于移动通信设备上且与企业账户相关联的个人信息管理“PIM”应用相关联的数据)的访问。可使用移动通信设备204和企业网络208b之间的安全隧道或虚拟私有网络特征296来提供到企业资源297的连接。
图3A是使用GUI示出了到第一计算设备的企业周界的访问的示例屏幕300。该GUI可被呈现在关于图1或图2所描述的计算设备(例如黑莓Playbook平板PC)的触摸屏显示器300上。如示例GUI的第一屏幕300中所示,GUI的左手侧显示个人周界302中所包括的内容。个人周界302可以是关于图2所描述的计算设备的缺省周界。由于个人周界302可以是缺省周界,所以计算设备的用户可被允许访问和操纵个人周界302下的文档。GUI的右手侧显示与企业周界(或公司周界)304相关联的信息。如图所示,用户尚未登入企业周界。从而,与企业周界304相关联的公司屏幕被锁定。用户可滑动或点击滚动条306来触发密码认证过程。
图3B是示例GUI的第二屏幕320。在该实现中,屏幕320示出了提示接收用来登入企业周界的密码的弹窗322。在认证密码后,计算设备可以基于用户凭证来确定是否许可访问资源。
图3C是示例GUI的第三屏幕340。在这些实现中,分离地显示了个人周界302和企业周界342。个人周界302和企业周界304中包括的文档彼此逻辑分离并被存储在计算设备中。用户可能不被允许在个人周界302和企业周界342之间转移文件。如此,可以确保企业周界342中包括的公司数据是安全的。
图4是示出了第一计算设备建立经由移动通信设备的代理服务的示例方法400的流程图。结合图4描述的方法可使用软件、硬件或其任何组合来实现。在一个示例中,可由处理器执行以便实施图4的方法的指令可存储于计算机可读介质(比如,存储器)上,该计算机可读介质可以是有形的。在一个备选中,可将指令硬编码到处理器或其它硬件中。所示出的方法是参照图1的***100描述的,但该方法可由任何其它适合***使用。此外,***100可以使用用于制造***100的任何其它适当技术。从而,该流程图中的一些步骤可并发发生和/或按照与所示不同的顺序发生。***100还可使用具有附加步骤、较少步骤和/或不同步骤的方法,只要方法保持合适即可。
方法400开始于步骤402,其中计算设备与第二设备(比如移动通信设备)建立连接(例如通信信道)。建立连接通常将包括认证和验证过程,由此计算设备和第二设备建立第一级别的信任,该第一级别的信任许可使用通信信道来创建一个或多个会话。可以在美国专利申请13/195,587中找到与建立连接相关的信息。在步骤404,计算设备接收对第二设备上的移动企业周界的指示。接下来,在步骤406,计算设备创建与第二设备上的代理相关联的一个或多个套接字。例如,计算设备可创建与提供到企业网络的访问的企业代理相关联的套接字。在步骤408,计算设备确定第二设备的移动企业周界是否与计算设备上配置的企业周界相关联。这一步骤可包括关于密钥的比较、关于安全信息的比较、关于周界标识符的比较、或其它比较。
在步骤410,该方法确定企业周界是否匹配,换言之,确定它们是否都与相同的企业相关联。步骤408和410在一些实现中可以是相同的步骤,或者可以被执行为分离的测试。步骤410可包括对验证计算设备的企业周界与第二设备的移动企业周界是否都与相同的企业网络相关联的尝试。对于步骤410有用的示例技术可在图5~10的描述中看到。
如果计算设备的企业周界不与移动通信设备的移动企业周界相匹配,则可选地,在步骤414,计算设备可创建新的周界(例如“未知公司周界”)。如果计算设备的企业周界与移动通信设备的移动企业周界确实匹配,则在步骤412,计算设备的网桥管理器启用企业周界中的端口,以允许企业周界访问企业代理。图5包括第一计算设备502(比如计算设备102、202)以及移动通信设备504(其可以与移动通信设备104、204相似)。
在图5的示例中,第一计算设备502可以耦合到通信设备504,通信设备504可与第一企业网络512和第二企业网络530之一耦合。第一计算设备502可能之前已经与企业网络(例如512或530之一)相关联。最初,不知道移动通信设备504是否耦合到与关联到计算设备502的具体安全第二周界的企业网络相同的企业网络。
第一企业网络512可包括一个或多个服务器,比如企业设备服务器514和企业移动服务器516。企业设备服务器可指代提供至少对计算设备上的企业周界进行企业管理的行政服务器。企业移动服务器可指代向移动通信设备提供企业服务的移动数据网关。第一企业网络512还可包括一个或多个web服务,比如公司A应用服务器518和企业管理行政服务(EMAS)520。还可包括其他服务器或服务。
第二企业网络530可包括企业移动服务器532和公司B应用服务器534。在本公开中,应用服务器(比如公司A应用服务器518和公司B应用服务器534)可以是在企业网络内维护的任何类型的服务器或应用。应用服务器的示例可包括电子邮件服务器、邮件网关、文件共享服务器、内联网网站服务器、数据存储***等。
移动通信设备504可包括企业代理522,其可与企业移动服务器516或企业移动服务器532相关联。在一个示例中,企业代理522可以是与企业移动服务器(比如企业移动服务器516或企业移动服务器532)对接的硬件和/或软件。通常,移动通信设备504还将与一个企业移动服务器相关联。然而,当计算设备502第一次与移动通信设备504建立配对或系缆时,网桥管理器590不知道企业代理522是与企业设备服务器514连接到相同企业网络512中的企业移动服务器(比如企业移动服务器516)还是连接到不同企业网络530中的不同企业移动服务器532。移动通信设备504可包括个人信息管理应用524、连接代理526和未示出的其它应用。
第一通信设备502包括第一周界550和第二周界554。第一和第二周界550、554内的服务和***可以经由端口和接口(比如Wi-Fi 556、系缆558或任何其它适当的接口)连接到一个或多个网络资源。如图5所示,这些安全周界可对应于个人和企业周界,但这只是可在第一计算设备502中使用的安全周界的一个示例。事实上,可使用更少、更多或不同的安全周界。
第一周界550(其可以是个人安全周界)可包括一个或多个应用560,一个或多个应用560可利用网络连接,比如可以经由位于个人安全周界550内的端口562、563提供。第一端口562可经由任何数量的连接(包括WLAN网络、有线网络或甚至使用如图2A、2B所述的移动通信设备的连接代理)之一来访问公共网络(例如互联网)。
如图5所示,第二周界554(其可以是企业安全周界)可包括诸如个人信息管理应用570和企业管理应用572之类的应用。还可包括其它应用(未示出)。第二周界554还可包括连接到一个或多个端口576、578、580的VPN 574。端口可由网桥管理器590来控制(例如启用/禁用、暴露/隐藏、配置/去激活)。
应用利用经由端口576到企业设备服务器514的连接,该端口576经由诸如Wi-Fi接口之类的任何数量的连接(包括WLAN网络、有线网络、公共网络、由系缆移动通信设备提供的连接代理或经由任何其它合适连接)之一与企业设备服务器514进行通信。端口576有可能与安全证书(例如SSL)、虚拟私有网络(VPN)574或其它类型的加密相关联,以便提供企业安全周界554和企业设备服务器514之间的私有通信。应用570、572可以可选地利用由移动通信设备504经由端口578或端口580和系缆接口558提供的网络连接。端口562、563、576、578、580可使用一个或多个代理或任何其它适合的软件、硬件或软硬件的组合来实现。
如图5所示,第二周界554可通过VPN 574、端口576和WiFi连接556连接到企业设备服务514。当第一计算设备502与移动通信设备504配对或连接(例如通过使用蓝牙、有线连接等的系缆)时,第一计算设备502可以利用由移动通信设备504提供的一些或全部网络资源。当初始配对时,第二周界554中的端口578可由网桥管理器590来启用。然而,端口578只被允许使用移动通信设备504的连接代理526来获得到公共网络592的连接。如果计算设备502确定移动通信设备504连接到与第二周界(例如企业设备服务器514)相关联的相同企业网络512,则计算设备502的网桥管理器590可允许企业周界554经由端口580和系缆558来访问移动通信设备的企业代理522。
图6是示出了可由图5的第一计算设备502用于确定是否应该将由移动通信设备504提供的网络连接与第二安全周界(例如企业安全周界554)相关联的示例方法600的流程图。结合图6描述的方法可使用软件、硬件或其任意组合来实现。在一个示例中,可由处理器执行以便实现图6的方法的指令可存储在计算机可读介质(比如存储器)上,该计算机可读介质可以是有形的。在一个备选中,可将指令硬编码到处理器或其它硬件中。如图6所示,第一计算设备502与移动通信设备504建立配对(例如系缆)(方框605)。第一计算设备502请求企业验证,以便确定与第一计算设备502相关联的企业是否与移动通信设备504可通信耦合的企业相同(方框610)。第一计算设备502尝试通过由所系缆的移动通信设备504提供的网络连接与其所关联的企业建立通信(方框615)。如果建立了连接(方框620),则该连接与第一计算设备502所关联的企业相关联,且因此端口(例如端口580)可被建立或可用于企业安全周界554内的系缆移动通信设备504(方框625)。该端口将允许经由使用例如系缆558或任何其它适合连接的移动通信设备504进行访问。备选地,如果不能建立连接(方框620),则第一计算设备502和移动通信设备504所关联的企业不相同,且因此在企业周界554内将只建立向连接代理526提供接口的端口(例如端口578)。可选地,可在计算设备上建立新的周界,且新的周界可配置有与移动通信设备所连接的企业相关联的另一端口(方框630)。
图7示出了根据图6的流程图进行操作以便确定是否应该将通过与移动通信设备504相关联来提供的连接与第一计算设备502的企业安全周界554相关联的图5的示例通信***。在图7的示例中,移动通信设备504使用通信信道(比如系缆连接)与第一计算设备502配对。通信信道可由第一计算设备502内的网桥管理器590管理。尽管网桥管理器590可使用软件实现,网桥管理器590可使用硬件、软件、固件或其任何适当组合来实现。在通信信道上,可建立多个会话,至少包括链接到移动通信设备504的企业代理522的第一会话(附图标记702)。第一会话具有与企业代理522有关的相关联的套接字(未示出)。网桥管理器590控制对周界内的相关联的套接字的使用,并且以如本文所述的“端口”的形式来暴露相关联的套接字。
在建立了通信信道之后,网桥管理器590实现了对端口708的受限使用(附图标记710)。对端口708的受限使用具有由网桥管理器590执行的安全规则(可选地,还由移动通信设备504处的规则执行),以使得对端口708的受限使用只为第二周界554提供受限的连接。具体地,对端口708的受限使用只提供用于企业管理应用572尝试向企业管理行政服务520进行通信的连接。在建立了对端口708的受限使用之后,网桥管理器590请求(附图标记711)企业管理应用572尝试与第二周界554所关联的企业网络512处的企业管理行政服务520建立通信。对端口708的受限使用使得能够从企业管理应用572通过移动通信设备504的企业代理522传递通信。企业管理应用572在尝试建立通过移动通信设备504的企业代理522到企业管理行政服务520的连接(附图标记712)(比如SSL连接)以及其到企业移动服务器516的连接时,使用对端口708的受限使用。如果企业管理应用572能够通过企业移动服务器516与企业管理行政服务520连接,则第一计算设备502(由提供企业管理行政服务520的企业来管理)必须与移动通信设备504也关联的第一企业网络512相关联。企业管理应用572向网桥管理器590报告(附图标记714)到企业管理行政服务520的连接是否存在,以及如果这种连接确实存在的话,则使得端口708对于企业安全周界554内的其余应用都可用。
虽然上文中对其中测试企业管理行政服务器520和企业移动服务器516之间的连接的测试进行了描述,但是其他测试也是可能的。例如,可使用验证了企业管理行政服务器520与企业移动服务器516是相同网络的一部分的任何测试。图8示出了在执行了图6的过程并且已经确定了第一计算设备502和移动通信设备504都与第一企业网络512相关联之后的图7的***。如图8所示,个人信息管理应用570和企业管理应用572都具有到端口576、端口578和端口580(它们可以是与初始提供的具有受限使用的端口708相同的端口)的访问。此外,企业设备服务器514和企业移动服务器516都具有到公司A应用服务器518和企业管理行政服务520的访问。
虽然前述示例描述了第一计算设备502和移动通信设备504之间的配对(其中第一计算设备502和移动通信设备504都与第一企业网络512相关联),但是也可以出现移动通信设备504不与第一企业网络512相关联的情况。如图所示,移动通信设备504可能不与第一企业网络512相关联,而可以与第二企业网络530相关联。
图9示出了根据图6的流程图进行操作以便确定是否应该将通过移动通信设备504提供的网络连接的虚拟接口与企业安全周界554相关联的图5的示例通信***。如图9所示,移动通信设备504与第一计算设备502可通信耦合。可通过使用软件(比如第一计算设备502的网桥管理器590)来执行这一配对。
在执行了配对之后,网桥管理器590如图8所述建立(附图标记904)对端口708的受限使用。然后网桥管理器590请求(附图标记906)企业管理应用572尝试与第一计算设备502所关联的企业建立通信。企业管理应用572尝试使用端口708来建立通过端口708(以及通过移动通信设备504的企业代理522,以及通过企业移动服务器532)到企业管理行政服务520的连接(附图标记908)(比如SSL连接)。企业管理应用572将不能通过企业移动服务器532与企业管理行政服务520连接,这是因为企业移动服务器532和企业管理行政服务520在不同的企业网络512、530内。企业管理应用572向网桥管理器590报告(附图标记910)不存在到企业管理行政服务520的连接,且因为这种连接不存在,所以没有使得端口708对于企业安全周界554可用。第一通信设备502仍然桥接(系缆)到移动设备504,但其与移动通信设备504的连接代理526直接相关联。因此,企业安全周界554可以使用端口578来获得公共网络访问,但不能使用移动通信设备504的企业代理522。
图10示出了在执行了图6的过程并且已经确定了第一计算设备502和移动通信设备504并不都与第一企业网络512相关联之后的图5的***。如图10所示,个人信息管理应用570具有到企业安全周界554内的端口578的访问。
虽然网桥管理器590被示为在第一通信设备502内工作,但是网桥管理器590也可以部分或完全地在移动通信设备504内工作。例如,网桥管理器590可位于移动通信设备504内并且可经由到第一通信设备502的系缆连接来控制端口562、563、576、578和580。根据本示例,企业代理522可被控制为只在来自端口708的请求是从企业移动应用572作出的请求时才向端口708提供服务。在另一示例中,网桥管理器590可以部分或全部地工作在网络上的另一实体内。例如,企业移动服务或企业设备服务器可容宿网桥管理器590。
可选地,由于网桥管理器590可仲裁到移动通信设备504的企业代理522的访问,所以网桥管理器590可以引起创建包括端口1002的(新的)第三周界1001。
已经描述了本发明的多种实施例。尽管如此,应该理解,在不脱离由权利要求所表示的本发明的范围的情况下,可以进行多种修改。