CN116319935A - 交换机上的非对称应用标识检测 - Google Patents

交换机上的非对称应用标识检测 Download PDF

Info

Publication number
CN116319935A
CN116319935A CN202210394157.1A CN202210394157A CN116319935A CN 116319935 A CN116319935 A CN 116319935A CN 202210394157 A CN202210394157 A CN 202210394157A CN 116319935 A CN116319935 A CN 116319935A
Authority
CN
China
Prior art keywords
engine
packet
ingress interface
tcp session
interface
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210394157.1A
Other languages
English (en)
Inventor
S·莫汉
V·E·帕纳亚姆塔塔
V·德瓦拉贾
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hewlett Packard Enterprise Development LP
Original Assignee
Hewlett Packard Enterprise Development LP
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hewlett Packard Enterprise Development LP filed Critical Hewlett Packard Enterprise Development LP
Publication of CN116319935A publication Critical patent/CN116319935A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/30—Peripheral units, e.g. input or output ports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/35—Switches specially adapted for specific applications
    • H04L49/355—Application aware switches, e.g. for HTTP
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/146—Markers for unambiguous identification of a particular session, e.g. session cookie or URL-encoding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
    • H04L69/162—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields involving adaptations of sockets based mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请的各实施例涉及交换机上的非对称应用标识检测。交换机上的第一入口接口接收用于建立传输控制协议TCP会话的第一控制分组，并且选择在交换机中的第一线卡上运行的第一引擎。第二入口接口接收第二控制分组，并且选择相同的第一引擎。在建立TCP会话之后，通过第一入口接口或第二入口接口被接收的、与TCP会话相关联的数据将被转发给第一引擎。第一入口接口接收第三控制分组，并且向所选择的第一引擎发送通知，该通知指示要被跟踪的TCP会话。第一入口接口或第二入口接口接收具有与TCP会话相关联的有效载荷的第四分组，并且将第四分组的副本转发给所选择的第一引擎，由此促进多个引擎实例支持应用标识。

Description

交换机上的非对称应用标识检测
技术领域
本公开总体上涉及数据管理领域。更具体地，本公开涉及一种用 于交换机上的非对称应用标识检测的方法和***。
附图说明
图1示出了根据本申请的一个方面的具有促进非对称应用标识检 测的实体和通信的环境；
图2A示出了根据本申请的一个方面的客户端、交换机与服务器 之间的通信，包括建立传输控制协议(TCP)会话，以用于促进非对 称应用标识检测；
图2B示出了根据本申请的一个方面的客户端、交换机与服务器 之间的通信，包括建立安全套接字层(SSL)协议和发送数据分组， 以促进非对称应用标识检测；
图3呈现了示出根据本申请的一个方面的促进非对称应用标识检 测的方法的流程图；
图4A呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图；
图4B呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图；
图4C呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图；
图5示出了根据本申请的一个方面的促进非对称应用标识检测的 计算机***；以及
图6示出了根据本申请的一个方面的促进非对称应用标识检测的 装置。
在附图中，相同的附图标记指代相同的附图元素。
具体实施方式
以下描述被呈现以使得本领域任何技术人员能够制作和使用这 些方面和示例，并且在特定应用及其要求的上下文中提供。对于本领 域技术人员来说，对所公开的方面的各种修改将是很清楚的，并且本 文中定义的一般原理可以被应用于其他方面和应用而不背离本公开 的精神和范围。因此，本文中描述的方面不限于所示的方面，而是应 当被赋予与本文中公开的原理和特征一致的最广泛的范围。
基于传输控制协议(TCP)安全套接字层(SSL)业务的应用的 标识对于获取应用可见性可能很重要，即使在应用数据被加密时也是 如此。入侵检测***(IDS)/入侵防御***(IPS)引擎可以通过检 查例如客户端与服务器之间的会话的前5到7个分组来执行应用标识。相比之下，在分布式的基于硬件的交换平台中，业务可能并不总 是被发送到IDS/IPS引擎。相反，可以将新流的副本复制到入口接口 处的IDS/IPS引擎。这可能会带来两个挑战。首先，将所有新流复制 到IDS/IPS引擎可能会导致拒绝服务(DoS)类型的攻击。其次，IDS/IPS 引擎需要查看业务的双方(例如，客户端到服务器和服务器到客户 端)，并且因此需要来自多个刀片/线卡的业务流的副本。因此，可扩 展的***需要IPS/IDS引擎的多个实例。
本申请的所述方面提供了一种***，该***可以运行IDS/IPS引 擎的多个实例并且可以支持分布式硬件交换平台上的大规模应用标 识。交换机(即，交换机中的每个刀片或线卡)可以利用建立标准 TCP会话所涉及的时间(即，在三次TCP握手中使用三个控制分组) 来选择N个IDS/IPS引擎中的一个以向其发送具有与所建立的TCP 会话相关联的有效载荷的数据分组的后续副本。交换机可以包括多个 刀片或线卡，具有对应的入口和出口接口。当客户端与服务器之间建 立TCP会话时，交换机中的客户端入口接口可以选择与服务器入口 接口相同的IDS/IPS引擎，例如，以分布式方式并且基于选择算法。 在建立TCP会话之后，发送的数据分组可以通过客户端和服务器入 口接口中的每个入口接口被转发给所选择的IDS/IPS引擎，该引擎可 以在不同于与客户端和服务器入口接口相关联的线卡上的线卡上运 行。
通常，IDS/IPS引擎可以通过检查客户端与服务器之间的SSL协 议交换，例如，通过对初始加密的应用数据运行启发式方法，来执行 基于SSL的业务的应用标识。针对TCP-SSL业务，SSL握手可以在 三次TCP握手完成之后开始。也就是说，该***可以在开始SSL协议交换或开始应用数据的传输之前首先建立TCP会话，如下面关于 图1、图2A和图2B所述。
因此，通过利用在TCP会话建立期间花费的时间(即，三个控制 分组的传输、接收和处理)并且利用这三个控制分组的有效载荷长度 通常为零的事实，所描述的方面允许交换机的客户端入口接口和服务 器入口接口选择相同的IDS/IPS引擎，以将具有与所建立的TCP会话 相关联的有效载荷的后续数据分组转发给该引擎。此外，如果TCP 会话没有成功建立(即，TCP握手不成功)，则该***不需要创建任 何不必要的刀片间通信或状态。因此，所描述的方面提供了一种***， 该***可以运行IDS/IPS引擎的多个实例(即，在不同刀片或线卡上) 并且可以通过在TCP会话建立期间执行IDS/IPS引擎选择并且将后续 数据分组转发给所选择的IDS/IPS引擎来支持大规模应用标识。
用于促进应用标识的环境
图1示出了根据本申请的一个方面的具有促进非对称应用标识检 测的实体和通信的环境100。环境100可以是以太网、InfiniBand或 其他网络，并且可以使用对应的通信协议，诸如互联网协议(IP)、 以太网光纤通道(FCoE)或其他协议。环境100可以包括很多交换 机和设备。环境100可以包括：分布式隧道结构110，分布式隧道结 构110包括交换机112、114、116、118和120；主机132、134、136、 138、140和142；设备150和152；以及认证服务器154。结构110 可以经由交换机(例如，第3层路由器(未示出))被耦合到外部网 络160。备选地，架构110中的任何交换机都可以被耦合到外部网络 160。主机132-142可以是客户端计算设备，例如膝上型计算机、移 动电话、智能手机、平板计算机、台式计算机和手持设备、或在联网 设备上运行的进程。设备150和152可以是计算设备(例如，服务器、 联网实体和通信设备)。每个交换机可以包括多个刀片或线卡，并且 可以直接被耦合到服务器并且与之通信，或者经由外部网络160被耦 合到服务器并且与之通信。例如，交换机120可以包括：blade_1 122； blade_2 124；blade_3 126；以及blade_N 128。交换机120可以被耦合 到服务器152并且与服务器152通信(经由通信或接入172)，并且 还可以经由外部网络160与服务器150通信(经由通信或接入166和 168)。在一些方面，交换机120可以基于由认证服务器154执行的 操作来认证主机140。主机140的认证可以基于由接入层(未示出) 支持的认证过程，并且可以是基于端口的(例如，IEEE 802.1X)或 基于用户名/密码的认证。
在环境100中，结构110中的相应链路可以是隧道。结构110的 交换机可以形成隧道网。隧道的示例包括但不限于虚拟可扩展局域网 (VXLAN)、通用路由封装(GRE)、使用GRE的网络虚拟化 (NVGRE)、通用联网虚拟化封装(Geneve)和互联网协议安全 (IPsec)。可以在结构110之上部署虚拟专用网络(VPN)，诸如以 太网VPN(EVPN)。结构110还可以包括具有聚合交换机的聚合层 (未示出)，其中相应聚合交换机可以聚合来自一个或多个下游接入交换机的业务，并且还可以通过接入交换机被耦合到接入层(未示 出)，该接入交换机可以促进对主机的接入。
主机可以与结构110的一个或多个交换机通信，并且结构110中 的交换机可以与一个或多个主机通信。主机可以通过经由结构110的 交换机发起与服务器的三次TCP握手来建立与服务器的TCP会话。 例如，主机140可以经由交换机120(经由通信160)向服务器152 发送第一控制分组。交换机120(例如，blade_1 122)上的第一入口 接口162可以接收第一控制分组并且选择在例如blade_3 126上运行 的IDS/IPS引擎。交换机120(例如，blade_2 124)上的出口接口可 以向服务器152发送第一控制分组(经由通信172)。
服务器152可以经由交换机120(经由通信172)向主机140发 送回第二控制分组。第二入口接口170(其与用于向服务器152发送 第一控制分组的出口接口相同)可以接收第二控制分组并且选择在 blade_3 126上运行的相同IDS/IPD引擎。出口接口162(其与用于接 收第一控制分组的第一入口接口相同)可以向主机140发送第二控制 分组(经由通信160)。
主机140可以经由交换机120(经由通信160)向服务器152发 送第三控制分组。交换机120上的第一入口接口162(例如，blade_1 122)可以接收第三控制分组，并且交换机120上的出口接口(例如， blade_2 124)可以将第三控制分组发送到服务器152(经由通信172)。 第一入口接口162还可以向blade_3 126上的所选择的IDS/IPS引擎发 送通知，该通知指示将由所选择的IDS/IPS引擎跟踪的TCP会话，例 如，通过所选择的IDS/IPS引擎的深度分组检查(DPI)模块或组件。 如上所述，主机140可以与服务器152建立TCP会话(其中三个控 制分组穿过出口和入口接口170)，并且还可以与服务器154建立TCP 会话(其中三个控制分组穿过出口和入口接口164，出口和入口接口 164可以与例如blade_N 128相关联)。
这三个控制分组被成功地传输和接收之后，新的TCP会话被建 立。随后，该***可以通过一系列四个SSL控制分组来执行SSL协 议(如下文关于图2B、图4B和图4C所述)。当四个SSL控制分组 中的每个SSL控制分组通过交换机120被接收到时，交换机120可以 将每个SSL控制分组转发给所选择的IDS/IPS引擎。类似地，针对在 建立TCP会话之后通过交换机120被接收的任何分组，交换机120 可以将相应分组转发给所选择的IDS/IPS引擎。也就是说，在建立TCP 会话之后通过第一入口接口或第二接口被接收的、与TCP会话相关 联的数据可以被转发给所选择的IDS/IPS引擎。
该***可以通过基于例如所接收的分组的报头中的字段或信息 的任何组合来动态计算或重新计算引擎选择来执行引擎选择。备选 地，该***可以在第一计算之后高速缓存引擎选择，并且在确定将与 所建立的TCP会话相关联的后续数据分组转发给哪里时使用高速缓 存的引擎选择。
促进应用标识的通信
图2A示出了根据本申请的一个方面的客户端202、交换机204 与服务器208之间的通信200，包括建立TCP会话，以用于促进非对 称应用标识检测。交换机204可以包括多个刀片或线卡(例如，blade_1 205、blade_2 206和blade_3 207)，每个刀片或线卡可以具有入口接 口和出口接口。客户端202可以向交换机204发送第一控制分组 (“TCP SYN 210”)。交换机204的第一入口接口(blade_1 205) 可以接收控制分组210并且执行选择引擎211操作以选择在blade_3 207上运行的IDS/IPS引擎。交换机204上的出口接口(blade_2 206) 可以将第一控制分组(作为“TCP SYN 212”)发送到服务器208。 控制分组212可以指示信息，包括：为客户端202的源到为服务器208 的目的地；分组的类型(“TCP第一SYN”)；TCP序列号为“100”； ACK值为“0”；长度为“0”；入口接口为“blade_1 205”；以及出 口接口为“blade_2206”。
服务器208可以经由交换机240向客户端202发送回第二控制分 组(“TCP SYN ACK214”)。第二入口接口(blade_2 206，其与用 于向服务器208发送第一控制分组212的出口接口相同)可以接收第 二控制分组214并且执行选择引擎215操作以选择在blade_3 207上运行的相同IDS/IPS引擎。控制分组214可以指示信息，包括：为服 务器208的源到为客户端202的目的地；分组的类型(“TCP SYN-ACK”)；TCP序列号为“200”；ACK值为“101”；长度为“0”；入口接口为“blade_2 206”；以及出口接口为“blade_1 205”。 第一入口接口(blade_1205)可以将第二控制分组(作为“TCP SYN ACK 216”)发送到客户端202。
客户端202可以向交换机204发送第三控制分组(“TCP ACK 218”)。交换机204(blade_1 205)的第一入口接口可以接收第三控 制分组218并且执行动作221以向在blade_3 207上运行的所选择的 IDS/IPS引擎发送通知，该通知表明TCP会话已经建立并且将被跟踪。 交换机204上的出口接口(blade_2 206)可以向服务器208发送第三 控制分组(作为“TCP ACK 220”)。控制分组220可以指示信息， 包括：为客户端202的源到为服务器208的目的地；分组的类型(“TCP 第一ACK”)；TCP序列号为“101”；ACK值为“201”；长度为“0”；入口接口为“blade_1 205”；以及出口接口为“blade_2 206”。 通信可以如以下关于图2B所述的那样继续。
图2B示出了根据本申请的一个方面的客户端202、交换机204 与服务器208之间的通信230，包括建立SSL协议和发送数据分组， 以用于促进非对称应用标识检测。图2B中的通信可以在图2A中的 通信200之后发生，并且可以包括四个SSL控制分组。这四个SSL 控制分组可以：指定要使用的SSL或传输层安全(TLS)版本；确定 要使用的密码套件；使用服务器的证书来认证服务器的身份；以及在 建立SSL协议时生成用于加密在客户端与服务器之间传输的消息的 会话密钥。虽然通信230描绘了SSL协议的建立，包括将四个控制分 组中的每个控制分组传输或转发给先前选择的IDS/IPS引擎，但具有 与所建立的TCP会话相关联的分组并且通过第一入口接口或第二入 口接口被接收的任何数据分组可以通过相应入口接口转发给所选择 的IDS/IPS引擎。
客户端202可以向交换机204发送第一SSL控制分组(“SSL CLIENT HELLO 232”)。交换机204(blade_1 205)的第一入口接 口可以接收第一SSL控制分组232并且执行动作235以将分组232 转发给在blade_3 207上运行的所选择的IDS/IPS引擎。交换机204 上的出口接口(blade_2 206)可以将第一SSL控制分组232(作为“SSL CLIENT HELLO 234”)发送给服务器208。SSL控制分组234可以 指示信息，包括：为客户端202的源到为服务器208的目的地；分组 的类型(“SSL Client Hello”)；TCP序列号为“101”；ACK值为 “201”；长度大于“0”；入口接口为“blade_1 205”；以及出口接 口为“blade_2 206”。
在动作235之后，blade_3 207可以接收第一SSL控制分组232。 blade_3 207可以人工或自动生成三个新的控制分组(例如，表示三次 TCP握手的IP和TCP分组)，这可以允许所选择的IDS/IPS引擎继 续进行，就好像TCP会话已经与所选择的IDS/IPS引擎被成功地建立 了一样。
服务器208可以经由交换机240向客户端202发送回第二SSL控 制分组(“SSLSERVER HELLO 236”)。第二入口接口(blade_2 206) 可以接收第二SSL控制分组236并且可以执行动作237以将控制分组 236转发给在blade_3 207上运行的所选择的IDS/IPS引擎。SSL控制 分组236可以包括ServerHello、服务器证书和ServerHelloDone，并 且还可以指示：为服务器208的源到为客户端202的目的地；分组的 类型(“SSL Server Hello”)；TCP序列号为“201”；ACK值为“1xx”； 长度大于“0”；入口接口为“blade_2 206”；以及出口接口为“blade_1 205”。第一入口接口(blade_1 205)可以将第二SSL控制分组236 (作为“SSLSERVER HELLO 238”)发送给客户端202。
随后，客户端202可以向交换机204发送第三SSL控制分组(“SSL CLIENT KEY EXCH240”)，该第三SSL控制分组在交换机204的 第一入口接口(blade_1 205)上接收。Blade_1205上的第一入口接口 可以执行动作243以将分组240转发给在blade_3 207上运行的所选择的IDS/IPS引擎。交换机204上的出口接口(blade_2 206)可以向 服务器208发送第三SSL控制分组240(作为“SSL CLIENT KEY EXCH 242”)。SSL控制分组242可以包括ClientKeyExchange、 ChangeCipherSpec和Finished指示符。
服务器208可以经由交换机240向客户端202发送回第四SSL控 制分组(“SSLSERVER FINISHED 244”)，该第四SSL控制分组 在交换机201的第二入口接口(blade_2206)上接收。SSL控制分组 244可以包括ChangeCipherSpec和Finished指示符。第二入口接口(blade_2 206)可以执行动作245以将分组244转发给在blade_3 207 上运行的所选择的IDS/IPS引擎。第一入口接口(blade_1 205)可以 向客户端202发送第四SSL控制分组244(作为“SSL SERVER FINISHED 246”)。
用于促进应用标识的方法
图3呈现了示出根据本申请的一个方面的促进非对称应用标识检 测的方法的流程图300。在操作期间，该***通过交换机上的第一入 口接口接收用于建立传输控制协议(TCP)会话的第一控制分组(操 作302)。该***通过第一入口接口选择在交换机中的第一线卡上运 行的第一引擎(操作304)。该***通过交换机上的第二入口接口接 收用于建立TCP会话的第二控制分组(操作306)。该***通过第二 入口接口选择在第一线卡上运行的相同的第一引擎，其中在建立TCP 会话之后通过第一入口接口或第二入口接口被接收的、与TCP会话 相关联的数据将被转发给所选择的第一引擎(操作308)。
该***通过第一入口接口接收用于建立TCP会话的第三控制分 组(操作310)。该***通过第一入口接口向所选择的第一引擎发送 通知，该通知指示将由第一引擎跟踪的TCP会话(操作312)。该系 统通过第一入口接口或第二入口接口接收具有与TCP会话相关联的 有效载荷的第四分组(操作314)。该***通过第一入口接口或第二 入口接口将第四分组的副本转发给所选择的第一引擎，由此促进多个 引擎实例支持应用标识(操作316)。
图4A呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图400。在操作期间，该***通过交换机上的第一 入口接口接收用于建立传输控制协议(TCP)会话的第一控制分组(操 作402)。该***通过第一入口接口选择在交换机中的第一线卡上运 行的第一引擎(操作404)。该***通过交换机上的第二入口接口接 收用于建立TCP会话的第二控制分组(操作406)。该***通过第二 入口接口选择在第一线卡上运行的相同的第一引擎，其中在建立TCP 会话之后通过第一入口接口或第二入口接口被接收的、与TCP会话 相关联的数据将被转发给所选择的第一引擎(操作408)。该***通 过第一入口接口接收用于建立TCP会话的第三控制分组(操作410)。 该***通过第一入口接口向所选择的第一引擎发送通知，该通知指示 将由第一引擎跟踪的TCP会话(操作412)。
如果第三数据分组的有效载荷的长度大于零(判决414)，则该 ***将第三数据分组的副本转发给所选择的第一引擎(操作416)， 并且如果第三控制分组的有效载荷的长度为零(判决414)，则该系 统通过第一入口接口将与第三控制分组相关联的流视为活动流(操作 418)。操作在图4B的标签A处继续。
图4B呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图420。该***通过第一入口接口接收具有与TCP 会话相关联的有效载荷的第四分组，其中第四分组包括第一SSL控制 分组(操作422)。该***通过第一入口接口将第四分组的副本转发 给所选择的第一引擎(操作424)。该***通过所选择的第一引擎接 收第四分组(操作426)。该***通过所选择的第一引擎生成三个新 的控制分组，这允许所选择的第一引擎继续进行，就好像TCP会话 针对所选择的第一引擎被成功地建立了一样(操作428)。
该***通过第二入口接口接收具有与TCP会话相关联的有效载 荷的第五分组，其中第五分组包括第二SSL控制分组(操作430)。 该***通过第二入口接口将第五分组的副本转发给所选择的第一引 擎(操作432)。该***通过所选择的第一引擎接收第五分组(操作 434)，并且操作在图4C的标签B处继续。
图4C呈现了示出根据本申请的一个方面的促进非对称应用标识 检测的方法的流程图440。该***通过第一入口接口接收具有与TCP 会话相关联的有效载荷的第六分组，其中第六分组包括第三SSL控制 分组(操作442)。该***通过第一入口接口将第六分组的副本转发 给所选择的第一引擎(操作444)。该***通过所选择的第一引擎接 收第六分组(操作446)。该***通过第二入口接口接收具有与TCP 会话相关联的有效载荷的第七分组，其中第七分组包括第四SSL控制 分组(操作448)。该***通过第二入口接口将第七分组的副本转发 给所选择的第一引擎(操作450)。该***通过所选择的第一引擎接 收第七分组(操作452)。在建立TCP会话之后，该***通过第一入 口接口或第二入口接口接收具有与TCP会话相关联的有效载荷的附 加分组(操作454)。该***通过第一入口接口或第二入口接口将附 加分组的副本转发给所选择的第一引擎，由此促进多个引擎实例支持 应用标识(操作456)。注意，虽然操作454和456被描绘为在SSL 协议之后发生，但是操作454和456可以在TCP会话建立之后(例 如，上面在图4A的流程图400中描述的用于建立TCP会话的操作之后)的任何时间发生。
计算机***和设备
图5示出了根据本申请的一个方面的促进非对称应用标识检测的 计算机***500。计算机***500包括处理器502、易失性存储器506 和存储设备508。易失性存储器506可以包括例如随机存取存储器 (RAM)，该RAM用作受管理存储器并且可以用于存储一个或多个 存储器池。存储设备508可以包括可以经由处理器502来管理或访问 的持久存储。此外，计算机***500可以被耦合到***输入/输出(I/O) 用户设备510，例如显示设备511、键盘512、和指点设备514。存储 设备508可以存储操作***516、内容处理***518和数据534。
内容处理***518可以包括指令，该指令在由计算机***500执 行时可以使得计算机***500或处理器502执行本公开中描述的方法 和/或过程。具体地，内容处理***518可以包括用于接收和传输控制 分组和数据分组的指令(通信模块520)。
内容处理***518还可以包括用于通过交换机上的第一入口接口 接收用于建立传输控制协议(TCP)会话的第一控制分组的指令(第 一接口管理模块522)。内容处理***518可以包括用于通过第一入 口接口选择在交换机中的第一线卡上运行的第一引擎的指令(引擎选 择模块524)。内容处理***518可以包括用于通过交换机上的第二 入口接口接收用于建立TCP会话的第二控制分组的指令(第二接口 管理模块526)。内容处理***518还可以包括用于通过第二入口接 口选择在第一线卡上运行的相同的第一引擎的指令，其中在建立TCP 会话之后通过第一入口接口或第二入口接口被接收的、与TCP会话 相关联的数据将被转发给所选择的第一引擎(引擎选择模块524)。 内容处理***518可以包括用于通过第一入口接口接收用于建立TCP 会话的第三控制分组的指令(第一接口管理模块522)。内容处理系 统518可以包括用于通过第一入口接口向所选择的第一引擎发送通知 的指令，该通知指示将由第一引擎跟踪的TCP会话(会话通知模块 528)。内容处理***518还可以包括用于通过第一入口接口或第二 入口接口接收具有与TCP会话相关联的有效载荷的第四分组的指令 (通信模块520、第一接口管理模块522或第二接口管理模块526)。 内容处理***518可以包括用于通过第一入口接口或第二入口接口将 第四分组的副本转发给所选择的第一引擎的指令，由此促进多个引擎 实例以支持应用标识(分组转发模块530)。
内容处理***518可以另外包括用于在第一入口接口将第四分组 的副本转发给所选择的第一引擎之后通过所选择的第一引擎接收第 四分组的指令(通信模块520和分组转发模块530)、以及用于通过 所选择的第一引擎生成三个新的控制分组的指令，这允许所选择的第 一引擎继续进行，就好像TCP会话针对所选择的第一引擎被成功地 建立了一样(自动TCP控制分组生成模块532)。
数据534可以包括本公开中描述的方法和/或过程作为输入而需 要或作为输出而生成的任何数据。具体地，数据534至少可以存储： 分组；控制分组；TCP控制分组；SSL控制分组；交换机、入口接口 或出口接口的标识符；关于TCP会话是否已经成功建立的指示符；所选择的引擎；所选择的IDS/IPS引擎；有效载荷；TCP序列号；确 认号码；长度；长度的值为零或更大；通知；如关于三个TCP控制 分组(图2A)或四个SSL控制分组(图2B)而描述的信息；活动流 的指示符；报头信息；新的控制分组；以及自动生成的控制分组。
图6示出了根据本申请的一个方面的促进非对称应用标识检测的装 置600。装置600可以包括多个单元或装置，这些单元或装置可以经由 有线、无线、量子光或电通信信道彼此通信。装置600可以使用一个或 多个集成电路而被实现，并且可以包括比图6所示的更少或更多的单元 或装置。此外，装置600可以集成在计算机***中，或实现为能够与其 他计算机***和/或设备通信的一个或多个单独的设备。装置600也可以 是具有被配置为执行本文中描述(包括关于图1、图2A、图2B、图3、 图4A、图4B和图4C)的操作的逻辑的交换机。
装置600还可以包括非易失性存储***或存储器管理单元。装置 600可以包括模块或单元602-614，模块或单元602-614被配置为执行 类似于图5的计算机***500的模块520-532的功能或操作，包括： 通信单元602；第一接口管理单元604；引擎选择单元606；第二接口 管理单元608；会话通知单元610；分组转发单元612；以及自动TCP 控制分组生成单元614。
总体上，所公开的方面提供了一种促进检测计算机***中的存储 器使用中的尖峰的***。在一个方面，在操作期间，该***通过交换 机上的第一入口接口接收用于建立传输控制协议(TCP)会话的第一 控制分组。该***通过第一入口接口选择在交换机中的第一线卡上运 行的第一引擎。该***通过交换机上的第二入口接口接收用于建立 TCP会话的第二控制分组。该***通过第二入口接口选择在第一线卡 上运行的相同的第一引擎，其中在建立TCP会话之后通过第一入口 接口或第二入口接口被接收的、与TCP会话相关联的数据将被转发 给所选择的第一引擎。该***通过第一入口接口接收用于建立TCP 会话的第三控制分组。该***通过第一入口接口向所选择的第一引擎 发送通知，该通知指示将由第一引擎跟踪的TCP会话。该***通过 第一入口接口或第二入口接口接收具有与TCP会话相关联的有效载 荷的第四分组。该***通过第一入口接口或第二入口接口将第四分组 的副本转发给所选择的第一引擎，由此促进多个引擎实例支持应用标 识。
在这个方面的另外的变型中，交换机在分布式隧道结构中操作， 第一入口接口与和分布式隧道结构交互的客户端相关联，并且第二入 口接口与在分布式隧道结构中操作的服务器相关联。
在另外的变型中，第一引擎和多个引擎实例各自包括入侵检测系 统/入侵防御***(IDS/IDS)模块或组件。
在另外的变型中，建立TCP会话包括成功地传输和接收第一控制 分组、第二控制分组和第三控制分组，并且还包括执行成功的三次 TCP握手。
在另外的变型中，发送指示TCP会话的通知是响应于第一入口接 口接收到第三控制分组的。
在另外的变型中，响应于确定第三控制分组的有效载荷的长度大 于零，该***将第三分组的副本转发给所选择的第一引擎。响应于确 定第三控制分组的有效载荷的长度为零，该***通过第一入口接口将 与第三控制分组相关联的流视为活动流。
在另外的变型中，第四分组中的报头信息将第四分组与所建立的 TCP会话相关联。
在另外的变型中，第四分组是SSL分组，并且包括ClientHello 分组。
在另外的变型中，在第一入口接口将第四分组的副本转发给所选 择的第一引擎之后，该***通过所选择的第一引擎接收第四分组。该 ***通过所选择的第一引擎生成三个新的控制分组，这允许所选择的 第一引擎继续进行，就好像TCP会话针对所选择的第一引擎被成功 地建立了一样。
在另外的变型中，生成三个新的控制分组基于来自第四分组的报 头信息。
本详细描述中描述的数据结构和代码通常被存储在计算机可读 存储介质上，该存储介质可以是可以存储代码和/或数据以用于计算机 ***使用的任何设备或介质。计算机可读存储介质包括但不限于易失 性存储器、非易失性存储器、磁和光存储设备，诸如磁盘驱动器、磁 带、CD(压缩盘)、DVD(数字多功能盘或数字视频盘)、或能够 存储现在已知或以后开发的计算机可读介质的其他介质。
详细描述部分中描述的方法和过程可以体现为代码和/或数据，该 代码和/或数据可以被存储在如上所述的计算机可读存储介质中。当计 算机***读取并且执行被存储在计算机可读存储介质上的代码和/或 数据时，计算机***执行被体现为数据结构和代码并且被存储在计算 机可读存储介质内的方法和过程。
此外，上述方法和过程可以被包括在硬件设备或装置中。例如， 硬件设备或装置可以包括但不限于专用集成电路(ASIC)芯片、现场 可编程门阵列(FPGA)、在特定时间执行特定软件程序或代码的专 用或共享处理器、以及现在已知或以后开发的其他可编程逻辑设备。 当硬件设备或装置被激活时，硬件模块执行其中包括的方法和过程。
仅出于说明和描述的目的而呈现了对各方面的前述描述。它们并 非旨在穷举或将本文中描述的方面限制为所公开的形式。因此，对于 本领域技术人员来说，很多修改和变化将是很清楚的。此外，上述公 开内容并非旨在限制本文所述的方面。本文所述的方面的范围由所附 权利要求限定。

Claims (20)

1.一种计算机实现的方法，包括：
通过交换机上的第一入口接口接收用于建立传输控制协议TCP会话的第一控制分组；
通过所述第一入口接口选择在所述交换机中的第一线卡上运行的第一引擎；
通过所述交换机上的第二入口接口接收用于建立所述TCP会话的第二控制分组；
通过所述第二入口接口选择在所述第一线卡上运行的相同的所述第一引擎，其中在建立所述TCP会话之后，通过所述第一入口接口或所述第二入口接口被接收的、与所述TCP会话相关联的数据将被转发给所选择的所述第一引擎；
通过所述第一入口接口接收用于建立所述TCP会话的第三控制分组；
通过所述第一入口接口向所选择的所述第一引擎发送通知，所述通知指示将由所述第一引擎跟踪的所述TCP会话；
通过所述第一入口接口或所述第二入口接口接收具有与所述TCP会话相关联的有效载荷的第四分组；以及
通过所述第一入口接口或所述第二入口接口将所述第四分组的副本转发给所选择的所述第一引擎，
由此促进多个引擎实例支持应用标识。
2.根据权利要求1所述的方法，
其中所述交换机在分布式隧道结构中操作，
其中所述第一入口接口与和所述分布式隧道结构交互的客户端相关联，以及
其中所述第二入口接口与在所述分布式隧道结构中操作的服务器相关联。
3.根据权利要求1所述的方法，
其中所述第一引擎和所述多个引擎实例各自包括入侵检测***/入侵防御***IDS/IDS模块或组件。
4.根据权利要求1所述的方法，
其中建立所述TCP会话包括成功地传输和接收所述第一控制分组、所述第二控制分组和所述第三控制分组，并且还包括执行成功的三次TCP握手。
5.根据权利要求1所述的方法，
其中发送指示所述TCP会话的所述通知是响应于所述第一入口接口接收到所述第三控制分组的。
6.根据权利要求1所述的方法，还包括：
响应于确定所述第三控制分组的有效载荷的长度大于零，将所述第三分组的副本转发给所选择的所述第一引擎；以及
响应于确定所述第三控制分组的所述有效载荷的所述长度为零，通过所述第一入口接口将与所述第三控制分组相关联的流视为活动流。
7.根据权利要求1所述的方法，
其中所述第四分组中的报头信息将所述第四分组与所建立的所述TCP会话相关联。
8.根据权利要求1所述的方法，
其中所述第四分组是SSL分组，并且包括ClientHello分组。
9.根据权利要求1所述的方法，还包括：
在所述第一入口接口将所述第四分组的所述副本转发给所选择的所述第一引擎之后，通过所选择的所述第一引擎接收所述第四分组；以及
通过所选择的所述第一引擎生成三个新的控制分组，这允许所选择的所述第一引擎继续进行，就好像所述TCP会话针对所选择的所述第一引擎被成功地建立了一样。
10.根据权利要求9所述的方法，
其中生成所述三个新的控制分组基于来自所述第四分组的报头信息。
11.一种计算机***，包括：
处理器；以及
存储器，被耦合到所述处理器并且存储指令，所述指令在由所述处理器执行时，使得所述处理器执行方法，所述方法包括：
通过交换机上的第一入口接口接收用于建立传输控制协议TCP会话的第一控制分组；
通过所述第一入口接口选择在所述交换机中的第一线卡上运行的第一引擎；
通过所述交换机上的第二入口接口接收用于建立所述TCP会话的第二控制分组；
通过所述第二入口接口选择在所述第一线卡上运行的相同的所述第一引擎，其中在建立所述TCP会话之后，通过所述第一入口接口或所述第二入口接口被接收的、与所述TCP会话相关联的数据将被转发给所选择的所述第一引擎；
通过所述第一入口接口接收用于建立所述TCP会话的第三控制分组；
通过所述第一入口接口向所选择的所述第一引擎发送通知，所述通知指示将由所述第一引擎跟踪的所述TCP会话；
通过所述第一入口接口或所述第二入口接口接收具有与所述TCP会话相关联的有效载荷的第四分组；以及
通过所述第一入口接口或所述第二入口接口将所述第四分组的副本转发给所选择的所述第一引擎，
由此促进多个引擎实例支持应用标识。
12.根据权利要求11所述的计算机***，
其中所述交换机在分布式隧道结构中操作，
其中所述第一入口接口与和所述分布式隧道结构交互的客户端相关联，
其中所述第二入口接口与在所述分布式隧道结构中操作的服务器相关联，并且
其中所述第一引擎和所述多个引擎实例各自包括入侵检测***/入侵防御***IDS/IDS模块或组件。
13.根据权利要求11所述的计算机***，
其中建立所述TCP会话包括成功地传输和接收所述第一控制分组、所述第二控制分组和所述第三控制分组，并且还包括执行成功的三次TCP握手。
14.根据权利要求11所述的计算机***，
其中发送指示所述TCP会话的所述通知是响应于所述第一入口接口接收到所述第三控制分组的。
15.根据权利要求11所述的计算机***，其中所述方法还包括：
响应于确定所述第三控制分组的有效载荷的长度大于零，将所述第三分组的副本转发给所选择的所述第一引擎；以及
响应于确定所述第三控制分组的所述有效载荷的所述长度为零，通过所述第一入口接口将与所述第三控制分组相关联的流视为活动流。
16.根据权利要求11所述的计算机***，
其中所述第四分组中的报头信息将所述第四分组与所建立的所述TCP会话相关联。
17.根据权利要求11所述的计算机***，其中所述方法还包括：
在所述第一入口接口将所述第四分组的所述副本转发给所选择的所述第一引擎之后，通过所选择的所述第一引擎接收所述第四分组；以及
通过所选择的所述第一引擎生成三个新的控制分组，这允许所选择的所述第一引擎继续进行，就好像所述TCP会话针对所选择的所述第一引擎被成功地建立了一样。
18.一种存储指令的非暂态计算机可读存储介质，所述指令在由计算机执行时，使得所述计算机执行方法，所述方法包括：
通过交换机上的第一入口接口接收用于建立传输控制协议TCP会话的第一控制分组；
通过所述第一入口接口选择在所述交换机中的第一线卡上运行的第一引擎；
通过所述交换机上的第二入口接口接收用于建立所述TCP会话的第二控制分组；
通过所述第二入口接口选择在所述第一线卡上运行的相同的所述第一引擎，其中在建立所述TCP会话之后，通过所述第一入口接口或所述第二入口接口被接收的、与所述TCP会话相关联的数据将被转发给所选择的所述第一引擎；
通过所述第一入口接口接收用于建立所述TCP会话的第三控制分组；
通过所述第一入口接口向所选择的所述第一引擎发送通知，所述通知指示将由所述第一引擎跟踪的所述TCP会话；
通过所述第一入口接口或所述第二入口接口接收具有与所述TCP会话相关联的有效载荷的第四分组；以及
通过所述第一入口接口或所述第二入口接口将所述第四分组的副本转发给所选择的所述第一引擎，
由此促进多个引擎实例支持应用标识。
19.根据权利要求18所述的存储介质，
其中所述交换机在分布式隧道结构中操作，
其中所述第一入口接口与和所述分布式隧道结构交互的客户端相关联，
其中所述第二入口接口与在所述分布式隧道结构中操作的服务器相关联，并且
其中所述第一引擎和所述多个引擎实例各自包括入侵检测***/入侵防御***IDS/IDS模块或组件。
20.根据权利要求18所述的存储介质，其中所述方法还包括：
响应于确定所述第三控制分组的有效载荷的长度大于零，将所述第三分组的副本转发给所选择的所述第一引擎；
响应于确定所述第三控制分组的所述有效载荷的所述长度为零，通过所述第一入口接口将与所述第三控制分组相关联的流视为活动流；
在所述第一入口接口将所述第四分组的所述副本转发给所选择的所述第一引擎之后，通过所选择的所述第一引擎接收所述第四分组；以及
通过所选择的所述第一引擎生成三个新的控制分组，这允许所选择的所述第一引擎继续进行，就好像所述TCP会话针对所选择的所述第一引擎被成功地建立了一样。
CN202210394157.1A 2021-12-07 2022-04-14 交换机上的非对称应用标识检测 Pending CN116319935A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US17/544,493 2021-12-07
US17/544,493 US11805078B2 (en) 2021-12-07 2021-12-07 Asymmetric application identification detection on switches

Publications (1)

Publication Number Publication Date
CN116319935A true CN116319935A (zh) 2023-06-23

Family

ID=86382301

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210394157.1A Pending CN116319935A (zh) 2021-12-07 2022-04-14 交换机上的非对称应用标识检测

Country Status (3)

Country Link
US (1) US11805078B2 (zh)
CN (1) CN116319935A (zh)
DE (1) DE102022108388A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020035681A1 (en) * 2000-07-31 2002-03-21 Guillermo Maturana Strategy for handling long SSL messages
CN102195875A (zh) * 2010-03-16 2011-09-21 马维尔以色列(M.I.S.L.)有限公司 组合式硬件/软件转发机制和方法
US20140282823A1 (en) * 2013-03-15 2014-09-18 Enterasys Networks, Inc. Device and related method for establishing network policy based on applications
WO2014151591A2 (en) * 2013-03-15 2014-09-25 Enterasys Networks, Inc. A device, a system and a related method for dynamic traffic mirroring and policy, and the determination of applications running on a network
US20160119374A1 (en) * 2014-10-28 2016-04-28 International Business Machines Corporation Intercepting, decrypting and inspecting traffic over an encrypted channel

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7908472B2 (en) * 2001-07-06 2011-03-15 Juniper Networks, Inc. Secure sockets layer cut through architecture
US7430755B1 (en) * 2002-09-03 2008-09-30 Fs Networks, Inc. Method and system for providing persistence in a secure network access
US20070192845A1 (en) * 2006-02-07 2007-08-16 Xoom Corporation System and method for passively detecting a proxy
US9413727B2 (en) * 2014-10-23 2016-08-09 Aruba Networks, Inc. Method and apparatus for content filtering on SPDY connections

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020035681A1 (en) * 2000-07-31 2002-03-21 Guillermo Maturana Strategy for handling long SSL messages
CN102195875A (zh) * 2010-03-16 2011-09-21 马维尔以色列(M.I.S.L.)有限公司 组合式硬件/软件转发机制和方法
US20140282823A1 (en) * 2013-03-15 2014-09-18 Enterasys Networks, Inc. Device and related method for establishing network policy based on applications
WO2014151591A2 (en) * 2013-03-15 2014-09-25 Enterasys Networks, Inc. A device, a system and a related method for dynamic traffic mirroring and policy, and the determination of applications running on a network
US20160119374A1 (en) * 2014-10-28 2016-04-28 International Business Machines Corporation Intercepting, decrypting and inspecting traffic over an encrypted channel

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MICHAEL J. DE LUCIA等: "Identifying and detecting applications within TLS traffic", PROCEEDINGS VOLUME 10630, CYBER SENSING 2018, 3 May 2018 (2018-05-03) *
李宁 等: "基于分布式隧道模型的SSL VPN 的设计和实现", 计算机工程与科学, vol. 30, no. 8, 15 August 2008 (2008-08-15) *

Also Published As

Publication number Publication date
US20230179544A1 (en) 2023-06-08
US11805078B2 (en) 2023-10-31
DE102022108388A1 (de) 2023-06-07

Similar Documents

Publication Publication Date Title
EP3785412B1 (en) Dynamic scaling of virtual private network connections
US20180124052A1 (en) Facilitating secure network traffic by an application delivery controller
US10027761B2 (en) Facilitating a secure 3 party network session by a network device
US9838434B2 (en) Creating and managing a network security tag
US9456002B2 (en) Selective modification of encrypted application layer data in a transparent security gateway
US9961103B2 (en) Intercepting, decrypting and inspecting traffic over an encrypted channel
CN112333143B (zh) 经代理安全会话的粒度卸载
US11115391B2 (en) Securing end-to-end virtual machine traffic
EP2362586B1 (en) System and method for data communication between a user terminal and a gateway via a network node
US11777915B2 (en) Adaptive control of secure sockets layer proxy
US20210143997A1 (en) Deterministic distribution of rekeying procedures for a scaling virtual private network (vpn)
US20240146728A1 (en) Access control method, access control system, and related device
KR101971995B1 (ko) 보안을 위한 보안 소켓 계층 복호화 방법
US11805078B2 (en) Asymmetric application identification detection on switches
US11979457B2 (en) Managing network services using multipath protocols
US8453205B1 (en) Secure network services via daemons
US11625491B1 (en) Managing network traffic with sensitive data
JP2024525557A (ja) アクセス制御方法、アクセス制御システム、および関連デバイス

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination