[发明专利]基于策略的网络体系结构

摘要

一种用于一机构的统一式策略管理系统包括一个中央策略服务器和多个位于远处的策略实施器。按附带着面向分层对象的结构的LDAP数据库，配置存储着策略设置的中央数据库以及各策略实施器数据库。这种结构能以直观及可扩展的方式定义策略设置。把在中央策略服务器上作出的策略设置改变直接传送给策略实施器以更新它们各自的数据库。每个策略实施器以预定义的日志格式收集健康和状态信息，并发送给策略服务器以便由策略服务器有效监视。为了更高的效率，有效地分割策略实施器的策略实施功能，从而易于用硬件实现。该系统还提供动态路由的各VPN，其中自动建立各VPN会员资格表并和成员策略实施器共享它们。还自动地向远程VPN客户传送对这些会员资格表的更新。通过允许定义VPN内的防火墙规则组，该系统还对VPN中的通话提供细粒度访问控制。另外，通过在主单元外还保持一个备份单元，可高可用性地配置策略服务器和策略实施器。一旦主单元出故障，备份单元就变为现用。

主权项

1.一种用于管理一机构内的策略服务的系统，该机构包括一个具有第一组资源的第一网络和一个远离第一网络的具有第二组资源的第二网络，该系统包括：和第一网络关联的第一边缘部件，第一边缘部件配置成根据存储在第一数据库中的第一策略设置，管理用于第一网络和第一组资源的策略组；和第二网络关联的第二边缘部件，第二边缘部件配置成根据存储在第二数据库中的第二策略设置，管理用于第二网络和第二组资源的策略组；以及一个和第一、第二边缘部件通信的中央策略服务器，该中央策略服务器配置成定义第一和第二策略设置和从单个位置管理第一和第二边缘部件。