一种控制应用访问网络的方法和系统与流程

本申请涉及网络接入限制领域，尤其涉及一种控制应用访问网络的方法和系统。

背景技术：

随着移动设备的飞速发展，智能手机、平板电脑等移动设备在企业中的使用也越来越广泛。如何对移动设备进行集中管理和控制，是目前企业管理诸多问题中比较关键的一个问题。EMM(企业移动管理)系统的产生，很好的解决了企业的这个难题。EMM是当前企业在移动信息化运营过程中，可以借助的重要管理平台，从而可完成对企业应用的部署、管控。前面所称管理平台，是管理员管理和操作EMM系统的操作界面，属于服务器端的一部分。

然而，移动设备的普及使人们更方便地使用互联网，但是在很多情况下需要限制使用网络，比如在涉密的场所；再比如，在召开重要会议时，如果大家在会议期间通过微信、QQ等使用网络，非常影响会议的质量和效果。面对这种情况，如何灵活的控制应用使用网络的问题，摆在我们面前。

对于限制使用网络，一般是关闭WiFi热点、屏蔽信号，但是这种解决方法是“一刀切”的办法，可以解决一部分情况；但是在移动终端上的某些应用需要上网，而要限制其他应用上网的情况，上面的解决办法就不可行了。

技术实现要素：

本申请的目标在于提供一种灵活控制移动设备上的应用访问网络的方法和系统。

本申请的目标由一种控制应用访问网络的方法实现，该方法包括：

使企业移动管理EMM客户端接收或拉取应用访问网络的管控策略；

响应于满足所述管控策略包含的条件，使EMM客户端将所述管控策略包含的网络管控参数传给网络权限控制模块；

所述网络权限控制模块调用底层的网络模块接口并将所述网络管控参数传入所述网络模块；

所述网络模块根据所述网络管控参数生成防火墙规则并将所述防火墙规则写入系统内核。

根据本申请方法的一方面，该方法还包括：

所述EMM客户端在接收或拉取所述管控策略之后，验证所述管控策略是否是分发给所述EMM客户端所在设备的管控策略。

根据本申请方法的一方面，该方法还包括：

所述网络权限控制模块在接收到所述网络管控参数之后，对所述网络管控参数进行合法性校验。

根据本申请方法的一方面，该方法还包括：

响应于所述管控策略包含的条件不再被满足，解除所述管控策略对应的管控。

本申请的目标还由一种控制应用访问网络的系统实现，该系统包括：

策略接收模块，用于使企业移动管理EMM客户端接收或拉取应用访问网络的管控策略；

网络权限控制模块接口调用模块，用于响应于满足所述管控策略包含的条件，使EMM客户端将所述管控策略包含的网络管控参数传给网络权限控制模块；

网络模块接口调用模块，用于使所述网络权限控制模块调用底层的网络模块接口并将所述网络管控参数传入所述网络模块；

防火墙规则生成模块，用于使所述网络模块根据所述网络管控参数生成防火墙规则并将所述防火墙规则写入系统内核。

本发明通过EMM服务器配置相应的管控策略，然后把管控策略下发到移动终端，移动终端上的EMM客户端接收管控策略后，调用网络权限控制模块接口完成相关设置，从而实现根据管控者的配置灵活管控移动终端的目的。管控策略可根据需要灵活配置。

例如，管理员首先根据需要，比如会议场景或者保密场景，梳理需求，配置管控策略，这里的管控策略是针对具体的一个或多个应用，同时可以包含地理位置、时间规则，以及WiFi和移动数据等网络通道等配置；然后下发管控策略给具体的管控对象，如进入第一会议室的移动设备等。移动设备接收到该管控策略后，会自动的执行。

本发明实现了基于应用的细粒度管控，同时配置灵活的特性可以满足多种使用场景，从而解决了企业信息化过程中遇到的基于应用的细粒度的上网管控问题。

附图说明

本发明将在下面参考附图并结合优选实施例进行更完全地说明。

图1为根据本发明方法的一实施例的流程图。

图2为根据本发明系统的一实施例的结构示意图。

为清晰起见，这些附图均为示意性及简化的图，它们只给出了对于理解本发明所必要的细节，而省略其他细节。

具体实施方式

通过下面给出的详细描述，本发明的适用范围将显而易见。然而，应当理解，在详细描述和具体例子表明本发明优选实施例的同时，它们仅为说明目的给出。

图1示出了根据本发明方法一实施例的流程图，该方法用于控制移动设备上的应用访问网络，该方法包括：在步骤S10，使移动设备上的EMM客户端从EMM服务器接收或拉取应用访问网络的管控策略。该管控策略由企业的管理员根据需要进行配置。管控策略可包括下列内容：

1、管控应用列表：列出具体管控的应用列表，接受管控的应用可以是一个，也可以是多个。

2、网络通道：WiFi管控和移动数据管控，与具体的应用相关，可以灵活组合。其中，WiFi管控，例如禁止通过WiFi上网，也可以配置成允许通过WiFi上网。移动数据管控，例如禁止通过移动数据上网，也可以配置成允许通过移动数据上网。移动数据是指4G、3G、2G等网络连接类型。

3、附加规则：本说明书中的附加规则是指对上网应用管控的条件。有了附加规则的限制，使管控更灵活方便。附加规则可以根据需要选择下面的一个或多个。

1)时间规则：根据时间段来配置管控策略，例如2016/5/27 10:00-11:00，在这个时间段内接受管控；例如，根据某一天或者某几天管控，比如周一到周五等；

2)位置规则：位置信息可以是GPS定位、通信基站等；

3)标签规则：标签可以表示具体的会议室、办公大楼如第一会议室或者符合某个规则的集合如非工作日。

例如，如果有下列需求：在第一会议室里面的所有受控的移动设备，在规定的时间内(2016/5/27 10:00-11:00)，APP1和APP2不能使用WiFi和移动数据网络。

根据上述的管控需求，可以配置如下管控策略：

-管控应用：APP1、APP2；

-网络通道：微信，禁止WiFi、禁止移动数据；

QQ，禁止WiFi、禁止移动数据；

-附加规则：时间规则，2016/5/27 10:00-11:00

标签规则，第一会议室

在EMM客户端接收到管控策略之后，当管控策略包含的条件被满足时，在上面的例子中，即当时间为2016/5/27 10:00且地点在第一会议室时，处理进行到步骤S20，EMM客户端在系统中作为系统服务将所述管控策略包含的网络管控参数传给网络权限控制模块。在此，网络管控参数包括管控的应用ID和各应用对应的管控网络通道类型如wifi或者移动数据等。之后，处理进行到步骤S30，网络权限控制模块在接收到所述网络管控参数之后，对所述网络管控参数进行合法性校验。如果校验通过，则处理进行到步骤S40，网络权限控制模块调用底层的网络模块接口并将所述网络管控参数传入所述网络模块。这里，EMM客户端不能直接调用网络模块接口，是因为网络模块是属于底层的接口，没有提供对外的接口调用方式。要想调用网络模块接口，必须通过网络权限控制模块的API调用来实现。之后，在步骤S50，网络模块根据所述网络管控参数生成防火墙规则并将所述防火墙规则写入系统内核，实现对应用访问网络的管控。如果在步骤S30，合法性校验未通过，则处理结束。

在其它实施例中，除图1所示实施例所包含的步骤之外，还可包括下述一个或多个步骤。例如，EMM客户端在接收或拉取所述管控策略之后，还包括验证所述管控策略是否是分发给EMM客户端所在设备的管控策略。在实施例中，验证包括将所述管控策略包分发协议中包含的目的地设备ID与本地设备ID进行比较。如果二者相等，则是分发给EMM客户端所在的设备，然后可继续执行步骤S20；否则，处理结束。又例如，响应于所述管控策略包含的条件不再被满足，解除所述管控策略对应的管控。具体地讲，例如在上面的例子中，当时间超过2016/5/27 11:00或者当移动设备不再处于第一会议室时，则表明不再满足管控策略包含的条件，此时应解除管控策略对应的管控。解除管控所执行的处理与步骤S20-S50类似，但在传输的网络管控参数中，禁止/限制访问网络的权限改变为开启相应的网络访问权限。例如，10:00-11:00时间内不允许应用app1使用网络，那么EMM客户端在10:00时调用网络权限控制模块接口，关闭应用app1的网络访问权限。在11:00时，调用网络权限控制模块接口，开启应用app1的网络访问权限。

图2示出了根据本发明的控制应用访问网络的系统的一实施例的结构示意图，该系统包括：策略接收模块10，用于使企业移动管理EMM客户端接收或拉取应用访问网络的管控策略；验证模块20，用于使所述EMM客户端在接收或拉取所述管控策略之后，验证所述管控策略是否是分发给所述EMM客户端所在设备的管控策略；网络权限控制模块接口调用模块30，用于响应于满足所述管控策略包含的条件，使EMM客户端将所述管控策略包含的网络管控参数传给网络权限控制模块；校验模块40，用于使所述网络权限控制模块在接收到所述网络管控参数之后，对所述网络管控参数进行合法性校验；网络模块接口调用模块50，用于使所述网络权限控制模块调用底层的网络模块接口并将所述网络管控参数传入所述网络模块；防火墙规则生成模块60，用于使所述网络模块根据所述网络管控参数生成防火墙规则并将所述防火墙规则写入系统内核；解除模块70，响应于所述管控策略包含的条件不再被满足，解除所述管控策略对应的管控。

除非明确指出，在此所用的单数形式“一”、“该”均包括复数含义(即具有“至少一”的意思)。应当进一步理解，说明书中使用的术语“具有”、“包括”和/或“包含”表明存在所述的特征、步骤、操作、元件和/或部件，但不排除存在或增加一个或多个其他特征、步骤、操作、元件、部件和/或其组合。如在此所用的术语“和/或”包括一个或多个列举的相关项目的任何及所有组合。除非明确指出，在此公开的任何方法的步骤不必精确按照所公开的顺序执行。

一些优选实施例已经在前面进行了说明，但是应当强调的是，本发明不局限于这些实施例，而是可以本发明主题范围内的其它方式实现。