摘要 一些ISP把他們的IP網(wǎng)絡(luò)圈起來，增加各種邊界節(jié)點，利用圍起來的“比特管道”提供一些增值服務(wù)，獲取更高的利益，形成了所謂的“Walled Garden（‘帶圍墻的花園’或‘圍墻花園’）”的商業(yè)模式。本文詳細(xì)介紹了“圍墻花園”的含義、典型類型以及“圍墻花園”的規(guī)模和上“門”類型，并分析了對“圍墻花園”模型的爭論。

    1、引言

    與傳統(tǒng)電信網(wǎng)絡(luò)和廣播電視網(wǎng)絡(luò)堅持的嚴(yán)格控制和管理不同，互聯(lián)網(wǎng)倡導(dǎo)的是一種建立在“自律”基礎(chǔ)之上的“開放”、“平等”和“創(chuàng)新”，讓人人都可以參與建設(shè)和發(fā)展的精神理念。在這一精神理念的指導(dǎo)下，互聯(lián)網(wǎng)工程界提出了“端到端透明性”的核心設(shè)計理念（RFC3439），是互聯(lián)網(wǎng)少有的、一直堅持的體系架構(gòu)核心設(shè)計原則之一。所謂“端到端透明性”，就是在互聯(lián)網(wǎng)的設(shè)計中，將與通信相關(guān)的部分（IP網(wǎng)絡(luò)）與高層應(yīng)用（端點）和下層傳輸技術(shù)分離，讓網(wǎng)絡(luò)最大限度地具有開放性。

    端到端透明性帶來的互聯(lián)網(wǎng)開放性，為后來互聯(lián)網(wǎng)商用化的蓬勃發(fā)展起到了決定性的作用。但與此同時，互聯(lián)網(wǎng)的商用化也給互聯(lián)網(wǎng)的開放性帶來了嚴(yán)峻的挑戰(zhàn)，改變了互聯(lián)網(wǎng)的體系架構(gòu)，尤其是開放性�；ヂ�(lián)網(wǎng)的開放接口只是盡力而為的IP包轉(zhuǎn)發(fā)服務(wù)，而不是高層業(yè)務(wù)和應(yīng)用的接口，因此互聯(lián)網(wǎng)服務(wù)提供商（ISP）只能提供所謂的“比特管道”業(yè)務(wù)，很難提供利潤更高的高層業(yè)務(wù)和應(yīng)用，導(dǎo)致大量ISP的倒閉、破產(chǎn)和兼并，使得純粹意義上的ISP沒有一個能夠活下來。于是，另外一些ISP開始把他們的IP網(wǎng)絡(luò)圈起來，增加各種邊界節(jié)點（Middlebox，中間體），利用圍起來的“比特管道”提供一些增值服務(wù)，獲取更高的利益，形成了所謂的“Walled Garden（‘帶圍墻的花園’或‘圍墻花園’）”的商業(yè)模式。

    2、“圍墻花園”的含義

    “圍墻花園”是與RFC3439所謂的完全開放的互聯(lián)網(wǎng)模型相對而言的，指ISP把用戶限制在一個特定的范圍內(nèi)，只允許用戶訪問指定的網(wǎng)站或相關(guān)服務(wù)，防止用戶訪問其他未被允許的內(nèi)容和服務(wù)。當(dāng)然，有的“圍墻花園”也可能不阻止用戶訪問“圍墻花園”外的網(wǎng)站和服務(wù)，只是給用戶增加了訪問難度。

    ISP建立“圍墻花園”的原因有多種。有的是為了防止用戶不適當(dāng)?shù)卦L問一些有害信息或網(wǎng)站，如1999年美國在線服務(wù)公司（AOL）少兒頻道就建立了一個圍墻花園，以防止孩子們訪問一些不適宜的網(wǎng)站。但更重要和普遍的原因是ISP的商業(yè)利益：ISP希望將用戶資源掌握在自己手中，引導(dǎo)用戶訪問自己或者合作伙伴的服務(wù)，減少或防止訪問競爭對手和不能帶來利益的服務(wù)。

    可以說，美國在線服務(wù)公司是“圍墻花園”方案主要和最成功的實踐者。據(jù)稱85％的美國在線用戶從未離開過AOL的網(wǎng)絡(luò)，美國人花費在網(wǎng)上的40％時間都處在AOL圈定的“圍墻花園”內(nèi)。另外，在移動數(shù)據(jù)業(yè)務(wù)中，讓手機這樣的無線設(shè)備只能訪問限制在一個范圍內(nèi)的網(wǎng)站，也是一種典型的“圍墻花園”，如I-Mode模型，很多收費WAP業(yè)務(wù)也是這樣的。當(dāng)前，IPTV業(yè)務(wù)網(wǎng)的模型，下一代網(wǎng)絡(luò)（NGN）以及運營商組建的多個“電信級”的IP網(wǎng)，也普遍采用的是這種模型。

    3、“圍墻花園”的典型類型

    目前，實際運行的典型“圍墻花園”的類型有：

    （1）基于終端的“圍墻花園”：指在終端上限定終端用戶可以訪問的網(wǎng)站范圍和服務(wù)形式，超過指定范圍的網(wǎng)站和服務(wù)不能訪問。這種方式一般可用作“綠色上網(wǎng)”，比如防止兒童訪問不適宜的網(wǎng)站等。

    （2）基于門戶網(wǎng)站的“圍墻花園”：在這種方式下，用戶通過門戶網(wǎng)站可以很便捷地訪問指定門戶網(wǎng)站上的服務(wù)（ISP或者ISP合作者的服務(wù)）。但這種方式?jīng)]有真正的圍墻，用戶實際上也能訪問圍墻外的其它服務(wù)，只是用戶訪問其它服務(wù)時會更加困難一些。

   （3）基于專網(wǎng)或虛擬專用網(wǎng)（VPN）的“圍墻花園”：把提供服務(wù)的所有設(shè)備都放到一個（虛擬）專用網(wǎng)中，訪問者通過遠(yuǎn)程接入VPN來接入到“圍墻花園”中去，自由訪問圍墻內(nèi)的所有服務(wù)。這種方式不但能限制訪問范圍，而且也能防范來自外部的攻擊。

    （4）基于防火墻或網(wǎng)關(guān)的“圍墻花園”：類似于基于VPN的圍墻花園，主要區(qū)別在于這種方式只是把業(yè)務(wù)與應(yīng)用服務(wù)器真正放在圍墻內(nèi)，把其它網(wǎng)絡(luò)設(shè)備放在圍墻外。用戶可通過防火墻或網(wǎng)關(guān)，使用圍墻內(nèi)所提供的服務(wù)。

    （5）基于用戶注冊的“圍墻花園”：只有注冊的用戶才能使用所保護(hù)的服務(wù)，非注冊用戶不能使用。一般基于一組或一類網(wǎng)絡(luò)服務(wù)進(jìn)行注冊。該類“圍墻花園”旨在提供應(yīng)用層保護(hù)，用戶、網(wǎng)絡(luò)以及應(yīng)用服務(wù)器都暴露在外界的安全威脅下。

    4、“圍墻花園”的規(guī)模

    探討“圍墻花園”的規(guī)模，首先要看“圍墻”上面是否需要開“門”（與外界互通），把“花園”與別的“圍墻花園”或互聯(lián)網(wǎng)連接起來。其次，如果需要開“門”，還需要看要開一個“門”還是多個“門”。如果“圍墻花園”不需要對外開放“大門”（與外界分離），那么在“花園”中可以采用任何類型的編址方式，比如私有地址（RFC1918）、偷偷把別人的公有地址拿來私用（“公有地址私用”），甚至IPv6地址等。因為這時“圍墻花園”不和外界發(fā)生關(guān)系，不存在編址沖突的可能性，因此想讓“花園”做多大就可以做多大。

    但一般情況下，都需要讓“圍墻花園”與外界互聯(lián)互通起來，這時花園的規(guī)模就會受到限制，就要仔細(xì)研究和規(guī)劃了。因為規(guī)模很大的時候，與“花園”內(nèi)部可以采用的IP編址方式以及“門”（NAT，網(wǎng)絡(luò)地址翻譯）的類型都存在很大的關(guān)系。當(dāng)花園的規(guī)模小于RFC1918規(guī)定的大約1600萬個IP地址時（10/8，192.168/16和172.16/12），內(nèi)部不用再分級就可以全部使用平面化的私有地址，在“圍墻”上使用傳統(tǒng)的NAT就完全可以了。只是需要注意，要盡量避免NAT可能會出現(xiàn)單點性能瓶頸和故障。

    不分級的平面式內(nèi)部編址，在“花園”規(guī)模很大，超過1600萬時，采用RFC1918規(guī)定的全部私有地址也不夠時，可以有兩個辦法來解決：

    （1）分級編址，多級傳統(tǒng)NAT，這時需要注意多級NAT的穿越。

    （2）內(nèi)部不分級，“公有地址私有”，但這需要使用“Twice NAT”和“Multihoming NAT”，并解決由此而帶來的各種復(fù)雜問題。

    這兩種技術(shù)方法都存在很多缺陷，迫不得已時推薦使用第一種。

    5、“圍墻花園”上“門”的類型

    “圍墻花園”一般都采用私有編址，都需要“門”，因此這個“門”一般都需要具有網(wǎng)絡(luò)地址翻譯的功能。RFC1631以及相關(guān)RFC定義的NAT/NAPT是一種將IP地址從一個編址域（如“圍墻花園”）映射到另外一個編址域（如互聯(lián)網(wǎng)）的方法。NAT最典型的應(yīng)用是把RFC1918定義的私有IP地址映射與互聯(lián)網(wǎng)所使用的公有IP地址做相互映射。從功能上看，主要有以下幾種典型的NAT（RFC2663）：

    （1）傳統(tǒng)NAT（Traditional NAT）

    在多數(shù)情況下，傳統(tǒng)NAT允許位于圍墻內(nèi)部的主機（采用RFC1918地址）透明地訪問圍墻外部（互聯(lián)網(wǎng)）的主機，把從圍墻外部到圍墻內(nèi)部的訪問作為一種特例，為事先選擇好的特定內(nèi)部主機做靜態(tài)地址映射。圍墻外部中主機的IP地址在圍墻外部以及圍墻內(nèi)部中是惟一的和有效的，但圍墻內(nèi)部主機的IP地址只有在圍墻內(nèi)部中才是惟一的，在圍墻外部中不一定有效。換言之，NAT不會向外部編址域通告內(nèi)部網(wǎng)絡(luò)的地址，但有可能向內(nèi)部網(wǎng)絡(luò)通告外部互聯(lián)網(wǎng)的地址。圍墻內(nèi)部使用的地址一定不能與圍墻外部的地址重疊，任何一個地址或是一個內(nèi)部地址或外部地址，不能同時是內(nèi)部和外部地址。傳統(tǒng)NAT又包括基本NAT和NAPT兩大類。

    （2）雙向NAT（Bi-directional NAT，Two-WayNAT）

    當(dāng)使用雙向NAT（Bi-directional NAT或Two-Way NAT）時，可以從圍墻內(nèi)部向圍墻外部發(fā)起會話請求，也可以從圍墻外部向圍墻內(nèi)部發(fā)起會話請求。當(dāng)在外出或進(jìn)入任何一個方向上建立連接時，把圍墻內(nèi)部地址靜態(tài)或動態(tài)綁定到全局惟一的地址上。這里假設(shè)位于圍墻內(nèi)部和外部網(wǎng)絡(luò)之間的名字空間（FQDN，F(xiàn)ully Qualified Domain Names）是端到端惟一的，因為只有這樣才能夠使得位于外部編址域的主機利用域名系統(tǒng)（DNS）訪問內(nèi)部網(wǎng)絡(luò)的主機。在雙向NAT上必須部署DNS-ALG（DNS應(yīng)用層網(wǎng)關(guān)，DNS-Application Level Gateway），以處理名字到地址的映射。當(dāng)一個DNS包需要穿越圍墻內(nèi)部和外部網(wǎng)絡(luò)編址域時，DNS-ALG必須能夠?qū)�DNS查詢和響應(yīng)消息中的內(nèi)部地址翻譯成外部地址，或把外部地址翻譯成內(nèi)部地址。

    （3）兩次NAT（Twice NAT）

    兩次NAT是NAT的一個變種，它同時修改源和目的地址。這與前面的傳統(tǒng)NAT和雙向NAT（Bi Directional）都不同，前面的兩種NAT只翻譯源或者目的地址（端口）。兩次NAT在圍墻內(nèi)部編址域和圍墻外部編址域存在沖突時非常有用。典型例子之一是當(dāng)一個“圍墻花園”（不恰當(dāng)?shù)兀┦褂靡逊峙浣o其它機構(gòu)的公開IP地址對其內(nèi)部主機進(jìn)行編址時（“公有地址私用”）；例子之二是當(dāng)一個站點從一家運營商換到另外一家運營商，同時又希望（在內(nèi)部）保留前一家運營商分配的地址時（而前一家運營商可能會在一段時間后將這些地址重新分配給其它人使用）。在這些情況下，非常關(guān)鍵的一點就是外部網(wǎng)絡(luò)的主機可能會分配得到以前已分配給內(nèi)部主機的同一地址。如果該地址碰巧出現(xiàn)在某個包中，則應(yīng)該將它轉(zhuǎn)發(fā)給內(nèi)部主機，而不是通過NAT轉(zhuǎn)發(fā)給外部編址域。兩次NAT通過同時翻譯IP包的源和目的地址，試圖橋接這些編址域，解決了地址沖突的問題。

   （4）多宿主NAT（Multihomed NAT）

    使用NAT會帶來很多問題（RFC2993）。比如，NAT設(shè)備要為經(jīng)過它的會話維護(hù)狀態(tài)信息，而一個會話的請求和響應(yīng)必須通過同一NAT設(shè)備做路由，因此通常要求允許NAT“花園”邊界路由器必須是惟一的，所有的IP包要么發(fā)起，要么終結(jié)在該域。但這種配置將NAT設(shè)備變成了可能的單點故障點。

    為了讓一個內(nèi)部網(wǎng)絡(luò)能夠在某個NAT鏈路故障的情況下，也可以保持與外部網(wǎng)絡(luò)的連通性，通常希望圍墻內(nèi)部網(wǎng)絡(luò)到相同或不同的ISP具有多條連接（多宿主的），希望經(jīng)過相同或不同的NAT設(shè)備。又如，多個NAT設(shè)備或多條鏈路使用同一NAT，共享相同的NAT配置能夠為相互之間提供故障備份。在這種情況下，有必要讓備份NAT設(shè)備交換狀態(tài)信息，以便當(dāng)主NAT出現(xiàn)故障時，備份NAT能夠擔(dān)負(fù)起透明地保持會話的能力。

    6、“圍墻還原”模型的爭論

    關(guān)于“圍墻花園”商業(yè)模型是否合理、合法的問題，圍繞著“網(wǎng)絡(luò)中立”和商業(yè)模式，業(yè)界存在很大的爭議。但這種爭論仍然基本屬于電信界和互聯(lián)網(wǎng)界的“理念”爭議之一。從當(dāng)前情況的發(fā)展看，這將是自互聯(lián)網(wǎng)商用以來，電信業(yè)與互聯(lián)網(wǎng)業(yè)的一次世紀(jì)性大搏弈，事關(guān)兩大產(chǎn)業(yè)的利益格局，事關(guān)所有用戶的切身利益。

    主張“花園”不能有“圍墻”的主要來自互聯(lián)網(wǎng)界，以“網(wǎng)絡(luò)中立”的討論為代表，認(rèn)為網(wǎng)絡(luò)是一種公共的基礎(chǔ)設(shè)施，任何人都能平等地在網(wǎng)絡(luò)上傳輸數(shù)據(jù)，ISP不得對網(wǎng)上的傳輸進(jìn)行任何岐視性限制或收費�！熬W(wǎng)絡(luò)中立”議案由美國消費者協(xié)會提出，獲得Google，eBay等互聯(lián)網(wǎng)公司力挺，遭到AT&T，Verizon為代表的運營商的反對。

    當(dāng)前，美國主要運營商都在對線路進(jìn)行擴容，為大規(guī)模上IPTV做準(zhǔn)備，并在討論是否要向內(nèi)容提供商收取線路租用費以外的額外費用。而Google等互聯(lián)網(wǎng)公司則認(rèn)為不應(yīng)額外收費，并試圖以立法的形式確立“網(wǎng)絡(luò)中立”的原則，從法律上堵住運營商額外收費的可能性。在運營商看來，Google等互聯(lián)網(wǎng)公司利潤豐厚，而運營商利潤情況較差，在線路擴容上投資巨大，如不再收取額外的費用是不公平的。而Yahoo等互聯(lián)網(wǎng)公司則認(rèn)為，運營商已經(jīng)收取線路費用，額外收費會導(dǎo)致阻礙創(chuàng)新，違反互聯(lián)網(wǎng)開放、公平的原則，限制了互聯(lián)網(wǎng)業(yè)務(wù)的發(fā)展，損害了消費者的利益�；ヂ�(lián)網(wǎng)界沒有自己的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，只能使用別人的，因此從他們自身的角度看堅持互聯(lián)網(wǎng)不能有圍墻的想法很正常。

    運營商與互聯(lián)網(wǎng)公司的這種利益關(guān)系調(diào)整是全球性的。一旦“網(wǎng)絡(luò)中立”在美國成立或者不成立，都會是全球性的定論，各國運營商和互聯(lián)網(wǎng)公司都不會有再次選擇的機會。無可否認(rèn)的是：目前互聯(lián)網(wǎng)產(chǎn)業(yè)鏈各環(huán)節(jié)之間缺乏有效的利益分配和協(xié)調(diào)機制。端到端的業(yè)務(wù)與承載分離使得網(wǎng)絡(luò)基本成為透明的傳輸通道，業(yè)務(wù)實現(xiàn)與控制的權(quán)利和責(zé)任完全推向業(yè)務(wù)提供商和用戶。這一方面使得業(yè)務(wù)提供商和用戶承擔(dān)了過多的責(zé)任；另一方面也導(dǎo)致業(yè)務(wù)的開發(fā)部署不需要ISP的參與，沒有使ISP成為“利益攸關(guān)方”，打擊了他們的投資積極性，因而很多與網(wǎng)絡(luò)屬性密切相關(guān)的業(yè)務(wù)無法順利開展。這是導(dǎo)致互聯(lián)網(wǎng)泡沫的主要原因，因此建立“適當(dāng)”的圍墻，以便讓業(yè)務(wù)具有提供更高的服務(wù)質(zhì)量，更好的安全服務(wù)和更合理的商業(yè)模式。但什么是“適當(dāng)”的，則需要進(jìn)一步的研究和實踐。

    7、結(jié)束語

    由于互聯(lián)網(wǎng)的應(yīng)用目的發(fā)生了很大變化，而且“用戶自律”的假設(shè)不再適用，因此未來互聯(lián)網(wǎng)應(yīng)對完全開放、沒有“圍墻”的體系架構(gòu)做相應(yīng)地修正和發(fā)展，以便在新的歷史發(fā)展階段適應(yīng)新的應(yīng)用需求。雖然未來互聯(lián)網(wǎng)仍將堅持“端到端透明性”的體系架構(gòu)，但應(yīng)修建適當(dāng)?shù)摹皣鷫Α眮頋M足一定的約束條件，即“有條件的端到端透明性”。在保證人人能夠繼續(xù)參與互聯(lián)網(wǎng)發(fā)展和創(chuàng)新的前提下，網(wǎng)絡(luò)中應(yīng)內(nèi)嵌一些對用戶透明的管理和控制機制（即“圍墻”），抑制用戶的不自律行為，平衡產(chǎn)業(yè)鏈不同角色之間的職責(zé)和利益。