浅谈互联网上的“围墙花园”模型

摘要 一些ISP把他们的IP网络圈起来，增加各种边界节点，利用围起来的"比特管道"提供一些增值服务，获取更高的利益，形成了所谓的"Walled Garden（‘带围墙的花园’或‘围墙花园’）"的商业模式。本文详细介绍了"围墙花园"的含义、典型类型以及"围墙花园"的规模和上"门"类型，并分析了对"围墙花园"模型的争论。

1、引言

　　与传统电信网络和广播电视网络坚持的严格控制和管理不同，互联网倡导的是一种建立在"自律"基础之上的"开放"、"平等"和"创新"，让人人都可以参与建设和发展的精神理念。在这一精神理念的指导下，互联网工程界提出了"端到端透明性"的核心设计理念（RFC3439），是互联网少有的、一直坚持的体系架构核心设计原则之一。所谓"端到端透明性"，就是在互联网的设计中，将与通信相关的部分（IP网络）与高层应用（端点）和下层传输技术分离，让网络最大限度地具有开放性。

　　端到端透明性带来的互联网开放性，为后来互联网商用化的蓬勃发展起到了决定性的作用。但与此同时，互联网的商用化也给互联网的开放性带来了严峻的挑战，改变了互联网的体系架构，尤其是开放性。互联网的开放接口只是尽力而为的IP包转发服务，而不是高层业务和应用的接口，因此互联网服务提供商（ISP）只能提供所谓的"比特管道"业务，很难提供利润更高的高层业务和应用，导致大量ISP的倒闭、破产和兼并，使得纯粹意义上的ISP没有一个能够活下来。于是，另外一些ISP开始把他们的IP网络圈起来，增加各种边界节点（Middlebox，中间体），利用围起来的"比特管道"提供一些增值服务，获取更高的利益，形成了所谓的"Walled Garden（‘带围墙的花园’或‘围墙花园’）"的商业模式。

2、"围墙花园"的含义

　　"围墙花园"是与RFC3439所谓的完全开放的互联网模型相对而言的，指ISP把用户限制在一个特定的范围内，只允许用户访问指定的网站或相关服务，防止用户访问其他未被允许的内容和服务。当然，有的"围墙花园"也可能不阻止用户访问"围墙花园"外的网站和服务，只是给用户增加了访问难度。

　　ISP建立"围墙花园"的原因有多种。有的是为了防止用户不适当地访问一些有害信息或网站，如1999年美国在线服务公司（AOL）少儿频道就建立了一个围墙花园，以防止孩子们访问一些不适宜的网站。但更重要和普遍的原因是ISP的商业利益：ISP希望将用户资源掌握在自己手中，引导用户访问自己或者合作伙伴的服务，减少或防止访问竞争对手和不能带来利益的服务。

　　可以说，美国在线服务公司是"围墙花园"方案主要和最成功的实践者。据称85％的美国在线用户从未离开过AOL的网络，美国人花费在网上的40％时间都处在AOL圈定的"围墙花园"内。另外，在移动数据业务中，让手机这样的无线设备只能访问限制在一个范围内的网站，也是一种典型的"围墙花园"，如I-Mode模型，很多收费WAP业务也是这样的。当前，IPTV业务网的模型，下一代网络（NGN）以及运营商组建的多个"电信级"的IP网，也普遍采用的是这种模型。

3、"围墙花园"的典型类型

　　目前，实际运行的典型"围墙花园"的类型有：

　　（1）基于终端的"围墙花园"：指在终端上限定终端用户可以访问的网站范围和服务形式，超过指定范围的网站和服务不能访问。这种方式一般可用作"绿色上网"，比如防止儿童访问不适宜的网站等。

　　（2）基于门户网站的"围墙花园"：在这种方式下，用户通过门户网站可以很便捷地访问指定门户网站上的服务（ISP或者ISP合作者的服务）。但这种方式没有真正的围墙，用户实际上也能访问围墙外的其它服务，只是用户访问其它服务时会更加困难一些。

　　（3）基于专网或虚拟专用网（VPN）的"围墙花园"：把提供服务的所有设备都放到一个（虚拟）专用网中，访问者通过远程接入VPN来接入到"围墙花园"中去，自由访问围墙内的所有服务。这种方式不但能限制访问范围，而且也能防范来自外部的攻击。

　　（4）基于防火墙或网关的"围墙花园"：类似于基于VPN的围墙花园，主要区别在于这种方式只是把业务与应用服务器真正放在围墙内，把其它网络设备放在围墙外。用户可通过防火墙或网关，使用围墙内所提供的服务。

　　（5）基于用户注册的"围墙花园"：只有注册的用户才能使用所保护的服务，非注册用户不能使用。一般基于一组或一类网络服务进行注册。该类"围墙花园"旨在提供应用层保护，用户、网络以及应用服务器都暴露在外界的安全威胁下。

4、"围墙花园"的规模

探讨"围墙花园"的规模，首先要看"围墙"上面是否需要开"门"（与外界互通），把"花园"与别的"围墙花园"或