CN102006310A

CN102006310A - 数据流的处理方法及防火墙

Info

Publication number: CN102006310A
Application number: CN2010106069394A
Authority: CN
Inventors: 童建
Original assignee: Hillstone Networks Communication Technology (Beijing) Co Ltd
Current assignee: BEIJING HILLSTONE NETWORKS INFORMATION TECHNOLOGY CO., LTD.
Priority date: 2010-12-24
Filing date: 2010-12-24
Publication date: 2011-04-06

Abstract

本发明公开了一种数据流的处理方法及防火墙。其中，该防火墙包括：多个防火墙隔离单元，每个防火墙隔离单元之间通过彼此通讯来建立互相备份的关系，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；第一交换单元，用于接收内网数据流，通过配置数据流的主用链路和备用链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元；第二交换单元，用于获取第一防火墙隔离单元或第二防火墙隔离单元处理后的数据流，并将处理后的数据流传输至外网。通过本发明，能够实现减化防火墙双机部署方案，降低硬件成本。

Description

数据流的处理方法及防火墙

技术领域

本发明涉及信息安全领域，具体而言，涉及一种数据流的处理方法及防火墙。

背景技术

本发明现有的相关技术中通常采用单机部署或双机部署的防火墙设备。图1是根据相关技术的防火墙单机部署的结构示意图；图2是根据相关技术的防火墙双机部署的结构示意图。

如图1所示，在单机部署时，防火墙可以直接部署于两个路由器之间。如图2所示的多设备的防火墙冗余(High Availability)方案利用了多台防火墙设备，并将多台防火墙设备连接在交换机或路由器之间，这种部署被称为双机热备。热备中的两台设备可能是主/备状态，也可能是双方都在主状态。运行过程中，两台设备的状态不断地进行同步。在系统检测到一台防火墙发生故障时，切换到另一台设备上。因为两台设备的状态一样，数据流检测可以照常进行，流量也不会中断。

在防火墙双机热备部署情况下，两个防火墙和路由器之间需要部署一个交换机。在防火墙1为主设备的情况下，交换机控制流量从防火墙1通过，当防火墙1发生故障时，防火墙2和交换机配合把流量切换到防火墙2这条路上。

通过上述现有技术的描述可知，图1中的单机部署设备，在防火墙出故障时数据流的过滤功能将中断，图2所示的双机部署设备解决了单机部署设备的缺陷，但图2中的系统除了需要两台防火墙外，还必须部署两台交换机。构建此网络结构的成本较高。网络较为复杂。

目前针对相关技术的防火墙双机部署方案复杂，成本高的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术的防火墙双机部署方案复杂，成本高的问题，目前尚未提出有效的问题而提出本发明，为此，本发明的主要目的在于提供一种数据流的处理方法及防火墙，以解决上述问题。

为了实现上述目的，根据本发明的一个方面，提供了一种防火墙，该防火墙包括：多个防火墙隔离单元，每个防火墙隔离单元之间通过彼此通讯来建立互相备份的关系，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；第一交换单元，用于接收内网数据流，通过配置数据流的主用链路和备用链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元；第二交换单元，用于获取第一防火墙隔离单元或第二防火墙隔离单元处理后的数据流，并将处理后的数据流传输至外网。

进一步地，防火墙还包括：交换配置单元，连接在第一交换单元和第二交换单元之间，用于同步第一交换单元与第二交换单元内的配置数据。

进一步地，防火墙还包括：检测单元，检测第一防火墙隔离单元的工作状态，其中，当第一防火墙隔离单元出现故障时，通过交换配置单元将转换信号发送至第一交换单元或第二交换单元，以将数据流切换到第二防火墙隔离单元，或者，当第二防火墙隔离单元出现故障时，通过交换配置单元将转换信号发送至第一交换单元或第二交换单元，以将数据流切换到第一防火墙隔离单元。

进一步地，防火墙隔离单元有两个。

进一步地，每个防火墙隔离单元之间通过第一交换单元来建立动态状态同步。

进一步地，每个防火墙隔离单元之间通过第二交换单元来建立动态状态同步。

进一步地，每个防火墙隔离单元之间通过专用通讯通道来建立动态状态同步。

为了实现上述目的，根据本发明的另一方面，提供了一种数据流的处理方法，该方法包括：通过防火墙的第一交换单元来接收内网的数据流，防火墙包括多个防火墙隔离单元，其中，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；通过配置数据流的传输链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元，其中，第一防火墙隔离单元与第二防火墙隔离单元之间通过彼此通讯来建立互相备份的关系；通过第一防火墙隔离单元或第二防火墙隔离单元来处理数据流；通过防火墙的第二交换单元来获取处理后的数据流，并将处理后的数据流传输至外网。

进一步地，在通过配置数据流的传输链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元之前，方法还包括：通过防火墙的第一交换单元来获取数据流；检测第一防火墙隔离单元的工作状态，其中，当第一防火墙隔离单元正常工作时，通过第一防火墙隔离单元处理数据流，否则，发送转换信号至第一交换单元或第二交换单元，以将数据流切换到第二防火墙隔离单元，或者，当所述第二防火墙隔离单元出现故障时，通过所述交换配置单元将转换信号发送至所述第一交换单元或所述第二交换单元，以将所述数据流切换到所述第一防火墙隔离单元。

进一步地，第一防火墙隔离单元和第二防火墙隔离单元之间通过以下任意一种装置来建立动态状态同步：第一交换单元、第二交换单元或专用通讯通道。

通过本发明，采用多个防火墙隔离单元，每个防火墙隔离单元之间通过彼此通讯来建立互相备份的关系，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；第一交换单元，用于接收内网数据流，通过配置数据流的主用链路和备用链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元；第二交换单元，用于获取第一防火墙隔离单元或第二防火墙隔离单元处理后的数据流，并将处理后的数据流传输至外网，解决了相关技术的防火墙双机部署方案复杂，成本高的问题，进而实现减化防火墙双机部署方案，降低硬件成本的效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据相关技术的防火墙单机部署的结构示意图；

图2是根据相关技术的防火墙双机部署的结构示意图；

图3是根据本发明实施例的防火墙的结构示意图；

图4是具有如图3所示的防火墙的应用系统结构示意图；以及

图5是根据本发明实施例的数据流的处理方法的流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

图3是根据本发明实施例的防火墙的结构示意图。如图3所示，该防火墙包括：多个防火墙隔离单元，每个防火墙隔离单元之间通过彼此通讯来建立互相备份的关系，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；第一交换单元，用于接收内网数据流，通过配置数据流的主用链路和备用链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元；第二交换单元，用于获取第一防火墙隔离单元或第二防火墙隔离单元处理后的数据流，并将处理后的数据流传输至外网。

本发明实施例通过在一个物理设备中以硬件形式嵌入两台或以上防火墙，每个防火墙之间彼此互作冗余，建立相互的同步备份关系，将各个防火墙中的交换单元组合构成第一交换单元和第二交换单元作为控制数据流的选通单元，实现代替原来双机部署防火墙中的两个交换机硬件，采用这种方式的冗余防火墙实现在其中任何一个防火墙隔离单元出现部件故障时，整体切换到其他防火墙隔离单元(防火墙硬件)上，解决现有技术中双机部署的硬件端成本高的问题，提供一个部署简单，价格合理且可靠性高(HA)的解决方案。本发明实现的一种冗余防火墙在一个物理设备中每个防火墙硬件有自己完整的主控和业务部件。

另外的，可以控制每个防火墙处理数据流的流量，当一个防火墙隔离单元处理数据流的流量超过预定值时，可以使用其他的防火墙隔离单元来分担超出的数据流量，相当于每个防火墙彼此之间构成负载均衡，本发明实现当每个防火墙隔离单元之间处于负载均衡的情况下，由于每个防火墙隔离单元之间互相备份，因此，在出现一个防火墙隔离单元分担另一个防火墙隔离单元的数据流量时，两个防火墙处理数据的处理结果相同。

本发明提供的上述防火墙还可以包括：交换配置单元，连接在第一交换单元和第二交换单元之间，用于同步第一交换单元与第二交换单元内的配置数据。该实施例实现实时更新两个交换单元的配置数据，

优选的，本发明的防火墙还可以包括：检测单元，检测第一防火墙隔离单元的工作状态，当第一防火墙隔离单元出现故障时，通过交换配置单元将转换信号发送至第一交换单元或第二交换单元，以将数据流切换到第二防火墙隔离单元，或者，当第二防火墙隔离单元出现故障时，通过交换配置单元将转换信号发送至第一交换单元或第二交换单元，以将数据流切换到第一防火墙隔离单元。该实施例在检测到主防火墙硬件故障时，实现其他防火墙硬件协商推举新的主备关系，协商得到新的防火墙硬件(防火墙隔离单元)来负责承担流量处理的任务，并将该切换信息发送到交换单元来通知将数据流切换到备份的防火墙上面。其中，交换配置单元与第一交换单元和第二交换单元可以集成在一个硬件系统中实现。

上述实施例中，本发明的防火墙隔离单元有两个，可以分别是主防火墙隔离单元和备防火墙隔离单元，当主防火墙隔离单元出现故障时，可以将数据流切换到备防火墙隔离单元。

本发明上述实施例中，每个防火墙隔离单元之间通过第一交换单元、第二交换单元或者专用通讯通道来实现建立动态状态同步，使得防火墙隔离单元之间的控制信息和多个数据传输信息实时同步以保持一致，在主防火墙出现故障时，使用备份的防火墙来实现与主防火墙相同的功能。具体应用时在系统运行过程中，防火墙硬件之间做动态状态同步。

图4是具有如图3所示的防火墙的应用系统结构示意图。如图4所示，应用本发明的防火墙的系统从外观和使用上等同于一台单机部署的防火墙。应用场景也如单机部署的防火墙。如图4所示，在内网和外网之间部署冗余防火墙做隔离，和传统防火墙相比，冗余防火墙带来更高的可靠性，保证更好的网络稳定性，且不节省了两台交换机设备，降低了成本。

图5是根据本发明实施例的数据流的处理方法的流程图。如图5所示该方法包括如下步骤：

步骤S102，通过防火墙的第一交换单元来接收内网的数据流，防火墙包括多个防火墙隔离单元，其中，多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元。

步骤S104，通过配置数据流的传输链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元，其中，第一防火墙隔离单元与第二防火墙隔离单元之间通过彼此通讯来建立互相备份的关系。

步骤S106，通过第一防火墙隔离单元或第二防火墙隔离单元来处理数据流。

步骤S108，通过防火墙的第二交换单元来获取处理后的数据流，并将处理后的数据流传输至外网。

本发明上述实施例的步骤实现在一个物理设备中以硬件形式嵌入两台或以上防火墙，互作冗余，即将传统防火墙多台冗余的架构融入一体化硬件架构中，冗余防火墙硬件由第一交换单元、第二交换单元和多个防火墙隔离单元模块所组成，使用第一交换单元和第二交换单元代替原来的交换机，且每个防火墙硬件彼此独立，在一个物理设备中每个防火墙隔离单元有自己完整的主控和业务部件，有其专用的主控功能和安全处理功能，当其中任何部件故障时，整体切换到备份防火墙隔离单元上。

本发明上述实施例中在通过配置数据流的传输链路来控制数据流传输至第一防火墙隔离单元或第二防火墙隔离单元之前，方法还可以包括：通过防火墙的第一交换单元来获取数据流；检测第一防火墙隔离单元的工作状态，其中，当第一防火墙隔离单元正常工作时，通过第一防火墙隔离单元处理数据流，否则，发送转换信号至第一交换单元或第二交换单元，以将数据流切换到第二防火墙隔离单元，或者，当第二防火墙隔离单元出现故障时，通过交换配置单元将转换信号发送至第一交换单元或第二交换单元，以将数据流切换到第一防火墙隔离单元。

优选的，第一防火墙隔离单元和第二防火墙隔离单元之间通过以下任意一种装置来建立动态状态同步：第一交换单元、第二交换单元或专用通讯通道。

本发明提供的对数据流的隔离处理方法中的多个防火墙隔离单元之间的通讯可以通过交换单元或专用通道通讯来实现，用于备份各个防火墙中的控制信息或数据传输信息，其中，交换隔离单元的配置是固化的，独立于防火墙硬件获取。在冗余防火墙启动时交换单元获取固化的配置并启动，每个防火墙隔离单元启动后彼此通讯，协商主备关系，协商为主的防火墙隔离单元负责承担流量处理的任务，并通知交换单元将数据流转发到它上面。

本发明的任意种实施例中的交换单元和防火墙隔离单元可以由硬件实现也可以由软件实现。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

从以上的描述中，可以看出，本发明实现了如下技术效果：将防火墙系统的冗余性处于一个物理设备中，因此部署简单。同时相对于目前常用的双机部署防火墙节省两台交换机的成本，并且一台设备相对两台单独设备，在降低生产成本和最终价格时仍能最大程度保证冗余性。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种防火墙，其特征在于，包括：

多个防火墙隔离单元，每个所述防火墙隔离单元之间通过彼此通讯来建立互相备份的关系，所述多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；

第一交换单元，用于接收内网的数据流，通过配置所述数据流的传输链路来控制所述数据流传输至所述第一防火墙隔离单元或所述第二防火墙隔离单元；

第二交换单元，用于获取所述第一防火墙隔离单元或所述第二防火墙隔离单元处理后的所述数据流，并将处理后的所述数据流传输至外网。

2.根据权利要求1所述的防火墙，其特征在于，所述防火墙还包括：

交换配置单元，连接在所述第一交换单元和所述第二交换单元之间，用于同步所述第一交换单元与所述第二交换单元内的配置数据。

3.根据权利要求2所述的防火墙，其特征在于，所述防火墙还包括：

检测单元，检测所述第一防火墙隔离单元的工作状态，其中，

当所述第一防火墙隔离单元出现故障时，通过所述交换配置单元将转换信号发送至所述第一交换单元或所述第二交换单元，以将所述数据流切换到所述第二防火墙隔离单元，或者，当所述第二防火墙隔离单元出现故障时，通过所述交换配置单元将转换信号发送至所述第一交换单元或所述第二交换单元，以将所述数据流切换到所述第一防火墙隔离单元。

4.根据权利要求1所述的防火墙，其特征在于，所述防火墙隔离单元有两个。

5.根据权利要求1-4中任一项所述的防火墙，其特征在于，每个所述防火墙隔离单元之间通过所述第一交换单元来建立动态状态同步。

6.根据权利要求1-4中任一项所述的防火墙，其特征在于，每个所述防火墙隔离单元之间通过所述第二交换单元来建立动态状态同步。

7.根据权利要求1-4中任一项所述的防火墙，其特征在于，每个所述防火墙隔离单元之间通过专用通讯通道来建立动态状态同步。

8.一种数据流的处理方法，其特征在于，包括：

通过防火墙的第一交换单元来接收内网的数据流，所述防火墙包括多个防火墙隔离单元，其中，所述多个防火墙隔离单元包括第一防火墙隔离单元和第二防火墙隔离单元；

通过配置所述数据流的传输链路来控制所述数据流传输至所述第一防火墙隔离单元或所述第二防火墙隔离单元，其中，所述第一防火墙隔离单元与所述第二防火墙隔离单元之间通过彼此通讯来建立互相备份的关系；

通过所述第一防火墙隔离单元或所述第二防火墙隔离单元来处理所述数据流；

通过防火墙的第二交换单元来获取所述处理后的数据流，并将处理后的所述数据流传输至外网。

9.根据权利要求8所述的方法，其特征在于，在通过配置所述数据流的传输链路来控制所述数据流传输至所述第一防火墙隔离单元或所述第二防火墙隔离单元之前，所述方法还包括：

检测所述第一防火墙隔离单元的工作状态，其中，当所述第一防火墙隔离单元正常工作时，通过所述第一防火墙隔离单元处理所述数据流，否则，发送转换信号至所述第一交换单元或所述第二交换单元，以将所述数据流切换到所述第二防火墙隔离单元，或者，当所述第二防火墙隔离单元出现故障时，通过所述交换配置单元将转换信号发送至所述第一交换单元或所述第二交换单元，以将所述数据流切换到所述第一防火墙隔离单元。

10.根据权利要求8所述的方法，其特征在于，所述第一防火墙隔离单元和所述第二防火墙隔离单元之间通过以下任意一种装置来建立动态状态同步：第一交换单元、第二交换单元或专用通讯通道。