CN102769627A - 一种配置文件同步方法及装置 - Google Patents

Abstract

本发明公开了一种配置文件同步方法以及装置，该方法包括：高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常时，检测自身的配置文件与所述备份设备的配置文件是否一致；当检测结果为不一致时，确定文件同步方向；与所述备份设备建立传输控制协议TCP连接后，并根据确定的文件同步方向同步最新的配置文件。该方案能够提高同步配置文件的效率、延长网络安全系统的持续运行时间。

Description

一种配置文件同步方法及装置

技术领域

本发明涉及网络安全技术领域，尤指一种针对高可用性系统中网络安全设备的配置文件同步方法及装置。

背景技术

目前，随着网络应用的迅速增长，保证网络安全系统的持续运行时间越来越重要，防火墙等网络安全设备的持续运行时间影响着整个网络安全系统的持续运行时间，同时也极大的制约了网络应用，高可用性（High Availability，HA）是保证网络安全系统持续运行时间的一个重要技术。HA用来描述一个系统经过专门的设计，从而减少停工时间，而保持系统持续运行时间的高度可用性。在网络安全系统的HA功能中，数据同步是影响网络安全系统持续运行时间或者中断时间的一个重要因素，数据同步包括动态的会话信息同步和静态的配置文件同步。

HA系统有三种工作模式：主备模式、主主模式和集群模式。现有的HA系统中，用户需要首先在主设备创建配置文件，然后人工将创建的配置文件同步给备份设备，在链路切换后，备份设备可以接替主设备继续处理业务。在现有的配置文件同步方法中，由于需要人工将在主设备上创建的配置文件同步给备份设备，这就使得同步配置文件的效率比较低；并且一旦人工同步给备份设备的配置文件出现错误，当链路切换后，备份设备不能正常接替主设备继续处理业务，这就会造成网络安全系统中断，也就会缩短网络安全系统的持续运行时间。因此，现有的人工同步配置文件效率比较低，并且缩短网络安全系统的持续运行时间。

发明内容

本发明实施例提供一种配置文件同步方法以及装置，用以解决现有的人工同步配置文件效率比较低，并且缩短网络安全系统的持续运行时间的问题。

一种配置文件同步方法，包括：

高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常时，检测自身的配置文件与所述备份设备的配置文件是否一致；

当检测结果为不一致时，确定文件同步方向；

与所述备份设备建立传输控制协议TCP连接后，并根据确定的文件同步方向同步最新的配置文件。

一种配置文件同步装置，包括：

配置文件检测单元，用于确定自身所在的高可用性系统中的主设备和备份设备的心跳和引擎正常时，检测所述主设备的配置文件与所述备份设备的配置文件是否一致；

同步方向确定单元，用于当所述配置文件检测单元检测检测结果为不一致时，确定文件同步方向；

配置文件同步单元，用于与所述备份设备建立传输控制协议TCP连接后，并根据所述同步方向确定单元确定的文件同步方向同步最新的配置文件。

本发明有益效果如下：

本发明实施例提供的配置文件同步方法以及装置，通过高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常时，检测自身的配置文件与所述备份设备的配置文件是否一致；当检测结果为不一致时，确定文件同步方向；与所述备份设备建立传输控制协议TCP连接后，并根据确定的文件同步方向同步最新的配置文件。该方案中的主设备在检测到自身和备份设备的心跳和引擎都正常时，才会检测自身的配置文件与备份设备的配置文件是否一致，这样可以保证顺利地同步配置文件，不会造成资源浪费；当检测结果为不一致时，这就说明用户在主设备或者备份设备创建了最新的配置文件，这里既可以在主设备创建配置文件，又可以在备份设备创建配置文件，当主设备繁忙时，可以选择在备份设备上创建配置文件，就可以保证主设备一直处于处理业务的状态，能够及时地处理业务；然后确定文件同步方向，与备份设备建立TCP连接，并根据确定的文件同步方向同步最新的配置文件，这样既可以保证主备设备之间高效的同步配置文件，又可以保证主设备和备份设备上都是最新的配置文件，一旦链路发生切换，切换后的设备可以直接进行业务处理，延长了网络安全系统的持续运行时间。

附图说明

图1为本发明实施例中配置文件同步方法的流程图；

图2为本发明实施例中主设备、备份设备发送的UDP单播心跳数据包的结构示意图；

图3为本发明实施例中从主设备向备份设备同步配置文件的方法流程图；

图4为本发明实施例中从备份设备向主设备同步配置文件的方法流程图；

图5为本发明实施例中配置文件同步装置的结构示意图。

具体实施方式

针对现有的配置文件同步方法降低系统的高可用性的问题，本发明实施例提供一种配置文件同步方法，该方法的流程如图1所示，具体执行步骤如下：

S10：高可用性系统中的主设备监控自身和备份设备的心跳和引擎。

HA系统有三种工作模式：主备模式、主主模式和集群模式。

主备模式下的两台设备，一台作为主设备，另一台作为备份设备。主设备处理所有业务，并将产生的会话信息和配置文件发送到备份设备进行备份；备份设备不处理业务，只用做备份。当主设备故障，备份设备接替主设备处理业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断。

主主模式下的两台设备均为主设备，都处理业务，同时又作为另一台设备的备份设备，备份对端的会话信息和配置文件。当其中一台故障后，另一台设备负责处理全部业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断。

集群模式下多台主设备一起工作，各自处理一个或几个业务，各为业务定义一个或多个备份设备，当某个主设备故障时，运行在其上的服务就可以被其它备份设备接管。

本发明实施例中的方法适用于上述HA系统的三种工作模式中的主设备。主设备的备份设备可以是一台，也可以是多台，无论主设备设有一台还是多台备份设备，工作原理都是类似的，下面以主设备设有一台备份设备为例进行说明。

S11：主设备确定自身和备份设备的心跳和引擎正常时，检测自身的配置文件与备份设备的配置文件是否一致；当检测结果为一致时，执行S10；当检测结果为不一致时，执行S12。

主设备可以同时监控自身和备份设备的心跳和引擎的工作状态，当主设备确定自身和备份设备的心跳和引擎正常工作时，才进行配置文件同步；如果主设备或者备份设备的心跳和引擎有一个不正常时，进行配置文件同步是没有任何意义的，因为即使一方发出同步的配置文件，对端因为不能正常工作也不会接收到该配置文件。所以，在同步配置文件前，一定要保证主设备和备份设备都正常工作。

然后，就可以检测自身的配置文件与备份设备的配置文件是否一致，当一致时，可以继续监控自身和备份设备的心跳和引擎；当不一致时，可以进行配置文件同步。

S12：确定文件同步方向。

当检测到自身的配置文件与备份设备的配置文件不一致时，需要确定文件同步方向。可以向用户发出配置文件不一致消息，并提示是否同步配置文件，然后接收用户指示的文件同步方向，也可以由主设备直接确定文件同步方向。

S13：与备份设备建立TCP连接，并根据确定的文件同步方向同步最新的配置文件。

由于配置文件不一致有两种情况，有可能是主设备的配置文件是最新的，也有可能是备份设备的配置文件是最新的，也就是说，用户既可以在主设备上创建了配置文件，也可以在备份设备上创建了配置文件，因此，文件同步方向就有可能有两种情况。主设备与备份设备经过三次握手建立传输控制协议（Transmission Control Protocol，TCP）连接，并根据确定的文件同步方向来同步最新的配置文件。

该方案中的主设备在检测到自身和备份设备的心跳和引擎都正常时，才会检测自身的配置文件与备份设备的配置文件是否一致，这样可以保证顺利地同步配置文件，不会造成资源浪费；当检测结果为不一致时，这就说明用户在主设备或者备份设备创建了最新的配置文件，这里既可以在主设备创建配置文件，又可以在备份设备创建配置文件，当主设备繁忙时，可以选择在备份设备上创建配置文件，就可以保证主设备一直处于处理业务的状态，能够及时地处理业务；然后确定文件同步方向，与备份设备建立TCP连接，并根据确定的文件同步方向同步最新的配置文件，这样既可以保证主备设备之间高效的同步配置文件，又可以保证主设备和备份设备上都是最新的配置文件，一旦链路发生切换，切换后的设备可以直接进行业务处理，延长了网络安全系统的持续运行时间。

具体的，上述S12中的高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常，具体包括：主设备以第一设定周期向对端设备发送携带设备引擎当前状态的UDP单播心跳数据包；当主设备在第二设定周期内接收到备份设备以第一设定周期发送的UDP单播心跳数据包、并解析出备份设备引擎的当前状态为激活状态时，确定自身和备份设备的心跳和引擎正常。

在本发明实施例中，主设备和备份设备之间使用的是UDP单播，现有的还可以采用多播、广播等方式，但多播、广播等方式的缺点是网络负载较大，并且没有确认机制，因此，在这里采用UDP单播方式，从而可以避免多播、广播等方式的缺点。

用户可根据当前网络的实际情况，设置第一设定周期和第二设定周期，其中第一设定周期是发送UDP单播心跳数据包的周期，第二设定周期时没有接收到UDP单播心跳数据包的周期，可以分别设置为1和3，即每秒发送一个UDP单播心跳数据包，当3秒收不到对端设备发送的UDP单播心跳数据包时，则认为对端设备心跳异常。当对端设备心跳异常时，同步配置文件是没有任何意义的，因此，将不会同步配置文件，直到对端设备恢复心跳为止。

如图2所示，UDP单播心跳数据包的结构可以为:

其中：

type：表示UDP单播心跳数据包的类型，一共有9种，在本发明实施例中，需要的是第5种（NS_HB_MSG_MASTER_READY）和第6种（NS_HB_MSG_SLAVE_READY）类型，其他7种类型在这里不再赘述。

who：本设备主、备类型，即master or slave，主或备。

mode：高可用性工作模式，即master-master or master-slave，主主或主备。

status：本设备实时工作状态，即active or standby，主或备。

reserved：本设备引擎的状态，即active or inactive，激活或非激活。

data：本设备有关链路的详细信息，比如接口状态等，在链路保持与切换中使用，本文不再详细阐述。

具体的，上述S13中的确定文件同步方向，具体包括：当主设备的配置文件为最新的配置文件时，从主设备向备份设备同步配置文件；当备份设备的配置文件为最新的配置文件时，从备份设备向主设备同步配置文件。

在本发明实施例中，不仅可以在主设备上创建配置文件，也可以在备份设备上创建配置文件，当主设备处理业务非常忙碌的时候，就可以在备份设备上创建配置文件，然后再同步给主设备即可，这样就保证了主设备可以及时、有效地处理业务。当由用户指示同步方向时，可以通过接收同步命令的方式来确定同步方向，例如：当主设备通过函数do_mgt（）接收到用户发送的同步本地文件命令SYNC_ME时，可以通过NS_HA_MGMT_SYNC_ME发送给备份设备；主设备通过函数do_mgt（）接收到用户发送的同步对端文件命令SYNC_PEER。

具体的，当确定从主设备向备份设备同步配置文件时，上述S13中的根据确定的文件同步方向同步最新的配置文件，如图3所示，具体执行步骤如下：

S30：主设备向备份设备发送同步本地文件命令。

主设备和备份设备建立TCP连接后，主设备直接向备份设备发送同步本地文件命令，也就是说通知备份设备来同步配置文件。具体的，主设备可以发送NS_HA_MGMT_SYNC ME给备份设备。

S31：备份设备接收到主设备发出的同步本地文件命令后，向主设备发出第一文件同步请求。

备份设备在接收了NS_HA_MGMT_SYNC_ME后，可以向主设备发送NS_SYNC_FILE_MSG_REQUEST，也就是向主设备请求进行文件同步。

S32：主设备接收到备份设备发送的第一文件同步请求后，向备份设备发送第一文件同步响应。

主设备接到NS_SYNC_FILE_MSG_REQUEST向备份设备发送NS_SYNC_FILE_MSG_READY，这个时候主设备就可以向备份主设备同步配置文件了。

S33：备份设备接收到第一文件同步响应后，向主设备发出第一准备就绪消息。

备份设备接收到NS_SYNC_FILE_MSG_READY后，向主设备发送NS_SYNC_FILE_MSG_READY_ACK，通知主设备已做好接收准备。

S34：主设备接收到备份设备发送的第一准备就绪消息后，向备份设备同步最新的配置文件。

主设备在接收到NS_SYNC_FILE_MSG_READY_ACK后，得知备份设备已做好接收配置文件的准备，直接向备份设备同步最新的配置文件。

当确定从主设备向备份设备同步配置文件后，主设备与备份设备三次握手建立TCP连接；然后主设备向备份设备发送同步本地文件命令，备份设备接收到主设备发出的同步本地文件命令后，向主设备发出第一文件同步请求；主设备接收到备份设备发送的第一文件同步请求后，向备份设备发送第一文件同步响应；备份设备接收到第一文件同步响应后，向主设备发出第一准备就绪消息；主设备接收到备份设备发送的第一准备就绪消息后，向备份设备同步最新的配置文件。本发明中的主设备向备份设备同步配置文件时，不仅主设备和备份设备之间要建立TCP连接，还需要进一步确认备份设备是否已经做好了接收配置文件的准备以及主设备是否已经做好了同步配置文件的准备，在确认主设备和备份设备准备就绪后，才会同步配置文件，这样就可以确保主设备可以向备份设备同步配置文件以及备份设备可以接收到主设备同步的配置文件，提高配置文件同步的可靠性，从而可以确保链路切换后备份设备正常接替主设备工作，进而延长网络安全系统的持续运行时间。

具体的，当确定从备份设备向主设备同步配置文件时，上述S13中的根据确定的文件同步方向同步最新的配置文件，如图4所示，具体执行步骤如下：

S40：主设备向备份设备发送第二文件同步请求。

主设备和备份设备建立TCP连接后，向备份设备发送NS_SYNC_FILE_MSG_REQUEST，来请求同步备份设备的配置文件。

S41：备份设备接收主设备发出的第二文件同步请求后，向主设备发送第二文件同步响应。

备份设备接收到NS_SYNC_FILE_MSG_REQUEST后，向主设备发送NS_SYNC_FILE_MSG_READY，来响应主设备的请求，通知主设备可以同步配置文件了。

S42：主设备接收到备份设备发送的第二文件同步响应后，向备份设备发送第二准备就绪消息。

主设备接收到NS_SYNC_FILE_MSG_READY，向备份设备发送NS_SYNC_FILE_MSG_READY_ACK，通知备份设备已做好接收配置文件的准备。

S43：备份设备接收到主设备发送的第二准备就绪消息后，向主设备同步最新的配置文件。

备份设备接收到NS_SYNC_FILE_MSG_READY_ACK后，得到主设备可以接收配置文件了，就向主设备同步最新的配置文件即可。

S44：主设备接收备份设备同步的最新的配置文件。

主设备接收备份设备同步的最新的配置文件，并根据接收到的配置文件更新自身的配置文件，从而可以保持主设备和备份设备的配置文件的一致性。

当确定从备份设备向主设备同步配置文件后，主设备与备份设备三次握手建立TCP连接；然后主设备向备份设备发送第二文件同步请求，备份设备接收主设备发出的第二文件同步请求后，向主设备发送第二文件同步响应；主设备接收到备份设备发送的第二文件同步响应后，向备份设备发送第二准备就绪消息；备份设备接收到主设备发送的第二准备就绪消息后，向主设备同步最新的配置文件。本发明中的备份设备向主设备同步配置文件时，不仅主设备和备份设备之间要建立TCP连接，还需要进一步确认主设备是否已经做好了接收配置文件的准备以及备份设备是否已经做好了同步配置文件的准备，在确认主设备和备份设备准备就绪后，才会同步配置文件，这样就可以确保备份设备可以向主设备同步配置文件以及主设备可以接收到主设备同步的配置文件，提高配置文件同步的可靠性，从而可以确保链路切换后备份设备正常接替主设备工作，进而延长网络安全系统的持续运行时间。

基于同一发明构思，本发明提供一种配置文件同步装置，该装置可以设置在HA系统中，结构如图5所示，包括：

配置文件检测单元50，用于确定自身所在的高可用性系统中的主设备和备份设备的心跳和引擎正常时，检测主设备的配置文件与备份设备的配置文件是否一致；

同步方向确定单元51，用于当配置文件检测单元50检测检测结果为不一致时，确定文件同步方向；

配置文件同步单元52，用于与备份设备建立传输控制协议TCP连接后，并根据同步方向确定单元51确定的文件同步方向同步最新的配置文件。

具体的，上述配置文件检测单元50，具体用于：主设备以第一设定周期向对端设备发送携带设备引擎当前状态的用户数据包协议UDP单播心跳数据包；以及当主设备在第二设定周期内接收到备份设备以第一设定周期发送的UDP单播心跳数据包、并解析出备份设备引擎的当前状态为激活状态时，确定自身和备份设备的心跳和引擎正常。

具体的，上述同步方向确定单元51，具体用于：当主设备的配置文件为最新的配置文件时，从主设备向备份设备同步配置文件；当备份设备的配置文件为最新的配置文件时，从备份设备向主设备同步配置文件。

具体的，当同步方向确定单元51确定从主设备向备份设备同步配置文件时，上述配置文件同步单元52，具体用于：向备份设备发送同步本地文件命令；当接收到备份设备发送的第一文件同步请求后，向备份设备发送第一文件同步响应；在接收到备份设备发送的第一准备就绪消息后，向备份设备同步最新的配置文件。

具体的，当同步方向确定单元51确定从备份设备向主设备同步配置文件时，上述配置文件同步单元52，具体用于：向备份设备发送第二文件同步请求；当接收到备份设备发送的第二文件同步响应后，向备份设备发送第二准备就绪消息；以及接收备份设备同步的最新的配置文件。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种配置文件同步方法，其特征在于，包括：

高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常时，检测自身的配置文件与所述备份设备的配置文件是否一致；

当检测结果为不一致时，确定文件同步方向；

与所述备份设备建立传输控制协议TCP连接后，并根据确定的文件同步方向同步最新的配置文件。

2.如权利要求1所述的方法，其特征在于，高可用性系统中的主设备确定自身和备份设备的心跳和引擎正常，具体包括：

所述主设备以第一设定周期向备份设备发送携带引擎当前状态的用户数据包协议UDP单播心跳数据包；以及

当所述主设备在第二设定周期内接收到所述备份设备以所述第一设定周期发送的UDP单播心跳数据包、并解析出所述备份设备引擎的当前状态为激活状态时，确定自身和所述备份设备的心跳和引擎正常。

3.如权利要求1所述的方法，其特征在于，确定文件同步方向，具体包括：

当所述主设备的配置文件为最新的配置文件时，从所述主设备向所述备份设备同步配置文件；

当所述备份设备的配置文件为最新的配置文件时，从所述备份设备向所述主设备同步配置文件。

4.如权利要求3所述的方法，其特征在于，当确定从所述主设备向所述备份设备同步配置文件时，所述根据确定的文件同步方向同步最新的配置文件，具体包括：

向所述备份设备发送同步本地文件命令；

当接收到所述备份设备发送的第一文件同步请求后，向所述备份设备发送第一文件同步响应；

在接收到所述备份设备发送的第一准备就绪消息后，向所述备份设备同步最新的配置文件。

5.如权利要求3所述的方法，其特征在于，当确定从所述备份设备向所述主设备同步配置文件时，所述根据确定的文件同步方向同步最新的配置文件，具体包括：

向所述备份设备发送第二文件同步请求；

当接收到所述备份设备发送的第二文件同步响应后，向所述备份设备发送第二准备就绪消息；以及

接收所述备份设备同步的最新的配置文件。

6.一种配置文件同步装置，其特征在于，包括：

配置文件检测单元，用于确定自身所在的高可用性系统中的主设备和备份设备的心跳和引擎正常时，检测所述主设备的配置文件与所述备份设备的配置文件是否一致；

同步方向确定单元，用于当所述配置文件检测单元检测检测结果为不一致时，确定文件同步方向；

配置文件同步单元，用于与所述备份设备建立传输控制协议TCP连接后，并根据所述同步方向确定单元确定的文件同步方向同步最新的配置文件。

7.如权利要求6所述的装置，其特征在于，所述配置文件检测单元，具体用于：

所述主设备以第一设定周期向对端设备发送携带设备引擎当前状态的用户数据包协议UDP单播心跳数据包；以及

当所述主设备在第二设定周期内接收到所述备份设备以所述第一设定周期发送的UDP单播心跳数据包、并解析出所述备份设备引擎的当前状态为激活状态时，确定自身和所述备份设备的心跳和引擎正常。

8.如权利要求6所述的装置，其特征在于，所述同步方向确定单元，具体用于：

当所述主设备的配置文件为最新的配置文件时，从所述主设备向所述备份设备同步配置文件；

当所述备份设备的配置文件为最新的配置文件时，从所述备份设备向所述主设备同步配置文件。

9.如权利要求8所述的装置，其特征在于，当所述同步方向确定单元确定从所述主设备向所述备份设备同步配置文件时，所述配置文件同步单元，具体用于：

向所述备份设备发送同步本地文件命令；

当接收到所述备份设备发送的第一文件同步请求后，向所述备份设备发送第一文件同步响应；

在接收到所述备份设备发送的第一准备就绪消息后，向所述备份设备同步最新的配置文件。

10.如权利要求8所述的装置，其特征在于，当所述同步方向确定单元确定从所述备份设备向所述主设备同步配置文件时，所述配置文件同步单元，具体用于：

向所述备份设备发送第二文件同步请求；

当接收到所述备份设备发送的第二文件同步响应后，向所述备份设备发送第二准备就绪消息；以及

接收所述备份设备同步的最新的配置文件。

Images