CN102801659A - 一种基于流策略的安全网关实现方法及装置 - Google Patents

Abstract

本发明涉及数据通信领域，尤其涉及一种基于流策略的一体化多功能安全网关实现方法及装置。提供一种基于流策略的一体化多功能安全网关实现方法，旨在解决现有技术中数据报文的处理效率和处理器特别是多核处理器的利用效率都非常低的问题。本发明通过按照五元组并结合地址掩码和端口范围对数据流进行统一的策略设置，对数据报文进行一次性的流策略匹配并根据匹配结果按需调度相关的安全功能模块，提升多安全功能模块并存时流策略的查询效率。本发明主要应用于数据通信领域。

Description

一种基于流策略的安全网关实现方法及装置

技术领域

本发明涉及数据通信领域，尤其涉及一种基于流策略的一体化多功能安全网关实现方法及装置。

背景技术

目前，市场上的UTM（Unified Threat Management，网络安全产品方面）等多功能安全网关设备通常采用的是各安全功能分别配置和查询安全策略的软件处理流程，且各安全功能只能串行处理数据报文，不能并行处理，一个数据报文在整个系统中要经过很多次的策略检索和处理，效率很低，功能越多实际处理效果越差，其处理模型如图1所示：

网卡接收到数据报文之后，要经过多个安全功能模块的层层拦截处理，每次都要提取数据报文的五元组（源与目的IP地址、传输层的源与目的端口、传输层协议号）信息，遍历该安全功能对应的策略列表，结合地址掩码和端口范围进行匹配操作，一个数据报文从进入系统到离开系统，有很多这样的重复动作。

现有的这种多安全功能策略查询与处理方法，基本工作在串行模式，很多非常雷同的策略匹配操作，并行性差，重复量大，造成数据报文的处理效率和处理器特别是多核处理器的利用效率都非常低，需要占用很多的内存资源和中央处理器的开销。

发明内容

本发明的目的在于：提供一种基于流策略的一体化多功能安全网关实现方法，旨在解决现有技术中各安全功能模块各自进行策略查询与匹配，导致并行性差，重复量大，造成数据报文的处理效率和处理器特别是多核处理器的利用效率都非常低的问题。

本发明采用的技术方案如下：

一种基于流策略的安全网关实现方法，其特征在于包括

步骤1：处理器根据五元组、地址掩码与端口范围定义数据流，并对数据流配置多个安全功能标志位，形成流策略，所述多个流策略形成流策略列表； 

步骤2：处理器启动多个安全功能检测线程，各个安全功能检测线程分别实现安全功能检测；

步骤3：处理器对网卡接收到数据报文与所述流策略列表进行流策略匹配，根据匹配结果，采用位图方式为每个数据报文加载位图标签；

步骤4：根据数据报文加载的位图标签调度安全功能检测线程，实现对数据报文不同的安全功能检测处理，根据安全功能检测结果处理数据报文；

步骤5：所述安全功能检测处理结果若其中一个为“丢弃”则该数据报文应该丢弃。

所述步骤1中所述流策略列表包括多个流策略，所述流策略是不同五元组信息、不同地址掩码、不同端口范围及多个安全功能标志位的流策略。

所述步骤3中对网卡接收到的数据报文与所述流策略列表进行流策略匹配的具体过程是：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，否则该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成位图标签加载到所述数据报文中。

所述步骤3中位图标签由多个“0”或“1”组成的数组，所述位图标签中“1”表示需要进行安全功能检测的处理，所述位图标签中“0”表示该数据报文无需进行安全功能检测的处理。

所述步骤4中调度的安全功能检测线程是并行处理同一数据报文或者不同数据报文。

所述步骤4中安全功能检测结果包括通过、报警或丢弃，若是安全功能检测结果其中一个为“丢弃”，则该数据报文将被丢弃；若安全功能检测结果均为“通过”，则该数据报文通过网卡转发;若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信等方式通知管理员，对该数据报文仍可进行“通过”或“丢弃”处理。

所述步骤1之前还包括启动若干线程，分别运行实现各安全功能模块的线程；并初始化统一的流策略列表，加载流策略的步骤。

一种基于流策略的安全网关实现装置，其特征在于包括初始化模块，用于初始化安全功能模块，根据五元组、地址掩码及数据范围对数据流进行流策略加载，形成流策略，并进一步形成流策略列表；策略匹配模块，用于将网卡接受到数据报文与流策略列表进行查询匹配，根据匹配结果为数据报文加载位图标签；数据处理模块，用于根据数据报文加载的位图标签调度安全功能模块，对数据报文进行处理； 数据发送模块，用于根据安全功能模块的处理结果处理数据报文。

所述流策略列表是包括多个流策略，流策略是不同地址掩码、端口范围及多个安全功能标志位的流策略。

策略匹配模块将网卡接受到数据报文与流策略列表进行查询匹配具体过程是：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与每个流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成位图标签加载到所述数据报文中，位图标签比特位为“1”表示需要进行安全功能检测的处理，位图标签比特位是“0”则表示该数据报文无需进行安全功能检测的处理；所述数据处理模块调度的安全功能模块时并行处理同一数据报文或者不同数据报文；所述数据发送模块处理结果包括通过、报警或丢弃，数据发送模块处理结果若是其中一个为“丢弃”，则该数据报文将被丢弃；若安全检测结果均为“通过”，则该数据报文才能正常转发，安全功能检测结果，若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信方式通知管理员，对该数据报文进行“通过”或“丢弃”处理。

综上所述，由于采用了上述技术方案，本发明的有益效果是：本发明采用的技术方案如下：本发明通过按照五元组并结合地址掩码和端口范围对数据流进行统一的策略设置，对数据报文进行一次性的流策略匹配并根据匹配结果按需调度相关的安全功能模块，从而可以极大地提升多安全功能模块并提高流策略的查询效率，并可提高多个安全功能模块运行的并行度，实现数据报文的处理效率及处理器特别是多核处理器利用效率的大幅提高。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1是现有技术中一体化多功能安全网关（UTM等）处理模型；

图2是本发明基于流策略的一体化多功能安全网关的实现流程图；

图3是本发明基于流策略的一体化多功能安全网关实现模型；

图4是本发明基于流策略的一体化多功能安全网关装置的结构图。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书（包括任何附加权利要求、摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

本设计相关术语定义

五元组信息：通信术语。通常是指由源IP地址，源端口，目的IP地址，目的端口，和传输层协议号这五个量组成的一个集合；

数据报文包含源端口号、目的端口号、源IP地址、目的IP地址、协议号；  

流策略列表：包括多个流策略，所述流策略是不同五元组、地址掩码、端口范围及多个安全功能标志位的流策略。每个流策略是只为所匹配数据流的数据报文配置涵盖安全功能检测的流策略；每条数据报文所要进行的安全功能检测内容是不同的，因此在设置流策略时，若数据报文需要进行某个安全功能检测，则设置相应标志位，若数据报文不需要进行某个功能检测，则不设置对应标志位，为后续形成位图标签提供基础；

地址掩码：（Address mask），也叫子网掩码，网络掩码。它是一种用来指明一个IP地址的哪些位标识的是主机所在的子网以及哪些位标识的是主机的位掩码。子网掩码不能单独存在，它必须结合IP地址一起使用。子网掩码只有一个作用，就是将某个IP地址划分成网络地址和主机地址两部分。在使用ping、netstat等工具时，会出现Address masks；

安全功能（通过安全功能模块1、安全功能模块2……安全功能模块n实现各个安全功能）包括防火墙功能检测、病毒过滤检测、入侵防御检测、垃圾邮件过滤检测、应用识别与控制检测、网页防篡改检测、抗DoS攻击检测、流量控制检测等与网络应用相关的安全功能；

位图标签：是以8比特字节为单位的数组，数组长度L取决于需要进行安全功能检测的数目N，L=                                               

，这个公式表示N的长度是L长度的8倍，位图标签是由N个“0”或“1”组成的数组。

实施例一：如图2所示，本发明实施例提供的基于流策略的一体化多功能安全网关实现方法的实施流程，详述如下：

在步骤1中，处理器按照五元组并结合地址掩码与端口范围定义数据流，并对该数据流进行统一的策略设置，只为该数据流配置一条涵盖特定安全功能的流策略，多个流策略形成流策略列表；

在步骤2中，处理器启动多个安全功能检测线程，分别实现各安全功能，在多核平台上可由不同的处理器核运行不同的功能线程，使各功能模块达到最大的并行度。

在步骤3中，处理器对网卡接收到的数据报文与流策略列表中的每个流策略进行查询匹配，根据查询匹配的结果，采用位图的方式为每个数据报文打上位图标签。

在步骤4中，处理器根据数据报文加载的位图标签按需调度相应各安全功能模块的实现线程对该数据报文进行相应的多个不同安全功能的处理，根据安全功能检测结果处理数据报文，从而可以极大地提升多安全功能模块并存时流策略的查询效率，提高多安全功能模块运行的并行度，实现数据报文的处理效率及处理器特别是多核处理器利用效率的大幅提高。

实施例二：在实施例一基础上，所述步骤1流策略列表包括多个流策略，所述流策略是不同五元组信息、不同地址掩码、不同端口范围及多个安全功能标志位组成的流策略。

实施例三：在实施例一或二基础上，如图3所示，所述步骤3中网卡接收到的数据报文与流策略列表中每个流策略进行查询匹配具体过程，详述如下：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与每个流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，否则该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成对应的位图标签加载到所述数据报文中，若流策略中包括对应的安全功能标志位，则位图标签比特位设置为“1”，若流策略中不包括对应的安全功能标志位，则位图标签比特位设置为“0”，即位图标签比特位是“1”表示需要进行该位所对应安全功能的处理，位图标签比特位是“0”则表示该数据报文无需进行该位所对应安全功能的处理。

举例说明：对于网卡接收到的数据报文源IP地址（Sip-A）、目的IP地址(Dip-A)、源端口地址（Sport-A）、目的端口地址（Dport-A）、协议格式（Protocol-A），流策略列表中的流策略源IP地址掩码（Smask-1）、目的IP地址掩码（Dmask-2）、源端口范围（Sport_range-1）、目的端口范围（Dport_range-1），若此数据报文需要与流策略列表中某一个流策略进行查询匹配需要满足以下条件：Sip-A&Smask-1=Sip-1,  Dip-A&Dmask-2=Dip-2, Protocol-A=Protocol-1，Sport-A在Sport_range-1之内，Dport-A在 Dport_range-1之内。每个数据报文在匹配完流策略之后都会带上一个位图标签，设备支持N种安全功能，位图就有N位，位图对应位置“1“表示需要采用该安全功能对该数据报文进行处理，位图对应位置”0“表示需要不采用该安全功能对该数据报文进行处理。。

实施例四：在实施例一、二或三基础上，所述步骤3中位图标签由多个“0”或“1”组成的数组，所述位图标签比特位中“1”表示需要进行该位所对应安全功能的处理，所述位图标签比特位中“0”表示该数据报文无需进行该位所对应安全功能的处理。

实施例五：在实施例一至四之一的基础上，所述步骤4中在多核硬件环境下，承载各安全功能检测线程可以实现并行处理。对于同一条数据流，同一时间可以由不同的功能线程处理不同的数据报文，同一数据报文按接受顺序一一处理，从而形成流水线处理机制；也可以通过指针传递，各功能线程同时处理同一个数据报文（前提条件是不改变数据报文的内容），两种方式都可以达到较高的处理效率和数据吞吐率。

实施例六：在实施例一至五之一基础上，所述步骤4中安全功能检测结果包括通过网卡转发、报警或丢弃，若是安全功能检测结果其中一个为“丢弃”，则该数据报文将被丢弃；若安全功能检测结果均为“通过”，则该数据报文才能正常转发; 若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信等方式通知管理员，对该数据报文仍可进行“通过”或“丢弃”处理。

实施例七：在实施例一至六之一的基础上，步骤1之前还包括启动若干线程，分别运行实现各安全功能模块的程序；并初始化统一的流策略列表，加载流策略的步骤。

图4则示出了本发明实施例提供的基于流策略的一体化多功能安全网关实现装置42，为了便于说明，仅示出了与本发明实施例相关的部分，这些部分可以是软件、硬件或软硬件结合的模块：

实施例十一：本装置42包括初始模块421、策略匹配模块422、数据处理模块423以及数据发送模块424。

其中，初始化模块421用于初始化安全功能模块，根据五元组、地址掩码及数据范围对数据流进行流策略加载，形成流策略，并进一步通过多个流策略形成流策略列表。

策略匹配模块422用于将网卡接受到数据报文与初始化模块中的流策略列表进行查询匹配，根据匹配的结果为数据报文加载位图标签，位图标签比特位置“1”表示需要进行该位所对应安全功能的处理，置“0”则表示该数据报文无需进行该位所对应安全功能的处理，然后将加载位图标签的数据报文传递给数据处理模块。

数据处理模块423根据数据报文所加载的位图标签按需调度相应各安全功能模块的实现线程，对数据报文进行处理。

数据发送模块424，根据各安全功能模块的处理结果，决定数据报文的最终去向，或者在路由或网桥寻路之后通过网卡转发，或者重定向到其他安全设备，或者报警并记录日志，或者直接丢弃数据报文等等。

实施例十二：在实施例十一基础上，所述流策略列表是包括多个流策略，流策略是不同地址掩码、端口范围及需要进行安全功能标志位的流策略。

实施例十三：在实施例十一或十二基础上，所述策略匹配模块，用于将网卡接受到数据报文与流策略列表进行匹配具体过程，详述如下：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与每个流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，否则该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成对应的位图标签加载到所述数据报文中，若流策略中包括对应的安全功能标志位，则位图标签比特位设置为“1”，若流策略中不包括对应的安全功能标志位，则位图标签比特位设置为“0”，即位图比特位置“1”表示需要进行该位所对应安全功能的处理，置“0”则表示该数据报文无需进行该位所对应安全功能的处理。

实施例十四：在实施例十一、十二或十三基础上，数据处理模块调度的安全功能模块时并行处理同一数据报文或者不同数据报文，各安全功能检测线程可以实现并行处理。对于同一条数据流，同一时间可以由不同的功能线程处理不同的数据报文，同一数据报文按接受顺序一一处理，从而形成流水线处理机制；也可以通过指针传递，各功能线程同时处理同一个数据报文（前提条件是不改变数据报文的内容），两种方式都可以达到较高的处理效率和数据吞吐率。

实施例十五：在实施例十一至实施例十四基础上，数据发送模块处理结果包括通过、报警或丢弃，数据发送模块处理结果若是其中一个为“丢弃”，则该数据报文将被丢弃；若安全检测结果均为“通过”，则该数据报文才能正常转发，安全检测结果，若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信等方式通知管理员，对该数据报文仍可进行“通过”或“丢弃”处理。。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。 

Claims (10)

1.一种基于流策略的安全网关实现方法，其特征在于包括

步骤1：处理器根据五元组、地址掩码与端口范围定义数据流，并对数据流配置多个安全功能标志位，形成流策略，所述多个流策略形成流策略列表； 

步骤2：处理器启动多个安全功能检测线程，各个安全功能检测线程分别实现安全功能检测；

步骤3：处理器对网卡接收到数据报文与所述流策略列表进行流策略匹配，根据匹配结果，采用位图方式为每个数据报文加载位图标签；

步骤4：处理器根据数据报文加载的位图标签调度安全功能检测线程，实现对数据报文不同的安全功能检测处理，根据安全功能检测结果处理数据报文。

2.根据权利要求1所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤1中所述流策略列表包括多个流策略，所述流策略是不同五元组信息、不同地址掩码、不同端口范围及多个安全功能标志位的流策略。

3.根据权利要求2所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤3中对网卡接收到的数据报文与所述流策略列表进行流策略匹配的具体过程是：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，否则该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成位图标签加载到所述数据报文中。

4.根据权利要求3所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤3中位图标签由多个“0”或“1”组成的数组，所述位图标签中“1”表示需要进行安全功能检测的处理，所述位图标签中“0”表示该数据报文无需进行安全功能检测的处理。

5.根据权利要求4所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤4中调度的安全功能检测线程是并行处理同一数据报文或者不同数据报文。

6.根据权利要求1至5之一所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤4中安全功能检测结果包括通过、报警或丢弃，若是安全功能检测结果其中一个为“丢弃”，则该数据报文将被丢弃；若安全功能检测结果均为“通过”，则该数据报文通过网卡转发;若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信等方式通知管理员，对该数据报文仍可进行“通过”或“丢弃”处理。

7.根据权利要求6所述的一种基于流策略的安全网关实现方法，其特征在于所述步骤1之前还包括启动若干线程，分别运行实现各安全功能模块的线程；并初始化统一的流策略列表，加载流策略的步骤。

8.根据权利要求1所述的一种基于流策略的安全网关实现装置，其特征在于包括

初始化模块，用于初始化安全功能模块，根据五元组、地址掩码及数据范围对数据流进行流策略加载，形成流策略，并形成流策略列表；

策略匹配模块，用于将网卡接受到数据报文与流策略列表进行查询匹配，根据匹配结果为数据报文加载位图标签；

数据处理模块，用于根据数据报文加载的位图标签调度安全功能模块，对数据报文进行处理； 

数据发送模块，用于根据安全功能模块的处理结果处理数据报文。

9.根据权利要求8所述的一种基于流策略的安全网关实现装置，其特征在于所述流策略列表是包括多个流策略，流策略是不同地址掩码、端口范围及多个安全功能标志位的流策略。

10.根据权利要求9所述的一种基于流策略的安全网关实现装置，其特征在于策略匹配模块将网卡接受到数据报文与流策略列表进行查询匹配具体过程是：

步骤31：通过将网卡接收的数据报文的源IP地址与数据报文的目的IP地址分别与每个流策略的地址掩码进行与运算，若与运算结果与流策略中的源IP地址与流策略目的IP地址相同，则数据报文的源IP地址与数据报文目的IP地址符合条件，该数据报文视为不匹配该策略；

步骤32：通过判断网卡接收的数据报文的源端口地址与网卡接收的数据报文的目的端口地址分别对应属于流策略的源端口范围与流策略的目的端口范围，则数据报文的源端口地址与数据报文的目的端口地址符合条件，否则该数据报文视为不匹配该策略；

步骤33：通过将网卡接收的数据报文的协议号与流策略列表中传输层协议号相同，则数据报文的协议号符合条件，否则该数据报文视为不匹配该策略；

步骤34：将所述的流策略包括的安全功能标志位形成位图标签加载到所述数据报文中，位图标签比特位为“1”表示需要进行安全功能检测的处理，位图标签比特位是“0”则表示该数据报文无需进行安全功能检测的处理；所述数据处理模块调度的安全功能模块时并行处理同一数据报文或者不同数据报文；所述数据发送模块处理结果包括通过、报警或丢弃，数据发送模块处理结果若是其中一个为“丢弃”，则该数据报文将被丢弃；若安全检测结果均为“通过”，则该数据报文才能正常转发，安全功能检测结果，若安全功能检测结果为“报警”，则只是记录报警日志并通过邮件、短信方式通知管理员，对该数据报文进行“通过”或“丢弃”处理。

Images