CN103973573B - 会话备份方法、报文转发方法及其装置 - Google Patents

Abstract

本发明提供一种会话备份方法、报文转发方法及其装置，应用于防火墙集群中的任一安全设备，该会话备份方法包括：当根据接收到的请求报文创建会话时，将请求报文的源地址转换为预设源地址；按照请求报文的源地址和目的地址计算第一位置，以及按照请求报文转换后的源地址和目的地址计算第二位置，并将第一位置和第二位置中的任一位置作为会话的备份位置，将另一位置作为会话的导向位置；其中，所述导向位置存储用于查询会话位置的查询表项，所述会话的备份位置存储会话的备份数据。在本发明的技术方案中，通过创建会话备份位置和会话导向位置，使得无论基于请求报文的地址信息或是响应报文的地址信息，都可以顺利实现对报文的正确转发。

Description

会话备份方法、报文转发方法及其装置

技术领域

本发明涉及通信技术领域，尤其涉及会话备份方法、报文转发方法及其装置。

背景技术

防火墙集群是将多台防火墙捆绑使用，可以按照需要新增或减少防火墙以调整防火墙集群的整体性能。如图1所示，由防火墙1、防火墙2、防火墙3和防火墙4构成了防火墙集群，且该防火墙集群部署在路由设备11和路由设备12之间。在工作过程中，流量可以通过链路捆绑方式分担到防火墙。

出于数据安全性的考虑，防火墙集群通常配置有NAT(Network AddressTranslation，网络地址转换)业务功能。比如路由设备11将请求报文分配至防火墙1处理，假定该请求报文的源地址为X、目的地址为Y，则经过NAT转换后的源地址为Z。

基于防火墙集群的冗余技术，防火墙1根据上述请求报文创建会话后，需要选择另一台防火墙进行会话备份。而该备份防火墙是根据会话的特征信息计算得到的，但根据请求报文的源地址X、目的地址Y进行计算的备份位置，与根据响应报文的源地址Y、目的地址Z进行计算的备份位置不同。

因此，当路由设备12将响应报文分配至除防火墙1之外的任一防火墙时，该防火墙既不能够直接处理响应报文，也无法根据响应报文的信息计算出正确的会话备份位置(即首先根据请求报文的信息计算得到的备份位置)，无法利用会话备份数据来指导响应报文的转发。

发明内容

有鉴于此，本发明提供一种新的技术方案，可以通过创建会话备份位置和会话导向位置，使得无论基于请求报文的地址信息或是响应报文的地址信息，都可以顺利实现对报文的正确转发。

为实现上述目的，本发明提供技术方案如下：

一种会话备份方法，应用于防火墙集群中的任一安全设备，包括：

当根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址；

按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置；

其中，所述导向位置存储用于查询会话位置的查询表项，所述会话的备份位置存储会话的备份数据。

相应地，本发明还提出了一种会话备份装置，应用于防火墙集群中的任一安全设备，包括：

地址转换单元，用于在根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址；

处理单元，用于按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置；

其中，所述导向位置存储用于查询会话位置的查询表项，所述会话的备份位置存储会话的备份数据。

根据本发明的另一方面，还提出了一种报文转发方法，应用于防火墙集群中的任一安全设备，包括：

根据接收到的报文的源地址和目的地址计算出位置信息；

当所述位置信息对应于会话备份位置时，根据所述会话备份位置存储的会话备份数据，指导所述报文的转发；以及

当所述位置信息对应于会话导向位置时，根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发。

相应地，本发明还提出了一种报文转发装置，应用于防火墙集群中的任一安全设备，包括：

位置计算单元，用于根据该报文的源地址和目的地址计算出位置信息；

第一报文转发单元，用于在所述位置信息对应于会话备份位置的情况下，根据所述会话备份位置存储的会话备份数据，指导所述报文的转发；

第二报文转发单元，用于在所述位置信息对应于会话导向位置的情况下，根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发。

由以上技术方案可见，本发明通过创建会话备份位置和会话导向位置，使得无论基于请求报文的地址信息或是响应报文的地址信息，都可以顺利实现对报文的正确转发。

附图说明

图1示出了相关技术中防火墙集群的结构示意图；

图2示出了根据本发明的一个实施例的会话备份方法的示意流程图；

图3A示出了根据本发明的一个实施例的根据会话备份指导报文转发的示意图；

图3B示出了根据本发明的另一个实施例的根据会话备份指导报文转发的示意图；

图4示出了根据本发明的一个实施例的会话备份装置的结构示意图；

图5示出了根据本发明的一个实施例的报文转发装置的结构示意图。

具体实施方式

本发明通过创建会话备份位置和会话导向位置，使得无论基于请求报文的地址信息或是响应报文的地址信息，都可以顺利实现对报文的正确转发。

为对本发明进行进一步说明，提供下列实施例：

图2示出了根据本发明的一个实施例的会话备份方法的示意流程图。

如图2所示，根据本发明的一个实施例的会话备份方法应用于防火墙集群中的任一安全设备，包括：

步骤202，当根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址。

步骤204，按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置。

具体地，会话备份位置(即会话的备份位置)用于存储会话备份数据，并通过该会话备份数据来直接指导报文的转发；而会话导向位置(即会话的导向位置)则用于存储查询表项，可查询会话位置，以实现对报文转发的间接指导。基于对会话备份位置和会话导向位置的不同选择方式，下面将结合图3A和图3B，对多种较为具体的示例性实施例进行说明。

实施例一

图3A示出了根据本发明的一个实施例的根据会话备份指导报文转发的示意图。

如图3A所示，网络设备11根据请求报文的源地址X、目的地址Y，从防火墙集群中选择出相应的防火墙，以用于处理该请求报文。具体地，比如可以根据源地址X和目的地址Y进行哈希(HASH)计算，以实现对请求报文的正确分配。

假定请求报文被分配至防火墙集群中的防火墙1，则防火墙1根据请求报文创建会话，即防火墙1作为会话创建位置。防火墙1根据请求报文的源地址X和目的地址Y，计算出当前会话的备份位置，比如为防火墙3。同时，防火墙1对请求报文执行NAT转换，将源地址X转换为新的源地址Z，则防火墙1还根据请求报文的新的源地址Z和目的地址Y，计算出当前会话的导向位置，比如为防火墙2。

本领域技术人员应该理解的是，对于会话备份位置或会话导向位置的计算方式有很多，通常可采用哈希运算，对于其它计算方式并实施例并不做限定，只要能够根据报文的地址信息(如上述的源地址和目的地址)确定唯一的位置即可。作为一种较为具体的示例性实施例，下面以根据请求报文的地址信息来计算会话备份位置为例进行说明。

防火墙	1	2	3	4
					位置编号	0	1	2	3

表1

A.预先为防火墙集群中的每个防火墙设置一个位置编号，比如表1所示，防火墙1对应于位置编号0、防火墙2对应于位置编号1、防火墙3对应于位置编号2、防火墙4对应于位置编号3等。

B.根据报文的地址信息进行哈希运算。具体地，比如根据请求报文的源地址X和目的地址Y，用哈希运算得到一个数值m。

C.基于防火墙集群中所有防火墙的个数，比如n(图3A中n＝4)，确定m/n对应的位置编号，并将该位置编号对应的防火墙作为请求报文对应的会话备份位置。

对于请求报文：

作为会话备份位置的防火墙3，用于存放当前会话的备份数据。

防火墙1作为会话创建位置，能够直接对请求报文进行NAT转换、发送至网络设备12以及将会话备份数据存储至会话备份位置(即防火墙3)。

对于响应报文：

请求报文的接收方在返回相应的响应报文之后，由网络设备12基于响应报文的源地址Y和目的地址Z，从防火墙集群中选择出相应的防火墙，以用于处理该响应报文。具体地，比如可以根据源地址Y和目的地址Z进行哈希计算，以实现对请求报文的正确分配。

作为会话导向位置的防火墙2，用于存放查询表项。假定响应报文被分配至防火墙集群中的防火墙4，则防火墙4根据响应报文的源地址Y和目的地址Z，计算出作为会话导向位置的防火墙2，并在防火墙2中查找与响应报文相匹配的查询表项。

由于防火墙2中可能存储有对应于多个会话的多个查询表项，因而每个查询表项中至少包含报文匹配信息，比如响应报文的五元组，以用于匹配该响应报文；同时，查询表项中还可以包含其他信息，以用于指导对响应报文的转发。

实施方式一

查询表项中可以包含会话创建位置的信息，则防火墙4根据匹配于响应报文的查询表项，可以得知防火墙1为相应会话的创建位置，并将响应报文交由防火墙1进行处理。具体地，比如防火墙4通过与防火墙1之间直接建立的物理链路来传输响应报文；或者，比如防火墙4通过防火墙3和防火墙2的依次转发，将响应报文传输至防火墙1。

因此，基于会话导向位置的创建，使得防火墙1能够对请求报文和响应报文进行正确转发，并将相应的会话数据备份至防火墙3(会话备份位置)。并且，由于会话导向位置仅用于存储查询表项，并不会导致占用过多的内存空间，有助于提升防火墙集群的整体性能。

实施方式二

查询表项中可以包含会话备份位置的信息，则防火墙4根据匹配于响应报文的查询表项，可以得知防火墙3作为会话备份位置。因此，防火墙4可以从防火墙3中获取当前会话的备份数据，并由防火墙4根据该会话备份数据指导对响应报文的正确转发。

同时，由于查询表项中包含会话备份位置的信息，使得即便作为会话创建位置的防火墙1由于故障等原因导致不可用(DOWN)，其他任一防火墙也可以根据请求报文的源地址X和目的地址Y直接确定会话备份位置，或者根据响应报文的源地址Y和目的地址Z确定会话导向位置、并进而确定会话备份位置，从而根据会话备份位置存储的会话备份数据来实现对请求报文和响应报文的正确转发。

实施方式三

查询表项中可以同时包含会话创建位置和会话备份位置的信息，则当防火墙1可用时，防火墙4可以根据会话创建位置的信息，将响应报文交由防火墙1进行处理；而当防火墙1不可用时，则防火墙4可以根据会话备份位置的信息，直接获取会话备份数据，从而由防火墙4指导响应报文的正确转发。

其中，每个防火墙的状态对于防火墙集群而言都是可知的，因而可以准确获知每个防火墙是否可用(例如上文中获知防火墙1不可用)。具体地，比如每台防火墙可以通过特定的报文来通知自身状态；或者，也可以通过如按周期发送的保活报文，来确定某个防火墙的状态是否可用。

此外，在实施方式二和实施方式三中，通过使查询表项中包含会话备份位置的信息，则即便会话创建防火墙不可用时，仍然能够实现对请求报文和响应报文的正确转发，使得只需要在会话备份位置存储一份会话备份数据，避免了对内存的过多占用。

实施例二

图3B示出了根据本发明的另一个实施例的根据会话备份指导报文转发的示意图。

如图3B所示，区别于实施例一，可以将基于请求报文的源地址X和目的地址Y计算出当前会话的导向位置(如防火墙3)，并基于请求报文的新的源地址Z和目的地址Y计算出当前会话的备份位置(如防火墙2)。

对于请求报文：

作为会话备份位置的防火墙2，用于存放当前会话的备份数据。

防火墙1作为会话创建位置，能够直接对请求报文进行NAT转换、发送至网络设备12以及将会话备份数据存储至会话备份位置(即防火墙2)。

对于响应报文：

假定响应报文被网络设备12分配至防火墙4进行处理，则防火墙4根据响应报文的源地址Y和目的地址Z，计算出作为会话备份位置的防火墙2，并根据防火墙2中存储的会话备份数据，指导对响应报文的转发。

可见，由于会话备份位置是基于请求报文NAT转换后的源地址Z和目的地址Y(即响应报文的源地址Y和目的地址Z)计算的，使得即便作为会话创建位置的防火墙1不可用，则其他任一防火墙仍然能够根据响应报文的源地址Y和目的地址Z直接确定会话备份位置，并根据会话备份数据指导响应报文的正确转发。

作为会话导向位置的防火墙3，用于存放查询表项。查询表项中可以包含报文匹配信息和会话备份位置的信息。报文匹配信息：由于防火墙3中可能存储有对应于多个会话的多个查询表项，因而每个查询表项中至少包含报文匹配信息，比如请求报文的五元组，以用于匹配该请求报文。会话备份位置的信息：通过记载会话备份位置的信息，使得即便防火墙1不可用时，其他任一防火墙仍然能够根据请求报文的源地址X和目的地址Y直接确定会话导向位置，并根据会话备份位置的信息来获取会话备份数据，以指导请求报文的正确转发。

同时，通过使查询表项中包含会话备份位置的信息，则即便会话创建防火墙不可用时，仍然能够实现对请求报文和响应报文的正确转发，使得只需要在会话备份位置存储一份会话备份数据，避免了对内存的过多占用。

对应于作为会话创建位置的防火墙，图4示出了根据本发明的一个实施例的会话备份装置的结构示意图。

请参考图4，为了方便描述本申请将构成防火墙的安全设备的硬件架构进行了简化抽象，各个安全设备在硬件层面均包括处理器、内存、非易失性存储器以及网络接口。从业务层面来看，图4中的会话备份装置可理解为对应主机上的处理器将计算机程序读取到内存中然后执行所形成的逻辑装置(也称为“虚拟装置”)。当然本发明并不排除软件实现以外其他实现方式，比如可编程逻辑器件这样的实现方式等等，也就是说后续描述的各个处理步骤的执行主体可以采用硬件或逻辑器件等方式实现。在本实施方式中，所述会话备份装置可以包括地址转换单元402、处理单元404。

地址转换单元402被配置为：在根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址。

处理单元404被配置为：按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置；其中，所述导向位置存储用于查询会话位置的查询表项，所述会话的备份位置存储会话的备份数据。

处理单元404被配置为具体用于：生成对应于所述会话的查询表项，并将所述查询表项发送并存储至所述导向位置，该查询表项中包含报文匹配信息和所述会话的创建位置。优选地，所述查询表项中还可以包含所述会话的备份位置。

在会话创建防火墙(比如图3A中的防火墙1)不可用的情况下，需要由防火墙集群中的其他防火墙指导报文的转发，该报文可以为请求报文或者响应报文。那么，对应于上述的任一非会话创建防火墙，图5示出了根据本发明的一个实施例的报文转发装置的结构示意图。

请参考图5，为了方便描述本申请将构成防火墙的安全设备的硬件架构进行了简化抽象，各个安全设备在硬件层面均包括处理器、内存、非易失性存储器以及网络接口。从业务层面来看，图5中的报文转发装置可理解为对应主机上的处理器将计算机程序读取到内存中然后执行所形成的逻辑装置(也称为“虚拟装置”)。当然本发明并不排除软件实现以外其他实现方式，比如可编程逻辑器件这样的实现方式等等，也就是说后续描述的各个处理步骤的执行主体可以采用硬件或逻辑器件等方式实现。在本实施方式中，所述报文转发装置可以包括位置计算单元502、第一报文转发单元504和第二报文转发单元506。

位置计算单元502被配置为：根据该报文的源地址和目的地址计算出位置信息；

第一报文转发单元504被配置为：在所述位置信息对应于会话备份位置的情况下，根据所述会话备份位置存储的会话备份数据，指导所述报文的转发；

第二报文转发单元506被配置为：在所述位置信息对应于会话导向位置的情况下，根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发。

作为一示例性实施例，所述第二报文转发单元506具体被配置为：在所述查询表项中包含会话创建位置的情况下，根据所述查询表项指导所述报文的转发。

作为另一示例性实施例，所述第二报文转发单元506具体被配置为：在所述查询表项中包含会话备份位置的情况下，根据所述会话备份位置获取所述会话备份数据，并指导所述报文的转发。

因此，本发明通过创建会话备份位置和会话导向位置，使得无论基于请求报文的地址信息或是响应报文的地址信息，都可以顺利实现对报文的正确转发。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种会话备份方法，应用于防火墙集群中的任一安全设备，其特征在于，包括：

当根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址；

按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的所述预设源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置；

其中，所述导向位置存储用于查询会话位置的查询表项，所述会话位置包括所述会话的创建位置和所述会话的备份位置中至少之一；所述会话的备份位置存储会话的备份数据。

2.根据权利要求1所述的会话备份方法，其特征在于，将另一位置作为所述会话的导向位置具体包括：

生成对应于所述会话的查询表项，该查询表项中包含报文匹配信息和所述会话的创建位置；

将所述查询表项发送并存储至所述导向位置。

3.根据权利要求2所述的会话备份方法，其特征在于，所述查询表项中还包含所述会话的备份位置。

4.一种会话备份装置，应用于防火墙集群中的任一安全设备，其特征在于，包括：

地址转换单元，用于在根据接收到的请求报文创建会话时，将所述请求报文的源地址转换为预设源地址；

处理单元，用于按照所述请求报文的源地址和目的地址计算第一位置，以及按照所述请求报文转换后的所述预设源地址和所述目的地址计算第二位置，并将所述第一位置和所述第二位置中的任一位置作为所述会话的备份位置，将另一位置作为所述会话的导向位置；

其中，所述导向位置存储用于查询会话位置的查询表项，所述会话位置包括所述会话的创建位置和所述会话的备份位置中至少之一；所述会话的备份位置存储会话的备份数据。

5.根据权利要求4所述的会话备份装置，其特征在于，所述处理单元具体用于：

生成对应于所述会话的查询表项，并将所述查询表项发送并存储至所述导向位置，该查询表项中包含报文匹配信息和所述会话的创建位置。

6.根据权利要求5所述的会话备份装置，其特征在于，所述查询表项中还包含所述会话的备份位置。

7.一种报文转发方法，应用于防火墙集群中的任一安全设备，其特征在于，包括：

根据接收到的报文的源地址和目的地址计算出位置信息；

当所述位置信息对应于会话备份位置时，根据所述会话备份位置存储的会话备份数据，指导所述报文的转发；以及

当所述位置信息对应于会话导向位置时，根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发。

8.根据权利要求7所述的报文转发方法，其特征在于，所述根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发，具体包括：

查询表项中包含会话创建位置时，根据所述会话创建位置，将所述报文发送至对应于所述会话创建位置的安全设备，以由该安全设备处理所述报文。

9.根据权利要求7所述的报文转发方法，其特征在于，所述根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发，具体包括：

查询表项中包含会话备份位置时，根据所述会话备份位置获取所述会话备份数据，并指导所述报文的转发。

10.一种报文转发装置，应用于防火墙集群中的任一安全设备，其特征在于，包括：

位置计算单元，用于根据报文的源地址和目的地址计算出位置信息；

第一报文转发单元，用于在所述位置信息对应于会话备份位置的情况下，根据所述会话备份位置存储的会话备份数据，指导所述报文的转发；

第二报文转发单元，用于在所述位置信息对应于会话导向位置的情况下，根据所述会话导向位置存储的匹配于所述报文的查询表项，指导所述报文的转发。

11.根据权利要求10所述的报文转发装置，其特征在于，所述第二报文转发单元具体用于：

在所述查询表项中包含会话创建位置的情况下，根据所述查询表项指导所述报文的转发。

12.根据权利要求10所述的报文转发装置，其特征在于，所述第二报文转发单元具体用于：

在所述查询表项中包含会话备份位置的情况下，根据所述会话备份位置获取所述会话备份数据，并指导所述报文的转发。