CN107579988B - 配置安全策略的方法和装置 - Google Patents

Abstract

本公开涉及配置安全策略的方法和装置。该所述方法应用于SDN架构中的SDN控制器，包括：接收LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息；在接收到免费ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；向所述网卡发送所述VPN对应的安全策略。根据本公开，能够为租户的多个VPN应用业务提供对应的安全防护，且无需对各个网卡进行手工配置。

Description

配置安全策略的方法和装置

技术领域

本公开涉及SDN网络领域，尤其涉及配置安全策略的方法和装置。

背景技术

SDN(Soft Define Network，软件定义网络)是一种网络架构，其核心思想是将网络设备的控制层面与转发层面分离，以实现对网络流量的灵活控制，为核心网络及应用的创新提供良好的平台。

在SDN架构中，应用层安全设备(例如WAF，Web Application Firewall，网站应用防火墙)可对同一租户内的应用服务器进行保护。SDN控制器可将针对该租户的应用服务器的访问报文引入相应的应用层安全设备，经该安全设备中实施的安全策略检测通过后，由该安全设备向应用服务器请求服务。

应用层安全设备中可存在多个业务网卡，可分别为租户的多个应用服务器提供安全防护。本公开中的业务网卡，指应用层安全设备中执行安全策略的网卡，以区别于应用层安全设备中执行本设备的管理策略的管理网卡。现有技术中，当应用层安全设备中存在多个业务网卡时，由于SDN控制器无法识别多网卡，因此，只能给安全设备下发一套安全策略，使得多个业务网卡执行同一套安全策略。在一些情况下，也可通过手动配置方式给每个业务网卡配置不同的安全策略，但当发生业务网卡接入数量变化(例如增加业务网卡)等情况时，用户必须手动为变化的网卡配置安全策略，这种方式人工成本高，不便于大规模网络的维护。

发明内容

有鉴于此，本公开提出了一种为应用层安全设备配置安全策略的方法。本公开还提出了相应的装置。

根据本公开的一方面，提供了一种配置安全策略的方法，所述方法应用于SDN架构中的SDN控制器，所述方法包括：接收链路层发现协议(Link Layer Discovery Protocol，LLDP)报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息；在接收到免费地址解析协议(Address Resolution Protocol，ARP)报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；向所述网卡发送所述VPN对应的安全策略。

根据本公开的另一方面，提供了一种配置安全策略的装置，所述装置应用于SDN架构中的SDN控制器，所述装置包括：LLDP报文接收模块，用于接收LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息；VPN确定模块，用于在接收到免费ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；安全策略发送模块，用于向所述网卡发送所述VPN对应的安全策略。

通过本公开的各个方面，SDN控制器可通过来自网络设备的各个业务网卡发送的LLDP报文获取该网络设备的各个业务网卡的地址信息，并识别出所述网络设备为应用层安全设备，如果某虚拟机上线过程中上报的免费ARP报文中携带的虚拟机的地址信息与与所述业务网卡的地址信息一致时，则进一步确定所述虚该拟机所属的VPN，并向所述业务网卡发送所述VPN对应的安全策略，使得应用层安全设备能够为租户的各个VPN应用业务提供对应的安全防护，且无需对各个网卡进行手工配置。

根据下面参考附图对示例性实施例的详细说明，本公开的其它特征及方面将变得清楚。

附图说明

包含在说明书中并且构成说明书的一部分的附图与说明书一起示出了本公开的示例性实施例、特征和方面，并且用于解释本公开的原理。

图1示出根据本公开的一个实施例的配置安全策略的方法的流程图。

图2示出根据本公开一个实施例的配置安全策略的装置的结构框图。

图3示出根据本公开一个示例性实施例的多网卡接入SDN网络架构的示意图。

图4示出根据本公开一个实施例的配置安全策略的装置的结构框图。

具体实施方式

以下将参考附图详细说明本公开的各种示例性实施例、特征和方面。附图中相同的附图标记表示功能相同或相似的元件。尽管在附图中示出了实施例的各种方面，但是除非特别指出，不必按比例绘制附图。

在这里专用的词“示例性”意为“用作例子、实施例或说明性”。这里作为“示例性”所说明的任何实施例不必解释为优于或好于其它实施例。

另外，为了更好的说明本公开，在下文的具体实施方式中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本公开同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未作详细描述，以便于凸显本公开的主旨。

图1示出根据本公开一实施例的配置安全策略的方法的流程图。所述方法应用于SDN架构中的SDN控制器。如图1所示，该方法包括下列步骤102、104和106。

步骤102，接收LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息。

诸如应用层安全设备的网络设备上电后，该网络设备上的各个业务网卡主动发送LLDP报文以报告自身的属性信息，该LLDP报文可经由该网络设备的接入设备(例如特定网络的网络边缘设备)上报给SDN控制器。所述属性信息可包括设备类型信息和发送所述LLDP报文的网卡的地址信息。所述设备类型信息可用于指示所述网络设备是否是应用层安全设备，例如，可在LLDP报文的扩展字段携带所述设备类型信息；所述网卡的地址信息可以包括该网卡的MAC地址和IP地址，可利用现有LLDP报文中的相应字段。

除设备类型信息和网卡的地址信息外，所述LLDP报文还可携带该网络设备的管理网卡的地址信息等，本公开对此不作限定。

步骤104，在接收到免费ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN。

应用层安全设备的业务网卡可以作为虚拟机上线，其可通过发送免费A RP报文触发上线过程。虚拟机通过发送免费ARP报文可告知SDN控制器自己的地址信息等。所述地址信息可以包括该虚拟机(或者说业务网卡)的IP地址和MAC地址。

如果步骤102中接收到的LLDP报文的设备类型信息指示所述网络设备是应用层安全设备，而步骤104中接收到的某个免费ARP报文携带的虚拟机的地址信息与所述LLDP报文中携带的某网卡的地址信息一致，则可确定所述虚拟机是可用于执行特定VPN的应用层安全策略的业务网卡。此时，可确定所述虚拟机所属的VPN。

在一种可能的实现方式中，确定所述虚拟机所属的VPN，具体包括：根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识(例如12位的VLAN ID)，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识(例如24位的VXLAN ID)；根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

SDN控制器中可预存有“入端口+VLAN的标识”与VXLAN的标识间的映射关系，以及VXLAN的标识与VPN之间的映射关系，以便于确定所述虚拟机所属的VPN。

步骤106，向所述网卡发送所述VPN对应的安全策略。

VPN与安全策略间的对应关系可以是在SDN控制器中预设的。在一示例中，SDN控制器可将所述安全策略发送给应用层安全设备的管理网卡，再由所述管理网卡将所述安全策略传送给相应的业务网卡；在另一示例中，也可直接将所述安全策略发送给相应的业务网卡。

在本实施例中，SDN控制器可通过来自网络设备的各个业务网卡发送的LLDP报文获取该网络设备的各个业务网卡的地址信息，并识别出所述网络设备为应用层安全设备，如果某虚拟机上线过程中上报的免费ARP报文中携带的虚拟机的地址信息与所述业务网卡的地址信息一致时，则进一步确定所述虚该拟机所属的VPN，并向所述业务网卡发送所述VPN对应的安全策略，使得应用层安全设备能够为租户的各个VPN应用业务提供对应的安全防护，且无需对各个网卡进行手工配置。

在一种可能的实现方式中，所述方法还包括：在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。

例如，在接收到所述免费ARP报文后，SDN控制器可触发所述虚拟机的上线操作，创建虚拟机的虚拟端口，并为其分配公网IP地址，即所述虚拟机所属VPN对应的应用业务的公网IP，例如该公网IP可以是浮动IP。

例如，SDN控制器在给所述虚拟机分配公网IP地址后，可向该SDN网络中的各个网络边缘设备和网关下发转发流表，以指导目的地址为所述公网IP地址的访问报文的转发。

图2示出根据本公开一个实施例的配置安全策略的装置的结构框图。所述装置应用于SDN架构中的SDN控制器。如图2所示，所述装置包括LLDP报文接收模块202、VPN确定模块204和安全策略发送模块206。LLDP报文接收模块202用于接收链路层发现协议LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息。VPN确定模块204用于在接收到免费地址解析协议ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN。安全策略发送模块206用于向所述网卡发送所述VPN对应的安全策略。

在一种可能的实现方式中，所述VPN确定模块具体用于：根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识；根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

在一种可能的实现方式中，上述装置还可包括：公网IP分配模块(未示出)，用于在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；流表下发模块(未示出)，用于下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。

图3示出根据本公开一个示例性实施例的多网卡接入SDN架构的示意图。如图所示，应用层安全设备接入边缘设备VTEP1，VTEP是VXLAN Tunneling End Point(VXLAN隧道端点设备)的简称。图3中所示的应用层安全设备有两个业务网卡，网卡1接入VPN1，网卡2接入VPN2。域名1对应的业务由服务器1提供，该业务的公网IP是浮动IP1；域名2对应的业务由服务器2提供，该业务的公网IP是浮动IP2。

在上电后，应用层安全设备的网卡1和网卡2分别发送LLDP报文。应用层安全设备的业务网卡(即网卡1)对应于VTEP1的入端口eth1，业务网卡2(即网卡2)对应于VTEP1的eth2。

VTEP1通过入端口eth1收到来自网卡1的LLDP报文，并上送SDN控制器。SDN控制器接收该LLDP报文并解析，获取网卡1对应的网络设备的设备类型信息以及网卡1的IP地址和MAC地址，其中，该设备类型信息指示该网络设备为应用层安全设备。

VTEP1通过入端口eth2收到来自网卡2的LLDP报文，并上送SDN控制器。SDN控制器接收该LLDP报文并解析，获取网卡2对应的网络设备的设备类型信息以及网卡2的IP地址和MAC地址，其中，该设备类型信息指示该网络设备为应用层安全设备。

应用层安全设备的网卡1发送免费ARP报文，以触发网卡1作为虚拟机的上线过程。VTEP1通过入端口eth1收到该免费ARP报文，并上送SDN控制器。SDN控制器收到该免费ARP报文，获取发送该免费ARP报文的虚拟机的地址信息。由于该虚拟机的地址信息与之前获取的网卡1的地址信息一致，并且已知网卡1对应的网络设备为应用层网络设备，所以确定该虚拟机用于执行特定VPN的应用层安全策略。此时，SDN控制器可根据该免费ARP报文中携带的VLAN ID和VTEP1接收该免费ARP报文的入端口eth1的端口号，来确定该虚拟机所属的VXLAN的标识，进而确定该虚拟机所属的VPN(即VPN1)。SDN控制器可将VPN1对应的安全策略发送至网卡1。此外，SDN控制器可为该虚拟机分配VPN1对应的应用业务的公网IP地址，即浮动IP1，并向网关、VTEP1以及VTEP2下发相应的转发流表，以指导目的地址为浮动IP1的访问报文的转发。

类似地，应用层安全设备的网卡2发送免费ARP报文，以触发网卡2作为虚拟机的上线过程。VTEP1通过入端口eth2收到该免费ARP报文，并上送SDN控制器。SDN控制器收到该免费ARP报文，获取发送该免费ARP报文的虚拟机的地址信息。由于该虚拟机的地址信息与之前获取的网卡2的地址信息一致，并且已知网卡2对应的网络设备为应用层网络设备，所以确定该虚拟机用于执行特定VPN的应用层安全策略。此时，SDN控制器可根据该免费ARP报文中携带的VLAN ID和VTEP1接收该免费ARP报文的入端口eth2的端口号，来确定该虚拟机所属的VXLAN的标识，进而确定该虚拟机所属的VPN(即VPN2)。SDN控制器可将VPN2对应的安全策略发送至网卡2。此外，SDN控制器可为该虚拟机分配VPN2对应的应用业务的公网IP地址，即浮动IP2，并向网关、VTEP1以及VTEP2下发相应的转发流表，以指导目的地址为浮动IP2的访问报文的转发。

当外网主机访问由域名1对应的业务时，网关解析出该访问报文的目的地址是浮动IP1，则根据转发流表，将该访问报文发送到网卡1，由网卡1基于VPN1对应的安全策略对该访问报文进行检测，并在检测通过后将该访问报文发送至服务器1。

类似地，当外网主机访问由域名2对应的业务时，网关解析出该访问报文的目的地址是浮动IP2，则根据转发流表，将该访问报文送到网卡2，由网卡2基于VPN2对应的安全策略对该访问报文进行检测，并在检测通过后将该访问报文发送至服务器2。

图3所示的SDN架构中，SDN控制器与网络边缘设备VTEP1、VTEP2和网关间通过Openflow协议通信，SDN控制器可通过HTTP协议向网卡1、网卡2下发安全策略。

根据本公开，应用层安全设备可以以多业务网卡形式接入SDN网络，且每个网卡可基于不同VPN策略对对应的访问报文进行过滤，从而实现租户内多个VPN业务的防火墙过滤。

图4是根据一示例性实施例示出的一种用于配置安全策略的装置400的框图。参照图4，该装置400可包括处理器401、存储有机器可执行指令的机器可读存储介质402。处理器401与机器可读存储介质402可经由系统总线403通信。并且，处理器401通过读取机器可读存储介质402中与配置安全策略对应的机器可执行指令以执行上文所述的配置安全策略的装置。

本文中提到的机器可读存储介质402可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM(Radom Access Memory，随机存取存储器)、易失存储器、非易失性存储器、闪存、存储驱动器(如硬盘驱动器)、固态硬盘、任何类型的存储盘(如光盘、dvd等)，或者类似的存储介质，或者它们的组合。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (6)

1.一种配置安全策略的方法，其特征在于，所述方法应用于软件定义网络SDN架构中的SDN控制器，所述方法包括：

接收链路层发现协议LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息，所述网卡为业务网卡；

在接收到免费地址解析协议ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；

向所述网卡发送所述VPN对应的安全策略。

2.根据权利要求1所述的方法，其特征在于，确定所述虚拟机所属的VPN，具体包括：

根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识；

根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；

下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。

4.一种配置安全策略的装置，其特征在于，所述装置应用于软件定义网络SDN架构中的SDN控制器，所述装置包括：

LLDP报文接收模块，用于接收链路层发现协议LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息，所述网卡为业务网卡；

VPN确定模块，用于在接收到免费地址解析协议ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；

安全策略发送模块，用于向所述网卡发送所述VPN对应的安全策略。

5.根据权利要求4所述的装置，其特征在于，所述VPN确定模块具体用于：

根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识；

根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

6.根据权利要求4或5所述的装置，其特征在于，所述装置还包括：

公网IP分配模块，用于在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；

流表下发模块，用于下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。

Images