CN107689992A - 一种高性能的防火墙集群实现方法 - Google Patents

Abstract

本发明公开了一种高性能的防火墙集群实现方法，所述防火墙集群包括多个防火墙，包括以下步骤：1)、利用FWSO动态探测各防火墙的真实运行状态；2)、通过openflow交换机逐流首包上送FWSO形成流表，引导数据转发流均衡的分发到后端防火墙集群上，其中，引导数据转发流均衡的分发到后端防火墙集群上包括端口发现、负载收集和转发流量智能分担。本发明的高性能的防火墙集群实现方法采用了高性能智能调度方法通过端口发现、负载收集和转发流量智能分担几个步骤完成防火墙集群的流量调度，充分利用了openflow交换机的高转发性能，X86服务器的高CPU处理能力的优势，可以根据防火墙集群中各成员具体运行和状态信息动态智能分发流量。

Description

一种高性能的防火墙集群实现方法

技术领域

本发明属于防火墙技术领域，涉及一种高性能的防火墙集群实现方法。

背景技术

防火墙设备是一种通用的安全设备，应用于多种安全防护场景，防火墙上具备大量的安全防护业务，比如域间策略，包过滤，DPI，SSLVPN，安全策略等。一般防火墙部署于公网出口，隔离内网和外网间的访问。

防火墙由于处理的业务复杂，要达到高性能需配备高硬件配置，而防火墙由于自身的高硬件配置及复杂的软件特性，往往成本较高，在一些核心出口处单台的防火墙性能无法满足要求，通常采用防火墙集群部署，集群内由不同性能水平的防火墙组成，前置硬件分流设备，一般硬件分流设备为ECMP分流交换机或LB负载均衡设备。

防火墙集群一般采用前置负载均衡设备或等价路由设备，通过前置设备分流以达到提高整体安全防护性能要求。

图1为防火墙集群前置等价路由设备，一般ECMP设备采用交换机，交换机的优势是高性能，不会成为新的性能瓶颈点。

ECMP设备采用报文目的地址、目的端口、源地址、源端口、协议号组合形成Hash算法，对流量做负载分担，不需要存储会话信息，由硬件芯片完成流量转发。

前置等价路由设备存在的缺陷是分发不均，且当扩缩容防火墙设备时不够灵活。

1、等价路由是按照五元组hash做分发处理，hash的均匀性取决于五元组的散列情况，无法保证流量可以均匀的分发到后端防护墙集群；

2、当缩容防火墙集群时，会导致hash重新分布，会导致已有流量中断；

3、无法感知后端防火墙运行状态，无法根据防火墙的负载情况或处理能力动态调整分发策略。

图2为为防火墙集群前置负载均衡设备，负载均衡设备在此处做链路负载均衡，不修改报文目的地址仅指导下一跳分发。

负载均衡设备需要存储会话session，并根据预设好的负载分担算法对流量进行分发，目前的负载均衡调度算法有：轮询、加权轮询、最小连接、加权最小连接、随机、源地址HASH、目的地址HASH、源地址端口HASH等算法，最小响应时间，带宽、加权带宽。

负载均衡设备按流分发，相较于ECMP方式分发粒度较细，提供的大量负载均衡算法也使分流更加均匀，且具备一定的根据防火墙状态做动态调整流量分担的能力。

负载均衡做前置分流的缺点：

1、由于负载均衡设备要汇聚所有流量，并汇聚全部的session会话，会成为新的性能瓶颈点，而高性能的LB设备成本较高。

2、负载均衡设备提供的负载均衡算法仅有少量算法支持采集后端节点状态，比如最小响应时间、带宽、加权带宽，而无法采集防火墙的真实运行状态，比如防火墙的CPU使用率，内存消耗，会话数，入、出接口带宽等，导致无法根据防火墙的真实运行能力做智能的调度。

因此，需要一种新的防火墙集群实现方法以解决上述问题。

发明内容

本发明的针对现有技术中防火墙集群的缺陷，提供一种高性能的防火墙集群实现方法。

为解决上述技术问题，本发明的高性能的防火墙集群实现方法所采用的技术方案为：

一种高性能的防火墙集群实现方法，所述防火墙集群包括多个防火墙，包括以下步骤：

1)、利用FWSO动态探测各防火墙的真实运行状态；

2)、通过openflow交换机逐流首包上送FWSO形成流表，引导数据转发流均衡的分发到后端防火墙集群上，其中，引导数据转发流均衡的分发到后端防火墙集群上包括端口发现、负载收集和转发流量智能分担。

更进一步的，所述FWSO提供设置采集防火墙运行信息的接口。

更进一步的，所述端口发现包括以下步骤：

a1、防火墙通过下行口向OpenFlow交换机发送免费ARP报文；

b1、FWSO向OpenFlow交换机下发OpenFlow流表，将所有的免费ARP报文都Packet-in到FWSO；

c1、FWSO通过OpenFlow流表Packet-In的免费ARP报文，获取到每台防火墙的下行口MAC与交换机端口的对应关系。

更进一步的，所述负载收集包括以下步骤：

a2、FWSO通过配置添加防火墙作为集群成员，配置的内容包括防火墙名称、管理IP、用户名、密码、下行口名称、下行口IP、上行口名称、CPU、内存和接口速率；

b2、FWSO定期收集各防火墙的负载情况，所述负载情况包括CPU使用率、内存使用率，用户会话数和上下行流量。

更进一步的，所述转发流量智能分担包括以下步骤：

a3、FWSO向OpenFlow交换机下发OpenFlow流表，将所有TCP和UDP类型报文首包都上送FWSO；

b3、FWSO根据FW_RunningLoad数据，选出一台最小负载的FW，并查询出对应的FW_mac以及openflowSwitch_port，下发流表；

c3、防火墙出公网方向接口作nat outbound，使得回程报文送到同一防火墙上。

更进一步的，步骤1)中FWSO的数据格式为Netconf格式。

有益效果：本发明的高性能的防火墙集群实现方法采用了高性能智能调度方法通过端口发现、负载收集和转发流量智能分担几个步骤完成防火墙集群的流量调度，充分利用了openflow交换机的高转发性能，X86服务器的高CPU处理能力的优势，可以根据防火墙集群中各成员具体运行和状态信息动态智能分发流量。

附图说明

图1是防火墙集群前置等价路由设备的结构示意图；

图2是防火墙集群前置负载均衡设备的结构示意图；

图3本发明的高性能的防火墙集群的结构示意图。

具体实施方式

下面结合附图和具体实施例，进一步阐明本发明，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定的范围。

FWSO(Service Orchestrator)是一种防火墙集群场景下的控制器，负责防火墙的拓扑学习以及流量分发。

FWSO采用X86服务器，利用通用硬件提供的高性能CPU处理能力，做流量的分发控制。Openflow交换机具备高性能的芯片转发处理能力，做流量的转发面处理。

在图3的场景中，FWSO与防火墙、OpenFlow Switch相互配合，使用端口发现、负载收集、转发流量智能分担三种技术来实现防火墙集群的流量均衡。

一、端口发现

1)、防火墙通过下行口向OpenFlow交换机发送免费ARP报文。

2)、FWSO向OpenFlow交换机下发OpenFlow流表，将所有的免费ARP报文都Packet-in到FWSO；

3)、FWSO通过OpenFlow流表Packet-In的免费ARP报文，获取到每台防火墙的下行口MAC、以及与交换机端口的对应关系(FW_mac～openflowSwitch_port)。

免费ARP报文内容是IP、MAC对应信息；openflow的packet-in报文携带着交换机的入接口信息以及原始ARP报文，因此可以获得：

表1、端口发现表

二、负载收集

1)、FWSO通过配置可以添加防火墙作为集群成员，配置内容包括如下：

表2、集群成员配置表

通过下行口配置的IP地址，结合免费ARP报文中携带的IP地址，可以学习到防火墙与MAC地址的对应关系(FW～FW_mac)

具体映射方法：

结合表1，表2，拓扑学习时ARP报文携带的IP地址就是防火墙集群成员配置的下行接口IP，两个表进行比对即可得出防火墙与MAC地址的对应关系。见上表中标红的两列。

2)、FWSO定期收集各防火墙的负载情况(负载的KPI可以包括CPU使用率、内存使用率，用户会话数、上下行流量等)；

表3、形成数据(FW～FW_RunningLoad)；

周期性获取的设备实时运行信息如下：

CPU使用率：cpu_ratio；内存使用率：mem_ratio；用户会话数：userNum上行流量：uplinkRate；下行流量：downlinkRate。

用户可预先设定用户数阈值，上行流量阈值，下行流量阈值：

用户会话数阈值：userMax；上行流量阈值：uplinkRateMax；下行流量阈值：downlinkRateMax。

各项指标在总运行优先级指标中占的百分比：

CPU使用率占比：％a；内存使用率占比：％b；用户会话数使用率占比：％c；上行流量使用率占比：％d；下行流量使用率占比：％e。

Running_Load＝cpu_ratio*％a+mem_ratio*％b+(userNum/userMax)*％c+(uplinkRate/uplinkRateMax)*％d+(downlinkRate/downlinkRateMax)*％e。

三、转发流量智能分担

1)、FWSO向OpenFlow交换机下发OpenFlow流表，将所有TCP、UDP类型报文首包都上送FWSO；或者对目的MAC是openflow交换机接口MAC报文做首包packet-in上送处理。

2)、FWSO根据FW_RunningLoad数据，选出一台最小负载的FW，并查询出对应的FW_mac以及openflowSwitch_port，下发流表。

流表特征：

Match项：报文五元组信息

Action项：封装FW_mac从openflowSwitch_port端口发送。

保证流量后续报文直接通过流表转发。

3)、防火墙出公网方向接口作nat outbound，保证回程报文送到同一防火墙上。

实施例1

假设当前存在两个防火墙设备作为集群成员，各自的参数如下：

表4、防火墙的参数

1)、把这些参数配置在FWSO上后，FWSO向openflow交换机下发流表规则：免费ARP报文上送FWSO。

2)、在防火墙下行口使能免费ARP报文周期发送。

3)、FWSO收到免费ARP报文信息形成数据，表5。

表5、数据表

4)、FWSO形成防火墙与MAC信息关系

表6防火墙与MAC信息关系表

	MAC	openflow交换机出接口
			防火墙A	1-1-1	InterfaceG0/0/1
防火墙B	2-2-2	InterfaceG0/0/2

5)、周期采集防护墙负载情况

表7防火墙的负载情况采集表

各项指标在总运行优先级指标中占的百分比：

CPU使用率占比：20％；内存使用率占比：20％；用户会话数使用率占比：20％

上行流量使用率占比：20％；下行流量使用率占比：20％。

RunningLoad防火墙A＝30％*20％+50％*20％+(2000/5000)*20％+(100/500)*20％+(200/500)*20％＝0.36。

RunningLoad防火墙B＝50％*20％+60％*20％+(1000/3000)*20％+(30/100)*20％+(50/100)*20％＝0.44。

表8防火墙的负载情况表

6)、周期采集防护墙负载情况

7)、TCP、UDP业务流量首包上送FWSO，FWSO根据当前防火墙集群负载情况把流量分发给负载较轻者防火墙A，下发流表：该流量封装MAC地址1-1-1从openflow交换机接口Interface G0/0/1发送出去

8)、防火墙A收到该报文流，做安全防护业务处理。

本发明提出了防火墙集群的高性能智能调度方法，通过端口发现、负载收集、转发流量智能分担几个步骤完成防火墙集群的流量调度，充分利用了openflow交换机的高转发性能，X86服务器的高CPU处理能力的优势，并提供对接不同厂商防火墙运行状态的接口，可以根据防火墙集群中各成员具体运行、状态信息动态智能分发流量。

Claims (6)

1.一种高性能的防火墙集群实现方法，所述防火墙集群包括多个防火墙，其特征在于：包括以下步骤：

1)、利用FWSO动态探测各防火墙的真实运行状态；

2)、通过openflow交换机逐流首包上送FWSO形成流表，引导数据转发流均衡的分发到后端防火墙集群上，其中，引导数据转发流均衡的分发到后端防火墙集群上包括端口发现、负载收集和转发流量智能分担。

2.如权利要求1的高性能的防火墙集群实现方法，其特征在于：所述FWSO提供设置采集防火墙运行信息的接口。

3.如权利要求1的高性能的防火墙集群实现方法，其特征在于：所述端口发现包括以下步骤：

a1、防火墙通过下行口向OpenFlow交换机发送免费ARP报文；

b1、FWSO向OpenFlow交换机下发OpenFlow流表，将所有的免费ARP报文都Packet-in到FWSO；

c1、FWSO通过OpenFlow流表Packet-In的免费ARP报文，获取到每台防火墙的下行口MAC与交换机端口的对应关系。

4.如权利要求1的高性能的防火墙集群实现方法，其特征在于：所述负载收集包括以下步骤：

a2、FWSO通过配置添加防火墙作为集群成员，配置的内容包括防火墙名称、管理IP、用户名、密码、下行口名称、下行口IP、上行口名称、CPU、内存和接口速率；

b2、FWSO定期收集各防火墙的负载情况，所述负载情况包括CPU使用率、内存使用率，用户会话数和上下行流量。

5.如权利要求1的高性能的防火墙集群实现方法，其特征在于：所述转发流量智能分担包括以下步骤：

a3、FWSO向OpenFlow交换机下发OpenFlow流表，将所有TCP和UDP类型报文首包都上送FWSO；

b3、FWSO根据FW_RunningLoad数据，选出一台最小负载的FW，并查询出对应的FW_mac以及openflowSwitch_port，下发流表；

c3、防火墙出公网方向接口作nat outbound，使得回程报文送到同一防火墙上。

6.如权利要求1的高性能的防火墙集群实现方法，其特征在于：步骤1)中FWSO的数据格式为Netconf格式。