CN110012033A - 一种数据传输方法、系统及相关组件 - Google Patents

Abstract

本申请公开了一种数据传输方法，所述数据传输方法包括当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据；按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。本方法能够提高分布式防火墙的数据处理效率，减少对于系统性能的占用。本申请还公开了一种数据传输系统、一种计算机可读存储介质及一种电子设备，具有以上有益效果。

Description

一种数据传输方法、系统及相关组件

技术领域

本发明涉及防火墙技术领域，特别涉及一种数据传输方法、系统、一种计算机可读存储介质及一种电子设备装置。

背景技术

传统网关防火墙一般部署在网络边界，在内网和外网之间构成一个屏障，防御外网的攻击。但是如果内网中存在攻击，传统网关防火墙就无能为力了。而分布式防火墙部署在每一个主机的出口上，使得每一个主机的流量都会经过分布式防火墙的检测，这样就可以防御内网主机之间的攻击了。

但是，现有技术中的分布式防火墙方案，一般都是将分布式防火墙数据平面运行在内核态，因此导致内存拷贝和系统调用会降低性能。

因此，如何提高分布式防火墙的数据处理效率，减少对于系统性能的占用是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种数据传输方法、系统、一种计算机可读存储介质及一种电子设备，能够提高分布式防火墙的数据处理效率，减少对于系统性能的占用。

为解决上述技术问题，本申请提供一种数据传输方法，该数据传输包括：

当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；

利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据；

按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

可选的，所述交互数据包括分布式交换机与所述目标虚拟机之间通过共享内存的方式发送的数据。

可选的，利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据包括：

确定待检测数据对应的目标虚拟机，并利用目标虚拟机关联的虚拟防火墙实例对待检测数据执行安全过滤操作，得到安全数据。

可选的，目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一虚拟机关联的虚拟防火墙的安全策略

可选的，目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。

本申请还提供了一种数据传输系统，该系统包括：

路径确定模块，用于当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；

过滤模块，用于利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据；

传输模块，用于按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

可选的，所述交互数据包括分布式交换机与所述目标虚拟机之间通过共享内存的方式发送的数据。

可选的，过滤模块具体为用于确定待检测数据对应的目标虚拟机，并利用目标虚拟机关联的虚拟防火墙实例对待检测数据执行安全过滤操作，得到安全数据的模块。

可选的，目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一虚拟机关联的虚拟防火墙的安全策略

可选的，目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。

本申请还提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序执行时实现上述数据传输方法执行的步骤。

本申请还提供了一种电子设备，包括存储器和处理器，存储器中存储有计算机程序，处理器调用存储器中的计算机程序时实现上述数据传输方法执行的步骤。

本发明提供了一种数据传输方法，包括当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据；按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

现有技术中分布式防火墙的数据传输过程中导致内存拷贝和系统调用降低性能的原因在于：分布式防火墙的数据平面运行在内核态。因此，本发明在目标分布式防火墙的数据传输过程中通过共享内存的方式转发安全数据，使得目标分布式防火墙的数据平面运行在用户态。当数据平面运行在用户态时，目标分布式防火墙的数据传输过程不会降低系统性能。本申请能够提高分布式防火墙的数据处理效率，减少对于系统性能的占用。本申请同时还提供了一种数据传输系统、一种计算机可读存储介质和一种电子设备，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例所提供的一种数据传输方法的流程图；

图2为本申请实施例所提供的另一种数据传输方法的流程图；

图3为分布式防火墙部署示意图；

图4为本申请实施例所提供的一种数据传输系统的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面请参见图1，图1为本申请实施例所提供的一种数据传输方法的流程图。

具体步骤可以包括：

S101：当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；

其中，本实施例中所提到的目标分布式防火墙部署在分布式交换机与虚拟机之间，用于对经过目标分布式防火墙的数据进行相应的安全监测，此处并不限定目标分布式防火墙的具体功能，本领域的技术人员可以根据实际情况选择能够提供某些特定服务的目标分布式防火墙。

可以理解的是，待检测数据为与所述目标分布式防火墙关联的目标虚拟机对应的交互数据，由于不同的分布式防火墙可以提供不同的安全过滤服务，因此本实施例可以为每一虚拟机关联相应的分布式防火墙，进而对虚拟机的交互数据进行有针对性的安全监测。本实施例中的目标分布式防火墙部署可以设置在分布式交换机与虚拟机之间，当虚拟机需要向分布式交换机发送数据时，需要先经过分布式防火墙的安全过滤；当分布式交换机需要向虚拟机发送数据时，同样需要先经过分布式防火墙的安全过滤。因此经过目标分布式防火墙的数据可以分为两类，一类是分布式交换机向虚拟机发送的数据，另一类是虚拟机向分布式交换机发送的数据。作为一种优选的实施方式，本步骤中提到的待检测数据可以为分布式交换机通过共享内存的方式向目标分布式防火墙发送的数据，待检测数据还可以为目标虚拟机通过共享内存的方式向目标分布式防火墙发送的数据。共享内存(shared memory)是指在多处理器的计算机系统中，可以被不同中央处理器(CPU)访问的大容量内存。由于多个CPU需要快速访问存储器，这样就要对存储器进行缓存(Cache)。任何一个缓存的数据被更新后，由于其他处理器也可能要存取，共享内存就需要立即更新，否则不同的处理器可能用到不同的数据。共享内存可以用于一个程序的多进程间通信，还可以用于多个程序间通信。通过共享内存的方式传递数据时，目标分布式防火墙的数据平面运行在用户态，相对于运行于内核态的数据平面，通过上述优选的实施方式能够避免内存拷贝和系统调用，提升数据处理的效率和性能，可以使分布式防火墙和分布式交换机数据平面在一个进程中处理，更大程度提高报文交互的效率，分布式交换机收到数据包后，解析数据包，进行解析后数据存储，报文送给分布式防火墙后无需重复解析，可以复用解析后数据。

本步骤所确定的转发路径是指：确定将目标分布式防火墙处理后的待检测数据所要发送的路径。具体的，当待检测数据为分布式交换机发送的数据时，本步骤中所确定的转发路径为目标分布置防火墙到目标虚拟机的路径。需要说明的是，本实施例可以用于包括有多个虚拟机的应用场景，因此可以通过待检测数据的发送路径来确定防火墙处理后的数据的转发路径。

作为一种可行的实施方式，在本步骤之前还可以存在接收待检测数据的操作，具体步骤可以为接收分布式交换机和/或目标虚拟机通过共享内存的方式发送的待检测数据。也就是说，可以存在分布式交换机通过共享内存的方式向目标分布式防火墙发送待检测数据的操作，也可以存在目标虚拟机通过共享内存的方式向目标分布式防火墙发送待检测数据的操作，还可以存在分布式交换机与目标虚拟机共同通过共享内存的方式向目标分布式防火墙发送待检测数据的操作。需要说明的是，上述提到的分布式交换机和/或目标虚拟机向目标分布式防火墙发送数据的意义在于，利用目标分布式防火墙执行安全过滤，目标分布式防火墙再将通过安全过滤的数据发送至对应的目标虚拟机和/或分布式交换机。目标分布式防火墙在上述过程中起到了安全过滤和转发的作用，保证了分布式交换机与目标虚拟机之间数据交互过程的安全性。

S102：利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；

其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据。本实施例默认在虚拟网络中，每一个虚拟机均关联一个分布式防火墙，以保证进出虚拟机的流量都经过分布式防火墙处理，通过分布式防火墙上进行数据包检测，根据检测结果决定报文的拦截或放通。

按照待检测数据不同的发送方向，本步骤中目标分布式防火墙执行安全过滤操作可以包括以下两类：(1)虚拟机发出数据包先经过关联的目标分布式防火墙，进行数据包检测，如果目标分布式防火墙的安全策略放通此待检测数据，则将待检测数据转发至分布式交换机，根据分布式交换机转发规则进行转发，如果目标分布式防火墙的安全策略拦截此待检测数据，则丢包。(2)分布式交换机收到数据包，根据数据包匹配分布式交换机的转发规则，确定数据包的目标虚拟机，然后将报文转发至目标虚拟机关联分布式防火墙处理，如果目标分布式防火墙的安全策略放通此待检测数据，则将待检测数据转发至目标虚拟机，如果目标分布式防火墙的安全策略拦截此数据包，则丢包。

S103：按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

其中，本实施例建立在已经通过目标分布式防火墙对待检测数据进行安全过滤操作得到安全数据的基础上，按照转发路径通过共享内存的方式转发安全数据至分布式交换机或目标虚拟机。由于本实施例采用共享内存的方式转发安全数据，能够使目标分布式防火墙与转发路径对应的设备之间的数据交互在用户态处理，可以提高数据交互的效率，分布式交换机收到数据包后，解析数据包，进行解析后数据存储，报文送给分布式防火墙后无需重复解析，可以避免内存拷贝和系统调用，从而提升数据处理的效率和性能。

现有技术中分布式防火墙的数据传输过程中导致内存拷贝和系统调用降低性能的原因在于：分布式防火墙的数据平面运行在内核态。因此，本实施例在目标分布式防火墙的数据传输过程中通过共享内存的方式转发安全数据，使得目标分布式防火墙的数据平面运行在用户态。当数据平面运行在用户态时，目标分布式防火墙的数据传输过程不会降低系统性能。本实施例能够提高分布式防火墙的数据处理效率，减少对于系统性能的占用。

下面请参见图2，图2为本申请实施例所提供的另一种数据传输方法的流程图，该数据传输方法的具体步骤可以包括：

S201：当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；

其中，本实施例中的目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。本实施例中所提到的待检测数据均为通过共享内存的方式转发的数据。

S202：确定待检测数据对应的目标虚拟机，并利用目标虚拟机关联的虚拟防火墙实例对待检测数据执行安全过滤操作，得到安全数据。

其中，本实施例默认目标虚拟机关联目标分布式防火墙，同时该目标虚拟机关联一个虚拟防火墙，目标分布式防火墙作为逻辑上的防火墙，而虚拟防火墙为具体执行安全过滤操作的防火墙。目标虚拟机存在于主机中，而目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一虚拟机关联的虚拟防火墙的安全策略。

请参见图3，图3为分布式防火墙部署示意图，主机中可以存在多个虚拟机，每一虚拟机关联控制器中的一个分布式防火墙和一个虚拟防火墙，图中vm1、vm2、vm3、vm4和vm5均为虚拟机，vFw1-1、vFw1-2、vFw2-1、vFw2-2、vFw2-3为每一虚拟机关联的虚拟防火墙，dfw1、dfw2为分布式防火墙，dvSwitch1、dvSwitch2为分布式虚拟交换机，tunnel1、tunnel2为分布式虚拟交换机与分布式交换机之间的隧道，switch为分布式交换机。作为一种优选的实施方式，本实施例中的防火墙是分布式的，但是它们的管理是集中。可以针对每一个租户提供一个的分布式防火墙，租户可以通过分布式防火墙管理界面集中配置安全策略，安全策略通过控制器自动推送至此租户所有虚拟机关联的虚拟防火墙。比如租户2对应的分布式防火墙为dfw2，租户2的虚拟机包含vm3和vm4，vm3关联一个虚拟防火墙实例vFw2-1，vm4关联一个虚拟防火墙实例vFw2-2，租户通过管理界面在dfw2中配置一条安全策略，控制器则会将这条安全策略分别推送至vFw2-1和vFw2-2，从而实现配置的集中管理。

目标虚拟机关联的虚拟防火墙是一个独立的实例，因此作为一种优选的实施方式，安全策略数目可以进行优化，减少每个虚拟防火墙实例上规则，提高匹配效率。比如租户2配置一条分布式防火墙安全策略，策略内容为放通vm4和vm5之间的ftp协议数据包，则这条规则仅需要同步至vFw2-2、vFw2-3，并不需要同步至vFw2-1，从而减少vFw2-1实例的策略条目，提升策略匹配效率。该优选的实施例每个虚拟机关联一个的虚拟防火墙实例，多个虚拟防火墙作为逻辑分布式防火墙集中管理，还可以进行分布式防火墙策略优化。

S203：按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

请参见图4，图4为本申请实施例所提供的一种数据传输系统的结构示意图；

该系统可以包括：

路径确定模块100，用于当目标分布式防火墙接收到待检测数据时，确定待检测数据的转发路径；其中，待检测数据为与目标分布式防火墙关联的目标虚拟机对应的交互数据；

过滤模块200，用于利用目标分布式防火墙对待检测数据执行安全过滤操作，得到安全数据；

传输模块300，用于按照转发路径通过共享内存的方式转发安全数据，以使目标分布式防火墙的数据平面运行在用户态。

现有技术中分布式防火墙的数据传输过程中导致内存拷贝和系统调用降低性能的原因在于：分布式防火墙的数据平面运行在内核态。因此，本实施例在目标分布式防火墙的数据传输过程中通过共享内存的方式转发安全数据，使得目标分布式防火墙的数据平面运行在用户态。当数据平面运行在用户态时，目标分布式防火墙的数据传输过程不会降低系统性能。本实施例能够提高分布式防火墙的数据处理效率，减少对于系统性能的占用。

进一步的，所述交互数据包括分布式交换机与所述目标虚拟机之间通过共享内存的方式发送的数据。

进一步的，过滤模块具体为用于确定待检测数据对应的目标虚拟机，并利用目标虚拟机关联的虚拟防火墙实例对待检测数据执行安全过滤操作，得到安全数据的模块。

进一步的，目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一虚拟机关联的虚拟防火墙的安全策略。

进一步的，目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。

由于系统部分的实施例与方法部分的实施例相互对应，因此系统部分的实施例请参见方法部分的实施例的描述，这里暂不赘述。

本申请还提供了一种计算机可读存储介质，其上存有计算机程序，该计算机程序被执行时可以实现上述实施例所提供的步骤。该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本申请还提供了一种电子设备，可以包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时，可以实现上述实施例所提供的步骤。当然所述电子设备还可以包括各种网络接口，电源等组件。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的状况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (12)

1.一种数据传输方法，其特征在于，包括：

当目标分布式防火墙接收到待检测数据时，确定所述待检测数据的转发路径；其中，所述待检测数据为与所述目标分布式防火墙关联的目标虚拟机对应的交互数据；

利用所述目标分布式防火墙对所述待检测数据执行安全过滤操作，得到安全数据；

按照所述转发路径通过共享内存的方式转发所述安全数据，以使所述目标分布式防火墙的数据平面运行在用户态。

2.根据权利要求1所述数据传输方法，其特征在于，所述交互数据包括分布式交换机与所述目标虚拟机之间通过共享内存的方式发送的数据。

3.根据权利要求1所述数据传输方法，其特征在于，利用所述目标分布式防火墙对所述待检测数据执行安全过滤操作，得到安全数据包括：

确定所述待检测数据对应的目标虚拟机，并利用所述目标虚拟机关联的虚拟防火墙实例对所述待检测数据执行所述安全过滤操作，得到所述安全数据。

4.根据权利要求1所述数据传输方法，其特征在于，所述目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一所述虚拟机关联的虚拟防火墙的安全策略。

5.根据权利要求1至4任一项所述数据传输方法，其特征在于，所述目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。

6.一种数据传输系统，其特征在于，包括：

路径确定模块，用于当目标分布式防火墙接收到待检测数据时，确定所述待检测数据的转发路径；其中，所述待检测数据为与所述目标分布式防火墙关联的目标虚拟机对应的交互数据；

过滤模块，用于利用所述目标分布式防火墙对所述待检测数据执行安全过滤操作，得到安全数据；

传输模块，用于按照所述转发路径通过共享内存的方式转发所述安全数据，以使所述目标分布式防火墙的数据平面运行在用户态。

7.根据权利要求6所述数据传输系统，其特征在于，所述交互数据包括分布式交换机与所述目标虚拟机之间通过共享内存的方式发送的数据。

8.根据权利要求6所述数据传输系统，其特征在于，所述过滤模块具体为用于确定所述待检测数据对应的目标虚拟机，并利用所述目标虚拟机关联的虚拟防火墙实例对所述待检测数据执行所述安全过滤操作，得到所述安全数据的模块。

9.根据权利要求6所述数据传输系统，其特征在于，所述目标虚拟机所在的主机中的每一虚拟机均关联一个分布式防火墙，以便通过分布式防火墙管理界面配置每一所述虚拟机关联的虚拟防火墙的安全策略。

10.根据权利要求6至9任一项所述数据传输系统，其特征在于，所述目标分布式防火墙的功能包括会话管理功能、安全策略配置功能、DoS防御功能、基于内容的扫描功能、监控功能和报告功能中的任一项或任几项的组合。

11.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至5任一项所述数据传输方法的步骤。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述数据传输方法的步骤。