CN110365699B - 流量处理方法、装置及系统、网关设备 - Google Patents
流量处理方法、装置及系统、网关设备 Download PDFInfo
- Publication number
- CN110365699B CN110365699B CN201910689775.7A CN201910689775A CN110365699B CN 110365699 B CN110365699 B CN 110365699B CN 201910689775 A CN201910689775 A CN 201910689775A CN 110365699 B CN110365699 B CN 110365699B
- Authority
- CN
- China
- Prior art keywords
- service
- firewall
- gateway
- plug
- traffic
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/12—Avoiding congestion; Recovering from congestion
- H04L47/125—Avoiding congestion; Recovering from congestion by balancing the load, e.g. traffic engineering
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本申请提供了一种流量处理方法、装置及系统、网关设备,所述网关设备中运行微服务网关和防火墙插件,其中,微服务网关接收业务流量,并将业务流量发送至防火墙插件,防火墙插件确定业务流量的过滤方式,微服务网关接收防火墙插件发送的业务流量的过滤方式,并基于业务流量的过滤方式,对业务流量进行处理。可见,防火墙不再与负载均衡服务器耦合设置,而是以插件形式设置,实现了与设置载体的解耦,基于插件的特点,防火墙可以实现单独配置和维护,因此,降低了配置和维护成本。并且,微服务网关与负载均衡服务器的功能类似,因此,能够避免因为云网络防火墙配置方式的改变,而导致负载均衡功能不可用的问题。
Description
技术领域
本申请涉及电子信息领域,尤其涉及一种流量处理方法、装置及系统、网关设备。
背景技术
现有技术中,如图1所示,负载均衡服务器与多个业务服务器相连,用于均衡分配多个业务服务器的流量。
防火墙一般部署在负载均衡服务器上。这种部署方式,使得防火墙与负载服务器高度耦合,而导致防火墙功能和负载均衡功能的配置和维护均不可分,例如,配置防火墙防护规则的情况下,因为要侵入负载均衡服务器的配置文件,因此,需要同时配置防火墙功能和负载均衡功能。又例如,在排除负载均衡服务器的故障时,也需要同时分析防火墙功能。
可见,现有的防火墙的部署方式,导致配置和维护成本较高。
发明内容
本申请提供了一种流量处理方法、装置及系统、网关设备,目的在于解决防火墙功能和负载均衡功能耦合而导致的防火墙配置和维护成本高的问题。
为了实现上述目的,本申请提供了以下技术方案:
一种流量处理方法,所述方法应用于网关设备,所述网关设备中运行微服务网关和防火墙插件,所述方法包括:
所述微服务网关接收业务流量;
所述微服务网关将所述业务流量发送至所述防火墙插件;
所述防火墙插件确定所述业务流量的过滤方式;
所述微服务网关接收所述防火墙插件发送的所述业务流量的过滤方式,并基于所述业务流量的过滤方式,对所述业务流量进行处理。
可选的,所述微服务网关将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关将复制所述业务流量得到的所述业务流量的副本,发送至所述防火墙插件;
所述方法还包括:
所述微服务网关存储所述业务流量。
可选的,所述微服务网关将所述业务流量发送至所述防火墙插件,包括:
在所述微服务网关确定目标业务服务器开启防火墙功能的情况下,将所述业务流量发送至所述防火墙插件,所述目标业务服务器为所述业务流量的业务提供服务器。
可选的,在所述防火墙插件确定所述业务流量的过滤方式之前,还包括:
所述防火墙插件获取预设的过滤规则;
所述防火墙插件确定所述业务流量的过滤方式,包括:
所述防火墙插件依据所述过滤规则,确定所述业务流量的过滤方式。
一种流量处理装置,包括:
微服务网关和防火墙插件;
所述微服务网关用于,接收业务流量,并将所述业务流量发送至所述防火墙插件;
所述防火墙插件用于,确定所述业务流量的过滤方式;
所述微服务网关还用于,接收所述防火墙插件发送的所述业务流量的过滤方式,并基于所述业务流量的过滤方式,对所述业务流量进行处理。
可选的,所述微服务网关用于将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关具体用于,将复制所述业务流量得到的所述业务流量的副本,发送至所述防火墙插件;
所述微服务网关还用于:
存储所述业务流量。
可选的,所述微服务网关用于将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关具体用于,在确定目标业务服务器开启防火墙功能的情况下,将所述业务流量发送至所述防火墙插件,所述目标业务服务器为所述业务流量的业务提供服务器。
可选的,所述防火墙插件还用于:
在确定所述业务流量的过滤方式之前,获取预设的过滤规则;
所述防火墙插件用于确定所述业务流量的过滤方式,包括:
所述防火墙插件具体用于,依据所述过滤规则,确定所述业务流量的过滤方式。
一种网关设备,包括:
存储器和处理器;
所述存储器用于存储程序;
所述处理器用于运行所述程序,以执行所述流量处理方法。
一种流量处理系统,包括:
服务器和所述网关设备,所述服务器用于存储所述网关设备执行流量处理方法使用的过滤规则。
本申请所述的流量处理方法,应用于网关设备,所述网关设备中运行微服务网关和防火墙插件,其中,微服务网关接收业务流量,并将业务流量发送至防火墙插件,防火墙插件确定业务流量的过滤方式,微服务网关接收防火墙插件发送的业务流量的过滤方式,并基于业务流量的过滤方式,对业务流量进行处理。可见,防火墙不再与负载均衡服务器耦合设置,而是以插件形式设置,实现了与设置载体的解耦,基于插件的特点,防火墙可以实现单独配置和维护,因此,降低了配置和维护成本。并且,微服务网关与负载均衡服务器的功能类似,因此,能够避免因为云网络防火墙配置方式的改变,而导致负载均衡功能不可用的问题。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本申请的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为现有的防火墙的部署方式的示例图;
图2为本申请实施例公开的流量处理装置的结构示意图;
图3为本申请实施例公开的一种流量处理方法的流程图;
图4为本申请实施例公开的一种流量处理系统的结构示意图;
图5为本申请实施例公开的又一种流量处理方法的流程图。
具体实施方式
下面将结合本申请实施例中的附图,对本申请实施例中的技术方案进行清楚、完整地描述,显然,所描述的实施例仅仅是本申请一部分实施例,而不是全部的实施例。基于本申请中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例,都属于本申请保护的范围。
图2为本申请实施例公开的一种流量处理装置,包括:微服务网关1、以及防火墙插件2。
也就是说,防火墙作为微服务网关1的插件,与微服务网关1连接
其中,微服务网关1接收业务流量,并将业务流量发送至防火墙插件2,防火墙插件2用于确定业务流量的过滤方式,并将过滤方式发送至微服务网关1。微服务网关1还用于接收过滤方式,并基于业务流量的过滤方式,对业务流量进行处理。进一步的,微服务网关1还用于依据负载均衡规则,将处理后的业务流量发送至业务服务器。
对照图2和图1可以看出,本实施例中,在微服务网关1部署防火墙插件2,实现流量过滤处理功能并且,还可以使用微服务网关1实现负载均衡功能。因此,既能简化防火墙的配置与维护,也能保留负载均衡功能。
基于微服务的架构协议,本实施例中,微服务网关1可以基于开源的kong配置,kong是一种基于nginx的深度定制化微服务开源解决方案。
需要说明的是,微服务网关和防火墙插件可以运行在网关设备例如现有的负载均衡实体设备中,代替负载均衡实体设备的负载均衡和防火墙功能。具体的,网关设备可以包括存储器和处理器,存储器用于存储程序,处理器用于运行程序,以执行图3所示的流量处理方法。
如图3所示,为图2所示的流量处理设备对业务流量进行处理的具体流程,包括以下步骤:
S301:微服务网关接收用户终端发送的业务流量。
S302:微服务网关判断目标业务服务器是否开启防火墙功能,如果是,执行S303,如果否,执行S307。
其中,目标业务服务器为业务流量的业务提供服务器。
S303:微服务网关将业务流量发送至防火墙插件。
可选的,本实施例中,微服务网关将复制业务流量得到的业务流量的副本,发送至防火墙插件,并存储业务流量,目的在于,在防火墙插件故障而无法正常工作的情况下,微服务网关也能够正常转发业务流量。
S304:防火墙插件确定业务流量的过滤方式。
可选的,本实施例中,防火墙插件可以获取预设的过滤规则,并依据过滤规则,确定业务流量的过滤方式。其中,过滤方式包括但不限于:拦截、放行、限流和验证。
S305:微服务网关接收防火墙插件发送的业务流量的过滤方式。
S306:微服务网关基于业务流量的过滤方式,对业务流量进行处理。
具体的,微服务网关可以按照过滤方式,对业务流量进行过滤和/或转发至目标业务服务器的处理。例如,过滤方式为限流,则微服务网关对业务流量进行限流转发。又例如,过滤方式为拦截,则微服务网关不转发业务流量。
可选的,在微服务网关需要对业务流量按照过滤方式转发的情况下,可以依据负载均衡规则,对过滤后的业务流量进行转发。
S307:微服务网关将业务流量转发至目标业务服务器。
可选的,可以依据负载均衡规则,对业务流量进行转发。
从图3所示的流程可以看出,本实施例所述的流量处理方法,能够实现业务流量的过滤处理。
图4所示为本申请实施例公开的一种流量处理系统,包括服务器以及前述网关设备。
如前所述,微服务网关和防火墙插件运行在网关设备中。本实施例中,服务器用于存储网关设备中运行的防火墙插件所需的过滤规则,以及注册业务服务器信息。
也就是说,防火墙包括防火墙插件和规则配置模块。规则配置模块运行在服务器中。防火墙插件可以看作防火墙的前端,规则配置模块可以看作防火墙的后台。
图4所示的流量处理系统处理业务流量的流程如图5所示,包括以下步骤:
S501:防火墙插件在微服务网关的初始化init阶段,完成初始化。
其中,初始化的具体内容为:根据防火墙(简称waf)的规则配置模块(简称waf的后台)的业务服务器的注册信息,向waf后台发起获取注册业务服务器的配置信息(配置信息表示:注册业务服务器是否开启和/或针对哪些业务开启waf功能)的请求。之后与微服务网关的服务接口通信,获取微服务网关接入的相关业务的列表及必要的注册信息(即业务的路径信息如url,网关转发时设置的header等)。
S502:防火墙插件在微服务网关的初始运行init-worker阶段,完成定时的心跳同步,并从规则配置模块获取防火墙过滤规则。
心跳同步由waf主动发起,waf前台与waf后台通信报告自身的心跳信息。
S501和S502可以看作预处理步骤。
S503:微服务网关接收用户终端的业务请求(即业务流量的一种类型),业务请求中包括域名。
通常一个业务可以对应多个域名,因此,域名可以作为业务请求转发的依据。
S504:微服务网关依据业务请求,判断业务服务器中的业务请求的业务提供服务器(即目标业务服务器)是否为注册业务服务器,如果是,执行S505,如果否,执行S509。
S505:微服务网关判断目标业务服务器是否开启防火墙功能,如果是,执行S506,如果否,执行S509。
S506:防火墙插件接收微服务网关发送的业务流量,并使用防火墙过滤规则,确定业务流量的过滤方式。
过滤方式包括但不限于:拦截、放行、限流和验证。
S507:防火墙插件将过滤方式发送至微服务网关。
S508:微服务网关依据过滤方式,处理业务流量。
具体的,微服务网关依据过滤方式,过滤并且转发业务流量。进一步的,依据业务请求中的域名及负载均衡规则,将过滤后的业务流量转发至目标业务服务器。
S509:微服务网关依据业务请求中的域名及负载均衡规则,将业务流量转发至目标业务服务器。
从图5所示的流程可以看出,防火墙作为插件,可以由业务服务器(的管理方)定义启用或关闭,在开启的情况下,实现过滤流量的功能。
进一步的,微服务网关上还可以设置除防火墙插件之外的其它插件,在此情况下,可以配置不同插件之间的优先级顺序,通常,防火墙插件具有较高的优先级。微服务网关将业务流量发送至优先级较高的插件,各个插件按照优先级顺序,依次确定业务流量的处理方式。
本申请实施例方法所述的功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时,可以存储在一个计算设备可读取存储介质中。基于这样的理解,本申请实施例对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来,该软件产品存储在一个存储介质中,包括若干指令用以使得一台计算设备(可以是个人计算机,服务器,移动计算设备或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括:U盘、移动硬盘、只读存储器(ROM,Read-Only Memory)、随机存取存储器(RAM,Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
本说明书中各个实施例采用递进的方式描述,每个实施例重点说明的都是与其它实施例的不同之处,各个实施例之间相同或相似部分互相参见即可。
对所公开的实施例的上述说明,使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的,本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下,在其它实施例中实现。因此,本申请将不会被限制于本文所示的这些实施例,而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
Claims (6)
1.一种流量处理方法,其特征在于,所述方法应用于网关设备,所述网关设备中运行微服务网关和防火墙插件,所述方法包括:
所述微服务网关接收业务流量;
所述微服务网关将所述业务流量发送至所述防火墙插件;
所述防火墙插件获取预设的过滤规则,所述防火墙插件依据所述过滤规则,确定所述业务流量的过滤方式;
所述微服务网关接收所述防火墙插件发送的所述业务流量的过滤方式,并基于所述业务流量的过滤方式,对所述业务流量进行处理;
其中,所述微服务网关将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关将复制所述业务流量得到的所述业务流量的副本,发送至所述防火墙插件;
所述方法还包括:
所述微服务网关存储所述业务流量。
2.根据权利要求1所述的方法,其特征在于,所述微服务网关将所述业务流量发送至所述防火墙插件,包括:
在所述微服务网关确定目标业务服务器开启防火墙功能的情况下,将所述业务流量发送至所述防火墙插件,所述目标业务服务器为所述业务流量的业务提供服务器。
3.一种流量处理装置,其特征在于,包括:
微服务网关和防火墙插件;
所述微服务网关用于,接收业务流量,并将所述业务流量发送至所述防火墙插件;
所述防火墙插件用于,获取预设的过滤规则,并依据所述过滤规则,确定所述业务流量的过滤方式;
所述微服务网关还用于,接收所述防火墙插件发送的所述业务流量的过滤方式,并基于所述业务流量的过滤方式,对所述业务流量进行处理;
其中,所述微服务网关用于将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关具体用于,将复制所述业务流量得到的所述业务流量的副本,发送至所述防火墙插件;
所述微服务网关还用于:
存储所述业务流量。
4.根据权利要求3所述的装置,其特征在于,所述微服务网关用于将所述业务流量发送至所述防火墙插件,包括:
所述微服务网关具体用于,在确定目标业务服务器开启防火墙功能的情况下,将所述业务流量发送至所述防火墙插件,所述目标业务服务器为所述业务流量的业务提供服务器。
5.一种网关设备,其特征在于,包括:
存储器和处理器;
所述存储器用于存储程序;
所述处理器用于运行所述程序,以执行权利要求1-2任意一项所述的流量处理方法。
6.一种流量处理系统,其特征在于,包括:
服务器和权利要求5所述的网关设备,所述服务器用于存储所述网关设备执行流量处理方法使用的过滤规则。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201910689775.7A CN110365699B (zh) | 2019-07-29 | 2019-07-29 | 流量处理方法、装置及系统、网关设备 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201910689775.7A CN110365699B (zh) | 2019-07-29 | 2019-07-29 | 流量处理方法、装置及系统、网关设备 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN110365699A CN110365699A (zh) | 2019-10-22 |
CN110365699B true CN110365699B (zh) | 2021-11-26 |
Family
ID=68222649
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201910689775.7A Active CN110365699B (zh) | 2019-07-29 | 2019-07-29 | 流量处理方法、装置及系统、网关设备 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN110365699B (zh) |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN111131397B (zh) * | 2019-12-02 | 2022-09-30 | 京东科技信息技术有限公司 | 应用管理方法及系统、网关平台、服务端、存储介质 |
CN113194044B (zh) * | 2021-05-20 | 2023-01-03 | 深圳市联软科技股份有限公司 | 一种基于企业安全的智能流量分配方法及系统 |
CN115065726A (zh) * | 2022-06-10 | 2022-09-16 | 北京天融信网络安全技术有限公司 | 协议格式控制方法、装置、控制器、服务器及存储介质 |
CN116112384A (zh) * | 2022-12-28 | 2023-05-12 | 杭州乒乓智能技术有限公司 | 应用流量综合管理方法、装置和电子设备 |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101197795A (zh) * | 2007-12-26 | 2008-06-11 | 华为技术有限公司 | 网络业务保护方法和业务网关 |
CN109039950A (zh) * | 2018-09-20 | 2018-12-18 | 四川警盛科技有限公司 | 业务服务系统及方法 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
BRPI0615752A2 (pt) * | 2005-09-12 | 2011-05-24 | Microsoft Corp | provisão de aplicação consistente ciente de travessia de parede corta-fogo |
EP2061195B1 (en) * | 2006-08-15 | 2015-08-05 | ZTE Corporation | A home gateway network store system and the network accessing method thereof |
CN101166163B (zh) * | 2006-10-18 | 2010-07-07 | 浙江工业大学 | 基于手机远程控制的安全智能家庭网关 |
CN106302466B (zh) * | 2016-08-17 | 2019-04-26 | 东软集团股份有限公司 | 一种防火墙的管理方法及系统 |
US10452843B2 (en) * | 2018-01-11 | 2019-10-22 | ArecaBay, Inc. | Self-adaptive application programming interface level security monitoring |
-
2019
- 2019-07-29 CN CN201910689775.7A patent/CN110365699B/zh active Active
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101197795A (zh) * | 2007-12-26 | 2008-06-11 | 华为技术有限公司 | 网络业务保护方法和业务网关 |
CN109039950A (zh) * | 2018-09-20 | 2018-12-18 | 四川警盛科技有限公司 | 业务服务系统及方法 |
Non-Patent Citations (2)
Title |
---|
Azure Application Gateway (1) 入门;Lei Zhang的博客;《博客园》;20161208;第1页第1段至第5页最后一段 * |
Azure WAF防火墙工作原理分析和配置向导;沙涛;《博客园》;20170415;全文 * |
Also Published As
Publication number | Publication date |
---|---|
CN110365699A (zh) | 2019-10-22 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110365699B (zh) | 流量处理方法、装置及系统、网关设备 | |
US9461888B2 (en) | Policy processing method and network device | |
US10951495B2 (en) | Application signature generation and distribution | |
US10742682B2 (en) | Attack data packet processing method, apparatus, and system | |
CN108055207A (zh) | 一种网络拓扑感知方法及装置 | |
US20170223035A1 (en) | Scaling method and management device | |
EP3200416A1 (en) | Sas system, traversal method and device thereof | |
CN107517138A (zh) | 设备检测方法及装置 | |
CN108566384B (zh) | 一种流量攻击防护方法、装置、防护服务器及存储介质 | |
CN113423120A (zh) | 基于专网终端的数据分流处理方法、装置及电子设备 | |
CN108900603A (zh) | 一种服务器发现方法、装置和系统 | |
CN106936718B (zh) | PPPoE报文传输方法和PPPoE服务器 | |
CN112866430B (zh) | 域名备案检测系统、方法、装置、存储介质 | |
CN109302390A (zh) | 一种漏洞检测方法和装置 | |
CN110830477B (zh) | 一种业务的识别方法、装置、网关、系统及存储介质 | |
US9876864B2 (en) | Service discovery management | |
CN114338194B (zh) | 一种基于sdn网络的应用层报文防火墙方法、装置及介质 | |
CN109218415B (zh) | 一种分布式节点管理的方法、节点及存储介质 | |
CN111970203A (zh) | 一种基于路由器实现端口镜像的方法 | |
CN107968720B (zh) | 一种信息传输方法及云系统、组件 | |
CN111079144A (zh) | 一种病毒传播行为检测方法及装置 | |
CN107306202B (zh) | 一种网络管理方法、服务器、客户端及系统 | |
US9071507B2 (en) | System and method for registering a CIM provider in a CIM system using information of a device to be configured | |
CN111163101B (zh) | 入侵防御规则动态调整方法、装置,电子设备和存储介质 | |
CN110311932A (zh) | 一种私有云远程控制网关的方法及其装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |