CN110798341A

CN110798341A - 业务开通方法、装置及系统

Info

Publication number: CN110798341A
Application number: CN201910967493.9A
Authority: CN
Inventors: 何文娟
Original assignee: Unihub China Information Technology Co Ltd
Current assignee: Unihub China Information Technology Co Ltd
Priority date: 2019-10-12
Filing date: 2019-10-12
Publication date: 2020-02-14
Anticipated expiration: 2039-10-12
Also published as: CN110798341B

Abstract

本发明提供一种业务开通方法、装置及系统，该方法包括：接收业务开通人员提出的业务申请信息；根据所述业务申请信息与预设的网络资产信息库确定策略申请信息；根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备；按照所述网络设备将策略申请信息进行分解，将分解后的策略申请信息分发到相应的网络设备。该方案将业务和策略分离，业务申请人员无需了解网络，而网络运维人员无需了解业务，只要将业务申请信息和预设的网络资产信息库进行匹配即可，这样提高网络开通效率。

Description

业务开通方法、装置及系统

技术领域

本发明涉及业务开通技术领域，特别涉及一种业务开通方法、装置及系统。

背景技术

随着物联网、虚拟化等技术的发展，网络环境越来越复杂，各种网络设备种类也越来越丰富，对于网络业务开通，按照IP接入的方式，已经不能够满足需求了，业务申请人员和运维人员，往往不是同一个人，而且业务人员，对网络情况也不了解，导致了网络打通的时间太长，无法满足业务的发展需求。

发明内容

本发明实施例提供了一种业务开通方法、装置及系统，解决了现有技术中业务人员对网络情况不了解导致网络打通的时间太长、无法满足业务的发展需求的技术问题。

本发明实施例提供了一种业务开通方法，该方法包括：

接收业务开通人员提出的业务申请信息；

根据所述业务申请信息与预设的网络资产信息库确定策略申请信息；

根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备；

按照所述网络设备将策略申请信息进行分解，将分解后的策略申请信息分发到相应的网络设备。

本发明实施例还提供了一种业务开通装置，该装置包括：

业务申请信息接收模块，用于接收业务开通人员提出的业务申请信息；

策略申请信息确定模块，用于根据所述业务申请信息与预设的网络资产信息库确定策略申请信息；

所经网络设备确定模块，用于根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备；

策略申请信息分发模块，用于按照所述网络设备将策略申请信息进行分解，将分解后的策略申请信息分发到相应的网络设备。

本发明实施例还提供了一种业务开通系统，该系统包括：客户端、上述所述的业务开通装置、多个网络设备；

所述客户端用于：将业务申请信息发送至业务开通装置；

所述多个网络设备用于：根据分解后的策略申请信息进行相应的业务开通操作。

本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述所述方法。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述所述方法的计算机程序。

在本发明实施例中，接收业务开通人员提出的业务申请信息，根据业务申请信息与预设的网络资产信息库确定策略申请信息，再确定策略申请所需要经过的网络设备，最后将分解后的策略申请信息分发到相应的网络设备，这样业务开通人员只需要提出业务申请信息，该业务信息不是策略申请，网络运维人员无需了解业务，只需要根据业务申请信息确定策略申请信息即可，这样将业务和策略进行了分离，可以提高网络开通效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种业务开通方法流程图；

图2是本发明实施例提供的一种业务开通示例图(一)；

图3是本发明实施例提供的一种业务开通示例图(二)；

图4是本发明实施例提供的一种业务开通示例图(三)；

图5是本发明实施例提供的一种业务开通装置结构框图；

图6是本发明实施例提供的一种业务开通系统结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有技术进行业务开通时，由于业务申请人员和运维人员不是同一个人，业务申请人员不了解网络，而网络运维人员不了解业务，导致了业务申请流程非常的繁琐，即使出现故障，也很难定位。另一个问题就是在实际网络打通过程中，需要指定源地址，目的地址以及协议和端口号。网络中，尤其是虚拟网络中，主机的数量是成千上万，逐个指定，工作量巨大且繁琐，而且容易出错。

因此，本发明提出了一种业务开通方法。业务人员基于业务提出业务申请，系统根据业务的申请信息，结合系统纳管的资产信息，自动的将业务申请信息，映射到网络设备中，同时，翻译成运维人员熟悉的基本策略信息，由运维人员进行审核，并下发到网络设备，从而实现网络的开通。

具体的，如图1所示，该方法包括：

步骤101：接收业务开通人员提出的业务申请信息；

步骤102：根据所述业务申请信息与预设的网络资产信息库确定策略申请信息；

步骤103：根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备；

步骤104：按照所述网络设备将策略申请信息进行分解，将分解后的策略申请信息分发到相应的网络设备。

其中，业务申请信息可以包含需要打通的源端信息、目的端信息以及需要开通的协议和端口信息以及需要执行的动作。源端信息和目的端信息是具有某个特征的主机或者应用的集合。其中，协议和端口信息是可选信息，也可以不包括。

预设的网络资产信息库包括SOC资产库(security operation centor)和网络信息库，其中，SOC资产库包括了网络资产的信息，包括主机/服务器信息，以及其位置信息，应用信息，操作系统等。网络信息库包括了网络中的节点信息，vlan，vrf(Virtual RoutingForwarding)等网络信息。

在本发明实施例中，在接收到业务开通人员提出的业务申请信息后，首先需要对业务申请信息进行校验，确定业务申请信息的数据格式和/或数据类型是否正确。如果都不正确，请求业务开通人员重新提供。

在本发明实施例中，步骤102：根据所述业务申请信息与预设的网络资产信息库确定策略申请信息，具体包括：

将业务申请信息与预设的网络资产信息库进行关联匹配，若根据源端信息、目的端信息从预设的网络资产信息库中匹配到关联的源端资产信息和目的端资产信息，则根据关联的源端资产信息的地址信息和目的端资产信息的地址信息，将需要开通的源端信息、目的端信息翻译成相应的源IP地址信息和目的IP地址信息以及相关的协议和端口；若关联不到，则报错；

将源IP地址信息和目的IP地址信息以及相关的协议和端口号以及需要执行的动作组成策略申请信息。

步骤103：根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备，具体包括：

根据业务申请信息与预设的网络资产信息库确定源端和目的端的位置信息；

根据策略申请信息、源端和目的端的位置信息，计算出策略申请需要经过的网络设备。

下面举例说明。

实施例一：

客户提出业务申请，需要打通host1和host2之间的网络。客户填写业务申请的工单，业务申请内容包含需要打通的源端信息、目的端信息以及需要开通的协议和端口信息，源端信息和目的端信息可以是一组主机，也可以是一组应用，具有相同特征的一组主机或者应用即可。在本实施例中，源端和目的端的信息是一个IP地址。如图2所示，源端的IP地址为10.0.0.1，目的端的IP地址为10.0.0.2，需要开通的协议是TCP：8080，执行的动作是：允许，host1和host2之间经过交换机Sw1---防火墙Fw---交换机Sw2。

系统接收到业务申请之后，业务处理单元根据客户的权资产信息库中，匹配到资产信息，结合资产信息，将业务申请翻译成相应的IP地址信息；并将业务申请信息转换为策略申请信息，提交给网络管理单元。网络管理单元根据策略申请信息，将策略分解到经过的各个网络节点，并下发给网络设备。

业务申请的信息如下：

Json格式如下{“src”：{“relation”:“and”，data[{“type”：ip，“field”：“10.0.0.1”}]},“dst”：{“relation”:“and”，data[{“type”：ip，“field”：“10.0.0.2”}]},”service”:{[{”tcp”,”port”:8080}]}，“action”：”permit”}，其中type可以是操作系统类型(filed可以是linux，windows)，ip(filed标识IP地址)，vrf(field为vrf的实例号)，app(filed标识某个应用相关的主机地址以及应用的端口)等，只要具有相同特征的主机信息都可以标识。

实施例二：

客户提出业务申请，需要打通Webx和Dbx两个应用之间的网络。客户填写业务申请的工单，业务申请内容包含需要打通的源端信息、目的端信息以及需要开通的协议和端口信息。在本实施例中，源端是web应用，是一组主机，目的端是db应用，也是一组主机，执行的动作是允许。如图3所示，Webx和Dbx之间经过防火墙Fw。

系统接收到业务申请之后，业务处理单元根据客户的权资产信息库中，匹配到资产信息，结合资产信息，将业务申请翻译成相应的IP地址信息；将web的信息转换为web主机的地址信息，将db应用转换为db的主机信息以及所打开的端口信息。然后将业务申请信息转换为策略申请信息，提交给网络管理单元。网络管理单元根据策略申请信息，将策略分解到经过的各个网络节点，并下发给网络设备。

业务申请的信息如下：

Json格式如下{“src”：{“relation”:“and”，data[{“type”：app，“field”：“web”}},“dst”：{“relation”:“and”，data[{“type”：app，“field”：“db”}]},”“action”：”permit”，}，其中type是app类型。

实施例三：

客户提出业务申请，需要操作系统为windows的所有的主机，为了封堵勒索病毒。客户填写业务申请的工单，业务申请内容包含需要打通的源端信息、目的端信息以及需要封堵的协议和端口信息。在本实施例中，源端是一组window的主机，执行的动作是丢弃。如图4所示，一组window的主机host1、host11、host2、host22经过交换机Sw1、交换机Sw2---防火墙Fw。

系统接收到业务申请之后，业务处理单元根据客户的业务申请，在资产信息库中，匹配到操作系统为window的所有的主机，将业务申请翻译成相应的IP地址信息；结合资产信息中的位置信息，然后将业务申请信息转换为策略申请信息，提交给网络管理单元。网络管理单元根据策略申请信息，将策略分解到经过的各个网络节点，并下发给网络设备。

业务申请的信息如下：

Json格式如下{“src”：{“relation”:“and”，data[{“type”：os，“field”：“windows”}]},，“action”：”drop”}。

基于同一发明构思，本发明实施例中还提供了一种业务开通装置，如下面的实施例所述。由于业务开通装置解决问题的原理与业务开通方法相似，因此业务开通装置的实施可以参见业务开通方法的实施，重复之处不再赘述。以下所使用的，术语“单元”或者“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图5是本发明实施例的业务开通装置(服务器角度)的结构框图，如图5所示，包括：

业务申请信息接收模块501，用于接收业务开通人员提出的业务申请信息；

策略申请信息确定模块502，用于根据所述业务申请信息与预设的网络资产信息库确定策略申请信息；

所经网络设备确定模块503，用于根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备；

策略申请信息分发模块504，用于按照所述网络设备将策略申请信息进行分解，将分解后的策略申请信息分发到相应的网络设备。

下面对该结构进行说明。

在本发明实施例中，还包括：

校验模块，用于对业务申请信息进行校验，确定业务申请信息的数据格式和/或数据类型是否正确。

在本发明实施例中，所述业务申请信息包括需要开通的源端信息、目的端信息以及需要开通的协议和端口信息以及需要执行的动作。

在本发明实施例中，所述策略申请信息确定模块502具体用于：

将所述业务申请信息与预设的网络资产信息库进行关联匹配，若根据所述源端信息、目的端信息从所述预设的网络资产信息库中匹配到关联的源端资产信息和目的端资产信息，则根据关联的源端资产信息和目的端资产信息，将需要开通的源端信息、目的端信息翻译成相应的源IP地址信息和目的IP地址信息以及相关的协议和端口号；

在本发明实施例中，所经网络设备确定模块503具体用于：

根据所述业务申请信息与预设的网络资产信息库确定源端和目的端的位置信息；

根据所述策略申请信息、源端和目的端的位置信息，计算出策略申请需要经过的网络设备。

基于同一发明构思，本发明实施例中还提供了一种业务开通系统，如下面的实施例所述。如图6所示，该系统包括：客户端、上述所述的业务开通装置、多个网络设备；

所述客户端用于：将业务申请信息发送至业务开通装置；

综上所述，本发明提出的业务开通方法、装置及系统具有如下有益效果：

(1)接收业务开通人员提出的业务申请信息，根据业务申请信息与预设的网络资产信息库确定策略申请信息，再确定策略申请所需要经过的网络设备，最后将分解后的策略申请信息分发到相应的网络设备，这样业务开通人员只需要提出业务申请信息，该业务信息不是策略申请，网络运维人员无需了解业务，只需要根据业务申请信息确定策略申请信息即可，这样将业务和策略进行了分离，可以提高网络开通效率。

(2)业务开通的方式比较通用，可以适配多个业务场景，不会因为网络或者业务的变化而调整。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明实施例可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种业务开通方法，其特征在于，包括：

接收业务开通人员提出的业务申请信息；

2.如权利要求1所述的业务开通方法，其特征在于，还包括：

对业务申请信息进行校验，确定业务申请信息的数据格式和/或数据类型是否正确。

3.如权利要求1所述的业务开通方法，其特征在于，所述业务申请信息包括需要开通的源端信息、目的端信息以及需要开通的协议和端口信息以及需要执行的动作。

4.如权利要求3所述的业务开通方法，其特征在于，根据所述业务申请信息与预设的网络资产信息库确定策略申请信息，包括：

5.如权利要求4所述的业务开通方法，其特征在于，根据所述业务申请信息和所述策略申请信息确定策略申请所需要经过的网络设备，包括：

6.一种业务开通装置，其特征在于，包括：

7.如权利要求6所述的业务开通装置，其特征在于，还包括：

8.如权利要求6所述的业务开通装置，其特征在于，所述业务申请信息包括需要开通的源端信息、目的端信息以及需要开通的协议和端口信息以及需要执行的动作。

9.如权利要求8所述的业务开通装置，其特征在于，所述策略申请信息确定模块具体用于：

10.如权利要求9所述的业务开通装置，其特征在于，所经网络设备确定模块具体用于：

11.一种业务开通系统，其特征在于，包括：客户端、权利要求6-10任一项所述的业务开通装置、多个网络设备；

所述客户端用于：将业务申请信息发送至业务开通装置；

12.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至5任一项所述方法。

13.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求1至5任一项所述方法的计算机程序。