CN110891018A - 网络流量恢复方法、装置、sdn控制器及存储介质 - Google Patents

Abstract

本发明涉及互联网技术领域，提供了一种网络流量恢复方法、装置、SDN控制器及存储介质，所述方法包括：获取用于表征网络流量的状态信息；若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态；若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量；若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，并使得网络流量通过备出口网关发送至外部设备。相对于现有技术，本发明实施例能在网络流量异常时，先通过软件手段解决软件故障，再通过硬件替换解决硬件故障，避免了不必要地硬件设备的切换对业务的影响。

Description

网络流量恢复方法、装置、SDN控制器及存储介质

技术领域

本发明涉及互联网技术领域，具体而言，涉及一种网络流量恢复方法、装置、SDN控制器及存储介质。

背景技术

现有技术中，通常将位于同一个机房的主机、网络接入设备、出口网关、防火墙设备及外部路由器接入同一个网络，机房中的主机与网络接入设备通信连接，网络接入设备、出口网关、防火墙设备及外部路由器依次通信连接，机房中的主机依次通过网络接入设备、出口网关、防火墙设备及外部路由器访问外部网络中的外部设备。当出口网关、防火墙设备、外部路由器中的任意一个出现故障时，主机发出的网络流量就无法到达外部设备，影响正常的业务。

为了保证网络的可靠性，通常采用主备出口网关、主备防火墙设备的冗余方式，当主出口网关或者主防火墙设备出现故障时，可以手动切换至备出口网关或者备防火墙设备，频繁地网关切换或者防火墙设备的切换极大地影响了正常业务。

发明内容

本发明提供了一种网络流量恢复方法、装置、SDN控制器及存储介质，其能在检测到网络流量处于异常状态时，先判断是否为软件故障，若是软件故障则通过软件手段解决，再判断是否为硬件故障，若是硬件故障则通过备用硬件解决，避免了不必要地硬件设备的切换对业务的影响。

为了实现上述目的，本发明实施例采用的技术方案如下：

第一方面，本发明提供一种网络流量恢复方法，所述方法应用于软件定义网络SDN控制器，SDN控制器与组网系统通信，组网系统包括网络接入设备、出口网关、防火墙设备，防火墙设备运行有初始虚拟防火墙，所述方法包括：

获取用于表征网络流量的状态信息，其中，网络流量由主机通过组网系统发送至外部设备；

若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态；

若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量；

若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

结合第一方面，在第二种可能的实现方式中，其中，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量的过程，具体为：

向防火墙设备发送创建虚拟防火墙指令，以使防火墙设备基于创建虚拟防火墙指令创建新虚拟防火墙；

依据新虚拟防火墙的IP地址生成新路由，其中，新路由包括的下一跳IP地址为新虚拟防火墙的IP地址；

将新路由发送至主出口网关，以使主出口网关向网络接入设备同步新路由，并使得网络流量按照新路由通过主出口网关和新虚拟防火墙进行转发。

结合第一方面，在第三种可能的实现方式中，组网系统还包括备用防火墙设备，备用防火墙设备与SDN控制器与备用防火墙设备通信连接，备用防火墙设备上运行有备用虚拟防火墙，其中，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备的过程之前，具体为：

指示主出口网关删除本地存储的路由，以使主出口网关向网络接入设备发送路由无效消息使得网络接入设备基于路由无效消息将本地存储的路由置为无效；

依据备用虚拟防火墙的IP地址生成备用路由，其中，备用路由包括的下一跳IP地址为备用虚拟防火墙的IP地址。

结合第一方面，在第四种可能的实现方式中，该方法还包括：

若初始虚拟防火墙处于工作状态且网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

第二方面，本发明提供一种网络流量恢复装置，所述装置应用于软件定义网络SDN控制器，SDN控制器与组网系统通信，组网系统包括网络接入设备、主出口网关、防火墙设备，防火墙设备运行有初始虚拟防火墙，所述装置包括：

获取模块，用于获取用于表征网络流量的状态信息，其中，网络流量由主机通过组网系统发送至外部设备；

检测模块，用于若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态；

第一处理模块，用于：若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量；若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

结合第二方面，在第一种可能的实现方式中，第一处理模块具体用于：

向防火墙设备发送创建虚拟防火墙指令，以使防火墙设备基于虚拟防火墙指令创建新虚拟防火墙；

依据新虚拟防火墙的IP地址生成新路由，其中，新路由包括的下一跳IP地址为新虚拟防火墙的IP地址；

将新路由发送至主出口网关，以使主出口网关向网络接入设备同步新路由，并使得网络流量按照新路由通过主出口网关和新虚拟防火墙进行转发。

结合第二方面，在第二种可能的实现方式中，组网系统还包括备用防火墙设备，备用防火墙设备与SDN控制器通信连接，备用防火墙设备上运行有备用虚拟防火墙，第一处理模块具体用于：

指示主出口网关删除本地存储的路由，以使主出口网关向网络接入设备发送路由无效消息使得网络接入设备基于路由无效消息将本地存储的路由置为无效；

依据备用虚拟防火墙的IP地址生成备用路由，其中，备用路由包括的下一跳IP地址为备用虚拟防火墙的IP地址。

结合第二方面，在第三种可能的实现方式中，该装置还包括第二处理模块，第二处理模块具体用于：

若初始虚拟防火墙处于工作状态且网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

第三方面，本发明提供一种SDN控制器，所述SDN控制器包括：一个或多个处理器；存储器，用于存储一个或多个程序，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现如前述实施方式中任一项所述的网络流量恢复方法。

第四方面，本发明提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如前述实施方式中任一项所述的网络流量恢复方法。

相对于现有技术，本发明提供了一种网络流量恢复方法、装置、SDN控制器及存储介质，SDN控制器根据获取的由主机通过组网系统发送至外部设备的网络流量的状态信息，判断网络流量是否处于异常状态，若所述网络流量处于异常状态，检测初始虚拟防火墙是否处于工作状态，若初始虚拟防火墙未处于工作状态，则判断为软件故障，通过创建新虚拟防火墙，并用主出口网关和新虚拟防火墙的处理方式尝试解决该软件故障，若软件故障仍然未能解决，则判定为硬件故障，则通过向备出口网关发送备用路由、备出口网关向网络接入设备同步备用路由，并使网络流量通过备出口网关发送至外部设备，以解决此硬件故障，由于先判断是否为软件故障，若为软件故障采取软件手段解决，而软件手段可以在短时间内自动将网络流量进行恢复，从而避免了不必要地硬件设备的切换对业务的影响。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例提供一种现有技术的应用场景示例图。

图2示出了本发明实施例提供一种改进后的应用场景示例图。

图3示出了本发明实施例提供的SDN控制器的方框示意图。

图4示出了本发明实施例提供的一种网络流量恢复方法的流程图。

图5示出了本发明实施例提供的另一种网络流量恢复方法的流程图。

图6示出了本发明实施例提供的一种网络流量恢复装置的流程图。

图标：10-SDN控制器；11-存储器；12-通信接口；13-处理器；14-总线；100-网络流量恢复装置；110-获取模块；120-检测模块；130-第一处理模块；140-第二处理模块。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

在本发明的描述中，需要说明的是，若出现术语“上”、“下”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，或者是该发明产品使用时惯常摆放的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

此外，若出现术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

需要说明的是，在不冲突的情况下，本发明的实施例中的特征可以相互结合。

请参考图1，图1示出了本发明实施例提供一种现有技术的应用场景示例图，图1中，组网系统1和主机1可以属于一个机房或者属于一个园区，组网系统2和主机2可以属于另一个机房或者另一个园区，主机1或者主机2可以是物理实体的主机、服务器或者是可以实现与物理实体的主机或者服务器相同功能的虚拟机。主机1通过网络接入设备1接入组网系统1，并通过出口网关1/边缘设备1、防火墙设备1外部路由器1、外部设备1与外部网络通信。

外部网络可以是服务提供商的骨干网，外部设备1或者外部设备2均可以为该骨干网的边缘路由器(也称PE或者LER)，即通过该骨干网的边缘路由器与外部网络中的其他主机进行通信，外部网络也可以是连接整个城市的计算机的城域网，此时，外部网络的外部设备1或者外部设备2均可以为该城域网的边缘路由器。外部路由器1与外部网络的外部设备1可以通过边界网关协议BGP(Border Gateway Protocol，BGP)通信，BGP是一种实现自治系统AS(Autonomous System，AS)之间的路由可达，并选择最佳路由的距离矢量路由协议，外部路由器2与外部网络的外部设备2与之类似，此处不再赘述。

图1中，组网系统1包括网络接入设备1、出口网关1/边缘设备1、防火墙设备1及外部路由器1。实际使用场景下，为了充分利用防火墙设备资源，通常在防火墙设备1上创建虚拟防火墙(如图1中的虚拟防火墙a)，由虚拟防火墙实现流量的控制和转发。

在网络配置阶段，SDN控制器1向出口网关1/边缘设备1发送默认路由，该默认路由中包括网络号、子网掩码号及下一跳IP地址，其中，网络号和子网掩码号均为0.0.0.0，下一跳IP地址为虚拟防火墙a的IP地址，表征接收的所有数据包均通过下一跳IP地址转发出去。出口网关1/边缘设备1按照内部边界网关协议IBGP(Internal/Interior BGP，IBGP)将该默认路由同步至网络接入设备1，网络接入设备收到主机1发送的网络流量后，依据IBGP协议将该网络流量的数据包发送至出口网关1/边缘设备1，出口网关1/边缘设备1再将该网络流量的数据包发送至虚拟防火墙a，最终通过外部路由器1、外部设备1到达外部网络。需要指出的是，出口网关1/边缘设备1可以是独立的两个设备，也可以集成在同一个设备上。

图1中，组网系统2的工作原理与组网系统1类似，不再赘述，需要指出的是，组网系统2中出口网关2和边缘设备2是相互独立的设备，在配置阶段，SDN控制器2将默认路由发送至出口网关2，出口网关2按照IBGP将该默认路由发送至边缘设备2，边缘设备2再按照IBGP将该默认路由发送至网络接入设备2，主机2发出的网络流量，依次经过网络接入设备2、边缘设备2、出口网关2、防火墙设备2上的虚拟防火墙b、外部路由器2，外部设备2，最终到达外部网络。需要指出的是，SDN控制器1和SDN控制器2可以是同一个SDN控制器，也可以是相互通信连接的两台独立的SDN控制器。

图1中，组网系统1和组网系统2可以通过出口网关1/边缘设备1及边缘设备2按照外部边界网关协议EBGP(External BGP，EBGP)协议互联，EBGP用于归属不同的AS对等实体之间的互联。此场景下，主机1和主机2均即可通过路径1(即出口网关1/边缘设备1、防火墙设备1、外部路由器1、外部设备1)到达外部网络，也可以通过路径2(边缘设备2、出口网关2、防火墙设备2、外部路由器2、外部设备2)到达外部网络。

因此，可以配置路径1和路径2互为备份，当其中一条路径出现故障时，可以通过另一条路径和外部网络进行通信，由此提高网络的可靠性。一种具体的配置方式可以是：以SDN控制器1和SDN控制器2为同一个SDN控制器为例，在配置阶段，SDN控制器创建一个网关组，网关组中包括出口网关1/边缘设备1和出口网关2，指定出口网关1/边缘设备1的优先级高于出口网关2，也就是说，在正常情况下，主机1和主机2均通过路径1和外部网络通信，在路径1发生故障时，主机1和主机2可以通过路径2和外部网络通信。

对于优先级高的出口网关1/边缘设备1，配置过程如上文所述，此处不再赘述。对于优先级低的出口网关2，SDN控制器将默认路由发送至出口网关2，同时向出口网关2发送apply as-path命令，该命令用于配置从本地到目的地要经过的AS编号，此处通过applyas-path命令指定两个AS编号，例如64570、64571，出口网关2将该默认配置同步至边缘设备2，边缘设备2同时也会收到出口网关1/边缘设备1发送的BGP路由及要经过的AS编号，该AS编号被预先指定为只有一个AS编号，例如64569。当主机2发向外部网络的网络流量到达边缘设备2时，边缘设备2会在两条路径中选择一条AS路径最短的一条，即AS编号只有一个的路径1，此时，边缘设备2会按照BGP路由将该网络流量发送至出口网关1/边缘设备1，通过路径1到达外部网络。

反过来，如果指定出口网关2的优先级高于出口网关1/边缘设备1，对于出口网关2的配置过程如上文所述，此处不再赘述。对于优先级低的出口网关1/边缘设备1，SDN控制器将默认路由发送至出口网关1/边缘设备1，同时向出口网关2发送apply as-path命令，指定两个AS编号，出口网关1/边缘设备1同时也会收到边缘设备2发送过来的BGP路由及要经过的AS的编号，该AS编号被指定为只有一个编号，除此之外，SDN控制器还会向出口网关1/边缘设备1发送设置默认路由的优先级，将此默认路由的优先级设置低于BGP路由，当出口网关1/边缘设备1接收到主机1发出的网络流量时，由于BGP路由优先级高于默认路由，因此，出口网关1/边缘设备1会将该网络流量发送至边缘设备2，通过路径2达到外部网络。

图1中，以出口网关1/边缘设备1的优先级高于出口网关2的优先级为例，当出现图1中的故障点1(对应防火墙设备1的向外部网络发出端口出现故障的情况)、故障点2(对应防火墙设备1的接收端口出现故障的情况)、故障点3(对应出口网关1/边缘设备1的发出端口出现故障的情况)中任意一个故障点时，主机1和主机2发出的网络流量均不能通过路径1到达外部网络，可以切换到路径2，通过路径2到达外部网络。

需要说明的是，图1中只示出了一个主机1和一个主机2、一个组网系统1与一个组网系统2相连的场景，实际场景下组网系统1和组网系统2均可以连接多个主机，组网系统1和组网系统2同时还可以与其他组网系统网络连接，上述描述可以适用于多个组网系统中任意两个组网系统网络连接的场景。

还需要说明的是，图1中的网络接入设备1和网络接入设备2也称为leaf设备，出口网关1和出口网关2也称为border，边缘设备1和边缘设备2也称为ED(Edge Device)。防火墙设备1和防火墙设备2也称为FW(FireWall)，虚拟防火墙设备a和虚拟防火墙设备b也称为FWcontext。

图1所示的场景下，只有故障点1、故障点2、故障点3中任意一个故障点都必须是硬件故障，硬件故障可以是物理端口处于down状态，或者是硬件设备中硬件部件出现故障等。如果是软件出现故障，无论出口网关1/边缘设备1还是出口网关2均不能感知此类故障，此时，主机1和主机2的网络流量既不能通过路径1到达外部网络，由于感知不到此类故障，也不会切换到路径2，由此，导致主机1和主机2与外部网络的通信中断。

为了解决图1的应用场景中存在的问题，本发明实施例对图1中的组网系统进行改进，下面以图1中的组网系统2为例进行介绍。需要说明的是，由于图2中组网系统2也可以不与组网系统1通信连接，此时，组网系统2中不需要边缘设备2。

请参看图2，图2示出了本发明实施例提供的改进后的应用场景示例图。图2中，主出口网关为出口网关2，备出口网关与网络接入设备2通信连接，备出口网关、备用防火墙、备用外部路由器依次通信连接，在主机2与外部网络之间形成一条备用路径。SDN控制器与备出口网关与备用防火墙设备均通信连接。

SDN控制器获取主机2通过组网系统2发送至外部设备2的网络流量的状态信息，若该状态信息表征网络流量为异常状态，SDN控制器检测虚拟防火墙b1是否处于工作状态，若虚拟防火墙b1未处理工作状态，则在防火墙设备2上创建虚拟防火墙b2，并根据虚拟防火墙b2的IP地址生成新路由，以通过虚拟防火墙b2转发网络流量，若通过虚拟防火墙b2转发的网络流量仍为异常状态时，向备出口网关发送备用路由、备用路由的下一跳IP地址为备用防火墙设备，以通过网络接入设备2、备出口网关、备用防火墙及备用外部路由器形成的从主机2至外部设备2的新路径进行网络流量的转发。

需要说明的是，图2只是改进组网系统2的示例图，按照与组网系统2类似的方法，本领域技术人员在不付出创造性的劳动的前提下，也可以对组网系统1进行改进，使得组网系统1和组网系统2的可靠性均得以提升，因此，此改进也属于本发明实施例保护范围。

本发明实施例还给出了可以用于图1和图2的SDN控制器10的方框示意图，SDN控制器10可以是图1中的SDN控制器1或者SDN控制器2，或者图2中的SDN控制器，请参照图3，图3示出了本发明实施例提供的SDN控制器10的方框示意图。

SDN控制器10还包括存储器11、通信接口12、处理器13和总线14。存储器11、通信接口12，处理器13通过总线14连接。

存储器11用于存储程序，例如上述的网络流量恢复装置，该网络流量恢复装置包括至少一个可以软件或固件(firmware)的形式存储于存储器11中的软件功能模块，处理器13在接收到执行指令后，执行所述程序以实现上述实施例揭示的网络流量恢复方法。

存储器11可能包括高速随机存取存储器(RAM：Random Access Memory)，也可能还包括非易失存储器(non-volatile memory)，例如至少一个磁盘存储器。可选地，存储器11可以是内置于处理器13中的存储装置，也可以是独立于处理器13的存储装置。

通过至少一个通信接口12(可以是有线或者无线)实现与其他SDN控制器10、出口网关、防火墙设备之间的通信连接。

总线14可以是ISA总线、PCI总线或EISA总线等。图3仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

处理器13可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器13中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器13可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其它可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

接下来，本发明实施例将对运行于SDN控制器10的网络流量恢复方法进行详细描述，请参照图4，图4示出了本发明实施例提供的一种网络流量恢复方法的流程图，该方法包括以下步骤：

步骤S101，获取用于表征网络流量的状态信息，其中，网络流量由主机通过组网系统发送至外部设备。

在本实施例中，由主机通过组网系统发送至外部设备的网络流量是当前正常进行的业务流量，也可以是预先设置的周期性从主机发向外部设备的网络流量，此时，需要在虚拟防火墙中预先设置允许从该主机发向外部设备的网络流量通过。

在本实施例中，状态信息可以是通信数据包数量的统计值的更新状态，初始虚拟防火墙可以实时地或者周期性地将收发的数据包发送至SDN控制器，由SDN控制器更新数据包数量的统计值，当SDN控制器检测到在预设时间段内该数据包数量的统计值未更新时，此时，状态信息表征网络流量为异常状态。

在本实施例中，状态信息也可以是数据包的通信状态，当SDN控制器在预设时间段内未收到初始虚拟防火墙发出数据包的请求消息的响应消息时，此时，状态信息表征网络流量为异常状态。

步骤S102，若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态。

在本实施例中，虚拟防火墙是可以将一台物理的防火墙设备在逻辑上划分成多台虚拟的防火墙，每个虚拟防火墙都可以被看成是一台完全独立的防火墙设备，拥有独立的系统资源、管理员、安全策略、用户认证数据库等。初始虚拟防火墙处于工作状态表征初始虚拟防火墙处于可以工作的正常状态，并未出现故障。

步骤S103，若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量。

在本实施例中，初始虚拟防火墙未处于工作状态，可能是由于防火墙设备内存不足、芯片堵死等原因导致的，此时，可以将初始虚拟防火墙对应的进程杀死，重新创建一个新虚拟防火墙，用新虚拟防火墙转发网络流量。

步骤S106，若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

在本实施例中，若采用新虚拟防火墙转发网络流量后，网络流量恢复至正常状态，证明的确是初始防火墙软件本身出现故障，问题得以解决。若采用新虚拟防火墙转发网络流量后，网络流量仍然未恢复至正常状态，则认为可能是硬件故障导致出口网关设备、防火墙设备的端口、外部路由器等出现异常，此时，可以采用硬件替换的方式解决问题，即对网络接入设备、备出口网关、备用防火墙设备进行重新配置，得到一条从主机至外部设备的新路径。

步骤S107，若初始虚拟防火墙处于工作状态且网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

在本实施例中，若网络流量的状态为异常，且初始虚拟防火墙处于工作状态，处理方法与步骤S106类似，此处不再赘述。

本发明实施例提供的上述方法，其能够在检测到网络流量处于异常状态时，先判断是否为虚拟防火墙的软件故障，若是软件故障则通过软件手段解决，即重新创建新虚拟防火墙，用主出口网关和新虚拟防火墙转发网络流量的方式解决，如果该方式处理后流量未恢复正常，则判断为硬件故障，则通过向备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使网络流量通过备出口网关发送至外部设备，避免了不必要地硬件设备的切换对业务的影响。

基于图4，本发明实施例还给出了一种具体实施方式，请参照图5，图5示出了本发明实施例提供的另一种网络流量恢复方法的流程图，步骤S103包括以下子步骤：

子步骤S1031，向防火墙设备发送创建虚拟防火墙指令，以使防火墙设备基于创建虚拟防火墙指令创建新虚拟防火墙。

子步骤S1032，依据新虚拟防火墙的IP地址生成新路由，其中，新路由包括的下一跳IP地址为新虚拟防火墙的IP地址。

在本实施例中，创建虚拟防火墙指令包括要创建的新虚拟防火墙的IP地址，防火墙设备基于收到的创建虚拟防火墙指令创建新虚拟防火墙。新路由中包括网络号、子网掩码和下一跳IP地址，其中，网络号和子网掩码均为0.0.0.0，代表所有报文均通过下一跳IP地址转发出去，该下一跳IP地址为新虚拟防火墙的IP地址。

子步骤S1033，将新路由发送至主出口网关，以使主出口网关向网络接入设备同步新路由，并使得网络流量按照新路由通过主出口网关和新虚拟防火墙进行转发。

在本实施例中，主出口网关还存在一个初始路由，该初始路由的下一跳IP地址为初始虚拟防火墙，SDN控制器生成新路由后，首先向主出口网关发送删除初始路由命令，将初始路由删除，而主出口网关会向网络接入设备发送路由无效消息，网络接入设备基于该路由无效消息将本地存储的初始路由置为无效，SDN控制器再将新路由发送至主出口网关，主出口网关向网络接入设备同步新路由，由此网络流量可以按照新路由通过主出口网关和新虚拟防火墙进行转发。

继续参照图5，步骤S106中向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备之前包括以下步骤：

步骤S104，指示主出口网关删除本地存储的路由，以使主出口网关向网络接入设备发送路由无效消息使得网络接入设备基于路由无效消息将本地存储的路由置为无效。

步骤S105，依据备用虚拟防火墙的IP地址生成备用路由，其中，备用路由包括的下一跳IP地址为以备用虚拟防火墙的IP地址。

需要说明的是，备出口网关也可以预先与原防火墙设备通信连接，此时，SDN控制器根据原防火墙设备上的虚拟防火墙的IP地址生成备用路由，再将该备用路由发送至备出口网关，使得网络流量通过备出口网关、原防火墙设备上的虚拟防火墙、原外部路由器发送至外部设备，当然，如果此时网络流量的状态仍然未异常，再采用步骤S107的方式转发网络流量。

需要说明的是，在图2中的组网系统2与组网系统1通信连接的场景下，组网系统2中可以有边缘设备2，此时，还需要有边缘设备2的备用边缘设备。在此场景下，SDN控制器10将备用路由发送至备出口网关，备出口网关再将备用路由同步至边缘设备2和组网系统1中的边缘设备1，边缘设备2再将备用路由同步至网络接入设备2；或者，组网系统2中可以有出口网关2与边缘设备2合二为一的出口网关2/边缘设备2，此时需要有出口网关2/边缘设备2的备出口网关2/备用边缘设备2，在此场景下，SDN控制器10将备用路由发送至备出口网关2/备用边缘设备2，备出口网关2/备用边缘设备2再将备用路由同步至网络接入设备2和组网系统1中的边缘设备1。

还需要说明的是，基于图2对图1进行改进时，可以根据网络可靠性的需求确定是否配置对应的备用设备，例如，出口网关2所在的路径2的可靠性要求高，出口网关2/边缘设备1所在的路径1的可靠性要求比较低，则可以为边缘设备2、出口网关2、防火墙设备2、外部路由器2分别配置对应的备用设备，形成路径2的备用路径，此时，从主机1和主机2至外部网络一共可以有3条路径：路径1、路径2、路径2的备用路径，可以预先配置路径1、路径2及路径2的备用路径设置为互为备用，在网络流量的状态为异常且非虚拟防火墙的软件故障时，只要3条路径中存在任意一条正常的路径，可以在这3条路径中依次尝试进行自动切换，直至网络流量恢复正常。

本发明实施例提供的上述方法，实现虚拟防火墙的自动替换及硬件设备的自动切换，实现了无人值守的情况下，流量快速恢复正常。

为了执行上述实施例及各个可能的实施方式中的相应步骤，下面给出一种网络流量恢复装置的实现方式。请参阅图6，图6示出了本发明实施例提供的网络流量恢复装置100的功能模块图。需要说明的是，本实施例所提供的网络流量恢复装置100，其基本原理及产生的技术效果和上述实施例相同，为简要描述，本实施例部分未提及指出，可参考上述实施例中的相应内容。网络流量恢复装置100包括获取模块110、检测模块120、第一处理模块130及第二处理模块140。

获取模块110，用于获取用于表征网络流量的状态信息，其中，网络流量由主机通过组网系统发送至外部设备。

检测模块120，用于若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态。

第一处理模块130，用于：若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量；若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

在一种可选的实施方式中，第一处理模块130具体用于：向防火墙设备发送创建虚拟防火墙指令，以使防火墙设备基于创建虚拟防火墙指令创建新虚拟防火墙；依据新虚拟防火墙的IP地址生成新路由，其中，新路由包括的下一跳IP地址为新虚拟防火墙的IP地址；将新路由发送至主出口网关，以使主出口网关向网络接入设备同步新路由，并使得网络流量按照新路由通过主出口网关和新虚拟防火墙进行转发。

在另一种可选的实施方式中，组网系统还包括备用防火墙设备，备用防火墙设备与SDN控制器与备用防火墙设备通信连接，备用防火墙设备上运行有备用虚拟防火墙，第一处理模块130具体用于：指示主出口网关删除本地存储的路由，以使主出口网关向网络接入设备发送路由无效消息使得网络接入设备基于路由无效消息将本地存储的路由置为无效；依据备用虚拟防火墙的IP地址生成备用路由，其中，备用路由包括的下一跳IP地址为以备用虚拟防火墙的IP地址。

在另一种可选的实施方式中，第二处理模块140用于：若初始虚拟防火墙处于工作状态且网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。

本发明实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如前述实施方式中任一项所述的网络流量恢复方法。

综上所述，本发明实施例提供了一种网络流量恢复方法、装置、SDN控制器及存储介质，所述方法应用于软件定义网络SDN控制器，SDN控制器与组网系统通信，组网系统包括网络接入设备、主出口网关、防火墙设备，防火墙设备运行有初始虚拟防火墙，所述方法包括：获取用于表征网络流量的状态信息，其中，网络流量由主机通过组网系统发送至外部设备；若状态信息表征的网络流量为异常状态，检测初始虚拟防火墙是否处于工作状态；若初始虚拟防火墙未处于工作状态，指示防火墙设备创建新虚拟防火墙以通过主出口网关和新虚拟防火墙转发网络流量；若通过新虚拟防火墙转发的网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使备出口网关向网络接入设备同步备用路由，并使得网络流量通过备出口网关发送至外部设备。相对于现有技术，本发明实施例能在检测到网络流量处于异常状态时，先判断是否为软件故障，若是软件故障则通过软件手段解决，再判断是否为硬件故障，若是硬件故障则通过备用硬件解决，避免了不必要地硬件设备的切换对业务的影响。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种网络流量恢复方法，其特征在于，所述方法应用于软件定义网络SDN控制器，所述SDN控制器与组网系统通信，所述组网系统包括网络接入设备、主出口网关、防火墙设备，所述防火墙设备运行有初始虚拟防火墙，所述方法包括：

获取用于表征网络流量的状态信息，其中，所述网络流量由主机通过所述组网系统发送至外部设备；

若所述状态信息表征的网络流量为异常状态，检测所述初始虚拟防火墙是否处于工作状态；

若所述初始虚拟防火墙未处于工作状态，指示所述防火墙设备创建新虚拟防火墙以通过所述主出口网关和所述新虚拟防火墙转发所述网络流量；

若通过所述新虚拟防火墙转发的所述网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使所述备出口网关向所述网络接入设备同步所述备用路由，并使得所述网络流量通过所述备出口网关发送至所述外部设备。

2.如权利要求1所述的网络流量恢复方法，其特征在于，所述指示所述防火墙设备创建新虚拟防火墙以通过所述主出口网关和所述新虚拟防火墙转发所述网络流量包括：

向所述防火墙设备发送创建虚拟防火墙指令，以使所述防火墙设备基于所述创建虚拟防火墙指令创建新虚拟防火墙；

依据所述新虚拟防火墙的IP地址生成新路由，其中，所述新路由包括的下一跳IP地址为所述新虚拟防火墙的IP地址；

将所述新路由发送至所述主出口网关，以使所述主出口网关向所述网络接入设备同步所述新路由，并使得所述网络流量按照所述新路由通过所述主出口网关和所述新虚拟防火墙进行转发。

3.如权利要求1所述的网络流量恢复方法，其特征在于，所述组网系统还包括备用防火墙设备，所述备用防火墙设备与所述SDN控制器通信连接，所述备用防火墙设备上运行有备用虚拟防火墙；

所述向预先配置的所述备出口网关发送备用路由，以使所述备出口网关向所述网络接入设备同步所述备用路由，并使得所述网络流量通过所述备出口网关发送至所述外部设备的步骤之前，包括：

指示所述主出口网关删除本地存储的路由，以使所述主出口网关向所述网络接入设备发送路由无效消息使得所述网络接入设备基于所述路由无效消息将本地存储的路由置为无效；

依据所述备用虚拟防火墙的IP地址生成备用路由，其中，所述备用路由包括的下一跳IP地址为所述备用虚拟防火墙的IP地址。

4.如权利要求1所述的网络流量恢复方法，其特征在于，所述方法还包括：

若所述初始虚拟防火墙处于工作状态且所述网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使所述备出口网关向所述网络接入设备同步所述备用路由，并使得所述网络流量通过所述备出口网关发送至所述外部设备。

5.一种网络流量恢复装置，其特征在于，所述装置应用于软件定义网络SDN控制器，所述SDN控制器与组网系统通信，所述组网系统包括网络接入设备、主出口网关、防火墙设备，所述防火墙设备运行有初始虚拟防火墙，所述装置包括：

获取模块，用于获取用于表征网络流量的状态信息，其中，所述网络流量由主机通过所述组网系统发送至外部设备；

检测模块，用于若所述状态信息表征的网络流量为异常状态，检测所述初始虚拟防火墙是否处于工作状态；

第一处理模块，用于：若所述初始虚拟防火墙未处于工作状态，指示所述防火墙设备创建新虚拟防火墙以通过所述主出口网关和所述新虚拟防火墙转发所述网络流量；若通过所述新虚拟防火墙转发的所述网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使所述备出口网关向所述网络接入设备同步所述备用路由，并使得所述网络流量通过所述备出口网关发送至所述外部设备。

6.如权利要求5所述的网络流量恢复装置，其特征在于，所述第一处理模块具体用于：

向所述防火墙设备发送创建虚拟防火墙指令，以使所述防火墙设备基于所述创建虚拟防火墙指令创建新虚拟防火墙；

依据所述新虚拟防火墙的IP地址生成新路由，其中，所述新路由包括的下一跳IP地址为所述新虚拟防火墙的IP地址；

将所述新路由发送至所述主出口网关，以使所述主出口网关向所述网络接入设备同步所述新路由，并使得所述网络流量按照所述新路由通过所述主出口网关和所述新虚拟防火墙进行转发。

7.如权利要求5所述的网络流量恢复装置，其特征在于，所述组网系统还包括备用防火墙设备，所述备用防火墙设备与所述SDN控制器通信连接，所述备用防火墙设备上运行有备用虚拟防火墙，所述第一处理模块具体用于：

指示所述主出口网关删除本地存储的路由，以使所述主出口网关向所述网络接入设备发送路由无效消息使得所述网络接入设备基于所述路由无效消息将本地存储的路由置为无效；

依据所述备用虚拟防火墙的IP地址生成备用路由，其中，所述备用路由包括的下一跳IP地址为所述备用虚拟防火墙的IP地址。

8.如权利要求5所述的网络流量恢复装置，其特征在于，所述装置还包括：

第二处理模块，用于若所述初始虚拟防火墙处于工作状态且所述网络流量为异常状态，向预先配置的备出口网关发送备用路由，以使所述备出口网关向所述网络接入设备同步所述备用路由，并使得所述网络流量通过所述备出口网关发送至所述外部设备。

9.一种SDN控制器，其特征在于，所述SDN控制器包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1～4中任一项所述的网络流量恢复方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1～4中任一项所述的网络流量恢复方法。

Images