CN111277660B - 一种用于组成dmz区域的系统及方法 - Google Patents

Abstract

本发明公开了一种用于组成DMZ区域的系统，包括：可编程交换机，其用于接收并处理来自外部网络的流量，并将经处理的流量转发至服务器集群；服务器集群，其用于接收并清洗由所述经处理的流量，并将经清洗的流量转发至所述可编程交换机，其中，可编程交换机还用于将所述经清洗的流量转发至业务区域。

Description

一种用于组成DMZ区域的系统及方法

技术领域

本发明涉及计算机网络领域，尤其涉及一种用于组成DMZ区域的系统及方法。

背景技术

DMZ(Demilitarized Zone，非军事化区)区域是金融行业所采用的计算机网络体系中的一个重要区域，其作用是是隔离不可信外网与可信内网的之间的网络流量(也称“流量”)。可信内网指金融机构的内部的信任程度较高的内部网络。不可信外网指相对于可信内网的、在金融机构外部的网络，例如，各种银行、第三方机构的网络和互联网等。

图1示出了传统的DMZ区的系统示意图。当前构建DMZ区的方案是采用昂贵的F5负载均衡设备，数十台传统交换机以及执行Web反向代理的上千台传统服务器。该方案的吞吐量通常在100Gbps以下，并且最大吞吐量受限于F5负载均衡设备，只能通过更换新型的F5负载均衡设备来实现扩容。因此，该方案存在成本高、吞吐量不足和难以扩展的问题。

发明内容

本发明的一个方面提供了一种用于组成DMZ区域的系统，包括：可编程交换机，其用于接收并处理来自外部网络的流量，并将经处理的流量转发至服务器集群；服务器集群，其用于接收并清洗由所述经处理的流量，并将经清洗的流量转发至所述可编程交换机，其中，可编程交换机还用于将所述经清洗的流量转发至业务区域。

本发明的另一个方面提供了一种用于组成DMZ区域的系统，包括：前置可编程交换机；可编程交换机；以及服务器集群。所述前置可编程交换机用于接收来自外部网络的流量，并基于预定规则将所述流量分发到所述可编程交换机，所述可编程交换机用于接收并处理来自所述前置交换机的流量，并将经处理的流量转发至服务器集群，所述服务器集群用于接收并清洗由所述经处理的流量，并将经清洗的流量转发至所述可编程交换机，其中，所述可编程交换机还用于将所述经清洗的流量转发至业务区域。

本发明的又一个方面提供了一种用于组成DMZ区域的方法，包括：通过可编程交换机接收并处理来自外部网络的流量，并将经处理的流量转发至服务器集群；通过服务器集群接收并清洗由所述经处理的流量，并将经清洗的流量转发至所述可编程交换机；以及通过可编程交换机将所述经清洗的流量转发至业务区域。

本发明的再一个方面提供了一种用于组成DMZ区域的方法，包括：通过前置可编程交换机接收来自外部网络的流量，并基于预定规则将所述流量分发到可编程交换机；通过所述可编程交换机接收并处理来自所述前置交换机的流量，并将经处理的流量转发至服务器集群；通过所述服务器集群接收并清洗由所述经处理的流量，并将经清洗的流量转发至所述可编程交换机；以及通过所述可编程交换机将所述经清洗的流量转发至业务区域。

根据本发明的实施例的DMZ区域可以不采用价格昂贵的F5负载均衡设备，从而有效地降低成本。相对于采用F5负载均衡设备的方案而言，本发明的实施例还可以极大地提高流量的吞吐量。此外，本发明还提供了易于扩展的DMZ区域的方案，使得根据本发明的实施例的DMZ区域能够进一步提高流量的吞吐量。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过参考附图阅读下文的详细描述，本发明示例性实施方式的上述以及其他目的、特征和优点将变得易于理解。在附图中，以示例性而非限制性的方式示出了本发明的若干实施方式，其中：

在附图中，相同或对应的标号表示相同或对应的部分。

图1示出了根据现有技术的DMZ区域的系统的示意图；

图2示出了根据本发明的第一实施例的DMZ区域的系统的示意图；

图3示出了根据本发明的第一实施例的利用DMZ区域处理流量的方法的流程图；

图4示出了根据本发明的第二实施例的DMZ区域的系统的示意图；

图5示出了根据本发明的第三实施例的DMZ区域的系统的示意图。

具体实施方式

下面将参考若干示例性实施方式来描述本发明的原理和精神。应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本发明，而并非以任何方式限制本发明的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

下面结合附图对本发明的具体实施方式进行详细描述。

图2示出了根据本发明的第一实施例的DMZ区域的系统的示意图。

如图所示，DMZ区域包括可编程交换机和加强型服务器集群。

可编程交换机可以用于接收来自互联网的流量、挂载服务器集群、实施四层负载均衡并输出流量。在一些实施例中，可以采用6.4Tbps规格的可编程交换机(其例如采用Barefoot Tofino交换芯片)。可编程交换机包括64个规格为100Gbps的端口。其中的10个端口可以用来接收从互联网进入的流量(即，最大输入流量是100Gbps*10＝1Tbps)；50个端口用于挂载服务器，由于每个服务器都配置了25G智能网卡，因此可以最多挂载100G/25G×50＝200台的服务器；4个端口可以用于输出流量(即，最大输出流量是100Gbps*4＝400Gbps)，流量最终将输出到业务区域。在本文中，流量是多个报文的集合，报文可以包括应用数据和其他网络元数据信息(例如IP地址，传输端口等)。应用数据在业务区域进行处理。

在本领域中，四层负载均衡技术是指在传输层上对流量中的报文进行负载均衡。该技术用于根据传输层的信息(例如，五元组)将报文分发到DMZ区域的服务器集群中的不同服务器。

可编程交换机还可以用于接收来自服务器集群的被清洗过的流量，并例如通过4个端口将流量输出到业务区域。

本申请采用的服务器集群是加强型服务器集群，其有别于传统DMZ区域中的集群。加强型服务器集群可以用于清洗从可编程交换机转发的流量。在一些实施例中，清洗操作可以包括：

(1)可以采用加解密卡(例如Intel QAT卡)来卸载经https加密的流量处理工作(即对经https加密的流量进行解密)。卸载是指将原本由软件处理的工作任务交由硬件来处理。

(2)可以采用25G智能网卡来实现在每个服务器上的为25Gbps的高吞吐量。同时，25G智能网卡还具备加解隧道封装(例如加解隧道vxlan封装)、网络包分片(例如，udp分片)，计算校验和(例如，计算tcp校验和)等的硬件处理功能，从而可以最大程度地降低服务器集群的CPU的处理负担，并且保证了报文的处理延时。

(3)可以在软件层面采用Nginx服务器做七层负载均衡、http反向代理以及深度包检测等工作。在本领域中，七层负载均衡技术是指在应用层上对流量中的报文进行负载均衡。该技术用于根据应用层的信息(例如，五元组)将报文分发到业务区域中的不同服务器。http反向代理技术是指将来自外部网络的http请求转化为DMZ区域内部的http请求。通过http反向代理，可以实现外部网络与DMZ区域的隔离。深度包检测技术可以依据应用层的信息以及过滤规则对网络报文进行检测和过滤。

图3示出了根据本发明的第一实施例的利用DMZ区域处理流量的方法的流程图。

该方法包括以下步骤：

(1)可编程交换机接收来自外部网络(例如互联网)的流量，处理流量并将流量转发到加强型服务器集群。可编程交换机处理流量的操作可以包括：通过四层防火墙过滤流量(即在传输层上设置防火墙以过滤流量)和利用四层负载均衡技术将流量转发至加强型服务器集群中的不同服务器上(以使得在服务器集群中的各个服务器的负载得以均衡)。在一些实施例中，四层防火墙可以是四层DDoS防火墙。

(2)加强型服务器集群处理从可编程交换机接收的流量，并将流量转发到可编程交换机。加强型服务器集群清洗流量的操作可以包括：深度包检测、https加密流量卸载、http反向代理、网络包分片、计算校验和、加解隧道封装、七层负载均衡等。

(3)可编程交换机接收由加强型服务器集群处理过的流量，并将其发送到业务区域。业务区域可以根据业务逻辑处理流量。

图4示出了根据本发明的第二实施例的DMZ区域的系统的示意图。如图所示，在该系统中，DMZ区域包括两个可编程交换机和加强型服务器集群。两个可编程交换机分别是主可编程交换机和备用可编程交换机。所有的服务器均双联至两个交换机，同时出入口的链路也进行双联处理(即外部网络双联至两个交换机)。两个可编程交换机和加强型服务器集群与如图2所示的第一实施例中的可编程交换机和加强型服务器集群基本相同。

与第一实施例不同之处在于，第二实施例中的系统还包括用于监控主可编程交换机的监控系统。在正常状态下，备用交换机的链路上没有流量。当有新的从外部到交换机的连接请求时，监控系统同时将连接请求写入两台交换机的表项之中，使得备用交换机可以与主交换机拥有相同的表项。当主交换机出现异常时(通过监控其指标状态显示出异常)，则监控系统立刻切换到备用交换机，利用备用交换机处理流量。由于备用交换机与主交换机拥有相同的表项，因此每个连接请求的出口端口保持不变，由此实现从主可编程交换机到备用可编程交换机的平滑切换。

图5示出了根据本发明的第三实施例的DMZ区域的系统的示意图。如图所示，在该系统中，需要两级交换机。第一级交换机(也称前置交换机)是可编程交换机，其可以按照既定规则(例如IP前缀等)将流量先转发到第二级交换机。第一级交换机例如可以根据IP前缀“1.1.1.0/24”转发至第二级的第一个交换机，根据IP前缀“2.2.2.0/24”转发至第二级的第二个交换机。在一些实施例中，转发操作可以是由第一级交换机的全部端口执行的转发操作，也可以是第一级交换机的部分端口执行的转发操作。

第二级交换机可以是如第一实施例中所述的可编程交换机，并具备与其相同的功能(例如，可以执行四层负载均衡操作、可以具有四层防火墙等)。通过设置两级可编程交换机，可以大幅地且横向地扩展整个集群的吞吐量。

根据需要，本发明各实施例的系统、方法和装置可以实现为纯粹的软件(例如用Java来编写的软件程序)，也可以根据需要实现为纯粹的硬件(例如专用ASIC芯片或FPGA芯片)，还可以实现为结合了软件和硬件的系统(例如存储有固定代码的固件系统或者带有通用存储器和处理器的系统)。

此外，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

应当注意，尽管在上文的详细描述中提及了实现上述方法的若干软件装置/模块及子装置/模块，但是这种划分并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多装置的特征和功能可以在一个装置/模块中具体化。反之，上文描述的一个装置/模块的特征和功能可以进一步划分为由多个装置/模块来具体化。

虽然已经参考若干具体实施方式描述了本发明的精神和原理，但是应该理解，本发明并不限于所公开的具体实施方式，对各方面的划分也不意味着这些方面中的特征不能组合以进行受益，这种划分仅是为了表述的方便。本发明旨在涵盖所附权利要求的精神和范围内所包括的各种修改和等同布置。

Claims (28)

1.一种用于组成DMZ区域的系统，包括：

可编程交换机，其用于接收并处理来自外部网络的流量，并将经处理的流量转发至服务器集群；和

服务器集群，其用于接收并清洗所述经处理的流量，并将经清洗的流量转发至所述可编程交换机，

其中，可编程交换机还用于将所述经清洗的流量转发至业务区域，

其中，所述服务器集群能够利用七层负载均衡技术对所述经处理的流量进行清洗。

2.根据权利要求1所述的系统，其中，所述可编程交换机能够利用四层负载均衡技术对所述流量进行处理。

3.根据权利要求2所述的系统，其中，所述可编程交换机还能够利用四层防火墙技术对所述流量进行过滤。

4.根据权利要求1所述的系统，其中，所述服务器集群包括智能网卡，所述智能网卡用于执行如下操作中的至少一种：

网络包分片、计算校验和、以及加解隧道封装。

5.根据权利要求1所述的系统，其中，所述服务器集群包括加解密卡，所述加解密卡能够对经https协议加密的所述经处理的流量进行解密。

6.根据权利要求1所述的系统，其中，所述服务器集群能够利用http反向代理技术和/或深度包检测技术对所述经处理的流量进行清洗。

7.根据权利要求1所述的系统，其中，所述系统还包括：

备用可编程交换机，其用于在所述可编程交换机发生异常时接收并处理所述流量，将经处理的流量转发至服务器集群，并且在收到来自所述服务器集群的所述经清洗的流量后、将所述经清洗的流量转发至所述业务区域。

8.一种用于组成DMZ区域的系统，包括：

前置可编程交换机；

可编程交换机；和

服务器集群，

其中，所述前置可编程交换机用于接收来自外部网络的流量，并基于预定规则将所述流量分发到所述可编程交换机，

所述可编程交换机用于接收并处理来自所述前置交换机的流量，并将经处理的流量转发至服务器集群，

所述服务器集群用于接收并清洗所述经处理的流量，并将经清洗的流量转发至所述可编程交换机，

其中，所述可编程交换机还用于将所述经清洗的流量转发至业务区域，

其中，所述服务器集群能够利用七层负载均衡技术对所述经处理的流量进行清洗。

9.根据权利要求8所述的系统，其中，所述可编程交换机能够利用四层负载均衡技术对所述流量进行处理。

10.根据权利要求9所述的系统，其中，所述可编程交换机还能够利用四层防火墙技术对所述流量进行过滤。

11.根据权利要求8所述的系统，其中，所述服务器集群包括智能网卡，所述智能网卡用于执行如下操作中的至少一种：

网络包分片、计算校验和、以及加解隧道封装。

12.根据权利要求8所述的系统，其中，所述服务器集群包括加解密卡，所述加解密卡用于对经https协议加密的所述经处理的流量进行解密。

13.根据权利要求8所述的系统，其中，所述服务器集群能够利用http反向代理技术和/或深度包检测技术对所述经处理的流量进行清洗。

14.根据权利要求8所述的系统，其中，所述预定规则是IP前缀。

15.一种用于组成DMZ区域的方法，包括：

通过可编程交换机接收并处理来自外部网络的流量，并将经处理的流量转发至服务器集群；

通过服务器集群接收并清洗所述经处理的流量，并将经清洗的流量转发至所述可编程交换机；和

通过可编程交换机将所述经清洗的流量转发至业务区域，

其中，所述清洗操作包括利用七层负载均衡技术对所述经处理的流量进行清洗。

16.根据权利要求15所述的方法，其中，所述处理操作包括：

利用四层负载均衡技术对所述流量进行处理。

17.根据权利要求16所述的方法，其中，所述处理操作还包括：

利用四层防火墙技术对所述流量进行过滤。

18.根据权利要求15所述的方法，其中，所述服务器集群包括智能网卡，所述智能网卡用于执行如下操作中的至少一种：

网络包分片、计算校验和、以及加解隧道封装。

19.根据权利要求15所述的方法，其中，所述服务器集群包括加解密卡，所述加解密卡能够对经https协议加密的所述经处理的流量进行解密。

20.根据权利要求15所述的方法，其中，所述清洗操作包括：

利用http反向代理技术和/或深度包检测技术对所述经处理的流量进行清洗。

21.根据权利要求15所述的方法，其中，所述方法还包括：

在所述可编程交换机发生异常时，通过备用可编程交换机接收并处理所述流量，将经处理的流量转发至服务器集群，并且在收到来自所述服务器集群的所述经清洗的流量后、将所述经清洗的流量转发至所述业务区域。

22.一种用于组成DMZ区域的方法，包括：

通过前置可编程交换机接收来自外部网络的流量，并基于预定规则将所述流量分发到可编程交换机；

通过所述可编程交换机接收并处理来自所述前置交换机的流量，并将经处理的流量转发至服务器集群；

通过所述服务器集群接收并清洗所述经处理的流量，并将经清洗的流量转发至所述可编程交换机；和

通过所述可编程交换机将所述经清洗的流量转发至业务区域，

其中，所述清洗操作包括利用七层负载均衡技术对所述经处理的流量进行清洗。

23.根据权利要求22所述的方法，其中，所述处理操作包括：

利用四层负载均衡技术对所述流量进行处理。

24.根据权利要求23所述的方法，其中，所述处理操作还包括：

利用四层防火墙技术对所述流量进行过滤。

25.根据权利要求22所述的方法，其中，所述服务器集群包括智能网卡，所述智能网卡用于执行如下操作中的至少一种：

网络包分片、计算校验和、以及加解隧道封装。

26.根据权利要求22所述的方法，其中，所述服务器集群包括加解密卡，所述加解密卡用于对经https协议加密的所述经处理的流量进行解密。

27.根据权利要求22所述的方法，其中，所述清洗操作包括：

利用http反向代理技术和/或深度包检测技术对所述经处理的流量进行清洗。

28.根据权利要求22所述的方法，其中，所述预定规则是IP前缀。

Images