CN112367211B - 一种设备命令行生成配置模板方法、装置及存储介质 - Google Patents

Abstract

本发明涉及一种设备命令行生成配置模板方法、装置及存储介质，该方法包括：获取应用场景数据和业务数据；根据应用场景数据，确定对应的七元组数据；根据七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；通过命令行规则，根据业务数据，确定相应的策略命令行；将策略命令行存储至策略数据库，并根据策略命令行将业务数据下发至对应的网络设备。本发明支持市场上不同设备型号，灵活多样化可配置定制自身命令行；并根据所述策略命令行将业务数据下发至对应的网络设备，实现高效管理网络设备访问控制策略配置。

Description

一种设备命令行生成配置模板方法、装置及存储介质

技术领域

本发明涉及网络管理技术领域，尤其涉及一种设备命令行生成配置模板方法、装置及存储介质。

背景技术

企业物理网络拓扑规模大，安全性要求高，当设备数量达到成百上千台时，维护这些设备上的策略变更就变得复杂且耗费时间，有数据显示，99%的防火墙被攻破是由于防火墙的配置策略错误而非防火墙本身的缺陷。为此，一方面，在规模大的网络中，安全访问控制策略要求难以匹配到对应的网络设备或者防火墙中；另一方面，大量不同的网络设备型号，导致配置策略容易错误下发，促使网络安全事故时有发生。综上，如何对不同的网络设备进行及时高效的配置策略下发是亟待解决的问题。

发明内容

有鉴于此，有必要提供一种设备命令行生成配置模板方法、装置及存储介质，用以解决现有技术中如何对不同的网络设备进行及时高效的配置策略下发的问题。

本发明提供一种设备命令行生成配置模板方法，包括：

获取应用场景数据和业务数据；

根据所述应用场景数据，确定对应的七元组数据;

根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；

通过所述命令行规则，根据所述业务数据，确定相应的策略命令行；

将所述策略命令行存储至策略数据库，并根据所述策略命令行将所述业务数据下发至对应的网络设备。

进一步地，所述应用场景数据的获取包括：

获取所述网络设备的应用参数，所述应用参数包括策略五元组、动作参数、长连接参数中的至少一种；

根据所述应用参数和所述网络设备的型号，确定所述应用场景数据。

进一步地，所述设备命令行生成配置模板方法包括：

按照优先级激活加载xml规则；

根据所述xml规则，获取所述应用场景数据和所述业务数据。

进一步地，所述根据所述应用场景数据，确定对应的七元组数据包括：

获取用户的所述应用场景数据；

通过枚举法，确定与所述应用场景数据关联的网络设备型号；

根据所述应用场景数据和所述网络设备型号，确定符合所述应用场景需求的多个端口参数；

根据所述多个端口参数，确定对应的所述七元组数据。

进一步地，所述根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则包括：

判断所述七元组数据是否为空；

若非空，则根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则；

查询替换后的配置模板中的关键字，并根据查询结果，确定所述命令行规则。

进一步地，所述根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则包括：

根据所述网络设备，在所述配置模板中的设备集合中进行遍历查找，确定命中设备型号；

根据所述应用场景数据，在所述配置模板中的策略集合中进行遍历查找，确定命中策略属性；

根据所述命中设备型号和所述命中策略属性，在所述配置模板中的规则网络中进行遍历查找，确定命中规则模板；

根据所述七元组数据，替换所述命中规则模板中的占位字符串编码规则。

进一步地，所述根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则还包括：将替换后的命中规则模板存入内存，并根据所述替换后的命中规则模板更新对应的xml规则配置文件。

本发明还提供一种设备命令行生成配置模板装置，包括：

获取单元，用于获取应用场景数据和业务数据；

处理单元，用于根据所述应用场景数据，确定对应的七元组数据；还用于根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；还用于通过所述命令行规则，根据所述业务数据，确定相应的策略命令行；

下发规则单元，用于将所述策略命令行存储至策略数据库，并根据所述策略命令行将所述业务数据下发至对应的网络设备。

本发明还提供一种设备命令行生成配置模板装置，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如上所述的设备命令行生成配置模板方法。

本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机该程序被处理器执行时，实现如上所述的设备命令行生成配置模板方法。

与现有技术相比，本发明的有益效果包括：首先，通过应用场景数据和业务数据，有效反馈当前的应用场景需求和业务流程需求；进而，通过确定对应的七元组数据，以七元组数据反馈该业务流程对应的网络设备的属性；然后，将上层业务的七元组数据作为生成命令行规则所需参数，传入封装的RETE算法引擎中，高效匹配到配置模板中，以快速确定对应的命令行规则，从而执行此规则下的业务流程；最后，进行策略命令行的下发，根据策略命令行将业务数据下发至对应的网络设备，方便网络的管理，高效确定对应的策略命令行并进行下发至对应的网络设备，同时，避免了策略配置失误。综上，本发明支持市场上不同设备型号，灵活多样化可配置定制自身命令行；并根据所述策略命令行将业务数据下发至对应的网络设备，实现高效管理网络设备访问控制策略配置。

附图说明

图1为本发明提供的设备命令行生成配置模板方法的流程示意图；

图2为本发明提供的确定应用场景数据的流程示意图；

图3为本发明提供的获取参数的流程示意图；

图4为本发明提供的确定七元组数据的流程示意图；

图5为本发明提供的确定相应的命令行规则的流程示意图；

图6为本发明提供的正则匹配的流程示意图；

图7为本发明提供的设备命令行生成配置模板装置的流程示意图。

具体实施方式

下面结合附图来具体描述本发明的优选实施例，其中，附图构成本申请一部分，并与本发明的实施例一起用于阐释本发明的原理，并非用于限定本发明的范围。

实施例1

本发明实施例提供了一种设备命令行生成配置模板方法，结合图1来看，图1为本发明提供的设备命令行生成配置模板方法的流程示意图，上述设备命令行生成配置模板方法包括步骤S1至步骤S5，其中：

在步骤S1中，获取应用场景数据和业务数据；

在步骤S2中，根据应用场景数据，确定对应的七元组数据；

在步骤S3中，根据七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；

在步骤S4中，通过命令行规则，根据业务数据，确定相应的策略命令行；

在步骤S5中，将策略命令行存储至策略数据库，并根据策略命令行将业务数据下发至对应的网络设备。

在本发明实施例中，首先，通过应用场景数据和业务数据，有效反馈当前的应用场景需求和业务流程需求；进而，通过确定对应的七元组数据，以七元组数据反馈该业务流程对应的网络设备的属性；然后，将上层业务的七元组数据作为生成命令行规则所需参数，传入封装的RETE算法引擎中，高效匹配到配置模板中，以快速确定对应的命令行规则，从而执行此规则下的业务流程；最后，进行策略命令行的下发，根据策略命令行将业务数据下发至对应的网络设备，方便网络的管理，高效确定对应的策略命令行并进行下发至对应的网络设备，同时，避免了策略配置失误。

需要说明的是，本发明实施例所述的五元组数据是包括源地址、目的地址、协议、源端口、目的端口，五个元素组成的组合；本发明实施例所述的七元组数据是包括源域、目的域、源地址、目的地址、协议、源端口、目的端口组成的组合；本发明实施例所述的Rete算法是利用规则之间各个域的公用部分减少规则存储，同时保存匹配过程的临时结果以加快匹配速度的算法。在Rete算法中，将规则拆分，其中每个条件单元作为基本单位(节点)连接成一个数据辨别网络，然后将事实经过网络筛选并传播，最终所有条件都有事实匹配的规则被激活。

优选地，结合图2来看，图2为本发明提供的确定应用场景数据的流程示意图，上述步骤S1包括步骤S11至步骤S12，其中：

在步骤S11中，获取网络设备的应用参数，应用参数包括策略五元组、动作参数、长连接参数中的至少一种；

在步骤S12中，根据应用参数和网络设备的型号，确定应用场景数据。

由此，根据策略五元组、动作参数、长连接参数中的至少一种，确定相应的应用参数，以应用参数反馈对应的场景需求，并根据应用参数和网络设备参数，确定应用场景数据，以便后续的配置模板的匹配和应用。

在本发明一个具体的实施例中，防火墙在安全策略、 nat策略（源nat策略、目的nat策略、静态nat策略、both nat策略）的应用场景上选择输入不同有效七元组数据，例如：业务部门想通过设置防火墙上配置的动作（允许/拒绝）、源ip地址、目的ip地址、端口、协议、有效时间，根据这些属性来允许或者拒绝两个不同部门网络区域间的网络互访能力；又例如业务部门对nat策略有开通源nat需求，可实现内部用户访问外部网络的目的，需要多输入转换后源ip参数即可符合该场景；再例如业务部门对隐藏一个对外提供服务的网络设备的真实IP地址，即目的nat有开通需求，多输入的目的转换后ip地址和转换后目的端口参数即可符合该场景所需参数；其他nat策略参数也是根据nat场景所需参数制定。

优选地，结合图3来看，图3为本发明提供的获取参数的流程示意图，上述步骤S1之前还包括步骤S001至步骤S002，其中：

在步骤S001中，按照优先级激活加载xml规则；

在步骤S002中，根述xml规则，获取应用场景数据和业务数据。

由此，首先加载xml规则，以此保证确定对应的输入参数，便于应用场景数据和业务数据的有效获取。

优选地，结合图4来看，图4为本发明提供的确定七元组数据的流程示意图，上述步骤S2包括步骤S21至步骤S24，其中：

在步骤S21中，获取用户的应用场景数据；

在步骤S22中，通过枚举法，确定与应用场景数据关联的网络设备型号；

在步骤S23中，根据应用场景数据和网络设备型号，确定符合应用场景需求的多个端口参数；

在步骤S24中，根据多个端口参数，确定对应的七元组数据。

由此，本发明利用应用场景数据，确定对应的网络设备型号，即确定了在该业务流程中需要的网络设备型号；通过枚举法，有效地关联该应用场景数据和网络设备型号；进而，通过应用场景数据和网络设备型号，确定该业务流程中需要用到的多个端口参数；通过多个端口参数，确定对应的七元组数据，将七元组数据作为配置模板的有效参数输入，以便后续在配置模板中生成对应的策略命令行。

优选地，结合图5来看，图5为本发明提供的确定相应的命令行规则的流程示意图，上述步骤S3包括步骤S31至步骤S33，其中：

在步骤S31中，判断七元组数据是否为空；

在步骤S32中，若非空，则根据七元组数据，通过正则匹配，替换配置模板中的占位字符串编码规则；

在步骤S33中，查询替换后的配置模板中的关键字，并根据查询结果，确定命令行规则。

由此，本发明首先判断七元组数据的有效性；进而，根据有效的七元组数据进行正则匹配，替换配置模板中的占位字符串编码规则，以此保证根据不同的网络设备，针对性地生成命令行规则；最后，在替换后的配置模板中查找关键字，根据关键字的命中，生成对应不同网络设备的命令行规则，去除不必要的数据。

优选地，结合图6来看，图6为本发明提供的正则匹配的流程示意图，上述步骤S32包括步骤S321至步骤S324，其中：

在步骤S321中，根据网络设备，在配置模板中的设备集合中进行遍历查找，确定命中设备型号；

在步骤S322中，根据应用场景数据，在配置模板中的策略集合中进行遍历查找，确定命中策略属性；

在步骤S323中，根据命中设备型号和命中策略属性，在配置模板中的规则网络中进行遍历查找，确定命中规则模板；

在步骤S324中，根据七元组数据，替换命中规则模板中的占位字符串编码规则。

由此，本发明在配置模板中设置设备集合、策略集合以及规则网络，利用网络设备型号进行遍历查找，确定相应的命中设备型号；根据应用场景数据，确定相应的命中策略属性；进而，结合命中设备型号和命中策略属性，共同在规则网络中查找，确定当前场景下的命中规则模板；再将七元组数据，替换命中规则模板中的相应的占位字符串编码规则，以此生成该应用场景下的策略命令行，保证其准确性和快速性。

在本发明一个具体的实施例中，从工作内存中拿出一个待匹配的CmtDTO对象，进入根节点然后进行匹配，用枚举的方式使业务场景和设备型号关联上，在静态配置文件中定义好规则名称，使用Rete网络节点筛选方式过滤到当前场景下，实现匹配和算法匹配如下，其中的算法逻辑如下：通过根结点对象从EntryPointNode的Map集合中找到相应的EntryPointNode对象；EntryPointNode对象有一个ObjectTypeNode的Map集合，把CmdDTO的设备型号枚举class转化成ClassObjectType，从该集合中找到ObjectTypeNode；OjectTypeNode对象的sinkListNode属性引用着这个规则网络；从sinkListNode属性中的链表中拿出一个规则方法ruleNode进行匹配，递归遍历所有ruleNode的子节点（sinkListNode属性），根据ruleNode中的条件对CmdDTO数据设备类型和策略类型进行比较。

优选地，步骤S32还包括：将替换后的命中规则模板存入内存，并根据替换后的命中规则模板更新对应的xml规则配置文件。由此，根据匹配结果，对xml规则配置文件进行有效的更新和存储。

在本发明一个具体的实施例中，通过pattern(正则匹配模式)绑定参数对象到配置模板的规则内容中使用；例如，业务部门想给山石网科防火墙安全策略开通访问控制策略，然后在安全策略Web页面填入了参数有设备信息（设备型号、是否虚墙、设备ip等）、策略对象信息（策略类型、源地址、目的地址、服务列表、源域、目的域、入接口、出接口、有效时间、动作行为）、已存在对象信息（整体/离散已存在源地址对象、整体/离散目的地址组对象、整体/离散服务对象，未建对象源地址，未建对象目的地址、未建对象服务），通过关键字（如when）将策略信息的属性通过判断空或其他条件为真之后，用正则匹配替换配置模板中占位字符串编码规则内容，用关键字（如then）输出规则内容中匹配替换之后的结果，将这个编码操作模式，应用在变化较多的策略对象复用命令行中，规则模板中可使用关键字（如function）传递其他命令行生成格式中使用，让多个关键字（如when）和关键字（如then）的模式的分段实现数据和命令行模板匹配替换的工作之后，统一用declare关键字声明一个字符串缓冲变量，用来接收前面多段完成的命令行生成，将此字符串缓冲变量返回给程序中调用配置模板的位置，接收到刚生成有效命令行会存入mysql数据库的工单任务表中，web页面中就会出现一条待下发状态的数据，可提供事前检查已生成的命令行和修正。

实施例2

本发明实施例提供了一种文件的加密装置，结合图7来看，图7为本发明提供的设备命令行生成配置模板装置的流程示意图，上述设备命令行生成配置模板装置700包括：

获取单元701，用于获取应用场景数据和业务数据；

处理单元702，用于根据应用场景数据，确定对应的七元组数据；还用于根据七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；还用于通过命令行规则，根据业务数据，确定相应的策略命令行；

下发规则单元703，用于将策略命令行存储至策略数据库，并根据策略命令行将业务数据下发至对应的网络设备。

实施例3

本发明实施例提供了一种设备命令行生成配置模板装置，其上存储有计算机程序，计算机该程序被处理器执行时，实现如上所述的设备命令行生成配置模板方法。

实施例4

本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，计算机该程序被处理器执行时，实现如上所述的设备命令行生成配置模板方法。

本发明公开了一种设备命令行生成配置模板方法、装置及存储介质，在该方法中，首先，通过应用场景数据和业务数据，有效反馈当前的应用场景需求和业务流程需求；进而，通过确定对应的七元组数据，以七元组数据反馈该业务流程对应的网络设备的属性；然后，将上层业务的七元组数据作为生成命令行规则所需参数，传入封装的RETE算法引擎中，高效匹配到配置模板中，以快速确定对应的命令行规则，从而执行此规则下的业务流程；最后，进行策略命令行的下发，根据策略命令行将业务数据下发至对应的网络设备，方便网络的管理，高效确定对应的策略命令行并进行下发至对应的网络设备，同时，避免了策略配置失误。

本发明技术方案，支持市场上不同设备型号，灵活多样化可配置定制自身命令行；并根据所述策略命令行将业务数据下发至对应的网络设备，实现高效管理网络设备访问控制策略配置。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (9)

1.一种设备命令行生成配置模板方法，其特征在于，包括：

获取应用场景数据和业务数据；

根据所述应用场景数据，确定对应的网络设备型号；

通过枚举法关联所述应用场景数据和所述网络设备型号，并根据所述应用场景数据和所述网络设备型号，确定所述业务数据下发过程中对应的多个端口参数；

根据多个所述端口参数，确定对应的七元组数据，其中，所述七元组数据是包括源域、目的域、源地址、目的地址、协议、源端口、目的端口的数据组合；

根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；

通过所述命令行规则，根据所述业务数据，确定相应的策略命令行；

将所述策略命令行存储至策略数据库，并根据所述策略命令行将所述业务数据下发至对应的网络设备。

2.根据权利要求1所述的设备命令行生成配置模板方法，其特征在于，所述应用场景数据的获取包括：

获取所述网络设备的应用参数，所述应用参数包括策略五元组、动作参数、长连接参数中的至少一种；

根据所述应用参数和所述网络设备的型号，确定所述应用场景数据。

3.根据权利要求1所述的设备命令行生成配置模板方法，其特征在于，所述设备命令行生成配置模板方法还包括：

按照优先级激活加载xml规则；

根据所述xml规则，获取所述应用场景数据和所述业务数据。

4.根据权利要求1所述的设备命令行生成配置模板方法，其特征在于，所述根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则包括：

判断所述七元组数据是否为空；

若非空，则根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则；

查询替换后的配置模板中的关键字，并根据查询结果，确定所述命令行规则。

5.根据权利要求4所述的设备命令行生成配置模板方法，其特征在于，所述根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则包括：

根据所述网络设备，在所述配置模板中的设备集合中进行遍历查找，确定命中设备型号；

根据所述应用场景数据，在所述配置模板中的策略集合中进行遍历查找，确定命中策略属性；

根据所述命中设备型号和所述命中策略属性，在所述配置模板中的规则网络中进行遍历查找，确定命中规则模板；

根据所述七元组数据，替换所述命中规则模板中的占位字符串编码规则。

6.根据权利要求5所述的设备命令行生成配置模板方法，其特征在于，所述根据所述七元组数据，通过正则匹配，替换所述配置模板中的占位字符串编码规则还包括：将替换后的命中规则模板存入内存，并根据所述替换后的命中规则模板更新对应的xml规则配置文件。

7.一种设备命令行生成配置模板装置，其特征在于，包括：

获取单元，用于获取应用场景数据和业务数据；

处理单元，用于根据所述应用场景数据，确定对应的网络设备型号； 还用于通过枚举法关联所述应用场景数据和所述网络设备型号，并根据所述应用场景数据和所述网络设备型号，确定所述业务数据下发过程中对应的多个端口参数； 还用于根据多个所述端口参数，确定对应的七元组数据，其中，所述七元组数据是包括源域、目的域、源地址、目的地址、协议、源端口、目的端口的数据组合； 还用于根据所述七元组数据，通过Rete算法匹配配置模板，确定相应的命令行规则；还用于通过所述命令行规则，根据所述业务数据，确定相应的策略命令行；

下发规则单元，用于将所述策略命令行存储至策略数据库，并根据所述策略命令行将所述业务数据下发至对应的网络设备。

8.一种设备命令行生成配置模板装置，其特征在于，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1-6任一项所述的设备命令行生成配置模板方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机该程序被处理器执行时，实现如权利要求1-6任一项所述的设备命令行生成配置模板方法。

Images