CN112668000B

CN112668000B - 一种配置数据处理方法及装置

Info

Publication number: CN112668000B
Application number: CN202110001610.3A
Authority: CN
Inventors: 郑黎明
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2021-01-04
Filing date: 2021-01-04
Publication date: 2023-06-13
Anticipated expiration: 2041-01-04
Also published as: CN112668000A

Abstract

本申请提供了一种配置数据处理方法及装置，该方法应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述方法，包括：在接收到针对任一虚拟防火墙的业务配置请求后，获取该虚拟防火墙的标识信息；将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理。采用上述方法，不仅实现了防火墙的虚拟化而且也减少了内存的消耗。

Description

一种配置数据处理方法及装置

技术领域

本申请涉及网络安全技术领域，尤其涉及一种配置数据处理方法及装置。

背景技术

通过虚拟化技术将一台物理防火墙设备划分成多台逻辑设备，每台逻辑设备就称为一个虚拟防火墙。每个虚拟防火墙拥有自己专属的软硬件资源，独立运行。对于用户来说，每个虚拟防火墙就是一台独立的设备，方便管理和维护；对于管理者来说，可以将一台物理的防火墙虚拟成多台逻辑设备供不同的分支机构使用，既可以保护现有投资，也可以提高组网灵活性。

参考图1所示，在一台实际的物理防火墙设备Device上，通过虚拟化技术将这台Device划分为3台逻辑设备(Context 1、Context 2、Context 3)，每台逻辑设备称之为虚拟防火墙，局域网LAN1、LAN2、LAN3的管理员可以分别登录到自己的设备进行配置、保存、重启等操作，不会影响其它网络的使用，其效果等同于LAN1、LAN2和LAN3分别通过各自的虚拟防火墙Device 1、Device 2、Device 3接入到Internet。通过这种虚拟化技术，实现了硬件资源的有效利用，节约了空间、能耗以及管理成本。

然而现有技术在进行防火墙虚拟化时，是通过开源OpenVZ技术实现虚拟防火墙。利用OpenVZ技术可以在单个物理防火墙设备上创建多个隔离的虚拟防火墙来共享硬件和管理资源。每个虚拟防火墙的运行和独立防火墙完全一致，每个业务在后台都有独立的进程来管理。也就是说，每个虚拟防火墙有多个进程来分别维护各自的业务，且各个虚拟防火墙的进程相互独立，使得每个进程在处理自己的业务时要申请独立的内存空间，内存耗费严重，同时对内存要求比较高。

因此，如何在实现防火墙虚拟化的过程中，减少内存的耗费是值得考虑的技术问题之一。

发明内容

有鉴于此，本申请提供一种配置数据处理方法及装置，用以在实现防火墙虚拟化过程中，减少内存的耗费。

具体地，本申请是通过如下技术方案实现的：

根据本申请的第一方面，提供一种配置数据处理方法，应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述方法，包括：

在接收到针对任一虚拟防火墙的业务配置请求后，获取该虚拟防火墙的标识信息；

将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理。

根据本申请的第二方面，提供一种配置数据处理装置，应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述装置，包括：

接收模块，用于接收针对任一虚拟防火墙的业务配置请求；

获取模块，用于获取该虚拟防火墙的标识信息；

发送模块，用于将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理。

根据本申请的第三方面，提供一种物理防火墙，包括处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的计算机程序，处理器被计算机程序促使执行本申请实施例第一方面所提供的方法。

根据本申请的第四方面，提供一种机器可读存储介质，机器可读存储介质存储有计算机程序，在被处理器调用和执行时，计算机程序促使处理器执行本申请实施例第一方面所提供的方法。

本申请实施例的有益效果：

由于各个虚拟防火墙中相同的业务共用一个进程，不同的虚拟防火墙申请不同的内存空间，这样也就不会存在现有技术中因各个虚拟防火墙的业务对应的进程相互独立而导致的内存耗费严重的问题，也即在实现防火墙虚拟化的过程中减少了内存的耗费，此外采用本申请提供的方案进程在接收到业务配置请求后，只需按序操作虚拟防火墙对应的内存空间即可，从而保证了业务配置数据处理的有效性和准确性。

附图说明

图1是目前提供的一种物理防火墙设备虚拟出多个虚拟化防火墙的结构示意图；

图2是本申请实施例提供的一种配置数据处理方法的流程图；

图3是本申请实施例提供的标识信息与申请的内存空间之间的对应关系的逻辑示意图；

图4是本申请实施例提供的一种配置数据处理装置的结构示意图；

图5是本申请实施例提供的一种防火墙的硬件结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相对应的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

下面对本申请提供的配置数据处理方法进行详细地说明。

参见图2，图2是本申请提供的一种配置数据处理方法的流程图，该方法应用于物理防火墙设备，该物理防火墙设备可以虚拟出多个虚拟防火墙，上述多个虚拟防火墙中的相同业务共用一个进程；该物理防火墙设备在实施上述配置数据处理方法时，可按照如下所示步骤实施：

S201、在接收到针对任一虚拟防火墙的业务配置请求后，获取该虚拟防火墙的标识信息。

具体地，每个虚拟防火墙可以提供相同或不同业务的业务服务，而在业务服务过程中，可能存在业务的配置数据发生变化的情况，因此当需要更新某个虚拟防火墙的某个业务的业务数据时，可以向该虚拟防火墙发送业务配置请求。物理防火墙的内核在接收到该业务配置请求后，会获取到该虚拟防火墙的标识信息。

可选地，虚拟防火墙的标识信息可以但不限于为虚拟防火墙的名称、身份识别码ID等等，且不同的虚拟防火墙其对应的标识信息不同，由此可以保证后续配置数据更新的准确性。

需要说明的是，上述业务配置请求可以为用户通过web或shell操作任一虚拟防火墙时触发的。

S201、将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理。

具体地，内核在确定出上述虚拟防火墙的标识信息后，由于本申请各个虚拟防火墙中相同的业务共用一个进程，但是进程在执行业务配置请求时，会操作对应虚拟防火墙对应的内存空间，因此，本步骤中会将业务配置请求和确定出的虚拟防火墙的标识信息发送给该业务配置请求所请求的业务对应的进程。这样一来，针对各个虚拟防火墙中同一个业务后台只需要启动一个进程，即该业务对应的进程，就可以实现对该业务的相关配置数据进行处理，也即针对相同业务各个虚拟防火墙共享一个进程，这样也就不需要针对同一个业务每个虚拟防火墙都启动一个进程，从而节省了大量的内存，也即减少了内存的耗费。

例如，虚拟防火墙1中有业务1、业务2，虚拟防火墙中有业务2、业务3，虚拟防火墙3中有业务1、业务3和业务4，则虚拟防火墙的业务1与虚拟防火墙3的业务1共用一个进程1，虚拟防火墙1的业务2和虚拟防火墙2的业务2对应一个进程2，虚拟防火墙2的业务3和虚拟防火墙3的业务3共用一个进程3，也即进程1专门为业务1提供服务，不管该业务1在哪个虚拟防火墙上，进程2专门为业务2提供服务，进程3专门为业务3提供服务。当向虚拟防火墙1发送业务配置请求且业务配置请求所请求的业务为业务1时，则内核会确定虚拟防火墙1的标识信息，然后将业务配置请求和虚拟防火墙1的标识信息发送给业务1对应的进程1，然后由进程1根据所述业务配置请求对虚拟防火墙1对应的内存空间中业务1对应的配置数据进行处理。

上述业务配置请求可以为配置数据的增加请求、删除请求、修改请求和查找请求等等。

通过实施上述方法，由于各个虚拟防火墙中相同的业务共用一个进程，不同的虚拟防火墙申请不同的内存空间，这样也就不会存在现有技术中因各个虚拟防火墙的业务对应的进程相互独立而导致的内存耗费严重的问题，也即在实现防火墙虚拟化的过程中减少了内存的耗费，此外采用本申请提供的方案进程在接收到业务配置请求后，只需按序操作虚拟防火墙对应的内存空间即可，从而保证了业务配置数据处理的有效性和准确性。

可选地，每个虚拟防火墙为按照下述方法虚拟得到的：在接收到虚拟防火墙的创建请求后，创建该虚拟防火墙；为该虚拟防火墙分配标识信息，不同的虚拟防火墙分配的标识信息不同；为该虚拟防火墙申请内存空间，申请的内存空间用于存储该虚拟防火墙所能提供的业务的配置数据；建立该虚拟防火墙的标识信息与分配的内存空间之间的对应关系。

具体地，当需要在物理防火墙上创建新的虚拟防火墙时，会为该虚拟防火墙分配唯一的标识信息，不同的虚拟防火墙分配的标识信息不同，从而可以准确区分各个虚拟防火墙。在创建虚拟防火墙后可以为该虚拟防火墙分配一块内存空间，该内存空间就可以存储该虚拟防火墙上所能通过的业务的相关配置数据。然后记录虚拟防火墙的标识信息与内存空间之间的对应关系，逻辑示意可以参考图3所示，图3示出了虚拟防火墙1～虚拟防火墙4各自的标识信息1～标识信息4分别与内存空间1～内存空间4之间的对应关系。

通过为各个虚拟防火墙分配不同的标识信息，这样一来，在调用进程处理业务配置请求时，就可以实现在进程中通过标识来隔离各个虚拟防火墙的业务配置请求。

可选地，上述业务可以但不限于为攻击防范业务、安全策略业务和宽带限速相关业务等等。

可选地，本实施例提供的配置数据处理方法还可以包括下述过程：接收报文处理请求；确定用于处理所述报文处理请求的目的虚拟防火墙；将所述目的虚拟防火墙的标识信息携带在所述报文处理请求中并发送给所述目的虚拟防火墙所能提供的业务对应的进程，以使所述目的虚拟防火墙所能提供的业务对应的进程对所述报文处理请求进行相应处理。

具体地，由于防火墙用于安全检测，因此在虚拟防火墙上配置各种用于安全检测的业务后，就可以提供报文安全检测服务。在此基础上，内核接收到报文处理请求后，可以预先确定用于处理该报文处理请求的目的虚拟防火墙，然后将该目的虚拟防火墙的标识信息携带在报文处理请求中，即，在报文处理请求的相关字段内添加该目的虚拟防火墙的标识信息；然后将写入标识信息的报文处理请求发送给该目的虚拟防火墙所能提供的业务对应的进程，这样，对应的进程就可以对该报文处理请求进行处理，如基于攻击防范策略进行攻击防范等等。通过将标识信息写入到报文处理请求中就可以随时查看当前报文属于哪个虚拟防火墙，应该有哪个虚拟防火墙中的业务对应的进程对该报文处理请求进行业务处理。

需要说明的是，不同的虚拟防火墙对应不同的接口，则可以按照下述方法确定用于处理所述报文处理请求的目的虚拟防火墙：确定用于接收所述报文处理请求的接口；根据确定出的接口确定所述目的虚拟防火墙。

具体地，在创建虚拟防火墙时，可以为不同的虚拟防火墙分配不同的接口，这样一来，就可以确定接收到的报文应该由哪个虚拟防火墙处理。也即内核预先存储了虚拟防火墙的标识信息与接口的接口信息之间的对应关系。这样一来，当接收到报文处理请求后，可以确定用于接收该报文处理请求的接口的接口信息，然后基于上述对应关系可以确定出该接口信息对应的虚拟防火墙的标识信息，也即确定出上述目的虚拟防火墙。

采用本申请任一实施例提供的方法，不仅实现了防火墙的虚拟化而且也减少了内存的消耗。

基于同一发明构思，本申请还提供了与上述配置数据处理方法对应的配置数据处理装置。该配置数据处理装置的实施具体可以参考上述对配置数据处理方法的描述，此处不再一一论述。

参见图4，图4是本申请一示例性实施例提供的一种配置数据处理装置，应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述装置，包括：

接收模块401，用于接收针对任一虚拟防火墙的业务配置请求；

获取模块402，用于获取该虚拟防火墙的标识信息；

发送模块403，用于将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理。

可选地，本实施例提供的配置数据处理装置，还可以包括：

创建模块(图中未示出)，用于在接收到虚拟防火墙的创建请求后，创建该虚拟防火墙；

分配模块(图中未示出)，用于为该虚拟防火墙分配标识信息，不同的虚拟防火墙分配的标识信息不同；

申请模块(图中未示出)，用于为该虚拟防火墙申请内存空间，申请的内存空间用于存储该虚拟防火墙所能提供的业务的配置数据；

建立模块(图中未示出)，用于建立该虚拟防火墙的标识信息与分配的内存空间之间的对应关系。

可选地，接收模块401，还用于接收报文处理请求；

在此基础上，本实施例提供的配置数据处理装置，还包括：

确定模块(图中未示出)，用于在所述接收模块接收到所述报文处理请求后，确定用于处理所述报文处理请求的目的虚拟防火墙；

上述发送模块403，还用于将所述目的虚拟防火墙的标识信息携带在所述报文处理请求中并发送给所述目的虚拟防火墙所能提供的业务对应的进程，以使所述目的虚拟防火墙所能提供的业务对应的进程对所述报文处理请求进行相应处理。

可选地，不同的虚拟防火墙对应不同的接口，则

上述确定模块(图中未示出)，具体用于确定用于接收所述报文处理请求的接口；根据确定出的接口确定所述目的虚拟防火墙。

本申请实施例提供了一种防火墙，如图5所示，包括处理器501和机器可读存储介质502，机器可读存储介质502存储有能够被处理器501执行的计算机程序，处理器501被计算机程序促使执行本申请实施例所提供的配置数据处理方法。

上述计算机可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)、DDR SRAM(Double Data Rate Synchronous Dynamic Random Access Memory，双倍速率同步动态随机存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，计算机可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

另外，本申请实施例提供了一种机器可读存储介质，机器可读存储介质存储有计算机程序，在被处理器调用和执行时，计算机程序促使处理器执行本申请实施例所提供的配置数据处理方法。

对于防火墙以及机器可读存储介质实施例而言，由于其涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

上述装置中各个单元/模块的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元/模块可以是或者也可以不是物理上分开的，作为单元/模块显示的部件可以是或者也可以不是物理单元/模块，即可以位于一个地方，或者也可以分布到多个网络单元/模块上。可以根据实际的需要选择其中的部分或者全部单元/模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种配置数据处理方法，其特征在于，应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述方法，包括：

将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理；

每个虚拟防火墙为按照下述方法虚拟得到的：

在接收到虚拟防火墙的创建请求后，创建该虚拟防火墙；

为该虚拟防火墙分配标识信息，不同的虚拟防火墙分配的标识信息不同；

为该虚拟防火墙申请内存空间，申请的内存空间用于存储该虚拟防火墙所能提供的业务的配置数据；

建立该虚拟防火墙的标识信息与分配的内存空间之间的对应关系。

2.根据权利要求1所述的方法，其特征在于，还包括：

接收报文处理请求；

确定用于处理所述报文处理请求的目的虚拟防火墙；

将所述目的虚拟防火墙的标识信息携带在所述报文处理请求中并发送给所述目的虚拟防火墙所能提供的业务对应的进程，以使所述目的虚拟防火墙所能提供的业务对应的进程对所述报文处理请求进行相应处理。

3.根据权利要求2所述的方法，其特征在于，不同的虚拟防火墙对应不同的接口，则

确定用于处理所述报文处理请求的目的虚拟防火墙，包括：

确定用于接收所述报文处理请求的接口；

根据确定出的接口确定所述目的虚拟防火墙。

4.一种配置数据处理装置，其特征在于，应用于防火墙设备，所述防火墙设备虚拟出多个虚拟防火墙，所述多个虚拟防火墙中的相同业务共用一个进程；所述装置，包括：

接收模块，用于接收针对任一虚拟防火墙的业务配置请求；

获取模块，用于获取该虚拟防火墙的标识信息；

发送模块，用于将所述业务配置请求和所述标识信息发送给所述业务配置请求所请求的业务对应的进程，以使所述对应的进程根据所述业务配置请求对所述标识信息对应的内存空间中的所请求的业务的配置数据进行处理；

所述装置，还包括：

创建模块，用于在接收到虚拟防火墙的创建请求后，创建该虚拟防火墙；

分配模块，用于为该虚拟防火墙分配标识信息，不同的虚拟防火墙分配的标识信息不同；

申请模块，用于为该虚拟防火墙申请内存空间，申请的内存空间用于存储该虚拟防火墙所能提供的业务的配置数据；

建立模块，用于建立该虚拟防火墙的标识信息与分配的内存空间之间的对应关系。

5.根据权利要求4所述的装置，其特征在于，

所述接收模块，还用于接收报文处理请求；

所述装置，还包括：

确定模块，用于在所述接收模块接收到所述报文处理请求后，确定用于处理所述报文处理请求的目的虚拟防火墙；

所述发送模块，还用于将所述目的虚拟防火墙的标识信息携带在所述报文处理请求中并发送给所述目的虚拟防火墙所能提供的业务对应的进程，以使所述目的虚拟防火墙所能提供的业务对应的进程对所述报文处理请求进行相应处理。

6.根据权利要求5所述的装置，其特征在于，不同的虚拟防火墙对应不同的接口，则

所述确定模块，具体用于确定用于接收所述报文处理请求的接口；根据确定出的接口确定所述目的虚拟防火墙。

7.一种物理防火墙，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的计算机程序，所述处理器被所述计算机程序促使执行权利要求1-3任一项所述的方法。

8.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有计算机程序，在被处理器调用和执行时，所述计算机程序促使所述处理器执行权利要求1-3任一项所述的方法。