CN113472782B - 自动变更访问控制配置方法、装置、设备及存储介质 - Google Patents

Abstract

本说明书涉及金融领域或其他领域中的访问控制配置变更技术，提供了一种自动变更访问控制配置方法、装置、设备及存储介质，该方法包括：实时获取新增的访问关系；调用访问控制列表ACL配置生成子进程、服务质量QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。本说明书实施例的可以提高变更访问控制配置的效率，降低网络运维管理人员工作量。

Description

自动变更访问控制配置方法、装置、设备及存储介质

技术领域

本说明书涉及金融领域或其他领域中的访问控制配置变更技术，尤其是涉及一种自动变更访问控制配置方法、装置、设备及存储介质。

背景技术

网络运维管理人员需要管理数据中心所有网络访问控制关系，这些网络访问控制关系涉及访问控制列表(Access Control Lists，ACL)、服务质量(Quality of Service，QoS)队列以及路由策略等配置。每个变更日平均需要完成近100条(甚至更多)的访问控制相关变更，而且每个变更基本都涉及以上要素。变更配置时，需要网络运维管理人员人工分析新增的访问需求，并据此进行相关的配置变更。因此，整个变更过程中，变更访问控制配置的效率低，网络运维管理人员工作量较大。

发明内容

本说明书实施例的目的在于提供一种自动变更访问控制配置方法、装置、设备及存储介质，以提高变更访问控制配置的效率，降低网络运维管理人员工作量。

为达到上述目的，一方面，本说明书实施例提供了一种自动变更访问控制配置方法，包括：

实时获取新增的访问关系；

调用ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；

根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。

本说明书实施例中，在所述调用访问控制列表ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系之前，还包括：

将所述访问关系中的源IP地址和目的IP地址转换为子网掩码格式。

本说明书实施例中，所述实时获取新增的访问关系，包括：

从消息中间件实时获取新增的访问关系。

本说明书实施例中，所述调用ACL配置生成子进程处理所述访问关系，包括：

根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的ACL相关的网络交换机；

确认所述网络交换机当前的ACL列表中是否包含所述访问关系；

若所述网络交换机当前的ACL列表未包含所述访问关系，则生成用于在所述 ACL列表中自动添加所述访问关系的ACL配置命令集。

本说明书实施例中，所述调用QoS配置生成子进程处理所述访问关系，包括：

根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的QoS相关的网络交换机；

确认所述访问关系对应的业务场景是否位于QoS业务场景集合中；

若所述访问关系对应的业务场景位于所述QoS业务场景集合中，则确认所述网络交换机当前的QoS染色列表中是否包含所述访问关系；

若所述网络交换机当前的QoS染色列表未包含所述访问关系，则生成用于在所述QoS染色列表中自动添加所述访问关系的QoS配置命令集。

本说明书实施例中，所述调用路由配置生成子进程处理所述访问关系，包括：

确认子网核心设备的路由表中是否存在所述访问关系中的源IP地址的静态路由；

若存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的IP 地址；

若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

本说明书实施例中，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址是所述路由表中的目的地址，则确认所述子网核心设备的前置列表中是否存在所述目的IP地址；

若所述前置列表中不存在所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

本说明书实施例中，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的 IP地址；

若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

本说明书实施例中，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，所述访问关系中的目的IP地址不是所述路由表中的目的地址，且所述路由表中有下一跳包含所述目的IP地址，则确定包含所述目的IP地址的所有下一跳中的路由条目最小者；

确认所述子网核心设备的前置列表中是否存在所述路由条目最小者；

若不存在所述路由条目最小者，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

本说明书实施例中，所述根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更，包括：

将所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集汇总为配置命令总集；

按照审核组维度将所述配置命令总集划分为不同的配置命令分集，并将所述配置命令分集发送至对应的审核组审核；

当接收到所有审核组的审核通过通知时，执行所述ACL配置命令集、所述QoS 配置命令集和所述路由配置命令集，以自动进行访问控制配置变更。

另一方面，本说明书实施例还提供了一种自动变更访问控制配置装置，包括：

获取模块，用于实时获取新增的访问关系；

调用模块，用于调用ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；

变更模块，用于根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。

另一方面，本说明书实施例还提供了一种计算机设备，包括存储器、处理器、以及存储在所述存储器上的计算机程序，所述计算机程序被所述处理器运行时，执行上述方法的指令。

另一方面，本说明书实施例还提供了一种计算机存储介质，其上存储有计算机程序，所述计算机程序被计算机设备的处理器运行时，执行上述方法的指令。

由以上本说明书实施例提供的技术方案可见，本说明书实施例中，在获取到新增的访问关系后，可以并行调用三个不同的配置生成子进程处理该访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集，然后通过执行这些配置命令集实现了访问控制配置自动变更。从而实现了从获取新增的访问关系，到根据新增的访问关系生成配置命令，再到执行配置命令集以完成访问控制配置的变更自动化处理，整个过程几乎不需要人工干预，从而极大提高了变更访问控制配置的效率，大幅降低了网络运维管理人员的工作量。不仅如此，由于本说明书实施例采用了三个不同维度的子进程并行处理，从而也进一步提高了变更访问控制配置的效率。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了本说明书一些实施例中自动变更访问控制配置方法的流程图；

图2示出了本说明书一实施例中数据中心的网络拓扑结构示意图；

图3示出了本说明书一些实施例中调用ACL配置生成子进程处理新增的访问关系的流程图；

图4示出了本说明书一些实施例中调用QoS配置生成子进程处理新增的访问关系的流程图；

图5示出了本说明书一些实施例中调用路由配置生成子进程处理新增的访问关系的流程图；

图6示出了本说明书一些实施例中自动变更访问控制配置装置的结构框图；

图7示出了本说明书一些实施例中计算机设备的结构框图。

【附图标记说明】

11、第一子网路由器；

12、第一子网交换机；

13a、第一子网第一服务器；

13b、第一子网第二服务器；

14a、第一子网第一数据库；

14b、第一子网第二数据库；

21、第二子网路由器；

22、第二子网交换机；

23a、第二子网第一服务器；

23b、第二子网第二服务器；

24a、第二子网第一数据库；

24b、第二子网第二数据库；

61、获取模块；

62、调用模块；

63、变更模块；

702、计算机设备；

704、处理器；

706、存储器；

708、驱动机构；

710、输入/输出接口；

712、输入设备；

714、输出设备；

716、呈现设备；

718、图形用户接口；

720、网络接口；

722、通信链路；

724、通信总线。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

鉴于传统技术中人工根据访问需求进行变更访问控制配置的效率低及工作量大的问题，本说明书提供了可根据访问需求自动变更访问控制配置的解决方案。本说明书一些实施例中以数据中心(例如银行数据中心等)网络场景为例进行了描述。但是，本领域技术人员可以理解，本说明书的解决方案也可以应用其他任何存在类似问题的网络场景中，因此，本说明书对网络场景不作限定。

在本说明书一些实施例中，提供了一种自动变更访问控制配置方法，其可以应用于任何合适的计算机设备上。参考图1所示，所述自动变更访问控制配置方法可以包括以下步骤：

S101、实时获取新增的访问关系。

S102、调用访问控制列表ACL配置生成子进程、服务质量QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集。

S103、根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。

本说明书实施例中，在获取到新增的访问关系后，可以并行调用三个不同的配置生成子进程处理该访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集，然后通过执行这些配置命令集实现了访问控制配置自动变更。从而实现了从获取新增的访问关系，到根据新增的访问关系生成配置命令，再到执行配置命令集以完成访问控制配置的变更自动化处理，整个过程几乎不需要人工干预，从而极大提高了变更访问控制配置的效率，大幅降低了网络运维管理人员的工作量。不仅如此，由于本说明书实施例采用了三个不同维度的子进程并行处理，从而也进一步提高了变更访问控制配置的效率。

本说明书中的访问关系一般是指IP访问关系，其反映了用户提出的访问需求。在一些实施例中，访问关系可以包括源IP地址和目的IP地址，即表明用户需要在网络中开通，从源IP地址到目的IP地址的访问链路。

例如，在图2所示的数据中心的网络拓扑结构中包括了两个子网(第一子网和第二子网)。其中，第一子网包括第一子网路由器11、第一子网交换机12、第一子网第一服务器13a、第一子网第二服务器13b、第一子网第一数据库14a和第一子网第二数据库14b。第二子网包括第二子网路由器21、第二子网交换机22、第二子网第一服务器23a和第二子网第一数据库24a。在此基础上，为了业务发展需要，第二子网新增了一项业务，并为此增加了第二子网第二服务器23b和第二子网第二数据库24b。为了使得该新增业务可以对外提供服务，需要开通第二子网第二服务器23b至第二子网第一服务器23a、第一子网第一服务器13a和第一子网第二服务器13b的访问链路。换而言之，产生了第二子网第二服务器23b分别至第二子网第一服务器23a、第一子网第一服务器13a和第一子网第二服务器13b的访问需求。

需求方可以通过终端设备输入这些访问需求并传输至指定存储路径，以便于后续获取。鉴于数据中心所涉及的数据体量巨大，业务种类繁多且网络访问控制策略多变的情况，可以借助于消息中间件转发访问关系，从而实现在任何时刻都可以将访问关系进行传送或者存储转发，提高了自动变更访问控制配置的效率和鲁棒性。例如，在一示例性实施例中，可以从kafak消息中间件实时获取新增的访问关系。

由于访问关系并无标准格式，各需求方提供的访问关系可能各式各样。例如一需求方提供的访问关系中的IP地址格式为：1.1.1.1-7；另一需求方提供的访问关系中的 IP地址格式为：1.1.1.0/24；再一需求方提供的访问关系中的IP地址格式为：1.1.1.1|2|3|；再一需求方提供的访问关系中的IP地址格式为：1.1.1.1；2；3；4；5。如此，则增加了后续处理的难度。因此，为了方便后续处理，可以将接收到的访问关系中不同格式的IP 地址转换为统一的格式。

例如，在一些实施例中，可以将访问关系中的源IP地址和目的IP地址均转换为子网掩码格式。即将访问关系中十进制表示的源IP地址和目的IP地址，统一转换为二进制表示的子网掩码格式。例如，1.1.1.1-7实际上表示：1.1.1.1.1，1.1.1.1.2，1.1.1.1.3，1.1.1.1.4，1.1.1.1.5，1.1.1.1.6和1.1.1.1.7共七个IP地址，基于上述的子网掩码格式转换，将其它们对应转换为如下所示的，二进制表示的七个子网掩码格式的地址信息。

00000001000000010000000100000001

00000001000000010000000100000010

00000001000000010000000100000011

00000001000000010000000100000100

00000001000000010000000100000101

00000001000000010000000100000110

00000001000000010000000100000111

同理，1.1.1.1|2|3|实际上表示：1.1.1.1.1，1.1.1.1.2和1.1.1.1.3共三个IP地址，则基于上述的子网掩码格式转换，也可以将其它们对应转换为如下所示的，二进制表示的三个子网掩码格式的地址信息。

00000001000000010000000100000001

00000001000000010000000100000010

00000001000000010000000100000011

开通一个访问关系，需要开通整条访问链路中的ACL，需要配置整条访问链路中的QoS，也需要配置整条访问链路中数据组件(datagroup)的路由。鉴于它们的开通逻辑均不相同，且此前已将接收到的访问关系中不同格式的IP地址转换为统一的格式，可以并行异步启用三个配置生成子进程(即ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程)，来分别处理新增的访问关系；如此可以进一步提高访问控制配置变更处理效率。其中，ACL配置生成子进程可以被配置为根据访问关系和网络拓扑中的原访问权限控制配置，生成ACL配置命令集；QoS配置生成子进程可以被配置为根据访问关系和网络拓扑中的原QoS配置，生成QoS配置命令集；路由配置生成子进程可以被配置为根据访问关系和网络拓扑中的原QoS配置，生成路由配置命令集。

参考图3所示，所述调用ACL配置生成子进程处理所述访问关系可以包括以下步骤：

S301、根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的ACL相关的网络交换机。

访问控制列表(即ACL列表)一般配置于网络交换机侧，因此，如果需要通过更改ACL列表中的访问权限控制，则需要先找到ACL列表；而要找到该ACL列表，则需要先找到配置有该ACL列表的网络交换机。

本说明书中，对应的网络拓扑结构是指访问关系所对应的网络拓扑结构，即访问关系所归属的网络拓扑结构。由于当前的网络拓扑结构是确定，因此根据对应的网络拓扑结构及访问关系中的源IP地址、目的IP地址，可以确定该访问关系涉及的ACL 相关的网络交换机。

例如，若在图2所示的网络拓扑结构中，需要开通第二子网第二服务器24b至第一子网第一服务器13a的访问关系，则其访问链路需要经过第二子网交换机22和第一子网交换机12。因此，第二子网交换机22和第一子网交换机12即为该访问关系涉及的ACL相关的网络交换机。

S302、确认所述网络交换机当前的ACL列表中是否包含所述访问关系。

一些ACL列表可能按实际所需配置访问权限配置信息，即涉及到哪个访问关系，就配置哪个该访问关系的访问权限配置信息；为了方便后续扩展和维护，也有一些 ACL列表可能预先配置了比实际所需范围更广的访问权限配置信息。有鉴于此，需要确认所述网络交换机当前的ACL列表中是否包含所述访问关系，以降低或避免重复配置。

在一些实施例中，可以将ACL列表中所有目的IP地址转换为子网掩码格式，从而形成一个子网掩码格式集合；然后判断新增的访问关系中目的IP地址(也是子网掩码格式)是否位于该网掩码格式集合中。若位于该网掩码格式集合中，则表明网络交换机当前的ACL列表中包含访问关系；在此情况下，无需为该访问关系变更ACL 列表的相关配置，以免重复配置；否则，表明网络交换机当前的ACL列表中未包含访问关系，需要为该访问关系变更ACL列表的相关配置。在一些情况下，新增的访问关系中目的IP地址可能为多个，则需要逐个判断每个目的IP地址是否位于该网掩码格式集合中。

例如，在一示例性实施例中，新增的访问关系中的目的IP地址为：1.1.1.30-32，即1.1.1.30、1.1.1.31和1.1.1.32，而ACL列表中目的IP地址为any 1.1.1.1-32；由于1.1.1.30-32位于any 1.1.1.1-32范围内，可以确认网络交换机当前的ACL列表中包含该访问关系。有必要指出，为了方便理解，这里用十进制来说明这种包含关系判断，实际对比时则是在子网掩码格式下进行的。

S303、若所述网络交换机当前的ACL列表未包含所述访问关系，则生成用于在所述ACL列表中自动添加所述访问关系的ACL配置命令集。

在一些实施例中，若所述网络交换机当前的ACL列表未包含所述访问关系，则需要在ACL列表中添加访问关系的与访问权限控制有关的配置信息，因此，可以生成用于在所述ACL列表中自动添加所述访问关系的ACL配置命令集。由于不同类型交换机下添加访问关系的命令可能会有所不同，因此，生成的ACL配置命令集应与交换机类型对应。ACL配置命令集和人工添加访问关系时所需要输入的指令类似，只是在本说明书中，将现有技术中由人工输入生成的命名，改为由程序自动生成。

需要指出的是，当访问关系涉及的ACL相关的网络交换机有多个时，每个网络交换机均需要进行上述步骤S302和步骤S303。

参考图4所示，所述调用QoS配置生成子进程处理所述访问关系，可以包括以下步骤：

S401、根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的QoS相关的网络交换机。

QoS染色列表一般也配置于网络交换机侧，因此，如果需要通过更改QoS染色列表中的流量控制，则需要先找到QoS染色列表；而要找到该QoS染色列表，则同样需要先找到配置有该QoS染色列表的网络交换机。

S402、确认所述访问关系对应的业务场景是否位于QoS业务场景集合中。若所述访问关系对应的业务场景位于所述QoS业务场景集合中，则执行步骤S403，否则结束。

数据中心的每个业务场景(或业务类型)的逻辑一般不一样，有些业务的QoS 优先级要求较高，有些业务的QoS优先级要求较低，甚至是可有可无。例如，转账业务的QoS优先级要求较高，而行内视频业务的QoS优先级较低。因此，可以根据业务场景需要，预先配置QoS优先级要求较高的QoS业务类型列表。位于QoS业务类型列表中的业务类型均需要进行QoS配置，而未位于QoS业务类型列表中的业务类型则可以不进行QoS配置。因此，需要判断所述访问关系对应的业务场景是否位于QoS业务类型列表，以便于确认是否需要为该访问关系变更QoS染色列表的QoS 配置。由于每个服务器主机所承担的业务类型是确定，通过源IP地址和目的IP地址所对应的服务器主机，可以识别出访问关系对应的业务场景。

S403、确认所述网络交换机当前的QoS染色列表中是否包含所述访问关系。若所述网络交换机当前的QoS染色列表未包含所述访问关系，则执行步骤S404，否则结束。

本步骤的处理逻辑可以参见上述步骤S302的处理逻辑，主要不同之处在于：这里是QoS染色列表而非ACL列表，因此，在此不再赘述。

S404、若所述网络交换机当前的QoS染色列表未包含所述访问关系，则生成用于在所述QoS染色列表中自动添加所述访问关系的QoS配置命令集。

本步骤的处理逻辑可以参见上述步骤S303的处理逻辑，主要不同之处在于：这里是QoS染色列表而非ACL列表，生成的是QoS配置命令集而非ACL配置命令集；因此，在此不再赘述。

以调用关系中源IP地址为A，目的IP地址为B为例，参考图5所示，所述调用路由配置生成子进程处理所述访问关系，可以包括以下步骤：

确认子网核心设备的路由表中是否存在A的静态路由；

若存在A的静态路由，且B不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含B；若所述路由表中无下一跳包含B，则生成用于在所述路由表中自动添加B的路由配置命令集。

此外，若子网核心设备的路由表中存在A的静态路由，且B是所述路由表中的目的地址，则表明A访问B的路由配置已经存在，无需重新配置。若子网核心设备的路由表中存在A的静态路由，B不是所述路由表中的目的地址，且所述路由表中有下一跳包含B，则也表明A访问B的路由配置已经存在，也无需重新配置。

除路由器外，一些交换机也兼具有路由功能，为了便于描述，在本说明书中可以将兼具有路由功能的交换机和路由器，统称为子网核心设备。多数情况下调用关系中的源IP地址和目的IP地址不在同一个网段，因此各自所属的网段均可以称为子网。而在调用路由配置生成子进程处理所述访问关系时，对于源IP地址所归属的子网，以及目的IP地址所归属的子网均需要分别进行处理。

请继续参考图5所示，若子网核心设备的路由表中不存在A的静态路由，且B 是所述路由表中的目的地址，则确认所述子网核心设备的前置列表(prefix-list)中是否存在B；若所述前置列表中不存在B，则生成用于在所述路由表中自动添加B的路由配置命令集。此外，若子网核心设备的路由表中不存在A的静态路由，B是所述路由表中的目的地址，且所述前置列表中存在B，则表明A访问B的路由配置已经存在，无需重新配置。

请继续参考图5所示，若子网核心设备的路由表中不存在A的静态路由，且B 不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含B；若所述路由表中无下一跳包含B，则生成用于在所述路由表中自动添加A和B的路由配置命令集。

请继续参考图5所示，若子网核心设备的路由表中不存在A的静态路由，B不是所述路由表中的目的地址，且所述路由表中有下一跳包含B，则确定包含的所有下一跳中的路由条目最小者(即从包含的所有下一跳中的路由条目中选择一个最小的路由条目，以用于实现最优路由路径)；确认所述子网核心设备的前置列表中是否存在所述路由条目最小者；若不存在所述路由条目最小者，则生成用于在所述路由表中自动添加A和B的路由配置命令集。

在一些实施例中，上述的配置生成子进程还可以对访问控制配置进行管理。例如，可以对访问控制配置进行调优，重复策略的合并、删除等处理，以减少策略条目数，减轻设备压力。具体而言，利用ACL配置生成子进程可以对访问权限控制配置进行优化，利用QoS配置生成子进程可以对流量控制配置进行优化，利用路由配置生成子进程可以对路由配置进行优化。

例如，以访问权限控制配置为例，若分别配置了1.1.1.1.1，1.1.1.1.2，1.1.1.1.3， 1.1.1.1.4，1.1.1.1.5和1.1.1.1.6允许访问，则可以将其优化为any1.1.1.1-6，并在此基础上删除原先分别对1.1.1.1.1，1.1.1.1.2，1.1.1.1.3，1.1.1.1.4，1.1.1.1.5和1.1.1.1.6 的访问权限控制配置。

在一些实施例中，所述根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更，可以包括以下步骤：

1)将所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集汇总为配置命令总集。

为了确保各配置命令集的正确性，在执行配置命令集前可以将生成的配置命令集发送多个审核组(例如核心组、分行组、应用组等)审核。由于每个审核组可能均会涉及到ACL配置、QoS配置和路由配置，因此，可以将ACL配置命令集、QoS 配置命令集和路由配置命令集汇总为配置命令总集，以便于后续可按照审核组维度进行拆分。

2)按照审核组维度将所述配置命令总集划分为不同的配置命令分集，并将所述配置命令分集发送至对应的审核组审核。

由于每个审核组只审核本组职责范围内的部分，因此，为了减少无用信息的传输，可以按照审核组维度将所述配置命令总集划分为不同的配置命令分集，例如，以审核组为核心组、分行组和应用组为例，可以将配置命令总集划分为核心组配置命令分集、一个或多个分行组配置命令分集、以及一个或多个应用组配置命令分集，具体实施时，可以通过打审核组标签的方式先将配置命令总集中的各条配置命令进行标记，然后根据标记进行抽取，从而生成各个配置命令分集。

3)当接收到所有审核组的审核通过通知时，执行所述ACL配置命令集、所述 QoS配置命令集和所述路由配置命令集，以自动进行访问控制配置变更。

当接收到所有审核组的审核通过通知，表明生成的ACL配置命令集、QoS配置命令集和路由配置命令集均是正确，因此可以并行异步执行，以自动进行访问控制配置变更。当某个配置命令分集中的配置有问题时，可以人工进行修正，并执行修正后的配置命令集。

虽然上文描述的过程流程包括以特定顺序出现的多个操作，但是，应当清楚了解，这些过程可以包括更多或更少的操作，这些操作可以顺序执行或并行执行(例如使用并行处理器或多线程环境)。

与上述的方法对应，本说明书实施例还提供了一种自动变更访问控制配置装置，其可以配置于任何合适的计算机设备上。参考图6所示，在一些实施例中，所述自动变更访问控制配置装置可以包括：

获取模块61，可以用于实时获取新增的访问关系；

调用模块62，可以用于调用ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；

变更模块63，可以用于根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。

一些装置实施例中，所述获取模块61还可以用于：在所述调用访问控制列表ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系之前，将所述访问关系中的源IP地址和目的IP地址转换为子网掩码格式。

一些装置实施例中，所述实时获取新增的访问关系，可以包括：

从消息中间件实时获取新增的访问关系。

一些装置实施例中，所述调用ACL配置生成子进程处理所述访问关系，可以包括：

根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的ACL相关的网络交换机；

确认所述网络交换机当前的ACL列表中是否包含所述访问关系；

若所述网络交换机当前的ACL列表未包含所述访问关系，则生成用于在所述 ACL列表中自动添加所述访问关系的ACL配置命令集。

一些装置实施例中，所述调用QoS配置生成子进程处理所述访问关系，可以包括：

根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的QoS相关的网络交换机；

确认所述访问关系对应的业务场景是否位于QoS业务场景集合中；

若所述访问关系对应的业务场景位于所述QoS业务场景集合中，则确认所述网络交换机当前的QoS染色列表中是否包含所述访问关系；

若所述网络交换机当前的QoS染色列表未包含所述访问关系，则生成用于在所述QoS染色列表中自动添加所述访问关系的QoS配置命令集。

一些装置实施例中，所述调用路由配置生成子进程处理所述访问关系，可以包括：

确认子网核心设备的路由表中是否存在所述访问关系中的源IP地址的静态路由；

若存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的IP 地址；

若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

一些装置实施例中，所述调用路由配置生成子进程处理所述访问关系，还可以包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址是所述路由表中的目的地址，则确认所述子网核心设备的前置列表中是否存在所述目的IP地址；

若所述前置列表中不存在所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

一些装置实施例中，所述调用路由配置生成子进程处理所述访问关系，还可以包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的 IP地址；

若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

一些装置实施例中，所述调用路由配置生成子进程处理所述访问关系，还可以包括：

若不存在所述访问关系中的源IP地址的静态路由，所述访问关系中的目的IP地址不是所述路由表中的目的地址，且所述路由表中有下一跳包含所述目的IP地址，则确定包含所述目的IP地址的所有下一跳中的路由条目最小者；

确认所述子网核心设备的前置列表中是否存在所述路由条目最小者；

若不存在所述路由条目最小者，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

一些装置实施例中，所述根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更，可以包括：

将所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集汇总为配置命令总集；

按照审核组维度将所述配置命令总集划分为不同的配置命令分集，并将所述配置命令分集发送至对应的审核组审核；

当接收到所有审核组的审核通过通知时，执行所述ACL配置命令集、所述QoS 配置命令集和所述路由配置命令集，以自动进行访问控制配置变更。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本说明书的实施例还提供一种计算机设备。如图7所示，在本说明书一些实施例中，所述计算机设备702可以包括一个或多个处理器704，诸如一个或多个中央处理单元(CPU)或图形处理器(GPU)，每个处理单元可以实现一个或多个硬件线程。计算机设备702还可以包括任何存储器706，其用于存储诸如代码、设置、数据等之类的任何种类的信息，一具体实施例中，存储器706上并可在处理器704上运行的计算机程序，所述计算机程序被所述处理器704运行时，可以执行上述任一实施例所述的自动变更访问控制配置方法的指令。非限制性的，比如，存储器706可以包括以下任一项或多种组合：任何类型的RAM，任何类型的ROM，闪存设备，硬盘，光盘等。更一般地，任何存储器都可以使用任何技术来存储信息。进一步地，任何存储器可以提供信息的易失性或非易失性保留。进一步地，任何存储器可以表示计算机设备702 的固定或可移除部件。在一种情况下，当处理器704执行被存储在任何存储器或存储器的组合中的相关联的指令时，计算机设备702可以执行相关联指令的任一操作。计算机设备702还包括用于与任何存储器交互的一个或多个驱动机构708，诸如硬盘驱动机构、光盘驱动机构等。

计算机设备702还可以包括输入/输出接口710(I/O)，其用于接收各种输入(经由输入设备712)和用于提供各种输出(经由输出设备714)。一个具体输出机构可以包括呈现设备716和相关联的图形用户接口718(GUI)。在其他实施例中，还可以不包括输入/输出接口710(I/O)、输入设备712以及输出设备714，仅作为网络中的一台计算机设备。计算机设备702还可以包括一个或多个网络接口720，其用于经由一个或多个通信链路722与其他设备交换数据。一个或多个通信总线724将上文所描述的部件耦合在一起。

通信链路722可以以任何方式实现，例如，通过局域网、广域网(例如，因特网)、点对点连接等、或其任何组合。通信链路722可以包括由任何协议或协议组合支配的硬连线链路、无线链路、路由器、网关功能、名称服务器等的任何组合。

本申请是参照本说明书一些实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理器的处理器以产生一个机器，使得通过计算机或其他可编程数据处理器的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理器以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理器上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算机设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算机设备访问的信息。按照本说明书中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书实施例可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书实施例，在这些分布式计算环境中，由通过通信网络而被连接的远程处理器来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

还应理解，在本说明书实施例中，术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系。例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本说明书实施例的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种自动变更访问控制配置方法，其特征在于，包括：

实时获取新增的访问关系；

调用访问控制列表ACL配置生成子进程、服务质量QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；

根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更；

其中，所述调用ACL配置生成子进程处理所述访问关系，包括：根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的ACL相关的网络交换机；确认所述网络交换机当前的ACL列表中是否包含所述访问关系；若所述网络交换机当前的ACL列表未包含所述访问关系，则生成用于在所述ACL列表中自动添加所述访问关系的ACL配置命令集；

所述调用QoS配置生成子进程处理所述访问关系，包括：根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的QoS相关的网络交换机；确认所述访问关系对应的业务场景是否位于QoS业务场景集合中；若所述访问关系对应的业务场景位于所述QoS业务场景集合中，则确认所述网络交换机当前的QoS染色列表中是否包含所述访问关系；若所述网络交换机当前的QoS染色列表未包含所述访问关系，则生成用于在所述QoS染色列表中自动添加所述访问关系的QoS配置命令集；

所述调用路由配置生成子进程处理所述访问关系，包括：确认子网核心设备的路由表中是否存在所述访问关系中的源IP地址的静态路由；若存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的IP地址；若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

2.如权利要求1所述的自动变更访问控制配置方法，其特征在于，在所述调用访问控制列表ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系之前，还包括：

将所述访问关系中的源IP地址和目的IP地址转换为子网掩码格式。

3.如权利要求1所述的自动变更访问控制配置方法，其特征在于，所述实时获取新增的访问关系，包括：

从消息中间件实时获取新增的访问关系。

4.如权利要求1所述的自动变更访问控制配置方法，其特征在于，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址是所述路由表中的目的地址，则确认所述子网核心设备的前置列表中是否存在所述目的IP地址；

若所述前置列表中不存在所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集。

5.如权利要求1所述的自动变更访问控制配置方法，其特征在于，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的IP地址；

若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

6.如权利要求5所述的自动变更访问控制配置方法，其特征在于，所述调用路由配置生成子进程处理所述访问关系，还包括：

若不存在所述访问关系中的源IP地址的静态路由，所述访问关系中的目的IP地址不是所述路由表中的目的地址，且所述路由表中有下一跳包含所述目的IP地址，则确定包含所述目的IP地址的所有下一跳中的路由条目最小者；

确认所述子网核心设备的前置列表中是否存在所述路由条目最小者；

若不存在所述路由条目最小者，则生成用于在所述路由表中自动添加所述源IP地址和所述目的IP地址的路由配置命令集。

7.如权利要求1所述的自动变更访问控制配置方法，其特征在于，所述根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更，包括：

将所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集汇总为配置命令总集；

按照审核组维度将所述配置命令总集划分为不同的配置命令分集，并将所述配置命令分集发送至对应的审核组审核；

当接收到所有审核组的审核通过通知时，执行所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，以自动进行访问控制配置变更。

8.一种自动变更访问控制配置装置，其特征在于，包括：

获取模块，用于实时获取新增的访问关系；

调用模块，用于调用ACL配置生成子进程、QoS配置生成子进程和路由配置生成子进程处理所述访问关系，以对应生成ACL配置命令集、QoS配置命令集和路由配置命令集；其中，

所述调用ACL配置生成子进程处理所述访问关系，包括：根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的ACL相关的网络交换机；确认所述网络交换机当前的ACL列表中是否包含所述访问关系；若所述网络交换机当前的ACL列表未包含所述访问关系，则生成用于在所述ACL列表中自动添加所述访问关系的ACL配置命令集；

所述调用QoS配置生成子进程处理所述访问关系，包括：根据对应的网络拓扑结构及所述访问关系中的源IP地址、目的IP地址，确定所述访问关系涉及的QoS相关的网络交换机；确认所述访问关系对应的业务场景是否位于QoS业务场景集合中；若所述访问关系对应的业务场景位于所述QoS业务场景集合中，则确认所述网络交换机当前的QoS染色列表中是否包含所述访问关系；若所述网络交换机当前的QoS染色列表未包含所述访问关系，则生成用于在所述QoS染色列表中自动添加所述访问关系的QoS配置命令集；

所述调用路由配置生成子进程处理所述访问关系，包括：确认子网核心设备的路由表中是否存在所述访问关系中的源IP地址的静态路由；若存在所述访问关系中的源IP地址的静态路由，且所述访问关系中的目的IP地址不是所述路由表中的目的地址，则确认所述路由表中是否有下一跳包含所述目的IP地址；若所述路由表中无下一跳包含所述目的IP地址，则生成用于在所述路由表中自动添加所述目的IP地址的路由配置命令集；

变更模块，用于根据所述ACL配置命令集、所述QoS配置命令集和所述路由配置命令集，进行访问控制配置变更。

9.一种计算机设备，包括存储器、处理器、以及存储在所述存储器上的计算机程序，其特征在于，所述计算机程序被所述处理器运行时，执行根据权利要求1-7任意一项所述的方法。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被计算机设备的处理器运行时，执行根据权利要求1-7任意一项所述的方法。

Images