CN117768534A - 一种多网络区域的服务路由和访问控制参数动态更新方法 - Google Patents

Abstract

本发明公开了一种多网络区域的服务路由和访问控制参数动态更新方法，包括以下步骤：根据预设的定时任务获取全局服务依赖关系；遍历各区域动态服务信息，获取当前全局服务信息；基于获取到的全局服务依赖关系和全局服务信息计算各区域服务的服务路由和访问控制参数；汇聚各区域网关的跨区域服务路由和跨区域访问控制参数，并向对应区域网关推送服务路由和访问控制参数，然后进入下一轮的定时任务中。

Description

一种多网络区域的服务路由和访问控制参数动态更新方法

技术领域

本发明涉及网络管理域，具体涉及一种多网络区域的服务路由和访问控制参数动态更新方法系统。

背景技术

随着近几年来网络安全形势的日趋复杂严峻，各金融企业正持续完善网络安全体系建设，不断加大信息安全的保护力度。一般情况下，金融企业根据其自身业务的不同安全等级，将企业内部网络划分成多个网络区域，一般分为互联网、办公、业务、专网等几大区域。在这些网络区域内分别部署了多个业务服务，由于业务的需要，这些服务之间存在着大量的访问调用，既有同区域内部的服务访问调用，也有跨区域的服务访问调用；同时每个区域的前台终端浏览器也会发起对本区域服务或者其它区域服务的访问。

为了确保跨区域访问的安全可控，要求在每个网络区域部署网关，所有跨区域访问的进出流量必须通过网关，同时，需要在各个区域的网关上配置相应的服务路由和访问控制参数，网关作为每个区域请求流量进出的唯一通道，承担起了服务发现和路由转发的重要功能，成为了各个网络区域之间请求数据传输的重要枢纽。

在互联网领域，有很多网关以及消息中间件产品支持服务路由、消息转发和访问控制等基本功能.但是，这些消息中间件主要基于静态配置来实现，只能通过加载静态配置来重启应用，普遍不支持运行时动态配置的实时变化。同时，各个区域的网关彼此独立运行，治理比较分散。

发明内容

以下给出一个或多个方面的简要概述以提供对这些方面的基本理解。此概述不是所有构想到的方面的详尽综览，并且既非旨在指认出所有方面的关键性或决定性要素亦非试图界定任何或所有方面的范围。其唯一的目的是要以简化形式给出一个或多个方面的一些概念以为稍后给出的更加详细的描述之序。

本发明的目的在于解决上述问题，提供了一种多网络区域的服务路由和访问控制参数动态更新方法，基于全局服务依赖关系和全局服务信息动态计算多个区域服务的服务路由和访问控制参数，从而实现多网络区域的服务路由和访问控制参数的动态更新。

本发明的技术方案为：

本发明提供一种多网络区域的服务路由和访问控制参数动态更新方法，包括以下步骤：

根据预设的定时任务获取全局服务依赖关系；

遍历各区域动态服务信息，获取当前全局服务信息；

基于获取到的全局服务依赖关系和全局服务信息计算各区域服务的服务路由和访问控制参数；

汇聚各区域网关的跨区域服务路由和跨区域访问控制参数，并向对应区域网关推送服务路由和访问控制参数，然后进入下一轮的定时任务中。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法设有一配置数据库，用以存储全局服务依赖关系；其中，所述全局服务依赖关系包括各区域网关的依赖服务和被依赖服务，所述多网络区域的服务路由和访问控制参数动态更新方法基于全局服务依赖关系确定各区域网关的访问控制信息。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法在遍历各区域动态服务信息时，首先判断当前区域是否是容器化区域，若是，则从kubernetes集群获取对应的动态服务信息；若否，则从zookeeper集群获取对应的动态服务信息。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法获取到各区域动态服务信息后，将获取到的各区域动态服务信息写入到区域服务缓存中进行存储，从而得到当前全局服务信息。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述全局服务信息包括各区域所有服务信息，所述多网络区域的服务路由和访问控制参数动态更新方法基于全局服务信息确定各区域网关当前服务路由；其中，各区域网关的服务路由包括本区域路由和跨区域路由。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法计算各区域服务的服务路由时，基于全局服务依赖关系和全局服务信息来遍历各区域服务的依赖服务，并判断各区域服务的依赖服务是否在本区域；若是，则进入下一循判断对应区域服务的依赖服务是否在本区域；若否，则根据对应区域的依赖服务所在区域计算生成跨区域服务路由。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法计算得到各区域的跨区域服务路由后，基于计算得到的跨区域服务路由在各区域为同一逻辑大区的其他子区域服务创建跨区域服务路由，从而实现同一逻辑大区内各子区域服务的互联互通。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，多网络区域的服务路由和访问控制参数动态更新方法计算各区域服务的访问控制参数时，基于全局服务依赖关系和全局服务信息遍历各区域服务的被依赖服务，判断各区域服务的被依赖服务是否在本区域；若是，则进入下一循环的判断对应区域服务的被依赖服务是否在本区域；若否，则根据被依赖服务所在区域计算生成跨区域访问控制参数。

根据本发明的多网络区域的服务路由和访问控制参数动态更新方法的一实施例，所述多网络区域的服务路由和访问控制参数动态更新方法还设有一中央控制模块，通过中央控制模块控制多网络区域的服务路由和访问控制参数动态更新方法的自动执行，从而计算得到各区域网络的服务路由和访问控制参数。

本发明还提供一种存储有计算机程序代码的计算机可读介质，所述计算机程序代码在由处理器执行时实现如上所述的方法。

本发明还提供一种多网络区域的服务路由和访问控制参数动态更新装置，包括：

存储器，用于存储可由处理器执行的指令；以及

处理器，用于执行所述指令以实现如上所述的方法。

本发明对比现有技术有如下的有益效果：本发明针对多网络区域的服务路由和访问控制参数的动态更新，设置定时任务动态感知并获取各区域的全局服务依赖关系以及全局服务信息，然后根据获取到全局服务依赖关系和全局服务信息来计算各区域服务的服务路由和访问控制参数，从而实现多网络区域的服务路由和访问控制参数的动态更新。此外，本发明还设置了一中央控制模块，通过中央控制模块来自动执行多网络区域的服务路由和访问控制参数动态更新方法，并对各区域服务的服务路由和访问控制参数进行统一管理，提高了多网络区域网关的治理水平和管理质量。

附图说明

在结合以下附图阅读本公开的实施例的详细描述之后，能够更好地理解本发明的上述特征和优点。在附图中，各组件不一定是按比例绘制，并且具有类似的相关特性或特征的组件可能具有相同或相近的附图标记。

图1是示出本发明的多网络区域的服务路由和访问控制参数动态更新方法一实施例的流程图。

图2是示出本发明的容器化区域一实施例的示意图。

图3是示出本发明的非容器化区域一实施例的示意图。

图4是示出本发明的跨区域服务调用一实施例的示意图。

具体实施方式

以下结合附图和具体实施例对本发明作详细描述。注意，以下结合附图和具体实施例描述的诸方面仅是示例性的，而不应被理解为对本发明的保护范围进行任何限制。

在此公开一种多网络区域的服务路由和访问控制参数动态更新方法一实施例，图1是示出本发明的多网络区域的服务路由和访问控制参数动态更新方法一实施例的流程图。请参照图1，以下是对多网络区域的服务路由和访问控制参数动态更新方法各步骤的详细说明。

步骤S1：根据预设的定时任务获取全局服务依赖关系。

本实施例中，为了实现对多网络区域的服务路由和访问控制参数的动态更新，预设一定时任务(例如每5分钟执行一次)来进行执行多网络区域的服务路由和访问控制参数动态更新方法。当定时任务开始执行后，首先需要从设置的配置数据库来读取全局服务依赖关系，根据读取到的全局服务依赖关系来确定各区域之间的依赖服务和被依赖服务，进而确定各区域网关的访问控制信息，即跨区域访问的URL白名单。

步骤S2：遍历各区域动态服务信息，获取当前全局服务信息。

随着各大企业云原生落地以及应用容器化的深入推进，大多数应用已经实现了容器化改造，大多数容器化应用部署运行在基于docker+kubernetes容器云集群中。在容器云集群内部，服务应用的服务注册与发现机制一般通过kubernetes dns来实现。kubernetesdns内部则以key-value形式存放服务地址信息。其中，key为服务名.名称空间名，value为服务对应的集群内部虚地址(cluster ip地址)和pod端口。以图2所示的容器化区域为例，服务b-2分别向服务注册中心(kubernetes dns)注册它自己的域名地址(服务名.名称空间名)，当服务b-1需要访问服务b-2时，服务b-1从服务注册中心(kubernetes dns)获取到服务b-2的cluster IP地址和pod端口，然后完成访问调用。

对于传统的非容器化区域，服务应用的服务注册与发现机制一般通过zookeeper来实现。zookeeper内部以key-value形式存放服务地址信息，key为服务名，value为服务所在的服务器地址和监听端口。以图3所示的非容器化区域为例，服务a-2分别向服务注册中心(zookeeper)注册它自己的IP地址和端口，当服务a-1需要访问服务a-2时，服务a-1从服务注册中心(zookeeper)获取到服务a-2的IP地址和端口，然后完成访问调用。

由此，本实施例中，在遍历各区域动态服务信息时，首先判断当前区域是否是容器化区域。如果是的话，则需要从kubernetes集群获取对应的动态服务信息。如果不是，则从zookeeper集群获取对应的动态服务信息。在获取到各区域动态服务信息后，将获取到的动态服务信息写入到区域服务缓存中进行存储，从而得到当前全局服务信息。

此外，针对某些特殊应用，它们既不支持向zookeeper注册服务，也不支持容器化，无法向kubernetes注册服务，需要借助数据库或文件等持久化方式，在配置数据库中静态配置这些特殊服务的IP地址和端口，即endpoint地址信息。当其它服务需要访问这些特殊服务，则直接从配置数据库中来读取到它们的endpoint地址信息，以完成服务调用。因此，本实施例中，在将获取到的动态服务信息写入到区域服务缓存后，还需从配置数据库中读取特殊服务的endpoint地址信息，并将其写入到区域服务缓存中，从而得到更全面的全局服务信息。其中，全局服务信息包括各区域所有服务信息，通过全局服务信息确定各区域网关当前服务路由，即本区域路由和跨区域路由。

步骤S3:基于获取到的全局服务依赖关系和全局服务信息计算各区域服务的服务路由和访问控制参数。

本实施例中，通过上述步骤获取到全局服务依赖关系和全局服务信息后，开始遍历各区域服务，根据基于获取到的全局服务依赖关系和全局服务信息来计算各区域服务的服务路由和访问控制参数。

具体地，本实施例中，在计算各区域服务的服务路由时，首先根据全局服务依赖关系和全局服务信息来遍历各区域服务的依赖服务，判断各区域服务的依赖服务是否在本区域。如果是的话，则进入下一循判断对应区域服务的依赖服务是否在本区域。如果不是，则根据对应区域的依赖服务所在区域计算生成跨区域服务路由。

此外，本实施例中，在计算得到各区域的跨区域服务路由后，还需根据计算得到的跨区域服务路由在各区域为同一逻辑大区的其他子区域服务创建跨区服务路由，从而实现同一逻辑大区内各子区域服务的互联互通。

本实施例中，在计算各区域服务的访问控制参数时，首先需要根据全局服务依赖关系和全局服务信息遍历各区域服务的被依赖服务，判断各区域服务的被依赖服务是否在本区域。如果是的话，则进入下一循环的判断对应区域服务的被依赖服务是否在本区域。如果不是，则根据被依赖服务所在区域计算生成跨区域访问控制参数。下面以图4所示的跨区域服务调用为例，进一步详细描述本实施例。

如图4所示，区域a有服务a1和服务a1，区域b有服务b1和服务b2。二者之间的调用关系：服务a1需要调用本区域服务服务a2、跨区域服务b1；服务b2需要调用本区域服务服务b1、跨区域服务a2。在计算区域a和区域b之间的服务路由时，首先从配置数据库中读取如表1所示的全局服务依赖关系：

服务	依赖服务
		服务a1	服务a2、服务b1
服务b2	服务a2、服务b1

表1

在获取到全局服务依赖关系后，接着从每个区域集群动态抓取服务注册信息，汇总形成如下所示的全局服务信息：

表2

最后，根据读取的表1和表2的数据源，计算推导出区域a和区域b网关上的服务路由和访问控制参数，分别如下表3和表4所示：

表3

表4

步骤S4：汇聚各区域网关的跨区域服务路由和跨区域访问控制参数，并向对应区域网关推送服务路由和访问控制参数，然后进入下一轮的定时任务中。

本实施例中，通过上述步骤获取到各区域网关的跨区域服务路由和跨区域访问控制参数后，将这些计算结果进行汇聚，得到各区域网关的服务路由以及访问控制参数，然后将这些服务路由以及访问控制参数推送给对应的区域网关，从而实现多网络区域的服务路由和访问控制参数的动态更新。

此外，本实施例中，为了实现对各区域网关的统一管理，还设有一中央控制模块，通过中央控制模块来控制多网络区域的服务路由和访问控制参数动态更新方法的自动执行，从而计算得到各区域网络的服务路由和访问控制参数。中央控制模块在计算得到各区域网络的服务路由和访问控制参数后，采用定时推送方式定时将计算得到的服务路由和访问控制参数推送给对应的区域网关，从而实现多网络区域服务路由和访问控制参数的动态更新。

本实施例中，中央控制模块还支持多种服务注册与发现机制，除了支持kubernetes、zookeeper等主流服务注册与发现方案，还支持某些特殊服务的endpoint注册方案，以获取到更丰富的区域服务信息。

本说明书中还提供一种存储有计算机程序代码的计算机可读介质，该计算机程序代码在由处理器执行时实现如上所述的多网络区域的服务路由和访问控制参数动态更新方法。

本说明书中还提供一种多网络区域的服务路由和访问控制参数动态更新装置，包括于存储可由处理器执行的指令存储器，以及用于执行指令存储器中的指令以实现如上所述的多网络区域的服务路由和访问控制参数动态更新方法的处理器。

提供对本公开的先前描述是为使得本领域任何技术人员皆能够制作或使用本公开。对本公开的各种修改对本领域技术人员来说都将是显而易见的，且本文中所定义的普适原理可被应用到其他变体而不会脱离本公开的精神或范围。由此，本公开并非旨在被限定于本文中所描述的示例和设计，而是应被授予与本文中所公开的原理和新颖性特征相一致的最广范围。

本领域技术人员将进一步领会，结合本文中所公开的实施例来描述的各种解说性逻辑板块、模块、电路、和算法步骤可实现为电子硬件、计算机软件、或这两者的组合。为清楚地解说硬件与软件的这一可互换性，各种解说性组件、框、模块、电路、和步骤在上面是以其功能性的形式作一般化描述的。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。技术人员对于每种特定应用可用不同的方式来实现所描述的功能性，但这样的实现决策不应被解读成导致脱离了本发明的范围。

结合本文所公开的实施例描述的各种解说性逻辑板块、模块、和电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立的门或晶体管逻辑、分立的硬件组件、或其设计成执行本文所描述功能的任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，该处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以被实现为计算设备的组合，例如DSP与微处理器的组合、多个微处理器、与DSP核心协作的一个或多个微处理器、或任何其他此类配置。

结合本文中公开的实施例描述的方法或算法的步骤可直接在硬件中、在由处理器执行的软件模块中、或在这两者的组合中体现。软件模块可驻留在RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动盘、CD-ROM、或本领域中所知的任何其他形式的存储介质中。示例性存储介质耦合到处理器以使得该处理器能从/向该存储介质读取和写入信息。在替换方案中，存储介质可以被整合到处理器。处理器和存储介质可驻留在ASIC中。ASIC可驻留在用户终端中。在替换方案中，处理器和存储介质可作为分立组件驻留在用户终端中。

在一个或多个示例性实施例中，所描述的功能可在硬件、软件、固件或其任何组合中实现。如果在软件中实现为计算机程序产品，则各功能可以作为一条或更多条指令或代码存储在计算机可读介质上或藉其进行传送。计算机可读介质包括计算机存储介质和通信介质两者，其包括促成计算机程序从一地向另一地转移的任何介质。存储介质可以是能被计算机访问的任何可用介质。作为示例而非限定，这样的计算机可读介质可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁存储设备、或能被用来携带或存储指令或数据结构形式的合意程序代码且能被计算机访问的任何其它介质。任何连接也被正当地称为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字订户线(DSL)、或诸如红外、无线电、以及微波之类的无线技术从web网站、服务器、或其它远程源传送而来，则该同轴电缆、光纤电缆、双绞线、DSL、或诸如红外、无线电、以及微波之类的无线技术就被包括在介质的定义之中。如本文中所使用的盘(disk)和碟(disc)包括压缩碟(CD)、激光碟、光碟、数字多用碟(DVD)、软盘和蓝光碟，其中盘(disk)往往以磁的方式再现数据，而碟(disc)用激光以光学方式再现数据。上述的组合也应被包括在计算机可读介质的范围内。

Claims (12)

1.一种多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，包括以下步骤：

根据预设的定时任务获取全局服务依赖关系；

遍历各区域动态服务信息，获取当前全局服务信息；

基于获取到的全局服务依赖关系和全局服务信息计算各区域服务的服务路由和访问控制参数；

汇聚各区域网关的跨区域服务路由和跨区域访问控制参数，并向对应区域网关推送服务路由和访问控制参数，然后进入下一轮的定时任务中。

2.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法设有一配置数据库，用以存储全局服务依赖关系；其中，所述全局服务依赖关系包括各区域网关的依赖服务和被依赖服务，所述多网络区域的服务路由和访问控制参数动态更新方法基于全局服务依赖关系确定各区域网关的访问控制信息。

3.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法在遍历各区域动态服务信息时，首先判断当前区域是否是容器化区域，若是，则从kubernetes集群获取对应的动态服务信息；若否，则从zookeeper集群获取对应的动态服务信息。

4.根据权利要求3所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法获取到各区域动态服务信息后，将获取到的各区域动态服务信息写入到区域服务缓存中进行存储，从而得到当前全局服务信息。

5.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述全局服务信息包括各区域所有服务信息，所述多网络区域的服务路由和访问控制参数动态更新方法基于全局服务信息确定各区域网关当前服务路由；其中，各区域网关的服务路由包括本区域路由和跨区域路由。

6.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法计算各区域服务的服务路由时，基于全局服务依赖关系和全局服务信息来遍历各区域服务的依赖服务，并判断各区域服务的依赖服务是否在本区域；若是，则进入下一循判断对应区域服务的依赖服务是否在本区域；若否，则根据对应区域的依赖服务所在区域计算生成跨区域服务路由。

7.根据权利要求4所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法计算得到各区域的跨区域服务路由后，基于计算得到的跨区域服务路由在各区域为同一逻辑大区的其他子区域服务创建跨区服务路由，从而实现同一逻辑大区内各子区域服务的互联互通。

8.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法计算各区域服务的访问控制参数时，基于全局服务依赖关系和全局服务信息遍历各区域服务的被依赖服务，判断各区域服务的被依赖服务是否在本区域；若是，则进入下一循环的判断对应区域服务的被依赖服务是否在本区域；若否，则根据被依赖服务所在区域计算生成跨区域访问控制参数。

9.根据权利要求1所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述多网络区域的服务路由和访问控制参数动态更新方法还设有一中央控制模块，通过中央控制模块控制多网络区域的服务路由和访问控制参数动态更新方法的自动执行，从而计算得到各区域网络的服务路由和访问控制参数。

10.根据权利要求9所述的多网络区域的服务路由和访问控制参数动态更新方法，其特征在于，所述中央控制模块计算得到各区域网络的服务路由和访问控制参数后，采用定时推送方式定时将计算得到的服务路由和访问控制参数推送给对应的区域网关，从而实现多网络区域服务路由和访问控制参数的动态更新。

11.一种存储有计算机程序代码的计算机可读介质，其特征在于，所述计算机程序代码在由处理器执行时实现如权利要求1-10任一项所述的方法。

12.一种多网络区域的服务路由和访问控制参数动态更新装置，其特征在于，包括：

存储器，用于存储可由处理器执行的指令；以及

处理器，用于执行所述指令以实现如权利要求1-10任一项所述的方法。