CN117792786A - 防火墙虚拟化的处理方法及装置 - Google Patents

Abstract

本申请提供一种防火墙虚拟化的处理方法及装置，其中，所述装置包括业务模块和设备接口；所述业务模块设有若干个所述设备接口；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。所述方法通过创建所述实例并初始化所述实例的业务表，所述业务表包括会话表、策略表以及路由表；再设置所述实例和所述设备接口的对应关系；根据报文进入的所述设备接口，以设置所述报文所属的所述实例ID；再根据所述实例ID获取会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务，进而实现在一台设备上完成不同业务的安全隔离和访问控制，以解决不能快捷方便地支持用户虚拟化需求的问题。

Description

防火墙虚拟化的处理方法及装置

技术领域

本申请涉及计算机安全技术领域，尤其涉及一种防火墙虚拟化的处理方法及装置。

背景技术

防火墙是一种计算机网络安全系统，用于限制进出专用网络或专用网络内的互联网流量。通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性。

防火墙虚拟化是将一台物理防火墙从逻辑上划分为多台虚拟防火墙。随着用户业务的发展，防火墙虚拟化管理功能愈发重要。相关技术中的防火墙虚拟化的处理装置尽管可提高防火墙的灵活性和可管理性，但仍需要对网络环境进行调整，无法在一台设备上完成不同业务的安全隔离和访问控制，不能快捷方便地支持用户虚拟化需求。

发明内容

本申请提供一种防火墙虚拟化的处理方法及装置，以解决不能快捷方便地支持用户虚拟化需求的问题。

本申请第一方面提供一种防火墙虚拟化的处理方法，所述方法包括：

创建实例并初始化所述实例的业务表；其中，所述业务表包括会话表、策略表以及路由表；

设置所述实例和设备接口的对应关系；

根据报文进入的所述设备接口，设置所述报文所属的实例ID；

根据所述实例ID，获取会话表句柄；

根据所述会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务。

上述方法根据报文进入的所述设备接口设置实例ID，以形成隔离的虚拟防火墙。用户根据业务创建不同的所述实例并绑定所述设备接口。依据报文入口确定进入对应的所述实例处理，即可在一台设备上完成不同业务的安全隔离和访问控制，解决不能快捷方便地支持用户虚拟化需求的问题。

可选的，所述实例为多个，每个所述实例均设有会话实例、策略实例以及路由实例；所述会话表设置在所述会话实例中；所述策略表设置在所述策略实例中；所述路由表设置在所述路由实例中。

所述实例为多个，便于用户根据业务不同以创建不同的所述实例。所述实例设有会话实例、策略实例以及路由实例，以便隔离所述处理装置的各个模块。

可选的，设置所述实例和设备接口的对应关系后，所述方法还包括：

在所述策略实例中预先配置控制策略；

所述控制策略包括不被允许通过控制策略和被允许通过控制策略。

上述方法通过预先配置的所述控制策略快速决定哪些网络连接可以通过防火墙，并且所述控制策略可以根据用户需求自定义配置。

可选的，所述方法还包括：

当所述报文进入所述会话实例时，根据所述会话表句柄，在所述会话表中创建会话；

根据所述控制策略，判断所述报文是否允许通过；

若所述报文不允许通过，在所述会话中标记所述报文不允许通过；

若所述报文允许通过，在所述会话中标记所述报文允许通过。

上述方法通过标记所述报文，便于后续更加快速地判断会话表句柄相同的报文。

可选的，所述方法还包括：

根据所述预先配置控制策略，在所述路由实例中配置路由出口；

若所述报文允许通过，在所述会话实例中获取所述报文；

从所述路由出口转发所述报文。

上述方法通过将允许通过的报文转发到路由出口，进而快速转发至目标地址。

可选的，设置所述实例和设备接口的对应关系，包括：一个所述实例对应两个所述设备接口或一个所述实例对应多个所述设备接口。

可选的，所述方法还包括：

无需所述实例时，根据所述实例获取所述实例对应的实例删除接口；

通过所述实例删除接口销毁所述实例并清除所述实例中的业务表。

所述实例删除接口可快速且完整地销毁所述实例。

本申请第二方面提供一种防火墙虚拟化的处理装置，用于执行第一方面所述的防火墙虚拟化的处理方法，所述处理装置包括：业务模块和设备接口；

所述业务模块设有若干个所述设备接口，所述设备接口用于创建实例；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。

通过将防火墙的各业务模块进行实例封装，由实例ID与设备接口绑定，即形成隔离的虚拟防火墙，用户根据业务创建不同的所述实例并绑定所述设备接口。依据报文入口确定进入对应的所述实例处理，即可在一台设备上完成不同业务的安全隔离和访问控制，解决不能快捷方便地支持用户虚拟化需求的问题。

可选的，所述业务模块包括会话模块、控制策略模块以及路由模块；

所述控制策略模块分别与所述会话模块和所述路由模块通信连接；所述控制策略模块用于创建策略实例并初始化所述策略实例的策略表；所述会话模块用于创建会话实例并初始化所述会话实例的会话表；所述路由模块用于创建路由实例并初始化所述路由实例的路由表。

可选的，所述处理装置还包括实例删除接口；所述实例删除接口用于销毁所述实例并清除所述业务表。

所述实例删除接口可快速且完整地销毁所述实例。

由以上技术方案可知，本申请提供一种防火墙虚拟化的处理方法及装置，所述装置包括业务模块和设备接口；所述业务模块设有若干个所述设备接口；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。所述方法通过创建所述实例并初始化所述实例的业务表，其中，所述业务表包括会话表、策略表以及路由表；再设置所述实例和所述设备接口的对应关系；根据报文进入的所述设备接口，以设置所述报文所属的所述实例ID；再根据所述实例ID获取会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务，进而实现在一台设备上完成不同业务的安全隔离和访问控制，以解决不能快捷方便地支持用户虚拟化需求的问题。

附图说明

为了更清楚地说明本申请的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例所述的防火墙虚拟化的处理方法的流程图；

图2为本申请实施例所述的防火墙虚拟化的处理方法中策略和会话方法的流程图；

图3为本申请实施例所述的防火墙虚拟化的处理方法中路由方法的流程图；

图4为本申请实施例所述的防火墙虚拟化的处理方法中实例删除的流程图；

图5为本申请实施例所述的防火墙虚拟化的处理装置内部关系示意图。

具体实施方式

下面将详细地对实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下实施例中描述的实施方式并不代表与本申请相一致的所有实施方式。仅是与权利要求书中所详述的、本申请的一些方面相一致的系统和方法的示例。

防火墙是一种计算机网络安全系统，用于限制进出专用网络或专用网络内的互联网流量。通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性。

虚拟化是一种计算机技术，它允许在一台物理计算机上创建多个虚拟的逻辑计算环境。通过虚拟化，可以将一台物理计算机划分为多个独立的虚拟机，每个虚拟机都可以运行自己的操作系统和应用程序。

防火墙虚拟化是将一台物理防火墙从逻辑上划分为多台虚拟防火墙。随着用户业务的发展，防火墙虚拟化管理功能愈发重要。相关实施例中的防火墙虚拟化的处理装置尽管可提高防火墙的灵活性和可管理性，但仍需要对网络环境进行调整，无法在一台设备上完成不同业务的安全隔离和访问控制，不能快捷方便地支持用户虚拟化需求。

为解决不能快捷方便地支持用户虚拟化需求的问题，参见图1，图1为一种防火墙虚拟化的处理方法的流程图。本申请部分实施例提供一种防火墙虚拟化的处理方法，所述方法包括：

S100：创建实例并初始化所述实例的业务表。

其中，所述业务表包括会话表、策略表以及路由表。

S200：设置所述实例和设备接口的对应关系。

S300：根据报文进入的所述设备接口，设置所述报文所属的实例ID。

S400：根据所述实例ID，获取会话表句柄。

S500：根据所述会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务。

应当理解的是，一个实例相当于一个虚拟防火墙。上述方法根据报文进入的所述设备接口设置实例ID，以形成隔离的虚拟防火墙。用户根据业务创建不同的所述实例并绑定所述设备接口。依据报文入口确定进入对应的所述实例处理，即可在一台设备上完成不同业务的安全隔离和访问控制，解决不能快捷方便地支持用户虚拟化需求的问题。

在一些实施例中，所述实例为多个，每个所述实例均设有会话实例、策略实例以及路由实例；所述会话表设置在所述会话实例中；所述策略表设置在所述策略实例中；所述路由表设置在所述路由实例中。

所述实例为多个，便于用户根据业务不同以创建不同的所述实例。所述实例设有会话实例、策略实例以及路由实例，以便隔离所述处理装置的各个模块。

在一些实施例中，参见图2，图2为一种防火墙虚拟化的处理方法中策略和会话方法的流程图。设置所述实例和设备接口的对应关系后，所述方法还包括：

S600：在所述策略实例中预先配置控制策略。

所述控制策略包括不被允许通过控制策略和被允许通过控制策略。

例如，在虚拟系统1中，可在策略实例1中配置控制策略11，对访问目的网络10.10.10.10的流量不被允许通过；配置控制策略12，对访问网络162.10.10.10网络的流量允许通过。在虚拟系统2中，可在策略实例2中配置控制策略21，对访问目的网络10.10.10.10的流量允许通过；配置控制策略22，对访问网络162.10.10.10网络的流量不被允许通过。

应当理解的是，所述控制策略可根据用户需求自定义配置。如通过源IP地址、目标IP地址或端口号进行配置。通过预先配置的所述控制策略不仅可快速决定哪些网络连接可以通过防火墙，还更满足用户对自定义的需求。

在一些实施例中，再次参见图2，所述方法还包括：

S710：当所述报文进入所述会话实例时，根据所述会话表句柄，在所述会话表中创建会话。

S720：根据所述控制策略，判断所述报文是否允许通过。

S730：若所述报文不允许通过，在所述会话中标记所述报文不允许通过。

S740：若所述报文允许通过，在所述会话中标记所述报文允许通过。

例如，当用户通过虚拟系统1访问10.10.10.10的时候，会话实例1中会建立会话1，在策略实例1中，将所述报文与控制策略11进行匹配，由于控制策略11对访问目的网络10.10.10.10的流量不被允许通过，故可在会话1上记录标记所述报文不允许通过。后续遇到与会话1相同的流量，都不被允许通过。进而更加快捷方便地进行安全隔离和访问控制。当用户通过虚拟系统2访问10.10.10.10的时候，会话实例2中会建立会话2，在策略实例2中，将所述报文与控制策略21进行匹配，由于控制策略21对访问目的网络10.10.10.10的流量允许通过，故可在会话2上记录标记所述报文允许通过。后续遇到与会话2相同的流量，都允许通过。进而更加快捷方便地进行安全隔离和访问控制。

上述方法通过标记所述报文，便于后续更加快速地判断会话表句柄相同的报文。在一些实施例中，可根据所述会话中标记后报文，设置标记后报文所属的实例ID；根据所述实例ID，获取标记后的会话表句柄；再根据所述标记后的会话表句柄，判断所述报文是否允许通过。

在一些实施例中，参见图3，图3为一种防火墙虚拟化的处理方法中路由方法的流程图。所述方法还包括：

S810：根据所述预先配置控制策略，在所述路由实例中配置路由出口。

S820：若所述报文允许通过，在所述会话实例中获取所述报文。

S830：从所述路由出口转发所述报文。

例如，当用户通过虚拟系统1访问的时候，在策略实例1中配置控制策略12，对访问目的网络162.10.10.10的流量允许通过的同时，可在路由实例1中配置162.10.10.10的路由出口ge2。当用户通过虚拟系统2访问的时候，在策略实例2中配置控制策略22，对访问目的网络162.10.10.10的流量不允许通过的同时，可在路由实例2中配置10.10.10.10的路由出口ge4。

上述方法通过将允许通过的报文转发到路由出口，进而快速转发至目标地址。

在一些实施例中，设置所述实例和设备接口的对应关系，包括：一个所述实例对应两个所述设备接口或一个所述实例对应多个所述设备接口。

参见图5，图5为一种防火墙虚拟化的处理装置内部关系示意图。实例1可对应设备接口gel和设备接口ge2；实例2可对应设备接口ge3和设备接口ge4。其中，设备接口gel和设备接口ge3可为报文入口；设备接口ge2和设备接口ge4可为路由出口。

在一些实施例中，参见图4，图4为一种防火墙虚拟化的处理方法中实例删除的流程图。所述方法还包括：

S910：无需所述实例时，根据所述实例获取所述实例对应的实例删除接口。

S920：通过所述实例删除接口销毁所述实例并清除所述实例中的业务表。

所述实例删除接口可快速且完整地销毁所述实例。

与前述防火墙虚拟化的处理方法的部分实施例相对应，本申请部分实施例还提供所述防火墙虚拟化的处理装置的实施例，所述处理装置包括：业务模块和设备接口。

所述业务模块设有若干个所述设备接口，所述设备接口用于创建实例；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。

通过将防火墙的各业务模块进行实例封装，由实例ID与设备接口绑定，即形成隔离的虚拟防火墙，用户根据业务创建不同的实例并绑定所述设备接口。依据报文入口确定进入对应的所述实例处理，即可在一台设备上完成不同业务的安全隔离和访问控制，解决不能快捷方便地支持用户虚拟化需求的问题。

在一些实施例中，所述业务模块包括会话模块、控制策略模块以及路由模块。

所述控制策略模块分别与所述会话模块和所述路由模块通信连接；所述控制策略模块用于创建策略实例并初始化所述策略实例的策略表；所述会话模块用于创建会话实例并初始化所述会话实例的会话表；所述路由模块用于创建路由实例并初始化所述路由实例的路由表。

应当理解的是，所述会话模块主要负责跟踪网络连接和会话状态。它监视网络流量，识别和记录会话的相关信息，例如源IP地址、目标IP地址、端口号等。这些信息可以被用来做一些安全决策，例如允许或拒绝特定的网络连接。所述控制策略模块定义了防火墙的访问控制策略，用于确定哪些网络连接是被允许的，哪些是被禁止的。这些策略可以基于多个因素，例如源IP地址、目标IP地址、端口号、协议类型等进行匹配和过滤。所述路由模块用于负责处理网络数据包的转发和路由。它根据目标IP地址和其他相关信息，决定将数据包发送到哪个网络接口或下一跳路由器。路由模块可以使用静态路由表或动态路由协议来确定最佳路径。

本申请实施例中，因为所述路由模块和所述控制策略模块的不同实例都是相互隔离的，所以可以依据不同实例开通的业务配置不同的控制策略和路由表项。

再次参见图5，例如，在虚拟系统1中，所述控制策略模块可在策略实例1中配置控制策略11，对访问目的网络10.10.10.10的流量不被允许通过；配置控制策略12，对访问网络162.10.10.10网络的流量允许通过，并且所述路由模块可在路由实例1中配置162.10.10.10的路由出口ge2。在虚拟系统2中，所述控制策略模块可在策略实例2中配置控制策略21，对访问目的网络10.10.10.10的流量允许通过；配置控制策略22，对访问网络162.10.10.10网络的流量不被允许通过，并且所述路由模块可在路由实例2中配置10.10.10.10的路由出口ge4。

当用户通过虚拟系统1访问10.10.10.10的时候，所述会话模块可在会话实例1中会建立会话1，在策略实例1中，将所述报文与控制策略11进行匹配，由于控制策略11对访问目的网络10.10.10.10的流量不被允许通过，故可在会话1上记录标记所述报文不允许通过。后续遇到与会话1相同的流量，都不被允许通过。进而更加快捷方便地进行安全隔离和访问控制。当用户通过虚拟系统2访问10.10.10.10的时候，所述会话模块可在会话实例2中会建立会话2，在策略实例2中，将所述报文与控制策略21进行匹配，由于控制策略21对访问目的网络10.10.10.10的流量允许通过，故可在会话2上记录标记所述报文允许通过。后续遇到与会话2相同的流量，都允许通过。所述路由模块将流量送至路由实例2，匹配路由从路由出口ge4转发出去。进而更加快捷方便地进行安全隔离和访问控制。

在一些实施例中，所述处理装置还包括实例删除接口；所述实例删除接口用于销毁所述实例并清除所述业务表。

所述实例删除接口可快速且完整地销毁所述实例。

由以上技术方案可知，本申请实施例提供一种防火墙虚拟化的处理方法及装置，所述装置包括业务模块和设备接口；所述业务模块设有若干个所述设备接口；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。所述方法通过创建所述实例并初始化所述实例的业务表，其中，所述业务表包括会话表、策略表以及路由表；再设置所述实例和所述设备接口的对应关系；根据报文进入的所述设备接口，以设置所述报文所属的所述实例ID；再根据所述实例ID获取会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务，进而实现在一台设备上完成不同业务的安全隔离和访问控制，以解决不能快捷方便地支持用户虚拟化需求的问题。

本申请提供的实施例之间的相似部分相互参见即可，以上提供的具体实施方式只是本申请总的构思下的几个示例，并不构成本申请保护范围的限定。对于本领域的技术人员而言，在不付出创造性劳动的前提下依据本申请方案所扩展出的任何其他实施方式都属于本申请的保护范围。

Claims (10)

1.一种防火墙虚拟化的处理方法，其特征在于，所述方法包括：

创建实例并初始化所述实例的业务表；其中，所述业务表包括会话表、策略表以及路由表；

设置所述实例和设备接口的对应关系；

根据报文进入的所述设备接口，设置所述报文所属的实例ID；

根据所述实例ID，获取会话表句柄；

根据所述会话表句柄，在所述业务表中创建业务，以便在所述业务表中根据相同的所述会话表句柄查找到所述业务。

2.根据权利要求1所述的防火墙虚拟化的处理方法，其特征在于，所述实例为多个，每个所述实例均设有会话实例、策略实例以及路由实例；所述会话表设置在所述会话实例中；所述策略表设置在所述策略实例中；所述路由表设置在所述路由实例中。

3.根据权利要求2所述的防火墙虚拟化的处理方法，其特征在于，设置所述实例和设备接口的对应关系后，所述方法还包括：

在所述策略实例中预先配置控制策略；

所述控制策略包括不被允许通过控制策略和被允许通过控制策略。

4.根据权利要求3所述的防火墙虚拟化的处理方法，其特征在于，所述方法还包括：

当所述报文进入所述会话实例时，根据所述会话表句柄，在所述会话表中创建会话；

根据所述控制策略，判断所述报文是否允许通过；

若所述报文不允许通过，在所述会话中标记所述报文不允许通过；

若所述报文允许通过，在所述会话中标记所述报文允许通过。

5.根据权利要求4所述的防火墙虚拟化的处理方法，其特征在于，所述方法还包括：

根据所述预先配置控制策略，在所述路由实例中配置路由出口；

若所述报文允许通过，在所述会话实例中获取所述报文；

从所述路由出口转发所述报文。

6.根据权利要求1所述的防火墙虚拟化的处理方法，其特征在于，设置所述实例和设备接口的对应关系，包括：一个所述实例对应两个所述设备接口或一个所述实例对应多个所述设备接口。

7.根据权利要求6所述的防火墙虚拟化的处理方法，其特征在于，所述方法还包括：

无需所述实例时，根据所述实例获取所述实例对应的实例删除接口；

通过所述实例删除接口销毁所述实例并清除所述实例中的业务表。

8.一种防火墙虚拟化的处理装置，其特征在于，用于执行权利要求1-7中任意一项所述的防火墙虚拟化的处理方法，所述处理装置包括：业务模块和设备接口；

所述业务模块设有若干个所述设备接口，所述设备接口用于创建实例；所述设备接口与实例ID绑定，用于形成隔离的虚拟防火墙。

9.根据权利要求8所述的防火墙虚拟化的处理装置，其特征在于，所述业务模块包括会话模块、控制策略模块以及路由模块；

所述控制策略模块分别与所述会话模块和所述路由模块通信连接；所述控制策略模块用于创建策略实例并初始化所述策略实例的策略表；所述会话模块用于创建会话实例并初始化所述会话实例的会话表；所述路由模块用于创建路由实例并初始化所述路由实例的路由表。

10.根据权利要求9所述的防火墙虚拟化的处理装置，其特征在于，还包括实例删除接口；所述实例删除接口用于销毁所述实例并清除所述业务表。