CN1277204C - 基于插件技术的设备集中管理方法 - Google Patents

Abstract

本发明涉及一种基于插件技术的设备集中管理方法，包括：控制台模块的插件管理器为控制台中设备的插件配置界面，并显示设备的配置界面；管理中心模块接受配置请求，其插件管理器调用管理中心插件接口，分析存储设备的配置和事件，解开配置数据包，并将配置数据发送到前端机模块；前端机模块接受配置请求，其插件管理器调用前端机插件接口，发送配置数据到设备，并将配置数据发到前端机，获取和控制设备的配置和事件的步骤。本发明可以实现安全系统设备的集中管理，解决向管理系统添加新设备的问题，即使是新设备的新数据，使新设备的加入、管理系统的开发、维护和部署更方便、快捷，系统更为安全。

Description

基于插件技术的设备集中管理方法

技术领域

本发明涉及计算机网络安全管理技术，特别是一种基于插件技术的设备集中管理方法，通过网络对一台或多台设备进行集中管理。属于计算机应用

技术领域。

背景技术

作为安全系统的一部分，安全管理系统担负着集中管理多种不同类型、不同版本的安全设备的任务。网络管理一直是保证网络正常运转的一个重要手段。但是现有网络管理方式存在的安全问题很为明显。从目前来看，大多数网络安全技术仍有待发展，在现有的网络管理架构中引入插件的思想将有助于解决网络管理中存在的安全问题。

插件技术是一种在插件的函数型接口和动态库调用的基础上，为解决用户对软件功能的多样化需求而提出的软件进程内扩展技术。框架结构插件技术在软件实体上是一个插件库，它由库文件、头文件和参考手册文档等组成，插件库采用静态连接库的形式提供。插件库分成两个对称的独立部分：插件客户端库和插件服务器端库。在开发主件和插件时，可静态地连接这个插件库，主件使用插件客户端库提供的接口对象，插件使用插件服务器端库提供的接口对象。当主件和插件合在一起运行时，它们之间通过这两个库之间的接口动态地连接上，这一层接口为插件的底层接口，插件的底层接口是消息形式的，接口两边的所有访问都被综合成一组消息来传递。

在现有技术中，插件式网络管理架构以模块来代替插件，在代理端存在模块，在管理站端则必须存在对应的模块，主要有基本模块对(TM)，它执行传统简单网络协议(SNMP)管理的功能、防火墙模块对(FWM)、入侵检测模块对(IDS)、漏洞扫描模块对(SCANM)。

传统的入侵检测模块(IDS)和防火墙的互动解决方案是在IDS控制台端安装一个面向特定防火墙的插件。IDS需要和防火墙互动时，直接通过此插件请求防火墙按照一定规则修改安全策略。目前可以互动的IDS和防火墙不多，而且即使达到了互动，也由于插件对于IDS和防火墙而言都是特制的，很难实现通用。

由于安全设备的种类很多，而且版本升级非常快，给集中安全管理系统的开发带来了相当大的难度。同时，由于安全管理系统包括多个控制、采集、分析、界面等模块，并且可能分布在多台机器上运行，新设备的加入，给管理系统的开发、维护和部署都带来了很大的工作量。

发明内容

为解决上述问题，本发明的目的在于提供一种基于插件技术的设备集中管理方法，通过分布在不同模块的插件，使新设备可以在不改变原有安全管理系统的情况下，加入到安全管理系统中，被安全管理系统管理。

本发明的另一个目的在于提供一种基于插件技术的设备集中管理方法，当一个安全管理系统中加入了新的设备，或者对原有的设备进行升级以后，只需要对管理系统不同的模块安装这个设备相应的插件，就可以实现对新设备的管理，而不需要升级或重新部署原有的安全管理系统。

本发明采用的技术方案是：基于插件技术的设备集中管理方法，包括以下步骤：

步骤1、控制台模块的插件管理器调用控制台中设备的插件配置界面接口，显示设备的配置界面，并将设备配置界面的数据结果(由插件打包)，发送到管理中心模块；

步骤2、管理中心模块接受配置请求，其插件管理器调用管理中心插件接口，分析存储设备的配置和事件，分析配置数据包，并将配置数据发送到前端机模块；

步骤3、前端机模块接受配置请求，其插件管理器调用前端机插件接口，发送配置数据到设备，并将从设备接受到的配置结果数据发回管理中心。

上述方法的步骤1具体包括以下步骤：

步骤11、控制台模块插件管理器的界面查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，为系统中设备的插件配置设备界面；

步骤12、包装配置数据，获取设备界面的数据配置结果；

步骤13、将配置的数据结果发送到管理中心模块的计算机上。

步骤2的具体实现步骤包括：

步骤21、管理中心模块计算机接受控制台模块发来的配置请求；

步骤22、管理中心插件管理器查找加入管理中心的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，并解开配置数据包；

步骤23、将配置数据发送到前端机模块。

步骤3的具体实现步骤包括：

步骤31、前端机模块计算机接受管理中心模块发来的配置请求；

步骤32、前端机模块的插件管理器查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，并发送配置数据到设备；

步骤33、将配置数据发到前端机。

步骤3中的步骤32进一步包括：

步骤321、解开配置数据包；

步骤322、调用设备的配置接口方法；

步骤323、前端机插件接口接收设备配置的结果数据并打包。

所说的插件具有分布式的标准接口，在管理中心、控制台和前端机的模块中都定义了一组标准插件接口；每个设备的一套插件都定义有一组供该组插件自身使用的数据和控制交换格式。

插件管理器对不同模块插件进行查找、加载、实例化，在插件之间进行数据传输和控制。

所说的插件标准接口至少包括识别插件对应的设备类型、识别插件所在模块、识别插件版本接口，每个模块和插件接口均在其设备中设有缓存，并定义有缓存的最大长度，插件版本号字符串、模块类型字符串、每个设备的设备号分别保存在所述的设备的缓存中；插件标准接口还包括一个输出控制对象接口；控制对象接口分别对应不同模块的插件，以适应不同模块所处理的功能的区别，控制对象通过实例化控制对象接口的生成，包括设备数据的导入、导出接口，设备的控制或配置接口、设备数据的分析接口、设备的配置显示界面等。

所说的查找具体是指插件管理器搜索每个需要的插件模块指定的文件目录，查找目录中属于该模块的插件文件，建立插件列表；加载具体是指当要加载设备到安全管理系统中时，插件管理器根据设备的类型号，调入对应的插件文件并加载到系统中；实例化具体是指管理系统调用插件的创建接口，再创建一个设备接口实例，为每个控制接口实例标记一个设备号，使之和这个需要加载的设备对应起来。

所说的插件之间进行的数据传输和控制是通过每个设备插件根据自身的特点定义的一组仅被这个设备插件所使用的用于传输的数据结构来实现；插件之间的数据传输和控制具体是指安全管理系统通过设备的设备号将设备插件的传输数据传递给对应的设备的控制接口实例，控制接口实例接收到这些数据后，再解释为正确的配置数据或控制数据，并执行相应的动作。

上述方法所说的设备号是指IP地址；所说的设备是防火墙。

本发明具有显著的优点和积极效果，每个设备的一组插件定义了一组供这组插件自身使用的数据和控制交换格式，管理系统只负责传输这些数据包，插件解释并执行数据包，这样，即使是新设备的新数据，管理系统也可以很好地处理，可以解决向管理系统添加新设备的问题。使新设备的加入，管理系统的开发、维护和部署方便、快捷，系统更为安全。

附图说明

图1是本发明的软硬件架构图；

图2是本发明的界面配置参数的过程示意图；

图3是本发明的控制台模块的程序流程图；

图4是本发明的管理中心模块的程序流程图；

图5是本发明的前端机模块的程序流程图。

具体实施方式

下面结合附图和较佳实施例对本发明作进一步详细的说明。参阅图1，基于插件技术的设备集中管理方法的系统，包括管理员控制台计算机、系统管理中心计算机和系统的前端机，系统上运行有网络管理软件和插件，管理系统负责传输数据，数据包由插件解释并执行，该系统分为控制台(即界面)、管理中心和前端机三个模块，三个模块分别运行在不同的计算机上，均安装有插件，界面模块显示每种设备的配置界面，管理中心分析、存储设备的配置、设备的事件，前端机直接和设备连接，获取和控制设备的配置，并采集设备的事件。在每个模块中，都要涉及设备的特性，而设备插件也为所在的模块提供对设备的控制和分析的接口。在管理员控制台与系统控制台之间装有控制台模块的防火墙插件，防火墙插件与管理员控制台之间有可交互的界面，设置有各种参数，防火墙插件可向系统控制台配置数据包，系统控制台再向系统管理中心计算机配置数据包，系统管理中心向管理中心模块的防火墙插件和系统前端机配置数据包，系统前端机模块的防火墙插件接受到数据包，设置防火墙的配置。

参阅图2，用户交互模块7和设备控制模块15之间的设备控制，管理员控制台1装有设备9和设备8模块的插件2和3，插件2、3有接口实例4和5，它们通过设备访问接口6与管理中心和前端机交互。

设备控制模块15中，设备8、9有插件10、11，该两个插件有接口实例12、13，它们通过设备访问接口14，实现设备的控制和数据的交互。

本发明的工作步骤是：

首先，参见图3，控制台模块的插件管理器为控制台中设备的插件配置界面，并显示设备的配置界面，将设备界面的数据配置结果发送到管理中心模块；控制台模块插件管理器的界面查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，为系统中设备的插件配置设备界面，包装配置数据，获取设备界面的数据配置结果，将配置的数据结果发送到管理中心模块的计算机上；

接着，参见图4，管理中心模块接受配置请求，其插件管理器调用管理中心插件接口，分析存储设备的配置和事件，解开配置数据包，并将配置数据发送到前端机模块；

管理中心模块计算机接受控制台模块发来的配置请求，管理中心插件管理器查找加入管理中心的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，并解开配置数据包，将配置数据发送到前端机模块。

最后，参见图5，前端机模块接受配置请求，其插件管理器调用前端机插件接口，发送配置数据到设备，并将配置数据发到前端机，获取和控制设备的配置和事件。

前端机模块计算机接受管理中心模块发来的配置请求，前端机模块的插件管理器查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，解开配置数据包，调用设备的特定方法，前端机插件接口接收设备配置的结果数据并打包，发送配置数据到设备，将配置数据发到前端机。

较佳实施例：实现上述方法首先要定义一套分布式的插件标准接口。这套接口包括识别插件对应的设备类型，识别插件所在模块如控制、采集、分析，界面模块，识别插件版本的接口，和一个输出控制对象的接口。控制对象接口是标准接口的主要内容，控制对象在不同模块的插件上是不同的，以适应不同模块所处理的功能的区别。通常，这些接口包括设备数据的导入、导出接口，设备的控制或配置接口，设备数据的分析接口，设备的配置显示界面等。控制对象通过控制对象接口被实例化，每次实例化，都会生成一个独立的设备接口，这样，就可以独立地管理一个设备，而不会和其他相同类型的设备发生干扰。

插件标准接口至少包括识别插件对应的设备类型、识别插件所在模块、识别插件版本接口，以及不同设备的虚接口对象，插件接口能返回设备插件的版本号、返回设备插件所对应的模块类型、返回设备号、返回一个设备插件访问接口实例，通过这个接口，实现每种设备特有的数据和操作。在每个设备中设有缓存，并定义有缓存的最大长度，保存所说的插件版本号字符串、模块类型字符串和每个设备的设备号。

然后通过插件管理器，对不同的插件进行查找、加载和实例化。在安全管理系统中，每个需要插件的模块都有一个插件管理器，插件管理器搜索指定的文件目录，查找目录中属于这个模块的插件文件，建立插件列表。当这个设备需要加载到安全管理系统中时，根据设备的类型号，插件管理器调入对应的插件文件加载到系统中，管理系统调用插件的创建接口，并创建一个接口的创建接口实例，和这个需要加载的设备对应起来。这样，在各个模块中，通过为每个控制接口实例标记一个设备号，所有对于这个设备的操作就转化为对这个接口实例的操作，相同类型的设备都拥有相同的插件的控制接口实例。这个实例化方法，在软件上实现起来比较容易，而且也比较稳定，不容易因为设备的不同而发生变化。

之后，在不同模块的设备插件之间传输数据和进行控制。先为每个需要管理的安全设备编写一组设备插件，这组设备插件将被部署在安全管理系统各个模块中。由于部署在系统的不同部分，需要在这些设备插件之间传递数据和控制。由于不同的设备有着不同的数据，而且也很难预测将来新加入的设备会有什么样的数据，因此，管理系统不需要定义这些数据的结构，只提供传输这些数据的机制，而是由每个设备的插件根据自身的特点定义一组仅被这个设备插件所使用的用于传输的数据结构。通过设备的设备号，例如IP地址，安全管理系统可以准确地将设备插件的传输数据传递给对应的设备的控制接口实例，而不需要去分析这些数据内部的内容。控制接口实例接收到这些数据后，再解释为正确的配置或者控制数据，并执行相应的动作。

在本发明的实施例中，包括一个需要被管理的设备防火墙。以下为以界面部分为例定义的插件标准接口。

界面部分需要显示设备的配置界面。由于不同的设备的配置界面差别很大，因此，设备的配置界面就作为界面设备插件的一部分提供给安全管理系统。除了配置界面，管理系统还需要知道这个设备的控制方法和维护方法，以显示在界面上，因此，界面设备插件还提供设备的控制方法获取接口和维护方法获取接口。

界面部分有模块号，界面部分设备控制接口的定义过程是：通过设备配置对话接口方法创建一个设备配置对话框，通过配置数据输入方法可以将设备的配置数据输入到这个对话框中，而通过输出设备配置数据方法则可以输出经过对话框修改后的设备配置数据。设备控制方法的数量方法和设备控制方法的类型方法可以获取这个设备的控制方法的数量和类型。设备维护方法的数量方法和设备维护方法的类型方法可以获取这个设备维护方法的数量和类型。

在具体实现防火墙的界面插件时，首先生成一个C++类型库(MFC)扩展动态联接库(DLL)，并输出(Export)识别插件对应的设备类型接口、识别插件所在模块接口、识别插件版本接口和输出控制对象的接口。

识别插件对应的设备类型、识别插件所在模块、识别插件版本的接口分别输出版本号、模块号和设备类型号，输出控制对象接口则创建一个设备防火墙类型的设备控制接口实例，设备防火墙则是从界面部分的设备号接口派生的，在插件内部实现。这样，就可以在设备防火墙中实现防火墙的所有数据和操作，而管理系统通过设备号接口就可以实现对防火墙的有效管理。

在插件内部，类防火墙设备重载了设备号接口，实现了设备号接口的全部方法。例如，创建对话方法，编写了一个复杂的对话框，对话框里实现了对防火墙全部配置参数的实现和修改界面，在创建对话方法实现里，创建了这个对话框，并输出给管理系统的界面模块。

管理中心和前端机部分关于插件部分的实现方法和界面部分是类似的。如，前端机插件部分的实现方法和界面就包括将配置数据发送给设备的方法和从设备读取配置数据的方法。不同的设备这两种方法不相同。前端机的设备控制接口有一个获取接口和一个设置接口，而获取和设置的实现则在插件内部。对于防火墙来说，接口实现就是解析输入的配置数据包，再转换为相应的互联网超文本传输协议(HTTP)请求，发送给防火墙。

在界面和管理中心，管理中心和前端机之间，都需要传递设备配置和控制数据，对于防火墙来说，配置数据包括各种防火墙参数、规则等，这些数据通过前端机从防火墙上得到，传输给管理中心，再由管理中心传输给界面。

在本发明的实施例中，每个模块都为每一台被管理的设备建立了一个设备对象，这个对象包含了一个设备号接口。模块根据这个设备的类型，找到对应的插件，如防火墙插件，然后调用插件的创建接口，创建一个防火墙的访问接口，分配给这个设备对象。这样，一个设备对象通过这个设备号接口就和一个设备绑定了。

本发明通过设备配置数据的数据包来传输配置数据，该数据包是一个二进制数据包，对于管理系统来说，不需要了解其中到底包含了哪些数据，这样，管理系统的编写就不需要考虑设备的具体情况，只需要按照设备的一般性属性来编写。

当界面模块收到某个设备的配置数据包时，只需要调用接口设备号接口的数据输入方法。如果这个接口是防火墙插件的一个控制接口实例，那么，接口的数据输入方法就会指向这个防火墙的界面插件的数据输入方法，然后解析配置数据包的内容，并显示到相关联的对话框界面上。

用户通过界面修改配置完成后，管理系统调用设备号接口的输出数据方法。这个接口被指向了防火墙界面插件的数据输出方法。这样，就可从关联的对话框上取得用户修改的结果，并按照属于插件本身确定的格式写到设备配置数据中，最后输出到管理系统中，形成一个配置数据包。界面模块将这个配置数据包发送给管理中心，再由管理中心发送给前端机。

最后所应说明的是：以上实施例仅用以说明而非限制本发明的技术方案，尽管参照上述实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：依然可以对本发明进行修改或者等同替换，而不脱离本发明的精神和范围的任何修改或局部替换，其均应涵盖在本发明的权利要求范围当。

Claims (19)

1、基于插件技术的设备集中管理方法，其特征在于：该方法包括以下步骤：

步骤1、控制台模块的插件管理器为控制台中设备的插件配置界面，并显示设备的配置界面，将设备界面的数据配置结果发送到管理中心模块；

步骤2、管理中心模块接受配置请求，其插件管理器调用管理中心插件接口，分析存储设备的配置和事件，解开配置数据包，并将配置数据发送到前端机模块；

步骤3、前端机模块接受配置请求，其插件管理器调用前端机插件接口，发送配置数据到设备，并将配置数据发到前端机，获取和控制设备的配置和事件。

2、根据权利要求1所述的基于插件技术的设备集中管理方法，其特征在于：步骤1具体包括以下步骤：

步骤11、控制台模块插件管理器的界面查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，为系统中设备的插件配置设备界面；

步骤12、包装配置数据，获取设备界面的数据配置结果；

步骤13、将配置的数据结果发送到管理中心模块的计算机上。

3、根据权利要求1或2所述的基于插件技术的设备集中管理方法，其特征在于：步骤2的具体实现步骤包括：

步骤21、管理中心模块计算机接受控制台模块发来的配置请求；

步骤22、管理中心插件管理器查找加入管理中心的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，并解开配置数据包；

步骤23、将配置数据发送到前端机模块。

4、根据权利要求3所述的基于插件技术的设备集中管理方法，其特征在于：步骤3的具体实现步骤包括：

步骤31、前端机模块计算机接受管理中心模块发来的配置请求；

步骤32、前端机模块的插件管理器查找加入设备的插件文件，加载设备到安全管理系统，调用插件的创建接口和接口实例，并发送配置数据到设备；

步骤33、将配置数据发到前端机。

5、根据权利要求4所述的基于插件技术的设备集中管理方法，其特征在于：步骤32进一步包括：

步骤321、解开配置数据包；

步骤322、调用设备的特定方法；

步骤323、前端机插件接口接收设备配置的结果数据并打包。

6、根据权利要求1、2、4、5任一权利要求所述的基于插件技术的设备集中管理方法，其特征在于：所说的插件具有分布式的标准接口。

7、根据权利要求1、2、4、5任一权利要求所述的基于插件技术的设备集中管理方法，其特征在于：所述的插件都定义有一组供该组插件自身使用的数据和控制交换格式。

8、根据权利要求1、2、4、5任一权利要求所述的基于插件技术的设备集中管理方法，其特征在于：通过插件管理器对不同模块插件进行查找、加载、实例化，在插件之间进行数据传输和控制。

9、根据权利要求6所述的基于插件技术的设备的集中管理方法，其特征在于：所说的插件标准接口至少包括识别插件对应的设备类型、识别插件所在模块、识别插件版本接口；每个模块和插件接口均在其设备中设有缓存，并定义有缓存的最大长度，插件版本号字符串、模块类型字符串、每个设备的设备号分别保存在所述的设备的缓存中。

10、根据权利要求9所述的基于插件技术的设备的集中管理方法，其特征在于：所说的对插件所在模块的识别包括对插件的控制、采集、分析。

11、根据权利要求6所述的基于插件技术的设备的集中管理方法，其特征在于：所说的插件标准接口还包括一个输出控制对象接口。

12、根据权利要求11所述的基于插件技术的设备的集中管理方法，其特征在于：所述的控制对象接口分别对应不同模块的插件，以适应不同模块所处理的功能的区别，控制对象通过实例化控制对象接口的生成，包括设备数据的导入、导出接口，设备的控制或配置接口、设备数据的分析接口、设备的配置显示界面等。

13、根据权利要求8所述的基于插件技术的设备的集中管理方法，其特征在于：所说的查找具体是指插件管理器搜索每个需要的插件模块指定的文件目录，查找目录中属于该模块的插件文件，建立插件列表。

14、根据权利要求8所述的基于插件技术的设备的集中管理方法，其特征在于：所说的加载具体是指当要加载设备到安全管理系统中时，插件管理器根据设备的类型号，调入对应的插件文件并加载到系统中。

15、根据权利要求8所述的基于插件技术的设备的集中管理方法，其特征在于：所说的实例化具体是指管理系统调用插件的创建接口，再创建一个设备接口实例，为每个控制接口实例标记一个设备号，使之和这个需要加载的设备对应起来。

16、根据权利要求8所述的基于插件技术的设备的集中管理方法，其特征在于：所说的插件之间进行的数据传输和控制是通过每个设备插件根据自身的特点定义的一组仅被这个设备插件所使用的用于传输的数据结构来实现。

17、根据权利要求16所述的基于插件技术的设备的集中管理方法，其特征在于：所说的插件之间的数据传输和控制具体是指安全管理系统通过设备的设备号将设备插件的传输数据传递给对应的设备的控制接口实例，控制接口实例接收到这些数据后，再解释为正确的配置数据或控制数据，并执行相应的动作。

18、根据权利要求17所述的基于插件技术的设备的集中管理方法，其特征在于：所说的设备号是指IP地址。

19、根据权利要求17所述的基于插件技术的设备的集中管理方法，其特征在于：所说的设备是防火墙。

Images