利索能及
我要发布
收藏
专利号: 2018110235181
申请人: 平安科技(深圳)有限公司
专利类型:发明专利
专利状态:已下证
更新日期:2026-06-16
缴费截止日期: 暂无
联系人

摘要:

权利要求书:

1.一种防火墙实现方法,其特征在于,所述方法包括:

接收第一OpenFlow交换机转发到预设防火墙的会话数据包,所述会话数据包由所述第一OpenFlow交换机按照第一流表策略转发,所述会话数据包由所述第一OpenFlow交换机从外部网络获取,所述预设防火墙包含于防火墙资源池,所述防火墙资源池是一种透明墙防火墙资源池,其中,防火墙资源池为将多个防火墙资源池化,是多个防火墙之间的组成结构,所述防火墙资源池中的防火墙具有相同策略,且由控制器监控所述防火墙的状态;其中,所述将多个防火墙资源池化,是通过OpenFlow交换机,由流表控制同一个会话的所述会话数据包进出都在同一台防火墙进行实现;

接收到所述会话数据包后,按照所述预设防火墙的预设策略判断所述会话数据包是否需要转发到内部网络中;以及若所述会话数据包需要转发到内部网络中,将所述会话数据包发送到第二OpenFlow交换机,以使所述第二OpenFlow交换机按照第二流表策略转发所述会话数据包到内部网络中,以完成对所述会话数据包的处理,其中,所述第一流表策略和所述第二流表策略相同,由所述控制器下发流表至所述第一OpenFlow交换机与所述第二OpenFlow交换机;

接受控制器监控,以使所述控制器根据所述防火墙资源池里防火墙的状态,通过流表根据预设规则调整所述防火墙资源池里防火墙的负载;

所述接受控制器监控,以使所述控制器根据所述防火墙资源池里防火墙的状态,通过流表根据预设规则调整所述防火墙资源池里防火墙的负载的步骤包括:接受控制器监控,以使若所述控制器判断所述防火墙资源池中的一台防火墙处理所述会话数据包的数量达到所述防火墙的预设阈值,通过流表将新建会话的会话数据包切换到所述防火墙资源池中的其他防火墙处理;

其中,所述防火墙处理所述会话数据包的数量达到所述防火墙的预设阈值时,控制器将所述防火墙进行异常情况判定,判定结果包括出现故障以及出现性能瓶颈;

其中,所述切换到其他防火墙处理的步骤包括:若控制器判定防火墙资源池中的防火墙出现异常情况判定,包括出现故障以及出现性能瓶颈的判定,则下发流表给第一OpenFlow交换机和第二OpenFlow交换机,避免出现故障的防火墙或者出现性能瓶颈的防火墙处理会话数据包,将所述会话数据包通过防火墙资源池中的其他防火墙处理。

2.根据权利要求1所述防火墙实现方法,其特征在于,所述防火墙资源池包括防火墙组,所述防火墙组包括主防火墙和从防火墙。

3.根据权利要求2所述防火墙实现方法,其特征在于,所述防火墙资源池包括多组防火墙组。

4.根据权利要求2或者3所述防火墙实现方法,其特征在于,所述主防火墙和所述从防火墙为不同型号的防火墙。

5.根据权利要求1所述防火墙实现方法,其特征在于,所述方法还包括以下步骤:

接收所述内部网络中发送的所述会话数据包的回包,所述回包由所述第二OpenFlow交换机通过匹配流表项的方式转发到与处理所述会话数据包同一个防火墙中,以完成对所述回包的处理。

6.一种防火墙实现装置,其特征在于,包括用于执行如权利要求1‑5任一项所述防火墙实现方法的单元。

7.一种计算机设备,其特征在于,所述计算机设备包括存储器以及与所述存储器相连的处理器;所述存储器用于存储计算机程序;所述处理器用于运行所述存储器中存储的计算机程序,以执行如权利要求1‑5任一项所述防火墙实现方法的步骤。

8.一种计算机可读存储介质,其特征在于,所述存储介质存储有计算机程序,所述计算机程序被处理器执行时使所述处理器执行如权利要求1‑5中任一项所述防火墙实现方法的步骤。