[go: up one dir, main page]

WO2014154040A1 - 访问控制方法及设备、系统 - Google Patents

访问控制方法及设备、系统 Download PDF

Info

Publication number
WO2014154040A1
WO2014154040A1 PCT/CN2014/070715 CN2014070715W WO2014154040A1 WO 2014154040 A1 WO2014154040 A1 WO 2014154040A1 CN 2014070715 W CN2014070715 W CN 2014070715W WO 2014154040 A1 WO2014154040 A1 WO 2014154040A1
Authority
WO
WIPO (PCT)
Prior art keywords
network data
network
data flow
data stream
security domain
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2014/070715
Other languages
English (en)
French (fr)
Inventor
王雨晨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of WO2014154040A1 publication Critical patent/WO2014154040A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Definitions

  • the present invention relates to the field of computer and communication technologies, and in particular, to an access control method, device, and system.
  • the "multi-instance" of a security device means that in a security application scenario such as cloud computing, multiple tenants share a security device, and each tenant can set its own security policy according to its own needs without worrying about other security policies.
  • the tenant's security policy conflicts with the technology.
  • a physical security device needs to be divided into multiple logical security devices for use. Multiple logical security devices can be configured with separate security policies.
  • network traffic of different logical security devices is isolated by default.
  • the system will use the virtual local area network ID (Vlan ID) / multi-protocol label switching and virtual private network label (; Multi-Protocol Label Switching Virtual Private Network, MPLS VPN), the virtual ingress interface to determine the virtual firewall to which the data flow belongs (ie: which tenant this traffic belongs to).
  • Vlan ID virtual local area network ID
  • MPLS VPN Multi-Protocol Label Switching Virtual Private Network
  • the current security devices support the network isolation technology (such as virtual local area network/virtual private network, VLAN/VPN) in the security device itself to achieve the above functions.
  • network isolation technology such as virtual local area network/virtual private network, VLAN/VPN
  • firewall devices are mostly based on VLANs or VPNs to implement "multi-instance", that is, firewall ports need to set virtual ports for different VLANs or VPNs, and then set corresponding security policies for each virtual port (where the security policy includes data).
  • the traffic attribute is bound to the virtual port. Therefore, when the firewall receives the network data flow, it finds the corresponding security policy according to the data flow attribute.
  • the virtual port processes the data stream.
  • the embodiments of the present invention provide an access control method, device, and system, which are used to avoid a virtual port of a network isolation technology supported by a security device itself when a multi-tenant shares a security device (such as: VLAN virtual port) or network isolation technology (such as VLAN/VPN technology, etc.).
  • the present application provides an access control method, device, and system, which can correspond to different tenant security policies according to conventional network data flow attributes, and aims to solve multiple tenants without relying on specific technologies such as VLAN/VPN. Sharing a security device does not affect each other.
  • the first aspect provides an access control method, including: after receiving a network data flow, the network traffic processing device requests, from the policy management device, a control behavior corresponding to the network data flow, where the control behavior includes allowing the network data flow to pass or Blocking the network data stream; the network traffic processing device processes the network data stream according to the control behavior.
  • the requesting, by the policy management device, the control behavior corresponding to the network data flow specifically: the network traffic processing device to the policy management The device sends the data flow, and receives a control behavior returned by the policy management device; or the network traffic processing device extracts an attribute value of the network data flow from the network data flow, and sends the attribute to the policy management device.
  • the attribute value is received, and the control behavior returned by the policy management device is received, where the attribute value includes a source physical port, a virtual local area network identifier, a source network hardware address, a target network hardware address, a source IP address, a target IP address, and a source transmission control protocol. At least one attribute value in the port, target transport control protocol port.
  • the second aspect provides an access control method, including: the policy management device receives a network data flow control behavior request from a network traffic processing device, and obtains an attribute value of the network data flow from the request, where the attribute value includes At least one attribute value of a source physical port, a virtual local area network identifier, a source network hardware address, a target network hardware address, a source IP address, a destination IP address, a source transmission control protocol port, and a destination transmission control protocol port;
  • the flow attribute determines a security domain to which the network data flow belongs, and the security domain is a network in which the same tenant adopts the same security policy.
  • the network data stream is processed.
  • the policy management device receives a network data flow control behavior request from a network traffic processing device, and obtains the network data flow from the request Before the step of the attribute, the method further includes: the policy management device generates, according to the security policy information of each tenant, the control policy of each security domain based on the network data flow attribute.
  • the security policy information of each tenant includes at least a security domain identifier, a security domain, and a network data flow attribute.
  • the security policy in the security domain the determining the security domain to which the network data flow belongs according to the attribute value of the network data flow, specifically: according to the correspondence between the security domain and the network data flow attribute, from the The attribute value corresponding to the security domain is extracted from the attribute value of the network data stream; the extracted attribute value is matched with the attribute value corresponding to each security domain, and the security domain to which the network data flow belongs is determined.
  • the corresponding relationship between the security domain and the network data stream attribute includes a security domain and a virtual local area network identifier, and a network hardware address.
  • the network traffic processing device is a switch
  • the policy management device is a controller
  • a network traffic processing device including a requesting module and a processing module, where: the requesting module is configured to request, after receiving a network data flow, a control behavior corresponding to the network data flow to a policy management device, where The controlling behavior includes allowing a network data flow to pass or block the network data flow; the processing module is configured to use the control behavior returned by the policy management device to the network The data stream is processed.
  • the requesting module is configured to send the network data stream or the network data stream extracted from the network data stream to the policy management device And an attribute value, to request, to the policy management device, a control behavior corresponding to the network data flow, where the attribute value includes a source physical port, a virtual local area network identifier, a source network hardware address, a target network hardware address, a source IP address, a target IP address, At least one attribute value of the source transmission control protocol port and the target transmission control protocol port.
  • the fourth aspect provides a policy management device, including a receiving module, a first determining module, a searching module, a second determining module, and a sending module, where: the receiving module is configured to receive network data flow control from a network traffic processing device. An action request, obtaining an attribute value of the network data stream from the request, and sending the attribute value to the determining module, where the attribute value includes a source physical port, a virtual local area network identifier, a source network hardware address, and a target At least one attribute value of the network hardware address, the source IP address, the target IP address, the source transmission control protocol port, and the target transmission control protocol port; the first determining module is configured to determine, according to the attribute value of the network data stream
  • the security domain to which the network data flow belongs, the security domain is a set of networks or systems in which the same tenant adopts the same security policy, and the network data flows belonging to the same security domain share the same set of control policies; Determining, by the determining module, the security domain to search for a corresponding
  • the device further includes: a policy generating module, configured to generate, according to the security policy information of each tenant, each security domain based on a network data flow attribute Control strategy.
  • the security policy information of each tenant includes at least a security domain identifier, a security domain, and a network Correspondence between network data attributes and security policies within the security domain.
  • the corresponding relationship between the security domain and the network data stream attribute includes a security domain and a virtual local area network identifier, and a network hardware address The correspondence between the collection, the virtual private network tunnel collection, the collection of source physical ports, or the combination of two or more network data flow attributes.
  • the fifth aspect provides a network system, including the network traffic processing device of any one of the foregoing third aspect or the third aspect, and any one of the foregoing fourth or fourth possible implementations.
  • the policy management device described in the manner.
  • the policy management device of the present application determines the security domain to which the network data flow belongs according to the attribute of the network data flow flowing through the network traffic processing device, and then Determining, according to a network data flow attribute-based control policy of the security domain in the policy management device and an attribute value of the network data flow, a control behavior adopted by the network data flow; the network traffic processing device according to the control The behavior processes the network data stream. Because the security domain is based on the scope of each tenant security policy. Therefore, in this way, the number of security device virtualization can no longer be limited by the number of protocol-related virtual devices such as "virtual ports" supported by the professional security device itself, but only by the security device itself.
  • FIG. 1 is a schematic diagram of an embodiment of a network system applied to an access control method of the present application
  • FIG. 2 is a flowchart of an embodiment of an access control method of the present application
  • FIG. 3 is a flow chart of another embodiment of the access control method of the present application.
  • FIG. 4 is a schematic structural diagram of an embodiment of a network traffic processing device of the present application.
  • FIG. 5 is a schematic structural diagram of an implementation manner of a policy management device of the present application.
  • FIG. 6 is a schematic structural diagram of another embodiment of a network traffic processing device of the present application.
  • FIG. 7 is a schematic structural diagram of another embodiment of the policy management device of the present application. detailed description
  • FIG. 1 is a schematic diagram of an embodiment of a network system applied to an access control method according to the present application.
  • the network system includes a network traffic processing device 100, a policy management device 200, and a plurality of virtual machines 300, wherein the same tenant may have several
  • the virtual machine 300 for example, the tenant 1 includes three virtual machines A, B, and C, and the tenant 2 includes three virtual machines of 1, 2, and 3. Virtual machine A, virtual machine B, and virtual machine 1 are located in host 1, and virtual machine 2, virtual machine 3, and virtual machine C are located in host 2.
  • the network traffic processing device can be a virtual switch or a physical switch or firewall. Each tenant's virtual machine belongs to the same security domain.
  • a corresponding network data flow is generated.
  • the network traffic processing device 100 requests the policy management device 200 for the control behavior of the network data flow it receives, and the policy.
  • the management device 200 finds the security domain to which the network data flow belongs according to the data stream attribute value, finds the corresponding control policy based on the network data flow attribute according to the security domain, and determines the network according to the found control policy and the attribute value of the network data flow.
  • the control behavior corresponding to the data flow is such that the network traffic processing device 100 processes the received network data stream according to the control behavior returned by the policy management device 200.
  • the network traffic processing device 100 and the policy management device 200 may be physical devices that are separately disposed in the network, or may be integrated into the existing network device as a functional module.
  • the network traffic processing device 100 may be a virtual switch in the host machine, a common physical switch, or a firewall device, and the policy management device 200 may be integrated into a DNS server or a mail server in the local area network;
  • the network traffic processing device 100 is a switch (Switch, SW), and the policy management device 200 is a controller.
  • FIG. 2 is a flowchart of an embodiment of the access control method of the present application.
  • the access control method of the present embodiment is described by the network traffic processing device.
  • the access control method of this embodiment includes:
  • Step S101 After receiving the network data flow, the network traffic processing device requests the policy management device to request a control behavior corresponding to the network data flow;
  • a corresponding network data stream is generated.
  • the network traffic processing device sends a request to the policy management device to obtain a control behavior corresponding to the network data flow.
  • the network traffic processing device sends a request to the policy management device, and the network data stream is directly sent to the policy management device, and the policy management device extracts the attribute value of the network data stream from the network data stream, where the attribute value includes the source physical port, Vlan ID, source network hardware address (Media Access Control, MAC), destination MAC address, source IP address, destination IP address, source transmission control protocol (TCP) port, destination TCP port, at least one attribute value.
  • TCP transmission control protocol
  • the IP address of tenant 1 is 10.0.0.1.
  • the attributes of the corresponding network data stream generated are as shown in Table 1: XX represents a specific value);
  • the policy management device determines, according to the attribute value of the data flow, which security domain the data flow belongs to, and determines the network data flow according to the control policy based on the network data flow attribute and the attribute value of the network data flow in each security domain in the policy management device.
  • the control behavior employed.
  • the control strategy based on the network data flow attribute includes a control behavior adopted by the network data flow that meets the preset condition belonging to the security domain, and the preset condition includes at least one attribute value range of the attribute, and the control behavior includes: Various processing methods are employed, wherein the control behavior includes allowing network data streams to pass or block network data streams.
  • the control behavior can also include various processing methods such as address replacement and address translation, which are not performed here - enumeration.
  • the control strategy based on the network data stream attributes may also include one or more attribute values of the network data stream.
  • the control strategy includes a flow table matching domain (ie, the preset condition described above) and a flow table control behavior.
  • the flow table matching domain refers to the matching result between the attribute value of the network data stream and the data stream attribute in the control policy
  • the flow table control behavior is a specific processing method for a network data stream, such as but not limited to allowing the network data stream to pass ( "Accept” ) or block network data stream ("Drop") and so on.
  • the policy management device sends control actions to the network traffic processing device.
  • the network traffic processing device may also extract the attribute value of the data stream from the network data stream, and send the extracted data stream attribute value to the policy management device to obtain the control behavior corresponding to the data stream.
  • the policy management device directly finds the security domain to which the data flow belongs according to the data flow attribute value, and determines the control adopted on the network data flow according to the control policy based on the network data flow attribute and the attribute value of the network data flow in each security domain in the policy management device. Behave and send to the network traffic processing device.
  • Step S102 The network traffic processing device processes the network data flow according to the control behavior; the network traffic processing device receives the control behavior returned by the policy management device, and processes the network data flow according to the control behavior.
  • FIG. 3 is a flowchart of another embodiment of the access control method of the present application.
  • the access control method of the present embodiment is described by the foregoing policy management device.
  • the access control method of the implementation method includes:
  • Step S201 The policy management device receives a network data flow control behavior request from the network traffic processing device, and obtains an attribute value of the network data flow from the request.
  • the network traffic processing device After receiving the network data flow, the network traffic processing device requests the policy management device to control the network data flow.
  • the policy management device receives the request, where the request carries the attribute value of the network data stream or the network data stream, and the policy management device extracts the attribute value of the network data stream from the network data stream or directly obtains the attribute value of the network data stream from the request. .
  • the attribute values of the network data stream include one or more attribute values in the source physical port, Vlan ID, source MAC address, destination MAC address, source IP address, destination IP address, source TCP port, and destination TCP port. Of course, other attribute values than this can also be included.
  • Step S202 Determine a security domain to which the network data flow belongs according to the network data flow attribute value.
  • the policy management device determines the security domain to which the network data flow belongs according to the network data flow attribute value.
  • a security domain is a collection of networks or systems in which the same tenant uses the same security policy. Data flows of the same security domain share the same control policy. For example, "tenant 1" rents three computers A, B, and C, and "tenant 2" rents 1, 2, and 3 computers; can define “tenant's computer belongs to "security domain 1" and "tenant 2" The computer belongs to "Security Domain 2." Differentiating between different tenants can be done through each tenant's VLAN—ID, MAC address, VPN tunnel, etc.
  • “Security domain ⁇ ” can include the following MAC address combinations: MACA, MACB, MACC; "Security Domain 2" may include the following combinations of MAC addresses: MAC1, MAC2, MAC3, and so on.
  • the policy management device generates, according to the security policy information of each tenant, a control policy of each security domain based on the network data flow attribute.
  • the security policy information of each tenant includes at least the security domain identifier, the correspondence between the security domain and the network data flow attribute, and the security policy in the security domain.
  • the correspondence between the security domain and the network data flow attribute is used to describe which attributes of the network data flow are used to determine the security domain to which the data flow belongs.
  • security domain consists of three virtual machines A, B, and C distributed on different HOSTs.
  • the respective MAC addresses are MacA, MacB, MacC, and the IP addresses are 10.0.0.1, 10.0.0.2, 10.0.0.3;
  • “Security Domain 2" consists of three virtual machines 1, 2, and 3 distributed on different HOSTs.
  • the respective MAC addresses are Macl, Mac2, Mac3, and the IP addresses are 10.0.0.1, 10.0.0.2, 10.0.0.3;
  • Security domain ⁇ corresponds to "tenant ⁇ , set the following security policy : any to 10.0.0.2 -dport 80 -j Accept; (that is, the tenant requires that the firewall allow all hosts to send to port 80 with IP address 10.0.0.2 through any port ⁇ .)
  • “Security Domain 2" corresponds to "Tenant 2", set the following security policy: any to 10.0.0.3 -dport 80 -j Drop; (ie, the tenant requires that the firewall prohibit any host from sending to the IP address of 10.0.0.3 through any port The 80-port message passed.)
  • the "correspondence between the security domain and the network data stream attribute” may be more than four types, and may be a combination of network attributes of any single or multiple network traffic.
  • the above embodiment is exemplified by only one correspondence relationship. Similar correspondences include, but are not limited to, VLAN ID corresponding to "security domain”, MPLS VPN The label corresponds to the "security domain”, the combination of the source physical port corresponds to the "security domain”, and so on.
  • the security domain According to the "correspondence between the security domain and the network data flow attribute", it can be determined by which network data flow attributes the security domain is described, and the attribute value corresponding to the security domain is extracted from the attribute value of the network data flow (that is, The attribute value describing the attribute of the security domain is matched; the extracted attribute value is matched with the attribute value corresponding to each security domain, thereby determining the security domain to which the network data flow belongs.
  • the security domain is described by a combination of MAC addresses, and then the source MAC and the destination MAC address of the data stream are extracted from the network data stream, and the combination of the MAC addresses of the data stream determines which security domain the data stream belongs to. If the security domain is described by VLAN-ID, the VLAN-ID of the data stream is extracted from the network data stream, and the VLAN-ID of the data stream is used to know which security i or the data stream belongs to.
  • Step S203 Search for a corresponding control strategy based on network data flow attributes according to the security domain.
  • the policy management device determines which security domain a data flow belongs to, and searches for a control policy based on the network data flow attribute in the security domain.
  • the control policy includes the control behavior applied to the network data flow belonging to the security domain that meets the preset conditions.
  • the preset condition includes at least one attribute value range of the attribute.
  • the control strategy includes a flow table matching domain and a flow table control behavior
  • the flow table matching domain refers to a matching result of the network data flow attribute and the data flow attribute in the control policy (ie, the preset condition described above)
  • the flow table control behavior is
  • the specific processing method of a network data stream for example, allows the network data stream to pass "Accept" or block the network data stream "Drop".
  • the control behavior can be any other way of processing the network data stream, such as address exchange.
  • “Security Domain ⁇ corresponds to MAC Group 1 : MacA, MacB, MacC, that is, a system consisting of three network devices with MAC addresses of MacA, MacB, and MacC is called "Security Domain 1";
  • “Security Domain 2" corresponds to MAC Group2: Macl, Mac2, Mac3, that is, a system consisting of three network devices with MAC addresses of Macl, Mac2, and Mac3 is called “Security Domain 2";
  • Table 7 Controls based on network data flow attributes in Security Domain 2 Behavior source VLAN ID source target source IP destination IP protocol source
  • each security domain corresponds to a control policy based on network data flow attributes
  • the policy management device can find a corresponding security domain according to the security domain to which the data flow belongs according to the security domain to which the network data flow belongs. Controlling the policy based on the network data flow attribute, and matching the attribute value of the network data flow with the network data flow attribute value in the control policy to determine a control behavior adopted by the network data flow to guide the network traffic processing device to The network data stream is processed accordingly.
  • the above Flowl by obtaining the attribute value of the data stream, as shown in Table 1 above, the combination of the source MAC address of the Flowl MacA and the target MAC address MacB, the table can be found that the Flowl belongs to the MAC Group 1, that is, belongs to the "Security Domain 1". , Flow1 is processed by the control strategy of "Security Domain 1".
  • the control policy based on the network data flow attribute of "Security Domain 1" is as shown in Table 6 above. It can be known that the control behavior adopted by the network data flow Flow1 in the security domain is "Accept", and the control behavior is sent to the network traffic processing device.
  • the processing of other data streams is similar to the above method.
  • Each data stream determines the security domain to which it belongs according to its flow table attribute, and finds the control behavior of the corresponding network data stream according to the security domain. For those data flows that do not match the rules of the preset security domain, the policy management device needs to set the other control policies to guide the network traffic processing device for processing, which is not illustrated here.
  • Step S205 Send the control behavior to the network traffic processing device, so that the network traffic processing device processes the network data flow according to the control behavior.
  • the policy management device sends the control behavior of the corresponding network data flow to the network traffic processing device, and the network traffic processing device processes the network data flow according to the returned control behavior. For example, according to the returned flow control behavior, it is known that the flow table control behavior corresponding to the Flow1 should be "Accept", and the "Accept" operation is decided on the Flowl to allow normal access of the data flow.
  • the network traffic processing device mentioned above is a switch, and the policy management device is a controller.
  • the network traffic processing device can also be a firewall.
  • Example 1 Virtual machine A with tenant IP address 10.0.0.1 accessing port 80 of virtual machine B with IP address 10.0.0.2
  • the switch receives a data flow Flowl, such as: Flowl, that is, the virtual machine A with the IP address of 10.0.0.1 of the tenant 1 accesses port 80 of the virtual machine B with the IP address 10.0.0.2, and obtains the data stream attribute: (XX indicates a specific value), as described in the above Table 1.
  • Flowl a data flow Flowl
  • Flowl the virtual machine A with the IP address of 10.0.0.1 of the tenant 1 accesses port 80 of the virtual machine B with the IP address 10.0.0.2, and obtains the data stream attribute: (XX indicates a specific value), as described in the above Table 1.
  • the switch sends the attributes of the above flowl to the Controller to inquire about the processing of this stream.
  • the switch directly sends the data stream Flow1 to the Controller to query the processing of the data stream.
  • the controller After receiving the attributes of the data stream or the data stream, the controller determines which security domain the data stream belongs to according to the attributes of the data stream. Specifically, the controller learns that the "security domain" in the present embodiment is described by MAC grou through the "correspond relationship between the security domain and the network data stream attribute"; and further, the source MAC address of the MAC1 in the Flow1, the destination MAC address of the MacB. Combination, look up the table to know that Flowl belongs to MAC Group 1, that is: belongs to "Security Domain 1".
  • the Controller obtains the "flow table control behavior" for this data flow under the "control policy” of the "security domain” of the network data flow. That is, the Controller matches the attributes of Flowl itself through the “control strategy” under MAC Groupl.
  • Table 8 The results of the above Table 1 matching Table 6 above are shown in Table 8 below:
  • the "flow table control behavior" corresponding to Flow 1 should be "Accept”.
  • the switch SW decides to perform an "Accept” operation on Flow1 according to the "flow table control behavior" returned by the Controller for Flowl, allowing normal access of the data stream. .
  • Example 2 The virtual machine with the IP address 10.0.0.2 of the tenant 2 accesses the 80 port of the virtual machine 3 with the IP address 10.0.0.3
  • the switch receives a data flow Flow2, that is, when the virtual machine 2 with the IP address of 10.0.0.2 of the tenant 2 accesses port 80 of the virtual machine 3 with the IP address of 10.0.0.3, the following data stream attribute values are obtained (XX indicates a certain Specific values):
  • the switch sends the attribute value of flow2 to the Controller to query the processing of this stream.
  • the controller After receiving the attribute value of the data stream or the data stream, the controller determines which security domain the data stream belongs to according to the attribute value of the data stream. Specifically, the Controller learns that the "security domain" in the present embodiment is described by the MAC group through the "correspondence between the security domain and the network data stream attribute"; and further, the source MAC address of the flow2, the target MAC address of the Mac3, Combination, check The table shows that Flow2 belongs to MAC Group2, namely: belongs to "Security Domain 2"
  • the Controller obtains the "flow table control behavior" for this data flow under the "control policy” of the "security domain” of the network data flow. That is, the Controller matches the attribute of Flow2 by the "control policy” under MAC Group2.
  • Table 10 The attribute of Flow2 matches the control policy of its security domain.
  • the switch SW decides to perform a "Drop" operation on Flow2 according to the "flow table control behavior" returned by the Controller for Flow2, and prohibits normal access of the data stream.
  • the policy management device of the embodiment of the present application determines the security domain to which the network data flow belongs according to the attribute of the network data flow flowing through the network traffic processing device, and then manages each device according to the policy. Determining a control behavior adopted by the network data flow according to the control policy of the network data flow attribute and the attribute value of the network data flow in the security domain; the network traffic processing device performing the network data flow according to the control behavior deal with. Because the security domain is based on the scope of each tenant security policy. Therefore, in this way, the number of security device virtualization can no longer be limited by the number of protocol-related virtual devices such as "virtual ports" supported by the professional security device itself, but only by the security device itself.
  • FIG. 4 is a schematic structural diagram of an embodiment of a network traffic processing device according to the present application.
  • the network traffic processing device 100 includes a requesting module 11 and a processing module 12, where:
  • the requesting module 11 is configured to request, after receiving the network data flow, a control behavior corresponding to the network data flow to the policy management device, where the control behavior includes allowing the network data flow to pass or block the network data flow; when the virtual machine performs data access , generate the corresponding network data stream. After receiving the network data stream, the requesting module 11 sends a request to the policy management device to obtain the control behavior corresponding to the network data stream.
  • the requesting module 11 sends a request to the policy management device, and the network data stream can be directly sent to the policy management device, and the policy management device extracts the attribute value of the network data stream from the network data stream, where the attribute value includes the source physical port and the Vlan ID. At least one attribute value of the source MAC address, the destination MAC address, the source IP address, the destination IP address, the source TCP port, and the destination TCP port. Of course, other data stream attribute values can also be included.
  • the requesting module 11 may also extract the attribute value of the data stream from the network data stream, and send the extracted data stream attribute value to the policy management device to obtain the control behavior corresponding to the data stream.
  • the policy management device directly finds the security domain to which the data flow belongs according to the data flow attribute value, finds a control policy based on the network data flow attribute according to the security domain, and determines the network data according to the found control policy and the network data flow attribute. The flow controls the behavior and sends the control behavior to the processing module 12.
  • the processing module 12 is configured to receive the control behavior returned by the policy management device, and process the network data flow according to the control behavior.
  • FIG. 5 is a schematic structural diagram of an embodiment of a policy management device according to the present application.
  • the policy management device 200 includes a receiving module 21, a first determining module 22, a searching module 23, a first determining module 24, and a sending module 25, where :
  • the receiving module 21 is configured to receive a network data flow control behavior request from the network traffic processing device, obtain an attribute value of the network data flow from the request, and send the attribute value to the determining module 22, where the attribute value includes the source physical port, and the virtual At least one of a local area network identifier, a source network hardware address, a target network hardware address, a source IP address, a destination IP address, a source transmission control protocol port, and a target transmission control protocol port;
  • the network traffic processing device After receiving the network data flow, the network traffic processing device requests the policy management device for the control behavior of the network data flow.
  • the receiving module 21 receives the request, and the request carries the attribute value of the network data stream or the network data stream, and the receiving module 21 extracts the attribute value of the network data stream from the network data stream or directly obtains the attribute value of the network data stream from the request. , sending the attribute value of the network data stream to the determining mode Block 22.
  • the first determining module 22 is configured to determine, according to the network data stream attribute value, a security domain to which the network data flow belongs, where the security domain is a set of networks or systems in which the same tenant adopts the same security policy, and the network data flows belonging to the same security domain share the same set. Control strategy;
  • the first determining module 22 determines, according to the network data stream attribute value, which security domain the network data stream belongs to.
  • the searching module 23 is configured to search for a corresponding control strategy based on the network data flow attribute according to the obtained security domain determined by the determining module 22;
  • the second determining module 24 is configured to determine, according to the control policy found by the searching module 23 and the attribute value of the network data stream, the control behavior corresponding to the network data flow, and output the control behavior to the sending module 25, where the control policy includes the security domain.
  • the searching module 23 searches for the corresponding control policy based on the network data flow attribute according to the security domain to which the network data flow determined by the determining module 22 belongs, that is, the corresponding security domain.
  • the control strategy determines the control behavior corresponding to the network data flow according to the found control policy and the attribute value of the network data flow.
  • each security domain corresponds to a control policy based on network data flow attributes, and as long as the security domain of the data flow belongs to, the corresponding control policy is found according to the security domain to which the data flow belongs.
  • the second determining module 24 determines the control behavior corresponding to the network data flow according to the found control policy and the network data flow attribute, so as to guide the network traffic processing device to perform corresponding processing on the network data flow.
  • the sending module 25 is configured to send the control behavior to the network traffic processing device, so that the network traffic processing device processes the network data stream according to the control behavior.
  • the sending module 25 sends the control behavior of the corresponding network data stream to the network traffic processing device, and the network traffic processing device processes the network data stream according to the returned control behavior. Used to generate a control policy based on network traffic attributes for each security domain based on the security policy information of each tenant.
  • the security policy information of each tenant includes at least the security domain identifier, the correspondence between the security domain and the network data flow attribute, and the security policy in the security domain. Pair of the security domain and network data flow attributes The relationship should be used to describe which attributes of the network data stream are used to determine the security domain to which the data flow belongs.
  • the "correspondence between the security domain and the network data flow attribute” may be more than four types, and may be a combination of network attribute values of any single or multiple network traffic.
  • the above embodiment is exemplified by only one correspondence. Similar correspondences include, but are not limited to, the VLAN-ID corresponding to the "security domain”, the MPLS VPN label corresponding to the "security domain”, and the combination of the source physical port corresponding to the "security domain”.
  • the receiving module 21 obtains the corresponding value of the network data stream when the network data stream attribute value is extracted.
  • the network data stream attribute values of the relationship are matched, and the first determining module 22 further determines the security domain to which the network data stream belongs.
  • the security domain is described by a combination of MAC addresses, and then the source MAC and the destination MAC address of the data stream are extracted from the network data stream, and the combination of the MAC addresses of the data stream determines which security domain the data stream belongs to. If the security domain is described by VLAN-ID, the VLAN-ID of the data stream is extracted from the network data stream, and the VLAN-ID of the data stream is used to know which security i or the data stream belongs to.
  • the second determining module 24 determines, according to the found control policy and the attribute of the network data flow, the network data flow corresponding to the network data flow. Control behavior.
  • the control policy includes the control behavior of the network data flow in the security domain that meets the preset conditions.
  • the control strategy includes the flow table matching domain (that is, the preset condition described above) and the flow table control behavior.
  • the flow table matching domain refers to the matching result of the network data flow attribute and the data flow attribute in the control policy, and the flow table control behavior is a specific control behavior of a network data flow, such as but not limited to "Accept" or "Drop" Wait.
  • the network traffic processing device of the foregoing embodiment is a switch, and the policy management device is a controller.
  • network traffic processing devices can also It is a firewall.
  • FIG. 6 is a schematic structural diagram of another embodiment of a network traffic processing device according to the present application.
  • the network traffic processing device 100 of the present embodiment includes a processor 31, a receiver 32, and a transmitter.
  • Random access memory 34 Read only memory 35, bus 36, and network interface unit 37.
  • the processor 31 is respectively coupled to the receiver 32, the transmitter 33, and the random access memory via the bus 36.
  • Receiver 32 receives the network data stream that needs to be processed.
  • the processor 31 is configured to extract an attribute value of the data stream from the network data stream, where the attribute value of the data stream includes a source physical port, a Vlan ID, a source MAC address, a target MAC address, a source IP address, a target IP address, and a source TCP. At least one attribute value in the port, target TCP port. Of course, other data stream attribute values can also be included.
  • the transmitter 33 is configured to send the attribute value of the data stream or the data stream extracted by the processor 31 to the policy management device to obtain a control behavior corresponding to the network data stream.
  • the processor 31 further processes the network data stream according to the control behavior corresponding to the network data stream returned by the policy management device.
  • the control behavior includes various specific processing methods for the network data stream. For example, allowing network data streams to pass or block network data streams, and other processing methods, such as address exchange, address translation, and the like.
  • the processor 31 may be a central processing unit CPU, or an application specific integrated circuit (ASIC), or one or more integrated circuits configured to implement the embodiments of the present application.
  • CPU central processing unit
  • ASIC application specific integrated circuit
  • FIG. 7 is a schematic structural diagram of another embodiment of a policy management device according to the present application.
  • the policy management device 200 of the present embodiment includes a processor 41, a receiver 42, a transmitter 43, a random access memory 44, and a read only memory. 45 and bus 46.
  • the processor 41 is coupled to the receiver 42, the transmitter 43, the random access memory 44, and the read only memory 45 via a bus 46, respectively.
  • the booting is performed by the bootloader booting system in the basic input/output system or the embedded system in the read-only memory 45, and the booting policy management device enters a normal running state. After the policy management device enters the normal running state, in the random access memory 44 Run the application and operating system, and make:
  • the receiver 42 receives a control behavior request for the network data stream from the network traffic processing device, the request including the attribute value of the network data stream or the network data stream.
  • the processor 41 obtains the attribute value of the network data stream from the control behavior request, and determines the security domain to which the network data flow belongs according to the attribute value of the network data flow.
  • the security domain is a set of networks or systems in which the same tenant adopts the same security policy, and belongs to Network data flows of the same security domain share the same set of control policies. For example, "tenants rent three computers A, B, and C, and "tenant 2" rents 1, 2, and 3 computers; computers that can define “tenant computers belong to "security domain 1" and "tenant 2" Belongs to "Security Domain 2".
  • Different tenants can be identified by each tenant's VLAN—ID, MAC address, VPN tunnel, and so on.
  • "secure domain” may include the following MAC address combinations: MACA, MACB, MACC; "Security Domain 2" may include the following MAC address combinations: MAC1, MAC2, MAC3, and so on.
  • Processor 41 further according to the network The security domain to which the data flow belongs, finds a corresponding control policy based on the network data flow attribute, determines a control behavior corresponding to the network data flow according to the found control policy and the network data flow attribute, and outputs the control behavior to the sender 43.
  • the processor 41 is further configured to generate, according to the security policy information of each tenant, a control policy of each security domain based on the network data flow attribute.
  • the security policy information of each tenant includes at least the security domain identifier, the correspondence between the security domain and the network data flow attribute, and the security policy in the security domain.
  • the corresponding relationship between the security domain and the network data flow attribute is used to describe which attributes of the network data flow are used to determine the security domain to which the data flow belongs.
  • the "correspondence between the security domain and the network data flow attribute” may be more than four types, and may be a combination of network attribute values of any single or multiple network traffic.
  • the VLAN-ID corresponds to the "security domain”
  • the MPLS VPN label corresponds to the "security domain”
  • the combination of the source physical port corresponds to the "security domain”.
  • the processor 41 can determine which network data stream attribute values are used by the security domain, and obtain the corresponding relationship with the security domain when extracting the network data stream attribute value.
  • the network data stream attribute values are matched to determine the security domain to which the network data stream belongs.
  • the security domain is described by a combination of MAC addresses, and then the source MAC and the destination MAC address of the data stream are extracted from the network data stream, and the combination of the MAC addresses of the data stream determines which security domain the data stream belongs to. If the security domain is described by VLAN-ID, the VLAN-ID of the data stream is extracted from the network data stream, and the VLAN-ID of the data stream is used to know which security i or the data stream belongs to.
  • the control policy includes the control behavior of the network data flow in the security domain that meets the preset conditions.
  • the control strategy includes the flow table matching domain (that is, the above preset conditions) and the flow table control behavior.
  • the flow table matching domain refers to the matching result of the network data flow attribute and the data flow attribute in the control policy, and the flow table control behavior is a specific control behavior of the network data flow, such as but not limited to "Accept" or "Drop". .
  • the processor 41 may be a central processing unit CPU, or an application specific integrated circuit (ASIC), or one or more integrated circuits configured to implement the embodiments of the present application.
  • CPU central processing unit
  • ASIC application specific integrated circuit
  • the transmitter 43 sends the control behavior of the corresponding network data stream obtained by the processor 41 to the network traffic processing device, so that the network traffic processing device performs corresponding processing on the network data stream according to the control behavior.
  • the present application further provides a network system, where the network system includes a network traffic processing device 100 and a policy management device 200, wherein the network traffic processing device 100 and the policy management device 200 implement communication,
  • the network system includes a network traffic processing device 100 and a policy management device 200, wherein the network traffic processing device 100 and the policy management device 200 implement communication
  • the network system includes a network traffic processing device 100 and a policy management device 200, wherein the network traffic processing device 100 and the policy management device 200 implement communication
  • the network traffic processing device mentioned in the foregoing implementation manner is a switch, and the policy management device is a controller. If applied in a scenario other than SDN, the network traffic processing device can also be a firewall.
  • the policy management device is based on the network data flow flowing through the network traffic processing device. Attributes, determining a security domain to which the network data flow belongs, and then determining, according to a network data flow attribute-based control policy and an attribute value of the network data flow in each security domain of the policy management device, Controlling behavior; the network traffic processing device processes the network data stream according to the control behavior. Because the security domain is based on the scope of each tenant security policy. Therefore, in this way, the number of security device virtualization can no longer be limited by the number of protocol-related virtual devices such as "virtual ports" supported by the professional security device itself, but only by the security device itself.
  • security device virtualization Restriction; The technology of security device virtualization is no longer required to be implemented based on specific technologies such as VLAN/VPN; after the security device is virtualized, multiple tenants can share one security device without affecting each other, and can use different tenants in the SDN system. Security policy to implement security features.
  • the disclosed systems, devices, and methods may be implemented in other ways.
  • the device implementations described above are merely illustrative.
  • the division of the modules or units is only a logical function division.
  • there may be another division manner for example, multiple units or components may be used. Combined or can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the units described as separate components may or may not be physically separated, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the present embodiment.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software function unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium.
  • a computer readable storage medium Including a plurality of instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor to execute various embodiments of the present application All or part of the steps of the method.
  • the foregoing storage medium includes: a U disk, a removable hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk or an optical disk, and the like, which can store program code. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种访问控制方法及设备、系统。访问控制方法包括：策略管理设备接收来自网络流量处理设备的网络数据流控制行为请求，从所述请求中获取所述网络数据流的属性值；根据网络数据流属性值确定网络数据流所属的安全域；根据安全域查找对应的基于网络数据流属性的控制策略，根据查找到的控制策略和网络数据流属性值，确定对网络数据流的控制行为；将控制行为发送给网络流量处理设备，以使网络流量处理设备根据控制行为对网络数据流进行处理。通过上述方式，本发明能够不再依赖于安全设备本身所支持的网络隔离技术的虚拟端口或者网络隔离技术，来实现多用户共用一个安全设备，分别应用各自的安全策略而互不影响。

Description

访问控制方法及设备、 系统 本申请要求于 2013 年 3 月 26 日提交中国专利局、 申请号为 201310101301.9、 发明名称为 "访问控制方法及设备、 系统" 的中国专利申请 的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及计算机及通信技术领域， 尤其涉及一种访问控制方法及设备、 系统。
背景技术 安全设备的 "多实例"， 是指在云计算等安全应用场景中， 多个租户共用 一个安全设备， 每个租户都可以按照自己的需要设置自己所需的安全策略而 不用担心与其它租户的安全策略相冲突的技术。
通常为了实现安全设备的 "多实例"， 需要将一个物理安全设备划分为多 个逻辑安全设备来使用。 多个逻辑安全设备可以分别配置单独不同的安全策 略， 同时默认情况下， 不同的逻辑安全设备的网络流量之间是默认隔离的。 比如： 对于防火墙系统接收到的数据流， 系统会根据数据的虚拟局域网标识 (Virtual Local Area Network IDentity , Vlan ID)/ 多协议标签交换和虚拟专用 网络标签 (； Multi-Protocol Label Switching Virtual Private Network , MPLS VPN ), 虚拟入接口来确定数据流所属的虚拟防火墙（即： 此流量属于哪一个 租户）。 在各个虚拟防火墙系统中， 数据流将根据各自系统的安全和转发策略 完成处理。
目前的安全设备都 于安全设备本身对网络隔离技术 (比如虚拟局域网 /虚拟专用网， VLAN/VPN)的支持来实现以上功能。 比如防火墙设备大多基于 VLAN或者 VPN来实现 "多实例"，即：在防火墙设备上需要针对不同的 VLAN 或者 VPN设置虚拟端口，再针对每个虚拟端口设置对应的安全策略 (其中，安 全策略包括数据流属性)， 即将安全策略与虚拟端口进行绑定， 因此， 当防火 墙接收到网络数据流后， 根据数据流属性找到对应的安全策略， 通过绑定的 虚拟端口对数据流进行处理。
但是这种方式， 受到安全设备中网络隔离技术的限制和设备虚拟端口数 量的限制， 应用具有一定的局限性。 发明内容 本申请实施例提供一种访问控制方法及设备、 系统， 用以避免现有技术 实现多租户共用一个安全设备时， 高度依赖于安全设备本身所支持的网络隔 离技术的虚拟端口（如： VLAN虚拟端口）或者网络隔离技术 (如： VLAN/VPN 技术等)的问题。
有鉴于此， 本申请提供一种访问控制方法及设备、 系统， 可以根据常规 网络数据流属性来对应不同租户的安全策略， 目的在于实现不再依赖于 VLAN/VPN等特定技术而解决多个租户共用一个安全设备而互不影响。
第一方面， 提供一种访问控制方法， 包括： 网络流量处理设备接收到网 络数据流后， 向策略管理设备请求所述网络数据流对应的控制行为， 所述控 制行为包括允许网络数据流通过或阻断网络数据流； 所述网络流量处理设备 根据所述控制行为对所述网络数据流进行处理。
结合第一方面， 在第一方面的第一种可能的实现方式中： 所述向策略管 理设备请求所述网络数据流对应的控制行为， 具体包括： 所述网络流量处理 设备向所述策略管理设备发送所述数据流， 接收所述策略管理设备返回的控 制行为； 或所述网络流量处理设备从所述网络数据流中提取所述网络数据流 的属性值， 向所述策略管理设备发送所述属性值， 接收所述策略管理设备返 回的控制行为， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件 地址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目标传输控制协议端口中的至少一种属性值。
第二方面， 提供一种访问控制方法， 包括： 策略管理设备接收来自网络 流量处理设备的网络数据流控制行为请求， 从所述请求中获取所述网络数据 流的属性值， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地 址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目 标传输控制协议端口中的至少一种属性值； 根据所述网络数据流属性确定所 述网络数据流所属的安全域， 所述安全域是同一租户采用相同安全策略的网 络或系统的集合， 属于同一安全域的网络数据流共享一组相同的控制策略； 根据所述安全域查找对应的基于网络数据流的控制策略， 所述控制策略包括 对属于该安全域的符合预设条件的网络数据流采用的控制行为， 所述预设条 件包括至少一种所述属性的属性值范围， 所述控制行为包括允许网络数据流 通过或阻断网络数据流； 根据查找到的控制策略和所述网络数据流的属性值， 确定对所述网络数据流采用的控制行为； 将所述控制行为发送给所述网络流 量处理设备， 以使网络流量处理设备根据所述控制行为对所述网络数据流进 行处理。
结合第二方面， 在第二方面的第一种可能的实现方式中： 所述策略管理 设备接收来自网络流量处理设备的网络数据流控制行为请求， 从所述请求中 获取所述网络数据流的属性的步骤之前， 还包括： 策略管理设备根据各个租 户的安全策略信息， 生成每个安全域基于网络数据流属性的所述控制策略。
结合第二方面的第一种可能的实现方式， 在第二方面的第二种可能的实 现方式中： 所述各个租户的安全策略信息至少包括安全域标识、 安全域与网 络数据流属性的对应关系以及安全域内的安全策略； 所述根据所述网络数据 流的属性值确定所述网络数据流所属的安全域， 具体包括： 根据所述安全域 与网络数据流属性的对应关系， 从所述网络数据流的属性值中提取安全域对 应的属性值； 将提取的属性值与各安全域对应的属性值进行匹配， 确定所述 网络数据流所属的安全域。
结合第二方面的第二种可能的实现方式， 在第二方面的第三种可能的实 现方式中： 所述安全域与网络数据流属性的对应关系包括安全域与虚拟局域 网标识、 网络硬件地址集合、 虚拟专用网隧道集合、 源物理端口的集合中任 一种或两种以上网络数据流属性值组合的对应关系。
结合第二方面或上述第四方面的任意一种可能的实现方式， 在第二方面 的第四种可能的实现方式中： 所述网络流量处理设备为交换机， 所述策略管 理设备为控制器。
第三方面， 提供一种网络流量处理设备， 包括请求模块和处理模块， 其 中： 所述请求模块用于接收到网络数据流后， 向策略管理设备请求所述网络 数据流对应的控制行为， 所述控制行为包括允许网络数据流通过或阻断网络 数据流； 所述处理模块用于根据策略管理设备返回的所述控制行为对所述网 络数据流进行处理。
结合第三方面， 在第三方面的第一种可能的实现方式中： 所述请求模块 用于向所述策略管理设备发送所述网络数据流或从所述网络数据流中提取的 网络数据流属性值， 以向策略管理设备请求所述网络数据流对应的控制行为， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地址、 目标网络 硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目标传输控制协 议端口中的至少一种属性值。
第四方面， 提供一种策略管理设备， 包括接收模块、 第一确定模块、 查 找模块、 第二确定模块以及发送模块， 其中： 所述接收模块用于接收来自网 络流量处理设备的网络数据流控制行为请求， 从所述请求中获取所述网络数 据流的属性值， 并将所述属性值发送给所述确定模块， 所述属性值包括源物 理端口、 虚拟局域网标识、 源网络硬件地址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目标传输控制协议端口中的至少一种属 性值； 所述第一确定模块用于根据所述网络数据流的属性值确定所述网络数 据流所属的安全域， 所述安全域是同一租户采用相同安全策略的网络或系统 的集合， 属于同一安全域的网络数据流共享一组相同的控制策略； 所述查找 模块用于根据所述确定模块确定出的所述安全域查找对应的基于网络数据流 属性的控制策略， 所述第二确定模块用于根据查找模块查找到的控制策略和 所述网络数据流的属性值， 确定对所述网络数据流采用的控制行为， 将所述 控制行为输出给所述发送模块 , 所述控制策略包括对属于该安全域的符合预 设条件的网络数据流采用的控制行为， 所述预设条件包括至少一种所述属性 的属性值范围， 所述控制行为包括允许网络数据流通过或阻断网络数据流； 所述发送模块用于将所述查找模块得到的对所述网络数据流采用的控制行为 发送给所述网络流量处理设备， 以使所述网络流量处理设备根据所述控制行 为对所述网络数据流进行处理。
结合第四方面， 在第四方面的第一种可能的实现方式中： 所述设备还包 括策略生成模块， 用于根据各个租户的安全策略信息， 生成每个安全域基于 网络数据流属性的所述控制策略。
结合第四方面的第一种可能的实现方式， 在第四方面的第二种可能的实 现方式中： 所述各个租户的安全策略信息至少包括安全域标识、 安全域与网 络数据流属性的对应关系以及安全域内的安全策略。
结合第四方面的第二种可能的实现方式， 在第四方面的第三种可能的实 现方式中： 所述安全域与网络数据流属性的对应关系包括安全域与虚拟局域 网标识、 网络硬件地址集合、 虚拟专用网隧道集合、 源物理端口的集合中任 一种或两种以上网络数据流属性组合的对应关系。
第五方面， 提供一种网络系统， 包括上述第三方面或第三方面的任意一 种可能的实现方式所述的网络流量处理设备以及上述第四方面或第四方面的 任意一种可能的实现方式所述的策略管理设备。
本发明实施例的有益效果是： 区别于现有技术的情况， 本申请实施方式 策略管理设备根据流经网络流量处理设备的网络数据流的属性， 确定所述网 络数据流所属的安全域， 然后根据策略管理设备中所述安全域的基于网络数 据流属性的控制策略以及所述网络数据流的属性值， 确定对所述网络数据流 采用的控制行为； 所述网络流量处理设备根据所述控制行为对所述网络数据 流进行处理。 由于安全域是基于各个租户安全策略的作用范围而划分的。 因 此， 通过这种方式， 安全设备虚拟化的数量， 可以不再受限于专业安全设备 本身所支持的 "虚拟端口" 等与协议相关的虚拟设备的数量， 而仅受安全设 备本身处理能力的限制； 安全设备虚拟化的技术也不再需要基于 VLAN/VPN 等特定技术实现； 在安全设备虚拟化之后， 多个租户可以共用一个安全设备 而互不影响。 附图说明 图 1是本申请访问控制方法应用的网络系统一个实施方式的示意图； 图 2是本申请访问控制方法一个实施方式的流程图；
图 3是本申请访问控制方法另一个实施方式的流程图
图 4是本申请网络流量处理设备一个实施方式的结构示意图；
图 5是本申请策略管理设备一个实施方式的结构示意图；
图 6是本申请网络流量处理设备另一个实施方式的结构示意图； 图 7是本申请策略管理设备另一个实施方式的结构示意图。 具体实施方式
参阅图 1 ,图 1为本申请访问控制方法应用的网络系统一个实施方式的示 意图， 网络系统包括网络流量处理设备 100、 策略管理设备 200以及若干台虚 拟机 300, 其中， 同一个租户可能有几台虚拟机 300, 比如租户 1包括 A、 B、 C三台虚拟机， 租户 2包括 1、 2、 3三台虚拟机。 虚拟机 A、 虚拟机 B和虚 拟机 1位于宿主机 1中， 虚拟机 2、 虚拟机 3和虚拟机 C位于宿主机 2中。 网络流量处理设备可以是虚拟交换机， 也可以是物理交换机或防火墙。 每个 租户的虚拟机属于同一安全域。
某一租户的虚拟机之间进行数据访问时， 会产生相应的网络数据流， 网 络流量处理设备 100接收网络数据流后， 向策略管理设备 200请求其所接收 的网络数据流的控制行为， 策略管理设备 200根据数据流属性值， 找到网络 数据流所属的安全域， 根据安全域查找到对应的基于网络数据流属性的控制 策略， 根据查找到的控制策略和网络数据流的属性值， 确定网络数据流对应 的控制行为， 以使网络流量处理设备 100根据策略管理设备 200返回的控制 行为对接收的网络数据流进行处理。
根据具体应用场景的不同， 网络流量处理设备 100和策略管理设备 200 可以是单独设置于网络中的实体设备， 也可以作为一个功能模块集成于现有 网络设备中。 例如， 在局域网中， 网络流量处理设备 100可以是宿主机中的 虚拟交换机， 普通物理交换机， 也可以是防火墙设备， 策略管理设备 200可 以集成于局域网中的 DNS服务器或邮件服务器中； 如果是应用在软件定义网 络 (Software Defined Network, SDN)这一场景中， 网络流量处理设备 100是交 换机 (Switch, SW), 策略管理设备 200为控制器。
请参阅图 2, 图 2为本申请访问控制方法一个实施方式的流程图， 本实施 方式的访问控制方法是以上述的网络流量处理设备角度来描述， 本实施方式 的访问控制方法包括：
步骤 S101 : 网络流量处理设备接收到网络数据流后， 向策略管理设备请 求网络数据流对应的控制行为；
当虚拟机之间进行数据访问时， 产生相应的网络数据流。 网络流量处理 设备接收到网络数据流之后， 向策略管理设备发出请求， 以获取该网络数据 流对应的控制行为。 其中， 网络流量处理设备向策略管理设备发出请求， 可以直接将网络数 据流发送给策略管理设备， 策略管理设备从网络数据流中提取网络数据流的 属性值，这些属性值包括源物理端口、 Vlan ID、源网络硬件地址 (Media Access Control, MAC), 目标 MAC地址、 源 IP地址、 目标 IP地址、 源传输控制协 议 (Transmission Control Protocol, TCP)端口、 目标 TCP端口中的至少一种属 性值。 当然， 还可以包括其他的数据流属性值。
比如对于数据流 Flowl , 租户 1的 IP地址为 10.0.0.1虚拟机 A需要访问 IP地址为 10.0.0.2虚拟机 B的 80端口时， 产生的相应的网络数据流的属性如 表 1所示： （XX表示某个特定的值）；
表 1 : Flowl的数据流属性
数据流属性
源端 VLAN ID 源 目标 源 IP 目标 IP 协议 源
a MAC MAC 类型 TCP 标
端口 TCP
端
他表其属性流
XX NULL MacA MacB 10.0.0.1 10.0.0.2 TCP XX 80
策略管理设备根据数据流的属性值， 确定该条数据流属于哪个安全域， 根据策略管理设备中每个安全域内基于网络数据流属性的控制策略以及网络 数据流的属性值， 确定对网络数据流采用的控制行为。
基于网络数据流属性的控制策略包括对属于该安全域的符合预设条件的 网络数据流采用的控制行为 , 预设条件包括至少一种所述属性的属性值范围 , 控制行为包括对数据流可采用的各种处理方式， 其中控制行为包括允许网络 数据流通过或阻断网络数据流。 控制行为还可以包括地址替换、 地址翻译等 各种处理方式， 在这里不进行——列举。 基于网络数据流属性的控制策略还 可以包括网络数据流的一个或多个属性值。 比如控制策略包括流表匹配域 (即 上述的预设条件)和流表控制行为。 流表匹配域是指网络数据流的属性值与控 制策略中数据流属性的匹配结果， 而流表控制行为是对一条网络数据流的具 体处理方式， 比如但不限于是允许网络数据流通过 ( "Accept" )或阻断网络数 据流（"Drop" )等。 策略管理设备将控制行为发送给网络流量处理设备。 另外， 网络流量处理设备也可以从网络数据流中提取出数据流的属性值， 将提取的数据流属性值发送给策略管理设备以获取该数据流对应的控制行 为。 策略管理设备直接根据数据流属性值找到数据流所属的安全域， 根据策 略管理设备中每个安全域内基于网络数据流属性的控制策略以及网络数据流 的属性值， 确定对网络数据流采用的控制行为并发送给网络流量处理设备。
步骤 S102: 网络流量处理设备根据控制行为对网络数据流进行处理； 网络流量处理设备接收策略管理设备返回的控制行为， 根据控制行为对 网络数据流进行处理。
请参阅图 3 , 图 3为本申请访问控制方法另一个实施方式的流程图， 本实 施方式的访问控制方法是以上述的策略管理设备角度来进行描述， 本实施方 法的访问控制方法包括：
步骤 S201： 策略管理设备接收来自网络流量处理设备的网络数据流控制 行为请求， 从请求中获取网络数据流的属性值；
网络流量处理设备接收网络数据流后， 向策略管理设备请求网络数据流 的控制行为。 策略管理设备接收该请求， 请求中携带有网络数据流或网络数 据流的属性值， 策略管理设备从网络数据流中提取网络数据流的属性值或者 是直接从请求中获取网络数据流的属性值。
网络数据流的属性值包括源物理端口、 Vlan ID、源 MAC地址、目标 MAC 地址、 源 IP地址、 目标 IP地址、 源 TCP端口、 目标 TCP端口中的一种或多 种属性值。 当然， 还可以包括除此之外其他的属性值。
步骤 S202: 根据网络数据流属性值确定网络数据流所属的安全域； 策略管理设备根据网络数据流属性值， 确定该条网络数据流所属的安全 域。 安全域是同一租户采用相同安全策略的网络或系统的集合， 相同安全域 的数据流共享相同的控制策略。比如"租户 1"租用了 A,B,C三台计算机， "租 户 2" 租用了 1、 2、 3三台计算机； 可定义 "租户 Γ 的计算机属于 "安全域 1" , "租户 2" 的计算机属于 "安全域 2"。 而区分不同租户， 可以通过每个租 户的 VLAN— ID、 MAC地址、 VPN隧道等等。 比如以 MAC地址描述， "安全 域 Γ 可以包括以下 MAC地址组合： MACA、 MACB、 MACC; "安全域 2" 可以包括以下 MAC地址组合： MAC1、 MAC2、 MAC3 , 依次类推。
本申请实施方式中， 策略管理设备预先根据各个租户的安全策略信息， 生成每个安全域基于网络数据流属性的控制策略。 各个租户的安全策略信息至少包括安全域标识、 安全域与网络数据流属 性的对应关系以及安全域内的安全策略。 所述安全域与网络数据流属性的对 应关系用于描述通过网络数据流哪些属性来确定数据流所属的安全域。
比如 "安全域 Γ 由分布在不同 HOST上的 A、 B、 C三台虚拟机组成， 各自的 MAC地址为 MacA, MacB, MacC, IP地址分别为 10.0.0.1 , 10.0.0.2, 10.0.0.3;
"安全域 2" 由分布在不同 HOST上的 1、 2、 3三台虚拟机组成， 各自 的 MAC地址为 Macl , Mac2, Mac3 , IP地址分别为 10.0.0.1 , 10.0.0.2, 10.0.0.3;
"安全域 Γ 对应 "租户 Γ , 设置如下安全策略： any to 10.0.0.2 -dport 80 -j Accept; (即该租户要求， 防火墙允许所有主机通过任意端口向 IP地址 为 10.0.0.2的 80端口发送^艮文。 )
"安全域 2" 对应 "租户 2" , 设置如下安全策略： any to 10.0.0.3 -dport 80 -j Drop; (即该租户要求， 防火墙禁止任何主机通过任意端口发向 IP地址 为 10.0.0.3主机的 80端口的报文通过。 )
关于租户的安全策略信息的部分举例可参见下表 2-5, 比如：
表 2: "租户 1" 的安全策略信息
Figure imgf000011_0001
其中， "安全域与网络数据流属性的对应关系" 可以有 4艮多种， 可以是任 意单一或多个网络流量的网络属性的组合。 上述实施方式仅以一种对应关系 为例。类似的对应关系还包括并不限于， VLAN ID对应 "安全域"、 MPLS VPN 标签对应 "安全域"、 源物理端口的组合对应 "安全域" 等。
在实际应用过程中， 具体使用多少种网络属性与安全域对应， 可以根据 用户对安全域的划分需求决定。 比如对于比较简单的策略， 可能就需要使用 一个网络属性描述就能实现， 如： 假设用户要求所有使用 TCP协议通信的网 络节点属于 "安全域 TCP" , 使用 UDP通信的设备都属于 "安全域 UDP" , 那 么这种安全域划分方法的网络特征描述， 就只需要 "协议类型" 一个属性与 安全域对应即可。 也就是说， 网络属性描述的少， 可划分的安全域就比较粗 略， 网络属性描述的多， 可划分的安全域就能更加细化。
表 4: "租户 Γ 和租户 2" 的安全策略信息
Figure imgf000012_0001
"租户 Γ 和租户 2" 的安全策略信息
Figure imgf000012_0002
根据 "安全域与网络数据流属性的对应关系"， 可以确定安全域是通过哪 些网络数据流属性来描述的， 从所述网络数据流的属性值中提取安全域对应 的属性值（也就是用于描述安全域的属性的属性值）； 将提取的属性值与各安 全域对应的属性值进行匹配， 进而确定网络数据流所属的安全域。
比如安全域是通过 MAC地址组合来描述，那么就从网络数据流中提取数 据流的源 MAC、 目标 MAC地址， 通过数据流的 MAC地址组合的确定该数 据流是属于哪个安全域。如果安全域是通过 VLAN— ID来描述，那么就从网络 数据流中提取数据流的 VLAN— ID, 通过数据流的 VLAN— ID获知该数据流属 于哪个安全 i或。
步骤 S203: 根据安全域查找对应的基于网络数据流属性的控制策略； 策略管理设备确定一条数据流属于哪个安全域， 查找该安全域内基于网 络数据流属性的控制策略。
控制策略包括对属于该安全域的符合预设条件的网络数据流采用的控制 行为。 预设条件包括至少一种所述属性的属性值范围。 比如控制策略包括流 表匹配域和流表控制行为， 流表匹配域是指网络数据流的属性与控制策略中 数据流属性的匹配结果 (即上述的预设条件)， 而流表控制行为是对一条网络数 据流的具体处理方式， 比如是允许网络数据流通过 "Accept"或阻断网络数据 流 "Drop" 等。 除此之外， 控制行为还可以是其他任何对网络数据流的处理 方式， 比如地址交换等等。
以下举例说明每个安全域内基于网络数据流属性的控制策略：
比如 "安全域 Γ 对应的是 MAC Group 1 : MacA、 MacB、 MacC, 即由 三台 MAC地址分别为 MacA、 MacB、 MacC的网络设备所组成的系统称为 "安 全域 1" ;
"安全域 2" 对应的是 MAC Group2: Macl、 Mac2、 Mac3 , 即由三台 MAC地址分别为 Macl、 Mac2、 Mac3的网络设备所组成的系统称为 "安全域 2" ;
表 6: 安全域 1内基于网络数据流属性的控制策略
Figure imgf000013_0002
表 7: 安全域 2内基于网络数据流属性的控帝
Figure imgf000013_0001
行为 源端 VLAN ID 源 目标 源 IP 目标 IP 协议 源 其
α MAC MAC 类型 TCP 标 他
端口 TCP
表
a 属
性
Any NULL Any Any Any 10.0.0.3 TCP Any 80 Drop 步骤 S204, 根据查找到的控制策略和网络数据流的属性值， 确定对网络 数据流采用的控制行为；
在本申请实施方式中， 每个安全域对应一个基于网络数据流属性的控制 策略， 策略管理设备只要确定网络数据流属于哪个安全域， 就可以根据该条 数据流所属的安全域查找到对应的基于网络数据流属性的控制策略， 并将网 络数据流的属性值与控制策略中的网络数据流属性值进行匹配而确定对该条 网络数据流采用的控制行为， 以指导网络流量处理设备对该条网络数据流进 行相应的处理。
比如上述 Flowl , 通过获取该数据流的属性值， 如上表 1所示， Flowl的 源 MAC地址 MacA, 目标 MAC地址 MacB的组合， 查表可知 Flowl属于 MAC Group 1 , 即： 属于 "安全域 1" , 采用 "安全域 1" 的控制策略对 Flowl 进行处理。 而 "安全域 1"基于网络数据流属性的控制策略如上表 6所示， 可 知对该安全域内的网络数据流 Flowl采用的控制行为为 "Accept" , 将该控制 行为发送给网络流量处理设备。 对于其他数据流的处理过程与上述方法相似， 每条数据流都根据其流表属性确定其所属的安全域， 根据安全域查找到对应 网络数据流的控制行为。 对于那些与预设的安全域的规则都不匹配的数据流， 策略管理设备需要通过设置其他控制策略以指导网络流量处理设备进行处 理， 在此不——举例说明。
步骤 S205: 将控制行为发送给网络流量处理设备， 以使网络流量处理设 备根据控制行为对网络数据流进行处理。
策略管理设备将对应网络数据流的控制行为发送给网络流量处理设备， 网络流量处理设备根据返回的控制行为对网络数据流进行处理。 比如根据返回的针对 Flowl控制行为， 获知对应于该 Flowl的流表控制 行为应为 "Accept" , 决定对 Flowl进行 "Accept" 操作， 允许数据流的正常 访问。
值得一提的是， 本申请访问控制方法的应用场景为 SDN系统时， 上述提 到的网络流量处理设备为交换机， 策略管理设备为控制器 (controller), 当应用 到 SDN系统以外的场景时， 网络流量处理设备也可以是防火墙。 为了更详细 描述本申请访问控制方法， 以下以访问控制方法在 SDN系统中的具体应用为 例进行说明。
例 1 : 租户 1的 IP地址为 10.0.0.1的虚拟机 A访问 IP地址为 10.0.0.2的 虚拟机 B的 80端口
交换机接收到一条数据流 Flowl ,如： Flowl ,即租户 1的 IP地址为 10.0.0.1 的虚拟机 A访问 IP地址为 10.0.0.2的虚拟机 B的 80端口的时候， 获得该条 数据流属性： （XX表示某个特定的值）， 具体见上述表 1的描述。
交换机会把上述 flowl 的属性发送给 Controller询问对这条流的处理办 法。
另一种可选的方式，交换机直接将数据流 Flowl发送给 Controller询问对 这条数据流的处理办法。
Controller接收到数据流或数据流的属性后， 根据数据流的属性判断该条 数据流属于哪个安全域。 具体地， Controller通过 "安全域与网络数据流属性 的对应关系 "， 得知本实施方式中 "安全域"是通过 MAC grou 描述的； 进而 通过 Flowl中的源 MAC地址 MacA, 目标 MAC地址 MacB的组合， 查表可 知 Flowl属于 MAC Group 1 , 即： 属于 "安全域 1"。
Controller在网络数据流所属 "安全域" 的 "控制策略" 下获得对此数据 流的 "流表控制行为"。 即 Controller通过 MAC Groupl下的 "控制策略" 与 Flowl本身的属性相匹配， 上述表 1与上述表 6相匹配的结果见下表 8:
表 8: Flowl的属性与其所属安全域的控制策略匹配的结果
Figure imgf000015_0001
MAC MAC 议 TCP 标 他
α 类 TCP
型 a 表
a 属
性
XX NULL MacA MacB 10.0.0.1 10.0.0.2 TCP XX 80 Accept
由上表可知， 对应 Flow 1的 "流表控制行为" 应该是 "Accept" 交换机 SW根据 Controller返回的针对 Flowl的 "流表控制行为"决定对 Flowl进行 "Accept" 操作， 允许数据流的正常访问。
例 2: 租户 2的 IP地址为 10.0.0.2的虚拟机 2访问 IP地址为 10.0.0.3的 虚拟机 3的 80端口
交换机会接收到一条数据流 Flow2, 即租户 2的 IP地址为 10.0.0.2的虚 拟机 2访问 IP地址为 10.0.0.3的虚拟机 3的 80端口的时候，获得如下数据流 属性值（ XX表示某个特定的值）：
表 9 ： Flow2的数据流属性
Figure imgf000016_0001
交换机会把上述 flow2的属性值发送给 Controller询问对这条流的处理办 法。
另一种可选的方式 交换机直接将数据流 Flow2发送给 Controller询问对 这条数据流的处理办法。
Controller接收到数据流或数据流的属性值后， 根据数据流的属性值判断 该条数据流属于哪个安全域。 具体地， Controller通过 "安全域与网络数据流 属性的对应关系"， 得知本实施方式中 "安全域" 是通过 MAC group描述的； 进而通过 Flow2中的源 MAC地址 Mac2, 目标 MAC地址 Mac3的组合， 查 表可知 Flow2属于 MAC Group2, 即： 属于 "安全域 2"
Controller在网络数据流所属 "安全域" 的 "控制策略" 下获得对此数据 流的 "流表控制行为"。 即 Controller通过 MAC Group2下的 "控制策略" 与 Flow2本身的属性相匹配， 上述表 9与上述表 7相匹配的结果见下表 10: 表 10: Flow2的属性与其所属安全域的控制策略匹配的结果
Figure imgf000017_0001
由上表可知， 对应 Flow2的 "流表控制行为" 应该是 "Drop"„
交换机 SW根据 Controller返回的针对 Flow2的 "流表控制行为"决定对 Flow2进行 "Drop" 操作， 禁止数据流的正常访问。
通过上述实施方式的描述， 可以理解， 本申请实施方式策略管理设备根 据流经网络流量处理设备的网络数据流的属性， 确定所述网络数据流所属的 安全域， 然后根据策略管理设备中每个安全域内基于网络数据流属性的控制 策略以及所述网络数据流的属性值， 确定对所述网络数据流采用的控制行为； 所述网络流量处理设备根据所述控制行为对所述网络数据流进行处理。 由于 安全域是基于各个租户安全策略的作用范围而划分的。 因此， 通过这种方式， 安全设备虚拟化的数量， 可以不再受限于专业安全设备本身所支持的 "虚拟 端口" 等与协议相关的虚拟设备的数量， 而仅受安全设备本身处理能力的限 制； 安全设备虚拟化的技术也不再需要基于 VLAN/VPN等特定技术实现； 在 安全设备虚拟化之后， 多个租户可以共用一个安全设备而互不影响， 并且能 在 SDN系统中使用不同租户的安全策略来实现安全功能。 请参阅图 4,图 4为本申请网络流量处理设备一个实施方式的结构示意图， 网络流量处理设备 100包括请求模块 11和处理模块 12, 其中：
请求模块 11用于接收到网络数据流后， 向策略管理设备请求网络数据流 对应的控制行为， 控制行为包括允许网络数据流通过或阻断网络数据流通过； 当虚拟机之间进行数据访问时， 产生相应的网络数据流。 请求模块 11接 收到网络数据流之后， 向策略管理设备发出请求， 以获取该网络数据流对应 的控制行为。
其中， 请求模块 11向策略管理设备发出请求， 可以直接将网络数据流发 送给策略管理设备， 策略管理设备从网络数据流中提取网络数据流的属性值， 这些属性值包括源物理端口、 Vlan ID、 源 MAC地址、 目标 MAC地址、 源 IP 地址、 目标 IP地址、 源 TCP端口、 目标 TCP端口中的至少一种属性值。 当 然， 还可以包括其他的数据流属性值。
请求模块 11也可以从网络数据流中提取出数据流的属性值， 将提取的数 据流属性值发送给策略管理设备以获取该数据流对应的控制行为。 策略管理 设备直接根据数据流属性值找到数据流所属的安全域， 根据安全域找到基于 网络数据流属性的控制策略， 根据查找到的控制策略和所述网络数据流属性 , 确定对所述网络数据流的控制行为， 并将所述控制行为发送给处理模块 12。
处理模块 12用于接收策略管理设备返回的控制行为， 根据控制行为对网 络数据流进行处理。
请参阅图 5, 图 5为本申请策略管理设备一个实施方式的结构示意图， 策 略管理设备 200包括接收模块 21、 第一确定模块 22、 查找模块 23、 第一确定 模块 24以及发送模块 25, 其中：
接收模块 21 用于接收来自网络流量处理设备的网络数据流控制行为请 求， 从请求中获取网络数据流的属性值， 并将属性值发送给确定模块 22, 所 述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地址、 目标网络硬 件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目标传输控制协议 端口中的至少一种属性；
网络流量处理设备接收网络数据流后， 向策略管理设备请求网络数据流 的控制行为。 接收模块 21接收该请求， 请求中携带有网络数据流或网络数据 流的属性值， 接收模块 21从网络数据流中提取网络数据流的属性值或者是直 接从请求中获取网络数据流的属性值， 将网络数据流的属性值发送给确定模 块 22。
第一确定模块 22用于根据网络数据流属性值确定网络数据流所属的安全 域， 安全域是同一租户采用相同安全策略的网络或系统的集合， 属于同一安 全域的网络数据流共享一组相同的控制策略；
第一确定模块 22根据网络数据流属性值， 确定该条网络数据流属于哪个 安全域。
查找模块 23用于根据确定模块 22确定得到的安全域查找对应的基于网 络数据流属性的控制策略；
第二确定模块 24用于根据查找模块 23查找到的控制策略和网络数据流 的属性值， 确定对应于网络数据流的控制行为， 将控制行为输出给发送模块 25 , 控制策略包括属于该安全域的符合预设条件的网络数据流采用的控制行 为， 所述预设条件包括至少一种所述属性的属性值范围， 所述控制行为包括 允许网络数据流通过或阻断网络数据流；
第一确定模块 22确定网络数据流所属的安全域后， 查找模块 23根据确 定模块 22确定的网络数据流所属的安全域查找到对应的基于网络数据流属性 的控制策略， 即所属安全域对应的控制策略， 根据查找到的控制策略和网络 数据流的属性值， 确定网络数据流对应的控制行为。
在本申请实施方式中， 每个安全域对应一个基于网络数据流属性的控制 策略， 只要确定网络数据流属于哪个安全域， 就可以根据该条数据流所属的 安全域查找到对应的控制策略， 第二确定模块 24根据查找到的控制策略和网 络数据流属性， 确定网络数据流对应的控制行为， 以指导网络流量处理设备 对该条网络数据流进行相应的处理。
发送模块 25用于将控制行为发送给网络流量处理设备， 以使网络流量处 理设备根据控制行为对网络数据流进行处理。
发送模块 25将对应网络数据流的控制行为发送给网络流量处理设备， 网 络流量处理设备根据返回的控制行为对网络数据流进行处理。 用于根据各个租户的安全策略信息， 生成每个安全域基于网络数据流属性的 控制策略。
各个租户的安全策略信息至少包括安全域标识、 安全域与网络数据流属 性的对应关系以及安全域内的安全策略。 所述安全域与网络数据流属性的对 应关系用于描述通过网络数据流哪些属性来确定数据流所属的安全域。
其中， "安全域与网络数据流属性的对应关系" 可以有 4艮多种， 可以是任 意单一或多个网络流量的网络属性值的组合。 上述实施方式仅以一种对应关 系为例。 类似的对应关系还包括并不限于， VLAN— ID对应 "安全域"、 MPLS VPN标签对应 "安全域"、 源物理端口的组合对应 "安全域" 等。
在实际应用过程中， 具体使用多少种网络数据流的属性值与安全域对应， 可以根据用户对安全域的划分需求决定。 比如对于比较简单的策略， 可能就 需要使用一个网络数据流属性值描述就能实现， 如： 假设用户要求所有使用 TCP协议通信的网络节点属于 "安全域 TCP" , 使用 UDP通信的设备都属于 "安全域 UDP" , 那么这种安全域划分方法的网络特征描述， 就只需要 "协议 类型" 一个属性与安全域对应即可。 也就是说， 网络数据流的属性值描述的 少， 可划分的安全域就比较粗略， 网络数据流的属性值描述的多， 可划分的 安全域就能更加细化。
根据 "安全域与网络数据流属性的对应关系"， 可以确定安全域是通过哪 些网络数据流的属性值来描述的 , 接收模块 21在提取网络数据流属性值的时 候， 获取跟安全域有对应关系的网络数据流属性值进行匹配， 第一确定模块 22进而确定网络数据流所属的安全域。
比如安全域是通过 MAC地址组合来描述，那么就从网络数据流中提取数 据流的源 MAC、 目标 MAC地址， 通过数据流的 MAC地址组合的确定该数 据流是属于哪个安全域。如果安全域是通过 VLAN— ID来描述，那么就从网络 数据流中提取数据流的 VLAN— ID, 通过数据流的 VLAN— ID获知该数据流属 于哪个安全 i或。
确定一条数据流属于哪个安全域， 通过查找模块 23查找到对应的基于网 络数据流属性的控制策略， 第二确定模块 24根据查找到的控制策略和网络数 据流的属性， 确定网络数据流对应的控制行为。
控制策略包括安全域内符合预设条件的网络数据流的控制行为。 比如控 制策略包括流表匹配域 (即上述的预设条件)和流表控制行为。流表匹配域是指 网络数据流的属性与控制策略中数据流属性的匹配结果， 而流表控制行为是 对一条网络数据流的具体控制行为， 比如但不限于是 "Accept"或 "Drop"等。
针对于 SDN应用场景， 上述实施方式的网络流量处理设备为交换机， 策 略管理设备为控制器。 对于 SDN以外的应用场景， 网络流量处理设备也可以 是防火墙。
请参阅图 6,图 6为本申请网络流量处理设备另一个实施方式的结构示意 图， 本实施方式的网络流量处理设备 100包括处理器 31、 接收器 32、 发送器
33、 随机存取存储器 34、 只读存储器 35、 总线 36以及网络接口单元 37。 其 中， 处理器 31通过总线 36分别耦接接收器 32、 发送器 33、 随机存取存储器
34、 只读存储器 35以及网络接口单元 37。 其中， 当需要运行网络流量处理设 备时， 通过固化在只读存储器 35中的基本输入输出系统或者嵌入式系统中的 bootloader引导系统进行启动， 引导网络流量处理设备进入正常运行状态。 在 网络流量处理设备进入正常运行状态后， 在随机存取存储器 34中运行应用程 序和操作系统， 从网络接收数据或者向网络发送数据， 使得：
接收器 32接收需要处理的网络数据流。
处理器 31用于从网络数据流中提取数据流的属性值， 其中， 数据流的属 性值包括源物理端口、 Vlan ID、 源 MAC地址、 目标 MAC地址、 源 IP地址、 目标 IP地址、 源 TCP端口、 目标 TCP端口中的至少一种属性值。 当然， 还 可以包括其他的数据流属性值。
发送器 33用于将数据流或处理器 31提取得到的数据流的属性值发送给 策略管理设备以获取网络数据流对应的控制行为。
处理器 31进一步根据策略管理设备返回的网络数据流对应的控制行为， 对网络数据流进行处理。 所述控制行为包括各种对网络数据流的具体处理方 式。 比如允许网络数据流通过或阻断网络数据流通过， 还可以包括其他的处 理方式， 比如地址交换、 地址翻译等。
本实施方式中， 处理器 31可能是一个中央处理器 CPU, 或者是特定集成 电路 ASIC ( Application Specific Integrated Circuit ), 或者是被配置成实施本申 请实施方式的一个或多个集成电路。
请参阅图 7, 图 7为本申请策略管理设备另一个实施方式的结构示意图， 本实施方式策略管理设备 200包括处理器 41、接收器 42、 发送器 43、 随机存 取存储器 44、 只读存储器 45以及总线 46。 其中， 处理器 41通过总线 46分 别耦接接收器 42、 发送器 43、 随机存取存储器 44以及只读存储器 45。 其中， 当需要运行策略管理设备时， 通过固化在只读存储器 45中的基本输入输出系 统或者嵌入式系统中的 bootloader引导系统进行启动，引导策略管理设备进入 正常运行状态。 在策略管理设备进入正常运行状态后， 在随机存取存储器 44 中运行应用程序和操作系统， 并使得：
接收器 42从网络流量处理设备接收网络数据流的控制行为请求， 请求中 包括网络数据流或网络数据流的属性值。
处理器 41从控制行为请求中获取网络数据流的属性值， 根据网络数据流 的属性值， 确定网络数据流所属的安全域， 安全域是同一租户采用相同安全 策略的网络或系统的集合， 属于同一安全域的网络数据流共享一组相同的控 制策略。 比如 "租户 Γ租用了 A,B,C三台计算机， "租户 2" 租用了 1、 2、 3 三台计算机； 可定义 "租户 Γ 的计算机属于 "安全域 1" , "租户 2" 的计算 机属于 "安全域 2"。 而区分不同租户， 可以通过每个租户的 VLAN— ID、 MAC 地址、 VPN 隧道等等。 比如以 MAC 地址描述， "安全域 Γ 可以包括以下 MAC地址组合： MACA、 MACB、 MACC; "安全域 2" 可以包括以下 MAC 地址组合： MAC1、 MAC2、 MAC3 , 依次类推。 处理器 41进一步根据网络数 据流所属的安全域， 查找对应的基于网络数据流属性的控制策略， 根据查找 到的控制策略和网络数据流属性， 确定网络数据流对应的控制行为， 将该控 制行为输出给所述发送器 43。
本申请实施方式中，处理器 41还用于预先根据各个租户的安全策略信息， 生成每个安全域基于网络数据流属性的控制策略。
各个租户的安全策略信息至少包括安全域标识、 安全域与网络数据流属 性的对应关系以及安全域内的安全策略。 所述安全域与网络数据流属性的对 应关系用于描述通过网络数据流哪些属性来确定数据流所属的安全域。
其中， "安全域与网络数据流属性的对应关系" 可以有 4艮多种， 可以是任 意单一或多个网络流量的网络属性值的组合。比如但不限于是 VLAN— ID对应 "安全域"、 MPLS VPN标签对应 "安全域"、 源物理端口的组合对应 "安全 域" 等。
在实际应用过程中， 具体使用多少种网络数据流的属性值与安全域对应， 可以根据用户对安全域的划分需求决定。 比如对于比较简单的策略， 可能就 需要使用一个网络数据流的属性值描述就能实现， 如： 假设用户要求所有使 用 TCP协议通信的网络节点属于 "安全域 TCP" , 使用 UDP通信的设备都属 于 "安全域 UDP" , 那么这种安全域划分方法的网络特征描述， 就只需要 "协 议类型" 一个属性值与安全域对应即可。 也就是说， 网络数据流的属性值描 述的少， 可划分的安全域就比较粗略， 网络数据流的属性值描述的多， 可划 分的安全域就能更加细化。
处理器 41 根据 "安全域与网络数据流属性的对应关系"， 可以确定安全 域是通过哪些网络数据流属性值来描述的， 在提取网络数据流属性值的时候， 获取跟安全域有对应关系的网络数据流属性值进行匹配， 进而确定网络数据 流所属的安全域。
比如安全域是通过 MAC地址组合来描述，那么就从网络数据流中提取数 据流的源 MAC、 目标 MAC地址， 通过数据流的 MAC地址组合的确定该数 据流是属于哪个安全域。如果安全域是通过 VLAN— ID来描述，那么就从网络 数据流中提取数据流的 VLAN— ID, 通过数据流的 VLAN— ID获知该数据流属 于哪个安全 i或。
确定一条数据流属于哪个安全域， 查找到对应的控制策略即数据流所属 的安全域的控制策略。
控制策略包括安全域内符合预设条件的网络数据流的控制行为。 比如控 制策略包括流表匹配域 (即上述预设条件)和流表控制行为。流表匹配域是指网 络数据流的属性与控制策略中数据流属性的匹配结果， 而流表控制行为是对 网络数据流的具体控制行为， 比如但不限于是 "Accept" 或 "Drop" 等。
本实施方式中， 处理器 41可能是一个中央处理器 CPU, 或者是特定集成 电路 ASIC ( Application Specific Integrated Circuit ), 或者是被配置成实施本申 请实施方式的一个或多个集成电路。
发送器 43是将处理器 41得到的对应网络数据流的控制行为发送给网络 流量处理设备， 以使网络流量处理设备根据控制行为对网络数据流进行相应 的处理。
根据上述网络流量处理设备以及策略管理设备， 本申请还提供一种网络 系统， 网络系统包括网络流量处理设备 100以及策略管理设备 200, 其中网络 流量处理设备 100以及策略管理设备 200之间实现通信， 具体实现过程请参 阅 1 以及相关描述， 网络流量处理设备 100以及策略管理设备 200的具体功 能实现请参与图 4-图 7相关实施方式的描述， 在此不再贅述。
值得一提的是， 本申请访问控制方法如果应用于 SDN场景中， 上述实施 方式提到的网络流量处理设备为交换机， 策略管理设备为控制器。 如果应用 在 SDN以外的场景， 网络流量处理设备也可以是防火墙。
上述技术方案， 策略管理设备根据流经网络流量处理设备的网络数据流 的属性， 确定所述网络数据流所属的安全域， 然后根据策略管理设备中每个 安全域内基于网络数据流属性的控制策略以及所述网络数据流的属性值， 确 定对所述网络数据流采用的控制行为； 所述网络流量处理设备根据所述控制 行为对所述网络数据流进行处理。 由于安全域是基于各个租户安全策略的作 用范围而划分的。 因此， 通过这种方式， 安全设备虚拟化的数量， 可以不再 受限于专业安全设备本身所支持的 "虚拟端口" 等与协议相关的虚拟设备的 数量， 而仅受安全设备本身处理能力的限制； 安全设备虚拟化的技术也不再 需要基于 VLAN/VPN等特定技术实现； 在安全设备虚拟化之后， 多个租户可 以共用一个安全设备而互不影响， 并且能在 SDN系统中使用不同租户的安全 策略来实现安全功能。
在本申请所提供的几个实施方式中， 应该理解到， 所揭露的系统， 装置 和方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施方式仅仅 是示意性的， 例如， 所述模块或单元的划分， 仅仅为一种逻辑功能划分， 实 际实现时可以有另外的划分方式， 例如多个单元或组件可以结合或者可以集 成到另一个系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论 的相互之间的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单元 的间接耦合或通信连接， 可以是电性， 机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的， 作 为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的部分或 者全部单元来实现本实施方式方案的目的。
另外， 在本申请各个实施方式中的各功能单元可以集成在一个处理单元 中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一 个单元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用软件功 能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售 或使用时， 可以存储在一个计算机可读取存储介质中。 基于这样的理解， 本 申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的 全部或部分可以以软件产品的形式体现出来， 该计算机软件产品存储在一个 存储介质中， 包括若干指令用以使得一台计算机设备（可以是个人计算机， 服务器， 或者网络设备等）或处理器（processor )执行本申请各个实施方式所 述方法的全部或部分步骤。 而前述的存储介质包括： U盘、 移动硬盘、 只读 存储器（ROM, Read-Only Memory ),随机存取存储器（RAM, Random Access Memory )、 磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅为本申请的实施方式， 并非因此限制本申请的专利范围， 凡 是利用本申请说明书及附图内容所作的等效结构或等效流程变换， 或直接或 间接运用在其他相关的技术领域， 均同理包括在本申请的专利保护范围内。
发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权利要 求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在内。

Claims

权 利 要 求
1.一种访问控制方法， 其特征在于， 包括：
网络流量处理设备接收到网络数据流后， 向策略管理设备请求所述网络 数据流对应的控制行为， 所述控制行为包括允许网络数据流通过或阻断网络 数据流；
所述网络流量处理设备根据所述控制行为对所述网络数据流进行处理。
2.根据权利要求 1所述的方法， 其特征在于， 所述向策略管理设备请求所 述网络数据流对应的控制行为， 具体包括：
所述网络流量处理设备向所述策略管理设备发送所述数据流， 接收所述 策略管理设备返回的控制行为； 或
所述网络流量处理设备从所述网络数据流中提取所述网络数据流的属性 值， 向所述策略管理设备发送所述属性值， 接收所述策略管理设备返回的控 制行为， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目标传 输控制协议端口中的至少一种。
3.—种访问控制方法， 其特征在于， 包括：
策略管理设备接收来自网络流量处理设备的网络数据流控制行为请求， 从所述请求中获取所述网络数据流的属性值， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地址、 目标网络硬件地址、 源 IP地址、 目标 IP 地址、 源传输控制协议端口、 目标传输控制协议端口中的至少一种；
根据所述网络数据流的属性值确定所述网络数据流所属的安全域， 所述 安全域是同一租户采用相同安全策略的网络或系统的集合， 属于同一安全域 的网络数据流共享一组相同的控制策略；
根据所述安全域查找对应的基于网络数据流属性的控制策略， 所述控制 策略包括对属于该安全域的符合预设条件的网络数据流采用的控制行为， 所 述预设条件包括至少一种所述属性的属性值范围， 所述控制行为包括允许网 络数据流通过或阻断网络数据流；
根据查找到的控制策略和所述网络数据流的属性值， 确定对所述网络数 据流采用的控制行为；
将所述控制行为发送给所述网络流量处理设备， 以使网络流量处理设备 根据所述控制行为对所述网络数据流进行处理。
4.根据权利要求 3所述的方法， 其特征在于，
所述策略管理设备接收来自网络流量处理设备的网络数据流控制行为请 求， 从所述请求中获取所述网络数据流的属性的步骤之前， 还包括：
策略管理设备根据各个租户的安全策略信息， 生成每个安全域基于网络 数据流属性的所述控制策略。
5.根据权利要求 4所述的方法， 其特征在于，
所述各个租户的安全策略信息至少包括安全域标识、 安全域与网络数据 流属性的对应关系以及安全域内的安全策略；
所述根据所述网络数据流的属性值确定所述网络数据流所属的安全域， 具体包括：
根据所述安全域与网络数据流属性的对应关系， 从所述网络数据流的属 性值中提取安全域对应的属性值；
将提取的属性值与各安全域对应的属性值进行匹配， 确定所述网络数据 流所属的安全域。
6.根据权利要求 5所述的方法， 其特征在于，
所述安全域与网络数据流属性的对应关系包括安全域与虚拟局域网标 识、 网络硬件地址集合、 虚拟专用网隧道集合、 源物理端口的集合中任一种 或两种以上网络数据流属性组合的对应关系。
7.根据权利要求 3至 6任一所述的方法， 其特征在于，
所述网络流量处理设备为交换机， 所述策略管理设备为控制器。
8.—种网络流量处理设备，其特征在于， 包括请求模块和处理模块，其中： 所述请求模块用于接收到网络数据流后， 向策略管理设备请求所述网络 数据流对应的控制行为， 所述控制行为包括允许网络数据流通过或阻断网络 数据流；
所述处理模块用于根据策略管理设备返回的所述控制行为对所述网络数 据流进行处理。
9.根据权利要求 8所述的设备， 其特征在于，
所述请求模块用于向所述策略管理设备发送所述网络数据流或从所述网 络数据流中提取的网络数据流属性值， 以向策略管理设备请求所述网络数据 流对应的控制行为， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络 硬件地址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端 口、 目标传输控制协议端口中的至少一种属性值。
10.—种策略管理设备， 其特征在于， 包括接收模块、 第一确定模块、 查 找模块、 第二确定模块以及发送模块， 其中：
所述接收模块用于接收来自网络流量处理设备的网络数据流控制行为请 求， 从所述请求中获取所述网络数据流的属性值， 并将所述属性值发送给所 述确定模块， 所述属性值包括源物理端口、 虚拟局域网标识、 源网络硬件地 址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源传输控制协议端口、 目 标传输控制协议端口中的至少一种属性值；
所述第一确定模块用于根据所述网络数据流的属性值确定所述网络数据 流所属的安全域， 所述安全域是同一租户采用相同安全策略的网络或系统的 集合， 属于同一安全域的网络数据流共享一组相同的控制策略；
所述查找模块用于根据所述第一确定模块确定出的所述安全域， 查找对 应的基于网络数据流属性的控制策略， 所述控制策略包括对属于该安全域的 符合预设条件的网络数据流采用的控制行为， 所述预设条件包括至少一种所 述属性的属性值范围， 所述控制行为包括允许网络数据流通过或阻断网络数 据流；
所述第二确定模块用于根据所述查找模块查找到的控制策略和所述网络 数据流的属性值， 确定对所述网络数据流采用的控制行为， 将所述控制行为 输出给所述发送模块，
所述发送模块用于将所述第二确定模块得到的对所述网络数据流采用的 控制行为发送给所述网络流量处理设备， 以使所述网络流量处理设备根据所 述控制行为对所述网络数据流进行处理。
11.根据权利要求 10所述的设备， 其特征在于，
所述设备还包括策略生成模块， 用于根据各个租户的安全策略信息， 生 成每个安全域基于网络数据流属性的控制策略， 将所述每个安全域基于网络 数据流属性的控制策略输出给所述确定模块和所述查找模块。
12.—种网络系统， 其特征在于， 包括权利要求 8-9任一项所述的网络流 量处理设备以及权利要求 10-11任一项所述的策略管理设备。
13.—种网络流量处理设备， 其特征在于， 包括存储器、 处理器、 接收器 和发送器， 其中： 所述存储器， 用于存储程序代码；
所述接收器， 用于接收需要处理的网络数据流；
所述处理器， 用于读取所述存储器中存储的程序代码， 执行： 从所述网 络数据流中提取数据流的属性值， 其中， 数据流的属性值包括源物理端口、
Vlan ID、 源 MAC地址、 目标 MAC地址、 源 IP地址、 目标 IP地址、 源 TCP 端口、 目标 TCP端口中的至少一种属性值；
所述发送器， 用于将数据流或所述处理器提取得到的数据流的属性值发 送给策略管理设备以获取网络数据流对应的控制行为；
所述处理器， 还用于根据策略管理设备返回的网络数据流对应的控制行 为， 对网络数据流进行处理。
14.一种策略管理设备， 其特征在于， 包括处理器、 存储器、 接收器和发 送器， 其中：
所述存储器， 用于存储程序代码；
所述接收器， 用于接收网络数据流的控制行为请求， 请求中包括网络数 据流或网络数据流的属性值；
所述处理器， 用于读取所述存储器中存储的程序代码， 执行： 从所述请 求中获取所述网络数据流的属性值， 所述属性值包括源物理端口、 虚拟局域 网标识、 源网络硬件地址、 目标网络硬件地址、 源 IP地址、 目标 IP地址、 源 传输控制协议端口、 目标传输控制协议端口中的至少一种；
根据所述网络数据流的属性值确定所述网络数据流所属的安全域， 所述 安全域是同一租户采用相同安全策略的网络或系统的集合， 属于同一安全域 的网络数据流共享一组相同的控制策略；
根据所述安全域查找对应的基于网络数据流属性的控制策略， 所述控制 策略包括对属于该安全域的符合预设条件的网络数据流采用的控制行为， 所 述预设条件包括至少一种所述属性的属性值范围， 所述控制行为包括允许网 络数据流通过或阻断网络数据流；
根据查找到的控制策略和所述网络数据流的属性值， 确定对所述网络数 据流采用的控制行为； 将所述控制行为输出给发送器；
所述发送器， 用于将所述处理器确定的所述控制行为发送给所述网络流 量处理设备。
PCT/CN2014/070715 2013-03-26 2014-01-16 访问控制方法及设备、系统 Ceased WO2014154040A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310101301.9 2013-03-26
CN201310101301.9A CN103152361B (zh) 2013-03-26 2013-03-26 访问控制方法及设备、系统

Publications (1)

Publication Number Publication Date
WO2014154040A1 true WO2014154040A1 (zh) 2014-10-02

Family

ID=48550223

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/070715 Ceased WO2014154040A1 (zh) 2013-03-26 2014-01-16 访问控制方法及设备、系统

Country Status (2)

Country Link
CN (1) CN103152361B (zh)
WO (1) WO2014154040A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113452722A (zh) * 2021-08-30 2021-09-28 统信软件技术有限公司 一种用户隔离方法、数据传输方法、计算设备及存储介质

Families Citing this family (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103152361B (zh) * 2013-03-26 2015-12-02 华为技术有限公司 访问控制方法及设备、系统
WO2015066878A1 (zh) 2013-11-07 2015-05-14 华为技术有限公司 Sdn网络中的控制设备和控制方法
CN103581325B (zh) * 2013-11-11 2017-11-03 中国联合网络通信集团有限公司 一种云计算资源池系统及其实现方法
US10009287B2 (en) * 2013-12-26 2018-06-26 Huawei Technologies Co., Ltd. Hierarchical software-defined network traffic engineering controller
CN103701824B (zh) * 2013-12-31 2017-06-06 大连环宇移动科技有限公司 一种安全隔离管控系统
CN103763309B (zh) * 2013-12-31 2018-03-30 曙光云计算集团有限公司 基于虚拟网络的安全域控制方法和系统
CN105684505B (zh) * 2014-01-29 2019-08-23 华为技术有限公司 通信网络、设备和控制方法
CN104023034B (zh) * 2014-06-25 2017-05-10 武汉大学 一种基于软件定义网络的安全防御系统及防御方法
CN104092684B (zh) * 2014-07-07 2017-10-03 新华三技术有限公司 一种OpenFlow协议支持VPN的方法及设备
CN105450603A (zh) * 2014-08-22 2016-03-30 杭州迪普科技有限公司 一种报文处理方法和装置
CN105656841B (zh) * 2014-11-11 2018-12-11 新华三技术有限公司 一种软件定义网络中实现虚拟防火墙的方法和装置
CN104394080A (zh) * 2014-11-28 2015-03-04 杭州华三通信技术有限公司 实现安全组功能的方法及装置
CN104506511A (zh) * 2014-12-15 2015-04-08 蓝盾信息安全技术股份有限公司 一种sdn网络动态目标防御系统及方法
CN105763512B (zh) * 2014-12-17 2019-03-15 新华三技术有限公司 Sdn虚拟化网络的通信方法和装置
CN104580168B (zh) * 2014-12-22 2019-02-26 华为技术有限公司 一种攻击数据包的处理方法、装置及系统
EP3261304B1 (en) 2015-03-18 2022-04-20 Huawei Technologies Co., Ltd. Method and apparatus for performing communication in software-defined networking, and communications system
CN105591953B (zh) * 2015-09-18 2019-09-06 新华三技术有限公司 一种OpenFlow实例的实现方法和装置
CN108156117B (zh) * 2016-12-05 2021-04-27 中国移动通信有限公司研究院 一种进行安全控制的方法、交换机以及过滤设备
CN107563224B (zh) * 2017-09-04 2020-07-28 浪潮集团有限公司 一种多用户物理隔离方法及装置
CN107819683B (zh) * 2017-10-25 2021-01-26 杭州安恒信息技术股份有限公司 安全资源池实现租户业务流量编排的方法、装置及电子设备
CN107864126A (zh) * 2017-10-30 2018-03-30 国云科技股份有限公司 一种云平台虚拟网络行为检测方法
CN108228318B (zh) * 2017-12-29 2021-08-06 优刻得科技股份有限公司 云容器与管理装置通信的方法、宿主机、系统和存储介质
CN110351394B (zh) * 2018-04-02 2022-11-22 深信服科技股份有限公司 网络数据的处理方法及装置、计算机装置及可读存储介质
CN109088886B (zh) * 2018-09-29 2021-10-01 郑州云海信息技术有限公司 在防火墙上监控策略的管理方法和装置
CN112532405A (zh) * 2019-09-17 2021-03-19 中兴通讯股份有限公司 软件定义网络sdn网络构建方法及装置
CN112769879A (zh) * 2019-11-01 2021-05-07 上汽通用汽车有限公司 用于保护车载通信系统安全的方法和装置
WO2021142803A1 (zh) 2020-01-17 2021-07-22 Oppo广东移动通信有限公司 一种安全信息发现方法、安全信息配置方法及设备
CN113114640B (zh) * 2021-03-29 2022-05-27 新华三大数据技术有限公司 一种认证方法及装置
CN115086017A (zh) * 2022-06-14 2022-09-20 杭州安恒信息安全技术有限公司 基于安全域的网络数据处理方法、装置、系统和电子设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1412996A (zh) * 2002-04-15 2003-04-23 华为技术有限公司 网络设备中基于接口的网络访问控制方法
CN101115018A (zh) * 2007-09-17 2008-01-30 中兴通讯股份有限公司 控制设备访问的方法
CN102404325A (zh) * 2011-11-23 2012-04-04 华为技术有限公司 报文访问控制方法及交换机
CN103152361A (zh) * 2013-03-26 2013-06-12 华为技术有限公司 访问控制方法及设备、系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1412996A (zh) * 2002-04-15 2003-04-23 华为技术有限公司 网络设备中基于接口的网络访问控制方法
CN101115018A (zh) * 2007-09-17 2008-01-30 中兴通讯股份有限公司 控制设备访问的方法
CN102404325A (zh) * 2011-11-23 2012-04-04 华为技术有限公司 报文访问控制方法及交换机
CN103152361A (zh) * 2013-03-26 2013-06-12 华为技术有限公司 访问控制方法及设备、系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113452722A (zh) * 2021-08-30 2021-09-28 统信软件技术有限公司 一种用户隔离方法、数据传输方法、计算设备及存储介质

Also Published As

Publication number Publication date
CN103152361B (zh) 2015-12-02
CN103152361A (zh) 2013-06-12

Similar Documents

Publication Publication Date Title
WO2014154040A1 (zh) 访问控制方法及设备、系统
US11656900B2 (en) Frameworks and interfaces for offload device-based packet processing
CN107332812B (zh) 网络访问控制的实现方法及装置
JP6487979B2 (ja) オフロードデバイスベースのパケット処理のためのフレームワークおよびインターフェース
US8880771B2 (en) Method and apparatus for securing and segregating host to host messaging on PCIe fabric
JP6151394B2 (ja) 仮想クラウドインフラストラクチャへの仮想セキュリティ装置アーキテクチャの提供
US10320838B2 (en) Technologies for preventing man-in-the-middle attacks in software defined networks
US9350558B2 (en) Systems and methods for providing multicast routing in an overlay network
US8837476B2 (en) Overlay network capable of supporting storage area network (SAN) traffic
EP2779531B1 (en) System and method for abstracting network policy from physical interfaces and creating portable network policy
US9042403B1 (en) Offload device for stateless packet processing
CN103748558B (zh) 用于在物理网络上覆盖虚拟网络的系统和方法
CN103118149B (zh) 同一租户内服务器间的通信控制方法及网络设备
CN103404084B (zh) Mac地址强制转发装置及方法
US10432628B2 (en) Method for improving access control for TCP connections while optimizing hardware resources
US20150103692A1 (en) Host Traffic Driven Network Orchestration within Data Center Fabric
US20180006969A1 (en) Technique for gleaning mac and ip address bindings
WO2015014187A1 (zh) 一种支持多租户的数据转发方法和装置
US10423434B2 (en) Logical port authentication for virtual machines
Kreeger et al. Network Virtualization Overlay Control Protocol Requirements
US12126521B2 (en) Policy enforcement on multi-destination packets in a distributed tunnel fabric
CN115987609A (zh) 可信虚拟主机的识别方法、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14772877

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14772877

Country of ref document: EP

Kind code of ref document: A1