[发明专利]一种防火墙策略控制的方法及装置

权利要求书

1.一种防火墙策略控制的方法，其中该方法应用于同一物理设备同时被虚拟化为多个虚拟设备构成的网络系统中，且多个虚拟设备之间需要实现防火墙策略控制，其特征在于，所述方法包括如下步骤：

步骤1、根据用户配置的在防火墙上生成一个虚拟接口，其中所述虚拟接口具体包括虚拟接口ID、IP地址组或者MAC地址组以及安全域信息及其之间的对应关系；

步骤2、防火墙根据虚拟接口找到相应的安全域，进而进行安全策略的控制。

2.如权利要求1所述的方法，其特征在于，所述步骤1中的虚拟接口仅用于标示报文的入接口和出接口，但不参与实际的报文转发。

3.如权利要求1所述的方法，其特征在于，所述步骤2根据虚拟接口找到相应的安全域，进而进行安全策略的控制，具体为：

首先利用地址组判断报文的源和目的地址是否在用户配置的虚拟接口的IP地址组或者MAC地址组范围内，当报文的源地址为地址组范围内的地址时，将其入接口修改为该虚拟接口，报文目的地址为地址组范围内的地址时，将报文出接口位改虚拟接口，通过虚拟接口找到对应的安全域，从而实现云计算数据中心同一台物理设备不同虚拟设备之间的防火墙策略控制。

4.如权利要求1-3中的任何一项所述的方法，其特征在于，如果用户的网络环境为使用DHCP Server动态获取虚拟设备的IP地址时，需要用户配置的IP地址组与DHCP Server的策略对应好，以保证与IP地址组对应的地址只能分给需要控制的一类虚拟设备，而不能随机分配。

5.一种防火墙策略控制的装置，其中所述装置应用于同一物理设备同时被虚拟化为多个虚拟设备构成的网络系统中，所述网络系统进一步包括有防火墙设备，所述装置即可以独立于防火墙设备，又可以作为独立的模块嵌入于防火墙之中，其用于多个虚拟设备之间需要实现防火墙策略控制，其特征在于，所述装置包括：

配置模块，用于让用户在所述装置上配置生成一个虚拟接口，其中所述虚拟接口具体包括虚拟接口ID、IP地址组或者MAC地址组以及安全域信息及其之间的对应关系；

安全模块，用于所述装置根据配置模块生成的虚拟接口找到相应的安全域，进而进行相应的安全策略的控制。

6.如权利要求5所述的装置，其特征在于，所述装置进一步包括接口模块，用于接受虚拟设备发起的报文，当所述接口模块收到虚拟设备发起的报文时，根据前述安全模块下发的地址组与虚拟接口之间的匹配关系，所述接口模块首先利用地址组判断报文的源和目的地址是否在用户配置的虚拟接口的IP地址组或者MAC地址组范围内，当报文的源地址为地址组范围内的地址时，将其入接口修改为该虚拟接口，报文目的地址为地址组范围内的地址时，将报文出接口位改虚拟接口，并将该修改后的IP报文发送给前述安全模块。

7.如权利要求5所述的装置，其特征在于，所述装置进一步包括转发模块，用于根据所述装置学习记录的MAC转发表确认该报文发送的最终物理端口后，把报文从该物理端口发出。

8.如权利要求5所述的装置，其特征在于，所述虚拟接口仅用于标示报文的入接口和出接口，但不参与实际的报文转发。

9.如权利要求8所述的装置，其特征在于，如果用户的网络环境为使用DHCP Server动态获取虚拟设备的IP地址时，需要用户配置的IP地址组与DHCP Server的策略对应好，以保证与IP地址组对应的地址只能分给需要控制的一类虚拟设备，而不能随机分配。