[发明专利]用于消解安全策略冲突的方法、装置和系统

权利要求书

1.一种用于消解安全策略冲突的方法，其特征在于，包括：

当接收到应用代理装置下发的流规则策略时，对所述流规则策略进 行基于别名的语义分析，从而形成所述流规则策略的别名规则集；

将所述流规则策略的别名规则集与当前规则的别名规则集进行比 对，以判断是否存在策略冲突；

若不存在策略冲突，则将所述流规则策略发送给相应交换机，以便 相应交换机根据所述流规则策略进行相应的路由转发。

2.根据权利要求1所述的方法，其特征在于，

若存在策略冲突，则提取所述流规则策略中包括的签名；

利用所述签名验证所述流规则策略是否完整；

若利用所述签名验证所述流规则完整，则查询与所述签名相对应的 角色信息；

利用所述角色信息，识别所述流规则策略的权限级别；

判断所述流规则策略的权限级别是否高于当前规则的权限级别；

若所述流规则策略的权限级别高于当前规则的权限级别，则执行将 所述流规则策略发送给相应交换机的步骤。

3.根据权利要求2所述的方法，其特征在于，

若所述流规则策略的权限级别不高于当前规则的权限级别，则丢弃 所述流规则策略。

4.根据权利要求2所述的方法，其特征在于，

若利用所述签名验证所述流规则策略不完整，则丢弃所述流规则策 略。

5.一种用于消解安全策略冲突的流规则控制装置，其特征在于， 包括接收单元、流规则冲突分析单元和发送单元，其中：

接收单元，用于接收应用代理装置下发的流规则策略；

流规则冲突分析单元，用于当接收单元接收到应用代理装置下发的 流规则策略时，对所述流规则策略进行基于别名的语义分析，从而形成 所述流规则策略的别名规则集；将所述流规则策略的别名规则集与当前 规则的别名规则集进行比对，以判断是否存在策略冲突；

发送单元，用于根据流规则冲突分析单元的判断结果，若不存在策 略冲突，则将所述流规则策略发送给相应交换机，以便相应交换机根据 所述流规则策略进行相应的路由转发。

6.根据权利要求5所述的装置，其特征在于，还包括源授权识别 单元和流规则状态管理单元，其中：

源授权识别单元，用于根据流规则冲突分析单元的判断结果，若存 在策略冲突，则提取所述流规则策略中包括的签名；利用所述签名验证 所述流规则策略是否完整；若利用所述签名验证所述流规则完整，则查 询与所述签名相对应的角色信息，并将所述角色信息发送给流规则状态 管理单元；

流规则状态管理单元，用于利用所述角色信息，识别所述流规则策 略的权限级别；判断所述流规则策略的权限级别是否高于当前规则的权 限级别；若所述流规则策略的权限级别高于当前规则的权限级别，则指 示发送单元执行将所述流规则策略发送给相应交换机的操作。

7.根据权利要求6所述的装置，其特征在于，

流规则状态管理单元还用于在所述流规则策略的权限级别不高于 当前规则的权限级别时，丢弃所述流规则策略。

8.根据权利要求6所述的装置，其特征在于，

源授权识别单元还用于在利用所述签名验证所述流规则策略不完 整时，将验证结果发送给流规则冲突分析单元；

流规则冲突分析单元还用于根据所述验证结果，丢弃所述流规则策 略。

9.一种用于消解安全策略冲突的系统，其特征在于，包括应用代 理装置、流规则控制装置和交换机，其中：

应用代理装置，用于向流规则控制装置下发流规则策略；

流规则控制装置，为权利要求5-8中任一项涉及的流规则控制装置；

交换机，用于在接收到流规则控制装置发送的流规则策略时，根据 所述流规则策略进行相应的路由转发。

10.根据权利要求9所述的系统，其特征在于，

应用代理装置具体在生成规则后，利用预先分配的密钥对生成的规 则进行签名，以得到流规则策略。