[发明专利]提高安全集群处理性能的方法及装置

权利要求书

1.一种提高安全集群处理性能的方法，其特征在于，控制器通过管理链路连接安全集群内的各安全节点以及安全集群的上、下游交换机，该方法包括：

控制器接收下游交换机通过管理链路重定向给本控制器的数据流的首报文，在安全集群中选择一个安全节点，以便由该安全节点对该首报文执行安全业务处理，并在执行完安全业务处理后向控制器发送会话创建同步报文，该报文中包含该会话报文的正向和反向五元组信息；

控制器通过安全节点发来的正向和反向五元组信息生成正向流表和反向流表，两个流表中的下一跳IP地址为安全集群的IP地址，且正向流表中包含下游交换机与该安全节点通信的端口信息，反向流表中包含上游交换机与该安全节点通信的端口信息；

控制器将正向流表发给下游交换机、将反向流表发给上游交换机，以使得下游交换机将正向流表对应的数据流发送给该安全节点、上游交换机将反向流表对应的数据流发送给该安全节点，由该安全节点对正向流表对应的数据流和反向流表对应的数据流执行安全业务处理。

2.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

所述控制器接收安全集群中的各安全节点发来的心跳报文，该心跳报文携带对应安全节点的状态信息和负载信息；

所述控制器在安全集群中选择一个安全节点为：控制器根据安全集群中各安全节点的状态信息和负载信息选择一个安全节点。

3.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

所述控制器接收安全节点发来的流删除信息，向创建了数据流的上游交换机和下游交换机发送流表删除报文，该删除报文携带需要删除的流表的标识信息。

4.根据权利要求1所述的方法，其特征在于，所述上游交换机和下游交换机为虚拟在一个物理主机上的两个虚拟交换机。

5.一种提高安全集群处理性能的装置，该装置位于安全集群的外置控制器上，其特征在于，控制器通过管理链路连接安全集群内的各安全节点以及安全集群的上、下游交换机，该装置包括：

流表生成模块：接收下游交换机通过管理链路重定向给本控制器的数据流的首报文，在安全集群中选择一个安全节点，以便由该安全节点对该首报文执行安全业务处理，并在执行完安全业务处理后向控制器发送会话创建同步报文，该报文中包含该会话报文的正向和反向五元组信息；通过安全节点发来的正向和反向五元组信息生成正向流表和反向流表，两个流表中的下一跳IP地址为安全集群的IP地址，且正向流表中包含下游交换机与该安全节点通信的端口信息，反向流表包含上游交换机与该安全节点通信的端口信息；

流表下发模块：将正向流表发给下游交换机、将反向流表发给上游交换机，以使得下游交换机将正向流表对应的数据流发送给该安全节点、上游交换机将反向流表对应的数据流发送给该安全节点，由该安全节点对正向流表和反向流表对应的数据流执行安全业务处理。

6.根据权利要求5所述的装置，其特征在于，所述流表生成模块进一步用于，

接收安全集群中的各安全节点发来的心跳报文，该心跳报文携带对应安全节点的状态信息和负载信息；

且所述流表生成模块在安全集群中选择一个安全节点为：根据安全集群中各安全节点的状态信息和负载信息选择一个安全节点。

7.根据权利要求5所述的装置，其特征在于，所述装置进一步包括：流表删除模块，接收安全节点发来的流删除信息，向创建了数据流的上、下游交换机发送流表删除报文，该删除报文携带需要删除的流表的标识信息。

8.根据权利要求5所述的装置，其特征在于，所述控制器通过管理链路连接的上游交换机和下游交换机为虚拟在一个物理主机上的两个虚拟交换机。