[发明专利]业务数据流的控制方法和网络设备

权利要求书

1.一种业务数据流的控制方法，其特征在于，包括：

网络设备接收业务数据流，获取所述业务数据流中基于标签控制协议而携带的控制标签；

所述网络设备根据所述控制标签，利用控制器下发的、基于安全组信息的准入控制配置信息和应用控制配置信息，对所述业务数据流进行网络访问控制，所述网络访问控制包括准入控制和应用控制中至少一项；

其中，所述安全组信息包括受保护的网络资源的信息或终端用户的信息，所述准入控制为对接入网络的终端进行控制，所述应用控制为对接入网络的终端应用流量进行控制。

2.根据权利要求1所述的方法，其特征在于，若所述网络设备为防火墙设备，所述网络设备根据所述控制标签，利用控制器下发的、基于安全组信息的准入控制配置信息和应用控制配置信息，对所述业务数据流进行网络访问控制，包括：

若所述控制标签为第一信息，则利用所述准入控制配置信息和所述应用控制配置信息，分别对所述业务数据流进行准入控制和应用控制；所述第一信息用于指示所述业务数据流的接收方，尚未对所述业务数据流进行准入控制和应用控制；

若所述控制标签为第二信息，则仅利用所述应用控制配置信息，对所述业务数据流进行应用控制；所述第二信息用于指示所述业务数据流的接收方，已经完成对所述业务数据流的准入控制，但尚未进行应用控制；

若所述控制标签为第三信息，则仅利用所述准入控制配置信息，对所述业务数据流进行准入控制；所述第三信息用于指示所述业务数据流的接收方，已经完成对所述业务数据的应用控制，但尚未进行准入控制；

若所述控制标签为第四信息，则直接转发所述业务数据流；所述第四信息用于指示所述业务数据流的接收方，已经完成对所述业务数据流的准入控制和应用控制。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

所述利用所述准入控制配置信息和所述应用控制配置信息，分别对所述业务数据流进行准入控制和应用控制后，将所述第一信息更新为所述第四信息，并转发所述业务数据流；或

所述仅利用所述应用控制配置信息，对所述业务数据流进行应用控制后，将所述第二信息更新为所述第四信息，并转发所述业务数据流；或

所述仅利用所述准入控制配置信息，对所述业务数据流进行准入控制后，将所述第三信息更新为所述第四信息，并转发所述业务数据流；或

所述直接转发所述业务数据流时，保持所述第四信息不变。

4.根据权利要求2或3所述的方法，其特征在于，所述方法还包括：

若判断获知所述业务数据流中不携带有所述控制标签，则利用所述准入控制配置信息和所述应用控制配置信息，分别对所述业务数据流进行准入控制和应用控制，并在所述业务数据流中增加控制标签，且所述控制标签的值为所述第四信息；或

若判断获知所述业务数据流中不携带有所述控制标签，则仅利用所述应用控制配置信息，对所述业务数据流进行应用控制，并在所述业务数据流中增加控制标签，且所述控制标签的值为所述第三信息；或

若判断获知所述业务数据流中不携带有所述控制标签，则仅利用所述准入控制配置信息，对所述业务数据流进行准入控制，并在所述业务数据流中增加控制标签，且所述控制标签的值为所述第二信息。