[发明专利]业务数据流的控制方法和网络设备

说明书

本发明实施例提供一种业务数据流的控制方法和网络设备。本发明业务数据流的控制方法，包括：网络设备接收业务数据流，获取业务数据流中基于标签控制协议而携带的控制标签；网络设备根据控制标签，利用控制器下发的、基于安全组信息的准入控制配置信息和应用控制配置信息，对业务数据流进行网络访问控制，网络访问控制包括准入控制和应用控制中至少一项。本发明实施例可以实现对业务数据流进行准入控制和/或应用控制，从而有效提升网络设备对业务数据流的处理效率。

技术领域

本发明实施例涉及网络技术，尤其涉及一种业务数据流的控制方法和网络设备。

背景技术

随着网络新技术快速发展，移动终端迅速普及，移动办公和无线接入也随之兴起。对于采用任意终端，随时随地接入网络，并在不同地点接入网络后具有相同转发优先级、网络带宽以及网络访问权限和安全策略，成为企业网络的发展趋势。

针对这一趋势，基于软件定义网络(Software Defined Network,简称SDN)概念，提出在网络中增加网络控制器(Controller)组件，利用该控制器对全网用户信息进行集中控制。具体的，Controller将安全组信息全网同步到各执行点设备上，该执行点设备包括交换机、防火墙等，该安全组信息是指受保护的网络资源的信息或终端用户的信息，用户认证上线执行点设备获取业务流量的安全组信息，对业务流量进行准入控制或应用控制，其中，准入控制具体指对网络的边界进行保护，对接入网络的终端进行控制，而应用控制具体指基于准入的前提，对网络的边界应用流量进行保护，对接入网络的终端的应用流量进行控制。

然而，现有技术中各执行点设备只能对业务流量进行准入控制或者应用控制，这样使得执行点设备对业务流量的处理效率较低，因此如何提高执行点设备对业务流量的处理效率是如今亟待解决的一技术问题。

发明内容

本发明实施例提供一种业务数据流的控制方法和网络设备，以解决现有技术中执行点设备对业务流量的处理效率低的问题。

第一方面，本发明实施例提供一种业务数据流的控制方法，包括：

网络设备接收业务数据流，获取所述业务数据流中基于标签控制协议而携带的控制标签；

所述网络设备根据所述控制标签，利用控制器下发的、基于安全组信息的准入控制配置信息和应用控制配置信息，对所述业务数据流进行网络访问控制，所述网络访问控制包括准入控制和应用控制中至少一项。

结合第一方面，在第一方面的第一种可能的实现方式中，若所述网络设备为防火墙设备，所述网络设备根据所述控制标签，利用控制器下发的、基于安全组信息的准入控制配置信息和应用控制配置信息，对所述业务数据流进行网络访问控制，包括：

若所述控制标签为第一信息，则利用所述准入控制配置信息和所述应用控制配置信息，分别对所述业务数据流进行准入控制和应用控制；所述第一信息用于指示所述业务数据流的接收方，尚未对所述业务数据流进行准入控制和应用控制；

若所述控制标签为第二信息，则仅利用所述应用控制配置信息，对所述业务数据流进行应用控制；所述第二信息用于指示所述业务数据流的接收方，已经完成对所述业务数据流的准入控制，但尚未进行应用控制；

若所述控制标签为第三信息，则仅利用所述准入控制配置信息，对所述业务数据流进行准入控制；所述第三信息用于指示所述业务数据流的接收方，已经完成对所述业务数据的应用控制，但尚未进行准入控制；

若所述控制标签为第四信息，则直接转发所述业务数据流；所述第四信息用于指示所述业务数据流的接收方，已经完成对所述业务数据流的准入控制和应用控制。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述方法还包括：