[发明专利]防火墙流表备份方法、防火墙及防火墙系统

权利要求书

1.一种防火墙流表备份方法，系统内包括工作在网络地址转换NAT模式下且互为热备的主防火墙和从防火墙，其特征在于，包括：

所述主防火墙转发报文流的首报文时，获取所述报文流的流表和NAT连接信息；

所述主防火墙将所述报文流的流表和NAT连接信息发送给所述从防火墙，以使所述从防火墙根据所述报文流的流表和NAT连接信息转发所述报文流的非首报文；

所述NAT连接信息包括所述报文流的报文长度差值信息、所述NAT模式的期望连接信息和父子流信息，其中所述报文长度差值信息用于确定所述报文流中报文经过所述NAT模式转换后的传输控制协议TCP序列号，所述期望连接信息用于确定经过所述NAT模式转换后所述报文流的数据连接以及生成父子流信息，所述父子流信息用于确定所述报文流的父/子报文流。

2.根据权利要求1所述的防火墙流表备份方法，其特征在于，所述报文流的报文长度差值信息为所述报文流在经过所述NAT转换前后报文长度的差值。

3.根据权利要求1所述的防火墙流表备份方法，其特征在于，所述报文流的期望连接信息包含所述报文流在经过所述NAT模式转换前后数据连接的端口之间的匹配关系以及用于生成所述父子流信息的信息。

4.根据权利要求1至3任一项所述的防火墙流表备份方法，其特征在于，所述主防火墙将所述报文流的流表和NAT连接信息发送给从防火墙具体包括：

所述主防火墙通过专用链路将所述报文流的流表和NAT连接信息发送给所述从防火墙。

5.一种防火墙流表备份方法，系统内包括工作在网络地址转换NAT模式下且互为热备的主防火墙和从防火墙，其特征在于，包括：

所述从防火墙接收所述主防火墙发送的报文流的流表和NAT连接信息；

所述从防火墙根据所述流表和所述NAT连接信息转发所述报文流的非首报文；

所述NAT连接信息包括所述报文流的报文长度差值信息、所述报文流的期望连接信息和所述报文流的父子流信息。

6.根据权利要求5所述的防火墙流表备份方法，其特征在于，所述从防火墙根据所述流表和所述NAT连接信息转发所述报文流的非首报文具体包括：

若所述报文流为控制连接，则所述从防火墙根据所述报文流的报文长度差值信息还原所述报文流的传输控制TCP序列号，根据所述流表并在所述NAT连接上按照所述报文流的TCP协议序列号转发所述报文流的非首报文；

若所述报文流为数据连接，则所述从防火墙根据所述父子流信息确定所述报文流的安全策略与所述报文流的网络互联协议IP地址，根据所述期望连接信息确定所述报文流的端口匹配关系和生成父子流信息，根据所述流表、所述报文流的IP地址和所述报文流的端口匹配关系建立所述数据连接，并转发所述报文流的非首报文。

7.根据权利要求6所述的防火墙流表备份方法，其特征在于，所述报文流的报文长度差值信息为所述报文流在经过所述NAT模式转换前后报文长度的差值。

8.根据权利要求6所述的防火墙流表备份方法，其特征在于，所述报文流的期望连接信息包含所述报文流在经过所述NAT模式转换前后所述数据连接的端口的匹配关系以及用于生成所述父子流信息的信息。

9.根据权利要求6所述的防火墙流表备份方法，其特征在于，所述根据父子流信息确定所述报文流的安全策略与所述报文流的网络互联协议IP地址具体包括：

确定所述报文流所属的父/子流；

如果所述报文流为子流，根据所述报文流的父流的安全策略确定所述报文流的安全策略与IP地址。

10.根据权利要求5-9任一项所述的防火墙流表备份方法，其特征在于，所述从防火墙接收主防火墙发送的报文流的流表和网络地址转换NAT连接信息具体包括：所述从防火墙通过专用链路接收所述报文流的流表和NAT连接信息。