[发明专利]防火墙流表备份方法、防火墙及防火墙系统

说明书

本发明提供一种防火墙流表备份方法、防火墙及防火墙系统。本发明提供的防火墙流表备份方法，其系统内包括工作在网络地址转换NAT模式下且互为热备的主防火墙和从防火墙，方法包括：所述主防火墙转发报文流的首报文时，获取所述报文流的流表和NAT连接信息；所述主防火墙将所述报文流的流表和NAT连接信息发送给所述从防火墙，以使所述从防火墙根据所述报文流的流表和NAT连接信息转发所述报文流的非首报文。本发明可以防止防火墙在进行流量切换时发生业务中断。

技术领域

本发明实施例涉及网络技术，尤其涉及一种防火墙流表备份方法、防火墙及防火墙系统。

背景技术

防火墙通常由软件和硬件设备组成，部署于内网和外网之间、专用网和公共网、局域网和互联网之间、用于保护内部网、专用网或者局域网不受非法用户入侵或者病毒、木马的攻击。当有流量经过时，防火墙会根据会话报文中首包的协议号、源网络互联协议(Internet Protocol，简称IP)地址、目的IP地址、源端口地址、目的端口地址分别创建正向和反向流表项，后续报文会根据正向或者反向流表项进行转发。

目前，在高可用环境下，防火墙可以采取双机热备份的组网方式进行工作，当其中一台设备出现故障时，业务流量都能自动切换到另一台设备上来处理。其具体方法为通过在配置为双机热备关系的第一、第二设备上分别实现一个会话备份单元，根据每个会话的首包建立会话表项并向对方设备备份，且第一或第二设备在收到自身没有匹配会话表项的非首报文时，将该报文透传至对方设备查询匹配的会话表项，并将查询得到的会话表项返回自身进行备份用于报文转发。

然而，在网络地址转换(Network Address Translation，简称NAT)的应用场景下，防火墙在备份会话流表后，防火墙的NAT功能会对内部私有网络IP地址与外部IP地址进行转换，并根据报文流里控制连接中的报文载荷生成NAT内部私有的期望连接；这样当根据控制连接的报文载荷而生成的数据连接报文到达防火墙的时候，防火墙会匹配期望连接，以完成报文的发送。如果报文在NAT应用场景下转发时，只备份了会话表项本身，而期望连接没有备份到对方设备，就会导致数据连接创建失败，相应的业务也随之发生中断。

发明内容

本发明提供一种防火墙备份方法、防火墙及防火墙系统，以解决进行NAT业务的防火墙在进行流量切换时造成的业务中断问题。

第一方面，本发明提供一种防火墙流表备份方法，系统内包括工作在网络地址转换NAT模式下且互为热备的主防火墙和从防火墙，包括：

主防火墙转发报文流的首报文时，获取报文流的流表和NAT连接信息；

主防火墙将报文流的流表和NAT连接信息发送给从防火墙，以使从防火墙根据报文流的流表和NAT连接信息转发报文流的非首报文。

结合第一方面，在第一种实施方式中，NAT连接信息包括报文流的报文长度差值信息、NAT模式的期望连接信息和父子流信息，其中报文长度差值信息用于确定报文流中报文经过NAT模式转换后的传输控制协议TCP序列号，期望连接信息用于确定经过NAT模式转换后报文流的数据连接以及生成父子流信息，父子流信息用于确定报文流的父/子报文流。

结合第一方面和第一种实施方式，在第二种实施方式中，报文流的报文长度差值信息为报文流在经过NAT转换前后报文长度的差值。

结合第一方面和第一种实施方式，在第三种实施方式中，报文流的期望连接信息包含报文流在经过NAT模式转换前后数据连接的端口之间的匹配关系以及用于生成父子流信息的信息。

结合第一方面和前三种实施方式，在第四种实施方式中，主防火墙将报文流的流表和NAT连接信息发送给从防火墙具体包括：

主防火墙通过专用链路将报文流的流表和NAT连接信息发送给从防火墙。