[发明专利]一种基于Openflow的虚拟防火墙传输控制方法及系统

权利要求书

1.一种基于Openflow的虚拟防火墙传输控制方法，其特征在于，所述基于Openflow的虚拟防火墙传输控制方法包括以下步骤：

数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转发端口及其路径；若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则的指定和下发；

防火墙过滤规则文件，rules.Config为防火墙规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；

若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢弃；若提取信息与防火墙规则匹配，则此包允许传输接收；若提取信息不满足任何防火墙规则，则此包被丢弃；

所述关键信息包括：数据来源以太网端口，到达的交换机端口，来源IP地址，目标IP地址；

所述防火墙中数据包处理包括：

截获进入防火墙的数据包；

按照协议字段分解数据包；

获取数据包传输控制信息；

将传输控制信息与rules.Config中的传输规则进行匹配以判断对相应数据包的操作，包括：源IP地址匹配、目的IP地址匹配、传输协议匹配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配；

执行判定的结果，包括数据包丢弃和数据包通过。

2.如权利要求1所述的基于Openflow的虚拟防火墙传输控制方法，其特征在于，数据包头解析与匹配包括：

解析过程包括截获进入防火墙的数据包、按照协议字段分解数据包、获取数据包传输控制信息；

匹配过程包括源IP地址匹配，目的IP地址匹配、传输协议匹配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配。

3.如权利要求1所述的基于Openflow的虚拟防火墙传输控制方法，其特征在于，所述虚拟防火墙限制数据流经包括：同一网络和不同网络中数据包的传输。

4.如权利要求3所述的基于Openflow的虚拟防火墙传输控制方法，其特征在于，同一网络中，数据包的传输处于网络A中的终端host2向网络A的终端host3发送数据包，防火墙限制数据流经过程如下：

终端host2将host3地址作为目标地址，发送数据包Packet；

交换机switch1检测到链路中存在数据包，向控制器发送处理数据包请求；

控制器策略应用相应请求，向交换机switch1下发流指令，将数据包目标地址定义为虚拟防火墙地址；

交换机switch1根据控制器指定的路径，将数据包Packet送达虚拟防火墙处，并等待防火墙处理；

防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙将可疑数据包丢弃；若Packet合法，防火墙通知控制器:Packet合法，控制器将数据包重新定义到网络A的内网链路；

控制器向交换机switch1下达传输命令，switch1将数据包转发至终端host3处；

不同网络中，数据包的传输，处于网络A中的终端host2向网络B的终端host8发送数据包，防火墙限制数据流经过程如下：

网络A的终端host2将网络B的终端host8地址作为目标地址，发送数据包Packet；

控制器策略应用相应请求，向交换机switch1下发流指令，将数据包目标地址定义为虚拟防火墙地址；

防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙将可疑数据包丢弃；若Packet合法，防火墙通知控制器:Packet合法，控制器将数据包重新定义到网络B的外网链路；

Packet通过外网链路传输，数据包达到网络B的防火墙处，并等待防火墙B处理；

防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙B将可疑数据包丢弃；若Packet合法，防火墙通知控制器:Packet合法，控制器向防火墙下达命令，将Packet重新定义到网络B的内网链路；

控制器向交换机switch2下达传输命令，swicth2将数据包转发至终端host8。

5.一种如权利要求1所述基于Openflow的虚拟防火墙传输控制方法的虚拟防火墙传输控制系统，其特征在于，所述虚拟防火墙传输控制系统包括：

数据包匹配模块，数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转发端口及其路径；若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则的指定和下发；

包头信息提取模块，防火墙过滤规则文件，rules.Config为防火墙规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；

转发匹配模块，若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢弃；若提取信息与防火墙规则匹配，则此包允许传输接收；若提取信息不满足任何防火墙规则，则此包被丢弃；

所述虚拟防火墙传输控制系统进一步包括：内网模块、终端、虚拟交换机、控制器、防火墙；

内网模块，用于控制内网数据传输；

终端，与虚拟交换机连接，是数据的发出端或接受端发出数据或者接受数据；

虚拟交换机，用于实现数据包转发将接受的数据包通过指定的端口发出；

控制器，与内网模块连接，用于根据数据包解析的结果和转发规则匹配以判定对对应数据包的操作；

防火墙，与内网模块和控制器连接，用于包头解析，分离出IP地址，MAC地址，将解析数据与防火墙定义的规则进行匹配。