[发明专利]安全服务方法和系统以及安全资源单元

权利要求书

1.一种安全服务方法，其特征在于，包括：

为安全对象服务的安全资源单元提取发送给所述安全对象的数据包中的逻辑标签，所述安全对象和安全资源单元位于同一逻辑网络组，同一逻辑网络组的各个安全资源单元配置的安全资源表的内容是相同的；

安全资源单元比较所述数据包中的逻辑标签与所述逻辑网络组的逻辑组标签是否一致；

如果所述数据包中的逻辑标签与所述逻辑网络组的逻辑组标签一致，安全资源单元继续处理所述数据包；

如果所述数据包中的逻辑标签与所述逻辑网络组的逻辑组标签不一致，安全资源单元丢弃所述数据包。

2.根据权利要求1所述的方法，其特征在于，还包括：

安全资源单元提取所述数据包中的协议标签；安全资源单元比较所述数据包中的协议标签与所述逻辑网络组对应的协议是否匹配；如果匹配，安全资源单元继续处理所述数据包；如果不匹配，安全资源单元丢弃所述数据包；和/或，

安全资源单元提取所述数据包中的源地址信息；安全资源单元判断所述数据包中的源地址信息是否为所述逻辑网络组的许可源地址信息；如果是，安全资源单元继续处理所述数据包；如果不是，安全资源单元丢弃所述数据包。

3.根据权利要求1所述的方法，其特征在于，还包括：

安全资源单元接收邻近安全资源单元发送的地址通告，所述地址通告包括所述邻近安全资源单元的地址信息和所述邻近安全资源单元所属的逻辑网络组的逻辑组标签；

安全资源单元比较所述邻近安全资源单元所属的逻辑网络组的逻辑组标签和所述安全资源单元所属的逻辑网络组的逻辑组标签是否一致；

如果所述邻近安全资源单元所属的逻辑网络组的逻辑组标签和所述安全资源单元所属的逻辑网络组的逻辑组标签不一致，所述安全资源单元丢弃所述地址通告；

如果所述邻近安全资源单元所属的逻辑网络组的逻辑组标签和所述安全资源单元所属的逻辑网络组的逻辑组标签一致，所述安全资源单元学习所述地址通告中的地址信息。

4.根据权利要求3所述的方法，其特征在于，

所述安全资源单元为发生网络属性变更的安全资源单元；在安全资源单元接收邻近安全资源单元发送的地址通告之前，所述安全资源单元向邻近安全资源单元发送地址查询请求；

或者，所述邻近安全资源单元为发生网络属性变更的邻近安全资源单元。

5.根据权利要求4所述的方法，其特征在于，

所述网络属性变更包括虚拟网络协议地址变更、物理网络协议地址变更、逻辑网络组变更中的至少一种变更。

6.根据权利要求1所述的方法，其特征在于，还包括：

业务配置设备获取新增或变更的安全对象的配置信息；

业务配置设备将安全对象分配到所述配置信息对应的逻辑网络组。

7.一种安全资源单元，其特征在于，包括：

数据包逻辑标签提取模块，用于提取发送给所述安全资源单元服务的安全对象的数据包中的逻辑标签；

数据包逻辑标签比较模块，用于比较所述数据包中的逻辑标签与逻辑网络组的逻辑组标签是否一致；

安全处理模块，用于当所述数据包中的逻辑标签与所述逻辑网络组的逻辑组标签一致时，继续处理所述数据包；

数据包丢弃模块，用于当所述数据包中的逻辑标签与所述逻辑网络组的逻辑组标签不一致时，丢弃所述数据包；

其中，所述安全对象和安全资源单元位于同一逻辑网络组，同一逻辑网络组的各个安全资源单元配置的安全资源表的内容是相同的。