[发明专利]用于防火墙的系统和方法以及存储有对应程序的介质

说明书

本发明涉及用于防火墙的系统和方法以及存储有对应程序的介质。该系统包括：采集模块，其采集IP信息和ID并根据采集到的IP信息更新共享内存中的IP‑ID映射，IP信息与ID相关联，与该IP‑ID映射的IP信息对应的哈希索引被指示在共享内存的哈希表中，IP信息通过哈希算法得到哈希索引；处理模块，其使用基于IP信息的哈希索引在共享内存的ID缓存池中查找所述IP信息的IP‑ID映射并由IP‑ID映射获得与IP信息对应的ID并使用该ID进行后续防火墙的处理；和共享内存，其包括ID缓存池以及哈希表。利用该系统，不但可以在主机标识符动态变化的情况下准确地基于用户ID执行对应的防火墙策略，而且还能更快速地执行对IP‑ID映射的处理。本发明还提供对应的方法及存储有对应程序的介质。

技术领域

本发明涉及网络安全中的防火墙，特别涉及用于防火墙的系统和方法以及存储有对应程序的介质。

背景技术

现代数据中心正在经历一场变革，其主要驱动力源于云计算和移动技术的快速开展。运营商和广大企业客户的数据中心正在遭遇流量的快速增长，需要高性能、可扩展、高效的数据中心基础设施。为了应对数据流量的增长，应用网络技术已经显著提升，通过强劲的应用交付能力提高数据中心架构的性能和安全性。

在过去五年中，应用网络系统厂商采用的通用CPU架构已从单核、32位CPU系统向多核、64位CPU迁移。然而，大多数的网络应用软件体系结构还没有被优化，不能从根本上充分利用这些新的CPU和系统设计。因此，一些厂商一直未能经济高效地扩展系统性能，以满足现代数据中心的迫切需求。从根本上说，要扩展应用网络系统性能，架构层次需要重新设计。对于该体系结构的再设计，比如，A10就采用了高级核心操作系统平台来实现，从而优化数据中心的应用性能和安全性。

出于安全的考虑，企业通常部署网络防火墙来控制来自互联网的流量和内部用户对互联网或企业服务器的访问。标准网络防火墙使用基于静态互联网协议(IP)地址、IP协议和服务端口的5元组在4层上运行。然而，由于企业用户通常使用动态主机配置协议(DHCP)来获取其IP地址，用户设备的IP地址会动态地更改。因此，对于这种类型的动态IP，标准网络防火墙控制访问的能力是有限的，而且也不是很精确。

因为利用IP-to-ID技术可以根据IP地址查找到用户标识符(ID)，所以不少企业引入了基于ID的防火墙策略，这可以提高防火墙的功能，使企业管理员能够根据用户ID设置、执行防火墙策略。

然而，现有的IP-to-ID技术根本无法满足防火墙在网络安全中对于快速查询IP-to-ID信息的要求。

发明内容

本发明的示例性实施例的目的在于克服现有技术中的上述的和/或其他的问题，特别是能够实现基于快速散列的快速IP-to-ID信息查询，从而在防火墙中更好地应用IP-to-ID信息来实现基于用户ID的安全策略和数据流控制。因此，本发明的示例性实施例提供了一种用于防火墙的系统和方法以及存储有对应程序的介质。

根据一个示例性实施例，提供了一种用于防火墙的系统，其包括采集模块、处理模块和共享内存。所述采集模块配置为：采集互联网协议IP信息和用户标识符ID，所述IP信息与所述ID相关联；和根据所述采集到的IP信息更新共享内存中的IP-ID映射，与该IP-ID映射的IP信息对应的哈希索引被指示在所述共享内存的哈希表中，所述IP信息通过哈希算法得到所述哈希索引。所述处理模块配置为：使用基于IP信息的哈希索引在所述共享内存的ID缓存池中查找所述IP信息的IP-ID映射；和由所述IP-ID映射获得与所述IP信息对应的ID并使用该ID进行后续防火墙的处理。所述共享内存包括ID缓存池以及哈希表。