[发明专利]一种分布式访问控制方法、装置及存储设备

权利要求书

1.一种分布式访问控制方法_，其特征在于_：

接收数据包，检测数据包是否为虚拟可扩展局域网数据包；

若是，对所述数据包进行解析，否则将所述数据包丢弃；

解析出虚拟可扩展局域网络标识，根据所述虚拟可扩展局域网络标识查询本设备访问控制规则列表；

若查询到对应的规则，则根据规则执行对所述数据包的动作；若未查询到对应的规则，将所述数据包引流至蜜罐网络诱导环境中，或重定向到特定网关设备；

所述访问控制规则列表中每条规则的格式为规则ID、优先级、匹配内容、动作内容；

规则ID：利用虚拟可扩展局域网络标识映射访问控制规则列表中的规则ID；

优先级：表示规则的优先级；

匹配内容包括：发起IP、目的IP、发起端口、目的端口、发起网段、目的网段、传输层协议、应用层协议、发起方登录的用户、发起的应用；

动作内容包括：允许通讯、禁止通讯、重定向数据包到特定网关设备、告警并丢弃、告警并重定向。

2.如权利要求1所述的方法，其特征在于，根据所述虚拟可扩展局域网络标识查询本设备访问控制规则列表，还包括：若查询到非对应的规则，则所述数据包将被丢弃。

3.如权利要求1所述的方法，其特征在于，所述访问控制规则列表采用白名单机制。

4.如权利要求1所述的方法，其特征在于，每台设备只拥有预期与本设备发生交互关系的访问控制规则列表，且每台设备的访问控制规则列表均存储在访问控制规则库中，所述规则库存放内网单台设备上或者存放在分布式集群上。

5.如权利要求4所述的方法，其特征在于，所述访问控制规则库不断进行更新，还包括：

通知内网所有设备同步更新访问控制规则列表；

或者识别所述访问控制规则列表更新所影响的内网设备，主动将更新后的访问控制规则列表推送给被影响的内网设备。

6.如权利要求1所述的方法，其特征在于，所述访问控制规则列表中还包含临时申请规则，所述临时申请规则在限定条件下自动生效，并在给定时间后自动失效。

7.如权利要求1所述的方法，其特征在于，将所述数据包引流至蜜罐网络诱导环境中，具体为：

内网设备对虚拟可扩展局域网数据包外层UDP、IP、Ethernet报头进行更改，具体为：将目的Mac、目的IP、端口变更为蜜罐网络诱导环境的信息，源IP、端口、Mac变更为内网设备的信息；

蜜罐网络诱导环境接收到更改后的数据包，对该数据包进行检测，根据检测结果构造虚拟可扩展局域网格式的反馈数据包，其中虚拟可扩展局域网络标识对应蜜罐的检测结果；

内网设备收到蜜罐发送的反馈数据包，根据虚拟可扩展局域网络标识决定对所述数据包采取的动作。

8.如权利要求1所述的方法，其特征在于，将所述数据包重定向到特定网关设备，具体为：

内网设备对虚拟可扩展局域网数据包外层UDP、IP、Ethernet报头进行更改，具体为：将目的Mac、目的IP、端口变更为特定网关设备的信息，源IP、端口、Mac变更为内网设备的信息；

将所述数据包重定向到特定网关设备。