[发明专利]一种包过滤策略的测试方法、装置、系统及设备、介质

说明书

本申请提供一种包过滤策略的测试方法、装置、系统及设备、介质，所述方法包括：接收包过滤策略的描述信息；所述包过滤策略为主过滤设备向备过滤设备同步的包过滤策略；根据所述描述信息，生成与所述包过滤策略对应的ACL策略；所述ACL策略对应的动作为：将流向所述主过滤设备的测试流量分别向所述主过滤设备与所述备过滤设备发送，以测试同步后的包过滤策略的有效性。应用本申请的实施例，主过滤设备同步包过滤策略至备过滤设备后，能够在捷测试同步后的包过滤策略的有效性的同时，有效降低测试流量的丢包率及重传率。

技术领域

本申请涉及网络安全技术领域，特别设计一种包过滤策略的测试方法、装置、系统及设备、介质。

背景技术

随着互联网的迅速发展和广泛应用，网络攻击也越来越多，为了降低网络攻击带来的风险，包过滤技术成为研究热点之一。其中，包过滤技术是一种数据包分类技术，一般通过匹配传入包过滤设备的数据包的包头信息与包过滤策略，来决策接受或者拒绝传入的数据包。随着用户对网络安全要求的提高，包过滤策略的数目越来越多。

包过滤策略数目的增加虽然可以增加安全性，但同时网络节点的包过滤设备也容易出现单点故障，为了避免故障的出现导致通信中断或网络安全性降低，通常在该网络节点处部署两个包过滤设备，其中一个为主过滤设备，另一个为备过滤设备，主过滤设备上配置包过滤策略后，同步备份到备过滤设备，故障实现时，进行主备切换。

将包过滤策略从主过滤设备同步至的备过滤设备后，相关技术为了保证备过滤设备被切换为主过滤设备时能对流量进行有效过滤，会通过主备切换，将备过滤设备切换成主过滤设备后，向其发送测试流量，然后通过分析测试流量对包过滤策略的命中计数，验证同步后的包过滤策略的有效性。虽然可以验证同步后的包过滤策略的有效性，但是实际操作过程中易出现数据包丢包或者重传的状况。

发明内容

有鉴于此，本申请提供一种包过滤策略的测试方法、装置、系统及设备、介质，不进行包过滤设备之间的主备切换，即可验证备过滤设备上同步后的包过滤策略的有效性，同时可以有效降低数据包的丢包率及重传率。

本申请是通过如下技术方案实现的：

根据本申请的第一方面，提供一种包过滤策略的测试系统，包括相互连接的主过滤设备、备过滤设备及辅助设备，其中：

所述主过滤设备将其包过滤策略同步至所述备过滤设备；

所述辅助设备接收所述包过滤策略的描述信息，并根据所述描述信息生成与所述包过滤策略对应的ACL策略；

所述ACL策略对应的动作为：

将流向所述主过滤设备的测试流量，分别向所述主过滤设备与所述备过滤设备发送，以便测试同步后的包过滤策略的有效性。

在一个实施例中，所述描述信息包括所述包过滤策略的源地址与目的地址；所述ACL策略对应于所述源地址与所述目的地址。

在一个实施例中，前述系统还包括远端服务器，所述主过滤设备配置包过滤策略时，生成操作日志并向所述远端服务器发送；

所述备过滤设备同步包过滤策略时，生成操作日志并向所述远端服务器发送：

所述远端服务器通过比对接收到的操作日志，确定同步后的包过滤策略的正确性。

根据本申请的第二方面，提供一种包过滤策略的测试系统，包括相互连接的主过滤设备、备过滤设备及辅助设备，其中，所述备过滤设备上同步有所述主过滤设备的包过滤策略；所述辅助设备用于：

接收流向所述主过滤设备的测试流量；

获取与所述测试流量对应的ACL策略；所述ACL策略与所述包过滤策略对应；所述包过滤策略用于过滤所述测试流量中的数据包；