[发明专利]一种访问控制策略处理方法、系统和设备

权利要求书

1.一种访问控制策略处理方法，其特征在于，包括：

请求节点向网络控制器发送访问控制校验请求；所述访问控制校验请求包括流量的五元组信息和SR Policy标识信息；

当所述网络控制器的本地数据库中不存在所述五元组信息与metadata信息的映射关系，且所述SR Policy标识信息所标识的SR路径经过防火墙节点时，所述网络控制器向安全控制器发送所述访问控制校验请求；

所述安全控制器根据所述访问控制校验请求对所述网络控制器进行应答，并由所述网络控制器将应答消息转发至所述请求节点；

所述请求节点将所述metadata信息下发转发表项，并当流量命中转发表时，将携带metadata信息的请求节点报文进行转发；

防火墙设备对所述携带metadata信息的请求节点报文进行访问控制校验，将校验通过的流量放行；

所述安全控制器根据所述访问控制校验请求对所述网络控制器进行应答，包括：

所述安全控制器根据防火墙节点上的安全控制策略，判断所述五元组信息所标识的流量是否合法；如果合法，则根据所述五元组信息匹配策略的策略标识，从策略与metadata关系表查找对应的metadata信息，更新转发表项，并向所述网络控制器应答所述metadata信息；否则，则向所述网络控制器应答drop消息。

2.根据权利要求1所述的方法，其特征在于，如果所述网络控制器的本地数据库中存在所述五元组信息与所述访问控制校验请求的映射关系，则应答所述五元组信息对应的所述访问控制校验请求中对应的metadata信息给所述请求节点。

3.根据权利要求1所述的方法，其特征在于，所述根据所述五元组信息匹配策略的策略标识，从策略与metadata关系表查找对应的metadata信息，包括：

从所述五元组信息匹配的策略中提取策略标识以及所述防火墙设备标识，根据所述策略标识和设备标识查找策略与metadata关系表中对应的metadata信息；

如果查找到对应的metadata信息，则向所述网络控制器应答metadata信息；

如果查找不到对应的metadata信息，则根据所述五元组信息匹配的策略中的设备标识和策略标识，生成对应的metadata信息，所述metadata信息唯一标识该策略；将当前的设备标识、策略标识和所述metadata信息插入所述策略与metadata关系表中，并返回所述metadata信息。

4.根据权利要求1或3所述的方法，其特征在于，所述策略与metadata关系表包括设备标识、策略标识、metadata信息以及其对应关系。

5.根据权利要求1所述的方法，其特征在于，还包括：

当所述网络控制器接收到所述安全控制器应答的metadata信息时，所述五元组信息与所述metadata信息的映射关系存入本地数据库中，并向所述请求节点应答所述metadata信息。