[发明专利]一种网络设备的防火墙策略检查方法、装置及存储介质

权利要求书

1.一种网络设备的防火墙策略检查方法，其特征在于，包括以下步骤：

将策略五元组转换为数字格式并定义七元组变量，跳过过期策略、空策略、禁用策略、默认策略及已隐藏策略；

在策略五元组是策略列表中的第一个策略的情况下，将源域、目的域作为键值，根据所述键值与策略五元组，确定七元组变量的内容；

对于单域策略或多域未交叉策略，在策略五元组不是策略列表中的第一个策略并且七元组变量的内容不为空的情况下，遍历七元组变量的内容，得到每个键值对应的五元组集合；对于多域交叉策略，在策略五元组不是策略列表中的第一个策略并且七元组变量的内容不为空的情况下，判断策略域大小和域匹配的五元组集合的大小是否一致，若否，则跳过策略检测，若是，根据七元组变量的内容获取每个键值对应的五元组集合；

根据当前待检查策略五元组是否为最大范围以及当前待检查策略五元组与五元组集合取交集、取剩集操作后是否有剩集，确定当前待检查策略五元组是否为隐藏策略。

2.根据权利要求1所述的网络设备的防火墙策略检查方法，其特征在于，还包括，对于单域策略或多域未交叉策略，若所述策略五元组是第一个策略，则跳过对该策略五元组的检查，将策略五元组按最小原子拆成对象，将策略源、目的域组合成对象作为键值，将按最小原子拆成的对象与键值分别作对象值、键值存储到七元组变量中。

3.根据权利要求1所述的网络设备的防火墙策略检查方法，其特征在于，还包括，若七元组变量的内容为空，则跳过对该策略五元组的检查，将策略五元组添加到七元组。

4.根据权利要求1所述的网络设备的防火墙策略检查方法，其特征在于，其特征在于，还包括，对于多域交叉策略，若所述策略五元组是第一个策略，则跳过对该策略五元组的检查，将源域和目的域进行拆分后，与五元组组合成唯一七元组。

5.根据权利要求1所述的网络设备的防火墙策略检查方法，其特征在于，其特征在于，对于单域策略或多域未交叉策略，根据当前待检查策略五元组是否为最大范围以及当前待检查策略五元组与五元组集合取交集、取剩集操作后是否有剩集，确定当前待检查策略五元组是否为隐藏策略，具体包括，若当前待检查策略五元组是最大范围，则判断五元组集合是否为最大范围，若五元组集合不是最大范围，则将五元组集合清空，添加最大范围进去，若五元组集合为最大范围，则当前待检查策略五元组是隐藏策略；若当前策略的五元组不是最大范围，将当前策略五元组与五元组集合进行取交、取剩操作，判断是否有剩集，若没有，则当前策略五元组为隐藏策略。

6.根据权利要求1所述的网络设备的防火墙策略检查方法，其特征在于，对于多域交叉策略，根据当前待检查策略五元组是否为最大范围以及当前待检查策略五元组与五元组集合取交集、取剩集操作后是否有剩集，确定当前待检查策略五元组是否为隐藏策略，具体包括，若当前策略五元组是最大范围，判断五元组集合中是否是最大范围，若五元组集合中是最大范围，则当前待检查策略是隐藏策略；若当前待检查策略五元组不是最大范围，将当前待检查策略五元组与五元组集合进行取交，取剩操作，判断是否存在剩集，若否，则当前待检查策略五元组为隐藏策略。

7.根据权利要求6所述的网络设备的防火墙策略检查方法，其特征在于，还包括，对于多域交叉策略，若策略五元组对应的隐藏标识位大小与域大小相等，该策略五元组为隐藏策略。

8.一种网络设备的防火墙策略检查装置，其特征在于，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1-7任一所述的网络设备的防火墙策略检查方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机该程序被处理器执行时，实现如权利要求1-7任一所述的网络设备的防火墙策略检查方法。