[发明专利]一种基于OpenStack框架的虚拟防火墙构建方法及存储介质

说明书

本发明提供了一种基于OpenStack框架的虚拟防火墙构建方法及存储介质，属于防火墙技术领域，解决了现有技术难以满足转发效率和差异化设置兼顾的问题。所述方法包括：通过预设规则对目标数据包服务的防火墙规则进行修改，得到修改后的目标数据包服务，所述修改后的目标数据包服务通过修改后的防火墙规则进行数据包控制，所述修改后的目标数据包服务中设置有转发性能高于所述OpenStack框架的路由服务的转发栈，所述修改后的目标数据包服务中的防火墙规则设置有防火墙配置界面，所述防火墙配置界面用于根据不同的用户在不同的虚拟网络下设置符合自身要求的数据包处理规则；根据所述修改后的目标数据包服务替换所述OpenStack框架的路由服务。

技术领域

本发明涉及防火墙技术领域，尤其是涉及一种基于OpenStack框架的虚拟防火墙构建的方法及存储介质。

背景技术

随着云计算服务的高速发展，以OpenStack框架为基础的云计算平台也越来越受到瞩目。其中，OpenStack原本是一个开源的云计算管理平台项目，是一系列软件开源项目的组合。OpenStack为私有云和公有云提供可扩展的弹性的云计算服务，它提供了一个部署云的操作平台或工具集，成为了构建云过程中作为节点控制的主要框架。同时，基于云计算的方式导致数据的边界化正在逐步消失，云计算中面临的威胁更多、攻击面更大、面临的安全问题已经成为制约云计算发展的瓶颈，网络恶意攻击流量一旦进入虚拟云平台内部，将带来致命性的网络瘫痪，这使得人们愈加依赖虚拟防火墙技术的使用。

目前，在基于OpenStack框架部署私有云平台的应用场景中，引入的虚拟防火墙技术一般包括以下两种方式：第一种是在基于OpenStack原生的路由服务中添加数据包规则表，通过该表中的规则来实现对进出虚拟网络数据包的控制；第二种是引入VPP矢量数据包处理服务来替代OpenStack的数据包处理机制，其中，VPP全称Vector Packet Processing，是一种由思科公司提供的矢量数据包处理工具，在VPP矢量数据包处理服务中设置有数据包处理规则(即访问控制规则)，VPP矢量数据包处理服务基于该方式实现对虚拟网络中的数据包进行控制。然而，在实际应用中，第一种方式虽然具有较好的处理效果，但由于OpenStack框架原生的路由服务在基于数据包规则表进行数据包控制时，其转发过程会受到设置的虚拟路由的带宽限制，从而形成瓶颈限制，使得在控制数据包的过程中转发效率受到影响；而与之对应的第二种方式虽然利用VPP矢量数据包处理服务解决了转发效率的问题，但基于其现有的数据包处理规则(即访问控制规则)在同一个网络下是相同的，当同一网络下的不同用户构建了两个不同的虚拟机时无法设置不同的数据包处理规则，难以满足不同用户使用不同处理规则的需要。因此，现有的OpenStack框架下的虚拟防火墙难以满足转发效率和差异化设置兼顾的需要。

发明内容

本发明的目的在于提供一种基于OpenStack框架的虚拟防火墙构建方法及计算机可读存储介质，解决了现有技术难以满足转发效率和差异化设置兼顾的问题。

第一方面，本发明提供一种基于OpenStack框架的虚拟防火墙构建的方法，其中包括：

通过预设规则对目标数据包服务的防火墙规则进行修改，得到修改后的目标数据包服务，所述修改后的目标数据包服务通过修改后的防火墙规则进行数据包控制，所述修改后的目标数据包服务中设置有转发性能高于所述OpenStack框架的路由服务的转发栈，所述修改后的目标数据包服务中的防火墙规则设置有防火墙配置界面，所述防火墙配置界面用于根据不同的用户在不同的虚拟网络下设置符合自身要求的数据包处理规则；

根据所述修改后的目标数据包服务替换所述OpenStack框架的路由服务。

进一步的，所述目标数据包服务为VPP矢量数据包处理服务；所述修改后的VPP矢量数据包处理服务中设置有基于数据平面开发框架DPDK构建的转发栈。

进一步的，所述通过预设规则对目标数据包服务的防火墙规则进行修改，具体包括：