[发明专利]一种南北向流量对称性引流的实现架构及方法

说明书

本发明特别涉及一种南北向流量对称性引流的实现架构及方法。该南北向流量对称性引流的实现架构及方法，通过虚拟路由器实现策略路由功能；SNAT命名空间负责将网络返回包送出；中转虚拟机包含四个端口，其中两个用于接收策略路由的引导流量，另外两个作为服务链的逻辑起点和逻辑终点；透明防火墙具有管理端口，服务链的入端口和出端口至少3个端口；所述OVS网桥根据报文的特征匹配流表，再根据流表的动作指示决定下一步走向。该南北向流量对称性引流的实现架构及方法，能够成功地对来自外网的流量进行引导，有效支持透明防火墙在服务链当中的应用，保证网络往返报文的对称性能满足防火墙会话验证的需要。

技术领域

本发明涉及计算机网络和云计算技术领域，特别涉及一种南北向流量对称性引流的实现架构及方法。

背景技术

在网络中，用户的一次请求可能需要经过或使用不同的网络功能，一般情况下，该请求需要经过的网络功能的顺序也是特定的，这条由流量所经过的不同的网络功能所形成的路径被称为服务功能链(Service Function Chain，SFC)，换句话说服务功能链就是由不同的网络服务功能通过特定的顺序组合形成的一条串行链，该链的组合顺序一般由某一具体的用户请求来决定。

SDN(软件定义网络)和NFV(Network Function Virtualization，网络功能虚拟化) 技术的出现，为服务功能链提供了一种高效的、动态的以及扩展性极强的部署方案。首先 SDN将网络控制和数据转发功能分开，以实现集中和可编程的网络控制，SDN的特性正是简化和增强网络控制、灵活和高效的网络管理以及提高网络服务性能。SDN使整个网络变得简单和高效，为服务功能链的部署提供了优越的网络环境，SDN控制器对网络的整体控制，可以时刻保持对服务功能链状态的感知。其次NFV利用了虚拟化的技术将服务功能与基础设施分离。使得服务功能不再内嵌到某一个特定硬件中，这样当某一个具体的网络功能损坏时，只需要利用虚拟化技术重新初始化一个VNF，大大缩短了故障恢复时间，节省了人力成本，除此之外NFV也使得VNF的开发更简单和高效以及VNF在后期的维护和扩展也更灵活。

Openstack作为当前开源Iaas云计算的一款主流产品，实现了SDN与NFV整合的集成环境，但在具体实现技术方面还有待提升的空间。SFC在配置过程中需要指定一个起始的端口，但是考虑到分布式路由等问题，目前的SFC模块不支持将虚拟路由器的端口配置为起始端口，故而不方便拦截来自外网或某一子网的流量。SFC模块在最后一个服务链节点走完后使用默认正常转发的方式处理报文，这与桥接模式的透明防火墙的使用方式冲突。

而且，SFC模块通过修改下一跳的目的mac地址来达到流量引导的目的，在使用透明模式的防护墙时，从防火墙出端口引出的流量其mac地址会是入端口的mac地址，从而无法继续转发。最后，国内目前大部分的透明防火墙产品需要通过来往流量的对称性来判断会话的保持与合法性，这要求往返流量都通过防火墙。

针对现有openstack等云计算平台下的SFC问题以及透明模式的防火墙，本发明提出了一种南北向流量对称性引流的实现架构及方法。

发明内容

本发明为了弥补现有技术的缺陷，提供了一种简单高效的南北向流量对称性引流的实现架构及方法。

本发明是通过如下技术方案实现的：

一种南北向流量对称性引流的实现架构及方法，其特征在于：包括虚拟路由器，SNAT 命名空间，中转虚拟机，透明防火墙和OVS(Open VSwitch)网桥五个组件；

所述虚拟路由器存在于openstack的计算节点当中，表现为openstack环境中的一个网络命名空间qrouter，其实是lunix内核的单独一个namespace(命名空间)，其核心组成部分是端口和路由表；通过配置该namespace内的IP tables(防火墙)和IP rule(路由表)，能够实现策略路由功能；