[发明专利]报文处理方法、装置及设备

说明书

本申请提供一种报文处理方法、装置及设备，该方法包括：获取至少两个数据中心内的EPG的原始微分段信息；获取第一数据中心内的第一EPG与第二数据中心内的第二EPG之间的访问控制策略；将第一EPG的目标微分段信息和第一策略访问表发送给第二数据中心，第一策略访问表包括第一EPG的目标组标识、第二EPG的原始组标识和访问控制策略；以使第二数据中心基于第一报文携带的地址信息得到第二EPG的原始组标识和第一EPG的目标组标识，基于该原始组标识和目标组标识查询第一策略访问表，得到访问控制策略，基于访问控制策略对第一报文进行处理。通过本申请的技术方案，对微分段信息进行统一的同步管理，实现跨数据中心的微分段控制，实现跨数据中心的访问控制。

技术领域

本申请涉及通信技术领域，尤其是涉及一种报文处理方法、装置及设备。

背景技术

在数据中心场景下，通过VLAN(Virtual Local Area Network，虚拟局域网)和VNI(VXLAN Network Identifier，VXLAN网络标识)等方式划分业务子网络实现的业务隔离，是基于子网的业务隔离，如子网A和子网B之间进行业务隔离，但是，不能实现同一VLAN内不同服务器之间的业务隔离，也不能实现同一VNI内不同服务器之间的业务隔离。

微分段技术提供了基于精细分组的业务隔离，可以实现基于分组的业务隔离。在微分段技术中，可以划分多个EPG(End Point Group，端点组)，每个EPG可以包括多个服务器，比如说，将服务器a1-服务器a5划分到EPG1，将服务器b1-服务器b3划分到EPG2。通过允许EPG1访问EPG2，使得服务器a1-服务器a5能够访问服务器b1-服务器b3，通过禁止EPG1访问EPG2，使得服务器a1-服务器a5无法访问服务器b1-服务器b3，从而实现基于分组的业务隔离。

若EPG1和EPG2均位于数据中心1，则数据中心1可以获知EPG1的微分段信息和EPG2的微分段信息。报文在数据中心1内部转发时，基于报文携带的地址信息(如源IP地址和目的IP地址)查询到EPG1的微分段信息和EPG2的微分段信息，继而获知EPG1和EPG2之间的访问策略(允许EPG1访问EPG2或者禁止EPG1访问EPG2)，从而基于该访问策略对该报文进行访问控制。

但是，若EPG1位于数据中心1，EPG2位于数据中心2，则数据中心1可以获知EPG1的微分段信息，无法获知EPG2的微分段信息。数据中心1在接收到数据中心2发过来的报文后，基于报文携带的地址信息查询到EPG1的微分段信息，但无法查询到EPG2的微分段信息，导致无法获知EPG1和EPG2之间的访问策略，也就无法基于该访问策略对报文进行访问控制。

为了解决上述问题，在相关技术中，数据中心2在接收到报文后，可以基于报文携带的地址信息查询到EPG2的微分段信息，将EPG2的微分段信息添加到报文中，并将修改后的报文发送给数据中心1。数据中心1在接收到数据中心2发过来的报文后，可以从该报文中解析出EPG2的微分段信息，继而能够获知EPG1和EPG2之间的访问策略，基于该访问策略对报文进行访问控制。

但是，在上述方式中，需要在报文中添加EPG2的微分段信息，也就是说，需要对原有的报文进行扩展，在报文中设计承载微分段信息的字段，从而需要对数据中心的所有设备进行改造，使得这些设备支持该功能，实现代价很大。

发明内容

本申请提供一种报文处理方法，应用于业务编排器，所述方法包括：

获取至少两个数据中心内的端点组EPG的原始微分段信息，每个EPG的原始微分段信息包括该EPG的成员信息和原始组标识；

获取所述至少两个数据中心中的第一数据中心内的第一EPG与所述至少两个数据中心中的第二数据中心内的第二EPG之间的访问控制策略；