[发明专利]一种报文安全转发方法、装置及网络安全设备

权利要求书

1.一种报文安全转发方法，其特征在于，应用于网络安全设备，所述方法包括：

当FPGA加速网卡接收到第一流量报文后，将所述第一流量报文发送至处理器；

所述处理器调用DPDK驱动程序，根据预设的OVS网桥配置，将所述第一流量报文传输至安全服务链中进行测试；当所述第一流量报文在所述安全服务链的所有网元中均测试通过后，将所述第一流量报文发送至所述FPGA加速网卡，以使所述FPGA加速网卡将所述第一流量报文发送至与所述第一流量报文所对应的终端设备。

2.根据权利要求1所述的方法，其特征在于，所述OVS网桥配置中包括网元流表；所述网元流表包括所述安全服务链中的各网元的测试顺序；

所述根据预设的OVS网桥配置，将所述第一流量报文传输至安全服务链中进行测试，包括：

基于所述网元流表，将所述第一流量报文依次发送至所述安全服务链的网元中进行测试；其中，当所述第一流量报文通过当前网元的测试后，则进行下一网元的测试，当所述第一流量报文未通过当前网元的测试，则将所述第一流量报文进行丢弃。

3.根据权利要求2所述的方法，其特征在于，所述OVS网桥配置中还包括：会话控制表；所述会话控制表包括会话控制标识项和安全服务链标识项；

所述根据预设的OVS网桥配置，将所述第一流量报文传输至安全服务链中进行测试，包括：

基于所述第一流量报文的五元组信息生成目标会话控制标识；

判断所述会话控制标识项中是否包含所述目标会话控制标识；

若否，则将所述目标会话控制标识添加至所述会话控制标识项中，以及在与所述目标会话控制标识对应的安全服务链标识项中设置初始服务链标识；再基于所述网元流表，将所述第一流量报文依次发送至所述安全服务链的网元中进行测试；当所述第一流量报文通过当前网元的测试后，则进行下一网元的测试，且将所述初始服务链标识中与当前网元对应的标识数据进行更新，当所述第一流量报文未通过当前网元的测试，则将所述第一流量报文进行丢弃。

4.根据权利要求3所述的方法，其特征在于，在判断所述会话控制标识项中是否包含所述目标会话控制标识之后，所述方法还包括：

若是，则根据与所述目标会话控制标识对应的安全服务链标识确定所述第一流量报文的处理操作；

其中，当与所述目标会话控制标识对应的安全服务链标识中的标识数据表征通过所有网元测试后，则所述第一流量报文的处理操作为将所述第一流量报文直接发送至所述FPGA加速网卡，以使所述FPGA加速网卡将所述第一流量报文发送至与所述第一流量报文所对应的终端设备；当与所述目标会话控制标识对应的安全服务链标识标志中的标识数据存在表征未通过网元检测的数据，则所述第一流量报文的处理操作为将所述第一流量报文丢弃。

5.根据权利要求3所述的方法，其特征在于，在所述第一流量报文经所述安全服务链中的所有网元测试通过后，所述方法还包括：

将所述目标会话控制标识发送至所述FPGA加速网卡；

相应的，在所述FPGA加速网卡接收到第二流量报文时，所述方法还包括：

所述FPGA加速网卡基于所述第二流量报文的五元组信息生成对应的会话控制标识；当所述第二流量报文的五元组信息对应的会话控制标识与所述目标会话控制标识相同时，直接将所述第二流量报文发送至与所述第二流量报文对应的终端设备。

6.根据权利要求5所述的方法，其特征在于，所述将所述目标会话控制标识发送至所述FPGA加速网卡，包括：

将所述目标会话控制标识通过链表或哈希表进行缓存；

将缓存后的目标会话控制标识发送至所述FPGA加速网卡。