[发明专利]在NAT规则上新增EIP的方法、装置、计算机设备和存储介质

说明书

本申请涉及一种在NAT规则上新增EIP的方法、装置、计算机设备和存储介质。所述方法包括：将目标EIP绑定至灰度出口网关对应的NAT规则，其中，灰度出口网关对应的NAT规则只绑定目标EIP，使得在通过灰度出口网关访问任一外部合作方时，只使用目标EIP访问上述任一外部合作方；将各外部合作方对应的来自内网区的部分请求分发至灰度出口网关，以通过灰度出口网关访问各外部合作方；根据各外部合作方对灰度出口网关的反馈信息验证各外部合作方的白名单中是否包含目标EIP；响应于所有外部合作方均通过验证，将目标EIP绑定至目标NAT规则。本申请实施例能够平滑高效地在NAT规则上新增EIP，减少对业务产生的影响。

技术领域

本申请涉及计算机领域，特别是涉及一种在NAT规则上新增EIP的方法、装置、计算机设备和存储介质。

背景技术

生产环境中为保证网络安全性，一般至少会划为内网区和外联区，内网不能直接访问互联网，外联区可以直接访问互联网。内网的服务如果访问外网一般会通过访问部署在外联区的代理网关服务来访问互联网，通常称该代理网关服务称为出口网关，一般安装了Nginx(engine x)、OpenResty等代理软件。

一个出口网关请求互联网时，经过路由表会转发到对应固定的NAT(NetworkAddress Translation，网络地址转换)规则上，进而通过NAT规则绑定的EIP访问互联网。具体地，当请求外部合作方时，外部合作方会获取到请求的EIP来进行IP白名单校验。

考虑到某个或某些EIP(Elastic IP Address，弹性公网IP)可能会被网络运营商误封堵，为了实现出口高可用，通常会在NAT规则上绑定多个EIP。为了新增的EIP能够通过各个外部合作方的白名单校验，在新增EIP时需要通知各个外部合作方将新EIP添加至自己的白名单。然而，各个外部合作方添加白名单的时效性差异很大，必须等到所有外部合作方都添加完新EIP且生效后才能将新EIP绑定到NAT规则上。

由于在NAT规则中新增EIP时，很依赖外部合作方的添加时间，这样周期长且不方便验证新EIP是否生效，因而目前新增EIP的方式对业务的影响大，风险高。

发明内容

本申请针对上述不足或缺点，提供了一种在NAT规则上新增EIP的方法、装置、计算机设备和存储介质，本申请实施例能够平滑高效地在NAT规则上新增EIP，减少对业务产生的影响。

本申请根据第一方面提供了一种在NAT规则上新增EIP的方法，在一个实施例中，该方法包括：

将目标EIP绑定至灰度出口网关对应的NAT规则，其中，灰度出口网关对应的NAT规则只绑定目标EIP，使得在通过灰度出口网关访问任一外部合作方时，只使用目标EIP访问上述任一外部合作方；目标EIP是指需要绑定至目标NAT规则的EIP；将各外部合作方对应的来自内网区的部分请求分发至灰度出口网关，以通过灰度出口网关访问各外部合作方；根据各外部合作方对灰度出口网关的反馈信息验证各外部合作方的白名单中是否包含目标EIP；响应于所有外部合作方均通过验证，将目标EIP绑定至目标NAT规则。

在一些实施例中，上述方法还包括：为每个外部合作方配置对应的网关配置信息；网关配置信息包括出口流量比例配置。

在一些实施例中，将各外部合作方对应的来自内网区的部分请求分发至灰度出口网关，包括：

通过流量分发网关拉取各外部合作方对应的网关配置信息，并根据各外部合作方的出口流量比例配置将各外部合作方对应的来自内网区的部分请求分发至灰度出口网关。

在一些实施例中，上述方法还包括：确定各外部合作方支持访问的EIP数量；根据各外部合作方支持访问的EIP数量调整各外部合作方的出口流量比例配置。