[发明专利]一种基于高速网络数据处理平台的防火墙方法和系统

摘要

基于高速数据处理平台的防火墙方法，由系统数据交换支持系统、数据接入及预处理板卡、防火墙数据处理板卡组成；数据接入板实现千兆线速转发，以及数据预处理，通过对需要进一步分析的数据包计算HASH，将它们动态负载均衡的发到多块防火墙处理板卡上进行处理；防火墙数据处理板并行运行，对数据包进行更深入的检查；采用梯度过滤机制：利用策略树和协议栈策略传递机制，将攻击检测、报文分拣、IP过滤、连接状态监控、用户认证、应用协议报文分析、应用协议通信状态检查、内容安全检查等动作，依次组织成一个力度递增的过滤体系：对传统防火墙软件体系的结构进行了调整和优化，达到了较高的网络处理性能。

主权项

1.一种基于高速数据处理平台的防火墙方法，基于高速数据处理系统的硬件平台，由系统数据交换支持系统、数据接入及预处理板卡、防火墙数据处理板卡组成；其中，数据接入板实现千兆线速转发，以及数据预处理，通过对需要进一步分析的数据包计算HASH，将它们动态负载均衡的发到多块防火墙处理板卡上进行处理；防火墙数据处理板并行运行，对数据包进行更深入的检查；其特征是采用梯度过滤机制：利用策略树和协议栈策略传递机制，将攻击检测、报文分拣、IP过滤、连接状态监控、用户认证、应用协议报文分析、应用协议通信状态检查、内容安全检查等动作，依次组织成一个力度递增的过滤体系：系统具体工作流如下：101：系统启动时，多块处理板协商选举出主处理板，负责与系统管理用户交互，并对其他板卡进行配置与管理，启动整个系统；102：当数据包从WAN/LAN/DMZ进入接入板时，主要进行经过策略查找、简单过滤、流量控制、地址转换和基于网络协议攻击行为的检测。通过检查由防火墙策略编译成的规则表，进行系统内的路由交换，结果有Transfer/Drop/Redirect三种动作，其相应处理结果如下：Transfer：不受限制的数据包，直接在接入板进行路由转发；Drop：明确拒绝的数据包，直接丢弃；Redirect：需要防火墙进一步检查或者需要进行NAT的数据包，根据其源IP地址、目的IP地址、源端口和目的端口等特征计算HASH，根据此HASH值负载均衡的重定向到x86 Node板对应的逻辑接口；103：当数据包到达x86 Node板后，对数据包进行应用层安全检查和状态检查、内容安全检查、路由选择，经处理之后的数据包，仍发回接入板进行路由转发。