[发明专利]一种基于Openflow的虚拟防火墙传输控制方法及系统

摘要

本发明公开了一种基于Openflow的虚拟防火墙传输控制方法及系统，包括数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；防火墙过滤规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；转发匹配。本发明提高了网络的灵活性与可控性，解决了当前防火墙实现成本高、海量数据处理效率底瓶颈问题，保证内网与终端的安全，实现了对多个网络的传输数据的扫描监控，对特定服务端口的监听管理，对特殊站点的访问控制，可保护整个网络。

主权项

1.一种基于Openflow的虚拟防火墙传输控制方法，其特征在于，所述基于Openflow的虚拟防火墙传输控制方法包括以下步骤：数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转发端口及其路径；若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则的指定和下发；防火墙过滤规则文件，rules.Config为防火墙规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢弃；若提取信息与防火墙规则匹配，则此包允许传输接收；若提取信息不满足任何防火墙规则，则此包被丢弃；所述关键信息包括：数据来源以太网端口，到达的交换机端口，来源IP地址，目标IP地址；所述防火墙中数据包处理包括：截获进入防火墙的数据包；按照协议字段分解数据包；获取数据包传输控制信息；将传输控制信息与rules.Config中的传输规则进行匹配以判断对相应数据包的操作，包括：源IP地址匹配、目的IP地址匹配、传输协议匹配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配；执行判定的结果，包括数据包丢弃和数据包通过。