[发明专利]正向隔离装置与隔离网关结合应用的链路状态探测方法

说明书

技术领域

本发明涉及负载均衡技术，特别是涉及一种正向隔离装置与隔离网关结合应用的链路状态探测方法。

背景技术

正向隔离装置：即正向型的电力专用网络专用安全隔离装置，是一种由带有多种控制功能专用硬件，位于调度数据网络与公用信息网络之间的一个安全防护装置，用于安全区I/II到安全区III的单向数据传递。

隔离网关：基于包括但不限定于路由器、交换机或服务器等实现的单向转发并对其相连的两个网络进行隔离的网关。

负载均衡：是按照事先配置的负载均衡算法，将访问同一个IP地址的用户流量分配到不同的服务器上。它通过虚拟服务技术、服务器健康性检查技术和逐流转发技术将用户的流量分摊到多台等价的服务器上。这些技术对于访问用户角度看似乎访问的是一台服务器，而实际上是能通过一定的负载均衡算法分摊到不同的服务器上，间接的提高了服务器的处理能力，也间接的提高了服务器的稳定性和可扩展性。

现在大多数隔离网关都集成了负载均衡技术，但是其安全防护这块一般只能做到IP层和常见应用层协议的安全检查和控制，并不能做到对网络间的“物理隔离”，因此在某些特殊安全要求较高的行业中，例如，电力系统专用网络隔离装置，普遍都是增加部署了安全正向隔离装置以进行物理层隔离。

由于正向隔离装置受限于其硬件环境和业务处理的特殊性，涉及到数据的倒换、隔离等功能，其对业务报文的转发能力普遍偏低，所以需要把多台正向隔离装置设备堆叠起来以提高整体处理性能，通过正向隔离装置堆叠之后，与隔离网关的负载均衡功能进行技术上的结合以达到互补效果。

如图1所示，图1为基于正向隔离装置与隔离网关结合的应用组网示意图，在正向隔离装置情况下：

在网络A、网络B组网中，两台隔离网关A、隔离网关B之间的正向隔离装置进行了集群堆叠处理，以弥补其对业务报文的转发能力普遍偏低的不足，同时为了让各个堆叠的正向隔离装置分担业务流量，在正向隔离装置前后的两台隔离网关具备负载均衡功能，从而达到整体利用网络集正向隔离装置和隔离网关的优点，满足高安全性和高带宽业务需求。

目前，大部分的网络设备都支持ICMP协议，隔离网关的负载均衡功能通过使用基于ICMP协议的周期性的健康性探测报文，并接收相应的ICMP请求回应的报文，来判断真实服务器的健康状态，将流量按配置好的策略分配到健康的服务器上。

然而，由于正向隔离装置自身的安全性和实现的健壮性，当正向隔离装置的通信链路出现拥塞时，探测的正向隔离装置另一侧因不能接收到ICMP健康性探测报文而无法做出响应，这样隔离网关的负载均衡ICMP探测功能就无法启作用。而且一般正向隔离装置对ICMP协议的健康性探测报文具有拦截作用，例如，正向隔离装置不会让ICMP回应报文通过，所以也无法通过直接探测正向隔离装置另一侧设备接口来进行负载均衡设备的健康性检查。

综上所述，基于上述健康性探测机制的链路状态探测技术，无法准确感知正向隔离装置与对端服务器之间的链路状态，一旦集群中的正向隔离装置设备宕机，隔离网关无法获知正向隔离装置的存活状态，仍然将业务报文转发到宕机状态的正向隔离装置，从而导致业务中断。

发明内容

基于此，有必要针对基于上述隔离网关无法获知正向隔离装置的存活状态，仍然将业务报文转发到宕机状态的正向隔离装置，导致业务中断的问题，提供一种正向隔离装置与隔离网关结合应用的链路状态探测方法。

一种正向隔离装置与隔离网关结合应用的链路状态探测方法，包括如下步骤：

S100，在探测端隔离网关上配置服务器负载均衡组；其中，每一个所述服务器负载均衡组的虚IP对应于响应端隔离网关上的一个服务器；

S200，在各个正向隔离装置上配置探测端隔离网关与响应端隔离网关之间的地址转换关系；

S300，在响应端隔离网关上分别配置对应于每个服务器访问的地址转换策略，并配置访问控制列表匹配一个设定格式的探测报文；

S400，基于TCP协议的私有健康性探测机制检测各个链路的健康状况；

具体检测过程包括如下：

由探测端隔离网关根据所述虚IP发送基于TCP协议的探测报文，在正向隔离装置上根据所述地址转换关系对所述探测报文进行地址转换，然后发送至所述响应端隔离网关；

在响应端隔离网关根据所述地址转换策略将由各个正向隔离装置输入的探测报文的访问地址进行汇聚，并转换为响应端隔离网关上一服务器的源地址，并根据该源地址访问所述虚IP对应的服务器；