[发明专利]基于国产自主软硬件平台的网络防火墙及其数据处理方法

说明书

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于国产自主软硬件平台的网络防火墙及其数据处理方法。

背景技术

随着信息技术的发展，组织机构内部网络环境的安全状况越来越受到重视。网络防火墙作为应用最为广泛的网络安全防护设备，担负着隔离内部与外部网络的重任，其最主要的功能在于依照特定的个则，允许或限制传输的数据通过。由于防火墙处于内部网与外部网、专用网与公共网之间，需要串接进入网络才能起到过滤数据包的作用，因此防火墙类产品的数据处理性能是非常重要的性能指标。

目前的防火墙、网关类安全防护产品为保障网络安全起到了重要作用，但大多数网络安全设备都采用国外基础软硬件，如Intel处理器、Windows操作系统、Oracle数据库等研制开发，存在核心技术受制于人带来的安全隐患。尤其2013年斯诺登事件爆发后，核心软硬件的国产化倍受重视。与此矛盾的是，目前市场上的国产防火墙在数据处理性能上难以达到实际使用要求。

如何弥补国产处理器性能的不足，满足网络防火墙的自主可控需求，成为了亟待解决的技术问题。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何弥补国产处理器性能的不足，满足网络防火墙的自主可控需求。

(二)技术方案

为了解决上述技术问题，本发明提供了一种基于国产自主软硬件平台的网络防火墙，包括网络交换板和控制单元；

所述控制单元用于进行访问控制规则配置和访问控制规则转换，所述访问控制规则配置是从IP地址、MAC地址和端口这几个维度对流经防火墙的数据包使用不同的处理策略进行访问控制规则配置；所述访问控制规则转换是将所述访问控制规则转换为网络交换板的ACL配置规则，并下发给网络交换板，以实现ACL访问控制；

所述网络交换板用于进行网络流量处理，即进行网络数据包的处理及转发。

优选地，所述网络交换板采用如下配置：根据防火墙的工作模式，确定网络交换板的流入流出网口及工作模式；并配置为能够通过划分单独的vlan与控制单元进行通信，或者使用防火墙工作的桥或路由与控制单元进行通信。

优选地，若防火墙为路由工作模式，内部网络地址为192.168.1.0/24，控制单元地址为10.10.10.1，外部网络网关为172.16.1.254，则所述网络交换板采用如下配置：将对外网口eth0划分至vlan100，并为vlan100配置IP地址为172.16.1.253，以保证对外网口eth0与外部网络网关的连通；将对内网口eth1划分至vlan200，并为vlan200配置IP地址为192.168.1.254，以保证内部网络能够与对内网口eht1连通，且内部网络指定默认网关为vlan200的IP地址；为与控制单元连通的网络接口配置IP地址10.10.10.254。

优选地，所述控制单元采用CPU实现。

本发明还提供了一种所述的网络防火墙的数据处理方法，包括以下步骤：

S1、利用控制单元进行访问控制规则配置和访问控制规则转换，所述访问控制规则配置是从IP地址、MAC地址和端口这几个维度对流经防火墙的数据包使用不同的处理策略进行访问控制规则配置；所述访问控制规则转换是将所述访问控制规则转换为网络交换板的ACL配置规则，并下发给网络交换板，以实现ACL访问控制；

S2、利用网络交换板进行网络流量处理，即进行网络数据包的处理及转发。

优选地，在步骤S1之前还包括对所述网络交换板进行如下配置的步骤：根据防火墙的工作模式，确定网络交换板的流入流出网口及工作模式；并配置为能够通过划分单独的vlan与控制单元进行通信，或者使用防火墙工作的桥或路由与控制单元进行通信。

优选地，若防火墙为路由工作模式，内部网络地址为192.168.1.0/24，控制单元地址为10.10.10.1，外部网络网关为172.16.1.254，则所述网络交换板采用如下配置：将对外网口eth0划分至vlan100，并为vlan100配置IP地址为172.16.1.253，以保证对外网口eth0与外部网络网关的连通；将对内网口eth1划分至vlan200，并为vlan200配置IP地址为192.168.1.254，以保证内部网络能够与对内网口eht1连通，且内部网络指定默认网关为vlan200的IP地址；为与控制单元连通的网络接口配置IP地址10.10.10.254。

(三)有益效果