[发明专利]用于配置防火墙的方法、安全管理系统和计算机可读介质

权利要求书

1.一种配置防火墙的方法，包括：

利用由数据中心的第一实体提供的安全管理系统访问用于所述数据中心内的软件定义网络的、由所述数据中心的第二实体提供的集中式网络控制器，以获得用于所述软件定义网络的虚拟防火墙的安全组信息，

其中所述安全组信息指定由所述虚拟防火墙保护的所述软件定义网络的虚拟机集群，所述虚拟防火墙为在所述虚拟机集群上执行的应用之间流动的流量提供网络安全，以及

其中所述集中式网络控制器以符合所述虚拟防火墙的要求的语法对所述安全组信息进行配置，

利用所述安全管理系统基于来自所述软件定义网络的所述虚拟防火墙的所述安全组信息来利用一个或多个安全策略自动地配置被定位在所述数据中心的边缘上的边界防火墙，其中所述边界防火墙为在所述软件定义网络与所述数据中心外部的设备之间流动的流量提供网络安全；

其中自动地配置所述边界防火墙包括：使用从所述安全组信息转换的地址组信息来自动地构建所述一个或多个安全策略，

其中所述安全管理系统以符合所述边界防火墙的所述要求的语法对所述地址组信息进行配置。

2.根据权利要求1所述的方法，其中访问所述软件定义网络的所述集中式网络控制器包括：

由所述第一实体的所述安全管理系统从所述第二实体的所述集中式网络控制器接收与所述虚拟机集群相关联的动态成员准则；以及

由所述安全管理系统将与所述虚拟机集群相关联的所述动态成员准则映射到所述地址组信息。

3.根据权利要求2所述的方法，其中所述动态成员准则包括安全标签、VM名称和逻辑交换机名称中的至少一项。

4.根据权利要求1所述的方法，还包括：

响应于所述安全组信息中的改变，由所述安全管理系统基于所述安全组信息中的所述改变来更新所述地址组信息。

5.根据权利要求1-4中的任一项所述的方法，

其中所述虚拟防火墙是跨所述数据中心的多个服务器实现的分布式防火墙。

6.一种由数据中心的第一实体提供的安全管理系统，其被配置为：

访问用于所述数据中心内的软件定义网络的、由所述数据中心的第二实体提供的集中式网络控制器，以获得用于所述软件定义网络的虚拟防火墙的安全组信息，

其中所述安全组信息指定由所述虚拟防火墙保护的所述软件定义网络的虚拟机集群，所述虚拟防火墙为在所述虚拟机集群上执行的应用之间流动的流量提供网络安全，以及

其中所述集中式网络控制器以符合所述虚拟防火墙的要求的语法对所述安全组信息进行配置；以及

利用所述安全管理系统基于来自所述软件定义网络的所述虚拟防火墙的所述安全组信息来利用一个或多个安全策略自动地配置被定位在所述数据中心的边缘上的边界防火墙，其中所述边界防火墙为在所述软件定义网络与所述数据中心外部的设备之间流动的流量提供网络安全，

其中自动地配置所述边界防火墙包括：使用从所述安全组信息转换的地址组信息自动地构建所述一个或多个安全策略，

其中所述安全管理系统以符合所述边界防火墙的所述要求的语法对所述地址组信息进行配置。

7.根据权利要求6所述的安全管理系统，其中为了访问所述集中式网络控制器，所述安全管理系统还被配置为：

从所述第二实体的所述集中式网络控制器接收与所述虚拟机集群相关联的动态成员准则；以及

将与所述虚拟机集群相关联的所述动态成员准则映射到所述地址组信息。

8.根据权利要求7所述的安全管理系统，其中所述动态成员准则包括安全标签、VM名称和逻辑交换机名称中的至少一项。

9.根据权利要求6所述的安全管理系统，其中所述安全管理系统还被配置为：

响应于所述安全组信息中的改变，基于所述安全组信息中的所述改变来更新所述地址组信息。