[发明专利]虚拟防火墙的实现方法、装置、系统、设备和介质

说明书

本发明实施例公开了一种虚拟防火墙的实现方法、装置、系统、设备和介质。该方法包括：通过目标管理进程在安全管理服务器中获取与所述Linux主机匹配的安全策略，并将所述安全策略下发至位于内核的网络过滤模块中；通过所述网络过滤模块根据所述安全策略执行相应的过滤操作，并将所述过滤操作经由所述目标管理进程上报至所述安全管理服务器，以使所述安全管理服务器根据所述过滤操作调度网络安全器件为所述Linux主机提供安全监测服务。上述技术方案在企业服务器数量增多及混合云场景网络策略复杂的情况下极大地降低了网络防火墙服务的人工管理成本，提升了对安全事件的应急响应效率。

技术领域

本发明实施例涉及网络技术领域，尤其涉及一种虚拟防火墙的实现方法、装置、系统、设备和介质。

背景技术

Linux系统在内核网络协议栈的netfilter框架中，对HOOK函数进行了预设的编排，并提供了配套的用户态工具iptables，使得运维人员能够配置不同的网络规则，以实现防火墙的功能。

运维人员可直接使用iptables工具，及系统自带的一些语法，配置简单的IP过滤规则，同时，基于netfilter的开放特性，社区一些组织也会做进一步的封装，在易用性、自动化管理及其他方面提供补充。

然而，iptables学习成本较高，在企业服务器数量增多及混合云场景网络策略复杂的情况下，使用命令行的方式在成千上万台机器上管理几千条语句的配置规则并维护管理相应策略，对运维人员来说几乎是不可能的事情。为解决配置复杂度而生的大量社区管理工具，也早已无人维护，使用这样的工具反而增加了管理成本。另外，使用iptables工具集也只能做到一些本地日志(LOG)和数据包标签打印，功能单一，无法进行拓展。

发明内容

本发明实施例提供一种虚拟防火墙的实现方法、装置、系统、设备和介质，以在企业服务器数量增多及混合云场景网络策略复杂的情况下降低网络防火墙服务的人工管理成本，并提升对安全事件的应急响应效率。

第一方面，本发明实施例提供了一种虚拟防火墙的实现方法，应用于Linux主机中，包括：

通过目标管理进程在安全管理服务器中获取与所述Linux主机匹配的安全策略，并将所述安全策略下发至位于内核的网络过滤模块中；

通过所述网络过滤模块根据所述安全策略执行相应的过滤操作，并将所述过滤操作经由所述目标管理进程上报至所述安全管理服务器，以使所述安全管理服务器根据所述过滤操作调度网络安全器件为所述Linux主机提供安全监测服务。

第二方面，本发明实施例还提供了一种虚拟防火墙的实现装置，应用于Linux主机中，包括：

安全策略获取下发模块，用于通过目标管理进程在安全管理服务器中获取与所述Linux主机匹配的安全策略，并将所述安全策略下发至位于内核的网络过滤模块中；

安全策略执行模块，用于通过所述网络过滤模块根据所述安全策略执行相应的过滤操作，并将所述过滤操作经由所述目标管理进程上报至所述安全管理服务器，以使所述安全管理服务器根据所述过滤操作调度网络安全器件为所述Linux主机提供安全监测服务。

第三方面，本发明实施例还提供了一种虚拟防火墙的实现系统，包括：安全管理服务器、至少一种网络安全器件和多台Linux主机，其中，

所述安全管理服务器，用于实现对与所述多台Linux主机分别匹配的安全策略的统一编排，以及根据所述Linux主机上报的过滤操作调度所述网络安全器件为所述Linux主机提供安全监测服务；

所述Linux主机，用于通过目标管理进程在所述安全管理服务器中获取匹配的安全策略并将所述安全策略下发至位于内核的网络过滤模块中，以及通过所述网络过滤模块根据所述安全策略执行相应的过滤操作并将所述过滤操作经由所述目标管理进程上报至所述安全管理服务器；