[发明专利]一种云防火墙高可用集群的实现方法及装置

权利要求书

1.一种云防火墙高可用集群的实现方法，其特征在于，包括以下步骤：

基于SLB会话分流表对数据包进行会话分流处理；

对ALG相关协议的数据流进行简化处理；

通过SLB实时监控各FW节点健康状态和并发会话数量，实现FW节点的动态扩缩。

2.根据权利要求1所述的一种云防火墙高可用集群的实现方法，其特征在于：所述基于SLB会话分流表对数据包进行会话分流处理具体包括以下步骤：

第一步、SLB接收数据包并根据五元组查找会话分流表；

第二步、若查找到会话分流表执行首包处理，若未查到则执行后续包处理。

3.根据权利要求2所述的一种云防火墙高可用集群的实现方法，其特征在于：所述第二步中首包处理具体包括以下步骤：

S1、通过SLB选择目的FW；

S2、目的FW接收首包后进行慢走流程，将应答消息发送给SLB；

S3、SLB接收到应答消息后，判断FW对数据包的处理结果。

4.根据权利要求3所述的一种云防火墙高可用集群的实现方法，其特征在于：所述S1具体包括以下步骤：

S11、判断数据包是否涉及ALG协议，若是执行S12、若否执行S13；

S12、SLB固定选择特定FW为目的FW；

S13、SLB利用负载均衡算法，基于各FW收包总数和当前活跃会话总数，选择当前负载最低的FW；

S14、创建一条SLB_SESSION_TABLE表项，设置目的FW并将这条表项的状态设置为INIT，设置老化时间为1秒。

5.根据权利要求3所述的一种云防火墙高可用集群的实现方法，其特征在于：所述S2具体包括以下步骤：

S21、检查数据包；

S22、判断检查结果，若放行则创建新会话，若否则创建会话并丢弃改数据包；

S23、将处理结果封装在应答消息中发给SLB。

6.根据权利要求3所述的一种云防火墙高可用集群的实现方法，其特征在于：所述S3具体包括以下步骤：

S31、如果放行，则将对应SLB_SESSION_TABLE表项状态设置为ACCEPT，老化时间设置为0，更新该目的FW的收包总数和活跃会话数，将该表项待处理数据包队列；

S32、如果不放行，将对应SLB_SESSION_TABLE表项状态设置为DENY，老化时间设置为180秒,更新该目的FW的收包总数，将该表项待处理数据包队列SLB_SESSION_TABLE_PENDING_Q中的待处理数据包发丢弃，并清空队列。

7.根据权利要求2所述的一种云防火墙高可用集群的实现方法，其特征在于：所述第二步中后续包处理具体为判断SLB_SESSION_TABLE表项的当前状态：

状态为DENY时，丢弃数据包；

状态为ACCEPT时，将数据包发给表项中所指定的目的FW；

状态为INIT时，将数据包缓存在该表项待处理数据包队列SLB_SESSION_TABLE_PENDING_Q中，待表项状态转为DENY或ACCEPT或表项老化后再处理。

8.根据权利要求1所述的一种云防火墙高可用集群的实现方法，其特征在于：所述对ALG相关协议的数据流进行简化处理具体包括以下步骤：

S1、SLB监控所有FW的收包总数和当前活跃会话数；

S2、判断FTP或SIP相关会话数量是否增加，若是则SLB分发到特定FW的其它会话数减少。