[发明专利]基于分布式防火墙的安全组互访方法、装置及设备

说明书

本发明提供一种基于分布式防火墙的安全组互访方法、装置及设备，用于解决园区SDN网络中防火墙引流绕行等技术问题。本发明在分布式VXLAN网关组网场景下，在每个叶Leaf设备旁挂防火墙，构建分布式防火墙系统，利用PBR技术将安全组之间的互访流里引流到本地防火墙，并且用户在不同Leaf设备之间迁移，防火墙引流策略不需要改变。本发明技术方案可避免安全组之间互访流量被引流到脊Spine节点或绕行位于其他叶Leaf节点挂接的防火墙，从而提高了园区网络的带宽利用率、防火墙系统的性能和可靠性。

技术领域

本发明涉及通信及云计算技术领域，尤其涉及一种基于分布式防火墙的安全组互访方法、装置及设备。

背景技术

在园区软件定义网络(Software Defined Network，SDN)组网场景下，脊节点Spine和叶节点Leaf之间构建虚拟可扩展局域网(Virtual eXtensible Local AreaNetwork，VXLAN)组网，多个Leaf设备提供分布式网关服务，用户通过接入(Access)设备接入VXLAN网络。不同的用户根据业务规划属于不同的安全组，安全组对应于Leaf设备的VXLAN网关。在一个Fabric网络架构内，该网关分布在每个Leaf设备，从而实现同一用户任意位置接入，而接入IP地址不变的需求。当不同部门之间的用户需要进行互访时，可能存在流量经过防火墙进行安全检查的需求。

通常情况下，将防火墙旁挂在Spine设备上，通过服务链引流技术将不同安全组之间的互访流量导向防火墙，这种组网称为集中式防火墙组网方案。

集中式防火墙组网方案存在以下不足之处：

1)在中大型组网中，安全组数量多，安全组之间互访业务也随之增多，大量业务流量被引流至Spine设备旁挂的防火墙，一方面对防火墙性能提出了更高的要求，另一方面Spine与防火墙之间的链路带宽也可能成为网络的瓶颈，并且防火墙或者防火墙链路一旦故障，将影响所有安全业务。

2)同Leaf下不同安全组之间的用户互访时，原本直接本地查路由转发即可，但是当需要过防火墙时，流量还需上送至Spine设备，存在流量绕行的情况。

另一种防火墙组网方式是分布式防火墙组网方案，该方案在各个Leaf设备旁挂防火墙设备或者部署防火墙插卡，利用服务链技术将安全组之间业务互访的流量导流至本地Leaf旁挂的防火墙。这样可以将安全业务分担到各个Leaf设备旁挂的防火墙上，降低了对单个防火墙的性能要求，以及故障影响范围。

在VXLAN分布式网关场景下，假设配置了部门1与部门2之间互访的服务链，如果将服务节点设置为旁挂在Leaf1上的防火墙FW1，那么Leaf2下接入的部门1和部门2的用户之间的互访，就会存在流量绕行的情况。如果服务节点选择为Leaf2旁挂的防火墙FW2，也会存在类似问题。若要解决这个问题，需要管理员提前对用户业务网关进行合理规划，如部门1的用户仅在Leaf1设备下接入，部门2的用户仅在Leaf2设备下接入，这样会限制安全组业务网关的部署位置和部门用户所在的区域位置，无法实现VXLAN分布式网关部署，不能满足同一个安全组下用户跨Leaf迁移时IP地址不变的需求。

发明内容

有鉴于此，本发明提供一种基于分布式防火墙的安全组互访方法、装置及设备，用于解决园区SDN网络中防火墙引流绕行等技术问题。

基于本发明实施例的一方面，本发明提供了一种基于分布式防火墙的安全组互访方法，该方法应用于园区软件定义网络中的叶子Leaf设备，所述Leaf设备作为安全组的分布式网关部署且挂接防火墙设备，不同VXLAN用户组通过不同的接口关联接入到所述Leaf设备上，该方法包括：