[发明专利]一种通用的安全资源池服务链实现方法及系统

说明书

本发明实施例公开了一种通用的安全资源池服务链的实现方法，用于实现在客户网络不同的部署方式下，与安全资源池服务链的自动对接。本发明实施例方法包括：配置安全资源池的网络对接装置、服务链引流装置及安全功能组件，网络对接装置包括路由器和/或交换设备，服务链引流装置包括交换设备，交换设备支持自定义匹配域的灵活引流；通过网络对接装置自动实现与客户业务流量的对接；通过服务链引流装置以服务链数据包头部NSH的封包方式，将客户业务流量引流至安全功能组件；在客户业务流量经过安全功能组件以后，通过服务链引流装置和网络对接装置将客户业务流量返回至客户业务中心系统或外网。

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种通用的安全资源池服务链实现方法及系统。

背景技术

随着安全资源池的概念逐渐被大众接受，安全资源池的部署方案也逐渐增多起来，部署过程中客户的需求主要分为三类：

1、客户的物理路由器支持策略路由功能，能将流量引到安全资源池进行清洗；

2、客户的路由不支持策略路由功能，则需要安全资源池即可以对流量进行清洗，也需要安全资源池实现策略路由的功能；

3、客户的原有物理安全设备是透明方式部署，则需要安全资源池可以代替原有物理设备，且需要安全资源池以透明方式部署，不能使用策略路由引流；

这三种需求分别对应安全资源池的路由模式、网关模式和透明模式，现需要安全资源池的引流方式能自动去适应不同客户的网络部署模式。

而目前主要的安全资源池的引流方法(如附图1所示)是通过策略路由进行引流，其中，针对南北向流量，是在客户核心路由器处将流量通过策略路由引到安全资源池进行检测、清洗以及加密或解密。安全资源池内一般是通过一层虚拟/物理路由或两层虚拟/物理路由进行再次引流操作，如果是两层虚拟/物理路由(如附图2所示)，第一次路由根据数据包租户ID(IP网段、VLAN ID等)，将流量引导至不同租户的安全资源池网关(不同的第二层路由)，由这个网关通过策略路由实现安全服务链，即让流量按顺序依次经过不同安全功能组件。如果只有一层虚拟/物理路由(如附图3所示)，则直接根据租户ID，实现安全服务链。

而目前的这种安全资源池的引流方法，主要有以下的弊端：

1、在客户侧，需要客户的物理路由器支持策略路由功能；

2、在安全资源池侧，因为策略路由一般是根据数据包到达的路由器端口及数据包中的源/目的IP地址，来实现策略引流，而因为路由器的端口数量有限，且在策略引流时需要查询路由表，故策略路由在实现安全服务链引流时，匹配域有限，策略管理复杂，容易产生冲突，尤其是对于一层虚拟/物理路由结构，策略路由表更复杂。

3、目前的安全资源池引流方法，因为需要安全资源池路由，故该方法只支持路由模式部署，经过改造后也能支持网关模式部署，但却不支持透明模式(不使用路由器)部署。

4、目前的安全资源池引流方法，因为网络对接功能及安全资源池服务链的引流策略功能都是通过资源池的策略路由来实现的，故该安全资源池引流方法的网络对接部分和安全服务链引流部分紧耦合，且该策略路由在实现安全服务链引流时，策略管理复杂，在客户网络场景改变时，安全服务链也要重新部署，才能满足新场景下的引流需求。

发明内容

本发明实施例提供了一种通用的安全资源池服务链实现方法，用于通过安全资源池中的网络对接装置，实现与客户业务流量的自动对接，通过服务链引流装置，实现对客户业务流量的策略引流，且服务链引流装置的自定义匹配域引流功能，使得服务链引流装置能够通过NSH封包方式，简化引流相关的转发表项，实现流表项的管理更加简洁化及自动化。

本发明实施例第一方面提供了一种通用的安全资源池服务链实现方法，包括：