[發(fā)明專(zhuān)利]基于串接阻斷、旁路分析相分離的智能管控方法和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210513002.1
• 申請(qǐng)日: 2012-12-04
• 公開(kāi)（公告）號(hào): CN103051552A
• 公開(kāi)（公告）日: 2013-04-17
• 發(fā)明（設(shè)計(jì)）人: 楊滿智;蔡琳
• 申請(qǐng)（專(zhuān)利權(quán)）人: 恒安嘉新(北京)科技有限公司
• 主分類(lèi)號(hào): H04L12/803
• 分類(lèi)號(hào): H04L12/803;H04L29/08
• 代理公司: 北京中原華和知識(shí)產(chǎn)權(quán)代理有限責(zé)任公司 11019
• 代理人: 壽寧;張華輝

1.一種基于串接阻斷、旁路分析相分離的智能管控系統(tǒng)，其特征在于包括：控制端和與其連接的執(zhí)行端；所述控制端包括：策略分發(fā)設(shè)備，所述執(zhí)行端包括：負(fù)載均衡設(shè)備、數(shù)據(jù)流量阻斷設(shè)備和深度包檢測(cè)分析設(shè)備；

所述策略分發(fā)設(shè)備，與數(shù)據(jù)流量阻斷設(shè)備和深度包檢測(cè)分析設(shè)備均連接，用于向數(shù)據(jù)流量阻斷設(shè)備下發(fā)基于IP地址和/或端口的封堵命令，向深度包檢測(cè)分析設(shè)備下發(fā)監(jiān)測(cè)命令；

所述負(fù)載均衡設(shè)備，串接在互聯(lián)網(wǎng)數(shù)據(jù)中心IDC與互聯(lián)網(wǎng)之間，與數(shù)據(jù)流量阻斷設(shè)備連接，用于在檢測(cè)出與其連接的數(shù)據(jù)流量阻斷設(shè)備處于正常工作狀態(tài)時(shí)，將IDC以及互聯(lián)網(wǎng)傳輸來(lái)的數(shù)據(jù)包傳輸給數(shù)據(jù)流量阻斷設(shè)備，在檢測(cè)出與其連接的數(shù)據(jù)流量阻斷設(shè)備處于非正常工作狀態(tài)時(shí)，將IDC傳輸來(lái)的數(shù)據(jù)包傳輸給互聯(lián)網(wǎng)，將互聯(lián)網(wǎng)傳輸來(lái)的數(shù)據(jù)包傳輸給IDC；還用于將所述數(shù)據(jù)流量阻斷設(shè)備傳輸來(lái)的數(shù)據(jù)包轉(zhuǎn)發(fā)至IDC或者互聯(lián)網(wǎng)；

數(shù)據(jù)流量阻斷設(shè)備，與深度包檢測(cè)分析設(shè)備連接，用于將負(fù)載均衡設(shè)備傳輸來(lái)的不符合其存儲(chǔ)的封堵條件的數(shù)據(jù)包復(fù)制傳輸給深度包檢測(cè)分析設(shè)備，并回傳給負(fù)載均衡設(shè)備；根據(jù)其存儲(chǔ)的封堵條件不再將負(fù)載均衡設(shè)備傳輸來(lái)的符合封堵條件的數(shù)據(jù)包傳輸給深度包檢測(cè)分析設(shè)備，并不再回傳給負(fù)載均衡設(shè)備；從策略分發(fā)設(shè)備下發(fā)的基于IP地址和/或端口的封堵命令以及深度包檢測(cè)分析設(shè)備傳輸來(lái)的基于基于五元組的封堵命令中提取封堵條件并存儲(chǔ)；

深度包檢測(cè)分析設(shè)備，與策略分發(fā)設(shè)備連接，用于對(duì)數(shù)據(jù)流量阻斷設(shè)備傳輸來(lái)的數(shù)據(jù)包進(jìn)行協(xié)議分析，并根據(jù)策略分發(fā)設(shè)備傳輸來(lái)的監(jiān)測(cè)命令和所述協(xié)議分析的結(jié)果產(chǎn)生基于五元組的封堵命令，將所述基于五元組的封堵命令傳輸給數(shù)據(jù)流量阻斷設(shè)備。

2.根據(jù)權(quán)利要求1所述的智能管控系統(tǒng)，其特征在于，所述執(zhí)行端包括多個(gè)深度包監(jiān)測(cè)分析設(shè)備，且所述數(shù)據(jù)流量阻斷設(shè)備與多個(gè)深度包檢測(cè)分析設(shè)備均連接，所述數(shù)據(jù)流量阻斷設(shè)備根據(jù)五元組將其接收到的多個(gè)數(shù)據(jù)包分流傳輸給多個(gè)深度包檢測(cè)分析設(shè)備。

3.根據(jù)權(quán)利要求1所述的智能管控系統(tǒng)，其特征在于，所述數(shù)據(jù)流量阻斷設(shè)備的管理接口和深度包檢測(cè)分析設(shè)備的管理接口均通過(guò)內(nèi)網(wǎng)交換機(jī)與所述策略分發(fā)設(shè)備連接。

4.根據(jù)權(quán)利要求1或2或3所述的智能管控系統(tǒng)，其特征在于，所述所述策略分發(fā)設(shè)備、數(shù)據(jù)流量阻斷設(shè)備和深度包檢測(cè)分析設(shè)備通過(guò)內(nèi)網(wǎng)交換機(jī)與日志文件存儲(chǔ)設(shè)備連接。

5.根據(jù)權(quán)利要求1或2或3所述的智能管控系統(tǒng)，其特征在于，所述負(fù)載均衡設(shè)備通過(guò)1GE接口或者10GE接口串接在IDC與互聯(lián)網(wǎng)之間。

6.一種基于串接阻斷、旁路分析相分離的智能管控方法，其特征在于包括：

串接在互聯(lián)網(wǎng)數(shù)據(jù)中心IDC與互聯(lián)網(wǎng)之間的負(fù)載均衡設(shè)備在檢測(cè)出與其連接的數(shù)據(jù)流量阻斷設(shè)備處于正常工作狀態(tài)時(shí)，將IDC以及互聯(lián)網(wǎng)傳輸來(lái)的數(shù)據(jù)包傳輸給數(shù)據(jù)流量阻斷設(shè)備，在檢測(cè)出與其連接的數(shù)據(jù)流量阻斷設(shè)備處于非正常工作狀態(tài)時(shí)，將IDC傳輸來(lái)的數(shù)據(jù)包傳輸給互聯(lián)網(wǎng)，將互聯(lián)網(wǎng)傳輸來(lái)的數(shù)據(jù)包傳輸給IDC；

數(shù)據(jù)流量阻斷設(shè)備根據(jù)其存儲(chǔ)的封堵條件將負(fù)載均衡設(shè)備傳輸來(lái)的不符合所述封堵條件的數(shù)據(jù)包復(fù)制傳輸給深度包檢測(cè)分析設(shè)備，并回傳給負(fù)載均衡設(shè)備，由負(fù)載均衡設(shè)備將數(shù)據(jù)包轉(zhuǎn)發(fā)至IDC或者互聯(lián)網(wǎng)；

數(shù)據(jù)流量阻斷設(shè)備根據(jù)其存儲(chǔ)的封堵條件不再將負(fù)載均衡設(shè)備傳輸來(lái)的符合封堵條件的數(shù)據(jù)包傳輸給深度包檢測(cè)分析設(shè)備，并不再回傳給負(fù)載均衡設(shè)備；

深度包檢測(cè)分析設(shè)備對(duì)數(shù)據(jù)流量阻斷設(shè)備傳輸來(lái)的數(shù)據(jù)包進(jìn)行協(xié)議分析，并根據(jù)策略分發(fā)設(shè)備傳輸來(lái)的監(jiān)測(cè)命令和所述協(xié)議分析的結(jié)果產(chǎn)生基于五元組的封堵命令，將所述基于五元組的封堵命令傳輸給數(shù)據(jù)流量阻斷設(shè)備；

其中，所述封堵條件為從策略分發(fā)設(shè)備下發(fā)的基于IP地址和/或端口的封堵命令以及深度包檢測(cè)分析設(shè)備傳輸來(lái)的基于基于五元組的封堵命令中提取出的封堵條件。

7.根據(jù)權(quán)利要求6所述的智能管控方法，其特征在于，所述數(shù)據(jù)流量阻斷設(shè)備與多個(gè)深度包檢測(cè)分析設(shè)備連接，所述數(shù)據(jù)流量阻斷設(shè)備根據(jù)五元組將其接收到的多個(gè)數(shù)據(jù)包分流傳輸給多個(gè)深度包檢測(cè)分析設(shè)備。

8.根據(jù)權(quán)利要求7所述的智能管控方法，其特征在于，所述數(shù)據(jù)流量阻斷設(shè)備的管理接口和深度包檢測(cè)分析設(shè)備的管理接口均通過(guò)內(nèi)網(wǎng)交換機(jī)與所述策略分發(fā)設(shè)備連接。