[發(fā)明專利]在覆蓋網(wǎng)絡(luò)中應(yīng)用安全性策略的方法和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201380051326.0
• 申請(qǐng)日: 2013-09-26
• 公開（公告）號(hào): CN104685500B
• 公開（公告）日: 2017-09-29
• 發(fā)明（設(shè)計(jì)）人: V·然;D·G·卡馬斯;J·基達(dá)姆比;A·P·庫(kù)巴赫拉;R·J·雷西奧
• 申請(qǐng)（專利權(quán)）人: 國(guó)際商業(yè)機(jī)器公司
• 主分類號(hào): G06F17/30
• 分類號(hào): G06F17/30
• 代理公司: 北京市中咨律師事務(wù)所11247
• 代理人: 于靜,張亞非

1.一種在覆蓋網(wǎng)絡(luò)中應(yīng)用安全性策略的方法，該方法包括：

通過覆蓋網(wǎng)絡(luò)接收通信路徑的請(qǐng)求，所述請(qǐng)求由所述覆蓋網(wǎng)絡(luò)中的第一物理交換機(jī)發(fā)送，其中所述第一物理交換機(jī)連接到至少一個(gè)第一服務(wù)器，其中所述請(qǐng)求至少包括：分組、第一信息、以及第二信息，并且其中所述至少一個(gè)第一服務(wù)器托管至少一個(gè)產(chǎn)生所述分組并且是所述分組的源的源虛擬機(jī)；

確定連接到最接近所述分組的目的地的第二物理交換機(jī)，其中指示交換機(jī)控制器對(duì)覆蓋網(wǎng)絡(luò)節(jié)點(diǎn)編程，從而使在所述分組的源和目的地之間傳輸?shù)娜魏畏纸M沿著所選擇的通信路徑行進(jìn)，并且其中所述第二物理交換機(jī)連接到至少一個(gè)第二服務(wù)器，所述至少一個(gè)第二服務(wù)器托管至少一個(gè)作為所述分組的目的地的目的地虛擬機(jī)；

響應(yīng)于接收到通過覆蓋網(wǎng)絡(luò)的通信路經(jīng)的請(qǐng)求，通知所述第二服務(wù)器所述源虛擬機(jī)出現(xiàn)在所述第一服務(wù)器上；

基于下列中的至少一項(xiàng)，確定安全性策略是否要應(yīng)用于所述分組：所述分組的內(nèi)容、所述第一信息和所述第二信息；

選擇所述第一物理交換機(jī)和所述第二物理交換機(jī)之間的通信路徑，其中當(dāng)確定安全策略不應(yīng)用于所述分組時(shí)，所選擇的通信路徑直接將所述第一物理交換機(jī)連接到所述第二物理交換機(jī)，以及其中當(dāng)確定安全性策略應(yīng)用于所述分組時(shí)，所選擇的通信路徑通過安全設(shè)備將所述第一物理交換機(jī)連接到所述第二物理交換機(jī)；

將所選擇的通信路徑發(fā)送至所述第一物理交換機(jī)，使得所述第一物理交換機(jī)沿著選擇的通信路經(jīng)發(fā)送流量；

其中所述第一信息包括產(chǎn)生所述分組的源虛擬機(jī)的至少一個(gè)地址，以及其中所述分組的源是所述源虛擬機(jī)；

其中所述第二信息包括所述第二物理交換機(jī)的至少一個(gè)地址。

2.根據(jù)權(quán)利要求1所述的方法，其中所述確定所述安全性策略是否被應(yīng)用于所述分組包括：

確定所述源虛擬機(jī)和所述目的地虛擬機(jī)在公共組或域中并確定不應(yīng)用所述安全性策略；以及

確定所述源虛擬機(jī)和目標(biāo)虛擬機(jī)不在公共組或域中并確定應(yīng)用所述安全性策略。

3.根據(jù)權(quán)利要求1所述的方法，其中所述第一物理交換機(jī)和所述第二物理交換機(jī)能夠向每個(gè)交換機(jī)接收的和發(fā)送的分組提供覆蓋功能。

4.根據(jù)權(quán)利要求1所述的方法，其中所述確定該安全性策略是否被應(yīng)用于所述分組包括：

將訪問控制列表應(yīng)用于所述分組以確定所述安全性策略是否被應(yīng)用于所述分組。

5.根據(jù)權(quán)利要求1所述的方法，其中所述安全性策略通過安全設(shè)備指導(dǎo)一個(gè)或多個(gè)服務(wù)的應(yīng)用，所述服務(wù)包括：

防火墻服務(wù)；

入侵預(yù)防服務(wù)；

入侵檢測(cè)服務(wù)；

服務(wù)器負(fù)載均衡服務(wù)；

虛擬專用網(wǎng)服務(wù)；

視頻優(yōu)化服務(wù)；以及

廣域網(wǎng)優(yōu)化服務(wù)。