[發明專利]分布式安全組模塊訪問控制方法、系統

在審

• 申請號: 201811416366.1
• 申請日: 2018-11-26
• 公開（公告）號: CN111224922A
• 公開（公告）日: 2020-06-02
• 發明（設計）人: 王子桐
• 申請（專利權）人: 順豐科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京志霖恒遠知識產權代理事務所(普通合伙) 11435
• 代理人: 趙奕

本發明涉及一種分布式安全組模塊訪問控制方法、系統，安全組模塊包括安全組、安全組模板、安全組規則、安全組關聯云主機中的至少一項，其中，所述安全組模塊與虛擬機網卡關聯形成分布式安全組模塊，由于安全組模塊為分布式，故可以靈活應對高并發的場景，且由于所述安全組模塊與虛擬機網卡關聯，通過觸發針對安全組模塊的操作請求，根據所述操作請求執行針對所述安全組模塊的相應操作步驟，使用戶從虛擬機的網卡維度對所述安全組模塊進行訪問控制，可實現不同虛擬網卡間的通訊過濾。

技術領域

本發明涉及分布式安全組，尤其涉及一種分布式安全組模塊訪問控制方法、系統。

背景技術

硬件防火墻一般放在網關上，用來隔離子網之間的訪問控制。因此，防火墻即服務也是在網絡節點上(具體說來是在路由器命名空間中)來訪問控制。防火墻可以在安全組之前隔離外部過來的惡意流量，但是對于同個子網內部不同虛擬網卡間的通訊不能過濾(除非它要跨子網)。

投入到實際使用環境中，情況卻隨時都在發生改變。硬件防火墻的規則總會不斷地變化和調整著，配置參數也會時常有所改變，操作人員需要修改配置文件，操作復雜。

現今的硬件防火墻通常為主備模式，海量并發時防火墻性能急速下降。

安全組是一種包過濾功能虛擬防火墻，用于設置單臺或多臺云服務器的網絡訪問控制控制，提供網絡安全隔離功能，綁定在虛擬機(VM)的網卡上。通過修改安全組的規則，放通相應的入站或出站流量。

防火墻是防護軟件，屬于被動防護，是在被攻擊時才進行防護的。安全組以安全策略進行防護，屬于主動防護，是在未被攻擊時做好安全防護。用戶不需要關注底層的技術訪問控制，只需要在平臺頁面上點擊相應的按鈕，控制策略的改變。而且安全組規則即時生效，用戶沒有明顯感知。且安全組為分布式，可以靈活應對高并發的場景。

為了解決現有防火墻存在的問題，本發明提供了一種公有云分布式安全組訪問控制技術。

發明內容

為了解決上述技術問題，本發明的目的在于提供一種分布式安全組模塊訪問控制方法、系統。

根據本發明的一個方面，提供了一種分布式安全組模塊訪問控制系統，包括：

操作請求接收單元，配置用于接收用戶觸發的針對安全組模塊的操作請求，所述安全組模塊包括安全組、安全組模板、安全組規則、安全組關聯云主機中的至少一項，其中，所述安全組模塊與虛擬機網卡關聯形成分布式安全組模塊；

操作步驟執行單元，配置用于根據所述操作請求執行針對所述安全組模塊的相應操作步驟。

進一步的，操作請求接收單元接收的所述針對安全組模塊的操作請求包括針對所述安全組的創建或克隆請求，操作步驟執行單元執行的所述相應操作步驟包括：

接收用戶觸發的針對安全組的創建或克隆請求，及用戶輸入的創建或克隆配置參數；

確定預創建或克隆安全組名稱及所述預創建或克隆安全組關聯項目是否滿足創建或克隆要求，若是，則生成創建或克隆類型并記錄到數據庫中；

根據所述創建或克隆配置參數判斷是否在安全組模板上進行創建或克隆，若是，則將安全組模板關聯的安全組規則復制至預創建安全組處進行安全組的創建并將創建的安全組記錄至數據庫中，或將被克隆安全組的安全組規則復制至新建安全組進行安全組的克隆并將克隆的安全組記錄至數據庫中。

操作請求接收單元接收的所述針對所述安全組模塊的操作請求包括針對安全組的刪除請求，操作步驟執行單元執行的所述相應操作步驟包括：

接收用戶觸發的針對所述安全組的刪除請求；

確定所述安全組是否關聯云主機，若無，則刪除所述安全組及其關聯的安全組規則，若是，則調用所關聯云主機所在物理機agent處理模塊，進行刪除操作。