[發明專利]由防火墻執行的信息處理方法和裝置

有效

• 申請號: 201911425002.4
• 申請日: 2019-12-31
• 公開（公告）號: CN111147520B
• 公開（公告）日: 2022-02-25
• 發明（設計）人: 胡松;李紅光;吳亞東
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/141;H04L67/146;H04L69/22;H04L12/46
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 熊文鑫

本公開提供了一種由防火墻執行的信息處理方法，防火墻用于組建虛擬擴展局域網，該方法包括：接收數據包，基于數據包，獲得第一源端口標識，對第一源端口標識進行處理，得到第二源端口標識，基于第二源端口標識，建立與數據包對應的會話，其中，該會話的五元組中的源端口與第二源端口標識對應。

技術領域

本公開涉及計算機技術領域，更具體地，涉及一種由防火墻執行的信息處理方法、裝置、計算機系統和計算機可讀存儲介質。

背景技術

虛擬擴展局域網(Virtual eXtensible Local Area Network，簡稱VXLAN)是一種覆蓋(overlay)網絡技術。VXLAN網絡中可以包括VTEP(VXLAN Tunnel End Point，VXLAN隧道終端)，VTEP是VXLAN網絡的邊緣設備，可以由交換機、路由器或者防火墻等實現。VTEP之間可以通過建立隧道來穿越三層網絡進行數據通信，例如，VTEP可以將虛擬機發出的數據包封裝在UDP(User Datagram Protocol，用戶數據報協議)中，并使用物理網絡的IP/MAC作為外層頭(outer-header)進行封裝，然后在物理IP網上傳輸，到達目的地后由目的端的VTEP解封并將數據發送給目標虛擬機。

目前的防火墻通常是基于狀態檢測技術的防火墻，該種防火墻會為每個不同的五元組建立會話。可以理解，當防火墻作為VXLAN網絡的VTEP節點時，該防火墻同樣會為流入或流出該防火墻的VXLAN報文建立會話。

在實現本公開構思的過程中，發明人發現相關技術中至少存在如下問題：在VXLAN網絡中，源端口范圍過大，各報文的源端口各不相同，導致防火墻需要建立且存儲的會話數據巨大，占用了大量的內存，影響防火墻的正常運行。

發明內容

有鑒于此，本公開提供了一種由防火墻執行的信息處理方法和裝置。

本公開的一個方面提供了一種由防火墻執行的信息處理方法，所述防火墻用于組建虛擬擴展局域網，所述方法包括：接收數據包，基于所述數據包，獲得第一源端口標識，對所述第一源端口標識進行處理，得到第二源端口標識，以及基于所述第二源端口標識，建立與所述數據包對應的會話，其中，所述會話的五元組中的源端口與所述第二源端口標識對應。

根據本公開的實施例，所述接收數據包，包括：接收由所述虛擬擴展局域網外的遠程電子設備發送的數據包。所述基于所述數據包，獲得第一源端口標識，包括：解析所述數據包，獲得所述數據包中的源端口標識作為第一源端口標識。所述對所述第一源端口標識進行處理，得到第二源端口標識，包括：將所述第一源端口標識修改為預設標識，得到第二源端口標識。

根據本公開的實施例，所述將所述第一源端口標識修改為預設標識，得到第二源端口標識，包括：解析所述數據包，獲得所述數據包的目的地址，在所述目的地址為所述防火墻的關于所述虛擬擴展局域網的地址時，通過將所述第一源端口標識修改為所述預設標識，得到第二源端口標識。

根據本公開的實施例，所述接收數據包，包括：接收由所述虛擬擴展局域網內的本地電子設備發送的數據包。所述基于所述數據包，獲得第一源端口標識，包括：對所述數據包進行哈希處理得到哈希值，所述哈希值為所述第一源端口標識。所述對所述第一源端口標識進行處理，得到第二源端口標識，包括：基于與所述數據包的接收端對應的起始端口、端口范圍和所述第一端口標識，得到所述第二源端口標識。

根據本公開的實施例，所述與數據包的接收端對應的端口范圍包括：網絡等價多路徑的路徑數量和網卡接收端擴展值之間的最小公倍數，其中，所述網絡等價多路徑的路徑數量為所述本地電子設備與所述數據包接收端之間的網絡等價多路徑的路徑數量，所述網卡接收端擴展值為所述數據包接收端的網卡接收端擴展值。