[发明专利]防火墙策略生成方法、装置及系统

权利要求书

1.一种防火墙策略生成方法，其特征在于，所述的方法包括：

接收包含需求源地址、需求目的地址、需求服务类型和需求状态的策略 需求信息，所述需求状态是指需求信息中的访问控制状态，包括开通状态或 者拒绝状态；

根据所述的需求源地址和需求目的地址从预存的地址区域关系表中获取 源服务器和目的服务器所在的区域；

根据所述的源服务器和目的服务器所在的区域从预存的区域与策略关系 表中获取所述源服务器和目的服务器所在区域对应的包含策略源地址、策略 目的地址、策略服务类型和策略状态的区域策略信息，所述策略状态是指区 域与策略关系表中的策略状态，包括开通状态或者拒绝状态；

将所述的需求源地址与策略源地址进行逻辑运算生成源地址逻辑结果， 将所述的需求目的地址与策略目的地址进行逻辑运算生成目的地址逻辑结 果，将所述的需求服务类型与策略服务类型进行逻辑运算生成服务类型逻辑 结果，将所述的需求状态与策略状态进行比较生成状态比较结果；

根据所述的源地址逻辑结果、目的地址逻辑结果、服务类型逻辑结果以 及状态比较结果生成防火墙策略；

其中，根据所述的源地址逻辑结果、目的地址逻辑结果、服务类型逻辑 结果以及状态比较结果生成防火墙策略包括：

如果所述的源地址逻辑结果为策略源地址与需求源地址有交集，所述的 目的地址逻辑结果为策略目的地址与需求目的地址有交集，所述的服务类型 逻辑结果为策略服务类型与需求服务类型有交集，所述的状态比较结果为需 求状态与策略状态不同，则所述生成的防火墙策略为根据所述的策略需求信 息在所述的区域策略信息之前增加新的策略；

如果所述的源地址逻辑结果为策略源地址与需求源地址相同，所述的目 的地址逻辑结果为策略目的地址与需求目的地址相同，所述的服务类型逻辑 结果为需求服务类型包含策略服务类型，所述的状态比较结果为需求状态与 策略状态相同，则所述生成的防火墙策略为根据所述的策略需求信息在所述 的区域策略信息中增加新的服务类型；

如果所述的源地址逻辑结果为策略源地址与需求源地址相同，所述的目 的地址逻辑结果为需求目的地址包含策略目的地址，所述的服务类型逻辑结 果为策略服务类型与需求服务类型相同，所述的状态比较结果为需求状态与 策略状态相同，则所述生成的防火墙策略为根据所述的策略需求信息在所述 的区域策略信息中增加新的目的地址；

如果所述的源地址逻辑结果为需求源地址包含策略源地址，所述的目的 地址逻辑结果为策略目的地址与需求目的地址相同，所述的服务类型逻辑结 果为策略服务类型与需求服务类型相同，所述的状态比较结果为需求状态与 策略状态相同，则所述生成的防火墙策略为根据所述的策略需求信息在所述 的区域策略信息中增加新的源地址。

2.根据权利要求1所述的方法，其特征在于，根据所述的源地址逻辑结 果、目的地址逻辑结果、服务类型逻辑结果以及状态比较结果生成防火墙策 略之后，所述的方法还包括：

将所述的防火墙策略更新到所述的区域与策略关系表中。

3.根据权利要求1所述的方法，其特征在于，根据所述的源地址逻辑结 果、目的地址逻辑结果、服务类型逻辑结果以及状态比较结果生成防火墙策 略还包括：

如果所述的源地址逻辑结果为策略源地址包含需求源地址，所述的目的 地址逻辑结果为策略目的地址包含需求目的地址，所述的服务类型逻辑结果 为策略服务类型包含需求服务类型，所述的状态比较结果为需求状态与策略 状态相同，则所述生成的防火墙策略为所述的区域策略信息。