[发明专利]网络安全方法和设备

权利要求书

1.一种网络安全方法，其特征在于，包括：

网络设备接收包括第一安全组标签的第一数据报文，所述第一安全组标签用于标识所述第一数据报文所属的安全组，所述网络设备位于可信域中；

所述网络设备记录第一对应关系，所述第一对应关系为所述第一安全组标签和所述第一数据报文的源网际协议IP地址字段中的IP地址的对应关系；

所述网络设备接收第二数据报文，所述第二数据报文的目的IP地址字段中的IP地址为所述第一数据报文的源IP地址字段中的IP地址；

所述网络设备根据所述第二数据报文的目的IP地址字段中的IP地址和所述第一对应关系获取所述第一安全组标签；

所述网络设备根据获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系为所述第一安全组标签与所述网络安全策略的对应关系。

2.根据权利要求1所述的方法，其特征在于，

所述第二数据报文包括第二安全组标签，所述第二安全组标签用于标识所述第二数据报文所属的安全组；

所述网络设备根据获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系为所述第一安全组标签与所述网络安全策略的对应关系，具体包括：

所述网络设备根据所述第二安全组标签和获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系包括所述第一安全组标签、所述第二安全组标签与所述网络安全策略之间的对应关系。

3.根据权利要求1所述的方法，其特征在于，

所述网络设备接收所述第二数据报文后，所述的方法还包括所述网络设备为所述第二数据报文分配第二安全组标签，所述第二安全组标签用于标识所述第二数据报文所属的安全组；

所述网络设备根据获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系为所述第一安全组标签与所述网络安全策略的对应关系，具体包括：

所述网络设备根据所述第二安全组标签和获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系包括所述第一安全组标签、所述第二安全组标签与所述网络安全策略之间的对应关系。

4.根据权利要求1至3任意一项所述的方法，其特征在于，所述方法还包括：

所述网络设备经过不支持所述第一安全组标签的网络向一个或多个其他网络设备发送同步消息，所述同步消息的净荷中包括所述第一对应关系，所述一个或多个其他网络设备位于与所述网络设备所在的可信域不同的可信域中，所述一个或多个其他网络设备所在的可信域与所述网络设备所在的可信域之间存在所述不支持所述第一安全组标签的网络。

5.一种网络安全装置，其特征在于，所述网络安全装置由网络设备实现，所述网络设备位于可信域中，所述网络安全装置包括第一接收单元，记录单元，第二接收单元，获取单元和执行单元；其中，

所述第一接收单元，用于接收包括第一安全组标签的第一数据报文，所述第一安全组标签用于标识所述第一数据报文所属的安全组；

所述记录单元，用于记录第一对应关系，所述第一对应关系为所述第一安全组标签和所述第一数据报文的源网际协议IP地址字段中的IP地址的对应关系；

所述第二接收单元，用于接收第二数据报文，所述第二数据报文的目的IP地址字段中的IP地址为所述第一数据报文的源IP地址字段中的IP地址；

所述获取单元，用于根据所述第二数据报文的目的IP地址字段中的IP地址和所述第一对应关系获取所述第一安全组标签；

所述执行单元，用于根据获取到的所述第一安全组标签以及预设的第二对应关系获取网络安全策略，并对所述第二数据报文执行所述网络安全策略，所述第二对应关系为所述第一安全组标签与所述网络安全策略的对应关系。