[发明专利]配置安全策略的方法和装置

权利要求书

1.一种配置安全策略的方法，其特征在于，所述方法应用于软件定义网络SDN架构中的SDN控制器，所述方法包括：

接收链路层发现协议LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息，所述网卡为业务网卡；

在接收到免费地址解析协议ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；

向所述网卡发送所述VPN对应的安全策略。

2.根据权利要求1所述的方法，其特征在于，确定所述虚拟机所属的VPN，具体包括：

根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识；

根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；

下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。

4.一种配置安全策略的装置，其特征在于，所述装置应用于软件定义网络SDN架构中的SDN控制器，所述装置包括：

LLDP报文接收模块，用于接收链路层发现协议LLDP报文，所述LLDP报文携带网络设备的设备类型信息以及所述网络设备中网卡的地址信息，所述网卡为业务网卡；

VPN确定模块，用于在接收到免费地址解析协议ARP报文时，如果所述设备类型信息指示所述网络设备是应用层安全设备，且所述免费ARP报文携带的虚拟机的地址信息与所述网卡的地址信息一致，则确定所述虚拟机所属的虚拟专用网VPN；

安全策略发送模块，用于向所述网卡发送所述VPN对应的安全策略。

5.根据权利要求4所述的装置，其特征在于，所述VPN确定模块具体用于：

根据所述虚拟机的接入设备接收所述免费ARP报文的入端口和所述免费ARP报文携带的所述虚拟机所属的虚拟局域网VLAN的标识，确定所述虚拟机所属的虚拟可扩展局域网VXLAN的标识；

根据所述VXLAN的标识，确定所述虚拟机所属的VPN。

6.根据权利要求4或5所述的装置，其特征在于，所述装置还包括：

公网IP分配模块，用于在接收到所述免费ARP报文后，为所述虚拟机分配公网IP地址；

流表下发模块，用于下发转发流表，所述转发流表用于指导目的地址为所述虚拟机的所述公网IP地址的访问报文的转发，使得所述访问报文发送至所述虚拟机对应的所述网卡，由所述网卡基于所述安全策略对所述访问报文进行检测，并在检测通过后发送至所述VPN对应的服务器进行处理。