[发明专利]数据包检测方法及装置

权利要求书

1.一种数据包检测方法，其特征在于，所述方法应用于数据中心网络，所述数据中心网络中包括至少一个服务器，每个服务器设置有分布式防火墙DFW和至少一个虚拟机VM，所述方法包括：

所述DFW接收数据包；

所述DFW获取所述数据包中携带的虚拟局域网标识Vlan_id以及所述DFW所在服务器的标识；

所述DFW获取与所述Vlan_id以及所述服务器的标识对应的目标安全策略；

所述DFW根据所述目标安全策略检测所述数据包。

2.根据权利要求1所述的方法，其特征在于，所述数据中心网络中还包括集中式防火墙；在所述DFW获取所述数据包中携带的Vlan_id以及所述DFW所在服务器的标识之后，所述方法还包括：

所述DFW获取与所述Vlan_id以及所述服务器的标识对应的目标引流策略；所述目标引流策略包括所述DFW与集中式防火墙之间的转发路径；

所述DFW向与所述目标引流策略对应的集中式防火墙发送所述数据包，以便于所述集中式防火墙检测所述数据包。

3.根据权利要求1所述的方法，其特征在于，所述DFW根据所述目标安全策略检测所述数据包，包括：

所述DFW根据所述Vlan_id以及所述服务器的标识确定对所述数据包的检测方式，所述检测方式包括复制和缓存；

如果所述检测方式为复制，则所述DFW复制所述数据包，并根据所述目标安全策略检测复制后数据包；

如果所述检测方式为缓存，所述DFW则缓存所述数据包，并根据所述目标安全策略检测缓存的所述数据包。

4.根据权利要求3所述的方法，其特征在于，在所述DFW根据所述目标安全策略检测缓存的所述数据包之后，所述方法还包括：

所述DFW转发所述数据包。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述数据中心网络还包括控制设备；

在所述DFW获取目标安全策略之前，所述方法还包括：

所述DFW接收控制设备下发的至少一个安全策略以及每个安全策略对应至少一个服务器的标识和至少一个Vlan_id；

所述DFW获取目标安全策略，包括：

所述DFW根据所述数据包中携带的Vlan_id以及所述DFW所在服务器的标识，从所述至少一个安全策略中确定所述目标安全策略；

和/或

在所述DFW获取目标引流策略之前，所述方法还包括:

所述DFW接收控制设备下发的至少一个引流策略以及每个引流策略对应的至少一个服务器的标识和至少一个Vlan_id；

所述DFW获取目标引流策略，包括：

所述DFW根据所述数据包中携带的Vlan_id以及所述DFW所在服务器的标识，从所述至少一个引流策略中确定所述目标引流策略。

6.一种数据包检测方法，其特征在于，所述方法应用于数据中心网络，所述数据中心网络中包括控制设备和至少一个服务器，每个服务器设置有DFW和至少一个VM，所述方法包括：

控制设备获取每个VM对应的Vlan_id以及VM所在服务器的标识；

所述控制设备向所述VM对应的DFW下发至少一个安全策略以及每个安全策略对应的至少一个服务器的标识和Vlan_id，以供所述DFW根据所述至少一个安全策略中的目标安全策略检测所述数据包。

7.根据权利要求6所述的方法，其特征在于，所述数据中心网络还包括集中式防火墙；在控制设备获取每个VM对应的Vlan_id以及VM所在服务器的标识之前，所述方法还包括：

所述控制设备获取所述VM对应的安全策略；

所述控制设备为所述VM分配与所述安全策略对应的集中式防火墙的标识；

在获取VM对应的Vlan_id以及所述VM所在服务器的标识之后，所述方法还包括：

所述控制设备根据VM对应的Vlan_id以及所述VM所在服务器的标识确定至少一个引流策略，每个所述引流策略包括分布式防火墙和集中式防火墙之间的转发路径；

所述控制设备向所述DFW下发至少一个引流策略。