[发明专利]数据包检测方法及装置

说明书

技术领域

本申请涉及通信技术领域，尤其涉及一种数据包检测方法及装置。

背景技术

由于网络云能够提高网络资源的利用率，且具有易运维、易拓展等优点，因此利用网络云来实现数据中心网络已经成为一种趋势。在构建数据中心网络时，通常使用一套物理设备组成的网络承载不同的虚拟网络，租户可租用虚拟网络，并且不同的租户使用的虚拟网络之间相互隔离，以满足多租户、多网络平面的需求。

参照图1，数据中心网络一般使用脊-叶(Spine-Leaf)架构，上层交换机为Spine节点，下层柜顶(Top Of Rack，TOR)交换机为Leaf节点。Leaf节点再与下层服务器连接，服务器中可部署虚拟机(Virtual Machine，VM)以及用于在VM和TOR交换机之间转发数据的虚拟交换机(vSwitch)。如果将TOR交换机作为虚拟网络边缘(Network Virtualization Edge，NVE)，来实现虚拟扩展局域网(Virtual Extensible Local Area Network，VxLAN)报文的封装与解封装，则构成网络覆盖(Network Overlay)场景。

在Network Overlay场景下，为了保障租户的网络安全，可以在VM所在服务器上部署分布式防火墙(Distributed Fire Wall，DFW)，利用DFW对该服务器发送的数据包进行检测，以保障租户部署的VM的安全。在进行数据包检测时，DFW获取数据包以及数据包中携带的虚拟局域网标识(Virtual Local Area Network identification，Vlan_id)，之后将该Vlan_id与控制设备下发的安全策略对应的Vlan_id进行匹配，进而确定数据包对应的安全策略。由于Vlan_id仅用于区分同一服务器内的租户网络，不同服务器为不同租户分配的Vlan_id可能相同，这样就使得根据Vlan_id可能匹配到多个安全策略，而DFW无法从多个安全策略中确定用于数据包检测的安全策略。

发明内容

本申请实施例提供一种数据包检测方法及装置，能够解决因DFW无法确定数据包对应的安全策略导致无法有效检测数据包的问题。

为解决上述问题，本申请实施例提供以下技术方案：

第一方面，本申请实施例提供一种数据包检测方法，该方法应用于数据中心网络，该数据中心网络中包括至少一个服务器，每个服务器设置有DFW和VM。所述方法包括：DFW接收数据包，并获取数据包中携带的Vlan_id以及DFW所在服务器的标识，之后获取与所述Vlan_id以及服务器的标识对应的目标安全策略并根据该目标安全策略检测数据包。

在数据中心网络中，同一服务器中部署的多个VM可能为不同租户所创建，因此在同一服务器内部进行数据转发时，在数据包中携带相应的Vlan_id来标识不同的租户。但是Vlan_id仅用于区分同一服务器内的不同租户，无法区分不同服务器内的不同租户，也即不同服务器内的不同租户的Vlan_id可能相同。例如：在服务器1内，通过在数据包中携带Vlan_id1和Vlan_id2来区分租户1和租户2；在服务器2内，仍通过在在数据包中携带Vlan_id1和Vlan_id3来区分租户2和租户3。也即，Vlan_id1可同时标识租户1和租户2。

不同租户创建的安全策略可能不同，安全策略与租户之间存在唯一的对应关系。目前，DFW仅根据Vlan_id确定安全策略，那么根据某个Vlan_id可确定出多个租户的安全策略，则无法根据特定租户的安全策略对数据包进行安全检测。

而本申请实施例中，DFW在确定安全策略时，结合服务器的标识和数据包携带的Vlan_id能够唯一确定数据包对应的租户网络，而租户网络和安全策略之间存在唯一的对应关系。因此，DFW根据服务器的标识和数据包携带的Vlan_id能够确定唯一的安全策略，进而可根据该唯一确定的安全策略进行数据包检测。