[发明专利]一种与NFV虚拟安全网关相连的网元设备

权利要求书

1.一种与NFV虚拟安全网关相连的网元设备，所述网元设备包括：

接收模块，用于接收所述网关的指令，以及接收邻近网元传递过来的数据包；

处理模块，用于根据获取的本地及邻近网元的负载和网络状态，自动部署和扩展网元的安全服务资源；

控制模块，用于根据所述网关的指令，对用户的流量进行控制；

所述NFV虚拟安全网关包括：

通用硬件平台；

物理网卡，与所述通用硬件平台的处理器连接；

其中，所述通用硬件平台上运行至少一个虚拟机，在所述虚拟机上实现虚拟安全网关，所述虚拟安全网关包括：

接收模块，用于从物理网卡接收外部网元设备发送的数据包，传递给深度识别模块和管道流控模块；

分配模块，用于判断至少一个虚拟机的负载是否空闲，根据深度识别模块和管道流控模块反馈的任务量、以及至少一个虚拟机负载的空闲情况，自动部署网关功能；

深度识别模块，用于解析接收的数据包，判断与数据包对应的行为动作或应用程序，并将预估的任务量反馈给分配模块；

管道流控模块，用于解析接收的数据包，判断业务或用户是否为核心业务或用户，并将预估的任务量反馈给分配模块；

控制模块，用于根据所述深度识别模块和管道流控模块的判断结果，对用户流量进行控制。

2.根据权利要求1所述的网元设备，所述自动部署和扩展网元的安全服务资源，包括：根据本地及邻近网元的负载和网络状态，将安全检测部署在邻近网元中负载最轻或网络状态最好的网元上。

3.根据权利要求2所述的网元设备，当将安全检测部署在邻近其他网元上时，本地网元获取所述邻近其他网元的流量控制结果，与本地网元的部署结果一并上传到网络安全平台。

4.根据权利要求1所述的网元设备，所述虚拟安全网关的深度识别模块具体包括：

从数据包中提取出携带的用户标识、应用标识或关键字段中的一个或多个，根据用户标识确定用户身份，根据应用标识确定应用程序，基于应用程序行为动作与关键字段的对应关系，确定与数据包对应的行为动作。

5.根据权利要求1所述的网元设备，所述虚拟安全网关的管道流控模块具体包括：

从数据包中提取出携带的网络信息，建立模型，将模型与业务或用户的标识关联，判断业务或用户是否为核心业务或用户。