[发明专利]防火墙的报文限速系统、方法、设备及介质

说明书

本公开提供了防火墙的报文限速系统、方法、设备及介质，所述系统包括：命令增加模块，用于在防火墙上配置所有CPU核对应的第一设定阈值和配置每一CPU核分别对应的第二设定阈值，其中，当所有CPU核的总CPU使用率大于第一设定阈值，且任一目标CPU核的CPU使用率大于第二设定阈值时，启动软件丢包；统计模块，用于读取内核态中记录的所述目标CPU核上一周期放行报文总数量和所述目标CPU核针对每一虚拟防火墙分别丢弃报文数量，并计算所述每一虚拟防火墙分别对应的丢弃报文数量与放行报文总数量的第一比值；CPU核心限速模块，用于当任一虚拟防火墙对应的第一比值大于第三设定阈值，则针对所述任一虚拟防火墙启动硬件限速。

技术领域

本公开涉及互联网技术领域，更为具体来说，本公开涉及防火墙的报文限速系统、方法、设备及介质。

背景技术

根据云计算标准组织的模型定义，云计算包含IAAS，PAAS和SAAS三个层面的服务形式，而IAAS作为基础设置级别的云计算服务，其将基础设施包括网络、存储、计算等资源进行虚拟化等处理，能够为每个用户提供相对独立的服务器计算资源、存储资源以及在承载网上设定专有的数据转发通道，这种云计算的模式已经得到IT业界的广泛认可。

在IAAS的建设过程中，不同的租户共享云计算基础设施，考虑到租户之间的业务经营范围上的差异，其在安全服务的需求上也必然存在不同的要求，这就要求云计算基础设备能够实现针对租户的差异化的安全策略和服务，因此虚拟防火墙在云场景中被广泛使用。

云场景通常租户较多，需要配置较多数量的Context，当某一个虚拟防火墙由于受到攻击等原因占用较多资源时，可能会影响整机或其他虚拟防火墙。因此，需要对单个虚拟防火墙的资源进行限制，保护系统资源合理使用。

配置Context资源限制的时候，一般是通过限制会话的新建、并发、吞吐量来实现。

事实上对于资源的分配，最重要的是合理分配CPU资源。一方面，客户可能并不知道多少新建、多少吞吐量对应多少CPU，不知道如何配置；另一方面，当某个虚拟防火墙的会话、并发、吞吐量超出了配置的门限值，设备会对超出的流量进行丢包，而丢包行为是由软件处理的，本身也会消耗CPU资源。

发明内容

为解决现有技术的不能满足根据用户实际需要对防火墙的CPU占用资源进行合理限速以提高工作效率的技术问题。

为实现上述技术目的，本公开提供了

一种防火墙的报文限速系统，包括：

命令增加模块，用于在防火墙上配置所有CPU核对应的第一设定阈值和配置每一CPU核分别对应的第二设定阈值，其中，当所有CPU核的总CPU使用率大于第一设定阈值，且任一目标CPU核的CPU使用率大于第二设定阈值时，启动软件丢包；

统计模块，用于读取内核态中记录的所述目标CPU核上一周期放行报文总数量和所述目标CPU核针对每一虚拟防火墙分别丢弃报文数量，并计算所述每一虚拟防火墙分别对应的丢弃报文数量与放行报文总数量的第一比值；

CPU核心限速模块，用于当任一虚拟防火墙对应的第一比值大于第三设定阈值，则针对所述任一虚拟防火墙启动硬件限速。

进一步，

在针对所述任一虚拟防火墙启动硬件限速时，所述CPU核心限速模块具体用于：

启动硬件限速功能，并针对所述任一虚拟防火墙配置对应的限速策略；以及基于所述限速策略对接收到的报文进行限速操作。

进一步，

所述限速策略包括所述任一虚拟防火墙的ID，所述目标CPU核的编号和针对所述任一虚拟防火墙上送至所述目标CPU核的报文进行限速的限速值，其中，在针对所述任一虚拟防火墙启动硬件限速后，所述任一虚拟防火墙上送至所述目标CPU核的报文的速率小于等于所述限速值；