[发明专利]一种基于VXLAN网络对数据库的防护方法及系统

说明书

本发明提出了一种基于VXLAN网络对数据库的防护方法及系统，涉及计算机网络通信领域。一种基于VXLAN网络对数据库的防护方法包括：获取数据包并对数据包的链路头部分进行解析；对解析后的数据包进行第一次判断，若判断结果为目标数据包，则按照第一预设规则进行解析，若判断结果为不是，则按照第二预设规则进行解析；根据解析结果匹配绑定风险策略并对匹配绑定策略进行第二次判断。其能够在VXLAN网络中，部署的数据库审计及防护系统，实现报文解封装，支持VXLAN报文的转发，策略匹配风险告警和访问控制的能力。此外本发明还提出了一种基于VXLAN网络对数据库的防护系统。

技术领域

本发明涉及计算机网络通信领域，具体而言，涉及一种基于VXLAN网络对数据库的防护方法及系统。

背景技术

现有技术应用虚拟可扩展局域网(Virtual extensible LAN，VXLAN)技术扩展网络虚拟化，用以得到足够数量的虚拟网络，来满足用户使用。

随着云计算的快速发展，数据中心的虚拟化程度越来越高，对物理网络的要求也越来越高。例如，数据中心网络中部署的机柜顶部(Top Of Rack，TOR)交换机，需要维护大规模的媒体接入控制(Media Access Control，MAC)地址表。又例如，现有的虚拟局域网(Virtual Local Area Network，VLAN)技术最大仅支持4094个二层隔离独立转发域，无法实现海量虚拟机的网络隔离。再例如，多租户环境迫切需要行之有效的网络隔离技术，以保证用户的数据安全。

现有的虚拟可扩展局域网技术虽然可以解决上述问题。然而，在实际应用中，VXLAN存在容易遭受仿冒的VXLAN报文攻击的问题。例如，当攻击者将大量仿冒的VXLAN报文发送至VXLAN隧道端点(VXLAN Tunneling End Point，VTEP)设备时，VTEP设备不得不提供大量的处理器资源处理仿冒的VXLAN报文，导致VTEP设备没有足够的剩余处理器资源来处理非VXLAN报文，从而降低了VTEP设备的正常工作效率。

通过VXLAN封装后的二层以太网帧可以跨三层网络边界，让组网以及应用部署变得更加灵活，同时支持更大的逻辑网络。但是在VXLAN网络中因为报文的特殊性，不支持VXLAN的产品是无法实现对应产品功能的，且对VXLAN数据包进行解析的工作效率太低。

发明内容

本发明的目的在于提供一种基于VXLAN网络对数据库的防护方法，其能够在VXLAN网络中，部署的数据库审计系统，实现报文解决审计，进行风险分析。数据库防火墙系统，实现报文解封装，支持VXLAN报文的转发，策略匹配风险告警和访问控制的能力。

本发明的另一目的在于提供一种基于VXLAN网络对数据库的防护系统，其能够运行一种基于VXLAN网络对数据库的防护方法。

本发明的实施例是这样实现的：

第一方面，本申请实施例提供一种基于VXLAN网络对数据库的防护方法，其包括获取数据包并对数据包的链路头部分进行解析；对解析后的数据包进行第一次判断，若判断结果为目标数据包，则按照第一预设规则进行解析，若判断结果为不是，则按照第二预设规则进行解析；根据解析结果匹配绑定风险策略并对匹配绑定策略进行第二次判断；对匹配绑定策略的结果缓存，根据配置发送告警并行压缩存储。

在本发明的一些实施例中，上述获取数据包包括：在VXLAN网络中，透明部署数据库审计及防护系统，采用DPDK技术实现数据库防火墙的高速业务转发。

在本发明的一些实施例中，上述对解析后的数据包进行第一次判断包括：根据解析数据包链路头部分，判断是否为VXLAN数据包。

在本发明的一些实施例中，上述若判断结果为目标数据包，则按照第一预设规则进行解析包括：若是VXLAN数据包，则按照VXLAN数据包格式解析数据包的链路头部。