容器化场景下的网络流量编排方法技术

本公开提供了一种容器化场景下的网络流量编排方法

【技术实现步骤摘要】
容器化场景下的网络流量编排方法、系统及相关设备


[0001]本公开涉及网络安全
，尤其涉及一种容器化场景下的网络流量编排方法
、
系统
、
装置
、
设备和介质
。

技术介绍

[0002]安全能力云化是指通过构建安全能力容器池，将传统的硬件安全设备通过虚拟化形式部署，安全能力容器池由多台物理服务器以及业务交换机组成，部署虚拟化容器
Docker
云底座，将传统的安全能力设备打包成
Docker
镜像，然后在
Docker
中运行，以此来避免设备与底层系统的耦合，减少对底层系统的依赖，使设备更加独立
、
便于移植
。
此外，
Docker
还提供了一些安全机制，如命名空间
、
控制组等，可以进一步提高设备的安全性
。
[0003]由于不同的源在没有流量编排的情况下，经过路由能够直接访问目的地址，在某些情况下，用户希望对访问目的地址的流量进行安全审计或者攻击检测等安全防护策略，结合上述安全能力容器池的背景下，相关技术中尚且无法实现基于容器化场景下，实现对网络流量根据用户自定义的需求，进行流量编排的方法
。
[0004]需要说明的是，在上述
技术介绍
部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息
。

技术实现思路

[0005]本公开提供一种容器化场景下的网络流量编排方法
、
系统
、
装置
、
设备和介质，至少在一定程度上克服相关技术中在容器化场景下无法实现网络流量的定制化防护的问题
。
[0006]本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得
。
[0007]根据本公开的一个方面，提供了一种容器化场景下的网络流量编排方法，包括：获取待传输网络流量的流量编排信息，其中，所述流量编排信息为根据所述待传输网络流量的安全服务需求和预先构建的安全能力容器池配置的流量转发路由信息，所述安全能力容器池中包含：对网络流量进行安全检测服务的多个安全能力容器，所述流量转发路由信息为网络流量在所述安全能力容器池内流经一个或多个安全能力容器的路由信息；将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量
。
[0008]在一些实施例中，将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，包括：通过网络代理客户端将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应安全能力容器所在的宿主机，其中，所述网络代理客户端被安装在所述宿主机上
。
[0009]在一些实施例中，在通过网络代理客户端将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应安全能力容器所在的宿主机之前，所述方法还包括：将所述待传输网络流量的流量编排信息经网络流量交换机传输至所述安全能力容器池，其
中，所述网络流量交换机为网络流量传入所述安全能力容器池的入口与所述安全能力容器池传出网络流量的出口
。
[0010]在一些实施例中，所述待传输网络流量的流量编排信息包括流表配置信息和服务节点配置信息，其中，所述流表配置信息用于配置流表来指示待传输的网络流量流经所述待传输网络流量的安全服务需求中涉及的所述安全能力容器池中的一个或多个安全能力容器，所述服务节点配置信息用于配置服务节点来根据所述流表传输待传输的网络流量
。
[0011]在一些实施例中，所述安全能力容器池内的多个安全能力容器部署在多台宿主机上；所述流量编排信息包括：主链路和备用链路的流量转发路由信息，所述主链路和所述备用链路上的安全能力容器部署在不同的宿主机上
。
[0012]在一些实施例中，在将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量之后，所述方法还包括：监测主链路上各个安全能力容器所在的宿主机的设备状态；当所述主链路上任意一个安全能力容器所在宿主机的设备状态存在异常的情况下，控制所述安全能力容器池将待传输的网络流量切换至备用链路上相应的安全能力容器
。
[0013]在一些实施例中，在将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量之后，所述方法还包括：监测待传输的网络流量是否流经由所述主链路和
/
或所述备用链路构成的一条完整链路上的任意一个安全能力容器；当所述待传输的网络流量未流经所述链路上的任意一个安全能力容器的情况下，禁止所述待传输的网络流量继续传输
。
[0014]根据本公开的另一个方面，还提供了一种容器化场景下的网络流量编排系统，包括：流量编排信息下发平台
、
控制器
、
网络代理客户端；其中，所述流量编排信息下发平台用于将待传输网络流量的流量编排信息下发至所述控制器；所述控制器与所述流量编排信息下发平台和所述网络代理客户端相连，用于获取所述流量编排信息下发平台下发的待传输网络流量的流量编排信息，其中，所述流量编排信息为根据所述待传输网络流量的安全服务需求和预先构建的安全能力容器池配置的流量转发路由信息，所述安全能力容器池中包含：对网络流量进行安全检测服务的多个安全能力容器，所述流量转发路由信息为网络流量在所述安全能力容器池内流经一个或多个安全能力容器的路由信息；所述网络代理客户端用于将所述控制器获取的待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量
。
[0015]根据本公开的另一个方面，还提供了一种容器化场景下的网络流量编排装置，包括：流量编排信息获取模块，用于获取待传输网络流量的流量编排信息，其中，所述流量编排信息为根据所述待传输网络流量的安全服务需求和预先构建的安全能力容器池配置的流量转发路由信息，所述安全能力容器池中包含：对网络流量进行安全检测服务的多个安全能力容器，所述流量转发路由信息为网络流量在所述安全能力容器池内流经一个或多个安全能力容器的路由信息；流量编排信息发送模块，用于将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量
。
[0016]根据本公开的另一个方面，还提供了一种电子设备，该电子设备包括：处理器；以
及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任意一项所述的容器化场景下的网络流量编排本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种容器化场景下的网络流量编排方法，其特征在于，包括：获取待传输网络流量的流量编排信息，其中，所述流量编排信息为根据所述待传输网络流量的安全服务需求和预先构建的安全能力容器池配置的流量转发路由信息，所述安全能力容器池中包含：对网络流量进行安全检测服务的多个安全能力容器，所述流量转发路由信息为网络流量在所述安全能力容器池内流经一个或多个安全能力容器的路由信息；将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量
。2.
根据权利要求1所述的容器化场景下的网络流量编排方法，其特征在于，将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，包括：通过网络代理客户端将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应安全能力容器所在的宿主机，其中，所述网络代理客户端被安装在所述宿主机上
。3.
根据权利要求2所述的容器化场景下的网络流量编排方法，其特征在于，在通过网络代理客户端将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应安全能力容器所在的宿主机之前，所述方法还包括：将所述待传输网络流量的流量编排信息经网络流量交换机传输至所述安全能力容器池，其中，所述网络流量交换机为网络流量传入所述安全能力容器池的入口与所述安全能力容器池传出网络流量的出口
。4.
根据权利要求1所述的容器化场景下的网络流量编排方法，其特征在于，所述待传输网络流量的流量编排信息包括流表配置信息和服务节点配置信息，其中，所述流表配置信息用于配置流表来指示待传输的网络流量流经所述待传输网络流量的安全服务需求中涉及的所述安全能力容器池中的一个或多个安全能力容器，所述服务节点配置信息用于配置服务节点来根据所述流表传输待传输的网络流量
。5.
根据权利要求1所述的容器化场景下的网络流量编排方法，其特征在于，所述安全能力容器池内的多个安全能力容器部署在多台宿主机上；所述流量编排信息包括：主链路和备用链路的流量转发路由信息，所述主链路和所述备用链路上的安全能力容器部署在不同的宿主机上
。6.
根据权利要求5所述的容器化场景下的网络流量编排方法，其特征在于，在将所述待传输网络流量的流量编排信息发送至所述安全能力容器池内相应的安全能力容器，以使接收到所述流量编排信息的安全能力容器转发待传输网络流量之后，所述方法还包括：监测主链路上各个安全能力容器所在的宿主机的设备状态；当所述主链路上任意一个安全能力容器所在宿主机的设备状态存在异常的情况下，控制所述安全能力容器池将待传输的网络流量切换至备用链路上相应的安全能力容器

【专利技术属性】
技术研发人员：高岩，姜洪涛，李慧文，肖莹，
申请(专利权)人：中国电信股份有限公司，
类型：发明
国别省市：