一种防火墙策略控制的方法及装置

摘要

本发明公开了一种防火墙策略控制的方法及装置，首先让用户在防火墙上配置生成一个虚拟接口，该虚拟接口仅用于标示报文的入接口和出接口，但不参与实际的报文转发，将该虚拟接口加入到安全域。进一步地，该虚拟接口包括基于IP的地址组或者MAC的地址组。其中地址组用于判断报文的源和目的地址，当报文的源地址为地址组范围内的地址时，将其入接口修改为该虚拟接口，报文目的地址为地址组范围内的地址时，将报文出接口位改虚拟接口，通过虚拟接口找到对应的安全域，从而实现同一台物理设备不同虚拟设备之间的防火墙策略控制。

主权项

一种防火墙策略控制的方法，其中该方法应用于同一物理设备同时被虚拟化为多个虚拟设备构成的网络系统中，且多个虚拟设备之间需要实现防火墙策略控制，其特征在于，所述方法包括如下步骤：步骤1、根据用户配置在防火墙上生成一个虚拟接口，其中所述虚拟接口具体包括虚拟接口ID、IP地址组或者MAC地址组以及安全域信息及其之间的对应关系；步骤2、防火墙根据虚拟接口找到相应的安全域，进而进行安全策略的控制；所述步骤2根据虚拟接口找到相应的安全域，进而进行安全策略的控制，具体为：首先利用地址组判断报文的源和目的地址是否在用户配置的虚拟接口的IP地址组或者MAC地址组范围内，当报文的源地址为地址组范围内的地址时，将其入接口修改为该虚拟接口，报文目的地址为地址组范围内的地址时，将报文出接口修改为该虚拟接口，通过虚拟接口找到对应的安全域，从而实现云计算数据中心同一台物理设备不同虚拟设备之间的防火墙策略控制。