(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111402619.1 (22)申请日 2021.11.24 (71)申请人 中盈优创资 讯科技有限公司 地址 200000 上海市嘉定区安亭镇杭桂 路 1112号10层10 04室-4 (72)发明人 宋飞虎　 (74)专利代理 机构 上海嘉蓝专利代理事务所 (普通合伙) 31407 代理人 金波 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/02(2022.01) (54)发明名称 一种云环境下的流 量防护方法及装置 (57)摘要 本发明公开一种云环境下的流量防护方法 及装置， 其中， 该方法包括： 建立虚拟安全资源 池； 生成服务链， 并将分类规则下发到分类器节 点， 同时将转发表下发到转发节点； 分类器节点 根据分类规则将不同租户的流量转发到不同的 服务链； 转发节点对流量进行转发， 业务节点对 流量进行安全防护处理。 该方法及装置将虚拟安 全资源池和SFC结合， SFC根据跳数进行转发， 虚 拟安全资源池的拓扑发生变化时， 不会影 响转发 节点的流表配置； 对不同租户的流量进行差异化 处理， 提高了安全防护的效率； 对流量进行SSL解 密并进行深度检测， 增强了安全防护能力。 权利要求书2页 说明书6页 附图3页 CN 114244576 A 2022.03.25 CN 114244576 A 1.一种云环境下的流 量防护方法， 其特 征在于， 该 方法包括： 建立虚拟安全资源 池； 生成服务链， 并将分类规则下发到分类 器节点， 同时将转发表下发到转发节点； 分类器节点根据分类规则将不同租户的流 量转发到不同的服 务链； 转发节点对流 量进行转发， 业 务节点对流 量进行安全防护处 理。 2.根据权利要求1所述的云环境下的流量防护方法， 其特征在于， 所述虚拟安全资源池 包括： 分类 器节点、 多个转发节点和多个业 务节点， 业 务节点通过转发节点接入网络； 所述虚拟安全资源池使用网络控制器作为分类器节点、 转发节点和业务节点的控制 端。 3.根据权利要求1所述的云环境下的流量防护方法， 其特征在于， 生成服务链， 并将分 类规则下发到分类 器节点， 同时将转发表下发到转发节点， 包括： 网络控制器根据租户标识和租户订购的安全服务计算出完整的业务路径， 并生成不同 租户的服 务链， 然后将分类规则下发到分类 器节点， 同时将转发表下发到转发节点； 当租户订购的安全服务发生变动 时， 网络控制器重新计算业务路径， 并生成新的服务 链， 然后将分类规则重新下发到分类 器节点， 同时将转发表重新下发到转发节点。 4.根据权利要求1所述的云环境下的流量防护方法， 其特征在于， 分类器节点根据分类 规则将不同租户的流 量转发到不同的服 务链， 包括： 分类器节点收到租户的流量后， 判断是否是HTTPS流量， 若是HTTPS流量， 则在分类器节 点使用NGINX对HTTPS流量做SSL卸载的操作； 若是非HTTPS流量或者卸载之后的HTTPS流量， 则根据分类规则将不同租户的流 量转发到不同的服 务链。 5.根据权利要求1所述的云环境下的流量防护方法， 其特征在于， 转发节点对流量进行 转发， 业务节点对流 量进行安全防护处 理， 包括： 转发节点之间根据服务链对应的业务路径， 按顺序将流量进行转发， 业务节点根据所 配置的安全防护策略对流 量进行安全防护处 理； 所有业务节点处理完流量之后， 在转发尾节点使用NGINX对HTTPS流量做SSL加载的操 作。 6.一种云环境下的流 量防护装置， 其特 征在于， 该装置包括： 虚拟安全资源 池， 用于将安全能力以虚拟机的形式提供 给租户； 网络控制器， 用于生成服务链， 并将分类规则下发到分类器节点， 同时将转发表下发到 转发节点； 转发节点， 用于对流 量进行转发； 分类器节点， 用于根据分类规则将不同租户的流 量转发到不同的服 务链； 业务节点， 用于根据所配置的安全防护策略对流 量进行安全防护处 理。 7.根据权利要求6所述的云环境下的流量防护装置， 其特征在于， 所述虚拟安全资源池 包括： 分类 器节点、 多个转发节点和多个业 务节点， 业 务节点通过转发节点接入网络； 所述虚拟安全资源池使用网络控制器作为分类器节点、 转发节点和业务节点的控制 端。 8.根据权利要求6所述的云环境下的流量防护装置， 其特征在于， 所述网络控制器， 具 体用于：权　利　要　求　书 1/2 页 2 CN 114244576 A 2根据租户标识和租户订购的安全服务计算出完整的业务路径， 并生成不同租户的服务 链， 然后将分类规则下发到分类 器节点， 同时将转发表下发到转发节点； 当租户订购的安全服务发生变动 时， 网络控制器重新计算业务路径， 并生成新的服务 链， 然后将分类规则重新下发到分类 器节点， 同时将转发表重新下发到转发节点。 9.根据权利要求6所述的云环境下的流量防护装置， 其特征在于， 所述分类器节点， 具 体用于： 收到租户的流量后， 判断是否是HTTPS流量， 若是HTTPS流量， 则在分类器节点使用 NGINX对HTTPS流量做SSL卸载的操作； 若是非HTTPS流量或者卸载之后的HTTPS流量， 则根据 分类规则将不同租户的流 量转发到不同的服 务链。 10.根据权利要求6所述的云环境下的流量防护装置， 其特征在于， 所述转发节点， 具体 用于： 转发节点之间根据服 务链对应的业 务路径， 按顺序将流 量进行转发； 所有业务节点处理完流量之后， 在转发尾节点使用NGINX对HTTPS流量做SSL加载的操 作。 11.一种计算机设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计 算机程序， 其特征在于， 所述处理器执行所述计算机程序时实现权利要求 1‑5任一项所述方 法。 12.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质存储有执行权利 要求1‑5任一项所述方法的计算机程序。权　利　要　求　书 2/2 页 3 CN 114244576 A 3