專利名稱：擴(kuò)展安全系統(tǒng)的方法、安全系統(tǒng)及安全處理設(shè)備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)通信技術(shù)，尤指一種擴(kuò)展安全系統(tǒng)的方法、 一種安全系 統(tǒng)以及可用于擴(kuò)展的安全處理設(shè)備。
背景技術(shù)：
互聯(lián)網(wǎng)是 一 個世界范圍內(nèi)共享的網(wǎng)絡(luò)資源，各種各樣的信息都在相同的 介質(zhì)上傳輸。因此對用戶敏感數(shù)據(jù)的保護(hù)是一個不容忽視的問題，尤其在軍 事、銀行等一些機(jī)密要求很高的應(yīng)用場景下，數(shù)據(jù)的安全性尤為重要。參見 圖1，圖1為現(xiàn)有技術(shù)中安全處理設(shè)備的結(jié)構(gòu)圖示意圖，包括處理單元和主 控單元構(gòu)成。其中，處理單元由接口處理單元和業(yè)務(wù)處理單元組成，接口處 理單元對外可以存在一個或多個接口 ，用于接收報文，并發(fā)送經(jīng)業(yè)務(wù)處理單 元處理后的報文。業(yè)務(wù)處理單元接收接口處理單元發(fā)送的報文并進(jìn)行業(yè)務(wù)處 理，通過接口處理單元發(fā)送處理后的報文。主控單元主要用于管理、控制接 口處理單元以及業(yè)務(wù)處理單元。
隨著日益猖獗的病毒、攻擊以及濫用所引發(fā)的安全問題，安全處理設(shè)備 需要處理越來越多的安全業(yè)務(wù)。隨著安全業(yè)務(wù)的不斷增加，單個安全處理設(shè) 備的處理能力已經(jīng)無法滿足需求。為了滿足日益增長的網(wǎng)絡(luò)安全需求，安全 處理設(shè)備將希望寄托在擴(kuò)展上。擴(kuò)展就是將原來的兩臺或多臺安全處理設(shè)備 組合成一個安全系統(tǒng)，通過處理性能上的提升處理日益增加的安全問題。 參見圖2，圖2為現(xiàn)有技術(shù)安全系統(tǒng)的擴(kuò)展示意圖。按照如圖l所示的 安全系統(tǒng)，各安全處理設(shè)備之間沒有數(shù)據(jù)交互。由于現(xiàn)有技術(shù)中的擴(kuò)展只是 將安全處理設(shè)備在物理位置上放置在一起，并沒有實現(xiàn)安全處理設(shè)備之間的 數(shù)據(jù)交互，導(dǎo)致各安全處理設(shè)備各自獨立處理報文、以及收/發(fā)報文，無法
實現(xiàn)各安全處理設(shè)備之間的資源共享、協(xié)作處理。
例如，在安全處理設(shè)備A連接外網(wǎng)l和內(nèi)網(wǎng)1,安全處理設(shè)備B連接外 網(wǎng)2和內(nèi)網(wǎng)2的情況下，為了實現(xiàn)將從外網(wǎng)1收到的報文經(jīng)處理后發(fā)送至內(nèi) 網(wǎng)2的目的，需要在擴(kuò)展后的安全系統(tǒng)外加一臺交換機(jī)，用于實現(xiàn)內(nèi)網(wǎng)l和 內(nèi)網(wǎng)2之間的通信。這樣報文就可以從外網(wǎng)1進(jìn)入安全處理設(shè)備A,經(jīng)過安 全處理設(shè)備A的處理，通過內(nèi)網(wǎng)1以及新加的交換機(jī)進(jìn)入內(nèi)網(wǎng)2。又如，在 安全處理設(shè)備A當(dāng)前待處理的報文較多，存在許多報文等待被處理，由于 安全處理設(shè)備A和安全處理設(shè)備B各自獨立工作，因此當(dāng)前較空閑的安全 處理設(shè)備B無法協(xié)助安全處理設(shè)備A進(jìn)行處理，較大的影響了整個安全系 統(tǒng)的處理性能，使安全系統(tǒng)的處理性能局限于單個安全處理設(shè)備的處理性能 上。綜上所述，現(xiàn)有技術(shù)中這種安全系統(tǒng)擴(kuò)展方式?jīng)]有從真正意義上提高擴(kuò) 展后安全系統(tǒng)的性能。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明提供了一種擴(kuò)展安全系統(tǒng)的方法，該方法能夠使擴(kuò)展 后的安全系統(tǒng)相對于現(xiàn)有的安全系統(tǒng)具有較高的性能。
為達(dá)到上述目的，本發(fā)明的技術(shù)方案是這樣實現(xiàn)的
一種擴(kuò)展安全系統(tǒng)的方法，組成所述安全系統(tǒng)的各安全處理設(shè)備中進(jìn)一 步包括連接單元；該方法包括以下步驟
收到外部報文的安全處理設(shè)備，確定所在安全系統(tǒng)內(nèi)處理所述收到報文 的安全處理設(shè)備；
在自身不為當(dāng)前所確定的安全處理設(shè)備時，將當(dāng)前外部報文作為待處理
安全處理設(shè)備通過自身的連接單元接收所述待處理報文，并處理該報文； 在自身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文。 另外，本發(fā)明又提供了一種安全系統(tǒng)，該安全系統(tǒng)具有比現(xiàn)有安全系統(tǒng)
較高的性能。
為達(dá)到上述目的，本發(fā)明的技術(shù)方案是這樣實現(xiàn)的 一種安全系統(tǒng)，包括多個包含連接單元的安全處理設(shè)備； 其中，收到外部報文的安全處理設(shè)備，確定所在安全系統(tǒng)內(nèi)處理所述收 到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將當(dāng)前 外部報文作為待處理報文通過自身的連接單元發(fā)送至所確定的安全處理設(shè) 備；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文；
所述所確定的安全處理設(shè)備通過自身的連接單元接收所述待處理報文， 并處理該l艮文。
再者，本發(fā)明還提供了可用于擴(kuò)展的安全處理設(shè)備，本發(fā)明所提供的安 全處理設(shè)備可用于擴(kuò)展安全系統(tǒng)，使擴(kuò)展后的安全系統(tǒng)相對于現(xiàn)有安全系統(tǒng) 具有較高的性能。
為達(dá)到上述目的，本發(fā)明的技術(shù)方案是這樣實現(xiàn)的
本發(fā)明提供了一種可用于擴(kuò)展的安全處理設(shè)備，該設(shè)備包括連接單元i 至少一個接口單元、和至少一個業(yè)務(wù)處理單元；其中，任意一個接口單元通, 過所述連接單元與任意一個業(yè)務(wù)處理單元相連；
所述接口單元在收到來自所在安全系統(tǒng)外部的報文后，確定所在安全系 統(tǒng)內(nèi)處理所述收到報文的業(yè)務(wù)處理單元，將所述收到報文作為待處理報文， 發(fā)送所述待處理報文和描述當(dāng)前所選業(yè)務(wù)處理單元的處理指示至連接單元；
所述連接單元從接口單元收到所述待處理報文以及對應(yīng)的處理指示；根 據(jù)所述處理指示指示的業(yè)務(wù)處理單元，在所確定的業(yè)務(wù)處理單元位于其它安 全處理設(shè)備內(nèi)時，將所述待處理報文及對應(yīng)的處理指示發(fā)送至所指示的業(yè)務(wù) 處理單元所在的安全處理設(shè)備，由該業(yè)務(wù)處理單元處理所述待處理報文；在 所確定的業(yè)務(wù)處理單元位于自身所在安全處理設(shè)備內(nèi)時，根據(jù)所對應(yīng)的處理 指示將所述待處理報文發(fā)送至所確定的業(yè)務(wù)處理單元；
所述業(yè)務(wù)處理單元處理收到的待處理報文。
另外，本發(fā)明又提供了一種可用于擴(kuò)展的安全處理設(shè)備，該設(shè)備包括連 接單元、和至少一個接口單元；其中，任意一個接口單元與所述連接單元相
連；
所述接口單元在收到來自所在安全系統(tǒng)外部的報文后，確定所在安全系 統(tǒng)內(nèi)處理所述收到報文的業(yè)務(wù)處理單元，將所述收到報文作為待處理報文，
發(fā)送所述待處理報文和描述當(dāng)前所選業(yè)務(wù)處理單元的處理指示至連接單元；
所述連接單元從接口單元收到所述待處理報文以及對應(yīng)的處理指示；根 據(jù)所述處理指示，將所述待處理報文及對應(yīng)的處理指示發(fā)送至所指示的業(yè)務(wù) 處理單元所在的安全處理設(shè)備，由該業(yè)務(wù)處理單元處理所述待處理報文。
再者，本發(fā)明還提供了一種可用于擴(kuò)展的安全處理設(shè)備，該設(shè)備包括連 接單元和至少一個業(yè)務(wù)處理單元；
所述連接單元從其它安全處理設(shè)備收到待處理報文以及對應(yīng)的處理指 示；根據(jù)所述處理指示指示的業(yè)務(wù)處理單元，將所述待處理報文及對應(yīng)的處 理指示發(fā)送至所指示的業(yè)務(wù)處理單元；
所述業(yè)務(wù)處理單元處理收到的待處理報文。
本發(fā)明所提供的一種擴(kuò)展安全系統(tǒng)的方法，通過在組成安全系統(tǒng)的各安' 全處理設(shè)備中進(jìn)一步包括連接單元；收到外部報文的安全處理設(shè)備，確定所* 在安全系統(tǒng)內(nèi)處理收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全 處理設(shè)備時，將當(dāng)前外部報文作為待處理報文通過自身的連接單元將其發(fā)逸' 至所確定的安全處理設(shè)備，所確定的安全處理設(shè)備通過自身的連接單元接收 待處理報文，并處理該報文；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身 處理該報文。本發(fā)明的技術(shù)方案中提供了一種安全系統(tǒng)、以及可用于擴(kuò)展的 安全處理設(shè)備。本發(fā)明所提供的技術(shù)方案，通過各安全處理設(shè)備之間的數(shù)據(jù) 交互，實現(xiàn)了各安全處理設(shè)備的資源共享，從而實現(xiàn)真正意義上提高擴(kuò)展后 的安全系統(tǒng)的性能。
其中，本發(fā)明所提供的安全處理設(shè)備可以是包括接口單元、或包括業(yè)務(wù) 處理單元、或包括接口單元和業(yè)務(wù)處理單元。因此，本發(fā)明的安全處理設(shè)備 向安全系統(tǒng)提供了多種擴(kuò)展的可能。在僅需要擴(kuò)展接口，則可以使用僅包括 接口單元的安全處理設(shè)備；在僅需要增加處理能力，則可以使用僅包括業(yè)務(wù)
處理單元的安全處理設(shè)備，這樣能夠充分節(jié)約系統(tǒng)資源，針對安全系統(tǒng)的擴(kuò) 展需求在安全系統(tǒng)中增加相應(yīng)的設(shè)備。


圖1為現(xiàn)有技術(shù)中的安全處理設(shè)備結(jié)構(gòu)圖； 圖2為現(xiàn)有技術(shù)中的安全系統(tǒng)結(jié)構(gòu)圖； 圖3為本發(fā)明中的安全系統(tǒng)的基本結(jié)構(gòu)圖； 圖4本發(fā)明中第 一 實施例的安全系統(tǒng)結(jié)構(gòu)圖； 圖5為本發(fā)明中第二實施例的安全系統(tǒng)結(jié)構(gòu)圖； 圖6為本發(fā)明中第三實施例的安全系統(tǒng)結(jié)構(gòu)圖。
具體實施例方式
在本發(fā)明的技術(shù)方案中，通過各安全處理設(shè)備之間的數(shù)據(jù)交互，實現(xiàn)備 安全處理設(shè)備之間的資源共享，從而實現(xiàn)真正意義上提高擴(kuò)展后的安全系統(tǒng) 的性能。本發(fā)明的方法的總體流程為，組成安全系統(tǒng)的各安全處理設(shè)備中逸 一步包括連接單元；該方法包括以下步驟收到外部報文的安全處理設(shè)備； 確定所在安全系統(tǒng)內(nèi)處理收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定 的安全處理設(shè)備時，將當(dāng)前外部報文作為待處理報文通過自身的連接單元將 其發(fā)送至所確定的安全處理設(shè)備，所確定的安全處理設(shè)備通過自身的連接單 元接收待處理報文，并處理該報文；在自身為當(dāng)前所確定的安全處理設(shè)備時， 自身處理該報文。
參見圖3，圖3為本發(fā)明中安全系統(tǒng)的基本結(jié)構(gòu)圖，包括多個包含連接 單元的安全處理設(shè)備。其中，收到外部報文的安全處理設(shè)備，確定所在安全 系統(tǒng)內(nèi)處理收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè) 備時，將當(dāng)前外部報文作為待處理報文通過自身的連接單元發(fā)送至所確定的 安全處理設(shè)備；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文。 所確定的安全處理設(shè)備通過自身的連接單元接收待處理報文，并處理該報 文。
例如，在當(dāng)前安全系統(tǒng)存在兩個安全處理設(shè)備A和B，安全處理設(shè)備A 內(nèi)的處理單元在收到報文后，確定該報文需要由安全處理設(shè)備B進(jìn)行處理，
B，由安全處理設(shè)備B內(nèi)的處理單元進(jìn)行處理；當(dāng)需要由安全處理設(shè)備A處 理，則安全處理設(shè)備A自身處理收到的報文。這里的外部報文是指外界發(fā) 送給安全系統(tǒng)的報文。
在本發(fā)明的技術(shù)方案中，各安全處理設(shè)備均會連接自身對應(yīng)的網(wǎng)段，用 來接收、處理來自該網(wǎng)段的報文，以及向該網(wǎng)段發(fā)送報文。在處理安全處理 設(shè)備處理完收到報文后，還需要發(fā)送該處理后報文時，可以根據(jù)該待發(fā)送報 文的目的IP地址確定發(fā)送所述待發(fā)送報文的安全處理設(shè)備。在自身不為當(dāng) 前所確定的安全處理設(shè)備時，將所述待發(fā)送報文通過自身的連接單元發(fā)送至 所確定的安全處理設(shè)備；所述所確定的安全處理設(shè)備通過自身的連接單元接 收所述待發(fā)送報文，并根據(jù)該報文的目的IP發(fā)送該報文。在自身為當(dāng)前所 確定的安全處理設(shè)備時，自身根據(jù)所述待發(fā)送報文的目的IP發(fā)送該報文。
由于本發(fā)明的安全系統(tǒng)是由多個安全處理設(shè)備組成，因此為了提高報文 的處理效率，可以由一個安全處理設(shè)備處理一類的才艮文。在本發(fā)明中，將一 種類型的報文稱為一種業(yè)務(wù)流。在本發(fā)明的技術(shù)方案中，可以根據(jù)各安全處 理設(shè)備的處理能力確定處理具體業(yè)務(wù)流的安全處理設(shè)備。在確定處理具體業(yè) 務(wù)流的安全處理設(shè)備時，可以在收到該業(yè)務(wù)流對應(yīng)流首包時，進(jìn)行確定。
在本發(fā)明所提供的方法中，為了實現(xiàn)對各安全處理設(shè)備的統(tǒng)一管理，進(jìn) 而有效的提高安全系統(tǒng)的性能，可以將安全系統(tǒng)中的一個安全處理設(shè)備作為 主控安全處理設(shè)備、其他的作為附屬安全處理設(shè)備。由主控安全處理設(shè)備根 據(jù)自身以及各附屬安全處理設(shè)備的處理能力，確定處理具體業(yè)務(wù)流的安全處 理設(shè)備。
具體可以采用如下方式，安全處理設(shè)備在從外部收到的報文為流首包 時，依據(jù)所述主控安全處理設(shè)備的選擇，確定處理當(dāng)前報文的安全處理設(shè)備，
并記錄所述主控安全處理設(shè)備選擇的處理當(dāng)前報文對應(yīng)業(yè)務(wù)流的安全處理 設(shè)備。安全處理設(shè)備從外部收到的報文為非流首包時，在自身記錄的安全處 理設(shè)備中查找處理該報文對應(yīng)業(yè)務(wù)流的安全處理設(shè)備，將查找得到的安全處 理設(shè)備作為處理當(dāng)前報文的安全處理設(shè)備。
其中，安全處理設(shè)備的組成形式可以是以下三種形式構(gòu)成，其中第一種
為處理單元包括連接單元、至少一個接口單元和至少一個業(yè)務(wù)處理單元， 其中任意一個接口單元通過連接單元與任意一個業(yè)務(wù)處理單元相連；其中第 二種為處理單元包括連接單元、以及至少一個接口單元，其中任意一個接 口單元與連接單元相連；第三種是，處理單元包括連接單元、以及至少一個 業(yè)務(wù)處理單元，其中任意一個業(yè)務(wù)處理單元與連接單元相連。另外，在本發(fā) 明的安全處理設(shè)備內(nèi)還可以進(jìn)一步包括主控單元和擴(kuò)展控制接口單元，主要 用來確定報文的業(yè)務(wù)處理單元。
下面以以上三種處理單元的組成方式為例，描述本發(fā)明的三個實施例。 參見圖4，圖4為本發(fā)明第一實施例的結(jié)構(gòu)圖。該安全系統(tǒng)具體包括兩 個安全處理設(shè)備，分別為安全處理設(shè)備一和安全處理設(shè)備二。這兩個安全處 理設(shè)備的結(jié)構(gòu)相同，主要包括主控單元、擴(kuò)展控制接口單元、連接單元、N 個接口單元和N個業(yè)務(wù)處理單元。其中任意一個接口單元通過連接單元與 任意一個業(yè)務(wù)處理單元相連。當(dāng)然，這里的安全處理設(shè)備一和安全處理設(shè)備 二的接口單元和業(yè)務(wù)處理單元的數(shù)目也不必相等，可以是任意值，這樣并不
影響本發(fā)明的具體實現(xiàn)。
在安全處理設(shè)備一中接口單元從安全系統(tǒng)外部接收到報文，從安全處理 設(shè)備一對該報文進(jìn)行處理的角度來看。接口單元在收到來自所在安全系統(tǒng)外 部的報文后，確定所在安全系統(tǒng)內(nèi)處理該收到報文的業(yè)務(wù)處理單元。這里所 指的安全系統(tǒng)內(nèi)所有業(yè)務(wù)處理單元既包括安全處理i殳備一中的業(yè)務(wù)處理單 元1 N，同樣也包括安全處理設(shè)備二中的業(yè)務(wù)處理單元N+1 ~2N。該接口 單元將報文、以及描述當(dāng)前所選業(yè)務(wù)處理單元的處理指示發(fā)送至連接單元。 連接單元根據(jù)收到的處理指示，確定所選的業(yè)務(wù)處理單元位于自身所在安全
處理設(shè)備內(nèi)時，將與該處理指示對應(yīng)的報文發(fā)送至所選處理該報文的業(yè)務(wù)處
理單元處理，例如①號信號流。在圖4中，①號信號流表示報文從安全處理 設(shè)備一中的接口單元1收到，通過連接單元發(fā)送至安全處理設(shè)備一中的業(yè)務(wù) 處理單元1內(nèi)進(jìn)行處理；在處理完成后，業(yè)務(wù)處理單元1通過安全處理設(shè)備 一內(nèi)的連接單元將處理后的報文發(fā)送至接口單元1,接口單元1將報文發(fā)送 出去。
連接單元根據(jù)處理指示對應(yīng)的業(yè)務(wù)處理單元，將報文以及處理指示發(fā)送 至該業(yè)務(wù)處理單元對應(yīng)的安全處理設(shè)備。由該安全處理設(shè)備對應(yīng)的業(yè)務(wù)處理 單元進(jìn)行處理，例如在圖4中的②和③號信號流。
在圖4中，②號信號流表示報文從安全處理設(shè)備一 中的接口單元2收到， 通過安全處理設(shè)備一和安全處理設(shè)備中的連接單元，發(fā)送至安全處理設(shè)備二 中的業(yè)務(wù)處理單元N+1內(nèi)進(jìn)行處理；在處理完成后，業(yè)務(wù)處理單元N+1通 過安全處理設(shè)備二內(nèi)的連接單元將處理后的報文發(fā)送至安全處理設(shè)備二內(nèi) 的接口單元N+1，接口單元N+l將報文發(fā)送出去。③號信號流表示報文從 安全處理設(shè)備一中的接口單元2收到，通過安全處理設(shè)備一和安全處理設(shè)備 二中的連接單元，發(fā)送至安全處理設(shè)備二中的業(yè)務(wù)處理單元N+l內(nèi)進(jìn)行處 理；在處理完成后，業(yè)務(wù)處理單元N+l通過安全處理設(shè)備二內(nèi)的連接單j 將處理后的才艮文發(fā)送至安全處理設(shè)備一 內(nèi)的接口單元N,接口單元N將報文 發(fā)送出去。
這里，本發(fā)明所描述的處理指示可以是對應(yīng)業(yè)務(wù)處理單元的MAC地址。 如果處理指示是業(yè)務(wù)處理單元的MAC地址的話，安全處理設(shè)備內(nèi)的連接單 元可以通過維護(hù)自身的轉(zhuǎn)發(fā)表，根據(jù)業(yè)務(wù)處理單元的MAC地址，將當(dāng)前待 處理的報文發(fā)送至對應(yīng)的業(yè)務(wù)處理單元進(jìn)行處理。
在安全處理設(shè)備二接收并處理安全處理設(shè)備一發(fā)送的報文的角度來看。 安全處理設(shè)備二中的連接單元接收安全處理設(shè)備一發(fā)送的需要處理的報文 和描述處理該報文的業(yè)務(wù)處理單元的處理指示，根據(jù)該處理指示描述的內(nèi)容 將該才艮文發(fā)送至處理該凈艮文的業(yè)務(wù)處理單元。例如在圖4中所示的②和③號
信號流。
在安全處理設(shè)備二中的業(yè)務(wù)處理單元處理完安全處理設(shè)備一發(fā)送過來 的才艮文后，依據(jù)當(dāng)前待發(fā)送報文的IP地址確定發(fā)送該報文的接口單元，將 處理完的報文以及描述該接口單元的發(fā)送指示發(fā)送給連接單元。連接單元接 收從業(yè)務(wù)處理單元發(fā)送的報文以及發(fā)送指示，根據(jù)發(fā)送指示，在確定發(fā)送指 示描述的接口單元不在自身所在安全處理設(shè)備內(nèi)時，根據(jù)發(fā)送指示對應(yīng)的業(yè) 務(wù)處理單元，將報文以及發(fā)送指示發(fā)送至該業(yè)務(wù)處理單元所在的安全處理設(shè) 備二，如圖4中所示的③號信號流。在確定發(fā)送指示描述的接口單元在自身 所在安全處理設(shè)備內(nèi)時，將報文以及發(fā)送指示發(fā)送至該接口單元發(fā)送，如圖
4中所示的②和③號信號流。
這里，根據(jù)當(dāng)前待發(fā)送報文的IP地址確定發(fā)送該報文的接口單元，可 以是根據(jù)業(yè)務(wù)處理單元自身保存的轉(zhuǎn)發(fā)表來確定。該轉(zhuǎn)發(fā)表中記錄著將該報 文發(fā)送至目的IP地址的接口單元。該轉(zhuǎn)發(fā)表可以是預(yù)先配置、也可以是學(xué) 習(xí)得到。
另外，上面描述的發(fā)送指示可以是該接口單元的MAC地址。那么，相 應(yīng)的連接單元需要維護(hù)自身的MAC地址轉(zhuǎn)發(fā)表，根據(jù)發(fā)送當(dāng)前待發(fā)送報文 的接口單元的MAC地址，將該報文發(fā)送至該接口單元。
安全處理設(shè)備一中的連接單元接收安全處理設(shè)備二處理完的報文，以及 描述發(fā)送該的發(fā)送指示，并將其發(fā)送至連接單元。連接單元將收到的報文發(fā) 送至發(fā)送指示所描述的接口單元，該接口單元發(fā)送收到的報文，如上面所描 述的③號信號流。
在本實施例中，接口單元確定處理當(dāng)前收到報文的業(yè)務(wù)處理單元的具體 實現(xiàn)，可以借助設(shè)備中的主控單元和擴(kuò)展控制接口單元，具體可以采用如下 技術(shù)方案。在以下描述的技術(shù)方案中，以安全處理設(shè)備一中的接口單元1接 收到報文為例進(jìn)行介紹。在安全處理設(shè)備一中接口單元1收到的報文為流首 包時，接口單元1請求安全處理設(shè)備一中的主控單元指示處理該收到報文對 應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元；并將安全處理設(shè)備一中的主控單元指示的業(yè)務(wù)處
理單元作為處理所述收到寺艮文的業(yè)務(wù)處理單元，并記錄處理該報文對應(yīng)業(yè)務(wù) 流的業(yè)務(wù)處理單元。在收到報文為非流首包，接口單元查找自身記錄的處理 該報文對應(yīng)業(yè)務(wù)流的安全處理設(shè)備，將查找得到的安全處理設(shè)備作為處理當(dāng) 前報文的安全處理設(shè)備。
在安全處理設(shè)備一為主控安全處理設(shè)備時，安全處理設(shè)備一 中的主控單 元接收接口單元l發(fā)送的請求，為收到報文對應(yīng)的業(yè)務(wù)流選擇處理該業(yè)務(wù)流 的業(yè)務(wù)處理單元、并向接口單元1指示所選業(yè)務(wù)處理單元。
在安全處理設(shè)備一不為主控安全處理設(shè)備時，則表明在圖4所示的安全
系統(tǒng)結(jié)構(gòu)中，安全處理設(shè)備二為主控安全處理設(shè)備。則安全處理設(shè)備一中的 主控單元向擴(kuò)展控制接口單元發(fā)送處理所述收到報文對應(yīng)業(yè)務(wù)流的請求，并 將所述擴(kuò)展控制接口單元返回的指示發(fā)送至接口單元1。
安全處理設(shè)備一中的擴(kuò)展控制接口單元接收安全處理設(shè)備一中主控單 元發(fā)送的指示，向安全系統(tǒng)內(nèi)的主控安全處理設(shè)備二發(fā)送處理所述收到報文
對應(yīng)業(yè)務(wù)流的請求；并將該請求對應(yīng)的指示發(fā)送給所述主控單元。
從安全處理設(shè)備二當(dāng)前確定安全處理設(shè)備的過程來看，安全處理設(shè)備二 中的擴(kuò)展控制接口單元接收安全處理設(shè)備一發(fā)送的選擇業(yè)務(wù)處理單元的請 求，并將該請求發(fā)送至所述主控單元；接收主控單元返回的指示，并將該指 示返回給對應(yīng)的安全處理設(shè)備一。安全處理設(shè)備二中的主控單元接收從擴(kuò)展 控制接口單元發(fā)送的請求，為當(dāng)前收到報文的業(yè)務(wù)流選擇處理該業(yè)務(wù)流的業(yè)
務(wù)處理單元，并向擴(kuò)展控制接口單元指示所選業(yè)務(wù)處理單元。
這里，安全處理設(shè)備二中的主控單元選擇處理當(dāng)前報文的業(yè)務(wù)處理單元 可以采用如下技術(shù)方案安全處理設(shè)備一和安全處理設(shè)備二中的業(yè)務(wù)處理單 元定期向自身所在的主控單元上報包含自身處理能力的狀態(tài)信息。安全處理 設(shè)備一中的主控單元，定期將收集到的業(yè)務(wù)處理單元的狀態(tài)信息，通過擴(kuò)展 控制接口單元發(fā)送給主控安全處理設(shè)備二。安全處理設(shè)備二中的主控單元接 收自身業(yè)務(wù)處理單元發(fā)送的狀態(tài)信息、以及從擴(kuò)展控制接口單元接收安全處 理設(shè)備一發(fā)送的狀態(tài)信息；在選擇處理業(yè)務(wù)流的業(yè)務(wù)處理單元時，在收到該
業(yè)務(wù)流對應(yīng)流首包時，根據(jù)各業(yè)務(wù)處理單元的處理能力選擇處理業(yè)務(wù)流的業(yè) 務(wù)處理單元。
圖4所示的安全系統(tǒng)，通過將兩個安全處理設(shè)備合并，通過共享各自的 接口單元、以及業(yè)務(wù)處理單元，相對于原來的單個設(shè)備，提高了處理性能、 共享了各自的端口，實現(xiàn)了真正意義上的合并。
在一些具體的應(yīng)用場合中，安全系統(tǒng)需要擴(kuò)展的有可能僅為接口數(shù)量、 或者處理能力，因此為了節(jié)約資源，并不一定需要將既包括多個接口單元和 多個業(yè)務(wù)處理單元的兩個安全處理設(shè)備組成在一起形成一套安全系統(tǒng)。在僅 需要增加接口數(shù)量時，可以采用圖5所示的安全系統(tǒng)；在僅需要提高處理能 力可以采用圖6所示的安全系統(tǒng)。
參見圖5，圖5為本發(fā)明第二實施例中安全系統(tǒng)的結(jié)構(gòu)圖，包括安全處 理設(shè)備三和安全處理設(shè)備二。其中，安全處理設(shè)備二的組成結(jié)構(gòu)與對圖4中 所示相同，在此不再詳述。安全處理設(shè)備三中包括主控單元、擴(kuò)展控制接口 單元、連接單元、以及多個接口單元，其中任意一個接口單元與連接單元相 連。安全處理設(shè)備三中的各接口單元與主控單元相連，用于向主控單元發(fā)送 包含自身處理能力的狀態(tài)信息。
由于安全處理設(shè)備三中僅存在接口單元、不存在業(yè)務(wù)處理單元，因此安 全處理設(shè)備三不具備處理報文的能力，僅能接收以及發(fā)送報文。具體的信號 流可見參見該圖上所示的③號信號流，以及第一實施例中對③號信號流的介 紹。另外，確定處理當(dāng)前收到報文的業(yè)務(wù)處理單元的方式，與第一實施例中 介紹的技術(shù)方案相同，在此不再詳述。
參見圖6，圖6為本發(fā)明第三實施例中安全系統(tǒng)的結(jié)構(gòu)圖，包括安全處 理設(shè)備一和安全處理設(shè)備四。其中，安全處理設(shè)備一的組成結(jié)構(gòu)與對圖4中 所示相同，在此不再詳述。安全處理設(shè)備四中包括主控單元、擴(kuò)展控制接口 單元、連接單元、以及多個業(yè)務(wù)處理單元，其中任意一個業(yè)務(wù)處理單元通過 與連接單元相連。安全處理設(shè)備四中的各業(yè)務(wù)處理單元與主控單元相連，向 主控單元發(fā)送包含自身處理能力的狀態(tài)信息。
由于安全處理設(shè)備四中僅存在業(yè)務(wù)處理單元、不存在接口單元，因此安 全處理設(shè)備四不具備接收以及發(fā)送報文的能力，僅能處理報文。具體的信號 流可見參見該圖上所示的②號信號流，以及第一實施例中對②號信號流的介 紹。另外，確定處理當(dāng)前收到報文的業(yè)務(wù)處理單元的方式，與第一實施例中 介紹的技術(shù)方案相同，在此不再詳述。
根據(jù)以上圖4、 6和7的描述，本領(lǐng)域的技術(shù)人員不難根據(jù)本發(fā)明實施 例所提供的安全處理設(shè)備一、安全處理設(shè)備三以及安全處理設(shè)備四組成包括 三個或三個以上的各種形式的安全系統(tǒng)。如，由2個安全處理設(shè)備一、l個 安全處理設(shè)備二組成的安全系統(tǒng)；由2個安全處理設(shè)備二、1個安全處理設(shè) 備三組成的安全系統(tǒng)；以及2個安全處理設(shè)備一、1個安全處理設(shè)備三和1 個安全處理設(shè)備四組成的安全系統(tǒng)，具體組成結(jié)構(gòu)在此不再詳述。
另外，在本發(fā)明的技術(shù)方案中，安全處理設(shè)備中的主控單元和擴(kuò)展控制 接口單元除了可以用來選擇處理業(yè)務(wù)流的業(yè)務(wù)處理單元外，還可以用來對安 全處理設(shè)備中的接口單元和業(yè)務(wù)處理單元進(jìn)行初始化配置，例如分配地址。 通常情況下，是由主控安全處理設(shè)備來控制整個初始化過程。
這里，確定主控安全處理設(shè)備的方法可以有兩種，其中一種為，在組建 安全系統(tǒng)時設(shè)置作為主控安全處理設(shè)備的安全處理設(shè)備，可以通過將用于標(biāo) 識安全處理設(shè)備的框號，設(shè)置為主控安全處理設(shè)備特有的框號，來提示其他 安全處理設(shè)備。比如框號為0的安全處理設(shè)備為主控安全處理設(shè)備。另外一 種為，在安全系統(tǒng)初始化過程種通過廣播報文自攜商主控安全處理設(shè)備。具 體協(xié)商的依據(jù)可以是每個安全處理設(shè)備可以各自生成一個隨機(jī)數(shù)，各安全 處理設(shè)備根據(jù)隨機(jī)數(shù)的大小來決定哪個安全處理設(shè)備為主控安全處理設(shè)備。
其中，安全系統(tǒng)內(nèi)具體的配置過程可以是安全系統(tǒng)中各安全處理設(shè)備 在確定的自身角色之后，附屬安全處理設(shè)備中的主控單元負(fù)責(zé)收集設(shè)備內(nèi)各 單元物理信息，包括接口單元以及業(yè)務(wù)處理單元，并負(fù)責(zé)各單板的啟動，將 收集到的物理信息發(fā)送給主控安全處理設(shè)備內(nèi)的主控單元。主控安全處理設(shè) 備內(nèi)的主控單元除了需要收到自身各單元的物理信息，還要接收其他各附屬
安全處理設(shè)備發(fā)送的物理信息，主控安全處理設(shè)備根據(jù)收集到的物理信息獲 得對應(yīng)的配置信息。該獲得配置信息的方法可以是交由管理員進(jìn)行確定，或 者有主控安全處理設(shè)備自身生成。
另外，當(dāng)該安全系統(tǒng)內(nèi)有新的接口單元和/或業(yè)務(wù)處理單元加入時，該 接口單元和/或業(yè)務(wù)處理單元所在的安全處理設(shè)備中的主控單元收到該新加 入的接口單元和/或業(yè)務(wù)處理單元的物理信息，在自身所在安全處理設(shè)備為
主控安全處理設(shè)備時，根據(jù)物理信息得到該新加入的接口單元和/或業(yè)務(wù)處 理單元的配置信息，并將配置信息發(fā)送給當(dāng)前新加入的接口單元和/或業(yè)務(wù) 處理單元進(jìn)行初始化配置。在自身所在安全處理設(shè)備不為主控安全處理設(shè)備 時，將收集的物理信息發(fā)送給主控安全處理設(shè)備，將從主控安全處理設(shè)備收 到配置信息發(fā)送給當(dāng)前新加入的接口單元和/或業(yè)務(wù)處理單元進(jìn)行配置。當(dāng) 有接口單元和/或業(yè)務(wù)處理單元拔出時，主控安全處理設(shè)備需要根據(jù)當(dāng)前新 拔出的接口單元和/或業(yè)務(wù)處理單元處理的業(yè)務(wù)，生成配置信息，用于將該 業(yè)務(wù)切換到其他接口單元和/或業(yè)務(wù)處理單元處理。
本發(fā)明的安全系統(tǒng)可以是防火墻、IPS系統(tǒng)、或者其他的L4 L7網(wǎng)絡(luò)系統(tǒng)。
以上所述僅為本發(fā)明的較佳實施例而已，并不用以限制本發(fā)明，凡在本 發(fā)明的精神和原則之內(nèi)，所做的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在 本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1、一種擴(kuò)展安全系統(tǒng)的方法，其特征在于，組成所述安全系統(tǒng)的各安全處理設(shè)備中進(jìn)一步包括連接單元；該方法包括以下步驟收到外部報文的安全處理設(shè)備，確定所在安全系統(tǒng)內(nèi)處理所述收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將當(dāng)前外部報文作為待處理報文通過自身的連接單元將其發(fā)送至所確定的安全處理設(shè)備，所述所確定的安全處理設(shè)備通過自身的連接單元接收所述待處理報文，并處理該報文；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文。
2、 根據(jù)權(quán)利要求1所述的方法，其特征在于，該方法進(jìn)一步包括 處理所述收到報文的安全處理設(shè)備需要發(fā)送處理后報文時，將所述處理后報文作為待發(fā)送報文，根據(jù)該待發(fā)送報文的目的IP地址確定發(fā)送所述待發(fā)送報 文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將所述待發(fā)送報文通過自身的 連接單元發(fā)送至所確定的安全處理設(shè)備，所述所確定的安全處理設(shè)備通過自身 的連接單元接收所述待發(fā)送報文，并根據(jù)該報文的目的IP發(fā)送該報文；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身根據(jù)所述待發(fā)送報文的目的 IP發(fā)送該報文。
3、 根據(jù)權(quán)利要求l或2所述的方法，其特征在于，該方法進(jìn)一步包括確定所述安全系統(tǒng)中的主控安全處理設(shè)備； 所述確定所在安全系統(tǒng)內(nèi)處理所述收到^^艮文的安全處理設(shè)備為 當(dāng)所述從外部收到的報文為流首包時，依據(jù)所述主控安全處理設(shè)備的選擇，確定處理當(dāng)前報文的安全處理設(shè)備，并記錄所述主控安全處理設(shè)備選擇的處理當(dāng)前才艮文對應(yīng)業(yè)務(wù)流的安全處理i殳備；當(dāng)所述從外部收到的報文為非流首包時，在自身記錄的安全處理設(shè)備中查找處理該報文對應(yīng)業(yè)務(wù)流的安全處理設(shè)備，將查找得到的安全處理設(shè)備作為處 理當(dāng)前報文的安全處理設(shè)備。
4、 根據(jù)權(quán)利要求3所述的方法，其特征在于，所述安全處理設(shè)備中包括至少一個業(yè)務(wù)處理單元；所述主控安全處理設(shè)備選擇處理當(dāng)前報文對應(yīng)業(yè)務(wù)流的安全處理設(shè)備為 主控安全處理設(shè)備選擇處理當(dāng)前報文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元。
5、 根據(jù)權(quán)利要求3所述的方法，其特征在于，該方法進(jìn)一步包括所述安全處理設(shè)備內(nèi)包括擴(kuò)展控制接口單元；所述主 控安全處理設(shè)備通過自身的擴(kuò)展控制接口單元，接收不為主控安全處理設(shè)備的 附屬安全處理設(shè)備通過各自擴(kuò)展控制接口單元發(fā)送、包含各自處理能力的狀態(tài) 信息；當(dāng)所述從外部收到的報文為流首包時，依據(jù)所述主控安全處理設(shè)備的選擇 確定處理當(dāng)前報文的安全處理設(shè)備為所述從外部收到流首包的安全處理設(shè)備為主控安全處理設(shè)備時，由該安全 處理設(shè)備根據(jù)自身以及各附屬安全處理設(shè)備的處理能力，為業(yè)務(wù)流選擇處理其 的安全處理設(shè)備；所述從外部收到流首包的安全處理設(shè)備為附屬安全處理設(shè)備時，由安全系 統(tǒng)中的主控安全處理設(shè)備根據(jù)自身以及各附屬安全處理設(shè)備的處理能力，為業(yè) 務(wù)流選擇處理其的安全處理設(shè)備，并通過自身的擴(kuò)展控制接口單元向當(dāng)前接收 所述流首包的安全處理設(shè)備指示處理所述流首包對應(yīng)的安全處理設(shè)備；當(dāng)前接 收所述流首包的安全處理設(shè)備確定，主控安全處理設(shè)備所指示的安全處理設(shè)備 為處理當(dāng)前報文的安全處理設(shè)備。
6、 根據(jù)權(quán)利要求3所述的方法，其特征在于，所迷確定所述安全系統(tǒng)中的 主控安全處理設(shè)備為處理設(shè)備；或，根據(jù)預(yù)先的配置確定所述安全系統(tǒng)中的主控安全處理設(shè)備。
7、 一種安全系統(tǒng)，其特征在于，包括多個包含連接單元的安全處理設(shè)備； 其中，收到外部報文的安全處理設(shè)備，確定所在安全系統(tǒng)內(nèi)處理所述收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將當(dāng)前外部身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文；所述所確定的安全處理設(shè)備通過自身的連接單元接收所述待處理報文，并 處理該報文。
8、 根據(jù)權(quán)利要求7所述的安全系統(tǒng)，其特征在于， 處理所述收到報文的安全處理設(shè)備需要發(fā)送處理后報文時，將所述處理后報文作為待發(fā)送報文，根據(jù)該待發(fā)送報文的目的IP地址確定發(fā)送所述待發(fā)送報 文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將所述待發(fā)送 報文通過自身的連接單元發(fā)送至所確定的安全處理設(shè)備；在自身為當(dāng)前所確定 的安全處理設(shè)備時，自身根據(jù)所述待發(fā)送報文的目的IP發(fā)送該報文；所述所確定的、發(fā)送所述待發(fā)送報文的安全處理設(shè)備通過自身的連接單元 接收所述待發(fā)送報文，并根據(jù)該報文的目的IP發(fā)送該報文。
9、 根據(jù)權(quán)利要求7或8所述的安全系統(tǒng)，其特征在于，所述安全系統(tǒng)內(nèi)的 安全處理設(shè)備包括主控安全處理設(shè)備和附屬安全處理設(shè)備；所述從外部收到報文的安全處理設(shè)備，在所述收到的報文為流首包時，依 據(jù)所述主控安全處理設(shè)備的選擇，確定處理當(dāng)前報文的安全處理設(shè)備、并記錄 所述主控安全處理設(shè)備選擇的處理當(dāng)前報文對應(yīng)業(yè)務(wù)流的安全處理設(shè)備；在所 述收到的報文為非流首包時，在自身記錄的安全處理設(shè)備中查找處理該報文對 應(yīng)業(yè)務(wù)流的安全處理設(shè)備，將查找得到的安全處理設(shè)備作為處理當(dāng)前報文的安 全處理設(shè)備。
10、 根據(jù)權(quán)利要求9所述的方法，其特征在于，所述安全處理設(shè)備內(nèi)進(jìn)一 步包括擴(kuò)展控制接口單元；所述主控安全處理設(shè)備通過自身的擴(kuò)展控制接口單元，接收附屬安全處理 設(shè)備通過各自擴(kuò)展控制接口單元發(fā)送、包含各自處理能力的狀態(tài)信息；并根據(jù) 自身以及各附屬安全處理設(shè)備的處理能力，為業(yè)務(wù)流選擇處理其的安全處理設(shè) 備；所述從外部收到流首包的安全處理設(shè)備在自身為主控安全處理設(shè)備時，由 自身選擇處理該流首包對應(yīng)業(yè)務(wù)流的安全處理設(shè)備；在自身為附屬安全處理設(shè) 備時，通過擴(kuò)展控制接口單元接收所述主控安全處理設(shè)備，發(fā)送的處理當(dāng)前接 收報文的安全處理設(shè)備的指示。
11、 一種可用于擴(kuò)展的安全處理設(shè)備，其特征在于，該設(shè)備包括連接單元、 至少一個接口單元、和至少一個業(yè)務(wù)處理單元；其中，任意一個接口單元通過 所述連接單元與任意一個業(yè)務(wù)處理單元相連；所述接口單元在收到來自所在安全系統(tǒng)外部的報文后，確定所在安全系統(tǒng) 內(nèi)處理所述收到報文的業(yè)務(wù)處理單元，將所述收到報文作為待處理報文，發(fā)送 所述待處理"^艮文和描述當(dāng)前所選業(yè)務(wù)處理單元的處理指示至連接單元；所述連接單元從接口單元收到所述待處理報文以及對應(yīng)的處理指示；根據(jù) 所述處理指示指示的業(yè)務(wù)處理單元，在所確定的業(yè)務(wù)處理單元位于其它安全處 理設(shè)備內(nèi)時，將所述待處理報文及對應(yīng)的處理指示發(fā)送至所指示的業(yè)務(wù)處理單 元所在的安全處理設(shè)備，由該業(yè)務(wù)處理單元處理所述待處理報文；在所確定的 業(yè)務(wù)處理單元位于自身所在安全處理設(shè)備內(nèi)時，根據(jù)所對應(yīng)的處理指示將所述 待處理報文發(fā)送至所確定的業(yè)務(wù)處理單元；所述業(yè)務(wù)處理單元處理收到的待處理報文。
12、 根據(jù)權(quán)利要求11所述的設(shè)備，其特征在于，示，才艮據(jù)所述處理指示將所述待處理^^文發(fā)送至對應(yīng)的業(yè)務(wù)處理單元處理。
13、 根據(jù)權(quán)利要求11所述的設(shè)備，其特征在于，所述業(yè)務(wù)處理單元需要發(fā)送處理后報文時，將所述處理后報文作為待發(fā)送 報文，并根據(jù)該待發(fā)送報文的目的IP地址確定發(fā)送所述待發(fā)送報文的接口單 元；將所述待發(fā)送報文以及描述對應(yīng)接口單元的發(fā)送指示發(fā)送至所述連接單元；所述連接單元接收從業(yè)務(wù)處理單元發(fā)送的待發(fā)送報文以及發(fā)送指示，根據(jù) 所述發(fā)送指示指示的接口單元，在所指示的接口單元不在自身所在安全處理設(shè)備內(nèi)時，將所述待發(fā)送報文以及發(fā)送指示發(fā)送至所指示的接口單元所在的安全 處理設(shè)備，由所確定的接口單元發(fā)送所述待發(fā)送報文；在所指示的接口單元在自身所在安全處理設(shè)備內(nèi)時，將所述待發(fā)送報文發(fā)送至所指示的接口單元；所述接口單元發(fā)送收到的待發(fā)送報文。
14、 根據(jù)權(quán)利要求13所述的設(shè)備，其特征在于，示，根據(jù)所述發(fā)送指示將當(dāng)前待發(fā)送報文發(fā)送至所指示的接口單元發(fā)送。
15、 根據(jù)權(quán)利要求ll、 12或13所述的設(shè)備，其特征在于，該設(shè)備進(jìn)一步 包括主控單元和擴(kuò)展控制接口單元；所述接口單元在所述收到報文為流首包時，請求所在安全處理設(shè)備中的主 控單元指示處理所述收到報文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元；將所述主控單元指 示的業(yè)務(wù)處理單元作為處理所述收到報文的業(yè)務(wù)處理單元，并記錄處理該報文 對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元；在所述收到報文為非流首包時，接口單元查找處 理該報文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元，將查找得到的業(yè)務(wù)處理單元作為處理當(dāng) 前報文的業(yè)務(wù)處理單元；所述主控單元在自身所在安全處理設(shè)備為主控安全處理設(shè)備時，接收接口 單元發(fā)送的請求，為所述收到報文對應(yīng)的業(yè)務(wù)流選擇處理該業(yè)務(wù)流的業(yè)務(wù)處痤 單元、并向收到報文的接口單元指示所選業(yè)務(wù)處理單元；在自身所在安全處理 設(shè)備不為主控安全處理設(shè)備時，向所述擴(kuò)展控制接口單元發(fā)送處理所述收到報 文對應(yīng)業(yè)務(wù)流的請求，將從所述擴(kuò)展控制接口單元返回的指示發(fā)送至接口單元；所述擴(kuò)展控制接口單元向所在安全系統(tǒng)內(nèi)的主控安全處理設(shè)備發(fā)送處理所 述收到報文對應(yīng)業(yè)務(wù)流的請求；并將所述主控安全處理返回的、處理當(dāng)前報文 對應(yīng)業(yè)務(wù)流的指示發(fā)送至所述主控單元。
16、 根據(jù)權(quán)利要求15所述的設(shè)備，其特征在于，所述擴(kuò)展控制接口單元在所在安全處理設(shè)備為主控安全處理設(shè)備時，接收 其它安全處理設(shè)備發(fā)送的選擇業(yè)務(wù)處理單元的請求、并將該請求發(fā)送至所述主 控單元；接收所述主控單元返回的指示，并將該指示返回給對應(yīng)的安全處理設(shè)備；所述主控單元接收從擴(kuò)展控制接口單元發(fā)送的請求，為所述收到報文對應(yīng) 的業(yè)務(wù)流選擇處理該業(yè)務(wù)流的業(yè)務(wù)處理單元、并向所述擴(kuò)展控制接口單元指示 所選業(yè)務(wù)處理單元。
17、 根據(jù)權(quán)利要求15所述的設(shè)備，其特征在于，所述業(yè)務(wù)處理單元定期向主控單元上報包含自身處理能力的狀態(tài)信息； 所述主控單元在自身所在安全處理設(shè)備不為主控安全處理設(shè)備時，定期將 收到的狀態(tài)信息，通過擴(kuò)展控制接口單元發(fā)送給主控安全處理設(shè)備；在自身所 在安全處理設(shè)備為主控安全處理設(shè)備時，從擴(kuò)展控制接口單元接收其它安全處 理設(shè)備發(fā)送的狀態(tài)信息，根據(jù)所在安全系統(tǒng)內(nèi)各業(yè)務(wù)處理單元狀態(tài)信息中包含 的處理能力，選擇處理當(dāng)前流首包對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元。
18、 一種可用于擴(kuò)展的安全處理設(shè)備，其特征在于，該設(shè)備包括連接單元、 和至少一個接口單元；其中，任意一個接口單元與所述連接單元相連；所述接口單元在收到來自所在安全系統(tǒng)外部的報文后，確定所在安全系統(tǒng) 內(nèi)處理所述收到報文的業(yè)務(wù)處理單元，將所述收到報文作為待處理報文，發(fā)送 所述待處理報文和描述當(dāng)前所選業(yè)務(wù)處理單元的處理指示至連接單元；所述連接單元從接口單元收到所述待處理報文以及對應(yīng)的處理指示；根據(jù) 所述處理指示，將所述待處理"R文及對應(yīng)的處理指示發(fā)送至所指示的業(yè)務(wù)處理 單元所在的安全處理設(shè)備，由該業(yè)務(wù)處理單元處理所述待處理報文。
19、 根據(jù)權(quán)利要求18所述的設(shè)備，其特征在于，i;示，根據(jù)所述發(fā)送指示將當(dāng)前待發(fā)送報文發(fā)送至所指示的接口單元發(fā)送。
20、 根據(jù)權(quán)利要求18或19所述的設(shè)備，其特征在于，該設(shè)備進(jìn)一步包括 主控單元和擴(kuò)展控制接口單元；所述接口單元在所述收到報文為流首包時，請求所在安全處理設(shè)備中的主控單元指示，在所在安全系統(tǒng)中處理所述收到"^艮文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元； 將所述主控單元指示的業(yè)務(wù)處理單元作為處理所述收到報文的業(yè)務(wù)處理單元，并記錄處理該報文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元；在所述收到報文為非流首包時， 接口單元查找所在安全系統(tǒng)內(nèi)處理該報文對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單元，將查找 得到的業(yè)務(wù)處理單元作為處理當(dāng)前報文的業(yè)務(wù)處理單元；所述主控單元在自身所在安全處理設(shè)備為所在安全系統(tǒng)中的主控安全處理 設(shè)備時，接收接口單元發(fā)送的請求，為所述收到報文對應(yīng)的業(yè)務(wù)流在所在安全 系統(tǒng)中選擇處理該業(yè)務(wù)流的業(yè)務(wù)處理單元、并向收到報文的接口單元指示所選 業(yè)務(wù)處理單元；在自身所在安全處理設(shè)備不為主控安全處理設(shè)備時，向所述擴(kuò) 展控制接口單元發(fā)送處理所述收到報文對應(yīng)業(yè)務(wù)流的請求，將從所述擴(kuò)展控制 接口單元返回的指示發(fā)送至接口單元；所述擴(kuò)展控制接口單元向所在安全系統(tǒng)內(nèi)的主控安全處理設(shè)備發(fā)送處理所 述收到報文對應(yīng)業(yè)務(wù)流的請求；并將所述主控安全處理返回的、處理當(dāng)前報文 對應(yīng)業(yè)務(wù)流的指示發(fā)送至所述主控單元。
21、 一種可用于擴(kuò)展的安全處理設(shè)備，其特征在于，該設(shè)備包括連接單元 和至少一個業(yè)務(wù)處理單元；所述連接單元從其它安全處理設(shè)備收到待處理報文以及對應(yīng)的處理指示； 根據(jù)所述處理指示指示的業(yè)務(wù)處理單元，將所述待處理報文及對應(yīng)的處理指示 發(fā)送至所指示的業(yè)務(wù)處理單元；所述業(yè)務(wù)處理單元處理收到的待處理^^文。
22、 根據(jù)權(quán)利要求21所述的設(shè)備，其特征在于，所述業(yè)務(wù)處理單元需要發(fā)送處理后報文時，將所述處理后報文作為待發(fā)送 報文，并根據(jù)該待發(fā)送報文的目的IP地址確定發(fā)送所述待發(fā)送報文的接口單 元；將所述待發(fā)送報文以及描述對應(yīng)接口單元的發(fā)送指示發(fā)送至所述連接單元；所述連接單元接收從業(yè)務(wù)處理單元發(fā)送的待發(fā)送報文以及發(fā)送指示，根據(jù) 所述發(fā)送指示指示的接口單元，將所述待發(fā)送報文以及發(fā)送指示發(fā)送至所指示 的接口單元所在的安全處理設(shè)備，由所確定的接口單元發(fā)送所述待發(fā)送報文。
23、 根據(jù)權(quán)利要求21或22所述的設(shè)備，其特征在于，該設(shè)備進(jìn)一步包括 主控單元和擴(kuò)展控制接口單元；所述業(yè)務(wù)處理單元定期向主控單元上報包含自身處理能力的狀態(tài)信息； 所述主控單元在自身所在安全處理設(shè)備不為所在安全系統(tǒng)中的主控安全處 理設(shè)備時，定期將收到的狀態(tài)信息，通過擴(kuò)展控制接口單元發(fā)送給主控安全處 理設(shè)備；在自身所在安全處理設(shè)備為主控安全處理設(shè)備時，從擴(kuò)展控制接口單 元接收其它安全處理設(shè)備發(fā)送的狀態(tài)信息，根據(jù)所在安全系統(tǒng)內(nèi)各業(yè)務(wù)處理單 元狀態(tài)信息中包含的處理能力，選擇處理當(dāng)前流首包對應(yīng)業(yè)務(wù)流的業(yè)務(wù)處理單 元。
全文摘要
本發(fā)明公開了一種擴(kuò)展安全系統(tǒng)的方法，通過在組成安全系統(tǒng)的各安全處理設(shè)備中進(jìn)一步包括連接單元；收到外部報文的安全處理設(shè)備，確定所在安全系統(tǒng)內(nèi)處理所述收到報文的安全處理設(shè)備；在自身不為當(dāng)前所確定的安全處理設(shè)備時，將當(dāng)前外部報文作為待處理報文通過自身的連接單元將其發(fā)送至所確定的安全處理設(shè)備，所述所確定的安全處理設(shè)備通過自身的連接單元接收所述待處理報文，并處理該報文；在自身為當(dāng)前所確定的安全處理設(shè)備時，自身處理該報文。另外，本發(fā)明還提供了安全系統(tǒng)以及安全處理設(shè)備。本發(fā)明所提供的技術(shù)方案，通過各安全處理設(shè)備之間的數(shù)據(jù)交互，實現(xiàn)了各安全處理設(shè)備的資源共享，從而實現(xiàn)真正意義上提高擴(kuò)展后的安全系統(tǒng)的性能。
文檔編號H04L29/06GK101115010SQ20071012133
公開日2008年1月30日 申請日期2007年9月4日 優(yōu)先權(quán)日2007年9月4日
發(fā)明者安萬全 申請人:杭州華三通信技術(shù)有限公司