策略沖突解決方法以及裝置制造方法
【專利摘要】本申請(qǐng)公開(kāi)了一種策略沖突解決方法以及裝置。所述方法包括：接收第一控制策略并將所述第一控制策略分解成m條第一規(guī)則，以及，接收第二控制策略并將所述第二控制策略分解成n條第二規(guī)則；對(duì)每條所述第一規(guī)則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取反以得到第二反規(guī)則，分別將每條所述第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則；刪除所述無(wú)效規(guī)則，并將剩余的所述第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則，將每條所述有效第一執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。通過(guò)上述方式，能夠解決策略沖突。
【專利說(shuō)明】策略沖突解決方法以及裝置

【技術(shù)領(lǐng)域】
[0001] 本申請(qǐng)涉及通信領(lǐng)域，特別是涉及策略沖突解決方法以及裝置。

【背景技術(shù)】
[0002] 軟件定義網(wǎng)絡(luò)（Software Defined Network, SDN)是一種新型網(wǎng)絡(luò)架構(gòu)，與傳統(tǒng)網(wǎng) 絡(luò)所采用的查找IP路由相比，SDN/OpenFlow能夠?qū)崿F(xiàn)網(wǎng)絡(luò)流量的靈活控制，為核心網(wǎng)絡(luò)及 應(yīng)用的創(chuàng)新提供良好的平臺(tái)，是今后網(wǎng)絡(luò)架構(gòu)發(fā)展的方向。
[0003] 如圖1所示，SDN通常包括控制器110以及轉(zhuǎn)發(fā)設(shè)備120兩部分?？刂破?10分 別與網(wǎng)絡(luò)中的每一個(gè)轉(zhuǎn)發(fā)設(shè)備120連接，網(wǎng)絡(luò)中的轉(zhuǎn)發(fā)設(shè)備120之間拓?fù)溥B接?？刂破?10 負(fù)責(zé)對(duì)網(wǎng)絡(luò)進(jìn)行集中控制，即控制器110接收到控制策略后，根據(jù)控制策略生成轉(zhuǎn)發(fā)路徑， 為各個(gè)轉(zhuǎn)發(fā)設(shè)備120生成轉(zhuǎn)發(fā)表項(xiàng)。轉(zhuǎn)發(fā)設(shè)備120在接收到轉(zhuǎn)發(fā)表項(xiàng)后，根據(jù)接收到的轉(zhuǎn) 發(fā)表項(xiàng)對(duì)用戶終端發(fā)送的報(bào)文進(jìn)行匹配和轉(zhuǎn)發(fā)。
[0004] 但是，在一些情況下，控制器110接收到的一些策略之間可能會(huì)存在沖突。
[0005] 例如，研發(fā)部門的日常工作涉及到公司的機(jī)密，研發(fā)部門是嚴(yán)禁訪問(wèn)外部網(wǎng)絡(luò)的， 只能訪問(wèn)公司的內(nèi)部網(wǎng)絡(luò)。所以，管理員針對(duì)研發(fā)部門的性質(zhì)，可能會(huì)給控制器下發(fā)策略1， 該策略1作用于轉(zhuǎn)發(fā)設(shè)備S0,由轉(zhuǎn)發(fā)設(shè)備S0將滿足策略1的用戶終端的報(bào)文轉(zhuǎn)發(fā)給SDN中 的其他轉(zhuǎn)發(fā)設(shè)備，再由其他轉(zhuǎn)發(fā)設(shè)備轉(zhuǎn)發(fā)到相應(yīng)網(wǎng)絡(luò)如外部網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)：
[0006] 策略1 :研發(fā)部門服務(wù)器不能訪問(wèn)外部網(wǎng)絡(luò)，所有研發(fā)部門的員工可以從轉(zhuǎn)發(fā)設(shè) 備S1訪問(wèn)公司的內(nèi)部網(wǎng)絡(luò)。
[0007] 同時(shí)，對(duì)于研發(fā)部門中的預(yù)研小組，他們必須訪問(wèn)外部網(wǎng)絡(luò)才能進(jìn)行資料收集工 作。所以，管理員針對(duì)預(yù)研小組的性質(zhì)，可能會(huì)給控制器下發(fā)策略2,該策略2也作用于轉(zhuǎn)發(fā) 設(shè)備S0,由轉(zhuǎn)發(fā)設(shè)備S0滿足策略2的用戶終端的報(bào)文轉(zhuǎn)發(fā)給SDN中的其他轉(zhuǎn)發(fā)設(shè)備，再由 其他轉(zhuǎn)發(fā)設(shè)備轉(zhuǎn)發(fā)到相應(yīng)網(wǎng)絡(luò)如外部網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)：
[0008] 策略2 :預(yù)研小組服務(wù)器不能訪問(wèn)安全殼（Secure Shell, SSH)服務(wù)，預(yù)研小組員 工可以通過(guò)轉(zhuǎn)發(fā)設(shè)備S2訪問(wèn)外部網(wǎng)絡(luò)。
[0009] 從上面的兩條策略可以分析出，按照設(shè)想，預(yù)研小組員工應(yīng)該能訪問(wèn)外部網(wǎng)絡(luò)。但 是，實(shí)際上，由于預(yù)研小組是研發(fā)部門的一部分，在策略1中，是禁止所有的研發(fā)部門的員 工訪問(wèn)外部網(wǎng)絡(luò)的?？刂破?10接收到這兩條沖突的控制策略后，控制器110無(wú)法進(jìn)行處 理，于是，控制器110只能將優(yōu)先級(jí)別最高的策略轉(zhuǎn)化為轉(zhuǎn)發(fā)表項(xiàng)發(fā)送給轉(zhuǎn)發(fā)設(shè)備S0,使得 轉(zhuǎn)發(fā)設(shè)備S0只根據(jù)優(yōu)先級(jí)別最高的策略轉(zhuǎn)發(fā)報(bào)文。針對(duì)研發(fā)部門下發(fā)的策略1優(yōu)先級(jí)高 于針對(duì)預(yù)研小組下發(fā)的策略2,所以，轉(zhuǎn)發(fā)設(shè)備S0只會(huì)根據(jù)策略1轉(zhuǎn)發(fā)報(bào)文，卻不會(huì)根據(jù)策 略2轉(zhuǎn)發(fā)報(bào)文，導(dǎo)致預(yù)研小組一直無(wú)法訪問(wèn)外部網(wǎng)絡(luò)。


【發(fā)明內(nèi)容】

[0010] 本申請(qǐng)?zhí)峁┮环N策略沖突解決方法以及裝置，能夠解決策略沖突。
[0011] 本申請(qǐng)第一方面提供一種策略沖突解決方法，所述方法包括：接收第一控制策略 并將所述第一控制策略分解成m條第一規(guī)則，以及，接收第二控制策略并將所述第二控制 策略分解成η條第二規(guī)則，其中，m，η為自然數(shù)，所述第一控制策略和所述第二控制策略均 作用于第一轉(zhuǎn)發(fā)設(shè)備，所述第一規(guī)則和第二規(guī)則均包括匹配域和動(dòng)作；對(duì)每條所述第一規(guī) 則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取反以得到第二反規(guī)則，分別將每條所述 第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其中，所 述規(guī)則合成原則包括：由匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域間 的交集或匹配域類型不同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域間的并集，以及第 一反規(guī)則的動(dòng)作與所述第二反規(guī)則的動(dòng)作的交集組成所述第一執(zhí)行規(guī)則，并將匹配域類型 相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域之間沒(méi)有交集的第一執(zhí)行規(guī)則作為無(wú) 效規(guī)則；刪除所述無(wú)效規(guī)則，并將剩余的所述第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則，將每條 所述有效第一執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè) 備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
[0012] 結(jié)合第一方面，本申請(qǐng)第一方面的第一種可能的實(shí)施方式中，對(duì)每條所述第一規(guī) 則取反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取反，對(duì)每條所述第二規(guī)則 取反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取反。
[0013] 結(jié)合第一方面的第一種可能的實(shí)施方式，本申請(qǐng)第一方面的第二種可能的實(shí)施方 式中，所述分別將每條所述第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng) 的第一執(zhí)行規(guī)則，包括：將每條所述第一反規(guī)則作為元素并按照第一規(guī)則的優(yōu)先級(jí)順序排 列以構(gòu)成第一矩陣，所述第一矩陣為列矩陣，將每條所述第二反規(guī)則作為元素并按照第二 規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第二矩陣，所述第二矩陣為行矩陣，令所述第一矩陣與所述 第二矩陣相乘得到第一執(zhí)行規(guī)則矩陣，將第一執(zhí)行規(guī)則矩陣中每對(duì)相乘的所述第一反規(guī)則 與所述第二反規(guī)則按照所述規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其中所述第一執(zhí)行規(guī) 則矩陣的第一執(zhí)行規(guī)則的優(yōu)先級(jí)為先按照矩陣的列順序排列，同列的則按照矩陣的行順序 排列。
[0014] 結(jié)合第一方面的第二種可能的實(shí)施方式，本申請(qǐng)第一方面的第三種可能的實(shí)施方 式中，所述分解成m條第一規(guī)則之后還包括：新增一條第一匹配規(guī)則作為優(yōu)先級(jí)最低的第 一規(guī)則；所述分解成η條第二規(guī)則之后還包括：新增一條第二匹配規(guī)則作為優(yōu)先級(jí)最低的 第二規(guī)則；其中，所述第一匹配規(guī)則和第二匹配規(guī)則的匹配域均為通配符，動(dòng)作均為丟棄。
[0015] 結(jié)合第一方面的第二種可能的實(shí)施方式，本申請(qǐng)第一方面的第四種可能的實(shí)施方 式中，所述將剩余的所述第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則包括：比較剩余的每?jī)蓷l第 一執(zhí)行規(guī)則的匹配域，如果其中一條第一執(zhí)行規(guī)則的匹配域覆蓋另一條第一執(zhí)行規(guī)則的匹 配域，則將匹配域較小的第一執(zhí)行規(guī)則刪除；如果兩條第一執(zhí)行規(guī)則的匹配域相同，則將優(yōu) 先級(jí)較低的第一執(zhí)行規(guī)則刪除，將所述匹配域較小的第一執(zhí)行規(guī)則和所述優(yōu)先級(jí)較低的第 一執(zhí)行規(guī)則刪除后剩余的第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則。
[0016] 結(jié)合第一方面的第二或四種可能的實(shí)施方式，本申請(qǐng)第一方面的第五種可能的實(shí) 施方式中，所述方法還包括：接收第三控制策略并將所述第三控制策略分解成k條第三規(guī) 則，k為自然數(shù)，所述第三控制策略與所述第一、第二控制策略均作用于所述第一轉(zhuǎn)發(fā)設(shè)備； 對(duì)每條所述有效第一執(zhí)行規(guī)則取反以得到每條第一反執(zhí)行規(guī)則，對(duì)每條所述第三規(guī)則取反 以得到每條第三反規(guī)則；將每條所述第一反執(zhí)行規(guī)則作為元素并按照第一執(zhí)行規(guī)則的優(yōu)先 級(jí)順序排列以構(gòu)成第三矩陣，所述第三矩陣為列矩陣，將每條所述第三反規(guī)則作為元素并 按照第三規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第四矩陣，所述第四矩陣為行矩陣，令所述第三矩 陣與所述第四矩陣相乘得到第二執(zhí)行規(guī)則矩陣，分別將第二執(zhí)行規(guī)則矩陣中的每對(duì)相乘的 所述第一反執(zhí)行規(guī)則與所述第三反規(guī)則按照所述規(guī)則合成原則生成相應(yīng)的第二執(zhí)行規(guī)則， 其中，所述規(guī)則合成原則還包括：由匹配域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反 規(guī)則的匹配域間的交集或匹配域類型不同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹 配域間的并集，以及第一反執(zhí)行規(guī)則的動(dòng)作與所述第三反規(guī)則的動(dòng)作的交集組成所述第二 執(zhí)行規(guī)則，并將匹配域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域之間沒(méi) 有交集的第二執(zhí)行規(guī)則作為無(wú)效規(guī)則；刪除所述無(wú)效規(guī)則，并將剩余的每條所述第二執(zhí)行 規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
[0017] 本申請(qǐng)第二方面提供一種策略沖突解決裝置，包括：接收模塊、合成模塊以及刪除 模塊，所述接收模塊用于接收第一控制策略并將所述第一控制策略分解成m條第一規(guī)則， 以及，接收第二控制策略并將所述第二控制策略分解成η條第二規(guī)則，其中，m，η為自然數(shù)， 所述第一控制策略和所述第二控制策略均作用于第一轉(zhuǎn)發(fā)設(shè)備，所述第一規(guī)則和第二規(guī)則 均包括匹配域和動(dòng)作，所述接收模塊將所述m條第一規(guī)則以及所述η條第二規(guī)則發(fā)送給所 述合成模塊；所述合成模塊用于接收所述m條第一規(guī)則以及所述η條第二規(guī)則，對(duì)每條所述 第一規(guī)則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取反以得到第二反規(guī)則，分別將每 條所述第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其 中，所述規(guī)則合成原則包括：由匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹 配域間的交集或匹配域類型不同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域間的并集， 以及第一反規(guī)則的動(dòng)作與所述第二反規(guī)則的動(dòng)作的交集組成所述第一執(zhí)行規(guī)則，并將匹配 域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域之間沒(méi)有交集的第一執(zhí)行規(guī)則 作為無(wú)效規(guī)則，所述合成模塊將合成的第一執(zhí)行規(guī)則發(fā)送給所述刪除模塊；所述刪除模塊 用于接收所述合成的第一執(zhí)行規(guī)則，刪除所述無(wú)效規(guī)則，并將剩余的所述第一執(zhí)行規(guī)則作 為有效第一執(zhí)行規(guī)則，將每條所述有效第一執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的 協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
[0018] 結(jié)合第二方面，本申請(qǐng)第二方面的第一種可能的實(shí)施方式中，對(duì)所述第一規(guī)則取 反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取反，對(duì)所述第二規(guī)則取反即令 所述第二規(guī)則的匹配域不變、所述第二規(guī)則的動(dòng)作取反。
[0019] 結(jié)合第二方面的第一種可能的實(shí)施方式，本申請(qǐng)第二方面的第二種可能的實(shí)施方 式中，所述合成模塊還用于將每條所述第一反規(guī)則作為元素并按照第一規(guī)則的優(yōu)先級(jí)順序 排列以構(gòu)成第一矩陣，所述第一矩陣為列矩陣，將每條所述第二反規(guī)則作為元素并按照第 二規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第二矩陣，所述第二矩陣為行矩陣，令所述第一矩陣與所 述第二矩陣相乘得到第一執(zhí)行規(guī)則矩陣，將第一執(zhí)行規(guī)則矩陣中每對(duì)相乘的所述第一反規(guī) 則與所述第二反規(guī)則按照所述規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其中所述第一執(zhí)行 規(guī)則矩陣的第一執(zhí)行規(guī)則的優(yōu)先級(jí)為先按照矩陣的列順序排列，同列的則按照矩陣的行順 序排列。
[0020] 結(jié)合第二方面的第二種可能的實(shí)施方式，本申請(qǐng)第二方面的第三種可能的實(shí)施方 式中，所述合成模塊還用于在所述分解成m條第一規(guī)則之后，新增一條第一匹配規(guī)則作為 優(yōu)先級(jí)最低的第一規(guī)則；在所述分解成η條第二規(guī)則之后，新增一條第二匹配規(guī)則作為優(yōu) 先級(jí)最低的第二規(guī)則；其中，所述第一匹配規(guī)則和第二匹配規(guī)則的匹配域均為通配符，動(dòng)作 均為丟棄。
[0021] 結(jié)合第二方面的第二種可能的實(shí)施方式，本申請(qǐng)第二方面的第四種可能的實(shí)施方 式中，所述合成模塊還用于在刪除所述無(wú)效規(guī)則之后，比較剩余的每?jī)蓷l第一執(zhí)行規(guī)則的 匹配域，如果其中一條第一執(zhí)行規(guī)則的匹配域覆蓋另一條第一執(zhí)行規(guī)則的匹配域，則將匹 配域較小的第一執(zhí)行規(guī)則刪除；如果兩條第一執(zhí)行規(guī)則的匹配域相同，則將優(yōu)先級(jí)別較低 的第一執(zhí)行規(guī)則刪除，將所述匹配域較小的第一執(zhí)行規(guī)則和所述優(yōu)先級(jí)較低的第一執(zhí)行規(guī) 則刪除后剩余的第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則。
[0022] 結(jié)合第二方面的第二或四種可能的實(shí)施方式，本申請(qǐng)第二方面的第五種可能的實(shí) 施方式中，所述接收模塊還用于接收第三控制策略并將所述第三控制策略分解成k條第三 規(guī)則，k為自然數(shù)，所述第三控制策略與所述第一、第二控制策略均作用于所述第一轉(zhuǎn)發(fā)設(shè) 備，所述接收模塊將所述k條第三規(guī)則發(fā)送給所述合成模塊；所述合成模塊還用于接收所 述k條第三規(guī)則，對(duì)每條所述有效第一執(zhí)行規(guī)則取反以得到每條第一反執(zhí)行規(guī)則，對(duì)每條 所述第三規(guī)則取反以得到每條第三反規(guī)則，將每條所述第一反執(zhí)行規(guī)則作為元素并按照第 一執(zhí)行規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第三矩陣，所述第三矩陣為列矩陣，將每條所述第三 反規(guī)則作為元素并按照第三規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第四矩陣，所述第四矩陣為行矩 陣，令所述第三矩陣與所述第四矩陣相乘得到第二執(zhí)行規(guī)則矩陣，分別將第二執(zhí)行規(guī)則矩 陣中的每對(duì)相乘的所述第一反執(zhí)行規(guī)則與所述第三反規(guī)則按照所述規(guī)則合成原則生成相 應(yīng)的第二執(zhí)行規(guī)則，其中，所述規(guī)則合成原則還包括：由匹配域類型相同的第一反執(zhí)行規(guī)則 的匹配域與第三反規(guī)則的匹配域間的交集或匹配域類型不同的第一反執(zhí)行規(guī)則的匹配域 與第三反規(guī)則的匹配域間的并集，以及第一反執(zhí)行規(guī)則的動(dòng)作與所述第三反規(guī)則的動(dòng)作的 交集組成所述第二執(zhí)行規(guī)則，并將匹配域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī) 則的匹配域之間沒(méi)有交集的第二執(zhí)行規(guī)則作為無(wú)效規(guī)則，所述合成模塊將合成的第二執(zhí)行 規(guī)則發(fā)送給所述刪除模塊；所述刪除模塊還用于接收所述合成的第二執(zhí)行規(guī)則，刪除所述 無(wú)效規(guī)則，并將剩余的每條所述第二執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn) 化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
[0023] 上述方案中，通過(guò)將第一控制策略分解成m條第一規(guī)則，將第二控制策略分解成η 條第二規(guī)則，并根據(jù)規(guī)則合成原則來(lái)將每條第一規(guī)則和第二規(guī)則進(jìn)行合成，由于該規(guī)則合 成原則會(huì)將匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域之間沒(méi)有交集 的第一執(zhí)行規(guī)則作為無(wú)效規(guī)則，上述定義的無(wú)效規(guī)則即為導(dǎo)致第一、第二控制策略沖突的 規(guī)則部分，故通過(guò)將存在沖突的無(wú)效規(guī)則刪除，避免了第一控制策略和第二控制策略間存 在的沖突規(guī)則情況，即解決了策略沖突問(wèn)題，使得第一轉(zhuǎn)發(fā)既能執(zhí)行第一控制策略也能執(zhí) 行第二控制策略。

【專利附圖】

【附圖說(shuō)明】
[0024] 圖1是現(xiàn)有技術(shù)軟件定義網(wǎng)絡(luò)一實(shí)施方式的結(jié)構(gòu)示意圖；
[0025] 圖2是本申請(qǐng)策略沖突解決方法一實(shí)施方式的流程圖；
[0026] 圖3是本申請(qǐng)策略沖突解決方法另一實(shí)施方式的流程圖；
[0027] 圖4是本申請(qǐng)策略沖突解決裝置一實(shí)施方式的結(jié)構(gòu)示意圖；
[0028] 圖5是本申請(qǐng)控制器一實(shí)施方式的結(jié)構(gòu)示意圖。

【具體實(shí)施方式】
[0029] 以下描述中，為了說(shuō)明而不是為了限定，提出了諸如特定系統(tǒng)結(jié)構(gòu)、接口、技術(shù)之 類的具體細(xì)節(jié)，以便透徹理解本申請(qǐng)。然而，本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)清楚，在沒(méi)有這些具體 細(xì)節(jié)的其它實(shí)施方式中也可以實(shí)現(xiàn)本申請(qǐng)。在其它情況中，省略對(duì)眾所周知的裝置、電路以 及方法的詳細(xì)說(shuō)明，以免不必要的細(xì)節(jié)妨礙本申請(qǐng)的描述。
[0030] 參閱圖2,圖2是本申請(qǐng)策略沖突解決方法一實(shí)施方式的流程圖。圖2中各步驟的 執(zhí)行主體可以是SDN中的控制器，也可以是SDN中的協(xié)同層中的服務(wù)器。下面以控制器作 為執(zhí)行主體來(lái)舉例，包括：
[0031] 210 :控制器接收第一控制策略并將所述第一控制策略分解成m條第一規(guī)則，以 及，接收第二控制策略并將所述第二控制策略分解成η條第二規(guī)則，其中，m，η為自然數(shù)，所 述第一控制策略和所述第二控制策略均作用于第一轉(zhuǎn)發(fā)設(shè)備，即第一轉(zhuǎn)發(fā)設(shè)備既需要根據(jù) 第一控制策略轉(zhuǎn)發(fā)相應(yīng)報(bào)文，也需要根據(jù)第二控制策略轉(zhuǎn)發(fā)相應(yīng)報(bào)文。所述第一規(guī)則和第 二規(guī)則均包括匹配域和動(dòng)作。
[0032] 下面以【背景技術(shù)】中提到的兩條策略分別作為第一控制策略和第二控制策略為例 進(jìn)行說(shuō)明。其中，分解原則是拆分成功能最小的策略原子，即拆封出來(lái)的規(guī)則不能再拆分為 止。
[0033] 控制器接收到作用于第一轉(zhuǎn)發(fā)設(shè)備S0的第一控制策略"研發(fā)部門服務(wù)器不能 訪問(wèn)外部網(wǎng)絡(luò)，所有研發(fā)部門的員工可以從轉(zhuǎn)發(fā)設(shè)備S1訪問(wèn)公司的內(nèi)部網(wǎng)絡(luò)"，其中，研 發(fā)部門的員工的IP地址位于網(wǎng)段10. 〇. 0.0/8(即網(wǎng)段10. 0.0. 1?10. 255. 255. 255)， "\"表示除了，研發(fā)部門服務(wù)器的IP地址為10.0.0. 1，U表示為或者，端口 80用于訪 問(wèn)外部網(wǎng)絡(luò)，-MSI}表示通過(guò)轉(zhuǎn)發(fā)設(shè)備S1。所以，第一控制策略可描述為：SrcAddr : 10. (λ 0· 0/8\(SrcAddr :1(λ (λ (λ 1 U DstPort :80)->{Sl}?？刂破鲗?duì)第一控制策略進(jìn)行分 解，可以得到三條第一規(guī)則：
[0034] (1)研發(fā)部門服務(wù)器10. 0. 0. 1不能通過(guò)轉(zhuǎn)發(fā)設(shè)備S1以訪問(wèn)外部網(wǎng)絡(luò)。
[0035] 第一規(guī)則A1 :SrcAddr :10. 0. 0. 1 :{}，其中，{}中的內(nèi)容為空，表示丟棄的意思。其 中，本申請(qǐng)中的丟棄即為不執(zhí)行該控制策略中的所有動(dòng)作，如第一控制策略的動(dòng)作為去往 S1，由第一控制策略的分解得到的第一規(guī)則中的丟棄動(dòng)作則為不去往S1。
[0036] (2)研發(fā)部門員工不能通過(guò)轉(zhuǎn)發(fā)設(shè)備S1以訪問(wèn)外部網(wǎng)絡(luò)。
[0037] 第一規(guī)則 A2 :DstPort :80 : {}。
[0038] (3)研發(fā)部門員工通過(guò)轉(zhuǎn)發(fā)設(shè)備S1訪問(wèn)內(nèi)部網(wǎng)絡(luò)。
[0039] 第一規(guī)則 A3 :SrcAddr :10.0.0.0/8 :{S1}，其中，{S1}表示去往 S1。
[0040] 控制器接收到作用于第一轉(zhuǎn)發(fā)設(shè)備S0的第二控制策略"預(yù)研小組服務(wù)器不能訪 問(wèn)SSH服務(wù)，預(yù)研小組員工可以通過(guò)轉(zhuǎn)發(fā)設(shè)備S2訪問(wèn)外部網(wǎng)絡(luò)"，其中，預(yù)研小組員工的IP 地址位于網(wǎng)段10. 2. 0· 0/16(即網(wǎng)段10. 2. 0· 1?10. 2. 255. 255)，"\"表示除了，預(yù)研服務(wù) 器的IP地址為10. 2.0. 1，U表示為或者，端口 22用于訪問(wèn)SSH服務(wù)。所以，第二控制策略 可描述為：SrcAddr : 10. 2. 0· 0/16\ (SrcAddr : 10. 2. 0· 1 U DstPort :22) -> {S2}?？刂破鲗?duì) 第二控制策略進(jìn)行分解，可以得到三條第二規(guī)則：
[0041] (1)預(yù)研服務(wù)器10. 2. 0. 1不能通過(guò)轉(zhuǎn)發(fā)設(shè)備S2以訪問(wèn)SSH服務(wù)。
[0042] 第二規(guī)則B1 :SrcAddr :10. 2. 0. 1 :{}，其中，{}中的內(nèi)容為空，表示丟棄的意思。
[0043] (2)預(yù)研員工不能通過(guò)轉(zhuǎn)發(fā)設(shè)備S2以訪問(wèn)SSH服務(wù)。
[0044] 第二規(guī)則 B2 :DstPort :22 :
[0045] (3)預(yù)研員工從轉(zhuǎn)發(fā)設(shè)備S2訪問(wèn)外部網(wǎng)絡(luò)。
[0046] 第二規(guī)則 B3 :SrcAddr :10· 2. 0· 0/16 : {S2}
[0047] 可以理解的是，按照第一控制策略的描述可知，第一規(guī)則的優(yōu)先級(jí)依序?yàn)?A1>A2>A3 ;按照第二控制策略的描述可知，第二規(guī)則的優(yōu)先級(jí)依序?yàn)锽1>B2>B3。
[0048] 為了達(dá)到完全覆蓋的效果，可在第一規(guī)則和第二規(guī)則中均新增一條優(yōu)先級(jí)最低的 匹配規(guī)則，該匹配規(guī)則的匹配域?yàn)橥ㄅ浞瑒?dòng)作為丟棄。具體如新增一條第一匹配規(guī)則作為 第一規(guī)則A4 : ，該第一規(guī)則表示：凡是沒(méi)和第一規(guī)則Al、A2以及A3的匹配域匹配的報(bào) 文都進(jìn)行丟棄；新增一條第二匹配規(guī)則作為第二規(guī)則Μ : 該第二規(guī)則表示：凡是沒(méi)和 第二規(guī)則Bl、Β2以及Β3的匹配域匹配的報(bào)文都進(jìn)行丟棄。
[0049] 220:控制器對(duì)每條所述第一規(guī)則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取 反以得到第二反規(guī)則，分別將每條所述第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原 則生成相應(yīng)的第一執(zhí)行規(guī)則，其中，所述規(guī)則合成原則包括：由匹配域類型相同的第一反規(guī) 則的匹配域與第二反規(guī)則的匹配域間的交集或匹配域類型不同的第一反規(guī)則的匹配域與 第二反規(guī)則的匹配域間的并集，以及第一反規(guī)則的動(dòng)作與所述第二反規(guī)則的動(dòng)作的交集組 成所述第一執(zhí)行規(guī)則，并將匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域 之間沒(méi)有交集的第一執(zhí)行規(guī)則作為無(wú)效規(guī)則。
[0050] 控制器對(duì)上述四條第一規(guī)則取反以得到四條第一反規(guī)則。其中，對(duì)第一規(guī)則取反 即令第一規(guī)則的匹配域不變、第一規(guī)則的動(dòng)作取反?？梢岳斫獾氖牵刂撇呗缘乃袆?dòng)作的 集合即為該控制策略分解得到的動(dòng)作的全集，故對(duì)其中動(dòng)作取反即為執(zhí)行該控制策略中除 該動(dòng)作外的剩余動(dòng)作。對(duì)于控制策略分解得到的規(guī)則的動(dòng)作為{}，即表示丟棄，即不執(zhí)行該 規(guī)則所屬的控制策略中的所有動(dòng)作，故取反為執(zhí)行該規(guī)則所屬的控制策略中的所有動(dòng)作。 如第一控制策略分解得到的第一規(guī)則的動(dòng)作為{}，其動(dòng)作取反即為執(zhí)行第一控制策略中的 所有動(dòng)作即去往S1。具體如下：
[0051] 第一反規(guī)則 Cl :SrcAddr :10. 0. 0. 1 :{S1}，其中，{S1}表示去往 S1 的意思。
[0052] 第一反規(guī)則 C2 :DstPort :80 : {S1}。
[0053] 第一反規(guī)則C3 :SrcAddr :10· 0· 0· 0/8

【權(quán)利要求】
1. 一種策略沖突解決方法，其特征在于，所述方法包括： 接收第一控制策略并將所述第一控制策略分解成m條第一規(guī)則，以及，接收第二控制 策略并將所述第二控制策略分解成η條第二規(guī)則，其中，m，η為自然數(shù)，所述第一控制策略 和所述第二控制策略均作用于第一轉(zhuǎn)發(fā)設(shè)備，所述第一規(guī)則和第二規(guī)則均包括匹配域和動(dòng) 作； 對(duì)每條所述第一規(guī)則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取反以得到第二反 規(guī)則，分別將每條所述第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第 一執(zhí)行規(guī)則，其中，所述規(guī)則合成原則包括：由匹配域類型相同的第一反規(guī)則的匹配域與第 二反規(guī)則的匹配域間的交集或匹配域類型不同的第一反規(guī)則的匹配域與第二反規(guī)則的匹 配域間的并集，以及第一反規(guī)則的動(dòng)作與所述第二反規(guī)則的動(dòng)作的交集組成所述第一執(zhí)行 規(guī)則，并將匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域之間沒(méi)有交集的 第一執(zhí)行規(guī)則作為無(wú)效規(guī)則； 刪除所述無(wú)效規(guī)則，并將剩余的所述第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則，將每條所 述有效第一執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備 相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于， 對(duì)每條所述第一規(guī)則取反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取 反，對(duì)每條所述第二規(guī)則取反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取反。
3. 根據(jù)權(quán)利要求2所述的方法，其特征在于，所述分別將每條所述第一反規(guī)則與每條 所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，包括： 將每條所述第一反規(guī)則作為元素并按照第一規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第一矩陣， 所述第一矩陣為列矩陣，將每條所述第二反規(guī)則作為元素并按照第二規(guī)則的優(yōu)先級(jí)順序排 列以構(gòu)成第二矩陣，所述第二矩陣為行矩陣，令所述第一矩陣與所述第二矩陣相乘得到第 一執(zhí)行規(guī)則矩陣，將第一執(zhí)行規(guī)則矩陣中每對(duì)相乘的所述第一反規(guī)則與所述第二反規(guī)則按 照所述規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其中所述第一執(zhí)行規(guī)則矩陣的第一執(zhí)行規(guī) 則的優(yōu)先級(jí)為先按照矩陣的列順序排列，同列的則按照矩陣的行順序排列。
4. 根據(jù)權(quán)利要求3所述的方法，其特征在于， 所述分解成m條第一規(guī)則之后還包括：新增一條第一匹配規(guī)則作為優(yōu)先級(jí)最低的第一 規(guī)則； 所述分解成η條第二規(guī)則之后還包括：新增一條第二匹配規(guī)則作為優(yōu)先級(jí)最低的第二 規(guī)則； 其中，所述第一匹配規(guī)則和第二匹配規(guī)則的匹配域均為通配符，動(dòng)作均為丟棄。
5. 根據(jù)權(quán)利要求3所述的方法，其特征在于，所述將剩余的所述第一執(zhí)行規(guī)則作為有 效第一執(zhí)行規(guī)則包括： 比較剩余的每?jī)蓷l第一執(zhí)行規(guī)則的匹配域，如果其中一條第一執(zhí)行規(guī)則的匹配域覆蓋 另一條第一執(zhí)行規(guī)則的匹配域，則將匹配域較小的第一執(zhí)行規(guī)則刪除；如果兩條第一執(zhí)行 規(guī)則的匹配域相同，則將優(yōu)先級(jí)較低的第一執(zhí)行規(guī)則刪除，將所述匹配域較小的第一執(zhí)行 規(guī)則和所述優(yōu)先級(jí)較低的第一執(zhí)行規(guī)則刪除后剩余的第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī) 則。
6. 根據(jù)權(quán)利要求3或5所述的方法，其特征在于，所述方法還包括： 接收第三控制策略并將所述第三控制策略分解成k條第三規(guī)則，k為自然數(shù)，所述第三 控制策略與所述第一、第二控制策略均作用于所述第一轉(zhuǎn)發(fā)設(shè)備； 對(duì)每條所述有效第一執(zhí)行規(guī)則取反以得到每條第一反執(zhí)行規(guī)則，對(duì)每條所述第三規(guī)則 取反以得到每條第三反規(guī)則； 將每條所述第一反執(zhí)行規(guī)則作為元素并按照第一執(zhí)行規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成 第三矩陣，所述第三矩陣為列矩陣，將每條所述第三反規(guī)則作為元素并按照第三規(guī)則的優(yōu) 先級(jí)順序排列以構(gòu)成第四矩陣，所述第四矩陣為行矩陣，令所述第三矩陣與所述第四矩陣 相乘得到第二執(zhí)行規(guī)則矩陣，分別將第二執(zhí)行規(guī)則矩陣中的每對(duì)相乘的所述第一反執(zhí)行規(guī) 則與所述第三反規(guī)則按照所述規(guī)則合成原則生成相應(yīng)的第二執(zhí)行規(guī)則，其中，所述規(guī)則合 成原則還包括：由匹配域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域間的 交集或匹配域類型不同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域間的并集，以及 第一反執(zhí)行規(guī)則的動(dòng)作與所述第三反規(guī)則的動(dòng)作的交集組成所述第二執(zhí)行規(guī)則，并將匹配 域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域之間沒(méi)有交集的第二執(zhí)行 規(guī)則作為無(wú)效規(guī)則； 刪除所述無(wú)效規(guī)則，并將剩余的每條所述第二執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備 支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
7. -種策略沖突解決裝置，其特征在于，包括：接收模塊、合成模塊以及刪除模塊， 所述接收模塊用于接收第一控制策略并將所述第一控制策略分解成m條第一規(guī)則，以 及，接收第二控制策略并將所述第二控制策略分解成η條第二規(guī)則，其中，m，η為自然數(shù)，所 述第一控制策略和所述第二控制策略均作用于第一轉(zhuǎn)發(fā)設(shè)備，所述第一規(guī)則和第二規(guī)則均 包括匹配域和動(dòng)作，所述接收模塊將所述m條第一規(guī)則以及所述η條第二規(guī)則發(fā)送給所述 合成模塊； 所述合成模塊用于接收所述m條第一規(guī)則以及所述η條第二規(guī)則，對(duì)每條所述第一規(guī) 則取反以得到第一反規(guī)則，對(duì)每條所述第二規(guī)則取反以得到第二反規(guī)則，分別將每條所述 第一反規(guī)則與每條所述第二反規(guī)則按照規(guī)則合成原則生成相應(yīng)的第一執(zhí)行規(guī)則，其中，所 述規(guī)則合成原則包括：由匹配域類型相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域間 的交集或匹配域類型不同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域間的并集，以及第 一反規(guī)則的動(dòng)作與所述第二反規(guī)則的動(dòng)作的交集組成所述第一執(zhí)行規(guī)則，并將匹配域類型 相同的第一反規(guī)則的匹配域與第二反規(guī)則的匹配域之間沒(méi)有交集的第一執(zhí)行規(guī)則作為無(wú) 效規(guī)則，所述合成模塊將合成的第一執(zhí)行規(guī)則發(fā)送給所述刪除模塊； 所述刪除模塊用于接收所述合成的第一執(zhí)行規(guī)則，刪除所述無(wú)效規(guī)則，并將剩余的所 述第一執(zhí)行規(guī)則作為有效第一執(zhí)行規(guī)則，將每條所述有效第一執(zhí)行規(guī)則取反后根據(jù)所述第 一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè)備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
8. 根據(jù)權(quán)利要求7所述的裝置，其特征在于， 對(duì)所述第一規(guī)則取反即令所述第一規(guī)則的匹配域不變、所述第一規(guī)則的動(dòng)作取反，對(duì) 所述第二規(guī)則取反即令所述第二規(guī)則的匹配域不變、所述第二規(guī)則的動(dòng)作取反。
9. 根據(jù)權(quán)利要求8所述的裝置，其特征在于，所述合成模塊還用于將每條所述第一反 規(guī)則作為元素并按照第一規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第一矩陣，所述第一矩陣為列矩 陣，將每條所述第二反規(guī)則作為元素并按照第二規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第二矩陣， 所述第二矩陣為行矩陣，令所述第一矩陣與所述第二矩陣相乘得到第一執(zhí)行規(guī)則矩陣，將 第一執(zhí)行規(guī)則矩陣中每對(duì)相乘的所述第一反規(guī)則與所述第二反規(guī)則按照所述規(guī)則合成原 則生成相應(yīng)的第一執(zhí)行規(guī)則，其中所述第一執(zhí)行規(guī)則矩陣的第一執(zhí)行規(guī)則的優(yōu)先級(jí)為先按 照矩陣的列順序排列，同列的則按照矩陣的行順序排列。
10. 根據(jù)權(quán)利要求9所述的裝置，其特征在于，所述合成模塊還用于在所述分解成m條 第一規(guī)則之后，新增一條第一匹配規(guī)則作為優(yōu)先級(jí)最低的第一規(guī)則；在所述分解成η條第 二規(guī)則之后，新增一條第二匹配規(guī)則作為優(yōu)先級(jí)最低的第二規(guī)則； 其中，所述第一匹配規(guī)則和第二匹配規(guī)則的匹配域均為通配符，動(dòng)作均為丟棄。
11. 根據(jù)權(quán)利要求9所述的裝置，其特征在于，所述合成模塊還用于在刪除所述無(wú)效規(guī) 則之后，比較剩余的每?jī)蓷l第一執(zhí)行規(guī)則的匹配域，如果其中一條第一執(zhí)行規(guī)則的匹配域 覆蓋另一條第一執(zhí)行規(guī)則的匹配域，則將匹配域較小的第一執(zhí)行規(guī)則刪除；如果兩條第一 執(zhí)行規(guī)則的匹配域相同，則將優(yōu)先級(jí)別較低的第一執(zhí)行規(guī)則刪除，將所述匹配域較小的第 一執(zhí)行規(guī)則和所述優(yōu)先級(jí)較低的第一執(zhí)行規(guī)則刪除后剩余的第一執(zhí)行規(guī)則作為有效第一 執(zhí)行規(guī)則。
12. 根據(jù)權(quán)利要求9或11所述的裝置，其特征在于， 所述接收模塊還用于接收第三控制策略并將所述第三控制策略分解成k條第三規(guī)則， k為自然數(shù)，所述第三控制策略與所述第一、第二控制策略均作用于所述第一轉(zhuǎn)發(fā)設(shè)備，所 述接收模塊將所述k條第三規(guī)則發(fā)送給所述合成模塊； 所述合成模塊還用于接收所述k條第三規(guī)則，對(duì)每條所述有效第一執(zhí)行規(guī)則取反以得 到每條第一反執(zhí)行規(guī)則，對(duì)每條所述第三規(guī)則取反以得到每條第三反規(guī)則，將每條所述第 一反執(zhí)行規(guī)則作為元素并按照第一執(zhí)行規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成第三矩陣，所述第三 矩陣為列矩陣，將每條所述第三反規(guī)則作為元素并按照第三規(guī)則的優(yōu)先級(jí)順序排列以構(gòu)成 第四矩陣，所述第四矩陣為行矩陣，令所述第三矩陣與所述第四矩陣相乘得到第二執(zhí)行規(guī) 則矩陣，分別將第二執(zhí)行規(guī)則矩陣中的每對(duì)相乘的所述第一反執(zhí)行規(guī)則與所述第三反規(guī)則 按照所述規(guī)則合成原則生成相應(yīng)的第二執(zhí)行規(guī)則，其中，所述規(guī)則合成原則還包括：由匹配 域類型相同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域間的交集或匹配域類型不 同的第一反執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域間的并集，以及第一反執(zhí)行規(guī)則的動(dòng) 作與所述第三反規(guī)則的動(dòng)作的交集組成所述第二執(zhí)行規(guī)則，并將匹配域類型相同的第一反 執(zhí)行規(guī)則的匹配域與第三反規(guī)則的匹配域之間沒(méi)有交集的第二執(zhí)行規(guī)則作為無(wú)效規(guī)則，所 述合成模塊將合成的第二執(zhí)行規(guī)則發(fā)送給所述刪除模塊； 所述刪除模塊還用于接收所述合成的第二執(zhí)行規(guī)則，刪除所述無(wú)效規(guī)則，并將剩余的 每條所述第二執(zhí)行規(guī)則取反后根據(jù)所述第一轉(zhuǎn)發(fā)設(shè)備支持的協(xié)議轉(zhuǎn)化為所述第一轉(zhuǎn)發(fā)設(shè) 備相應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)。
【文檔編號(hào)】H04L12/813GK104104615SQ201410348832
【公開(kāi)日】2014年10月15日 申請(qǐng)日期:2014年7月21日 優(yōu)先權(quán)日:2014年7月21日
【發(fā)明者】董雯霞, 林程勇, 丁萬(wàn)夫, 李鳳凱 申請(qǐng)人:華為技術(shù)有限公司