(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111589872.2 (22)申请日 2021.12.23 (71)申请人 中国电信股份有限公司 地址 100033 北京市西城区金融大街31号 (72)发明人 张昊迪　王帅　金华敏　邓晓东　 汪来富　 (74)专利代理 机构 中国贸促会专利商标事务所 有限公司 1 1038 代理人 许蓓 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 网络隔离方法和系统及代理设备 (57)摘要 本公开提出一种网络隔离方法和系统及代 理设备， 涉及网络与信息安全领域。 代理设备接 收交换机发送的第一数据包； 代理设备根据流空 间确定第一数据包对应的网络切片， 所述流空间 定义了数据流对应的网络切片， 以构建隔离的逻 辑网络； 代理设备对第一数据包中的能够识别不 同网络切片的字段的匹配域内容进行重写； 代理 设备将重写后的第一数据包发送给第一数据包 对应的网络切片对应的切片控制器。 基于代理， 实现网络隔离的更新与改进， 省去了虚拟网桥对 VLAN的相关操作， 避免了VXLAN或者GRE转换的性 能损耗， 还简化了切片控制器对实时控制流的管 理。 权利要求书2页 说明书6页 附图2页 CN 114338119 A 2022.04.12 CN 114338119 A 1.一种网络隔离方法， 其特 征在于， 包括： 代理设备接收交换机发送的第一数据包； 代理设备根据流空间确定第 一数据包对应的网络切片， 所述流空间定义了数据流对应 的网络切片， 以构建隔离的逻辑网络； 代理设备对第一数据包中的能够识别不同网络切片的字段的匹配域内容进行重写； 代理设备将重写后的第一数据包发送给第一数据包对应的网络切片对应的切片控制 器。 2.根据权利要求1所述的方法， 其特 征在于， 还 包括： 代理设备接收切片控制器发送的第二数据包； 代理设备根据切片控制器相应的网络切片， 对第二数据包进行重写， 使得重写后的第 二数据包具有能够识别不同网络切片的字段； 代理设备将重写后的第二数据包发送给相应的交换机 。 3.根据权利要求1所述的方法， 其特征在于， 代理设备对第 一数据包中的能够识别不同 网络切片的字段的匹配域内容进行重写包括： 代理设备将第一数据包中的能够识别不同网络切片的字段的匹配域内容重写为代理 设备的信息 。 4.根据权利要求3所述的方法， 其特征在于， 代理设备将第 一数据包中的能够识别不同 网络切片的字段的匹配域内容重写为代理设备的信息包括： 代理设备将第一数据包中的源IP地址、 源端口号、 源MAC地址中的至少一个字段的匹配 域内容， 由交换机的IP地址、 端口号、 MAC地址中的至少一个， 重写为代理设备的IP地址、 端 口号、 MAC地址中的至少一个。 5.根据权利要求1所述的方法， 其特 征在于， 代理设备在将重写后的第一数据包发送给第一数据包对应的网络切片对应的切片控 制器之前， 将第一数据包中的目的IP地址、 目的端口号、 目的MAC地址中的至少一个字段的 匹配域内容， 由代理设备的IP地址、 端口号、 MAC地址中的至少一个， 重写为第一数据包对应 的网络切片对应的切片控制器的IP地址、 端口号、 MAC地址中的至少一个。 6.根据权利要求2所述的方法， 其特征在于， 代理设备根据切片控制器相应的网络切 片， 对第二数据包进行重写， 使得重写后的第二数据包具有能够识别不同网络切片的字段 包括： 代理设备将第二数据包中的目的IP地址、 目的端口号、 目的MAC地址中的至少一个字段 的匹配域内容， 由代理设备的IP地址、 端口号、 MAC地址中的至少一个， 重写为交换机的IP地 址、 端口号、 MAC地址中的至少一个。 7.根据权利要求2所述的方法， 其特 征在于， 代理设备在将重写后的第 二数据包发送给相应的交换机之前， 将第二数据包中的源IP 地址、 源端口号、 源MAC地址中的至少一个字段的匹配域内容， 由切片控制器的IP地址、 端口 号、 MAC地址中的至少一个， 重写为代理设备的IP地址、 端口号、 MAC地址中的至少一个。 8.根据权利要求2所述的方法， 其特 征在于， 交换机发送的第 一数据包为请求流表的数据包， 切片控制器发送的第 二数据包为下发 流表的数据包。权　利　要　求　书 1/2 页 2 CN 114338119 A 29.根据权利要求1所述的方法， 其特 征在于， 还 包括： 代理设备接收交换机发送的对称消息， 如果交换机对应的目标代理设备是当前代理设 备， 查找是否存在相应的网络切片， 如果存在， 将交换机的对称消息发送到网络切片相应的 切片控制器。 10.根据权利要求9所述的方法， 其特 征在于， 还 包括： 如果交换机对应的目标代理设备不是当前代理设备， 将交换机的对称消息泛洪给所有 代理设备， 由交换机对应的目标代理设备查找是否存在相应的网络切片， 如果存在， 将交换 机的对称消息发送到网络切片相应的切片控制器。 11.根据权利要求1所述的方法， 其特 征在于， 还 包括： 代理设备接收切片控制器发送的对称消息， 根据切片控制器相应的网络切片， 将切片 控制器的对称消息发送到网络切片相应的交换机 。 12.根据权利要求1所述的方法， 其特 征在于， 还 包括： 当交换机所在逻辑网络变更时， 代 理设备根据变更后的最新切片控制器相应的网络切 片， 同步更新代理设备中存 储的交换机所属的网络切片的数据。 13.根据权利要求8所述的方法， 其特 征在于， 还 包括： 代理设备接收交换机发送的第 三数据包， 根据流表将第 三数据包发送给对应的网络切 片对应的目的地， 以减少需要切片控制器实时处 理的控制流。 14.一种代理设备， 包括： 存储器； 以及耦接至所述存储器的处理器， 所述处理器被配置为基于存储在所述存储 器中的指令， 执 行权利要求1 ‑13中任一项所述的网络隔离方法。 15.一种网络隔离系统， 包括交换机， 切片控制器， 以及如权利要求14所述的代理设备， 其中， 交换机与代理设备通信连接， 代理设备与切片控制器通信连接 。 16.一种非瞬时性计算机可读存储介质， 其上存储有计算机程序， 该程序被处理器执行 时实现权利要求1 ‑13中任一项所述的网络隔离方法的步骤。权　利　要　求　书 2/2 页 3 CN 114338119 A 3