(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111565071.2 (22)申请日 2021.12.20 (71)申请人 山石网科通信技 术股份有限公司 地址 215163 江苏省苏州市高新区景润路 181号 (72)发明人 代京　渠海峡　崔应杰　 (74)专利代理 机构 北京康信知识产权代理有限 责任公司 1 1240 代理人 黄海英 (51)Int.Cl. H04L 45/745(2022.01) H04L 9/40(2022.01) (54)发明名称 基于K8S的微隔离策略的处 理方法和装置 (57)摘要 本申请公开了一种基于K8S的微隔离策略的 处理方法和装置。 该方法包括： 以IP为关键字分 别对APP和Service建立哈希表， 得到数据表一； 依据微隔离策略的源的类型建立策略快速查找 表， 得到数据表二， 其中， 所述微隔离策略的源的 类型为以下之一： APP， Service和IP/Mask； 依据 所述微隔离策略的目的的类型建立策略快速查 找表， 得到 数据表三， 其中， 所述微隔离策略的目 的的类型为以下之一： Service和IP/Mask； 依据 目标流量的目标信息， 在所述数据表一、 所述数 据表二和所述数据表三中进行匹配， 以得到所述 目标流量的微隔离策略。 通过本申请， 解决了相 关技术中在K8S环境中没有对应的微隔离 策略搜 索算法， 导致获取微隔离策略的效率较低的问 题。 权利要求书2页 说明书11页 附图5页 CN 114301841 A 2022.04.08 CN 114301841 A 1.一种基于K8 S的微隔离策略的处 理方法， 其特 征在于， 包括： 以IP为关键 字分别对AP P和Service建立哈希 表， 得到数据表一； 依据微隔离策略的源的类型建立策略快速查找表， 得到数据表二， 其中， 所述微隔离策 略的源的类型为以下之一： AP P， Service和IP/ Mask； 依据所述微隔离策略的目的的类型建立策略快速查找表， 得到数据表三， 其中， 所述微 隔离策略的目的 的类型为以下之一： Service和IP/ Mask； 依据目标流量的目标信息， 在所述数据表一、 所述数据表二和所述数据表三中进行匹 配， 以得到所述目标流 量的微隔离策略。 2.根据权利要求1所述的方法， 其特征在于， 依据 所述微隔离策略的源的类型建立策略 快速查找 表， 得到数据表二， 包括： 所述微隔离策略的源的类型是APP或Service时， 建立 哈希表， 得到数据子表一， 其中， 所述数据子表一包括所有AP P对应的微隔离策略和所有Service对应的微隔离策略； 所述微隔离策略的源的类型是IP/Mask时， 建立快速匹配树， 得到数据子表二， 其中， 所 述数据子表二包括所有IP/ Mask对应的微隔离策略； 将所述数据子表一和所述数据子表二作为所述数据表一。 3.根据权利要求1所述的方法， 其特征在于， 依据 所述微隔离策略的目的的类型建立策 略快速查找 表， 得到数据表三， 包括： 所述微隔离策略的目的的类型为Service 时， 建立哈希表， 得到数据子表三， 其中， 所述 数据子表三包括所有Service对应的微隔离策略； 所述微隔离策略的目的的类型为IP/Mask时， 建立快速 匹配树， 得到数据子表四， 其 中， 所述数据子表四包括所有IP/ Mask对应的微隔离策略； 所述数据子表三和数据子表四作为所述数据表三。 4.根据权利 要求1所述的方法， 其特征在于， 所述目标信息包括： 源IP， 目的IP和目的端 口， 依据目标流量的目标信息， 在所述数据表一、 所述数据表二和所述数据表三中进行匹 配， 以得到所述目标流 量的微隔离策略， 包括： 依据所述目标流 量的源IP， 目的IP和目的端口， 在所述数据表一中找到目标资产信息； 依据所述目标流量的源IP和所述目标资产信息， 在所述数据表二中进行匹配， 得到微 隔离策略集 合一； 依据所述目标流量的目的IP和所述目标资产信息， 在所述数据表三中进行匹配， 得到 微隔离策略集 合二； 对所述微隔离策略集合一和所述微隔离策略集合二进行匹配， 得到目标微隔离策略集 合； 按照所述目标微隔离策略集合中微隔离策略的顺序， 检验所述目标流量的目的端口是 否被所述目标微隔离策略中的微隔离策略匹配， 以确定所述目标流 量的微隔离策略。 5.根据权利要求4所述的方法， 其特征在于， 按照所述目标流量的集合中微隔离策略的 顺序， 检验所述目标流量的目的端口是否被所述 目标流量的集合中的微隔离策略匹配， 以 确定所述目标流 量的微隔离策略， 包括： 按照所述顺序， 检测所述目标流量的目的端口是否被所述目标微隔离策略集合中的第 一个微隔离策略匹配；权　利　要　求　书 1/2 页 2 CN 114301841 A 2当所述目标流量的目的端口能够被所述第 一个微隔离策略匹配时， 则所述第 一个微隔 离策略为所述目标流 量的微隔离策略； 当所述目标流量的目的端口不能被所述第一个微隔离策略匹配时， 则按照所述顺序， 继续检验所述目标流量的目的端口是否被所述目标流量的集合中的下一个微隔离策略匹 配， 直至确定所述目标流 量的微隔离策略。 6.一种基于K8 S的微隔离策略的处 理装置， 其特 征在于， 包括： 第一构建单 元， 用于以IP为关键 字分别对AP P和Service建立哈希 表， 得到数据表一； 第二构建单元， 用于依据微隔离策略的源的类型建立策略快速查找表， 得到数据表二， 其中， 所述 微隔离策略的源的类型为以下之一： AP P， Service和IP/ Mask； 第三构建单元， 用于依据所述微隔离策略的目的的类型建立策略快速查找表， 得到数 据表三， 其中， 所述 微隔离策略的目的 的类型为以下之一： Service和IP/ Mask； 匹配单元， 用于依据目标流量的目标信 息， 在所述数据表一、 所述数据表二和所述数据 表三中进行匹配， 以得到所述目标流 量的微隔离策略。 7.根据权利要求6所述的装置， 其特 征在于， 所述第二构建单 元包括： 第一构建子单元， 用于所述微隔离策略的源的类型是APP或Service 时， 建立哈希表， 得 到数据子表一， 其中， 所述数据子表一包括所有APP对应的微隔离策 略和所有Service对应 的微隔离策略； 第二构建子单元， 用于所述微隔离策略的源 的类型是IP/Mask时， 建立快速匹配树， 得 到数据子表二， 其中， 所述数据子表二包括所有IP/ Mask对应的微隔离策略； 将所述数据子表一和所述数据子表二作为所述数据表一。 8.根据权利要求6所述的装置， 其特 征在于， 所述第三构建单 元包括： 第三构建子单元， 用于所述微隔离策略的目的的类型为Service时， 建立哈希表， 得到 数据子表三， 其中， 所述数据子表三包括所有Service对应的微隔离策略； 第三构建子单元， 用于所述微隔离策略的目的的类型为IP/Mask时， 建立快速匹配树， 得到数据子表四， 其中， 所述数据子表四包括所有IP/ Mask对应的微隔离策略； 所述数据子表三和数据子表四作为所述数据表三。 9.一种计算机可读存储介质， 其特征在于， 所述存储介质包括存储的程序， 其中， 所述 程序执行权利要求1至 5中任意一项所述的基于K8 S的微隔离策略的处 理方法。 10.一种处理器， 其特征在于， 所述处理器用于运行程序， 其中， 所述程序运行时执行权 利要求1至 5中任意一项所述的基于K8 S的微隔离策略的处 理方法。权　利　要　求　书 2/2 页 3 CN 114301841 A 3