CN113923046B - 一种分布式防火墙安全通信的实现方法及*** - Google Patents

Abstract

本公开提供了一种分布式防火墙安全通信的实现方法及***，实现方法包括：接收数据报文；基于数据报文的源地址和目的地址确定第一目标业务板以及第二目标业务板；其中，第一目标业务板属于第一安全设备；第二目标业务板属于第二安全设备；利用第一目标业务板对数据报文进行加密处理，得到加密报文；利用第二目标业务板对加密报文进行解密得到数据报文，并按照目的地址转发数据报文。本公开无需用依赖于硬件，也即解决了现有技术中IPSec表项规格受限于硬件ACL规格的问题；并且，在不依赖硬件的基础上提高了通用性，降低了耦合性，易移植，可扩展性较好。

Description

一种分布式防火墙安全通信的实现方法及***

技术领域

本公开涉及通信安全技术领域，特别涉及一种分布式防火墙安全通信的实现方法及***。

背景技术

随着网络技术的发展以及对网络设备功能、性能要求的不断提高，分布式处理架构的网络设备应运而生。分布式防火墙一般由控制板、业务板和交换接口板组成，通过多业务板并行处理提高整机处理性能，进而满足用户高并发、高新建以及高吞吐的要求。在分布式防火墙的硬件架构中，控制板用于设备的配置管理及路由等，业务板用于处理不同业务并建立会话等，交换接口板用于收发报文，并把接收到报文均衡的发送到各业务板处理。

现有技术中通常采用以下两种方式：1、线卡+协处理卡，线卡用于建立并维护IPSec隧道的对端IP地址与相应的协处理***的对应关系表，根据对应关系表，将报文送往协处理卡进行IPSec处理，具体结构参照图1；2、设置硬件ACL策略，业务板通知控制板及时向交换接口板下发ACL策略，以保证来自特定网络设备的报文均发送给对应的业务板，业务板进一步对报文进行加解密处理，具体结构参照图2。

但上述两种方式，虽然硬件ACL策略这一方式相较于线卡+协处理卡的方式，通用性较强、硬件较简单、易维护，但仍存在IPSec表项规格受限于硬件ACL规格，可扩展性较差的问题。

发明内容

有鉴于此，本公开实施例的目的在于提供一种分布式防火墙安全通信的实现方法及***，用于解决现有技术中IPSec表项规格受限于硬件ACL规格，可扩展性较差的问题。

第一方面，本公开实施例提供了一种分布式防火墙安全通信的实现方法，其中，包括：

接收数据报文；

基于所述数据报文的源地址和目的地址确定第一目标业务板以及第二目标业务板；其中，所述第一目标业务板属于第一安全设备；第二目标业务板属于第二安全设备；

利用所述第一目标业务板对所述数据报文进行加密处理，得到加密报文；

利用所述第二目标业务板对所述加密报文进行解密得到数据报文，并按照所述目的地址转发所述数据报文。

在一种可能的实施方式中，基于所述数据报文的源地址和目的地址确定所述第一目标业务板，包括：

确定所述源地址和所述目的地址落入的第一目标前缀表；

将所述第一目标前缀表中包括的业务板作为所述第一目标业务板；

其中，每条所述前缀表包括第一子网段、第二子网段、业务板以及所述第一子网段与所述第二子网段之间的传输隧道。

在一种可能的实施方式中，所述确定所述源地址和所述目的地址落入的第一目标前缀表，包括：

将所述源地址落入的第一子网段以及所述目的地址落入的第二子网段所属的前缀表作为所述第一目标前缀表。

在一种可能的实施方式中，基于所述数据报文的源地址和目的地址确定所述第二目标业务板，包括：

查找所述第一目标前缀表中的传输隧道所属的第二目标前缀表；

将所述第二目标前缀表中包括的业务板作为所述第二目标业务板。

在一种可能的实施方式中，所述实现方法还包括：

获取所述传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址；

对所述第一隧道地址和所述第二隧道地址进行计算，得到一业务板标识信息；

利用所述第一安全设备的第一子网段、所述第二安全设备的第二子网段、携带有该标识信息的业务板以及所述传输隧道构建所述前缀表。

在一种可能的实施方式中，在所述第二隧道地址为预设阈值的情况下，还包括：

通过所述传输隧道接收所述第二安全设备传输的协商报文；

从所述协商报文中提取所述第二安全设备的第二隧道地址。

在一种可能的实施方式中，所述实现方法还包括：

在第一目标业务板的目标标识信息与当前业务板的当前标识信息不同的情况下，将所述数据报文转发至所述目标标识信息对应的第一目标业务板。

第二方面，本公开实施例还提供了一种分布式防火墙安全通信的实现***，包括第一安全设备和第二安全设备；

所述第一安全设备接收第一主机发送的数据报文；基于所述数据报文的源地址和目的地址确定第一目标业务板；利用所述第一目标业务板对所述数据报文进行加密处理，得到加密报文；将所述加密报文通过传输隧道传输给所述第二安全设备；

所述第二安全设备基于所述传输隧道确定第二目标业务板；利用所述第二目标业务板对所述加密报文进行解密，得到数据报文；按照所述目的地址转发所述数据报文。

在一种可能的实施方式中，所述第一安全设备上设置有多个前缀表，所述第一安全设备具体用于：

确定所述源地址以及所述目的地址落入的第一目标前缀表；

将所述第一目标前缀表中包括的业务板作为所述第一目标业务板；

其中，每条所述前缀表包括第一子网段、第二子网段、业务板以及所述第一子网段与所述第二子网段之间的传输隧道。

在一种可能的实施方式中，所述第一安全设备还具体用于：

将所述源地址落入的第一子网段以及所述目的地址落入的第二子网段所属的前缀表作为所述第一目标前缀表。

本公开实施例通过数据报文的源地址和目的地址确定第一安全设备上的第一目标业务板，以使第一目标业务板对数据报文进行加密；以及通过数据报文的源地址和目的地址确定第二安全设备上的第二目标业务板，以使第二目标业务板对加密得到的加密报文进行解密，并转发解密得到的数据报文，无需用依赖于硬件，也即解决了现有技术中IPSec表项规格受限于硬件ACL规格的问题；并且，在不依赖硬件的基础上提高了通用性，降低了耦合性，易移植，可扩展性较好。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本公开或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1示出了现有技术中的一种结构示意图；

图2示出了现有技术中的另一种结构示意图；

图3示出了本公开所提供的分布式防火墙安全通信的实现方法的流程图；

图4示出了本公开所提供的分布式防火墙安全通信的实现方法中确定第一目标业务板的流程图；

图5示出了本公开所提供的分布式防火墙安全通信的实现方法中确定第二目标业务板的流程图；

图6示出了本公开所提供的分布式防火墙安全通信的实现方法中构建前缀表的流程图；

图7示出了本公开所提供的分布式防火墙安全通信的实现中一实施例的结构示意图；

图8示出了本公开所提供的分布式防火墙安全通信的实现***的结构示意图。

具体实施方式

此处参考附图描述本公开的各种方案以及特征。

应理解的是，可以对此处申请的实施例做出各种修改。因此，上述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本公开的范围和精神内的其他修改。

包含在说明书中并构成说明书的一部分的附图示出了本公开的实施例，并且与上面给出的对本公开的大致描述以及下面给出的对实施例的详细描述一起用于解释本公开的原理。

通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本公开的这些和其它特性将会变得显而易见。

还应当理解，尽管已经参照一些具体实例对本公开进行了描述，但本领域技术人员能够确定地实现本公开的很多其它等效形式，它们具有如权利要求所述的特征并因此都位于借此所限定的保护范围内。

当结合附图时，鉴于以下详细说明，本公开的上述和其他方面、特征和优势将变得更为显而易见。

此后参照附图描述本公开的具体实施例；然而，应当理解，所申请的实施例仅仅是本公开的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本公开模糊不清。因此，本文所申请的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本公开。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本公开的相同或不同实施例中的一个或多个。

这里，本公开实施例中的控制板为分布式***下对安全设备整机进行管理的板卡；业务板为分布式***下对安全设备进行业务处理的板卡；交换接口板为分布式***下安全设备接收和发送报文的板卡；IPSec为一组基于网络层的，应用密码学的安全通信协议族；IPSec vpn为基于IPSec协议族构建的在IP层实现的安全虚拟专用网。

第一方面，为便于对本公开进行理解，首先对本公开所提供的一种分布式防火墙安全通信的实现方法进行详细介绍。如图3所示，为本公开实施例提供的分布式防火墙安全通信的实现方法，按照图3示出的方法步骤能够保证IPSec表项规格不受任何硬件限制，进而满足分布式防火墙IPSec不同表项规格的需求，极大的提高了IPSec表项规格的灵活性，适用性更为广泛。其中，具体步骤包括S101-S104。

S101，接收数据报文。

这里，数据报文为发送主机向接收主机发送的数据报文，当然，也可以是发送主机向服务器发送的数据报文等。

S102，基于数据报文的源地址和目的地址确定第一目标业务板以及第二目标业务板；其中，第一目标业务板属于第一安全设备；第二目标业务板属于第二安全设备。

在具体实施中，可以由第一安全设备接收数据报文，并在接收到数据报文之后，提取该数据报文的源地址和目的地址，当然，还可以提取其他信息如数据报文的大小、数据报文的请求时间等。

在提取到数据报文的源地址和目的地址之后，基于源地址和目的地址确定第一目标业务板，其中，第一安全设备上设置有一个或多个业务板，在实际确定第一目标业务板时，可以是第一安全设备包括的控制板来确定的，还可以是第一安全设备的交换接口板将数据报文转发至一业务板之后该当前业务板来确定的，本公开实施例对此不做具体限定。其中，交换接口板在接收到数据报文之后按照预设规则对该数据报文的属性信息如源地址、目的地址等信息进行hash计算，得到该数据报文对应的业务板，并将该数据报文转发至该数据报文对应的业务板。

同时，基于数据报文的源地址和目的地址还可以确定第二目标业务板，同样地，第二安全设备上也设置有一个或多个业务板。其中，第一安全设备和第二安全设备之间通过传输隧道连接。

具体地，参照图4示出的方法流程图来确定第一目标业务板，其中，具体步骤包括S201和S202。

S201，确定源地址和目的地址落入的第一目标前缀表。

S202，将第一目标前缀表中包括的业务板作为第一目标业务板。

在具体实施中，第一安全设备包括的每个业务板上均设置有第一安全设备上设备的所有前缀表，其中，每个业务板均对应一个前缀表，每条前缀表中包括一第一子网段、一第二子网段、一业务板以及一传输隧道，该传输隧道为用于第一子网段与第二子网段之间传输任意数据报文的隧道。

以第一安全设备的交换接口板将数据报文转发至一业务板之后该当前业务板来确定第一目标业务板为例，当前业务板筛选源地址落入的第一子网段所属的所有前缀表，之后，从源地址落入的第一子网段所属的所有前缀表中筛选目的地址落入的第二子网段所属的前缀表，将该前缀表作为源地址和目的地址落入的第一目标前缀表。之后，将该第一目标前缀表中包括的业务板作为第一目标业务板，也即，作为处理该数据报文的业务板。

具体地，参照图5示出的方法流程图来确定第二目标业务板，其中，具体步骤包括S301和S302。

S301，查找第一目标前缀表中的传输隧道所属的第二目标前缀表。

S302，将第二目标前缀表中包括的业务板作为第二目标业务板。

在具体实施中，第一安全设备上的第一目标业务板将数据报文进行处理之后，需要将处理后的数据报文传输至第二安全设备，以经过第二安全设备的处理之后转发至接收主机。进一步地，在确定第一目标前缀表之后，查找第一目标前缀表中的传输隧道，并且，在第二安全设备上查找该传输隧道所属的第二目标前缀表，其中，第二安全设备上的每个业务板上同样设置有第二安全设备的所有前缀表，同样地，每个业务板均对应一个前缀表，每条前缀表中包括一第一子网段、一第二子网段、一业务板以及一传输隧道，该传输隧道为用于第一子网段与第二子网段之间传输任意数据报文的隧道，值得说明的是，同一传输隧道两端的第一子网段与第二子网段唯一。

在确定第二目标前缀表之后，将第二目标前缀表中包括的业务板作为第二目标业务板。其中，第一目标前缀表中包括的业务板为第一安全设备上配置的业务板，第二目标前缀表中包括的业务板为第二安全设备上配置的业务板。

S103，利用第一目标业务板对数据报文进行加密处理，得到加密报文。

S104，利用第二目标业务板对加密报文进行解密得到数据报文，并按照目的地址转发数据报文。

在确定第一目标业务板以及第二目标业务板之后，利用第一目标业务板对数据报文进行加密处理，得到加密报文，之后，通过第一安全设备与第二安全设备之间的传输隧道将加密报文传输至第二安全设备的第二目标业务板，以利用第二目标业务板对加密报文进行解密得到数据报文，并按照目的地址转发数据报文，进而将数据报文发送给接收主机或服务器等。

在具体实施中，由于第一安全设备的交换接口板确定第一目标业务板的方式固定且不够准确，因此，当前业务板在接收到数据报文并基于数据报文的源地址和目的地址确定第一目标业务板之后，对比第一目标业务板的目标标识信息与当前业务板的当前标识信息是否相同，并在第一目标业务板的目标标识信息与当前业务板的当前标识信息不同的情况下，也即当前业务板并非处理该数据报文的业务板，将数据报文转发至目标标识信息对应的第一目标业务板，以使第一目标业务板处理该数据报文。其中每个业务板对应有唯一的标识信息如编号、名称等。

本公开实施例通过数据报文的源地址和目的地址确定第一安全设备上的第一目标业务板，以使第一目标业务板对数据报文进行加密；以及通过数据报文的源地址和目的地址确定第二安全设备上的第二目标业务板，以使第二目标业务板对加密得到的加密报文进行解密，并转发解密得到的数据报文，无需用依赖于硬件，也即解决了现有技术中IPSec表项规格受限于硬件ACL规格的问题；并且，在不依赖硬件的基础上提高了通用性，降低了耦合性，易移植，可扩展性较好；并且，基于前缀表在当前业务板并非第一目标业务板的情况下进行转板，提高了IPSec表项规格的灵活性。

具体地，参照图6示出的方法流程图来构建前缀表，具体步骤包括S401-S403。

S401，获取传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址。

S402，对第一隧道地址和第二隧道地址进行计算，得到一业务板标识信息。

S403，利用第一安全设备的第一子网段、第二安全设备的第二子网段、携带有该标识信息的业务板以及传输隧道构建前缀表。

在具体实施中，在基于数据报文的源地址和目的地址确定第一目标业务板以及第二目标业务板之前，需要先针对每个业务板构建其对应的前缀表。其中，可以由第一安全设备的控制板来建立该前缀表。

具体地，获取传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址，对第一隧道地址和第二隧道地址进行计算，得到一业务板标识信息；之后，利用第一安全设备的第一子网段、第二安全设备的第二子网段、携带有该标识信息的业务板以及传输隧道构建前缀表。

在具体实施中，存在第二隧道地址为预设阈值也即0.0.0.0的情况，此时，通过传输隧道接收第二安全设备传输的协商报文，从协商报文中提取第二安全设备的第二隧道地址，之后，再对第一隧道地址和第二隧道地址进行计算，一利用得到的业务板标识信息对应的业务板、第一子网段、第二子网段以及传输隧道构建前缀表。

这里，上述仅利用软件构建前缀表的方式，逻辑简单，资源消耗较少。

接下来，以图7示出的实施例为例进行阐述分布式防火墙安全通信的实现方法，其中，图7中分布式防火墙(FW1)为第一安全设备，分布式防火墙(FW2)为第二安全设备，FW1和FW2上分别配置有业务板1、业务板2、交换接口板1、交换接口板2、交换接口板3以及交换接口板4，第一子网段即为保护子网10.10.10.0/24，第二子网段即为保护子网20.20.20.0/24，第一隧道地址即为1.1.1.1，第二隧道地址即为1.1.1.2，基于第一隧道地址1.1.1.1以及第二隧道地址1.1.1.2确定一业务板标识信息为1，利用第一子网段、第二子网段、业务板1以及传输隧道形成一前缀表。FW1和FW2之间通过传输隧道连接，FW1与用户主机A连接，FW2与用户主机B连接。在实际应用中，用户主机A发送数据报文，FW1在接收到用户主机A发送的数据报文之后，FW1的交换接口板1基于预先配置的规则确定该数据报文对应的业务板为业务板2，并将数据报文传输至业务板2。

业务板2在接收到数据报文之后，提取该数据报文的源地址：10.10.10.10以及目的地址：20.20.20.20，基于源地址：10.10.10.10以及前缀表确定该数据报文对应的业务板为业务板1，并将数据报文转发至业务板1，以使业务板1对数据报文进行加密得到加密报文，并将加密报文通过传输隧道传输给FW2。

FW2基于传输隧道所属的前缀表确定业务板，利用该业务板对加密报文进行解密，得到数据报文；按照目的地址：20.20.20.20将数据报文转发给用户主机B。其中，用户主机B响应数据报文返回响应报文的处理流程同上，在此便不做过多赘述。

基于同一发明构思，本公开的第二方面还提供了一种与分布式防火墙安全通信的实现方法对应的分布式防火墙安全通信的实现***，由于本公开中的装置解决问题的原理与本公开上述实现方法相似，因此装置的实施可以参见方法的实施，重复之处不再赘述。

参见图8所示，分布式防火墙安全通信的实现***包括第一安全设备601和第二安全设备602；

所述第一安全设备601接收第一主机发送的数据报文；基于所述数据报文的源地址和目的地址确定第一目标业务板；利用所述第一目标业务板对所述数据报文进行加密处理，得到加密报文；将所述加密报文通过传输隧道传输给所述第二安全设备602；

所述第二安全设备602基于所述传输隧道确定第二目标业务板；利用所述第二目标业务板对所述加密报文进行解密，得到数据报文；按照所述目的地址转发所述数据报文。

在另一实施例中，所述第一安全设备601上设置有多个前缀表，所述第一安全设备601具体用于：

确定所述源地址以及所述目的地址落入的第一目标前缀表；

将所述第一目标前缀表中包括的业务板作为所述第一目标业务板；

其中，每条所述前缀表包括第一子网段、第二子网段、业务板以及所述第一子网段与所述第二子网段之间的传输隧道。

在另一实施例中，所述第一安全设备601还具体用于：

将所述源地址落入的第一子网段以及所述目的地址落入的第二子网段所属的前缀表作为所述第一目标前缀表。

在另一实施例中，所述第二安全设备602具体用于：

查找所述第一目标前缀表中的传输隧道所属的第二目标前缀表；

将所述第二目标前缀表中包括的业务板作为所述第二目标业务板。

在另一实施例中，所述第一安全设备601和所述第二安全设备602还用于：

获取所述传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址；

对所述第一隧道地址和所述第二隧道地址进行计算，得到一业务板标识信息；

利用所述第一安全设备的第一子网段、所述第二安全设备的第二子网段、携带有该标识信息的业务板以及所述传输隧道构建所述前缀表。

在另一实施例中，所述第一安全设备601和所述第二安全设备602在所述第二隧道地址为预设阈值的情况下，还包括：

通过所述传输隧道接收所述第二安全设备传输的协商报文；

从所述协商报文中提取所述第二安全设备的第二隧道地址。

在另一实施例中，所述第一安全设备601还用于：

在第一目标业务板的目标标识信息与当前业务板的当前标识信息不同的情况下，将所述数据报文转发至所述目标标识信息对应的第一目标业务板。

本公开实施例通过数据报文的源地址和目的地址确定第一安全设备上的第一目标业务板，以使第一目标业务板对数据报文进行加密；以及通过数据报文的源地址和目的地址确定第二安全设备上的第二目标业务板，以使第二目标业务板对加密得到的加密报文进行解密，并转发解密得到的数据报文，无需用依赖于硬件，也即解决了现有技术中IPSec表项规格受限于硬件ACL规格的问题；并且，在不依赖硬件的基础上提高了通用性，降低了耦合性，易移植，可扩展性较好。

附图中的流程图和框图，图示了按照本公开各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本邻域技术人员应当理解，本公开中所涉及的公开范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述公开构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

此外，虽然采用特定次序描绘了各操作，但是这不应当理解为要求这些操作以所示出的特定次序或以顺序次序执行来执行。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实施例中。相反地，在单个实施例的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实施例中。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

以上对本公开多个实施例进行了详细说明，但本公开不限于这些具体的实施例，本邻域技术人员在本公开构思的基础上，能够做出多种变型和修改实施例，这些变型和修改都应落入本公开所要求保护的范围之内。

Claims (4)

1.一种分布式防火墙安全通信的实现方法，其特征在于，包括：

接收数据报文；

基于所述数据报文的源地址和目的地址确定第一目标业务板以及第二目标业务板；其中，所述第一目标业务板属于第一安全设备；第二目标业务板属于第二安全设备；

利用所述第一目标业务板对所述数据报文进行加密处理，得到加密报文；

利用所述第二目标业务板对所述加密报文进行解密得到数据报文，并按照所述目的地址转发所述数据报文；

基于所述数据报文的源地址和目的地址确定所述第一目标业务板，包括：

将所述源地址落入的第一子网段以及所述目的地址落入的第二子网段所属的前缀表作为所述第一目标前缀表；

将所述第一目标前缀表中包括的业务板作为所述第一目标业务板；

其中，每条所述前缀表包括第一子网段、第二子网段、业务板以及所述第一子网段与所述第二子网段之间的传输隧道；

基于所述数据报文的源地址和目的地址确定所述第二目标业务板，包括：

查找所述第一目标前缀表中的传输隧道所属的第二目标前缀表；

将所述第二目标前缀表中包括的业务板作为所述第二目标业务板；

所述实现方法还包括：

获取所述传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址；

对所述第一隧道地址和所述第二隧道地址进行计算，得到一业务板标识信息；

利用所述第一安全设备的第一子网段、所述第二安全设备的第二子网段、携带有该标识信息的业务板以及所述传输隧道构建所述前缀表。

2.根据权利要求1所述的实现方法，其特征在于，在所述第二隧道地址为预设阈值的情况下，所述预设阈值为0.0.0.0；

所述实现方法还包括：

通过所述传输隧道接收所述第二安全设备传输的协商报文；

从所述协商报文中提取所述第二安全设备的第二隧道地址。

3.根据权利要求1所述的实现方法，其特征在于，还包括：

在第一目标业务板的目标标识信息与当前业务板的当前标识信息不同的情况下，将所述数据报文转发至所述目标标识信息对应的第一目标业务板。

4.一种分布式防火墙安全通信的实现***，其特征在于，包括第一安全设备和第二安全设备；

所述第一安全设备接收第一主机发送的数据报文；基于所述数据报文的源地址和目的地址确定第一目标业务板；利用所述第一目标业务板对所述数据报文进行加密处理，得到加密报文；将所述加密报文通过传输隧道传输给所述第二安全设备；

所述第二安全设备基于所述传输隧道确定第二目标业务板；利用所述第二目标业务板对所述加密报文进行解密，得到数据报文；按照所述目的地址转发所述数据报文；

所述第一安全设备上设置有多个前缀表，所述第一安全设备具体用于：

确定所述源地址以及所述目的地址落入的第一目标前缀表；

将所述第一目标前缀表中包括的业务板作为所述第一目标业务板；

其中，每条所述前缀表包括第一子网段、第二子网段、业务板以及所述第一子网段与所述第二子网段之间的传输隧道；

所述第一安全设备还具体用于：

将所述源地址落入的第一子网段以及所述目的地址落入的第二子网段所属的前缀表作为所述第一目标前缀表；

所述第二安全设备具体用于：

查找所述第一目标前缀表中的传输隧道所属的第二目标前缀表；

将所述第二目标前缀表中包括的业务板作为所述第二目标业务板；

所述第一安全设备和所述第二安全设备还用于：

获取所述传输隧道两端的第一安全设备的第一隧道地址以及第二安全设备的第二隧道地址；

对所述第一隧道地址和所述第二隧道地址进行计算，得到一业务板标识信息；

利用所述第一安全设备的第一子网段、所述第二安全设备的第二子网段、携带有该标识信息的业务板以及所述传输隧道构建所述前缀表。