策略服务器如何下发策略到防火墙

路人呵呵

有个项目是这样的场景:


我们为企业用户提供了一个门户,里面的功能有
策略管理分为5个子管理功能模块：源IP地址管理、目的IP地址管理、定向访问域名管理、黑白名单管理、策略下发管理。
（1）源IP地址管理
源IP地址是用户自行分配的源地址。用户可以对源地址信息进行新建、删除及查询，查询信息包括：APN名称、IP地址、生效时间等。
（2）目的IP地址管理
目的IP地址是APN客户的无线终端可以访问的网站地址。包括：网站的IP地址、端口号等信息。此网站信息由用户自己设置，并对设置的目的IP地址进行查询、变更、添加、删除等操作。
查询：查询属于当前登录客户所有的目的网站信息和对应的APN信息。
变更：对目的IP地址信息进行修改。
添加：增加属于当前客户的目的IP地址。
删除：删除属于当前客户的目的IP地址。
（3）定向访问域名管理
控制用户登录系统后可以访问的域名列表。可以由用户自行进行查询、变更、添加、删除等操作，支持二级以上的域名以“*”代替。
（4）黑白名单查询管理
黑名单功能：系统管理员会设置不允许访问的公网地址，此类地址放置于黑名单中进行管理。用户只可以进行查询操作。
白名单功能：系统会提供给用户不用申请也可以访问的公网地址，此类地址放置于白名单中。用户只可以进行查询操作。
不识别功能：用户在录入公网是黑名单中的地址时，系统将无法识别此类公网地址予以拒绝下发并提示。

上面的 企业用户在门户可以配置的策略.
策略下发管理
(a)新建配置策略管理
策略生成：用户可以自行新建策略，并且每条策略都为唯一的完整的策略。
策略去重：在输入新策略的同时，系统会进行与已有策略的对比，如有重复策略则系统进行提示并进行去重操作。
策略下发：用户自行对正确的策略配置进行下发。
(b)已有配置策略管理
查询功能：用户可以查询当前已经配置的策略情况。
删除功能：用户可以对已经配置的策略进行逐条删除。

             防火墙性能规格表(不确定具体型号)
序号          描述                       技术参数与性能指标
1             防火墙吞吐量                    6Gbps
2             防火墙64字节包转发性能         1.5Gbps
3             最大并发会话数                 200万
4             最高安全策略数                  3万
5             最多能够支持的用户数           不限
6             并发隧道数                      最大15000条

策略应用处理用户的请求并生成符合防火墙要求的策略,这个策略如何发送到防火墙,就是通过什么协议发送给防火墙.这种企业级别的防火墙会有api接口提供吗?
还有企业用户可以设置禁止访问域名比如baidu.com.  这种策略如何生成?

ssffzz1

这个没有统一的规范的。不同厂家不同产品也不同，很早的时候大家讨论IDS和防火墙联动的那个时代就讨论过了。

我见过的防火墙：
1）通过SNMP来下发。2）通过脚本登录到防火墙上来下发（telent/ssh脚本）

这两种方式都问题多多多多多。

tangye

这活儿还是防火墙厂商的网管软件来做比较合适