虛擬網絡服務設備接入方法及系統的製作方法
2023-05-29 00:00:36
專利名稱：虛擬網絡服務設備接入方法及系統的製作方法
技術領域：
本發明屬於網絡管理領域，尤其涉及一種虛擬網絡服務設備接入方法及系統。
背景技術：
作為一種新興的計算模式，雲計算能夠通過虛擬化的手段將各種各樣的資源以服務的方式通過網絡交付給用戶。這些服務包括種類繁多的網際網路應用、運行這些應用的平臺，以及虛擬化後的計算和存儲資源，從而使雲計算具有「按需自服務」、「寬泛接入」、「虛擬化的資源池」、「快速彈性架構」和「可測量的服務」等特徵。在雲計算環境下，根據自己的業務需要，用戶可以通過雲管理平臺生成並啟動虛 擬機，從而實現按需自助服務。除了自己的業務需求之外，出於安全保障的要求，用戶往往還需要一些特殊的網絡服務，如入侵檢測系統(IDS)/入侵防禦系統(IPS)、防火牆、統一威脅管理(UTM)系統等，而這些網絡服務通常是獨立於用戶的業務系統之外，通過網絡接入，對進出用戶虛擬機的網絡信息進行服務的設備。它們可能是虛擬化的，也可能是物理化的。如何將這些網絡服務設備有效接入到用戶的虛擬化網絡環境中，從而對用戶提供服務，需要的不僅是生成和啟動一個虛擬化(或物理化)的虛擬機，還涉及對虛擬交換機進行恰當的配置，使用戶的業務流量能夠被引導到網絡服務設備上來。在傳統的網絡系統中，這種引導是通過對路由器或交換機進行配置來實現的，屬於網絡安全管理的範疇，常常不同於用戶對自己的虛擬機的設置。在雲環境下，雲管理平臺通常只負責生成虛擬機和內部的虛擬交換機，並不負責對虛擬交換機進行合理的配置。在網絡安全服務廣泛需要的今天，如果數據中心存在大量的虛擬機以及安全服務系統，那麼手動配置會消耗大量的時間和資源。
發明內容
本發明提供了一種虛擬網絡服務接入方法及系統，以解決如何將虛擬機的網絡流量引導到網絡服務設備上來的問題。本發明提供了一種虛擬網絡服務接入方法，該方法包括獲得當前虛擬機在虛擬交換機上的埠號；獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；以及查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。優選地，所述獲得當前虛擬機在虛擬交換機上的埠號，包括接收所述當前虛擬機的網絡服務接入命令，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號；和/或 所述獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號之前，所述方法還包括
啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。優選地，所述根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，包括複製所述數據轉發規則作為所述新的數據轉發規則；將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；將所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬交換機；和/或所述為所述當前虛擬機生成並寫入新的數據轉發規則，包括
以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；以及以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網上地址，以所述當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。優選地，所述查找所述虛擬交換機上所述當前虛擬機的數據轉發規則之後，還包括保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。優選地，所述虛擬交換機為支持OpenFlow的交換機。本發明還提供了一種虛擬網絡服務接入系統，該系統包括虛擬機埠號獲得模塊，用於獲得當前虛擬機在虛擬交換機上的埠號；網絡服務設備埠號獲得模塊，用於獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；數據轉發規則處理模塊，用於查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。優選地，所述虛擬機埠號獲得模塊，具體用於接收所述當前虛擬機的網絡服務接入命令，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號；和/或所述網絡服務設備埠號獲得模塊，還用於啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。優選地，所述數據轉發規則處理模塊包括轉發規則查找單元，用於查找所述虛擬交換機上的數據轉發規則，複製所述虛擬機的數據轉發規則作為新的數據轉發規則；轉發規則修改單元，用於將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；將所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬網絡交換機；以及轉發規則生成單元，用於以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；以及，以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網上地址，以所述當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。優選地，所述數據轉發規則處理模塊，還用於保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。優選地，所述虛擬交換機為支持OpenFlow的交換機。上述虛擬網絡服務接入方法及系統，通過對虛擬交換機上的數據轉發規則的處理，使虛擬機的網絡流量被導引到網絡服務設備上，經由網絡服務設備處理後再轉發給目標設備，從而為虛擬機的網絡流量監控提供服務。
圖1是本發明虛擬網絡服務接入方法的流程圖2是圖1中步驟SI的流程圖；
圖3是圖1中步驟S3的前半部分流程圖4是圖1中步驟S3的後半部分流程圖5是本發明虛擬網絡服務接入系統的結構示意圖6是圖5中數據轉發規則處理模塊的結構示意圖。
具體實施方式
為使本發明的目的、技術方案和優點更加清楚明白，下文中將結合附圖對本發明
的實施例進行詳細說明。需要說明的是，在不衝突的情況下，本申請中的實施例及實施例中的特徵可以相互任意組合。本發明根據虛擬機和網絡服務設備的埠，修改虛擬交換機上的數據轉發規則，使得進出虛擬機的網絡數據被自動引導到相關的網絡服務設備上，實現對虛擬機的網絡服務。如圖1所示，為本發明虛擬網絡服務接入方法的流程圖，該方法包含以下步驟步驟SI，獲得當前虛擬機在虛擬交換機上的埠號；步驟S2，獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；步驟S3，查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。該方法還包括保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。如圖2所示,上述步驟SI進一步包括步驟SI I，接收所述當前虛擬機的網絡服務接入命令；步驟S12，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號。在上述步驟S2之前，還可以包括啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。如圖3所示，所述根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，進一步包括步驟S31，複製所述數據轉發規則作為所述新的數據轉發規則；步驟S32，將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；步驟S33，將步驟S31中所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬網絡交換機。如圖4所示，所述為所述虛擬機生成並寫入轉發規則，進一步包括步驟S34，以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；
步驟S35，以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網卡地址，以當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。實施例下面通過一個應用實例對上述流程作進一步說明。本發明的一個實施例是，物理主機上的虛擬交換機採用OpenFlow交換機(比如Open vSwitch),對數據轉發規則的修改和寫入可以採用「ofp_f low_mod_command」命令來實現。對虛擬交換機上的數據轉發規則的讀取可以通過「ofp_flow_stats_request」指令向虛擬交換機進行查詢，並通過OpenFlow交換機的應答消息「ofp_flow_stats」進行提取。上述虛擬網絡服務接入方法，通過對虛擬交換機上的數據轉發規則的處理，使虛擬機的網絡流量被導引到網絡服務設備上，經由網絡服務設備處理後再轉發給目標設備，從而為虛擬機的網絡流量監控提供服務。如圖5所示，本發明虛擬網絡服務接入系統的結構示意圖，該系統包括虛擬機埠號獲得模塊41，用於獲得當前虛擬機在虛擬交換機上的埠號；網絡服務設備埠號獲得模塊42，用於獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；數據轉發規則處理模塊43，用於查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。其中，所述虛擬機埠號獲得模塊，具體用於接收所述當前虛擬機的網絡服務接入命令，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號。另外，所述網絡服務設備埠號獲得模塊，還用於啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。如圖6所示，數據轉發規則處理模塊43進一步包含以下單元轉發規則查找單元431，用於查找所述虛擬交換機上的數據轉發規則，複製源埠號或轉發埠號是所述虛擬機所在的埠號的數據轉發規則作為新的數據轉發規則；轉發規則修改單元432，用於將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；將所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬網絡交換機。
轉發規則生成單元433，用於以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；以及，以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網上地址，以當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。進一步地，所述數據轉發規則處理模塊，還用於保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。優選地，所述虛擬交換機可以為支持OpenFlow的交換機。上述虛擬網絡服務接入系統，通過對虛擬交換機數據轉 發規則的處理，使虛擬機的網絡流量被導引到網絡服務設備上，經由網絡服務設備處理後再轉發給目標設備，從而為虛擬機的網絡流量監控提供服務。本領域普通技術人員可以理解上述方法中的全部或部分步驟可通過程序來指令相關硬體完成，上述程序可以存儲於計算機可讀存儲介質中，如只讀存儲器、磁碟或光碟等。可選地，上述實施例的全部或部分步驟也可以使用一個或多個集成電路來實現。相應地，上述實施例中的各模塊/單元可以採用硬體的形式實現，也可以採用軟體功能模塊的形式實現。本發明不限制於任何特定形式的硬體和軟體的結合。以上實施例僅用以說明本發明的技術方案而非限制，僅僅參照較佳實施例對本發明進行了詳細說明。本領域的普通技術人員應當理解，可以對本發明的技術方案進行修改或者等同替換，而不脫離本發明技術方案的精神和範圍，均應涵蓋在本發明的權利要求範圍當中。
權利要求
1.一種虛擬網絡服務接入方法，其特徵在於，該方法包括獲得當前虛擬機在虛擬交換機上的埠號；獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；以及查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。
2.根據權利要求1所述的方法，其特徵在於所述獲得當前虛擬機在虛擬交換機上的埠號，包括接收所述當前虛擬機的網絡服務接入命令，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號；和/或所述獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號之前，所述方法還包括啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。
3.根據權利要求1所述的方法，其特徵在於所述根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，包括複製所述數據轉發規則作為所述新的數據轉發規則；將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；將所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬交換機；和/或所述為所述當前虛擬機生成並寫入新的數據轉發規則，包括以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；以及以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網上地址，以所述當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。
4.根據權利要求1-3任一權利要求所述的方法，其特徵在於所述查找所述虛擬交換機上所述當前虛擬機的數據轉發規則之後，還包括保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。
5.根據權利要求4所述的方法，其特徵在於所述虛擬交換機為支持OpenFlow的交換機。
6.一種虛擬網絡服務接入系統，其特徵在於，該系統包括虛擬機埠號獲得模塊，用於獲得當前虛擬機在虛擬交換機上的埠號；網絡服務設備埠號獲得模塊，用於獲得接入到所述虛擬交換機上的網絡服務設備所在的埠號；數據轉發規則處理模塊，用於查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。
7.根據權利要求6所述的系統，其特徵在於所述虛擬機埠號獲得模塊，具體用於接收所述當前虛擬機的網絡服務接入命令，根據所述網絡服務接入命令提取所述當前虛擬機在所述虛擬交換機上的埠號；和/或所述網絡服務設備埠號獲得模塊，還用於啟動網絡服務設備並將該網絡服務設備接入到所述虛擬交換機上。
8.根據權利要求6所述的系統，其特徵在於，所述數據轉發規則處理模塊包括轉發規則查找單元，用於查找所述虛擬交換機上的數據轉發規則，複製所述虛擬機的數據轉發規則作為新的數據轉發規則；轉發規則修改單元，用於將所述數據轉發規則中的轉發埠號修改成所述網絡服務設備所在的埠號；將所述新的數據轉發規則中的源埠號修改成所述網絡服務設備所在的埠號和將除「轉發」以外的其它操作刪除，寫入所述虛擬網絡交換機；以及轉發規則生成單元，用於以所述當前虛擬機所在的埠為源埠，以所述網絡服務設備所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機；以及，以所述網絡服務設備所在的埠為源埠，以所述當前虛擬機的網卡地址為目的網上地址，以所述當前虛擬機所在的埠為轉發埠，生成一個新的數據轉發規則並寫入所述虛擬交換機。
9.根據權利要求6-8任一權利要求所述的系統，其特徵在於所述數據轉發規則處理模塊，還用於保持所述當前虛擬機的數據轉發規則之外的數據轉發規則不變。
10.根據權利要求9所述的系統，其特徵在於所述虛擬交換機為支持OpenFlow的交換機。
全文摘要
本發明提供了一種虛擬網絡服務設備接入方法及系統，其中，該虛擬網絡服務設備接入方包括獲得當前虛擬機在虛擬交換機上的埠號；獲得接入到虛擬交換機上的網絡服務設備所在的埠號；以及，查找所述虛擬交換機上所述當前虛擬機的數據轉發規則，如果查找到所述當前虛擬機的數據轉發規則，則根據所述網絡服務設備所在的埠號修改所述數據轉發規則並寫入新的數據轉發規則，如果沒有查找到所述當前虛擬機的數據轉發規則，則為所述當前虛擬機生成並寫入新的數據轉發規則。本發明通過對虛擬交換機上的數據轉發規則的處理，使虛擬機的網絡流量被導引到網絡服務設備上，經由網絡服務設備處理後再轉發給目標設備，從而為虛擬機的網絡流量監控提供服務。
文檔編號H04L29/08GK103023704SQ20121056691
公開日2013年4月3日 申請日期2012年12月24日 優先權日2012年12月24日
發明者胡振宇, 李陟 申請人:北京啟明星辰信息技術股份有限公司, 北京啟明星辰信息安全技術有限公司