雲計算網絡下的虛擬機管理方法和雲計算網絡管理裝置的製作方法
2023-07-08 13:04:56
專利名稱：雲計算網絡下的虛擬機管理方法和雲計算網絡管理裝置的製作方法
技術領域：
本發明涉及雲計算技術領域，更具體地，涉及一種雲計算網絡下的虛擬機管理方法以及雲計算網絡管理裝置。
背景技術：
「雲計算」在短短幾年的時間裡蔓延至與人們生活息息相關的每個角落。虛擬化技術具有安全、易於管理的優勢，同時為用戶提供靈活性和多樣性等特點，在規模龐大的雲計算環境中，不同組織的虛擬機可能分布在同一臺的物理主機上。在用戶登錄到某個虛擬機上時，通過該虛擬機，可以方便地訪問任何當前物理主機上的其他虛擬機，即便所訪問的虛擬機不屬於當前用戶。這會對用戶數據的安全性亦產生較大威脅。現有技術下，由於虛擬機之間並沒有做任何隔離，導致任何虛擬機都可以相互連接並訪問同一網絡中的其他虛擬機，對於不同用戶來說，這樣的做法存在嚴重的安全隱
串
■/Q1、O802.1q協議作為802.1d連網標準修正的一部分，使區域網交換在向同時支持聲音、圖像和數據方面又邁進了一步。802.1q協議定義了基於接口的虛擬區域網(VirtualLocal Area Network, VLAN)模型。根據IEEE802.1q協議定義，VLAN在數據幀中通過VID欄位息來標識，VID是一個12位的二進位欄位信息，也就是最多可以標識2的12次方(4096)個VLAN。其中O和4095是協議保留不啟用，因此可劃分的VLAN ID在I 4094之間。 在雲計算環境中，直接使用每一個VLAN資源對應用戶，將使環境中用戶總數受到限制。可堆疊虛擬區域網(SVLAN)技術為一種初始的解決方案，通過在以太幀中堆疊兩個802.1Q包頭，使VLAN的數目最多可達4096x4096個。但隨著用戶數量的增加，SVLAN模型也會帶來可擴展性的問題。因為有些用戶可能希望在分支機構間進行數據傳輸時可以攜帶自己的VLAN ID，這就使採用SVLAN技術的MSP面臨以下兩個問題:第一，第一名客戶的VLAN標識可能與其他客戶衝突；第二，服務提供商將受到客戶可使用標識數量的嚴重限制。如果允許用戶按他們自己的方式使用各自的VLAN ID空間，那麼核心網絡仍存在4096個VLAN的限制。針對相關技術中的問題，目前尚未提出有效的解決方案。
發明內容
本發明要解決的技術問題在於提供一種雲計算環境中管理虛擬區域網中的虛擬機的方法以及雲計算網絡管理裝置。根據本發明的一個方面，提供了一種雲計算網絡下的虛擬機管理方法，包括:檢測當前工作模式為開VLAN模式還是關VLAN模式；檢測到為開VLAN模式時，根據接收到IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址；在創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及，在創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。在可選實施例中，所述方法還包括:所述當前工作模式為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。在可選實施例中，所述方法還包括:檢測到當前工作模式為關VLAN模式時，根據預設置的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址與一指定虛擬區域網的標識符VID綁定。在可選實施例中，所述方法還包括:檢測到當前工作模式為開VLAN模式時，根據網絡規劃將IP位址與所述指定虛擬區域網的標識符VID綁定的虛擬機重新劃分到不同的虛擬區域網，並將這些虛擬機的IP位址分別與不同的虛擬區域網的標識符VID綁定。在可選實施例中，所述方法還包括:當所述第一虛擬區域網內的虛擬機與所述第二虛擬區域網內的虛擬機進行通信時，作為源端的所述第一虛擬區域網內的虛擬機或所述第二虛擬區域網內的虛擬機傳送數據給網關，由所述網關確定是否將所述數據傳送給作為目的端的所述第二虛擬區域網內的虛擬機或所述第一虛擬區域網內的虛擬機。根據本發明的另一方面，還提供了一種雲計算網絡管理裝置，包括:檢測模塊，用於檢測雲計算系統的當前工作模式為開VLAN模式還是關VLAN模式；虛擬區域網管理模塊，用於在所述檢測模塊檢測到當前工作模式為開VLAN模式時，根據接收到的IP池資源請求消息將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址；IP位址分配模塊，用於在通過雲計算系統創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及，在通過雲計算系統創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。在可選實施例中，所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為關VLAN模式時，根據預確定的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址與一指定虛擬區域網的標識符VID綁定。在可選實施例中，所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。在可選實施例中，所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為開VLAN模式時，根據網絡規劃將IP位址與所述指定虛擬區域網的標識符VID綁定的虛擬機重新劃分到不同的虛擬區域網，並將這些虛擬機的IP位址分別與所述不同的虛擬區域網的標識符綁定。
根據本發明的又一方面，還提供了一種雲計算網絡管理系統，所述雲計算網絡管理系統包括雲計算網絡管理裝置，其包括:檢測模塊，用於檢測雲計算系統的當前工作模式為開VLAN模式還是關VLAN模式；虛擬區域網管理模塊，用於在所述檢測模塊檢測到當前工作模式為開VLAN模式時，根據接收到的IP池資源請求消息將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址；IP位址分配模塊，用於在通過雲計算系統創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及，在通過雲計算系統創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。其中，所述雲計算網絡管理裝置可以為單獨的物理實體或者配置在至少一個雲計算系統中。本發明實施例通過將IP資源與VLAN資源進行捆綁管理的方法，間接實現了將用戶虛擬機與VLAN綁定，從而達到了為用戶虛擬機進行分組的效果。此外，通過採用本發明的虛擬機管理方法以及雲計算網絡管理裝置，可以增加VLAN資源使用的靈活性，允許多個組織用戶使用相同的VLANID，從而增加VLAN資源的的有效利用率，進而可以降低因VLAN資源不充足帶來的種種不便。
圖1是根據本發明實施例的雲計算網絡下的虛擬機管理方法的流程示意圖。圖2是根據本發明另一實施例的雲計算網絡管理裝置的結構示意圖。
具體實施例方式下面結合附圖對本發明實施例作進一步的詳細說明。在大規模的雲計算環境中，需要為不同的用戶分配不同的安全以達到虛擬機隔離通信的目的。基於性能和安全方面的考慮，可能會對用戶虛擬機的安全管理有如下幾個明確的需求:同一組織的虛擬機可以分布在不同性能的物理主機上；不同組織的虛擬機對其他組織是不可見的；不同組織的虛擬機無法訪問其他組織的虛擬機。這是由於如果將雲計算系統中的一個用戶看作一個公司，不同的用戶代表不同的公司，通常情況下，一個公司中的內容信息是不希望被其他公司隨意看到的，因此需要對不同用戶的虛擬機進行通信隔離。圖1是根據本發明實施例的一種雲計算網絡下的虛擬機管理方法的流程示意圖。如圖1所示，該管理方法包括:S101，檢測當前工作模式為開VLAN模式還是關VLAN模式。檢測為開VLAN模式時，執行步驟102。檢測為關VLAN模式時，執行步驟105。S102，根據接收到的IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定。在本發明實施例中，每個IP池中可包括多個虛擬機可用的IP位址。
S103，在創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機。S104，在創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。S105，根據預設置的網絡規劃將各IP池中的所有IP位址與一指定虛擬區域網的標識符VID綁定。在本發明可選實施例中，所述當前工作模式為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。在一實施例中，IP池中的IP位址與虛擬區域網標識符綁定可以通過記錄IP位址與VLAN VID的關聯關係來實現。這樣等於間接將用戶虛擬機與VLAN資源綁定，從而達到用戶虛擬機分組的效果。在本發明可選實施例中，所述方法還可以包括:對於各虛擬區域網下已分配IP位址的虛擬機，在檢測到當前工作模式為關VLAN模式時，根據預設置的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址重新與一指定虛擬區域網的標識符VID綁定。以下描述根據本發明實施例的雲計算網絡下的虛擬機管理方法的一個例子。在每個計算機上安裝雲計算作業系統時，可以依據用戶對數據安全的需求，配置「開VLAN」模式或「關VLAN」模式。「開VLAN模式」下，可通過為計算機系統上的虛擬機配置VLAN ID來保護用戶數據，例如，第一計算機系統上的一個或多個虛擬機配置在第一虛擬區域網VLANl中，則為第一計算機系統上的一個多個虛擬機綁定第一虛擬區域網VLANl的標識符VIDl ;第二計算機系統上的一個或多個虛擬機配置在第二虛擬區域網VLAN2中，則為第二計算機系統上的一個多個虛擬機綁定第二虛擬區域網VLAN2的標識符VID2。在一可選實施例中，可以是在「開VLAN模式」下，當用戶申請IP池資源時，根據網絡規劃為該IP池指定一個具體的虛擬區域網，如VLAN1。例如，可以是將第一 IP池內的所有IP位址與VLANl的標識符VIDl綁定。然後，當某一計算機系統創建虛擬機時，可以為創建的虛擬機分配該IP池內的IP位址,則所創建的虛擬機落在VLANl內。此外，當另一計算機系統創建虛擬機時,可以為創建的虛擬機分配另一 IP池內的IP位址,其中該另一 IP池內的所有IP位址與VLAN2的標識符VID2綁定，則該創建的虛擬機落在VLAN2內。這樣，對應相同VID即屬於同一虛擬區域網內的虛擬機彼此之間可以實現二層互通；而不同虛擬區域網內的虛擬機彼此之間無法實現二層互通，從而實現了虛擬機的分組隔離。通過這種方式可以實現用戶數據隔離，以保護用戶數據安全。「關VLAN」模式下，當前作業系統所管理的所有虛擬機(例如VLANl和VLAN2中的虛擬機)都配置在同一虛擬區域網(例如PVLAN)內，使得所有虛擬機之間可以自由通信。例如，在一實施例中，根據預設置的管理規則可以確定管理的雲計算機系統或雲計算系統上的虛擬機，然後，使不同雲計算系統上的虛擬機對應同一 VLAN ID，則整個管理系統內的所有虛擬機之間可以進行互相通信。上面僅示例說明了一個IP池對應一個虛擬區域網的例子，可以理解的是，根據設計需要多個IP池對應一個虛擬區域網也是可以的。此外，上面示例說明了創建新的虛擬機時為其分配IP池中的IP位址的實施方式。然而，對於雲計算系統上已創建並分配IP位址的虛擬機,根據網絡規劃也可以是為IP位址綁定新的虛擬機的標識符VID，即為虛擬機重新指定所屬的虛擬區域網。在一可選實施例中，在關VLAN模式時，管理系統中的所有虛擬機的IP位址與系統專門指定的虛擬區域網的標識符綁定。當工作模式從關VLAN模式變為開VLAN模式後，可以根據網絡規劃將這些虛擬機重新劃分到不同的虛擬區域網。例如將這些虛擬機中的第一部分虛擬機的IP位址與第三虛擬區域網VLAN3的標識符VID3綁定，將第二部分虛擬機的IP位址與第四虛擬區域網VLAN4的標識符合VID4綁定。這樣可以增加管理系統的靈活性。在本發明一可選實施例中，「開VLAN模式」下，不同虛擬區域網內的虛擬機之間不可以進行二層通信，然而它們可以通過上層的網關經審批後進行三層通信。例如，當第一虛擬區域網內的虛擬機與第二虛擬區域網內的虛擬機進行通信時，作為源端的第一虛擬區域網內的虛擬機或第二虛擬區域網內的虛擬機傳送數據給網關，由網關確定是否將數據傳送給作為目的端的第二虛擬區域網內的虛擬機或第一虛擬區域網內的虛擬機。圖2是根據本發明另一實施例的雲計算網絡管理裝置的結構示意圖。如圖2所示，雲計算網絡管理裝置包括檢測模塊20、虛擬區域網管理模塊40和IP位址分配模塊60。檢測模塊20，用於檢測雲計算系統的當前工作模式為開VLAN模式還是關VLAN模式。虛擬區域網管理模塊40，用於在檢測模塊10檢測到當前工作模式為開VLAN模式時，根據接收到的IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定。其中，所述IP池中包括多個虛擬機可用的IP位址。在可選實施例中，虛擬區域網管理模塊40，還用於在檢測模塊10檢測到當前工作模式為關VLAN模式時，根據預設置的網絡規劃將各IP池中的所有IP位址與一指定虛擬區域網的標識符VID綁定。IP位址分配模塊60，用於在通過雲計算系統創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及，在通過雲計算系統創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。在可選實施例中，虛擬區域網管理模塊40，還用於檢測模塊20檢測到當前工作模塊為關VLAN模式時，根據預確定的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址與一指定虛擬區域網的標識符VID綁定。在可選實施例中，虛擬區域網管理模塊40，還用於檢測模塊20檢測到當前工作模塊為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。在可選實施例中，虛擬區域網管理模塊40，還用於檢測模塊20檢測到當前工作模塊為開VLAN模式時，根據網絡規劃將IP位址與所述指定虛擬區域網的標識符VID綁定的虛擬機重新劃分到不同的虛擬區域網，並將這些虛擬機的IP位址分別與所述不同的虛擬區域網的標識符綁定。相應地，本發明還提供了一種雲計算網絡管理系統，所述雲計算網絡管理系統包括本發明實施例的雲計算網絡管理裝置以及多個雲計算系統。其中，每個雲計算系統上創建有一個或多個虛擬機。雲計算網絡管理裝置用於對這些雲計算系統上的虛擬機進行管理。在一實施例中，雲計算網絡管理裝置可以為一個單獨的物理設備。在另一實施例中，雲計算管理裝置可以是配置在多個雲計算系統中的一個中。在又一實施例中，雲計算管理裝置可以是配置在每個雲計算系統中。通過本發明實施例提出的虛擬機管理方法和雲計算網絡管理裝置，可以有效地對有限的VLAN資源進行分類靈活的使用，對不存放機密文件的虛擬機可設置其不單獨佔用限定的VLAN資源，而使用公用的VLAN資源，進而用戶可無需為不必要的安全組設置付費，符合雲計算環境「按需申請，按使用付費」的理念。此外，通過設置雲計算系統的「關VLAN」模式，可對較高數量級的虛擬機所對應的VLAN資源進行統一管理，避免用戶誤操作產生的付費和VLAN資源浪費，同時極大地提高有限的VLAN資源的利用效率。在此提供的算法和實現不限於任何特定的計算機、虛擬系統或者其它設備。根據上面的描述，構造這類系統所要求的結構是顯而易見的。此外，本發明也不針對任何特定程式語言。應當明白，可以利用各種程式語言實現在此描述的本發明的內容，並且上面對特定語言所做的描述是為了披露本發明的最佳實施方式。本領域那些技術人員可以理解，可以對實施例中的設備中的模塊進行自適應性地改變並且把它們設置在與該實施例不同的一個或多個設備中。可以把實施例中的模塊或單元或組件組合成一個模塊或單元或部件，以及此外可以把它們分成多個子模塊或子單元或子部件。除了這樣的特徵和/或過程或者單元中的至少一些是相互排斥之外，可以採用任何組合對本說明書(包括伴隨的權利要求、摘要和附圖)中公開的所有特徵以及如此公開的任何方法或者設備的所有過程或單元進行組合。除非另外明確陳述，本說明書(包括伴隨的權利要求、摘要和附圖)中公開的每個特徵可以由提供相同、等同或相似目的的替代特徵來代替。此外，本申請的說明書中雖然描述了本發明實施例的大量具體細節，然而，能夠理解，本發明實施例並不是必須在所有的具體細節情況下才能實施。在一些實例中，並未詳細示出公知的方法、結構和技術，以便於清楚地理解本發明的發明主旨。以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精神和原則之內，所作的任何修改、等同替換、改進等，均應包含在本發明的保護範圍之內。
權利要求
1.一種雲計算網絡下的虛擬機管理方法，包括: 檢測當前工作模式為開VLAN模式還是關VLAN模式； 檢測到為開VLAN模式時，根據接收到IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址； 在創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及， 在創建屬於第二虛擬區域網的 虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。
2.根據權利要求1所述的虛擬機管理方法，其特徵在於，所述方法還包括: 所述當前工作模式為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。
3.根據權利要求1所述的虛擬機管理方法，其特徵在於，所述方法還包括: 檢測到當前工作模式為關VLAN模式時，根據預設置的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址與一指定虛擬區域網的標識符VID綁定。
4.根據權利要求3所述的虛擬機管理方法，其特徵在於，所述方法還包括: 檢測到當前工作模式為開VLAN模式時，根據網絡規劃將IP位址與所述指定虛擬區域網的標識符VID綁定的虛擬機重新劃分到不同的虛擬區域網，並將這些虛擬機的IP位址分別與不同的虛擬區域網的標識符VID綁定。
5.根據權利要求1所述的虛擬機管理方法，其特徵在於，所述方法還包括: 當所述第一虛擬區域網內的虛擬機與所述第二虛擬區域網內的虛擬機進行通信時，作為源端的所述第一虛擬區域網內的虛擬機或所述第二虛擬區域網內的虛擬機傳送數據給網關，由所述網關確定是否將所述數據傳送給作為目的端的所述第二虛擬區域網內的虛擬機或所述第一虛擬區域網內的虛擬機。
6.一種雲計算網絡管理裝置，包括: 檢測模塊，用於檢測雲計算系統的當前工作模式為開VLAN模式還是關VLAN模式； 虛擬區域網管理模塊，用於在所述檢測模塊檢測到當前工作模式為開VLAN模式時，根據接收到的IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址； IP位址分配模塊，用於在通過雲計算系統創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及， 在通過雲計算系統創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。
7.根據權利要求6所述的雲計算網絡管理裝置，其特徵在於: 所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為關VLAN模式時，根據預確定的管理規則將管理範圍內的各虛擬區域網下的所有虛擬機的IP位址與一指定虛擬區域網的標識符VID綁定。
8.根據權利要求6所述的雲計算網絡管理裝置，其特徵在於: 所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為開VLAN模式時，將多個IP池中的IP位址與同一虛擬區域網的標識符綁定，以便具有該多個IP池內的IP位址的虛擬機可相互通信。
9.根據權利要求7所述的雲計算網絡管理裝置，其特徵在於: 所述虛擬區域網管理模塊，還用於所述檢測模塊檢測到當前工作模塊為開VLAN模式時，根據網絡規劃將IP位址與所述指定虛擬區域網的標識符VID綁定的虛擬機重新劃分到不同的虛擬區域網，並將這些虛擬機的IP位址分別與所述不同的虛擬區域網的標識符綁定。
10.一種雲計算網絡管理系統，其特徵在於，所述雲計算網絡管理系統包括權利要求6-9中任一項的雲計算網絡管理裝置，所述雲計算網絡管理裝置為單獨的物理實體或者配置在至少一個雲計算系 統中。
全文摘要
本發明公開了一種雲計算網絡下的虛擬機管理方法，包括檢測當前工作模式為開VLAN模式還是關VLAN模式；檢測到為開VLAN模式時，根據接收到IP池資源請求消息以及預設置的網絡規劃將IP池中的所有IP位址與該IP池所屬的虛擬區域網的標識符VID綁定，其中，所述IP池中包括多個虛擬機可用的IP位址；在創建屬於第一虛擬區域網的虛擬機時，分配與所述第一虛擬區域網對應的IP池中的IP位址給所述虛擬機；以及，在創建屬於第二虛擬區域網的虛擬機時，分配與所述第二虛擬區域網對應的IP池池中的IP位址給所述虛擬機。本發明還公開了一種雲計算網絡管理裝置。採用本發明，可以提供用戶數據的安全性。
文檔編號H04L12/24GK103138990SQ201310077720
公開日2013年6月5日 申請日期2013年3月12日 優先權日2013年3月12日
發明者王慧謙, 孫國忠, 樊興軍, 李守超 申請人:無錫城市雲計算中心有限公司