CN104079507A - 同步ip信息的方法和装置 - Google Patents

Abstract

本发明公开了一种同步虚拟机的IP信息的方法和装置。所述方法包括：获取子网内至少一个虚拟机的IP相关消息；至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及响应于特定虚拟机的迁移，修改特定虚拟机的连接信息。所述装置与上述方法对应。利用本发明实施例的方法和装置，常规地记录子网内各个虚拟机的IP信息和连接信息。一旦某个虚拟机发生迁移，只需要更新和修改迁移虚拟机的连接信息，而不需要重新向DHCP服务器发出请求。由此，避免了由于虚拟机迁移时IP信息不同步而导致的网络中断。

Description

同步IP信息的方法和装置

技术领域

本发明涉及虚拟机的IP信息，更具体而言，涉及为了虚拟机的迁移而同步IP信息的方法和装置。 

背景技术

随着虚拟化技术的发展，虚拟机能够如同一个真实的、独立的计算机一样提供各种应用和服务。由于虚拟机完全通过软件模拟来获得其运行环境，在同一物理平台，例如一个服务器上，可以安装多个虚拟机，并且这多个虚拟机彼此独立而隔绝地并行运行。如同一般主机一样，虚拟机通过动态主机配置协议DHCP（Dynamic Host Configuration Protocol）获取IP地址，实现与外部网络的通信。 

图1示出一个典型的虚拟机网络的结构图。在图1中示出同一子网内的三个物理平台，分别为服务器A，B，C。在每一物理平台的最底层，运行有虚拟机管理程序（hypervisor）；在该管理程序之上，可以根据需要安装一个或多个虚拟机。例如，在图1的示例中，服务器A安装了3个虚拟机，分别为VM1，VM2和VM3。服务器B和服务器C中则分别安装了1个和2个虚拟机。 

在一种典型的网络连接结构中，各个服务器通过端口连接到（以太网）交换机，经由交换机连接到网络。例如，在图1的示例中，服务器A和服务器B分别通过端口1和端口2连接到同一交换机1，而服务器C通过端口3连接到另一交换机2。在虚拟机需要与外部建立网络连接时，它首先通过所连接的交换机向同一子网内的DHCP服务器请求IP地址。响应于虚拟机的请求，DHCP服务器通过多种分配方式，为请求的虚拟机分配IP地址。IP地址的请求和分配 通过DHCP消息来实现。在此过程中，交换机可以执行DHCP侦听机制，侦听虚拟机与DHCP服务器之间的DHCP数据包。通过进行DHCP侦听，交换机可以构建一信任列表，其中记录本交换机所承载的虚拟机的IP信息。 

图2示出一个信任列表的典型例子。在该典型例子中，信任列表包含多个条目，每个条目记录一个虚拟机的IP相关信息。具体地，每一条目记录一个虚拟机的MAC地址、分配得到的IP地址、连接的端口、对应的虚拟局域网VLAN标识，以及IP地址对应的租期。相应地，在图1的例子中，交换机1利用与图2类似的信任列表记录其承载的虚拟机VM1-VM4的IP相关信息，交换机2记录其承载的虚拟机VM5和VM6的IP相关信息。进一步地，基于构建的信任列表，交换机可以执行多种安全相关应用，例如IP源安全防护（IP Source Guide），动态ARP检查等等，旨在仅允许符合信任列表的业务数据进入本交换机。 

另一方面，为了提高数据存储的安全性和持续性，许多数据中心采用跨平台或跨站点的虚拟机来执行并管理。在进行站点维护、功率调整、平衡站点之间的负载等多种情况下，都需要对平台中承载的虚拟机进行迁移，也就是将虚拟机从一个物理系统迁移到一个不同的物理系统。目前，多数提供主机虚拟化的公司都具有其特定的虚拟机迁移工具，并支持虚拟机的动态迁移（live migration）。 

在虚拟机从一个物理平台迁移到另一物理平台过程中，与该虚拟机有关的交换机需要更新其网络配置。对于静态配置，例如，访问控制列表ACL，服务质量QoS，虚拟局域网VLAN等，现有技术已经提出了一些方法，来检测虚拟机的迁移，并立即配置上述静态策略。但是，虚拟机从DHCP服务器所获得的IP地址等信息是虚拟机在运行过程中动态产生的信息。现有技术的迁移工具无法将这样动态产生的信息随着虚拟机的迁移一同进行动态迁移。这将导致虚拟机的网络服务出现中断。例如，当虚拟机VM1从服务器A迁移到服务器B时， 其连接端口从端口1改变为端口2。由于端口发生了改变，VM1的IP相关信息不再符合交换机1所维持的信任列表中的记录，于是，交换机1的安全应用将会丢弃VM1的业务数据。当虚拟机VM1从服务器A迁移到服务器C时，交换机2无法从自己维持的信任列表中找到与VM1对应的IP相关信息，因此，也会拒绝VM1的业务数据。于是，与VM1相关的网络服务将会出现中断。 

为了避免因为虚拟机的迁移而导致的网络服务中断，现有技术提出了添加迁移指示位的方案。该方案基于IEEE802.1Qbg标准下的VSI（虚拟终端接口）发现和配置协议VDP。具体地，在VDP请求中添加一迁移指示位，以示出虚拟机是否发生迁移。由此，在虚拟机迁移时，所迁入的交换机将会接收到具有该迁移指示位的VDP请求。于是，交换机利用虚拟机的MAC地址向DHCP服务器发生租期查询请求，并根据DHCP服务器返回的消息重新创建信任列表。然而，这样的方案具有以下不足。由于交换机需要重新向DHCP服务器发出请求并等待其响应，因此必然出现时间延迟。特别是，在虚拟机在同一交换机的不同端口之间进行迁移时，上述请求和响应造成不必要的等待。此外，上述请求和响应以UDP数据包形式发送，存在丢失的风险。一旦出现数据包丢失，将会严重影响虚拟机的正常网络服务。 

因此，希望能有改进的方案，能够在虚拟机迁移过程中同步虚拟机的IP相关信息，从而消除或减小虚拟机网络服务被中断的时间，提高虚拟机的服务性能。 

发明内容

考虑到现有技术中的不足，本发明提出一种方案，用以在虚拟机发生迁移的情况下同步虚拟机的IP信息。 

根据本发明的一个方面，提供了一种在交换机中同步虚拟机的IP信息的方 法，包括：获取子网内至少一个虚拟机的IP相关消息；至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。 

根据本发明另一方面，提供了一种同步虚拟机的IP信息的装置，包括：消息获取单元，配置为获取子网内至少一个虚拟机的IP相关消息；记录单元，配置为至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及修改单元，配置为，响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。 

利用本发明实施例的方法和装置，常规地记录子网内各个虚拟机的IP信息和连接信息。一旦某个虚拟机发生迁移，只需要更新和修改迁移虚拟机的连接信息，而不需要重新向DHCP服务器发出请求。由此，避免了由于虚拟机迁移时IP信息不同步而导致的网络中断。 

附图说明

通过结合附图对本公开示例性实施方式进行更详细的描述，本公开的上述以及其它目的、特征和优势将变得更加明显，其中，在本公开示例性实施方式中，相同的参考标号通常代表相同部件。 

图1示出一个虚拟机网络的结构图； 

图2示出一个信任列表的典型例子； 

图3示出了适于用来实现本发明实施方式的示例性计算机系统/服务器12的框图； 

图4示出根据一个实施例的方法的流程图； 

图5示出虚拟机为获得IP地址与DHCP服务器进行的交互过程； 

图6A示出根据一个实施例的记录表的例子； 

图6B示出根据另一个实施例的记录表的例子； 

图7示出根据一个实施例响应于虚拟机迁移而修改的记录表； 

图8示出根据另一实施例响应于虚拟机迁移而修改的记录表； 

图9示出根据又一实施例响应于虚拟机迁移而修改的记录表；以及 

图10示出根据本发明一个实施例的同步IP信息的装置的示意框图。 

具体实施方式

下面将参照附图更详细地描述本公开的优选实施方式。虽然附图中显示了本公开的优选实施方式，然而应该理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。 

所属技术领域的技术人员知道，本发明可以实现为系统、方法或计算机程序产品。因此，本公开可以具体实现为以下形式，即：可以是完全的硬件、也可以是完全的软件（包括固件、驻留软件、微代码等），还可以是硬件和软件结合的形式，本文一般称为“电路”、“模块”或“系统”。此外，在一些实施例中，本发明还可以实现为在一个或多个计算机可读介质中的计算机程序产品的形式，该计算机可读介质中包含计算机可读的程序代码。 

可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可 以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器（RAM）、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。 

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。 

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、电线、光缆、RF等等，或者上述的任意合适的组合。 

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如”C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机（例如利用因特网服务提供商来通过因特网连接）。 

下面将参照本发明实施例的方法、装置（系统）和计算机程序产品的流程图和/或框图描述本发明。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机程序指令实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，这些计算机程序指令通过计算机或其它可编程数据处理装置执行，产生了实现流程图和/或框图中的方框中规定的功能/操作的装置。 

也可以把这些计算机程序指令存储在能使得计算机或其它可编程数据处理装置以特定方式工作的计算机可读介质中，这样，存储在计算机可读介质中的指令就产生出一个包括实现流程图和/或框图中的方框中规定的功能/操作的指令装置(instruction means)的制造品（manufacture）。 

也可以把计算机程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机或其它可编程装置上执行的指令能够提供实现流程图和/或框图中的方框中规定的功能/操作的过程。 

图3示出了适于用来实现本发明实施方式的示例性计算机系统/服务器12的框图。图3显示的计算机系统/服务器12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。 

如图3所示，计算机系统/服务器12以通用计算设备的形式表现。计算机系统/服务器12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同系统组件（包括系统存储器28和处理单元16）的总线18。 

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线 结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构（ISA）总线，微通道体系结构（MAC）总线，增强型ISA总线、视频电子标准协会（VESA）局域总线以及外围组件互连（PCI）总线。 

计算机系统/服务器12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被计算机系统/服务器12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。 

系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器（RAM）30和/或高速缓存存储器32。计算机系统/服务器12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质（图3未显示，通常称为“硬盘驱动器”）。尽管图3中未示出，可以提供用于对可移动非易失性磁盘（例如“软盘”）读写的磁盘驱动器，以及对可移动非易失性光盘（例如CD-ROM,DVD-ROM或者其它光介质）读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组（例如至少一个）程序模块，这些程序模块被配置以执行本发明各实施例的功能。 

具有一组（至少一个）程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括——但不限于——操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。 

计算机系统/服务器12也可以与一个或多个外部设备14（例如键盘、指向设备、显示器24等）通信，还可与一个或者多个使得用户能与该计算机系统/服务器12交互的设备通信，和/或与使得该计算机系统/服务器12能与一个或多个 其它计算设备进行通信的任何设备（例如网卡，调制解调器等等）通信。这种通信可以通过输入/输出（I/O）接口22进行。并且，计算机系统/服务器12还可以通过网络适配器20与一个或者多个网络（例如局域网（LAN），广域网（WAN）和/或公共网络，例如因特网）通信。如图所示，网络适配器20通过总线18与计算机系统/服务器12的其它模块通信。应当明白，尽管图中未示出，可以结合计算机系统/服务器12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。 

以下结合附图和具体例子描述本发明的实施方式。在本发明的实施例中，在迁移发生之前，交换机通过侦听同一子网内各个虚拟机的IP相关消息而获得各个虚拟机的IP信息，并记录各个虚拟机的IP信息和连接信息。由于预先获取了各个虚拟机的IP信息，一旦某个虚拟机发生迁移，迁移所涉及的交换机仅需要更新与迁移的虚拟机对应的连接信息即可，而不需要重新向DHCP服务器发出请求。一旦更新了连接信息，虚拟机在迁移到的新端口立即可用，从而避免了网络服务的中断。下面结合附图描述上述发明构思的实现。 

图4示出根据一个实施例的方法的流程图。如图4所示，首先，在步骤402，获取子网内至少一个虚拟机的IP相关消息；在步骤404，至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；在步骤406，响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。下面描述上述各个步骤的具体执行方式。 

具体地，首先，在步骤402，获取子网内至少一个虚拟机的IP相关消息。可以理解，上述IP相关消息是虚拟机与DHCP服务器针对虚拟机的IP地址进行的交互消息。在一个实施例中，上述交互消息包括用以获取IP地址的IP地址确认消息。 

图5示出虚拟机为获得IP地址与DHCP服务器进行的交互过程。如图5所示，在虚拟机想要获得IP地址时，它首先在所处的子网内广播DHCPDISCOVER封包，用以搜索和发现DHCP服务器。一般地，DHCP DISCOVER封包包含发出请求的虚拟机的MAC地址。当DHCP服务器接收到广播的DHCP DISCOVER，它会为请求的虚拟机分配一个IP地址，并将该IP地址以及对应的租约期限包含在DHCP OFFER封包中响应给虚拟机。现有技术中存在多种IP分配方法，例如人工分配、自动分配、动态分配等。典型地，DHCP服务器会从还没有租出去的地址范围内，选择最前面的空置IP，并将该IP地址连同其它TCP/IP设定包含在DHCP OFFER封包中。可以理解，子网内有可能存在多个DHCP服务器，因此，虚拟机有可能接收到来自多个DHCP服务器的多个DHCP OFFER封包。于是，虚拟机可以从多个DHCP OFFER封包中选择接受其中之一。接着，虚拟机向子网内所有DHCP服务器广播DHCPREQUEST封包，其中包含所选择的服务器的IP地址，以此公布所选择的DHCP服务器。相应地，所选择的DHCP服务器在接收到DHCP REQUEST封包之后，会向虚拟机返回IP地址确认消息，即DHCP ACK封包，以确认IP租约的正式生效。 

在一个实施例中，DHCP服务器通过广播的方式发出DHCP ACK消息。此时，子网内所有的交换机都可以直接侦听到针对任意虚拟机的DHCP ACK消息。因此，在步骤402，可以通过侦听来自DHCP服务器的广播来获取子网内任意虚拟机的IP确认消息。该任意虚拟机既可以是连接到本交换机的虚拟机（或称为，与本交换机相关联的虚拟机，或本交换所承载的虚拟机），也可以是连接到其他交换机的虚拟机。 

在一个实施例中，DHCP服务器仅仅将IP确认消息，即DHCP ACK封包，单播给请求IP地址的虚拟机。因此，对于任一交换机来说，仅仅能够从DHCP服务器接收到单播的、针对连接到本交换机的虚拟机的IP确认消息。在这样的 情况下，本发明实施例的方法还包括，将从DHCP服务器单播接收到的IP确认消息在子网内进行广播。相应地，在步骤402，对于连接到本交换机的虚拟机，可以通过侦听来自DHCP服务器的单播消息获取虚拟机的IP确认消息，并将这些IP确认消息在子网内进行广播。对于连接到其他交换机的虚拟机，由于所述其他交换机也对单播消息进行进一步广播，因此在步骤402，可以通过侦听来自所述其他交换机的广播，来获取连接到其他交换机的虚拟机的IP确认消息。 

以图1中的交换机1为例描述上述步骤。如图1所示，交换机1上连接有服务器A和B，服务器A和B分别安装有虚拟机VM1-VM4。因此，虚拟机VM1-VM4是连接到本交换机的虚拟机。子网内还包括其他交换机2，连接到该其他交换机的虚拟机包括VM5-VM6。在DHCP服务器通过广播的方式发出IP确认消息DHCP ACK的情况下，交换机1可以通过侦听来自DHCP服务器的广播来获得子网内任意虚拟机VM1-VM6的IP确认消息。在DHCP服务器通过单播方式发送DHCP ACK封包的情况下，交换机1仅能够从DHCP服务器直接获得连接到本交换机的虚拟机VM1-VM4的IP确认消息。为了使得其他交换机，即交换机2，能够获知VM1-VM4的IP确认消息，交换机1一旦获取针对VM1-VM4单播的IP确认消息，就将这些IP确认消息在子网内广播。类似地，交换机2可以将获取的针对VM5-VM6单播的IP确认消息在子网内广播。因此，对于交换机1来说，可以通过侦听DHCP服务器的单播消息获得连接到本交换机的虚拟机VM1-VM4的IP确认消息，并通过侦听来自其他交换机2的广播来获取连接到其他交换机2的虚拟机VM5-VM6的IP确认消息，由此获取子网内任意虚拟机的IP确认消息。 

为了对单播接收的IP确认消息进行广播，在一个实施例中，在接收到单播的DHCP ACK封包时，交换机将其目标MAC地址修改为FF:FF:FF:FF:FF:FF，将目标IP修改为255.255.255.255，重新计算IP头部校验和，并保持其他字段不变，由此将单播的DHCP ACK封包在子网内进行广播。在一个实施例中，为 了防止数据的丢失，将DHCP ACK封包在子网内进行多次广播。 

尽管在以上的例子中以DHCP ACK封包为例描述了IP确认消息，但是可以理解，在其他实施例中，IP确认消息有可能采用其他格式或其他形式。 

在步骤402获得至少一个虚拟机的IP确认消息的基础上，在步骤404，至少根据所述IP确认消息，记录所述至少一个虚拟机的IP信息和连接信息。可以理解，虚拟机的IP信息包括IP地址。在一个实施例中，上述IP信息还包括IP地址对应的租期。在一个实施例中，连接信息包括连接状态信息和连接参数信息，其中连接状态信息用以表示对应的虚拟机是否与本交换机相连接，连接参数信息示出连接的具体参数。在一个实施例中，连接参数信息包括以下中的一个或多个：虚拟机所连接的端口、VLAN标识、IP租期等。一般地，虚拟机的IP信息，包括IP地址和租期，均可以从所述IP确认消息中直接获得。然而，在有些实施例中，连接信息的记录还需要进一步参考和分析其他信息。例如，上述连接参数信息通常还依赖于交换机对虚拟机连接参数的检测。因此，上述记录步骤404至少依赖于IP相关消息，但不仅限于此。 

在一个实施例中，在步骤404维持一记录表，通过该记录表来记录各个虚拟机的IP信息和连接信息。以下以记录表的形式为例描述步骤404的具体执行。但是，可以理解，也可以通过其他格式来记录和组织各个虚拟机的IP信息和连接信息。 

为了记录各个虚拟机的信息，根据一个实施例，在步骤404，首先根据获得的至少一个虚拟机的IP确认消息判断该至少一个虚拟机与本交换机的连接关系，也就是判断所述至少一个虚拟机是连接到本交换机的虚拟机或是连接到其他交换机的虚拟机。一般地，IP确认消息中会包含对应的虚拟机的MAC地址、IP地址等信息。由于交换机维持有本交换机所承载的所有虚拟机的MAC地址，因此，基于IP确认消息中的MAC地址，交换机可以判断对应的虚拟机 是否连接到本交换机。 

在一个实施例中，在判断各个虚拟机与本交换机的连接关系的基础上，例如在记录表中，用不同的连接状态信息示出不同的连接关系。例如，在一个例子中，将连接到本交换机的虚拟机的连接状态信息记录为第一状态，将连接到其他交换机的虚拟机的连接状态信息记录为第二状态。具体地，第一状态可以表现为“已连接”、“激活”、信任状态等，相应地，第二状态可以表现为“未连接”、“未激活”、备用状态等。在其他例子中，还可以采用其他形式记录各个虚拟机的连接状态。可以理解，连接状态信息为第一状态的条目可以构成与现有技术类似的信任列表，作为执行各种安全应用的基础。在一个实施例中，对于连接状态信息为第一状态的虚拟机，还检测其连接参数，并在连接信息中记录检测的连接参数。 

下面仍然以图1中的交换机1为例，描述维持的记录表的例子。图6A示出根据一个实施例的记录表的例子。在图6A的例子中，记录表包括多个条目，每一条目记录一个虚拟机的IP地址、租期、连接状态信息和连接参数信息。如前所述，经过连接关系的判断，服务器A和B上安装的虚拟机VM1-VM4是连接到本交换机的虚拟机。因此，在图6A的记录表中，将VM1-VM4的连接状态信息记录为“激活”，即第一状态。对于连接到其他交换机的虚拟机VM5-VM6，在记录表中将其连接状态记录为“未激活”，即第二状态。如前所述，连接状态为第一状态，即“激活”的条目可以被视为信任条目，连接状态为第二状态的条目可以被视为备用条目，其中信任条目用于构成与现有技术的类似的信任列表。 

此外，由于虚拟机VM1-VM4是本交换机所承载的虚拟机，因此，交换机可以获知其连接端口、VLAN标识等连接参数，并在对应条目中记录这些连接参数信息。对于连接到其他交换机的虚拟机VM5-VM6，本交换机无法确定其连接端口等信息，因此，可以在记录表的对应条目中将连接端口等参数信息记 录为“未知”（表中示出为“---”）。 

图6B示出根据另一个实施例的记录表的例子。在图6B的例子中，记录表被划分为信任子列表和备用子列表，其中信任子列表中的条目，也称为信任条目，用于记录连接到本交换机的虚拟机（例如VM1-VM4）的IP信息和连接参数信息，而备用子列表中的条目，即备用条目，用于记录连接到其他交换机的虚拟机的信息。此时，图6B所示的信任子列表与现有技术中的信任列表具有相似的作用，作为执行安全应用的基础。尽管在图6B的记录表中没有包含“连接状态”这一项目，但是虚拟机所位于的子列表本身可以反映出虚拟机与本交换机的连接关系，进而反映出虚拟机的连接状态。 

尽管结合图6A和图6B描述了记录表的例子，但是可以理解，上述例子只是用于更加清楚地描述对各个虚拟机的IP信息的记录，而不意图进行任何限制。记录表可以根据需要包含更多或更少的项目，并采用适当的形式或格式。 

以上描述了在步骤402获得虚拟机的IP确认消息的基础上所记录的虚拟机的IP相关信息，例如维持的记录表。可以理解，在一个实施例中，虚拟机与DHCP服务器针对虚拟机的IP地址所交互的IP相关消息还包括用以释放IP地址的IP地址释放消息。因此，步骤402中获取至少一个虚拟机的IP相关消息还可以包括，获取所述至少一个虚拟机中某个虚拟机的IP释放消息。 

具体地，在某个虚拟机因为租约到期等多种原因需要释放其IP地址时，该虚拟机通过其关联的交换机向DHCP服务器发送DHCP RELEASE封包作为IP地址释放消息。一般地，该IP地址释放消息是单播消息。因此，仅仅是与该虚拟机相连接的交换机能够通过侦听而直接获得该IP地址释放消息的封包。为了使得子网内的其他交换机也能够知晓虚拟机对IP地址的释放，本发明实施例的方法还包括，将从虚拟机单播接收到的IP释放消息在子网内进行广播。相应地，对于特定交换机来说，如果请求释放IP地址的虚拟机是连接到本交换机的虚拟 机，可以通过侦听来自该虚拟机的单播消息来获取虚拟机的IP释放消息，并将该IP释放消息在子网内进行广播。对于连接到其他交换机的虚拟机，由于所述其他交换机也对单播消息进行进一步广播，因此在步骤402，可以通过侦听来自所述其他交换机的广播来获取连接到其他交换机的虚拟机的IP释放消息。 

在步骤402获得某个虚拟机的IP释放消息的基础上，在步骤404，记录虚拟机的IP信息包括，删除该某个虚拟机的IP信息。在用记录表记录虚拟机的IP信息的例子中，在步骤404维持该记录表，具体地，将记录表中与该虚拟机对应的条目删除。如果在此之后，该虚拟机重新请求获得IP地址，那么可以根据之前的描述，在步骤402再次获得该虚拟机的IP确认消息，并基于此维持和更新记录表。 

在某些极端情况下，比如某个虚拟机因为被强制关机等多种原因无法正常释放其IP地址时，该虚拟机无法通过其关联的交换机向DHCP服务器发送DHCP RELEASE封包作为IP地址释放消息。在这样的情况下，在该虚拟机的IP租约到期时，交换机也将删除该虚拟机的IP信息。 

由此，通过获取各个虚拟机的IP相关消息，维持和更新了记录表，使得记录表能够反映子网中各个虚拟机的最新IP信息。 

如前所述，各个虚拟机的IP信息的维持基于步骤402所获取的至少一个虚拟机的IP相关消息。上述至少一个虚拟机既可以包括连接到本交换机的虚拟机，还可以包括连接到其他交换机的虚拟机。因此，实际上，各个交换机均可以在记录表中记录子网内所有虚拟机的IP信息。可以理解，步骤402和步骤404是响应于子网中虚拟机的IP地址的变化（请求获得IP地址或释放IP地址）而执行的。由此维持的记录表为虚拟机迁移时的IP信息同步做好了准备，提供了基础。下面描述虚拟机发生迁移时上述记录表的变化。 

如图4中步骤406所示，响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。 

为了执行步骤406，在一个实施例中，本发明的方法还包括，检测虚拟机的迁移，判断发生迁移的特定虚拟机的迁移方向。 

如本领域技术人员所知，为了解决网络边缘虚拟化的问题，开发了网桥虚拟化技术，其中提出了IEEE802.1Qbg标准。在该标准中，开发了VSI（虚拟终端接口，virtual station interface）发现和配置协议VDP，用于发现和配置VSI。通过利用VDP协议，在虚拟机发生迁移时，迁移所涉及的交换机能够快速发现虚拟机的VSI，进而检测到虚拟机的迁移。除了利用VDP协议进行迁移检测之外，还可以利用现有技术中的或未来提出的其他方案来检测虚拟机的迁移。例如，在一个例子中，虚拟机迁移工具可以向虚拟机迁移前后涉及的交换机发出通知。通过接收这样的通知，迁移前后的交换机可以分别检测到虚拟机的迁出和迁入。 

在检测虚拟机的迁移的基础上或者与之同时地，可以判断发生迁移的特定虚拟机的迁移方向。在一个实施例中，在检测到特定虚拟机的迁入的基础上，可以判断该迁入的虚拟机是否来自同一交换机。在一个例子中，交换机仍然利用前述的VDP协议判断迁移过来的特定虚拟机是否来自同一交换机。具体地，VDP协议对于虚拟机的VSI进行标识和关联，其中对VSI的标识信息包括对应的VLAN id，MAC地址，VSI类型等。通过这些信息，交换机能够识别出迁移过来的虚拟机是否来自同一交换机。此外，还可以利用现有技术中的其他方案执行该判断。 

基于特定虚拟机的不同迁移方向，在步骤406中对虚拟机的信息进行不同的修改。 

在一个实施例中，所述特定虚拟机从其他交换机迁入。此时，本交换机已经记录有该特定虚拟机的IP信息。不过，由于该特定虚拟机在迁移之前并没有连接到本交换机，因此，初始地，在记录表中将该特定虚拟机的连接状态记录为第二状态，例如未激活、未连接、备用状态等。响应于该特定虚拟机的迁入，在步骤406，将该特定虚拟机的连接状态信息从第二状态修改为第一状态，从而将该特定虚拟机包含在信任条目中。并且，一旦该特定虚拟机迁入到本交换机，本交换机就可以确定出该特定虚拟机的连接参数，例如连接端口、VLAN标识等。因此，在步骤406，在记录表中进一步记录所确定的该特定虚拟机的连接端口、VLAN标识等连接参数信息。 

下面仍然以交换机1为例描述上述过程。图7示出根据一个实施例响应于虚拟机迁移而修改的记录表。在图7中，假定虚拟机VM5从服务器C迁移到服务器B。对于交换机1来说，这相当于VM5从其他交换机迁入到本交换机。发生迁移之前的记录表如图6A所示，其中在备用条目中记录有VM5的IP信息。更具体地，VM5的连接状态被记录为“未激活”，并且连接参数记录为“未知”。响应于VM5的迁入，交换机1对VM5的条目进行修改，将其连接状态修改为第一状态，即“激活”，从而将VM5包含在信任条目中。并且，一旦确定出VM5的连接参数，在VM5的对应条目中分别记录所确定的连接参数，包括连接端口、VLAN标识等。由此，VM5在交换机1可以立即开始工作，而不需要重新向DHCP服务器发出请求。 

在另一个实施例中，上述特定虚拟机从本交换机迁出到其他交换机。可以理解，由于该特定虚拟机在迁移之前连接到本交换机，因此，初始地，在记录表中将该特定虚拟机的连接状态记录为第一状态。响应于该特定虚拟机的迁出，在步骤406，将该特定虚拟机的连接状态从第一状态修改为第二状态，从而将该特定虚拟机从信任条目移动到备用条目。此外，一旦该特定虚拟机从本交换机迁出，本交换机就无法获知某些具体的连接参数，例如连接端口、VLAN标 识等。因此，在步骤406，可选地，在备用条目中将该特定虚拟机的至少一部分连接参数修改为未知。可以理解，由于安全应用仅仅基于由信任条目构成的信任列表而执行，因此，备用条目中连接参数的准确性并不影响安全应用的执行。因此，在另一实施例中，在步骤406，只是修改迁出的虚拟机的连接状态信息，而不修改其连接参数。 

图8示出根据另一实施例响应于虚拟机迁移而修改的记录表。在图8中，假定虚拟机VM4从服务器B迁移到服务器C。对于交换机1来说，这相当于VM4从本交换机迁移出去。发生迁移之前的记录表如图6A所示，其中在信任条目中记录有VM4的IP地址、租期、连接状态信息和连接参数信息。更具体地，VM4的连接状态被记录为“激活”，并且记录了具体的各个连接参数。响应于VM4的迁出，交换机1对VM4的条目进行修改，将其连接状态修改为第二状态，即“未激活”，从而将VM4移动到备用条目中。并且，在图8的例子中，交换机1将由于VM4的迁出而无法再确定的部分连接参数，例如连接端口、VLAN等，修改为“未知”。 

在又一个实施例中，上述特定虚拟机在本交换机之内发生迁移，也就是，从本交换机的第一端口迁入到第二端口。在这样的情况下，在迁移前后，该特定虚拟机均与本交换机相连接，因此，不需要修改其连接状态信息。相应地，该特定虚拟机在迁移前后均通过记录表的信任条目来记录。然而，由于发生迁移，该特定虚拟机的连接参数，例如连接端口，发生改变。因此，在步骤406，在记录表中修改该特定虚拟机的至少一部分连接参数。具体地，在一个例子中，将该特定虚拟机的连接参数中的连接端口从第一端口修改为第二端口。 

图9示出根据又一实施例响应于虚拟机迁移而修改的记录表。在图9中，假定虚拟机VM1从服务器A迁移到服务器B。对于交换机1来说，这相当于VM1在本交换机之内进行迁移。发生迁移之前的记录表如图6A所示，其中在信任条目中记录有VM1的IP信息和连接参数。更具体地，VM1的连接状态被 记录为“激活”，并且连接参数中的连接端口被记录为端口1（对应于服务器A）。在VM1发生迁移之后，它仍然连接到本交换机1，因此，VM1所对应的连接状态信息不需要修改。不过，交换机1会继续检测其他连接参数是否发生变化。通过检测可以确定，通过迁移，VM1的连接端口发生了变化。因此，交换机1在记录表中将VM1的连接端口修改为端口2（对应于服务器B）。可以理解，如果其他连接参数由于虚拟机的迁移而发生了变化，也需要修改其他连接参数。 

通过以上的实施例可以看到，由于交换机常规地记录子网内各个虚拟机的IP信息和连接信息，在虚拟机发生迁移时，交换机不需要重新向DHCP服务器发出请求，只需要更新和修改迁移虚拟机的连接信息就可以使得虚拟机立即正常工作。由此，避免了由于虚拟机迁移时IP信息不同步而导致的网络中断。 

基于同一发明构思，本发明的实施例还提供了一种在交换机中同步虚拟机的IP信息的装置。图10示出根据本发明一个实施例的同步IP信息的装置的示意框图。在图10中，该装置总体表示为100。如图所示，用于同步虚拟机的IP信息的装置100包括：消息获取单元102，配置为获取子网内至少一个虚拟机的IP相关消息；记录单元104，配置为至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及修改单元106，配置为，响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。 

根据一个实施例，上述消息获取单元102配置为，通过侦听来自DHCP服务器的广播获取所述至少一个虚拟机的IP确认消息。 

根据一个实施例，上述消息获取单元102配置为，通过侦听来自DHCP服务器的单播消息获取所述至少一个虚拟机中连接到本交换机的虚拟机的IP确认消息，并将所述连接到本交换机的虚拟机的IP确认消息在子网内进行广播。 

根据一个实施例，上述消息获取单元102配置为，通过侦听来自子网内其 他交换机的广播，获取所述至少一个虚拟机中连接到所述其他交换机的虚拟机的IP确认消息。 

在一个实施例中，其中所述连接信息包括连接状态信息；所述记录单元104配置为，将所述至少一个虚拟机中连接到本交换机的虚拟机的连接状态信息记录为第一状态，将所述至少一个虚拟机中连接到其他交换机的虚拟机的连接状态信息记录为第二状态。 

根据一个实施例，上述消息获取单元102还配置为，获取所述至少一个虚拟机中某个虚拟机的IP释放消息；相应地，所述记录单元104配置为，删除该某个虚拟机的IP地址。 

在一个实施例中，所述修改单元106配置为，响应于特定虚拟机从其他交换机迁入，将该特定虚拟机的连接状态信息从第二状态修改为第一状态，并记录所确定的该特定虚拟机的连接参数信息。 

在一个实施例中，所述修改单元106配置为，响应于特定虚拟机从本交换机迁出，将该特定虚拟机的连接状态信息从第一状态修改为第二状态。 

在一个实施例中，所述修改单元106配置为，响应于特定虚拟机在本交换机之内发生迁移，修改所述特定虚拟机的连接信息中的连接参数信息。 

以上同步虚拟机的IP信息的装置100的具体执行方式可以参照之前结合具体例子对方法的描述，在此不再赘述。 

在一个实施例中，上述装置100包含在交换机中。在另一实施例中，上述装置100作为独立的工具，与交换机通信。 

利用本发明实施例的方法和装置，可以常规地记录子网内各个虚拟机的IP 地址和连接信息。一旦虚拟机发生迁移，只需要更新和修改迁移虚拟机的连接信息，而不需要重新向DHCP服务器发出请求。由此，避免了由于虚拟机迁移时IP信息不同步而导致的网络中断。 

可以理解，附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。 

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。 

Claims (18)

1.一种在交换机中同步虚拟机的IP信息的方法，包括：

获取子网内至少一个虚拟机的IP相关消息；

至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及

响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。

2.根据权利要求1的方法，其中获取子网内至少一个虚拟机的IP相关消息包括：通过侦听来自DHCP服务器的广播获取所述至少一个虚拟机的IP确认消息。

3.根据权利要求1的方法，其中获取子网内至少一个虚拟机的IP相关消息包括：通过侦听来自DHCP服务器的单播消息获取所述至少一个虚拟机中连接到所述交换机的虚拟机的IP确认消息，并将所述IP确认消息在子网内进行广播。

4.根据权利要求1的方法，其中获取子网内至少一个虚拟机的IP相关消息包括：通过侦听来自子网内其他交换机的广播，获取所述至少一个虚拟机中连接到所述其他交换机的虚拟机的IP确认消息。

5.根据权利要求1-4中任一项的方法，其中所述连接信息包括连接状态信息，所述记录至少一个虚拟机的IP信息和连接信息包括，将所述至少一个虚拟机中连接到所述交换机的虚拟机的连接状态信息记录为第一状态，将所述至少一个虚拟机中连接到其他交换机的虚拟机的连接状态信息记录为第二状态。

6.根据权利要求1的方法，其中获取子网内至少一个虚拟机的IP相关消息包括，获取所述至少一个虚拟机中某个虚拟机的IP释放消息；所述记录至少一个虚拟机的IP信息和连接信息包括，删除该某个虚拟机的IP信息。

7.根据权利要求5的方法，其中所述特定虚拟机从其他交换机迁入，所述修改特定虚拟机的连接信息包括，将该特定虚拟机的连接状态信息从第二状态修改为第一状态，并记录所确定的该特定虚拟机的连接参数信息。

8.根据权利要求5的方法，其中所述特定虚拟机从所述交换机迁出，所述修改特定虚拟机的连接信息包括，将该特定虚拟机的连接状态信息从第一状态修改为第二状态。

9.根据权利要求1的方法，其中特定虚拟机在所述交换机之内发生迁移，所述修改特定虚拟机的连接信息包括，修改所述特定虚拟机的连接参数。

10.一种在交换机中同步虚拟机的IP信息的装置，包括：

消息获取单元，配置为获取子网内至少一个虚拟机的IP相关消息；

记录单元，配置为至少根据所述IP相关消息，记录所述至少一个虚拟机的IP信息和连接信息；以及

修改单元，配置为，响应于所述至少一个虚拟机中特定虚拟机的迁移，修改所述特定虚拟机的连接信息。

11.根据权利要求10的装置，其中所述消息获取单元配置为：通过侦听来自DHCP服务器的广播获取所述至少一个虚拟机的IP确认消息。

12.根据权利要求10的装置，其中所述消息获取单元配置为：通过侦听来自DHCP服务器的单播消息获取所述至少一个虚拟机中连接到所述交换机的虚拟机的IP确认消息，并将所述IP确认消息在子网内进行广播。

13.根据权利要求10的装置，其中所述消息获取单元配置为：通过侦听来自子网内其他交换机的广播，获取所述至少一个虚拟机中连接到所述其他交换机的虚拟机的IP确认消息。

14.根据权利要求10-13中任一项的装置，其中所述连接信息包括连接状态信息，所述记录单元配置为，将所述至少一个虚拟机中连接到所述交换机的虚拟机的连接状态信息记录为第一状态，将所述至少一个虚拟机中连接到其他交换机的虚拟机的连接状态信息记录为第二状态。

15.根据权利要求10的装置，其中所述消息获取单元配置为，获取所述至少一个虚拟机中某个虚拟机的IP释放消息；所述记录单元配置为，删除该某个虚拟机的IP信息。

16.根据权利要求14的装置，其中所述修改单元配置为，响应于所述特定虚拟机从其他交换机迁入，将该特定虚拟机的连接状态信息从第二状态修改为第一状态，并记录所确定的该特定虚拟机的连接参数信息。

17.根据权利要求14的装置，其中所述修改单元配置为，响应于所述特定虚拟机从所述交换机迁出，将该特定虚拟机的连接状态信息从第一状态修改为第二状态。

18.根据权利要求10的装置，其中所述修改单元配置为，响应于特定虚拟机在所述交换机之内发生迁移，修改所述特定虚拟机的连接参数。