CN104486192B - 一种虚拟网络隔离方法 - Google Patents

Abstract

本发明涉及云计算技术领域，特别是一种虚拟网络隔离方法。本发明先在云平台的所有宿主机上安装和启动虚拟交换机模块，建立隧道网桥和内网网桥并通过接口连接；然后在宿主机之间两两建立隧道连接，指定基本Flow规则控制数据流向；接着选取网络节点创建虚拟网络空间并提供网络服务，选取计算节点创建虚拟机并接入各自的虚拟网络；进一步分别在网络节点和计算节点上面定义Flow规则，进行隧道ID与VLAN标签之间的转换、实现虚拟网络正常通信；最后根据需要可以灵活扩展网络节点上的虚拟网络和新增宿主机到云平台。本发明，解决了云平台中虚拟网络隔离所存在的通用性不强、网络连接不可控等问题；可以用于虚拟网络的隔离。

Description

一种虚拟网络隔离方法

技术领域

本发明涉及云计算技术领域，特别是一种虚拟网络隔离方法。

背景技术

在虚拟化平台中，尤其是在公有云平台中，考虑到安全问题以及用户数据的隐私问题，一般都需要对虚拟网络进行隔离，一般对虚拟网络的进行隔离都需要物理网络的支持，需要三层交换机提前划分VLAN，并添加相应的路由规则。实现方式如下：

1、为宿主机的网卡配置trunk模式，并在宿主机上为每个VLAN创建一个网桥；

2、创建虚拟机时，把虚拟机的网卡桥接到虚拟机所属VLAN对应的网桥上；

3、通过VLAN之间的隔离可以实现虚拟网络之间的隔离，通过物理交换机配置相应的路由规则控制VLAN之间的互访规则。

然而，上述方法存在以下的弊端：

1、通用性不强，对于小型的私有网来说，一般没有配置三层交换机，在这种情况，上述方法就无法对虚拟网络进行划分，也无法对虚拟网络进行隔离。

2、网络连接不可控，由于虚拟机的网络都是直接连通物理网络，因此对网络连接的控制要在外部通过交换机的配置实现，在内网出现攻击需要局部隔离时，只能通过粗粒度的VLAN进行阻断，不利于攻击源的排查。

发明内容

本发明解决的技术问题在于提供一种虚拟网络隔离方法，解决了云平台中虚拟网络隔离所存在的通用性不强、网络连接不可控等问题。

本发明解决上述技术问题的技术方案是：

所述的方法包括如下步骤：

步骤1：在云平台所有宿主机上安装并启动虚拟交换机模块，建立隧道网桥和内网网桥并通过接口连接；

步骤2：在宿主机之间两两建立隧道连接，制定基本Flow规则控制数据流向；

步骤3：选取一台宿主机作为网络节点，创建虚拟网络空间、分配VLAN标签并启动DHCP服务控制虚拟机的IP；

步骤4：计算节点上创建虚拟机，通过将虚拟机网卡接入内网网桥并打上不同的VLAN标签实现接入不同的虚拟网络空间；

步骤5：所有节点上定义Flow规则，进行隧道ID与VLAN标签转换实现网络正常通信；

步骤6：网络节点上新增虚拟网络时，先增加虚拟网络空间、设置VLAN标签并启动DHCP服务，然后在每个宿主机上新增步骤5所述Flow规则；

步骤7：云平台新增宿主机时，先建立新增宿主机与已有宿主机之间的隧道连接，然后分别设置步骤5所述Flow规则。

所述的隧道是一种通过使用互联网络的基础设施在网络之间传递数据的方式；使用隧道传递的数据或负载可以是不同协议的数据帧或包；隧道协议将其它协议的数据帧或包重新封装然后通过隧道发送，新的帧头提供路由信息，以便通过互联网传递被封装的负载数据；

所述的数据帧和数据包分别是指计算机二层网络和三层网络通信的基本数据单元；

所述的协议是指计算机网络通信上的一种规则约定；

所述的隧道模式包括GRE隧道模式、VXLAN隧道模式和IPSec GRE隧道模式。

所述的虚拟交换机模块是指open vSwitch软件模块；

所述的网桥是指利用open vSwitch工具创建的虚拟网桥，其中内网网桥用以连接虚拟机，隧道网桥用以建立节点间的隧道连接，网桥间通过peer设备连接；

所述的peer设备是指具有两个端口的虚拟网络设备，可以是veth、patch等。

所述的隧道连接是指设置一条本地节点IP到远程节点IP之间网络连接的规则；

所述的隧道ID是指一个整数，是隧道连接上的一个唯一标示；

所述的VLAN标签是指1到4096之间的整数，计算机网络中利用VLAN标签来实现数据链路层的网络隔离。

所述的Flow规则是指保存在Flow Table中的一些行为约定，通过它来定义如何处理接收到的数据帧。

所述的宿主机是指云平台中的物理服务器节点，包括了计算节点和网络节点等，其中计算节点是指可以在其上创建虚拟机的节点，网络节点则是指在其上启动DHCP服务、为虚拟机提供IP控制的节点；

所述的虚拟机IP控制是指通过虚拟机MAC与IP绑定来实现虚拟机只能使用被分配到的唯一IP进行网络通信。

本发明方案的有益效果如下：

1、本发明的方法是一种通用的方法，不需要三层交换机的支持，既适用于小型的局域网，也适用于大型的局域网和广域网；

2、本发明的方法的虚拟网络可控性较强，在虚拟机网络出现问题时，只需要断开网桥之间的连接即可，有利于网络故障的排查；

3、本发明的方法的内网地址可重用，由于每个虚拟网络空间都采用单独的DHCP服务，因此内网IP地址可以重复，也可以使用回调的方式对内网IP地址与MAC地址进行绑定，对ARP攻击有很好的防护作用。

附图说明

下面结合附图对本发明进一步说明：

图1为本发明实现流程图。

具体实施方式

如图所示，本发明在云平台所有宿主机上安装虚拟交换机模块，即open vSwitch软件，创建隧道网桥和内网网桥并通过接口连接，具体过程如下：

//安装open vSwitch

#rpm-ivh kmod-openvswitch-2.3.0-1.el6.x86_64.rpm

#rpm-ivh openvswitch-2.3.0-1.x86_64.rpm

//创建隧道网桥和内网网桥并启动

#ovs-vsctl add-br br-tun

#ovs-vsctl add-br br-int

#ifconfig br-tun up

#ifconfig br-int up

添加peer设备连接隧道和内网网桥，这里的peer设备以patch设备为例：

#ovs-vsctl add-port br-int patch-tun

#ovs-vsctl set interface patch-tun type＝patch

#ovs-vsctl set interface patch-tun options：peer＝patch-int

#ovs-vsctl add-port br-tun patch-int

#ovs-vsctl set interface patch-int type＝patch

#ovs-vsctl set interface patch-int options：peer＝patch-tun

在宿主机之间两两建立隧道连接，以节点A(30.30.1.2)与节点B(30.30.1.4)之间建立隧道连接为例：

节点A上：

#ovs-vsctl add-port br-tun vxlan0--set interface vxlan0 type＝vxlan

options：df_default＝true options：in_key＝flow

options：local_ip＝30.30.1.2 options：out_key＝flow

options：remote_ip＝30.30.1.4

节点B上：

#ovs-vsctl add-port br-tun vxlan0--set interface vxlan0 type＝vxlan

options：df_default＝true options：in_key＝flow

options：local_ip＝30.30.1.4 options：out_key＝flow

options：remote_ip＝30.30.1.2

选取节点A作为网络节点，创建虚拟网络空间，分配VLAN标签5，启动IP网段为192.168.5.1/24的IHCP服务，具体操作如下：

//在虚拟交换机上添加本地vlan5端口

#ovs-vsctl add-port br-int tap5 tag＝5 -- set interface tap5 type＝internal

//创建并启动vlan5的虚拟网络服务：

#ip netns add dhcp-5

#ip link set tap5 netns dhcp-5

#ip netns exec dhcp-5 ip addr add 192.168.5.1/24 dev tap5

#ip netns exec dhcp-5 ifconfig tap5 promisc up

#ip netns exec dhcp-5 /usr/sbin/dnsmasq --strict-order

--bind-interfaces --conf-file＝ --domain＝local

--pid-file＝/opt/xm/test.pid --interface tap5 --except-interface＝lo

--dhcp-range＝192.168.5.1，static，120s --dhcp-option＝3，192.168.5.254

--dhcp-lease-max＝256 --dhcp-hostsfile＝/opt/xm/network.conf

--dhcp-script＝/opt/xm/update2db.py --leasefile-ro

如上启动DHCP服务命令所示，network.conf配置文件格式如下，表示将192.168.5.2这个IP与MAC为d0：0d：11：22：33：44的虚拟机绑定，控制其IP：

d0：0d：11：22：33：44，vml，192.168.5.2

……

在宿主机上建立的每个隧道上设置flow规则，先为每个隧道设置一个ID，然后为从隧道进来的隧道ID为与本隧道对应的数据包打上虚拟网络空间对应的VLAN标签；为本地发送的具有虚拟机所在虚拟网络空间VLAN标签的数据包擦除标签，同时打上隧道ID，以vlan标签为5，tun_id为0x5为例，具体操作如下：

////////table 0

#ovs-ofctl del-flows br-tun //删除已存在的所有flow规则

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝1 in_port＝1 actions＝resubmit(，2)″ //从port1进来的，由table 2处理

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝1 in_port＝2 actions＝resubmit(，4)″ //从port2进来的，由table 4处理

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝0 actions＝drop″ //默认丢弃

/////////table 2

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝0 table＝2 dl_dst＝00：00：00：00：00：00/01：00：00：00：00：00 actions＝resubmit(，20)″ //对于单播， 由table 20处理

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝0 table＝2 dl_dst＝01：00：00：00：00：00/01：00：00：00：00：00 actions＝resubmit(，22)″ //对于多播，由table 22处理

////////table 3

//默认丢弃

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝0 table＝3 actions＝drop″

///////table 4

//默认丢弃

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝0 table＝4 actions＝drop″

//将隧道id为0x5的数据为其添加vlan5并转发给table10处理

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝1 table＝4 tun_id＝0x5 actions＝mod_vlan_Vid：5，resubmit(，10)″

/ /// //table 10

#ovs-ofctl add-flow br-tun ″hard_timeout＝0 idle_timeout＝0 priority＝1 table＝10 actions＝learn(table＝20，priority＝1，hard_timeout＝300，NXM_OF_VLAN_TCI[0..11]，NXM_OF_ETH_DST[]＝NXM_OF_ETH_SRC[]，load：0->NXM_OF_VLAN_TCI[]，lo ad：NXM_NX_TUN_ID[]->NXM_NX_TUN_ID[]，output：NXM_OF_IN_PORT[])，output：1″ //学习规则，将学习到的内容保存在table20中

/ //// /table 20

//如果没有学习到什么，直接到22，如果原来学习到一些规则，则按照规则处理

#ovs-ofctl add-flow br-tun ″hard timeout＝0 idle timeout＝0 priority＝0 table＝20 actions＝resubmit(，22)″

/ ////table 22

//默认丢弃

#ovs-ofctl add-flow br-tun ″hard timeout＝0 idle timeout＝0 priority＝0 table＝22 actions＝drop″

//将vlan为5的数据擦除vlan，并设置隧道id为0x5并从端口2出去

#ovs-ofctl add-flow br-tun″hard timeout＝0 idle timeout＝0 table＝22dl_vlan＝5 actions＝strip_vlan，set_tunnel：0x5，output：2″

以上步骤实现了基于隧道的虚拟网络通信，如果需要扩展虚拟网络和宿节点，只需分别执行上述对应的操作过程即可。

Claims (5)

1.一种虚拟网络隔离方法，其特征在于：所述的方法包括如下步骤：

步骤1：在云平台所有宿主机上安装并启动虚拟交换机模块，建立隧道网桥和内网网桥并通过接口连接；

步骤2：在宿主机之间两两建立隧道连接，制定基本Flow规则控制数据流向；

步骤3：选取一台宿主机作为网络节点，创建虚拟网络空间、分配VLAN标签并启动DHCP服务控制虚拟机的IP；

步骤4：计算节点上创建虚拟机，通过将虚拟机网卡接入内网网桥并打上不同的VLAN标签实现接入不同的虚拟网络空间；

步骤5：所有节点上定义Flow规则，进行隧道ID与VLAN标签转换实现网络正常通信；

步骤6：网络节点上新增虚拟网络时，先增加虚拟网络空间、设置VLAN标签并启动DHCP服务，然后在每个宿主机上新增步骤5所述Flow规则；

步骤7：云平台新增宿主机时，先建立新增宿主机与已有宿主机之间的隧道连接，然后分别设置步骤5所述Flow规则；

所述的隧道是一种通过使用互联网络的基础设施在网络之间传递数据的方式；使用隧道传递的数据或负载可以是不同协议的数据帧或数据包；隧道协议将其它协议的数据帧或数据包重新封装然后通过隧道发送，新的帧头提供路由信息，以便通过互联网传递被封装的负载数据；

所述的数据帧和数据包分别是指计算机二层网络和三层网络通信的基本数据单元；

所述的协议是指计算机网络通信上的一种规则约定；

隧道模式包括GRE隧道模式、VXLAN隧道模式和IPSec GRE隧道模式；

所述的虚拟交换机模块是指open vSwitch软件模块；

所述的网桥是指利用open vSwitch工具创建的虚拟网桥，其中内网网桥用以连接虚拟机，隧道网桥用以建立节点间的隧道连接，网桥间通过peer设备连接；

所述的peer设备是指具有两个端口的虚拟网络设备，包括：veth、patch。

2.根据权利要求1所述的虚拟网络隔离方法，其特征在于：所述的隧道连接是指设置一条本地节点IP到远程节点IP之间网络连接的规则；

所述的隧道ID是指一个整数，是隧道连接上的一个唯一标示；

所述的VLAN标签是指1到4096之间的整数，计算机网络中利用VLAN标签来实现数据链路层的网络隔离。

3.根据权利要求1所述的虚拟网络隔离方法，其特征在于：所述的Flow规则是指保存在Flow Table中的一些行为约定，通过它来定义如何处理接收到的数据帧。

4.根据权利要求2所述的虚拟网络隔离方法，其特征在于：所述的Flow规则是指保存在Flow Table中的一些行为约定，通过它来定义如何处理接收到的数据帧。

5.根据权利要求1至4任一项所述的虚拟网络隔离方法，其特征在于：所述的宿主机是指云平台中的物理服务器节点，包括计算节点和网络节点，其中计算节点是指可以在其上创建虚拟机的节点，网络节点则是指在其上启动DHCP服务、为虚拟机提供IP控制的节点；

所述的虚拟机IP控制是指通过虚拟机MAC与IP绑定来实现虚拟机只能使用被分配到的唯一IP进行网络通信。