CN105283864A

CN105283864A - 管理裸机客户

Info

Publication number: CN105283864A
Application number: CN201380077292.2A
Authority: CN
Inventors: 杰弗里·克利福德·莫乌尔; 约瑟·雷纳托·G·桑多斯; 由夫·特纳; 凯文·T·林
Original assignee: Hewlett Packard Development Co LP
Current assignee: Hewlett Packard Enterprise Development LP
Priority date: 2013-04-30
Filing date: 2013-04-30
Publication date: 2016-01-27
Anticipated expiration: 2033-04-30
Also published as: WO2014178826A1; CN105283864B; US20160080287A1; US10728171B2; EP2992441A4; EP2992441A1

Abstract

本文公开的是用于管理云网络中的裸机客户的通信的系统、非暂时性计算机可读介质、以及方法。网络接口依照控制代理的命令管理数据包。

Description

管理裸机客户

背景技术

虚拟机监视器(hypervisor)可用于在管理物理计算机中执行的虚拟机。虚拟机监视器的一个职责是防止每个虚拟机干扰被分配给另一个虚拟机的资源。此外，由于攻击可潜在地使用虚拟机获得对云网络访问，云服务提供商可使用虚拟机监视器将虚拟机与云网络资源隔离。

附图说明

图1是依照本公开各方面的一种示例的系统的框图。

图2是依照本公开的各方面的一种示例方法的流程图。

图3是依照本公开的各方面的一种示例的网络接口。

图4是依照本公开的各方面的另一种示例系统。

具体实施方式

如上所述的，虚拟机监视器可用于将虚拟机与云资源隔离。但是，不是所有实体选择使用虚拟机监视器及虚拟机。反而，一些实体可能更喜欢裸机客户(baremetalguest)(“BMG”)配置。在一个示例中，BMG配置可包括直接在底层执行的操作系统、没有干预虚拟机监视器的非共享服务器。虽然虚拟机监视器具有许多优点，但是它们可能妨碍I/O密集系统的性能。同样地，BMG配置对于要求最大化性能的那些来说可以是可行的选项。不使用虚拟监视器的其他理由可以是由于广泛使用的企业应用的许可策略而导致的增加的成本，或缺少与一些基础设施即服务(“IaaS”)的提供商所使用的应用的虚拟监视器兼容性。

不幸的是，云网络上的资源可易遭受到不可信的BMG的不受控的行为。这样的行为可以是本质上非故意的或故意的。如上所述，BMG配置执行没有虚拟监视器的操作系统；且没有虚拟监视器，网络的资源可经由BMG计算机被侵入。综上所述，本文公开的是一种用于管理云网络中的裸机客户的通信的系统、计算机可读介质、以及方法。在一个示例中，网络接口可依照控制代理的命令处理数据包。在另一个示例中，控制代理可管理计算机与云网络的资源之间的通信。因此，本文公开的技术允许用户在维持虚拟监视器的安全优势的同时开拓BMG的性能优势。当参照各示例及附图的以下描述考虑时，将会理解本公开的各方面、特征、和其他优势。下面的描述不限制该应用；反而，本公开的范围由所附的权利要求及其等同物限定。

图1提供了一种用于执行本文公开的技术的说明性计算机装置100的示意图。计算机装置100可包括通常与计算机连接而使用的所有组件。例如，可具有键盘、鼠标和/或各种其他类型的输入设备(诸如，笔输入、操纵杆、按钮、触摸屏等)以及显示器，显示器可包括例如，CRT、LCD、等离子屏幕监视器、TV、投影仪等。计算机装置100还可包括网络接口114，用于通过网络与其他设备通信。如下面将进一步详细讨论的，网络接口114可以是网络接口控制器(“NIC”)。计算机装置100还可包含处理器110，处理器110可以是任意数量的已知的处理器，诸如来自英特尔公司的处理器。在另一个示例中，处理器110可以是应用专用集成电路(“ASIC”)。在又另一个示例中，网络接口114以及处理器110可结合到一个集成电路芯片中。非暂时性计算机可读介质(“CRM”)112可存储由处理器110获取并执行的指令。仍如将在下面更详细讨论的，该指令可包括控制代理116。

非暂时性CRM112可由可从非暂时性CRM112获取或得到逻辑并执行其中包含的指令的任意指令执行系统使用，并与该任意指令执行系统相连。非暂时性计算机可读媒体可包括许多物理媒体中的任何一个，诸如例如，电、磁、光、电磁、或半导体媒体。合适的非暂时性计算机可读媒体的更多具体示例包括但不限于：便携式磁性计算机磁盘(诸如，软盘和硬盘)、只读存储器(“ROM”)、可擦除可编程只读存储器、便携式光盘或直接或间接结合至计算机装置100的其他存储设备。可选地，非暂时性CRM112可以是随机存取存储器(“RAM”)设备，或可分成被组织成双列直插式存储模块(“DIMM”)的多个存储段。非暂时性CRM112还可包括一个或多个前述和/或其他设备的组合。虽然图1中仅示出一个处理器和一个非暂时性CRM，计算机装置100实际上可包括可存储或不存储在相同物理外壳或位置中的其他处理器和存储器。

位于非暂时性CRM112中的指令可包括由处理器110直接(例如，机器代码)或间接(例如，脚本)执行的任意指令集。在这点上，术语“指令”、“脚本”、以及“应用”在本文中可互换使用。可以以任何计算机语言或格式存储计算机可执行指令，诸如，以对象代码或源代码模块。此外，理解到，指令可以以硬件、软件、或硬件和软件结合的形式实现，本文的各示例仅为说明性的。

控制代理116可以是用于管理计算机与云网络的资源之间的通信的模块。网络接口114可以是NIC，用于依照来自控制代理116的命令从计算机路由数据包并将数据包路由到计算机。命令可指示网络接口114中的至少一个模块。在另一个示例中，网络接口114可以是网络接口卡、网络适配器、LAN适配器或实现需要经由例如一种标准(诸如，以太网、Wi-Fi或令牌环)与网络通信的电路的任意其他网络控制器。

图2-4中示出了系统、方法和非暂时性计算机可读存储介质的示例。特别地，图2示出了用于管理BMG与网络之间的通信的一种示例方法200的流程图。图3-4各自显示了依照本文公开的技术的一种示例。下面将结合图2的流程图讨论图3-4中示出的操作。

如图2的方框202中示出的，计算机可以可通信地连接至云网络。如上所述的，该连接可使用网络接口做出。现在参照图3，示出一个示例网络接口300。在此示例中，网络接口300是具有寄存器302,304,306,308,310和312的NIC。此外，图3的示例示出了分配给控制代理322的第一组网络接口寄存器(即，寄存器308、310以及312)以及分配给操作系统324的第二组网络接口寄存器(即，寄存器302、304以及306)。操作系统324可依照BMG配置直接在非共享计算机上执行。

返回参照图2，如方框204中示出，可依照控制代理的命令处理数据包。返回参照图3，控制代理322可利用其分配的寄存器来管理执行操作系统324的BMG计算机与云网络的资源之间的通信。分配给操作系统324的寄存器可用作标准NIC寄存器。即，这些寄存器可用于初始化、传输/接收数据包、以及远程DMA操作。在另一个示例中，控制代理322可在某些情况下干预并访问分配给操作系统324的寄存器。例如，控制代理322可在BMG从一个服务器迁移到另一个时访问这些寄存器。在这样的例子中，控制代理322可访问分配给操作系统324的寄存器，以将操作系统324的MAC地址从原始服务器的NIC转移到新的服务器的NIC。

在另一个示例中，控制代理322可指示网络接口300中的至少一个模块。控制代理322可使用其关联的与网络接口300的各模块协作的寄存器(例如，寄存器308、寄存器310、以及寄存器312)，以管理操作系统324与云网络的资源之间的通信。在图3的示例中，控制代理322可使用与访问控制列表(“ACL”)模块314协作的寄存器308，以将各规则与操作系统324可用的端口号或IP地址关联起来。控制代理322可使用关联的规则来控制入站和出站流量的源和目的地。控制代理322可使用寄存器310访问并控制速率限制模块316。这允许控制代理322控制向网络接口300发送数据包以及从网络接口300接收数据包的速率。在一个示例中，控制代理322可允许小于或等于特定速率的流量，并防止或延迟超过特定速率的流量。此外，控制代理322可使用与封装-解封装模块协作的寄存器312，将传入或传出的数据包附加到头或尾部记录，以及将头或尾部记录放在传入或传出的数据包前。这些头或尾部记录可用于开拓特别的协议的安全特征，诸如，TCP/IP协议。

现在参照图4，示出了用于管理裸机客户的系统的一个示例实施方式。应用层402以及操作系统层406可位于配置为BMG的物理计算机装置中。如上所述的，网络接口300可包括ACL模块314、速率限制模块316、以及封装-解封装模块320。网络接口300可建立操作系统层406与云网络404之间的连接。图4还示出了远程管理引擎414。远程管理引擎(“RME”)414可在远程计算机上执行，且可用于管理并支持云网络上的物理计算机。RME的一个示例是由惠普生产的远程管理端口(“iLO”)产品。RME414可简化云上的节点的设置，并监控其功率和热控制。RME414可远程管理配置为BMG的云上的物理计算机。在图4中示出的示例中，控制代理322是RME414的模块。然而，在另一个示例中，控制代理322可以是网络接口300的模块。如果控制代理322是图4中示出的RME的模块，可在控制代理322与网络接口的分配给控制代理的各寄存器之间形成安全通道416。在一个示例中，RME414可包括网络控制器边带接口(“NC-SI”)。控制代理322可使用NC-SI与网络接口300通信。

有利地，前述系统、方法和非暂时性计算机可读介质允许云网络上的BMG计算机在虚拟监视器的情况下安全地通信。在这点上，管理BMG客户的云服务提供商能够确定其网络对于攻击者是安全的。此外，云服务提供商可提供其客户更高的性能，而不损害安全性。

尽管已参照特别的示例描述了本文的公开，将理解，这些示例仅为说明了本公开的原理。因此将理解，在不脱离所附的权利要求限定的本公开的精神和范围的情况下，可对各示例进行许多修改，且可想出其他设置。此外，虽然在附图中以特定的顺序示出了特别的过程，这样的过程不受限于特别的顺序，除非本文明确陈述了这样的顺序；相反，可以以不同的顺序或同时执行各过程，且可增加或省略步骤。

Claims

1.一种系统，包括：

计算机，可通信地连接至云网络，所述计算机包括裸机客户配置；

控制代理，所述控制代理如果被执行，则指示至少一个处理器管理所述计算机与所述云网络的资源之间的通信；以及

网络接口控制器，所述网络接口控制器如果被执行，则指示至少一个处理器依照来自所述控制代理的命令将数据包路由到所述计算机并从所述计算机路由数据包，所述命令指示所述控制器中的至少一个模块。

2.根据权利要求1的所述系统，其中，所述至少一个模块包括访问控制列表模块、速率限制模块、封装模块、以及解封装模块。

3.根据权利要求1的所述系统，其中，所述网络接口控制器包括多个寄存器；且所述网络接口控制器如果被执行，则进一步指示至少一个处理器在所述计算机与所述控制代理之间分配所述多个寄存器。

4.根据权利要求1的所述系统，其中，所述控制代理是所述网络接口控制器的模块。

5.根据权利要求1的所述系统，其中，所述控制代理是远程管理引擎的模块。

6.一种其中具有指令的非暂时性计算机可读介质，该指令如果被执行，则引起至少一个处理器：

建立计算机与云网络之间的连接，所述计算机包括裸机客户配置；

将第一组网络接口寄存器分配给控制代理，所述控制代理是管理所述计算机与所述云网络的资源之间的通信的模块；

将第二组所述网络接口寄存器分配给所述计算机；以及

依照所述控制代理的命令来处理来自所述计算机以及到所述计算机的数据包。

7.根据权利要求6的所述非暂时性计算机可读介质，其中，其中的所述指令如果被执行，则引起至少一个处理器使用访问控制列表模块、速率限制模块、封装模块、或解封装模块来处理所述数据包。

8.根据权利要求6的所述非暂时性计算机可读介质，其中，所述控制代理是所述网络接口的模块。

9.根据权利要求6的所述非暂时性计算机可读介质，其中，其中的所述指令如果被执行，则指示至少一个处理器使用远程管理引擎来管理所述裸机客户配置。

10.根据权利要求9的所述非暂时性计算机可读介质，其中，所述控制代理是所述远程管理引擎的模块。

11.一种方法，包括：

使用至少一个处理器，建立计算机与云网络之间的连接，所述计算机包括裸机客户配置；

使用至少一个处理器，在所述计算机与控制代理之间分配多个网络接口寄存器，所述控制代理是管理所述计算机与所述云网络的资源之间的通信的模块；以及

使用至少一个处理器，依照所述控制代理的指令将数据包路由到所述计算机并从所述计算机路由数据包。

12.根据权利要求11的所述方法，其中，路由所述数据包包括：依照所述控制代理的指令，使用至少一个处理器调用访问控制列表模块、速率限制模块、封装模块、或解封装模块。

13.根据权利要求11的所述方法，其中，所述控制代理是网络接口的模块。

14.根据权利要求11的所述方法，其中，所述裸机客户配置由远程管理引擎管理。

15.根据权利要求14的所述方法，其中，所述控制代理是所述远程管理引擎的模块。