CN105430110A - 一种虚拟网络系统的容器配置方法及网络传输装置 - Google Patents

Abstract

本申请公开了一种虚拟网络系统的容器配置方法及网络传输装置，该方法包括：在主网络空间上进行虚拟网卡的配置，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启容器的ARP服务，以确保容器能与物理机的外部网络系统进行网络通信；主网络空间为预先设定的与物理机对应的网络空间；其中，在主网络空间上进行虚拟网卡的配置的过程，包括：将虚拟网卡的MAC地址设置成与物理机上的物理网卡相同的MAC地址，并为虚拟网卡分配唯一的IP地址，得到配置好的虚拟网卡。可见，本申请基于IP地址的不同，实现了对虚拟局域网的划分，这样有效地改善了容器的隔离效果，提高了虚拟化网络系统的虚拟化程度。

Description

一种虚拟网络系统的容器配置方法及网络传输装置

技术领域

本发明涉及网络虚拟化技术领域，特别涉及一种虚拟网络系统的容器配置方法及网络传输装置。

背景技术

随着计算机技术的发展，人们为了提高计算机资源的利用率以及降低计算机运维成本，逐渐采用虚拟化技术对计算机资源进行管理，其中，容器技术作为一种新型的虚拟化技术，越来越受到人们的关注。然而，当前的容器技术中，由于存在容器隔离效果较差的缺陷，从而降低了虚拟化网络系统的虚拟化程度，限制了计算机资源的利用率。

综上所述可以看出，如何改善容器的隔离效果，以提高虚拟化网络系统的虚拟化程度是目前亟待解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种虚拟网络系统的容器配置方法及网络传输装置，改善了容器的隔离效果，从而提高了虚拟化网络系统的虚拟化程度。其具体方案如下：

一种虚拟网络系统的容器配置方法，包括：

在主网络空间上进行虚拟网卡的配置，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启所述容器的ARP服务，以确保所述容器能与物理机的外部网络系统进行网络通信；所述主网络空间为预先设定的与所述物理机对应的网络空间；

其中，所述在主网络空间上进行虚拟网卡的配置的过程，包括：

将所述虚拟网卡的MAC地址设置成与所述物理机上的物理网卡相同的MAC地址，并为所述虚拟网卡分配唯一的IP地址，得到所述配置好的虚拟网卡。

优选的，所述唯一的IP地址为目标网段内的任一IP地址，所述目标网段为所述物理网卡的IP地址所在的网段。

优选的，所述将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器的过程，包括：

将所述配置好的虚拟网卡添加到与所述容器唯一对应的网络空间中。

优选的，所述开启所述容器的ARP服务的过程，包括：

基于ARP协议，在所述物理机和所述容器之间搭建ARP服务，将所述配置好的虚拟网卡的MAC地址和IP地址添加到该ARP服务中，然后重启该ARP服务。

本发明还公开了一种虚拟网络系统的网络传输装置，应用于利用上述方法配置的容器；所述网络传输装置包括：

报文接收处理器，用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，利用所述外部报文携带的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将所述外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对所述外部报文进行相应的处理；

报文发送处理器，用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，利用所述内部报文携带的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将所述内部报文转发至与该虚拟网卡对应的容器。

优选的，所述报文接收处理器包括：

第一IP地址提取单元，用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，提取所述外部报文中携带的IP地址；

第一网卡搜索单元，用于利用所述第一IP地址提取单元提取的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第一报文转发单元，用于当所述第一网卡搜索单元查找到与该IP地址对应的虚拟网卡时，将所述外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对所述外部报文进行相应的处理。

优选的，所述报文接收处理器还包括：

第二报文转发单元，用于当所述第一网卡搜索单元无法查找到与所述外部报文中携带的IP地址对应的虚拟网卡时，将所述外部报文转发至主网络空间，以利用所述主网络空间的主协议栈对所述外部报文进行相应的处理；所述主网络空间为预先设定的与所述物理机对应的网络空间。

优选的，所述报文发送处理器包括：

第二IP地址提取单元，用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，提取所述内部报文中携带的IP地址；

第二网卡搜索单元，用于利用所述第二IP地址提取单元提取的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第三报文转发单元，用于当所述第二网卡搜索单元查找到与该IP地址对应的虚拟网卡时，将所述内部报文转发至与该虚拟网卡对应的容器。

优选的，所述报文发送处理器还包括：

二层报文头部去除单元，用于当所述第二网卡搜索单元无法查找到与所述内部报文中携带的IP地址对应的虚拟网卡时，将所述内部报文的二层报文头部从所述内部报文中去除，得到相应的修改后报文；

第四报文转发单元，用于将所述修改后报文转发至所述主网络空间，利用所述主网络空间的主协议栈对所述修改后报文进行重新路由，以通过所述物理网卡将所述修改后报文发送至所述物理机的外部网络系统。

本发明中，在主网络空间上进行虚拟网卡的配置，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启容器的ARP服务，以确保容器能与物理机的外部网络系统进行网络通信；主网络空间为预先设定的与物理机对应的网络空间；其中，在主网络空间上进行虚拟网卡的配置的过程，包括：将虚拟网卡的MAC地址设置成与物理机上的物理网卡相同的MAC地址，并为虚拟网卡分配唯一的IP地址，得到配置好的虚拟网卡。可见，本发明中，添加到容器中的虚拟网卡具有和物理网卡相同的MAC地址，并且具有唯一的IP地址，这样意味着，在虚拟网络系统中，与一个物理网卡对应的所有容器具有与该物理网卡相同的MAC地址，而它们之间通过IP地址的不同来进行区分，也即是基于IP地址的不同，实现了对虚拟局域网的划分，这样有效地改善了容器的隔离效果，提高了虚拟化网络系统的虚拟化程度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例公开的一种虚拟网络系统的容器配置方法流程图；

图2为本发明实施例公开的一种虚拟网络系统的网络传输装置应用结构示意图；

图3为本发明实施例公开的一种具体的虚拟网络系统的网络传输装置应用结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种虚拟网络系统的容器配置方法，参见图1所示，该包括：

步骤S11：在主网络空间上进行虚拟网卡的配置；

步骤S12：将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启容器的ARP服务，以确保容器能与物理机的外部网络系统进行网络通信；主网络空间为预先设定的与物理机对应的网络空间；

其中，步骤S11中，在主网络空间上进行虚拟网卡的配置的过程，具体包括：

步骤S111：将虚拟网卡的MAC地址设置成与物理机上的物理网卡相同的MAC地址；

步骤S112：并为虚拟网卡分配唯一的IP地址，得到配置好的虚拟网卡。

需要说明的是，上述所谓的网络空间指的是NetNamespace；本实施例中，物理机至少有一个物理网卡，可为每一个物理网卡设置一个或多个虚拟网卡；而虚拟网卡与容器之间则是一一对应的关系。每个容器均有独立的网络空间。

本发明实施例中，在主网络空间上进行虚拟网卡的配置，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启容器的ARP服务，以确保容器能与物理机的外部网络系统进行网络通信；主网络空间为预先设定的与物理机对应的网络空间；其中，在主网络空间上进行虚拟网卡的配置的过程，包括：将虚拟网卡的MAC地址设置成与物理机上的物理网卡相同的MAC地址，并为虚拟网卡分配唯一的IP地址，得到配置好的虚拟网卡。

可见，本发明实施例中，添加到容器中的虚拟网卡具有和物理网卡相同的MAC地址，并且具有唯一的IP地址，这样意味着，在虚拟网络系统中，与一个物理网卡对应的所有容器具有与该物理网卡相同的MAC地址，而它们之间通过IP地址的不同来进行区分，也即是基于IP地址的不同，实现了对虚拟局域网的划分，这样有效地改善了容器的隔离效果，提高了虚拟化网络系统的虚拟化程度。

本发明实施例公开了一种具体的虚拟网络系统的容器配置方法，相对于上一实施例，本实施例对技术方案作了进一步的说明和优化。具体的：

上一实施例步骤S112中，唯一的IP地址是指目标网段内的任一IP地址，其中，上述目标网段是指物理网卡的IP地址所在的网段。

进一步的，上一实施例步骤S12中，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器的过程具体为：将配置好的虚拟网卡添加到与该容器唯一对应的网络空间中。

另外，在步骤S12中，开启容器的ARP服务的过程具体包括：基于ARP协议(ARP，即AddressResolutionProtocol，地址解析协议)，在物理机和容器之间搭建ARP服务，将配置好的虚拟网卡的MAC地址和IP地址添加到该ARP服务中，然后重启该ARP服务。

本发明实施例还公开了一种虚拟网络系统的网络传输装置，应用于利用前述实施例中的方法配置的容器；参见图2所示，该网络传输装置包括：

报文接收处理器21，用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，利用外部报文携带的IP地址，从虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对外部报文进行相应的处理；

报文发送处理器22，用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，利用内部报文携带的IP地址，从虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将内部报文转发至与该虚拟网卡对应的容器。

本实施例中，网络传输装置是应用于利用前述实施例中的方法配置的容器，由于不同的容器是通过IP地址的不同来进行区分的，所以本实施例的网络传输装置中的报文接收处理器和报文发送处理器均是以IP地址作为报文转发的依据，由此确保了报文数据在网络系统中准确无误地进行传输。

本发明实施例公开了一种具体的虚拟网络系统的网络传输装置，相对于上一实施例，本实施例对技术方案作了进一步的说明和优化。具体的：

参见图3所示，上一实施例中的报文接收处理器21可以包括第一IP地址提取单元211、第一网卡搜索单元212和第一报文转发单元213；其中，

第一IP地址提取单元211可用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，提取外部报文中携带的IP地址；

第一网卡搜索单元212可用于利用第一IP地址提取单元211提取的IP地址，从虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第一报文转发单元213可用于当第一网卡搜索单元212查找到与该IP地址对应的虚拟网卡时，将外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对外部报文进行相应的处理。

本实施例中，报文接收处理器21还可以进一步包括：

第二报文转发单元214，用于当第一网卡搜索单元212无法查找到与外部报文中携带的IP地址对应的虚拟网卡时，将外部报文转发至主网络空间，以利用主网络空间的主协议栈对外部报文进行相应的处理；主网络空间为预先设定的与物理机对应的网络空间。

本实施例中，报文发送处理器22具体可以包括第二IP地址提取单元221、第二网卡搜索单元222和第三报文转发单元223；其中，

第二IP地址提取单元221具体用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，提取内部报文中携带的IP地址；

第二网卡搜索单元222具体用于利用第二IP地址提取单元221提取的IP地址，从虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第三报文转发单元223具体用于当第二网卡搜索单元222查找到与该IP地址对应的虚拟网卡时，将内部报文转发至与该虚拟网卡对应的容器。

本实施例中，报文发送处理器22还可进一步包括二层报文头部去除单元224和第四报文转发单元225；其中，

二层报文头部去除单元224具体用于当第二网卡搜索单元222无法查找到与内部报文中携带的IP地址对应的虚拟网卡时，将内部报文的二层报文头部从内部报文中去除，得到相应的修改后报文；

第四报文转发单元225具体用于将修改后报文转发至主网络空间，利用主网络空间的主协议栈对修改后报文进行重新路由，以通过物理网卡将修改后报文发送至物理机的外部网络系统。

本实施例中，当第二网卡搜索单元222无法查找到与内部报文中携带的IP地址对应的虚拟网卡时，二层报文头部去除单元224会将内部报文的二层报文头部从内部报文中去除，也即去掉了容器不需要处理的二层报文，从而有利于提升容器的虚拟化程度。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种虚拟网络系统的容器配置方法及网络传输装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (9)

1.一种虚拟网络系统的容器配置方法，其特征在于，包括：

在主网络空间上进行虚拟网卡的配置，将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器，并开启所述容器的ARP服务，以确保所述容器能与物理机的外部网络系统进行网络通信；所述主网络空间为预先设定的与所述物理机对应的网络空间；

其中，所述在主网络空间上进行虚拟网卡的配置的过程，包括：

将所述虚拟网卡的MAC地址设置成与所述物理机上的物理网卡相同的MAC地址，并为所述虚拟网卡分配唯一的IP地址，得到所述配置好的虚拟网卡。

2.根据权利要求1所述的虚拟网络系统的容器配置方法，其特征在于，所述唯一的IP地址为目标网段内的任一IP地址，所述目标网段为所述物理网卡的IP地址所在的网段。

3.根据权利要求2所述的虚拟网络系统的容器配置方法，其特征在于，所述将配置好的虚拟网卡添加到与该虚拟网卡唯一对应的容器的过程，包括：

将所述配置好的虚拟网卡添加到与所述容器唯一对应的网络空间中。

4.根据权利要求3所述的虚拟网络系统的容器配置方法，其特征在于，所述开启所述容器的ARP服务的过程，包括：

基于ARP协议，在所述物理机和所述容器之间搭建ARP服务，将所述配置好的虚拟网卡的MAC地址和IP地址添加到该ARP服务中，然后重启该ARP服务。

5.一种虚拟网络系统的网络传输装置，其特征在于，应用于利用如权利要求1至4任一项所述的方法配置的容器；所述网络传输装置包括：

报文接收处理器，用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，利用所述外部报文携带的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将所述外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对所述外部报文进行相应的处理；

报文发送处理器，用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，利用所述内部报文携带的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡，当查找到与该IP地址对应的虚拟网卡时，将所述内部报文转发至与该虚拟网卡对应的容器。

6.根据权利要求5所述的虚拟网络系统的网络传输装置，其特征在于，所述报文接收处理器包括：

第一IP地址提取单元，用于当物理机的物理网卡接收到外部网络系统发送的外部报文时，提取所述外部报文中携带的IP地址；

第一网卡搜索单元，用于利用所述第一IP地址提取单元提取的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第一报文转发单元，用于当所述第一网卡搜索单元查找到与该IP地址对应的虚拟网卡时，将所述外部报文转发至与该虚拟网卡对应的容器，以利用该容器所在网络空间的协议栈对所述外部报文进行相应的处理。

7.根据权利要求6所述的虚拟网络系统的网络传输装置，其特征在于，所述报文接收处理器还包括：

第二报文转发单元，用于当所述第一网卡搜索单元无法查找到与所述外部报文中携带的IP地址对应的虚拟网卡时，将所述外部报文转发至主网络空间，以利用所述主网络空间的主协议栈对所述外部报文进行相应的处理；所述主网络空间为预先设定的与所述物理机对应的网络空间。

8.根据权利要求7所述的虚拟网络系统的网络传输装置，其特征在于，所述报文发送处理器包括：

第二IP地址提取单元，用于当任一容器所在网络空间的协议栈向该容器对应的虚拟网卡发送内部报文时，提取所述内部报文中携带的IP地址；

第二网卡搜索单元，用于利用所述第二IP地址提取单元提取的IP地址，从所述虚拟网络系统的所有虚拟网卡中查找与该IP地址对应的虚拟网卡；

第三报文转发单元，用于当所述第二网卡搜索单元查找到与该IP地址对应的虚拟网卡时，将所述内部报文转发至与该虚拟网卡对应的容器。

9.根据权利要求8所述的虚拟网络系统的网络传输装置，其特征在于，所述报文发送处理器还包括：

二层报文头部去除单元，用于当所述第二网卡搜索单元无法查找到与所述内部报文中携带的IP地址对应的虚拟网卡时，将所述内部报文的二层报文头部从所述内部报文中去除，得到相应的修改后报文；

第四报文转发单元，用于将所述修改后报文转发至所述主网络空间，利用所述主网络空间的主协议栈对所述修改后报文进行重新路由，以通过所述物理网卡将所述修改后报文发送至所述物理机的外部网络系统。