CN105791304A - 一种报文处理方法及设备 - Google Patents

Abstract

本发明提供了一种报文处理方法及设备，在接收到的报文中的源MAC地址和目的MAC地址中的租户标识信息相同的情况下，说明此报文是属于同一个租户的虚拟机之间相互传输的报文，则发送此报文，否则，说明传输此报文的虚拟机不属于同一个租户，则丢弃此报文，从而能够阻止属于不同的租户的虚拟机之前的通信，提高通信的安全性。

Description

一种报文处理方法及设备

技术领域

本发明涉及云计算环境技术领域，更具体的说，特别涉及一种报文处理方法及设备。

背景技术

随着计算技术的发展，虚拟机的应用越来越普遍。主机即服务器上运行多个虚拟机，各个虚拟机能够为用户提供各种业务。

通常，用户即租户，可以租用虚拟机开展业务，为了安全性等需求，要求不同的租户租用的虚拟机之间不能相互通信。可见，如何对不同租户之间的虚拟机进行隔离通信，成为目前亟待解决的问题。

发明内容

本申请公开了一种报文处理方法及设备，目的在于解决如何对不同租户之间的虚拟机进行隔离通信的问题。

为了解决上述技术问题，本申请公开了以下技术方案：

一种报文处理方法，包括：

接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息；

获取所述源介质访问控制地址中的租户标识信息，以及所述目的介质访问控制地址中的租户标识信息；

基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

可选地，所述基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文包括：

在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息相同的情况下，发送所述报文；

在满足预设条件的情况下，丢弃所述报文，所述预设条件至少包括所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同。

可选地，所述在满足预设条件的情况下，丢弃所述报文包括：

在所述报文中的所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同的情况下，判断预设的白名单中是否存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系；

在所述预设的白名单中不存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，丢弃所述报文。

可选地，还包括：

在所述预设的白名单中存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，发送所述报文。

可选地，所述基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

如果在所述源介质访问控制地址和/或所述目的介质访问控制地址中检测到预设的处理标识，则基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

可选地，所述源介质访问控制地址和/或所述目的介质访问控制地址中包括：

敏感标识字段，所述敏感标识字段为第一数值表示预设的处理标识，所述敏感标识字段为第二数值表示不进行处理；

租户标识字段，用于表示租户的标识。

一种报文处理设备，包括：

通信组件，用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息；

存储器，用于存储程序以及所述程序运行过程中产生的数据；

处理器，用于获取所述源介质访问控制地址中的租户标识信息，以及所述目的介质访问控制地址中的租户标识信息，并基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

可选地，所述处理器用于基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

所述处理器具体用于，在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息相同的情况下，发送所述报文；在满足预设条件的情况下，丢弃所述报文，所述预设条件至少包括所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同。

可选地，所述处理器用于在满足预设条件的情况下，丢弃所述报文，包括：

所述处理器具体用于，在所述报文中的所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同的情况下，判断预设的白名单中是否存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系；在所述预设的白名单中不存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，丢弃所述报文。

可选地，所述处理器还用于：

在所述预设的白名单中存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，发送所述报文。

可选地，所述处理器用于基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

所述处理器具体用于，如果在所述源介质访问控制地址和/或所述目的介质访问控制地址中检测到预设的处理标识，则基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

可选地，所述通信组件用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息，包括：

所述通信组件具体用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址；

所述源介质访问控制地址和/或所述目的介质访问控制地址中包括：

敏感标识字段，所述第一敏感标识字段为第一数值表示预设的处理标识，所述第一敏感标识字段为第二数值表示不进行处理；

租户标识字段，用于表示租户的标识。

本申请提供的报文处理方法及设备，在接收到的报文中的源MAC地址和目的MAC地址中的租户标识信息相同的情况下，说明此报文是属于同一个租户的虚拟机之间相互传输的报文，则发送此报文，否则，说明传输此报文的虚拟机不属于同一个租户，则丢弃此报文，从而能够阻止属于不同的租户的虚拟机之前的通信，提高通信的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为主机上设置虚拟机的示意图；

图2为本申请实施例公开的一种报文处理方法的流程图；

图3为本申请实施例公开的一种MAC地址的示意图；

图4为本申请实施例公开的又一种报文处理方法的流程图；

图5为本申请实施例公开的又一种MAC地址的示意图；

图6为本申请实施例公开的又一种报文处理方法的流程图；

图7为本申请实施例公开的报文处理设备的结构示意图。

具体实施方式

本申请实施例公开了一种报文处理方法及装置，可以应用在如图1所示的场景中。图1中，主机host上运行多个虚拟机VM，不同的用户租用不同的虚拟机，例如，用户1租用虚拟机VM1和VM2，用户2租用虚拟机VM3。

为了隔离属于不同租户的虚拟机之间的通信，本申请实施例所述的报文处理方法中，接收包括源介质访问控制地址和目的介质访问控制地址的报文，其中，源介质访问控制(MediumAccessControl，MAC)地址和目的MAC地址均携带有各自的租户标识信息，并基于源MAC地址和目的MAC地址中的租户标识信息，处理所述报文。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图2为本申请实施例公开的一种报文处理方法，包括以下步骤：

S201：接收报文。

本实施例中接收到的报文与现有技术中的报文不同，区别在于，本实施例中的报文中的源MAC地址和目的MAC地址中分别包含各自的租户标识信息。如图3所示，本实施例中所述的报文中的MAC地址的帧结构为：

MAC地址包括48比特，第一个比特位为多播/单播标记位，第二个比特位为全局唯一global/本地自制local定义位。其中，遵从现有协议，在本申请的实施例中，第二个比特位均设置为local。

MAC地址的后46比特中携带租户标识信息，例如，VM1的MAC地址的后46比特中携带用户1的标识信息。

需要说明的是，上述报文的格式由虚拟机系统的管理平台预先定义并进行配置。

S202：获取报文中的源MAC地址和目的MAC地址中的租户标识信息。

S203：判断源MAC地址和目的MAC地址中的租户标识信息是否相同，如果是，执行S204，如果否，执行S205。

S204：发送接收到的报文。

即，按照接收到的报文中的目的MAC地址发送报文。

S205:丢弃报文。

从图2所示的过程可以看出，在报文中的源MAC地址和目的MAC地址中的租户标识信息相同的情况下，说明此报文是属于同一个租户的虚拟机之间相互传输的报文，则发送此报文，否则，说明传输此报文的虚拟机不属于同一个租户，则丢弃此报文，从而能够阻止属于不同的租户的虚拟机之前的通信，提高通信的安全性。

本申请实施例公开的又一种报文处理方法，如图4所示，包括以下步骤：

S401：接收报文。

本实施例中，如图5所示，报文中的MAC地址的帧结构为：

MAC地址包括48比特，前两个比特位如图3所示，这里不再赘述。

MAC地址的后46比特被划分为三个字段，三个字段的长度可以相等，也可以不相等。其中，第一个字段为敏感标识字段，用于表示敏感标识信息，敏感标识字段为第一数值表示预设的处理标识，敏感标识字段为第二数值表示不进行处理，第一个字段之后的第二个字段为租户标识字段，用于放置租户标识信息，第二个字段之后的第三个字段为主机标识字段，用于放置主机标识信息。

举例说明，虚拟机系统平台在创建虚拟机时，定义虚拟机的MAC地址为：“FA:FA:00:01:00:01”，其中，敏感标识信息为“FA:FA”，租户标识信息为“00:01”，主机标识信息为“00:01”。

需要说明的是，报文中的源MAC地址和目的MAC地址中，可以都包括敏感标识信息，也可以只有一个包括敏感标识信息。在三个字段的长度不相等的情况下，敏感标识信息所占的字段越短，留给后两个字段的长度就越宽裕。

S402：判断报文中的源MAC地址和/或目的MAC地址中是否检测到敏感标识信息，如果是，执行S403，如果否，执行S404。

S403：判断源MAC地址和目的MAC地址中的租户标识信息是否相同，如果是，执行S404，如果否，执行S405。

S404：发送报文。

S405：丢弃报文。

从图4所示的过程可以看出，不仅巧妙利用了MAC地址的48bits空间定制含有一定标识的字段来实现属于不同租户的虚拟机之间通信的隔离，而且，与图3的区别在于，将敏感标识信息作为是否按照租户标识信息处理报文的依据，如果MAC地址中没有敏感标识信息则直接发送报文，而不进行通信的隔离，因此，使得通信隔离方式能够与现有的通信机制兼容，并进行灵活切换。

本申请实施例公开的又一种报文处理方法，如图6所示，包括以下步骤：

S601：获取报文，本实施例中，报文如图5所示。

S602：判断报文中的源MAC地址和/或目的MAC地址中是否检测到敏感标识信息，如果是，执行S603，如果否，执行S606。

S603：判断源MAC地址和目的MAC地址中的租户标识信息是否相同，如果是，执行S606，如果否，执行S604。

S604：判断预设的白名单中是否存在源MAC地址中的租户标识信息和目的MAC地址中的租户标识信息的对应关系，如果是，执行S606，如果否，执行S605。

S605：丢弃报文。

S606：发送报文。

从上述步骤可以看出，本实施例中，在源MAC地址和目的MAC地址中的租户标识信息不相同的情况下，如果这两个MAC地址中的租户标识信息在预先设置的白名单中有对应关系，则发送报文。因此，可以通过预先设置白名单的方式，允许属于不同租户的虚拟机之间进行通信，从而满足不同租户之间通信的需求。

与上述方法实施例相对应地，本申请实施例还公开了一种报文处理设备，如图7所示，包括：

通信组件，用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息；

存储器，用于存储程序以及所述程序运行过程中产生的数据；

处理器，用于获取所述源介质访问控制地址中的租户标识信息，以及所述目的介质访问控制地址中的租户标识信息，并基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

具体地，处理器基于所述源MAC地址中的租户标识信息和所述目的MAC地址中的租户标识信息，处理所述报文的具体实现方式为：在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息相同的情况下，发送所述报文；在满足预设条件的情况下，丢弃所述报文，所述预设条件至少包括所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同。

处理器在满足预设条件的情况下，丢弃所述报文的具体实现方式为：在所述报文中的所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同的情况下，判断预设的白名单中是否存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系；在所述预设的白名单中不存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，丢弃所述报文。

进一步地，处理器在所述预设的白名单中存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，发送所述报文。

具体地，处理器基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文的具体实现方式还可以为：如果在所述源介质访问控制地址和/或所述目的介质访问控制地址中检测到预设的处理标识，则基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

本实施例中所述的报文中的MAC地址的具体结构可以参见方法实施例所述，这里不再赘述。

本实施例所述的报文处理装置，使用MAC地址中的字段隔离属于虚拟机之间的通信，与现有的VLAN隔离方式相比，具有更高的效率。并且，在链路层即可实现通信的隔离，而无需涉及网络侧，对于网络层无需做任何配置。并且，可通过软件辅助完成隔离，可灵活扩展。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

以上对本发明所提供的一种调节装置、锁相环、电子设备、带宽调整方法及装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (12)

1.一种报文处理方法，其特征在于，包括：

接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息；

获取所述源介质访问控制地址中的租户标识信息，以及所述目的介质访问控制地址中的租户标识信息；

基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

2.根据权利要求1所述的方法，其特征在于，所述基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文包括：

在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息相同的情况下，发送所述报文；

在满足预设条件的情况下，丢弃所述报文，所述预设条件至少包括所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同。

3.根据权利要求2所述的方法，其特征在于，所述在满足预设条件的情况下，丢弃所述报文包括：

在所述报文中的所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同的情况下，判断预设的白名单中是否存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系；

在所述预设的白名单中不存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，丢弃所述报文。

4.根据权利要求3所述的方法，其特征在于，还包括：

在所述预设的白名单中存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，发送所述报文。

5.根据权利要求1所述的方法，其特征在于，所述基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

如果在所述源介质访问控制地址和/或所述目的介质访问控制地址中检测到预设的处理标识，则基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

6.根据权利要求1～5任一项所述的方法，其特征在于，所述源介质访问控制地址和/或所述目的介质访问控制地址中包括：

敏感标识字段，所述敏感标识字段为第一数值表示预设的处理标识，所述敏感标识字段为第二数值表示不进行处理；

租户标识字段，用于表示租户的标识。

7.一种报文处理设备，其特征在于，包括：

通信组件，用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息；

存储器，用于存储程序以及所述程序运行过程中产生的数据；

处理器，用于获取所述源介质访问控制地址中的租户标识信息，以及所述目的介质访问控制地址中的租户标识信息，并基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

8.根据权利要求7所述的设备，其特征在于，所述处理器用于基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

所述处理器具体用于，在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息相同的情况下，发送所述报文；在满足预设条件的情况下，丢弃所述报文，所述预设条件至少包括所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同。

9.根据权利要求8所述的设备，其特征在于，所述处理器用于在满足预设条件的情况下，丢弃所述报文，包括：

所述处理器具体用于，在所述报文中的所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息不相同的情况下，判断预设的白名单中是否存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系；在所述预设的白名单中不存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，丢弃所述报文。

10.根据权利要求9所述的设备，其特征在于，所述处理器还用于：

在所述预设的白名单中存在所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息的对应关系的情况下，发送所述报文。

11.根据权利要求7所述的设备，其特征在于，所述处理器用于基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文，包括：

所述处理器具体用于，如果在所述源介质访问控制地址和/或所述目的介质访问控制地址中检测到预设的处理标识，则基于所述源介质访问控制地址中的租户标识信息和所述目的介质访问控制地址中的租户标识信息，处理所述报文。

12.根据权利要求7～11任一项所述的设备，其特征在于，所述通信组件用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址，所述源介质访问控制地址和所述目的介质访问控制地址均携带有各自的租户标识信息，包括：

所述通信组件具体用于接收报文，所述报文中包括源介质访问控制地址和目的介质访问控制地址；

所述源介质访问控制地址和/或所述目的介质访问控制地址中包括：

敏感标识字段，所述第一敏感标识字段为第一数值表示预设的处理标识，所述第一敏感标识字段为第二数值表示不进行处理；

租户标识字段，用于表示租户的标识。