CN105897758A - 容器访问控制方法及装置 - Google Patents

Abstract

本发明实施例提供一种容器访问控制方法及装置。该方法包括：接收网关设备发送的地址解析协议ARP请求；根据目标Docker容器的IP地址，查询目标Docker容器的在线状态；若目标Docker容器处于离线状态，则获取目标Docker容器对应的替换容器的MAC地址；向网关设备发送ARP响应，ARP响应包括替换容器的MAC地址，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器。本发明实施例通过替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

Description

容器访问控制方法及装置

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种容器访问控制方法及装置。

背景技术

Docker是一个开源的应用容器引擎，在物理主机上安装Docker后，可在Docker的基础上承载多个容器，多个容器之间相互隔离，多个容器共享物理主机的操作系统，各容器可放置并执行不同的应用程序。

将安装有Docker容器的物理主机称为Docker服务器，一个Docker服务器可能会安装有多个Docker容器，用户终端通过互联网可以访问位于同一物理主机上多个Docker容器中的任意一个Docker容器。

为了提高资源利用率，位于同一物理主机上多个Docker容器并不是全部开启，可能会根据各个Docker容器的资源利用率关闭部分Docker容器，则用户历史访问过的Docker容器可能会被关闭，而用户并不知道该Docker容器已经被关闭，当用户需要访问该Docker容器时，将无法获得响应，浪费了用户的时间。

发明内容

本发明实施例提供一种容器访问控制方法及装置，以节省用户访问容器的时间。

本发明实施例的一个方面是提供一种容器访问控制方法，包括：

接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器。

本发明实施例的另一个方面是提供一种容器访问控制装置，包括：

接收模块，用于接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

查询模块，用于根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

获取模块，用于若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

发送模块，用于向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器。

本发明实施例提供的容器访问控制方法及装置，通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

附图说明

图1为本发明实施例提供的容器访问控制方法流程图；

图2为本发明实施例提供的容器访问控制方法适用的网络架构图；

图3为本发明另一实施例提供的容器访问控制方法流程图；

图4为本发明实施例提供的容器访问控制装置的结构图；

图5为本发明另一实施例提供的容器访问控制装置的结构图。

具体实施方式

图1为本发明实施例提供的容器访问控制方法流程图；图2为本发明实施例提供的容器访问控制方法适用的网络架构图。本发明实施例针对位于同一物理主机上多个Docker容器并不是全部开启，可能会根据各个Docker容器的资源利用率关闭部分Docker容器，则用户历史访问过的Docker容器可能会被关闭，而用户并不知道该Docker容器已经被关闭，当用户需要访问该Docker容器时，将无法获得响应，浪费了用户的时间，提供了容器访问控制方法，该方法具体步骤如下：

步骤S101、接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

如图2所示，用户通过用户终端10访问物理主机14中的Docker容器2，即Docker容器2是用户终端10访问的目标Docker容器，若用户终端10的浏览器上没有预先存储有Docker容器2的IP地址，则用户通过用户终端10的浏览器查询并点击Docker容器2的域名，用户终端10通过互联网11向域名服务器12发送域名系统(Domain Name System，简称DNS)请求，该DNS请求中包括Docker容器2的域名，域名服务器12向用户终端10返回Docker容器2的IP地址，例如Docker容器2的IP地址是10.0.0.2。另外，用户终端10还可以预先存储有Docker容器2的IP地址即10.0.0.2。

用户终端10获取到Docker容器2的IP地址后，根据Docker容器2的IP地址向该Docker容器2所在的物理主机14连接的网关设备13发送请求报文，该请求报文以Docker容器2的IP地址为目的IP地址、所述用户终端10的IP地址为源IP地址。

当网关设备13接收到该请求报文时，提取该请求报文中的目的IP地址即Docker容器2的IP地址10.0.0.2，并根据10.0.0.2向物理主机14的网卡发送地址解析协议(Address Resolution Protocol，简称ARP)请求，该ARP请求包括Docker容器2的IP地址10.0.0.2，表示网关设备13请求获取Docker容器2的MAC地址。

步骤S102、根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

物理主机14的网卡接收到该ARP请求后，根据该ARP请求中的Docker容器2的IP地址10.0.0.2查询物理主机14的检测模块，该检测模块实时检测各个Docker容器的在线状态，并记录离线状态的Docker容器的IP地址；给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。具体地，该检测模块实时检测Docker容器1和Docker容器2的在线状态，例如检测模块检测到当前时刻Docker容器1处于在线状态，Docker容器2处于离线状态，则检测模块记录下Docker容器2的IP地址。当检测模块接收到网关发送的Docker容器2的IP地址10.0.0.2时，检测模块判断出Docker容器2当前处于离线状态，则查询分配表，该分配表包括离线状态的Docker容器和替换容器的对应关系，该对应关系如表1所示：

表1

另外，物理主机14还可以包括除Docker容器1、Docker容器2之外的Docker容器，例如，物理主机14包括Docker容器1、Docker容器2、Docker容器3、Docker容器4，当Docker容器2处于离线状态，Docker容器1、Docker容器3、Docker容器4均处于在线状态时，该分配表还可以具体如表2所示：

表2

可从表2替换容器名单中选择任意一个在线的Docker容器作为Docker容器2的替换容器。

优选地，根据在线状态的Docker容器的资源利用率，给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器，即根据Docker容器1、Docker容器3、Docker容器4分别对应的资源利用率，确定出资源利用率最小的一个Docker容器，假如Docker容器1、Docker容器3、Docker容器4中，Docker容器1的资源利用率最小、Docker容器4的资源利用率最大、Docker容器3的资源利用率介于前两者之间，则可以给Docker容器1、Docker容器3、Docker容器4设定优先级，资源利用率越小的Docker容器的优先级越高，排序结果如表2所示，则优选Docker容器1作为Docker容器2的替换容器。

步骤S103、若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

检测模块通过查询如表1所示的分配表，确定Docker容器2的替换容器为Docker容器1，并获取Docker容器1的MAC地址即00-0F-1F-52-EF-F6。

步骤S104、向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的报文发送给所述替换容器。

检测模块将Docker容器1的MAC地址即00-0F-1F-52-EF-F6发送给网关，网关设备，网关设备根据Docker容器1的MAC地址生成ARP响应，该ARP响应包括Docker容器1的MAC即00-0F-1F-52-EF-F6。网关设备根据Docker容器1的MAC，将用户终端发送的请求报文封装为以太报文，该以太报文以所述替换容器的MAC地址为目的MAC地址即Docker容器1的MAC即00-0F-1F-52-EF-F6、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址即Docker容器2的IP地址10.0.0.2、所述用户终端的IP地址为源IP地址。

本发明实施例通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

图3为本发明另一实施例提供的容器访问控制方法流程图。该实施例提供的容器访问控制方法的具体步骤如下:

步骤S301、接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

步骤S302、根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

步骤S303、若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

步骤S304、向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器；

步骤S301-S304分别和步骤S101-S104一致，具体方法此处不再赘述。

步骤S305、接收所述网关设备发送的请求报文；

所述请求报文以所述替换容器的MAC地址为目的MAC地址、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址、所述用户终端的IP地址为源IP地址。

具体地，网关设备根据Docker容器1的MAC，将用户终端发送的请求报文封装为以太报文，该以太报文以所述替换容器的MAC地址为目的MAC地址即Docker容器1的MAC即00-0F-1F-52-EF-F6、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址即Docker容器2的IP地址10.0.0.2、所述用户终端的IP地址为源IP地址。

步骤S306、向所述网关设备发送所述替换容器生成的响应报文，以使所述网关设备将所述替换容器生成的响应报文发送给所述用户终端。

Docker容器1接收到该以太报文后，对该以太报文进行解封装，去除该以太报文的目的MAC地址、源MAC地址、目的IP地址、源IP地址，替换Docker容器2处理解封装后的报文内容。

Docker容器1处理完该报文内容后生成响应报文，该响应报文以所述替换容器的MAC地址为源MAC地址即Docker容器1的MAC地址00-0F-1F-52-EF-F6、所述网关设备的MAC地址为目的MAC地址、所述目标Docker容器的IP地址为源IP地址即Docker容器2的IP地址10.0.0.2、所述用户终端的IP地址为目的IP地址，Docker容器1通过网卡向网关设备发送该响应报文。

本发明实施例通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

图4为本发明实施例提供的容器访问控制装置的结构图。本发明实施例提供的容器访问控制装置可以执行容器访问控制方法实施例提供的处理流程，如图4所示，容器访问控制装置40包括接收模块41、查询模块42、获取模块43和发送模块44，其中，接收模块41用于接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；查询模块42用于根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；获取模块43用于若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；发送模块44用于向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器。

本发明实施例提供的容器访问控制装置可以具体用于执行上述图1所提供的方法实施例，具体功能此处不再赘述。

本发明实施例通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

图5为本发明另一实施例提供的容器访问控制装置的结构图。在上述实施例的基础上，容器访问控制装置40还包括检测记录模块45和分配模块46，其中，检测记录模块45用于实时检测各个Docker容器的在线状态，并记录离线状态的Docker容器的IP地址；分配模块46用于给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

分配模块46具体用于根据在线状态的Docker容器的资源利用率，给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

接收模块41还用于接收所述网关设备发送的请求报文，所述请求报文以所述替换容器的MAC地址为目的MAC地址、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址、所述用户终端的IP地址为源IP地址。

发送模块44还用于向所述网关设备发送所述替换容器生成的响应报文，以使所述网关设备将所述替换容器生成的响应报文发送给所述用户终端；其中，所述响应报文以所述替换容器的MAC地址为源MAC地址、所述网关设备的MAC地址为目的MAC地址、所述目标Docker容器的IP地址为源IP地址、所述用户终端的IP地址为目的IP地址。

本发明实施例提供的容器访问控制装置可以具体用于执行上述图3所提供的方法实施例，具体功能此处不再赘述。

本发明实施例通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

综上所述，本发明实施例通过离线状态的目标Docker容器与替换容器的对应关系，当物理主机接收到询问目标Docker容器MAC地址的请求时，该物理主机将替换容器的MAC地址发送给网关设备，以使网关设备将用户终端发送给目标Docker容器的请求报文发送给替换容器，由替换容器代替目标Docker容器向用户终端反馈响应报文，用户并不会感知到目标Docker容器的离线状态，即使用户访问的目标Docker容器离线，依然能够获得响应，节省了用户的时间。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种容器访问控制方法，其特征在于，包括：

接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器。

2.根据权利要求1所述的方法，其特征在于，还包括：

实时检测各个Docker容器的在线状态，并记录离线状态的Docker容器的IP地址；

给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

3.根据权利要求2所述的方法，其特征在于，所述给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器，包括：

根据在线状态的Docker容器的资源利用率，给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述向所述网关设备发送ARP响应之后，还包括：

接收所述网关设备发送的请求报文，所述请求报文以所述替换容器的MAC地址为目的MAC地址、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址、所述用户终端的IP地址为源IP地址。

5.根据权利要求4所述的方法，其特征在于，所述接收所述网关设备发送的请求报文，包括：

向所述网关设备发送所述替换容器生成的响应报文，以使所述网关设备将所述替换容器生成的响应报文发送给所述用户终端；

其中，所述响应报文以所述替换容器的MAC地址为源MAC地址、所述网关设备的MAC地址为目的MAC地址、所述目标Docker容器的IP地址为源IP地址、所述用户终端的IP地址为目的IP地址。

6.一种容器访问控制装置，其特征在于，包括：

接收模块，用于接收网关设备发送的地址解析协议ARP请求，所述ARP请求包括目标Docker容器的IP地址；

查询模块，用于根据所述目标Docker容器的IP地址，查询所述目标Docker容器的在线状态；

获取模块，用于若所述目标Docker容器处于离线状态，则获取所述目标Docker容器对应的替换容器的MAC地址；

发送模块，用于向所述网关设备发送ARP响应，所述ARP响应包括所述替换容器的MAC地址，以使所述网关设备将用户终端发送给所述目标Docker容器的请求报文发送给所述替换容器。

7.根据权利要求6所述的容器访问控制装置，其特征在于，还包括：

检测记录模块，用于实时检测各个Docker容器的在线状态，并记录离线状态的Docker容器的IP地址；

分配模块，用于给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

8.根据权利要求7所述的容器访问控制装置，其特征在于，所述分配模块具体用于根据在线状态的Docker容器的资源利用率，给所述离线状态的Docker容器分配在线状态的Docker容器作为所述离线状态的Docker容器的替换容器。

9.根据权利要求6-8任一项所述的容器访问控制装置，其特征在于，所述接收模块还用于接收所述网关设备发送的请求报文，所述请求报文以所述替换容器的MAC地址为目的MAC地址、所述网关设备的MAC地址为源MAC地址、所述目标Docker容器的IP地址为目的IP地址、所述用户终端的IP地址为源IP地址。

10.根据权利要求9所述的容器访问控制装置，其特征在于，所述发送模块还用于向所述网关设备发送所述替换容器生成的响应报文，以使所述网关设备将所述替换容器生成的响应报文发送给所述用户终端；

其中，所述响应报文以所述替换容器的MAC地址为源MAC地址、所述网关设备的MAC地址为目的MAC地址、所述目标Docker容器的IP地址为源IP地址、所述用户终端的IP地址为目的IP地址。