CN108964959A - 一种用于虚拟化平台的网卡直通系统及数据包监管方法 - Google Patents

Abstract

本申请提供的一种用于虚拟化平台的网卡直通系统，包括：虚拟机，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包；虚拟网卡，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；虚拟交换机，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理；从而解决了虚拟化平台通过使用直通网卡无法对虚拟网络数据包进行流控、监管的问题。

Description

一种用于虚拟化平台的网卡直通系统及数据包监管方法

技术领域

本申请涉及计算机网络领域，具体涉及一种用于虚拟化平台的网卡直通系统。本申请同时涉及一种用于虚拟化平台的数据包监管方法。

背景技术

随着计算机和互联网技术的发展，虚拟化技术得到迅速发展。采用虚拟化技术的平台(称为虚拟化系统或者虚拟化平台)隐藏特定计算平台的实际物理特性，在一个平台上可以运行多个操作系统和应用程序，每个操作系统和应用程序都可以在需要时访问其所需的资源，从而为用户提供抽象的、模拟的计算环境(称为虚拟机)，这些虚拟机在相互独立的空间内运行而互不影响，显著地提高了计算机或者服务器的工作效率；另外通过服务器整合，将共用的基础架构资源聚合在池中，打破原有的“一台服务器一个应用程序”模式，从而提高现有资源的利用程度；虚拟化环境下，计算资源、存储资源等采用动态资源管理，加快了服务器部署并改进了桌面和应用程序部署，使得运营更加灵活。

虚拟化系统或者平台的一个具体应用就是云计算平台。云计算平台采用虚拟化技术从大量的分布式计算机集群虚拟出来多个类似独立主机的部分(称为云主机)，可以给企业或个人提供动态易扩展、虚拟化资源的互联网服务模式，从而使得企业或个人可以根据需求访问计算机和存储系统。各企业通过租用云主机和云计算服务可以快速享用强大的IT资源，避免复杂的系统管理以及延迟部署的风险，降低了成本。

虚拟化系统中的虚拟机或者云主机，由于引入了虚拟化层并且采用前后端驱动网络设备，相比物理主机，对于网络数据流处理路径延长了，网络数据包的拷贝次数增加了，因此云计算平台或者其他虚拟化系统或者平台的网络性能，例如时延和包速率，比物理机网络性能差一个数量级，这阻碍了云计算或者其他虚拟化系统或者平台进入对网络性能要求高的行业，例如金融和电子交易类、高清视频类业务。

目前，云计算平台或者其他虚拟化系统或者平台，主要采用通过直通网卡或者智能直通网卡提升云主机或者虚拟机的网络性能的方案，该类方案中，虚拟化内核通过支持向用户空间提供设备访问接口以及支持将直接内存存取(DMA)的地址空间映射到云主机或者虚拟机地址空间，实现用户态的驱动，从而为云主机或者虚拟机提供近似物理机的网络性能的能力，例如使用Intel的SRIOV网卡，智能SRIOV网卡或者其他厂商提供的直通网卡以及智能直通网卡，智能直通网卡是在直通网卡的基础上，在网卡硬件中集成了部分简单的网络流量管理和监控功能。

但是，现有网卡直通方案中，没有提供云计算平台或者其他虚拟化系统或者平台对于云主机或者虚拟机进行流控、监管和计费等的入口，因而不能对云主机或者虚拟机的网络流量进行复杂的流量管控。

发明内容

本申请提供一种用于虚拟化平台的网卡直通系统，以解决云计算平台或者其他虚拟化系统或者平台通过使用直通网卡提升虚拟网络性能，但无法同时对虚拟网络数据包进行流控、监管的问题。

本申请另外提供一种用于虚拟化平台的数据包监管方法。

本申请提供一种用于虚拟化平台的网卡直通系统，包括：虚拟机、虚拟网卡、虚拟交换机；其中

虚拟机，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包；

虚拟网卡，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；

虚拟交换机，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理。

可选的，所述的虚拟机，被配置为运行在所述虚拟化平台的虚拟化层；

所述的虚拟机为在集群服务器上通过虚拟化技术划分出来的一个或一个以上的独立主机的云主机；

或者是在一台物理主机或一台以上物理主机上采用虚拟化技术实现的一个或多个虚拟主机；

或者是在一台物理服务器或者一台以上物理服务器上采用虚拟化技术实现的一个或多个虚拟专用服务器。

可选的，所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备。

可选的，所述直通网卡为支持SRIOV技术的直通网卡。

可选的，所述的支持SRIOV技术的直通网卡，为支持对所述虚拟机和所述虚拟交换机配置虚拟网卡的直通网卡。

可选的，所述直通网卡为包含了内置二层交换机功能的直通网卡。

可选的，基于所述直通网卡，针对所述虚拟交换机，至少配置两个直通虚拟网卡，分别称为第一直通虚拟网卡和第二直通虚拟网卡；其中第一直通虚拟网卡作为所述虚拟交换机的虚拟上行链路端口，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络；第二直通虚拟网卡作为所述虚拟交换机的虚拟下行链路端口，用于将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机。

可选的，基于所述直通网卡的内置二层交换机功能，至少划分两个不同的VLAN；

所述的虚拟下行链路端口与所述的一个或多个所述虚拟机的所述虚拟网卡，划分到同一个VLAN中，并且将所述的虚拟下行链路端口配置为所述虚拟机的虚拟网卡的出口；所述的虚拟上行链路端口配置到与所述的虚拟下行链路端口不同的VLAN中；

所述的虚拟上行链路端口配置为混杂模式。

可选的，所述的虚拟上行链路端口的出口配置为所述直通网卡的物理端口；其中，所述物理端口为与所述虚拟网卡相对应的物理端口。

可选的，所述的虚拟上行链路端口的出口配置为所述虚拟化系统包含的其他直通网卡的端口。

可选的，所述的虚拟上行链路端口和所述直通网卡的物理端口所连接的外部交换机设置为同一个广播域。

可选的，所述的虚拟交换机支持标准802.1Q VLAN功能；并且所述的虚拟交换机是Open vSwitch。

可选的，所述的对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口。

可选的，所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：

对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离。

可选的，所述的对虚拟网络数据包实现监控管理，还包括至少支持下述任一种功能，对相应封装的网络数据流实现监控管理：

GRE隧道、GRE over IPSEC、VXLAN、LISP隧道。

可选的，所述对虚拟网络数据包实现监控管理，包括所述虚拟交换机还支持NetFlow功能，对虚拟网络数据流进行流量分析。

可选的，所述控制网络访问策略包括虚拟交换机支持下述任一种功能：

ACL规则设置、NAT。

可选的，还包括运行在所述虚拟化层的数据平面开发套件DPDK，用于转发虚拟交换机与直通虚拟网卡之间的网络数据包。

可选的，所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备；所述直通网卡为包含了内置二层交换机功能的直通网卡；

所述虚拟网卡具体用于转发属于所述虚拟机的网络数据包，通过所述直通网卡内置二层交换机的端口转发规则到虚拟交换机。

本申请还提供一种用于虚拟化平台的数据包监管方法，包括：

将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络；和/或

将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机。

可选的，所述将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络，包括：

所述发往外部网络的网络数据包，先被发送到所述虚拟机的任一个虚拟网卡；所述虚拟网卡和所述虚拟交换机的虚拟下行链路端口在同一个VLAN中；

所述发往外部网络的网络数据包，在所述VLAN中广播，所述虚拟下行链路端口接收到发往外部网络的网络数据包的广播报文，转发到所述虚拟交换机处理；

所述虚拟交换机，接收到所述发往外部网络的网络数据包的广播报文，进行监控管理，并根据二层转发表，将所述发往外部网络的网络数据包通过所述虚拟上行链路端口发送到外部网络。

可选的，所述将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机，包括：

所述虚拟交换机通过所述虚拟交换机的虚拟上行链路端口，接收到所述来自外部网络的属于所述虚拟机的网络数据包；

所述虚拟交换机，对接收到的所述虚拟机的网络数据包进行监控管理；并将所述虚拟机的网络数据包，由所述虚拟交换机的虚拟下行链路端口通过所述虚拟机的虚拟网卡转发到所述虚拟机。

可选的，所述的虚拟交换机，是Open vSwitch。

可选的，所述的对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口。

可选的，所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：

对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离。

可选的，所述虚拟机和所述虚拟交换机运行在虚拟化层；所述虚拟化层支持并运行数据平面开发套件DPDK。

与现有技术相比，本申请具有以下优点：

本申请提供的一种用于虚拟化平台的网卡直通系统方法，包括：虚拟机，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包；虚拟网卡，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；虚拟交换机，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理；从而解决了云计算平台或者其他虚拟化系统或者平台通过使用直通网卡提升虚拟网络性能，但无法同时对虚拟网络数据包进行流控、监管的问题。

附图说明

图1是一种用于虚拟化平台的网卡直通系统的示意图；

图2是一种用于虚拟化平台的数据包监管方法的向外部网络发送网络数据包的发送流程图；

图3是本申请实施例提供的一种用于虚拟化平台的数据包监管方法的向外部网络发送网络数据包发送流程的数据包流向示意图；

图4是一种用于虚拟化平台的数据包监管方法的从外部网络接收网络数据包的接收流程图；

图5是本申请实施例提供的一种用于虚拟化平台的数据包监管方法的从外部网络接收网络数据包的接收流程的数据包流向示意图。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施的限制。

本申请提供一种用于虚拟化平台的网卡直通系统。本申请同时涉及一种用于虚拟化平台的数据包监管方法。在下面的实施例中逐一进行详细说明。

本申请的其中一实施例提供一种用于虚拟化平台的网卡直通系统。

以下结合图1对本申请提供的一种用于虚拟化平台的网卡直通系统的实施例进行说明。

具体的，图1所示的用于虚拟化平台的网卡直通系统包括：虚拟机101、虚拟网卡102、虚拟交换机103；其中

虚拟机，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包；

虚拟网卡，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；

虚拟交换机，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理。

所述外部网络是针对所述虚拟机而言的，与所述虚拟机不在同一个虚拟局域网或者不在同一个广播域的逻辑上隔离的网络，比如互联网。

具体而言，本申请的实施例提供的用于虚拟化平台的网卡直通系统包括：虚拟机将发往外部网络的网络数据包通过虚拟网卡以及虚拟交换机的虚拟下行链路端口，发送到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包再通过虚拟交换机的虚拟上行链路端口，转发到外部网络；来自外部网络的属于所述虚拟机的网络数据包，先经过所述虚拟交换机的虚拟上行链路端口发送到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包通过所述虚拟交换机的虚拟下行链路端口以及所述虚拟机的虚拟网卡，发送到所述虚拟机。

虚拟化平台是以虚拟化技术为核心，其工作原理是，直接在计算机硬件或平台操作系统或者主机操作系统上面插入一个精简的软件层。该软件层包含一个以动态和透明方式分配硬件资源的虚拟机监视器(或称“管理程序”)，也就是虚拟化层。通过虚拟化技术，可以从单台物理机或者服务器，或者从一组物理服务器集群，虚拟出一个或多个虚拟机。这些虚拟机共享基础硬件资源，从而提高了利设备的利用率。

实际应用中，虚拟化平台一个典型的例子就是云计算平台。虚拟化平台或者云计算平台的虚拟化技术选型和硬件选型的差异，会导致本申请实施例提供的云主机混合网卡直通方法在具体实施中有些配置差异，但是其核心思想相同，因此均在本申请保护范围之内。

需要说明的是，本申请实施例提供的虚拟化平台网卡直通系统中，以开源的KVM虚拟化技术和云计算平台来说明具体实施方式，除此之外，本申请实施例提供的用于虚拟化平台的网卡直通系统，不但可以在支持直通网卡和其他虚拟化技术的云计算平台实现，还可以在支持直通网卡和虚拟化技术的其他虚拟系统或平台上实现。可选的虚拟化技术内核层可以是开源的KVM，XEN等，也可以是其他由企业提供的虚拟化产品，例如：VMWARE的ESX、微软的Hyper-V等，均在本申请的保护范围之内。

所述虚拟机101，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包。

所述虚拟机101，运行在虚拟化平台的虚拟化层；在云计算平台，所述的虚拟机101就是在集群服务器上通过所述虚拟化技术划分出来的一个或多个独立主机(即云主机)或者一个或多个独立服务器(即云服务器)；在其他虚拟化系统或者平台中，所述虚拟机101可以是一个或者多个物理主机上采用所述虚拟化技术实现的一个或多个虚拟主机，还可以是一个或者多个物理服务器上采用所述虚拟化技术实现的一个或多个虚拟专用服务器。

所述虚拟机101采用前后端驱动网络设置。由于所述虚拟化层的引入不可避免的延长了所述虚拟机对于网络数据流的处理路径，因此其网络性能无法达到物理机的水平，例如转发包时延和包转发速率(PPS)比物理机差一个数量级甚至更多。本申请实施例提供的用于虚拟化平台的网卡直通系统中，所述虚拟机的网络数据包在通过直通网卡与外部网络实现转发，能大大提升所述虚拟机的网络性能；并通过直通网卡增加配置，改变所述虚拟机的网络数据包转发路径，将所述虚拟机的网络数据包导流回所述虚拟化层，从而可以对所述网络数据包进行监控或者计费，提供复杂的丰富的网络管理功能；同时还可以在所述虚拟化层开启支持数据平面开发套件(DPDK)，可以使得上述对于所述虚拟机的网络数据包转发路径的改变，对网络性能产生的影响几乎可以忽略不计。

需要说明的是，本申请提供的用于虚拟化平台的网卡直通系统，不属于同一个虚拟局域网或者广播域的虚拟机之间的网络通信产生的网络数据包也会通过所述虚拟交换机处理，因而对这部分流量也能进行网络监控。

通过所述虚拟机使用网络资源时，所述虚拟机或者所述虚拟机上安装的应用软件，根据使用的应用情况，封装发往外部网络的网络数据包，这些发往外部网络的网络数据包先发送到虚拟网卡，再由虚拟网卡进行相应转发；所述虚拟机还会从其对应的虚拟网卡上，接收从外部网络发来的网络数据包，分发给所述虚拟机或者所述虚拟机上应用软件处理。

本实施例中，采用KVM架构的云计算平台给其他企业或个人用户(统一称为终端用户)提供云主机。终端用户看到的云主机，和物理主机类似，其使用方法也类似物理主机，可以支持标准的X86操作系统或者其他操作系统，可以安装各种兼容的应用软件，也可以通过云主机使用各种网络资源或者存储资源。具体举例如下：

终端用户在例如阿里云的云平台上申请一台云主机，登录阿里云网页并通过管理控制台连接管理终端，并输入管理终端密码和操作系统账号远程使用自己的云主机；终端用户还可以根据自己连接网络的机器的操作系统，Windows操作系统使用远程客户端，Linux可以使用putty类似的软件，远程使用自己的云主机。终端用户通过云主机使用网络资源，例如通过云主机上安装的淘宝客户端访问淘宝网站，则淘宝客户端以及云主机会封装相应的上行网络数据包，该数据包通过云主机的虚拟网卡转发到外部网络；淘宝网站下行网络数据包，也会通过云主机的虚拟网卡转发到用户的云主机，云主机以及其上的淘宝客户端会处理所述的下行网络数据包。

所述虚拟网卡102，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；

属于所述虚拟机101的网络数据包，包括发往外部网络的网络数据包和来自外部网络的网络数据包，通过所述虚拟机101所属的虚拟网卡完成。一个所述虚拟机可以对应一个或多个虚拟网卡，每个虚拟网卡拥有自己的MAC地址。

所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备。

所述直通网卡为支持SRIOV(Single-Root I/O Virtualization，单根I/O虚拟化)技术的直通网卡。

所述SRIOV技术，支持一个PCIe(Peripheral Component Interconnect express)设备上导出一个或者多个PCI(Peripheral Component Interconnect)设备的物理功能(PF)，并支持一个PF上虚拟出一个或者多个虚拟功能(VF)共享所述的一个PF资源；虚拟化层能将一个或者多个VF分配给一个虚拟机，在某一时刻，一个VF只能被分配给一个虚拟机，一个虚拟机可以拥有多个VF。

SRIOV技术是PCI-SIG组织发布的规范，它定义了一个标准化的机制用以原生地支持实现多个客户机共享一个设备。SRIOV使得一个单一的功能单元，看起来像多个独立的物理设备。目前SRIOV已经广泛地应用在了网卡上，例如，用于直通网卡上，使得一个以太网端口看起来像多个独立的以太网端口各自工作。

所述的支持SRIOV技术的直通网卡，为支持对所述虚拟机和所述虚拟交换机配置虚拟网卡的直通网卡。

实际应用中，基于所述的支持SRIOV技术的直通网卡虚拟出一个或多个具备网卡功能的虚拟网卡，例如，给运行在所述虚拟化层上的一个或多个虚拟机配置虚拟网卡VF，每个虚拟机可以配置一个或多个虚拟网卡VF。

另外，基于所述直通网卡，针对所述虚拟交换机，至少配置两个直通虚拟网卡，分别称为第一直通虚拟网卡和第二直通虚拟网卡；其中第一直通虚拟网卡作为所述虚拟交换机的虚拟上行链路端口，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络；第二直通虚拟网卡作为所述虚拟交换机的虚拟下行链路端口，用于将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机。

本实施例中，云计算平台采用KVM虚拟化技术架构，虚拟化层以及CPU支持虚拟设备直通技术Intel VT-x(Intel提供的处理器虚拟化技术)和VT-d技术(Intel支持的直接I/O访问的虚拟化技术)，采用的支持SRIOV规范的直通网卡Intel82599。所述的虚拟设备直通技术，可以使云主机(或者虚拟机)直接使用物理设备，Intel的VT-d技术是基于北桥的硬件辅助虚拟化技术，通过该技术，在设备DMA时(直接内存访问)，进行KVM server的物理地址到云主机物理地址的转换，即DMA地址重映射，可以实现云主机对设备DMA内存的直接访问，从而提高云主机的IO性能。通过云计算平台的KVM server，给一个或多个云主机配置虚拟网卡VF，以及给虚拟交换机配置两个虚拟网卡VF。在云主机的操作系统看来，一个VF虚拟网卡看起来和一个普通网卡没有区别。

除此之外，能实现网卡设备SRIOV的系统，也可以是其他条件，例如CPU支持AMD的SVM和IOMMU；Intel的其他中高端网卡：82576NS Gigabit Ethernet Controller(igb驱动)，82576EB Gigabit Ethernet Controller(igb驱动)，82599ES10Gigabit Ethernet Controller(ixgbe驱动)，82599EB 10Gigabit EthernetController(ixgbe驱动)等。

所述直通网卡为包含了内置二层交换机功能的直通网卡，目的是通过在所述直通网卡内置的二层交换机进行虚拟局域网(VLAN)划分，从而实现将通过所述虚拟机对应的虚拟网卡转发的属于所述虚拟机的网络数据包，导流到虚拟交换机进行处理。需要说明的是，一些网卡将二层交换机集成在网卡内，支持对虚拟交换机进行加速，例如TCP分片处理加速、checksum校验等，极大地加快了虚拟交换机的报文转发速率。

本实施例中，基于所述直通网卡的内置二层交换机功能，至少划分两个不同的VLAN；所述的虚拟下行链路端口与所述的一个或多个所述虚拟机的所述虚拟网卡，划分到同一个VLAN中，并且将所述的虚拟下行链路端口配置为所述虚拟机的虚拟网卡的出口；所述的虚拟上行链路端口配置到与所述的虚拟下行链路端口不同的VLAN中；所述的虚拟上行链路端口配置为混杂模式(promiscuous mode)；所述的虚拟上行链路端口和所述直通网卡的物理端口所连接的外部交换机设置为同一个广播域。

本实施例中，直通网卡Intel 82599上，具体举例如下进行说明：

针对其内置交换机，划分两个VLAN，例如VLAN10和VLAN20；

以两个云主机为例进行说明：云主机1及对应的虚拟网卡VF2，和云主机2及对应的虚拟网卡VF3；

虚拟机交换机对应两个虚拟网卡VF1和VF0，VF1规划为所述的虚拟机交换机的虚拟下行链路端口，VF0规划为所述的虚拟交换机的虚拟上行链路端口；

VF2、VF3和VF1划分到VLAN10中，并且将VF2、VF3的出口配置为VF1，VF1的模式配置为promiscuous mode；VF0划分到VLAN20中，Intel 82599的一个物理端口连接的外部交换机端口也是VLAN20，其中此处的物理端口，是指虚拟出上述VF0、VF1、VF2、VF3的物理端口。

云主机1向外部网络发送网络数据包的发包流程为：云主机1将封装的网络数据包发送到VF2，通过指定的出口VF1上送到虚拟交换机，由于VF1配置为混杂模式，因此可以接受不是自己MAC地址的数据包，虚拟交换机将网络数据包的通过VF0转发时向同一个VLAN中各个端口进行广播，从而通过Intel82599物理端口发送到外部网络交换机。

云主机1接收外部网络发送网络数据包的收包流程为：Intel82599物理端口由外部网络交换机接收到云主机1的网络数据包，通过VF0端口转发到虚拟交换机，虚拟机交换机根据自己的二层转发表，将该网络数据包通过VF1转发，由于VF2和VF1在VLAN10，该网络数据包在VLAN10中广播，云主机1通过VF2接收到该属于自己的网络数据包。

另外，还有其他方式可以将所述虚拟机的网络数据包通过直通网卡和外部网络之间实现转发，可选的，所述的虚拟上行链路端口的出口配置为所述虚拟化系统包含的其他直通网卡的端口；可选的，所述的虚拟上行链路端口的出口配置为所述直通网卡的物理端口；其中，所述物理端口为与所述虚拟网卡相对应的物理端口；可选的，所述的虚拟上行链路端口和所述直通网卡的物理端口所连接的外部交换机设置为同一个广播域。

需要说明的是，还有其他方式实现通过所述虚拟机对应的虚拟网卡转发的属于所述虚拟机的网络数据包，导流到虚拟交换机进行处理，例如，所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备；所述直通网卡为包含了内置二层交换机功能的直通网卡；所述虚拟网卡具体用于转发属于所述虚拟机的网络数据包，通过所述直通网卡内置二层交换机的端口转发规则到虚拟交换机

所述虚拟交换机103，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理。

将通过所述虚拟机对应的虚拟网卡转发的属于所述虚拟机的网络数据包，导流到虚拟交换机进行处理的目的是，虚拟交换机可以对网络数据包实现丰富而复杂的监控管理。

所述的虚拟交换机支持标准802.1Q VLAN功能；并且所述的虚拟交换机是OpenvSwitch。

实际应用中，所述虚拟交换机可以解决虚拟机或者云主机内部流量的可视化问题，同时强化了流控、网络功能、QOS等方面的特性。目前，有代表性的虚拟交换机技术包括：VMware vswitch、Cisco nexus 1000v和Open vSwitch。这类虚拟交换机一般支持中心化管理。中心化管理，可以使得在众多主机上部署的虚拟交换机以分布式进行管控。

所述的对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口。

本实施例中，所述的虚拟交换机是Open vSwitch，还支持为应用层软件提供对虚拟网络数据流量的计费入口，从而应用层软件可以对所述虚拟机的数据流量进行计费，甚至进行内容计费。

Open vSwitch(简称OVS)，是一个虚拟交换软件，主要用于虚拟机环境，作为一个虚拟交换机，支持Xen/XenServer,KVM,and VirtualBox多种虚拟化技术。

所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离；所述的对虚拟网络数据包实现监控管理，还包括至少支持下述任一种功能，对相应封装的网络数据流实现监控管理：GRE隧道、GRE over IPSEC、VXLAN、LISP隧道；所述对虚拟网络数据包实现监控管理，包括所述虚拟交换机还支持NetFlow功能，对虚拟网络数据流进行流量分析；所述控制网络访问策略包括虚拟交换机支持下述任一种功能：ACL规则设置、NAT。

本实施例中，OVS支持对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离；还支持下述功能：ACL(访问控制列表)规则设置、NAT(网络地址转换)，提供丰富的网络访问控制策略，这是目前仅在直通网卡上无法实现的。

另外，OVS支持下述隧道技术，对相应封装的隧道数据流可以实现监控管理：GRE(通用路由协议封装)隧道、GRE over IPSEC(GRE数据包通过Internet协议安全隧道传递)、VXLAN(虚拟扩展局域网)、LISP(Locator Identity Separation)隧道。

另外，OVS还支持NetFlow功能，对虚拟网络数据流进行流量分析。

除此之外，OVS提供了在虚拟化环境中远程管理的协议：OpenFlow,通过流表来管理交换机的行为，从而可以实现并提供远程管理。

实际应用中，所述虚拟化平台为了提升虚拟交换机对于数据面转发的处理性能，还会运行数据平面开发套件DPDK，要求所述虚拟交换机支持所述DPDK，以及所述直通网卡支持所述的DPDK。

所述DPDK是Intel开发的用户态的网卡驱动平台，对于虚拟化层来看，DPDK是一个应用程序，运行在用户空间上利用自身提供的数据平面库来收发数据包，绕过了虚拟化平台操作系统Linux内核协议栈对数据包处理过程。而Linux内核将DPDK应用程序看作是一个普通的用户态进程，包括它的编译、连接和加载方式和普通程序没有什么两样。不开启DPDK的情况下，通过内核协议栈转发报文时，报文控制平面和数据转发平面没有分离，报文会先进入内核区再拷贝到用户区供上层应用程序处理，涉及到I/O中断、内存拷贝等处理。

所述的DPDK，支持在用户态使用轮询模式驱动设备。开启DPDK后，DPDK使用轮询而不是中断处理数据包，可以拦截中断，不触发后续中断流程，并绕过协议栈，通过UIO技术将网卡收到的报文拷贝到应用层处理，报文不再经过内核协议栈。减少了中断，并且DPDK的包全部在用户控件使用内存池管理，内核控件与用户空间的内存交互不用进行拷贝，只做控制权转移，节省了大量的CPU中断时间和内存拷贝时间，提高报文的转发效率，从而优化网络性能。

另外，开启DPDK时，需要所述虚拟化层，预先配置支持大页面内存。

基于本申请提供的一种用于虚拟化平台的网卡直通系统，本申请还提供了一种用于虚拟化平台的数据包监控方法。图2至图5示出了本申请实施例提供的一种用于虚拟化平台的数据包监控方法；其中，图2是本申请实施例提供的一种用于虚拟化平台的数据包监控方法的向外部网络发送网络数据包的发送流程图；图3是本申请实施例提供的一种用于虚拟化平台的数据包监控方法的向外部网络发送网络数据包发送流程的数据包流向示意图；图4是本申请实施例提供的用于虚拟化平台的数据包监控方法的从外部网络接收网络数据包的收包的接收流程图；图5是本申请实施例提供的一种用于虚拟化平台的数据包监控方法的从外部网络接收网络数据包的接收流程的数据包流向示意图。

本申请提供一种用于虚拟化平台的数据包监控方法，包括：

将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络；和/或

将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机。

所述的将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络，如图2所示，包括如下步骤：

步骤S201，所述发往外部网络的网络数据包，先被发送到所述虚拟机的任一个虚拟网卡；所述虚拟网卡和所述虚拟交换机的虚拟下行链路端口在同一个VLAN中；

步骤S202，所述发往外部网络的网络数据包，在所述VLAN中广播，所述虚拟下行链路端口接收到发往外部网络的网络数据包的广播报文，转发到所述虚拟交换机处理；

步骤S203，所述虚拟交换机，接收到所述发往外部网络的网络数据包的广播报文，进行监控管理，并根据二层转发表，将所述发往外部网络的网络数据包通过所述虚拟上行链路端口发送到外部网络。

所述虚拟机、所述虚拟网卡以及所述虚拟交换机，已经在本申请提供的一种用于虚拟化平台的网卡直通系统的实施例中进行了详细描述，此处不再赘述。

为实现所述的增加导流到虚拟交换机处理这一流程，需要所述虚拟机及其虚拟网卡、所述虚拟交换机及其虚拟网卡满足如下条件：

所述虚拟交换机对应两个所述虚拟网卡，其中一个所述虚拟网卡作为虚拟下行链路端口，是混杂模式端口，并且和所述虚拟机对应的虚拟网卡具有相同的虚拟局域网标识(VLANID)，另外一个虚拟网卡作为虚拟上行链路端口，和虚拟下行链路端口的VLANID不同；所述虚拟上行链路端口对应的所述直通网卡的物理端口为所述虚拟上行链路端口的出口。

本实施例中，在满足上述条件的情况下，实现了将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络，其中图3示出了本申请实施例提供的一种用于虚拟化平台的数据包监控方法的向外部网络发送网络数据包的发送流程的数据包流向示意图。

所述将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机，如图4所示，包括如下步骤：

步骤S401，所述虚拟交换机通过所述虚拟交换机的虚拟上行链路端口，接收到所述来自外部网络的属于所述虚拟机的网络数据包；

步骤S402，所述虚拟交换机，对接收到的所述虚拟机的网络数据包进行监控管理；并将所述虚拟机的网络数据包，由所述虚拟交换机的虚拟下行链路端口通过所述虚拟机的虚拟网卡转发到所述虚拟机。

本实施例中，实现了将由外部网络接收的属于所述虚拟机的网络数据包，先通过所述虚拟交换机的虚拟上行链路端口接收到所述虚拟交换机，由所述虚拟交换机对这些数据包进行监控管理，并且再通过所述虚拟交换机的虚拟下行链路端口，经过所述虚拟网卡转发给所述虚拟机，其中图5示出了本申请实施例提供的一种用于虚拟化平台的数据包监控方法的从外部网络接收网络数据包的接收流程的数据包流向示意图。

本申请提供的一种用于虚拟化平台的数据包监控方法，所述的虚拟交换机，是Open vSwitch。关于所述虚拟交换机以及Open vSwitch，已经在本申请提供的一种用于虚拟化平台的网卡直通系统的第一实施例中有详细说明，此处不再赘述。

本实施例中，对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口，从而实现使用其他应用软件对网络数据流量采用更加灵活的计费方式实现计费。

所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离。

本实施例中，OVS支持对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离，还包括支持ACL规则配置、NAT等功能。

实际应用中，所述虚拟机和所述虚拟交换机运行在虚拟化层；所述虚拟化层支持并运行数据平面开发套件DPDK；所述虚拟交换机，支持所述DPDK；所述的直通网卡支持所述的DPDK。关于所述虚拟化层以及DPDK，已经在本申请提供的一种用于虚拟化平台的网卡直通系统的第一实施例中有详细说明，此处不再赘述。

本发明虽然以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以做出可能的变动和修改，因此本发明的保护范围应当以本发明权利要求所界定的范围为准。

Claims (26)

1.一种用于虚拟化平台的网卡直通系统，其特征在于，包括：虚拟机、虚拟网卡、虚拟交换机；其中

虚拟机，用于将发往外部网络的网络数据包发送到虚拟网卡；并从所述虚拟网卡接收属于所述虚拟机的来自外部网络的网络数据包；

虚拟网卡，用于转发属于所述虚拟机的网络数据包到虚拟交换机；所述网络数据包，包括虚拟机发往外部网络的网络数据包，以及属于所述虚拟机的来自外部网络的网络数据包；

虚拟交换机，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络，将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机；并对所述虚拟机的网络数据包实现监控管理。

2.基于权利要求1所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的虚拟机，被配置为运行在所述虚拟化平台的虚拟化层；

所述的虚拟机为在集群服务器上通过虚拟化技术划分出来的一个或一个以上的独立主机的云主机；

或者是在一台物理主机或一台以上物理主机上采用虚拟化技术实现的一个或多个虚拟主机；

或者是在一台物理服务器或者一台以上物理服务器上采用虚拟化技术实现的一个或多个虚拟专用服务器。

3.基于权利要求2所述的用于虚拟化平台的网卡直通系统，其特征在于，所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备。

4.基于权利要求3所述的用于虚拟化平台的网卡直通系统，其特征在于，所述直通网卡为支持SRIOV技术的直通网卡。

5.基于权利要求4所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的支持SRIOV技术的直通网卡，为支持对所述虚拟机和所述虚拟交换机配置虚拟网卡的直通网卡。

6.基于权利要求5所述的用于虚拟化平台的网卡直通系统，其特征在于，所述直通网卡为包含了内置二层交换机功能的直通网卡。

7.基于权利要求6所述的网卡直通虚拟化系统，其特征在于，基于所述直通网卡，针对所述虚拟交换机，至少配置两个直通虚拟网卡，分别称为第一直通虚拟网卡和第二直通虚拟网卡；其中第一直通虚拟网卡作为所述虚拟交换机的虚拟上行链路端口，用于将所述虚拟机发往外部网络的网络数据包转发到外部网络；第二直通虚拟网卡作为所述虚拟交换机的虚拟下行链路端口，用于将属于所述虚拟机的来自外部网络的网络数据包通过所述虚拟网卡转发到所述虚拟机。

8.基于权利要求7所述的网卡直通虚拟化系统，其特征在于，基于所述直通网卡的内置二层交换机功能，至少划分两个不同的VLAN；

所述的虚拟下行链路端口与所述的一个或多个所述虚拟机的所述虚拟网卡，划分到同一个VLAN中，并且将所述的虚拟下行链路端口配置为所述虚拟机的虚拟网卡的出口；所述的虚拟上行链路端口配置到与所述的虚拟下行链路端口不同的VLAN中；

所述的虚拟上行链路端口配置为混杂模式。

9.基于权利要求8所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的虚拟上行链路端口的出口配置为所述直通网卡的物理端口；其中，所述物理端口为与所述虚拟网卡相对应的物理端口。

10.基于权利要求8所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的虚拟上行链路端口的出口配置为所述虚拟化系统包含的其他直通网卡的端口。

11.基于权利要求8所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的虚拟上行链路端口和所述直通网卡的物理端口所连接的外部交换机设置为同一个广播域。

12.基于权利要求1所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的虚拟交换机支持标准802.1Q VLAN功能；并且所述的虚拟交换机是Open vSwitch。

13.基于权利要求12所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口。

14.基于权利要求12所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：

对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离。

15.基于权利要求14所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的对虚拟网络数据包实现监控管理，还包括至少支持下述任一种功能，对相应封装的网络数据流实现监控管理：

GRE隧道、GRE over IPSEC、VXLAN、LISP隧道。

16.基于权利要求14所述的用于虚拟化平台的网卡直通系统，其特征在于，所述对虚拟网络数据包实现监控管理，包括所述虚拟交换机还支持NetFlow功能，对虚拟网络数据流进行流量分析。

17.基于权利要求14所述的用于虚拟化平台的网卡直通系统，其特征在于，所述控制网络访问策略包括虚拟交换机支持下述任一种功能：

ACL规则设置、NAT。

18.基于权利要求7所述的用于虚拟化平台的网卡直通系统，其特征在于，还包括运行在所述虚拟化层的数据平面开发套件DPDK，用于转发虚拟交换机与直通虚拟网卡之间的网络数据包。

19.基于权利要求1所述的用于虚拟化平台的网卡直通系统，其特征在于，所述虚拟网卡为基于直通网卡虚拟化出的一个或多个具备网卡功能的虚拟设备；所述直通网卡为包含了内置二层交换机功能的直通网卡；

所述虚拟网卡具体用于转发属于所述虚拟机的网络数据包，通过所述直通网卡内置二层交换机的端口转发规则到虚拟交换机。

20.一种用于虚拟化平台的数据包监管方法，其特征在于，包括：

将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络；和/或

将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机。

21.基于权利要求20的一种用于虚拟化平台的数据包监管方法，其特征在于，所述将虚拟机发往外部网络的网络数据包，通过虚拟网卡先转发到虚拟交换机；所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到外部网络，包括：

所述发往外部网络的网络数据包，先被发送到所述虚拟机的任一个虚拟网卡；所述虚拟网卡和所述虚拟交换机的虚拟下行链路端口在同一个VLAN中；

所述发往外部网络的网络数据包，在所述VLAN中广播，所述虚拟下行链路端口接收到发往外部网络的网络数据包的广播报文，转发到所述虚拟交换机处理；

所述虚拟交换机，接收到所述发往外部网络的网络数据包的广播报文，进行监控管理，并根据二层转发表，将所述发往外部网络的网络数据包通过所述虚拟上行链路端口发送到外部网络。

22.基于权利要求20的一种用于虚拟化平台的数据包监管方法，其特征在于，所述将来自外部网络的所述虚拟机的网络数据包，通过虚拟网卡转发到所述虚拟交换机，所述虚拟交换机对所述网络数据包进行监控管理，并将所述网络数据包转发到所述虚拟机，包括：

所述虚拟交换机通过所述虚拟交换机的虚拟上行链路端口，接收到所述来自外部网络的属于所述虚拟机的网络数据包；

所述虚拟交换机，对接收到的所述虚拟机的网络数据包进行监控管理；并将所述虚拟机的网络数据包，由所述虚拟交换机的虚拟下行链路端口通过所述虚拟机的虚拟网卡转发到所述虚拟机。

23.基于权利要求20的一种用于虚拟化平台的网卡直通方法，其特征在于，所述的虚拟交换机，是Open vSwitch。

24.基于权利要求23所述的用于虚拟化平台的网卡直通方法，其特征在于，所述的对虚拟网络数据包实现监控管理，还包括为应用层软件提供对虚拟网络数据流量的计费入口。

25.基于权利要求23所述的用于虚拟化平台的网卡直通系统，其特征在于，所述的对虚拟网络数据包实现监控管理，至少包括下述任一种功能：

对虚拟网络数据流实现流量监控、限流、QoS转发、控制网络访问策略、网络隔离。

26.基于权利要求20所述的用于虚拟化平台的网卡直通方法，其特征在于，所述虚拟机和所述虚拟交换机运行在虚拟化层；所述虚拟化层支持并运行数据平面开发套件DPDK。