CN109445912A

CN109445912A - 一种虚拟机的配置方法、配置系统及sdn控制器

Info

Publication number: CN109445912A
Application number: CN201811353670.6A
Authority: CN
Inventors: 李凯; 王天军; 何伟; 常春雷; 马军; 杨大伟; 马斌
Original assignee: SICHUAN ZHONGDIAN VENUS INFORMATION TECHNOLOGY Co Ltd; National Network Xinjiang Electric Power Co Ltd Information And Communication Co
Current assignee: SICHUAN ZHONGDIAN VENUS INFORMATION TECHNOLOGY Co Ltd; National Network Xinjiang Electric Power Co Ltd Information And Communication Co; Information and Telecommunication Branch of State Grid Xinjiang Electric Power Co Ltd
Priority date: 2018-11-14
Filing date: 2018-11-14
Publication date: 2019-03-08

Abstract

本发明公开了一种虚拟机的配置方法，应用软件定义网络SDN技术改造移动视频传输系统，实现控制器与交换机分离，基于SDN控制器编写算法实现，在接收到配置虚拟机的命令后，调用VPC软件，根据虚拟机的类型为虚拟机分配与类型对应的IP地址段中的IP地址，且各类型对应的IP地址段之间无重叠，并根据预设规则为虚拟机分配资源，从而使得不同业务或不同的安全级别的虚拟机被分配在不同的IP地址段内，不仅实现了对虚拟机的自主配置，更实现了虚拟机之间的安全隔离，提高了虚拟机之间的访问安全性。本发明还公开了一种虚拟机的配置系统及SDN控制器，具有上述有益效果。

Description

一种虚拟机的配置方法、配置系统及SDN控制器

技术领域

本发明涉及网络技术领域，特别是涉及一种虚拟机的配置方法、配置系统及SDN控制器。

背景技术

虚拟机(Virtual Machine)指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。

虚拟系统通过生成现有操作系统的全新虚拟镜像，它具有真实windows系统完全一样的功能，进入虚拟系统后，所有操作都是在这个全新的独立的虚拟系统里面进行，可以独立安装运行软件，保存数据，拥有自己的独立桌面，不会对真正的系统产生任何影响，而且具有能够在现有系统与虚拟镜像之间灵活切换的一类操作系统。

然而，当前的资源池主要是将物理资源虚拟成多个虚拟资源提供给用户使用，传统网络无法对虚拟资源进行有效地网络安全隔离及有效地访问控制；导致用户可以任意访问资源池中的虚拟机，且虚拟机之间可以互相访问通信，失去了网络物理隔离的天然屏障，增加了虚拟机之间网络的不稳定性。

因此，如何提高虚拟机之间的访问安全性，是本领域技术人员需要解决的技术问题。

发明内容

本发明的目的是提供一种虚拟机的配置方法、配置系统及SDN控制器，用于提高虚拟机之间的访问安全性。

为解决上述技术问题，本发明提供一种虚拟机的配置方法，基于SDN控制器，包括：

接收配置虚拟机的命令，调用VPC软件根据所述虚拟机的类型为所述虚拟机分配与所述类型对应的IP地址段中的IP地址；

根据预设规则为所述虚拟机分配资源；

其中，各所述类型对应的IP地址段之间无重叠。

可选的，所述资源包括核心域资源和接入域资源；

所述核心域资源的区域和所述接入域资源的区域之间相互隔离。

可选的，还包括：

根据所述类型，为所述虚拟机绑定VxLAN VNI网络标识。

可选的，所述根据所述虚拟机的类型为所述虚拟机分配IP地址，具体包括：

根据所述虚拟机的安全级别为所述虚拟机分配私网IP地址；

根据所述虚拟机的业务类型为所述虚拟机分配公网IP地址。

可选的，所述根据所述虚拟机的安全级别为所述虚拟机分配私网IP地址，具体为：

按所述虚拟机的安全级别，应用VSLM技术和CIDR技术为所述虚拟机分配所述IP地址。

可选的，所述根据所述虚拟机的业务类型为所述虚拟机分配公网IP地址，具体为：

对请求访问外网的业务，在防火墙上进行IP地址转换后，输出对应的公网IP地址池。

可选的，还包括：

接收输入的设置，根据所述设置建立所述私网IP地址和所述公网IP地址之间的路由；

生成浮动IP地址，并将所述浮动IP地址分配给所述虚拟机。

为解决上述技术问题，本发明还提供一种虚拟机的配置系统，包括用于实现上述任意一项所述的SDN控制器，还包括交换机、计算服务器和存储服务器，所述交换机分别与所述控制器、所述计算服务器和所述存储服务器连接；

其中，所述交换机用于提供虚拟机访问的路由服务；所述计算服务器用于承载所述虚拟机；所述存储服务器用于提供资源。

可选的，所述计算服务器基于业务分组，计算机服务器组与VxLAN网一一对应。

为解决上述技术问题，本发明还提供一种SDN控制器，包括：

存储器，用于存储指令，所述指令包括上述任意一项所述虚拟机的配置方法的步骤；

处理器，用于执行所述指令。

本发明所提供的虚拟机的配置方法，应用软件定义网络SDN技术改造移动视频传输系统，实现控制器与交换机分离，基于SDN控制器编写算法实现，在接收到配置虚拟机的命令后，调用VPC软件，根据虚拟机的类型为虚拟机分配与类型对应的IP地址段中的IP地址，各类型对应的IP地址段之间无重叠，并根据预设规则为虚拟机分配资源，从而使得不同业务或不同的安全级别的虚拟机被分配在不同的IP地址段内，不仅实现了对虚拟机的自主配置，更实现了虚拟机之间的安全隔离，提高了虚拟机之间的访问安全性。本发明还提供一种虚拟机的配置系统及SDN控制器，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚的说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供一种虚拟机的配置方法的流程图；

图2为本发明实施例提供一种图1中步骤S10的具体实施方式的流程图；

图3为本发明实施例提供一种虚拟机的配置系统的结构示意图；

图4为本发明实施例提供的一种SDN控制器的结构示意图。

具体实施方式

本发明的核心是提供一种虚拟机的配置方法、配置系统及SDN控制器，用于提高虚拟机之间的访问安全性。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明实施例提供一种虚拟机的配置方法的流程图。如图1所示，基于SDN控制器，虚拟机的配置方法包括：

S10：接收配置虚拟机的命令，调用VPC软件根据虚拟机的类型为虚拟机分配与类型对应的IP地址段中的IP地址。

其中，各类型对应的IP地址段之间无重叠。

现有技术中，虚拟机之间由于没有物理隔离，始终面临着漏洞威胁。

本发明实施例应用SDN技术通过网络虚拟层针对不同的业务应用系统建立不同的私网地址，并进行严格的划分，实现基于策略的网络安全控制，为网络故障的快速定位提供参考，以降低运维工作量，提高虚拟机网络之间的安全隔离。

在具体实施中，应用专有网络VPC软件，预先为专有网络VPC软件分配IP地址池，专有网络VPC软件被分成多个子网，然后在网关和IPSec路由器之间建立VPN连接，这样网站流量就可以通过，IP地址池就可以作用于VPN连接，使得任何AWS资源都会受到企业防火墙和路由规则的约束。预先设计虚拟机的类型与IP地址段的对应关系，且各类型对应的IP地址段之间无重合，保证不同类型的虚拟机之间形成网络隔离。虚拟机的类型可以为虚拟机的业务类型或者安全级别。

进行上述配置完毕后，接收输入的建立虚拟机的命令，根据虚拟机的类型为虚拟机分配IP地址。

在一个VPC网络中，可以将应用的不同服务的虚拟机放在不同的子网，如将web服务放在子网一，应用服务放在子网二，数据库服务放在子网三，子网之间用自定义路由连接。预先对子网内部虚拟机设置安全组策略，子网与子网间的路由可以设置防火墙策略，保证应用分区分段安全可靠。

基于专有网络VPC软件，还可以预先对子网内部服务设置负载均衡器以保证应用的负载均衡及高可用，如在web服务的子网和应用服务的子网中设置负载均衡器，保证资源的负载均衡及应用的高可用。

为实现虚拟机的平滑迁移，虚拟机的配置方法还可以包括：

根据虚拟机的类型，为虚拟机绑定VxLAN VNI网络标识。

VLAN扩展方案VXLAN(Virtual eXtensible Local Area Network)采用MAC inUDP封装方式，是一种网路虚拟化技术。针对大二层网络，VXLAN解决了虚拟机规模受网络规格限制；VXLAN引入VXLAN Network Identifier(VNI)网络标识，突破了传统VLAN网络规模限制。

在具体实施中，在整个虚拟化系统中，针对业务系统内部子系统采用VLAN划分，统一封装在一个VxLAN内部，实现业务系统分子级的安全管理。应用VXLAN技术，将同一类型的虚拟机划分至同一VXLAN中，由虚拟交换机为虚拟机打上VxLAN tag。将位于两中心的物理服务器规划在同一VXLAN内，即可实现虚拟机的跨中心迁移。

S11：根据预设规则为虚拟机分配资源。

预先将资源划分为核心域资源和接入域资源，并使核心域资源的区域和接入域资源的区域之间相互隔离。预先将虚拟化资源按照核心域资源、接入域资源进行重新分组，对虚拟化资源池资源设置基本粒度的访问控制策略。按照业务系统划分独立子域的要求，将核心域划分为业务生产子域和安全管理子域，设置端口级的访问控制策略。强化互联接口子域对互联网流量的安全防护要求，对互联接口子域内设备设置细粒度的访问控制策略。

基于上述设置，在具体实施中，基于虚拟机的类型(包括业务类型和安全级别等)，以及用户输入的设置，为虚拟机分配资源。

本发明实施例提供的虚拟机的配置方法，在接收到配置虚拟机的命令后，调用VPC软件，根据虚拟机的类型为虚拟机分配与类型对应的IP地址段中的IP地址，且各类型对应的IP地址段之间无重叠，并根据预设规则为虚拟机分配资源，从而使得不同业务或不同的安全级别的虚拟机被分配在不同的IP地址段内，不仅实现了对虚拟机的自主配置，更实现了虚拟机之间的安全隔离，提高了虚拟机之间的访问安全性。

图2为本发明实施例提供一种图1中步骤S10的具体实施方式的流程图。如图2所示，在上述实施例的基础上，在另一实施例中，步骤S10具体包括：

S20：根据虚拟机的安全级别为虚拟机分配私网IP地址。

根据用户设置判断虚拟机的安全级别，并按照虚拟机的安全级别划分到不同的资源池，不同的资源池分配不同的IP地址段。

考虑到业务发展需要同一资源池内的IP地址分配，按虚拟机的安全级别为虚拟机分配IP地址，具体为：

按虚拟机的安全级别，应用VSLM技术和CIDR技术为虚拟机分配所述IP地址。

在资源池内部应用私有IP地址，根据VLAN和业务分配地址段，并进行一定比例的预留，以便于扩展。

S21：根据虚拟机的业务类型为虚拟机分配公网IP地址。

在具体实施中，由于公网IP地址的需求会少于私网IP地址的需求，公网IP地址的分配原则可以参考城域网的IP地址分配原则：

根据不同的业务系统为虚拟机分配不同的IP地址段中的公网IP地址；同一中心的相同业务系统分配相同的IP地址段中的地址；考虑到业务发展和拓展性，对每段IP地址都进行预留。

按虚拟机的业务类型为虚拟机分配IP地址，具体可以为：

通过输出对应的公网IP地址池，以供虚拟机选择可用的公网IP地址。

进一步的，虚拟机的配置方法还可以包括：

接收输入的设置，根据设置建立私网IP地址和公网IP地址之间的路由；

生成浮动IP地址，并将浮动IP地址分配给虚拟机。

本发明实施例提供的虚拟机的配置方法，提供了一种资源池网络规划的方法，根据虚拟机的安全级别为虚拟机分配私网IP，根据虚拟机的业务类型为虚拟机分配公网IP，提高了虚拟机配置的自主能力。

上文详述了虚拟机的配置方法对应的各个实施例，在此基础上，本发明还公开了与上述方法对应的虚拟机的配置系统。

图3为本发明实施例提供一种虚拟机的配置系统的结构示意图。如图3所示，虚拟机的配置系统包括用于实现上述任意一项所述的虚拟机的配置方法的控制器100，还包括交换机200、计算服务器300和存储服务器400，交换机200分别与SDN控制器100、计算服务器300和存储服务器400连接；

其中，交换机200用于提供虚拟机访问的路由服务；计算服务器300用于承载虚拟机；存储服务器400用于提供资源。

将主机节点分为控制节点、网络节点、计算节点及存储节点等，网络节点主要运行DHCP服务虚拟路由服务，虚拟机运行于计算节点上，计算节点间的虚拟机之间和计算节点和网络节点之间通过VxLAN隧道建立通信。在虚拟机的配置系统中，对应控制器100、交换机200、计算服务器300和存储服务器400。

在具体实施中，采用100G平台的数据中心级交换机搭建核心交换平台，用以支持虚拟化技术，提供所有接入云平台业务的高速数据交换，并负责出口到CMNET、外联网络(原有业支、网管、管信和业务系统等)等区域；同时支持openflow协议，满足SDN overlay网络构建，能作为VxLAN三层网关。

交换机200的路由协议规划：

首先，业务私有云网络属于典型的局域网络，从满足业务特性与提高资源利用率的角度出发，内部云网络主体需以二层网络为主，因为只有在二层网络内方可实现虚拟机与物理机的资源灵活调配及业务无缝迁移等。

其次，由于资源池平台与CMNET、外联区等外部网络存在互联互通需求，同时又需严格控制访问权限，因此在这些外部网络与云平台之间以BGP、OSPF、策略路由等三层路由的方式建立连接，按需发布路由。

将系统划分到不同的汇聚区域，各区域根据业务量大小及重要性选用数据中心级交换机或普通支持虚拟化的交换机做为汇聚设备；各区域通过汇聚交换机提供机架式服务器、PC Server等业务的接入；汇聚层设备支持虚拟化技术、通过万兆上行到核心交换平台；支持openflow协议，满足SDN overlay网络构建，能作为VxLAN二层网关。

各区域内部业务的安全隔离和流量负载，在核心交换平台上统一部署安全资源池。通过NFV技术实现安全资源X86平台的部署，配合安全服务链模式，实现灵活的东西向流量安全防护；各业务系统网关建议统一部署在核心交换机或者安全综合网关，方便虚拟跨域二层平滑迁移，以保证业务体验。

在后端管理网络中，划分专门的综合维护区，部署防火墙、漏洞扫描及安全审计系统等设备，实现所有设备的统一、安全的运维管理。

进一步的，计算服务器300基于业务分组，计算机服务器组与VxLAN网一一对应。

针对物理主机的VxLAN规划具体为将承担同样角色的主机划归到一个VxLAN网内即可，如10台主机都是WEB服务器，那么将这10台主机划在一个VxLAN网内，通过负载均衡设备实现业务响应的轮循即可。

由于系统部分的实施例与方法部分的实施例相互对应，因此系统部分的其他实施方式请参见方法部分的实施例的描述，这里暂不赘述。

图4为本发明实施例提供的一种SDN控制器的结构示意图。如图4所示，该SDN控制器100可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processing units，CPU)110(例如，一个或一个以上处理器)和存储器120，一个或一个以上存储应用程序133或数据132的存储介质130(例如一个或一个以上海量存储设备)。其中，存储器120和存储介质130可以是短暂存储或持久存储。存储在存储介质130的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对计算装置中的一系列指令操作。更进一步地，处理器110可以设置为与存储介质130通信，在SDN控制器100上执行存储介质130中的一系列指令操作。

SDN控制器100还可以包括一个或一个以上电源140，一个或一个以上有线或无线网络接口150，一个或一个以上输入输出接口140，和/或，一个或一个以上操作系统131，例如Windows Server^TM，Mac OS X^TM，Unix^TM,Linux^TM，FreeBSD^TM等等。

上述图1至图2所描述的虚拟机的配置方法中的步骤由SDN控制器100基于该图4所示的结构实现。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的SDN控制器及计算机可读存储介质的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的方法、系统及设备，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块的间接耦合或通信连接，可以是电性，机械或其它的形式。作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，功能调用装置，或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上对本发明所提供的一种虚拟机的配置方法、配置系统及SDN控制器进行了详细介绍。说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种虚拟机的配置方法，其特征在于，基于SDN控制器，包括：

根据预设规则为所述虚拟机分配资源；

其中，各所述类型对应的IP地址段之间无重叠。

2.根据权利要求1所述的配置方法，其特征在于，所述资源包括核心域资源和接入域资源；

3.根据权利要求1所述的配置方法，其特征在于，还包括：

根据所述类型，为所述虚拟机绑定VxLAN VNI网络标识。

4.根据权利要求1所述的配置方法，其特征在于，所述根据所述虚拟机的类型为所述虚拟机分配IP地址，具体包括：

根据所述虚拟机的安全级别为所述虚拟机分配私网IP地址；

根据所述虚拟机的业务类型为所述虚拟机分配公网IP地址。

5.根据权利要求4所述的配置方法，其特征在于，所述根据所述虚拟机的安全级别为所述虚拟机分配私网IP地址，具体为：

6.根据权利要求4所述的配置方法，其特征在于，所述根据所述虚拟机的业务类型为所述虚拟机分配公网IP地址，具体为：

7.根据权利要求4所述的配置方法，其特征在于，还包括：

生成浮动IP地址，并将所述浮动IP地址分配给所述虚拟机。

8.一种虚拟机的配置系统，其特征在于，包括用于实现权利要求1至7任意一项所述的SDN控制器，还包括交换机、计算服务器和存储服务器，所述交换机分别与所述控制器、所述计算服务器和所述存储服务器连接；

9.根据权利要求8所述的配置系统，其特征在于，所述计算服务器基于业务分组，计算机服务器组与VxLAN网一一对应。

10.一种SDN控制器，其特征在于，包括：

存储器，用于存储指令，所述指令包括权利要求1至7任意一项所述虚拟机的配置方法的步骤；

处理器，用于执行所述指令。