CN109639551A - 虚拟化引流装置和方法 - Google Patents

Abstract

本发明实施例提供一种虚拟化引流系统和方法，属于虚拟化网络领域。该系统包括：引流交换机，包括至少一个引流端口组，所述至少一个引流端口组具有不同的VLAN id，且与所述至少一个端口组的VLAN id不同；至少一个中继端口组，所述每个虚拟交换机和所述引流交换机分别包含所述至少一个中继端口组中的一个中继端口组；处理器，用于修改所述虚拟机的网卡挂接的端口组；安全虚拟机，用于连接所述每个虚拟交换机的中继端口组和所述引流交换机的中继端口组，在需要引流的虚拟机被挂接到引流端口组时，将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。本发明可以将虚拟机之间的流量引流至其他虚拟机以便进行检测。

Description

虚拟化引流装置和方法

技术领域

本发明涉及虚拟化网络，具体地涉及虚拟化引流装置和方法。

背景技术

随着云计算与虚拟化技术的发展，越来越多的数据中心从传统数据中心转向虚拟化数据中心。虚拟机之间的流量完全在虚拟化系统内部转发，传统网络安全设备、审计设备等物理硬件无法再对这些流量进行检测。所以在虚拟化系统中，如何检测虚拟机之间的流量成为一种迫切需求。

发明内容

本发明实施例的目的是提供一种虚拟化引流装置和方法，该虚拟化引流装置和方法可以将虚拟机之间的流量引流至其他虚拟机以便进行检测。

为了实现上述目的，本发明实施例提供一种虚拟化引流系统，该系统包括至少一个虚拟交换机，所述至少一个虚拟交换机的每个虚拟交换机包括至少一个端口组，所述至少一个端口组的每个端口组挂接至少一个虚拟机，该系统还包括：引流交换机，包括至少一个引流端口组，所述至少一个引流端口组具有不同的VLAN id，且与所述至少一个端口组的VLAN id不同；至少一个中继端口组，所述每个虚拟交换机和所述引流交换机分别包含所述至少一个中继端口组中的一个中继端口组；处理器，用于修改所述虚拟机的网卡挂接的端口组；安全虚拟机，用于连接所述每个虚拟交换机的中继端口组和所述引流交换机的中继端口组，在需要引流的虚拟机被挂接到引流端口组时，将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLANid分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

优选地，所述将接收到的报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

本发明实施例还提供一种虚拟化引流方法，该方法基于上文所述的至少一个虚拟交换机、引流交换机以及至少一个中继端口组，该方法包括：修改所述虚拟机的网卡挂接的端口组以将需要引流的虚拟机挂接到引流端口组；以及将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLANid分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLANid，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

通过本发明的技术方案，设置引流交换机、至少一个中继端口组、处理器以及安全虚拟机，通过修改所述虚拟机的网卡挂接的端口组，使需要引流的虚拟机被挂接到引流交换机的引流端口组，再将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发，可以将虚拟机之间的流量引流至安全虚拟机中，以便对流量进行检测。

本发明实施例的其它特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本发明实施例的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明实施例，但并不构成对本发明实施例的限制。在附图中：

图1是本发明一实施例提供的虚拟化引流系统的结构示意图；

图2是本发明另一实施例提供的虚拟化引流系统的结构示意图；

图3是本发明另一实施例提供的虚拟化引流系统的结构示意图；

图4是本发明另一实施例提供的虚拟化引流系统的结构示意图；

图5是本发明另一实施例提供的虚拟化引流系统的结构示意图；

图6是本发明另一实施例提供的虚拟化引流系统的结构示意图；

图7是本发明一实施例提供的虚拟化引流方法的流程图。

附图标记说明

1 虚拟交换机 2 端口组

31 第一虚拟机 32 第二虚拟机

33 第三虚拟机 4 引流交换机

51 第一引流端口组 52 第二引流端口组

6 中继端口组 7 安全虚拟机。

具体实施方式

以下结合附图对本发明实施例的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明实施例，并不用于限制本发明实施例。

图1是本发明一实施例提供的虚拟化引流系统的结构示意图。如图1所示，该系统包括至少一个虚拟交换机1，所述至少一个虚拟交换机1的每个虚拟交换机1包括至少一个端口组2，所述至少一个端口组2的每个端口组2挂接至少一个虚拟机31，32，33，该系统还包括：引流交换机4，包括至少一个引流端口组51，52，所述至少一个引流端口组51，52具有不同的VLANid，且与所述至少一个端口组2的VLAN id不同；至少一个中继端口组6，所述每个虚拟交换机1和所述引流交换机4分别包含所述至少一个中继端口组6中的一个中继端口组6；处理器，用于修改所述虚拟机的网卡挂接的端口组；安全虚拟机7，用于连接所述每个虚拟交换机1的中继端口组6和所述引流交换机4的中继端口组6，在需要引流的虚拟机被挂接到引流端口组51，52时，将报文在需要引流的虚拟机31，32，33和挂接在虚拟交换机1的端口组2的虚拟机31，32，33之间进行转发。

虚拟化系统可以有一个以上的虚拟交换机1，本发明实施例中以一个虚拟交换机1为例。在虚拟交换机1中可以具有一个以上的端口组2，本发明实施例假设存在一个端口组2的VLAN id为100。第一虚拟机31、第二虚拟机32以及第三虚拟机33都挂接在VLAN id为100的端口组2上。这三台虚拟机31，32，33之间的网络流量可以直接通过虚拟交换机1进行转发。

本方法创建新的分布式虚拟交换机1，即引流交换机4，引流交换机4同样可以具备一个以上的引流端口组，本发明实施例在引流交换机4中创建第一引流端口组51和第二引流端口组52。这些新创建的引流端口组51，52分配不同的VLAN id，例如第一引流端口组51的VLAN id为200，第二引流端口组52的VLAN id为300。同时，分别在虚拟交换机1和引流交换机4上创建VLAN中继模式的中继端口组6，然后让安全虚拟机7的两个业务网口101和102分别挂接在这两个中继端口组6上。

当需要把第二虚拟机32和第三虚拟机33的流量引流至安全虚拟机7时，通过修改虚拟机网卡所属的端口组，把它们从虚拟交换机1上修改至引流交换机4中。如图1中所示，将第二虚拟机32挂接在第一引流端口组51中，将第三虚拟机33挂接在第二引流端口组52中。由于第二虚拟机32与第三虚拟机33挂接的引流端口组51，52的VLAN id不同，所以第二虚拟机32与第三虚拟机33将不能直接通信，它们的流量将通过中继端口组6流入安全虚拟机7。为了确保流量转发正常，安全虚拟机7需要对流量进行处理。具体处理方式如下文详述。

图2是本发明另一实施例提供的虚拟化引流系统的结构示意图。如图2所示，在接收到来自挂接在虚拟交换机1的端口组2的虚拟机的单播报文时，将该单播报文携带的VLANid修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机4的中继端口组6连接的接口发送。

在本发明实施例中，假设安全虚拟机7接收到第一虚拟机31发送给第二虚拟机32的单播报文时，第二虚拟机32作为需要引流的虚拟机，被挂接到第一引流端口组51。安全虚拟机7从其101口接收到报文。这种报文会携带VLAN id为100的标签头，安全虚拟机7负责将VLAN id修改为第一引流端口组51的VLAN id，即200，然后从102口发送出去，即实现了如图2所示的通过安全虚拟机7将报文从第一虚拟机31转发至第二虚拟机32。

图3是本发明另一实施例提供的虚拟化引流系统的结构示意图。如图3所示，在接收到来自挂接在虚拟交换机1的端口组2的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机4的中继端口组6连接的接口发送。

在本发明实施例中，假设安全虚拟机7接收到第一虚拟机31发送的广播报文(发送给第二虚拟机32和第三虚拟机33)时，第二虚拟机32和第三虚拟机33作为需要引流的虚拟机，分别被挂接到第一引流端口组51和第二引流端口组52。安全虚拟机7从其101口接收到报文。这种报文会携带VLAN id为100的标签头，安全虚拟机7负责将报文复制两个，并把其中一个的VLAN id修改为第一引流端口组51的VLAN id，即200，而另一个的VLAN id修改为第二引流端口组52的VLAN id，即300。然后将两个报文都从102口发送出去，即实现了如图3所示的通过安全虚拟机7将报文从第一虚拟机31转发至第二虚拟机32和第三虚拟机33。

图4是本发明另一实施例提供的虚拟化引流系统的结构示意图。如图4所示，在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述虚拟交换机1的中继端口组6连接的接口发送。

在本发明实施例中，假设第二虚拟机32作为需要引流的虚拟机被挂接到第一引流端口组51，安全虚拟机7接收到第二虚拟机32发送给第一虚拟机31的单播报文时，安全虚拟机7从102口接收到报文。这种报文会携带VLAN id为200的标签头，安全虚拟机7负责将VLANid修改为端口组的VLAN id，即100，然后从101口发送出去，即实现了如图4所示的通过安全虚拟机7将报文从第二虚拟机32转发至第一虚拟机31。

图5是本发明另一实施例提供的虚拟化引流系统的结构示意图。如图5所示，在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流中继端口组6连接的接口发送。

在本发明实施例中，假设第二虚拟机32和第三虚拟机33作为需要引流的虚拟机，分别被挂接到第一引流端口组51和第二引流端口组52，安全虚拟机7接收到第二虚拟机32发送给第三虚拟机33的单播报文时，安全虚拟机7从102口接收到报文。这种报文会携带VLAN id为200的标签头，安全虚拟机7负责将VLAN id修改为第二引流端口组52的VLAN id，即100，然后从102口发送出去，即实现了如图5所示的通过安全虚拟机7将报文从第二虚拟机32转发至第三虚拟机33。

图6是本发明另一实施例提供的虚拟化引流系统的结构示意图。如图6所示，在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机4的中继端口组6连接的接口和/或与所述虚拟交换机1的中继端口组6连接的接口发送。

在本发明实施例中，假设第二虚拟机32和第三虚拟机33作为需要引流的虚拟机，分别被挂接到第一引流端口组51和第二引流端口组52，安全虚拟机7接收到第二虚拟机32发送的广播报文(发送给第一虚拟机31和第三虚拟机33)时，安全虚拟机7从其102口接收到报文。这种报文会携带VLAN id为200的标签头，安全虚拟机7负责将报文复制两个，并把其中一个的VLAN id修改为端口组2的VLAN id，即100，而另一个的VLAN id修改为第二引流端口组52的VLAN id，即300。然后将VLAN id为100的报文从101口发送出去，将VLAN id为300的报文从102口发送出去，即实现了如图6所示的通过安全虚拟机7将报文从第二虚拟机32转发至第一虚拟机31和第三虚拟机33。

上述实施例仅以3台虚拟机31，32，33为例进行说明。如果要引流的虚拟机数目更多，则单播报文的转发方式类似。而广播报文需要广播至同网段的所有虚拟机，也就是要复制多份，在此不再赘述。

图7是本发明一实施例提供的虚拟化引流方法的流程图。如图7所示，该方法基于上文所述的至少一个虚拟交换机、引流交换机以及至少一个中继端口组，该方法包括：

步骤S71，修改所述虚拟机的网卡挂接的端口组以将需要引流的虚拟机挂接到引流端口组；以及

步骤S72，将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自挂接在虚拟交换机的端口组的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLANid分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

优选地，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

以上方法的实施例与上述装置的实施例相似，在此不再赘述。

通过本发明的技术方案，设置引流交换机、至少一个中继端口组、处理器以及安全虚拟机，通过修改所述虚拟机的网卡挂接的端口组，使需要引流的虚拟机被挂接到引流交换机的引流端口组，再将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发，可以将虚拟机之间的流量引流至安全虚拟机中，以便对流量进行检测。

以上结合附图详细描述了本发明实施例的可选实施方式，但是，本发明实施例并不限于上述实施方式中的具体细节，在本发明实施例的技术构思范围内，可以对本发明实施例的技术方案进行多种简单变型，这些简单变型均属于本发明实施例的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合。为了避免不必要的重复，本发明实施例对各种可能的组合方式不再另行说明。

本领域技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序存储在一个存储介质中，包括若干指令用以使得单片机、芯片或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

此外，本发明实施例的各种不同的实施方式之间也可以进行任意组合，只要其不违背本发明实施例的思想，其同样应当视为本发明实施例所公开的内容。

Claims (10)

1.一种虚拟化引流系统，该系统包括至少一个虚拟交换机，所述至少一个虚拟交换机的每个虚拟交换机包括至少一个端口组，所述至少一个端口组的每个端口组挂接至少一个虚拟机，其特征在于，该系统还包括：

引流交换机，包括至少一个引流端口组，所述至少一个引流端口组具有不同的VLANid，且与所述至少一个端口组的VLAN id不同；

至少一个中继端口组，所述每个虚拟交换机和所述引流交换机分别包含所述至少一个中继端口组中的一个中继端口组；

处理器，用于修改所述虚拟机的网卡挂接的端口组；

安全虚拟机，用于连接所述每个虚拟交换机的中继端口组和所述引流交换机的中继端口组，在需要引流的虚拟机被挂接到引流端口组时，将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。

2.根据权利要求1所述的虚拟化引流系统，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自挂接在虚拟交换机的端口组的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

3.根据权利要求1所述的虚拟化引流系统，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自挂接在虚拟交换机的端口组的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

4.根据权利要求1所述的虚拟化引流系统，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

5.根据权利要求1所述的虚拟化引流系统，其特征在于，所述将接收到的报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

6.一种虚拟化引流方法，其特征在于，该方法基于权利要求1所述的至少一个虚拟交换机、引流交换机以及至少一个中继端口组，该方法包括：

修改所述虚拟机的网卡挂接的端口组以将需要引流的虚拟机挂接到引流端口组；以及

将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发。

7.根据权利要求6所述的虚拟化引流方法，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自挂接在虚拟交换机的端口组的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

8.根据权利要求6所述的虚拟化引流方法，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自挂接在虚拟交换机的端口组的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口发送。

9.根据权利要求6所述的虚拟化引流方法，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自需要引流的虚拟机的单播报文时，将该单播报文携带的VLAN id修改为该单播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。

10.根据权利要求6所述的虚拟化引流方法，其特征在于，所述将报文在需要引流的虚拟机和挂接在虚拟交换机的端口组的虚拟机之间进行转发包括：

在接收到来自需要引流的虚拟机的广播报文时，以该广播报文的发送目标的数量将该广播报文进行复制，并将复制后的广播报文携带的VLAN id分别修改为该广播报文的发送目标对应的VLAN id，并从与所述引流交换机的中继端口组连接的接口或与所述虚拟交换机的中继端口组连接的接口发送。