CN109981367B - 基于内网穿透的虚机paas服务管理的方法 - Google Patents

Abstract

本发明公开了一种基于内网穿透的虚机paas服务管理的方法，在openstack云环境上相互隔离的多个租户所创建的虚机中，穿透入虚机所在的内网网段，从而利用ssh私钥的注入，免密码远程访问所创建的虚机，部署用户定制的paas服务。这种方案提高了租户间各个paas服务的管理能力，对于用户来说，彼此“透明”互不干扰，只要在需要进入虚机内网时，获取当前虚机创建时选择的内部网络的id，执行相应的命令进行namespace的切换，可以随时退出，返回最初所在openstack环境所在的网络，也不需要额外的网络接口的管理，降低了管理成本。此外，私钥的登录，能阻止未被授权的机器暴力破解访问从而产生数据泄露等安全性问题。

Description

基于内网穿透的虚机paas服务管理的方法

技术领域

本发明属于计算机领域，特别涉及云计算平台用户创建实例后，一种内网穿透技术可以进入任意虚机进行自动化部署服务管理方案。

背景技术

在这个信息“爆炸式”增长的时代，社会要求信息处理的速度也随着提高，大型公司会通过购买大型的服务器建立数据中心来提高计算能力，不过需要耗费巨大的人力和财力来进行管理，同时数据中心也会出现计算能力过剩的问题，造成一部分的资源浪费，而小公司的数据计算则需要依托于其他数据中心，存在数据安全性的问题。于是，云计算技术顺势而生，这是一种基于网络的、可配置的共享计算资源池能够方便的、随需访问的一种模式。这些可配置的共享资源计算池包括网络、服务器、存储、应用和服务。并且这些资源池以最小化的管理或者通过与服务提供商的交互可以快速地提供和释放。用户可以在任意位置、使用各种终端获取应用服务。所请求的资源来自“云”，而不是固定的有形的实体。应用在“云”中某处运行，但实际上用户无需了解、也不用担心应用运行的具体位置。只需要一台笔记本或者一个手机，就可以通过网络服务来实现我们需要的一切，甚至包括超级计算这样的任务。Openstack作为一个云计算管理平台，租户可以按照自己的规划在云环境上面利用已有的网络、存储、镜像来创建虚机。其中平台即服务(PaaS)就是一个基于云计算环境，用户可以利用它进行应用程序的快速开发，运行和管理。这种云的资源化能力可以脱离现实中物理网络带来的各种不便，但随之而来的问题是不同服务之间的网络是可能重叠的，也有可能是相互隔离的，用户创建的不同网络之间怎么实现内网穿透的才是实现云的服务能力需要优先解决的问题。

当今许多云计算公司，实现对虚机自动化部署服务的管理大都是通过网线连接当前用户创建的各个不同的网络，用NAT网关进行网络的转换，从而进入虚机的内网来部署服务。例如华为云就是利用创建ELB，并把云主机添加到ELB的监听范围内这种方法实现的虚机网络的管理控制。这种方案带来的弊端是不能实现随用随取，进入虚机管理需要穿过层层的管理网络，而且一旦其中一台因为外部或内部的因素影响出现了宕机的故障，所提供的服务也会随之中断，影响正常工作，并可能影响关键性数据，造成损失巨大。

为了避免上述提到的外部或内部的因素的影响造成的损失，华为云给负载均衡器的EIP开通antiddos服务，同时设置安全组限制用户的访问，防止出现内部或外部DOS攻击这样的情况。但这种方案只有效解决人为因素的影响，而且也提高了成本，没有实现给用户提供更方便、快捷的访问。

发明内容

本文基于Linux的网络虚拟化技术namespace穿透到用户所创建的任意虚机的内网中，并利用ssh私钥的注入从而实现虚机的免密码登录，进而实现不同服务在虚机上的自动化部署。这样既能实现用户对云平台上不同paas服务的管理，每次只对需要部署的虚机进行内网穿透，更快捷又能保证访问的安全性。具体方案如下：

一种基于内网穿透的虚机paas服务管理的方法，包括以下步骤：

步骤一，在openstack云环境下的neutron网络节点上创建新的内部网络以及子网，或者在其他虚机环境中创建可用的网络命名空间；

步骤二，利用openstack编排服务整合创建虚机所需要的资源，即通过传入用户创建的包括网络、镜像、存储、实例类型在内的资源参数搭建虚机heat模板，并发送虚机创建请求，以完成虚机创建；

步骤三，在当前neutron网络节点即云环境所在镜像系统中使用Linux自带的虚拟网络化技术，执行“ip netns exec qdhcp-网络id”命令进入当前网络id所在的网络空间，网络id为当前创建虚机的内部网络的id；

步骤四，根据用户的需求在所创建的虚机上部署paas服务，并在当前openstack云环境上通过ssh-keygen产生该虚机的公私钥，再在当前云环境节点保存私钥，然后把公钥远程注入到保存在所创建的虚机上的检验文件authorized_keys中，添加目标虚机的ssh认证信息以实现当前neutron网络节点免密访问，当通过当前云环境节点远程访问目标虚机时需进行密钥校验，两端验证通过才允许建立连接，并直接进入该实例进行用户服务的部署操作。

所述的一种基于内网穿透的虚机paas服务管理的方法，所述的步骤一中，在openstack环境中创建新的网络以及子网时，如果需要虚机连接外网服务则创建外部网络。

所述的一种基于内网穿透的虚机paas服务管理的方法，所述的步骤一中，在创建内部或者外部网络及子网后，查看网络命名空间列表是否产生对应网络id的namespace以确认是否成功创建。

所述的一种基于内网穿透的虚机paas服务管理的方法，所述的步骤一中，在其他虚机环境中创建可用的网络命名空间时，采用“ip netns add”命令进行创建。

所述的一种基于内网穿透的虚机paas服务管理的方法，所述的步骤二中，接收Heat模板创建虚机请求并建立虚机包括以下过程：Heat中Heat API组件通过把API请求经由AMQP传送给Heat engine来处理客户端的创建虚机请求，Heat Engine组件接收虚机创建请求后，将请求解析为用于创建虚机的各种类型资源，且每种资源都对应OpenStack中相应的服务客户端，通过相应的服务客户端提供提供相应服务，完成虚机创建。

所述的一种基于内网穿透的虚机paas服务管理的方法，所述的步骤三中，在执行命令后查看当前环境的网络配置信息，以查看是否成功切换至虚机所在的网络，成功则执行步骤四，失败则返回步骤一重新执行。

本发明的技术效果在于，提出了一种基于网络虚拟化技术，在openstack云环境上相互隔离的多个租户所创建的虚机中，穿透入虚机所在的内网网段，从而利用ssh私钥的注入，免密码远程访问所创建的虚机，部署用户定制的paas服务。这种方案提高了租户间各个paas服务的管理能力，对于用户来说，彼此“透明”互不干扰，只要在需要进入虚机内网时，获取当前虚机创建时选择的内部网络的id，执行相应的命令进行namespace的切换，可以随时退出，返回最初所在openstack环境所在的网络，也不需要额外的网络接口的管理，即只需要知道网络id就能切换进入内网，不存在通过多层管理网络的麻烦，降低了管理成本。此外，私钥的登录，能阻止未被授权的机器暴力破解访问从而产生数据泄露等安全性问题。

1通过netns网络空间虚拟化，可以在当前云环境上虚拟出多个网络环境，每个网络空间都是相互独立的，拥有独立的路由、防火墙规则、和网络设备，且无论当前云环境为外网或是内网，切换后之前环境下的目录文件是共享的，系统命令也都可以使用，只是彷佛进入了另外一个网络。对于用户来说简捷透明，虚机之间文件的传输更为方便。

2通过创建namespace的方式，建立openstack云环境与所创建网络的“管道”，搭建虚拟网桥进行相互之间的通信，而且这个通道不会受外部和内部因素的影响，保障了虚机内部通信的安全性。

3通过namespace切换网络空间后，如果该网络的namespace在其他进程中被删除后，已经切换namespace的进程在没有被退出之前网卡会一直处于被删除的网络之中。这样能防止namesapce被误删而丢失虚机上所部署服务的情况。

4通过使用ssh登录会话的方式，可以有效防止远程连接信息传输过程中产生的信息泄露问题。

5通过使用ssh的私钥注入登录，网络命名空间切换后可以快速连接任何一台虚机，特别是出现当前paas服务包含多台虚机的情况时，加快了对paas服务部署的一体化进程。

本专利主要针对paas服务快速部署管理上提出基于内网穿透的虚机创建到服务部署一体化的快速解决方案。主要解决目前云计算市场上对用户所创建的所有云主机搭建成统一的管理网络，这种统筹管理的方案上容易造成单个网络故障从而整体瘫痪问题，需要搭建复杂的安全机制来进行防护。基于内网穿透入用户虚机内网所在网段，从而ssh免密登录所涉及到的云主机易受外网攻击和用户授权、私钥泄露问题，我们在创建虚机时设置了只允许当前openstack环境节点对虚机进行sshTCP协议以及ICMP(虚机通信协议)的安全组协议以及入方向ssh所用到的22端口的安全组规则，而且对用户虚机的密钥不会进行保存操作，只有在需要远程连接时才获取密钥进行连接。相对于管理网络来说，安全防护成本更低，更适合中小型企业的云主机的搭建。

附图说明

图1为本发明所述系统的架构示意图；

图2为本发明所述的内网穿透流程图。

具体实施方式

下面将结合附图和实施例对本发明做进一步地说明。

如图1、2所示，对创建的虚机进行内网穿透以及自动化部署paas服务，包括以下步骤：

步骤1：在openstack环境中创建新的网络以及子网(如果需要虚机连接外网服务则需要创建外部网络)，查看命名空间列表，是否产生对应网络id的namespace，成功则进行步骤2。

步骤2：利用openstack编排服务整合所要创建虚机所需要的资源，例如heat编排，通过传入创建的网络、镜像、存储等资源参数搭建虚机模板进行创建。创建成功后则进入步骤3。

步骤3：在当前云环境所在镜像系统中使用Linux自带的虚拟网络化技术，执行“ipnetns exec qdhcp-网络id”命令，网络id为当前创建虚机的所在内网的id。切换后查看当前环境的网络配置信息，查看是否成功切换至虚机所在的网络。成功则执行步骤4。

步骤4：根据用户的需求部署paas服务，需要进入到虚机，可以在当前环境上指定密码产生该虚机的公私钥，本地主机保存私钥进行连接，然后把公钥远程注入到检验文件authorized_keys中，远程访问该虚机时就会对目标虚机上进行密钥校验，两端验证通过才允许建立连接，直接进入该实例进行服务的部署操作，失败则返回。

当执行步骤1前，需要准备好虚机所需要的各种资源，openstack提供了Neutron、Glance、Nova、Cinder等组件供用户调用。

其中openstack上的Neutron组件充分利用了netns的虚拟化网络技术，用户在云环境上创建网络时，都会在网络节点上出现一个名称空间，用来隔离不同的网络。网络namespace是网络栈的一个逻辑副本，有自己的路由、防火墙规则、和网络设备。默认情况下，子进程继承其父进程的network namespace。如果不显式创建新的网络namespace，所有进程都从init进程继承相同的默认network namespace。创建完网络以及子网后，子网上会生成一个连接dhcp的服务端口，这个端口形成的固定ip可以用来抓包和ssh远程连接等操作。切换命名空间后，连接的网卡就是dhcp的服务端口。命名空间切换的原理即提供了一种类似管道的抽象，可以在不同的namespace之间建立隧道。利用虚拟化网络设备，可以建立到其他namespace中的物理设备的桥接。当一个Network namespace被销毁时，物理设备会被自动移回init Network namespace，即系统最开始的namespace。

然后，用户需要利用openstack的Glance组件上传所要创建虚机的操作系统的镜像，用来提供镜像服务。虚机上的云存储则是利用cinder组件，用户可以设置虚机的容量大小从而产生相应大小的卷进行磁盘的挂载。

之后就可以利用这些网络、镜像、卷存储等云服务的资源来搭建虚机。

进一步用户要实现从虚机创建到服务自动化部署一体化，则需要设置远程虚机的私钥免密码登录，使用户所在的云环境能自动登录到创建虚机的环境。本发明所用到的是SSH的私钥登录，这是一种比较常用且安全的免密码登录方式，目标主机上保存一份公钥，需要登录到该主机上时使用私钥即可登录，可以免去输入密码的麻烦。而且可以设置具体的访问权限，防止非管理员root用户密码访问所造成的信息丢失的情况。虚机的私钥在创建时设置自动产生，保存在openstack环境的目录下。等云环境的网络切换至创建虚机的内网后，便可以读取该目录下的私钥文件，将私钥信息写入到私钥登录时的校验文件，即可以部署或管理相应的服务。

Claims (6)

1.一种基于内网穿透的虚机paas服务管理的方法，其特征在于，包括以下步骤：

步骤一，在openstack云环境下的neutron网络节点上创建新的内部网络以及子网，或者在其他虚机环境中创建可用的网络命名空间；

步骤二，利用openstack编排服务整合创建虚机所需要的资源，即通过传入用户创建的包括网络、镜像、存储、实例类型在内的资源参数搭建虚机heat模板，并发送虚机创建请求，以完成虚机创建；

步骤三，在当前neutron网络节点即云环境所在镜像系统中使用Linux自带的虚拟网络化技术，执行“ip netns exec qdhcp-网络id”命令进入当前网络id所在的网络空间，网络id为当前创建虚机的内部网络的id；

步骤四，根据用户的需求在所创建的虚机上部署paas服务，并在当前openstack云环境上通过ssh-keygen产生该虚机的公私钥，再在当前云环境节点保存私钥，然后把公钥远程注入到保存在所创建的虚机上的检验文件authorized_keys中，添加目标虚机的ssh认证信息以实现当前neutron网络节点免密访问，当通过当前云环境节点远程访问目标虚机时需进行密钥校验，两端验证通过才允许建立连接，并直接进入该实例进行用户服务的部署操作。

2.根据权利要求1所述的一种基于内网穿透的虚机paas服务管理的方法，其特征在于，所述的步骤一中，在openstack环境中创建新的网络以及子网时，如果需要虚机连接外网服务则创建外部网络。

3.根据权利要求2所述的一种基于内网穿透的虚机paas服务管理的方法，其特征在于，所述的步骤一中，在创建内部或者外部网络及子网后，查看网络命名空间列表是否产生对应网络id的namespace以确认是否成功创建。

4.根据权利要求1所述的一种基于内网穿透的虚机paas服务管理的方法，其特征在于，所述的步骤一中，在其他虚机环境中创建可用的网络命名空间时，采用“ip netns add”命令进行创建。

5.根据权利要求1所述的一种基于内网穿透的虚机paas服务管理的方法，其特征在于，所述的步骤二中，接收Heat模板创建虚机请求并建立虚机包括以下过程：Heat中Heat API组件通过把API请求经由AMQP传送给Heat engine来处理客户端的创建虚机请求，HeatEngine组件接收虚机创建请求后，将请求解析为用于创建虚机的各种类型资源，且每种资源都对应OpenStack中相应的服务客户端，通过相应的服务客户端提供提供相应服务，完成虚机创建。

6.根据权利要求1所述的一种基于内网穿透的虚机paas服务管理的方法，其特征在于，所述的步骤三中，在执行命令后查看当前环境的网络配置信息，以查看是否成功切换至虚机所在的网络，成功则执行步骤四，失败则返回步骤一重新执行。

Images