CN110086824A - 一种虚拟机防火墙策略的自适应配置方法、装置及设备 - Google Patents

Abstract

本发明公开了一种虚拟机防火墙策略的自适应配置方法、装置、设备及计算机可读存储介质，其中该方法包括：当虚拟机在所属宿主机上开机启动完成时，确定宿主机为虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定虚拟机中当前运行的服务；将管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置信任区域默认允许所有网络连接，将业务区域对应网卡设备或IP地址加入防火墙的公共区域，并设置公共区域默认拒绝所有网络连接；为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。从而在虚拟机每次开机时即可自动通过上述步骤实现在所属宿主机中防火墙策略的自适应配置。

Description

一种虚拟机防火墙策略的自适应配置方法、装置及设备

技术领域

本发明涉及虚拟机技术领域，更具体地说，涉及一种虚拟机防火墙策略的自适应配置方法、装置、设备及计算机可读存储介质。

背景技术

虚拟机技术通过在宿主机上运行、模拟一个操作系统为客户提供服务，其能够充分利用宿主机的硬件资源，而且还可以根据客户需要定制、裁剪，灵活部署。比如向客户提供计算、存储、网络等服务时，系统根据客户需求在虚拟机中安装指定的服务、配置相关资源，然后部署到一个宿主机上开始运行。

虚拟机向外部客户提供服务时，势必要开放服务对应的网络端口，这对服务提供者的网络安全造成了一定的影响，因此需要为虚拟机配置一定的网络安全策略。比如一些虚拟主机提供商默认关闭所有端口，客户需要在管理界面上打开指定端口以运行相关服务。

在一些应用场景下，需要首先将虚拟机预装好服务软件导出镜像，待需要时将虚拟机镜像直接拷贝到一台宿主机上、配置虚拟硬件设备，然后开机运行。这时虚拟机的网络环境与所部署到的宿主机的网络环境和虚拟硬件设置有关，因此需要设计一种自适应的方法，根据所在环境调整防火墙策略。

发明内容

本发明的目的是提供一种虚拟机防火墙策略的自适应配置方法、装置、设备及计算机可读存储介质，能够根据所在宿主机的环境实现防火墙策略的自适应配置。

为了实现上述目的，本发明提供如下技术方案：

一种虚拟机防火墙策略的自适应配置方法，包括：

当虚拟机在所属宿主机上开机启动完成时，确定所述宿主机为所述虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定所述虚拟机中当前运行的服务；

将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接；

为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

优选的，确定分别属于业务区域及管理区域的网卡设备或IP地址之前，还包括：

检查所述虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启所述防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

优选的，确定所述虚拟机中当前运行的服务，包括：

确定所述虚拟机部署在所述宿主机上后，响应外界操作将状态由默认的关闭更新为开启的服务为当前运行的服务。

优选的，为当前运行的服务开放对应的工作端口之后，还包括：

将所述虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

一种虚拟机防火墙策略的自适应配置装置，包括：

确定模块，用于：当虚拟机在所属宿主机上开机启动完成时，确定所述宿主机为所述虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定所述虚拟机中当前运行的服务；

配置模块，用于：将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接；

放行模块，用于：为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

优选的，还包括：

检查模块，用于：确定分别属于业务区域及管理区域的网卡设备或IP地址之前，检查所述虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启所述防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

优选的，所述确定模块包括：

确定单元，用于：确定所述虚拟机部署在所述宿主机上后，响应外界操作将状态由关闭更新为开启的服务为当前运行的服务。

优选的，还包括：

返回模块，用于：为当前运行的服务开放对应的工作端口之后，将所述虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

一种虚拟机防火墙策略的自适应配置设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上任一项所述虚拟机防火墙策略的自适应配置方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上任一项所述虚拟机防火墙策略的自适应配置方法的步骤。

本发明提供了一种虚拟机防火墙策略的自适应配置方法、装置、设备及计算机可读存储介质，其中该方法包括：当虚拟机在所属宿主机上开机启动完成时，确定所述宿主机为所述虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定所述虚拟机中当前运行的服务；将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接；为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。本申请公开的技术方案，当虚拟机在所属宿主机上开机启动后，确定出虚拟机对应的分别属于业务区域及管理区域的网卡设备或IP地址，将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，由于管理区域需要经过身份认证才能访问、安全性具有保障，因此默认其允许所有网络连接能够使得相关管理人员能够顺利访问管理管理区域；将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接，由于业务区域一般不需经过身份认证即可访问，因此默认拒绝所有网络连接能够避免对业务区域的非法访问；且为虚拟机中当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务，从而保证了客户顺利实现对应服务的使用。从而在虚拟机每次开机时即可通过上述步骤实现在所属宿主机中的防火墙策略自适应配置。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法的流程图；

图2为本发明实施例提供的一种虚拟机防火墙策略的自适应配置装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，其示出了本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法的流程图，可以包括：

S11：当虚拟机在所属宿主机上开机启动完成时，确定宿主机为虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定虚拟机中当前运行的服务。

需要说明的是，本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法的执行主语可以为对应的自适应配置装置，而该装置可以以开机自启动脚本的形式设置于虚拟机内，因此，实现本申请实施例提供的一种虚拟机防火墙策略的自适应配置方法的执行主语可以为虚拟机本身。由此，在将虚拟机部署到宿主机上并启动虚拟机时，虚拟机完成开始启动后自动实现防火墙策略的自适应配置方法。

具体来说，在虚拟机在所属宿主机上开机启动完成后，虚拟机读取虚拟机设备、网络和安装配置的服务等信息，具体来说，虚拟机扫描宿主机为其配置的网卡设备和IP地址等参数，其中，虚拟机对外提供服务所配置的网络环境具有一定的规则，即业务区域和管理区域往往使用不同的网卡设备、IP地址，其中业务区域即为提供给客户相关服务的区域，而管理区域即为供虚拟机管理员实现相应管理的区域。针对使用不同网卡设备的情况，读取虚拟机内部所配置的虚拟网卡设备的名称，区分并记录分别属于业务区域和管理区域的网卡设备；针对使用不同IP地址的情况，读取虚拟机内部为网卡设备配置的IP地址，根据所属网段判断记录该IP地址属于业务区域还是管理区域。从而确定出分别属于业务区域和管理区域的网卡设备或IP地址。上述基于虚拟机内部配置确定属于业务区域及管理区域的网卡设备及IP地址的具体实现方式与现有技术中对应技术方案的实现原理相同，在此不再赘述。

另外，虚拟机在预装时，一般会预装用户所需的各种服务并默认关闭，在部署时根据需要打开对应服务，虚拟机在部署后扫描所预装的所有服务运行情况，可列出当前配置为运行的服务，也即确定出当前运行的服务。

S12：将管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置信任区域默认允许所有网络连接，将业务区域对应网卡设备或IP地址加入防火墙的公共区域，并设置公共区域默认拒绝所有网络连接。

需要说明的是，由于在实现对管理区域的访问管理时需要提供对应的身份认证信息，在认证通过后才实现访问管理，因此本实施例中可以设置为管理区域对应网卡设备及IP地址允许所有网络连接，从而使得相关人员能够顺利实现网络连接的同时通过身份认证流程避免非法人员对管理区域的非法访问管理。由于对业务区域的访问使用无需头通过身份认证，因此本实施例中默认业务区域对应网卡设备及IP地址拒绝所有网络连接，以保证业务区域的访问安全性。

S13：为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

根据获取到当前配置的服务、也即当前运行的服务，在公共区域上放行该服务所用到的工作端口，从而客户能够通过该工作端口实现对应服务的使用。需要说明的是，一些服务采用被动模式工作，即根据配置在一定端口范围内选定一个随机端口接受客户建立的连接，对于这些服务自动修改服务的配置，限制随机端口范围，并在公共区域上放行对应的端口范围；以保证工作端口的有效性。

本申请公开的技术方案，当虚拟机在所属宿主机上开机启动后，确定出虚拟机对应的分别属于业务区域及管理区域的网卡设备或IP地址，将管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置信任区域默认允许所有网络连接，由于管理区域需要经过身份认证才能访问、安全性具有保障，因此默认其允许所有网络连接能够使得相关管理人员能够顺利访问管理管理区域；将业务区域对应网卡设备或IP地址加入防火墙的公共区域，并设置公共区域默认拒绝所有网络连接，由于业务区域一般不需经过身份认证即可访问，因此默认拒绝所有网络连接能够避免对业务区域的非法访问；且为虚拟机中当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务，从而保证了客户顺利实现对应服务的使用。从而在虚拟机每次开机时即可通过上述步骤实现在所属宿主机中的防火墙策略自适应配置。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法，确定分别属于业务区域及管理区域的网卡设备或IP地址之前，还可以包括：

检查虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

为了保障虚拟机的安全性，一般默认为虚拟机的防火墙处于开启状态，本实施例中为了进一步保证防火墙处于开启状态，可以虚拟机开机启动后即检查防火墙的状态，并在其不处于开启状态时开启防火墙，并且还可以在实时监视防火墙的运行，如果其出现异常情况则实时报警，从而进一步保证了虚拟机的安全性。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法，确定虚拟机中当前运行的服务，可以包括：

确定虚拟机部署在宿主机上后，响应外界操作将状态由默认的关闭更新为开启的服务为当前运行的服务。

需要说明的是，虚拟机在预装时，一般会预装用户所需的各种服务并默认关闭，在部署时根据需要打开对应服务，虚拟机在部署后扫描所预装的所有服务运行情况，可列出当前配置为运行的服务，本实施例中在客户需要设置服务的运行状态时，可以通过手动向虚拟机输入命令实现，进而确定状态为开启状态的服务为当前运行的服务，从而实现了对虚拟机根据实际需要进行的设置，提升了用户体验。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法，为当前运行的服务开放对应的工作端口之后，还可以包括：

将虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

需要说明的是，本申请在虚拟机防火墙策略完成之后才能够允许对其进行使用，因此在实现虚拟机防火墙策略的自适应配置之后，可以将对应的自适应配置完成信息返回给管理终端，从而使得管理终端对应管理员能够及时获知该信息以获知虚拟机的防火墙配置情况。另外还可以将上述自适应配置完成信息发送给客户，以使得客户能够及时获知虚拟机处于可使用状态进而实现对应使用操作。

本申请使虚拟机镜像进行灵活部署时，根据网络和业务配置自适应生成防火墙策略，在保证系统安全性的同时大大增加了业务的灵活性。

本发明实施例还提供了一种虚拟机防火墙策略的自适应配置装置，如图2所示，可以包括：

确定模块11，用于：当虚拟机在所属宿主机上开机启动完成时，确定宿主机为虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定虚拟机中当前运行的服务；

配置模块12，用于：将管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置信任区域默认允许所有网络连接，将业务区域对应网卡设备或IP地址加入防火墙的公共区域，并设置公共区域默认拒绝所有网络连接；

放行模块13，用于：为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置装置，还可以包括：

检查模块，用于：确定分别属于业务区域及管理区域的网卡设备或IP地址之前，检查虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置装置，确定模块可以包括：

确定单元，用于：确定虚拟机部署在宿主机上后，响应外界操作将状态由关闭更新为开启的服务为当前运行的服务。

本发明实施例提供的一种虚拟机防火墙策略的自适应配置装置，还可以包括：

返回模块，用于：为当前运行的服务开放对应的工作端口之后，将虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

本发明实施例还提供了一种虚拟机防火墙策略的自适应配置设备，可以包括：

存储器，用于存储计算机程序；

处理器，用于执行计算机程序时实现如上任一项虚拟机防火墙策略的自适应配置方法的步骤。

本发明实施例还提供了一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时可以实现如上任一项虚拟机防火墙策略的自适应配置方法的步骤。

需要说明的是，本发明实施例提供的一种虚拟机防火墙策略的自适应配置装置、设备及计算机可读存储介质中相关部分的说明请参见本发明实施例提供的一种虚拟机防火墙策略的自适应配置方法中对应部分的详细说明，在此不再赘述。另外本发明实施例提供的上述技术方案中与现有技术中对应技术方案实现原理一致的部分并未详细说明，以免过多赘述。

对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种虚拟机防火墙策略的自适应配置方法，其特征在于，包括：

当虚拟机在所属宿主机上开机启动完成时，确定所述宿主机为所述虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定所述虚拟机中当前运行的服务；

将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接；

为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

2.根据权利要求1所述的方法，其特征在于，确定分别属于业务区域及管理区域的网卡设备或IP地址之前，还包括：

检查所述虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启所述防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

3.根据权利要求2所述的方法，其特征在于，确定所述虚拟机中当前运行的服务，包括：

确定所述虚拟机部署在所述宿主机上后，响应外界操作将状态由默认的关闭更新为开启的服务为当前运行的服务。

4.根据权利要求3所述的方法，其特征在于，为当前运行的服务开放对应的工作端口之后，还包括：

将所述虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

5.一种虚拟机防火墙策略的自适应配置装置，其特征在于，包括：

确定模块，用于：当虚拟机在所属宿主机上开机启动完成时，确定所述宿主机为所述虚拟机分配的、分别属于业务区域及管理区域的网卡设备或IP地址，并确定所述虚拟机中当前运行的服务；

配置模块，用于：将所述管理区域对应网卡设备或IP地址加入防火墙的信任区域，并设置所述信任区域默认允许所有网络连接，将所述业务区域对应网卡设备或IP地址加入所述防火墙的公共区域，并设置所述公共区域默认拒绝所有网络连接；

放行模块，用于：为当前运行的服务放行对应的工作端口，以供客户基于该工作端口使用对应服务。

6.根据权利要求5所述的装置，其特征在于，还包括：

检查模块，用于：确定分别属于业务区域及管理区域的网卡设备或IP地址之前，检查所述虚拟机的防火墙是否处于开启状态，如果是，则执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤，如果否，则开启所述防火墙并执行分别属于业务区域及管理区域的网卡设备或IP地址的步骤。

7.根据权利要求6所述的装置，其特征在于，所述确定模块包括：

确定单元，用于：确定所述虚拟机部署在所述宿主机上后，响应外界操作将状态由关闭更新为开启的服务为当前运行的服务。

8.根据权利要求7所述的装置，其特征在于，还包括：

返回模块，用于：为当前运行的服务开放对应的工作端口之后，将所述虚拟机防火墙策略的自适应配置完成的信息返回至管理终端。

9.一种虚拟机防火墙策略的自适应配置设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至4任一项所述虚拟机防火墙策略的自适应配置方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述虚拟机防火墙策略的自适应配置方法的步骤。