CN111131071A - 基于OpenStack实现云主机安全组规则优先级的实现方法及系统 - Google Patents

Abstract

本发明提供了一种基于OpenStack实现云主机安全组规则优先级的实现方法，包括如下步骤：1)在OpenStack的neutron组件中为安全组规则新增优先级属性，重新定义neutron组件中创建安全组规则的API，使其可以接收优先级参数；2)在neutron DB中定义持久化的安全组规则优先级的表结构；3)将安全组规则优先级下发到云主机所在的宿主机的OpenVSwitch组件；4)在OpenVSwitch中为云主机的虚拟网卡配置流表规则，同时配置优先级。本发明在OpenStack中引入安全组规则优先级的概念，通过对优先级数值的判断，可以清晰的解决多条安全组规则中存在的冲突，明确在冲突中优先保证被执行的是哪条安全组规则，避免多条冲突的安全组规则导致的云主机的流量限制不符合预期。

Description

基于OpenStack实现云主机安全组规则优先级的实现方法及 系统

技术领域

本发明属于云计算技术领域，尤其是涉及一种基于OpenStack实现云主机安全组规则优先级的实现方法及系统。

背景技术

在目前云计算领域，资源管理与调度层的工具中，应用最为广泛的当属开源的OpenStack项目，在我国业内，众多的私有云和相当一部分公有云也是基于OpenStack来搭建的，足见其巨大的行业影响力和业内认可度。但是，原生的OpenStack项目并不能满足全部的公有云业务场景，其中，在安全组规则的定义中，就缺少对安全组规则优先级的设置。

安全组规则是对云主机的入向和出向进行流量限制，通过添加安全组规则，可以允许或禁止云主机对公网或私网的访问。但是，当我同时定义了两个互相冲突的安全组规则，比如安全组规则1禁止了一个端口范围(比如7000～9000)的TCP入向流量，安全组规则2中又允许指定了某一个端口并且这个端口被包含在了之前禁止的端口范围内(比如8080端口)的TCP入向流量，那么这两个安全组规则如何同时产生效力呢。

这个正是当前原生的OpenStack没有明确解决的问题，可以说，原生的OpenStack在对安全组规则的定义与使用上，存在缺陷与不足，当多条安全组规则互相冲突时，OpenStack并不能提供清晰的安全组规则定义，更不能保证我们对云主机所做的流量限制完全符合我们的预期。

从云计算服务的使用者的角度而言，流量控制对云主机的网络安全至关重要，可以有效避免服务器被恶意攻击，而一旦流量限制出现混乱，很有可能造成云主机内的服务因网络不通而不可用，影响服务质量。

发明内容

有鉴于此，本发明旨在提出一种基于OpenStack实现云主机安全组规则优先级的实现方法及系统，以解决多条安全组规则互相冲突问题，保证对云主机所做的流量限制完全符合预期。

为达到上述目的，本发明的技术方案是这样实现的：

为了解决上述问题，本发明在OpenStack中引入安全组规则优先级的概念，通过对优先级数值的判断，可以清晰的解决多条安全组规则中存在的冲突，明确在冲突中优先保证被执行的是哪条安全组规则，该让步的是哪条，避免多条冲突的安全组规则导致的云主机的流量限制不符合预期。

比如在前文的例子中，定义安全组规则优先级的数值越高则优先级越高，将安全组规则1的优先级定义为30，将安全组规则2的优先级定义为55，则明显安全组规则2的优先级高于安全组规则1，从而可以保证在禁止了7000～9000端口范围的TCP入向流量的同时，又对8080端口的TCP入向流量做了放行，防止安全组规则2被安全组规则1覆盖从而导致8080端口的TCP入向流量一样被禁止。具体的，

第一方面，本发明提供一种基于OpenStack实现云主机安全组规则优先级的实现方法，包括如下步骤：

1)在OpenStack的neutron组件中为安全组规则新增优先级属性，重新定义neutron组件中创建安全组规则的API，使其可以接收优先级参数；

2)在neutron DB中定义持久化的安全组规则优先级的表结构；

3)将安全组规则优先级下发到云主机所在的宿主机的OpenVSwitch组件；

4)在OpenVSwitch中为云主机的虚拟网卡配置流表规则，同时配置优先级。

第二方面，本发明提供一种基于OpenStack的对云主机安全组规则提供优先级的系统，包括：

云计算管理控制台系统：包括可视化页面和后台服务，为用户提供设置安全组规则优先级的界面，并将数据请求发送至OpenStack网络管理组件Neutron；

OpenStack网络管理组件Neutron：提供安全组规则的定义与持久化功能，并将请求发送至云主机所在的宿主机的OpenVSwitch工具；

OpenVSwitch：用于配置流表来对云主机入向和出向的网卡流量限制，支持对流表定义优先级属性。

相对于现有技术，本发明具有以下优势：

本发明在OpenStack中引入安全组规则优先级的概念，通过对优先级数值的判断，可以清晰的解决多条安全组规则中存在的冲突，明确在冲突中优先保证被执行的是哪条安全组规则，该让步的是哪条，避免多条冲突的安全组规则导致的云主机的流量限制不符合预期。

附图说明

构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例所述基于OpenStack的对云主机安全组规则提供优先级的系统的结构框图。

具体实施方式

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

在本发明的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”等的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。

下面将参考附图并结合实施例来详细说明本发明。

为了使安全组规则的优先级能够被定义、保存、下发并绑定到云主机，分以下几个步骤实现：

第一步，在OpenStack的neutron组件中为安全组规则新增优先级属性；重新定义OpenStack的neutron组件中创建安全组规则的API，使其可以接收新的参数，安全组规则优先级——priority；

2)在neutron DB中定义持久化的安全组规则优先级的表结构；

3)将安全组规则优先级下发到云主机所在的宿主机的OpenVSwitch组件；

4)在开源工具OpenVSwitch中为云主机的虚机网卡配置流表规则，同时设置配置优先级；其中OpenVSwitch的流表即最终实现对云主机入向和出向的网卡流量限制，即实现了安全组规则的实际功能，并原生即支持对流表定义优先级属性。

具体的，为了实现安全组规则优先级的定义及下发，需要自顶向下修改云计算中网络模块所涉及的各个系统，基于OpenStack的对云主机安全组规则提供优先级的系统，如图1所示，包括：

云计算管理控制台系统：面向用户来管理该用户的云计算资源，包括可视化页面和后台服务，在本发明中需提供用于为用户提供设置安全组规则优先级的界面，并将数据请求至下一个系统。

OpenStack网络管理组件Neutron：云计算资源管理与调度层的工具，在本发明中该系统提供了安全组规则的定义与持久化功能，并将请求发送至云主机所在的宿主机的OpenVSwitch工具。

OpenVSwitch：开源的流表控制软件，用于配置流表来对云主机入向和出向的网卡流量限制，即实现了安全组规则的实际功能，并原生即支持对流表定义优先级属性。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (2)

1.基于OpenStack实现云主机安全组规则优先级的实现方法，其特征在于，包括如下步骤：

1)在OpenStack的neutron组件中为安全组规则新增优先级属性，重新定义neutron组件中创建安全组规则的API，使其可以接收优先级参数；

2)在neutron DB中定义持久化的安全组规则优先级的表结构；

3)将安全组规则优先级下发到云主机所在的宿主机的OpenVSwitch组件；

4)在OpenVSwitch中为云主机的虚拟网卡配置流表规则，同时配置优先级。

2.基于OpenStack的对云主机安全组规则提供优先级的系统，其特征在于：包括：

云计算管理控制台系统：包括可视化页面和后台服务，为用户提供设置安全组规则优先级的界面，并将数据请求发送至OpenStack网络管理组件Neutron；

OpenStack网络管理组件Neutron：提供安全组规则的定义与持久化功能，并将请求发送至云主机所在的宿主机的OpenVSwitch工具；

OpenVSwitch：用于配置流表来对云主机入向和出向的网卡流量限制，支持对流表定义优先级属性。

Images