CN111225071A - 一种云平台及跨云平台网络互通系统、方法 - Google Patents

Abstract

本发明公开了一种跨云平台网络互通系统，该系统包括：至少两个云平台，每个云平台上均部署有集中式网关，各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发。应用本发明实施例所提供的技术方案，通过集中式网关，使得多个不同云平台的虚拟机都处于同一套网络架构下，实现真正的网络大二层打通，部署方式简单，降低了运维难度。本发明还公开了一种跨云平台网络互通方法及一种云平台，具有相应技术效果。

Description

一种云平台及跨云平台网络互通系统、方法

技术领域

本发明涉及计算机应用技术领域及云计算领域，特别是涉及一种云平台及跨云平台网络互通系统、方法。

背景技术

随着云计算技术的快速发展，各种云平台的应用越来越广泛，市场对于混合云的部署有着越来越强烈的需求。不同云平台，如私有云、公有云、或者不同厂商的云平台等，涉及到不同的底层网络的实现和管理，网络的打通，尤其是二层网络互通一直是个难题。

目前，主要通过VPN(Virtual Private Network，虚拟专用网络)实现不同云平台的三层互通。

这种方式只实现了不同云平台的基本互通，不同云平台仍然不对等，无法统一，虚拟机在迁移时，网络配置、安全策略必须更改，才能在迁移后的平台上正常运行，加大了运维难度。

发明内容

本发明的目的是提供一种云平台及跨云平台网络互通系统、方法，以实现不同云平台真正的大二层网络互通，部署方式简单，降低了运维难度。

为解决上述技术问题，本发明提供如下技术方案：

一种跨云平台网络互通系统，包括：

至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，所述集中式网关用于所述跨云覆盖网的二、三层流量转发。

在本发明的一种具体实施方式中，所述集中式网关包括OMP单元，所述集中式网关，用于：

在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址；

将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，以使所述第二云平台的集中式网关在通过所述第二云平台的虚拟路由器和虚拟交换机接收到所述第一数据包时，将所述第一数据包中所述第二虚拟机在所述跨云覆盖网上的目的IP地址转化为在所述第二云平台上的IP地址，并经由所述第二云平台的虚拟交换机转发给所述第二虚拟机。

在本发明的一种具体实施方式中，所述集中式网关还包括NAT单元，所述集中式网关，还用于：

在所述通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址之后、所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台之前，通过所述NAT单元将所述大二层IP地址转换为自身的公网IP地址，修改源端口号。

在本发明的一种具体实施方式中，所述集中式网关，还用于：

在接收到互联网发起的对自身所在所述第一云平台的所述第一虚拟机的第二数据包时，通过所述NAT单元将所述第二数据包中的目的IP地址转换为所述第一虚拟机在所述第一云平台的内网IP地址，转发给所述第一虚拟机。

在本发明的一种具体实施方式中，所述集中式网关还包括虚拟交换单元、虚拟路由单元和VPN单元，所述集中式网关，具体用于：

如果通过所述虚拟交换单元和/或所述虚拟路由单元确定所述第一数据包需通过VPN隧道发往所述第二云平台，则通过所述VPN单元在所述第一数据包上加上所述VPN隧道的头部，并经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台。

在本发明的一种具体实施方式中，所述集中式网关，还用于：

在接收到所述第二云平台的所述第二虚拟机发起的对自身所在的所述第一云平台的所述第一虚拟机的第三数据包时，通过所述VPN单元将所述第三数据包的所述VPN隧道的头部剥离，获得原始报文；

将所述原始报文发送给所述第一虚拟机；

所述第三数据包为：在所述第二云平台处加入所述VPN隧道的头部的数据包。

在本发明的一种具体实施方式中，所述集中式网关还包括轻量级控制器和微分段单元；所述轻量级控制器用于与云管理平台和其他集中式网关中的轻量级控制器通信，修改所述集中式网关上其他功能单元的配置；所述微分段单元用于基于虚拟机级别的访问控制列表进行访问控制。

一种云平台，包括虚拟机、虚拟交换机、虚拟路由器、云管理平台和集中式网关，所述虚拟机、所述云管理平台和所述集中式网关分别与所述虚拟交换机连接，所述虚拟交换机与所述虚拟路由器连接。

一种跨云平台网络互通方法，应用于跨云平台网络互通系统包含的第一云平台上部署的集中式网关；所述跨云平台网络互通系统包含至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，所述集中式网关用于所述跨云覆盖网的二、三层流量转发；所述集中式网关包括OMP单元；所述方法包括：

在接收到自身所在所述第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址；

将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，以使所述第二云平台的集中式网关在通过所述第二云平台的虚拟路由器和虚拟交换机接收到所述第一数据包时，将所述第一数据包中所述第二虚拟机在所述跨云覆盖网上的目的IP地址转化为在所述第二云平台上的IP地址，并经由所述第二云平台的虚拟交换机转发给所述第二虚拟机。

在本发明的一种具体实施方式中，所述集中式网关还包括NAT单元，在所述通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址之后、所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台之前，还包括：

通过所述NAT单元将所述大二层IP地址转换为自身的公网IP地址，修改源端口号。

在本发明的一种具体实施方式中，还包括：

在接收到互联网发起的对自身所在所述第一云平台的所述第一虚拟机的第二数据包时，通过所述NAT单元将所述第二数据包中的目的IP地址转换为所述第一虚拟机在所述第一云平台的内网IP地址，转发给所述第一虚拟机。

在本发明的一种具体实施方式中，所述集中式网关还包括虚拟交换单元、虚拟路由单元和VPN单元，所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，包括：

如果通过所述虚拟交换单元和/或所述虚拟路由单元确定所述第一数据包需通过VPN隧道发往所述第二云平台，则通过所述VPN单元在所述第一数据包上加上所述VPN隧道的头部，并经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台。

在本发明的一种具体实施方式中，还包括：

在接收到所述第二云平台的所述第二虚拟机发起的对自身所在的所述第一云平台的所述第一虚拟机的第三数据包时，通过所述VPN单元将所述第三数据包的所述VPN隧道的头部剥离，获得原始报文；

将所述原始报文发送给所述第一虚拟机；

所述第三数据包为：在所述第二云平台处加入所述VPN隧道的头部的数据包。

应用本发明实施例所提供的技术方案，在每个云平台上均部署集中式网关，各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发。通过集中式网关，使得多个不同云平台的虚拟机都处于同一套网络架构下，实现真正的网络大二层打通，部署方式简单，降低了运维难度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种跨云平台网络互通系统的结构示意图；

图2为本发明实施例中集中式网关的功能结构示意图；

图3为本发明实施例中跨云平台的VPN隧道流量走向示意图；

图4为本发明实施例中一种跨云平台网络互通方法的实施流程图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的核心是提供一种跨云平台网络互通系统，该系统包括至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关(cloud gateway，CGW)；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发。

其中，云平台可以是公有云还可以是私有云。通过每个云平台上部署的集中式网关，在不同云平台的虚拟网络层上再增加一层跨云覆盖网，多个不同云平台的虚拟机都处于同一套网络架构下，实现真正的网络大二层打通。覆盖网即Overlay Network，在底层网络上，通过隧道等技术搭建起来的逻辑网络。上层覆盖网对于底层网络来说是透明的，底层网络无法感知上层覆盖网的存在。

如图1所示，为本发明实施例所提供的一种跨平台大二层网络互通系统的结构示意图，该系统包括云平台100(云平台1)和云平台200(云平台2)，云平台100和云平台200可以通过互联网Internet/专线/MPLS进行流量交互。云平台100上部署有虚拟机110(VM1)、虚拟机120(VM2)、云管理平台(Cloud Management Platform，CMP)130、集中式网关140、虚拟交换机150、虚拟路由器160，虚拟机110、虚拟机120、云管理平台130和集中式网关140分别与虚拟交换机150连接，虚拟交换机150与虚拟路由器160连接，云管理平台130可运行于虚拟机中。云平台200上部署有集中式网关210、虚拟机220(VM3)、虚拟机230(VM4)、虚拟路由器240和虚拟交换机250，集中式网关210、虚拟机220和虚拟机230分别与虚拟交换机250连接，虚拟交换机250与虚拟路由器240连接。虚拟路由器160和虚拟路由器240通过网络，如互联网Internet/专线/MPLS等连接。各个云平台上的集中式网关在云间形成一层跨云覆盖网。

其中，虚拟机和集中式网关可以运行在云平台的虚拟机层，虚拟交换机和虚拟路由器可以运行在云平台的虚拟机管理hypervisor层。hypervisor为所有虚拟化的核心，基本功能为非中断地支持多工作负载迁移，当服务器启动并执行hypervisor时，其会给每一台虚拟机分配适量的内存、CPU、网络和磁盘，并加载所有虚拟机的客户操作系统。

虚拟交换机用于云平台内部覆盖网的二层交换，可配置访问控制列表(AccessControl List，ACL)实现微分段，同时，虚拟交换机也具备TEP(Tunnel End Point，覆盖网隧道终端)功能。

虚拟路由器用于云平台内部覆盖网的三层路由及网关服务，即策略路由、NAT(Network Address Translation，网络地址转换，实现内网IP地址和外网IP地址间的映射及逆映射)等功能。

云管理平台用于为用户提供用户界面(User Interface，UI)，调用集中式网关中的轻量级控制器提供的API接口来管理混合云网络。用户界面包括微分段的访问控制列表配置界面、流量及访问关系可视界面、二三层网络配置界面、其他网络服务配置界面等。在实际应用中，云管理平台可以为第三方管理平台，该第三方管理平台需可使用集中式网关提供的网络和微分段相关的API接口的能力，能够有相应的用户界面供用户配置和展示流量及访问关系。在可互通的多个云平台中的其中一个云平台中部署云管理平台CMP即可。

集中式网关即云网关，每个专有网络(Virtual Private Cloud，VPC)或路由域内部部署一个，以虚拟机(VM)形式部署。实现微分段、二、三层流量转发等功能。集中式网关与管理面的云管理平台通信，将来自云管理平台的配置信息下发给自身对应的功能单元上，与其他的集中式网关的轻量级控制器同步信息。一个路由器所直接连接的多个二层网络可以构成一个路由域，即这个路由器为其所属多个二层网络的网关。

图2所示为集中式网关的功能结构示意图，包括轻量级控制器、OMP单元、微分段单元、虚拟路由单元、虚拟交换单元、DHCP单元、NAT单元、VPN单元等。

其中，轻量级控制器用于与云管理平台和其他云平台的集中式网关中的轻量级控制器通信，修改集中式网关上其他功能单元的配置，并将集中式网关所负责VPC或路由域内的网络拓扑及安全信息发送给云管理平台或其他集中式网关上的轻量级控制器。

OMP(Overlay Mapping Point，跨云大二层覆盖网与本地云平台覆盖网的IP映射网关)单元用于建立和维护两类IP的一一映射。这里的IP映射，是为了实现本地覆盖网到跨云大二层覆盖网的变换，是一一映射，即一个本地IP到一个跨云覆盖网的IP，跨云覆盖网的IP一般是内网IP，不是外网IP。OMP的IP映射表如表1所示。

表1

微分段单元用于基于虚拟机VM级别的访问控制列表ACL进行访问控制。除了可以通过五元组来设置ACL策略，还可以通过VM标签、安全域标签等来灵活设置ACL策略。另外，哪些流量命中ACL策略、哪些流量被ACL拒绝、各个ACL的命中率是多少，都能通过轻量级控制器回传给云管理平台，在云管理平台处和其他云平台的访问关系情况统一以可视化形式展现给用户，从而达到跨云平台上的流量及访问关系可视。

虚拟交换单元用于集中式网关所在VPC或路由域内所有子网的二层转发，包括MAC学习及转发、多播和广播，与轻量级控制器结合，可以实现ARP(Address ResolutionProtocol，地址解析协议)抑制或ARP代答，避免大规模网络中出现大量ARP请求报文。所有跨云覆盖网东西向流量的转发，都要经过这个单元。

虚拟路由单元为集中式虚拟路由，虚拟机的跨网段内部流量、与云平台之间的通信流量、进出外网的流量，都经过虚拟路由单元进行处理。具备DHCP(Dynamic HostConfiguration Protocol，动态主机配置协议)、NAT(NetworkAddress Translation，网络地址转换)、VPN(Virtual Private Network，虚拟专用网络)等单元的功能。DHCP单元负责给虚拟机分配跨云覆盖网的IP地址，通过集中式网关的轻量级控制器，能对其他集中式网关的DHCP服务的信息进行同步，保证两者不会重复分配IP地址。NAT单元主要是针对不让内网IP暴露到外部和外网IP数量不多的问题，一般是多对一或一对多的映射，将多个内网IP映射为一个外网IP加上不同端口，实现内网IP地址和外网IP地址间的映射及逆映射。VPN单元可以与其他集中式网关的VPN单元建立L2VPN或L3VPN，以承载不同云平台间的通信流量。VPN隧道可以承载在Internet、MPLS网络或专线上。

在用户没有公网IP的情况下，或者用户没有给集中式网关配置公网IP的情况下，集中式网关没有公网IP，其相应的VPN单元、NAT单元的功能不会开启。如果集中式网关中配置了公网IP，则集中式网关中VPN单元、NAT单元的功能也将开启，在集中式网关所在的VPC中取代原云平台提供的VPN、NAT服务。

应用本发明实施例所提供的系统，在每个云平台上均部署集中式网关，各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发。通过集中式网关，使得多个不同云平台的虚拟机都处于同一套网络架构下，实现真正的网络大二层打通，部署方式简单，降低了运维难度。

在本发明的一种具体实施方式中，集中式网关用于在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址；将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台，以使第二云平台的集中式网关在通过第二云平台的虚拟路由器和虚拟交换机接收到第一数据包时，将第一数据包中第二虚拟机在跨云覆盖网上的目的IP地址转化为在第二云平台上的IP地址，并经由第二云平台的虚拟交换机转发给第二虚拟机。

在本发明实施例中，集中式网关上的OMP单元主要维护跨云覆盖网与本地云平台覆盖网之间的IP映射。虚拟机在本地的通信流量，如属于同一个云平台的VM1与VM2之间的通信流量，可以直接使用云平台上的IP地址。当不同云平台上的虚拟机通信时，会产生跨云流量。如云平台1上的VM1与云平台2上的VM3通信，将产生跨云流量。

集中式网关自身所在第一云平台的第一虚拟机可以与第二云平台的第二虚拟机通信，产生跨云流量，需先经过第一云平台的集中式网关。集中式网关接收到的第一虚拟机对第二虚拟机的第一数据包中包含源IP地址和目的IP地址，源IP地址为第一虚拟机在第一云平台上的IP地址，目的IP地址为第二虚拟机在跨云覆盖网上的IP地址。集中式网关接收到第一数据包时，可以通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址，进行IP地址的一一映射。然后将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台。第二云平台的虚拟路由器接收到第一数据包，经由虚拟交换机将第一数据包发送给第二云平台中的集中式网关，该集中式网关接收到第一数据包后，可以将第一数据包中第二虚拟机在跨云覆盖网上的目的IP地址转化为在第二云平台上的IP地址，并经由第二云平台的虚拟交换机转发给第二虚拟机，完成跨云流量的转发。

集中式网关之间构成跨云覆盖网，各个云平台和虚拟机对跨云覆盖网无感知。

在本发明的一种具体实施方式中，集中式网关还用于：

在通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址之后、将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台之前，通过NAT单元将大二层IP地址转换为自身的公网IP地址，修改源端口号。

在本发明实施例中，因为虚拟机在跨云覆盖网上的IP地址一般为内网IP，所以集中式网关在接收到第一数据包，通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址之后，可以通过NAT单元将大二层IP地址转换为自身的公网IP地址，修改源端口号，以避免内网IP暴露到外部，然后再将进行IP地址转化后的第一数据包发送给第二云平台。具体可以经由第一云平台的虚拟交换机、虚拟路由器进入Internet发送给第二云平台。

在本发明的一种具体实施方式中，集中式网关还用于：

在接收到互联网发起的对自身所在第一云平台的第一虚拟机的第二数据包时，通过NAT单元将第二数据包中的目的IP地址转换为第一虚拟机在第一云平台的内网IP地址，转发给第一虚拟机。

在实际应用中，互联网Internet可以发起对任意一个云平台的虚拟机的访问或应答流量的数据包。这样的数据包都会先经过相应云平台的集中式网关。

为避免内网IP暴露到外部，数据包中的目的IP地址一般会使用外网IP地址。集中式网关在接收到互联网发起的对自身所在第一云平台的第一虚拟机的第二数据包时，可以通过NAT单元将第二数据包中的目的IP地址转换为第一虚拟机在第一云平台的内网IP地址，然后将转换后的第二数据包转发给第一虚拟机。

在本发明的一种具体实施方式中，集中式网关用于：

如果通过虚拟交换单元和/或虚拟路由单元确定第一数据包需通过VPN隧道发往第二云平台，则通过VPN单元在第一数据包上加上VPN隧道的头部，并经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台。

在本发明实施例中，集中式网关的VPN单元利用公网IP，可以与其他云平台的集中式网关的VPN单元建立L3VPN隧道或L2VPN隧道，这样，不同云平台虚拟机间通信流量都由这个VPN隧道来传输。该VPN隧道流量可以走Internet，还可以使用专线或MPLS网络。

集中式网关在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，可以先通过虚拟交换单元和/或虚拟路由单元确定第一数据包是否需要通过VPN隧道发往第二云平台，如果确定需要，则可以通过VPN单元在第一数据包上加上VPN隧道的头部，并经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台。通过VPN隧道发送数据包，可以增强信息安全性。

相应的，第二云平台的集中式网关接收到第一数据包后，可以通过VPN单元将第一数据包中的VPN隧道的头部剥离，再进行进一步操作。

在本发明的一种具体实施方式中，集中式网关还用于：

在接收到第二云平台的第二虚拟机发起的对自身所在第一云平台的第一虚拟机的第三数据包时，通过VPN单元将第三数据包的VPN隧道的头部剥离，获得原始报文；将原始报文发送给第一虚拟机。

第三数据包为：在第二云平台处加入VPN隧道的头部的数据包。

在本发明实施例中，集中式网关在接收到第二云平台的第二虚拟机发起的对自身的第一云平台的第一虚拟机的第三数据包时，如果第三数据包为在第二云平台处加入VPN隧道的头部的数据包，则集中式网关可以通过VPN单元将第三数据包的VPN隧道的头部剥离，获得原始报文。将原始报文发送给第一虚拟机。

具体的，跨云平台的VPN隧道流量走向如图3粗实线所示，云平台1的VM1发起的对云平台2的VM4的访问或应答流量，数据包到达云平台1的集中式网关，云平台1的集中式网关的虚拟交换单元和/或虚拟路由单元确定数据包是需要通过VPN隧道发往云平台2的，于是将数据包给到VPN单元，给数据包加上VPN隧道的头部后，通过云平台1的hypervisor的虚拟交换机和虚拟路由器，经由Internet/专线/MPLS发送到云平台2的虚拟路由器。云平台2的虚拟路由器收到数据包，通过预定义的路由策略，经由虚拟交换机发送给云平台2的集中式网关。云平台2的集中式网关的VPN单元剥离数据包的VPN隧道的头部，得到原始报文，将原始报文发送给VM4。云平台2的虚拟机发起的对云平台1的虚拟机的访问或应答流量，过程类似，不再赘述。

相应于上面的系统实施例，本发明实施例还提供了一种跨云平台网络互通方法，应用于跨云平台网络互通系统包含的第一云平台上部署的集中式网关；跨云平台网络互通系统包含至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发；集中式网关包括OMP单元；下文描述的一种跨云平台网络互通方法与上文描述的一种跨云平台网络互通系统可相互对应参照。

参见图4所示，该方法包括：

S410：在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址；

S420：将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台，以使第二云平台的集中式网关在通过第二云平台的虚拟路由器和虚拟交换机接收到第一数据包时，将第一数据包中第二虚拟机在跨云覆盖网上的目的IP地址转化为在第二云平台上的IP地址，并经由第二云平台的虚拟交换机转发给第二虚拟机。

应用本发明实施例所提供的方法，在每个云平台上均部署集中式网关，各个云平台的集中式网关在云间形成跨云覆盖网，集中式网关用于跨云覆盖网的二、三层流量转发，集中式网关在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，可以通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址，将进行IP地址转化后的第一数据包发送给第二云平台，这样第二云平台的集中式网关在接收到第一数据包时，将第一数据包中第二虚拟机在跨云覆盖网上的目的IP地址转化为在第二云平台上的IP地址，并转发给第二虚拟机。通过集中式网关，使得多个不同云平台的虚拟机都处于同一套网络架构下，实现真正的网络大二层打通，部署方式简单，降低了运维难度。

在本发明的一种具体实施方式中，集中式网关还包括NAT单元，在通过OMP单元将第一数据包中第一虚拟机在第一云平台上的源IP地址转化为在跨云覆盖网上的大二层IP地址之后、将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台之前，还包括：

通过NAT单元将大二层IP地址转换为自身的公网IP地址，修改源端口号。

在本发明的一种具体实施方式中，还包括：

在接收到互联网发起的对自身所在第一云平台的第一虚拟机的第二数据包时，通过NAT单元将第二数据包中的目的IP地址转换为第一虚拟机在第一云平台的内网IP地址，转发给第一虚拟机。

在本发明的一种具体实施方式中，集中式网关还包括虚拟交换单元、虚拟路由单元和VPN单元，将进行IP地址转化后的第一数据包经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台，包括：

如果通过虚拟交换单元和/或虚拟路由单元确定第一数据包需通过VPN隧道发往第二云平台，则通过VPN单元在第一数据包上加上VPN隧道的头部，并经由第一云平台的虚拟交换机和虚拟路由器发送给第二云平台。

在本发明的一种具体实施方式中，还包括：

在接收到第二云平台的第二虚拟机发起的对自身所在的第一云平台的第一虚拟机的第三数据包时，通过VPN单元将第三数据包的VPN隧道的头部剥离，获得原始报文；

将原始报文发送给第一虚拟机；

第三数据包为：在第二云平台处加入VPN隧道的头部的数据包。

相应于上面的系统实施例和方法实施例，本发明实施例还提供了一种云平台，包括虚拟机、虚拟交换机、虚拟路由器、云管理平台和集中式网关，虚拟机、云管理平台和集中式网关分别与虚拟交换机连接，虚拟交换机与虚拟路由器连接。如图1中，云平台100上部署有虚拟机110(VM1)、虚拟机120(VM2)、云管理平台(Cloud Management Platform，CMP)130、集中式网关140、虚拟交换机150、虚拟路由器160，虚拟机110、虚拟机120、云管理平台130和集中式网关140分别与虚拟交换机150连接，虚拟交换机150与虚拟路由器160连接。

云平台中的集中式网关不用关注每个虚拟机的架构和逻辑，不用针对每个虚拟机搭建不同逻辑的集中式网关，通过集中式网关的用户态层进行流量转发，不用关注各虚拟机的内核和逻辑代码，兼容性较强。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的技术方案及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (13)

1.一种跨云平台网络互通系统，其特征在于，包括：

至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，所述集中式网关用于所述跨云覆盖网的二、三层流量转发。

2.根据权利要求1所述的系统，其特征在于，所述集中式网关包括OMP单元，所述集中式网关，用于：

在接收到自身所在第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址；

将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，以使所述第二云平台的集中式网关在通过所述第二云平台的虚拟路由器和虚拟交换机接收到所述第一数据包时，将所述第一数据包中所述第二虚拟机在所述跨云覆盖网上的目的IP地址转化为在所述第二云平台上的IP地址，并经由所述第二云平台的虚拟交换机转发给所述第二虚拟机。

3.根据权利要求2所述的系统，其特征在于，所述集中式网关还包括NAT单元，所述集中式网关，还用于：

在所述通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址之后、所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台之前，通过所述NAT单元将所述大二层IP地址转换为自身的公网IP地址，修改源端口号。

4.根据权利要求3所述的系统，其特征在于，所述集中式网关，还用于：

在接收到互联网发起的对自身所在所述第一云平台的所述第一虚拟机的第二数据包时，通过所述NAT单元将所述第二数据包中的目的IP地址转换为所述第一虚拟机在所述第一云平台的内网IP地址，转发给所述第一虚拟机。

5.根据权利要求2所述的系统，其特征在于，所述集中式网关还包括虚拟交换单元、虚拟路由单元和VPN单元，所述集中式网关，具体用于：

如果通过所述虚拟交换单元和/或所述虚拟路由单元确定所述第一数据包需通过VPN隧道发往所述第二云平台，则通过所述VPN单元在所述第一数据包上加上所述VPN隧道的头部，并经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台。

6.根据权利要求5所述的系统，其特征在于，所述集中式网关，还用于：

在接收到所述第二云平台的所述第二虚拟机发起的对自身所在的所述第一云平台的所述第一虚拟机的第三数据包时，通过所述VPN单元将所述第三数据包的所述VPN隧道的头部剥离，获得原始报文；

将所述原始报文发送给所述第一虚拟机；

所述第三数据包为：在所述第二云平台处加入所述VPN隧道的头部的数据包。

7.根据权利要求2至5之中任一项所述的系统，其特征在于，所述集中式网关还包括轻量级控制器和微分段单元；所述轻量级控制器用于与云管理平台和其他集中式网关中的轻量级控制器通信，修改所述集中式网关上其他功能单元的配置；所述微分段单元用于基于虚拟机级别的访问控制列表进行访问控制。

8.一种云平台，其特征在于，包括虚拟机、虚拟交换机、虚拟路由器、云管理平台和集中式网关，所述虚拟机、所述云管理平台和所述集中式网关分别与所述虚拟交换机连接，所述虚拟交换机与所述虚拟路由器连接。

9.一种跨云平台网络互通方法，其特征在于，应用于跨云平台网络互通系统包含的第一云平台上部署的集中式网关；所述跨云平台网络互通系统包含至少两个云平台，每个云平台上均部署有虚拟机、虚拟交换机、虚拟路由器和集中式网关；针对任意一个云平台，该云平台中的虚拟机和集中式网关分别与该云平台中的虚拟交换机连接，该云平台中的虚拟交换机与该云平台中的虚拟路由器连接；不同云平台中的虚拟路由器通过网络连接；各个云平台的集中式网关在云间形成跨云覆盖网，所述集中式网关用于所述跨云覆盖网的二、三层流量转发；所述集中式网关包括OMP单元；所述方法包括：

在接收到自身所在所述第一云平台的第一虚拟机对第二云平台的第二虚拟机的第一数据包时，通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址；

将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，以使所述第二云平台的集中式网关在通过所述第二云平台的虚拟路由器和虚拟交换机接收到所述第一数据包时，将所述第一数据包中所述第二虚拟机在所述跨云覆盖网上的目的IP地址转化为在所述第二云平台上的IP地址，并经由所述第二云平台的虚拟交换机转发给所述第二虚拟机。

10.根据权利要求9所述的方法，其特征在于，所述集中式网关还包括NAT单元，在所述通过所述OMP单元将所述第一数据包中所述第一虚拟机在所述第一云平台上的源IP地址转化为在所述跨云覆盖网上的大二层IP地址之后、所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台之前，还包括：

通过所述NAT单元将所述大二层IP地址转换为自身的公网IP地址，修改源端口号。

11.根据权利要求10所述的方法，其特征在于，还包括：

在接收到互联网发起的对自身所在所述第一云平台的所述第一虚拟机的第二数据包时，通过所述NAT单元将所述第二数据包中的目的IP地址转换为所述第一虚拟机在所述第一云平台的内网IP地址，转发给所述第一虚拟机。

12.根据权利要求9所述的方法，其特征在于，所述集中式网关还包括虚拟交换单元、虚拟路由单元和VPN单元，所述将进行IP地址转化后的所述第一数据包经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台，包括：

如果通过所述虚拟交换单元和/或所述虚拟路由单元确定所述第一数据包需通过VPN隧道发往所述第二云平台，则通过所述VPN单元在所述第一数据包上加上所述VPN隧道的头部，并经由所述第一云平台的虚拟交换机和虚拟路由器发送给所述第二云平台。

13.根据权利要求12所述的方法，其特征在于，还包括：

在接收到所述第二云平台的所述第二虚拟机发起的对自身所在的所述第一云平台的所述第一虚拟机的第三数据包时，通过所述VPN单元将所述第三数据包的所述VPN隧道的头部剥离，获得原始报文；

将所述原始报文发送给所述第一虚拟机；

所述第三数据包为：在所述第二云平台处加入所述VPN隧道的头部的数据包。

Images