CN111277611B - 一种虚拟机联网控制方法、装置、电子设备及存储介质 - Google Patents

一种虚拟机联网控制方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN111277611B
CN111277611B CN202010115625.8A CN202010115625A CN111277611B CN 111277611 B CN111277611 B CN 111277611B CN 202010115625 A CN202010115625 A CN 202010115625A CN 111277611 B CN111277611 B CN 111277611B
Authority
CN
China
Prior art keywords
actual
networking
destination
virtual machine
networking request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010115625.8A
Other languages
English (en)
Other versions
CN111277611A (zh
Inventor
戴龙剑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sangfor Technologies Co Ltd
Original Assignee
Sangfor Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sangfor Technologies Co Ltd filed Critical Sangfor Technologies Co Ltd
Priority to CN202010115625.8A priority Critical patent/CN111277611B/zh
Publication of CN111277611A publication Critical patent/CN111277611A/zh
Application granted granted Critical
Publication of CN111277611B publication Critical patent/CN111277611B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本申请公开了一种虚拟机联网控制方法，为实现精细化的联网控制，本申请利用WTP服务从虚拟机发出的联网请求中识别出发送端和目的端，进而得以对识别出的发送端和目的端进行该联网请求是否被允许发送的判断。相较于现有技术一刀切式的联网控制方案，通过WTP提供的网络数据过滤和针对性的提取能力，能够将判断对象精确至虚拟机上安装的某个应用/服务和要取得通信的某个应用/网站/服务，实现了更加精细化的管理，得以使用户对虚拟机使用者的联网行为进行更加精确的管控，增加了安全性。本申请还同时公开了一种虚拟机联网控制装置、电子设备及可读存储介质，具有上述有益效果。

Description

一种虚拟机联网控制方法、装置、电子设备及存储介质
技术领域
本申请涉及虚拟桌面技术领域，特别涉及一种虚拟机联网控制方法、装置、电子设备及可读存储介质。
背景技术
基于安全方面的考虑，很多企业会给其员工提供基于VDI架构的虚拟桌面办公环境取代传统的PC办公。
此类方案的一大优势是数据安全，公司很容易对基于VDI架构创建出的虚拟机进行外网访问限制，但此类外网访问限制十分“粗糙”，绝大部分只能选择完全禁止访问外网或完全允许访问外网，即现今只能做到一刀切式的联网访问控制。但由于复杂的实际情况，往往还存在某些需要频繁更新数据的应用，即存在能够仅允许特定的应用/服务能够允许访问外网(例如Android开发人员所使用的Androidstudio需要频繁更新SDK)的迫切实际需求。
因此，如何解决当前业界对能够实现更加精细化联网控制的VDI虚拟桌面方案的实际需求，是本领域技术人员亟待解决的问题。
发明内容
本申请的目的是提供一种虚拟机联网控制方法、装置、电子设备及可读存储介质，旨在满足业界对基于VDI架构的虚拟桌面方案能够实现精细化联网控制的迫切需求。
为实现上述目的，本申请提供一种虚拟机联网控制方法，包括：
获取用户通过VDI架构创建的虚拟机发出的联网请求；
通过WFP服务确定所述联网请求的实际发出端和实际目的端；
确定是否允许由所述实际发出端向所述实际目的端发送联网请求，得到确定结果；
根据所述确定结果对所述联网请求进行相应的处理。
可选的，通过WFP服务确定所述联网请求的实际发出端和实际目的端，包括：
通过所述WFP服务从所述联网请求中识别出源IP和目的域名；
将与所述源IP对应的应用确定为所述实际发出端；
利用DNS解析服务解析得到与所述目的域名对应的目的IP，并将与所述目的IP对应的网站确定为所述实际目的端。
可选的，确定是否允许由所述实际发出端向所述实际目的端发送联网请求，包括：
根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求。
可选的，在根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求之前，还包括：
向VDC联网控制规则库上传所述虚拟机的身份标识，以使所述VDC联网控制规则库确定与所述身份标识对应的目标VDC联网控制规则，并将所述目标VDC联网控制规则下发至所述虚拟机；其中，预先记录有每种身份标识与每种VDC联网控制规则之间的对应关系；
接收所述VDC联网控制规则库下发的目标VDC联网控制规则。
可选的，确定是否允许由所述实际发出端向所述实际目的端发送联网请求，包括：
根据完全禁止规则判断所述实际发出端和所述实际目的端是否均被完全禁止联网；
若所述实际发出端和所述实际目的端均未被完全禁止联网，则根据部分禁止联网规则判断是否允许所述实际发出端与所述实际目的端进行通信；其中，所述VDC联网控制规则包括所述完全禁止规则和所述部分禁止规则；
若允许所述实际发出端与所述实际目的端进行通信，则确定允许由所述实际发出端向所述实际目的端发送联网请求；
若所述实际发出端或所述实际目的端任一被完全禁止联网或不允许所述实际发出端与所述实际目的端进行通信，则确定不允许由所述实际发出端向所述实际目的端发送联网请求。
可选的，根据所述确定结果对所述联网请求进行相应的处理，包括：
当所述确定结果为不允许由所述实际发出端向所述实际目的端发送联网请求时，拦截所述联网请求；
当所述确定结果为允许由所述实际发出端向所述实际目的端发送联网请求时，放行所述联网请求。
为实现上述目的，本申请还提供了一种虚拟机联网控制装置，包括：
联网请求获取单元，用于获取用户通过VDI架构创建的虚拟机发出的联网请求；
发起端/目的端确定单元，用于通过WFP服务确定所述联网请求的实际发出端和实际目的端；
发送允许确定单元，用于确定是否允许由所述实际发出端向所述实际目的端发送联网请求，得到确定结果；
联网请求处理单元，用于根据所述确定结果对所述联网请求进行相应的处理。
可选的，所述发起端/目的端确定单元包括：
源IP和目的域名识别子单元，用于通过所述WFP服务从所述联网请求中识别出源IP和目的域名；
实际发出端确定子单元，用于将与所述源IP对应的应用确定为所述实际发出端；
实际目的端确定子单元，用于利用DNS解析服务解析得到与所述目的域名对应的目的IP，并将与所述目的IP对应的网站确定为所述实际目的端。
可选的，所述发送允许确定单元包括：
规则确定子单元，用于根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求。
可选的，该虚拟机联网控制装置还包括：
身份标识上传单元，用于在根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求之前，向VDC联网控制规则库上传所述虚拟机的身份标识，以使所述VDC联网控制规则库确定与所述身份标识对应的目标VDC联网控制规则，并将所述目标VDC联网控制规则下发至所述虚拟机；其中，预先记录有每种身份标识与每种VDC联网控制规则之间的对应关系；
目标规则接收单元，用于接收所述VDC联网控制规则库下发的目标VDC联网控制规则。
可选的，所述发送允许确定单元包括：
完全禁止规则判断子单元，用于根据完全禁止规则判断所述实际发出端和所述实际目的端是否均被完全禁止联网；
部分禁止规则判断子单元，用于当所述实际发出端和所述实际目的端均未被完全禁止联网时，根据部分禁止联网规则判断是否允许所述实际发出端与所述实际目的端进行通信；其中，所述VDC联网控制规则包括所述完全禁止规则和所述部分禁止规则；
允许子单元，用于当允许所述实际发出端与所述实际目的端进行通信时，确定允许由所述实际发出端向所述实际目的端发送联网请求；
不允许子单元。用于当所述实际发出端或所述实际目的端任一被完全禁止联网或不允许所述实际发出端与所述实际目的端进行通信时，确定不允许由所述实际发出端向所述实际目的端发送联网请求。
可选的，所述联网请求处理单元包括：
拦截处理子单元，用于当所述确定结果为不允许由所述实际发出端向所述实际目的端发送联网请求时，拦截所述联网请求；
放行处理子单元，用于当所述确定结果为允许由所述实际发出端向所述实际目的端发送联网请求时，放行所述联网请求。
为实现上述目的，本申请还提供了一种电子设备，包括：
存储器，用于存储虚拟机联网控制程序；
处理器，用于在执行所述虚拟机联网控制程序时实现如上述内容所描述的虚拟机联网控制方法中的各步骤。
为实现上述目的，本申请还提供了一种可读存储介质，所述可读存储介质上存储有虚拟机联网控制程序，所述虚拟机联网控制程序被处理器执行时可实现如上述内容所描述的虚拟机联网控制方法中的各步骤。
本申请提供的一种虚拟机联网控制方法包括：获取用户通过VDI架构创建的虚拟机发出的联网请求；通过WFP服务确定所述联网请求的实际发出端和实际目的端；确定是否允许由所述实际发出端向所述实际目的端发送联网请求，得到确定结果；根据所述确定结果对所述联网请求进行相应的处理。
根据本申请提供的虚拟机联网控制方法可以看出，为实现精细化的联网控制，本申请利用WTP服务从虚拟机发出的联网请求中识别出发送端和目的端，进而得以对识别出的发送端和目的端进行该联网请求是否被允许发送的判断。相较于现有技术一刀切式的联网控制方案，通过WTP提供的网络数据过滤和针对性的提取能力，能够将判断对象精确至虚拟机上安装的某个应用/服务和要取得通信的某个应用/网站/服务，实现了更加精细化的管理，得以使用户对虚拟机使用者的联网行为进行更加精确的管控，增加了安全性。
本申请同时还提供了一种虚拟机联网控制装置、电子设备及可读存储介质，具有上述有益效果，在此不再赘述。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请实施例提供的一种虚拟机联网控制方法的流程图；
图2为本申请实施例提供的虚拟机联网控制方法中一种通过WTP服务识别得到实际发出端和实际目的端的方法的流程图；
图3为本申请实施例提供的虚拟机联网控制方法中一种使用接收到的目标VDC联网控制规则进行是否允许的判断的方法的流程图；
图4为本申请实施例提供的虚拟联网控制方法中一种判断是否允许由实际发送端向实际目的端发送联网请求的方法的流程图；
图5为本申请实施例提供的一种虚拟机联网控制装置的结构框图。
具体实施方式
本申请的目的是提供一种虚拟机联网控制方法、装置、电子设备及可读存储介质，旨在满足业界对基于VDI架构的虚拟桌面方案能够实现精细化联网控制的迫切需求。
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。
请参见图1，图1为本申请实施例提供的一种虚拟机联网控制方法的流程图，其包括以下步骤，下述各步骤的执行主体均未VDI架构创建的虚拟机所处的电子设备：
S101：获取用户通过VDI架构创建的虚拟机发出的联网请求；
本步骤旨在由承载该虚拟机的电子设备获取用户发出的联网请求，即该联网请求是在用户的操作下由运行在该虚拟机中的应用/服务发出的网络数据包。
VDI，英文全称Virtual Desktop Infrastructure，一种虚拟桌面方案的架构。它不是给每个用户都配置一台运行Windows系统的桌面PC，而是通过在数据中心的服务器运行Windows系统，将桌面进行虚拟化创建为一个个虚拟机分配给所需的用户，即用户所进行的各项操作均在该虚拟机上被执行，并将执行结果的画面反馈在用户真实所使用的设备的显示屏上。
S102：通过WFP服务确定联网请求的实际发出端和实际目的端；
WFP、Windows Filter Platform，是Intel为网络过滤应用开发平台提供支持的API和系统服务的集合。WFP允许开发者编写代码和操作系统的网络协议栈，网络数据可以在到达目的地之前被过滤和修改。通过提供简单的开发平台，WFP被用于取代以前的TDI(Transport Driver Interface，指WindowsNT操作系统中各种运输层协议与接收软件之间的接口层)过滤，NDIS(Network Driver Interface Specification，网络驱动程序接口规范)过滤，以及LSP(Winsock Layered Service)，尤其是用于替代Visita(指第6个版本的Windows操作系统)及以后的系统火墙钩子，因为传统的过滤钩子驱动将不再适用。
在S101的基础上，本步骤旨在借助WFP服务的能力确定出联网请求的实际发出端和实际目的端，即该联网请求是用户指示哪个应用或服务向哪个应用/服务/网站发送的。
一种包括但不限于的实现方式可参见如图2所示的流程图，包括如下步骤：
S201：通过WFP服务从联网请求中识别出源IP和目的域名；
S202：将与源IP对应的应用确定为实际发出端；
S203：利用DNS解析服务解析得到与目的域名对应的目的IP；
S204：将与目的IP对应的网站确定为实际目的端。
可见，如图2所示的实现方式中，实际发出端可直接基于联网请求中包含的源IP，而实际发出端的确定则还需要利用DNS解析服务对目标域名进行解析，这是因为对用户而言，更广泛的是了解到目标网站的域名，而不是更准确的IP地址，例如www.baidu.com。
应当理解的是，上述例子可根据包含的源IP确定出实际发出端，即说明该实施例针对的实际发出端为某个可由IP地址指代的对象，例如某个应用对应的网站，当实际发出端实际为某项无法用IP地址描述的服务或其它对象时，可以通过注入服务名、对象名或特殊的对象识别标记来实现相同的效果。
S103：确定是否允许由实际发出端向实际目的端发送联网请求，得到确定结果；
在S102的基础上，本步骤旨在确定是否允许由实际发出端向实际目的端发送联网请求，进而得到包含是否允许的结论的确定结果。
应当理解的是，是否允许由实际发出端向实际目的端发送联网请求的目的，是为了便于后续步骤确定出应当处理如何该联网请求。结合实际情况应当理解的是，若允许由实际发出端向实际目的端发送联网请求，实际上应满足三个条件：(1)允许该实际发出端访问外网；(2)允许与该实际目的端进行通信；(3)允许被允许访问外网的该实际发出端与该实际目的端进行通信，即第三个条件能否被满足应建立在前两个条件被满足的基础上，之所以这样分布，也是因为为了实现精细化联网控制，也不能对某个应用、某个服务直接进行一刀切，也需要考虑到应禁止服务A与绝大多数外部服务之间的联网，但满足服务A与特定外部服务X之间的联网；同理，可能允许外部服务X接收虚拟机上绝大多数服务的联网请求，但应禁止其中的服务B的联网。
用于实现本步骤得到允许的判断结果的联网控制规则可以由虚拟机创建后由外部输入的联网控制参数生成，也可以考虑到企业的办公规模，以不同的虚拟机使用者的权限预先创建一个包含有与其对应的VDC联网控制权限的VDC联网控制规则库，以便在某个虚拟机被分配给某个用户时，通过使用者的身份信息从对应的VDC联网控制规则库中请求。
VDC，英文全称Vitrual Data Center，本申请在VDI环境中提供的一种充当用户权限认证、分配虚拟机、策略配置和控制访问的功能组件或独立设备。
S104：根据确定结果对联网请求进行相应的处理。
在S103的基础上，本步骤旨在根据确定结果所包含的不同结论，对联网请求进行不同的处理，以实现精细化联网控制。
具体的，当确定结果为不允许由实际发出端向实际目的端发送联网请求时，拦截联网请求；当确定结果为允许由实际发出端向实际目的端发送联网请求时，放行联网请求。
应当理解的是，若放行由实际发出端向实际目的端发送联网请求，也就意味着该联网请求将成功到达实际目的端，虚拟机也应能正常接收到来自该实际目的端返回的响应数据，即响应数据在返回途中也不应被拦截。
根据本申请提供的虚拟机联网控制方法可以看出，为实现精细化的联网控制，本申请利用WTP服务从虚拟机发出的联网请求中识别出发送端和目的端，进而得以对识别出的发送端和目的端进行该联网请求是否被允许发送的判断。相较于现有技术一刀切式的联网控制方案，通过WTP提供的网络数据过滤和针对性的提取能力，能够将判断对象精确至虚拟机上安装的某个应用/服务和要取得通信的某个应用/网站/服务，实现了更加精细化的管理，得以使用户对虚拟机使用者的联网行为进行更加精确的管控，增加了安全性。
在实施例一的基础上，本申请还针对企业大规模使用基于VDI架构的虚拟桌面方案进行办公的场景，提供了一种由该电子设备作为执行主体的获取与其虚拟机使用者对应的目的VDC联网控制规则的实现方案，请参见如图3所示的流程图，包括如下步骤：
S301：向VDC联网控制规则库上传虚拟机的身份标识；
本步骤由该电子设备向VDC联网控制规则库上传虚拟机的身份标识，以使该VDC联网控制规则库确定与身份标识对应的目标VDC联网控制规则，并将目标VDC联网控制规则下发至虚拟机。即该VDC联网控制规则库预先记录有不同身份标识与不同VDC联网控制规则之间的对应关系，该身份标识至少包含能够用于标明该用户身份或其所拥有外网访问权限的信息。
S302：接收VDC联网控制规则库下发的目标VDC联网控制规则；
S303：根据接收到的VDC联网控制规则确定是否允许由实际发出端发出联网请求或是否允许向实际目的端发送联网请求。
为加深理解具体如何判断出是否允许由实际发出端向实际目的端发送联网请求，此处还提供了一种具体的判断方案，请参见如图4所示的流程图，包括如下步骤：
S401：通过WFP服务确定联网请求的实际发出端和实际目的端；
S402：根据完全禁止规则判断实际发出端和实际目的端是否均被完全禁止联网；
其中，该完全禁止规则在本实施例中作为VDC联网控制规则中的一部分，用于描述被完全禁止访问外网一些应用/服务。
S403：根据部分禁止规则判断是否允许实际发出端与实际目的端进行通信；
其中，该部分禁止规则在本实施例中也作为VDC联网控制规则中的一部分，用于描述被部分禁止访问外网一些应用/服务/网站，即某些应用/服务被禁止与某些外网服务/应用/网站进行通信，但也被允许被另一些外网服务/应用/网站进行通信。
本步骤建立在实际发出端和实际目的端均未被完全禁止联网的基础上，说明该实际发出端至少被允许与一些外网目的端进行通信，该实际发出端至少被允许由一些运行在虚拟机上的发出端进行通信。即本步骤旨在判断该实际发出端和实际目的端各自被允许的那部分中是否存在重合。
S404：确定允许由实际发出端向实际目的端发送联网请求；
本步骤建立在S403的判断结果为确定允许实际发出端与实际目的端进行通信的基础上，因此可确定允许由实际发出端向实际目的端发送联网请求。
S405：确定不允许由实际发出端向实际目的端发送联网请求。
本步骤建立在S402的判断结果为实际发出端和实际目的端有至少一个被完全禁止联网的基础上，以及在S403的判断结果为不允许实际发出端与实际目的端进行通信的基础上，因此可确定不允许由实际发出端向实际目的端发送联网请求。
在上述实施例的基础上，通过具体由完全禁止规则和部分禁止规则组成的VDC联网控制规则的依次判断，使得通过完全禁止规则确定出实际发出端或实际目的端被完全禁止联网时，可无需进行后续判定，相比直接基于完整的联网禁止规则，通过依次使用完全禁止规则和部分禁止规则，可更快的得到不允许由实际发出端向实际目的端发送联网请求的结论，在仅有少部分被允许联网的情况下，无疑可提升整体判断效率，判断耗时更短。
因为情况复杂，无法一一列举进行阐述，本领域技术人员应能意识到根据本申请提供的基本方法原理结合实际情况可以存在很多的例子，在不付出足够的创造性劳动下，应均在本申请的保护范围内。
下面请参见图5，图5为本申请实施例提供的一种虚拟机联网控制装置的结构框图，该装置可以包括：
联网请求获取单元100，用于获取用户通过VDI架构创建的虚拟机发出的联网请求；
发起端/目的端确定单元200，用于通过WFP服务确定联网请求的实际发出端和实际目的端；
发送允许确定单元300，用于确定是否允许由实际发出端向实际目的端发送联网请求，得到确定结果；
联网请求处理单元400，用于根据确定结果对联网请求进行相应的处理。
其中，发起端/目的端确定单元200可以包括：
源IP和目的域名识别子单元，用于通过WFP服务从联网请求中识别出源IP和目的域名；
实际发出端确定子单元，用于将与源IP对应的应用确定为实际发出端；
实际目的端确定子单元，用于利用DNS解析服务解析得到与目的域名对应的目的IP，并将与目的IP对应的网站确定为实际目的端。
其中，发送允许确定单元300可以包括：
规则确定子单元，用于根据VDC联网控制规则确定是否允许由实际发出端发出联网请求或是否允许向实际目的端发送联网请求。
进一步的，该虚拟机联网控制装置还可以包括：
身份标识上传单元，用于在根据VDC联网控制规则确定是否允许由实际发出端发出联网请求或是否允许向实际目的端发送联网请求之前，向VDC联网控制规则库上传虚拟机的身份标识，以使VDC联网控制规则库确定与身份标识对应的目标VDC联网控制规则，并将目标VDC联网控制规则下发至虚拟机；其中，预先记录有每种身份标识与每种VDC联网控制规则之间的对应关系；
目标规则接收单元，用于接收VDC联网控制规则库下发的目标VDC联网控制规则。
其中，发送允许确定单元300可以包括：
完全禁止规则判断子单元，用于根据完全禁止规则判断实际发出端和实际目的端是否均被完全禁止联网；
部分禁止规则判断子单元，用于当实际发出端和实际目的端均未被完全禁止联网时，根据部分禁止联网规则判断是否允许实际发出端与实际目的端进行通信；其中，VDC联网控制规则包括完全禁止规则和部分禁止规则；
允许子单元，用于当允许实际发出端与实际目的端进行通信时，确定允许由实际发出端向实际目的端发送联网请求；
不允许子单元。用于当实际发出端或实际目的端任一被完全禁止联网或不允许实际发出端与实际目的端进行通信时，确定不允许由实际发出端向实际目的端发送联网请求。
其中，联网请求处理单元400可以包括：
拦截处理子单元，用于当确定结果为不允许由实际发出端向实际目的端发送联网请求时，拦截联网请求；
放行处理子单元，用于当确定结果为允许由实际发出端向实际目的端发送联网请求时，放行联网请求。
根据本实施例提供的对应于上述方法实施例的虚拟机联网控制装置的内容可以看出，为实现精细化的联网控制，本实施例利用WTP服务从虚拟机发出的联网请求中识别出发送端和目的端，进而得以对识别出的发送端和目的端进行该联网请求是否被允许发送的判断。相较于现有技术一刀切式的联网控制方案，通过WTP提供的网络数据过滤和针对性的提取能力，能够将判断对象精确至虚拟机上安装的某个应用/服务和要取得通信的某个应用/网站/服务，实现了更加精细化的管理，得以使用户对虚拟机使用者的联网行为进行更加精确的管控，增加了安全性。
基于上述实施例，本申请还提供了一种电子设备，该电子设备可以包括存储器和处理器，其中，该存储器中存有具有为虚拟机联网控制程序的计算机程序，该处理器调用该存储器中的虚拟机联网控制程序时，可以实现上述实施例所提供的步骤。当然，该电子设备还可以包括各种必要的网络接口、电源以及其它零部件等。
本申请还提供了一种可读存储介质，其上存有计算机程序，该计算机程序被执行终端或处理器执行时可以实现上述实施例所提供的步骤。该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。
还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其它变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其它要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种虚拟机联网控制方法，其特征在于，所述虚拟机联网控制方法应用于VDI架构创建的虚拟机所处的电子设备，包括：
获取用户通过VDI架构创建的虚拟机发出的联网请求；
通过WFP服务确定所述联网请求的实际发出端和实际目的端；所述实际发出端包括所述虚拟机中的应用或服务，所述实际目的端包括应用、服务或网站中的至少一者；
确定是否允许由所述实际发出端向所述实际目的端发送联网请求，得到确定结果；
根据所述确定结果对所述联网请求进行相应的处理；
其中，所述通过WFP服务确定所述联网请求的实际发出端和实际目的端，包括：根据所述联网请求中的源IP和目的域名确定所述联网请求的实际发出端和实际目的端；或者，通过注入服务名、对象名或特殊的对象识别标记确定所述联网请求的实际发出端和实际目的端。
2.根据权利要求1所述的虚拟机联网控制方法，其特征在于，所述根据所述联网请求中的源IP和目的域名确定所述联网请求的实际发出端和实际目的端，包括：
通过所述WFP服务从所述联网请求中识别出源IP和目的域名；
将与所述源IP对应的应用确定为所述实际发出端；
利用DNS解析服务解析得到与所述目的域名对应的目的IP，并将与所述目的IP对应的网站确定为所述实际目的端。
3.根据权利要求1所述的虚拟机联网控制方法，其特征在于，确定是否允许由所述实际发出端向所述实际目的端发送联网请求，包括：
根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求。
4.根据权利要求3所述的虚拟机联网控制方法，其特征在于，在根据VDC联网控制规则确定是否允许由所述实际发出端发出联网请求或是否允许向所述实际目的端发送联网请求之前，还包括：
向VDC联网控制规则库上传所述虚拟机的身份标识，以使所述VDC联网控制规则库确定与所述身份标识对应的目标VDC联网控制规则，并将所述目标VDC联网控制规则下发至所述虚拟机；其中，预先记录有每种身份标识与每种VDC联网控制规则之间的对应关系；
接收所述VDC联网控制规则库下发的目标VDC联网控制规则。
5.根据权利要求3或4所述的虚拟机联网控制方法，其特征在于，确定是否允许由所述实际发出端向所述实际目的端发送联网请求，包括：
根据完全禁止规则判断所述实际发出端和所述实际目的端是否均被完全禁止联网；
若所述实际发出端和所述实际目的端均未被完全禁止联网，则根据部分禁止联网规则判断是否允许所述实际发出端与所述实际目的端进行通信；其中，所述VDC联网控制规则包括所述完全禁止规则和所述部分禁止规则；
若允许所述实际发出端与所述实际目的端进行通信，则确定允许由所述实际发出端向所述实际目的端发送联网请求；
若所述实际发出端或所述实际目的端任一被完全禁止联网或不允许所述实际发出端与所述实际目的端进行通信，则确定不允许由所述实际发出端向所述实际目的端发送联网请求。
6.根据权利要求1所述的虚拟机联网控制方法，其特征在于，根据所述确定结果对所述联网请求进行相应的处理，包括：
当所述确定结果为不允许由所述实际发出端向所述实际目的端发送联网请求时，拦截所述联网请求；
当所述确定结果为允许由所述实际发出端向所述实际目的端发送联网请求时，放行所述联网请求。
7.一种虚拟机联网控制装置，其特征在于，所述虚拟机联网控制装置应用于VDI架构创建的虚拟机所处的电子设备，包括：
联网请求获取单元，用于获取用户通过VDI架构创建的虚拟机发出的联网请求；
发起端/目的端确定单元，用于通过WFP服务确定所述联网请求的实际发出端和实际目的端；所述实际发出端包括所述虚拟机中的应用或服务，所述实际目的端包括应用、服务或网站中的至少一者；
发送允许确定单元，用于确定是否允许由所述实际发出端向所述实际目的端发送联网请求，得到确定结果；
联网请求处理单元，用于根据所述确定结果对所述联网请求进行相应的处理；
其中，发起端/目的端确定单元具体用于：根据所述联网请求中的源IP和目的域名确定所述联网请求的实际发出端和实际目的端；或者，通过注入服务名、对象名或特殊的对象识别标记确定所述联网请求的实际发出端和实际目的端。
8.根据权利要求7所述的虚拟机联网控制装置，其特征在于，所述发起端/目的端确定单元包括：
源IP和目的域名识别子单元，用于通过所述WFP服务从所述联网请求中识别出源IP和目的域名；
实际发出端确定子单元，用于将与所述源IP对应的应用确定为所述实际发出端；
实际目的端确定子单元，用于利用DNS解析服务解析得到与所述目的域名对应的目的IP，并将与所述目的IP对应的网站确定为所述实际目的端。
9.一种电子设备，其特征在于，包括：
存储器，用于存储虚拟机联网控制程序；
处理器，用于在执行所述虚拟机联网控制程序时实现如权利要求1至6任一项所述的虚拟机联网控制方法中的各步骤。
10.一种可读存储介质，其特征在于，所述可读存储介质上存储有虚拟机联网控制程序，所述虚拟机联网控制程序被处理器执行时可实现如权利要求1至6任一项所述的虚拟机联网控制方法中的各步骤。
CN202010115625.8A 2020-02-25 2020-02-25 一种虚拟机联网控制方法、装置、电子设备及存储介质 Active CN111277611B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010115625.8A CN111277611B (zh) 2020-02-25 2020-02-25 一种虚拟机联网控制方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010115625.8A CN111277611B (zh) 2020-02-25 2020-02-25 一种虚拟机联网控制方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN111277611A CN111277611A (zh) 2020-06-12
CN111277611B true CN111277611B (zh) 2022-11-22

Family

ID=71003695

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010115625.8A Active CN111277611B (zh) 2020-02-25 2020-02-25 一种虚拟机联网控制方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN111277611B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113179225B (zh) * 2021-04-26 2022-11-04 深圳市奇虎智能科技有限公司 子路由的应用识别与处理方法、系统、存储介质及计算机设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995144A (zh) * 2016-10-26 2018-05-04 北京金山云网络技术有限公司 一种基于安全组的访问控制方法及装置
CN108259477A (zh) * 2017-12-30 2018-07-06 上海陆家嘴国际金融资产交易市场股份有限公司 基于sdn的网络访问控制方法、装置和计算机设备
CN108521397A (zh) * 2018-02-09 2018-09-11 华为技术有限公司 一种访问资源服务的方法及系统
CN109451084A (zh) * 2018-09-14 2019-03-08 华为技术有限公司 一种服务访问方法及装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8607054B2 (en) * 2010-10-15 2013-12-10 Microsoft Corporation Remote access to hosted virtual machines by enterprise users
CN103179102B (zh) * 2011-12-26 2016-05-25 中国移动通信集团公司 一种桌面虚拟化方法、设备及系统
CN103634314B (zh) * 2013-11-28 2017-06-16 新华三技术有限公司 一种基于虚拟路由器vsr的服务访问控制方法及设备
CN104901923B (zh) * 2014-03-04 2018-12-25 新华三技术有限公司 一种虚拟机访问装置和方法
WO2017142970A1 (en) * 2016-02-16 2017-08-24 Illumio, Inc. Enforcing label-based rules on a per-user basis in a distributed network management system
US10698714B2 (en) * 2017-04-07 2020-06-30 Nicira, Inc. Application/context-based management of virtual networks using customizable workflows
CN109472136A (zh) * 2018-10-26 2019-03-15 山东钢铁集团日照有限公司 基于深度防护的虚拟化云桌面安全访问方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995144A (zh) * 2016-10-26 2018-05-04 北京金山云网络技术有限公司 一种基于安全组的访问控制方法及装置
CN108259477A (zh) * 2017-12-30 2018-07-06 上海陆家嘴国际金融资产交易市场股份有限公司 基于sdn的网络访问控制方法、装置和计算机设备
CN108521397A (zh) * 2018-02-09 2018-09-11 华为技术有限公司 一种访问资源服务的方法及系统
CN109451084A (zh) * 2018-09-14 2019-03-08 华为技术有限公司 一种服务访问方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
基于虚拟组织的桌面云安全访问与共享机制研究;陈伟等;《集成技术》;20121115(第04期);第1-6页 *
面向虚拟桌面内外部数据流的安全控制机制研究;邓霄霄等;《计算机科学》;20160415(第04期);第1-4页 *

Also Published As

Publication number Publication date
CN111277611A (zh) 2020-06-12

Similar Documents

Publication Publication Date Title
EP3128459A1 (en) System and method of utilizing a dedicated computer security service
CN110661670A (zh) 一种网络设备配置管理方法及装置
CN110933092A (zh) 一种基于jwt的单点登录实现方法及装置
CN107786551B (zh) 访问内网服务器的方法及控制访问内网服务器的装置
CN104025544A (zh) 机密信息泄露防止系统、机密信息泄露防止方法和计算机可读记录介质
CN114640713B (zh) 数据访问监视和控制
CN105162763B (zh) 通讯数据的处理方法和装置
CN114885332A (zh) 流量处理方法及装置、存储介质及电子设备
CN112711770A (zh) 敏感行为阻断方法、装置、终端及存储介质
KR102142045B1 (ko) 멀티 클라우드 환경에서의 서버 감사 시스템
CN111277611B (zh) 一种虚拟机联网控制方法、装置、电子设备及存储介质
CN111479268A (zh) 一种账户验证方法及装置
AU2018208696B2 (en) Microkernel gateway server
CN113194099B (zh) 一种数据代理方法及代理服务器
CN110891056A (zh) Https请求认证方法及装置、电子设备、存储介质
CN110708309A (zh) 反爬虫系统及方法
CN112995164B (zh) 资源访问的鉴权方法及装置、存储介质、电子设备
KR101395830B1 (ko) 프록시를 경유한 접속 세션정보 확인시스템과 이를 기반으로 한 세션정보 확인방법
CN104753774A (zh) 一种分布式企业综合接入网关
CN115941795B (zh) 数据传输方法、装置、电子设备及存储介质
CN114598500B (zh) 一种安全服务提供方法、平台、电子设备、介质及程序
CN114070637B (zh) 基于属性标签的访问控制方法、系统、电子设备及存储介质
CN107071040B (zh) 一种基于文件描述符和会话的权限控制方法和系统
CN115174592A (zh) 企业级数据请求转发系统及方法
CN108768987B (zh) 数据交互方法、装置及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant