CN111600755A - 上网行为管理系统和方法 - Google Patents

Abstract

本申请涉及一种上网行为管理系统和方法。通过物理层中的一个或多个计算机设备提供进行上网行为管理需要的硬件资源，通过虚拟层将硬件资源虚拟化，给上层的应用层提供硬件资源的访问接口，同时还能创建虚拟网络，虚拟网络中包括多个业务虚拟机，多个业务虚拟机和上网行为管理软件包含的多个业务模块对应，向应用层的上网行为管理软件提供虚拟化的硬件资源，并且虚拟层还能提供与外部互联网的连接，通过应用层的上网行为管理软件，实现用户的上网行为管理，相较于传统的上网行为管理系统，本申请通过设置虚拟层，实现硬件资源的虚拟化，同时可以通过连接其他计算机设备的方式为虚拟机扩容，从而消除了上网行为管理系统的硬件瓶颈。

Description

上网行为管理系统和方法

技术领域

本申请涉及互联网信息技术领域，特别是涉及一种上网行为管理系统和方法。

背景技术

随着互联网技术的不断发展，网络新业务层出不穷，包括对等网络、VoIP、流媒体、音视频聊天、互动在线游戏和虚拟现实等，其中这些业务都需要对上网行为进行管理，通常对上网行为进行管理可以通过报文检测设备实现，报文检测设备的普及为企业实现相应功能的同时，也对其性能的要求越来越高。

传统的上网行为管理，通常是通过报文检测设备对上网行为进行检测，报文检测设备通常只能通过其设备本身为用户提供服务，例如可以为其用户提供报文检测、文件存储和防火墙网络拦截等功能，然而，传统的通过报文检测设备实现的上网行为管理系统，在应对大量工作时，通常有其性能瓶颈，达到瓶颈后，无法满足用户的性能需求，从而无法满足用户对上网行为管理的需求，并且用户对其进行性能升级的难度也较大。

因此，传统的上网行为管理系统存在硬件性能瓶颈的缺陷。

发明内容

基于此，有必要针对上述技术问题，提供一种能够解决上网行为管理系统硬件性能瓶颈的上网行为管理系统和方法。

一种上网行为管理系统，包括：

物理层，用于提供上网行为管理软件运行所需硬件资源，所述物理层包括一台或多台计算机设备；所述多台计算机设备通过物理网线连接；

虚拟层，用于实现所述硬件资源的虚拟化，为上层的应用层提供所述硬件资源的访问接口；所述虚拟层还用于创建虚拟网络，所述虚拟网络中包括虚拟交换机以及多个业务虚拟机，所述多个业务虚拟机与所述上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络；

应用层，用于生产面向用户的应用数据和应用界面；所述应用层配置有上网行为管理软件，以实现用户的上网行为管理。

在一个实施例中，还包括：

当所述物理层包括一台计算机设备时，所述虚拟层还用于创建虚拟网卡，所述虚拟网卡用于连接所述多个业务虚拟机和所述虚拟交换机。

在一个实施例中，还包括：

当所述物理层包括多台计算机设备时，所述虚拟层还用于在所述多台计算机设备中创建虚拟网卡，利用预设网络协议创建网络隧道，在所述虚拟交换机上配置虚拟端口，根据所述虚拟网卡、所述网络隧道以及虚拟端口实现所述多台计算机设备中的所述多个业务虚拟机之间的通信。

在一个实施例中，所述虚拟交换机还连接于网关；所述虚拟交换机用于接收经过所述网关的外部网络的信息并进行分流，分别发送至所述多个业务虚拟机中；

所述虚拟交换机还用于获取所述多个业务虚拟机的信息，通过所述网关发送至外部网络。

在一个实施例中，所述上网行为管理软件包含的多个业务模块，具体包括：行为检测模块、网络拦截模块、上网认证模块、网页管理模块、文件系统模块、系统日志模块、共享内存模块和数据库模块。

在一个实施例中，所述虚拟层创建的业务虚拟机，包括：

行为检测虚拟机、网络拦截虚拟机、上网认证虚拟机、网页管理虚拟机、文件系统虚拟机、系统日志虚拟机、共享内存虚拟机和数据库虚拟机。

在一个实施例中，所述文件系统虚拟机中配置有分布式存储管理程序，以实现所述文件系统虚拟机在多个计算机设备中进行存储管理。

在一个实施例中，所述共享内存虚拟机中配置有分布式内存管理程序，以实现所述文件系统虚拟机在多个计算机设备中进行存储管理。

在一个实施例中，所述上网行为管理软件实现用户的上网行为管理的过程，包括：

通过所述上网认证模块获取待认证用户的认证信息，将所述认证信息发送至共享内存中；

通过所述共享内存模块从所述共享内存中获取所述认证信息，与所述数据库模块中的对应的用户的已认证信息进行比较，若所述认证信息与所述已认证信息一致，判断所述用户通过认证；若所述认证信息与所述已认证信息不一致，判断所述用户不通过认证，向所述网络拦截模块发送拦截信号；

通过所述网络拦截模块接收所述拦截信号，对不通过认证的所述用户的上网操作进行拦截。

在一个实施例中，所述上网行为管理软件实现用户的上网行为管理的过程，还包括：

通过所述网页管理模块获取所述用户在所述网页上的操作数据，将所述数据发送至所述行为检测模块；

通过所述行为检测模块对所述操作数据进行检测，检测所述用户的上网行为，将所述用户的上网行为及其对应的检测结果发送至所述数据库模块存储。

在一个实施例中，所述上网行为管理软件实现用户的上网行为管理的过程，还包括：

通过所述系统日志模块获取所述多个业务模块的行为记录并发送至数据库模块进行存储；

通过所述文件系统模块获取并管理所述数据库中的数据。

在一个实施例中，所述硬件资源，包括：内存设备、物理网口和处理器。

一种硬件虚拟化方法，应用于上述上网行为管理系统的虚拟层，所述方法包括：

获取所述物理层提供的硬件资源信息，根据所述硬件资源信息对所述物理层提供的硬件资源进行虚拟化，为所述应用层提供所述硬件资源的访问接口；

获取配置于所述应用层中的上网行为管理软件包含的多个业务模块信息，根据所述多个业务模块信息创建虚拟网络，所述虚拟网络包括虚拟交换机和多个所述业务虚拟机，所述多个业务虚拟机与上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络。

上述上网行为管理系统和方法，通过物理层中的一个或多个计算机设备提供进行上网行为管理需要的硬件资源，通过虚拟层将硬件资源虚拟化，给上层的应用层提供硬件资源的访问接口，同时还能创建虚拟网络，虚拟网络中包括多个业务虚拟机，多个业务虚拟机和上网行为管理软件包含的多个业务模块对应，向应用层的上网行为管理软件提供虚拟化的硬件资源，并且虚拟层还能提供与外部互联网的连接，通过应用层的上网行为管理软件，实现用户的上网行为管理，相较于传统的上网行为管理系统，本申请通过设置虚拟层，实现硬件资源的虚拟化，并为上层应用提供相应的接口，使得上层应用可以调用相应接口实现上网行为管理，同时可以通过连接其他计算机设备的方式为虚拟机扩容，从而消除了上网行为管理系统的硬件瓶颈。

附图说明

图1为一个实施例中上网行为管理系统的结构示意图；

图2为一个实施例中上网行为管理系统的应用层的结构示意图；

图3为一个实施例中上网行为管理系统的虚拟层的结构示意图；

图4为一个实施例中上网行为管理系统的物理层的结构示意图；

图5为一个实施例中虚拟层中虚拟网络的结构示意图；

图6为一个实施例中上网行为管理步骤的流程示意图；

图7为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

在一个实施例中，如图1所示，提供了一种上网行为管理系统，该上网行为管理系统可以采用IaaS(Infrastructure-as-a-Service，基础设施即服务)、PaaS(Platform-as-a-Service，平台即服务)、SaaS(Software-as-a-Service，软件即服务)分层结构，具体地，该系统包括：物理层102、虚拟层104和应用层106。其中，物理层102、虚拟层104和应用层106可以在上述上网行为管理系统中处于不同位置，每一层的功能不仅仅局限于说明书中所记载的功能，上述物理层102、虚拟层104、和应用层106还可以被用于实现其他功能；在一个实施例中，上述上网行为管理系统还可以包括网关。上述上网行为管理系统可以包括如下所示的具体内容：

物理层102，用于提供上网行为管理软件运行所需硬件资源，物理层102包括一台或多台计算机设备；多台计算机设备通过物理网线连接。

其中，物理层102可以是位于IaaS(Infrastructure-as-a-Service，基础设施即服务)的一层，IaaS(Infrastructure-as-a-Service，基础设施即服务)提供给用户的服务可以是对所有计算基础设施的利用，包括处理CPU、内存、存储、网络和其它基本的计算资源，用户能够部署和运行任意软件，包括操作系统和应用程序。物理层102可以为设备之间的数据通信提供传输媒体及互连设备，还可以为数据传输提供可靠的环境。

上网行为管理软件可以是用于进行上网行为管理的工具，该工具可以是以软件形式存在，还可以以网页、小程序等形式存在；该上网行为管理软件可以用于管理用户的上网行为，也可以用于管理上网行为管理员的上网行为。在另一个实施例中，上述上网行为管理软件可以用于管理注册用户的上网行为，也可以用于管理非注册用户的上网行为。

硬件资源可以包括用于使上述上网行为管理软件可以正常运行的硬件设备，硬件资源可以是将包括多个功能的硬件设备组成的集合，也可以是多个具有其独特功能的硬件设备进行连接，这些硬件设备可以设置在物理层102中，通过特定方式进行连接通信，从而可以使上述上网行为管理软件可以正常运行。

计算机设备可以是现代一种用于高速计算的电子计算机器，可以进行数值计算，又可以进行逻辑计算，还具有存储记忆功能，是能够按照程序运行，自动、高速处理海量数据的现代化智能电子设备，上述在物理层102的计算机设备可以是一个，也可以有多个，多个计算机设备之间可以通过特定方式进行连接通信，例如，可以通过物理网线，将多个计算机设备进行连接，从而多个计算机设备可以根据计算机设备中的硬件设备为上网行为管理软件提供必要的硬件资源。以实现上述上网行为管理软件的正常运作，上述物理层102中可以配置有上述硬件资源，其中硬件资源可以分布在一台计算机中，也可以分布在多个上述计算机设备中，当分布在多个计算机设备时，计算机设备中的硬件资源可以通过物理网线方式进行通信连接，也可以通过其他方式进行通信。物理层102可以向上述上网行为管理软件提供上述设置在计算机设备中的硬件资源，使得上述上网行为管理软件可以调用上述硬件资源实现上网管理。

虚拟层104，用于实现硬件资源的虚拟化，为上层的应用层106提供硬件资源的访问接口；虚拟层104还用于创建虚拟网络，虚拟网络中包括虚拟交换机以及多个业务虚拟机，多个业务虚拟机与上网行为管理软件包含的多个业务模块对应；虚拟网络中的多个业务虚拟机通过虚拟交换机互联，多个业务虚拟机还通过虚拟交换机接入外部网络。

其中，虚拟层104可以是位于PaaS(Platform-as-a-Service，平台即服务)的一层，PaaS(Platform-as-a-Service，平台即服务)提供给用户的服务可以是把客户采用提供的开发语言和工具，例如Java，python,.Net等，开发的或收购的应用程序部署到供应商的云计算基础设施上去。用户不需要管理或控制底层的云基础设施，包括网络、服务器、操作系统、存储等，但用户能控制部署的应用程序，也可能控制运行应用程序的托管环境配置。虚拟层104可以是用于将硬件资源虚拟化，并且可以为上层提供硬件资源的接口的一层，虚拟层104可以调用上述物理层102中计算机设备的硬件资源，虚拟层104可以调用其中一台计算机设备的硬件资源，也可以调用多台计算机设备的硬件资源，当调用多台计算机设备的硬件资源时，虚拟层104可以通过网络与被调用的硬件资源进行通信，该网络可以是有线网络，例如通过物理网线进行通信连接，也可以是其他通信方式。虚拟层104可以调用上述物理层102中的硬件资源，并且将硬件资源进行虚拟化，形成可以被调用的访问接口，使得应用层106的软件可以通过调用虚拟层104生成的接口，实现相应硬件资源的功能，虚拟层104可以将一台计算机设备的硬件资源进行整合和封装接口，也可以将多台计算机设备的硬件资源进行整合和封装接口，使得应用层106只需调用相应功能的接口即可使用一台或者多台计算机设备的硬件资源。

虚拟层104中可以包括有计算机设备的操作系统，还可以包括有多个业务虚拟机和虚拟交换机构成的虚拟网络，业务虚拟机可以是用于实现上网行为管理相应功能的虚拟机，该虚拟机可以是linux操作系统下的KVM(Kernel-based Virtual Machine，开源的系统虚拟化模块)虚拟机，上述多个虚拟机可以在一个计算机身为中安装，也可以在多个计算机设备中安装，上述上网行为管理软件可以包括有多个业务模块，每个虚拟机可以对应上网行为管理软件的不同模块的对应功能，需要说明的是，每个功能接口的封装可以由一个虚拟机完成，也可以有多个虚拟机共同完成。在虚拟层104中，还可以包括有虚拟交换机，该虚拟交换机可以用于实现虚拟层104中的各个虚拟机之间的通信，虚拟交换机还可以接入外部网络，使得虚拟层104中的各个虚拟机可以通过虚拟交换机与外部网络进行通信连接。

应用层106，用于生产面向用户的应用数据和应用界面；应用层106配置有上网行为管理软件，以实现用户的上网行为管理。

其中，应用层106可以是基于SaaS(Software-as-a-Service，软件即服务)的一层，SaaS(Software-as-a-Service，软件即服务)提供给客户的服务可以是运营商运行在云计算基础设施上的应用程序，用户可以在各种设备上通过客户端界面访问，如浏览器。消费者不需要管理或控制任何云计算基础设施，包括网络、服务器、操作系统、存储等等。应用层106可以直接和应用程序接口并提供常见的网络应用服务，应用层106是直接为应用进程提供服务的。其作用是可以在实现多个系统应用进程相互通信的同时,完成一系列业务处理所需的服务，其服务元素可以分为两类：公共应用服务元素和特定应用服务元素。应用层106可以由若干个特定应用服务元素和一个或多个公用应用服务元素组成。每个特定应用服务元素提供特定的应用服务，例如文件运输访问和管理、电子文电处理、虚拟终端协议等。公用应用服务元素提供一组公用的应用服务，例如联系控制服务元素、可靠运输服务元素和远程操作服务元素等。应用层106也可以称为用户触点层，上述上网行为管理软件可以在应用层106进行配置，应用层106可以实现上网行为管理系统的逻辑与应用，还可以生产面向用户的应用数据和应用界面，该应用数据和应用界面可以用于实现上述上网行为管理系统。

上述上网行为管理系统中，通过物理层102中的一个或多个计算机设备提供进行上网行为管理需要的硬件资源，通过虚拟层104将硬件资源虚拟化，给上层的应用层106提供硬件资源的访问接口，同时还能创建虚拟网络，虚拟网络中包括多个业务虚拟机，多个业务虚拟机和上网行为管理软件包含的多个业务模块对应，向应用层106的上网行为管理软件提供虚拟化的硬件资源，并且虚拟层104还能提供与外部互联网的连接，通过应用层106的上网行为管理软件，实现用户的上网行为管理，相较于传统的上网行为管理系统，本申请通过设置虚拟层104，实现硬件资源的虚拟化，并为上层应用提供相应的接口，使得上层应用可以调用相应接口实现上网行为管理，同时可以通过连接其他计算机设备的方式为虚拟机扩容，从而消除了上网行为管理系统的硬件瓶颈。

在一个实施例中，上述系统还包括：当物理层102包括一台计算机设备时，虚拟层104还用于创建虚拟网卡，虚拟网卡用于连接多个业务虚拟机和虚拟交换机。

本实施例中，上述物理层102中的计算机设备可以是一台，当物理层102中的计算机设备为一台时，虚拟层104建立虚拟网络可以通过创建虚拟网卡，再将虚拟网卡进行启动实现，从而通过虚拟网卡连接上述多个业务虚拟机和虚拟交换机。其中，虚拟网卡可以是用软件模拟网络环境，模拟网络适配器的虚拟设备；虚拟交换机可以是用于实现上述多个业务虚拟机之间的通信，以及上述多个业务虚拟机和外部网络的通信的虚拟设备。通过本实施例，虚拟网络可以在计算机设备只有一台时，在该计算机设备上通过创建虚拟网卡建立虚拟网络，实现上述多个业务虚拟机的通信和外部互联网的通信，从而提高上述上网行为管理系统进行上网行为管理的效率。

在一个实施例中，上述系统还包括：当物理层102包括多台计算机设备时，虚拟层104还用于在多台计算机设备中创建虚拟网卡，利用预设网络协议创建网络隧道，在虚拟交换机上配置虚拟端口，根据虚拟网卡、网络隧道以及虚拟端口实现多台计算机设备中的多个业务虚拟机之间的通信。

本实施例中，物理层102的计算机设备还可以包括有多个，多个计算机设备中可以部署有多个业务虚拟机，多个业务虚拟机之间可以通过虚拟网络进行通信。具体地，可以在虚拟层104中创建虚拟网卡，再利用预设的网络协议，创建网络隧道，使得多台计算机设备可以通过虚拟网卡和网络隧道的共同作用下进行通信。其中，网络隧道可以是用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道可以实现多台计算机设备之间的通信，其中的预设的网络协议可以是geneve协议，即可以通过geneve协议创建隧道。具体地，可以在虚拟交换机上创建虚拟端口，再使用geneve协议创建隧道，可以取127作为标识，再取128作为标识创建隧道。

通过本实施例，上网行为管理系统可以在物理层102有多台计算机设备时，通过虚拟网卡和网络隧道的共同作用下实现多台计算机设备之间的通信，为上网行为管理提供了网络环境，从而提高了上网行为管理的效率。

在一个实施例中，虚拟交换机还连接于网关；虚拟交换机用于接收经过网关的外部网络的信息并进行分流，分别发送至多个业务虚拟机中；虚拟交换机还用于获取多个业务虚拟机的信息，通过网关发送至外部网络。

本实施例中，网关又可以称网间连接器、协议转换器。网关可以在网络层以上实现网络互连，是复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关既可以用于广域网互连，也可以用于局域网互连。网关是一种充当转换重任的计算机系统或设备。使用在不同的通信协议、数据格式或语言，甚至体系结构完全不同的两种系统之间，网关可以是一个翻译器。与网桥只是简单地传达信息不同，网关对收到的信息要重新打包，以适应目的系统的需求。外部网络可以是上述虚拟网络以外的网络，虚拟交换机可以是用于实现上述多个业务虚拟机之间的通信，以及上述多个业务虚拟机和外部网络的通信的虚拟设备。虚拟交换机可以与网关进行连接，外部网络的信息和数据可以通过网关进入虚拟交换机，虚拟交换机接收到网关发送的信息和数据后，可以将这些信息和数据进行分流，可以分配到上述多个业务虚拟机，由多个业务虚拟机进行数据处理，需要说明的是，当上述计算机设备只有一台时，虚拟交换机可以将外部网络的数据发送到该计算机设备虚拟层104中的多个业务虚拟机；当上述计算机设备有多台时，虚拟交换机可以将外部网络的数据发送到多个计算机设备进行整合后虚拟层104中的业务虚拟机中，即虚拟交换机可以针对对应功能的业务虚拟机发送相应信息和数据。虚拟交换机还可以获取上述多个业务虚拟机发送的数据和信息，通过网关向外部网络发送信息和数据，另外，上述虚拟交换机还可以只进行单向数据流通，即可以仅供业务虚拟机向外部网络发送数据，或者仅供外部网络向虚拟网络内部发送数据。通过本实施例，上述多个业务虚拟机可以通过虚拟交换机实现与外部网路的通信连接，实现了虚拟网络与外部网络的数据通信，从而减小了物理上网设备的需求，实现了减小上网行为管理系统的硬件依赖性效果。

在一个实施例中，如图2所示，图2为一个实施例中上网行为管理系统的应用层106的结构示意图。上网行为管理软件包含的多个业务模块，具体包括：行为检测模块202、网络拦截模块204、上网认证模块206、网页管理模块208、文件系统模块210、系统日志模块212、共享内存模块214和数据库模块216。

本实施例中，上网行为管理软件可以是位于应用层106的应用，该上网行为管理软件中可以包括多个业务模块。其中，行为检测模块202可以用于进行上网行为检测，即可以检测用户的上网行为，其可以利用DPI(Deep Packet Inspection，深度报文检测技术)技术实现对用户上网行为的检测，DPI可以是一种基于数据包的深度检测技术，针对不同的网络应用层106载荷进行深度检测，通过对报文的有效载荷检测决定其合法性。通过利用DPI技术，可以实现对网络的关键点处的流量和报文内容进行检测分析，可以根据事先定义的策略对检测流量进行过滤控制，能完成所在链路的业务精细化识别、业务流量流向分析、业务流量占比统计、业务占比整形、以及应用层106拒绝服务攻击、对病毒、木马进行过滤和滥用P2P的控制等功能。上述行为检测模块202可以利用DPI技术进行上网行为检测。行为检测模块202可以对所有在该网络环境下的用户的上网行为进行检测。

网络拦截模块204可以用于进行网络拦截，即可以拦截用户的上网行为，具体地，可以在用户有违反上网规定的行为时，对用户进行上网拦截，阻止用户继续进行在该网络下的活动，还可以在用户没有通过用户认证时，对用户的上网行为进行拦截，即可以阻止未认证的用户在该网络下的活动。

上网认证模块206可以用于对用户进行认证，例如可以对用户进行登录认证，具体地，可以对用户的用户名和密码进行认证，当用户的用户名和密码通过认证时，可以允许该用户的上网行为；当用户的用户名和密码不通过认证时，可以对该用户的上网行为进行拦截。需要说明的是，无论用户是否通过认证，上述行为检测模块202都可以对该用户的上网行为进行检测。

网页管理模块208可以用于对网页的内容进行管理，例如，可以改变网页上的内容、或者对正在浏览网页的用户进行管理等。

文件系统模块210可以用于对系统中的文件进行管理，例如可以对在系统中的文档、用户资料和个人信息进行管理等。文件系统模块可以以图形界面呈现，也可以以其他形式呈现，例如命令行形式等。

系统日志模块212可以用于记录系统的操作记录，例如上述行为检测模块202的检测次数记录、上述网络拦截模块204的拦截次数记录、上述上网认证模块206的认证记录、上述网页管理模块208对网页的操作记录、上述文件系统模块210对系统中文件的操作记录等，系统日志可以以文本形式记录，也可以以其他方式记录，例如密文形式、代码形式等。

共享内存模块214可以用于实现系统中的内存功能，该模块可以是在多处理器的计算机系统中，可以被不同中央处理器访问的大容量内存。由于多个CPU需要快速访问存储器，这样就要对存储器进行缓存。任何一个缓存的数据被更新后，由于其他处理器也可能要存取，共享内存就需要立即更新，否则不同的处理器可能用到不同的数据。共享内存是Unix下的多进程之间的通信方法,这种方法通常用于一个程序的多进程间通信，实际上多个程序间也可以通过共享内存来传递信息，例如上网认证模块206可以通过共享内存传递用户认证信息等。

数据库模块216可以用于存储系统中的数据，数据库可以是“按照数据结构来组织、存储和管理数据的仓库”。是一个长期存储在计算机内的、有组织的、有共享的、统一管理的数据集合。该数据库模块可以存储用户资料、行为检测记录、网页数据等数据，并且可以供上述文件系统模块210调用相应数据。

需要说明的是，上述各个模块可以单独执行其功能，也可以任意模块组合共同提供相应功能。通过本实施例，通过在应用层106的上网行为管理软件配置多个模块，提高了上网行为管理的效率。

在一个实施例中，如图3所示，图3为一个实施例中上网行为管理系统的虚拟层104的结构示意图。虚拟层104创建的业务虚拟机，包括：行为检测虚拟机302、网络拦截虚拟机304、上网认证虚拟机306、网页管理虚拟机308、文件系统虚拟机310、系统日志虚拟机312、共享内存虚拟机314和数据库虚拟机316。

本实施例中，上述各个虚拟机可以与上述应用层106中的各个模块对应，每个虚拟机可以为上述应用层106中的各个模块提供对应的功能，即行为检测虚拟机302可以是行为检测模块202进行行为检测功能的基础，网络拦截虚拟机304可以是网络拦截模块204进行网络拦截的基础，上网认证虚拟机306可以是上网认证模块206进行上网认证的基础，网页管理虚拟机308可以是网页管理模块208进行网页管理的基础，文件系统虚拟机310可以是文件系统模块210进行文件管理的基础，系统日志虚拟机312可以是系统日志模块212进行系统日志记录的基础，共享内存虚拟机314可以是共享内存模块214实现共享内存功能的基础，以及，数据库虚拟机316可以是数据库模块216实现数据库功能的基础。上述各个虚拟机可以在一个计算机设备中安装，也可以在多个计算机设备中安装，其中多个计算机设备中还可以有相同的虚拟机，用以实现同一功能，上述各个虚拟机可以单独执行其功能，也可以进行任意组合以功能提供相应功能，通过本实施例，通过在虚拟层104设置相应功能的虚拟机，从而摆脱了硬件的限制，实现减少硬件依赖性的效果。

在一个实施例中，文件系统虚拟机310中配置有分布式存储管理程序，以实现文件系统虚拟机310在多个计算机设备中进行存储管理。

本实施例中，文件系统虚拟机310可以配置有分布式存储管理程序，分布式存储管理可以是将数据分散存储在多台独立的设备上。传统的网络存储系统采用集中的存储服务器存放所有数据，存储服务器成为系统性能的瓶颈，也是可靠性和安全性的焦点，不能满足大规模存储应用的需要。分布式网络存储系统采用可扩展的系统结构，利用多台存储服务器分担存储负荷，利用位置服务器定位存储信息，它不但提高了系统的可靠性、可用性和存取效率，还易于扩展。即文件系统虚拟机310可以将文件存储在多个计算机设备中，具体地，可以通过部署Ceph或gluster等分布式存储管理程序实现。其中，Ceph可以是一个分布式文件系统，能够在维护POSIX兼容性的同时加入了复制和容错功能；gluster可以是一个开源分布式文件系统，具有强大的横向扩展能力，可支持数PB存储容量和数千客户端，通过Infiniband RDMA或Tcp/Ip方式将许多廉价的x86主机，通过网络互联成一个并行的网络文件系统。具有可扩展性、高性能、高可用性等特点。

在另一个实施例中，共享内存虚拟机314中配置有分布式内存管理程序，以实现共享内存虚拟机314在多个计算机设备中进行内存管理。

本实施例中，共享内存虚拟机314中可以配置有分布式内存管理程序。分布式内存管理可以是并行处理发展中出现的一种重要技术，提供给程序员一个逻辑上统一的地址空间，任何一台处理机都可以对这一地址空间直接进行读写操作。具有分布式内存结构可扩充性的优点，也具有共享内存结构通用性好、可移植性、编程容易的优点。即共享内存虚拟机314可以利用多台计算机设备实现共享内存功能。具体地，可以通过在虚拟机中部署shm或mpi等分布式内存管理程序实现。其中，shm可以是一种分布式共享内存管理程序，其每个进程的共享内存都直接映射到实际物理存储器里面；mpi可以是一个跨语言的通讯协议，用于编写并行计算机。支持点对点和广播。MPI是一个信息传递应用程序接口，包括协议和语义说明，他们指明其如何在各种实现中发挥其特性。MPI的目标是高性能，大规模性，和可移植性。MPI在今天仍为高性能计算的主要模型。Mpi经常在共享内存的机器上运行，且鼓励内存本地化。

通过上述实施例，系统可以通过设置分布式存储管理和分布式内存管理，充分利用多台计算机设备的性能，提高进行文件管理和内存管理的效率。

在一个实施例中，如图4所示，图4为一个实施例中上网行为管理系统的物理层102的结构示意图。上述硬件资源，包括：内存设备402、物理网口404和处理器406。

本实施例中，如图4所示，物理层102中的硬件资源，包括内存设备402、物理网口404和处理器406，具体地，物理网口404可以是网卡，上述硬件资源可以分布在一台计算机中，也可以分布在多台计算机中，多台计算机中的相同硬件资源可以共同实现相同功能。

通过本实施例，通过物理层102设置相应的硬件资源，以为虚拟层104提供相应的功能，为脱离硬件依赖性打下了硬件基础。

在一个实施例中，如图5所示，图5为一个实施例中虚拟层104中虚拟网络的结构示意图。虚拟网络中包括虚拟交换机502、行为检测虚拟机302、网络拦截虚拟机304、上网认证虚拟机306、网页管理虚拟机308、文件系统虚拟机310、系统日志虚拟机312、共享内存虚拟机314和数据库虚拟机316。虚拟交换机502可以接收来自网关504发送的外部网络的信息和数据，并进行分流，分别发送至相应的虚拟机中处理。另外，上述多台虚拟机也可以将数据发送至虚拟交换机502，使得虚拟交换机502通过网关504将数据发送至外部网络。各个虚拟机之间还可以通过虚拟交换机进行互联，可以在虚拟网络中部署Open vSwitch，并进行相应虚拟网络配置，例如创建虚拟网卡和创建网络隧道等，使得各个虚拟机之间通过虚拟交换机进行互联。其中，Open vSwitch可以是开放虚拟交换标准。具体点说，Open vSwitch是在开源的Apache2.0许可下的产品级质量的多层虚拟交换标准！它旨在通过编程扩展，使庞大的网络自动化，同时还支持标准的管理接口和协议。

通过本实施例，上述多个业务虚拟机可以通过虚拟交换机实现与外部网路的通信连接，实现了虚拟网络与外部网络的数据通信，从而减小了物理上网设备的需求，实现了减小上网行为管理系统的硬件依赖性效果。

在一个实施例中，如图6所示，图6为一个实施例中上网行为管理步骤的流程示意图。该上网行为管理可以应用于图1所示的系统中，包括：通过上网认证模块获取待认证用户的认证信息，将认证信息发送至共享内存中；通过共享内存模块从共享内存中获取认证信息，与数据库模块中的对应的用户的已认证信息进行比较，若认证信息与已认证信息一致，判断用户通过认证；若认证信息与已认证信息不一致，判断用户不通过认证，向网络拦截模块发送拦截信号；通过网络拦截模块接收拦截信号，对不通过认证的用户的上网操作进行拦截。

还包括：通过网页管理模块获取用户在网页上的操作数据，将数据发送至行为检测模块；通过行为检测模块对操作数据进行检测，检测用户的上网行为，将用户的上网行为及其对应的检测结果发送至数据库模块存储。

还包括：通过系统日志模块获取多个业务模块的行为记录并发送至数据库模块进行存储；通过文件系统模块获取并管理数据库中的数据。

本实施例中，系统可以将用户的数据进行镜像数据输入，进行数据复制和分流，分别用于进行上网行为检测和认证；进行用户认证时，可以从共享内存中读取用户的认证信息，其中共享内存可以从数据库中读取已认证的用户的认证信息，与用户输入的数据进行比对，当用户认证信息与输入的数据一致时，可以确定用户通过认证，并对用户的操作放行，当不一致时，可以确定用户不通过认证，同时可以对该用户的上网行为进行拦截。另一方面，系统还可以记录用户的上网行为，将这些行为产生的数据写入数据库中。又一方面，系统还可以记录上述多个模块的操作记录，并将这些记录存储数据库中，以供溯源。

通过本实施例，系统可以调用多个虚拟业务模块实现上网行为管理，减少了硬件的依赖性，同时每个模块有针对性的功能，还提高了上网行为管理的效率。

在一个实施例中，提供了一种硬件虚拟化方法，以该方法应用于图1中的虚拟层104为例进行说明，包括以下步骤：

获取所述物理层提供的硬件资源信息，根据所述硬件资源信息对所述物理层提供的硬件资源进行虚拟化，为所述应用层提供所述硬件资源的访问接口。

其中，多个硬件资源可以包括用于使上述上网行为管理软件可以正常运行的硬件设备，硬件资源可以是将包括多个功能的硬件设备组成的集合，也可以是多个具有其独特功能的硬件设备进行连接。

虚拟层104可以调用硬件资源，并且将硬件资源进行虚拟化，形成可以被调用的访问接口，使得应用层106的软件可以通过调用虚拟层104生成的接口，实现相应硬件资源的功能，虚拟层104可以将一台计算机设备的硬件资源进行整合和封装接口，也可以将多台计算机设备的硬件资源进行整合和封装接口，使得应用层106只需调用相应功能的接口即可使用一台或者多台计算机设备的硬件资源。

获取配置于所述应用层中的上网行为管理软件包含的多个业务模块信息，根据所述多个业务模块信息创建虚拟网络，所述虚拟网络包括虚拟交换机和多个所述业务虚拟机，所述多个业务虚拟机与上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络。

其中，在虚拟层104中，还可以包括有虚拟交换机，该虚拟交换机可以用于实现虚拟层104中的各个虚拟机之间的通信，虚拟交换机还可以接入外部网络，使得虚拟层104中的各个虚拟机可以通过虚拟交换机与外部网络进行通信连接。

上述硬件虚拟化方法，通过获取硬件资源信息，并根据硬件资源的相应功能，创建对应的业务虚拟机，同时还可以创建虚拟网络，实现多个业务虚拟机之间的通信以及多个业务虚拟机与外部网络的通信，由于将硬件资源进行虚拟化，业务虚拟机的性能可以随时通过扩充硬件资源进行提升，从而摆脱了硬件的性能瓶颈。

应该理解的是，虽然图6的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图6中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，提供了一种硬件虚拟化装置，应用于上述上网行为管理系统的虚拟层104，包括：虚拟化模块和网络创建模块，其中：

虚拟模块，用于获取所述物理层提供的硬件资源信息，根据所述硬件资源信息对所述物理层提供的硬件资源进行虚拟化，为所述应用层提供所述硬件资源的访问接口。

网络创建模块，用于根获取配置于所述应用层中的上网行为管理软件包含的多个业务模块信息，根据所述多个业务模块信息创建虚拟网络，所述虚拟网络包括虚拟交换机和多个所述业务虚拟机，所述多个业务虚拟机与上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络。

关于硬件虚拟化装置的具体限定可以参见上文中对于硬件虚拟化方法的限定，在此不再赘述。上述硬件虚拟化装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图7所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储上网行为数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种硬件虚拟化方法。

本领域技术人员可以理解，图7中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现如上所述的硬件虚拟化方法。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现如上所述的硬件虚拟化方法。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种上网行为管理系统，其特征在于，包括：

物理层，用于提供上网行为管理软件运行所需硬件资源，所述物理层包括一台或多台计算机设备；所述多台计算机设备通过物理网线连接；

虚拟层，用于实现所述硬件资源的虚拟化，为上层的应用层提供所述硬件资源的访问接口；所述虚拟层还用于创建虚拟网络，所述虚拟网络中包括虚拟交换机以及多个业务虚拟机，所述多个业务虚拟机与所述上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络；

应用层，用于生产面向用户的应用数据和应用界面；所述应用层配置有上网行为管理软件，以实现用户的上网行为管理。

2.根据权利要求1所述的系统，其特征在于，还包括：

当所述物理层包括一台计算机设备时，所述虚拟层还用于创建虚拟网卡，所述虚拟网卡用于连接所述多个业务虚拟机和所述虚拟交换机。

3.根据权利要求1所述的系统，其特征在于，还包括：

当所述物理层包括多台计算机设备时，所述虚拟层还用于在所述多台计算机设备中创建虚拟网卡，利用预设网络协议创建网络隧道，在所述虚拟交换机上配置虚拟端口，根据所述虚拟网卡、所述网络隧道以及虚拟端口实现所述多台计算机设备中的所述多个业务虚拟机之间的通信。

4.根据权利要求1所述的系统，其特征在于，所述虚拟交换机还连接于网关；所述虚拟交换机用于接收经过所述网关的外部网络的信息并进行分流，分别发送至所述多个业务虚拟机中；

所述虚拟交换机还用于获取所述多个业务虚拟机的信息，通过所述网关发送至外部网络。

5.根据权利要求1所述的系统，其特征在于，所述上网行为管理软件包含的多个业务模块，具体包括：行为检测模块、网络拦截模块、上网认证模块、网页管理模块、文件系统模块、系统日志模块、共享内存模块和数据库模块。

6.根据权利要求5所述的系统，其特征在于，所述虚拟层创建的业务虚拟机，包括：

行为检测虚拟机、网络拦截虚拟机、上网认证虚拟机、网页管理虚拟机、文件系统虚拟机、系统日志虚拟机、共享内存虚拟机和数据库虚拟机。

7.根据权利要求6所述的系统，其特征在于，所述文件系统虚拟机中配置有分布式存储管理程序，以实现所述文件系统虚拟机在多个计算机设备中进行存储管理。

8.根据权利要求6所述的系统，其特征在于，所述共享内存虚拟机中配置有分布式内存管理程序，以实现所述共享内存虚拟机在多个计算机设备中进行内存管理。

9.根据权利要求5所述的系统，其特征在于，所述上网行为管理软件实现用户的上网行为管理的过程，包括：

通过所述上网认证模块获取待认证用户的认证信息，将所述认证信息发送至共享内存中；

通过所述共享内存模块从所述共享内存中获取所述认证信息，与所述数据库模块中的对应的用户的已认证信息进行比较，若所述认证信息与所述已认证信息一致，判断所述用户通过认证；若所述认证信息与所述已认证信息不一致，判断所述用户不通过认证，向所述网络拦截模块发送拦截信号；

通过所述网络拦截模块接收所述拦截信号，对不通过认证的所述用户的上网操作进行拦截；

还包括：

通过所述网页管理模块获取所述用户在所述网页上的操作数据，将所述数据发送至所述行为检测模块；

通过所述行为检测模块对所述操作数据进行检测，检测所述用户的上网行为，将所述用户的上网行为及其对应的检测结果发送至所述数据库模块存储；

还包括：

通过所述系统日志模块获取所述多个业务模块的行为记录并发送至数据库模块进行存储；

通过所述文件系统模块获取并管理所述数据库中的数据；

其中，所述硬件资源包括：内存设备、物理网口和处理器。

10.一种硬件虚拟化方法，其特征在于，应用于上述权利要求1至9任一项的上网行为管理系统的虚拟层，所述方法包括：

获取所述物理层提供的硬件资源信息，根据所述硬件资源信息对所述物理层提供的硬件资源进行虚拟化，为所述应用层提供所述硬件资源的访问接口；

获取配置于所述应用层中的上网行为管理软件包含的多个业务模块信息，根据所述多个业务模块信息创建虚拟网络，所述虚拟网络包括虚拟交换机和多个所述业务虚拟机，所述多个业务虚拟机与上网行为管理软件包含的多个业务模块对应；所述虚拟网络中的多个业务虚拟机通过所述虚拟交换机互联，所述多个业务虚拟机还通过所述虚拟交换机接入外部网络。

Images