CN111741066A - 一种基于边缘云的服务流量协同代理和访问控制方法 - Google Patents

Abstract

本发明涉及边缘云处理数据，公开了一种基于边缘云的服务流量协同代理和访问控制方法，该方法通过建立一个边缘云间服务访问流量多级代理模型，基于该模型提出了边缘云间自协同流量代理策略生成方法和边缘云间自协同访问控制策略生成方法，边缘云间的自协同通过每个边缘云之间的协同服务模块实现。该方法使边缘云间具备自动化生成、应用流量代理和访问控制的能力，减少了管理员的人工参与，降低了管理复杂度和难度，可以有效保护跨边缘云接入访问服务的安全性。

Description

一种基于边缘云的服务流量协同代理和访问控制方法

技术领域

本发明涉及边缘云处理数据领域，尤其涉及一种基于边缘云的服务流量协同代理和访问控制方法。

背景技术

随着物联网智能终端设备的大规模应用，智能终端设备产生海量数据，这些数据直接传送到云端处理会存在延迟高、响应不及时的问题，针对这些问题，业界提出了边缘计算，在边缘端就近提供服务，降低服务处理延时，聚合、清洗终端设备设备数据，降低与云端的数据量。边缘云是将云计算技术下沉到边缘端，提供边缘计算服务能力的一种解决方案，边缘云通常由计算能力有限的服务器集群组成，单个边缘云集群计算能力不足时，需要向临近的其他边缘云计算协调计算资源部署服务，因此，终端设备对服务的访问将存在跨边缘云的情况。

跨边缘云访问服务，需要对不同边缘云间流量代理进行管理，同时将引入跨边缘云接入访问服务的安全风险，需要对跨边缘云接入访问服务进行访问控制。因此，边缘云间服务访问的流量代理和访问控制策略自动化生成和应用成为一大难点。

目前，跨边缘云的流量代理和访问控制策略通常需要管理员参与配置，缺乏自动化能力，而服务大规模部署后，配置复杂度和管理难度将呈几何倍数巨增。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供了一种基于边缘云的服务流量协同代理和访问控制方法，本方法提出了基于容器云的边缘云间服务访问流量多级代理模型，通过该模型来实现边缘云间自协同流量代理策略和自协同访问控制策略的生成。

本发明采用的技术方案如下：一种基于边缘云的服务流量协同代理和访问控制方法，包括：

步骤1：建立基于容器云的边缘云间服务访问流量多级代理模型，该代理模型统一了单边缘云内和跨边缘云间的流量代理路径，单边缘云内流量代理路径保持不变，跨云路由组件采用容器多副本机制保证可靠性，该代理模型即可以提供高可用性，又提供了自动化管控能力。

步骤2：多级代理模型中的各级边缘云各自获取自身的终端地址及所能访问的应用清单，并互相同步终端地址及所能访问的应用清单；各级边缘云中都设置有协同服务模块，各个边缘云通过该模块实现数据的同步。

步骤3：各级边缘云根据同步的信息，决策出自身的一级流量代理策略和二级流量代理策略，将一级流量代理策略应用到自身的路由组件，将二级流量代理策略应用到自身的跨云路由组件；

各级边缘云按照以上规则逐级代理业务流量，直至目标边缘云；

步骤4：各级边缘云在转发或者接收流量代理策略后，根据同步的信息，决策出访问控制策略，并将其应用到自身的路由组件中。

进一步的，所述边缘云包括终端管控服务模块、容器云接口服务模块、边缘云协同服务模块、路由组件和跨云路由组件，

所述跨云路由组件将流量代理策略转发至其他边缘云，所述边缘云协同服务模块同步各级边缘云之间的终端地址及所能访问的应用清单。

进一步的，所述步骤2具体包括：

步骤21：各级边缘云的边缘云协同服务模块从终端管控服务模块获取智能终端能够访问的服务列表；

步骤22：各级边缘云的边缘云协同服务模块根据服务列表从容器云接口服务模块获取服务访问地址；

步骤23：各级边缘云的边缘云协同服务模块间互相同步智能终端信息、服务列表、服务访问地址以及路由组件虚拟地址。

这样，各级边缘云就能实现数据的自动化管控。

进一步的，所述步骤3包括：

步骤31：各级边缘云的协同服务模块根据同步的信息，决策一级流量代理策略，并将其转换成路由信息，下发路由创建命令给容器云接口服务模块；各级边缘云的容器云接口服务模块根据路由信息将流量代理策略应用到路由组件中的负载均衡器；

步骤32：各级边缘云的边缘云协同服务模块根据同步的信息决策二级流量代理策略，下发策略给自身的跨云路由组件，并应用到跨云路由组件中负载均衡器；

步骤33：各级边缘云按照步骤31和步骤32的流量代理规则逐级代理业务流量，直至目标边缘云。

进一步的，所述边缘云的多级代理模型中的单个边缘云内的流量代理路径包括以下内容：

步骤1：服务访问流量被虚拟服务器提供给负载均衡器，由负载均衡器将服务访问流量分发给路由组件；

步骤2：路由组件域名解析器将访问的域名转换为边缘云内部容器服务地址，根据转发控制器定义的代理策略，由负载均衡器将访问流量转发到容器服务。

进一步的，所述边缘云的多级代理模型中跨边缘云间流量代理路径包括以下内容：

步骤1：服务访问流量被一级边缘云上的虚拟服务器提供给负载均衡器，由负载均衡器将服务访问流量分发给一级边缘云上的路由组件；

步骤2：一级边缘云上的路由组件域名解析器将访问的域名转换为内部跨云路由组件地址，根据一级边缘云的转发控制器定义的代理策略，由路由组件中的负载均衡器将访问流量转发到跨云路由组件服务；

步骤3：一级边缘云上的跨云路由组件根据其转发控制器定义的代理策略，将访问流量转发到下一级边缘云上的路由组件虚拟地址；

步骤4：下一级边缘云上的路由组件域名解析器将访问的域名转换为内部服务地址，根据其转发控制器定义的代理策略，由其负载均衡器将访问流量转发到对应服务。

与现有技术相比，采用上述技术方案的有益效果为：相对现有的边缘云间流量代理和访问控制方法，本发明建立了边缘云间服务访问流量三级代理模型，并基于该模型提出了边缘云间自协同流量代理策略生成方法和边缘云间自协同访问控制策略生成方法，使边缘云间具备自动化生成、应用流量代理和访问控制的能力，减少了管理员的人工参与，降低了管理复杂度和难度，可以有效保护跨边缘云接入访问服务的安全性。

附图说明

图1是边缘云间服务访问流量多级代理模型示意图。

图2是边缘云间流量代理策略自协同示意图。

图3是边缘云间访问控制策略自协同示意图。

具体实施方式

下面结合附图对本发明做进一步描述。

本发明提供一种基于边缘云的服务流量协同代理和访问控制方法，该方法建立了边缘云间服务访问流量多级代理模型，并基于该模型提出了边缘云间自协同流量代理策略生成方法和边缘云间自协同访问控制策略生成方法。

本方法主要包括三部分内容：

1.边缘云间服务访问流量多级代理模型；

2.边缘云间自协同流量代理策略生成方法；

3.边缘云间自协同访问控制策略生成方法。

具体如下：

1、建立边缘云间服务访问流量多级代理模型。

多级代理模型主要通过多级边缘云级联构成，每个边缘云都包括终端管控服务模块、容器云接口服务模块、边缘云协同服务模块、路由组件和跨云路由组件，如图1所示。

跨云路由组件将流量代理策略转发至其他边缘云，边缘云协同服务模块同步各级边缘云之间的终端地址及所能访问的应用清单。各级边缘云通过这两个组件模块实现相互之间的信息同步和数据转发。

多级代理模型中，单个边缘云内的流量代理路径如下：

①服务访问流量被Linux LVS提供给负载均衡，再由负载均衡将流量分发给路由组件；

②路由组件域名解析器将访问的域名转换为集群内部容器服务地址，根据转发控制器定义的代理策略，由负载均衡器将访问流量转发到容器服务。

跨边缘云间流量代理路径如下：

①服务访问流量被边缘云A上Linux LVS提供给负载均衡，负载均衡再将流量分发给边缘云A上路由组件；

②边缘云A上路由组件域名解析器将访问的域名转换为内部跨云路由组件地址，根据转发控制器定义的代理策略，由负载均衡器将访问流量转发到跨云路由组件服务；

③边缘云A上跨云路由组件根据其转发控制器定义的代理策略，将访问流量转发到边缘云B上路由组件虚拟地址；

④边缘云B上路由组件域名解析器将访问的域名转换为内部服务地址，根据其转发控制器定义的代理策略，由其负载均衡器将访问流量转发到对应服务。

该模型统一了单边缘云内和跨边缘云间的流量代理路径，单边缘云内流量代理路径保持不变，跨云路由组件采用容器多副本机制保证可靠性，该代理模型即提供高可用性，又提供自动化管控能力。

2、边缘云间自协同流量代理策略生成方法。

边缘云协同服务模块根据终端管控服务模块定义的终端所能访问的应用清单，获取应用访问地址信息，将流量代理策略分别下发到边缘云的路由组件和跨云路由组件，如图2所示：

具体的流程如下：

1)边缘云B的边缘云协同服务模块从终端管控服务模块获取智能终端能够访问的服务列表；本实施例中的智能终端可以是机械臂、汽车、手机、洗衣机等具有智能处理功能的设备终端。

2)边缘云B边缘云协同服务模块根据服务列表从容器云接口服务模块获取服务访问地址；

3)边缘云A、边缘云B上边缘云协同服务模块间同步终端信息、服务列表、服务访问地址、集群外部访问地址(路由组见虚拟地址)；

4)边缘云A的边缘云协同服务模块根据协同的信息，建立终端和服务的关联关系，决策一级流量代理策略，并转换成路由信息，下发路由创建命令给容器云接口服务模块；

5)边缘云A的容器云接口服务模块根据路由信息将流量代理策略应用到路由组件中负载均衡器；

6)边缘云A的边缘云协同服务根据协同信息决策二级流量代理策略，下发转发策略给跨云路由组件，并应用到跨云路由组件中负载均衡器；

7)边缘云B根据协同的终端信息、服务列表、服务访问地址、集群外部访问地址信息，决策出自身的一级流量代理策略和二级流量代理策略，将一级流量代理策略转化成路由信息，下发给自身的路由组件并应用到路由组件中的负载均衡器；将二级流量代理策略，下发至自身的跨云路由组件，并应用到跨云路由组件中负载均衡器，然后其余边缘云继续逐级产生流量代理策略，直至目标边缘云。

3、边缘云间自协同访问控制策略生成方法。

边缘云协同服务根据终端管控服务定义的终端地址及其所能访问的应用清单，将访问控制策略分别下发到不同边缘云的路由组件，如图3所示。

具体流程如下：

1)边缘云B的边缘云协同服务模块从终端管控服务模块获取终端地址信息及其能够访问的服务列表；

2)边缘云B的边缘云协同服务模块根据服务列表从容器云接口服务模块获取服务访问地址；

3)边缘云A、边缘云B上边缘云协同服务间同步终端地址信息、服务列表、服务访问地址、集群外部访问地址(路由组件虚拟地址)；

4)边缘云A的边缘云协同服务根据协同信息，从容器云接口服务模块查询边缘云B服务的路由信息；

5)边缘云A的边缘云协同服务模块根据协同的终端地址信息以及智能终端和服务的关联关系，决策代理流量到边缘云B的服务路由的访问控制策略，并转换成路由更新信息，下发路由更新命令给容器云接口服务模块；

6)边缘云A的容器云接口服务模块根据路由更新信息，将访问控制策略应用到路由组件中负载均衡器；

7)边缘云B的边缘云协同服务模块根据协同的集群地址信息以及终端和服务的关联关系，决策来至边缘云A的服务流量代理的访问控制策略，并转换成路由更新信息，下发路由更新命令给容器云接口服务；

8)边缘云集群B容器云接口服务根据路由更新信息，将访问控制策略应用到路由组件中负载均衡器。

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。如果本领域技术人员，在不脱离本发明的精神所做的非实质性改变或改进，都应该属于本发明权利要求保护的范围。

Claims (6)

1.一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，包括：

步骤1：建立边缘云的多级代理模型；

步骤2：多级代理模型中的各级边缘云各自获取自身的终端地址及所能访问的应用清单，并互相同步终端地址及所能访问的应用清单；

步骤3：各级边缘云根据同步的信息，决策出自身的一级流量代理策略和二级流量代理策略，将一级流量代理策略应用到自身的路由组件，将二级流量代理策略应用到自身的跨云路由组件；

各级边缘云按照以上规则逐级代理业务流量，直至目标边缘云；

步骤4：各级边缘云在决策出流量代理策略后，根据同步的信息，决策出访问控制策略，并将其应用到自身的路由组件中。

2.根据权利要求1所述的一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，所述边缘云包括终端管控服务模块、容器云接口服务模块、边缘云协同服务模块、路由组件和跨云路由组件，所述跨云路由组件将流量代理策略转发至其他边缘云，所述边缘云协同服务模块同步各级边缘云之间的终端地址及所能访问的应用清单。

3.根据权利要求2所述的一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，所述步骤2具体包括：

步骤21：各级边缘云的边缘云协同服务模块从终端管控服务模块获取智能终端能够访问的服务列表；

步骤22：各级边缘云的边缘云协同服务模块根据服务列表从容器云接口服务模块获取服务访问地址；

步骤23：各级边缘云的边缘云协同服务模块间互相同步智能终端信息、服务列表、服务访问地址以及路由组件虚拟地址。

4.根据权利要求2所述的一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，所述步骤3包括：

步骤31：各级边缘云的协同服务模块根据同步的信息，决策一级流量代理策略，并将其转换成路由信息，下发路由创建命令给容器云接口服务模块；各级边缘云的容器云接口服务模块根据路由信息将流量代理策略应用到路由组件中的负载均衡器；

步骤32：各级边缘云的边缘云协同服务模块根据同步的信息决策二级流量代理策略，下发策略给自身的跨云路由组件，并应用到跨云路由组件中负载均衡器；

步骤33：各级边缘云按照步骤31和步骤32的流量代理规则逐级代理业务流量，直至目标边缘云。

5.根据权利要求1所述的一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，所述边缘云的多级代理模型中的单个边缘云内的流量代理路径包括以下内容：

步骤1：服务访问流量被虚拟服务器提供给负载均衡器，由负载均衡器将服务访问流量分发给路由组件；

步骤2：路由组件域名解析器将访问的域名转换为边缘云内部容器服务地址，根据转发控制器定义的代理策略，由负载均衡器将访问流量转发到容器服务。

6.根据权利要求1所述的一种基于边缘云的服务流量协同代理和访问控制方法，其特征在于，所述边缘云的多级代理模型中跨边缘云间流量代理路径包括以下内容：

步骤1：服务访问流量被一级边缘云上的虚拟服务器提供给负载均衡器，由负载均衡器将服务访问流量分发给一级边缘云上的路由组件；

步骤2：一级边缘云上的路由组件域名解析器将访问的域名转换为内部跨云路由组件地址，根据一级边缘云的转发控制器定义的代理策略，由路由组件中的负载均衡器将访问流量转发到跨云路由组件服务；

步骤3：一级边缘云上的跨云路由组件根据其转发控制器定义的代理策略，将访问流量转发到下一级边缘云上的路由组件虚拟地址；

步骤4：下一级边缘云上的路由组件域名解析器将访问的域名转换为内部服务地址，根据其转发控制器定义的代理策略，由其负载均衡器将访问流量转发到对应服务。

Images