CN114598700A - 通信方法及通信系统 - Google Patents

Abstract

公开了一种通信方法及通信系统。第一虚拟私有云中的第一实例生成与第二虚拟私有云中的第二实例相关的信息，并将信息发送给部署在第一虚拟私有云中的接口。部署在第二虚拟私有云中的代理模块通过单向访问网络通道访问接口以获取信息，单向访问网络通道允许第二虚拟私有云访问第一虚拟私有云。由此，可以在满足数据安全诉求的同时，实现跨VPC通信。

Description

通信方法及通信系统

技术领域

本公开涉及通信领域，特别是涉及一种通信方法及通信系统。

背景技术

虚拟私有云(Virtual Private Cloud，简称VPC)，也可称为专有网络或私有网络，用于为用户构建一个隔离的网络环境。

用户可以在VPC内创建和管理实例。不同VPC之间二层逻辑隔离。

为适应复杂的多VPC网络环境和VPC孤岛问题，需要打通VPC之间的网络，以实现跨VPC通信。然而，为了满足数据安全诉求，网络只能单向打通。

如何在网络单向打通的情况下实现跨VPC通信，是目前亟需解决的一个技术问题。

发明内容

本公开要解决的一个技术问题是提供一种能够在在网络单向打通的情况下实现跨VPC通信的方案。

根据本公开的第一个方面，提供了一种通信方法，包括：第一虚拟私有云中的第一实例生成与第二虚拟私有云中的第二实例相关的信息，并将信息发送给部署在第一虚拟私有云中的接口；部署在第二虚拟私有云中的代理模块通过单向访问网络通道访问接口以获取信息，单向访问网络通道允许第二虚拟私有云访问第一虚拟私有云。

可选地，信息为用于监测实例的运行状态的指令。

可选地，该方法还包括：代理模块将指令分发给对应的执行器以执行指令，获取指令的执行结果，并将执行结果通过单向访问网络通道发送给第一实例。

可选地，指令包括：数据库探活指令；和/或端口探活指令；和/或域名探活指令。

可选地，接口接收到的指令的状态为新建状态，代理模块周期性地访问接口以查询是否存在新建状态的指令，若查询结果为存在新建状态的指令，则获取指令，并将指令下发给对应的执行器以执行指令，在下发指令的过程中指令的状态更新为分发中，下发完毕后指令的状态更新为执行中，代理模块从执行器获取指令的执行结果，并根据执行结果更新指令的状态。

可选地，该方法还包括：代理模块周期性地将心跳信息通过单向访问网络通道发送给第一实例，第一实例基于心跳信息的接收情况更新代理模块的健康状态。

可选地，第二虚拟私有云的数量为多个，每个第二虚拟私有云中部署有代理模块，第一实例将信息以及该信息所对应的代理模块的标识关联地发送给接口，代理模块基于信息所关联的标识获取与该代理模块对应的信息。

根据本公开的第二个方面，提供了一种通信系统，包括：部署在第一虚拟私有云中的接口；和部署在第二虚拟私有云中的代理模块，第一虚拟私有云中的第一实例生成与第二虚拟私有云中的第二实例相关的信息，并将信息发送给接口，代理模块通过单向访问网络通道访问接口以获取信息，单向访问网络通道允许第二虚拟私有云访问第一虚拟私有云。

根据本公开的第三个方面，提供了一种计算设备，包括：处理器；以及存储器，其上存储有可执行代码，当可执行代码被处理器执行时，使处理器执行如上述第一方面所述的方法。

根据本公开的第四个方面，提供了一种计算机程序产品，包括可执行代码，当所述可执行代码被电子设备的处理器执行时，使所述处理器执行如上述第一方面所述的方法。

根据本公开的第五个方面，提供了一种非暂时性机器可读存储介质，其上存储有可执行代码，当可执行代码被电子设备的处理器执行时，使处理器执行如上述第一方面所述的方法。

由此，本公开通过在第一虚拟私有云中部署暴露给第一实例的接口，并在第二虚拟私有云中部署能够访问接口的代理模块，使得在接口和代理模块的作用下，第一实例生成与第二虚拟私有云中的第二实例相关的信息，能够下发到第二虚拟私有云，从而可以在满足数据安全诉求的同时，实现跨VPC通信。

附图说明

通过结合附图对本公开示例性实施方式进行更详细的描述，本公开的上述以及其它目的、特征和优势将变得更加明显，其中，在本公开示例性实施方式中，相同的参考标号通常代表相同部件。

图1示出了根据本公开一个实施例的通信方法的原理示意图。

图2示出了在开通单向访问网络通道进行跨VPC交互的场景下实现云管平台对其他VPC中的应用下发指令的方案示意图。

图3示出了方案实施过程中指令状态的更新示意图。

图4示出了根据本公开一个实施例的通信系统的结构示意图。

图5示出了根据本公开一个实施例的计算设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的优选实施方式。虽然附图中显示了本公开的优选实施方式，然而应该理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

在VPC中可以创建用于满足用户的服务需求的实例(也可称为服务实例或应用实例)。不同VPC中的实例一般网络隔离，无法互相访问。出于数据安全性要求，即使开通VPC与VPC的互访连接，也仅允许单向访问，不允许双向访问。

为了在单向访问场景下实现跨VPC通信，本公开提出，在目标VPC中部署暴露给目标VPC中的实例的接口(也可称为服务接口)，并在其他VPC中部署能够访问接口的代理模块。接口可以是指应用程序接口(Application Programming Interface，API)。

目标VPC中的实例生成的与其他VPC中的实例相关的信息可以发送给接口，其他VPC中的代理模块通过接口可以获取并处理该信息。

由此，在满足数据安全诉求的同时，可以实现跨VPC通信。

下面结合附图就本公开涉及的细节做进一步说明。

图1示出了根据本公开一个实施例的通信方法的示意性流程图。

如图1所示，在由一个第一虚拟私有云和N个(N为大于或等于1的整数)第二虚拟私有云构成的多VPC环境中，若期望实现第一虚拟私有云中的第一实例对N个第二虚拟私有云中的第二实例的通信和/或管控，出于数据安全性要求，只能开通仅允许第二虚拟私有云访问第一虚拟私有云的单向访问通道，即图中示出的单向访问网络通道。

为了实现第一虚拟私有云中的第一实例对第二虚拟私有云中的第二实例的通信和/或管控，第一实例需要具备向第二实例下发数据的能力，而出于数据安全性要求设置的单向访问网络通道限制了第一实例向第二实例下发数据的能力。

为此，本公开提出，可以暴露给第一实例一个接口，并在第二虚拟私有云中选取一个物理机来部署代理模块。第一实例生成的与第二虚拟私有云中的第二实例相关的信息可以发送给接口，代理模块可以通过访问接口获取第一实例生成的信息。由此，可以实现第一实例生成的信息下发到第二虚拟私有云。

第一实例生成的与第二虚拟私有云中的第二实例相关的信息，可以是指用于与第二虚拟私有云中的第二实例通信的消息，也可以是用于监测第二实例通信的运行状态和/或资源使用效率的指令。

若获取的信息为通知类的消息，代理模块可以将消息发送给对应的第二实例。若获取的信息为待执行的任务类的指令，代理模块可以执行指令，并将指令的执行结果上报给第一实例。由此，可以实现第一实例对第二实例的主动通信和/或管控。

代理模块可加载一个或多个组件(即执行器)，将指令分发给组件执行。每个组件对应一种类型的指令。代理模块所能加载的组件可以是可插拔的。组件的数量及类型可以根据实际需求设定，如可以根据不同场景定制开发不同的组件以用于支撑不同类型的指令。

第二实例可以使用各类产品或资源，第一实例生成的指令可以是用于对第二实例使用的产品或资源的活动状态进行监测的指令。即，可以通过对第二实例使用的产品或资源的活动状态进行监测，实现对第二实例的运行状态和/或资源使用效率进行监测的目的。

作为示例，第二实例可以使用云服务器(Elastic Compute Service，ECS)、负载均衡(Server Load Balancer，SLB)、云数据库(Relational Database Service，RDS)、对象存储服务(Object Storage Service，OSS)等云产品。第一实例生成的指令可以包括但不限于数据库探活指令、端口探活指令以及域名探活指令等用于对第二实例使用的云产品的活动状态进行监测的指令。代理模块可以加载数据库探活组件、端口探活组件以及远程执行命令组件等多种类型的组件，根据获取的指令的类型，代理模块可以将指令分发给用于执行该类型的指令的组件，以由对应的组件执行指令。

组件在执行完指令后，可以将指令的执行结果发送给代理模块，由代理模块通过单向访问网络通道将执行结果上传到第一虚拟私有云。例如，代理模块可以通过单向访问网络通道将执行结果发送给接口，由接口将执行结果发送给第一实例；或者代理模块也可以通过单向访问网络通道直接将执行结果发送给第一实例。

由此，在接口与代理模块的协同作用下，可以实现单向访问网络通道场景下第一虚拟私有云中的第一实例对第二虚拟私有云中的第二实例的通信和管控。

第一实例根据获取到的第二实例的运行状态和/或资源使用效率的监测结果，可以生成相应的报告信息，该报告信息可以通过图表的方式进行可视化展示。作为示例，若监测结果为第二实例的运行状态和/或资源使用效率异常，可以生成警报以提醒用户，由此可以确保VPC之间巡检、监测功能可运行可交互，以及告警功能可外发。

代理模块还可以周期性地将心跳信息通过单向访问网络通道发送给第一实例，第一实例可以基于心跳信息的接收情况更新代理模块的健康状态。对于超过预定时长未接收到心跳的代理模块，可以判定该代理模块处于异常状态。针对处于异常状态的代理模块，可以判断导致异常的原因，并采取相应措施以消除异常。

在第一实例用于对多个第二虚拟私有云中的第二实例进行管控的情况下，，每个第二虚拟私有云中部署有代理模块。第一实例可以根据需求生成针对特定代理模块的信息(如指令)，将信息以及该信息所对应的代理模块的标识关联地发送给接口。代理模块可以基于信息所关联的标识获取与该代理模块对应的信息。

代理模块的标识(如启动id)可以是由第一实例创建的，并且在创建的时候会设置其所在的第二虚拟私有云。第一实例下发指令时可以根据该指令对应的第二虚拟私有云，通过VPC信息查找到代理模块的标识，通过该标识去指派任务。接口可以针对每个代理模块维护一个任务队列，代理模块可以定时轮询任务队列以获取执行。

本公开提出，可以设计一种任务状态机制，以保证每个第二虚拟私有云中的代理模块都有主动执行任务的能力，同时能够接收第一实例的管控。

具体而言，接口接收到的来自第一实例的指令的状态为新建状态。代理模块可以周期性地访问接口以查询是否存在新建状态的指令。若查询结果为存在新建状态的指令，则可以获取指令，并将指令下发给对应的执行器以执行指令，在下发指令的过程中指令的状态可以更新为分发中，下发完毕后指令的状态可以更新为执行中。代理模块可以从执行器获取指令的执行结果，并根据执行结果更新指令的状态，如可以根据执行结果将指令的状态更新为任务执行完成、任务执行失败或任务执行超时中的一种。

应用例

第一实例可以是全面监管云上应用的运行状态、资源使用效率的服务软件。第二实例可以是上云的应用，即部署在私有云中的应用系统。第一实例可以实现为一种云运维服务及多云管理平台，简称云管平台或云管系统。

云管平台可以针对应用所使用的各类云资源，如ECS、SLB、RDS、OSS等组件进行关键指标的监测，还可以支持对应用日志分析、监测，并通过图表的方式进行可视化展示。

为适应复杂的多VPC组成的混合云网络环境和网络孤岛问题，云管平台需要实现网络打通的能力，以确保VPC之间巡检、监测功能可运行可交互，告警功能可外发。在做到满足系统能力的同时要保证数据安全诉求，网络只能单向打通。

图2示出了在开通单向访问网络通道进行跨VPC交互的场景下，实现云管平台对其他VPC中的应用下发指令的方案示意图。

如图2所示，可以开通单向网络通道(即上文述及的单向访问网络通道)，建立应用所在VPC到智能总集管控平台(即云管平台)所在VPC的连接，保证应用所处系统能单向访问云管平台。在每个应用所处VPC下可以安装指定keeper-agent(对应于上文述及的代理模块)，该keeper-agent负责主动拉取当前VPC下的执行指令规则，并上报执行结果。

方案实施流程如下：

1、keeper-agent周期性主动向云管平台发起轮询请求，同时上报心跳，更新健康状态。

2、云管平台定时任务发送规则指令，包括数据库探活、端口探活、域名探活等指令。并根据规则指令所属VPC指定下发keeper-agent。

3、keeper-agent主动从云管平台获取服务端指令，并执行指令。

4、执行结果回告云管平台。

图3示出了方案实施过程中指令状态的更新示意图。

图中示出的keeper-api对应于上文述及的接口。keeper-api与keeper-agent可以通过开源框架(如Netty)构建。Netty是一个广泛使用的网络编程框架。Netty能够隐藏其背后的复杂性而提供一个易于使用的API的客户端/服务端框架，该框架中的客户端对应于keeper-agent，框架中的服务端对应于keeper-api。

1、云管平台提交给keeper-api的任务指令的状态为新建(CREATED)。

2、keeper-agent执行轮询任务，周期性查询是否有CREATED状态的指令。

3、获取任务信息后进行本地任务下发，此时状态更新为分发中(DISPATCHED)。

4、任务指令分发到对应的执行器上，此时任务指令状态更新为执行中(RUNNING)。

5、任务指令后续有不同执行结果分别对应不同状态，包括正常完成(COMPLETED)、任务失败(ABORTED)、任务执行超时(EXPIRED)。

6、任务指令的执行结果回告到keeper-api所处的VPC环境。

综上，基于本公开的跨VPC通信方案，既可以保证数据安全性要求，又可以实现一个VPC中的应用系统对其他一个或多个VPC中的应用系统的通信和管控。并且keeper-api与keeper-agent可以通过开源技术框架实现，无需要依赖特定云产品的开通。

本公开的通信方法还可以实现为一种通信系统。图4示出了根据本公开一个实施例的通信系统的结构示意图。其中，通信系统的功能单元可以由实现本公开原理的硬件、软件或硬件和软件的结合来实现。本领域技术人员可以理解的是，图4所描述的功能单元可以组合起来或者划分成子单元，从而实现上述发明的原理。因此，本文的描述可以支持对本文描述的功能单元的任何可能的组合、或者划分、或者更进一步的限定。

下面就通信系统可以具有的功能单元以及各功能单元可以执行的操作做简要说明，对于其中涉及的细节部分可以参见上文相关描述，这里不再赘述。

参见图4，通信系统400包括接口410和代理模块420。接口410部署在第一虚拟私有云中。代理模块420部署在第二虚拟私有云中。

第一虚拟私有云中的第一实例生成与第二虚拟私有云中的第二实例相关的信息，并将信息发送给接口410。代理模块420通过单向访问网络通道访问接口410以获取信息。单向访问网络通道允许第二虚拟私有云访问第一虚拟私有云，第一虚拟私有云通过单向访问网络通道无法访问第二虚拟私有云。

第一实例生成的信息可以是指用于与第二虚拟私有云中的第二实例通信的消息，也可以是用于监测第二实例通信的运行状态和/或资源使用效率的指令。

若信息为指令，则代理模块420可以将指令分发给对应的执行器以执行指令，获取指令的执行结果，并将执行结果通过单向访问网络通道上传到第一虚拟私有云。

代理模块420还可以周期性地将心跳信息通过单向访问网络通道发送给第一实例，第一实例基于心跳信息的接收情况更新代理模块的健康状态。

接口410接收到的指令的状态为新建状态，代理420可以周期性地访问接口以查询是否存在新建状态的指令，若查询结果为存在新建状态的指令，则获取指令，并将指令下发给对应的执行器以执行指令，在下发指令的过程中指令的状态更新为分发中，下发完毕后指令的状态更新为执行中，代理模块420从执行器获取指令的执行结果，并根据执行结果更新指令的状态。

第二虚拟私有云的数量可以为多个，每个第二虚拟私有云中部署有代理模块，第一实例将信息以及该信息所对应的代理模块的标识关联地发送给接口，代理模块可以基于信息所关联的标识获取与该代理模块对应的信息。

图5示出了根据本公开一实施例可用于实现上述通信方法的计算设备的结构示意图。

参见图5，计算设备500包括存储器510和处理器520。

处理器520可以是一个多核的处理器，也可以包含多个处理器。在一些实施例中，处理器520可以包含一个通用的主处理器以及一个或多个特殊的协处理器，例如图形处理器(GPU)、数字信号处理器(DSP)等等。在一些实施例中，处理器520可以使用定制的电路实现，例如特定用途集成电路(ASIC，Application Specific Integrated Circuit)或者现场可编程逻辑门阵列(FPGA，Field Programmable Gate Arrays)。

存储器510可以包括各种类型的存储单元，例如系统内存、只读存储器(ROM)，和永久存储装置。其中，ROM可以存储处理器520或者计算机的其他模块需要的静态数据或者指令。永久存储装置可以是可读写的存储装置。永久存储装置可以是即使计算机断电后也不会失去存储的指令和数据的非易失性存储设备。在一些实施方式中，永久性存储装置采用大容量存储装置(例如磁或光盘、闪存)作为永久存储装置。另外一些实施方式中，永久性存储装置可以是可移除的存储设备(例如软盘、光驱)。系统内存可以是可读写存储设备或者易失性可读写存储设备，例如动态随机访问内存。系统内存可以存储一些或者所有处理器在运行时需要的指令和数据。此外，存储器510可以包括任意计算机可读存储媒介的组合，包括各种类型的半导体存储芯片(DRAM，SRAM，SDRAM，闪存，可编程只读存储器)，磁盘和/或光盘也可以采用。在一些实施方式中，存储器510可以包括可读和/或写的可移除的存储设备，例如激光唱片(CD)、只读数字多功能光盘(例如DVD-ROM，双层DVD-ROM)、只读蓝光光盘、超密度光盘、闪存卡(例如SD卡、min SD卡、Micro-SD卡等等)、磁性软盘等等。计算机可读存储媒介不包含载波和通过无线或有线传输的瞬间电子信号。

存储器510上存储有可执行代码，当可执行代码被处理器520处理时，可以使处理器520执行上文述及的通信方法。

上文中已经参考附图详细描述了根据本公开的通信方法、通信系统以及计算设备。

此外，根据本公开的方法还可以实现为一种计算机程序或计算机程序产品，该计算机程序或计算机程序产品包括用于执行本公开的上述方法中限定的上述各步骤的计算机程序代码指令。

或者，本公开还可以实施为一种非暂时性机器可读存储介质(或计算机可读存储介质、或机器可读存储介质)，其上存储有可执行代码(或计算机程序、或计算机指令代码)，当所述可执行代码(或计算机程序、或计算机指令代码)被电子设备(或计算设备、服务器等)的处理器执行时，使所述处理器执行根据本公开的上述方法的各个步骤。

本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。

附图中的流程图和框图显示了根据本公开的多个实施例的系统和方法的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标记的功能也可以以不同于附图中所标记的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。

Claims (11)

1.一种通信方法，包括：

第一虚拟私有云中的第一实例生成与第二虚拟私有云中的第二实例相关的信息，并将所述信息发送给部署在所述第一虚拟私有云中的接口；

部署在所述第二虚拟私有云中的代理模块通过单向访问网络通道访问所述接口以获取所述信息，所述单向访问网络通道允许所述第二虚拟私有云访问所述第一虚拟私有云。

2.根据权利要求1所述的方法，其中，

所述信息为用于监测所述第二实例的运行状态和/或资源使用效率的指令。

3.根据权利要求2所述的方法，还包括：

所述代理模块将所述指令分发给对应的执行器以执行所述指令，获取所述指令的执行结果，并将所述执行结果通过所述单向访问网络通道上传到所述第一虚拟私有云。

4.根据权利要求2所述的方法，其中，所述指令包括：

数据库探活指令；和/或

端口探活指令；和/或

域名探活指令。

5.根据权利要求2所述的方法，其中，

所述接口接收到的指令的状态为新建状态，

所述代理模块周期性地访问所述接口以查询是否存在新建状态的指令，

若查询结果为存在新建状态的指令，则获取所述指令，并将所述指令下发给对应的执行器以执行所述指令，在下发指令的过程中所述指令的状态更新为分发中，下发完毕后所述指令的状态更新为执行中，所述代理模块从所述执行器获取指令的执行结果，并根据执行结果更新所述指令的状态。

6.根据权利要求1所述的方法，还包括：

所述代理模块周期性地将心跳信息通过所述单向访问网络通道发送给所述第一实例，

所述第一实例基于所述心跳信息的接收情况更新所述代理模块的健康状态。

7.根据权利要求1所述的方法，其中，

所述第二虚拟私有云的数量为多个，每个所述第二虚拟私有云中部署有所述代理模块，所述第一实例将所述信息以及该信息所对应的代理模块的标识关联地发送给所述接口，所述代理模块基于信息所关联的标识获取与该代理模块对应的信息。

8.一种通信系统，包括：

部署在第一虚拟私有云中的接口；和

部署在第二虚拟私有云中的代理模块，

所述第一虚拟私有云中的第一实例生成与所述第二虚拟私有云中的第二实例相关的信息，并将所述信息发送给所述接口，

所述代理模块通过单向访问网络通道访问所述接口以获取所述信息，所述单向访问网络通道允许所述第二虚拟私有云访问所述第一虚拟私有云。

9.一种计算设备，包括：

处理器；以及

存储器，其上存储有可执行代码，当所述可执行代码被所述处理器执行时，使所述处理器执行如权利要求1至7中任何一项所述的方法。

10.一种计算机程序产品，包括可执行代码，当所述可执行代码被电子设备的处理器执行时，使所述处理器执行如权利要求1至7中任何一项所述的方法。

11.一种非暂时性机器可读存储介质，其上存储有可执行代码，当所述可执行代码被电子设备的处理器执行时，使所述处理器执行如权利要求1至7中任何一项所述的方法。

Images