CN116015827A

CN116015827A - 一种实现安全组流表最小化的方法

Info

Publication number: CN116015827A
Application number: CN202211637863.0A
Authority: CN
Inventors: 闻锋
Original assignee: Beijing Seconds Technology Co ltd
Current assignee: Beijing Seconds Technology Co ltd
Priority date: 2022-12-15
Filing date: 2022-12-15
Publication date: 2023-04-25
Anticipated expiration: 2042-12-15
Also published as: CN116015827B

Abstract

本发明公开了一种实现安全组流表最小化的方法，该方法包括以下步骤：S1、根据云主机所应用的安全组生成安全组序列与公共超序列；S2、利用联合流表的三个维度生成安全组流表。本发明通过使用联合流表的三个维度来生成安全组规则，从而达到将流表数量由M*N减少到M+N的目的，这可以大量减少实际流表的数量，从而可以大量减少内存的占用，以及提高流表的使用效率与运行效率；同时，通过使用生成云主机安全组的公共超序列方法，解决安全组优先级的冲突问题。

Description

一种实现安全组流表最小化的方法

技术领域

本发明涉及云计算技术领域，具体来说，涉及一种实现安全组流表最小化的方法。

背景技术

安全组是云计算中的重要概念，用于定义云主机间的网络通讯隔离策略。一个云主机可以属于多个安全组，一个安全组也可以应用于多个云主机。每个安全组可以包含多个安全组规则。安全组规则用于定义匹配进出云主机数据的规则，以及匹配后的动作(放行或丢弃)。对于进入云主机方向的数据的匹配规则可以匹配传输协议，源地址，目的端口，其中源地址可以是ip地址或ip地址段，也可以是当前或另外的安全组，同样对于进出云主机方向的数据的匹配规则可以匹配传输协议，目的地址，目的端口，其中目的地址可以是ip地址或ip地址段，也可以是当前或另外的安全组，当源或目的地址为安全组时，表示匹配来自或去那个安全组里所有的云主机。安全组内的安全组规则有优先级。一个云主机所应用的多个安全组间也有优先级。

安全组通常可以使用iptables或openvswitch来实现。openvswtich有一个强大的流表类型，叫联合流表，在现有基于openvswtich的实现中，往往大量使用联合流表，它可以表达或和且的关系。例如其可以表达源ip地址为A或B并且目标地址为C或D，用公式为：(A|B)&(C|D)，其中两个括弧分别表示两个维度，每个维度里的A和B，以及C和D是或的关系，多个维度间为且的关系。利用联合流表，安全组可以利用一个维度匹配多个可能的地址，另一个维度匹配多个可能的端口，这样可以大量的减少流表规则的数量。

现有技术方案只利用了联合流表的两个维度，在同一个安全组被应用在多个云主机时，需要针对每个云主机生成一组对应的流表规则，也就是说如果安全组本身的流表规则数量是M，在它被应用于N个云主机时，实际产生的流表规则的数量为M*N，这也就产生大量的实际流表，导致系统内存的大量占用，影响了流表的运行效率。

针对相关技术中的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中的问题，本发明提出一种实现安全组流表最小化的方法，以克服现有相关技术所存在的上述技术问题。

为此，本发明采用的具体技术方案如下：

一种实现安全组流表最小化的方法，该方法包括以下步骤：

S1、根据云主机所应用的安全组生成安全组序列与公共超序列；

S2、利用联合流表的三个维度生成安全组流表。

进一步的，所述根据云主机所应用的安全组生成安全组序列与公共超序列包括以下步骤：

S11、将每个云主机所应用的所有安全组作为一个安全组序列；

S12、生成所述安全组序列的公共超序列，同时记录每个子元素所属的云主机。

进一步的，所述公共超序列包含与所述云主机数量相同的所有安全组序列。

进一步的，所述利用联合流表的三个维度生成安全组流表包括以下步骤：

S21、初始化优先级变量和联合流表编号；

S22、对所述安全组序列进行处理，得到安全组规则；

S23、为每个所述安全组规则生成安全组规则流表，并配置所述优先级变量和所述联合流表编号；

S24、利用联合流表实现每个安全组流表。

进一步的，对所述安全组序列进行处理，得到安全组规则包括以下步骤：

S221、从前往后处理所述安全组序列里的每个安全组；

S222、在每个所述安全组里按优先级从高到低处理每个安全组规则。

进一步的，为每个所述安全组规则生成安全组规则流表，并配置所述优先级变量和所述联合流表编号包括以下步骤：

S231、利用所述优先级变量与所述联合流表编号，为每个安全组规则生成安全组规则流表；

S232、每生成一个所述安全组规则流表后，对所述优先级变量进行递减，对所述联合流表编号进行递增；

进一步的，利用所述优先级变量与所述联合流表编号，为每个安全组规则生成安全组规则流表包括以下步骤：

S2311、根据所述安全组规则的方向确定流表中待使用的相关表编号及相关字段名；

S2312、遍历所述安全组规则里定义的每个源或目的ip地址，对于每个目的ip地址，生成一条联合流表里第一个维度的子流表规则；

S2313、遍历所述安全组规则里定义的每个源或目的端口，对于每个目的端口，生成一条联合流表里第二个维度的子流表规则；

S2314、遍历所述安全组规则所属安全组应用的所有云主机，对于每个云主机，生成一条联合流表里的第三个维度的子流表规则；

S2315、生成一条联合流表动作流表。

进一步的，每个所述安全组规则生成的安全组规则流表均具有不同的优先级。

进一步的，所述利用联合流表实现每个安全组流表包括以下步骤：

S241、利用第一个维度匹配可能的地址；

S242、利用第二个维度匹配可能的端口；

S243、利用第三个维度匹配应用所述安全组规则的云主机。

进一步的，每增加一台使用所述安全组规则的云主机时需要增加一条联合流表的子流表。

本发明的有益效果为：通过使用联合流表的三个维度来生成安全组规则，从而达到将流表数量由M*N减少到M+N的目的，这可以大量减少实际流表的数量，从而可以大量减少内存的占用，以及提高流表的使用效率与运行效率；同时，通过使用生成云主机安全组的公共超序列方法，解决安全组优先级的冲突问题。

本发明直接使用安全组规则对应的流表，而不是将它作为模版为每一个应用了此规则的云主机生成一个特定的流表实例，满足了openvswitch对流表的各种限制，同时也满足安全组规则间和安全组间的优先级要求。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例的一种实现安全组流表最小化的方法的流程图；

图2是根据本发明实施例的一种实现安全组流表最小化的方法与传统方法的区别示意图；

图3是根据本发明实施例的一种实现安全组流表最小化的方法中云主机安全组超序列生成示意图。

具体实施方式

为进一步说明各实施例，本发明提供有附图，这些附图为本发明揭露内容的一部分，其主要用以说明实施例，并可配合说明书的相关描述来解释实施例的运作原理，配合参考这些内容，本领域普通技术人员应能理解其他可能的实施方式以及本发明的优点，图中的组件并未按比例绘制，而类似的组件符号通常用来表示类似的组件。

现有技术利用了联合流表的两个维度，在同一个安全组被应用在多个云主机时，若安全组本身的流表规则数量是M，在它被应用于N个云主机时，实际产生的流表规则的数量为M*N。如图2所示，本发明提出使用联合流表的三个维度来生成安全组规则，从而达到将流表数量由M*N减少到M+N的目的，大量减少实际流表的数量，从而可以大量减少内存的占用。

在利用三个维度取代的两个维度的过程中，阻碍在安全组中使用联合流表的第三个维度的原因是因为openvswitch现有两个限制：

1.构成联合流表中的每个维度的子流表都需要使用相同的优先级，否则将被视为不同的联合流表。

2.在同一个优先级下，任何数据都只能匹配唯一一个流表规则，否则结果不可预测，这里说的流表也包括联合流表里的每个维度的子流表。

Openvswitch的这两个限制主要是基于高速匹配的需要，并不能轻易被去除，因为有这两个限制，当前的安全组实现包括openstack中的实现都是将安全组规则本身对应的流表只是当作模版，实际生成的安全组流表是在安全组规则本身对应的流表的基础上加上匹配云主机的匹配规则而生成的。也就是说一个安全组规则对应的流表会产生针对不同应用了此安全组规则的云主机的不同实例版本。因为每个云主机都有一套其使用的安全组规则的特定实例，所以很容易应对安全组在不同的云主机中应用时的优先次序的不同，同时也能轻松的应对安全组内多个规则的优先级次序，而且因为每个流表规则都加上了对应的云主机的匹配规则，这样也可以避免一个数据匹配多个同一优先级的流表。

但是这种方式有两个缺点：

1.每个流表都有针对云主机的匹配字段，增加了流表的复杂度。

2.实际生成流表数和云主机的数量成正比，太多的流表生成会消耗大量的内存，拖慢流表的运行效率。

简单举例说明在这两个限制的情况下，当前的安全组实现安全组G1包含两个安全规则A1和A2，A1优先级高于A2：

A1：{dir：in src_ip：ip1，ip2 dst_port：port1，port2 action：accept，priority＝10}

A2：{dir：in src_ip：ip3，ip4 dst_port：port3，port4 action：accept，priority＝9}

安全组G2包含两个安全规则B1和B2，B1优先级高于B2：

B1：{dir：in src_ip：ip5，ip6 dst_port：port5，port6 action：accept，priority＝10}

B2：{dir：in src_ip：ip7，ip8 dst_port：port7，port8 action：accept，priority＝9}

安全组本身对应的联合流表为

A1：

priority＝10，ip＝ip1 actions＝conjunction(1，1/2)

priority＝10，ip＝ip2 actions＝conjunction(1，1/2)

priority＝10，port＝port1 actions＝conjunction(1，2/2)

priority＝10，port＝port2 actions＝conjunction(1，2/2)

A2：

priority＝9，ip＝ip3 actions＝conjunction(2，1/2)

priority＝9，ip＝ip4 actions＝conjunction(2，1/2)

priority＝9，port＝port3 actions＝conjunction(2，2/2)

priority＝9，port＝port4 actions＝conjunction(2，2/2)

B1：

priority＝10，ip＝ip5 actions＝conjunction(3，1/2)

priority＝10，ip＝ip6 actions＝conjunction(3，1/2)

priority＝10，port＝port5 actions＝conjunction(3，2/2)

priority＝10，port＝port6 actions＝conjunction(3，2/2)

B2：

priority＝9，ip＝ip7 actions＝conjunction(4，1/2)

priority＝9，ip＝ip8 actions＝conjunction(4，1/2)

priority＝9，port＝port7 actions＝conjunction(4，2/2)

priority＝9，port＝port8 actions＝conjunction(4，2/2)

云主机V1应用了安全组G1、G2，其中G1优先于G2。生成的流表规则按优先级从高到低排列为：V1A1，V1A2，V1B1，V1B2

云主机V2应用了安全组G2、G1，其中G2优先于G1。生成的流表规则按优先级从高到低排列为：V2B1，V2B2，V2A1，V2A2

VxAx这种形式表示用于匹配Vx云主机的Ax规则，也就是Ax规则在Vx主机应用时的实例，例如：

V1A1在A1的基础上为每个字流表都加上了匹配云主机的规则得到：

priority＝100，dl_dst＝V1，ip＝ip1 actions＝conjunction(1，1/2)

priority＝100，dl_dst＝V1，ip＝ip2 actions＝conjunction(1，1/2)

priority＝10，dl_dst＝V1，port＝port1 actions＝conjunction(1，2/2)

priority＝10，dl_dst＝V1，port＝port2 actions＝conjunction(1，2/2)

针对于现有方案的缺点，本发明直接使用安全组规则对应的流表，而不是将它作为模版为每一个应用了此规则的云主机生成一个特定的流表实例，同时也能满足openvswitch对流表的各种限制，同时要满足安全组规则间和安全组间的优先级要求。

根据本发明的实施例，提供了一种实现安全组流表最小化的方法。

现结合附图和具体实施方式对本发明进一步说明，如图1-图3所示，根据本发明实施例的实现安全组流表最小化的方法，该方法包括以下步骤：

S1、根据云主机所应用的安全组生成安全组序列与公共超序列，包括以下步骤：

其中，所述公共超序列包含与所述云主机数量相同的所有安全组序列，即上面的所有安全组序列都可以通过在此公共超序列中删除元素得到。

例如有5个安全组A，B，C，D，E。云主机v1应用了按优先级级从高到低的三个安全组B，C，E，云主机v2应用了按优先级级从高到低的四个安全组E，C，D，A。生成安全组序列：E(v2)，A(v1)，B(v1)，C(v1，v2)，D(v1，v2)，E(v1)，A(v2)，括号里为响应安全组所属的云主机。

S2、利用联合流表的三个维度生成安全组流表，包括以下步骤：

S21、初始化优先级变量和联合流表编号；

S22、对所述安全组序列进行处理，得到安全组规则，包括以下步骤：

S221、从前往后处理所述安全组序列里的每个安全组；

S23、为每个所述安全组规则生成安全组规则流表，并配置所述优先级变量和所述联合流表编号，包括以下步骤：

利用所述优先级变量与所述联合流表编号，为每个安全组规则生成安全组规则流表包括以下步骤：

S2311、根据所述安全组规则的方向(入站还是出站)确定流表中待使用的相关表编号及相关字段名；

例如，如果是出站，将使用75号表，否则将使用85号表。

该步骤用于匹配一个或多个源或目的地址。

该步骤用于匹配一个或多个源或目的端口。

该步骤用于匹配一个或多个云主机。

S2315、生成一条联合流表动作流表，用于确定在某数据匹配联合流表后是接受还是拒绝此数据。

S232、每生成一个所述安全组规则流表后，对所述优先级变量进行递减，对所述联合流表编号进行递增。

其中，对所述优先级变量进行递减，对所述联合流表编号进行递增用伪代码表示为：

从伪代码可以看出，每个安全组规则所生成的流表都有不同的优先级，从而保证不会和openvswitch的限制相冲突。

S24、利用联合流表实现每个安全组流表，包括以下步骤：

S241、利用第一个维度匹配可能的地址；

S242、利用第二个维度匹配可能的端口；

S243、利用第三个维度匹配应用所述安全组规则的云主机。

步骤S24用伪代码标识为：

从伪代码可以看出：

使用三个维度的联合流表来实现安全组规则时，增加一台使用此规则的云主机时仅需要增加一条联合流表的子流表。

综上所述，借助于本发明的上述技术方案，通过使用联合流表的三个维度来生成安全组规则，从而达到将流表数量由M*N减少到M+N的目的，这可以大量减少实际流表的数量，从而可以大量减少内存的占用，以及提高流表的使用效率与运行效率；同时，通过使用生成云主机安全组的公共超序列方法，解决安全组优先级的冲突问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种实现安全组流表最小化的方法，其特征在于，该方法包括以下步骤：

S2、利用联合流表的三个维度生成安全组流表。

2.根据权利要求1所述的一种实现安全组流表最小化的方法，其特征在于，所述根据云主机所应用的安全组生成安全组序列与公共超序列包括以下步骤：

3.根据权利要求2所述的一种实现安全组流表最小化的方法，其特征在于，所述公共超序列包含与所述云主机数量相同的所有安全组序列。

4.根据权利要求1所述的一种实现安全组流表最小化的方法，其特征在于，所述利用联合流表的三个维度生成安全组流表包括以下步骤：

S21、初始化优先级变量和联合流表编号；

S22、对所述安全组序列进行处理，得到安全组规则；

S24、利用联合流表实现每个安全组流表。

5.根据权利要求4所述的一种实现安全组流表最小化的方法，其特征在于，对所述安全组序列进行处理，得到安全组规则包括以下步骤：

S221、从前往后处理所述安全组序列里的每个安全组；

6.根据权利要求5所述的一种实现安全组流表最小化的方法，其特征在于，为每个所述安全组规则生成安全组规则流表，并配置所述优先级变量和所述联合流表编号包括以下步骤：

7.根据权利要求6所述的一种实现安全组流表最小化的方法，其特征在于，利用所述优先级变量与所述联合流表编号，为每个安全组规则生成安全组规则流表包括以下步骤：

S2315、生成一条联合流表动作流表。

8.根据权利要求7所述的一种实现安全组流表最小化的方法，其特征在于，每个所述安全组规则生成的安全组规则流表均具有不同的优先级。

9.根据权利要求8所述的一种实现安全组流表最小化的方法，其特征在于，所述利用联合流表实现每个安全组流表包括以下步骤：

S241、利用第一个维度匹配可能的地址；

S242、利用第二个维度匹配可能的端口；

S243、利用第三个维度匹配应用所述安全组规则的云主机。

10.根据权利要求9所述的一种实现安全组流表最小化的方法，其特征在于，每增加一台使用所述安全组规则的云主机时需要增加一条联合流表的子流表。