CN117950791A - 虚拟机访问方法及装置、电子设备、计算机可读介质 - Google Patents

Abstract

本公开提供了一种虚拟机访问方法及装置、电子设备、计算机可读介质，该方法应用于云计算管理平台，方法包括：接收调用指令，启动服务代理，服务代理向目标安全外壳服务发送第一连接请求，目标安全外壳服务响应第一连接请求与服务代理建立连接；目标安全外壳服务向服务代理发送第二连接请求；服务代理响应第二连接请求建立终端设备与目标安全外壳服务的连接。本公开实施例能够提高虚拟机的安全性。

Description

虚拟机访问方法及装置、电子设备、计算机可读介质

技术领域

本公开涉及互联网技术领域，特别涉及一种虚拟机访问方法及装置、电子设备、计算机可读介质。

背景技术

开源云计算平台openstack是一系列开源组件的合集，能为用户提供虚拟化的计算、存储、网络等服务，可以降低客户的运维难度、提高资源交付速度以及提升资源的使用率，并为用户带来更多的功能。比如，更简单的网络划分和隔离，更简单的存储扩容和释放，更快捷的计算资源的修改。然而，由于网络隔离，导致终端设备无法直接访问openstack提供的虚拟机，终端设备需要获得openstack的浮动IP才能访问虚拟机，这降低了虚拟机的安全性。

发明内容

本公开提供一种虚拟机访问方法及装置、电子设备、计算机可读介质，可以提高虚拟机的安全性。

第一方面，本公开提供了一种虚拟机访问方法，应用于云计算管理平台，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理，所述方法包括：

接收调用指令，启动所述服务代理；

所述服务代理向所述目标安全外壳服务发送第一连接请求；

所述目标安全外壳服务响应所述第一连接请求与所述服务代理建立连接；

所述目标安全外壳服务向所述服务代理发送第二连接请求；

所述服务代理响应所述第二连接请求，建立终端设备与所述目标安全外壳服务的连接。

第二方面，本公开提供了一种虚拟机访问方法，应用于服务器，所述服务器与云计算管理平台连接，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理：

响应远程访问请求，向所述云计算管理平台发送调用指令，以供所述云计算管理平台启动所述服务代理；

接收所述服务代理发起的第三连接请求，与所述目标安全外壳服务建立连接；

将所述第三连接请求转发至终端设备，以使所述终端设备与所述目标安全外壳服务建立连接。

第三方面，本公开提供了一种云计算管理平台，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括安全外壳服务和服务代理，所述云计算管理平台还包括：

启动模块，用于接收调用指令，启动所述服务代理；

第一发送模块，用于所述服务代理向所述目标安全外壳服务发送第一连接请求，所述目标安全外壳服务响应所述第一连接请求所述目标安全外壳服务与所述服务代理建立连接；

第二发送模块，还用于所述目标安全外壳服务向所述服务代理发送第二连接请求；

所述第一发送模块，还用于所述服务代理响应所述第二连接请求，建立终端设备与所述目标安全外壳服务的连接。

第四方面，本公开提供了一种服务器，所述服务器与云计算管理平台连接，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理；

所述服务器包括：

调用模块，用于响应远程访问请求，向所述云计算管理平台发送调用指令，以供所述云计算管理平台启动所述服务代理；

第二接收模块，用于接收所述服务代理发起的第三连接请求，与所述目标安全外壳服务建立连接；

第三发送模块，用于将所述第三连接请求转发至终端设备，以使所述终端设备与所述目标安全外壳服务建立连接。

第五方面，本公开提供了一种虚拟机访问系统，包括云计算管理平台、服务器和终端设备，所述云计算管理平台与所述服务器网络连接，所述终端设备与所述服务器网络连接，所述终端设备为用户使用的设备，所述云计算管理平台包括本公开实施例提供的所述的云计算管理平台，所述服务器包括本公开实施例提供的所述的服务器。

第六方面，本公开提供了一种电子设备，该电子设备包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的一个或多个计算机程序，一个或多个所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述的虚拟机访问方法。

第七方面，本公开提供了一种计算机可读存储介质，其上存储有计算机程序，其中，所述计算机程序在被处理器/处理核执行时实现上述虚拟机访问方法。

本公开实施例所提供的虚拟机访问方法，云计算管理平台在接收到调用指令后启动服务代理，服务代理向目标安全外壳服务发送第一连接请求，并与目标安全外壳服务建立连接，然后，目标安全外壳服务向服务代理发送第二连接请求，服务代理响应所述第二连接请求建立终端设备与目标安全外壳服务的连接，同时，服务器与服务代理建立连接，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被建立，由于服务代理主动向服务器发起连接请求，因此，虚拟机所在网络不需要向外暴露，也不需要暴露目标安全外壳服务的端口，提高了虚拟机的安全性，而且，不需要为虚拟机配置浮动IP，不再限制云计算管理平台中虚拟机的数量。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用来提供对本公开的进一步理解，并且构成说明书的一部分，与本公开的实施例一起用于解释本公开，并不构成对本公开的限制。通过参考附图对详细示例实施例进行描述，以上和其他特征和优点对本领域技术人员将变得更加显而易见，在附图中：

图1示意性地示出了本公开实施例提供的虚拟机访问方法的应用场景图；

图2为本公开实施例提供的一种虚拟机访问方法的流程图；

图3为本公开实施例提供的一种虚拟机访问方法的流程图；

图4为本公开实施例提供的一种云计算管理平台的框图；

图5为本公开实施例提供的一种服务器的框图；

图6为本公开实施例提供的一种虚拟机访问系统的框图；

图7为本公开实施例提供的一种虚拟机访问方法；

图8为本公开实施例提供的一种电子设备的框图。

具体实施方式

为使本领域的技术人员更好地理解本公开的技术方案，以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

在不冲突的情况下，本公开各实施例及实施例中的各特征可相互组合。

如本文所使用的，术语“和/或”包括一个或多个相关列举条目的任何和所有组合。

本文所使用的术语仅用于描述特定实施例，且不意欲限制本公开。如本文所使用的，单数形式“一个”和“该”也意欲包括复数形式，除非上下文另外清楚指出。还将理解的是，当本说明书中使用术语“包括”和/或“由……制成”时，指定存在所述特征、整体、步骤、操作、元件和/或组件，但不排除存在或添加一个或多个其它特征、整体、步骤、操作、元件、组件和/或其群组。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。

除非另外限定，否则本文所用的所有术语(包括技术和科学术语)的含义与本领域普通技术人员通常理解的含义相同。还将理解，诸如那些在常用字典中限定的那些术语应当被解释为具有与其在相关技术以及本公开的背景下的含义一致的含义，且将不解释为具有理想化或过度形式上的含义，除非本文明确如此限定。

Openstack可为用户提供虚拟化的计算、存储、网络等服务，但由于网络隔离，终端设备需要登陆虚拟机所在的主机才能访问虚拟机。例如，Openstack提供的访问方式包括虚拟网络控制台(Virtual Network Console，简称vnc)、串口控制台(serial console)以及浮动IP，其中，vnc和serial console不能同时开启多个终端设备，即同一时刻只能一个终端设备使用。而且，在实现vnc和serial console时，终端设备需要直接访问openstack节点，即需要对外暴露Openstack的端口，因此，存在安全隐患。虚拟机可以绑定一个浮动IP，但浮动IP数量有限，在Openstack的规模较大时，无法为每个终端设备提供浮动IP，并且浮动IP同样需要将虚拟机暴露在物理网段中，其他的服务可以通过浮动ip直接访问到虚拟机，因此，存在安全隐患。

图1示意性地示出了本公开实施例提供的虚拟机访问方法的应用场景图。

如图1所示，本公开实施例的应用场景可以包括终端设备101、服务器102、网络103和云计算管理平台104。网络103用以在终端设备101和服务器102之间，以及服务器102和云计算管理平台104之间提供通信链路的介质。网络103可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101通过网络103与服务器102交互，以接收或发送消息等。终端设备101上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器102可以是提供各种服务的服务器，例如对用户利用终端设备101所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

云计算管理平台104包括但不限于OpenStack等开源的平台。云计算管理平台104设置一个或多个虚拟机41，虚拟机41包括安全外壳服务411和服务代理412，其中，安全外壳服务411用于为终端设备提供服务，本公开实施例对服务的类型不做限定，例如，服务可以是购物、支付等。服务代理412为安全外壳服务411的代理，安全外壳服务411并不直接与服务器102连接，而是通过服务代理412与服务器102连接。

当云计算管理平台104中设置多个虚拟机41时，多个虚拟机41通过虚拟私人云(Virtual Private Cloud，简称VPC)网络42进行通信连接，当云计算管理平台104中的虚拟机41的数量较大时，VPC网络42包括多个子网(Subnet)421，每个子网421可以连接一个或多个虚拟机41。

在云计算管理平台104还包括虚拟路由器43和虚拟网关44，每个子网421对应一个虚拟路由器43，虚拟路由器43与虚拟网关44通信连接，虚拟网关44通过网络103与服务器102通信连接。

应该理解，图1中的终端设备101、服务器102和云计算管理平台104的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

本公开实施例提供一种虚拟机访问方法，该虚拟机访问方法可在图1所示的应用场景中使用。图2为本公开实施例提供的一种虚拟机访问方法的流程图。参照图2，该虚拟机访问方法包括：

步骤S201，接收调用指令，启动服务代理。

其中，服务代理设置在云计算管理平台之内，即设置在云计算管理平台能够访问的网络环境中，服务器可被终端设备访问，终端设备是用户使用的设备。

当终端设备需要访问云计算管理平台中的虚拟机时，向服务器发送远程访问请求，当服务器接收到远程访问请求后，向云计算管理平台发送调用指令。云计算管理平台接收到调用指令后，启动服务代理。

步骤S202，服务代理向目标安全外壳服务发送第一连接请求。

其中，目标安全外壳服务是为终端设备提供服务的安全外壳服务。

服务代理被启动后，向目标安全外壳服务发送第一连接请求，目标安全外壳服务接收到第一连接请求后，与服务代理建立连接。

在一些实施例中，调用指令中包括私人云网络的子网IP和安全外壳服务的端口，目标虚拟机是为终端设备提供服务的虚拟机，子网IP是与目标虚拟机通信连接的私人云网络的子网。

其中，目标虚拟机是终端设备想要访问的虚拟机，在云计算管理平台中的虚拟机通过私人云网络通信连接，而且，私人云网络中设置多个子网，每个虚拟机对应一个子网，每个子网可以与多个虚拟机通信连接。通过该子网IP可以定位私人云网络的子网，从而定位目标虚拟机。安全外壳服务的端口是连接子网的端口，即使子网连接多个虚拟机，通过端口可以定位目标安全外壳服务。

由于不同的虚拟机均设置在云计算管理平台构成的私人云网络中，目标安全外壳服务只需要设置为私人云网络内的虚拟机访问即可，使得虚拟机更加封闭，提高了虚拟机的安全性。

在一些实施例中，服务代理向目标安全外壳服务发送第一连接请求之前，还包括：服务代理从调用指令中获得子网IP和安全外壳服务的端口；服务代理基于子网IP确定目标虚拟机；服务代理基于安全外壳服务的端口确定目标安全外壳服务。

服务器接收到调用指令后调用守护程序接口，通过守护程序接口启动服务代理，服务代理调用指令中获得子网IP和安全外壳服务的端口，并基于子网IP确定目标虚拟机，然后通过安全外壳服务的端口确定目标安全外壳服务。

在一些实施例中，虚拟机访问方法还包括：基于调用指令中的目标实例标识可以确定第一目标虚拟机，基于私人云网络中的子网IP确定第二目标虚拟机；在第一目标虚拟机和第二目标虚拟机是不同的虚拟机的情况下，利用第一目标虚拟机转发第二目标虚拟机与服务代理之间的交互信息，其中，目标实例标识是表征目标虚拟机的身份的标识。

服务器发送的调用指令中还包括目标实例标识，通过目标实例标识可以确定第一目标虚拟机。目标实例标识是终端设备本地存储的云计算管理平台相关信息确定的，但云计算管理平台可能根据使用情况对虚拟机进行了调整，即调整了虚拟机的子网IP。因此，通过私人云网络中的子网IP确定的第二目标虚拟机，可能与通过目标实例标识确定得第一目标虚拟机不是同一个虚拟机，第二目标虚拟机才是终端设备真正想要访问的虚拟机，因此，将第一目标虚拟机作为跳板机，第一目标虚拟机将接收到的交互信息转发至第二目标虚拟机，以及将第二目标虚拟机发送的信息转发至服务器。

步骤S203，目标安全外壳服务响应第一连接请求与服务代理建立连接。

服务代理向目标安全外壳服务发送第一连接请求，目标安全外壳服务响应第一连接请求与服务代理建立连接。

在一些实施例中，第一连接请求包括用户名和密码，用户名是请求安全外壳服务的终端设备的名称。在一些实施例中，用户名和密码可以是终端设备在向云计算管理平台注册时输入的信息，当终端设备向云计算管理平台请求访问时，将用户名和密码输入云计算管理平台。

目标安全外壳服务响应第一连接请求与服务代理建立连接，包括：目标安全外壳服务从第一连接请求中提取用户名和密码，并对用户名和密码进行验证；在验证失败的情况下，向服务代理发送连接失败消息；在验证通过的情况下，目标安全外壳服务与服务代理建立连接。

当第一连接请求中携带的用户名和密码与注册时提供的用户名和密码无法匹配时验证失败，当第一连接请求中携带的用户名和密码与注册时提供的用户名和密码匹配时验证通过。

目标安全外壳服务对用户名和密码进行验证，在验证失败时，向服务代理发送连接失败消息，服务代理将连接失败消息转发至服务器。当验证通过时，目标安全外壳服务与服务代理建立连接。

步骤S204，目标安全外壳服务向服务代理发送第二连接请求。

在目标安全外壳服务和服务代理建立连接后，目标安全外壳服务向服务代理发送第二连接请求，第二连接请求是目标安全外壳服务主动向服务器发送的连接请求，服务器并不需要知道虚拟机的浮动IP，也不需要将目标安全外壳服务的端口外露，因此，目标安全外壳服务和虚拟机的安全性较高。

步骤S205，服务代理响应第二连接请求，建立终端设备与目标安全外壳服务的连接。

在本公开实施例中，服务代理响应第二连接请求，建立终端设备与目标安全外壳服务的连接具体可以包括：服务代理响应第二连接请求向服务器发送第三连接请求，当服务器接收到第三连接请求时，目标安全外壳服务与服务器建立连接，并在目标安全外壳服务与服务器建立连接的情况下，服务器将第三连接请求转发至终端设备，使终端设备与目标安全外壳服务建立连接，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被打通，终端设备可以访问目标虚拟机，并获得目标安全外壳服务提供的服务。

本公开实施例所提供的虚拟机访问方法，云计算管理平台在接收到服务器发送的调用指令后启动服务代理，服务代理向目标安全外壳服务发送第一连接请求，并与目标安全外壳服务建立连接，然后，目标安全外壳服务向服务代理发送第二连接请求，服务代理响应第二连接请求建立终端设备与目标安全外壳服务的连接，同时，服务器与服务代理建立连接，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被建立，由于服务代理主动向服务器发起连接请求，因此，虚拟机所在网络不需要向外暴露，也不需要暴露目标安全外壳服务的端口，提高了虚拟机的安全性，而且，不需要为虚拟机配置浮动IP，不再限制云计算管理平台中虚拟机的数量。

本公开实施例还提供一种应用于服务器的虚拟机访问方法。该虚拟机访问方法同样是在图1所示的应用场景中使用。服务器与云计算管理平台连接，云计算管理平台包括至少一个虚拟机，每个虚拟机包括安全外壳服务和服务代理，安全外壳服务用于为终端设备提供服务，服务代理为安全外壳服务的代理。

图3为本公开实施例提供的一种虚拟机访问方法的流程图。如图3所示，虚拟机访问方法包括：

步骤S301，响应远程访问请求，向云计算管理平台发送调用指令，以供云计算管理平台启动服务代理。

其中，远程访问请求可以是终端设备发起的请求，服务器响应终端设备发起的远程访问请求，向云计算管理平台发送调用指令。

当服务器接收到终端设备发起远程访问请求时，向云计算管理平台发送调用指令，调用云计算管理平台中的守护程序接口，守护程序接口启动服务代理，服务代理被启动后，向目标安全外壳服务发送第一连接请求，目标安全外壳服务接收到第一连接请求后，与服务代理建立连接。在目标安全外壳服务与服务代理建立连接的情况下，目标安全外壳服务向服务代理发送第二连接请求，服务代理接收到第二连接请求后，向服务器发送第三连接请求，第三连接请求是为了使目标安全外壳服务与服务器建立连接。

在一些实施例中，响应远程访问请求，向云计算管理平台发送调用指令，包括：响应远程访问请求，生成远程访问请求对应的请求标识，请求标识是表征远程访问请求身份的标识；向云计算管理平台发送调用指令，调用指令中包含请求标识。

当服务器收到终端设备发送的远程访问请求后，生成该远程访问请求对应的请求标识(reqIP)，该请求标识是远程访问请求的唯一标识，通过该请求标识，终端设备、服务器、服务代理和目标安全外壳服务可以确定传输的信息是针对哪个远程访问请求的信息。

示例地，当服务器收到代理服务发来的第三连接请求时，从第三连接请求中获得请求标识，从而可以确定该第三连接请求是对哪个请求发起的连接请求，并通过该请求标识可以确定终端设备，并使终端设备与目标安全外壳服务建立连接。

在一些实施例中，远程访问请求中包括目标实例标识，目标实例标识是表征目标虚拟机的身份的标识。

向云计算管理平台发送调用指令之前，还包括：基于目标实例标识查询预先设置于服务器中的虚拟机信息；在虚拟机信息中存在目标虚拟机、且目标虚拟机的状态为运行状态的情况下，向云计算管理平台发送调用指令；在虚拟机信息中不存在目标虚拟机，或者，目标虚拟机的状态为非运行状态的情况下，向终端设备返回连接失败消息。

当服务器收到终端设备发送的远程访问请求后，可以从远程访问请求中获得目标实例标识，通过目标实例标识可以确定目标虚拟机。然而，云计算管理平台在使用过程中可能对虚拟机进行了调整，如取消了某些虚拟机，但终端设备并不知晓。因此，当服务器收到目标实例标识后，查询存储在本地的虚拟机信息，若虚拟机信息中存在目标虚拟机，则继续查看目标虚拟机的状态，若目标虚拟机的状态是运行状态，则向云计算管理平台发送调用指令。若虚拟机信息中不存在目标虚拟机，或者，目标虚拟机的状态为非运行状态的情况下，向终端设备返回连接失败消息。

在一些实施例中，响应远程访问请求，向云计算管理平台发送调用指令之后，方法还包括：接收服务代理返回的错误消息，错误消息是目标安全外壳服务在验证用户名和密码失败后发出的消息，错误消息中包括请求标识，请求标识是表征远程访问请求身份的标识；基于错误消息中的请求标识确定发起远程访问请求的终端设备；向终端设备转发错误消息。

在一些实施例中，终端设备向服务器发送的远程访问请求中携带有用户名和密码，用户名和密码是使用终端设备的用户的用户名，密码是该用户设置的密码。服务器向服务代理发送的调用指令中携带该用户名和密码，服务代理向目标安全外壳服务发送的第一连接请求中携带该用户名和密码，目标安全外壳服务收到用户名和密码后，与终端设备预先在虚拟机中注册时输入的用户名和密码进行匹配，若第一连接请求中携带的用户名和密码与注册时输入的用户名和密码能够匹配，则允许可以为该终端设备提供服务，否则，不能为该终端设备提供服务，向服务代理返回的错误消息，服务代理将该错误消息转发至服务器。

在一些实施例中，目标安全外壳服务发出的错误消息中携带请求标识，服务代理转发的错误消息中同样携带请求标识，服务器收到错误消息后，基于请求标识确定远程访问请求，进而确定发起远程访问请求的终端设备，然后向终端设备转发错误消息，对应的远程访问请求结束。需要说明的是，错误消息是服务代理按照服务器转发的远程访问请求返回的。

步骤S302，接收服务代理发起的第三连接请求，与目标安全外壳服务建立连接。

其中，第三连接请求是服务代理响应安全外壳服务发起的第二连接请求而发起的请求。

当安全外壳服务对用户名和密码验证通过的情况下，向服务代理发送第二连接请求，服务代理基于第二连接请求向服务器发送第三连接请求，服务器接收到第三连接请求后，与服务代理建立连接。

步骤S303，将第三连接请求转发至终端设备，以使终端设备与目标安全外壳服务建立连接。

在一些实施例中，在第三连接请求中携带请求标识，服务器基于请求标识查询，确定第三连接请求对应的远程服务请求，从而确定发起该远程服务请求的终端设备，然后，将第三连接请求发送至终端设备，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被打通，终端设备可以访问目标虚拟机，并获得目标安全外壳服务提供的服务。

本公开实施例所提供的虚拟机访问方法，服务器发送的调用指令后启动服务代理，服务代理向目标安全外壳服务发送第一连接请求，并与目标安全外壳服务建立连接，然后，目标安全外壳服务向服务代理发送第二连接请求，服务代理响应第二连接请求与服务器建立连接，同时，基于第二连接请求向服务器发送第三连接请求，服务器接收到第三连接请求后与服务代理建立连接，并将第三连接请求转发终端设备，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被打通，由于服务代理主动向服务器发起连接请求，因此，虚拟机所在网络不需要向外暴露，也不需要暴露目标安全外壳服务的端口，提高了虚拟机的安全性，而且，不需要为虚拟机配置浮动IP，不再限制云计算管理平台中虚拟机的数量。

本公开实施例提供一种云计算管理平台。图4为本公开实施例提供的一种云计算管理平台的框图，参阅图4，云计算管理平台400包括：

至少一个虚拟机41，虚拟机41包括安全外壳服务411和服务代理412，安全外壳服务411用于为终端设备提供的服务，服务代理412为安全外壳服务的代理。

云计算管理平台400还包括：

启动模块401，用于接收调用指令，启动服务代理。

其中，调用指令是服务器响应终端设备的远程访问请求发起的指令。

第一发送模块402，用于服务代理412向目标安全外壳服务411发送第一连接请求，目标安全外壳服务411响应第一连接请求与服务代理建立连接，目标安全外壳服务是为终端设备提供服务的安全外壳服务。

第二发送模块404，目标安全外壳服务411向服务代理412发送第二连接请求。

第一发送模块402，还用于响应第二连接请求向服务器发送第三连接请求，建立终端设备与目标安全外壳服务的连接。

在一些实施例中，调用指令中包括私人云网络的子网IP和安全外壳服务的端口，目标虚拟机是为终端设备提供服务的虚拟机，子网IP是与目标虚拟机通信连接的私人云网络的子网；

云计算管理平台400还包括：

获得模块，用于从调用指令中获得子网IP和安全外壳服务的端口。

确定模块，用于基于子网IP确定目标虚拟机。

确定模块，还用于基于安全外壳服务的端口确定目标安全外壳服务。

在一些实施例中，确定模块，还用于基于目标实例标识确定第一目标虚拟机，以及，基于私人云网络中的子网IP确定第二目标虚拟机；目标实例标识是表征目标虚拟机的身份的标识；

转发模块，用于在第一目标虚拟机和第二目标虚拟机是不同的虚拟机的情况下，利用第一目标虚拟机转发第二目标虚拟机与服务代理之间的交互信息。

在一些实施例中，第一连接请求包括用户名和密码，用户名是请求安全外壳服务的终端设备的名称；

云计算管理平台400还包括：

验证模块，用于从第一连接请求中提取用户名和密码，并对用户名和密码进行验证。在验证失败的情况下，目标安全外壳服务向服务代理发送连接失败消息。在验证通过的情况下，目标安全外壳服务与服务代理建立连接。

本公开实施例所提供的云计算管理平台，第一接收模块在接收到服务器发送的调用指令后启动服务代理，第一发送模块向目标安全外壳服务发送第一连接请求，服务代理与目标安全外壳服务建立连接，然后，第一发送模块向服务代理发送第二连接请求，连接模块响应第二连接请求与服务器建立连接，同时，第一发送模块向服务器发送第三连接请求，服务器接收到第三连接请求后与服务代理建立连接，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被建立，由于服务代理主动向服务器发起连接请求，因此，虚拟机所在网络不需要向外暴露，也不需要暴露目标安全外壳服务的端口，提高了虚拟机的安全性，而且，不需要为虚拟机配置浮动IP，不再限制云计算管理平台中虚拟机的数量。

本公开实施例提供一种服务器，服务器与云计算管理平台连接，云计算管理平台包括至少一个虚拟机，虚拟机包括安全外壳服务和服务代理，安全外壳服务用于为终端设备提供的服务，服务代理为安全外壳服务的代理。图5为本公开实施例提供的一种服务器的框图，参阅图5，服务器500包括：

调用模块501，用于响应远程访问请求，向云计算管理平台发送调用指令，以供云计算管理平台启动服务代理。

在本公开实施例中，服务代理启动后，向目标安全外壳服务发送第一连接请求，以及在目标安全外壳服务与服务代理建立连接的情况下，目标安全外壳服务向服务代理发送第二连接请求，目标安全外壳服务是为终端设备提供服务的安全外壳服务；

第二接收模块502，用于接收服务代理发起的第三连接请求，与目标安全外壳服务建立连接；

第三发送模块503，用于将第三连接请求转发至终端设备，以使终端设备与目标安全外壳服务建立连接。

在一些实施例中，服务器500还包括生成模块，用于响应远程访问请求，生成远程访问请求对应的请求标识，请求标识是表征远程访问请求身份的标识。

第三发送模块503，还用于向云计算管理平台发送调用指令，调用指令中包含请求标识。

在一些实施例中，远程访问请求中包括目标实例标识，目标实例标识是表征目标虚拟机的身份的标识。

服务器500还包括：

查询模块，用于基于目标实例标识查询预先设置于服务器中的虚拟机信息；

第三发送模块503，还用于在虚拟机信息中存在目标虚拟机、且目标虚拟机的状态为运行状态的情况下，向云计算管理平台发送调用指令；

第三发送模块503，还用于在虚拟机信息中不存在目标虚拟机，或者，目标虚拟机的状态为非运行状态的情况下，向终端设备返回连接失败消息。

服务器500还包括：

第二接收模块，还用于接收服务代理返回的错误消息，错误消息是目标安全外壳服务在验证用户名和密码失败后发出的消息，错误消息中包括请求标识，请求标识是表征远程访问请求身份的标识；

确定模块，用于基于错误消息中的请求标识确定发起远程访问请求的终端设备；

第三发送模块503，还用于向终端设备转发错误消息。

本公开实施例所提供的服务器，调用模块响应终端设备发起的远程访问请求，向云计算管理平台发送调用指令，以启动服务代理，服务代理向目标安全外壳服务发送第一连接请求，并与目标安全外壳服务建立连接，第二接收模块接收服务代理发起的第三连接请求，服务代理与服务器建立连接，至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被建立，由于服务代理主动向服务器发起连接请求，因此，虚拟机所在网络不需要向外暴露，也不需要暴露目标安全外壳服务的端口，提高了虚拟机的安全性，而且，不需要为虚拟机配置浮动IP，不再限制云计算管理平台中虚拟机的数量。

本公开实施例提供的一种虚拟机访问系统。图6为本公开实施例提供的一种虚拟机访问系统的框图。虚拟机访问系统600包括云计算管理平台601、服务器602和终端设备603，云计算管理平台601与服务器602网络连接，终端设备603与服务器602网络连接，终端设备603为用户使用的设备，云计算管理平台601包括本公开实施例提供的云计算管理平台，服务器602包括本公开实施例提供的服务器。云计算管理平台601和服务器602参见本公开实施例对应部分，在此不再赘述。

为了更好的理解本公开，下面结合虚拟机访问系统再次介绍虚拟机访问方法。图7为本公开实施例提供的一种虚拟机访问方法，参阅图7，虚拟机访问方法包括：

步骤S701，终端设备向服务器发送远程访问请求，远程访问请求中携带目标实例标识、私人云网络的子网IP、安全外壳服务的端口、用户名和密码。

步骤S702，服务器接收到远程访问请求后，基于目标实例标识查找虚拟机信息，在虚拟机信息中找到目标虚拟机，且目标虚拟机的状态为运行状态的情况下，生成本次远程访问请求的请求标识reqID，然后执行步骤S704。在虚拟机信息中不存在目标虚拟机，或者，目标虚拟机的状态为非运行状态的情况下，生成连接失败消息，然后执行步骤S703。

步骤S703，服务器向终端设备返回失败消息。

步骤S704，服务器向云计算管理平台发送调用指令，调用守护程序接口，调用指令中携带请求标识、服务器的访问地址、私人云网络的子网IP、安全外壳服务的端口、用户名和密码。

步骤S705，守护程序接口启动服务代理，服务代理根据私人云网络的子网IP确定目标虚拟机，根据安全外壳服务的端口确定安全外壳服务。

步骤S706，服务代理向目标安全外壳服务发送第一连接请求，第一连接请求中携带请求标识、服务器的访问地址、用户名和密码。

步骤S707，目标安全外壳服务提取用户名和密码，并对用户名和密码进行验证，在验证通过的情况下，建立目标安全外壳服务和服务代理之间的连接，然后执行步骤S709。在验证失败的情况下，生成连接失败消息，执行步骤S708。

步骤S708，向服务代理发送连接失败消息，连接失败消息中携带请求标识，服务代理将连接失败消息返回服务器，服务器从连接失败消息中获得消息标识，并基于消息标识确定终端设备，然后，向终端设备转发连接失败消息。

步骤S709，目标安全外壳服务向服务代理发送第二连接请求，第二连接请求携带请求标识和服务器的访问地址。

步骤S710，服务代理接收到第二连接请求后，向服务器发送第三连接请求，第三连接请求携带请求标识。

步骤S711，服务器收到第三连接请求后，从第三连接请求中获取请求标识，根据请求标识确定发起远程访问请求的终端设备。

服务器包括两个传输控制协议(Transmission Control Protocol，简称TCP)连接，第一TCP连接为服务器与服务代理之间的连接，第二TCP连接为服务器与终端设备之间的连接。来自服务代理的信息被存放在第一TCP连接中，如第三连接请求被存放在与服务代理的TCP连接，来自终端设备的信息被存放在第二TCP连接中。

服务器收到第三连接请求后，将第三连接请求从第一TCP连接拷贝到第二TCP连接中，将远程服务请求从第二TCP连接拷贝到第一TCP连接，即服务器拷贝服务代理和终端设备之间的输入输出流。

步骤S712，向终端设备转发第三连接请求，从而实现目标安全外壳服务与服务器的连接。

服务器还包括第三TCP连接，第三TCP连接是服务器与目标安全外壳服务之间的连接，目标安全外壳服务发送给服务器的信息存放在第三TCP连接中。

在目标安全外壳服务与服务器建立连接后，服务器拷贝目标安全外壳服务和终端设备之间的输入输出流。至此，目标安全外壳服务、服务代理、服务器和终端设备之间的访问链路被打通，终端设备与目标安全外壳服务可以进行信息传输，终端设备可以获得目标安全外壳服务提供的服务。

可以理解，本公开提及的上述各个方法实施例，在不违背原理逻辑的情况下，均可以彼此相互结合形成结合后的实施例，限于篇幅，本公开不再赘述。本领域技术人员可以理解，在具体实施方式的上述方法中，各步骤的具体执行顺序应当以其功能和可能的内在逻辑确定。

图8为本公开实施例提供的一种电子设备的框图。

参照图8，本公开实施例提供了一种电子设备，该电子设备包括：至少一个处理器801；至少一个存储器802，以及一个或多个I/O接口803，连接在处理器801与存储器802之间；其中，存储器802存储有可被至少一个处理器801执行的一个或多个计算机程序，一个或多个计算机程序被至少一个处理器801执行，以使至少一个处理器801能够执行上述的虚拟机访问方法。

本公开实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，其中，计算机程序在被处理器/处理核执行时实现上述的虚拟机访问方法。计算机可读存储介质可以是易失性或非易失性计算机可读存储介质。

本公开实施例还提供了一种计算机程序产品，包括计算机可读代码，或者承载有计算机可读代码的非易失性计算机可读存储介质，当计算机可读代码在电子设备的处理器中运行时，电子设备中的处理器执行上述虚拟机访问方法。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读存储介质上，计算机可读存储介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。

如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读程序指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM)、静态随机存取存储器(SRAM)、闪存或其他存储器技术、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读程序指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本公开操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开的各个方面。

这里所描述的计算机程序产品可以具体通过硬件、软件或其结合的方式实现。在一个可选实施例中，所述计算机程序产品具体体现为计算机存储介质，在另一个可选实施例中，计算机程序产品具体体现为软件产品，例如软件开发包(Software DevelopmentKit，SDK)等等。

这里参照根据本公开实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本公开的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本公开的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本文已经公开了示例实施例，并且虽然采用了具体术语，但它们仅用于并仅应当被解释为一般说明性含义，并且不用于限制的目的。在一些实例中，对本领域技术人员显而易见的是，除非另外明确指出，否则可单独使用与特定实施例相结合描述的特征、特性和/或元素，或可与其他实施例相结合描述的特征、特性和/或元件组合使用。因此，本领域技术人员将理解，在不脱离由所附的权利要求阐明的本公开的范围的情况下，可进行各种形式和细节上的改变。

Claims (13)

1.一种虚拟机访问方法，其特征在于，应用于云计算管理平台，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理，所述方法包括：

接收调用指令，启动所述服务代理；

所述服务代理向所述目标安全外壳服务发送第一连接请求；

所述目标安全外壳服务响应所述第一连接请求与所述服务代理建立连接；

所述目标安全外壳服务向所述服务代理发送第二连接请求；

所述服务代理响应所述第二连接请求，建立终端设备与所述目标安全外壳服务的连接。

2.根据权利要求1所述的方法，其特征在于，所述调用指令中包括私人云网络的子网IP和安全外壳服务的端口，所述目标虚拟机是为所述终端设备提供服务的虚拟机，所述子网IP是所述云计算管理平台使用的私人云网络的子网；

所述服务代理向所述目标安全外壳服务发送第一连接请求之前，还包括：

所述服务代理从所述调用指令中获得所述子网IP和所述安全外壳服务的端口；

所述服务代理基于所述子网IP确定所述目标虚拟机；

所述服务代理基于所述安全外壳服务的端口确定所述目标安全外壳服务。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

基于所述调用指令中的目标实例标识确定第一目标虚拟机，所述目标实例标识是表征目标虚拟机的身份的标识；

基于所述私人云网络中的子网IP确定第二目标虚拟机；

在所述第一目标虚拟机和所述第二目标虚拟机是不同的虚拟机的情况下，利用所述第一目标虚拟机转发所述第二目标虚拟机与所述服务代理之间的交互信息。

4.根据权利要求1所述的方法，其特征在于，所述第一连接请求包括用户名和密码，所述用户名是请求安全外壳服务的终端设备的名称；

所述目标安全外壳服务响应所述第一连接请求与所述服务代理建立连接，包括：

所述目标安全外壳服务从所述第一连接请求中提取所述用户名和所述密码，并对所述用户名和所述密码进行验证；

在验证失败的情况下，向所述服务代理发送连接失败消息；

在验证通过的情况下，所述目标安全外壳服务与所述服务代理建立连接。

5.一种虚拟机访问方法，其特征在于，应用于服务器，所述服务器与云计算管理平台连接，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理：

响应远程访问请求，向所述云计算管理平台发送调用指令，以供所述云计算管理平台启动所述服务代理；

接收所述服务代理发起的第三连接请求，与所述目标安全外壳服务建立连接；

将所述第三连接请求转发至终端设备，以使所述终端设备与所述目标安全外壳服务建立连接。

6.根据权利要求5所述的方法，其特征在于，所述响应远程访问请求，向所述云计算管理平台发送调用指令，包括：

响应所述远程访问请求，生成所述远程访问请求对应的请求标识，所述请求标识是表征所述远程访问请求身份的标识；

向所述云计算管理平台发送所述调用指令，所述调用指令中包含所述请求标识。

7.根据权利要求5所述的方法，其特征在于，所述远程访问请求中包括目标实例标识，所述目标实例标识是表征目标虚拟机的身份的标识；

所述向所述云计算管理平台发送调用指令之前，还包括：

基于所述目标实例标识查询预先设置于所述服务器中的虚拟机信息；

在所述虚拟机信息中存在所述目标虚拟机、且所述目标虚拟机的状态为运行状态的情况下，向所述云计算管理平台发送调用指令；

在所述虚拟机信息中不存在所述目标虚拟机，或者，所述目标虚拟机的状态为非运行状态的情况下，向所述终端设备返回连接失败消息。

8.根据权利要求5所述的方法，其特征在于，所述响应远程访问请求，向所述云计算管理平台发送调用指令之后，所述方法还包括：

接收所述服务代理返回的错误消息，所述错误消息是所述目标安全外壳服务在验证用户名和密码失败后发出的消息，所述错误消息中包括请求标识，所述请求标识是表征所述远程访问请求身份的标识；

基于所述错误消息中的所述请求标识确定发起所述远程访问请求的终端设备；

向所述终端设备转发所述错误消息。

9.一种云计算管理平台，其特征在于，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理，所述云计算管理平台还包括：

启动模块，用于接收调用指令，启动所述服务代理；

第一发送模块，用于所述服务代理向所述目标安全外壳服务发送第一连接请求，所述目标安全外壳服务响应所述第一连接请求与所述服务代理建立连接；

第二发送模块，还用于所述目标安全外壳服务向所述服务代理发送第二连接请求；

所述第一发送模块，还用于所述服务代理响应所述第二连接请求，建立终端设备与所述目标安全外壳服务的连接。

10.一种服务器，其特征在于，所述服务器与云计算管理平台连接，所述云计算管理平台包括至少一个虚拟机，所述虚拟机包括目标安全外壳服务和服务代理；

所述服务器包括：

调用模块，用于响应远程访问请求，向所述云计算管理平台发送调用指令，以供所述云计算管理平台启动所述服务代理；

第二接收模块，用于接收所述服务代理发起的第三连接请求，与所述目标安全外壳服务建立连接；

第三发送模块，用于将所述第三连接请求转发至终端设备，以使所述终端设备与所述目标安全外壳服务建立连接。

11.一种虚拟机访问系统，其特征在于，包括云计算管理平台、服务器和终端设备，所述云计算管理平台与所述服务器网络连接，所述终端设备与所述服务器网络连接，所述终端设备为用户使用的设备，所述云计算管理平台包括权利要求9所述的云计算管理平台，所述服务器包括权利要求10所述的服务器。

12.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的一个或多个计算机程序，所述一个或多个计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1-4或权利要求5-8中任一项所述的虚拟机访问方法。

13.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序在被处理器执行时实现如权利要求1-4或权利要求5-8中任一项所述的虚拟机访问方法。