專利名稱：：基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)及其方法
技術(shù)領(lǐng)域：
：本發(fā)明涉及云計(jì)算
技術(shù)領(lǐng)域：
，特指一種基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)及其方法。
背景技術(shù)：
：計(jì)算機(jī)的應(yīng)用模式大體經(jīng)歷了以大型機(jī)為主體的集中式架構(gòu)(數(shù)據(jù)中心1.0)、以PC機(jī)為主體的客戶/服務(wù)器分布式計(jì)算架構(gòu)(數(shù)據(jù)中心2.0)、以虛擬化技術(shù)為核心面向服務(wù)的體系結(jié)構(gòu)(SOA)及基于*吐2.0應(yīng)用特征的新型架構(gòu)(數(shù)據(jù)中心3.0)。計(jì)算機(jī)的應(yīng)用模式、技術(shù)架構(gòu)及實(shí)現(xiàn)特征的演變是云計(jì)算發(fā)展的時(shí)代背景?；ヂ?lián)網(wǎng)技術(shù)成為ICT應(yīng)用的基礎(chǔ)，層出不窮的互聯(lián)網(wǎng)應(yīng)用需求也要求ICT理念進(jìn)行重新思考和設(shè)計(jì)。這種改變不僅帶來ICT應(yīng)用平臺(tái)的更新?lián)Q代，而且也帶來ICT應(yīng)用實(shí)現(xiàn)和商用模式的創(chuàng)新。這種變化的影響是如此巨大而鮮明，以至于人們可以從多個(gè)角度和視角來描述這些新的特征和現(xiàn)象。盡管云計(jì)算的概念和定義很多，但究其本質(zhì)還是為了滿足ICT應(yīng)用和業(yè)務(wù)的網(wǎng)絡(luò)實(shí)現(xiàn)。為了理論和討論的嚴(yán)謹(jǐn)性，給云計(jì)算更為明確而嚴(yán)格的定義云計(jì)算是在整合的架構(gòu)之下，基于IP網(wǎng)絡(luò)的虛擬化資源平臺(tái)，提供規(guī)?；疘CT應(yīng)用的實(shí)現(xiàn)方式。云計(jì)算的實(shí)質(zhì)是網(wǎng)絡(luò)下的應(yīng)用，是由IP和IT技術(shù)共同構(gòu)建的。從發(fā)展的角度來看，“云”的技術(shù)和目標(biāo)是一個(gè)逐步演化的過程。比如，Web技術(shù)出現(xiàn)時(shí)，就具備了云計(jì)算的應(yīng)用特征有了統(tǒng)一界面的雛形。隨著服務(wù)器應(yīng)用平臺(tái)上的虛擬化技術(shù)的成熟和Web統(tǒng)一界面的推出，虛擬化和Web走向結(jié)合，使得云計(jì)算可以在一個(gè)整合的架構(gòu)上統(tǒng)一實(shí)現(xiàn)。虛擬機(jī)是指支持多操作系統(tǒng)并行運(yùn)行在單個(gè)物理服務(wù)器上的一種系統(tǒng)，能夠提供更加有效的底層硬件使用。在虛擬機(jī)中，中央處理器芯片從系統(tǒng)其它部分劃分出一段存儲(chǔ)區(qū)域，操作系統(tǒng)和應(yīng)用程序運(yùn)行在“保護(hù)模式”環(huán)境下。如果在某虛擬機(jī)中出現(xiàn)程序凍結(jié)現(xiàn)象，這并不會(huì)影響運(yùn)行在虛擬機(jī)外的程序操作和操作系統(tǒng)的正常工作。在云計(jì)算領(lǐng)域中，物理上相鄰的物理服務(wù)器可以聯(lián)合成一個(gè)集群，多個(gè)集群又可以聯(lián)合成一個(gè)系統(tǒng)，在這種拓?fù)浣Y(jié)構(gòu)下虛擬機(jī)一般來說是分配給不同的用戶使用的，這時(shí)候如何限制這些虛擬機(jī)之間的通信，同時(shí)在有必要是又可以提供相互訪問的靈活性就顯得尤為重要。因此，在云計(jì)算領(lǐng)域需要一個(gè)虛擬機(jī)間安全通信保護(hù)系統(tǒng)和方法。
發(fā)明內(nèi)容本發(fā)明解決的技術(shù)問題之一在于提供一種基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)，為云計(jì)算虛擬機(jī)安全通信提供一個(gè)標(biāo)準(zhǔn)的系統(tǒng)。本發(fā)明解決的技術(shù)問題之二在于提供一種安全、簡單、高性能的基于云計(jì)算的虛擬機(jī)間安全通信的方法，確保云計(jì)算虛擬機(jī)之間的安全通信。本發(fā)明解決上述技術(shù)問題之一的技術(shù)方案是包括虛擬機(jī)安全通信輸入/輸出處理單元、彈性IP查詢和修改單元、安全路由查4詢和修改單元、通信策略處理單元、地址轉(zhuǎn)換處理單元和虛擬機(jī)網(wǎng)絡(luò)接口處理單元；虛擬機(jī)安全通信輸入/輸出處理單元，用于接收虛擬機(jī)安全通信相關(guān)的命令、判斷命令的類型并把命令輸出到相應(yīng)的功能單元，最后把返回的結(jié)果進(jìn)行顯示；彈性IP查詢和修改單元，用于查詢用戶的彈性IP資源和對(duì)彈性IP的屬性進(jìn)行操作，包括分配新的彈性IP、釋放所分配的彈性IP、綁定彈性IP到虛擬機(jī)和解除彈性IP與虛擬機(jī)的綁定；安全路由查詢和修改單元，用于查詢用戶設(shè)置的安全路由規(guī)則和對(duì)路由規(guī)則進(jìn)行操作，包括創(chuàng)建新的安全路由規(guī)則、刪除已有的安全路由規(guī)則和修改已有的安全路由規(guī)則；通信策略處理單元，用于判斷要與虛擬機(jī)通信的類型，針對(duì)不同的類型采用不同的通信策略、使用不同的通道；地址轉(zhuǎn)換處理單元，用于把外部入口的數(shù)據(jù)包中的公共IP地址轉(zhuǎn)換成虛擬機(jī)內(nèi)部使用的私有IP地址；虛擬機(jī)網(wǎng)絡(luò)接口處理單元，用于在虛擬機(jī)通信的網(wǎng)絡(luò)接口上設(shè)置和執(zhí)行用戶設(shè)置的安全規(guī)則。所述虛擬機(jī)安全通信相關(guān)的命令包括彈性IP的查詢和修改命令、安全路由的查詢和修改命令以及通信連接的命令；所述彈性IP是指一個(gè)IP地址池中的IP，IP地址池是一組不用的共有IP地址，用戶能在虛擬機(jī)啟動(dòng)或運(yùn)行時(shí)動(dòng)態(tài)地請求這個(gè)集合中的一個(gè)IP，在虛擬機(jī)暫?；蜿P(guān)閉時(shí)把請求的IP釋放到這個(gè)集合中；所述安全路由是一種IP數(shù)據(jù)包的轉(zhuǎn)發(fā)規(guī)則，所有通過系統(tǒng)的入口數(shù)據(jù)包都要符合這些規(guī)則才會(huì)被轉(zhuǎn)發(fā)，否則被丟棄；所述通信策略處理是一種根據(jù)虛擬機(jī)之間所處位置的具體情況決定采用何種通信方式的決策機(jī)制，是虛擬機(jī)通信的全面考慮，確保處在任何位置的虛擬機(jī)之間的連通性；所述地址轉(zhuǎn)換是公有IP地址與虛擬網(wǎng)絡(luò)中使用的私有IP地址之間的轉(zhuǎn)換；所述虛擬網(wǎng)絡(luò)接口是虛擬機(jī)連接到物理網(wǎng)絡(luò)的接口，其通過橋接的方式連接到物理網(wǎng)卡。所述的安全路由結(jié)構(gòu)包括協(xié)議、源端口、目標(biāo)端口、用戶/組和源CIDR，其中，協(xié)議，用于表示具體的通信協(xié)議，安全路由只轉(zhuǎn)發(fā)此種協(xié)議的數(shù)據(jù)，包括TCP、UDP以及ICMP；源端口表示一個(gè)端口范圍的左邊界，目標(biāo)端口表示一個(gè)端口范圍的右邊界，安全路由只允許訪問此端口范圍(包括左邊界和右邊界)的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄；用戶/組與源CIDR二選其一，用戶/組表示安全路由只允許擁有此用戶/組標(biāo)識(shí)的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄；源CIDR與用戶/組二選其一，源CIDR表示安全路由只允許此CIDR表示的IP地址范圍內(nèi)的主機(jī)發(fā)送的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄。本發(fā)明解決上述技術(shù)問題之二的技術(shù)方案是包括如下步驟A、用戶被允許在運(yùn)行時(shí)把虛擬機(jī)實(shí)例附加到一個(gè)屬于用戶的虛擬網(wǎng)絡(luò)中；每個(gè)這樣的網(wǎng)絡(luò)都被賦予一個(gè)唯一的VLAN標(biāo)簽和一個(gè)唯一的IP子網(wǎng)；用這種方法，每個(gè)虛擬網(wǎng)絡(luò)中的虛擬機(jī)集合與其他使用相同機(jī)制創(chuàng)建的虛擬網(wǎng)絡(luò)隔離開了，而且使用更細(xì)的子網(wǎng)劃分；B、在虛擬機(jī)網(wǎng)絡(luò)之間有一個(gè)安全路由器的角色，默認(rèn)的策略是阻斷所有虛擬機(jī)網(wǎng)絡(luò)之間的通信；如果用戶愿意的話，他/她們可以在其虛擬網(wǎng)絡(luò)上創(chuàng)建入口規(guī)則，允許比如ICMP的ping進(jìn)/出公網(wǎng)；C、所有虛擬機(jī)的IP都在一個(gè)私有IP地址池中獲得；指定一組不用的公共IP地址，然后讓用戶在虛擬機(jī)啟動(dòng)或運(yùn)行時(shí)動(dòng)態(tài)地請求這個(gè)集合中的一個(gè)IP；最后，使用Linuxiptables網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)的特性定義動(dòng)態(tài)的目的NAT(DNAT)和源NAT(SNAT)的從公有IP到私有IP地址的轉(zhuǎn)換。本發(fā)明可達(dá)到的有益效果如下1、本發(fā)明限制了虛擬機(jī)與虛擬機(jī)、虛擬機(jī)與外網(wǎng)之間的通信，避免了虛擬機(jī)之間的相互干擾；2、本發(fā)明在限制通信的同時(shí)提供了可配置的靈活性，通過配置，需要進(jìn)行通信的虛擬機(jī)可以互連；3、本發(fā)明全面了考慮了當(dāng)前云計(jì)算領(lǐng)域虛擬機(jī)分布的特點(diǎn)，智能地選擇虛擬機(jī)之間的通信方式；4、本發(fā)明的實(shí)現(xiàn)對(duì)于Linux系統(tǒng)無入侵性，充分利用其原有的軟件包而不對(duì)操作系統(tǒng)本身做改動(dòng)，實(shí)施相對(duì)容易。下面結(jié)合附圖對(duì)本發(fā)明進(jìn)一步說明圖1為本發(fā)明基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)的結(jié)構(gòu)框圖；圖2為本發(fā)明安全路由示意圖；圖3為本發(fā)明虛擬機(jī)間通信示意圖。具體實(shí)施例方式如圖1所示，本發(fā)明基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)包括虛擬機(jī)安全通信輸入/輸出處理單元10、彈性IP查詢和修改單元11、安全路由查詢和修改單元12、通信策略處理單元13、地址轉(zhuǎn)換處理單元14和虛擬網(wǎng)絡(luò)接口處理單元15。虛擬機(jī)安全通信輸入/輸出處理單元10，用于接收虛擬機(jī)安全通信相關(guān)的命令、判斷命令的類型并把命令輸出到相應(yīng)的功能單元，最后把返回的結(jié)果進(jìn)行顯示。彈性IP查詢和修改單元11，用于查詢用戶的彈性IP資源和對(duì)彈性IP的屬性進(jìn)行操作，包括分配新的彈性IP、釋放所分配的彈性IP、綁定彈性IP到虛擬機(jī)和解除彈性IP與虛擬機(jī)的綁定。安全路由查詢和修改單元12，用于查詢用戶設(shè)置的安全路由規(guī)則和對(duì)路由規(guī)則進(jìn)行操作，包括創(chuàng)建新的安全路由規(guī)則、刪除已有的安全路由規(guī)則和修改已有的安全路由規(guī)則。通信策略處理單元13，用于判斷要與虛擬機(jī)通信的類型，針對(duì)不同的類型采用不同的通信策略、使用不同的通道。地址轉(zhuǎn)換處理單元14，用于把外部入口的數(shù)據(jù)包中的公共IP地址轉(zhuǎn)換成虛擬機(jī)內(nèi)部使用的私有IP地址。虛擬機(jī)網(wǎng)絡(luò)接口處理單元15，用于在虛擬機(jī)通信的網(wǎng)絡(luò)接口上設(shè)置和執(zhí)行用戶設(shè)置的安全規(guī)則，是實(shí)現(xiàn)基于云計(jì)算的虛擬機(jī)間安全通信的實(shí)際軟件單位。對(duì)于彈性IP，本系統(tǒng)各模塊之間以及系統(tǒng)和外界之間的信息交互是通過IP地址來進(jìn)行的。本系統(tǒng)IP地址包括三大類公有IP地址、私有IP地址以及彈性IP地址。虛擬機(jī)一旦被創(chuàng)建就會(huì)自動(dòng)地分配兩個(gè)IP地址，也就是公有IP地址和私有IP地址。公有IP地址和私有IP地址之間通過網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)技術(shù)來實(shí)現(xiàn)相互之間的轉(zhuǎn)換。公有IP地址和特定的實(shí)例相對(duì)應(yīng)，在某個(gè)虛擬機(jī)關(guān)閉或者被彈性IP地址替代之前，公有IP地址會(huì)一直存在，虛擬機(jī)通過這個(gè)公有IP地址和外界進(jìn)行通信。私有IP地址也和某個(gè)特定的虛擬機(jī)相對(duì)應(yīng)，它由動(dòng)態(tài)主機(jī)配置協(xié)議(DHCP)分配產(chǎn)生。公有IP地址和彈性IP地址都在一個(gè)由管理員分配的公有IP地址池里獲取，彈性IP可以被用戶分配占用，然后把其與某個(gè)正在運(yùn)行的虛擬機(jī)關(guān)聯(lián)，相反，彈性IP也可以被用戶取消與某個(gè)正在運(yùn)行的虛擬機(jī)的關(guān)聯(lián)以及釋放不再使用。本系統(tǒng)使用Linuxiptables網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)的特性進(jìn)行公有IP到私有IP或彈性IP到私有IP之間的轉(zhuǎn)換。如圖2所示，通過設(shè)置安全路由規(guī)則限制了虛擬網(wǎng)絡(luò)A與虛擬網(wǎng)絡(luò)B之間的通信。本系統(tǒng)使用Linuxiptables包過濾系統(tǒng)執(zhí)行安全路由入口規(guī)則。對(duì)于通信方式，指的是虛擬機(jī)之間通信，虛擬機(jī)以集群的方式組織，在同一個(gè)集群下，虛擬機(jī)又被劃分為不同的虛擬子網(wǎng)，因此，虛擬機(jī)之間有三種位置關(guān)系關(guān)系一兩臺(tái)虛擬機(jī)在同一集群的同一個(gè)虛擬子網(wǎng)下關(guān)系二兩臺(tái)虛擬機(jī)在同一集群的不同虛擬子網(wǎng)下關(guān)系三兩臺(tái)虛擬機(jī)在不同的集群下兩臺(tái)虛擬機(jī)在同一集群的同一個(gè)虛擬子網(wǎng)下時(shí)，通過如圖3所示的虛擬網(wǎng)絡(luò)接口直接互連；兩臺(tái)虛擬機(jī)在同一個(gè)集群的不同虛擬子網(wǎng)下時(shí)，通過如圖3所示的虛擬網(wǎng)絡(luò)接口連接到物理網(wǎng)絡(luò)然后間接互連；兩臺(tái)虛擬機(jī)在不同的集群下是，通過如圖3所示的物理網(wǎng)絡(luò)接口連接到物理網(wǎng)絡(luò)然后間接互連。權(quán)利要求1.基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)，其特征在于包括虛擬機(jī)安全通信輸入/輸出處理單元(10)、彈性IP查詢和修改單元(11)、安全路由查詢和修改單元(12)、通信策略處理單元(13)、地址轉(zhuǎn)換處理單元(14)和虛擬機(jī)網(wǎng)絡(luò)接口處理單元(15)；虛擬機(jī)安全通信輸入/輸出處理單元(10)，用于接收虛擬機(jī)安全通信相關(guān)的命令、判斷命令的類型并把命令輸出到相應(yīng)的功能單元，最后把返回的結(jié)果進(jìn)行顯示；彈性IP查詢和修改單元(11)，用于查詢用戶的彈性IP資源和對(duì)彈性IP的屬性進(jìn)行操作，包括分配新的彈性IP、釋放所分配的彈性IP、綁定彈性IP到虛擬機(jī)和解除彈性IP與虛擬機(jī)的綁定；安全路由查詢和修改單元(12)，用于查詢用戶設(shè)置的安全路由規(guī)則和對(duì)路由規(guī)則進(jìn)行操作，包括創(chuàng)建新的安全路由規(guī)則、刪除已有的安全路由規(guī)則和修改已有的安全路由規(guī)則；通信策略處理單元(13)，用于判斷要與虛擬機(jī)通信的類型，針對(duì)不同的類型采用不同的通信策略、使用不同的通道；地址轉(zhuǎn)換處理單元(14)，用于把外部入口的數(shù)據(jù)包中的公共IP地址轉(zhuǎn)換成虛擬機(jī)內(nèi)部使用的私有IP地址；虛擬機(jī)網(wǎng)絡(luò)接口處理單元(15)，用于在虛擬機(jī)通信的網(wǎng)絡(luò)接口上設(shè)置和執(zhí)行用戶設(shè)置的安全規(guī)則。2.根據(jù)權(quán)利要求1所述的基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)，其特征在于所述虛擬機(jī)安全通信相關(guān)的命令包括彈性IP的查詢和修改命令、安全路由的查詢和修改命令以及通信連接的命令；所述彈性IP是指一個(gè)IP地址池中的IP，IP地址池是一組不用的共有IP地址，用戶能在虛擬機(jī)啟動(dòng)或運(yùn)行時(shí)動(dòng)態(tài)地請求這個(gè)集合中的一個(gè)IP，在虛擬機(jī)暫?；蜿P(guān)閉時(shí)把請求的IP釋放到這個(gè)集合中；所述安全路由是一種IP數(shù)據(jù)包的轉(zhuǎn)發(fā)規(guī)則，所有通過系統(tǒng)的入口數(shù)據(jù)包都要符合這些規(guī)則才會(huì)被轉(zhuǎn)發(fā)，否則被丟棄；所述通信策略處理是一種根據(jù)虛擬機(jī)之間所處位置的具體情況決定采用何種通信方式的決策機(jī)制，是虛擬機(jī)通信的全面考慮，確保處在任何位置的虛擬機(jī)之間的連通性；所述地址轉(zhuǎn)換是公有IP地址與虛擬網(wǎng)絡(luò)中使用的私有IP地址之間的轉(zhuǎn)換；所述虛擬網(wǎng)絡(luò)接口是虛擬機(jī)連接到物理網(wǎng)絡(luò)的接口，其通過橋接的方式連接到物理網(wǎng)卡。3.根據(jù)權(quán)利要求2所述的基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)，其特征在于所述的安全路由結(jié)構(gòu)包括協(xié)議、源端口、目標(biāo)端口、用戶/組和源CIDR，其中，協(xié)議，用于表示具體的通信協(xié)議，安全路由只轉(zhuǎn)發(fā)此種協(xié)議的數(shù)據(jù)，包括TCP、UDP以及ICMP；源端口表示一個(gè)端口范圍的左邊界，目標(biāo)端口表示一個(gè)端口范圍的右邊界，安全路由只允許訪問此端口范圍(包括左邊界和右邊界)的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄；用戶/組與源CIDR二選其一，用戶/組表示安全路由只允許擁有此用戶/組標(biāo)識(shí)的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄；源CIDR與用戶/組二選其一，源CIDR表示安全路由只允許此CIDR表示的IP地址范圍內(nèi)的主機(jī)發(fā)送的數(shù)據(jù)進(jìn)入系統(tǒng)，否則數(shù)據(jù)將會(huì)被丟棄。4.權(quán)利要求1所述的虛擬機(jī)間安全通信保護(hù)系統(tǒng)的通信方法，其特征在于包括如下步驟A、用戶被允許在運(yùn)行時(shí)把虛擬機(jī)實(shí)例附加到一個(gè)屬于用戶的虛擬網(wǎng)絡(luò)中；每個(gè)這樣的網(wǎng)絡(luò)都被賦予一個(gè)唯一的VLAN標(biāo)簽和一個(gè)唯一的IP子網(wǎng)；用這種方法，每個(gè)虛擬網(wǎng)絡(luò)中的虛擬機(jī)集合與其他使用相同機(jī)制創(chuàng)建的虛擬網(wǎng)絡(luò)隔離開了，而且使用更細(xì)的子網(wǎng)劃分；B、在虛擬機(jī)網(wǎng)絡(luò)之間有一個(gè)安全路由器的角色，默認(rèn)的策略是阻斷所有虛擬機(jī)網(wǎng)絡(luò)之間的通信；如果用戶愿意的話，他/她們可以在其虛擬網(wǎng)絡(luò)上創(chuàng)建入口規(guī)則，允許比如ICMP的Ping進(jìn)/出公網(wǎng)；C、所有虛擬機(jī)的IP都在一個(gè)私有IP地址池中獲得；指定一組不用的公共IP地址，然后讓用戶在虛擬機(jī)啟動(dòng)或運(yùn)行時(shí)動(dòng)態(tài)地請求這個(gè)集合中的一個(gè)IP；最后，使用Linuxiptables網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)的特性定義動(dòng)態(tài)的目的NAT(DNAT)和源NAT(SNAT)的從公有IP到私有IP地址的轉(zhuǎn)換。全文摘要本發(fā)明涉及云計(jì)算
技術(shù)領(lǐng)域：
，特指一種基于云計(jì)算的虛擬機(jī)間安全通信保護(hù)系統(tǒng)及其方法。包括虛擬機(jī)安全通信輸入/輸出處理單元、彈性IP查詢和修改單元、安全路由查詢和修改單元、通信策略處理單元、地址轉(zhuǎn)換處理單元和虛擬網(wǎng)絡(luò)接口處理單元。本發(fā)明為云計(jì)算領(lǐng)域虛擬機(jī)之間的通信提供了一種安全、簡單、高性能的系統(tǒng)和方法；可應(yīng)用于虛擬機(jī)之間的通信。文檔編號(hào)H04L29/12GK102307246SQ20101029214公開日2012年1月4日申請日期2010年9月25日優(yōu)先權(quán)日2010年9月25日發(fā)明者季統(tǒng)凱,岳強(qiáng),楊松,肖翱,莫展鵬申請人:廣東電子工業(yè)研究院有限公司