专利名称：一种云计算虚拟网络与物理网络隔离安全方法
技术领域：
本发明涉及云计算技术的网络技术安全领域，特别是涉及一种云计算虚拟网络与物理网络隔离安全方法。
背景技术：
云计算以服务的方式通过网络提供IT资源，具有按需付费、降低成本、随时随地、 节能降耗等优势，是大型计算机、PC机、互联网之后又一次的产业革命。云计算将推动传统设备提供商进入服务领域，推动软件企业向服务化转型，重新整合产业链，催生跨行业融合的新兴服务业态，对产业升级与结构调整产生积极而深远的影响。云计算是一种新的资源管理方式，在该模式下，通过网络把多个成本相对较低的计算实体整合成一个具有强大计算能力的系统(“云”端)，并借助SaaS、PaaS, IaaS等先进的商业模式把这强大的计算能力分布到众多终端用户手中。云计算具有虚拟化、高可靠性、高可扩展性、高性价比等特点，具有按需付费、降低成本、随时随地、节能降耗等四大优势。作为一种新兴技术和商业模式，云计算将加速信息产业和信息基础设施的服务化进程，催生大量新型互联网信息服务，带动信息产业格局的整体变革。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了 VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。如图1所示，当前云计算平台的物理网络与虚拟机网络是互通的，对云计算网络的安全产生重大安全隐患，制约了云计算的技术的成熟。物理网络与虚拟网络没有实现隔离，两个网络之间会进行互相通信，造成很大的安全隐患·,当黑客入侵虚拟网络中的任意一台机器时，可以渗透物理网络机器入侵到用户内部网络，从而造成很大的安全危险。
发明内容
本发明要解决的技术问题是为了克服现有技术中的上述缺点和不足，提供一种云计算虚拟网络与物理网络隔离安全方法。本发明通过以下技术方案予以实现的
一种云计算虚拟网络与物理网络隔离安全方法，所述方法包括
1)将物理交换机的物理网卡所连接的接口设置成trunk模式；
2)节点服务器通过虚拟网桥和虚拟交换机，分别将包含的一个或多个虚拟机划分在多个不同的vlan，对从节点服务器物理网卡发出的数据帧进行vlan tagged和untagged操作，对于接收到的数据帧根据相应的tag header的vlan id信息来识别数据帧，实现二层网络的隔离；
3)在与节点服务器连接的交换机上建立相应的vlan，根据数据帧相应的tagheader Wvlan id信息来识别数据帧，对于从物理网卡发出的数据帧进行vlan tagged和 untagged 操作；
4)在集群服务器上安装防火墙，实现三层网络的访问控制；
5)结合IDS软件，在架构中留有外部调用接口，根据实际的选择的IDS所提供的调用接口做进一步的连接和通信，实现动态的安全控制。所述集群服务器采用双物理网卡，用于作为不同节点服务器上的vlan之间的通讯网关，DHCP服务器设置在集群服务器中。根据由vlan包提供的Linux vlan功能，通过vconfig命令对数据帧进行vlan tagged 禾口 untagged Mf^0动态安全控制的响应，通过动态调整所有vlan配置和防火墙的配置来实现。在节点服务器所在的交换机之间建立直接的链路，并配置成ACCESS模式，用于 vlan数据通过。所述动态安全控制还包括以下步骤 所述动态安全控制还包括以下步骤
A.在使用基于节点服务器虚拟交换机的VLAN划分情况下，使用虚拟交换机本身支持的QOS功能，进行带宽的分配；
B.在使用基于物理交换机VLAN划分情况下，结合LINUX内核本身提供的QOS功能，对不同VLAN的流量进行限制；
C.结合相应的IDS检查工具，平台提供动态响应的接口，当IDS检测到某个虚拟机发送恶意流量时，动态对该虚拟机进行隔离或者关闭。本发明与现有技术相比，具有以下优点
通过进行VLAN隔离，并使用集群控制器作为VLAN间通信的三层设备，可以使得不同 VLAN间的通信得到控制，也可以使得内网其他机器对云内部网络的访问得到控制。同时，不论是虚拟机之间，或者虚拟机与物理机之间都能使用VLAN进行网络隔离，从而使物理机与虚拟机划分到不同的VLAN中，即可实现物理网络与虚拟网络的隔离。通过上述方式，实现了可编程的VLAN划分和网络隔离手段，因此云计算平台便有了很大的扩展性。可以结合IDS软件，留有相应的调用接口，实现对整个云平台内部网络安全的动态响应。例如，当IDS软件检测到某台VM或者某组VM再进行恶意嗅探或者网络攻击时，平台可以直接将其隔离到某个新的VLAN中，同时进一步将其关机或者销毁，在带来更大破坏性之前，将其终止。
图1为传统的物理网络与虚拟网络模式；
图2为本发明一种云计算虚拟网络与物理网络隔离安全方法的流程图。
具体实施方式
下面结合附图对本发明做进一步的说明。如图2所示，本发明公开了一种云计算虚拟网络与物理网络隔离安全方法， 所述方法包括
1)将物理交换机的物理网卡所连接的接口设置成trunk模式；
2)节点服务器通过虚拟网桥和虚拟交换机，分别将包含的一个或多个虚拟机划分在多个不同的vlan，对从节点服务器物理网卡发出的数据帧进行vlan tagged和untagged操作，对于接收到的数据帧根据相应的tag header的vlan id信息来识别数据帧，实现二层网络的隔离；
二层的网络隔离可以通过LINUX系统本身提供的VLAN功能，对数据帧进行VLAN tagged和untagged操作，从而实现从主机物理网卡出去的数据帧，被打上不同的VLAN tag,满足802. Iq标准，进而达到划分VLAN的效果。在使用LINUX VLAN功能后。逻辑上可以认为该LINUX主机的物理网卡是一台拥有VLAN功能的交换机，因此，需要外部物理交换机做出一定的配置，即将物理网卡所连的接口设置成trunk模式，同时并在交换机内部建立相应的VLAN。3)在与节点服务器连接的交换机上建立相应的vlan，根据数据帧相应的tag header的vlan id信息来识别数据帧，对于从物理网卡发出的数据帧进行vlan tagged和 untagged 操作；
4)在集群服务器上安装防火墙，实现三层网络的访问控制；
三层的访问控制，可以通过LINUX防火墙来实现。在架构和部署时，因为虚拟机之间使用了 VLAN进行逻辑网络隔离，此时，需要一个路由器或者具备三层路由功能的主机来实现 VLAN间通信和内网路由。因此，在架构部署设计时，将CC作为附属在该集群下的所有NC的路由。因此可以在CC上部署LINUX防火墙进行访问控制。5)结合IDS软件，在架构中留有外部调用接口，根据实际的选择的IDS所提供的调用接口做进一步的连接和通信，实现动态的安全控制。所述集群服务器采用双物理网卡，用于作为不同节点服务器上的vlan之间的通讯网关，DHCP服务器设置在集群服务器中。动态安全控制的响应，通过动态调整所有vlan配置和防火墙的配置来实现。如图3所示，存储服务器连接到节点服务器所在的网络上，减轻集群服务器的负担，在节点服务器所在的交换机之间建立直接的链路，并配置成ACCESS模式，只用于vlan 数据通过，用于减轻集群控制器的传输负载，其中集群服务器装上双网卡后可以利用Iinux 防火墙及其路由功能，实现访问控制。DHCP服务器可以部署在集群服务器上。所述动态安全控制还包括以下步骤
A.在使用基于节点服务器虚拟交换机的VLAN划分情况下，使用虚拟交换机本身支持的QOS功能，进行带宽的分配；
B.在使用基于物理交换机VLAN划分情况下，结合LINUX内核本身提供的QOS功能，对不同VLAN的流量进行限制；
C.结合相应的IDS检查工具，平台提供动态响应的接口，当IDS检测到某个虚拟机发送恶意流量时，动态对该虚拟机进行隔离或者关闭。
权利要求
1.一种云计算虚拟网络与物理网络隔离安全方法，其特征在于，所述方法包括1)物理交换机的物理网卡所连接的接口设置成trunk模式；2)节点服务器通过虚拟网桥和虚拟交换机，对从节点服务器物理网卡发出的数据帧进行vlan tagged和untagged操作，将一个或多个虚拟机划分在多个不同的vlan，，实现二层网络的隔离；3)在与节点服务器连接的物理交换机上建立相应的vlan，根据数据帧相应的tag header的vlan id信息来识别数据帧，对于从物理网卡发出的数据帧进行vlan tagged和 untagged 操作；4 )集群服务器上设置防火墙，实现三层网络的访问控制；5)结合IDS软件，在架构中留有外部调用接口，根据实际的选择的IDS所提供的调用接口做进一步的连接和通信，实现动态的安全控制。
2.根据权利要求1所述的云计算虚拟网络与物理网络隔离安全方法，其特征在于，所述集群服务器采用双物理网卡，用于作为不同节点服务器上的vlan之间的通讯网关，DHCP 服务器设置在集群服务器中。
3.根据权利要求1所述的云计算虚拟网络与物理网络隔离安全方法，其特征在于，根据由vlan包提供的Linux vlan功能，通过vconf ig命令对数据帧进行vlan tagged和 untagged 操作。
4.根据权利要求1所述的云计算虚拟网络与物理网络隔离安全方法，其特征在于，动态安全控制的响应，通过动态调整所有vlan配置和防火墙的配置来实现。
5.根据权利要求1所述的云计算虚拟网络与物理网络隔离安全方法，其特征在于，在节点服务器所在的交换机之间建立直接的链路，并配置成ACCESS模式，用于vlan数据通过。
6.根据权利要求1所示的云计算虚拟网络与物理网络隔离安全方法，其特征在于，所述动态安全控制还包括以下步骤A.在使用基于节点服务器虚拟交换机的VLAN划分情况下，使用虚拟交换机本身支持的QOS功能，进行带宽的分配；B.在使用基于物理交换机VLAN划分情况下，结合LINUX内核本身提供的QOS功能，对不同VLAN的流量进行限制；C.结合相应的IDS检查工具，平台提供动态响应的接口，当IDS检测到某个虚拟机发送恶意流量时，动态对该虚拟机进行隔离或者关闭。
全文摘要
本发明提供一种云计算虚拟网络与物理网络隔离安全方法，通过对数据帧进行VLAN tagged和untagged操作，实现在二层网络的隔离，并通过防火墙实现在三层的访问控制，加上IDS软件，实现动态的安全控制，达到可以使得不同VLAN间的通信得到控制，也可以使得内网其他机器对云内部网络的访问得到控制。同时，不论是虚拟机之间，或者虚拟机与物理机之间都能使用VLAN进行网络隔离，从而使物理机与虚拟机划分到不同的VLAN中，即可实现物理网络与虚拟网络的隔离。
文档编号H04L29/08GK102255903SQ201110189009
公开日2011年11月23日 申请日期2011年7月7日 优先权日2011年7月7日
发明者何文聪, 纪求华 申请人:广州杰赛科技股份有限公司