CN102244622B - 用于服务器虚拟化的虚拟网关防护方法、安全网关及*** - Google Patents

Abstract

本发明提供了一种用于服务器虚拟化的虚拟网络防护方法、安全网关及***，该方法包括：在所述服务器虚拟化平台上建立虚拟安全网关并将所述虚拟安全网关接入待保护的虚拟子网络；所述虚拟安全网关隔离并监测所述虚拟子网络间的通信流量，当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应。本发明公开的方法通过在服务器虚拟化平台建立的虚拟安全网关，来隔离和监控各个虚拟机间的网络流量，当被保护虚拟机遇到安全威胁时，所述虚拟安全网关能够及时做出响应，避免了整个虚拟网络内的虚拟机受到影响。

Description

用于服务器虚拟化的虚拟网关防护方法、安全网关及***

技术领域

本发明涉及计算机领域，尤其涉及一种用于服务器虚拟化的虚拟网关防护方法、安全网关及***。

背景技术

服务器虚拟化是指通过虚拟化层的实现使得在单一物理服务器上可以运行多个虚拟服务器。服务器虚拟化带来的做大变化就是网络构架的改变，在传统的模式下，每个物理机或服务器上都由一套独立的安全防护方法保护，而在***又部署了防火墙等安全防护产品，即使服务器受到攻击，危害也仅局限在一个隔离区，影响范围不会太大。

但是，由于虚拟化数据中心中采用了新的网络构架，几十个操作***或应用程序均以虚拟机的形式同时部署在物理服务器上，这些虚拟机间同时共享该服务器的硬件资源，虚拟机间的网络流量不被***安全防护设备感知，因此无法利用现有的安全防护方法进行保护，当一台虚拟机发生问题时，安全问题就会通过网络蔓延至其他的虚拟机。

发明内容

有鉴于此，本发明提供了一种用于服务器虚拟化的虚拟网关防护方法、安全网关及***，目的在于解决服务器虚拟化时各虚拟机间缺乏安全防护的问题。

为实现上述目的，本发明提供了如下方案：

一种用于服务器虚拟化的虚拟网关防护方法，包括：

在所述服务器虚拟化平台上建立虚拟安全网关并将所述虚拟安全网关接入待保护的虚拟子网络；

所述虚拟安全网关隔离并监测所述虚拟子网络间的通信流量，当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应。

优选地，所述建立虚拟安全网关并将所述虚拟安全网关接入待保护的虚拟子网络的具体过程为：

将虚拟安全网关导入所述服务器虚拟化平台中；

在所述虚拟安全网关上添加并启用虚拟网卡，并通过所述虚拟网卡将所述虚拟安全网关接入待保护的虚拟子网络；

在所述虚拟安全网关上配置安全策略。

优选地，所述在所述虚拟安全网关上添加并启用虚拟网卡，并通过所述虚拟网卡将所述虚拟安全网关接入待保护的虚拟子网络的具体过程为：

在所述虚拟安全网关上添加并启用与待保护的虚拟子网络内的虚拟交换机数量相等的虚拟网卡；

建立所述虚拟交换机和所述虚拟网卡间的一一对应关系，以将所述虚拟安全网关接入所述待保护的虚拟子网络。

优选地，所述安全策略包括：

所述虚拟子网络访问广域网的规则、广域网访问所述虚拟子网络的规则和所述虚拟子网络间互访的规则中的一种或任意几种的组合。

优选地，所述虚拟安全网关隔离并监测所述待保护的虚拟子网络间的通信流量的具体过程为：

所述虚拟安全网关接收并隔离所述待保护的虚拟子网络发送或接收的通信流量；

依据预设的安全策略分析处理所述通信流量。

优选地，所述异常响应包括：

报警和/或丢弃；

所述正常响应包括：

通过和/或转发。

一种用于服务器虚拟化的虚拟安全网关，包括：

隔离监测模块，用于隔离并监测待保护的虚拟子网络间的通信流量；

响应模块，用于当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应。

优选地，所述隔离监测模块还包括：

接收单元，用于接收并隔离待保护的虚拟子网络发送或接收的通信流量；

分析单元，用于依据预设的安全策略分析处理所述通信流量。

一种用于服务器虚拟化的安全防护***，包括：

虚拟安全网关，用于隔离并监测待保护的虚拟子网间的通信流量，当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应；

虚拟交换机，用于将所述虚拟安全网卡接入待保护的虚拟子网络。优选地，根据所述的虚拟安全网关或安全防护***，所述虚拟安全网关还包括：

虚拟网卡，用于建立与虚拟交换机间的一一对应关系，以将所述虚拟安全网关接入待保护的虚拟子网络。

本发明公开的实施例具有以下有益效果：通过在服务器虚拟化平台建立的虚拟安全网关，监测各个虚拟机间的网络流量，当有虚拟机有安全问题时，所述虚拟安全网关能够及时做出响应，避免了整个网络的虚拟机都受到影响。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例公开的一种用于服务器虚拟化的虚拟网关防护方法流程图；

图2为本发明实施例公开的在服务器虚拟化平台上建立虚拟安全网关的流程图；

图3为本发明实施例公开的建立虚拟安全网关后的服务器虚拟化应用场景示意图；

图4为本发明实施例公开的虚拟安全网关隔离并监测待保护的虚拟子网络间交换的数据的流程图；

图5为本发明实施例公开的一种用于服务器虚拟化的虚拟安全网关结构示意图；

图6为本发明实施例公开的一种用于服务器虚拟化的安全防护***结构示意图。

具体实施方式

本发明总的涉及部署在物理服务器上的网络安全防护方法。具体而言，本发明涉及在虚拟化的服务器上部署虚拟安全网关，为服务器上不同的虚拟子网络或虚拟应用提供安全防护，保护内网资源不被非法访问，阻止未经运行和授权的信息输出。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明公开的一种用于服务器虚拟化的虚拟网关安全防护方法，流程如图1所示，包括：

步骤S101：在所述服务器虚拟化平台上建立虚拟安全网关，并将此虚拟安全网关接入待保护的虚拟子网络。

本实施例中的服务器虚拟化平台是指虚拟机监控器(Virtual MachineMonitor，简称VMM)，其从本质而言是一个操作***，对底层硬件设备进行了虚拟化，提供了一个屏蔽硬件差异的资源管理、分配及监控平台。运行在虚拟化平台VMM上的虚拟机，即Guest OS，可以是Linux***、Window***或者其它应用程序。

本发明适用的服务器虚拟化平台包括但并不限于VMware vSphere平台、Citrix XenServer平台、基于内核的虚拟机(Kernel based Virtual Machine，简称：KVM)平台。

上述的虚拟安全网关可以看作是能提供分组过滤和访问控制等安全防护功能的安全虚拟机，它是物理安全网关的虚拟化实现，可以是防火墙、入侵防御***(Intrusion Prevention System，简称：IPS)、统一威胁管理***(Unified Threat Management，简称UTM)及防病毒虚拟网关。本实施例中，虚拟安全网关开发为支持开放虚拟机格式(OVF)标准接口的虚拟器件，OVF是用于封装和分发在虚拟平台上运行的虚拟器件的开放标准，采用该标准开发的虚拟安全网关不再需要绑定到任何特定的管理程序或处理器架构，经过简单的转换即可支持不同的虚拟化平台。

上述的待保护网络为处于同一个VMM上的由不同的虚拟机构成的网络，这些网络可能只包括一个虚拟机，也可能包括多个虚拟机。

步骤S102：所述虚拟安全网关隔离并监测待保护的虚拟子网间的通信流量，当所述通信流量不符合预设的安全策略时，所述虚拟安全网关做出异常响应；当所述通信流量符合预设的安全策略时，做出正常响应。

本实施例中所述的通信流量是指所述虚拟子网络间传输的通信数据或是一个虚拟子网络向其它虚拟子网络发起的特定动作，例如发起访问等。

所述安全策略指为处于VMM上的虚拟子网络配置的防止其遭到攻击、用于安全防护的安全规则，例如，过滤规则、NAT规则、端口映射规则、IP映射规则、代理规则、病毒过滤规则、数据传输规则、网络访问规则等。本实施例中主要用到的是虚拟子网络访问广域网的规则、广域网访问虚拟子网络的规则、虚拟子网络间互访的规则，可以是这些规则中的任意一种，或者任意几种的组合，但并不限于这些规则，还可以为：包过滤规则、NAT规则、端口映射规则、IP映射规则、代理规则、病毒过滤规则等，这些安全规则可以依据具体的安全防护需求进行调整。

所述异常响应包括报警和拦截，当通信流量不符合预设的安全策略时，虚拟安全网关做出报警或拦截响应，也可同时做出两种响应；所述正常响应包括通过和转发，当通信流量符合预设的安全策略时，虚拟安全网关做出通过或转发响应，也可以同时做出两种响应。

本实施例公开的用于服务器虚拟化的安全防护方法，使用在VMM上建立虚拟安全网关的方式，使VMM上网络间交换的数据能够被虚拟安全网关隔离并检测，起到了对服务器虚拟化平台安全防护的作用。

进一步地，在所述服务器虚拟化平台上建立虚拟安全网关，并将此虚拟安全网关接入待保护的虚拟子网络的具体过程如图2所示，包括：

步骤S201：将虚拟安全网关导入所述服务器虚拟化平台中。

虚拟机导入到虚拟化平台的过程是通过虚拟机集中管理软件提供的虚拟机导入功能实现的，该虚拟机集中管理软件由虚拟化平台软件厂商提供，可以安装在物理机器或虚拟机中。

步骤S202：在所述虚拟安全网关上添加并启用虚拟网卡，并通过所述虚拟网卡将所述虚拟安全网关接入待保护的虚拟子网络。

添加虚拟网卡的过程也是通过虚拟机集中管理软件实现的，对虚拟安全网关使用网络设备添加功能添加并启用待保护的虚拟子网络内的虚拟交换机数量相等的虚拟网卡，然后建立所述虚拟交换机和所述虚拟网卡间的一一对应关系，以将所述虚拟安全网关接入所述待保护的虚拟子网络。所述的虚拟交换机是指VMM上用于本网络与其他网络进行数据交换的虚拟设备。

此外，虚拟安全网关也可以实现动态添加和删除虚拟网卡，以适应服务器虚拟环境下，网络拓扑的变化和安全需求的变化。

步骤S203：在所述虚拟安全网关上配置安全策略。

这里的安全策略与上述的安全策略相同，安全策略配置可以选择从Web界面方式远程访问虚拟安全网关，在相应的功能模块界面添加策略配置规则，或者通过命令行的方式登录到虚拟安全网关，配置相应的规则。

建立虚拟安全网关后的服务器虚拟化应用场景如图3所示，在底层硬件设备301上运行进行虚拟机监控程序VMM 302，此服务器监控程序中包括虚拟机305、310和312，虚拟机310和312属于同一个网络，并通过各自的虚拟网卡311和313与本网络内的虚拟交换机304相连，虚拟机305属于另外一个网络，并通过虚拟网卡306与本网络内的虚拟交换机303相连，两个网络通过各自的虚拟交换机303和304发送和接收数据，同时虚拟交换机303和304还与虚拟安全网关307上的虚拟网卡308和309相连，将虚拟安全网关307接入两个待保护网络中。

以上建立虚拟安全网关的步骤具有可操作性强、适应性强的特点，通过以上步骤建立的虚拟安全网关相当于建立在VMM上的安全虚拟机，是VMM安全防护的基础和关键性设备，为虚拟服务器上的内网提供细粒度的保护。

进一步地，虚拟安全网关隔离并监测待保护的虚拟子网间的通信流量的具体过程如图4所示，包括：

步骤S401：所述虚拟安全网关接收并隔离所述待保护的虚拟子网络发送或接收的通信流量。

VMM中的虚拟子网络通过各自的虚拟交换机向其它虚拟子网络发送通信流量，并接收其它虚拟子网络发出的通信流量，虚拟安全网关通过虚拟交换机和虚拟网卡间的一一对应关系，接收这些虚拟子网络内的虚拟交换机发送或接收的通信流量，然后将所述通信流量暂时隔离在虚拟安全网关中。

步骤S402：依据预设的安全策略分析处理所述通信流量。

虚拟安全网关将接收到的通信流量与预设的安全策略进行比较分析，当符合安全策略时，依据虚拟交换机和虚拟网卡间的对应关系将通信流量发送给目的虚拟子网络内的虚拟交换机，当不符合安全策略时，虚拟安全网关做出响应，例如，检测到分组数据的目的端口为安全策略规定关闭的端口，那么可以对这些数据进行拦截或丢弃，也可以对用户报警，由用户选择处理方式；或者检测到一个虚拟子网络对一个其没有访问权限的虚拟子网络发起访问，那么就可以对用户报警。具体的响应方式也可由用户自定义。

从上述描述可看出，虚拟安全网关通过与VMM中各个网络的虚拟交换机相连，能够检测到虚拟子网络间交换的所有数据，消除了服务器虚拟化中的安全防护盲点。

与本发明提供的用于服务器虚拟化的安全防护方法相对应，本发明实施例还公开一种用于服务器虚拟化的虚拟安全网关及***。

本发明公开的一种用于服务器虚拟化的虚拟安全网关，其结构如图5所示，包括：

隔离监测模块501，用于隔离并监测待保护的虚拟子网络间的通信流量；

响应模块502，用于当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应。

所述虚拟安全网关使用图2所示的流程建立，用于隔离并监测待保护的虚拟子网络间的通信流量，当所述通信流量不符合预设的安全策略时做出响应，检测的具体过程如图5所示。

进一步地，所述隔离监测模块还包括：

接收单元5011，用于接收并隔离待保护的虚拟子网络内的虚拟交换机向其它待保护的虚拟子网络发送的通信流量；

分析单元5012，用于依据预设的安全策略分析处理所述通信流量。

本实施例公开的一种用于服务器虚拟化的安全防护***，结构如图6所示，包括：

虚拟安全网关601，用于隔离并监测待保护的虚拟子网络间的网络流量，当所述网络流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应；

虚拟交换机602，用于将所述虚拟安全网卡接入待保护的虚拟子网络。

本实施例提供的安全防护***，用于对服务器虚拟化平台的虚拟交换机提供安全防护，当一个虚拟机发生异常时，保证其它虚拟机不受影响。

进一步地，上述两个实施例公开的虚拟安全网关和安全防护***中，所述虚拟安全网关还包括：虚拟网卡，用于建立与虚拟交换机间的一一对应关系，以将所述虚拟安全网关接入待保护的虚拟子网络。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种用于服务器虚拟化的虚拟网关防护方法，其特征在于，包括：

在服务器虚拟化平台上建立虚拟安全网关并将所述虚拟安全网关接入待保护的虚拟子网络；

所述虚拟安全网关隔离并监测所述虚拟子网络间的通信流量，当所述通信流量不符合预设的安全策略时，做出异常响应，当所述通信流量符合预设的安全策略时，做出正常响应；

所述异常响应包括报警和拦截，当所述通信流量不符合所述预设的安全策略时，所述虚拟安全网关做出报警或拦截响应，或同时做出两种响应。

2.根据权利要求1所述的方法，其特征在于，所述建立虚拟安全网关并将所述虚拟安全网关接入待保护的虚拟子网络的具体过程为：

将虚拟安全网关导入所述服务器虚拟化平台中；

在所述虚拟安全网关上添加并启用虚拟网卡，并通过所述虚拟网卡将所述虚拟安全网关接入待保护的虚拟子网络；

在所述虚拟安全网关上配置安全策略。

3.根据权利要求2所述的方法，其特征在于，所述在所述虚拟安全网关上添加并启用虚拟网卡，并通过所述虚拟网卡将所述虚拟安全网关接入待保护的虚拟子网络的具体过程为：

在所述虚拟安全网关上添加并启用与待保护的虚拟子网络内的虚拟交换机数量相等的虚拟网卡；

建立所述虚拟交换机和所述虚拟网卡间的一一对应关系，以将所述虚拟安全网关接入所述待保护的虚拟子网络。

4.根据权利要求1或2所述的方法，其特征在于，所述安全策略包括：

所述虚拟子网络访问广域网的规则、广域网访问所述虚拟子网络的规则和所述虚拟子网络间互访的规则中的一种或任意几种的组合。

5.根据权利要求1所述的方法，其特征在于，所述虚拟安全网关隔离并监测所述待保护的虚拟子网络间的通信流量的具体过程为：

所述虚拟安全网关接收并隔离所述待保护的虚拟子网络发送或接收的通信流量；

依据预设的安全策略分析处理所述通信流量。

6.根据权利要求1至5任一项所述的方法，其特征在于，所述正常响应包括：

通过和/或转发。

7.一种用于服务器虚拟化的虚拟安全网关，其特征在于，包括：

隔离监测模块，用于隔离并监测待保护的虚拟子网络间的通信流量；

响应模块，用于当所述通信流量不符合预设的安全策略时，做出异常响应，所述异常响应包括报警和拦截，当所述通信流量不符合所述预设的安全策略时，所述虚拟安全网关做出报警或拦截响应，或同时做出两种响应，当所述通信流量符合预设的安全策略时，做出正常响应。

8.根据权利要求7所述的虚拟安全网关，其特征在于，所述隔离监测模块还包括：

接收单元，用于接收并隔离待保护的虚拟子网络发送或接收的通信流量；

分析单元，用于依据预设的安全策略分析处理所述通信流量。

9.一种用于服务器虚拟化的安全防护***，其特征在于，包括：

虚拟安全网关，用于隔离并监测待保护的虚拟子网间的通信流量，当所述通信流量不符合预设的安全策略时，做出异常响应，所述异常响应包括报警和拦截，当所述通信流量不符合所述预设的安全策略时，所述虚拟安全网关做出报警或拦截响应，或同时做出两种响应，当所述通信流量符合预设的安全策略时，做出正常响应；

虚拟交换机，用于将所述虚拟安全网关接入待保护的虚拟子网络。

10.根据权利要求9所述的虚拟安全网关或安全防护***，其特征在于，所述虚拟安全网关还包括：

虚拟网卡，用于建立与虚拟交换机间的一一对应关系，以将所述虚拟安全网关接入待保护的虚拟子网络。