CN103746860A - 一种虚拟化环境下的网络监控***及其方法 - Google Patents

Abstract

本发明公开了一种虚拟化环境下的网络监控***及其方法，其部署在特权虚拟机中，对多个客户虚拟机进行网络监控，网络监控***包括初始化模块、数据发送监控模块、及数据接收监控模块。初始化模块用于创建记录文件，设置监控点；数据发送监控模块和数据接收模块分别用于同时监测多个客户虚拟机对外的发送数据和接收数据，并将获取到的监控信息进行存储，以用于网络监控。本发明实现了虚拟化环境下的细粒度网络监控***及其方法。

Description

一种虚拟化环境下的网络监控***及其方法

技术领域

本发明涉及到虚拟化环境中的网络请求监控，特别是涉及到按照虚拟机划分的细粒度网络访问请求监控。

背景技术

虚拟化技术产生于上世纪六十年代，IBM提出了虚拟化的概念，并把此技术应用于IBM的System/370***。到目前为止，虚拟化技术已经被应用于很多行业和领域，并且在未来将有更广泛的使用。通过虚拟化技术，可以提高服务器的利用率，提高服务的稳定性和健壮性以及软件的可移植性，此外，虚拟化技术也由于其出色的隔离性为解决***的安全问题提供了一种思路。

Xen是一种广泛使用的虚拟化软件，其主要部件为虚拟机管理层（VirtualMachine Monitor，以下简称VMM）、包含管理工具的特权虚拟机Domain0（以下简称Dom0），以及客户虚拟机（以下简称DomU），其中，VMM层运行在客户虚拟机和硬件之间，Dom0与DomU都运行在VMM层之上，Dom0的特殊之处在于，其具有管理其他DomU的管理工具，以及与VMM通信的接口，从而达到对Xen虚拟环境进行控制的目的。Dom0端还包括接收DomU硬件访问信息的接口，称为后端驱动，后端驱动能够接收同一物理机上所有的DomU的硬件请求，并通过访问真实设备驱动来对这些请求进行统一处理。

网络的虚拟化是虚拟化技术需要解决的重要问题之一。Xen的解决方法是为每个客户虚拟机建立虚拟网桥，每个客户虚拟机的网络访问请求通过与Dom0的共享通道传递给Dom0的后端驱动，再由Dom0的后端磁盘驱动将请求进行相关解析，包装成访问真实网卡驱动信息分发给物理机器上的真实网卡驱动。

Xen最初的设计仅支持半虚拟化架构的客户虚拟机，这要求客户虚拟机需要安装能够与Dom0的后端驱动通信的前端设备驱动，因此，这就需要对客户虚拟机进行修改，这就导致前期Xen只能支持安装有Linux操作***的客户虚拟机，而随着Intel与AMD等CPU厂商提出了硬件的虚拟化技术，目前Xen已经能够支持无修改的Windows与Linux操作***，利用硬件进行虚拟化的客户虚拟机成为硬件虚拟机（Hardware-based Virtual Machine，以下简称HVM）。

网络信息监控是性能分析以及安全防护领域十分重要的技术。Xen中提供了一种能够对I/O请求次数进行监控的工具XenMon，但该工具仅仅从计数的角度进行记录，而不能获取网络请求操作的具体信息，不利于进行安全相关的具体数据分析。

中国专利CN101436966A公开了一种“虚拟机环境下的网络监控与分析***”，其分析了虚拟化环境中，不同虚拟机运行多个I/O密集型应用所造成的竞争现象，然而，该专利中将监控***放置在了被监控的虚拟机中，且只是实验用途，不能用于通用场景。

名称为“Proceedings of the International Conference&Workshop onEmerging Trends in Technology（技术新趋势国际会议及研讨会）”中公开了一篇名称为“HawkEye solutions:a network intrusion detection system.（鹰眼解决方案：一种网络入侵检测***）”的文献，作者为：I Mukhopadhyay,MChakraborty,S Chakrabarti，公开日为：2011年3月14日，介绍了一种使用已定的安全策略对被监控网络进行入侵检测的技术，然而，该技术不能使用在虚拟化的环境中。

发明内容

本发明所要解决的技术问题在于提供一种虚拟化环境下的网络监控***及其方法，主要关注的是按照虚拟机划分的细粒度网络访问请求监控，解决现有技术中的虚拟化环境下信息监测准确性低，安全性不高等问题。

为实现上述目的，本发明提供了一种虚拟化环境下的网络监控***，其特征在于，所述网络监控***部署在特权虚拟机中，对多个客户虚拟机进行网络监控，所述网络监控***包括：

初始化模块：用于创建记录文件，设置监控点；

数据发送监控模块：用于同时监测所述多个客户虚拟机的对外发送数据，并将获取到的监控信息进行存储，以用于网络监控；

数据接收监控模块：用于同时监测所述多个客户虚拟机接收的外部数据，并将获取到的所述监控信息进行存储，以用于网络监控。

上述虚拟化环境下的网络监控***，其特征在于，所述初始化模块包括：

创建记录文件模块：用于创建记录文件，记录所述多个客户虚拟机的所述监控信息；

监控点设置模块：用于在所述多个客户虚拟机中设置监控点函数，以及监控挂接函数；

挂接模块：用于将所述监控点函数与所述监控挂接函数进行挂接，以便将所述监控信息从所述监控点函数传递到所述监控挂接函数，并将所述监控信息存储到所述记录文件。

上述虚拟化环境下的网络监控***，其特征在于，所述数据发送监控模块包括：

发送监测模块：通过在所述特权虚拟机的发送函数中设置的所述监控点函数监测到所述发送数据对外发送；

发送地址获取模块：在所述发送数据中获取源MAC地址；

发送地址映射模块：获取所述源MAC地址对应的所述客户虚拟机的标识ID，建立所述源MAC地址与所述客户虚拟机标识ID之间的映射关系；

发送存储模块：根据所述客户虚拟机标识ID分开记录所述监控信息，并将所述监控信息按照所述客户虚拟机标识ID分开存储到所述记录文件中，用于网络监控。

上述虚拟化环境下的网络监控***，其特征在于，所述数据接收监控模块包括：

接收监测模块：通过在所述特权虚拟机的接收函数中设置的所述监控点函数监测到接收所述外部数据到达；

接收地址获取模块：在所述接收数据中获取目的MAC地址；

接收地址映射模块：获取所述目的MAC地址对应的所述客户虚拟机的标识ID，建立所述目的MAC地址与所述客户虚拟机标识ID之间的映射关系；

接收存储模块：根据所述客户虚拟机标识ID分别记录接收监控信息，并将所述接收监控信息按照所述客户虚拟机标识ID存储到所述记录文件中，用于网络监控。

上述虚拟化环境下的网络监控***，其特征在于，所述发送数据和所述接收数据采用skb数据结构。

上述虚拟化环境下的网络监控***，其特征在于，所述监控信息包括：所述发送/接收数据包时间信息、所述发送/接收数据包大小和所述发送/接收数据包内容。

上述虚拟化环境下的网络监控***，其特征在于，所述目的/源MAC地址与所述客户虚拟机标识ID之间的映射通过Xenstore文件***技术实现。

上述虚拟化环境下的网络监控***，其特征在于，所述记录文件采用relay文件***技术实现。

本发明提供了一种虚拟化环境下的网络监控方法，适用于虚拟环境下的网络监控***，所述网络监控***部署在特权虚拟机中，对多个客户虚拟机进行网络监控，其特征在于，所述网络监控方法包括：

初始化步骤：用于创建记录文件，设置监控点；

数据发送监控步骤：用于同时监测所述多个客户虚拟机对外的发送数据，并将获取到的监控信息进行存储，以用于网络监控；

数据接收监控步骤：用于同时监测所述多个客户虚拟机接收的外部数据，并将获取到的所述监控信息进行存储，以用于网络监控；

上述虚拟化环境下的网络监控方法，其特征在于，所述初始化步骤包括：

创建记录文件步骤：用于创建记录文件，记录所述多个客户虚拟机的所述监控信息；

监控点设置步骤：用于在所述多个客户虚拟机中设置监控点函数，以及监控挂接函数；

挂接步骤：用于将所述监控点函数与所述监控挂接函数进行挂接，以便将所述监控信息从所述监控点函数传递到所述监控挂接函数，并由所述记录文件模块进行存储。

上述虚拟化环境下的网络监控方法，其特征在于，所述数据发送步骤包括：

发送监测步骤：通过在后端网卡驱动程序的发送函数中设置的所述监控点函数监测到所述发送数据对外发送；

发送地址获取步骤：在所述发送数据中获取源MAC地址；

发送地址映射步骤：获取所述源MAC地址对应的所述客户虚拟机的标识ID，建立所述源MAC地址与所述客户虚拟机标识ID之间的映射关系；

发送存储步骤：根据所述客户虚拟机标识ID分开记录所述监控信息，并将所述监控信息按照所述客户虚拟机标识ID分开存储到所述记录文件中，用于网络监控。

上述虚拟化环境下的网络监控方法，其特征在于，所述数据接收步骤包括：

接收监测步骤：通过在后端网卡驱动程序的接收函数中设置的所述监控点函数监测到接收所述外部数据到达；

接收地址获取步骤：在所述接收数据包中获取目的MAC地址；

接收地址映射步骤：获取所述目的MAC地址对应的所述客户虚拟机的标识ID，建立所述目的MAC地址与所述客户虚拟机标识ID之间的映射关系；

接收存储步骤：根据所述客户虚拟机标识ID分别记录接收监控信息，并将所述接收监控信息按照所述客户虚拟机标识ID存储到所述记录文件中，用于网络监控。

上述虚拟化环境下的网络监控方法，其特征在于，所述发送数据和所述接收数据采用skb数据结构。

上述虚拟化环境下的网络监控方法，其特征在于，所述监控信息包括：所述发送/接收数据包时间信息、所述发送/接收数据包大小和所述发送/接收数据包内容。

上述虚拟化环境下的网络监控方法，其特征在于，所述目的/源MAC地址与所述客户虚拟机标识ID之间的映射通过Xenstore文件***技术实现。

上述虚拟化环境下的网络监控方法，其特征在于，所述记录文件采用relay文件***技术实现。

与现有技术相比，本发明的虚拟化环境下的网络监控***及方法主要关注的是Xen虚拟化环境中的细粒度网络访问信息监控，通过将监控组件部署在被监控虚拟机以外，保证信息监测的准确性和安全性。

附图说明

图1为虚拟化环境客户虚拟机网络访问流程示意图；

图2为虚拟化环境网络监控***概要示意图；

图3为虚拟化环境网络监控***详细示意图；

图4为虚拟化环境网络监控方法流程示意图；

图5为虚拟化环境网络监控方法初始化流程示意图；

图6为发送数据包过程监控流程示意图；

图7为接收数据包过程监控流程示意图

其中，附图标记：

1 网络监控***

2 初始化模块          3 发送监控模块

4 接收监控模块

21创建记录文件模块    22监控点设置模块

23挂接模块

31发送监测模块        32发送地址获取模块

33发送地址映射模块    34发送存储模块

41接收监测模块        42接收地址获取模块

43接收地址映射模块    44接收存储模块

S1～S3、S11～S13、S21～S24、S31～S34：本发明各实施例的施行步骤

具体实施方式

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

下面结合附图和具体实施方式，对本发明做进一步的说明。

如图1所示，虚拟化环境下网络监控***1部署在Dom0内核空间中，不需要用户提供任何其他信息。由于同一台物理机上的所有DomU的网络访问行为都需要经过Dom0的后端网卡驱动，因此，在后端网卡驱动进行接收数据包操作和发送数据包操作处添加监控点函数，这样当每次有数据通过后端设备驱动时，都能通过监控点机制进行记录。

本较佳实施例采用安装有32位或64位Linux操作***的Xen半虚拟化客户虚拟机，将网络监控***1部署在Xen的Dom0内核空间中，对所有客户虚拟机通过tracepoint的内核追踪的监控点机制进行监控。客户虚拟机的网络访问请求的基本单元是skb结构，每个skb结构都包含有其目的MAC地址以及源MAC地址信息。在处理过程中，可以通过解析skb中记录的MAC地址来确定该请求发送自或转发到哪一个DomU，并且还需要Xen提供的Xenstore文件***技术，该技术将每个虚拟机的ID以及其对应的网桥MAC地址进行了记录，因此，可以通过对网桥地址的解析进而找到其对应的DomU的ID。并且还需要Linux提供的Relay技术，从Linux内核到用户空间进行高效数据传输，将获取到的监控信息存储到Relay文件中。但本发明并不限于此，任何熟悉本领域的技术人员，可根据需要进行相应的改变和变形。

如图2所示，网络监控***1包括：初始化模块2、数据发送监控模块3和数据接收监控模块4。初始化模块2用于创建relay文件，设置监控点函数；数据发送监控模块3用于同时监测所有DomU对外的发送数据，并将获取到的数据按照DomU ID进行划分并分开存储；数据接收监控模块4用于同时监测所有DomU接收的外部数据，并将获取到的数据按照DomU ID进行划分并分开存储，以用于网络监控。

如图3所示，初始化模块2包括：创建记录文件模块21、监控点设置模块22和挂接模块23。创建记录文件模块21用于创建relay文件，记录所有DomU的监控信息；监控点设置模块22用于在DomU中设置监控点函数，以及监控挂接函数；挂接模块23通过tracepoint提供的注册函数将监控点函数与监控挂接函数进行挂接，以便将监控信息从监控点函数传递到监控挂接函数，并分不同的DomU ID在relay文件中存储监控信息。

如图3所示，数据发送监控模块3包括：发送监测模块31、发送地址获取模块32、发送地址映射模块33、发送存储模块34。发送监控模块31通过在后端网卡驱动程序的发送函数中设置的监控点函数监测到有数据需要对外发送；发送地址获取模块32在发送数据的skb数据结构中获取源MAC地址；发送地址映射模块33获取源MAC地址对应的DomU ID，建立源MAC地址与DomU ID之间的映射关系；发送存储模块34根据DomU ID分开记录监控信息，并将监控信息按照DomU ID分开存储到relay文件中，用于网络监控。

如图3所示，数据接收监控模块4包括：接收监测模块41、接收地址获取模块42、接收地址映射模块43、接收存储模块44。接收监控模块41通过在后端网卡驱动程序的接收函数中设置的监控点函数监测到有外部数据到达；接收地址获取模块42在接收数据的skb结构中获取目的MAC地址；接收地址映射模块43获取目的MAC地址对应的DomU ID，建立目的MAC地址与DomU ID之间的映射关系；接收存储模块44根据DomU ID分别记录接收监控信息，并将接收监控信息按照DomU ID分别存储到relay文件中，用于网络监控。

如图4所示，实现虚拟环境下网络监控的方法，步骤如下：

S1：创建relay文件，设置监控点和监控函数；

S2：用于同时监测所有DomU对外的发送数据，并将获取到的监控信息按照DomU ID分开进行存储，以用于网络监控；

S3：用于同时监测所有DomU接收的外部数据，并将获取到的监控信息按照DomU ID分开进行存储，以用于网络监控；

如图5所示，实现虚拟环境下网络监控的方法，初始化步骤如下：

S11:创建用于记录数据包产生时间、来源与目的地以及数据包内容的relay文件；

S12:设置需要监控的监控点，将这些监控点挂接到相关的监控点函数，当这些监控点被触发时，会自动调用关联的监控点函数。监控点的声明将使用tracepoint的声明方式，即首先声明监控点结构以及其需要的参数信息，tracepoint机制会由此生成一个监控点函数；设置监控点时，需要将该生成的监控点函数***到需要监控的函数中，如网络发送数据包函数以及接收数据包函数中，经过此过程，在每次执行到该函数时，都会执行该监控点函数；

S13:监控程序使用tracepoint提供的注册函数，将监控点函数与监控挂接函数相连，这样每当监控点函数被调用时，都会调用到监控挂接函数，并将得到的参数传递到监控挂接函数中，由监控挂接函数进行处理以及存储。

如图6所示，实现虚拟环境下网络监控的方法，发送监控步骤如下：

S21.客户虚拟机需要发送数据包，数据包中包含源MAC地址以及目的MAC地址信息等用于判断所属DomU的信息，以及数据内容信息；

S22.后端网卡驱动的发送函数tracepoint监测点检测到有数据包需要传送；

S23.获得数据包中记录的源地址MAC地址；

S24.读取Xenstore信息，获取该MAC地址对应的DomU的ID，根据监控需求，将时间信息、数据包大小、数据包内容等需要监控的信息进行存储。

如图7所示，实现虚拟环境下网络监控的方法，接收监控步骤如下：

S31.数据包到达后端设备驱动，数据包中包含源MAC地址以及目的MAC地址信息等用于判断所属DomU的信息，以及数据内容信息；

S32.后端设备驱动的接收函数tracepoint监测点检测到有数据包到达；

S33.获得数据包中记录的目的地址MAC地址；

S34.读取Xenstore信息，获取该MAC地址对应的DomU的ID，根据监控需求，将时间信息、数据包大小、数据包内容等需要监控的信息进行存储。

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (16)

1.一种虚拟化环境下的网络监控***，其特征在于，所述网络监控***部署在特权虚拟机中，对多个客户虚拟机进行网络监控，所述网络监控***包括： 

初始化模块：用于创建记录文件，设置监控点； 

数据发送监控模块：用于同时监测所述多个客户虚拟机的对外发送数据，并将获取到的监控信息进行存储，以用于网络监控； 

数据接收监控模块：用于同时监测所述多个客户虚拟机接收的外部数据，并将获取到的所述监控信息进行存储，以用于网络监控。 

2.根据权利要求1所述虚拟化环境下的网络监控***，其特征在于，所述初始化模块包括： 

创建记录文件模块：用于创建记录文件，记录所述多个客户虚拟机的所述监控信息； 

监控点设置模块：用于在所述多个客户虚拟机中设置监控点函数，以及监控挂接函数； 

挂接模块：用于将所述监控点函数与所述监控挂接函数进行挂接，以便将所述监控信息从所述监控点函数传递到所述监控挂接函数，并将所述监控信息存储到所述记录文件。 

3.根据权利要求1所述虚拟化环境下的网络监控***，其特征在于，所述数据发送监控模块包括： 

发送监测模块：通过在所述特权虚拟机的发送函数中设置的所述监控点函数监测到所述发送数据对外发送； 

发送地址获取模块：在所述发送数据中获取源MAC地址； 

发送地址映射模块：获取所述源MAC地址对应的所述客户虚拟机的标识ID，建立所述源MAC地址与所述客户虚拟机标识ID之间的映射关系； 

发送存储模块：根据所述客户虚拟机标识ID分开记录所述监控信息，并将所述监控信息按照所述客户虚拟机标识ID分开存储到所述记录文件中，用于网络监控。 

4.根据权利要求1所述虚拟化环境下的网络监控***，其特征在于，所 述数据接收监控模块包括： 

接收监测模块：通过在所述特权虚拟机的接收函数中设置的所述监控点函数监测到接收所述外部数据到达； 

接收地址获取模块：在所述接收数据中获取目的MAC地址； 

接收地址映射模块：获取所述目的MAC地址对应的所述客户虚拟机的标识ID，建立所述目的MAC地址与所述客户虚拟机标识ID之间的映射关系； 

接收存储模块：根据所述客户虚拟机标识ID分别记录接收监控信息，并将所述接收监控信息按照所述客户虚拟机标识ID存储到所述记录文件中，用于网络监控。 

5.根据权利要求1所述的虚拟化环境下的网络监控***，其特征在于，所述发送数据和所述接收数据采用skb数据结构。 

6.根据权利要求1所述的虚拟化环境下的网络监控***，其特征在于，所述监控信息包括：所述发送/接收数据包时间信息、所述发送/接收数据包大小和所述发送/接收数据包内容。 

7.根据权利要求1所述的虚拟化环境下的网络监控***，其特征在于，所述目的/源MAC地址与所述客户虚拟机标识ID之间的映射通过Xenstore文件***技术实现。 

8.根据权利要求1所述的虚拟化环境下的网络监控***，其特征在于，所述记录文件采用relay文件***技术实现。 

9.一种虚拟化环境下的网络监控方法，适用于虚拟环境下的网络监控***，所述网络监控***部署在特权虚拟机中，对多个客户虚拟机进行网络监控，其特征在于，所述网络监控方法包括： 

初始化步骤：用于创建记录文件，设置监控点； 

数据发送监控步骤：用于同时监测所述多个客户虚拟机对外的发送数据，并将获取到的监控信息进行存储，以用于网络监控； 

数据接收监控步骤：用于同时监测所述多个客户虚拟机接收的外部数据，并将获取到的所述监控信息进行存储，以用于网络监控。 

10.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述初始化步骤包括： 

创建记录文件步骤：用于创建记录文件，记录所述多个客户虚拟机的所述 监控信息； 

监控点设置步骤：用于在所述多个客户虚拟机中设置监控点函数，以及监控挂接函数； 

挂接步骤：用于将所述监控点函数与所述监控挂接函数进行挂接，以便将所述监控信息从所述监控点函数传递到所述监控挂接函数，并由所述记录文件模块进行存储。 

11.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述数据发送步骤包括： 

发送监测步骤：通过在后端网卡驱动程序的发送函数中设置的所述监控点函数监测到所述发送数据对外发送； 

发送地址获取步骤：在所述发送数据中获取源MAC地址； 

发送地址映射步骤：获取所述源MAC地址对应的所述客户虚拟机的标识ID，建立所述源MAC地址与所述客户虚拟机标识ID之间的映射关系； 

发送存储步骤：根据所述客户虚拟机标识ID分开记录所述监控信息，并将所述监控信息按照所述客户虚拟机标识ID分开存储到所述记录文件中，用于网络监控。 

12.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述数据接收步骤包括： 

接收监测步骤：通过在后端网卡驱动程序的接收函数中设置的所述监控点函数监测到接收所述外部数据到达； 

接收地址获取步骤：在所述接收数据包中获取目的MAC地址； 

接收地址映射步骤：获取所述目的MAC地址对应的所述客户虚拟机的标识ID，建立所述目的MAC地址与所述客户虚拟机标识ID之间的映射关系； 

接收存储步骤：根据所述客户虚拟机标识ID分别记录接收监控信息，并将所述接收监控信息按照所述客户虚拟机标识ID存储到所述记录文件中，用于网络监控。 

13.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述发送数据和所述接收数据采用skb数据结构。 

14.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述监控信息包括：所述发送/接收数据包时间信息、所述发送/接收数据包大 小和所述发送/接收数据包内容。 

15.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述目的/源MAC地址与所述客户虚拟机标识ID之间的映射通过Xenstore文件***技术实现。 

16.根据权利要求9所述的虚拟化环境下的网络监控方法，其特征在于，所述记录文件采用relay文件***技术实现。 

Images