CN103973578A

CN103973578A - 一种虚拟机流量重定向的方法及装置

Info

Publication number: CN103973578A
Application number: CN201310044891.6A
Authority: CN
Inventors: 孙松儿; 韩小平
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2013-01-31
Filing date: 2013-01-31
Publication date: 2014-08-06
Anticipated expiration: 2033-01-31
Also published as: US20150326407A1; WO2014117641A1; CN103973578B; US9832040B2

Abstract

本发明公开了一种虚拟机流量重定向的方法及装置。通过修改虚拟交换机功能模块，动态监测同VLAN不同虚拟机之间的二层流量交互，当监测到同VLAN不同虚拟机之间的二层流量时，根据预先配置的策略修改虚拟机发送的报文VLAN，实现报文被重定向到外部的网络安全设备，从而实现服务器内部同VLAN不同虚拟机之间的二层流量的安全防护。

Description

一种虚拟机流量重定向的方法及装置

技术领域

本发明涉及数据通信领域，尤其涉及一种同VLAN不同虚拟机之间的二层流量重定向的方法及装置。

背景技术

数据中心通常包括三个主要的组成部分：计算、网络和存储，这三个部分都在向虚拟化方向发展。其中作为计算资源的服务器的虚拟化是云计算中的核心技术之一，也是目前发展最为成熟的虚拟化技术。传统服务器由于服务器性能和网络通信端口的不匹配等问题导致服务器计算性能可能被闲置。而服务器的虚拟化技术，则可以将单台物理服务器虚拟出多台虚拟机并独立安装各自的操作***和应用程序，从而有效提升服务器本身硬件资源的利用效率。

然而，虚拟化技术的应用使得传统的网络和服务器的管理边界变得模糊。传统的网络和服务器的管理分别属于不同的运维组织。服务器管理人员仅负责业务、数据安装，而网络管理员负责网络连通及服务器安全防护。但是，虚拟机引入后由于服务器内置了虚拟交换机VSwitch，处于同一VLAN的不同虚拟机之间的二层流量转发将直接通过虚拟交换机VSwitch交换转发，导致目前成熟的安全防护技术无法实施。

发明内容

有鉴于此，本发明提供一种虚拟机流量重定向的方法和装置，以解决上述现有技术中存在的不足。

本发明是通过如下技术方案实现的：

一种虚拟机流量重定向的装置，该装置应用于物理服务器上，其中该物理服务器上已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源，其中所述装置包括：

策略配置模块，用于根据预定的策略配置同VLAN不同虚拟机之间发送的二层流量报文的VLAN标签转换规则；

报文监测模块，用于动态监测同VLAN不同虚拟机之间的二层流量报文交互；

虚拟交换模块，用于当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的二层流量报文时，根据预先配置的VLAN标签转换规则，将虚拟机发送的二层流量报文中携带的第一VLAN替换为第二VLAN，并将该替换为第二VLAN的二层流量报文发送到外部网络安全设备进行安全处理。

进一步地，所述外部网络安全设备接收来自虚拟交换模块发送的二层流量报文，按照预定的安全规则对该二层流量报文进行安全处理，并根据预设的VLAN标签转换规则，将该经过安全处理的二层流量报文携带的第二

VLAN替换为第三VLAN，并将该替换为第三VLAN的二层流量报文发送给虚拟交换模块。

进一步地，所述虚拟交换模块接收来自外部网络安全设备的经过安全处理的二层流量报文，并将该二层流量报文内携带的第三VLAN替换为原始的第一VLAN后，根据目的MAC地址对该二层报文进行转发。

进一步地，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的反向二层流量报文时，所述虚拟交换模块根据预先配置的VLAN标签转换规则，将该反向二层流量报文中携带的第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理。

本发明同时还提供一种虚拟机流量重定向的方法，所述方法应用于物理服务器上，其中该物理服务器已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源，其中所述方法包括：

步骤31，根据预定的策略，通过策略配置模块为同VLAN不同虚拟机之间发送的二层流量报文配置VLAN标签转换规则；

步骤32，通过报文监测模块监测是否存在同VLAN内不同虚拟机之间发送的二层流量报文，如果是，则进行步骤33；

步骤33，根据预设VLAN标签转换规则，通过虚拟交换模块将该二层流量报文中携带的第一VLAN替换为第二VLAN，且对该替换为第二VLAN的二层流量报文发送到外部网络安全设备进行安全处理。

进一步地，在所述步骤33之后，还包括：

所述外部网络安全设备接收来自虚拟交换模块发送的二层流量报文，并按照预定的安全规则，对该二层流量报文进行安全处理，并根据预设的VLAN标签转换规则，并将该经过安全处理的二层流量报文携带的第二VLAN替换为第三VLAN，然后将该替换为第三VLAN的二层流量报文发送给虚拟交换模块。

进一步地，所述虚拟交换模块接收来自外部网络安全设备发送的经过安全处理的二层流量报文，并将该二层流量报文内携带的第三VLAN替换为原始的第一VLAN后，根据目的MAC地址对该二层报文进行转发。

进一步地，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的反向二层流量报文时，所述虚拟交换模块根据预先配置的VLAN标签转换规则，将该反向报文中携带的第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理。

与现有的技术相比，本发明通过修改虚拟交换机的功能模块，动态监测同VLAN不同虚拟机之间的二层流量交互，当监测到同VLAN不同虚拟机之间的二层流量时，根据预先配置的VLAN标签转换规则修改虚拟机发送的报文VLAN，实现该报文被重定向到外部网络安全设备，从而实现服务器同VLAN不同虚拟机之间的二层流量的安全防护处理。

附图说明

图1为典型的物理服务器虚拟化之后的架构示意图。

图2为本发明虚拟机流量重定向的方法流程示意图。

图3为本发明虚拟机流量重定向的装置结构示意图。

具体实施方式

请参考图1，服务器的虚拟化架构是在物理服务器上引入虚拟化层，其是一种中间层虚拟化软件，主要用于创建虚拟机（Virtual Machine，VM），并为虚拟机分配合理的硬件资源，比如CPU中的一个或者多个内核（即CPU中集成的一个或多个完整的计算引擎）分配给虚拟机1等。虚拟机从逻辑功能上看，与传统的物理服务器并无区别，拥有自己的操作***，并可以在操作***之上安装各种应用。在数据中心的物理服务器被广泛虚拟化后，安全问题也就相应产生了。在计算机网络以及软件技术中，任何新增的功能都可能存在安全问题而需要加以考虑。虚拟化软件相当于在已知传统安全威胁（如针对操作***和应用程序的攻击）基础上引入了新的安全威胁。例如：针对虚拟化软件及对应管理平台的漏洞攻击。

在虚拟化环境下，单台物理服务器上的各虚拟机之间可能存在直接的二层流量交换。例如：当管理员将多个虚拟机规划在同一VLAN中时，在某应用场景下，如果虚拟机1和虚拟机2属于同一个VLAN，二者在同一个广播域，此时虚拟机1和虚拟机2之间的通信显然是不需要经过网关设备的。虚拟机1和虚拟机2可以通过ARP协议知晓对方的MAC地址，于是在发送二层报文时，直接使用对方的MAC地址作为其目的MAC地址，虚拟机1和虚拟机2互相通信时发送的报文到达虚拟交换机时，虚拟交换机就可以通过查找MAC地址表执行二层转发。通常这种二层交换并不需要经过外置的二层交换机。管理员对于该部分报文流量既不可控也不可见。

因此，管理员面临的挑战是如何确保虚拟机之间的互相访问符合预定的安全策略。如果该虚拟机之间的访问互访被允许，如何判断这些访问是否存在攻击行为。目前针对上述问题有一些解决方案，比如Cisco公司提出的Cisco802.1BR技术，该技术方案的设计思路是将虚拟机互访报文流量重定向到外部接入交换机或其他网络设备上的外置安全模块进行安全控制。在该方案中，将流量重定向到接入交换机的方式需要同时在Hypervisor层面、服务器网卡层面和接入交换机层面做出修改，具体来说：802.1BR技术需要在hypervisor层面进行重定向修改，并且每一个虚拟机需要有相应的虚拟通道和位于接入交换机上的虚拟端口，需要接入交换机做较大的修改来支持，技术实现难度大。

为此，为实现本发明目的，本发明采用的核心思想为：通过修改虚拟交换机的功能模块，动态监测同VLAN内的不同虚拟机之间的二层流量交互，当监测到同VLAN不同虚拟机之间的二层流量，根据预先配置的策略修改虚拟机发送的报文VLAN，实现报文被自然重定向到外部网络安全设备，从而实现服务器内部同VLAN不同虚拟机之间的二层流量的安全防护。

为使本领域技术人员更加清楚和明白，以下结合附图及实施例详细说明本发明的具体实现方式。

请参考图2，为本发明一个实施方式中提供的一种实现虚拟机流量重定向的装置示意图。该装置应用于物理服务器上，其中该物理服务器可采用当前各种流行的硬件架构，包括CPU、内存、存储器以及网卡等基本硬件。另外，该物理服务器上已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源，所述装置包括：

策略配置模块，用于根据预定的策略配置同VLAN不同虚拟机之间发送的二层流量报文的VLAN标签转换规则。

为实现本发明目的，在本发明中，所述VLAN标签转换规则需要管理员根据预定的策略事先在策略配置模块上配置好。其中所述VLAN标签转换规则具体表现为定义了哪些特征的数据流需要转换为哪种标签，定义示例如下表1所示：

表1

报文监测模块，用于动态监测同VLAN内不同虚拟机之间的二层流量报文交互。

虚拟交换模块，用于当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的二层流量报文时，则根据预先配置的VLAN标签转换规则，将虚拟机发送的二层流量报文携带的第一VLAN替换为第二VLAN，并将该替换为第二VLAN的报文发送到外部网络安全设备进行安全处理。

具体地，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的二层流量时，所述虚拟交换模块根据预设的VLAN标签转换规则对虚拟机发送的二层流量报文VLAN（第一VLAN）进行替换，使得该二层流量报文中携带转换后的VLAN（第二VLAN）。经过这样的处理后，原先同VLAN不同虚拟机之间发送的二层流量就变成跨VLAN转发，那么，虚拟交换模块会认为原先同VLAN不同虚拟机之间的通信是三层间的IP通信，需要通过外部的网关设备才能实现。为此，虚拟交换模块会自然地将该二层流量报文发送到外部的网关设备，通过该网关设备将二层流量报文进一步发送到外置的网络安全设备，从而实现服务器内部不同虚拟机之间同VLAN的二层流量的安全防护。

所述外部网络安全设备接收到来自虚拟交换模块发送的二层流量报文后，按照预设的安全规则对该二层流量报文进行安全处理。进一步地，为了避免同VLAN不同虚拟机之间发送的反向二层流量报文不经过网络安全设备的处理直接发送到虚拟机上（因为此时外置的接入交换机可能已学习到正向二层流量报文的MAC地址等信息），在本发明实现方式中，优选地，还需要进一步根据预设的VLAN标签转换规则，对该经过安全处理的二层报文VLAN再次进行替换，其中该替换后的VLAN（第三VLAN）与经安全处理前的VLAN（第二VLAN）以及原始的VLAN（第一VLAN）不一样，并将该经过VLAN（第三VLAN）替换的报文发送给虚拟交换模块。

当所述虚拟交换模块接收到来自网络安全设备的经过安全处理的报文时，将该经过安全处理的报文中携带的VLAN（第三VLAN）替换为原始的VLAN（第一VLAN），然后，通过虚拟交换模块根据该二层报文的目的MAC地址对该二层报文进行转发。

当所述虚拟交换机收到反向报文时，根据标签转换规则将VLAN标签从第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理，由于反向报文的转发流程同正向报文的一致，在此不赘述。

下面以上述表1所示的VLAN标签转换规则为例进行说明。假设在某一应用场景下，所述报文监测模块监测到VLAN100内不同虚拟机（VM1发送到VM2）之间的二层流量到达时，此时需要根据预设的VLAN标签转换规则，将该二层流量的VLAN标签由100修改为10，然后通过虚拟交换模块经由外置接入交换机发送到网络安全设备进行安全处理。

进一步地，为了避免同VLAN不同虚拟机之间发送的反向二层流量报文（即VM2发送给VM1的VLAN为100的二层流量报文）不经过网络安全设备的处理直接发送到虚拟机上，所述外部网络安全设备需要根据预设的VLAN标签转换规则，将该经过安全处理的二层流量的VLAN标签由10替换为20，所述虚拟交换模块接收到携带有VLAN20的报文后，进一步将该VLAN20修改为100，然后，根据该二层报文的目的MAC地址对该二层报文进行转发。

当所述虚拟交换机收到反向报文时，根据标签转换规则将VLAN标签从第一VLAN100替换为第三VLAN20，确保反向报文同样经过外部网络安全设备处理，由于反向报文的转发流程同正向报文的一致，在此不赘述。进一步请参考图3所示，为本发明同VLAN不同虚拟机之间二层流量交互流程交互示意。在一种实施方式中，该物理服务器上已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源。本发明装置可以理解为对服务器内部的虚拟交换机功能模块的改进，该装置运行在服务器上执行如下的处理过程。

步骤31，根据预定的策略，通过策略配置模块为同VLAN不同虚拟机之间发送的二层流量报文配置VLAN标签转换规则。

步骤32，通过报文监测模块监测是否存在同VLAN内不同虚拟机之间发送的二层流量报文，如果存在，则进行步骤33，否则，依照现有的技术对该报文丢弃或者由虚拟交换模块进行其他转发处理。

步骤33，根据预设VLAN标签转换规则，通过虚拟交换模块将该二层流量报文中携带的第一VLAN替换为第二VLAN，且将该替换为第二VLAN的二层流量报文发送到外部网络安全设备进行安全处理。

具体地，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的二层流量时，所述虚拟交换模块将根据预设的VLAN标签转换规则对虚拟机发送的二层流量报文VLAN（第一VLAN）进行替换，使得该二层流量报文中携带转换后的VLAN（第二VLAN）。经过这样的处理后，原先同VLAN不同虚拟机之间发送的二层流量就变成跨VLAN转发，那么，虚拟交换模块会认为原先同VLAN不同虚拟机之间的通信是三层的IP通信，需要通过外部的网关设备才能实现的。为此，虚拟交换模块会自然地将该二层流量报文发送到外部的网关设备。通过该网关设备，我们就可以将二层流量报文发送至外部网络安全设备进行安全处理，从而实现服务器内部不同虚拟机之间同VLAN的二层流量的安全防护。

进一步地，为了避免同VLAN不同虚拟机之间发送的反向二层流量报文不经过网络安全设备的处理直接发送到虚拟机上（因为此时外置的接入交换机可能已学习到正向二层流量报文的MAC地址等信息），所述外部网络安全设备按照预定的安全规则对该二层流量报文进行安全处理后，还需要根据预设的VLAN标签转换规则，对该经过安全处理的二层报文VLAN再次进行替换，其中该替换后的VLAN（第三VLAN）与经安全处理前的VLAN（第二VLAN）以及原始的VLAN（第一VLAN）不一样，并将该经过VLAN（第三VLAN）替换的报文发送给虚拟交换模块。

当所述虚拟交换机收到反向报文时，根据标签转换规则将VLAN标签从第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理。由于反向报文的转发流程同正向报文的一致，在此不赘述。

在本发明中，通过修改虚拟交换机的功能模块，动态监测同VLAN内的不同虚拟机之间的二层流量交互，对于同VLAN不同虚拟机之间的二层流量，根据预先配置的策略改变虚拟机发送的报文VLAN，实现报文被自然重定向到外部接入交换机，进而通过现有普通二层转发技术将虚拟机发送的二层流量转发到外置的网络安全设备，从而实现服务器内部同VLAN不同虚拟机之间的二层流量的安全防护。总体来说是充分利用已有资源，开发工作量非常少，成本得以极大程度的降低。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种虚拟机流量重定向的装置，该装置应用于物理服务器上，其中该物理服务器上已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源，其特征在于，所述装置包括：

2.如权利要求1所述的装置，其特征在于，所述外部网络安全设备接收来自虚拟交换模块发送的二层流量报文，按照预定的安全规则对该二层流量报文进行安全处理，并根据预设的VLAN标签转换规则，将该经过安全处理的二层流量报文携带的第二VLAN替换为第三VLAN，并将该替换为第三VLAN的二层流量报文发送给虚拟交换模块。

3.如权利要求1或2所述的装置，其特征在于，所述虚拟交换模块接收来自外部网络安全设备的经过安全处理的二层流量报文，并将该二层流量报文内携带的第三VLAN替换为原始的第一VLAN后，根据目的MAC地址对该二层报文进行转发。

4.如权利要求1所述的装置，其特征在于，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的反向二层流量报文时，所述虚拟交换模块根据预先配置的VLAN标签转换规则，将该反向二层流量报文中携带的第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理。

5.一种虚拟机流量重定向的方法，所述方法应用于物理服务器上，其中该物理服务器已创建一个或者多个虚拟机，并且为虚拟机已分配相应的硬件资源，其特征在于，所述方法包括：

6.如权利要求4所述的方法，其特征在于，在所述步骤33之后，还包括：

7.如权利要求4或5所述的方法，其特征在于，所述虚拟交换模块接收来自外部网络安全设备发送的经过安全处理的二层流量报文，并将该二层流量报文内携带的第三VLAN替换为原始的第一VLAN后，根据目的MAC地址对该二层报文进行转发。

8.如权利要求5所述的方法，其特征在于，当所述报文监测模块监测到存在同VLAN不同虚拟机之间发送的反向二层流量报文时，所述虚拟交换模块根据预先配置的VLAN标签转换规则，将该反向报文中携带的第一VLAN替换为第三VLAN，确保反向报文同样经过外部网络安全设备处理。