CN106656815A - 用于处理虚拟网络报文的方法与设备 - Google Patents

Abstract

本申请的目的是提供一种用于处理虚拟网络报文的方法与设备。与现有技术相比，本申请通过获取待处理的虚拟网络报文，并从所述虚拟网络报文中提取对应的元组信息，然后根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径，若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，实现了在虚拟网络中数据报文的快速转发。

Description

用于处理虚拟网络报文的方法与设备

技术领域

本申请涉及计算机领域，尤其涉及一种用于处理虚拟网络报文的技术。

背景技术

在虚拟网络中，为了解决安全问题及用户的隐私问题，一般都需要对虚拟网络传输的数据报文进行安全控制，比如对虚拟网络进行防火墙控制、攻击检验等，但是随着虚拟网络的规模越来越大，这些安全控制的方式越来越复杂，不仅增大了网络转发的时延，还大大地降低了网络转发的性能。因此，如何在保证安全转发的基础上，实现虚拟网络报文的快速转发，成为我们迫切要解决的问题。

现有技术中，为了实现虚拟网络报文的快速转发，主要采用了连接跟踪和状态监测方案，这种方案需要通过跟踪数据流的连接状态，在一般的物理网络中能够跟踪到真实的连接信息，但是在虚拟网络中，例如在采用隧道技术的虚拟网络中，无法跟踪到真实的连接信息，而导致该等现有方案不可行。

发明内容

本申请的目的是提供一种用于处理虚拟网络报文的方法与设备，以解决虚拟网络中数据报文无法安全快速转发的问题。

根据本申请的一个方面，提供了一种用于处理虚拟网络报文的方法，其中，该方法包括：

获取待处理的虚拟网络报文；

从所述虚拟网络报文中提取对应的元组信息；

根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

根据本申请的另一方面，还提供了一种用于处理虚拟网络报文的设备，其中，该设备包括：

报文获取装置，用于获取待处理的虚拟网络报文；

元组信息提取装置，用于从所述虚拟网络报文中提取对应的元组信息；

目标快速路径检测装置，用于根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

报文处理及发送装置，用于若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

与现有技术相比，本申请通过获取待处理的虚拟网络报文，并从所述虚拟网络报文中提取对应的元组信息，然后根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径，若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，实现了在虚拟网络中数据报文的快速转发。

而且，本申请还可以实现当所述目标快速路径未存在时，对所述虚拟网络报文执行对应的慢速校验处理，并且当所述虚拟网络报文通过所述慢速校验处理时，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，其中慢速校验处理包括各种安全校验及路由匹配等，实现了在虚拟网络中数据报文的安全转发。

此外，本申请还可以根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径，并根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合，通过这种方式，可以实现多个数据流的快速转发，而且，当数据流长时间没有流量经过时，可以回收相应的快速路径，能够节约存储空间。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1示出本申请的***拓扑图；

图2示出根据本申请一个方面的一种用于处理虚拟网络报文的方法流程图；

图3示出根据本申请一个优选实施例的一种用于处理虚拟网络报文的方法流程图；

图4示出根据本申请另一个优选实施例的方法流程图；

图5示出根据本申请另一个方面的一种用于处理虚拟网络报文的设备示意图；

图6示出根据本申请一个优选实施例的一种用于处理虚拟网络报文的设备示意图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本发明作进一步详细描述。

在本申请一个典型的配置中，终端、服务网络的设备和可信方均包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flashRAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

为更进一步阐述本申请所采取的技术手段及取得的效果，下面结合附图及较佳实施例，对本申请的技术方案，进行清楚和完整的描述。

图1展示了本申请的***拓扑图，对于流入虚拟机的虚拟网络报文，经过宿主机网卡时被设备获取，根据所述虚拟机报文的相关信息选择进入相应的慢速检验处理或者相应的目标快速路径，然后对经过相应的慢速检验处理或者相应的目标快速路径的虚拟网络报文进行网络功能处理，最后将所述虚拟网络报文转发给虚拟机网卡。对于流出虚拟机的虚拟网络报文，经虚拟机网卡转发后被设备获取，根据所述虚拟机报文的相关信息选择进入相应的慢速检验处理或者相应的目标快速路径，然后对经过相应的慢速检验处理或者相应的目标快速路径的虚拟网络报文进行网络功能处理，最后将所述虚拟网络报文转发给宿主机网卡。其中，虚拟网络，是在物理网络上虚拟的一张网络，用于转发虚拟机之间的流量；虚拟机，是指可以像真实机器一样运行程序的计算机的软件实现，可以在计算机平台和终端用户之间创建一种环境，而终端用户则是基于这个软件所创建的环境来操作软件。本申请具体的实现方式在下述部分有描述，具体可参考下述描述。

图2展示了根据本申请的一个方面一种用于处理虚拟网络报文的方法，其中，该方法包括：

S1获取待处理的虚拟网络报文；

S2从所述虚拟网络报文中提取对应的元组信息；

S3根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

S4若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

在该实施例中，在所述步骤S1中，设备1获取待处理的虚拟网络报文；其中，虚拟网络报文包括流入虚拟机的网络报文和流出虚拟机的网络报文，本领域的技术人员可以理解，所述虚拟网络报文处于某个数据流中传输，当需要对所述虚拟网络报文处理时，要获取该虚拟网络报文该网络报文以暂时阻止其继续传输。具体地，获取所述虚拟网络报文的实现方式可以采用钩子函数(hook)来实现，其中，钩子函数是一个处理或过滤事件的回调函数，它可以捕捉当前进程或其它进程发生的事件。例如，当待处理的网络报文经过时，调用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

继续在该实施例中，在所述步骤S2中，设备1从所述虚拟网络报文中提取对应的元组信息；其中，对于采用隧道协议的虚拟网络，所述元组信息包括隧道ID(identification data，识别资料)、方向、源IP(Internet Protocol，互联网协议)、源端口、目的IP、目的端口和协议类型等，对于未采用隧道协议的虚拟网络，所述元组信息包括方向、源IP、源端口、目的IP、目的端口和协议类型等信息，所述元组信息用于检测是否存在所述虚拟网络报文所对应的目标快速路径。本领域技术人员可以理解，网络报文的组成包含报文头和报文内容，报文头中包含了源IP、源端口、目的IP、目的端口和协议类型等信息，因此可以通过报文头提取元组信息。具体地，对于采用隧道协议的虚拟网络，首先剥掉隧道头，然后获取网络报文的报文头信息作为元组信息；对于未采用隧道协议的虚拟网络，直接获取网络报文的报文头信息作为元组信息。

继续在该实施例中，在所述步骤S3中，设备1根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；其中，所述目标快速路径是使所述虚拟网络报文能够快速转发的路径，所述目标快速路径是根据所述虚拟网络报文对应的元组信息建立的，根据不同的元组信息会建立不同的目标快速路径，所以根据元组信息可以检测是否存在对应的目标快速路径。具体地，检测是否存在所述虚拟网络报文所对应的目标快速路径的方式，可通过比较所述元组信息与目标快速路径信息是否匹配来判断，当所述元组信息与目标快速路径信息匹配时，存在对应的目标快速路径，当所述元组信息与目标快速路径信息不匹配时，不存在对应的目标快速路径。

继续在该实施例中，在所述步骤S4中，若存在所述目标快速路径，设备1对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。其中，所述网络功能处理是一个网络功能的链表集合，可以根据具体需求自主扩展，可包括Qos(quality of service，服务质量)限速、统计记数及报文修改等。具体地，当存在所述目标快速路径时，直接对虚拟网络报文进行Qos限速、统计记数及报文修改等处理，并发送所述处理后的虚拟网络报文。

优选地，其中，所述步骤S2包括：

S21(未示出)当所述虚拟网络报文基于隧道协议时，解封装所述虚拟网络报文，并从解封装后的所述虚拟网络报文中提取对应的元组信息。

本领域的技术人员可以理解当所述虚拟网络报文基于隧道协议时，根据隧道协议会对所述虚拟网络报文以隧道头的形式进行封装，所以，对于采用隧道协议的虚拟网络报文要提取对应的元组信息，必须先解封之后才能提取。具体地，当所述虚拟网络报文基于隧道协议时，先剥掉隧道头，然后从剥掉隧道头的虚拟网络报文中提取对应的元组信息。

优选地，其中，所述步骤S4包括：

S41(未示出)若所述目标快速路径未存在，对所述虚拟网络报文执行对应的慢速校验处理；

S42(未示出)当所述虚拟网络报文通过所述慢速校验处理，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

在该实施例中，在所述步骤S41中，若所述目标快速路径未存在，设备1对所述虚拟网络报文执行对应的慢速校验处理；其中，所述慢速校验处理包括IP-Mac校验(internet protocol-media access control，IP地址与Mac地址校验)、ACL(access control list，访问控制列表)校验、攻击检验及路由查找等，所述慢速校验处理主要实现对所述虚拟网络报文的安全监测及路由匹配。具体地，若所述目标快速路径未存在，对所述虚拟网络报文执行相应的IP-Mac校验、ACL校验、攻击检验及路由查找等处理。

继续在该实施例中，在所述步骤S42中，当所述虚拟网络报文通过所述慢速校验处理，设备1基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。具体地，当虚拟网络报文有可能未通过所述慢速校验处理，这时可以直接将所述虚拟网络报文丢弃，当所述虚拟网络报文通过所述慢速校验处理时，根据所述元组信息确定对应的哈希值，并将该哈希值作为新的快速路径的属性信息，该属性信息与当前的时间信息作为新快速路径信息，从而生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行Qos限速、统计记数及报文修改等处理，然后发送经网络功能处理后的所述虚拟网络报文。

优选地，其中，所述步骤S1包括：

利用对应的宿主机网卡获取待处理的虚拟网络报文；

其中，所述步骤S4包括：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

在所述步骤S1中，设备1利用对应的宿主机网卡获取待处理的虚拟网络报文；具体地，当所述虚拟网络报文流入虚拟机前，通过对应的宿主机网卡利用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

在所述步骤S4中，若存在所述目标快速路径，设备1对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。具体地，若存在所述目标快速路径，对所述虚拟网络报文直接进行Qos限速、统计记数及报文修改等处理，并将处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

优选地，其中，所述步骤S1包括：

利用对应的虚拟机网卡获取待处理的虚拟网络报文；

其中，所述步骤S4包括：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。

在所述步骤S1中，设备1利用对应的虚拟机网卡获取待处理的虚拟网络报文；具体地，当所述虚拟网络报文流出虚拟机时，通过对应的虚拟机网卡利用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

在所述步骤S4中，若存在所述目标快速路径，设备1对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。具体地，若存在所述目标快速路径，对所述虚拟网络报文直接进行Qos限速、统计记数及报文修改等处理，并将处理后的所述虚拟网络报文发送至对应的宿主机网卡。

在一个优选的实施例中(参照图2)，其中，所述步骤S3包括：

S31(未示出)根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

其中，快速路径集合是由多个目标快速路径组成，所述多个目标快速路径是根据不同的元组信息建立的。具体地，设备1可以通过比较所述元组信息与所述虚拟机对应的快速路径集合中的信息是否匹配来检测是否存在所述虚拟网络报文所对应的目标快速路径，当所述虚拟机对应的快速路径集合中存在与所述元组信息匹配的信息时，就存在所述虚拟网络报文所对应的目标快速路径，当所述虚拟机对应的快速路径集合中不存在与所述元组信息匹配的信息时，那么就不存在所述虚拟网络报文所对应的目标快速路径。

优选地，参图3所示，该方法还包括：

S5根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合。

在该实施例中，其中，所述各快速路径的使用记录信息包括各快速路径的属性信息及时间信息等。具体地，当经过的虚拟网络报文含有新的元组信息时，设备1会根据该新的元组信息建立新的快速路径，即增加新的快速路径的属性信息、时间信息等，从而更新所述快速路径集合；当经过的虚拟网络不含新的元组信息时，根据所述虚拟网络报文的元组信息找到对应的快速路径，并更新该快速路径的时间信息，从而更新所述快速路径集合。另外，还可以根据所述快速路径集合中各快速路径的使用记录信息，删除长时间未有虚拟网络报文经过的对应的快速路径，以节约空间。

更优选地，该方法还包括：

S6若存在所述目标快速路径，更新所述目标快速路径对应的使用记录信息使用记录信息。

在该实施例中，其中目标快速路径对应的使用记录信息包括目标快速路径的属性信息及时间信息等，若存在所述目标快速路径，表示已经存在所述目标快速路径对应的属性信息、时间信息等，即之前已经有包含相同元组信息的数据报文经过，所以只要将所述目标快速路径对应的使用记录信息中的时间信息更新为当前时间即可。具体地，若存在所述目标快速路径时，将所述目标快速路径使用记录信息中的时间信息覆盖为当前时间信息，作为所述目标快速路径对应的新的使用记录信息。

优选地，其中，所述步骤S3包括：

S32(未示出)确定所述元组信息对应的哈希值；

S33(未示出)根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

在该实施例中，在所述步骤S32中，设备1确定所述元组信息对应的哈希值；本领域的技术人员可以理解，元组信息所包含的内容比较多，所以可以将元组信息映射为对应的哈希值来表示，这样在检测是否存在所述虚拟网络报文所对应的目标快速路径时，直接用哈希值来检测即可。具体地，可以通过哈希算法将元组信息映射为唯一的固定长度的较小二进制值，即哈希值。

继续在该实施例中，在所述步骤S33中，设备1根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。其中，所述虚拟机对应的快速路径集合是以哈希值作为属性信息建立的，即不同的快速路径对应不同的哈希值，所以可以通过检测所述虚拟机对应的快速路径集合中是否存在对应的哈希值来检测是否存在所述虚拟网络报文所对应的目标快速路径。具体地，已经获得元组信息对应的哈希值，只要比较快速路径集合中是否存在匹配的哈希值即可，当快速路径集合中存在匹配的哈希值时，就存在所述虚拟网络报文所对应的目标快速路径；当快速路径集合中不存在匹配的哈希值时，那么就不存在所述虚拟网络报文所对应的目标快速路径。

图4展示了根据本申请另一个优选实施例的方法流程图，如图所示，对于流入虚拟机的虚拟网络报文经过宿主机网卡转发到信息提取单元提取元组信息，并通过元组信息在快速路径集合中检测是否存在目标快速路径，如果存在所述目标快速路径则直接对所述虚拟网络报文进行网络功能处理，同时更新快速路径集合；如果不存在所述目标快速路径则对所述虚拟网络报文进行慢速校验处理，若所述虚拟网络报文未通过慢速校验处理，直接丢弃所述报文，若所述报文通过慢速校验处理，则建立新的目标快速路径，从而更新快速路径集合，然后对所述虚拟网络报文进行网络功能处理，并发送给虚拟机网卡。

对于流出虚拟机的虚拟网络报文经过虚拟机网卡转发到信息提取单元提取元组信息，并通过元组信息在快速路径集合中检测是否存在目标快速路径，如果存在所述目标快速路径则直接对所述虚拟网络报文进行网络功能处理，同时更新快速路径集合；如果不存在所述目标快速路径则对所述虚拟网络报文进行慢速校验处理，若所述虚拟网络报文未通过慢速校验处理，直接丢弃所述报文，若所述报文通过慢速校验处理，则建立新的目标快速路径，从而更新快速路径集合，然后对所述虚拟网络报文进行网络功能处理，并发送给宿主机网卡。

另外，设置的快速路径信息超时管理单元可以对快速路径集合定时扫描，并将长时间没有相应虚拟网络报文经过的快速路径删除，从而节约存储空间，提高效率。

与现有技术相比，本申请通过获取待处理的虚拟网络报文，并从所述虚拟网络报文中提取对应的元组信息，然后根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径，若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，实现了在虚拟网络中数据报文的快速转发。

而且，本申请还可以实现当所述目标快速路径未存在时，对所述虚拟网络报文执行对应的慢速校验处理，并且当所述虚拟网络报文通过所述慢速校验处理时，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，其中慢速校验处理包括各种安全校验及路由匹配等，实现了在虚拟网络中数据报文的安全转发。

此外，本申请还可以根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径，并根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合，通过这种方式，可以实现多个数据流的快速转发，而且，当数据流长时间没有流量经过时，可以回收相应的快速路径，能够节约存储空间。

图5展示了根据本申请的另一个方面提供的一种用于处理虚拟网络报文的设备1，其中，该设备包括：

报文获取装置，获取待处理的虚拟网络报文；

元组信息提取装置，从所述虚拟网络报文中提取对应的元组信息；

目标快速路径检测装置，根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

报文处理及发送装置，若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

在该实施例中，报文获取装置获取待处理的虚拟网络报文；其中，虚拟网络报文包括流入虚拟机的网络报文和流出虚拟机的网络报文，本领域的技术人员可以理解，所述虚拟网络报文处于某个数据流中传输，当需要对所述虚拟网络报文处理时，要获取该虚拟网络报文该网络报文以暂时阻止其继续传输。具体地，获取所述虚拟网络报文的实现方式可以采用钩子函数(hook)来实现，其中，钩子函数是一个处理或过滤事件的回调函数，它可以捕捉当前进程或其它进程发生的事件。例如，当待处理的网络报文经过时，调用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

继续在该实施例中，元组信息提取装置从所述虚拟网络报文中提取对应的元组信息；其中，对于采用隧道协议的虚拟网络，所述元组信息包括隧道ID(identification data，识别资料)、方向、源IP(Internet Protocol，互联网协议)、源端口、目的IP、目的端口和协议类型等，对于未采用隧道协议的虚拟网络，所述元组信息包括方向、源IP、源端口、目的IP、目的端口和协议类型等信息，所述元组信息用于检测是否存在所述虚拟网络报文所对应的目标快速路径。本领域技术人员可以理解，网络报文的组成包含报文头和报文内容，报文头中包含了源IP、源端口、目的IP、目的端口和协议类型等信息，因此可以通过报文头提取元组信息。具体地，对于采用隧道协议的虚拟网络，首先剥掉隧道头，然后获取网络报文的报文头信息作为元组信息；对于未采用隧道协议的虚拟网络，直接获取网络报文的报文头信息作为元组信息。

继续在该实施例中，目标快速路径检测装置根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；其中，所述目标快速路径是使所述虚拟网络报文能够快速转发的路径，所述目标快速路径是根据所述虚拟网络报文对应的元组信息建立的，根据不同的元组信息会建立不同的目标快速路径，所以根据元组信息可以检测是否存在对应的目标快速路径。具体地，检测是否存在所述虚拟网络报文所对应的目标快速路径的方式，可通过比较所述元组信息与目标快速路径信息是否匹配来判断，当所述元组信息与目标快速路径信息匹配时，存在对应的目标快速路径，当所述元组信息与目标快速路径信息不匹配时，不存在对应的目标快速路径。

继续在该实施例中，若存在所述目标快速路径，报文处理及发送装置对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。其中，所述网络功能处理是一个网络功能的链表集合，可以根据具体需求自主扩展，可包括Qos(quality of service，服务质量)限速、统计记数及报文修改等。具体地，当存在所述目标快速路径时，直接对虚拟网络报文进行Qos限速、统计记数及报文修改等处理，并发送所述处理后的虚拟网络报文。

优选地，其中，元组信息提取装置用于：

当所述虚拟网络报文基于隧道协议时，解封装所述虚拟网络报文，并从解封装后的所述虚拟网络报文中提取对应的元组信息。

本领域的技术人员可以理解当所述虚拟网络报文基于隧道协议时，根据隧道协议会对所述虚拟网络报文以隧道头的形式进行封装，所以，对于采用隧道协议的虚拟网络报文要提取对应的元组信息，必须先解封之后才能提取。具体地，当所述虚拟网络报文基于隧道协议时，先剥掉隧道头，然后从剥掉隧道头的虚拟网络报文中提取对应的元组信息。

优选地，其中，报文处理及发送装置包括：

慢速校验处理单元(未示出)，若所述目标快速路径未存在，对所述虚拟网络报文执行对应的慢速校验处理；

新快速路径生成单元(未示出)，当所述虚拟网络报文通过所述慢速校验处理，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

在该实施例中，若所述目标快速路径未存在，慢速校验处理单元对所述虚拟网络报文执行对应的慢速校验处理；其中，所述慢速校验处理包括IP-Mac校验(internet protocol-media access control，IP地址与Mac地址校验)、ACL(access control list，访问控制列表)校验、攻击检验及路由查找等，所述慢速校验处理主要实现对所述虚拟网络报文的安全监测及路由匹配。具体地，若所述目标快速路径未存在，对所述虚拟网络报文执行相应的IP-Mac校验、ACL校验、攻击检验及路由查找等处理。

继续在该实施例中，当所述虚拟网络报文通过所述慢速校验处理，新快速路径生成单元基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。具体地，当虚拟网络报文有可能未通过所述慢速校验处理，这时可以直接将所述虚拟网络报文丢弃，当所述虚拟网络报文通过所述慢速校验处理时，根据所述元组信息确定对应的哈希值，并将该哈希值作为新的快速路径的属性信息，该属性信息与当前的时间信息作为新快速路径信息，从而生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行Qos限速、统计记数及报文修改等处理，然后发送经网络功能处理后的所述虚拟网络报文。

优选地，其中，所述报文获取装置用于：

利用对应的宿主机网卡获取待处理的虚拟网络报文；

其中，所述报文处理及发送装置用于：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

所述报文获取装置利用对应的宿主机网卡获取待处理的虚拟网络报文；具体地，当所述虚拟网络报文流入虚拟机前，通过对应的宿主机网卡利用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

若存在所述目标快速路径，所述报文处理及发送装置对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。具体地，若存在所述目标快速路径，对所述虚拟网络报文直接进行Qos限速、统计记数及报文修改等处理，并将处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

优选地，其中，所述报文获取装置用于：

利用对应的虚拟机网卡获取待处理的虚拟网络报文；

其中，所述报文处理及发送装置用于：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。

所述报文获取装置利用对应的虚拟机网卡获取待处理的虚拟网络报文；具体地，当所述虚拟网络报文流出虚拟机时，通过对应的虚拟机网卡利用钩子函数获取所述待处理的网络报文以供后续报文处理使用。

若存在所述目标快速路径，所述报文处理及发送装置对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。具体地，若存在所述目标快速路径，对所述虚拟网络报文直接进行Qos限速、统计记数及报文修改等处理，并将处理后的所述虚拟网络报文发送至对应的宿主机网卡。

在一个优选的实施例中(参照图5)，其中，所述目标快速路径检测装置用于：

根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

其中，快速路径集合是由多个目标快速路径组成，所述多个目标快速路径是根据不同的元组信息建立的。具体地，目标快速路径检测装置可以通过比较所述元组信息与所述虚拟机对应的快速路径集合中的信息是否匹配来检测是否存在所述虚拟网络报文所对应的目标快速路径，当所述虚拟机对应的快速路径集合中存在与所述元组信息匹配的信息时，就存在所述虚拟网络报文所对应的目标快速路径，当所述虚拟机对应的快速路径集合中不存在与所述元组信息匹配的信息时，那么就不存在所述虚拟网络报文所对应的目标快速路径。

优选地，参图6所示，该设备还包括：

快速路径集合更新装置，根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合。

在该实施例中，其中，所述各快速路径的使用记录信息包括各快速路径的属性信息及时间信息等。具体地，当经过的虚拟网络报文含有新的元组信息时，快速路径集合更新装置会根据该新的元组信息建立新的快速路径，即增加新的快速路径的属性信息、时间信息等，从而更新所述快速路径集合；当经过的虚拟网络不含新的元组信息时，根据所述虚拟网络报文的元组信息找到对应的快速路径，并更新该快速路径的时间信息，从而更新所述快速路径集合。另外，还可以根据所述快速路径集合中各快速路径的使用记录信息，删除长时间未有虚拟网络报文经过的对应的快速路径，以节约空间。

更优选地，该设备还包括：

使用记录信息更新装置，若存在所述目标快速路径，更新所述目标快速路径对应的使用记录信息使用记录信息。

在该实施例中，其中目标快速路径对应的使用记录信息包括目标快速路径的属性信息及时间信息等，若存在所述目标快速路径，表示已经存在所述目标快速路径对应的属性信息、时间信息等，即之前已经有包含相同元组信息的数据报文经过，所以只要将所述目标快速路径对应的使用记录信息中的时间信息更新为当前时间即可。具体地，若存在所述目标快速路径时，使用记录信息更新装置将所述目标快速路径使用记录信息中的时间信息覆盖为当前时间信息，作为所述目标快速路径对应的新的使用记录信息。

优选地，其中，所述目标快速路径检测装置包括：

哈希值确定单元(未示出)，确定所述元组信息对应的哈希值；

哈希值检测目标快速路径单元(未示出)，根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

在该实施例中，哈希值确定单元确定所述元组信息对应的哈希值；本领域的技术人员可以理解，元组信息所包含的内容比较多，所以可以将元组信息映射为对应的哈希值来表示，这样在检测是否存在所述虚拟网络报文所对应的目标快速路径时，直接用哈希值来检测即可。具体地，可以通过哈希算法将元组信息映射为唯一的固定长度的较小二进制值，即哈希值。

继续在该实施例中，哈希值检测目标快速路径单元根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。其中，所述虚拟机对应的快速路径集合是以哈希值作为属性信息建立的，即不同的快速路径对应不同的哈希值，所以可以通过检测所述虚拟机对应的快速路径集合中是否存在对应的哈希值来检测是否存在所述虚拟网络报文所对应的目标快速路径。具体地，已经获得元组信息对应的哈希值，只要比较快速路径集合中是否存在匹配的哈希值即可，当快速路径集合中存在匹配的哈希值时，就存在所述虚拟网络报文所对应的目标快速路径；当快速路径集合中不存在匹配的哈希值时，那么就不存在所述虚拟网络报文所对应的目标快速路径。

与现有技术相比，本申请通过获取待处理的虚拟网络报文，并从所述虚拟网络报文中提取对应的元组信息，然后根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径，若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，实现了在虚拟网络中数据报文的快速转发。

而且，本申请还可以实现当所述目标快速路径未存在时，对所述虚拟网络报文执行对应的慢速校验处理，并且当所述虚拟网络报文通过所述慢速校验处理时，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文，其中慢速校验处理包括各种安全校验及路由匹配等，实现了在虚拟网络中数据报文的安全转发。

此外，本申请还可以根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径，并根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合，通过这种方式，可以实现多个数据流的快速转发，而且，当数据流长时间没有流量经过时，可以回收相应的快速路径，能够节约存储空间。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。装置权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (18)

1.一种用于处理虚拟网络报文的方法，其中，该方法包括：

获取待处理的虚拟网络报文；

从所述虚拟网络报文中提取对应的元组信息；

根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

2.根据权利要求1所述的方法，其中，所述从所述虚拟网络报文中提取对应的元组信息包括：

当所述虚拟网络报文基于隧道协议时，解封装所述虚拟网络报文，并从解封装后的所述虚拟网络报文中提取对应的元组信息。

3.根据权利要求1或2所述的方法，其中，所述根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径包括：

根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

4.根据权利要求3所述的方法，其中，该方法还包括：

根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合。

5.根据权利要求4所述的方法，其中，该方法还包括：

若存在所述目标快速路径，更新所述目标快速路径对应的使用记录信息。

6.根据权利要求3至5中任一项所述的方法，其中，所述根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径包括：

确定所述元组信息对应的哈希值；

根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

7.根据权利要求1至6中任一项所述的方法，其中，所述若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文还包括：

若所述目标快速路径未存在，对所述虚拟网络报文执行对应的慢速校验处理；

当所述虚拟网络报文通过所述慢速校验处理，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

8.根据权利要求1至7中任一项所述的方法，其中，所述获取待处理的虚拟网络报文包括：

利用对应的宿主机网卡获取待处理的虚拟网络报文；

其中，所述若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文包括：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

9.根据权利要求1至7中任一项所述的方法，其中，所述获取待处理的虚拟网络报文包括：

利用对应的虚拟机网卡获取待处理的虚拟网络报文；

其中，所述若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文包括：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。

10.一种用于处理虚拟网络报文的设备，其中，该设备包括：

报文获取装置，用于获取待处理的虚拟网络报文；

元组信息提取装置，用于从所述虚拟网络报文中提取对应的元组信息；

目标快速路径检测装置，用于根据所述元组信息检测是否存在所述虚拟网络报文所对应的目标快速路径；

报文处理及发送装置，用于若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

11.根据权利要求10所述的设备，其中，所述元组信息提取装置用于：

当所述虚拟网络报文基于隧道协议时，解封装所述虚拟网络报文，并从解封装后的所述虚拟网络报文中提取对应的元组信息。

12.根据权利要求10或11所述的设备，其中，所述目标快速路径检测装置用于：

根据所述元组信息在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

13.根据权利要求12所述的设备，其中，该设备还包括：

快速路径集合更新装置，用于根据所述快速路径集合中各快速路径的使用记录信息更新所述快速路径集合。

14.根据权利要求13所述的设备，其中，该设备还包括：

使用记录信息更新装置，用于若存在所述目标快速路径，更新所述目标快速路径对应的使用记录信息。

15.根据权利要求12至14中任一项所述的设备，其中，所述目标快速路径检测装置包括：

哈希值确定单元，用于确定所述元组信息对应的哈希值；

哈希值检测目标快速路径单元，用于根据所述哈希值在对应的快速路径集合中查询以检测是否存在所述虚拟网络报文所对应的目标快速路径。

16.根据权利要求10至15中任一项所述的设备，其中，所述报文处理及发送装置还包括：

慢速校验处理单元，用于若所述目标快速路径未存在，对所述虚拟网络报文执行对应的慢速校验处理；

新快速路径生成单元，用于当所述虚拟网络报文通过所述慢速校验处理，基于所述元组信息生成以供后续报文处理使用的新快速路径，并对所述虚拟网络报文进行网络功能处理，并发送经网络功能处理后的所述虚拟网络报文。

17.根据权利要求10至16中任一项所述的设备，其中，所述报文获取装置用于：

利用对应的宿主机网卡获取待处理的虚拟网络报文；

其中，所述报文处理及发送装置用于：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的虚拟机网卡。

18.根据权利要求10至16中任一项所述的设备，其中，所述报文获取装置用于：

利用对应的虚拟机网卡获取待处理的虚拟网络报文；

其中，所述报文处理及发送装置用于：

若存在所述目标快速路径，对所述虚拟网络报文直接进行网络功能处理，并将经网络功能处理后的所述虚拟网络报文发送至对应的宿主机网卡。