[发明专利]虚拟化网络边界数据流汇聚方法及装置

权利要求书

1.一种虚拟化网络边界数据流汇聚装置，其特征在于，至少包括安全策略模块、虚拟化网络数据流捕获模块和网络边界数据流过滤网模块，其中：

所述安全策略模块，运行于安全虚拟机的用户态，维护并管理不同租户的网络边界安全策略；

所述虚拟化网络数据流捕获模块，运行于安全虚拟机的内核态，监听虚拟交换机上的网络数据流，从中捕获网络边界安全策略指定网络接口的数据包，并将捕获的数据包提交到所述网络边界数据流过滤网模块，其中，网络边界安全策略指定网络接口指不同租户的网络边界安全策略对应的虚拟交换机上的网络接口；

所述网络边界数据流过滤网模块，运行于安全虚拟机的内核态，根据所述安全策略模块下发的各租户的网络边界安全策略，为各租户分别建立基于网络数据流的过滤网，以及将所述虚拟化网络数据流捕获模块提交的数据包通过此数据包对应的租户的过滤网进行过滤，将过滤后得到的属于该租户的安全域边界的网络数据流进行封装，并发送给该租户对应的网络安全产品，以进行检测和分析。

2.如权利要求1所述的装置，其特征在于，所述网络边界安全策略包括虚拟网络安全域边界网络数据流汇聚策略和虚拟机网络数据流过滤策略。

3.如权利要求1所述的装置，其特征在于，所述虚拟化网络数据流捕获模块，监听虚拟交换机上的网络数据流指：

所述虚拟化网络数据流捕获模块，对安全虚拟机所连接的虚拟交换机上的所述网络边界安全策略中租户的网络安全域拓扑信息包含的虚拟机的网络数据流进行监听。

4.如权利要求2所述的装置，其特征在于，

所述虚拟网络安全域边界网络数据流汇聚策略至少包括租户的网络安全域网络拓扑信息及安全域对应的安全检测设备的地址。

5.如权利要求2所述的装置，其特征在于，

所述虚拟机网络数据流过滤策略至少包括需要监控的虚拟主机IP地址和需要被监控的网络数据流的识别信息。

6.如权利要求5所述的装置，其特征在于，所述网络边界数据流过滤网模块将所述虚拟化网络数据流捕获模块提交的数据包通过此数据包对应的租户的过滤网进行过滤指：

所述网络边界数据流过滤网模块根据对应的租户的网络边界安全策略中的虚拟机网络数据流过滤策略，从所监听的虚拟交换机的数据包中仅将需要被送到安全设备进行深度包检测的数据包过滤出来，作为属于该租户的安全域边界的网络数据流。

7.如权利要求4所述的装置，其特征在于，所述网络边界数据流过滤网模块将封装的网络数据流发送给该租户对应的网络安全产品指：所述网络边界数据流过滤网模块根据租户的网络边界安全策略中虚拟网络安全域边界网络数据流汇聚策略，将封装的网络流发送给该租户对应的网络安全产品。

8.如权利要求7所述的该装置，其特征在于，该装置还包括：

网络边界数据流管道模块，运行于安全虚拟机的内核态，基于租户的虚拟网络安全域边界网络数据流汇聚策略建立起本装置到租户部署对应的安全检测产品的一条网络数据流传输管道，所述网络边界数据流过滤网模块通过所述网络边界数据流管道模块建立的管道将封装后的网络数据流发送到相应的网络安全产品。

9.一种虚拟化网络边界数据流汇聚方法，其特征在于，该方法包括：

虚拟化网络边界数据流汇聚装置根据不同租户的网络边界安全策略，监听虚拟交换机上的网络数据流，从中捕获网络边界安全策略指定网络接口的数据包，将所捕获的数据包通过预先建立的此数据包对应租户的过滤网进行过滤，将过滤得到的属于对应租户的安全域边界的网络数据流进行封装，并发送给与对应租户对应的网络安全产品，以进行检测和分析。

10.如权利要求9所述的方法，其特征在于，所述网络边界安全策略包括虚拟网络安全域边界网络数据流汇聚策略和虚拟机网络数据流过滤策略。

11.如权利要求10所述的方法，其特征在于，所述虚拟化网络边界数据流汇聚装置根据不同租户的网络边界安全策略，监听虚拟交换机上的网络数据流指：

所述虚拟化网络边界数据流汇聚装置，对所述网络边界安全策略中租户的网络安全域拓扑信息包含的虚拟交换机的网络数据流进行监听。