[发明专利]基于虚拟网络的安全域控制方法和系统

说明书

技术领域

本发明涉及计算机技术领域，更具体地，涉及一种基于虚拟网络的安全域控制方法、以及一种基于虚拟网络的安全域控制系统。

背景技术

安全域是在同一网络中，具有相同或者相似的安全保护需求和保护策略、相互信任和相互关联的网络要素的集合。在传统网络中，一般实现的方式是采用防火墙部署在边界处来实现，通过防火墙策略控制允许哪些IP访问此域、不允许哪些IP访问此域，允许该域访问哪些IP/网段、不允许访问哪些IP/网段。

在实际的环境中，很多应该化为同一安全域的计算机分布在各个子网中，无法将他们归入同一网段以设置边界来控制。而且在虚拟网络环境中，网络是可伸缩的、动态变化的，因此很难用传统的部署防火墙的方式来构建安全域的功能，并且难以解决虚拟机迁移后的安全域的跟随问题。

针对相关技术中的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中的问题，本发明提出一种基于虚拟网络的安全域控制方法和系统，能够在虚拟网络环境中实现虚拟安全域的功能。

为实现上述目的，一方面，本发明提供了一种基于虚拟网络的安全域控制方法，包括：安全域控制器接收基于虚拟交换标准OVS的OVS交换机发送的数据包头，其中，数据包头为流入OVS交换机的数据流中的数据包的数据包头；安全域控制器根据数据包头携带的信息以及预设的安全域中的白名单确定出OVS接收到的数据流为安全数据流时，指示OVS交换机放行数据流。

根据本发明，在安全域控制器接收基于虚拟交换标准OVS的OVS交换机发送的数据包头之前，该方法还包括：OVS交换机判断是否有与流入的数据流对应的数据流规则，如果为否，则将数据流中的数据包的数据包头发送给安全域控制器。

根据本发明，安全域控制器根据数据包头携带的信息以及预定的安全域中的白名单确定出OVS接收到的数据流为安全数据流时，指示OVS交换机放行数据流，包括：安全域控制器获取数据包头中的目标IP，并判断目标IP是否对应安全域中的虚拟机；如果是，获取数据包头中的源IP和协议信息，并且将源IP和协议信息与安全域中的白名单进行匹配；如果匹配，则建立与数据包的类型相对应的数据流规则，并向OVS交换机发送数据流规则；以及，安全域控制方法还包括OVS交换机在接收到数据流规则后，根据数据流规则放行数据流。

根据本发明，安全域控制方法还包括：如果源IP和协议信息中的任一个与安全域中的白名单不匹配，则建立与数据包的类型相对应的丢弃规则，并向OVS交换机发送该丢弃规则；OVS交换机在接收到丢弃规则后，丢弃数据流。

根据本发明，安全域控制方法还包括：安全域控制器根据数据包头携带的协议信息判断出数据包为TCP协议数据包时，进一步根据数据包头携带的其他信息检测数据包是否为SYN包以及数据包的源IP地址是否为安全域内的主机；检测为是时，根据安全域中的白名单判断是否允许TCP协议访问，如果为是，则指示OVS交换机放行数据流；如果为否，则指示OVS交换机丢弃数据流。

另一方面，本发明还提供了一种基于虚拟网络的安全域控制系统，包括安全域控制器，安全域控制器包括：接收模块，用于接收基于虚拟交换标准OVS的OVS交换机发送的数据包头，其中，数据包头为流入OVS交换机的数据流中的数据包的数据包头；流控制模块，用于根据数据包头携带的信息以及预设的安全域中的白名单确定出OVS接收到的数据流为安全数据流时，指示OVS交换机放行数据流。

根据本发明，安全域控制系统还包括OVS交换机，用于在接收到数据流后，判断是否有与数据流对应的数据流规则，如果为否，则将数据流中的数据包的数据包头发送给安全域控制器。

根据本发明，安全域控制器的流控制模块根据数据包头携带的信息以及预定的安全域中的白名单确定出OVS接收到的数据流为安全数据流时，指示OVS交换机放行数据流，包括：获取数据包头中的目标IP，并判断目标IP是否对应安全域中的虚拟机；如果是，获取数据包头中的源IP和协议信息，并且将源IP和协议信息与安全域中的白名单进行匹配；如果匹配，则建立与数据包的类型相对应的数据流规则，并向OVS交换机发送数据流规则；以及，OVS交换机还用于在接收到数据流规则后，根据数据流规则放行数据流。

根据本发明，流控制模块还用于在判断出源IP和协议信息中的任一个与安全域中的白名单不匹配时，建立与数据包的类型相对应的丢弃规则，并向OVS交换机发送丢弃规则；OVS交换机还用于在接收到丢弃规则后，丢弃数据流。