[发明专利]一种基于OpenvSwitch实现ACL功能的方法及系统

说明书

技术领域

本发明涉及计算机网络技术领域，具体涉及一种基于Open vSwitch实现ACL功能的方法及系统。

背景技术

由于一个虚拟机上可能存在多个虚拟后的系统，系统之间通讯就需要通过网络，但和普通的物理系统间通过实体网络设备互联不同，虚拟系统的网络接口也是虚拟的，因此不能直接通过实体网络设备互联，目前流行的一种解决方案是：虚拟交换(Virtual Switching，简称vSwitch)技术。所谓的vSwitch，是指将虚拟网桥完全在服务器(终端)硬件上实现，不涉及外部交换机的协作。

跟普通服务器设备一样，每个虚拟机有着自己的虚拟网卡(virtual NIC)，每个virtual NIC有着自己的MAC地址和IP地址。vSwitch相当于一个虚拟的二层交换机，该交换机连接虚拟网卡和物理网卡，将虚拟机上的数据报文从物理网口转发出去。根据需要，vSwitch还可以支持二层转发、安全控制、端口镜像等功能。

但现有技术中，利用传统的vSwitch实现访问控制列表(Access Control list，简称ACL)功能需要消耗CPU资源，对服务器的性能有影响。

发明内容

针对现有技术的缺陷，本发明提供的实现ACL功能的方法，采用Open vSwitch解决虚拟机流量的ACL功能，从而达到控制虚拟机数据流量的目的。

第一方面，本发明提供了一种基于Open vSwitch实现ACL功能的方法，该方法包括：

S1：第一主机将设置的关于某虚拟机的访问控制列表ACL规则发送到第一主机的网络控制服务端；

S2：网络控制服务端接收到ACL规则后，将所述ACL规则转换成开放虚拟交换标准Open vSwitch所使用的流Flow规则，并将所述Flow规则发送到所述虚拟机所在第二主机的网络代理服务端；

S3：网络代理服务端将接收到的Flow规则转换成OVS命令，并在第二主机上执行所述OVS命令，以将所述Flow规则插入Open vSwitch的流Flow表中。

优选地，该方法步骤S3后还包括：

当虚拟机内有流量进入到Open vSwitch中，Open vSwitch会在Flow表中进行对比，并执行相应Flow规则所定义的动作。

优选地，该方法步骤S2还包括：

网络控制服务端将接收到的ACL规则保存到分布式数据库中。

优选地，所述ACL规则适用于网络Network或虚拟网卡。

优选地，所述ACL规则之间的优先级从高到低依次为：不可覆盖的网络Network级别、虚拟网卡级别以及可覆盖的Network级别。

第二方面，本发明提供了一种基于Open vSwitch实现ACL功能的系统，该系统包括虚拟机、Open vSwitch、网络代理服务端及网络控制服务端；

网络控制服务端，用于将接收到的ACL规则转换成Open vSwitch所使用的Flow规则，将所述Flow规则发送到所述虚拟机所在主机的网络代理服务端；

网络代理服务端，用于将将接收到的Flow规则转换成OVS命令，并在本地主机上执行所述OVS命令，并将所述Flow规则插入所述Open vSwitch中的Flow表中；

Open vSwitch，用于根据进入到Open vSwitch中虚拟机的流量，在其Flow表中进行对比，并执行相应Flow规则所定义的动作。

优选地，所述网络控制服务端的功能还包括：将接收到的ACL规则保存到分布式数据库中。

优选地，所述虚拟机、所述Open vSwitch和所述网络代理服务位于同一主机，所述网络控制服务端位于另一主机。

优选地，所述系统还包括物理交换机，用于通过物理网卡连接不同主机。

由上述技术方案可知，本发明提供的一种实现ACL功能的方法和系统，采用Open vSwitch及分布式的结构解决了虚拟机流量的ACL功能，从而达到控制虚拟机数据流量的目的，由于整个系统分布于不同的主机，使得服务器性能明显提高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些图获得其他的附图。