[发明专利]一种虚拟机隔离方法和装置

权利要求书

1.一种虚拟机VM隔离方法，应用于多个虚拟私有云VPC共用的网关设备，其特征在于，所述多个VPC分别属于不同虚拟专用网VPN，网关设备中存储有各VPC信息及其所属VPN信息；各VPC的VM所在物理服务器与网关设备与之间建立有通用路由协议封装GRE隧道，该方法包括：

网关设备接收到用户侧的报文时，确定报文所属VPN，对报文进行GRE隧道封装并将该VPN对应的VPC信息携带在GRE封装报文头部，将GRE封装报文发往目的VM所在物理服务器；

网关设备接收到VM侧的GRE封装报文时，根据GRE封装报文的头部携带的VPC信息确定解封装报文所属VPN并解封装GRE封装报文，基于解封装报文所属VPN发送解封装报文。

2.根据权利要求1所述的方法，其特征在于，

预先在网关设备的公网连接端口上为各VPC创建对应的子接口，并在该子接口上绑定该VPC所属VPN；

确定用户侧的报文所属VPN的方法为：根据接收报文的子接口绑定的VPN确定报文所属VPN；

基于解封装报文所属VPN发送解封装报文的方法为：确定绑定该VPN的子接口，将解封装报文从该子接口发送出去。

3.根据权利要求1所述的方法，其特征在于，

预先为各VPC所属VPN配置对应的公网IP地址池，并基于该VPC所属VPN对应的公网IP地址池，通过网络地址转换NAT配置该VPC中各VM的私网IP地址和公网IP地址之间的转换关系；

确定用户侧的报文所属VPN的方法为：将对应的公网IP地址池中包含报文的目的IP地址的VPN确定为报文所属VPN；

确定报文所属VPN之后，对报文进行GRE隧道封装之前，根据所述转换关系将报文的目的IP地址进行从公网IP地址到私网IP地址的NAT转换；

基于解封装报文所属VPN发送解封装报文的方法为：根据所述转换关系，将解封装报文的源IP地址进行从私网IP地址到公网IP地址的NAT转换，根据路由表转发解封装报文。

4.一种虚拟机VM隔离装置，应用于多个虚拟私有云VPC共用的网关设备，其特征在于，所述多个VPC分别属于不同虚拟专用网VPN，网关设备中存储有各VPC信息及其所属VPN信息；网关设备与各VPC的VM所在物理服务器之间建立有通用路由协议封装GRE隧道，该装置应用于网关设备，包括：接收单元、处理单元、发送单元；

所述接收单元，用于接收用户侧的报文；用于接收VM侧的GRE封装报文；

处理单元，用于接收单元接收到来自用户侧的报文时，确定报文所属VPN，对报文进行GRE隧道封装并将该VPN对应的VPC信息携带在GRE封装报文的头部，指示发送单元将GRE封装报文发往目的VM所在物理服务器；用于接收单元接收到VM侧的GRE封装报文时，解封装GRE封装报文并根据GRE封装报文的头部携带的VPC信息确定解封装报文所属VPN，指示发送单元基于解封装报文所属VPN发送解封装报文。

5.根据权利要求4所述的装置，其特征在于，该装置还包括配置单元；

所述配置单元，用于预先在网关设备的公网连接端口上为各VPC创建对应的子接口，并在该子接口绑定该VPC所属VPN；

所述处理单元确定用户侧的报文所属VPN时，用于：根据接收报文的子接口绑定的VPN确定报文所属VPN；

所述发送单元基于解封装报文所属VPN发送解封装报文时，用于：确定该绑定该VPN的子接口，将解封装报文从该子接口发送出去。

6.根据权利要求5所述的装置，其特征在于，该装置还包括配置单元；

所述配置单元，用于预先为各VPC所属VPN配置对应的公网IP地址池，并基于该VPC所属VPN对应的公网IP地址池，通过网络地址转换NAT配置该VPC中各VM的私网IP地址和公网IP地址之间的转换关系；

所述处理单元确定用户侧的报文所属VPN时，用于：将对应的公网IP地址池中包含报文的目的IP地址的VPN确定为报文所属VPN；

所述处理单元确定报文所属VPN之后，对报文进行GRE隧道封装之前，进一步用于：根据所述转换关系，将报文的目的IP地址进行从公网IP地址到私网IP地址的NAT转换；

所述发送单元基于解封装报文所属VPN发送解封装报文时，用于：根据属于该VPN的VPC中各VM的公网IP地址和私网IP地址之间的转换关系，将解封装报文的源IP地址进行从私网IP地址到公网IP地址的NAT转换，根据路由表转发解封装报文。