[发明专利]一种虚拟机隔离方法和装置

说明书

本发明提供了一种虚拟机隔离方法和装置，技术方案为：网关设备与虚拟机所在物理服务器建立基于GRE实现的VPN隧道，在VPN隧道中传输虚拟机的报文时，将虚拟机所属VPC信息携带在GRE隧道封装报文的头部，以此实现VPC之间虚拟机的隔离。

技术领域

本发明涉及通信技术领域，特别涉及一种虚拟机(Virtual Machine，VM)隔离方法和装置。

背景技术

虚拟私有云(Virtual Private Clouds，VPC)是一个公共云计算资源的动态配置池，需要使用加密协议、隧道协议和其他安全程序，在用户和云服务提供商之间传输数据。

在现有实现中，同一物理服务器上可能会部署多个VM，多个VM被划分到不同的VPC中，当在物理服务器和网关之间使用通用路由协议封装(Generic RoutingEncapsulation，GRE)协议进行数据传输时，不同VPC之间的VM无法实现数据隔离。

具体参见图1，图1是现有技术一种VPC组网示意图，物理服务器中有虚拟机VM1、VM2、VM3、VM4，其中，VM1、VM2被划分到VPC1，VM3、VM4被划分到VPC2。由于VM1、VM2、VM3、VM4部署在同一物理服务器，VPC1和VPC2共用一个网关。当物理服务器和网关之间建立GRE隧道并通过GRE隧道传输VM的数据流，数据流走相同的GRE隧道时，VM1、VM2、VM3、VM4的数据流量无法实现隔离。

发明内容

有鉴于此，本发明的目的在于一种VM隔离方法和装置，可以使用GRE隧道在VM所在物理服务器与网关设备之间传输数据时实现不同VPC的VM之间的数据隔离。

为了达到上述目的，本发明提供了如下技术方案：

一种VM隔离方法，应用于多个VPC共用的网关设备，其中，所述多个VPC分别属于不同VPN，网关设备中存储有各VPC信息及其所属VPN信息；各VPC的VM所在物理服务器与网关设备与之间建立有GRE隧道，该方法包括：

网关设备接收到用户侧的报文时，确定报文所属VPN，对报文进行GRE隧道封装并将该VPN对应的VPC信息携带在GRE封装报文头部，将GRE封装报文发往目的VM所在物理服务器；

网关设备接收到VM侧的GRE封装报文时，根据GRE封装报文的头部携带的VPC信息确定解封装报文所属VPN并解封装GRE封装报文，基于解封装报文所属VPN发送解封装报文。

一种VM隔离装置，应用于多个VPC共用的网关设备，其中，所述多个VPC分别属于不同VPN，网关设备中存储有各VPC信息及其所属VPN信息；网关设备与各VPC的VM所在物理服务器之间建立有GRE隧道，该装置应用于网关设备，包括：接收单元、处理单元、发送单元；

所述接收单元，用于接收用户侧的报文；用于接收VM侧的GRE封装报文；

处理单元，用于接收单元接收到来自用户侧的报文时，确定报文所属VPN，对报文进行GRE隧道封装并将该VPN对应的VPC信息携带在GRE封装报文的头部，指示发送单元将GRE封装报文发往目的VM所在物理服务器；用于接收单元接收到VM侧的GRE封装报文时，解封装GRE封装报文并根据GRE封装报文的头部携带的VPC信息确定解封装报文所属VPN，指示发送单元基于解封装报文所属VPN发送解封装报文。

由上面的技术方案可知，本发明中，网关设备与VM所在物理服务器之间通过GRE隧道传输VM的报文时，在GRE封装报文的头部携带VPC信息，通过GRE封装报文的头部携带的VPC信息的不同，将属于不同VPC的VM的报文区分开来，因此可以实现不同VPC的VM之间的流量隔离。

附图说明

图1是现有技术一种VPC组网示意图；

图2是现有技术GRE封装报文的头部格式示意图；