[发明专利]一种虚拟机网络接入分层控制方法

说明书

本发明特别涉及一种虚拟机网络接入分层控制方法。该虚拟机网络接入分层控制方法，包括虚拟机，虚拟机所在宿主机，物理机网络接入控制服务器，物理机安全策略服务器，虚拟机安全策略服务器和物理机接入策略执行点。该虚拟机网络接入分层控制方法，在云环境下，对于新加入云的物理机的入网请求，由云中的物理机网络接入控制服务器根据物理机安全策略处理；而物理机上新创建的虚拟机的入网请求，则由物理机根据虚拟机安全策略处理，减轻了网络接入控制服务器的压力，提高了处理效率的目的。

技术领域

本发明涉及虚拟机网络安全技术领域，特别涉及一种虚拟机网络接入分层控制方法。

背景技术

在云环境下，每个云内会存在大量的虚拟机，而且随时可能会有新的虚拟机被创建，并请求接入。如果所有的虚拟机网络接入请求都由统一的一个网络接入控制服务器处理，势必会增加网络接入控制服务器的工作量，进而降低处理效率。

目前各类虚拟机的网络模式大致包括：桥接模式(Bridge)、网络转换模式(NAT)、仅主机模式(Host-Only)等，其中最常用较方便的网络模式为NAT模式。在该网络模式下，虚拟机的IP只需要配置NAT网段中的IP，访问外部虚拟机或宿主机则是通过其所在宿主机的IP访问，虚拟机不需要有外部网络独立的IP，如果宿主机对其上的虚拟机禁用物理网卡设备，则虚拟机就无法接入外部网络。

基于上述情况，本发明提出了一种虚拟机网络接入分层控制方法。

发明内容

本发明为了弥补现有技术的缺陷，提供了一种简单高效的虚拟机网络接入分层控制方法。

本发明是通过如下技术方案实现的：

一种虚拟机网络接入分层控制方法，其特征在于，包括虚拟机，虚拟机所在宿主机，物理机网络接入控制服务器，物理机安全策略服务器，虚拟机安全策略服务器和物理机接入策略执行点；所述虚拟机安全策略服务器和物理机接入策略执行点均连接到虚拟机所在宿主机，所述物理机安全策略服务器通过物理机网络接入控制服务器连接物理机接入策略执行点；

具体步骤包括物理机网络接入和虚拟机网络接入两部分；在云环境下，对于新加入云的物理机的入网请求，由云中的物理机网络接入控制服务器根据物理机安全策略处理；而物理机上新创建的虚拟机的入网请求，则由物理机根据虚拟机安全策略处理。

所述物理机的网络接入流程，包括以下步骤：

(1)虚拟机所在宿主机向物理机接入策略执行点申请接入网络，并将自身安全性信息发送给物理机接入策略执行点；

(2)物理机接入策略执行点将虚拟机所在宿主机的安全性信息转发给物理机网络接入控制服务器；

(3)物理机网络接入控制服务器将虚拟机所在宿主机的安全性信息交给物理机安全策略服务器进行认证；

(4)物理机安全策略服务器根据策略验证虚拟机所在宿主机安全性信息，将认证结果发送给物理机网络接入控制服务器；

(5)物理机网络接入控制服务器根据认证结果给出虚拟机所在宿主机的接入策略，若安全性信息认证通过则允许接入，否则拒绝接入；

(6)物理机接入策略执行点实施接入策略，并通知虚拟机所在宿主机。

所述虚拟机网络接入流程，包括以下步骤：

(1)虚拟机请求使用虚拟机所在宿主机上的物理网卡接入网络；

(2)虚拟机所在宿主机上的虚拟机监控器定位到虚拟机，并收集虚拟机的安全性信息，将信息转发给宿主机管理员；

(3)宿主机管理员将虚拟机的安全性信息交给虚拟机安全策略服务器进行认证；

(4)虚拟机安全策略服务器根据策略验证虚拟机安全性信息，并给出认证结果；