[发明专利]一种基于openflow协议实现多租户使用不同安全服务的方法

说明书

本发明提供了一种基于openflow协议实现多租户使用不同安全服务的方法，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备；⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式；⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，利用SDN技术，可以实现对同一租户同时提供多种安全服务，也可同时满足不同租户的不同安全服务需求。

技术领域

本发明涉及一种网络信息安全领域，具体涉及一种云环境下多租户要求使用不同安全服务的实现方法。

背景技术

随着云计算及云安全的发展，云客户对云安全的要求越来越高，不仅要求安全厂商满足安全功能的需求，更多的要求解决当前多租户下，安全设备分散、安全服务单一、安全服务搭配不灵活等问题。虚拟安全服务链是云安全中一个新的概念，现有的技术中服务链中安全服务单一、防护模式不灵活，多租户场景下对被防护对象所使用的网络技术强依赖，比如要求使用vxlan。因此，如何基于openFlow协议的虚拟化网络安全服务资源池，利用虚拟化及SDN技术来超融合各类安全产品，从而提供丰富的安全服务链，灵活的满足多租户下不同安全服务的要求，是本领域一个需要加以解决的技术问题。

发明内容

本发明提供了一种基于openflow协议实现多租户使用不同安全服务的方法，利用虚拟化及openflow技术超融合各类安全产品，提供丰富的安全服务链，灵活地满足多租户下不同安全服务的要求。本发明的具体技术方案如下：

一种基于openflow协议实现多租户使用不同安全服务的方法，其特征在于，包括如下步骤：

⑴使用一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，所述服务器至少有两个物理网卡；

⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；

⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；

⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式，通过所述虚拟交换机提供的命令，查询到所述业务虚拟网卡所在的虚拟交换机上关联的物理口及安全虚拟机的业务虚拟网卡对应的port号，并做好记录；

⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，通过报文中网络标识来区分租户，当所有租户使用安全服务链时，采用openflow协议，以所查到的port号为网卡在虚拟交换机上的唯一标识下发流表项，指定从一个物理网卡进的报文经过所述服务链后从另一个物理网卡出；当不同租户使用不同的服务链时，采用openflow协议，将不同服务链的流表项配置于不同的流表中，设置默认流表，将所有具有相同租户标识的报文均跳转至同一流表。

进一步的，所述服务器的物理网卡为两个，一个物理网卡用于链接外部网络，一个物理网卡用于链接要求被保护的用户网络。

进一步的，所述安全虚拟机为2至10个。

进一步的，所述网络标识为租户的ip、子网、vlan、端口号或其组合。

本发明的有益效果在于,利用虚拟化及SDN技术，一个安全服务资源池可以融合任意的安全设备，可以对同一租户同时提供多种安全服务，也可同时满足不同租户的不同安全服务需求。

附图说明

图1为本发明的一种基于openflow协议实现多租户使用不同安全服务的方法的原理示意图；