[发明专利]虚拟网络中租户工作负载的安全转发

权利要求书

1.一种方法，包括：

在虚拟路由器处接收数据包，所述虚拟路由器在连接到虚拟网络结构的虚拟网络堆栈中的第一计算装置的内核空间中执行，所述数据包包括源地址和目的地地址，所述目的地地址与在第二计算装置上执行的虚拟机相关联，其中，接收数据包包括捕获所述数据包；

在虚拟网络堆栈的网络层建立第一互联网协议IP端点；

在与第一计算装置上操作的主机操作系统OS相关联的主机OS网络堆栈的网络层建立第二IP端点；

经由第一IP端点将所述数据包从所述虚拟路由器转发到所述主机OS网络堆栈的所述第二IP端点，其中，所述主机OS网络堆栈包括IPSec加密模块，所述IPSec加密模块在所述第一计算装置上的内核空间中在所述主机OS网络堆栈的网络层执行，其中，所述主机OS网络堆栈连接到作为虚拟网络结构的底层结构操作的物理网络结构；

在所述IPSec加密模块处接收转发的数据包、加密所述转发的数据包、并且形成保存所述源地址和所述目的地地址的封装的数据包，其中，加密所述转发的数据包包括使用所述IPSec加密模块对所述转发的数据包进行加密；

将所述封装的数据包返回至所述虚拟路由器的所述虚拟网络堆栈的网络层，其中，返回包括将所述封装的数据包经由所述第二IP端点传送到所述第一IP端点；并且

将所述封装的数据包从所述虚拟路由器经由所述物理网络结构传输到与所述目的地地址相关联的虚拟机。

2.根据权利要求1所述的方法，其中，所述方法还包括：

在所述第二计算装置的虚拟路由器的虚拟网络堆栈的网络层建立第一互联网协议IP端点，所述虚拟路由器在所述虚拟网络堆栈中的所述第二计算装置的内核空间中执行，所述虚拟网络堆栈连接到所述虚拟网络结构；

在与所述第二计算装置上操作的主机操作系统OS相关联的主机OS网络堆栈的网络层建立第二IP端点；

在所述第二计算装置的所述虚拟路由器处接收所述封装的数据包；

经由第一IP端点将所述封装的数据包从所述第二计算装置的所述虚拟路由器转发到所述主机OS网络堆栈的所述第二IP端点，其中，所述主机OS网络堆栈包括加密模块，所述加密模块在所述第二计算装置上的内核空间中在所述主机OS网络堆栈的网络层执行，其中，所述主机OS网络堆栈连接到所述物理网络结构；

在所述加密模块处接收转发的所述封装的数据包，并解密所转发的所述封装的数据包以形成保存所述源地址和所述目的地地址的解密的数据包；

将所述解密的数据包返回到所述第二计算装置的所述虚拟路由器的所述虚拟网络堆栈的网络层，返回包括将所述解密的数据包从所述第二计算装置上的所述第二IP端点传送到所述第二计算装置上的所述第一IP端点；并且

将所述解密的数据包从所述第二计算装置的所述虚拟路由器传输到所述第二计算装置的与所述解密的数据包的目的地地址相关联的所述虚拟机。

3.根据权利要求1-2中任一项所述的方法，

其中，加密数据包以形成封装的数据包还包括使用封装的安全有效载荷ESP转换所加密的数据包。

4.根据权利要求1-2中任一项所述的方法，其中，转发所述数据包包括：

创建IP/MPLS数据包；并且

经由加密模块接口将所述IP/MPLS数据包写入所述加密模块。

5.根据权利要求4所述的方法，

其中，加密数据包以形成封装的数据包还包括使用封装的安全有效载荷ESP转换所加密的数据包。