[发明专利]一种基于macvlan模式的容器网络隔离方法

权利要求书

1.一种基于macvlan模式的容器网络隔离方法，其特征在于：基于服务器端、以及部署于宿主机上的客户端，针对宿主机上的各个容器实现网络隔离，其中，宿主机上应用macvlan网络驱动，生成宿主机上各容器分别所对应的虚拟MAC地址、虚拟IP地址，所述容器网络隔离方法包括如下步骤：

步骤A.客户端采集获得宿主机的网络信息和主机信息，保存至本地配置文件，并将本地配置文件推送至服务器端，然后进入步骤B；

步骤B.按预设业务需求启动宿主机上相应数量的容器，各个容器在启动时、分别挂载本地配置文件，同时，客户端将各容器基于macvlan网络驱动分别所对应的虚拟MAC地址、虚拟IP地址注册至服务器端，然后进入步骤C；

步骤C.服务器端根据各容器分别所对应的虚拟MAC地址、虚拟IP地址，下发指令至客户端，经客户端获取各容器分别所对应的namespace，然后进入步骤D；

步骤D.客户端启动数量与容器数量相等的各个线程，由各个线程分别一一对应针对各容器的进出口流量实现监测，并将所获进出口流量实时上传至服务器端，然后进入步骤E；

步骤E.服务器端根据各容器的实时进出口流量，结合各容器分别所对应的namespace，分别针对各容器设定隔离措施，并发往客户端，由客户端根据各容器的隔离措施，针对各容器进行隔离操作；

上述步骤E中，服务器端根据各容器的实时进出口流量，结合各容器分别所对应的namespace，分别针对各容器设定隔离措施，并发往客户端；客户端分别针对各容器，根据来自服务器端的隔离措施，通过内核模块TC针对容器的namespace设置流量进出队列，并且创建流量进出队列的端口限制策略，再将端口限制策略的流量设置为隔离措施中所配置流量大小，然后将端口限制策略应用到该容器相应的端口流量上，从而实现该容器的网络隔离。

2.根据权利要求1所述一种基于macvlan模式的容器网络隔离方法，其特征在于：所述步骤E中，服务器端根据各容器的实时进出口流量，结合各容器分别所对应的namespace，分别针对各容器设定流量报警条件，并发往客户端，由客户端根据各容器的流量报警条件，针对各容器设置容器流量阈值，防止流量使用溢出。

3.根据权利要求1所述一种基于macvlan模式的容器网络隔离方法，其特征在于：所述步骤A中的网络信息包括息IP地址、网卡性能参数。

4.根据权利要求1所述一种基于macvlan模式的容器网络隔离方法，其特征在于：所述步骤A中的主机信息包括CPU核数、内存容量、磁盘容量信息。

5.根据权利要求1所述一种基于macvlan模式的容器网络隔离方法，其特征在于：所述容器所对应的namespace包括进程的Cgroup root、进程间通信、网络、文件系统挂载点、进程ID、用户和组、主机名域名。

6.根据权利要求1所述一种基于macvlan模式的容器网络隔离方法，其特征在于：所述步骤D中，服务器端获得各容器实时进出口流量的同时，将各容器实时进出口流量进行汇总、并展示。