一种私有云租户间点对点单向动态专线连接的方法及系统与流程

1.本发明涉及私有云租户间网络连接技术领域，具体地说，是一种私有云租户间点对点单向动态专线连接的方法及系统，用于按照用户需求开通或关闭源租户虚拟机到目标租户虚拟机的单向访问，能够将访问限制具体到端口和协议，不允许业务需求以外的任意非法访问，使租户间的专线网络通道更安全、更灵活、更高效。


背景技术：

2.在企业私有云平台中，各个租户都配置了各自的私有网络，租户之间的私有网络是完全隔离的，不能互通的。而在一个企内部，租户通常是不同的部门或项目组，部门之间的业务往来使得它们之间不可避免会存在网络访问需求，而且随时都可能需要开通新的网络访问或者终止旧的网络访问。现有的解决方案主要有三个：（1）通过云路由的dnat功能将目标虚拟机的局域网ip地址映射成外部网络的ip地址，由于源虚拟机可通过源租户云路由的snat来访问外部网络，所以源虚拟机可通过访问目标虚拟机映射的外部网络ip来访问目标虚拟机。
3.（2）基于vpn直接打通两个租户间的虚拟局域网，方法是分别在源租户和目标租户的云路由上安装vpn软件来直接打通双方的虚拟子网，这种情况下，被vpn打通的两个虚拟子网将相当于连成一个大局域网，所有虚拟机之间均可互通。（3）在源租户云路由上设置静态路由策略，将来自源虚拟机到目标虚拟机的数据包路由转发到目标租户云路由的wan接口，再由目标租户的云路由转发到目标虚拟机。但这些方案不能精准地控制允许访问的来源，源租户下所有虚拟机都能访问目标虚拟机，增加了安全风险；无法做到灵活地控制点对点地单向打通，同时vpn软件的会带来额外的处理开销，降低网络性能；无法做到灵活地控制点对点地单向打通，同时vpn软件的会带来额外的处理开销，降低网络性能。
4.因此，亟需一种技术方法，能够按需精准地开通或关闭租户间的网络请求，并且不会额外突破私有网络本身的安全访问限制。


技术实现要素：

5.本发明的目的在于提供一种私有云租户间点对点单向动态专线连接的方法及系统，用于按照用户需求开通或关闭源租户虚拟机到目标租户虚拟机的单向访问，能够将访问限制具体到端口和协议，不允许业务需求以外的任意非法访问，使租户间专线网络通道更安全、更灵活、更高效。
6.本发明通过下述技术方案实现：一种私有云租户间点对点单向动态专线连接的方法，包括以下步骤：步骤s1.通过两台虚拟机作为源租户和目标租户的云路由并开启内核数据包转发，云平台控制节点向源租户云路由的宿主物理机h1发送调度指令，宿主物理机h1在其内部虚拟交换机上生成一个虚拟端口hp1；步骤s2.在源租户云路由所属的虚拟机上动态热添加一个虚拟网卡p1，将虚拟网
卡p1连接到hp1并通过网桥连通业务网大二层网络，在虚拟网卡p1上设置目标租户云路由所属的目标虚拟机上的虚拟子网1的vlan，将虚拟网卡p1接入目标虚拟机所属的虚拟子网1，在虚拟网卡p1上分配所属虚拟子网1的ip地址，将p1标记为专线接口并在源租户云路由上添加禁止任何数据包通过专线接口p1转发的策略；步骤s3.云平台管控节点通过管理网向源租户云路由发送增加snat策略的源地址转化指令，snat策略在收到符合要求的网络数据包时，将数据包中的源ip地址转换为专线接口的ip地址，同时在源租户云路由添加允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略；步骤s4.根据增加的snat策略和允许的转发策略，数据包从专线接口发送到目标虚拟机上；步骤s5.云平台管控节点通过管理网向源租户云路发送指令，在源租户云路由上删除源地址转化指令对应的snat策略，同时删除允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略，同时删除云路由内核中的跟踪表对应的连接；步骤s6.当源租户云路由专线接口上不存在snat的专线策略时，删除对应专线接口，并关闭专线连接链路。
7.在本技术方案中，可以选用两台linux虚拟机，利用其内核的数据包处理与转发能力，本发明按需精准地开通或关闭租户间的网络请求，并且不会额外突破私有网络本身的安全访问限制，在本技术方案中，一个租户的虚拟机向另一个租户的虚拟机发起网络请求时，我们将请求发起虚拟机的租户称为“源租户”，将被请求虚拟机的租户称为“目标租户”，将请求发起的虚拟机称为“源虚拟机”，将被请求的虚拟机称为“目标虚拟机”。本技术方案能够灵活地、随时地按照用户需求开通或关闭源租户虚拟机到目标租户虚拟机的单向访问，能将访问限制具体到端口和协议，不允许业务需求以外的任意非法访问，使租户间专线网络通道更安全、更灵活、更高效。
8.为了更好地实现本发明，进一步地，步骤s1包括：虚拟端口hp1通过网桥接入宿主物理机业务网网卡。
9.在本技术方案中网桥工作在数据链路层，把企业私有云平台的网络结构局域网连接起来。
10.为了更好地实现本发明，进一步地，步骤s2中将虚拟网卡p1连接到hp1以连通业务网大二层网络的方法包括：当源虚拟机直接请求目标虚拟机ip地址时，识别到目标地址不在当前子网内，则将数据包发往源虚拟机自己的网关lan1中，数据包将经业务网大二层网络送达网关。
11.在本技术方案中，lan接口接入业务网大二层网络，业务网大二层网络被vlan划分为多个虚拟子网，云路由的lan接口用作各个虚拟子网的网关，配置虚拟子网对应的vlan。
12.为了更好地实现本发明，进一步地，步骤s2还包括：虚拟网卡p1与目标虚拟机在物理链路层可达；云路由系统对调度完成后的虚拟网卡及ip地址进行识别，虚拟网卡作为源租户云路由的专线接口p1。
13.在本技术方案中，调度完成后虚拟网卡及ip地址将在云路由系统中被识别到，这个虚拟网卡作为源租户云路由的专线接口p1。
14.为了更好地实现本发明，进一步地，步骤s3中的snat策略包括：当云路由上的网关接口lan1收到数据包,并且数据包中的源ip地址、目标ip地址、目标端口和网络协议均能与开通需求匹配时，将数据包源地址转换为专线接口p1的ip地址。
15.在本技术方案中，网关接口lan1收到该数据包后，发现数据包的目标地址不是本机地址，则将数据包进行转发，在数据包发送出去之前，snat策略将数据包中的源地址转换为对应专线接口p1的ip地址，根据默认路由策略，数据包将交由专线接口p1发出。
16.为了更好地实现本发明，进一步地，步骤s4包括：当源租户下另一台虚拟机需要访问目标虚拟机或与其相同虚拟子网的其它虚拟机时，复用已存在的专线接口p1，同时在源租户云路由上添加禁止任何数据包通过专线接口p1转发的策略，以防止专线接口被未经允许的网络请求利用。并在源租户云路由上增加一条snat策略，同时在源租户云路由添加允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略；当另一租户的虚拟机也同时需要访问目标虚拟机时，在目标虚拟机所在虚拟子网内寻找一个空闲ip地址，并在租户的云路由上增加一条snat策略，同时在源租户云路由添加允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略。
17.当源租户下的虚拟机同时需要访问其它租户的目标虚拟子网时，在源租户云路由上再增加一个专线接口p2，同时在源租户云路由上添加禁止任何数据包通过专线接口p2转发的策略，以防止专线接口被未经允许的网络请求利用。并增加一条snat策略，同时在源租户云路由添加允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略。在本技术方案中，通过snat策略可实现私有云平台中源租户到目标租户的最小网络权限访问，并且这种访问具有安全精准、按需随时开闭、灵活可复用、路径短、效率高等特点。
18.为了更好地实现本发明，进一步地，步骤s5包括：当源地址转化指令对应的snat策略、允许源虚拟机ip到目标虚拟机ip或端口的数据包转发策略和内核中的跟踪表对应的连接同时被删除时，才能立即彻底的断开虚拟专线连接。
19.在本技术方案中，云平台管控节点通过管理网向源租户云路由发送指令，在源租户云路由上删除专线对应的snat策略。判定源租户云路由上是否有应用于对应专线接口的其它专线策略，如不存在则删除对应专线接口。
20.为了更好地实现本发明，进一步地，本发明还提供了一种私有云租户间专线网络连接的系统，包括源租户云路由、目标租户云路由、云平台和宿主物理机，其中：源租户云路由，用于开启内核数据包转发；用于在所属的虚拟机上动态热添加一个虚拟网卡p1，将虚拟网卡p1连接到hp1以连通业务网大二层网络，在虚拟网卡p1上设置目标虚拟机所属的虚拟子网1的vlan，将虚拟网卡p1接入目标虚拟机所属的虚拟子网1，在虚拟网卡p1上分配所属虚拟子网1的ip地址，将p1标记为专线接口并在源租户云路由上添加禁止任何数据包通过专线接口p1转发的策略；用于添加允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略；用于删除源地址转化指令对应的snat策略，同时删除允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略；用于当不存在应用于对应专线接口的除snat策略外的专线策略时，删除对应专线接口，并关闭专线连接链路；
目标租户云路由，用于开启内核数据包转发；用于根据增加的snat策略和允许的转发策略，在目标租户云路由的虚拟机中从专线接口接收数据包；云平台控制节点用于连接源租户云路由的宿主物理机h1；用于发送调度指令；用于通过管理网向源租户云路由发送增加snat策略的源地址转化指令，snat策略在收到符合要求的网络数据包时，将数据包中的源ip地址转换为专线接口的ip地址；用于通过管理网向源租户云路发送指令，在源租户云路由上删除源地址转化指令对应的snat策略，同时删除允许源虚拟机ip到目标虚拟机ip、端口、协议的数据包转发策略，同时删除内核中的跟踪表对应的连接；用于通过管理网向源租户云路发送指令；用于删除内核中的跟踪表对应的连接；宿主物理机，用于在其内部虚拟交换机上生成一个虚拟端口hp1。
21.本发明与现有技术相比，具有以下优点及有益效果：（1）本发明提供的专线网络访问具有安全精准、按需随时开闭、灵活可复用、路径短、效率高等优点；（2）本发明提供的专线接口与源虚拟机的网关在同一设备上，仅需在云路由的内核中进行一次源地址转换就可以直接转发送达目标，使得这种专线网络的发送路径较短，处理效率较高；（3）本发明能够做到灵活地控制点对点地单向打通虚拟机；（4）本发明能够按需精准地开通或关闭租户间的网络请求，并且不会额外突破私有网络本身的安全访问限制。
附图说明
22.本发明结合下面附图和实施例做进一步说明，本发明所有构思创新应视为所公开内容和本发明保护范围。
23.图1为本发明所提供的一种私有云租户间专线网络连接的方法的流程示意图。
24.图2为本发明所提供的私有云租户间专线网络的结构示意图。
25.图3为本发明所提供的私有云租户间专线网络数据包处理流向示意图。
26.图4为本发明所提供的一种私有云租户间专线网络连接的系统的结构示意图。
具体实施方式
27.为了更清楚地说明本发明实施例的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，应当理解，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例，因此不应被看作是对保护范围的限定。基于本发明中的实施例，本领域普通技术工作人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
28.在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“设置”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；也可以是直接相连，也可以是通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
29.名词解释企业私有云平台：部署在企业内部局域网络中，仅供本企业使用的云平台。
30.租户:在企业私有云平台中，租户一般指的是一个部门或者是一个项目组。
31.云平台管控节点：在云平台中，某一台或几台物理服务器将作为管理控制中心，用于统一管理调度资源池中的所有软硬件资源，这样的服务器称为管控节点。
32.管理网：云平台管控节点与各受管节点之间通信的网络。
33.业务网：云平台中用于承担虚拟机通信的网络。
34.vlan：虚拟局域网，可将物理局域网划分成更小的虚拟局域网，每个vlan号对应一个虚拟局域网。
35.租户私有网络: 在云平台中，提供给租户使用的私有网络属于租户私有，默认情况下，不同租户的私有网络之间应该是被隔离开的，相互不能访问。
36.云路由：在传统网络环境中，路由是采用路由器硬件来实现。在云平台中，采用虚拟路由来实现，本方案中的云路由本质上是虚拟机。
37.外部网络：云平台以外的网络，外部计算机能从外部网络经云路由转发来访问云平台中的虚拟机，私有网络中的虚拟机也可以通过云路由转发来访问外部网络。
38.dnat：目标地址转换，可将网络数据包中的目标ip地址修改为指定的ip地址。
39.snat：源地址转换，可将网络数据包中的来源ip地址修改为指定的ip地址。
40.vpn：虚拟专用网络，可在公共网络上建立一个专有网络通道，通过加解密实现两个局域网之间的通信。
41.实施例1：本实施例的一种私有云租户间点对点单向动态专线连接的方法，如图1所示，本实施例仅在源租户云路由上增加专线接口并施加snat策略，使得这种专线网络只能按需单向访问，基于snat策略可精准地匹配数据包源ip、目标ip、端口及协议的特性，使得专线网络转发是可以被精准控制的，因此这种专线网络是安全和精准的。结合云路由所属虚拟机的虚拟网卡可动态热插拔的技术特性，以及snat策略可动态设置生效的特性，使得这种专线网络是可以按需地随时地开闭。通过对snat策略的变换处理可以复用同一专线接口开通多条专线网络，使得这种专线网络是可以灵活地适应需求，并且线路是可复用的。源虚拟机与目标虚拟机本属不同子网，根据网络层协议须至少经过1个网关才能到达目标，而本方案中的专线接口与源虚拟机的网关在同一设备上，仅需在云路由的内核中进行一次源地址转换就可以直接转发送达目标，使得这种专线网络的发送路径较短，处理效率较高。
42.通过云平台调度功能在源租户云路由所属虚拟机上动态热添加一个虚拟网卡，该虚拟网卡接入到目标虚拟机所属虚拟子网，并分配所属虚拟子网的ip地址。调度完成后虚拟网卡及ip地址将在云路由系统中被识别到，这个虚拟网卡作为源租户云路由的专线接口p1，云平台管控节点通过管理网向源租户云路由发送指令来增加snat策略，当云路由上的网关接口lan1收到数据包,并且数据包中的源ip地址、目标ip地址、目标端口及网络协议均能与开通需求匹配时，将数据包源地址转换为专线接口p1的ip地址。
43.综上所述，这种专线网络访问具有安全精准、按需随时开闭、灵活可复用、路径短、效率高等优点。
44.实施例2：
本实施例在实施例1的基础上做进一步优化，虚拟端口hp1通过网桥接入宿主物理机业务网网卡。
45.本实施例的其他部分与实施例1相同，故不再赘述。
46.实施例3：本实施例在实施例1的基础上做进一步优化，如图2-3所示，当源虚拟机直接请求目标虚拟机ip地址时，识别到目标地址不在当前子网内，则将数据包发往自己的网关(lan1），数据包将经业务网大二层网络送达网关。网关(lan1)收到该数据包后，发现数据包的目标地址不是本机地址，则将数据包进行转发，在数据包发送出去之前，snat策略将数据包中的源地址转换为对应专线接口p1的ip地址，根据默认路由策略，数据包将交由专线接口p1发出。专线接口p1与目标虚拟机在同一子网内，因此数据包可经业务网大二层网络直接被送达至目标虚拟机。
47.本实施例的其他部分与实施例1相同，故不再赘述。
48.实施例4：本实施例在实施例1的基础上做进一步优化，在本实施例中，调度完成后虚拟网卡及ip地址将在云路由系统中被识别到，这个虚拟网卡作为源租户云路由的专线接口p1。
49.本实施例的其他部分与实施例1相同，故不再赘述。
50.实施例5：本实施例在实施例1的基础上做进一步优化，如图2-3所示，在本实施例中，通过云平台调度功能在源租户云路由所属虚拟机上动态热添加一个虚拟网卡，该虚拟网卡接入到目标虚拟机所属虚拟子网，并分配所属虚拟子网的ip地址。调度完成后虚拟网卡及ip地址将在云路由系统中被识别到，这个虚拟网卡作为源租户云路由的专线接口p1。云平台管控节点通过管理网向源租户云路由发送指令来增加snat策略，增加snat策略如下：当云路由上的网关接口lan1收到数据包,并且数据包中的源ip地址、目标ip地址、目标端口及网络协议均能与开通需求匹配时，将数据包源地址转换为专线接口p1的ip地址。
51.本实施例的其他部分与实施例1相同，故不再赘述。
52.实施例6：本实施例在实施例1的基础上做进一步优化，如图2-3所示，当源租户下另一台虚拟机机需要访问目标虚拟机或与其相同子网的其它虚拟机时，可复用已存在的专线接口p1，只需要在源租户云路由上增加一条snat策略即可。当另一租户a的虚拟机也同时需要访问目标虚拟机时，只需在目标虚拟机所在虚拟子网内寻找一个空闲ip地址，并在租户a的云路由上施加相同的方法和策略即可。当源租户下的虚拟机同时需要访问其它租户的目标子网时，只需在源租户云路由上再增加一个专线接口p2并施加相同的方法和策略即可。
53.本实施例的其他部分与实施例1相同，故不再赘述。
54.实施例7：本实施例在实施例1的基础上做进一步优化，如图2-3所示，云平台管控节点通过管理网向源租户云路由发送指令，在源租户云路由上删除专线对应的snat策略。判定源租户云路由上是否有应用于对应专线接口的其它专线策略，如不存在则删除对应专线接口。
55.本实施例的其他部分与实施例1相同，故不再赘述。
56.实施例8：
本实施例还提供了一种私有云租户间点对点单向动态专线连接的系统，如图4所示，源虚拟机、源租户云路由均运行于宿主物理机上，虚拟交换机、网桥、业务网物理网卡属于宿主物理机的内部设备，源虚拟机和目标虚拟机分别处于两个不同租户的虚拟子网中。本系统需要动态开通或关闭源虚拟机对目标虚拟机指定端口的访问。实现方法是在源租户云路由上动态增加一个专线接口p1，专线接口p1上设置与目标租户云路由的目标虚拟机相同子网的ip地址和vlan号，使得专线接口p1与目标虚拟处于同一子网内。通过宿主物理机在其内部虚拟交换机上生成一个虚拟端口hp1，然后在源租户的云路由上施加snat策略，snat策略实现将符合条件的数据包通过专线接口p1转发到目标虚拟机，需要关闭访问时只需动态地删除源租户云路由上的snat策略和专线接口p1即可。
57.本实施例的其他部分与实施例1相同，故不再赘述。
58.以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化，均落入本发明的保护范围之内。