[发明专利]一种云计算虚拟网络与物理网络隔离安全方法

说明书

技术领域

本发明涉及云计算技术的网络技术安全领域，特别是涉及一种云计算虚拟网络与物理网络隔离安全方法。

背景技术

云计算以服务的方式通过网络提供IT资源，具有按需付费、降低成本、随时随地、节能降耗等优势，是大型计算机、PC机、互联网之后又一次的产业革命。

云计算将推动传统设备提供商进入服务领域，推动软件企业向服务化转型，重新整合产业链，催生跨行业融合的新兴服务业态，对产业升级与结构调整产生积极而深远的影响。

云计算是一种新的资源管理方式，在该模式下，通过网络把多个成本相对较低的计算实体整合成一个具有强大计算能力的系统（“云”端），并借助SaaS、PaaS、IaaS等先进的商业模式把这强大的计算能力分布到众多终端用户手中。

云计算具有虚拟化、高可靠性、高可扩展性、高性价比等特点，具有按需付费、降低成本、随时随地、节能降耗等四大优势。作为一种新兴技术和商业模式，云计算将加速信息产业和信息基础设施的服务化进程，催生大量新型互联网信息服务，带动信息产业格局的整体变革。

VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。

如图1所示，当前云计算平台的物理网络与虚拟机网络是互通的，对云计算网络的安全产生重大安全隐患，制约了云计算的技术的成熟。

物理网络与虚拟网络没有实现隔离，两个网络之间会进行互相通信，造成很大的安全隐患；当黑客入侵虚拟网络中的任意一台机器时，可以渗透物理网络机器入侵到用户内部网络，从而造成很大的安全危险。

发明内容

本发明要解决的技术问题是为了克服现有技术中的上述缺点和不足，提供一种云计算虚拟网络与物理网络隔离安全方法。

本发明通过以下技术方案予以实现的：

一种云计算虚拟网络与物理网络隔离安全方法，所述方法包括：

1）将物理交换机的物理网卡所连接的接口设置成trunk模式；

2）节点服务器通过虚拟网桥和虚拟交换机，分别将包含的一个或多个虚拟机划分在多个不同的vlan，对从节点服务器物理网卡发出的数据帧进行vlan tagged 和untagged操作，对于接收到的数据帧根据相应的tag header的vlan id信息来识别数据帧，实现二层网络的隔离；

3）在与节点服务器连接的交换机上建立相应的vlan，根据数据帧相应的tag header的vlan id信息来识别数据帧，对于从物理网卡发出的数据帧进行vlan tagged 和untagged操作；

4）在集群服务器上安装防火墙，实现三层网络的访问控制；

5）结合IDS软件，在架构中留有外部调用接口，根据实际的选择的IDS所提供的调用接口做进一步的连接和通信，实现动态的安全控制。

所述集群服务器采用双物理网卡，用于作为不同节点服务器上的vlan之间的通讯网关，DHCP服务器设置在集群服务器中。

根据由vlan包提供的Linux vlan 功能，通过vconfig命令对数据帧进行vlan tagged 和untagged操作。

动态安全控制的响应，通过动态调整所有vlan配置和防火墙的配置来实现。

在节点服务器所在的交换机之间建立直接的链路，并配置成ACCESS模式，用于vlan数据通过。

所述动态安全控制还包括以下步骤：

所述动态安全控制还包括以下步骤：

A. 在使用基于节点服务器虚拟交换机的VLAN划分情况下，使用虚拟交换机本身支持的QOS功能，进行带宽的分配；

B. 在使用基于物理交换机VLAN划分情况下，结合LINUX内核本身提供的QOS功能，对不同VLAN的流量进行限制；

C. 结合相应的IDS检查工具，平台提供动态响应的接口，当IDS检测到某个虚拟机发送恶意流量时，动态对该虚拟机进行隔离或者关闭。

本发明与现有技术相比，具有以下优点：