[发明专利]一种访问控制的方法、装置及系统

说明书

技术领域

本发明涉及计算机通信领域，尤其涉及一种访问控制的方法、装置及系统。

背景技术

现有技术中，在虚拟化环境下，可通过分布式虚拟交换机实现ACL(Access Control List，访问控制列表)规则，即可在分布式虚拟交换机端口设置ACL规则，若虚拟机接收到数据包，该虚拟机中的控制模块则将通过对该虚拟机的ACL规则进行查询并判断，以得到对收到的数据包的处理方式，从而达到控制访问的目的。

在这种访问控制机制下，运行在一台服务器上的虚拟机向运行在另一台服务器上的虚拟机发送数据包时，另一台服务器根据ACL规则对收到的数据包进行处理，根据访问规则，如果将该数据包丢弃，将造成该数据包在传送过程中对网络流量的消耗。

发明内容

本发明的实施例提供一种访问控制的方法、装置及系统，能够通过在源虚拟机发送数据包时，在源服务器配置目标服务器上目标虚拟机的数据包转发规则，实现在源服务器对数据包进行处理，从而降低网络流量的消耗。

为达到上述目的，本发明的实施例采用如下技术方案：

根据本发明的第一方面，一种访问控制的方法，包括：

根据源虚拟机向目标虚拟机发送的第一数据包，源服务器查询第一转发表是否包括所述源虚拟机与所述目标虚拟机之间收发的数据包的转发规则，所述转发规则用于指示是否丢弃所述源虚拟机与所述目标虚拟机之间收发的数据包；其中，所述源虚拟机运行在所述源服务器上，所述目标虚拟机运行在目标服务器上；

若所述源服务器未查询到所述转发规则，所述源服务器发送所述第一数据包至所述目标服务器；

所述源服务器接收来自所述目标服务器的所述转发规则，并将所述转发规则存入所述第一转发表。

在第一方面的第一种可能的实现方式中，所述方法还包括：

若所述源服务器在所述第一转发表中查询到所述转发规则，所述源服务器根据所述转发规则判断是否丢弃所述第一数据包。

根据本发明的第二方面，一种访问控制的方法，包括：

目标服务器接收来自源服务器的第一数据包；其中，所述第一数据包为运行在所述源服务器上的源虚拟机向运行在所述目标服务器上的目标虚拟机发送的；

根据所述第一数据包，所述目标服务器查询第二转发表是否包括所述源虚拟机与所述目标虚拟机之间收发的数据包的转发规则，所述转发规则用于指示是否丢弃所述源虚拟机与所述目标虚拟机之间收发的数据包；

若所述目标服务器未查询到所述转发规则，所述目标服务器则根据预设的访问控制列表ACL生成所述转发规则，并将所述转发规则存入所述第二转发表；

所述目标服务器发送所述转发规则至所述源服务器。

在第二方面的第一种可能的实现方式中，当所述目标服务器根据所述ACL生成所述转发规则时，还包括：

所述目标服务器根据所述转发规则判断是否丢弃所述第一数据包。

根据本发明的第三方面，一种服务器，包括：

处理单元，用于根据源虚拟机向目标虚拟机发送的第一数据包，查询第一转发表是否包括所述源虚拟机与所述目标虚拟机之间收发的数据包的转发规则，所述转发规则用于指示是否丢弃所述源虚拟机与所述目标虚拟机之间收发的数据包；其中，所述源虚拟机运行在所述服务器上，所述目标虚拟机运行在目标服务器上；

发送单元，用于若所述处理单元未查询到所述转发规则，发送所述第一数据包至所述目标服务器；

接收单元，用于接收来自所述目标服务器的所述转发规则；

所述处理单元，还用于将所述接收单元接收的所述转发规则存入所述第一转发表。

在第三方面的第一种可能的实现方式中，若所述处理单元在所述第一转发表中查询到所述转发规则，所述处理单元，还用于根据所述转发规则判断是否丢弃所述第一数据包。

根据本发明的第四方面，一种服务器，包括：

接收单元，用于接收来自源服务器的第一数据包；其中，所述第一数据包为运行在所述源服务器上的源虚拟机向运行在所述服务器上的目标虚拟机发送的；

处理单元，用于根据所述第一数据包，查询第二转发表是否包括所述源虚拟机与所述目标虚拟机之间收发的数据包的转发规则，所述转发规则用于指示是否丢弃所述源虚拟机与所述目标虚拟机之间收发的数据包；若所述处理单元未查询到所述转发规则，所述处理单元则根据预设的访问控制列表ACL生成所述转发规则，并将所述转发规则存入所述第二转发表；

发送单元，用于发送所述转发规则至所述源服务器。