[发明专利]虚拟机之间的通信方法、设备和系统

说明书

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种虚拟机之间的通信方法、设备和系统。

背景技术

由于在云处理的虚拟机数据中心中存在多个租户，为了避免通信报文在虚拟机之间交互的过程中被恶意用户监听，因此，提出了一种对同一租户的虚拟机之间进行报文通信交互时进行加密的技术方案，由于同一租户所拥有的密钥相同，从而保证了同一租户虚拟机之间的通信报文就只有本租户才能识别，提高了防范监听风险的能力。

但是，随着通信业务多样化的需求，不同租户之间也需要进行通信交互，但是现有的加密方案由于两个不同租户的密钥完全不同，因此不同租户之间无法进行通信交互。而且如果不同租户之间将密钥进行交互，也会增加将密钥泄露给其他非法用户的风险，对其他的报文通信的安全也会构成威胁。

发明内容

针对现有技术的上述缺陷，本发明实施例提供一种虚拟机之间的通信方法、设备和系统。

本发明一方面提供一种虚拟机之间的通信方法，包括：

第一物理机通过第一虚拟网卡接收归属于第一用户的源虚拟机发送的报文，所述报文的报文头包括所述源虚拟机的第一标识信息和目标虚拟机的第二标识信息，所述报文的负载部分由所述第一虚拟网卡应用内置的第一密钥进行加密处理，其中，所述第一密钥是虚拟机监视器预先为所述第一用户配置的，其中，所述目标虚拟机不是部署在所述第一物理机上且归属于所述第一用户的虚拟机；

所述第一物理机查询预存储的用户注册信息，若判断获知所述源虚拟机和所述目标虚拟机不归属为同一用户，则将所述报文发送给虚拟化管理平台，以使所述虚拟化管理平台查询预存储的用户密钥信息获取与所述第一用户对应的第一密钥，以及与所述目标虚拟机归属的第二用户对应的第二密钥，并应用所述第一密钥对所述报文的负载部分进行解密处理后，再应用所述第二密钥对解密后的负载部分进行加密处理，并根据所述第二标识信息查询预存储的路由信息将处理后的报文发送给所述目标虚拟机所在的目标物理机，以使所述目标物理机根据所述第二标识信息查询本地存储的虚拟机用户信息，将所述报文发送到与所述目标虚拟机对应的第二虚拟网卡上，以使所述第二虚拟网卡应用内置的所述第二密钥对所述报文进行解密处理后发送给所述目标虚拟机。

本发明另一方面提供一种虚拟机之间的通信方法，包括：

虚拟化管理平台接收第一物理机发送的报文，其中，所述报文的报文头包括源虚拟机的第一标识信息和目标虚拟机的第二标识信息，所述报文的负载部分由所述第一物理机上的第一虚拟网卡应用内置的第一密钥进行加密处理，其中，所述第一密钥是虚拟机监视器预先为所述源虚拟机归属的第一用户配置的，其中，所述报文是所述第一物理机根据预存储的用户注册信息确定所述源虚拟机和所述目标虚拟机不归属为同一用户后发送给所述虚拟化管理平台的；

所述虚拟化管理平台查询预存储的用户密钥信息获取与所述第一用户对应的第一密钥，以及与所述目标虚拟机归属的第二用户对应的第二密钥，并应用所述第一密钥对所述报文的负载部分进行解密处理后，再应用所述第二密钥对解密后的负载部分进行加密处理；

所述虚拟化管理平台根据所述第二标识信息查询预存储的路由信息将处理后的报文发送给所述目标虚拟机所在的目标物理机，以使所述目标物理机根据所述第二标识信息查询本地存储的虚拟机用户信息，将所述报文发送到与所述目标虚拟机对应的第二虚拟网卡上，以使所述第二虚拟网卡应用内置的所述第二密钥对所述报文进行解密处理后发送给所述目标虚拟机。

本发明又一方面提供一种第一物理机，包括：

第一接收模块，用于通过第一虚拟网卡接收归属于第一用户的源虚拟机发送的报文，所述报文的报文头包括所述源虚拟机的第一标识信息和目标虚拟机的第二标识信息，所述报文的负载部分由所述第一虚拟网卡应用内置的第一密钥进行加密处理，其中，所述第一密钥是虚拟机监视器预先为所述第一用户配置的，其中，所述目标虚拟机不是部署在所述第一物理机上且归属于所述第一用户的虚拟机；