[发明专利]一种防止容器网络ARP欺骗的方法

说明书

技术领域

本发明涉及云计算技术领域，特别是一种防止容器网络ARP欺骗的方法。

背景技术

随着云计算的发展，很多业务系统逐渐的迁移到云平台上，同时很多业务系统，在云计算网络发展的变化下，对网络的要求也比较多。例如，两台虚拟机、容器等环境上要搭建一个Keepalive的心跳环境，就需要一个虚拟网络接口上允许一个MAC多个IP的通过，而传统的方式只允许一个MAC和一个IP的通过，已经不能满足需求。如何满足虚拟网络的需求，而能够有效防止虚拟网络的ARP欺骗呢？

发明内容

本发明解决的问题提供一种防止容器网络ARP欺骗的方法；在不开启防火墙功能的前提下，支持一张虚拟网络接口上多个IP和MAC匹配数据包的通过，防止容器网络的ARP欺骗，提高容器网络的安全性。

本发明解决上述技术问题的技术方案是：

所述的方法包括如下步骤：

步骤1：创建容器的虚拟网络接口；

步骤2：在数据中心获取虚拟网络接口上允许通过的所有IP和MAC信息；

步骤3：根据虚拟网络接口、IP和MAC信息，在虚拟网络接口后端建立基于ebtables的子链以及子链下的过滤规则；

步骤4：对满足过滤规则的IP和MAC地址，允许其ARP网络数据包通过，其他ARP数据包则禁止通行。

所述的方法允许一个MAC对应多个IP；一个MAC和一个IP组成一条记录。

所述的ebtables子链以及子链的过滤规则，

(1)建立ebtables上层链，使所有从该虚拟网络接口出来的ARP数据包都经过上层链；

(2)针对容器的某个虚拟网络接口建立ebtables子链，使从该接口上的二层网络数据包从上层链跳转到子链中；

(3)在子链中根据一个MAC和一个IP的记录，添加允许ARP协议通过的MAC和IP子链规则，支持添加多个规则；

(4)在子链最后抛弃没有匹配的数据包。

本发明方案的有益效果如下：

1、本发明的方法匹配一个容器的一个虚拟网络接口的二层数据包，支持多个MAC和IP规则，满足不同业务对网络数据包的复杂需求。

2、本发明的方法原理可靠、实现简单，可以很容易集成到第三方云平台中。

附图说明

下面结合附图对本发明进一步说明：

图1为本发明的流程图。

具体实施方式

如图所示，本发明的基本事实流程如下：

(1)创建容器的虚拟网络接口

虚拟网络接口的后端为dockerl_aftlink

将dockerl_aftlink添加到linux bridge的gcbr上

(2)获取允许虚拟接口上的MAC，IP列表信息。

从网络组件中心，获取到该虚拟接口后端dockerl_aftlink上允许的MAC、IP列表，如：12.16.10.1、fa：16：3e：a3：2b：16和10.10.0.13、fa：16：3e：a3：2b：06

(3)调用ebtables命令建立过滤MAC、IP队列的规则列表

在dockerl_aftlink虚拟网络接口后端上建立上层链dockerl-arp

ebtables -t nat -N dockerl-arp

ebtables -t nat -i dockerl_aftlink -j dockerl-arp

向虚拟接口规则链上依次添加IP和MAC规则

ebtables -t nat-A dockerl-arp -arp -p ARP --arp-mac-src fa：16：3e：a3：2b：16 --arp-ip-src 12.16.10.1 -j RETURN

ebtables -t nat -A dockerl-arp -arp -p ARP --arp-mac-src fa：16：3e：a3：2b：06 --arp-ip-src 10.10.0.13 -j RETURN

最后添加DROP规则到虚拟接口的子链中

ebtables -t nat -A dockerl-arp -j DROP。