[发明专利]一种云计算中心网络安全解决方案

摘要

本发明公开了一种云计算中心网络安全解决方案，通过引入虚拟交换机与虚拟路由器，将物理层面的网络概念抽象到虚拟层面，在虚拟网络之上实现隔离、防火墙网络安全功能，该方案主要包括：搭建二层虚拟网络，划分子网，部署虚拟路由器，定义防火墙规则。本发明通过将网络科学的划分为公有网络池、私有网络池两大类，并根据不同的网络分类，分层制定部署方案，在更加满足客户灵活需求的同时，实现网络的分类、分层化管理。通过引入虚拟路由器，将物理网络抽象到虚拟层面，有效节省了物理网络IP的使用量，将底层网络的管理功能统一转交给虚拟路由器，使得网管人员直接通过管理虚拟路由器即可管理整个系统网络的配置与服务，管理更加简便快捷。

主权项

一种云计算中心网络安全解决方案，其特征在于：通过引入虚拟交换机与虚拟路由器，将物理层面的网络概念抽象到虚拟层面，在虚拟网络之上实现隔离、防火墙网络安全功能，该方案主要包括：搭建二层虚拟网络，划分子网，部署虚拟路由器，定义防火墙规则，其中：搭建二层虚拟网络,在物理网络互通的前提下，将服务器网卡抽象为虚拟交换机部件，提供二层网络服务，基于开源虚拟交换机Open vSwitch进行开发，将每台服务器的物理网卡与一台虚拟交换机一对一绑定，抽象形成二层虚拟交换机部件； 划分子网,通过基于VLan与IP池的子网划分方式，有效节省了物理网络IP的使用量，充分满足不同客户的各种网络需求，实现虚拟子网间的隔离；通过在虚拟交换机之上以VLan划分二层虚拟网络，保证系统内各类业务间的数据分离，将复杂的物理网络配置过程，抽象到虚拟层面，节省物理网络IP使用量的同时，简化了网络的配置过程；部署虚拟路由器，通过引入虚拟路由器，将物理层面的三层网络概念抽象到虚拟层面，将底层网络的管理功能统一转交给虚拟路由器，使得网管人员不必关心底层网络的具体分布情况，直接通过管理虚拟路由器即可管理整个系统网络的配置与服务，采用自主研发的虚拟路由器，提供NAT、路由、DHCP三层网络服务，实现虚拟子网之间的互联与访问控制；定义防火墙规则,通过向虚拟路由器发送防火墙控制命令，实现对系统网络的统一安全管理，本方案所采用的虚拟路由器根据源 IP 地址、目标 IP 地址、源端口、目标端口、协议5 元组对连接进行筛选和分组，在保证云数据中心各个子网网络性能的同时，保障系统网络的安全性；基于虚拟路由器添加防火墙规则，根据源 IP 地址、目标 IP 地址、源端口、目标端口、协议5 元组对连接进行筛选和分组，对虚拟机之间的流量进行基本的防火墙保护。