[發明專利]基于云計算的虛擬機間安全通信保護系統及其方法

有效

• 申請號: 201010292144.0
• 申請日: 2010-09-25
• 公開（公告）號: CN102307246A
• 公開（公告）日: 2012-01-04
• 發明（設計）人: 莫展鵬;楊松;肖翱;岳強;季統凱
• 申請（專利權）人: 廣東電子工業研究院有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L12/56;H04L12/46
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于云計算的虛擬機間安全通信保護系統，其特征在于：包括虛擬機安全通信輸入/輸出處理單元(10)、彈性IP查詢和修改單元(11)、安全路由查詢和修改單元(12)、通信策略處理單元(13)、地址轉換處理單元(14)和虛擬機網絡接口處理單元(15)；

虛擬機安全通信輸入/輸出處理單元(10)，用于接收虛擬機安全通信相關的命令、判斷命令的類型并把命令輸出到相應的功能單元，最后把返回的結果進行顯示；

彈性IP查詢和修改單元(11)，用于查詢用戶的彈性IP資源和對彈性IP的屬性進行操作，包括分配新的彈性IP、釋放所分配的彈性IP、綁定彈性IP到虛擬機和解除彈性IP與虛擬機的綁定；

安全路由查詢和修改單元(12)，用于查詢用戶設置的安全路由規則和對路由規則進行操作，包括創建新的安全路由規則、刪除已有的安全路由規則和修改已有的安全路由規則；

通信策略處理單元(13)，用于判斷要與虛擬機通信的類型，針對不同的類型采用不同的通信策略、使用不同的通道；

地址轉換處理單元(14)，用于把外部入口的數據包中的公共IP地址轉換成虛擬機內部使用的私有IP地址；

虛擬機網絡接口處理單元(15)，用于在虛擬機通信的網絡接口上設置和執行用戶設置的安全規則。

2.根據權利要求1所述的基于云計算的虛擬機間安全通信保護系統，其特征在于：所述虛擬機安全通信相關的命令包括彈性IP的查詢和修改命令、安全路由的查詢和修改命令以及通信連接的命令；

所述彈性IP是指一個IP地址池中的IP，IP地址池是一組不用的共有IP地址，用戶能在虛擬機啟動或運行時動態地請求這個集合中的一個IP，在虛擬機暫停或關閉時把請求的IP釋放到這個集合中；

所述安全路由是一種IP數據包的轉發規則，所有通過系統的入口數據包都要符合這些規則才會被轉發，否則被丟棄；

所述通信策略處理是一種根據虛擬機之間所處位置的具體情況決定采用何種通信方式的決策機制，是虛擬機通信的全面考慮，確保處在任何位置的虛擬機之間的連通性；

所述地址轉換是公有IP地址與虛擬網絡中使用的私有IP地址之間的轉換；

所述虛擬網絡接口是虛擬機連接到物理網絡的接口，其通過橋接的方式連接到物理網卡。

3.根據權利要求2所述的基于云計算的虛擬機間安全通信保護系統，其特征在于：所述的安全路由結構包括協議、源端口、目標端口、用戶/組和源CIDR，其中，

協議，用于表示具體的通信協議，安全路由只轉發此種協議的數據，包括TCP、UDP以及ICMP；

源端口表示一個端口范圍的左邊界，目標端口表示一個端口范圍的右邊界，安全路由只允許訪問此端口范圍(包括左邊界和右邊界)的數據進入系統，否則數據將會被丟棄；

用戶/組與源CIDR二選其一，用戶/組表示安全路由只允許擁有此用戶/組標識的數據進入系統，否則數據將會被丟棄；

源CIDR與用戶/組二選其一，源CIDR表示安全路由只允許此CIDR表示的IP地址范圍內的主機發送的數據進入系統，否則數據將會被丟棄。

4.權利要求1所述的虛擬機間安全通信保護系統的通信方法，其特征在于：包括如下步驟：

A、用戶被允許在運行時把虛擬機實例附加到一個屬于用戶的虛擬網絡中；每個這樣的網絡都被賦予一個唯一的VLAN標簽和一個唯一的IP子網；用這種方法，每個虛擬網絡中的虛擬機集合與其他使用相同機制創建的虛擬網絡隔離開了，而且使用更細的子網劃分；

B、在虛擬機網絡之間有一個安全路由器的角色，默認的策略是阻斷所有虛擬機網絡之間的通信；如果用戶愿意的話，他/她們可以在其虛擬網絡上創建入口規則，允許比如ICMP的ping進/出公網；

C、所有虛擬機的IP都在一個私有IP地址池中獲得；指定一組不用的公共IP地址，然后讓用戶在虛擬機啟動或運行時動態地請求這個集合中的一個IP；最后，使用Linux?iptables網絡地址轉換(NAT)的特性定義動態的目的NAT(DNAT)和源NAT(SNAT)的從公有IP到私有IP地址的轉換。