[發明專利]一種Xen虛擬機可信域間網絡連接的控制方法

有效

• 申請號: 201110173241.2
• 申請日: 2011-06-25
• 公開（公告）號: CN102223377A
• 公開（公告）日: 2011-10-19
• 發明（設計）人: 劉發貴;張浩;周海燕
• 申請（專利權）人: 華南理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州粵高專利商標代理有限公司 44102
• 代理人: 何淑珍

1.一種Xen虛擬機可信域間網絡連接的控制方法，其特征在于通過在后端宿主系統中設置信息度量模塊，在前端虛擬域中設置可信信息采集模塊，以及設置基于I/O端口的通信信道為后端宿主系統和前端虛擬域的域間網絡連接進行信息傳遞，并確定后端宿主系統作為域間網絡連接的可信方，前端虛擬域通過通信信道向后端宿主系統提出網絡訪問請求以及相應的可信信息，后端宿主系統通過驗證該可信信息，做出是否允許前端虛擬域訪問訪問的決策。

2.根據權利要求1所述的Xen虛擬機可信域間網絡連接的控制方法，其特征在于所述信息度量模塊包括策略執行模塊、網絡訪問授權模塊、TNC服務器模塊和完整性信息驗證模塊，所述可信信息采集模塊包括網絡訪問請求模塊、TNC客戶端模塊以及完整性信息收集模塊；

所述策略執行模塊將前端虛擬域的網絡訪問請求轉發給網絡訪問授權模塊進行相應的身份認證工作，以控制前端虛擬域對網絡的訪問；

所述網絡訪問授權模塊對前端虛擬域進行身份認證；

所述TNC服務器模塊對前端虛擬域進行平臺信息驗證；

所述完整性信息驗證模塊對前端虛擬域的完整性信息進行驗證；

所述網絡訪問請求模塊向后端宿主系統發送網絡訪問請求以及發送相應的身份認證信息；

所述TNC客戶端模塊收集前端虛擬域的平臺驗證信息；

所述完整性信息收集模塊收集前端虛擬域的完整性信息。

3.根據權利要求1或2所述的Xen虛擬機可信域間網絡連接的控制方法，其特征在于所述后端宿主系統使用Netfilter程序模塊來處理最終的網絡連接決策。

4.根據權利要求3所述的Xen虛擬機可信域間網絡連接的控制方法，其特征在于具體操作如下：

設定第一前端虛擬域Dom1要訪問第二前端虛擬域Dom2所在的虛擬網絡，則首先Dom1向后端宿主系統提出網絡訪問請求，后端宿主系統的信息度量模塊根據具體虛擬網絡的配置要求對Dom1提出安全可信信息的請求，Dom1根據該安全可信信息請求收集具體的安全可信信息并反饋給信息度量模塊，后端宿主系統對這些安全可信信息進行度量，如果通過度量，則由策略執行模塊啟動Netfilter程序允許Dom1訪問Dom2所在網絡，否則拒絕訪問。