[發明專利]基于虛擬網絡的安全域控制方法和系統

有效

• 申請號: 201310751701.4
• 申請日: 2013-12-31
• 公開（公告）號: CN103763309B
• 公開（公告）日: 2018-03-30
• 發明（設計）人: 張翔;王軍林;唐明;徐博;成書晟
• 申請（專利權）人: 曙光云計算集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京德恒律治知識產權代理有限公司11409
• 代理人: 章社杲,孫征

1.一種基于虛擬網絡的安全域控制方法，包括：

安全域控制器接收基于虛擬交換標準OVS的OVS交換機發送的數據包頭，其中，所述數據包頭為流入所述OVS交換機的數據流中的數據包的數據包頭；

所述安全域控制器根據所述數據包頭攜帶的信息以及預設的安全域中的白名單確定出OVS接收到的數據流為安全數據流時，指示所述OVS交換機放行所述數據流；

其中，在安全域控制器接收基于虛擬交換標準OVS的OVS交換機發送的數據包頭之前，所述方法還包括：

所述OVS交換機判斷是否有與流入的數據流對應的數據流規則，如果為否，則將數據流中的數據包的數據包頭發送給安全域控制器；

所述安全域控制方法還包括：

所述安全域控制器根據所述數據包頭攜帶的協議信息判斷出所述數據包為TCP協議數據包時，進一步根據所述數據包頭攜帶的其他信息檢測所述數據包是否為SYN包以及所述數據包的源IP地址是否為安全域內的主機；

檢測為是時，根據所述安全域中的白名單判斷是否允許TCP協議訪問，如果為是，則指示所述OVS交換機放行所述數據流；如果為否，則指示所述OVS交換機丟棄所述數據流；

其中，安全域控制器根據所述數據包頭攜帶的信息以及預定的安全域中的白名單確定出OVS接收到的數據流為安全數據流時，指示所述OVS交換機放行所述數據流，包括：

安全域控制器獲取所述數據包頭中的目標IP，并判斷所述目標IP是否對應安全域中的虛擬機；

如果是，獲取所述數據包頭中的源IP和協議信息，并且將所述源IP和協議信息與安全域中的白名單進行匹配；

如果匹配，則建立與所述數據包的類型相對應的數據流規則，并向所述OVS交換機發送所述數據流規則；以及，

所述安全域控制方法還包括所述OVS交換機在接收到所述數據流規則后，根據所述數據流規則放行所述數據流；

所述安全域控制方法還包括：

如果所述源IP和協議信息中的任一個與安全域中的白名單不匹配，則建立與所述數據包的類型相對應的丟棄規則，并向OVS交換機發送所述丟棄規則；

所述OVS交換機在接收到所述丟棄規則后，丟棄所述數據流。

2.一種基于虛擬網絡的安全域控制系統，包括安全域控制器，所述安全域控制器包括：

接收模塊，用于接收基于虛擬交換標準OVS的OVS交換機發送的數據包頭，其中，所述數據包頭為流入所述OVS交換機的數據流中的數據包的數據包頭；

流控制模塊，用于根據所述數據包頭攜帶的信息以及預設的安全域中的白名單確定出OVS接收到的數據流為安全數據流時，指示所述OVS交換機放行所述數據流；

其中，所述安全域控制系統還包括OVS交換機，用于在接收到數據流后，判斷是否有與所述數據流對應的數據流規則，如果為否，則將數據流中的數據包的數據包頭發送給所述安全域控制器；

所述安全域控制器還包括：

TCP協議的單向訪問控制模塊，用于根據所述數據包頭攜帶的協議信息判斷出所述數據包為TCP協議數據包時，進一步根據所述數據包頭攜帶的其他信息檢測所述數據包是否為SYN包以及所述數據包的源IP地址是否為安全域內的主機；

檢測為是時，根據所述安全域中的白名單判斷是否允許TCP協議訪問，如果為是，則指示所述OVS交換機放行所述數據流；如果為否，則指示所述OVS交換機丟棄所述數據流；

其中，安全域控制器的流控制模塊根據所述數據包頭攜帶的信息以及預定的安全域中的白名單確定出OVS接收到的數據流為安全數據流時，指示所述OVS交換機放行所述數據流，包括：

獲取所述數據包頭中的目標IP，并判斷所述目標IP是否對應安全域中的虛擬機；

如果是，獲取所述數據包頭中的源IP和協議信息，并且將所述源IP和協議信息與安全域中的白名單進行匹配；

如果匹配，則建立與所述數據包的類型相對應的數據流規則，并向所述OVS交換機發送所述數據流規則；以及，

所述OVS交換機還用于在接收到所述數據流規則后，根據所述數據流規則放行所述數據流；

所述流控制模塊還用于在判斷出所述源IP和協議信息中的任一個與安全域中的白名單不匹配時，建立與所述數據包的類型相對應的丟棄規則，并向OVS交換機發送所述丟棄規則；

所述OVS交換機還用于在接收到所述丟棄規則后，丟棄所述數據流。