[發明專利]用于使用SDN的云安全性的彈性實行層

有效

• 申請號: 201380030790.1
• 申請日: 2013-06-11
• 公開（公告）號: CN104350467B
• 公開（公告）日: 2018-01-02
• 發明（設計）人: T.庫雷瓦爾;M.普爾詹迪;張穎
• 申請（專利權）人: 瑞典愛立信有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/53;H04L29/06
• 代理公司: 中國專利代理(香港)有限公司72001
• 代理人: 徐予紅,湯春龍

1.一種在分離式體系結構網絡中由控制器執行以控制云計算環境的網絡連接性的方法，所述分離式體系結構網絡包括耦合到所述控制器的多個交換器，其中所述控制器為多個虛擬機(VM)的網絡安全性管理策略實行，所述多個VM包括在所述云計算環境中執行應用并且經所述分離式體系結構網絡交換數據的源VM和目的地VM，所述方法包括以下步驟：

-由所述控制器接收源于所述源VM的分組；

-由所述控制器從所述接收的分組中提取應用標識符，所述應用標識符識別在所述源VM上運行的應用；

-由所述控制器基于所述應用標識符確定中間盒類型的鏈；

-由所述控制器基于所述云計算環境中資源的當前可用性，將所述鏈中所述中間盒類型的一個或更多個映射到對應的一個或更多個中間盒實例，其中所述中間盒實例的一個或更多個在所述分組上執行網絡安全性操作；以及

-由所述控制器將規則的集合添加到所述交換器以促使所述交換器經所述一個或更多個中間盒實例向所述目的地VM轉發所述分組，由此在所述云計算環境中實行網絡安全性。

2.如權利要求1所述的方法，其中所述源VM和所述目的地VM均由所述控制器控制，所述確定的步驟還包括以下步驟：

-將中間盒類型的所述鏈映射到中間盒實例的鏈；以及

-將規則的所述集合添加到所述交換器以促使所述交換器經中間盒實例的所述鏈將所述分組轉發到所述目的地VM。

3.如權利要求1所述的方法，其中所述源VM在所述控制器控制的第一區域中，并且所述目的地VM在第二控制器控制的第二區域中，所述映射的步驟還包括以下步驟：

-由所述控制器將中間盒類型的所述鏈中的中間盒類型的子集映射到中間盒實例的子集；以及

-將中間盒類型的所述鏈中剩余中間盒類型的映射推遲到所述第二控制器。

4.如權利要求1所述的方法，其中所述添加的步驟還包括將單個規則添加到所述交換器中給定的一個交換器以促使所述給定交換器根據所述單個規則向相同中間盒實例路由分組的步驟，其中所述分組具有源于不同VM或去往不同VM的不同應用標識符。

5.如權利要求1所述的方法，還包括以下步驟：

-接收源于已從第一物理服務器遷移到第二物理服務器的所述源VM的第二分組；

-從所述第二分組提取應用標識符，所述應用標識符與所述源VM遷移前相同；以及

-將所述應用標識符映射到與所述源VM的所述遷移前相同的中間盒類型的鏈。

6.如權利要求5所述的方法，其中在所述源VM的所述遷移之前和之后，相同中間盒類型映射到不同中間盒實例。

7.如權利要求1所述的方法，其中在所述源VM遷移到不同物理服務器后，所述源VM發射的分組攜帶的所述應用標識符保持相同。

8.如權利要求1所述的方法，其中所述規則之一指定所述中間盒實例的一個給定中間盒實例的入口交換器要彈出由所述分組攜帶的標記，所述標記具有指向所述給定中間盒實例的值。

9.如權利要求1所述的方法，其中所述規則之一指定所述中間盒實例的一個給定中間盒實例的出口交換器要壓入由所述分組攜帶的標記，所述標記具有指向下一中間盒實例的值，所述出口交換器要向所述下一中間盒實例發送所述分組。

10.如權利要求1所述的方法，還包括以下步驟：

-將所述鏈中的中間盒類型映射到中間盒實例的集合；

-從所述集合中選擇中間盒實例；以及

-識別選擇的所述中間盒實例的因特網協議(IP)地址。