[發(fā)明專利]一種基于策略感知的虛擬機(jī)遷移方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201410301165.2
• 申請(qǐng)日: 2014-06-27
• 公開（公告）號(hào): CN104050038B
• 公開（公告）日: 2018-04-10
• 發(fā)明（設(shè)計(jì)）人: 黃道超;張鴻;劉欣然;杜鵬
• 申請(qǐng)（專利權(quán)）人: 國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全管理中心
• 主分類號(hào): G06F9/48
• 分類號(hào): G06F9/48;G06F9/455
• 代理公司: 北京安博達(dá)知識(shí)產(chǎn)權(quán)代理有限公司11271
• 代理人: 徐國(guó)文

1.一種基于策略感知的虛擬機(jī)遷移方法，其特征在于：所述方法包括以下步驟：

I、確定安全策略的中間件；

II、確定前端服務(wù)器和后端服務(wù)器的資源需求和配置需求；

III、構(gòu)建flow安全圖；

IV、生成可達(dá)矩陣；

V、增加策略映射函數(shù)，實(shí)現(xiàn)虛擬機(jī)遷移IP地址變更后的安全策略轉(zhuǎn)換；

VI、虛擬機(jī)遷移；

所述中間件包括骨干路由器、防火墻安全規(guī)則、負(fù)載均衡策略、入侵檢測(cè)規(guī)則和接入路由器；

所述資源需求包括計(jì)算資源、中間件和網(wǎng)絡(luò)帶寬，所述配置需求包括允許的服務(wù)項(xiàng)；

遷移前，虛擬機(jī)通過構(gòu)建flow安全圖，為虛擬機(jī)訪問路徑上的所有安全中間件添加相應(yīng)的標(biāo)簽，生成遷移前可達(dá)矩陣；

遷移過程中，通過分割可達(dá)矩陣實(shí)現(xiàn)虛擬機(jī)遷移后與原應(yīng)用其他組件虛擬機(jī)之間的非必要通信流量的過濾；

遷移后，通過在安裝可達(dá)矩陣中的安全策略，嵌入虛擬機(jī)遷移后的flow安全圖。

2.如權(quán)利要求1所述的方法，其特征在于：所述步驟III包括：以云服務(wù)器節(jié)點(diǎn)為頂點(diǎn)，以所述云服務(wù)器節(jié)點(diǎn)之間的實(shí)際連接為邊，構(gòu)造flow安全圖；標(biāo)識(shí)所述云服務(wù)器節(jié)點(diǎn)的資源需求和配置要求二元組。

3.如權(quán)利要求1所述的方法，其特征在于：所述步驟IV包括：根據(jù)所述flow安全圖所示的訪問路徑，確定所述可達(dá)矩陣的單元的內(nèi)容。

4.如權(quán)利要求3所述的方法，其特征在于：確定所述可達(dá)矩陣的單元的內(nèi)容包括：判斷所述flow安全圖是否存在安全策略節(jié)點(diǎn)，若所述flow安全圖無(wú)安全策略節(jié)點(diǎn)，則所述可達(dá)矩陣中相應(yīng)單元為空，表示兩個(gè)網(wǎng)絡(luò)實(shí)體之間完全可達(dá)；若所述flow安全圖上有多個(gè)安全策略，則所述可達(dá)矩陣中相應(yīng)單元為多個(gè)安全策略取交集。

5.如權(quán)利要求1所述的方法，其特征在于：所述步驟VI包括：

S601、提取虛擬機(jī)遷移前的可達(dá)矩陣；

S602、通過分割所述可達(dá)矩陣過濾遷移后的所述虛擬機(jī)和未遷移的所述虛擬機(jī)的通信流量；

S603、通過多項(xiàng)式算法確定遷移后的安全圖的最小割，確定安全策略的流量過濾范圍，獲得遷移后虛擬機(jī)的可達(dá)矩陣；

S604、更新flow安全圖，獲得遷移后包含遷移虛擬機(jī)和未遷移虛擬機(jī)在內(nèi)的flow安全圖。

6.如權(quán)利要求5所述的方法，其特征在于：所述步驟S602中，所述虛擬機(jī)的遷移包括本地遷移和跨域遷移，過濾方法包括：

當(dāng)為本地遷移時(shí)，遷移后的所述虛擬機(jī)和未遷移的所述虛擬機(jī)之間依然為本地通信，可達(dá)矩陣未發(fā)生變化；當(dāng)為跨域遷移，遷移后的所述虛擬機(jī)與未遷移的所述虛擬機(jī)之間通過互聯(lián)網(wǎng)進(jìn)行通信，所述虛擬機(jī)遷移到另一個(gè)管理域中后為區(qū)分本地流量和異地流量，對(duì)可達(dá)矩陣單元進(jìn)行區(qū)分。