[發明專利]基于用戶態協議棧虛擬路由器的網絡隔離方法和裝置

有效

• 申請號: 201811496544.6
• 申請日: 2018-12-07
• 公開（公告）號: CN111294316B
• 公開（公告）日: 2022-07-01
• 發明（設計）人: 程杜勇
• 申請（專利權）人: 網宿科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L45/586;H04L45/74;H04L45/00;H04L101/622
• 代理公司: 北京華智則銘知識產權代理有限公司 11573
• 代理人: 姜子朋;王昌貴

本發明公開了一種基于用戶態協議棧虛擬路由器的網絡隔離方法和裝置，屬于云計算技術領域。所述方法包括：當虛擬路由器初始化時，基于虛擬路由器的配置文件為系統運行的每個用戶態協議棧設置多個隔離空間，并為每個隔離空間設置獨立的隔離空間私有表項，隔離空間私有表項至少包括路由表；針對每個隔離空間，通過隔離空間的隔離空間私有表項處理隔離空間對應的數據報文。本發明可以降低系統資源消耗。

技術領域

本發明涉及云計算技術領域，尤其涉及一種基于用戶態協議棧虛擬路由器的網絡隔離方法和裝置。

背景技術

在云計算系統中，可以通過網絡隔離技術，在一臺網絡設備中為多個用戶分別對應設置一個隔離空間，各個用戶的數據存儲在對應的隔離空間中，并通過該隔離空間為用戶提供各種服務。

虛擬路由器用于內網間或者內網與公網間的數據報文轉發，當接收到數據報文后，虛擬路由器可以根據數據報文的目的IP，從預先設置的路由表中，選擇對應的路由規則，將數據報文轉發出去。在提供服務的過程中，虛擬路由器可以通過LXC、Jail等方法來實現不同用戶的網絡隔離，但是上述方法不能應用在基于DPDK等技術的用戶態協議棧上。當面對大量不同用戶時，需要為每個用戶單獨運行一個虛擬路由器，然而，同時啟動和運行多個虛擬路由器會消耗大量的系統資源。因此，目前亟需一種基于用戶態協議棧虛擬路由器的網絡隔離方法，能夠在用戶態協議棧實現虛擬路由器的網絡隔離，降低系統資源消耗。

發明內容

為了解決現有技術的問題，本發明實施例提供了一種基于用戶態協議棧虛擬路由器的網絡隔離方法和裝置。所述技術方案如下：

第一方面，提供了一種基于用戶態協議棧虛擬路由器的網絡隔離方法，系統中運行有多個用戶態協議棧，所述方法包括：

當虛擬路由器初始化時，基于虛擬路由器的配置文件為系統運行的每個用戶態協議棧設置多個隔離空間，并為每個隔離空間設置獨立的隔離空間私有表項，所述隔離空間私有表項至少包括路由表；

針對每個隔離空間，通過所述隔離空間的隔離空間私有表項處理所述隔離空間對應的數據報文。

進一步的，所述方法還包括：

將網卡與至少一個所述隔離空間建立關聯，且對于所述每個用戶態協議棧，每個所述網卡至多關聯所述用戶態協議棧對應的一個所述隔離空間，不同所述用戶態協議棧對應的具有相同隔離空間標識的隔離空間關聯同一個所述網卡。

進一步的，所述針對每個隔離空間，通過所述隔離空間的隔離空間私有表項處理所述隔離空間對應的數據報文，包括：

在目標網卡接收到數據報文后，基于目標用戶態協議棧確定所述目標網卡關聯的隔離空間，并將所述數據報文發送到所述目標網卡關聯的隔離空間；

根據所述目標網卡關聯的隔離空間的隔離空間私有表項，對所述數據報文執行所述虛擬路由器的業務處理。

進一步的，所述根據所述目標網卡關聯的隔離空間的隔離空間私有表項，對所述數據報文執行所述虛擬路由器的業務處理，包括：

通過所述目標網卡關聯的隔離空間的路由表，確定所述數據報文的目的IP對應的目標發送網卡標識和目標MAC地址；

根據所述目標發送網卡標識和所述目標MAC地址，對所述數據報文執行所述虛擬路由器的業務處理。

進一步的，所述隔離空間私有表項還包括地址轉換表，所述根據所述目標網卡關聯的隔離空間的隔離空間私有表項，對所述數據報文執行所述虛擬路由器的業務處理，包括：

在所述目標網卡關聯的隔離空間的路由表中，查找所述數據報文的目的IP對應的目標發送網卡標識和目標MAC地址；

在所述目標網卡關聯的隔離空間的地址轉換表中，查找所述數據報文的目的IP對應的地址轉換信息；