[發明專利]一種網絡隔離時虛擬機與客戶機的通信方法及系統

有效

• 申請號: 202011362721.9
• 申請日: 2020-11-27
• 公開（公告）號: CN112565372B
• 公開（公告）日: 2023-05-09
• 發明（設計）人: 張從國;張輝;解瑞成;吳瑞;賈立平
• 申請（專利權）人: 山東乾云啟創信息科技股份有限公司;山東可信云信息技術研究院;中安可信（青島）網絡科技有限公司
• 主分類號: H04L67/141
• 分類號: H04L67/141;H04L9/40;H04L69/16;H04L12/46;G06F9/455;H04L41/40
• 代理公司: 濟南圣達知識產權代理有限公司 37221
• 代理人: 董雪

1.一種網絡隔離時虛擬機與客戶機的通信系統，其特征在于，包括：

虛擬機，包括虛擬串口設備，所述虛擬串口設備關聯到宿主機的一個本地SOCKET設備；

宿主機，作為SOCKET服務端，被配置為運行一個轉發程序，監聽設定的端口，接收客戶機的連接請求，打開虛擬機的本地SOCKET設備，以在客戶機與本地SOCKET設備之間轉發數據；

客戶機，作為SOCKET客戶端，被配置為在需要與虛擬機通信時，封裝本機IP地址并向宿主機發起連接請求；

具體地，宿主機中的轉發程序，作為SOCKET服務端優先啟動，監聽指定端口，等待客戶機的連接請求，接受客戶機請求之后派生一個子進程服務當前的客戶機，父進程繼續等待新的客戶機連接請求，從而宿主機可以同時支持多個客戶機的連接；

宿主機打開虛擬機對應的本地SOCKET設備，以其為媒介與虛擬機通信，宿主機本地的SOCKET設備文件在虛擬機內部表現為一個虛擬串口設備，虛擬機寫入其虛擬串口，宿主機將從其本地SOCKET設備讀到數據，反之亦然，宿主機寫入其本地SOCKET設備文件，虛擬機將從其虛擬串口讀到數據；

宿主機運行虛擬機時額外添加一塊網卡，或者虛擬機內部添加一塊偽網卡設備，這塊額外網卡或偽網卡設備由iSCSI協議專用，虛擬機內部的轉發程序從虛擬串口中讀取宿主機轉發的客戶機的IP地址，并設置為額外網卡或偽網卡的IP地址；虛擬機表面上擁有了客戶機的IP地址，但是這個IP地址并不能用于客戶機所屬網段的常規網絡通信，僅僅用于取代客戶機的iSCSI服務角色，讓虛擬機內部的iSCSI客戶端認為本機存在一個全功能的iSCSI服務，從而實現在網絡隔離時傳輸受控的特定網絡應用數據；

客戶機運行一個轉發程序，作為SOCKET客戶端，在轉發實際應用數據之前，先封裝本機IP地址并發至宿主機，之后在兩個端口之間持續轉發數據；

虛擬機運行一個轉發程序，首先打開宿主機為其模擬的虛擬串口設備，之后作為SOCKET服務端，監聽iSCSI服務端口，等待本機的iSCSI請求；轉發程序兼顧虛擬串口與iSCSI服務端口，從虛擬串口中讀取客戶機發送的IP地址并設置為額外網卡或偽網卡的IP地址，在虛擬串口設備與本機iSCSI服務端口之間持續轉發數據；

至此，客戶機與虛擬機之間的專用通道已經全線貫通；

其中，在客戶機運行一個轉發程序是為了增強方案的普適性，在有些網絡場景中客戶機與宿主機之間存在網閘設備，客戶機可以主動連接宿主機，但是宿主機不能主動連接客戶機，此時需要先從客戶機連接宿主機從而打通兩者之間的通道。

2.如權利要求1所述的一種網絡隔離時虛擬機與客戶機的通信系統，其特征在于，所述客戶機一端連接宿主機的設定端口，另一端連接本機的需要通信的設定服務端口。

3.如權利要求1所述的一種網絡隔離時虛擬機與客戶機的通信系統，其特征在于，所述虛擬機作為SOCKET服務端，監聽需要通信的設定服務端口，等待本機相應的服務請求，在虛擬串口設備與本機設定服務端口之間轉發數據。

4.如權利要求3所述的一種網絡隔離時虛擬機與客戶機的通信系統，其特征在于，對虛擬機額外添加虛擬網卡，或者在虛擬機內部添加偽網卡設備；并將客戶機發送的IP地址設置為額外網卡或偽網卡的IP地址。

5.一種網絡隔離時虛擬機與客戶機的通信方法，應用于權利要求1所述的一種網絡隔離時虛擬機與客戶機的通信系統，其特征在于，包括：

在虛擬機中添加虛擬串口設備，關聯到宿主機的一個本地SOCKET設備，將客戶機發送的IP地址設置為虛擬機中額外網卡或偽網卡的IP地址；

客戶機封裝本機IP地址并向宿主機發起連接請求；

宿主機接收客戶機的連接請求，打開虛擬機對應的本地SOCKET設備；在客戶機與本地SOCKET設備之間轉發數據；

虛擬機監聽需要通信的設定服務端口，等待本機的相應請求，在虛擬串口設備與本機設定服務端口之間轉發數據。