[發明專利]一種虛擬化安全網關系統

有效

• 申請號: 202011434689.0
• 申請日: 2020-12-10
• 公開（公告）號: CN112600826B
• 公開（公告）日: 2022-02-22
• 發明（設計）人: 李永康;王洋;須成忠;張錦霞
• 申請（專利權）人: 中國科學院深圳先進技術研究院
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/14;H04L67/568;H04L67/5682;H04L12/66
• 代理公司: 深圳市科進知識產權代理事務所(普通合伙) 44316
• 代理人: 魏毅宏

1.一種虛擬化安全網關系統，其特征在于，所述虛擬化安全網關系統包括：

虛擬化RDMA：

采用軟硬件結合的混合虛擬化實現RDMA在單個主機上的虛擬化，結合軟件定義網絡中的數據路徑與控制路徑分離，在保證足夠的數據傳輸的前提下實現了虛擬化，以得到虛擬化的RDMA；

虛擬化安全網關：

針對RDMA的安全網關進行設計，對RDMA的連接進行監控；

虛擬化RDMA與虛擬化安全網關的結合：

虛擬化RDMA和虛擬化安全網關整體的結合步驟，包括：當虛擬機中的應用程序發出RDMA請求時：

S1：如果所述RDMA請求是數據傳輸的命令，則根據原有的調度過程，由驅動程序直接向SR-IOV分配的虛擬功能VF發出請求，完成數據的傳輸；

S2：如果RDMA請求是連接相關的命令，則根據已經修改好的函數功能，通過套接字接口，轉發到主機，對任務進行解析；

S3：對傳送來的數據進行解析，從中取出主機號、虛擬機號、讀寫類型，與物理主機上存放的安全規則庫的規則鏈表進行匹配；

所述虛擬化安全網關包括監控模塊、安全規則庫和規則分發模塊，其中，

監控模塊：用戶空間中的常駐進程，用于接收從虛擬機上轉發來的控制命令，并對命令進行解析，與規則庫進行匹配，所述監控模塊緩存已有的連接，以便后續的持續監控；

安全規則庫：所述安全規則庫存儲用戶指定的安全規則，以鏈表的形式將各個規則串接在一起，監控模塊通過遍歷該規則庫確定是否有安全異常；

規則分發模塊：放置在系統中的一臺可信主機上，當用戶對需要對安全規則進行更新時，通過規則分發模塊將規則更新、添加或刪除操作發送給每個主機。

2.如權利要求1所述的一種虛擬化安全網關系統，其特征在于，所述虛擬化RDMA和虛擬化安全網關整體的結合步驟，還包括：

S4：如果沒有安全規則相匹配，則監控模塊向網卡發出對應的請求，并將返回信息再次返回給虛擬機上的應用程序，以便應用程序完成后續的數據傳輸，同時監控模塊會緩存運行進行的連接的相關信息，以便后面持續監聽；

S5：如果匹配到了安全規則，說明該連接是被禁止的，此時監控模塊直接阻止連接的建立，并向應用程序返回創建連接失敗的信息。

3.如權利要求2所述的一種虛擬化安全網關系統，其特征在于，所述監控模塊對傳送來的數據進行解析，從中取出主機號、虛擬機號、讀寫類型，與物理主機上存放的安全規則庫的規則鏈表進行匹配。

4.如權利要求3所述的一種虛擬化安全網關系統，其特征在于，所述規則分發模塊將規則發送到其他主機時使用RDMA雙邊原語SEND/RECV，主機在系統啟動時會提前向持有規則分發模塊的主機發出RDMA的RECV操作，然后等待該事件被觸發。

5.如權利要求4所述的一種虛擬化安全網關系統，其特征在于，所述規則分發模塊在當需要對規則進行操作時，使用SEND命令將規則發送到每個主機上，從而RECV命令被消耗，然后再次發起一個RECV操作，從而保證每個主機一直在等待接收規則的更新、添加或刪除操作。

6.如權利要求5所述的一種虛擬化安全網關系統，其特征在于，步驟S4中，所述監控模塊中持續對已經建立的連接進行監控，當有新規則加入或者更新、刪除時，監控模塊對已有的連接進行掃描，并根據匹配結果進行進一步操作。

7.如權利要求6所述的一種虛擬化安全網關系統，其特征在于，步驟S5中，如果已有的連接中有一些匹配到了安全規則，監控模塊立即向網卡發出斷開連接的請求，并將斷開連接的信息發送給應用程序，保證后續的數據讀寫不會再進行，同時清除對該連接信息的緩存。