[发明专利]云数据中心虚拟网络的隔离方法与装置

说明书

本发明的实施例提供云数据中心虚拟网络的隔离方法与装置，涉及云计算领域，用于提高虚拟网络的安全性。该方法包括：接收交换机发送的转发询问信息，转发询问信息由交换机在接收到数据包时发送；根据转发询问信息，确定数据包的源虚拟机与第一边缘层交换机的连接关系，以及数据包的目的虚拟机与第二边缘层交换机的连接关系，第一边缘层交换机是与源虚拟机直接相连的交换机，第二边缘层交换机是与目的虚拟机直接相连的交换机；根据上述连接关系以及保存的对应关系，确定源虚拟机与目的虚拟机是否属于同一租户租用的虚拟网络；当源虚拟机与目的虚拟机不属于同一租户租用的虚拟网络时，控制交换机丢弃数据包。本发明应用于网络安全技术。

技术领域

本发明涉及云计算领域，尤其涉及一种云数据中心虚拟网络的隔离方法与装置。

背景技术

云数据中心以资源出租为核心业务，租户可通过租用VM(Virtual Machine，虚拟机)来共享使用云数据中心的网络资源。同一租户租用的多个VM需要进行网络通信，从而形成一个虚拟网络。通常，多个虚拟网络共存于云数据中心的物理网络之上。由于传统网络不支持地址空间虚拟化以及难以实现对大规模网络的集中控制等缺陷，因此，面向多租户的云数据中心引入了SDN(Software Defined Networking，软件定义网络)技术。SDN技术的设计理念是要将网络的控制层与数据层进行分离，并实现网络的可编程控制。

基于SDN技术，现有技术中提出了根据VM到VM的资源需求将云数据中心中的不同租户分入不同的VDC(Virtual Data Center，虚拟数据中心)，并在此分隔的基础上为租户提供有保证的服务。

在实现基于VM到VM的资源需求进行VDC分隔的过程中，现有技术中至少存在如下问题：属于不同虚拟网络之间的VM的流量隔离问题没有得到解决，导致现有的虚拟网络存在安全隐患。

发明内容

本发明的实施例提供一种云数据中心虚拟网络的隔离方法与装置，能够提高虚拟网络的安全性。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种云数据中心虚拟网络的隔离方法，包括：

接收交换机发送的转发询问信息，所述转发询问信息由所述交换机在接收到数据包时发送；

根据所述转发询问信息，确定所述数据包的源虚拟机与第一边缘层交换机的连接关系，以及所述数据包的目的虚拟机与第二边缘层交换机的连接关系，其中，所述第一边缘层交换机是与所述源虚拟机直接相连的交换机，所述第二边缘层交换机是与所述目的虚拟机直接相连的交换机；

根据所述源虚拟机与所述第一边缘层交换机的连接关系、所述目的虚拟机与所述第二边缘层交换机的连接关系以及保存的对应关系，确定所述源虚拟机与所述目的虚拟机是否属于同一租户租用的虚拟网络；

当所述源虚拟机与所述目的虚拟机不属于同一租户租用的虚拟网络时，控制所述交换机丢弃所述数据包。

结合第一方面，在第一方面的第一种可能的实现方式中，

所述源虚拟机与所述第一边缘层交换机的连接关系包括所述源虚拟机与所述第一边缘层交换机的端口的第一连接关系；

所述目的虚拟机与所述第二边缘层交换机的连接关系包括所述目的虚拟机与所述第二边缘层交换机的端口的第二连接关系；

所述保存的对应关系包括：所述第一连接关系与租户租用的虚拟网络的对应关系，所述第二连接关系与租户租用的虚拟网络的对应关系。

结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，在所述根据所述源虚拟机与所述第一边缘层交换机的连接关系、所述目的虚拟机与所述第二边缘层交换机的连接关系以及保存的对应关系，确定所述源虚拟机与所述目的虚拟机是否属于同一租户租用的虚拟网络前，所述方法还包括：