[发明专利]一种适用于虚拟机的网络防火墙的实现方法

说明书

技术领域

本发明涉及云计算领域，特别是一种适用于虚拟机的网络防火墙的实现方法。

背景技术

在云计算时代，通过虚拟机的形式提供弹性计算资源给用户使用。通常，一个物理主机可以创建多台的虚拟机，一个管理员需要管理的虚拟机成倍的增长，因此虚拟机网络安全也面临着严峻的挑战。面对网络安全的问题，传统的解决办法在每台虚拟机上安装网络防火墙软件，然后在每台虚拟机上配置相应的防火墙规则。这种解决办法存在以下弊端：

1、网络防火墙管理配置麻烦，每次设置更新修改网络防火墙规则，用户需要远程登陆虚拟机逐一的设置。这种方式需要花费大量的人工，而且没有统一的界面展示修改规则，容易产生混乱。

2、每台虚拟机需要运行网络防火墙的软件，额外占用大量的计算机资源。

发明内容

本发明解决的技术问题在于提供一种适用虚拟机的网络防火墙的实现方法，解决传统方法存在的管理混乱、浪费资源的弊端，提供一个节省物理资源、灵活方便虚拟机网络防火墙的解决方案。

本发明解决上述问题，其特征在于：

包括如下步骤：

步骤1：宿主机安装防火墙软件，并且开启ip转发；

步骤2：宿主机创建的虚拟机以桥接的方式连接网络；

步骤3：宿主机上每创建一台虚拟机就创建新的子链表，子链表的名字跟虚拟机名字一致；

步骤4：在宿主机上初始化子链表规则，并且链接到FORWARD表；

步骤5：用户通过web页面修改虚拟机子链表的规则。

所述的宿主机可以创建、删除虚拟机防火墙，添加、修改虚拟机防火墙的规则；

所述的防火墙软件是运行在宿主机，能够实现上下行访问策略、ARP防御、DOS防御。

所述的步骤2是虚拟机网络接口连接到linux网桥；所述的网桥相当于在linux宿主机上实现了一个虚拟的交换机。

所述FORWARD链表允许网络数据包重新转发到虚拟机的网络接口，按虚拟机子链表的规则所定义的方法来进行放行(accept)、拒绝(reject)、丢弃(drop)处理这些数据包；

所述的初始化链表是为了保障虚拟机的网络安全性，默认规则是：虚拟机下行是拒绝访问的；上行访问时没有任何限制的；抵御ARP网关欺骗。

用户可以通过web页面修改虚拟机的防火墙规则。

防火墙规则只需要在宿主机上执行，而不需要在虚拟机上安装防火墙软件。

本发明实现了防火墙规则只需要在宿主机上执行，虚拟机操作内部无需再安装防火墙软件，提供一个节省资源，灵活方便虚拟机网络防火墙的实现方法。

附图说明

下面结合附图对本发明进一步说明：

图1为本发明的流程图；

图2为本发明的模型架构图。

具体实施方式

如图1、2所示，本发明包括如下步骤：

步骤1：宿主机安装防火墙软件，并且开启ip转发。

步骤2：宿主机创建的虚拟机以桥接的方式连接网络；即虚拟机网络接口连接到linux网桥；所述的网桥相当于在linux宿主机上实现了一个虚拟的交换机。

步骤3：宿主机上每创建一台虚拟机就创建新的子链表，子链表的名字跟虚拟机名字一致。

步骤4：在宿主机上初始化子链表规则，并且链接到FORWARD表；所述FORWARD链表允许网络数据包重新转发到虚拟机的网络接口，按虚拟机子链表的规则所定义的方法来进行放行(accept)、拒绝(reject)、丢弃(drop)处理这些数据包；所述的初始化链表是为了保障虚拟机的网络安全性，默认规则是：虚拟机下行是拒绝访问的；上行访问时没有任何限制的；抵御ARP网关欺骗。

步骤5：用户通过web页面修改虚拟机子链表的规则；即可以通过web页面修改虚拟机的防火墙规则。

前述中，宿主机可以创建、删除虚拟机防火墙，添加、修改虚拟机防火墙的规则。防火墙软件是运行在宿主机，能够实现上下行访问策略、ARP防御、DOS防御。

防火墙规则只需要在宿主机上执行，而不需要在虚拟机上安装防火墙软件。

本发明涉及的防火墙软件有多种，下面以iptables为例讲述其中一种虚拟机网络防火墙的实现方式，流程图如图1所示，具体实施过程如下

1、在宿主机执行以下命令，开启宿主机ip数据包转发

#sysctl-w net.ipv4.ip_forward＝1

2、创建虚拟机时，虚拟机网络接口采用桥接的方式，配置文件如下