[发明专利]一种数据传输方法、装置、电子设备及存储介质

说明书

本发明公开一种数据传输方法、装置、电子设备及存储介质，该方法包括：虚拟交换机根据第一流表，将接收到的源业务虚拟机发送的数据包发送至微隔离虚拟机，微隔离虚拟机将数据包的转发信息与访问控制策略进行匹配，根据匹配结果将数据包发送至虚拟交换机，或丢弃数据包；虚拟交换机在接收到微隔离虚拟机返回的数据包后，根据第二流表，将数据包发送至目标业务虚拟机；第一流表和第二流表为微隔离策略服务器触发SDN控制器发送的，访问控制策略为微隔离策略服务器发送的。由于微隔离虚拟机可以将接收到的数据包中携带的转发信息与微隔离策略服务器发送的访问控制策略进行匹配，根据匹配结果对数据包进行处理，从而无需适配不同的云计算底层环境。

技术领域

本发明涉及网络安全技术领域，特别涉及一种数据传输方法、装置、电子设备及存储介质。

背景技术

在信息安全领域中，微隔离是一种用于进行细粒度网络访问控制的方案，微隔离技术通过统一的策略中心实时动态分析流量，并进行会话级别的流量异常访问告警和阻断，传统的防火墙大多基于静态配置的访问控制协议进行流量阻断，因此微隔离又被称为软件定义隔离(Software Defined Segmentation)。

微隔离通常应用于云计算环境中，通常采用轻代理方式解决网络防火墙无法获取东西向流量的问题，以及主机防火墙占用系统资源大的问题。但是，轻代理需要在虚拟机上安装代理程序，代理程序会需要适配大量的操作系统，同时也有部分用户的虚拟机存在拒绝安装代理程序的情况。因此需要无代理的技术方案来解决这个问题，无代理的方案需要虚拟化底层管理程序提供应用程序接口(Application Programming Interface，API)支持，这种方式的问题在于需要适配不同的云计算底层环境。

发明内容

本发明提供一种数据传输方法、装置、电子设备及存储介质，用以解决现有技术中无代理方案的微隔离无法适配不同的云计算底层环境的问题。

第一方面，本发明实施例提供一种数据传输方法，该方法包括：

虚拟交换机根据第一流表，将接收到的源业务虚拟机发送的数据包发送至微隔离虚拟机，以使所述微隔离虚拟机将所述数据包中携带的转发信息与访问控制策略进行匹配，根据匹配结果将所述数据包发送至所述虚拟交换机，或丢弃所述数据包；

所述虚拟交换机在接收到所述微隔离虚拟机返回的所述数据包后，根据第二流表，将所述数据包发送至目标业务虚拟机；

其中，所述第一流表和所述第二流表为微隔离策略服务器触发SDN控制器发送的，所述访问控制策略为所述微隔离策略服务器发送的。

在一种可能的实施方式中，所述虚拟交换机根据第一流表，将接收到的源业务虚拟机发送的数据包发送至微隔离虚拟机，包括：

所述虚拟交换机若确定接收所述数据包的端口与所述第一流表中的第一接收端口匹配，则从所述第一流表中获取所述虚拟交换机的目标端口；

所述虚拟交换机通过所述目标端口，将所述数据包发送至所述微隔离虚拟机。

在一种可能的实施方式中，所述虚拟交换机根据第二流表，将所述数据包发送至目标业务虚拟机，包括：

所述虚拟交换机若确定接收所述数据包的端口与所述第二流表中的第二接收端口匹配，则确定所述数据包正常；

所述虚拟交换机通过所述数据包中携带的目标业务虚拟机的目标端口将所述数据包发送至所述目标业务虚拟机。

第二方面，本发明实施例提供一种数据传输方法，该方法包括：

微隔离虚拟机接收虚拟交换机发送的数据包；

所述微隔离虚拟机将所述数据包中携带的转发信息与访问控制策略进行匹配，根据匹配结果将所述数据包发送至所述虚拟交换机，或丢弃所述数据包；