一种基于openflow协议实现多租户使用不同安全服务的方法技术

本发明专利技术提供了一种基于openflow协议实现多租户使用不同安全服务的方法，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备；⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式；⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，利用SDN技术，可以实现对同一租户同时提供多种安全服务，也可同时满足不同租户的不同安全服务需求。

【技术实现步骤摘要】
一种基于openflow协议实现多租户使用不同安全服务的方法
本专利技术涉及一种网络信息安全领域，具体涉及一种云环境下多租户要求使用不同安全服务的实现方法。
技术介绍
随着云计算及云安全的发展，云客户对云安全的要求越来越高，不仅要求安全厂商满足安全功能的需求，更多的要求解决当前多租户下，安全设备分散、安全服务单一、安全服务搭配不灵活等问题。虚拟安全服务链是云安全中一个新的概念，现有的技术中服务链中安全服务单一、防护模式不灵活，多租户场景下对被防护对象所使用的网络技术强依赖，比如要求使用vxlan。因此，如何基于openFlow协议的虚拟化网络安全服务资源池，利用虚拟化及SDN技术来超融合各类安全产品，从而提供丰富的安全服务链，灵活的满足多租户下不同安全服务的要求，是本领域一个需要加以解决的技术问题。
技术实现思路
本专利技术提供了一种基于openflow协议实现多租户使用不同安全服务的方法，利用虚拟化及openflow技术超融合各类安全产品，提供丰富的安全服务链，灵活地满足多租户下不同安全服务的要求。本专利技术的具体技术方案如下：一种基于openflow协议实现多租户使用不同安全服务的方法，其特征在于，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，所述服务器至少有两个物理网卡；⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式，通过所述虚拟交换机提供的命令，查询到所述业务虚拟网卡所在的虚拟交换机上关联的物理口及安全虚拟机的业务虚拟网卡对应的port号，并做好记录；⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，通过报文中网络标识来区分租户，当所有租户使用安全服务链时，采用openflow协议，以所查到的port号为网卡在虚拟交换机上的唯一标识下发流表项，指定从一个物理网卡进的报文经过所述服务链后从另一个物理网卡出；当不同租户使用不同的服务链时，采用openflow协议，将不同服务链的流表项配置于不同的流表中，设置默认流表，将所有具有相同租户标识的报文均跳转至同一流表。进一步的，所述服务器的物理网卡为两个，一个物理网卡用于链接外部网络，一个物理网卡用于链接要求被保护的用户网络。进一步的，所述安全虚拟机为2至10个。进一步的，所述网络标识为租户的ip、子网、vlan、端口号或其组合。本专利技术的有益效果在于,利用虚拟化及SDN技术，一个安全服务资源池可以融合任意的安全设备，可以对同一租户同时提供多种安全服务，也可同时满足不同租户的不同安全服务需求。附图说明图1为本专利技术的一种基于openflow协议实现多租户使用不同安全服务的方法的原理示意图；图2为本专利技术的一种基于openflow协议实现多租户使用不同安全服务的方法的报文走向结构原理图。具体实施方式下面结合附图对本专利技术作进一步说明。图1为本专利技术的一种基于openflow协议实现多租户使用不同安全服务的方法的原理示意图。所述一种基于openflow协议实现多租户使用不同安全服务的方法，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，所述服务器有两个物理网卡，一个物理网卡接外网，一个物理网卡接被保护业务网络,外网、被保护业务网络、传统网络均可以根据实际应用场景使用路由器或物理交换机做接入。⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑵将所述服务器上的两个物理网卡，挂载到虚拟交换机上，并创建多个安全虚拟机，本实施例以三个安全虚拟机A、B、C为例进行说明，实施本专利技术时，根据实际需要，也可以创建更多的安全虚拟机；所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上，将每个安全虚拟机作为一个安全服务；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式，即虚拟机内部两个业务虚拟网卡直接的通信由内部保证。由业务虚拟网卡1进去的报文从业务虚拟网卡2出，同样由业务虚拟网卡2进去的报文可以业务虚拟网卡1出。通过所述虚拟交换机提供的命令，查询到业务虚拟网卡所在的虚拟交换机上关联的物理口及安全虚拟机的业务虚拟网卡对应的port号，并做好记录；⑸由一个或多个安全服务组成服务链，本实施例中包括有A+B、A+C、B+C、A+B+C服务链。通过报文中ip、vlan、子网、端口号或其组合来区分租户，当所有租户使用同一安全服务链时，采用openflow协议，以所查到的port号为业务虚拟网卡在虚拟交换机上的唯一标识下发流表项，指定从一个物理网卡进的报文经过所述服务链后从另一个物理网卡出；当不同租户使用不同的服务链时，采用openflow协议，将不同服务链的流表项配置于不同的流表中，设置默认流表，将所有具有相同租户标识的报文均跳转至同一流表。图2为本专利技术的一种基于openflow协议实现多租户使用不同安全服务的方法的报文走向结构原理图。具体包括以下步骤：⑴准备一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，该服务器有两个物理网卡可以使用，一个物理网卡链接外部网络，一个物理网卡链接被保护的租户网络。⑵创建虚拟机交换机，并且设置该交换机的报文由openflow流表控制。⑶将服务器上供安全虚拟机使用的两个物理网口，挂载到虚拟交换机上，并创建安全虚拟机A、B、C，虚拟机A、B、C各有两个业务虚拟网卡需要挂载到同一个虚拟交换机上。本实施例以三个安全虚拟机为例进行说明，实施本专利技术时，根据实际需要，也可以创建更多的安全虚拟机。⑷在安全虚拟机内配置业务虚拟网卡为桥接模式，以保证报文从安全虚拟机的业务虚拟网卡1进入后可以从业务虚拟网卡2出去。⑸通过虚拟交换机提供的命令，查询到业务虚拟网卡所在的虚拟交换机上关联的物理口及虚拟机的业务虚拟网卡对应的port号，并做好记录。⑹将每个安全虚拟机作为一个安全服务，对外提供对应的安全防护功能，由一个或多个安全服务可以组成服务链。可以通过ip、子网、vlan等来区分租户。具体如下：A、所有租户使用同一安全服务链。例如，本实施例中的所有租户使用A+B安全服务链，采用openflow协议，以前述查到的port号为网卡在虚拟交换机上的唯一标识下发流表项：a,指定从物理网卡eth1进来的报文从安全服务A的业务虚拟网卡A-1入，从安全服A业务虚拟网卡A-2出的报文从安全服务B业务虚拟网卡B-1入，从安全服务B-2出的报文从物理网卡2出。b,当报文流量反向时：指定从物理网卡eth2进来的报文从安全服务B的业务虚拟网卡B-2入，从安全服B业务虚拟网卡B-1出的报文从安全服务A业务虚拟网卡A-2入，从安全服务A-1出的报文从物理网卡eth1出。这样一个针对所有租户，享受安全服务A和B的服务链构建完成。服务链中的服务完全可以自定义，可以是A和B，也可以是A和C，也可以是A、B、C等任意组合或其中一个。B、不同租户使用不同的服务链，以ip划分的租户为例说明。租户1使用A+B安全服本文档来自技高网...

【技术保护点】
1.一种基于openflow协议实现多租户使用不同安全服务的方法，其特征在于，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，所述服务器至少有两个物理网卡；⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式，通过所述虚拟交换机提供的命令，查询到所述业务虚拟网卡所在的虚拟交换机上关联的物理口及安全虚拟机的业务虚拟网卡对应的port号，并做好记录；⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，通过报文中网络标识来区分租户，当所有租户使用安全服务链时，采用openflow协议，以所查到的port号为网卡在虚拟交换机上的唯一标识下发流表项，指定从一个物理网卡进的报文经过所述服务链后从另一个物理网卡出；当不同租户使用不同的服务链时，采用openflow协议，将不同服务链的流表项配置于不同的流表中，设置默认流表，将所有具有相同租户标识的报文均跳转至同一流表。...

【技术特征摘要】
1.一种基于openflow协议实现多租户使用不同安全服务的方法，其特征在于，包括如下步骤：⑴使用一台服务器作为安全资源池的硬件设备，在服务器上安装支持虚拟化及openflow的Linux系统，所述服务器至少有两个物理网卡；⑵创建一个虚拟交换机，并且设置所述虚拟交换机的报文由openflow流表控制；⑶将所述服务器上的物理网卡挂载到虚拟交换机上，并创建多个安全虚拟机，所述安全虚拟机各有两个业务虚拟网卡挂载到虚拟交换机上；⑷在所述安全虚拟机内配置业务虚拟网卡为桥接模式，通过所述虚拟交换机提供的命令，查询到所述业务虚拟网卡所在的虚拟交换机上关联的物理口及安全虚拟机的业务虚拟网卡对应的port号，并做好记录；⑸将每个安全虚拟机作为一个安全服务，由一个或多个安全服务组成服务链，通过报文中网络标识来区分租户，当所有租户使用安全服务链时，采用openflow协议，以所...

【专利技术属性】
技术研发人员：张太成，张仝营，
申请(专利权)人：北京安数云信息技术有限公司，
类型：发明
国别省市：北京,11