虚拟化网络边界数据流汇聚方法及装置

摘要

本发明公开了一种虚拟化网络边界数据流汇聚方法及装置，涉及信息安全技术领域。本发明公开的装置中：安全策略模块，维护管理不同租户的网络边界安全策略；虚拟化网络数据流捕获模块，监听虚拟交换机上的网络数据流，捕获安全策略指定网络接口的数据包；网络边界数据流过滤网模块，根据各租户的网络边界安全策略，为各租户分别建立基于网络数据流过滤的过滤网，以及将捕获的网络数据包通过此数据包对应的租户的过滤网进行过滤，将过滤后得到的属于该租户的安全域边界的网络数据流进行封装，并发送给该租户对应的网络安全产品。本发明还公开了一种虚拟化网络边界数据流汇聚方法。本申请技术方案有效解决了多租户环境下虚拟化网络安全域边界网络数据流的汇聚问题。

主权项

一种虚拟化网络边界数据流汇聚装置，其特征在于，作为虚拟化网络中的安全虚拟机，同属于一个安全域的多个业务虚拟机部署于不同的物理虚拟化服务器上，并连接在虚拟交换机上，安全虚拟机部署在每个物理虚拟化服务器上，安全虚拟机通过虚拟网卡抓取虚拟交换机上的业务虚拟机的全部网络流量，所述装置至少包括安全策略模块、虚拟化网络数据流捕获模块和网络边界数据流过滤网模块，其中：所述安全策略模块，运行于安全虚拟机的用户态，维护并管理不同租户的网络边界安全策略；所述虚拟化网络数据流捕获模块，运行于安全虚拟机的内核态，监听虚拟交换机上的网络数据流，从中捕获网络边界安全策略指定网络接口的数据包，并将捕获的数据包提交到所述网络边界数据流过滤网模块，其中，网络边界安全策略指定网络接口指不同租户的网络边界安全策略对应的虚拟交换机上的网络接口；所述数据包包括在虚拟交换机内部转发而不会转发到物理交换机上的数据；所述网络边界数据流过滤网模块，运行于安全虚拟机的内核态，根据所述安全策略模块下发的各租户的网络边界安全策略，为各租户分别建立基于网络数据流的过滤网，以及将所述虚拟化网络数据流捕获模块提交的数据包通过此数据包对应的租户的过滤网进行过滤，将过滤后得到的属于该租户的安全域边界的网络数据流进行封装，并发送给该租户对应的网络安全产品，以进行检测和分析。