CN115297113B - 私有云专有网络及装置 - Google Patents

Abstract

本发明涉及网络安全领域，公开了一种私有云专有网络及装置，其中，私有云专有网络设置有至少两个交换机，以及与交换机连接的若干计算节点；交换机与计算节点之间的第一物理链路配置为trunk模式；交换机配置有若干虚拟专用网络实例，计算节点设置有若干虚拟交换机，以及与每一虚拟交换机连接的若干虚拟机；虚拟机将数据发送至与虚拟机对应的虚拟交换机；每一虚拟机唯一对应一个虚拟交换机；虚拟交换机将数据发送至与虚拟交换机对应的虚拟专用网络实例；在一个交换机中，至多有一个虚拟专用网络实例与虚拟交换机对应。本发明可以降低云平台的投入成本。

Description

私有云专有网络及装置

技术领域

本发明涉及网络安全领域，尤其涉及一种私有云专有网络及装置。

背景技术

现有技术中，基于OpenStack(一个开源的云计算管理平台项目)的开源云计算平台已经在私有云环境中得到普遍应用。其中网络虚拟化技术分为硬件和软件层面的虚拟化，软件层面的网络虚拟化实现灵活，但技术要求较高，运维较为困难，且在租户规模较大时存在性能瓶颈。硬件层面的虚拟化则对硬件设备具有技术要求，实现成本较高。

因此，需要寻找一种私有云专有网络，以降低云平台的投入成本。

发明内容

基于此，有必要针对上述技术问题，提供一种私有云专有网络及装置，以降低云平台的投入成本。

一种私有云专有网络，所述私有云专有网络设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例(VPN instance)，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

一种私有云专有网络装置，所述私有云专有网络装置设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机，用于将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机，用于将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

上述私有云专有网络及装置，通过结合虚拟专用网络实例和虚拟交换机，无需创建外部虚拟路由器，利用虚拟专用网络实例实现租户之间的隔离。而且，本实施例提供的方案，可以在原有的网络设备上升级(如使用普通的三层硬件交换机与一般物理防火墙，以构建OpenStack云平台)，节约硬件资源投入的同时，可以快速实现商业化落地实践。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例中私有云专有网络中交换机与计算节点之间的网络架构图；

图2是本发明一实施例中私有云专有网络中交换机与物理防火墙之间的网络架构图；

图3是本发明一实施例中私有云专有网络核心组网的网络架构图；

图4是本发明一实施例中私有云专有网络接入外部网络的网络架构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在一实施例中，如图1所示，提供一种所述私有云专有网络设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

可理解地，本实施例提供的私有云专有网络指的是在基于Openstack基础上增加VPN instance的网络架构。具体的，私有云专有网络设置有至少两个交换机，以及与交换机连接的若干计算节点。这些交换机可以组成汇聚层。在图1的示例中，汇聚层采用2台交换机组网，实现主/备模式或主/主模式的高可用方式。

计算节点采用双上联接入到交换机，它们之间的第一物理链路配置为trunk模式，允许a-b之间的VLAN通过，a、b取值为1-4095，可由用户设定。也就是说，每个计算节点同时和两个交换机连接。

交换机配置有若干虚拟专用网络实例(VPN instance)，如主交换机(图1表示为交换机-主)的VPN instance A和VPN instance B。不同的虚拟专用网络实例在汇聚层交换机上完全路由隔离。

计算节点设置有若干虚拟交换机(vSwitch)，如计算节点A中的vSwitch A和vSwitch B。与每一虚拟交换机连接的若干虚拟机(VM)，与与vSwitch A连接的VM A1和VMA2。每个虚拟机连接到内部的虚拟交换机，每个子网对应一个虚拟交换机的端口及子网ID(VLAN ID)。

进行数据传送时，先由虚拟机将数据发送至与虚拟机对应的虚拟交换机。每一虚拟机唯一对应一个虚拟交换机。然后，由虚拟交换机将数据发送至与虚拟交换机对应的虚拟专用网络实例(汇聚层)。

在一个交换机中，至多有一个虚拟专用网络实例与虚拟交换机对应。换句话说，虚拟交换机可以同时与不同交换机的虚拟专用网络实例连接，但不能同时连接同一交换机中的任意两个虚拟专用网络实例。例如，计算节点中的vSwitch A分别与主交换机中的VPNinstance A和备交换机中的VPN instance A连接。

本实施例通过结合虚拟专用网络实例和虚拟交换机，无需创建外部虚拟路由器，利用虚拟专用网络实例实现租户之间的隔离。而且，本实施例提供的方案，可以在原有的网络设备上升级(如使用普通的三层硬件交换机与一般物理防火墙，以构建OpenStack云平台)，节约硬件资源投入的同时，可以快速实现商业化落地实践。

可选的，如图2所示，所述私有云专有网络还设置有物理防火墙，所述物理防火墙与各个所述交换机分别通过第二物理链路连接；

所述物理防火墙设置有至少两个防护区域；

对于任意一个所述防护区域而言，同一交换机中，仅有一个所述虚拟专用网络实例与所述防护区域绑定。

可理解地，交换机与物理防火墙通过第二物理链路互联，在图2中用黑色实线表示。物理防火墙设置有至少两个防护区域，其中至少一个为专用防护区域，如Zone A和ZoneB，至少一个为公用防护区域，如Zone Public。

交换机每个VPN instance对应物理防火墙上一个Zone。在交换机上的VPNinstance设置默认路由指向互联的物理防火墙Zone接口IP。在物理防火墙上对每个VPNinstance中的子网静态路由指向互联交换机的VPN instance接口IP。VPN instance与Zone之间的互联用虚线表示，它们需要配置同一子网下的不同IP地址，作为接口ip，且设置相同的VLAN ID。

交换机上各VPN instance之间隔离，仅可通过防火墙各zone之间开通防火墙策略进行访问。

可选的，若第一交换机中的第一虚拟专用网络实例绑定的防护区域与第二交换机中的第二虚拟专用网络实例绑定的防护区域为同一个防护区域，则所述第一虚拟专用网络实例通过所述防护区域与所述第二虚拟专用网络实例进行数据交互。

可理解地，如图2所示，主交换机中的VPN instance A和备交换机中的VPNinstance A同时与Zone A连接，此时可以通过设置Zone A的防火墙策略，使主交换机中的VPN instance A经Zone A与备交换机中的VPN instance A进行数据交互。

可选的，所述虚拟专用网络实例包括公用VPN实例和专用VPN实例。

可理解地，交换机设置有名为public的VPN instance，即为公用虚拟专用网络实例(公用VPN实例)，物理防火墙上有名为public的Zone，即为公用防护区域。公用虚拟专用网络实例，物理防火墙上有名为public的Zone，即为公用防护区域。

在图2的示例中，主交换机中的VPN instance A和VPN instance B属于专用VPN实例；备交换机中的VPN instance A和VPN instance B属于专用VPN实例。

可选的，如图3所示，所述私有云专有网络设置有核心交换机，所述核心交换机包括核心公用VPN实例，所述核心公用VPN实例分别与各个所述交换机中的所述公用VPN实例连接。

可理解地，可以使用核心交换机用来将多个交换机互联，实现多个集群(POD，每个交换机代表一个集群)的横向扩容。

可选的，如图4所示，所述物理防火墙通过第三物理链路与外部网络连接，所述第三物理链路配置为trunk模式。

可理解地，物理防火墙通过第三物理链路与外部网络连接。第三物理链路配置模式为trunk模型。在图4，第三物理链路表示为Trunk X。各条虚拟线路的VLAN ID标识为VLANX，X由用户设定为指定某个或多个数值，其范围在1至4095间。

可选的，所述虚拟专用网络实例通过虚拟线路与对应的防护区域连接，并经所述防护区域与所述外部网络连接，所述虚拟线路通过虚拟ID对应一个所述防护区域。

可理解地，如图4所示，每条虚拟线路通过VLAN ID进行隔离，且对应物理防火墙上的一个zone。防火墙上每个zone默认相互隔离，无访问策略。可以根据实际业务需求，可通过放通物理防火墙上public zone与其他zone之间的策略，来实现外部网络与内部网络之间的访问需求。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

在一实施例中，提供一种私有云专有网络装置，该私有云专有网络装置与上述实施例中私有云专有网络一一对应。如图1所示，所述私有云专有网络装置设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机，用于将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机，用于将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

可选的，所述私有云专有网络还设置有物理防火墙，所述物理防火墙与各个所述交换机分别通过第二物理链路连接；

所述物理防火墙设置有至少两个防护区域；

对于任意一个所述防护区域而言，同一交换机中，仅有一个所述虚拟专用网络实例与所述防护区域绑定。

可选的，若第一交换机中的第一虚拟专用网络实例绑定的防护区域与第二交换机中的第二虚拟专用网络实例绑定的防护区域为同一个防护区域，则所述第一虚拟专用网络实例通过所述防护区域与所述第二虚拟专用网络实例进行数据交互。

可选的，所述虚拟专用网络实例包括公用VPN实例和专用VPN实例。

可选的，所述私有云专有网络设置有核心交换机，所述核心交换机包括核心公用VPN实例，所述核心公用VPN实例分别与各个所述交换机中的所述公用VPN实例连接。

可选的，所述物理防火墙通过第三物理链路与外部网络连接，所述第三物理链路配置为trunk模式。

可选的，所述虚拟专用网络实例通过虚拟线路与对应的防护区域连接，并经所述防护区域与所述外部网络连接，所述虚拟线路通过虚拟ID对应一个所述防护区域。

关于私有云专有网络装置的具体限定可以参见上文中对于私有云专有网络的限定，在此不再赘述。上述私有云专有网络装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机可读指令，其特征在于，所述处理器在私有云专有网络中执行所述计算机可读指令，所述私有云专有网络配置为：

设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

在一个实施例中，提供了一个或多个存储有计算机可读指令的计算机可读存储介质，本实施例所提供的可读存储介质包括非易失性可读存储介质和易失性可读存储介质。可读存储介质上存储有计算机可读指令，所述计算机可读指令在私有云专有网络中被一个或多个处理器执行，所述私有云专有网络配置为：

设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机可读指令来指令相关的硬件来完成，所述的计算机可读指令可存储于一非易失性可读取存储介质或易失性可读存储介质中，该计算机可读指令在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (8)

1.一种私有云专有网络，其特征在于，所述私有云专有网络设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应；

若第一交换机中的第一虚拟专用网络实例绑定的防护区域与第二交换机中的第二虚拟专用网络实例绑定的防护区域为同一个防护区域，则所述第一虚拟专用网络实例通过所述防护区域与所述第二虚拟专用网络实例进行数据交互。

2.如权利要求1所述的私有云专有网络，其特征在于，所述私有云专有网络还设置有物理防火墙，所述物理防火墙与各个所述交换机分别通过第二物理链路连接；

所述物理防火墙设置有至少两个防护区域；

对于任意一个所述防护区域而言，同一交换机中，仅有一个所述虚拟专用网络实例与所述防护区域绑定。

3.如权利要求1所述的私有云专有网络，其特征在于，所述虚拟专用网络实例包括公用VPN实例和专用VPN实例。

4.如权利要求1所述的私有云专有网络，其特征在于，所述私有云专有网络设置有核心交换机，所述核心交换机包括核心公用VPN实例，所述核心公用VPN实例分别与各个所述交换机中的所述公用VPN实例连接。

5.如权利要求2所述的私有云专有网络，其特征在于，所述物理防火墙通过第三物理链路与外部网络连接，所述第三物理链路配置为trunk模式。

6.如权利要求5所述的私有云专有网络，其特征在于，所述虚拟专用网络实例通过虚拟线路与对应的防护区域连接，并经所述防护区域与所述外部网络连接，所述虚拟线路通过虚拟ID对应一个所述防护区域。

7.一种私有云专有网络装置，其特征在于，所述私有云专有网络装置设置有至少两个交换机，以及与所述交换机连接的若干计算节点；

所述交换机与所述计算节点之间的第一物理链路配置为trunk模式；

所述交换机配置有若干虚拟专用网络实例，所述计算节点设置有若干虚拟交换机，以及与每一所述虚拟交换机连接的若干虚拟机；

所述虚拟机，用于将数据发送至与所述虚拟机对应的虚拟交换机；每一所述虚拟机唯一对应一个所述虚拟交换机；

所述虚拟交换机，用于将所述数据发送至与所述虚拟交换机对应的虚拟专用网络实例；在一个所述交换机中，至多有一个所述虚拟专用网络实例与所述虚拟交换机对应；

若第一交换机中的第一虚拟专用网络实例绑定的防护区域与第二交换机中的第二虚拟专用网络实例绑定的防护区域为同一个防护区域，则所述第一虚拟专用网络实例通过所述防护区域与所述第二虚拟专用网络实例进行数据交互。

8.如权利要求7所述的私有云专有网络装置，其特征在于，所述私有云专有网络还设置有物理防火墙，所述物理防火墙与各个所述交换机分别通过第二物理链路连接；

所述物理防火墙设置有至少两个防护区域；

对于任意一个所述防护区域而言，同一交换机中，仅有一个所述虚拟专用网络实例与所述防护区域绑定。