TW201832092A

TW201832092A - 虛擬專有網路及規則表生成方法、裝置及路由方法

Info

Publication number: TW201832092A
Application number: TW106136314A
Authority: TW
Inventors: 孫成浩; 肖寒; 呂彪; 劉寶春; 鄧立龍
Original assignee: 香港商阿里巴巴集團服務有限公司
Priority date: 2017-02-21
Filing date: 2017-10-23
Publication date: 2018-09-01
Also published as: WO2018156505A1; CN108462594B; TWI766893B; US20180241624A1; CN108462594A

Abstract

本申請提供一種虛擬專有網路及規則表生成方法、裝置。所述方法包括：根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換，以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括：以所述關鍵字作為所述規則表中交換節點的位址。本申請各個實施例，可以使虛擬專有網路規則表中的表項大幅度縮減，轉發結點表項和管控節點資料量減少，有效提升系統性能。

Description

虛擬專有網路及規則表生成方法、裝置及路由方法

本申請屬於計算機資料處理技術領域，尤其涉及一種虛擬專有網路及規則表生成方法、裝置及路由方法。

虛擬私有雲(VPC, Virtua Private Coud)，是一種基於虛擬化技術實現的供企業自己使用私有雲平台，它將網路、安全、儲存、計算等一系列虛擬資源進行組合，供企業用戶按需使用，提供安全便捷的IT服務應用。隨著資料中心的集中化，越來越多的大型企業傾向於使用虛擬私有雲部署企業內部IT系統。　　虛擬私有雲服務提供商可以為用戶構建出一個隔離的、可自定義的虛擬專有網路（虛擬私有雲的一個子網）。一般的，一個子網包含許多管理/控制的規則表，如路由表、安全策略表、位址轉換表等。這些規則表中可以儲存所述虛擬專有網路的配置和處理策略，透過這些規則表，可以實現IP位址分配、網段劃分、路由規則設置、網格等節點控制等，實現用戶可以根據資源需求掌控自己的虛擬專有網路。一般的，對虛擬專有雲服務提供廠商來說，VPC產品相當於給每個用戶提供一張自定義的網路，在這張自定義的網路中，需要抽象給用戶經典網路中的各種實體概念，如路由器，交換機，安全設備，介面等，也要抽象出各種規則概念，路由表，安全策略表，網路位址轉換表等表項。但是，隨著虛擬化技術的不斷發展，單機虛擬比的不斷提升，用戶對單集群虛擬能力的要求越來越高，有需求遷移到虛擬私有雲的用戶也越來越多。目前，尤其是對一些大體量的用戶，（如政企客戶，銀行客戶以及網際網路客戶等），他們需要的是安全性、性能、自主網路能力更強的虛擬專有雲。因此，當虛擬專有雲的用戶量達到相當大的規模，同時某些用戶的雲上的網路也達到相當大的規模的時候，相應的，這些規則表的資料量也會變得非常大，從而影響整個系統的處理能力和容量。　　例如，假設用戶的虛擬專有網路裡面有1000個VM（VMware，虛擬機），使用三張規則表（路由表，安全策略表，和NAT表）。每個VM都在規則表裡面，每張表有1000個表項。如果此時有100萬個這樣的用戶，那麼單個的表項的規模是10億。這樣大量的表項會導致轉發結點上的表項規模過大，增加內存儲存海量表項的負載，降低查找和更新速度，整體吞吐量變小。同時也會增加管控節點表項管理的負載，維護、下發、校驗、刷新等各種操作因更新量或下方量巨大都會嚴重影響系統性能，也降低了用戶的產品使用體驗。

本申請目的在於提供一種虛擬專有網路及規則表生成方法、裝置及路由方法，可以使虛擬專有網路規則表中的表項大幅度縮減，轉發結點表項和管控節點資料量減少，整體系統性能得到提升，系統複雜度降低，可以有效解決海量用戶的虛擬專有網路的規模、性能、容量問題。　　本申請提供的一種虛擬專有網路及規則表生成方法、裝置及路由方法是這樣實現的：　　一種虛擬專有網路規則表生成方法，所述方法包括：　　根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括：以所述關鍵字作為所述規則表中交換節點的位址。　　一種計算機可讀儲存媒體，其上儲存有計算機指令，所述指令被執行時實現以下步驟：　　根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括：以所述關鍵字作為所述規則表中交換節點的位址。　　一種虛擬專有網路的路由方法，包括：　　解析接收到的網路報文，確定所述網路報文所跳轉到的目標主機，獲取所述目標主機所對應的虛擬交換機的目標網路標識；　　根據所述目標網路標識在路由規則表中查詢路由到所述目標主機的下一跳虛擬交換機的路由位址，所述路由規則表至少包括：以所述虛擬交換機的網路標識作為所述路由規則表中的路由位址配置生成；　　根據所述路由位址將所述網路報文發送到所述下一跳虛擬交換機。　　一種計算機可讀儲存媒體，所述指令被執行時實現以下步驟：　　解析接收到的網路報文，確定所述網路報文所跳轉到的目標主機，獲取所述目標主機所在子網的虛擬交換機的目標網路標識；　　根據所述目標網路標識在路由規則表中查詢路由到所述目標主機的下一跳虛擬交換機的路由位址，所述路由規則表至少包括：以所述虛擬交換機的網路標識作為所述路由規則表中的路由位址配置生成；　　根據所述路由位址將所述網路報文發送到所述下一跳虛擬交換機。　　一種虛擬專有網路規則表生成裝置，所述裝置包括：　　節點確定模組，用於根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　規則表配置模組，用於以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括以所述關鍵字作為所述規則表中交換節點的位址。　　一種虛擬專有網路，至少包括虛擬交換機、以所述虛擬交換機作為交換節點的子網、儲存所述虛擬專有網路的配置和處理策略的規則表，所述規則表被設置成，採用所述的一種虛擬專有網路規則表生成方法生成，或者，採用所述的一種虛擬專有網路規則表生成裝置生成。　　本申請提供的一種虛擬專有網路及規則表生成方法、裝置，能夠針對網路中的虛擬交換機配置生成安全策略表、路由表等多種規則表。由於通常情況下交換機的數量相比於交換節點（如網路中的主機）要少很多，因此可以有效大幅度的降低多種規則表中的表項。這樣，由於規則中的表項的大幅度減少，使得交換（轉發）結點處理的表項變少，加快更新和查找速度，增加整體吞吐量，系統性能得到提升，系統複雜度降低。對於管控結點來說，又可以顯著減少更新量和下發量，使系統很容易的支持海量的用戶，系統容量也容易擴展、增加。利用本申請實施例生成的規則表，能夠有效降低資源消耗，提升網路性能，提升網路的使用體驗，並且還可以降低安全策略表的管理、維護成本。

為了使本技術領域的人員更好地理解本申請中的技術方案，下面將結合本申請實施例中的附圖，對本申請實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本申請一部分實施例，而不是全部的實施例。基於本申請中的實施例，本領域普通技術人員在沒有作出創造性勞動前提下所獲得的所有其他實施例，都應當屬於本申請保護的範圍。　　圖1是本申請所述一種虛擬專有網路規則表生成方法一種實施例的方法流程圖。雖然本申請提供了如下述實施例或附圖所示的方法操作步驟或裝置結構，但基於常規或者無需創造性的勞動在所述方法或裝置中可以包括更多或者部分合併後更少的操作步驟、模組單元。在邏輯性上不存在必要因果關係的步驟或結構中，這些步驟的執行順序或裝置的模組結構不限於本申請實施例或附圖所示的執行順序或模組結構。所述的方法或模組結構的在實際中的裝置或終端產品應用時，可以按照實施例或者附圖所示的方法或模組結構進行順序執行或者並行執行（例如並行處理器或者多執行緒處理的環境、甚至包括分佈式處理的實施環境）。　　在實體網路中，路由表、安全策略表、位址轉換表等規則表一般是採用IP位址，或者主機的主機名進行配置的方式。在現有技術中的虛擬私有雲網路裡面，也是採用這樣的方式。在虛擬專有網路中，通常用戶之間的虛擬專有網路是相互隔離的。一般的，一個子網包含許多管理/控制的規則表，如路由表、安全策略表、位址轉換表等。透過這些規則表，可以實現IP位址分配、網段劃分、路由規則設置、網格等節點控制等，實現用戶可以根據資源需求掌控自己的虛擬專有網路。　　VPC可以理解為是一種軟體定義網路，企業應用上實現了對大量資料包遷入、遷出和跨AWS區域（region）遷移的優化。一般的，在VPC架構裡面通常包含交換機、閘道和控制器三個重要的組件，如圖2所示，圖2是現有某VPC服務提供商使用的一種VPC整體邏輯構建示意圖。交換機（實體機和虛擬機）和閘道組成了資料通路的關鍵路徑，控制器使用協議下發轉發表到閘道和交換機，完成配置通路的關鍵路徑。整體架構裡面，配置通路和資料通路互相分離。交換機是可以分佈式的結點，基於SDN協議和控制器，能實現管控成千上萬張虛擬網路。對虛擬專有雲服務提供廠商來說，VPC產品相當於給每個用戶提供一張自定義的網路，在這張自定義的網路中，需要抽象給用戶經典網路中的各種實體概念，如路由器，交換機，安全設備，介面等，也要抽象出各種規則概念，路由表，安全策略表，網路位址轉換表等表項。具體的例如圖2所示，圖2是現有某VPC服務提供商使用的一種VPC整體邏輯構架示意圖，現有VPC網路的一些規則表配置內容如下表所示：表1：安全策略規則表表2：路由表和位址轉換表當然，在圖2的示例中路由表和位址轉換表可以分別單獨各自為一個規則表。路由表中可以設置有包括主機以及對報文的路由轉發資訊等。　　在本申請所述的虛擬專有網路裡面，定義了交換機等虛擬交換機，通常稱之為虛擬交換機。對虛擬專有網路而言，本申請分別改進了路由表，安全策略表和網路位址轉換表等規則表的具體關鍵字，將之前的單純的IP位址和主機作為關鍵字，擴展為允許虛擬交換機作為關鍵字來配置策略，提供了另一種虛擬網路裡面轉發表、策略表等規則的設計方案，可以大幅減少虛擬專有網路中規則表的數量和規則表本身的資料量，使得轉發結點和管控結點性能指數級提升，網路系統複雜度降低，可以有效支持大規模高吞吐的虛擬專有網路，提高系統容量和用戶體驗。具體的一種實施如圖1所述，本申請提供的一種虛擬專有網路規則表生成方法的一種實施例可以包括：　　S1：根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　S2：以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括：以所述關鍵字作為所述規則表中交換節點的位址。　　一般的，一個子網可以歸入一個或多個虛擬交換機，而通常一個虛擬交換機只能歸入一個子網內，可以區分不同的子網，每一個子網可以有一台或多台主機（虛擬主機）。在本申請的一個虛擬專有網路的實施場景中，可用設置一個子網只允許有一個虛擬交換機。所述的以所述關鍵字作為所述規則表中交換節點的位址可以理解為，在虛擬專有網的規則表中，至少存在一個以虛擬交換機的網路標識作為路由表中交換節點的位址。具體的一個示例如，現有的路由表中跳轉的目標位址通常的一個IP位址，如192.168.10.100，而在本申請實施例中，生成的路由表則可以包括以子網的虛擬交換機作為轉發到下一跳的位址，如上述192.168.10.100的主機在子網10中，子網10的虛擬交換機的網路標識為S10，則路由表可以設置跳轉到S10。透過對報文解析，虛擬交換機可以知道報文的目標主機所在的子網資訊，如子網編號或子網對應的虛擬交換機的網路標識，確定192.168.10.100屬於S10，則根據本申請的路由表可以直接轉發到下一跳位址。假設子網10中有100個主機，則在一個虛擬交換的路由表中可以僅設置一個路由資料即可實現將接收到的需要路由到S10的所有報文轉發到下一跳，極大的減少路由表中的表項。具體的例如，一種虛擬專有網路，在該虛擬專雲網路中，包括兩個虛擬交換機和兩個組，即虛擬交換機1和虛擬交換機2、子網1和子網2。其中，虛擬交換機1分在子網1內，虛擬交換機2分在子網2內。虛擬交換機1的網路標識設置為S1、虛擬交換機2的網路標識設置為S2，子網1記為Group 1、子網2記為Group 2。在該虛擬專有網路，S1實際為一個虛擬交換機，S2同樣為一個虛擬交換機。若採用一個子網設置為一個安全域的分組，則在本實施例應用場景中，　　組1可表示為：　　S1 belongs to Security Group 1，表示虛擬交換機1歸入（屬於）組1。　　組2可表示為：　　S2 belongs to Security Group 2，表示虛擬交換機2歸入（屬於）組2。　　本申請實施例中可以使用虛擬交換機在虛擬專有網中的網路標識，如S1、S2等作為規則表中的關鍵字來配置各種規則表，實現相應的配置策略。具體的一種實施場景如圖3所示，圖3是利用本申請虛擬專有網路一種拓撲結構示意圖，圖3的利用本申請實施方案的虛擬專有雲拓撲結構與圖2的網路拓撲結構類似，但具體的規則表則變成了如下所示的方式：　　以上述的虛擬交換機S1、虛擬交換機S2、安全域1和安全域2為例，由於S1歸入安全域1，S2歸入安全域2，則生成的安全策略表如下表3所示，表3：採用本申請實施方案生成的規則表由上表1和表3的對比可用看出，本申請實施例生成的安全策略表可以僅包括兩個表項：主機/設備、安全域。當然，上述表1和表3僅是示意性的，具體實際的實施過程中可以包括其他的表項、字段。但一般的，如果每個虛擬交換機均在規則限制內，若虛擬專有網路中存在N台虛擬交換機，現有的虛擬專有網安全策略表中可用相應的有N台或（N+L，L遠小於N）個表項。每個虛擬交換機可以連接有多個交換節點，即：在一個主機非常龐大的虛擬專有網路中，虛擬交換機的數量通常遠小於交換節點的數量。例如：交換節點為100萬個，而將100萬個節點連接到100個虛擬交換機上，則安全策略表中的表項僅為100個，數量相對100萬個顯然呈指數形式的大幅度減少。由此可見，透過本申請提供的實施例生成的安全策略表與現有的使用IP或主機方式相比，可以具有極少的表項，進而大幅度降低規則表的資料量，有效提高系統響應速度和整體性能。　　本申請提供的一種虛擬專有網路規則表生成方法，能夠針對網路中的虛擬交換機配置生成安全策略表、路由表等多種規則表。由於通常情況下交換機的數量相比於交換節點（如網路中的主機）要少很多，因此可以有效大幅度的降低多種規則表中的表項。這樣，由於規則中的表項的大幅度減少，使得交換（轉發）結點處理的表項變少，加快更新和查找速度，增加整體吞吐量，系統性能得到提升，系統複雜度降低。對於管控結點來說，又可以顯著減少更新量和下發量，使系統很容易的支持海量的用戶，系統容量也容易擴展、增加。利用本申請實施例生成的規則表，能夠有效降低資源消耗，提升網路性能，提升網路的使用體驗，並且還可以降低安全策略表的管理、維護代價。　　當然，本申請所述的方法可以適用於虛擬專有網路的多種類型的規則表。具體的一種實施例中，所述規則表可以包括安全策略表、路由表、網路位址轉換表中的至少一種。　　所述一種虛擬專有網路規則表生成方法的另一種實施例中，所述以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，可以包括：　　S201：所述規則表包括安全策略表時，獲取所述虛擬交換機對應的子網中主機所屬的安全域的標識符，根據所述安全域的域標識符和所述虛擬交換機的網路標識來配置所述安全策略表。　　利用本申請實施例生成的安全策略表可以如上表3所示。一般的，所述安全策略表可以至少包括兩個字段，其中一個字段為主機/設備，即虛擬交換機的名稱字段（網路標識），另一個字段為安全域名稱字段，即安全域的網路標識符。在配置安全策略表時，可以獲取虛擬專有網路中各個子網中主機的安全域的標識符，一般的，一個子網中的所有主機可以配置為屬於一個安全域。這樣，可以將一個子網對應的虛擬交換機的網路標識對應該子網中所有主機的安全域的標識符來生成安全策略表，配置各個安全域的資訊。生成的安全策略表中可以包括兩個表項，一個表項為虛擬交換機S1對應於（屬於）安全域1，另一個表項為虛擬交換機S2對應於（屬於）安全域2，如表3所示，每個虛擬交換機下的所有主機如S1下的A1、A2、A3都屬於一個安全域1。　　當然，當新的虛擬交換機S3加入時，如果加入的是新的安全域3，則可以將虛擬交換機S3歸入子網3，對組3配置存取控制策略得到安全域3。然後對如表3所示的安全策略表進行更新，更新後的安全策略表如表4所示，表4：本申請實施方案生成的安全規則表本申請提供的一種虛擬專有網路規則表生成方法的另一種實施例中，所述以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，可以包括：　　S202：所述規則表包括路由表時，以跳轉的目標主機所在子網的虛擬交換機的網路標識作為路由的關鍵字來配置所述路由表。　　可以根據路由策略和對應於路由策略的虛擬交換機生成路由表，其中，路由表包括虛擬交換機和對應於虛擬交換機的路由策略。同樣以虛擬交換機S2和上述的路由策略為例，則生成的路由表如表5所示，表5：本申請實施方案生成的路由表其中，表項中的路由標識虛擬交換機S2採用上述的路由策略。表中的動作“路由”具體的可以根據虛擬專有網路的路由策略配置實際的路由跳轉資訊，例如一個路由的示例資訊可以為由當前虛擬交換機S2繼續跳轉到下一個虛擬交換機S20的路由跳轉資訊。　　可以理解的是，當有新的虛擬交換機S3和S4加入時，如果採用的也是上述的路由策略，則可以增加表項，如表6所示，表6：本申請實施方案生成的路由表透過本實施例生成的路由表具有極少的表項，進而大幅度降低路由表的資料量。　　本申請提供的一種虛擬專有網路規則表生成方法的另一種實施例中，所述以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，可以包括：　　S203：所述規則表包括位址轉換表時，以所述虛擬交換機的網路標識作為對應子網進行網路位址轉換的關鍵字來配置所述位址轉換表。　　本申請的一種實施中，可以為一個或多個虛擬交換機中的部分或全部配置端口轉換策略。　　以虛擬交換機S1為例，假如配置的一種端口轉換策略如下：　　S1 Access Internet do NAT；　　表示虛擬交換機在存取網際網路時需要進行端口轉換，NAT表示端口轉換策略。　　根據端口轉換策略和對應於端口轉換策略的虛擬交換機生成端口轉換表，其中，端口轉換表包括虛擬交換機和對應於虛擬交換機的端口轉換策略。　　以上虛擬交換機S1和上述的路由策略為例，則生成的端口轉換表如表7所示，表7：本申請實施方案生成的位址轉換表其中，表項中的位址轉換表示虛擬交換機S1採用上述的位址轉換策略，以實現不同子網之間或子網與公網之間的網路位址轉換。　　可以理解的是，當有新的虛擬交換機，如S3和S4加入時，如果採用的也是上述的路由策略，則可以增加表項，如表8所示，表8：本申請實施方案生成的位址轉換表本實施例的虛擬專有網路中規則表生成方法，能夠針對網路中的虛擬交換機創建端口轉換表。由於通常情況下虛擬交換機的數量相比於網路主機要少很多，因此可以有效大幅度減少端口轉換表中的表項。這樣，在使用端口轉換表時能夠降低資源消耗，提升網路性能，提升網路的使用體驗，而且還可以降低端口轉換表的管理、維護代價。　　上述實施例所述的方法可以以在計算機執行計算機可讀儲存媒體時實現。具體的，本申請還提供一種計算機可讀儲存媒體，其上儲存有計算機指令，所述指令被執行時實現以下步驟：　　根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括：以所述關鍵字作為所述規則表中交換節點的位址。　　基於上述所述的虛擬專有網路規則表生成方法，本申請還提供一種虛擬專有網路規則表生成裝置。圖4是本申請提供的一種虛擬專有網路規則表生成裝置一種實施例的模組結構示意圖，如圖4所示，所述裝置可以包括：　　節點確定模組101，可以根據虛擬專有網路的拓撲結構資訊，確定所述虛擬專有網路中作為交換節點的虛擬交換機；　　規則表配置模組102，可以以所述虛擬交換機的網路標識作為關鍵字，配置生成所述虛擬專有網路的規則表，所述規則表至少包括以所述關鍵字作為所述規則表中交換節點的位址。　　本申請提供的一種虛擬專有網路規則表生成裝置的另一種實施例中，所述規則表可以包括安全策略表、路由表、網路位址轉換表中的至少一種。　　不同的規則表在不同的虛擬專有網路中可以有不同的配置方式。本申請提供的一種虛擬專有網路規則表生成裝置的另一種實施例中，所述規則表配置模組102可以包括：　　安全策略表配置模組1021，可以用於獲取所述虛擬交換機對應的子網中主機所屬的安全域的標識符，根據所述安全域的域標識符和所述虛擬交換機的網路標識來配置所述安全策略表。　　本申請提供的一種虛擬專有網路規則表生成裝置的另一種實施例中，所述規則表配置模組102可以包括：　　路由表配置模組1022，可以用於以跳轉的目標主機所在子網的虛擬交換機的網路標識作為路由的關鍵字來配置所述虛擬專有網路的路由表。　　如前述方法所述，本申請提供的一種虛擬專有網路規則表生成裝置的另一種實施例中，所述規則表配置模組102可以包括：　　位址轉換表配置模組1023，可以用於以所述虛擬交換機的網路標識作為對應子網進行網路位址轉換的關鍵字來配置所述位址轉換表。　　上述實施例提供的裝置中涉及到的路由表、安全策略表、位址轉換表等具體的實施方式可以參照前述相關方法實施例的描述，在此不做贅述。　　本申請提供的一種虛擬專有網路規則表生成裝置，能夠針對網路中的虛擬交換機配置生成安全策略表、路由表等多種規則表。由於通常情況下交換機的數量相比於交換節點（如網路中的主機）要少很多，因此可以有效大幅度的降低多種規則表中的表項。這樣，由於規則中的表項的大幅度減少，使得交換（轉發）結點處理的表項變少，加快更新和查找速度，增加整體吞吐量，系統性能得到提升，系統複雜度降低。對於管控結點來說，又可以顯著減少更新量和下發量，使系統很容易的支持海量的用戶，系統容量也容易擴展、增加。利用本申請實施例生成的規則表，能夠有效降低資源消耗，提升網路性能，提升網路的使用體驗，並且還可以降低安全策略表的管理、維護代價。　　本申請上述所述生成的規則表中，使用虛擬交換機作為關鍵字來配置報文的路由轉發策略，基於這樣的路由轉發策略配置生成的路由規則表的表項大幅度減少，降低資源消耗的同時，可以在虛擬專有網路的實際應用中快速對報文進行安全匹配，提升整個虛擬專有網路交換節點的報文轉發和管控性能。因此，利用本申請上述所述的規則表生成方案，本申請還提供一種虛擬專有網路的路由方法，具體的，可以包括：　　解析接收到的網路報文，確定所述網路報文所跳轉到的目標主機，獲取所述目標主機所對應的虛擬交換機的目標網路標識；　　根據所述目標網路標識在路由規則表中查詢路由到所述目標主機的下一跳虛擬交換機的路由位址，所述路由規則表至少包括：以所述虛擬交換機的網路標識作為所述路由規則表中的路由位址配置生成；　　根據所述路由位址將所述網路報文發送到所述下一跳虛擬交換機。　　虛擬交換機接收到網路報文時，可以解析獲取該網路報文中的資訊，進而確定網路目標所要到達的目標主機。在本申請實施方案中，屬於同一個虛擬交換機下的主機在路由表中配置的為相同的虛擬交換機的網路標識。可以從網路報文中確定當前交換節點需要將該網路報文路由到的下一個虛擬交換機的目標網路標識。虛擬專有網路中可以設置每個虛擬交換機所在的交換節點以及包括網格的互動節點的路由規則表採用本申請前述實施例方法或裝置生產的規則表，這樣，當前交換節點可以根據所述目標網路標識在路由規則表中查詢路由到所述目標主機的下一跳虛擬交換機的路由位址，根據所述路由位址將所述網路報文發送到所述下一跳虛擬交換機，具體的示例如圖5所示，圖5是本申請提供的虛擬專有網路中一種基於虛擬交換機為關鍵字的報文轉發示意圖。如圖5所示，當前的閘道節點1對收到報文後解析後可知，報文的目標主機在子網6中，子網6對應的虛擬交換機為S6。閘道節點1配置的路由表中設置了將目標主機為子網6中的報文轉發到虛擬交換機S6的下一跳路由配置資訊，即圖中的先轉發到虛擬交換機S5。進一步的，虛擬交換機S5接收到報文，經過解析可知目標主機在子網S6中，而S5的路由表中設置了調整到S6的路由配置資訊，此時虛擬交換機S5則可以直接將該報文轉發到虛擬交換機S6。　　採用本實施例的路由方法，可以將傳統的單純以IP位址和主機作為路由索引關鍵字的路由表改造為可以根據虛擬交換機來索引下一跳位址，實現以虛擬專有網路中子網的虛擬交換機為跳轉節點的路由規則表。因此，進一步的，本申請所述的路由方法在路由資料處理時，經過所述路由規則表將所述網路報文轉發到所述目標主機所在子網對應的虛擬交換機後，所述虛擬交換機根據儲存的主機路由表將所述網路報文發送至所述目標主機。　　如果路由到了目標主機所在的虛擬交換機，則可以根據子網內部的規則表再跳轉到目標主機。一般的，一個子網中包括多個主機，可以在子網的虛擬交換機配置子網中各個主機路由策略的主機路由表，實現路由轉發或與其他子網或公網的資料互動。這種基於上述方式生成的路由規則表的路由方式和策略與現有的方式相比，可以真正實現以虛擬專有網路中各個子網為節點單位的管理，單個子網內部主機的增加或減少甚至不會對當前的路由規則表產生影響，可以不需要刷新，大大提高減少規則表的同時使得轉發節點和管控節點的性能大幅度提升。　　上述所述的路由方法，可以透過計算機程式實現儲存在媒介中，在計算機執行時可以實現本申請發明效果。具體的，本申請提供一種計算機可讀儲存媒體，其上儲存有計算機指令，所述指令被執行時實現以下步驟：　　解析接收到的網路報文，確定所述網路報文所跳轉到的目標主機，獲取所述目標主機所在子網的虛擬交換機的目標網路標識；　　根據所述目標網路標識在路由規則表中查詢路由到所述目標主機的下一跳虛擬交換機的路由位址，所述路由規則表至少包括：以所述虛擬交換機的網路標識作為所述路由規則表中的路由位址配置生成；　　根據所述路由位址將所述網路報文發送到所述下一跳虛擬交換機。　　本申請提供的一種虛擬專有網路規則表生成方法或裝置可以用於虛擬專有網路中，可以使虛擬專有網路規則表中的表項大幅度縮減，轉發結點表項和管控節點資料量減少，整體系統性能得到提升，系統複雜度降低，可以有效解決海量用戶的虛擬專有網路的規模、性能、容量問題。因此，本申請還提供一種虛擬專有網路，所述網路至少包括虛擬交換機、以所述虛擬交換機作為交換節點的子網、儲存所述虛擬專有網路的配置和處理策略的規則表，所述規則表被設置成，採用本申請任意一項實施例所述的虛擬專有網路規則表生成方法生成，　　或者，採用本申請任意一項實施例所述的虛擬專有網路規則表生成裝置生成。　　儘管本申請內容中提到VPC中虛擬交換機、互動節點的概念描述、路由或位址轉換方式、VPC中的安全策略配置設計方法等之類的資料路由方式、概念定義、資訊互動/處理的等的描述，但是，本申請並不局限於必須是符合行業通訊標準、標準VPC規則或實施例所描述的情況。某些行業標準或者使用自定義方式或實施例描述的實施基礎上略加修改後的實施方案也可以實現上述實施例相同、等同或相近、或變形後可預料的實施效果。應用這些修改或變形後的資料定義、路由方式、安全策略分組、資料處理方式等獲取的實施例，仍然可以屬於本申請的可選實施方案範圍之內。　　雖然本申請提供了如實施例或流程圖所述的方法操作步驟，但基於常規或者無創造性的手段可以包括更多或者更少的操作步驟。實施例中列舉的步驟順序僅僅為眾多步驟執行順序中的一種方式，不代表唯一的執行順序。在實際中的裝置或終端產品執行時，可以按照實施例或者附圖所示的方法順序執行或者並行執行（例如並行處理器或者多執行緒處理的環境，甚至為分佈式資料處理環境）。術語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要件的過程、方法、產品或者設備不僅包括那些要件，而且還包括沒有明確列出的其他要件，或者是還包括為這種過程、方法、產品或者設備所固有的要件。在沒有更多限制的情況下，並不排除在包括所述要件的過程、方法、產品或者設備中還存在另外的相同或等同要件。　　上述實施例闡明的單元、裝置或模組等，具體可以由計算機晶片或實體實現，或者由具有某種功能的產品來實現。為了描述的方便，描述以上裝置時以功能分為各種模組分別描述。當然，在實施本申請時可以把各模組的功能在同一個或多個軟體及/或硬體中實現，也可以將實現同一功能的模組由多個子模組或子單元的組合實現等。以上所描述的裝置實施例僅僅是示意性的，例如，所述單元的劃分，僅僅為一種邏輯功能劃分，實際實現時可以有另外的劃分方式，例如多個單元或組件可以結合或者可以集成到另一個系統，或一些特徵可以忽略，或不執行。另一點，所顯示或討論的相互之間的耦合或直接耦合或通訊連接可以是透過一些介面，裝置或單元的間接耦合或通訊連接，可以是電性，機械或其它的形式。　　本領域技術人員也知道，除了以純計算機可讀程式代碼方式實現控制器以外，完全可以透過將方法步驟進行邏輯編程來使得控制器以邏輯門、開關、專用積體電路、可編程邏輯控制器和嵌入微控制器等的形式來實現相同功能。因此這種控制器可以被認為是一種硬體部件，而對其內部包括的用於實現各種功能的裝置也可以視為硬體部件內的結構。或者甚至，可以將用於實現各種功能的裝置視為既可以是實現方法的軟體模組又可以是硬體部件內的結構。　　本申請可以在由計算機執行的計算機可執行指令的一般上下文中描述，例如程式模組。一般地，程式模組包括執行特定任務或實現特定抽象資料類型的例程、程式、對象、組件、資料結構、類等等。也可以在分佈式計算環境中實踐本申請，在這些分佈式計算環境中，由透過通訊網路而被連接的遠程處理設備來執行任務。在分佈式計算環境中，程式模組可以位於包括儲存設備在內的本地和遠程計算機儲存媒體中。　　透過以上的實施方式的描述可知，本領域的技術人員可以清楚地瞭解到本申請可借助軟體加必需的通用硬體平台的方式來實現。基於這樣的理解，本申請的技術方案本質上或者說對現有技術做出貢獻的部分可以以軟體產品的形式體現出來，該計算機軟體產品可以儲存在儲存媒體中，如ROM/RAM、磁碟、光碟等，包括若干指令用以使得一台計算機設備（可以是個人計算機，行動終端，伺服器，或者網路設備等）執行本申請各個實施例或者實施例的某些部分所述的方法。　　本說明書中的各個實施例採用遞進的方式描述，各個實施例之間相同或相似的部分互相參見即可，每個實施例重點說明的都是與其他實施例的不同之處。本申請可用於眾多通用或專用的計算機系統環境或配置中。例如：個人計算機、伺服器計算機、手持設備或便攜式設備、平板型設備、多處理器系統、基於微處理器的系統、置頂盒、可編程的電子設備、網路PC、小型計算機、大型計算機、包括以上任何系統或設備的分佈式計算環境等等。　　雖然透過實施例描繪了本申請，本領域普通技術人員知道，本申請有許多變形和變化而不脫離本申請的精神，希望所附的申請專利範圍包括這些變形和變化而不脫離本申請的精神。

101‧‧‧節點確定模組

102‧‧‧規則表配置模組

為了更清楚地說明本申請實施例或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本申請中記載的一些實施例，對於本領域普通技術人員來講，在不付出創造性勞動性的前提下，還可以根據這些附圖獲得其他的附圖。　　圖1是本申請所述一種虛擬專有網路規則表生成方法一種實施例的方法流程圖；　　圖2是現有某VPC服務提供商使用的一種VPC整體邏輯構架示意圖；　　圖3是利用本申請虛擬專有網路一種拓撲結構示意圖；　　圖4是本申請提供的一種虛擬專有網路規則表生成裝置一種實施例的模組結構示意圖；　　圖5是本申請提供的虛擬專有網路中一種基於虛擬交換機為關鍵字的報文轉發示意圖。

Claims

一種虛擬專有網路規則表生成方法，其特徵在於，所述方法包括：　　根據虛擬專有網路的拓撲結構資訊，確定該虛擬專有網路中作為交換節點的虛擬交換機；　　以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，該規則表至少包括：以該關鍵字作為該規則表中交換節點的位址。
如申請專利範圍第1項所述的一種虛擬專有網路規則表生成方法，其中，該規則表包括安全策略表、路由表、網路位址轉換表中的至少一種。
如申請專利範圍第2項所述的一種虛擬專有網路規則表生成方法，其中，該以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，包括：　　該規則表包括安全策略表時，獲取該虛擬交換機對應的子網中主機所屬的安全域的標識符，根據該安全域的域標識符和該虛擬交換機的網路標識來配置該安全策略表。
如申請專利範圍第2項所述的一種虛擬專有網路規則表生成方法，其中，該以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，包括：　　該規則表包括路由表時，以跳轉的目標主機所在子網的虛擬交換機的網路標識作為路由的關鍵字來配置該路由表。
如申請專利範圍第2項所述的一種虛擬專有網路規則表生成方法，其中，該以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，包括：　　該規則表包括位址轉換表時，以該虛擬交換機的網路標識作為對應子網進行網路位址轉換的關鍵字來配置該位址轉換表。
一種虛擬專有網路規則表生成裝置，其特徵在於，該裝置包括：　　節點確定模組，用於根據虛擬專有網路的拓撲結構資訊，確定該虛擬專有網路中作為交換節點的虛擬交換機；　　規則表配置模組，用於以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，該規則表至少包括以該關鍵字作為該規則表中交換節點的位址。
如申請專利範圍第6項所述的一種虛擬專有網路規則表生成裝置，其中，該規則表包括安全策略表、路由表、網路位址轉換表中的至少一種。
如申請專利範圍第7項所述的一種虛擬專有網路規則表生成裝置，其中，該規則表配置模組包括：　　安全策略表配置模組，用於獲取該虛擬交換機對應的子網中主機所屬的安全域的標識符，根據該安全域的域標識符和該虛擬交換機的網路標識來配置該安全策略表。
如申請專利範圍第7項所述的一種虛擬專有網路規則表生成裝置，其中，該規則表配置模組包括：　　路由表配置模組，用於以跳轉的目標主機所在子網的虛擬交換機的網路標識作為路由的關鍵字來配置該虛擬專有網路的路由表。
如申請專利範圍第7項所述的一種虛擬專有網路規則表生成裝置，其中，該規則表配置模組包括：　　位址轉換表配置模組，以該虛擬交換機的網路標識作為對應子網進行網路位址轉換的關鍵字來配置該位址轉換表。
一種計算機可讀儲存媒體，其上儲存有計算機指令，其特徵在於，該指令被執行時實現以下步驟：　　根據虛擬專有網路的拓撲結構資訊，確定該虛擬專有網路中作為交換節點的虛擬交換機；　　以該虛擬交換機的網路標識作為關鍵字，配置生成該虛擬專有網路的規則表，該規則表至少包括：以該關鍵字作為該規則表中交換節點的位址。
一種虛擬專有網路的路由方法，其特徵在於，包括：　　解析接收到的網路報文，確定該網路報文所跳轉到的目標主機，獲取該目標主機所在子網的虛擬交換機的目標網路標識；　　根據該目標網路標識在路由規則表中查詢路由到該目標主機的下一跳虛擬交換機的路由位址，該路由規則表至少包括：以該虛擬交換機的網路標識作為該路由規則表中的路由位址配置生成；　　根據該路由位址將該網路報文發送到該下一跳虛擬交換機。
如申請專利範圍第12項所述的一種虛擬專有網路的路由方法，其中，經過該路由規則表將該網路報文轉發到該目標主機所在子網對應的虛擬交換機後，該虛擬交換機根據儲存的主機路由表將該網路報文發送至該目標主機。
一種計算機可讀儲存媒體，其上儲存有計算機指令，其特徵在於，該指令被執行時實現以下步驟：　　解析接收到的網路報文，確定該網路報文所跳轉到的目標主機，獲取該目標主機所在子網的虛擬交換機的目標網路標識；　　根據該目標網路標識在路由規則表中查詢路由到該目標主機的下一跳虛擬交換機的路由位址，該路由規則表至少包括：以該虛擬交換機的網路標識作為該路由規則表中的路由位址配置生成；　　根據該路由位址將該網路報文發送到該下一跳虛擬交換機。
一種虛擬專有網路，其特徵在於，至少包括虛擬交換機、以該虛擬交換機作為交換節點的子網、儲存該虛擬專有網路的配置和處理策略的規則表，該規則表被設置成，採用申請專利範圍第1至5項中任意一項該的虛擬專有網路規則表生成方法生成，　　或者，利用申請專利範圍第6至10項中任意一項該的虛擬專有網路規則表生成裝置生成。