本申请公开了一种云网络中IPv6流量的安全传输方法和装置，包括首先，虚拟交换机获取虚拟机发送的第一业务流量报文，然后，虚拟交换机对第一业务流量报文进行改造，为第一业务流量报文添加标识标签，生成第二业务流量报文，并将第二业务流量报文发送至租户网关。最后，租户网关根据标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文，并根据回复报文，与外网网关进行业务流量数据交互。在本申请中，改进和利用了IPv6报文的流量类型字段的保留字段的处理流程，定义了IPv6流量打标签过程、定义了安全转换地址、安全转换表项及通过租户网关安全转换的处理过程，实现了云网络数据中心IPv6流量安全出局，保证了数据的安全性。据的安全性。据的安全性。
【技术实现步骤摘要】
一种云网络中IPv6流量的安全传输方法和装置
[0001]本申请涉及资源调度
，具体涉及一种云网络中IPv6流量的安全传输方法和装置。
技术介绍
[0002]IPv6作为下一代网络的基础技术协议，IPv6具有更大的地址空间，IPv6使用更小的路由表，具有更快路由器转发数据包的速度。而云数据中心IPv6出公网的方式有路由出局和NDrpoxy出局，由于IPv6网段太多，需要在出口网关设备上配置的回程路由太多，大部分云运营商选择IPv6 NDproxy的方式进行出局。如果邻居请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应邻居公告报文，这个过程称作ND代理(ND Proxy)。ND Proxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。
[0003]现有技术中，采用IPv6 NDproxy进行通信过程中，数据中心内部的务器更容易被攻击，数据中心内部的IPv6地址暴露更容易被定位，并且IPv6出局流量无法做到基于流量类型进行安全定义。
技术实现思路
[0004]本申请针对现有的问题，提出了一种云网络中IPv6流量的安全传输方法和装置，具体技术方案如下：
[0005]在本申请的第一方面，提供一种云网络中IPv6流量的安全传输方法，方法包括：
[0006]虚拟交换机获取虚拟机发送的第一业务流量报文；
[0007]所述虚拟交换机对所述第一业务流量报文进行改造，为所述第一业务流量报文添加标识标签，生成第二业务流量报文，并将所述第二业务流量报文发送至租户网关；
[0008]所述租户网关根据所述标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文；
[0009]所述租户网关根据所述回复报文，与外网网关进行业务流量数据交互。
[0010]可选地，所述对所述第一业务流量报文进行改造，为所述第一业务流量报文添加标识标签，生成第二业务流量报文的步骤，包括：
[0011]对所述第一业务流量报文进行解析，确定所述第一业务流量报文的报文头；
[0012]利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签，并进行可扩展虚拟局域网封装，生成第二业务流量报文。
[0013]可选地，所述利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签的步骤包括：
[0014]利用预设进程定位所述报文头的流量数据片段；
[0015]在所述流量数据片段的保留字段添加安全转移标签。
[0016]可选地，所述将所述第二业务流量报文发送至租户网关的步骤，包括：
[0017]所述虚拟交换机与所述租户网关之间建立可扩展虚拟局域网络隧道，并通过所述可扩展虚拟局域网络隧道将所述第二业务流量报文发送至所述租户网关。
[0018]可选地，所述租户网关根据所述标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文的步骤，包括：
[0019]对所述第二业务流量报文进行解析，获得所述第二业务流量报文的源IP地址和安全转移标签；
[0020]根据所述源IP地址与筛选策略的匹配情况，执行不同的第二业务流量报文处理策略；
[0021]在所述源IP地址与筛选策略的匹配情况的情况下，根据所述安全转移标签将所述源IP地址转换为安全地址池中的安全地址；
[0022]根据所述安全地址进行安全流量路径配置，并生成所述回复报文。
[0023]可选地，所述安全地址池是通过以下步骤获得的：
[0024]在外网网关地址的规划阶段，预留一个子网段作为安全地址池，其中所述安全地址池利用随机加密算法将所述源IP地址转换为所述安全地址。
[0025]可选地，根据所述安全地址进行安全流量路径配置的步骤，包括：
[0026]将所述安全地址与配置参数，输入安全转换表项模板，生成安全流量路径配置文件，其中，所述配置参数包括：转换类型、协议号、目的地址以及老化时间。
[0027]可选地，所述根据所述回复报文，与外网网关进行业务流量数据交互的步骤，包括：
[0028]将所述回复报文发送至所述外网网关；
[0029]所述外网网关对所述邻居请求进行解析，并生成反馈报文；
[0030]请求所述租户网关的硬件地址，并根据所述硬件地址将所述反馈报文发送至所述租户网关；
[0031]所述租户网关将所述反馈报文转发至所述虚拟机。
[0032]在本申请的第二方面，提供一种云网络中IPv6流量的安全传输装置，装置包括：
[0033]第一发送模块，用于虚拟交换机获取虚拟机发送的第一业务流量报文；
[0034]第二发送模块，用于所述虚拟交换机对所述第一业务流量报文进行改造，为所述第一业务流量报文添加标识标签，生成第二业务流量报文，并将所述第二业务流量报文发送至租户网关；
[0035]请求报文生成模块，用于所述租户网关根据所述标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文；
[0036]交互模块，用于所述租户网关根据所述回复报文，与外网网关进行业务流量数据交互。
[0037]可选地，所述第二发送模块，包括：
[0038]解析子模块，用于对所述第一业务流量报文进行解析，确定所述第一业务流量报文的报文头；
[0039]标识子模块，用于利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签，并进行可扩展虚拟局域网封装，生成第二业务流量报文。
[0040]可选地，所述第二发送模块，还包括：
[0041]报文头确定子模块，用于对所述第一业务流量报文进行解析，确定所述第一业务流量报文的报文头；
[0042]标识标签添加子模块，用于利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签，并进行可扩展虚拟局域网封装，生成第二业务流量报文。
[0043]可选地，标识标签添加子模块包括：
[0044]定位单元，用于利用预设进程定位所述报文头的流量数据片段；
[0045]标签添加单元，用于在所述流量数据片段的保留字段添加安全转移标签。
[0046]可选地，所述第二发送模块，还包括：
[0047]报文发送模块，用于所述虚拟交换机与所述租户网关之间建立可扩展虚拟局域网络隧道，并通过所述可扩展虚拟局域网络隧道将所述第二业务流量报文发送至所述租户网关。
[0048]可选地，请求报文生成模块包括：
[0049]第二业务流量报文解析子模块，用于对所述第二业务流量报文进行解析，获得所述第二业务流量报文的源IP地址和安全转移标签；
[0050]执行子模块，用于根据所述源IP地址与筛选策略的匹配情况，执行不同的第二业务流量报文处理策略；
[0051]安全地址生成子模块，用于在所述源IP地址与筛选策略的匹配情况的情况下，根据所述安全转移标签将所述源IP地址转换为安全地址本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种云网络中IPv6流量的安全传输方法，其特征在于，所述方法包括：虚拟交换机获取虚拟机发送的第一业务流量报文；所述虚拟交换机对所述第一业务流量报文进行改造，为所述第一业务流量报文添加标识标签，生成第二业务流量报文，并将所述第二业务流量报文发送至租户网关；所述租户网关根据所述标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文；所述租户网关根据所述回复报文，与外网网关进行业务流量数据交互。2.根据权利要求1所述的云网络中IPv6流量的安全传输方法，其特征在于，所述对所述第一业务流量报文进行改造，为所述第一业务流量报文添加标识标签，生成第二业务流量报文的步骤，包括：对所述第一业务流量报文进行解析，确定所述第一业务流量报文的报文头；利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签，并进行可扩展虚拟局域网封装，生成第二业务流量报文。3.根据权利要求1所述的云网络中IPv6流量的安全传输方法，其特征在于，所述利用预设进程对所述报文头的源IP地址进行修改，并添加标识标签的步骤包括：利用预设进程定位所述报文头的流量数据片段；在所述流量数据片段的保留字段添加安全转移标签。4.根据权利要求1所述的云网络中IPv6流量的安全传输方法，其特征在于，所述将所述第二业务流量报文发送至租户网关的步骤，包括：所述虚拟交换机与所述租户网关之间建立可扩展虚拟局域网络隧道，并通过所述可扩展虚拟局域网络隧道将所述第二业务流量报文发送至所述租户网关。5.根据权利要求1所述的云网络中IPv6流量的安全传输方法，其特征在于，所述租户网关根据所述标识标签，对第二业务流量报文执行对应的安全转换策略，生成回复报文的步骤，包括：对所述第二业务流量报文进行解析，获得所述第二业务流量报文的源IP地址和安全转移标签；根据所述源IP地址与筛选策略的匹配情况，执行不同的第二业务流量报文处理策略；在所述源IP地址与筛选策略的匹配情况的情况下，根据所述安全转移标签将所述源IP地址转换为安全地址池中的安全地址；根据所...
【专利技术属性】
技术研发人员：白雁飞，
申请(专利权)人：天翼云科技有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。