CN105245430A - 一种虚拟机通讯数据加密方法及系统 - Google Patents

Abstract

本发明公开了一种虚拟机通讯数据加密方法及系统，该方法包括：获取源端虚拟机的通讯数据，并为通讯数据分配相应的密钥；上述通讯数据为源端虚拟机在网络层的IP报文；利用分配的密钥，对通讯数据进行IPSec加密和封装操作；将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机，以此实现了对源端虚拟机和目的端虚拟机之间通讯数据的加密传输，达到了加强不同租户虚拟机之间通讯数据的隔离性，进而提高虚拟机之间通讯数据的传输安全性的目的。

Description

一种虚拟机通讯数据加密方法及系统

技术领域

本发明涉及数据安全技术领域，特别是涉及一种虚拟机通讯数据加密方法及系统。

背景技术

目前，在云环境中不同租户的虚拟机在虚拟网络中仅通过vlan进行隔离，但云平台的管理员可在计算节点的网络设备上(如网桥)上监听租户虚拟机的网络通讯数据；通过攻击并获取了计算节点超级用户权限的黑客同样可监听该计算节点上任何租户的虚拟机的网络通讯数据。因此，如何加强虚拟机在虚拟网络中的通讯数据隔离性和安全性成为云计算应用的一个重大挑战。

本发明基于Qemu在Hypervisor层实现对虚拟机的网络数据包进行IPsec加密，采用密码技术实现虚拟网络数据加密，加强了不同租户虚拟机的网络数据隔离，提高了虚拟机的网络数据传输安全。

发明内容

有鉴于此，本发明提供了一种虚拟机通讯数据加密方法及系统，以加强不同租户虚拟机之间通讯数据的隔离性，进而提高虚拟机之间通讯数据的传输安全性。

为解决上述技术问题，本发明提供一种虚拟机通讯数据加密方法，包括：

获取源端虚拟机的通讯数据，并为所述通讯数据分配相应的密钥；所述通讯数据为所述源端虚拟机在网络层的IP报文；

利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作；

将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

上述方法中，优选的，所述为所述通讯数据分配相应的密钥包括：

针对所述通讯数据中的IP地址，为所述通讯数据分配与所述IP地址相对应的所述密钥。

上述方法中，优选的，所述获取源端虚拟机的通讯数据包括：

通过Qemu提供的虚拟网络设备接口获取所述通信数据。

上述方法中，优选的，在所述将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机之后，还包括：

接收所述IPSec加密和封装后的通讯数据；

解封装和解密所述IPSec加密和封装后的通讯数据，得到所述通讯数据。

上述方法中，优选的，在所述利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作之前，还包括：

缩短TCP_MSS的长度。

本发明还提供了一种虚拟机通讯数据加密系统，包括：

策略管理模块，用于获取源端虚拟机的通讯数据，并为所述通讯数据分配相应的密钥；所述通讯数据为所述源端虚拟机在网络层的IP报文；

IPSec加密模块，用于利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作；

数据发送模块，用于将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

上述系统中，优选的，所述策略管理模块具体用于：针对所述通讯数据中的IP地址，为所述通讯数据分配与所述IP地址相对应的所述密钥。

上述系统中，优选的，所述策略管理模块具体用于：通过Qemu提供的虚拟网络设备接口获取所述通信数据。

上述系统中，优选的，所述IPSec加密模块还用于：在所述将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机之后，接收所述IPSec加密和封装后的通讯数据；解封装和解密所述IPSec加密和封装后的通讯数据，得到所述通讯数据。

上述系统中，优选的，还包括：

最大分段大小缩短模块，用于在所述利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作之前，缩短TCP_MSS的长度。

以上本发明提供的一种虚拟机通讯数据加密方法及系统，基于TCP/IP网络协议，首先，在获取源端虚拟机的通讯数据之后，为该通讯数据分配相应的密钥；通讯数据为源端虚拟机在网络层的IP报文；然后，利用分配的密钥，对通讯数据进行IPSec加密和封装操作；将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机，以此实现了对源端虚拟机和目的端虚拟机之间通讯数据的加密传输，达到了加强不同租户虚拟机之间通讯数据的隔离性，进而提高虚拟机之间通讯数据的传输安全性的目的。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种虚拟机通讯数据加密方法的流程图；

图2为本发明实施例提供的基于图1的具体实现结构框图；

图3为本发明实施例提供的一种虚拟机通讯数据加密系统的结构框图示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的核心是提供一种虚拟机通讯数据加密方法及系统，以加强不同租户虚拟机之间通讯数据的隔离性，进而提高虚拟机之间通讯数据的传输安全性。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。

参考图1，图1示出了本发明实施例提供的一种虚拟机通讯数据加密方法的流程图，该方法具体可以包括如下步骤：

步骤S100、获取源端虚拟机的通讯数据，并为通讯数据分配相应的密钥；

本发明中，上述虚拟机通讯数据是在TCP/IP网络协议下的通讯数据，具体地，上述通讯数据为源端虚拟机在网络层的IP报文；

对于上述为通讯数据分配相应的密钥，具体地，针对通讯数据中的IP地址，策略匹配并检索对应的密钥，然后为通讯数据分配与IP地址相对应的密钥。不同的IP地址会对应不同的密钥，进一步提高了数据安全性。

进一步地，在处理IP报文策略匹配并检索对应的密钥的同时，放行二层(传输层)网络协议，如DHCP、ARP等，即本发明主要对网络层的IP报文进行加密，并不对传输层的相关数据进行加密，以便上述IP报文能够顺利传输至目的端虚拟机。

步骤S101、利用分配的密钥，对通讯数据进行IPSec加密和封装操作；

其中，“Internet协议安全性(IPSec)”是一种开放标准的框架结构，通过使用加密的安全服务以确保在Internet协议(IP)网络上进行保密而安全的通讯。

本发明中，为了减少IPSec封装时的分片进而提高传输效率，在利用分配的密钥对通讯数据进行IPSec加密和封装操作之前，对TCP_MSS(TCP层的最大分段大小)进行修改，具体地，缩短TCP_MSS的长度。至于缩短的具体长度，可以是一个IP头的长度，还可以是其它的长度，在保证通讯数据的正常传输的前提下，本领域技术人员可以根据实际需求进行具体设定，本发明在此不做严格限定。

步骤S102、将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

在实际应用中，源端虚拟机与目的端虚拟机进行数据通讯，在源端虚拟机发送出IPSec加密和封装后的通讯数据之后，目的端虚拟机执行与上述源端虚拟机相逆的过程，即接收源端虚拟机发送的IPSec加密和封装后的通讯数据；解封装和解密IPSec加密和封装后的通讯数据，得到通讯数据。

综上，上述技术方案实现了对源端虚拟机和目的端虚拟机之间通讯数据的加密传输，达到了加强不同租户虚拟机之间通讯数据的隔离性，进而提高虚拟机之间通讯数据的传输安全性的目的，有效防止管理员、黑客在通过控制计算节点窃听数据。

基于上述本发明实施例所公开的技术方案，本实施例中，基于实际应用，参考图2，源端虚拟机通过Qemu提供的虚拟网络设备接口将通讯数据提交给IPSec加密模块，IPSec加密模块将通讯数据进行IPSec封装并加密后提交给Host网络协议栈接口，经由IPSec加密模块传递给Host主机的物理网卡并将IPSec加密和封装后的通讯数据发送出去。以此基于Qemu实现在Hypervisor层对通讯数据的IPSec加密。

具体地，IPSec加密模块将IPSec加密和封装后的通讯数据通过Host网络协议栈接口发送至Host主机的物理网卡；利用Host主机的物理网卡发送IPSec加密和封装后的通讯数据至目的端虚拟机。

进一步地，对于缩短TCP_MSS的长度，在Qemu中对TCP_MSS进行修改以减少IPSec封装时产生的分片，提升IP报文处理效率。

其中，Qemu是一套开源模拟处理器软件，是市场上基于KVM+Qemu+Opensack虚拟化产品的重要组成部分，主要用于模拟虚拟机的IO和网络。

Hypervisor是一种运行在基础物理服务器和操作系统之间的中间软件层，可允许多个操作系统和应用共享硬件。也可叫做VMM(virtualmachinemonitor)，即虚拟机监视器。Hypervisors是一种在虚拟环境中的“元”操作系统。他们可以访问服务器上包括磁盘和内存在内的所有物理设备。Hypervisors不但协调着这些硬件资源的访问，也同时在各个虚拟机之间施加防护。当服务器启动并执行Hypervisor时，它会加载所有虚拟机客户端的操作系统同时会分配给每一台虚拟机适量的内存，CPU，网络和磁盘。

基于上述本发明实施例提供的虚拟机通讯数据加密方法，本发明实施例还提供了一种虚拟机通讯数据加密系统，参考图3，该系统300可以包括如下内容：

策略管理模块301，用于获取源端虚拟机的通讯数据，并为通讯数据分配相应的密钥；通讯数据为源端虚拟机在网络层的IP报文；

IPSec加密模块302，用于利用分配的密钥，对通讯数据进行IPSec加密和封装操作；

数据发送模块303，用于将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

本发明中，上述策略管理模块300具体可以用于：针对通讯数据中的IP地址，为通讯数据分配与IP地址相对应的密钥。

进一步地，上述策略管理模块300具体可以用于：通过Qemu提供的虚拟网络设备接口获取通信数据。

本发明中，上述IPSec加密模块302还可以用于：在将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机之后，接收IPSec加密和封装后的通讯数据；解封装和解密IPSec加密和封装后的通讯数据，得到通讯数据。

本发明中，上述系统300还可以包括最大分段大小缩短模块，用于在利用分配的密钥，对通讯数据进行IPSec加密和封装操作之前，缩短TCP_MSS的长度。

实际应用中，本发明所提供的技术方案采用插件的形式实现Qemu的虚拟网络加密功能扩展，其中，插件由策略管理模块301、IPSec加密模块302、密钥管理模块构成。策略管理模块301负责处理IP报文策略匹配并检索对应的密钥；同时放行二层网络协议，如DHCP、ARP等，同时对TCP_MSS进行修改以减少IPSec封装时分片。密钥管理模块实现密钥的管理，IPSec加密模302块将IP报文封装为IPSec数据包并传递给Host网络协议栈接口或者将IPSec数据包根据策略解封装、解密后通过虚拟网络设备接口传递给虚拟主机网络协议栈。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统类实施例而言，由于其与方法实施例基本相似，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

以上对本发明所提供的一种虚拟机通讯数据加密方法及系统进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (10)

1.一种虚拟机通讯数据加密方法，其特征在于，包括：

获取源端虚拟机的通讯数据，并为所述通讯数据分配相应的密钥；所述通讯数据为所述源端虚拟机在网络层的IP报文；

利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作；

将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

2.如权利要求1所述的方法，其特征在于，所述为所述通讯数据分配相应的密钥包括：

针对所述通讯数据中的IP地址，为所述通讯数据分配与所述IP地址相对应的所述密钥。

3.如权利要求2所述的方法，其特征在于，所述获取源端虚拟机的通讯数据包括：

通过Qemu提供的虚拟网络设备接口获取所述通信数据。

4.如权利要求3所述的方法，其特征在于，在所述将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机之后，还包括：

接收所述IPSec加密和封装后的通讯数据；

解封装和解密所述IPSec加密和封装后的通讯数据，得到所述通讯数据。

5.如权利要求1至4任意一项所述的方法，其特征在于，在所述利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作之前，还包括：

缩短TCP_MSS的长度。

6.一种虚拟机通讯数据加密系统，其特征在于，包括：

策略管理模块，用于获取源端虚拟机的通讯数据，并为所述通讯数据分配相应的密钥；所述通讯数据为所述源端虚拟机在网络层的IP报文；

IPSec加密模块，用于利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作；

数据发送模块，用于将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机。

7.如权利要求6所述的系统，其特征在于，所述策略管理模块具体用于：针对所述通讯数据中的IP地址，为所述通讯数据分配与所述IP地址相对应的所述密钥。

8.如权利要求7所述的系统，其特征在于，所述策略管理模块具体用于：通过Qemu提供的虚拟网络设备接口获取所述通信数据。

9.如权利要求8所述的系统，其特征在于，所述IPSec加密模块还用于：在所述将IPSec加密和封装后的通讯数据通过Host主机的物理网卡发送至目的端虚拟机之后，接收所述IPSec加密和封装后的通讯数据；解封装和解密所述IPSec加密和封装后的通讯数据，得到所述通讯数据。

10.如权利要求6至9任意一项所述的系统，其特征在于，还包括：

最大分段大小缩短模块，用于在所述利用分配的密钥，对所述通讯数据进行IPSec加密和封装操作之前，缩短TCP_MSS的长度。