CN105991790A - 虚拟设备策略配置方法及装置 - Google Patents

Abstract

本发明提供一种虚拟设备策略配置方法及装置，该方法应用在设置有多个虚拟设备的网络设备上，包括：针对每个虚拟设备，分配IP地址资源；针对每个虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。在本发明实施例中，网络设备通过向其上设置的各个虚拟设备分配IP地址资源，使虚拟设备管理员根据分配到的IP地址资源，能够对该虚拟设备基于IP地址实现配置管理的策略进行配置，从而可以实现虚拟设备可配置管理的资源的多样性，并增加虚拟设备可配置管理的策略。

Description

虚拟设备策略配置方法及装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种虚拟设备策略配置方法及装置。

背景技术

随着计算机技术的发展，为了更好地管理网络设备的硬件资源，通常基于硬件资源在网络设备上虚拟出多个虚拟设备，即将网络设备中的硬件资源分配给对应的虚拟设备，以使该虚拟设备可配置管理分配给其的硬件资源。

然而，目前网络设备上虚拟出的虚拟设备只能基于硬件资源对策略进行配置管理，因而虚拟设备可配置管理的资源单一。另外，由于硬件资源有限(诸如端口数量有限)，因此虚拟设备在实现策略的配置管理时，可配置管理的策略较少。

发明内容

本发明提供一种虚拟机设备策略配置方法及装置，以解决现有技术中虚拟设备可配置管理的资源单一，可配置管理的策略较少的问题。

根据本发明实施例的第一方面，提供一种虚拟设备策略配置方法，所述方法应用在网络设备上，所述网络设备上设置有多个虚拟设备，所述方法包括：针对每个所述虚拟设备，分配IP地址资源；

针对每个所述虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

根据本发明实施例的第二方面，提供一种虚拟设备策略配置装置，所述装置应用在网络设备上，所述网络设备上设置有多个虚拟设备，所述装置包括：分配单元，用于针对每个所述虚拟设备，分配IP地址资源；

配置单元，用于针对每个所述虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

本发明的有益效果是：

本发明实施例中，网络设备通过向其上设置的各个虚拟设备分配IP地址资源，使虚拟设备管理员根据分配到的IP地址资源，能够对该虚拟设备基于IP地址实现配置管理的策略进行配置，从而可以实现虚拟设备可配置管理的资源的多样性，并增加虚拟设备可配置管理的策略。

附图说明

图1是本发明虚拟设备策略配置方法的一个实施例流程图；

图2是本发明虚拟设备策略配置装置所在设备的一种硬件结构图；

图3是本发明虚拟设备策略配置装置的一个实施例框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

参见图1，为本发明虚拟设备策略配置方法的一个实施例流程图，该实施例从网络设备侧进行描述，该网络设备上设置有多个虚拟设备，该方法可以包括以下步骤：

步骤101、针对每个虚拟设备，分配IP地址资源。

本实施例中，网络设备管理员可以基于IP地址资源，在网络设备上虚拟出多个虚拟设备，即将IP地址资源分配给对应的虚拟设备，以使该虚拟设备可配置管理分配给其的IP地址资源。其中，分配给不同虚拟设备的IP地址资源可以为不同的网段，每个网段包括多个IP地址。例如，将IP地址为192.168.0.1至192.168.255.255的网段分配给虚拟设备。在本实施例中，该网络设备可以为防火墙和路由器等。

步骤102、针对每个虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

本实施例中，由于网络设备中基于IP地址实现配置管理的策略可以包括包过滤策略和地址转换策略，因此在对虚拟设备的策略进行配置时，若该虚拟设备是否为基于IP地址的虚拟设备(即该虚拟设备是否分配有IP地址资源)，则虚拟设备管理员可以根据分配给对应虚拟设备的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略进行配置，若该虚拟设备不为基于IP地址的虚拟设备，则表示该虚拟设备管理员不可以基于IP地址对该虚拟设备的包过滤策略和地址转换策略进行配置。在配置地址转换策略时，虚拟设备管理员可以对该虚拟设备的源NAT转换策略、目的NAT转换策略、一对一NAT转换策略和多对多NAT转换策略进行配置。

其中，包过滤策略是指虚拟设备对接收到的报文进行过滤处理。源NAT转换策略是指当内网主机通过虚拟设备访问外网服务器时，虚拟设备对内网主机的IP地址进行转换，生成公网IP地址，以使该虚拟设备根据该公网IP地址可访问外网服务器。目的转换策略是指外网主机访问内网服务器时，虚拟设备对内网服务器IP地址进行转换，生成公网IP地址，外网主机采用该公网IP地址就可以访问对应的内网服务器。一对一NAT转换策略是指转换前的IP地址和转换后的IP地址采用一对一的关系进行网络地址转换。多对多转换策略是指转换前的IP地址和转换后的IP地址采用多对多的关系进行网络地址转换。在上述一对一NAT转换策略和多对多NAT转换策略中，内网主机或者内网服务器的IP地址称为内网IP地址，内网主机或者内网服务器的IP地址在转换后的IP地址称为公网IP地址。

具体地，在配置包过滤策略时，虚拟设备管理员可以从该虚拟设备分配到的IP地址资源中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置。虚拟设备在接收到报文后，可以首先判断该报文中的源IP地址是否与该包过滤策略中配置的源IP地址相同，以及该报文中的目的IP地址是否与该包过滤策略中配置的目的IP地址相同，然后根据判断的结果，对该报文进行过滤处理(诸如对该报文进行转发或者丢弃)。

另外，由于虚拟设备分配到的网段中包括的IP地址较多，在配置包过滤策略时若从虚拟设备分配到的网段中选取IP地址，则需要对大量的IP地址进行查找，因而存在包过滤策略配置效率较低的问题。当网络设备可能接收到的报文的IP地址为已知时，为了提高包过滤策略的效率，虚拟设备管理员可以首先从该虚拟设备分配到的IP地址资源中选取IP地址，对该虚拟设备在包过滤策略中可使用的IP地址进行配置，然后从该虚拟设备在配置包过滤策略时可使用的IP地址中选取IP地址，对可转发的报文中的源IP地址和目的IP地址的至少一个进行配置。

在配置源NAT转换策略时，虚拟设备管理员可以从该虚拟设备分配到的IP地址资源中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置。由于在源NAT转换过程中，虚拟设备需要将内网主机的IP地址转换成公网IP地址，因此在配置源NAT转换策略时，虚拟设备管理员除了可以对需要进行源NAT的内网主机以及内网主机可访问的外网服务器的IP地址进行配置外，还可以从该虚拟设备分配到的IP地址资源中选取IP地址，对内网主机的IP地址在转换后生成的公网IP地址进行配置。

需要注意的是：在配置源NAT转换策略时，若通过该虚拟设备访问外网服务器的所有内网主机均需要进行源NAT转换，则虚拟设备管理员可以不对内网主机的IP地址进行配置，此时虚拟设备可以对接收到的所有报文进行源NAT转换；若通过该虚拟设备访问外网服务器的全部内网主机中的一部分需要进行源NAT转换，则虚拟设备管理员可以对需要进行源NAT转换的内网主机的IP地址进行配置，此时虚拟设备在接收到报文后，可以首先判断该报文的源IP地址与需要进行源NAT转换的内网主机的IP地址是否相同，若相同，则对该报文进行源NAT转换，否则，不对该报文进行源NAT转换。

另外，在配置源NAT转换策略时，若内网主机通过该虚拟设备可访问所有的外网服务器，则虚拟设备管理员可以不对内网主机可访问的外网服务器的IP地址进行配置，此时虚拟设备可以对接收到的所有报文发送给对应的外网服务器；若内网主机通过该虚拟设备可访问部分的外网服务器，则虚拟设备管理员可以对内网主机可访问的外网服务器的IP地址进行配置，此时，虚拟设备在接收到报文后，可以首先判断该报文的目的IP地址与内网主机可访问的外网服务器的IP地址是否相同，若相同，则将该报文发送给对应的外网服务器，否则，不将该报文发送给对应的外网服务器。

在配置目的NAT转换策略时，虚拟设备管理员可以从该虚拟设备分配到的IP地址资源中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置。

由于在一对一NAT转换策略和多对多NAT转换策略是针对转换前的内网IP地址和转换后的公网IP地址的对应关系进行配置，因此在配置一对一NAT转换策略和多对多NAT转换策略时，虚拟设备管理员需要从该虚拟设备分配到的IP地址资源中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

另外，为了提高地址转换策略的配置效率，虚拟设备管理员可以首先从该虚拟设备分配到的IP地址资源中选取IP地址，对该虚拟设备在配置地址转换策略时可使用的NAT地址池中的IP地址进行配置，然后对该虚拟设备的地址转换策略进行配置。其中，在配置源NAT转换策略时，虚拟设备管理员可以从NAT地址池中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置。在配置目的NAT转换策略时，虚拟设备管理员可以从NAT地址池中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置。在配置一对一NAT转换策略和多对多NAT转换策略时，虚拟设备管理员需要从NAT地址池中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

由上述实施例可见，网络设备通过向其上设置的各个虚拟设备分配IP地址资源，使虚拟设备管理员根据分配到的IP地址资源，能够对该虚拟设备基于IP地址实现配置管理的策略进行配置，从而可以实现虚拟设备可配置管理的资源的多样性，并增加虚拟设备可配置管理的策略。

与前述虚拟设备策略配置方法实施例相对应，本发明还提供了虚拟设备策略配置装置的实施例。

本发明虚拟设备策略配置装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本发明虚拟设备策略配置装置所在设备的一种硬件结构图，除了图2所示的处理器、网络接口、存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等；从硬件结构上来讲该设备还可能是分布式的设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

参见图3，为本发明虚拟设备策略配置装置的一个实施例框图，所述装置应用在网络设备上，该网络设备上设置有多个虚拟设备，所述装置包括：

分配单元310，用于针对每个所述虚拟设备，分配IP地址资源；

配置单元320，用于针对每个所述虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

在一个可选的实现方式中：

所述分配单元310，具体用于分配不同的网段，每个网段包括多个IP地址。

在另一个可选的实现方式中：

所述配置单元320，具体用于根据分配到的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略中至少一个进行配置，其中该地址转换策略可以包括源NAT转换策略、目的NAT转换策略、一对一NAT转换策略和多对多NAT转换策略中的至少一个。

在另一个可选的实现方式中：

所述配置单元320，具体用于在配置该虚拟设备的包过滤策略时，从所述分配到的IP地址资源中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；在配置该虚拟设备的源NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；在配置该虚拟设备的目的NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

在另一个可选的实现方式中：

所述配置单元320，还用于在根据分配到的IP地址资源，对该虚拟设备的包过滤策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置包过滤策略时可使用的IP地址进行配置；在根据分配到的IP地址资源，对该虚拟设备的地址转换策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置地址转换策略时可使用的NAT地址池中的IP地址进行配置；

所述配置单元320，具体用于在配置该虚拟设备的包过滤策略时，从所述该虚拟设备在配置包过滤策略时可使用的IP地址中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；在配置该虚拟设备的源NAT转换策略时，从所述NAT地址池中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；在配置该虚拟设备的目的NAT转换策略时，从所述NAT地址池中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述NAT地址池中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

由上述实施例可见，网络设备通过向其上设置的各个虚拟设备分配IP地址资源，使虚拟设备管理员根据分配到的IP地址资源，能够对该虚拟设备基于IP地址实现配置管理的策略进行配置，从而可以实现虚拟设备可配置管理的资源的多样性，并增加虚拟设备可配置管理的策略。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种虚拟设备策略配置方法，所述方法应用在网络设备上，所述网络设备上设置有多个虚拟设备，其特征在于，所述方法包括：

针对每个所述虚拟设备，分配IP地址资源；

针对每个所述虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

2.根据权利要求1所述的方法，其特征在于，所述分配IP地址资源包括：分配不同的网段，每个网段包括多个IP地址。

3.根据权利要求1所述的方法，其特征在于，所述根据分配到的IP地址资源，对该虚拟设备进行策略配置包括：

根据分配到的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略中的至少一个进行配置，其中该地址转换策略可以包括源NAT转换策略、目的NAT转换策略、一对一NAT转换策略和多对多NAT转换策略中的至少一个。

4.根据权利要求3所述的方法，其特征在于，所述根据分配到的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略中的至少一个进行配置包括：

在配置该虚拟设备的包过滤策略时，从所述分配到的IP地址资源中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；

在配置该虚拟设备的源NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；

在配置该虚拟设备的目的NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；

在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在根据分配到的IP地址资源，对该虚拟设备的包过滤策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置包过滤策略时可使用的IP地址进行配置；

在根据分配到的IP地址资源，对该虚拟设备的地址转换策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置地址转换策略时可使用的NAT地址池中的IP地址进行配置；

所述根据分配到的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略中的至少一个进行配置包括：

在配置该虚拟设备的包过滤策略时，从所述该虚拟设备在配置包过滤策略时可使用的IP地址中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；

在配置该虚拟设备的源NAT转换策略时，从所述NAT地址池中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；

在配置该虚拟设备的目的NAT转换策略时，从所述NAT地址池中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；

在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述NAT地址池中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

6.一种虚拟设备策略配置装置，所述装置应用在网络设备上，所述网络设备上设置有多个虚拟设备，其特征在于，所述装置包括：

分配单元，用于针对每个所述虚拟设备，分配IP地址资源；

配置单元，用于针对每个所述虚拟设备，根据分配到的IP地址资源，对该虚拟设备的策略进行配置。

7.根据权利要求6所述的装置，其特征在于，所述分配单元，具体用于分配不同的网段，每个网段包括多个IP地址。

8.根据权利要求6所述的装置，其特征在于，所述配置单元，具体用于根据分配到的IP地址资源，对该虚拟设备的包过滤策略和地址转换策略中至少一个进行配置，其中该地址转换策略可以包括源NAT转换策略、目的NAT转换策略、一对一NAT转换策略和多对多NAT转换策略中的至少一个。

9.根据权利要求8所述的装置，其特征在于，所述配置单元，具体用于在配置该虚拟设备的包过滤策略时，从所述分配到的IP地址资源中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；在配置该虚拟设备的源NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；在配置该虚拟设备的目的NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述分配到的IP地址资源中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。

10.根据权利要求8所述的装置，其特征在于，所述配置单元，还用于在根据分配到的IP地址资源，对该虚拟设备的包过滤策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置包过滤策略时可使用的IP地址进行配置；在根据分配到的IP地址资源，对该虚拟设备的地址转换策略进行配置之前，从所述分配到的IP地址资源中选取IP地址，对该虚拟设备在配置地址转换策略时可使用的NAT地址池中的IP地址进行配置；

所述配置单元，具体用于在配置该虚拟设备的包过滤策略时，从所述该虚拟设备在配置包过滤策略时可使用的IP地址中选取IP地址，对可转发的报文中源IP地址和目的IP地址的至少一个进行配置；在配置该虚拟设备的源NAT转换策略时，从所述NAT地址池中选取IP地址，对需要进行源NAT转换的内网主机的IP地址以及内网主机可访问的外网服务器的IP地址的至少一个进行配置；在配置该虚拟设备的目的NAT转换策略时，从所述NAT地址池中选取IP地址，对外网主机访问内网服务器时采用的内网服务器IP地址在转换后生成的公网IP地址进行配置；在配置该虚拟设备的一对一NAT转换策略和多对多NAT转换策略时，从所述NAT地址池中选取IP地址，对转换前的内网IP地址和转换后的公网IP地址分别进行配置。