CN103621046B

CN103621046B - 网络通信方法和装置

Info

Publication number: CN103621046B
Application number: CN201280000584.1A
Authority: CN
Inventors: 王雨晨; 刘利锋; 翁宇佳
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2012-05-22
Filing date: 2012-05-22
Publication date: 2016-08-24
Anticipated expiration: 2032-05-22
Also published as: CN103621046A; US20130315242A1; WO2013173973A1

Abstract

本发明实施例提供一种网络通信方法和装置，方法包括：物理主机上的VNC接收以所述物理主机为宿主机的、且与VNC存在映射关系的第一虚拟机发送的网络通信报文，网络通信报文中携带的源地址为第一虚拟机的地址，网络通信报文中携带的目的地址为第二虚拟机的地址、或其他物理主机的地址；物理主机从预设的VPN网络与VNC的对应关系中，选择出与物理主机上的VNC对应的VPN网络；物理主机通过选择出的VPN网络发送网络通信报文。虚拟网络通信装置包括报文截获模块、选择模块和第一发送模块。本发明实施例降低了对VPN内虚拟机的IP地址的设置限制。

Description

网络通信方法和装置

技术领域

本发明涉及通信技术，尤其涉及一种网络通信方法和装置。

背景技术

在数据中心中，不同用户的业务系统都有自己的计算机、网络等基础设施，且不同业务系统的基础设施之间相互独立，因此可以通过网络物理隔离手段来保证业务系统之间的信息隔离，防止业务系统的信息泄露。比如，财务系统的计算机和网络与其他业务系统相隔离，这样可以保证其他业务系统的用户无法通过网络窃取财务系统内的数据。

虚拟化是指计算机元件在虚拟的基础上而不是真实的基础上运行，CPU的虚拟化技术可以单CPU模拟多CPU并行，允许一个平台同时运行多个操作系统，且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率。由于虚拟化技术在提升工作效率方面的优势，在数据中心上应用虚拟化技术成为当前技术研究热点，但在数据中心虚拟化之后，运行用户业务的不再是物理计算机而是安装在物理计算机上的虚拟机，属于不同租户的不同虚拟机可能运行在同一物理主机上，由虚拟机组成的不同业务系统会共享相同的网络基础设施。此时难以实现信息系统的隔离，如财务系统和研发系统使用不同的虚拟机，但不同的虚拟机运行在同一物理主机上或者同处于同一网络内，则用户可以通过研发系统内的计算机通过地址欺骗、网络监听等手段窃取财务系统的数据。因此，在出现不同的租户共享物理基础设施时，如何跨越物理边界将虚拟机划分为不同的虚拟网络，并保证虚拟网络之间的信息隔离成为保证虚拟化数据中心多租户安全的一项基本要求。

在现有技术中，为了解决不同租户共享相同物理基础设施时的网络安全问题，通常需要在每个虚拟机的客(Guest)系统内安装常规的虚拟专用网(Virtual Private Network；以下简称：VPN)软件，将属于不同业务系统的虚拟机隔离在不同的VPN网络内，从而实现相同业务网络内虚拟机的安全通信，并对网络流量进行加密，防止网络通信内容被共享基础设施上的其他用户窃取。

并且，现有技术在配置虚拟机的IP地址时，不能将虚拟机的IP地址与物理主机的IP地址设置为相同，且需要将VPN内的虚拟IP地址与虚拟机的真实IP地址设置在不同的网段，否则会引起网络内IP地址冲突以及物理主机中路由表的错乱。

因此现有技术为了实现虚拟机相关的安全通信所需进行的设置较为繁琐。

发明内容

本发明实施例提供一种网络通信方法和装置，解决了现有技术为了实现虚拟机相关的安全通信所需进行的设置较为复杂的问题。

本发明实施例的第一个方面是提供一种网络通信方法，包括：

物理主机上的虚拟专用网VPN网卡VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文，所述网络通信报文中携带的源地址为所述第一虚拟机的地址，所述网络通信报文中携带的目的地址为第二虚拟机的地址、或其他物理主机的地址；

所述物理主机从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络；

所述物理主机通过选择出的VPN网络发送所述网络通信报文。

本发明实施例的另一个方面是提供一种网络通信装置，包括：

报文截获模块，用于通过所述网络通信装置所在物理主机上的VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文，所述网络通信报文中携带的源地址为所述第一虚拟机的地址，所述网络通信报文中携带的目的地址为第二虚拟机的地址、或其他物理主机的地址；

选择模块，用于从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络；

第一发送模块，用于通过选择出的VPN网络发送所述网络通信报文。

本发明实施例的技术效果是：通过物理主机上的VNC接收以该物理主机为宿主机、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文，根据预设的VPN网络与VNC之间的对应关系，选择出所述VPN网卡对应的VPN网络，通过选择出的VPN网络发送所述网络通信报文。该方案无需在每个虚拟机上都安装VPN软件，简化了设置流程，允许虚拟机的IP地址与物理计算机的IP地址相同，允许安装在相同虚拟机管理系统上分属于不同VPN网络的不同虚拟机设置相同的IP地址，从而降低了对VPN内虚拟机的IP地址的设置限制。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明网络通信方法实施例一的流程图；

图2为本发明网络通信方法实施例二的流程图；

图3为本发明网络通信方法实施例二中的虚拟机通信示意图一；

图4为本发明网络通信方法实施例二中的虚拟机通信示意图二；

图5为本发明网络通信方法实施例三的流程图；

图6为本发明网络通信装置实施例一的结构图；

图7为本发明网络通信装置实施例二的结构图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明网络通信方法实施例一的流程图，如图1所示，本实施例提供了一种网络通信方法，可以具体包括如下步骤：

步骤101，物理主机上的VPN网卡(VPN Network Card；以下简称：VNC)接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文，所述网络通信报文中携带的源地址为所述第一虚拟机的地址，所述网络通信报文中携带的目的地址为第二虚拟机的地址、或其他物理主机的地址。

本步骤可以具体为物理主机上的VNC接收第一虚拟机发送的网络通信报文，在网络通信报文中分别携带源地址和目的地址。此处的源地址可以为发送该网络通信报文的第一虚拟机的MAC地址或在所属VPN网络中的虚拟IP地址，目的地址可以为接收该网络通信报文的第二虚拟机的MAC地址或在所属VPN网络中的虚拟IP地址，目的地址也可以为接收该网络通信报文的其他物理主机的MAC地址或在所属VPN网络中的虚拟IP地址。需要说明的是，虚拟IP地址是指所在的VPN网络所分配的地址，其在所在的VPN网络中是唯一的，当然不同VPN网络中的虚拟IP地址是可以重复的。其中，第一虚拟机为以该物理主机为宿主机、且与该VNC存在映射关系的虚拟机，第二虚拟机也可以为以该物理主机为宿主机、且与该物理主机上的VNC存在映射关系的其他虚拟机，第二虚拟机还可以为以其他物理主机为宿主机、且与所述第一虚拟机属于同一VPN网络的虚拟机。

步骤102，所述物理主机从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络。

在截获到第一虚拟机发送的网络通信报文后，物理主机从预设的VPN网络与VNC的对应关系中，选择出与接收所述网络通信报文的VNC对应的VPN网络，即获取第一虚拟机所属的VPN网络，从而获知该网络通信报文应该在哪个VPN网络中发送。在本实施例中，物理主机上设置有多个虚拟机和多个VNC，每个VNC对应至少一个虚拟机(即接收至少一个虚拟机发来的网络通信报文)，每一个VNC对应一个VPN网络。在虚拟机进行通信之前，可以根据预先配置的VPN安全通信策略，对VPN网络与VNC之间的对应关系进行预先设置。

步骤103，所述物理主机通过选择出的VPN网络发送所述网络通信报文。

在选择出与物理主机上的VNC对应的VPN网络之后，物理主机可以通过选择出的VPN网络发送该网络通信报文，具体可以为将网络通信报文发送到目的地址对应的第二虚拟机或其他物理主机上。在本实施例中，第一虚拟机可以向同属于一个物理主机的第二虚拟机发送网络通信报文，也可以向不属于一个物理主机的第二虚拟机发送网络通信报文，还可以向其他物理主机发送网络通信报文。由于将第一虚拟机发送的所有网络通信报文都通过对应的VPN网络发送，物理主机在同一VPN网络中只能看到通信双方主机的物理IP地址而不会看到内层虚拟机的虚拟IP地址，同时虚拟机在相互通信中只能看到虚拟机的虚拟IP地址或MAC地址，看不到主机的物理IP地址或MAC地址，则起到了物理主机与虚拟机之间的网络隔离作用。当不同的虚拟机安装在相同的物理主机上时，即使物理主机的IP地址与虚拟机的虚拟IP地址重合，也不会出现地址冲突等现象，或者属于不同VPN网络的虚拟机之间设置相同网段的IP地址也无法相互通信。由此可见，本实施例可以直接通过VPN网络对虚拟机的所有对外流量进行定向，无需通过Guest OS内的路由表来转发网络通信报文，不再通过IP地址来区分流量，实现了虚拟机之间的网络隔离，从而可以取消虚拟机间通信时对IP地址的限制。

本实施例提供了一种网络通信方法，通过物理主机上的VNC接收以该物理主机为宿主机、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文，根据预设的VPN网络与VNC之间的对应关系，选择出该VNC对应的VPN网络，通过该VPN网络发送网络通信报文；该方案无需在每个虚拟机上都安装VPN软件，简化了设置流程，允许虚拟机的IP地址与物理计算机的IP地址相同，允许安装在相同虚拟机管理系统上分属于不同VPN网络的不同虚拟机设置相同的IP地址，从而降低了对VPN内虚拟机的IP地址的设置限制。

图2为本发明网络通信方法实施例二的流程图。在本实施例中，以物理主机中的VPN客户端为例，对本实施例提供的网络通信方法进行介绍，显然，附图2中的各步骤也可以由物理主机中的其他软件或硬件模块来执行。

VPN客户端直接安装在主机操作系统(Host Operating System；以下简称：Host OS)或者主机操作系统中的虚拟机管理器(Hypervisor)内，不再需要在虚拟机的Guest OS内安装任何软件。VPN客户端可管理一个物理主机中多个分属于不同VPN网络的VNC，VNC也是安装在主机操作系统或者虚拟机管理器内。“主机操作系统”中的主机是指物理主机，比如：物理主机上安装了Linux系统，在Linux系统上又安装了Vmware Desktop虚拟机Hypervisor，用户用Vmware Desktop上建立了一个虚拟机，在该虚拟机中安装了windows XP。此时，物理主机上的Linux系统就是Host OS，虚拟机内安装的WindoWs XP就是Guest OS，VMware Desktop软件就是Hypervisor。

如图2所示，本实施例提供了一种网络通信方法，可以具体包括如下步骤：

步骤201，物理主机中的VPN客户端根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将虚拟机内的网卡分别映射在所述虚拟机所属的VPN网络对应的VNC上。

本实施例改变了现有技术中VPN客户端的部署方式，将VPN客户端安装在Host OS或Hypervisor上，在该VPN客户端上设置至少一个VNC，每个VNC对应一个VPN网络，而不再需要在各虚拟机的Guest系统内安装任何软件。本实施例中VPN客户端的主要功能是获取VPN安全通信策略，并对VNC进行管理。本步骤为物理主机中的VPN客户端根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将每个虚拟机机内的网卡分别映射在该虚拟机所属的VPN网络对应的VNC上。可选地，在实际实施过程中，可以由每个物理主机中的VPN客户端根据预先配置的VPN安全通信策略，建立VPN网络与该物理主机上的VNC之间的对应关系，并将该物理主机上的每个虚拟机机内的网卡分别映射在该虚拟机所属的VPN网络对应的该物理主机的VNC上；也可以由其中一个物理主机中的主控VPN客户端根据预先配置的VPN安全通信策略，建立VPN网络与各物理主机上的VNC之间的对应关系，并将各物理主机上的每个虚拟机机内的网卡分别映射在，该虚拟机所属的VPN网络对应的、该虚拟机所在物理主机的VNC上，并将建立的对应关系和映射结果共享给其他物理主机中的受控VPN客户端。

图3为本发明网络通信方法实施例二中的虚拟机通信示意图，如图3所示，假设虚拟网络中设置有三台物理主机，分别为Host 1、Host 2和Host 3三个主机操作系统，虚拟机VMa和VM1安装在Host1上，虚拟机VMb和VM2安装在Host2上，虚拟机VMc、VMd、VM3、VM4安装在Host3上。其中，预先配置虚拟机VMa和VMb、VMc、VMd属于VPNa网络，虚拟机VM1、VM2、VM3、VM4属于VPN1网络，两个VPN网络相互隔离。在Host1上设置有VNCa1和VNC11两个虚拟网卡，在Host2上设置有VNCa2和VNC12两个虚拟网卡，在Host3上设置有VNCa3和VNC13两个虚拟网卡。其中VNCa1、VNCa2、VNCa3对应于VPNa网络，VNC11、VNC12、VNC13对应于VPN1网络。本步骤为根据预先配置的VPN安全通信策略，在各VPN网络与各VNC之间建立对应关系，即建立VPNa网络与VNCa1、VNCa2、VNCa3之间的对应关系，建立VPN1网络与VNC11、VNC12、VNC13之间的对应关系。根据VPN网络与VNC之间的对应关系，将各虚拟机的虚拟网卡映射到所属VPN网络对应的VNC上，即将VMa的虚拟网卡映射到其所属的VPN1网络对应的VNCa1，将VMb的虚拟网卡映射到其所属的VPN1网络对应的VNCa2，将VMc、VMd的虚拟网卡映射到其所属的VPN1网络对应的VNCa3，将VM1的虚拟网卡映射到其所属的VPN2网络对应的VNC11，将VM2的虚拟网卡映射到其所属的VPN2网络对应的VNC12，将VM3、VM4的虚拟网卡映射到其所属的VPN2网络对应的VNC13。

步骤202，物理主机中的VPN客户端根据预先配置的VPN安全通信策略，与归属于同一VPN网络的各虚拟机所在的其他物理主机之间建立隧道。

本实施例中隧道建立在物理主机之间，且一个隧道对应于一个VPN网络内的、分别设置在不同物理主机上的两个虚拟机。隧道建立过程如下：物理主机1中的VPN客户端在获得了该物理主机上的虚拟机发送的网络通信报文的源、目的地址，以及此网络通信报文所归属的VPN网络之后，首先需要在该VPN网络内查找该目的地址所标识的虚拟机所在的物理主机2的真实IP地址(互联网中的唯一地址)，然后在物理主机1与物理主机2之间建立隧道，同时记录此条隧道与该网络报文的源地址、目的地址以及该网络通信报文归属的VPN网络之间的对应关系。之后只要根据网络通信报文的源地址、目的地址、所属VPN网络，便可以将网络通信报文封装到对应的隧道。其中，隧道技术(Tunneling)是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据(或负载)可以是不同协议的数据帧或报文。隧道协议将其它协议的数据帧或报文重新封装然后通过隧道发送。

具体地，可以在归属于同一VPN网络的不同虚拟机所在的两个物理主机之间建立只设置一条隧道，也可以在归属于同一VPN网络的不同虚拟机所在的两个物理主机之间建立多条隧道。以上述图3为例，对于第一种隧道建立方法来说，由于VMb、VMc和VMd同属于VPNa网络，而VMb设置在Host2上，VMc和VMd均设置在Host3上，则在Host2和Host3之间只需建立VPNa 网络内的一条隧道，该隧道通过Host2和Host3的真实IP地址标识。对于第二种隧道建立方法来说，则需要在Host2和Host3之间至少建立VPNa网络内的两条隧道，分别为VMb和VMc的虚拟IP地址标识的隧道，以及VMb和VMd的虚拟IP地址标识的隧道。

步骤203，物理主机上的VPN网卡VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文。

本步骤为物理主机上的VPN网卡VNC接收以物理主机为宿主机的、且与VNC存在映射关系的第一虚拟机发送的网络通信报文，网络通信报文中携带的源地址为所述第一虚拟机的地址，网络通信报文中携带的目的地址为以其他物理主机为宿主机的第二虚拟机或其他物理主机的地址。本实施例中虚拟机之间发送的网络通信报文先被第一虚拟机对应的VNC截取，该网络通信报文中携带源地址和目的地址。此处的源地址可以为第一虚拟机的MAC地址或虚拟IP地址，目的地址可以为第二虚拟机或其他物理主机的MAC地址或虚拟IP地址。例如，假设VMa与VMb进行通信，VMa向VMb发送网络通信报文，该网络通信报文中携带VMa的虚拟IP地址和VMb的虚拟IP地址，该网络通信报文在发送到VMb之前，先被VMa所在的Host 1上的VNCa1截获。

步骤204，物理主机上的VPN客户端从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的VNC对应的VPN网络。

在截获到第一虚拟机发送的网络通信报文后，物理主机上的VPN客户端根据接收到该网络通信报文的VNC，从预设的VPN网络与VNC的对应关系中，选择出与该接收到网络通信报文的VNC对应的VPN网络，即获取第一虚拟机所属的VPN网络，从而获知该网络通信报文属于哪个VPN网络。在本实施例中，物理主机上设置有多个虚拟机和多个VNC，每一个VNC对应一个VPN网络。以上述图3为例，VPNa网络与VNCa1、VNCa2、VNCa3相对应，VPN1网络与VNC11、VNC12、VNC13相对应，物理主机上的VNC在接收到一个网络通信报文后，物理主机中的VPN客户端可以先根据VPN网络与VNC的对应关系，选择接收网络通信报文的该VNC对应的VPN网络。例如，当VM1向VM2发送网络通信报文时，VNC11从VM1接收到该网络通信报文，则物理主机可以选择出VNC11对应的VPN网络为VPN1网络。

步骤205，物理主机中的VPN客户端根据预设隧道协议对网络通信报文进行封装后，通过选择出的VPN网络中的隧道，发送封装后的网络通信报文。

在本实施例中，当物理主机接收到网络通信报文后，如果第一虚拟机与第二虚拟机并非对应同一个VNC，则物理主机根据预设隧道协议先对该网络通信报文进行封装，后续通过隧道对该网络通信报文进行发送。具体地，选择出的VPN网络中，从该物理主机出发可能只设置有一条默认隧道，也可能设置有一条以上隧道，对于这两种不同情况，物理主机利用不同的方法来发送网络通信报文。若选择出的VPN网络从该物理主机出发只有一条默认隧道，则直接通过该默认隧道将封装后的网络通信报文发送到第二虚拟机或其他物理主机，无需根据网络通信报文的目的地址来选择隧道。若选择出的VPN网络在该物理主机上有一条以上隧道，这些隧道具体与该VPN网络内的虚拟机的虚拟地址相对应，则物理主机先从该网络通信报文中提取其携带的目的地址，从隧道与地址的对应关系中，选取所述提取的目的地址对应的隧道，然后通过选取的隧道将封装后的网络通信报文发送到第二虚拟机或其他物理主机。如图3和图4所示，图3具体对应于一个VPN网络中，从一个物理主机出发有多条隧道的情况，图4具体对应于一个VPN网络中，从一个物理主机出发只有一条默认隧道的情况。

如图4所示，当VPN网络中，从一个物理主机出发只有一条默认隧道时，若VMa向VMb发送网络通信报文，则VMa对应的VNCa1接收到该网络通信报文后，选择出VNCa1对应的VPN网络为VPNa，则Host1可以对该网络通信报文进行封装后，直接通过VPNa中从Host1出发的默认隧道将封装后的网络通信报文发送到VMb，无需根据目的地址来选择隧道。

在本实施例中，当一个VPN网络中，从一个物理主机出发有多条隧道时，针对图3，在Host1上所建立的隧道与地址的对应关系表可以如下表1所示，其中，网络通信报文的目的地址可以为第二虚拟机或物理主机的虚拟IP地址或MAC地址，此处以虚拟IP地址为例进行说明：

表1隧道与地址的对应关系表

如图3所示，当VMa向VMb发送网络通信报文时，VMa对应的VNCa1接收到该网络通信报文，并选择出VNCa1对应的VPN网络为VPNa。而VPNa中从Host1出发存在多条隧道，Host1从网络通信报文中提取其目的地址为10.0.0.2，根据上述隧道与地址的对应关系表，获取到对应的隧道为Tunnela1，则Host1通过预定的隧道协议对所述网络通信报文进行加密后，通过Tunnela1发送。在本实施例中，由于VMa和VMb归属于VPNa，凡是由VMa和VMb所发送的所有网络通信报文，即VMa和VMb所产生的一切网络流量，无论其属于何种协议，其IP地址如何设置，均会被封装在VPNa中的Tunnela1中。由于VM1和VM2归属于VPN1，凡是由VM1和VM2所发送的所有网络通信报文，即VM1和VM2所产生的一切网络流量，无论其属于何种协议，其IP地址如何设置，均会被封装在VPN1中的Tunnel11中。由此可见，在本实施例中，虚拟机产生的流量属于哪个VPN不是由虚拟机自身的路由表决定的。

本实施例提供了一种网络通信方法，通过物理主机上的VNC接收以该物理主机为宿主机、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文，根据预设的VPN网络与VNC之间的对应关系，选择出该VNC对应的VPN网络，通过该VPN网络发送网络通信报文；本实施例允许虚拟机的IP地址与物理主机的IP地址相同，允许安装在相同虚拟机管理系统上分属于不同VPN网络的不同虚拟机设置相同的IP地址，从而取消对VPN内虚拟机IP地址设置上的限制。每个业务系统可以自行设置系统内虚拟机的IP地址，不用考虑与主机或其他业务系统内部虚拟机的地址冲突问题。

在本实施例中，无需在Guest OS上安装VPN软件客户端，Guest OS上的用户也不会感知到VPN的存在，从而无需根据不同的Guest OS开发不同的客户端，在简化部署的同时，也可以保证虚拟机上的用户无法对VPN客户端进行任何操作，从而无法干预VPN安全策略。本实施例中所有虚拟机的网络流量均会被VNC控制，而VNC对应特定的VPN网络，因此虚拟机之间的网络流量只会在VPN网络内进行传输，只能被该VPN网络内的其他节点接收处理，归属于不同VPN网络的虚拟机的流量则会被VPN隧道隔离。在本实施例中，以上述图3为例，如果设置虚拟机的IP地址如下：VMa：10.0.0.1，VM1：10.0.0.1，VMb：10.0.0.2，VM2：10.0.0.2，当VMa与VMb进行通信时，网络通信报文会被Host 1上的VNCa1处理，并且发送到Host 2上的VNCa2，再由Host 2上的VNCa2转发给VMb，上述过程由于VNC的隔离作用，网络通信报文不会被与VMb的IP地址相同的VM2收到。另外，由于VNC对应的VPN隧道的隔离作用，VMa和VMb，VM1和VM2虽然分别安装在相同的主机上，但不会发生地址冲突，且即使设置了相同网段的IP地址也无法互相通信，从而杜绝了虚拟机绕开VPN客户端在主机系统内相互通信的可能性。

图5为本发明网络通信方法实施例三的流程图，如图5所示，本实施例提供了一种网络通信方法，可以具体包括如下步骤：

步骤501，物理主机中的VPN客户端根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将虚拟机内的网卡分别映射在所述虚拟机所属的VPN网络对应的、该虚拟机所在物理主机的VNC上，本步骤可以与上述步骤201类似，此处不再赘述。

步骤502，物理主机上的VPN网卡VNC接收以所述物理主机为宿主机的、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文。

其中，所述网络通信报文携带的源地址为所述第一虚拟机的地址，所述网络通信报文中携带的目的地址为第二虚拟机或其他物理主机的地址。

步骤503，物理主机中的VPN客户端判断所述第二虚拟机是否是以所述物理主机为宿主机的、映射在所述VNC上的虚拟机，如果是，则执行步骤506，否则执行步骤504。

物理主机中的VPN客户端判断第二虚拟机是否是该以物理主机为宿主机的、映射在VNC上的虚拟机，若第二虚拟机并非是以所述物理主机为宿主机的、映射在所述VNC上的虚拟机(即第二虚拟机与第一虚拟机不是对应同一个物理主机上的同一个VNC)，进入步骤504～步骤505；若第二虚拟机是以所述物理主机为宿主机的、映射在所述VNC上的虚拟机(即第二虚拟机与第一虚拟机对应同一个VNC)则进入步骤506。

本实施例中网络通信报文中携带的目的地址为以该物理主机为宿主机的、对应同一个VNC的第二虚拟机的地址。即本实施例为在同一物理主机上对应同一个VNC的两个虚拟机之间发送网络通信报文，本实施例中虚拟机之间发送的网络通信报文先被第一虚拟机对应的VNC截取。此处的源地址可以为第一虚拟机的MAC地址或虚拟IP地址，目的地址可以为第二虚拟机的MAC地址或虚拟IP地址。例如，以上述图3为例，假设VMc与VMd进行通信，VMc向VMd发送网络通信报文，该网络通信报文中携带VMc的虚拟IP地址和VMd的虚拟IP地址，该网络通信报文在发送到VMd之前，先被VMc所在的Host3上的VNCa3截获。

Host3上的VPN客户端可以根据步骤501中“将虚拟机内的网卡分别映射在所述虚拟机所属的VPN网络对应的VNC上”时存储的、虚拟机的地址与VNC的映射关系来确认所述网络通信报文的目的方是否是与第一虚拟机映射在同一个VNC上的另一个虚拟机。

步骤504，物理主机从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的VNC对应的VPN网络。本步骤可以与上述步骤204类似，此处不再赘述。

步骤505，物理主机根据预设隧道协议对网络通信报文进行封装后，通过选择出的VPN网络中的隧道，将封装后的网络通信报文发送到第二虚拟机或其他物理主机。本步骤可以与上述步骤205类似，此处不再赘述。

步骤506，物理主机通过所述VNC直接将网络通信报文发送到第二虚拟机上。

由于本实施例具体为映射在同一个VNC上的两个虚拟机之间进行通信，则无需通过VPN网络中的隧道来发送网络通信报文。当选择出该物理主机上的VNC对应的VPN网络后，该物理主机可以直接通过该VNC将网络通信报文发送到该物理主机上的第二虚拟机上。仍以上述图3为例，假设VMc向VMd发送网络通信报文，VMc和VMd均映射在Host3的VNCa3上，则Host3可以直接通过VNCa3将网络通信报文转发到VMd上。

需要说明的是：附图5所示的网络通信方法，只是针对一个VNC上映射有至少两个虚拟机时的一种改进的解决方案，若一个VNC上只映射有一个虚拟机时，则无需执行步骤503和步骤506。此外，即使一个VNC上映射有至少两个虚拟机，也可以有其他的解决方案，例如，采用附图2所示的流程进行处理，在步骤204中，选择出VPN网络后，在步骤205时，通过选择出的VPN网络中的任意一条隧道发送出去，经过其他物理主机上与所述选择出的VPN网络对应的其他VNC的多次转发，仍然可以最终达到与发送所述网络通信报文的第一虚拟机映射在同一个VNC上的第二虚拟机。

本实施例提供了一种网络通信方法，通过物理主机上的VNC接收以该物理主机为宿主机、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文，若该网络通信报文的目的端是与所述第一虚拟机映射在同一个VNC上的第二虚拟机，则直接通过所述VNC发送该网络通信报文；本实施例允许虚拟机的IP地址与物理主机的IP地址相同，允许安装在相同虚拟机管理系统上分属于不同VPN网络的不同虚拟机设置相同的IP地址，从而取消对VPN内虚拟机IP地址设置上的限制。每个业务系统可以自行设置系统内虚拟机的IP地址，不用考虑与主机或其他业务系统内部虚拟机的地址冲突问题。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图6为本发明网络通信装置实施例一的结构图，如图6所示，本实施例提供了一种网络通信装置，可以具体执行上述方法实施例一中的各个步骤，此处不再赘述。本实施例提供的网络通信装置可以具体包括报文截获模块601、选择模块602和第一发送模块603。其中，报文截获模块601用于接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文，所述网络通信报文中携带的源地址为所述第一虚拟机的地址，所述网络通信报文中携带的目的地址为第二虚拟机的地址、或其他物理主机的地址。选择模块602用于从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络。第一发送模块603 用于通过选择出的VPN网络发送所述网络通信报文。

图7为本发明网络通信装置实施例二的结构图，如图7所示，本实施例提供了一种网络通信装置，可以具体执行上述方法实施例二或实施例三中的各个步骤，此处不再赘述。本实施例提供的网络通信装置在上述图6所示的基础之上，第一发送模块603可以具体包括封装单元613和发送单元623。其中，封装单元613用于根据预设隧道协议对所述网络通信报文进行封装。发送单元623用于通过选择出的VPN网络中的隧道，发送封装后的网络通信报文，所述第二虚拟机为以其他物理主机为宿主机的虚拟机。

具体地，本实施例中的发送单元623可以具体包括第一发送子单元6231，第一发送子单元6231用于若选择出的VPN网络中从所述物理主机出发只有一条默认隧道，则通过所述默认隧道发送封装后的网络通信报文。

进一步地，本实施例中的发送单元623还可以包括提取子单元6232、选取子单元6233和第二发送子单元6234。其中，提取子单元6232用于若选择出的VPN网络中有至少两条隧道，则从所述网络通信报文中提取目的地址。选取子单元6233用于从隧道与地址的对应关系中，选取提取的所述目的地址对应的隧道。第二发送子单元6234用于通过选取的隧道，发送封装后的网络通信报文。

具体地，本实施例中的选择模块602可以具体用于当确认所述第二虚拟机不是以所述物理主机为宿主机的、且与所述VNC存在映射关系虚拟机时，从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络。

进一步地，本实施例提供的网络通信装置还可以包括第二发送模块604。第二发送模块604用于当确认所述第二虚拟机是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机后，通过所述VNC直接将所述网络通信报文发送到所述第二虚拟机上。

进一步地，本实施例提供的虚拟网络通信装置还可以包括映射模块605。映射模块605用于在所述物理主机上的VPN网卡VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文之前，根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将虚拟机内的网卡分别映射在宿主机上的所述虚拟机所属的VPN 网络对应的VNC。

更进一步地，本实施例中的地址包括MAC地址以及在所属VPN网络中的虚拟IP地址。

本实施例提供了一种网络通信装置，通过物理主机上的VNC接收以该物理主机为宿主机、且与该VNC存在映射关系的第一虚拟机发送的网络通信报文，根据预设的VPN网络与VNC之间的对应关系，选择出所述VPN网卡对应的VPN网络，通过选择出的VPN网络发送所述网络通信报文。该方案无需在每个虚拟机上都安装VPN软件，简化了设置流程，允许虚拟机的IP地址与物理计算机的IP地址相同，允许安装在相同虚拟机管理系统上分属于不同VPN网络的不同虚拟机设置相同的IP地址，从而降低了对VPN内虚拟机的IP地址的设置限制。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

1.一种网络通信方法，其特征在于，包括：

所述物理主机通过选择出的VPN网络发送所述网络通信报文。

2.根据权利要求1所述的方法，其特征在于，所述物理主机通过选择出的VPN网络发送所述网络通信报文，包括：

所述物理主机根据预设隧道协议对所述网络通信报文进行封装后，通过选择出的VPN网络中的隧道，发送封装后的网络通信报文，所述第二虚拟机为以其他物理主机为宿主机的虚拟机。

3.根据权利要求2所述的方法，其特征在于，所述通过选择出的VPN网络中的隧道，发送封装后的网络通信报文，包括：

若选择出的VPN网络中从所述物理主机出发只有一条默认隧道，则通过所述默认隧道发送封装后的网络通信报文。

4.根据权利要求2所述的方法，其特征在于，所述通过选择出的VPN网络中的隧道，发送封装后的网络通信报文，包括：

若选择出的VPN网络中从所述物理主机出发有至少两条隧道，则从所述网络通信报文中提取目的地址；

从隧道与地址的对应关系中，选取提取的所述目的地址对应的隧道；

通过选取的隧道，发送封装后的网络通信报文。

5.根据权利要求1所述的方法，其特征在于，在所述物理主机从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络之前，还包括：

所述物理主机判断所述第二虚拟机是否是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机；

如果物理主机确认所述第二虚拟机不是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机，则执行所述从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络的步骤。

6.根据权利要求5所述的方法，其特征在于，所述物理主机判断所述第二虚拟机是否是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机后，还包括：

如果所述物理主机确认所述第二虚拟机是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机，则所述物理主机通过所述VNC直接将所述网络通信报文发送到所述第二虚拟机上。

7.根据权利要求1所述的方法，其特征在于，在所述物理主机上的VPN网卡VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文之前，还包括：

所述物理主机根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将虚拟机内的网卡分别映射在宿主机上的所述虚拟机所属的VPN网络对应的VNC。

8.根据权利要求1-7中任一项所述的方法，其特征在于，所述地址包括MAC地址以及在所属VPN网络中的虚拟IP地址。

9.一种网络通信装置，其特征在于，包括：

10.根据权利要求9所述的装置，其特征在于，所述第一发送模块包括：

封装单元，用于根据预设隧道协议对所述网络通信报文进行封装；

发送单元，用于通过选择出的VPN网络中的隧道，发送封装后的网络通信报文，所述第二虚拟机为以其他物理主机为宿主机的虚拟机。

11.根据权利要求10所述的装置，其特征在于，所述发送单元包括：

第一发送子单元，用于若选择出的VPN网络中从所述物理主机出发只有一条默认隧道，则通过所述默认隧道发送封装后的网络通信报文。

12.根据权利要求10所述的装置，其特征在于，所述发送单元包括：

提取子单元，用于若选择出的VPN网络中从所述物理主机出发有至少两条隧道，则从所述网络通信报文中提取目的地址；

选取子单元，用于从隧道与地址的对应关系中，选取提取的所述目的地址对应的隧道；

第二发送子单元，用于通过选取的隧道，发送封装后的网络通信报文。

13.根据权利要求9所述的装置，其特征在于，所述选择模块具体用于当确认所述第二虚拟机不是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机时，从预设的VPN网络与VNC的对应关系中，选择出与所述物理主机上的所述VNC对应的VPN网络。

14.根据权利要求13所述的装置，其特征在于，还包括：

第二发送模块，用于当确认所述第二虚拟机是以所述物理主机为宿主机的、且与所述VNC存在映射关系的虚拟机后，通过所述VNC直接将所述网络通信报文发送到所述第二虚拟机上。

15.根据权利要求9所述的装置，其特征在于，还包括：

映射模块，用于在所述物理主机上的VPN网卡VNC接收以所述物理主机为宿主机的、且与所述VNC存在映射关系的第一虚拟机发送的网络通信报文之前，根据预先配置的VPN安全通信策略，建立VPN网络与VNC之间的对应关系，并将虚拟机内的网卡分别映射在宿主机上的所述虚拟机所属的VPN网络对应的VNC。