基于虚拟机技术的网络设备共享与访问控制的研究与实现

摘要

近年来，虚拟机技术的蓬勃发展和日益成熟，使得其应用愈发广泛。通过虚拟机技术构建安全计算机系统，是计算机系统安全领域重要的一步；而计算机系统的安全涉及到了访问控制技术。基于虚拟机技术的安全计算机系统，无疑在安全性能方面有天然的优越性，但是仍然不断面临着网络安全的挑战。如何在安全计算机系统中，利用已有的虚拟机技术，使得系统中的各个虚拟域能够共享网络设备，并控制其对网络设备的访问行为，从而加强系统的安全性，丰富系统的保护手段，是本文的研究内容。
　　 由于开源虚拟机Xen的性能十分高效，因此本论文以Xen虚拟机为基础构建安全计算机系统。由于Xen的深入研究资料相当匮乏，因此，本论文的一个重要工作，就是研究Xen的网络前后端设备模型和底层通信机制。这将在本文的第二章内进行阐述。另外，第二章还对现有的访问控制技术进行了研究，并提出了基于Netfilter/Iptables框架开发扩展模块，以实现虚拟系统设备访问控制功能的思路。
　　 在深入研究了Xen的底层网络结构的基础上，本文的第三章研究了虚拟系统共享网络设备，与外界网络进行连接的方法，并研究了系统可行的访问控制点。
　　 为了解决各虚拟系统对网络设备的访问控制问题，降低潜在的网络安全隐患，加强系统安全性，本文的第四章和第五章给出了虚拟系统网络设备访问控制的总体框架，提出在物理上进行多网隔离，软件上进行访问控制的思路，并给出各控制模块的设计方案和具体实现。本文的第六章给出了实验，并对实验结果作出了分析。
　　 但是，由于本课题的研究还处于初始阶段，尚有一些不足的地方。在下一阶段，我们需要进一步研究如何提高虚拟系统的网络性能，实现对系统的硬盘资源进行有效数据隔离以及各虚拟系统相互通信。

目录

文摘

英文文摘

声明

第一章 绪论

1.1 引言

1.2 研究现状

1.2.1 虚拟化技术的分类

1.2.2 虚拟机的研究应用现状

1.2.3 虚拟机Xen的介绍

1.2.4 访问控制技术的应用场景与研究现状

1.3 课题研究的意义和内容

1.3.1 研究意义

1.3.2 研究内容

1.4 论文的组织结构

1.5 本章小结

第二章 相关技术的研究

2.1 访问控制技术

2.1.1 访问控制技术概述

2.1.2 防火墙技术

2.1.3 Netfilter/Iptables框架

2.2 开源虚拟机XEN网络设备相关机制的研究

2.2.1 Xen网络前后端驱动分离机制

2.2.2 虚拟系统前端网络设备向后端发送数据

2.2.3 网络设备后端向前端发送数据

2.4 本章小结

第三章 虚拟系统网络设备共享方法与控制点的研究

3.1 虚拟系统共享网络设备方法的研究

3.1.1 网络地址映射(NAT)方法

3.1.2 桥接(Bridging)方法

3.1.3 基于桥接方法的虚拟系统共享网络设备的研究

3.1.4 需要解决的技术问题

3.2 三种可能的网络设备访问控制点的研究与比较

3.3 本章小结

第四章 虚拟系统网络设备访问控制总体框架

4.1 虚拟系统网络设备访问控制方法

4.1.1 单网卡设备控制方法

4.1.2 多网卡多网隔离方法

4.2 网络设备访问控制总体框架

4.3 基于NETFILTER/IPTABLES的设备访问控制模块

4.4 本章小结

第五章 虚拟系统网络设备访问控制设计与实现

5.1 NAME功能模块设计与实现

5.1.1 Name模块设计方案

5.1.2 应用层模块的代码设计与实现

5.1.3 内核模块的代码设计与实现

5.2 IP层模块设计与实现

5.2.1 IP层模块设计方案

5.2.2 应用层模块的代码设计与实现

5.2.3 内核模块的代码设计与实现

5.3 MAC层模块设计与实现

5.3.1 MAC层模块设计方案

5.3.2 MAC应用层模块代码设计与实现

5.3.3 MAC内核模块代码设计与实现

5.4 TCP/UDP功能模块设计与实现

5.4.1 TCP/UDP模块设计方案

5.4.2 应用层模块代码设计与实现

5.4.3 内核模块代码设计与实现

5.5 LIMIT模块设计与实现

5.5.1 Limit模块设计方案

5.5.2 应用层能模块的代码设计与实现

5.5.3 内核模块的代码设计与实现

5.6 日志功能模块设计与实现

5.6.1 日志功能概述

5.6.2 日志功能设计方案

5.6.3 日志功能实现关键

5.7 针对专属系统处理的设计与实现

5.7.1 功能概述

5.7.2 设计方案

5.7.3 具体实现的关键

5.8 本章小结

第六章 实验与分析

6.1 各控制模块功能性实验

6.1.1 实验环境

6.1.2 IP控制模块实验

6.1.3 MAC控制模块实验

6.1.4 Name控制模块实验

6.1.5 TCP控制模块实验

6.1.6 UDP控制模块实验

6.1.7 Limit控制模块实验

6.2 虚拟系统网络性能测试与分析

6.2.1 实验说明

6.2.2 Ftp大文件传送测试

6.2.3 Ftp碎文件传送测试

6.2.4 网页加载测试

6.2.5 Http下载测试

6.3 本章小结

结论

参考文献

攻读硕士学位期间取得的研究成果

致谢