一种适用于虚拟机的网络防火墙的实现方法

摘要

本发明涉及云计算领域，特别是一种适用于虚拟机的网络防火墙的实现方法。本发明必须保证宿主机安装防火墙软件，并且开启ip转发。创建的虚拟机通过桥接的方式连接到网络；然后在宿主机上创建属于此虚拟机的子链表，接着根据虚拟机选择网络防火墙规则，把防火墙规则添加到虚拟机的子链表。最后把虚拟机的子链表链接到防火墙的FARWARD表中。假如用户修改网络防火墙规则的时，相应的把防火墙规则更新到虚拟机子链表。本发明实现防火墙规则只需要在宿主机上执行，虚拟机操作内部无需再安装防火墙软件，提供一个节省资源，灵活方便虚拟机网络防火墙的方法。

说明书

技术领域

本发明涉及云计算领域，特别是一种适用于虚拟机的网络防火墙的实现方 法。

背景技术

在云计算时代，通过虚拟机的形式提供弹性计算资源给用户使用。通常， 一个物理主机可以创建多台的虚拟机，一个管理员需要管理的虚拟机成倍的增 长，因此虚拟机网络安全也面临着严峻的挑战。面对网络安全的问题，传统的 解决办法在每台虚拟机上安装网络防火墙软件，然后在每台虚拟机上配置相应 的防火墙规则。这种解决办法存在以下弊端：

1、网络防火墙管理配置麻烦，每次设置更新修改网络防火墙规则，用户需 要远程登陆虚拟机逐一的设置。这种方式需要花费大量的人工，而且没有统一 的界面展示修改规则，容易产生混乱。

2、每台虚拟机需要运行网络防火墙的软件，额外占用大量的计算机资源。

发明内容

本发明解决的技术问题在于提供一种适用虚拟机的网络防火墙的实现方 法，解决传统方法存在的管理混乱、浪费资源的弊端，提供一个节省物理资源、 灵活方便虚拟机网络防火墙的解决方案。

本发明解决上述问题，其特征在于：

包括如下步骤：

步骤1：宿主机安装防火墙软件，并且开启ip转发；

步骤2：宿主机创建的虚拟机以桥接的方式连接网络；

步骤3：宿主机上每创建一台虚拟机就创建新的子链表，子链表的名字跟虚 拟机名字一致；

步骤4：在宿主机上初始化子链表规则，并且链接到FORWARD表；

步骤5：用户通过web页面修改虚拟机子链表的规则。

所述的宿主机可以创建、删除虚拟机防火墙，添加、修改虚拟机防火墙的 规则；

所述的防火墙软件是运行在宿主机，能够实现上下行访问策略、ARP防御、 DOS防御。

所述的步骤2是虚拟机网络接口连接到linux网桥；所述的网桥相当于在 linux宿主机上实现了一个虚拟的交换机。

所述FORWARD链表允许网络数据包重新转发到虚拟机的网络接口，按虚 拟机子链表的规则所定义的方法来进行放行(accept)、拒绝(reject)、丢弃(drop) 处理这些数据包；

所述的初始化链表是为了保障虚拟机的网络安全性，默认规则是：虚拟机 下行是拒绝访问的；上行访问时没有任何限制的；抵御ARP网关欺骗。

用户可以通过web页面修改虚拟机的防火墙规则。

防火墙规则只需要在宿主机上执行，而不需要在虚拟机上安装防火墙软件。

本发明实现了防火墙规则只需要在宿主机上执行，虚拟机操作内部无需再 安装防火墙软件，提供一个节省资源，灵活方便虚拟机网络防火墙的实现方法。

附图说明

下面结合附图对本发明进一步说明：

图1为本发明的流程图；

图2为本发明的模型架构图。

具体实施方式

如图1、2所示，本发明包括如下步骤：

步骤1：宿主机安装防火墙软件，并且开启ip转发。

步骤2：宿主机创建的虚拟机以桥接的方式连接网络；即虚拟机网络接口连 接到linux网桥；所述的网桥相当于在linux宿主机上实现了一个虚拟的交 换机。

步骤3：宿主机上每创建一台虚拟机就创建新的子链表，子链表的名字跟虚 拟机名字一致。

步骤4：在宿主机上初始化子链表规则，并且链接到FORWARD表；所述 FORWARD链表允许网络数据包重新转发到虚拟机的网络接口，按虚拟机子链 表的规则所定义的方法来进行放行(accept)、拒绝(reject)、丢弃(drop)处理这些数 据包；所述的初始化链表是为了保障虚拟机的网络安全性，默认规则是：虚拟 机下行是拒绝访问的；上行访问时没有任何限制的；抵御ARP网关欺骗。

步骤5：用户通过web页面修改虚拟机子链表的规则；即可以通过web页 面修改虚拟机的防火墙规则。

前述中，宿主机可以创建、删除虚拟机防火墙，添加、修改虚拟机防火墙 的规则。防火墙软件是运行在宿主机，能够实现上下行访问策略、ARP防御、 DOS防御。

防火墙规则只需要在宿主机上执行，而不需要在虚拟机上安装防火墙软件。

本发明涉及的防火墙软件有多种，下面以iptables为例讲述其中一种虚拟机 网络防火墙的实现方式，流程图如图1所示，具体实施过程如下

1、在宿主机执行以下命令，开启宿主机ip数据包转发

#sysctl  -w net.ipv4.ip_forward＝1

2、创建虚拟机时，虚拟机网络接口采用桥接的方式，配置文件如下

<interface type＝”bridge”>

<filterref filter＝“no-mac-spoofing”/>

<source bridge＝"br0"/>

<model type＝"virtio"/>

</interface>

3、假如虚拟机id为i-abcd，然后创建i-abcd子链表，然后初始化子链表， 并链接到FOR上ARD表，执行命令如下：

#iptables-t filter-N i-abcd

#iptables-A FORWARD-j i-abcd

#iptables-A i-abcd-m state--state INVALID-j DROP

##iptables-A i-abcd-m state--state RELATED，ESTABLISHED-j ACCEPT

#iptables-A i-abcd-j DROP

4、给i-abcd子链表添加规则，假如允许windows远程连接，允许能够ping 虚拟机，那么需要执行如下命令

#iptables-I i-abcd3-p tcp--dport3389-j ACCEPT

#iptables-I i-abcd4-p icmp-m icmp-j ACCEPT

5、删除i-abcd子链表的某个规则，比如删除允许虚拟机被ping的规则， 不允许windows远程连接，那么需要执行的命令如下：

#iptables-D i-abcd-p icmp-m icmp-j ACCEPT

#iptables-D i-abcd4-p tcp--dport3389-j ACCEPT

6、虚拟机i-abcd被删除时，虚拟机i-abcd的防火墙规则同样被删除，执 行命令如下：

#iptables-D FORWARD i-abcd

#iptables-F i-abcd

#iptables-Xi-abcd。