(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210990817.2 (22)申请日 2022.08.18 (71)申请人 缀初网络技 术 （上海） 有限公司 地址 201203 上海市浦东 新区中国(上海) 自由贸易试验区博云 路2号801室 (72)发明人 蒲威　君莫笑　童虎　 (74)专利代理 机构 上海汉声知识产权代理有限 公司 3123 6 专利代理师 胡晶 (51)Int.Cl. H04L 9/40(2022.01) H04L 45/745(2022.01) (54)发明名称 边缘场景下共享公网IP的网络隔离方法及 装置 (57)摘要 本发明公开一种边缘场景下共享公网IP的 网络隔离方法： 在物理主机上创建多个隔离环 境， 获取主机的端口数据， 对每个隔离环境分配 互相不重叠的端口范围； 将物理主机和创建的每 个隔离环境与物理主机的每个物理网卡建立多 条虚拟线路， 每条虚拟线路连接一个物理网卡和 物理主机/一个隔离环境； 在物理主机的每个物 理网卡上创建转发器及转发表， 转发表记录所述 端口范围与每个隔离环境的转发规则； 对每个隔 离环境创建一个具有其对应物理网卡的IP地址 和MAC地址的虚拟网卡， 在所述虚拟网卡上创建 隔离转发器和隔离转发表， 隔离转发表记录每条 虚拟线路与所述每个物理网卡的对应 关系； 启动 程序开始数据传输服务。 实现本地计算机和隔离 环境共享公网IP地址 。 权利要求书2页 说明书7页 附图8页 CN 115361204 A 2022.11.18 CN 115361204 A 1.一种边 缘场景下共享公网IP的网络隔离方法， 其特 征在于， 包括： 在物理主机上创建多个隔离环境， 获取主机的端口数据， 对每个隔离环境分配互相不 重叠的端口范围； 将物理主机和创建的所述每个隔离环境与物理主机的每个物理网卡建立多条虚拟线 路， 每条虚拟线路连接一个物理网卡和物理主机 /一个隔离环境； 在物理主机的每个物 理网卡上创建转发器及转发表， 所述转发表记录所述端口范围与 每个隔离环境的转发规则； 对每个隔离环境创建一个具有其对应物理网卡的IP地址和MAC地址的虚拟网卡， 在所 述虚拟网卡上创建隔离转 发器和隔离转 发表， 所述隔离转发表记录每条虚拟线路与所述每 个物理网卡的对应关系； 启动程序开始数据传输服 务。 2.如权利要求1所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 在所述虚 拟网卡上创建隔离转发器和隔离转发表之后还 包括： 在收到隔离环境的端口绑定请求时， 判断是否已有程序在使用此端口； 在已有程序使用该端口 的情况下， 返回端口已被占用； 在没有程序使用该端口的情况下， 判断该端口是否在该隔离环境对应的端口范围内； 在判断结果 为是的情况 下， 执行端口绑定命令 。 3.如权利要求2所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 在所述在 没有程序使用该端口的情况下， 判断该端口是否在该隔离环境对应的端口范围内之后还包 括： 在判断结果 为否的情况 下， 基于预设条件， 判断是否允许 添加新端口转发； 在判断结果 为是的情况 下， 执行端口绑定命令； 在判断结果 为否的情况 下， 返回端口已被占用。 4.如权利要求1所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 所述方法 还包括： 获取到报文信息并对其进行解析， 以获取近端端口信息、 近端IP地址、 远端端口信息、 远端IP地址； 基于所述远端 端口信息、 远端IP地址查询所述 转发表， 获取转发对象； 基于所述远端端口信息、 远端IP地址转发给对应的转发对象， 其中所述转发对象为所 述远端端口信息、 远端IP地址对应的隔离环境， 再发送给隔离环境中监听目标端口 的程序。 5.如权利要求4所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 在所述基 于所述远端 端口信息、 远端IP地址查询所述 转发表， 获取转发对象之后还 包括： 判断所述转发对象是否为物 理主机， 在判断结果为是的情况下， 不进行转发， 由上层协 议栈继续处理； 在判结果为否的情况下， 转 发给获取的转 发对象， 再发送给隔离环境中监听 目标端口 的程序。 6.如权利要求1所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 所述方法 还包括： 隔离环境产生报文， 基于发出报文 的近端端口信息、 近端IP地址、 远端端 口信息、 远端 IP地址和虚拟转发表将 报文数据发送至对应的虚拟线路上；权　利　要　求　书 1/2 页 2 CN 115361204 A 2所述虚拟线路对应的物理网卡获取并发出 所述报文。 7.如权利要求6所述的边缘场景下共享公网IP的网络隔离方法， 其特征在于， 所述方法 还包括： 物理主机环境上的程序发出的报文， 不进行转发， 直接从物理网卡发送出去。 8.一种边 缘场景下共享公网IP的网络隔离装置， 其特 征在于， 包括： 隔离环境创建模块， 用于在物 理主机上创建多个隔离环境， 获取主机的端口数据， 对每 个隔离环境分配互相不重 叠的端口范围； 虚拟线路创建模块， 用于将物理主机和创建的所述每个隔离环境与物 理主机的每个物 理网卡建立多条虚拟线路， 每条虚拟线路连接一个物理网卡和物理主机 /一个隔离环境； 转发规则创建模块， 用于在物理主机的每个物理网卡上创建转发器及转发表， 所述转 发表记录所述端口范围与每个隔离环境的转 发规则； 和用于对每个隔离环境创建一个具有 其对应物理网卡的IP地址和 MAC地址的虚拟网卡， 在所述虚拟网卡上创建隔离转发器和隔 离转发表， 所述隔离转发表 记录每条虚拟线路与所述每 个物理网卡的对应关系； 初始化模块， 用于启动程序开始数据传输服 务。 9.一种计算机设备， 其特 征在于， 包括： 存储器， 所述存 储器用于存 储处理程序； 处理器， 所述处理器执行所述处理程序时实现如权利要求1至权利要求7中任意一项所 述的边缘场景下共享公网IP的网络隔离方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质上存储有处理程序， 所述处理 程序被处理器执行时实现如权利要求1至权利要求7中任意一项所述的边缘场景下共享公 网IP的网络隔离方法。权　利　要　求　书 2/2 页 3 CN 115361204 A 3