苗新亮，徐 淼，陈 伟

(中国电子科技集团公司第三十研究所，四川 成都 610041)

0 引言

目前，云计算的发展如火如荼，已经引领了IT技术发展的方向和趋势。亚马逊云、谷歌云、微软云、阿里云、华为云、腾讯云等遍地开花。云计算技术的广泛应用也带来了更多的云计算安全问题，尤其是云计算环境中的数据安全问题。于是，涌现出内网OpenSSL 云[1]、密码服务资源池系统[2]、云服务密码机[3]、安全服务云[4]、虚拟密码机(Virtual Cipher Machine，VCM)[5][6]、新型云密码计算平台[7]等诸多研究，为使用物理硬件的可控数据加密转变成云计算环境中动态不可控数据加密提供解决方案。仅新型云密码计算平台中提到了通过限速模块限制用户请求速度，但没有具体的实施方案。

本文提出了一种虚拟密码机的细粒度流量控制方法，用户可按带宽购买或租用虚拟密码机，如100Mbps 的倍数。利用Linux 的TC 流量控制工具将可使用的带宽分为两部分，一部分用于按次计数的密码服务接口使用，优先级较高且受到最小带宽的保护；另一部分用于按数据量计数的密码服务接口使用，优先级较低，仅在前者没有流量时才会占用全部带宽。

1 Linux 流量控制工具介绍

Linux 内核内置了一个流量控制工具（Traffic Control，TC），可以根据数据包的任何一个部分的特征对其进行分类，并且可以为各类数据提供不同的带宽，从而控制它们的传输速度。

TC 配置qdisc 排队规则、class 类以及filter 过滤器三种控制对象来实现流量控制[8]。

（1）qdisc 全称为queueing discipline，意为排队规则，指将入口（ingress）或出口（egress）流量组织成队列的形式，按照一定的规则对队列中的数据包进行入队（enqueue）和出队（dequeue）处理[9]。……