CN104243496A - 一种软件定义网跨域安全代理方法和系统 - Google Patents

Abstract

本发明提出一种软件定义网跨域安全代理方法和系统，对跨域共享资源实现统一访问控制和管理，消除安全策略冲突、提高策略合成效率。系统包含至少两个集中控制器、至少一个多域处理模块、至少两个域间代理模块。域间代理模块进行语义转换后向多域处理模块发送跨域业务请求。多域处理模块中包含资源数据库和策略合成单元。策略合成单元收到跨域业务请求后查询资源数据库，进行策略合成，向域间代理模块发出跨域策略配置指令。方法包括请求转义、请求认证、策略解析合成、策略派发、策略认证、策略执行等步骤。本发明简化异构网络信息交互，降低异构网络信息集成与同步难度，保证资源调度安全性，实现多域资源共享，能够调整各域集中控制器业务负荷。

Description

一种软件定义网跨域安全代理方法和系统

技术领域

本发明涉及通信计算机领域，尤其涉及一种软件定义网架构多域中跨域的业务及资源的保护方法。

背景技术

在单域中引入软件定义网(SDN)控制架构后，网络操作人员可充分利用软件定义的特点，通过SDN控制层装置的上层接口制定相应业务策略，同时也可通过相关策略对各个域的资源信息的逻辑抽象进行统一灵活管理。在此架构下，该域可根据规则自定义资源管理需求，在满足业务需求的同时，保证对多个域的资源调度满足一定的安全需求。

在当前已实现的多域SDN架构(如：HyperFlow、Onix、SiBF、DevoFlow)中，主要研究多域如何协同工作的通信机制，对于跨域资源访问的问题，制定了各域间资源访问规则(即资源访问控制策略)。由于各域对资源的控制是相互独立的，各域拥有自己的访问控制策略，跨域业务请求很可能由于策略规则相互冲突而无法满足跨域资源访问控制的安全性需求，从而造成业务请求失败。

对于共享资源(即各个域允许其他域访问的资源)制定一个公共的、双方都认可的访问控制策略的过程称为策略合成，合成后的访问控制策略称为安全策略。现有策略合成方案采用回溯方案，即源节点所在域发出合成请求，直至宿节点所在域，逐个进行策略收集，完成后回溯至源节点，并在源节点处完成策略合成后实现策略冲突的消解，该方案时延较长，冗余信息量大。

发明内容

本发明提出一种软件定义网跨域安全代理方法和系统，该方案旨在实现跨域的协同工作和资源共享，对跨域共享资源实现统一访问控制和管理，消除安全策略冲突、提高策略合成效率。

本发明的软件定义网跨域安全代理系统包含至少两个集中控制器3，所述集中控制器3是SDN网络的控制层装置，通过南向接口和数据层相连接，对数据层设备实施控制。所述软件定义网跨域安全代理系统还包含至少一个多域处理模块1、至少两个域间代理模块2。

每个所述域间代理模块2负责至少一个域，通过域内接口SI与所述域的至少一个集中控制器3相连接。所述域内接口SI传递业务需求信息REQ和域内策略配置指令CONFIG。所述域间代理模块2进行语义转换后，向所述多域处理模块1发送跨域业务请求M_REQ。

所述多域处理模块1包含多域处理接口MI，与至少两个域间代理模块2相连接，所述多域处理接口MI传递跨域业务请求M_REQ、跨域策略配置指令M_CONFIG和跨域策略执行结果。所述多域处理模块1中包含资源数据库14和策略合成单元15。所述策略合成单元15收到来自于所述域间代理模块2的跨域业务请求M_REQ后，查询资源数据库14，进行策略合成，向相关域的域间代理模块2发出跨域策略配置指令M_CONFIG。

作为本发明优化的方案，所述软件定义网跨域安全代理系统，还包含一数据通信网络4，其特征在于，所述多域处理模块1通过所述数据通信网络4与至少两个所述域间代理模块2相连接。

本发明的软件定义网跨域安全代理方法，包含以下步骤：

第1步、请求转义

当源节点所在域的集中控制器3出现跨域业务需求时，通过所在域的域间代理模块2向所述多域处理模块1发出跨域业务请求M_REQ。所述域间代理模块2将所述跨域业务请求M_REQ中的信息转换为全局语义。

优选地，为保证该请求的安全性，所述域间代理模块2对所述跨域业务请求M_REQ进行加密。

第2步、请求认证

所述多域处理模块1对跨域业务请求M_REQ进行认证，拒绝非法的跨域业务请求M_REQ。

第3步、策略解析合成

所述多域处理模块1通过查询其中的资源数据库，解析业务所涉及到的资源访问请求，根据资源数据库中的信息判断所述资源访问请求是否存在策略冲突，如无冲突则策略合成成功。

进一步地，存在策略冲突时，所述策略合成单元15使用策略冲突消解算法消除策略冲突，如能够消除策略冲突，则策略合成成功。

若策略合成不能成功，则拒绝所述跨域业务请求M_REQ。

第4步、策略派发

所述多域处理模块1通过多域处理接口MI将合成后新的策略，用全局语义，把跨域策略配置指令M_CONFIG发送到各个域的域间代理模块2。

第5步、策略认证

所述域间代理模块2对跨域策略配置指令所包含的策略进行认证，若合法，则认证成功，将该策略转换为所在域的语义，通过域内接口SI向所在域的集中控制器下发域内策略配置指令CONFIG。若认证不成功则终止执行该策略配置指令。

第6步、策略执行

所述集中控制器3执行所述域内策略配置指令；所述多域处理模块1汇总由各个域回复的策略执行结果。若均成功，则通知业务请求发起端策略执行结果。若失败，则策略合成单元15对未完成的请求重新进行策略合成。

采用本发明所述方法和装置，简化了异构网络信息交互的过程，降低了异构网络信息集成与同步的难度，保证了资源调度的安全性，有效实现了多域的资源共享，能够通过策略协商机制动态调整各域中集中控制器的业务负荷，提高策略合成效率。

附图说明

图1是软件定义网跨域安全代理系统

图2是软件定义网跨域安全代理方法流程图

图3是域间代理模块的一个实施例

图4是多域处理模块的一个实施例

具体实施方式

下面结合附图，对本发明的实施方式作进一步的详细描述。

图1是软件定义网跨域安全代理系统的结构图，所述软件定义网跨域安全代理系统包含至少一个多域处理模块1、至少两个域间代理模块2、至少两个集中控制器3、数据通信网络4。

所述集中控制器3是SDN网络的控制层装置，通过南向接口和数据层相连接，对数据层设备实施控制。

每个所述域间代理模块2负责至少一个域，通过域内接口SI与所述域的一个集中控制器3相连接。所述域内接口SI传递业务需求REQ和域内策略配置指令CONFIG。所述域间代理模块2进行语义转换后，通过数据通信网络4向所述多域处理模块1发送跨域业务请求M_REQ。

所述多域处理模块1包含多域处理接口MI，通过数据通信网络4与至少两个域间代理模块2相连接，所述多域处理接口MI传递跨域业务请求M_REQ、跨域策略配置指令M_CONFIG和跨域策略执行结果。所述多域处理模块1中包含资源数据库14和策略合成单元15。所述策略合成单元15收到来自于所述域间代理模块2的跨域业务请求M_REQ后，查询资源数据库14，进行策略合成，向相关域的域间代理模块2发出跨域策略配置指令M_CONFIG。

每个域对资源的控制要求(称为资源访问请求)即相应策略，包含在所述跨域业务请求M_REQ中。

所述资源数据库14中存储着各个域的资源状态信息，由各域实时触发、或由多域处理模块1主动更新该数据库。所述资源数据库14还存储合成策略，是根据跨域业务请求形成的。

一般地，由于各个域的异构性，各域表示资源信息的语义规则不同，本装置中事先制定统一的全局语义规则，所述域间代理模块1先将跨域业务请求M_REQ转换成全局语义再向多域处理模块1中的策略合成单元15发送；反之，所述域间代理模块1接收到跨域策略配置指令M_CONFIG后转换为该域的语义，再生成域内配置指令CONFIG下发至所在域的集中控制器3。

图2是软件定义网跨域安全代理方法流程图，包括以下步骤。

第1步、请求转义

当源节点所在域的集中控制器3出现跨域的业务需求时，通过所在域的域间代理模块2向所述多域处理模块1发出跨域业务请求M_REQ。所述域间代理模块2将所述跨域业务请求M_REQ中的信息转换为全局语义。

以一定的符号集合表示的策略含义称为语义。全局语义是指全局通用的符号集，语义之间可通过脚本语言实现转换。例如对于同一资源的标识，不同的域有不同的标识方法，此时可通过设置回调函数将此资源标识符转换为全局可识别的标识。

为保证该请求的安全性，应对该请求进行加密，例如，可为请求加入一个特殊标记。

第2步、请求认证

所述多域处理模块1对跨域业务请求M_REQ进行认证，拒绝非法请求。

当认证结果为未识别，则认为该请求非法并拒绝非法请求。例如，除去第1步所加入的特殊标记若可正确读取业务请求则认证通过，若该业务请求无法识别则拒绝该请求。

第3步、策略解析合成

在多域处理模块1中，所述策略合成单元15通过查询资源数据库14，解析业务所涉及到的资源访问请求，由于查询资源数据库14后就可以知晓策略所指定的资源是否可用，因此能够根据资源数据库14中的信息判断所述资源访问请求是否存在策略冲突。如无冲突则策略合成成功。

如果存在策略冲突，资源访问请求无法满足，进一步使用策略冲突消解算法根据业务需求重新制定新的资源访问规则消除策略冲突。如能够消除策略冲突，则策略合成成功。

如果无法消除策略冲突，则拒绝该跨域业务请求M_REQ。

例如，某跨域业务需要使用某个域中的资源R1和R2，但此时R2已被占用，此时所述策略合成单元15查找资源数据库中的其他可用资源，例如R3来代替R2来满足业务需求，实现策略合成。跨域业务涉及到多个域，合成后的策略，包含多个域的资源使用规则。由于通常情况下所述其他可用资源并不是唯一的，因此合成后的策略也不是唯一的，因此本步骤能够重复执行以选择不同的策略。

第4步、策略派发

所述多域处理模块1通过多域处理接口MI发送跨域策略配置指令M_CONFIG到各个域的域间代理模块2。所述跨域策略配置指令使用全局语义，并包含合成后的策略。

第5步、策略认证

所述域间代理模块2对所述跨域策略配置指令M_CONFIG所包含的策略进行认证，将该策略转换为所在域的语义，通过域内接口SI向所在域的集中控制器3下发域内策略配置指令CONFIG。例如在OpenFlow协议中即为流表的配置指令。

第6步、策略执行

所述集中控制器3执行所述域内策略配置指令；所述多域处理模块1中的策略合成单元15汇总由各个域回复的策略执行结果。若均成功，则通知请求发起端执行结果。若失败，可能由于该域指定资源已被占用或设备故障等原因，则转至第3步，策略合成单元根据上报信息对未完成的请求，重新进行策略合成。

图3是域间代理模块2的一个实施例

所述域间代理模块2进一步包含域内请求单元21、域内认证单元22、语义转换单元23和域内执行单元24。

连接关系为，域内接口SI接收来自集中控制器3的信息，依次经过域内请求单元21、语义转换单元23、域内认证单元22处理后，产生跨域业务请求M_REQ从多域处理接口MI输出至多域处理模块1。所述多域处理接口MI接收到来自多域处理模块1的信息，依次经过所述域内认证单元22、语义转换单元23和域内执行单元24处理后，产生域内配置指令CONFIG从域内接口SI输出至集中控制器3。

域内请求单元21产生请求信息，例如跨域业务请求M_REQ、认证请求、资源数据更新请求。域内认证单元22认证进入域间代理模块2的所有消息、为域内请求单元21发出的各种请求生成加密包头，经多域处理接口MI发出请求信息。语义转换单元23在本域的策略语言的语义与多域处理模块1中策略语言的全局语义之间进行转换。所述域内执行单元24产生域内的策略配置指令经域内接口SI输出至集中控制器3、并确认执行结果。

作为本发明进一步优化的实施例，各域触发更新所述资源数据库14时，通过域内请求单元21产生资源更新请求。

作为本发明进一步优化的实施例，当某域内的语义与全局语义相同时，所述语义转换单元23被省略。

作为本发明进一步优化的实施例，所述语义转换单元23的功能可以被使能或禁止。

作为本发明进一步优化的实施例，域内认证单元22的加密和认证功能可以被使能或禁止。

所述域间代理模块2和所述集中控制器3之间的接口是域内接口SI，进一步包含域内上行接口和域内下行接口，所述域内上行接口传递业务需求信息REQ，所述域内下行接口传递域内策略配置指令CONFIG。

所述域间代理模块2包含多域处理接口MI，通过数据通信网络4与至少1个所述多域处理模块1相连接。所述多域处理接口MI进一步包含多域处理上行接口和多域处理下行接口。所述多域处理上行接口传递跨域业务请求M_REQ、认证请求、资源数据更新请求和跨域策略执行结果等，所述多域处理下行接口传递跨域策略配置指令M_CONFIG。

图4是多域处理模块1的一个实施例

所述多域处理模块1进一步包含多域认证单元11、请求处理单元12、策略解析单元13、策略派发单元16。

连接关系为，多域处理接口MI接收的信息依次经过所述多域认证单元11、请求处理单元12、策略解析单元13、策略合成单元15、策略派发单元16处理后，再经过所述多域认证单元11输出至多域处理接口MI。所述策略解析单元13、策略合成单元15与资源数据库14相连接。

其中，所述多域认证单元11对所述多域处理接口MI接收的信息进行认证、对所述策略派发单元16发出的跨域策略配置指令M_CONFIG生成加密包头。所述请求处理单元12从跨域业务请求M_REQ中提取策略信息和资源更新信息。所述策略解析单元13对所收集的各个域的策略进行解析并读取其中的资源访问请求、读取资源状态、同步更新资源数据库。所述资源数据库14存储各个域的资源状态信息、存储合成策略。所述策略合成单元15汇总来自各个域的跨域业务请求中包含的策略，生成合成策略存入资源数据库14。所述策略派发单元16生成跨域策略配置指令M_CONFIG，包含所述合成策略。

作为本发明进一步优化的实施例，跨域认证单元11的加密和认证功能可以被使能或禁止。

所述多域处理模块1包含多域处理接口MI，通过数据通信网络4与至少2个所述域间代理模块2相连接。所述多域处理接口MI进一步包含多域处理上行接口和多域处理下行接口。所述多域处理上行接口传递跨域业务请求M_REQ、认证请求、资源数据更新请求和跨域策略执行结果等，所述多域处理下行接口传递跨域策略配置指令M_CONFIG。

Claims (10)

1.一种软件定义网跨域安全代理系统，包含至少一个多域处理模块、至少两个域间代理模块、至少两个集中控制器，其特征在于，

每个所述域间代理模块通过域内接口与至少一个所述集中控制器相连接，所述域间代理模块进行语义转换后，向所述多域处理模块发送跨域业务请求；

所述多域处理模块包含多域处理接口，与至少两个所述域间代理模块相连接；

所述多域处理模块中包含资源数据库、策略合成单元；

所述资源数据库保存资源状态信息和合成策略信息；

所述策略合成单元收到来自于所述域间代理模块的跨域业务请求后，查询所述资源数据库，进行策略合成，发出跨域策略配置指令；

所述域内接口传递业务需求信息和域内策略配置指令；

所述多域处理接口传递跨域业务请求、跨域策略配置指令和跨域策略执行结果。

2.如权利要求1所述软件定义网跨域安全代理系统，其特征在于，

还包含一数据通信网络，所述多域处理模块通过所述数据通信网络与至少两个所述域间代理模块相连接。

3.如权利要求1所述软件定义网跨域安全代理系统，其特征在于，

所述域间代理模块包含域内请求单元、域内认证单元、语义转换单元和域内执行单元；

所述域内接口接收来自所述集中控制器的信息，依次经过所述域内请求单元、语义转换单元、域内认证单元处理后，产生跨域业务请求从多域处理接口输出；

所述多域处理接口接收到来自所述多域处理模块的信息，依次经过所述域内认证单元、语义转换单元和域内执行单元处理后，产生域内配置指令从所述域内接口输出；

所述域内请求单元产生请求信息，包含跨域业务请求、认证请求、资源数据更新请求；

所述域内认证单元认证进入所述域间代理模块的所有消息、为所述域内请求单元发出的各种请求生成加密包头，经所述多域处理接口发出请求信息；

所述语义转换单元在本域的策略语言的语义与多域处理模块中策略语言的全局语义之间进行转换；

所述域内执行单元产生域内的策略配置指令、并确认执行结果；

所述域内接口进一步包含域内上行接口和域内下行接口，所述域内上行接口传递业务需求信息，所述域内下行接口传递域内策略配置指令；

所述多域处理接口进一步包含多域处理上行接口和多域处理下行接口；所述多域处理上行接口传递跨域业务请求、认证请求、资源数据更新请求和跨域策略执行结果；所述多域处理下行接口传递跨域策略配置指令。

4.如权利要求3所述软件定义网跨域安全代理系统，其特征在于，所述域内请求单元产生资源更新请求，触发更新所述资源数据库。

5.如权利要求3所述软件定义网跨域安全代理系统，其特征在于，所述语义转换单元在域内的语义与全局语义相同时被省略。

6.如权利要求3所述软件定义网跨域安全代理系统，其特征在于，所述语义转换单元功能可以被使能或禁止。

7.如权利要求3所述软件定义网跨域安全代理系统，其特征在于，所述域内认证单元的加密和认证功能可以被使能或禁止。

8.如权利要求1所述软件定义网跨域安全代理系统，其特征在于，所述多域处理模块进一步包含多域认证单元、请求处理单元、策略解析单元、策略派发单元；

所述多域处理接口接收的信息依次经过所述多域认证单元、请求处理单元、策略解析单元、策略合成单元、策略派发单元处理后，再经过所述多域认证单元输出至多域处理接口；

所述策略解析单元、策略合成单元与所述资源数据库相连接；

所述多域认证单元对所述多域处理接口接收的信息进行认证、对所述策略派发单元发出的跨域策略配置指令生成加密包头；

所述请求处理单元从所述跨域业务请求中提取策略信息和资源更新信息；

所述策略解析单元对所收集的各个域的策略进行解析并读取其中的资源访问请求、读取资源状态、同步更新资源数据库；

所述策略合成单元汇总来自各个域的跨域业务请求中包含的策略，生成合成策略存入资源数据库；

所述策略派发单元生成跨域策略配置指令；

所述多域处理接口进一步包含多域处理上行接口和多域处理下行接口；所述多域处理上行接口传递跨域业务请求、认证请求、资源数据更新请求和跨域策略执行结果；所述多域处理下行接口传递跨域策略配置指令。

9.如权利要求8所述软件定义网跨域安全代理系统，其特征在于，所述跨域认证单元的加密和认证功能可以被使能或禁止。

10.一种软件定义网跨域安全代理方法，用于权利要求1～9所述任一系统，其特征在于，包含以下步骤：

第1步、请求转义：

当源节点所在域的集中控制器出现跨域业务需求时，通过所在域的域间代理模块向所述多域处理模块发出跨域业务请求，所述域间代理模块将所述跨域业务请求中的信息转换为全局语义；

第2步、请求认证：

所述多域处理模块对所述跨域业务请求进行认证，拒绝非法的跨域业务请求；

第3步、策略解析合成：

所述多域处理模块通过查询资源数据库，解析业务所涉及到的资源访问请求，根据资源数据库中的信息判断所述资源访问请求是否存在策略冲突，如无冲突则策略合成成功；

存在策略冲突时，所述策略合成单元使用策略冲突消解算法消除策略冲突，如能够消除策略冲突，则策略合成成功；

若策略合成不能成功，则拒绝所述跨域业务请求；

第4步、策略派发：

所述多域处理模块通过所述多域处理接口将合成后新的策略，用全局语义，把跨域策略配置指令发送到各个域的域间代理模块；

第5步、策略认证：

所述域间代理模块对所述跨域策略配置指令所包含的策略进行认证，若合法，则认证成功，将该策略转换为所在域的语义，通过所述域内接口向所在域的集中控制器下发域内策略配置指令；

若认证不成功则终止执行该策略配置指令；

第6步、策略执行：

所述集中控制器3执行所述域内策略配置指令；

所述多域处理模块汇总由各个域回复的策略执行结果，若均成功，则通知业务请求发起端策略执行结果；

若失败则所述策略合成单元对未完成的请求重新进行策略合成。