CN106412880A - 一种基于SDN的无线mesh安全分级传输方法 - Google Patents

Abstract

本发明公开了一种基于SDN的无线mesh安全分级传输方法，该方法包括：策略生成阶段，策略分配/维护阶段，策略更新/加载阶段和策略执行阶段。本发明方法基于SDN架构能灵活的满足不同安全需求数据流的传递要求，解决网络功能灵活性差、更新成本高的问题，且符合现有网络协议的安全分级传输，保证了无线数据报文的安全分级传输，使高安全级的数据报文得到了更好的保护。

Description

一种基于SDN的无线mesh安全分级传输方法

技术领域

本发明涉及无线Mesh网络安全技术领域，更具体的说是涉及一种基于SDN的无线mesh安全分级传输方法。

背景技术

随着国家“双网”融合的大背景下，互联网与工业控制网的结合已不可避免，针对工业控制系统在“最后一公里”问题上，工业无线Mesh是应用非常广泛的组织形式，目前国内外都已形成相关的技术标准进行推广与实施，并取得了很好的效果。传统网络的层次结构是互联网取得巨大成功的关键。但是随着网络规模的不断扩大，封闭的网络设备内置了过多的复杂协议，增加了运营商定制优化网络的难度，科研人员无法在真实环境中规模部署新协议。

由于工业现场设备的海量、异构、多样等特点，利用分层思想的软件定义网络(SDN，Software Defined Network)，目前由于很好的满足了开发体系架构及动态部署的需求，受到了来着工业界、产业界和学术界的重点关注，被网络领域认为是一场革命性的技术方法。SDN分层的思想是将数据与控制相分离，在控制层，包括具有逻辑中心化和可编程的控制器，可掌握全局网络信息，负责交换机流表的生成、部署、配置和维护，方便运营商和科研人员管理配置网络和部署新协议等。在数据层交换机(与传统的二层交换机不同，指用于转发数据的设备)。交换机提供简单的数据转发功能，可以快速处理匹配的数据包，适应流量日益增长的需求。两层之间采用开放的统一接口(如OpenFlow等)进行交互，控制器通过标准接口向交换机下发统一标准规则，交换机仅需按照这些规则执行相应的动作即可。

目前软件定义网络(SDN，Software Defined Network)已成为国内外研究的热点，在工业网络安全领域也正开展相关的研究工作，在2013年10月由美国能源部(DOE)计划执行了基于SDN的控制系统网络安全技术项目，它将基于SDN的流控制器应用于自己系统中，用于能源管理，满足自身动态、安全的信息交换目标，实现一种能有效抵御网络威胁、保持基础设施持续生产、具有一个能够维持关键功能、抵御攻击事件、具有弹性的能源输送系统，并且工业4.0也将SDN网络作为用于工业通信的重要研究内容。

工业无线mesh网络为了适应未来智能制造工厂，需满足灵活变迁、动态配置、互联互通等特点，目前AP节点的实现方式不适合未来多样化技术发展的需要，同样安全作为智能制造工厂最重要的属性之一，需要研究全新网络架构下的安全传输机制。

发明内容

有鉴于此，本发明的目的是提供一种基于SDN的无线mesh安全分级传输方法，基于SDN架构，能灵活的满足不同安全需求数据流的传递要求，解决网络功能灵活性差、更新成本高等未来发展的需要，保障工业无线系统的安全稳定运行。

本发明的进一步目的是提供一种基于SDN架构的无线mesh安全分级传输方法，实现工业无线动态配置、互联互通特点的全新架构方案，解决智能制造工厂中无线节点安全分等级的传输需求。

本发明实现以上目标的发明技术方案是：一种基于SDN架构的无线mesh安全分级传输方法，包括以下步骤：

步骤一：请求阶段，终端层设备向数据层中的SDN交换设备发送无线通信数据请求，SDN交换设备识别请求报文，通过自身的本地子策略库转发请求报文到控制层中的控制管理器；

步骤二：策略生成阶段，控制管理器基于整体网络系统的配置信息初始化状态，通过解析请求报文中地址信息、配置属性，规划请求报文的传递路径，并生成策略分配策略；

步骤三：策略分配/维护阶段，如果策略生成成功，则控制管理器根据生成策略中的分配属性，将响应信息按照安全通信方式传递到请求报文起始的SDN交换设备，并将其他策略按照安全通信方式传递到相关SDN数据层交换设备；如果策略生成错误，则控制管理器将响应信息传递到请求报文起始的SDN交换设备，不进行策略的分配下发；

步骤四：策略更新/加载阶段，各SDN交换设备收到分配下发策略，自身的更新/加载模块根据策略属性规定和功能模块进行检查，如果子策略库中存在则进行更新操作，如果子策略库中不存在但有功能模块则进行加载操作，如果子策略库中不存在且设备没有相关功能模块，则从控制管理器进行下载及加载；

步骤五：策略执行阶段，SDN交换设备基于子策略库和功能模块通过策略执行引擎进行安全分级数据流传输。

所述请求报文具有SDN交换设备可识别的表项结构，包括源身份域、目的身份域、签名域、时间戳、动作优先级、报文标识码。

所述动作优先级划分为5级：1级为绝密级；2级为秘密级；3级为验证级；4级为用户级；5级为临时级。

所述控制管理器中整体网络系统的配置信息初始化的方法，由三部分融合组成：第一部分在系统运行初期由SDN数据层交换设备进行发现与上报，控制管理器配置统计模块此时处于自学习模式，自动化更新管理器资产管理库；第二部分是系统正常运行阶段，对新发现的设备控制管理器进行提示与更新；第三部是通过系统管理员人工配置。

所述的自学习模式方法，在初始化状态下，SDN数据交换设备请求身份验证进行控制管理器的自动识别，并存储到本地子策略库中；SDN数据交换设备开启自学习模块，并进行定时上报处理，控制管理器更新资产管理库。

所述策略分配包括：以SDN交换设备为节点单位，生成各自子策略，并进行编码，进行算术表达式转换，存储分配策略到总策略库中。

所述算术表达式转换表达式由报文识别码、执行表达式、决策表达式两部分组成，总体结构如下：

[报文标识码][执行表达式]*/+[策略表达式]

所述策略更新包括以下步骤：更新模块根据策略算术表达式检查本地子策略库中是否已存在，首先基于编号进行检测下发分配的子策略是否存在，如果编号匹配，则检查下发分配的子策略是否与本地子策略内容的一致性，如果完全匹配，则更新计数、时间属性，如果没完全匹配，则更新子策略的内容。

所述策略加载包括以下步骤：如果SDN交换设备没有匹配的功能模块，则SDN数据层交换设备向控制管理器的发送模块请求，控制管理器收到更新信息，进行验证及响应。SDN数据层交换设备获得更新报文后，存储加载报文内容到子加载模块库，并进行加载功能模块。

所述策略执行阶段包括以下步骤：SDN交换设备解析数据包内容中的报文识别码ID，之后基于报文识别码ID查找子策略库中的算术表达，将数据报文按子策略库中报文识别码ID的策略进行转发执行。

本发明具有以下优点及有益效果：

1.本发明公开提供了基于SDN的无线mesh安全分级传输方法，符合现有网络协议的安全分级传输，保证了无线数据报文的安全分级传输，使高安全级的数据报文得到了更好的保护。

2.本发明方法具备SDN架构方案的特点，通过控制管理器能动态调整网络架构、灵活配置安全分级的传输通道，同时SDN数据层交换设备能实时、动态的下载、更新功能模块，为今后其他功能模块的扩展提供了开放式的二次开发接口。

3.本发明方法在控制管理器上设计了流控制、自学习、规划等功能模块，更加高效、智能的对SDN数据层交换设备进行管控。

附图说明

图1为本发明SDN的典型架构方案；

图2为本发明一个实施例的示意图；

图3为本发明中策略执行阶段的一个实施例示意图；

图4为本发明中控制管理器总策略库中算术表达式的一个实施例示意图；

图5为本发明的更新/加载策略的实施例流程图。

具体实施方式

本发明结合具体实施图例进行说明，对本发明方法进行完整、清晰地描述，所描述的实例仅仅是本发明的一部分实例情况，而不是全部方法的具体实施实例。基于本发明的实施例，本领域的人员可能在没有做出创造性劳动成果的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的方法属于软件定义网络(SDN)的范畴，SDN是目前创新型的架构网络方案，以OpenFlow技术为核心技术，通过控制器集中策略制定与交换机策略执行，实现控制层面与转发层面的分离，从而建立全网络的动态策略执行的机制，较传统静态路由配置变换成动态变换的软件自定义策略形式，将控制权分离，进行集中管理，对控制层进行了清晰、正确的抽象，同时控制权的开放性，为用户提供了最大化的自定义路由或和传输路径的规划方案，使网络传输变得更加智能，图1为SND的典型架构方案。

本发明提出了的一种基于SDN的无线mesh安全分级传输方法，是为了保障无线通信传输的分级安全策略实现，参见图2所示，本方法将网络系统分为数据层、管理层、底层设备三个层面。

管理层一般是指控制管理服务器组成的控制架构网络，负责数据层设备的策略分发、策略制定、设备管理、最新版本功能模块传递、总策略库更新、安全模块库更新、Qos保障库更新、学习统计库更新等等总体策略相关的任务。一般控制管理器由多个或一个服务设备组成，多个服务设备需要进行并行、同步等处理，保存总体库的一致性，控制管理器应由一个统一的监管界面进行集中管理，提供如配置管理、拓扑可视化、计算参数调整、优化保障参数调整等等总体配置文件的维护，为每个SDN数据层交换设备的正常工作提供实施正确的安全策略。

数据层一般是指被负责数据层设备具体Mesh报文转发的执行器，负责策略执行、安全分级传输、安全算法选择、优先权排序等等具体与报文转发相关的任务。多个SDN数据层交换设备通过Mesh组网机制共同组成可到达的网络拓扑结构，SDN安全分级传输通过算术表达式的流表进行转发控制，包括报文标识码、源节点、节点个数、版本号、下一跳节点组成、关系(*/+)、转发优先级、安全优先级等几个部分组成。策略执行引擎通过子策略库中的算术表达式进行安全、正确的数据报文传输。

底层传感器设备是最终的用户设备，一般是负责请求报文、响应报文处理、应用数据收发的任务。底层传感器设备包括典型工业终端，如RTU、DCS控制器、工程师站、可编程逻辑控制器PLC、OPC客户端与服务端、HMI等支持无线的智能设备。本发明方法构建的Mesh架构不影响典型工业控制系统的网络架构，具有向下兼容能力，同时支持更加动态、互联互通的数字化智能制造工厂的具体实施。

为了更清晰说明本发明方法对无线Mesh的安全分级传输方法的实施和处理过程，以具体实例进行介绍，参见图3所示。发明一种基于SDN的无线Mesh安全分级传输方法的执行过程实施例示意图；

(1)首先，在系统初始化阶段，控制管理器通过Mesh网下发身份验证信息；同时在初始化状态下，SDN数据交换设备请求身份验证模块下载与加载，进行控制管理器的自动识别。之后控制管理器向下分配设备发现命令，SDN数据层交换设备ss1、ss2、ss3、ss4、ss5接收到设备发现命令后，启动自学习统计模块，统计模块通过广播报文进行发现，发现列表列表如下：

SDN交换层数据设备	统计设备
		ss1	ss2、ss3
ss2	ss1、ss3、ss4、ss5
		ss3	sensor1、ss1、ss2、ss4
ss4	ss3、ss2、ss5
		ss5	sensor2、sensor3、ss2、ss4

各SDN数据层交换设备上报统计自学习信息，控制管理器将学习信息自动地添加到其资产管理库中，其中包括资产属性信息、资产网络功能模块、资产负载能力、资产负载状态、资产安全功能模块、资产网络连接映射。资产管理库根据上报信息，进行融合。

其中资产安全功能模块主要包括如下功能：RSA公钥身份认证、ECC椭圆曲线身份认证、国密SM1、国密SM4、CRC校验、Hash校验、Hash密钥校验、AES加密、DES加密。

其中负载Qos功能模块主要包括如下功能：FIFO(先入先出)队列模块、CQ(用户定制)队列模块、WFQ(加权)队列模块、LLQ(低延迟)队列模块、流量限制队列模块。

(2)初始化结束之后，系统正常运行，没有新设备的加入及管理员确认设备信息的完全，本方法安全分级传输支持1对多的分等级安全传输，sensor1发送向sensor2和sensor3不同安全等级但是相同内容的传输请求，通过ss3的SDN数据层交换设备将请求发送到控制管理器，控制管理器基于总资产管理库中的位置、跳数、可信度、安全功能模块、负载状态等属性进行自动化地规划请求报文的传递路径，避免了静态规划中路径冗余的现象，节省节点传递数据的能量。规划请求报文的传递路径([1]秦莹莹.基于动态规划的无线Mesh网络路由协议研究[D].中南民族大学,2012.[2]宋文,方旭明.基于动态规划法的无线Mesh网络QoS路由算法和性能评价[J].电子与信息学报,2007,12:3001-3005.)，基于资产管理库中位置、跳数、可信度等实现动态路径规划。如图4所示的算术表达式的格式：

报文编码：Sid:34vk0168

算术表达式：[1-002v1.0(ss3,ss2,ss5)]*[4-002v1.0(1,5:4:3:2:1)+4-002v1.0(2,5:4:3:2:1)]，其中1-002v1.0表示一个发送端和2个接收端，且两个接收端的算术表达式可以合并，版本号为v1.0，(ss3,ss2,ss5)表示为考虑到传输节点各个属性之后的最优化的自动规划路径，*表示顺序命令关系，可以共享一个执行表达式，4-002v1.0表示Qos权重等级为4级及选择队列的功能模块为002的方法，版本号为v1.0，(3,5:4:3:2:1)表示在5-1的安全级别分级传输中最终由自动化规划方法分配的安全级别为3，+表示并行执行关系，每条路径有自己规划的策略表达式。

(3)在初始化策略算术表达式生成成功之后，存储到控制管理器的总策略库中，之后分配模块基于(ss3,ss2,ss5)SDN数据交换设备节点进行子策略的分配，子策略包含报文编码、SDN数据交换设备的执行策略、功能模块、权重优先级、安全优先级等信息，SDN数据层交换设备分别接收自身的子策略。如实施例分配的给ss3的子策略库为：

报文编码：sid34vk0168

安全模块需求：securityM为根据安全级别进行选取，安全级别分别1级和2级，需要的安全模块为：1级对应AES加密方法模块的实现，2级对应DES加密方法模块的实现。

执行策略控制：F-control为ss3-ss2，由于此处有两个报文映射关系，但总策略规划为一条融合策略。

Qos保障：根据总策略库分配的是一条融合的策略，为4-002v1.0。

Map映射关系：分别为sensor1→sensor2和sensor1→sensor3，表示为两条独立的链路映射，以上的安全模块、执行策略控制、Qos保障等都是基于此映射关系一一对应的。

(4)在分配/维护阶段介绍之后，SDN数据层交换设备进行更新/加载阶段的操作，如图5所示。

更新模块根据策略算术表达式检查本地子策略库中是否已存在。更新模块首先基于报文编号进行检查已分配子策略是否存在，如果编号匹配，则检查已分配子策略是否与本地子策略中属性是否一致性，如果完全匹配，则更新计数、时间等属性，如果没完全匹配，则更新子策略可内容。

加载模块根据SDN数据层交换设备在加载功能时没有功能模块的情况，则SDN数据层交换设备向控制管理器的发送加载模块请求，包括：SDN数据层交换设备身份ID、版本号、功能模块身份ID。控制管理器收到加载请求后，进行身份验证及响应处理。SDN数据层交换设备获得更新功能模块信息后，存储加载功能模块内容到子加载模块库，并进行加载相关的功能模块。

(5)在SDN数据层交换设备ss3、ss2、ss5执行阶段，每个设备按照子策略库进行安全分级转发，如ss3收到报文识别码ID为：sid34vk0168的报文时，查找对应的子策略库的表达式，将报文按照此策略进行转发执行。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种基于SDN的无线mesh安全分级传输方法，其特征在于，包括以下步骤：

步骤一：请求阶段，终端层设备向数据层中的SDN交换设备发送无线通信数据请求，SDN交换设备识别请求报文，通过自身的本地子策略库转发请求报文到控制层中的控制管理器；

步骤二：策略生成阶段，控制管理器基于整体网络系统的配置信息初始化状态，通过解析请求报文中地址信息、配置属性，规划请求报文的传递路径，并生成策略分配策略；

步骤三：策略分配/维护阶段，如果策略生成成功，则控制管理器根据生成策略中的分配属性，将响应信息按照安全通信方式传递到请求报文起始的SDN交换设备，并将其他策略按照安全通信方式传递到相关SDN数据层交换设备；如果策略生成错误，则控制管理器将响应信息传递到请求报文起始的SDN交换设备，不进行策略的分配下发；

步骤四：策略更新/加载阶段，各SDN交换设备收到分配下发策略，自身的更新/加载模块根据策略属性规定和功能模块进行检查，如果子策略库中存在则进行更新操作，如果子策略库中不存在但有功能模块则进行加载操作，如果子策略库中不存在且设备没有相关功能模块，则从控制管理器进行下载及加载；

步骤五：策略执行阶段，SDN交换设备基于子策略库和功能模块通过策略执行引擎进行安全分级数据流传输。

2.根据权利要求1所述的方法，其特征在于，所述请求报文具有SDN交换设备可识别的表项结构，包括源身份域、目的身份域、签名域、时间戳、动作优先级、报文标识码。

3.根据权利要求2所述的方法，其特征在于，所述动作优先级划分为5级：1级为绝密级；2级为秘密级；3级为验证级；4级为用户级；5级为临时级。

4.根据权利要求1所述的方法，其特征在于，所述控制管理器中整体网络系统的配置信息初始化的方法，由三部分融合组成：第一部分在系统运行初期由SDN数据层交换设备进行发现与上报，控制管理器配置统计模块此时处于自学习模 式，自动化更新管理器资产管理库；第二部分是系统正常运行阶段，对新发现的设备控制管理器进行提示与更新；第三部是通过系统管理员人工配置。

5.根据权利要求4所述的方法，其特征在于，所述的自学习模式方法，在初始化状态下，SDN数据交换设备请求身份验证进行控制管理器的自动识别，并存储到本地子策略库中；SDN数据交换设备开启自学习模块，并进行定时上报处理，控制管理器更新资产管理库。

6.根据权利要求1所述的方法，其特征在于，所述策略分配包括：以SDN交换设备为节点单位，生成各自子策略，并进行编码，进行算术表达式转换，存储分配策略到总策略库中。

7.根据权利要求7所述的方法，其特征在于，所述算术表达式转换表达式由报文识别码、执行表达式、决策表达式两部分组成，总体结构如下：

[报文标识码][执行表达式]*/+[策略表达式]。

8.根据权利要求1所述的方法，其特征在于，所述策略更新包括以下步骤：更新模块根据策略算术表达式检查本地子策略库中是否已存在，首先基于编号进行检测下发分配的子策略是否存在，如果编号匹配，则检查下发分配的子策略是否与本地子策略内容的一致性，如果完全匹配，则更新计数、时间属性，如果没完全匹配，则更新子策略的内容。

9.根据权利要求1所述的方法，其特征在于，所述策略加载包括以下步骤：如果SDN交换设备没有匹配的功能模块，则SDN数据层交换设备向控制管理器的发送模块请求，控制管理器收到更新信息，进行验证及响应。SDN数据层交换设备获得更新报文后，存储加载报文内容到子加载模块库，并进行加载功能模块。

10.根据权利要求1所示的方法，其特征在于，所述策略执行阶段包括以下步骤：SDN交换设备解析数据包内容中的报文识别码ID，之后基于报文识别码ID查找子策略库中的算术表达，将数据报文按子策略库中报文识别码ID的策略进行转发执行。