CN108270615A - 基于sdn网络控制器的网络设备开局方法、装置及设备 - Google Patents

基于sdn网络控制器的网络设备开局方法、装置及设备 Download PDF

Info

Publication number
CN108270615A
CN108270615A CN201711430299.4A CN201711430299A CN108270615A CN 108270615 A CN108270615 A CN 108270615A CN 201711430299 A CN201711430299 A CN 201711430299A CN 108270615 A CN108270615 A CN 108270615A
Authority
CN
China
Prior art keywords
network
network equipment
information
equipment
sdn
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201711430299.4A
Other languages
English (en)
Inventor
尧琪顺
刘昱
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tai Xintong Information Technology Co Ltd Of Shenzhen
Original Assignee
Tai Xintong Information Technology Co Ltd Of Shenzhen
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tai Xintong Information Technology Co Ltd Of Shenzhen filed Critical Tai Xintong Information Technology Co Ltd Of Shenzhen
Priority to CN201711430299.4A priority Critical patent/CN108270615A/zh
Publication of CN108270615A publication Critical patent/CN108270615A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本申请公开了一种基于SDN网络控制器的网络设备开局方法、装置及设备，涉及数据通信技术领域，可以实现网络设备接入安全认证，避免非法设备接入网络。其中方法包括：获取SDN网络控制器接收到的网络设备发送的注册申请信息；从所述注册申请信息中提取与所述网络设备对应的设备信息、认证证书信息；根据所述设备信息、认证证书信息进行认证鉴权；在所述网络设备认证鉴权成功后，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，并生成所述网络设备对应的网络配置信息；将所述网络配置信息发送给所述网络设备，实现所述网络设备开局。本申请适用于SDN网络的网络设备开局。

Description

基于SDN网络控制器的网络设备开局方法、装置及设备
技术领域
本申请涉及数据通信技术领域，尤其是涉及到一种基于软件定义网络(SoftwareDefined Network，SDN)网络控制器的网络设备开局方法、装置及设备。
背景技术
一个数据中心区域的网络，通常由多个网络设备组成，例如，多台核心交换机，上百台接入交换机组成。当在网络里添加一个网络设备时，需要对网络设备进行自动开局(provisioning)。自动开局是指在网络设备第一次上电时，加载操作系统文件和/或配置文件，完成相关功能和相关业务配置的过程。
目前通常的网络设备自动开局的方案，可根据媒体访问控制(Media AccessControl，MAC)地址或序列号(Serial Number，SN)完成网络设备的自动开局。然而，这种方案无法对网络设备进行认证鉴权，容易出现网络设备非法接入网络导致的安全风险，进而影响了网络安全性。
针对相关技术中无法对网络设备进行认证鉴权，进而会影响网络安全性的问题，现有技术还未提出有效的解决方案。
发明内容
有鉴于此，本申请提供了一种基于SDN网络控制器的网络设备开局方法、装置及设备，主要目的在于解决目前无法对网络设备进行认证鉴权，容易出现网络设备非法接入网络导致的安全风险，进而会影响网络安全性的问题。
根据本申请的一个方面，提供了一种基于SDN网络控制器的网络设备开局方法，该方法包括：
获取SDN网络控制器接收到的网络设备发送的注册申请信息；
从所述注册申请信息中提取与所述网络设备对应的设备信息、认证证书信息；
根据所述设备信息、认证证书信息进行认证鉴权；
在所述网络设备认证鉴权成功后，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，并生成所述网络设备对应的网络配置信息；
将所述网络配置信息发送给所述网络设备，实现所述网络设备开局。
根据本申请的另一方面，提供了一种基于SDN网络控制器的网络设备开局装置，该装置包括：
获取单元，用于获取SDN网络控制器接收到的网络设备发送的注册申请信息；
提取单元，用于从所述注册申请信息提取与所述网络设备对应的设备信息、认证证书信息；
鉴权单元，用于根据所述设备信息、认证证书信息进行认证鉴权；
处理单元，用于在所述网络设备认证鉴权成功后，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，并生成所述网络设备对应的网络配置信息；
发送单元，用于将所述网络配置信息发送给所述网络设备，实现所述网络设备开局。
依据本申请又一个方面，提供了一种存储介质，其上存储有计算机程序，所述程序被处理器执行时实现上述基于SDN网络控制器的网络设备开局方法。
依据本申请再一个方面，提供了一种基于SDN网络控制器的网络设备开局设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述基于SDN网络控制器的网络设备开局方法。
借由上述技术方案，本申请提供的一种基于SDN网络控制器的网络设备开局方法、装置及设备，与目前根据MAC地址或序列号完成网络设备的自动开局的方式相比，本申请在SDN网络控制器接收到网络设备发送的注册申请信息时，从注册申请信息中提取与网络设备对应的设备信息、认证证书信息进行认证鉴权，在网络设备认证鉴权成功后，在进行后续的网络设备开局操作，实现网络设备接入安全认证，避免非法设备接入网络，解决了现有自动开局技术无法对网络设备进行认证鉴权的问题，提高了网络安全性。
上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1示出了本申请实施例提供的一种基于SDN网络控制器的网络设备开局方法的流程示意图；
图2示出了本申请实施例提供的另一种基于SDN网络控制器的网络设备开局方法的流程示意图；
图3示出了本申请实施例提供的基于SDN网络控制器的自动开局系统的结构示意图；
图4示出了本申请实施例提供的一种基于SDN网络控制器的网络设备开局装置的结构示意图；
图5示出了本申请实施例提供的另一种基于SDN网络控制器的网络设备开局装置的结构示意图。
具体实施方式
下文中将参考附图并结合实施例来详细说明本申请。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
在本实施例中提供了一种基于SDN网络控制器的网络设备开局方法，即一种基于SDN网络控制器集中管控网络设备开局认证、自动配置的网络设备自动开局的方法，具体可以实现网络设备接入安全认证，避免非法设备接入网络，进而可以提高网络安全性，如图1所示，该方法包括：
101、获取SDN网络控制器接收到的网络设备发送的注册申请信息。
其中，SDN网络控制器可以是SDN网络中的应用程序，负责流量控制以确保智能网络。在本实施例中，网络设备在上电后会自动申请注册到SDN网络控制器，而该网络设备相应的注册申请信息中可以包含该网络设备的设备信息、认证证书信息、入网时间等。
对于本实施例的执行主体可以为基于SDN网络控制器的控制网络设备自动开局的装置，通过该装置可以实现基于SDN网络控制器集中管控，并实现对网络设备的认证，同时适应多种网络类型的网络设备自动开局配置，进而帮助用户简化网络设备开局配置。
102、从获取到的注册申请信息中提取与网络设备对应的设备信息、认证证书信息。
其中，设备信息中可以包括网络设备的MAC地址、IP地址、序列号、设备角色等。
103、根据提取到的设备信息、认证证书信息进行认证鉴权。
在本实施例中，根据提取到的设备信息、认证证书信息，对网络设备进行设备身份认证，在认证通过后再对该网络设备进行后续的网络开局配置，进而可以实现网路设备接入安全认证，避免非法设备接入网络，提高网络安全性。
104、在网络设备认证鉴权成功后，将SDN网络控制器与网络设备之间进行SDN网络功能特性协商，并生成网络设备对应的网络配置信息。
例如，网络设备认证通过后，由SDN网络控制器主动发起网络特性协商，协商成功后，网络设备与SDN网络控制器使用相同的网络协议、协议版本；然后SDN网络控制器自动获取网络设备的网络拓扑信息，得到网络设备的链路相连属性，并跟踪网络设备的角色自动生成网络配置信息。
105、将生成的网络配置信息发送给网络设备，实现网络设备开局。
对于本实施例，可以将生成的网络配置信息通过安全隧道下发到网络设备上，以完成该网络设备的开局配置。
本申请提供的一种基于SDN网络控制器的网络设备开局方法，与目前根据MAC地址或序列号完成网络设备的自动开局的方式相比，本申请在SDN网络控制器接收到网络设备发送的注册申请信息时，从注册申请信息中提取与网络设备对应的设备信息、认证证书信息进行认证鉴权，在网络设备认证鉴权成功后，在进行后续的网络设备开局操作，实现网络设备接入安全认证，避免非法设备接入网络，解决了现有自动开局技术无法对网络设备进行认证鉴权的问题，提高了网络安全性。
进一步的，作为上述实施例具体实施方式的细化和扩展，为了完整说明本实施例的具体实施过程，提供了另一种基于SDN网络控制器的网络设备开局方法，如图2所示，该方法包括：
201、获取接收到的网络设备上电后发送的DHCP请求报文。
在本实施例中，在为了实现对上电后的网络设备分配相应的IP地址，以便进行通信，在网络设备通电开机后会发起动态主机配置协议(Dynamic Host ConfigurationProtocol，DHCP)请求，自动获取IP地址。
202、检测接收到的DHCP请求报文是否为异常的DHCP请求报文。
为了保证网路安全性，避免被恶意攻击，在接收到DHCP请求报文后需要对该DHCP请求报文进行安全性判断，在判断其符合安全性要求后，再进行后续的分配IP地址的操作。
203a、若检测出接收到的DHCP请求报文为异常的DHCP请求报文，则不为网络设备分配IP地址，并记录网络设备发送的DHCP请求次数。
进一步的，以便于根据预设时间间隔内记录的DHCP请求次数进行安全处理。其中，预设时间间隔可以根据实际需求进行预先配置。
在本实施例中，当检测出接收到的DHCP请求报文为异常的DHCP请求报文时，不为该网络设备分配IP地址，并进入安全性分析环节，如果经过分析确实存在风险，则进行相应的安全性处理，以便保证网络的安全性。
为了说明安全性处理的过程，在本申请的一个可选实施例中，对于进行安全处理的过程具体可以包括：当预设时间间隔内记录的DHCP请求次数大于预设黑名单阈值时，将网络设备加入预定DHCP黑名单，进而实现通过预定DHCP黑名单，拒绝接收该网络设备再次发送的DHCP请求。
例如，预先设置黑名单阈值，在一定时间内若频繁收到网络设备发起的非法DHCP请求报文，当超过黑名单阈值时，将该网络设备加入预定DHCP黑名单，以便通过预定DHCP黑名单，拒绝接收该网络设备再次发送的DHCP请求，进而可以避免受到恶意攻击，保证网络安全性。
与步骤203a并列的步骤203b、若检测出接收到的DHCP请求报文不是异常的DHCP请求报文，则通过解析DHCP请求报文，获取网络设备对应的MAC地址。
进一步的，以便于通过该网络设备对应的MAC地址，确定该网络设备的IP地址是否已被指定，具体可以执行步骤204b所示的操作。
204b、检测在预置设备IP地址库中是否存在与获取的MAC地址对应的指定IP地址。
其中，预置设备IP地址库中预先保存有不同的设备MAC地址分别对应的指定IP地址。在本实施例中，可以根据实际的用户需求预先为特定的网络设备分配指定的IP地址，具体可以将用户配置的内容保存在预置设备IP地址库中，例如，用户配置DHCP服务的IP分配地址池及指定设备分配的IP地址，然后通过该预置设备IP地址库，并结合网络设备的MAC地址，确定该网络设备的IP地址是否已被指定。
205ba、若在预置设备IP地址库中存在与获取的MAC地址对应的指定IP地址，则为网络设备分配存在的指定IP地址。
例如，在在预置设备IP地址库中找到了网络设备1的MAC地址对应的指定IP地址a，则为网络设备1分配IP地址a。
与步骤205ba并列的步骤205bb、若在预置设备IP地址库中不存在与获取的MAC地址对应的指定IP地址，则随机为网络设备分配IP地址。
具体可以从除去现有已分配的IP地址以外的各个IP地址中随机挑选，也可以按顺序分配。
在本实施例中，网络设备收到DHCP响应，成功获取得到分配的IP地址之后，可以向SDN网络控制器发起注册申请。
206、获取SDN网络控制器接收到的网络设备发送的注册申请信息。
为了提高网络传输安全性，在本申请的一个可选实施例中，网络设备获取IP地址后可以通过网络安全隧道注册到SDN网络控制器上，相应的，步骤206具体可以包括：获取SDN网络控制器接收到的，网络设备获取分配的IP地址后通过安全通道传输的注册申请信息，其中安全通道包括但不限于安全套接层协议(Secure Sockets Layer，SSL)/安全传输层协议(Transport Layer Security，TLS)安全通道。通过采用安全加密协议对设备注册信息进行数据加密和完整性检测，保障数据安全性。
207、从获取到的注册申请信息中提取与网络设备对应的设备信息、认证证书信息。
例如，可以从注册申请信息中提取网络设备的MAC地址、设备序列号等信息进行认证。
208、根据提取到的设备信息、认证证书信息进行认证鉴权。
为了说明具体的认证鉴权过程，在本申请的一个可选实施例中，可以利用与预先录入的信任数据匹配的方式进行认证鉴权，相应的，在步骤208之前，还可以包括：接收预先录入的网络设备的设备信息，预置网络设备的认证证书；相应的步骤208具体可以包括：将提取的设备信息与预先录入的设备信息进行匹配，并将提取的设备认证证书与预置的认证证书进行匹配；若提取的设备信息与预先录入的设备信息匹配、且提取的认证证书信息与预置的认证证书信息匹配，则确定网络设备认证鉴权成功；若提取的设备信息与预先录入的设备信息不匹配、和/或提取的认证证书信息与预置的认证证书信息不匹配，则确定网络设备认证鉴权失败。
例如，用户预先录入信任的网络设备的MAC地址、序列号、设备角色等设备信息，在进行网络设备的认证鉴权时，通过将该网络设备的MAC地址、序列号等信息与预先录入的设备信息进行匹配，并将该网络设备的认证证书信息与预置的认证证书信息匹配，如果都匹配通过，则该网络设备认证成功，如果存在一项不匹配，则确认该网络设备认证鉴权失败，后续可以记录该认证鉴权失败的网络设备的设备信息，然后进行上报提醒，以便后续进行人工分析。
209、在网络设备认证鉴权成功后，将SDN网络控制器与网络设备之间进行SDN网络功能特性协商，并生成网络设备对应的网络配置信息。
为了说明协商的过程，在本申请的一个可选实施例中，协商的过程具体可以包括：协商SDN网络控制器与网络设备之间的SDN网络协议、协议版本、转发流表级数。其中，SDN网络协议协商，支持的协议包括但不限于：OpenFlow网络协议、BGP-LS网络协议、PCEP网络协议、NetConf网络协议；转发流表级数协商，支持的转发流表级数包括单级和/或多级；SDN网路协议版本的协商，例如，支持的协议版本包含但不限于Openflow1.0、Openflow1.1、Openflow1.3、Openflow1.4、Openflow1.5等版本。
与目前现有控制网络设备自动开局的方法只能通过TFTP、FTP等方式进行网络设备系统文件传输相比，本可选实施例通过上述协商方式可以兼容OpenFlow、BGP-LS、PECP等网络安全通道，解决了现有自动开局技术只能依赖TFTP/FTP方式进行配置下发的问题。
在本可选实施例中，生成网络设备对应的网络配置信息的步骤具体可以包括：通过SDN网络控制器获取网络设备的网络拓扑信息；再根据网络拓扑信息，确定网络设备的链路相连属性；然后参照链路相连属性，并追踪网络设备的设备角色，以及结合SDN网络控制器与网络设备之间的协商结果，生成网络设备对应的网络配置信息。
其中，网络配置信息，支持但不限于生成Openflow网络配置信息、生成BGP-LS网络配置信息、PCEP网络配置信息、NETCONF网络配置信息等。
通过SDN网络控制器获取网络设备的网络拓扑信息的步骤具体可以包括：通过SDN网络控制器发送链路层发现协议(Link Layer Discovery Protocol，LLDP)报文，检测网络设备的相连接口和与网络设备相连的其它设备信息；然后依据相连接口的端口号和其它设备信息，确定网络设备的网络拓扑信息。
对于本实施例，通过SDN网络控制器发送LLDP报文，检测网络设备之间的相连接口，自动获取设备的网络拓扑信息，并记录设备的接口信息，如设备接口ID等。然后根据设备网络拓扑和设备角色，并结合协商的网络协议、版本、转发流表级数，自动生成网络配置信息，与目前现有的控制网络设备自动开局的方法需要预先配置网络拓扑信息相比，本实施例的SDN网络控制器实现基于网络设备角色自动生成网络配置信息，无需预先配置网络拓扑。并且SDN网络控制器实现自动发现网络拓扑，根据开局网络设备的网络链路互联拓扑自动生成网络配置信息，简化设备配置开局工作量，解决了现有技术中获取的网络拓扑信息误差导致网络设备获取错误配置等问题。
210、将生成的网络配置信息发送给网络设备，实现网络设备开局。
为了保证数据传输安全性，生成的网络配置信息可以通过TLS/SSL安全通道下发给设备。
为了进一步帮助理解上述实施例的具体实施过程，根据上述实施例中的步骤，示例性的，如图3所示，给出相应的基于SDN网络控制器的自动开局系统架构示意图，该系统中SDN网络控制器包括：设备认证服务、DHCP服务、网络特性协商服务、网络拓扑发现服务、网络配置生成服务。SDN网络控制器集成DHCP服务模块、网络设备认证鉴权服务模块、网络设备自动配置服务模块、网络拓扑发现服务模块，对网络设备进行统一开局控制。
其中，设备认证服务主要完成设备的注册认证；设备认证服务通过用户录入网络设备信息和预置设备认证证书，网络设备信息包含不限于设备的MAC地址、序列号等设备信息，并接收设备注册申请信息，通过解析申请信息，获取申请设备的MAC地址、序列号等，同时将设备的MAC地址、序列号等信息与录入的信任的网络设备信息匹配，匹配通过完成设备认证。
信任的网络设备信息的录入包含以下三种方法：
(1)可通过用户手动录入，设备信息不限于设备MAC地址、设备序列号、设备类型、IP地址等信息；
(2)可通过SDN网络控制器开发API接口，从第三方系统导入、共享设备信息；
(3)可通过设备条码扫描，自动录入设备MAC地址、序列号等信息。
DHCP服务用于网络设备的IP地址分配，可配置设备指定分配的IP，为设备静态分配IP地址，或设备未指定IP地址时，随机为设备分配IP地址，对非正常的频繁DHCP请求，加入黑名单，丢掉DHCP请求报文。
DHCP服务接收网络设备发起的DHCP请求报文，并判断该报文是否为正常的DHCP请求报文。若为正常DHCP报文，解析该DHCP报文获取相应的MAC地址，并将MAC地址与设备对应的IP地址对应关系进行匹配，若匹配，则为设备分配指定的IP地址，若不匹配，则随机为设备分配IP地址。
若接收的DHCP报文为异常DHCP报文，则不为设备分配IP地址，并记录该设备的DHCP请求次数。DHCP服务内置黑名单阈值，在一定时间内若频繁收到该设备发起的非法DHCP请求报文，当超过黑名单阈值时，则将该设备加入DHCP黑名单，拒绝接受该设备发起的DHCP请求。
网络特性协商服务：SDN网络控制器与网络设备之间通过安全加密隧道进行网络功能特性协商，网络功能特性协商包含设备的SDN网络协议、网络协议版本、转发流表级数等。
设备认证通过后，由SDN网络控制器主动发起网络特性协商，协商成功后，网络设备和SDN网络控制器使用相同的网络协议、协议版本。SDN网络协议协商，支持的协议包含但不限于OpenFlow、BGP-LS、PCEP、NetConf等网络协议；在所述的网络协议版本协商，支持的协议版本包含但不限于Openflow1.0、Openflow1.1、Openflow1.3、Openflow1.4、Openflow1.5等版本；在所述的转发流表级数协商，支持的转发流表级数包含但不限于单级和多级。
网络拓扑发现服务用于SDN网络控制器自动发现网络拓扑，通过发送LLDP报文，检测网络设备之间的相连接口，自动获取设备的网络拓扑信息。其中网络拓扑信息包含设备相连的端口号和与之相连的其它设备信息。设备相连接口支持包含但不限于设备的物理接口，如VTEP、GRE等虚拟接口。
网络配置生成服务用于自动生成网络设备的网络配置信息，并下发给网络设备。网络配置生成服务根据网络设备的网络拓扑和设备角色，结合协商的网络协议、版本、转发流表级数，自动生成网络配置信息。其中网络配置信息，支持不限于生成Openflow网络配置信息、生成BGP-LS网络配置信息、PCEP网络配置信息、NETCONF网络配置信息等。
本系统主要针对当前网络设备开局配置复杂、网络自动配置方式单一的问题，提出一种基于SDN网络控制器集中管控，并实现对网络设备的认证，同时适应OpenFlow、BGP-LS、PECP、NetConf等多种网络类型的设备自动开局配置的方案，帮助用户简化设备开局配置。本系统通过在SDN网络控制器上构建网络设备认证服务对网络设备进行认证；网络设备上电后，DHCP服务根据设备MAC地址与IP地址的对应关系，为网络设备分配指定的IP地址；网络设备获取IP地址后通过SSL/TLS等网络安全隧道注册到SDN网络控制器上，设备认证服务根据网络设备的MAC地址、设备序列号、设备认证证书等信息进行认证，并协商OpenFlow、BGP-LS、PECP、NetConf等网络协议及版本等信息，SDN网络控制器根据网络设备的设备角色、互联拓扑自动生成网络配置信息，并通过网络安全通道将网络配置信息下发到设备上，从而实现网络设备自动开局上线。
通过应用本实施例的技术方案，可以实现网络设备接入安全认证，避免非法设备接入网络，提高网络安全性；也可以实现基于网络设备角色自动生成网络配置信息，无需预先配置网络拓扑；还可以实现自动发现网络拓扑，根据开局网络设备的网络链路互联拓扑自动生成网络配置信息，简化设备配置开局工作量；并且兼容OpenFlow、BGP-LS、PECP、NetConf等多种网络安全通道进行网络配置信息下发，解决过去只能通过TFTP/FTP的单一文件传输模式，可适应复杂、不同类型的网络架构。
进一步的，作为图1方法的具体实现，本申请实施例提供了一种基于SDN网络控制器的网络设备开局装置，如图4所示，该装置包括：获取单元31、提取单元32、鉴权单元33、处理单元34、发送单元35。
获取单元31，可以用于获取SDN网络控制器接收到的网络设备发送的注册申请信息；
提取单元32，可以用于从获取单元31获取的注册申请信息中提取与网络设备对应的设备信息；
鉴权单元33，可以用于根据提取单元32提取的设备信息、认证证书信息进行认证鉴权；
处理单元34，可以用于在网络设备认证鉴权成功后，将SDN网络控制器与网络设备之间进行SDN网络功能特性协商，并生成网络设备对应的网络配置信息；
发送单元35，可以用于将处理单元生成的网络配置信息发送给网络设备，实现网络设备开局。
在具体的应用场景中，如图5所示，装置还包括：接收单元36；
接收单元36，可以用于接收预先录入的网络设备的设备信息；及预置网络设备的认证证书信息；
鉴权单元33，具体可以用于将提取的设备信息、认证证书信息分别与预先录入的设备信息和相应预置的认证证书信息进行匹配；若提取的设备信息与预先录入的设备信息匹配、且提取的认证证书信息与预置的认证证书信息匹配，则确定网络设备认证鉴权成功；若提取的设备信息与预先录入的设备信息不匹配、和/或提取的认证证书信息与预置的认证证书信息不匹配，则确定网络设备认证鉴权失败。
在具体的应用场景中，如图5所示，装置还包括：检测单元37、记录单元38、分配单元39；
获取单元31，还可以用于获取接收到的网络设备上电后发送的DHCP请求报文；
检测单元37，可以用于检测DHCP请求报文是否为异常的DHCP请求报文；
记录单元38，可以用于若检测单元37检测出DHCP请求报文为异常的DHCP请求报文，则不为网络设备分配IP地址，并记录网络设备发送的DHCP请求次数。
进一步的，以便于根据预设时间间隔内记录的DHCP请求次数进行安全处理。
获取单元31，还可以用于若检测单元37检测出DHCP请求报文不是异常的DHCP请求报文，则通过解析DHCP请求报文，获取网络设备对应的媒体访问控制MAC地址；
检测单元37，还可以用于检测在预置设备IP地址库中是否存在与MAC地址对应的指定IP地址，其中预置设备IP地址库中预先保存有不同的设备MAC地址分别对应的指定IP地址；
分配单元39，可以用于若检测单元37检测出在预置设备IP地址库中存在与MAC地址对应的指定IP地址，则为网络设备分配存在的指定IP地址；若不存在，则随机为网络设备分配IP地址。
在具体的应用场景中，记录单元38，具体可以用于当预设时间间隔内记录的DHCP请求次数大于预设黑名单阈值时，将网络设备加入预定DHCP黑名单，实现通过预定DHCP黑名单，拒绝接收网络设备再次发送的DHCP请求；
获取单元31，具体可以用于获取SDN网络控制器接收到的，网络设备获取分配的IP地址后通过安全通道传输的注册申请信息，安全通道包括但不限于安全套接层协议SSL/安全传输层协议TLS安全通道。
在具体的应用场景中，处理单元34，具体可以用于协商SDN网络控制器与网络设备之间的SDN网络协议、协议版本、转发流表级数；其中SDN网络协议协商，支持的协议包括但不限于：OpenFlow网络协议、BGP-LS网络协议、PCEP网络协议、NetConf网络协议；转发流表级数协商，支持的转发流表级数包括单级和/或多级。
在具体的应用场景中，处理单元34，具体还可以用于通过SDN网络控制器获取网络设备的网络拓扑信息；根据网络拓扑信息，确定网络设备的链路相连属性；参照链路相连属性，并追踪网络设备的设备角色，以及结合SDN网络控制器与网络设备之间的协商结果，生成网络设备对应的网络配置信息。
在具体的应用场景中，处理单元34，具体还可以用于通过SDN网络控制器发送链路层发现协议LLDP报文，检测网络设备的相连接口和与网络设备相连的其它设备信息；依据相连接口的端口号和其它设备信息，确定网络设备的网络拓扑信息。
需要说明的是，本申请实施例提供的一种基于SDN网络控制器的网络设备开局装置所涉及各功能单元的其他相应描述，可以参考图1和图2中的对应描述，在此不再赘述。
基于上述如图1至图3所示方法，相应的，本申请实施例还提供了一种存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述如图1至图3所示的基于SDN网络控制器的网络设备开局方法。
基于上述如图1至图5所示的实施例，为了实现上述目的，本申请实施例还提供了一种基于SDN网络控制器的网络设备开局的实体设备，该实体设备包括存储介质和处理器；存储介质，用于存储计算机程序；处理器，用于执行计算机程序以实现上述如图1至图5所示的基于SDN网络控制器的网络设备开局方法。
通过应用本申请的技术方案，可以实现网络设备接入安全认证，避免非法设备接入网络，提高网络安全性；也可以实现基于网络设备角色自动生成网络配置信息，无需预先配置网络拓扑；还可以实现自动发现网络拓扑，根据开局网络设备的网络链路互联拓扑自动生成网络配置信息，简化设备配置开局工作量；并且兼容OpenFlow、BGP-LS、PECP、NetConf等多种网络安全通道进行网络配置信息下发，解决过去只能通过TFTP/FTP的单一文件传输模式，可适应复杂、不同类型的网络架构。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本申请可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施场景所述的方法。
本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本申请所必须的。
本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
上述本申请序号仅仅为了描述，不代表实施场景的优劣。
以上公开的仅为本申请的几个具体实施场景，但是，本申请并非局限于此，任何本领域的技术人员能思之的变化都应落入本申请的保护范围。

Claims (10)

1.一种基于SDN网络控制器的网络设备开局方法，其特征在于，包括：
获取SDN网络控制器接收到的网络设备发送的注册申请信息；
从所述注册申请信息中提取与所述网络设备对应的设备信息、认证证书信息；
根据所述设备信息、认证证书信息进行认证鉴权；
在所述网络设备认证鉴权成功后，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，并生成所述网络设备对应的网络配置信息；
将所述网络配置信息发送给所述网络设备，实现所述网络设备开局。
2.根据权利要求1所述的方法，其特征在于，根据所述设备信息进行认证鉴权之前，所述方法还包括：
接收预先录入的网络设备的设备信息；及
预置所述网络设备的认证证书信息；
根据所述设备信息、认证证书信息进行认证鉴权，具体包括：
将提取的设备信息、认证证书信息分别与预先录入的设备信息和相应预置的认证证书信息进行匹配；
若提取的设备信息与所述预先录入的设备信息匹配、且提取的认证证书信息与所述预置的认证证书信息匹配，则确定所述网络设备认证鉴权成功；
若提取的设备信息与所述预先录入的设备信息不匹配、和/或提取的认证证书信息与所述预置的认证证书信息不匹配，则确定所述网络设备认证鉴权失败。
3.根据权利要求1所述的方法，其特征在于，获取SDN网络控制器接收到的网络设备发送的注册申请信息之前，所述方法还包括：
获取接收到的所述网络设备上电后发送的动态主机配置协议DHCP请求报文；
检测所述DHCP请求报文是否为异常的DHCP请求报文；
若是，则不为所述网络设备分配IP地址，并记录所述网络设备发送的DHCP请求次数，以便根据预设时间间隔内记录的所述DHCP请求次数进行安全处理；
若否，则通过解析所述DHCP请求报文，获取所述网络设备对应的媒体访问控制MAC地址；
检测在预置设备IP地址库中是否存在与所述MAC地址对应的指定IP地址，所述预置设备IP地址库中预先保存有不同的设备MAC地址分别对应的指定IP地址；
若存在，则为所述网络设备分配存在的所述指定IP地址；
若不存在，则随机为所述网络设备分配IP地址。
4.根据权利要求3所述的方法，其特征在于，根据预设时间间隔内记录的所述DHCP请求次数进行安全处理，具体包括：
当预设时间间隔内记录的所述DHCP请求次数大于预设黑名单阈值时，将所述网络设备加入预定DHCP黑名单，实现通过所述预定DHCP黑名单，拒绝接收所述网络设备再次发送的DHCP请求；
获取SDN网络控制器接收到的网络设备发送的注册申请信息，具体包括：
获取SDN网络控制器接收到的，网络设备获取分配的IP地址后通过安全通道传输的注册申请信息，所述安全通道包括但不限于安全套接层协议SSL/安全传输层协议TLS安全通道。
5.根据权利要求1所述的方法，其特征在于，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，具体包括：
协商所述SDN网络控制器与所述网络设备之间的SDN网络协议、协议版本、转发流表级数；
其中所述SDN网络协议协商，支持的协议包括但不限于：OpenFlow网络协议、BGP-LS网络协议、PCEP网络协议、NetConf网络协议；所述转发流表级数协商，支持的转发流表级数包括单级和/或多级。
6.根据权利要求1所述的方法，其特征在于，生成所述网络设备对应的网络配置信息，具体包括：
通过所述SDN网络控制器获取所述网络设备的网络拓扑信息；
根据所述网络拓扑信息，确定所述网络设备的链路相连属性；
参照所述链路相连属性，并追踪所述网络设备的设备角色，以及结合所述SDN网络控制器与所述网络设备之间的协商结果，生成所述网络设备对应的网络配置信息。
7.根据权利要求6所述的方法，其特征在于，通过所述SDN网络控制器获取所述网络设备的网络拓扑信息，具体包括：
通过所述SDN网络控制器发送链路层发现协议LLDP报文，检测所述网络设备的相连接口和与所述网络设备相连的其它设备信息；
依据所述相连接口的端口号和所述其它设备信息，确定所述网络设备的网络拓扑信息。
8.一种基于SDN网络控制器的网络设备开局装置，其特征在于，包括：
获取单元，用于获取SDN网络控制器接收到的网络设备发送的注册申请信息；
提取单元，用于从所述注册申请信息中提取与所述网络设备对应的设备信息、认证证书信息；
鉴权单元，用于根据所述设备信息、认证证书信息进行认证鉴权；
处理单元，用于在所述网络设备认证鉴权成功后，将所述SDN网络控制器与所述网络设备之间进行SDN网络功能特性协商，并生成所述网络设备对应的网络配置信息；
发送单元，用于将所述网络配置信息发送给所述网络设备，实现所述网络设备开局。
9.一种存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至7中任一项所述的基于SDN网络控制器的网络设备开局方法。
10.一种基于SDN网络控制器的网络设备开局设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至7中任一项所述的基于SDN网络控制器的网络设备开局方法。
CN201711430299.4A 2017-12-25 2017-12-25 基于sdn网络控制器的网络设备开局方法、装置及设备 Pending CN108270615A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711430299.4A CN108270615A (zh) 2017-12-25 2017-12-25 基于sdn网络控制器的网络设备开局方法、装置及设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711430299.4A CN108270615A (zh) 2017-12-25 2017-12-25 基于sdn网络控制器的网络设备开局方法、装置及设备

Publications (1)

Publication Number Publication Date
CN108270615A true CN108270615A (zh) 2018-07-10

Family

ID=62772547

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711430299.4A Pending CN108270615A (zh) 2017-12-25 2017-12-25 基于sdn网络控制器的网络设备开局方法、装置及设备

Country Status (1)

Country Link
CN (1) CN108270615A (zh)

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110380973A (zh) * 2019-06-18 2019-10-25 南京理工大学 软件定义网络拓扑探测方法
CN110636083A (zh) * 2019-11-07 2019-12-31 迈普通信技术股份有限公司 网络地址复用方法、装置、网络设备及存储介质
CN111245898A (zh) * 2019-12-31 2020-06-05 中国建设银行股份有限公司 一种网络设备上线方法、装置、服务器及存储介质
CN112152850A (zh) * 2020-09-22 2020-12-29 康佳集团股份有限公司 一种基于闪联协议的物联网设备管理方法及业务终端
CN112235797A (zh) * 2020-12-11 2021-01-15 信联科技(南京)有限公司 一种基于sdn的设备网络接入认证方法
CN112583639A (zh) * 2020-11-30 2021-03-30 新华三大数据技术有限公司 一种网络设备的配置方法及装置
CN112671829A (zh) * 2020-11-26 2021-04-16 新华三技术有限公司 一种设备上线方法和装置
CN112714202A (zh) * 2019-10-24 2021-04-27 华为技术有限公司 设备配置方法及装置
CN113472558A (zh) * 2020-03-31 2021-10-01 北京华为数字技术有限公司 网络部署的方法及装置
CN113630405A (zh) * 2021-07-30 2021-11-09 北京达佳互联信息技术有限公司 入网认证方法、装置、电子设备及存储介质
CN113709191A (zh) * 2021-10-27 2021-11-26 之江实验室 一种安全的调整确定性时延的方法
CN113873548A (zh) * 2021-09-03 2021-12-31 中盈优创资讯科技有限公司 一种白盒设备一键开局方法及装置
CN114117373A (zh) * 2021-11-25 2022-03-01 云南电网有限责任公司信息中心 一种基于密钥的设备认证系统和方法
CN114338382A (zh) * 2021-12-30 2022-04-12 北京天融信网络安全技术有限公司 基于域名的设备上线方法、装置及计算机设备、存储介质
CN115037509A (zh) * 2022-04-25 2022-09-09 浙江清捷智能科技有限公司 一种工业网络安全防护系统及安全防护方法
WO2023273810A1 (zh) * 2021-06-29 2023-01-05 华为技术有限公司 网络开局配置方法及装置

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1494259A (zh) * 2002-11-01 2004-05-05 华为技术有限公司 一种网络综合接入设备的安全管理方法
CN1859185A (zh) * 2005-11-18 2006-11-08 华为技术有限公司 一种网络设备的管理方法
CN101150582A (zh) * 2007-10-22 2008-03-26 华为技术有限公司 分配配置信息的方法和设备
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备
CN103179223A (zh) * 2011-12-26 2013-06-26 中国移动通信集团广西有限公司 一种无线局域网中分配ip地址的方法、设备和系统
CN103220701A (zh) * 2013-03-21 2013-07-24 深信服网络科技（深圳）有限公司 一种ap故障检测方法及装置
US9094285B2 (en) * 2013-01-25 2015-07-28 Argela Yazilim ve Bilisim Teknolojileri San. ve Tic. A.S. Automatic discovery of multiple controllers in Software Defined Networks (SDNs)
CN104869115A (zh) * 2015-05-07 2015-08-26 北京汉柏科技有限公司 一种防止dhcp风暴的方法和系统
CN107231366A (zh) * 2017-06-19 2017-10-03 电子科技大学 一种基于sdn的防止dhcp欺骗的方法
US20170289117A1 (en) * 2016-03-30 2017-10-05 Schweitzer Engineering Laboratories, Inc. Communication device for implementing trusted relationships in a software defined network

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1494259A (zh) * 2002-11-01 2004-05-05 华为技术有限公司 一种网络综合接入设备的安全管理方法
CN1859185A (zh) * 2005-11-18 2006-11-08 华为技术有限公司 一种网络设备的管理方法
CN101150582A (zh) * 2007-10-22 2008-03-26 华为技术有限公司 分配配置信息的方法和设备
CN101483515A (zh) * 2009-02-26 2009-07-15 杭州华三通信技术有限公司 Dhcp攻击防护方法和客户端设备
CN103179223A (zh) * 2011-12-26 2013-06-26 中国移动通信集团广西有限公司 一种无线局域网中分配ip地址的方法、设备和系统
US9094285B2 (en) * 2013-01-25 2015-07-28 Argela Yazilim ve Bilisim Teknolojileri San. ve Tic. A.S. Automatic discovery of multiple controllers in Software Defined Networks (SDNs)
CN103220701A (zh) * 2013-03-21 2013-07-24 深信服网络科技（深圳）有限公司 一种ap故障检测方法及装置
CN104869115A (zh) * 2015-05-07 2015-08-26 北京汉柏科技有限公司 一种防止dhcp风暴的方法和系统
US20170289117A1 (en) * 2016-03-30 2017-10-05 Schweitzer Engineering Laboratories, Inc. Communication device for implementing trusted relationships in a software defined network
CN107231366A (zh) * 2017-06-19 2017-10-03 电子科技大学 一种基于sdn的防止dhcp欺骗的方法

Cited By (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110380973A (zh) * 2019-06-18 2019-10-25 南京理工大学 软件定义网络拓扑探测方法
CN112714202B (zh) * 2019-10-24 2023-10-24 华为技术有限公司 设备配置方法及装置
CN112714202A (zh) * 2019-10-24 2021-04-27 华为技术有限公司 设备配置方法及装置
CN110636083B (zh) * 2019-11-07 2021-06-18 迈普通信技术股份有限公司 网络地址复用方法、装置、网络设备及存储介质
CN110636083A (zh) * 2019-11-07 2019-12-31 迈普通信技术股份有限公司 网络地址复用方法、装置、网络设备及存储介质
CN111245898A (zh) * 2019-12-31 2020-06-05 中国建设银行股份有限公司 一种网络设备上线方法、装置、服务器及存储介质
CN111245898B (zh) * 2019-12-31 2022-06-07 中国建设银行股份有限公司 一种网络设备上线方法、装置、服务器及存储介质
CN113472558B (zh) * 2020-03-31 2023-11-21 北京华为数字技术有限公司 网络部署的方法及装置
CN113472558A (zh) * 2020-03-31 2021-10-01 北京华为数字技术有限公司 网络部署的方法及装置
CN112152850A (zh) * 2020-09-22 2020-12-29 康佳集团股份有限公司 一种基于闪联协议的物联网设备管理方法及业务终端
CN112152850B (zh) * 2020-09-22 2023-05-23 康佳集团股份有限公司 一种基于闪联协议的物联网设备管理方法及业务终端
CN112671829A (zh) * 2020-11-26 2021-04-16 新华三技术有限公司 一种设备上线方法和装置
CN112671829B (zh) * 2020-11-26 2022-07-12 新华三技术有限公司 一种设备上线方法和装置
CN112583639A (zh) * 2020-11-30 2021-03-30 新华三大数据技术有限公司 一种网络设备的配置方法及装置
CN112583639B (zh) * 2020-11-30 2022-05-27 新华三大数据技术有限公司 一种网络设备的配置方法及装置
CN112235797A (zh) * 2020-12-11 2021-01-15 信联科技(南京)有限公司 一种基于sdn的设备网络接入认证方法
CN112235797B (zh) * 2020-12-11 2021-03-09 信联科技(南京)有限公司 一种基于sdn的设备网络接入认证方法
WO2023273810A1 (zh) * 2021-06-29 2023-01-05 华为技术有限公司 网络开局配置方法及装置
CN113630405A (zh) * 2021-07-30 2021-11-09 北京达佳互联信息技术有限公司 入网认证方法、装置、电子设备及存储介质
CN113873548A (zh) * 2021-09-03 2021-12-31 中盈优创资讯科技有限公司 一种白盒设备一键开局方法及装置
CN113709191A (zh) * 2021-10-27 2021-11-26 之江实验室 一种安全的调整确定性时延的方法
CN113709191B (zh) * 2021-10-27 2022-02-15 之江实验室 一种安全的调整确定性时延的方法
CN114117373B (zh) * 2021-11-25 2022-10-28 云南电网有限责任公司信息中心 一种基于密钥的设备认证系统和方法
CN114117373A (zh) * 2021-11-25 2022-03-01 云南电网有限责任公司信息中心 一种基于密钥的设备认证系统和方法
CN114338382A (zh) * 2021-12-30 2022-04-12 北京天融信网络安全技术有限公司 基于域名的设备上线方法、装置及计算机设备、存储介质
CN114338382B (zh) * 2021-12-30 2023-11-14 北京天融信网络安全技术有限公司 基于域名的设备上线方法、装置及计算机设备、存储介质
CN115037509A (zh) * 2022-04-25 2022-09-09 浙江清捷智能科技有限公司 一种工业网络安全防护系统及安全防护方法

Similar Documents

Publication Publication Date Title
CN108270615A (zh) 基于sdn网络控制器的网络设备开局方法、装置及设备
CN104780069B (zh) 一种面向sdn网络的控制层与数据层通信通道自配置方法及其系统
CN104935572B (zh) 多层级权限管理方法及装置
CN106034104A (zh) 用于网络应用访问的验证方法、装置和系统
WO2012067726A1 (en) Method and systems for implementing a secure boot device using cryptographically secure communications across unsecured networks
CN101232372A (zh) 认证方法、认证系统和认证装置
CN112491829B (zh) 基于5g核心网和区块链的mec平台身份认证方法及装置
CN104580553A (zh) 网络地址转换设备的识别方法和装置
CN102263826B (zh) 一种传输层建立连接的方法和装置
CN110519259B (zh) 云平台对象间通讯加密配置方法、装置及可读存储介质
CN102404346A (zh) 一种互联网用户访问权限的控制方法及系统
CN106559785A (zh) 认证方法、设备和系统以及接入设备和终端
KR102278808B1 (ko) Tcp 패킷을 이용한 단일 패킷 인증 시스템 및 그 방법
CN106375123A (zh) 一种802.1x认证的配置方法及装置
CN103731410A (zh) 虚拟网络构建系统、方法、小型终端及认证服务器
EP4261716A1 (en) Blockchain-based method and system for sdp access control
CN109936515A (zh) 接入配置方法、信息提供方法及装置
EP2239883B1 (en) Method, device, system, client node, peer node and convergent point for preventing node from forging identity
CN102447709A (zh) 基于DHCP和802.1x接入权限控制方法及系统
CN105049546A (zh) 一种dhcp服务器为客户端分配ip地址的方法及装置
CN113132976A (zh) 一种分布式无线通信配电网差动保护方法及系统
CN114884771B (zh) 基于零信任理念的身份化网络构建方法、装置和系统
CN104917750B (zh) 一种面向sdn网络的控制层与数据层通信通道自配置方法及其系统
CN105610667B (zh) 建立虚拟专用网通道的方法和装置
CN105391720A (zh) 用户终端登录方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20180710

RJ01 Rejection of invention patent application after publication