CN108605042B

CN108605042B - 用于sdn群集化中基于信任的认证的方法和设备

Info

Publication number: CN108605042B
Application number: CN201680082146.2A
Authority: CN
Inventors: R.戴多内; S.奥尔西; R.马格里
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2015-12-19
Filing date: 2016-01-13
Publication date: 2021-10-22
Anticipated expiration: 2036-01-13
Also published as: EP3391609A1; US20180367521A1; WO2017102099A1; CN108605042A; US11438321B2; EP3391609B1

Abstract

一种管理SDN网络中节点的群集中节点的方法。所述方法包括从所述节点接收（102）加入所述群集的请求以及认证所述节点的参考的列表。所述参考被验证（104、106）并且如果所述参考通过了验证，则所述节点被允许加入所述群集（108）。然后所述节点的信任级别基于验证的参考的数量被计算，其中所述群集中所述节点的角色取决于所述节点的所述信任级别。

Description

用于SDN群集化中基于信任的认证的方法和设备

技术领域

本发明一般涉及软件定义的联网（SDN），并且具体涉及SDN网络中的认证和信任管理。

背景技术

软件定义的联网（SDN）在网络安全的领域中正提出新的挑战并且正打开新的观点。群集化（clustering）是SDN网络中的基础性概念：每个SDN群集供应特定服务并且节点在它们的生存期（lifetime）期间很可能多次加入和离开群集。此灵活性是弹性（elasticity）的保证，但在另一方面，对在它们的生存期期间加入和离开许多群集的装置的访问控制和认证方面造成巨大挑战。因此在此场景中主要挑战之一是分布式网络中的认证。

OpenDaylight将群集管理委托给超级节点或者种子节点（Seed Node, SN）和主节点（PN）。SN在内部维护SN知道的节点的列表并且它是被选取的节点，其任务是将新节点引入（introduce）到群集。典型地，群集中存在多于一个种子节点。如果使得一个或更多恶意节点成为群集的一部分，它们能够注入假信息到该群集中，这可导致使该群集应该提供的服务中断，最终以很多种的内部攻击而结束。如果恶意节点成为主节点或种子节点，则甚至能够进行更多损害。

发明内容

相应地，本发明寻求优选减轻、缓和或消除以上提到的一个或更多缺点（单独地或以任何组合）。

根据本发明的第一方面，提供了一种管理SDN网络中节点的群集中第一节点的方法。所述方法包括以下步骤：从所述第一节点接收加入所述节点的群集的请求并且从所述第一节点接收认证所述第一节点的参考（reference）的列表。所述方法进一步包括验证所述参考并且如果所述参考的列表中所提供的参考通过了所述验证，则允许所述第一节点加入所述节点的群集。所述方法还包括基于验证的参考的数量来计算所述第一节点的信任级别，其中所述节点的群集中所述第一节点的角色取决于所述第一节点的所述信任级别。

根据本发明的第二方面，提供了一种适合于管理SDN网络中节点的群集中第一节点的SDN控制器。所述SDN控制器包括处理器和存储器。所述存储器含有由所述处理器可执行的指令，由此所述SDN控制器可操作以从所述第一节点接收加入节点的群集的请求并且从所述第一节点接收认证所述第一节点的参考的列表。所述SDN控制器另外可操作以验证所述参考，如果所述参考的列表中所提供的参考通过了所述验证，则允许所述第一节点加入所述节点的群集，并且基于验证的参考的数量来计算所述第一节点的信任级别，其中所述节点的群集中所述第一节点的角色取决于所述第一节点的所述信任级别。

根据本发明的第三方面，提供了一种适合于管理SDN网络中的节点的群集中第一节点的SDN控制器。所述SDN控制器包括接口、控制单元、准入单元和信任级别计算器。所述接口是用于从所述第一节点接收加入节点的群集的请求并且用于从所述第一节点接收认证所述第一节点的参考的列表。所述控制单元用于验证所述参考并且所述准入单元用于如果所述参考的列表中所提供的参考通过了所述验证，则允许所述第一节点加入所述节点的群集。所述信任级别计算器用于基于验证的参考的数量来计算所述第一节点的信任级别，其中所述节点的群集中所述第一节点的角色取决于所述第一节点的所述信任级别。

根据本发明的第四方面，提供了一种计算机程序，所述计算机程序配置成，当在计算机上运行时，实行如以上所描述的方法。

本发明的另外特征如从属权利要求中所要求权利的一样。

本发明提供了群集可伸缩性（scalability）的益处，允许建立可被映射到SDN群集管理上的信任的各个级别（以能轻松地被实现为对于SDN控制器的安全附件（add-on）或嵌入式特征两者的方式）。

附图说明

本发明将从结合附图进行的以下具体描述被更完全地理解和领会，附图中：

图1A是示出在本发明的一个实施例中管理SDN网络中节点的群集中第一节点的方法的流程图；

图1B是示出在本发明的另一个实施例中管理SDN网络中节点的群集中第一节点的方法的流程图；

图2和图3是示出本发明的方法的另外实施例的流程图；

图4是示出本发明的一个实施例中的SDN控制器的图；

图5是示出本发明的一备选实施例中的SDN控制器的图；

图6是示出由SDN控制器所控制的交换机的网络的图；

图7是示出本发明的一个实施例中节点之间消息的交换的消息序列图形。

具体实施方式

在以下的描述中，为了解释和非限制的目的，特定细节（诸如具体架构、接口、技术等等）被阐述以便提供本发明的透彻理解。然而，对本领域那些技术人员将显而易见的是，本发明可在脱离这些特定细节的其它实施例中被实践。在其它实例中，众所周知的装置、电路、和方法的详细描述被省略以免因不必要的细节而使本发明的描述变得模糊。

贯穿说明书中对“一个实施例”或“一实施例”的提及意味着连同一实施例来描述的具体特征、结构、或特性被包含在本发明的至少一个实施例中。因此，贯穿说明书各处中的“在一个实施例中”或“在一实施例中”短语的出现不一定都指相同实施例。另外，具体特征、结构或特性可以以任何合适的方式在一个或更多实施例中被组合。

以下的描述按照在OpenDaylight群集管理中被建立的角色在SDN群集内呈现和描述本发明的实施例。然而，本发明在它的各个实施例中也适用于SDN网络中的群集管理的其它模型。

在此文档中术语节点的群集（或简称群集）指的是提供服务（例如，路由选择或应用级别服务）的SDN控制器的群集并且术语节点（当被指的是SDN群集中的节点或者尝试加入或离开SDN群集的节点时）指的是SDN控制器。

在本领域中已知的解决方案中，主节点和种子节点（或多个种子节点）的选举涉及群集内的所有节点，而不顾表达投票的每个节点的可信度。现有实现中没有信任级别的量度存在。因为种子节点和主节点的选举是在没有任何区分（基于在这些选举中投票的节点和候选节点的可信度）的情况下被实行，所以有可能恶意节点能够被许可特权位置。这进而使得更多的恶意节点有可能加入和取得群集的控制（共谋攻击）。一旦恶意节点在群集内具有相关角色，则它能轻松地破坏整个群集的行为和它的服务。

发明者意识到，对于此攻击的最佳对策是防止恶意节点成为群集的一部分和防止其获得群集内的相关角色，并且在此文档中提议安全增强的解决方案以使用分布式的和灵活的认证系统来致力于解决（address）SDN群集管理，所述认证系统嵌入了用于群集内节点的角色的安全管理的策略。

提议的解决方案引入了与SDN控制器的群集中的主节点和种子节点的选举中的节点相关联的信任级别的概念。节点（SDN控制器）的信任级别在认证过程本身期间被建立。

参考图1A，示出了管理SDN网络中节点的群集中第一节点的方法的一实施例。在一优选实施例中，所述方法以从第一节点接收加入节点的群集的请求（102）而开始。所述方法还包括接收认证第一节点的参考的列表。在一个实施例中，接收所述请求和接收所述参考的列表是两个分开的动作并且在一备选实施例中，所述请求本身包括认证第一节点的参考的列表。在以下步骤中，所述方法包括验证所述参考（104）。如果由第一节点所提供的参考通过了验证（106），则第一节点被允许加入群集（108）。在以下步骤中，第一节点的信任级别基于验证的参考的数量被计算（110、112）。值得注意的是，在一备选实施例中，在所提供的参考的成功验证之后，首先信任级别被计算并且仅在那时第一节点才被允许加入群集。计算的信任级别是第一节点的重要特性，因为群集中的第一节点的角色（例如，种子节点、主节点）取决于与所述第一节点相关联的信任级别。

以上描述的操作对于加入节点的群集的每个节点而被执行，其优选地在OpenDaylight框架内操作。结果，每个节点被分配代表所述节点的信任级别的数量。信任级别依照某一节点的参考的列表（参考集合）中参考的量来表示与该节点相关联的信任程度。某一节点的信任级别越高，该节点就更加可信并且更多特权被许可到该节点。

如先前提到的，信任级别基于参考集合被计算。参考集合是条目的收集，其都具有相同的结构，但是由提供参考的不同节点来签名：

{<Node A, PUB _{Node A} > _{reference ID1} ;<Node A, PUB _{Node A} > _{reference ID2} ;<Node A, PUB _{Node A} > _{reference ID3} }

在此符号表示中，Node A是发送加入群集的请求的第一节点的独特标识符。PUB _{Node A}是第一节点的公共密钥。然后，<>referenceIDx代表将参考提供到了第一节点的节点的数字签名。通过使用提供参考的节点的数字签名（即，<>referenceIDx），提议了提供参考的安全方式。一旦Node A, PUB _{Node A}对被数字地签名，对于Node A, PUB _{Node A}的值的任何窜改将被检测并且数字签名的真实性也能被轻松地验证。单独的参考是包括第一节点的标识符和第一节点的公共密钥的数字文档，其中所述数字文档由提供所述参考的实体来数字地签名。

在以上的示例中，三个节点将参考提供到第一节点（节点A），提供参考的每个节点的独特标识符被指定为IDx。

第一节点（节点A）具有某一数量的参考。每个参考由能是当前群集的一部分的节点或者第一节点（节点A）在它的生存期期间在它曾加入的其它群集中以前遇见过的节点来签名。换言之，参考的列表包含操作在所述第一节点是或者曾经是其成员的节点的群集中的节点（SDN控制器）的标识。种子节点比对对种子节点的参考进行了签名的节点的列表来验证对第一节点的参考进行了签名的节点的列表。对种子节点的参考进行了签名的节点是种子节点信任的节点。

在一优选的实施例中，所述方法在SDN控制器中被实现为对于SDN控制器的安全附件（add-on）或者被实现为在SDN控制器本身中被嵌入的机制。第一个选项允许通过增加作为软件升级的基于本发明的实施例的解决方案来升级现有SDN控制器的功能性。这是升级现有网络基础设施（infrastructure）的非常高效和廉价的方式。第二个选项是针对新SDN控制器，其可被开发而带有从一开始就内置的基于本发明的实施例的功能性。

如图6中所示出的，在SDN网络600中，集中式的SDN控制器602控制包括多个交换机604-614的网络。在SDN网络中，所有的转发决定和所述交换机的控制在集中式的SDN控制器602中被进行。

图7示出节点A和种子节点之间的交互。加入群集（SDN控制器的群集）的新节点（节点A）要求种子节点成为所述群集的一部分并且将它的参考集合提供到种子节点。然后，种子节点验证由节点A所提供的参考集合中的参考并且送回响应所述响应确定想要加入所述群集的节点的信任级别以及节点A可加入所述群集的信息。在一备选实施例中，可发送两个消息，一个消息通知节点A它可加入所述群集，以及另一个消息提供计算的信任级别。

新部署的节点以零的信任级别开始并且请求加入群集。在此情形中，参考的列表包括在SDN网络中部署所述第一节点的网络运营商（operator）的标识并且种子节点默认地信任它（例如，部署相同群集内的种子节点和新节点两者的运营商或者与部署节点的运营商具有某一服务级别协定（SLA）的另一个运营商）。此机制允许新部署的节点在它的参考集合中具有至少一个参考。

在SDN网络中节点的群集的安全的不同级别可通过应用本发明的不同实施例来取得。在一个实施例中，如果参考列表中的所有参考已经被验证，则第一节点被允许加入节点的群集（108）。这意味着如果存在参考列表（参考集合）中的一个参考验证失败，则节点将不被允许加入所述群集。验证失败能够由不同因素所引起，例如它可能是用于对所述参考中的一个参考进行签名的数字签名过期或已经被窜改，或者提供了参考的节点已经从网络中被移除。任何这些情形将导致具体签名的验证失败并且结果导致请求的拒绝。

备选地，如果参考的列表中的至少一个参考已经被验证，则第一节点被允许加入节点的群集（108）。在此实施例中，验证失败的签名被忽视并且仅通过验证的签名在允许加入群集和计算信任级别中被考虑。

在仍有的另一个实施例中，可以定义可验证失败且仍能导致第一节点被允许加入群集的参考的百分比或绝对数量。

在一优选的实施例中，由部署第一节点的网络运营商所发布的参考也被验证。该参考的验证应该被执行以便防止将默认信任级别给予由仅假装是网络运营商的某人所部署的节点。由于产生此类参考将要求使用网络运营商的私有密钥，因此验证是通过校验用于对所述参考进行签名的数字证书是否有效。

在一优选的实施例中，参考的验证（104）包括将对第一节点所提供的参考进行了签名的节点的数字签名与对节点的群集的种子节点的参考进行了签名的节点的数字签名进行比较。在一个可能的备选实施例中，参考的验证（104）包括询问证书权力机构（authority）的数据库并且将对第一节点所提供的参考进行了签名的节点的数字签名与证书权力机构的数据库中所存储的节点的数字签名进行比较。用于验证参考的更多备选方法能被设想。

在一优选的实施例中，在允许第一节点加入节点的群集之后，节点的群集的种子节点将参考给予第一节点。通过加入群集，第一节点从这些群集的种子节点接收参考并且以此方式增大它的参考集合大小。这是有利的，因为如先前所描述的，节点的信任级别取决于它的参考列表（参考集合）的大小并且然后节点的信任级别确定节点在节点的群集中可执行的角色。如在后面更详细解释的，第一节点也可从群集中的其它节点接收参考，例如在为主节点和种子节点的选举中投票的过程中（这将被更详细地描述）。

一旦第一节点的参考被肯定地验证并且第一节点被允许加入群集，则第一节点的信任级别被计算。尽管描述的此部分指的是在第一节点被允许加入群集之后计算信任级别，但是相同操作可适用于在允许加入节点的群集的决定之前信任级别在其中被计算的备选实施例中。

如先前所解释的，对于所述节点的群集的所述第一节点的信任级别基于验证的参考（104）的数量来计算（110）。在一个实施例中，信任级别使用以下等式来计算：

TL = RS – 1 (1)

其中，TL指示信任级别并且RS指示参考集合大小，或换言之，由第一节点所提供的参考列表中的验证的参考的数量。

在计算TL中，RS的值被减小1，因为假定每个节点是通过来自网络运营商（依照SLA或我们的认证解决方案的范畴之外的其它机制）的默认参考被部署的。然而，这是可以被轻松改变的约定（convention）并且这不是发明的必需元素。

在一备选实施例中，信任级别基于验证的参考（104）的数量以及所述节点的群集的大小被计算（110）。此实施例在以下表1中被概述。

表 1

以上表1中的CS（群集大小）是第一节点正尝试加入的群集的一部分的节点（包含种子和主节点）的数量。假定在该表中呈现的每个比率总是被舍入到更低的值。

在表1中所呈现的示例仅是一个可能的实施例并且分开不同信任级别的其它阈值也能被使用而不脱离所描述的解决方案的发明概念。

在表1的最右列中所描述的群集中的节点的角色和特权是相同的，而无论信任级别是基于公式（1）还是基于表1的第二列被确定。

使用以上描述的实施例的一个或另一个取决于网络的大小和群集的大小。如果网络是大型的并且具有大型的群集，可优选依靠使用公式（1）来计算信任级别，因为对于节点根据表1中的途径来获得多于CS/3的参考可能是困难的，并且如果群集失去了它的主节点，则群集中可能不存在带有足够参考的另一个节点。对于小型和中型大小的群集，基于表1的信任级别的确定是可行的解决方案。网络和群集的大小（大型、中型或小型）是实现特定的。

为了更好的理解以上表1中所指的节点的群集中节点的特权和角色，阐明群集内的节点的可能角色是重要的，如OpenDaylight群集管理中所描述的：

· 种子节点（SN）维护已知节点的列表，对于想要加入群集的新节点，它是第一个联系人（contact）。推荐在每个群集中具有至少两个种子节点。

· 主节点（PN）：它具有特殊功能并且在群集符合性（consistency）的维护中是关键的。请注意它不是种子节点。

· 候选者：它是正尝试成为主节点的节点。

· 跟随者：不是主、不是种子、并且不是候选者节点的节点；群集中的节点的层次（hierarchy）中的最低位置。

信任级别TL=0描述新部署的节点的情形。此节点仅具有一个参考，由部署它的实体（例如，网络运营商）来签名。在此情况中，种子节点和新部署的节点已经由相同实体或由其相互信任在服务级别协定（SLA）中被声明的实体来部署。因此，种子节点成功地验证此默认参考并且准许新部署的节点进入群集。种子节点信任部署该节点的实体，因为对此新部署节点的参考进行了签名的实体有兴趣在群集内部署恶意节点。为了加强系统的安全，除了基于SLA的默认信任之外，验证过程也要就位（in place）-如果第三方将试着和模仿（impersonate）网络运营商并且部署恶意节点，则用于对参考进行签名的数字证书的验证将揭示对突破系统的安全的尝试。在本发明的此实施例中，假定SLA在SLA中涉及的网络运营商之间声明了默认信任。

其它（更高的）信任级别指的是由节点所得到的参考的数量。尝试加入群集的节点的参考集合中参考的数量越高，越高的信任级别被归属于该节点并且更多的特权被许可到该节点。当节点的参考集合中参考的数量由于信任验证失败而减小时，信任级别可能减小并且被许可到该节点的特权的减少将随之发生。

当新群集被部署时，一些节点必须被任命为种子节点和主节点的角色。在此情况中，通过来自部署所述节点的实体的参考和由这些节点是成员（或在过去曾经是成员）的其它群集的成员所提供的参考来部署所述节点。请注意，特权约束由3个或更多节点组成的所有群集来满足。

如果是主节点或种子节点的节点被降低级别（downgrade）到信任的更低级别，则在群集内它的角色自动地下落。结果，强制运行新选举以任命新的种子节点或主节点。此情形被示出在图3中。如果节点先前已经被选举为节点的群集中的角色（304）并且后来第一节点的信任级别被降低级别（302），则该方法在一优选实施例中包括将该节点从节点的群集中的角色降级（demote）（308）并且对于空出的角色开始选举（310）。

本发明的一个实施例中，投票过程如以下来发生。如果节点A想要为节点B投票，则我们允许节点A将它的参考提供给节点B。这具有增大候选者节点的信任级别的有益副作用。

在本领域已知的群集化管理中，是群集的一部分的每个节点能设置选举超时（timeout）。选举超时是跟随者节点在本身成为候选者节点之前，在没有主节点的群集中将停留的时间的量。本发明的一优选实施例中，如果且仅如果跟随者节点具有成为候选者所需的信任级别，则该跟随者节点才能设置选举超时。此实施例提供从有资格成为主节点或种子节点的节点池中消除还未曾在多个群集中的广阔合作中被测试的节点的优点。以此方式，部署恶意节点并且将它提升到群集中的主或种子节点的角色将会更加困难并且不太可能成功。此外，为成为候选者而设置选举超时所需的证书逐步升级（escalation）促进了交换参考。这也防止太多节点加入单个投票会话（session），从而减少由原来的群集化机制所提出的可伸缩性难题。有利的是，此实施例防止了当在第一投票回合每个节点为本身而投票时由原来的机制所引入的死锁情形。

参考图2，示出为节点的群集中的角色而进行投票和选举的一个实施例被示出。在此实施例中，如果第一节点的信任级别在或高于第一阈值（202、204），则第一节点有权投票（208）以便为节点的群集中的角色而选举节点的群集中的其它节点。根据表1的第一阈值是TL=1并且因此具有信任级别（TL）1或以上的每个节点有权投票。这意味着，如果信任级别是0（零），则该节点无权投票（206）。这简单地反映以下事实：带有TL=0的节点尚未是任何群集的成员，或者它的参考的验证失败，并且结果它不应该有权投票。当节点的信任级别增大时，它的特权也增长。因此，优选地，如果第一节点的信任级别在或高于第二阈值（210），其中第二阈值高于第一阈值，则第一节点有权被选举（212）为节点的群集中的角色。根据表1的第二阈值是TL=2并且因此具有信任级别（TL）2或者以上的每个节点有权被选举为节点的群集中的角色。更特定地说，在本文中参考表1所描述的实施例中，带有TL=2的节点能被选举为主节点并且带有TL=3的节点能被选举为主节点或者种子节点。高于3的信任级别也能被设想以及分配特定特权给TL>3。

图2中所示出的实施例的结果是，如果第一节点具有在或高于第二阈值的信任级别（即，TL≥2）,则第一节点被允许设置选举超时。

在一备选实施例中，表1中所提议的阈值可由群集内额外的机制来调整或补充，例如通过引进老化（ageing）机制防止种子节点保持作为种子节点太长时间（这是为了避免以下情形：负责群集的是不再是任何群集的一部分的节点来提供其参考的节点）。

在SDN网络中操作的节点可加入多于一个群集并且在这些群集中，它可有权投票，并且随着其参考集合大小的增大，它可有权被选举。这意味着参考集合的大小是动态的并且这是由图1B中所示出的实施例来致力于解决的。图1B通过引入额外步骤114-124（以下被具体描述）扩展了图1A中所示出的实施例。

在一优选的实施例中，第一节点具有的列表参考可能改变。所述改变能是第一节点加入其它群集、在为群集中的角色的选举中接收投票或者通过对先前参考进行了签名的节点的证书之到期的结果。当证书到期时，参考不能够被验证。在此实施例中，方法包括从第一节点接收另外的参考（114、116）。所述另外的参考然后被验证（120、122）并且信任级别基于验证的参考的数量被重新计算（118、112）。如果新增加的参考验证失败并且先前的参考没有改变，则信任级别保持不变（124）。如果参考集合通过移除一些参考（例如，证书的到期、节点从网络的移除）而已经被改变（见步骤116中的分支“旧失去”），则方法在此实施例中包括重新计算信任级别（118、112）。如以上所讨论的，这可导致信任级别值的下降并且如果第一节点在节点的群集中具有角色，则群集内它的角色可能下落并且可能需要对于空出的角色开始选举过程。信任级别的下降可不导致群集中角色的下落的情形是当信任级别即使下降仍然高于要求的阈值时。然而，在群集中具有角色的节点的信任级别的任何下降导致将该节点从此功能移除的一实施例也被设想。

参考图4，依照本发明的SDN控制器的一个实施例被公开。在以下描述中，除非以其它方式声明，假定SDN控制器在群集中作为种子节点进行操作。

SDN控制器400当在节点的群集（SDN控制器的群集）中作为种子节点进行操作时适合于管理SDN网络中节点的群集中的第一节点。SDN控制器400包括处理器404以及存储器406。存储器406含有由所述处理器404可执行的指令。所述SDN控制器400可操作以从第一节点接收加入节点的群集的请求并且从第一节点接收认证第一节点的参考的列表。在一个实施例中，所述请求和所述参考的列表在两个分开的操作中被接收并且在一备选实施例中，所述请求也包括认证第一节点的参考的列表。所述SDN控制器400是进一步可操作的以验证所述参考并且允许第一节点加入所述节点的群集（如果在验证所述参考之后，确定该节点应该被允许加入所述群集）。通过由处理器404执行所述指令，SDN控制器基于验证的参考的数量来计算第一节点的信任级别。信任级别的意义在于节点的群集中第一节点的角色取决于所述第一节点的信任级别。

SDN控制器400通常配置成依照此文档中如先前所描述的方法的实施例进行操作。更特定地说，当依照本发明的实施例实现所述方法时，由SDN控制器所实行的操作可被划分到两组中：关注于计算和保持节点的群集中节点的信任级别为最新（up to date）的操作以及关注于为群集中角色的节点的选举的操作。

计算并且维护信任级别为最新。

在一优选实施例中，在节点的群集（SDN控制器的群集）中作为种子节点进行操作的SDN控制器400可操作以从第一节点接收另外的参考并且验证这些另外的参考。第一节点在网络中进行操作并且可成为SDN控制器的另一个群集（或者甚至SDN控制器的多于一个群集）的成员。加入其它群集的结果之一是接收额外的参考。这些额外的参考然后被报告给在第一节点正尝试加入的群集中作为种子节点进行操作的SDN控制器。一旦额外的参考被验证，SDN控制器基于验证的参考的数量来重新计算信任级别。在重新计算信任级别中，所有验证的参考被考虑（即，旧的参考以及也有额外的参考）。

部署SDN网络的网络运营商可决定安全应该有多么严厉（tight）。如果非常严格的安全策略被应用，则SDN控制器400可操作以便如果参考列表中的所有参考已经被验证才允许第一节点加入节点的群集。在此实施例中，如果参考的列表包含多个参考并且如果这些参考中的一个参考验证失败，则第一节点将不被允许加入群集。在一备选实施例中，所述SDN控制器400可操作以便如果参考的列表中至少一个参考已经被验证就允许第一节点加入节点的群集。这意味着验证失败的参考被忽视并且仅通过了验证的参考被考虑。

在参考的验证的过程中，作为种子节点进行操作的所述SDN控制器可操作以将对第一节点所提供的参考进行了签名的节点的数字签名与对节点的群集的种子节点的参考进行了签名的节点的数字签名进行比较。在一备选实施例中，作为种子节点进行操作的所述SDN控制器询问证书权力机构的数据库并且将对第一节点所提供的参考进行了签名的节点的数字签名与证书权力机构的数据库中所存储的节点的数字签名进行比较。

SDN控制器400也包括接口402，用于与SDN网络中的节点进行通信，例如与第一节点进行通信并且与群集中的其它SDN控制器进行通信，用于与SDN控制器所控制的交换机通信，以及用于与不是SDN网络的一部分的实体（例如证书权力机构）进行通信。该接口可基于多个网络技术之一，例如以太网。其它有线和无线网络技术也可在发明的备选实施例中被使用。

对于群集中角色的节点的选举。

如先前所讨论的，节点的信任级别确定该节点被允许在群集中扮演的角色。如果第一节点的信任级别在或高于第一阈值（即，在表1中所描述的方法的实施例中TL≥1），则SDN控制器400可操作以允许第一节点投票以便为群集中的角色来选举其它节点（也是相同群集的成员）。如果第一节点的信任级别在或高于第二阈值（即，在表1中所描述的方法的实施例中TL≥2），则SDN控制器400可操作以允许第一节点能被选举为节点的群集中的角色。第二阈值在此实施例中高于第一阈值。

如果第一节点被选举为群集中的角色并且后来第一节点的信任级别被降低级别，SDN控制器将节点从群集中的角色降级并且对于空出的角色开始新的选举过程。

在本发明的一优选实施例中，作为群集中的跟随者节点进行操作的SDN控制器可操作以设置选举超时（如果SDN控制器具有成为候选者所需的信任级别）。这意味着，如果SDN控制器具有在或高于第二阈值的信任级别（TL≥2），则它被允许设置选举超时。

在一个实施例中，SDN控制器基于验证的参考的数量和所述节点的群集的大小来计算所述第一节点的信任级别。关于此实施例的更多细节能从表1和它的伴随描述中得出。

在仍有的另一个实施例中，本发明在配置成当在计算机上运行时实行以上所描述方法的计算机程序中被实现。优选地，计算机程序产品包括其上已经存储用于实行以上所描述方法的计算机程序的计算机可读介质。

在仍有的另一个实施例中，包括多个SDN控制器的网络在本文中被公开。SDN控制器如以上所描述并且在图4和图5中被示出。单独的SDN控制器提供了如图6中所示出的网络元件（例如，交换机或路由器）的控制。网络中的SDN控制器可形成群集并且SDN控制器和它们在群集中的信任如本发明的方法的实施例中所描述的来管理。

此文档提议了解决与加入SDN群集的新节点的信任级别有关的问题的解决方案，其在一个实施例中在OpenDaylight框架内进行操作。此解决方案的优点如下：

· 在分布式情景（诸如SDN群集化）中，节点的认证的最佳途径是依靠被分布在每个群集内的系统。

· 每个节点能取得的信任的级别被适应于SDN网络中所实现的SDN群集管理（例如，基于OpenDaylight）。这允许以相干的（coherent）方式在控制器的群集中分配策略和功能性。

· 基于本发明的实施例的解决方案能够是对于带有来自不同供应商的组件的先前存在的群集架构的安全附件。这也在已经部署的系统中提供了增强安全的机会，带有以下益处：

● 成本效率，

● 容易的部署和维护，

● 分布式的、可伸缩的和灵活的网络控制。

Claims

1.一种在SDN网络中在节点群集中管理第一节点的方法，所述方法包括以下步骤：

-从所述第一节点接收加入所述节点群集的请求，

-从所述第一节点接收认证所述第一节点的参考的列表；

-验证所述参考；

-如果所述参考的列表中提供的参考通过了所述验证，则允许所述第一节点加入所述节点群集；

-基于验证的参考的数量来计算所述第一节点的信任级别；

其中，所述第一节点在所述节点群集中的角色取决于所述第一节点的所述信任级别。

2.根据权利要求1所述的方法，其中，如果所述第一节点的所述信任级别等于或高于第一阈值，则所述第一节点有权投票将所述节点群集中的其它节点选举为所述节点群集中的角色。

3.根据权利要求2所述的方法，其中，如果所述第一节点的所述信任级别等于或高于第二阈值，则所述第一节点有权被选举为所述节点群集中的角色，其中所述第二阈值高于所述第一阈值。

4.根据在前权利要求的任一项所述的方法，其中，如果所述第一节点被选举为所述节点群集中的角色并且后来所述第一节点的所述信任级别被降低级别，则所述方法包括：

-将所述第一节点从所述节点群集中的所述角色降级；

-为所述角色开始新选举过程。

5.根据权利要求1-3的任一项所述的方法，其中，在投票将节点选举为所述节点群集中的角色的过程中，所述第一节点通过将参考给予第二节点来为所述第二节点投票。

6.根据权利要求3所述的方法，其中，如果所述第一节点具有等于或高于所述第二阈值的所述信任级别，则所述第一节点被允许设置选举超时。

7.根据权利要求1-3的任一项所述的方法，另外包括：

-从所述第一节点接收另外的参考；

-验证所述另外的参考；

-基于验证的参考的数量来重新计算所述信任级别。

8.根据权利要求1-3的任一项所述的方法，其中，所述参考的列表包含在所述第一节点是或曾是其成员的节点群集中进行操作的节点的标识。

9.根据权利要求1-3的任一项所述的方法，其中，所述参考包括在所述SDN网络中部署所述第一节点的网络运营商的标识。

10.根据权利要求1-3的任一项所述的方法，其中，对于所述节点群集的所述第一节点的所述信任级别基于验证的参考的数量和所述节点群集的大小而被计算或重新计算。

11.根据权利要求1-3的任一项所述的方法，其中，如果参考列表中的所有参考已经被验证，则所述第一节点被允许加入所述节点群集。

12.根据权利要求1-3的任一项所述的方法，其中，如果所述参考的列表中至少一个参考已经被验证，则所述第一节点被允许加入所述节点群集。

13.根据权利要求1-3的任一项所述的方法，其中，参考的所述验证包括将对所述第一节点所提供的参考进行了签名的节点的数字签名与对所述节点群集的种子节点的参考进行了签名的节点的数字签名进行比较。

14.根据权利要求1-3的任一项所述的方法，其中，参考的所述验证包括询问证书权力机构的数据库并且将对所述第一节点所提供的参考进行了签名的节点的数字签名与所述证书权力机构的所述数据库中所存储的节点的数字签名进行比较。

15.根据权利要求1-3的任一项所述的方法，其中，在允许所述第一节点加入所述节点群集之后，所述节点群集的种子节点将参考给予所述第一节点。

16.根据权利要求1-3的任一项所述的方法，其中，参考是包括所述第一节点的标识符和所述第一节点的公共密钥的数字文档，其中所述数字文档由给出所述参考的实体来数字地签名。

17.根据权利要求1-3的任一项所述的方法，其中，所述请求包括认证所述第一节点的参考的列表。

18.一种适合于在SDN网络中在节点群集中进行操作的SDN控制器，所述SDN控制器包括处理器和存储器，所述存储器含有由所述处理器可执行的指令，由此所述SDN控制器可操作以：

-从第一节点接收加入所述节点群集的请求；

-从所述第一节点接收认证所述第一节点的参考的列表；

-验证所述参考；

-如果所述参考的列表中所提供的参考通过了所述验证，则允许所述第一节点加入所述节点群集；

-基于验证的参考的数量来计算所述第一节点的信任级别；

19.根据权利要求18所述的SDN控制器，其中，如果所述第一节点的所述信任级别等于或高于第一阈值，则所述SDN控制器可操作以允许所述第一节点投票将所述节点群集中的其它节点选举为所述节点群集中的角色。

20.根据权利要求19所述的SDN控制器，其中，如果所述第一节点的所述信任级别等于或高于第二阈值并且所述第二阈值高于所述第一阈值，则所述SDN控制器可操作以允许所述第一节点被选举为所述节点群集中的角色。

21.根据权利要求18-20的任一项所述的SDN控制器，其中，如果所述第一节点被选举为所述节点群集中的角色并且后来所述第一节点的所述信任级别被降低级别，则所述SDN控制器可操作以：

-将所述节点从所述节点群集中的所述角色降级；

-为所述角色开始新选举过程。

22.根据权利要求20所述的SDN控制器，其中，如果所述第一节点具有等于或高于所述第二阈值的所述信任级别，则所述SDN控制器可操作以允许所述第一节点设置选举超时。

23.根据权利要求18-20的任一项所述的SDN控制器，另外可操作以：

-从所述第一节点接收另外的参考；

-验证所述另外的参考；

-基于验证的参考的数量来重新计算所述信任级别。

24.根据权利要求18-20的任一项所述的SDN控制器，其中，所述参考的列表包含在所述第一节点是或曾是其成员的节点群集中进行操作的节点的标识。

25.根据权利要求18-20的任一项所述的SDN控制器，其中，所述参考包括在所述SDN网络中部署所述第一节点的网络运营商的标识。

26.根据权利要求18-20的任一项所述的SDN控制器，其中，所述SDN控制器可操作以基于验证的参考的数量和所述节点群集的大小来计算对于所述节点群集的所述第一节点的所述信任级别。

27.根据权利要求18-20的任一项所述的SDN控制器，其中，如果参考列表中的所有参考已经被验证，则所述SDN控制器可操作以允许所述第一节点加入所述节点群集。

28.根据权利要求18-20的任一项所述的SDN控制器，其中，如果所述参考的列表中的至少一个参考已经被验证，则所述SDN控制器可操作以允许所述第一节点加入所述节点群集。

29.根据权利要求18-20的任一项所述的SDN控制器，其中，在参考的验证的过程中，所述SDN控制器可操作以将对所述第一节点所提供的参考进行了签名的节点的数字签名与对所述SDN控制器的参考进行了签名的节点的数字签名进行比较。

30.根据权利要求18-20的任一项所述的SDN控制器，其中，在参考的验证的过程中,所述SDN控制器可操作以询问证书权力机构的数据库并且将对所述第一节点所提供的参考进行了签名的节点的数字签名与所述证书权力机构的所述数据库中所存储的节点的数字签名进行比较。

31.根据权利要求18-20的任一项所述的SDN控制器，其中，所述请求包括认证所述第一节点的参考的列表。

32.一种适合于在SDN网络中在节点群集中进行操作的SDN控制器，所述SDN控制器包括：

-接口，用于从第一节点接收加入所述节点群集的请求并且用于从所述第一节点接收认证所述第一节点的参考的列表；

-控制单元，用于验证所述参考；

-准入单元，用于如果所述参考的列表中所提供的参考通过了所述验证，则允许所述第一节点加入所述节点群集；

-信任级别计算器，用于基于验证的参考的数量来计算所述第一节点的信任级别，其中所述第一节点在所述节点群集中的角色取决于所述第一节点的所述信任级别。

33.一种网络，所述网络包括多个如权利要求18-32的任一项中所定义的SDN控制器。

34.一种用于在SDN网络中在节点群集中管理第一节点的装置，包括实行根据权利要求1-17的任一项的方法中的各步骤的部件。

35.一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序被处理器执行时，导致所述处理器实行根据权利要求1-17的任一项的方法。