CN112968880A

CN112968880A - 一种基于sdn架构的权限控制方法、系统

Info

Publication number: CN112968880A
Application number: CN202110138548.2A
Authority: CN
Inventors: 朱鹏
Original assignee: Inspur Cisco Networking Technology Co Ltd
Current assignee: Inspur Cisco Networking Technology Co Ltd
Priority date: 2021-02-01
Filing date: 2021-02-01
Publication date: 2021-06-15
Anticipated expiration: 2041-02-01
Also published as: CN112968880B

Abstract

本申请公开了一种基于SDN架构的权限控制方法、系统，该方法包括：确定在SDN系统中的前端与业务层之间设置的权限控制模块；通过所述权限控制模块，对所述前端的用户请求进行拦截，校验所述用户请求对应的IP地址是否在白名单中；若所述IP地址在所述白名单中，则检查所述用户请求对应的被请求功能与预先向所述用户分配的操作权限中的功能是否一致；若检查一致，允许所述用户请求执行。

Description

一种基于SDN架构的权限控制方法、系统

技术领域

本申请涉及网络工程领域，尤其涉及一种基于SDN架构的权限控制方法、系统。

背景技术

软件定义网络(Software Defined Network，SDN)框架主要由业务层，控制层，转发层组成。其中业务层提供应用和服务比如网管、安全、流控等服务，控制层提供统一的控制和管理，比如协议计算、策略下发、链路信息收集等，转发层提供硬件设备进行数据转发，比如交换机、路由器、防火墙等。

一般SDN框架的控制层为OpenDaylight控制器平台，即ODL，目前ODL的权限是基于AAA来实现的。

但AAA权限系统只能控制ODL控制器方面的权限，对于基于ODL技术自主开发的SDN软件功能，权限无法覆盖。

发明内容

本发明提供了一种基于SDN架构的权限控制方法、系统，下面进行具体说明。

一种基于SDN架构的权限控制方法，包括：

确定在SDN系统中的前端与业务层之间设置的权限控制模块；

通过所述权限控制模块，对所述前端的用户请求进行拦截，校验所述用户请求对应的IP地址是否在白名单中；

若所述IP地址在所述白名单中，则检查所述用户请求对应的被请求功能与预先向所述用户分配的操作权限中的功能是否一致；

若检查一致，允许所述用户请求执行。

在本申请的一种实施例中，检查所述IP地址对应的用户请求使用的功能和操作权限中的功能是否一致，具体包括：

获得所述用户请求中包含的统一资源定位符URL地址；

将所述URL地址和所述操作权限对应的URL地址进行匹配，确定是否一致。

在本申请的一种实施例中，允许所述用户请求执行，具体包括：

允许所述用户请求执行，调用业务层中的业务功能接口；

接收所述用户请求对所述业务功能接口对应的功能的数据进行的查询、修改、删除、保存的操作。

在本申请的一种实施例中，检查所述用户请求对应的被请求功能与预先向所述用户分配的操作权限中的功能是否一致之前，所述方法还包括：

判断所述用户请求对应的用户角色；

若是管理员，则对所述管理员开放业务层的所有功能。

在本申请的一种实施例中，接收所述管理员的操作，对所述白名单中的IP地址进行增加、删除、修改。

在本申请的一种实施例中，接收所述管理员的操作，对向所述用户分配的操作权限进行增加、删除、修改。

在本申请的一种实施例中，接收管理员设置用户对数据的访问权限，对用户对系统数据的具体操作进行限制。

在本申请的一种实施例中，判断所述IP地址不在白名单时，禁止用户访问系统并作出用户没有权限的提示。

一种基于SDN架构的权限控制系统，包括：

前端，用于给用户展现浏览网页，接收用户操作；

权限控制模块，用于筛选拥有权限的前端用户进入业务层；

业务层，用于为用户提供应用和服务；

控制器层，用于提供统一的控制管理；

物理交换机层，用于提供硬件设备。

在本申请的一种实施例中，所述控制器层使用OpenDaylight控制器平台，所述OpenDaylight控制器平台包括AAA权限系统，所述AAA权限系统仅存在OpenDaylight控制器平台中。

本发明提供了一种基于SDN架构的权限控制方法、系统，是独立于AAA权限系统开发另一套权限系统，用于保护自己开发的功能。ODL内置的AAA权限模块，继续管理ODL模块的权限，SDN软件中自主开发的功能，增加额外的权限模块来管理，从而保证系统的安全和稳定，防止出现安全漏洞和恶意攻击。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种基于SDN架构的权限控制方法步骤流程示意图；

图2为本申请实施例提供的一种包含本发明的权限控制模块的SDN架构示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例对本申请进行清楚、完整的描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在现有技术中，软件定义网络(Software Defined Network，SDN)是一种网络设计理念。网络硬件可以集中式软件管理，可编程化，控制转发层面分开，则可以认为这个网络是一个SDN网络。

本申请的方案可以解决上述问题，下面进行具体说明。

图1为本申请实施例提供的一种基于SDN架构的权限控制方法的步骤流程示意图，可以包括以下步骤：

S101：确定在SDN系统中的前端与业务层之间设置的权限控制模块；

S102：通过权限控制模块，对前端的用户请求进行拦截，校验用户请求对应的IP地址是否在白名单中；

S103：若IP地址在白名单中，则检查用户请求对应的被请求功能与预先向用户分配的操作权限中的功能是否一致；

S104：若检查一致，允许用户请求执行。

本发明的技术效果有：

(1)对所有请求进行拦截，以防止恶意攻击系统，保证了SDN软件研发中自主开发的功能的安全稳定；

(2)通过自定义白名单功能限制IP随意访问SDN系统，防止恶意IP访问系统；

(3)通过赋予用户角色对应的操作权限，控制请求是否允许访问系统，对于不能通过权限匹配的请求，拒绝访问系统。

软件架构设计如图2所示，在前端与业务层之间增加了权限控制模块，防止了恶意攻击导致系统不稳定的情况。图2中用户的前端请求，统一经过权限控制模块隔离，只有被赋予了权限的请求，才能通过权限控制模块，进入到系统内部，调用业务层相应的业务功能接口，查询、保存、修改、删除数据。

用户向业务层发起请求，通过超文本传输协议，即HTTP协议，向业务层发送请求，图2中展示的仅是部分请求，包括Get请求、Post请求、Delete请求等。

通过权限控制模块，首先将用户的请求进行拦截，以防止恶意攻击系统，然后查看用户请求中对应的IP地址是否处于白名单中，白名单中IP地址都是被允许进入系统的，如果该IP地址不存在白名单中，拒绝其请求并通知其没有权限并提醒其若要进入系统需向管理员申请权限。如果该IP地址存在白名单中，再检查该IP地址对应的角色是管理员还是普通用户，之后再检查用户请求对应的被请求功能与预先向用户分配的操作权限中的功能是否一致，判断用户请求对应的用户角色；若是管理员，则对管理员开放业务层的所有功能。由于系统需要有制定、修改使用规则的人，所以用户被赋予不同角色，角色分为管理员和普通用户，管理员可以操作系统内所有功能，普通用户角色只能使用部分功能，普通用户的部分权限是由管理员通过使用业务层相应的业务功能来设置的，对每个普通用户赋予对应的操作权限，操作权限对应的就是例如图2中的使用QOS，流量可视化等功能，操作权限就是可以通过调用业务层相应的业务功能接口来访问业务功能对应的URL地址，一个角色可以拥有多个操作权限，即一个管理员或普通用户可以访问多个业务功能对应的URL地址，同时一个操作权限也可以赋予多个角色，即一个业务功能对应的URL地址可以被不同管理员和普通用户访问。

在本申请的一种实施例中，管理员可以对白名单中的IP地址、向用户分配的操作权限进行增加、删除、修改，普通用户可以使用业务功能进行数据的查询、增加、修改、删除等操作。

也就是说，对更改白名单中的IP地址、向用户分配的操作权限这一功能存在于业务层中，只有管理员才能访问这一功能，当发现白名单中的IP地址存在恶意行为时，将该IP地址从白名单中删除；当有新的IP地址申请进入白名单时，审核其是否符合进入白名单的所有条件，如果符合，将该IP地址增加进白名单中。当白名单中的IP地址对应的普通用户要申请进入某项业务功能时，比如流量可视化功能，由管理员审核该用户是否符合使用流量可视化功能的条件，如果符合，修改普通用户获得流量可视化功能的权限；如果当某个用户使用流量可视化功能的权限到期或不符合使用流量可视化功能权限的条件时，由管理员将该用户使用流量可视化功能的权限删除。

在本申请的一种实施例中，管理员可通过用户的等级对用户对数据的访问权限，对用户对系统数据的具体操作进行限制。比如管理员可以设置用户只能在流量可视化功能中只能使用查询的操作，即只响应用户的GET请求，或不能使用查询的操作，即除了不响应GET请求外，其他请求全部响应；在系统管理中只能使用POST请求，PUT请求等。

在本申请的一种实施例中，首先检查IP地址对应的用户在前端请求访问的URL地址和操作权限的URL地址是否一致，通过用户的请求信息获得用户请求中包含的统一资源定位符URL地址，将URL地址和操作权限对应的URL地址进行匹配，确定用户请求进入的URL地址与操作权限中对应的URL地址是否一致。如果一致则权限匹配通过，用户的请求被继续进入内部系统，如果匹配错误，返回错误并通知用户“没有权限”，并提醒用户若要使用此项功能需向管理员申请权限。只有权限完全通过后，才能响应用户请求，允许用户进入系统内部，访问系统资源。响应用户请求后，调用业务层中的业务功能接口，接收用户请求对业务功能接口对应的功能的数据进行的查询、修改、删除、保存的操作。

以上为本申请实施例提供的一种基于SDN架构的权限控制方法，基于同样的发明思路，本申请实施例还提供了相应的一种基于SDN架构的权限控制系统，如图2所示。

一种基于SDN架构的权限控制系统，包括：

前端，用于给用户展现浏览网页，接收用户操作；

权限控制模块，用于筛选拥有权限的前端用户进入业务层；

业务层，用于为用户提供应用和服务；

控制器层，用于提供统一的控制管理；

物理交换机层，用于提供硬件设备。

如图2所示，前端，用于接收用户的操作，通过超文本传输协议，即HTTP协议，向业务层发送请求，图2中展示的仅是部分请求，包括Get请求、Post请求、Delete请求等。HTTP协议中定义了浏览器和服务器进行交互的不同方法，基本方法有4种，分别是GET，POST，PUT，DELETE。这四种方法可以理解为，对服务器资源的查询，修改，增加，删除。GET：从服务器上获取数据，也就是所谓的查，仅仅是获取服务器资源，不进行修改。POST：向服务器提交数据，这就涉及到了数据的更新，也就是更改服务器的数据。PUT：PUT的英文含义是放置，也就是向服务器新添加数据，就是所谓的增。DELETE：从字面意思也能看出，这种方式就是删除服务器数据的过程。

权限控制模块，用于控制IP地址访问系统，首先将用户的请求进行拦截，查看请求对应的IP地址是否处于白名单中，白名单中IP地址都是被允许进入系统的，如果该IP地址不存在白名单中，拒绝其请求并通知其没有权限并提醒其若要进入系统需向管理员申请权限。如果该IP地址存在白名单中，再检查该IP地址对应的角色是管理员还是普通用户。如果是管理员将对其开放所有权限，如果是普通用户将其要访问的URL地址与其操作权限中对应的URL地址做匹配，如果匹配一致则允许访问。本申请权限控制模块的开发相比于其他的权限控制的软件系统的代码量要少，方便进行维护和升级。

业务层，业务层包括的业务有服务质量(Quality of Service，QOS)、访问控制列表(Access Control List，ACL)、开放式最短路径优先(Open Shortest PathFirst,OSPF)、商业智能仪表盘(business intelligence dashboard，BI dashboard)、拓扑图(Topo图)、服务器监控、Underlay网络、Overlay网络、防火墙(Firewall，FW)、负荷均衡(LoadBalcancing,LB)、流量可视化、系统管理、流量调度等业务功能，一个业务功能对应一个URL地址。

控制器层，控制器层使用OpenDaylight控制器平台，即ODL，OpenDaylight控制器平台包括AAA权限系统，AAA权限系统只存在于ODL控制器平台中。控制器平台还包括一系列功能模块，可动态组合提供不同服务。其中主要包括拓扑管理、转发管理、主机监测、交换机管理等模块。

物理交换机层，按照SDN交换机所支持的南向协议来看，SDN交换机可分为纯SDN交换机(仅支持OpenFlow协议)、混合交换机(支持Open Flow协议和传统网络协议)、自盒SDN交换机、裸交换机。

申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种基于SDN架构的权限控制方法，其特征在于，包括：

确定在SDN系统中的前端与业务层之间设置的权限控制模块；

若检查一致，允许所述用户请求执行。

2.根据权利要求1所述的方法，其特征在于，检查所述IP地址对应的用户请求使用的功能和操作权限中的功能是否一致，具体包括：

获得所述用户请求中包含的统一资源定位符URL地址；

3.根据权利要求1所述的方法，其特征在于，允许所述用户请求执行，具体包括：

允许所述用户请求执行，调用业务层中的业务功能接口；

4.根据权利要求1所述的方法，其特征在于，检查所述用户请求对应的被请求功能与预先向所述用户分配的操作权限中的功能是否一致之前，所述方法还包括：

判断所述用户请求对应的用户角色；

若是管理员，则对所述管理员开放业务层的所有功能。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收所述管理员的操作，对所述白名单中的IP地址进行增加、删除、修改。

6.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收所述管理员的操作，对向所述用户分配的操作权限进行增加、删除、修改。

7.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收管理员设置用户对数据的访问权限，对用户对系统数据的具体操作进行限制。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

判断所述IP地址不在白名单时，禁止用户访问系统并作出用户没有权限的提示。

9.一种基于SDN架构的权限控制系统，其特征在于，包括：

前端，用于给用户展现浏览网页，接收用户操作；

权限控制模块，用于筛选拥有权限的前端用户进入业务层；

业务层，用于为用户提供应用和服务；

控制器层，用于提供统一的控制管理；

物理交换机层，用于提供硬件设备。

10.根据权利要求9所述的系统，其特征在于，所述系统还包括：

所述控制器层使用OpenDaylight控制器平台，所述OpenDaylight控制器平台包括AAA权限系统，所述AAA权限系统仅存在OpenDaylight控制器平台中。