WO2018201367A1 - 节点认证方法及节点认证系统 - Google Patents

节点认证方法及节点认证系统 Download PDF

Info

Publication number
WO2018201367A1
WO2018201367A1 PCT/CN2017/082981 CN2017082981W WO2018201367A1 WO 2018201367 A1 WO2018201367 A1 WO 2018201367A1 CN 2017082981 W CN2017082981 W CN 2017082981W WO 2018201367 A1 WO2018201367 A1 WO 2018201367A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
unauthenticated
authentication
newly added
network cluster
Prior art date
Application number
PCT/CN2017/082981
Other languages
English (en)
French (fr)
Inventor
董孔明
梁艳艳
Original Assignee
深圳前海达闼云端智能科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 深圳前海达闼云端智能科技有限公司 filed Critical 深圳前海达闼云端智能科技有限公司
Priority to PCT/CN2017/082981 priority Critical patent/WO2018201367A1/zh
Priority to CN201780000717.8A priority patent/CN107278364B/zh
Publication of WO2018201367A1 publication Critical patent/WO2018201367A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint

Definitions

  • the present application relates to the field of network data transmission technologies, and in particular, to a node authentication method and system thereof.
  • firewall rules that allow only the same nodes to communicate with each other are usually set on each node. This can usually be done by manually adding access rules.
  • the method of manually adding rules the efficiency of the rule addition is low and error-prone, especially when the network cluster is large and the number of nodes that need to process authentication is gradually increasing, the method of manually adding the access rule has very limited reliability.
  • Multicast all nodes are added to a multicast, and legal identity authentication is performed within the multicast.
  • the inventor found that if the timing synchronization method is adopted, since all nodes need to be synchronized with a certain server at a certain timing, the authentication occupies high resources, and needs to reside in the system for a long time, occupying system resources and Cause waste.
  • the above method is a central network architecture, the security factor is low, and once the server serves as a center, problems or multicast Being attacked will affect the normal operation of the entire network cluster.
  • the embodiments of the present application mainly solve the problem that the node authentication takes up high resources and is vulnerable to attacks in the related art.
  • a technical solution adopted by the embodiment of the present application is to provide a node authentication method, which is applied to a network cluster, where the network cluster includes several nodes.
  • the method includes: adding a new node to the network cluster, and obtaining an optimal path between the newly added node and an unauthenticated node of the network cluster by using a greedy algorithm; the optimal path includes the newly added node and Paths of all unauthenticated nodes; according to the optimal path, node authentication between the unauthenticated node and the newly added node is sequentially completed.
  • a node authentication system which is applied to a network cluster, where the network cluster includes several nodes.
  • the system includes: a node adding module, configured to add a new node to the network cluster, and a detecting module, configured to obtain an optimal path between the newly added node and an unauthenticated node of the network cluster by using a greedy algorithm;
  • the optimal path is a path including the newly added node and all the unauthenticated nodes;
  • the node authentication module is configured to sequentially perform node authentication between the unauthenticated node and the newly added node according to the optimal path.
  • the node authentication method and system thereof provided by the embodiments of the present application can quickly and effectively complete the node authentication process between the newly added node and the system node based on the principle of the Snake. Moreover, the newly added node and the system node after authentication do not have a specific attack object, and the security is good.
  • FIG. 1 is a schematic diagram of an application environment provided by an embodiment of the present application.
  • FIG. 2 is a flowchart of a method for a node authentication method according to an embodiment of the present application
  • FIG. 3 is a flowchart of a method for searching for an optimal path provided by an embodiment of the present application
  • FIG. 4 is a functional block diagram of a node authentication system provided by an embodiment of the present application.
  • FIG. 5 is a structural block diagram of a server provided by an embodiment of the present application.
  • the network cluster refers to an overall network group formed by a plurality of distributedly arranged nodes being associated with each other and combined.
  • a network cluster can provide a variety of different services or applications to a user by utilizing one or more of the nodes based on the plurality of nodes it contains.
  • the network cluster may be any suitable type of group having any number of nodes, for example, a Virtual Backbone Network (VBN).
  • VBN Virtual Backbone Network
  • the virtual backbone network is equivalent to a global network service set up in the world.
  • FIG. 1 is an application environment of a VBN network according to an embodiment of the present application.
  • a plurality of nodes such as servers located in various regions of the world are included, and communication connections are established based on a public network (such as the Internet) or other methods to implement network interworking.
  • the application environment includes: a plurality of system nodes 10 and a new node 20.
  • the system nodes 10 operate independently on a public network and belong to the same VBN network. Each node has an interconnected, secure network path that enables data transfer between any two nodes. For example, based on the VBN network, the available network resources distributed around the world can be formed into an acceleration network with a large coverage area, and any application can be forwarded to the corresponding source station with an appropriate or optimal path at an extremely fast speed. (ie Application Delivery Network ADN, Application Delivery Networking).
  • the system node 10 can It is a device that provides acceleration services for any type of server, virtual machine, etc., and acts like a point of presence.
  • the system node 10 can provide at least one service or application, such as a search for a particular database. Applications provided by different system nodes 10 can be obtained or used by system nodes 10 through interconnected network paths.
  • a node authentication process between any two of the two is performed between the system nodes 10 in the same VBN network. That is, any two nodes have been mutually authenticated.
  • the rule can be set to allow only access between the system nodes and reject any other external access requests to ensure the stability and data security of the VBN network.
  • TAC Transparent Acceleration Cloud
  • ADN acceleration ADN acceleration
  • each system node is interconnected, and there is no additional rule center (multicast or server).
  • multicast or server multicast or server
  • a certain system node 10 is represented by the name of the region, including five system nodes 10 of North America, Europe, Beijing, Tokyo, and South Africa.
  • some system nodes may be further added or reduced, and are not limited to the system nodes shown in FIG. 1.
  • the company has branches in Guangzhou, Shenzhen, and Hangzhou, it can also increase the system nodes of these divisions.
  • the newly added node 20 refers to a system node that is not in the original VBN network. As mentioned above, as the company's development or scale changes, the corresponding system nodes also need to change accordingly. Therefore, for the original VBN network, some new nodes need to be added to meet the needs of practical applications.
  • the newly added node needs to complete the authentication with all the original nodes, and join the system node to gain the access to other system nodes 10.
  • the node authentication process can be considered as an authentication process, and the specific The right method is done.
  • the newly added node 20 packs its own node related information, such as IP, MAC address, identity information, etc., and sends it as a data packet to other system nodes.
  • the system node After receiving the data packet, the system node performs a specific judgment or authentication process according to the node related information, determines the legitimacy of the newly added node, and completes the node authentication.
  • the newly added node 20 (South America) needs to complete node authentication with the other five system nodes 10 and join the VBN network.
  • the above data packet delivery process can be completed in various ways. That is, the data packet of the newly added node 20 needs to reach each system node 10.
  • a plurality of different policies may be used to complete the node authentication process of the newly added node. Different node authentication policies may result in different delays (time consumed) or system resource consumption.
  • the application environment provided by the embodiment of the present application may also be applied to other similar products or industries, and is not limited to the application delivery network ADN based on the virtual backbone network VBN.
  • it can be further applied to industries or products related to content delivery network (CDN), virtual private cloud (VPC), or computing resource cloud service, which need to manage or authenticate multiple different nodes. in.
  • CDN content delivery network
  • VPC virtual private cloud
  • computing resource cloud service which need to manage or authenticate multiple different nodes. in.
  • the node authentication method provided in the embodiment of the present application may be applied to deliver the data packet to each system node to obtain lower delay and system resource consumption. .
  • the node authentication method may include the following steps:
  • the authentication information may be any type of information used to identify or distinguish a node, such as an IP address, a MAC address, or a node identity information of a node.
  • the distance refers to the transmission and communication speed of data between two nodes. The faster the transmission speed, the shorter the communication distance between the two nodes, and the faster response between the nodes.
  • the communication distance can be measured by any suitable means including, but not limited to, RTT values and the like.
  • the authentication request may specifically be a data packet including authentication information. Of course, in some embodiments, other related data instructions may be further included.
  • the first system node may complete the node authentication of the newly added node by the first system node after the matching authentication is completed.
  • the first system node may forward the received authentication request, such as the data packet, to the second system node.
  • the second system node After receiving the authentication request and completing the node authentication of the newly added node, the second system node forwards the node authentication request to the system node that has the closest communication distance with the second system, starting from the second system node.
  • the newly added node After the node authentication is completed between the newly added node 20 and all the system nodes 10, the newly added node becomes a TAC node, and can access each system node without being denied access request. That is, a new VBN network containing new nodes is formed.
  • the new node is first used as a starting point to "eat” the system node closest to the newly added node (ie, complete node authentication). Then, the next node is “eaten” in turn until all the system nodes in the VBN network are “eaten”, so that the newly added node is added to the VBN network.
  • the principle of the Snake can be understood as the optimal path acquisition process based on the greedy algorithm.
  • the initial solution of the greedy algorithm corresponds to an optimal path between the newly added node and the system node in the VBN network (the communication distance is the shortest).
  • the sub-problem of the greedy algorithm corresponds to sequentially searching for the system nodes with the shortest communication distance among the remaining system nodes, thereby completing the node authentication of all the system nodes by the newly added nodes step by step.
  • the node authentication process is synthesized by each local optimal solution.
  • the new node 20 is South American, first with the closest system node. North American certification, then the system node (North America) and the nearest European certification, and then the next best selection system node South Africa, Beijing and Tokyo certification, complete the certification process of the new node.
  • the node authentication method provided by the embodiment of the present application completes the node authentication based on the shortest communication distance each time. Therefore, during the entire node authentication process, the forwarding path of the data packet must be the shortest in the entire VBN network, and the optimal path of all nodes can be connected. In this way, the node authentication method using the shortest path is fast and efficient.
  • the firewall rule is that only the TAC nodes that have been authenticated by each other can transmit data, and all external request accesses are rejected, which is considered illegal access.
  • each system node is interconnected without setting up an additional rule center (multicast or server).
  • multicast or server In such a VBN network, there is no specific attack object, and the probability of being attacked is low, and the security level is also high.
  • the goal is to find an optimal forwarding path of the authentication request that can be used, so as to be applicable to the number of nodes that are constantly expanding in the VBN network.
  • FIG. 3 is a flowchart of a method for searching for an optimal forwarding path according to an embodiment of the present application. As shown in FIG. 3, the method includes:
  • RTT is the abbreviation of Round-Trip Time.
  • the RTT value is an important performance indicator, which means that the data sent from the sender starts, and the sender receives the acknowledgment from the receiver (the receiver sends the acknowledgment immediately after receiving the data), and the total delay is experienced. . Therefore, the RTT value can represent the distance between two nodes or the state of communication.
  • the path has a smaller RTT value and the sum indicates that the path is a better path, and the signal or packet transfer takes less time. Therefore, the optimal path for finding the connected node can be converted to determine the sum of the minimum RTT values. The path to all nodes.
  • the path with all system nodes connected to the sum of the minimum RTT values can be determined by the following steps (based on the principle of the Snake above):
  • the 340 Link the system node with the lowest RTT value between the initiating node and the initiating node.
  • the RTT value is used as the criterion for judging, and the path having a small RTT value is taken as the optimal path.
  • the management system initiates an RTT probe on each of the initiating nodes in turn until all nodes in the management system are connected.
  • steps 330-350 a local optimization process is performed to find the optimal subpath in each extension of the path, thereby obtaining a path with the smallest total RTT.
  • the path with the smallest total RTT value is the optimal forwarding path for the authentication request (the time for node authentication is the shortest).
  • the embodiment of the present application uses the RTT value between two nodes as a criterion for judging the optimization.
  • other suitable, different types of judgment criteria may be used according to actual needs, such as adding weight coefficients to certain nodes, and the like.
  • the RTT detection method provided by the embodiment of the present application is only a small data packet, and the burden on the system resources is small, and does not consume excessive system resources.
  • the embodiment of the present application further provides a node authentication system.
  • the node authentication system includes: a detection module 100, an authentication information sending module 200, a node authentication module 300, and a node adding module 400.
  • the node adding module 400 is configured to join the node to join the network cluster.
  • the detection module 100 operates in a management system for performing the RTT detection operation and comparing different RTT values.
  • the authentication information sending module 200 is disposed in each node (including the newly added node and the system node), after the RTT detecting module 100 determines the path, sends the authentication information data packet to the corresponding node, and requests the node to authenticate.
  • the node authentication module 300 is configured to obtain node information related to the newly added node by using some data conversion or processing method (such as parsing) according to the authentication information data packet, and after verification or authentication, complete the new node. Node authentication.
  • the node authentication system may also add or subtract some additional functional modules according to actual conditions, and is not limited to the modules 100-400 provided by the embodiments of the present application.
  • the node authentication method and the node authentication system provided in the above embodiments are all based on the same inventive concept. Therefore, the steps of the specific embodiments in the mapping method may be performed by the corresponding function modules, and the specific functions in the function module may also have corresponding method steps in the map drawing method, and details are not described herein again.
  • FIG. 5 is a schematic structural diagram of hardware of an electronic device according to an embodiment of the present disclosure. As shown in FIG. 5, the device 50 includes: one or more processors 510 and a memory 520, and one processor 510 is taken as an example in FIG.
  • the processor 510 and the memory 520 may be connected through a bus or other manners, and the bus connection is taken as an example in FIG. 5 .
  • the memory 520 is a non-volatile computer readable storage medium, and can be used for storing non-volatile software programs, non-volatile computer-executable programs, and modules, such as program instructions corresponding to the node authentication method in the embodiment of the present application.
  • / Module for example, the detection module 100, the authentication information transmission module 200, the node authentication module 300, and the node addition module 400 shown in FIG. 4.
  • the processor 510 executes various functional applications and data processing of the server by running non-volatile software programs, instructions, and modules stored in the memory 520, that is, implementing the above-described method embodiment node authentication method.
  • the memory 520 may include a storage program area and an storage data area, wherein the storage program area may store an operating system, an application required for at least one function; the storage data area may store data created according to usage of the node authentication system, and the like. Further, the memory 520 may include a high speed random access memory, and may also include a nonvolatile memory such as at least one magnetic disk storage device, flash memory device, or other nonvolatile solid state storage device. In some embodiments, memory 520 can optionally include memory remotely located relative to processor 510, which can be connected to the node authentication system over a network. Examples of such networks include, but are not limited to, the Internet, intranets, local area networks, mobile communication networks, and combinations thereof.
  • the one or more modules are stored in the memory 520, and when executed by the one or more processors 510, perform a node authentication method in any of the above method embodiments.
  • An embodiment of the present application provides a computer program product, including a computing program stored on a non-transitory computer readable storage medium, the computer program comprising program instructions, when the program instructions are executed by a computer,
  • the computer performs the node authentication method in any of the above method embodiments, for example, performing the method steps 100-700 of FIG. 1 described above to implement the functions of the modules 100-400 of FIG.
  • the device embodiments described above are merely illustrative, wherein the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, ie may be located A place, or it can be distributed to multiple network units. Some or all of the modules may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Abstract

本申请实施例公开了一种节点认证方法及节点认证系统，应用在网络集群，所述网络集群包括若干节点。所述方法包括：新增节点加入所述网络集群；通过贪婪算法，获取所述新增节点与网络集群的未认证节点之间的最优路径；所述最优路径为包括所述新增节点和所有未认证节点的路径；根据所述最优路径，依次完成所述未认证节点与所述新增节点间的节点认证。其基于贪食蛇的原理，能够快速有效的完成新增节点与系统节点之间的节点认证过程。

Description

节点认证方法及节点认证系统 技术领域
本申请涉及网络数据传输技术领域，特别是涉及节点认证方法及其系统。
背景技术
在现有的网络数据传输技术领域中，为充分利用各地的网络资源或者计算资源，可以将这些资源组合为一个整体网络，形成一个网络集群。这样的网络集群中，拥有非常多的节点。这些网络节点均布置在公网上。在公共网络中的节点很容易遭受黑客等的攻击，而节点被攻陷会导致失去可用节点或者数据丢失、技术秘密泄露等。
因此，为保障每个节点的安全性，通常在各节点上设置只允许同为节点可以互通的防火墙规则。通常可以采用手工添加访问规则的方法来完成。但是这样手工添加规则的方法，规则添加的效率低下而且容易出错，尤其是在网络集群规模庞大，需要处理认证的节点数量逐渐增加时，手动添加访问规则的方法可靠性非常有限。
在面对规模庞大的网络集群时，现有如下两种改进的方法来解决手工添加访问规则的问题：
1)定时同步，将数据设置在一个服务端，其它所有节点定时与服务端进行数据同步。
2)组播，将所有的节点加入一个组播，组播内进行合法身份认证。
发明人在研究现有技术的过程中发现：若采用定时同步的方法，由于所有节点都需要定时与某个服务端进行同步，认证占用资源高，需要长期驻留在系统中，占用系统资源并造成浪费。另外，由于上述方法是中心网络架构，安全系数较低，一旦作为中心的服务端出问题或者组播 被攻击，将影响整个网络集群的正常运行。
发明内容
本申请实施例主要解决相关技术中节点认证占用资源高，容易受攻击的问题。
为解决上述技术问题，本申请实施例采用的一个技术方案是：提供一种节点认证方法，应用在网络集群，所述网络集群包括若干节点。该方法包括：新增节点加入所述网络集群，通过贪婪算法，获取所述新增节点与网络集群的未认证节点之间的最优路径；所述最优路径为包括所述新增节点和所有未认证节点的路径；根据所述最优路径，依次完成所述未认证节点与所述新增节点间的节点认证。
为解决上述技术问题，本申请实施例采用的另一个技术方案是：提供一种节点认证系统，应用在网络集群，所述网络集群包括若干节点。该系统包括：节点新增模块，用于将新增节点加入所述网络集群，探测模块，用于通过贪婪算法，获取所述新增节点与网络集群的未认证节点之间的最优路径；所述最优路径为包括所述新增节点和所有未认证节点的路径；节点认证模块，用于根据所述最优路径，依次完成所述未认证节点与所述新增节点间的节点认证。
本申请实施例提供的节点认证方法及其系统，基于贪食蛇的原理，能够快速有效的完成新增节点与系统节点之间的节点认证过程。而且，认证后的新增节点与系统节点不存在一个特定的攻击对象，安全性好。
附图说明
一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定，附图中具有相同参考数字标号的元件表示为类似的元件，除非有特别申明，附图中的图不构成比例限制。
图1是本申请实施例提供的应用环境示意图；
图2为本申请实施例提供的节点认证方法的方法流程图；
图3是本申请实施例提供的最优路径寻找方法的方法流程图；
图4是本申请实施例提供的节点认证系统的功能框图；
图5是本申请实施例提供的服务器的结构框图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。
在本发明实施例中，所述网络集群指由多个分布式设置的节点相互关联、组合形成的一个整体网络群组。网络集群可以基于其包含的多个节点，通过利用其中的一个或者多个节点，向用户提供多种不同的服务或者应用。所述网络集群具体可以是任何合适类型的，具有任意数量的节点构成的群组，例如，虚拟骨干网VBN(Virtual Backbone Network VBN)。
其中，虚拟骨干网相当于一张架设在全球的基础网络服务，该服务上有很多节点，例如：华南电信、东北移动、日本XX、美国XX等等，这些节点共同组成一张可以为客户提供加速功能的网络，应用可以把所有节点中作为转发跳板，从而快速的到达源站。
为陈述简便，以下以虚拟骨干网为例，详细描述本发明实施例提供，在网络集群中应用的节点认证方法及节点认证装置。图1为本申请实施例提供的VBN网络的应用环境。在该网络集群中，包含了多个位于全球各个地区的节点(如服务器)，其基于公网(如互联网)或者其它方式建立通信连接，实现网络互通。如图1所示，该应用环境包括：若干系统节点10以及新增节点20。
所述系统节点10独立的运行在公共网络上，属于同一个VBN网络。各个节点之间具有相互连接，安全的网络通路，可以实现任意两个节点间的数据传输。例如，基于该VBN网络，可以将分布在全球的可利用网络资源组成一个具有巨大覆盖面积的加速网络，能够以极快的速度，将任意的应用采用合适或者最优路径转发到达对应的源站(即应用交付网络ADN，Application Delivery Networking)。所述系统节点10可以 是任何类型的服务器、虚拟机等用以提供加速服务的设备，充当类似于入网点(point of presence)的角色。
所述系统节点10可以提供至少一项服务或者应用，例如特定数据库的搜索。系统节点10之间可以通过相互连接的网络通路，获取或者使用不同系统节点10提供的应用。
在同一个VBN网络中的系统节点10之间经过了任意两两之间的节点认证过程。亦即任意两个节点之间均已经相互认证。这样的，对于任意一个系统节点而言，可以设置规则为仅允许系统节点间的访问而拒绝其它任何的外部访问请求以保证VBN网络的稳定和数据安全。
例如，当节点同为TAC节点时，才允许访问。TAC(Transparent Acceleration Cloud,透明加速云)是一种基于ADN加速的网络服务产品，其应用了上述VBN的基础设备。
基于上述节点的设置规则，在整个VBN网络中，各个系统节点之间是相互联系的，不存在额外规则中心(组播或者服务端)。这样的VBN网络中，不存在特定的攻击对象，被攻击的概率较低，也具有较高的安全程度。
如图1所示，在本应用环境中，使用所属地域名称表示某个系统节点10，包括北美、欧洲、北京、东京以及南非这5个系统节点10。当然，在实际情况中，还可以进一步的添加或者减省一些系统节点，而不限于图1所示的系统节点。例如，公司具有广州、深圳以及杭州分部时，还可以增加这些分部的系统节点。
所述新增节点20是指不在原VBN网络中的系统节点。如上所述，随着公司的发展或者规模的变化，对应的系统节点也需要对应的发生变化。因此，对于原VBN网络，需要新增加某些节点以适应实际应用的需要。
由于原有VBN网络的访问限制。因此，新增节点需要与原有的全部节点完成认证，加入成为系统节点，才能获得访问其它系统节点10的权限。
所述节点认证过程可以认为是一个鉴权过程，其具体可以采用任何 合适的方法完成。通常的，新增节点20会将自身的节点相关信息，例如IP、MAC地址、身份信息等打包，作为数据包发送到其它的系统节点中。系统节点接收到该数据包后，根据节点相关信息，执行特定的判断或者鉴权过程，确定新增节点的合法性并完成节点认证。
如图1所示，在本实施例提供的应用环境中，新增节点20(南美)需要与其它5个系统节点10均完成节点认证，加入到VBN网络中。为实现新增节点20与其它系统节点10之间的认证过程，可以通过多种方式完成上述数据包的传递过程。亦即新增节点20的数据包需要到达各个系统节点10中。具体可以采用多种不同的策略来完成新增节点的节点认证过程，采用不同的节点认证策略会导致不同的时延(消耗的时间)或者系统资源消耗。
应该说明的是，本申请实施例提供的应用环境还可以应用于其它相类似的产品或者行业中，而不限于基于虚拟骨干网络VBN上的应用交付网络ADN。例如，还可以进一步的应用到内容分发网络(Content Delivery Network CDN)、虚拟私有云(Virtual Private Cloud VPC)或者计算资源云服务等相关的，需要对多个不同节点进行管理或者认证的行业或者产品中。
在图1所示的应用环境中，可以应用图2所示的，本申请实施例提供的节点认证方法，将所述数据包传递到各个系统节点中以获得更低的时延和系统资源消耗。
如图2所示，该节点认证方法可以包括如下步骤：
100：制作包含待认证的新增节点认证信息的认证信息数据包。所述认证信息可以为任何类型的，用于标识或者区分节点的信息，例如节点的IP地址、MAC地址或者节点身份信息等。
200：以新增节点为起点，确定与新增节点之间距离最近的第一系统节点。所述距离是指两个节点之间的数据的传输、通信速度。传输速度越快，表示两个节点之间的通信距离较短，节点之间可以更快的响应请求。该通信距离可以通过任何合适的方式衡量，包括但不限于RTT值等。
300：向所述第一系统节点发送认证请求。所述认证请求具体可以为包含认证信息的数据包。当然，在一些实施例中，还可以进一步包括其它一些相关的数据指令。所述第一系统节点接收到该认证请求后，在匹配鉴权完毕后，可以完成第一系统节点对新增节点的节点认证。
400：在第一系统节点和待认证节点完成节点认证后，以第一系统节点为起点，确定与第一系统节点之间通信距离最近的第二系统节点。
500：由第一系统节点向所述第二系统节点发送其接收获得的认证请求。所述第一系统节点可以将接收到的认证请求，例如所述数据包全部转发至第二系统节点中。
600：第二系统节点接收到认证请求并完成对新增节点的节点认证后，以第二系统节点为起点，向与第二系统之间通信距离最近的系统节点转发该节点认证请求。
700：重复进行步骤400-600，直至VBN网络中的全部系统节点均接收到该认证请求并完成对新增节点的节点认证。
在新增节点20与全部系统节点10之间均完成节点认证后，新增节点便成为了TAC节点，能够与任意一个系统节点相互访问而不会被拒绝访问请求。亦即组成了一个包含有新增节点的新的VBN网络。
在图2所示的本申请实施例提供的节点认证方法中，使用了与贪食蛇相类似的原理。亦即，在每次进行节点认证的过程中，首先以新增节点为起点，“吃”掉距离新增节点最近的系统节点(即完成节点认证)。然后，依次“吃”掉下一个距离最近的节点直至VBN网络中所有的系统节点均被“吃”掉，令所述新增节点加入到VBN网络中。
该贪食蛇原理可以理解为基于贪婪算法的最优路径获取过程。在本申请实施例提供的方法中，贪婪算法的初始解对应为新增节点与VBN网络中的系统节点之间的最优路径(通信距离最短)。在延伸阶段，贪婪算法的子问题相对应为依次寻找剩余的系统节点中，通信距离最短的系统节点，从而一步步的完成新增节点对全部系统节点的节点认证。该节点认证过程由每个局部最优解合成。
例如如图1所示，新增节点20南美，首先与距离最近的系统节点 北美认证，然后系统节点(北美)与距离最近的欧洲认证，然后依次与下一个最优选择系统节点南非、北京以及东京认证，完成新增节点的认证过程。
通过本申请实施例提供的节点认证方法，一方面，由于每次都基于最短通信距离完成节点认证。因此，整个节点认证过程中，数据包的转发路径必然是整个VBN网络中最短的，能够连结所有节点的最优路径。这样的，使用最短路径的节点认证方式具有快速高效的特点。
另一方面，由于只有在具有新增节点的情况下，才需要重新对新增节点进行认证。因此，与现有使用的规则更新方法相区别的是，这样的节点认证方法不会长期驻留在系统中，占用系统资源。
在完成节点认证的VBN网络中，防火墙规则为：只有经过相互认证后的TAC节点之间才能进行数据传输，外部的请求访问全部拒绝，认为是非法访问。整个VBN网络中，各个系统节点之间是相互联系的，不用设置额外规则中心(组播或者服务端)。这样的VBN网络中，不存在特定的攻击对象，被攻击的概率较低，也具有较高的安全程度。
根据上述实施例公开的节点认证方法，在节点认证过程中，目标在于寻找到能够使用的，认证请求的最优转发路径，以尽可能的适用于VBN网络中不断膨胀的节点数量。
图3为本申请实施例提供的，最优转发路径寻找方法的方法流程图。如图3所示，该方法包括：
310：将新增节点加入到管理系统中。
320：通过管理系统从新增节点发起一次RTT探测。RTT是往返时延的简称(Round-Trip Time)。在计算机网络中，RTT值是一个重要的性能指标，其表示从发送端发送数据开始，到发送端收到来自接收端的确认(接收端收到数据后便立即发送确认)，总共经历的时延。因此，可以通过RTT值可以代表两个节点之间的距离或者通信的状态。
可以理解的，在连结节点的不同路径中，路径具有较小的RTT值总和表示该路径是较优的路径，信号或者数据包传递的耗时较少。因此，寻找连结节点的最优路径可以转化为确定具有最小RTT值总和的，连结 了所有节点的路径。
由此，可以通过如下步骤(基于上述贪食蛇的原理)，确定具有最小RTT值总和的，连结有所有系统节点的路径：
330：根据所述RTT探测结果，选择RTT值最小的系统节点作为下一个RTT探测的发起节点。
340：连结所述发起节点和与发起节点之间的RTT值最小的系统节点。在本实施例中，以RTT值作为判断标准，将RTT值小的路径作为最优路径。
350：管理系统依次在每个发起节点上发起RTT探测，直至管理系统中的全部节点均被连结。步骤330-350中，是一个局部寻优的过程，在路径的每一次延伸中均寻找其最优的子路径，从而获得RTT总值最小的路径。该RTT总值最小的路径即为认证请求的最优转发路径(节点认证耗费的时间最短)。
本申请实施例使用了两个节点间的RTT值作为寻优的判断基准。在另一些实施例中，还可以根据实际情况的需要，使用其它合适的，不同类型的判断基准，例如对某些节点增加权重系数等。本申请实施例提供的RTT探测的方式只是一个很小的数据包，对于系统资源的负担较小，不会消耗过多的系统资源。
本申请实施例还提供了一种节点认证系统。如图4所示，所述节点认证系统包括：探测模块100、认证信息发送模块200、节点认证模块300以及节点新增模块400。
所述节点新增模块400用于将增节点加入所述网络集群。所述探测模块100运行在管理系统中，用于执行所述RTT探测操作以及比较不同的RTT值。所述认证信息发送模块200设置在各个节点中(包括新增节点和系统节点)在RTT探测模块100确定路径后，将认证信息数据包发送到对应的节点，请求节点认证。所述节点认证模块300用于根据认证信息数据包，通过一些数据转换或者处理方法(如解析)，获取其中与新增节点相关的节点信息，并经过校验或者认证后，完成对新增节点的节点认证。
在另一些实施例中，所述节点认证系统还可以根据实际情况增加或者减省一些额外的功能模块，而不限于本申请实施例提供的模块100-400。
应当说明的是，上述实施例中提供的节点认证方法和节点认证系统均是基于相同的发明构思。因此，地图绘制方法中各个具体实施例的步骤均可以由对应的功能模块所执行，功能模块中具体的功能也可以在所述地图绘制方法中具有对应的方法步骤，在此不再赘述。
图5为本申请实施例提供的电子设备的硬件结构示意图。如图5所示，该设备50包括：一个或多个处理器510以及存储器520，图5中以一个处理器510为例。
其中，处理器510、存储器520可以通过总线或者其他方式连接，图5中以通过总线连接为例。
存储器520作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块，如本申请实施例中的节点认证方法对应的程序指令/模块(例如，图4所示的探测模块100、认证信息发送模块200、节点认证模块300以及节点新增模块400)。处理器510通过运行存储在存储器520中的非易失性软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例节点认证方法。
存储器520可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据节点认证系统的使用所创建的数据等。此外，存储器520可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器520可选包括相对于处理器510远程设置的存储器，这些远程存储器可以通过网络连接至节点认证系统。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
所述一个或者多个模块存储在所述存储器520中，当被所述一个或者多个处理器510执行时，执行上述任意方法实施例中的节点认证方法。
上述产品可执行本申请实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本申请实施例所提供的方法。
本申请实施例提供了一种计算机程序产品，包括存储在非易失性计算机可读存储介质上的计算程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时时，使所述计算机执行上述任意方法实施例中的节点认证方法，例如，执行以上描述的图1中的方法步骤100-700，实现图2中的模块100-400的功能。
以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。
通过以上的实施方式的描述，本领域普通技术人员可以清楚地了解到各实施方式可借助软件加通用硬件平台的方式来实现，当然也可以通过硬件。本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
最后应说明的是：以上实施例仅用以说明本申请的技术方案，而非对其限制；在本申请的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本申请的不同方面的许多其它变化，为了简明，它们没有在细节中提供；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

Claims (16)

  1. 一种节点认证方法，应用在网络集群，所述网络集群包括若干节点，其特征在于，包括：
    新增节点加入所述网络集群；
    通过贪婪算法，获取所述新增节点与网络集群的未认证节点之间的最优路径，所述最优路径为包括所述新增节点和所有未认证节点的路径；
    根据所述最优路径，依次完成所述未认证节点与所述新增节点间的节点认证。
  2. 根据权利要求1所述的节点认证方法，其特征在于，所述贪婪算法具体包括：初始解阶段和延伸阶段；
    所述初始解阶段包括：
    在网络集群中，确定与新增节点距离最短的未认证节点为初始节点；
    向所述初始节点发送所述新增节点的认证请求；
    在所述认证请求鉴权成功时，所述未认证节点认证所述新增节点，成为已认证节点；
    所述延伸阶段包括：
    在网络集群中，确定与已认证节点距离最短的未认证节点；
    向与所述与已认证节点距离最短的未认证节点转发所述认证请求；
    在所述认证请求鉴权成功时，所述未认证节点认证所述新增节点，成为已认证节点；
    在所述网络集群存在未认证节点时，重复执行所述延伸阶段操作。
  3. 根据权利要求2所述的方法，其特征在于，所述方法还包括：在所述网络集群不存在未认证节点时，结束所述新增节点的节点认证。
  4. 根据权利要求2所述的方法，其特征在于，所述在网络集群中，确定与新增节点距离最短的未认证节点为初始节点，具体包括：
    在所述新增节点上发起RTT探测，获取所述网络集群中的未认证节点的RTT值；
    确定所述RTT值最小的未认证节点为初始节点。
  5. 根据权利要求2所述的方法，其特征在于，所述在网络集群中，确定与已认证节点距离最短的未认证节点，具体包括：
    在所述已认证节点上发起RTT探测，获取所述网络集群中的未认证节点的RTT值；
    确定所述RTT值最小的未认证节点为与已认证节点距离最短的未认证节点。
  6. 根据权利要求1-5任一所述的方法，其特征在于，所述认证请求包括：所述新增节点的IP地址、MAC地址和身份信息。
  7. 根据权利要求4或5所述的方法，其特征在于，所述在所述网络集群存在未认证节点时，重复执行所述延伸阶段操作，具体包括：
    在网络集群中，在最新的已认证节点上向其余未认证节点发起RTT探测；
    获取其余未认证节点的RTT值；
    向RTT值最小的未认证节点转发所述认证请求；
    根据所述认证请求，RTT值最小的未认证节点与所述新增节点认证，成为所述最新的已认证节点。
  8. 一种节点认证系统，应用在网络集群，所述网络集群包括若干节点，其特征在于，包括：
    节点新增模块，用于将新增节点加入所述网络集群；
    探测模块，用于通过贪婪算法，获取所述新增节点与网络集群的未认证节点之间的最优路径；所述最优路径为包括所述新增节点和所有未认证节点的路径；
    节点认证模块，用于根据所述最优路径，依次完成所述未认证节点与所述新增节点间的节点认证。
  9. 根据权利要求8所述的节点认证系统，其特征在于，所述系统还包括认证信息发送模块，所述贪婪算法具体包括：初始解阶段和延伸阶段；
    所述探测模块，具体用于：
    在初始解阶段：在网络集群中，确定与新增节点距离最短的未认证节点为初始节点；
    在延伸阶段：在网络集群中，确定与已认证节点距离最短的未认证节点；
    所述认证信息发送模块具体用于：
    在初始解阶段：所述向所述初始节点发送所述新增节点的认证请求；
    在延伸阶段：向与所述与已认证节点距离最短的未认证节点转发所述认证请求；
    所述节点认证模块具体用于：在所述认证请求鉴权成功时，所述未认证节点认证所述新增节点，成为已认证节点；
    在所述网络集群存在未认证节点时，所述探测模块和所述认证信息发送模块重复执行所述延伸阶段操作。
  10. 根据权利要求9所述系统，其特征在于，在所述网络集群不存在未认证节点时，所述探测模块和认证信息发送模块结束所述新增节点的节点认证。
  11. 根据权利要求9所述系统，其特征在于，所述探测模块具体用于：
    在所述新增节点上发起RTT探测，获取所述网络集群中的未认证节点的RTT值；确定所述RTT值最小的未认证节点为初始节点。
  12. 根据权利要求9所述的系统，其特征在于，所述探测模块具体用于：在所述已认证节点上发起RTT探测，获取所述网络集群中的未认证节点的RTT值；确定所述RTT值最小的未认证节点为与已认证节点距离最短的未认证节点。
  13. 根据权利要求8-12任一所述的系统，其特征在于，所述认证请求包括：所述新增节点的IP地址、MAC地址和身份信息。
  14. 根据权利要求11或12所述的系统，其特征在于，
    所述探测模块具体用于：
    在网络集群中，在最新的已认证节点上向其余未认证节点发起RTT探测；
    获取其余未认证节点的RTT值；
    所述认证信息发送模块具体用于：向RTT值最小的未认证节点转发所述认证请求；
    所述节点认证模块具体用于，根据所述认证请求，RTT值最小的未认证节点与所述新增节点认证，成为所述最新的已认证节点。
  15. 一种服务器，其特征在于，包括：
    至少一个处理器；以及，
    与所述至少一个处理器通信连接的存储器；其中，
    所述存储器存储有可被所述至少一个处理器执行的指令程序，所述指令程序被所述至少一个处理器执行，以使所述至少一个处理器执行如权利要求1至7任一项所述的方法。
  16. 一种计算机程序产品，其特征在于，所述计算机程序产品包括：非易失性计算机可读存储介质以及内嵌于所述非易失性计算机可读存储介质的计算机程序指令；所述计算机程序指令包括用以使处理器执行如权利要求1至7任一项所述的方法的指令。
PCT/CN2017/082981 2017-05-04 2017-05-04 节点认证方法及节点认证系统 WO2018201367A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2017/082981 WO2018201367A1 (zh) 2017-05-04 2017-05-04 节点认证方法及节点认证系统
CN201780000717.8A CN107278364B (zh) 2017-05-04 2017-05-04 节点认证方法及节点认证系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2017/082981 WO2018201367A1 (zh) 2017-05-04 2017-05-04 节点认证方法及节点认证系统

Publications (1)

Publication Number Publication Date
WO2018201367A1 true WO2018201367A1 (zh) 2018-11-08

Family

ID=60076515

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/082981 WO2018201367A1 (zh) 2017-05-04 2017-05-04 节点认证方法及节点认证系统

Country Status (2)

Country Link
CN (1) CN107278364B (zh)
WO (1) WO2018201367A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108595670B (zh) * 2018-04-28 2021-05-14 金蝶蝶金云计算有限公司 一种数据存储方法、装置、计算机装置及存储介质
CN108833515B (zh) * 2018-06-05 2021-12-28 上海和数软件有限公司 区块链节点优化方法、装置及计算机可读存储介质
CN114520733B (zh) * 2021-12-29 2023-05-26 中国科学院信息工程研究所 数据传输与处理可信认证的方法、装置及电子设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101312397A (zh) * 2007-05-24 2008-11-26 永洋科技股份有限公司 无线网络系统认证方法
EP2924951A1 (en) * 2014-03-23 2015-09-30 Avaya Inc. Configuration of networks using switch device access of remote server
CN105103489A (zh) * 2013-03-28 2015-11-25 原子能和能源替代品委员会 用于形成具有有限资源的安全无线网络的方法和设备
CN106358260A (zh) * 2016-11-08 2017-01-25 山东大学 一种大规模无线传感器网络时间同步方法
CN106454825A (zh) * 2016-09-22 2017-02-22 北京航空航天大学 一种车联网环境下车辆辅助认证方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100831327B1 (ko) * 2006-09-28 2008-05-22 삼성전자주식회사 무선 메쉬 네트워크의 인증 처리 방법 및 그 장치
CN102083162B (zh) * 2011-01-21 2014-04-09 河海大学常州校区 基于QoS的无线多媒体传感器网络贪婪多路径路由方法
US20130173747A1 (en) * 2011-11-21 2013-07-04 Young Jin Kim System, method and apparatus providing address invisibility to content provider/subscriber
CN102594706B (zh) * 2012-03-20 2014-10-22 南京邮电大学 一种用于家居智能控制的无线宽带安全路由方法
CN103686709B (zh) * 2012-09-17 2017-09-08 中兴通讯股份有限公司 一种无线网格网认证方法和系统
CN104982053B (zh) * 2013-02-13 2018-12-04 瑞典爱立信有限公司 用于获得认证无线设备的永久身份的方法和网络节点
CN103298055B (zh) * 2013-06-28 2016-03-23 南通河海大学海洋与近海工程研究院 水下传感器网络中基于空间网格区域划分的贪婪路由方法
CN104579958B (zh) * 2014-12-25 2018-07-13 东软集团股份有限公司 基于gpsr协议的路由优化方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101312397A (zh) * 2007-05-24 2008-11-26 永洋科技股份有限公司 无线网络系统认证方法
CN105103489A (zh) * 2013-03-28 2015-11-25 原子能和能源替代品委员会 用于形成具有有限资源的安全无线网络的方法和设备
EP2924951A1 (en) * 2014-03-23 2015-09-30 Avaya Inc. Configuration of networks using switch device access of remote server
CN106454825A (zh) * 2016-09-22 2017-02-22 北京航空航天大学 一种车联网环境下车辆辅助认证方法
CN106358260A (zh) * 2016-11-08 2017-01-25 山东大学 一种大规模无线传感器网络时间同步方法

Also Published As

Publication number Publication date
CN107278364A (zh) 2017-10-20
CN107278364B (zh) 2020-04-24

Similar Documents

Publication Publication Date Title
US20220046088A1 (en) Systems and methods for distributing partial data to subnetworks
Vu et al. Dmap: A shared hosting scheme for dynamic identifier to locator mappings in the global internet
US9565167B2 (en) Load balancing internet protocol security tunnels
US7958240B2 (en) Group judgment device
US9819688B2 (en) Peer enrollment method, route updating method, communication system, and relevant devices
US9602428B2 (en) Method and apparatus for locality sensitive hash-based load balancing
US20220109730A1 (en) Method and proxy server for establishing communication connection
US10735308B2 (en) Attestation based routing
WO2017114363A1 (zh) 报文处理方法、bng及bng集群系统
WO2018201367A1 (zh) 节点认证方法及节点认证系统
US20220029917A1 (en) Executing workloads across multiple cloud service providers
WO2017012471A1 (zh) 负载均衡处理方法及装置
US10200281B1 (en) Overlay network identity-based relay
US20220046028A1 (en) Method and system for determining a state of an account in a network device running a light client protocol of a distributed ledger technology network
US20220012726A1 (en) Method and System for a Network Device to Obtain a Trusted State Representation of the State of the Distributed Ledger Technology Network
US11757827B2 (en) Network security from host and network impersonation
US11122083B1 (en) Methods for managing network connections based on DNS data and network policies and devices thereof
WO2023093513A1 (zh) 路径感知方法、装置及系统
CN109818912B (zh) 防范泛洪攻击的方法、装置、负载均衡设备和存储介质
US11228609B1 (en) Methods for managing HTTP requests using extended SYN cookie and devices thereof
TWI828347B (zh) 使用硬體設備減輕DDoS攻擊的方法及其設備
AU2023203129B2 (en) Systems and methods for distributing partial data to subnetworks
CN117240900B (zh) 基于软件定义网络的区块链节点发现与组网方法及装置
US11909609B1 (en) Methods for managing insertion of metadata into a data stream to assist with analysis of network traffic and devices thereof
CN116192633A (zh) 远程证明的应用方法、装置、设备、系统及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17908216

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC ( EPO FORM 1205A DATED 29/07/2020 )

122 Ep: pct application non-entry in european phase

Ref document number: 17908216

Country of ref document: EP

Kind code of ref document: A1