[发明专利]网络系统、控制器和分组认证方法

权利要求书

1.一种网络系统，包括：

交换机，所述交换机被配置成基于流条目来执行接收分组的处理，所述流条目定义用于对作为流的分组进行统一地控制的规则和动作；以及

控制器，所述控制器被配置成发出对于所述交换机进行所述流条目的登记的指令，

其中，基于到达所述交换机的分组的传输源的权限，所述控制器对于到达分组的传输的许可或拒绝来执行确定处理，并且当所述到达分组的传输被许可时，所述控制器命令所述交换机来登记该到达分组的传输的流条目。

2.根据权利要求1所述的网络系统，

其中，所述交换机在从由具有不同权限的多个用户使用的访问源主机接收到分组时，向所述控制器通知该分组，以及

其中，所述控制器向所述访问源主机询问分组发送用户的认证数据，基于所述认证数据，向作为所述分组的目的地的访问目的地主机询问访问的许可或拒绝，当所述访问被许可时命令所述交换机来登记所述分组的传输的流条目，以及当所述访问被拒绝时命令所述交换机来登记所述分组的丢弃的流条目。

3.根据权利要求2所述的网络系统，其中，

所述控制器当所述访问被拒绝时记录访问拒绝计数，检查该访问拒绝计数是否在允许值之内，当所述访问拒绝计数在所述允许值之内时命令所述交换机来登记所述分组的丢弃的流条目，当所述访问拒绝计数达到所述允许值时命令所述访问源主机来执行所述分组发送用户的使用限制，并且命令所述交换机来删除所述分组的丢弃的流条目。

4.根据权利要求1至3中的任一项所述的网络系统，其中，

当由具有不同权限的所述多个用户使用的所述访问源主机尝试对访问目的地主机进行访问时，所述控制器从所述访问源主机获取分组发送用户的所述认证数据，基于分组发送用户的所述认证数据来确定访问的许可或拒绝，当所述访问被许可时命令所述交换机来登记所述分组的传输的流条目，并且当所述访问被拒绝时命令所述交换机来登记所述分组的丢弃的流条目。

5.一种控制器，包括：

用于发出对于交换机进行流条目的登记的指令的装置，所述交换机基于所述流条目来执行接收分组的处理，所述流条目定义用于对作为流的分组进行统一地控制的规则和动作；

用于对于到达所述交换机的分组而基于分组发送用户的权限来执行所述分组的传输的许可或拒绝的确定处理的装置；以及

用于当所述分组的传输被许可时命令所述交换机来登记所述分组的传输的流条目的装置。

6.根据权利要求5所述的控制器，还包括：

用于从所述交换机来接收从由具有不同权限的多个用户使用的访问源主机发送的分组的通知的装置；

用于向所述访问源主机询问分组发送用户的认证数据的装置；

用于基于所述认证数据向作为所述分组的目的地的所述访问目的主机询问访问的许可或拒绝的装置；

用于当所述访问被许可时命令所述交换机来登记所述分组的传输的流条目的装置；以及

用于当所述访问被拒绝时命令所述交换机来登记所述分组的丢弃的流条目的装置。

7.根据权利要求6所述的控制器，还包括：

用于当所述访问被拒绝时记录访问拒绝计数的装置；

用于检查所述访问拒绝计数是否在允许值之内的装置；

用于当所述访问拒绝计数在所述允许值之内时命令所述交换机来登记所述分组的丢弃的流条目的装置；以及

用于当所述访问拒绝计数达到所述允许值时命令所述访问源主机对所述分组发送用户执行使用限制、以及命令所述交换机来删除所述分组的丢弃的流条目的装置。

8.根据权利要求5至7中的任一项所述的控制器，还包括：

用于当具有不同权限的所述多个用户使用的所述访问源主机尝试访问所述访问目的地主机时从所述访问源主机来获取分组发送用户的所述认证数据的装置；

用于基于所述认证数据来确定访问的许可或拒绝的装置；

用于当所述访问被许可时命令所述交换机来登记所述分组的传输的流条目的装置；以及

用于当所述访问被拒绝时命令所述交换机来登记所述分组的丢弃的流条目的装置。