[发明专利]一种软件定义网络的接入认证方法、装置和系统

说明书

本发明实施方式提出一种软件定义网络(SDN)的接入认证方法、装置和系统。所述方法应用于SDN控制器，该方法包括：向SDN交换机下发流表项，该流表项用于将SDN交换机从认证客户端接收到的局域网上的可扩展认证协议(EAPOL)报文承载于SDN报文并发送到SDN控制器，所述EAPOL报文包含可扩展认证协议(EAP)报文；从所述SDN报文中解析出所述EAPOL报文，从所述EAPOL报文中解析出所述EAP报文，将所述EAP报文承载于远程认证拨号用户服务(RADIUS)报文并发送到认证服务器，并以EAP中继的方式与所述认证服务器执行认证。

技术领域

本发明实施方式属于网络通信技术领域，特别是一种软件定义网络(SoftwareDefined Network，SDN)的接入认证方法、装置和系统。

背景技术

SDN技术通过将网络设备的控制平面与数据平面分离，从而实现网络流量的灵活控制。相应地，SDN架构中包括SDN控制器和SDN交换机，其中：SDN控制器和SDN交换机之间通过优选为开放流(OpenFlow协议)的SDN管理通道进行通信，SDN控制器根据用户的配置或者动态运行的协议生成流表下发到SDN交换机，SDN交换机依据SDN控制器下发的流表进行报文处理。

二层用户接入控制是一种基于用户信息的安全管理机制，根据用户名密码来进行访问控制。目前主要使用802.1X机制，包括对用户进行认证、授权和计费。802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户和设备进行认证，以便控制用户设备对网络资源的访问。

然而，由于不符合SDN网络中控制平面和数据平面相分离的原则，传统网络的二层接入方案无法应用在SDN网络中。例如：在802.1X认证过程中，当用户接入认证成功后，授权服务器会对管理该用户的设备下发相应的授权策略。同时，管理员还需要在设备上进行相应的控制配置，如配置用户允许访问的虚拟局域网(VLAN)、访问控制列表(ACL)规则、用户配置文件(UserProfile)等。这种配置明显违背了SDN网络的原则，因此传统网络的二层接入方案不能适用于SDN网络。

发明内容

本发明实施方式提出一种SDN的接入认证方法、装置和系统，将802.1X接入控制技术融入到SDN网络中，实现对SDN网络进行接入控制。

本发明实施方式的技术方案如下：

根据本发明实施方式的一方面，提出一种SDN的接入认证方法，所述方法应用于SDN控制器，该方法包括：

向SDN交换机下发第一流表项，所述第一流表项用于将SDN交换机从认证客户端接收到的局域网上的可扩展认证协议EAPOL报文承载于SDN报文并发送到SDN控制器，所述EAPOL报文包含可扩展认证协议EAP报文；

从所述SDN报文中解析出所述EAPOL报文，从所述EAPOL报文中解析出所述EAP报文，将所述EAP报文承载于远程认证拨号用户服务RADIUS报文并发送到认证服务器，并以EAP中继的方式与所述认证服务器执行认证。

优选地，所述EAP报文包含用户名信息；

所述以EAP中继的方式与所述认证服务器执行认证包括：

接收认证服务器发送的MD5随机数，并通过SDN交换机将所述MD5随机数发送到认证客户端；

接收认证客户端通过SDN交换机发送的、基于所述MD5随机数计算的认证信息，并将所述认证信息发送到认证服务器，以由所述认证服务器基于所述用户名信息和认证信息执行认证。

优选地，在所述认证通过后，还包括：