[发明专利]一种基于SDN的验证头验证方法和系统

说明书

本发明实施例提供一种基于SDN的验证头验证方法和系统，其中方法包括：控制器配置验证头选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，并向转发路径上的所有交换机下发包含验证头选项和密钥的流表，转发路径上的交换机根据验证头选项和密钥进行数据报文的验证头验证。本发明能够实现所有节点感知报文数据是否被纂改，从而提高报文的转发效率。

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种基于SDN(Software DefinedNetwork，软件定义网络)的验证头方法和系统。

背景技术

IP(Internet Protocol，网络之间互连的协议)包本身不包含安全特征，IP包的数据没机密性、真实性和完整性等安全认证，从而导致目前网络中的许多应用系统处于不设防或少设防的状态，存在较多的安全隐患，IP通信可能会遭受如下攻击：窃听、纂改、IP欺骗，例如如果数据采用明文传送，中途经过了许多未知的网络，在达到目的地之前很可能被攻击者捕获、解码并恶意修改。

验证头(Authentication Header，AH)是一种IP安全协议，用于为IP提供数据完整性、数据原始身份验证和一些可选的、有限的抗重播服务。传统的AH采用HMAC(Hash-basedMessage Authentication Code，哈希运算消息认证码)算法，HMAC运算利用哈希算法，以一个密钥和一个消息为输入，生成一个消息摘要作为输出。

图1所示的是现有技术的AH验证方法的示意图，如图1所示，包括：101，发送方构建密钥；102，发送方向接收方发送密钥；103，发送方使用密钥对摘要信息；104，发送方把原始数据和信息摘要发送给接收方；105，接收方对摘要信息使用密钥；106，接收方验证计算的摘要信息和报文的摘要是否一致。

传统的AH发送方需构建密钥，单独发送密钥到接收方，因此，只有接收方才能验证摘要信息是否一致，一方面处理效率非常低，另一方面中间节点无法感知数据是否被纂改。

发明内容

本发明实施例提供一种基于SDN的验证头验证方法和系统，能够实现所有节点感知报文数据是否被纂改，从而提高报文的转发效率。

本发明实施例提供一种基于SDN的验证头验证方法，包括：控制器配置验证头选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，并向转发路径上的所有交换机下发包含验证头选项和密钥的流表，转发路径上的交换机根据验证头选项和密钥进行数据报文的验证头验证。

进一步地，所述验证头选项包括验证头开关项和防重放攻击项，其中，所述验证头开关项用于启用或关闭验证头算法功能，所述防重放攻击项用于启用或关闭防重放攻击功能。

进一步地，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体包括：控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；控制器根据所述交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址，采用链路层发现协议计算网络拓扑。