[发明专利]基于SDN的网络安全路由调度方法及系统

说明书

本发明公开了一种基于SDN的网络安全路由调度方法及系统，该方法包括：通过入口节点发送数据流量安全检测请求，安全服务调度中心识别待检测的数据流量的安全类型、根据所述安全类型确定所需的网络安全设备、根据所需的网络安全设备和预设算法从网络拓扑结构中查找数据流量的传输检测路径、根据所述传输检测路径生成相应的数据流向表并将所述数据流向表下发至所述入口节点，传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点，从而解决了网络安全设备限制于固定路径上而无法对所有数据流量进行安全检测的问题，提高了网络安全设备的适用性。

技术领域

本发明涉及移动通信技术领域，尤其涉及一种基于SDN的网络安全路由调度方法及系统。

背景技术

无论是传统网络还是新型网络，都会遇到各种各样的安全威胁，如蠕虫病毒、黑客攻击、侵犯个人隐私、损害公民合法权益等情况时有发生。为提高网络的健壮性和安全性，可采用在网络中增加一些安全中间件盒子或安全设备的方式，提供防火墙(Fire Wall，FW)、入侵检测系统(Intrusion Detection Systems，IDS)、入侵防御系统(IntrusionPrevention System，IPS)以及接入控制等安全服务。其中，安全中间件盒子是一种能提供网络安全功能的中间件盒子，中间件盒子是一种提供多种应用服务的网络设备，如防火墙、路由、负载均衡和缓存设备等，由于网络功能虚拟化能为其提供全新的网络功能和多样的应用场景，因此中间件盒子拥有非常广阔的应用空间。

目前，这些安全设备或中间件盒子一般有两种部署模式：一种是嵌入式(或在线式)部署，即安全设备串接在两节点之间，接收并转发原数据包，并对转发的数据包进行流量审计、应用识别以及应用阻断；另一种是旁路式(或被动式)部署，即安全设备被部署在交换机或者路由器节点的接口上，数据包被转发或镜像到安全设备，安全设备可以对接收的数据包进行检测和识别处理。

然而，上述安全设备或中间件盒子一般被设置在固定路径上，只有经过该固定路径传输的数据包才能通过安全设备或中间件盒子进行安全检测，而其他的数据包则无法通过安全设备或中间件盒子进行安全检测，导致安全设备或中间件盒子的适用性差。

发明内容

本发明的目的在于提供一种基于SDN的网络安全路由调度方法及系统，以解决现有技术中网络安全设备位置固定、只能对某些数据流量进行安全检测的技术问题，提高网络安全设备的适用性。

为实现上述目的，本发明提供了一种基于SDN的网络安全路由调度方法，适用于基于SDN的网络安全路由调度系统，用于对数据发送节点发送至目标节点的数据流量进行安全检测，所述基于SDN的网络安全路由调度系统包括：网络安全服务调度中心、多个OpenFlow类型的路由器以及多个网络安全设备，所述路由器和所述网络安全设备构成一网络拓扑结构，且所述网络拓扑结构中的一所述路由器作为入口节点，所述方法包括以下步骤：

当需要对进入网络拓扑结构中的数据流量进行安全检测时，所述入口节点发送数据流量安全检测请求至所述网络安全服务调度中心；

所述安全服务调度中心识别待检测的数据流量的安全类型；

根据所述安全类型确定所需的网络安全设备；

根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径；

根据所述传输检测路径生成相应的数据流向表，其中所述数据流向表中包括多个具有先后顺序的路由器和所需的所述网络安全设备，每一所述路由器和每一所述网络安全设备均为所述传输检测路径上的一节点；

将所述数据流向表下发至所述入口节点，其中所述传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点。