[发明专利]软件定义网络的可信连接方法及系统

说明书

本发明涉及软件定义网络安全领域，具体提供一种软件定义网络的可信连接方法及系统，方法包括：控制器向交换机发送第一认证请求，交换机基于第一认证请求向控制器发送第一反馈信息，控制器基于一第一预设PCR值、第一认证请求以及第一反馈信息以认证交换机是否可信，并在可信时向交换机发送配置查询请求，交换机向所述控制器发送第二认证请求，控制器接收基于第二认证请求向交换机发送第二反馈信息，交换机基于一第二预设PCR值、第二认证请求以及第二反馈信息以认证控制器是否可信，并在可信时，基于配置查询请求向控制器反馈配置信息。通过上述设置以在软件定义网络中建立交换机与控制器之间的可信连接，进而避免出现网络因受到影响而瘫痪的情况。

技术领域

本发明涉及软件定义网络安全领域，具体而言，涉及一种软件定义网络的可信连接方法及系统。

背景技术

软件定义网络(Software Defined Networking,SDN)的控制层和数据转发层分离，且通常由控制层对数据转发层进行统一管理，以简化网络管理，提高网络灵活性，降低网络调整配置成本。

经发明人研究发现，现有的软件定义网络中，位于控制层的控制器与数据转发层的OVS(交换机)在建立连接时仅进行协议版本的交互握手，并未对即将连接的对端设备进行平台完整性认证，进而可能会造成控制器或OVS(交换机)因与带有风险的设备进行连接而遭受攻击。控制层中的控制器作为SDN的核心，其安全状况尤为重要，一旦遭受攻击而无法正常工作，甚至导致网络的瘫痪。OVS(交换机)作为数据转发工作的执行者，被危险设备利用可能对数据转发等功能造成影响甚至导致网络瘫痪。

发明内容

有鉴于此，本发明的目的在于提供一种软件定义网络的可信连接方法及系统，以有效避免出现网络因受到影响而瘫痪的情况。

为实现上述目的，本发明实施例采用如下技术方案：

一种软件定义网络的可信连接方法，应用于包括交换机和控制器的软件定义网络的可信连接系统，所述方法包括：

所述控制器向所述交换机发送第一认证请求；

所述交换机接收所述第一认证请求并基于所述第一认证请求向所述控制器发送第一反馈信息；

所述控制器基于一第一预设PCR值、所述第一认证请求以及所述第一反馈信息以认证所述交换机是否可信，并在可信时向所述交换机发送配置查询请求；

所述交换机向所述控制器发送第二认证请求；

所述控制器接收所述第二认证请求并基于所述第二认证请求向所述交换机发送第二反馈信息；

所述交换机基于一第二预设PCR值、所述第二认证请求以及所述第二反馈信息以认证所述控制器是否可信，并在可信时，基于所述配置查询请求向所述控制器反馈配置信息。

可选的，在上述软件定义网络的可信连接方法中，所述控制器向所述交换机发送第一认证请求的步骤包括：

所述控制器将产生的第一随机数和需要验证的第一寄存器编号进行连接后采用第一私钥进行签名以得到第一验证信息，采用第二公钥对第一验证信息进行加密以得到第一加密信息，并根据第一请求信息和所述第一加密信息得到第一认证请求并发送至所述交换机；

所述交换机接收所述第一认证请求并基于所述第一认证请求向所述控制器发送第一反馈信息的步骤包括：