[发明专利]网络设备的安全远程自举

说明书

公开了用于执行网络设备的安全远程自举操作使得敏感配置驻留在易失性存储器中或者在断电时是不可访问的技术。在一个示例中，网络设备执行针对导引信息的第一请求。响应于确定网络设备的第一初始化还没有发生，网络设备通过利用导引信息配置网络设备以将文件系统的一部分安装到易失性存储器而非非易失性存储器来执行第一初始化。在重新启动后，网络设备执行针对导引信息的第二请求。响应于确定网络设备的第一初始化已经发生，网络设备执行网络设备的自举操作。自举操作可以将网络设备配置为用于远程管理，使得远程获得的任意后续配置在断电时不被保留。

技术领域

本公开一般涉及网络设备，并且更具体地，涉及网络设备的部署和激活

背景技术

大型企业经常面临网络基础设施的大规模分发和部署的挑战。例如企业可以操作许多地理上分布的设施(例如办公室、零售店等)，这些设施需要网络连接到企业的中央或主要办公室并且可选地彼此连接。在这种情况下，当企业希望使用许多远程设施中的每一个来安装或升级网络设备时，就会出现挑战。例如企业的中央信息技术(IT)管理组可以协调用于升级远程设施中的每一个的计算机、防火墙、网关、路由器、VPN应用、交换机或其他网络设备的工作。这种操作可能需要数百或者有时数千个设备的部署和激活。

为了简化该过程，企业可以在一次大规模的展示(“mass rollout”)中购买用于在远程设施处部署的类似网络设备。通过购买类似的如果不是相同的网络设备，企业可以减轻关于部署和操作这些网络设备的管理负担。在这种情况下，企业通常与制造商签订合同，以将单元直接运送到远程设施。这节省了运输成本并且提供了减轻中央IT组承担物理接收和重新装载设备的负担的优点。但是，当设备直接从制造商运送到设备要被部署的最终位置时，经训练的网络管理员可能常无法总是物理操纵设备以确保正确安装和激活。因此，配置设备的人通常是商店经理或其他没有配置网络设备经验的人。在这种情况下，可能难以确保以以下方式使设备被正确地部署和激活：以便匹配通常由IT组维护的集中式设备管理系统，以用于远程监视和管理企业中的设备。

发明内容

通常，本公开描述了用于执行网络设备的安全远程自举操作的技术。为了降低将网络设备配置给不熟练的用户的技术复杂性，传统设备可以使用零接触供应(ZTP)来远程地并自动地执行网络设备的第一次配置以供在企业网络内使用。有关ZTP协议的更多信息在https://tools.ietf.org/html/draft-ietf-netconf-zerotouch中可用的“Zero TouchProvisioning for Networking Devices,”Internet-Draft,Internet Engineering TaskForce(IETF)中描述。

然而，部署到公共场所(例如售货亭、购物中心、办公室、公寓地下室)的网络设备仍然可能易受具有对设备的物理访问的恶意行为者的攻击。例如传统网络设备可以在网络设备的非易失性存储器内存储敏感信息，诸如用户数据和证书、网络业务、或企业网络内的其他设备的地址和身份。具有对网络设备的物理访问的恶意行为者可能可以移除非易失性存储器并从存储在非易失性存储器上的数据的分析中收集有价值的信息。一种可能的解决方案是配置网络设备以将这种敏感信息存储在网络设备的易失性存储器内，使得敏感信息在设备断电时丢失。然而，这可能超出了依赖于ZTP来执行网络设备的第一次配置的最终用户的能力。此外，应该在非易失性存储器中执行一些安全配置，以防止断电时移除安全配置，进一步增加了最终用户的技术负担。

因此，公开了用于执行网络设备的安全远程自举操作的技术，使得敏感信息仅存储在网络设备的易失性存储器上。例如如本文所述的网络设备可以在初始引导周期期间执行第一非接触式供应操作以取回导引信息。网络设备可以处理导引信息以确定网络设备的第一初始化是否已经发生。如果第一初始化没有发生，则网络设备执行第一初始化。例如网络设备可以通过配置本地用户访问许可并将其自身配置为将文件系统的至少一部分挂载到网络设备的易失性存储器而不是网络设备的非易失性存储器来执行第一初始化。此外，网络设备重新启动其自身。