[发明专利]一种安全表项的配置方法、装置、SDN控制器及介质

说明书

本发明实施例提供了一种安全表项的配置方法、装置、SDN控制器及介质，涉及通信技术领域。本申请实施例包括：采集所控制的网络拓扑中各交换机的DHCP Snooping表项、ARP Snooping表项以及各AP的WLAN Snooping表项；根据采集到的DHCP Snooping表项、ARP Snooping表项和WLAN Snooping表项生成安全表项；接收待绑定终端信息，将各待绑定终端的安全表项静态绑定至待绑定终端接入的交换机或AP，以使得网络拓扑中的交换机和AP基于静态绑定的安全表项进行报文过滤。可以在保证终端接入安全性的前提下，减小配置工作量，提高配置效率。

技术领域

本发明涉及通信技术领域，特别是涉及一种安全表项的配置方法、装置、SDN控制器及介质。

背景技术

网络安全对每个企业的网络都非常重要，目前存在一些小规模的网点，比如金融行业的小规模营业网点、零售行业的网点等，都具有组网规模小、接入用户数量小的特点，且每个小规模网点还需要与总部进行通信，由总部负责部署和管理。

这种海量小分支组网适合通过软件定义网络(Software Defined Network，SDN)控制器进行管理，网络管理员不需要熟悉每一台网络设备的配置方法，SDN控制器可针对网络拓扑、设备型号、业务特征等将网络配置批量下发给网络设备，完成自动化部署。

对于海量小分支组网，若使用IP Source Guard(IP源地址保护)功能对报文进行过滤，则采用动态主机配置协议(Dynamic Host Configuration Protocol，DHCP)的IP地址分配方式，才能通过获取DHCP侦听(Snooping)的绑定表项，从而实现对报文的有效过滤。但网点中不可避免的会存在一些使用静态IP地址的终端，通过IP Source Guard功能无法对携带静态IP地址的报文进行有效过滤。

若通过人工为每个接口配置使用静态IP地址的终端的绑定表项，需要对分支网络中的接口进行逐个配置，配置工作量较大，且效率较低。若使用SDN控制器实现分支网络部署，需要管理员搜集各静态IP地址和媒体访问控制(Media Access Control，MAC)地址，一旦管理员对IP地址和MAC地址输入错误，就会导致终端无法正常接入网络，或者无法有效对报文进行过滤，终端接入的安全性无法得到保障。

发明内容

本发明实施例的目的在于提供一种安全表项的配置方法、装置、SDN控制器及介质，可以在保证终端接入安全性的前提下，减小配置工作量，提高配置效率。具体技术方案如下：

第一方面，本申请实施例提供一种安全表项的配置方法，所述方法应用于软件定义网络SDN控制器，所述方法包括：

采集所控制的网络拓扑中各交换机的动态主机配置协议DHCP侦听Snooping表项、地址解析协议ARP Snooping表项以及各无线接入点AP的无线局域网WLAN Snooping表项；

根据采集到的DHCP Snooping表项、ARP Snooping表项和WLAN Snooping表项生成安全表项；

接收待绑定终端信息，将各待绑定终端的安全表项静态绑定至待绑定终端接入的交换机或AP，以使得所述网络拓扑中的交换机和AP基于静态绑定的安全表项进行报文过滤。

在一种可能的实现方式中，所述根据采集到的DHCP Snooping表项、ARP Snooping表项和WLAN Snooping表项生成安全表项，包括：

根据所述网络拓扑，从采集到的DHCP Snooping表项和ARP Snooping表项中，删除将邻居交换机接口作为接入接口的DHCP Snooping表项和ARP Snooping表项，并删除将AP接口作为接入接口的DHCP Snooping表项和ARP Snooping表项；