一种基于SDN的数据流加密方法和系统技术方案

本发明专利技术实施例提供一种基于SDN的数据流加密方法和系统，所述方法包括：控制器配置数据流加密选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表处理接收到的数据报文。本发明专利技术能够提高处理数据报文的效率。

【技术实现步骤摘要】

本专利技术实施例涉及通信
，尤其涉及一种基于SDN(SoftwareDefinedNetwork，软件定义网络)的数据流加密方法和系统。
技术介绍
IP(InternetProtocol，网络之间互连的协议)包本身不包含安全特征，IP包的数据没机密性、真实性和完整性等安全认证，从而导致目前网络中的许多应用系统处于不设防或少设防的状态，存在较多的安全隐患，IP通信可能会遭受如下攻击：窃听、纂改、IP欺骗，例如如果数据采用明文传送，中途经过了许多未知的网络，在达到目的地之前很可能被攻击者捕获、解码并恶意修改。ESP(EncapsulatingSecurityPayload，封装安全载荷)用于为IP提供保密性和抗重播服务，包括数据包内容的保密性和有限的流量保密性。传统的ESP采用DES-CBC(密文分组链接方式)算法，如图1所示，包括：101，发送方构建密钥；102，发送方向接收方发送密钥；103，发送方使用密钥对数据加密；104，发送方把密文和ESP头部发送给接收方；105，接收方使用密钥对数据解密；106，接收方验证后去掉ESP头部。但是在此过程中，发送方构建密钥，单独发送密钥到接收方，因此只有接收方才能验证报文，处理效率非常低。
技术实现思路
本专利技术实施例提供一种基于SDN的数据流加密方法和系统，能够提高处理数据报文的效率。本专利技术实施例提供一种基于SDN的数据流加密方法，包括：控制器配置数据流加密选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表处理接收到的数据报文。进一步地，所述数据流加密选项的配置项包括SDN数据流加密功能开关项和SDN数据流加密算法，其中，SDN数据流加密功能开关项用于启用或关闭SDN数据流加密功能，SDN数据流加密算法设置SDN数据流的加密算法为密文分组链接方式或空。进一步地，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体包括：控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；控制器根据所述交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址，采用链路层发现协议计算网络拓扑。进一步地，所述SDN中，包括入口交换机、中间交换机和出口交换机；所述控制器生成密钥，向转发路径上的入口交换机和出口交换机下发包含密钥的流表，向中间交换机下发不包含密钥的流表，所述流表中设置：对于入口交换机，使用密钥对原始数据报文封装ESP加密头形成加密数据报文；对于中间交换机，对接收到加密数据报文进行透明传输；对于出口交换机，对使用密钥对接收到加密数据报文进行解密，并去掉ESP加密头，还原成原始数据报文。进一步地，所述转发路径上的交换机根据下发的流表处理接收到的数据报文，具体包括：如果入口交换机接收到原始数据报文，根据数据流加密选项判断是否需要为原始数据报文封装安全载荷加密头，如果数据流加密选项中的SDN数据流加密功能开关项开启，则入口交换机使用控制器下发的密钥对原始数据进行密文分组链接方式计算，为原始数据报文封装安全载荷加密头形成加密数据报文；如果中间交换机接收到带有封装安全载荷加密头的加密数据报文，则中间交换机在转发路径上对加密数据报文进行透明传输；如果出口交换机接收到带有封装安全载荷加密头的加密数据报文，则出口交换机使用控制器下发的密钥对加密数据报文进行解密，并去掉封装安全载荷加密头，还原成原始数据报文。本专利技术还提供了一种基于SDN的数据流加密系统，包括：交换机，用于向控制器上报MAC地址信息；向控制器上报未匹配流表的报文，所述报文包括报文MAC地址；以及根据控制器下发的流表处理接收到的数据报文；控制器，用于配置数据流加密选项；接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥。本专利技术实施例基于SDN架构，采用控制器控制报文的转发路径，并通过下流表的方式，把密钥下发到转发路径上的入口交换机和出口交换机，中间交换机进行透明传输，从而提高了处理数据报文的效率。附图说明为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图1为现有技术的ESP算法的示意图；图2为本专利技术实施例中基于SDN的数据流加密方法的流程示意图；图3为本专利技术实施例中私有二层报文的格式示意图；图4为本专利技术实施例中加密头的示意图；图5为本专利技术实施例中基于SDN的数据流加密系统的示意图；图6为本专利技术实施例一中基于SDN的数据流加密系统的示意图。具体实施方式为使本专利技术实施例的目的、技术方案和优点更加清楚，下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。SDN是一种新型的网络架构，其可以通过OpenFlow(开放流)技术将网络设备的控制面与数据面进行分离，从而实现对网络流量的灵活控制。在SDN中，包含实现控制面功能的控制器和若干实现数据面功能的交换机。图2为本专利技术实施例中基于SDN的数据流加密方法的流程示意图。如图2所示，该方法应用于SDN中，所述SDN中包括交换机和控制器，该方法包括：步骤S21，控制器配置数据流加密选项。在本步骤中，本专利技术的控制器支持基于SDN的数据流加密功能，如<本文档来自技高网...

【技术保护点】
一种基于SDN的数据流加密方法，其特征在于，包括：控制器配置数据流加密选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表处理接收到的数据报文。

【技术特征摘要】
1.一种基于SDN的数据流加密方法，其特征在于，包括：
控制器配置数据流加密选项；
控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地
址信息计算网络拓扑；
控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交
换机的MAC地址信息和报文MAC地址计算转发路径；
控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换
机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表
处理接收到的数据报文。
2.根据权利要求1所述的基于SDN的数据流加密方法，其特征在
于，所述数据流加密选项的配置项包括SDN数据流加密功能开关项和
SDN数据流加密算法，其中，SDN数据流加密功能开关项用于启用或关
闭SDN数据流加密功能，SDN数据流加密算法设置SDN数据流的加密
算法为密文分组链接方式或空。
3.根据权利要求2所述的基于SDN的数据流加密方法，其特征在
于，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC
地址信息计算网络拓扑，具体包括：
控制器接收交换机发送的Experimenter报文，所述Experimenter报
文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交
换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到
MAC地址；
控制器根据所述交换机自己的MAC地址、交换机的端口ID、以及
所述交换端口下学习到MAC地址，采用链路层发现协议计算网络拓扑。
4.根据权利要求3所述的基于SDN的数据流加密方法，其特征在
于，所述SDN中，包括入口交换机、中间交换机和出口交换机；
所述控制器生成密钥，向转发路径上的入口交换机和出口交换机下
发包含密钥的流表，向中间交换机下发不包含密钥的流表，所述流表中
设置：
对于入口交换机，使用密钥对原始数据报文封装ESP加密头形成加
密数据报文；
对于中间交换机，对接收到加密数据报文进行透明传输；
对于出口交换机，对使用密钥对接收到加密数据报文进行解密，并
去掉ESP加密头，还原成原始数据报文。
5.根据权利要求4所述的基于SDN的数据流加密方法，其特征在
于，所述转发路径上的交换机根据下发的流表处理接收到的数据报文，
具体包括：
如果入口交换机接收到原始数据报文，根据数据流加密选项判断是
否需要为原始数据报文封装安全载荷加密头，如果数据流加密选项中的
SDN数据流加密功能开关项开启，则入口交换机使用控制器下发的密钥
对原始数据进行密文分组链接方式计算，为原始数据报文封装安全载荷
加密头形成加密数据报文；
如果中间交换机接收到带有封装安全载荷加密头的加密数据报文，
则中间交换机在转发路径上对加密数据报文进行透明传输；
如果出口交换机接收到带有封装安全载荷加密头的加密数据报文，
则出口交换机使用控制器下发的密钥对加密数据报文进行解密，并去掉
封装安全载荷加密头，还原成原始数据报文。
6.一种基于SDN的数据流加...

【专利技术属性】
技术研发人员：翟跃，
申请(专利权)人：上海斐讯数据通信技术有限公司，
类型：发明
国别省市：上海;31