基于SDN的网络安全路由调度方法及系统技术方案

本发明专利技术公开了一种基于SDN的网络安全路由调度方法及系统，该方法包括：通过入口节点发送数据流量安全检测请求，安全服务调度中心识别待检测的数据流量的安全类型、根据所述安全类型确定所需的网络安全设备、根据所需的网络安全设备和预设算法从网络拓扑结构中查找数据流量的传输检测路径、根据所述传输检测路径生成相应的数据流向表并将所述数据流向表下发至所述入口节点，传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点，从而解决了网络安全设备限制于固定路径上而无法对所有数据流量进行安全检测的问题，提高了网络安全设备的适用性。

【技术实现步骤摘要】
基于SDN的网络安全路由调度方法及系统
本专利技术涉及移动通信
，尤其涉及一种基于SDN的网络安全路由调度方法及系统。
技术介绍
无论是传统网络还是新型网络，都会遇到各种各样的安全威胁，如蠕虫病毒、黑客攻击、侵犯个人隐私、损害公民合法权益等情况时有发生。为提高网络的健壮性和安全性，可采用在网络中增加一些安全中间件盒子或安全设备的方式，提供防火墙(FireWall，FW)、入侵检测系统(IntrusionDetectionSystems，IDS)、入侵防御系统(IntrusionPreventionSystem，IPS)以及接入控制等安全服务。其中，安全中间件盒子是一种能提供网络安全功能的中间件盒子，中间件盒子是一种提供多种应用服务的网络设备，如防火墙、路由、负载均衡和缓存设备等，由于网络功能虚拟化能为其提供全新的网络功能和多样的应用场景，因此中间件盒子拥有非常广阔的应用空间。目前，这些安全设备或中间件盒子一般有两种部署模式：一种是嵌入式(或在线式)部署，即安全设备串接在两节点之间，接收并转发原数据包，并对转发的数据包进行流量审计、应用识别以及应用阻断；另一种是旁路式(或被动式)部署，即安全设备被部署在交换机或者路由器节点的接口上，数据包被转发或镜像到安全设备，安全设备可以对接收的数据包进行检测和识别处理。然而，上述安全设备或中间件盒子一般被设置在固定路径上，只有经过该固定路径传输的数据包才能通过安全设备或中间件盒子进行安全检测，而其他的数据包则无法通过安全设备或中间件盒子进行安全检测，导致安全设备或中间件盒子的适用性差。
技术实现思路
本专利技术的目的在于提供一种基于SDN的网络安全路由调度方法及系统，以解决现有技术中网络安全设备位置固定、只能对某些数据流量进行安全检测的技术问题，提高网络安全设备的适用性。为实现上述目的，本专利技术提供了一种基于SDN的网络安全路由调度方法，适用于基于SDN的网络安全路由调度系统，用于对数据发送节点发送至目标节点的数据流量进行安全检测，所述基于SDN的网络安全路由调度系统包括：网络安全服务调度中心、多个OpenFlow类型的路由器以及多个网络安全设备，所述路由器和所述网络安全设备构成一网络拓扑结构，且所述网络拓扑结构中的一所述路由器作为入口节点，所述方法包括以下步骤：当需要对进入网络拓扑结构中的数据流量进行安全检测时，所述入口节点发送数据流量安全检测请求至所述网络安全服务调度中心；所述安全服务调度中心识别待检测的数据流量的安全类型；根据所述安全类型确定所需的网络安全设备；根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径；根据所述传输检测路径生成相应的数据流向表，其中所述数据流向表中包括多个具有先后顺序的路由器和所需的所述网络安全设备，每一所述路由器和每一所述网络安全设备均为所述传输检测路径上的一节点；将所述数据流向表下发至所述入口节点，其中所述传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点。进一步地，当所需的网络安全设备为旁路式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体为：从所述网络拓扑结构中查找所述数据发送节点与所述目标节点之间的最短路径、查找所述数据发送节点与所需的所述网络安全设备之间的最短路径，并将两所述最短路径的组合作为所述传输检测路径；或从所述网络拓扑结构中查找所述数据发送节点与所需的第一个所述网络安全设备之间的最短路径、查找所需的各所述网络安全设备之间的最短路径、查找所需的最后一个所述网络安全设备与所述目标节点之间的最短路径，将三个所述最短路径依次首尾连接作为所述传输检测路径；或从所述网络拓扑结构中查找所述数据发送节点与所述目标节点之间的最短路径、查找所述最短路径与所需的所述网络安全设备之间的最短路径，将两所述最短路径的组合作为所述传输检测路径。进一步地，当所需的网络安全设备为嵌入式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体包括：从所述网络拓扑结构中查找所述数据发送节点与所需的第一个网络安全设备之间的最短路径；依次查找所需的各网络安全设备之间的最短路径；查找所需的最后一个网络安全设备与所述目标节点之间的最短路径；将查找到的各所述最短路径依次首尾相连作为所述传输检测路径。进一步地，当所需的网络安全设备包括嵌入式网络安全设备和旁路式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体包括：从所述网络拓扑结构中查找所述数据发送节点与所需的所述嵌入式网络安全设备之间的最短路径；查找所述最短路径与所需的所述旁路式网络安全设备之间的最短路径；查找所述旁路式网络安全设备与所述目标节点之间的最短路径；将查找到的各所述最短路径依次首尾相连作为所述传输检测路径。进一步地，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径的步骤之前还包括：判断所需的所述网络安全设备是否处于空闲状态，对处于空闲状态的所述网络安全设备执行所述传输检测路径的计算。本专利技术同时公开了一种基于SDN的网络安全路由调度系统，用于对数据发送节点发送至目标节点的数据流量进行安全检测，所述基于SDN的网络安全路由调度系统包括：网络安全服务调度中心、多个OpenFlow类型的路由器以及多个网络安全设备，所述路由器和所述网络安全设备构成一网络拓扑结构，且所述网络拓扑结构中的一所述路由器作为入口节点；所述入口节点，用于接收所述数据发送节点发送的数据流量、发送数据流量安全检测请求至所述网络安全服务调度中心、以及接收所述安全服务调度中心下发的数据流向表并根据所述数据流向表将接收到的所述数据流量和数据流向表转发至传输检测路径上的下一个节点；所述网络安全服务调度中心包括：接收模块，用于接收所述数据流量安全检测请求；识别模块，用于识别待检测的数据流量的安全类型，并根据所述安全类型确定所需的网络安全设备；路径计算模块，用于根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径；数据流向表生成模块，用于根据所述传输检测路径生成相应的数据流向表，其中所述数据流向表中包括多个具有先后顺序的路由器和所需的所述网络安全设备，每一所述路由器和每一所述网络安全设备均为所述传输检测路径上的一节点；以及控制下发模块，用于将所述数据流向表下发至所述入口节点，所述传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点。进一步地，当所需的网络安全设备为旁路式网络安全设备时，所述路径计算模块具体用于：从所述网络拓扑结构中查找所述数据发送节点与所述目标节点之间的最短路径、查找所述数据发送节点与所需的所述网络安全设备之间的最短路径，并将两所述最短路径的组合作为所述传输检测路径；或从所述网络拓扑结构中查找所述数据发送节点与所需的第一个所述网络安全设备之间的最短路径、查找所需的各所述网络安全设备之间的最短路径本文档来自技高网...

【技术保护点】
1.一种基于SDN的网络安全路由调度方法，适用于基于SDN的网络安全路由调度系统，用于对数据发送节点发送至目标节点的数据流量进行安全检测，所述基于SDN的网络安全路由调度系统包括：网络安全服务调度中心、多个Open Flow类型的路由器以及多个网络安全设备，所述路由器和所述网络安全设备构成一网络拓扑结构，且所述网络拓扑结构中的一所述路由器作为入口节点，其特征在于，所述方法包括以下步骤：当需要对进入网络拓扑结构中的数据流量进行安全检测时，所述入口节点发送数据流量安全检测请求至所述网络安全服务调度中心；所述安全服务调度中心识别待检测的数据流量的安全类型；根据所述安全类型确定所需的网络安全设备；根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径；根据所述传输检测路径生成相应的数据流向表，其中所述数据流向表中包括多个具有先后顺序的路由器和所需的所述网络安全设备，每一所述路由器和每一所述网络安全设备均为所述传输检测路径上的一节点；将所述数据流向表下发至所述入口节点，其中所述传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点。...

【技术特征摘要】
1.一种基于SDN的网络安全路由调度方法，适用于基于SDN的网络安全路由调度系统，用于对数据发送节点发送至目标节点的数据流量进行安全检测，所述基于SDN的网络安全路由调度系统包括：网络安全服务调度中心、多个OpenFlow类型的路由器以及多个网络安全设备，所述路由器和所述网络安全设备构成一网络拓扑结构，且所述网络拓扑结构中的一所述路由器作为入口节点，其特征在于，所述方法包括以下步骤：当需要对进入网络拓扑结构中的数据流量进行安全检测时，所述入口节点发送数据流量安全检测请求至所述网络安全服务调度中心；所述安全服务调度中心识别待检测的数据流量的安全类型；根据所述安全类型确定所需的网络安全设备；根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径；根据所述传输检测路径生成相应的数据流向表，其中所述数据流向表中包括多个具有先后顺序的路由器和所需的所述网络安全设备，每一所述路由器和每一所述网络安全设备均为所述传输检测路径上的一节点；将所述数据流向表下发至所述入口节点，其中所述传输检测路径上的各节点接收到所述数据流量和所述数据流向表后对所述数据流量进行转发或进行安全检测并转发直至所述数据流量被阻断或到达所述目标节点。2.如权利要求1所述的基于SDN的网络安全路由调度方法，其特征在于，当所需的网络安全设备为旁路式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体为：从所述网络拓扑结构中查找所述数据发送节点与所述目标节点之间的最短路径、查找所述数据发送节点与所需的所述网络安全设备之间的最短路径，并将两所述最短路径的组合作为所述传输检测路径；或从所述网络拓扑结构中查找所述数据发送节点与所需的第一个所述网络安全设备之间的最短路径、查找所需的各所述网络安全设备之间的最短路径、查找所需的最后一个所述网络安全设备与所述目标节点之间的最短路径，将三个所述最短路径依次首尾连接作为所述传输检测路径；或从所述网络拓扑结构中查找所述数据发送节点与所述目标节点之间的最短路径、查找所述最短路径与所需的所述网络安全设备之间的最短路径，将两所述最短路径的组合作为所述传输检测路径。3.如权利要求1所述的基于SDN的网络安全路由调度方法，其特征在于，当所需的网络安全设备为嵌入式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体包括：从所述网络拓扑结构中查找所述数据发送节点与所需的第一个网络安全设备之间的最短路径；依次查找所需的各网络安全设备之间的最短路径；查找所需的最后一个网络安全设备与所述目标节点之间的最短路径；将查找到的各所述最短路径依次首尾相连作为所述传输检测路径。4.如权利要求1所述的基于SDN的网络安全路由调度方法，其特征在于，当所需的网络安全设备包括嵌入式网络安全设备和旁路式网络安全设备时，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径具体包括：从所述网络拓扑结构中查找所述数据发送节点与所需的所述嵌入式网络安全设备之间的最短路径；查找所述最短路径与所需的所述旁路式网络安全设备之间的最短路径；查找所述旁路式网络安全设备与所述目标节点之间的最短路径；将查找到的各所述最短路径依次首尾相连作为所述传输检测路径。5.如权利要求1至4任一项所述的基于SDN的网络安全路由调度方法，其特征在于，所述根据所需的网络安全设备和预设算法从所述网络拓扑结构中查找所述数据流量的传输检测路径的步骤之前还包括：判断所需的所述网络安全设备是否处于空闲状态，对处于空闲状态的所述...

【专利技术属性】
技术研发人员：何利文，黄俊，牛小兵，
申请(专利权)人：中兴通讯股份有限公司，
类型：发明
国别省市：广东,44