[发明专利]一种基于SDN网络路径的访问控制方法及系统

权利要求书

1.一种基于SDN网络路径选择的网络访问控制方法，步骤包括：

1)用户访问某网络服务时广播一ARP请求，该ARP请求由SDN交换机上传到SDN控制器，SDN控制器判断发出该ARP请求的用户是否已认证，如否，则要求其进行身份认证；

2)如用户通过认证，SDN控制器将其认证时所使用的认证信息报给ACA，该认证信息包括用户名、终端MAC地址以及用户终端连接SDN交换机的端口，同时给SDN交换机下发流表f3，该流表能将所有IP数据包上传到SDN控制器；

3)用户通过认证后，其ARP请求被正常处理，随之发出的IP数据包上传到SDN控制器，SDN控制器解析该IP数据包，获得地址信息并报给ACA，该地址信息包括源MAC地址、目的MAC地址、源IP地址、目的IP地址以及IP数据包中传输层端口字段；

4)ACA根据上述源MAC地址确定发起请求的用户，并根据用户的认证信息确定其权限，根据该权限判断其请求是否合法，如合法，则为该请求建立一条网络路径，否则通知SDN控制器生成并下发流表f5，将该请求的数据包丢弃；

5)SDN控制器根据上述网络路径信息生成流表f4，并下发到所涉及的SDN交换机上，以建立用户与服务器之间的网络路径；

6)将来自该用户的所有流量镜像到流量分析设备上以提取行为证据，并将该行为证据报给ACA，ACA根据该行为证据计算信任度的值，并根据信任度的值采取针对该用户的访问控制策略。

2.根据权利要求1所述的方法，其特征在于，初始状态下网络中所有用户的终端均为未注册状态，SDN交换机上含有流表f1，该流表将所有到达该SDN交换机的数据包丢弃。

3.根据权利要求2所述的方法，其特征在于，用户在接入网络之前，其接入的SDN交换机和所连接SDN交换机的端口由系统管理员配置，配置信息由ACA传输到SDN控制器；SDN控制器根据该配置信息生成流表f2并下发到SDN交换机，该流表可将端口信息、源MAC为配置信息里的MAC的终端认证数据包和ARP数据包上传到SDN控制器。

4.根据权利要求3所述的方法，其特征在于，用户进行认证时，系统管理员给ACA提供注册信息，ACA将注册信息传输给SDN控制器，SDN控制器给SDN交换机下发流表f2以获取来自用户的认证数据包。

5.根据权利要求3所述的方法，其特征在于，如用户未通过认证，则ACA通知SDN控制器ARP请求非法，并下发流表f5给SDN交换机，以丢弃来自该请求的所有数据包，同时记录该次非法访问过程并作为该用户的行为证据。

6.根据权利要求3、4或5所述的方法，其特征在于，流表f1、f2、f3、f4、f5的优先级为f5＞f4＞f3＞f2＞f1。

7.根据权利要求1或5所述的方法，其特征在于，行为证据包括身份可信度、越权访问、流量攻击、畸形数据包攻击、扫描网络中主机和端口；信任度包括子信任度和总信任度，子信任度与行为证据一一对应，包括身份安全子信任度、越权访问安全子信任度、流量安全子信任度、畸形数据包安全子信任度、扫描攻击安全子信任度。

8.根据权利要求7所述的方法，其特征在于，利用层次分析法计算子信任度和总信任度的值。

9.根据权利要求7所述的方法，其特征在于，所述根据信任度的值采取针对该用户的访问控制策略，是指比较子信任度和总信任度的值是否低于预设的阈值，如低于，则对用户采取相应的访问控制策略；访问控制策略为将不同的安全设备编排进网络路径，实现不同访问控制；包括：

如身份安全子信任度、越权访问安全子信任度低于阈值，则将用户身份确认设备编排进网络路径；如流量安全子信任度低于阈值，则将流量清洗设备编排进网络路径；如畸形数据包安全子信任度低于阈值，则将畸形包清洗设备编排进网络路径；如扫描攻击安全子信任度低于阈值，由于本方案未给越权访问建立访问路径，则系统扫描无效，路径不变；如总信任度低于阈值，则将用户进行隔离。