[发明专利]一种基于SDN网络路径的访问控制方法及系统

说明书

本发明提供一种基于SDN网络路径选择的网络访问控制方法，基于现有SDN架构，通过SDN交换机、SDN控制器、认证服务器、流量分析设备、ACA对接入网络的主机进行实时的流量监控，确保访问网络服务的用户主机接入网络进行认证和授权，建立用户和服务器之间的访问路径，根据用户的行为证据计算信任度，根据信任度采取针对该用户的访问控制策略，保证内网的安全。

技术领域

本发明涉及计算机网络安全领域，更为具体地，涉及一种基于SDN网络路径的访问控制方法及系统。

背景技术

随着计算机网络的发展，网络安全形势变得越来越严峻，网络安全问题也越来越受到国家、企业的重视。传统的网络安全威胁模型假设内网的人员和设备都比外网的安全可信得多，网络安全威胁主要来自网络外部。基于这种假设，出现了各种网络安全设备，如防火墙、入侵检测设备等，这些设备都是部署在网络的内部与外部的连接处，用来保证内部网络的安全。但是据美国CAI/FBI关于计算机犯罪及安全调查显示，有网络安全问题带来的损失68％与内部威胁有关；另外，全球调查机构IDC的安全统计数据显示，来自企业内部终端的安全威胁占整个安全威胁的70％以上；近年来发生的“棱镜门”事件、韩国信用局信用卡信息被盗事件都给各国、各企业和单位敲响了网络内部威胁的警钟。要保证网络的安全，做好对内部威胁的防护也相当重要。

但是当前对内部威胁的防护力度比较小，当前防护内网主机威胁的技术主要是网络访问控制技术，网络访问控制技术是根据安全策略，限制终端设备对网络资源的可用性来达到强化专有网络安全的方法。目前具有代表性的网络访问控制技术架构主要有Cisco的C-NAC架构、Microsoft的NAP架构和TCG的TNC架构。C-NAC、NAP和TCG三种网络访问控制技术在功能上具有相似性。它们都是为了保证网络终端的安全接入。当有终端要求接入本地网络时，需要对终端进行校验，不仅验证用户名、口令、用户证书等与用户相关的信息，而且验证终端是否与管理员预先制定的安全策略保持一致性。但三种技术对用户的检测主要集中在用户接入时，并且对用户权限的动态调整性差，用户接入网络后，如出现非法行为，无法自动调整其访问网络的权限。

发明内容

鉴于上述不足，本发明提供一种基于SDN网络路径的访问控制方法及系统，对接入网络的用户进行实时的流量监控，在内网中对用户接入网络进行认证和授权，建立用户与服务器之间的网络路径，根据用户的行为证据计算信任度，根据信任度采取针对该用户的访问控制策略，保证内网的安全。

为解决上述技术问题，本发明采用如下技术方案：

一种基于SDN网络路径选择的网络访问控制方法，步骤包括：

1)用户访问某网络服务时广播一ARP请求，该ARP请求由SDN交换机上传到SDN控制器，SDN控制器判断发出该ARP请求的用户是否已认证，如否，则要求其进行身份认证；

2)如用户通过认证，SDN控制器将其认证时所使用的认证信息报给ACA，该认证信息包括用户名、终端MAC地址以及用户终端连接SDN交换机的端口，同时给SDN交换机下发流表f3，该流表能将所有IP数据包上传到SDN控制器；

3)用户通过认证后，其ARP请求被正常处理，随之发出的IP数据包上传到SDN控制器，SDN控制器解析该IP数据包，获得地址信息并报给ACA，该地址信息包括源MAC地址、目的MAC地址、源IP地址、目的IP地址以及IP数据包中传输层端口字段；

4)ACA根据上述源MAC地址确定发起请求的用户，并根据用户的认证信息确定其权限，根据该权限判断其请求是否合法，如合法，则为该请求建立一条网络路径，否则通知SDN控制器生成并下发流表f5，将该请求的数据包丢弃；

5)SDN控制器根据上述网络路径信息生成流表f4，并下发到所涉及的SDN交换机上，以建立用户与服务器之间的网络路径；