[发明专利]一种基于MPLS封装的安全服务链动态编排方法

说明书

本发明提出了一种基于MPLS封装的安全服务链动态编排方法，涉及网络安全技术领域。本发明在MPLS多协议标签交换的基础上，对其头部进行了重定义，并提出了生成流量分类表和牵引流表的方法，实现网络与安全功能服务链的动态编排。本发明将MPLS作为SFC封装协议，可实现同一安全功能模块在不同安全服务链中的复用，同时无需额外扩展Openflow协议和改造当前SDN交换机功能，因此能够在实际中快速应用。

技术领域

本方法涉及网络安全技术领域，特别是指一种基于MPLS封装的安全服务链动态编排方法。

背景技术

在网络通信过程中，包含各式各样的服务功能(Service Function，SF)，既包括传统的像FW、IDS、NAT等安全功能，也包括特定的应用服务功能如视频、Web应用。将这些网络服务与安全功能有序地组合起来，并让流量按序流经这些服务功能就构成了服务功能链。SFC的目的是动态建立服务链使不同的流量可以按照不同顺序导向不同的服务功能模块。其概念类似于策略路由，即SFC使网络报文流量走特定的路径，而不是通过IP目的地址来查看路由表得最终目的地。

SFC主要应用于软件定义网络(Software Defined Network，SDN)技术中，通常用来联同网络功能虚拟化(Network Function Virtualization，NFV)实现特定功能。

虚拟安全功能通常表现为提供安全服务的虚拟机，一个虚拟机上会有1个或多个网络端口(port)，虚拟安全功能服务链就是一条由虚拟功能的port构成的port链。

port链包括port的列表以及分类器的列表。port的列表用于定义网络与安全功能的顺序，分类器的列表用于指定分类后的流量进入哪个port链，实现流量与port链的绑定。如果一个安全功能有一对port，那么第一个port为入口，第二个port为出口。port链在实际应用中以一连串port对来呈现。分类器用于选择能够访问port链的流量，只要流量匹配到了分类器的分类规则，就会被重定向到port链的第1个port。安全服务链动态编排技术本质就是实现流量与安全服务链的绑定以及流量在安全服务链中安全功能之间的跳转。

针对用户的网络与安全需求，需要研究服务功能路径的生成，从而完成SFC封装，构建安全服务链。但是，现有技术中尚缺少网络与安全功能服务链的动态编排方法。

发明内容

有鉴于此，本发明提出了一种基于MPLS封装的安全服务链动态编排方法，该方法重定义了MPLS协议的头部，实现流量与安全服务链的绑定，并利用分类器生成流量分类流表和安全功能转发的流量牵引流表，保障不同的流量可以按照不同顺序导向不同的安全功能模块。

为了实现上述目的，本发明采用的技术方案为：

一种基于MPLS封装的安全服务链动态编排方法，其包括以下步骤：

(1)根据流量的特征，通过分类器创建流量分类流表，根据数据包头信息对流量进行流表匹配；在流量分类流表中，将目的MAC地址设置为安全服务链中首个安全功能vFW虚拟机的MAC地址，并将流量转发到封装流表；

(2)通过重定义MPLS协议的头部字段，封装服务链报头，将流量与安全服务链进行绑定；重定义的方式为：

①将MPLS协议头部的label字段定义为：nsp8|nsi，其中nsp表示安全服务链的标识，nsi表示下一个安全服务功能的序号，8表示左移8位，|表示将前后两部分连接起来；

②将MPLS的TTL字段定义为下一个安全服务功能的序号nsi；

(3)查询虚拟交换机的配置信息，获取安全服务链中所有安全功能虚拟机在虚拟交换机中对应的网络端口编号；

(4)根据安全服务链中安全功能虚拟机和网络端口的关联关系，构建网络端口对，每个网络端口对中第1个网络端口为入口，第2个网络端口为出口；