[发明专利]一种SDN网络南向控制可信连接方法

权利要求书

1.一种SDN网络南向控制可信连接方法，其特征在于，包括以下步骤：

S1. 建立安全隧道传输连接认证；

S2. 根据安全隧道传输机制封装数据包，发送方提取IP数据包的数据部分通过哈希完成签名计算，将设备证书的数字签名1附加在IP数据包后面，重新封装IP报文，进行发送；

S3. 根据安全隧道传输机制接收数据包，接收方对请求数据包的数字签名1字段进行验签；

S4. 完成交互流程。

2.根据权利要求1所述的一种SDN网络南向控制可信连接方法，其特征在于，所述步骤S1具体为：

S101. 可信网络节点设备B启动认证流程，发起认证；

S102. 启动安全状态监控；

S103. 可信网络控制器A向可信网络节点设备B发送携带随机数R_A的HELLO消息，同时可信网络节点设备B向可信网络控制器A发送携带随机数R_B、数字签名W_B和可信网络节点设备证书C_B的HELLO消息互相协商Openflow协议版本；

S104.可信网络控制器A对接收的HELLO消息进行证书验证；验证失败，则断开连接直到持续监控到安全状态恢复正常；验证成功，则可信网络控制器A向可信网络节点设备B发送携带数字签名W_A和可信网络控制器证书C_A的请求数据包来询问可信网络节点设备B的特性信息；

S105. 可信网络节点设备B对接收的请求数据包进行证书验证；验证失败，则断开连接直到持续监控到安全状态恢复正常；验证成功，则可信网络节点设备B向可信网络控制器A发送响应数据包回复可信网络节点设备B的特性信息。

3.根据权利要求1所述的一种SDN网络南向控制可信连接方法，其特征在于，所述步骤S2具体为：

S201. 通过预置根证书下发签名给发送方的设备证书；

S202. 发送方将IP数据包的数据部分进行哈希计算完成压缩形成数字签名1；

S203. 发送方使用设备证书对数字签名1进行私钥加密，并将数字签名1作为字段附着在IP数据包上；

S204. 完成封装后，发送IP数据包。

4.根据权利要求1所述的一种SDN网络南向控制可信连接方法，其特征在于，所述步骤S3具体为：

S301. 接收IP数据包；

S302. 接收方通过预置根证书对发送方的设备证书进行验签；

S303. 接收方提取请求IP数据包的数据部分进行哈希计算完成压缩形成数字签名2；

S304. 将请求IP数据包的数字签名1字段进行公钥解密得到消息摘要；

S305. 比对数字签名1和消息摘要，比对结果一致则接受数据包，比对结果不同则丢弃数据包。

5.根据权利要求2所述的一种SDN网络南向控制可信连接方法，其特征在于，所述随机数R_A和随机数R_B通过取时间参数哈希计算产生。

6.根据权利要求2所述的一种SDN网络南向控制可信连接方法，其特征在于，所述数字签名W_A为可信网络控制器A对数据R_A和R_B进行哈希计算后的签名，所述数字签名W_B为可信网络节点设备B对数据R_A和R_B进行哈希计算后的签名。

7.根据权利要求2所述的一种SDN网络南向控制可信连接方法，其特征在于，所述C_A为包括有私钥和公钥的可信网络控制器的数字安全证书，所述C_B为包括有私钥和公钥的可信网络节点设备的数字安全证书。

8.根据权利要求2所述的一种SDN网络南向控制可信连接方法，其特征在于，所述可信网络节点设备B包括交换机。