[发明专利]密码定义网络安全体系构建方法、体系架构及数据转发方法

权利要求书

1.一种密码定义网络安全体系构建方法，其特征在于，包含如下内容：

建立若干用于描述网络设施和/或网络资源的实体，并依据各实体特征生成与实体对应的实体属性；并为每个实体分配用于表示身份ID数据的实体标识；其中，所述实体至少包含如下类型：用户接入网络进行资源访问的用户设备，作为安全网关来执行安全策略的转发器，作为策略决策点并用于为转发器分发隧道策略的控制器，用于对同一控制域内的转发器和控制器进行注册管理的域管理器，用于持续分析管理控制器和转发器运行时间日志的运行时间日志管理系统，用于持续监测维护控制器和转发器设备状态的持续可信管理系统，用于证书和密钥管理的密钥管理系统，用于监视体系运行过程并制定和调整隧道策略的安全管理系统，及用于访问控制管理的身份管理系统；所述实体属性包含：实体类型，用于描述实体名称、IP地址及证书凭证的逻辑属性，用于描述实体硬件配置和地理位置的物理属性，及用于描述实体所属控制子域的域属性；

根据业务数据流，利用不同密码套件将网络内实体进行分组并划分到对应控制子域，同一密钥分组控制子域内的实体相互之间基于实体标识和安全策略建立可信网络链接，同时为每一密钥分组控制子域定义网络边界。

2.根据权利要求1所述的密码定义网络安全体系构建方法，其特征在于，所述实体标识采用字节进行编码，其中，实体标识编码包含：隧道类型字段、网络分组标识字段、实体类型字段、实体编号字段、所属域管理器字段、所属控制器字段、实体内软设备编号字段及预留字节。

3.一种密码定义网络安全体系架构，其特征在于，基于权利要求1所述的方法实现，将网络中设备和资源进行切片，采用密码套件将网络划分为与业务数据流对应并通过密码隔离的若干控制子域，利用实体标识将各控制子域中的相关实体进行关联，并基于信道标识选取数据转发路径来进行流数据包的转发。

4.根据权利要求3所述的密码定义网络安全体系架构，其特征在于，网络中设备包含：用户接入网络进行资源访问的用户设备，作为安全网关来执行安全策略的转发器，作为策略决策点并用于为转发器分发隧道策略的控制器，及用于对同一控制域内的转发器和控制器进行注册管理的域管理器。

5.根据权利要求3所述的密码定义网络安全体系架构，其特征在于，网络中资源包含：用于持续分析管理控制器和转发器运行时间日志的运行时间日志管理系统，用于持续监测维护控制器和转发器设备状态的持续可信管理系统，用于证书和密钥管理的密钥管理系统，用于监视体系运行过程并制定和调整隧道策略的安全管理系统，及用于访问控制管理的身份管理系统。

6.一种密码定义网络安全体系数据转发方法，其特征在于，基于权利要求3所述的体系架构实现，通过实体标识将网络中物理实体和逻辑实体关联，其中，物理实体包含：用于用户接入网络进行资源访问的用户设备、作为安全网关来执行安全策略的转发器、作为策略决策点来为转发器分发隧道策略的控制器、及用于对同一控制域内的转发器和控制器进行注册管理的域管理器，逻辑实体包含：用于持续分析管理控制器和转发器运行时间日志的运行时间日志管理系统，用于持续监测维护控制器和转发器设备状态的持续可信管理系统，用于证书和密钥管理的密钥管理系统，用于监视体系运行过程并制定和调整隧道策略的安全管理系统，及用于访问控制管理的身份管理系统，转发过程包含如下内容：

转发器依据用户设备请求向控制器申请用于数据转发的安全策略；

控制器根据转发器发送的转发请求信息从身份管理系统中获取认证授权决策来确定转发器能否建立隧道连接，并从安全管理系统中获取用于创建转发器之间密码定义网络的安全策略，其中，转发请求信息包含：转发数据五元组、转发器和用户设备两者的实体标识及访问时间；

转发器依据安全策略建立基于信道标识的安全信道，基于信道标识对数据包进行加密转发。