[发明专利]一种基于SDN网络路径的访问控制方法及系统

摘要

本发明提供一种基于SDN网络路径选择的网络访问控制方法，基于现有SDN架构，通过SDN交换机、SDN控制器、认证服务器、流量分析设备、ACA对接入网络的主机进行实时的流量监控，确保访问网络服务的用户主机接入网络进行认证和授权，建立用户和服务器之间的访问路径，根据用户的行为证据计算信任度，根据信任度采取针对该用户的访问控制策略，保证内网的安全。

主权项

1.一种基于SDN网络路径选择的网络访问控制方法，步骤包括：/n1)用户访问某网络服务时广播一ARP请求，该ARP请求由SDN交换机上传到SDN控制器，SDN控制器判断发出该ARP请求的用户是否已认证，如否，则要求其进行身份认证；/n2)如用户通过认证，SDN控制器将其认证时所使用的认证信息报给ACA，该认证信息包括用户名、终端MAC地址以及用户终端连接SDN交换机的端口，同时给SDN交换机下发流表f3，该流表能将所有IP数据包上传到SDN控制器；/n3)用户通过认证后，其ARP请求被正常处理，随之发出的IP数据包上传到SDN控制器，SDN控制器解析该IP数据包，获得地址信息并报给ACA，该地址信息包括源MAC地址、目的MAC地址、源IP地址、目的IP地址以及IP数据包中传输层端口字段；/n4)ACA根据上述源MAC地址确定发起请求的用户，并根据用户的认证信息确定其权限，根据该权限判断其请求是否合法，如合法，则为该请求建立一条网络路径，否则通知SDN控制器生成并下发流表f5，将该请求的数据包丢弃；/n5)SDN控制器根据上述网络路径信息生成流表f4，并下发到所涉及的SDN交换机上，以建立用户与服务器之间的网络路径；/n6)将来自该用户的所有流量镜像到流量分析设备上以提取行为证据，并将该行为证据报给ACA，ACA根据该行为证据计算信任度的值，并根据信任度的值采取针对该用户的访问控制策略。/n