[发明专利]一种基于SDN的数据流加密方法和系统

说明书

本发明实施例提供一种基于SDN的数据流加密方法和系统，所述方法包括：控制器配置数据流加密选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表处理接收到的数据报文。本发明能够提高处理数据报文的效率。

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种基于SDN(Software DefinedNetwork，软件定义网络)的数据流加密方法和系统。

背景技术

IP(Internet Protocol，网络之间互连的协议)包本身不包含安全特征，IP包的数据没机密性、真实性和完整性等安全认证，从而导致目前网络中的许多应用系统处于不设防或少设防的状态，存在较多的安全隐患，IP通信可能会遭受如下攻击：窃听、纂改、IP欺骗，例如如果数据采用明文传送，中途经过了许多未知的网络，在达到目的地之前很可能被攻击者捕获、解码并恶意修改。

ESP(Encapsulating Security Payload，封装安全载荷)用于为IP提供保密性和抗重播服务，包括数据包内容的保密性和有限的流量保密性。

传统的ESP采用DES-CBC(密文分组链接方式)算法，如图1所示，包括：101，发送方构建密钥；102，发送方向接收方发送密钥；103，发送方使用密钥对数据加密；104，发送方把密文和ESP头部发送给接收方；105，接收方使用密钥对数据解密；106，接收方验证后去掉ESP头部。但是在此过程中，发送方构建密钥，单独发送密钥到接收方，因此只有接收方才能验证报文，处理效率非常低。

发明内容

本发明实施例提供一种基于SDN的数据流加密方法和系统，能够提高处理数据报文的效率。

本发明实施例提供一种基于SDN的数据流加密方法，包括：控制器配置数据流加密选项；控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；控制器接收交换机上报的未匹配流表的报文，并根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器生成密钥，向转发路径上的交换机下发流表，其中入口交换机和出口交换机流表中包含密钥，转发路径上的交换机根据下发的流表处理接收到的数据报文。

进一步地，所述数据流加密选项的配置项包括SDN数据流加密功能开关项和SDN数据流加密算法，其中，SDN数据流加密功能开关项用于启用或关闭SDN数据流加密功能，SDN数据流加密算法设置SDN数据流的加密算法为密文分组链接方式或空。

进一步地，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体包括：控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；控制器根据所述交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址，采用链路层发现协议计算网络拓扑。

进一步地，所述SDN中，包括入口交换机、中间交换机和出口交换机；所述控制器生成密钥，向转发路径上的入口交换机和出口交换机下发包含密钥的流表，向中间交换机下发不包含密钥的流表，所述流表中设置：对于入口交换机，使用密钥对原始数据报文封装ESP加密头形成加密数据报文；对于中间交换机，对接收到加密数据报文进行透明传输；对于出口交换机，对使用密钥对接收到加密数据报文进行解密，并去掉ESP加密头，还原成原始数据报文。