[发明专利]一种基于SDN的RADIUS安全认证方法及系统

权利要求书

1.一种基于SDN的RADIUS安全认证方法，其特征在于，包括如下步骤：

(1)SDN控制器接收RADIUS客户端发送的RADIUS认证请求的数据报文，所述认证请求包括用户名、密码以及用户的MAC地址；

(2)SDN控制器查询本地数据库中当前用户的MAC地址是否在黑名单中，如果在，则解除与该用户的联接，视为RADIUS攻击；

如果该用户不在本地数据库中，则SDN控制器保留一份本地用户信息表，并设置最大访问次数N，对用户进行本地MAC层校验，若同一MAC地址进行认证的次数超过最大值N，则视为恶意攻击，列入黑名单；否则进入下一步骤；

(3)SDN控制器分析RADIUS认证请求的数据报文的特定域，如果数据报文的特定域不合理，则视为恶意攻击，列入黑名单；否则进入下一步骤；

(4)SDN控制器备份数据报文，并将数据报文发送给仿真RADIUS服务器以及仿真RADIUS服务器测试过程中的监测器；

(5)RADIUS仿真服务器接收通过SDN认证请求的数据报文，所述认证请求包括路径转发信息以及用户名和密码相关信息，并对用户名和密码的合法性进行检验，通过路径转发信息将流表下发至监测器；

(6)监测器监测流表中设置的匹配域以及指令，如果通过，则属于监测合法，返回配置信息到本地数据库，并将发送给监测器的数据报文通过监测器返回给SDN控制器，进而转交给RADIUS服务器；否则属于监测异常，则通知SDN控制器将本次认证的用户的MAC地址列入黑名单。

2.根据权利要求1所述的基于SDN的RADIUS安全认证方法，其特征在于，在所述步骤(1)之前还包括设置仿真RADIUS服务器和RADIUS服务器，以及将所述仿真RADIUS服务器和RADIUS服务器均接入到SDN网络中。

3.一种基于SDN的RADIUS安全认证系统，其特征在于，SDN网络包括相连接的RADIUS客户端和网络端，所述网络端包括SDN控制器、以及与所述SDN控制器均连接的RADIUS服务器、仿真RADIUS服务器和监测器，所述仿真RADIUS服务器和监测器相连接；

所述RADIUS客户端：用于向SDN控制器发出RADIUS认证请求的数据报文，所述认证请求包括用户名、密码以及用户的MAC地址；

所述SDN控制器包括接收模块，与RADIUS客户端相连，接收客户端的认证请求；

查询认证模块，与所述接收模块相连，用于查询本地数据库中当前用户的MAC地址是否在黑名单中，如果在，则解除与该用户的联接，视为RADIUS攻击；如果该用户不在本地数据库中，则保留一份本地用户信息表，并设置最大访问次数N，对用户进行本地MAC层校验，若同一MAC地址进行认证的次数超过最大值N，则视为恶意攻击，列入黑名单；

分析模块，与所述查询认证模块相连，用于分析RADIUS认证请求的数据报文的特定域，如果数据报文的特定域不合理，则视为恶意攻击，列入黑名单；

数据复制模块，与所述分析模块连接，用于备份数据报文；

发送模块，与所述数据复制模块连接，将数据报文发送给仿真RADIUS服务器以及仿真RADIUS服务器测试过程中的监测器；

所述RADIUS仿真服务器，与所述发送模块连接，RADIUS仿真服务器接收通过SDN认证请求的数据报文，所述认证请求包括路径转发信息以及用户名和密码相关信息，对用户名和密码的合法性进行检验，通过路径转发信息将流表下发至监测器；

所述监测器，与所述发送模块连接，监测器监测流表中设置的匹配域以及指令，如果通过，则属于监测合法，返回配置信息到本地数据库，并将发送给监测器的数据报文通过监测器返回给SDN控制器，进而转交给RADIUS服务器；否则属于监测异常，则通知SDN控制器将本次认证的用户的MAC地址列入黑名单。