[发明专利]一种基于SDN的软件定义边界实现方法及系统

权利要求书

1.一种基于SDN的软件定义边界实现方法，其特征在于，其步骤包括：

SDN控制器下发单播授权SPA采集流表至SDN交换机；

所述SDN交换机根据所述单播授权SPA采集流表采集来自客户端的单播授权SPA授权报文，并将采集到的所述单播授权SPA授权报文发送至所述SDN控制器；所述单播授权SPA授权报文中包括加密证书、客户端信息和目标服务信息；

所述SDN控制器根据预设的注册信息和所述目标服务信息，判断所述加密证书的合法性，当所述加密证书被判定为合法时，所述SDN控制器根据所述客户端信息和目标服务信息生成授权转发流表；

所述SDN交换机根据所述授权转发流表对接收到的访问报文进行匹配，在匹配成功时转发所述访问报文至所述目标服务信息指定的目标服务。

2.根据权利要求1所述的基于SDN的软件定义边界实现方法，其特征在于，还包括步骤：

将受保护服务的网络信息注册至所述SDN控制器以生成所述注册信息以及所述加密证书；所述注册信息中包括用于解密所述加密证书的凭据。

3.根据权利要求2所述的基于SDN的软件定义边界实现方法，其特征在于，还包括步骤：

所述客户端获取所述加密证书，并根据所述加密证书和欲访问的受保护服务的所述目标服务信息，生成所述单播授权SPA授权报文。

4.根据权利要求3所述的基于SDN的软件定义边界实现方法，其特征在于，所述单播授权SPA授权报文中还包括对应于所述加密证书的加密信息。

5.根据权利要求4中所述的基于SDN的软件定义边界实现方法，其特征在于，所述加密信息包括加密类型、加密模式、签名数据和加密认证数据。

6.根据权利要求2中所述的基于SDN的软件定义边界实现方法，其特征在于，在所述SDN控制器生成所述授权转发流表的步骤之前，还包括步骤：

所述SDN控制器根据所述受保护服务的网络信息下发默认拦截流表至所述SDN交换机，所述默认拦截流表被设置为将目标地址为所述受保护服务的访问报文进行丢弃。

7.根据权利要求6中所述的基于SDN的软件定义边界实现方法，其特征在于，所述SDN交换机根据所述授权转发流表对接收到的访问报文进行匹配，在匹配不成功时根据所述默认拦截流表对所述访问报文进行丢弃。

8.根据权利要求1所述的基于SDN的软件定义边界实现方法，其特征在于，所述目标服务信息包括目标服务的IP地址和端口信息。

9.根据权利要求3所述的基于SDN的软件定义边界实现方法，其特征在于，所述客户端获取所述加密证书的方式是线下获取。

10.一种基于SDN的软件定义边界实现系统，其特征在于，包括SDN控制器和SDN交换机，所述SDN控制器和SDN交换机用于执行如权利要求1-9任一项所述的基于SDN的软件定义边界实现方法以实现软件定义边界。