[发明专利]基于SDP组件的网络系统及终端设备安全防护方法

权利要求书

1.一种基于SDP组件的网络系统，在应用平面、控制平面和数据平面的三层平面架构下，利用SDP组件为数据平面的接入终端设备进行安全管控，其特征在于，在数据平面中的SR网络域外节点、SR网络域入口路由器及网络服务资源间，部署基于信任阈值进行恶意终端检测的多级应用网关，该多级应用网关至少包含：用于对接入SR网络域内终端设备进行入网通信级身份验证的一级应用网关，及用于对接入SR网络域内终端设备进行资源访问级身份验证的二级应用网关，其中，一级应用网关信任阈值低于二级应用网关信任阈值；应用平面中同时集成有SDP应用和SR应用；控制平面中部署有SDP控制器及用于控制SR路由器的控制模块，该控制模块为SR网络控制器或SR路径计算单元，SDP控制器及控制模块组件间建立mTLS连接；数据平面中，将公开网络中的用户和/或主机绑定为网络代理，并利用映射函数将该网络代理映射为连接发起主机，利用SDP控制器并结合多级应用网关对连接发起主机进行恶意终端威胁管控；控制平面中各节点通过运行标签管理器来确保SR网络中SR组件与非SR组件之间的通信，其中，SR组件至少包含：SR路径计算单元、SR网络控制器及SR路由器，非SR组件至少包含：连接发起主机和连接接受主机；且将SR域入口节点和SR域内服务资源处设置的层级式应用网关作为连接接受主机，利用层级式连接接受主机对SR网络中接入域内的终端设备进行梯度式访问控制；连接发起主机通过一级应用网关连接至路由设备，并通过域入口路由节点请求SDP控制器对其进行身份认证；SDP控制器认证通过后，向连接发起主机授权可访问连接接受主机列表、访问凭据及访问策略，并向主机列表中涉及的连接接受主机通告已授权连接发起主机身份、访问凭据及访问策略；一级应用网关修改包过滤规则，向连接发起主机转达授权相关信息；连接发起主机使用访问凭据及自身SPA包与一级应用网关建立mTLS连接；连接发起主机访问二级应用网关时，以SR网络域入口节点为头节点，生成到达二级应用网关直连路由设备的Segment列表，将该列表压入数据包报头，并将包含访问凭据的SPA包作为数据包负载，通过SR源路由传送机制向二级应用网关请求访问，通过验证后经中间路由器为其与二级应用网关之间建立mTLS连接。

2.一种面向基于SDP组件的网络系统的终端设备安全防护方法，其特征在于，基于权利要求1所述的系统实现，多级应用网关呈串联模式分别接入SR网络域入口节点和服务资源。

3.根据权利要求2所述的面向基于SDP组件的网络系统的终端设备安全防护方法，其特征在于，连接发起主机接入SR网络前，预先通过接入应用平面进行网络代理身份验证和安全信息项的读取录入。

4.根据权利要求2所述的面向基于SDP组件的网络系统的终端设备安全防护方法，其特征在于，一级应用网关持续对连接发起主机进行信任评估，若连接发起主机临时访问凭据到期时，其信任值高于信任阈值时，允许信用续租，访问凭据延期，否则关闭其与一级应用网关之间的mTLS连接，并设置需经SDP控制器重新验证后再恢复连接。

5.根据权利要求2所述的面向基于SDP组件的网络系统的终端设备安全防护方法，其特征在于，一级应用网关访问控制中的异常检测，包含：通过检测接收到的报文包中MPLS报头标签数量关系来判断是否为连接发起主机对域内标签进行探测；以SR网络中可用带宽下降的负反馈来判定连接发起主机对域内的环路攻击，利用SR域控制器对环路包中源IP溯源判断攻击来源；通过连接发起主机向一级应用网关发送报文的平稳度及转发速率来判断其节点行为是否异常。