[发明专利]一种SDN架构下虚拟网络接入鉴权系统

说明书

本发明提供了一种SDN架构下虚拟网络接入鉴权系统，包括：虚拟机，虚拟机内部部署有认证客户端，负责802.1x认证、注销的发起；虚拟交换机，部署于虚拟机的宿主机内，用于根据SDN控制器下发的OpenFlow流表对端口进行授权以及对虚拟机流量进行转发；SDN控制器，部署于云平台中，与虚拟交换机的管理网络连接，转发认证报文至认证服务器，基于验证结果与入网信息，生成OpenFlow流表指导交换机进行转发；认证服务器，用于验证认证报文信息，返回验证结果与入网信息至SDN控制器。本发明实现了云计算环境下基于SDN和802.1X协议的虚拟机接入认证、授权、注销的完整流程和功能。

技术领域

本发明涉及虚拟机网络接入领域，特别涉及一种SDN架构下虚拟网络接入鉴权系统。

背景技术

近年来，云计算作为一种新的计算模式，已快速发展成为一个新兴研究和应用领域，得到了越来越多的关注和广泛的应用，在数字化转型的浪潮下，各行各业传统业务系统都在向云上迁移。云计算环境中大量使用虚拟化技术，将原本固定、不易伸缩的物理资源，通过“软件定义”的方式抽象为可灵活配置、弹性伸缩的虚拟资源，这种模式极大的提高了资源利用率和使用的灵活性，但也存在一定的安全隐患。在虚拟机的网络接入方面，由于在目前基于SDN的云计算虚拟化网络环境下，缺乏有效的接入鉴权机制，原有防火墙、主机防火墙等边界防护手段无法有效、准确的阻止云内虚机对租户网络的非授权访问，所以发展适应云内虚拟资源动态变化、迁移的虚拟网络接入鉴权技术势在必行。

传统的接入鉴权机制基于局域网接入鉴权协议(802.1x协议)，建立在对传统网络的构建基础之上，通过基于物理交换机端口实现接入鉴权。然而，在基于SDN架构的云计算环境下，同一宿主机中的虚拟机共用一个物理网卡，使用同一个交换机端口接入网络，导致传统的接入鉴权方案无法实现对单个虚拟机的接入鉴权控制；同时，同一宿主机内部的虚拟机间通讯通过内部虚拟交换机，导致通过物理交换机端口进行接入鉴权的方式无法生效。

发明内容

针对云计算环境下虚拟机的网络接入鉴权问题，为了最大程度保持和现行技术体制的一致，兼容现有身份管理、认证鉴权系统，实现接入鉴权方案从物理环境到虚拟化环境的平滑迁移，提出了一种基于802.1x的SDN架构下虚拟机网络接入鉴权系统，实现云计算环境中虚拟机的接入鉴权。

本发明采用的技术方案如下：一种SDN架构下虚拟网络接入鉴权系统，包括：

虚拟机，虚拟机内部部署有认证客户端，负责802.1x认证、注销的发起；

虚拟交换机，部署于虚拟机的宿主机内，用于根据SDN控制器下发的OpenFlow流表对端口进行授权以及对虚拟机流量进行转发；

SDN控制器，部署于云平台中，与虚拟交换机的管理网络连接，转发认证报文至认证服务器，基于验证结果与入网信息，生成OpenFlow流表指导虚拟交换机进行转发；

认证服务器，用于验证认证报文信息，返回验证结果与入网信息至SDN控制器；

其中，虚拟机初次启动时，虚拟交换机向SDN控制器注册虚拟机端口，SDN控制器下发初始流表策略至虚拟交换机，禁止除EAPoL协议包之外的数据报通过。

进一步的，宿主机内设有多个虚拟机，每个虚拟机均部署有认证客户端。

进一步的，所述虚拟交换机包括接口授权模块和报文转发模块，接口授权模块用于根据OpenFlow流表完成虚拟接口的授权和访问控制策略的配置；报文转发模块，用于将认证客户端发送的报文转发至SDN控制器。

进一步的，所述SDN控制器还包括认证管理模块与流表控制模块，认证管理模块用于转发认证报文并根据认证服务器返回的入网信息生成OpenFlow流表，流表控制模块用于将OpenFlow流表下发至虚拟交换机。