[发明专利]一种基于SDN的RADIUS安全认证方法及系统

摘要

本发明涉及一种基于SDN的RADIUS安全认证方法及系统。该方法将访问RADIUS服务器的数据报文发送到仿真RADIUS服务器对其进行监测，用户发出RADIUS认证请求，SDN控制器查询本地数据库，进行MAC层认证，结束MAC层认证后，对数据报文进行备份，并且对RADIUS请求的特定域进行分析，确保合理，SDN控制器数据报文转交给仿真RADIUS服务器及检测器，仿真RADIUS服务器对用户名和密码的合法性进行检验，在检验过程中配置监测器，如果检验异常，通知SDN控制器，将本次认证的用户的MAC地址列入黑名单，如果检验合法，则将发送至监测器的数据报文转交给RADIUS服务器。本发明防止了同一用户反复恶意认证、防止恶意报文导致的RADIUS服务器崩溃。

主权项

一种基于SDN的RADIUS安全认证方法，其特征在于，包括如下步骤：(1)SDN控制器接收RADIUS客户端发送的RADIUS认证请求的数据报文，所述认证请求包括用户名、密码以及用户的MAC地址；(2)SDN控制器查询本地数据库中当前用户的MAC地址是否在黑名单中，如果在，则解除与该用户的联接，视为RADIUS攻击；如果该用户不在本地数据库中，则SDN控制器保留一份本地用户信息表，并设置最大访问次数N，对用户进行本地MAC层校验，若同一MAC地址进行认证的次数超过最大值N，则视为恶意攻击，列入黑名单；否则进入下一步骤；(3)SDN控制器分析RADIUS认证请求的数据报文的特定域，如果数据报文的特定域不合理，则视为恶意攻击，列入黑名单；否则进入下一步骤；(4)SDN控制器备份数据报文，并将数据报文发送给仿真RADIUS服务器以及仿真RADIUS服务器测试过程中的监测器；(5)RADIUS仿真服务器接收通过SDN认证请求的数据报文，所述认证请求包括路径转发信息以及用户名和密码相关信息，并对用户名和密码的合法性进行检验，通过路径转发信息将流表下发至监测器；(6)监测器监测流表中设置的匹配域以及指令，如果通过，则属于监测合法，返回配置信息到本地数据库，并将发送给监测器的数据报文通过监测器返回给SDN控制器，进而转交给RADIUS服务器；否则属于监测异常，则通知SDN控制器将本次认证的用户的MAC地址列入黑名单。