[發明專利]數據流處理方法及系統、控制器、交換設備

有效

• 申請號: 201210579220.5
• 申請日: 2012-12-27
• 公開（公告）號: CN103051557A
• 公開（公告）日: 2013-04-17
• 發明（設計）人: 孟健;王雨晨
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L12/813
• 分類號: H04L12/813
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 劉芳

1.一種數據流處理方法，其特征在于，包括：

接收軟件定義網絡中任一交換設備發送的數據流的第一特征信息，根據預設安全規則和所述第一特征信息，檢測所述數據流是否安全，獲得檢測結果；

若所述檢測結果為安全，則為所述數據流制定轉發策略，向所述交換設備下發所述轉發策略，以供所述交換設備根據所述轉發策略對所述數據流進行轉發處理；

若所述檢測結果為不安全，則生成第一指示，并向所述交換設備下發所述第一指示，所述第一指示用以指示所述交換設備丟棄所述數據流。

2.根據權利要求1所述的方法，其特征在于，所述預設安全規則包括：

禁止或允許具有特定特征信息的數據流發起設備對另一具有特定特征信息的數據流接收設備執行特定操作。

3.根據權利要求1所述的方法，其特征在于，所述第一特征信息為所述數據流首報文的包頭，或所述數據流的首報文，或所述數據流中包括首報文在內的多個數據包。

4.根據權利要求1至3中任一所述的方法，其特征在于，還包括：

若所述檢測結果為暫時無法確認是否安全，則向所述交換設備下發第二指示，所述第二指示用以指示所述交換設備發送所述數據流的第二特征信息。

5.根據權利要求4所述的方法，其特征在于，所述第二特征信息為所述數據流的首報文，或所述數據流中包括首報文在內的多個數據包，或所述數據流的全部數據包。

6.一種數據流處理方法，其特征在于，包括：

接收數據流，判斷存儲的轉發策略表中是否存在所述數據流對應的轉發策略；

若所述轉發策略表中不存在對應的轉發策略，則向軟件定義網絡中的控制器發送所述數據流的第一特征信息；

接收所述控制器下發的處理指示，所述處理指示是所述控制器根據預設安全規則、以及所述第一特征信息檢測所述數據流是否安全后，根據檢測結果下發的；

若所述處理指示為轉發策略，則根據所述轉發策略對所述數據流進行轉發處理，所述轉發策略是控制器在所述檢測結果為安全的情況下為所述數據流制定的；

若所述處理指示為用以指示所述交換設備丟棄所述數據流的第一指示，則根據所述第一指示丟棄所述數據流。

7.根據權利要求6所述的方法，其特征在于，所述預設安全規則包括：

禁止或允許具有特定特征信息的數據流發起設備對另一具有特定特征信息的數據流接收設備執行特定操作。

8.根據權利要求6所述的方法，其特征在于，所述數據流的第一特征信息為所述數據流首報文的包頭，或所述數據流的首報文，或所述數據流中包括首報文在內的多個數據包。

9.根據權利要求6至8所述的方法，其特征在于，還包括：

若所述處理指示為用以指示所述交換設備發送所述數據流的第二特征信息的第二指示，則向所述控制器發送所述數據流的第二特征信息。

10.根據權利要求9所述的方法，其特征在于，所述數據流的第二特征信息為所述數據流的首報文，或所述數據流中包括首報文在內的多個數據包，或所述數據流的全部數據包。

11.一種控制器，其特征在于，包括：

接收模塊，用于接收軟件定義網絡中任一交換設備發送的數據流的第一特征信息；

安全檢測模塊，用于根據預設安全規則和所述接收模塊接收的所述第一特征信息，檢測所述數據流是否安全，獲得檢測結果；

安全策略生成模塊，用于在所述安全檢測模塊的檢測結果為安全時，為所述數據流制定轉發策略；或者，在所述安全檢測模塊的檢測結果為不安全時，生成第一指示，所述第一指示用以指示所述交換設備丟棄所述數據流；

發送模塊，用于向所述交換設備下發所述安全策略生成模塊生成的所述轉發策略，以供所述交換設備根據所述轉發策略對所述數據流進行轉發處理；或者，向所述交換設備下發所述安全策略生成模塊生成的所述第一指示。

12.根據權利要求11所述的控制器，其特征在于，

所述安全策略生成模塊，還用于在所述安全檢測模塊的檢測結果為暫時無法確認是否安全時，生成第二指示，所述第二指示用以指示所述交換設備發送所述數據流的第二特征信息；

所述發送模塊還用于向所述交換設備下發所述安全策略生成模塊生成的所述第二指示。