[發明專利]一種進行安全控制的方法、交換機以及過濾設備

有效

• 申請號: 201611103939.6
• 申請日: 2016-12-05
• 公開（公告）號: CN108156117B
• 公開（公告）日: 2021-04-27
• 發明（設計）人: 董文英
• 申請（專利權）人: 中國移動通信有限公司研究院;中國移動通信集團公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 張愷寧

1.一種進行安全控制的方法，其特征在于，該方法包括：

交換機判斷接收到的數據包的信息是否符合第一安全規則；

若所述數據包的信息不符合所述第一安全規則，則所述交換機將所述數據包轉發至過濾設備，以使所述過濾設備在確定所述數據包的信息不符合第二安全規則后丟棄該數據包；

所述交換機判斷數據包的信息是否符合第一安全規則，包括：

所述交換機判斷是否能夠根據數據包的信息與安全域標記的對應關系確定接收到的數據包的信息對應的安全域標記；

如果能夠確定接收到的數據包的信息對應的安全域標記，則將確定的安全域標記置于數據包中，并判斷所述第一安全規則中的安全域標記集合是否有所述數據包的信息對應的安全域標記，如果有，則確定數據包的信息符合第一安全規則；否則，確定數據包的信息不符合第一安全規則；

如果無法確定接收到的數據包的信息對應的安全域標記，則所述交換機確定數據包的信息不符合第一安全規則。

2.如權利要求1所述的方法，其特征在于，所述第二安全規則中包括所述第一安全規則。

3.一種進行安全控制的方法，其特征在于，該方法包括：

過濾設備判斷數據包的信息是否符合預設的第二安全規則，其中所述數據包的信息是交換機在確定接收到的數據包的信息不符合第一安全規則后發送的；

若所述數據包的信息不符合所述第二安全規則，則所述過濾設備丟棄所述數據包；

所述過濾設備判斷所述數據包的信息是否符合預設的第二安全規則，包括：

所述過濾設備判斷接收到的數據包是否具有與數據包的信息對應的安全域標記；

如果能夠確定接收到的數據包具有與數據包的信息對應的安全域標記，則所述過濾設備判斷所述第二安全規則中的安全域標記集合是否有所述數據包的信息對應的安全域標記，如果有，則確定數據包的信息符合第二安全規則；否則，確定數據包的信息不符合第二安全規則；

如果無法確定接收到的數據包具有與數據包的信息對應的安全域標記，則所述過濾設備判斷所述數據包的信息是否符合第二安全規則中的默認規則，如果是，則確定數據包的信息符合第二安全規則；否則，確定數據包的信息不符合第二安全規則。

4.如權利要求3所述的方法，其特征在于，所述第二安全規則包括所述第一安全規則。

5.如權利要求3所述的方法，其特征在于，該方法還包括：

若所述數據包的信息符合所述第二安全規則，則所述過濾設備將所述數據包發送至交換機，以使所述交換機對所述數據包進行轉發。

6.如權利要求3所述的方法，其特征在于，在所述過濾設備判斷所述數據包的信息是否符合預設的第二安全規則之后，還包括：

所述過濾設備將判斷的結果信息上報給SDN控制器，以使所述SDN控制器根據所述結果信息更新配置在交換機上的第一安全規則。

7.一種進行安全控制的交換機，其特征在于，該交換機包括：

第一判斷模塊，用于判斷接收到的數據包的信息是否符合第一安全規則；

第一處理模塊，用于在所述數據包的信息不符合所述第一安全規則后，將所述數據包轉發至過濾設備，以使所述過濾設備在確定所述數據包的信息不符合第二安全規則后丟棄該數據包；

所述第一判斷模塊具體用于：

判斷是否能夠根據數據包的信息與安全域標記的對應關系確定接收到的數據包的信息對應的安全域標記；

在能夠確定接收到的數據包的信息對應的安全域標記后，將確定的安全域標記置于數據包中，并判斷所述第一安全規則中的安全域標記集合是否有所述數據包的信息對應的安全域標記，如果有，則確定數據包的信息符合第一安全規則；否則，確定數據包的信息不符合第一安全規則；

在無法確定接收到的數據包的信息對應的安全域標記后，確定數據包的信息不符合第一安全規則。

8.如權利要求7所述的交換機，其特征在于，所述第二安全規則中包括所述第一安全規則。