[發明專利]SDN多域移動網絡環境下主機身份鑒別信息的高效移交機制

有效

• 申請號: 201710484379.1
• 申請日: 2017-06-23
• 公開（公告）號: CN108881131B
• 公開（公告）日: 2021-01-08
• 發明（設計）人: 邢長友;王秀磊;李東陽;戴寧赟;張國敏;胡超
• 申請（專利權）人: 中國人民解放軍理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/30;H04W12/06
• 代理公司: 南京理工大學專利中心 32203
• 代理人: 孟睿

1.一種SDN多域移動網絡環境下主機身份鑒別信息的高效移交方法，其特征在于：

網絡中有多個SDN管理域和全局唯一的認證服務器，認證服務器負責全網通信實體的身份信息分配和認證管理，每個SDN管理域均在認證服務器中進行注冊；

每個SDN管理域通過一個邏輯上唯一的域控制器和若干OpenFlow交換機對域內網絡進行管控；各SDN管理域之間相互獨立，不同SDN管理域之間通過其域控制器進行信息交互；

移動主機在接入網絡前先向認證服務器提供真實身份信息進行注冊，移動主機在不同的SDN管理域間移動時，通過域控制器間的信息交互實現移動主機的跨域接入；

當SDN管理域內的域控制器或移動主機接入移動網絡時，首先向認證服務器提交自身的身份信息進行注冊，由認證服務器為其生成并下發全局唯一身份標識符以及用于身份鑒別的公/私鑰證書；認證服務器還為移動主機當前所屬域控制器提供當前網絡位置下所可能具備的鄰域控制器的身份標識符/公鑰證書；

當前域控制器收到認證服務器下發的鑒別信息后，與鄰域控制器基于公鑰密碼體制的鑒別協議進行相互鑒別，識別出可信鄰域控制器；

當移動主機需要入網通信時，首先與當前歸屬的SDN管理域內的無線接入點設備進行關聯，然后與歸屬域控制器進行鑒別；在關聯時，歸屬域控制器為移動主機創建全局唯一的標識；關聯完畢后，移動主機采用基于公鑰密碼體制的鑒別協議與歸屬域控制器相互鑒別；若通過鑒別，則由歸屬域控制器為移動主機分配歸屬域的IP地址，進行移動主機身份、地址、實體標識符以及全局唯一的標識的綁定，完成入網配置工作，存儲配置信息并分配相關通信資源，使該移動主機能夠進行通信；若沒有通過鑒別，則刪除全局唯一的標識；

一旦監聽到移動主機發起針對目的IP地址的連接，歸屬域控制器將根據管理員所配置的控制策略，判定是否為移動主機所請求的服務進行授權；若同意授權，則由歸屬域控制器為其建立通信路徑；若不同意授權，則將拒絕該流的建立請求；歸屬域控制器將存儲移動主機的安全上下文信息，所述安全上下文信息包含：全局唯一的標識、實體標識符、IP地址、主機MAC地址、歸屬域控制器信息及接入點設備信息、公鑰證書等可以唯一真實標識主機安全環境的信息，同時存儲移動主機正在執行通信的流信息；

當移動主機在通信過程中移動到其他SDN管理域之后，原歸屬域控制器根據相關鑒別信息推送策略，向可信鄰域控制器推送包含安全上下文信息和流信息的通告報文，通知可信鄰域控制器存儲相關信息并為流信息流建立通信路徑；

若移動主在當前歸屬SDN管理域終止通信，其向當前歸屬域控制器發送撤銷通信報文，當前歸屬域控制器回收移動主機所使用的資源并向其鄰域控制器發送撤銷通信報文，告知鄰域控制器刪除之前傳遞的移動主機鑒別信息和流信息集。