[發(fā)明專利]一種數(shù)據(jù)中心綜合管理系統(tǒng)及其網(wǎng)絡(luò)安全實現(xiàn)方法

在審

• 申請?zhí)枺?/td>: 201810494135.6
• 申請日: 2018-05-22
• 公開（公告）號: CN108768714A
• 公開（公告）日: 2018-11-06
• 發(fā)明（設(shè)計）人: 李俊山
• 申請（專利權(quán)）人: 鄭州云海信息技術(shù)有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 濟(jì)南信達(dá)專利事務(wù)所有限公司 37100
• 代理人: 孟峣

1.一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，基于SDN架構(gòu)，該SDN架構(gòu)中配置有應(yīng)用平面、控制平面和數(shù)據(jù)平面，在控制平面與數(shù)據(jù)平面之間配置有南向接口，控制平面與應(yīng)用平面之間配置有北向接口；在所述SDN架構(gòu)中，還配置有以下模塊：

網(wǎng)絡(luò)安全應(yīng)用模塊，為應(yīng)用平面的一個應(yīng)用程序，定期通過控制平面獲取底層網(wǎng)絡(luò)運行狀態(tài)信息，同時提供服務(wù)；

SOCKET接口服務(wù)模塊，配置在控制平面中，并通過北向接口與應(yīng)用平面完成對接，獲取網(wǎng)絡(luò)安全應(yīng)用模塊中的服務(wù)；

信息篩選模塊，配置在控制平面中，用于對接收到的數(shù)據(jù)包信息進(jìn)行篩選，確定數(shù)據(jù)包是否通過；

統(tǒng)一管理模塊，配置在控制平面中，對網(wǎng)絡(luò)安全進(jìn)行整體管理，同時完成服務(wù)管理，在該統(tǒng)一管理模塊中，當(dāng)網(wǎng)絡(luò)安全應(yīng)用模塊啟動加載提供服務(wù)后，該統(tǒng)一管理模塊首先完成服務(wù)的注冊，然后接收經(jīng)過SOCKET接口服務(wù)模塊、信息篩選模塊的服務(wù)信息地址列表，再將該服務(wù)信息地址列表經(jīng)下述一次轉(zhuǎn)發(fā)模塊、信息流轉(zhuǎn)發(fā)模塊提供給消費者，由消費者根據(jù)該服務(wù)信息地址列表，基于軟負(fù)載均衡算法，選擇服務(wù)進(jìn)行調(diào)用，如果調(diào)用失敗，再選另一個調(diào)用，通過Invoke函數(shù)調(diào)用實現(xiàn)異步回調(diào)；且所有服務(wù)調(diào)用的信息存儲在日志中，該調(diào)用信息包括服務(wù)調(diào)用次數(shù)和調(diào)用時間；

一次轉(zhuǎn)發(fā)模塊，配置在控制平面中，是通過OpenFlow 協(xié)議與數(shù)據(jù)平面進(jìn)行信息的交互，將來自數(shù)據(jù)平面的信息發(fā)送至信息篩選模塊，并將對數(shù)據(jù)包的控制信息傳遞到數(shù)據(jù)平面；

信息流轉(zhuǎn)發(fā)模塊，配置在數(shù)據(jù)平面中，運行支持OpenFlow協(xié)議的設(shè)備，該設(shè)備包括支持OpenFlow 協(xié)議的交換機(jī)。

2.根據(jù)權(quán)利要求1所述的一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，所述網(wǎng)絡(luò)安全應(yīng)用模塊用于在數(shù)據(jù)平面的交換機(jī)接到惡意數(shù)據(jù)包或者網(wǎng)絡(luò)拓?fù)渲械哪承╂溌肥r，實時評估當(dāng)前網(wǎng)絡(luò)的安全狀態(tài)，從而調(diào)整對網(wǎng)絡(luò)狀況查詢頻率，及時地通過控制平面向數(shù)據(jù)平面下發(fā)包括相應(yīng)的信息篩選規(guī)則的有效措施。

3.根據(jù)權(quán)利要求1所述的一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，所述SOCKET接口服務(wù)模塊向應(yīng)用平面提供開放的可編程接口，即SOCKET接口，相對應(yīng)的，信息篩選模塊通過該可編程接口完成與上層網(wǎng)絡(luò)安全應(yīng)用模塊的交互；所述可編程接口還用于編寫網(wǎng)絡(luò)安全策略，并下發(fā)至數(shù)據(jù)平面的交換機(jī)中。

4.根據(jù)權(quán)利要求1所述的一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，所述信息篩選模塊中配置一套篩選規(guī)則，規(guī)則定義了信息篩選模塊對于數(shù)據(jù)包的具體操作，對接收到的數(shù)據(jù)完成通過或丟棄決策，所述篩選規(guī)則是對數(shù)據(jù)包頭中域的參數(shù)值進(jìn)行匹配，該包頭涵蓋多個域，包括源IP 地址、目標(biāo)IP 地址、源MAC 地址、目的MAC 地址、通信協(xié)議號，相對應(yīng)的，信息篩選的過程即在控制平面中通過對接收到數(shù)據(jù)包進(jìn)行解析，檢查數(shù)據(jù)包的頭部匹配域的參數(shù)值，從而決定是否讓數(shù)據(jù)包通過或者直接進(jìn)行丟棄。

5.根據(jù)權(quán)利要求1所述的一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，所述一次轉(zhuǎn)發(fā)模塊對數(shù)據(jù)平面中的網(wǎng)絡(luò)拓?fù)浠蛄鞅眄椥畔⒍ㄆ谶M(jìn)行統(tǒng)計，并將所獲得的信息傳遞給信息篩選模塊。

6.根據(jù)權(quán)利要求5所述的一種數(shù)據(jù)中心綜合管理系統(tǒng)，其特征在于，所述流表項信息存儲在數(shù)據(jù)平面的交換機(jī)中，并按照OpenFlow 協(xié)議制定，該流表項由匹配域、計數(shù)器和動作三項組成，在數(shù)據(jù)平面的信息流轉(zhuǎn)發(fā)模塊中，數(shù)據(jù)的轉(zhuǎn)發(fā)是對交換機(jī)中的流表項進(jìn)行優(yōu)先級的匹配，對于匹配成功的數(shù)據(jù)包直接執(zhí)行流表項中的動作和計數(shù)器功能，對于沒有匹配成功的數(shù)據(jù)包將以PACKET_IN 的形式發(fā)送到控制平面進(jìn)行處理。