[發明專利]一種面向SDN網絡流規則安全保障的區塊鏈及方法

有效

• 申請號: 201811188730.3
• 申請日: 2018-10-12
• 公開（公告）號: CN109525397B
• 公開（公告）日: 2021-05-28
• 發明（設計）人: 朱曉榮;王樹同;趙夙
• 申請（專利權）人: 南京郵電大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 南京瑞弘專利商標事務所(普通合伙) 32249
• 代理人: 陳國強

1.一種面向SDN網絡流規則安全保障的區塊鏈系統，其特征在于：該區塊鏈系統的構成如下：

在每一個SDN子網設置一個安全網關，由安全網關創建第一個區塊，作為初始區塊，其他網絡節點能夠通過訪問這個初始區塊，通過Pow共識機制產生新區塊，涉及SDN網絡安全的流規則信息作為事務保存在區塊中；從第二個區塊開始在每個區塊中設置一個區塊頭用來保存節點數字簽名或者時間戳信息，并在區塊頭中設置一個哈希值，新產生區塊的區塊頭部哈希值基于上一區塊存儲的事務和頭部哈希值，由哈希函數生成；通過這種方式使得保存SDN網絡流規則的區塊構成鏈狀，區塊鏈形成。

2.一種基于權利要求1所述區塊鏈系統的SDN網絡安全保障方法，其特征在于：包括以下兩個方面：

（1）控制器將網絡的全局視圖以及流量信息作為事務存儲到區塊中，同時交換機也將控制器下發的流表作為事務存儲區塊中；隨著網絡不斷運行，SDN網絡中各項設備不斷更新自身承載流規則的各項信息并不斷保存到新產生的區塊上，區塊鏈保證作為事務保存的SDN各項網絡信息不會被攻擊者惡意篡改；

（2）SDN網絡在基于區塊鏈的基礎上由原來單一的集中式認證改善為分布式認證，由其他相鄰節點完成；

所述（2）的具體流程如下：

步驟2.1，需接入SDN網絡的交換機或者路由器向安全網關發送接入請求，其中包含接入信息；已經接入過網絡的設備身份信息會存儲在區塊鏈賬本中；

步驟2.2，安全網關將收到的接入請求封裝映射到區塊鏈網絡中的相應節點；

步驟2.3，觸發區塊鏈網絡中的智能合約，由區塊鏈網絡中的其他節點驗證其接入信息和身份信息，完成分布式認證工作，如果認證通過則將信息在區塊鏈網絡中永久備份；

步驟2.4，區塊鏈網絡將認證結果發送給控制器；

步驟2.5，控制器允許設備接入SDN網絡并下發相應流表；

步驟2.6，接入設備的流表信息在區塊鏈網絡中存儲備份；

如果需要接入SDN網絡的是各種終端設備，則同樣進行上述步驟2.1-2.4，在區塊鏈將認證結果發送給控制器之后，控制器將更新后的流表信息下發到終端接入網絡的第一跳交換機，并且其流表信息在區塊鏈中存儲。

3.根據權利要求2所述的方法，其特征在于：所述（1）的具體流程如下：

步驟1.1，安全網關產生初始區塊，保存SDN網絡最初的流規則和控制器的信息；

步驟1.2，區塊鏈節點通過訪問初始區塊，挖礦產生新的區塊，后產生的區塊頭中有哈希值，哈希值基于前一區塊事務和上一個區塊頭中的哈希值，由哈希函數生成；

步驟1.3，新的流規則產生或者有新合法設備接入，控制器下發相應流表給相應交換機或路由器，然后更新本身的網絡信息，然后將更新后的網絡信息作為事務保存到新產生的區塊上；

步驟1.4，交換機或者路由器接收控制器下發的流表，更新本身流表信息并執行，然后將更新后的流表信息作為事務保存到新產生的區塊上；

步驟1.5，區塊鏈網絡節點通過Pow共識機制挖礦不斷產生新的區塊，其中區塊頭中的哈希值是基于上一區塊事務和上一個區塊頭中的哈希值，由哈希函數生成；

步驟1.6，隨著網絡不斷運行，新的流規則不斷動態生成，并再次重復上述步驟后將更新后的各項網絡信息作為事務存儲在新的區塊上。

4.根據權利要求2所述的方法，其特征在于：所述步驟2.1中，接入信息為如口令或設備的身份信息。