[發明專利]用于多站點數據中心的安全密碼密鑰分發和管理的上游方案

有效

• 申請號: 201980069131.6
• 申請日: 2019-10-07
• 公開（公告）號: CN112889253B
• 公開（公告）日: 2023-06-23
• 發明（設計）人: 戈文德·普拉薩德·夏爾馬;賈維德·阿斯加爾;普拉布·巴拉坎南;斯里達爾·瓦萊帕利
• 申請（專利權）人: 思科技術公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/08;H04L9/32;H04L12/46;H04L69/22
• 代理公司: 北京東方億思知識產權代理有限責任公司 11258
• 代理人: 郭妍

1.一種對多站點數據中心環境中的站點之間的數據交換提供改進的計算機實現的方法，所述計算機實現的方法包括：

由包括多個站點的多站點數據中心中的軟件定義聯網(SDN)多站點控制器(MSC)經由安全消息傳遞總線從所述多個站點中的第一站點接收向所述多個站點分發第一密鑰以用于對由所述多個站點從所述第一站點接收的加密封包進行解密的請求，其中，所述請求指定了具有所述第一密鑰所對應的第一值的關聯號(AN)；

響應于所述SDN?MSC接收到向所述多個站點分發所述第一密鑰以用于對由所述多個站點從所述第一站點接收的加密封包進行解密的請求，所述SDN?MSC經由所述安全消息傳遞總線向所述多個站點中的第二站點和第三站點提供所述第一密鑰和具有所述第一密鑰所對應的第一值的AN以用于對從所述第一站點接收的加密封包進行解密；

由所述SDN?MSC經由所述安全消息傳遞總線從所述多個站點中的所述第二站點和所述第三站點接收對于所述第一密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的確認；并且

響應于所述SDN?MSC經由所述安全消息傳遞總線從所述多個站點中的所述第二站點和所述第三站點接收到對于所述第一密鑰已被成功部署在所述第二站點和所述第三站點處以用于對從所述第一站點接收的加密封包進行解密的確認，所述SDN?MSC生成并向所述第一站點發送對于所述第一密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的認定，

其中，響應于所述第一站點接收到對于所述第一密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的認定，所述第一站點使用所述第一密鑰來生成被所述第一站點發送到所述多個站點中的所述第二站點和所述第三站點的加密封包的第一集合，其中，來自所述加密封包的第一集合的每個加密封包的媒體訪問控制安全性(MACsec)頭部包括與所述第一站點相對應的安全信道識別符(SCI)和具有所述第一值的AN，并且其中，所述第二站點和所述第三站點處的一個或多個網絡交換機使用來自所述加密封包的第一集合的每個加密封包的MACsec頭部中的與所述第一站點相對應的SCI和具有所述第一值的AN，來從多個密鑰中選擇所述第一密鑰，以對從所述第一站點接收的加密封包的第一集合進行解密。

2.如權利要求1所述的計算機實現的方法，還包括：

由所述SDN?MSC經由所述安全消息傳遞總線從所述多個站點中的所述第一站點接收向所述多個站點分發第二密鑰以用于對由所述多個站點從所述第一站點接收的加密封包進行解密的請求，其中，所述請求指定了具有所述第二密鑰所對應的第二值的AN；

響應于所述SDN?MSC接收到向所述多個站點分發所述第二密鑰以用于對由所述多個站點從所述第一站點接收的加密封包進行解密的請求，所述SDN?MSC經由所述安全消息傳遞總線向所述多個站點中的所述第二站點和所述第三站點分發所述第二密鑰和具有所述第二密鑰所對應的第二值的AN以用于對由所述多個站點中的所述第二站點和所述第三站點從所述第一站點接收的加密封包進行解密；

由所述SDN?MSC經由所述安全消息傳遞總線從所述多個站點中的所述第二站點和所述第三站點接收對于所述第二密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的確認；并且

響應于所述SDN?MSC經由所述安全消息傳遞總線從所述多個站點中的所述第二站點和所述第三站點接收到對于所述第二密鑰已被成功部署在所述第二站點和所述第三站點處以用于對從所述第一站點接收的加密封包進行解密的確認，所述SDN?MSC生成并向所述第一站點發送對于所述第二密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的認定，

其中，響應于所述第一站點接收到對于所述第二密鑰已被成功部署在所述多個站點中的所述第二站點和所述第三站點處的認定，所述第一站點使用所述第二密鑰來生成被所述第一站點發送到所述多個站點中的所述第二站點和所述第三站點的加密封包的第二集合，其中，來自所述加密封包的第二集合的每個加密封包的MACsec頭部包括與所述第一站點相對應的SCI和具有所述第二值的AN，并且其中，所述第二站點和所述第三站點處的所述一個或多個網絡交換機使用來自所述加密封包的第二集合的每個加密封包的MACsec頭部中的與所述第一站點相對應的SCI和具有所述第二值的AN，來從所述多個密鑰中選擇所述第二密鑰，以對從所述第一站點接收的加密封包的第二集合進行解密。