[發明專利]用于多站點數據中心的安全密碼密鑰分發和管理的上游方案

有效

• 申請號: 201980069131.6
• 申請日: 2019-10-07
• 公開（公告）號: CN112889253B
• 公開（公告）日: 2023-06-23
• 發明（設計）人: 戈文德·普拉薩德·夏爾馬;賈維德·阿斯加爾;普拉布·巴拉坎南;斯里達爾·瓦萊帕利
• 申請（專利權）人: 思科技術公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/08;H04L9/32;H04L12/46;H04L69/22
• 代理公司: 北京東方億思知識產權代理有限責任公司 11258
• 代理人: 郭妍

一種基于軟件定義聯網(SDN)的“上游”方案是一種基于控制器的解決方案，其為多站點數據中心提供了安全密鑰分發和管理。該方案使用SDN多站點控制器(MSC)，該SDN?MSC充當多站點數據中心中的站點處的SDN控制器之間的中介并且管理密鑰到站點的分發。該方案不取決于任何特定的路由協議，例如邊界網關協議(BGP)，并且很適合于多播流加密，這是通過允許同一密鑰被用于從一上游源站點發送到下游站點的所有復制封包來實現的。該方案以安全方式分發密鑰，確保了在站點之間傳送的數據是以安全方式完成的，并且支持了帶有差錯處理的密鑰更新。

技術領域

實施例總體涉及多站點數據中心，并且更具體而言，涉及用于多站點數據中心的密碼密鑰——本文也稱為“密鑰”——分發和管理的方案。

背景技術

本部分中描述的方案是可以實行的方案，但不一定是先前已經設想到或者實行過的方案。因此，除非另有指明，否則本部分中描述的方案可能不是本申請中的權利要求的現有技術，并且并不因為被包括在本部分中就被承認為是現有技術。

現在跨多個站點來實現許多數據中心，以解決IP移動性、災難恢復、擴展和冗余問題。一些站點正被使用非阻塞交換機架構來實現，例如Clos網絡。關于Clos網絡拓撲，每個站點通常包括連接到大量葉子交換機的脊柱交換機，其中每個葉子交換機連接到物理服務器，每個物理服務器托管虛擬服務器/端點。作為一個示例，站點可包括一個或多個POD，其中每個POD包括大約8-16個脊柱交換機，這些脊柱交換機連接到大約500-1000個葉子交換機。在每個物理服務器托管大約20個虛擬服務器的情況下，每個葉子交換機連接到大約1000-2000個虛擬服務器/端點。站點是利用數據中心互連(data?center?interconnect，DCI)策略被連接的，例如虛擬可擴展局域網(Virtual?Extensible?Local?Area?Network，VXLAN)，其利用封裝在第3層之上創建第2層邏輯網絡，以支持站點之間的流量。

多站點數據中心的問題之一是如何保證站點之間的通信的安全。現有的密鑰分發和管理機制，例如IEEE的媒體訪問控制安全性(Media?Access?Control?Security，MACsec)標準，是基于控制平面的并且只適合于部署在第2層網絡中的設備。它們不太適合于為使用第3層網絡來提供站點之間的通信的多站點數據中心提供密鑰分發和管理。

附圖說明

在附圖中，相似的標號指代相似的元素。

圖1描繪了用于為多站點數據中心提供安全密鑰分發和管理的示例布置。

圖2A和圖2B包括描繪了上游密鑰分配和分發方案的流程圖。

圖3A描繪了在單個發送加密密鑰的情境中用于在多站點數據中心中的站點之間交換數據的發送和接收密鑰的密鑰圖。

圖3B描繪了在單個發送加密密鑰的情境中用于在多站點數據中心中的站點之間交換數據的發送和接收密鑰的密鑰表。

圖4A描繪了在多個發送加密密鑰的情境中用于在多站點數據中心中的站點之間交換數據的發送和接收密鑰的密鑰圖。

圖4B描繪了在多個發送加密密鑰的情境中用于在多站點數據中心中的站點之間交換數據的發送和接收密鑰的密鑰表。

圖5A描繪了SDN?MSC?150將AN＝0的單個密鑰K1從站點1到站點2和站點3的成功部署。

圖5B描繪了密鑰K1到密鑰K2的成功密鑰更新。

圖5C描繪了因為站點3處的失敗引起的密鑰K2到密鑰K3的不成功密鑰更新，該失敗阻止了新密鑰K3的部署。

圖5D描繪了在多次密鑰更新嘗試之后AN＝0的新密鑰K4的成功部署。

圖5E描繪了因為超時引起的密鑰K2到密鑰K3的不成功密鑰更新。