申请/专利权人：浙江连湖科技有限责任公司

申请日：2020-10-13

公开（公告）日：2022-12-09

公开（公告）号：CN112532575B

主分类号：H04L9/40

分类号：H04L9/40;H04L69/22;H04L45/741;H04L47/24;H04L61/2592;H04L45/00;H04L45/30;H04L101/659

优先权：

专利状态码：有效-授权

法律状态：2022.12.09#授权;2021.04.06#实质审查的生效;2021.03.19#公开

摘要：本发明涉及一种基于SegmentRouting的安全与网络融合的系统，包括安全服务及网络服务，其特征在于，还包括接入服务，将接入服务的处理需要的终端用户的信息集中到接入服务中。本发明的另一个技术方案是提供了一种基于SegmentRouting的安全与网络融合的方法，采用上述的系统。本发明消除了网络服务以及安全服务中的重复部分；避免了对隧道内的数据包进行解封，再封装等重复性的工作；减轻甚至消除安全服务以及网络服务的瓶颈问题；缓解多租户对于安全服务以及网络服务的挑战。

主权项：1.一种基于SegmentRouting的安全与网络融合的系统，包括安全服务及网络服务，其特征在于，还包括接入服务，将接入服务的处理需要的终端用户的信息集中到接入服务中，接入服务在逻辑上可以被看作是安全服务与网络服务的并集，接入服务从安全服务以及网络服务中接管公共部分的工作，还可以接管网络服务中的路由策略以及安全服务中的安全策略，在接入服务中至少可以指定路由策略及网络精细化管理策略；流量管理的安全扩展的SRH由接入服务模块添加，由网络服务执行具体的功能，将流量控制扩展为实现精细化的流量控制，将策略路由扩展为实现基于SRH参数的路由；采用SRv6来融合安全服务与网络服务，统一处理隧道问题、安全服务以及网络服务的问题，安全服务与网络服务在处理报文时无需解开数据包，可以直接通过SRH字段中的数据进行处理；SID，即SegmentRouting，是SRH中的组成部分，基本格式为：LOC:FUNCT:ARG，其中，将用户识别结果与应用识别结果带入到ARG字段中，每个网络精细化管理策略都对应一个SID；在安全策略上，在SRv6隧道方案的基础上，通过扩展SRv6报文的SRH字段引入安全功能，其中：通过引入扩展的SRH字段，将数据包自由的路由到指定的安全审计服务中；通过设计SRH字段，高性能地实现复杂的安全策略，每个安全功能，都对应一个单独的FUNCT，让网络安全服务具备了路由功能，扩展的安全功能包括以下类别：访问控制类安全：根据数据包的分类检查数据包是否能够通过该安全服务，进入到下一个服务中；数据处理类安全：根据参数的不同，可以对数据包进行修改；数据记录类安全：对数据进行记录，能够对访问进行监控；安全服务节点作为一个SRv6中的Endpoint，可以自由的扩展安全功能，以实现安全功能之间的解耦；当安全服务节点配置为访问控制类安全扩展时，其执行步骤如下：步骤A1、安全扩展功能会提取出报文的ARG参数选项，如果参数有效，则继续提取内层信息如果参数无效则选择丢弃报文；步骤A2、当提取出内层包的信息之后，或根据ARG以及内层信息查找相关的策略，如果找到相关的策略，则执行相关策略，如果找不到相关策略，则选择丢弃报文；步骤A3、在执行策略的时候，需要输入参数以及提取到的内层信息，如果策略执行结果为通过，则处理SRH，对报文进行转发，如果不通过，则选择丢弃报文；当安全服务节点配置为数据处理类安全扩展时，其执行步骤如下：步骤B1、安全扩展功能会提取出报文的ARG参数选项，如果参数有效，则继续提取内层信息如果参数无效则选择丢弃报文；步骤B2、当提取出内层包的信息之后，或根据ARG以及内层信息查找相关的策略，如果找到相关的策略，则执行相关策略，如果找不到相关策略，则选择丢弃报文；步骤B3、在执行策略的时候，需要ARG、数据包以及包头信息都需要参与到策略执行中，如果策略执行结果为通过，则更新SRH、IPv6头部，对报文进行转发，如果不通过，则选择丢弃报文；数据记录类安全扩展为无条件记录。

全文数据：

权利要求：

百度查询： 浙江连湖科技有限责任公司 一种基于Segment Routing的安全与网络融合的系统与方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD