基于SDN的電力通信網(wǎng)的安全防護(hù)架構(gòu)設(shè)計(jì)

張思拓，謝 堯，吳 柳，辜曉波

（中國南方電網(wǎng)有限責(zé)任公司 廣東 廣州510663）

基于SDN的電力通信網(wǎng)的安全防護(hù)架構(gòu)設(shè)計(jì)

張思拓，謝 堯，吳 柳，辜曉波

（中國南方電網(wǎng)有限責(zé)任公司 廣東 廣州510663）

針對(duì)電力通信網(wǎng)絡(luò)對(duì)SDN網(wǎng)絡(luò)安全可靠性的需求，提出了一種SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)，從而提高SDN網(wǎng)絡(luò)架構(gòu)的穩(wěn)定性。該網(wǎng)絡(luò)使用了一種應(yīng)用等級(jí)劃分的授權(quán)管理機(jī)制和一種動(dòng)態(tài)密碼方式的身份認(rèn)證機(jī)制，更加關(guān)注SDN架構(gòu)中實(shí)體間的授權(quán)管理機(jī)制和身份認(rèn)證機(jī)制，使SDN的控制器和交換機(jī)均擁有"代理"中記錄的身份特征。仿真實(shí)驗(yàn)結(jié)果表明，該架構(gòu)提高了鏈路和控制器的可靠性，加強(qiáng)了身份識(shí)別，降低了秘鑰管理的復(fù)雜度，能有效避免單點(diǎn)失效問題，且解耦了應(yīng)用層和控制層的依賴關(guān)系。

SDN；電力通信網(wǎng)絡(luò)；安全防護(hù)；授權(quán)管理；動(dòng)態(tài)身份認(rèn)證

Abstract:In order to meet the requirement of security and reliability of SDN network for power communication network，an security protection architecture based on SDN network is proposed to improve the stability of SDN network architecture.The network focuses on the authorization management mechanism and identity authentication mechanism among the entities in the SDN architecture.It uses an authorization management mechanism of application level division and a dynamic authentication mechanism of password，so that the SDN controller and the switch have the identity in the record of"agent".The simulation results show that the architecture improves the reliability of the link and the controller，enhances the identification and reduces the complexity of the secret key management， can effectively avoid the failure of single point，and decouple the dependencies between application layer and control layer.

Key words:SDN； power communication network； security protection；authorization management；dynamic authentication

電力系統(tǒng)是由分散在各個(gè)地區(qū)的發(fā)電、輸變電、配電和用電這4個(gè)部分組成[1]。而電力通信網(wǎng)絡(luò)是用于保障供電系統(tǒng)這4部分的安全性、經(jīng)濟(jì)性以及電能分配合理性的統(tǒng)一調(diào)度和集中管理的通信網(wǎng)絡(luò)[2]。電力通信網(wǎng)絡(luò)通常由電力線載波通信、衛(wèi)星通信、光纖通信和微波通信構(gòu)建而成[3]，彌補(bǔ)了公網(wǎng)發(fā)展速度慢和電力通信高需求通信能力的不足。該網(wǎng)絡(luò)使用EPON+SDH/PTN組網(wǎng)方式，即由EPON完成業(yè)務(wù)的接入及由SDH/PTN完成業(yè)務(wù)的傳輸。電力通信網(wǎng)絡(luò)通常使用無金屬自承式光纜和纏繞式光纜進(jìn)行光纖通信[5]。

隨著物聯(lián)網(wǎng)技術(shù)的發(fā)展，電力通信網(wǎng)絡(luò)的流量驟增，電力業(yè)務(wù)也逐漸“IP”化[7]，因傳統(tǒng)通信架構(gòu)的上述局限性使其難以滿足現(xiàn)階段電力通信網(wǎng)絡(luò)的發(fā)展需求。 目前，SDN 網(wǎng)絡(luò)[8]（Software Defined Networking，軟件定義網(wǎng)絡(luò)）逐漸替代傳統(tǒng)的電力通信網(wǎng)絡(luò)，被電力系統(tǒng)所認(rèn)同與接受。SDN的接口開放、靈活能支持按需調(diào)用，在邏輯層面進(jìn)行集中控制能滿足靈活調(diào)度的要求。SDN技術(shù)與網(wǎng)絡(luò)虛擬化技術(shù)的結(jié)合使用，使得不同業(yè)務(wù)相互隔離，網(wǎng)絡(luò)安全性更高。通過結(jié)合使用傳統(tǒng)的物理通信網(wǎng)絡(luò)和SDN技術(shù)，能實(shí)現(xiàn)敏捷和智能的電力通信網(wǎng)[9]，為電力通信業(yè)務(wù)提供有力的網(wǎng)絡(luò)支持。然而，SDN的控制器易產(chǎn)生單點(diǎn)失效的問題，且缺乏全局視圖和總體控制能力，從而整個(gè)網(wǎng)絡(luò)的可靠性較低[9]，制約了電力通信網(wǎng)絡(luò)的發(fā)展。

為了保證電力通信網(wǎng)絡(luò)安全可靠運(yùn)行，本文提出了一種SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)，提高SDN網(wǎng)絡(luò)架構(gòu)的穩(wěn)定性。該網(wǎng)絡(luò)使用了一種應(yīng)用等級(jí)劃分的授權(quán)管理機(jī)制和一種動(dòng)態(tài)密碼方式的身份認(rèn)證機(jī)制，更加關(guān)注SDN架構(gòu)中實(shí)體間的授權(quán)管理機(jī)制和身份認(rèn)證機(jī)制，使SDN的控制器及交換機(jī)均擁有“代理”中記錄的身份特征。

1 SDN相關(guān)技術(shù)

圖1 SDN架構(gòu)

雖然SDN的集中控制性和可編程性為SDN網(wǎng)絡(luò)提供各種優(yōu)勢，同時(shí)也為SDN帶來了一些獨(dú)特的安全問題。如圖2所示為SDN架構(gòu)常見的安全問題及其對(duì)應(yīng)的層次。

圖2 SDN安全問題分析

2 基于SDN的電力通信網(wǎng)的安全防護(hù)架構(gòu)

針對(duì)電力通信網(wǎng)絡(luò)對(duì)SDN網(wǎng)絡(luò)安全可靠性的需求，本文提出了一種SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)，提高SDN網(wǎng)絡(luò)架構(gòu)的穩(wěn)定性。該網(wǎng)絡(luò)使用了一種應(yīng)用等級(jí)劃分的授權(quán)管理機(jī)制和一種動(dòng)態(tài)密碼方式的身份認(rèn)證機(jī)制，更加關(guān)注SDN架構(gòu)中實(shí)體間的授權(quán)管理機(jī)制與身份認(rèn)證機(jī)制，使SDN的控制器和交換機(jī)均擁有“代理”中記錄的身份特征。該架構(gòu)具有以下優(yōu)點(diǎn)：

1）解耦了應(yīng)用層和控制層的依賴關(guān)系，使應(yīng)用不再強(qiáng)烈依賴控制層，便于靈活部署；

2）解耦了控制層中的網(wǎng)絡(luò)管理與授權(quán)管理，更加清晰簡明控制層的功能；

3）加強(qiáng)了身份識(shí)別；

4）降低了秘鑰管理的復(fù)雜度；

5）能有效避免單點(diǎn)失效問題。

從腦血管系統(tǒng)、中樞神經(jīng)系統(tǒng)、運(yùn)動(dòng)系統(tǒng)、心肺系統(tǒng)、感覺系統(tǒng)、心理健康6個(gè)方面對(duì)老年康復(fù)服務(wù)對(duì)象的康復(fù)服務(wù)需求進(jìn)行統(tǒng)計(jì)。結(jié)果顯示，康復(fù)服務(wù)需求前五位為腦血管疾病康復(fù)、骨關(guān)節(jié)疾病康復(fù)、高血壓康復(fù)、視力康復(fù)、聽力康復(fù)，此外冠心病、糖尿病的康復(fù)需求也較高。調(diào)研結(jié)果還顯示，智能障礙及心理問題康復(fù)需求也是存在的，需要我們多加關(guān)注。

SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)總體設(shè)計(jì)，如圖3所示。該架構(gòu)包括數(shù)據(jù)通信線路和配置通信線路，數(shù)據(jù)通信線路使用雙向通信，配置通信線路則采用受限雙向通信。圖3中，認(rèn)證代理是應(yīng)用和設(shè)備的身份登記與授權(quán)機(jī)構(gòu)。在實(shí)體登記入網(wǎng)時(shí)，需要登記其身份特征并接受控制器的查詢請求。當(dāng)控制失效時(shí)，代理可隨時(shí)向?qū)嶓w發(fā)送命令?？刂破骱驮O(shè)備間采用OpenFlow協(xié)議連接，本文修改了該協(xié)議以方便進(jìn)行動(dòng)態(tài)秘鑰認(rèn)證。代理與控制器的通信方式選用TLS方式，不僅可以滿足通信效率的需求，且能保證通信安全。控制器與應(yīng)用之間采用動(dòng)態(tài)秘鑰進(jìn)行通信。

圖3 SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)總體設(shè)計(jì)

系統(tǒng)成功驗(yàn)證各個(gè)實(shí)體的身份后，使用隨機(jī)數(shù)加密身份信息并進(jìn)行通信。該系統(tǒng)使用動(dòng)態(tài)密碼進(jìn)行身份認(rèn)證，結(jié)合時(shí)間和坐標(biāo)等動(dòng)態(tài)因素，通過專用的算法計(jì)算用戶的長口令并生成變化的密碼。

本文使用HMAC-SHA1算法生成動(dòng)態(tài)密碼，該算法使用SHA1散列算法將一個(gè)任意長的消息或秘鑰生成一個(gè)20字節(jié)長的消息摘要，計(jì)算公式為：

HMAC（K，M）=H（K XOR Opad，H（K XOR Ipad，M））

其中，H表示迭代式散列算法，K表示共享秘鑰；M表示待驗(yàn)證數(shù)據(jù)塊；Ipad表示0x36初始化的、長度為B字節(jié)的數(shù)據(jù)塊；Opad表示0x5C初始化的、長度為B字節(jié)的數(shù)據(jù)塊。詳細(xì)密碼計(jì)算流程，如圖4所示。系統(tǒng)加密處理流程，如圖5所示。

圖4 密碼計(jì)算流程

圖5 系統(tǒng)加密處理流程

應(yīng)用于控制器和認(rèn)證代理之間的認(rèn)證過程，如圖6所示。采用動(dòng)態(tài)密碼技術(shù)進(jìn)行身份識(shí)別，并對(duì)應(yīng)用標(biāo)識(shí)不同的安全等級(jí)進(jìn)行授權(quán)管理，具體的通信認(rèn)證過程為：

圖6 控制器和認(rèn)證代理之間的認(rèn)證過程

1）代理注冊應(yīng)用的編號(hào)、應(yīng)用名和秘鑰等信息；

2）應(yīng)用發(fā)送連接請求，并計(jì)算動(dòng)態(tài)密碼S；

3）接收到請求后，控制器向代理查詢身份并設(shè)置該應(yīng)用所對(duì)應(yīng)的安全等級(jí)，若查不到應(yīng)用的信息，則拒絕其連接請求；

4）控制器計(jì)算動(dòng)態(tài)密碼，S’用于應(yīng)用的驗(yàn)證；

5）如通過驗(yàn)證，則接收該應(yīng)用的調(diào)用并記錄操作日志；

6）每隔一定的時(shí)間間隔，控制器發(fā)送修改動(dòng)態(tài)密碼的請求，并等待應(yīng)用修改成功的消息；

7）修改成功后需要修改代理中的配置。

3 實(shí)驗(yàn)分析

3.1 實(shí)驗(yàn)設(shè)置

本文選用的實(shí)驗(yàn)平臺(tái)上網(wǎng)絡(luò)的軟硬件規(guī)格如下：選用Mikrotik R52 Hn和Ubiquiti Routerstation Pro作為SDN中網(wǎng)絡(luò)路由器的網(wǎng)卡和網(wǎng)絡(luò)板卡。其中，Routerstation Pro為含有680 MHz AR7161芯片的無線高性能板卡，R52 Hn使用AR9220芯片集，其的物理層能支持高達(dá)300 Mbps的傳輸數(shù)據(jù)率。此外，嵌入式Linux選用OpenWrt KAMIKAZE r22190數(shù)據(jù)包。

本實(shí)驗(yàn)使用OpenFlow1.4.0實(shí)現(xiàn)SDN控制器，網(wǎng)絡(luò)拓?fù)鋱D，如圖8所示。其中，包含7個(gè)電網(wǎng)節(jié)點(diǎn)（A～G）。

圖7 實(shí)驗(yàn)網(wǎng)絡(luò)拓?fù)鋱D

圖8 非法控制器連接

3.2 實(shí)驗(yàn)結(jié)果與分析

在SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)中，應(yīng)用層和轉(zhuǎn)發(fā)層均使用動(dòng)態(tài)密碼身份認(rèn)證，文中首先進(jìn)行了動(dòng)態(tài)密碼認(rèn)證功能的有效性驗(yàn)證實(shí)驗(yàn)。在配置好代理和控制器的雙向認(rèn)證后，代理在數(shù)據(jù)庫中記錄了控制器的非對(duì)稱秘鑰。此外，本文還使用非法控制器進(jìn)行接入實(shí)驗(yàn)。結(jié)果表明，網(wǎng)絡(luò)能識(shí)別出非法接入，并拒絕連接，結(jié)果如圖8所示。

配置和登記好交換機(jī)的初始信息后，模擬發(fā)送內(nèi)容相同的信息，并由wireshark抓包。結(jié)果如圖9所示，表明對(duì)于相同的發(fā)送信息得到的加密結(jié)果均不同，從而暴露出未加密的信息。

同時(shí)文中也驗(yàn)證了系統(tǒng)的QoS和DOS（Denial of Service），實(shí)驗(yàn)結(jié)果如圖 10所示。 圖 10（a）給出了流量限制時(shí)系統(tǒng)的不同吞吐量?？梢钥闯?，前20 s沒有使用QoS，而在25 s進(jìn)行了比率限制。圖10（b）為實(shí)時(shí)監(jiān)控對(duì)DOS攻擊的場景，當(dāng)使用泛洪攻擊時(shí)，ICMP回應(yīng)被淹沒的節(jié)點(diǎn)。此時(shí)出現(xiàn)了DOS不可用的情況，經(jīng)過一段時(shí)間后，才能正常使用DOS控制。

圖9 wireshark抓取未加密數(shù)據(jù)

4 結(jié)束語

文中針對(duì)電力通信網(wǎng)絡(luò)對(duì)SDN網(wǎng)絡(luò)安全可靠性的需求，提出了一種SDN網(wǎng)絡(luò)安全防護(hù)架構(gòu)，提高SDN網(wǎng)絡(luò)架構(gòu)的穩(wěn)定性。該網(wǎng)絡(luò)使用了一種應(yīng)用等級(jí)劃分的授權(quán)管理機(jī)制和一種動(dòng)態(tài)密碼方式的身份認(rèn)證機(jī)制，更加關(guān)注SDN架構(gòu)中實(shí)體間的授權(quán)管理機(jī)制和身份認(rèn)證機(jī)制，使SDN的控制器和交換機(jī)均擁有“代理”中記錄的身份特征。仿真實(shí)驗(yàn)結(jié)果表明，該架構(gòu)提高了鏈路和控制器的可靠性，加強(qiáng)了身份識(shí)別，降低了秘鑰管理的復(fù)雜度，能有效避免單點(diǎn)失效問題，且解耦了應(yīng)用層與控制層的依賴關(guān)系。

[1]朱宏.電網(wǎng)規(guī)劃智能輔助決策系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].科技創(chuàng)業(yè)家，2014（7）:77-82.

[2]Nguyen V G， Do T X， Kim Y H.SDN and Virtualization-Based LTE Mobile Network Architectures:A Comprehensive Survey[J].Wireless Personal Communications， 2016，86（3）:1401-1438.

[3]Cui L， Yu F R， Yan Q.When big data meets software-defined networking:SDN for big data and big data for SDN[J].IEEE Network， 2016，30（1）:58-65.

[4]Aslan M，Matrawy A.On the Impact of Network StateCollection on thePerformanceofSDN Applications[J].IEEE Communications Letters，2016，20（1）:5-8.

[5]Nakao A.Application Specific Slicing For MVNO Through Software-Defined Data Plane Enhancing SDN[J].Ieice Transactions on Communications，2016，E98.B（11）:2111-2120.

[6]Sitohang D.Implementasi Load-Balancing dengan Metode Round Robin dalam Software Defined Networking（SDN） Menggunakan Controller Pox[J].Econometrica， 2016，43（3）:513-18.

[7]蔣濤，秦奮，俞偉勇，等.電網(wǎng)通信網(wǎng)絡(luò)設(shè)備智能巡檢體系研究及應(yīng)用[J].電信技術(shù)，2014（4）:69-72.

[8]黃輝，王易文，沈衛(wèi)康.面向電力通信網(wǎng)的高可靠SDN架構(gòu)及數(shù)據(jù)保護(hù)策略研究[J].電子設(shè)計(jì)工程，2016，24（17）:77-80.

[9]林斌，曾瑛，李星南，等.基于近鄰傳播聚類的電力通信告警分析方法 [J].電子設(shè)計(jì)工程，2016，24（16）:142-145.

[10]Mckeown N，Anderson T，Balakrishnan H，et al.OpenFlow:enabling innovation in campus networks[J].Acm Sigcomm Computer Communication Review，2008，38（2）:69-74.

[11]葉斐.SDN在電力通信網(wǎng)中的適應(yīng)性研究[D].重慶:重慶大學(xué)，2014.

[12]劉川，黃輝，喻強(qiáng)，等.基于SDN的電力通信集中控制高可靠性業(yè)務(wù)支撐機(jī)制研究[J].電力信息與通信技術(shù)，2015（12）:1-5.

[13]陳彬，李虹.電力通信系統(tǒng)服務(wù)安全與風(fēng)險(xiǎn)評(píng)估技術(shù)研究[J].電子科技，2016，29（12）:126-129.

[14]郭云飛，劉世棟，王瑤.SDN技術(shù)在電力光通信網(wǎng)絡(luò)中的應(yīng)用研究[J].微型機(jī)與應(yīng)用，2014（23）:68-71.

[15]喬林，尹曉華，邸卓，等.支撐電力大數(shù)據(jù)平臺(tái)的SDN架構(gòu)研究[J].電力信息與通信技術(shù)，2015，13（1）:21-26.

[16]伍連啟.基于SDN的WLAN功率控制技術(shù)研究[J].廣東通信技術(shù)，2017，37（2）:76-79.

[17]廖珊.基于VPN的機(jī)房網(wǎng)絡(luò)架構(gòu)及安全體系設(shè)計(jì)[J].電子科技，2016（4）:187-189.

[18]汪海波，任偉濤，劉旭，等.基于任意波形發(fā)生器產(chǎn)生模擬HPM脈沖[J].現(xiàn)代應(yīng)用物理，2015（1）：66-69.

Design of security protection architecture of power communication network based on SDN

ZHANG Si-tuo，XIE Yao，WU Liu，GU Xiao-bo
（China Southern Power Grid Company Limited， Guangzhou510663，China）

圖10 QoS和DOS測試

TN915

A

1674－6236（2017）19-0136-05

2017-03-07稿件編號(hào)201703067

南方電網(wǎng)通信網(wǎng)管及業(yè)務(wù)應(yīng)用平臺(tái)統(tǒng)一安全架構(gòu)研究及示范項(xiàng)目（ZDKJXM00000010）

張思拓（1983—），男，湖南岳陽人，碩士，高級(jí)工程師。研究方向：電力系統(tǒng)通信與數(shù)據(jù)網(wǎng)絡(luò)。