SDP软件定义边界入门1

最新推荐文章于 2024-07-19 08:55:10 发布

zgrztzy

最新推荐文章于 2024-07-19 08:55:10 发布

阅读量1.2k

点赞数

分类专栏： sdp 文章标签：网络 tcp/ip 网络协议

本文链接：https://blog.csdn.net/zgrztzy/article/details/121006836

版权

sdp 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

SDP（软件定义边界）是一种安全框架，通过身份验证而非网络地址控制资源访问。它隐藏网络资产，防止直接暴露于互联网，采用加密、认证等技术确保安全。SDP包括连接发起主机、接受主机和控制器，通过动态隧道模式实现安全通信。适用于企业应用隔离、私有云、SaaS等多个场景。

摘要由CSDN通过智能技术生成

参考:SDP架构初识 - syyh-01 - 博客园

一、定义

定义sdp：SDP是Software Defined Perimeter的缩写，全称是软件定义边界。

理解：SDP改变了传统的网络控制模式，原来通过网络TCP/IP、路由做寻址，现在通过身份寻址。 SDP旨在使应用程序所有者能够在需要时部署边界，以便将服务与不安全的网络隔离开来。

软件定义边界（SDP）是由云安全联盟（CSA）开发的一种安全框架，它根据身份控制对资源的访问。该框架基于美国国防部的“need to know”模型——每个终端在连接服务器前必须进行验证，确保每台设备都是被允许接入的。其核心思想是通过SDP架构隐藏核心网络资产与设施，使之不直接暴露在互联网下，使得网络资产与设施免受外来安全威胁。

SDP旨在利用基于标准且已验证的组件，如数据加密、远程认证（主机对远程访问进行身份验证）、传输层安全（TLS，一种加密验证客户端信息的方法）、安全断言标记语言（SAML），它依赖于加密和数字签名来保护特定的访问及通过X.509证书公钥验证访问。将这些技术和其他基于标准的技术结合起来，确保SDP与企业现有安全系统可以集成。

二、术语

Software Defined Perimeter 软件定义边界
Air-gapped networks 安全隔离网络
Initiating Hosts (IH) SDP 连接发起主机
Accepting Hosts (AH) SDP 连接接受主机
Controller SDP 控制器
Department of Defense 美国国防部
Intelligence Communities 美国情报体系
Need-to-know model 需知模型
Virtual Desktop Infrastructure 虚拟桌面基础架构
Single Packet Authorization 单包授权
Dynamical Tunnel Mode 动态隧道模式

代理 ID：（AID）是一个 32 位唯一无符号值，用于标识给定的 SDP 连接发起主机（IH）和/
或 SDP 连接接受主机（AH）。它主要用于单数据包授权。

SDP 连接接受主机—控制器路径：是指每个 SDP 连接接受主机（AH）和控制器之间通信的
信道。

SDP 连接接受方会话：是 SDP 连接接受主机（AH）连接到控制器的特定时间段。

SDP 连接接受主机（AH）会话 ID：由控制器管理的 256 位随机化 NONCE，用于指代特定的 SDP 连接接受方（AH）会话。

动态隧道模式（DTM）：是 SDP 连接发起主机（IH）与一个或多个 SDP 连接接受主机（AH）
通信的建议协议和封装。预计替代协议将被提出。

SDP 连接发起主机会话：是 SDP 连接发起主机（IH）连接到控制器的特定时间段。

SDP 连接发起主机（IH）会话 ID：由控制器管理的 256 位随机化 NONCE，用于指代特定的 SDP 连接发起主机（IH）会话。

64 位 MUX ID（MID）：用于在动态隧道模式下在单个 SDP 连接发起主机（IH） -SDP 连接接
受主机（AH）隧道上复用连接。其中最重要的 32 位组成了控制器为每个远程服务分配的唯一
值，它被称为 MID 的服务 ID。剩余 32 位形成由 SDP 连接发起主机（IH）和 SDP 连接接受主
机（AH）维护的值，以区分特定远程服务的不同 TCP 连接。这被称为 MID 的会话 ID。
服务：服务是指受 SDP 连接接受主机（AH）保护的应用程序及其关联数据。
服务 ID：服务 ID 是 MUX ID 的最重要的 32 位。
会话 ID：会话 ID 是 MUX ID 的次重要的 32 位。

单包授权一次性密码(SPA OTP)：基于 RFC4226 的单包授权（ Single Packet Authorization，即 SPA ），但修改后包含计数器值（见下文）。它作为唯一标识用于在向控制器和可接受连接主机（AH）发起通信时辨认 SDP 连接发起主机（IH）。

三、框架