背景与概述

SSB（ Software security boundary ）软件安全边界，由CSA国际云安全联盟定义，核心思想是通过SSB架构可以隐藏核心网络资产与设施使之不暴露在internet,极大减少各种攻击行为与安全威胁。

TCP/IP协议是安全基础的弱环，需要先建立连接后验证；SSB通过先身份鉴别再建立连接的方式，让服务器之间建立动态安全连接。

基于SDN的新一代“按需、动态、隐身”的安全网络架构体系， “on-demand, dynamically-provisioned, air gapped networks.”

SSB介绍

       SSB采用先认证、再准入原则，动态、按需、最小化实现网络应用安全连接与访问。

      SSB主要包含两部分：SSB主机和SSB控制器。SSB主机又分为可以创建连接的SSB客户端和可接受连接、控制连接的安全网关（Gateway）。SSB主机可以创建连接或者接受连接。SSB控制器（Controller）主要进行主机认证和策略下发。SSB主机和SSB控制器之间通过一个安全的控制信道进行交互。

SSB工作流程如下：

（1）【client】SSB客户端上线，向SSB安全集中控制器发起连接请求；

（2）【controller认证及策略确认】SSB安全集中控制器在收到用户的连接请求后，对用户请求进行单包认证，实现用户身份进行认证，同时确定该用户可被授予连接的后端资源列表以及连接策略。在未通过单包认证前，控制器不响应任何请求。

（3）【controller通知gateway】SSB控制器通过加密信道通知SSB Gateway主机关于发起连接客户端的信息，以及一些此客户端被授权通信的策略列表；

（4【controller通知client】SSB控制器将可接受连接的安全网关的列表和可选的策略发送给发起连接的客户端；

（5）【client】客户端在收到控制器响应后，向安全网关发起连接请求。

（6）【client与Gateway】安全网关收到客户端连接请求时，核对客户端身份以及控制器下发的关于客户端的信息。核对通过后，客户端与安全网关建立安全隧道连接。

（7）安全网关依据控制策略信息，控制客户端与后端资源的连接。