CN112437065A - Sdn环境下基于图形表示的策略冲突检测及解决方法 - Google Patents

Abstract

本发明公开SDN环境下基于图形表示的策略冲突检测及解决方法，本发明使用扩展的多位前缀树存储流规则，并生成相应的等价类EC和配置图，再将网络策略展现成策略图的形式，先将每次网络更新产生的策略更改先应用于网络模型，从该网络模型中计算受到影响的EC；然后，再通过违规检测模块检查网络模型中的每个受到影响的EC是否发生了策略违规；若发生了任何违规，则压缩配置图和物理拓扑图并将其传递给违规解决模块；接着，优化器返回要添加或删除掉的EC配置图的一组边，并将其应用于网络模型，转化为具体的OpenFlow规则；最后利用启发式算法实现规则在转发设备上的最优部署。本发明通过将网络策略正确性条件表示为图形而不是传统方法的路径集合，可以处理更丰富的策略集和实现最佳修复检测到的违规行为。同时，本发明采用启发式的规则布局算法，最小化交换机中的规则数。本发明以较小的开销拒绝非法的流规则，解决了所有的策略违规问题，避免了大量端点策略的规则冲突，保证了一定的网络服务质量。

Description

SDN环境下基于图形表示的策略冲突检测及解决方法

技术领域

本发明涉及网络安全技术，具体涉及一种SDN环境下基于图形表示的策略冲突检测及解决方法。

背景技术

软件定义网络(SDN)是一种新型的网络体系结构，通过将控制模块从转发设备上分离出来，有助于更好地进行网络管理，简化新网络功能的部署。网络控制逻辑由运行在物理设备上的臃肿路由协议组成，与传统网络中的网络拓扑信息和设备配置信息协同工作，而网络控制逻辑则由SDN控制器实现，逻辑集中控制在SDN中。OpenFlow是一种最著名的南向接口协议，它授权控制器依赖交换机中数据包的转发路径。网络的可用性、安全性和QoS决定了网络策略的准确执行，网络运营商通过编写SDN应用程序来实现这些策略。

各种各样的网络，无论是DCN、WAN还是校园局域网，都受到高级策略的控制，从而知道可以访问哪些网络资源，从而提供安全可靠的网络服务。网络管理员通过操作SDN控制器将网络级策略转换为原子流规则，并将其部署到硬件或软件设备上。这种转换基本上是手工驱动的，通常由专家网络管理员随着时间的推移内化。在大规模的网络社区中，服务器管理员、网络工程师、DNS管理员和普通用户等多个网络用户并存，这些用户将自己设计的策略应用于他们所拥有或管理的网络部分。这些企业网络用户和管理者必须手动检查越来越多的策略组在同一位置安装时不会相互冲突，并符合各自预期的高级策略，这需要几天甚至几周的时间来计划和实施，以保证有效性和一致性。

现有技术通常也只在策略实施过程中才检查错误和对应后果，然而这些后果会逐渐消失(例如，代价高昂的数据泄露、分段违规和渗透)。因此，检测和消除这些错误对于保证网络安全至关重要，但这是一项极具挑战性的工作。现有技术冲，手动配置和维护网络配置容易出错，而且速度慢。考虑到新攻击介质传播的复杂性和速度，人工更新和测试新配置将使网络处于易受攻击状态，直到攻击介质被完全保护为止。甚者，随着网络基础设施朝着更加自动化的趋势发展，情况会变得更糟，在这种基础设施中，独立和动态地生成策略的实体的数量将增加数倍。例如，校园网中的SDN应用程序、虚拟化云环境的租户和网络功能虚拟化(NFV)都是这样。虽然SDN支持新功能，但应用程序设计者可能不了解部署这些应用程序的现有网络中的策略和安全要求。更糟糕的是，用高级语言(例如Java或Python)编程的SDN应用程序可能会非常复杂。

考虑到上述情况，迫切希望在将策略部署到数据平面之前自动检测和解决策略冲突和端点策略冲突。

发明内容

发明目的：本发明的目的在于解决现有技术中存在的不足，提供一种SDN环境下基于图形表示的策略冲突检测及解决方法，本发明不仅能够解决策略冲突，还可以大幅减少交换机中的规则数，从而避免规则***；同时还可将策略规范和底层物理设备分离以形成高层策略抽象，最终将大大减轻应用程序开发人员制定和实现策略的负担。

技术方案：本发明的一种SDN环境下基于图形表示的策略冲突检测及解决方法，依次包括以下步骤：

S1、构建网络模型：构建多位前缀树TRIE并拓展该多位前缀树TRIE，根据拓展后的多位前缀树TRIE中从树根节点到叶节点的整个路径进行等价类EC分组，然后从每个EC分组中提取对应配置图，进而构建策略图形成网络模型；

S2、冲突检测：使用冲突检测模块来检查网络模型中每个受到影响的EC是否发生策略违规；

S3、冲突解决：压缩配置图和物理拓扑图并将其传递给违规解决模块；优化器返回要添加或删除掉的EC配置图的一组边，并将其应用于网络模型进而转化为对应OpenFlow规则；

S4、布局最优策略：利用启发式算法实现规则在转发设备上的最优部署。

进一步的，所述步骤S1的具体内容是：

步骤S1.1、构建多位前缀树TRIE，多位前缀树TRIE中每个子节点均对应有相应位值，位值包括0、1和*(通配符)，多位前缀树TRIE中每个层节点表示包头中相同的比特位位置；多位前缀树TRIE中每个维度的节点组合表示包头字段的信息；

步骤S1.2、扩展步骤1.1中的多位前缀树TRIE，即在多位前缀树TRIE中添加表示每个头字段起始位置的字段指针，以便于快速搜索字段中的策略冲突或策略冲突，通过叶指针链接所有相关的叶节点，将从树根节点到叶节点的整个路径对应于流表条目的所有匹配字段；

步骤S1.3、根据整个路径中的流规则，将经历相同流规则动作的包划分为一个等价类EC，每个等价类EC均由一系列具有特定值的位定义，属于同一EC的分组将被相同的流规则匹配；

步骤S1.4、将生成的ECs存储在叶子节点中，如果有更新规则则将定期升级；然后快速搜索出受影响的违反策略的云服务器；从每个EC中提取EC中定义的包转发行为的配置图；最后添加或删除给定的EC修复必须浏览配置图链接，查找链接添加需要检查物理拓扑中边缘定义的拓扑图。

进一步的，上述所述步骤S1.4中快速搜索的方法为：

使用TRIE数据结构来存储网络中所有设备中存在的所有转发规则，这能够快速查找与新***的规则重叠的现有规则，将每个规则视为二进制字符串，并使用单个位来表示TRIE，TRIE中的每个级别代表特定规则中的一个位。例如，对于传统的基于目的前缀的路由，TRIE中有32个级别。TRIE中的每个节点都有三个分支：如果相应的规则位为0则采用第一个分支，如果规则位为1则采用第二个分支，如果该位不关心则采用第三个分支(通配符)；TRIE中的叶子存储实际规则，实际规则由从TRIE根开始的特定叶子的路径表示，一旦构建了这样的TRIE，搜索重叠规则变得非常简单且非常快。给定一个新规则，从规则的第一位开始，并从它的根开始遍历TRIE，检查每个位并采用位值指向的分支，对于*位，需要探索当前节点的所有分支，因为*位可以取任何值，对于0或1位，则探索0或1分支和*分支；一旦到达正在探索的所有路径的叶子，就会得到一个与新规则重叠的规则列表，使用这些规则来构造等价类和配置图，以用于检测网络策略冲突。

将网络分成一组等价的包类，即在整个网络中转发属于同一类操作的包，称为等价类,英文名为Equivalence Classes，简称为EC。网络的每次更改通常只影响极少数的等价类。因此，找到了一组操作可以被规则改变的等价类集合，并仅在这些类中检测网络策略冲突。

本发明中扩展的TRIE添加有新的leaf指针，以便有效地将新EC(由新规则生成)与现有EC相关联，还增加有字段首地址指针，OpenFlow1.0有十二个字段的。

进一步的，所述步骤S2的具体内容是：

S2.1、基于步骤S1构建的策略图，在包头模式上定义一个策略图，该策略图上的每个节点均是基于物理或软件的设备，可以表达定性和定量的可达性约束，为了简单起见，没有描述包头模式，策略图中的边由表示不同类型可达性约束的标签标识，即用m表示从节点a到节点b的路径数，用n来限制跳数；

S2.2、通过环路检测和清除算法来修复网络中的环路，然后运行冲突检测模块(多位前缀树及配置图等)；复环路的目标是对现有网络进行最小的更改，即以尽量减少对ECs的影响为目标，同时尽量减少删除规则的数量；并且冲突检测模块中压缩后的图与原图在相关策略上等价；

为实现负载平衡或弹性需要压缩图；且压缩后的图与原图在相关策略上等价；此处根据下述互模拟关系来压缩带标签的有向图，即：

把G＝(V,E,L)表示为有向图；V代表一组节点，(a,b)∈E表示从节点a到节点b的有向边；L(a)∈Γ表示节点a的标签，其中Γ是应用于V的标签集(在网络***上下文中，这些标签表示一组功能相似的网络节点，例如主机、防火墙、负载平衡)；图G＝(V,E,L)的一个互模拟关系是一个二元关系

对于所有(a,b)∈BR:

1)、L(a)＝L(b)；

2)、

则(a′,b′)∈BR；

3)、

则(a′,b′)∈BR.

对上述定图EC_c，p和T进行压缩，其中EC_c和T均根据p_c压缩的，则压缩后的图表示为EC_c′，P′，T′；策略图中的信息在压缩后不会丢失。然后计算EC_c上的互模拟关系，以及基于双模拟度对图进行压缩。

EC_c上的互模拟关系计算方法为：首先根据EC_c′的无向压缩T中与EC_c重叠的部分，然后在不重叠部分和原始边为T的压缩部分之间绘制边，压缩算法的时间复杂度为O(|E|log|V|)。

压缩算法具体描述为以下步骤：给定输入EC_c，P，T；

1)、计算EC_c的最大互模拟关系BR；

2)、计算集群clusters＝V/BR；

3)、折叠每个cluster∈clusters中的节点；

4)、计算压缩后的EC_c′,T′。

输出为EC_c′,T′。

S2.3、当冲突检测模块发现违反的EC时，执行对冲突解决模块中的冲突解决算法；在拦截更新时，为每个受影响的EC构建对应网络模型，该网络模型捕获EC内所有数据包的配置转发行为；然后将有向配置图、拓扑图和策略图作为冲突解决算法的输入，其目标是以最佳方式修复检测到的违规行为，即对原始配置的更改次数最少，将修复问题描述为对应的优化问题：目标是增加或删除配置图上的最小边数，以便修改后的配置子图符合相关的策略子图且添加的边受到物理拓扑图的约束；

S2.4、将基本可达性策略的修复问题的描述描述为整数线性规划(ILP)问题。

进一步的，所述步骤S2.2中环路检测和清除算法的具体内容为：

定义SL(c)表示ECc中发生的所有循环，n(SL(c))表示EC_c中的循环数，τ_a是EC_c的一个子图，当子图无环时，n(τ_a)＝0；

查找并删除EC_c循环中的所有相交边；对于EC_c中未通过移除这些边缘修复的每个循环，接下来移除一个边缘(a，b)，其中作为IP地址的目标(如果存在这样的边缘)，当τ_a仍有循环时，删除循环中具有最具体匹配规则(例如，最长前缀)的边，当计算ECs时，每条边都映射到一个特定的交换机上的特定转发规则，将转发规则替换为drop操作规则将完成对它的删除，这可以防止粗略匹配导致另一个循环。例如，如果只从交换机转发表中删除匹配目标IP10.0.0.1/32的规则，则在同一交换机上匹配10.0.0.1/31并转发到匹配的下一个跳的另一个规则可能会阻止修复循环。由于交换机流表项资源有限，此处对所有粗糙drop规则进行验证，以决定在响应修复过程中是否可以合并一些规则；

进一步的，所述步骤S3的具体内容是：在物理拓扑图中删除已经断开连接的物理设备，并将拓扑图中潜在受影响的部分本地化(即只有拓扑边缘的子集被认为可以映射到策略边缘)；利用对称规则来压缩图，并保证压缩后的图与原始图符合对应的策略。

在优化公式中，与链路数有关的ECs的一个变量是产生的拓扑和策略图中的边数。优化目标是通过最少的修改来修复问题；

(3.1)首先是物理拓扑的限制，该技术旨在“切掉”网络的不相关或冗余部分，先删除掉已经断开连接的物理设备，接下来将拓扑中潜在受影响的部分本地化，即只有拓扑边缘的子集被认为可以映射到策略边缘；

(3.2)除了层次结构外，大多数大型网络的设计模式在一定程度上加强了对称性，以实现负载平衡或弹性。例如，在数据中心Fattree拓扑中，同一层(访问、聚合、核心)上的设备对称地连接到相邻层上的多个设备。利用对称规则来压缩图，并保证压缩后的图必须与原始图符合对应的策略。

进一步的，所述步骤S4中布局最优策略的详细过程为：

S4.1、通过总策略数或n(r)来计算布局的总开销C；

S4.2、为使交换机负载均衡，计算每个交换机的流表存储资源使用率的标准差U；

S4.3、为决定是否应该实施当前的近似最优策略布局算法，使用X来表示当前布局情况下超过容量的交换机数量；当X>0时，标志F等于1，则执行近似最优策略布局算法；

S4.4、近似最优策略布局算法使用E来表示整个网络中整个规则冲突的数量；至此，当前策略放置的好处表示为：W＝F/(C×U)-E；

简单地说，该算法的搜索过程是通过转移故障制造者的语义保留来寻求更大的收益；

S4.5、如果任何转移都不会导致当前位置的W更大，则过程终止，并且只有当W>0时，当前情况才是最佳解决方案；并且，近似最优策略布局算法在右侧进行具体的演示。注意，当W≤0时，由于流表溢出，当前情况是不可接受的，这需要在交互模式下与控制器协商以获得适当的操作指令；

上述过程中，设置单跳传输函数T_s，该单跳传输函数T_s的输入参数为一个端点策略P_e个相邻的交换机s_a，输出参数是一组新的策略；多个单跳传输函数组成多跳传输函数，由此存在以下三种转移情况：

若p和p的切片p′都不能转移到s，则

若只有p可转移到交换机s，则

若只有p的切片p′转移到交换机s，则

其中，符号

是用值v替换p.f；

通过上述最优策略布局来实现临界流量表的通行能力不受拥堵影响这一优化的额外目标。为了实现语义保留的传输，提出了一个单跳传输函数T_s。在这个函数中，输入参数是一个端点策略P_e个相邻的交换机s_a，输出是一组新的策略。多跳传输函数由单跳传输函数组合而成。具体而言，转移存在三种情况：如果p和p的切片都不能转移到s，则

如果p可以完成转移到交换机s，

如果p的切片(表示为p′)可以转移到交换机s，则

符号

是用值v替换p.f；。有益效果：与现有技术相比，本发明的优点具体如下：

(1)本发明通过为每个策略构造简单而直观的策略图来抽象地表示网络策略。并用整数线性规划来描述修正策略冲突时最小化修改的优化问题。

(2)本发明开发了启发式算法，自动和可伸缩地进行最优策略布局，可以显著减少规则数量，从而明显避免端点策略冲突。

(3)本发明介绍了GPVC***的设计和实现，该***旨在实现安全策略违反和策略冲突的自动检测和解决，这些冲突会导致代价高昂的数据泄漏、分段违规和入侵。

附图说明

图1为本发明的整体流程图；

图2为本发明使用情境的示意图；

图3为现有技术中的SDN架构示意图；

图4为本发明中扩展的多位前缀树的示意图；

图5为本发明中策略图的示意图；

图6为本发明中步骤S1的具体流程图；

图7为本发明中步骤S2的具体流程图；

图8为本发明中步骤S3的具体流程图；

图9为本发明中步骤S4的具体流程图；

图10为实施例中网络拓扑示意图。

具体实施方式

下面对本发明技术方案进行详细说明，但是本发明的保护范围不局限于所述实施例。

如图1所示，本发明的一种SDN环境下基于图形表示的策略冲突检测及解决方法，依次包括以下步骤：

S1、构建网络模型：构建并拓展多位前缀树TRIE，根据该多为前缀树TRIE中从树根节点到叶节点的整个路径进行等价类EC分组，然后从每个EC分组中提取对应配置图，进而构建策略图形成网络模型；如图6所示。

步骤S1.1、构建多位前缀树TRIE，多位前缀树TRIE中每个子节点对应于三个可能的位值0、1和*，多位前缀树TRIE中每个层节点表示包头中相同的比特位位置；多位前缀树TRIE中每个维度的节点组合表示包头字段的信息；

步骤S1.2、扩展步骤1.1中的多位前缀树TRIE(如图4所示)，即在多位前缀树TRIE中添加表示每个头字段起始位置的字段指针，通过叶指针链接所有相关的叶节点，将从树根节点到叶节点的整个路径对应于流表条目的所有匹配字段；

步骤S1.3、根据整个路径中的流规则以及VeriFlow中的命名方式，将经历相同流规则动作的包划分为一个等价类EC，每个等价类EC均由一系列具有特定值的位定义，属于同一EC的分组将被相同的流规则匹配；

步骤S1.4、将生成的ECS存储在叶子节点中，如果有更新规则，它们将定期升级；可以快速搜索出受影响的违反策略的云服务器；从每个EC中提取EC中定义的包转发行为的配置图；最后添加或删除给定的EC修复必须浏览配置图链接，查找链接添加需要检查物理拓扑中边缘定义的拓扑图

S2、冲突检测：使用冲突检测模块来检查网络模型中每个受到影响的EC是否发生策略违规，具体如图7所示

S2.1、在包头模式上定义一个策略图，该策略图上的每个节点均是基于物理或软件的设备，策略图中的边由表示不同类型可达性约束的标签标识，即用m表示从节点a到节点b的路径数，用n来限制跳数；

S2.2、通过环路检测和清除算法来修复网络中的环路，然后运行冲突检测模块；

S2.3、当验证引擎发现违反的EC时，执行算法；在拦截更新时，为每个受影响的EC构建对应网络图模型，该网络图模型捕获EC内所有数据包的配置转发行为；然后将有向配置图、拓扑图和策略图作为修复算法的输入，将修复问题描述为对应的优化问题，该优化问题的目标为增加或删除配置图上的最小边数，以便修改后的配置子图符合相关的策略子图且添加的边受到物理拓扑图的约束；

S2.4、将基本可达性策略的修复问题描述为整数线性规划ILP问题，表达式具体如下：

S3、冲突解决：如图8所示，压缩配置图和物理拓扑图并将其传递给违规解决模块；优化器返回要添加或删除掉的EC配置图的一组边，并将其应用于网络模型进而转化为对应OpenFlow规则；在物理设备拓扑图中删除已经断开连接的物理设备，并将拓扑图中潜在受影响的部分本地化；利用对称规则来压缩图，并保证压缩后的图与原始图符合对应的策略；

S4、布局最优策略：利用启发式算法实现规则在转发设备上的最优部署，具体如图9所示；

S4.1、通过总策略数或n(r)来计算布局的总开销C；

S4.2、为使交换机负载均衡，计算每个交换机的流表存储资源使用率的标准差U；

S4.3、为决定是否应该实施当前的近似最优策略布局算法，使用X来表示当前布局情况下超过容量的交换机数量；当X>0时，标志F等于1，则执行近似最优策略布局算法；

S4.4、近似最优策略布局算法使用E来表示整个网络中整个规则冲突的数量；至此，当前策略放置的好处表示为：W＝F/(C×U)-E；

S4.5、如果任何转移都不会导致当前位置的W更大，则过程终止，并且只有当W>0时，当前情况才是最佳解决方案；并且，近似最优策略布局算法在右侧进行具体的演示。注意，当W≤0时，由于流表溢出，当前情况是不可接受的，这需要在交互模式下与控制器协商以获得适当的操作指令；

上述过程中，设置单跳传输函数T_s，该单跳传输函数T_s的输入参数为一个端点策略P_e个相邻的交换机s_a，输出参数是一组新的策略；多个单跳传输函数组成多跳传输函数，由此存在以下三种转移情况：

若p和p的切片p′都不能转移到s，则

若只有p可转移到交换机s，则

若只有p的切片p′转移到交换机s，则

其中，符号

是用值v替换p.f。

如图1和图2所示，本实施例中，SDN环境下策略违规和规则冲突检测和解决方法可用于SDN环境中，该环境下包括内嵌策略冲突检测模块和解决模块的SDN控制器、SDN交换机、主机和服务器这四类主要角色。

实施例：

实验环境：SDN控制器采用Floodlight1.2，网络拓扑模拟Mininet2.2，网络中的策略分两个小实验不同方法生成，第一个通过脚本文件生成，第二个通过工具ClassBench进行模拟，生成特定的网络端点策略。

网络拓扑：如图10所示，Fattree拓扑，10个交换机，2个服务器，6个客户机共8台主机。

实验参数：最优策略布局模块的实验初始设置信息如下表所示。

实施过程：

1.首先使用mininet创建一个Fattree拓扑，然后通过编写脚本文件来创建一组流规则。使用scapy生成数据包。在本实施例的网络模型中，分别测试策略冲突检测和解决的可行性，首先随机删除一到两个拓扑通信的流规则，实现存在可达性策略违规的初始状态。

2.在k＝4的Fattree拓扑中，根据拓扑中交换机的数量将网络地址划分为20个部分，每个部分对应于底层基于交换机的TCAM所连接的交换机的主机IP范围。然后，使用ClassBench工具在路径上随机安装一些规则(IPsrc、IPdst、Portrangesrc、PortRangedst、Action)，作为端点意图生成的端点策略。操作字段用不同的整数表示，以区分不同的操作。

实施例的结果表明：启用本发明技术方案的策略冲突检测和解决方法后，在正常情况下不影响数据包的转发，但是当策略冲突发生时，违规检测模块会定位到受到影响的等价类，通过修复优化算法最终返回对配置图的最小的更改。上述实验结果还可以看出，本发明的最优策略布局算法可以实现对网络端点策略因冲突而产生的额外规则数量的明显缩减。

通过上述实施例可以看出，本发明通过将网络策略正确性条件表示为图形而不是传统方法的路径集合，可以处理更丰富的策略集和实现最佳修复检测到的违规行为。同时，本发明采用启发式的规则布局算法，最小化交换机中的规则数。本发明以较小的开销拒绝非法的流规则，解决了所有的策略违规问题，避免了大量端点策略的规则冲突，保证了一定的网络服务质量。

Claims (7)

1.一种SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：依次包括以下步骤：

S1、构建网络模型：构建多位前缀树TRIE并拓展该多位前缀树TRIE，根据拓展后的多位前缀树TRIE中从树根节点到叶节点的整个路径进行等价类EC分组，然后从每个EC分组中提取对应配置图，进而构建策略图形成网络模型；

S2、冲突检测：使用冲突检测模块来检查网络模型中每个受到影响的EC是否发生策略违规；

S3、冲突解决：压缩配置图和物理拓扑图并将其传递给违规解决模块；优化器返回要添加或删除掉的EC配置图的一组边，并将其应用于网络模型进而转化为对应OpenFlow规则；

S4、布局最优策略：利用启发式算法实现规则在转发设备上的最优部署。

2.根据权利要求1所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S1的具体内容是：

步骤S1.1、构建多位前缀树TRIE，多位前缀树TRIE中每个子节点均对应有相应位值，位值包括0、1和*，多位前缀树TRIE中每个层节点表示包头中相同的比特位位置；多位前缀树TRIE中每个维度的节点组合表示包头字段的信息；

步骤S1.2、扩展步骤1.1中的多位前缀树TRIE，即在多位前缀树TRIE中添加表示每个头字段起始位置的字段指针，通过叶指针链接所有相关的叶节点，将从树根节点到叶节点的整个路径对应于流表条目的所有匹配字段；

步骤S1.3、根据整个路径中的流规则，将经历相同流规则动作的包划分为一个等价类EC，每个等价类EC均由一系列具有特定值的位定义，属于同一EC的分组将被相同的流规则匹配；

步骤S1.4、将生成的ECs存储在叶子节点中，如果有更新规则则将定期升级；然后快速搜索出受影响的违反策略的云服务器；从每个EC中提取EC中定义的包转发行为的配置图；最后添加或删除给定的EC修复必须浏览配置图链接，查找链接添加需要检查物理拓扑中边缘定义的拓扑图。

3.根据权利要求2所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S1.4中快速搜索的方法为：

使用TRIE数据结构来存储网络中所有设备中存在的所有转发规则，将每个规则视为二进制字符串，并使用单个位来表示TRIE，TRIE中的每个级别代表特定规则中的一个位，TRIE中的每个节点都有三个分支：如果相应的规则位为0则采用第一个分支，如果规则位为1则采用第二个分支，如果该位不关心则采用第三个分支，TRIE中的叶子存储实际规则，实际规则由从TRIE根开始的特定叶子的路径表示：给定一个新规则，从规则的第一位开始，并从它的根开始遍历TRIE，检查每个位并采用位值指向的分支，对于*位，需要探索当前节点的所有分支，因为*位可以取任何值，对于0或1位，则探索0或1分支和*分支；一旦到达正在探索的所有路径的叶子，就会得到一个与新规则重叠的规则列表，使用这些规则来构造等价类和配置图，进而检测网络策略冲突；

上述扩展的TRIE添加有新的leaf指针和字段首地址指针。

4.根据权利要求1所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S2的具体内容是：

S2.1、基于步骤S1构建的策略图，在包头模式上定义一个策略图，该策略图上的每个节点均是基于物理或软件的设备，策略图中的边由表示不同类型可达性约束的标签标识，即用m表示从节点a到节点b的路径数，用n来限制跳数；

S2.2、通过环路检测和清除算法来修复网络中的环路，然后运行冲突检测模块；检测时，将G＝(V,E,L)表示为有向图；V代表一组节点，(a,b)∈E表示从节点a到节点b的有向边，L(a)∈Γ表示节点a的标签，其中Γ是应用于V的标签集；图G＝(V,E,L)的一个互模拟关系是一个二元关系

对于所有(a,b)∈BR具有下述关系：

1)、L(a)＝L(b)；

2)、

则(a′,b′)∈BR；

3)、

则(a′,b′)∈BR；

对定图EC_c，p和T进行压缩后的图为：EC_c′，P′，T′；

S2.3、当冲突检测模块发现违反的EC时，执行对冲突解决模块中的冲突解决算法；在拦截更新时，为每个受影响的EC构建对应网络模型，该网络模型捕获EC内所有数据包的配置转发行为；然后将有向配置图、拓扑图和策略图作为冲突解决算法的输入，将修复问题描述为对应的优化问题，该优化问题的目标为增加或删除配置图上的最小边数，以便修改后的配置子图符合相关的策略子图且添加的边受到物理拓扑图的约束；

S2.4、将基本可达性策略的修复问题描述为整数线性规划ILP问题，表达式具体如下：

其中，T是指物理拓扑图，P是指策略图，ECc是指等价类c的配置图，(a,b)是指所有的三种图中节点a到节点b的边，L_ab表示从节点a到节点b的路径；S_c(a)表示节点a的EC_c的集合E_g表示图g中所有边的集合；n(E_g)表示图g这些边的个数；SN_g(a)表示图g中节点a的相邻节点的集合；变量x_a,b,e,f是指物理拓扑图边和策略图边之间的映射，如果定向边(a,b)映射到当前EC_c的策略边(e,f)，即从e到f的流将通过边(a,b)从a转发到b；变量x_a,b是指是否使用边缘(a,b)来转发此ECs流量，而不管是哪个流使用它；变量x_b,a是指是否使用边缘(b,a)来转发此ECs流量。

5.根据权利要求1所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S2.2中环路检测和清除算法的具体内容为：

定义SL(c)表示ECc中发生的所有循环，n(SL(c))表示EC_c中的循环数，τ_a是EC_c的一个子图，当子图无环时，n(τ_a)＝0；

查找并删除EC_c循环中的所有相交边；对于EC_c中未通过移除这些边缘修复的每个循环，接下来移除一个边缘(a，b)，其中作为IP地址的目标，当τ_a仍有循环时，删除循环中具有最具体匹配规则的边，当计算ECs时，每条边都映射到一个特定的交换机上的特定转发规则，将转发规则替换为drop操作规则将完成对它的删除，由于交换机流表项资源有限，对所有的粗糙drop规则进行验证，以决定在响应修复过程中是否可以合并一些规则。

6.根据权利要求1所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S3的具体内容是：

在物理设备拓扑图中删除已经断开连接的物理设备，并将拓扑图中潜在受影响的部分本地化；利用对称规则来压缩策略图，物理拓扑图和EC配置图，并保证压缩后的策略图，物理拓扑图和EC配置图与原始图符合对应的策略。

7.根据权利要求1所述的SDN环境下基于图形表示的策略冲突检测及解决方法，其特征在于：所述步骤S4中布局最优策略的详细过程为：

S4.1、通过总策略数或n(r)来计算布局的总开销C；

S4.2、为使交换机负载均衡，计算每个交换机的流表存储资源使用率的标准差U；

S4.3、为决定是否应该实施当前的近似最优策略布局算法，使用X来表示当前布局情况下超过容量的交换机数量；当X>0时，标志F等于1，则执行近似最优策略布局算法；

S4.4、近似最优策略布局算法使用E来表示整个网络中整个规则冲突的数量；至此，当前策略放置的好处表示为：W＝F/(C×U)-E；

S4.5、如果任何转移都不会导致当前位置的W更大，则过程终止，并且只有当W>0时，当前情况才是最佳解决方案；并且，近似最优策略布局算法在右侧进行具体的演示。注意，当W≤0时，由于流表溢出，当前情况是不可接受的，这需要在交互模式下与控制器协商以获得适当的操作指令；

上述过程中，设置单跳传输函数T_s，该单跳传输函数T_s的输入参数为一个端点策略P_e个相邻的交换机s_a，输出参数是一组新的策略；多个单跳传输函数组成多跳传输函数，由此存在以下三种转移情况：

若p和p的切片p′都不能转移到s，则

若只有p可转移到交换机s，则

若只有p的切片p′转移到交换机s，则

其中，符号

是用值v替换p.f；

Sw是指交换机switch，cs是指当前交换机current switch；Pe[i]近似最优策略布局算法中策略集合。

Images