CN112929200B - 一种面向sdn多控制器的异常检测方法 - Google Patents

Abstract

本发明公开了一种面向SDN多控制器的异常检测方法。它包括如下步骤：1‑1）在SDN控制器集合中采用Raft一致性算法选出“主控制器”，其余为“从控制器”；1‑2）“主控制器”与SDN交换机建立连接，向交换机发送Features Request请求参数信息，交换机回复Features Reply消息给“主控制器”；1‑3）交换机把收到的数据包Data封装成Packet In消息上报给“主控制器”；1‑4）“主控制器”利用BFT机制广播Packet In消息，每个控制器将验证到的Packet In消息上报给Proxy；1‑5）Proxy将收集到的信息放入同一元组归类，与之前收集到的信息进行比对，判断Data传输路径，判断异常的控制器和交换机，判决出可靠的Packet In消息并封装成Packet Out消息下发给交换机。本发明改进了当前网络安全中涉及到检测异常SDN控制器和交换机设备的问题。

Description

一种面向SDN多控制器的异常检测方法

技术领域

本发明涉及网络安全技术领域，特别涉及一种面向SDN多控制器的异常检测方法。

背景技术

传统的网络体系结构的复杂性和封闭性，使得网络管理员在考虑网络动态和各种应用需求时难以进行管理和操作。为了解决这些问题，一种新型网络架构软件定义网络（Software-defined Network，简称SDN）被提出。典型的SDN架构由三层组成，包括网络应用程序组成的应用程序层，充当SDN大脑的集中式SDN控制器软件，以及由转发设备交换机等组成的数据平面层。SDN将网络控制平面与转发平面分开，提高了网络的灵活性。SDN网络具有可拓展性、灵活性、可靠性、安全性、可编程性，比传统的网络具有更高性能和可用性。

在SDN中，交换机和路由器依靠集中式SDN控制器为查找路径和分配资源提供必要的配置。而在部署大规模SDN网络时，单控制器存在单点故障，容量瓶颈等问题。SDN控制器、交换机和控制器应用存在的脆弱性，导致SDN设备容易受到攻击者的恶意攻击，攻击者恶意劫持控制器并删除所属交换机上的所有流表项，监听并篡改交换机数据，将导致控制器原本属于合法用户的网络资源被窃取。因此，及时地检测到异常SDN设备是非常重要的。

目前，已经出现一些相关SDN安全的研究来降低SDN设备被劫持的风险：（1）目前常用的开源的SDN控制器Ryu（Ryu SDN Framework Community，2014）主要集中在单控制器场景中，没有针对控制器分布进行优化；（2）Casado的研究团队提出了FortNOX架构，它是一种基于OpenFlow控制器NOX的软件扩展，提供了身份认证和安全约束机制，这种架构使控制器能够实时地检查流表项中的冲突，及时发现恶意应用，然而，它只能检测单个控制器的异常，并不能检测其他SDN设备的异常。

发明内容

本发明的目的是解决当前网络安全中涉及到检测异常SDN设备存在的问题，并提供一种面向SDN多控制器的异常检测方法，能避免SDN异常的错误或攻击危害网络。

一种面向SDN多控制器的异常检测方法，包括如下步骤：

1-1）在SDN控制器集合中采用Raft一致性算法选出“主控制器”，其余为“从控制器”，负责对Packet In消息的具体操作，并配置代理Proxy，负责对控制器集合的验证结果进行逻辑判决；

1-2）“主控制器”与SDN交换机建立连接，向交换机发送Features Request请求详细参数信息，交换机回复包含Datapath Id和Port等信息的Features Reply消息给“主控制器”；

1-3）交换机把收到的数据包Data封装成携带Cookie信息的Packet In消息上报给“主控制器”；

1-4）“主控制器”利用BFT机制广播Packet In消息，每个控制器将验证到的PacketIn消息上报给Proxy；

1-5）Proxy将收集到的Datapath Id、Cookie信息放入同一元组归类，与之前收集到的信息进行比对，判断Data的传输路径，判断异常的控制器和交换机，判决出可靠的Packet In消息并封装成Packet Out消息下发给交换机。

所述的步骤1-2）中：“主控制器”向交换机发送Features Request请求交换机详细参数信息，如交换机ID，缓冲区数量，端口及端口属性等。交换机回复Features 和Port等消息发送给“主控制器”，Features Reply消息包含64比特的Datapath Id，Port等信息，Datapath Id作为数据通道标识符，用来表示交换机唯一的身份。

所述的步骤1-3）中：主机发送数据包给交换机，交换机会根据数据包中的路由相关信息（如源、目的IP地址、目的物理地址、源、目的端口）从流表中搜索匹配项；匹配的流表项中记载的行动为“发送给OpenFlow控制器”，那么交换机把数据包封装成由OpenFlow定义的Packet In消息上报给“主控制器”，Packet In消息携带Cookie信息，可通过Cookie推断出Datapath Id匹配的数据包。

所述的步骤1-4）中，所述的“主控制器”利用BFT机制广播Packet In消息：

4-1）“主控制器”运用BFT机制对其他“从控制器”进行Packet In消息广播；

4-2）“从控制器”接收到2f个收到与自身相匹配的Packet In消息后，对其他控制器进行广播；

4-3）每个控制器验证到2f+1个来自其他控制器的Packet In消息；

4-4）控制器集合把根据BFT机制处理的Packet Out消息发送给Proxy。

本发明的有益效果：

针对当前网络安全中涉及到检测异常SDN设备的问题，面向SDN多控制器的异常检测，采用BFT容错机制的多控制器方案，对异常的SDN设备进行检测，不仅能检测出异常的SDN设备，避免异常的错误或攻击危害网络，还可以下发正确的流表命令，有效提高了SDN网络的安全性。

附图说明

图1是一种面向SDN多控制器的异常检测方法结构图。

具体实施方式

下面结合附图和实施例对本发明做进一步阐述和说明。本发明中各个实施方式的技术特征在没有相互冲突的前提下，均可进行相应组合。

一种面向SDN多控制器的异常检测方法，该方法包括以下步骤：：

1-1）在SDN控制器集合中采用Raft一致性算法选出“主控制器”，其余为“从控制器”，负责对Packet In消息的具体操作，并配置代理Proxy，负责对控制器集合的验证结果进行逻辑判决；

1-2）“主控制器”与SDN交换机建立连接，向交换机发送Features Request请求详细参数信息，交换机回复包含Datapath Id和Port等信息的Features Reply消息给“主控制器”；

1-3）交换机把收到的数据包Data封装成携带Cookie信息的Packet In消息上报给“主控制器”；

1-4）“主控制器”利用BFT机制广播Packet In消息，每个控制器将验证到的PacketIn消息上报给Proxy；

1-5）Proxy将收集到的Datapath Id、Cookie信息放入同一元组归类，与之前收集到的信息进行比对，判断Data的传输路径，判断异常的控制器和交换机，判决出可靠的Packet In消息并封装成Packet Out消息下发给交换机。

所述的步骤1-2）中：“主控制器”向交换机发送Features Request请求交换机详细参数信息，如交换机ID，缓冲区数量，端口及端口属性等。交换机回复Features 和Port等消息发送给“主控制器”，Features Reply消息包含64比特的Datapath Id，Port等信息，Datapath Id作为数据通道标识符，用来表示交换机唯一的身份。

所述的步骤1-3）中：主机发送数据包给交换机，交换机会根据数据包中的路由相关信息（如源、目的IP地址、目的物理地址、源、目的端口）从流表中搜索匹配项；匹配的流表项中记载的行动为“发送给OpenFlow控制器”，那么交换机把数据包封装成由OpenFlow定义的Packet In消息上报给“主控制器”，Packet In消息携带Cookie信息，可通过Cookie推断出Datapath Id匹配的数据包。

所述的步骤1-4）中，所述的“主控制器”利用BFT机制广播Packet In消息：

4-1）“主控制器”运用BFT机制对其他“从控制器”进行Packet In消息广播；

4-2）“从控制器”接收到2f收到与自身相匹配的Packet In消息后，对其他控制器进行广播；

4-3）每个控制器验证到 2f +1个来自其他控制器的Packet In消息；

4-4）控制器集合把根据BFT机制处理的Packet Out消息发送给Proxy。

实施例

为了便于本领域一般技术人员理解和实施本发明，现给出一种本发明所述方法的具体实施案例。一种面向SDN多控制器的异常检测的方法的核心思想是：采用BFT容错机制的多控制器方案，对异常的SDN设备进行检测，避免异常的攻击危害网络。

下面用一个案例来描述本实施例。

使用Mininet生成一个由OpenFlow1.3交换机s1、s2和s3、主机h1和h2组成的网络，另外，用OpenDaylight部署4个控制器，采用Raft一致性算法选出 “主控制器”c0，其余为“从控制器”c1、c2、c3，控制器负责对Packet In消息的具体操作，并配置代理Proxy，负责对控制器集合的验证结果进行逻辑判决。如图1结构图所示，所有的主机和交换机都标有相应的编号。

c0与s1建立连接，向s1发送Features Request请求s1详细参数信息，包括交换机ID、缓冲区数量、端口及端口属性等，s1回复Features Reply消息给c0，Features Reply消息包含了64比特的Datapath Id、Actions以及Port等信息，Features Reply消息如表1所示。

h1发送数据包Data到s1，Data格式如表2所示，Title表示配置动作的类型，Add_flows表示添加流表，内容为：Datapath Id= 0000000000000002 ，actions=“a new flowentry by port1”，Src为用户地址52:54:00:64:bd:54，Dst为访问地址52:54:00:26:ea:85，Actions表示输出端口1，命令s1从端口1发送Data给s2，s2增加actions=“a new flowentry by port1”的流表项。

s1流表匹配的流表项中记载的行动为“发送给OpenFlow控制器”，即OFPR_ACTION，通过Packet In事件将数据包上报给c0，Packet In消息如表3所示。

c0运用BFT机制对其他“从控制器”进行Packet In消息广播，此时模拟攻击者篡改c1的Packet In消息的输出端口为2:

from execute1 s1 type Add_flows message

data:dl_src=52:54:00:64:bd:54，dl_dst=52:54:00:26:ea:85 actions=output:2

其他控制器将各自验证到的Packet In消息上报给Proxy。

Proxy匹配收集到的数据库中保存的验证数据，判决出可靠的Packet In消息，在判决结果中显示：

result Add_flows message data to 0000000000000001:

data: dl_src=52:54:00:64:bd:54，dl_dst=52:54:00:26:ea:85 actions=output:1

并封装成Packet Out消息下发给s1，表4是提取数据库中保存的部分验证数据，表5是输出Packet Out消息的格式。

s1执行Packet Out消息，此时使用dump-flows命令查看s2的流表信息，如表6所示，在篡改了c1的输出流表动作后，Proxy仍然得到正确的判决结果，s1下发了正确的流表项命令，成功防御了控制器对流表篡改的攻击。

接下来模拟恶意主机篡改s1的Actions的输出端口为2，使data的传输路径为s1-s3-s2，s3的Datapath id 为0000000000000003，Proxy根据保存的Cookie和Datapath id信息判决：

Verification results: s1 error

not_switch : 0000000000000003

表明s1-s2传输路径缺少0000000000000003这台交换机，即Data不应该经过s3却经过了s3，由此判决s1受到了非法攻击。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，所属领域的普通技术人员参照上述实施例依然可以对本发明的具体实施方式进行修改或者等同替换，这些未脱离本发明精神和范围的任何修改或者等同替换，均在申请待批的本发明的权利要求保护范围之内。

Claims (1)

1.一种面向SDN多控制器的异常检测方法，其特征在于，该方法包括以下步骤：

1-1）在SDN控制器集合中采用Raft一致性算法选出主控制器，其余为从控制器，控制器集合负责对Packet In消息的具体操作，并配置代理Proxy，负责对控制器集合的验证结果进行逻辑判决；

1-2）主控制器与SDN交换机建立连接，向交换机发送Features Request请求详细参数信息，交换机回复Features Reply消息给主控制器；所述的Features Reply消息包括Datapath Id和Port信息；

1-3）交换机把收到的数据包Data封装成携带Cookie信息的Packet In消息上报给主控制器；

1-4）主控制器利用BFT机制广播Packet In消息，每个控制器将验证到的Packet In消息上报给Proxy；

1-5）Proxy将收集到的Datapath Id、Cookie信息放入同一元组归类，与之前收集到的信息进行比对，判断Data的传输路径，判断异常的控制器和交换机，判决出可靠的PacketIn消息并封装成Packet Out消息下发给交换机；

所述的步骤1-2）中：主控制器向交换机发送Features Request请求交换机详细参数信息，包括交换机ID，缓冲区数量，端口及端口属性；交换机回复Features Reply消息包括64比特的Datapath Id，Port信息，Datapath Id作为数据通道标识符，用来表示交换机唯一的身份；

所述的步骤1-3）中：主机发送数据包给交换机，交换机根据数据包中的路由相关信息，包括源、目的IP地址、目的物理地址、源、目的端口信息，从流表中搜索匹配项；匹配的流表项中记载的行动为“发送给OpenFlow控制器”，那么交换机把数据包封装成由OpenFlow定义的Packet In消息上报给主控制器，Packet In消息携带Cookie信息，可通过Cookie推断出Datapath Id匹配的数据包；

步骤1-4）中，所述的主控制器利用BFT机制广播Packet In消息：

4-1）“主控制器”运用BFT机制对其他“从控制器”进行Packet In消息广播；

4-2）“从控制器”接收到2f个收到与自身相匹配的Packet In消息后，对其他控制器进行广播；

4-3）每个控制器验证到2f+1个来自其他控制器的Packet In消息；

4-4）控制器集合把根据BFT机制处理的Packet Out消息发送给Proxy。

Images