一种基于SDN的虚拟网络优化方法技术

本发明专利技术公开了一种基于SDN的虚拟网络优化方法，以解决日常DDOS攻击中，攻击源主机难以定位，网络灾难恢复速度慢的问题。本发明专利技术针对传统的静态VLAN，提出一种基于SDN的多层次VLAN优化方法，在不改动原有的VLAN配置的情况下，使用基于SDN的OpenFlow技术将VLAN的配置实现动态化，对每个主机的网络身份加入置信标签，来实现SDN对每台网络主机的身份识别，减少网络风暴发生时所需的人工干预，增加了整个网络的健壮性和稳定性，大大提高了遭遇特定网络攻击后整个网络恢复正常的收敛速度。

【技术实现步骤摘要】
-种基于SDN的虚拟网络优化方法
本专利技术涉及一种虚拟网络管理的优化方法，属于SDN安全
。
技术介绍
随着网络信息技术的飞速发展，互联网在四十多年的历史里，已经成为了整个世 界不可或缺的基础设施，互联网深入到人们生活的各个方面，给人们的学习、生活带来了巨 大的便利。 经过几十年的发展，互联网的体积越来越大，基于网络的各种业务对互联网的要 求越来越高，过于巨大的压力之下，安全问题，性能瓶颈等也随着互联网的发展逐渐暴露出 来。SDN的产生实现了网络控制和物理网络拓扑的分离，从而摆脱了硬件对网络构架的限 制，可以灵活动态的堆网络构架进行修改。 网络信息技术的不断发展，网络的攻击技术也层出不穷，各种DOS，DDOS，MAC欺 骗，流量劫持无时无刻威胁到人们在互联网生活中的安全。由于传统的网络设备对一个主 机端口加入网络时，需要将端口与事先定义好的VLAN号进行绑定，当主机进入网络时，该 主机所连接的端口就会自动的被分配到实现定义好的VLAN中，实现VLAN的管理，但是这样 存在的问题就在于，当一台恶意主机试图通过该端口加入到VLAN中，并且试图控制其他主 机进行DDOS攻击时，传统网络并不能及时区分可疑和可信主机，对网络攻击的抵抗力也会 非常小。
技术实现思路
本次专利技术是针对传统的静态VLAN提出的一种基于SDN的多层次VLAN优化方法， 其目的在于实现在不改动原有的VLAN配置的情况下，使用基于SDN的OpenFlow技术将 VLAN的配置实现动态化，来解决日常DDOS攻击中，攻击源主机难以定位，网络灾难恢复速 度慢的问题，大大减轻了配置人员的工作量，加快在动态配置中整个VLAN的收敛速度，从 而达到优化的目的。 本专利技术米用双controller的网络拓扑，分别标记为Cl、C2 ;就本专利技术的安全策略 中针对新主机在虚拟网络分片slice间动态迁移情况，需要建立一个slice的单向传输通 道，建立两个slice都可见的list_host□列表。本专利技术的技术方案具体为： 在slicel层建立一个list_host_slicel □列表，当新主机进入局域网，在控制器 Cl上新建映射,并对每台主机设立一个初始加入时间t_init字段； 再将该新主机的MAC地址与相应的宽口建立映射； 对该新主机的流表进行修改，使其指向预先做好镜像的Nginx服务器；将每个主 机设立的初始加入时间加上可信期（该可信期为每台主机在slicel层的停留时间，用 户可自行定义）形成新的结束时间，若该结束时间〉当前系统时间，则新主机将停留在 slicel 层上； 若主机结束时间〉当前时间且无发生DDOS攻击，则slicel层的监视线程每隔一 个时间间隔（考虑到网络系统性能，时间间隔最好设置在30秒左右，以保证高效且安全的 扫描效率）会扫描一次主机列表，将该主机的ip和mac以及对应该主机为源的所有的流 表，以一种主机参数列表list_host □的形式传入slice2层，同时删除slicel上的主机信 息和流表配置； 上述新主机在slice2进行泛洪处理寻找C2控制器，将slice2层设定一个同样的 主机列表list_host_slice2□，用于每台主机的初始加入时间t_init字段，状态字段0, 1。 若主机结束时间〉当前时间，当网络发生DDOS时，会对最后一个进入的，即t_ init时间与当前时间差最小的主机进行VLANID的修改，该主机将会被划分到一个预先 设置好的VLAN中，隔离与其他主机的通信，但是能够提供最基本的服务和外网的访问；若 DDOS仍然未停止，则继续加入置信时间未到的主机，直到没有新主机为止。 若siice2层没有发生DDOS攻击，则新主机将停留在所属的正常VLAN中，在置信 时间到达以后删除对应的生存时间。 进一步，本方法将真实网络环境一分为二，将可信的和不可信的主机分开放置。 进一步，本方法把不可信的主机放置在临时局域网中，而不是直接删除。 本专利技术是基于SDN网络环境的开放性和传统网络DDOS攻击具有一定的潜伏期所 设计的网络策略，对每个主机的网络身份加入置信标签，来实现SDN对每台网络主机的身 份识别。将真实网络环境一分为二，可信的和不可信的主机分开放置，并把不可信的主机放 置在临时局域网中，而不是直接删除。本方法能够减少网络风暴发生时所需的人工干预，增 加了整个网络的健壮性和稳定性，大大提高了遭遇特定网络攻击后整个网络恢复正常的收 敛速度。 【附图说明】 图1是网络平面物理拓扑图。 图2是虚拟网络分片之间的通信示意图。 图3是本专利技术流程图。 【具体实施方式】 下面结合附图和实施例对本专利技术作进一步详细说明。 实施例1 如图1所示，本专利技术的拓扑为双controller的网络拓扑，两个controller汇聚在 一个基于OpenFlow协议开发的FlowVisor开源虚拟化工具上，FlowVisor虚拟化工具可以 对同一个网络进行的流量或者拓扑进行分片化管理，实现每个分片的逻辑策略都独立的运 行在各自的虚拟网络分片中互不影响。由于分片管理独立化的关系，每个controller只能 控制一个si ice,不同si ice之间的controller不能共享流表或者主机信息，所以这是本发 明必须采用双controller的原因，就本专利技术的安全策略中针对新主机在slice间动态迁移 情况，需要建立一个slice的单向传输通道，用于迁移满足迁移条件的主机（如图2所示）。 本专利技术建立两个slice都可见的list_host□列表，列表中包含的字段有一个每 台主机的初始加入时间t_init字段，状态字段0, 1，主机的host_ip字段和host_mac字段 以及对应该主机为源的所有流表，slicel层中会始终启动一个监视线程watch_thread_l， 每过一定的时间（不会太长），便会把满足条件的主机状态字段置为1。 在slice2层会另起一个监视线程watch_thread_2定时将所有的满足条件的主机 状态字段为1的主机配置建立相应的流表，并将其从list_host□中删除，同时重新设置 一个加入slice2层的加入时间给每个新进主机，用于完成对slice2层新主机的置信期的 判断。 将slice2层设定一个同样的主机列表list_host_slice2□，用于每台主机的初 始加入时间t_init字段，状态字段0, 1，主机的host_ip字段和host_mac字段以及对应该 主机为源的所有流表，当网络发生DDOS时，会对最后一个进入的，即时间与当前时 间差最小的主机进行VLANID的修改，该主机将会被划分到一个预先设置好的VLAN中（该 VLAN只能访问特定的服务器，不能对主服务器进行任何访问），若DDOS仍然未停止，则继续 加入置信时间未到的主机，直到没有新主机为止，若没有发生DDOS攻击，则在置信时间到 达以后会对list_host_slice2□中对于的主机列表进行删除。 实施例2 本专利技术的流程如图3所示，假设有一台台式或者移动网络设备加入网络，该情景 仅本文档来自技高网...

【技术保护点】
一种基于SDN的虚拟网络优化方法，其特征在于，包括如下步骤：步骤1)当新主机进入局域网，在控制器C1上新建映射，并对每台主机设立一个初始加入时间t_init字段；步骤2)将所述新主机的MAC地址与相应的宽口建立映射；步骤3)对所述新主机的流表进行修改，使其指向预先做好镜像的Nginx服务器；步骤4)对每个主机设立的初始加入时间加上可信期形成新的结束时间，若该结束时间>当前时间,则所述新主机将停留在slice1层上；步骤5)若所述新主机的结束时间>当前时间且无发生DDOS攻击，则所述slice1层的监视线程每隔一个时间间隔会扫描一次主机列表，将该新主机的ip和mac以及对应的流表以一种主机参数列表list_host[]的形式传入slice2层，同时删除slice1上的主机信息和流表配置；步骤6)所述新主机在slice2层进行泛洪处理寻找C2控制器，并重新对所述新主机设立新的加入时间；步骤7)若所述新主机的结束时间>当前时间且slice2层无发生DDOS攻击，则所述新主机将停留在所属的正常VLAN中并删除对应的生存时间；步骤8)若所述新主机的结束时间>当前时间且发生DDOS攻击，则所述新主机的流表将被修改VLANID，将其导入至提前定义好的VLAN中，隔离与其他主机的通信。...

【技术特征摘要】
1. 一种基于SDN的虚拟网络优化方法，其特征在于，包括如下步骤： 步骤1)当新主机进入局域网，在控制器C1上新建映射，并对每台主机设立一个初始加 入时间t_init字段； 步骤2)将所述新主机的MAC地址与相应的宽口建立映射； 步骤3)对所述新主机的流表进行修改，使其指向预先做好镜像的Nginx服务器； 步骤4)对每个主机设立的初始加入时间加上可信期形成新的结束时间，若该结束时 间〉当前时间，则所述新主机将停留在slicel层上； 步骤5)若所述新主机的结束时间〉当前时间且无发生DDOS攻击，则所述slicel层的 监视线程每隔一个时间间隔会扫描一次主机列表，将该新主机的ip和mac以及对应的流表 以一种主机参数列表list_host □的形式传入slic...

【专利技术属性】
技术研发人员：陈丹伟，戈今杰，王志伟，王少辉，
申请(专利权)人：南京邮电大学，
类型：发明
国别省市：江苏;32