[發(fā)明專利]一種報(bào)文處理的方法和設(shè)備

有效

• 申請(qǐng)?zhí)枺?/td>: 201510020754.8
• 申請(qǐng)日: 2015-01-15
• 公開（公告）號(hào): CN104618262B
• 公開（公告）日: 2018-04-06
• 發(fā)明（設(shè)計(jì)）人: 徐燕成;王偉
• 申請(qǐng)（專利權(quán)）人: 新華三技術(shù)有限公司
• 主分類號(hào): H04L12/823
• 分類號(hào): H04L12/823;H04L29/06
• 代理公司: 北京博思佳知識(shí)產(chǎn)權(quán)代理有限公司11415
• 代理人: 林祥

技術(shù)領(lǐng)域

本發(fā)明涉及通信技術(shù)領(lǐng)域，尤其是涉及一種報(bào)文處理的方法和設(shè)備。

背景技術(shù)

SDN(Software Defined Network，軟件定義網(wǎng)絡(luò))網(wǎng)絡(luò)是一種新型網(wǎng)絡(luò)創(chuàng)新架構(gòu)，其核心思想是將網(wǎng)絡(luò)設(shè)備的控制層面與轉(zhuǎn)發(fā)層面分離，以實(shí)現(xiàn)對(duì)流量的靈活控制，并為核心網(wǎng)絡(luò)以及應(yīng)用的創(chuàng)新提供良好的平臺(tái)。在SDN網(wǎng)絡(luò)中，包括網(wǎng)絡(luò)設(shè)備(如交換機(jī))和SDN控制器。SDN控制器用于根據(jù)用戶的配置或者動(dòng)態(tài)運(yùn)行的協(xié)議生成流表(Flow Table)，并將流表發(fā)送到網(wǎng)絡(luò)設(shè)備。網(wǎng)絡(luò)設(shè)備用于接收來自SDN控制器的流表，并根據(jù)流表來匹配和處理報(bào)文。

如圖1所示，為SDN網(wǎng)絡(luò)的組網(wǎng)示意圖。網(wǎng)關(guān)設(shè)備在收到需要發(fā)送給VM(虛擬機(jī))的報(bào)文時(shí)，如果網(wǎng)關(guān)設(shè)備上沒有該報(bào)文匹配的流表，則網(wǎng)關(guān)設(shè)備將該報(bào)文發(fā)送給SDN控制器，由SDN控制器生成該報(bào)文匹配的流表，并將流表下發(fā)給網(wǎng)關(guān)設(shè)備。在后續(xù)過程中，網(wǎng)關(guān)設(shè)備可以利用該流表轉(zhuǎn)發(fā)需要發(fā)送給VM的報(bào)文，并由接入設(shè)備將需要發(fā)送給VM的報(bào)文最終發(fā)送給VM。

在SDN網(wǎng)絡(luò)中，目前在互聯(lián)網(wǎng)上存在大量黑客會(huì)對(duì)VM進(jìn)行攻擊，其攻擊的第一步是尋找到攻擊源，即進(jìn)行IP地址掃描和端口掃描，以探測(cè)VM是否存在。因此網(wǎng)關(guān)設(shè)備會(huì)收到大量的需要發(fā)送給VM的報(bào)文，且報(bào)文的目的IP地址和目的端口不斷發(fā)生變化。由于報(bào)文的目的IP地址和目的端口不斷發(fā)生變化，因此針對(duì)需要發(fā)送給VM的大量報(bào)文，網(wǎng)關(guān)設(shè)備上均沒有報(bào)文匹配的流表，即網(wǎng)關(guān)設(shè)備需要將大量的報(bào)文都發(fā)送給SDN控制器，從而使得SDN控制器會(huì)收到大量的報(bào)文，并生成大量的流表，SDN控制器的負(fù)擔(dān)很重。

發(fā)明內(nèi)容

本發(fā)明實(shí)施例提供一種報(bào)文處理的方法，該方法應(yīng)用于包括虛擬機(jī)VM、網(wǎng)關(guān)設(shè)備和軟件定義網(wǎng)絡(luò)SDN控制器的網(wǎng)絡(luò)中，所述方法包括以下步驟：

所述網(wǎng)關(guān)設(shè)備接收來自所述SDN控制器的狀態(tài)通知報(bào)文，所述狀態(tài)通知報(bào)文中攜帶了所述VM的身份標(biāo)識(shí)信息；所述網(wǎng)關(guān)設(shè)備生成所述VM對(duì)應(yīng)的安全表項(xiàng)，所述安全表項(xiàng)中記錄了所述VM的身份標(biāo)識(shí)信息；

所述網(wǎng)關(guān)設(shè)備在收到需要發(fā)送給VM的報(bào)文時(shí)，如果所述報(bào)文需要上送SDN控制器，則所述網(wǎng)關(guān)設(shè)備從所述報(bào)文中獲得所述VM的身份標(biāo)識(shí)信息；

所述網(wǎng)關(guān)設(shè)備通過所述VM的身份標(biāo)識(shí)信息查詢所述安全表項(xiàng)；如果所述安全表項(xiàng)中有所述VM的身份標(biāo)識(shí)信息對(duì)應(yīng)的記錄，則所述網(wǎng)關(guān)設(shè)備將所述報(bào)文發(fā)送給所述SDN控制器；否則，所述網(wǎng)關(guān)設(shè)備丟棄所述報(bào)文。

所述VM的身份標(biāo)識(shí)信息包括以下之一或者任意組合：所述VM的IP地址、所述VM的介質(zhì)訪問控制MAC地址、所述VM支持協(xié)議的端口標(biāo)識(shí)。

所述網(wǎng)關(guān)設(shè)備通過所述VM的身份標(biāo)識(shí)信息查詢所述安全表項(xiàng)的過程，具體包括：在所述網(wǎng)關(guān)設(shè)備未使能深度檢測(cè)功能時(shí)，所述網(wǎng)關(guān)設(shè)備獲得所述報(bào)文的目的IP地址和目的MAC地址，并通過所述報(bào)文的目的IP地址和目的MAC地址查詢所述安全表項(xiàng)中記錄的VM的IP地址和MAC地址；

在所述網(wǎng)關(guān)設(shè)備使能深度檢測(cè)功能時(shí)，所述網(wǎng)關(guān)設(shè)備獲得所述報(bào)文的目的IP地址、目的MAC地址和目的端口，并通過所述報(bào)文的目的IP地址、目的MAC地址和目的端口查詢所述安全表項(xiàng)中記錄的VM的IP地址、MAC地址和支持協(xié)議的端口標(biāo)識(shí)。

本發(fā)明實(shí)施例提供一種報(bào)文處理的方法，該方法應(yīng)用于包括虛擬機(jī)VM、網(wǎng)關(guān)設(shè)備和軟件定義網(wǎng)絡(luò)SDN控制器的網(wǎng)絡(luò)中，所述方法包括以下步驟：

所述SDN控制器接收來自所述VM的注冊(cè)報(bào)文，所述注冊(cè)報(bào)文中攜帶了所述VM的身份標(biāo)識(shí)信息；所述SDN控制器生成所述VM對(duì)應(yīng)的安全表項(xiàng)，所述安全表項(xiàng)中記錄了所述VM的身份標(biāo)識(shí)信息；

所述SDN控制器向所述網(wǎng)關(guān)設(shè)備發(fā)送狀態(tài)通知報(bào)文，所述狀態(tài)通知報(bào)文中攜帶了所述VM的身份標(biāo)識(shí)信息；由所述網(wǎng)關(guān)設(shè)備生成記錄了所述VM的身份標(biāo)識(shí)信息的安全表項(xiàng)，并利用所述安全表項(xiàng)將需要上送給SDN控制器的報(bào)文發(fā)送給所述SDN控制器或者丟棄需要上送給SDN控制器的報(bào)文。

所述VM的身份標(biāo)識(shí)信息包括以下之一或者任意組合：所述VM的IP地址、所述VM的介質(zhì)訪問控制MAC地址、所述VM支持協(xié)議的端口標(biāo)識(shí)。

本發(fā)明實(shí)施例提供一種網(wǎng)關(guān)設(shè)備，應(yīng)用于包括虛擬機(jī)VM、所述網(wǎng)關(guān)設(shè)備和軟件定義網(wǎng)絡(luò)SDN控制器的網(wǎng)絡(luò)中，所述網(wǎng)關(guān)設(shè)備具體包括：

接收模塊，用于接收來自所述SDN控制器的狀態(tài)通知報(bào)文，所述狀態(tài)通知報(bào)文中攜帶了所述VM的身份標(biāo)識(shí)信息；

生成模塊，用于利用所述VM的身份標(biāo)識(shí)信息生成所述VM對(duì)應(yīng)的安全表項(xiàng)，所述安全表項(xiàng)中記錄了所述VM的身份標(biāo)識(shí)信息；