[發明專利]利用SDN技術解決分布式防火墻網絡一致更新的方法

有效

• 申請號: 201710060115.3
• 申請日: 2017-01-24
• 公開（公告）號: CN106850616B
• 公開（公告）日: 2019-10-18
• 發明（設計）人: 王雷;鐘靜連;王亮;王津言;虞偉民;陳立;方天宇
• 申請（專利權）人: 南京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 南京理工大學專利中心 32203
• 代理人: 陳鵬

1.一種利用SDN技術解決特定分布式防火墻網絡一致性更新問題的方法，其特征在于，系統架構包括Mininet模擬環境平臺、OpenDaylight控制器、RESTAPI應用編程接口和分布式防火墻網絡拓撲結構；所述分布式防火墻網絡拓撲結構包括第一OpenFlow智能交換機(s1)、第二OpenFlow智能交換機(s2)、第三OpenFlow智能交換機(s3)、第四OpenFlow智能交換機(s4)、第一主機(gen)、第二主機(srv)、第一監控主機(h1)和第二監控主機(h2)，所述第一OpenFlow智能交換機(s1)、第二OpenFlow智能交換機(s2)、第三OpenFlow智能交換機(s3)、第四OpenFlow智能交換機(s4)順次連接，所述第一主機(gen)與第二OpenFlow智能交換機(s2)相連，第二主機(srv)與第三OpenFlow智能交換機(s3)相連，第一監控主機(h1)與第一OpenFlow智能交換機(s1)相連，第二監控主機(h2)與第四OpenFlow智能交換機(s4)相連；該方法包括以下步驟：

第一步，開啟Mininet模擬平臺并初始化SDN基礎環境，修改自定義拓撲配置文件創建需要的網絡結構，使用net命令查看鏈路狀態；

第二步，運行/opt/opendaylight-snapshot/run.DelayedSFEP.sh命令來開啟內部OpenDaylight控制器，并讓主機之間互ping，測試平臺環境是否能夠模擬真實有效的網絡；

第三步，關于第一監控主機(h1)和第二監控主機(h2)，分別配置命令“ifconfigh1-eth0:010.0.0.10”和“ifconfigh2-eth0:010.0.0.10”，在第一監控主機(h1)和第一OpenFlow智能交換機(s1)的接口之間以及第二監控主機(h2)和第四OpenFlow智能交換機(s4)之間添加混疊IP地址10.0.0.10；創建task-init.sh腳本文件來對第一OpenFlow智能交換機(s1)、第二OpenFlow智能交換機(s2)、第三OpenFlow智能交換機(s3)安裝初始流表條目，使第一主機(gen)周期性的發送數據包至第二主機(srv)上，初始狀態下由第一監控主機(h1)負責監測經過驗證的主機流量；在下發的流表規則中對第一OpenFlow智能交換機(s1)、第二OpenFlow智能交換機(s2)、第三OpenFlow智能交換機(s3)進行配置，所有的流表項中添加匹配信息，設置VLAN為1，數據報文在傳輸前包頭中的VLAN匹配字段設置為1；

流表中定義第一OpenFlow智能交換機(s1)的操作集，操作集中交換機剝離原有的vlan標記并將新的VLAN匹配信息值設置為1，將報文的目的MAC地址設置為第一監控主機(h1)的MAC地址，報文流經第一OpenFlow智能交換機(s1)時的轉入接口為第二接口，轉出接口為第一接口；

設定第二OpenFlow智能交換機(s2)為初始交換機，第一OpenFlow智能交換機(s1)、第三OpenFlow智能交換機(s3)為后續交換機，設置流表優先級為1000，流表中定義第二OpenFlow智能交換機(s2)的操作集，交換機剝離原先設定的vlan標記并將新的匹配信息vlan的值設置為1，報文流經第二OpenFlow智能交換機(s2)時的轉入接口為第一接口，與第一智能交換機相連的轉出接口為第三接口，與第三智能交換機相連的轉出接口為第二接口；

將第三OpenFlow智能交換機(s3)中匹配信息vlan值設置為1，報文流經第三OpenFlow智能交換機(s3)時的轉入接口為第一接口，轉出接口為第二接口；

第一主機(gen)發送數據包至第二主機(srv)時，數據包流經第二OpenFlow智能交換機(s2)、第三OpenFlow智能交換機(s3)，將第二OpenFlow智能交換機(s2)的第一接口作為數據包的入接口，第二接口作為數據包的出接口，第三OpenFlow智能交換機s3的第一接口作為數據包的入接口，第二接口作為數據包的出接口；

第一監控主機(h1)監測第一主機(gen)發送的數據包時，數據包流經第二OpenFlow智能交換機(s2)、第一OpenFlow智能交換機(s1)，將第二OpenFlow智能交換機(s2)的第一接口作為數據包的轉入接口，第三接口作為數據包的轉出接口，第一OpenFlow智能交換機(s1)的第二接口作為數據包的轉入接口，第一接口作為數據包的轉出接口；

第四步，第二監控主機(h2)開始監測經過驗證的主機流量，此時后續交換機為第四OpenFlow智能交換機(s4)、第三OpenFlow智能交換機(s3)，初始交換機仍為第二OpenFlow智能交換機(s2)，按照先后續交換機最后初始交換機的配置順序下發流表，即按照第四OpenFlow智能交換機(s4)、第三OpenFlow智能交換機(s3)、第二OpenFlow智能交換機(s2)的順序依次配置；

創建并運行task-update.sh腳本進行防火墻的一致性更新，確保能完全監控發送的數據報文，在該腳本中對第四OpenFlow智能交換機(s4)、第三OpenFlow智能交換機(s3)和第二OpenFlow智能交換機(s2)定義操作集進行更新；定義的操作集要求所有流表項中添加VLAN匹配信息并將其設置為2，傳輸的報文添加相應的匹配字段并將VLAN標記設置為相同的值2；

流表規則中定義第四OpenFlow智能交換機(s4)的操作集，操作集中要求交換機剝離原先的vlan標記并將新的匹配信息設置為2，報文的目的MAC地址設置為第二監控主機h2的MAC地址，數據報文流經第四OpenFlow智能交換機(s4)時的流入口為第二接口，轉出接口為第一接口；

下發給第三OpenFlow智能交換機(s3)的流表中同樣要求交換機剝離原有的vlan標記并將新的vlan匹配信息值設置為2，報文流經第三OpenFlow智能交換機(s3)時的流入口為第一接口，與第四OpenFlow智能交換機(s4)相連的轉出接口為第三接口，與第二主機(srv)相連的轉出接口為第二接口；

對于第二OpenFlow智能交換機(s2)，將流表優先級提高至2000，同時將vlan匹配信息設置為2；數據報文在發送前包頭中添加新的vlan匹配字段，當網絡更新后流經交換機時按照新的匹配規則進行匹配，由于優先級的提高，數據流按照新的路由路徑進行傳輸，流經第二OpenFlow智能交換機(s2)時的流入口為第一接口，與第三OpenFlow智能交換機(s3)相連的數據轉出接口為第二接口；

第五步，通過第一監控主機(h1)和第二監控主機(h2)的xterm終端屏顯查看接收到的數據報文標號，判斷所有數據是否都已經成功發送，如成功則關閉Mininet模擬環境平臺，反之繼續監測發送直至發送完成。