[發明專利]一種基于多路徑的SDN網絡數據傳輸隱私保護系統及其方法

有效

• 申請號: 201810965529.5
• 申請日: 2018-08-23
• 公開（公告）號: CN109067758B
• 公開（公告）日: 2020-07-10
• 發明（設計）人: 王良民;董娜;陳向益;尹星;馮霞;張明政;鄔海琴
• 申請（專利權）人: 江蘇大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/707
• 代理公司: 南京華恒專利代理事務所(普通合伙) 32335
• 代理人: 宋方園

本發明公開一種基于多路徑的SDN網絡數據傳輸隱私保護系統及其方法SDN控制器的網絡拓撲模塊將OpenFlow交換機間的連接信息轉化為網絡模型圖；SDN控制器的多路徑計算模塊基于網絡模型圖計算源地址與目的地址之間多條不相交的路徑及其權值；SDN控制器的隨機選擇路徑模塊基于已計算得到的路徑權值產生隨機數來決定每次傳輸的路徑；OpenFlow交換機中觸發模塊能夠及時刪除已完成匹配的流表項。由此，在SDN網絡中多次傳輸數據時，網絡流量的相似性降低，攻擊者無法通過劫持單個節點或者監控流量整體走向來獲取路徑信息，從而實現隱私保護。

技術領域

本發明屬于SDN網絡數據傳輸領域，尤其涉及一種基于多路徑的SDN網絡數據傳輸隱私保護系統及其方法。

背景技術

軟件定義網絡(Software-Defined Network,SDN)作為一種新型的網絡架構，實現了控制平面與轉發平面的分離。SDN網絡通過邏輯上的集中控制，能夠獲得全局的網絡拓撲，并且根據應用層的業務需求可以對全局的網絡資源做出更加合理的調配，如流量工程，負載均衡等應用。目前，SDN網絡已經運用于數據中心、企業網、電信運營商上等場景。

盡管SDN為傳統的網絡架構帶來了創新，但是SDN架構本身也存在一定的安全問題。攻擊者可能攻擊SDN控制器來發送惡意的指令，也可能通過控制底層的物理設備，破壞控制器對底層設備的判斷，讀取底層設備的隱私信息。

在解決數據傳輸隱私保護的現有技術中，利用多路徑傳輸發送假包的方法可以迷惑攻擊者，從而實現隱私保護。但該方法只應用在傳統網絡中，并且加重了網絡的開銷，同時假包必須與真實流量相似才能起到迷惑攻擊者的效果。在SDN網絡中，多路徑傳輸常用于解決負載均衡等問題，但是并沒有應用于數據傳輸隱私保護，在單一路徑傳輸的環境下，攻擊者通過探測節點收發數據的時間，流量整體走向等方法，很容易獲取參與通信節點的隱私信息。多路徑傳輸為SDN網絡中數據傳輸的隱私保護問題提供了新的解決思路。

發明內容

發明目的：為實現保護SDN網絡中數據傳輸路徑的隱私性，本發明提出了一種基于多路徑的SDN網絡中數據傳輸隱私保護方法。

技術方案：本發明的一種基于多路徑的SDN網絡數據傳輸隱私保護系統，包括SDN控制器、OpenFlow交換機、若干主機Host和攻擊者Attacker，所述SDN控制器中設有隨機選擇路徑模塊、網絡拓撲模塊、多路徑計算模塊和路徑下發模塊；網絡拓撲模塊通過鏈路發現協議(Link Layer Discovery Protocol,LLDP)獲取底層交換機之間的連接信息，并將這些信息簡化為網絡模型圖，多路徑計算模塊根據網絡拓撲模塊簡化的模型圖計算得到不相交的多條路徑，隨機選擇路徑模塊根據權重值產生隨機數來選擇相應路徑，路徑下發模塊將選擇好的路徑通過流表的形式下發至OpenFlow交換機；所述OpenFlow交換機與傳統交換機相比支持OpenFlow協議，為避免攻擊者劫持后泄露流表項，所述OpenFlow交換機中設有觸發模塊，數據包離開OpenFlow交換機將觸發OpenFlow交換機刪除該流表項；所述各主機Host之間建立長期穩定的通信：每個主機Host均連接一個對應的OpenFlow交換機，在兩個主機之間建立連接前獲取雙方的地址信息，發起通信的主機通過SDN控制器廣播ARP請求消息，對方主機收到消息后通過SDN控制器將ARP響應消息發送給發起方，由此獲得雙方地址信息；建立連接后，主機將數據包發給與之相連的OpenFlow交換機；所述攻擊者Attacker攻擊參與通信的交換機，并通過分析交換機來獲取通信雙方之間的路徑。

上述過程中，假設SDN控制器是可信的，SDN控制器不會與攻擊者聯合，將路徑信息透露給攻擊者。假設網絡中的交換機是誠實且可信的，交換機不會與攻擊者聯合，披露自己的流表信息。

本發明中的SDN控制器現對于傳統控制器而言，新增隨機選擇路徑模塊，改進網絡拓撲模塊以及多路徑計算模塊，同時又兼具傳統SDN控制器的路徑下發模塊。