[發(fā)明專利]一種基于區(qū)域增長算法的SDN流規(guī)則探測方法

有效

• 申請?zhí)枺?/td>: 201910402443.6
• 申請日: 2019-05-15
• 公開（公告）號: CN110138777B
• 公開（公告）日: 2020-03-17
• 發(fā)明（設(shè)計）人: 虞紅芳;張鑫剛;孫罡
• 申請（專利權(quán)）人: 電子科技大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 成都正華專利代理事務(wù)所(普通合伙) 51229
• 代理人: 陳選中

1.一種基于區(qū)域增長算法的SDN流規(guī)則探測方法，其特征在于，包括以下步驟：

S1、通過判斷MAC地址、IP地址和TCP/UDP協(xié)議端口是否在流規(guī)則中啟用，確定流規(guī)則空間的維度；

S2、將一條流規(guī)則是否存在于目標(biāo)網(wǎng)絡(luò)內(nèi)記為sign，sign的值為-a或a，分別表示該條流規(guī)則不存在于目標(biāo)網(wǎng)絡(luò)中和存在于目標(biāo)網(wǎng)絡(luò)中，將整個流規(guī)則空間的sign默認(rèn)為-a；其中a≠0；

S3、在流規(guī)則空間中進(jìn)行隨機(jī)采樣構(gòu)造探測數(shù)據(jù)包，直至找到一條流規(guī)則的sign值為a；

S4、獲取以sign值為a的流規(guī)則的具體邊界；

S5、根據(jù)sign值為a的流規(guī)則的具體邊界將流規(guī)則空間分割為若干個流規(guī)則子空間；

S6、將sign值為a的流規(guī)則所在的流規(guī)則子空間的sign值設(shè)為a，將其余流規(guī)則子空間的sign值設(shè)為-a；

S7、判斷是否達(dá)到探測上限，若是則將所有sign值為a對應(yīng)的流規(guī)則作為探測結(jié)果進(jìn)行輸出，并結(jié)束探測；否則進(jìn)入步驟S8；

S8、將每個sign值為-a的流規(guī)則子空間作為新的待探測的流規(guī)則空間，返回步驟S3。

2.根據(jù)權(quán)利要求1所述的基于區(qū)域增長算法的SDN流規(guī)則探測方法，其特征在于，所述步驟S1中判斷MAC地址是否在流規(guī)則中啟用的具體包括以下子步驟：

S1-1-1、保留實(shí)際MAC地址的前三個字節(jié)并將后三個字節(jié)使用隨機(jī)數(shù)字進(jìn)行代替，完成偽造MAC地址；

S1-1-2、將帶有偽造MAC地址的數(shù)據(jù)包發(fā)往目的主機(jī)，判斷是否收到探測響應(yīng)或來自目的主機(jī)的ARP請求，若是則表示該數(shù)據(jù)包的源MAC地址字段在流規(guī)則中沒有作為匹配項(xiàng)啟用并進(jìn)入步驟S1-1-4；否則進(jìn)入步驟S1-1-3；

S1-1-3、判斷偽造MAC地址的次數(shù)是否達(dá)到上限，若是則表示該數(shù)據(jù)包的源MAC地址字段在流規(guī)則中已作為匹配項(xiàng)啟用，結(jié)束MAC地址是否在流規(guī)則中啟用的判定；否則返回步驟S1-1-1；

S1-1-4、構(gòu)造一個ARP響應(yīng)報文，填入IP地址和偽造的MAC地址井發(fā)送至目的主機(jī)；發(fā)送具有正確地址的探測包至目的主機(jī)，判斷是否接收到來著目的主機(jī)基于該偽造MAC地址的響應(yīng)報文，若是則表示該偽造MAC地址字段在流規(guī)則中沒有作為匹配項(xiàng)啟用，并結(jié)束MAC地址是否在流規(guī)則中啟用的判定；否則進(jìn)入步驟S1-1-5；

S1-1-5、判斷構(gòu)造ARP響應(yīng)報文的次數(shù)是否達(dá)到上限，若是則表示該偽造MAC地址字段在流規(guī)則中已作為匹配項(xiàng)啟用，結(jié)束MAC地址是否在流規(guī)則中啟用的判定；否則返回步驟S1-1-4。

3.根據(jù)權(quán)利要求1所述的基于區(qū)域增長算法的SDN流規(guī)則探測方法，其特征在于，所述步驟S1中判斷IP地址是否在流規(guī)則中啟用的具體方法包括以下子步驟：

S1-2-1、保留原IP地址的網(wǎng)絡(luò)前綴并隨機(jī)選擇主機(jī)號，完成偽造IP地址；

S1-2-2、將帶有偽造IP地址的數(shù)據(jù)包發(fā)往目的主機(jī)，判斷是否收到來自目的主機(jī)的ARP請求報文，若是則表示該數(shù)據(jù)包的源IP地址未作為流規(guī)則的匹配項(xiàng)啟用，進(jìn)入步驟S1-2-4；否則進(jìn)入步驟S1-2-3；

S1-2-3、判斷偽造IP地址的次數(shù)是否達(dá)到上限，若是則表示該數(shù)據(jù)包的源IP地址在流規(guī)則中已作為匹配項(xiàng)啟用，結(jié)束IP地址是否在流規(guī)則中啟用的判定；否則返回步驟S1-2-1；

S1-2-4、構(gòu)造一個ARP響應(yīng)報文，將偽造的IP地址和自身MAC地址對應(yīng)并發(fā)送至目的主機(jī)；發(fā)送探測包至目的主機(jī)，判定是否接收到探測響應(yīng)報文，若是則表示該偽造的IP地址未作為流規(guī)則的匹配項(xiàng)啟用，結(jié)束IP地址是否在流規(guī)則中啟用的判定；否則進(jìn)入步驟S1-2-5；

S1-2-5、判斷構(gòu)造ARP響應(yīng)報文的次數(shù)是否達(dá)到上限，若是則表示該偽造的IP地址已作為流規(guī)則的匹配項(xiàng)啟用，結(jié)束IP地址是否在流規(guī)則中啟用的判定；否則返回步驟S1-2-4。