CN104219337A - 应用于sdn中的ip地址分配方法和设备 - Google Patents

Abstract

本申请提供了应用于SDN中的IP地址分配方法和设备。本发明中，通过在SDN控制器本地维护一张IP地址申请防攻击表，该IP地址申请防攻击表记录了VM绑定的Inport和OVS，当收到VM发送的携带了该IP地址申请防攻击表中Inport和OVS的IP地址请求报文时，不管该IP地址请求报文的源MAC地址如何，都认为该发送IP地址请求报文的VM已经申请过IP地址了，不再重复为其申请IP地址，会将该收到的IP地址请求报文作为恶意报文丢弃，以防止攻击SDN控制器的VM恶意申请IP地址。

Description

应用于SDN中的IP地址分配方法和设备

技术领域

本申请涉及网络通信技术，特别涉及应用于软件定义网络(SDN：Software Defined Network)中的IP地址分配方法和设备。

背景技术

SDN是一种新型网络架构，其核心思想是分离网络设备的控制层面与转发层面，通过SDN控制器对网络流量进行集中和灵活控制，从而为核心网络及应用的创新提供良好的平台。

其中，SDN控制器可以部署在数据中心、公共云平台、私有云平台、校园网等网络环境中，为开发基于用户个性化需求的SDN应用提供了完善的基础控制平台、高可靠的分布式平台和良好的可扩张平台。

在SDN中，SDN控制器通过以下两种方式为SDN中的虚拟机(VM：Virtual Machine)分配IP地址：

方式1：静态配置；该方式1工作量巨大，不经常使用。

方式2：通过SDN中的IP地址分配工具(CAS tool)动态为VM申请分配一个IP地址。

在SDN中，方式2经常被使用，但是，采用方式2，会存在以下缺陷：如果一个VM上线后通过不断构造虚拟MAC地址的方式持续不断地发送IP地址请求来恶意攻击SDN控制器，这会导致SDN控制器不停地给其分配IP地址，进而导致CAS tool中的可用IP地址被分配殆尽，以至于当有新的VM上线时，无法给该新上线的VM分配IP地址，导致该新上线的VM对应的业务中断不可用。

发明内容

本申请提供了应用于SDN中的IP地址分配方法和设备，以防止攻击SDN控制器的VM恶意申请IP地址。

本申请提供的方案包括：

一种应用于软件定义网络SDN中的IP地址分配方法，该方法应用于SDN中的SDN控制器，包括以下步骤：

接收虚拟机VM发送的IP地址请求报文；所述IP地址请求报文是由VM连接的虚拟交换机OVS中转至SDN控制器的，当所述OVS收到VM发送的IP地址请求报文时其在该IP地址请求报文中携带本OVS的标识、以及携带本OVS上连接所述VM的端口Inport的标识；

检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述IP地址请求报文携带的OVS标识和Inport标识；

如果不存在，为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表；

如果存在，直接丢弃所述IP地址请求报文。

一种应用于软件定义网络SDN中的IP地址分配设备，该设备应用于SDN中的SDN控制器，包括：

接收单元，用于接收虚拟机VM发送的IP地址请求报文；所述IP地址请求报文是由VM连接的虚拟交换机OVS中转至本接收单元的，当所述OVS收到VM发送的IP地址请求报文时其在该IP地址请求报文中携带本OVS的标识、以及携带本OVS上连接所述VM的端口Inport的标识；

检测单元，用于检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述IP地址请求报文携带的OVS标识和Inport标识；

处理单元，用于在所述检测单元检测出本地IP地址申请防攻击表中不存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表；以及，

用于在所述检测单元检测出本地IP地址申请防攻击表中存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，直接丢弃所述IP地址请求报文。

由以上技术方案可以看出，本发明中，通过在SDN控制器本地动态维护一张IP地址申请防攻击表，该IP地址申请防攻击表记录了与VM绑定的Inport和OVS，当SDN控制器收到IP地址请求报文时，不管该IP地址请求报文的源MAC地址如何，只要本地维护的IP地址申请防攻击表中存在该IP地址请求报文携带的Inport和OVS，就认为发送该IP地址请求报文的VM已经申请过IP地址了，不再重复为其申请IP地址，会将该收到的IP地址请求报文作为恶意报文丢弃，以防止攻击SDN控制器的VM恶意申请IP地址。

附图说明

图1为本发明实施例提供的网络场景结构图；

图2为本发明实施例提供的方法流程图；

图3为本发明实施例提供的设备结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

在描述本发明提供的方案之前，先对本发明涉及的SDN应用场景进行描述：

在本发明涉及的SDN应用场景中，VM是通过其连接的虚拟交换机(OVS：OpenVSwitch)与SDN控制器进行交互的。图1简单示出了该网络应用场景。

在图1中，VM通过其配置的虚拟网卡(Inport)连接OVS，当前，一个VM具有唯一一个区分于其他VM的Inport，如此，通过各个VM的Inport能够区分各个VM。

在图1中，一个OVS可以通过连接多个VM上的Inport，图1只是实例性地描述了一个OVS即OVS1连接两个VM即VM1、VM2的Inport，这并非限定本发明。

基于上面描述的SDN应用场景，下面对本发明提供的方法进行描述：

参见图2，图2为本发明实施例提供的方法流程图。该方法应用于SDN中的SDN控制器，例如虚拟应用融合(VCF：Virtual Converged Framework)控制器等，本发明并不限定。

如图2所示，该方法可包括以下步骤：

步骤201，接收VM发送的IP地址请求报文。

在SDN中，VM上线后，如果该VM目前还未有IP地址，其会先向SDN控制器发送一个IP地址请求报文用于请求IP地址，以便与其他VM进行业务交互。

在SDN应用中，VM并非直接与SDN控制器进行报文交互，两者之间的报文通过OVS中转。如此，当与该上线的VM连接的OVS接收到该上线的VM发送的IP地址请求报文时，其会在该接收IP地址请求报文中携带本OVS的标识、以及携带本OVS连接该上线的VM的端口(Inport，其实质为一个虚拟端口)的标识。之后，OVS会将该IP地址请求报文中转发送至SDN控制器。如此，最终到达SDN控制器的IP地址请求报文携带了OVS的标识、以及携带了OVS上连接VM的Inport的标识。

应用于图1所示的应用场景，假如VM1上线，则如果该VM1目前还未有IP地址，VM1就会先发送一个IP地址请求报文用于请求IP地址，如图1所示，VM1连接OVS1，如此，当OVS1接收到VM1发送的IP地址请求报文，其会在该IP地址请求报文中携带本OVS的标识比如OVS1，以及携带本OVS上连接VM1的Inport的标识比如Inport1，之后，发送该IP地址请求报文至SDN控制器。

步骤202，检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：IP地址请求报文携带的OVS标识和Inport标识；如果不存在，则执行步骤203，如果存在，执行步骤204。

本发明中，IP地址申请防攻击表中的表项并非是预先建立的，其是动态建立的，具体见步骤203。

步骤203，为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表。结束当前流程。

本发明中，可采用现有SDN中的IP地址分配工具比如CAS tool为所述VM申请分配一个IP地址，这里不再赘述。

本发明中，将接收的IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地的IP地址申请防攻击表，目的是记录已经为哪个OVS下的哪个VM(其通过Inport标识)申请过IP地址了，以后就不会重复为其申请IP地址了，具体见步骤204。

仍以图1所示的应用场景为例，假如本步骤203基于SDN中的IP地址分配工具比如CAS tool为该发送IP地址请求报文的VM1申请一个IP地址并下发给该VM1，则，本步骤203就将该IP地址请求报文携带的VM1连接的OVS标识即OVS1、以及OVS1上连接VM1的Inport标识即Inport1作为一条新增的表项(记为表项1)记录至本地IP地址申请防攻击表；同样，假如本步骤203基于SDN中的IP地址分配工具比如CAS tool为该发送IP地址请求报文的VM2申请一个IP地址并下发给该VM2，则，本步骤203就将该IP地址请求报文携带的VM2连接的OVS标识即OVS1、以及OVS1上连接VM2的Inport标识即Inport2作为一条新增的表项(记为表项2)记录至本地IP地址申请防攻击表。表1示出了本地IP地址申请防攻击表新增的表项1和表项2：

表1

表项	OVS	VM
			表项1	OVS1	Inport1
表项2	OVS1	Inport2

这里，之所以记录IP地址请求报文携带的OVS标识和Inport标识，原因是：对于一些恶意VM，其都是通过不断构造不同的虚拟MAC地址来源源不断地发送IP地址请求报文，但不管如何构造虚拟MAC地址，其连接OVS上的Inport、以及连接的OVS是不变的，因此，本发明为避免为VM重复不断地申请IP地址，会在为该VM申请一个IP地址后将该VM连接OVS上的Inport的标识、以及连接的OVS的标识记录。

步骤204，直接丢弃该接收的IP地址请求报文。

本步骤204是在检测出本地IP地址申请防攻击表中存在包含以下内容的表项：IP地址请求报文携带的OVS标识和Inport标识时执行的，当检测出本地IP地址申请防攻击表中存在包含以下内容的表项：IP地址请求报文携带的OVS标识和Inport标识，则认为已经为该发送IP地址请求报文的VM申请过IP地址了，此时再收到该VM发送的IP地址请求报文，就认为是恶意申请IP地址的报文，会将其作为恶意报文丢弃。

至此，完成图2所示流程。

在上面描述的图2所示流程中，IP地址申请防攻击表中的表项并非是固定不变的，具体地，本发明在向IP地址申请防攻击表中新增加表项时，会同时启动预先针对该新增加的表项设置的对应的老化定时器，之后，实时检测该新增的表项对应的老化定时器，并在该新增的表项对应的老化定时器超时时，从本地IP地址申请防攻击表中删除该新增的表项。这里，老化定时器的时间可根据实际情况设置，比如1天、1个月等，本发明并不具体限定。

对应于上述表1，表2示出了本地IP地址申请防攻击表中启动了老化定时器的表项：

表2

表项	OVS	VM	老化定时器
				表项1	OVS1	Inport1	老化定时器1未超时
表项2	OVS1	Inport2	老化定时器2未超时

还有，本发明中，如果OVS连接的VM因为迁徙或者其他原因下线，则此时OVS上连接该下线VM的Inport就会当掉(Down)，当OVS感知到其连接VM的Inport Down，其会发送下线通知报文给SDN控制器，这里，OVS发送的下线通知报文携带了本OVS的标识、以及本OVS上连接下线VM的Inport的标识；当SDN控制器接收到下线通知报文时，其会检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：下线通知报文携带的OVS标识和Inport标识；

如果存在，则从本地的IP地址申请防攻击表中删除该存在的表项；

如果不存在，则忽略该下线通知报文。

至此，完成本发明提供的方法描述。

以上对本发明提供的方法进行了描述，下面对本发明提供的设备进行描述：

参见图3，图3为本发明实施例提供的设备结构图。图3所示的设备可应用于SDN中的SDN控制器，如图3所示，该设备可包括：

接收单元，用于接收VM发送的IP地址请求报文；所述IP地址请求报文是由VM连接的虚拟交换机OVS中转至本接收单元的，当所述OVS收到VM发送的IP地址请求报文时其会在该IP地址请求报文中携带本OVS的标识、以及携带本OVS上连接所述VM的端口Inport的标识；

检测单元，用于检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述IP地址请求报文携带的OVS标识和Inport标识；

处理单元，用于在所述检测单元检测出本地IP地址申请防攻击表中不存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表；以及，

用于在所述检测单元检测出本地IP地址申请防攻击表中存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，直接丢弃所述IP地址请求报文。

优选地，本发明中，如图3所示，所述设备进一步包括：

定时器单元，用于所述处理单元在将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表时，启动预先针对该新增的表项设置的对应的老化定时器，并且，实时检测该新增的表项对应的老化定时器，并在该新增的表项对应的老化定时器超时时，发送第一通知至所述处理单元；

所述处理单元，还用于接收到所述第一通知时，从本地IP地址申请防攻击表中删除该对应的老化定时器超时的表项。

优选地，本发明中，所述接收单元，还用于接收OVS在感知到其连接的VM下线时发送的下线通知报文，OVS发送的下线通知报文携带了本OVS的标识、以及本OVS上连接下线VM的Inport的标识；

基于此，所述检测单元，还用于检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述下线通知报文携带的OVS标识和Inport标识；

所述处理单元还用于所述检测单元在检测出本地IP地址申请防攻击表中存在包含以下内容的表项时：所述下线通知报文携带的OVS标识和Inport标识，从本地的IP地址申请防攻击表中删除该存在的表项，以及，在所述检测单元检测出本地IP地址申请防攻击表中不存在包含以下内容的表项时：所述下线通知报文携带的OVS标识和Inport标识，忽略该下线通知报文。

至此，完成图3所示的设备描述。

由以上技术方案可以看出，本发明中，通过在SDN控制器本地动态维护一张IP地址申请防攻击表，该IP地址申请防攻击表记录了与VM绑定的Inport和OVS，当SDN控制器收到IP地址请求报文时，不管该IP地址请求报文的源MAC地址如何，只要本地维护的IP地址申请防攻击表中存在该IP地址请求报文携带的Inport和OVS，就认为发送该IP地址请求报文的VM已经申请过IP地址了，不再重复为其申请IP地址，会将该收到的IP地址请求报文作为恶意报文丢弃，以防止攻击SDN控制器的VM恶意申请IP地址。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (6)

1.一种应用于软件定义网络SDN中的IP地址分配方法，其特征在于，该方法应用于SDN中的SDN控制器，包括以下步骤：

接收虚拟机VM发送的IP地址请求报文；所述IP地址请求报文是由VM连接的虚拟交换机OVS中转至SDN控制器的，当所述OVS收到VM发送的IP地址请求报文时其在该IP地址请求报文中携带本OVS的标识、以及携带本OVS上连接所述VM的端口Inport的标识；

检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述IP地址请求报文携带的OVS标识和Inport标识；

如果不存在，则为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表；

如果存在，丢弃所述IP地址请求报文。

2.根据权利要求1所述的方法，其特征在于，在将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表时，进一步包括：

启动预先针对该新增的表项设置的对应的老化定时器；

实时检测该新增的表项对应的老化定时器，并在该新增的表项对应的老化定时器超时时，从本地IP地址申请防攻击表中删除该新增的表项。

3.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

接收OVS在感知到其连接的VM下线时发送的下线通知报文，OVS发送的下线通知报文携带了本OVS的标识、以及本OVS上连接下线VM的Inport的标识；

检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述下线通知报文携带的OVS标识和Inport标识；

如果存在，则从本地的IP地址申请防攻击表中删除该存在的表项；

如果不存在，则忽略该下线通知报文。

4.一种应用于软件定义网络SDN中的IP地址分配设备，其特征在于，该设备应用于SDN中的SDN控制器，包括：

接收单元，用于接收虚拟机VM发送的IP地址请求报文；所述IP地址请求报文是由VM连接的虚拟交换机OVS中转至本接收单元的，当所述OVS收到VM发送的IP地址请求报文时其在该IP地址请求报文中携带本OVS的标识、以及携带本OVS上连接所述VM的端口Inport的标识；

检测单元，用于检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述IP地址请求报文携带的OVS标识和Inport标识；

处理单元，用于在所述检测单元检测出本地IP地址申请防攻击表中不存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，为所述VM申请分配一个IP地址并下发给所述VM，并将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表；以及，

用于在所述检测单元检测出本地IP地址申请防攻击表中存在包含以下内容的表项时：所述IP地址请求报文携带的OVS标识和Inport标识，直接丢弃所述IP地址请求报文。

5.根据权利要求4所述的设备，其特征在于，所述设备进一步包括：

定时器单元，用于所述处理单元在将所述IP地址请求报文携带的OVS标识和Inport标识作为一条新增的表项记录至本地IP地址申请防攻击表时，启动预先针对该新增的表项设置的对应的老化定时器，并且，实时检测该新增的表项对应的老化定时器，并在该新增的表项对应的老化定时器超时时，发送第一通知至所述处理单元；

所述处理单元，还用于接收到所述第一通知时，从本地IP地址申请防攻击表中删除该对应的老化定时器超时的表项。

6.根据权利要求5所述的设备，其特征在于，

所述接收单元，还用于接收OVS在感知到其连接的VM下线时发送的下线通知报文，OVS发送的下线通知报文携带了本OVS的标识、以及本OVS上连接下线VM的Inport的标识；

所述检测单元，还用于检测本地IP地址申请防攻击表中是否存在包含以下内容的表项：

所述下线通知报文携带的OVS标识和Inport标识；

所述处理单元还用于所述检测单元在检测出本地IP地址申请防攻击表中存在包含以下内容的表项时：所述下线通知报文携带的OVS标识和Inport标识，从本地的IP地址申请防攻击表中删除该存在的表项，以及，在所述检测单元检测出本地IP地址申请防攻击表中不存在包含以下内容的表项时：所述下线通知报文携带的OVS标识和Inport标识，忽略该下线通知报文。