CN104518984A - 一种基于多重分类器对数据包进行流量分类的sdn控制器 - Google Patents

Abstract

本发明公开了一种基于多重分类器对数据包进行流量分类的SDN控制器，是指一种在多核处理器环境中，在现有SDN控制器上设置了多重分类器，依据多重分类器对数据包进行流量分类的应用程序的任务分配。本方法实现了将控制器应用与控制器自身逻辑的分离。能够克服现有方法在使用多核处理器作为SDN控制器时，直接在控制器中运行流量分类应用所导致的控制器资源消耗过大、并行加速比不高、编程不够灵活的问题。提高了处理器资源利用率和控制器吞吐量，简化了控制器应用程序编程。

Description

一种基于多重分类器对数据包进行流量分类的SDN控制器

技术领域

本发明涉及一种SDN控制器，更特别地说，是指一种在多核处理器环境中，在现有SDN控制器上设置了多重分类器，依据多重分类器对数据包进行流量分类的应用程序的任务分配。

背景技术

2013年9月第1次印刷，电子工业出版社，《SDN核心技术剖析和实战指南》雷葆华等编著。在第15页图1-6公开的SDN核心技术体系图中(记为图1)，介绍了在SDN架构的不同层及其技术。其目标是有效地分离控制层面与转发层面，支持逻辑上集中化的统一控制，提供灵活的开发接口等。其中，控制层是整个SDN的核心，系统中的南向接口与北向接口也是以它为中心进行命名的。转发层面通过一个Packet_in消息将数据包(Packet，也称为报文)发送给控制层面。SDN(Sofeware DefinedNetworking，软件定义网络)是一种新兴的基于软件的网络架构及技术，其最大的特点在于具有松耦合的控制平面与数据平面、支持集中化的网络状态控制、实现底层网络设施对上层应用的透明。正如SDN的名字所言，它具有灵活的软件编程能力，使得网络的自动化管理和控制能力获得了空前的提升，能够有效地解决当前网络系统所要面临的资源规模扩展受限、组网灵活性差、难以满足业务快速变化的需求等问题。

OpenFlow是一种新提出的网络架构，OpenFlow交换机将原来完全由交换机/路由器控制的报文转发过程转化为由OpenFlow交换机(OpenFlowSwitch)和控制服务器(Controller)来共同完成，从而实现了数据转发和路由控制的分离。控制器可以通过事先规定好的接口操作来控制OpenFlow交换机中的流表，从而达到控制数据转发的目的。结合SDN/OpenFlow的特性，应用识别变得更加重要。从网络流量中识别一个应用的名字或者类型正变得越来越重要。

作为控制与转发相分离的结果，SDN交换机仅仅具有简单的查询与转发功能，而整个网络的控制逻辑都需要通过SDN网络中的关键部分——SDN控制器来完成，作为整个SDN网络中的核心，SDN控制器需要处理所有来自其下方SDN交换机的数据包数据，其负载随着网络规模的增大而迅速增大。

网络流量分类(Network Traffic Classification)是指将混合有各种应用的流量，按产生这些流量的应用协议进行分类。当进行二类分类时往往又可称为网络协议检测或网络协议鉴别。网络流量分类技术在现代网络安全和管理方面起着很重要的作用。网络流量不仅数据量迅速增加，而且类型也不断增多，如何在新型的SDN网络架构下快速对网络流量进行快速的识别与分类成为一个重要课题。

而为了识别进入SDN/OpenFlow控制器的网络流量以便对其进行正确的处理，识别的方法一般有基于标准端口匹配、基于深度包检测、基于协议解析和基于统计学习算法。各种方法有其自身的优点、缺陷和适用范围。参考2013年10月第1版《网络流量分类方法与实践》，汪立东、钱丽萍主编。上述的网络流量分类方法均有占用计算资源多，作为整个SDN/OpenFlow控制器的核心部分，SDN/OpenFlow控制器本身就需要处理大量的来自SDN交换机的Packet_in数据包，因而通过传统的方式在SDN/OpenFlow控制器上添加网络流量分类的应用，会消耗大量控制器本身有限的珍贵计算资源，从而降低了SDN/OpenFlow控制器的性能。

发明内容

为了解决网络流量分类在SDN/OpenFlow控制器中占用过多控制器资源，本发明采用将网络流量分类应用以独立进程的方式部署在SDN/OpenFlow控制器的不同处理器核CPU-C上。网络流量分类应用采用并行的方式对进入的流Flow进行本发明的基于多重分类器的分类处理，同时，网络流量分类应用可以采用不同的流量分类方法，包括但不限于基于深度包检测流量分类方法和基于K-均值聚类的分类方法。

在本发明中，SDN/OpenFlow控制器是在现有SDN控制器中增加了去消息头模块、五元组哈希值提取模块和基于多重分类器的流连接分配模块。

去消息头模块用于去除Packet_In数据包中的OpenFlow协议头，得到Packet_In数据包的五元组内容。

五元组哈希值提取模块用于对所述五元组内容进行哈希值计算，得到五元组哈希值；然后根据所述五元组哈希值拾取得到流、及流对应的流连接。

基于多重分类器的流连接分配模块依据流的流连接进行不同分类器的分配，从而得到任意一条流匹配的网络流量分类及网络流量分类对应的处理器核CPU-C。

在本发明中，一种网络流量分类对应一个处理器核CPU-C。一个SDN/OpenFlow控制器上有多个处理器核CPU-C。

当一个数据包进入OpenFlow交换机时，交换机将对其通过OpenFlow协议打包成一个Packet_In数据包发送给SDN/OpenFlow控制器；在SDN/OpenFlow控制器接收到Packet_In数据包后，交由多重分类器模块；多重分类器根据其流的五元组哈希值将其交给不同的流量分类应用，流量分类应用对其分类后将获取到的流—类别信息。本发明通过在SDN/OpenFlow控制器中部署应用层多重分类器的方式，使全网都具备了对流量的应用层信息，从而实现了对全网统一的流量分类结果及在全网所有OpenFlow交换机上进行应用程流量管理。

本发明基于多重分类器对数据包进行流量分类的SDN控制器与传统SDN控制器相比，具有如下优点：

1 SDN/OpenFlow控制器的应用程序部署在不同的处理器核上，相比于将应用程序部署在SDN控制器本身上，能大大降低SDN/OpenFlow控制器本身的开销的同时实现了基于SDN/OpenFlow控制器的应用层流量分类。

2 本发明能充分利用SDN/OpenFlow控制器的多核处理器，及处理器核众多的优势，提高多核处理器资源利用率。

3 同一种应用程序能在不同的处理器核上部署多份，并行执行，能大大提高数据包网络流量分类的效率。

4 SDN/OpenFlow控制器应用程序的实现无需SDN控制器本身的运行环境，可以作为一个与SDN控制器相同等级的操作系统上的进程实体，编程更加灵活、自由，移植更加方便。

附图说明

图1是传统的SDN控制器的体系结构图。

图2是本发明基于多重分类器对数据包进行流量分类的SDN控制器的结构框图。

图3是本发明基于多重分类器对数据包进行流量分类的流程图。

具体实施方式

下面将结合附图对本发明做进一步的详细说明。

本发明提出了一种多核处理器平台下的SDN控制器对网络流量的任务分配，所述的SDN控制器采用了OpenFlow网络架构，即称为SDN/OpenFlow控制器；所述SDN/OpenFlow控制器有多个处理器核CPU-Core＝{CPU-C^K,CPU-C^DPI,CPU-C^Q}，每个处理器核上可以运行一个应用层分类程序或者不运行任何应用层分类程序。在本发明中，网络流量分类应用可以采用不同的流量分类方法，包括但不限于基于深度包检测(Deep Packet Inspection，简称为DPI)流量分类方法和基于K-均值聚类的分类方法。

在本发明中，运行K-均值聚类的流量分类方法的处理器核记为n为运行K-均值聚类的流量分类方法的处理器核的总数；

在本发明中，运行DPI的流量分类方法的处理器核记为 $\mathrm{CPU}-C^{\mathrm{DPI}}=\{{\mathrm{cpu}}_1^{\mathrm{DPI}},{\mathrm{cpu}}_2^{\mathrm{DPI}},...,{\mathrm{cpu}}_m^{\mathrm{DPI}}\},$ m为运行DPI的流量分类方法的处理器核的总数；

在本发明中，不运行任何流量分类方法的处理器核记为q为不运行任何流量分类方法的处理器核的总数；n+m+q＝T，T为SDN/OpenFlow控制器上的处理器核的总数。

表示第一个运行K-均值聚类的流量分类方法的处理器核；

表示第二个运行K-均值聚类的流量分类方法的处理器核；

表示第n个运行K-均值聚类的流量分类方法的处理器核，也是最后一个运行K-均值聚类的流量分类方法的处理器核，为了方便说明，下面称为任意一个运行K-均值聚类的流量分类方法的处理器核，n也是运行K-均值聚类的流量分类方法的处理器核的标识号；

表示第一个运行DPI流量分类方法的处理器核；

表示第二个运行DPI流量分类方法的处理器核；

表示第m个运行DPI流量分类方法的处理器核，也是最后一个运行DPI流量分类方法的处理器核，为了方便说明，下面称为任意一个运行DPI流量分类方法的处理器核，m也是运行DPI流量分类方法的处理器核的标识号；

表示第一个不运行任何流量分类方法的处理器核；

表示第二个不运行任何流量分类方法的处理器核；

表示第q个不运行任何流量分类方法的处理器核，也是最后一个不运行任何流量分类方法的处理器核，为了方便说明，下面称为任意一个不运行任何流量分类方法的处理器核，q也是不运行任何流量分类方法的处理器核的标识号。

参见图2所示，SDN/OpenFlow控制器是在现有SDN控制器中增加了去消息头模块、五元组哈希值提取模块和基于多重分类器的流连接分配模块。

去消息头模块用于去除Packet_In数据包中的OpenFlow协议头，得到Packet_In数据包的五元组内容。

五元组哈希值提取模块用于对所述五元组内容进行哈希值计算，得到五元组哈希值；然后根据所述五元组哈希值拾取得到流、及流对应的流连接。

基于多重分类器的流连接分配模块依据流的流连接进行不同分类器的分配，从而得到任意一条流匹配的网络流量分类及网络流量分类对应的处理器核CPU-C。

去消息头模块用于将接收到的OFPAK协议数据包OFPAK＝{(head,op₁),(head,op₂),…,(head,op_Z)}进行去除OpenFlow协议头head，得到原始数据包OP＝{op₁,op₂,…,op_Z}。

op₁表示去除了OpenFlow协议头的第一个数据包；

op₂表示去除了OpenFlow协议头的第二个数据包；

op_Z表示去除了OpenFlow协议头的最后一个数据包，为了普识性说明，op_Z也称为任意一个数据包，Z表示数据包的标识号。

在本发明中，任意一个数据包op_Z包含有源端口号srcPort、目的端口号dstPort、协议号tran、源IP地址srcIP和目的IP地址dstIP的五元组内容op_Z＝{srcPort,dstPort,tran,srcIP,dstIP}。

在本发明中，Packet_In数据包中是含有OpenFlow协议头head的网络流消息。网络流，在一段时间内，一个源IP地址和目的IP地址之间传输的单向报文流，所有报文具有相同的源端口号srcPort、目的端口号dstPort、协议号tran、源IP地址srcIP和目的IP地址dstIP，即五元组内容相同。

在本发明的五元组哈希值提取模块中，通过数据包中的五元组内容提取出任意一个数据包op_Z对应的流的流连接ct_B。

在本发明中，SDN/OpenFlow控制器中存在有多个的流连接，所述流连接采用集合形式表达为CT＝{ct₁,ct₂,…,ct_B}，ct₁表示SDN控制器中的第一条流连接，ct₂表示SDN控制器中的第二条流连接，ct_B表示SDN控制器中的最后一条流连接，为了普识性说明，ct_B也称为任意一条流连接，B表示流连接的标识号。所述的任意一条流连接ct_B中包含有流连接标识号ID、数据包的个数packetnum、流连接的长度flen、源IP地址srcIP、目的IP地址dstIP、源端口号srcPort、目的端口号dstPort和协议号tran，采用集合形式表达为ct_B＝{ID,packetnum,flen,srcIP,srcPort,dstIP,dstPort,tran}。

在本发明中，SDN/OpenFlow控制器中可能存在多个原始数据包OP＝{op₁,op₂,…,op_Z}对应同一条流连接ct_B，也可能一个数据包op_Z对应一条流连接ct_B。

在本发明应用MD5法计算出流连接CT＝{ct₁,ct₂,…,ct_B}中的每一条流连接的哈希值HC＝{hc₁,hc₂,…,hc_B}；任意一条流连接的哈希值hc_B为32位整形数。然后，根据所述的HC＝{hc₁,hc₂,…,hc_B}来分配流连接CT＝{ct₁,ct₂,…,ct_B}所对应的处理器核CPU-Core＝{CPU-C^K,CPU-C^DPI,CPU-C^Q}，从而得到流连接所属的应用层分类程序AP＝{ap₁,ap₂,…,ap_D}。对于哈希值的计算，也可以采用CRC32或者SHA-1等算法。

在本发明中，应用层分类程序应用可以采用不同的流量分类方法，包括但不限于基于深度包检测流量分类方法和基于K-均值聚类的分类方法。

参见图3所示，在具有多核环境的SDN/OpenFlow控制器上，能够有效的减轻SDN/OpenFlow控制器由于网络流量分类应用程序的添加，导致的控制器负载过重，特别是对于流量的识别与分类这种对比较占用计算资源的应用。本发明对网络流量分类应用采用并行的方式对进入的流Flow进行本发明的基于多重分类器的分类处理，同时，网络流量分类应用可以采用不同的流量分类方法，包括但不限于基于深度包检测流量分类方法和基于K-均值聚类的分类方法。具体的处理流程为：

(A)对SDN/OpenFlow控制器进行系统的初始化；然后去除数据包的OpenFlow消息头，从而得到数据包的五元组内容；通过所述五元组内容对应的流及流连接，得到需要进行基于多重分类器的分类处理的任意一条流Flow，执行步骤(B)；

(B)将任意一条流Flow交给K-均值聚类的网络流量分类应用，执行步骤(C)；

(C)经K-均值聚类的处理后，得到所述流的最近簇距离RK，执行步骤(D)；

(D)判断RK与设置的最近簇最大阈值距离RK_阈值的大小关系，若RK＞RK_阈值，则将流Flow交给深度包检测的网络流量分类应用，执行步骤(E)；若RK≤RK_阈值，则输出流Flow的K-均值聚类的网络流量分类应用，并将该流Flow分配给上的任意一处理器核，结束对流Flow的应用程序分类；

(E)将流Flow进行深度包检测的网络流量分类应用后，获得DPI流量分类应用的分类结果DPI_in；并将该流Flow分配给 $\mathrm{CPU}-C^{\mathrm{DPI}}=\{{\mathrm{cpu}}_1^{\mathrm{DPI}},{\mathrm{cpu}}_2^{\mathrm{DPI}},...,{\mathrm{cpu}}_m^{\mathrm{DPI}}\}$ 上的任意一处理器核，结束对流Flow的应用程序分类。

在本发明中，经多重分类器对数据包进行流量分类的SDN/OpenFlow控制器，将不同的网络流量分类到不同的处理器核上，并且各个处理器核采用并行方式对进入的流Flow进行分类处理，能够大大降低SDN/OpenFlow控制器本身的开销的同时实现了基于SDN/OpenFlow控制器的应用层流量分类。

Claims (3)

1.一种基于多重分类器对数据包进行流量分类的SDN控制器，其特征在于：SDN/OpenFlow控制器是在现有SDN控制器中增加了去消息头模块、五元组哈希值提取模块和基于多重分类器的流连接分配模块；

去消息头模块用于去除Packet_In数据包中的OpenFlow协议头，得到Packet_In数据包的五元组内容；接收到的OFPAK协议数据包OFPAK＝{(head,op₁),(head,op₂),…,(head,op_Z)}进行去除OpenFlow协议头head，得到原始数据包OP＝{op₁,op₂,…,op_Z}；五元组内容op_Z＝{srcPort,dstPort,tran,srcIP,dstIP}；

五元组哈希值提取模块用于对原始数据包OP＝{op₁,op₂,…,op_Z}中每个五元组内容op_Z＝{srcPort,dstPort,tran,srcIP,dstIP}进行哈希值计算，得到五元组哈希值HC＝{hc₁,hc₂,…,hc_B}；然后根据所述五元组哈希值HC＝{hc₁,hc₂,…,hc_B}拾取得到流、及流对应的流连接CT＝{ct₁,ct₂,…,ct_B}；

基于多重分类器的流连接分配模块依据流的流连接CT＝{ct₁,ct₂,…,ct_B}进行不同分类器的分配，从而得到任意一条流匹配的网络流量分类及网络流量分类对应的处理器核CPU-C。

2.根据权利要求1所述的基于多重分类器对数据包进行流量分类的SDN控制器，其特征在于：一种网络流量分类对应一个处理器核CPU-C。一个SDN/OpenFlow控制器上有多个处理器核CPU-C。

3.根据权利要求1所述的基于多重分类器对数据包进行流量分类的SDN控制器，其特征在于：应用MD5法计算出流连接CT＝{ct₁,ct₂,…,ct_B}中的每一条流连接的哈希值HC＝{hc₁,hc₂,…,hc_B}；任意一条流连接的哈希值hc_B为32位整形数；根据所述的HC＝{hc₁,hc₂,…,hc_B}来分配流连接CT＝{ct₁,ct₂,…,ct_B}所对应的处理器核CPU-Core＝{CPU-C^K,CPU-C^DPI,CPU-C^Q}，从而得到流连接所属的应用层分类程序AP＝{ap₁,ap₂,…,ap_D}。