CN104601482A - 流量清洗方法和装置 - Google Patents

Abstract

本发明提供了一种流量清洗方法和装置。涉及通信技术领域；解决了现有流量清洗方式导致网络不稳定的问题。该方法包括：流量清洗系统的策略控制器向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将指定的流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗；所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量。本发明提供的技术方案适用于互联网流量清洗，实现了不用改变硬件布局的基于软件定义网络的流量清洗。

Description

流量清洗方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种基于软件定义网络的流量清洗方法和装置。

背景技术

随着互联网的快速发展，互联网业务不断丰富，互联网病毒、互联网攻击也不断涌现，互联的的安全问题已经成为影响互联网的稳定性，影响用户业务体验的重要问题。

目前，针对DDOS攻击主要采用流量清洗系统对攻击流量进行清洗。目前的流量清洗系统一般在网络中集中部署，针对受到DDOS攻击的用户，在网络中特定的位置部署策略路由，或者采用BGP方式进行引流，将用户的流量引到流量清洗系统，由流量清洗系统将攻击流量清洗掉之后，将用户的正常业务流量返回给用户。

目前的流量清洗系统的主要问题在于，流量清洗系统直接和网络设备交互，限制了流量清洗系统的部署位置，同时，由于流量清洗系统直接向设备交互，采用策略路由或者BGP方式引流，需要涉及复杂的路由规划和设计，部署复杂，且容易出错，导致网络的不稳定性。

发明内容

本发明提供了一种流量清洗方法和装置，解决了现有流量清洗方式导致网络不稳定的问题。

一种流量清洗方法，包括：

流量清洗系统的策略控制器向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将指定的流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗；

所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量。

优选的，所述流量清洗系统的策略控制器向SDN控制器发送引流策略包括：

所述策略控制器通过网络能力系统的北向接口向所述网络能力系统下发流量清洗请求；

所述网络能力系统将所述流量清洗请求解析为引流策略，通过所述SDN控制器的北向接口向所述SDN控制器发送所述引流策略。

优选的，所述流量清洗系统的策略控制器向SDN控制器发送引流策略包括：

所述策略控制器生成引流策略并直接向所述SDN控制器发送。

优选的，所述流量清洗系统的策略控制器向SDN控制器发送引流策略的步骤之后，还包括：

所述SDN控制器解析所述引流策略，得到网络设备能够识别和执行的网络引流指令；

所述SDN控制器通过SDN控制器南向接口向相应的网络设备发送所述网络引流指令，指示所述网络设备将指定的流量上送到所述流量清洗器；

所述网络设备在接收到所述网络引流指令后，根据该网络引流指令，将指定的流量上传到所述流量清洗器。

优选的，所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量的步骤之后，还包括：

所述流量清洗器根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备。

优选的，流量清洗系统的策略控制器向SDN控制器发送引流策略的步骤之前，还包括：

所述策略控制器判定需要对指定流量进行流量清洗时，向所述流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数。

本发明还提供了一种流量清洗装置，包括流量洗清系统，所述流量清洗系统包括策略控制器和流量清洗器；

所述策略控制器，用于向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将指定的流量重定向到所述流量清洗器以进行流量清洗；

所述流量清洗器，用于接收网络设备根据所述SDN控制器指示上送的指定的流量。

优选的，该装置还包括网络能力系统；

所述策略控制器，具体用于通过网络能力系统的北向接口向所述网络能力系统下发流量清洗请求；

所述网络能力系统，用于将所述流量清洗请求解析为引流策略，通过所述SDN控制器的北向接口向所述SDN控制器发送所述引流策略。

优选的，所述策略控制器，具体用于生成引流策略并直接向所述SDN控制器发送。

优选的，该装置还包括SDN控制器；

所述SDN控制器，用于解析所述引流策略，得到网络设备能够识别和执行的网络引流指令，通过SDN控制器南向接口向所述的网络设备发送所述网络引流指令，指示所述网络设备将指定的流量上送到所述流量清洗器。

优选的，所述流量清洗器，还用于根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备。

优选的，所述策略控制器，还用于判定需要对指定流量进行流量清洗时，向所述流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数。

本发明提供了一种流量清洗方法和装置，流量清洗系统的策略控制器向SDN控制器发送引流策略，指示所述SDN控制器将指定的流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗，所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量。实现了不用改变硬件布局的基于软件定义网络的流量清洗，简化了网络结构，提高了流量清洗效率，解决了现有流量清洗方式导致网络不稳定的问题。

附图说明

图1为软件定义网络架构图；

图2为软件定义网络扩展架构图；

图3为本发明的实施例提供的一种基于软件定义网络的流量清洗系统架构图；

图4为本发明的实施例一提供的一种流量清洗方法的流程图；

图5为本发明的实施例二一种基于软件定义网络扩展架构的流量清洗系统的业务处理流程图；

图6为本发明的实施例三提供的一种流量清洗装置的结构示意图；

图7为本发明的实施例四提供的一种流量清洗方法的流程图。

具体实施方式

目前的流量清洗系统的主要问题在于，流量清洗系统直接和网络设备交互，限制了流量清洗系统的部署位置，同时，由于流量清洗系统直接向设备交互，采用策略路由或者BGP方式引流，需要涉及复杂的路由规划和设计，部署复杂，且容易出错，导致网络的不稳定性。

为了解决上述问题，本发明的实施例提供了一种流量清洗方法和系统。下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

本发明的实施例提供了一种流量清洗方法和系统，基于SDN实现，不需要对网络的硬件布局进行更改。

为了便于理解本发明的实施例所提供的技术方案，首先对SDN进行简单说明。

SDN采用统一控制的方式，实现网络的全局管理和控制，同时基于北向接口提供网络能力调用。这种架构可实施全局优化，屏蔽网络底层的路由规划和设计细节，使得流量清洗系统的灵活部署、降低设计和实施的难度成为可能。

图1描述了SDN的体系架构，本发明的实施例提供的流量清洗系统基于软件定义网络架构实现。SDN分为转发层、网络控制层、应用层；其中转发层主要为通用网络设备，主要用于实现报文的封装和转发处理；网络控制层，主要为SDN控制器，主要用于实现对网络的集中控制和管理，包括了拓扑收集、路由计算、状态收集和维护、路由管理等；应用层主要为上层应用系统；SDN控制器通过南向接口控制网络设备，收集相关的状态和信息，下发相应的控制指令和内容，目前主要的南向接口协议有Openflow、SNMP等；SDN控制器通过北向接口向应用层提供网络能力服务和调用。

图2描述软件定义网络扩展体系架构，本发明的实施例提供的流量清洗系统也可基于软件定义网络的扩展体系架构。由于软件定义网络主要聚焦在如何实现软件对网络的灵活定义，在软件定义网络架构中对网络运营考虑不够，已经有相关的标准组织提出一些扩展的SDN网络体系架构。

软件定义网络扩展体系架构主要包括转发层、网络控制层、业务控制层、应用层。其中，转发层主要为通用网络设备，主要用于实现报文的封装和转发处理；网络控制层，主要为SDN控制器，主要用于实现对网络的集中控制和管理，包括了拓扑收集、路由计算、状态收集和维护、路由管理等；SDN控制器通过南向接口控制网络设备，收集相关的状态和信息，下发相应的控制指令和内容，目前主要的南向接口协议有Openflow、SNMP等；SDN控制器通过北向接口向业务控制层提供网络基础能力调用接口；业务控制层主要为网络运营商进行网络能力封装、抽象，并向上层应用提供网络能力服务的网络能力系统；业务控制层通过对网络控制层的基本网络功能进行调用和整合，形成更抽象的，适合网络运营的网络能力，并通过北向接口向上层应用提供网络能力服务。

图3描述了本发明的实施例提供的一种基于软件定义网络的流量清洗系统架构图。流量清洗系统主要包括流量清洗器和策略控制器，其中流量清洗器主要用于实施流量的清洗处理，策略控制器主要用于进行相关的策略控制、流量的牵引等。

所述的流量清洗系统基于软件定义网络架构或软件定义网络扩展体系架构实现，与现有的流量清洗系统的区别在于：现有流量清洗系统直接控制网络设备，向网络设备下发相应的网络引流策略，使得流量清洗业务的部署涉及到设备层面、网络层面复杂的路由设计和部署，实施难度大，容易出错导致网络不稳定。

基于软件定义网络的流量清洗系统通过SDN控制器的北向接口向SDN控制器下发网络引流策略，再由SDN控制器进行解析之后，统一下发到相关的设备；由于SDN控制器提供了抽象接口，屏蔽了底层的路由设计和部署细节，使得流量清洗业务部署大幅简化；由于SDN控制器具有网络全局控制能力，可使得流量清洗业务部署更加灵活。

基于软件定义网络扩展体系架构的流量清洗系统通过网络能力系统的北向接口向网络能力系统下发网络引流策略；网络能力系统收到网络引流指令后进行解析处理，形成具体的、SDN控制器能识别的控制指令，并通过SDN控制器的北向接口向SDN控制器下发控制指令；SDN控制器对收到的控制指令进行解析，并通过SDN控制器的南向接口统一下发到相关的设备；由于网络能力系统和SDN控制器提供了抽象接口，屏蔽了底层的路由设计和部署细节，使得流量清洗业务部署大幅简化；由于SDN控制器具有网络全局控制能力，可使得流量清洗业务部署更加灵活。

下面结合附图，对本发明的实施例一进行说明。

图4描述了本发明实施例提供的一种流量清洗方法中基于软件定义网络的流量清洗系统的业务处理流程图。在本处理流程中包括：流量清洗系统，SDN控制器，网络设备；其中流量清洗系统包括流量清洗器和策略控制器。业务处理流程步骤如下：

步骤401、流量清洗系统需要针对特定的流量进行清洗时，由策略控制器向流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略以及相关参数；

步骤402、策略控制器向SDN控制器下发网络引流策略，具体可体现为：将目的IP地址为1.1.1.1的流量重定向到流量清洗器；

步骤403、SDN控制器收到网络引流策略后，进行解析及处理，转换为网络设备能识别和执行的、可通过SDN控制器南向接口下发的网络引流指令，该网络引流指令包括ACL、重定向路由表、转发流表等；并通过SDN控制器的南向接口向相关网络设备下发；

步骤404、网络设备收到SDN控制器下发的网络引流指令后，执行指令的操作，将网络引流指令中指定的流量上送到流量清洗器；

步骤405、流量清洗器根据既定的策略执行流量清洗；流量清洗处理完成后，将合法的流量回送到相应的网络设备；

下面结合附图，对本发明的实施例二进行说明。

图5描述了本发明实施例提供的一种流量清洗方法中基于软件定义网络扩展架构的流量清洗系统的业务处理流程图。在本处理流程中包括：流量清洗系统，网络能力系统，SDN控制器，网络设备；其中流量清洗系统包括流量清洗器和策略控制器。业务处理流程步骤如下：

步骤501、流量清洗系统需要针对特定的流量进行清洗时，由策略控制器向流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略以及相关参数；

步骤502、策略控制器向网络能力系统发送流量清洗请求。在此层面的流量清洗请求侧重于业务需求的描述，较为抽象，网络引流策略具体可表现为：用户A需要流量清洗服务，服务等级为钻石级，服务时长为12小时等；

步骤503、网络能力系统接收到流量清洗请求后，进行解析处理，将流量清洗请求转化为相应的网络引流策略，并通过SDN控制器的北向接口向SDN控制器下发，具体网络引流策略可体现为：将目的IP地址为1.1.1.1的流量重定向到流量清洗器；

步骤504、SDN控制器收到引流策略后，进行解析及处理，转换为网络设备能识别和执行的、可通过SDN控制器南向接口下发的网络引流指令，该网络引流指令包括：ACL、重定向路由表、转发流表等；并通过SDN控制器的南向接口向相关网络设备下发；

步骤505、网络设备收到SDN控制器下发的网络引流指令后，执行指令的操作，将网络引流指令中指定的流量上送到流量清洗器；

步骤506、流量清洗器根据既定的策略执行流量清洗；流量清洗处理完成后，将合法的流量回送到相应的网络设备。

需要说明的是，基于目的IP地址标记需要清洗的流量的来源只是一种具体的实施方式，实际应用中，亦可以通过MAC地址、以太类型端口号以及组合类型等多种方式标记流量。无论采用何种手段标记流量，引流过程的实现原理均与本发明实施例所述相同，在此不再一一赘述。

下面结合附图，对本发明的实施例三进行说明。

本发明实施例提供了一种流量清洗装置，该装置的结构如图6所示，包括：流量清洗系统601，该流量清洗系统601包括策略控制器6011和流量清洗器6012。

优选的，该装置还包括SDN控制器602、至少一个网络设备603和网络能力系统604。

所述策略控制器6011，用于向SDN控制器602发送引流策略，指示所述SDN控制器602将指定的流量重定向到所述流量清洗器6012以进行流量清洗；

所述流量清洗器6012，用于接收所述网络设备603根据所述SDN控制器602指示上送的指定的流量。

所述策略控制器6011，具体用于通过网络能力系统604的北向接口向所述网络能力系统604下发流量清洗请求；

所述网络能力系统604，用于将所述流量清洗请求解析为引流策略，通过所述SDN控制器602的北向接口向所述SDN控制器602发送所述引流策略。

优选的，所述策略控制器6011，具体用于生成引流策略并直接向所述SDN控制器602发送。

优选的，所述SDN控制器602，用于解析所述引流策略，得到网络设备603能够识别和执行的网络引流指令，通过SDN控制器602南向接口向网络设备603发送所述网络引流指令，指示所述网络设备603将指定的流量上送到所述流量清洗器6012。

具体的，所述流量清洗器6012，还用于根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备603。

具体的，所述策略控制器6011，还用于判定需要对指定流量进行流量清洗时，向所述流量清洗器6012下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数。

下面结合附图，对本发明的实施例四进行说明。

结合图6所示的流量清洗装置，本发明实施例还提供了一种流量清洗方法，使用该方法完成流量清洗的流程如图7所示，包括：

步骤701、所述策略控制器判定需要对指定流量进行流量清洗时，向所述流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数；

步骤702、流量清洗系统的策略控制器向SDN控制器发送引流策略；

在所述引流策略中包含目的IP地址或MAC地址或以太类型端口号或不同标识的组合类型，其目的是确定需要清洗的流量。本步骤中，在引流策略内携带指示所述SDN控制器将指定的流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗的信息。

本步骤，具体包括以下两种情况：

情况一、策略控制器通过网络能力系统的北向接口向所述网络能力系统下发流量清洗请求，所述网络能力系统将所述流量清洗请求解析为引流策略，通过所述SDN控制器的北向接口向所述SDN控制器发送所述引流策略；

情况二、所述策略控制器生成引流策略并直接向所述SDN控制器发送。

步骤703、所述SDN控制器解析所述引流策略，得到网络设备能够识别和执行的网络引流指令；

所述网络引流指令包括以下内容的任一或任意多项：

ACL、重定向路由表、转发流表。

步骤704、所述SDN控制器通过SDN控制器南向接口向相应的网络设备发送所述网络引流指令，指示所述网络设备将指定的流量上送到所述流量清洗器；

步骤705、所述网络设备在接收到所述网络引流指令后，根据该网络引流指令，将指定的流量上传到所述流量清洗器。

步骤706、所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量。

步骤707、所述流量清洗器根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备。

本发明的实施例提供了一种流量清洗方法和装置，流量清洗系统的策略控制器向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗，所述流量清洗器接收所述网络设备根据所述SDN控制器指示上送的流量。实现了不用改变硬件布局的基于软件定义网络的流量清洗，简化了网络结构，提高了流量清洗效率，解决了现有流量清洗方式导致网络不稳定的问题。

流量清洗系统可基于软件定义网络架构实现，也可基于软件定义网络扩展架构实现。流量清洗系统采用与SDN控制器交互的方式，或者与网络能力系统交互的方式实现网络的交互和控制，可屏蔽大量的网络底层细节，避免在流量清洗业务部署过程中涉及的大量路由规划、设计和实施，避免由此可能导致的网络震荡和不稳定性。同时，通过基于SDN方式实现流量清洗系统的部署将更加灵活，提高系统的可适应性。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上（如系统、设备、装置、器件等）执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (12)

1.一种流量清洗方法，其特征在于，包括：

流量清洗系统的策略控制器向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将指定的流量重定向到所述流量清洗系统的流量清洗器以进行流量清洗；

所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量。

2.根据权利要求1所述的流量清洗方法，其特征在于，所述流量清洗系统的策略控制器向SDN控制器发送引流策略包括：

所述策略控制器通过网络能力系统的北向接口向所述网络能力系统下发流量清洗请求；

所述网络能力系统将所述流量清洗请求解析为引流策略，通过所述SDN控制器的北向接口向所述SDN控制器发送所述引流策略。

3.根据权利要求1所述的流量清洗方法，其特征在于，所述流量清洗系统的策略控制器向SDN控制器发送引流策略包括：

所述策略控制器生成引流策略并直接向所述SDN控制器发送。

4.根据权利要求1所述的流量清洗方法，其特征在于，所述流量清洗系统的策略控制器向SDN控制器发送引流策略的步骤之后，还包括：

所述SDN控制器解析所述引流策略，得到网络设备能够识别和执行的网络引流指令；

所述SDN控制器通过SDN控制器南向接口向相应的网络设备发送所述网络引流指令，指示所述网络设备将指定的流量上送到所述流量清洗器；

所述网络设备在接收到所述网络引流指令后，根据该网络引流指令，将指定的流量上传到所述流量清洗器。

5.根据权利要求4所述的流量清洗方法，其特征在于，所述流量清洗器接收网络设备根据所述SDN控制器指示上送的指定的流量的步骤之后，还包括：

所述流量清洗器根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备。

6.根据权利要求1所述的流量清洗方法，其特征在于，流量清洗系统的策略控制器向SDN控制器发送引流策略的步骤之前，还包括：

所述策略控制器判定需要对指定流量进行流量清洗时，向所述流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数。

7.一种流量清洗装置，其特征在于，包括流量洗清系统，所述流量清洗系统包括策略控制器和流量清洗器；

所述策略控制器，用于向SDN控制器发送引流策略，所述引流策略指示所述SDN控制器将指定的流量重定向到所述流量清洗器以进行流量清洗；

所述流量清洗器，用于接收网络设备根据所述SDN控制器指示上送的指定的流量。

8.根据权利要求7所述的流量清洗装置，其特征在于，该装置还包括网络能力系统；

所述策略控制器，具体用于通过网络能力系统的北向接口向所述网络能力系统下发流量清洗请求；

所述网络能力系统，用于将所述流量清洗请求解析为引流策略，通过所述SDN控制器的北向接口向所述SDN控制器发送所述引流策略。

9.根据权利要求7所述的流量清洗装置，其特征在于，所述策略控制器，具体用于生成引流策略并直接向所述SDN控制器发送。

10.根据权利要求8或9所述的流量清洗装置，其特征在于，该装置还包括SDN控制器；

所述SDN控制器，用于解析所述引流策略，得到网络设备能够识别和执行的网络引流指令，通过SDN控制器南向接口向所述的网络设备发送所述网络引流指令，指示所述网络设备将指定的流量上送到所述流量清洗器。

11.根据权利要求7所述的流量清洗装置，其特征在于，

所述流量清洗器，还用于根据既定的清洗策略对所述流量进行清洗，并在清洗完成后，将合法的流量回送至所述网络设备。

12.根据权利要求7所述的流量清洗装置，其特征在于，

所述策略控制器，还用于判定需要对指定流量进行流量清洗时，向所述流量清洗器下发清洗策略，确定需要清洗的服务等级、服务策略及相关参数。