CN104767841A - 软件定义网络中更新地址解析协议表项的方法和网关设备 - Google Patents

Abstract

本发明公开了一种软件定义网络中更新地址解析协议表项的方法，该方法包括：SDN网关设备配置SDN ARP表项的修改类型为允许被动态ARP表项覆盖时：当SDN网关设备接收虚拟机发送的ARP报文，判断ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据ARP报文生成动态ARP表项并覆盖匹配的SDN ARP表项；若一致，则保留匹配的SDN ARP表项；当SDN网关设备接收SDN控制器发送的SDN流表，判断SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据SDN流表生成SDN ARP表项并覆盖匹配的动态ARP表项。

Description

软件定义网络中更新地址解析协议表项的方法和网关设备

技术领域

本发明涉及通信技术领域,特别是涉及一种软件定义网络中更新地址解析协议表项的方法和网关设备。

背景技术

软件定义网络(Software Defined Network，SDN)通过SDN控制器控制SDN网关设备的转发行为。SDN网关设备上保存有对应虚拟机的地址解析协议(Address Resolution Protocol，ARP)表项，该ARP表项主要有如下两种类型：

(1)SDN ARP表项。SDN控制器发送SDN流表到SDN网关设备上，SDN网关设备根据接收到的SDN流表生成SDN ARP表项，SDN ARP表项不做老化处理。

(2)动态ARP表项。网关设备通过ARP报文学习并建立动态ARP表项。在SDN网络中，当有新部署的虚拟机上线、或者虚拟机迁移后，虚拟机会发出免费ARP，SDN网关设备可以通过虚拟机发出的免费ARP报文、或者虚拟机主动发出的请求网关的ARP报文来创建动态ARP表项。

动态ARP表项需要按照SDN网关设备上的老化时间配置进行老化处理。

一般情况下，SDN ARP表项的优先级高于动态ARP表项。当SDN网关设备上没有生成SDN ARP表项时，SDN网关设备可以通过ARP报文学习生成动态ARP表项，但是动态ARP表项可以被SDN ARP表项覆盖；而当SDN网关设备上生成了SDN ARP表项时，不允许SDN网关设备通过ARP报文生成动态ARP表项来覆盖已保存的SDN ARP表项。

发明内容

有鉴于此，本发明提出了一种软件定义网络中更新地址解析协议表项的方 法和网关设备，有效解决了现有技术中动态ARP表项不能覆盖SDN ARP表项带来的问题。

本发明提出的技术方案是：

一种SDN网络中更新ARP表项的方法，该方法包括：

软件定义网络SDN网关设备配置SDN地址解析协议ARP表项的修改类型为允许被动态ARP表项覆盖时： 

当SDN网关设备接收虚拟机发送的ARP报文，判断该ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据该ARP报文生成动态ARP表项并覆盖匹配的SDN ARP表项；若一致，则保留匹配的SDN ARP表项；

当所述SDN网关设备接收SDN控制器发送的SDN流表，判断所述SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据所述虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据所述SDN流表生成SDN ARP表项并覆盖所述匹配的动态ARP表项。

一种SDN网关设备，该设备包括：

配置模块，用于配置SDN地址解析协议ARP表项的修改类型；

接收模块，用于接收虚拟机发送的ARP报文，还用于接收SDN控制器发送的SDN流表；

处理模块，在所述SDN ARP表项的修改类型为允许被动态ARP表项覆盖时，用于：判断接收的所述ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据所述ARP报文生成动态ARP表项并覆盖所述匹配的SDN ARP表项；若一致，则保留所述匹配的SDN ARP表项；还用于：判断接收的所述SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据所述虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据所述SDN流表生成SDN ARP表项并覆盖所述匹配的动态ARP表项。

综上，本发明提出了一种SDN网络中更新ARP表项的方法和网关设备， 该方法通过在SDN网关设备上配置SDN ARP表项的修改类型为允许被动态ARP表项覆盖时，当SDN网关设备接收到的ARP报文与匹配的SDN ARP表项的内容不一致，则根据该ARP报文生成动态ARP表项并覆盖匹配的SDN ARP表项；若一致，则保留匹配的SDN ARP表项；当SDN网关设备接收SDN控制器发送的SDN流表与匹配的动态ARP表项的内容不一致，则触发相应的虚拟机进行ARP应答，根据虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据该SDN流表生成SDN ARP表项并覆盖匹配的动态ARP表项。通过本发明技术方案在SDN网关设备上配置SDN ARP表项的修改类型为允许被动态ARP表项覆盖，使得SDN控制器不能正常工作时，SDN控制器能够通过ARP报文更新SDN网关设备上的SDN ARP表项，保证了新部署的虚拟机和迁移后的虚拟机在这种情况下能正常工作。

附图说明

图1为本发明技术方案的流程图；

图2为方法实施例一和方法实施例二的组网图；

图3为方法实施例一的流程图；

图4为方法实施例二的流程图；

图5为本发明实施例的SDN网关设备结构图。

具体实施方式

现有技术中SDN网关设备上的SDN ARP表项优先级高于动态ARP表项，即允许SDN ARP表项覆盖动态ARP表项，不允许动态ARP表项覆盖SDN ARP表项。正常情况下SDN网关设备上创建的对应虚拟机的ARP表项都是SDN ARP表项。当有新部署的虚拟机上线、或者虚拟机迁移时，SDN控制器在感知到后会通知SDN网关设备更新其ARP表项。此种组网应用情况下，在SDN控制器正常工作时，SDN网关设备只要听从SDN控制器下发的SDN流表就可以正常工作。但是如果SDN控制器故障、失联，整个网络处于无SDN控制器的 状态，且SDN控制器的恢复可能需要几个小时的时间，如不对现有技术作任何改进，这个期间新部署的虚拟机或发生迁移的虚拟机发送的ARP报文不能被SDN控制器正常接收，进而SDN控制器不能下发对应于新部署的虚拟机或发生迁移的虚拟机的SDN流表使得SDN网关设备更新已保存的SDN ARP表项，虽然SDN网关设备能接收到新部署的虚拟机或发生迁移的虚拟机发送的ARP报文，但SDN网关设备不能根据该ARP报文生成动态ARP表项来覆盖已保存的SDN ARP表项，这将导致SDN控制器故障期间新部署的虚拟机或发生迁移的虚拟机不能正常工作。

为解决上述技术问题，本发明提出一种SDN网络中更新ARP表项的方法，本发明实施例的技术方案是：

图1为本发明技术方案的流程图，如图1所示，本发明一种SDN网络中更新ARP表项的方法应用于SDN网关设备上，SDN网关设备执行以下步骤：

步骤101：SDN网关设备配置SDN ARP表项的修改类型为允许被动态ARP表项覆盖。

SDN网关设备配置SDN ARP表项的修改类型的方式包括但不限于：全局配置或部分配置。其中：

部分配置指示部分SDN ARP表项被配置为允许被动态ARP表项覆盖，部分SDN ARP表项被配置为不允许被动态ARP表项覆盖。例如，SDN网关设备对SDN控制器某一接口下发的SDN流表生成的SDN ARP表项配置为允许被动态ARP表项覆盖或者不允许被动态ARP表项覆盖，SDN网关设备可以保存一个接口表，该接口表记录SDN控制器的接口与SDN ARP表项的修改类型的对应关系，如表1所示，“1”表示允许动态ARP表项覆盖SDN ARP表项，“0”表示不允许动态ARP表项覆盖SDN ARP表项，由表1可知，由SDN控制器上的接口A1、C1下发的SDN流表生成的SDN ARP表项允许被动态ARP表项覆盖，由SDN控制器上的接口B1下发的SDN流表生成的SDN ARP表项不允许被动态ARP表项覆盖。

表1

SDN控制器接口	SDN ARP表项的修改类型
		A1	1
B1	0
		C1	1

或者，SDN网关设备针对每个虚拟机对应的SDN ARP表项进行单独配置，例如，SDN网关设备在本地保存IP表，该IP表记录虚拟机的IP地址与该IP地址对应的SDN ARP表项的修改类型的对应关系，如表2所示，“1”表示允许动态ARP表项覆盖SDN ARP表项，“0”表示不允许动态ARP表项覆盖SDN ARP表项，由表2可知，IP地址为10.10.125.6、10.10.134.2的虚拟机在SDN网关设备上的SDN ARP表项允许被动态ARP表项覆盖，IP地址为10.10.125.4的虚拟机在网关设备上的SDN ARP表项不允许被动态ARP表项覆盖。 

表2

虚拟机IP地址	SDN ARP表项的修改类型
		10.10.125.6	1
10.10.125.4	0
		10.10.134.2	1

上述部分配置的方式可采用在标准的ARP表项中增加一个专门的字段来表示SDN ARP表项的修改类型，如表3所示，SDN网关设备生成SDN ARP表项后，在增加的SDN ARP表项的修改类型字段配置允许或不允许。动态ARP表项采用标准的ARP表项格式，不配置修改类型。

表3

全局配置保存在SDN网关设备上，指示所有根据SDN流表生成的SDN ARP表项均允许被动态ARP表项覆盖，此种情况下可以不对现有ARP表项进行修改。

步骤102：当SDN网关设备接收虚拟机发送的ARP报文，判断该ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据该ARP报文生成动态ARP表项并覆盖匹配的SDN ARP表项；若一致，则保留匹配的SDN ARP表项。

本步骤中，SDN网关设备判断接收到的虚拟机发送的ARP报文与匹配的SDN ARP表项的内容是否一致的方法为：

将该ARP报文携带的虚拟机IP地址与保存的ARP表中各SDN ARP表项记载的IP地址依次进行比较，若该ARP报文携带的虚拟机IP地址与SDN ARP表项记载的IP地址相同，则匹配成功(将ARP报文携带的虚拟机IP地址逐一与ARP表中各ARP表项记载的IP地址依次进行比较，IP地址一致时匹配成功，通过匹配成功的ARP表项的类型字段可以获知该ARP表项为动态ARP表项或SDN ARP表项，该实施例中只关注匹配到的为SDN ARP表项的情况)；将该ARP报文携带的虚拟机MAC地址与匹配的SDN ARP表项记载的MAC地址进行比较，若相同，则判定该ARP报文与匹配的SDN ARP表项的内容一致，否则判定为不一致。

本发明一个实施例中，当SDN网关设备上配置的SDN ARP表项的修改类型为允许被动态ARP表项覆盖时，如果SDN网关设备接收到虚拟机发送的ARP报文与匹配的ARP表项的内容不一致，且该匹配的ARP表项为SDN ARP表项时，在根据ARP报文对该匹配的SDN ARP表项进行修改之前，需要对接收到的ARP报文的合法性进行校验，校验方法为：

SDN网关设备发送第一ARP请求报文，该第一ARP请求报文为单播报文，其目的MAC地址为确定出的匹配的SDN ARP表项中记录的MAC地址，探测该MAC地址对应的虚拟机是否正常工作；

如果预设时间内收到了虚拟机回应的第一ARP请求报文的应答报文，说明虚拟机正常工作，SDN网关设备接收到的ARP报文可能是错误的ARP报文或攻击报文，则SDN网关设备丢弃接收到的ARP报文，保持该确定出的匹配的SDN ARP表项不变。

如果SDN网关设备在预设时间内没有收到第一ARP请求报文的应答报文，则说明确定出的匹配的SDN ARP表项记录的虚拟机可能发生迁移或不再继续工作了，则进一步对接收到的ARP报文的合法性进行校验，包括：

SDN网关设备发送第二ARP请求报文，该第二ARP请求报文为单播报文，其目的MAC地址为ARP报文携带的虚拟机MAC地址，即发送该ARP报文的虚拟机的MAC地址；

如果预设时间内收到了虚拟机回应的第二ARP请求报文的应答报文，则说明SDN网关设备接收到的该ARP报文是合法报文，则SDN网关设备根据接收到的ARP报文生成动态ARP表项，并覆盖匹配的SDN ARP表项；如果预设时间内没有收到第二ARP请求报文的应答报文，则说明SDN网关设备接收到的ARP报文可能是错误的或是攻击报文，则SDN网关设备丢弃接收到的ARP报文，保持该确定出的匹配的SDN ARP表项不变。 

步骤103：当SDN网关设备接收SDN控制器发送的SDN流表，判断该SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据虚拟机的ARP应答所述匹配的动态ARP表项；若一致，则根据该SDN流表生成SDN ARP表项并覆盖匹配的动态ARP表项。

正常情况下，虚拟机发出的ARP报文，例如ARP免费报文或ARP应答报文，SDN网关设备和SDN控制器都能收到，SDN网关设备接收到虚拟机发送的ARP报文后，根据该ARP报文生成动态ARP表项，SDN控制器收到虚拟机发送的ARP报文后，根据该ARP报文生成SDN流表并发送给 SDN网关设备，其中，SDN控制器发送的SDN流表携带虚拟机的MAC地址和IP地址，SDN流表的match filed中的以太网源地址(ethernet SA)字段携带虚拟机的MAC地址，IP SA字段携带虚拟机的IP地址，其他字段为通配。SDN网关设备接收到SDN流表后，将其中的ethernet SA字段携带的MAC地址记录到如表3所示的SDN ARP表项的虚拟机MAC地址字段中，将IP SA字段携带的IP地址记录到如表3所示的SDN ARP表项的虚拟机IP地址字段中，再根据预设的配置方式(全局配置或部分配置)对SDN ARP表项的修改类型进行配置。

其中，SDN网关设备判断SDN流表与匹配的动态ARP表项的内容是否一致，包括：

将SDN流表携带的虚拟机IP地址与保存的ARP表中各动态ARP表项记载的IP地址依次进行比较，若虚拟机IP地址与动态ARP表项记载的IP地址相同，则匹配成功(将SDN流表携带的虚拟机IP地址逐一与ARP表中各ARP表项记载的IP地址依次进行比较，IP地址一致时匹配成功，通过匹配成功的ARP表项的类型字段可以获知该ARP表项为动态ARP表项或SDN ARP表项，该实施例中只关注匹配到的为动态ARP表项的情况)；将SDN流表携带的虚拟机MAC地址与匹配的动态ARP表项记载的MAC地址进行比较，若相同，则判定SDN流表与匹配的动态ARP表项的内容一致，否则判定为不一致。

事实上，SDN网关设备接收到的SDN流表与SDN网关设备上已生成的匹配的动态ARP表项在内容上理应是一致的，即SDN流表携带的虚拟机IP地址与动态ARP表项记录的虚拟机IP地址相同，且SDN流表携带的虚拟机MAC地址与匹配的动态ARP表项记录的虚拟机MAC地址也相同。 

但也有可能虚拟机发出的ARP报文由于网络故障等原因导致SDN控制器或SDN网关设备没有收到，进而导致SDN网关设备上已保存的匹配的动态ARP表项与接收到的SDN控制器发送的SDN流表内容不一致，即虚拟机的IP地址相同但MAC地址不同，这种情况下，如果SDN网关设备配置的SDN ARP表项修改类型为允许动态ARP表项覆盖，则SDN网关设备发 送一个广播的ARP请求报文，该ARP请求报文中的目的IP地址为SDN流表携带的IP地址或动态ARP表项记录的IP地址，ARP请求报文中的目的IP地址对应的虚拟机接收到该ARP请求报文后，对接收到的ARP请求报文进行ARP应答，分别发送ARP应答报文给SDN网关设备和SDN控制器，SDN网关设备接收到虚拟机回应的ARP应答报文后，根据该ARP应答报文更新本地已保存的动态ARP表项(若应答报文与匹配的动态ARP表项的内容不一致、即虚拟机的IP地址一致，MAC地址不一致，则根据应答报文生成动态ARP表项，并覆盖匹配的动态ARP表项，若一致，则丢弃应答报文)，更新后的ARP表项仍为动态ARP表项。

SDN网关设备接收SDN控制器发送的SDN流表，该SDN流表为SDN控制器根据接收到的上述虚拟机发送的ARP请求报文的应答报文生成的。(SDN控制器接收到上述ARP应答报文后，生成SDN流表下发给SDN网关设备)。

需要说明的是，如果SDN网关设备配置SDN ARP表项的修改类型的方式为部分配置，当SDN网关设备接收到SDN控制器下发的SDN流表与匹配的动态ARP表项的内容不一致时，需要SDN网关设备先确定该SDN流表对应的SDN ARP表项的修改类型：例如，根据SDN流表携带的SDN控制器接口查询接口表(表1)获知对应的修改类型，或者，根据SDN流表携带的虚拟机IP地址查询IP表(表2)来确定对应的修改类型，如果修改类型为允许被动态ARP表项覆盖，则触发相应的虚拟机进行ARP应答，根据虚拟机的ARP应答所述匹配的动态ARP表项，如果不允许被动态ARP表项覆盖，则根据SDN流表生成SDN ARP表项直接覆盖动态ARP表项。

下面结合具体实施例对上述SDN网络中更新ARP表项的方法进行详细说明。

目前，SDN技术中最为流行的是OpenFlow协议，以下将以OpenFlow举例进行说明，需要说明的是，本申请并不排除其他能够实现SDN功能的协议。

方法实施例一 

图2为本实施例的组网结构图，如图2所示，OpenFlow网络中包括OpenFlow控制器和OpenFlow网关设备，虚拟机1为OpenFlow网络中新部署的虚拟机，假设本实施例中OpenFlow网关设备上全部配置OpenFlow ARP表项修改类型为允许动态ARP表项覆盖，且用“1”表示。图3为本实施例的流程图，如图3所示，包括以下步骤：

步骤301：虚拟机1分别发送免费ARP报文给OpenFlow网关设备和OpenFlow控制器，该免费ARP报文携带虚拟机1的IP地址与MAC地址。

本步骤中，虚拟机1为新部署的虚拟机，分别发送免费ARP报文给OpenFlow网关设备和OpenFlow控制器，该免费ARP报文携带虚拟机1的IP地址与MAC地址，假设虚拟机1的IP地址为10.10.125.2，MAC地址为0001-e200-3211。

步骤302：OpenFlow网关设备接收到虚拟机1发送的免费ARP报文，根据该免费ARP报文生成动态ARP表项，并为生成的动态ARP表项设置老化时间。

本步骤中，OpenFlow网关设备接收到虚拟机1发送的免费ARP报文，根据该免费ARP报文生成动态ARP表项，并为生成的动态ARP表项设置老化时间。假设该动态ARP表项如表4所示。

表4

虚拟机IP地址	虚拟机MAC地址	ARP表项类型
			10.10.125.2	0001-e200-3211	动态

步骤303：OpenFlow控制器接收到虚拟机1发送的免费ARP报文，根据该免费ARP报文生成OpenFlow流表，将生成的OpenFlow流表发送给OpenFlow网关设备。

本步骤中，OpenFlow控制器接收到虚拟机1发送的免费ARP报文，根据该免费ARP报文生成OpenFlow流表，该OpenFlow流表中的match filed 中的ethernet SA字段携带虚拟机1的MAC地址0001-e200-3211，IP SA字段携带虚拟机1的IP地址10.10.125.2，并将生成的OpenFlow流表发送给OpenFlow网关设备。

步骤304：OpenFlow网关设备接收OpenFlow控制器发送的OpenFlow流表，确定与该OpenFlow流表匹配的动态ARP表项，并判断该OpenFlow流表与匹配的动态ARP表项是否一致，如果是，执行步骤305，否则执行步骤306。

本步骤中，OpenFlow网关设备将OpenFlow流表携带的虚拟机IP地址与保存的ARP表中各动态ARP表项记载的IP地址依次进行比较，若该OpenFlow流表携带的虚拟机IP地址与动态ARP表项记载的IP地址相同， 

则匹配成功；将OpenFlow流表携带的虚拟机MAC地址与匹配的动态ARP表项记载的MAC地址进行比较，若相同，则判定OpenFlow流表与匹配的动态ARP表项的内容一致，否则判定为不一致。

步骤305：OpenFlow网关设备将匹配的动态ARP表项修改为OpenFlow ARP表项，该OpenFlow ARP表项的修改类型为允许被动态ARP表项覆盖。

基于步骤304的判断结果，OpenFlow网关设备接收到的OpenFlow控制器发送的OpenFlow流表与匹配的动态ARP表项内容一致，即OpenFlow流表携带的虚拟机1的IP地址与匹配的动态ARP表项记录的IP地址相同，均为10.10.125.2，OpenFlow流表携带的虚拟机1的MAC地址与匹配的动态ARP表项记录的MAC地址相同，均为0001-e200-3211，则OpenFlow网关设备将匹配的动态ARP表项修改为OpenFlow ARP表项，该OpenFlow ARP表项的修改类型为允许被动态ARP表项覆盖。修改后的ARP表如表5所示。

表5

步骤306：OpenFlow网关设备广播ARP请求报文给OpenFlow网络中的所有虚拟机，该广播ARP请求报文的目的IP地址为10.10.125.2，请求该IP地址对应的虚拟机的MAC地址。

基于步骤304的判断结果，OpenFlow网关设备接收到的OpenFlow控制器发送的OpenFlow流表与匹配的动态ARP表项内容不一致，这可能是由于步骤303中OpenFlow控制器接收到的虚拟机发送的免费ARP报文携带了错误的虚拟机MAC地址，而OpenFlow控制器根据携带错误MAC地址的免费ARP报文生成了携带错误虚拟机MAC地址的OpenFlow流表并发给OpenFlow网关设备。假设OpenFlow网关设备接收到的OpenFlow控制器发送的OpenFlow流表携带的虚拟机的IP地址为10.10.125.2，MAC地址为0001-e200-5677，其中IP地址与匹配的动态ARP表项记录的虚拟机IP地址相同，但是MAC地址与匹配的动态ARP表项记录的虚拟机MAC地址不同。

由于OpenFlow网关设备配置的全部OpenFlow ARP表项的修改类型均为允许动态ARP表项覆盖，因此OpenFlow网关设备发送广播ARP请求报文给OpenFlow网络中的所有虚拟机，该广播ARP请求报文的目的IP地址为10.10.125.2，请求该IP地址对应的虚拟机的MAC地址。

步骤307：虚拟机1接收到OpenFlow网关设备发送的广播ARP请求报文，回应ARP应答报文给OpenFlow网关设备，并同时将该ARP应答报文发送给OpenFlow控制器。

本步骤中，与OpenFlow网关设备发送的广播ARP请求报文的目的IP地址对应的虚拟机1接收到广播ARP请求报文后，发送ARP应答报文给OpenFlow网关设备和OpenFlow控制器，该ARP应答报文携带虚拟机1的IP地址和MAC地址，若虚拟机1在步骤301发送免费ARP报文之后没有发生迁移，则该ARP应答报文携带的虚拟机1的IP地址为10.10.125.2，MAC地址为0001-e200-3211，若虚拟机1在步骤301发送免费ARP报文之 后又发生了迁移，则该ARP应答报文携带的虚拟机1的IP地址仍为10.10.125.2，但MAC地址发生了改变，假设为0001-e200-5678。

步骤308：OpenFlow网关设备接收到虚拟机1回应的ARP应答报文，根据该应答报文对自身保存的动态ARP表项进行相应处理。

本步骤中，如果虚拟机1在步骤301发送免费ARP报文之后没有发生迁移，则OpenFlow网关设备接收到的ARP应答报文与已保存的动态ARP表项一致，则OpenFlow网关设备丢弃该ARP应答报文，不更新已保存的动态ARP表项；如果虚拟机1在步骤301发送免费ARP报文之后又发生了迁移，则OpenFlow网关设备接收到的ARP应答报文携带的虚拟机1的IP地址为10.10.125.2，MAC地址为0001-e200-5678，则OpenFlow网关设备根据该ARP应答报文修改匹配的动态ARP表项，修改后的动态ARP表项如表6所示。

表6

虚拟机IP地址	虚拟机MAC地址	ARP表项类型
			10.10.125.2	0001-e200-5678	动态

步骤309：OpenFlow控制器接收虚拟机1发送的ARP应答报文，根据该ARP应答报文生成OpenFlow流表，并发送给OpenFlow网关设备。

本实施例中，通过在OpenFlow网关设备上配置OpenFlow ARP表项的修改类型为允许覆盖OpenFlow ARP表项，使得OpenFlow网关设备接收到的OpenFlow流表与已保存的匹配的动态ARP表项内容不一致时，能够广播ARP请求报文给虚拟机，请求虚拟机的MAC地址，通过虚拟机回应的ARP应答报文修改已保存的匹配的动态ARP表项，该方案使得OpenFlow控制器接收到错误的虚拟机信息时，能保证OpenFlow网关设备上保存正确的ARP表项，从而保证OpenFlow网络中各虚拟机正常工作。

方法实施例二 

本实施例仍采用图2所示的组网图，假设OpenFlow网关设备上全部配 置OpenFlow ARP表项的修改类型为允许覆盖OpenFlow ARP表项，并且已保存如表5所示的ARP表。图4为本实施例的流程图，如图4所示，包括以下步骤：

步骤401：OpenFlow网关设备接收到虚拟机1发送的ARP报文，该ARP报文中携带虚拟机1的IP地址和MAC地址。

步骤402：OpenFlow网关设备确定与接收到的ARP报文匹配的OpenFlow ARP表项，并判断接收到的ARP报文与匹配的OpenFlow ARP表项内容不一致，发送第一ARP请求报文，该第一ARP请求报文的目的MAC地址为匹配的OpenFlow ARP表项记录的虚拟机的MAC地址。

本步骤中，假设OpenFlow网关设备接收到的ARP报文携带的虚拟机1的IP地址为10.10.125.2，MAC地址为0001-e200-1234，OpenFlow网关设备将ARP报文携带的虚拟机IP地址与保存的ARP表中各OpenFlow ARP表项记载的IP地址依次进行比较，确定该ARP报文携带的虚拟机IP地址与OpenFlow ARP表项记载的IP地址相同的表项为匹配表项，如表5所示；将ARP报文携带的虚拟机MAC地址与表5中的OpenFlow ARP表项记录的MAC地址进行比较，发现不同，则判定为内容不一致，则OpenFlow网关设备发送第一ARP请求报文，该第一ARP请求报文的目的IP地址为10.10.125.2，目的MAC地址为表5中的MAC地址0001-e200-3211，用以检测MAC地址为0001-e200-3211的虚拟机是否正常工作。

步骤403：判断预设时间内是否收到第一ARP请求报文的应答报文，如果是，执行步骤404，否则执行步骤405。

步骤404：丢弃步骤401中接收到的ARP报文，不对匹配的OpenFlow ARP表项作任何修改。

基于步骤403的判断结果，预设时间内OpenFlow网关设备接收到第一ARP请求报文的应答报文，该应答报文的源IP地址为10.10.125.2，源MAC地址为0001-e200-3211，则说明表5所示的ARP表项记录的虚拟机仍在正常工作，而步骤401中OpenFlow网关设备接收到的ARP报文可能是错误的 ARP报文，或者是攻击报文，则OpenFlow网关设备丢弃步骤401中接收到的ARP报文，不对匹配的OpenFlow ARP表项作任何修改。

步骤405：OpenFlow网关设备发送第二ARP请求报文，该第二ARP请求报文的目的MAC地址为接收到的ARP报文携带的MAC地址。

基于步骤403的判断结果，预设时间内OpenFlow网关设备没有接收到第一ARP请求报文的应答报文，说明OpenFlow网关设备上已保存的OpenFlow ARP表项记录的虚拟机已停止工作或发生迁移，则OpenFlow网关设备发送第二ARP请求报文，该第二ARP请求报文的目的IP地址为10.10.125.2，目的MAC地址为0001-e200-1234，用以检测MAC地址为0001-e200-1234的虚拟机是否正常工作。

步骤406：判断预设时间内是否收到第二ARP请求报文的应答报文，如果是，执行步骤407，否则执行步骤408。

步骤407：根据接收到的第二ARP请求报文的应答报文修改匹配的OpenFlow ARP表项。

基于步骤406的判断结果，OpenFlow网关设备在预设时间内接收到第二ARP请求报文的应答报文，该应答报文的源IP地址为10.10.125.2，源MAC地址为0001-e200-1234，说明步骤401中收到的ARP报文合法，则根据接收到的第二ARP请求报文的应答报文修改匹配的OpenFlow ARP表项中记录的MAC地址，并将修改后的ARP表项设置为动态类型，修改后的ARP表项如表7所示。

表7

虚拟机IP地址	虚拟机MAC地址	ARP表项类型
			10.10.125.2	0001-e200-1234	动态

步骤408：丢弃步骤401中接收到的ARP报文，不对匹配的OpenFlow ARP表项作任何修改。

基于步骤406的判断结果，OpenFlow网关设备在预设时间内没有接收 到第二ARP请求报文的应答报文，说明步骤401中接收到的ARP报文不合法，可能是错误的或是攻击报文，则OpenFlow网关设备丢弃步骤401中接收到的ARP报文，不对匹配的OpenFlow ARP表项作任何修改。

虽然经过验证，OpenFlow网关设备上已保存的OpenFlow ARP表项已无效，但是经验证步骤401中接收到的ARP报文也不合法，因此不对OpenFlow网关设备上的匹配OpenFlow ARP表项进行修改，直至接收到合法的ARP报文。

本实施例中，OpenFlow网关设备上已保存的OpenFlow ARP表项与接收到的ARP报文内容不一致时，如果经验证，OpenFlow网关设备上匹配的OpenFlow ARP表项已失效，且接收到的ARP报文合法，则可以通过接收到的ARP报文生成动态ARP表项，覆盖掉原来保存的OpenFlow ARP表项，这就保证OpenFlow控制器不能正常工作期间虚拟机发生迁移后能及时更新OpenFlow网关设备上保存的ARP表项，保证虚拟机的正常工作。

针对上述方法，本发明还公开一种SDN网关设备，图5为本发明实施例中SDN网关设备的结构图，如图5所示，该设备包括：

配置模块501，用于配置SDN地址解析协议ARP表项的修改类型。

接收模块502，用于接收虚拟机发送的ARP报文，还用于接收SDN控制器发送的SDN流表。

处理模块503，在SDN ARP表项的修改类型为允许被动态ARP表项覆盖时，用于：判断接收模块502接收的ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据ARP报文生成动态ARP表项并覆盖匹配的SDN ARP表项；若一致，则保留匹配的SDN ARP表项；

还用于：判断接收模块502接收的SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据虚拟机的ARP应答更新相应的ARP表项；若一致，则根据SDN流表生成SDN ARP表项并覆盖匹配的动态ARP表项。

处理模块503在判断ARP报文与匹配的SDN ARP表项的内容是否一致， 或者，判断SDN流表与匹配的动态ARP表项的内容是否一致时，还用于：

将ARP报文携带的虚拟机IP地址或者SDN流表携带的虚拟机IP地址与保存的ARP表中各ARP表项记载的IP地址依次进行比较，若虚拟机IP地址与ARP表项记载的IP地址相同，则匹配成功；将ARP报文携带的虚拟机MAC地址或者SDN流表携带的虚拟机MAC地址与匹配的ARP表项记载的MAC地址进行比较，若相同，则判定ARP报文或者SDN流表与匹配的ARP表项的内容一致，否则判定为不一致。

该设备还包括发送模块504，在接收到处理模块503发送的ARP报文与匹配的SDN ARP表项的内容不一致的通知时，用于发送单播的第一ARP请求报文，该第一ARP请求报文的目的MAC地址为匹配的SDN ARP表项中记录的MAC地址。

接收模块502，还用于在预设时间内收到了第一ARP请求报文的应答报文时通知处理模块503。

处理模块503，还用于在接收到接收模块502发送的通知时，丢弃ARP报文，保留匹配的SDN ARP表项。

接收模块502，还用于在预设时间内没有收到第一ARP请求报文的应答报文时，通知发送模块504。

发送模块504，还用于在接收到上述接收模块502发送的通知时，发送单播的第二ARP请求报文，该第二ARP请求报文的目的MAC地址为ARP报文携带的虚拟机MAC地址。

接收模块502，在预设时间内收到或没有收到第二ARP请求报文的应答报文时通知处理模块503。

处理模块503，还用于在收到接收模块502发送的收到应答报文的通知时，根据ARP报文或第二ARP请求报文的应答报文生成动态ARP表项，并覆盖匹配的SDN ARP表项；还用于在收到接收模块502发送的没有收到应答报文的通知时，丢弃ARP报文，保留匹配的SDN ARP表项。

发送模块504，在接收到处理模块503发送的SDN流表与匹配的动态ARP 表项的内容不一致的通知时，还用于发送广播的ARP请求报文，该ARP请求报文的目的IP地址为SDN流表携带的虚拟机IP地址或者匹配的动态ARP表项记录的IP地址，触发与该目的IP地址对应的虚拟机对ARP请求报文进行ARP应答。

接收模块502，还用于接收ARP请求报文的目的IP地址对应的虚拟机发送的上述ARP请求报文的应答报文，并将该应答报文发送给处理模块503。

处理模块503，还用于判断所述应答报文与所述匹配的动态ARP表项的内容是否一致时，若不一致，则根据所述应答报文生成动态ARP表项，并覆盖所述匹配的动态ARP表项；若一致，则丢弃所述应答报文。

接收模块502还用于：接收SDN控制器发送的SDN流表，该SDN流表为SDN控制器根据接收到的虚拟机发送的上述ARP请求报文的应答报文生成的。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种软件定义网络中更新地址解析协议表项的方法，其特征在于，该方法包括：

软件定义网络SDN网关设备配置SDN地址解析协议ARP表项的修改类型为允许被动态ARP表项覆盖时：

当所述SDN网关设备接收虚拟机发送的ARP报文，判断所述ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据所述ARP报文生成动态ARP表项并覆盖所述匹配的SDN ARP表项；若一致，则保留所述匹配的SDN ARP表项；

当所述SDN网关设备接收SDN控制器发送的SDN流表，判断所述SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据所述虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据所述SDN流表生成SDN ARP表项并覆盖所述匹配的动态ARP表项。

2.根据权利要求1所述的方法，其特征在于，所述判断所述ARP报文与匹配的SDN ARP表项的内容是否一致，或者，判断所述SDN流表与匹配的动态ARP表项的内容是否一致，包括：

将所述ARP报文携带的虚拟机IP地址或者所述SDN流表携带的虚拟机IP地址与保存的ARP表中各ARP表项记载的IP地址依次进行比较，若所述虚拟机IP地址与ARP表项记载的IP地址相同，则匹配成功；将所述ARP报文携带的虚拟机MAC地址或者所述SDN流表携带的虚拟机MAC地址与匹配的ARP表项记载的MAC地址进行比较，若相同，则判定所述ARP报文或者所述SDN流表与匹配的ARP表项的内容一致，否则判定为不一致。

3.根据权利要求1所述的方法，其特征在于，根据所述ARP报文生成动态ARP表项并覆盖所述匹配的SDN ARP表项之前，该方法还包括：

所述ARP报文与匹配的SDN ARP表项的内容不一致时，所述SDN网关设备发送单播的第一ARP请求报文，所述第一ARP请求报文的目的MAC地址为所述匹配的SDN ARP表项中记录的MAC地址；

如果所述SDN网关设备在预设时间内收到了所述第一ARP请求报文的应答报文，则丢弃所述ARP报文，保留所述匹配的SDN ARP表项。

4.根据权利要求3所述的方法，其特征在于，如果所述SDN网关设备在预设时间内没有收到所述第一ARP请求报文的应答报文，该方法还包括：

所述SDN网关设备发送单播的第二ARP请求报文，所述第二ARP请求报文的目的MAC地址为所述ARP报文携带的虚拟机MAC地址；

如果所述SDN网关设备在预设时间内收到了所述第二ARP请求报文的应答报文，则根据所述ARP报文或所述第二ARP请求报文的应答报文生成动态ARP表项，并覆盖所述匹配的SDN ARP表项；否则，丢弃所述ARP报文，保留所述匹配的SDN ARP表项。

5.根据权利要求1所述的方法，其特征在于，所述触发相应的虚拟机进行ARP应答，根据所述虚拟机的ARP应答更新所述匹配的动态ARP表项，包括：

所述SDN流表与匹配的动态ARP表项的内容不一致时，所述SDN网关设备发送广播的ARP请求报文，所述ARP请求报文的目的IP地址为所述SDN流表携带的虚拟机IP地址或者所述匹配的动态ARP表项记录的IP地址，触发与所述目的IP地址对应的虚拟机对所述ARP请求报文进行ARP应答；

所述SDN网关设备接收所述ARP请求报文的目的IP地址对应的虚拟机发送的所述ARP请求报文的应答报文，若所述应答报文与所述匹配的动态ARP表项的内容不一致，则根据所述应答报文生成动态ARP表项，并覆盖所述匹配的动态ARP表项，若一致，则丢弃所述应答报文。

6.根据权利要求5所述的方法，其特征在于，所述根据所述应答报文生成动态ARP表项，并覆盖所述匹配的动态ARP表项之后，该方法还包括：

所述SDN网关设备接收SDN控制器发送的SDN流表，所述SDN流表为所述SDN控制器根据接收到的所述虚拟机发送的所述ARP请求报文的应答报文生成的。

7.一种SDN网关设备，其特征在于，该设备包括：

配置模块，用于配置SDN地址解析协议ARP表项的修改类型；

接收模块，用于接收虚拟机发送的ARP报文，还用于接收SDN控制器发送的SDN流表；

处理模块，在所述SDN ARP表项的修改类型为允许被动态ARP表项覆盖时，用于：判断接收的所述ARP报文与匹配的SDN ARP表项的内容是否一致，若不一致，则根据所述ARP报文生成动态ARP表项并覆盖所述匹配的SDNARP表项；若一致，则保留所述匹配的SDN ARP表项；还用于：判断接收的所述SDN流表与匹配的动态ARP表项的内容是否一致，若不一致，则触发相应的虚拟机进行ARP应答，根据所述虚拟机的ARP应答更新所述匹配的动态ARP表项；若一致，则根据所述SDN流表生成SDN ARP表项并覆盖所述匹配的动态ARP表项。

8.根据权利要求7所述的设备，其特征在于，所述处理模块，在判断所述ARP报文与匹配的SDN ARP表项的内容是否一致，或者，判断所述SDN流表与匹配的动态ARP表项的内容是否一致时，还用于：

将所述ARP报文携带的虚拟机IP地址或者所述SDN流表携带的虚拟机IP地址与保存的ARP表中各ARP表项记载的IP地址依次进行比较，若所述虚拟机IP地址与ARP表项记载的IP地址相同，则匹配成功；将所述ARP报文携带的虚拟机MAC地址或者所述SDN流表携带的虚拟机MAC地址与匹配的ARP表项记载的MAC地址进行比较，若相同，则判定所述ARP报文或者所述SDN流表与匹配的ARP表项的内容一致，否则判定为不一致。

9.根据权利要求7所述的设备，其特征在于，该设备还包括：

发送模块，在接收到所述处理模块发送的所述ARP报文与匹配的SDN ARP表项的内容不一致的通知时，用于发送单播的第一ARP请求报文，所述第一ARP请求报文的目的MAC地址为所述匹配的SDN ARP表项中记录的MAC地址；

所述接收模块，还用于在预设时间内收到了所述第一ARP请求报文的应答报文时通知所述处理模块；

所述处理模块，还用于在接收到所述通知时，丢弃所述ARP报文，保留所述匹配的SDN ARP表项。

10.根据权利要求9所述的设备，其特征在于，

所述接收模块，还用于在预设时间内没有收到所述第一ARP请求报文的应答报文时，通知所述发送模块；

所述发送模块，还用于在接收到所述通知时，发送单播的第二ARP请求报文，所述第二ARP请求报文的目的MAC地址为所述ARP报文携带的虚拟机MAC地址；

所述接收模块，在预设时间内收到或没有收到所述第二ARP请求报文的应答报文时通知所述处理模块；

所述处理模块，还用于在收到所述接收模块发送的收到应答报文的通知时，根据所述ARP报文或所述第二ARP请求报文的应答报文生成动态ARP表项，并覆盖所述匹配的SDN ARP表项；还用于在收到所述接收模块发送的没有收到应答报文的通知时，丢弃所述ARP报文，保留所述匹配的SDN ARP表项。

11.根据权利要求7所述的设备，其特征在于，

所述发送模块，在接收到所述处理模块发送的所述SDN流表与匹配的动态ARP表项的内容不一致的通知时，还用于发送广播的ARP请求报文，所述ARP请求报文的目的IP地址为所述SDN流表携带的虚拟机IP地址或者所述匹配的动态ARP表项记录的IP地址，触发与所述目的IP地址对应的虚拟机对所述ARP请求报文进行ARP应答；

所述接收模块，还用于接收所述ARP请求报文的目的IP地址对应的虚拟机发送的所述ARP请求报文的应答报文，并将所述应答报文发送给所述处理模块；

所述处理模块，还用于判断所述应答报文与所述匹配的动态ARP表项的内容是否一致时，若不一致，则根据所述应答报文生成动态ARP表项，并覆盖所述匹配的动态ARP表项；若一致，则丢弃所述应答报文。

12.根据权利要求11所述的设备，其特征在于，所述接收模块还用于：

接收SDN控制器发送的SDN流表，所述SDN流表为所述SDN控制器根据接收到的所述虚拟机发送的所述ARP请求报文的应答报文生成的。