CN104901958A - 一种用户驱动的sdn网络集中式访问控制方法 - Google Patents

Abstract

一种用户驱动的SDN网络集中式访问控制方法，属于计算机应用技术领域。其特征是使用REST API为用户提供一个友好的、集中式的管理接口；将全局网络视图简化为抽象网络视图；对用户请求新增的访问控制列表规则进行匹配检测；根据用户请求通过主动方式基于抽象网络视图实现访问控制；动态响应网络视图更新事件及时更新流表。本发明提供了集中式接口为用户简化了网络管理，采用主动方式实现访问控制降低数据包转发时延，通过进行匹配检测节约流表空间，并能动态响应网络视图更新事件确保高层决策的正确性。

Description

一种用户驱动的SDN网络集中式访问控制方法

技术领域

涉及一种用户驱动的SDN网络集中式访问控制方法，属于计算机应用技术领域。

背景技术

由于不断出现的网络服务以及迅速扩张的网络规模，传统网络架构暴露出严重的问题，根本原因在于控制逻辑以及转发逻辑的紧耦合以及分布式的网络设备控制方式。SDN网络是一种新兴的网络架构，通过分离控制逻辑与转发逻辑克服了传统网络的不足，目前获得了学术界以及工业界的广泛认可。

访问控制作为一种网络安全机制，通过对进出网络的数据包应用一系列访问控制规则提供对数据包的过滤功能。在传统网络中，采取配置网络设备中的访问控制列表的方式实现访问控制，该方式的缺点为：一方面需要网络设备拥有具备相应处理能力的特定硬件，开销较大，另一方面需要网络管理员在网络设备中设计、配置与维护分布式的访问控制列表，繁琐且易出错。上述缺点的根本原因在于传统网络缺少一个全局视图以及一个集中的接口来配置与管理访问控制列表。相比于传统网络，SDN网络提供了一个更加合适的架构来实现访问控制。SDN中的控制器收集并维护全网视图并提供一个开放的编程接口，使得网络管理员可在控制器中以一种集中式的方式配置与管理网络。

现有的针对SDN网络访问控制的相关工作大都采用了被动方式实现。在被动方式中，SDN控制器通过监听转发平面发送来的Packet-in消息，进行相关处理，最后向转发平面下发相应流表项来实现访问控制，然而该方式由于需要进行一定处理操作增加了数据包转发时延，在网络流量激增的时候会降低网络效率。SDN网络中著名的开源控制器Floodlight中包含了一个防火墙应用，该应用通过被动方式监听Packet-in消息实现访问控制，一方面增加了转发时延，另一方面该应用无法根据访问控制规则的更新及时管理转发平面中的流表，可能会造成不可预测的网络错误。

发明内容

为了克服SDN网络中现有的访问控制方法增加转发时延与无法及时管理转发平面中流表的不足，提供了一种用户驱动的SDN网络集中式访问控制方法，实现对SDN网络中数据包的过滤功能。该方法向用户提供一个友好的、集中式的管理接口，将全局网络视图简化为抽象网络视图，根据用户请求通过主动方式基于抽象网络视图实现访问控制，对新增访问控制规则进行匹配检测，动态响应网络视图更新事件及时更新流表。

解决其技术问题所采用的技术方案是：

一种用户驱动的SDN网络集中式访问控制方法，通过REST API、抽象网络视图管理、访问控制规则管理三大模块来实现。

REST API为用户提供一个友好的、集中式的管理接口供用户添加、删除与查询访问控制规则。在SDN控制器中维护一个全局访问控制列表，用户可通过向控制器发送包含有请求内容JSON字符串的HTTP请求来更新全局访问控制列表。

将全局网络视图简化为抽象网络视图。该视图隐藏了内部的网络拓扑细节只记录外部主机与边缘交换机的接口信息，通过调用控制器提供的相应接口监听网络中的主机更新事件，当新事件发生时根据更新类型及时更新抽象网络视图。同时为抽象网络视图提供一个全局接口方法供其他功能模块调用进行接口信息查询。

对用户请求新增的访问控制列表规则进行匹配检测。匹配定义为：新增的访问控制规则的作用域被已有的访问控制规则作用域覆盖，即该新增访问控制规则无效。如发现匹配，向用户返回出错信息并拒绝用户的添加操作。

根据用户请求通过主动方式基于抽象网络视图实现访问控制。当用户请求增加访问控制规则时，对通过匹配检测的新增规则生成一个全局唯一序号并在全局访问控制列表中添加新的表项，然后检测新增访问控制规则中的源网络地址字段是否为通配符字段，若不为通配符，通过向抽象网络视图的查询方法传入该访问控制规则的源网络地址获取入口交换机集合；若为通配符，传入该访问控制规则的目的网络地址，获取出口交换机集合。对于交换机集合中的每一台交换机，根据新增访问控制规则生成一条访问控制流表项并进行下发，并在规则映射表中记录访问控制规则的序号到对应流表项序号的映射关系。通过在入口或出口交换机中下发准确反映高层决策的流表项，对SDN网络实现访问控制。当用户请求删除某个已存的访问控制规则时，从全局访问控制列表中删除该规则，同时跟据规则映射表获取对应流表项序号，利用该序号删除对应流表项，最后从规则映射表中删除指定表项。

动态响应网络视图更新事件及时更新流表。当网络中新增主机时，判断新增主机与现有访问控制规则的关联性，即判断该主机的IP地址是否包含在全局访问控制列表中规则的网络地址字段中。如果关联，根据关联规则生成一条新的访问控制流表项并下发至指定的交换机中，之后更新抽象网络视图；如果不关联，直接更新抽象网络视图。维持一个抽象网络视图中接口信息到对应访问控制流表项序号的映射表，当网络中某台主机被删除，通过查阅该映射表获取待删除的流表项序号并进行删除，之后更新抽象网络视图。

通过向用户提供一个友好的、集中式的管理接口，简化了网络管理；通过将全局网络视图简化为抽象网络视图，降低了处理过程的复杂度；通过分析用户请求并基于抽象网络视图以主动方式实现访问控制，降低了转发时延，提高了转发效率；通过对新增访问控制规则进行匹配检测，减少无效的访问控制规则，节约了转发平面中的流表空间；通过动态响应网络视图更新事件及时更新流表，确保了高层决策的正确性。

附图说明

图1是的系统架构图。

图2是中使用到的抽象网络视图示例。

图3是更新访问控制列表的流程图。

图4是实施访问控制更新的流程图。

图5是动态响应网络视图更新的流程图。

具体实施方式

下面结合附图和实施例对进一步说明。

如图1所示，一种用户驱动的SDN网络集中式访问控制方法可实现为SDN控制器中的一个系统模块，该系统模块由REST API、抽象网络视图管理、访问控制规则管理三大功能模块组成。其中，REST API为用户提供一个友好的、集中式的管理接口供用户添加、删除与查询访问控制规则；抽象网络视图管理模块共分为抽象网络视图更新与抽象网络视图查询两个子模块，前者负责将全局网络视图简化为抽象网络视图，并通过监听网络中的主机更新事件对该抽象网络视图进行及时更新，后者负责提供全局接口供其他功能模块对抽象网络视图进行查询；访问控制规则管理模块由访问控制列表更新、访问控制列表实现、抽象网络视图更新处理三个功能子模块组成，其中访问控制列表更新模块负责添加与删除访问控制规则同时在添加规则时进行匹配检测，访问控制列表实现负责管理交换机中的流表以实现新增规则与已删除规则，抽象网络视图更新处理负责对网络中新增以及已删除的主机进行处理。

下表2描述了对访问控制规则的定义

字段	说明
		序号	每条访问控制规则序号全局唯一
网络层协议	TCP、UDP、ICMP
		源网络地址	CIDR地址，源地址或目的地址至少应指定一个
目的网络地址	CIDR地址，源地址或目的地址至少应指定一个
		目的端口号	只当网络层协议为TCP或UDP时有效
动作	DENY或者ALLOW

为每个访问控制规则生成一个全局唯一的序号，其中网络层协议、源网络地址、目的网络地址、目的端口号被称为匹配字段，该字段既可被指定为一个特定值也可被指定为通配符以匹配所有可能的属性值。源网络地址与目的网络地址被表示为CIDR IP地址，既可表示一个特定的IP地址，也可表示为一个IP地址范围。允许用户通过HTTP请求发送包含有相应请求信息的JSON字符串hi现添加、删除与查询访问控制规则。

图2是所管理的抽象网络视图实例。通过隐藏内部网络拓扑只记录外部主机与边缘交换机的接口信息将全局网络视图映射为抽象网络视图，并将接口信息表示为三元组：{接口序号，交换机DPID，主机IP}。通过监听主机更新事件维护一个抽象网络视图并提供一个全局接口方法getDpidSet，该方法对于给定的CIDR IP地址，通过搜索抽象网络视图，返回一个交换机DPID集合，该集合包含所有与该IP地址表示的主机相连的交换机DPID。

图3是更新访问控制列表的流程图。维护一个全局访问控制列表，工作流程为：首先监听用户对访问控制列表的更新请求，并对接收的新请求进行有效性检测，若该请求无效则向用户返回出错信息并继续进行监听，否则判断用户请求类型。当用户请求添加新规则时，首先将该请求转换为一个对应的访问控制列表规则并在访问控制列表中对新增规则进行匹配检测，匹配定义为：新增的访问控制规则的作用域被已有的访问控制规则作用域覆盖，即该新增访问控制规则无效。如发现匹配，向用户返回出错信息并拒绝用户的添加操作，否则为该新增规则生成一个全局唯一序号，向全局访问控制列表添加该规则并进一步通过流表项实现该新增规则。当用户请求删除已有规则时，首先从用户请求中提取待删除的规则序号，对该序号的存在性进行检测，如该序号不存在，向用户返回出错信息并拒绝用户的删除操作，否则使用该序号从全局访问控制列表中删除该规则并触发对流表项的管理工作。

图4是实施访问控制更新的流程图。首先判断更新类型。如果用户请求增加访问控制规则，检测新增访问控制规则中的源网络地址字段是否为通配符字段，若不为通配符，向抽象网络视图管理模块提供的getDpidSet方法传入该源网络地址，获取入口交换机集合；若为通配符，向抽象网络视图管理模块提供的getDpidSet方法传入该访问控制规则的目的网络地址，获取出口交换机集合。对于交换机集合中的每一台交换机，根据新增访问控制规则生成一条访问控制流表项并进行下发。访问控制流表项被表示为八元组：{流表项序号，优先级，交换机DPID，网络层协议，源网络地址，目的网络地址，目的端口号，动作}，访问控制流表项的生成规则如下：为每条流表项生成全局唯一的序号，并确保先生成的流表项拥有更高的优先级，流表项的交换机DPID为对应交换机集合中的DPID，流表项的网络层协议、源网络地址、目的网络地址、目的端口号为对应访问控制规则中的对应字段值，流表项的动作字段为DROP当对应访问控制规则的动作字段为DENY，动作字段为FORWARD to CONTROLLER当对应访问控制规则的动作字段为ALLOW。维护一个访问控制规则到访问控制流表项的映射表，记录访问控制规则的序号到对应流表项序号的映射关系。如果用户请求删除访问控制规则，根据待删除规则序号从规则映射表中获取对应流表项序号，并利用该序号删除对应流表项，最后从规则映射表中删除指定表项。

图5是动态响应网络视图更新的流程图。首先监听网络主机更新事件并判断新事件的更新类型。若网络中新增主机，判断新增主机与现有访问控制规则的关联性，即判断该主机的IP地址是否包含在全局访问控制列表中规则的网络地址字段中。如果关联，根据关联规则生成一条新的访问控制流表项并下发至指定的交换机中，之后更新抽象网络视图；如果不关联，直接更新抽象网络视图。维护一个抽象网络视图中接口信息到对应访问控制流表项序号的映射表，若网络中某台主机被删除，通过查阅该映射表获取待删除的流表项序号并进行删除，之后更新抽象网络视图。

Claims (1)

1.一种用户驱动的SDN网络集中式访问控制方法，其特征在于，

该SDN网络集中式访问控制方法通过REST API、抽象网络视图管理、访问控制规则管理三大模块来实现；

REST API为用户提供一个友好的、集中式的管理接口供用户添加、删除与查询访问控制规则；

抽象网络视图管理模块共分为抽象网络视图更新与抽象网络视图查询两个子模块，前者负责将全局网络视图简化为抽象网络视图，并通过监听网络中的主机更新事件对该抽象网络视图进行及时更新，后者负责提供全局接口供其他功能模块对抽象网络视图进行查询；

访问控制规则管理模块由访问控制列表更新、访问控制列表实现、抽象网络视图更新处理三个功能子模块组成，其中访问控制列表更新模块负责添加与删除访问控制规则同时在添加规则时进行匹配检测，访问控制列表实现负责管理交换机中的流表以实现新增规则与已删除规则，抽象网络视图更新处理负责对网络中新增以及已删除的主机进行处理；

下表2描述了对访问控制规则的定义：

字段 说明 序号 每条访问控制规则序号全局唯一 网络层协议 TCP、UDP、ICMP 源网络地址 CIDR地址，源地址或目的地址至少应指定一个 目的网络地址 CIDR地址，源地址或目的地址至少应指定一个 目的端口号 只当网络层协议为TCP或UDP时有效 动作 DENY或者ALLOW

每个访问控制规则生成一个全局唯一的序号，其中网络层协议、源网络地址、目的网络地址、目的端口号被称为匹配字段，该字段既可被指定为一个特定值也可被指定为通配符以匹配所有可能的属性值；源网络地址与目的网络地址被表示为CIDR IP地址，既可表示一个特定的IP地址，也可表示为一个IP地址范围；允许用户通过HTTP请求发送包含有相应请求信息的JSON字符串实现添加、删除与查询访问控制规则；

通过隐藏内部网络拓扑只记录外部主机与边缘交换机的接口信息将全局网络视图映射为抽象网络视图，并将接口信息表示为三元组：{接口序号，交换机DPID，主机IP}；通过监听主机更新事件维护一个抽象网络视图并提供一个全局接口方法getDpidSet，对于给定的CIDR IP地址，通过搜索抽象网络视图，返回一个交换机DPID集合，该集合包含所有与该IP地址表示的主机相连的交换机DPID；

维护一个全局访问控制列表，流程为：首先监听用户对访问控制列表的更新请求，并对接收的新请求进行有效性检测，若该请求无效则向用户返回出错信息并继续进行监听，否则判断用户请求类型；当用户请求添加新规则时，首先将该请求转换为一个对应的访问控制列表规则并在访问控制列表中对新增规则进行匹配检测；匹配定义为：新增的访问控制规则的作用域被已有的访问控制规则作用域覆盖，即该新增访问控制规则无效；如发现匹配，向用户返回出错信息并拒绝用户的添加操作，否则为该新增规则生成一个全局唯一序号，向全局访问控制列表添加该规则并进一步通过流表项实现该新增规则；当用户请求删除已有规则时，首先从用户请求中提取待删除的规则序号，对该序号的存在性进行检测，如该序号不存在，向用户返回出错信息并拒绝用户的删除操作，否则使用该序号从全局访问控制列表中删除该规则并触发对流表项管理工作；

实施访问控制更新：首先判断更新类型；如果用户请求增加访问控制规则，检测新增访问控制规则中的源网络地址字段是否为通配符字段，若不为通配符，向抽象网络视图管理模块提供的getDpidSet方法传入该源网络地址，获取入口交换机集合；若为通配符，向抽象网络视图管理模块提供的getDpidSet方法传入该访问控制规则的目的网络地址，获取出口交换机集合；对于交换机集合中的每一台交换机，根据新增访问控制规则生成一条访问控制流表项并进行下发；访问控制流表项被表示为八元组：{流表项序号，优先级，交换机DPID，网络层协议，源网络地址，目的网络地址，目的端口号，动作}，访问控制流表项的生成规则如下：为每条流表项生成全局唯一的序号，并确保先生成的流表项拥有更高的优先级，流表项的交换机DPID为对应交换机集合中的DPID，流表项的网络层协议、源网络地址、目的网络地址、目的端口号为对应访问控制规则中的对应字段值，流表项的动作字段为DROP当对应访问控制规则的动作字段为DENY，动作字段为FORWARD to CONTROLLER当对应访问控制规则的动作字段为ALLOW；维护一个访问控制规则到访问控制流表项的映射表，记录访问控制规则的序号到对应流表项序号的映射关系；如果用户请求删除访问控制规则，根据待删除规则序号从规则映射表中获取对应流表项序号，并利用该序号删除对应流表项，最后从规则映射表中删除指定表项；

动态响应网络视图更新：首先监听网络主机更新事件并判断新事件的更新类型；若网络中新增主机，判断新增主机与现有访问控制规则的关联性，即判断该主机的IP地址是否包含在全局访问控制列表中规则的网络地址字段中；如果关联，根据关联规则生成一条新的访问控制流表项并下发至指定的交换机中，之后更新抽象网络视图；如果不关联，直接更新抽象网络视图；维护一个抽象网络视图中接口信息到对应访问控制流表项序号的映射表，若网络中某台主机被删除，通过查阅该映射表获取待删除的流表项序号并进行删除，之后更新抽象网络视图。