CN105306390A - 一种数据报文转发控制方法及系统 - Google Patents

Abstract

本发明公开了一种数据报文转发控制方法及系统，属于交换机技术领域；方法包括：步骤S1，交换机接收需要转发的数据报文，并将数据报文与预置的转发流表进行匹配：若匹配成功，则根据转发流表转发数据报文，随后返回步骤S1；步骤S2，交换机将数据报文上传至控制器；步骤S3，控制器将数据报文与对应交换机的访问策略信息进行匹配：若匹配失败，则控制器丢弃数据报文，随后返回步骤S1；步骤S4，控制器根据访问策略信息生成相应的转发流表并下发至相应的交换机，以供交换机根据下发的转发流表对数据报文进行转发操作，随后返回步骤S1。上述技术方案的有益效果是：实现多交换机访问技术的统一管理，增加组网报文处理的灵活性。

Description

一种数据报文转发控制方法及系统

技术领域

本发明涉及交换机技术领域，尤其涉及一种数据报文转发控制方法及系统。

背景技术

传统的多交换机访问管理技术通常是分布式的，访问管理的配置任务需要基于每个交换机进行。如果整个网络的构建非常庞大，则相应地配置工作会变得非常复杂，并且容易出错。并且，分布式实现访问管理的技术较容易限制整个组网的数据报文转发处理，缺乏一定的灵活性。

发明内容

根据现有技术中存在的问题，现提供一种数据报文转发控制方法及系统的技术方案，旨在实现访问技术的统一管理，增加组网报文处理的灵活性。

上述技术方案具体包括：

一种数据报文转发控制方法，适用于基于软件定义网络工作的交换机；其中，多个所述交换机均连接一控制器；

每个所述交换机分别向所述控制器上传相应的属性信息，则所述控制器根据所述属性信息，分别形成关联于每个所述交换机的访问策略信息，还包括下述步骤：

步骤S1，所述交换机接收需要转发的数据报文，并将所述数据报文与预置的转发流表进行匹配：

若匹配成功，则根据所述转发流表转发所述数据报文，随后返回所述步骤S1；

步骤S2，所述交换机将所述数据报文上传至所述控制器；

步骤S3，所述控制器将所述数据报文与对应所述交换机的所述访问策略信息进行匹配：

若匹配失败，则所述控制器丢弃所述数据报文，随后返回所述步骤S1；

步骤S4，所述控制器根据所述访问策略信息生成相应的所述转发流表并下发至相应的所述交换机，以供所述交换机根据下发的所述转发流表对所述数据报文进行转发操作，随后返回所述步骤S1。

优选的，该数据报文转发控制方法，其中，所述属性信息包括：

对应每个所述交换机的物理地址信息；以及

对应每个所述交换机的转发端口信息。

优选的，该数据报文转发控制方法，其中，每个所述交换机分别向所述控制器发送用于指示所述属性信息的Experimenter报文，以供所述控制器形成相应的所述访问策略信息。

优选的，该数据报文转发控制方法，其中，对应每个所述交换机的所述访问策略信息中包括：

对应所述交换机的编号；以及

对应所述交换机的转发端口的编号；以及

对应所述转发端口的地址规则信息。

优选的，该数据报文转发控制方法，其中，所述地址规则信息中包括：

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源IP地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的IP地址的信息。

优选的，该数据报文转发控制方法，其中，所述步骤S4包括：

步骤S41a，所述控制器提取接收到的所述数据报文中关联于转发地址的四元组信息；

步骤S42a，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作：

若无法找到一一对应匹配于所述地址规则信息的所述四元组信息，则所述控制器丢弃所述数据报文，并返回所述步骤S1；

步骤S43a，所述控制器根据所述访问策略信息形成相应的所述转发流表并下发到相应的所述交换机中；

步骤S44a，接收所述转发流表的所述交换机根据下发的所述转发流表将所述数据报文通过相应的所述转发端口进行转发，随后返回所述步骤S1。

优选的，该数据报文转发控制方法，其中，所述步骤S4包括：

步骤S41b，所述控制器提取接收到的所述数据报文中关联于转发地址的四元组信息；

步骤S42b，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作：

若找到一一对应匹配于所述四元组信息的所述地址规则信息，则转至步骤S44b；

步骤S43b，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第二类匹配操作：

若所述四元组信息不与所述地址规则信息中的任意一个信息相匹配，则所述控制器丢弃所述数据报文，随后返回所述步骤S1；

步骤S44b，所述控制器根据所述访问策略信息形成相应的所述转发流表并下发到相应的所述交换机中；

步骤S45b，接收所述转发流表的所述交换机根据下发的所述转发流表将所述数据报文通过相应的所述转发端口进行转发，随后返回所述步骤S1。

优选的，该数据报文转发控制方法，其中，每个所述交换机依照下述步骤向所述控制器上传所述属性信息：

步骤A1，所述交换机初始化对应的开放流通道；

步骤A2，所述交换机通过所述开放流通道，将所述属性信息上传至所述控制器。

优选的，该数据报文转发控制方法，其中，所述控制器基于软件定义网络工作。

一种数据报文转发控制系统，适用于基于软件定义网络工作的交换机；其中，多个所述交换机均连接一控制器，每个所述交换机分别向所述控制器上传相应的属性信息，则所述控制器根据所述属性信息，分别形成关联于每个所述交换机的访问策略信息；

则每个所述交换机中包括：

第一匹配单元，用于接收需要转发的数据报文，并将所述数据报文与预置的转发流表进行匹配，输出相应的第一匹配结果；

转发单元，连接所述第一匹配单元，用于根据所述第一匹配结果，在所述数据报文与所述转发流表相匹配时根据所述转发流表对所述数据报文进行转发；

上传单元，连接所述第一匹配单元，用于根据所述匹配结果，在所述数据报文与所述转发流表不匹配时将所述数据报文上传至所述控制器；

所述控制器中包括：

第二匹配单元，用于将上传的所述数据报文与对应所述交换机的所述访问策略信息进行匹配，并输出相应的第二匹配结果；

第一处理单元，连接所述第二匹配单元，用于根据所述第二匹配结果，在匹配成功时根据所述访问策略信息生成相应的所述转发流表并下发至相应的所述交换机，以供所述交换机的所述转发单元根据下发的所述转发流表对所述数据报文进行转发操作；

第二处理单元，连接所述第二匹配单元，用于根据所述第二匹配结果，在匹配失败时丢弃所述数据报文。

优选的，该数据报文转发控制系统，其中，所述属性信息包括：

对应每个所述交换机的物理地址信息；以及

对应每个所述交换机的转发端口信息。

优选的，该数据报文转发控制系统，其中，每个所述交换机分别向所述控制器发送用于指示所述属性信息的Experimenter报文，以供所述控制器形成相应的所述访问策略信息。

优选的，该数据报文转发控制系统，其中，对应每个所述交换机的所述访问策略信息中包括：

对应所述交换机的编号；以及

对应所述交换机的转发端口的编号；以及

对应所述转发端口的地址规则信息。

优选的，该数据报文转发控制系统，其中，所述地址规则信息中包括：

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源IP地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的IP地址的信息。

优选的，该数据报文转发控制系统，其中，所述第二匹配单元中包括：

提取模块，用于提取接收到的所述数据报文中关联于转发地址的四元组信息；

第一类匹配模块，连接所述提取模块，用于将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

所述第一类匹配结果用于表示所述四元组信息是否与所述地址规则信息一一匹配；

所述第二匹配单元将用于表示所述四元组信息是否与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配成功的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息无法与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配失败的所述第二匹配结果输出。

优选的，该数据报文转发控制系统，其中，所述第二匹配单元中包括：

提取模块，用于提取接收到的所述数据报文中关联于转发地址的四元组信息；

第一类匹配模块，连接所述提取模块，用于将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

所述第一类匹配结果用于表示所述四元组信息是否与所述地址规则信息一一匹配；

第二类匹配模块，分别连接所述提取模块和所述第一类匹配模块，用于根据所述第一类匹配结果，在所述四元组信息与所述地址规则信息无法一一匹配时，将提取到的所述四元组信息与所述地址规则信息进行第二类匹配操作，并输出相应的第二类匹配结果；

所述第二类匹配结果用于表示所述四元组信息是否与所述地址规则信息中的任意一个信息相匹配；

所述第二匹配单元将用于表示所述四元组信息无法与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配失败的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息与所述地址规则信息中的任意一个信息相匹配的所述第二类匹配结果作为用于表示匹配成功的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息不与所述地址规则信息中的任意一个信息相匹配的所述第二类匹配结果作为用于表示匹配失败的所述第二匹配结果输出。

优选的，该数据报文转发控制系统，其中，所述上传单元中包括：

初始化模块，用于初始化对应所述交换机的开放流通道；

上传模块，连接所述初始化模块，用于通过所述开放流通道，将所述属性信息上传至所述控制器。

优选的，该数据报文转发控制系统，其中，所述控制器基于软件定义网络工作。

上述技术方案的有益效果是：

1)提供一种数据报文转发控制方法，能够实现多交换机访问技术的统一管理，增加组网报文处理的灵活性；

2)提供一种数据报文转发控制系统，能够支持实现上述数据报文转发控制方法。

附图说明

图1是本发明的较佳的实施例中，根据属性信息在控制器中生成访问策略信息的流程示意图；

图2是本发明的较佳的实施例中，一种数据报文转发控制方法的总体流程示意图；

图3-4是本发明的较佳的实施例中，于图2的基础上，一种数据报文转发控制方法的分步骤流程示意图；

图5是本发明的较佳的实施例中，用于上传属性信息的Experimenter报文的格式示意图；

图6是本发明的较佳的实施例中，一种数据报文转发控制系统的总体结构示意图；

图7是本发明的较佳的实施例中，于图6的基础上，交换机的内部结构示意图；

图8是本发明的较佳的实施例中，于图6的基础上，控制器的内部结构示意图；

图9-10是本发明的较佳的实施例中，于图8的基础上，控制器内部设置的第二匹配单元的结构示意图；

图11是本发明的较佳的实施例中，于图7的基础上，交换机内部设置的上传单元的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

下面结合附图和具体实施例对本发明作进一步说明，但不作为本发明的限定。

本发明的较佳的实施例中，基于现有技术中存在的上述问题，现提供一种数据报文转发控制方法，其适用于基于软件定义网络(SoftwareDefinedNetwork，SDN)工作的交换机。

则本发明的较佳的实施例中，上述多个基于SDN网络工作的交换机分别连接一个控制器。由于同样处于SDN网络中，因此该控制器同样为基于SDN网络工作的控制器，即SDN控制器。

本发明的较佳的实施例中，每个交换机分别向控制器上传相应的属性信息，则控制器根据属性信息，分别形成关联于每个交换机的访问策略信息。

更具体地，上述交换机向控制器上传属性信息的过程如图1所示，包括：

步骤A1，交换机初始化对应的开放流通道；

步骤A2，交换机通过开放流通道，将属性信息上传至控制器。

本发明的较佳的实施例中，在上传属性信息之前，交换机首先初始化对应的开放流(OpenFlow)通道，随后根据经过初始化的OpenFlow通道传输上述属性信息至控制器。

具体地，本发明的较佳的实施例中，所谓交换机的属性信息，其中包括对应每个交换机的物理地址信息(MAC地址信息)，以及对应每个交换机的转发端口信息。本发明的较佳的实施例中，MAC地址信息可以作为一个相应的交换机的标识符。

本发明的较佳的实施例中，交换机通过特殊定义的Experimenter报文，将其中包括的属性信息上传至控制器。特殊定义的Experimenter报文的格式如图5所示，其中：

Experimenter值为255，需要向开放式网络基金会(OpenNetworkFoundation，ONF)申请。

ExperimenterType的值为1表示该Experimenter报文从交换机上传至控制器，即ExperimenterType用于指示该Experimenter报文的传输顺序。

OwnMACaddress用于指示该交换机的MAC地址信息；

Portid1-128用于表示该交换机的转发端口信息，即不同的转发端口的序号。该Experimenter报文中，能够上传的端口号最大支持128个。

本发明的较佳的实施例中，上述访问策略信息实际为对应每个交换机的访问管理序列。该序列由两部分组成：

1)全局端口号。在该部分下，主要有两个子部分：一是对应交换机的编号，该编号可以通过交换机上传的MAC地址信息来标识；二是对应交换机的转发端口的编号，该编号同样可以根据交换机上传的端口号(Portid)来标识。

2)数据流的特征信息，该部分可以包括：对应每个转发端口的地址规则信息。具体地，本发明的较佳的实施例中，上述对应每个交换机的每个转发端口的地址规则信息可以包括下述的至少一种：

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源物理地址的信息(源MAC地址信息)；

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的物理地址的信息(目的MAC地址信息)；

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源IP地址的信息(源IP地址信息)；

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的IP地址的信息(目的IP地址信息)。

上述四种信息通常被称为一个数据流的四元组信息。

因此，本发明的较佳的实施例中，上述地址规则信息可以包括上述四元组信息中的至少一种

换言之，本发明的较佳的实施例中，根据上述访问管理序列的设定，对于不同的交换机的不同的转发端口，均可以限制只能转发一个SDN数据流(完全匹配上述地址规则信息中的所有信息)，或者只能转发一类SDN数据流(匹配上述地址规则信息中的至少一种信息)。

例如，针对地址规则信息中包括所有四元组信息的情况而言，若需要一个SDN数据流完全匹配上述所有四元组信息，才能在相应的交换机的相应的转发端口中转发对应该SDN数据流的数据报文，则可以视为该转发端口被限制只能转发一个SDN数据流。

又例如，针对地址规则信息中包括所有四元组信息的情况而言，若需要一个SDN数据流只需匹配上述四元组信息中的至少一种信息，就能在相应的交换机的相应的转发端口中转发对应该SDN数据流的数据报文，则可以视为该转发端口被限制为只能转发一类SDN数据流。

因此，本发明的较佳的实施例中，基于上述设定，上述数据报文转发控制方法如图2所示，具体包括：

步骤S1，交换机接收需要转发的数据报文，并将数据报文与预置的转发流表进行匹配：

若匹配成功，则根据转发流表转发数据报文，随后返回步骤S1；

步骤S2，交换机将数据报文上传至控制器；

步骤S3，控制器将数据报文与对应交换机的访问策略信息进行匹配：

若匹配失败，则控制器丢弃数据报文，随后返回步骤S1；

步骤S4，控制器根据访问策略信息生成相应的转发流表并下发至相应的交换机，以供交换机根据下发的转发流表对数据报文进行转发操作，随后返回步骤S1。

在一个具体实施例中，在每个交换机上传相应的属性信息至控制器并在控制器内形成对应每个交换机的每个转发端口的访问策略信息之后，交换机首先接收进入SDN网络的数据报文，并且根据交换机内部预设的转发流表判断该数据报文是否能够转发，即判断该数据报文是否匹配预设的转发流表：若数据报文匹配转发流表，则直接根据转发流表进行转发；若数据报文不匹配转发流表，则将数据报文上传至控制器。

该实施例中，由于一个交换机在初始化状态下并不预设有相应的转发流表，因此该交换机第一次接收到的数据报文必然会被上传至控制器进行下一步处理。

该实施例中，进一步地，控制器接收到上述被上传的数据报文后，将该数据报文与上述访问策略信息进行匹配：若匹配成功，则下发生成的相应的转发流表，并且控制交换机根据该转发流表对数据报文进行转发；若匹配失败，则直接丢弃该数据报文(匹配过程在下文中会详述)

如上文中所述，控制器中形成的访问策略信息中包括对应每个交换机的每个转发端口的地址规则信息，该地址规则信息中包括数据报文的四元组信息中的至少一种。则：

本发明的一个较佳的实施例中，进一步地，如图3所示，上述步骤S4具体包括：

步骤S41a，控制器提取接收到的数据报文中关联于转发地址的四元组信息；

该实施例中，上述步骤S41a中，控制器首先提取接收到的数据报文中的四元组信息。即关联于该数据报文的源MAC地址信息、目的MAC地址信息、源IP地址信息以及目的IP地址信息。

步骤S42a，控制器将提取到的四元组信息与地址规则信息进行第一类匹配操作：

若无法找到一一对应匹配于地址规则信息的四元组信息，则控制器丢弃数据报文，并返回步骤S1；

该实施例中，上述第一类匹配操作，实际可以为精确匹配操作，即将提取得到的关联于上述数据报文的四元组信息与地址规则信息中包括的四元组信息进行一一匹配：

若在访问策略信息(也就是访问管理序列)中无法找到一一对应匹配于上述数据报文的四元组信息的地址规则信息，则认为该数据报文是无法被转发的，需要被丢弃，随后控制器直接丢弃上述数据报文，并返回步骤S1，以继续获取交换机上传的数据报文；

该实施例中，所谓一一对应匹配，是指将地址规则信息中包括的四元组信息中的至少一种与数据报文的四元组信息进行匹配，若存在有地址规则信息中包括的所有信息均与数据报文的四元组信息相对应，则认为该地址规则信息与数据报文相匹配。

以地址规则信息中包括所有四元组信息为例，若1)地址规则信息中的源MAC地址信息与数据报文信息中的源MAC地址信息相同，2)地址规则信息中的目的MAC地址信息与数据报文信息中的目的MAC地址信息相同，3)地址规则信息中的源IP地址信息与数据报文信息中的源IP地址信息相同，4)地址规则信息中的目的IP地址信息与数据报文信息中的目的IP地址信息相同，则认为该地址规则信息与数据报文相匹配。

步骤S43a，控制器根据访问策略信息形成相应的转发流表并下发到相应的交换机中；

该实施例中，可以根据与数据报文相匹配的地址规则信息所对应的交换机的转发端口，形成相应的转发流表，即该数据报文可以从该交换机的该转发端口进行转发，并将转发流表下发到交换机中。

步骤S44a，接收转发流表的交换机根据下发的转发流表将数据报文通过相应的转发端口进行转发，随后返回步骤S1。

该实施例中，交换机获取上述转发流表后，根据该转发流表，从相应的转发端口中转发该数据报文，随后返回上述步骤S1，以继续监控进入SDN网络的数据报文。

本发明的另一个较佳的实施例中，进一步地，如图4所示，上述步骤S4具体包括：

步骤S41b，控制器提取接收到的数据报文中关联于转发地址的四元组信息；

步骤S42b，控制器将提取到的四元组信息与地址规则信息进行第一类匹配操作：

若找到一一对应匹配于四元组信息的地址规则信息，则转至步骤S44b；

步骤S43b，控制器将提取到的四元组信息与地址规则信息进行第二类匹配操作：

若四元组信息不与地址规则信息中的任意一个信息相匹配，则控制器丢弃数据报文，随后返回步骤S1；

步骤S44b，控制器根据访问策略信息形成相应的转发流表并下发到相应的交换机中；

步骤S45b，接收转发流表的交换机根据下发的转发流表将数据报文通过相应的转发端口进行转发，随后返回步骤S1。

该实施例中，如上文中所述，上述第一类匹配操作实际可以为精确匹配操作，在此不再赘述。

该实施例中，若上述第一类匹配操作失败，即不存在一一对应匹配于数据报文的四元组信息的地址规则信息，则进一步地进行第二类匹配操作，也就是模糊匹配操作，具体为：

控制器将数据报文的四元组信息与每条地址规则信息均进行匹配：若存在有地址规则信息，使得其中任意一个信息与四元组信息相匹配，则认为该地址规则信息与该数据报文相匹配；若数据报文的四元组信息不与上述地址规则信息中任意一条的任意一个信息相匹配，则认为该数据报文无法匹配于访问策略信息，需要被丢弃。

具体地，同样以地址规则信息中包括所有四元组信息为例：若存在一条地址规则信息，其中四元组信息中的至少一种与数据报文中的四元组信息相匹配(例如源MAC地址信息相匹配，或者源MAC地址信息以及源IP地址信息相匹配)，则表示针对该数据报文的模糊匹配成功，可以转发该数据报文(之后的处理如上文中所述，在此不再赘述)；若所有地址规则信息中的任意一种信息均无法匹配于上述数据报文的四元组信息，则认为该数据报文无法被转发，因此控制器丢弃该数据报文，随后返回上述步骤S1。

本发明的较佳的实施例中，为了实现上述技术方案，在交换机端和控制器端均需要支持扩展定义的OpenFlow流表，具体如下表a所示：

表a

综上所述，本发明技术方案中，SDN交换机首先将自身的属性信息(交换机MAC地址以及端口信息)上传给SDN控制器。控制器根据上传的属性信息生成对应每个交换机的每个转发端口的访问策略信息，即对应所有交换机的访问管理序列。随后交换机接收进入SDN网络的数据报文，并首先匹配其转发流表：若不匹配，则将该数据报文上传至控制器；若匹配，则直接转发该数据报文。控制器根据上传的数据报文，将其四元组信息与预先生成的访问策略信息进行匹配：若匹配(可以采用精确匹配和模糊匹配结合的匹配方法)，则根据该访问策略信息生成相应的转发流表并下发到相应的交换机，以供交换机从相应的转发端口转发该数据报文；若不匹配，则直接丢弃该数据报文。上述过程循环往复，从而完成整个SDN网络中交换机转发数据报文的处理流程。

本发明的较佳的实施例中，基于上文中所述的数据报文转发控制方法，现提供一种数据报文转发控制系统，同样适用于基于软件定义网络工作的交换机。

则本发明的较佳的实施例中，如图6所示，上述数据报文转发控制系统中，包括多个交换机A以及一个控制器B。多个交换机A均连接控制器B，每个交换机A分别向控制器B上传相应的属性信息(如上文中所述)，则控制器B根据属性信息，分别形成关联于每个交换机A的访问策略信息(如上文中所述)。

本发明的较佳的实施例中，如图7所示，每个交换机中包括：

第一匹配单元A1，用于接收需要转发的数据报文，并将数据报文与预置的转发流表进行匹配，输出相应的第一匹配结果；

转发单元A2，连接第一匹配单元A1，用于根据第一匹配结果，在数据报文与转发流表相匹配时根据转发流表对数据报文进行转发；

上传单元A3，连接第一匹配单元A1，用于根据匹配结果，在数据报文与转发流表不匹配时将数据报文上传至控制器B。

本发明的较佳的实施例中，如图8所示，上述控制器B中包括：

第二匹配单元B1，用于将上传的数据报文与对应交换机的访问策略信息进行匹配，并输出相应的第二匹配结果；

第一处理单元B2，连接第二匹配单元B1，用于根据第二匹配结果，在匹配成功时根据访问策略信息生成相应的转发流表并下发至相应的交换机，以供交换机A的转发单元A2根据下发的转发流表对数据报文进行转发操作；

第二处理单元B3，连接第二匹配单元B1，用于根据第二匹配结果，在匹配失败时丢弃数据报文。

本发明的较佳的实施例中，上述每个交换机A分别向控制器B发送用于指示属性信息的Experimenter报文(格式如上文中所述)，以供控制器B形成相应的访问策略信息。

本发明的较佳的实施例中，每个访问策略信息中包括相应的地址规则信息(如上文中所述)。

则本发明的较佳的实施例中，如图9所示，上述第二匹配单元B1中包括：

提取模块B11，用于提取接收到的数据报文中关联于转发地址的四元组信息；

第一类匹配模块B12，连接提取模块B11，用于将提取到的四元组信息与地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

则本发明的较佳的实施例中，上述第一类匹配结果用于表示四元组信息是否与地址规则信息一一匹配；

因此，本发明的较佳的实施例中，上述第二匹配单元B1将用于表示四元组信息是否与地址规则信息一一匹配的第一类匹配结果作为用于表示匹配成功的第二匹配结果输出；

上述第二匹配单元B1将用于表示四元组信息无法与地址规则信息一一匹配的第一类匹配结果作为用于表示匹配失败的第二匹配结果输出。

本发明的较佳的实施例中，所谓第一类匹配操作，可以为如上文中所述的精确匹配操作。

本发明的较佳的实施例中，如图10所示，第二匹配单元B1中包括：

提取模块B11，用于提取接收到的数据报文中关联于转发地址的四元组信息；

第一类匹配模块B12，连接提取模块B11，用于将提取到的四元组信息与地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

本发明的较佳的实施例中，上述第一类匹配结果用于表示四元组信息是否与地址规则信息一一匹配。换言之，本发明的较佳的实施例中，上述第一类匹配操作可以为精确匹配操作。

第二类匹配模块B13，分别连接提取模块B11和第一类匹配模块B12，用于根据第一类匹配结果，在四元组信息与地址规则信息无法一一匹配时，将提取到的四元组信息与地址规则信息进行第二类匹配操作，并输出相应的第二类匹配结果；

本发明的较佳的实施例中，上述第二类匹配结果用于表示四元组信息是否与地址规则信息中的任意一个信息相匹配。换言之，本发明的较佳的实施例中，上述第二类匹配操作可以为模糊匹配操作。

则本发明的较佳的实施例中，上述第二匹配单元B1将用于表示四元组信息无法与地址规则信息一一匹配的第一类匹配结果作为用于表示匹配失败的第二匹配结果输出；

上述第二匹配单元B1将用于表示四元组信息与地址规则信息中的任意一个信息相匹配的第二类匹配结果作为用于表示匹配成功的第二匹配结果输出；

上述第二匹配单元B1将用于表示四元组信息不与地址规则信息中的任意一个信息相匹配的第二类匹配结果作为用于表示匹配失败的第二匹配结果输出。

综上所述，本发明的较佳的实施例中，上述图9中所示的第二匹配单元B1，其对应的为精确匹配操作。上述图10中所示的第二匹配单元B1，其对应的为先执行精确匹配操作，随后执行模糊匹配操作。

本发明的较佳的实施例中，如图11所示，每个交换机A中的上传单元A3中包括：

初始化模块A31，用于初始化对应交换机的开放流通道；

上传模块A32，连接初始化模块A31，用于通过开放流通道，将属性信息上传至控制器。

本发明的较佳的实施例中，如上文中所述，上述控制器B基于软件定义(SDN)网络工作。

以上仅为本发明较佳的实施例，并非因此限制本发明的实施方式及保护范围，对于本领域技术人员而言，应当能够意识到凡运用本发明说明书及图示内容所作出的等同替换和显而易见的变化所得到的方案，均应当包含在本发明的保护范围内。

Claims (18)

1.一种数据报文转发控制方法，适用于基于软件定义网络工作的交换机；其特征在于，多个所述交换机均连接一控制器；

每个所述交换机分别向所述控制器上传相应的属性信息，则所述控制器根据所述属性信息，分别形成关联于每个所述交换机的访问策略信息，还包括下述步骤：

步骤S1，所述交换机接收需要转发的数据报文，并将所述数据报文与预置的转发流表进行匹配：

若匹配成功，则根据所述转发流表转发所述数据报文，随后返回所述步骤S1；

步骤S2，所述交换机将所述数据报文上传至所述控制器；

步骤S3，所述控制器将所述数据报文与对应所述交换机的所述访问策略信息进行匹配：

若匹配失败，则所述控制器丢弃所述数据报文，随后返回所述步骤S1；

步骤S4，所述控制器根据所述访问策略信息生成相应的所述转发流表并下发至相应的所述交换机，以供所述交换机根据下发的所述转发流表对所述数据报文进行转发操作，随后返回所述步骤S1。

2.如权利要求1所述的数据报文转发控制方法，其特征在于，所述属性信息包括：

对应每个所述交换机的物理地址信息；以及

对应每个所述交换机的转发端口信息。

3.如权利要求1所述的数据报文转发控制方法，其特征在于，每个所述交换机分别向所述控制器发送用于指示所述属性信息的Experimenter报文，以供所述控制器形成相应的所述访问策略信息。

4.如权利要求1所述的数据报文转发控制方法，其特征在于，对应每个所述交换机的所述访问策略信息中包括：

对应所述交换机的编号；以及

对应所述交换机的转发端口的编号；以及

对应所述转发端口的地址规则信息。

5.如权利要求4所述的数据报文转发控制方法，其特征在于，所述地址规则信息中包括：

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源IP地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的IP地址的信息。

6.如权利要求5所述的数据报文转发控制方法，其特征在于，所述步骤S4包括：

步骤S41a，所述控制器提取接收到的所述数据报文中关联于转发地址的四元组信息；

步骤S42a，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作：

若无法找到一一对应匹配于所述地址规则信息的所述四元组信息，则所述控制器丢弃所述数据报文，并返回所述步骤S1；

步骤S43a，所述控制器根据所述访问策略信息形成相应的所述转发流表并下发到相应的所述交换机中；

步骤S44a，接收所述转发流表的所述交换机根据下发的所述转发流表将所述数据报文通过相应的所述转发端口进行转发，随后返回所述步骤S1。

7.如权利要求5所述的数据报文转发控制方法，其特征在于，所述步骤S4包括：

步骤S41b，所述控制器提取接收到的所述数据报文中关联于转发地址的四元组信息；

步骤S42b，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作：

若找到一一对应匹配于所述四元组信息的所述地址规则信息，则转至步骤S44b；

步骤S43b，所述控制器将提取到的所述四元组信息与所述地址规则信息进行第二类匹配操作：

若所述四元组信息不与所述地址规则信息中的任意一个信息相匹配，则所述控制器丢弃所述数据报文，随后返回所述步骤S1；

步骤S44b，所述控制器根据所述访问策略信息形成相应的所述转发流表并下发到相应的所述交换机中；

步骤S45b，接收所述转发流表的所述交换机根据下发的所述转发流表将所述数据报文通过相应的所述转发端口进行转发，随后返回所述步骤S1。

8.如权利要求1所述的数据报文转发控制方法，其特征在于，每个所述交换机依照下述步骤向所述控制器上传所述属性信息：

步骤A1，所述交换机初始化对应的开放流通道；

步骤A2，所述交换机通过所述开放流通道，将所述属性信息上传至所述控制器。

9.如权利要求1所述的数据报文转发控制方法，其特征在于，所述控制器基于软件定义网络工作。

10.一种数据报文转发控制系统，适用于基于软件定义网络工作的交换机；其特征在于，多个所述交换机均连接一控制器，每个所述交换机分别向所述控制器上传相应的属性信息，则所述控制器根据所述属性信息，分别形成关联于每个所述交换机的访问策略信息；

则每个所述交换机中包括：

第一匹配单元，用于接收需要转发的数据报文，并将所述数据报文与预置的转发流表进行匹配，输出相应的第一匹配结果；

转发单元，连接所述第一匹配单元，用于根据所述第一匹配结果，在所述数据报文与所述转发流表相匹配时根据所述转发流表对所述数据报文进行转发；

上传单元，连接所述第一匹配单元，用于根据所述匹配结果，在所述数据报文与所述转发流表不匹配时将所述数据报文上传至所述控制器；

所述控制器中包括：

第二匹配单元，用于将上传的所述数据报文与对应所述交换机的所述访问策略信息进行匹配，并输出相应的第二匹配结果；

第一处理单元，连接所述第二匹配单元，用于根据所述第二匹配结果，在匹配成功时根据所述访问策略信息生成相应的所述转发流表并下发至相应的所述交换机，以供所述交换机的所述转发单元根据下发的所述转发流表对所述数据报文进行转发操作；

第二处理单元，连接所述第二匹配单元，用于根据所述第二匹配结果，在匹配失败时丢弃所述数据报文。

11.如权利要求10所述的数据报文转发控制系统，其特征在于，所述属性信息包括：

对应每个所述交换机的物理地址信息；以及

对应每个所述交换机的转发端口信息。

12.如权利要求10所述的数据报文转发控制系统，其特征在于，每个所述交换机分别向所述控制器发送用于指示所述属性信息的Experimenter报文，以供所述控制器形成相应的所述访问策略信息。

13.如权利要求10所述的数据报文转发控制系统，其特征在于，对应每个所述交换机的所述访问策略信息中包括：

对应所述交换机的编号；以及

对应所述交换机的转发端口的编号；以及

对应所述转发端口的地址规则信息。

14.如权利要求10所述的数据报文转发控制系统，其特征在于，所述地址规则信息中包括：

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的物理地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的源IP地址的信息；和/或

用于指示适于在对应的所述交换机的所述转发端口进行转发的所述数据报文的目的IP地址的信息。

15.如权利要求10所述的数据报文转发控制系统，其特征在于，所述第二匹配单元中包括：

提取模块，用于提取接收到的所述数据报文中关联于转发地址的四元组信息；

第一类匹配模块，连接所述提取模块，用于将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

所述第一类匹配结果用于表示所述四元组信息是否与所述地址规则信息一一匹配；

所述第二匹配单元将用于表示所述四元组信息是否与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配成功的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息无法与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配失败的所述第二匹配结果输出。

16.如权利要求10所述的数据报文转发控制系统，其特征在于，所述第二匹配单元中包括：

提取模块，用于提取接收到的所述数据报文中关联于转发地址的四元组信息；

第一类匹配模块，连接所述提取模块，用于将提取到的所述四元组信息与所述地址规则信息进行第一类匹配操作，并输出相应的第一类匹配结果；

所述第一类匹配结果用于表示所述四元组信息是否与所述地址规则信息一一匹配；

第二类匹配模块，分别连接所述提取模块和所述第一类匹配模块，用于根据所述第一类匹配结果，在所述四元组信息与所述地址规则信息无法一一匹配时，将提取到的所述四元组信息与所述地址规则信息进行第二类匹配操作，并输出相应的第二类匹配结果；

所述第二类匹配结果用于表示所述四元组信息是否与所述地址规则信息中的任意一个信息相匹配；

所述第二匹配单元将用于表示所述四元组信息无法与所述地址规则信息一一匹配的所述第一类匹配结果作为用于表示匹配失败的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息与所述地址规则信息中的任意一个信息相匹配的所述第二类匹配结果作为用于表示匹配成功的所述第二匹配结果输出；

所述第二匹配单元将用于表示所述四元组信息不与所述地址规则信息中的任意一个信息相匹配的所述第二类匹配结果作为用于表示匹配失败的所述第二匹配结果输出。

17.如权利要求10所述的数据报文转发控制系统，其特征在于，所述上传单元中包括：

初始化模块，用于初始化对应所述交换机的开放流通道；

上传模块，连接所述初始化模块，用于通过所述开放流通道，将所述属性信息上传至所述控制器。

18.如权利要求10所述的数据报文转发控制系统，其特征在于，所述控制器基于软件定义网络工作。