CN105591953B - 一种OpenFlow实例的实现方法和装置 - Google Patents

Abstract

本发明提供一种OpenFlow实例的实现方法和装置，该方法包括：网络设备创建OpenFlow实例，为所述OpenFlow实例绑定安全域；针对待加入到所述OpenFlow实例的端口，网络设备将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中。通过本发明的技术方案，匹配工作量很小，减轻网络设备的处理负担，提高网络设备的处理效率，屏蔽不同OpenFlow实例下的流表的互相影响，便于不同业务的管理，增强用户体验。

Description

一种OpenFlow实例的实现方法和装置

技术领域

本发明涉及通信领域，尤其涉及一种OpenFlow实例的实现方法和装置。

背景技术

OpenFlow(开源流)是一种新型网络创新架构，其核心思想是将网络设备的控制层面与数据平面分离，以实现对网络流量的灵活控制，并为核心网络以及应用的创新提供良好的平台。在OpenFlow网络中，由OpenFlow控制器和网络设备(如OpenFlow交换机等)组成。OpenFlow控制器是网络控制中心，根据用户配置或者动态运行的协议生成流表，并将流表下发给网络设备。网络设备基于OpenFlow控制器下发的流表，对报文进行相关处理。

针对网络设备上的不同业务，OpenFlow控制器向网络设备下发不同的流表。当网络设备需要处理大量业务时，OpenFlow控制器会向网络设备下发大量流表。网络设备在收到报文时，需要将报文与每个流表进行匹配，匹配工作量很大，导致网络设备的处理负担增加，并降低网络设备的处理效率。

发明内容

本发明提供一种OpenFlow实例的实现方法，所述方法包括：

网络设备创建OpenFlow实例，并为所述OpenFlow实例绑定安全域；

针对待加入到所述OpenFlow实例的端口，所述网络设备将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中。

本发明提供一种OpenFlow实例的实现装置，所述OpenFlow实例的实现装置应用在网络设备上，所述OpenFlow实例的实现装置具体包括：

创建模块，用于创建OpenFlow实例；

绑定模块，用于为所述OpenFlow实例绑定安全域；

处理模块，用于针对待加入到所述OpenFlow实例的端口，将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中。

基于上述技术方案，本发明实施例中，通过在网络设备上创建OpenFlow实例，当网络设备需要处理大量业务时，OpenFlow控制器向网络设备下发的流表可以针对不同的OpenFlow实例。网络设备在接收到报文时，只需要将报文与相应的OpenFlow实例下的流表进行匹配，匹配工作量很小，减轻网络设备的处理负担，提高网络设备的处理效率，而且屏蔽了不同OpenFlow实例下的流表的互相影响，便于不同业务的管理，增强用户体验。进一步的，通过为OpenFlow实例绑定安全域，将多个端口加入到该安全域中，并将这多个端口加入到该OpenFlow实例中，使得这多个端口对应于相同的安全域，并对应于相同的OpenFlow实例，从而使得这多个端口之间可以互通。

附图说明

图1是本发明一种实施方式中的OpenFlow实例的实现方法的流程图；

图2是本发明一种实施方式中的网络设备的硬件结构图；

图3是本发明一种实施方式中的OpenFlow实例的实现装置的结构图。

具体实施方式

针对现有技术中存在的问题，本发明实施例中提出一种OpenFlow实例的实现方法，该方法应用于包括网络设备和OpenFlow控制器的OpenFlow网络中。如图1所示，该OpenFlow实例的实现方法具体可以包括以下步骤：

步骤101，网络设备创建OpenFlow实例，并为OpenFlow实例绑定安全域。其中，网络设备创建的OpenFlow实例可以为一个或多个OpenFlow实例。

本发明实施例中，针对网络设备创建的多个OpenFlow实例，网络设备为OpenFlow实例绑定安全域的过程，具体可以包括但不限于如下方式：网络设备为多个OpenFlow实例中的每个OpenFlow实例绑定唯一的一个安全域，基于此，则网络设备为不同的OpenFlow实例绑定的安全域不同。

本发明实施例中，网络设备为OpenFlow实例绑定安全域的过程，具体可以包括但不限于如下方式：网络设备接收用户下发的配置命令，该配置命令中携带了OpenFlow实例与安全域之间的绑定关系，基于此绑定关系，网络设备为OpenFlow实例绑定安全域。例如，当配置命令中携带OpenFlow实例1与安全域1之间的绑定关系时，则为OpenFlow实例1绑定安全域1。

针对网络设备创建的多个OpenFlow实例，可以基于多个配置命令来携带多个OpenFlow实例与多个安全域之间的绑定关系，也可以基于一个配置命令来携带多个OpenFlow实例与多个安全域之间的绑定关系。

例如，网络设备接收用户下发的配置命令1和配置命令2，该配置命令1中携带OpenFlow实例1与安全域1之间的绑定关系，该配置命令2中携带OpenFlow实例2与安全域2之间的绑定关系，因此，网络设备为OpenFlow实例1绑定安全域1，并为OpenFlow实例2绑定安全域2。

又例如，网络设备只接收用户下发的一个配置命令，该配置命令中携带了OpenFlow实例1与安全域1之间的绑定关系，并携带了OpenFlow实例2与安全域2之间的绑定关系，因此，网络设备可以为OpenFlow实例1绑定安全域1，并可以为OpenFlow实例2绑定安全域2。

又例如，网络设备只接收用户下发的一个配置命令，该配置命令中携带了OpenFlow实例1、OpenFlow实例2、安全域1和安全域2。基于此，网络设备为OpenFlow实例1绑定安全域1，并为OpenFlow实例2绑定安全域2；或者，为OpenFlow实例2绑定安全域1，为OpenFlow实例1绑定安全域2。

步骤102，针对待加入到OpenFlow实例的端口，网络设备将该端口加入到该OpenFlow实例绑定的安全域中，并将该端口加入到该OpenFlow实例中。

本发明实施例中，针对每个待加入到OpenFlow实例的端口，网络设备不是直接将该端口加入到OpenFlow实例，而是确定该OpenFlow实例绑定的安全域，将该端口加入到该OpenFlow实例绑定的安全域中，使得该端口属于绑定该安全域的OpenFlow实例，并将该端口加入到该OpenFlow实例中。

本发明实施例中，报文在属于同一个安全域的端口之间转发时，默认可通过，报文在属于不同安全域的端口之间转发时，默认不通过。基于此，网络设备在将各端口加入到安全域中之后，则网络设备在接收到报文时，确定该网络设备上接收到该报文的端口，并确定该端口对应的安全域。当需要通过其它端口转发该报文时，网络设备确定该其它端口对应的安全域。基于此，当该端口对应的安全域与该其它端口对应的安全域相同时，则网络设备允许通过该其它端口转发该报文；当该端口对应的安全域与该其它端口对应的安全域不同时，则网络设备不允许通过该其它端口转发该报文。

在一种实现方式中，网络设备创建多个OpenFlow实例，并直接将待加入到OpenFlow实例的端口，加入到该OpenFlow实例中。例如，网络设备上存在端口1-端口8，如果需要从端口1-端口4进入的报文匹配OpenFlow实例1的流表，从端口5-端口8进入的报文匹配OpenFlow实例2的流表，则网络设备创建OpenFlow实例1和OpenFlow实例2，将待加入到OpenFlow实例1的端口1-端口4，加入到OpenFlow实例1，将待加入到OpenFlow实例2的端口5-端口8，加入到OpenFlow实例2。但是，如果所有端口均加入了相应的安全域，则上述方式将导致报文转发异常。例如，端口1和端口5均加入到安全域1，从端口1接收到报文时，该报文应该可以从端口5转发出去。但是，由于端口1和端口5属于不同的OpenFlow实例，因此从端口1接收到报文时，该报文不会从端口5转发出去，从而导致报文转发异常。

在另一实现方式中，网络设备创建多个OpenFlow实例，为每个OpenFlow实例绑定多个IP地址，当有端口配置被绑定的IP地址后，将该端口加入到绑定该IP地址的OpenFlow实例。例如，网络设备上存在端口1-端口8，如果需要从端口1-端口4进入的报文匹配OpenFlow实例1的流表，从端口5-端口8进入的报文匹配OpenFlow实例2的流表，网络设备创建OpenFlow实例1和OpenFlow实例2，在OpenFlow实例1绑定11.11.11.1/24-11.11.14.1/24，在OpenFlow实例2绑定10.10.7.1/24-10.10.10.1/24。基于此，为端口1配置11.11.11.1/24，使得端口1加入到绑定11.11.11.1/24的OpenFlow实例1。为端口2配置11.11.12.1/24，使得端口2加入到绑定11.11.12.1/24的OpenFlow实例1。为端口3配置11.11.13.1/24，使得端口3加入到绑定11.11.13.1/24的OpenFlow实例1。为端口4配置11.11.14.1/24，使得端口4加入到绑定11.11.14.1/24的OpenFlow实例1。为端口5配置10.10.7.1/24，使得端口5加入到绑定10.10.7.1/24的OpenFlow实例2。为端口6配置10.10.8.1/24，使得端口6加入到绑定10.10.8.1/24的OpenFlow实例2。为端口7配置10.10.9.1/24，使得端口7加入到绑定10.10.9.1/24的OpenFlow实例2。为端口8配置10.10.10.1/24，使得端口8加入到绑定10.10.10.1/24的OpenFlow实例2。但是，如果所有端口均加入了相应的安全域，则上述方式将导致报文转发异常。例如，端口1和端口5均加入到安全域1，从端口1接收到报文时，该报文应该可以从端口5转发出去。但是，由于端口1和端口5属于不同的OpenFlow实例(OpenFlow实例1和OpenFlow实例2)，因此从端口1接收到报文时，该报文不会从端口5转发出去，从而导致报文转发异常。

基于上述发现，本发明实施例中，通过安全域来划分OpenFlow实例，即为不同的OpenFlow实例绑定不同的安全域，并将待加入到OpenFlow实例的端口，加入到该OpenFlow实例绑定的安全域中，使得该端口属于绑定该安全域的OpenFlow实例，并将该端口加入到该OpenFlow实例中。例如，网络设备上存在端口1-端口8，如果需要将从端口1-端口4进入的报文匹配OpenFlow实例1的流表，将从端口5-端口8进入的报文匹配OpenFlow实例2的流表，则网络设备创建OpenFlow实例1和OpenFlow实例2，在OpenFlow实例1绑定安全域1，并在OpenFlow实例2绑定安全域2。基于此，将端口1-端口4加入到安全域1中，使得待加入到OpenFlow实例1的端口1-端口4，加入到OpenFlow实例1。将端口5-端口8加入到安全域2中，使得待加入到OpenFlow实例2的端口5-端口8，加入到OpenFlow实例2。

基于此方式，加入到同一安全域的不同端口，只会属于同一个OpenFlow实例，不会属于不同的OpenFlow实例，因此该方式不会导致报文转发异常。例如，端口1和端口2均加入到安全域1，从端口1接收到报文时，该报文应该可以从端口2转发出去。由于端口1和端口2属于相同的OpenFlow实例，因此从端口1接收到报文时，该报文可以从端口2转发出去。

本发明实施例中，网络设备在将端口加入到OpenFlow实例中之后，针对网络设备创建的每个OpenFlow实例，OpenFlow控制器可以针对OpenFlow实例向网络设备下发流表。网络设备可以接收OpenFlow控制器下发的针对OpenFlow实例的流表，利用该流表对针对该OpenFlow实例的报文进行处理。

网络设备利用流表对针对OpenFlow实例的报文进行处理的过程，具体可以包括但不限于如下方式：网络设备在接收到报文时，确定本网络设备上接收到该报文的端口，并确定该端口对应的OpenFlow实例以及该OpenFlow实例对应的流表，并利用该OpenFlow实例对应的流表对该报文进行处理。

例如，针对网络设备创建的OpenFlow实例1，OpenFlow控制器向网络设备下发针对OpenFlow实例1的流表1和流表2，网络设备接收OpenFlow控制器下发的针对OpenFlow实例1的流表1和流表2。针对网络设备创建的OpenFlow实例2，OpenFlow控制器向网络设备下发针对OpenFlow实例2的流表3和流表4，网络设备接收OpenFlow控制器下发的针对OpenFlow实例2的流表3和流表4。网络设备在接收到报文时，如果接收到该报文的端口为端口1-端口4中的任意一个端口，网络设备确定该端口对应的OpenFlow实例为OpenFlow实例1，并确定OpenFlow实例1对应的流表为流表1和流表2，基于此，网络设备只需要利用流表1和流表2对该报文进行处理，而不需要利用流表3和流表4对该报文进行处理，对该报文进行处理的过程不再赘述。网络设备在接收到报文时，如果接收到该报文的端口为端口5-端口8中的任意一个端口，网络设备确定该端口对应的OpenFlow实例为OpenFlow实例2，并确定OpenFlow实例2对应的流表为流表3和流表4，基于此，网络设备只需要利用流表3和流表4对该报文进行处理，而不需要利用流表1和流表2对该报文进行处理，对该报文进行处理的过程不再赘述。

基于上述技术方案，本发明实施例中，通过在网络设备上创建OpenFlow实例，当网络设备需要处理大量业务时，OpenFlow控制器向网络设备下发的流表可以针对不同的OpenFlow实例。网络设备在接收到报文时，只需要将报文与相应的OpenFlow实例下的流表进行匹配，匹配工作量很小，减轻网络设备的处理负担，提高网络设备的处理效率，而且屏蔽了不同OpenFlow实例下的流表的互相影响，便于不同业务的管理，增强用户体验。进一步的，通过为OpenFlow实例绑定安全域，将多个端口加入到该安全域中，并将这多个端口加入到该OpenFlow实例中，使得这多个端口对应于相同的安全域，并对应于相同的OpenFlow实例，从而使得这多个端口之间可以互通。

基于与上述方法同样的发明构思，本发明实施例中还提供一种OpenFlow实例的实现装置，该OpenFlow实例的实现装置应用在网络设备上。其中，OpenFlow实例的实现装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的网络设备的处理器，将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本发明提出的OpenFlow实例的实现装置所在的网络设备的一种硬件结构图，除了图2所示的处理器、网络接口、内存以及非易失性存储器外，网络设备还可以包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该网络设备还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

如图3所示，为本发明提出的OpenFlow实例的实现装置的结构图，所述OpenFlow实例的实现装置具体可以包括：

创建模块11，用于创建OpenFlow实例；

绑定模块12，用于为所述OpenFlow实例绑定安全域；

处理模块13，用于针对待加入到所述OpenFlow实例的端口，将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中。

所述绑定模块12，具体用于针对所述创建模块11创建的多个OpenFlow实例，为所述多个OpenFlow实例中的每个OpenFlow实例绑定唯一的一个安全域，其中，所述绑定模块为不同的OpenFlow实例绑定的安全域不同。

所述处理模块13，还用于在将所述端口加入到所述OpenFlow实例中之后，接收OpenFlow控制器下发的针对所述OpenFlow实例的流表，并利用所述流表对针对所述OpenFlow实例的报文进行处理。

所述处理模块13，还用于在利用所述流表对针对所述OpenFlow实例的报文进行处理的过程中，在接收到报文时，确定网络设备上接收到所述报文的端口，并确定所述端口对应的OpenFlow实例、以及所述OpenFlow实例对应的流表，并利用所述OpenFlow实例对应的流表对所述报文进行处理。

所述处理模块13，还用于在将所述端口加入到所述安全域中后，在接收到报文时，确定网络设备上接收到所述报文的端口，确定所述端口对应的安全域；当需要通过其它端口转发所述报文时，确定所述其它端口对应的安全域；当所述端口对应的安全域与所述其它端口对应的安全域相同时，则允许通过所述其它端口转发所述报文；当所述端口对应的安全域与所述其它端口对应的安全域不同时，则不允许通过所述其它端口转发所述报文。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (6)

1.一种OpenFlow实例的实现方法，其特征在于，所述方法包括：

网络设备创建OpenFlow实例，并为所述OpenFlow实例绑定安全域；

针对待加入到所述OpenFlow实例的端口，所述网络设备将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中；

所述网络设备接收OpenFlow控制器下发的针对OpenFlow实例的流表；

所述网络设备利用所述流表对针对所述OpenFlow实例的报文进行处理；

其中，针对网络设备创建的多个OpenFlow实例，所述网络设备为所述OpenFlow实例绑定安全域，具体包括：

所述网络设备为所述多个OpenFlow实例中的每个OpenFlow实例绑定唯一的一个安全域，其中，为不同的OpenFlow实例绑定的安全域不同。

2.根据权利要求1所述的方法，其特征在于，所述网络设备利用所述流表对针对所述OpenFlow实例的报文进行处理的过程，具体包括：

所述网络设备在接收到报文时，确定所述网络设备上接收到所述报文的端口，并确定所述端口对应的OpenFlow实例、以及所述OpenFlow实例对应的流表，并利用所述OpenFlow实例对应的流表对所述报文进行处理。

3.根据权利要求1所述的方法，其特征在于，所述网络设备将所述端口加入到所述安全域中之后，所述方法进一步包括：

所述网络设备在接收到报文时，确定所述网络设备上接收到所述报文的端口，并确定所述端口对应的安全域；当需要通过其它端口转发所述报文时，所述网络设备确定所述其它端口对应的安全域；

当所述端口对应的安全域与所述其它端口对应的安全域相同时，则所述网络设备允许通过所述其它端口转发所述报文；

当所述端口对应的安全域与所述其它端口对应的安全域不同时，则所述网络设备不允许通过所述其它端口转发所述报文。

4.一种OpenFlow实例的实现装置，其特征在于，所述OpenFlow实例的实现装置应用在网络设备上，所述OpenFlow实例的实现装置具体包括：

创建模块，用于创建OpenFlow实例；

绑定模块，用于为所述OpenFlow实例绑定安全域；

处理模块，用于针对待加入到所述OpenFlow实例的端口，将所述端口加入到所述安全域中，并将所述端口加入到所述OpenFlow实例中；

所述绑定模块，具体用于针对所述创建模块创建的多个OpenFlow实例，为所述多个OpenFlow实例中的每个OpenFlow实例绑定唯一的一个安全域，其中，所述绑定模块为不同的OpenFlow实例绑定的安全域不同；

所述处理模块，还用于在将所述端口加入到所述OpenFlow实例中之后，接收OpenFlow控制器下发的针对所述OpenFlow实例的流表，并利用所述流表对针对所述OpenFlow实例的报文进行处理。

5.根据权利要求4所述的装置，其特征在于，

所述处理模块，还用于在利用所述流表对针对所述OpenFlow实例的报文进行处理的过程中，在接收到报文时，确定网络设备上接收到所述报文的端口，并确定所述端口对应的OpenFlow实例、以及所述OpenFlow实例对应的流表，并利用所述OpenFlow实例对应的流表对所述报文进行处理。

6.根据权利要求4所述的装置，其特征在于，

所述处理模块，还用于在将所述端口加入到所述安全域中后，在接收到报文时，确定网络设备上接收到所述报文的端口，确定所述端口对应的安全域；当需要通过其它端口转发所述报文时，确定所述其它端口对应的安全域；

当所述端口对应的安全域与所述其它端口对应的安全域相同时，则允许通过所述其它端口转发所述报文；

当所述端口对应的安全域与所述其它端口对应的安全域不同时，则不允许通过所述其它端口转发所述报文。