CN105681102A - 一种基于sdn的行为策略方法和系统 - Google Patents

Abstract

本发明实施例提供一种基于SDN的行为策略方法和系统，其中方法包括：控制器配置全网的行为策略；接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；接收交换机上报的未匹配流表的报文，所述报文包括报文MAC地址和特征码；根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。本发明实施例通过控制器集中配置，实现链路资源的网络流量优化。

Description

一种基于SDN的行为策略方法和系统

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种基于SDN(SoftwareDefinedNetwork，软件定义网络)的行为策略方法和系统。

背景技术

随着计算机、宽带技术的迅速发展，网络办公日益流行，互联网已经成为人们工作、生活、学习过程中不可或缺、便捷高效的工具。但是，伴随网络的快速发展，互联网成为企业发展不可缺少的工具，同时互联网在为企业创造效益的同时，也起到了一定的负面效果，例如：在享受着电脑办公和互联网带来的便捷同时，员工非工作上网现象越来越突出，企业普遍存在着电脑和互联网络滥用的严重问题。网上购物、在线聊天、在线欣赏音乐和电影、P2P工具下载等与工作无关的行为占用了有限的带宽，严重影响了正常的工作效率。

图1是现有技术的企业网络组网示意图，如图1所示，通常都是路由加交换机的组网形态，连接用户的通信网络通过网关连接到电信设备，能够满足企业的基本互联网络需求；也有部分企业采用专业的企业防火墙设备来保护企业的内部安全，防范外部攻击，同时进行人员基本的上网控制功能。

但是，传统的行为策略只是基于网关节点配置行为策略，不是端对端的和全网的策略，因此会出现不一致，面对需要解决企业网络安全，文档信息保护，高效利用网络带宽，管理员工上网，管理员工的工作情况等现实问题，往往达不到预期效果。

发明内容

本发明实施例提供一种基于SDN的行为策略方法和系统，通过控制器集中配置，实现链路资源的网络流量优化。

本发明实施例提供一种基于SDN的行为策略方法，包括：控制器配置全网的行为策略；接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；接收交换机上报的未匹配流表的报文，所述报文包括报文MAC地址和特征码；根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

进一步地，所述行为策略包括用户禁止功能和网站黑名单功能；所述用户禁止功能包括用户禁止开关选项和用户禁止范围，其中，用户禁止范围采用IP地址段范围；用户禁止开关选项表示用户禁止范围的IP地址段对应的用户是否允许访问互联网；所述网站黑名单功能包括网站黑名单开关选项和网站黑名单，其中，网站黑名单采用网站的统一资源定位器地址；网站黑名单开关选项表示内网用户是否允许访问网站黑名单中的网站。

进一步地，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体包括：控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；控制器根据所述交换机的MAC地址信息，采用链路层发现协议计算网络拓扑。

进一步地，所述控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，具体包括：所述控制器从交换机上报的未匹配流表的报文中获取报文MAC地址和特征码；控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器判断所述报文的类型，如果所述报文不是超文本传输协议报文，所述报文的特征码为源IP地址，则根据所述报文的源IP地址匹配行为策略；如果所述报文是超文本传输协议报文，所述报文的特征码为统一资源定位器地址，则根据所述报文的统一资源定位器地址匹配行为策略。

进一步地，所述在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发，具体包括：若所述报文不是超文本传输协议报文，根据所述报文的源IP地址查询行为策略中的用户禁止功能，如果所述报文的源IP地址在户禁止选项为不允许访问互联网且源IP地址在用户禁止范围内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果用户禁止选项为允许访问互联网，或者用户禁止选项为不允许访问互联网但所述报文的源IP地址不在用户禁止范围内，则所述控制器在转发路径上下发流表，允许所述报文转发；若所述报文是超文本传输协议报文，根据所述报文的URL地址查询网站黑名单功能，如果网站黑名单开关选项为不允许访问网站黑名单中的网站且所述报文的URL地址在网站黑名单内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果网站黑名单开关为允许访问网站黑名单中的网站，或者网站黑名单开关选项为不允许访问网站黑名单中的网站但所述报文的URL地址不在网站黑名单内，则所述控制器在转发路径上下发流表，允许所述报文转发。

本发明还提供了一种基于SDN的行为策略系统，包括：交换机，用于向控制器上报MAC地址信息，以及向控制器上报未匹配流表的报文，所述报文包括报文MAC地址和特征码；控制器，用于配置全网的行为策略；当接收到交换机的MAC地址信息后，根据所述交换机的MAC地址信息计算网络拓扑；当接收到交换机的未匹配流表的报文后，根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

进一步地，所述行为策略包括用户禁止功能和网站黑名单功能；所述用户禁止功能包括用户禁止开关选项和用户禁止范围，其中，用户禁止范围采用IP地址段范围；用户禁止开关选项表示用户禁止范围的IP地址段对应的用户是否允许访问互联网；所述网站黑名单功能包括网站黑名单开关选项和网站黑名单，其中，网站黑名单采用网站的统一资源定位器地址；网站黑名单开关选项表示内网用户是否允许访问网站黑名单中的网站。

进一步地，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体为：控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；控制器根据所述交换机的MAC地址信息，采用链路层发现协议计算网络拓扑。

进一步地，所述控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，具体为：所述控制器从交换机上报的未匹配流表的报文中获取报文MAC地址和特征码；控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；控制器判断所述报文的类型，如果所述报文不是超文本传输协议报文，所述报文的特征码为源IP地址，则根据所述报文的源IP地址匹配行为策略；如果所述报文是超文本传输协议报文，所述报文的特征码为统一资源定位器地址，则根据所述报文的统一资源定位器地址匹配行为策略。

进一步地，所述控制器在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发，具体为：若所述报文不是超文本传输协议报文，根据所述报文的源IP地址查询行为策略中的用户禁止功能，如果用户禁止选项为不允许访问互联网且所述报文的源IP地址在用户禁止范围内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果用户禁止选项为允许访问互联网，或者用户禁止选项为不允许访问互联网但所述报文的源IP地址不在用户禁止范围内，则所述控制器在转发路径上下发流表，允许所述报文转发；若所述报文是超文本传输协议报文，根据所述报文的URL地址查询网站黑名单功能，如果网站黑名单开关选项为不允许访问网站黑名单中的网站且所述报文的URL地址在网站黑名单内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果网站黑名单开关为允许访问网站黑名单中的网站，或者网站黑名单开关选项为不允许访问网站黑名单中的网站但所述报文的URL地址不在网站黑名单内，则所述控制器在转发路径上下发流表，允许所述报文转发。

本发明实施例基于SDN架构，采用的控制器集中配置，实现了端对端和全网的配置行为策略，将充分利用全网的链路资源做到最优的网络流量优化。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术的企业网络组网示意图；

图2为本发明实施例中基于SDN的行为策略系统的架构示意图；

图3为本发明实施例中基于SDN的行为策略方法的流程示意图；

图4为本发明实施例中的私有二层报文的格式示意图；

图5为本发明实施例中根据特征码匹配行为策略的流程示意图；

图6为本发明实施例一中基于SDN的行为策略的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

SDN是一种新型的网络架构，其可以通过OpenFlow(开放流)技术将网络设备的控制面与数据面进行分离，从而实现对网络流量的灵活控制。在SDN中，包含实现控制面功能的控制器和若干实现数据面功能的交换机。

图2为本发明实施例中企业网络组网示意图。如图2所示，本发明实施例基于SDN架构，提供集中的全网行为策略，即控制器根据用户的需求，集中配置行为策略，通过下流表的方式，下发到各个交换机。因此，本发明实施例基于SDN架构，采用的控制器集中配置，实现了端对端和全网的配置行为策略，将充分利用全网的链路资源做到最优的网络流量优化。

图3为本发明实施例中基于SDN的行为策略方法的流程示意图。如图3所示，该方法应用于SDN中，所述SDN中包括交换机和控制器，该方法包括：

步骤S31，控制器配置全网的行为策略，其中所述行为策略包括用户禁止功能和网站黑名单功能。

在本步骤中，本发明的控制器支持基于SDN的行为策略配置任务序列，如表1所示。

表1

控制器配置全网的行为策略，该行为策略包括用户禁止功能和网站黑名单功能，用户禁止功能包括用户禁止开关选项和用户禁止范围，其中通过内网商业安全组的形式指定用户禁止范围，例如采用IP地址段范围作为用户禁止范围；用户禁止开关选项打开表示用户禁止范围的用户不允许访问互联网，用户禁止关闭表示用户禁止范围的用户允许访问互联网，缺省值可以设置为用户禁止开关选项打开以在通常情况下不允许用户禁止范围的用户访问互联网。网站黑名单功能包括网站黑名单开关选项和网站黑名单，其中通过输入网站的URL(UniformResoureLocator，统一资源定位器)地址，将网站加入到网站黑名单；黑名单开关选项打开表示禁止内网用户访问网站黑名单中的网站，黑名单开关选项关闭表示允许内网用户访问网站黑名单中的网站，缺省值可以设置为缺省值可以设置为黑名单开关选项打开以在通常情况下不允许内网用户访问网站黑名单中的网站。

步骤S32，控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑。

在本步骤中，SDN中的交换机向控制器上报MAC地址信息，该MAC地址信息携带在交换机向控制器发送的私有二层报文中。

相较于现有技术，交换机向控制器发送的私有二层报文进行了扩展，该私有二层报文可以为私有扩展的Experimenter报文，其格式如图4所示，Experimenter值为255需要向ONF组织申请；Experimentertype值为1表明是从交换机到控制器，Experimentertype值为0表明是从控制器到交换机；此外，在本发明实施例中的私有扩展的Experimenter报文中，增加了MAC地址信息，其中，交换机自己的MAC地址(OwnMACAddress)作为交换机的标识符，交换机的端口ID(Portid)表明SDN交换机的交换端口，MAC地址(MACaddress)是该交换端口下学习到MACaddress。

控制器根据交换机自己的MAC地址，交换机的端口ID，和该交换端口下学习到MACaddress，采用链路层发现协议(LLDP，LinkLayerDiscoveryProtocol)计算网络拓扑。

步骤S33，控制器接收交换机上报的未匹配流表的报文，所述报文包括报文MAC地址和特征码。

在本步骤中，SDN中的交换机向控制器上报未匹配流表的报文，该报文中包括报文MAC地址和特征码，该特征码可以是报文的IP地址或者是报文的URL地址。

步骤S34，控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

在本步骤中，控制器接收报文，判断报文类型。

如果报文不是HTTP(HyperTextTransferProtocol，超文本传输协议)报文，如图5所示，根据报文的源IP地址查询行为策略中的用户禁止功能，如果匹配，例如当前用户禁止选项打开且源IP地址在用户禁止范围内，则说明源IP地址为禁止用户，因此控制器在转发路径上下发流表，禁止此报文转发；如果不匹配，例如当前用户禁止选项关闭，或者当前用户禁止选项打开但源IP地址不在用户禁止范围内，则说明源IP地址不是禁止用户，此控制器在转发路径上下发流表，允许此报文转发。

如果报文是HTTP报文，如图5所示，根据报文的URL地址查询网站黑名单功能，如果匹配，例如当前网站黑名单开关选项打开且URL地址在网站黑名单，则控制器在转发路径上下发流表，禁止此报文转发；如果不匹配，例如当前网站黑名单开关选项关闭，或者当前网站黑名单开关选项打开但URL地址不在网站黑名单内，则控制器在转发路径上下发流表，允许此报文转发。

图2为本发明实施例中基于SDN的行为策略系统的架构示意图。如图2所示，该系统包括：

交换机，用于向控制器上报MAC地址信息，以及向控制器上报未匹配流表的报文，所述报文包括报文MAC地址和特征码；

控制器，用于配置全网的行为策略；当接收到交换机的MAC地址信息后，根据所述交换机的MAC地址信息计算网络拓扑；当接收到交换机的未匹配流表的报文后，根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

具体地，

所述控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；根据所述交换机的MAC地址信息，采用链路层发现协议计算网络拓扑。

所述控制器从交换机上报的未匹配流表的报文中获取报文MAC地址和特征码；根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；判断所述报文的类型，如果所述报文不是超文本传输协议报文，所述报文的特征码为源IP地址，则根据所述报文的源IP地址匹配行为策略；如果所述报文是超文本传输协议报文，所述报文的特征码为统一资源定位器地址，则根据所述报文的统一资源定位器地址匹配行为策略。

若所述报文不是超文本传输协议报文，根据所述报文的源IP地址查询行为策略中的用户禁止功能，如果用户禁止选项为不允许访问互联网且所述报文的源IP地址在用户禁止范围内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果用户禁止选项为允许访问互联网，或者用户禁止选项为不允许访问互联网但所述报文的源IP地址不在用户禁止范围内，则所述控制器在转发路径上下发流表，允许所述报文转发；

若所述报文是超文本传输协议报文，根据所述报文的URL地址查询网站黑名单功能，如果网站黑名单开关选项为不允许访问网站黑名单中的网站且所述报文的URL地址在网站黑名单内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果网站黑名单开关为允许访问网站黑名单中的网站，或者网站黑名单开关选项为不允许访问网站黑名单中的网站但所述报文的URL地址不在网站黑名单内，则所述控制器在转发路径上下发流表，允许所述报文转发。

基于SDN的行为策略系统的具体技术细节和前述的基于SDN的行为策略方法对应的技术细节类似，故在此不赘述。

实施例一

下面将列举一个基于本发明的基于SDN的行为策略方法和系统的实施例。

如图6所示，假设用户1和用户2通过SDN接入电信1和电信2，在SDN中，包含实现控制面功能的控制器和若干实现数据面功能的交换机。

在一种情况下，如果用户2在用户禁止范围内被禁止，则控制器在转发路径上下发流表，禁止用户2的报文转发；用户1不在用户禁止范围内，则控制器在转发路径上下发流表，允许用户1的流量转发到电信2。

在另一种情况下，如果修改用户禁止范围，用户1在用户禁止范围内被禁止，则控制器在转发路径上下发流表，禁止用户1的报文转发；用户2不在用户禁止范围内，则控制器在转发路径上下发流表，允许用户2的流量转发到电信1。

传统的行为策略不是基于SDN架构，只是基于网关节点进行配置行为策略，因此不是端对端的和全网的策略，会出现不一致，而达不到预期的效果。本发明采用控制器集中配置，实现端对端和全网的配置行为策略，将充分利用全网的链路资源做到最优的网络流量优化。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种基于SDN的行为策略方法，其特征在于，包括：

控制器配置全网的行为策略；

控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑；

控制器接收交换机上报的未匹配流表的报文，所述报文包括报文MAC地址和特征码；

控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

2.根据权利要求1所述的基于SDN的行为策略方法，其特征在于，所述行为策略包括用户禁止功能和网站黑名单功能；

所述用户禁止功能包括用户禁止开关选项和用户禁止范围，其中，用户禁止范围采用IP地址段范围；用户禁止开关选项表示用户禁止范围的IP地址段对应的用户是否允许访问互联网；

所述网站黑名单功能包括网站黑名单开关选项和网站黑名单，其中，网站黑名单采用网站的统一资源定位器地址；网站黑名单开关选项表示内网用户是否允许访问网站黑名单中的网站。

3.根据权利要求2所述的基于SDN的行为策略方法，其特征在于，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体包括：

控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；

控制器根据所述交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址，采用链路层发现协议计算网络拓扑。

4.根据权利要求3所述的基于SDN的行为策略方法，其特征在于，所述控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，具体包括：

所述控制器从交换机上报的未匹配流表的报文中获取报文MAC地址和特征码；

控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；

控制器判断所述报文的类型，如果所述报文不是超文本传输协议报文，所述报文的特征码为源IP地址，则根据所述报文的源IP地址匹配行为策略；如果所述报文是超文本传输协议报文，所述报文的特征码为统一资源定位器地址，则根据所述报文的统一资源定位器地址匹配行为策略。

5.根据权利要求4所述的基于SDN的行为策略方法，其特征在于，所述在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发，具体包括：

若所述报文不是超文本传输协议报文，根据所述报文的源IP地址查询行为策略中的用户禁止功能，如果所述报文的源IP地址在户禁止选项为不允许访问互联网且源IP地址在用户禁止范围内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果用户禁止选项为允许访问互联网，或者用户禁止选项为不允许访问互联网但所述报文的源IP地址不在用户禁止范围内，则所述控制器在转发路径上下发流表，允许所述报文转发；

若所述报文是超文本传输协议报文，根据所述报文的URL地址查询网站黑名单功能，如果网站黑名单开关选项为不允许访问网站黑名单中的网站且所述报文的URL地址在网站黑名单内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果网站黑名单开关为允许访问网站黑名单中的网站，或者网站黑名单开关选项为不允许访问网站黑名单中的网站但所述报文的URL地址不在网站黑名单内，则所述控制器在转发路径上下发流表，允许所述报文转发。

6.一种基于SDN的行为策略系统，其特征在于，包括：

交换机，用于向控制器上报MAC地址信息，以及向控制器上报未匹配流表的报文，所述报文包括报文MAC地址和特征码；

控制器，用于配置全网的行为策略；当接收到交换机的MAC地址信息后，根据所述交换机的MAC地址信息计算网络拓扑；当接收到交换机的未匹配流表的报文后，根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发。

7.根据权利要求6所述的基于SDN的行为策略系统，其特征在于，所述行为策略包括用户禁止功能和网站黑名单功能；

所述用户禁止功能包括用户禁止开关选项和用户禁止范围，其中，用户禁止范围采用IP地址段范围；用户禁止开关选项表示用户禁止范围的IP地址段对应的用户是否允许访问互联网；

所述网站黑名单功能包括网站黑名单开关选项和网站黑名单，其中，网站黑名单采用网站的统一资源定位器地址；网站黑名单开关选项表示内网用户是否允许访问网站黑名单中的网站。

8.根据权利要求7所述的基于SDN的行为策略系统，其特征在于，所述控制器接收交换机上报的MAC地址信息，并根据交换机的MAC地址信息计算网络拓扑，具体为：

控制器接收交换机发送的Experimenter报文，所述Experimenter报文中包括交换机的MAC地址信息，所述交换机的MAC地址信息包括交换机自己的MAC地址、交换机的端口ID、以及所述交换端口下学习到MAC地址；

控制器根据所述交换机的MAC地址信息，采用链路层发现协议计算网络拓扑。

9.根据权利要求8所述的基于SDN的行为策略系统，其特征在于，所述控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径，并根据特征码匹配行为策略，具体为：

所述控制器从交换机上报的未匹配流表的报文中获取报文MAC地址和特征码；

控制器根据网络拓扑、交换机的MAC地址信息和报文MAC地址计算转发路径；

控制器判断所述报文的类型，如果所述报文不是超文本传输协议报文，所述报文的特征码为源IP地址，则根据所述报文的源IP地址匹配行为策略；如果所述报文是超文本传输协议报文，所述报文的特征码为统一资源定位器地址，则根据所述报文的统一资源定位器地址匹配行为策略。

10.根据权利要求9所述的基于SDN的行为策略系统，其特征在于，所述控制器在转发路径上下发流表，通告转发路径上的交换机根据匹配的行为策略进行报文转发，具体为：

若所述报文不是超文本传输协议报文，根据所述报文的源IP地址查询行为策略中的用户禁止功能，如果用户禁止选项为不允许访问互联网且所述报文的源IP地址在用户禁止范围内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果用户禁止选项为允许访问互联网，或者用户禁止选项为不允许访问互联网但所述报文的源IP地址不在用户禁止范围内，则所述控制器在转发路径上下发流表，允许所述报文转发；

若所述报文是超文本传输协议报文，根据所述报文的URL地址查询网站黑名单功能，如果网站黑名单开关选项为不允许访问网站黑名单中的网站且所述报文的URL地址在网站黑名单内，则所述控制器在转发路径上下发流表，禁止所述报文转发；如果网站黑名单开关为允许访问网站黑名单中的网站，或者网站黑名单开关选项为不允许访问网站黑名单中的网站但所述报文的URL地址不在网站黑名单内，则所述控制器在转发路径上下发流表，允许所述报文转发。