CN105681305B - 一种sdn防火墙系统及实现方法 - Google Patents

Abstract

一种SDN防火墙系统及实现方法，该系统及方法对防火墙的管控都集中在控制器，利用控制器对全网的统一管理，为SDN网络提供更加安全和便捷的服务。为了将内网和公网分开，检查出入防火墙的数据包，决定拦截或是放行哪些数据包。用户可以填写自己的访问策略决定是否允许访问某些网站。本项目防火墙模块运用二层转发。本系统为一种基于OpenFlow协议1.3的SDN防火墙系统，本系统使用python语言在ubuntu系统上编写，在ubuntu系统上正常运行；本系统及方法能够很好的实现跨平台移植，该系统具有非常重要的应用价值。

Description

一种SDN防火墙系统及实现方法

技术领域

本发明涉及一种SDN防火墙系统及实现方法，属于网络技术领域。

背景技术

近年来，随着计算机网络规模的急剧膨胀和应用类型的不断丰富，Internet的结构和功能正变得日趋复杂，管控能力正在日趋减弱。为了解决现有网络结构面临的诸多难题，我们需要在现有互联网环境下逐步地向下一代互联网迈进。

基于OpenFlow的SDN技术分离了网络的控制平面和数据平面，为网络新应用的研发和互联网技术下一代提供了一种新的解决方案。该技术是一个开放式协议标准，提供了在真实网络环境中部署、测试创新的网络体系和协议的平台。

SDN接口分北向和南向，北向接口提供了丰富的API可以供开发和设计应用。SDN南向接口用于在控制器与转发设备间建立连接，OpenFlow协议则是SDN中的南向接口协议，定义了一系列的标准。

传统防火墙功能实现在网络设备中，但在SDN网络环境中控制层与数据层的分离使得防火墙的功能可以使用更简单的方式来实现，不需要更改底层的网络设备。

发明内容

本发明的目的是针对现有的SDN网络环境设计一种SDN网络防火墙系统，对防火墙的管控都集中在控制器，利用控制器对全网的统一管理，为SDN网络提供更加安全和便捷的服务。为了将内网和公网分开，检查出入防火墙的数据包，决定拦截或是放行哪些数据包。用户可以填写自己的访问策略决定是否允许访问某些网站。本项目防火墙模块运用二层转发。

为达到以上发明目的，本发明采用的技术方案为一种基于OpenFlow协议1.3的SDN防火墙系统，本系统使用python语言在ubuntu系统上编写，在ubuntu系统上正常运行。

通过对数据包的解析，分析数据包的状态并结合数据包与规则表文件中填写的五元组进行比较，决定数据包由哪个端口转发出去，满足条件的数据包则从相应的端口转发出去或者packet-in到控制器，不满足条件的数据包则丢掉，不允许通过控制器。

一种SDN防火墙系统，该系统包括数据包分析模块、防火墙规则表(rule_table)模块、定时器(Timer)模块、防火墙连接表(conn_table)模块、防火墙MAC地址表模块、OpenFlow控制器、OpenFlow交换机。图1描述了系统的总体框架架构，控制器模块通过OpenFlow协议与交换机模块通信,启动控制器模块的同时运行防火墙模块，OpenFlow交换机连接了不同的终端，从一个终端发送数据包给另一个终端需要匹配流表，控制器结合防火墙模块来对交换机进行控制，从而确保数据包的转发与否。

1)防火墙连接表模块中的防火墙规则表包括ip_src，ip_dst，src_port，dst_port，protocol(协议)，act(动作)字段。ip_src和ip_dst都能够填写网段，这使得所有网段内的ip地址都满足条件。当ip_dst填写的是0.0.0.0/0时，表示源ip能够访问所有网段的网址。act动作分drop和pass，状态为drop时数据包不允许通过。

2)防火墙连接表模块中的防火墙连接表包括src_ip，dst_ip，src_port，dst_port，state，org_count(正向数据包数量)，rep_count(反向数据包数量)，bk_rep_count，bk_org_count，proto。org_count统计的是正向数据包计数，rep_count统计的是反向数据包计数，bk_rep_count统计的是前一次正向数据包计数，bk_org_count统计的是前一次反向数据包计数。state记录了传来的数据包解析后的不同状态。

3)根据MAC地址表中的填写的INPORT_MAC和OUTPORT_MAC获取到入出端口号，找到数据包是从哪个端口转发到哪个端口。

4)定时器模块在响应features消息时开始启动，并每隔一段时间启动一次定时器。定时器模块的作用是在一定时间内查看数据包计数字段是否改变，如果改变，说明这段时间有数据包通过OpenFlow交换机，连接存在；如果没有改变，则会删除对应此连接的两条双向流表项，并同时删掉对应的连接表项。

5)数据包分析模块对获取的数据包进行分析，数据包可以来自交换机、路由器，也可以来自主机和其他通信终端，符合packet-in的数据包则会上传到控制器进行相应的操作。

6)OpenFLow控制器具有全局的拓扑，并控制转发路径，通过安全通道与OpenFlow交换机进行信息交互并完成连接，所有的信息必须按照OpenFlow协议规定的格式来执行。

OpenFlow控制器收集OpenFlow交换机配置信息、通信链路信息，并负责控制交换机中的流表，包括对Flow Entry的添加、修改以及删除基本操作。流表由很多个Flow Entry组成，每个流表项就是一个转发规则。本系统中使用的是RYU控制器，OpenFlow交换机通过安全通道向OpenFlow控制器packet-in数据包。

7)OpenFlow交换机主要管理数据层的转发，当交换机接收到数据包后，首先在本地的流表上查找转发目标端口，如果流表中没有匹配条目，交换机会将数据包封装在packet-in消息中发送给控制器处理，由控制层决定转发端口，如果找到匹配的流表项，则根据流表目标端口把数据包转发出去。

该核心库包括python中的time,os,struct,threading,csv等库函数，这些库可以在所有支持python的控制器中运行，因此本项目很好的实现跨平台移植，该系统具有非常重要的应用价值。

附图说明

图1系统总体框架结构图。

图2防火墙系统工作方法流程图。

图3定时器模块流程图。

具体实施方式

系统总体框架架构图如图1所示。

本系统是基于OpenFlow协议1.3的，它由数据包分析模块、防火墙规则(rule_table)模块、定时器(Timer)模块、防火墙连接表(conn_table)模块、防火墙MAC地址表模块、OpenFlow控制器、OpenFlow交换机组成。防火墙系统工作方法流程如图2所示。

OpenFlow控制器、OpenFlow交换机

不同的交换机的datapath不一样，交换机以此来作为标识，控制器根据datatpath来下发流表到交换机，数据包根据流表项进行转发，若数据包匹配流表项规则，则数据包进行转发，若数据包无法匹配流表项规则，则需要packet-in控制器处理，控制器将数据包信息传递到防火墙模块，由防火墙模块进行相应操作。

Flow-Mod消息用来添加、修改、删除OpenFlow交换机的流表信息，通过datapath，table_id，command，idle_timeout，hard_timeout，priority，instructions，match等字段来生成Flow-Mod消息，添加新的流表项时command为ADD类型，同时发送消息来下发流表。idle_timeout表示流表项的空闲超时时间，hard_timeout表示流表项的最大生存时间。

防火墙MAC地址表模块

通过循环遍历ev.msg.body条目获得的hw_addr与MAC地址表中记录的mac地址进行比较，来获得数据包相应的入出端口，同时下发packet-in到控制器的默认流表项。

防火墙conn_table模块、rule_table模块、数据包分析模块

数据包从INPORT_MAC或者OUTPORT_MAC发送过来，通过get_protocol逐层取出数据包，解析数据包后把数据包与循环遍历取得的conn_table中每一条entry的五元组信息比较，如果数据包来自INPORT_MAC，则根据匹配结果和数据包的Flags来遍历rule_table或者直接丢弃。遍历rule_table时需要按照act动作为pass或者drop来选择新建连接表项同时更改conn_table entry状态、从其他出端口转发数据包或者丢掉数据包，数据包转发前需要OpenFlow控制器模块根据datapath，match field，instructions，priority等参数下发两条双向流表，操作结束时需要根据数据包的状态来删除流表项。如果数据包来OUTPORT_MAC，则根据匹配结果来从其他端口转发数据包或者删除交换机Flow Entry和连接表项。

match field由src_ip，dst_ip，src_port，dst_port，in_port，eth_type，ip_proto来生成。数据包转发过程中会优先匹配priority数值大的流表项，数值越大表明优先级越高。

定时器(Timer)模块

如图3所示。每隔一段时间启动一次定时器Timer，定时器用来发送流表状态请求，执行以下步骤：

逐行遍历整个连接表，对每个连接表项，先比较当前连接表项的前次正向计数字段和当前正向计数字段，前次反向计数字段和当前反向计数字段，

如果两个比较有一个不等，则把当前正向计数字段复制到前次正向计数字段，当前反向计数字段复制到前次反向计数字段，继续遍历下一个连接表项。

如果两个比较都相等，说明一段时间内本连接没有命中数据包，删除该连接表项，继续遍历下一个连接表项。

Claims (2)

1.一种SDN防火墙系统，该系统为一种基于OpenFlow协议1.3的SDN防火墙系统，本系统使用python语言在ubuntu系统上编写，在ubuntu系统上正常运行；

通过对数据包的解析，分析数据包的状态并结合数据包与规则表文件中填写的五元组进行比较，决定数据包由哪个端口转发出去，满足规则表条件的数据包则从相应的端口转发出去或者packet-in到OpenFlow控制器，不满足规则表条件的数据包则丢掉，不允许通过OpenFlow控制器，其特征在于：该系统包括数据包分析模块、防火墙规则表rule_table模块、定时器Timer模块、防火墙连接表conn_table模块、防火墙MAC地址表模块、OpenFlow控制器、OpenFlow交换机；OpenFlow控制器通过OpenFlow协议与OpenFlow交换机通信,启动OpenFlow控制器的同时运行防火墙模块，OpenFlow交换机连接了不同的终端，从一个终端发送数据包给另一个终端需要匹配流表，OpenFlow控制器结合防火墙模块来对OpenFlow交换机进行控制，从而确保数据包的转发与否；

1)防火墙连接表模块中的防火墙规则表包括ip_src，ip_dst，src_port，dst_port，protocol，act字段；ip_src和ip_dst都能够填写网段，这使得所有网段内的ip地址都满足条件；当ip_dst填写的是0.0.0.0/0时，表示源ip能够访问所有网段的网址；act动作分drop和pass，状态为drop时数据包不允许通过；

2)防火墙连接表模块中的防火墙连接表包括src_ip，dst_ip，src_port，dst_port，state，org_count正向数据包数量，rep_count反向数据包数量，bk_rep_count，bk_org_count，proto；org_count统计的是正向数据包计数，rep_count统计的是反向数据包计数，bk_rep_count统计的是前一次正向数据包计数，bk_org_count统计的是前一次反向数据包计数；state记录了传来的数据包解析后的不同状态；

3)根据MAC地址表中的填写的INPORT_MAC和OUTPORT_MAC获取到入出端口号，找到数据包是从哪个端口转发到哪个端口；

4)定时器模块在响应features消息时开始启动，并每隔一段时间启动一次定时器；定时器模块的作用是在一定时间内查看数据包计数字段是否改变，如果改变，说明这段时间有数据包通过OpenFlow交换机，连接存在；如果没有改变，则会删除对应此连接的两条双向流表项，并同时删掉对应的连接表项；

5)数据包分析模块对获取的数据包进行分析，数据包能够来自OpenFlow交换机、路由器，也能够来自主机和其他通信终端，符合packet-in的数据包则会上传到OpenFlow控制器进行相应的操作；

6)OpenFLow控制器具有全局的拓扑，并控制转发路径，通过安全通道与OpenFlow交换机进行信息交互并完成连接，所有的信息必须按照OpenFlow协议规定的格式来执行；

OpenFlow控制器收集OpenFlow交换机配置信息、通信链路信息，并负责控制OpenFlow交换机中的流表，包括对Flow Entry的添加、修改以及删除基本操作；流表由很多个FlowEntry组成，每个流表项就是一个转发规则；本系统中使用的是RYU控制器，OpenFlow交换机通过安全通道向OpenFlow控制器packet-in数据包；

7)OpenFlow交换机主要管理数据层的转发，当交换机接收到数据包后，首先在本地的流表上查找转发目标端口，如果流表中没有匹配条目，OpenFlow交换机会将数据包封装在packet-in消息中发送给OpenFlow控制器处理，由控制层决定转发端口，如果找到匹配的流表项，则根据流表目标端口把数据包转发出去；

该SDN防火墙系统的核心库包括python中的time,os,struct,threading,csv函数库，这些函数库能够在所有支持python的OpenFlow控制器中运行。

2.依权利要求1所述系统进行的一种SDN防火墙系统的实现方法，其特征在于：

OpenFlow控制器、OpenFlow交换机

不同的OpenFlow交换机的datapath不一样，OpenFlow交换机以此来作为标识，OpenFlow控制器根据datatpath来下发流表到OpenFlow交换机，数据包根据流表项进行转发，若数据包匹配流表项规则，则数据包进行转发，若数据包无法匹配流表项规则，则需要packet-in的OpenFlow控制器处理，OpenFlow控制器将数据包信息传递到防火墙模块，由防火墙模块进行相应操作；

Flow-Mod消息用来添加、修改、删除OpenFlow交换机的流表信息，通过datapath，table_id，command，idle_timeout，hard_timeout，priority，instructions，match字段来生成Flow-Mod消息，添加新的流表项时command为ADD类型，同时发送消息来下发流表；

idle_timeout表示流表项的空闲超时时间，hard_timeout表示流表项的最大生存时间；

防火墙MAC地址表模块

通过循环遍历ev.msg.body条目获得的hw_addr与MAC地址表中记录的mac地址进行比较，来获得数据包相应的入出端口，同时下发packet-in到OpenFlow控制器的默认流表项；

防火墙conn_table模块、rule_table模块、数据包分析模块

数据包从INPORT_MAC或者OUTPORT_MAC发送过来，通过get_protocol逐层取出数据包，解析数据包后把数据包与循环遍历取得的conn_table中每一条entry的五元组信息比较，如果数据包来自INPORT_MAC，则根据匹配结果和数据包的Flags来遍历rule_table或者直接丢弃；遍历rule_table时需要按照act动作为pass或者drop来选择新建连接表项同时更改conn_table entry状态、从其他出端口转发数据包或者丢掉数据包，数据包转发前需要OpenFlow控制器模块根据datapath，match field，instructions，priority参数下发两条双向流表，操作结束时需要根据数据包的状态来删除流表项；如果数据包来自OUTPORT_MAC，则根据匹配结果来从其他端口转发数据包或者删除交换机Flow Entry和连接表项；

match field由src_ip，dst_ip，src_port，dst_port，in_port，eth_type，ip_proto来生成；数据包转发过程中会优先匹配priority数值大的流表项，数值越大表明优先级越高；

定时器Timer模块

每隔一段时间启动一次定时器Timer，定时器用来发送流表状态请求，执行以下步骤：

逐行遍历整个连接表，对每个连接表项，先比较当前连接表项的前次正向计数字段和当前正向计数字段，前次反向计数字段和当前反向计数字段；

如果两个比较有一个不等，则把当前正向计数字段复制到前次正向计数字段，当前反向计数字段复制到前次反向计数字段，继续遍历下一个连接表项；

如果两个比较都相等，说明一段时间内本连接没有命中数据包，删除该连接表项，继续遍历下一个连接表项。