CN107645445B - 一种基于虚拟节点技术的sdn网络跨域通信方法 - Google Patents

Abstract

本发明公开一种基于虚拟节点技术的SDN网络跨域通信方法，包括以下步骤：系统初始化，采用可信的跨域通信服务，并对控制器提供一套标准接口；各个网络域的控制器通过跨域通信服务提供的接口连接到跨域通信服务；跨域通信服务收集各个网络域的控制器所掌控的设备及链路信息；跨域通信服务根据收集的设备链路信息，为不同的控制器将其它可达域中的节点虚拟成该域的虚拟节点；跨域通信服务将虚拟节点同步到控制器，控制器生成虚拟拓扑视图；控制器根据虚拟拓扑进行制定转发策略实现跨域通信。本发明利用软件定义网络的灵活性，通过使用虚拟节点和虚拟拓扑的方式实现跨域通信，不仅能保护各个域的拓扑隐私，还能够提高转发效率。

Description

一种基于虚拟节点技术的SDN网络跨域通信方法

技术领域

本发明涉及一种软件定义网络跨域通信技术，具体涉及一种基于虚拟节点技术的SDN网络跨域通信方法。

背景技术

软件定义网络(Software Defined Network)是一种新型的网络架构，它的最大特征是将数据与控制平面解耦，数据平面只进行数据的转发，控制和管理功能则全部集中在控制平面上，而控制平面的核心就在于SDN控制器。

起初SDN架构中仅有单控制器架构，但是由于单控制器的性能局限又出现了由多个控制器分别对多个网络域进行控制，多个控制器之间进行合作的多控制器架构。多控制器架构解决了单控制器可能出现的计算能力不足、带宽不足、单点故障等问题，但同时多控制架构中也出现了一些新问题。

与单控制器架构不同，多控制器架构需要控制不同区域的控制器进行协作，控制器作为整个SDN网络的核心，需要进行的工作有设备发现、链路发现、拓扑生成、路由计算等功能，但是如今有许多不同的控制器，如OpenDayLight、Ryu、Nox、Floodlight等等，它们实现以上功能所使用的方法和原理是不同的，选择不同的控制器可能会在一定程度上影响控制器协作的实现方式。

现有多域通信的解决方案分为两种：一种是分布式控制器，通过同步每个控制器的拓扑数据来实现跨域通信；另一种是超级控制器，收集其他所有控制器的拓扑数据，为其他控制器提供跨域路由的计算。第一种方案的缺点在于控制器相互同步数据，泄露了控制器内部的拓扑数据，存在较大的安全隐患，并且网络较大时，控制器在路由计算上需要较大的开销；第二种方案的缺点在于每个控制器做跨域决策时需要向超级控制器求助，整个决策过程会显得缓慢。

发明内容

发明目的：本发明的目的在于解决现有技术中存在的不足，提供一种基于虚拟节点技术的SDN网络跨域通信方法，本发明是一个使用虚拟节点和虚拟拓扑而不依赖于控制器内部路由和转发模块的跨域通信方法，收集和整合不同通信域中的拓扑信息，并通过为每个域添加虚拟节点、生成虚拟拓扑的方式，为控制器提供了一个透明的域间路由方法。

技术方案：本发明的一种基于虚拟节点技术的SDN网络跨域通信方法，包括以下步骤：

(1)初始化SDN网络中的控制器与交换机并启动一个跨域通信服务，该服务提供相应接口，所述接口包括认证接口、连接接口、网络信息收集接口和虚拟节点同步接口，不同网络域的控制器使用相应接口获得跨域的通信服务；

(2)各个网络域的控制器通过跨域通信服务提供的接口，与跨域通信服务协商相应参数和状态，协商完毕后完成控制器与跨域通信服务的连接；

(3)跨域通信服务收集各个网络域的控制器所管理的设备及链路信息，即：跨域通信服务通过各个控制器的北向接口，收集相应控制器所管理的交换机信息和主机信息和链路信息；

(4)对于某一个网络域，跨域通信服务根据收集的设备及链路信息，将其它可达网络域的主机虚拟成虚拟节点加入到该网络域中；

(5)跨域通信服务将虚拟节点同步到控制器中，控制器根据自身真实拓扑和虚拟节点生成一个虚拟拓扑；

(6)各个网络域的控制器根据虚拟拓扑进行制定转发策略实现跨域通信。

进一步的，所述步骤(1)的具体过程为：

(1.1)网络管理方提供一个安全的环境启动跨域通信服务并对其进行管理启动并管理跨域通信服务；

(1.2)跨域通信服务提供接口，用来实现控制器与跨域通信之间的认证、协商和信息交换；

(1.3)等待各个控制器连接。

进一步的，所述步骤(2)的具体过程为：

(2.1)各个网络域的控制器均向跨域通信服务发送连接请求，并与跨域通信服务进行安全认证，认证过程如下：

控制器将自己的私钥加密发送给跨域通信服务，跨域通信服务收到解密后持有控制器的私钥；控制器使用自己的私钥将自己的身份信息进行签名，然后将自己的身份信息与签名一同发送给跨域通信服务；跨域通信服务使用控制器的私钥对控制器的身份信息及其签名进行验证，验证通过则该控制器是合法的控制器。

(2.2)各个控制器与跨域通信服务协商参数集和状态集，参数集包括控制器标志、控制器类型及版本以及所使用的协议及版本等信息，状态集包括控制器的生命周期状态、控制器安全状态等信息，跨域通信服务确认后完成连接；

(2.3)各个控制器向跨域通信服务发送保活信息，维持连接。

进一步的，所述步骤(4)的具体过程为：

(4.1)根据从各个控制器收集的交换机和链路信息，找出各个网络域的边界交换机和相应的出端口；

(4.2)将每个网络域视为一个节点，边界交换机之间的链路视为节点之间的边，采用最小生成树算法，找出一个无环的连通路径，该连通路径上的边作为网络域之间的有效连接，而边上的两端的交换机端口作为网络域的有效边界；

(4.3)跨域通信服务将每个网络域的主机集合按照有效连接的路径传递给其他网络域，其他网络域接收到主机集合的信息，将该主机集合作为虚拟节点挂载到接受主机集合信息入口的有效边界上。

进一步的，所述步骤(5)的具体过程为：

(5.1)跨域通信服务为每个控制器生成完虚拟节点后，同步到各个网络域的控制器；

(5.2)各个网络域的控制器复制自身拓扑，并将虚拟节点挂载到复制的拓扑上，形成虚拟拓扑视图。

进一步的，所述步骤(6)的具体过程为：

(6.1)当交换机收到一个新的数据流时，向该交换机所在网络域的控制器询问转发策略；

(6.2)由于底层拓扑对于控制器来说是透明的，控制器在真实拓扑中制定转发策略的过程在虚拟拓扑中也同样适用，控制器可以按照真实拓扑中制定转发策略的方式在虚拟拓扑中制定转发策略，由于其他网络域的真实主机都已经以虚拟节点挂载在有效边界上，若是跨域流量，则根据虚拟主机引导到有效边界上进入下一个网络域，下一个网络域同样操作直到流量到达真实主机。

有益效果：

与现有技术相比，本发明具有以下的优点：

(1)本发明考虑了在软件定义网络跨域通信下，网络域内拓扑对外暴露问题，通过一个可信的跨域通信服务，仅仅将每个网络域中的主机暴露出去作为其他域的虚拟节点，从而实现跨域通信。相比现有技术中将每个网络域的拓扑信息暴露给其他网络域，本发明在跨域通信中很好地保护了每个域的内部拓扑情况，增加了网络的安全性；

(2)本发明考虑了多种控制器协同工作的问题。软件定义网络中，有各种各样的控制器，相互协作困难，本发明采用在应用层提供一个跨域通信服务的方法，通过通用的北向接口来为多种不同的控制器提供服务，来实现多种控制器在跨域通信之间的协作，能够很好地适应各种不同的网络环境；

(3)本发明考虑了在大型网络中，庞大的网络拓扑对控制器制定转发策略带来高负担问题。本发明中，可信的跨域通信服务将其他网络域中的主机采用虚拟节点的方式加入到一个网络域中，使得该网络域拥有所有可达域的主机信息，但并不增加交换机及其链路信息，即拓扑的增长较小，降低了控制器计算域外主机转发策略的开销。

综上所述，本发明在软件定义网络环境下，使用一个可信的跨域通信服务，采用虚拟节点的方法，成功的实现了跨域通信，并有效地保护了各个网络域的拓扑隐私，适应不同控制器的网络环境，降低了控制器计算转发策略的开销。

附图说明

图1为本发明的整体流程图；

图2为本发明所应用的系统功能模块示意图；

图3为本发明中步骤(1)的具体流程图；

图4为本发明的步骤(2)的具体流程图；

图5为本发明中步骤(4)的具体流程图。

具体实施方式

下面对本发明技术方案进行详细说明，但是本发明的保护范围不局限于所述实施例。

此处，对发明的技术术语进行解释和说明：

软件定义网络：软件定义网络是一种控制平面与数据平面分离，逻辑集中控制，网络可编程的新型网络。

网络域：一个内部能够顺畅通信的有限的网络结构，若干个网络域连通后形成一个规模较大的网络。

软件定义网络控制器：软件定义网络中的控制中心，负责管控一个网络域，运行在软件定义网络体系架构中的控制层。

跨域通信服务：一个可信的为控制器提供跨域通信服务的应用，该应用运行在软件定义网络体系架构中的应用层。

接口：一个采用通用的通信协议，固定的数据结构为通信双方提供信息交换的标准。

可达网络域：一个网络域到另一个网络域有通达的路径，则表示任意一个网络域对于另一网络域是可达的。

最小生成树算法：在连通图中找出一个边最少的无环连通子图。

网络域间的有效连接：网络域与网络域之间可能有多个边界，为了保证路由的无环，使用最小生成树算法找出网络域之间连通路径，即每个网络域与其他网络域最多只有一个连通路径，该连通路径就成为有效连接。

网络域的有效边界：网络域间的有效连接是由一个网络域的边界交换机的端口连接到另一个网络域的边界交换机的端口，则称有效连接的两端的交换机端口为网络域的有效边界。

虚拟主机：一个网络域中，域外可达的主机挂载在该网络域的有效边界上，对于该网络域来说，该主机实际不存在，是跨域通信服务根据域外拓扑信息为该网络域虚拟出来的主机，故称虚拟主机。

虚拟拓扑：网络域根据自身真实拓扑和虚拟主机共同组成的拓扑。

以下结合实施例和附图对本发明做进一步说明。

如图1所示，本发明的基于虚拟节点技术的SDN网络跨域通信方法，包含以下步骤：

(1)初始化SDN网络中的控制器与交换机并启动一个本发明提供的跨域通信服务，该服务提供相应接口，所述接口包括认证接口、连接接口、网络信息收集接口和虚拟节点同步接口，不同网络域的控制器使用相应接口获得跨域的通信服务；

(2)各个网络域的控制器通过跨域通信服务提供的接口，与跨域通信服务协商相应参数和状态，协商完毕后完成控制器与跨域通信服务的连接；

(3)跨域通信服务收集各个网络域的控制器所管理的设备及链路信息，即：跨域通信服务通过控制器的北向接口，收集控制器所管理的交换机信息和主机信息和链路信息；

(4)对于某一个网络域，跨域通信服务根据收集的设备及链路信息，将其它可达网络域的主机虚拟成虚拟节点加入到该网络域中；

(5)跨域通信服务将虚拟节点同步到控制器中，控制器根据自身真实拓扑和虚拟节点生成一个虚拟拓扑；

(6)各个网络域的控制器根据虚拟拓扑进行制定转发策略实现跨域通信。

如图2所示，将上述基于虚拟节点技术的SDN网络跨域通信方法应用于软件定义网络跨域环境下，该系统包括数据转发平面的多个网络域、控制平面的多个控制器以及应用层上的跨域通信服务。

本发明的详细步骤为：

如图3所示，步骤(1)具体实施过程如下：

1.一个可信方提供一个安全的运行环境，在安全的运行环境启动跨域通信服务，并生成一对公私钥对PK与SK，将公钥PK对外公布，私钥SK保存本地。

2.依次启动认证接口、连接接口、网络信息收集接口、虚拟节点同步接。

本发明中使用HTTP协议作为接口的底层通信协议，采用RESTful风格设计接口，使用JSON格式作为数据交换格式。

3.接口全部启动完成后，等待控制器连接。

如图4所示，步骤(2)具体实施过程如下：

1.控制器向跨域通信服务请求连接，并提供认证消息，若认证不通过则拒绝服务，认证过程具体如下：

本发明在认证过程中使用四个公开算法：加密算法ENC，解密算法DEC，数字签名算法SIGN，签名验证算法VERIFY。

控制器将自己的私钥K使用跨域通信服务公布的PK进行加密得到密文C＝ENC_PK(K)并发送给跨域通信服务，跨域通信服务收到密文后进行解密得到控制器的私钥K＝DEC_SK(C)，此时跨域通信服务与控制器都持有私钥K，控制器使用私钥K将自己的身份摘要信息ID加密生成数字签名S＝SIGN(K,ID)，然后发送给跨域通信服务，跨域通信服务对数字签名进行验证，VERIFY(S,K,ID)返回真值则表示该信息合法，最后对ID信息进行确认，无误后认证通过。

2.控制器需要向跨域通信服务发送自己的控制器标志、控制器类型及版本、所使用的南向协议及其版本等信息，跨域通信服务确认信息后建立双方的连接。

控制器调用跨域通信的连接接口，将自身的控制器标志、控制器类型及版本、南向协议等信息封装成JSON格式数据DJ，将封装好的数据使用私钥K生成数字签名DS＝SIGN(K,DJ)，随后将封装好的数据DJ与数字签名DS一同发送给跨域通信服务，跨域通信服务通过VERIFY(DJ,DS,K)验证消息的完整性和消息来源的真实性，接着验证控制器的信息是否合法，若验证全部通过，则跨域通信服务同意控制器的连接请求，为其提供服务。

3.双方连接状态时，控制器周期性地向跨域通信服务发送保活信息以维持连接状态，一旦跨域通信服务一定时间内没有收到保活信息，则断开与控制器的连接。

步骤(3)具体实施过程如下：

跨域通信服务根据已连接的控制器的信息，选择相应控制器的北向接口，获取控制器所管理的设备信息以及链路信息。

如图5所示，步骤(4)具体实施过程如下：

1.根据从各个控制器收集的交换机和链路信息，找出各个域的边界交换机和相应的出端口。

一个控制器所管理的网络域底下的所有网络设备，一旦有一个网络设备的标识与其他网络域的交换机端口相同，则表明该网络域存在一个边界，该网络设备连接的交换机端口为该网络域的边界，该边界与其他网络域的边界相连。将每个网络域的设备都分别放入一个集合，让集合两两相交，若为空，则表示两个网络域没有边界相连，若不为空，则相交的结果则是两个网络域的边界集合。

设控制器C_i所管控的设备集合为CD_i，所有控制器管控设备集合的集合为U，控制器C_i与其他控制器所管控设备集合相交的边为CE_i，寻找网络域边界算法如下：

2.将每个网络域视为一个节点，边界交换机之间的链路视为节点之间的边，采用最小生成树算法，找出一个无环的连通路径，该路径上的边作为网络域之间的有效连接，边上的两端的交换机端口作为网络域的有效边界。

设所有网络域节点集合为V，边集合为E，已连通节点集合为U，两个网络域之间的边的权值为两个网络域总共的主机数的倒数，具体寻找有效边界的算法如下所示：

3.跨域通信服务将每个网络域的主机集合按照有效连接的路径传递给其他网络域，其他网络域接收到主机集合的信息，将该主机集合作为虚拟节点挂载到接受主机集合信息入口的有效边界上。

当一个网络域A与另一个网络域B存在有效边界时，网络域A将自己的主机集合信息DA通过有效边界传递给另一个网络域B，网络域B收到网络域A的主机集合信息，将该主机集合与上述有效边界进行绑定，表示目标为该主机集合的数据流可以通过上述有效边界送达，完成上述操作后，网络域B将网络域A的主机集合信息DA通过自身与其他网络域的有效边界传递出去，重复上述操作。

步骤(5)具体实施过程如下：

跨域通信服务为每个控制器生成完虚拟节点后，同步到各个域的控制器；控制器复制自身拓扑，将虚拟节点挂载到复制的拓扑上，形成虚拟拓扑视图。

控制器以自身拓扑结构为骨架，将虚拟节点挂载到与之绑定的有效边界上，这样在全网中，该网络域可达的主机都挂载在了该网络域中，在这张虚拟的拓扑中，对于该网络域的控制器来说，域外主机如同域内主机一样，在制定转发策略与其他网络策略时，域外主机与域内主机没有差别，大大降低了控制器的开销。

步骤(6)具体实施过程如下：

当交换机收到一个新的数据流时，向控制器询问转发策略；控制器根据虚拟拓扑制定转发策略，由于其他网络域的主机都已经以虚拟节点挂载在有效边界上，若是跨域流量，则根据虚拟主机引导到有效边界上进入下一个网络域，下一个网络域同样操作直到流量到达真实主机。

通过上述实施例可以看出，现有的SDN跨域通信方法通常是将SDN控制器的数据相互同步，本发明为了隐藏控制器内部的拓扑数据，增加网络的安全性，同时提高不同SDN控制器组成的异构网络的协调性，新增一个应用层的跨域通信服务。在多域通信的过程中，本发明的跨域通信服务可将其他网络域的可达主机以虚拟节点的方式挂载在本网络域用来跨域通信；同时生成的虚拟拓扑结构远小于整个网络的真实拓扑，有效地降低了控制器计算路由策略的开销。

综上所述，本发明使用一个跨域通信服务，仅仅将网络域的主机信息暴露出去作为其他网络域的虚拟节点，在尽可能地减少拓扑信息的泄露的情况下，让每个控制器能够自主的进行路由决策，使得SDN网络适用于各种异构的，甚至是由不同控制器控制的网络之间的通信场景。

Claims (6)

1.一种基于虚拟节点技术的SDN网络跨域通信方法，其特征在于，包括以下步骤：

(1)初始化SDN网络中的控制器与交换机并启动一个跨域通信服务，该服务提供相应接口，所述接口包括认证接口、连接接口、网络信息收集接口和虚拟节点同步接口，不同网络域的控制器使用相应接口获得跨域的通信服务；

(2)各个网络域的控制器通过跨域通信服务提供的接口，与跨域通信服务协商相应参数和状态，协商完毕后完成控制器与跨域通信服务的连接；

(3)跨域通信服务收集各个网络域的控制器所管理的设备及链路信息，即：跨域通信服务通过各个控制器的北向接口，收集相应控制器所管理的交换机信息和主机信息和链路信息；

(4)对于某一个网络域，跨域通信服务根据收集的设备及链路信息，将其它可达网络域的主机虚拟成虚拟节点加入到该网络域中；

(5)跨域通信服务将虚拟节点同步到控制器中，控制器根据自身真实拓扑和虚拟节点生成一个虚拟拓扑；

(6)各个网络域的控制器根据虚拟拓扑进行制定转发策略实现跨域通信；

步骤(4)的具体过程为：

(4.1)根据从各个控制器收集的交换机和链路信息，找出各个网络域的边界交换机和相应的出端口；

(4.2)将每个网络域视为一个节点，边界交换机之间的链路视为节点之间的边，采用最小生成树算法，找出一个无环的连通路径，该连通路径上的边作为网络域之间的有效连接，而边上的两端的边界交换机端口作为网络域的有效边界；

(4.3)跨域通信服务将每个网络域的主机集合按照有效连接的路径传递给其他网络域，其他网络域接收到相应主机集合的信息，将该主机集合作为虚拟节点挂载到接受主机集合信息入口的有效边界上；

其中跨域通信服务是指一个可信的为控制器提供跨域通信服务的应用，该应用运行在软件定义网络体系架构中的应用层。

2.根据权利要求1所述的基于虚拟节点技术的SDN网络跨域通信方法，其特征在于：所述步骤(1)的具体过程为：

(1.1)网络管理方提供一个安全的环境启动跨域通信服务并对其进行管理；

(1.2)跨域通信服务提供接口，用来实现控制器与跨域通信之间的认证、协商和信息交换；

(1.3)等待各个控制器连接。

3.根据权利要求1所述的基于虚拟节点技术的SDN网络跨域通信方法，其特征在于：所述步骤(2)的具体过程为：

(2.1)各个网络域的控制器均向跨域通信服务发送连接请求，并与跨域通信服务进行安全认证；

(2.2)各个控制器与跨域通信服务协商参数集和状态集，参数集包括控制器标志、控制器类型及版本以及所使用的协议及版本信息，状态集包括控制器的生命周期状态以及控制器安全状态信息，跨域通信服务确认后完成连接；

(2.3)各个控制器向跨域通信服务发送保活信息，维持连接。

4.根据权利要求1所述的基于虚拟节点技术的SDN网络跨域通信方法，其特征在于：所述步骤(5)的具体过程为：

(5.1)跨域通信服务为每个控制器生成完虚拟节点后，同步到各个网络域的控制器；

(5.2)各个网络域的控制器复制自身拓扑，并将虚拟节点挂载到复制的拓扑上，形成虚拟拓扑视图。

5.根据权利要求1所述的基于虚拟节点技术的SDN网络跨域通信方法，其特征在于：所述步骤(6)的具体过程为：

(6.1)当交换机收到一个新的数据流时，向该交换机所在网络域的控制器询问转发策略；

(6.2)由于底层拓扑对于控制器来说是透明的，控制器在真实拓扑中制定转发策略的过程在虚拟拓扑中也同样适用，控制器按照真实拓扑中制定转发策略的方式在虚拟拓扑中制定转发策略，由于其他网络域的真实主机都已经以虚拟节点挂载在有效边界上，若是跨域流量，则根据虚拟主机引导到有效边界上进入下一个网络域，下一个网络域同样操作直到流量到达真实主机。

6.根据权利要求3所述的基于虚拟节点技术的SDN网络跨域通信方法，其特征在于：所述步骤(2.1)中跨域通信服务安全认证的过程如下：

控制器将自己的私钥加密发送给跨域通信服务，跨域通信服务收到解密后持有控制器的私钥；控制器使用自己的私钥将自己的身份信息进行签名，然后将自己的身份信息与签名一同发送给跨域通信服务；跨域通信服务使用控制器的私钥对控制器的身份信息及其签名进行验证，验证通过则该控制器是合法的控制器。