CN109120531A - 一种流表过载防护方法与装置 - Google Patents

Abstract

本发明公开了一种流表过载防护方法与装置，包括：获取到达本地交换机的数据包，并尝试将数据包匹配现有的流表项；当数据包能够匹配现有的流表项时，按照流表项来处理数据包；当数据包不能匹配现有的流表项时，根据本地交换机的流表空间状态来生成新的流表项、或将数据包引导到远程交换机。本发明的技术方案能够针对不同流表或不同类型的流表进行保护以防止其过载，最大化利用有限的流表资源，缓解和消除非法攻击和突发事件所产生的影响。

Description

一种流表过载防护方法与装置

技术领域

本发明涉及数据传输领域，并且更具体地，特别是涉及一种流表过载防护方法与装置。

背景技术

随着云计算、大数据的快速发展，传统网络体系结构已越来越难以满足海量业务处理需求，在这种情况下软件定义网络应运而生。SDN(软件定义网络)将控制层面和数据层面分离，控制层面掌控全局网络状态信息并负责网络应用决策，开放北向接口方便网络运营人员进行应用地快速部署；数据层面则负责连接网络通路，对数据流量按照规则进行相应转发。但随着网络规模的扩大和应用数量的增加，控制器下发的流表项呈指数级增长，因此数据层面的交换机的转发性能受到了严重影响。对交换机的流表进行优化并预防流表过载，适应SDN网络细粒度的控制需求也正是现今SDN的研究热点之一。

考虑到流表空间的限制，现有技术已经在对优化规则的设置进行研究，将规则的数量最小化并尽可能降低成本。然而，现有技术仅考虑了在正常条件下提供SDN的性能，而没有考虑如何有效的避免和预防因非法攻击或者突发事件而造成的有限空间的流表过载。

在OpenFlow协议中，一个控制器和其下所有的交换机相连，每个交换机拥有一个流表。控制器通过在其中安装、修改和删除规则来远程控制交换机的流表，并且交换机根据它们的流表中的规则执行分组处理。有限的流表空间是SDN的关键缺陷，它最有可能被攻击，并且攻击者可以通过流表过载攻击很容易地让交换机被禁用。流表过载攻击是在SDN中转换的DDoS攻击。传统的DDoS攻击通常以主机、服务器或网络带宽资源为目标，而流表过载攻击则以SDN交换机为目标，目的在于过载目标交换机的流表，从而使交换机失效，最终破坏网络服务。

针对现有技术中缺乏应对非法攻击和突发事件使交换机的有限空间的流表过载的问题，目前尚未有有效的解决方案。

发明内容

有鉴于此，本发明实施例的目的在于提出一种流表过载防护方法与装置，能够针对不同流表或不同类型的流表进行保护以防止其过载，最大化利用有限的流表资源，缓解和消除非法攻击和突发事件所产生的影响。

基于上述目的，本发明实施例的一方面提供了一种流表过载防护方法，包括以下步骤：

获取到达本地交换机的数据包，并尝试将数据包匹配现有的流表项；

当数据包能够匹配现有的流表项时，直接按照流表项来处理数据包；

当数据包不能匹配现有的流表项时，根据本地交换机的流表空间状态，来生成新的流表项、或将数据包引导到远程交换机。

在一些实施方式中，还包括在方法执行期间持续地或周期性地监视本地交换机的流表空间状态。

在一些实施方式中，根据本地交换机的流表空间状态，来生成新的流表项、或将数据包引导到远程交换机，具体地包括：

根据本地交换机的流表空间状态判断流表空间占用是否超过预定阈值；

当本地交换机的流表空间占用不超过预定阈值时，在本地交换机的流表空间中生成新的流表项，并按照新的流表项来处理数据包；

当本地交换机的流表空间占用超过预定阈值时，在多个可用的远程交换机中确定一个共享远程交换机，并将数据包引导到共享远程交换机。

在一些实施方式中，在多个可用的远程交换机中确定一个共享远程交换机包括：

获取多个可用的远程交换机的状态信息；

根据远程交换机的状态信息确定共享远程交换机。

在一些实施方式中，远程交换机的状态信息包括以下至少之一：流表空间占用、到本地交换机的距离、使用率、连接其它远程交换机的数量；

进一步地，根据远程交换机的状态信息确定共享远程交换机为：优先选择流表空间占用不超过预定阈值、到本地交换机的距离更近、使用率更低、和/或连接其它交换机的数量更多的远程交换机作为共享远程交换机。

在一些实施方式中，在将数据包引导到共享远程交换机后，还按照流量引导规则将数据包所在的数据流引导到共享远程交换机。

在一些实施方式中，在将数据包引导到共享远程交换机后，还执行以下步骤：

使共享远程交换机尝试将数据包匹配共享远程交换机现有的共享远程流表项；

当数据包能够匹配共享远程流表项时，使共享远程交换机直接按照现有的共享远程流表项来处理数据包；

当数据包不能匹配共享远程流表项时，使共享远程交换机生成新的共享远程流表项。

在一些实施方式中，按照流表项来处理数据包为转发或丢弃数据包。

本发明实施例的另一方面，还提供了一种流表过载防护装置，包括：

存储器，存储有可运行的程序代码；

至少一个处理器，在运行所述存储器存储的所述程序代码时执行上述的流表过载防护方法。

本发明实施例的另一方面，还提供了一种交换机集群，包括多个交换机，其中每个交换机均执行或安装上述的流表过载防护方法与装置。

本发明具有以下有益技术效果：本发明实施例提供的流表过载防护方法与装置，通过尝试将数据包匹配现有的流表项，直接按照流表项来处理能处理的数据包，并将不能直接匹配流表项处理的数据包根据本地交换机的流表空间是否过载来选择生成新的流表项或交由其它交换机处理的技术方案，能够针对不同流表或不同类型的流表进行保护以防止其过载，最大化利用有限的流表资源，缓解和消除非法攻击和突发事件所产生的影响。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的流表过载防护方法的实施例的流程示意图；

图2为本发明提供的流表过载防护方法的实施例的详细流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。

需要说明的是，本发明实施例中所有使用“第一”和“第二”的表述均是为了区分两个相同名称非相同的实体或者非相同的参量，可见“第一”“第二”仅为了表述的方便，不应理解为对本发明实施例的限定，后续实施例对此不再一一说明。

基于上述目的，本发明实施例的第一个方面，提出了一种能够针对不同流表或不同类型的流表进行保护以防止其过载的方法的实施例。图1示出的是本发明提供的流表过载防护方法的实施例的流程示意图。

所述流表过载防护方法包括以下步骤：

步骤S101，获取到达本地交换机的数据包，并尝试将数据包匹配现有的流表项；

步骤S103，当数据包能够匹配现有的流表项时，直接按照流表项来处理数据包；

步骤S105，当数据包不能匹配现有的流表项时，根据本地交换机的流表空间状态，来生成新的流表项、或将数据包引导到远程交换机。

简单地说，本发明实施例通过将本地交换机的流表空间不能相应占用需求的数据包引导到远程交换机来占用其流表空间的方式，将整个网络所有交换机的未使用的流表空间合并在一起，通过共享流表空间来防御流表过载攻击。一个交换机的流表空间有限，一旦流表空间被攻击流占满，则交换机的网络服务瘫痪。当所有交换机的流表空间整合在一起的时候，若一个交换机受到攻击，新流突然增多，流表空间不足，则可以用其他交换机上的流表空间，而攻击流总是不会占满整个流表空间，仍会有正常流在流表空间，不影响正常的网络服务。

本领域普通技术人员可以理解，实现流表过载防护方法中的全部或部分流程，可以通过计算机程序来指令相关硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述流表过载防护方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(ROM)或随机存储记忆体(RAM)等。所述计算机程序的实施例，可以达到与之对应的前述任意方法实施例相同或者相类似的效果。

本发明实施例监测每一个交换机的状态，当本地交换机的流表空间占满时，将其流量转移到其他交换机，因此这些流量将会分布在到整个网络，而不仅仅聚集在被攻击的目标交换机上；整个网络的流表空间都参与分摊流表过载攻击。应当理解，本发明实施例不旨在将流表空间耗尽的交换机的流表规则转移到其他交换机上，而是在被攻击的目的交换机上安装一些规则，以将流量转移到其他共享交换机上。因此，处理流量的这些规则也会安装到其他共享交换机上。

具体的详细流程图可以参考图2。如图2所示，当数据包到达交换机时，先与交换机的流表进行匹配，若匹配成功，则按照流表规则进行转发。否则，报告至控制器。控制器通过周期性的发送flow-stats-requests消息到交换机来获取交换机的流表空间状态。若该交换机的流表空间未满，则直接在该交换机创建流规则。否则，认为交换机流表空间处于过载状态，在共享的流表空间为过载的交换机找合适的共享交换机，创建引导规则，引导流量转移到共享交换机上。

根据本发明实施例公开的流表过载防护方法还可以被实现为由CPU执行的计算机程序，该计算机程序可以存储在计算机可读存储介质中。在该计算机程序被CPU执行时，执行流表过载防护方法中限定的上述功能。流表过载防护方法也可以利用控制器以及用于存储使得控制器实现上述步骤或单元功能的计算机程序的计算机可读存储介质实现。

在一些实施方式中，还包括整个方法执行期间持续地或周期性地监视本地交换机的流表空间状态。本领域技术人员可以根据流表空间状态需要保证的数据刷新时间来选择监视方式和频率。

在一些实施方式中，根据本地交换机的流表空间状态，来生成新的流表项、或将数据包引导到远程交换机，具体地包括：

根据本地交换机的流表空间状态判断流表空间占用是否超过预定阈值；

当本地交换机的流表空间占用不超过预定阈值时，在本地交换机的流表空间中生成新的流表项，并按照新的流表项来处理数据包；

当本地交换机的流表空间占用超过预定阈值时，在多个可用的远程交换机中确定一个共享远程交换机，并将数据包引导到共享远程交换机。

在本地交换机的流表空间占用超过预定阈值(如已满)时，将需要在流表中生成新流表项的数据包的处理工作转移到流表具有剩余流表空间的远程交换机进行处理，相当于间接使整个交换机集群共享了流表空间。

结合这里的公开所描述的各种示例性步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，已经就各种示意性步骤的功能对其进行了一般性的描述。这种功能是被实现为软件还是被实现为硬件取决于具体应用以及施加给整个系统的设计约束。本领域技术人员可以针对每种具体应用以各种方式来实现所述的功能，但是这种实现决定不应被解释为导致脱离本发明实施例公开的范围。

在一些实施方式中，在多个可用的远程交换机中确定一个共享远程交换机包括：

获取多个可用的远程交换机的状态信息；

根据远程交换机的状态信息确定共享远程交换机。

在一些实施方式中，远程交换机的状态信息包括以下至少之一：流表空间占用、到本地交换机的距离、使用率、连接其它远程交换机的数量；

进一步地，根据远程交换机的状态信息确定共享远程交换机为：优先选择流表空间占用不超过预定阈值、到本地交换机的距离更近、使用率更低、和/或连接其它交换机的数量更多的远程交换机作为共享远程交换机。

流表空间占用不超过预定阈值是一个必选项，这代表远程交换机是可用的；剩下的状态信息用作对远程交换机的工作状态的参考。当存在多个远程交换机可用时，本地交换机可以根据本领域技术人员易于理解的算法来确定一个最佳的选择，这个最佳选择使得交换机集群整体因为该次数据包引导而导致的运行成本增量最小化。

在一些实施方式中，在将数据包引导到共享远程交换机后，还按照流量引导规则将数据包所在的数据流引导到共享远程交换机。

在一些实施方式中，在将数据包引导到共享远程交换机后，还执行以下步骤：

使共享远程交换机尝试将数据包匹配共享远程交换机现有的共享远程流表项；

当数据包能够匹配共享远程流表项时，使共享远程交换机直接按照现有的共享远程流表项来处理数据包；

当数据包不能匹配共享远程流表项时，使共享远程交换机生成新的共享远程流表项。

应当明白，对一个数据包的处理生成的流表项对该数据包所在数据流的其他数据包也能够进行直接处理、或至少能够进行直接处理的概率较大。因此出于降低交换机集群的总处理与传输成本考虑，由同一个交换机处理同一个数据流内的所有数据包可以最大化利用流表项的流表空间中的占用；在流表空间总体有限的情况下，这显然是非常有利的。

在一些实施方式中，按照流表项来处理数据包为转发或丢弃数据包。

从上述实施例可以看出，本发明实施例提供的流表过载防护方法，通过尝试将数据包匹配现有的流表项，直接按照流表项来处理能处理的数据包，并将不能直接匹配流表项处理的数据包根据本地交换机的流表空间是否过载来选择生成新的流表项或交由其它交换机处理的技术方案，能够针对不同流表或不同类型的流表进行保护以防止其过载，最大化利用有限的流表资源，缓解和消除非法攻击和突发事件所产生的影响。

需要特别指出的是，上述流表过载防护方法的各个实施例中的各个步骤均可以相互交叉、替换、增加、删减，因此，这些合理的排列组合变换之于流表过载防护方法也应当属于本发明的保护范围，并且不应将本发明的保护范围局限在所述实施例之上。

基于上述目的，本发明实施例的第二个方面，提出了一种能够针对不同流表或不同类型的流表进行保护以防止其过载的装置的实施例。所述装置包括：

存储器，存储有可运行的程序代码；

至少一个处理器，在运行所述存储器存储的所述程序代码时执行上述的流表过载防护方法。

其中，根据本发明的一个实施例，处理器还可以包括流表空间状态收集模块和流量引导模块。流表空间状态收集模块使用交换机状态监视进程获取本地交换机和/或远程交换机的流表空间状态，而流量引导模块在运行程序代码时根据本地交换机和/或远程交换机的流表空间状态来执行上述的流表过载防护方法。

本文所述的计算机可读存储介质(例如存储器)可以是易失性存储器或非易失性存储器，或者可以包括易失性存储器和非易失性存储器两者。作为例子而非限制性的，非易失性存储器可以包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦写可编程ROM(EEPROM)或快闪存储器。易失性存储器可以包括随机存取存储器(RAM)，该RAM可以充当外部高速缓存存储器。作为例子而非限制性的，RAM可以以多种形式获得，比如同步RAM(DRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据速率SDRAM(DDR SDRAM)、增强SDRAM(ESDRAM)、同步链路DRAM(SLDRAM)、以及直接Rambus RAM(DRRAM)。所公开的方面的存储设备意在包括但不限于这些和其它合适类型的存储器。

流表空间状态收集模块中可以使用OpenFlow的功能来实现交换机状态监视进程。

流量引导模块在数据包到达交换机时，如果能匹配现有流表项，则根据匹配项进行处理。否则，交换机将识别为新流并且报告至控制器。然后检查交换机流表空间是否已满。如果不满，控制器安照“正常”规则来处理流(如生成新的流表项)。如果交换机流表空间已满，则将其流量引导到其他共享交换机上。先找到最合适的共享交换机，并安装“流量引导”规则以将流量引导到共享交换机上。

流量引导模块在交换机流表空间已满时，找到合适的共享交换机。该方法主要是根据流表剩余的可用空间的大小对交换机的状态进行分类并设置优先级，在选择目标共享交换机时选择优先级别高的共享交换机。另外，影响是否能够成为最佳的目标共享交换机的因素还有连接其他交换机的数量、与被攻击者的交换机的距离、交换机的使用率等。其中，在其他因素相同时，连接其他交换机的数量越多，优先级越高；与被攻击的交换机的距离越近，优先级越高；交换机的使用率越低，优先级越高。

本发明实施例公开所述的流量引导模块和流表空间状态收集模块可为各种电子终端设备，例如手机、个人数字助理(PDA)、平板电脑(PAD)、智能电视等，也可以是大型终端设备，如服务器等，因此本发明实施例公开的保护范围不应限定为某种特定类型的模块。本发明实施例公开所述的客户端可以是以电子硬件、计算机软件或两者的组合形式应用于上述任意一种电子终端设备中。

结合这里的公开所描述的各种示例性逻辑块、模块和电路可以利用被设计成用于执行这里所述功能的下列部件来实现或执行：通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立门或晶体管逻辑、分立的硬件组件或者这些部件的任何组合。通用处理器可以是微处理器，但是可替换地，处理器可以是任何传统处理器、控制器、微控制器或状态机。处理器也可以被实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、一个或多个微处理器结合DSP和/或任何其它这种配置。

基于上述目的，本发明实施例的第三个方面，提出了一种能够针对不同流表或不同类型的流表进行保护以防止其过载的交换机集群的实施例。所述交换机集群包括多个交换机，其中每个交换机均执行或安装上述的流表过载防护方法与装置。

从上述实施例可以看出，本发明实施例提供的流表过载防护装置和交换机集群，通过尝试将数据包匹配现有的流表项，直接按照流表项来处理能处理的数据包，并将不能直接匹配流表项处理的数据包根据本地交换机的流表空间是否过载来选择生成新的流表项或交由其它交换机处理的技术方案，能够针对不同流表或不同类型的流表进行保护以防止其过载，最大化利用有限的流表资源，缓解和消除非法攻击和突发事件所产生的影响。

需要特别指出的是，上述流表过载防护装置和交换机集群的实施例采用了所述流表过载防护方法的实施例来具体说明各模块的工作过程，本领域技术人员能够很容易想到，将这些模块应用到所述流表过载防护方法的其他实施例中。当然，由于所述流表过载防护方法实施例中的各个步骤均可以相互交叉、替换、增加、删减，因此，这些合理的排列组合变换之于所述流表过载防护装置和交换机集群也应当属于本发明的保护范围，并且不应将本发明的保护范围局限在所述实施例之上。

以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。

应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。

所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上所述的本发明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (10)

1.一种流表过载防护方法，其特征在于，包括以下步骤：

获取到达本地交换机的数据包，并尝试将所述数据包匹配现有的流表项；

当所述数据包能够匹配现有的所述流表项时，按照所述流表项来处理所述数据包；

当所述数据包不能匹配现有的所述流表项时，根据所述本地交换机的流表空间状态，来生成新的所述流表项、或将所述数据包引导到远程交换机。

2.根据权利要求1所述的方法，其特征在于，还包括在方法执行期间持续地或周期性地监视所述本地交换机的所述流表空间状态。

3.根据权利要求1所述的方法，其特征在于，根据所述本地交换机的所述流表空间状态，来生成新的所述流表项、或将所述数据包引导到所述远程交换机，具体地包括：

根据所述本地交换机的所述流表空间状态判断流表空间占用是否超过预定阈值；

当所述本地交换机的所述流表空间占用不超过预定阈值时，在所述本地交换机的所述流表空间中生成新的所述流表项，并按照新的所述流表项来处理所述数据包；

当所述本地交换机的所述流表空间占用超过预定阈值时，在多个可用的所述远程交换机中确定一个共享远程交换机，并将所述数据包引导到所述共享远程交换机。

4.根据权利要求3所述的方法，其特征在于，在多个可用的所述远程交换机中确定一个所述共享远程交换机包括：

获取多个可用的所述远程交换机的状态信息；

根据所述远程交换机的所述状态信息确定所述共享远程交换机。

5.根据权利要求4所述的方法，其特征在于，所述远程交换机的所述状态信息包括以下至少之一：流表空间占用、到所述本地交换机的距离、使用率、连接其它远程交换机的数量；

进一步地，根据所述远程交换机的所述状态信息确定所述共享远程交换机为：优先选择流表空间占用不超过预定阈值、到所述本地交换机的距离更近、使用率更低、和/或连接其它交换机的数量更多的远程交换机作为所述共享远程交换机。

6.根据权利要求3所述的方法，其特征在于，在将所述数据包引导到所述共享远程交换机后，还按照流量引导规则将所述数据包所在的数据流引导到所述共享远程交换机。

7.根据权利要求3所述的方法，其特征在于，在将所述数据包引导到所述共享远程交换机后，还执行以下步骤：

使所述共享远程交换机尝试将所述数据包匹配所述共享远程交换机现有的共享远程流表项；

当所述数据包能够匹配所述共享远程流表项时，使所述共享远程交换机直接按照现有的所述共享远程流表项来处理所述数据包；

当所述数据包不能匹配所述共享远程流表项时，使所述共享远程交换机生成新的所述共享远程流表项。

8.根据权利要求1所述的方法，其特征在于，按照所述流表项来处理所述数据包为转发或丢弃所述数据包。

9.一种流表过载防护装置，其特征在于，包括：

存储器，存储有可运行的程序代码；

至少一个处理器，在运行所述存储器存储的所述程序代码时执行如权利要求1-8中任意一项所述的流表过载防护方法。

10.一种交换机集群，其特征在于，包括多个交换机，其中每个所述交换机均执行如权利要求1-8中任意一项所述的流表过载防护方法、或安装如权利要求9所述的流表过载防护装置。