CN110365553A - 一种基于SDN的IPv6网络流量监控方法及系统 - Google Patents

Abstract

本发明公开了一种基于SDN的IPv6网络流量监控方法及系统，包括交换机、终端设备和SDN控制器：交换机实现网络中IPv6数据包的转发；终端设备包括终端主机和监控设备；SDN控制器包括拓扑管理模块、设备管理模块、路由计算模块、转发规则安装模块和监控策略处理模块；用户向SDN控制器中输入监控策略，SDN控制器通过监控策略处理模块将策略转换为网络中的节点或链路，并根据拓扑管理模块和设备管理模块提供的信息，使用路由计算模块确定监控目标到监控设备的最短路径，再通过转发规则安装模块向最短路径上的交换机中安装流转发规则，交换机根据转发规则将监控目标的流量信息转发至监控设备。本发明能高效精准地对IPv6网络流量实时监控，具有极强的适应性和灵活性。

Description

一种基于SDN的IPv6网络流量监控方法及系统

技术领域

本发明涉及网络通信技术领域，具体涉及一种基于SDN的IPv6网络流量监控方法及系统。

背景技术

随着IPv4地址的枯竭，以及物联网等新技术的发展对网络地址的巨大需求，现有基于IPv4的互联网难以满足实际应用的各种需求。基于IPv4协议的互联网向基于IPv6协议的下一代互联网发展已经成为了一种不可阻挡的趋势，下一代互联网的研究和建设也成为了计算机网络领域的研究热点。相比于IPv4协议，IPv6协议一个显著的特征是地址空间容量有了很大的扩展。大容量的地址空间和复杂的网络环境，给IPv6网络流量监控带了巨大的挑战。

网络流量监控在网络管理和分析中具有重要的作用，它为网络优化、故障发现、异常预警、流量特征提取和流量建模提供依据。在传统网络体系结构下，IPv6流量的监控主要是通过探针(Sniffer)、端口镜像(port mirror)和流镜像技术来实现。网络流量监控的主要过程包括：流量采集、数据存储和数据分析。传统的网络流量采集方法大部分是基于网卡的，如镜像技术。在性能要求较高的场景下，需要专用的流量捕获设备。这种流量采集方式不太灵活，且需要额外的硬件设备支持。

软件定义网络(software-defined networking,SDN)是一种新型网络体系结构，它通过对网络设备的控制逻辑和转发硬件进行分离，采用集中式的方式控制整个网络的行为，为网络的创新与发展注入了新的生机与活力。在SDN网络中，控制器通过OpenFlow协议与网络转发设备进行交互。集中式的控制方式，使得控制器拥有全局网络信息，并且能够实现对全网流量转发的细粒度控制。目前，发布的OpenFlow 1.2中，开始添加了对IPv6的支持，Floodlight控制器在1.2版本中亦添加了对IPv6的支持，包括对IPv6数据包的转发和IPv6设备的管理。但并未利用SDN控制器能灵活控制全局流量的特点，实现对IPv6流量的监控。

发明内容

有鉴于此，本发明为了克服现有IPv6流量监控方式不灵活、效率不高的缺陷，利用SDN全局细粒度的流量控制能力，提供一种基于SDN的IPv6流量控制方法及系统，实现对IPv6流量高效、精准的监控。

一方面，本发明提供了一种基于SDN的IPv6流量控制方法，包括以下步骤：

S0，网络初始化；

S1，SDN控制器通过拓扑管理模块和设备管理模块维护全局网络拓扑信息和设备信息；

S2，用户向SDN控制器中输入监控策略，并通过SDN控制器的监控策略处理模块将监控策略转换为网络中的监控目标；

S3，判断监控目标是否为终端主机，若是则进入步骤S4，反之，则进入步骤S5；

S4，SDN控制器查询设备信息表，确定监控设备以及终端主机的位置信息，通过路由计算模块计算并存储从终端主机到监控设备的最短路径，再进入步骤S6；

S5，SDN控制器查询设备信息表，确定监控设备、源节点和目的节点的位置信息，通过路由计算模块计算从源节点到目的节点的最短路径，再从该最短路径上寻找距离监控设备最近的点，并存储该点到监控设备的最短路径，再进入步骤S6；

S6，SDN控制器通过转发规则安装模块向最短路径上的交换机安装流转发规则，交换机根据转发规则将监控目标的流量信息转发到监控设备；

S7，监控设备收集流量信息并进行分析，给出结果。

进一步地，所述步骤S1，SDN控制器通过拓扑管理模块和设备管理模块维护全局网络拓扑信息和设备信息具体分为如下步骤：

S1A，SDN控制器通过周期性发送链路层发现协议LLDP数据包，并结合SDN控制器中的拓扑管理模块动态的维护全局网络拓扑信息；

S1B，SDN控制器通过设备管理模块跟踪网络中的监控设备和终端主机的设备信息，并将两者的位置信息存入设备信息表中。

进一步地，所述步骤S1A中全局网络拓扑信息包括节点和链路信息；

和/或，步骤S1B中监控设备和终端主机的设备信息通过设备管理模块监控网络中的Packet_In消息实现，设备信息包括网络中终端主机的MAC地址、IPv6地址、与终端主机直接相连的交换机DPID和端口Port。

进一步地，所述步骤S1B中设备信息表由设备名称、终端MAC地址、IPv6地址、交换机DPID和端口Port五部分组成。

进一步地，所述步骤S2中监控策略处理模块调用拓扑管理模块中的拓扑信息，将用户输入的监控策略转换为网络中终端主机或者链路信息，供路由计算模块调用。

进一步地，所述步骤S4中，终端主机到监控设备的最短路径根据迪杰斯特拉Dijkstra算法计算得到，路径上的交换机信息由交换机DPID确定。

进一步地，所述步骤S5中，源节点到目的节点的转发路径由Dijkstra算法计算得到，根据路径上的交换机信息，分别计算每个交换机到监控设备的最短路径，并记录路径长度，从而确定离监控设备最近的交换机，并存储该交换机到监控设备最短路径上的所有交换机信息。

进一步地，所述步骤S6中，SDN控制器下发的流转发规则通过Flow_Mod消息实现。

进一步地，所述步骤S7中，监控设备包括入侵检测系统、防火墙设备以及网络流量分析设备，所述入侵检测系统用于对IPv6网络传输进行即时监视，所述防火墙设备用于控制IPv6数据包的进出，所述网络流量分析设备用于分析监控目标的流量信息。

另一方面，本发明还提供了一种基于SDN的IPv6网络流量监控系统，包括SDN控制器、交换机和终端设备：

所述交换机与SDN控制器相连，用于实现网络中IPv6数据包的转发；

所述终端设备包括基于IPv6协议的终端主机和用于网络流量监控的监控设备，所述终端主机和监控设备均与交换机相连；

所述SDN控制器用于对网络中IPv6数据包转发路径实现控制，包括拓扑管理模块、设备管理模块、监控策略处理模块、路由计算模块和转发规则安装模块，所述拓扑管理模块用于维护全局网络拓扑信息；所述设备管理模块用于跟踪网络中的监控设备和终端主机的信息，并将其位置信息进行存储；所述监控策略处理模块用于将监控策略转换为网络中的监控目标；所述路由计算模块用于计算监控目标到监控设备的最短路径，并存储该路径上的交换机信息；所述转发规则安装模块用于向最短路径上的交换机中安装流转发规则。

故此，本发明一种基于SDN的IPv6网络流量监控方法及系统，包括交换机、终端设备和SDN控制器：交换机实现网络中IPv6数据包的转发；终端设备包括配置了IPv6协议的终端主机和各种类型的网络流量监控设备；SDN控制器实现对网络中IPv6数据包转发路径的控制，主要包括拓扑管理模块、设备管理模块、路由计算模块、转发规则安装模块和监控策略处理模块；用户向SDN控制器中输入监控策略，SDN控制器通过监控策略处理模块将策略转换为网络中的节点或链路，并根据拓扑管理模块和设备管理模块提供的信息，使用路由计算模块确定监控目标到监控设备的最短路径，再通过转发规则安装模块向最短路径上的交换机中安装流转发规则，交换机根据转发规则将监控目标的流量信息转发至监控设备。本发明能灵活地自定义监控目标，在监控流量过程中无需中断网络，无需调整监控设备的位置，且不干扰数据流的传输，具有极强的适应性和较高灵活性。

附图说明

构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例提供的一种基于SDN的IPv6网络流量监控系统的结构简图；

图2为一种基于SDN的IPv6网络流量监控方法的流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

图1是本发明实施例提供的一种基于SDN的IPv6网络流量监控系统的结构简图。如图1所示，一种基于SDN的IPv6网络流量监控系统，包括SDN控制器、交换机和终端设备，其中，交换机与SDN控制器相连，用于实现网络中IPv6数据包的转发；终端设备包括基于IPv6协议的终端主机和用于网络流量监控的监控设备，终端主机和监控设备均与交换机相连；SDN控制器用于对网络中IPv6数据包转发路径实现控制，包括拓扑管理模块、设备管理模块、监控策略处理模块、路由计算模块和转发规则安装模块，具体地，拓扑管理模块用于维护全局网络拓扑信息；设备管理模块用于跟踪网络中的监控设备和终端主机的信息，并将其位置信息进行存储；监控策略处理模块用于将监控策略转换为网络中的监控目标；路由计算模块用于计算监控目标到监控设备的最短路径，并存储该路径上的交换机信息；转发规则安装模块用于向最短路径上的交换机中安装流转发规则。优选地，本发明中交换机为OpenFlow交换机。需要说明的是，本发明中交换机和终端主机的数量均为多个，多个终端主机均通过交换机与SDN控制器相连。

此外，值得提及的是，图1所示的实施例中仅包括一终端设备M和终端主机A与B，但是本发明的保护范围不仅于此，终端设备M和终端主机的数量还可以为更多个，此处不再一一举例。

同时，如图2所示，本发明还提供了一种基于SDN的IPv6流量控制方法，包括以下步骤：

S0，网络初始化。

S1，SDN控制器通过拓扑管理模块和设备管理模块维护全局网络拓扑信息和设备信息。具体地，步骤S1分为两个步骤：

S1A，SDN控制器通过周期性发送链路层发现协议LLDP数据包，并结合SDN控制器中的拓扑管理模块动态的维护全局网络拓扑信息，该全局网络拓扑信息包括节点和链路信息；

S1B，SDN控制器通过设备管理模块跟踪网络中的监控设备和终端主机的设备信息，并将两者的位置信息存入设备信息表中。监控设备和终端主机的设备信息通过设备管理模块监控网络中的Packet_In消息实现，设备信息包括网络中终端主机的MAC地址、IPv6地址、与终端主机直接相连的交换机DPID(交换机数据通道标识，Data path Identifier，DPID)和端口Port。需要说明的是，步骤S1B中设备信息表由设备名称、终端MAC地址、IPv6地址、交换机DPID和端口Port五部分组成。

S2，用户向SDN控制器中输入监控策略，并通过SDN控制器的监控策略处理模块将监控策略转换为网络中的监控目标。具体地，监控策略处理模块调用拓扑管理模块中的拓扑信息，将用户输入的监控策略转换为网络中终端主机或者链路信息，供路由计算模块调用。需要说明的是，监控目标优选为终端主机或者从源节点到目的节点。

S3，判断监控目标是否为终端主机，若是则进入步骤S4，反之，则进入步骤S5。

S4，SDN控制器查询设备信息表，确定监控设备以及终端主机的位置信息，通过路由计算模块计算并存储从终端主机到监控设备的最短路径，再进入步骤S6。优选地，本步骤中终端主机到监控设备的最短路径根据迪杰斯特拉Dijkstra算法计算得到，路径上的交换机信息由交换机DPID确定。

S5，SDN控制器查询设备信息表，确定监控设备、源节点和目的节点的位置信息，通过路由计算模块计算从源节点到目的节点的最短路径，再从该最短路径上寻找距离监控设备最近的点，并存储该点到监控设备的最短路径，再进入步骤S6。

需要说明的是，在步骤S5中，源节点到目的节点的转发路径亦优选通过Dijkstra算法计算得到，根据路径上的交换机信息，分别计算每个交换机到监控设备的最短路径，并记录路径长度，从而确定离监控设备最近的交换机，并存储该交换机到监控设备最短路径上的所有交换机信息。

S6，SDN控制器通过转发规则安装模块向最短路径上的交换机安装流转发规则，交换机根据转发规则将监控目标的流量信息转发到监控设备。优选地，本步骤中SDN控制器下发的流转发规则通过Flow_Mod消息实现。具体而言，SDN控制器确定转发路径后，向路径上的所有交换机发送Flow_Mod消息，并将该消息写入通道发送给交换机。

S7，监控设备收集流量信息并进行分析，给出结果。具体地，步骤S7中，监控设备包括用于对IPv6网络传输进行即时监视的入侵检测系统、用于控制IPv6数据包的进出的以及防火墙设备以及用于分析监控目标的流量信息的网络流量分析设备。这些设备在网络中部署后，无须根据不同监控目标的位置进行移动、重新部署。

下面分别以监控目标(终端主机或者从源节点到目的节点)不同，对本发明一种基于SDN的IPv6网络流量监控方法进行进一步地阐述。

实施例一

以监控图1中终端主机A的流量为例，下面简要描述其监控过程：

S0，网络初始化。

S1A，SDN控制器中的拓扑管理模块通过周期性发送LLDP数据包，构建全局网络视图，并实时动态的维护全局网络拓扑信息。

S1B，SDN控制器中的设备管理模块通过处理网络中的Packet_In请求消息，跟踪网络中的监控设备和终端主机的信息，包括设备MAC地址、IPv6地址和接入点(交换机DPID和端口号Port)，并将监控设备和终端主机的位置信息存入表1设备信息表中。

表1

S2，用户根据SDN控制器提供的全局网络视图，向SDN控制器输入监控策略，如终端主机A。监控策略处理模块通过调用拓扑管理模块，将主机A转换为网络中A的MAC地址9e:16:69:f6:96:6d和IPv6地址2001：：2，并供路由计算模块使用。

S3，判断监控目标是否为终端主机，若是则进入步骤S4，反之，则进入步骤S5。本实施例中监控目标为终端主机A，直接进入步骤S4。

S4，SDN控制器通过查询表1，确定监控设备M、终端主机A的设备信息，并确定一条从终端主机A(IPv6地址为2001：：2)到监控设备(IPv6地址为2001：：3)的最短路径(A->S1->S4->S5->M)，并存储该路径上的交换机S1、S4、S5的信息，转步骤S6。

S5，SDN控制器通过查询表1，确定监控设备、源节点和目的节点的位置信息，根据全局拓扑信息计算从源节点到目的节点的转发路径，确定一条从该路径上的交换机到监控设备的最短路径，并存储该路径上的交换机信息，转步骤S6。

S6，SDN控制器向交换机S1、S4、S5中分别安装一条流规则，将源IPv6地址为2001：：2的流量信息，转发到监控设备M(2001:3)。

S7，由监控设备M对指定的流量信息进行存储和分析，并给出分析结果。

实施例二

以监控终端主机A到终端主机B(从源节点到目的节点)的流量为例，下面简要描述其监控过程：

S0，网络初始化。

S1A，SDN控制器中的拓扑管理模块通过周期性发送LLDP数据包，构建全局网络视图，并实时动态的维护全局网络拓扑信息。

S1B，SDN控制器中的设备管理模块通过处理网络中的Packet_In请求消息，跟踪网络中的监控设备和终端主机的信息，包括设备MAC地址、IPv6地址和接入点(交换机DPID和端口号Port)，并将监控设备和终端主机的位置信息存入表1设备信息表中。

表1

S2，用户根据SDN控制器提供的全局网络视图，向SDN控制器输入监控策略，如终端主机A->终端主机B。监控策略处理模块通过调用拓扑管理模块，将源节点终端主机A转换为网络中A的MAC地址9e:16:69:f6:96:6d和IPv6地址2001：：2，将目的节点终端主机B转换为网络中B的MAC地址de:1f:51:09:12:fa和IPv6地址2002：：1，并供路由计算模块使用。

S3，判断监控目标是否为终端主机，若是则进入步骤S4，反之，则进入步骤S5。本实施例中监控目标为源节点A到目的节点B，则跳过步骤S4，直接进入步骤S5。

S4，SDN控制器通过查询表1，确定监控设备、终端主机的位置信息，并确定一条从终端主机到监控设备的最短路径，并存储该路径上的交换机信息，转步骤S6。

S5，SDN控制器通过查询表1，确定监控设备M、源节点A和目的节点B的位置信息，根据全局拓扑信息计算从源节点A(IPv6地址为2001：：2)到目的节点B(IPv6地址为2001：：1)的转发路径，确定一条从该路径上的交换机到监控设备的最短路径(A->S1->S4->S5->S6->B)，并分别计算从S1、S4、S5、S6到监控设备M的最短路径，在这些路径中选择一条最短路径，即S5->M，并存储该路径上的交换机S5的信息。

S6，SDN控制器向交换机S5中分别安装一条流规则，将源IPv6地址为2001：：2，目的IPv6地址为2001：：1的流量信息，转发到监控设备M(2001:3)。

S7：由监控设备M对指定的流量进行存储和分析，并给出分析结果。

综上所述，本发明相比现有通过使用流量镜像技术实现的网络流量监控方法及系统，具有如下优点：

首先，能够在全局网络视图下，灵活地自定义监控目标；

其次，在采集流量时，不需要额外的硬件设备进行支持，亦不需要对网络中的其它终端主机、交换机、监控设备等节点位置进行变动，仅仅需要在监控目标和监控设备所在路径上的交换机中安装流规则，通过指定监控目标就可以自动的采集流量；

再次，在采集流量时，无需中断网络，亦无需调整监控设备的位置，且不干扰数据流的传输，选择流量路径上距离监控设备最近的点进行流量采集，能够以最小的代价实现流量的灵活监控；

最后，采集流量时，在流规则下发的过程中，可以通过指定网络中数据包的各个字段，完成对特定流量的监控，实现细粒度的流量监控策略，有效提高流量监控的效率。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于SDN的IPv6网络流量监控方法，其特征在于，包括以下步骤：

S0，网络初始化；

S1，SDN控制器通过拓扑管理模块和设备管理模块维护全局网络拓扑信息和设备信息；

S2，用户向SDN控制器中输入监控策略，并通过SDN控制器的监控策略处理模块将监控策略转换为网络中的监控目标；

S3，判断监控目标是否为终端主机，若是则进入步骤S4，反之，则进入步骤S5；

S4，SDN控制器查询设备信息表，确定监控设备以及终端主机的位置信息，通过路由计算模块计算并存储从终端主机到监控设备的最短路径，再进入步骤S6；

S5，SDN控制器查询设备信息表，确定监控设备、源节点和目的节点的位置信息，通过路由计算模块计算从源节点到目的节点的最短路径，再从该最短路径上寻找距离监控设备最近的点，并存储该点到监控设备的最短路径，再进入步骤S6；

S6，SDN控制器通过转发规则安装模块向最短路径上的交换机安装流转发规则，交换机根据转发规则将监控目标的流量信息转发到监控设备；

S7，监控设备收集流量信息并进行分析，给出结果。

2.根据权利要求1所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S1，SDN控制器通过拓扑管理模块和设备管理模块维护全局网络拓扑信息和设备信息具体分为如下步骤：

S1A，SDN控制器通过周期性发送链路层发现协议LLDP数据包，并结合SDN控制器中的拓扑管理模块动态的维护全局网络拓扑信息；

S1B，SDN控制器通过设备管理模块跟踪网络中的监控设备和终端主机的设备信息，并将两者的位置信息存入设备信息表中。

3.根据权利要求2所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S1A中全局网络拓扑信息包括节点和链路信息；

和/或，步骤S1B中监控设备和终端主机的设备信息通过设备管理模块监控网络中的Packet_In消息实现，设备信息包括网络中终端主机的MAC地址、IPv6地址、与终端主机直接相连的交换机DPID和端口Port。

4.根据权利要求2所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S1B中设备信息表由设备名称、终端MAC地址、IPv6地址、交换机DPID和端口Port五部分组成。

5.根据权利要求1至4中任一项所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S2中监控策略处理模块调用拓扑管理模块中的拓扑信息，将用户输入的监控策略转换为网络中终端主机或者链路信息，供路由计算模块调用。

6.根据权利要求1至4中任一项所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S4中，终端主机到监控设备的最短路径根据迪杰斯特拉Dijkstra算法计算得到，路径上的交换机信息由交换机DPID确定。

7.根据权利要求1至4中任一项所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S5中，源节点到目的节点的转发路径由Dijkstra算法计算得到，根据路径上的交换机信息，分别计算每个交换机到监控设备的最短路径，并记录路径长度，从而确定离监控设备最近的交换机，并存储该交换机到监控设备最短路径上的所有交换机信息。

8.根据权利要求1至4中任一项所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S6中，SDN控制器下发的流转发规则通过Flow_Mod消息实现。

9.根据权利要求1至4中任一项所述的基于SDN的IPv6网络流量监控方法，其特征在于，所述步骤S7中，监控设备包括入侵检测系统、防火墙设备以及网络流量分析设备，所述入侵检测系统用于对IPv6网络传输进行即时监视，所述防火墙设备用于控制IPv6数据包的进出，所述网络流量分析设备用于分析监控目标的流量信息。

10.一种基于SDN的IPv6网络流量监控系统，其特征在于，包括SDN控制器、交换机和终端设备：

所述交换机与SDN控制器相连，用于实现网络中IPv6数据包的转发；

所述终端设备包括基于IPv6协议的终端主机和用于网络流量监控的监控设备，所述终端主机和监控设备均与交换机相连；

所述SDN控制器用于对网络中IPv6数据包转发路径实现控制，包括拓扑管理模块、设备管理模块、监控策略处理模块、路由计算模块和转发规则安装模块，所述拓扑管理模块用于维护全局网络拓扑信息；所述设备管理模块用于跟踪网络中的监控设备和终端主机的信息，并将其位置信息进行存储；所述监控策略处理模块用于将监控策略转换为网络中的监控目标；所述路由计算模块用于计算监控目标到监控设备的最短路径，并存储该路径上的交换机信息；所述转发规则安装模块用于向最短路径上的交换机中安装流转发规则。