CN112187610B - 一种网络靶场的网络隔离系统与方法 - Google Patents

Abstract

本发明公开了一种网络靶场的网络隔离系统与方法，该系统包括部署在控制节点的靶场管理模块和SDN控制器，以及部署在计算节点的虚拟化管理模块；其中网络靶场管理模块用于为靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识，并为网络靶场中的虚拟机分配IP和MAC，并将虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入数据库中；SDN控制器用于对监听到ARP包、组播或广播包进行处理实现网络隔离；虚拟化管理模块用于网络靶场启动时在虚拟网桥中添加将ARP包、组播和广播包转发到SDN控制器的流表。本发明能够解决数量不足以及转换性能损耗较大的问题，并省去了VLAN的管理和复杂的流表操作。

Description

一种网络靶场的网络隔离系统与方法

技术领域

本发明涉及一种网络靶场的网络隔离系统与方法，属于网络技术领域。

背景技术

网络靶场就是通过虚拟化、云计算、SDN、网络编排等技术快速完成仿真场景的构建，满足网络安全研究、人才培养、效能评估、设备测试、安全评估、应急演练等需求。在使用网络靶场的过程中，相同靶场不同网络之间或不同靶场之间要进行二层网络的隔离，以免产生网络冲突。

目前二层网络隔离一般使用VLAN或者VXLAN、GRE等技术。VLAN技术由于支持的数量有限，所以一般在私有云或者公有云场景中使用VXLAN或GRE技术。由于VXLAN或者GRE技术是在传输层又包了一层，所以会涉及到拆包解包问题，影响网络效率。

发明内容

发明目的：针对上述现有技术存在的问题，本发明的目的在于提供一种网络靶场的网络隔离系统与方法，通过ARP原理实现网络隔离，支持虚拟机的数量不受限制的同时不影响网络传输的效率。

技术方案：为实现上述发明目的，本发明所述的一种网络靶场的网络隔离系统，包括部署在网络靶场控制节点的靶场管理模块和SDN控制器，以及部署在网络靶场计算节点的虚拟化管理模块；

所述网络靶场管理模块，用于为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识；为网络靶场中的虚拟机分配IP地址和MAC地址，以及将网络靶场中的虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入数据库中；

所述SDN控制器，用于在监听到ARP请求包时，从数据库中查询得到源虚拟机的网络标识，并判断同一网络靶场内是否存在与源虚拟机的网络标识相同，且IP地址为ARP请求包中目的IP地址的目标虚拟机，若不存在，则丢弃ARP请求包，若存在，则获取目标虚拟机的MAC地址，组ARP应答包进行回复；

所述虚拟化管理模块，用于网络靶场启动时在网络靶场计算节点的虚拟网桥中添加将ARP包转发到SDN控制器的流表。

进一步地，所述数据库中存储的映射关系表中包括字段：虚拟机IP地址、虚拟机MAC地址、虚拟机的网关、虚拟机掩码、虚拟机的DNS、虚拟机连接的网络的标识和虚拟机连接的虚拟网桥的端口号。

进一步地，所述SDN控制器在监听到用于IP地址冲突检测的ARP广播包时丢弃，不进行处理。

进一步地，所述虚拟化管理模块还在虚拟网桥中添加将组播和广播包转发到SDN控制器的流表；所述SDN控制器在ARP应答包进行回复的同时，把源虚拟机连接的虚拟网桥的端口号添加到数据库中；所述SDN控制器在监听到组播或广播包时，从数据库中查询得到源虚拟机的网络标识，以及该网络标识对应网络下的所有虚拟机连接的虚拟网桥的端口号，把该组播或广播包发送到这些虚拟机。

基于相同的发明构思，本发明公开的一种网络靶场的网络隔离方法，包括如下步骤：

（1）创建网络靶场时，为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识，并为网络靶场中的虚拟机分配IP地址和MAC地址；

（2）创建网络靶场中的虚拟机时，将虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入网络靶场控制节点的数据库中；

（3）网络靶场启动时，在网络靶场计算节点的虚拟网桥中添加将ARP包转发到网络靶场控制节点上的SDN控制器的流表；

（4）SDN控制器在监听到ARP请求包时，从数据库中查询得到源虚拟机的网络标识，并判断同一网络靶场内是否存在与源虚拟机的网络标识相同，且IP地址为ARP请求包中目的IP地址的目标虚拟机，若不存在，则丢弃ARP请求包，若存在，则获取目标虚拟机的MAC地址，组ARP应答包进行回复。

进一步地，所述步骤（3）中，虚拟网桥还添加将组播和广播包转发到SDN控制器的流表；

所述步骤（4）中，SDN控制器在ARP应答包进行回复的同时，把源虚拟机连接的虚拟网桥的端口号添加到数据库中；SDN控制器在监听到组播或广播包时，从数据库中查询得到源虚拟机的网络标识，以及该网络标识对应网络下的所有虚拟机连接的虚拟网桥的端口号，把该组播或广播包发送到这些虚拟机。

有益效果：本发明利用SDN控制器实现ARP代理，通过ARP原理实现了网络隔离，省去了虚拟网桥对VLAN的相关操作，不用局限于VLAN或VXLAN的数量限制。本发明能够解决VLAN数量不足以及VXLAN或GRE转换比较多，性能损耗较大的问题。网络靶场应用该方案，省去了使用VLAN方案时对VLAN资源的管理以及为了最大化利用VLAN资源，相同网络下不同物理机上的虚拟机使用不同VLAN的复杂性；省去了使用VXLAN或GRE方案时，复杂的流表操作和出现问题时网络排查的复杂性。

附图说明

图1为本发明实施例的结构示意图。

图2为本发明实施例中SDN控制器处理ARP请求包的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅只是本发明的一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的其他所有实施例，都属于本发明保护的范围。

如图1所示，本发明实施例公开的一种网络靶场的网络隔离系统，包括部署在网络靶场控制节点的靶场管理模块和SDN控制器，以及部署在网络靶场计算节点的虚拟化管理模块。其中网络靶场管理模块用于为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识，并为网络靶场中的虚拟机分配IP地址和MAC地址，以及将网络靶场中的虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入数据库中。SDN控制器用于处理ARP包、组播和广播包。虚拟化管理模块用于配置虚拟网桥的流表，将ARP包转发到SDN控制器。各模块具体描述如下：

靶场管理模块：

1、在创建靶场时，根据靶场拓扑中不同的网络生成不同的标识，该标识要唯一，可以是数字或者字符串，作用类似于VLAN的数字，用于进行网络隔离使用。

2、创建靶场中的虚拟机时，把虚拟机的MAC地址和IP地址以及虚拟机连接的网络的标识存入到mongo数据库中。

mongo里面的字段设计如下：

ip：虚拟机IP；

mac：虚拟机MAC；

gateway：虚拟机的网关；

netmask：虚拟机掩码；

dns：虚拟机的DNS；

in_port：虚拟机连接的虚拟网桥端口号；

net_tag：虚拟机连接的网络的标识。

SDN控制器：

1、ARP包处理：如果是用于IP地址冲突检测的ARP广播包则drop掉，不进行处理。如果是ARP请求包，则在mongo中查询源虚拟机的网络标识，然后根据源虚拟机网络标识和目的IP地址，在mongo中查询目标MAC，查询到则组ARP应答包进行回复，同时把源虚拟机的in_port添加到mongo库中。如果查询不到则不进行处理。具体流程如图2所示。

2、组播和广播包处理：根据源虚拟机查询到该虚拟机所在的网络标识，然后根据网络标识查询得到该网络下的所有虚拟机in_port，然后SDN控制器把该组播或广播包通过虚拟机的in_port作为出口进行转发，发送到这些虚拟机。

虚拟化管理模块：

在虚拟网桥上面添加ARP、广播、组播转发到控制器的流表，让SDN控制器处理ARP、广播和组播包；流表可参考：

ARP包转发到SDN控制器的流表：ovs-ofctl add-flow br-int(虚拟网桥名)table=0,priority=100,arp actions=output:controller

组播和广播转发到SDN控制器，比如要把dhcp请求包发送到控制器的流表：

ovs-ofctl add-flow br-int table=0,priority=100,ip,udp,tp_src=68,tp_dst=67 actions=output:controller

用不到的组播和广播包同时添加openflow流表进行drop处理（ovs-ofctl add-flow br-int table=0,priority=0, dl_dst=01:00:00:00:00:00/01:00:00:00:00:00actions=drop，添加优先级最低的流表，把上面不处理的组播和广播包进行drop处理），避免太多的包发送到SDN控制器，造成控制器压力比较大。

基于相同的发明构思，本发明实施例公开的一种网络靶场的网络隔离方法，包括：

创建网络靶场时，为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识，并为网络靶场中的虚拟机分配IP地址和MAC地址；

创建网络靶场中的虚拟机时，将虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入网络靶场控制节点的数据库中；

网络靶场启动时，在网络靶场计算节点的虚拟网桥中添加将ARP包、组播和广播包转发到网络靶场控制节点上的SDN控制器的流表；

SDN控制器在监听到ARP请求包时，从数据库中查询得到源虚拟机的网络标识，并判断同一网络靶场内是否存在与源虚拟机的网络标识相同，且IP地址为ARP请求包中目的IP地址的目标虚拟机，若不存在，则丢弃ARP请求包，若存在，则获取目标虚拟机的MAC地址，组ARP应答包进行回复，同时把源虚拟机连接的虚拟网桥的端口号添加到数据库中。

SDN控制器在监听到组播或广播包时，从数据库中查询得到源虚拟机的网络标识，以及该网络标识对应网络下的所有虚拟机连接的虚拟网桥的端口号，把该组播或广播包发送到这些虚拟机。

本发明使用SDN技术，在SDN控制器上实现ARP代理，然后通过在计算节点的虚拟网桥上添加openflow流表使计算节点上的虚拟机ARP流量全部发送到SDN控制器进行处理。由于两台虚拟机进行通信时，先要获取到目标虚拟机的MAC地址，而获取MAC地址是通过ARP协议获取的，这样通过SDN控制器上的ARP代理控制是否进行ARP回复就可以控制虚拟机之间是否可通。同时由于IP地址冲突是通过ARP广播检测的，由于ARP流量全部由SDN控制器处理，SDN控制器会对用于IP冲突检测的ARP流量进行drop处理，也就不会存在IP冲突问题。由于只是在开始通信和ARP缓存失效时才会获取一下目标虚拟机MAC，不用虚拟网桥处理VLAN、VXLAN、GRE等相关流程，减轻了虚拟网桥的压力。

Claims (6)

1.一种网络靶场的网络隔离系统，其特征在于，包括部署在网络靶场控制节点的靶场管理模块和SDN控制器，以及部署在网络靶场计算节点的虚拟化管理模块；

所述网络靶场管理模块，用于为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识；为网络靶场中的虚拟机分配IP地址和MAC地址，以及将网络靶场中的虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入数据库中；

所述SDN控制器，用于在监听到ARP请求包时，从数据库中查询得到源虚拟机的网络标识，并判断同一网络靶场内是否存在与源虚拟机的网络标识相同，且IP地址为ARP请求包中目的IP地址的目标虚拟机，若不存在，则丢弃ARP请求包，若存在，则获取目标虚拟机的MAC地址，组ARP应答包进行回复；

所述虚拟化管理模块，用于网络靶场启动时在网络靶场计算节点的虚拟网桥中添加将ARP包转发到SDN控制器的流表。

2.根据权利要求1所述的网络靶场的网络隔离系统，其特征在于，所述数据库中存储的映射关系表中包括字段：虚拟机IP地址、虚拟机MAC地址、虚拟机的网关、虚拟机掩码、虚拟机的DNS、虚拟机连接的网络的标识和虚拟机连接的虚拟网桥的端口号。

3.根据权利要求1所述的网络靶场的网络隔离系统，其特征在于，所述SDN控制器在监听到用于IP地址冲突检测的ARP广播包时丢弃，不进行处理。

4.根据权利要求1所述的网络靶场的网络隔离系统，其特征在于，所述虚拟化管理模块还在虚拟网桥中添加将组播和广播包转发到SDN控制器的流表；所述SDN控制器在ARP应答包进行回复的同时，把源虚拟机连接的虚拟网桥的端口号添加到数据库中；所述SDN控制器在监听到组播或广播包时，从数据库中查询得到源虚拟机的网络标识，以及该网络标识对应网络下的所有虚拟机连接的虚拟网桥的端口号，把该组播或广播包发送到这些虚拟机。

5.一种网络靶场的网络隔离方法，其特征在于，包括如下步骤：

（1）创建网络靶场时，为网络靶场拓扑中需要进行隔离的网络生成不同的且全局唯一的标识，并为网络靶场中的虚拟机分配IP地址和MAC地址；

（2）创建网络靶场中的虚拟机时，将虚拟机的MAC地址、IP地址以及虚拟机连接的网络的标识之间的映射关系存入网络靶场控制节点的数据库中；

（3）网络靶场启动时，在网络靶场计算节点的虚拟网桥中添加将ARP包转发到网络靶场控制节点上的SDN控制器的流表；

（4）SDN控制器在监听到ARP请求包时，从数据库中查询得到源虚拟机的网络标识，并判断同一网络靶场内是否存在与源虚拟机的网络标识相同，且IP地址为ARP请求包中目的IP地址的目标虚拟机，若不存在，则丢弃ARP请求包，若存在，则获取目标虚拟机的MAC地址，组ARP应答包进行回复。

6.根据权利要求5所述的网络靶场的网络隔离方法，其特征在于，所述步骤（3）中，虚拟网桥还添加将组播和广播包转发到SDN控制器的流表；

所述步骤（4）中，SDN控制器在ARP应答包进行回复的同时，把源虚拟机连接的虚拟网桥的端口号添加到数据库中；SDN控制器在监听到组播或广播包时，从数据库中查询得到源虚拟机的网络标识，以及该网络标识对应网络下的所有虚拟机连接的虚拟网桥的端口号，把该组播或广播包发送到这些虚拟机。

Images