CN115348065A - 一种基于可编程数据平面的防火墙绕行冲突检测方法 - Google Patents

Abstract

本发明公开了一种基于可编程数据平面的防火墙绕行冲突检测方法，包括以下步骤：1)将已有SDN流表规则和待下发SDN流表规则分别表示为别名集简化规则ARR的形式；2)进行首次绕行冲突检测；3)对判断为冲突的待下发流表项进行二次检测，确认初次判断的规则冲突是否存在。本发明包含两重防火墙绕行冲突检测，其既能减少冲突检测的性能开销，又能避免检测中的误判。

Description

一种基于可编程数据平面的防火墙绕行冲突检测方法

技术领域

本发明涉及网络安全技术，尤其涉及一种基于可编程数据平面的防火墙绕行冲突检测方法。

背景技术

防火墙是一种网络安全设备，它对入站和出站的流量进行监控，并根据一组预先定义的安全规则同意或拒绝事件。然而，相较于传统网络，SDN网络除了支持正常的转发和丢弃数据包的操作外，还额外提供了修改动作来方便用户对数据包首部字段进行更改，从而令用户能够实现包括地址转换、匿名通信在内的多种网络功能。修改动作给SDN带来更大灵活性的同时，也引入了新的安全隐患，防火墙规则绕行冲突就是其中之一。

基于别名集的检测算法可以实现对SDN下防火墙规则绕行冲突的检测，该方法将数据包中的地址信息和防火墙的规则都编码为一种名为别名集(Alias reduced rules，ARRs)的表示形式，然后进行比较来发现是否存在策略冲突。这种方法简单高效，但是由于将规则间的关系记录在别名集中，冲突分析没有考虑流程表中的相互依赖性，无法准确跟踪网络流量，导致该方法面对复杂网络配置时会存在误报问题。亟需一种有效的方法，解决可能存在的绕行冲突。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种基于可编程数据平面的防火墙绕行冲突检测方法。

本发明解决其技术问题所采用的技术方案是：一种基于可编程数据平面的防火墙绕行冲突检测方法，包括以下步骤：

1)将已有SDN流表规则和待下发SDN流表规则分别表示为别名集简化规则ARR的形式；

SDN流表规则为含修改动作的SDN流表规则；

具体过程如下；

1.1)当插入新规则时，将规则中的源信息和目的信息分别放入两个集合中，例如，规则a→b drop可表示为(a)→(b)drop，即丢弃从源地址为a到目的地址为b的数据包；

1.2)如果规则中含有Modify动作，那么将修改后的信息也放入对应的集合中，例如，

和

可分别表示为(a,a′)→(c)和(a′)→(c,b)；

1.3)将新规则和现有规则转化为新的ARR形式，例如，在以上规则的基础上，a′→bforward可表示为(a,a′)→(c,b)forward；

2)进行首次绕行冲突检测；

判断待下发SDN流表规则的ARR规则cRule是否与现有防火墙已有SDN流表规则的ARR集合fRule存在冲突，过程如下；

2.1)跳过那些无法匹配的cRule和fRule对；

2.2)跳过那些最终操作一致的cRule和fRule对；

2.3)如果cRule的别名集与fRule的别名集相交，则判定为存在冲突；

3)对判断为冲突的待下发流表项进行二次检测；

3.1)将当前网络中的判断为冲突的待下发流表项和其修改动作构成一个转发规则集，根据转发规则集以及待插入的含修改动作的转发规则构建转发图，具体过程如下：

3.1.1)获取当前规则的匹配域信息以及修改后的匹配域信息，并判断该信息是否已存在于转发图中；

3.1.2)如果该信息不存在于转发图中则添加相应的状态节点；否则，获取图中的节点，然后将修改前后的两个状态节点相连并更新它们与Forward或Drop节点间的连接关系；

若该节点存在于转发途中，在更改其前后节点后，使他更新为链接forward节点；

3.1.3)重复执行上述步骤，直至将当前网络中的所有含Modify动作的规则构建为一张转发图；

3.2)利用构建的转发图确认新转发规则是否与已有防火墙规则冲突，具体过程如下：

3.2.1)从转发图的任一更新节点开始，查找数据包的匹配域字段在SDN中的规则匹配和修改转发操作，然后根据转发图中的前向边和后向边分别向下一个状态和上一个状态追溯；

3.2.2)追溯到下一个和上一个状态节点后，更新当前数据包的匹配域信息并将继续向上和向下追溯进行流规则的匹配域的查找；

3.2.3)不断重复过程3.2.2)直到到达起始状态和终止状态，如果终止状态的下一跳不为Forward节点或者当前获得的起始状态和终止状态的匹配字段的源与目的和别名集检测到的冲突规则的相应字段不匹配，认为防火墙绕行冲突不存在，初步检测发生了误判；否则认为初次判断的规则冲突存在。

本发明产生的有益效果是：

本发明包含两重防火墙绕行冲突检测，其既能减少冲突检测的性能开销，又能避免检测中的误判。具体而言，本发明首先通过别名集算法筛选出可能存在的绕行冲突。由于别名集算法忽视了数据包在网络中的实际转发路径，因此可能存在误判的情况，虽然可以通过验证网络路径的可达性改进其准确性，但这类方案的时间开销将无法达到要求。

本发明针对别名集检测的结果进行二次检测，在不损失检测性能的同时，纠正初次检测可能存在的误判。一方面，别名集算法复杂度低，并且可以缩小二次检测的范围，提高检测效率、降低检测开销。同时，由于普通的转发规则并不会导致防火墙规则绕行冲突现象，因此本方法只关注动作为Modify的流表项，这减少了转发规则转化为别名集表示时的集合规模，进一步加快了绕行冲突检测的速度。

另一方面，本发明针对别名集算法的检测结果，使用构建网络转发图的方式对数据包的实际转发路径进行进一步检测，寻找数据包在转发图中的位置并向上和向下进行路径追溯以分析其真实的转发路径并判断是否违反防火墙规则，从而消除别名集算法可能存在的误判，保证检测结果的可信度。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的SDN防火墙绕行冲突的示意图；

图2是本发明实施例的方法流程图；

图3是本发明实施例的网络转发图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，图1为SDN防火墙绕行冲突示意图，假设该网络拓扑的防火墙中的安全规则为src＝10.0.0.1,dst＝10.0.0.4,action＝deny，网络中交换机各种的转发规则为：

s1:src＝10.0.0.1,dst＝10.0.0.2,action＝modify10.0.0.1→10.0.0.3

s2:src＝10.0.0.3,dst＝10.0.0.2,action＝forward

s3:src＝10.0.0.3,dst＝10.0.0.2,action＝modify10.0.0.2→10.0.0.4

假设有数据包从10.0.0.1发出，此时其目的主机为10.0.0.2，数据包此时并未违反防火墙规则，但是其经过s1交换机时与上述表项匹配，那么它就会根据匹配到的动作将数据包的源IP地址进行修改，接着转发到s2交换机，此时该数据包将匹配到上述表项并转发到s3交换机，在该交换机上继续对数据包的目的IP地址进行修改并最终转发到10.0.0.4的主机。由上述转发过程可知，数据包全程并没有违反防火墙的规则，但是最终10.0.0.1和10.0.0.4的主机绕过了防火墙的规则实现了通信。

如图2所示，一种基于可编程数据平面的防火墙绕行冲突检测方法包括以下步骤：

1)将已有(含修改动作的)SDN流表规则和待下发(含修改动作的)SDN流表规则表示为别名集简化规则(ARR)的形式；

1.1)当插入新规则时，将规则中的源和目的信息分别放入两个集合中，例如，规则a→b drop可表示为(a)→(b)drop，即丢弃从源地址为a到目的地址为b的数据包；

1.2)如果规则中含有Modify动作，那么将修改后的信息也放入对应的集合中，例如，

和

可分别表示为(a,a′)→(c)和(a′)→(c,b)；

1.3)将新规则和现有规则转化为新的ARR形式，例如，在以上规则的基础上，a′→bforward可表示为(a,a′)→(c,b)forward；

2)利用别名集算法进行首次绕行冲突检测。具体而言，判断新的ARR规则cRule(即待下发流表项)是否与现有防火墙规则的ARR集合fRule存在冲突；

2)进行首次绕行冲突检测。具体而言，判断新的ARR规则cRule(即待下发流表项)是否与现有防火墙规则的ARR集合fRule存在冲突，过程如下；

2.1)跳过那些无法匹配的cRule和fRule对；

2.2)跳过那些最终操作一致的cRule和fRule对；

2.3)如果cRule的别名集与fRule的别名集相交，则判定为冲突；

3)对判断为冲突的待下发流表项进行二次检测。首先，将当前网络中的含修改动作的转发规则集以及待插入的含修改动作的转发规则构建为一个转发图，具体过程如下：

3.1)获取当前规则的匹配域信息以及修改后的匹配域信息，并判断该信息是否已存在于转发图中；

3.2)如果该信息不存在于转发图中则添加相应的状态节点，否则获取图中的节点，然后将修改前后的两个状态节点相连并更新它们与Forward或Drop节点间的连接关系；

3.3)重复执行上述步骤，直至将当前网络中的所有含Modify动作的规则构建为一张转发图；

4)利用构建的转发图确认新转发规则是否与已有防火墙规则冲突，具体过程如下：

4.1)从转发图的更新节点开始，查找数据包的匹配域字段在SDN中的规则匹配和修改转发操作，然后根据转发图中的前向边和后向边分别向下一个状态和上一个状态追溯；

4.2)追溯到下一个和上一个状态节点后，更新当前数据包的匹配域信息并将继续向上和向下追溯进行流规则的匹配域的查找；

4.3)不断重复过程4.2)直到到达起始状态和终止状态，如果终止状态的下一跳不为Forward节点或者当前获得的起始状态和终止状态的匹配字段的源与目的和别名集检测到的冲突规则的相应字段不匹配，说明防火墙绕行冲突不存在，初步检测发生了误判；否则初次判断的规则冲突确实存在。

图3是利用图1所示网络中的流表规则构建的转发图。一个具体的转发图包含Forward节点，Deny节点以及转发节点3种节点：

1)Forward节点：该节点表示最终为转发状态，即数据包在到达该节点后会进行不定次的转发操作，而不会再被修改；

2)Drop节点：该节点表示最终为丢弃状态，即数据包在到达该节点后会不再进行转发和修改，将会被丢弃；

3)状态节点:每个状态节点包含相关转发规则的所有匹配域字段值。如果规则是基于源地址、目的地址、源端口、目的端口和协议号编写的，则每个状态节点都包含与所有这些字段相关的字段。

同时，转发图中包含负责连接任意两个节点的前向边和后向边2种连边：

1)前向边：每个前向边的目的地代表下一个状态，即数据包应该被转发还是被修改。如果前向边的目标节点是Forward节点，则数据包需要在不做修改的情况下被转发，如果目标是Drop节点，则数据包需要在不做修改的情况下被丢弃，如果目标是状态节点，则数据包将在进行报头信息的修改而后被转发，当前节点和它的前向边以及目标节点构成一条Modify流表项；

2)后向边：每个后向边的目的地代表数据包的上一个状态，引入后向边的目的是为了在转发图中实现更快速的查找一个数据包在网络中转发时的起始状态，很显然的一个情况是，如果当前待插入的规则加入到转发图中后，本文可能从当前节点开始查询后发现实际转发路径并不违反规则，而实际上其从起始节点开始的转发路径是违反的，因此需要能够快速的查找到其起始节点，而如果对图中节点进行遍历寻找的话会导致效率低下。

接下来具体介绍图3的构建过程，这里仅将节点描述为源目的IP，当插入s1的规则时，转发图初始化并添加src＝10.0.0.1,dst＝10.0.0.2以及src＝10.0.0.3,dst＝10.0.0.2这两个转发节点以及它们的连边，并更新第二个节点连接到Forward节点，然后继续插入s2的规则，由于其为普通转发规则，此时不需要更新转发图，最后，添加s3的规则，此时由src＝10.0.0.3,dst＝10.0.0.2节点已存在且s1与s3之间有转发规则，只添加src＝10.0.0.3,dst＝10.0.0.4节点并添加与前一状态节点的连边，并更新与Forward节点的连接关系。

本发明的目的是提供一种用于检测可编程数据平面防火墙绕行冲突检测的方法，其优势是一方面保证冲突判断的准确性，另一方面保证冲突检测的开销小、速度快。该方法具体包括两重冲突检测，1)首次检测使用别名集算法检测所有可能存在冲突带Modify动作的流表项，该算法不考虑考虑流程表中的相互依赖关系，开销小、速度快，但面对复杂网络配置时可能会有误报；2)对所有可能存在冲突流表项，构建相应的转发图，明确数据包的实际转发路径，排除首次检测中的误判情况，保证整个检测过程的准确性。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (1)

1.一种基于可编程数据平面的防火墙绕行冲突检测方法，包括以下步骤：

1)将已有SDN流表规则和待下发SDN流表规则分别表示为别名集简化规则ARR的形式；

SDN流表规则为含修改动作的SDN流表规则；

具体过程如下；

1.1)当插入新规则时，将规则中的源信息和目的信息分别放入两个集合中；

1.2)如果规则中含有Modify动作，那么将修改后的信息也放入对应的集合中；

1.3)将新规则和现有规则转化为新的ARR形式；

2)进行首次绕行冲突检测；

判断待下发SDN流表规则的ARR规则cRule是否与现有防火墙已有SDN流表规则的ARR集合fRule存在冲突，过程如下；

2.1)跳过那些无法匹配的cRule和fRule对；

2.2)跳过那些最终操作一致的cRule和fRule对；

2.3)如果cRule的别名集与fRule的别名集相交，则判定为存在冲突；

3)对判断为冲突的待下发流表项进行二次检测；

3.1)将当前网络中的判断为冲突的待下发流表项和其修改动作构成一个转发规则集，根据转发规则集以及待插入的含修改动作的转发规则构建转发图，具体过程如下：

3.1.1)获取当前规则的匹配域信息以及修改后的匹配域信息，并判断该信息是否已存在于转发图中；

3.1.2)如果该信息不存在于转发图中则添加相应的状态节点；否则，获取图中的节点，然后将修改前后的两个状态节点相连并更新它们与Forward或Drop节点间的连接关系；

3.1.3)重复执行上述步骤，直至将当前网络中的所有含Modify动作的规则构建为一张转发图；

3.2)利用构建的转发图确认新转发规则是否与已有防火墙规则冲突，具体过程如下：

3.2.1)从转发图的任一更新节点开始，查找数据包的匹配域字段在SDN中的规则匹配和修改转发操作，然后根据转发图中的前向边和后向边分别向下一个状态和上一个状态追溯；

3.2.2)追溯到下一个和上一个状态节点后，更新当前数据包的匹配域信息并将继续向上和向下追溯进行流规则的匹配域的查找；

3.2.3)不断重复过程3.2.2)直到到达起始状态和终止状态，如果终止状态的下一跳不为Forward节点或者当前获得的起始状态和终止状态的匹配字段的源与目的和别名集检测到的冲突规则的相应字段不匹配，认为防火墙绕行冲突不存在，初步检测发生了误判；否则认为初次判断的规则冲突存在。

Images