[发明专利]基于SDN的动态防MAC地址欺骗方法

权利要求书

1.一种基于SDN的动态防MAC地址欺骗方法，其特征在于，包含以下步骤：

将整个网络中的交换机都连接到SDN控制器，建立基于SDN的动态网络；

SDN控制器根据交换机上报的MAC地址信息、交换机端口信息和网络拓扑信息实时计算报文的转发路径，获得转发路径上所有交换机上的MAC地址与交换机端口的对应关系；

SDN控制器通过流表指令集将绑定关系实时动态下发到转发路径上的交换机，更新交换机上的目的MAC地址和端口绑定关系表，绑定MAC地址与交换机端口；

当交换机接收到二层报文时，判断二层报文是否符合目的MAC地址和端口绑定关系表中限定的绑定关系，如果二层报文的MAC地址没有绑定过端口，则交换机学习源MAC地址，如果二层报文符合绑定关系，则对该二层报文进行正常的二层转发，如果二层报文不符合绑定关系，则丢弃该二层报文。

2.如权利要求1所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，所述的交换机上报的MAC地址信息包含：交换机学习的MAC地址信息，以及交换机老化的MAC地址信息。

3.如权利要求2所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，交换机学习一条MAC地址，需立即上报给SDN控制器。

4.如权利要求2所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，交换机老化一条MAC地址，需立即上报给SDN控制器。

5.如权利要求1所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，所述的流表指令集是二级流表，该流表指令集包含零级流表和一级流表；

所述的零级流表包含：

匹配字段：目的MAC地址；

指令字段：转一级流表；

所述的一级流表包含：

匹配字段：端口；

指令字段：二层转发。

6.如权利要求5所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，交换机接收到二层报文时判断二层报文是否符合目的MAC地址和端口绑定关系表中限定的绑定关系的步骤包含：当交换机接收到二层报文时，判断二层报文的源MAC地址是否与SDN控制器发送的零级流表中的目的MAC地址信息匹配，如果MAC地址不匹配，说明该源MAC地址没有绑定交换机端口，交换机学习该源MAC地址，并将源MAC地址信息和端口信息上报给SDN控制器，然后交换机对该二层报文进行正常的二层转发，如果MAC地址匹配，则交换机进一步判断二层报文的端口是否与一级流表中的端口信息匹配，如果端口匹配，说明该源MAC地址是合法的，符合目的MAC地址和端口绑定关系表中限定的绑定关系，则交换机对该二层报文进行正常的二层转发，如果端口不匹配，说明该源MAC地址不符合目的MAC地址和端口绑定关系表中限定的绑定关系，是欺骗的MAC地址，将该二层报文丢弃。

7.如权利要求4所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，交换机老化MAC地址并上报SDN控制器的过程包含以下步骤：如果交换机在超过设定的老化时间还未收到过已经绑定的MAC地址发送的二层报文，则将老化MAC地址信息上报给SDN控制器。

8.如权利要求7所述的基于SDN的动态防MAC地址欺骗方法，其特征在于，SDN控制器对老化MAC地址进行处理的过程包含以下步骤：

步骤S2.1、SDN控制器接收到交换机上报的老化MAC地址信息后，判断是否继续保持绑定关系，如果是，则SDN控制器不做任何处理，如果否，则进行步骤S2.2；

步骤S2.2、SDN控制器判断该MAC地址是否在整条报文转发路径上都老化了，如果是，进行步骤S2.3，如果否，则SDN控制器不做任何处理；

步骤S2.3、SDN控制器判断是否解除MAC地址和交换机端口的绑定关系，如果是，SDN控制器对整条报文转发路径上的交换机下发流表指令集，更新交换机上的目的MAC地址和端口绑定关系表，解除MAC地址和交换机端口的绑定关系，如果否，SDN控制器保持MAC地址和交换机端口的绑定关系。