[发明专利]基于SDN的动态防MAC地址欺骗方法

说明书

一种基于SDN的动态防MAC地址欺骗方法，将整个网络中的交换机都连接到SDN控制器，建立基于SDN的动态网络，SDN控制器根据交换机上报的MAC地址信息、交换机端口信息和网络拓扑信息实时计算报文的转发路径，获得转发路径上所有交换机上的MAC地址与交换机端口的对应关系，SDN控制器通过流表指令集将绑定关系实时动态下发到转发路径上的交换机，更新交换机上的目的MAC地址和端口绑定关系表，绑定MAC地址与交换机端口。本发明采用了SDN架构感知报文的转发路径和网络变化，实现MAC地址与交换机端口的动态绑定，从而实现全网防MAC地址欺骗，使得整个网络的管理和配置非常简单和智能，有效地管理整个SDN网络。

技术领域

本发明涉及一种基于SDN（自防御网络，Self-Defending Network）的动态防MAC地址欺骗方法。

背景技术

传统交换机依靠MAC地址表（维护MAC地址和VLAN与端口映射关系的二层转发表，是实现二层报文快速转发的基础）来转发数据报文。对于某个目的MAC地址明确的单址报文不会像Hub那样将该单址报文简单复制到其他端口上，而是只发到对应的学习端口上。而黑客利用伪造的MAC报文，让交换机学习到MAC地址和VLAN与端口错误的映射关系，导致数据报文无法转发到正确的目的地址。

传统交换机支持MAC地址与端口的绑定来解决这种潜在的安全隐患，如图1所示，在交换机S2上，配置了MAC地址绑定关系：01:01:01:01:01:01和Port 3绑定，当源MAC地址为01:01:01:01:01:01的报文从Port 1过来，此报文将会被丢弃，也不会学习到MAC表中去。这样，用户就无法通过更改MAC地址来进行某种恶意的攻击或者有效地防止某些环路导致的MAC地址重复。但是这种绑定关系如果是基于某台交换机而不是基于转发路径的，在某些特定场景下也无法解决MAC地址欺骗的问题，如图2所示，在交换机S3上，设置了MAC地址绑定（MAC地址A和S3的Port 1绑定），但由于S2上没有关于MAC地址A的绑定关系，导致报文转发到黑客hacker。

为了防止MAC地址欺骗，防止交换机中MAC地址映射表混乱，传统的办法就是实现MAC地址与交换机端口的绑定。原有的网络不是基于SDN架构，是分布式控制很难感知报文的转发路径。一旦网络发生变化，网络管理员需要静态修改绑定关系。实现手工静态绑定需要网络管理员手工将用户的MAC地址和端口号输入到网络里去，对于一个较大规模的网络，这项工作显然不够轻松，需要在转发路径的所有交换机上手动配置静态的绑定关系，因此非常容易出错。

发明内容

本发明提供一种基于SDN的动态防MAC地址欺骗方法，采用了SDN架构感知报文的转发路径和网络变化，实现MAC地址与交换机端口的动态绑定，从而实现全网防MAC地址欺骗，使得整个网络的管理和配置非常简单和智能，有效地管理整个SDN网络。

为了达到上述目的，本发明提供一种基于SDN的动态防MAC地址欺骗方法，包含以下步骤：

将整个网络中的交换机都连接到SDN控制器，建立基于SDN的动态网络；

SDN控制器根据交换机上报的MAC地址信息、交换机端口信息和网络拓扑信息实时计算报文的转发路径，获得转发路径上所有交换机上的MAC地址与交换机端口的对应关系；

SDN控制器通过流表指令集将绑定关系实时动态下发到转发路径上的交换机，更新交换机上的目的MAC地址和端口绑定关系表，绑定MAC地址与交换机端口；

当交换机接收到二层报文时，判断二层报文是否符合目的MAC地址和端口绑定关系表中限定的绑定关系，如果二层报文的MAC地址没有绑定过端口，则交换机学习该源MAC地址，如果二层报文符合绑定关系，则对该二层报文进行正常的二层转发，如果二层报文不符合绑定关系，则丢弃该二层报文。

所述的交换机上报的MAC地址信息包含：交换机学习的MAC地址信息，以及交换机老化的MAC地址信息。