[发明专利]一种基于Openflow的虚拟防火墙传输控制方法及系统

说明书

本发明公开了一种基于Openflow的虚拟防火墙传输控制方法及系统，包括数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；防火墙过滤规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；转发匹配。本发明提高了网络的灵活性与可控性，解决了当前防火墙实现成本高、海量数据处理效率底瓶颈问题，保证内网与终端的安全，实现了对多个网络的传输数据的扫描监控，对特定服务端口的监听管理，对特殊站点的访问控制，可保护整个网络。

技术领域

本发明属于网络资源虚拟化技术领域，尤其涉及一种基于Openflow的虚拟防火墙传输控制方法及系统。

背景技术

当今，由于网络资源需求日益增多，网络硬件由于高强度运算需求，高能源消耗等多个因素，单一物理硬件的负载过重，已难以满足当前网络对于资源的需求。同时，由于不同距离，速度与拓扑架构的网络相互建立连接，导致拓扑复杂多变，缺少统一抽象性。分布式的网络架构导致数据流量模式需要对横向数据流的动态增减变化进行实时调整。作为网络核心的路由器，需承载的功能不断扩展导致其性能和功能的不堪重负。随着云计算与大数据的引入，网络中云计算与大数据依赖于集中化管理与预先设定的计算模式，而数据的聚合与划分操作需要构建多台服务器的网络流量模式。网络复杂多变，对于硬件需求不断提升，硬件防火墙在面对海量数据与请求时，受制于硬件限制；同时，控制与转发处于同一平面，导致防火墙拥塞或者溢出。将网络资源虚拟化技术的运用于防火墙技术中，可隐藏复杂的防火墙物理结构，统一管理网络逻辑层，动态配置最优资源。SDN所倡导的控制与转发分离、逻辑上集中化的控制、丰富灵活的开放编程接口，可处理当前防火墙实现成本高、海量数据处理效率底等瓶颈问题，提高网络的灵活性与可控性，保证内网与终端的安全。SDN的设计目的在于增强网络的灵活性，将软硬件分离，将数据与逻辑分离，而SDN防火墙可通过SDN实现其硬件虚拟化。

SDN防火墙由于将控制集中到SDN控制器中，可虚拟多个逻辑防火墙统一管理网络，但模糊了防护的分层硬件的界限，增加防火墙安全复杂性，在短期内不能完全替代传统防火墙的作用，但是SDN的作用也在不断被完善。

发明内容

本发明的目的在于提供一种基于Openflow的虚拟防火墙传输控制方法及系统，旨在解决当前防火墙实现成本高、海量数据处理效率底瓶颈的问题。

本发明是这样实现的，一种基于Openflow的虚拟防火墙传输控制方法，所述基于Openflow的虚拟防火墙传输控制方法包括以下步骤：

数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射；若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转发端口及其路径；若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则的指定和下发；

防火墙过滤规则文件，rules.Config为防火墙规则文件，数据包到达端口后，截取数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地址、Mac地址、包输入端口和包输出端口信息；

若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢弃；若提取信息与防火墙规则匹配，则此包允许传输接收；若提取信息不满足任何防火墙规则，则此包被丢弃。

进一步，关键信息包括：数据来源以太网端口，到达的交换机端口，来源IP地址，目标IP地址。

进一步，防火墙中数据包处理包括：数据包解析，数据包匹配，数据包丢弃，数据包通过。

进一步，数据包头解析与匹配包括：源IP地址匹配、目的IP地址匹配、传输协议匹配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配。