[发明专利]一种SDN防火墙系统及实现方法

权利要求书

1.一种SDN防火墙系统，该系统为一种基于OpenFlow协议1.3的SDN防火墙系统，本系统使用python语言在ubuntu系统上编写，在ubuntu系统上正常运行；

通过对数据包的解析，分析数据包的状态并结合数据包与规则表文件中填写的五元组进行比较，决定数据包由哪个端口转发出去，满足规则表条件的数据包则从相应的端口转发出去或者packet-in到OpenFlow控制器，不满足规则表条件的数据包则丢掉，不允许通过OpenFlow控制器，其特征在于：该系统包括数据包分析模块、防火墙规则表rule_table模块、定时器Timer模块、防火墙连接表conn_table模块、防火墙MAC地址表模块、OpenFlow控制器、OpenFlow交换机；OpenFlow控制器通过OpenFlow协议与OpenFlow交换机通信,启动OpenFlow控制器的同时运行防火墙模块，OpenFlow交换机连接了不同的终端，从一个终端发送数据包给另一个终端需要匹配流表，OpenFlow控制器结合防火墙模块来对OpenFlow交换机进行控制，从而确保数据包的转发与否；

1)防火墙连接表模块中的防火墙规则表包括ip_src，ip_dst，src_port，dst_port，protocol，act字段；ip_src和ip_dst都能够填写网段，这使得所有网段内的ip地址都满足条件；当ip_dst填写的是0.0.0.0/0时，表示源ip能够访问所有网段的网址；act动作分drop和pass，状态为drop时数据包不允许通过；

2)防火墙连接表模块中的防火墙连接表包括src_ip，dst_ip，src_port，dst_port，state，org_count正向数据包数量，rep_count反向数据包数量，bk_rep_count，bk_org_count，proto；org_count统计的是正向数据包计数，rep_count统计的是反向数据包计数，bk_rep_count统计的是前一次正向数据包计数，bk_org_count统计的是前一次反向数据包计数；state记录了传来的数据包解析后的不同状态；

3)根据MAC地址表中的填写的INPORT_MAC和OUTPORT_MAC获取到入出端口号，找到数据包是从哪个端口转发到哪个端口；

4)定时器模块在响应features消息时开始启动，并每隔一段时间启动一次定时器；定时器模块的作用是在一定时间内查看数据包计数字段是否改变，如果改变，说明这段时间有数据包通过OpenFlow交换机，连接存在；如果没有改变，则会删除对应此连接的两条双向流表项，并同时删掉对应的连接表项；

5)数据包分析模块对获取的数据包进行分析，数据包能够来自OpenFlow交换机、路由器，也能够来自主机和其他通信终端，符合packet-in的数据包则会上传到OpenFlow控制器进行相应的操作；

6)OpenFLow控制器具有全局的拓扑，并控制转发路径，通过安全通道与OpenFlow交换机进行信息交互并完成连接，所有的信息必须按照OpenFlow协议规定的格式来执行；

OpenFlow控制器收集OpenFlow交换机配置信息、通信链路信息，并负责控制OpenFlow交换机中的流表，包括对Flow Entry的添加、修改以及删除基本操作；流表由很多个FlowEntry组成，每个流表项就是一个转发规则；本系统中使用的是RYU控制器，OpenFlow交换机通过安全通道向OpenFlow控制器packet-in数据包；

7)OpenFlow交换机主要管理数据层的转发，当交换机接收到数据包后，首先在本地的流表上查找转发目标端口，如果流表中没有匹配条目，OpenFlow交换机会将数据包封装在packet-in消息中发送给OpenFlow控制器处理，由控制层决定转发端口，如果找到匹配的流表项，则根据流表目标端口把数据包转发出去；

该SDN防火墙系统的核心库包括python中的time,os,struct,threading,csv函数库，这些函数库能够在所有支持python的OpenFlow控制器中运行。

2.依权利要求1所述系统进行的一种SDN防火墙系统的实现方法，其特征在于：

OpenFlow控制器、OpenFlow交换机

不同的OpenFlow交换机的datapath不一样，OpenFlow交换机以此来作为标识，OpenFlow控制器根据datatpath来下发流表到OpenFlow交换机，数据包根据流表项进行转发，若数据包匹配流表项规则，则数据包进行转发，若数据包无法匹配流表项规则，则需要packet-in的OpenFlow控制器处理，OpenFlow控制器将数据包信息传递到防火墙模块，由防火墙模块进行相应操作；

Flow-Mod消息用来添加、修改、删除OpenFlow交换机的流表信息，通过datapath，table_id，command，idle_timeout，hard_timeout，priority，instructions，match字段来生成Flow-Mod消息，添加新的流表项时command为ADD类型，同时发送消息来下发流表；

idle_timeout表示流表项的空闲超时时间，hard_timeout表示流表项的最大生存时间；

防火墙MAC地址表模块

通过循环遍历ev.msg.body条目获得的hw_addr与MAC地址表中记录的mac地址进行比较，来获得数据包相应的入出端口，同时下发packet-in到OpenFlow控制器的默认流表项；

防火墙conn_table模块、rule_table模块、数据包分析模块

数据包从INPORT_MAC或者OUTPORT_MAC发送过来，通过get_protocol逐层取出数据包，解析数据包后把数据包与循环遍历取得的conn_table中每一条entry的五元组信息比较，如果数据包来自INPORT_MAC，则根据匹配结果和数据包的Flags来遍历rule_table或者直接丢弃；遍历rule_table时需要按照act动作为pass或者drop来选择新建连接表项同时更改conn_table entry状态、从其他出端口转发数据包或者丢掉数据包，数据包转发前需要OpenFlow控制器模块根据datapath，match field，instructions，priority参数下发两条双向流表，操作结束时需要根据数据包的状态来删除流表项；如果数据包来自OUTPORT_MAC，则根据匹配结果来从其他端口转发数据包或者删除交换机Flow Entry和连接表项；

match field由src_ip，dst_ip，src_port，dst_port，in_port，eth_type，ip_proto来生成；数据包转发过程中会优先匹配priority数值大的流表项，数值越大表明优先级越高；

定时器Timer模块

每隔一段时间启动一次定时器Timer，定时器用来发送流表状态请求，执行以下步骤：

逐行遍历整个连接表，对每个连接表项，先比较当前连接表项的前次正向计数字段和当前正向计数字段，前次反向计数字段和当前反向计数字段；

如果两个比较有一个不等，则把当前正向计数字段复制到前次正向计数字段，当前反向计数字段复制到前次反向计数字段，继续遍历下一个连接表项；

如果两个比较都相等，说明一段时间内本连接没有命中数据包，删除该连接表项，继续遍历下一个连接表项。