[发明专利]一种基于软件定义网络的源地址验证系统

权利要求书

1.一种基于软件定义网络的源地址验证系统，包括：

监听模块，其配置为基于监听流表，从由普通主机向交换机待发送的数据报文中筛查地址分配协议报文，并将所述地址分配协议报文按照预定协议打包后发送出去；

绑定验证模块，其配置为从打包的地址分配协议报文中提取地址关系信息，以生成地址信息绑定关系表并对所述绑定关系表进行验证更新；

规则生成模块，其配置为根据绑定关系表生成规则流表；

转发模块，其配置为根据所述规则流表对由普通主机向交换机待发送的数据报文进行转发；

所述绑定验证模块进一步包括：

信息提取单元，其配置为从接收的地址分配协议报文中提取地址关系信息；

地址组信息生成单元，其配置为根据所述地址关系信息生成包括交换机、交换机上的对应普通主机接口、普通主机MAC地址和普通主机IP地址的四元组信息；

绑定关系表生成单元，其配置为根据所述四元组信息生成绑定关系表并确定可接受状态，其中，所述绑定关系表包括绑定表序号、交换机上的对应普通主机接口、普通主机MAC地址、普通主机IP地址和绑定关系状态；

绑定验证更新单元，其配置为将交换机接收的地址分配协议报文与所述绑定关系表中的可接受状态进行对比，如符合所述绑定关系表中存储的可接受状态并且所有地址分配协议报文满足完整的状态机，该绑定关系验证通过。

2.根据权利要求1所述的系统，其特征在于，所述监听模块进一步包括：

监听流表生成单元，其配置为根据地址分配协议类型，生成对应普通主机的监听流表，其中，所述监听流表包括普通主机IP地址、MAC地址和交换机上的对应普通主机接口；

数据筛查单元，其配置为根据所述监听流表，从由普通主机发送至交换机上的对应普通主机接口的数据报文中筛查出地址分配协议报文；

协议报文打包单元，其配置为将筛查出的地址分配协议报文打包并发送给所述绑定验证模块。

3.根据权利要求1所述的系统，其特征在于，所述规则生成模块进一步包括：

绑定规则生成单元，其配置为根据所述绑定关系表中的绑定关系状态的完成情况，生成对应的绑定规则；

规则流表生成单元，其配置为根据所述绑定规则生成匹配规则流表，并下发给由普通主机发送数据报文的交换机。

4.根据权利要求3所述的系统，其特征在于，所述转发模块还配置有转发规则流表，用于将匹配的报文进行数据报文转发。

5.根据权利要求4所述的系统，其特征在于，所述转发模块进一步配置为：

如普通主机发送的数据报文与交换机中的匹配规则流表匹配，则允许普通主机发送的数据报文通过所述转发规则流表转发出去，否则，丢弃该普通主机发送的所有数据报文。

6.根据权利要求4所述的系统，其特征在于，如从信任主机向交换机发送数据报文，

所述监听模块还配置为从由信任主机向交换机待发送的数据报文中筛查地址分配协议报文，并将所述地址分配协议报文按照预定协议打包后发送给绑定验证模块，不需所述绑定验证模块验证而直接生成绑定关系表；

所述转发模块还配置为通过所述转发规则流表对由信任主机发送的数据报文中的非地址分配协议报文直接进行转发。

7.根据权利要求4所述的系统，其特征在于，如从交换机向另一交换机直接发送数据报文，

所述转发模块还配置为通过所述转发规则流表对接收的数据报文直接进行转发，不需所述绑定验证模块验证而直接生成绑定关系表。

8.根据权利要求5或6所述的系统，其特征在于，还包括流速限制模块，其配置为在交换机上的普通主机接口和交换机上的信任主机接口接收地址分配协议报文时，对流向交换机上的普通主机接口和交换机上的信任主机接口的数据报文限制流速。

9.根据权利要求8所述的系统，其特征在于，所述绑定验证模块和所述规则生成模块设置在软件定义网络的控制器中，所述监听模块、所述转发模块和所述流速限制模块设置在软件定义网络的交换机中。