[发明专利]一种软件定义防火墙系统的实现方法

说明书

本发明公开了一种软件定义防火墙系统的实现方法，属于计算机网络技术领域，该方法是OpenFlow交换机与SDN控制器建立连接，接收table‑miss流表项和初始流表项；OpenFlow交换机将数据包发送到SDN控制器；SDN控制器中的状态检测过滤模块结合防火墙规则和数据包的状态对TCP数据包进行状态检测过滤，并维护一张状态连接表；SDN控制器中的包过滤模块根据防火墙规则对无状态IP协议数据包进行包过滤，并下发流表项到OpenFlow交换机以指导后续数据包处理。该方法能够针对不同协议类型的数据包分别进行无状态的包过滤和有状态的状态检测过滤，实现了状态防火墙功能，并且包过滤通过下发流表项减少SDN控制器的运算量，此外该方法在实现状态检测过滤时不需要修改OpenFlow协议，具有更高的通用性。

技术领域

本发明属于计算机网络技术领域，具体地涉及一种软件定义防火墙系统的实现方法。

背景技术

SDN(软件定义网络)提出将网络设备的控制平面和数据平面分离的思想，将原本运行在专有硬件设备中的软件部分剥离出来，使得网络设备成为不再运行任何网络协议的白盒设备，只负责网络数据包的匹配转发。OpenFlow协议是OpenFlow交换机与控制器通信的一种标准南向接口协议。SDN技术使得网络设备的控制平面可编程，通过控制器集中对网络设备进行管控，从而极大的方便了网络的配置管理，并且降低了硬件设备的成本，缩短网络功能升级的周期。

SDN技术的出现使得防火墙能够以软件形式运行在控制层，通过下发安全策略到网络设备实现防火墙的功能。目前，Floodlight控制器具有一个防火墙模块，防火墙模块实现了一个无状态的包过滤防火墙，它通过监控网络流的首个数据包，实现访问控制功能，然而这种纯无状态的防火墙无法根据网络数据包的状态对数据包进行过滤，具有较大的局限性，比如，它无法实现内外网的单向TCP访问。王娟等人在SDN控制器和OpenFlow交换机中增加状态表，通过修改OpenFlow协议，实现了在SDN控制器和OpenFlow交换机之间同步状态连接表，然而该方法需要修改OpenFlow协议，在实际应用中，需要对OpenFlow交换机的硬件进行修改，增加了数据层对数据包处理的复杂度，此外，该方法对网络中所有类型数据包都进行状态检测，对于无状态的协议的数据包如UDP协议数据包，采用建立虚连接的方法，增加了SDN控制器和OpenFlow交换机额外的负担。

发明内容

本发明的目的在于针对以上技术的不足，基于SDN架构提出一种软件定义防火墙系统的实现方法，该方法能够针对不同协议类型的数据包分别进行无状态的包过滤和有状态的状态检测过滤。

本发明解决其技术问题所采取的技术方案是：一种软件定义防火墙系统的实现方法，包括以下步骤：

(1)OpenFlow交换机与SDN控制器建立连接，SDN控制器向OpenFlow交换机下发一条table-miss流表项，所述table-miss流表项的匹配域为全匹配，动作为上送到SDN控制器，优先级为0，SDN控制器中的状态检测过滤模块向OpenFlow交换机下发一条初始流表项，所述初始流表项的匹配域为TCP，动作为上送到SDN控制器，优先级大于0；

(2)网络数据包经过OpenFlow交换机，匹配OpenFlow交换机中动作为上送到SDN控制器的流表项，被OpenFlow交换机封装为packet-in消息发送给SDN控制器；

(3)SDN控制器接收到packet-in消息并进行处理，处理过程为：SDN控制器中的消息解码模块提取packet-in消息包含的数据包，并提取数据包的IP协议字段以判断IP协议类型，SDN控制器中的包过滤模块和状态检测过滤模块根据防火墙规则库模块中的防火墙规则对不同IP协议类型的数据包进行相应处理。