[发明专利]一种面向SDN多控制器的异常检测方法

说明书

本发明公开了一种面向SDN多控制器的异常检测方法。它包括如下步骤：1‑1）在SDN控制器集合中采用Raft一致性算法选出“主控制器”，其余为“从控制器”；1‑2）“主控制器”与SDN交换机建立连接，向交换机发送Features Request请求参数信息，交换机回复Features Reply消息给“主控制器”；1‑3）交换机把收到的数据包Data封装成Packet In消息上报给“主控制器”；1‑4）“主控制器”利用BFT机制广播Packet In消息，每个控制器将验证到的Packet In消息上报给Proxy；1‑5）Proxy将收集到的信息放入同一元组归类，与之前收集到的信息进行比对，判断Data传输路径，判断异常的控制器和交换机，判决出可靠的Packet In消息并封装成Packet Out消息下发给交换机。本发明改进了当前网络安全中涉及到检测异常SDN控制器和交换机设备的问题。

技术领域

本发明涉及网络安全技术领域，特别涉及一种面向SDN多控制器的异常检测方法。

背景技术

传统的网络体系结构的复杂性和封闭性，使得网络管理员在考虑网络动态和各种应用需求时难以进行管理和操作。为了解决这些问题，一种新型网络架构软件定义网络（Software-defined Network，简称SDN）被提出。典型的SDN架构由三层组成，包括网络应用程序组成的应用程序层，充当SDN大脑的集中式SDN控制器软件，以及由转发设备交换机等组成的数据平面层。SDN将网络控制平面与转发平面分开，提高了网络的灵活性。SDN网络具有可拓展性、灵活性、可靠性、安全性、可编程性，比传统的网络具有更高性能和可用性。

在SDN中，交换机和路由器依靠集中式SDN控制器为查找路径和分配资源提供必要的配置。而在部署大规模SDN网络时，单控制器存在单点故障，容量瓶颈等问题。SDN控制器、交换机和控制器应用存在的脆弱性，导致SDN设备容易受到攻击者的恶意攻击，攻击者恶意劫持控制器并删除所属交换机上的所有流表项，监听并篡改交换机数据，将导致控制器原本属于合法用户的网络资源被窃取。因此，及时地检测到异常SDN设备是非常重要的。

目前，已经出现一些相关SDN安全的研究来降低SDN设备被劫持的风险：（1）目前常用的开源的SDN控制器Ryu（Ryu SDN Framework Community，2014）主要集中在单控制器场景中，没有针对控制器分布进行优化；（2）Casado的研究团队提出了FortNOX架构，它是一种基于OpenFlow控制器NOX的软件扩展，提供了身份认证和安全约束机制，这种架构使控制器能够实时地检查流表项中的冲突，及时发现恶意应用，然而，它只能检测单个控制器的异常，并不能检测其他SDN设备的异常。

发明内容

本发明的目的是解决当前网络安全中涉及到检测异常SDN设备存在的问题，并提供一种面向SDN多控制器的异常检测方法，能避免SDN异常的错误或攻击危害网络。

一种面向SDN多控制器的异常检测方法，包括如下步骤：

1-1）在SDN控制器集合中采用Raft一致性算法选出“主控制器”，其余为“从控制器”，负责对Packet In消息的具体操作，并配置代理Proxy，负责对控制器集合的验证结果进行逻辑判决；

1-2）“主控制器”与SDN交换机建立连接，向交换机发送Features Request请求详细参数信息，交换机回复包含Datapath Id和Port等信息的Features Reply消息给“主控制器”；

1-3）交换机把收到的数据包Data封装成携带Cookie信息的Packet In消息上报给“主控制器”；

1-4）“主控制器”利用BFT机制广播Packet In消息，每个控制器将验证到的PacketIn消息上报给Proxy；