[发明专利]基于端口相似性的双阶段软件定义网络流表溢出防御方法

权利要求书

1.一种基于端口相似性的双阶段软件定义网络流表溢出防御方法，其特征在于，包括以下步骤：

(1)软件定义网络中的控制器实时监听统计各交换机端口所占用的流表信息，所述流表信息包括每一条流规则的加入、删除、以及超时事件；对交换机每个端口接收到的流量的流表占用情况进行及时更新；统计网络中各个流因table-miss而触发packet-in报文的次数；

(2)根据步骤(1)中统计的每个端口流表占用情况，计算得出每个端口占用流规则数量的偏移度d，每当产生流规则超时事件、流表溢出事件、新规则添加事件时，更新基础信息，重新计算d，并对每个端口的偏移度进行排序；

(3)当流表容量被用尽时，取出偏移度的排序结果，判断是否有端口的偏移度大于判断阈值；如果是，则说明攻击流量集中于特定的端口，整个交换机面对攻击流量的压力适中；此时对与之对应的端口流量进行流规则删除，使之所占据的流规则数量减少到端口平均流规则占用数量；

(4)对于步骤(3)中的判断结果，如果没有端口的偏移度超出判断阈值，说明交换机多数端口面临较大的流量压力，此时对于偏移度大于0的端口进行流规则的删除，使这些端口每个占据的流规则数量等同于端口平均流规则占用数量。

2.根据权利要求1所述基于端口相似性的双阶段软件定义网络流表溢出防御方法，其特征在于，步骤(2)中，计算偏移度d具体为：

对每个端口p_i，统计从该端口接收到的流所占用的流规则的数量f_pi，计算交换机端口平均流规则占用数量f_ave:

其中，n为端口的总数；

依据f_ave计算出每个端口流规则占用数量的偏移度d_pi:

3.根据权利要求1所述基于端口相似性的双阶段软件定义网络流表溢出防御方法，其特征在于，当步骤(3)和步骤(4)中判断端口偏移度是否超出阈值时：

overflow_pi表示判断端口p_i是否存在流表溢出攻击。

4.根据权利要求1所述基于端口相似性的双阶段软件定义网络流表溢出防御方法，其特征在于，步骤(3)和步骤(4)中，在对超负荷的流表删除流规则时，选择端口偏移大于等于1的端口进行对应流规则的删除，若不存在端口偏移度大于阈值的端口，则对所有偏移度大于0的端口进行流规则的删除；在具体的端口删除流规则时，根据步骤(1)中统计的每条流所触发的packet-in报文次数，优先删除触发packet-in次数最少的流对应的流规则。

5.根据权利要求1所述基于端口相似性的双阶段软件定义网络流表溢出防御方法，其特征在于，每个端口的偏移度从大到小排序。