[发明专利]一种集威胁处理和路由优化于一体的SDN架构及工作方法

摘要

本发明公开了一种集威胁处理和路由优化于一体的SDN架构、系统及工作方法，本SDN网络架构，包括应用平面、数据平面和控制平面；其中数据平面，当位于数据平面中任一IDS设备检测到攻击威胁时，DDoS攻击特征的报文时，即通过SSL通信信道上报至应用平面；应用平面，用于对攻击类型进行分析，并根据攻击类型定制相应的攻击威胁处理策略；控制平面，为应用平面提供攻击威胁处理接口，并为数据平面提供最优路径计算和/或攻击威胁识别接口。本发明可使网络在遭受大规模DDoS威胁时，能够根据链路的实时状况实现路由优化的流量转发，同时迅速准确的进行DDoS威胁识别和处理响应，全面保障网络通信质量。

主权项

一种SDN网络架构，其特征在于，包括：数据平面、应用平面和控制平面；其中数据平面，当位于数据平面中任一IDS设备检测到DDoS攻击特征的报文时，即通过SSL通信信道上报至应用平面；应用平面，用于对攻击类型进行分析，并根据攻击类型定制相应的攻击威胁处理策略；控制平面，为应用平面提供攻击威胁处理接口，并为数据平面提供最优路径计算和/或攻击威胁识别接口；所述IDS设备内包括：欺骗报文检测模块，对链路层和网际层地址的欺骗行为进行检测；破坏报文检测模块，对网际层和传输层标志位设置的异常行为进行检测；异常报文检测模块，对应用层和传输层泛洪式攻击行为进行检测；通过所述欺骗报文检测模块、破坏报文检测模块、异常报文检测模块依次对报文进行检测；且若任一检测模块检测出报文存在上述相应行为时，则将该报文转入应用平面；所述应用平面适于当报文具有欺骗行为，且攻击威胁在OpenFlow域中，则通过控制平面中的控制器屏蔽主机；或当攻击威胁不在OpenFlow域中，则通过控制器将该报文所对应的交换机接入端口流量重定向至流量清洗中心进行过滤；所述应用平面还适于当报文具有异常行为，则通过控制器对攻击程序或攻击主机的流量进行屏蔽；以及当报文具有泛洪式攻击行为，则所述应用平面适于通过控制器将该报文所对应的交换机接入端口流量重定向至流量清洗中心进行过滤。