[发明专利]一种软件定义防火墙系统的实现方法

摘要

本发明公开了一种软件定义防火墙系统的实现方法，属于计算机网络技术领域，该方法是OpenFlow交换机与SDN控制器建立连接，接收table‑miss流表项和初始流表项；OpenFlow交换机将数据包发送到SDN控制器；SDN控制器中的状态检测过滤模块结合防火墙规则和数据包的状态对TCP数据包进行状态检测过滤，并维护一张状态连接表；SDN控制器中的包过滤模块根据防火墙规则对无状态IP协议数据包进行包过滤，并下发流表项到OpenFlow交换机以指导后续数据包处理。该方法能够针对不同协议类型的数据包分别进行无状态的包过滤和有状态的状态检测过滤，实现了状态防火墙功能，并且包过滤通过下发流表项减少SDN控制器的运算量，此外该方法在实现状态检测过滤时不需要修改OpenFlow协议，具有更高的通用性。

主权项

1.一种软件定义防火墙系统的实现方法，其特征在于，包括以下步骤：(1)OpenFlow交换机与SDN控制器建立连接，SDN控制器向OpenFlow交换机下发一条table‑miss流表项，所述table‑miss流表项的匹配域为全匹配，动作为上送到SDN控制器，优先级为0，SDN控制器中的状态检测过滤模块向OpenFlow交换机下发一条初始流表项，所述初始流表项的匹配域为TCP，动作为上送到SDN控制器，优先级大于0；(2)网络数据包经过OpenFlow交换机，匹配OpenFlow交换机中动作为上送到SDN控制器的流表项，被OpenFlow交换机封装为packet‑in消息发送给SDN控制器；(3)SDN控制器接收到packet‑in消息并进行处理，处理过程为：SDN控制器中的消息解码模块提取packet‑in消息包含的数据包，并提取数据包的IP协议字段以判断IP协议类型，SDN控制器中的包过滤模块和状态检测过滤模块根据防火墙规则库模块中的防火墙规则对不同IP协议类型的数据包进行相应处理。