[发明专利]一种基于SDN的虚拟网络优化方法

说明书

技术领域

本发明涉及一种虚拟网络管理的优化方法，属于SDN安全技术领域。

背景技术

随着网络信息技术的飞速发展，互联网在四十多年的历史里，已经成为了整个世界不可或缺的基础设施，互联网深入到人们生活的各个方面，给人们的学习、生活带来了巨大的便利。

经过几十年的发展，互联网的体积越来越大，基于网络的各种业务对互联网的要求越来越高，过于巨大的压力之下，安全问题，性能瓶颈等也随着互联网的发展逐渐暴露出来。SDN的产生实现了网络控制和物理网络拓扑的分离，从而摆脱了硬件对网络构架的限制，可以灵活动态的堆网络构架进行修改。

网络信息技术的不断发展，网络的攻击技术也层出不穷，各种DOS，DDoS，MAC欺骗，流量劫持无时无刻威胁到人们在互联网生活中的安全。由于传统的网络设备对一个主机端口加入网络时，需要将端口与事先定义好的VLAN号进行绑定，当主机进入网络时，该主机所连接的端口就会自动的被分配到实现定义好的VLAN中，实现VLAN的管理，但是这样存在的问题就在于，当一台恶意主机试图通过该端口加入到VLAN中，并且试图控制其他主机进行DDoS攻击时，传统网络并不能及时区分可疑和可信主机，对网络攻击的抵抗力也会非常小。

发明内容

本次发明是针对传统的静态VLAN提出的一种基于SDN的多层次VLAN优化方法，其目的在于实现在不改动原有的VLAN配置的情况下，使用基于SDN的OpenFlow技术将VLAN的配置实现动态化，来解决日常DDoS攻击中，攻击源主机难以定位，网络灾难恢复速度慢的问题，大大减轻了配置人员的工作量，加快在动态配置中整个VLAN的收敛速度，从而达到优化的目的。

本发明采用双controller的网络拓扑，分别标记为C1、C2；就本发明的安全策略中针对新主机在虚拟网络分片slice间动态迁移情况，需要建立一个slice的单向传输通道，建立两个slice都可见的list_host[]列表。本发明的技术方案具体为：

在slice1层建立一个list_host_slice1[]列表，当新主机进入局域网，在控制器C1上新建映射，并对每台主机设立一个初始加入时间t_init字段；

再将该新主机的MAC地址与相应的端口建立映射；

对该新主机的流表进行修改，使其指向预先做好镜像的Nginx服务器；将每个主机设立的“初始加入时间”加上可信期(该可信期为每台主机在slice1层的停留时间，用户可自行定义)形成新的结束时间，若该结束时间>当前系统时间,则新主机将停留在slice1层上；

若主机结束时间>当前时间且无发生DDoS攻击，则slice1层的监视线程每隔一个时间间隔(考虑到网络系统性能，时间间隔最好设置在30秒左右，以保证高效且安全的扫描效率)会扫描一次主机列表，将该主机的ip和mac以及对应该主机为源的所有的流表，以一种主机参数列表list_host[]的形式传入slice2层，同时删除slice1上的主机信息和流表配置；

上述新主机在slice2进行泛洪处理寻找C2控制器，将slice2层设定一个同样的主机列表list_host_slice2[],用于每台主机的初始加入时间t_init字段，状态字段0,1。

若主机结束时间>当前时间,当网络发生DDoS时，会对最后一个进入的，即t_init时间与当前时间差最小的主机进行VLANID的修改，该主机将会被划分到一个预先设置好的VLAN中，隔离与其他主机的通信，但是能够提供最基本的服务和外网的访问；若DDoS仍然未停止，则继续加入置信时间未到的主机，直到没有新主机为止。

若slice2层没有发生DDoS攻击，则新主机将停留在所属的正常VLAN中，在置信时间到达以后删除对应的生存时间。

进一步，本方法将真实网络环境一分为二，将可信的和不可信的主机分开放置。

进一步，本方法把不可信的主机放置在临时局域网中，而不是直接删除。

本发明是基于SDN网络环境的开放性和传统网络DDoS攻击具有一定的潜伏期所设计的网络策略，对每个主机的网络身份加入置信标签，来实现SDN对每台网络主机的身份识别。将真实网络环境一分为二，可信的和不可信的主机分开放置，并把不可信的主机放置在临时局域网中，而不是直接删除。本方法能够减少网络风暴发生时所需的人工干预，增加了整个网络的健壮性和稳定性，大大提高了遭遇特定网络攻击后整个网络恢复正常的收敛速度。

附图说明