CN105227363A - 一种基于sdn的全网络端口隔离方法及装置 - Google Patents

Abstract

本发明提供一种基于SDN的全网络端口隔离方法及装置，方法包括步骤：SDN交换机与控制器之间建立连接通道；SDN交换机上报自身的MAC地址和端口信息至控制器；控制器根据MAC地址、端口信息以及隔离配置任务序列下发流表至SDN交换机；SDN交换机根据流表，实现全网络端口配置隔离；装置包括：连接单元，用以在SDN交换机与控制器之间建立连接通道；信息单元，用以获取SDN交换机的MAC地址和端口信息；流表单元，用以根据MAC地址、端口信息以及隔离任务配置序列获取流表；隔离单元，用以根据流表实现全网络端口配置隔离。本发明中所有端口隔离配置任务序列都集中在SDN控制器，所以配置工作非常集中并且修改方便且组网灵活。

Description

一种基于SDN的全网络端口隔离方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种基于SDN的全网络端口隔离方法及装置。

背景技术

传统端口隔离是一个基于端口的独立功能，作用于端口和端口之间，隔离相互之间的流量，利用端口隔离的特性，可以实现VLAN内部的端口隔离，从而节省VLAN资源，增加网络的安全性。配置端口隔离功能后，一个隔离组内的端口之间相互隔离，不同隔离组的端口之间或者不属于任何隔离组的端口与其他端口之间都能进行正常的数据转发。

如图1所示，其为传统的端口隔离的结构示意图，其中S1、S2和S3均为交换机，e1/0/0、e1/0/10和e1/0/15均属于VLAN100，e1/0/0和e1/0/10属于同一个隔离组，e1/0/1和e1/0/10流量不同，只和上行口e1/0/15互通。从该图中可以看出，传统的端口隔离技术是分布式的，端口隔离的配置任务需要基于每个交换机，如果构建的网络非常庞大，配置工作将会非常复杂和容易出错。

发明内容

鉴于上述问题，本申请记载了一种基于SDN的全网络端口隔离方法，所述方法包括步骤：

SDN交换机与控制器之间建立连接通道；

所述SDN交换机上报自身的MAC地址和端口信息至所述控制器；

所述控制器根据所述MAC地址、所述端口信息以及隔离配置任务序列下发流表至所述SDN交换机；

所述SDN交换机根据所述流表，实现全网络端口配置隔离。

较佳的，在所述SDN交换机与所述控制器之间建立连接通道的过程中，SDN交换机初始化OpenFlow通道。

较佳的，所述SDN交换机通过私有的Experimenter报文，上报所述MAC地址和所述端口信息。

较佳的，所述SDN交换机通过所述Experimenter报文上报的端口数量不多于128个。

较佳的，所述隔离配置任务序列包括：全局隔离组号、全局端口号以及隔离流的特征。

较佳的，所述隔离流的特征包括：源MAC地址、目的MAC地址、源IP地址以及目的IP地址。

较佳的，所述全局端口号包括SDN交换机号以及端口号。

较佳的，所述全局隔离组号为全局唯一标识的隔离组。

较佳的，所述方法还包括步骤：

于报文进入SDN网络时，判断需要接收所述报文的端口的端口类型；

若所述端口类型为隔离端口，判断所述报文是否为原始报文；

若所述报文是原始报文，在所述报文的源MAC地址以后追加隔离组信息头；

若所述报文不是原始报文，判断所述报文的隔离组信息头和所述端口的隔离组是否一致，如果一致，丢弃所述报文；否则，转发所述报文；

若所述端口类型不是隔离端口，则不做任何处理。

较佳的，所述隔离组信息头包括：目的MAC地址、源MAC地址、隔离组、以太网以及数据。

较佳的，所述SDN交换机和所述控制器之间支持扩展OpenFlow流表。

本发明还提供了一种基于SDN的全网络端口隔离装置，所述装置包括：

连接单元，用以在SDN交换机与控制器之间建立连接通道；

信息单元，与所述连接单元相连，用以获取所述SDN交换机的MAC地址和端口信息；

流表单元，与所述信息单元相连，用以根据所述MAC地址、所述端口信息以及隔离任务配置序列获取流表；

隔离单元，与所述流表单元相连，用以根据所述流表实现全网络端口配置隔离。

较佳的，所述装置还包括：

第一判断单元，与所述隔离单元相连，用以当报文进入SDN网络时判断需要接收所述报文的端口的端口类型；

第二判断单元，与所述第一判断单元相连，用以判断所述报文是否为原始报文；

追加单元，与所述第二判断单元相连，用以在所述报文的源MAC地址以后追加隔离组信息头；

第三判断单元，与所述第二判断单元相连，用以判断所述报文的隔离组信息头和所述端口的隔离组是否一致；

丢弃单元，与所述第三判断单元相连，用以丢弃所述报文；

转发单元，与所述第三判断单元相连，用以转发所述报文。

上述技术方案具有如下优点或有益效果：基于SDN的全网络端口隔离方法是基于SDN架构的，因为所有端口隔离配置任务序列都集中在SDN控制器，所以配置工作非常集中并且修改方便。同时，SDN的全网络端口隔离技术基于整个SDN网络，所以组网灵活。

附图说明

参考所附附图，以更加充分的描述本发明的实施例。然而，所附附图仅用于说明和阐述，并不构成对本发明范围的限制。

图1为传统的端口隔离技术示意图；

图2为本发明一种基于SDN的全网络端口隔离方法的流程图一；

图3为本发明一种基于SDN的全网络端口隔离方法的流程图二；

图4为本发明适用于基于SDN的全网络端口隔离方法的一种端口隔离技术的结构示意图；

图5为本发明一种适用于基于SDN的全网络端口隔离的装置的结构示意图一；

图6为本发明一种适用于基于SDN的全网络端口隔离的装置的结构示意图二。

具体实施方式

下面结合附图和具体实施例对本发明基于SDN的全网络端口隔离方法及装置进行详细说明。

实施例一

如图2所示，一种基于SDN的全网络端口隔离方法，包括步骤：

SDN交换机建立与控制器之间的通道；

所述SDN交换机上报自身的MAC地址和端口信息至所述控制器；

所述控制器根据所述MAC地址、所述端口信息以及隔离配置任务序列下发流表至所述SDN交换机；

所述SDN交换机根据所述流表，实现全网端口隔离配置。

具体来说，所述SDN交换机首先建立和所述控制器之间的通道，在这个过程中需要所述SDN交换机初始化OpenFlow通道。所述SDN交换机通过私有的Experimenter报文，上报自己的MAC地址和端口信息，其中，SDN交换机的MAC地址可以作为所述SDN交换机的标识符。控制器接收所述MAC地址和端口信息后，根据隔离配置任务序列，下发流表至所述SDN交换机，所述SDN交换机根据所述流表，实现全网端口隔离配置。

此外，在本实施例中，所述控制器支持全网络端口隔离配置任务序列，所述隔离配置任务序列包括：全局隔离组号、全局端口号以及隔离流的特征。所述全局隔离组号为全局唯一标识的隔离组，由16bits数字组成。所述全局端口号包括所有的所述SDN交换机号以及端口号。所述隔离流的包括四元组信息：源MAC地址、目的MAC地址、源IP地址以及目的IP地址，所述隔离流可以基于某一条或者某一类的SDN流，如果不指定，表明基于所有的流量。

值得指出的是，从SDN交换机到控制器的私有扩展Experimenter报文如图所示。Experimenter值为255需要向ONF组织申请。Experimentertype值为1表面是从SDN交换机方向到控制器。上报的端口最大支持128个。如表1所示，其为私有扩展Experimenter报文的格式。

表1私有扩展Experimenter报文的格式

此外，如图3所示，基于SDN的全网络端口隔离方法中了，当报文进入SDN网络时，所述方法还包括步骤：

于所述报文进入SDN网络时，判断需要接受所述报文的SDN交换机端口的端口类型；

若所述端口类型为隔离端口，判断所述报文是否为原始报文；

若所述报文是原始报文，需要在所述报文的源MAC地址以后追加隔离组信息头；

若所述报文不是原始报文，需要判断所述报文的隔离组信息头和端口的隔离组是否一致，如果一致，丢弃所述报文；否则，转发该报文；

若所述端口类型不是隔离端口，则不做任何处理。

值得指出的是，在所述源MAC地址以后追加隔离组信息头的报文个数如下表所述。如表2所示，所述隔离组信息头包括：目的MAC地址、源MAC地址、隔离组、以太网以及数据。报文中携带的隔离组信息需要和端口的隔离组信息进行比较，如果相同，则报文将被丢弃；如果不同，报文将被转发。

表2带有隔离组头信息的报文格式

目的MAC地址

源MAC地址

隔离组

以太网头

数据

此外，在本实施例中，所述SDN交换机和所述控制器之间需要支持扩展OpenFlow流表，所述扩展OpenFlow流表的定义如下表所述。

从上表3可以看出，所述扩展OpenFlow流表包括：带有原始报文的入端口，用以追加隔离组；带有隔离组的报文的入端口，用以丢弃报文；带有隔离组的报文的出端口，用以剥离隔离组。

表3扩展OpenFlow流表定义

本实施例提出的基于SDN的全网络端口隔离方法中，SDN交换机和控制器之间支持扩展OpenFlow流表，控制器支持基于SDN的全网络端口隔离技术，同时定义了私有的Experimente报文以及私有的隔离组信息头的报文格式。所述方法是基于SDN架构的，因为所有端口隔离配置任务序列都集中在SDN控制器，所以配置工作非常集中并且修改方便。而且，SDN的全网络端口隔离技术基于整个SDN网络，所以组网灵活。

如图4所示，其为适用于基于SDN的全网络端口隔离方法的一种端口隔离技术示意图。图中S1、S2、S3和S4均为SDN交换机，HsotA和HostB为两个不同的主机，P1和P2为隔离端口。其中，S1的P、P2和S3的P2都属于隔离组A(IsolationA)，HostA的流量可以达到HostB，但是当把S3的P3从非隔离组改为隔离组A后，HostA的流量不可以达到HostB。

实施例二

根据上述实施例提出的一种基于SDN的全网络端口隔离方法，本实施例提出了一种基于SDN的全网络端口隔离的装置。

如图5所示，一种基于SDN的全网络端口隔离方法的装置，包括：

连接单元，用以在SDN交换机与控制器之间建立连接通道；

信息单元，与所述连接单元相连，用以获取SDN交换机的MAC地址和端口信息；

流表单元，与所述信息单元相连，用以根据所述MAC地址、所述端口信息以及隔离配置任务序列获取流表；

隔离单元，与所述流表单元相连，用以根据所述流表实现全网络端口配置隔离。

所述连接单元、信息单元、流表单元和隔离单元用以在所述SDN网络中实现端口配置隔离。此外，如图6所示，所述装置还包括：

第一判断单元，与所述隔离单元相连，用以当报文进入SDN网络时判断需要接收所述报文的端口的端口类型；

第二判断单元，与所述第一判断单元相连，用以判断所述报文是否为原始报文；

追加单元，与所述第二判断单元相连，用以在所述报文的源MAC地址以后追加隔离组信息头；

第三判断单元，与所述第二判断单元相连，用以判断所述报文的隔离组信息头和所述端口的隔离组是否一致；

丢弃单元，与所述第三判断单元相连，用以丢弃所述报文；

转发单元，与所述第三判断单元相连，用以转发所述报文。

具体来说，在本实施例中，首先要由连接单元在SDN交换机与控制器之间建立连接通道，信息单元获取SDN交换机的MAC地址和端口信息，SDN交换机上报信息单元获取的信息至控制器后，流表单元根据所述MAC地址、所述端口信息以及隔离配置任务序列获取流表，控制器下发流表至SDN交换机，最后，SDN交换机中的隔离单元根据所述流表实现全网络端口配置隔离。在实现了全网络端口配置隔离且报文进入SDN网络时，第一判断单元判断需要接收所述报文的端口的端口类型。当所述端口类型为隔离端口时，第二判断单元判断所述报文是否为原始报文。当所述报文是原始报文时，追加单元在所述报文的源MAC地址以后追加隔离组信息头；否则，第三判断单元判断报文的隔离组信息头和所述端口的隔离组是否一致。如果隔离组信息头和所述端口的隔离组一直，则丢弃单元丢弃所述报文，否则，转发单元转发所述报文。

对于本领域的技术人员而言，阅读上述说明后，各种变化和修正无疑将显而易见。因此，所附的权利要求书应看作是涵盖本发明的真实意图和范围的全部变化和修正。在权利要求书范围内任何和所有等价的范围与内容，都应认为仍属本发明的意图和范围内。

Claims (13)

1.一种基于SDN的全网络端口隔离方法，其特征在于，所述方法包括步骤：

SDN交换机与控制器之间建立连接通道；

所述SDN交换机上报自身的MAC地址和端口信息至所述控制器；

所述控制器根据所述MAC地址、所述端口信息以及隔离配置任务序列下发流表至所述SDN交换机；

所述SDN交换机根据所述流表，实现全网络端口配置隔离。

2.根据权利要求1所述的基于SDN的全网络端口隔离方法，其特征在于，在所述SDN交换机与所述控制器之间建立连接通道的过程中，SDN交换机初始化OpenFlow通道。

3.根据权利要求2所述的基于SDN的全网络端口隔离方法，其特征在于，所述SDN交换机通过私有的Experimenter报文，上报所述MAC地址和所述端口信息。

4.根据权利要求3所述的基于SDN的全网络端口隔离方法，其特征在于，所述SDN交换机通过所述Experimenter报文上报的端口数量不多于128个。

5.根据权利要求1所述的基于SDN的全网络端口隔离方法，其特征在于，所述隔离配置任务序列包括：全局隔离组号、全局端口号以及隔离流的特征。

6.根据权利要求5所述的基于SDN的全网络端口隔离方法，其特征在于，所述隔离流的特征包括：源MAC地址、目的MAC地址、源IP地址以及目的IP地址。

7.根据权利要求5所述的基于SDN的全网络端口隔离方法，其特征在于，所述全局端口号包括SDN交换机号以及端口号。

8.根据权利要求5所述的基于SDN的全网络端口隔离方法，其特正规在于，所述全局隔离组号为全局唯一标识的隔离组。

9.根据权利要求1所述的基于SDN的全网络端口隔离方法，其特征在于，所述方法还包括步骤：

于报文进入SDN网络时，判断需要接收所述报文的端口的端口类型；

若所述端口类型为隔离端口，判断所述报文是否为原始报文；

若所述报文是原始报文，在所述报文的源MAC地址以后追加隔离组信息头；

若所述报文不是原始报文，判断所述报文的隔离组信息头和所述端口的隔离组是否一致，如果一致，丢弃所述报文；否则，转发所述报文；

若所述端口类型不是隔离端口，则不做任何处理。

10.根据权利要求9所述的基于SDN的全网络端口隔离方法，其特征在于，所述隔离组信息头包括：目的MAC地址、源MAC地址、隔离组、以太网以及数据。

11.根据权利要求10所述的基于SDN的全网络端口隔离方法，其特征在于，所述SDN交换机和所述控制器之间支持扩展OpenFlow流表。

12.一种基于SDN的全网络端口隔离装置，其特征在于，所述装置包括：

连接单元，用以在SDN交换机与控制器之间建立连接通道；

信息单元，与所述连接单元相连，用以获取所述SDN交换机的MAC地址和端口信息；

流表单元，与所述信息单元相连，用以根据所述MAC地址、所述端口信息以及隔离任务配置序列获取流表；

隔离单元，与所述流表单元相连，用以根据所述流表实现全网络端口配置隔离。

13.根据权利要求12所述的基于SDN的全网络端口隔离装置，其特征在于，所述装置还包括：

第一判断单元，与所述隔离单元相连，用以当报文进入SDN网络时判断需要接收所述报文的端口的端口类型；

第二判断单元，与所述第一判断单元相连，用以判断所述报文是否为原始报文；

追加单元，与所述第二判断单元相连，用以在所述报文的源MAC地址以后追加隔离组信息头；

第三判断单元，与所述第二判断单元相连，用以判断所述报文的隔离组信息头和所述端口的隔离组是否一致；

丢弃单元，与所述第三判断单元相连，用以丢弃所述报文；

转发单元，与所述第三判断单元相连，用以转发所述报文。