一种基于Openflow的虚拟防火墙传输控制方法及系统的制作方法
【技术领域】
[0001 ]本发明属于网络资源虚拟化技术领域，尤其涉及一种基于Openf low的虚拟防火墙 传输控制方法及系统。
【背景技术】
[0002] 当今，由于网络资源需求日益增多，网络硬件由于高强度运算需求，高能源消耗等 多个因素，单一物理硬件的负载过重，已难以满足当前网络对于资源的需求。同时，由于不 同距离，速度与拓扑架构的网络相互建立连接，导致拓扑复杂多变，缺少统一抽象性。分布 式的网络架构导致数据流量模式需要对横向数据流的动态增减变化进行实时调整。作为网 络核心的路由器，需承载的功能不断扩展导致其性能和功能的不堪重负。随着云计算与大 数据的引入，网络中云计算与大数据依赖于集中化管理与预先设定的计算模式，而数据的 聚合与划分操作需要构建多台服务器的网络流量模式。网络复杂多变，对于硬件需求不断 提升，硬件防火墙在面对海量数据与请求时，受制于硬件限制；同时，控制与转发处于同一 平面，导致防火墙拥塞或者溢出。将网络资源虚拟化技术的运用于防火墙技术中，可隐藏复 杂的防火墙物理结构，统一管理网络逻辑层，动态配置最优资源。SDN所倡导的控制与转发 分离、逻辑上集中化的控制、丰富灵活的开放编程接口，可处理当前防火墙实现成本高、海 量数据处理效率底等瓶颈问题，提高网络的灵活性与可控性，保证内网与终端的安全。SDN 的设计目的在于增强网络的灵活性，将软硬件分离，将数据与逻辑分离，而SDN防火墙可通 过SDN实现其硬件虚拟化。
[0003] SDN防火墙由于将控制集中到SDN控制器中，可虚拟多个逻辑防火墙统一管理网 络，但模糊了防护的分层硬件的界限，增加防火墙安全复杂性，在短期内不能完全替代传统 防火墙的作用，但是SDN的作用也在不断被完善。
【发明内容】
[0004] 本发明的目的在于提供一种基于Openflow的虚拟防火墙传输控制方法及系统，旨 在解决当前防火墙实现成本高、海量数据处理效率底瓶颈的问题。
[0005] 本发明是这样实现的，一种基于Openf low的虚拟防火墙传输控制方法，所述基于 Openf low的虚拟防火墙传输控制方法包括以下步骤：
[0006] 数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火墙内核模块提取 数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信息进行基础映射； 若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转发端口及其路径； 若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则的指定和下发；
[0007] 防火墙过滤规则文件，rules. Conf ig为防火墙规则文件，数据包到达端口后，截取 数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地址、Mac地址、包输入 端口和包输出端口信息；
[0008] 若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢弃;若提取信息 与防火墙规则匹配，则此包允许传输接收;若提取信息不满足任何防火墙规则，则此包被丢 弃。
[0009] 进一步，关键信息包括:数据来源以太网端口，到达的交换机端口，来源IP地址，目 标IP地址。
[0010] 进一步，防火墙中数据包处理包括:数据包解析，数据包匹配，数据包丢弃，数据包 通过。
[0011] 进一步，数据包头解析与匹配包括:源IP地址匹配、目的IP地址匹配、传输协议匹 配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配。
[0012] 进一步，所述虚拟防火墙限制数据流经包括：同一网络和不同网络中数据包的传 输。
[0013] 进一步，同一网络中，数据包的传输处于网络A中的终端host2向网络A的终端 host3发送数据包，防火墙限制数据流经过程如下：
[0014] 终端host2将host3地址作为目标地址，发送数据包Packet;
[0015] 交换机switchl检测到链路中存在数据包，向控制器发送处理数据包请求；
[0016] 控制器策略应用相应请求，向交换机switchl下发流指令，将数据包目标地址定义 为虚拟防火墙地址；
[0017] 交换机switchl根据控制器指定的路径，将数据包Packet送达虚拟防火墙处，并等 待防火墙处理；
[0018] 防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙将可疑 数据包丢弃;若Packet合法，防火墙通知控制器:Packet合法，控制器将数据包重新定义到 网络A的内网链路；
[0019] 控制器向交换机switchl下达传输命令，switchl将数据包转发至终端host3处。
[0020] 不同网络中，数据包的传输，处于网络A中的终端host2向网络B的终端hosts发送 数据包，防火墙限制数据流经过程如下：
[0021 ]网络A的终端host2将网络B的终端host8地址作为目标地址，发送数据包Packet;
[0022] 交换机switchl检测到链路中存在数据包，向控制器发送处理数据包请求；
[0023] 控制器策略应用相应请求，向交换机switchl下发流指令，将数据包目标地址定义 为虚拟防火墙地址；
[0024] 交换机switchl根据控制器指定的路径，将数据包Packet送达虚拟防火墙处，并等 待防火墙处理；
[0025] 防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙将可疑 数据包丢弃;若Packet合法，防火墙通知控制器:Packet合法，控制器将数据包重新定义到 网络B的外网链路；
[0026] Packe t通过外网链路传输，数据包达到网络B的防火墙处，并等待防火墙B处理； [0027]防火墙根据控制器定义的防火墙规则进行匹配，若Packet不合法，防火墙B将可疑 数据包丢弃;若Packet合法，防火墙通知控制器:Packet合法，控制器向防火墙下达命令，将 Packet重新定义到网络B的内网链路；
[0028] 控制器向交换机switch2下达传输命令，swicth2将数据包转发至终端host8。
[0029]本发明的另一目的在于提供一种所述基于Openflow的虚拟防火墙传输控制方法 的虚拟防火墙传输控制系统，所述虚拟防火墙传输控制系统包括：
[0030] 数据包匹配模块，数据包从主机发送后，通过虚拟防火墙上配置的虚拟网卡，防火 墙内核模块提取数据包的关键信息，虚拟防火墙通过防火墙定义的规则，与数据包关键信 息进行基础映射;若防火墙规则与关键信息匹配成功，则按照防火墙规则决定数据包的转 发端口及其路径;若无匹配，数据包将被传送至用户控件的处理队列，等待相关防火墙规则 的指定和下发；
[0031] 包头信息提取模块，防火墙过滤规则文件，rules.Config为防火墙规则文件，数据 包到达端口后，截取数据包并对包头进行语法分析，提取出：封装协议、IP源地址、IP目的地 址、Mac地址、包输入端口和包输出端口信息；
[0032] 转发匹配模块，若提取信息与防火墙规则不匹配，则此包不被允许通过防火墙，丢 弃;若提取信息与防火墙规则匹配，则此包允许传输接收;若提取信息不满足任何防火墙规 贝IJ，则此包被丢弃。
[0033]进一步，所述基于Openf low的虚拟防火墙传输控制系统进一步包括：内网模块、终 端、虚拟交换机、控制器、防火墙；
[0034]内网模块，用于控制内网数据传输；
[0035]终端，与虚拟交换机连接，是数据的发出端或接受端发出数据或者接受数据；
[0036]虚拟交换机，用于实现数据包转发将接受的数据包通过指定的端口发出；
[0037]控制器，与内网模块连接，用于根据数据包解析的结果和转发规则匹配以判定对 对应数据包的操作；
[0038]防火墙，与内网模块和控制器连接，用于包头解析，分离出IP地址，MAC地址，将解 析数据与防火墙定义的规则进行匹配。
[0039] 本发明提供的基于Openf low的虚拟防火墙传输控制方法及系统，通过对经过防火 墙的数据包进行解析获取数据包中传输控制信息(包括:源IP地址、目的IP地址、传输协议、 数据来源以太网端口、到达的交换机端口），再将获取的数据包传输控制信息与 ru I e s. Conf i g中的控制信息进行匹配(包括:源IP地址匹配、目的IP地址匹配、传输协议匹 配、数据来源以太网端口匹配、到达的交换机端口匹配、优先级匹配），根据匹配结果决定对 数据包的操作。将信息安全知识与计算机网络知识结合，研究网络安全技术方向；学习新型 网络技术:软件定义网技术(简称SDN)，了解新型网络架构;通过运用软件定义网技术，学习 虚拟化技术，并实现虚拟化防火墙技术;结合软件定义网技术的优点，通过软件编程，提高 网络的灵活性与可控性，对网络进行分层自主配置，进而解决当前防火墙实现成本高、海量 数据处理效率底等瓶颈问题，保证内网与终端的安全;将防火墙搭建于SDN的控制器中，在 软件平面实现了硬件防火墙的功能:实现了对多个网络的传输数据的扫描监控，对特定服 务端口的监听管理，对特殊站点的访问控制，可保护整个网络。
【附图说明】
[0040] 图1是本发明实施例提供的基于Openf low的虚拟防火墙传输控制方法流程图。
[0041] 图2是本发明实施例提供的基于Openf low的虚拟防火墙传输控制系统结构示意 图；
[0042] 图中：1、内网模块;I-1、终端;1 -2、虚拟交换机;2、控制器;3、防火墙。
[0043]图3是本发明实施例提供的交换机中数据包处理流程示意图。
[0044]图4是本发明实施例提供的数据包头解析