一种拟态化SDN控制器构建方法与流程

本发明属于网络安全技术领域，具体的涉及一种拟态化SDN控制器构建方法及装置。

背景技术：

近些年，SDN迅速兴起，并得到学术界和工业界的广泛关注，且成功地应用于商业网络领域。而控制器，作为控制平面的核心部件，在SDN部署运行中发挥了关键作用。因此针对控制器的攻击，如DDoS攻击和基于漏洞和后门发起的篡改流表等类似攻击形式，对底层网络安全高效运行带来了极大挑战。一旦攻击者成功实施此类攻击，将会导致整个网络运作异常、低效甚至于瘫痪。

而现有的SDN运行机制或是控制器安全机制在应对上述安全威胁时还存在很大不足，因此急需一种能够在面临控制器失效情形时依然有效保障SDN运行的装置。

技术实现要素：

本发明针对现有技术存在SDN在面临控制器失效情形时无法有效保障SDN运行的问题，提出一种拟态化SDN控制器构建方法。

本发明的技术方案是：一种拟态化SDN控制器构建方法，包括控制层面、调度层面和数据层面，控制层面实现对网络的控制和管理任务，提供多个异构冗余的控制器执行体；数据层面，完成网络中数据的转发功能，包括交换机、路由器等硬件设施；控制层面通过调度层面与数据层面进行通讯，调度层面包括转发器、感知器、决策器和调度器；拟态化SDN控制器构建方法，其具体步骤为：

步骤1：收集网络状态信息转发至控制器执行体；

步骤2：实时地对网络运行状态进行感知检测；

步骤3：动态地对控制层的控制器进行调度，

步骤4：利用择多判决机制对下发信息进行表决输出。

所述的拟态化SDN控制器构建方法，步骤1中网络状态信息主要包括：控制器所管理子网的拓扑信息以及交换机等状态信息。

所述的拟态化SDN控制器构建方法，所述步骤2中的检测包括链路拥塞情况、网络时延以及吞吐量等网络性能参数。

所述的拟态化SDN控制器构建方法，所述步骤3、4中调度和判决的具体方法为：

步骤301：依据选择机制及感知结果从T个正常的异构控制器执行体中选出M个进行择多判决，具体地，前一时刻可选择前M1个控制器参与流规则生成，当前时刻可选择后M2个，再下一时刻可随机挑选M3个，即每次负责管理网络的控制器的个数和对象都在不停变化；

步骤302：选出的M个控制器的生成数据进入判决器；

步骤303：判决器根据择多判决的机制，选择最终下发的控制器数据，具体地，判断数据一致的数量是否超过输入的一半，如超过，选择多数一致的数据下发，否则通知调度器重新生成调度方案，不一致数据所对应的控制器视为发生异常；

步骤304：根据判决和感知结果若发现控制器出现异常，则下一次从剔除异常控制器后的集合中调度M个控制器进行择多判决，并对异常控制器采取恢复机制后，重新加入可供调度的控制器集合。

所述的拟态化SDN控制器构建方法，所述转发器：负责收集子网拓扑和交换机状态等信息，并将信息转发至所有控制器，然后控制器根据自身角色选择存储更新信息或生成流规则。

所述的拟态化SDN控制器构建方法，所述感知器：实时监测感知网络状态并进行异常检测，通过分析子网相关的状态数据来判断网络运行情况，如发现异常，以警告消息形式将感知结果告知调度器。

所述的拟态化SDN控制器构建方法，所述决策器：用于接收来自控制层控制器生成的信息，并利用择多判决方法完成下发到子网的信息决策，当决策完成时，结果以通知消息方式告知调度器。

所述的拟态化SDN控制器构建方法，所述调度器：负责调度控制器对子网进行管理，拥有定时和信息触发两种运行机制，依据感知动态的调度方式，进而对控制器的角色做出针对性调整。

本发明的有益效果是：本发明公开了一种拟态化SDN控制器构建方法，通过利用控制器的异构冗余特性，综合各自的安全优势，并结合感知动态的调度和择多判决的决策方法，使得面临安全威胁时，能更好保证网络运行的鲁棒性、弹性和生存能力，从而提升了SDN的安全性能。

附图说明

图1为拟态化SDN控制器构建方法流程示意图；

图2为拟态化控制器的SDN连接结构示意图。

具体实施方式

实施例1：结合图1-图2，一种拟态化SDN控制器构建方法，包括控制层面、调度层面和数据层面，控制层面实现对网络的控制和管理任务，提供多个异构冗余的控制器执行体；数据层面，完成网络中数据的转发功能，包括交换机、路由器等硬件设施；控制层面通过调度层面与数据层面进行通讯，调度层面包括转发器、感知器、决策器和调度器；拟态化SDN控制器构建方法，其具体步骤为：

步骤1：收集网络状态信息转发至控制器执行体；网络状态信息主要包括：控制器所管理子网的拓扑信息以及交换机等状态信息。

步骤2：实时地对网络运行状态进行感知检测；检测包括链路拥塞情况、网络时延以及吞吐量等网络性能参数。

步骤3、4：动态地对控制层的控制器进行调度，并利用择多判决机制对下发信息进行表决输出。

调度和判决的具体方法为：步骤301：依据选择机制及感知结果从T个正常的异构控制器执行体中选出M个进行择多判决，具体地，前一时刻可选择前M1个控制器参与流规则生成，当前时刻可选择后M2个，再下一时刻可随机挑选M3个，即每次负责管理网络的控制器的个数和对象都在不停变化。

步骤302：选出的M个控制器的生成数据进入判决器；

步骤303：判决器根据择多判决的机制，选择最终下发的控制器数据，具体地，判断数据一致的数量是否超过输入的一半，如超过，选择多数一致的数据下发，否则通知调度器重新生成调度方案，不一致数据所对应的控制器视为发生异常；

步骤304：根据判决和感知结果若发现控制器出现异常，则下一次从剔除异常控制器后的集合中调度M个控制器进行择多判决，并对异常控制器采取恢复机制后，重新加入可供调度的控制器集合。

转发器：负责收集子网拓扑和交换机状态等信息，并将信息转发至所有控制器，然后控制器根据自身角色选择存储更新信息或生成流规则。

感知器：实时监测感知网络状态并进行异常检测，通过分析子网相关的状态数据来判断网络运行情况，如发现异常，以警告消息形式将感知结果告知调度器。决策器：用于接收来自控制层控制器生成的信息，并利用择多判决方法完成下发到子网的信息决策，当决策完成时，结果以通知消息方式告知调度器。

调度器：负责调度控制器对子网进行管理，拥有定时和信息触发两种运行机制，依据感知动态的调度方式，进而对控制器的角色做出针对性调整。