一种基于sdn的网络流量监测系统的制作方法
【技术领域】
[0001]本发明涉及通信技术领域，特别涉及一种基于SDN( Sof tware DefinedNetworking软件定义网络)架构的安全监测方法。
【背景技术】
[0002]SDNCSoftware Defined Networking软件定义网络)是一种新型网络技术架构。有别于传统的网络架构，其将网络的控制层面和数据层面分离。在数据层面，功能更加趋于简单，可按照控制层面的策略进行转发。SDN控制层面一般由控制器担任，由交换机实现数据层面功能。
[0003]网络安全一直是网络领域的一个热点问题，在网络中无时不刻不充斥着网络攻击，有DD0S、APT等攻击技术层出不穷，对网络中的设备及应用带来了很大的安全威胁。在传统网络中往往会对网络流量进行监测，不过往往是高昂价格的监测设备，功能单一且不具备高扩展性，难以适应灵活多变的网络攻击，在设备之余对安全分析工作人员带来了更多的要求，他们除需要具备相应的安全知识储备外还需要掌握各类设备的使用方法，更换不同设备又将增加学习成本。另外这类监测设备各自遵循不同的技术标准，难以进行更为便捷的自定义设置，大大的缩减了设备的灵活性和扩展性。
[0004]在主流的SDN实现技术中，控制器和交换机之间运行标准的OpenFlow协议，该协议由ONF(开放网络基金会)进行标准制定，从09年的首个版本至今一直在做持续更新。协议中对数据平面的交换设备定义了转发表，并对转发表所遵循的规则进行标准化，交换设备默认遵循转发表进行数据转发，并与SDN架构中的控制器进行及时通信以确保转发表的实时准确性。控制器和交换设备之间通过安全信道在实体之间传递一组与定义的消息，安全信道是将每个交换机设备连接到控制器的接口。交换设备开机启动后，会同用户所定义的控制器发起传输层安全连接。控制器和交换设备相互交换证书进行认证，证书用特定站点的私钥签名，用户必须能够对每个交换设备进行配置，用其中一个证书对控制器进行认证，用另一个向控制器提供交换设备认证。
[0005]OpenFlow协议的开源以及提供标准的南向接口，为上层控制器的控制逻辑的实现提供了便捷的方式。用户可以根据自身需要灵活的进行功能的裁剪，并且能根据自身行业特点进行更为精细化的业务定制。控制功能的集中化更加方便了控制器实时对全网状态信息的获取，并且控制器能够对网络资源进行统筹分配。这种特性优势在网络安全领域有很好的应用场景。
[0006]传统的网络监测设备往往是一个封闭的盒子，不能提供开放的编程接口，对于用户而言需要有很高的成本去增加新的功能，然而这并不只是时间成本增加，对人力资源也是一种浪费。因为新的功能往往会增加网管人员的学习代价，所以一个开放、灵活的解决方案有很大的需求空间。
【发明内容】
[0007]本发明的目的是提供一种基于SDN的网络流量监测系统，可以更好的解决网络流量监测的问题，提供开放的接口，更具性价比的硬件设备。
[0008]为了实现以上目的，本发明是通过以下技术方案实现的:
一种基于SDN的网络流量监测系统，其特点是，包含:
计算处理模块，用于资源管理调配；
SDN控制器模块、SDN交换机模块、存储模块和接口管路模块，其分别通过总线与计算处理模块进行数据互连，其中，所述的SDN控制器模块制定流量监测应用策略并控制SDN交换机模块对网络流量进行监控；
所述的存储模块用于提供所述的监测系统配置信息的存储，包括SDN控制器模块、SDN交换机模块的信息存储；
所述的接口管路模块用于对外部接口进行管理。
[0009]所述的SDN控制器模块包含:
流量监测策略模块，用于制定监测应用策略；
与流量监测策略模块互连的流量名称监测模块、匹配规则模块、转换端口模块、端口链路模块和捕获模块；
所述的流量监测策略模块通过流量名称监测模块、匹配规则模块、转换端口模块、端口链路模块确定流量，并将流量镜像转移至对应的捕获模块进行数据包处理。
[0010]所述的匹配规则模块对多个信息进行选择匹配。
[0011 ]所述的多个信息包含:匹配的名称、反向链路信息、匹配的包头信息、源IP地址、目的IP地址和需定位的流量的传输层端口号。
[0012]所述的外部接口包含网络接口、存储接口、显示接口或外设拓展接口中的一种或几种。
[0013]本发明与现有技术相比，具有以下优点:
本发明可以更好的解决网络流量监测的问题，提供开放的接口，更具性价比的硬件设备。
【附图说明】
[0014]图1为本发明一种基于SDN的网络流量监测系统的总体框图；
图2为本发明SDN控制器模块的框图。
【具体实施方式】
[0015]以下结合附图，通过详细说明一个较佳的具体实施例，对本发明做进一步阐述。
[0016]如图1所示，一种基于SDN的网络流量监测系统，包含:计算处理模块6，用于资源管理调配;SDN控制器模块5、SDN交换机模块1、存储模块3和接口管路模块4，其分别通过AX1-stream总线与计算处理模块进行数据互连，(AX1-stream总线是单向数据流总线互连，能实现主从式高速数据传输，是FPGA系统处理通路的理想互连方式)其中，所述的SDN控制器模块制定流量监测应用策略并控制SDN交换机模块对网络流量进行监控;所述的存储模块用于提供所述的监测系统配置信息的存储，包括SDN控制器模块、SDN交换机模块的信息存储；所述的接口管路模块用于对外部接口进行管理；以及，电源模块2，用于整个系统电压、电流的管理，保证整个装置的各组成部分能够实现各自的电气特性，为各模块提供稳定的电源输出。
[0017]如图2所示，在具体实施例中，上述的SDN控制器模块5包含:流量监测策略模块51，用于制定监测应用策略；与流量监测策略模块51互连的流量名称监测模块52、匹配规则模块53、转换端口模块54、端口链路模块55和捕获模块56;上述的流量监测策略模块51通过流量名称监测模块52、匹配规则模块53、转换端口模块54、端口链路模块55确定流量，并将流量镜像转移至对应的捕获模块56进行数据包处理。SDN控制器模块向上提供可编程的接口，可编程的接口提供监测装置的资源共享、SDN控制器的基础资源共享。
[0018]上述的SDN交换机模块可以表示纯软件的SDN交换机，但并不仅限于纯软件实现的SDN交换机，本实施例中将SDN交换机模块由FPGA实现，但这并不意味着本发明专利的装置中SDN交换机仅有这样一种实现方式。
[0019]上述的匹配规则模块对多个信息进行选择匹配，相较于OpenFlow协议的流表匹配项的多了反向链路的功能，也就是说可以选择是否增加反向链路的匹配功能。
[0020]上述的多个信息包含:匹配的名称、反向链路信息、匹配的包头信息、源IP地址、目的IP地址和需定位的流量的传输层端口号。
[0021 ]上述的外部接口包含网络接口、存储接口、显示接口或外设拓展接口中的一种或几种。
[0022]在启动后应用将对数据库中的配置信息进行检索，将还原上次保存的所有配置项。并且启动web服务端口。
[0023]在应用启动后将设置好的流量监控策略模块用流表的形式下发策略。在状态将持续的进行交换机信息更新，以便对策略的实施正常情况进行监控。
[0024]综上所述，本发明一种基于SDN的网络流量监测系统，可以更好的解决网络流量监测的问题，提供开放的接口，更具性价比的硬件设备。
[0025]尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。
【主权项】
1.一种基于SDN的网络流量监测系统，其特征在于，包含: 计算处理模块，用于资源管理调配； SDN控制器模块、SDN交换机模块、存储模块和接口管路模块，其分别通过总线与计算处理模块进行数据互连，其中，所述的SDN控制器模块制定流量监测应用策略并控制SDN交换机模块对网络流量进行监控； 所述的存储模块用于提供所述的监测系统配置信息的存储，包括SDN控制器模块、SDN交换机模块的信息存储； 所述的接口管路模块用于对外部接口进行管理。2.如权利要求1所述的基于SDN的网络流量监测系统，其特征在于，所述的SDN控制器模块包含: 流量监测策略模块，用于制定监测应用策略； 与流量监测策略模块互连的流量名称监测模块、匹配规则模块、转换端口模块、端口链路模块和捕获模块； 所述的流量监测策略模块通过流量名称监测模块、匹配规则模块、转换端口模块、端口链路模块确定流量，并将流量镜像转移至对应的捕获模块进行数据包处理。3.如权利要求2所述的基于SDN的网络流量监测系统，其特征在于，所述的匹配规则模块对多个信息进行选择匹配。4.如权利要求3所述的基于SDN的网络流量监测系统，其特征在于，所述的多个信息包含:匹配的名称、反向链路信息、匹配的包头信息、源IP地址、目的IP地址和需定位的流量的传输层端口号。5.如权利要求1所述的基于SDN的网络流量监测系统，其特征在于，所述的外部接口包含网络接口、存储接口、显示接口或外设拓展接口中的一种或几种。
【专利摘要】本发明公开了一种基于SDN的网络流量监测系统，包含：计算处理模块，用于资源管理调配；SDN控制器模块、SDN交换机模块、存储模块和接口管路模块，其分别通过总线与计算处理模块进行数据互连，其中，所述的SDN控制器模块制定流量监测应用策略并控制SDN交换机模块对网络流量进行监控；存储模块用于提供所述的监测系统配置信息的存储，包括SDN控制器模块、SDN交换机模块的信息存储；接口管路模块用于对外部接口进行管理。本发明可以更好的解决网络流量监测的问题，提供开放的接口，更具性价比的硬件设备。
【IPC分类】H04L29/06, H04L12/26
【公开号】CN105610787
【申请号】CN201510782492
【发明人】陈志佳, 林亦雷, 李姝 , 俞睿默, 彭巍, 陈晓露, 周唯
【申请人】国网上海市电力公司, 国网智能电网研究院
【公开日】2016年5月25日
【申请日】2015年11月16日