基于SDN的安全增强方案研究与实现

《基于SDN的安全增强方案研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、碩士学位论文＝１基于ＳＤＮ的安全增强方案研究与实现１作者姓名王永刚指导教师姓名、职称苏锐丹副教授ＳｋＭ申请学位类别工学硕士学校代码10701学号1503121660分类号TP39密级公开西安电子科技大学硕士学位论文基于SDN的安全增强方案研究与实现作者姓名：王永刚一级学科：计算机科学与技术二级学科：计算机应用技术学位类别：工学硕士指导教师姓名、职称：苏锐丹副教授学院：计算机学院提交日期：2018年6月ResearchandImplementationofSecurityEnh

2、ancementSchemeBasedonSDNAthesissubmittedtoXIDIANUNIVERSITYinpartialfulfillmentoftherequirementsforthedegreeofMasterinComputerApplicationTechnologyByWangYonggangSupervisor:SuRuidanTitle:AssociateProfessorJune2018西安电子科技大学学位论文独创性（或创新性）声明秉承学校严谨的学风和优良的科学道

3、德，本人声明所呈交的论文是我个人在导师指导下进行的研宄工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不包含其他人已经发表或撰写过的研究成果；也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料一。与我同工作的同事对本研究所做的任何贡献均己在论文中作了明确的说明并表示了谢意。一学位论文若有不实之处，本人承担切法律责任。本人签名：日期：１〇、叫西安电子科技大学关于论文使用授权的说明本人完全了解西安电子科技大学有

4、关保留和使用学位论文的规定：，即研宄生在校攻读学位期间论文工作的知识产权属于西安电子科技大学。学校有权保留送交论文，的复印件，允许查阅、借阅论文；学校可以公布论文的全部或部分内容允许采用影印、缩印或其它复制手段保存论文。同时本人保证，结合学位论文研究成果完成的论文、发明专利等成果，署名单位为西安电子科技大学。保密的学位论文在年解密后适用本授权书。＿本人签名：导师签名：日期：日期：摘要摘要随着互联网的迅猛发展，企业网络数量与规模迅速扩大，传统园区网络在网络管理、扩

5、容以及安全方面遇到了困难。软件定义网络(Software-DefinedNetworking,SDN)是目前公认的下一代智能可编程网络架构，其控制平面与数据平面相分离的特点，使得网络管理变得简单，因此基于SDN技术构建的园区网络正在逐渐兴起。然而，SDN网络仍然存在许多安全问题亟待研究。首先，本文在分析了传统园区网络架构及其安全解决方案的基础之上，结合SDN架构特有的优势，设计了基于SDN的园区网络安全模型(SDN-CNSM)，改进了传统的网络安全架构并将园区网络安全划分为控制平面安全和数据平面安全两部

6、分来进行详细研究。解决了基于SDN的园区网络无安全架构的问题。其次，本文对SDN-CNSM安全模型中最常用的虚拟局域网（VLAN）进行了深入研究。VLAN模块主要研究了基于用户身份的动态VLAN分配，能在用户登录时依据用户身份动态为用户分配VLAN。为此，本文使用了比较常用的Web门户认证(Portal)方式，并设计实现了用户身份管理及用户认证程序。为了使VLAN模块与其他模块很好地集成，本文将SDN交换机内的流表进行分块链接管理，每个功能占用一个流表块，所有流表块构成单向链表。在这种链式块的结构下，很

7、容易地实现了Port-VLAN、MAC-VLAN和VLAN间通信功能，让VLAN配置有更多的可选方案。与传统VLAN配置相比，解决了用户移动问题，实现了VLAN自动配置。接着，本文研究并实现了分布式包过滤防火墙。通过在链式块结构的防火墙块中加入防火墙规则，让每个交换机都具有防火墙的功能。为对防火墙进行统一管理，还结合了园区网络三层拓扑结构，提出将分布式防火墙进行分组管理的方法，并将防火墙分为了接入组、汇聚组、核心组。从系统全局看，VLAN能将用户分组隔离，VLAN间通信让完全隔离的用户组有了通信的可能，

8、再通过分布式防火墙策略，过滤VLAN间通信的数据包和同一VLAN内用户交互的数据包，让用户间隔离更为精细。最后，本文设计并实现了网络管理图形界面，管理员可以在Web页面中查看当前VLAN、防火墙的状态信息，还能进行用户身份的管理，VLAN间通信规则的制定，防火墙组的动态定义，组规则的动态下发，防火墙规则下发。所有配置信息都会同步存储到数据库中，在交换机重启后由控制器自动下发到交换机。本文使用开源SDN控制器Ryu和拓扑仿真软件Mininet