一种安全SDN控制器架构设计-论文.pdf

《一种安全SDN控制器架构设计-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2014年第O9期doi：103969／jissn1671-1122，201409008一种安全SDN控制器架构设计薛聪1,2,3，马存庆，刘宗斌。，章庆隆。(1．中国科学院信息工程研究所，北京100093；2．信息安全国家重点实验室，北京100093；3．中国科学院大学，北京100049)摘要：控制器是软件定义网络(SDN)的核心，其安全对SDN至关重要。基于开源的SDN控制器基础架构，文章分析并总结了控制器在不同管理模式下网络信息保护、应用程序管理、模块处理流程中存在的安全问题。针对这些安全问题，文章提出了一种安全SDN控制器架构，通过加入共享网络信息库、冲突检测、入侵容忍

2、模块等多种安全功能，解决控制器单点失效、控制逻辑不一致等问题，可以提高SDN的安全性。关键词：SDN；控制器安全；安全性分析；架构设计中图分类号：TP309文献标识码：A文章编号：1671—1122(2014)09—0034—05DesignofSecureSDNControllerArchitectureⅪJECongMACun—qing，LIUZong．bin一，zHANGQing—long’，(1．InstituteoflnformationEngineering,ChineseAcademyofSciences，Beijing100093China,"2．StateKe

3、yLaboratoryofinformationSecurity,Beijing100093，China，3．UniversityofChineseAcademyofSciences，Beij'ing100049，China)Abstract：ControlleriSthecoreofSoflwareDefinedNetwork．anditssecurityiScrucialforSDNmaintenance．BasedOfopensourceSDNcontrollerarchitectures．weanalyzeitssecurityissuesofnetworkinform

4、ationprotection，applicationmanagementandmoduleprocessingunderdifferentcontrolpatterns，andfurtherproposeasecureSDNcontrollerarchitecture，whichintegratessharednetworkinformationbase．collisiondetection．intrusiontolerancemoduleetc．Thisdesigncansolvesinglecontrollerinvalidationandlogicinconsisten

5、cyandimprovetherobustnessofSDN．Keywords：SDN；controllersecufity；securityanalysis；architecturedesign0引言传统网络发展至今，网络设备承载的功能不断扩展，耦合越来越多的控制逻辑，已难以满足云计算、大数据、虚拟化及相关业务发展对数据传输处理高速处理、资源灵活管理、新型协议决速部署的需求。软件定义网络(SoftwareDefinedNetwork，SDN)提出将路由器、交换机等网络设备中的控制平面和数据转发平面的分离，通过控制层集中控制，实现网络的可编程性，提供开放的网络接口，进而支持网络

6、资源更加细粒度的管理，使网络和网络数据更接近应用层。SDN将网络设备从分组过滤、选路、服务区分等控制功能解放出来，使其专注于数据转发，提高网络速率和网络利用率。Google已在其数据中心中实现SDN技术，使数据中心的广域网连接利用率接近100％，越来越多的大型互联网公司和网络运营商投入SDN部署。SDN网络架构利用其可编程性、集中控制、细粒度管理等特点获得更丰富功能的同时，也面临诸多安全挑战。控制器●收稿日期：2014一()8一(6基金项目：国家高技术研究发展计划(863计划)[2013AA0131041、中国科学院战略一~YG-?-科技专项[XDA060107021作者简介：

7、薛聪(1990一)，女，河北，硕士研究生，主要研究方向：网络与系统安全；马存庆(1984一)，男，青海，助理研究员，博士，主要研究方向：网络与系统安全；刘宗斌(1985一)，男，宁夏，助理研究员，博士，主要研究方向：系统安全；章庆隆(1988一)，男，浙江，博士研究生，主要研究方向：网络与系统安全。在网络信息进入控制器之前，先通过虚拟化逻辑分层]，本文提出的安全SDN控制器架构中新增安全组件如将真实物理网络划分成多个网络层，每个网络层专享独立表3所示。的网络静态信息，并对链路利用率等网络动态