软件定义网络架构下的安全问题综述-论文.pdf

《软件定义网络架构下的安全问题综述-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、文章编号：1007—1423(2014)24—0013—08DOI：10．39696．issn．1007—1423．2014．24．003软件定义网络架构下的安全问题综述郁峰(江苏天创科技有限公司，苏州215000)摘要：随着网络业务的多元化与网络基础服务能力的不断提升，企业网、云计算、数据中心等大量新兴应用场景迅速丰富．传统网络已不能满足其不断涌现的可扩展性、可管理性及安全保障等新需求，这一现状有力地推动以SDN为代表的当代网络架构的发展。然而随着学术界与产业界对SDN技术的研究及其设备的普及，安全问题逐渐成为制约其进一步发展的关键因素之

2、一。针对SDN架构的技术发展背景进行分析．然后简析SDN技术的核心架构原理及目前的发展现状；结合SDN架构特点，针对其安全特性及其所面临的安全威胁进行详细分析，并深入讨论SDN网络安全研究的范畴与新兴发展方向。关键词：软件定义网络；OpenFlow：网络安全0引言网络功能可扩展性、提升网络性能及其管理效能的目的SDN交换机控制层与转发层功能解耦合通过随着网络虚拟化、云服务、大数据中心及企业网等OpenF1OW[2]核心协议来实现．由控制层的集中控制器将新型网络应用的兴起．传统网络架构在可扩展、可管具体数据转发规则以OpenFloW流表形式统

3、一发送给理、可维护性等方面的局限性日益凸显。互联网产业开各交换设备．从而实现控制器与交换设备在功能性方始对传统网络架构进行重新审视．其研究思路经历了面的有效区隔与分离从主动网络架构、开放网络架构到可重构网络体系、异值得指出的是．尽管SDN从架构角度提出了一种构一体化网络架构、软件定义网络(SDN)等一系列过新型的网络控制思路．其并没有从根本上颠覆已有IP程。其中．良好可扩展性、网络智能性及面向未来网络网络的报文转发行为．实际上，其在很大程度上充分继的业务可适应性成为上述各研究工作所共同关注的焦承了已有IP网络转发规则、路由表等有益思路，并在

4、点。此基础上进一步简化了报文转发规则的生成、下发、实软件定义网络(SDN)是一种由美国斯坦福大学施与管理等操作．以克服传统网络在异构网络、分布式CleanS1ate研究组『1]最先提出的新兴网络架构．其架构协议及应用等方面的可扩展、可管理难题而随着思路最初发源于ForCES网络架构研究如何借助于转BYOD(自带设备办公1、IT系统定制化、云计算、大数据、发、控制相分离的技术方式，以实现网络速度、可靠性服务器／网络虚拟化等创新网络应用的广泛兴起．SDN及安全性等关键指标的有效提升．是其主要设计初衷在上述场景中的应用Et益获得广泛的重视．并逐步

5、获之一。即．通过引人逻辑集中的控制层，将网络报文转得了学术界与工业界的普遍认可．成为引领未来网络发决策等复杂控制逻辑能力从路由器(或交换机)中剥发展方向的研究内容之一离．从而再将传统路由器(或交换机)简化为功能单一、然而．作为一个逻辑集中且具备高度可编程能力性能可靠的转发执行设备的同时．尽最大限度保障网的网络架构．SDN发展也势必面临着诸多关键问题．而络报文转发、处理逻辑的可编程灵活性，进而达到增强现代计算机2o14．o8下@安全就是其中之一随着SDN技术逐步普及与推广．其安全问题的重要性日益提升．并已引起了学术界与应用层FI工业界的高度关

6、注．各企业组织、研究团体及标准化组l‘_j—上层应用织纷纷启动了相关方面的研究SDN安全性相关问题直接决定了SDN技术的发展与实际应用前景基于其ififAPif控制层、>、>、7I—强劲的发展势头和解决安全问题的迫切性．本文首先SI)NlIl}阐述了SDN架构的基本原理与发展现状．然后针对其控制器l网络设备—广}架构中所存在的安全关键问题进行了分析与归纳。并／＼给出了相应的安全防护建议．以期为其安全性研究及控制层一转发层接口(OpenFlow)ll产业发展做出有益的探索厦后I网络设备ll网络设备l1软件定义网络技术与OpenFIow协议I网

7、络设备ll网络设备ll网络设备II1．1软件定义网络架构IAPI：应用编程接口SDN：软件定义网络软件定义网络(SDN)的前身是斯坦福大学所提出的旨在研究企业集中安全控制的Ethane项目例该项图1SDN网络分层架构逻辑示意图目的核心理念为斯坦福CleanState研究团队所采纳并上述SDN架构所具有的基本特征主要包括如下予以扩展．同时应用在了大型网络一全球网络创新环境三个方面：fGENI)项目中．进而逐步扩展形成了SDN[4]与Open—(1)控制与转发分离。转发层由功能相对单一的网Flow[21的核心理念其理念的基本思路在于通过规范化络

8、转发设备组成．其转发逻辑由控制层集中控制．从而网络转发层与控制层边界．从而实现网络层功能的开保障了全网转发逻辑的一致性放化与可编程化．进而令网络应用具备软件一般的高(2)控制层与