SDN Controller架构图
SDN网络安全规则及OpenFlow协议的安全分析
关键词： SDN OpenFlow NFV
通
信
许明元
热
男，移动通信工程师，本科。广东省电信规划设计院有限公司。主要从事通信设
点
备研发、测试、技术支持、规划设计等工作，熟悉 3G UMTS、4G LTE 无线网及核心
网技术，具有有丰富的移动通信工作经验，并积极学习和研究 SDN、5G 等相关通信
新技术。
规则适用于 SDN 架构的所有协议、网元和接口。 3.1 清晰定义安全依赖性和信任边界
SDN 网络中的不同网元间的安全相依性必须清晰， 避免迂回的相依性，信任界限必须清晰。 3.2 确保健壮的身份识别
安全的基础是网络中所有网元和用户具有唯一的身 份识别，以进行有效的鉴权、认证和审计
健壮的身份识别应具有以下特性： （1） 在预先定力的范围内 , 具有从其它实体识别实 体拥有者的能力； （2） 具备产生、修改和撤销的能力；
DOI:10.3969/j.issn.1006-6403.2016.05.004
SDN 网络安全规则及 OpenFlow 协议的 安全分析
［许明元］
摘要
全球正在掀起一股 SDN 的热潮，主流运营商纷纷将目光投向这一市场，目前各 大运营商已逐步开始部署 SDN 网络。SDN 特定的网络架构及其可编程特性 , 为网络 安全带来新的技术推动力。文章对 SDN 的安全规则和需求进行了探讨，并针对 ONF 关键协议 OpenFlow 协议潜在安全问题和应对措施方面进行探讨与研究。
SDN 的集中控制特性 , 使得控制器的安全至关重要 ,
（3） 通过加密机制 , 防止冒名顶替。
如果控制器受到攻击 , 攻击者可能恶意操纵网络服务甚至
应用的场景：SDN 外部网元通过定义的接口访问系
SDN架构及解析
SDN架构与解析：深度开放与融合长期以来，网络技术总是以被动方式进展演变，并且大量的技术革新都落地在网络设备本身，如带宽不断提升，从千兆到万兆、再到40G和100G;设备体系架构变化，也是为了性能地不断提升，从交换能力几十Gbps提升到T级别以致100T级别;组网变化，网络设备的N:1集群性质的虚拟化，在一定围和一定规模上优化了网络架构，简化了网络设计;大二层网络技术，通过消除环路因素，支持了虚拟化条件下的虚机大围二层扩散性计算。
新的技术商用，总会引起设备的升级换代，并且随着流量的巨大变化，网络的部署与变更技术上越来越复杂，网络在应对流量变化上很难有良好的预期性，在当前方式下，一旦完成业务部署，效劳器通过网线连入网络，应用流量吞吐对网络的影响就难以控制、网络的调整也就变得相当滞后。
软件定义网络——SDN(Software Defined Network)的出现和理念演进，开场改变网络被动性的现状，使网络具备较大灵活程度的“定义〞能力;这种可定义性，是网络主动“处理〞流量而不仅仅是被动“承载〞流量，并使得网络与计算之间的关系不仅仅是“对接〞，而是“交互〞。
SDN的思想集中表达在控制面与实体数据转发层面之间别离，这对网络交换机的工作方式产生了深远的影响。
高端用户原本就不满足于使用网络预先设定好的功能，而是希望在自己的业务功能不断丰富变化的过程中，能够按照自身需求快速进展调整。
而在控制层面别离出来后，或者说控制层面可以开放出来，更能实现虚拟化的灵活性，使得用户能够进展程序编制，那么基于应用与流量变化的快速响应，便不需要完全依赖于设备供给商的长周期软硬件升级来完成。
SDN的思想是将更多的控制权交给网络使用者，除了设计部署、配置变更，还可以进展网络软件的重构，使得新的技术验证可以先于商业化。
这种网络能够以抽象化的方式解决网络的复杂性问题，解除了用户收支网络功能和特性的紧约束，能够在更高层面研究和满足项业务需求。
SDN控制器的调研和量化分析
网络出版时间：2014-01-23 16:10 网络出版地址：/kcms/doi/10.3778/j.issn.1673-9418.1312031.htmlISSN 1673-9418 CODEN JKYTA8 Journal of Frontiers of Computer Science and Technology 1673-9418/2014/08(00)-0000-00 doi: 10.3778/j.issn.1673-9418.1312031E-mail: fcst@ Tel: +86-10-89056056SDN 控制器的调研和量化分析*江国龙 1,2, 付斌章 1+, 陈明宇 1,2 , 张立新 1,21. 中国科学院 计算技术研究所, 北京 100190 2. 中国科学院大学, 北京 100190Survey and Quantitative Analysis of SDN Controllers*JIANG Guolong1,2, FU Binzhang1+, CHEN Mingyu1,2, ZHANG Lixin1,21. Institute of Computing Technology, Chinese Academy of Sciences, Beijing 100190, China 2. University of Chinese Academy of Sciences, Beijing 100190, China + Corresponding author: E-mail: fubinzhang@JIANG Guolong, FU Binzhang, CHEN Mingyu, et al. Survey and quantitative analysis of SDN controllers. Journal of Frontiers of Computer Science and Technology, 2014, 8(0): 1-000. Abstract: Software defined networking (SDN) separates the control plane from the data plane, thus the former can be significantly simplified when facing a complex network environment. Since the control plane largely determines the network performance, many companies and institutions have proposed their controllers, some of which are open-source. However, there is a lack of systematic and complete comparison among these controllers. Thus, the researchers have to make their decisions according to their experiences and intuitions due to the insufficient evidences. To address this problem, this paper does a survey of state-of-the-art SDN controllers and compares their architecture and implementation and their performance using Cbench and Mininet. Besides, considering the bottleneck of the single controller in control plane, this paper presents an overview of some distributed controllers The results have a great reference significance for the researchers to choose the right controllers. Key words: software defined networking; controller; distributed controllers; performance comparison* The National Natural Science Foundation of China under Grant Nos. 61202056, 60921002 (国家自然科学基金); the Strategic Priority Research Program of the Chinese Academy of Sciences under Grant No. XDA06010401 (中国科学院战略性先导科技专 项); Huawei Research Program under Grant No. YBCB2011030 (华为 A 类高通量服务器项目). Received 2013-11, Accepted 2014-01.2Journal of Frontiers of Computer Science and Technology计算机科学与探索摘要：软件定义网络（Software Defined Networking，SDN）提出了一种将网络控制平面和数据平面分离的新型网络架构。
SDN概述
一个SDN网络有三个架构层：物理网络、SDN控制器、SDN应用程序。
物理网络：最底层包含网络中构成所有IT基础设施的基础的物理设备。
我们使用“交换机”这个概念，因为OpenFlow改变了以太网交换机工作的方式。
在本文中，你还可以考虑物理基础设施中的虚拟交换机部分。
SDN控制器：SDN控制器是中间件，由服务器作为整个架构的轴心。
控制器必须和网络中所有物理以及虚拟设备整合。
控制器将物理网络设备从与这些设备协同工作的SDN软件中抽象化出来。
控制器和网络设备之间有高度的整合。
在OpenFlow环境中，控制器将使用OpenFlow协议和NETCONF协议来与交换机对话。
(OpenFlow是发送流数据到交换机的API，而NETCONF是网络设置API。
)SDN应用程序：SDN设计中最具有可视性的层是提供服务(比如交换/网络虚拟化、防火墙和流量均衡器)的应用程序。
(注意，基于OpenFlow的负载均衡器被称为流量均衡器。
它们并不是传统负载均衡器，因为它们不能读取数据包内容)这些应用程序与那些软件运行在专门硬件上的情境中的应用程序基本类似或相同。
网络技术中大部分即将到来的创新将发生在SDN应用程序上。
（1）为什么要搞SDN？因特网存在和发展了几十年。
随着服务类型和规模的急剧增加出现了一些问题。
长期以来通过命令行接口的手动配置阻碍了网络虚拟化的前进，操作费用高，网络刷新慢，容易引入差错。
取消把应用联系到特定网络详情，譬如断开和地址，使物理具体事项的改变无需重写应用和手动配置网络设备的时延和费用，也许是一种思路。
路由是一个大问题。
路由器里面的路由表越来越复杂，分散到各地去路由，既做不到最优的路由，又产生许多重复的计算。
从你的PC到一个网站浏览器，可能要经过20-100路由器或交换机。
如果一个包到来，只知道目的地，但不知道怎么走，那只有交给下一跳。
下一跳要是也不知道呢？这么盲目跳下去，怎么就相信会到达目的地呢？那只能靠相邻路由器经常交换信息。
SDN技术原理介绍课件
被抽象出的网络
物理网络/Fabric Underlay网络
SDN实现方式
SDN的核心技术：OpenFlow
• Flow Table：Flow Table 里面的每个 条目都会与一个动作相关联，来告 诉网络交换设备来如何处理与这个 条目相关联的 data Flow；
• Secure Channel：用于连接网络交换 设备和远程网络控制器，在控制器 和网络交换设备之间互相发送命令 和数据包；
• OpenFlow Protocol：提供一个开放 标准统一的接口，使得控制器和网 络交换设备之间可以相互通信
OpenFlow的标准化组织
Dec, 2009
Feb, 2011
Dec, 2011
April, 2012
Sep, 2012
OF 1.0
功能：
单表 IPv4
OF 1.1
多表 MPLS、VLAN group ECMP
192.168.3.4 192.138.5.4 80
*
TCP SPort * *
Port3 898
Action Drop Port3
Coun t 250
300
*
*
*
*
*
*
Controller 9
Openflow消息
• Openflow消息总共分为三大类：
Controller‐to‐Switch
• Features 用来获取交换机特性 • Configuration 用来配置Openflow交换机 • Modify‐State 用来修改交换机状态(修改流表) • Read‐Stats 用来读取交换机状态 • Send‐Packet 用来发送数据包
计算机网络技术第11章SDN与NFV技术课件
配置策略 监控性能
配
置
管
理
➢ 应用平面 ➢ 配置管理平面
网元
数
据
SDN数据路径
层
CDPI代理
转发引擎/处理功能
模块
网元
SDN数据路径 CDPI代理
转发引擎/处理功能 模块
网元设置
SDN架构的构成
11.1 SDN概述
➢ 结论
– SDN的本质就是软件定义网络，希望应用软件可以参与 对网络的控制管理，满足上层业务需求，通过自动化 业务部署简化网络运维就是SDN的核心诉求。
– SDN并不是一个具体的技术，而是一种网络设 计的理念，SDN的本质就是让用户应用可以通 过软件编程充分控制网络的行为，让网络软件 化，进而敏捷化。
– 一般认为SDN应该具备如下特征：
➢控制面与转发面分离；（核心属性） ➢具备开放的可编程接口；（核心属性） ➢集中化的网络控制； ➢网络业务的自动化应用程序控制。
北向服务接口。Hydrogen版本中全线采用AD-SAL，Helium版本中AD-SAL和MDSAL共存，Lithium版和Beryllium版中已基本使用MD-SAL架构。 ➢ 开放的可扩展北向API（Open Extensible Northbound API）：提供可扩展的 应用API，通过REST或者函数调用方式。两者提供的功能要一致。 ➢ 支持多租户、切片（Support for Multitenancy/Slicing）：允许网络在逻 辑上（或物理上）划分成不同的切片或租户。控制器的部分功能和模块可以 管理指定切片。控制器根据所管理的分片来呈现不同的控制观测面。 ➢ 一致性聚合（Consistent Clustering）：提供细粒度复制的聚合和确保网络 一致性的横向扩展（scale-out）。
SDN北向接口标准化简介以及相关标准化进展
SDN 北向接口标准化简介以及相关标准化进展
1.概述
SDN（软件定义网络Software Defined Network）将控制同转发分离，引入控制器（Controller）系统进行集中化管控，并通过控制器北向接口，向应
用层或者上层控制器提供网络抽象，使得网络具备软件编程的能力。
开放的北向接口，是SDN 生态系统的核心。
本文重点介绍北向接口相关
标准化进展。
2.SDN 架构及北向接口简介
SDN 包含数据平面、控制平面以及应用平面。
基于控制器的视角，面向
应用的接口为北向接口,面向基础架构层的接口为南向接口。
在层次化控制器
的场景，控制器和控制器之间的接口也称为北向接口。
图1 SDN 架构及北向接口
3.SDN 北向接口标准化。
软件定义网络(SDN)与SDN系统架构PPT
软件定义网络（SDN）LAFILE_楊過2016.06.27报告纲要报告目的：主要介绍关于SDN的一些概念，特别是帮助大家理解对SDN核心技术方面概念的理解，并通过实验对SDN系统架构加深印象。
1. SDN2. OpenFlow3. Of-CONFIG4. NETCONF/YANG5. OpenFlow交换机及OVS6. 实验及结果演示7.报告总结8. 参考文献9. 致谢1. SDN◆1.1 什么是SDN?◆1.2 SDN产生的原因是什么？◆1.3 与传统网相比SDN的优点是什么？◆1.4 SDN的核心技术是什么？1.1 什么是SDNSDN（software defined networking，软件定义网络）是一种新兴的基于软件的网络架构及技术，其最大的特点就在于具有松耦合的控制平面与数据平面，支持集中化的网络状态控制（如图1.1.1），实现底层网络设施对上层应用的透明。
图1.1.1 传统网络架构与SDN架构对比1.1.1 目前传统路由智能路由器：也就是智能化管理的路由器，通常具有独立的操作系统，可以由用户自行安装各种应用，自行控制带宽、自行控制在线人数、自行控制浏览网页、自行控制在线时间、同时拥有强大的USB共享功能，真正做到网络和设备的智能化管理，其网络结构如图1.1.1.1。
图1.1.1.1 传统三层路由设备系统图1.1.2 SDN架构SDN 将数据与控制相分离，分成新的体系结构, 包括数据层、控制层和应用层。
◆<a> 控制平面, 包括具有逻辑中心化和可编程的控制器, 可掌握全局网络信息, 方便运营商和科研人员管理配置网络和部署新协议等.◆<b> 数据平面, 包括哑的(dumb) 交换机(与传统的二层交换机不同, 专指用于转发数据的设备)。
交换机仅提供简单的数据转发功能,可以快速处理匹配的数据包,适应流量日益增长的需求。
◆<c> 应用平面，包含着各类基于SDN 的网络应用, 用户无需关心底层设备的技术细节, 仅通过简单的编程就能实现新应用的快速部署根据提出的SDN概念，目前有下列几种SDN 体系架构（如表1.1.2.1）：表1.1.2.1 目前三种主要研究的SDN体系结构◆NFV：ETSI（European Telecommunications Standards Institute，欧洲电信标准化协会）从网络运营商角度触发提出，采用了资源虚拟化的方式，在硬件设备中建立一个网络虚拟层，负责将硬件资源虚拟化，形成虚拟计算资源、虚拟存储资源和虚拟网络资源等，运营商通过软件来管理这些虚拟资源。
SDN新网络解决方案
iBG P
业务隔离点 ACL/VRF
分支1
BA
分支N
统一网络--有线无线统一
园区控制器
spine
Vxlan
无线AC
Access
leaf Access
AP本地转发，AC只负责控制报文 通过无线承载网络位址分离，保障无线终端的跨三层漫游
无线本地转发：降低AC性能要求，满足11ac时代无线高带宽接入，流量不迂回 统一用户管理：有线用户与无线用户统一使用5W1H来统一划分用户组 统一数据转发：AP流量本地转发和有线统一，统一流量监控 统一策略执行：有线无线终端用户/IP统一分配，策略执行点统一（完全匹配前面的位址分离/名址绑定）
SDN新网络解决方案
目录
新网络新技术 H3C SDN产品体系 H3C NFV产品架构 H3C 新网络解决方案
新网络解决方案案例
IT 建设模式进入新阶段
分散管理
精细管理
服务器
存储
融合架构
云
PCs
网络
传统IT
移动化
大数据
新IT
新IT对网络提出了新的要求－软件化、可定义、自适应－SDN
SDN发展趋势
DP
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
Controller
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
CP
DP
一个简单的类比
No Image
No Image
No Image
应用/市场
第3章 SDN数据平面
表3.1 OpenFlow1.0的头字段
计数器
流表中包含的计数器用来统计已处理的数据包数量等信息。在OpenFlow 1.0 中，有以下四种计数器。 ① 各流表的Per Table计数器 ② 各物理端口的Per Port计数器 ③ 各流表项的Per Flow计数器 ④ 各队列的Per Queue计数器
第3章
SDN数据平面
3.1
数据平面概述
3.2
OpenFlow交换机模型
3.3
SDN交换机
3.4
通用可编程数据平面
2.5
数字传输系统
2.6
宽带接入技术
3.1数据平面概述
在OSI和TCP/IP的网络参考模型中，网络层的主要任务是转发和路由选择。 所以可以将网络层抽象地划分为数据层面（也称为转发平面）和控制层面，数 据平面功能决定到达路由器输入链路的数据报（即网络层分组）如何转发到该 路由器的输出链路上（某一条或某些链路）。每台网络路由器具有一个关键元 素——转发表（forwarding table），路由器根据到达的分组的首部字段值，使 用其某种查找算法，从查找表中找到对应的输出链路，从而将分组转发到该输 出链路。转发是数据层面实现的功能，而路由选择是控制层面实现的功能。
传统网络数据平面的基本功能
转发决策：将数据分组中的目的地址与设备自身存储的MAC地址表或者路由表进行匹配，从而确定数
据分组转发的端口。
背板转发：交换机通过背板把各个端口连接起来，数据分组经过转发决策后，经过背板从入端口转
发到出端口。
输出链路调度：各个端口针对接收线路和发送线路各有一个缓冲队列，当数据分组发往交换机时，
路由器
路由器
路由器
OpenFlow控制器