11、SDN网络安全与流量工程：原理、应用与解决方案

SDN网络安全与流量工程：原理、应用与解决方案

1. OpenFlow保护机制实现

在网络中，某些故障可能会造成严重影响。例如，当某个关键组件与控制器断开连接时，其代价可能是链路（S1，S2）故障的四倍，因为链路（S1，S2）故障仅会使S1与控制器断开。

OpenFlow交换机的转发表中填充着各种条目，这些条目包含规则、动作集和流量统计信息。规则用于定义数据包报头字段的匹配条件，动作集与流量匹配相关联，而流量统计信息则记录了流量的相关数据。OpenFlow规范版本1.1引入了一种方法，允许单个流量匹配触发交换机多个端口的转发，快速故障转移就是其中之一。使用这种方法时，交换机执行第一个即活动动作集，每个动作集与一个控制其活动状态的特殊端口相关联。借助OpenFlow的快速故障转移方法，交换机无需往返控制器即可更改转发。

2. SDN安全攻击预防

2.1 网络攻击现状

网络攻击一直是一个重要问题，随着互联网上关键业务和商业应用的快速增长，攻击对攻击者来说更具吸引力，对受害者造成的损害也更大。分布式拒绝服务（DDoS）攻击可能会使受害者不堪重负，无法正常开展业务，大规模的DDoS攻击还可能对与受害者流量共享链路的其他流量造成附带损害，导致大量流量下降、BGP会话中断和路由中断。除了数据平面攻击，控制平面配置错误和对域间路由协议BGP的攻击也会给受害者网络带来严重后果。例如，前缀劫持攻击会向互联网注入并传播虚假路由，使受害者的流量被重定向到攻击者网络进行嗅探、修改或丢弃。

2.2 现有解决方案的不足

虽然已经提出了许多检测和缓解单个攻击的解决方案，但由于流量、攻击及其路由是多个网络行为的结果，总会