SDN网络安全策略研究

薛乐梅

摘要：軟件定义网络SDN是一种转发、控制分离、软件可编程的新型网络体系架构，其具有集中控制、开放性等特点，而这些特点也带来了新的网络安全问题。本文分析了SDN网络安全威胁产生的原因，并提出了对应的解决方案。

关键词：软件定义网;网络安全威胁;网络安全解决方案;网络安全技术

中图分类号：TP393.08   文献标识码：A    文章编号：1007-9416（2018）10-0000-00

随着网络技术的快速发展，大型数据中心的多个运营问题接踵而至，例如，网络设备由于在生产商生产时已将相关程序固化至设备中，导致网络设备缺少开放式接口，设备间的互操作性欠佳等。SDN网络是一种新型的网络架构，其快速的发展为上述问题提出了可行的解决方案。SDN网络通过软件的形式重构现有网络，实现了控制层面和数据层面的解耦，从基础的网络设备中剥离了控制层面，其控制层面通过软件控制器来实现，从而将控制功能从网络节点中分离出来，以可编程的方式控制流量，构建动态、开放、可控的网络环境，简化了底层硬件的复杂度。

SDN网络的开放性可通过北向接口来实现。SDN北向接口是通过控制器向上层业务应用开放的接口，其目标是使得业务应用能够便利地调用底层的网络资源和能力。SDN控制器一般由第三方实现，使得控制层面脱离了硬件厂商的限制，修改和添加新特性只需在软件控制器上修改或者添加应用即可。

SDN 就像一把双刃剑，其所具有的集中控制、开放性应用层的特点在简化网络管理、实现网络设备灵活管控的同时，也引入了不可低估的安全威胁。从网络安全而言，集中管控易出现控制器故障，开放性易受网络攻击，因此，如何改善SDN网络安全是本领域的当务之急。

1 SDN网络面临的主要安全威胁

基于SDN网络的特点，其面临的网络安全威胁主要包括：用于集中式管理的控制器内部OS的安全、内部应用安全、控制器故障导致的安全威胁;控制层安全威胁;交换机与控制器链路间的安全、交换机内部流表项的安全等。

目前，通过部署在控制器网络操作系统（NOS）中的安全核心模块实时检测网络状态信息;安全应用根据网络状态信息，分析网络安全状态，检测到网络安全威胁时，生成相应的安全策略，并将所述安全策略转换成流表项规则，安装或更新至数据层交换机。但该技术面临保护对象快速变化，如交换机突然增加，则负载压力变大，不足以应对安全保护需求，可能出现控制器网络操作系统无法追踪保护交换机或无法为激增的交换机提供安全防护的情况。

2 解决方案

2.1 保护组集群技术

控制器的集中控制模式导致单个控制器出现故障时极易被攻击，因此，可考虑配置如图1所示的冗余容灾策略，以配置多个控制器来实现冗余备份，且在控制器间进行主、备选举，可选取性能最优的控制器作为主控制器，其余均配置为备用控制器，主控制器和其余备份控制器组成保护组，保护组内的控制器间采取双向认证策略，以确保控制器间的安全、可信。进一步，为了提高数据处理能力，可以设置保护组集群，当处理任务超过本保护组最大处理能力阈值时，将处理任务切换至其他保护组集群处理。

2.2 云安全策略技术

针对控制器中的内部应用安全，可以基于云安全策略来周期性下发针对内部应用的安全策略，包括了对内部应用的安全检测、安全隔离，且云安全策略可在云服务器中进行定时更新。当控制器基于安全策略匹配检测到内部应用的安全威胁时，基于安全策略中包括的处理机制来对安全威胁进行处理;针对未匹配成功的安全威胁，控制器及时向云服务器上报，以在云服务器处生成该安全威胁的安全策略后下发至控制器。

2.3 基于令牌和保活协议的身份认证技术

在普通的传输模式下，攻击者能够伪造控制器或者篡改策略信息，向交换机发送虚假的流表项信息，因此，可进一步配置云服务器对集群内的控制器进行安全身份认证，在认证通过后，云服务器向控制器下发带有期限的令牌，且控制器需要定时向云服务器发送携带有所述安全令牌的心跳消息，云服务器能够基于所述心跳消息对控制器的性能状态进行监测，当未接收到控制器的心跳消息时，进行保护组内的冗余切换;当发现令牌过期时，需要重新对控制器进行身份认证。当云服务器接收到本保护组内主控制器所反馈的处理任务超过最大处理能力阈值的消息时，云服务器将任务切换至其他保护组处理。

2.4 TLS安全协议技术

SDN 控制器给应用层提供大量的可编程接口，开放性使得 SDN 控制器需要谨慎评估开放的接口，以防止攻击者利用某些接口进行网络监听、网络攻击等。针对接口的开放性所导致的网络安全威胁，可在接口处配置安全监测模块，实施截获接口处的通信消息，并基于云服务器下发的安全策略进行对恶意攻击行为进行拦截。交换机与控制器间链路安全可以通过安全传输层协议TLS来实现。

3 结语

本文从SDN网络安全角度简要阐述了SDN网络的特点，以及SDN网络所面临的网络安全威胁，然后针对安全威胁提出了对应的安全方案。如下几个方面的工作可作为以上研究工作的延续和扩展：（1）进一步研究SDN网络中分布式虚拟交换机集群的网络拓扑安全威胁应对策略;（2）控制层与转发层基于加解密的安全传输方案。

参考文献

[1]左青云，等.基于OpenFlow的SDN网络安全分析与研究信息[J].网络安全，2015，26-32.

[2]Yao G， Bi J， Xiao PY. Source address validation solution with Open Flow/NOX architecture. In： Proc. of the 19th IEEE Intl Conf. on Network Protocols （ICNP）. Vancouver： IEEE Press，2011.7-12.

SDN Network Security Strategy Research

XUE Le-mei

（Patent examination cooperation guangdong center of the patent office，CNIPA，Guangzhou Guangdong  510530）

Abstract：Software-defined network SDN is a new network architecture with forwarding， control separation and software programming. It has the features of centralized control and openness， meanwhile， these features also bring new network security problems. This paper analyzes the causes of SDN network security threats and proposes corresponding solutions.

Keywords：software-defined network; network security threat; network security solution; network security technology