SDN網(wǎng)絡(luò)安全策略研究

薛樂梅

摘要：軟件定義網(wǎng)絡(luò)SDN是一種轉(zhuǎn)發(fā)、控制分離、軟件可編程的新型網(wǎng)絡(luò)體系架構(gòu)，其具有集中控制、開放性等特點(diǎn)，而這些特點(diǎn)也帶來了新的網(wǎng)絡(luò)安全問題。本文分析了SDN網(wǎng)絡(luò)安全威脅產(chǎn)生的原因，并提出了對應(yīng)的解決方案。

關(guān)鍵詞：軟件定義網(wǎng);網(wǎng)絡(luò)安全威脅;網(wǎng)絡(luò)安全解決方案;網(wǎng)絡(luò)安全技術(shù)

中圖分類號：TP393.08? ?文獻(xiàn)標(biāo)識碼：A? ? 文章編號：1007-9416（2018）10-0000-00

隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展，大型數(shù)據(jù)中心的多個運(yùn)營問題接踵而至，例如，網(wǎng)絡(luò)設(shè)備由于在生產(chǎn)商生產(chǎn)時已將相關(guān)程序固化至設(shè)備中，導(dǎo)致網(wǎng)絡(luò)設(shè)備缺少開放式接口，設(shè)備間的互操作性欠佳等。SDN網(wǎng)絡(luò)是一種新型的網(wǎng)絡(luò)架構(gòu)，其快速的發(fā)展為上述問題提出了可行的解決方案。SDN網(wǎng)絡(luò)通過軟件的形式重構(gòu)現(xiàn)有網(wǎng)絡(luò)，實(shí)現(xiàn)了控制層面和數(shù)據(jù)層面的解耦，從基礎(chǔ)的網(wǎng)絡(luò)設(shè)備中剝離了控制層面，其控制層面通過軟件控制器來實(shí)現(xiàn)，從而將控制功能從網(wǎng)絡(luò)節(jié)點(diǎn)中分離出來，以可編程的方式控制流量，構(gòu)建動態(tài)、開放、可控的網(wǎng)絡(luò)環(huán)境，簡化了底層硬件的復(fù)雜度。

SDN網(wǎng)絡(luò)的開放性可通過北向接口來實(shí)現(xiàn)。SDN北向接口是通過控制器向上層業(yè)務(wù)應(yīng)用開放的接口，其目標(biāo)是使得業(yè)務(wù)應(yīng)用能夠便利地調(diào)用底層的網(wǎng)絡(luò)資源和能力。SDN控制器一般由第三方實(shí)現(xiàn)，使得控制層面脫離了硬件廠商的限制，修改和添加新特性只需在軟件控制器上修改或者添加應(yīng)用即可。

SDN 就像一把雙刃劍，其所具有的集中控制、開放性應(yīng)用層的特點(diǎn)在簡化網(wǎng)絡(luò)管理、實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備靈活管控的同時，也引入了不可低估的安全威脅。從網(wǎng)絡(luò)安全而言，集中管控易出現(xiàn)控制器故障，開放性易受網(wǎng)絡(luò)攻擊，因此，如何改善SDN網(wǎng)絡(luò)安全是本領(lǐng)域的當(dāng)務(wù)之急。

1 SDN網(wǎng)絡(luò)面臨的主要安全威脅

基于SDN網(wǎng)絡(luò)的特點(diǎn)，其面臨的網(wǎng)絡(luò)安全威脅主要包括：用于集中式管理的控制器內(nèi)部OS的安全、內(nèi)部應(yīng)用安全、控制器故障導(dǎo)致的安全威脅;控制層安全威脅;交換機(jī)與控制器鏈路間的安全、交換機(jī)內(nèi)部流表項的安全等。

目前，通過部署在控制器網(wǎng)絡(luò)操作系統(tǒng)（NOS）中的安全核心模塊實(shí)時檢測網(wǎng)絡(luò)狀態(tài)信息;安全應(yīng)用根據(jù)網(wǎng)絡(luò)狀態(tài)信息，分析網(wǎng)絡(luò)安全狀態(tài)，檢測到網(wǎng)絡(luò)安全威脅時，生成相應(yīng)的安全策略，并將所述安全策略轉(zhuǎn)換成流表項規(guī)則，安裝或更新至數(shù)據(jù)層交換機(jī)。但該技術(shù)面臨保護(hù)對象快速變化，如交換機(jī)突然增加，則負(fù)載壓力變大，不足以應(yīng)對安全保護(hù)需求，可能出現(xiàn)控制器網(wǎng)絡(luò)操作系統(tǒng)無法追蹤保護(hù)交換機(jī)或無法為激增的交換機(jī)提供安全防護(hù)的情況。

2 解決方案

2.1 保護(hù)組集群技術(shù)

控制器的集中控制模式導(dǎo)致單個控制器出現(xiàn)故障時極易被攻擊，因此，可考慮配置如圖1所示的冗余容災(zāi)策略，以配置多個控制器來實(shí)現(xiàn)冗余備份，且在控制器間進(jìn)行主、備選舉，可選取性能最優(yōu)的控制器作為主控制器，其余均配置為備用控制器，主控制器和其余備份控制器組成保護(hù)組，保護(hù)組內(nèi)的控制器間采取雙向認(rèn)證策略，以確?？刂破鏖g的安全、可信。進(jìn)一步，為了提高數(shù)據(jù)處理能力，可以設(shè)置保護(hù)組集群，當(dāng)處理任務(wù)超過本保護(hù)組最大處理能力閾值時，將處理任務(wù)切換至其他保護(hù)組集群處理。

2.2 云安全策略技術(shù)

針對控制器中的內(nèi)部應(yīng)用安全，可以基于云安全策略來周期性下發(fā)針對內(nèi)部應(yīng)用的安全策略，包括了對內(nèi)部應(yīng)用的安全檢測、安全隔離，且云安全策略可在云服務(wù)器中進(jìn)行定時更新。當(dāng)控制器基于安全策略匹配檢測到內(nèi)部應(yīng)用的安全威脅時，基于安全策略中包括的處理機(jī)制來對安全威脅進(jìn)行處理;針對未匹配成功的安全威脅，控制器及時向云服務(wù)器上報，以在云服務(wù)器處生成該安全威脅的安全策略后下發(fā)至控制器。

2.3 基于令牌和?；顓f(xié)議的身份認(rèn)證技術(shù)

在普通的傳輸模式下，攻擊者能夠偽造控制器或者篡改策略信息，向交換機(jī)發(fā)送虛假的流表項信息，因此，可進(jìn)一步配置云服務(wù)器對集群內(nèi)的控制器進(jìn)行安全身份認(rèn)證，在認(rèn)證通過后，云服務(wù)器向控制器下發(fā)帶有期限的令牌，且控制器需要定時向云服務(wù)器發(fā)送攜帶有所述安全令牌的心跳消息，云服務(wù)器能夠基于所述心跳消息對控制器的性能狀態(tài)進(jìn)行監(jiān)測，當(dāng)未接收到控制器的心跳消息時，進(jìn)行保護(hù)組內(nèi)的冗余切換;當(dāng)發(fā)現(xiàn)令牌過期時，需要重新對控制器進(jìn)行身份認(rèn)證。當(dāng)云服務(wù)器接收到本保護(hù)組內(nèi)主控制器所反饋的處理任務(wù)超過最大處理能力閾值的消息時，云服務(wù)器將任務(wù)切換至其他保護(hù)組處理。

2.4 TLS安全協(xié)議技術(shù)

SDN 控制器給應(yīng)用層提供大量的可編程接口，開放性使得 SDN 控制器需要謹(jǐn)慎評估開放的接口，以防止攻擊者利用某些接口進(jìn)行網(wǎng)絡(luò)監(jiān)聽、網(wǎng)絡(luò)攻擊等。針對接口的開放性所導(dǎo)致的網(wǎng)絡(luò)安全威脅，可在接口處配置安全監(jiān)測模塊，實(shí)施截獲接口處的通信消息，并基于云服務(wù)器下發(fā)的安全策略進(jìn)行對惡意攻擊行為進(jìn)行攔截。交換機(jī)與控制器間鏈路安全可以通過安全傳輸層協(xié)議TLS來實(shí)現(xiàn)。

3 結(jié)語

本文從SDN網(wǎng)絡(luò)安全角度簡要闡述了SDN網(wǎng)絡(luò)的特點(diǎn)，以及SDN網(wǎng)絡(luò)所面臨的網(wǎng)絡(luò)安全威脅，然后針對安全威脅提出了對應(yīng)的安全方案。如下幾個方面的工作可作為以上研究工作的延續(xù)和擴(kuò)展：（1）進(jìn)一步研究SDN網(wǎng)絡(luò)中分布式虛擬交換機(jī)集群的網(wǎng)絡(luò)拓?fù)浒踩{應(yīng)對策略;（2）控制層與轉(zhuǎn)發(fā)層基于加解密的安全傳輸方案。

參考文獻(xiàn)

[1]左青云，等.基于OpenFlow的SDN網(wǎng)絡(luò)安全分析與研究信息[J].網(wǎng)絡(luò)安全，2015，26-32.

[2]Yao G， Bi J， Xiao PY. Source address validation solution with Open Flow/NOX architecture. In： Proc. of the 19th IEEE Intl Conf. on Network Protocols （ICNP）. Vancouver： IEEE Press，2011.7-12.

SDN Network Security Strategy Research

XUE Le-mei

（Patent examination cooperation guangdong center of the patent office，CNIPA，Guangzhou Guangdong? 510530）

Abstract：Software-defined network SDN is a new network architecture with forwarding， control separation and software programming. It has the features of centralized control and openness， meanwhile， these features also bring new network security problems. This paper analyzes the causes of SDN network security threats and proposes corresponding solutions.

Keywords：software-defined network; network security threat; network security solution; network security technology