閆曉潔，于廣輝

（大連理工大學(xué) 網(wǎng)絡(luò)與信息化中心，遼寧 大連 116024）

隨著信息化時代計算機網(wǎng)絡(luò)技術(shù)的快速發(fā)展，促使高校數(shù)字化校園[1]不斷地進行信息化建設(shè)，上網(wǎng)流量需求和用戶的日益增多以及多元化給網(wǎng)絡(luò)數(shù)據(jù)流量帶來急劇增長，網(wǎng)絡(luò)設(shè)備運轉(zhuǎn)負(fù)荷倍增，網(wǎng)絡(luò)帶寬擴容面臨巨大壓力，成為網(wǎng)絡(luò)管理的瓶頸。因此網(wǎng)絡(luò)監(jiān)控管理已成為不可或缺的部分，尤其是在網(wǎng)絡(luò)安全以及網(wǎng)絡(luò)規(guī)劃方面有非常重要的意義。

網(wǎng)絡(luò)流量作為網(wǎng)絡(luò)用戶上網(wǎng)記錄和活動的一個重要反應(yīng)，通過監(jiān)控和分析網(wǎng)絡(luò)上各種應(yīng)用的網(wǎng)絡(luò)帶寬的使用情況，剖析用戶流量行為，從而合理地分配和規(guī)劃帶寬，尤其是當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)流量產(chǎn)生異常時，可以迅速根據(jù)流量監(jiān)控分析的結(jié)果采取相應(yīng)的控制手段，從而達到對攻擊源進行有效隔離，防止各類網(wǎng)絡(luò)攻擊，從而保障關(guān)鍵業(yè)務(wù)應(yīng)用的正常運行。

1 OpenFlow技術(shù)

1.1 OpenFlow網(wǎng)絡(luò)

OpenFlow[2]是斯坦福大學(xué)Clean Slate計劃資助的一個開放式協(xié)議標(biāo)準(zhǔn)，主要用于在現(xiàn)有網(wǎng)絡(luò)上設(shè)計新的協(xié)議和部署新的業(yè)務(wù)應(yīng)用，其最終目標(biāo)是重新設(shè)計互聯(lián)網(wǎng)，其核心內(nèi)容是對網(wǎng)絡(luò)數(shù)據(jù)流的分類算法來達到對網(wǎng)絡(luò)進行可編程。

OpenFlow網(wǎng)絡(luò)由 OpenFlow交換機、FlowVisor和Controller三部分組成。OpenFlow交換機進行數(shù)據(jù)層的轉(zhuǎn)發(fā)；FlowVisor對網(wǎng)絡(luò)進行虛擬化；Controller對網(wǎng)絡(luò)進行集中控制，實現(xiàn)控制層的功能。OpenFlow網(wǎng)絡(luò)組成如圖1所示。

1.2 OpenFlow交換機

圖1 OpenFlow網(wǎng)絡(luò)結(jié)構(gòu)

OpenFlow交換機由三部分構(gòu)成：數(shù)據(jù)流表對應(yīng)一個轉(zhuǎn)發(fā)規(guī)則操作，用以指示交換機如何處理該數(shù)據(jù)流。安全通道用于實現(xiàn)OpenFlow交換機與控制器之間的指令和數(shù)據(jù)包的安全傳遞；OpenFlow協(xié)議用來描述控制器和交換機之間相互所用信息的標(biāo)準(zhǔn)，以及控制器和交換機的接口標(biāo)準(zhǔn)。

OpenFlow交換機[3]是整個OpenFlow網(wǎng)絡(luò)的核心部件，主要管理數(shù)據(jù)層的轉(zhuǎn)發(fā)。OpenFlow交換機接收到數(shù)據(jù)包之后，首先在本地的流表上查找轉(zhuǎn)發(fā)目標(biāo)端口，如果沒有匹配，則把數(shù)據(jù)包轉(zhuǎn)發(fā)給 Controller，由控制層決定轉(zhuǎn)發(fā)端口。其組成結(jié)構(gòu)如圖2所示。

圖2 OpenFlow交換機結(jié)構(gòu)

2 基于OpenFlow的異常流量管理設(shè)計

2.1 總體架構(gòu)圖

本系統(tǒng)研究的目的就是減少校園網(wǎng)中的異常流量，利用OpenFlow中對流表的管理來控制網(wǎng)絡(luò)數(shù)據(jù)包的轉(zhuǎn)向，從而實現(xiàn)網(wǎng)絡(luò)中控制層面與數(shù)據(jù)平面相分離，有效地阻止對網(wǎng)絡(luò)的攻擊。本系統(tǒng)設(shè)計主要包括異常流量識別模塊、異常流量分類模塊、流表管理模塊和超時處理模塊，具體設(shè)計管理圖如圖3所示。

圖3 異常流量管理圖

2.2 異常流量識別模塊

該模塊通過異常流量識別算法[4]進行處理，利用改進的Adapted-Bloom-Filter防抖動的地址聚集算法來更好地檢測異常流量，對流量進行特征提取和區(qū)分過濾。采用M-CUSUM算法對網(wǎng)絡(luò)端口輸入輸出流量的變化進行監(jiān)控，及時地檢測出流量的異常，從而實現(xiàn)對異常流量攻擊采取綜合整治。

2.3 異常流量分類模塊

該模塊主要功能是進一步對異常流量進行聚集分類[5]，縮小異常流量范圍。實現(xiàn)的方法是使用基于特征分析的統(tǒng)計方法來識別具有異常流量的聚集。首先要對IP流進行分類，依據(jù)各協(xié)議包使用比例和出現(xiàn)幾率，將IP包分為TCP包、UDP包和ICMP包。其中TCP和UDP流量是網(wǎng)絡(luò)中的主要流量，而TCP聚集還可以再細(xì)分為TCP控制包和TCP數(shù)據(jù)包。

2.4 流表管理模塊

OpenFlow交換機擁有一個或多個流表，流表中包含多個流表項，每個流表項都包含規(guī)則、操作和計數(shù)三部分。當(dāng)一個分組到達OpenFlow交換機時，該分組頭部信息被提取出來并被用來與流表項進行匹配，如果交換機的流表中不存在該分組匹配的流表項，則該分組的全部或部分被轉(zhuǎn)發(fā)到控制器，并由控制器來決定如何對該分組或此類流進行處理，如果匹配成功，將會按照所匹配的流表項的操作字段的內(nèi)容對分組進行轉(zhuǎn)發(fā)處理。

OpenFlow主要存在兩種類型的流表：線性表和哈希表，當(dāng)向OpenFlow交換機中插入一條流表項時，如果流表項中用來匹配分組的12元組信息都含有一個確定值，那么這條流表項將先插入到哈希表中，在哈希表滿的情況下才會向線性表插入；如果12元組中某些字段是以通配符的方式進行提供，那這條流表項只能插入到線性表中。流量查詢算法如下：

2.5 超時處理模塊

由于流表項存在超時問題，所以當(dāng)流表項的存在時間超過最大生存時間時，流表項管理模塊需要刪除該規(guī)則?？紤]到流表項具有相同的最大生存時間，刪除流表項的順序與流表項進入的順序相同，所以采用鏈表結(jié)構(gòu)存放流表項。當(dāng)流表項管理模塊為新進規(guī)則生存鏈表節(jié)點時，將當(dāng)前時間置為該鏈表節(jié)點的時間項。管理模塊每隔一個虛擬單位時間檢查一次超時鏈表各節(jié)點的時間項，如果當(dāng)前時間與規(guī)則進入時間之差大于流表項最大生存時間，則刪除超時表項，釋放存放表項的鏈表節(jié)點。

3 仿真實驗

為了驗證本文的設(shè)計,決定采用虛擬網(wǎng)絡(luò)環(huán)境Mininet仿真平臺,它可以在一臺機器上創(chuàng)建一張多至數(shù)百個節(jié)點的大規(guī)模虛擬網(wǎng)絡(luò),節(jié)點類型和拓?fù)浣Y(jié)構(gòu)可以自行定義,并且支持OpenFlow協(xié)議,具體的實驗拓?fù)淙鐖D4所示。

圖4 仿真試驗拓?fù)鋱D

圖中C0是中心控制器,下面連著兩個OpenFlow交換機 S1和 S2,往下分別連著虛擬機 H1、H2、H3和 H4。由H1向系統(tǒng)主動發(fā)起正常網(wǎng)絡(luò)流量3 370 430 KB和TCP flooding攻擊，攻擊流量的數(shù)據(jù)包為固定大小40 B，Ack和Flag不固定，源端口固定，目的端口隨機，大小為844 297 KB。設(shè)置系統(tǒng)把檢測到的異常流量全部轉(zhuǎn)發(fā)給主機H4，正常流量隨機轉(zhuǎn)到H2和H3主機上。

經(jīng)過反復(fù)測試3次取平均值，對主機H4進行流量統(tǒng)計，發(fā)現(xiàn)共統(tǒng)計到流量818 880 KB，H2和H3主機共統(tǒng)計到流量為3 370 430 KB，說明系統(tǒng)中正常流量都通過了，異常流量基本被捕獲攔截，攔截率為96.99%，基本符合預(yù)期的目標(biāo)。

在復(fù)雜的網(wǎng)絡(luò)環(huán)境當(dāng)中，網(wǎng)絡(luò)流量的增長不僅僅給路由器交換機等網(wǎng)絡(luò)設(shè)備帶來沉重的負(fù)載，而且通常會隱藏著異常流量引起的網(wǎng)絡(luò)安全問題。本文基于OpenFlow新型的可編程的網(wǎng)絡(luò)平臺，對網(wǎng)絡(luò)環(huán)境中的流量進行了識別和分類，通過對OpenFlow流表進行編程來設(shè)計對異常數(shù)據(jù)包的轉(zhuǎn)發(fā)處理，并通過在仿真網(wǎng)絡(luò)平臺上進行測試驗證，達到了預(yù)計的效果。

[1]YMCKEOWN N，ANDERSON T，BALAKRISHNAN H，et al.OpenFlow:enabling innovation in campus networks[J].ACM SIGCOMM Computer Communication Review，2008，38(2)：69-74.

[2]OpenFlow[EB/OL].[2013-07-20].http：//www.OpenFlow.org.

[3]SHERWOOD R，CHAN M，COVINGTON A，et al.Carving research slices out of your production networks with Open-Flow[J].ACM SIGCOMM Computer Communication Review，2010，40(1)：129-130.

[4]鄭曉霞.校園網(wǎng)異常流量分析系統(tǒng)設(shè)計與實現(xiàn)[D].青島：中國海洋大學(xué)，2012.

[5]楊新存.校園網(wǎng)流量管理及異常監(jiān)測系統(tǒng)的研究與實現(xiàn)[D].蘭州：蘭州理工大學(xué)，2012.