通信学报 ›› 2023, Vol. 44 ›› Issue (2): 1-11.doi: 10.11959/j.issn.1000-436x.2023036

• 学术论文 •    下一篇

软件定义网络抗拒绝服务攻击的流表溢出防护

王东滨1,2, 吴东哲1, 智慧3, 郭昆1,4,5, 张勖1, 时金桥1, 张宇6,7, 陆月明1,4   

  1. 1 北京邮电大学网络空间安全学院，北京 100876
    2 链网融合技术教育部工程研究中心，北京 100876
    3 中国民航信息网络股份有限公司，北京 100190
    4 移动互联网安全技术国家工程研究中心，北京 100876
    5 中关村实验室，北京 100094
    6 哈尔滨工业大学网络空间安全学院，黑龙江 哈尔滨 150001
    7 鹏城实验室网络空间安全研究中心，广东 深圳 518055
  • 修回日期:2022-12-26 出版日期:2023-02-25 发布日期:2023-02-01
  • 作者简介:王东滨（1978- ），男，黑龙江哈尔滨人，博士，北京邮电大学教授、博士生导师，主要研究方向为软件定义网络与安全、区块链、网络流量分析与模拟等
    吴东哲（1998- ），男，河南三门峡人，北京邮电大学硕士生，主要研究方向为软件定义网络与安全等
    智慧（1980- ），女，河北邯郸人，中国民航信息网络股份有限公司高级工程师，主要研究方向为物联网、RFID、分布式系统、民航信息系统等
    郭昆（1986- ），男，河北沙河人，博士，中关村实验室助理研究员，主要研究方向为可信路由计算、异常流量检测
    张勖（1973- ），女，北京人，博士，北京邮电大学副教授、硕士生导师，主要研究方向为移动自组织网络安全、物联网安全等
    时金桥（1978- ），男，黑龙江哈尔滨人，博士，北京邮电大学教授、博士生导师，主要研究方向为分布式网络系统、匿名通信与隐私保护、区块链网络、信息智能处理、大数据智能分析、网络测量技术等
    张宇（1979- ），男，黑龙江哈尔滨人，博士，哈尔滨工业大学副教授、博士生导师，主要研究方向为软件定义网络、网络拓扑测量、域间路由和复杂网络等
    陆月明（1969- ），男，江苏苏州人，博士，北京邮电大学教授、博士生导师，主要研究方向为网络安全防护、信任体系等
  • 基金资助:
    国家重点研发计划基金资助项目(2020YFB1808100);中国高校产学研创新基金资助项目(2021FNA02004)

Preventing flow table overflow against denial of service attack in software defined network

Dongbin WANG1,2, Dongzhe WU1, Hui ZHI3, Kun GUO1,4,5, Xu ZHANG1, Jinqiao SHI1, Yu ZHANG6,7, Yueming LU1,4   

  1. 1 School of Cyberspace Engineering, Beijing University of Posts and Telecommunications, Beijing 100876, China
    2 Engineering Research Center of Blockchain and Network Convergence Technology, Ministry of Education, Beijing 100876, China
    3 TravelSky Technology Limited, Beijing 100190, China
    4 National Engineering Research Center for Mobile Network, Beijing 100876, China
    5 Zhongguancun Laboratory, Beijing 100094, China
    6 School of Cyberspace Science, Harbin Institute of Technology, Harbin 150001, China
    7 Cyberspace Security Research Center, Peng Cheng Laboratory, Shenzhen 518055, China
  • Revised:2022-12-26 Online:2023-02-25 Published:2023-02-01
  • Supported by:
    The National Key Research and Development Program of China(2020YFB1808100);China University Industry-University-Research Collaborative Innovation Fund(2021FNA02004)

在线阅读

61

PDF下载

662

摘要：

针对拒绝服务攻击导致软件定义网络交换机有限的流表空间溢出、正常的网络报文无法被安装流表规则、报文转发时延、丢包等情况，提出了抗拒绝服务攻击的软件定义网络流表溢出防护技术 FloodMitigation，采用基于流表可用空间的限速流规则安装管理，限制出现拒绝服务攻击的交换机端口的流规则最大安装速度和占用的流表空间数量，避免了流表溢出。此外，采用基于可用流表空间的路径选择，在多条转发路径的交换机间均衡流表利用率，避免转发网络报文过程中出现网络新流汇聚导致的再次拒绝服务攻击。实验结果表明，FloodMitigation在防止交换机流表溢出、避免网络报文丢失、降低控制器资源消耗、确保网络报文转发时延等方面能够有效地缓解拒绝服务攻击的危害。

关键词: 软件定义网络, 拒绝服务攻击, 流表溢出, 路径选择

Abstract:

Aiming at denial of service attacks would cause overflow of the limited flow table space of the switch in software defined network, failure to install flow table rules for normal network packets, packet forwarding delay, and packet loss, FloodMitigation was proposed to prevent flow table overflow against denial of service attacks in software defined network.The management of the rate-limit flow rule installation based on available flow table space was adopted to limit the maximum installation speed of flow rules and the number of flow table space occupied by switch ports with denial-of-service attacks, and avoid flow table overflow.In addition, path selection based on available flow table space was adopted to balance flow table utilization of switches among multiple forwarding paths to avoid denial of service attacks on switches with less available flow table in the path.The experimental results demonstrate that FloodMitigation can effectively alleviate the harm of denial of service attacks in terms of preventing switch flow table overflow and packet loss, reducing resource consumption of controllers, and ensuring packet forwarding delay.

Key words: software defined network, denial of service attack, flow table overflow, path selection

中图分类号: 

No Suggested Reading articles found!