SDN中IP欺骗数据分组网络溯源方法研究

doi:10.11959/j.issn.1000-436x.2018243

通信学报 ›› 2018, Vol. 39 ›› Issue (11): 181-189.doi: 10.11959/j.issn.1000-436x.2018243

SDN中IP欺骗数据分组网络溯源方法研究

魏松杰,孙鑫,赵茹东,吴超

南京理工大学计算机科学与工程学院，江苏南京 210094

修回日期:2018-08-28 出版日期:2018-11-01 发布日期:2018-12-10
作者简介:魏松杰（1977?），男，江苏南京人，博士，南京理工大学副教授、硕士生导师，主要研究方向为信息安全、无线网络与移动计算、物联网区块链等。|孙鑫（1993?），女，河南周口人，南京理工大学硕士生，主要研究方向为软件定义网络、异常检测等。|赵茹东（1992?），男，山东枣庄人，南京理工大学硕士生，主要研究方向为软件定义网络、网络流量分析等。|吴超（1994?），男，江苏扬州人，南京理工大学硕士生，主要研究方向为计算机网络、流量混淆等。
基金资助:
国家自然科学基金资助项目(61472189);赛尔网络下一代互联网技术创新项目(NGII20160105);赛尔网络下一代互联网技术创新项目(NGII20170119)

Tracing IP-spoofed packets in software defined network

Songjie WEI,Xin SUN,Rudong ZHAO,Chao WU

School of Computer Science and Engineering,Nanjing University of Science and Technology,Nanjing 210094,China

Revised:2018-08-28 Online:2018-11-01 Published:2018-12-10
Supported by:
The National Natural Science Foundation of China(61472189);CERNET Innovation Project(NGII20160105);CERNET Innovation Project(NGII20170119)

摘要/Abstract

摘要：

IP 数据分组溯源方法是指从目的地址出发，逐跳找到源主机。该方法在软件定义网络(SDN,software defined network)框架下，通过控制器向网络中相关SDN交换机添加探测流表项，并根据目标数据分组触发的有效溯源Packet-in消息，找到目标数据分组的转发路径及源主机。所提方案可以为调试网络故障提供方便，使网络管理员可以得到任意一个数据分组的转发路径，应对 IP 地址欺骗等网络安全问题。实验证明，该溯源方法能够及时、准确地找到目标数据分组的转发路径，不影响网络中其他数据流转发，且无明显的系统开销。

关键词: SDN, IP地址欺骗, IP溯源, 探测流表项

Abstract:

IP packets back tracing is to find the source host hop by hop from the destination.The method found the forwarding path of target packets and source host by adding probe entry into flow tables on SDN switches and analyzing the effective back tracing Packet-in messages sent by related switches.The proposed scheme can provide convenience for debugging network problems ,so that the network administrator can obtain the forwarding paths of any data packets.Furthermore,it can help to solve the problem of IP spoofing.Experimental results prove that the traceability method can find the forwarding paths of target packets in a timely and accurate manner without affecting other traffic or significant system overhead.

Key words: SDN, IP address spoofing, IP trace back, flow table probe entry

中图分类号:

TP393

魏松杰,孙鑫,赵茹东,吴超. SDN中IP欺骗数据分组网络溯源方法研究[J]. 通信学报, 2018, 39(11): 181-189.

Songjie WEI,Xin SUN,Rudong ZHAO,Chao WU. Tracing IP-spoofed packets in software defined network[J]. Journal on Communications, 2018, 39(11): 181-189.

图/表 18

表1

图1

图2

图3

图4

图5

表2

表3

图6

图7

图8

图9

表4

表5

图10

图11

图12

图13

参考文献 16

[1]	METI N , NARAYAN D G , BALIGAR V P . Detection of distributed denial of service attacks using machine learning algorithms in software defined networks[C]// International Conference on Advances in Computing,Communications and Informatics (ICACCI). 2017: 1366-1371.
[2]	阎冬 . IP网络溯源方法及协作模式相关技术研究[D]. 北京:北京邮电大学, 2012.
	YAN D . Research on IP traceback techniques and collaboration pat terns[D]. Beijing:Beijing University of Posts and Telecommunications, 2012.
[3]	FEAMSTER N , REXFORD J , ZEGURA E . The road to SDN:an intellectual history of programmable networks[J]. Acm Sigcomm Computer Communication Review, 2014,44(2): 87-98.
[4]	SIEBER C , OBERMAIR A , KELLERER W . Online learning and adaptation of network hypervisor performance models[C]// IFIP/IEEE Symposium on Integrated Network and Service Management (IM). 2017: 1204-1212.
[5]	王涛, 陈鸿昶, 程国振 . 软件定义网络及安全防御技术研究[J]. 通信学报, 2017,38(11): 133-160.
	WANG T , CHEN H C , CHENG G Z . Research on software-defined network and the security defense technology[J]. Journal on Communications, 2017,38(11): 133-160.
[6]	PATEL B , MENARIA S . Survey of traceback methods[J]. Journal of Engineering Computers ＆ Applied Sciences, 2015,4(1): 22-26.
[7]	黄琼, 熊文柱, 阳小龙 ,等. 分层次的无状态单分组IP溯源技术[J]. 通信学报, 2011,32(3): 150-157.
	HUANG Q , XIONG W Z , YANG X L ,et al. Hierarchical stateless sin-gle-packet IP traceback technique[J]. Journal on Communications, 2011,32(3): 150-157.
[8]	YAN D , WANG Y , SU S ,et al. A precise and practical IP traceback technique based on packet marking and logging[J]. Journal of In-formation Science ＆ Engineering, 2012,28(3): 453-470.
[9]	FOROUSHANI V A , ZINCIR-HEYWOOD A N . Deterministic and authenticated flow marking for IP traceback[J]. 2013 IEEE 27th International Conference on Advanced Information Networking and Applications (AINA), 2013,30(1): 397-404.
[10]	FRANCOIS J , FESTOR O . Anomaly traceback using software defined networking[C]// IEEE International Workshop on Information Forensics and Security. IEEE, 2014.
[11]	夏彬 . 基于软件定义网络的 WLAN 中 DDoS 攻击检测和防护[D]. 上海:上海交通大学, 2015.
	XIA B . Research on the detection and defence of DDoS attack in SDN-based WLAN[D]. Shanghai:Shanghai Jiaotong University, 2015.
[12]	CUI Y , YAN L , LI S ,et al. SD-Anti-DDoS:Fast and efficient DDoS defense in software-defined networks[J]. Journal of Network and Computer Applications, 2016,68: 65-79.
[13]	AGARWAL K , ROZNER E , DIXON C ,et al. SDN traceroute:tracing SDN forwarding without changing network behavior[C]// The Workshop on Hot Topics in Software Defined NETWORKING. 2014: 145-150.
[14]	TAMMANA P , AGARWAL R , LEE M . CherryPick:tracing packet trajectory in software-defined datacenter networks[C]// ACM SIGCOMM Symposium on Software Defined NETWORKING Research. 2015: 1-7.
[15]	NARAYANA S , REXFORD J , WALKER D . Compiling path queries in soft-ware-defined networks[C]// The Workshop on Hot Topics in Software Defined NETWORKING.. 2014: 181-186.
[16]	NICK M K , ANDERSON T , BALAKRISHNAN H ,et al. OpenFlow:enabling innovation in campus networks[J]. Acm Sigcomm Computer Communication Review, 2008,38(2): 69-74.

性能	传统溯源			SDN溯源
性能	链路测试法	数据分组标记法	日志记录法	Renyi熵方法	CherryPick方法	本文溯源方法
溯源速度	较慢	较快	较慢	一般	较快	快
路由开销	高	高	很高	低	低	低
网络开销	中	低	中	低	低	低
溯源受限	限追溯单个流	对路由器性能要求高	受限于存储空间	受限于窗口大小和阈值	受限于数据分组头部字段长度	特征集需人为提取

数据分组字段	h1	h3	h5
源IP地址	10.0.1.3	10.0.1.3	10.0.2.5
目的IP地址	10.0.3.7	10.0.3.7	10.0.3.7
IP协议类型	UDP	UDP	UDP
源端口号	6000	6500	7000
目的端口号	80	80	80

特征集元素	第一组	第二组
以太网协议类型	2048	2048
源IP地址	10.0.1.3	10.0.1.3
目的IP地址	10.0.3.7	10.0.3.7
IP协议类型	17(UDP)	17(UDP)
源端口号	—	6000
目的端口号	80	80

事件	概率	意义
P(h7)	100%	溯源起点
P(s7\|h7)	100%	溯源第一台交换机
P(s4\|s7)	69%	第一、二条路径
P(s5\|s4)	84%	第一条路径
P(s2\|s5)	77%	第一条路径
P(h2\|s5)	23%	溯源终点h2
P(s1\|s2)	100%	第一、二条路径
P(h1\|s1)	100%	溯源终点h1
P(s3\|s4)	16%	第二条路径
P(s2\|s3)	100%	第二条路径
P(s1\|s2)	100%	第二条路径
P(h1\|s1)	100%	溯源终点h1
P(s8\|s7)	31%	第三条路径
P(h6\|s8)	100%	第三条路径
P(s1\|s6)	74%	第三条路径
P(h5\|s6)	26%	溯源终点h5
P(h1\|s1)	100%	溯源终点h1

速率/(packet·s^-1)	溯源准确性
2	49.1%
20	70.4%
100	91.2%
500	98.6%

SDN中IP欺骗数据分组网络溯源方法研究

Tracing IP-spoofed packets in software defined network

在线阅读

PDF下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 18

参考文献 16

相关文章 9

Metrics

推荐阅读 0

[1]	罗智勇, 张玉, 王青, 宋伟伟. 基于贝叶斯攻击图的SDN入侵意图识别算法的研究[J]. 通信学报, 2023, 44(4): 216-225.
[2]	段通,兰巨龙,胡宇翔,范宏伟. 面向SDN/NFV架构的VNF硬件加速资源编排机制[J]. 通信学报, 2018, 39(6): 98-108.
[3]	赵志远,孟相如,苏玉泽,李振涛. 多控制器条件下区分QoS的虚拟SDN映射方法[J]. 通信学报, 2017, 38(8): 101-110.
[4]	王涛,陈鸿昶,程国振. 软件定义网络及安全防御技术研究[J]. 通信学报, 2017, 38(11): 133-160.
[5]	王健,赵国生,李志新. 面向SDN的虚拟网络映射算法研究[J]. 通信学报, 2017, 38(10): 26-35.
[6]	韩志耕,冯霞,陈耿. 基于SDN的电邮抵赖源头抑制方法[J]. 通信学报, 2016, 37(9): 55-67.
[7]	李军飞,兰巨龙,胡宇翔,邬江兴. SDN多控制器一致性的量化研究[J]. 通信学报, 2016, 37(6): 86-93.
[8]	徐雷,张云勇,吴俊,房秉毅. 云计算环境下的网络技术研究[J]. 通信学报, 2012, 33(Z1): 216-221.
[9]	黄琼,熊文柱,阳小龙,徐杰,隆克平. 分层次的无状态单分组IP溯源技术[J]. 通信学报, 2011, 32(3): 150-157.