面向OpenFlow网络的访问控制规则自动实施方案

来源：计算机应用杂志2015年第11期北京时间：

作者：刘艺, 张红旗, 代向东, 雷程

单位：1. 信息工程大学, 郑州 450001;2. 河南省信息安全重点实验室, 郑州 450001

摘要：针对OpenFlow网络数据平面频繁改变导致网络难以实时满足访问控制策略要求的问题,提出了面向OpenFlow网络的访问控制规则自动实施方案.首先,由实时构建的转发路径获得可达空间,并通过规则集动态合成算法消除访问控制规则间的冲突;之后,采用规则空间分割算法将合成后访问控制规则的拒绝空间与可达空间比较,以检测直接和间接违反访问控制规则的非法转发路径;在此基础上,结合网络更新事件与违反检测结果灵活采取自动的违反解决方法,包括规则更新拒绝、规则序列移除、基于线性规划(LP)的近源端规则部署和末端规则部署4种;最后转换访问控制规则形式.理论分析和仿真结果表明,方案可用于控制器上运行多个安全应用程序和交换机内存受限的情况,并且基于LP的近源端规则部署方法可以降低网络中的不期望流量.

关键词：转发路径,线性规划,网络数据平面,访问控制规则,OpenFlow网络

基金资助：国家863计划项目(2012AA012704); 郑州市科技领军人才项目(131PLJRC644).