[发明专利]基于软件定义网络的访问控制列表运行系统和方法

权利要求书

1.一种基于SDN的访问控制列表运行系统，基于路由器设置，其特征在于，包含：

多个SDN交换机，其中至少一个SDN交换机与Internet用户连接，至少一个SDN交换机与网络资源连接，其余SDN交换机为中间转发接点；

SDN控制器，其分别与各个所述的SDN交换机相连接。

2.一种基于SDN的访问控制列表运行方法，基于权利要求1所述的访问控制列表运行系统实现，其特征在于，包含以下步骤：

S1、SDN控制器获取网络结构和网络资源，并向所有SDN交换机下发交换机流表；

S2、SDN交换机接收用户发出的报文，并查询交换机流表进行匹配；如报文与交换机流表相匹配，则按交换机流表的规则转发报文；如报文与交换机流表不相匹配，则继续执行S3；

S3、SDN交换机将未与交换机流表匹配的报文发送至SDN控制器，并由SDN控制器对该报文与ACL Profile表进行匹配；将未与ACL Profile表中任意ACL条目相匹配的报文丢弃；

S4、对于与ACL Profile表中某一ACL条目相匹配的报文，由SDN控制器确定其转发路径，在转发路径经过的所有SDN交换机接口上设置与该报文相匹配的ACL条目规则，并将该报文按所选择的转发路径进行转发；

S5、对SDN交换机上设置的ACL条目规则设置老化机制，将一定老化时间内未被报文匹配的ACL条目规则删除。

3.如权利要求2所述的基于SDN的访问控制列表运行方法，其特征在于，所述的S1中，具体包含以下步骤：

S11、SDN控制器根据LLDP协议获知全网络拓扑结构；

S12、SDN控制器获取计算资源，存储资源和网络资源在网络中的分布和位置；

S13、SDN控制器向所有SDN交换机下发交换机流表，在SDN交换机上设置该交换机流表的规则。

4.如权利要求2所述的基于SDN的访问控制列表运行方法，其特征在于，所述的ACL Profile表中还包含位于所有ACL条目之后的Deny Any条目，其表示任何一个与之前各ACL条目都不匹配的报文将会被拒绝。

5.如权利要求4所述的基于SDN的访问控制列表运行方法，其特征在于，所述的ACL条目的字段结构包含：

源端条件，其是源MAC地址、源IP地址、源TCP端口、源UDP端口中的一个条件，或是上述多个条件的“与”关系，或是上述多个条件的“或”关系；

目的端条件，其是目的MAC地址、目的IP地址、目的TCP端口、目的UDP端口中的一个条件，或是上述多个条件的“与”关系，或是上述多个条件的“或”关系；

动作，其包含允许或拒绝；

方向，其包含In方向和Out方向，In方向表示在报文进入时使用ACL进行过滤，Out方向表示报文离开时使用ACL进行过滤。

6.如权利要求5所述的基于SDN的访问控制列表运行方法，其特征在于，所述的S3中，具体包含以下步骤：

S31、SDN交换机将未与交换机流表匹配的报文发送至SDN控制器；

S32、SDN控制器判断报文是否匹配ACL Profile表中的其中一条ACL条目中的源端条件和目的端条件；如不匹配，则丢弃报文；如匹配，则继续执行S33；

S33、对于与报文匹配的ACL条目，判断其动作是否为允许；如为拒绝，则丢弃报文；如为允许，则继续执行S4。

7.如权利要求6所述的基于SDN的访问控制列表运行方法，其特征在于，所述的S32中，具体包含以下步骤：

S321、读取ACL Profile表中的一条ACL条目；

S322、判断报文是否匹配该ACL条目中的源端条件；如匹配，则继续执行S323；如不匹配，则继续执行S324；

S323、判断报文是否匹配该ACL条目中的目的端条件；如匹配，则继续执行S33；如不匹配，则继续执行S324；

S324、判断当前ACL条目是否为ACL Profile表中的最后一条ACL条目，如不是，则继续读取ACL Profile表中的下一条ACL条目，并返回执行S322；如是，则将报文匹配Deny Any条目，并丢弃报文。