[发明专利]一种检测SDN中流表一致性的方法和系统

权利要求书

1.一种检测SDN中流表一致性的方法，其步骤包括：

1)用户在控制器端配置待检测流表的目标字段以及查询频率；

2)在控制器端备份已下发过的所有流表以及所有流表对应的目标字段的数目；

3)根据步骤1)的配置向交换机发起查询请求；所述查询请求包括：消息编号值，当次查询中需查询的目标字段的数目以及需查询的目标字段的编号列表；

4)交换机根据接收到查询请求，将待检测流表的目标字段的实时统计信息返回控制器端；所述实时统计信息包括：消息编号值，当次查询中需回复的目标字段的数目，以及需回复的目标字段的信息列表；所述需回复的目标字段的信息列表包括需回复的目标字段的编号以及该编号对应的目标字段的计数值；

5)将步骤4)返回的实时统计信息中目标字段的数目与步骤2)备份的目标字段的数目进行比对，完成对SDN中流表一致性的检测。

2.如权利要求1所述的检测SDN中流表一致性的方法，其特征在于，步骤1)中用户根据检测需要，基于流表篡改的监听攻击的特征选择目标字段；步骤2)中，在控制器端针对每一个交换机进行备份。

3.如权利要求1所述的检测SDN中流表一致性的方法，其特征在于，每次查询中控制器端的实时统计信息中的消息编号值与查询请求中的消息编号值是对应一致的。

4.如权利要求1所述的检测SDN中流表一致性的方法，其特征在于，步骤4)中所述交换机通过对检测前已有的待检测流表的目标字段进行计数，且每当待检测流表有安装、删除、修改动作时，对其目标字段的数目进行更新，得到待检测流表的目标字段的实时统计信息。

5.一种检测SDN中流表一致性的系统，包括：部署有流表备份模块、管理配置模块和查询模块的控制器，以及部署有字段计数模块和信息回复模块的交换机；

所述流表备份模块用于备份控制器已下发过的所有流表以及所有流表对应的目标字段数目，所述管理配置模块用于配置待检测流表的目标字段以及查询频率，所述查询模块用于根据管理配置模块的配置向交换机发送查询消息，并根据信息回复模块的回复检测流表一致性；所述查询模块向交换机发送的查询消息包括：消息编号值，当次查询中需查询的目标字段的数目以及需查询的目标字段的编号列表；所述信息回复模块的回复包括：消息编号值，当次查询中需回复的目标字段的数目，以及需回复的目标字段的信息列表；所述需回复的目标字段的信息列表包括需回复的目标字段的编号以及该编号对应的目标字段的计数值；

所述字段计数模块用于对检测前已有的待检测流表的目标字段进行计数，并实时更新待检测流表的目标字段的计数值，所述信息回复模块用于根据查询消息提取查询时待检测流表的目标字段的当前计数值并回复给查询模块；所述查询模块将信息回复模块回复的待检测流表的目标字段的当前计数值与所述流表备份模块备份的目标字段的数目进行比较以检测流表一致性。