面向SDN的源地址驗(yàn)證方法研究.pdf

1、源地址欺騙是指通過(guò)偽造源IP地址假冒他人身份進(jìn)行網(wǎng)絡(luò)通信，常被攻擊者用來(lái)進(jìn)行如IP Spoofing、SYN Floods等分布式拒絕服務(wù)（Distributed Denial of Service，DDoS)攻擊，不僅危害巨大，還可以達(dá)到隱藏自身的目的，此類(lèi)攻擊已經(jīng)成為如今互聯(lián)網(wǎng)上最大安全威脅之一。對(duì)數(shù)據(jù)包源地址進(jìn)行真實(shí)性驗(yàn)證是防御源地址欺騙最有效的方法。國(guó)內(nèi)外研究者已經(jīng)提出多種源地址驗(yàn)證方案，然而在當(dāng)前的網(wǎng)絡(luò)條件下，進(jìn)行源地址驗(yàn)證面

2、臨許多的困難。軟件定義網(wǎng)絡(luò)(Software-Defined Networking，SDN)是近幾年提出的新型網(wǎng)絡(luò)架構(gòu)，將控制功能從網(wǎng)絡(luò)設(shè)備中分離出來(lái)，向上集成操作系統(tǒng)，靈活的實(shí)現(xiàn)不同的網(wǎng)絡(luò)策略，向下通過(guò)南向接口統(tǒng)一管理網(wǎng)絡(luò)設(shè)備。這種網(wǎng)絡(luò)架構(gòu)增加了網(wǎng)絡(luò)的靈活性、可擴(kuò)展性，成為當(dāng)前的熱點(diǎn)概念，并為探索新的源地址驗(yàn)證實(shí)現(xiàn)方式提供了契機(jī)，本文便在真實(shí)源地址驗(yàn)證體系的基礎(chǔ)上提出兩種面向SDN的源地址驗(yàn)證方法。
　　文章首先介紹了課題研究背

3、景和現(xiàn)狀，通過(guò)分析各種源地址驗(yàn)證技術(shù)，依據(jù)原理不同將其分為三類(lèi)，并闡述其原理和不足。得益于SDN帶來(lái)的網(wǎng)絡(luò)革新和可編程接口提供的開(kāi)發(fā)便利，改進(jìn)傳統(tǒng)MAC、IP綁定方法和域內(nèi)集中計(jì)算路徑過(guò)濾（Calculating PathForwarding，CPF）算法，利用可編程控制器對(duì)其進(jìn)行二次開(kāi)發(fā)，實(shí)現(xiàn)兩種面向SDN的源地址驗(yàn)證方案：方案一將主機(jī)源IP地址、MAC地址以及相連的交換機(jī)端口PORT綁定起來(lái)，生成形如的三元