公开(公告)号：CN110381025A

公开(公告)日：2019-10-25

申请号：CN201910516727.8

申请日：2019-06-14

Applicant: 浙江大学

Inventor： 宋姝雨 ,  李荣鹏 ,  赵志峰 ,  张宏纲

IPC: H04L29/06

Abstract: 本发明公开了一种软件定义防火墙系统的实现方法，属于计算机网络技术领域，该方法是OpenFlow交换机与SDN控制器建立连接，接收table-miss流表项和初始流表项；OpenFlow交换机将数据包发送到SDN控制器；SDN控制器中的状态检测过滤模块结合防火墙规则和数据包的状态对TCP数据包进行状态检测过滤，并维护一张状态连接表；SDN控制器中的包过滤模块根据防火墙规则对无状态IP协议数据包进行包过滤，并下发流表项到OpenFlow交换机以指导后续数据包处理。该方法能够针对不同协议类型的数据包分别进行无状态的包过滤和有状态的状态检测过滤，实现了状态防火墙功能，并且包过滤通过下发流表项减少SDN控制器的运算量，此外该方法在实现状态检测过滤时不需要修改OpenFlow协议，具有更高的通用性。

公开(公告)号：CN110381025B

公开(公告)日：2020-08-04

申请号：CN201910516727.8

申请日：2019-06-14

Applicant: 浙江大学

Inventor： 宋姝雨 ,  李荣鹏 ,  赵志峰 ,  张宏纲

IPC: H04L29/06

Abstract: 本发明公开了一种软件定义防火墙系统的实现方法，属于计算机网络技术领域，该方法是OpenFlow交换机与SDN控制器建立连接，接收table‑miss流表项和初始流表项；OpenFlow交换机将数据包发送到SDN控制器；SDN控制器中的状态检测过滤模块结合防火墙规则和数据包的状态对TCP数据包进行状态检测过滤，并维护一张状态连接表；SDN控制器中的包过滤模块根据防火墙规则对无状态IP协议数据包进行包过滤，并下发流表项到OpenFlow交换机以指导后续数据包处理。该方法能够针对不同协议类型的数据包分别进行无状态的包过滤和有状态的状态检测过滤，实现了状态防火墙功能，并且包过滤通过下发流表项减少SDN控制器的运算量，此外该方法在实现状态检测过滤时不需要修改OpenFlow协议，具有更高的通用性。