简单的sdn防火墙

github仓库

 演示视频

本次实验建立的拓扑

使用到的 pox 指令介绍,参考pox控制器学习笔记

1. forwarding.l2_learning

使OpenFlow交换机充当L2学习交换机的一种。当此组件学习L2地址时，它安装的流在尽可能多的字段上都是完全匹配的。

2. openflow.discovery

该组件在交换机之间使用特制的LLDP报文来发现整个网络的拓扑结构。当链路生效或者失效时，该组件都会产生一个事件（Raise Events）。

3. openflow.spanning_tree

该组件使用discovery组件来创建网络拓扑的视图，构造一棵生成树，然后使不在生成树中的交换机端口的洪泛功能失效，使得网络中不存在洪泛回路。

两个选项：

(1) --no-flood，只要交换机连接上了就使该交换机的所有端口洪泛失效，对于某些端口，稍后将使能。

(2) --hold-down，防止洪泛控制在一个完整的发现回路完成前被改变

因此该组件最安全的的使用方法是

openflow.spanning_tree --no-flood --hold-down

使用到的 mininet 指令介绍,参考Mininet常用命令参数介绍

1. mn --custom file.py --topo mytopo

依照 file.py 内的方式创建拓扑,可以参考mininet入门（二）

2. --mac

使用这个参数可以让MAC地址从小到达排列，使得复杂的网络更清晰，容易辨识各个组件的MAC地址。不使用这个参数的话，复杂的网络容易混乱。

3. --controller

一般我们不用mininet自带的控制器，而是自己制定一个远程控制器，代码如下：

mn --controller = remote,

      --ip = [控制器的IP地址]

      --port = [控制器的端口号]

如果--ip和--port省略的话，则默认使用本地ip地址，端口默认使用6653或6633端口号。

构建思路

Mininet是由斯坦福大学基于Linux Container架构开发的一个进程虚拟化网络仿真工具，可以创建一个包含主机，交换机，控制器和链路的虚拟网络，其交换机支持OpenFlow，具备高度灵活的自定义软件定义网络。

我们可以通过topology.py在虚拟机上使用Mininet构建一个虚拟的小型网络，该网络包含6个交换机，每个交换机都连接着一台主机。尽管Mininet本身可以创建一个主控制器来控制交换机，但我在Loopback接口的tcp6633端口处使用了远程控制器（POX），使其具有学习交换机和防火墙等附加功能。

firewallpolicies.csv提供所要阻止的ip地址并由firewall.py识别，firewall.py将指示控制器在交换机的流表中添加特定的条目，来自这些被阻止的ip地址的数据包将交由交换机独立处理。

L2学习算法将与POX控制器一起运行，控制器强制将所有交换机转换成具有学习功能的二层交换机（L2 switch）。当一个新的数据包到达交换机时，交换机根据openflow协议进行操作，在openflow协议中，它需要将数据包发送到控制器，因为交换机不知该如何操作，所以此时控制器会“告诉”交换机该如何操作，交换机会“学习”源地址及其相应的操作，并在交换机的流表中添加特定的流项。

在POX控制器上（特别是在此网络中）还需要运行openflow协议的Spanning_tree模块，以便大量的交换机能够有效地管理数据包流而不会出现任何循环和错误。

如果我们不将生成树算法与openflow的发现和生成树模块一起使用，则POX控制器将变得不受管理，并引发以下错误：

WARNING:openflow.of_01:<class 'pox.openflow.PacketIn'> raised on dummy OpenFlow nexus.

在2或3台交换机（线性连接）的网络中不会出现此问题。但是，该网络更像是一个网状网络，其中大多数主机都具有与其他主机的直接和多个间接连接。 openflow的spanning_tree组件使用openflow的发现组件来构建网络拓扑的视图，构造一个生成树，然后在不在树上的交换机端口上禁用洪泛。 Spanning_tree组件使用以下选项来修改交换机的行为：--no-flood选项在交换机连接后立即禁用所有端口上的洪泛。 --hold-down选项可防止更改洪水控制，直到完成一个完整的发现周期，因此，所有链接都有机会被发现。 openflow.discovery组件将LLDP消息从openflow交换机发送出去，以便它可以发现网络拓扑。

由于此项目的主要功能是在POX控制器上添加防火墙，因此firewall.py需要与POX控制器一起启动，该算法根据firewallpolicies.csv表工作。当交换机收到从ip_0地址发来的包时，会将其发送到POX，经防火墙模块处理后，将“丢弃”流条目下推到交换机以阻止数据包。因此，交换机将阻止来自该源的任何其他数据包。其他来源的数据包将被简单地转发，POX控制器会在交换机的流表中添加相应的流条目，以便任何其他数据包仅由交换机管理，而无需将数据包发送到控制器，因此符合软件定义网络的原则。

拦截规则

规则未启用

规则启用后