本發(fā)明涉及通信。

背景技術(shù)：

在稱為軟件定義聯(lián)網(wǎng)（sdn）的聯(lián)網(wǎng)范例中，通過(guò)將數(shù)據(jù)轉(zhuǎn)發(fā)（數(shù)據(jù)平面）與上覆的控制決策（諸如路由和資源分配）解耦來(lái)抽象較低級(jí)功能。這通過(guò)一個(gè)或多個(gè)基于軟件的sdn控制器來(lái)實(shí)現(xiàn)，所述控制器允許底層網(wǎng)絡(luò)可經(jīng)由獨(dú)立于底層網(wǎng)絡(luò)硬件的sdn控制器而編程。通常在sdn網(wǎng)絡(luò)中，sdn控制器也與任何受控網(wǎng)絡(luò)交換機(jī)物理地分離，但不一定與其遠(yuǎn)程地定位。

技術(shù)實(shí)現(xiàn)要素：

根據(jù)一方面，提供了獨(dú)立權(quán)利要求的主題。實(shí)施例在從屬權(quán)利要求中限定。

附圖說(shuō)明

在下文中，將參考附圖通過(guò)優(yōu)選實(shí)施例更詳細(xì)地描述本發(fā)明，其中

圖1示出了根據(jù)示例性實(shí)施例的系統(tǒng)的簡(jiǎn)化架構(gòu)和一些裝置的框圖；

圖2是圖示示例性功能的流程圖；

圖3和圖4是圖示了示例性信息交換和功能；以及

圖5是示例性裝置的示意性框圖。

具體實(shí)施方式

以下實(shí)施例是示例性的。雖然說(shuō)明書可以在若干位置中引用“一”、“一個(gè)”或“一些”實(shí)施例，但這并不一定意味著每個(gè)這樣的引用是對(duì)相同的（多個(gè)）實(shí)施例，或者該特征僅適用于單個(gè)實(shí)施例。不同實(shí)施例的單個(gè)特征也可以被組合以提供其他實(shí)施例。

本發(fā)明適用于被配置為支持這樣的網(wǎng)絡(luò)/系統(tǒng)中的軟件定義聯(lián)網(wǎng)和實(shí)體/節(jié)點(diǎn)/裝置的任何網(wǎng)絡(luò)/系統(tǒng)。這樣的網(wǎng)絡(luò)/系統(tǒng)的示例包括基于lte（長(zhǎng)期演進(jìn)）接入系統(tǒng)的網(wǎng)絡(luò)、基于全球微波接入互操作性（wimax）的網(wǎng)絡(luò)、基于無(wú)線局域網(wǎng)（wlan）的網(wǎng)絡(luò)、基于lte高級(jí)（lte-a）的網(wǎng)絡(luò)和基于超lte-a的網(wǎng)絡(luò)（諸如4g（第四代）和5g（第五代））、使用網(wǎng)際協(xié)議的云網(wǎng)絡(luò)、網(wǎng)狀網(wǎng)絡(luò)和ad-hoc（自組織）網(wǎng)絡(luò)，諸如lte直接和移動(dòng)ad-hoc網(wǎng)絡(luò)（manet）。

軟件定義聯(lián)網(wǎng)架構(gòu)具有三層：包括不同網(wǎng)絡(luò)設(shè)備（比如交換機(jī)）的基礎(chǔ)設(shè)施層、包括網(wǎng)絡(luò)智能邏輯地集中到其的基于軟件的sdn控制器的控制層、以及用于不同應(yīng)用的應(yīng)用層。因此，網(wǎng)絡(luò)對(duì)于應(yīng)用看起來(lái)為單個(gè)邏輯交換機(jī)，可通過(guò)一個(gè)或多個(gè)應(yīng)用編程接口訪問(wèn)。網(wǎng)絡(luò)設(shè)備可以被簡(jiǎn)化，因?yàn)橛捎趤?lái)自sdn控制器的指令，它們不再需要理解和處理多個(gè)協(xié)議標(biāo)準(zhǔn)，所以足夠的是，網(wǎng)絡(luò)設(shè)備具有到sdn控制器的通信接口，并且被配置為使用被定義為在接口之上使用的通信協(xié)議。通信協(xié)議可以是例如適當(dāng)?shù)膮f(xié)議、或開放的標(biāo)準(zhǔn)協(xié)議。然而，不同系統(tǒng)、網(wǎng)絡(luò)和協(xié)議的規(guī)范發(fā)展迅速。這樣的發(fā)展可能需要對(duì)實(shí)施例的額外改變。因此，全部的詞語(yǔ)和表達(dá)應(yīng)當(dāng)被廣泛地解釋，并且它們旨在說(shuō)明而不是限制實(shí)施例。例如，未來(lái)的網(wǎng)絡(luò)將最有可能利用作為網(wǎng)絡(luò)架構(gòu)概念的網(wǎng)絡(luò)功能虛擬化（nfv），其提出將網(wǎng)絡(luò)節(jié)點(diǎn)功能虛擬化為“構(gòu)建塊”或者可以可操作地動(dòng)態(tài)實(shí)例化、連接或鏈接在一起以提供網(wǎng)絡(luò)服務(wù)的實(shí)體。

在圖1中圖示了示例性sdn系統(tǒng)100的非常通用的架構(gòu)。圖1是僅示出一些元件和功能實(shí)體的簡(jiǎn)化系統(tǒng)架構(gòu)，全部是其實(shí)現(xiàn)可能與所示出的內(nèi)容不同的邏輯單元。對(duì)于本領(lǐng)域技術(shù)人員顯而易見(jiàn)的是，該系統(tǒng)包括未圖示的其他功能和結(jié)構(gòu)，例如應(yīng)用層中的應(yīng)用。

示例性系統(tǒng)100包括控制層裝置110和業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120，諸如交換機(jī)、路由器或網(wǎng)橋或其他對(duì)應(yīng)的業(yè)務(wù)轉(zhuǎn)發(fā)實(shí)體。在實(shí)現(xiàn)中，存在用于包括數(shù)據(jù)和控制信息的傳入網(wǎng)絡(luò)業(yè)務(wù)的業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120中的一個(gè)物理連接（其可以被劃分為一個(gè)或多個(gè)不同的子連接/信道），并且業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120將控制業(yè)務(wù)轉(zhuǎn)發(fā)到控制層裝置110中的sdn控制器111。在另一個(gè)實(shí)現(xiàn)中，數(shù)據(jù)和控制平面業(yè)務(wù)不混合，而是存在用于到sdn控制器的傳入網(wǎng)絡(luò)控制信息的控制層裝置110中的一個(gè)物理連接和用于業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120中的傳入網(wǎng)絡(luò)數(shù)據(jù)業(yè)務(wù)的一個(gè)物理連接。

在所圖示的示例中，控制層裝置110包括sdn控制器111、惡意軟件檢測(cè)組件112、包括一個(gè)或多個(gè)策略的存儲(chǔ)器113、比較器單元114和安全控制單元115。此外，由于sdn控制器在該示例中處于警戒模式（狀態(tài)）中，所以其包括輔助sdn控制器111’，并且存儲(chǔ)器113包括流表的至少兩個(gè)副本：只讀副本和一個(gè)或多個(gè)可修改（讀和寫）副本。在只讀副本下面稱為流表的安全副本，并且它差不多是流表的主副本，并且作為一種輔助副本的可修改副本（可更新副本）稱為流表的臨時(shí)副本。通常但不是必需的，流表和對(duì)應(yīng)的副本是業(yè)務(wù)轉(zhuǎn)發(fā)層裝置特定的。本文，副本意味著與原件確切相同或與原件相似或與原件稍微不同的事物（即原件的版本）。換句話說(shuō)，如果原件中的一些信息不在副本中也沒(méi)關(guān)系，它仍然是副本。此外，預(yù)定義的策略（即，一個(gè)或多個(gè)策略規(guī)則）可以對(duì)于由sdn控制器111所控制的全部業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120是共同的，或者策略中的一個(gè)或多個(gè)或全部可以專用于業(yè)務(wù)轉(zhuǎn)發(fā)層裝置中的一個(gè)或一些。應(yīng)當(dāng)理解，雖然裝置被描繪為一個(gè)實(shí)體，但是不同的組件可以位于不同的物理實(shí)體中，并且它們可以被實(shí)現(xiàn)為軟件、硬件、固件或其任何組合。

sdn控制器是sdn網(wǎng)絡(luò)的核心。如上所述，它位于一端處的網(wǎng)絡(luò)設(shè)備（業(yè)務(wù)轉(zhuǎn)發(fā)層裝置）和另一端處的應(yīng)用之間，并且應(yīng)用和網(wǎng)絡(luò)設(shè)備之間的任何通信必須經(jīng)過(guò)sdn控制器。sdn控制器還使用諸如openflow、邊界網(wǎng)關(guān)協(xié)議和/或類似的路由和管理協(xié)議之類的一個(gè)或多個(gè)協(xié)議來(lái)配置網(wǎng)絡(luò)設(shè)備，并選擇用于應(yīng)用業(yè)務(wù)的最優(yōu)網(wǎng)絡(luò)路徑。換句話說(shuō)，sdn控制器管理流控制，并告知要向其發(fā)送數(shù)據(jù)包的網(wǎng)絡(luò)設(shè)備（業(yè)務(wù)轉(zhuǎn)發(fā)層裝置）。在所圖示的示例中，該信息通過(guò)維護(hù)在業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120中的一個(gè)或多個(gè)流表（在圖1中未圖示）提供。應(yīng)當(dāng)理解，代替表結(jié)構(gòu)，可以使用提供路由信息和/或資源分配信息的任何其他數(shù)據(jù)結(jié)構(gòu)。

由于sdn控制器111是sdn網(wǎng)絡(luò)中的關(guān)鍵組件，所以確保sdn控制器111即使當(dāng)由惡意軟件業(yè)務(wù)攻擊時(shí)也可以繼續(xù)運(yùn)行的機(jī)制通過(guò)模式單元111-1和過(guò)濾器單元111-2提供，所述模式單元111-1用于當(dāng)正常模式改變?yōu)榫淠Ｊ綍r(shí)創(chuàng)建流表的安全副本、流表的臨時(shí)副本以及一個(gè)或多個(gè)輔助sdn控制器并且用于當(dāng)警戒模式改變?yōu)檎ＤＪ綍r(shí)重置設(shè)置，所述過(guò)濾器單元111-2用于在警戒模式下分離惡意業(yè)務(wù)和非惡意業(yè)務(wù)。該機(jī)制確保sdn控制器在正常模式或警戒模式下運(yùn)行。通常但不一定，輔助sdn控制器總是從零開始創(chuàng)建。因此，沒(méi)有資源被不必要地保留給輔助控制器；只有當(dāng)需要輔助控制器時(shí)才接收和使用資源。然而，有可能使輔助sdn控制器總是準(zhǔn)備好被喚醒/啟動(dòng)。這樣的“熱待機(jī)”將減少網(wǎng)絡(luò)延遲：將不需要初始化輔助sdn控制器的時(shí)間；僅發(fā)送一個(gè)或多個(gè)流表是足夠的?！盁岽龣C(jī)”特征在安全關(guān)鍵的網(wǎng)絡(luò)/系統(tǒng)中、在其中低網(wǎng)絡(luò)延遲是關(guān)鍵的網(wǎng)絡(luò)/系統(tǒng)中、以及在高內(nèi)在負(fù)載下的網(wǎng)絡(luò)/系統(tǒng)中可以是有用的。取決于實(shí)現(xiàn)，輔助sdn控制器可以是通用類型的（一個(gè)輔助sdn控制器用于一個(gè)sdn控制器）或業(yè)務(wù)轉(zhuǎn)發(fā)層裝置特定的輔助sdn控制器（一個(gè)輔助sdn控制器用于一個(gè)業(yè)務(wù)轉(zhuǎn)發(fā)層裝置）、或其任何組合。

創(chuàng)建輔助sdn控制器111’以充當(dāng)蜜罐，即，它處理全部業(yè)務(wù)，就像它是在正常模式下運(yùn)行的sdn控制器111一樣，并且因此對(duì)于惡意業(yè)務(wù)的發(fā)起者看起來(lái)為sdn控制器。然而，輔助sdn控制器111’不被允許向業(yè)務(wù)轉(zhuǎn)發(fā)層裝置120中的流表進(jìn)行寫入。由于此，避免了攻擊影響網(wǎng)絡(luò)/系統(tǒng)的其余部分。

惡意軟件檢測(cè)組件112也是該機(jī)制的一部分。惡意軟件檢測(cè)組件112如何檢測(cè)惡意業(yè)務(wù)的功能并不重要，并且可以使用任何已知或未來(lái)的方法。惡意軟件檢測(cè)組件112也可以是網(wǎng)絡(luò)設(shè)備，即不在控制層中，并且因此不被包括在控制層裝置110中。又另一種替代方案是惡意軟件檢測(cè)組件112是控制層中的單獨(dú)設(shè)備。業(yè)務(wù)轉(zhuǎn)發(fā)層裝置可以被配置為將傳入的業(yè)務(wù)引導(dǎo)到惡意軟件檢測(cè)組件，或者傳入的業(yè)務(wù)可以經(jīng)由惡意軟件檢測(cè)組件到達(dá)業(yè)務(wù)轉(zhuǎn)發(fā)層裝置，或者到sdn控制器的控制平面業(yè)務(wù)可以經(jīng)由惡意軟件檢測(cè)組件而發(fā)送。

雖然在所圖示的示例中，控制層裝置110包括比較器單元114（比較單元）并且在存儲(chǔ)器113中包括一個(gè)或多個(gè)策略作為該機(jī)制的一部分，但是也可以在沒(méi)有它們的情況下實(shí)現(xiàn)該機(jī)制。以下利用圖4更詳細(xì)地描述比較器單元114的功能。

安全控制單元115也是該機(jī)制的一部分。安全控制單元115提供管理接口，經(jīng)由該管理接口可以接收諸如指令重置到正常模式的用戶輸入的管理命令。安全控制單元也可以管理其他安全相關(guān)的動(dòng)作。取決于實(shí)現(xiàn)，安全控制單元115可以是sdn控制器的一部分，其被配置為在受限制的操作系統(tǒng)環(huán)境中（即在沙箱中）運(yùn)行，使得安全控制單元功能與sdn控制器的功能分離，或者安全控制單元115可以位于單獨(dú)的節(jié)點(diǎn)/控制層裝置中。無(wú)論實(shí)現(xiàn)如何，當(dāng)sdn控制器被配置為只有在從/經(jīng)由安全控制中心接收到指令的情況下才從警戒模式返回到正常模式時(shí)，提供了抵抗攻擊的安全方式。

在下面的示例中，為了清楚起見(jiàn)，假設(shè)業(yè)務(wù)轉(zhuǎn)發(fā)層裝置是交換機(jī)，并且僅涉及具有一個(gè)流表的一個(gè)交換機(jī)，而不將示例限制為這樣的解決方案。如何針對(duì)其中若干交換機(jī)或?qū)?yīng)的網(wǎng)絡(luò)設(shè)備/業(yè)務(wù)轉(zhuǎn)發(fā)層裝置由sdn控制器控制和/或涉及多于一個(gè)流表和/或涉及多于一個(gè)輔助sdn控制器的情形實(shí)現(xiàn)這些示例對(duì)于本領(lǐng)域技術(shù)人員是顯而易見(jiàn)的。

圖2是圖示在其中不實(shí)現(xiàn)比較器單元的示例性實(shí)現(xiàn)中的sdn控制器的功能的流程圖。

參考圖2，在正常模式下，sdn控制器正常地處理（步驟201）sdn控制器所接收的控制業(yè)務(wù)，直到從惡意軟件檢測(cè)組件接收到檢測(cè)到惡意業(yè)務(wù)（步驟202）的信息。響應(yīng)于接收到該信息，sdn控制器的模式從正常改變?yōu)榫?。例如，指示業(yè)務(wù)是惡意的概率的值可以被附加到業(yè)務(wù)，并且如果用于概率的該值超過(guò)預(yù)設(shè)限制，則sdn控制器被配置為將該業(yè)務(wù)視為惡意的。其他示例包括使用明確地指示業(yè)務(wù)是否為惡意的一個(gè)或多個(gè)附加參數(shù)，或使用發(fā)源地址，例如用于確定業(yè)務(wù)是否為惡意的。

在警戒模式的開始時(shí)，sdn控制器執(zhí)行三個(gè)創(chuàng)建操作。sdn控制器通過(guò)從交換機(jī)獲得對(duì)應(yīng)的信息來(lái)在步驟203中創(chuàng)建交換機(jī)中的一個(gè)或多個(gè)流表的安全副本，并將一個(gè)或多個(gè)安全副本存儲(chǔ)到存儲(chǔ)器。流表的安全副本是就在檢測(cè)到的可能的攻擊之前的交換機(jī)中的當(dāng)前已知狀態(tài)的只讀副本。sdn控制器還在步驟204中創(chuàng)建從交換機(jī)獲得的一個(gè)或多個(gè)流表的臨時(shí)副本，并將一個(gè)或多個(gè)臨時(shí)副本存儲(chǔ)到存儲(chǔ)器。流表的臨時(shí)副本是可寫的副本，其使用在下面利用圖3和圖4進(jìn)行圖示。此外，sdn控制器在步驟205中創(chuàng)建充當(dāng)蜜罐的輔助sdn控制器。輔助sdn控制器的功能與正常模式下的sdn控制器的功能相似，除了輔助sdn控制器被配置為更新一個(gè)或多個(gè)臨時(shí)流表，并且因此不能更新交換機(jī)中的流表。應(yīng)當(dāng)理解，如果輔助控制器已經(jīng)退出，則足以啟動(dòng)它。

當(dāng)在警戒模式下接收到控制業(yè)務(wù)（步驟206）時(shí)，檢查控制業(yè)務(wù)是否為惡意的（步驟207）。惡意業(yè)務(wù)在步驟208中被發(fā)送到輔助sdn控制器，并且非惡意控制業(yè)務(wù)在步驟209中被正常地處理。應(yīng)當(dāng)理解，在另一個(gè)實(shí)現(xiàn)中，非惡意控制業(yè)務(wù)的副本也被發(fā)送到輔助sdn控制器；足夠的是，惡意控制業(yè)務(wù)被過(guò)濾使得其將不會(huì)被sdn控制器處理。

在已經(jīng)處理了控制業(yè)務(wù)之后（即，在步驟208或步驟209之后），或者如果沒(méi)有接收到控制業(yè)務(wù)，則在步驟210中檢查是否接收到重置到正常模式的指示。如果否，則處理返回到步驟206以監(jiān)視是否從交換機(jī)接收到控制業(yè)務(wù)。

可以從安全控制單元或作為用戶輸入經(jīng)由安全控制單元接收重置到正常模式的指示。通常但不是必需的，可以在惡意業(yè)務(wù)結(jié)束和/或惡意控制業(yè)務(wù)已經(jīng)被分析、記錄并且一個(gè)或多個(gè)臨時(shí)流表被處理之后從警戒模式進(jìn)入正常模式。自然，可以使用分析、日志和安全副本和臨時(shí)流表來(lái)構(gòu)造用于進(jìn)一步惡意業(yè)務(wù)分化和檢測(cè)的規(guī)則。

當(dāng)接收到重置到正常模式的指示時(shí)，在步驟211中執(zhí)行重置，在其之后處理進(jìn)行到步驟201，以正常地處理sdn控制器所接收的控制業(yè)務(wù)。在重置時(shí)，輔助sdn控制器被關(guān)閉/銷毀，并且蜜罐方案不再被使用。針對(duì)流表的重置可以以多種方式執(zhí)行。例如，如果（由個(gè)人或通過(guò)特定軟件或其任何組合）注意到一個(gè)或多個(gè)臨時(shí)表是健全的（sane），則它們被復(fù)制作為交換機(jī)中的對(duì)應(yīng)的一個(gè)或多個(gè)流表。另一個(gè)選項(xiàng)是將一個(gè)或多個(gè)安全副本復(fù)制回到交換機(jī)。又另一種替代方案是允許交換機(jī)繼續(xù)使用交換機(jī)中的一個(gè)或多個(gè)流表而不替換它們。又另一種替代方案是從交換機(jī)中的一個(gè)或多個(gè)流表、一個(gè)或多個(gè)安全副本和一個(gè)或多個(gè)臨時(shí)流表計(jì)算一個(gè)或多個(gè)健全的流表。

在包括比較器單元的實(shí)現(xiàn)中，在警戒模式下，非惡意控制業(yè)務(wù)幾乎如正常那樣被處理（步驟209），除了代替向交換機(jī)發(fā)送指令，而將指令發(fā)送到比較器單元。

圖3是圖示示例性信息交換的流程圖，其一部分可以在裝置內(nèi)是內(nèi)部的。圖3中所圖示的示例涉及不包括比較器單元的實(shí)現(xiàn)。此外，在該示例中，假設(shè)警戒模式下的全部控制業(yè)務(wù)被轉(zhuǎn)發(fā)到輔助sdn控制器，并且輔助sdn控制器始終存在，使得僅需要啟動(dòng)它。然而，如何在僅惡意控制業(yè)務(wù)被轉(zhuǎn)發(fā)到輔助sdn控制器和/或輔助sdn控制器需要被創(chuàng)建的情況下實(shí)現(xiàn)該示例對(duì)于本領(lǐng)域技術(shù)人員是顯而易見(jiàn)的。參考圖3，sdn控制器sdn-c處于正常模式，并且在消息3-1中接收非惡意控制業(yè)務(wù)，處理它并在消息3-2中將指令發(fā)送到交換機(jī)以更新其流表ft。交換機(jī)通過(guò)消息3-3更新流表ft。消息3-2可以是例如“更新表（x，r）”并且消息3-3“添加r”、“刪除r”或“修改r”。

然后sdn-c接收指示惡意控制業(yè)務(wù)的消息3-4，并在點(diǎn)3-5中從正常模式轉(zhuǎn)移到警戒模式。sdn-c通過(guò)消息3-6獲得/檢索交換機(jī)中的流表的副本。然后，sdn-c在點(diǎn)3-7中使用所獲得的副本來(lái)創(chuàng)建流表的安全副本s-ft，并且使用所獲得的副本來(lái)創(chuàng)建臨時(shí)流表t-ft。然后，流表的內(nèi)容在消息3-8和3-9中對(duì)應(yīng)地轉(zhuǎn)移成為安全副本和臨時(shí)流表的內(nèi)容。消息3-8和3-9可以是“獲取當(dāng)前表”。在另一示例中，消息3-6可以是“獲取當(dāng)前表”，并且消息3-8和3-9可以是“更新表”。此外，輔助sdn控制器s-sdn-c通過(guò)消息3-11啟動(dòng)。消息3-11可以是“啟動(dòng)”或“產(chǎn)生（spawn）”。在其中創(chuàng)建s-sdn-c的示例中，可能需要附加消息來(lái)創(chuàng)建和啟動(dòng)s-sdn-c。

然后，sdn-c在消息3-12中接收控制業(yè)務(wù)，并在消息3-12’中將其副本發(fā)送到s-sdn-c。s-sdn-c處理控制業(yè)務(wù)，就像它是在正常模式下的sdn-c一樣，并通過(guò)消息3-13更新臨時(shí)流表以對(duì)應(yīng)結(jié)果。此外，由于s-sdn-c充當(dāng)蜜罐，所以其向交換機(jī)發(fā)送消息3-14，使得交換機(jī)接收到針對(duì)控制業(yè)務(wù)的正?；貜?fù)。由于此，惡意控制業(yè)務(wù)的發(fā)送者不應(yīng)該會(huì)檢測(cè)到處理控制業(yè)務(wù)的sdn控制器已經(jīng)改變。針對(duì)控制業(yè)務(wù)的正常回復(fù)即消息3-14中的（多個(gè)）處理結(jié)果可以包括例如路由信息和/或資源分配。

除了發(fā)送消息3-12的副本之外，sdn-c在點(diǎn)3-15中從所接收的控制業(yè)務(wù)過(guò)濾惡意業(yè)務(wù)，使得移除/過(guò)濾掉被指示為惡意的數(shù)據(jù)包，如在正常模式下那樣處理非惡意業(yè)務(wù)，并在消息3-16中向交換機(jī)發(fā)送針對(duì)控制業(yè)務(wù)的正常回復(fù)，使得交換機(jī)例如可以更新其流表。針對(duì)控制業(yè)務(wù)的正?；貜?fù)即消息3-16中的（多個(gè)）處理結(jié)果可以包括例如路由信息和/或資源分配。

圖4是圖示示例性信息交換的流程圖，其一部分可以在裝置內(nèi)是內(nèi)部的。圖4中所圖示的示例涉及包括比較器單元的實(shí)現(xiàn)，該比較器單元利用定義可接受流表配置的范圍的一個(gè)或多個(gè)預(yù)定義策略。一個(gè)或多個(gè)預(yù)定義策略的其他示例包括用于控制業(yè)務(wù)是惡意的概率的閾值，例如源——具體地，以及對(duì)流表的源的要求。在所圖示的示例中，假設(shè)sdn控制器sdn-c已經(jīng)處于警戒模式，并且全部控制業(yè)務(wù)被轉(zhuǎn)發(fā)到輔助sdn控制器。如何在僅惡意控制業(yè)務(wù)被轉(zhuǎn)發(fā)到輔助sdn控制器的情況下實(shí)現(xiàn)該示例對(duì)于本領(lǐng)域技術(shù)人員是顯而易見(jiàn)的。

參考圖4，sdn-c在消息4-1中接收控制業(yè)務(wù)，并在消息4-1’中將其副本發(fā)送到輔助sdn控制器s-sdn-c。s-sdn-c處理控制業(yè)務(wù)，就像它是sdn-c一樣，并將消息4-2發(fā)送到比較器，消息4-2包含關(guān)于處理的結(jié)果的信息，結(jié)果包括對(duì)臨時(shí)流表的更新。消息4-2中的（多個(gè)）處理結(jié)果可以包括例如路由信息和/或資源分配。

除了發(fā)送消息4-1的副本之外，sdn-c在點(diǎn)4-3中從所接收的控制業(yè)務(wù)過(guò)濾惡意業(yè)務(wù)，如在正常模式下那樣處理非惡意業(yè)務(wù)，并在消息4-4中向比較器發(fā)送關(guān)于處理的結(jié)果的信息，結(jié)果是針對(duì)控制業(yè)務(wù)的正常回復(fù)，包括對(duì)在交換機(jī)中維護(hù)的流表的更新。消息4-4中的（多個(gè)）處理結(jié)果可以包括例如路由信息和/或資源分配。

比較器獲得（消息4-5）在計(jì)算中需要的一個(gè)或多個(gè)預(yù)定義策略。比較器在點(diǎn)4-6中計(jì)算更新之間的差異，諸如流表增量（差異），和更新表命令，以及對(duì)當(dāng)前臨時(shí)流表狀態(tài)的其他影響。其他影響的示例包括路由更新來(lái)自已知的“垃圾郵件發(fā)送者”，其具有在已知垃圾郵件范圍內(nèi)的地址。這樣的垃圾郵件發(fā)送者可能是黑名單上的服務(wù)器。在所圖示的示例中，假設(shè)比較器發(fā)現(xiàn)所計(jì)算的差異滿足策略中列明的要求，并向交換機(jī)發(fā)送消息4-7，使得交換機(jī)接收到針對(duì)控制業(yè)務(wù)的正?；貜?fù)，并且可以例如更新流表。針對(duì)控制業(yè)務(wù)的正?；貜?fù)即消息4-7中的（多個(gè)）比較結(jié)果可以包括例如路由信息和/或資源分配。

一個(gè)或多個(gè)策略的示例包括以下兩個(gè)規(guī)則，而不將解決方案限制為這樣的規(guī)則：

其中，

c1表示sdn-c；

c2表示s-sdn-c；

f表示流表結(jié)構(gòu)，其可以由一個(gè)或多個(gè)流表組成；

表示所計(jì)算的更新表之間的比較；以及

是在其中有效流表結(jié)構(gòu)是可獲得的兩個(gè)比較表之間的最大差異，即在流表的差異之上的度量。

應(yīng)當(dāng)理解，可以使用產(chǎn)生在差異之上的某種度量的任何規(guī)則和任何比較，諸如ip地址的比較。此外，當(dāng)確定差異時(shí)，可以使用任何度量或限制。

如果比較器發(fā)現(xiàn)所計(jì)算的差異不滿足策略中列明的要求，例如差值大于所允許的最大差異，則比較器可以被配置為發(fā)出一個(gè)或多個(gè)警告和/或錯(cuò)誤和/或關(guān)鍵系統(tǒng)故障等，或什么都不做。該配置可以是預(yù)設(shè)配置、或在一個(gè)或多個(gè)策略（策略規(guī)則）中定義、或其任何組合。

應(yīng)當(dāng)理解，除了流表的安全副本和臨時(shí)流表之外，可以創(chuàng)建流表的任何數(shù)量的副本，并且也可以在任何階段處創(chuàng)建臨時(shí)流表的任何數(shù)量的副本。

如從上文明顯的，容錯(cuò)軟件定義聯(lián)網(wǎng)控制器通過(guò)警戒模式功能和以蜜罐方式使用輔助軟件定義聯(lián)網(wǎng)控制器來(lái)提供。

上文在圖2、3和4中描述的步驟/點(diǎn)、消息（即信息交換）和相關(guān)功能不按絕對(duì)時(shí)間次序，并且一些步驟/點(diǎn)和/或信息交換可以同時(shí)地執(zhí)行或按與給定次序不同的次序執(zhí)行。其他功能也可以在步驟/點(diǎn)之間或步驟/點(diǎn)內(nèi)執(zhí)行，并且發(fā)送其他消息。例如，在警戒模式下，sdn控制器可以向安全控制單元、或者經(jīng)由它向管理sdn控制器的實(shí)體發(fā)送通知。步驟/點(diǎn)/消息中的一些或步驟/點(diǎn)/消息的一部分也可以被忽視或由對(duì)應(yīng)的步驟/點(diǎn)/消息或步驟/點(diǎn)/消息的一部分替換。

本文描述的技術(shù)可以通過(guò)各種部件來(lái)實(shí)現(xiàn)，使得實(shí)現(xiàn)利用實(shí)施例/示例/實(shí)現(xiàn)所描述的對(duì)應(yīng)控制層裝置/網(wǎng)絡(luò)節(jié)點(diǎn)的一個(gè)或多個(gè)功能的裝置/網(wǎng)絡(luò)節(jié)點(diǎn)不僅包括現(xiàn)有技術(shù)部件，而且包括用于實(shí)現(xiàn)利用實(shí)施例所描述的對(duì)應(yīng)控制層裝置的一個(gè)或多個(gè)功能的部件，并且其可以包括用于每個(gè)單獨(dú)功能的單獨(dú)部件，或者部件可以被配置為執(zhí)行兩個(gè)或更多個(gè)功能。例如，sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元和/或算法可以是軟件和/或軟件-硬件和/或硬件和/或固件組件（不可消除地記錄在諸如只讀存儲(chǔ)器的介質(zhì)上或體現(xiàn)在硬連線的計(jì)算機(jī)電路中）或其組合。軟件代碼可以存儲(chǔ)在任何合適的處理器/計(jì)算機(jī)可讀的（多個(gè)）數(shù)據(jù)存儲(chǔ)介質(zhì)或（多個(gè)）存儲(chǔ)器單元或（多個(gè)）制品中，并由一個(gè)或多個(gè)處理器/計(jì)算機(jī)、硬件（一個(gè)或多個(gè)裝置）、固件（一個(gè)或多個(gè)裝置）、軟件（一個(gè)或多個(gè)模塊）或其組合執(zhí)行。對(duì)于固件或軟件，實(shí)現(xiàn)可以是通過(guò)執(zhí)行本文描述的功能的模塊（例如，過(guò)程、功能等）。

圖5是圖示被配置為是控制層裝置的裝置500的一些單元的簡(jiǎn)化框圖，所述裝置至少包括sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元或?qū)?yīng)的功能或?qū)?yīng)的功能中的一些，如果實(shí)現(xiàn)混合或分布式場(chǎng)景而不是集中式實(shí)現(xiàn)的話。在所圖示的示例中，該裝置包括用于接收和發(fā)送信息的接口（if）501、配置為至少利用對(duì)應(yīng)的算法503實(shí)現(xiàn)本文描述的sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元或作為子單元功能的對(duì)應(yīng)功能中的至少一部分的處理器502、以及可用于存儲(chǔ)對(duì)于sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元或?qū)?yīng)的單元或子單元所需的計(jì)算機(jī)程序代碼即用于實(shí)現(xiàn)功能的算法的存儲(chǔ)器504。存儲(chǔ)器704也可用于存儲(chǔ)其他可能的信息，比如安全副本和/或臨時(shí)流表。

換句話說(shuō)，被配置為提供控制層裝置的裝置或被配置為提供一個(gè)或多個(gè)對(duì)應(yīng)功能的裝置是計(jì)算設(shè)備，其可以是被配置為執(zhí)行利用實(shí)施例/示例/實(shí)現(xiàn)所描述的對(duì)應(yīng)裝置功能中的一個(gè)或多個(gè)的任何裝置或設(shè)備或裝備或節(jié)點(diǎn)，并且其可以被配置為執(zhí)行來(lái)自不同實(shí)施例/示例/實(shí)現(xiàn)的功能。上文利用控制層裝置所描述的sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元以及對(duì)應(yīng)單元和子單元和其他單元可以是分離的單元，甚至位于另一物理裝置中，分布式物理裝置形成提供功能的一個(gè)邏輯裝置，或者集成到同一裝置中的另一單元。

配置為提供控制層裝置的裝置或配置為提供一個(gè)或多個(gè)對(duì)應(yīng)功能的裝置通常可以包括連接到存儲(chǔ)器和裝置的各種接口的處理器、控制器、控制單元、微控制器等。通常，處理器是中央處理單元，但處理器可以是附加操作處理器。本文描述的單元/子單元和/或算法中的每個(gè)或一些或一個(gè)可以被配置為計(jì)算機(jī)或處理器，或諸如單片計(jì)算機(jī)元件的微處理器，或者作為芯片組，其至少包括用于提供被用于算術(shù)運(yùn)算的存儲(chǔ)區(qū)域的存儲(chǔ)器和用于執(zhí)行算術(shù)運(yùn)算的運(yùn)算處理器。上述的單元/子單元和/或算法中的每個(gè)或一些或一個(gè)可以包括一個(gè)或多個(gè)計(jì)算機(jī)處理器、專用集成電路（asic）、數(shù)字信號(hào)處理器（dsp）、數(shù)字信號(hào)處理設(shè)備（dspd）、可編程邏輯器件（pld）、現(xiàn)場(chǎng)可編程門陣列（fpga）和/或其他硬件組件，其已經(jīng)被編程和/或?qū)⑼ㄟ^(guò)下載計(jì)算機(jī)程序代碼（一個(gè)或多個(gè)算法）以執(zhí)行一個(gè)或多個(gè)實(shí)施例/實(shí)現(xiàn)/示例的一個(gè)或多個(gè)功能的這樣的方式被編程。實(shí)施例提供了體現(xiàn)在任何客戶端可讀分布/數(shù)據(jù)存儲(chǔ)介質(zhì)或（多個(gè)）存儲(chǔ)器單元或（多個(gè)）制品上的計(jì)算機(jī)程序，其包括可由一個(gè)或多個(gè)處理器/計(jì)算機(jī)執(zhí)行的程序指令，所述指令當(dāng)被加載到裝置中時(shí)構(gòu)成sdn控制器和/或模式單元和/或過(guò)濾器單元和/或輔助sdn控制器和/或比較器單元。也稱為程序產(chǎn)品的、包括軟件例程、構(gòu)成“程序庫(kù)”的程序片段、小應(yīng)用程序和宏的程序可以存儲(chǔ)在任何介質(zhì)中，并可以被下載到裝置中。換句話說(shuō)，上述的單元/子單元和/或算法中的每個(gè)或一些或一個(gè)可以是包括一個(gè)或多個(gè)算術(shù)邏輯單元、許多特殊寄存器和控制電路的元件。

此外，被配置為提供控制層裝置的裝置或被配置為提供一個(gè)或多個(gè)對(duì)應(yīng)功能的裝置通常可以包括易失性和/或非易失性存儲(chǔ)器，例如eeprom、rom、prom、ram、dram、sram、雙浮柵場(chǎng)效應(yīng)晶體管、固件、可編程邏輯等，并且通常存儲(chǔ)內(nèi)容、數(shù)據(jù)等。存儲(chǔ)器或多個(gè)存儲(chǔ)器可以屬于任何類型（彼此不同），具有任何可能的存儲(chǔ)結(jié)構(gòu)，并且如果需要?jiǎng)t由任何數(shù)據(jù)庫(kù)管理系統(tǒng)所管理。換句話說(shuō)，存儲(chǔ)器可以是在處理器內(nèi)或在處理器外部（在這種情況下，其可以經(jīng)由各種部件通信地耦合到處理器）的任何計(jì)算機(jī)可用非暫時(shí)性介質(zhì)。存儲(chǔ)器還可以存儲(chǔ)計(jì)算機(jī)程序代碼，諸如軟件應(yīng)用（例如，用于一個(gè)或多個(gè)單元/子單元/算法）或操作系統(tǒng)、信息、數(shù)據(jù)、內(nèi)容等，以用于使處理器執(zhí)行與根據(jù)示例/實(shí)施例的裝置的操作相關(guān)聯(lián)的步驟。存儲(chǔ)器或其一部分可以是例如隨機(jī)存取存儲(chǔ)器、硬盤驅(qū)動(dòng)器或在裝置內(nèi)或在裝置外部（在這種情況下，其可以經(jīng)由各種部件通信地耦合到裝置，如本領(lǐng)域中已知的）實(shí)現(xiàn)的其他固定數(shù)據(jù)存儲(chǔ)器或存儲(chǔ)設(shè)備。外部存儲(chǔ)器的示例包括可拆卸地連接到裝置的可移除存儲(chǔ)器、分布式數(shù)據(jù)庫(kù)和云服務(wù)器。

被配置為提供控制層裝置的裝置或被配置為提供一個(gè)或多個(gè)對(duì)應(yīng)功能的裝置通?？梢园ú煌慕涌趩卧?，諸如一個(gè)或多個(gè)接收單元和一個(gè)或多個(gè)發(fā)送/傳送單元。接收單元和發(fā)送單元均在裝置中提供接口，該接口包括發(fā)送器和/或接收器或用于接收和/或發(fā)送信息的任何其他部件，并執(zhí)行必要的功能，使得信息等可以被接收和/或發(fā)送。

此外，裝置可以包括其他單元。

對(duì)于本領(lǐng)域技術(shù)人員將顯而易見(jiàn)的是，隨著技術(shù)進(jìn)步，本發(fā)明概念可以以各種方式實(shí)現(xiàn)。本發(fā)明及其實(shí)施例不限于上述的示例，而是可以在權(quán)利要求的范圍內(nèi)變化。