一种软件定义网络系统中网络设备的管理方法和控制器

摘要

本发明公开了一种软件定义网络系统中网络设备的管理方法和控制器，涉及通信领域，在SDN场景下基于网络设备的物理特性提高网络设备的使用性能。其方法为：该软件定义网络系统包括控制器和网络设备，控制器用于管理网络设备通信，通过控制器接收网络设备上报的信息，信息包括网络设备的硬件信息及属性信息；其中，属性信息用于表明网络设备是否可以被控制器定义，当网络设备可以被控制器定义时，控制器根据硬件信息定义网络设备的数据控制功能，并向网络设备下发定义指令，使网络设备根据定义指令设定数据控制功能。

说明书

技术领域

本发明涉及通信领域，尤其涉及一种软件定义网络系统中网络设 备的管理方法和控制器。

背景技术

软件定义网络（software defined network，SDN）为一种新型网 络创新架构，其核心技术通过使用控制器将网络控制平面与数据平面 分离开来，从而实现了网络流量的灵活控制，为核心网络及应用的创 新提供了良好的平台。

对于SDN中的组件控制器来说，控制器与数据平面的网络设备 的同步和异步通信是SDN的核心。但是在SDN下，因为定义发生网 络设备的变化，数据平面和控制平面的解耦可以实现逻辑功能与物理 的网络设备的无关性，这样，基于网络设备的物理特性的应用由于 SDN逻辑功能与物理功能的无关这一特性影响SDN场景下网络设备 的使用。

发明内容

本发明的实施例提供一种软件定义网络系统中网络设备的管理 方法和控制器。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种软件定义网络系统中网络设备的管理方法， 所述软件定义网络系统包括控制器和所述网络设备，所述控制器用于 管理所述网络设备通信，所述方法包括：

所述控制器接收所述网络设备上报的信息，所述信息包括所述网 络设备的硬件信息及属性信息；其中，所述属性信息用于表明所述网 络设备是否可以被所述控制器定义；

当所述网络设备可以被所述控制器定义时，所述控制器根据所述 硬件信息定义所述网络设备的数据控制功能，并向所述网络设备下发 定义指令，使所述网络设备根据所述定义指令设定所述数据控制功 能。

结合第一方面，在第一种可能实现的方式中，所述方法还包括：

当所述网络设备可以被所述控制器定义时，所述控制器向所述网 络设备下发控制指令，使所述网络设备执行所述控制指令。

结合第一方面，在第二种可能实现的方式中，当所述网络设备不 可以被所述控制器定义时，所述控制还用于接收所述网络设备发送的 业务数据信息。

结合第一方面的第一种可能实现的方式或第二种可能实现的方 式，在第三种可能实现的方式中，所述控制器与所述网络设备通信的 方式为异步方式。

第二方面，提供一种控制器，应用于软件定义网络系统中，所述 软件定义网络系统包括所述控制器和网络设备，所述控制器用于管理 所述网络设备通信，所述控制器包括：

接收单元，用于接收所述网络设备上报的信息，所述信息包括所 述网络设备的硬件信息及属性信息；其中，所述属性信息用于表明所 述网络设备是否可以被所述控制器定义；

处理单元，用于当所述网络设备可以被所述控制器定义时，根据 所述硬件信息定义所述网络设备的数据控制功能；

发送单元，用于向所述网络设备下发定义指令，使所述网络设备 根据所述定义指令设定所述数据控制功能。

结合第二方面，在第一种可能实现的方式中，所述发送单元，还 用于当所述网络设备可以被所述控制器定义时，向所述网络设备下发 控制指令，使所述网络设备执行所述控制指令。

结合第二方面，在第二种可能实现的方式中，所述接收单元，还 用于当所述网络设备不可以被所述控制器定义时，接收所述网络设备 发送的业务数据信息。

结合第二方面的第一种可能实现的方式或第二种可能实现的方 式，在第三种可能实现的方式中，所述控制器与所述网络设备通信的 方式为异步方式。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法和控制器，该软件定义网络系统包括控制器和网络设备，控制器用 于管理网络设备通信，通过控制器接收网络设备上报的信息，信息包 括网络设备的硬件信息及属性信息；其中，属性信息用于表明网络设 备是否可以被控制器定义，当网络设备可以被控制器定义时，控制器 根据硬件信息定义网络设备的数据控制功能，并向网络设备下发定义 指令，使网络设备根据定义指令设定数据控制功能，在SDN场景下 基于网络设备的物理特性提高网络设备的使用性能。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述 中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅 是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性 劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种软件定义网络系统中网络设备 的管理方法流程示意图；

图2为本发明实施例提供的一种软件定义网络系统中网络设备 的管理方法流程示意图；

图3为本发明实施例提供的一种软件定义网络系统中网络设备 的管理方法流程示意图；

图4为本发明实施例提供的一种控制器结构示意图；

图5为本发明实施例提供的一种控制器结构示意图；

图6为本发明实施例提供的一种通信系统结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进 行清楚地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不 是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做 出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范 围。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，软件定义网络系统包括控制器和网络设备，控制器用于管理网络 设备通信，如图1所示，包括：

101、控制器接收网络设备上报的信息，信息包括网络设备的硬 件信息及属性信息；其中，属性信息用于表明网络设备是否可以被控 制器定义。

其中，SDN是一种新型网络创新架构，其核心技术通过使用控 制器将网络控制平面与数据平面分离开来，从而实现了网络流量的灵 活控制。SDN控制器为网络架构的核心组件，能够接收来自为全网 的安全体系提供基础性服务功能的网络设备的数据信息，与网络设备 进行数据通信等功能。这里的网络设备可以为交换机、服务器、防 火墙等。

针对SDN场景下网络设备的应用特性，可以将SDN场景下的网 络设备分为两类，可定义的网络设备和不可定义的网络设备。为了对 可定义网络设备和不可定义网络设备进行区分，当控制器接收到网络 设备的属性信息时，控制器根据属性信息判断网络设备的类型。

当网络设备为基于硬件才能实现的部件，如与硬件相关的SDN 安全部件时，例如加密机必须借助硬件得以实现，需要在有加密芯片 的网络设备上执行高效的加密能力，再比如某些虚拟机必须在可信的 拥有可信平台模块（trusted platform module，TPM）芯片的主机上运 行，否则虚拟机将失去安全保护的能力。这样，需要将这些安全部件 随需进行定义，但是需要将这些与硬件相关的安全部件定义为特定的 部件，而不随便进行定义。网络设备将硬件信息和属性信息上报给 SDN控制器，以便于SDN控制器根据该硬件信息确定网络设备的设 备类型，和根据属性信息确定该网络设备是否可以被控制器定义。其 中一种具体实现方式，该使用一个驻留在网络设备操作系统 （windows/linux）上的一个可执行程序HAgent。在HAgent程序中， 设定一个向上接口，用于HAgent将网络设备的数据信息可以按照 OpenFlow协议的异步（asynchronous）数据结构传递给SDN控制器， 当然，控制器与网络设备之间也可以采用同步方式进行通信。这里的 数据通信不限定于OpenFlow协议，也可以为其它协议的通信。

对于可定义的网络设备来说，例如防火墙、入侵检测系统 （intrusion detection system，IDS）以及反病毒（anti-virus，AV）等 主要由软件来执行的网络设备。也就是说，硬件无关的网络设备可以 进行软件定义，其所在的网络设备能够接收SDN控制器数据平面和 控制平面的信息。

对于不能进行软件定义的网络设备来说，例如，证书授权中心 （certificate authority，CA）、审计系统、代码升级与管理等。通过 在网络设备上分别部署一套RAgent程序，用以表示这些网络设备不 能进行软件定义。这样，不能进行软件定义的网络设备就被独立出来， 置于了一个单独的区域，相当于一个SDN“隔离区”，将这些网络 设备在SDN的定义之外，SDN控制器不能对这些网络设备进行定义。 其中，RAgent是一个驻留在网络设备操作系统（windows/linux）上 的一个可执行程序。

102、当网络设备可以被控制器定义时，控制器根据硬件信息定 义网络设备的数据控制功能，并向网络设备下发定义指令，使网络设 备根据定义指令设定数据控制功能。

举例来说，当控制器根据网络设备上报的属性信息识别出网络设 备可以被控制器定义时，控制器和网络设备中的HAgent进行通信时， 控制器将HAgent传输过来的硬件信息进行统一汇总和可视化呈现， 并根据硬件信息确定网络设备的数据控制功能，并向网络设备下发定 义指令，使网络设备根据定义指令设定数据控制功能。

举例来说，网络设备的硬件信息中涉及到TPM硬件，控制器就 可以将该网络设备定义为安全服务器、可信云主机等，并向该网络设 备下发定义指令，网络设备在接收到定义指令后，就知道自身设备应 该具有安全服务器或可信云主机的数据控制功能。

此外，当控制器根据网络设备上报的属性信息识别出网络设备可 以被控制器定义时，就可以向网络设备下发控制指令，即向网络设备 下发控制平面的信息，使网络设备可以根据控制指令执行与控制指令 对应的功能。从可以被定义的网络设备的角度来说，就可以既接收控 制平面的信息，也可以接收数据平面的信息。

其中，对于可定义的安全网络设备来说，又可以分为与硬件相关 的安全网络设备和与硬件无关的安全网络设备。对于与硬件相关的安 全网络设备，例如加密机、虚拟机等，控制器只能将其定义为特定的 网络设备，即不能随便进行定义，但是其控制平面和数据平面仍然可 以分离，但是与SDN控制器的信息交互仍然处于SDN逻辑架构内， 只是物理的安全设备网络不能复用。相应的，这些物理的安全网络设 备参数要保持不变，以保障安全网络设备的正确定位和功能实现。其 中，参数可以包括IP（internet protocol）地址，介质访问控制（media  access control，MAC），虚拟局域网（virtual local area network，VLAN） 和子网等。而与硬件无关的安全网络设备，例如防火墙等主要由软件 来执行的安全网络设备，即可以接收控制器下发的控制指令而对其进 行定义。

举例来说，当控制器根据网络设备上报的属性信息识别出网络设 备不可以被控制器定义时，也即对于SDN“隔离区”的网络设备来 说，部署的RAgent可对数据面实施监控、或审计、或统计，获得数 据平面的信息，并将该网络设备数据平面的信息发送给SDN控制器， 使得SDN控制器与“隔离区”的服务器进行数据通信。控制器就从 不可被定义的网络设备接收业务数据信息，该业务数据信息就如上所 述的监控数据，或审计数据或统计数据。也就是说，对于部署了 RAgent的网络设备来说，在不能进行软件定义的情况下，与SDN控 制器就只进行数据平面的通信，而不接收SDN控制器的控制平面的 信息对网络设备进行软件定义。这样，SDN隔离区的网络设备在不 进行软件定义时，可以提高SDN系统的安全性。但是，网络设备中 安装的软件系统仍然能够接收来自控制器上的信息，具体可以通过 OpenFlow的异步数据传输结构来实现，当然，也可以通过同步数据 传输结构来实现。其中，RAgent可以有两个接口，向下接口可以使 得生产厂商通过该向下接口将数据统计、网络传输状态等信息上传至 RAgent，RAgent向上接口可以将数据按照OpenFlow的异步数据结 构或同步数据结构发送给SDN控制器。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，该软件定义网络系统包括控制器和网络设备，控制器用于管理网 络设备通信，通过控制器接收网络设备上报的信息，信息包括网络设 备的硬件信息及属性信息；其中，属性信息用于表明网络设备是否可 以被控制器定义，当网络设备可以被控制器定义时，控制器根据硬件 信息定义网络设备的数据控制功能，并向网络设备下发定义指令，使 网络设备根据定义指令设定数据控制功能，在SDN场景下基于网络 设备的物理特性提高网络设备的使用性能。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，如图2所示，包括：

201、网络设备向控制器发送网络设备的硬件信息和属性信息， 使得控制器根据硬件信息确定网络设备的数据控制功能，属性信息用 于表明网络设备可以被控制器定义。

其中，这里的网络设备可以为部署有基于硬件实现的部件的设 备，控制器为SDN控制器。

举例来说，控制器根据接收到的属性信息判断网络设备可被定义 为特定的设备类型。具体当网络设备通过运行HAgent程序实现该属 性信息上报时，表明该网络设备的功能是基于硬件实现的。如与硬件 相关的SDN安全部件，例如：必须要在加密芯片的服务器上执行高 效加密能力的加密机，和必须在可信的拥有TPM芯片的主机上运行 的虚拟机等。其中一种具体实现方式，使用一个驻留在为网络设备操 作系统（windows/linux）上的可执行程序HAgent，用于向控制器表 明网络设备为可定义为特定设备类型。HAgent还用于将网络设备的 硬件信息上报给SDN控制器和接收控制器的指令。

在HAgent将网络设备的硬件信息上报给SDN控制器后，控制 器可以将HAgent传输过来的硬件信息进行统一汇总和可视化呈现， 并根据该硬件信息确定HAgent所能硬件定义的设备类型。例如，某 一服务器上部署的HAgent上报的硬件信息包括TPM硬件，控制器 便可以将该服务器定义为安全服务器，可信云主机等。即控制器可以 根据硬件信息定义网络设备的数据控制功能，从而向网络设备下发定 义指令，使得网络设备根据定义指令设定数据控制功能。

其中，HAgent程序中设有一向上接口，用于HAgent通过该向上 接口将数据信息可以按照OpenFlow的异步数据结构传递给SDN控 制器，或者按照同步数据结构向控制器上报数据信息。这里的数据通 信不限定于OpenFlow协议，也可以为其它协议的通信。

另外，对部署有HAgent的可定义的特定网络设备来说，其控制 平面与数据平面仍然可以分离，与SDN控制器的信息交互仍然处于 SDN的逻辑架构内，只是物理的安全设备网络不能复用，例如有TPM 硬件的服务器就为安全设备，不能复用为其它类型的设备。相应的， 这些物理的安全网络设备参数（IP/MAC/VLAN/子网）要保持不变， 以保障安全系统安全网络设备的正确定位和功能实现。

202、网络设备接收控制器下发的控制指令，执行控制指令。

具体的，对于可以被定义并部署有HAgent程序，即与硬件相关 的网络设备来说，控制器根据硬件信息确定了网络设备的设备类型 后，就可以向网络设备下发控制指令，使得网络设备执行该控制指 令。。

对于可以被定义但没有部署HAgent程序的网络设备，即与硬件 无关的网络设备来说，可以接收控制器下发的指令，即控制平面的信 息，将网络设备进行按需定义，也就是说可以被定义但没有部署 HAgent程序的网络设备既可以接收控制平面的信息，也可以接收数 据平面的信息。

这样，就将可被定义的网络设备分为可被定义的特定网络设备和 可被按需定义的网络设备，从而在SDN场景下基于网络设备的物理 特性提高网络设备的使用性能。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，网络设备向控制器发送网络设备的硬件信息和属性信息，使得控 制器根据硬件信息确定网络设备的数据控制功能，属性信息用于表明 网络设备可以被控制器定义，网络设备接收控制器下发的控制指令， 执行控制指令，在SDN场景下基于网络设备的物理特性提高网络设 备的使用性能。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，如图3所示，包括：

301、网络设备向控制器发送网络设备的硬件信息和属性信息， 使得控制器根据硬件信息确定网络设备的数据控制功能，属性信息用 于表明网络设备不可以被控制器定义。

举例来说，当网络设备上报的属性信息为部署有RAgent程序时， 向控制器表明该网络设备不可以被控制器定义。这里的网络设备，例 如可以为CA中心，审计系统以及代码升级与管理以及身份认证服务 器等。

其中，RAgent为驻留在网络设备操作系统（windows/linux）上 的可执行程序，用于对网络设备数据面信息实施监控、或审计或统计， 将本地网络设备数据平面的信息转发至SDN控制器。在RAgent程序 中可以设定向上接口和向下接口。向下接口可以用于生产厂商通过该 向下接口将数据统计、网络传输状态等信息上传至网络设备的 RAgent，向上接口可以将网络设备的数据信息按照OpenFlow的异步 数据结构传递给SDN控制器，以便于SDN控制器根据数据信息向网 络设备分发策略信息。这里的数据通信不限定于OpenFlow协议，也 可以为其它协议的通信

这样，部署有RAgent从而不能软件定义的网络设备就被独立出 来，置于了一个单独的区域，相当于一个“SDN隔离区”，将这些 网络设备置在SDN的定义之外，但是其上安装的软件系统仍然能够 接收来自SDN控制器上的信息，与SDN控制器保持异步通信能力， 从而能够为整个SDN系统提供基础性的安全服务，例如审计功能。

302、网络设备根据数据控制功能，向控制器发送业务数据信息， 以与控制器进行数据平面通信。

具体的，对于不可以被控制器定义的网络设备来说，控制器下发 的数据控制功能并不是控制器对网络设备下发的控制平面的信息，即 不对网络设备进行定义，但是网络设备上的软件系统仍然能够接收控 制器上的信息，具体可以通过OpenFlow的异步数据传输结构实现， 也可以通过同步数据传输结构实现。即该网络设备从控制器接收到的 就是数据平面的信息，同时，网络设备中部署的RAgent程序可以将 网络设备业务数据信息发送给控制器，以使得控制器可以根据该业务 数据信息向网络设备分发策略信息。

其中，这里的业务数据信息可以是RAgent程序将本地网络设备 的监控数据信息、或审计数据信息、或统计数据信息等上报给了控制 器。

这样，排除在SDN软件定义之外的网络设备不会发生物理设备 的变化，能够更好地提高SDN系统的安全性能。

本发明实施例提供一种软件定义网络系统中网络设备的管理方 法，网络设备向控制器发送网络设备的硬件信息和属性信息，使得控 制器根据硬件信息确定网络设备的数据控制功能，属性信息用于表明 网络设备不可以被控制器定义，网络设备根据数据控制功能，向控制 器发送业务数据信息，以与控制器进行数据平面通信，在SDN场景 下基于网络设备的物理特性提高网络设备的使用性能。。

本发明实施例提供一种控制器01，应用于软件定义网络系统中， 软件定义网络系统包括控制器01和网络设备，控制器用于管理网络 设备通信，如图4所示，包括：

接收单元011，用于接收网络设备上报的信息，信息包括网络设 备的硬件信息及属性信息；其中，属性信息用于表明网络设备是否可 以被控制器定义。

处理单元012，用于当网络设备可以被控制器定义时，根据硬件 信息定义网络设备的数据控制功能。

发送单元013，用于向网络设备下发定义指令，使网络设备根据 定义指令设定数据控制功能。

可选的，发送单元013，还可以用于当网络设备可以被控制器定 义时，向网络设备下发控制指令，使网络设备根据控制指令执行控制 指令。

可选的，接收单元011，还用于当网络设备不可以被控制器定义 时，接收网络设备发送的业务数据信息。。

可选的，控制器与网络设备通信的方式为异步方式。

本发明实施例提供一种控制器，应用于软件定义网络系统中，软 件定义网络系统包括控制器和网络设备，控制器用于管理网络设备通 信，通过控制器接收网络设备上报的信息，信息包括网络设备的硬件 信息及属性信息；其中，属性信息用于表明网络设备是否可以被控制 器定义，当网络设备可以被控制器定义时，控制器根据硬件信息定义 网络设备的数据控制功能，并向网络设备下发定义指令，使网络设备 根据定义指令设定数据控制功能，在SDN场景下基于网络设备的物 理特性提高网络设备的使用性能。

本发明实施例提供一种控制器02，应用于软件定义网络系统中， 软件定义网络系统包括控制器和网络设备，控制器用于管理网络设备 通信，如图5所示，包括总线041，处理器042，发射器043，接收 器044，以及存储器045，其中，存储器045用于存储指令和数据， 接收器044执行该指令用于接收网络设备上报的信息，信息包括网络 设备的硬件信息及属性信息；其中，属性信息用于表明网络设备是否 可以被控制器定义，处理器042执行该指令用于当网络设备可以被控 制器定义时，控制器根据硬件信息定义网络设备的数据控制功能，发 射器043用于向网络设备下发定义指令，使网络设备根据定义指令设 定数据控制功能。

在本发明实施例中，可选的，发射器043可以用于当网络设备可 以被控制器定义时，控制器向网络设备下发控制指令，使网络设备根 据控制指令执行控制指令。

在本发明实施例中，可选的，接收器044还可以用于当网络设备 不可以被控制器定义时，控制还用于接收网络设备发送的业务数据信 息。

在本发明实施例中，可选的，控制器与网络设备通信的方式为异 步方式。

本发明实施例提供一种控制器，应用于软件定义网络系统中，软 件定义网络系统包括控制器和网络设备，控制器用于管理网络设备通 信，通过控制器接收网络设备上报的信息，信息包括网络设备的硬件 信息及属性信息；其中，属性信息用于表明网络设备是否可以被控制 器定义，当网络设备可以被控制器定义时，控制器根据硬件信息定义 网络设备的数据控制功能，并向网络设备下发定义指令，使网络设备 根据定义指令设定数据控制功能，在SDN场景下基于网络设备的物 理特性提高网络设备的使用性能。

本发明实施例提供一种软件定义网络系统1，如图6所示，包 括控制器01，不可定义的网络设备，可定义的网络设备，其中，可 定义的网络设备包括与硬件相关的软件程序所网络设备和与硬件无 关的网络设备。其中，各部分的实现方式与前述实施例相应的实现方 式相同，不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统， 服务器和方法，可以通过其它的方式实现。例如，以上所描述的设备 实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功 能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可 以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。 另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以 是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性， 机械或其它的形式。

另外，在本发明各个实施例中的设备和系统中，各功能单元可以 集成在一个处理单元中，也可以是各个单元单独物理包括，也可以两 个或两个以上单元集成在一个单元中。且上述的各单元既可以采用硬 件的形式实现，也可以采用硬件加软件功能单元的形式实现。

实现上述方法实施例的全部或部分步骤可以通过程序指令相关 的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中， 该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介 质包括：U盘、移动硬盘、只读存储器（Read Only Memory，简称 ROM）、随机存取存储器（Random Access Memory，简称RAM）、 磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并 不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范 围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。 因此，本发明的保护范围应以所述权利要求的保护范围为准。