SDN and Malware(2)

Flow table

OpenFlow1.0规范定义了包括输入端口、MAC源地址、MAC目的地址、以太网类型、VLANID、IP源地址、IP目的地址、IP端口、TCP源端口、TCP目的端口在内的10个关键字（十元组）。

Flow table 用法

FlowTable中的每个关键字都可以通配，网络的运营商可以决定使用何种粒度的流，比如运营商只需要根据目的IP进行路由，那么FlowTable中就可以只有IP目的地址字段是有效的，其它全为通配。传统网络中数据包的流向是人为指定的，虽然交换机、路由器拥有控制权，却没有数据流的概念，只进行数据包级别的交换；而在OpenFlow网络中，统一的Controller取代路由，决定了所有数据包在网络中传输路径。

Flow table 的2中模式

1. 主动模式：Controller将自己收集的FlowTable信息主动下发给OpenFlowSwitch，随后OpenFlowSwitch可以直接根据FlowTable进行转发。
2. 被动模式： OpenFlowSwitch收到数据包后，首先在本地的FlowTable上查找转发目标端口，如果没有匹配，则把数据包转发给Controller，由控制层决定转发端口，并下发相应的FlowTable。被动模式的好处是网络设备无需维护全部的FlowTable，只有当实际的流量产生时才向Controller获取FlowTable记录并存储，当记录老化时可以删除相应的FlowTable，故可以大大节省存储器空间。

North Apis and South Apis

安全通道是连接OpenFlow交换机和控制器通信的接口。控制器通过这个接口来控制和管理OF交换机，同时OF交换机通过这个接口将事件传给控制器，发送数据包，并接收来自控制器下发数据包。控制器和交换机必须通过安全通道进行通信，而且进行通信的数据包必须按照OpenFlow协议规定的格式执行。

参考链接