1. 引言
低速率拒绝服务攻击(Low rate Denial of Service, LDoS)利用网络协议中自适应机制所存在的安全漏洞, 通过发送周期性的短脉冲数据流,使网络一直处于不稳定状态。
SDN中LDoS攻击威胁:控制器通过下发封装有LLDP帧的pack_out消息,通过相邻交换机之间的链路传递LLDP帧确认链路信息。一旦在一段时间内未接收到经由某条链路转 发的LLDP帧报文,则认为该链路断开
。因此,利用该机制需要周期性发送LLDP帧的特点,攻击者可以在探 测LLDP帧周期的基础上
,对两个OpenFlow交换机之间链路发起LDoS攻击
,造成LLDP帧在该链路中连续 丢失,进而使得控制器误以为该链路断开.
2. SDN 拓扑发现原理
- 控制器会对所有与之连接的交换 机下发匹配LLDP帧的流表项。该流表项的优先级为 100(高优先级),动作为将匹配到的 LLDP 帧封装进 packet_in消息中,并发送给控制器。
- 控制 器会向与之连接的交换机通过安全通道下发封装有 LLDP帧且动作类型为泛洪的packet_out消息。交换机 接收到控制器的packet_out消息后,将封装的LLDP帧 通过其所有端口转发出去。当对端交换机从某一端口 接收到一个 LLDP 帧后,根据安装的匹配流表项,将 LLDP帧封装进packet_in消息中,转发给控制器。基于 该过程,控制器利用下发交换机和上传交换机的ID确 定了链路 <s1, s2>,<s1,s3>的有效性。