[论文解读] sOFTDP: Secure and Efficient Topology Discovery Protocol for SDN

Abdelhadi Azzouni, Raouf Boutaba+2 more|arXiv (Cornell University)|May 12, 2017

Software-Defined Networks and 5G被引用 31

一句话总结

该论文提出 sOFTDP，一种用于软件定义网络（SDN）的安全且高效的拓扑发现协议，用以替代不安全且低效的 OpenFlow 发现协议（OFDP）。通过利用双向转发检测（BFD）实现快速链路状态检测，并集成轻量级认证机制，sOFTDP 将拓扑发现时间缩短至 3.25±0.008ms，实现与网络规模无关的亚毫秒级学习延迟，同时消除了链路伪造和欺骗攻击等主要安全漏洞。

ABSTRACT

Topology discovery is one of the most critical tasks of Software-Defined Network (SDN) controllers. Current SDN controllers use the OpenFlow Discovery Protocol (OFDP) as the de-facto protocol for discovering the underlying network topology. In a previous work, we have shown the functional, performance and security limitations of OFDP. In this paper, we introduce and detail a novel protocol called secure and efficient OpenFlow Discovery Protocol sOTDP. sOFTDP requires minimal changes to OpenFlow switch design, eliminates major vulnerabilities in the topology discovery process and improves its performance. We have implemented sOFTDP as a topology discovery module in Floodlight for evaluation. The results show that our implementation is more secure than OFDP and previous security workarounds. Also, sOFTDP reduces the topology discovery time several orders of magnitude compared to the original OFDP and existing OFDP improvements.

研究动机与目标

• 解决实际 SDN 部署中事实标准 OFDP 所存在的关键安全与性能局限性。
• 缓解已知针对 OFDP 的攻击，包括交换机欺骗、链路伪造、控制器指纹识别以及 LLDP 泛洪攻击。
• 设计一种对 OpenFlow 交换机架构改动极小的拓扑发现协议。
• 实现与网络规模无关的亚毫秒级拓扑学习时间，支持动态环境中实时网络管理。
• 提供一种原生安全的 OFDP 替代方案，消除对未认证 LLDP 的依赖，并相比先前解决方案显著降低 CPU 开销。

提出的方法

• 在数据平面集成双向转发检测（BFD），以实现高速、低延迟的链路故障与拓扑变更检测。
• 利用 BFD 的快速检测机制触发拓扑更新，以事件驱动检测替代周期性的 LLDP 发现机制。
• 对 LLDP 数据包应用轻量级逐包认证（如 HMAC），防止欺骗与链路伪造攻击。
• 设计协议以最小化控制器与交换机之间的通信，相比 OFDP 减少 packet-out 与 packet-in 消息数量。
• 在 Floodlight 控制器中实现 sOFTDP 作为模块化扩展，用于实际评估。
• 复用现有 OpenFlow 交换机功能，仅做最小修改，确保向后兼容性与低部署开销。

实验结果

研究问题

• RQ1 能否设计一种拓扑发现协议，既可抵御链路伪造与交换机欺骗等主动攻击，又显著快于 OFDP？
• RQ2 BFD 在多大程度上可替代周期性 LLDP 交换用于拓扑发现，从而降低发现延迟与 CPU 负载？
• RQ3 在 LLDP 数据包中集成轻量级认证是否能有效消除中继或注入方式的链路伪造风险，且不带来显著性能开销？
• RQ4 sOFTDP 的学习时间如何随网络规模扩展？是否能在任意拓扑复杂度下实现亚毫秒级检测延迟？
• RQ5 sOFTDP 是否可对 OpenFlow 交换机固件进行最小改动实现，从而支持在现有 SDN 架构中的实际部署？

主要发现

• sOFTDP 将平均拓扑学习时间缩短至 3.25±0.008ms，该时间与网络规模无关，仅取决于交换机与控制器之间的往返时延（RTT）。
• 协议实现了亚毫秒级学习延迟，相比 OFDP 与 OFDPv2 降低了数个数量级。
• sOFTDP 消除了 OFDP 中的主要安全漏洞，包括交换机欺骗、通过中继或注入方式的链路伪造，以及控制器指纹识别攻击。
• 协议具备原生安全性：通过使用认证 LLDP 数据包与 BFD 实现快速可靠的拓扑变更检测。
• 相比先前方案，CPU 开销显著降低：sOFTDP 避免了先前工作中首轮 HMAC 计算带来的 80.4% 开销。
• 在 Floodlight 中的评估表明，sOFTDP 在速度与安全性方面均优于 OFDP 与 OFDPv2，且未出现可扩展性退化。