王 鹃，刘世辉，文 茹，洪 智 ，王 江 ，樊成阳 ，张浩喆

1.软件工程国家重点实验室，武汉 430072

2.空天信息安全与可信计算教育部重点实验室，武汉 430072

3.武汉大学 计算机学院，武汉 430072

4.清华大学 计算机科学与技术系，北京 100084

1 引言

伴随着以云计算、大数据为代表的新型业务的发展，传统网络难以满足其提出的灵活资源需求，主要是因为传统网络早已变得过于复杂且只能处于静态的运行模式。所以，亟需一种全新的网络架构来实现网络的灵活管理，由此SDN[1]应运而生。软件定义网络SDN（Software Defined Network）是由美国斯坦福大学Clean Slate研究组提出的一种新型网络创新架构，可通过软件编程的形式定义和控制网络，其本质特点是控制平面和数据平面的分离以及开放的可编程性，使得网络管理变得更加简单、灵活，被认为是网络领域的一场革命。

OpenFlow[2]是目前SDN的主流协议，其定义了SDN控制器和交换机之间的通信标准。通过网络控制平面和数据平面的分离实现网络的灵活控制，控制层利用OpenFlow协议向交换机下发相应指令，从而对整个网络实现集中控制。目前，基于OpenFlow的SDN设备已经在实际中得到了一定规模的部署。

然而，随着SDN的发展和应用，基于OpenFlow的SDN网络也面临着很多新的安全挑战[3-12]。其中一个重要的威胁是OpenFlow协议的无状态性使得在SDN网络中无法实现更细粒度的访问控制。目前SDN的防火墙应用模块并不完善，其功能只是简单进行包过滤，仅仅对网络流量中首个数据包进行安全处理，实现了简单的访问控制，但是这种简单的控制，对于整个网络的安全防护是远远不够的。……