基于sFlow流量监控的DDOS防御和队列调整

编者按:最近涉及的一个实验,需要获取链路接口的实时信息,比如带宽、流量统计等。起初打算从OpenFlow协议中的计数器入手,OpenFlow交换机对每一个流维护一个计数器,控制器可以从这些计数器上查询每条链路的实时流量信息。随着网络规模增大,流量增加,对计数器管理会变得越来越消耗系统资源,如Floodlight FAQ所提到对控制器而言这样的监控很难准确的,所以否定了在控制器上实现流量监控的想法,转而考虑通过第三方平台监控每条链路的实时流量信息。sFlow可以提供周期性的网络接口统计采样和数据包采样,能够提供各接口的流量信息,且几乎不会对被统计设备造成任何负担,管理成本极低。sFlow的部署分为两部分:sflow agent和sflow collector。sflow agent内嵌入网络设备中获取设备的实时信息并封装成sFlow报文发送给sflow collector。sflow collector汇总后得出统计数据。初次使用sFlow监控流量,做了一个DDOS防御及队列调整实验。

一、sFlow监控之DDOS防御实验

1.1 实验环境

本实验是在一台物理主机上完成实验拓扑,主要工作是进行控制器部署和sFlow部署。通过Mininet模拟一个switch、三台host。控制器使用Floodlight,由于Mininet已经部署了sflow agent,所以只需要部署sflow collector。
实验拓扑如下图:

实验拓扑

sFlow官网推荐了几款sFlow软件如sflow-trend,sflow-rt等,这里我选择的是sflow-rt,安装sflow-rt很简单。
1.下载官方压缩包(注:也可参考《基于Mininet的网络流量监控》);
2.解压安装:

在ovs交换机上还要配置sflow agent,输入以下命令:

注意:agent是要监听的网卡,这个网卡一定要能监听到我们所需的交换机的流量,target是sflow collector所在的ip地址,bridge设定需要监听的交换机。

1.2 实验原理

sflow-rt统计到的每个接口的流量信息,可以通过sflow-rt的rest api获取json数据并对json数据进行解析获得。对解析到的数据进行判断分析后即可实施策略。本次实验原理如下:

1.首先对sflow-rt进行配置,设定metric=ddos,并设定它的阈值,当监测到的流量超过这个阈值时即判断为ddos;
定义地址组:

定义流 :

定义阈值:

2.若判断为ddos,即调用Floodlight的staticflowentrypusher对ddos攻击包进行丢弃;

由于sflow获取的的openflow信息是使用snmp中定义的ifindex对各接口进行标记,而openflow有它自己的标记方式,所以应该对openflow端口号和ifindex端口号进行映射。本次实验采用nodejs作为应用语言。

1.3 实验结果

本次实验DDOS攻击采取host1向host2泛洪的方式。命令如下:

运行DDOS防御应用前:

运行DDOS防御应用前

我们可以看到,未运行ddos防御应用时,h1向h2泛洪的数据包达到了大约每秒30k个包。

接下来运行ddos防御应用:

运行DDOS防御应用后:

运行DDOS防御应用后

可以看出,运行ddos防御应用后,h1向h2泛洪的包迅速被完全的丢弃了。

二、sFlow监控之队列调整实验

2.1 实验介绍

基于sFlow的DDOS防御实验的成功,坚定了继续基于sFlow做流量监控的想法。本次实验主要目的是基于sFlow监控的基础上,通过Floodlight实现进行队列调整。

2.2 实验设计

1.拓扑结构沿用实验一的拓扑结构:switch+3hosts+floodlight+sflow,拓扑图如实验一所示。

2.设计思想:switch上有三个端口分别连接有host1,host2,host3。在端口3上设置3条队列,分别带宽设置为:

主机host1和host2同时向host3发送数据包,通过sFlow流量监控,获取端口1和端口2的速率分别为R1和R2,然后进行判断:

  • 若R1>R2:端口1到端口3的队列—>q0 端口2到端口3的队列—>q2
  • 若R2>R1:端口1到端口3的队列—>q2 端口2到端口3的队列—>q0
  • 若R1=R2:端口1到端口3的队列—>q1 端口2到端口3的队列—>q1

2.3 实验结果

首先让host1和host2分别向host3泛洪:

执行队列调整应用后终端显示:

队列调整应用后端显示

可以看出,由于端口1(注意:eth0~eth2依次对应端口1~3)的速率比端口2的速率快,应用立即通知Floodlight控制器下发流表给端口1和端口2设定不同的出口队列,再来看看Floodlight控制器的流表:

端口队列Floodlight显示

从流表可以看到,控制器已经下发了队列调整流表项。
端口1的速率变化:

端口1速率变化

端口2的速率变化:

端口2速率变化

从图中我们可以看到,最初阶段,端口1和端口2的速率均在2M左右;从时间17:13:18开始,也就是实施队列调整应用后,端口1的速率上升到了大于2M阶段,而端口2的速率下降到了500k以下。

三、实验总结

流量监控是软件定义网络SDN中很重要的一环,在获取各个接口的实时信息后,可以实现很多的服务,如负载均衡、QoS、流量工程等。这也是初次尝试sFlow,还有很多不足的地方,我的想法是,做好sFlow与控制器的交互,完善流量监控的功能,为以后的各种服务提供帮助。

转载自:http://liushy.com/


  • 本站原创文章仅代表作者观点,不代表SDNLAB立场。所有原创内容版权均属SDNLAB,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用,转载须注明来自 SDNLAB并附上本文链接。 本站中所有编译类文章仅用于学习和交流目的,编译工作遵照 CC 协议,如果有侵犯到您权益的地方,请及时联系我们。
  • 本文链接https://www.sdnlab.com/12333.html
分享到:
相关文章
条评论

登录后才可以评论

SDNLAB君 发表于15-07-02
0