CN104767685B - 一种流量转发方法和装置 - Google Patents

Abstract

本发明提出一种流量转发方法和装置。该方法包括：确定地址冲突的主机；针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，所述现有流表为用于转发所述地址冲突的主机的现有流量且已下发到软件定义网络(SDN)交换机的流表；向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，所述第一流表的匹配项包括所述流量标识。

Description

一种流量转发方法和装置

技术领域

本发明属于软件定义网络(Software Defined Network，SDN)技术领域，特别是一种流量转发方法和装置。

背景技术

SDN技术通过将网络设备的控制平面与数据平面分离，从而实现网络流量的灵活控制。相应地，SDN架构中包括SDN控制器和SDN交换机，其中：SDN控制器和SDN交换机之间通过优选为开放流(OpenFlow协议)的SDN管理通道进行通信，SDN控制器根据用户的配置或者动态运行的协议生成流表下发到SDN交换机，SDN交换机依据SDN控制器下发的流表进行报文处理。

在SDN网络中广泛应用可扩展的虚拟局域网(Virtual eXtensible LAN，VXLAN)技术实现数据转发的隧道。在SDN组网中，SDN控制器还作为动态主机配置协议(Dynamic HostConfiguration Protocol，DHCP)服务器，为虚拟机(Virtual Machine，VM)等主机分配IP地址。

然而，在现有技术的SDN网络中，当SDN控制器集群发生分裂且再次合并时，主机之间可能会出现IP地址冲突，而且相互冲突的主机中只有一个主机可以享受服务，其它主机被隔离并且流量立刻中断，从而不能享受服务。

发明内容

有鉴于此，本发明提出一种流量转发方法和装置，从而为发生地址冲突的主机提供服务。

本发明实施方式的技术方案如下：

根据本发明实施方式的一方面，提出一种流量转发方法，该方法包括在SDN架构中的SDN控制器执行的如下步骤：

确定地址冲突的主机；

针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，所述现有流表为用于转发所述地址冲突的主机的现有流量且已下发到SDN交换机的流表；

向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，所述第一流表的匹配项包括所述流量标识。

优选地，该方法还包括：

确定所述地址冲突的主机的冲突地址的转换地址；

向与所述地址冲突的主机连接的SDN交换机下发第二流表，所述第二流表用于将从所述地址冲突的主机接收的第一新增流量报文的源地址转换为所述转换地址，和/或，

向与所述地址冲突的主机连接的SDN交换机下发第三流表，所述第三流表用于将目的地址为所述转换地址的第二新增流量报文的目的地址转换为所述冲突地址。

优选地，所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足:匹配项中的入接口为所述地址冲突的主机的接口且匹配项中的源IP地址为冲突地址；或

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定所述地址冲突的主机的接口为出接口；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的可扩展的虚拟局域网(VXLAN)封装源IP地址为与所述地址冲突的主机连接的SDN交换机的VXLAN隧道终结点(VTEP)IP地址；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的地址为所述地址冲突的主机连接的SDN交换机的VTEP IP地址。

优选地，所述确定该现有流表对应的流量标识包括：

向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；

从所述已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

优选地，所述确定该现有流表对应的流量标识包括：

当该现有流表中包含流量标识时，从该现有流表中提取流量标识；

当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；从所述已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

优选地，针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的Mac地址为所述地址冲突的主机的Mac地址。

优选地，该方法还包括：为所述地址冲突的主机确定转换地址；针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改源IP地址为所述转换地址；和/或

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的IP地址为所述冲突地址。

优选地，该方法还包括：

为所述地址冲突的主机确定转换地址；

向地址冲突的主机所属的SDN控制器下的网关设备发送网络地址转换(NAT)修改表项，所述NAT修改表项用于将所述网关设备的NAT表中的原地址由冲突地址修改为转换地址。

优选地，所述流量标识包括：源IP地址、目的IP地址、传输层协议类型、源端口和目的端口。

根据本发明实施方式的另一方面，提出一种流量转发装置，该装置应用在SDN架构中的SDN控制器，该装置包括：

冲突主机确定模块，用于确定地址冲突的主机；

流量标识确定模块，针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，所述现有流表为用于转发所述地址冲突的主机的现有流量且已下发到SDN交换机的流表；

第一流表下发模块，用于向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，所述第一流表的匹配项包括所述流量标识。

优选地，还包括：

转换地址确定模块，用于确定所述地址冲突的主机的冲突地址的转换地址；

第二流表下发模块，用于向与所述地址冲突的主机连接的SDN交换机下发第二流表，所述第二流表用于将从所述地址冲突的主机接收的第一新增流量报文的源地址转换为所述转换地址，和/或，

第三流表下发模块，用于向与所述地址冲突的主机连接的SDN交换机下发第三流表，所述第三流表用于将目的地址为所述转换地址的第二新增流量报文的目的地址转换为所述冲突地址。

优选地，所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足:匹配项中的入接口为所述地址冲突的主机的接口且匹配项中的源IP地址为冲突地址；或

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定所述地址冲突的主机的接口为出接口；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的VXLAN封装源IP地址为与所述地址冲突的主机连接的SDN交换机的VTEP IP地址；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的地址为所述地址冲突的主机连接的SDN交换机的VTEP IP地址。

优选地，流量标识确定模块，用于向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；从所述已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

优选地，流量标识确定模块，用于当该现有流表中包含流量标识时，从该现有流表中提取流量标识；当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量，从所述已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识

优选地，针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的Mac地址为所述地址冲突的主机的Mac地址。

优选地，还包括：

转换地址确定模块，用于为所述地址冲突的主机确定转换地址；

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改源IP地址为所述转换地址；和/或

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的IP地址为所述冲突地址。

优选地，还包括：

转换地址确定模块，用于为所述地址冲突的主机确定转换地址；

NAT修改模块，用于向地址冲突的主机所属的SDN控制器下的网关设备发送NAT修改表项，所述NAT修改表项用于将所述网关设备的NAT表中的原地址由冲突地址修改为转换地址。

在本发明中，针对地址冲突的主机的现有流量提取流量标识，并基于所提取的流量标识下发用于转发现有流量的第一流表，实现了地址冲突主机的现有流量继续转发。

另外，本发明通过确定地址冲突的主机的冲突地址的转换地址，将从地址冲突的主机接收的新增流量报文的源地址转换为转换地址，以及将目的地址为转换地址的新增流量报文的目的地址转换为冲突地址，实现了地址冲突主机的新增流量的转发。

附图说明

图1为现有技术中SDN控制器集群分裂示意图；

图2为根据本发明实施方式的流量转发方法的流程图；

图3为根据本发明实施方式的SDN控制器集群分裂示意图；

图4为根据本发明实施方式的流量转发装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

图1为现有技术中SDN控制器集群分裂示意图。

由图1可见，SDN控制器集群包括SDN控制器1和SDN控制器2。服务器1与SDN控制器1连接，服务器2和服务器3与SDN控制器2连接。交换机SW(Switch)1和SW2为集群管理网络的交换机，用于SDN控制器1与SDN控制器2同步数据的通道。SW3、SW4、SW5、SW6和SW7为现有网络的交换机。网关GW(Gateway)1与SDN控制器1连接；GW2与SDN控制器2连接。在各个网关上终结VXLAN流量并进行业务处理(如NAT等)，实现现有网络与非虚拟化网络的互访。在服务器1上具有VM1、VM2和虚拟交换机(vSwitch)1，VM1和VM2分别与vSwitch1连接；服务器2上具有VM3、VM4和vSwitch2，VM3和VM4分别与vSwitch2连接；服务器3上具有VM5、VM6和vSwitch3，VM5和VM6分别与vSwitch3连接。

服务器1的vSwitch1、服务器2的vSwitch2和服务器3的vSwitch3即为本领域技术人员所知的SDN交换机。

当SW1和SW2之间链路故障时，SDN控制器1和控制器2组成的集群分裂。SDN控制器1作为vSwitch1和GW1的主控制器，SDN控制器2作为vSwitch2、vSwitch3和GW2的主控制器。

当集群分裂后，VM2向SDN控制器1申请IP地址，VM4向SDN控制器2申请IP地址。SDN控制器1为VM2分配的IP地址与SDN控制器2为VM4分配的IP地址相同。

当分裂的集群重新合并后，SDN控制器集群的主控制器发现VM2与VM4的IP地址相同。在现有技术中，以某一方SDN控制器为准，而另外SDN控制器的VM将被隔离，从而无法享受服务。比如，如果以SDN控制器1为准，VM2可以享受服务，而VM4被隔离并不能享受服务；如果以SDN控制器2为准，VM4可以享受服务，而VM2被隔离并不能享受服务。

本申请致力于为地址冲突的主机提供服务。

图2为根据本发明实施方式的流量转发方法的流程图，该方法可应用于SDN控制器。

由图2可见，该方法包括：

步骤201：确定地址冲突的主机。

当主机之间出现IP地址相同的情形时，SDN控制器可以基于预定策略、人工确定或随机选择等方式，将某一个主机确定为正常主机，而其它主机确定为地址冲突的主机。正常主机正常享受服务，而确定为地址冲突的主机也并不被隔离。

步骤202：针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，现有流表为用于转发地址冲突的主机的现有流量且已下发到SDN交换机的流表。

针对于每个用于转发地址冲突的主机的现有流量且已下发到SDN交换机的现有流表，SDN控制器分别确定该现有流表对应的流量标识。

在一个实施方式中，流量标识包括：源IP地址、目的IP地址、传输层协议类型、源端口和目的端口。可见，流量标识中不仅包含流量的源IP地址和目的IP地址，还包含流量的源端口、目的端口和传输层协议类型。因此基于流量标识，可以精确标识出现有流表所对应的现有流量。

在一个实施方式中，现有流表被下发到与地址冲突的主机连接的SDN交换机，而且该现有流表满足:匹配项中的入接口为地址冲突的主机的接口且匹配项中的源IP地址为冲突地址。

在一个实施方式中，现有流表被下发到与地址冲突的主机连接的SDN交换机，而且该现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定地址冲突的主机的接口为出接口。

在一个实施方式中，现有流表被下发到不与地址冲突的主机连接的SDN交换机，而且该现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的可扩展的虚拟局域网(VXLAN)封装源IP地址为与地址冲突的主机连接的SDN交换机的VXLAN隧道终结点(VTEP)IP地址。

在一个实施方式中，现有流表被下发到不与地址冲突的主机连接的SDN交换机，而且该现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的地址为地址冲突的主机连接的SDN交换机的VTEP IP地址。

SDN控制器可以通过向接收现有流表的SDN交换机下发镜像请求的方式获取现有流表对应的流量标识。

在一个实施方式中，确定现有流表对应的流量标识包括：

向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向SDN控制器上送该现有流表对应的流量；

从已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

可选地，SDN控制器判断下发给SDN交换机的现有流表是否包含流量标识，当包含流量标识时，SDN控制器直接从现有流表中提取流量标识；当不包含流量标识时，SDN控制器通过下发镜像请求的方式获取现有流表对应的流量标识。

在一个实施方式中，确定该现有流表对应的流量标识包括：

当该现有流表中包含流量标识时，从该现有流表中提取流量标识；

当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向SDN控制器上送该现有流表对应的流量；从已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

步骤203：向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，第一流表的匹配项包括流量标识。

确定现有流表对应的流量标识之后，可以精确标识出现有流表所对应的现有流量。SDN控制器再向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，而且第一流表的匹配项包括流量标识。正是由于第一流表的匹配项包括流量标识，现有流表所对应的各个现有流量可以分别精确匹配第一流表，从而维持现有流表所对应的各个现有流量。

基于图2所示流程，可以为地址冲突的主机维持已有的现有流量。当地址冲突的主机具有新增流量时，通过为地址冲突的主机设置转换地址可以实现对新增流量的正常转发。其中：对于地址冲突的主机发送的新增流量报文，在与地址冲突的主机连接的SDN交换机处，源地址转换为转换地址；对于访问转换地址的新增流量，在与地址冲突的主机连接的SDN交换机处，目的地址转换为冲突地址。

在一个实施方式中，该方法包括：

SDN控制器确定地址冲突的主机的冲突地址的转换地址，该转换地址为未被使用的地址；SDN控制器向与地址冲突的主机连接的SDN交换机下发第二流表，第二流表用于将从地址冲突的主机接收的第一新增流量报文的源地址转换为转换地址。可见，与地址冲突的主机连接的SDN交换机，通过第二流表将地址冲突的主机接收的第一新增流量报文的源地址转换为转换地址，从而可以转发由与地址冲突的主机发送的第一新增流量报文。

在一个实施方式中，该方法包括：SDN控制器确定地址冲突的主机的冲突地址的转换地址，该转换地址为未被使用的地址；SDN控制器向与地址冲突的主机连接的SDN交换机下发第三流表，第三流表用于将目的地址为转换地址的第二新增流量报文的目的地址转换为冲突地址。可见，与地址冲突的主机连接的SDN交换机，通过第三流表将目的地址为转换地址的第二新增流量报文的目的地址转换为冲突地址，从而可以将该新增流量报文转发到与地址冲突的主机。

在一个实施方式中，针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则第一流表的动作项包括：修改目的Mac地址为地址冲突的主机的Mac地址。

在一个实施方式中，该方法还包括：为地址冲突的主机确定转换地址；

针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEPIP地址，则第一流表的动作项包括：修改源IP地址为转换地址。

在一个实施方式中，该方法还包括：为地址冲突的主机确定转换地址；

针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则第一流表的动作项包括：修改目的IP地址为冲突地址。

在一个实施方式中，该方法还包括：

为地址冲突的主机确定转换地址；

向地址冲突的主机所属的SDN控制器下的网关设备发送网络地址转换(NAT)修改表项，NAT修改表项用于将网关设备的NAT表中的原地址由冲突地址修改为转换地址。

下面结合实例对本发明实施方式进行详细说明。

图3为根据本发明实施方式的SDN控制器集群分裂示意图。

由图3可见，SDN控制器集群包括SDN控制器1和SDN控制器2。服务器1与SDN控制器1连接，服务器2和服务器3与SDN控制器2连接。交换机SW(Switch)1和SW2为集群管理网络的交换机，作为SDN控制器1与SDN控制器2之间同步数据的通道。SW3、SW4、SW5、SW6和SW7为现有网络的交换机。网关GW(Gateway)1与SDN控制器1连接；GW2与SDN控制器2连接。在各个网关上终结VXLAN流量并进行业务处理(如NAT等)，从而实现现有网络与外部的非虚拟化网络的互访。GW1的VTEP IP地址为10.0.0.1/24；GW2的VTEP IP地址为10.0.0.2/24。

在服务器1上具有VM1、VM2和虚拟交换机(vSwitch)1，VM1和VM2分别与vSwitch1连接；服务器2上具有VM3、VM4和vSwitch2，VM3和VM4分别与vSwitch2连接；服务器3上具有VM5、VM6和vSwitch3，VM5和VM6分别与vSwitch3连接。

服务器1的vSwitch1、服务器2的vSwitch2和服务器3的vSwitch3即为本领域技术人员所知的SDN交换机。服务器1中vSwitch1的VTEP IP地址为11.1.0.2/24；服务器2中vSwitch2的VTEP IP地址为11.2.0.2/24；服务器3中vSwitch3的VTEP IP地址为11.3.0.2/24。

当SW1和SW2之间链路故障时，SDN控制器1和控制器2组成的集群分裂。SDN控制器1作为vSwitch1和GW1的主控制器，控制器2作为vSwitch2、vSwitch3和GW2的主控制器。

当集群分裂后，VM2向SDN控制器1申请IP地址，VM4向SDN控制器2申请IP地址。假定SDN控制器1为VM2分配的IP地址为：100.0.0.3/24，SDN控制器2为VM4分配的IP地址同样为：100.0.0.3/24，即VM2与VM4被分配有相同的IP地址。

在集群分裂期间，VM4与VM6之间具有流量1和流量2，其中，流量1的方向为VM4到VM6，流量2的方向为VM6到VM4。VM4与非虚拟化网络之间具有流量3和流量4，其中，流量3的方向为VM4到非虚拟化网络，流量4的方向为非虚拟化网络到VM4。VM4的MAC地址为00-44-44；VM6的IP地址为100.0.0.2/24；非虚拟化网络中的外网服务器的IP地址为211.0.0.1；VM2的MAC地址为00-22-22；VM4连接到vSwitch2的接口2；vSwitch2的接口1为连接SW3交换机的接口。

下面详细列出下发给vSwitch2和vSwitch3的流表的具体结构。本领域技术人员可以意识到，下列流表结构仅用于示范性阐述目的，而并不用于限定目的。实际上，下列流表的匹配项中可能进一步包含有VXLAN封装信息(如VXLAN封装源IP地址)等其它元素。此处为了简略目的，在流表的匹配项中省去描述VXLAN封装信息。

下发给vSwitch2的流表如表1所示：

表1

由表1可以看出，下发给vSwitch2的流表中，流表Cookie2对应流量1，流表Cookie3对应流量2，流表Cookie4对应流量3，流表Cookie5对应流量4。

下发给vSwitch3的流表如表2所示：

表2

在表2中，接口2为VM4连接vSwitch3的接口，接口1为vSwitch3连接SW5的接口。

由表2可以看出，下发给vSwitch3的流表中，流表Cookie2对应流量2，流表Cookie3对应流量1。

下发给GW2的NAT表项如表3所示：

表3

当SW1和SW2之间链路故障恢复后，分裂的集群重新合并。集群合并后，根据选举或指定等方式，在SDN控制器1和SDN控制器2之间确定出主控制器。主控制器基于SW1和SW2之间链路获取同步数据，发现VM2与VM4的IP地址相同，而且在主控制器中保存有已下发到vSwitch1、vSwitch2和vSwitch3的流表。由主控制器或用户从IP地址相同的VM中确定出一个正常VM，而其它VM为冲突VM。比如：经主控制器自动或用户手工判定：VM2为正常VM，VM4为冲突VM，即确定地址冲突的主机为VM4。

假定所确定的主控制器为SDN控制器1。

SDN控制器1为VM4设置一个未被使用的转换地址100.0.0.4，并且设置转换地址与冲突地址(即100.0.0.3)之间的对应关系。SDN控制器1下发关于IP地址100.0.0.4的ARP表项，其中IP地址100.0.0.4对应的MAC地址为00-44-44；而且主控制器还下发ARP表项，将IP地址100.0.0.3的对应MAC地址修改为VM2的MAC地址(即00-22-22)。

SDN控制器1向与VM4所连接的vSwitch2下发流表1，该流表1用于将从VM4接收的新增流量报文的源地址转换为转换地址。而且，SDN控制器1还向与VM4所连接的vSwitch2下发流表2，流表2用于将目的地址为转换地址的新增流量报文的目的地址转换为冲突地址。可见，通过为VM4设置转换地址，可以实现从VM4发出或发往VM4的新增流量的正常转发。

下面描述如何保持VM4的现有流量。

SDN控制器1在本地查询下发到与地址冲突的主机(即VM4)连接的VSwitch2的流表，而且该流表满足：匹配项中的入接口为地址冲突的主机的接口且匹配项中的源IP地址为冲突地址。也就是，在下发到VM4所在vSwitch2的所有流表中，查询入接口为VM4的接口、源IP地址100.0.0.3的流表，找到如下表4：

表4

而且，SDN控制器1在本地查询下发到与地址冲突的主机(即VM4)连接的VSwitch2中的流表，而且该流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定地址冲突的主机的接口为出接口。也就是，在下发到VM4所在vSwitch2的所有流表中，查询目的IP地址为100.0.0.3，出接口为VM4所在接口的流表，找到如下表5：

表5

另外，SDN控制器1在本地查询下发到不与地址冲突的主机连接的SDN交换机的流表，而且该流表满足：匹配项中的源IP地址为冲突地址，匹配项中的VXLAN封装源IP地址为与地址冲突的主机连接的SDN交换机的VTEP IP地址。也就是说，查询下发到除VSwitch2之外的其它VSwitch中的所有流表，而且该流表满足：源IP地址为100.0.0.3，VXLAN封装源IP为VSwitch2的VTEP IP地址11.2.0.2。在下发到vSwitch3的流表Cookie 3中，源IP地址为100.0.0.3；VXLAN封装源IP为11.2.0.2(为简略目的，表2中没有描述VXLAN封装源IP)，因此从下发到vSwitch3的流表中找到如下表6：

表6

还有，SDN控制器1在本地查询下发到不与地址冲突的主机连接的SDN交换机的流表，而且该流表满足：匹配项中的目的IP地址为冲突地址，匹配项中的VXLAN封装目的地址为地址冲突的主机连接的SDN交换机的VTEP IP地址。也就是说，查询下发到除VSwitch2之外的其它VSwitch中的所有流表，而且该流表满足：目的IP地址为100.0.0.3，动作项包括指定VXLAN封装目的IP(即隧道目的地址)为VM4所在VSwitch2的VTEP IP地址11.2.0.2，从下发到vSwitch3的流表中找到如下表7：

表7

由于表4中的Cookie4和表5中的Cookie5均直接包含有流量标识，因此，SDN控制器1可以从表4中的Cookie4和表5中的Cookie5直接提取流量标识，得到如下表8：

表8

对于表4中的Cookie2和表5中的Cookie3，由于无法直接提起流量标识，因此SDN控制器1可以向已被下发表4中Cookie2和表5中Cookie3的VSwitch2下发镜像请求，以使VSwitch2向SDN控制器1上送对应于表4中Cookie2和表5中Cookie3的流量；SDN控制器1从上送的流量中提取表4中Cookie2和表5中的Cookie3所分别对应的流量标识。

SDN控制器1针对表4中的Cookie2和Cookie3所提取的流量标识，如表9所示：

表9

类似地，对于表6中的Cookie3和表7中的Cookie2，由于无法直接提起流量标识，因此SDN控制器1向已下发表6中的Cookie3和表7中的Cookie2的vSwitch3下发镜像请求，以使vSwitch3向SDN控制器1上送该Cookie3和Cookie2对应的流量；从而SDN控制器1从vSwitch3上送的流量中提取Cookie2和Cookie3对应的流量标识。

SDN控制器1针对表6中的Cookie3和表7中的Cookie2所提取的流量标识，如表10所示：

表10

接着，SDN控制器1向vSwitch2和vSwitch3分别下发用于转发现有流量的新流表。新流表中作为匹配项的流量标识不仅包含流量的源IP地址和目的IP地址，还包含流量的源端口、目的端口和传输层协议类型。vSwitch2和vSwitch3收到新流表之后，可以基于流量标识精确标识出现有流表所对应的现有流量，并基于新流表继续转发现有流量，而现有流表将被删除或自行老化。

具体地，对于vSwitch2的现有流表Cookie2和Cookie3，所对应下发的新流表如下表11所示：

表11

由表11可见，现有流表Cookie2对应于新流表Cookie201和Cookie202。在新流表Cookie201和Cookie202的匹配项中不仅包含源IP地址和目的IP地址，还进一步包含源端口、目的端口和协议类型。现有流表Cookie2所对应的现有流量不仅需要匹配源IP地址和目的IP地址，还需要匹配源端口、目的端口和协议类型才会命中。并且新流表Cookie201和Cookie202的动作项与现有流表Cookie2相同，这样便能使得现有流表Cookie2对应的流量1在vSwitch2正常转发。

由表11可见，现有流表Cookie3对应于新流表Cookie301和Cookie302。新流表Cookie301和Cookie302的匹配项中同样包含源IP地址、目的IP地址、源端口、目的端口和协议类型。而且，由于新流表Cookie301和Cookie302所对应流量的源主机可能已经接收到IP地址100.0.0.3的对应MAC地址为VM2的MAC地址(即00-22-22)的ARP表项，因此Cookie301和Cookie302的动作项除包括与现有流表Cookie3的动作项相同的内容之外，还需要包括将目的MAC地址从VM2的MAC地址修改为VM4的MAC地址(00-44-44)，这样便能使得现有流表Cookie3对应的流量2在vSwitch2正常转发。

类似地，对于vSwitch3的现有流表cookie2和cookie3，所下发的新流表如下表12所示：

表12

由表12可见，现有流表Cookie2对应于新流表Cookie201和Cookie202；现有流表Cookie3对应于新流表Cookie301和Cookie302。新流表Cookie201、Cookie202、Cookie301和Cookie302的匹配项中不仅包含源IP地址和目的IP地址，还进一步包含源端口、目的端口和协议类型。因此，现有流表Cookie2和Cookie3所对应的各个现有流量不仅需要匹配源IP地址和目的IP地址，还需要匹配源端口、目的端口和协议类型才会命中。并且新流表Cookie201和Cookie202的动作项与现有流表Cookie2相同，新流表的Cookie301和Cookie302的动作项与现有流表Cookie3相同，这样便能使得现有流表Cookie2对应的流量2和在现有流表Cookie3对应的流量1在vSwitch3正常转发。

对于vSwitch2的现有流表Cookie4和Cookie5，所下发的新流表如下表13所示：

表13

由表13可见，现有流表Cookie4对应于新流表Cookie401；现有流表Cookie5对应于新流表Cookie501和Cookie502。

由于现有流表Cookie4的匹配项已包括流量标识，因此新流表Cookie401可与现有流表Cookie4的匹配项相同。现有流表Cookie4对应的流量3为从冲突主机VM4发送到外部网络的流量，因此新流表Cookie401的动作项除包括现有流表Cookie4的内容外还包括将源IP地址由冲突地址(100.0.0.3)修改为转换地址(100.0.0.4)，这样便能使得现有流表Cookie4对应的流量3在vSwitch2正常转发，并使得流量3到达网关后，可获知该流量3是由VM4发送的，并进行转发。

现有流表Cookie5对应的流量4为从外部网络发送到冲突主机VM4的流量。新流表Cookie501用于在SDN控制器1下发关于IP地址100.0.0.4的ARP表项之前维持流量4；新流表Cookie502用于在SDN控制器1下发关于IP地址100.0.0.4的ARP表项之后维持流量4。

由于现有流表Cookie5的匹配项已包括流量标识，因此新流表Cookie501与现有流表Cookie5的匹配项相同。当源主机没有接收到关于IP地址100.0.0.4的ARP表项时，流量4到达服务器2时目的IP地址仍然为100.0.0.3，新流表Cookie501动作项与现有流表Cookie5相同。

当源主机已经接收到关于IP地址100.0.0.4的ARP表项时，流量4到达服务器2时目的IP地址可能已经为转换地址(100.0.0.4)，因此新流表Cookie502动作项除包括与现有流表Cookie5相同的内容之外还包括将目的IP地址由转换地址(100.0.0.4)修改为冲突地址(100.0.0.3)，这样便能使得现有流表Cookie5对应的流量4在vSwitch2正常转发。另外，现有流表Cookie5的匹配项已包括流量标识，因此新流表Cookie502可与现有流表Cookie5的匹配项相同，仅是目的IP地址由100.0.0.3变化为100.0.0.4。

而且，SDN控制器集群向GW2下发NAT修改表项，将GW2的NAT表中的原IP地址修改为转换地址100.0.0.4。至此，VM4的现有流量会匹配到新增的流表中，因此VM4的现有流量得到保持。

图4为根据本发明实施方式的流量转发装置的结构图，该装置应用SDN控制器中。

如图4所示，该装置400包括：

冲突主机确定模块401，用于确定地址冲突的主机；

流量标识确定模块402，针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，现有流表为用于转发地址冲突的主机的现有流量且已下发到SDN交换机的流表；

第一流表下发模块403，用于向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，第一流表的匹配项包括流量标识。

在一个实施方式中，该装置400还包括：

转换地址确定模块404，用于确定地址冲突的主机的冲突地址的转换地址；

第二流表下发模块405，用于向与所述地址冲突的主机连接的SDN交换机下发第二流表，所述第二流表用于将从所述地址冲突的主机接收的第一新增流量报文的源地址转换为转换地址，和/或，

第三流表下发模块406，用于向与地址冲突的主机连接的SDN交换机下发第三流表，第三流表用于将目的地址为转换地址的第二新增流量报文的目的地址转换为冲突地址。

在一个实施方式中，现有流表被下发到与地址冲突的主机连接的SDN交换机，现有流表满足:匹配项中的入接口为地址冲突的主机的接口且匹配项中的源IP地址为冲突地址；或

现有流表被下发到与地址冲突的主机连接的SDN交换机，现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定地址冲突的主机的接口为出接口；或

现有流表被下发到不与地址冲突的主机连接的SDN交换机，现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的可扩展的VXLAN封装源IP地址为与地址冲突的主机连接的SDN交换机的VTEP IP地址；或

现有流表被下发到不与地址冲突的主机连接的SDN交换机，现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的地址为地址冲突的主机连接的SDN交换机的VTEP IP地址。

在一个实施方式中，流量标识确定模块402，用于向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向SDN控制器上送该现有流表对应的流量；从已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

在一个实施方式中，流量标识确定模块402，用于当该现有流表中包含流量标识时，从该现有流表中提取流量标识；当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向SDN控制器上送该现有流表对应的流量，从已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识

在一个实施方式中，

针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则第一流表的动作项包括：修改目的Mac地址为地址冲突的主机的Mac地址。

在一个实施方式中，该装置400还包括：

转换地址确定模块404，用于为地址冲突的主机确定转换地址；

针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEPIP地址，则第一流表的动作项包括：修改源IP地址为转换地址；和/或

针对于下发到与地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则第一流表的动作项包括：修改目的IP地址为冲突地址。

在一个实施方式中，该装置还包括：

转换地址确定模块404，用于为地址冲突的主机确定转换地址；

NAT修改模块407，用于向地址冲突的主机所属的SDN控制器下的网关设备发送NAT修改表项，NAT修改表项用于将网关设备的NAT表中的原地址由冲突地址修改为转换地址。

综上所述，本发明针对地址冲突的主机的现有流量提取流量标识，并基于所提取的流量标识下发用于转发现有流量的第一流表，实现了地址冲突主机的现有流量继续转发。

另外，本发明通过确定地址冲突的主机的冲突地址的转换地址，将从地址冲突的主机接收的新增流量报文的源地址转换为转换地址，以及将目的地址为转换地址的新增流量报文的目的地址转换为冲突地址，实现了地址冲突主机的新增流量的转发。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (17)

1.一种流量转发方法，其特征在于，该方法包括在软件定义网络SDN架构中的SDN控制器执行的如下步骤：

确定地址冲突的主机；

针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，所述现有流表为用于转发所述地址冲突的主机的现有流量且已下发到SDN交换机的流表；

向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，所述第一流表的匹配项包括所述流量标识。

2.根据权利要求1所述的流量转发方法，其特征在于，该方法还包括：

确定所述地址冲突的主机的冲突地址的转换地址；

向与所述地址冲突的主机连接的SDN交换机下发第二流表，所述第二流表用于将从所述地址冲突的主机接收的第一新增流量报文的源地址转换为所述转换地址，和/或，

向与所述地址冲突的主机连接的SDN交换机下发第三流表，所述第三流表用于将目的地址为所述转换地址的第二新增流量报文的目的地址转换为所述冲突地址。

3.根据权利要求1所述的流量转发方法，其特征在于，

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足:匹配项中的入接口为所述地址冲突的主机的接口且匹配项中的源IP地址为冲突地址；或

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定所述地址冲突的主机的接口为出接口；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的可扩展的虚拟局域网VXLAN封装源IP地址为与所述地址冲突的主机连接的SDN交换机的VXLAN隧道终结点VTEP IP地址；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的IP地址为所述地址冲突的主机连接的SDN交换机的VTEP IP地址。

4.根据权利要求1所述的流量转发方法，其特征在于，所述确定该现有流表对应的流量标识包括：

向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；

从所述已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

5.根据权利要求1所述的流量转发方法，其特征在于，所述确定该现有流表对应的流量标识包括：

当该现有流表中包含流量标识时，从该现有流表中提取流量标识；

当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；从所述已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

6.根据权利要求1所述的流量转发方法，其特征在于，

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的Mac地址为所述地址冲突的主机的Mac地址。

7.根据权利要求1所述的流量转发方法，其特征在于，该方法还包括：为所述地址冲突的主机确定转换地址；

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEPIP地址，则所述第一流表的动作项包括：修改源IP地址为所述转换地址；和/或

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的IP地址为所述冲突地址。

8.根据权利要求1所述的流量转发方法，其特征在于，该方法还包括：

为所述地址冲突的主机确定转换地址；

向地址冲突的主机所属的SDN控制器下的网关设备发送网络地址转换NAT修改表项，所述NAT修改表项用于将所述网关设备的NAT表中的源地址由冲突地址修改为转换地址。

9.根据权利要求1-8中任一项所述的流量转发方法，其特征在于，所述流量标识包括：源IP地址、目的IP地址、传输层协议类型、源端口和目的端口。

10.一种流量转发装置，其特征在于，该装置应用在软件定义网络SDN架构中的SDN控制器，该装置包括：

冲突主机确定模块，用于确定地址冲突的主机；

流量标识确定模块，针对于至少一个现有流表中的每一个现有流表，确定该现有流表对应的流量标识，所述现有流表为用于转发所述地址冲突的主机的现有流量且已下发到SDN交换机的流表；

第一流表下发模块，用于向已被下发该现有流表的SDN交换机下发用于转发该现有流表对应的流量的第一流表，所述第一流表的匹配项包括所述流量标识。

11.根据权利要求10所述的流量转发装置，其特征在于，还包括：

转换地址确定模块，用于确定所述地址冲突的主机的冲突地址的转换地址；

第二流表下发模块，用于向与所述地址冲突的主机连接的SDN交换机下发第二流表，所述第二流表用于将从所述地址冲突的主机接收的第一新增流量报文的源地址转换为所述转换地址，和/或，

第三流表下发模块，用于向与所述地址冲突的主机连接的SDN交换机下发第三流表，所述第三流表用于将目的地址为所述转换地址的第二新增流量报文的目的地址转换为所述冲突地址。

12.根据权利要求10所述的流量转发装置，其特征在于，

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足:匹配项中的入接口为所述地址冲突的主机的接口且匹配项中的源IP地址为冲突地址；或

所述现有流表被下发到与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址且动作项包括指定所述地址冲突的主机的接口为出接口；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的源IP地址为冲突地址，匹配项中的可扩展的虚拟局域网VXLAN封装源IP地址为与所述地址冲突的主机连接的SDN交换机的VXLAN隧道终结点VTEP IP地址；或

所述现有流表被下发到不与所述地址冲突的主机连接的SDN交换机，所述现有流表满足：匹配项中的目的IP地址为冲突地址，动作项包括指定VXLAN封装目的IP地址为所述地址冲突的主机连接的SDN交换机的VTEP IP地址。

13.根据权利要求10所述的流量转发装置，其特征在于，

流量标识确定模块，用于向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量；从所述已被下发该现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

14.根据权利要求10所述的流量转发装置，其特征在于，

流量标识确定模块，用于当该现有流表中包含流量标识时，从该现有流表中提取流量标识；当该现有流表中不包含流量标识时，向已被下发该现有流表的SDN交换机下发镜像请求，以使已被下发该现有流表的SDN交换机向所述SDN控制器上送该现有流表对应的流量，从所述已被下发现有流表的SDN交换机所上送的流量中提取该现有流表对应的流量标识。

15.根据权利要求10所述的流量转发装置，其特征在于，

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述冲突地址且VXLAN封装源IP地址不为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的Mac地址为所述地址冲突的主机的Mac地址。

16.根据权利要求10所述的流量转发装置，其特征在于，还包括：

转换地址确定模块，用于为所述地址冲突的主机确定转换地址；

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的源IP地址为冲突地址且动作项包括指定VXLAN封装目的IP地址为网关的VTEPIP地址，则所述第一流表的动作项包括：修改源IP地址为所述转换地址；和/或

针对于下发到与所述地址冲突的主机连接的SDN交换机的第一流表，若该第一流表的匹配项包括的目的IP地址为所述转换地址且VXLAN封装源IP地址为网关的VTEP IP地址，则所述第一流表的动作项包括：修改目的IP地址为所述冲突地址。

17.根据权利要求10所述的流量转发装置，其特征在于，还包括：

转换地址确定模块，用于为所述地址冲突的主机确定转换地址；

NAT修改模块，用于向地址冲突的主机所属的SDN控制器下的网关设备发送网络地址转换NAT修改表项，所述NAT修改表项用于将所述网关设备的NAT表中的源地址由冲突地址修改为转换地址。