SDN 軟體定義網路深度解析
控制平面分離架構與控制器單點失效資安風險
傳統網路設備將「決策」與「轉發」綁定在同一硬體，SDN 打破此限制，將控制邏輯抽離至軟體層，使網路如程式碼般可被定義與調度。然而，集中化的代價是風險也隨之集中。
控制平面與資料平面的分離架構
SDN 架構分為三層：應用層（業務邏輯）、控制層（Controller）、基礎設施層（交換機/路由器）。Controller 透過 OpenFlow 協定向底層設備下發流表（Flow Table），指示封包如何轉發，設備本身不再自主決策。控制器同時向上提供 北向 API（Northbound API），供應用程式動態調整網路策略。這種架構使全網拓撲對 Controller 完全透明，實現毫秒級路由重組與流量工程，是雲端資料中心與 5G 核網的核心基礎。
控制器單點失效（SPOF）的資安風險
集中式 Controller 是 SDN 最大的阿基里斯腱。攻擊者一旦透過 南向介面（Southbound Interface） 偽造 OpenFlow 訊息，或直接滲透 Controller 主機，即可竄改全網流表，實施流量竊聽、黑洞攻擊或繞過防火牆策略。此外，針對 Controller 的 DDoS 攻擊可癱瘓整體網路控制能力，造成所有受管設備陷入無指令狀態。分散式控制器部署（如 ONOS 叢集）雖可緩解可用性問題，但多 Controller 間的狀態同步機制本身又引入新的攻擊面。
💡 核心要點整理
- OpenFlow 是 Controller 與設備間的主流南向協定，預設缺乏雙向認證。
- Controller 被入侵等同取得全網路由控制權，危害範圍無上限。
- ONOS、OpenDaylight 等叢集方案可降低 SPOF，但增加同步攻擊面。
- TLS 加密南向通道與控制器存取白名單是最基本的防護要求。
OpenFlow 流表下發示意
# 使用 Ryu Controller 新增一條 OpenFlow 流表規則
from ryu.ofproto import ofproto_v1_3
match = parser.OFPMatch(in_port=1, eth_dst='00:0c:29:ab:cd:ef')
actions = [parser.OFPActionOutput(2)]
inst = [parser.OFPInstructionActions(ofproto.OFPIT_APPLY_ACTIONS, actions)]
mod = parser.OFPFlowMod(datapath=dp, match=match, instructions=inst)上例展示 Controller 單方面決定「從 Port 1 進入、目標 MAC 為指定位址的封包，轉發至 Port 2」。設備無條件執行，不驗證指令來源合法性，正是 SPOF 風險的根源所在。
SDN 以集中換取靈活，但安全設計必須同步跟進。控制器的韌性與認證機制，是部署 SDN 前不可迴避的首要課題。將 Controller 視為「網路的作業系統核心」，以同等嚴格的標準保護它，才是正確的資安思維。