Efficient Rules Management Algorithms in Software Defined Networking

Algorithmes efficaces de gestion des règles dans les réseaux définis par logiciel Au sein des réseaux définis par logiciel (SDN), les exigences de filtrage pour les applications critiques varient souvent en fonction des changements de flux et des politiques de sécurité. SDN résout ce problème avec une abstraction logicielle flexible, permettant la modification et la mise en œuvre simultanées et pratiques d'une politique réseau sur les commutateurs. Avec l'augmentation du nombre de règles de filtrage et la taille des données qui traversent le réseau chaque seconde, il est crucial de minimiser le nombre d'entrées et d'accélérer le processus de recherche. D'autre part, l'accroissement du nombre d'attaques sur Internet s'accompagne d'une augmentation de la taille des listes noires et du nombre de règles des pare-feux. Leur capacité de stockage limitée nécessite une gestion efficace de l'espace. Dans la première partie de cette thèse, nous proposons une représentation compacte des règles de filtrage tout en préservant leur sémantique. La construction de cette représentation est obtenue par des algorithmes raisonnablement efficaces. Cette nouvelle représentation repose sur la notion de Double Masque, où le premier masque est utilisé comme préfixe d'inclusion et le second comme préfixe d'exclusion. Cette technique permet flexibilité et efficacité dans le déploiement des politiques de sécurité puisque les règles engendrées sont plus faciles à gérer : nous pouvons accepter et exclure des IP avec une seule règle. Une règle de double masque peut être considérée comme une extension d'une règle de préfixe standard avec des exceptions. Cette représentation est souvent plus intuitive que les représentations alternatives et peut donc éviter des erreurs dans les opérations de gestion du réseau. Des approches complémentaires à la compression de règles consistent à décomposer et répartir les tables de règles, pour implémenter, par exemple, des politiques de contrôle d'accès distribué. Cependant, la plupart d'entre elles nécessitent une réplication importante de règles, voire la modification des en-têtes de paquets. La deuxième partie de cette thèse présente de nouvelles techniques pour décomposer et distribuer des ensembles de règles de filtrage sur une topologie de réseau donnée. Notre approche consiste à concevoir des schémas de décomposition pour des politiques sur une ou plusieurs dimensions, conduisant à des architectures de réseau à plusieurs niveaux pour transférer les paquets vers la destination. Nous introduisons également une stratégie de mise à jour pour gérer les changements de politique et de topologie du réseau. De plus, nous exploitons également la structure de graphe série-parallèle pour résoudre efficacement le problème de placement de règles.