OpenFlow is considered as the most known protocol for Software Defined Networking (SDN). The main drawback of OpenFlow is the lack of support of new header definitions, which is required by network operators to apply new packet encapsulations. While SDN’s logically centralized control plane could enhance network security by providing global visibility of the network state, it still has many side effects. The intelligent controllers that orchestrate the dumb switches are overloaded and become prone to failure. Delegating some level of control logic to the edge or, to be precise, the switches can offload the controllers from local state based decisions that do not require global network wide knowledge. Thus, this paper, to the best of our knowledge, is the first to propose the delegation of typical security functions from specialized middleboxes to the data plane. We leverage the opportunities offered by programming protocol-independent packet processors (P4) language to present two authentication techniques to assure that only legitimate nodes are able to access the network. The first technique is the port knocking and the second technique is the One-Time Password. Our experimental results indicate that our proposed techniques improve the network overall availability by offloading the controller as well as reducing the traffic in the network without noticeable negative impact on switches’ performance.

中文翻译：

---

软件定义网络的轻量级边缘认证

OpenFlow 被认为是最知名的软件定义网络 (SDN) 协议。OpenFlow 的主要缺点是缺乏对新报头定义的支持，这是网络运营商应用新数据包封装所必需的。虽然SDN逻辑上集中的控制平面可以通过提供网络状态的全局可见性来增强网络安全性，但它仍然有许多副作用。协调哑交换机的智能控制器过载并容易出现故障。将某种级别的控制逻辑委派给边缘，或者更准确地说，交换机可以从不需要全局网络知识的基于本地状态的决策中卸载控制器。因此，据我们所知，本文，是第一个提出将典型安全功能从专门的中间盒委托给数据平面的人。我们利用编程协议无关的数据包处理器 (P4) 语言提供的机会来提供两种身份验证技术，以确保只有合法节点才能访问网络。第一种技术是端口敲门，第二种技术是一次性密码。我们的实验结果表明，我们提出的技术通过卸载控制器以及减少网络中的流量来提高网络的整体可用性，而不会对交换机的性能产生明显的负面影响。我们利用编程协议无关的数据包处理器 (P4) 语言提供的机会来提供两种身份验证技术，以确保只有合法节点才能访问网络。第一种技术是端口敲门，第二种技术是一次性密码。我们的实验结果表明，我们提出的技术通过卸载控制器以及减少网络中的流量来提高网络的整体可用性，而不会对交换机的性能产生明显的负面影响。我们利用编程协议无关的数据包处理器 (P4) 语言提供的机会来提供两种身份验证技术，以确保只有合法节点才能访问网络。第一种技术是端口敲门，第二种技术是一次性密码。我们的实验结果表明，我们提出的技术通过卸载控制器以及减少网络中的流量来提高网络的整体可用性，而不会对交换机的性能产生明显的负面影响。