SDN 控制通道端口
6653 是 OpenFlow 在 IANA 登记的标准端口：SDN 场景里交换机与控制器之间用 OpenFlow 协议建立控制通道，控制器据此下发流表，交换机上报端口与流表状态。早期实现普遍沿用 6633，IANA 后来正式登记 6653 作为标准端口，这也是现场最常见的错配来源：控制器监听 6653、交换机却还配着 6633，控制通道永远建立不起来。
基本信息
| 服务 | OpenFlow（IANA 登记端口） |
|---|---|
| 协议 | TCP（6653；6633 为历史约定） |
| 用途 | 控制器与交换机之间的控制通道 |
| 常见实现 | Open vSwitch、ONOS、OpenDaylight、Ryu |
| 暴露要求 | 仅管理网，必要时启用 TLS |
典型使用场景
- 云平台网络虚拟化：overlay 转发规则由控制器统一下发
- 替换或扩容控制器：迁移时逐一核对交换机上配置的端口
- 故障排查：交换机状态长期为连接中时先比对两端端口号
- 变更评估：把 6633 统一到 6653 前先确认所有控制器版本都支持
- 安全核对：确认控制通道只对管理网开放，而不是对业务网全网段
现象与原因
| 现象 | 常见原因 | 排查方向 |
|---|---|---|
| 交换机连不上控制器 | 两端端口不一致 | 核对 6653 与 6633 配置 |
| 流表未下发 | 控制通道建立了但角色或配置错误 | 查看控制器侧交换机状态 |
| 连接反复中断 | 管理网链路或防火墙策略抖动 | 检查管理网连通性与丢包 |
| 多个控制器争抢 | 未配置主备角色 | 确认控制器角色与优先级 |
配置与核对
配置与核对
# 让网桥指向控制器（显式指定 6653）
ovs-vsctl set-controller br0 tcp:ctrl.example.com:6653
# 查看网桥的控制器状态与连接结果
ovs-vsctl show | grep -A3 Controller
# 查看下发到本机的流表，验证通道确实可用
ovs-ofctl dump-flows br0
# 需要加密时改用 TLS 通道
ovs-vsctl set-controller br0 ssl:ctrl.example.com:6653端口不匹配时的报错往往很含糊：交换机只是不断重连，控制器侧看不到任何请求。排查顺序应该是先确认交换机配置的端口，再确认控制器实际监听端口，最后才看网络策略。
控制通道若明文暴露在业务网，掌握它的攻击者可以直接改写流表，等于接管数据转发路径。生产环境建议把 OpenFlow 放在独立管理网，并启用 TLS 与控制器侧鉴权。