软件定义网络(Software-Defined Networking,SDN)技术的出现为网络安全提供了全新的研究思路,软件定义安全(Software-Defined Security,SDS)技术将安全数据平面与安全控制平面分离,通过软件编程与开放接口实现更加灵活的网络安全系统。防火墙(Firewall)作为一种重要的网络安全防护技术,能够对网络中的数据包进行过滤和拦截,然而传统基于硬件设备实现的防火墙往往受到物理限制,在一个网络中需要在多个网络位置安装防火墙设备,并且难以与其他安全实体协同。本文基于防火墙技术的原理,结合SDN技术在网络安全应用上的优势,设计并实现了一种软件定义防火墙系统。该系统具有全网访问控制、流量实时监控和安全策略动态更新的优势。系统提供两种不同类型的防火墙安全服务,即包过滤防火墙安全服务和状态检测防火墙安全服务,基于Openday Light开源控制器完成防火墙安全服务控制层的开发,并利用Open Flow协议实现安全策略的灵活下发。此外,作为协同防御系统的一部分,系统提供北向RESTful接口使得入侵检测系统能够通过网络协议更新安全策略,并且基于s Flow技术实现了网络流量的实时监控。本文利用Mininet搭建虚拟拓扑对系统的防火墙安全服务以及流量监控功能进行仿真测试,结果表明防火墙安全服务能够按照制定的安全策略对网络进行访问控制,并且能够在流量监控中心完成流量解析以及流量划分。最后,本实验室网络安全小组使用实物搭建协同防御系统,本文设计的软件定义防火墙系统在其中起到实时接收安全策略并拦截恶意流量的作用。小组对协同防御系统进行多次攻防测试,结果表明协同防御系统能够在较短时间内发现并抵御网络攻击。