面向可信网络研究的虚拟化技术

面向可信网络研究的虚拟化技术

可信网络是互联网研究中的新方向，文中通过对可信网络研究面临的挑战进行分析，提出了虚拟化是开展可信网络研究的有效途径这一观点，论文对网络虚拟化技术的研究现状进行了综述，分析了现有虚拟化技术对可信网络研究的支持，然后针对现有虚拟化机制在资源管理等方面的不足，提出一种新的网络节点虚拟化模型———虚拟大节点(virtual big node)，该模型将多个网络节点聚合成一个虚拟大节点，内部采用多种节点虚拟化机制，不但可有效降低网络复杂性，还可更好地支持网络传输服务的生存性和可控性。

1 引言

随着互联网在人们社会生活中的地位越来越重要，如何保证网络服务的安全可靠得到越来越多的关注，对互联网技术的研究重点也逐渐由提高传输和交换性能、增强QoS保证转移到提高网络行为的可控性、网络服务的生存性等方面，特别是近年来对DDOS攻击防范、蠕虫传播等网络安全问题，可审计的网络协议、源地址欺骗防范、网络安全脆弱性分析以及网络生存性的研究逐渐成为热点。

可信网络将上述内容凝练成一个新的研究方向，已经成为下一代互联网研究的重要分支。文献对可信网络产生的背景和需求进行了深入的分析，从信息安全、可信系统和可信计算等多个角度出发对可信网络进行了描述，并建立了可信网络信任控制和行为模型，上述工作对可信网络的研究具有重要的指导意义，但目前可信网络研究面临一个问题，即在IP无连接传送机制和端到端设计思想指导下如何有效支撑各种可信网络服务，或者说现有网络基础设施(如路由器)的管理、配置、故障发现和恢复机制能否满足可信网络服务的要求。 虚拟化是近年来互联网研究领域出现的新技术，其思想是通过对底层的抽象屏蔽物理网络实现细节，将网络的控制管理与数据平面的转发与交换进行有效的分离，虚拟化技术为可信网络的机制设计提供了广阔的空间，近期研究表明，虚拟化不但对新型互联网体系结构的研究、试验和部署具有重要的意义，对网络单元(如路由器)的虚拟化也可提高其故障冗余，持续提供网络服务的能力。本文将对网络虚拟化技术进行深入分析，并提出一种新的网络虚拟化机制———VBN(Virtual Big Node)。该机制不但可以简化网络复杂性，还可提高网络节点路由交换的鲁棒性，因此对可信网络服务的提供具有重要意义。

本文第2节首先针对文献中提出的可信网络面临的科学问题进行分析，提出在现有网络体系下实现可信网络面临的挑战;第3节对网络虚拟化技术的产生背景、特点以及在可信网络研究中的应用进行分析;第4节提出VBN机制;最后是全文的总结。

2 可信网络研究面临的挑战

林闯教授在文献中给出了可信网络的定义及其重要意义:“可信网络是指网络系统的行为及其结果是可以预期的，能够做到行为状态可监测，行为结果可评估，异常行为可控制，对可信网络的研究解决人们对网络日益增加的依赖性与安全服务能力的有限性之间的矛盾，是进一步推进网络理论技术研究，提高网络建设及应用水平的重大问题”，并指出可信网络研究的4个关键科学问题，即网络与用户行为的可信模型、可信网络的体系结构、服务的可生存性以及网络的可控性，然而我们认为，在现有的互联网体系下解决上述科学问题面临着许多重要的挑战。

(1)网络与用户行为的可信模型

协议行为是影响网络行为的重要因素，众所周知，IETF的哲学“相信统一的共识和可执行的代码”对互联网协议的制定具有重要影响，由于缺少形式化描述和正确性验证，很多协议在诞生之初就存在难以预料的缺陷，而这些缺陷大多只有在协议已经部署，对互联网的运行产生影响后才能发现和修补，例如尽管经历了十几年的研究，作为下一代互联网基础的IPv6协议仍然存在大量安全漏洞，而在不确定的基础协议行为上难以建立可信的网络模型，对攻击行为分析是可信网络中用户行为建模的重要组成，尽管基于模型和攻击图的用户行为分析已经得到广泛的研究，但受建模方法和工具的限制，这些分析只能局限在小规模网络中，无法对针对大规模互联网的攻击行为进行分析。 (2)可信网络的体系结构

可信网络体系结构是指导各种可信网络机制设计、协议实现、应用部署和互操作的框架，由于先天不足，现有互联网体系结构的许多原则都与可信网络设计相冲突，如端到端的设计思想造成互联网的智能过分集中在网络边缘，导致网络核心管理控制能力弱，无法准确感知异常网络行为，又如IP层是目前互联网体系不可动摇的基础(NarrowWaist)，因此可信网络研究中许多革命性的成果，如抵御DDOS的网络体系结构、可审计网络协议等，难以得到实质应用，各种可信机制只能通过补丁的形式在网络中实现，难以形成统一的顶层设计。 (3)服务的可生存性

服务的可生存性在某种程度上是对冗余资源的调度问题，目前互联网从核心节点到边缘服务器大都采用多机备份的方式以提高服务的可生存性，而且取得了一定效果，但在互联网这个复杂系统中，冗余资源调度还面临着两个关键问题，一是故障难以及时检测，例如骨干链路发生故障时，虽然光传输网具有快速的故障发现和自愈能力，但路由器难以及时感知光传输网络的故障和变化，二是局部资源切换导致的瞬时非稳状态可能被无限放大，影响整个网络的稳定，例如局部转发路径的切换可能引起互联网路由系统长时间的振荡，导致用户流量的丢失。 (4)网络的可控性

互联网是一个复杂的系统，在体系结构、设计和工程化方面具有明显的非线性特征，符合非线性系统的放大原则和耦合原则。一方面，网络中一个小的事件可能会带来网络很大的不稳定;另一方面，网络中同时发生的事件可能相互影响，同时，互联网端到端设计思想又使得网络智能主要集中在网络边缘，因此对互联网实施有效的管理控制十分困难，对故障和异常行为进行有效的隔离是增强互联网可控性的重要措施，虽然各种隔离机制，如入口过滤、ISP间整形、流量工程等，针对不同问题都能取得一定效果，但从互联网整体看，这些控制行为还是难以预计的，对于蠕虫传播、DDOS攻击等还是难以实施有效的控制。

以上分析表明，可信网络研究，特别是服务的可生存性和网络的可控性，面临很大挑战，因此必须选择有效的研究路线，我们认为必须在网络体系和协议设计上考虑两个关键问题，

一是通过分层等机制简化网络结构的复杂度，尽可能减小网络非线性特征造成的管理控制的不确定性，二是在网络中实施全方位的隔离机制，降低局部故障和异常对全局网络的影响。 虚拟化是近年来互联网研究领域出现的新技术，通过对底层网络的抽象屏蔽物理网络实现细节，将网络的控制管理与数据平面的转发与交换进行有效的分离，上述分离对网络系统的简化、故障和异常的隔离提供了较好的支持，因此虚拟化技术为可信网络的机制设计提供了广阔的空间。

3 虚拟化对可信网络的支持

虚拟化技术的基本思想是将网络的管理控制与转发交换相分离，通过高层的抽象屏蔽底层的物理实现细节，近年来硬件性能的持续提高，特别是网络处理器、FPGA对可编程和可重构的支持日益完善为网络虚拟化创造了良好的条件，网络虚拟化包括网络平台的虚拟化以及网络节点的虚拟化。 3.1 网络节点虚拟化

节点虚拟化技术最初源于20世纪90年代后期出现的可编程ATM交换机思想，即通过对硬件交换平台的资源划分，在一个物理交换机上虚拟出多个逻辑的交换机，以支持在一个物理网络上构建多套逻辑网络，但这项技术直到近年来可编程硬件(如网络处理器和FPGA)在网络节点中得到广泛应用后，才得到进一步的关注，当前虚拟化在路由器上的应用已经成为研究的热点。

控制平面与数据平面相分离是路由器虚拟化实现的基础，基于该思想，路由器控制平面与数据平面相互屏蔽各自实现细节，而只是通过标准的管理控制接口进行通信，相关工作有网络处理器论坛制定的CPIX(Common Programmable Interface Archi2tecture)规范，该规范对网络处理器的物理实现进行抽象，并制定标准的网络处理器配置管理接口，因此路由控制软件可直接运行在不同的网络处理器平台上，IETF的ForCES工作组①更是致力于标准化控制平面与数据平面的通信协议，以便控制平面技术与数据平面技术能够独立发展，基于网络处理器平台以及ForCES协议实现的路由器有OpenRouter等。

路由器虚拟化是在控制平面和数据平面分离的基础上，进一步在数据平面或控制平面实现上采用虚拟化技术，以获得更好的故障冗余和管理控制能力，网络节点虚拟化示意如图1所示.

图1 网络节点的虚拟化

在数据平面虚拟化中，路由器节点存在多个物理的数据平面实现，但通过虚拟技术只向控制平面提供一个虚拟的数据平面，而对于控制平面虚拟化来说，路由器上同时运行多个控制平面，但通过虚拟化管理，同时只有一个控制平面负责管理配置数据平面以及与其他路由器交互，路由器虚拟化的实例将在3.3节中进一步分析。

网络端系统的虚拟化研究包括VIA(VirtualInterface Architecture)②和VNS，VIA可在一个物理接口上虚拟出多个逻辑的网络接口，而VNS则通过虚拟协议栈使得网络端系统可与具有不同网络协议的其他端系统通信，端系统的虚拟化为网络平台虚拟化提供用户接入的支持。 3.2 网络平台的虚拟化

网络平台虚拟化思想产生于本世纪初研究者对互联网体系结构研究的不断反思中，文献指出，目前对互联网体系结构的研究陷入僵局，即新型体系结构研究必须依赖大规模的试验床，但由于受到设备、管理、网络规模等因素的限制，基于现有技术构造的试验床还必须建立在现有的网络体系上，只能使用IP无连接的传送服务，因此新型体系结构试验难以部署和开展，而虚拟化试验床是打破这一僵局的有效手段，与传统的物理试验床和overlay试验床不同，虚拟试验床在一个公共的物理网络(sub2strate)上通过资源的抽象、分配和隔离机制支持多个overlay网络共存，与目前IP体系并行的各种新型体系结构通过overlay机制在物理网络上进行部署，这些网络相互间不会产生影响，试验者可通过首跳代理机制方便地接入不同的试验网络进行体系结构试验，这一思想也成为美国GENI计划①的核心。

基于虚拟试验床的思想，文献进一步地提出虚拟化不但可作为支持新型互联网体系结构研究的有效手段，而且可作为下一代互联网体系结构的基本属性，即IP只是下一代互联网中的一种协议，可能还有其他与IP处于相同地位的协议，互联网体系结构是动态变化的，体系结构只是当前所有存在的overlay网络和协议的集合，因此虚拟化成为互联网发展的关键，物理网络资源的虚拟化、分配与隔离将取代IP成为互联网体系结构的核心

(Nar2rowWaist)，网络平台的虚拟化如图2所示，其中新型的互联网体系结构即可是一个适合多数应用的通用结构，也可是针对某一类应用特点(如大规模流媒体传输)，开发的专用体系结构。

图2 网络平台的虚拟化

网络平台的虚拟化对互联网的发展带来革命性的变化，现有的ISP(Internet Service Provider)将成为SNP(Substrate Network Provider)，实现网络资源提供功能，而虚拟网络的开发和维护由NAP(Network Architecture Provider)实现，不同的NAP可通过提供差异化的服务进行竞争。

3.3 虚拟化对可信网络的支持

目前网络节点虚拟化的研究主要致力于提高网络服务的生存性，即通过不同虚拟实现间的动态切换增强网络持续提供服务的能力，与通常双机备份不同，虚拟数据平面或控制平面的切换对网络运行的影响基本可以忽略，以下以VROOM(VirtualROuters On the Move)和BTR(Bug2TolerantRouters)为例，分别介绍虚拟数据平面和虚拟控制平面对提高网络故障冗余能力的重要作用。

VROOM的核心思想是打破路由器硬件与控制软件的紧耦合关系，即路由器硬件仅作为一个承载的Substrate，而路由器软件可以从一个物理路由器转换到另一个物理路由器，由于转换不影响数据流的传输或改变网络拓扑结构，因此虚拟路由器的配置不用改变，从而避免路由计算的收敛延时，当物理路由器需要维护时，可预先将虚拟路由器迁移到同一个POP(Point Of Presence)内部的其他物理路由器，路由器虚拟化、控制平面与转发平面分离以及动态接口绑定是VROOM实现的关键机制。

VROOM迁移时首先将控制平面迁移到新的物理平台，在保持原有平台数据平面工作的同时，原有平台将控制报文重定向到新平台上的控制平面，待新平台数据平面配置完毕(包括转发表的设置、控制状态的安装等)后，可将链路迁移到新的物理平台，实验表明，VROOM可大大简化网络的管理，特别是在设备的维护、新型应用的开发部署以及设备节能方面比传统方法具有更大优势。

BTR针对运行在核心路由器上的软件可能具有安全漏洞、代码错误以及错误配置等问题，借助虚拟化技术提出一种容错路由器设计思想，即在路由器硬件平台上同时运行多个不同的路由器控制软件(Virtual Router，VR)，这些VR具有不同的操作系统、运行不同的路由协议，采用不同的路由消息交换方式，同时代码由不同的设计人员编写，因此多个VR同时发生错误的概率很低，BTR通过系统管理程序(hypervisor)检测每个VR的运行情况，重启以及重新

本文来源：https://www.bwwdw.com/article/lldt.html