1 引言
隨著互聯(lián)網(wǎng)在人們社會生活中的地位越來越重要，如何保證網(wǎng)絡服務的安全可靠得到越來越多的關(guān)注，對互聯(lián)網(wǎng)技術(shù)的研究重點也逐漸由提高傳輸和交換性能、增強QoS保證轉(zhuǎn)移到提高網(wǎng)絡行為的可控性、網(wǎng)絡服務的生存性等方面，特別是近年來對DDOS攻擊防范、蠕蟲傳播等網(wǎng)絡安全問題，可審計的網(wǎng)絡協(xié)議、源地址欺騙防范、網(wǎng)絡安全脆弱性分析以及網(wǎng)絡生存性的研究逐漸成為熱點。
可信網(wǎng)絡將上述內(nèi)容凝練成一個新的研究方向，已經(jīng)成為下一代互聯(lián)網(wǎng)研究的重要分支。文獻對可信網(wǎng)絡產(chǎn)生的背景和需求進行了深入的分析，從信息安全、可信系統(tǒng)和可信計算等多個角度出發(fā)對可信網(wǎng)絡進行了描述，并建立了可信網(wǎng)絡信任控制和行為模型，上述工作對可信網(wǎng)絡的研究具有重要的指導意義，但目前可信網(wǎng)絡研究面臨一個問題，即在IP無連接傳送機制和端到端設計思想指導下如何有效支撐各種可信網(wǎng)絡服務，或者說現(xiàn)有網(wǎng)絡基礎設施(如路由器)的管理、配置、故障發(fā)現(xiàn)和恢復機制能否滿足可信網(wǎng)絡服務的要求。
虛擬化是近年來互聯(lián)網(wǎng)研究領域出現(xiàn)的新技術(shù)，其思想是通過對底層的抽象屏蔽物理網(wǎng)絡實現(xiàn)細節(jié)，將網(wǎng)絡的控制管理與數(shù)據(jù)平面的轉(zhuǎn)發(fā)與交換進行有效的分離，虛擬化技術(shù)為可信網(wǎng)絡的機制設計提供了廣闊的空間，近期研究表明，虛擬化不但對新型互聯(lián)網(wǎng)體系結(jié)構(gòu)的研究、試驗和部署具有重要的意義，對網(wǎng)絡單元(如路由器)的虛擬化也可提高其故障冗余，持續(xù)提供網(wǎng)絡服務的能力。本文將對網(wǎng)絡虛擬化技術(shù)進行深入分析，并提出一種新的網(wǎng)絡虛擬化機制———VBN(Virtual Big Node)。該機制不但可以簡化網(wǎng)絡復雜性，還可提高網(wǎng)絡節(jié)點路由交換的魯棒性，因此對可信網(wǎng)絡服務的提供具有重要意義。
本文第2節(jié)首先針對文獻中提出的可信網(wǎng)絡面臨的科學問題進行分析，提出在現(xiàn)有網(wǎng)絡體系下實現(xiàn)可信網(wǎng)絡面臨的挑戰(zhàn);第3節(jié)對網(wǎng)絡虛擬化技術(shù)的產(chǎn)生背景、特點以及在可信網(wǎng)絡研究中的應用進行分析;第4節(jié)提出VBN機制;最后是全文的總結(jié)。
2 可信網(wǎng)絡研究面臨的挑戰(zhàn)
林闖教授在文獻中給出了可信網(wǎng)絡的定義及其重要意義:“可信網(wǎng)絡是指網(wǎng)絡系統(tǒng)的行為及其結(jié)果是可以預期的，能夠做到行為狀態(tài)可監(jiān)測，行為結(jié)果可評估，異常行為可控制，對可信網(wǎng)絡的研究解決人們對網(wǎng)絡日益增加的依賴性與安全服務能力的有限性之間的矛盾，是進一步推進網(wǎng)絡理論技術(shù)研究，提高網(wǎng)絡建設及應用水平的重大問題”，并指出可信網(wǎng)絡研究的4個關(guān)鍵科學問題，即網(wǎng)絡與用戶行為的可信模型、可信網(wǎng)絡的體系結(jié)構(gòu)、服務的可生存性以及網(wǎng)絡的可控性，然而我們認為，在現(xiàn)有的互聯(lián)網(wǎng)體系下解決上述科學問題面臨著許多重要的挑戰(zhàn)。
(1)網(wǎng)絡與用戶行為的可信模型
協(xié)議行為是影響網(wǎng)絡行為的重要因素，眾所周知，IETF的哲學“相信統(tǒng)一的共識和可執(zhí)行的代碼”對互聯(lián)網(wǎng)協(xié)議的制定具有重要影響，由于缺少形式化描述和正確性驗證，很多協(xié)議在誕生之初就存在難以預料的缺陷，而這些缺陷大多只有在協(xié)議已經(jīng)部署，對互聯(lián)網(wǎng)的運行產(chǎn)生影響后才能發(fā)現(xiàn)和修補，例如盡管經(jīng)歷了十幾年的研究，作為下一代互聯(lián)網(wǎng)基礎的IPv6協(xié)議仍然存在大量安全漏洞，而在不確定的基礎協(xié)議行為上難以建立可信的網(wǎng)絡模型，對攻擊行為分析是可信網(wǎng)絡中用戶行為建模的重要組成，盡管基于模型和攻擊圖的用戶行為分析已經(jīng)得到廣泛的研究，但受建模方法和工具的限制，這些分析只能局限在小規(guī)模網(wǎng)絡中，無法對針對大規(guī)�；ヂ�(lián)網(wǎng)的攻擊行為進行分析。
(2)可信網(wǎng)絡的體系結(jié)構(gòu)
可信網(wǎng)絡體系結(jié)構(gòu)是指導各種可信網(wǎng)絡機制設計、協(xié)議實現(xiàn)、應用部署和互操作的框架，由于先天不足，現(xiàn)有互聯(lián)網(wǎng)體系結(jié)構(gòu)的許多原則都與可信網(wǎng)絡設計相沖突，如端到端的設計思想造成互聯(lián)網(wǎng)的智能過分集中在網(wǎng)絡邊緣，導致網(wǎng)絡核心管理控制能力弱，無法準確感知異常網(wǎng)絡行為，又如IP層是目前互聯(lián)網(wǎng)體系不可動搖的基礎(NarrowWaist)，因此可信網(wǎng)絡研究中許多革命性的成果，如抵御DDOS的網(wǎng)絡體系結(jié)構(gòu)、可審計網(wǎng)絡協(xié)議等，難以得到實質(zhì)應用，各種可信機制只能通過補丁的形式在網(wǎng)絡中實現(xiàn)，難以形成統(tǒng)一的頂層設計。
(3)服務的可生存性
服務的可生存性在某種程度上是對冗余資源的調(diào)度問題，目前互聯(lián)網(wǎng)從核心節(jié)點到邊緣服務器大都采用多機備份的方式以提高服務的可生存性，而且取得了一定效果，但在互聯(lián)網(wǎng)這個復雜系統(tǒng)中，冗余資源調(diào)度還面臨著兩個關(guān)鍵問題，一是故障難以及時檢測，例如骨干鏈路發(fā)生故障時，雖然光傳輸網(wǎng)具有快速的故障發(fā)現(xiàn)和自愈能力，但路由器難以及時感知光傳輸網(wǎng)絡的故障和變化，二是局部資源切換導致的瞬時非穩(wěn)狀態(tài)可能被無限放大，影響整個網(wǎng)絡的穩(wěn)定，例如局部轉(zhuǎn)發(fā)路徑的切換可能引起互聯(lián)網(wǎng)路由系統(tǒng)長時間的振蕩，導致用戶流量的丟失。
(4)網(wǎng)絡的可控性
互聯(lián)網(wǎng)是一個復雜的系統(tǒng)，在體系結(jié)構(gòu)、設計和工程化方面具有明顯的非線性特征，符合非線性系統(tǒng)的放大原則和耦合原則。一方面，網(wǎng)絡中一個小的事件可能會帶來網(wǎng)絡很大的不穩(wěn)定;另一方面，網(wǎng)絡中同時發(fā)生的事件可能相互影響，同時，互聯(lián)網(wǎng)端到端設計思想又使得網(wǎng)絡智能主要集中在網(wǎng)絡邊緣，因此對互聯(lián)網(wǎng)實施有效的管理控制十分困難，對故障和異常行為進行有效的隔離是增強互聯(lián)網(wǎng)可控性的重要措施，雖然各種隔離機制，如入口過濾、ISP間整形、流量工程等，針對不同問題都能取得一定效果，但從互聯(lián)網(wǎng)整體看，這些控制行為還是難以預計的，對于蠕蟲傳播、DDOS攻擊等還是難以實施有效的控制。
以上分析表明，可信網(wǎng)絡研究，特別是服務的可生存性和網(wǎng)絡的可控性，面臨很大挑戰(zhàn)，因此必須選擇有效的研究路線，我們認為必須在網(wǎng)絡體系和協(xié)議設計上考慮兩個關(guān)鍵問題，一是通過分層等機制簡化網(wǎng)絡結(jié)構(gòu)的復雜度，盡可能減小網(wǎng)絡非線性特征造成的管理控制的不確定性，二是在網(wǎng)絡中實施全方位的隔離機制，降低局部故障和異常對全局網(wǎng)絡的影響。
虛擬化是近年來互聯(lián)網(wǎng)研究領域出現(xiàn)的新技術(shù)，通過對底層網(wǎng)絡的抽象屏蔽物理網(wǎng)絡實現(xiàn)細節(jié)，將網(wǎng)絡的控制管理與數(shù)據(jù)平面的轉(zhuǎn)發(fā)與交換進行有效的分離，上述分離對網(wǎng)絡系統(tǒng)的簡化、故障和異常的隔離提供了較好的支持，因此虛擬化技術(shù)為可信網(wǎng)絡的機制設計提供了廣闊的空間。
3 虛擬化對可信網(wǎng)絡的支持
虛擬化技術(shù)的基本思想是將網(wǎng)絡的管理控制與轉(zhuǎn)發(fā)交換相分離，通過高層的抽象屏蔽底層的物理實現(xiàn)細節(jié)，近年來硬件性能的持續(xù)提高，特別是網(wǎng)絡處理器、FPGA對可編程和可重構(gòu)的支持日益完善為網(wǎng)絡虛擬化創(chuàng)造了良好的條件，網(wǎng)絡虛擬化包括網(wǎng)絡平臺的虛擬化以及網(wǎng)絡節(jié)點的虛擬化。
3.1 網(wǎng)絡節(jié)點虛擬化
節(jié)點虛擬化技術(shù)最初源于20世紀90年代后期出現(xiàn)的可編程ATM交換機思想，即通過對硬件交換平臺的資源劃分，在一個物理交換機上虛擬出多個邏輯的交換機，以支持在一個物理網(wǎng)絡上構(gòu)建多套邏輯網(wǎng)絡，但這項技術(shù)直到近年來可編程硬件(如網(wǎng)絡處理器和FPGA)在網(wǎng)絡節(jié)點中得到廣泛應用后，才得到進一步的關(guān)注，當前虛擬化在路由器上的應用已經(jīng)成為研究的熱點。
控制平面與數(shù)據(jù)平面相分離是路由器虛擬化實現(xiàn)的基礎，基于該思想，路由器控制平面與數(shù)據(jù)平面相互屏蔽各自實現(xiàn)細節(jié)，而只是通過標準的管理控制接口進行通信，相關(guān)工作有網(wǎng)絡處理器論壇制定的CPIX(Common Programmable Interface Archi2tecture)規(guī)范，該規(guī)范對網(wǎng)絡處理器的物理實現(xiàn)進行抽象，并制定標準的網(wǎng)絡處理器配置管理接口，因此路由控制軟件可直接運行在不同的網(wǎng)絡處理器平臺上，IETF的ForCES工作組①更是致力于標準化控制平面與數(shù)據(jù)平面的通信協(xié)議，以便控制平面技術(shù)與數(shù)據(jù)平面技術(shù)能夠獨立發(fā)展，基于網(wǎng)絡處理器平臺以及ForCES協(xié)議實現(xiàn)的路由器有OpenRouter等。
路由器虛擬化是在控制平面和數(shù)據(jù)平面分離的基礎上，進一步在數(shù)據(jù)平面或控制平面實現(xiàn)上采用虛擬化技術(shù)，以獲得更好的故障冗余和管理控制能力，網(wǎng)絡節(jié)點虛擬化示意如圖1所示.
圖1 網(wǎng)絡節(jié)點的虛擬化
在數(shù)據(jù)平面虛擬化中，路由器節(jié)點存在多個物理的數(shù)據(jù)平面實現(xiàn)，但通過虛擬技術(shù)只向控制平面提供一個虛擬的數(shù)據(jù)平面，而對于控制平面虛擬化來說，路由器上同時運行多個控制平面，但通過虛擬化管理，同時只有一個控制平面負責管理配置數(shù)據(jù)平面以及與其他路由器交互，路由器虛擬化的實例將在3.3節(jié)中進一步分析。
網(wǎng)絡端系統(tǒng)的虛擬化研究包括VIA(VirtualInterface Architecture)②和VNS，VIA可在一個物理接口上虛擬出多個邏輯的網(wǎng)絡接口，而VNS則通過虛擬協(xié)議棧使得網(wǎng)絡端系統(tǒng)可與具有不同網(wǎng)絡協(xié)議的其他端系統(tǒng)通信，端系統(tǒng)的虛擬化為網(wǎng)絡平臺虛擬化提供用戶接入的支持。
3.2 網(wǎng)絡平臺的虛擬化
網(wǎng)絡平臺虛擬化思想產(chǎn)生于本世紀初研究者對互聯(lián)網(wǎng)體系結(jié)構(gòu)研究的不斷反思中，文獻指出，目前對互聯(lián)網(wǎng)體系結(jié)構(gòu)的研究陷入僵局，即新型體系結(jié)構(gòu)研究必須依賴大規(guī)模的試驗床，但由于受到設備、管理、網(wǎng)絡規(guī)模等因素的限制，基于現(xiàn)有技術(shù)構(gòu)造的試驗床還必須建立在現(xiàn)有的網(wǎng)絡體系上，只能使用IP無連接的傳送服務，因此新型體系結(jié)構(gòu)試驗難以部署和開展，而虛擬化試驗床是打破這一僵局的有效手段，與傳統(tǒng)的物理試驗床和overlay試驗床不同，虛擬試驗床在一個公共的物理網(wǎng)絡(sub2strate)上通過資源的抽象、分配和隔離機制支持多個overlay網(wǎng)絡共存，與目前IP體系并行的各種新型體系結(jié)構(gòu)通過overlay機制在物理網(wǎng)絡上進行部署，這些網(wǎng)絡相互間不會產(chǎn)生影響，試驗者可通過首跳代理機制方便地接入不同的試驗網(wǎng)絡進行體系結(jié)構(gòu)試驗，這一思想也成為美國GENI計劃①的核心。
基于虛擬試驗床的思想，文獻進一步地提出虛擬化不但可作為支持新型互聯(lián)網(wǎng)體系結(jié)構(gòu)研究的有效手段，而且可作為下一代互聯(lián)網(wǎng)體系結(jié)構(gòu)的基本屬性，即IP只是下一代互聯(lián)網(wǎng)中的一種協(xié)議，可能還有其他與IP處于相同地位的協(xié)議，互聯(lián)網(wǎng)體系結(jié)構(gòu)是動態(tài)變化的，體系結(jié)構(gòu)只是當前所有存在的overlay網(wǎng)絡和協(xié)議的集合，因此虛擬化成為互聯(lián)網(wǎng)發(fā)展的關(guān)鍵，物理網(wǎng)絡資源的虛擬化、分配與隔離將取代IP成為互聯(lián)網(wǎng)體系結(jié)構(gòu)的核心(Nar2rowWaist)，網(wǎng)絡平臺的虛擬化如圖2所示，其中新型的互聯(lián)網(wǎng)體系結(jié)構(gòu)即可是一個適合多數(shù)應用的通用結(jié)構(gòu)，也可是針對某一類應用特點(如大規(guī)模流媒體傳輸)，開發(fā)的專用體系結(jié)構(gòu)。
核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標題：面向可信網(wǎng)絡研究的虛擬化技術(shù)(上)
本文網(wǎng)址：http://www.oesoe.com/html/support/1112158491.html
相關(guān)文章
