基于SDN的网络虚拟化平台及其隔离性研究

doi:10.11959/j.issn.1000-0801.2016234

摘要/Abstract

摘要：

随着云计算的高速发展，虚拟化正成为近年来在企业级环境下广泛应用的技术。除服务器及存储虚拟化外，在SDN和OpenFlow技术的推动下，网络虚拟化成为热点，基于SDN的网络虚拟化平台也应运而生。在分析基于SDN的网络虚拟化设计目标的基础上，对近年来业界推出的4种典型SDN网络虚拟化平台的系统架构和原理进行了对比，并对其安全和隔离性进行了分析总结。

关键词: SDN, 网络虚拟化, OpenFlow, 隔离性, isolation

Abstract:

The rapid development of cloud computing has recently prompted extensive application of visualization in enterprise-level environments.In addition to server and storage virtualization,network virtualization attracts more and more attention with the application of SDN and OpenFlow.Therewith,software-defined network platforms designed for network virtualization were presented.Firstly,the objectives of the SDN based network virtualization platform were analyzed.Subsequently,the system architectures and principles of four typical network virtualization platforms based on SDN were compared.At last,the safety and isolation mechanism provided by the network virtualization platforms were investigated.

Key words: softwaredefinednetworking, networkvirtualization, OpenFlow

张凯,裘晓峰,朱新宁. 基于SDN的网络虚拟化平台及其隔离性研究[J]. 电信科学, 2016, 32(9): 125-131.

Kai ZHANG,Xiaofeng QIU,Xinning ZHU. Research on SDN based network virtualization platform and its isolation[J]. Telecommunications Science, 2016, 32(9): 125-131.

图/表 10

图1

图2

图3

图4

图

表1

表2

表3

表4

参考文献 7

[1]	陶松 . 基于 SDN 的网络虚拟化安全研究[J]. 电脑知识与技术, 2015,11(5): 23-25. TAO S . On security of SDN-based network virtualization[J]. Computer Knowledge and Technology, 2015,11(5): 23-25.
[2]	BLENK A , BASTA A , KELLERER W . HyperFlex:an SDN virtualization architecture with flexible hypervisor function allocation[C]// IEEE International Symposium on Integrated Network Management,May 11-15,2015,Ottawa,Canada. New Jersey:IEEE Press, 2015: 397-405.
[3]	SHERWOOD R , GIBB G , YAP K K ,et al. FlowVisor:a network virtualization layer[EB/OL].(2009-01-29)[2016-05-20]. .
[4]	COSTA V T , COSTA L H M K . Vulnerabilities and solutions for isolation in FlowVisor-based virtual network environments[J]. Journal of Internet Services ＆Applications, 2015,6(1): 1-9.
[5]	ROBERTO D C,MATTEOG , ROBERTO R , et al . VeRTIGO:network virtualization and beyond[C]// 2012 European Workshop on Software Defined Networking,October 25-26,2012,Darmstadt,Germany. New York:ACM Press, 2012: 24-29.
[6]	DRUTSKOY D , KELLER E , REXFORD J . Scalable network virtualization in software-defined networks[J]. IEEE Internet Computing, 2013,17(2): 20-27.
[7]	ALI A , MARC D L , AYAKA K ,et al. OpenVirteX:make your virtual SDNs programmable[C]// ACM SIGCOMM Workshop on Hot Topics in Software Defined Networking,August 22-24,2014,Chicago,IL,USA. New York:ACM Press, 2014: 25-30.

对比项	FlowVisor	VeRTIGO	FlowN	OpenVirteX
虚拟化方式	基于虚拟管理器	基于虚拟管理器	基于容器	基于虚拟管理器
支持数据隔离	否	否	是	是
支持自定义拓扑	否	是	是	是
使用数据库技术存储映射	否	是	是	否
网络状态可恢复	否	否	否	是
映射模块可分离	否	否	否	是

虚拟化平台	地址空间隔离策略
FlowN	实现了从虚拟地址到物理地址的映射。为了区分不同租户的数据，边缘交换机封装收到的数据分组，并增加一个额外的分组头，用于标识该数据属于哪个虚拟网络，该封装过程和增加的额外分组头信息对控制器和上层应用而言是透明的
OpenVirteX	租户能够为其终端主机分配地址空间，不同的租户在同一物理网络中存在 IP地址块的重叠。为区分不同虚拟网络的主机，OVX生成了全局标识的租户ID，这个ID来自地址空间中的某一个字段。因此，根据这一字段的值，可以对数据所属的虚拟网络进行隔离

虚拟化平台	隔离性能	拓扑隔离策略
FlowVisor	①	在LLDP过程中，捕获底层交换机上发给控制器的分组到达消息，并且记录发送该消息的交换机和端口等信息，以此获得各虚拟网络的全局视图
VeRTIGO	①②	利用映射算法，实现虚拟拓扑与物理拓扑的解耦
FlowN	①②	原理同VeRTIGO
OpenVirteX	①②	原理同VeRTIGO

交换机CPU的隔离性威胁主要来源	威胁原理
新网络流的建立	当网络中有数据分组到达交换机并且没有匹配到任何流表项时，新流建立消息就会被发送至控制器，这个过程消耗了交换机的CPU资源。如果网络中新流建立过于频繁，会使交换机频繁发送新流建立消息到控制器，可能导致CPU资源的耗尽
处理控制器的请求	OpenFlow控制器向交换机发送的请求，如配置流表、询问状态信息等都会消耗 CPU资源
内部状态保持	交换机在维护内部的计数器、处理事件、更新计数器时，消耗CPU资源

[1]	谭艳霞, 王光全, 王泽林, 郑滟雷, 张贺, 张晨芳, 韩赛, 沈世奎. SDN智能管控编排系统技术方案研究[J]. 电信科学, 2023, 39(3): 143-152.
[2]	张乐, 吴艳芹, 张珂, 毛东峰, 姜松, 胡华伟. SDN协同控制器的智能内生技术研究与实现[J]. 电信科学, 2021, 37(12): 101-109.
[3]	尹彦尚, 索同鹏, 董黎刚, 蒋献. 基于贝叶斯攻击图的SDN安全预测方法[J]. 电信科学, 2021, 37(11): 75-85.
[4]	谢景昭, 单炜, 肖畅, 马铁, 陈力, 虞红芳, 孙罡. Klonet：面向技术创新的网络模拟实验平台[J]. 电信科学, 2021, 37(10): 66-75.
[5]	陈慧光, 李欢. 智能专线业务编排系统架构设计与实现[J]. 电信科学, 2021, 37(10): 152-161.
[6]	唐雄燕,王海军,杨宏博. 面向专线业务的光传送网（OTN）关键技术及应用[J]. 电信科学, 2020, 36(7): 18-25.
[7]	雷波,王江龙,赵倩颖,余勇志,杨明川. 基于计算、存储、传送资源融合化的新型网络虚拟化架构[J]. 电信科学, 2020, 36(7): 42-54.
[8]	谢萍,刘孝颂. 基于区块链的SDN物联网部署安全[J]. 电信科学, 2020, 36(12): 139-146.
[9]	黄志兰,樊勇兵,樊宁,陈楠,吴林泽,林宝洪. 云资源池集成虚拟防火墙方案及关键技术[J]. 电信科学, 2019, 35(5): 140-148.
[10]	王东山,马跃,李艳,高建,尹志斌. 面向电力业务的“IP数据网+光传输网”协同统一控制技术[J]. 电信科学, 2019, 35(3): 116-121.
[11]	王博伟,谭劲,蒋文斌. 一种基于SDN的物联网数据聚合方案[J]. 电信科学, 2019, 35(2): 27-34.
[12]	张园. 面向中小企业的随选网络架构及关键技术[J]. 电信科学, 2018, 34(7): 7-14.
[13]	钟翠,王蕾,罗兴. 云数据中心的SDN解决方案[J]. 电信科学, 2018, 34(7): 15-22.
[14]	陈鼎,张涛,刘可,兰强. 网络重构城域网数据中心化解决方案[J]. 电信科学, 2018, 34(7): 23-34.
[15]	付乔,段晓东,王路,范亚梅. 边缘电信云架构与关键技术[J]. 电信科学, 2018, 34(7): 35-40.