《软件定义安全》之一：SDN和NFV：下一代网络的变革

第1章 SDN和NFV：下一代网络的变革

1.什么是SDN和NFV

1.1 SDN/NFV的体系结构

SDN

SDN的体系结构可以分为3层：

1. 基础设施层由经过资源抽象的网络设备组成，仅实现网络转发等数据平面的功能，不包含或仅包含有限的控制平面的功能。
2. 控制层利用南向接口控制基础设施层的网络设备，构建并维护全局的网络视图，实现传统网络设备中控制平面的功能。
3. 应用层基于北向接口和控制层提供的网络视图进行编程，实现各种不同的网络应用，使得网络的转发行为能够通过软件进行定义，实现网络智能化。

基础设施层与控制层之间通过控南向接口进行交互，控制层与应用层之间通过北向接口进行交互。

NFV

NFV分为3部分：

1. NFV基础设施将基于通用服务器提供的计算、存储和网络进行虚拟化，形成不同类型的资源池。
2. 虚拟网络功能在虚拟化资源池的基础上实现各种网络设备的功能，如防火墙、入侵防御、视频加速、网络代理等。
3. NFV管理和编排则在纵向上负责对上述两个部分进行配置和系统集成。

NFV与SDN之间的关系

1. SDN和NFV技术高度互补，但是并不相互依赖。NFV可以不基于SDN技术进行实现，然而两者相融合则可能产生更大的潜在价值。
2. 利用数据中心现有的技术，NFV的目标可以基于非SDN的机制来实现。然而SDN所提出的控制平面和数据平面解耦的思路，可以进一步提升现有部署服务的性能并简化其互操作性，减轻运维的负担。
3. NFV能够为SDN软件提供其运行所需要的基础设施。

NFV与SDN的目标都是尽可能使用通用硬件来实现网络功能，前者可使网络功能开发者只关注于虚拟网络资源的管理，而不需要关心底层硬件规格和其他细节；同样后者可让网络运维开发者只关注上层的网络业务特性和控制，而不需要关注底层网络组网技术和数据包转发逻辑上。

2.发展方向

2.1 SDN研究方向

① 基础设施层，包括交换机处理流程的设计与实现、转发规则对交换机流表的高效利用，以及交换机流表正确性的验证等。
② 控制层，包括单点控制器设计、集群控制器架构、控制器接口和模型设计、控制器部署位置、控制器的分布式系统特性、控制器安全等。
③ 应用层，分为网络安全、服务质量、负载均衡、流量工程等，以及在企业网、校园网、数据中心、无线网络、广域网等不同场景下的应用。

数据平面

数据平面的主要功能是匹配和转发网包。基于硬件的实现方式，转发性能高、功耗低，但可扩展性差；而基于网络处理器或通用处理器的实现方式，转发性能较硬件实现方式低一两个数量级，但是具备非常强的灵活性。因此，交换机处理流程的设计和实现，主要是在上述两者之间进行折中。同时，基于OpenFlow的SDN交换机流表匹配宽度远超传统交换机，在保证成本功耗的前提下，同样容量的存储芯片可支持的流表数目大幅下降，如何提高交换机流表利用率就成为转发规则相关研究的另一问题。

1. 交换机

未来SDN交换机需要支持在多表上串行或并行查询的灵活配置，对网包处理的操作也要考虑扩展性，除了经典的操作，还需要支持对网包包头任意域的修改，以及匹配过程中变量修改的相关操作。来自OpenFlow研究团队的P4 和来自华为公司的POF是该方向的突出成果。P4面向的是基于芯片的实现方式，而POF是基于网络处理器的方案。通过对匹配域、流水查找、网包操作等交换机处理网包的主要任务进行进一步拆分，并以可灵活配置、拼接的方式实现，未来SDN交换机相比OpenFlow交换机能够更快地实现新的应用需求。

2. 流表优化

在SDN架构中，控制平面向数据平面的多个交换机上部署规则时，会存在延时和不一致的问题：部分交换机上已部署了新的规则，而其他交换机上仍然保留着原有的规则。Reitblatt等人提出采用分布式系统设计中经典的两阶段提交方式来更新规则，并通过给数据包打标签的方式来标识新旧规则的版本。在第一阶段，控制器向拟更新的交换机发送消息，以确定完成对应旧规则的处理，并对处理完成的交换机进行规则的更新；在第二阶段，等待所有更新的交换机返回更新成功的消息，否则取消该更新操作。

控制平面

NOX是首个OpenFlow控制器，它在OpenFlow协议的基础上进行了封装，提供了基于网络事件触发的编程模型，以及应用模块动态加载与组合的运行