安全可控的SDN技術(shù)研究

楊明華+++陳聰+++鄭建群+++王振海

【 摘 要 】 自主創(chuàng)新，建設(shè)安全可控的網(wǎng)絡(luò)是我國信息化建設(shè)的重要內(nèi)容。自主安全可控的網(wǎng)絡(luò)建設(shè)的核心思想是在采用自主國產(chǎn)網(wǎng)絡(luò)設(shè)備組網(wǎng)的基礎(chǔ)上通過自定義、可編程方式實(shí)現(xiàn)數(shù)據(jù)底層傳輸和上層控制的分離，進(jìn)而提升網(wǎng)絡(luò)設(shè)備運(yùn)行和網(wǎng)絡(luò)維護(hù)效率，增強(qiáng)網(wǎng)絡(luò)的安全性、可管理性。本文在分析目前網(wǎng)絡(luò)架構(gòu)風(fēng)險(xiǎn)的基礎(chǔ)上，基于SDN技術(shù)設(shè)計(jì)了一種自主安全可控的網(wǎng)絡(luò)，并對技術(shù)原理、實(shí)現(xiàn)方案進(jìn)行了詳細(xì)論述。

【 關(guān)鍵詞 】 SDN；軟件定義網(wǎng)絡(luò)；OpenFlow；安全可控

【 中圖分類號(hào) 】 TP393.08 【 文獻(xiàn)標(biāo)識(shí)碼 】 A

1 引言

近年來，在國家核高基以及863、973等重大專項(xiàng)的支持下，我國在推進(jìn)自主可控方面的腳步日漸加快。國產(chǎn)處理器、國產(chǎn)操作系統(tǒng)等核心軟硬件日漸成熟，已經(jīng)形成了對國外產(chǎn)品的替代能力。以國產(chǎn)CPU為例，近幾年，我國在自主處理器芯片上加大研發(fā)投入，已經(jīng)研發(fā)出多款處理器芯片，如龍芯系列處理器、飛騰系列處理器、UniCore系列處理器、國芯系列處理器、申威系列處理器等。在自主操作系統(tǒng)方面，推出了中標(biāo)麒麟服務(wù)器操作系統(tǒng)、中標(biāo)麒麟桌面操作系統(tǒng)、ReWorks嵌入式實(shí)時(shí)操作系統(tǒng)、天熠實(shí)時(shí)操作系統(tǒng)等產(chǎn)品。在自主數(shù)據(jù)庫方面，國內(nèi)主要包括達(dá)夢、神舟OSCAR、金倉等通用數(shù)據(jù)庫，以及天熠等嵌入式實(shí)時(shí)數(shù)據(jù)庫產(chǎn)品。在計(jì)算機(jī)外圍部件（如內(nèi)存、外存、顯示屏、電源、安全控制芯片）、辦公軟件、服務(wù)中間件等方面，我國也有了相應(yīng)的自主技術(shù)和產(chǎn)品。

然而在網(wǎng)絡(luò)技術(shù)方面，在日益增長龐大的網(wǎng)絡(luò)規(guī)模和不斷增加的新網(wǎng)絡(luò)應(yīng)用面前，我們在安全可控方面的能力卻顯得逐步下降和滯后。主要表現(xiàn)為：危險(xiǎn)性——惡意攻擊、病毒、木馬每年造成巨大的損失；脆弱性——無控制的特性讓整個(gè)網(wǎng)絡(luò)在精心設(shè)計(jì)的少數(shù)攻擊下陷入崩潰；遲鈍性——現(xiàn)代臃腫的路由機(jī)制不能支持快速的部署和更新，即便發(fā)現(xiàn)問題也無法及時(shí)反應(yīng)；低效性——IPv4到IPv6的演進(jìn)，使網(wǎng)絡(luò)設(shè)備的功能更復(fù)雜，讓網(wǎng)絡(luò)的管理更繁雜。

追根溯源，這一切的問題在于我們面前存在一個(gè)無法跨越的軟肋——可控性，我們?nèi)鄙僬莆赵谧约菏种械暮诵募夹g(shù)，尤其在網(wǎng)絡(luò)關(guān)鍵軟硬件上缺少突破和產(chǎn)業(yè)積累，這也反過來制約了我國各類信息系統(tǒng)的使用和效益發(fā)揮。

近年來，OpenFlow以及基于Openflow衍生的SDN（軟件定義網(wǎng)絡(luò)）技術(shù)則為解決我們在自主可控上面臨的軟肋找到了有效的方法。OpenFlow的理念是將路由器和交換機(jī)的控制平面和轉(zhuǎn)發(fā)層面進(jìn)行分離，即將原來由路由器或交換機(jī)控制的數(shù)據(jù)包轉(zhuǎn)發(fā)過程，轉(zhuǎn)化為由OpenFlow交換機(jī)和控制服務(wù)器（OpenFlow Controller）分別完成。

OpenFlow技術(shù)架構(gòu)提供了一種可編程的網(wǎng)絡(luò)實(shí)現(xiàn)，把IP網(wǎng)絡(luò)原有封閉的體系解耦為數(shù)據(jù)平面、控制平面和應(yīng)用平面，從而實(shí)現(xiàn)軟硬件分離，革命性地改變現(xiàn)有的網(wǎng)絡(luò)架構(gòu)。這種對現(xiàn)有網(wǎng)絡(luò)架構(gòu)的顛覆也為我們徹底實(shí)現(xiàn)網(wǎng)絡(luò)的自主可控創(chuàng)造了契機(jī)。

2 國內(nèi)外發(fā)展現(xiàn)狀

2007年，在美國斯坦福大學(xué)的“Clean slate”計(jì)劃的引領(lǐng)下，由教授Nick Mckeown主導(dǎo)，斯坦福提出了OpenFlow協(xié)議。隨后，OpenFlow在產(chǎn)業(yè)界引起了轟動(dòng)，并迅速聚集了一批廠商進(jìn)行產(chǎn)品的研發(fā)。

從2007年提出到現(xiàn)在，OpenFlow已經(jīng)在硬件和軟件支持方面取得了長足的發(fā)展。從OpenFlow推出開始， NEC、 Cisco、Juniper、Toroki、Pronto也相繼推出了支持OpenFlow的交換機(jī)、路由器、無線網(wǎng)絡(luò)接入點(diǎn)（AP）等網(wǎng)絡(luò)設(shè)備。此外，具有OpenFlow功能的AP也已在斯坦福大學(xué)進(jìn)行了部署，標(biāo)志著OpenFlow已不再局限于固網(wǎng)。2009年12月，OpenFlow規(guī)范發(fā)布了具有里程碑意義的可用于商業(yè)化產(chǎn)品的1.0版本。OpenFlow相應(yīng)的支持軟件，如OpenFlow在Wireshark抓包分析工具上的支持插件、OpenFlow的調(diào)試工具（liboftrace）、“OpenFlow虛擬計(jì)算機(jī)仿真”（OpenFlowVMS）等也已日趨成熟。

目前OpenFlow的國際覆蓋已經(jīng)包括日本、葡萄牙、意大利、西班牙、波蘭和瑞典等，尤其是在數(shù)據(jù)中心的應(yīng)用已得到廣泛認(rèn)可。在數(shù)據(jù)中心網(wǎng)絡(luò)中使用OpenFlow交換機(jī)，可以使得網(wǎng)絡(luò)和計(jì)算資源更加緊密的聯(lián)系起來并實(shí)現(xiàn)有效的控制。數(shù)據(jù)中心的數(shù)據(jù)流量很大，如果不能合理分配傳輸路徑很容易造成數(shù)據(jù)擁塞，從而影響數(shù)據(jù)中心的高效運(yùn)行。若在數(shù)據(jù)中心網(wǎng)絡(luò)中添加OpenFlow交換機(jī)，則可以實(shí)現(xiàn)路徑優(yōu)化以及負(fù)載均衡，從而使得數(shù)據(jù)交換更加迅速。目前，Google的數(shù)據(jù)中心內(nèi)部網(wǎng)絡(luò)G-scale采用了OpenFlow交換機(jī)，成為OpenFlow的典范。Google通過10G網(wǎng)絡(luò)鏈路連接分布全球的12個(gè)數(shù)據(jù)中心，在每個(gè)站點(diǎn)部署OpenFlow交換機(jī)和控制服務(wù)器，將鏈路使用率從30%～40%提升至接近100%。此外，網(wǎng)絡(luò)運(yùn)營商N(yùn)TT宣布已在他們?nèi)蛐跃W(wǎng)絡(luò)（主要在亞洲，少數(shù)站點(diǎn)在美國和英國）運(yùn)用SDN技術(shù)（Openflow）提供跨數(shù)據(jù)中心連接。

目前國內(nèi)在產(chǎn)學(xué)研領(lǐng)域?qū)penFlow技術(shù)進(jìn)行研究的單位包括清華大學(xué)、北京郵電大學(xué)、上海交通大學(xué)、中科院、北京云杉網(wǎng)絡(luò)、蘇州盛科網(wǎng)絡(luò)、阿里巴巴等。其中在OpenFlow交換機(jī)領(lǐng)域，蘇州盛科已推出基于國產(chǎn)核心芯片的Openflow交換機(jī)。在控制器領(lǐng)域，北京云杉網(wǎng)絡(luò)等單位基于NoX、FloodLight等開源軟件進(jìn)行了集成。綜合來看，目前國內(nèi)OpenFlow的應(yīng)用還處在摸索研究階段，尤其是在OpenFlow控制器方面都是基于開源代碼，清華大學(xué)在此之上提出自己的管理控制方案，推出了自己管理控制軟件，阿里巴巴也正在自研控制器系統(tǒng)。

3 存在問題

從目前國內(nèi)網(wǎng)絡(luò)設(shè)備構(gòu)成看，設(shè)備類型全部是基于現(xiàn)行互聯(lián)網(wǎng)協(xié)議的通用網(wǎng)絡(luò)交換機(jī)和路由器，其中國外網(wǎng)絡(luò)產(chǎn)品占70%以上，且大多部署在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)，網(wǎng)絡(luò)規(guī)模、組織結(jié)構(gòu)、功能性能很容易被國外獲取。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡(luò)交換機(jī)軟硬件架構(gòu)支持功能龐大復(fù)雜。不但需要完成基礎(chǔ)的數(shù)據(jù)轉(zhuǎn)發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡(luò)功能，甚至需要支持防火墻、NAT、訪問控制等安全設(shè)備需要支持的特性。為了支持這些功能，在交換機(jī)操作系統(tǒng)需要集成上層接口、進(jìn)程管理等程序，整個(gè)系統(tǒng)代碼達(dá)到百萬甚至千萬行，如圖2所示。

這種架構(gòu)使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運(yùn)行，而且很難做到有意義的擴(kuò)展。如果想在現(xiàn)有交換機(jī)中定制化開發(fā)一個(gè)特有的通信協(xié)議就很難實(shí)現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機(jī)軟件的工作量和復(fù)雜度，而且需要全網(wǎng)設(shè)備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺(tái)設(shè)備實(shí)現(xiàn)和支持，不但消耗有限的設(shè)備資源，也存在泄露網(wǎng)絡(luò)拓?fù)湟约熬W(wǎng)絡(luò)中傳輸數(shù)據(jù)的潛在風(fēng)險(xiǎn)。

4 解決思路

引用OpenFlow的技術(shù)思想，將網(wǎng)絡(luò)交換機(jī)演變成工作方式。通過OpenFlow技術(shù)，將路由器和交換機(jī)的控制平面和轉(zhuǎn)發(fā)層面進(jìn)行分離，即將原來由交換機(jī)控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學(xué)習(xí)、路由計(jì)算、防火墻以及負(fù)載均衡等均由控制服務(wù)器（OpenFlow Controller）完成，而不是交換機(jī)固件決定。數(shù)據(jù)包轉(zhuǎn)發(fā)過程則由OpenFlow交換機(jī)完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡(luò)中數(shù)據(jù)包的流向是根據(jù)路由表進(jìn)行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡(luò)中，經(jīng)過OpenFlow交換機(jī)的每個(gè)新的數(shù)據(jù)流都必須由控制器來做出轉(zhuǎn)發(fā)決定。在控制器中可以對這些流按照預(yù)先制定的規(guī)則進(jìn)行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡(luò)。更為重要的是，在內(nèi)部網(wǎng)絡(luò)和外網(wǎng)的連接處應(yīng)用OpenFlow交換機(jī)可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強(qiáng)網(wǎng)絡(luò)內(nèi)部的安全性。

5 實(shí)現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡(luò)將充分利用國內(nèi)產(chǎn)業(yè)相關(guān)單位突破的關(guān)鍵技術(shù)和技術(shù)創(chuàng)新成果，應(yīng)用集成基于自主關(guān)鍵軟硬件的新一代國產(chǎn)OpenFlow交換機(jī)，自主開發(fā)的OpenFlow控制器及上層軟件應(yīng)用。

其中OpenFlow控制器是一個(gè)服務(wù)器平臺(tái)，該平臺(tái)向下可以直接與使OpenFlow交換機(jī)進(jìn)行對話，向上，控制器可為OpenFlow軟件應(yīng)用提供大量功能，包括將OpenFlow交換機(jī)資源編入統(tǒng)一的網(wǎng)絡(luò)視窗內(nèi)，為應(yīng)用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實(shí)現(xiàn)的自定義可編程程序。

6 技術(shù)優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡(luò)來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運(yùn)維人員難以獲得精準(zhǔn)、實(shí)時(shí)的網(wǎng)絡(luò)信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡(luò)，這兩方面的問題幾乎迎刃而解。

6.1 增強(qiáng)網(wǎng)絡(luò)安全，有效控制管理網(wǎng)絡(luò)

新網(wǎng)絡(luò)架構(gòu)中，每一個(gè)終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個(gè)用戶的接入以及每一個(gè)用戶接入網(wǎng)絡(luò)以后的行為都是可查可管的。OpenFlow交換機(jī)的轉(zhuǎn)發(fā)表項(xiàng)本身還具有過濾功能，可以對非法數(shù)據(jù)進(jìn)行限制，從而保證了正常業(yè)務(wù)的穩(wěn)定運(yùn)行。對于重要業(yè)務(wù)，OpenFlow交換機(jī)不僅可以定制安全可靠的轉(zhuǎn)發(fā)路徑，對流量進(jìn)行有效跟蹤，也可以對流量進(jìn)行帶寬保證，確保重要業(yè)務(wù)的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡(luò)和控制網(wǎng)絡(luò)分離，OpenFlow交換機(jī)數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡(luò)非法獲取交換機(jī)控制權(quán)的可能，網(wǎng)絡(luò)更加安全可靠。

6.2 能夠極大提高網(wǎng)絡(luò)設(shè)備自主保障能力

簡化現(xiàn)有網(wǎng)絡(luò)拓?fù)洌嵘W(wǎng)絡(luò)部署效率。新的網(wǎng)絡(luò)架構(gòu)中可以大大減少網(wǎng)絡(luò)設(shè)備的部署數(shù)量，而且部署基于自主技術(shù)和關(guān)鍵部件的新一代網(wǎng)絡(luò)系統(tǒng)裝備，可以從根本上突破西方發(fā)達(dá)國家在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)關(guān)鍵部件和核心技術(shù)上對我國的制約，在其全壽命周期內(nèi)都可以得到優(yōu)質(zhì)保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術(shù)支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡(luò)運(yùn)行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡(luò)系統(tǒng)具有自主維護(hù)保障的能力。

6.3 能夠大量降低設(shè)備采購、管理和維修成本

由于我軍網(wǎng)絡(luò)系統(tǒng)大量采購國外設(shè)備和關(guān)鍵部件，在網(wǎng)絡(luò)裝備采購費(fèi)、綜合維護(hù)管理費(fèi)和維修成本上不堪重負(fù)。

在設(shè)備采購方面，國外進(jìn)口網(wǎng)絡(luò)設(shè)備價(jià)格昂貴，尤其是部署在核心層的設(shè)備，設(shè)備采購價(jià)格要遠(yuǎn)高于國產(chǎn)同類網(wǎng)絡(luò)設(shè)備。如果采用國產(chǎn)網(wǎng)絡(luò)設(shè)備將節(jié)約30%以上的設(shè)備采購經(jīng)費(fèi)。采用自主知識(shí)產(chǎn)權(quán)的OpenFlow技術(shù)研制網(wǎng)絡(luò)設(shè)備，可以避免支付給外商大量專利費(fèi)用，從根本上扭轉(zhuǎn)高額利潤流向國外廠商的不利局面。

6.4 能夠增強(qiáng)網(wǎng)絡(luò)的穩(wěn)定性和可靠性

由于OpenFlow交換機(jī)的優(yōu)化設(shè)計(jì)：精簡了大量網(wǎng)絡(luò)控制協(xié)議，并把網(wǎng)絡(luò)控制權(quán)集中管理，交換機(jī)系統(tǒng)CPU負(fù)擔(dān)減輕；對網(wǎng)絡(luò)的非法控制和攻擊在設(shè)計(jì)上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強(qiáng)了整個(gè)網(wǎng)絡(luò)的可靠性。

7 結(jié)束語

“掌握核心技術(shù)”是我國建設(shè)和維護(hù)新一代自主安全可控網(wǎng)絡(luò)的思路。我們需要除了在網(wǎng)絡(luò)設(shè)備開發(fā)上掌握關(guān)鍵軟硬件的核心技術(shù)以外，還需要在整網(wǎng)建設(shè)和運(yùn)維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡(luò)領(lǐng)域的先天性弱勢地位，保證網(wǎng)絡(luò)的深層次安全。

參考文獻(xiàn)

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡(luò)：正在進(jìn)行的網(wǎng)絡(luò)變革[J]. 中興通訊技術(shù). 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡(luò)技術(shù)發(fā)展與應(yīng)用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強(qiáng)，徐鑫，劉國燕.基于SDN技術(shù)的數(shù)據(jù)中心基礎(chǔ)網(wǎng)絡(luò)構(gòu)建[J]. 電信科學(xué). 2013（01）：130-133.

基金項(xiàng)目：

國家自然科學(xué)基金項(xiàng)目（61063042）；中國博士后科學(xué)基金項(xiàng)目（201104753）；北京市自然科學(xué)基金項(xiàng)目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關(guān)注領(lǐng)域：網(wǎng)終安全、可信計(jì)算技術(shù)。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學(xué)，工程師；主要研究方向和關(guān)注領(lǐng)域：無線通信技術(shù)。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學(xué)，碩士，高級工程師；主要研究方向和關(guān)注領(lǐng)域：信息化應(yīng)用技術(shù)。

王振海（1975-），男，青海西寧人，蘭州大學(xué)，本科，工程師；主要研究方向和關(guān)注領(lǐng)域：計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡(luò)交換機(jī)軟硬件架構(gòu)支持功能龐大復(fù)雜。不但需要完成基礎(chǔ)的數(shù)據(jù)轉(zhuǎn)發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡(luò)功能，甚至需要支持防火墻、NAT、訪問控制等安全設(shè)備需要支持的特性。為了支持這些功能，在交換機(jī)操作系統(tǒng)需要集成上層接口、進(jìn)程管理等程序，整個(gè)系統(tǒng)代碼達(dá)到百萬甚至千萬行，如圖2所示。

這種架構(gòu)使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運(yùn)行，而且很難做到有意義的擴(kuò)展。如果想在現(xiàn)有交換機(jī)中定制化開發(fā)一個(gè)特有的通信協(xié)議就很難實(shí)現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機(jī)軟件的工作量和復(fù)雜度，而且需要全網(wǎng)設(shè)備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺(tái)設(shè)備實(shí)現(xiàn)和支持，不但消耗有限的設(shè)備資源，也存在泄露網(wǎng)絡(luò)拓?fù)湟约熬W(wǎng)絡(luò)中傳輸數(shù)據(jù)的潛在風(fēng)險(xiǎn)。

4 解決思路

引用OpenFlow的技術(shù)思想，將網(wǎng)絡(luò)交換機(jī)演變成工作方式。通過OpenFlow技術(shù)，將路由器和交換機(jī)的控制平面和轉(zhuǎn)發(fā)層面進(jìn)行分離，即將原來由交換機(jī)控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學(xué)習(xí)、路由計(jì)算、防火墻以及負(fù)載均衡等均由控制服務(wù)器（OpenFlow Controller）完成，而不是交換機(jī)固件決定。數(shù)據(jù)包轉(zhuǎn)發(fā)過程則由OpenFlow交換機(jī)完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡(luò)中數(shù)據(jù)包的流向是根據(jù)路由表進(jìn)行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡(luò)中，經(jīng)過OpenFlow交換機(jī)的每個(gè)新的數(shù)據(jù)流都必須由控制器來做出轉(zhuǎn)發(fā)決定。在控制器中可以對這些流按照預(yù)先制定的規(guī)則進(jìn)行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡(luò)。更為重要的是，在內(nèi)部網(wǎng)絡(luò)和外網(wǎng)的連接處應(yīng)用OpenFlow交換機(jī)可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強(qiáng)網(wǎng)絡(luò)內(nèi)部的安全性。

5 實(shí)現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡(luò)將充分利用國內(nèi)產(chǎn)業(yè)相關(guān)單位突破的關(guān)鍵技術(shù)和技術(shù)創(chuàng)新成果，應(yīng)用集成基于自主關(guān)鍵軟硬件的新一代國產(chǎn)OpenFlow交換機(jī)，自主開發(fā)的OpenFlow控制器及上層軟件應(yīng)用。

其中OpenFlow控制器是一個(gè)服務(wù)器平臺(tái)，該平臺(tái)向下可以直接與使OpenFlow交換機(jī)進(jìn)行對話，向上，控制器可為OpenFlow軟件應(yīng)用提供大量功能，包括將OpenFlow交換機(jī)資源編入統(tǒng)一的網(wǎng)絡(luò)視窗內(nèi)，為應(yīng)用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實(shí)現(xiàn)的自定義可編程程序。

6 技術(shù)優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡(luò)來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運(yùn)維人員難以獲得精準(zhǔn)、實(shí)時(shí)的網(wǎng)絡(luò)信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡(luò)，這兩方面的問題幾乎迎刃而解。

6.1 增強(qiáng)網(wǎng)絡(luò)安全，有效控制管理網(wǎng)絡(luò)

新網(wǎng)絡(luò)架構(gòu)中，每一個(gè)終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個(gè)用戶的接入以及每一個(gè)用戶接入網(wǎng)絡(luò)以后的行為都是可查可管的。OpenFlow交換機(jī)的轉(zhuǎn)發(fā)表項(xiàng)本身還具有過濾功能，可以對非法數(shù)據(jù)進(jìn)行限制，從而保證了正常業(yè)務(wù)的穩(wěn)定運(yùn)行。對于重要業(yè)務(wù)，OpenFlow交換機(jī)不僅可以定制安全可靠的轉(zhuǎn)發(fā)路徑，對流量進(jìn)行有效跟蹤，也可以對流量進(jìn)行帶寬保證，確保重要業(yè)務(wù)的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡(luò)和控制網(wǎng)絡(luò)分離，OpenFlow交換機(jī)數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡(luò)非法獲取交換機(jī)控制權(quán)的可能，網(wǎng)絡(luò)更加安全可靠。

6.2 能夠極大提高網(wǎng)絡(luò)設(shè)備自主保障能力

簡化現(xiàn)有網(wǎng)絡(luò)拓?fù)?，提升網(wǎng)絡(luò)部署效率。新的網(wǎng)絡(luò)架構(gòu)中可以大大減少網(wǎng)絡(luò)設(shè)備的部署數(shù)量，而且部署基于自主技術(shù)和關(guān)鍵部件的新一代網(wǎng)絡(luò)系統(tǒng)裝備，可以從根本上突破西方發(fā)達(dá)國家在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)關(guān)鍵部件和核心技術(shù)上對我國的制約，在其全壽命周期內(nèi)都可以得到優(yōu)質(zhì)保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術(shù)支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡(luò)運(yùn)行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡(luò)系統(tǒng)具有自主維護(hù)保障的能力。

6.3 能夠大量降低設(shè)備采購、管理和維修成本

由于我軍網(wǎng)絡(luò)系統(tǒng)大量采購國外設(shè)備和關(guān)鍵部件，在網(wǎng)絡(luò)裝備采購費(fèi)、綜合維護(hù)管理費(fèi)和維修成本上不堪重負(fù)。

在設(shè)備采購方面，國外進(jìn)口網(wǎng)絡(luò)設(shè)備價(jià)格昂貴，尤其是部署在核心層的設(shè)備，設(shè)備采購價(jià)格要遠(yuǎn)高于國產(chǎn)同類網(wǎng)絡(luò)設(shè)備。如果采用國產(chǎn)網(wǎng)絡(luò)設(shè)備將節(jié)約30%以上的設(shè)備采購經(jīng)費(fèi)。采用自主知識(shí)產(chǎn)權(quán)的OpenFlow技術(shù)研制網(wǎng)絡(luò)設(shè)備，可以避免支付給外商大量專利費(fèi)用，從根本上扭轉(zhuǎn)高額利潤流向國外廠商的不利局面。

6.4 能夠增強(qiáng)網(wǎng)絡(luò)的穩(wěn)定性和可靠性

由于OpenFlow交換機(jī)的優(yōu)化設(shè)計(jì)：精簡了大量網(wǎng)絡(luò)控制協(xié)議，并把網(wǎng)絡(luò)控制權(quán)集中管理，交換機(jī)系統(tǒng)CPU負(fù)擔(dān)減輕；對網(wǎng)絡(luò)的非法控制和攻擊在設(shè)計(jì)上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強(qiáng)了整個(gè)網(wǎng)絡(luò)的可靠性。

7 結(jié)束語

“掌握核心技術(shù)”是我國建設(shè)和維護(hù)新一代自主安全可控網(wǎng)絡(luò)的思路。我們需要除了在網(wǎng)絡(luò)設(shè)備開發(fā)上掌握關(guān)鍵軟硬件的核心技術(shù)以外，還需要在整網(wǎng)建設(shè)和運(yùn)維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡(luò)領(lǐng)域的先天性弱勢地位，保證網(wǎng)絡(luò)的深層次安全。

參考文獻(xiàn)

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡(luò)：正在進(jìn)行的網(wǎng)絡(luò)變革[J]. 中興通訊技術(shù). 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡(luò)技術(shù)發(fā)展與應(yīng)用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強(qiáng)，徐鑫，劉國燕.基于SDN技術(shù)的數(shù)據(jù)中心基礎(chǔ)網(wǎng)絡(luò)構(gòu)建[J]. 電信科學(xué). 2013（01）：130-133.

基金項(xiàng)目：

國家自然科學(xué)基金項(xiàng)目（61063042）；中國博士后科學(xué)基金項(xiàng)目（201104753）；北京市自然科學(xué)基金項(xiàng)目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關(guān)注領(lǐng)域：網(wǎng)終安全、可信計(jì)算技術(shù)。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學(xué)，工程師；主要研究方向和關(guān)注領(lǐng)域：無線通信技術(shù)。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學(xué)，碩士，高級工程師；主要研究方向和關(guān)注領(lǐng)域：信息化應(yīng)用技術(shù)。

王振海（1975-），男，青海西寧人，蘭州大學(xué)，本科，工程師；主要研究方向和關(guān)注領(lǐng)域：計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡(luò)交換機(jī)軟硬件架構(gòu)支持功能龐大復(fù)雜。不但需要完成基礎(chǔ)的數(shù)據(jù)轉(zhuǎn)發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡(luò)功能，甚至需要支持防火墻、NAT、訪問控制等安全設(shè)備需要支持的特性。為了支持這些功能，在交換機(jī)操作系統(tǒng)需要集成上層接口、進(jìn)程管理等程序，整個(gè)系統(tǒng)代碼達(dá)到百萬甚至千萬行，如圖2所示。

這種架構(gòu)使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運(yùn)行，而且很難做到有意義的擴(kuò)展。如果想在現(xiàn)有交換機(jī)中定制化開發(fā)一個(gè)特有的通信協(xié)議就很難實(shí)現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機(jī)軟件的工作量和復(fù)雜度，而且需要全網(wǎng)設(shè)備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺(tái)設(shè)備實(shí)現(xiàn)和支持，不但消耗有限的設(shè)備資源，也存在泄露網(wǎng)絡(luò)拓?fù)湟约熬W(wǎng)絡(luò)中傳輸數(shù)據(jù)的潛在風(fēng)險(xiǎn)。

4 解決思路

引用OpenFlow的技術(shù)思想，將網(wǎng)絡(luò)交換機(jī)演變成工作方式。通過OpenFlow技術(shù)，將路由器和交換機(jī)的控制平面和轉(zhuǎn)發(fā)層面進(jìn)行分離，即將原來由交換機(jī)控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學(xué)習(xí)、路由計(jì)算、防火墻以及負(fù)載均衡等均由控制服務(wù)器（OpenFlow Controller）完成，而不是交換機(jī)固件決定。數(shù)據(jù)包轉(zhuǎn)發(fā)過程則由OpenFlow交換機(jī)完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡(luò)中數(shù)據(jù)包的流向是根據(jù)路由表進(jìn)行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡(luò)中，經(jīng)過OpenFlow交換機(jī)的每個(gè)新的數(shù)據(jù)流都必須由控制器來做出轉(zhuǎn)發(fā)決定。在控制器中可以對這些流按照預(yù)先制定的規(guī)則進(jìn)行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡(luò)。更為重要的是，在內(nèi)部網(wǎng)絡(luò)和外網(wǎng)的連接處應(yīng)用OpenFlow交換機(jī)可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強(qiáng)網(wǎng)絡(luò)內(nèi)部的安全性。

5 實(shí)現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡(luò)將充分利用國內(nèi)產(chǎn)業(yè)相關(guān)單位突破的關(guān)鍵技術(shù)和技術(shù)創(chuàng)新成果，應(yīng)用集成基于自主關(guān)鍵軟硬件的新一代國產(chǎn)OpenFlow交換機(jī)，自主開發(fā)的OpenFlow控制器及上層軟件應(yīng)用。

其中OpenFlow控制器是一個(gè)服務(wù)器平臺(tái)，該平臺(tái)向下可以直接與使OpenFlow交換機(jī)進(jìn)行對話，向上，控制器可為OpenFlow軟件應(yīng)用提供大量功能，包括將OpenFlow交換機(jī)資源編入統(tǒng)一的網(wǎng)絡(luò)視窗內(nèi)，為應(yīng)用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實(shí)現(xiàn)的自定義可編程程序。

6 技術(shù)優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡(luò)來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運(yùn)維人員難以獲得精準(zhǔn)、實(shí)時(shí)的網(wǎng)絡(luò)信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡(luò)，這兩方面的問題幾乎迎刃而解。

6.1 增強(qiáng)網(wǎng)絡(luò)安全，有效控制管理網(wǎng)絡(luò)

新網(wǎng)絡(luò)架構(gòu)中，每一個(gè)終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個(gè)用戶的接入以及每一個(gè)用戶接入網(wǎng)絡(luò)以后的行為都是可查可管的。OpenFlow交換機(jī)的轉(zhuǎn)發(fā)表項(xiàng)本身還具有過濾功能，可以對非法數(shù)據(jù)進(jìn)行限制，從而保證了正常業(yè)務(wù)的穩(wěn)定運(yùn)行。對于重要業(yè)務(wù)，OpenFlow交換機(jī)不僅可以定制安全可靠的轉(zhuǎn)發(fā)路徑，對流量進(jìn)行有效跟蹤，也可以對流量進(jìn)行帶寬保證，確保重要業(yè)務(wù)的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡(luò)和控制網(wǎng)絡(luò)分離，OpenFlow交換機(jī)數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡(luò)非法獲取交換機(jī)控制權(quán)的可能，網(wǎng)絡(luò)更加安全可靠。

6.2 能夠極大提高網(wǎng)絡(luò)設(shè)備自主保障能力

簡化現(xiàn)有網(wǎng)絡(luò)拓?fù)?，提升網(wǎng)絡(luò)部署效率。新的網(wǎng)絡(luò)架構(gòu)中可以大大減少網(wǎng)絡(luò)設(shè)備的部署數(shù)量，而且部署基于自主技術(shù)和關(guān)鍵部件的新一代網(wǎng)絡(luò)系統(tǒng)裝備，可以從根本上突破西方發(fā)達(dá)國家在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)關(guān)鍵部件和核心技術(shù)上對我國的制約，在其全壽命周期內(nèi)都可以得到優(yōu)質(zhì)保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術(shù)支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡(luò)運(yùn)行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡(luò)系統(tǒng)具有自主維護(hù)保障的能力。

6.3 能夠大量降低設(shè)備采購、管理和維修成本

由于我軍網(wǎng)絡(luò)系統(tǒng)大量采購國外設(shè)備和關(guān)鍵部件，在網(wǎng)絡(luò)裝備采購費(fèi)、綜合維護(hù)管理費(fèi)和維修成本上不堪重負(fù)。

在設(shè)備采購方面，國外進(jìn)口網(wǎng)絡(luò)設(shè)備價(jià)格昂貴，尤其是部署在核心層的設(shè)備，設(shè)備采購價(jià)格要遠(yuǎn)高于國產(chǎn)同類網(wǎng)絡(luò)設(shè)備。如果采用國產(chǎn)網(wǎng)絡(luò)設(shè)備將節(jié)約30%以上的設(shè)備采購經(jīng)費(fèi)。采用自主知識(shí)產(chǎn)權(quán)的OpenFlow技術(shù)研制網(wǎng)絡(luò)設(shè)備，可以避免支付給外商大量專利費(fèi)用，從根本上扭轉(zhuǎn)高額利潤流向國外廠商的不利局面。

6.4 能夠增強(qiáng)網(wǎng)絡(luò)的穩(wěn)定性和可靠性

由于OpenFlow交換機(jī)的優(yōu)化設(shè)計(jì)：精簡了大量網(wǎng)絡(luò)控制協(xié)議，并把網(wǎng)絡(luò)控制權(quán)集中管理，交換機(jī)系統(tǒng)CPU負(fù)擔(dān)減輕；對網(wǎng)絡(luò)的非法控制和攻擊在設(shè)計(jì)上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強(qiáng)了整個(gè)網(wǎng)絡(luò)的可靠性。

7 結(jié)束語

“掌握核心技術(shù)”是我國建設(shè)和維護(hù)新一代自主安全可控網(wǎng)絡(luò)的思路。我們需要除了在網(wǎng)絡(luò)設(shè)備開發(fā)上掌握關(guān)鍵軟硬件的核心技術(shù)以外，還需要在整網(wǎng)建設(shè)和運(yùn)維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡(luò)領(lǐng)域的先天性弱勢地位，保證網(wǎng)絡(luò)的深層次安全。

參考文獻(xiàn)

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡(luò)：正在進(jìn)行的網(wǎng)絡(luò)變革[J]. 中興通訊技術(shù). 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡(luò)技術(shù)發(fā)展與應(yīng)用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強(qiáng)，徐鑫，劉國燕.基于SDN技術(shù)的數(shù)據(jù)中心基礎(chǔ)網(wǎng)絡(luò)構(gòu)建[J]. 電信科學(xué). 2013（01）：130-133.

基金項(xiàng)目：

國家自然科學(xué)基金項(xiàng)目（61063042）；中國博士后科學(xué)基金項(xiàng)目（201104753）；北京市自然科學(xué)基金項(xiàng)目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關(guān)注領(lǐng)域：網(wǎng)終安全、可信計(jì)算技術(shù)。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學(xué)，工程師；主要研究方向和關(guān)注領(lǐng)域：無線通信技術(shù)。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學(xué)，碩士，高級工程師；主要研究方向和關(guān)注領(lǐng)域：信息化應(yīng)用技術(shù)。

王振海（1975-），男，青海西寧人，蘭州大學(xué)，本科，工程師；主要研究方向和關(guān)注領(lǐng)域：計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)。endprint