摘要：本文主要探索在網(wǎng)絡安全教學及網(wǎng)絡中采用云平臺和SDN網(wǎng)絡結合的方法來滿足各種教學網(wǎng)絡安全模擬、網(wǎng)絡攻防及網(wǎng)絡執(zhí)法演練。同時配合SDN網(wǎng)絡及控制器技術來實現(xiàn)各種級別的網(wǎng)絡攻擊模擬，流量控制，流量分發(fā)和牽引的處理。同時通過SDN網(wǎng)絡體系來滿足各種級別的網(wǎng)絡安全教學模擬和實際仿真試驗。
關鍵詞：云平臺、SDN、KVM、虛擬機模板、流量控制、OpenFlow、Vmware
針對國內(nèi)目前日益嚴重的網(wǎng)絡安全形勢，需要加速人才培訓和環(huán)境模擬試驗?？墒蔷W(wǎng)絡安全涉及的面廣，環(huán)境復雜。很難全面地反映整個方面的問題，如何解決網(wǎng)絡安全人員的培訓和環(huán)境模擬試驗成了一個重要的問題。我們針對整個需求設計了一套完善而可靠的基于大數(shù)據(jù)云計算環(huán)境的網(wǎng)絡安全人員培訓和網(wǎng)絡安全實訓模擬試驗環(huán)境。
采用大數(shù)據(jù)云計算環(huán)境和靈活性是*符合網(wǎng)絡安全模擬環(huán)境和靈活性要求。因為它提供了足夠靈活的環(huán)境建設和環(huán)境靈活設置的模式。可以把無限多的可能性都通過系統(tǒng)模板的方式保存和建立起來。以便隨時調(diào)用和重組。采用大數(shù)據(jù)云計算方式來組建和搭建網(wǎng)絡安全環(huán)境模擬和網(wǎng)絡執(zhí)法仿真。
由于網(wǎng)絡安全與執(zhí)法需要的環(huán)境復雜涉及的面相對多。需要一套可以靈活滿足這樣需求的系統(tǒng)和網(wǎng)絡體系。在具體設計和應用中，我們采用全部基于SDN的網(wǎng)絡體系來配套并滿足這樣的需求。
SDN技術
SDN(Software Define Network簡寫)網(wǎng)絡的zui終目標是服務于多樣化的業(yè)務應用創(chuàng)新。因此隨著SDN技術的部署和推廣，將會有越來越多的業(yè)務應用被研發(fā)，這類應用將能夠便捷地通過SDN北向接口調(diào)用底層網(wǎng)絡能力，按需使用網(wǎng)絡資源。
SDN推動業(yè)務創(chuàng)新已經(jīng)是業(yè)界不爭的事實，它可以被廣泛地應用在云數(shù)據(jù)中心、寬帶傳輸網(wǎng)絡、移動網(wǎng)絡等種種場景中，其中為云計算業(yè)務提供網(wǎng)絡資源服務就是一個非常典型的案例。*，在當前的云計算業(yè)務中，服務器虛擬化、存儲虛擬化都已經(jīng)被廣泛應用，它們將底層的物理資源進行池化共享，進而按需分配給用戶使用。相比之下，傳統(tǒng)的網(wǎng)絡資源遠遠沒有達到類似的靈活性，而SDN的引入則能夠很好地解決這一問題。
SDN通過標準的南向接口屏蔽了底層物理轉發(fā)設備的差異，實現(xiàn)了資源的虛擬化，同時開放了靈活的北向接口供上層業(yè)務按需進行網(wǎng)絡配置并調(diào)用網(wǎng)絡資源。現(xiàn)有所有的云計算領域中的OpenStack、CloudStack、Hpyer-V、Vmware等就是可以工作在SDN應用層的云管理平臺，通過在其網(wǎng)絡資源管理組件中增加SDN管理插件，管理者和使用者可利用SDN北向接口便捷地調(diào)用SDN控制器對外開放的網(wǎng)絡能力。當有云主機組網(wǎng)需求(例如建立用戶專有的VLAN)被發(fā)出時，相關的網(wǎng)絡策略和配置可以在云管理平臺的界面上集中制定并進而驅動SDN控制器統(tǒng)一地自動下發(fā)到相關的網(wǎng)絡設備上。
因此，網(wǎng)絡資源可以和其他類型的虛擬化資源一樣，以抽象的資源能力的面貌統(tǒng)一呈現(xiàn)給業(yè)務應用，無需針對底層網(wǎng)絡設備的差異耗費大量開銷從事額外的適配工作，這有助于業(yè)務應用的快速創(chuàng)新。
SDN控制器及北向接口技術初探
SDN控制層是SDN的大腦，負責對底層轉發(fā)設備的集中統(tǒng)一控制，同時向上層業(yè)務提供網(wǎng)絡能力調(diào)用的接口，在SDN架構中具有舉足輕重的作用，SDN控制器也是SDN關注的焦點。從技術實現(xiàn)上看，控制器除了南向的網(wǎng)絡控制和北向的業(yè)務支撐外，還需要關注東西的擴展，以避免SDN集中控制導致的性能和安全瓶頸問題，SDN控制器也在南向、北向、東西向上引入了相應的核心技術，有效解決與各層通信以及控制集群橫向擴展的難題。
當前，業(yè)界有很多基于OpenFlow控制協(xié)議的開源的控制器實現(xiàn)，例如NOX、Onix、Floodlight等，它們都有各自的特色設計，能夠實現(xiàn)鏈路發(fā)現(xiàn)、拓撲管理、策略制定、表項下發(fā)等支持SDN網(wǎng)絡運行的基本操作。雖然不同的控制器在功能和性能上仍舊存在差異，但是從中已經(jīng)可以總結出 SDN控制器應當具備的技術特征，從這些開源系統(tǒng)的研發(fā)與實踐中得到的經(jīng)驗和教訓將有助于推動SDN控制器的規(guī)范化發(fā)展。
另外，用于網(wǎng)絡集中化控制的控制器作為SDN網(wǎng)絡的核心，其性能和安全性非常重要，其可能存在的負載過大、單點失效等問題一直是SDN領域中亟待解決的問題。當前，業(yè)界對此也有了很多探討，從部署架構、技術措施等多個方面提出了很多有創(chuàng)見的方法。
SDN控制器對網(wǎng)絡的控制主要是通過南向接口協(xié)議實現(xiàn),包括鏈路發(fā)現(xiàn)、拓撲管理、策略制定、表項下發(fā)等，其中鏈路發(fā)現(xiàn)和拓撲管理主要是控制其利用南向接口的上行通道對底層交換設備上報信息進行統(tǒng)一監(jiān)控和統(tǒng)計；而策略制定和表項下發(fā)則是控制器利用南向接口的下行通道對網(wǎng)絡設備進行統(tǒng)一控制。
SDN北向接口是通過控制器向上層業(yè)務應用開放的接口，其目標是使得業(yè)務應用能夠便利地調(diào)用底層的網(wǎng)絡資源和能力。通過北向接口，網(wǎng)絡業(yè)務的能以軟件編程的形式調(diào)用各種網(wǎng)絡資源；同時上層的網(wǎng)絡資源管理系統(tǒng)可以通過控制器的北向接口全局把控整個網(wǎng)網(wǎng)絡的資源狀態(tài)，并對資源進行統(tǒng)一調(diào)度。因為北向接口是直接為業(yè)務應用服務的，因此其設計需要密切業(yè)務應用需求，具有多樣化的特征。同時，北向接口的設計是否合理、便捷，以便能被業(yè)務應用廣泛調(diào)用，會直接影響到SDN控制器廠商的市場前景。
與南向接口方面已有OpenFlow等標準不同，北向接口方面還缺少業(yè)界*的標準，因此，北向接口的協(xié)議制定成為當前SDN領域競爭的焦點，不同的參與者或者從用戶角度出發(fā)，或者從運營角度出發(fā)，或者從產(chǎn)品能力角度出發(fā)提出了很多方案。據(jù)悉，目前至少有20種控制器,每種控制器會對外提供北向接口用于上層應用開發(fā)和資源編排。雖然北向接口標準當前還很難達成共識，但是充分的開放性、便捷性、靈活性將是衡量接口優(yōu)劣的重要標準，例如REST API就是上層業(yè)務應用的比較喜歡的接口形式。部分傳統(tǒng)的網(wǎng)絡設備廠商在其現(xiàn)有設備上提供了編程接口供業(yè)務應用直接調(diào)用，也可被視作是北向接口之一，其目的是在不改變其現(xiàn)有設備架構的條件下提升配置管理靈活性，應對開放協(xié)議的競爭。
控制器負責整個SDN網(wǎng)絡的集中化控制，對于把握全網(wǎng)置資源視圖、改善網(wǎng)絡資源交付都具有非常重要的作用。但控制能力的集中化，也意味著控制器局的安全性和性能成為全網(wǎng)的瓶頸；另外，單一的控制器也無法應對跨多個地域的SDN網(wǎng)絡問題，需要多個SDN控制器組成的分布式集群，以避免單一的控制器節(jié)點 在可靠性、擴展性、性能方面的問題。目前，用于多個控制器之間溝通和的東西向接口還沒定義標準，但專家表示，一些非常成熟的集群技術可以被運用到 SDN網(wǎng)絡中來解決上述難題。
SDN交換機及南向接口技術初探
SDN的核心理念之一就是將控制功能從網(wǎng)絡設備中剝離出來，通過中央控制器實現(xiàn)網(wǎng)絡可編程，從而實現(xiàn)資源的優(yōu)化利用，提升網(wǎng)絡管控效率。
工作在基礎設施層的SDN交換機雖然不在需要對邏輯控制進行過多考慮，但作為SDN網(wǎng)絡中負責具體數(shù)據(jù)轉發(fā)處理的設備，為了完成高速數(shù)據(jù)轉發(fā)，還是 要遵循交換機工作原理。本質上看，傳統(tǒng)設備中無論是交換機還是路由器，其工作原理都是在收到數(shù)據(jù)包時，將數(shù)據(jù)包中的某些特征域與設備自身存儲的一些表項進行比對，當發(fā)現(xiàn)匹配時則按照表項的要求進行相應處理。SDN交換機也是類似的原理，但是與傳統(tǒng)設備存在差異的是，設備中的各個表項并非是由設備自身根據(jù)周邊的網(wǎng)絡環(huán)境在本地自行生成的，而是由遠程控制器統(tǒng)一下發(fā)的，因此各種復雜的控制邏輯(例如鏈路發(fā)現(xiàn)、地址學習、路由計算等等)都無需在SDN交換機中實現(xiàn)。
SDN交換機可以忽略控制邏輯的實現(xiàn)，全力關注基于表項的數(shù)據(jù)處理，而數(shù)據(jù)處理的性能也就成為評價SDN交換機優(yōu)劣的zui關鍵指標，因此，很多高性能 轉發(fā)技術被提出，例如基于多張表以流水線方式進行高速處理的技術。另外，考慮到SDN和傳統(tǒng)網(wǎng)絡的混合工作問題，支持混合模式的SDN交換機也是當前設備 層技術研發(fā)的焦點。同時，隨著虛擬化技術的出現(xiàn)和完善，虛擬化環(huán)境將是SDN交換機的一個重要應用場景，因此SDN交換機可能會有硬件、軟件等多種形態(tài)。 例如，OVS(Open vSwitch，開放虛擬交換標準)交換機就是一款基于開源軟件技術實現(xiàn)的能夠集成在服務器虛擬化Hypervisor中的交換機，具備完善的交換機功 能，在虛擬化組網(wǎng)中起到了非常重要的作用。
SDN交換機只負責網(wǎng)絡高速轉發(fā)，保存的用于轉發(fā)決策的轉發(fā)表信息來自控制器，SDN交換機需要在遠程控制器的管控下工作，與之相關的設備狀態(tài)和控制指令都需要經(jīng)由SDN的南向接口傳達，從而實現(xiàn)集中化統(tǒng)一管理。
在本項目中和設計中*采用基于SDN交換機構建整個網(wǎng)絡體系就可以滿足越發(fā)復雜的需求。同時靈活調(diào)度相關的網(wǎng)絡資源和重新構建各種網(wǎng)絡形態(tài)。同時SDN控制器就可以滿足整個模擬系統(tǒng)復雜的網(wǎng)絡方面的應用需求。
OpenFlow技術
伴隨SDN技術同步發(fā)展的還有Openflow協(xié)議。OpenFlow標準的名稱是OpenFlow Switch Specification，因此它本身是一份設備規(guī)范，其中規(guī)定了作為SDN基礎設施層轉發(fā)設備的OpenFlow交換機的基本組件和功能要求，以及用于由遠程控制器對交換機進行控制的OpenFlow協(xié)議。
當前zui的南向接口莫過于ONF倡導的OpenFlow協(xié)議。作為一個開放的協(xié)議，OpenFlow突破了傳統(tǒng)網(wǎng)絡設備廠商對設備能力接口的壁壘，經(jīng)過多年的發(fā)展，在業(yè)界的共同努力下，當前已經(jīng)日臻完善，能夠全面解決SDN網(wǎng)絡中面臨的各種問題。
當前，OpenFlow已經(jīng)獲得了業(yè)界的廣泛支持，并成為了SDN領域的事實標準，例如OVS交換機就能夠支持OpenFlow協(xié)議。 OpenFlow解決了如何由控制層把SDN交換機所需的用于和數(shù)據(jù)流做匹配的表項下發(fā)給轉發(fā)層設備的問題，同時ONF還提出了OF-CONFIG協(xié)議， 用于對SDN交換機進行遠程配置和管理，其目標都是為了更好地對分散部署的SDN交換機實現(xiàn)集中化管控。
OpenFlow在SDN領域中的重要地位不言而喻，甚至大家一度產(chǎn)生過OpenFlow就等同于SDN的誤解。實際上，OpenFlow只是基于開放協(xié)議的SDN實現(xiàn)中可使用的南向接口之一，后續(xù)可能還會有很多的南向接口(例如ForCES、PCE-P等等)被陸續(xù)應用和推廣。但必須承認的 是，OpenFlow就是為SDN而生的，因此它與SDN的契合度zui高。相信在以ONF為領導的產(chǎn)業(yè)各方的大力推動下，它在未來的發(fā)展前景也將更加明朗。
OpenFlow交換機利用基于安全連接的OpenFlow協(xié)議與遠程控制器相通信。其中，流表(Flow Table)是OpenFlow交換機的關鍵組件，負責數(shù)據(jù)包的高速查詢和轉發(fā)。
流表概念
在OpenFlow v1.1和v1.2中，交換機中的流表項雖然還是由三部分組成，但是相應的名稱已經(jīng)發(fā)生了變化。其中，v1.0中定義的包頭域(Header Fields)和動作(Actions)被分別更名為匹配域(Match Fields)和指令(Instructions)。之所以對包頭域進行改名，是因為流表項中的入端口等元組信息并不是屬于數(shù)據(jù)包頭的內(nèi)容，因此將其改為匹配域將更為確切。而使用指令一詞替代動作，則主要是因為OpenFlow交換機中多流表的引入。在多流表場景中，雖然數(shù)據(jù)包在前*表中出現(xiàn)了匹配，但是交換機后續(xù)的操作仍舊可能是將其轉到下*表中繼續(xù)進行匹配，而并非像v1.0一樣馬上依照流表動作對數(shù)據(jù)包做具體操作。因此，新版本的OpenFlow將相關的動作統(tǒng)一更名為指令。OpenFlow v1.1和v1.2中定義的流表結構如圖1-2所示。
圖1-2 OpenFlow v1.1和v1.2的流表結構
而在OpenFlow v1.3之后，流表結構的內(nèi)容又一次發(fā)生了變化，增加了優(yōu)先級(Priority)、超時定時器(Timeouts)和Cookie等內(nèi)容，從而將原來流表結構中的三部分擴展至六部分，如圖1-3所示。
圖1-3 OpenFlow v1.3的流表結構
如圖1-3所示，OpenFlow v1.3的流表結構的各個域的說明如下。
匹配域：對數(shù)據(jù)包匹配。包括入端口和數(shù)據(jù)包報頭，以及由前一個表的可選的元數(shù)據(jù)。
優(yōu)先級：流表項的匹配次序。
計數(shù)器：更新匹配數(shù)據(jù)包的計數(shù)。
指令：修改動作集或流水線處理。
超時定時器：一個流的zui長有效時間或zui大空閑時間。
Cookie：由控制器選擇的不透明數(shù)據(jù)值?？刂破饔脕磉^濾流統(tǒng)計數(shù)據(jù)、流改變和流刪除。但處理數(shù)據(jù)包時不能使用。
Openflow關鍵技術
OpenFlow提供了一個開放的協(xié)議,用戶可以通過該協(xié)議對不同的交換機中的流表進行控制。研究者可以通過選擇數(shù)據(jù)轉發(fā)通路以及它們需要怎樣的處理來輕松地控制數(shù)據(jù)流的走向。通過這種方式,研宄人員可以在網(wǎng)絡中嘗試創(chuàng)新型的路由協(xié)議、安全網(wǎng)絡模型、新型網(wǎng)絡服務、甚至可以用其替換現(xiàn)有的TCP/IP協(xié)議。一個完整的OpenFlow網(wǎng)絡是由一個OpenFlow控制器和一個或者多個OpenFlow交換機組成。
OpenFlow交換機是整個OpenFlow網(wǎng)絡的核心部件,主要管理數(shù)據(jù)層的轉發(fā)。OpenFlow交換機接收到數(shù)據(jù)包后,首先會在本地的流表上查找轉發(fā)端口,如果沒有匹配,則把數(shù)據(jù)包轉發(fā)給控制器,由控制層決定轉發(fā)端口。OpenFlow交換機主要由三個部分組成:交換機中的流表、與遠程控制器連接的安全通道、連接交換機與控制器之間通信使用的標準OpenFlow協(xié)議:
(1)交換機流表表中的每一個表項包含一個動作,Flow按表項匹配后執(zhí)行相應的動作。
(2)安全通道連接交換機和控制器的接口,實現(xiàn)控制器和交換機之間網(wǎng)絡數(shù)據(jù)包以及交互指令的傳輸。
(3)OpenFlow協(xié)議描述控制器和交換機之間交互所用信息的標準,以及控制器和交換機接口標準。
OpenFlow交換機具體工作原理如下:
(1)開啟OpenFlow控制器,通過安全通道與OpenFlow交換機進行信息交互并完成連接。
(2) OpenFlow交換機中的流表中可以保存若干流表項,每個流表項由匹配域,計數(shù)器和動作組成。
(3)數(shù)據(jù)流進入OpenFlow交換機后根據(jù)流表項中的匹配域進行匹配,找到流表項的數(shù)據(jù)流修改計數(shù)值,然后OpenFlow交換機根據(jù)查詢的動作對數(shù)據(jù)包進行處理。
(4)若進入OpenFlow交換機的數(shù)據(jù)流沒有匹配成功,則通過安全通道發(fā)送到控制器,由控制器的決策模塊進行處理。
OpenFlow控制器負責控制OpenFlow交換機中的流表。包括對流表的添加、修改以及刪除等基本操作。這些基本操作功能的實現(xiàn)基于在控制器上開發(fā)的程序。實現(xiàn)控制器的硬件設備較為靈活,可以是一臺運行簡單應用的PC機,也可以通過虛擬機模擬完成?？刂破魃峡刂瞥绦虻墓δ茉O計使得OpenFlow網(wǎng)絡得以提供豐富的應用,體現(xiàn)OpenFlow網(wǎng)絡的靈活性和擴展性的特點。
OpenFlow網(wǎng)絡中交換機和控制器之間通信采用OpenFlow協(xié)議。OpenFlow協(xié)議規(guī)定交換機和控制器之間互通控制信息時,通過可靠傳輸?shù)陌踩ǖ肋M行消息的傳輸。控制信息包括建立連接消息、配置交換機消息、讀取狀態(tài)消息、修改狀態(tài)消息、配置隊列消息等?？刂破飨⒌闹饕δ苁菍崿F(xiàn)交換機通過安全通道向控制器發(fā)送數(shù)據(jù)包以及控制器向交換機下發(fā)命令等操作。
多云環(huán)境模擬
在網(wǎng)絡安全及執(zhí)法專業(yè)中需要用到大量的實驗和網(wǎng)絡模擬試驗。如果需要構建一個完善而可靠的系統(tǒng)，必然非常困難而且無法實現(xiàn)。因為在網(wǎng)絡安全和執(zhí)法中需要熟悉和了解的知識太多，而且非常復雜。我們希望通過虛擬化云技術和SDN網(wǎng)絡技術來進行靈活構建一套完善而可靠的網(wǎng)絡安全及執(zhí)法的環(huán)境仿真和試驗環(huán)境。通過這樣的方式來滿足教學和實際的需求。
核心包括幾個方面。包括目前所有的網(wǎng)絡虛擬化化環(huán)境(KVM系列、Vmware、Xen、微軟Hyper-V等)。滿足所有的網(wǎng)絡安全的環(huán)境需求。所有的交換機全部采用高密度的SDN交換機。接口全部是萬兆光纖。SDN交換機之間采用40G直連。
SDN系統(tǒng)與云系統(tǒng)的連接示意圖如下：
多云系統(tǒng)整體連接架構圖如下：
系統(tǒng)中包含目前所有的虛擬化環(huán)境。這樣可以滿足實際教育的需求。其中Vmware和微軟Azure均為商業(yè)化產(chǎn)品。Xen及KVM系列為開源類產(chǎn)品。通過在各種虛擬化環(huán)境的系統(tǒng)來滿足各種各樣的環(huán)境模擬需求。涉及網(wǎng)絡方面的可以通過SDN控制器、OpenFlow配置和其他軟件配合完成。
典型案例DDOS攻擊清洗。我們采用以下的SDN架構就可以滿足這個實驗需求。
網(wǎng)絡安全及執(zhí)法試驗環(huán)境模擬，通過虛擬化平臺把各種平臺和環(huán)境做成標準模板庫。方便共享和調(diào)用?？梢园ㄎ④沇indows Server系列、Linux系列、FreeBSD系列、Solaris系列、Mac OS系列等均可以建立成標準的環(huán)境，然后生成標準模板共所有的用戶調(diào)用、整合和應用。
系統(tǒng)鏡像
可以展示當前的鏡像信息，包括：鏡像名稱、操作系統(tǒng)類型、操作系統(tǒng)版本、操作系統(tǒng)架構、鏡像可用狀態(tài)、鏡像大小、創(chuàng)建時間
可以查看共有鏡像和私有鏡像
通過建立統(tǒng)一的安全環(huán)境鏡像(公有鏡像和私有鏡像)。公有鏡像為統(tǒng)一的環(huán)境和結構。私有鏡像為特殊的或的系統(tǒng)來構建。通過鏡像環(huán)境和SDN網(wǎng)絡配合,就可以滿足我們的設計要求。涉及網(wǎng)絡攻擊的試驗，就需要在SDN上配置封鎖域和做流量牽引，以保證系統(tǒng)和網(wǎng)絡安全。
總結
以上技術的探討為一種初步的經(jīng)驗總結。由于網(wǎng)絡安全及執(zhí)法需要涉及的技術和靈活性是無法估量的。采用傳統(tǒng)的架構和方式是無法滿足需求的。我們希望在此拋磚引玉和同行共同探討相關技術和完善架構。目前采用多云架構和SDN網(wǎng)絡來構建是能滿足目前已知的網(wǎng)絡安全及執(zhí)法教學需求。同時希望大家共同研究進步。
