1 引言
随着互联网在人们社会生活中的地位越来越重要，如何保证网络服务的安全可靠得到越来越多的关注，对互联网技术的研究重点也逐渐由提高传输和交换性能、增强QoS保证转移到提高网络行为的可控性、网络服务的生存性等方面，特别是近年来对DDOS攻击防范、蠕虫传播等网络安全问题，可审计的网络协议、源地址欺骗防范、网络安全脆弱性分析以及网络生存性的研究逐渐成为热点。
可信网络将上述内容凝练成一个新的研究方向，已经成为下一代互联网研究的重要分支。文献对可信网络产生的背景和需求进行了深入的分析，从信息安全、可信系统和可信计算等多个角度出发对可信网络进行了描述，并建立了可信网络信任控制和行为模型，上述工作对可信网络的研究具有重要的指导意义，但目前可信网络研究面临一个问题，即在IP无连接传送机制和端到端设计思想指导下如何有效支撑各种可信网络服务，或者说现有网络基础设施(如路由器)的管理、配置、故障发现和恢复机制能否满足可信网络服务的要求。
虚拟化是近年来互联网研究领域出现的新技术，其思想是通过对底层的抽象屏蔽物理网络实现细节，将网络的控制管理与数据平面的转发与交换进行有效的分离，虚拟化技术为可信网络的机制设计提供了广阔的空间，近期研究表明，虚拟化不但对新型互联网体系结构的研究、试验和部署具有重要的意义，对网络单元(如路由器)的虚拟化也可提高其故障冗余，持续提供网络服务的能力。本文将对网络虚拟化技术进行深入分析，并提出一种新的网络虚拟化机制———VBN(Virtual Big Node)。该机制不但可以简化网络复杂性，还可提高网络节点路由交换的鲁棒性，因此对可信网络服务的提供具有重要意义。
本文第2节首先针对文献中提出的可信网络面临的科学问题进行分析，提出在现有网络体系下实现可信网络面临的挑战;第3节对网络虚拟化技术的产生背景、特点以及在可信网络研究中的应用进行分析;第4节提出VBN机制;最后是全文的总结。
2 可信网络研究面临的挑战
林闯教授在文献中给出了可信网络的定义及其重要意义:“可信网络是指网络系统的行为及其结果是可以预期的，能够做到行为状态可监测，行为结果可评估，异常行为可控制，对可信网络的研究解决人们对网络日益增加的依赖性与安全服务能力的有限性之间的矛盾，是进一步推进网络理论技术研究，提高网络建设及应用水平的重大问题”，并指出可信网络研究的4个关键科学问题，即网络与用户行为的可信模型、可信网络的体系结构、服务的可生存性以及网络的可控性，然而我们认为，在现有的互联网体系下解决上述科学问题面临着许多重要的挑战。
(1)网络与用户行为的可信模型
协议行为是影响网络行为的重要因素，众所周知，IETF的哲学“相信统一的共识和可执行的代码”对互联网协议的制定具有重要影响，由于缺少形式化描述和正确性验证，很多协议在诞生之初就存在难以预料的缺陷，而这些缺陷大多只有在协议已经部署，对互联网的运行产生影响后才能发现和修补，例如尽管经历了十几年的研究，作为下一代互联网基础的IPv6协议仍然存在大量安全漏洞，而在不确定的基础协议行为上难以建立可信的网络模型，对攻击行为分析是可信网络中用户行为建模的重要组成，尽管基于模型和攻击图的用户行为分析已经得到广泛的研究，但受建模方法和工具的限制，这些分析只能局限在小规模网络中，无法对针对大规模互联网的攻击行为进行分析。
(2)可信网络的体系结构
可信网络体系结构是指导各种可信网络机制设计、协议实现、应用部署和互操作的框架，由于先天不足，现有互联网体系结构的许多原则都与可信网络设计相冲突，如端到端的设计思想造成互联网的智能过分集中在网络边缘，导致网络核心管理控制能力弱，无法准确感知异常网络行为，又如IP层是目前互联网体系不可动摇的基础(NarrowWaist)，因此可信网络研究中许多革命性的成果，如抵御DDOS的网络体系结构、可审计网络协议等，难以得到实质应用，各种可信机制只能通过补丁的形式在网络中实现，难以形成统一的顶层设计。
(3)服务的可生存性
服务的可生存性在某种程度上是对冗余资源的调度问题，目前互联网从核心节点到边缘服务器大都采用多机备份的方式以提高服务的可生存性，而且取得了一定效果，但在互联网这个复杂系统中，冗余资源调度还面临着两个关键问题，一是故障难以及时检测，例如骨干链路发生故障时，虽然光传输网具有快速的故障发现和自愈能力，但路由器难以及时感知光传输网络的故障和变化，二是局部资源切换导致的瞬时非稳状态可能被无限放大，影响整个网络的稳定，例如局部转发路径的切换可能引起互联网路由系统长时间的振荡，导致用户流量的丢失。
(4)网络的可控性
互联网是一个复杂的系统，在体系结构、设计和工程化方面具有明显的非线性特征，符合非线性系统的放大原则和耦合原则。一方面，网络中一个小的事件可能会带来网络很大的不稳定;另一方面，网络中同时发生的事件可能相互影响，同时，互联网端到端设计思想又使得网络智能主要集中在网络边缘，因此对互联网实施有效的管理控制十分困难，对故障和异常行为进行有效的隔离是增强互联网可控性的重要措施，虽然各种隔离机制，如入口过滤、ISP间整形、流量工程等，针对不同问题都能取得一定效果，但从互联网整体看，这些控制行为还是难以预计的，对于蠕虫传播、DDOS攻击等还是难以实施有效的控制。
以上分析表明，可信网络研究，特别是服务的可生存性和网络的可控性，面临很大挑战，因此必须选择有效的研究路线，我们认为必须在网络体系和协议设计上考虑两个关键问题，一是通过分层等机制简化网络结构的复杂度，尽可能减小网络非线性特征造成的管理控制的不确定性，二是在网络中实施全方位的隔离机制，降低局部故障和异常对全局网络的影响。
虚拟化是近年来互联网研究领域出现的新技术，通过对底层网络的抽象屏蔽物理网络实现细节，将网络的控制管理与数据平面的转发与交换进行有效的分离，上述分离对网络系统的简化、故障和异常的隔离提供了较好的支持，因此虚拟化技术为可信网络的机制设计提供了广阔的空间。
3 虚拟化对可信网络的支持
虚拟化技术的基本思想是将网络的管理控制与转发交换相分离，通过高层的抽象屏蔽底层的物理实现细节，近年来硬件性能的持续提高，特别是网络处理器、FPGA对可编程和可重构的支持日益完善为网络虚拟化创造了良好的条件，网络虚拟化包括网络平台的虚拟化以及网络节点的虚拟化。
3.1 网络节点虚拟化
节点虚拟化技术最初源于20世纪90年代后期出现的可编程ATM交换机思想，即通过对硬件交换平台的资源划分，在一个物理交换机上虚拟出多个逻辑的交换机，以支持在一个物理网络上构建多套逻辑网络，但这项技术直到近年来可编程硬件(如网络处理器和FPGA)在网络节点中得到广泛应用后，才得到进一步的关注，当前虚拟化在路由器上的应用已经成为研究的热点。
控制平面与数据平面相分离是路由器虚拟化实现的基础，基于该思想，路由器控制平面与数据平面相互屏蔽各自实现细节，而只是通过标准的管理控制接口进行通信，相关工作有网络处理器论坛制定的CPIX(Common Programmable Interface Archi2tecture)规范，该规范对网络处理器的物理实现进行抽象，并制定标准的网络处理器配置管理接口，因此路由控制软件可直接运行在不同的网络处理器平台上，IETF的ForCES工作组①更是致力于标准化控制平面与数据平面的通信协议，以便控制平面技术与数据平面技术能够独立发展，基于网络处理器平台以及ForCES协议实现的路由器有OpenRouter等。
路由器虚拟化是在控制平面和数据平面分离的基础上，进一步在数据平面或控制平面实现上采用虚拟化技术，以获得更好的故障冗余和管理控制能力，网络节点虚拟化示意如图1所示.
图1 网络节点的虚拟化
在数据平面虚拟化中，路由器节点存在多个物理的数据平面实现，但通过虚拟技术只向控制平面提供一个虚拟的数据平面，而对于控制平面虚拟化来说，路由器上同时运行多个控制平面，但通过虚拟化管理，同时只有一个控制平面负责管理配置数据平面以及与其他路由器交互，路由器虚拟化的实例将在3.3节中进一步分析。
网络端系统的虚拟化研究包括VIA(VirtualInterface Architecture)②和VNS，VIA可在一个物理接口上虚拟出多个逻辑的网络接口，而VNS则通过虚拟协议栈使得网络端系统可与具有不同网络协议的其他端系统通信，端系统的虚拟化为网络平台虚拟化提供用户接入的支持。
3.2 网络平台的虚拟化
网络平台虚拟化思想产生于本世纪初研究者对互联网体系结构研究的不断反思中，文献指出，目前对互联网体系结构的研究陷入僵局，即新型体系结构研究必须依赖大规模的试验床，但由于受到设备、管理、网络规模等因素的限制，基于现有技术构造的试验床还必须建立在现有的网络体系上，只能使用IP无连接的传送服务，因此新型体系结构试验难以部署和开展，而虚拟化试验床是打破这一僵局的有效手段，与传统的物理试验床和overlay试验床不同，虚拟试验床在一个公共的物理网络(sub2strate)上通过资源的抽象、分配和隔离机制支持多个overlay网络共存，与目前IP体系并行的各种新型体系结构通过overlay机制在物理网络上进行部署，这些网络相互间不会产生影响，试验者可通过首跳代理机制方便地接入不同的试验网络进行体系结构试验，这一思想也成为美国GENI计划①的核心。
基于虚拟试验床的思想，文献进一步地提出虚拟化不但可作为支持新型互联网体系结构研究的有效手段，而且可作为下一代互联网体系结构的基本属性，即IP只是下一代互联网中的一种协议，可能还有其他与IP处于相同地位的协议，互联网体系结构是动态变化的，体系结构只是当前所有存在的overlay网络和协议的集合，因此虚拟化成为互联网发展的关键，物理网络资源的虚拟化、分配与隔离将取代IP成为互联网体系结构的核心(Nar2rowWaist)，网络平台的虚拟化如图2所示，其中新型的互联网体系结构即可是一个适合多数应用的通用结构，也可是针对某一类应用特点(如大规模流媒体传输)，开发的专用体系结构。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：面向可信网络研究的虚拟化技术(上)
相关文章
