網格技術在局域網中的應用

摘要：該文在傳統網格技術的基礎上提出了以局域網為基本實體的網格模型，分析了可行性，這種模型可以將網格的異構性封裝在局域網中。

關鍵詞：網格模型；異構；局域網

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)27-1911-02

The Analysis of Grid Model Based on LAN

LI Man-jiang

(LTD Xianyang Branch，Shanci BC TV Network Iintermediary Co.，Xianyang 712000，China)

Abstract: In the paper， we advance the architecture of grid based on LAN， analyze the feasibility and fix the dissimilarity in LAN.

Key words: grid model; dissimilarity; LAN

網格是把地理位置上分散的資源集成起來的一種基礎設施。通過這種基礎設施，用戶不需要了解這個基礎設施上資源的具體細節就可以使用自己需要的資源。分布式資源和通信網絡是網格的物外基礎，網格上的資源包括討計算機、集群、計算機池、儀器、設備、傳感器、存儲設施、數據、軟件等實體，另外，這些實體工作時滿要的相關軟件和數據也屬于網格資源[1]。

網格把用通信手段連接起來的資源無縫集成為一個有機的整體。它給用戶提供一種基于國際互聯網的新型計算平臺，在這個平臺上對來自客戶的請求和提供資源的能力之間進行合理的匹配，為用戶的請求選擇合適的資源服務，可實現廣域范圍的資源共享。網格把分布的資源集成為一臺能力巨大的超級計算機，提供計算資源、存儲資源、數據資源、信息資源、知識資源、專家資源、設備資源的全面共享。資源共享是網格的根本特征，消除資源孤島是網格的奮斗目標[2]。

目前，大多的計算機、資源和用戶都處于局域網中，那如何將先進的網格技術應用在局域網中呢？這將是本文研究的方向。

1 網絡環境下的網格技術分析

1.1 VPN技術

虛擬專用網（VPN）就是利用現有的公用網絡，實現可靠的通信但是又不使用專用通信線路的一種技術。虛擬專用網可以構建在兩個端系統之間或兩個組織機構之間、一個組織機構內部的多個端系統之間或跨越全局性Internet的多個組織之間，以及單個應用或組合應用之間?？梢钥闯?，VPN技術主要有三個應用：1) 實現遠程調用；2) 組建內聯網；3) 組建外聯網。

就目前的VPN技術而言，它能夠實現認證、完整性、機密性和訪問控制，但是不能動態擴展到新的資源，也不允許控制共享資源。

1.2 VPG技術

虛擬專用網格（VPG）概念是2003年提出來的，它的構思是通過是別名（nickname）機制和通信機制，將互聯網中分布于各個子網的計算機組成網格系統，形成一個超級的系統。目前很多的計算機，由于處于防火墻之后、使用了私有IP地址（或者說是內部IP）、或者使用DHCP動態分配的IP地址，結果導致了目前網絡環境不能暢通的互連和共享資源。它采用自動生成樹的辦法實現了網絡上計算機的發現和組網，利用現成的CA認證體系，實現了計算機間資源的調用。但是顯然沒有實現并行計算和協同計算，網格安全問題也沒得到根本的解決。它的自動生成樹算法的初始和結束狀態如圖１所示：

3 Globus的安全策略GSI

目前討論比較多的是Globus的GSI，它提供網格計算中的認證安全和通信安全，它主要位于網格的服務層中的傳輸層和應用層，主要主持用戶代理、資源代理、認證機構和協議的實現等等。GSI建立了包括多個不同組織的安全系統，不采用集中管理的安全策略；使用公鑰加密、X.509認證以及安全傳輸層（SSL）協議并以GSSAPI作為安全編程接口，實現雙重認證和用戶的單一登錄；提供了用戶和用戶代理之間的安全，Globus主體與本地資源主體之間的映射，資源代理與資源分配和進程之間的安全鑒別身份轉移等[5]。

2 局域網網格模型的分析與實現

綜上所述，目前這些技術中，VPN是一項比較成熟的網絡安全，但是，VPN并不是網格，它不能實現協同工作，不能動態實現資源的獲取與調用等；VPG成功實現了一個Shell在其他計算機上的調用，但是沒有給出其網格系統的樹狀結構是在什么時候生成的，只能說實現了移動代理功能；基于分組認證和協作的網格計算安全體系好像解決了問題，但是沒有改變認證集中的問題，同時組用戶和真實用戶之間的關系沒有論述清楚?；谝陨系脑?，在本文中，筆者提出了一種新的網格模型——以局域網為基本單元的網格模型。

2.1 網格環境中的認證策略

在該模型中，CA認證系統做成一個網絡架構。在這個系統中，提供一個樹狀的認證系統，根級的網絡認證，將提供最高級的安全認證的公鑰，用于各個一級機構之間認證；在根結構下面是各個一級機構的認證服務器，它用來認證每個機構的下一級機構的認證信息；依此類推，最低一級是認證各個基層虛擬組織的CA中心。如果根節點被攻擊，那么各個大的虛擬組織之間將不能互相認證，但是各個虛擬組織依然能自成一個網格環境。為了提高根節點抗攻擊能力，根節點可以采用一個網狀的認證體系，每個網狀模型中的任何一個節點都能認證下面的虛擬組織。這樣可以保證CA認證的有效性和安全性達到一個比較高的水平。

2.2 網格系統的框架

在面向服務的網格環境中，有三種基本實體：用戶、主機和服務，它們需要互相認證。網格的實際運用中，希望在是使用中盡量減少用戶參與的認證。為了減少認證，在有的文獻中提出了移動代理、虛擬組織等技術或者方案。但是我們的用戶實際上是存在于各個子網中的用戶，或者就是一個企業的局域網。那么我們就要發揮這個局域網的作用，現在每個局域網都有管理員，來管理網絡中的用戶、主機和資源，在內網和外網之間，有一個防火墻，能執行深度過濾和實現NAT等功能。

我們可以這樣構建基層實體組織，如圖2所示，在這個環境里，內網和外網是經過防火墻來連接的。這個基層的實體節點是這樣工作的：

1) 當防火墻接收到了外來的請求，首先做一個報文檢測：如果是Grid，那么直接將報文做一個NAT轉換后轉發到內網網格調度服務器，由調度主機轉發；如果收到的普通的報文，那直接轉發到防火墻內的主機。

2) 對于內網到外網的報文，先經過調度主機檢測， 如果不是Grid，直接拋給防火墻處理；如果是Grid，調度主機要接著做一些處理再拋給防火墻。

3) 對于內部的網格應用，我們采取集中式管理辦法，由調度主機來完成內部的網格應用。

4) 調度主機還要實現內部用戶的認證，對外有一個或者多個身份，可以引入角色的概念。外網看到的資源、用戶、主機，都是在調度主機上的鏡像—代理的資源、用戶和主機。

2.3 虛擬組織的建設

以上兩步構想設計了實體組織和高層的虛擬組織，下面是將實體組織和虛擬組織連接起來。如果我們按照上面的方法建設了基層組織，那么對于上層組織來說，下面的基層組織將是一個節點，這個節點有個這樣的優勢—同構性。網格的困難在于網絡內部的異構性，如果是一個同構的環境，那么組織和調度將很容易實現。連接實體組織和虛擬組織的框架如圖3所示。

對于實體組織RO，可以是由幾個子實體組織嵌套而成。然后組成的虛擬組織，將根據需要自動增長，當達到一定數量時，組建更大的虛擬組織系統。這樣的一個龐大虛擬組織，即使某些關鍵節點被攻擊，仍然能自成一體，形成一個小的網格環境，因為該層組織和下層組織仍然能發揮認證功能。對于上層組織來說，網格資源是動態的，這就意味著，對上層組織來說，網格只不過損失了一個節點，對于計算網格來說，仍然能發揮大型計算功能。

3 結論

在本文中，筆者將局域網作為一個整體，構建為網格的一個實體節點，從而將網格中比較難以處理的異構問題放在局域網的內部解決。以局域網作為網格的一個節點和實際網絡情況相符合，因此這種解決方案具有較大的實用價值。

參考文獻：

[1] 桂小林.網格技術導論[M].北京:北京郵電大學出版社，2004.

[2] 徐志偉，馮百明.網格計算技術[M].北京:電子工業出版社，2004.

[3] 郁志輝，陳渝，劉鵬.網格計算[M].北京:清華大學出版社，2002.

[4] 賈月琴，張寧，宋曉虹.對網格安全技術的討論[J].微計算機信息，2005(3).

[5] 胡孟梁，嚴華，蔡瑞英.基于局域網的網格的實現[J].微計算機信息，2006(9).