OpenFlow技術(shù)及應(yīng)用模式發(fā)展分析

4月10日至15日，第30屆IEEE計(jì)算機(jī)通信國(guó)際大會(huì) (INFOCOM 2011)在上海國(guó)際會(huì)議中心隆重舉行。本次會(huì)議吸引了國(guó)內(nèi)外1000多名計(jì)算機(jī)和通信領(lǐng)域的專家、學(xué)者和企業(yè)的科研人員到場(chǎng)，重點(diǎn)圍繞云計(jì)算、網(wǎng)絡(luò)安全、數(shù)據(jù)中心網(wǎng)絡(luò)、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等一系列研究領(lǐng)域的前沿問(wèn)題進(jìn)行了深入的探討。在備受關(guān)注的現(xiàn)場(chǎng)展示環(huán)節(jié)中（Live Demo），來(lái)自清華大學(xué)信息技術(shù)研究院網(wǎng)絡(luò)安全實(shí)驗(yàn)室的師生們展示了基于OpenFlow的網(wǎng)絡(luò)安全管理系統(tǒng)LiveSec，引起了與會(huì)者的普遍關(guān)注。該系統(tǒng)的成功運(yùn)行，是國(guó)內(nèi)通信領(lǐng)域的研發(fā)團(tuán)隊(duì)對(duì)前沿技術(shù)跟蹤、創(chuàng)新工作的完美詮釋，在科研成果轉(zhuǎn)化為可用產(chǎn)品的道路上占據(jù)了先機(jī)。

OpenFlow揚(yáng)帆起航

OpenFlow技術(shù)最早由斯坦福大學(xué)提出，旨在基于現(xiàn)有TCP/IP技術(shù)條件，以創(chuàng)新的網(wǎng)絡(luò)互聯(lián)理念解決當(dāng)前網(wǎng)絡(luò)面對(duì)新業(yè)務(wù)產(chǎn)生的種種瓶頸，已被享有聲望的《麻省理工科技評(píng)論》雜志評(píng)為十大未來(lái)技術(shù)。它的核心思想很簡(jiǎn)單，就是將原本完全由交換機(jī)/路由器控制的數(shù)據(jù)包轉(zhuǎn)發(fā)過(guò)程，轉(zhuǎn)化為由OpenFlow交換機(jī)（OpenFlow Switch）和控制服務(wù)器（Controller）分別完成的獨(dú)立過(guò)程。轉(zhuǎn)變背后進(jìn)行的實(shí)際上是控制權(quán)的更迭：傳統(tǒng)網(wǎng)絡(luò)中數(shù)據(jù)包的流向是人為指定的，雖然交換機(jī)、路由器擁有控制權(quán)，卻沒(méi)有數(shù)據(jù)流的概念，只進(jìn)行數(shù)據(jù)包級(jí)別的交換；而在OpenFlow網(wǎng)絡(luò)中，統(tǒng)一的控制服務(wù)器取代的路由，決定了所有數(shù)據(jù)包在網(wǎng)絡(luò)中傳輸路徑。OpenFlow交換機(jī)會(huì)在本地維護(hù)一個(gè)與轉(zhuǎn)發(fā)表不同的流表（Flow Table），如果要轉(zhuǎn)發(fā)的數(shù)據(jù)包在流表中有對(duì)應(yīng)項(xiàng)，則直接進(jìn)行快速轉(zhuǎn)發(fā)；若流表中沒(méi)有此項(xiàng)，數(shù)據(jù)包就會(huì)被發(fā)送到控制服務(wù)器進(jìn)行傳輸路徑的確認(rèn)，再根據(jù)下發(fā)結(jié)果進(jìn)行轉(zhuǎn)發(fā)。

OpenFlow網(wǎng)絡(luò)的這個(gè)處理流程，有點(diǎn)類似于狀態(tài)檢測(cè)防火墻中的快速路徑與慢速路徑的處理，只不過(guò)轉(zhuǎn)發(fā)與控制層面在物理上完全分離。這也意味著，OpenFlow網(wǎng)絡(luò)中的設(shè)備能夠分布部署、集中管控，使網(wǎng)絡(luò)變?yōu)檐浖啥x的形態(tài)。在OpenFlow網(wǎng)絡(luò)中部署一種新的路由協(xié)議或安全算法，往往僅需要在控制服務(wù)器上撰寫數(shù)百行代碼。加州大學(xué)伯克利分校的Scott Shenker教授對(duì)此有著很到位的評(píng)價(jià)：“OpenFlow并不能讓你做以前在網(wǎng)絡(luò)上不能做的事情，但它提供了一個(gè)可編程的接口，讓你決定如何路由數(shù)據(jù)包、如何實(shí)現(xiàn)負(fù)載均衡以及如何進(jìn)行訪問(wèn)控制。因此，它的這種通用性確實(shí)會(huì)促進(jìn)發(fā)展。”

在得到學(xué)術(shù)界的普遍認(rèn)可后，工業(yè)界也開(kāi)始對(duì)這項(xiàng)新技術(shù)表示出濃厚的興趣。OpenFlow已經(jīng)在美國(guó)斯坦福大學(xué)、Internet2、日本的JGN2plus等多個(gè)科研機(jī)構(gòu)中得到部署，網(wǎng)絡(luò)設(shè)備生產(chǎn)商思科、惠普、Juniper、NEC等巨頭也紛紛推出了支持OpenFlow的有線和無(wú)線交換設(shè)備，而谷歌、思杰等網(wǎng)絡(luò)應(yīng)用和業(yè)務(wù)廠商則已將OpenFlow技術(shù)用于其不同的產(chǎn)品中。就在半個(gè)月前，以O(shè)penFlow為產(chǎn)品核心設(shè)計(jì)理念的初創(chuàng)企業(yè)Big Switch Networks成功完成了總額1375萬(wàn)美元的第一輪融資，標(biāo)志著資本市場(chǎng)對(duì)這項(xiàng)新技術(shù)及其發(fā)展前景的充分認(rèn)可。目前，OpenFlow的推廣組織開(kāi)放網(wǎng)絡(luò)基金會(huì)（Open Networking Foundation）的成員基本涵蓋了所有網(wǎng)絡(luò)及互聯(lián)網(wǎng)領(lǐng)域的巨頭。

好用才是硬道理

使用新技術(shù)的代價(jià)往往十分高昂，好在OpenFlow具有足夠的開(kāi)放性，給在傳統(tǒng)網(wǎng)絡(luò)中的融合實(shí)現(xiàn)帶來(lái)可能。清華大學(xué)信息技術(shù)研究院網(wǎng)絡(luò)安全實(shí)驗(yàn)室在本屆INFOCOM大會(huì)上現(xiàn)場(chǎng)展示的部署在清華大學(xué)信息樓內(nèi)的LiveSec網(wǎng)絡(luò)安全系統(tǒng)，就是一個(gè)非常好的范本。該系統(tǒng)在傳統(tǒng)的以太網(wǎng)之上，通過(guò)無(wú)線接入技術(shù)和虛擬化技術(shù)引入了基于OpenFlow協(xié)議的控制層（見(jiàn)圖1），顯著降低了構(gòu)建成本。

LiveSec網(wǎng)絡(luò)安全系統(tǒng)包含三層架構(gòu)：

#8226; 以太網(wǎng)交換層: LiveSec基于傳統(tǒng)的以太網(wǎng)絡(luò)進(jìn)行物理交換，所有的執(zhí)行OpenFlow協(xié)議的接入設(shè)備通過(guò)傳統(tǒng)以太網(wǎng)互聯(lián)。

#8226; OpenFlow控制層: LiveSec使用支持OpenFlow協(xié)議的虛擬交換機(jī)（Open vSwitch）和無(wú)線路由器構(gòu)成接入網(wǎng)絡(luò)層。OpenFlow控制層構(gòu)成LiveSec的邏輯拓?fù)洌⒂蒐iveSec控制器進(jìn)行集中控制。

#8226; 網(wǎng)絡(luò)用戶和服務(wù)節(jié)點(diǎn): 網(wǎng)絡(luò)用戶通過(guò)無(wú)線路由器接入，服務(wù)節(jié)點(diǎn)通過(guò)虛擬交換機(jī)接入。所有接入流量在接入層受到LiveSec控制器的全局策略控制。

基于上述架構(gòu)，LiveSec相對(duì)傳統(tǒng)的安全部署模型具有多重優(yōu)勢(shì)。首先，該系統(tǒng)解決了安全設(shè)備的可擴(kuò)展問(wèn)題。通過(guò)全局細(xì)粒度的負(fù)載均衡，LiveSec支持安全設(shè)備在網(wǎng)絡(luò)的任意位置進(jìn)行增量式部署（見(jiàn)圖2）。新部署的節(jié)點(diǎn)會(huì)按照OpenFlow協(xié)議自行入網(wǎng)，并自動(dòng)將控制權(quán)交由LiveSec控制器。所有的用戶和服務(wù)節(jié)點(diǎn)均可在LiveSec網(wǎng)絡(luò)內(nèi)動(dòng)態(tài)遷移，包括無(wú)線接入和虛擬機(jī)的無(wú)縫遷移。記者在展示現(xiàn)場(chǎng)嘗試進(jìn)行了基于虛擬機(jī)的服務(wù)節(jié)點(diǎn)動(dòng)態(tài)加入網(wǎng)絡(luò)的實(shí)驗(yàn)，當(dāng)具有安全檢測(cè)能力的虛擬機(jī)加入網(wǎng)絡(luò)中時(shí)，LiveSec的可視化界面會(huì)顯示出該虛擬機(jī)在網(wǎng)絡(luò)中的拓?fù)浼捌渚邆涞臉I(yè)務(wù)能力（如殺毒功能、協(xié)議識(shí)別功能等）。LiveSec控制器會(huì)依據(jù)新增節(jié)點(diǎn)的處理能力將需要安全處理的網(wǎng)絡(luò)流量均衡到新的節(jié)點(diǎn)上，從可視化界面中也可以看到新增節(jié)點(diǎn)引起的鏈路流量變化。

傳統(tǒng)網(wǎng)絡(luò)中，安全設(shè)備一般被部署在邊緣，對(duì)進(jìn)出流量進(jìn)行訪問(wèn)控制。這種方式雖然成熟有效，對(duì)內(nèi)網(wǎng)中的安全問(wèn)題卻無(wú)能為力。LiveSec創(chuàng)新的交互式訪問(wèn)控制特性則能很好地解決這一難題，由于系統(tǒng)提供了安全節(jié)點(diǎn)到控制器的信息交換通路，并針對(duì)安全事件設(shè)計(jì)了一套信息交換協(xié)議，LiveSec可以根據(jù)安全節(jié)點(diǎn)傳來(lái)的安全事件，在用戶接入層實(shí)施訪問(wèn)控制。這意味著，該系統(tǒng)做到了全網(wǎng)的點(diǎn)到點(diǎn)安全控制，任何攻擊流量在不離開(kāi)接入交換機(jī)的情況下就被扼殺在萌芽狀態(tài)，內(nèi)網(wǎng)安全的頑疾可以從根本上得到解決。（見(jiàn)圖3）

在OpenFlow網(wǎng)絡(luò)中，控制服務(wù)器管控著所有的數(shù)據(jù)流，又能實(shí)時(shí)感知其他節(jié)點(diǎn)的狀態(tài)，為可視化提供了足夠的基礎(chǔ)。記者在展示中看到，LiveSec結(jié)合OpenFlow協(xié)議以及應(yīng)用層業(yè)務(wù)識(shí)別服務(wù)節(jié)點(diǎn)，將網(wǎng)絡(luò)中所有的拓?fù)洹⒘髁俊?yīng)用、安全變化都按照統(tǒng)一格式寫入中央數(shù)據(jù)庫(kù)，并在動(dòng)態(tài)界面中實(shí)現(xiàn)了包括當(dāng)前狀態(tài)及歷史事件回放在內(nèi)的全網(wǎng)業(yè)務(wù)可視化。當(dāng)使用無(wú)線設(shè)備的用戶通過(guò)OpenFlow無(wú)線路由器接入后，立即會(huì)顯示在系統(tǒng)的可視化界面中。該用戶上網(wǎng)所涉及的應(yīng)用層協(xié)議，也會(huì)實(shí)時(shí)顯示在用戶圖標(biāo)一側(cè)。當(dāng)用戶訪問(wèn)不良網(wǎng)站或者進(jìn)行攻擊時(shí)，圖標(biāo)上會(huì)出現(xiàn)紅色警示，LiveSec也會(huì)依據(jù)安全策略在用戶接入端實(shí)時(shí)阻止用戶的部分或所有流量。歷史回放功能也相當(dāng)實(shí)用，可以回放特定時(shí)間段內(nèi)LiveSec的所有事件，攻擊發(fā)起者包括地理位置在內(nèi)的所有信息均可以通過(guò)數(shù)據(jù)庫(kù)查找獲取。

商業(yè)模式定成敗

雖然OpenFlow網(wǎng)絡(luò)從根本上解決了傳統(tǒng)網(wǎng)絡(luò)存在的很多問(wèn)題，卻也因標(biāo)準(zhǔn)化過(guò)程剛剛起步，缺乏大眾化的、實(shí)用的落地方案，至今仍然多被用于各類實(shí)驗(yàn)性質(zhì)的網(wǎng)絡(luò)。在其發(fā)展的道路上，勢(shì)必還要經(jīng)歷擴(kuò)大用戶規(guī)模和商業(yè)模式創(chuàng)新兩大階段。而縱觀近年來(lái)IT行業(yè)巨頭們的發(fā)展情況，締造一個(gè)成功的商業(yè)模式，其重要性顯然遠(yuǎn)遠(yuǎn)超過(guò)了技術(shù)創(chuàng)新。

在記者看來(lái)，LiveSec在某些技術(shù)以外環(huán)節(jié)上的創(chuàng)新，對(duì)OpenFlow的推廣有著十分積極的意義。該系統(tǒng)將傳統(tǒng)安全網(wǎng)關(guān)的數(shù)據(jù)平面拓展到整個(gè)網(wǎng)絡(luò)之中，以全網(wǎng)內(nèi)的OpenFlow交換設(shè)備作為數(shù)據(jù)轉(zhuǎn)發(fā)平面。并且為了保證可擴(kuò)展性并降低成本，保留了傳統(tǒng)的以太網(wǎng)交換設(shè)備，僅通過(guò)引入支持OpenFlow協(xié)議的接入層網(wǎng)絡(luò)來(lái)實(shí)現(xiàn)邏輯拓?fù)涞娜W(wǎng)可控。這意味著，有著一定研發(fā)能力的用戶可以利用廉價(jià)的硬件平臺(tái)和開(kāi)源軟件，自行搭建低成本的OpenFlow網(wǎng)絡(luò)。據(jù)LiveSec團(tuán)隊(duì)負(fù)責(zé)人亓亞博士介紹，該校信息樓內(nèi)實(shí)驗(yàn)網(wǎng)絡(luò)的建設(shè)大量采用了傳統(tǒng)的以太網(wǎng)交換機(jī)和無(wú)線接入點(diǎn)，OpenFlow控制層則由運(yùn)行著開(kāi)源的Open vSwitch模塊的電腦和支持OpenFlow協(xié)議的第三方無(wú)線接入點(diǎn)固件DD-WRT實(shí)現(xiàn)，從而建立了一個(gè)低成本、高性能的OpenFlow網(wǎng)絡(luò)。

未來(lái)的數(shù)據(jù)中心網(wǎng)絡(luò)越來(lái)越趨向于由虛擬機(jī)和服務(wù)器群所組成，數(shù)據(jù)中心的交換架構(gòu)則趨向扁平，使用高性能交換機(jī)群組或clos 網(wǎng)絡(luò)甚至可以支持百萬(wàn)個(gè)節(jié)點(diǎn)的無(wú)阻塞互聯(lián)。在這種情況下，網(wǎng)絡(luò)服務(wù)質(zhì)量及高可用性成為用戶最為關(guān)心的問(wèn)題。以LiveSec為代表的基于OpenFlow的網(wǎng)絡(luò)操作系統(tǒng)支持網(wǎng)絡(luò)設(shè)備的分布式部署，有效避免了單點(diǎn)失效問(wèn)題。控制服務(wù)器的分布式部署，則可以利用分布式哈希技術(shù)同步全網(wǎng)拓?fù)浜筒呗浴．?dāng)網(wǎng)絡(luò)出現(xiàn)局部故障時(shí)，系統(tǒng)可以利用OpenFlow協(xié)議迅速構(gòu)建全新的互聯(lián)拓?fù)洌踔量梢詾椴煌臉I(yè)務(wù)和應(yīng)用分別構(gòu)建不同的拓?fù)洌詽M足安全和服務(wù)質(zhì)量的需求。這又是新的商業(yè)機(jī)會(huì)，試想一下，在OpenFlow網(wǎng)絡(luò)的支持下，IaaS提供商可以為用戶交付一個(gè)獨(dú)一無(wú)二的網(wǎng)絡(luò)，用戶甚至可以自行設(shè)定數(shù)據(jù)流在本網(wǎng)內(nèi)的路徑和安全策略，而不僅僅是幾個(gè)虛擬設(shè)備的控制權(quán)。

從系統(tǒng)實(shí)現(xiàn)模式的角度看，LiveSec的模式是構(gòu)建網(wǎng)絡(luò)操作系統(tǒng)（基于開(kāi)源項(xiàng)目Nox），這個(gè)發(fā)展方向已經(jīng)被許多業(yè)內(nèi)人士所認(rèn)同。不管對(duì)象是桌面還是網(wǎng)絡(luò)，操作系統(tǒng)存在的根本意義都是管理設(shè)備和提供編程接口。眾所周知，想發(fā)揮一塊高性能顯卡的處理能力，必須先安裝該硬件的驅(qū)動(dòng)。基于OpenFlow的網(wǎng)絡(luò)操作系統(tǒng)也是如此，仍以LiveSec為例，所有OpenFlow交換設(shè)備和安全服務(wù)節(jié)點(diǎn)都可看做網(wǎng)絡(luò)系統(tǒng)中的硬件設(shè)備，安全業(yè)務(wù)的實(shí)現(xiàn)則通過(guò)服務(wù)節(jié)點(diǎn)上的軟件完成。當(dāng)新的服務(wù)節(jié)點(diǎn)加入網(wǎng)絡(luò)時(shí)，LiveSec控制器首先要知道這個(gè)節(jié)點(diǎn)能處理什么業(yè)務(wù)，以及如何與設(shè)備建立通信機(jī)制，才能讓安全處理的執(zhí)行者和決策者有效地互動(dòng)起來(lái)。出于商業(yè)層面的考慮，這種機(jī)制的建立往往由服務(wù)提供者主動(dòng)告知控制器，需要一個(gè)與電腦安裝硬件驅(qū)動(dòng)十分相似的過(guò)程。對(duì)網(wǎng)絡(luò)管理者來(lái)說(shuō)，這個(gè)步驟簡(jiǎn)化了部署及使用難度；而對(duì)設(shè)備制造商而言，這種方式也有利于將現(xiàn)有針對(duì)傳統(tǒng)網(wǎng)絡(luò)的產(chǎn)品快速移植到OpenFlow網(wǎng)絡(luò)中。

受當(dāng)前流行的運(yùn)營(yíng)模式影響，基于OpenFlow的網(wǎng)絡(luò)操作系統(tǒng)也在加入更多的應(yīng)用發(fā)行元素。當(dāng)用戶在控制臺(tái)中添加服務(wù)如同在App Store獲取應(yīng)用般便捷時(shí)，OpenFlow網(wǎng)絡(luò)的建設(shè)必然會(huì)步入高速發(fā)展階段。實(shí)際上，這種發(fā)行模式與當(dāng)前許多云安全服務(wù)的商務(wù)模式是可以無(wú)縫對(duì)接的，為云安全的落地提供了絕佳的渠道。以抗DDoS需求為例，在用戶購(gòu)買對(duì)象大量地由專用設(shè)備轉(zhuǎn)向清洗服務(wù)的今天，供應(yīng)商可以通過(guò)系統(tǒng)內(nèi)置的發(fā)行體系為用戶提供自助服務(wù)，然后按次數(shù)或處理能力收取費(fèi)用；用戶完全不必考慮現(xiàn)實(shí)中令人頭疼的部署問(wèn)題，只需通過(guò)“軟件商店”下載安裝相應(yīng)服務(wù)，就能為OpenFlow網(wǎng)絡(luò)添加抗DDoS的能力。

觀點(diǎn)

開(kāi)放成就未來(lái)

從Linux在PC上的發(fā)展來(lái)看，開(kāi)放的思想帶來(lái)技術(shù)的飛躍。OpenFlow的開(kāi)放已使得開(kāi)源的網(wǎng)絡(luò)操作系統(tǒng)成為可能。可以預(yù)見(jiàn)，隨著更多的設(shè)備支持OpenFlow協(xié)議，其控制器和服務(wù)軟件的開(kāi)發(fā)將成為新興網(wǎng)絡(luò)業(yè)務(wù)成敗的關(guān)鍵。此外，在大型企業(yè)網(wǎng)絡(luò)和云計(jì)算數(shù)據(jù)中心中，可拓展網(wǎng)絡(luò)架構(gòu)、虛擬交換系統(tǒng)、多業(yè)務(wù)管理系統(tǒng)等技術(shù)的不斷演進(jìn)亦將有力促進(jìn)基于OpenFlow的網(wǎng)絡(luò)操作系統(tǒng)及其應(yīng)用程序的發(fā)展。我們構(gòu)建于OpenFlow協(xié)議之上的LiveSec，已經(jīng)被證實(shí)可以使網(wǎng)絡(luò)安全變得無(wú)限可拓展并易于管理，取得了一定的成功。以開(kāi)放為理念，我們?cè)贚iveSec項(xiàng)目中使用的系統(tǒng)架構(gòu)和軟件代碼將隨后公開(kāi)于清華大學(xué)網(wǎng)絡(luò)安全實(shí)驗(yàn)室網(wǎng)站。同時(shí)，我們也希望國(guó)內(nèi)有更多的企業(yè)和學(xué)校加入到OpenFlow的相關(guān)研究中，為我國(guó)下一代互聯(lián)網(wǎng)技術(shù)創(chuàng)新做出一份貢獻(xiàn)。（文/清華大學(xué)信息技術(shù)研究院院長(zhǎng)李軍、清華大學(xué)信息技術(shù)研究院網(wǎng)絡(luò)安全實(shí)驗(yàn)室LiveSec項(xiàng)目組）