軟件定義網絡架構在航天測控網中的應用

郭志亮，常淑桂，董文文，高 靜，李明貴

(中國人民解放軍63780部隊，海南 三亞 572000)

0 引言

我國航天測控網作為航天試驗任務的網絡承載平臺，承擔著數據、語音、視頻和文件等各類業務信息的傳遞任務，目前已發展成為全覆蓋、多方向和高帶寬的一體化大型科研試驗通信專用網絡。由于航天測控網以TCP/IP技術為核心構建，存在著服務質量保證、網絡管理及網絡安全方面的不足[1]，逐漸難以適應日益復雜的航天測控網物理結構以及重大工程任務的工作效率與穩定性需求[2]。

軟件定義網絡(Software Defined Network，SDN)是一種網絡架構，它的提出是為了解決網絡配置復雜、可擴展性差等問題，簡化網絡配置和使用，提高運行與維護效率。其最主要的特點包括：轉發與控制分離、邏輯上的集中控制、接口開放和可編程[3]。隨著SDN的快速發展，SDN已應用到各個網絡場景中，從小型的企業網和校園網擴展到數據中心與廣域網，從有線網擴展到無線網，均采用控制層與數據層分離的方式獲取全局視圖來管理自己的網絡[4]。SDN架構在專業通信網應用方面也有大量的研究，如軍事信息網[5-6]、車載網[7]、電信核心網[8-9]、5G移動通信網[10]和電力通信網[11]等。以上研究論述了SDN架構良好的應用前景，尤其是在精細化流量工程、統一高效的運維管理以及開放可編程靈活應用方面，相較于傳統IP網絡具備特定的優勢。本文針對航天測控網未來發展需求，重點研究了SDN架構在航天測控網中的應用問題，分別對其接入網、數據中心網以及廣域網架構進行設計，并通過仿真實驗論證了SDN架構的有效性與可行性。

1 航天測控網特性需求分析

由于TCP/IP技術在工業界成為事實上的網絡體系標準，基于IP技術構建航天測控網在保障航天測控任務信息穩定可靠傳輸方面發揮著顯著作用。然而近些年我國在航天領域加快發展步伐，密集的任務數量與復雜的技術難度對航天測控網提出了更高的要求。

1.1 資源快速調配需求

執行應急航天測控任務時，需要在短時間調配大量網絡資源進行通信保障。傳統IP網絡屬于分布式架構，經路由器各自分布式計算后決定數據流的傳播方向，因此難以通過逐臺修改路由器配置來迅速調配網絡資源。SDN架構可以預先感知底層傳輸網絡空閑資源狀態，通過集中控制手段支持應急測控任務，實現高效快速的資源調配。

1.2 精細化服務質量保障需求

隨著航天測控任務復雜化程度的不斷提升，信息傳遞要針對不同的業務進行區別處理，實現端到端細粒度的保障。傳統IP網絡采用“盡力交付”設計理念，雖然通過ACL、RSVP、MPLS等協議能夠部分保障服務質量，但實現較為繁瑣，且難以對每個特定的業務進行鑒別和區分服務。SDN架構通過流表和計數器對數據流進行管控，能夠輕易實現細粒度的服務質量保障。

1.3 網絡安全需求

由于航天測控網IP化程度很高，測控系統體系結構趨于開放化，技術平臺趨于通用化，針對通用軟硬件系統的安全威脅向測控網不斷擴散。而隨著國際合作深化發展，外部網絡接入測控網的需求不斷增加，導致測控網面臨的病毒、木馬和惡意攻擊等外在威脅的形勢更加嚴峻[12]。得益于集中控制模式以及對網絡態勢的實時感知，相較于傳統IP網絡，SDN在安全檢測與動態防護方面具備天然的優勢。從網絡安全的角度，SDN帶入了新的安全威脅與挑戰，同時也帶來了新的機遇來變革傳統的安全防護體系[13]。

1.4 自動化運維需求

航天測控網經多年發展，軟硬件差異化程度較高，設備組網形態多樣復雜，傳統網絡運維模式面臨著巨大的壓力。一是新業務、新技術對網絡運維人員的專業技能提出了更高的要求；二是傳統運維模式下技術人員僅對本區域設備狀態負責，難以實現運維策略的集中化統一管理；三是傳統網絡基于設備級的手工配置方法效率較低，難以適應業務動態迅速變更的需求。SDN架構由于采用的集中控制模式，簡化了傳統網絡設備配置的工作量，網絡管理人員可以通過一套動態、自動化的應用程序實現網絡靈活配置、管理、安全加固和資源優化等功能。

2 SDN架構設計

航天測控網在物理架構上主要劃分為3個類型：接入網、數據中心網和廣域網。其中接入網為測控站等地面站點本地接入網絡，數據中心網為發射、測控和應用等中心內部網絡結構，廣域網則負責將各中心、區域中心以及地面站點互相連接，組織架構如圖1所示。由于這幾種不同類型網絡的特性與管理模式均有所不同，因此分別進行SDN架構設計與討論。

圖1 航天測控網組織架構Fig.1 Spaceflight TT&C network architecture

2.1 接入網

由于航天測控網歷經多年發展，當前接入網異構程度較高，具體表現在傳輸層面機制多樣，且獨立運行，難以實現統一的控制與維護。以光傳輸網絡為例，長期以來IP網絡與光網絡一直獨立建設規劃，光網絡作為底層管道支撐IP網業務傳輸，2個網絡都具備完整的網絡功能，并且管控體系封閉，層間交互信息較少。多層網絡之間的信息不共享、控制不協同會導致網絡資源利用率低下，業務路徑無法達到最優，網絡故障發生時造成業務中斷時間長等問題[14]。

為實現優化資源配置，提高服務感知質量，通過引入SDN技術來解決多層協同的問題。利用集中控制掌握全局信息的優勢，為實現多層資源優化、多層生存性優化提供快速高效的新方法。文獻[15]給出了2種協同控制模型，即對等控制模型和層次控制模型，其中對等控制模型基于統一網絡控制協議，屏蔽網絡設備差異，而層次控制模型在控制層之上引入高層協同控制器。考慮航天測控網存在的異構性，以及演進的可行性因素，選擇層次控制模型作為接入網的SDN架構，如圖2所示。在該架構中，IP網絡、光網絡以及無線網絡均由獨立的控制器統一控制，負責各自網絡內的路徑計算與資源分配，高層協同控制器負責層間流量調度、路徑計算和保護恢復協同等功能。底層的網絡信息能夠被上層實時感知，呈現出清晰的網絡運行態勢，運維管理人員能夠通過統一集中的方式對異構網絡進行管理與配置，提升運維管理效率。同時異構網絡之間可以利用協同控制器進行信息交互，有利于故障的快速定位與恢復，提升航天測控接入網的健壯性。

圖2 航天測控接入網SDN架構Fig.2 Spaceflight TT&C access network based on SDN architecture

2.2 數據中心網

航天測控系統包括發射中心、測控中心和應用中心等多個數據中心，承擔各類應用服務，是整個系統的核心部分。隨著各類新型應用的不斷部署，傳統的層次結構數據中心網絡在規模、帶寬、擴展性和成本方面存在諸多不足，包括服務器之間連接和帶寬受限、規模較小、資源分散、縱向擴展成本高、路由效率低、配置開銷大、不提供服務間的流量隔離和網絡協議待改進等問題[16]。當前數據中心新型架構的研究眾多，以Fattree為代表的新型層次網絡架構，由于其具有簡單易用的特點，近年來已經在很多數據中心設計方案中被采用[17]。Fattree的體系架構如圖3所示，通過對傳統數據中心進行適應性改造，就能提升數據中心規模與帶寬問題，較為適用于傳統數據中心演進發展。對于新建數據中心，可采用近年來流行的Spine-Leaf兩層架構[18]，該架構拓撲更加簡單，且更易于管理和擴展，但建設成本相對高昂。

圖3 Fattree數據中心層次結構模型Fig.3 Data center hierarchy model of Fattree

隨著虛擬化、云計算等新型應用需求的不斷增加，航天測控網數據中心走向“云”化已成必然趨勢。當前基于Vxlan技術的Overlay網絡虛擬化技術應用較為成熟，實現了應用與物理網絡的解耦，滿足了云數據中心大二層擴展的要求。數據中心網絡是SDN目前最為明確的應用場景[19]，基于SDN+Vxlan技術的航天測控云數據中心網絡架構如圖4所示。

圖4 航天測控云數據中心網絡架構Fig.4 Spaceflight TT&C cloud data center network architecture

其中Vxlan網關部署到核心交換機，Overlay邏輯視圖為Vxlan大二層域，Underlay為Fattree三層結構。在該架構中，由于采用了無阻塞交換連接的方式，流量路徑的規劃能夠更加靈活，信息傳遞更加高效。基于流表的管控可為不同級別的服務提供邏輯隔離，確保信息不被非法訪問，且統一的安全設備提供網絡邊界的安全防護，能有效管控網絡安全風險。利用SDN控制器實現全局網絡的維護、交換機狀態收集、路由器的計算和流表項的管理，可簡化網絡管理，降低運維成本，提供更好的負載均衡。

2.3 廣域網

航天測控廣域網覆蓋地域廣闊，主要依托各類運營商專線鏈路進行業務支撐，目前主要存在的問題有：一是業務開通不夠高效靈活，傳統專線鏈路需要逐跳配置，部署周期長，難以適應應急條件下的航天測控任務；二是帶寬與利用率矛盾突出，由于專線鏈路帶寬固定，不能根據業務需要靈活調整，鏈路帶寬緊張與鏈路利用率低的情況經常會同時出現；三是運維模式落后，管理復雜度高。文獻[20]提出在SDN廣域網需要重點解決集中控制帶來的網絡可靠性降低與抗毀能力差等問題，文獻[21]提出基于控制路徑連通度的控制器部署方案來最大化提升SDN控制器部署的可靠性，文獻[22]提出了一種適用于廣域網的SDN分級分域控制平面組網架構，并研究該架構下的控制器任務分工與路由計算方法。基于以上研究成果，設計航天測控廣域網SDN架構如圖5所示。

圖5 航天測控廣域網SDN架構Fig.5 Spaceflight TT&C WAN based on SDN architecture

SDN控制器采用異地雙活方式部署，避免單點失效問題；廣域網數據平面設備采用Openflow-hybrid交換機，確保當交換機與控制器失聯之后可以切換為傳統IP路由模式實現抗毀組網；骨干網設備采用環網或柵格網拓撲進行組網，數據中心、站點通過多路徑接入骨干網，進一步提高連通度；廣域網SDN控制器與數據中心、接入網控制器進行協同，實現靈活智能高效的網絡業務應用。在航天測控廣域網引入SDN技術，可以實現多線融合、智能選路、流量監控與調配以及集中化圖形界面管理等功能，提高帶寬利用率與運維管理效率；同時由于集中控制模式，可以快速靈活調配資源支撐航天應急測控任務，并實現全網安全策略的統一性，避免出現網絡安全策略短板。

3 仿真驗證

為驗證SDN架構能夠滿足航天測控網特性需求，通過模擬地面站點與測控、應用中心之間單播通信環境，設計動態組網、安全隔離和自愈恢復3個典型的應用場景開展仿真實驗。實驗基于Mininet網絡仿真平臺，選擇Ryu控制器，采用All-in-one結構，將Ryu控制器與Mininet仿真軟件安裝在同一臺Ubuntu 16.04 LTS服務器中。分別創建了1臺Ryu遠程控制器、11臺ovs交換機、3臺pc主機以及相互之間的通信鏈路，實驗網絡拓撲結構如圖6所示。

圖6 仿真實驗網絡拓撲Fig.6 Network topology of simulation experiment

其中ovs1～ovs4交換機屬于地面站點A，ovs5～ovs8交換機屬于應用中心B，ovs9～ovs11屬于測控中心C，其邊界交換機之間采用全連接結構。

3.1 動態組網

不同的航天發射測控任務有著不同的參與方，加之應急測控任務的常態化開展，因此動態組網是航天測控網常見的應用場景。在傳統IP網絡中，需要依據用戶需求制定通信方案，并細化成為每個網絡設備的配置信息，最后組織多方共同完成鏈路配置、檢查和測試等工作，操作流程較為繁瑣，且耗費大量時間與人力資源。在SDN架構中由于控制平面集中管理，僅需要單個操作人員即可完成Openflow流表下發、配置檢查、鏈路測試等一系列工作，并且能夠掌握鏈路狀態信息，大幅提高組網效率。

在動態組網實驗中，假設地面站點A與測控中心C之間保持常態化通信，收到用戶關于地面站點A向應用中心B發送數據的需求后，使用Ryu控制器application實現動態組網，具體配置方法如下：

① 使用ryu-manager rest_router.py啟用Ryu路由功能。

② 在Ryu控制器上通過Firefox瀏覽器的restclient插件，以json形式向ovs4交換機下發靜態路由{“destination”: “3.1.1.0/24”, “gateway”: “5.1.1.2”}，向ovs5交換機下發靜態路由{“destination”: “1.1.1.0/24”, “gateway”: “5.1.1.1”}。

③ 設置主機地址與網關并進行ping測試，實驗結果表明連通性正常。

SDN架構下實現該動態組網與傳統網絡模式對比如表1所示，可以看出，SDN架構能夠滿足航天測控網資源快速調配需求，并降低運維管理復雜度，相比傳統網絡更加靈活高效。

表1 SDN架構與傳統網絡動態組網對比Tab.1 Dynamic networking comparison of SDN architecture and traditional network

3.2 安全隔離

航天測控網用戶眾多，數據流分布廣泛，不同類型用戶對其數據流有著不同的安全管控需求；同時為確保自身網絡安全，航天測控網用戶希望在保障其通信需求前提下擁有最小的通信基本面。在傳統IP網絡中，安全隔離通過網閘、防火墻和VPN等方式實現，但顆粒度較粗且不夠靈活，難以對整個網絡中的數據流進行管控。Openflow協議通過流表下發來控制數據流走向，能夠實現基于數據流的細顆粒度管控，達到業務級別的安全隔離。在安全策略管理方面，由于傳統網絡安全設備獨立運行，難以確保安全策略的一致性，容易產生網絡安全短板，然而通過SDN架構集中管理安全策略很容易實現全網統一。

在安全隔離實驗中，應用中心B服務器開放web服務允許地面站點A訪問，但禁止測控中心C訪問，且各單位防火墻均關閉445端口。使用Ryu控制器下發流表的方式實現全網安全策略，具體配置方法如下：

① 使用ryu-manager ofctl_rest.py啟動Ryu控制功能。

② 在Ryu控制器上向通過Firefox瀏覽器的restclient插件，以json形式向ovs5交換機下發一條阻止應用中心B連接80端口的流表：{“dpid”: 1, “priority”: 65535 ,“match”: {“dl_type”: 2048, “nw_proto”: 6, “tp_dst”: 80, “in_port”: 2}, “action”: []}。

③ 向ovs4，ovs5，ovs9交換機分別下發一條阻止所有目的端口為445的流表。

④ 設置主機地址與網關，在測控中心C主機上使用wget http命令進行web連接測試，實驗結果表明防火墻對TCP連接請求報文進行了丟棄。

SDN架構下實現網絡安全策略與傳統網絡模式對比如表2所示，SDN架構能夠集中管控全網安全策略并迅速生效，且基于流表的訪問控制策略相比傳統五元組，能夠實現更加精細的安全管控。

表2 SDN架構與傳統網絡安全隔離對比Tab.2 Security isolation comparison of SDN architecture and traditional network

3.3 自愈恢復

在航天測控網中，自愈恢復能力是一項重要的性能指標，體現網絡的可靠性與穩定性，一般通過增加鏈路冗余度以及使用動態路由算法來實現。在傳統IP網絡中，路由算法采用分布式的方式，每個路由器通過泛洪方式掌握完整的網絡拓撲和鏈路費用信息，并獨立計算最短路徑。相較于傳統IP網絡，SDN架構中控制器集中擁有全局視圖的網絡拓撲和資源視圖，路由計算省去了狀態同步的過程，鏈路狀態發生變化時路由收斂時間更短。傳統路由只能實現基本的路由功能，容易造成局部鏈路路由阻塞，而SDN控制器可以根據網絡拓撲與網絡資源進行靈活的路由調度，選出的路徑更能體現用戶需求[23]。

在自愈恢復實驗中，假設地面站點A與測控中心C之間保持常態化通信，在A與C之間通信鏈路中斷情況下，控制器下發流表至ovs交換機，通過應用中心B轉發A與C的數據流，具體配置方法如下：

① 使用ryu-manager rest_router.py啟用Ryu路由功能。

② 在Ryu控制器上通過Firefox瀏覽器的restclient插件，以json形式向ovs4交換機下發靜態路由{“destination”: “2.1.1.0/24”, “gateway”: “5.1.1.2”}，向ovs5交換機下發靜態路由{“destination”: “2.1.1.0/24”, “gateway”: “7.1.1.1”}。

③ 向ovs5交換機下發靜態路由{“destination”: “1.1.1.0/24”, “gateway”: “7.1.1.2”}，向ovs5交換機下發靜態路由{“destination”: “1.1.1.0/24”, “gateway”: “5.1.1.1”}。

④ pc1向pc3進行ping測試，實驗結果表明連通性正常。

SDN架構下實現路由自愈恢復與傳統網絡模式對比如表3所示，手動下發流表控制路由對應傳統網絡靜態路由模式，控制器自動下發流表對應傳統網絡動態路由模式，由于SDN控制器具有開放特性，能夠自定義路由算法，因此傳輸路徑能夠更加保障服務質量，滿足航天測控網可靠性與服務質量需求。

表3 SDN架構與傳統網絡路由自愈恢復對比Tab.3 Route recovery comparison of SDN architecture and traditional network

實驗表明，SDN架構實現了控制與轉發的分離，整個網絡行為均由Ryu控制器下發流表方式進行控制，交換機僅負責轉發動作，用戶可以通過編程自行定義網絡功能。這種模式能夠較好地滿足精細化控制與集中運維管理的需求，在航天測控網中具有較好的應用價值。

4 結束語

隨著我國航天領域快速發展，航天測控網作為航天試驗任務重要的業務承載平臺，也將不斷地演進變化，以適應新形勢下的任務需要。SDN作為近年來熱門的網絡技術，能夠解決傳統IP網絡配置復雜、可擴展性差等問題，目前已在眾多領域進行了廣泛應用。本文重點對航天測控網的特性需求進行了分析，設計了接入網、數據中心網與廣域網SDN架構，論述其應用的可行性，可以為下一代航天測控網建設提供一定的參考。由于本文主要研究SDN架構在航天測控網中應用的可行性，重點突出了功能性的需求，下一步將研究具體路由算法、控制器集群等內容，進一步改進和完善相關實驗。