面向多業務場景的端到端網絡切片安全部署算法

趙季紅 馮 晴 王 智 何曉媛

①(西安郵電大學網絡空間安全學院 西安 710121)

②(西安交通大學電子信息工程學院 西安 710049)

1 引言

隨著5G通信技術的發展，智能家居、自動駕駛、遠程醫療會診等來自垂直行業的多樣化業務逐步實現[1]。增強型移動寬帶eMBB、海量機器類通信mMTC、高可靠低時延通信uRLLC三大業務場景在提供支撐的同時也需要不同的通信方式。5G網絡切片[2]的引入極大地增加了網絡的靈活性，通過將底層物理網絡切分成多個相互獨立的邏輯網絡，從而實現對不同的業務場景提供按需服務。

網絡切片的安全是目前研究的熱點。網絡切片的安全威脅包括切片間由于保密機制故障出現信息泄露；由于資源分配不均而引發的DoS攻擊[3,4]；頻繁通信導致切片間攻擊以及虛擬網絡中VNF(Virtual Network Function)的非法訪問、篡改等問題，這些問題都會破壞切片環境的安全性和機密性，影響網絡切片的正常工作。因此，新的5G網絡切片安全部署策略尤為重要。

5G網絡切片的安全部署需考慮切片類型和網絡環境兩個因素。現有文獻主要是研究在核心網的環境下進行切片的部署設計，對于多域環境下端到端網絡切片的安全部署問題研究較少。文獻[5]利用HW(Holt-Winters)算法預測網絡切片的流量需求，從而避免網絡拓撲結構的頻繁變化給切片動態部署帶來的安全隱患。文獻[6]提出一種啟發式算法來實現切片部署，該算法通過減少VNF的遷移次數來減小對其他切片的影響。文獻[7]提出一種對于多資源切片降低復雜度的在線算法，有效地解決當前網絡切片算法的高復雜度、隱私泄露和離線設置等安全問題。文獻[8]利用一種啟發式算法，研究端到端切片的最優選擇，在確保用戶服務質量的同時，提高資源的有效利用率。綜上所述，目前關于網絡切片的研究部署方案相對較多，但針對多業務類型的網絡切片安全部署研究相對較少。

2 問題描述與數學模型

2.1 安全部署問題描述

5G網絡切片部署中，不同業務場景的切片對底層物理網絡的資源需求不同，網絡切片在部署的結構上也存在差異。端到端網絡切片部署示意圖如圖1所示，3種類型網絡切片部署在接入網、傳輸網和核心網組成的底層物理網絡上，切片之間相互連接，彼此協作。

圖1 端到端切片部署示意圖

信任的概念最早出現在人際社會關系中，后被逐漸引入計算機領域[9]。本文通過引入節點的安全信任值[10]來反映網絡資源的安全性，該值介于0和1之間，隨著安全信任值的逐漸增大，網絡整體的安全性逐漸提高。

節點部署是網絡切片部署的重要環節，簡化后的節點安全部署示例圖如圖2所示。左側為VNF部署請求，右側為網絡資源拓撲結構。部署請求中的3個值依次為VNF部署的CPU資源值、VNF對資源的安全信任需求值以及VNF自身安全信任值；網絡資源拓撲中的3個值依次為底層網絡可提供的CPU資源值、節點自身的安全信任需求以及節點自身安全信任值。

根據圖2的節點部署示例可知，切片在部署過程中應該滿足節點的VNF部署請求上的每一個值都不低于網絡資源上相對應的值，目的是保證節點得到充足的網絡資源的同時，使其能夠安全部署在底層物理網絡上且不受同駐攻擊影響。

圖2 節點安全部署示例

2.2 數學模型

底層物理網絡和映射后的虛擬網絡橫跨接入網域、傳輸網域和核心網域，在網絡切片請求部署時，每一個節點都與底層物理網絡上的節點一一對應，每一條鏈路與連接節點位置的物理鏈路相對應。

(1) 跨域基礎設施網絡模型。在多域網絡中，底層物理網絡的資源分配和基礎設施網絡的拓撲是網絡切片部署實現的關鍵因素。底層物理網絡的節點資源包括接入網節點(Access network Nodes, ANs)、傳輸網節點(Transmission network Nodes, TNs)、核心網節點(Core network Nodes, CNs)[11]。將網絡資源表示為由網絡節點和節點間鏈路組成的無向圖GP=(NP,EP)，其中NP表示節點集合，EP表示鏈

3 端到端切片部署算法

網絡切片的部署涉及VNF的放置和相關鏈路的選擇[12]。VNF的放置是指在滿足網絡容量的條件下，網絡切片請求中的節點總能在物理網絡上找到相對應的節點來承載請求，而針對不同業務場景的網絡切片在多域網絡進行部署時，高風險的節點會影響整個網絡切片環境的安全和穩定。因此可以通過節點的相關指標對節點安全性進行定量分析。

3.1 節點安全等級指標

節點的介數中心性表示節點對網絡信息傳播的控制能力，節點的介數中心性表示為

當重要度越高的節點受到安全威脅時，對整體網絡的負面影響會越大，綜合全局考慮，在本實驗中，對于該類節點應給予更高的安全等級，并且進行重點保護。

3.2 VNF部署和鏈路部署

基于節點安全等級指標，本文采用廣度優先搜索(Breadth First Search, BFS)算法[17]對虛擬節點進行排序，然后按照表1算法輸出的排序后的節點順序，按照表2算法依次進行節點映射，從而得到節點映射集合。

表1 虛擬節點安全等級排序算法

表2 切片請求中虛擬節點映射算法

在滿足鏈路帶寬要求的前提下，本文采用K最短路徑算法[18](K-Shortest Paths, KSP)進行鏈路的映射，目的是找出映射后的節點之間的最短鏈路，避免在切片部署過程中因為節點間的鏈路過長或者鏈路的跳數過高引起的安全風險從而影響整個網絡環境，按照表3算法依次進行鏈路映射，從而得到鏈路映射集合。

表3 切片請求中虛擬鏈路映射算法

4 面向業務的端到端網絡切片部署

4.1 網絡切片部署的數學模型

其中，前一部分表示節點的部署成本，節點所需的CPU資源、內存資源與節點的部署成本成正比，所需資源越多，安全信任值越大，部署成本越高。后一部分表示鏈路的部署成本，鏈路所需的資源與部署成本成正比，所需帶寬資源越大以及鏈路跳數越高，會導致部署的底層鏈路安全信任值越高，則部署成本會增大。表示由虛擬網絡節點安全和物理網絡節點安全共同決定的節點安全性。后一部分表示鏈路的安全部署收益，鏈路的帶寬和底層鏈路的安全信任值決定了切片部署的鏈路安全收益，節點安全收益和鏈路安全收益之和為切片部署的安全收益。

4.2 優化目標和約束條件

式(12)—式(14)分別表示對于每個網絡切片請求來說，每一個虛擬AN, TN和CN僅能映射在對應的一個物理AN, TN和CN上，且每一個物理AN,TN和CN僅能承載1個虛擬AN, TN和CN。

式(15)—式(17)表示節點部署的安全約束條件，式(18)表示鏈路部署的安全約束條件。在切片部署過程中，式(19)、式(20)表示底層網絡上的節點的參數應該保持在底層網絡所能提供的資源范圍之內，式(21)表示部署在底層網絡上的每一條鏈路，鏈路帶寬需求值不能超過底層物理網絡所能提供的帶寬范圍。

4.3 網絡切片的跨域安全部署

針對不同業務場景的網絡切片對網絡資源的需求不同，提出針對性的部署目標，在部署過程中，根據到達的切片請求類型來提供相對應的安全部署服務。

(1) 增強移動寬帶eMBB。在eMBB場景下，5G網絡峰值速率和用戶使用速率比4G提升10倍以上[19]。該場景適用于固定區域內的高流量用戶連接，在高密度用戶區域，用戶移動性低，相對應的網絡需求會增大，傳統的網絡安全措施很難滿足這種超大流量的5G網絡安全防護需求，這種類型的網絡切片不需要保證低時延和高速率，所以按照表4算法在部署eMBB切片的過程中需要保證切片安全部署的同時，最少利用網絡資源，且保證高吞吐量。

表4 eMBB切片跨域部署實現算法

(2) 海量機器類通信mMTC。在mMTC應用場景下，5G網絡的用戶連接密度從1×105臺/km2增大到1×106臺/km2[19]，設備數量的劇增使得mMTC切片在具備較高的數據計算和數據處理能力的同時，也因為巨量數據的接入對通信系統帶來了更大的安全風險，特殊情況下會使網絡瞬間達到業務峰值，引發信令風暴，對其他網絡設施造成影響。因此mMTC切片的部署目標是減小物理鏈路上的帶寬消耗，避免數據傳輸時發生擁塞現象，按照表5算法實現mMTC切片跨域部署。

表5 mMTC切片跨域部署實現算法

(3) 高可靠低時延通信uRLLC。在uRLLC場景下，切片通信要求端到端的時延從10 ms降到1 ms[19]，

其主要應用于工業自動化生產和控制、遠程醫療服務、自動駕駛等對時延要求相對嚴苛的研究領域，同時也需要保證高效的服務質量，所以該類切片的安全要求往往高于前兩種切片，且最容易遭受網絡攻擊。uRLLC切片的部署目標是降低傳輸時延，即最小化虛擬鏈路對應的物理路徑長度，按照表6算法實現uRLLC切片跨域部署。

表6 uRLLC切片跨域部署實現算法

5 仿真驗證與結果分析

本文以部署成本和安全收益作為檢驗指標來評估部署策略的可行性，對上述算法進行仿真實驗，并與其他算法進行對比，分析得出結論。

5.1 實驗環境

實驗中為了方便觀察，對上述算法加入了相同的安全條件約束。本文所使用的對比方法有：基于模擬退火的SA(Simulated Annealing, SA)算法[21]，基于虛擬網絡嵌入的LAVA(Layered V-Fine algorithm, LAVA)算法[22]，以及基于虛擬網絡功能放置的GLL(Greedy Least Loaded, GLL)算法[23]。由于底層網絡資源的隨機性和參數不確定性，實驗結果取多次結果的均值。

5.2 仿真結果分析

(1) 網絡切片平均部署成本。圖3為3種業務類型的網絡切片平均部署成本的變化趨勢。由圖中可以看出，所提部署策略NSR在平均部署成本上都要明顯優于對比算法。主要原因在于該算法能夠依據不同業務類型切片對不同域的資源需求差異來合理分配資源，提供特定的部署方案，所以平均部署成本相對較低。SA算法需要花費大量時間尋找局部最優解和相應的虛擬鏈路[24]，在此過程中可能會造成節點和鏈路的重合，導致部署成本相對較高。LAVA算法是基于虛擬網絡嵌入所提出的算法，在部署過程中需要根據每次到達的切片設計對應的切片請求拓撲，從而導致底層部分資源剩余，造成部署成本增大。GLL算法由于優先選取容量最大的節點部署，連續進行節點切換導致某些鏈路的跳數過大而導致最終部署成本較高。

圖3 網絡切片平均部署成本

(2) 網絡切片平均安全收益。圖4為3種業務類型的網絡切片部署安全收益的變化趨勢。由圖中可以看出，所提部署策略的安全收益在整體趨勢上優于其他3種對比算法，NSR部署策略由于考慮了切片請求的拓撲特性，在合理的安全約束條件下，選取適當的節點和鏈路進行部署，從而獲得較高的安全收益。SA算法在尋找局部最優節點和鏈路的同時，忽略了部分節點的安全等級，會導致部分低等級節點與高等級節點資源共享，導致整體的收益較低。LAVA算法在部署過程中會造成網絡資源的浪費，全局的安全性考慮不夠，導致部署的切片整體安全收益偏低。GLL算法只能考慮到局部的節點安全性，同時忽略了節點和鏈路之間的協調性，導致部署安全收益降低。

圖4 網絡切片平均安全收益

6 結束語

網絡切片作為5G中討論最多的問題，對未來5G的發展起著至關重要的作用，但虛擬化技術的引入，帶來了大量的安全隱患，本文利用切片部署中節點的安全信任值來量化切片部署的安全性。該方法通過對底層物理網絡資源的分析和虛擬網絡的映射，實現多業務場景的網絡切片在多域網絡環境下的部署，提高網絡切片部署的安全性。為了評估所提策略的性能，進行了大量仿真，結果表明，提出的部署策略可以實現不同業務場景的網絡切片進行按需部署，并且在減小部署成本的同時獲得較高的安全部署收益。后續可根據網絡切片在實際商用過程中面臨的安全風險進行預估并分析，加強網絡切片的細粒度管理措施，保障整個網絡環境的安全可靠。