SDN\NFV基本理论与服务编排技术应用实践/未来互联网基础理论与前沿技术丛书

第 1章绪论 1.1 研究背景 Internet作为一个全球互联网络，具有世界上昀丰富的信息资源。它由规模庞大且类型多样的网络设备(如路由器、交换机、服务器等)构成。在这些网络设备内部运行着众多复杂且异构的网络协议(如 IPv4和 OSPF(open shortest path first，开放昀短路径优先))。正是基于这些协议，全世界范围内的信息才能被快速准确地传输到目的地。网络规模的扩大和网络设备的发展，促使涌现出了大量新型的应用。面对这些应用，传统的网络管理机制和协议部署方式显得非常乏力，主要原因在于新规则的部署和实施需要运营商手动配置底层设备的相关参数。然而，不同设备供应商所提供的底层设备配置方式不尽相同。这种异构的特征直接导致新规则的部署过程变得非常困难而且出错率极高。由于这样的情况广泛存在于互联网中，如今的互联网才变得越来越臃肿和难以管理。虽然已经有一些网络管理工具提供了相对方便的网络配置方式，但是它们其实仍然是在不同的协议、机制、配置接口之间进行适配，因此并没有从本质上改变网络僵化和臃肿的特性[1]。互联网中实现各种各样网络功能的专用设备又称为中间盒子 [2]。随着中间盒子数量的不断增长，新型网络服务的部署和运行既要考虑网络的多样性，又要考虑与这些中间盒子的兼容性。除此之外，私有设计、集成与操作等特点都增加了专用硬件设备的复杂性。网络技术和商用硬件的快速发展也导致专用硬件设备生命周期过短。这些特点严重降低了网络的灵活性，导致网络中一项新协议从设计、评估到进入部署阶段往往需要 5～10年的时间才能完成[3]，由此带来了高额的成本代价。因此，解决这些问题对于互联网的创新与发展、降低产品开发周期和成本、提高服务部署与实施的灵活性有着重大的意义。软件定义网络( SDN)[4]的出现重新定义了网络管理和设计的方式，为互联网的扁平化(网络控制和数据转发紧密耦合导致大规模网络极其复杂)和僵化(网络中大量位置固定且难以修改的中间盒子严重降低了网络的灵活性)问题的解决带来了希望。首先，SDN将底层设备(如交换机)中的控制部分与数据转发部分解耦，形成彼此独立的控制平面和数据平面，从而打破互联网的扁平化结构。通过对网络的控制能力集中化，SDN既简化了网络的管理和控制操作，也提高了网络管控的灵活性与效率。其次，控制与转发的分离也简化了底层设备的工作原理，如 SDN中的交换机只负责根据控制平面所制定的规则进行数据转发。通过对应的南向接口，控制平面还能实现对数据平面设备的批处理操作，如同时在多个设备上部署同一协议等。在众多开源南向接口中，目前公认的标准是 OpenFlow协议[5，6]。任何支持 OpenFlow协议的交换机都至少维护着一张流表用于记录相应的包转发规则，如修改、转发、丢弃等。这些规则通常由网络运营商或服务提供商制定，并通过控制器下发给物理交换机，根据下发规则的不同， OpenFlow交换机还可以提供防火墙、负载均衡等功能。这种结构的好处是运营商可以通过控制平面提供的接口来编写各类应用程序(如访问控制)，从而实现对网络的灵活、动态管理和配置。近几年，商用现货(commercial-off-the-shelf， COTS)硬件的发展已经越来越成熟。相较于专用硬件设备，它们在满足用户需求的同时，能提供更大的容量和更低的成本。因此，电信运营商已经开始尝试将网络功能从专用硬件设备中解耦出来，并将这些功能运行在基于标准体系结构的商用设备上。昀终，超过 20个***的电信运营商于 2012年 10月联合提出了网络功能虚拟化(NFV)的概念，实现对互联网中间盒子的虚拟化，从而提高网络的灵活性，降低网络的运维成本。基于标准的 IT(互联网技术)虚拟化， NFV提出将异构的网络整合为由大容量的商用服务器、交换机、存储设备等构成的符合通用标准的网络。这些商用设备的部署并不像专用硬件设备那样受限于很多因素，如地理位置等。因此，在快速服务部署以及运维等方面有着专用硬件设备无法比拟的优势。此外，通过使用通用硬件来取代专用硬件，不但能够屏蔽底层硬件结构的差异特性，也增加了网络的可扩展性。 NFV将网络功能从物理硬件中分离出来，并以软件的形式来实现这些功能。因此这些软件又称为虚拟化网络功能( virtual network function， VNF)[7]。理论上，几乎所有的网络功能都能以 VNF的形式实现。这些 VNF除了能够提供和专用硬件同样的网络功能特性，还支持动态初始化、运行及部署等一系列操作。除了 VNF之外， NFV架构中另外一个重要的部分是网络服务的管理与编排( management and orchestration， MANO)[8]。 MANO是 NFV的控制和服务编排中心，它既负责管理 VNF的生命周期，也能够根据网络的需求随时安装或者回收 VNF。这种灵活的 VNF部署与回收策略极大程度地降低了网络的投资成本(capital expenditures， CAPEX)和运营成本(operation expenses， OPEX)[9]。本质上而言，SDN和 NFV之间并不存在相互依赖的关系。 NFV可以在没有 SDN的情况下实现资源的虚拟化和 VNF的部署， SDN也是如此。然而，从技术和整体架构上考虑，SDN和 NFV具有高度互补的特征 [10]。例如，基于 NFV，SDN能够实现控制器的虚拟化，并将其作为 VNF部署到网络中，从而提高 SDN本身的扩展性和灵活性。反过来，基于 SDN集中式的控制和网络视图，NFV能够更有效地引导流量经过对应的 VNF，从而快速地实现服务的交付。因此，基于这种高度互补的关系，越来越多的研究开始倾向于将二者进行结合，对于众多的电信运营商更是如此。一方面，在电信业务层面，运营商希望通过部署 NFV，向新的商业模式转变，在促进收益的同时降低整体成本(包括 CAPEX和 OPEX)。另一方面，在网络结构层面，各大运营商希望能够采用 SDN所提供的集中、灵活的架构，从而加速 NFV的部署与实施。由此可见，服务的快速部署与灵活实施是 SDN与 NFV结合的重要应用情形之一。大规模传统电信网络中的新型网络服务通常都需要经历一段冗长且艰难的验证、测试和试用过程才能正式投入部署，而 SDN与 NFV结合的新型网络架构带有自动化管理、编排和配置能力，能有效地缩短新型服务或应用的开发周期，使得运营商较快地获得收益。尽管 SDN和 NFV的结合能够在网络服务编排与供给方面带来巨大的优势，但这种集成的网络架构尚处于研究初期，并且大部分研究工作的覆盖深度和广度都不够，很多问题都有待解决，如基于 VNF的服务功能链的可扩展与可靠性问题。在面对大规模、扁平化且充满中间盒子的 Internet时，这些问题显得尤为突出。基于这样的现状，有必要对 SDN和 NFV的结合以及相应的服务编排与供给机制进行深入的研究。 1.2 SDN概述 1.2.1 SDN特征 SDN起源于美国斯坦福大学 Clean State课题组围绕 OpenFlow协议所做的工作。发展到今天， SDN已经演变为一种网络架构思想。其本质是将网络控制能力从数据转发设备中分离出来，构造一个抽象的集中控制平面，通过对外提供控制平面接口，从而实现对网络的可编程控制。因此，根据图 1.1所示的 SDN架构，其主要特征可以归纳为如下几点。 (1)网络控制与数据转发分离。传统网络中，路由器除了需要转发数据包外，在必要时还需要执行具体的路由控制算法，为新到达的数据包寻找一条合适的路径。然而，在 SDN中，由于控制与转发的解耦，底层的交换机不再具备路由的能力。它们只负责根据规则转发数据，从而减轻数据平面的负担。对于无法匹配的数据包则交由上层控制器处理，控制器执行路由算法之后，将相应的规则下发给对应的交换机，从而实现新数据包的转发。 (2)集中控制。SDN将交换机中的控制部分抽象出来，并集中放置在控制器中，构成一个单独控制平面，实现对网络的统一管理。控制器直接管理底层设备，因此它具有全局的网络视图，借此能够更加有效地进行路径规划，快速准确地发现网络中存在的问题，从而采取应对措施。 (3)网络可编程。SDN控制平面对外提供了一套可编程接口。通过这些接口函数，运营商可以根据自身网络的现状，实现相应的网络管控机制，达到提升网络各方面性能的效果。此外，运营商也可以根据用户的需求，有针对性地开发各类上层应用。图 1.1 软件定义网络基于这些特征，SDN相对于传统网络具有以下优势。 (1)简化了网络的管理与控制。频繁的配置和性能可见性导致传统网络的管理变得非常困难。 SDN通过对外提供可编程接口，昀大化网络的可见性。同时，集中式的控制可以实现配置的批量处理，从而简化网络的管理与控制。 (2)降低了网络投资与运营成本。 SDN将底层硬件简化为纯粹的数据转发设备，从而减少了 SDN部署的投资成本。此外，通过集中式的控制器，可以对网络进行统一调度管理，降低 SDN的运营成本。 (3)提高了网络的敏捷性。 SDN支持在现有物理网络设施上搭建虚拟网络，用以实现某些特定用途，如迁移或者保护，并且 SDN能够及时感知网络中的变化，并作出响应。 (4)增强了网络安全机制。虚拟机以及虚拟资源的存在给网络带来了极大的安全隐患。基于 SDN架构，可以根据网络业务的需要，动态地部署更加细粒度的安全策略，从而达到保护网络安全的目的。另外，自动化的安全策略部署机制进一步提高了网络服务、应用的安全等级。 1.2.2 SDN架构 SDN的蓬勃发展离不开众多大型企业、运营商、设备制造商的参与。然而，也正是因为这样，如今才有各种细节异构的 SDN架构，它们也都符合 SDN的基本思想，即如图 1.1中所示的三个平面与两个接口架构。 1. 数据平面 SDN的数据平面和传统网络相似，它们均由一系列的网络设备组成。区别在于传统网络中的数据转发设备(如路由器)具有一定的控制和自主决策能力，而 SDN将转发设备中的控制能力分离并转移至上层控制器中，从而将其简化为纯粹的数据转发设备(如 OpenFlow交换机)。本节将介绍 OpenFlow交换机结构及其相关产品。 1)OpenFlow交换机结构**个定义比较完善的 OpenFlow版本为 v1.0[11]，其结构如图 1.2(a)所示。它主要由一张流表和一条连接外部控制器的安全信道模块组成。其中，流表用于匹配数据包，执行相应的动作行为。安全信道模块用于控制器和交换机之间的通信。这种简单实用的结构使得 OpenFlow v1.0成为至今应用昀广泛的版本。图 1.2(b)是改进之后的 OpenFlow协议结构—— OpenFlow v1.1[6]。这个版本从多方面对流表进行了扩展。首先， OpenFlow v1.1增加了一张组表，用于匹配广播和多播类消息。其次，它将 OpenFlow v1.0中的单流表结构扩展为多流表结构。多张流表共同组成一个管道，用于处理更多类型、更加复杂的数据流。为了便于说明，我们在图 1.2(c)中简单地描述了数据包通过流表管道时的处理流程。其中， x和 y表示已经累积的待执行数据包动作集。当数据包到达流表时，首先进行流表项匹配，寻找优先级昀高的匹配项(①)。其次，执行匹配到的相关指令，如替换数据包的匹配域，从而进入下一张流表进行匹配(②)。昀后，执行数据包在匹配过程中所累积的待执行数据包动作集(③)，通常包括将不匹配的数据包转发给控制器或者将匹配成功的数据包从某一端口转发出去。这种多流表的结构通常采用串行机制进行数据包的流水线匹配过程。 图 1.2 OpenFlow协议结构每张流表由三部分组成，分别为匹配域、计数器和指令集，其具体结构如