基于 OpenFlow 的 SDN 技术 （论文笔记）

基于 OpenFlow 的 SDN 技术

• 左青云, 陈 鸣, 赵广松, 邢长友, 张国敏, 蒋培成

背景

当今网络结构缺陷

• 网络规模的急剧膨胀和应用类型的不断丰富，传统网络结构日趋复杂，管理能力减弱。路由器最初定义的“哑的、简单的”数据转发单元已经变得臃肿不堪.
• 研究人员难以在网络中实验和部署新型网络体系结构和网络技术

基于openflow的SDN技术的提出

• 逻辑控制和数据转发分离的这种管控思想是 SDN 技术的研究基础,前期已经在学术界引起较大关注,典型工作包括 ForCES、4D架构、RCP、 SANE和 Ethane。

• OpenFlow[1]技术概念最早由斯坦福大学的 Nick McKeown 教授2008 年提出 ，将控制功能从网络设备中分离出来,在网络设备上维护流表(flow table)结构,数据分组按照流表进行转发,而流表的生成、维护、配置则由中央控制器来管理.OpenFlow 的流表结构将网络处理层次扁平化,使得网络数据的处理满足细粒度的处理要求

• 逻辑控制和数据转发分离,网络的逻辑控制功能和高层策略可以通过中央控制器灵活地进行动态管理和配置,可在不影响传统网络正常流量的情况下,在现有的网络中实现和部署新型网络架构.

基于 OpenFlow 的 SDN 关键组件及架构

openflow 交换机

• 流表
• 安全信道
• openflow 协议

控制器

SDN

SDN目前存在的问题

• SDN 转发平面的设计问题.OpenFlow 交换机作为 SDN 转发平面抽象的实际载体,协议标准处在不断
  更新当中.随着 OpenFlow 规约的不断发布,OpenFlow 交换机流表从最初的单表结构变为多表结构,
  流表项匹配字段从最初的十元组到支持 IPv6,MPLS 等,这些都表明 SDN 转发平面功能的逐渐扩展,
  意味着 OpenFlow 交换机结构设计的复杂化,因此必须认识到由此带来的新的问题和挑战

• 控制平面的可扩展性.OpenFlow 设计之初,仅需要通过单控制器来实现网络的管控功能.很显然,随着
  网络规模的增大和业务需求的增加,需要研究控制平面的可扩展性解决方案,即多控制器解决方案.
  而控制单元的数量和它们之间网络状态(包括拓扑、传输能力、路由限制等)的协同和交互应该如何
  实现,以保证网络状态的一致性和可扩展性,还需要进行大量深入的研究

• SDN 控制逻辑的一致性.虽然控制平面能够将控制逻辑集中部署到整个网络,但数据平面转发设备
  仍然是一个分布式系统.控制逻辑的先后配置顺序,控制平面和数据平面之间可能存在的时延,将难
  以保证控制逻辑更新的一致性,有可能造成网络出现断路、丢包、环路等现象

• 同时也对传统的网络设备制造商提出了挑战.同时,OpenFlow 自身设计标准的不稳定性和转发设备硬件的复杂化趋势,也为 OpenFlow 的演进趋势带来了不确定性

  目前来看， 基于 OpenFlow 的 SDN 可扩展性研究的主要思路有如下两点:
  1）修改 OpenFlow交换机的处理流程或硬件架构,或者给 OpenFlow交换机增加部分控制功能,从而减少
  控制器和 OpenFlow 交换机之间的信息交互,分担控制器的处理开销,提高控制器的可扩展性能.
  2）多控制器的分布式管控平面,通过分域管理网络

基于 OpenFlow 的 SDN 应用

• 面向校园网的部署
• 面向数据中心的部署
• 面向网络管理的应用
• 面向安全控制的应用

Braga R, Mota E, Passito A. Lightweight DDoS flooding attack detection using NOX/OpenFlow. In: Proc. of the 35th Conf. onLocal Computer Networks (LCN). Denver: IEEE Press, 2010. 408−415.提出了一套轻量级的 DDOS 攻击检测方法,它通过提取 OpenFlow 流统计信息中与 DDOS 攻击相关的六元组,采用人工神经网络方法 SOM(self organizing maps)进行降维处理,从而识别 DDOS 攻击.

Jose L, Yu M, Rexford J. Online measurement of large traffic aggregates on commodity switches. In: Proc. of the 1st USENIXWorkshop on Hot Topics in Management of Internet, Cloud, and Enterprise Networks and Services (Hot-ICE). Boston: USENIX Association, 2011利用 OpenFlow 交换机能够统计流数据的功能,采用 trie 的数据结构设计了一种识别大的聚集流量的功能,可应用于网络的异常检测

总结与展望

我认为，SDN中与安全相关的问题有重大研究意义。 SDN为我们提供了一种可编程可控制的网络，我们可以便捷地控制flow, 通过控制器对网络流量进行监控和调度,是实现未来互联网网络管理和安全控制功能的易行方法.当前,基于 OpenFlow 实现的网管和安全功能主要集中在接入控制、流量转发和负载均衡等方面,而在安全性机制设计、异常检测和恶意攻击防护等方面都可以进行更深入的研究.此外,在 OpenFlow自身设计中安全性问题考虑还不够,特别应当关注控制器结点和 OpenFlow 交换机结构的安全防护问题