基于標志的名字空間及其移動性管理研究
2008-12-31 00:00:00李秀芹蘭巨龍
計算機應用研究 2008年9期
摘 要：隨著Internet的迅速發展，網絡名字空間結構及對移動性、安全性的支持面臨著新的挑戰，IP地址同時用做用戶的身份標志和位置標志，語義過載，不能很好地解決主機的移動、多宿主、動態IP地址變化、網絡安全。針對此問題，研究者提出了許多方案來改進Internet的名字空間和對移動性、安全性的支持。分析了當前Internet名字空間及其對移動性支持存在的問題，并對目前幾種基于身份標志和位置標志相分離的名字空間改進方案對移動性、安全性支持進行了對比研究。
關鍵詞：名字空間；IP地址；主機標志；移動性
中圖分類號：TP319 文獻標志碼：A
文章編號：1001-3695(2008)09-2592-04
Research of mobility management and Internet namespaces based on identity
LI Xiuqin1，2，LAN Julong1
(1.Institute of NDSC， Information Engineering University of PLA， Zhengzhou 450002， China;2.School of Information Engineering， North China University of Water Conservancy Electric Power，Zhengzhou 450011， China)
Abstract:With the rapid growth of Internet， the structures and the support of the mobility， safety of Internet namespaces are facing to new challenges. IP address is overloaded in semantics because it is used to represent both the location and the identity of a user， and this can’t be good to solve the host mobile，multihoming， the dynamic IP address variety， and network safety. Based on these，researchers brought many solutions to improve the structures and the support of the mobility， safety of Internet namespaces．This paper analyzed the problems in the structures and the support of the mobility of current Internet namespaces，then made discuss and comparisons on mobility， safety according to the namespace improvement solutions that the identity and the position of a user separate mutually currently to several kinds research.
Key words:Internet namespace; IP address; host identity; mobility
20 世紀70 年代末設計的TCP/IP正面臨著越來越多的挑戰。隨著移動通信網絡更加緊密地與IP 網絡融合在一起，TCP/IP 最初只考慮靜態環境而設計的弊端暴露無遺，它無法支持通信過程中IP地址的動態變化。
雖然mobile IP 技術基本解決了主機移動時保持原來的會話不中斷問題，但該技術所帶來的性能、不同網絡互連、防火墻穿越以及安全問題均沒有得到滿意的解決。從體系結構上來說，現有解決移動問題的方案都是在原有的TCP/IP 協議基礎上加入移動功能，即使解決了移動管理的問題，網絡仍然面臨著NAT/NAPT 穿越、防火墻穿越、安全問題得不到妥善解決等問題。這些方案并沒有從根本上解決TCP/IP設計本身的問題。傳統的Internet協議體系結構中，傳輸層和網絡層是緊密耦合在一起的。在傳輸層使用傳輸層標志符〈IP地址，端口〉，即傳輸層與網絡層緊密綁定。網絡層使用IP地址，它表示節點在網絡中的拓撲位置。網絡層IP地址承擔主機標志符和位置標志符雙重角色，這使得IP地址在主機移動和多宿主情況下不能像在固定主機環境那樣提供完美的服務。如果主機移動而改變其IP地址時，通信雙方無法在原始創建的網絡層通信鏈路上發送或接收數據而使通信中斷。造成這種問題的原因是目前的Internet體系結構只有IP地址和域名兩個命名空間。
由于Internet的不安全性和所有節點最初都設計為靜態的[1]，安全性和主機移動是Internet研究的熱點問題。進行基于標志的名字空間及其移動性管理研究具有重要的意義。
1 當前Internet名字空間結構及其對移動性支持存在的問題
1.1 當前Internet名字空間結構
當前Internet的各層結構中，除物理層以外，每層協議實體都有自己的名字空間，它們分別是鏈路層的〈MAC地址〉、網絡層的〈IP地址〉、傳輸層的〈IP地址 端口號〉和應用層的〈域名〉。在這些名字空間中，MAC地址只要求在子網內惟一，而端口號只要求在主機內部惟一，因此Internet的全局名字空間主要有兩個：〈IP地址〉和〈域名〉。
IP地址既具有尋址功能，又起著標志通信終端節點的作用，也就是說IP地址不僅作為通信設備網絡接口的身份標志，還作為網絡接口在網絡拓撲中的位置標志。此雙重功能決定了當IP地址變化時，不僅路由發生了變化，而且通信終端主機的標志也發生了變化。對于前者可以接受，但是終端標志的變化卻會導致應用和連接中斷。這就導致了TCP/IP 在解決如移動、多宿主、NAT/NAPT上的不足。
考慮到路由處理的效率，IP地址的長度是固定的。為了減少路由表的條目，IP地址一般都是按照層次結構來組織的，因此，IP地址是一個有結構的層次名字空間，不同的層次表示IP地址在網絡拓撲中的位置區域。一段IP地址空間可以被用來表示不同的網絡拓撲區域，而且在DHCP等技術中，IP地址也是動態分配的。一個設備接口可以有多個IP地址，因此IP地址的分配是非惟一的。
1.2 當前Internet名字空間結構對移動性支持存在的問題
隨著Internet中移動設備越來越多，IP地址雙重功能的缺陷逐漸顯露出來，當前的Internet名字空間結構也面臨著許多挑戰。
如果移動終端從一個子網移動到另一個子網移動，這時通信對端如果仍按原來移動節點的IP地址進行路由，則數據包傳遞到原來的子網，而不會到達現在的子網，移動節點就不能收到通信對端送來的數據包。導致雙向通信不能進行是由于最初Internet的設計并未考慮主機移動的情況， IP地址同時作為設備位置標志和設備身份標志。IP地址不僅作為網絡層的設備位置標志〈IP地址〉，而且也作為傳輸層的設備身份標志〈IP地址 端口號〉，實際上破壞了Internet分層結構中不同層次之間盡量減少耦合的原則，網絡層和傳輸層的緊密耦合不利于每層各自獨立地發展。
當主機移動時，主機的位置發生變化，IP地址也相應改變，但主機的身份并未變化。在目前解決移動的主要方案MIP中，用主機的家鄉地址作為主機的身份標志，通過設置家鄉代理來實現路由重定向，但MIP沒能很好解決三角路由、切換延遲和潛在的安全隱患問題。雖然MIPv6中允許移動設備在維護其IP地址和傳輸層鏈接的同時改變鏈接到網絡的位置，在MIPv6中避免了三角路由，但仍然存在著較大的切換延遲，而且MIPv6并沒有解決多宿主問題，還容易受到拒絕服務攻擊[2]，而且MIP和MIPv6都通過對路由器的修改來解決移動問題，可部署性較差。歸根到底，解決移動問題的本質在于把主機的位置標志和身份標志分離開來。另外，為了更好地解決多宿主、IP地址動態重分配等問題，也有必要對IP地址的雙重功能進行分離。因此需要一種新的名字空間，它應該具有以下特性：
a）每個主機都有一個標志符，并且該主機標志符最好是基于加密系統的；
b）傳輸層看到的應該是該主機標志符，而不是用來尋址的IP 地址；
c）主機標志符應該全球惟一，這就要求它的長度必須在100 位以上；
d）主機標志符可以是公開的，也可以是匿名的；
e）需要支持主機標志符所對應的協議和負載，該協議應該工作于網絡層與傳輸層之間。
2 身份標志和位置標志相分離的名字空間及其對移動性的支持
對IP地址雙重功能進行分離，采用身份標志和位置標志相分離的名字空間，其目的是解決IP地址語義過載的問題，把設備的身份標志和位置標志分離開來。這將有助于解決移動、multihoming、IP地址動態重分配以及不同網絡區域之間的互訪等問題。
2.1 LIN6
2.1.1 LIN6
LIN6[3，4]基于位置無關網絡結構LINA的原理，采用將節點識別號和節點位置標志相分離的原理支持因特網上的移動通信。LIN6吸取以前協議的經驗，將位置無關的節點識別號概念擴展到整個網絡，提供更好的端到端移動通信能力。
為了使節點標志與位置標志相分離，在IP網上更好地標志移動節點，更好地支持節點的移動通信，LIN6協議引入專門的位置無關節點識別號來標志節點(稱為LIN6節點識別號)，同時用移動節點的接口位置識別號(稱為LIN6地址)對發向移動節點的IP數據報進行路由。LIN6節點識別號是節點的惟一全球識別號，此識別號對于節點來說是固定的，與所屬的網絡無關，不隨移動節點所在網絡位置的變化而變化。而移動節點的LIN6地址則標志了移動節點當前所在的網絡位置，隨移動節點所在網絡的不同而變化。LIN6地址用做網絡層IP數據報的路由。
傳輸層和以上各層使用LIN6通用識別號來標志節點標志號，在傳統IP網絡層的IP轉發、路由功能上增加識別功能，完成上層的LIN6通用識別號和網絡層使用的LIN6地址之間的轉換。由于LIN6地址屬于IPv6地址，網絡層根據LIN6地址即可完成IP數據報的轉發、路由。上層依靠固定的LIN6通用識別號來標志節點，當節點移動時，網絡層LIN6地址的變化不影響上層的應用，透明支持移動節點的上層通信。網絡通信模型如圖1所示。
LIN6協議支持節點移動通信的主要思路是采用節點識別號和節點位置信息相分離的方法，用位置無關的節點識別號統一標志各個節點。每次進行通信之前，需要查詢映射代理MA獲得移動節點當前的位置信息。映射代理保存有移動節點當前的位置信息。LIN6協議引入新型的位置無關的節點識別號標志節點，使其具有統一的、支持節點移動通信的網絡協議特點； LIN6中的映射代理可以經過備份位于網絡中的任何位置，使LIN6的可靠性非常高，能夠提供較高的網絡安全性，適合于對可靠性要求較高的通信系統，如軍事通信系統。
2.1.2 存在的問題
LIN6專門針對主機的移動性對協議進行了優化設計，因此它能更好地支持主機的移動性，能克服傳統的移動IP中三角路由、開銷過大、單點故障等一系列缺點。但同時LIN6也存在許多問題，如微移動切換時的較長時延和丟包、與傳統的協議兼容等問題。
2.2 HIP
2.2.1 HIP
主機標志協議[5~7]（host identity protocol，HIP）是由Robert Moskowitz 等人提出的。HIP引進一個新的加密命名空間——主機標志符(host identifier，HI)，其全球惟一地標志每臺連接到Internet的主機。其目的是將傳輸層與網絡層分開，為Internet提供一個安全的主機移動和多宿主的方法；提供一個加密的主機標志命名空間，更容易對通信雙方進行認證，從而實現安全的、可信任的網絡系統。
HIP中引進了主機標志符(HI)、主機標志標簽 (HIT)和局部標志符(LSI)三個新的標志符。每個主機可以有多個HI，用不對稱加密算法中公/私密鑰對的公鑰來表示。但由于不同的加密算法所擁有的密鑰長度不一樣，在HIP協議分組、網絡套接字中并不直接使用HI作為主機的標志符，而是使用主機標志標簽HIT，它是對HI進行單向散列（hash）構成的128 bit位串，與IPv6地址等長。它有自校驗、低沖突率的特性，實現和控制的代價較小。又因為與IPv6地址長度一樣，在應用程序中使用方便。為了在現行IPv4協議、API上應用HIP，定義了32位長的局部標志符LSI——HI的另一種形式，但只在局部網絡范圍內使用。主機標志符空間是全局的、可變長的；主機標簽空間是全局的、定長的；局部標志符空間是局部的、定長的。這三個名字空間都是無結構的扁平名字空間。
HIP在傳輸層和網絡層之間插入一個獨立的新協議層——主機標志層(host identity layer，HIL)。主機標志層將原來緊密耦合的傳輸層和網絡層分開，IP地址不再扮演主機名稱的角色，它只負責數據包的路由轉發，主機名稱由主機標志符來表示。引入主機標志層后的體系結構如圖2所示。
主機標志空間的名字分配是動態的、非惟一的，因此可以較容易地實現進程遷移和集群服務器。HIP中的IP地址是非惟一分配的，一個主機標志可以對應多個IP地址，因此能較好地解決多宿主和移動的問題。多宿主設備的主機標志對應多個IP地址，如果一個IP地址不能使用了，或者有更好用的IP地址，已經建立的傳輸層鏈接可以很容易地轉移到其他IP地址。節點在移動過程中IP地址發生了改變，而主機標志并沒有變，因此傳輸層的鏈接可以不中斷，但是移動節點應該通知自己IP地址的改變。由于傳輸層鏈接是與主機標志綁定的，IP地址只是被用來進行路由，HIP還可以實現不同網絡區域之間的互訪，如公有與私有網絡之間、IPv4與IPv6網絡之間等。
在HIP體系中，移動與多宿問題實際就是HIT和IP地址的一對一和一對多的動態綁定關系。由于主機標志層的引入，隔離了傳輸層與網絡層，應用程序只看到一對不變的源、目的HIT，移動與多宿對應用程序是透明的。HIP協議從全局的角度審視當前網絡體系的缺陷，引入了主機標志和主機標志層，提出了解決移動、多宿問題的一個新思路，是IETF、IRTF研究的新熱點。
2.2.2 存在的問題
HIP協議是一個能夠同時解決主機移動、多宿主及安全的方案。其關鍵問題是對現有協議體系結構核心的修改。主機標志層將傳輸層和網絡層分開，并用公/私鑰對的公鑰作為HI，解決了主機移動和多宿主及其安全性，但因為它是對TCP／IP核心的變動，在實際應用時會引發許多問題。
HIP中主機標志層的名字空間定義太復雜，在實際使用中要維護很多對應關系，增大了管理開銷和出錯的概率，而且這些名字空間都是無結構的，查找效率低。HIP中也沒有提供一個從主機標志空間到IP地址空間的全局解析機制。HIP存在的另一個重要問題是它也不支持組播。
2.3 PeerNet
2.3.1 PeerNet及其對移動性的支持
PeerNet[8]基于節點的身份標志和位置標志相分離的思想也實現了IP地址雙重功能的分離。但PeerNet是基于P2P的一個全新的網絡層協議，它是針對由大量移動和固定節點組成的大型網絡，這些節點使用當前的MAC技術采用雙向鏈路連接，目的是取代Internet中的IP協議。PeerNet采用三級區域網絡結構，如圖3所示。網絡中所有節點都屬于三級嵌套區域網絡中每一級，而且一個級別范圍的網絡節點共享惟一的地址前綴，L級區域網絡劃分需要L位地址空間。
PeeerNet網絡中的每個節點都有一個節點標志和一個地址標志。PeerNet中引入兩個新的全局名字空間，以取代現在的IP地址空間。節點標志空間是全局的、非惟一分配的，節點標志可靠地代表節點的身份，不隨節點的移動而改變，但對節點標志空間的其他性質，PeerNet中并沒有進行明確定義。地址標志空間是全局的、固定長度的、層次化結構的，而且是惟一分配的。一個節點雖然可能負責管理多個地址，但只能使用反映當前網絡拓撲位置的惟一地址標志，地址標志嚴格地反映節點在網絡中的當前位置，當節點移動時，節點的地址標志隨之動態改變。
PeerNet網絡層中三個主要的部分，即地址分配、路由和節點查找。地址組織像一個二叉樹，地址分配是動態、永久不變的；動態尋址依靠節點當前的網絡位置，由于地址標志是完全層次化分配的，PeerNet中就可以運用P2P網絡的路由思想來組織路由；節點查找服務采用分布式機制，由節點標志查找到對應的地址標志，存儲查找到對應關系條目〈ID，addr〉。但PeerNet中引入的是兩個全局名字空間，因此節點標志空間到地址標志空間的查找解析也是全局統一的。每個節點的節點標志和地址標志之間的對應關系是由某個其他節點來維護的。在進行通信之前，源節點只需知道目的節點的節點標志，再利用查找解析機制查找到目的節點的地址標志，然后發送分組。但由于地址標志僅用于網絡層的路由，PeerNet中可以較好地支持移動。當移動節點獲取新地址后，應該及時地進行節點標志和地址標志對應關系的更新。另外PeerNet還可以支持組播和任意播。
2.3.2 存在的問題
雖然PeerNet實現了對IP地址雙重功能的分離，而且比較適應未來的大型網絡、移動網絡的發展需求，也對移動有很好的支持，但PeerNet中也存在許多問題。首先，很難保證P2P路由表中的緊鄰項也位于實際網絡的緊鄰位置，這對路由表的維護和路由效率都有影響；再者，由于每個節點只能使用反映當前網絡拓撲的惟一地址，PeerNet不能夠支持多宿主。
2.4 LNAI
2.4.1 LNAI名字空間結構及對移動性的支持
LNAI[9](layered naming architecture for the Internet)對Internet名字空間的改進不僅包括對IP地址雙重功能的分離，還有對DNS的改進和對邊緣網絡中間件如NATs/NAPTs的兼容。LNAI提出了Internet的四層名字空間結構，分別是用戶級描述符ULD、服務描述符SID、主機描述符EID和IP地址，如圖4所示。
LNAI采用的是扁平的名字空間。LNAI通過對服務和數據進行永久性的命名SID，使它們成為Internet上最重要的對象；通過引入EID，不再用IP地址作為主機的標志，從而可以無縫地支持移動和multihoming；通過各個層次的重定向功能，把邊緣網絡中間件整合到互聯網的體系結構中。
2.4.2 存在的問題
當然LNAI也面臨著一些問題，雖然LNAI的部署并不需要改變Internet的底層結構，但需要對現有的主機軟件作較大的改變，包括協議和應用程序，而且解析這些扁平的名字空間需要新的解析器。因此不可低估LNAI對名字空間的改進所引起的困難。LNAI的部署代價還是比較大的，而且協議和應用程序的改變又引起了額外的問題如DHTs。隨著需要的增加，DHT在引入了多個層次的名字空間后，安全問題如DoS攻擊也成了LNAI中一個比較大的隱患。
2.5 FARA
2.5.1 FARA及對移動性的支持
FARA[10](forwarding directive，association and rendezvous architecture)模型是NewArch project項目中的一項(由DARPA資助，USC/ISI、MIT LCS和ICSI合作進行的)。FARA模型定義了一種具有廣泛性和靈活性的抽象模型，是一種體系結構類，又稱為FARADS(forwarding directive，association，rendezvous and directory service architecture)模型，通過添加特別的前提條件和機制就能得到各種特定的體系結構，如支持移動的體系結構MFARA等。
FARA實際上是一種重新設計Internet體系結構的思想，把應用實體和網絡層轉發機制相分離。FARA新的體系結構不僅具有主機標志和位置標志分離的功能，還支持終端系統的認證。在FARA中，基本的通信單位是實體（實體是應用的統稱，即網絡通信的終端，可以是一個進程、一臺計算機，甚至計算機群等）。FARA中hosttohost的通信是由稱為關聯(association)的邏輯連接的成對實體，通過通信底層進行分組交換，相互通信。FARA 中用不同的association ID(AID)來標志一個實體的多個不同連接。由于AID只在每個實體上是惟一的，分組攜帶一個(源AID，目的AID)對。顯然AID是一個局部名字空間，類似于現在傳輸層的端口號。FARA 中用轉發指示(forwarding directive，FD)作為分組交換結構的地址標志。
FARA模型把通信底層的轉發機制和實體執行的端到端的通信功能分離開，允許底層轉發結構和端到端應用各自獨立地發展。例如用一條界線來劃分，通信底層在界線以下進行運作，而實體以及其關聯是在界線以上運作。對應界線，FARA模型定義一個接口規范(API)，保證轉發功能和實體的模塊化分離。分離的好處是可以自由地改變一個會話的轉發指示，既能在不同網絡區域之間進行互訪，也可以解決移動問題。FARA沒有對如何查找實體的轉發指示進行規定，這種機制可能是全局統一的，也可能是局部相關的。
FARA和LNAI是一致的，但在下面兩點是相沖突的。FARA沒有提到主機標志；FARA的AID兩個實體之間的連接標志是局部概念，而LNAI的服務標志SID是全球范圍意義的。
2.5.2 存在的問題
FARA模型是非常抽象的。FARA 中的通信實體并沒有一個全局標志，需要帶外的機制來尋找通信實體的位置，這在實際應用中并不容易做到，而且對于如何進行移動切換、保證通信安全等許多問題，FARA中并沒有具體的實現機制。
3 總結對比
IP地址和域名是目前Internet兩個主要的全局名字空間，但Internet的發展對它們提出了挑戰，主要體現在IP地址具有雙重功能語義過載、名字空間解析系統DNS存在許多缺陷等問題上。在研究者提出的許多改進Internet名字空間的方案中，一般都著眼于解決當前Internet名字空間的一方面或幾方面的問題，雖然改進角度各不相同，但都通過引入新的名字空間來彌補現有名字空間的不足。
總體來說，LIN6協議在原有IP協議的基礎上增加了標志轉換、位置信息查詢等功能，需要對網絡的DNS服務器進行升級，同時還需映射代理管理位置信息，對IPv6協議增加、改動較多；PeerNet和FARA對Internet名字空間的改動最大，改變了核心網絡的IP地址結構，其部署代價是非常大的；HIP和LNAI雖然只需在端系統上實現，但由于引入了新的傳輸層標志，需要對所有的現有主機軟件進行改動，部署代價也比較大。
上述幾種方案主要解決IP地址語義過載的問題，對IP地址的雙重功能進行分離。把設備的身份標志和位置標志分離開來，更有利于從體系結構上解決移動、多宿主、IP地址重分配以及不同網絡區域之間的通信等問題，而且也把傳輸層的實體標志和網絡層的實體標志分離，這樣更符合互聯網的分層結構原則，使得傳輸層和網絡層可以各自獨立地發展，同時有些方案也對網絡的安全性有所改進。
對互聯網名字空間的改進是一項龐大的工程，需要考慮到諸多方面的問題。目前這些改進方案都還存在著各自的不足，許多問題有待進一步研究。例如對于IP地址雙重功能的分離，在引入設備的身份標志空間后，如何設計新名字空間與IP地址之間的解析機制以及如何與現有DNS協同工作，在目前的這些方案中還缺乏完整的設計，需要進一步的考慮。
盡管如此，通過對這些新設計技術的研究，筆者相信這些新穎的設計思路將會影響人們解決類似問題的方法，也將對TCP/IP協議的發展注入新的活力，對于選擇合理的移動解決方案有著非常重要的現實意義；同時，對于本文構建基于身份標志和路由標志分離機制的新型一體化網絡與路由交換機制也將具有重要的借鑒意義。
參考文獻：
［1］CLARK D.The design philosophy of the DARPA Internet protocols[C]//Proc of ACM SIGCOMM.1988:106114.
［2］JOHNSON D，PERKINS C，ARKKO J.Mobility support in IPv6[EB/OL].(2004).http://www.ietf.org/rfc/rfc3775.
［3］TERAOKA F，ISHIYAMA M，KUNISHII M，et al.LIN6:a solution to mobility and multihoming in IPv6[EB/OL].(2001).http://www.ietf.org/internetdrafts/ draftteraokaipnglin602.txt.
［4］ISHIYAMA M，KUNISHII M，TERAOKA F.An analysis of mobility handling in LIN6[EB/OL].(2001).http://www.lin6.net/papers/wpmc.pdf.
［5］MOSKOWITZ R，NIKANDER P.Host identity protocol architecture[EB/OL].(2004).http://www.ietf.org/ internetdrafts/draftietfhiparch02.txt
［6］NIKANDER P，ARKKO J，HENDERSON T.Endhost mobility and multihoming with the host identity protocol[EB/OL].(2005).http://www.ietf.org/ internetdrafts/draftietfhipmm01.txt.
［7］NIKANDER P，YLITALO J，WALL J.Integrating security，mobility，and multihoming in a HIP way[C]//Proc of Network and Distributed Systems Security Symposium (NDSS’03)San Diego:[s.n.]，2003:87-99.
［8］ERIKSSON J.PeerNet:pushing peertopeer down the stack[C]//Proc of the Intel Workshop on PeertoPeer Systems (IPTPS2003).2003:268-277.
［9］BALAKRISHNAN H，LAKSHMINARAYANAN K，RATNASAMY S.A layered naming architecture for the Internet[C]//Proc of ACM SIGCOMM.2004:343-352.
［10］CLARK D.FARA:reorganizing the addressing architecture[C]//Proc of ACM SIGCOMM.2003:313-321
