面向可信網絡研究的虛擬化技術

高煥芝

（1.中南大學信息科學與工程學院，湖南長沙 410083；2.中國有色金屬學會 100814）

隨著互聯網的快速普及，可信網絡作為新型的研究方向，是下一代互聯網研究的重要方向，通過深入分析可信網絡需求和背景，在對可信網絡進行系統描述的同時，建立了信任控制模型。虛擬化技術作為底層網絡屏蔽的重要環節，虛擬化技術不僅為可信網絡機制提供了廣闊的發展空間，同時對數據平面與網絡管理控制交換、轉發也有重要作用。研究表明：虛擬化網絡技術不僅對新型網絡體系結構試驗、研究、部署具有重要作用，同時對網絡路由器虛擬化也有重要作用，在增強網絡服務力度的同時，提高網絡單元故障冗余。

1 可信網絡特點

可信網絡是可預期的網絡系統行為以及結果，在行為狀態可監測的同時，對相關行為結果進行正確評估；在特殊行為可控制的同時，解決日常居民對可信網絡的安全服務能力與依賴性之間的矛盾，從而推動網絡理論技術研究，增強可信網絡建設以及應用力度。

1.1 用戶和互聯網之間的可信模型

在計算機網絡協議中，由于缺乏必要的形式化以及驗證描述，在協議行為制定完成時存在很多很難預見的缺陷，當協議生效后，不僅對互聯網運行造成不良影響，同時也增加了后續補救工作量。在不確定的協議基礎中，由于可信網絡模型障礙，為了保障可信網絡正常運行，可信網絡模型逐漸成為可信網絡研究的重要方向；例如：IPv6協議[1]，雖然在攻擊圖以及模型中取得了廣泛的研究成果，但是受模型工具、方法限制，在小規模網絡模型中，很多大規模互聯網攻擊行為無法進行正確分析。

1.2 可信網絡體系結構

在互聯網應用中，可信網絡體系結構通過指導各種應用部署、協議內容、設計機制，在實現網絡協議的同時，構建互操作框架[2]；由于實踐力度以及網絡研究方向不足，互聯網體系和網絡設計原則存在互相抵觸的現象，導致部分網絡研究成果不能真正體現到互聯網絡應用中，在停留在網絡表層的同時，對實質作用發揮造成了很大影響。例如：端到端的設計思想，在造成互聯網絡邊緣智能過分集中的同時，對相關核心管理具有很大的影響，在網絡異常行為查詢中，很多異常行為不能及時感知。

1.3 網絡服務生存性

網絡服務可生存性主要根據網絡冗余資源調度情況[3]，在邊緣服務器到核心節點多機備份的同時，增強網絡服務可生存性。在復雜的互聯網系統中，由于資源冗余調度故障不能及時檢測，當骨干鏈路產生問題時，光傳輸網絡雖然具有靈敏的問題發現以及自愈能力，由于路由器不能及時感知變化故障，對網絡服務造成了很大的影響；在局部網絡資源切換時，由于瞬時網絡資源非穩狀態，在空間無限放大的同時，對整個網絡穩定造成了極大的影響，例如：在局部路徑轉發中，由于路徑切換，在互聯網長時間振蕩的同時，對用戶流量也造成了極大的影響。

1.4 網絡可控性

互聯網作為復雜的網絡體系，在體系設計、結構以及工程化方面具有明顯的非線性特征，當非線性系統耦合、放大原則符合相關要求時，網絡中小的事件不僅會影響網絡穩定，在網絡事件相互影響的同時，由于互聯網絡終端設計思想[4]主要集中在邊緣，從而在互聯網管理控制艱難的同時，對互聯網異常行為、故障有效控制逐漸成為互聯網可控性的重要保障。在ISP整形、過濾入口以及工程流量隔離機制中，雖然根據不同的問題，取得了一定效果；從整體形式來看，DDOS攻擊、蠕蟲傳播在行為控制中還是存在很大問題。

根據網絡服務可控性問題，為了保障網絡運行力度，在明確研究路線的同時，必須根據分層機制網絡結構，在簡化非線性管理控制的同時，進行全方位機制隔離，盡量減小異常行為、局部障礙對全局性網絡造成的影響。

2 虛擬化可信網絡

在互聯網發展中，虛擬化網絡技術通過網絡交換轉發和管理控制相隔離，在抽象高層屏蔽物理底層的同時，實現細節管理。近幾年來，隨著硬件性能不斷提高，FPGA、網絡處理器在可重構、可編程虛擬化網絡完善的同時，對網絡平臺、網絡節點進行虛擬化。

2.1 網絡節點虛擬化

網絡節點虛擬化[5]源于上個世紀九十年代后期，在ATM可編程交換機思想中，通過硬件平臺交換，在物理資源交換機平臺中，虛擬多個邏輯交換機，構建更多的邏輯網絡。當FPGA以及網絡處理器在網絡節點得到廣泛應用的同時，逐漸成為路由器研究終點；當數據平面和控制平面相分離時，根據數據平面和路由器控制平面相互屏蔽的特點，在保證細節環境的同時，通過不同的控制管理接頭進行網絡通信，在明確網絡處理器論壇的同時，規范網絡處理器物理抽象，配備標準的網絡處理器接口管理。因此，在實際互聯網應用中，路由控制軟件必須根據不同的網絡處理器平臺，在IETF[6]工作組標準化的同時，進行數據平面以及網絡標準控制平面協議；在For CES以及網絡處理器平臺的基礎上，實現Open Router路由器，方便數據平面以及控制平面技術發展；在虛擬化路由器平面數據分離以及控制平面的基礎上，實現虛擬化技術，獲取網絡管理控制能力以及故障冗余。

在平面數據虛擬化中，由于路由器由多個數據平面組成，在虛擬技術控制平面中，不僅為數據平面提供了虛擬平臺；在多個網絡控制平面中，根據網絡虛擬化管理模式，在控制平面路由器以及數據平面交互[7]中，實現路由器虛擬化。

2.2 網絡平臺虛擬化

網絡平臺虛擬化根據互聯網結構體系相關特點，在新型網絡結構受到限制的同時，進行網絡平臺結構虛擬化，促進網絡體系結構改革創新。在互聯網平臺虛擬化創新發展的同時，由于當今互聯網原則以及結構體系對實踐發展的影響，在網絡平臺虛擬化的同時，促進可信網絡研究發展。網絡平臺虛擬化作為革命性的互聯網變化，目前主要有ISP、SNP，在保障資源功能的同時，促進NAP虛擬網絡維護、開發。

2.3 虛擬化可信網絡

網絡節點虛擬化主要根據網絡服務生存性，在動態切換的同時，提高網絡服務能力；在可以忽略控制平面、數據平面切換的同時，增強互聯網冗余故障能力?？缮嫘跃W絡服務作為互聯網可信網絡的重點，在網絡節點重點支持的同時，網絡平臺虛擬化對互聯網發展具有重要作用。在網絡平臺虛擬化的同時，通過的網絡隔離，增強特殊網絡可控性；通過其他網絡隔離，優化可信網絡研究實踐平臺。

在實際互聯網使用中，由于網絡平臺對可信網絡具有重要影響作用，在虛擬化平臺的同時，不僅可以隔離不同的網絡體系，在增加網絡可控性的同時，為可信網絡提供了更加寬廣的試驗床和研究平臺；在促進革命性改革的同時，將虛擬網絡不斷轉化成互聯網運行模式；在增強ISP差異化平臺的同時，提高ISP部署以及可信度驅動力。

3 VBN虛擬化機制

在互聯網運用中，VBN根據路由器協議綁定的特點，在形成單一管理、路由器以及策略的同時，進行節點交換，VBN作為獨立的節點；在信息交換中，根據VBN、路由器節點模糊的特點，互聯網問題問題逐漸抽象為圖論問題。在降低VBN節點個數的同時，減小問題復雜性；例如：OSPF路由器協議，在路徑最優的同時，計算路由復雜度、存儲復雜度；在綁定VBN路由器，降低協議開銷以及節點個數。當路由器存儲復雜度一定時，根據路由器綁定，減少路由器互聯以及串行連接情況，幫助互聯網FIB極限[8]問題處理。

當VBN內部信息屏蔽時，根據流量工程以及虛擬網路嵌入程度，在網路節點聚集的同時，形成VBN模型（如圖一所示）；當節點數據平面、控制平面虛擬形成對應的數據平面和網路平面時，控制平面資源由虛擬平面負責；當控制平面形成處理器結構時，根據資源分配特點，在聚合分配平面資源、帶寬資源的同時，將相關虛擬平臺嵌入互聯網可信網路需求；在正確劃分多個VR虛擬路由器的同時，進行VR邏輯隔離。

圖1 VBN虛擬化模型以及虛網劃分

在可信網絡中，VBN對可信網絡具有重要作用，它不僅簡化了VBN節點拓撲復雜程度，同時也降低了路由系統、工程流量以及虛網嵌入資源的復雜性；在增強管控能力的同時，讓VBN管理節點更加透明，在多個資源節點調度、共享的同時，保障VBN虛擬化忘了平臺，保障網絡結構以及故障隔離。

另外，由于POP互聯網設備同屬ISP，在管理目標一致的同時，路由器規模數量必須適中。因此，在實際POP運用中，VBN必須根據網絡節點的資源、分配機制、聚合等相關特點，在物理節點相互開放的同時，進行VR機制隔離。

4 結束語

可信網絡作為互聯網研究的重要內容，對互聯網發展具有重要作用。因此，在互聯網可信網絡研究中，必須根據可信網絡研究方向以及虛擬化技術要點，在明確發展問題以及缺陷的同時，增強可信網絡虛擬化技術應用，推動互聯網發展。

[1]張怡，孫志剛.面向可信網絡研究的虛擬化技術[J].計算機學報，2009，32（3）：417-423

[2]蘇巖.虛擬化技術對可信網絡研究的支持與應用[J].中國電子商務，2012，（2）：71-71.

[3]劉偉.面向可信網絡研究的虛擬化技術[J].科技傳播，2011，（18）：172.

[4]拜路.現有虛擬化技術對可信網絡研究的支持分析[J].計算機光盤軟件與應用，2012，（3）：118-119.

[5]王因傳，王建偉.一種新的基于虛擬化技術的可信平臺模型[C].//全國抗惡劣環境計算機第十八屆學術年會論文集.2008：79-82.

[6]凌沖，吳志勇，孫樂昌等.基于硬件輔助虛擬化技術的交叉視圖進程檢測[J].電子科技，2010，23（8）：105-109.

[7]張鑫.以太網鏈路層虛擬化技術研究[D].國防科學技術大學，2011.

[8]向永謙，胡橋.基于虛擬化的服務備份技術[J].信息網絡安全，2012，（8）.