SDN可信网络关键技术研究*

张 迎，刘 菁，王稼驷

(1.中国人民解放军后勤学院，北京 100858；2.特种车辆研究所，北京 100072)

SDN可信网络关键技术研究*

张 迎1，刘 菁1，王稼驷2

(1.中国人民解放军后勤学院，北京 100858；2.特种车辆研究所，北京 100072)

软件定义网络（SDN）提出一种全新的网络设计理念，具有控制面与转发面分离、开放可编程接口以及网络集中控制等技术特点。利用SDN架构重构传统安全系统，通过网络安全能力软件服务化，能有效拓展可信网络应用空间，促进可信网络发挥更大的功效作用。鉴于此，针对传统可信网络亟待解决的安全性、可生存性及可控性问题，充分发挥SDN架构先进的网络设计理念和技术优势，提出全网关联融合的安全技术、低开销的网络抗毁生存架构、安全服务按需弹性部署等一系列SDN可信网络关键技术和突破路径，并进行分析和研究。

软件定义网络；可信网络；网络虚拟化；安全服务

0　引 言

随着大数据技术、云计算技术迅猛发展，各种网络新应用层出不穷，极大地促进了互联网规模海量增长。然而，传统网络安全防御系统还是孤立分散的，不能有效对抗复杂综合的网络攻击。网络系统易攻难守，面临严重的安全防御挑战。网络安全防御机制要适应网络攻击威胁综合化复杂化的特点，使网络在可信状态下运行，必须要能提供综合集成一体化的安全可信机制，在集中控制网络平台下有效融合用户认证授权、数据安全保密以及网络信息的监测预警等各种安全可信技术。因此，可信网络研究已成为网络研究的一个热点。

软件定义网络（SDN）提出一种全新的网络设计理念。它将控制面从传统的路由交换设备中剥离出来，具有控制面与转发面分离、开放可编程接口以及网络集中控制等技术特点[1]，同时结合SDN网络虚拟化技术，便于实现网络应用软件服务化，为可信网络提供更加便利的试验床和研究平台。采用SDN架构重构传统安全系统，通过各种安全机制的有效融合和协同控制，能建立内在关联的监控体系。通过网络安全能力软件服务化，实现安全服务按需快速弹性部署，能有效拓展可信网络应用空间，促进可信网络发挥更大的功效作用。

本文主要分析研究SDN可信网络关键技术，首先简要分析可信网络需要解决的问题，其次分析研究SDN技术特点，再次系统地对SDN可信网络涉及的一系列关键技术和解决途径进行研究，最后对全文进行总结。

1　可信网络需要解决的问题

网络的安全性、网络服务可生存性和可控性是可信网络面临解决的的三个基本问题。文献[2]提出，在可信网络中，可对网络行为状态进行监控预警并评估其行为结果，当网络行为异常时，可对其进行有效控制，因此可对网络行为及其结果进行监控预测，实现可信网络的安全性、可生存性和可控性的目标。可信网络提供安全和可生存的网络服务，以满足用户使用网络服务的需求，而实现可控性目标则需要良好的网络服务设计，使网络安全服务功独立于网络物理连接和地域限制，能快捷部署到需要监测防御的地方。

1.1网络安全性

网络安全性主要是指网络系统数据和服务完整无损，数据及服务不可篡改，提供保密性服务，并且网络行为具有不可否认的特点。从目前复杂异构的网络体系结构现状出发，针对网络攻击和破坏行为的综合化和复杂化趋势，提供符合安全标准的安全核心体系结构。传统网络控制分散，认证授权、监测预警以及数据安全防护等各种安全技术孤立分散，安全模块之间缺乏内在关联[3]，全网安全策略一致性得不到有效保障，存在策略漏洞或冲突等问题。

1.2网络服务可生存性

可生存主要是指能满足网络服务的抗毁性要求。当网络遭受外来攻击、意外损毁时，能及时调配资源，保障网络关键任务的可靠运行，并能在可接受的时间内对网络故障和损毁进行恢复，满足用户的需求。因此，对损毁的网络服务的修复能力，体现了网络服务的可生存能力。目前，为满足网络抗毁性的需求，主要通过对资源进行冗余和有效调度的方法来解决[4]。资源调度过程中，若控制开销过大，容易形成性能瓶颈。因此，如何提供高效的控制方式，降低控制开销是资源调度面临的主要问题。

1.3网络服务可控性

可控性主要是指对网络进行监控预警。当网络流量行为异常时，能对其进行有效控制。网络流量具备典型的分形混沌特性，一个微小的异常输入就可能造成大规模大范围的网络故障。这要求能及时探测和响应网络异常情况，提高网络控制的时效性。目前，网络被抽象为一个尽力而为的基础设施。对网络的控制主要集中在接入边缘，并且网络的分布式控制方式缺乏全局视野，网络安全功能模块与具体的网络基础设施严重绑定，与底层网络细节不能分离，安装部署受限于物理连接和地域限制，不能及时响应网络的安全需求，网络可控性极为困难[5]。因此，如何使网络安全服务独立于具体网络物理设施，通过网络安全功能软件化服务化设计，将网络安全服务快捷弹性地部署到需要监测防御的地方，是实现网络服务可控性目标的主要问题。

针对上述网络安全性、可生存性及可控性需求，需要建立全网关联的集中监控平台，对网络资源进行抗毁性调度，并将认证授权、监测预警及安全通道等安全功能服务按需弹性部署，以解决可信网络面临的三个问题。

2　SDN主要技术特点

与传统网络技术相比，SDN其实是一个网络创新架构，是一种全新的网络设计思想。它的主要特点包括：

（1）控制管理功能与数据转发功能解耦分离。

（2）开放的可编程接口。

（3）集中式的网络控制平面。

（4）网络业务可由用户定制设计的自动化应用程序控制。

（5）硬件编程接口的标准化。

其中，（1）（2）是SDN的核心属性，是SDN的本质特征。具体实施中，透过纷繁复杂的实现技术，若满足了这两点，不管采用何种技术，都可宽泛地认为是SDN架构[6]。

开放网络基金会（ONF，Open Networking Foundation）组织定义了SDN框架，如图1所示。

SDN理论框架逻辑上包含三层处理模块。由底至上，依次是基础设施层、控制层和应用层[7]。

基础设施层抽象为转发面，由网络中硬件交换机、虚拟交换机或路由器等转发设备组成，用户数据报文通过转发面进行处理转发。数据转发面接收控制层下发的转发流表，根据流表数据转发面进行业务数据的快速转发和状态收集。

图1　SDN框架

控制层是SDN的核心层，具体负责处理控制面资源的抽象信息。控制层通过南向接口对底层交换机设备进行转发控制，并获取交换机等网络转发设备信息，对转发面进行抽象，取得全局视野的网络拓扑。北向接口是控制层与应用层之间的接口，通过北向接口控制层给上层网络应用提供网络服务。

应用层可以提供负载均衡、安全、拓扑发现、网络监测预警等各种常见的网络应用，通过北向接口网络功能实现软件服务化；网络自动化应用程序可以充分控制各类网络业务，并在一个抽象的网络上进行操作[6]，用户可量身定制各种网络服务，如安全服务的定制并按需部署，以满足网络安全需求。

相对传统网络架构而言，SDN网络具有如下优势：

（1）SDN网络提供了开放的可编程接口，控制平面通过开放的标准编程接口，对数据平面进行编程控制，使整个网络具备可编程性。可针对不同的业务需求，实现业务应用的自动化控制，提高业务部署能力以及可信度驱动力[8]。全网联动自动进行安全策略的控制和部署，便于自动化控制各类网络服务。因此，SDN网络的可编程能力对可信网络具有重要的支持作用。

（2）SDN网络控制平面与转发平面的分离，使网络设备的集中管控成为可能。通过控制面的集中管控，获得全局视图，便于基于全局信息进行转发行为的决策，能够有效监测全网信息状况，优化选择转发路径，按需部署各种网络安全服务，最优化地满足业务应用的需求。同时，SDN网络将网络控制与物理网络拓扑分离，从而摆脱硬件对网络架构的限制。这样企业便可以像升级、安装软件一样，对网络架构进行修改。而底层的交换机、路由器等硬件则无需更新替换，就能实现新的网络功能。例如，入侵检测功能认证授权功能等。

（3）利用SDN网络的可编程和集中控制的能力，方便实现网络虚拟化。以OpenFlow为代表的南向接口，使得底层的转发设备可以被统一控制和管理，具体的物理实现将被透明化，从而实现设备及网络的虚拟化。这可减少甚至摆脱网络硬件对网络架构的限制，便捷地对网络进行架构调整、扩容和升级，缩短业务部署时间，提高网络效率。同时，多种多样的开放接口，必将推动网络服务能力被便捷地调用，支持网络业务的创新，为核心网络及应用创新提供一个试验床和良好的研究平台。因此，SDN虚拟化技术作为一种新型技术，是促进可信网络服务快速弹性按需部署进一步改进和发展的有效途径。

3　SDN可信网络关键技术分析

SDN网络提出了逻辑集中式控制、丰富的开放可编程接口、控制管理功能和数据转发功能解耦分离、流表转发等全新网络设计思想。这些创新的网络理念积极推动可信网络的发展，为可信网络的全新发展注入了新动力。在传统安全系统中，引入SDN网络技术进行重构，实现安全控制管理功能的逻辑集中化管控，实现安全业务功能软件服务化，可满足可信网络安全性、可生存性和可控性的要求：

（1）基于SDN集中控制技术建立内在关联的监控体系，通过各种安全机制的有效融合和协同控制，统一决策及下发安全策略，实现可信网络的安全性。

（2）基于SDN逻辑集中式物理分布式抗毁架构，提高可信网络的可生存性。

（3）采用SDN网络的可编程网络服务化、网络功能虚拟化等技术，安全服务按需快速弹性部署，实现可信网络的可控性。

3.1有效融合的安全技术

该技术主要解决可信网络的安全性问题，包括网络接入安全性和数据传输安全性。

实践证明，传统网络安全系统多年积累的各种安全技术能为网络提供安全保障，满足网络安全性需求。通过开放的可编程接口，SDN网络可方便地集成入侵检测、防火墙、访问控制、入侵防御等传统安全应用，对传统安全系统进行重构。SDN网络的优势在于低成本地、灵活地实现一些传统安全应用，在SDN中有效地融合各安全机制。SDN技术为网络监控提供了一个全网集中控制平台。

因此，在全局网络拓扑视野中采用认证、授权等控制机制，结合SDN网络的逻辑集中式控制技术，针对传统安全技术，如数据检测采集、入侵攻击检测分析预警以及隧道封装加密等技术，进行有效融合统一部署；针对由于分散孤立下放策略而导致策略漏洞及冲突问题，对安全策略进行一致性检查，检查策略漏洞，消解策略冲突，实现安全机制的自动化及联动，提升安全防护精度及效率[9]。

3.1.1网络接入安全技术

采用数据完整性、用户身份管理以及网络攻击防御技术，解决用户网络接入安全性的问题。

数据的完整性要求网络保障用户及系统数据的完整真实不可窃取，操作行为不可否认；用户管理包括登录用户的身份认证以及接入授权[10]；网络攻击防御技术保护网络系统，免遭常见网络攻击的危害，如针对扫描探测攻击、木马攻击、会话欺骗、拒绝服务攻击、缓存溢出攻击等常见攻击的监控防御。

（1）数据完整性：数据的完整性要求非法用户不可窃取、不可篡改、不可伪造数据。通过对非法用户的身份认证、访问权限分配及数据隔离控制的管理，避免网络数据被非法用户访问破坏，保证网络中的服务操作不可否认。采用数据审计服务来验证动态数据的完整性，采用MD5 Hash算法验证数据完整性，为用户提供数据完整性验证服务。

（2）用户管理：用户的管理是基于身份认证，不同接入用户按照用户身份信息的不同，赋予不同的接入控制权限。采用逻辑集中的身份认证服务器，通过统一的用户访问管理控制，提供强有力身份认证、权限分配机制，解决用户访问控制的认证方法和强度选择、权限分配结果验证等问题，避免非法用户对合法数据的访问或破坏。通过调用认证服务器的统一API，网络应用程序对接入用户进行身份认证，实现统一的身份认证和权限分配，统一管理用户的操作行为，只对合法授权用户赋予网络服务和应用程序的访问权限[10]。

（3）网络攻击防御。防火墙（FW）、入侵检测系统（IDS）和入侵防御系统（IPS）是用来检测防御常见网络攻击威胁的三种网络安全技术。FW对内网与外网的数据进行隔离，作为内外网数据进出检测点，实现网络地址转换、流量控制和数据报文过滤等功能；IDS作为网络安全检测设施，根据配置的安全策略，对输入输出数据流进行监测，探测预警各种攻击计划、攻击行为或者攻击后果，并通知用户采取相应防御措施。IPS是基于IDS发展而来的网络安全技术，IPS监测网络中的非法行为，搜集网络上有关安全的信息并负责存储转发，匹配入侵的特征码，对网络攻击行为采取主动制止实时中断等防御措施，为网络安全提供良好保障。

3.1.2数据传输安全技术

采用虚拟专用网（Virtual Private Network，VPN）技术解决网络数据传输安全性的问题。

VPN技术通过对在网络中传输的数据进行封装而虚拟出一条安全通道，用户数据可以像在物理专网中一样进行传输。安全通道实现数据传输通道的逻辑隔离，并通过加密和鉴别两种技术解决窃听、伪装及篡改的问题，为数据传输提供强力保障，实现用户数据安全传输。常用的VPN技术有两种：IPSec VPN和SSL VPN。

（1）IPSec VPN。IPSec VPN作为网络层安全协议，采用隧道封装加密、报文鉴别完整性检测等技术，保证IP报文安全传输。IPSec包含传输模式和隧道模式两种模式。传输模式对IP数据进行身份鉴别和完整性检测，需要为原始IP数据包增加一个IPSec头。隧道模式要为原始IP数据另外增加一个新的IP包头，原来的IP包头则封装到载荷中，作为其数据载荷的一部分，隐藏原始数据包真正的目的IP，从而更具灵活性和安全性。实际应用中，通过安全关联来指定VPN连接模式，根据不同需求可分别采用隧道模式或ESP包头连接模式。

（2）SSL VPN。SSL VPN基于HTTPS，作为应用层安全协议在用户终端与所访问的网络资源之间建立安全隧道，来确保HTTP数据的安全传输。通过端到端的安全连接，SSL VPN能鉴别和加密那些受保护的数据，为终端用户提供安全可靠的接入方法。由于浏览器内嵌SSL协议，SSL VPN更适用于移动用户，满足用户随时随地接入用户内网的需求。

SDN集中式网络控制技术能够为上述安全技术提供强大的计算和存储支持。通过建设统一的安全分析平台，很大程度上提高安全事件搜集与处理的效率，增强对抗网络攻击威胁的防御能力、非法行为的检测速度以及关联数据的分析能力，从而为全网安全性提供良好保障。

3.2抗毁性系统架构技术

该技术主要解决可信网络服务可生存性问题。在上述网络安全性得到保障的基础上，要提高网络服务的可生存性，关键是提高用户网络的抗毁性。这就要求网络在遭受外来破坏损毁的情况下，具备在预定时间内对网络故障和损毁进行恢复的能力，即网络仍能保证关键任务的正常运行，同时网络数据完整性、机密性和可用性等基本属性依然满足用户的需求，不受破坏影响。

基于以上需求，在可信网络环境中采用文献[6]提出的“基于SDN逻辑集中式物理分布式的架构方式”：将整个网络从逻辑上分为多个域，每个域内的多个节点之间通过自动选举算法形成主从关系，主节点的SDN控制器为本域内的逻辑中心，控制本域内所有节点的SDN交换机，每个域由其本域的逻辑主节点将本域抽象成大交换机模式，本域与其他域之间的通信链路抽象成不同的物理接口。不同域之间形成分布式对等关系，以准实时方式进行同步。同步内容包括各个域的大交换机之间的资源态势与流量态势信息。

这样，任一单节点的损毁不影响系统其他节点正常通信；域内从节点损毁不会影响主节点的域内决策以及域间决策。若域内主节点损毁，新的主节点能够快速改选产生，避免域内决策以及域间决策功能受损毁影响；若某域遭到破坏，其他域内任务仍能保证正常工作而不会受到干扰。因此，这种域内主从域间对等的分布式架构方式，通过低开销的分布控制技术，具备良好的抗毁性，能很好地满足可信网络服务生存性要求。

3.3安全服务按需自动化弹性部署技术

该技术通过安全服务模式主要解决可信网络服务的可控性问题。

基于SDN网络的可编程技术，将安全功能以服务的形式提供给用户。安全服务可高效率地应用于大规模的网络环境。相比传统网络安全技术，它可更快速地响应越来越复杂的网络安全需求。将RADIUS、VPN、FW、IDS、IPS与SDN网络服务技术结合，建立SDN安全服务器，将形成保护可信网络的大型分布式网络服务——SDN安全服务。例如，结合SDN网络服务技术与访问认证及数据检测监控技术，SDN安全服务采集数据发送到SDN安全服务器进行大数据分析处理。在网络攻击或威胁到达用户终端之前，将其检测并隔离，可及时探测预警网络攻击及威胁。这样既可避免无谓损耗分散孤立节点的资源，提高资源利用率，又为网络用户提供及时响应的网络攻击防御服务，将访问控制、认证授权、威胁预警、攻击拦截、病毒查杀等安全技术集成为灵活强大、快速反应的安全服务。

基于SDN网络虚拟化技术，使用基于SDN的服务编排和管理工具，实现整个安全服务的快速部署、配置和更新。网络管理员关注于安全功能的需求及实施，通过开放的API接口建立安全服务。SDN网络可编程和逻辑集中式控制的能力，使安全服务功能模块可以摆脱网络物理连接及地域限制，实现网络安全服务自动化弹性部署。

因此，SDN控制器在掌握全网网络资源态势与流量态势信息的基础上，具备全局安全视野，能根据网络实时拓扑和资源情况，将网络安全服务弹性部署到需要监测的地方。同时，也可在控制器设置流表，网络管理员从上层控制来保证策略与底层网络设备的映射。通过全网一致的网络安全管理策略，迅速完成路由计算、安全配置等工作，动态调节牵引网络流量，保证数据通过安全服务功能模块。这样既能将网络安全服务弹性部署到需要监测的地方，又可根据需要将流量牵引到网络安全服务模块进行监测分析[5]。二者结合，实现服务快速弹性部署，提高安全服务的使用效率，避免安全设备资源的低效浪费，既高效又低成本。

综上所述，基于SDN网络集中控制、抗毁性系统架构、可编程及网络虚拟化等技术，SDN网络的安全服务架构具有良好的扩展性，SDN网络能很好地融合各种安全服务，建立内在关联的监控体系，可根据用户需要灵活部署各种安全服务，满足可信网络安全性、可生存性和可控性的要求。

4　结 语

随着互联网的迅猛发展，可信网络成为网络安全发展的新趋势。未来网络攻击必然向复杂化、随机化、综合化和隐蔽性发展，可信网络研究将面临很多挑战，SDN技术的出现为可信网络的研究和发展提供了有利条件。本文针对可信网络面临的问题，对SDN可信网络的一系列关键技术及解决途径进行探讨，依靠SDN这种新的网络技术，帮助提高可信网络的安全性、可生存性及可控性，进一步发挥可信网络的效力。

[1] 张卫峰.深度解析SDN:利益、战略、技术、实践[M].北京:电子工业出版社，2014. ZHANG Wei-feng.SDN:Intest,Strategy,Technology and Practice[M].Beijing:Publishing House of ElectronicsIndustry,2014.

[2] 王晟,虞红芳,许都.可信网络中安全、可控可管及可生存技术研究[J].中兴通讯技术,2008(14):36-39. WANG Sheng,YU Hong-fang,XU Du.Securi-ty,Controlability,Manageability and Survivability in Trustworthy Networks[J].ZTE Communications,2008(14):36-39.

[3] 张新刚,刘妍. 可信计算与可信网络 [J].信息安全与通信保密,2006(11):86-87. ZHANG Xin-gang,LIU Yan.Trusted Computing and Trustworthy Networks[J].Information Security and Communications Privacy,2006(11):86-87.

[4] 张怡,孙志刚.面向可信网络研究的虚拟化技术[J].计算机学报,2009(03):418-419. ZHANG Yi,SUN Zhi-gang, Virtualization Technology for Trustworthy Network Research[J].Chinese Journal of Computers,2009(03):418-419.

[5] 刘伟.面向可信网络研究的虚拟化技术[J].科技传播,2011(18):172. LIU Wei, Virtualization Technology for Trustworthy Network Research[J]. Public Communication of Science & Technology,2011(18):172.

[6] 王俊,陈志辉,田永春等.软件定义网络技术在战术通信网中的应用研究[J].通信技术,2014, 47 (12): 1392-1399. WANG Jun,CHEN Zhi-hui,TIAN Yong-chun.Application of Software－Defined Network Technology in Tactical Communication Network[J].Communications Technology,2014, 47 (12):1392-1399.

[7] 李纪舟,何恩.软件定义网络技术及发展趋势综述[J].通信技术,2014, 47 (02):123-127. LI Ji-zhou,HE En.Technologies and Future Development Trend of Software-Defined Networking[J].Communica tions Technology,2014, 47 (02):123-127.

[8] 高焕芝.面向可信网络研究的虚拟化技术[J].电子测试,2013,4(07):164-165. GAO Huan-zhi. Virtualization technology research of trusted network oriented[J].ELECTRONIC TEST,2013, 4(07):164-165.

[9] 周苏静. 浅析SDN安全需求和安全实现[J].电信科学,2013,(09):114-116. ZHOU Su-jing. Study on Security in SDN[J]. Telecommunications Science,2013,(09):114-116.

[10] 徐耀峰.基于SDN的安全云接入技术研究[D].北京:北京邮电大学，2013:20-24. XU Yao-feng.Research on Secure Cloud Access Technology based on SDN[D].Beijing:Beijing University of Posts and Telecommunications,2013:20-24.

张 迎（1982—），女，博士研究生，工程师，主要研究方向为军事信息学；

刘 箐（1982—），女，博士研究生，工程师，主要研究方向为智能交通；

王稼驷（1976—），男，硕士，工程师，主要研究方向为通信网络、软件测试技术等。

Technologies based on SDN Trustworthy Network

ZHANG Ying1, LIU Jing1, WANG Jia-si2
(1.Logistics Academy of PLA,Beijing 100858,China; 2.Special Vehicles Institute,Beijing 100072,China）

SDN(Software Defined Network) proposes a new network design concept, and this concept featurs the technical characteristics including separation of control plane and forwarding plane, open programmable interface and network centralized control. With SDN architecture for reconfiguration of traditional security system and via software and service oriented network security capability, the application space of the trustworthy network could be effectively broadened, and the role further promoted. This paper discusses a series of key technologies and breakthrough ways aimed at SDN trustworthy network.

SDN(Software Defined Network)；trustworthy network；network virtualization；security service

TN93

A

1002-0802(2016)-08-01062-06

10.3969/j.issn.1002-0802.2016.08.020

2016-04-21;

2016-07-22

date:2016-04-21;Revised date:2016-07-22