SDN性能优化技术研究综述

软件定义网络(Software-Defined Network,SDN)是一种新兴的网络架构,完全解耦了数据平面与控制平面。控制平面集中制定并下发全网决策,数据平面单纯负责数据转发。通过控制平面的开放接口,SDN实现了网络的可编程性。在未来SDN大面积部署应用的过程中,各个平面的性能优化技术将面临诸多挑战。首先,分析了SDN架构中控制平面和数据平面的性能优化技术的发展现状。其次,总结了各平面性能优化过程中所面临的问题。最后,展望了SDN性能优化方面的未来研究趋势。     

SDN网络中基于交换机等级划分的安全路由策略*

软件定义网络引入了数据平面与控制平面的分离,同时也带来了比传统网络更多的攻击方式。针对软件定义网络从检测出异常到攻击防御结束过程中新流表项下发的安全性进行了研究,为交换机引入安全等级划分机制,根据交换机所处的状态,将交换机划分为三个安全等级,并将攻击检测与路由选择相结合。实验结果表明交换机等级划分的安全路由策略能够使软件定义网络面对攻击表现出动态可伸缩的能力,从而减小攻击对网络所造成的危害。     

软件定义网络控制平面可扩展性研究进展

软件定义网络（software-defined networking,简称SDN）遵循控制转发分离的设计原则,其控制平面采用集中的控制逻辑,在提供灵活高效的网络控制的同时,也面临着严重的可扩展性问题.对SDN控制平面可扩展性相关工作进行综述.首先分析控制平面可扩展性的影响因素并给出改善思路;在此基础上,从数据平面缓存优化、高性能控制器、分布式控制平面和控制资源优化分配4种技术路线出发,论述了主要的解决方案和研究进展.最后,给出总结并展望了未来的研究工作.     

应对DDoS攻击的SDN网络安全特性研究

软件定义网络将传统封闭的网络体系解耦为数据平面、控制平面和应用平面,实现网络的集中控制与管理,其突出特点是开放性和可编程性。本文重点研究SDN网络的安全特性,首先讨论SDN的发展现状,并展示如何通过利用SDN功能来解决网络安全中的一些长期问题。然后,描述了SDN面临的新的重要安全威胁-DDo S攻击,并讨论可用于预防和减轻此类威胁的可能技术。     

软件定义网络中资源消耗型攻击及防御综述

在传统网络中,集成多种网络功能的控制平面和负责转发数据包的数据平面是紧密耦合的,并且通常嵌入在一个专用设备中,这严重限制了网络管理的灵活性和网络服务的创新性。软件定义网络（Software-Defined Networking,SDN）作为一种新型的网络范式,通过将控制平面与数据平面解耦克服了传统网络架构的不足。研究人员凭借全网视图可见性以及对网络设备直接编程的能力提出了诸多SDN应用场景,如数据中心网络、云和广域网。然而SDN带来的灵活性、可管理性以及可编程性等优点是以引入新的安全挑战为代价。本文聚焦SDN网络中的资源消耗型攻击,首先分层整理了SDN网络中的关键资源以及攻击目标,然后对控制平面、控制通道和数据平面存在的多种资源消耗型攻击以及现有防御机制做出了详细的分析和归纳,最后对未来的研究工作进行了展望,并提出了一些潜在的研究方向。     

SDN中一种基于机器学习的DDoS入侵检测与防御方法

近两年分布式拒绝服务攻击（Distributed Denial of Service,DDoS）以平均26%的速率增长,是网络安全的严重威胁之一。论文提出一种适用于软件定义网络（software-define-network,SDN）的DDoS实时入侵检测与即时防御方法RT-XB(Real-Time XGBoost-Bloom Filter)。该方法首先在SDN数据平面使用P4编程,以自定义的方式进行数据包收集;然后对其提取攻击特征向量并做必要的优化处理;再后使用极限梯度增强（extreme gradient boosting,XGBoost）算法构建分类器识别异常数据包,并由此确定攻击源;最后在数据平面构建攻击数据包特征的BF(Bloom Filter)实现对后续攻击数据包的快速识别,并通过修改流表匹配动作的方式做出即时防御。实验结果显示,与现有同类方法相比,RT-XB充分整合了SDN和机器学习的优点,不仅实时检测效率高,假阳性率可控,而且即时防御功能较强。     

基于可编程协议无关报文处理的分布式拒绝服务攻击检测

传统软件定义网络（SDN）中的分布式拒绝服务（DDoS）攻击检测方法需要控制平面与数据平面进行频繁通信,这会导致显著的开销和延迟,而目前可编程数据平面由于语法无法实现复杂检测算法,难以保证较高检测效率。针对上述问题,提出了一种基于可编程协议无关报文处理（P4）可编程数据平面的DDoS攻击检测方法。首先,利用基于P4改进的信息熵进行初检,判断是否有可疑流量发生;然后再利用P4提取特征只需微秒级时长的优势,提取可疑流量的六元组特征导入数据标准化—深度神经网络（data standardization-deep neural network,DS-DNN）复检模块,判断其是否为DDoS攻击流量;最后,模拟真实环境对该方法的各项评估指标进行测试。实验结果表明,该方法能够较好地检测SDN环境下的DDoS攻击,在保证较高检测率与准确率的同时,有效降低了误报率,并将检测时长缩短至毫秒级别。     

异构容错控制平面的安全性分析

随着软件定义网络的大规模应用,软件定义网络的安全性显得愈发重要。基于异构思想的容错控制平面作为一种重要的防御思路,近年来越来越引起研究者的注意。但是现有容错控制平面的研究中忽视了异构原件中的同构漏洞问题,这大大降低了容错控制架构对软件定义网络的安全收益。从异构原件中的同构漏洞出发,首先分析了同构漏洞对控制平面的安全影响,然后以此为基础对容错控制平面的容忍能力进行量化,构造出一个最大化容忍能力的控制平面布局方法。实验仿真证明了所提方法可以有效降低控制平面的故障概率,攻击者在对基于所提方法构造的控制平面进行攻击时,需要花费更多的攻击成本才可以瘫痪控制平面。     

无线软件定义网络研究前景展望

软件定义网络是一种新型网络创新架构,其核心技术OpenFlow通过将网络设备控制面与数据面分离开来,从而实现了网络流量的灵活控制,为核心网络及应用的创新提供了良好的平台。软件定义网络能够改变现有的数据发送规则,由转发设备决定的僵硬模式能够显著提高数据发送的服务质量。目前软件定义网络的无线网络条件下应用的研究还处于起步阶段,本文分析了无线网络中实现软件定义网络可能遇到的困难与机遇。     

智能软件定义网络

近年来,人工智能（Artificial Intelligence,AI ）以强劲势头吸引着学术界和工业界的目光,并被广泛应用于各种领域.计算机网络为人工智能的实现提供了关键的计算基础设施.然而,传统网络固有的分布式结构,往往无法快速、精准地提供人工智能所需要的计算能力,导致人工智能难以实际应用和部署.软件定义网络（Software Defined Networking,SDN）提出集中控制的理念,中央控制器能够按需快速地为人工智能适配计算能力,从而实现其全面部署.将人工智能与SDN网络相结合,实现智能化软件定义网络,既可以解决棘手的传统网络问题,也能够促进网络应用创新.因此,本文首先研究将人工智能应用于软件定义网络所存在的问题,深入分析基于人工智能的SDN的优势,说明软件定义网络与人工智能结合的必要性.其次,自底向上的从SDN的数据平面、控制平面和应用平面角度出发,思考了不同网络平面与人工智能的结合.通过描述智能化软件定义网络的相关研究历程,介绍了智能软件定义网络在路由优化、网络安全和流量安全三方面的关键技术和面对的挑战.最后结合其他新兴领域说明智能软件定义网络的优势和前景,并对未来研究工作进行了展望.     

软件定义无线传感器网络研究综述

研究了分布式无线传感器网络在异构互连和资源管理等方面存在的问题,深入分析了软件定义网络与无线传感器网络结合的必要性,在总结大量软件定义无线传感器网络架构后,给出了通用架构,并对应用面、控制面和数据面进行了详细阐述.进一步,从异构互连、资源管理、可靠控制、网络安全这4个方面梳理出当前存在的挑战及相应关键技术,在此基础上,通过案例比较说明了软件定义无线传感器网络的优势和前景,并对未来研究工作进行了展望.     

SDN数据安全处理机制关键模块的研究与实现

针对软件定义网络（SDN）的数据平面数据泄露问题、提出一种新的基于OpenFlow协议的数据安全处理机制。首先,重构OpenFlow协议的流表结构,设计实现包括安全匹配字段、安全动作在内的OpenFlow数据安全策略;然后,设计中心化管理控制器,通过开发的多个功能模块使控制器及时感知网络变化,有效管控全局网络,维护和下发数据加（解）密密钥、数据安全策略;其次,深度重构开放虚拟交换机OVS架构,设计实现数据安全策略匹配和数据安全处理的完整流程,编写数据净载信息提取接口,通过开发的多个功能模块使OVS能够根据数据安全策略细粒度匹配数据包,并对匹配成功的数据包进行完整数据安全处理操作;最后,搭建软硬件平台,对该机制的加解密处理结果和延时、吞吐量以及CPU使用率进行测试。实验结果表明：该机制可以准确对数据进行加解密操作,延时和吞吐量均处于正常水平;但CPU使用率在45%~60%浮动,开销较大,有待后续优化。     

基于SDN和NFV技术的网络安全架构

基于软件定义网络(SDN)和网络功能虚拟化(NFV)的新型网络取代传统网络势在必行,因此研究基于新网络环境的网络安全体系结构迫在眉睫.介绍了一种开放且通用的软件定义的SDS安全架构,它可以为安全服务、安全设备和安全管理提供一个开放的接口,并且支持不同的网络安全供应商部署其安全产品和安全解决方案.此外,可以实现虚拟安全功...     

基于SDN网络的安全设备路由研究

SDN（Software Defined Networking,软件定义网络）是一种新型的网络架构,是网络实现自动化部署灵活管理的一个重要方式。SDN技术将网络的数据平面和控制平面相分离,从而实现了网络流量的灵活控制。因此,基于SDN技术提出了一种基于SDN网络的安全设备路由模型,该模型结合改进的内嵌式安全设备最短路由算法和旁路式最短路由算法及神经网络最短路由算法,得到一种高效的安全设备路由策略,并且在此基础上构建了一个网络安全服务调度系统,能够在安全设备混合部署的复杂网络环境中,按用户需求提供个性化的安全服务;同时,通过计算较低网络成本的最短安全路径,提高了网络的路由效率和资源利用率。     

软件定义网络架构下的安全问题综述

随着网络业务的多元化与网络基础服务能力的不断提升,企业网、云计算、数据中心等大量新兴应用场景迅速丰富,传统网络已不能满足其不断涌现的可扩展性、可管理性及安全保障等新需求,这一现状有力地推动以SDN为代表的当代网络架构的发展。然而随着学术界与产业界对SDN技术的研究及其设备的普及,安全问题逐渐成为制约其进一步发展的关键因素之一。针对SDN架构的技术发展背景进行分析,然后简析SDN技术的核心架构原理及目前的发展现状;结合SDN架构特点,针对其安全特性及其所面临的安全威胁进行详细分析,并深入讨论SDN网络安全研究的范畴与新兴发展方向。     

面向网络安全资源池的智能服务链系统设计与分析

传统网络安全架构通过将流量引导经过硬件形式的网络安全功能设备来保障网络安全,该架构由形式固定的硬件组成,导致网络安全区域部署形式单一,可扩展性较差,在面对网络安全事件时无法灵活地做出调整,难以满足未来网络的安全需求。面向网络安全资源池的智能服务链系统基于软件定义网络与网络功能虚拟化技术,能够有效解决上述问题。基于网络功能虚拟化技术新增虚拟形式的网络安全功能网元,结合已有的硬件网元构建虚实结合的网络安全资源池,并基于软件定义网络技术实现对连接网元的交换设备的灵活控制,从而构建可动态调节的网络安全服务链;基于安全日志检测与安全规则专家库实现对网络安全事件的检测与生成对应的响应方案,从而能够在面对网络安全事件时通过集中式控制的方式实现服务链的动态智能调节;对服务链的部署过程进行数学建模并设计了一种启发式的服务链优化编排算法,实现服务链的优化部署。通过搭建原型系统并进行实验,结果表明,所设计系统能够在面对安全事件时在秒级时间内完成安全事件的检测,并能够在分钟级时间内完成对安全服务链的自动调整,所设计的服务链优化部署算法能够将服务链对虚拟安全资源池中资源的占用降低 65%。所设计系统有望运用于园区与数据中心网络出口处的网络安全区域,简化该区域的运维并提高该区域的部署灵活度。     

Minimization of Multicast Traffic and Ensuring Its Fault Tolerance in Software-Defined Networks

In recent years, the widespread TCP/IP computer network model has been replaced by the software-defined network model, where the control plane is separated from the data plane and is logically centralized. The new model requires a revision of traditional network control protocols. One group of such revised protocols consists of multicast routing protocols. In this paper, the multicast routing protocols used in traditional TCP/IP networks are analyzed, and their basic disadvantages and difficulties in their application in software-defined networks are revealed. Multicast routing algorithms that use the capabilities of software-defined networks and ensure the optimization and reliability of routes in multicast routing are described. These algorithms are exempt from the drawbacks of traditional networks. The proposed algorithms are implemented as an application for the RunOS controller. This experimental study shows that the delays due to the use of the proposed algorithms for restructuring routes satisfy the requirements of telecommunications operators of large regional networks.     

基于拥塞及内存感知的SD-WAN故障恢复

在软件定义广域网(SD-WAN)中, 链路故障会导致大量丢包, 严重时会引起部分网络瘫痪. 现有的流量工程方法通过在数据平面提前安装备份路径能够加快故障恢复过程, 但在资源受限的情况下难以适应各种网络故障情况, 从而使恢复后的网络性能下降. 为了保证网络在故障恢复之后的性能并减少备份资源的消耗, 本文提出一种基于拥塞及内存感知的主动式故障恢复方案(CAMA), 不仅能够将受影响数据流进行快速重定向, 还能实现负载均衡避免恢复后潜在的链路拥塞. 实验结果表明, 与已有方案相比, CAMA能有效利用备份资源, 在负载均衡上有较好的性能, 且仅需少量备份规则即可覆盖所有单链路故障情况.