楊明華+++陳聰+++鄭建群+++王振海

【 摘 要 】 自主創(chuàng)新，建設安全可控的網(wǎng)絡是我國信息化建設的重要內容。自主安全可控的網(wǎng)絡建設的核心思想是在采用自主國產網(wǎng)絡設備組網(wǎng)的基礎上通過自定義、可編程方式實現(xiàn)數(shù)據(jù)底層傳輸和上層控制的分離，進而提升網(wǎng)絡設備運行和網(wǎng)絡維護效率，增強網(wǎng)絡的安全性、可管理性。本文在分析目前網(wǎng)絡架構風險的基礎上，基于SDN技術設計了一種自主安全可控的網(wǎng)絡，并對技術原理、實現(xiàn)方案進行了詳細論述。

【 關鍵詞 】 SDN；軟件定義網(wǎng)絡；OpenFlow；安全可控

【 中圖分類號 】 TP393.08 【 文獻標識碼 】 A

1 引言

近年來，在國家核高基以及863、973等重大專項的支持下，我國在推進自主可控方面的腳步日漸加快。國產處理器、國產操作系統(tǒng)等核心軟硬件日漸成熟，已經(jīng)形成了對國外產品的替代能力。以國產CPU為例，近幾年，我國在自主處理器芯片上加大研發(fā)投入，已經(jīng)研發(fā)出多款處理器芯片，如龍芯系列處理器、飛騰系列處理器、UniCore系列處理器、國芯系列處理器、申威系列處理器等。在自主操作系統(tǒng)方面，推出了中標麒麟服務器操作系統(tǒng)、中標麒麟桌面操作系統(tǒng)、ReWorks嵌入式實時操作系統(tǒng)、天熠實時操作系統(tǒng)等產品。在自主數(shù)據(jù)庫方面，國內主要包括達夢、神舟OSCAR、金倉等通用數(shù)據(jù)庫，以及天熠等嵌入式實時數(shù)據(jù)庫產品。在計算機外圍部件（如內存、外存、顯示屏、電源、安全控制芯片）、辦公軟件、服務中間件等方面，我國也有了相應的自主技術和產品。

然而在網(wǎng)絡技術方面，在日益增長龐大的網(wǎng)絡規(guī)模和不斷增加的新網(wǎng)絡應用面前，我們在安全可控方面的能力卻顯得逐步下降和滯后。主要表現(xiàn)為：危險性——惡意攻擊、病毒、木馬每年造成巨大的損失；脆弱性——無控制的特性讓整個網(wǎng)絡在精心設計的少數(shù)攻擊下陷入崩潰；遲鈍性——現(xiàn)代臃腫的路由機制不能支持快速的部署和更新，即便發(fā)現(xiàn)問題也無法及時反應；低效性——IPv4到IPv6的演進，使網(wǎng)絡設備的功能更復雜，讓網(wǎng)絡的管理更繁雜。

追根溯源，這一切的問題在于我們面前存在一個無法跨越的軟肋——可控性，我們缺少掌握在自己手中的核心技術，尤其在網(wǎng)絡關鍵軟硬件上缺少突破和產業(yè)積累，這也反過來制約了我國各類信息系統(tǒng)的使用和效益發(fā)揮。

近年來，OpenFlow以及基于Openflow衍生的SDN（軟件定義網(wǎng)絡）技術則為解決我們在自主可控上面臨的軟肋找到了有效的方法。OpenFlow的理念是將路由器和交換機的控制平面和轉發(fā)層面進行分離，即將原來由路由器或交換機控制的數(shù)據(jù)包轉發(fā)過程，轉化為由OpenFlow交換機和控制服務器（OpenFlow Controller）分別完成。

OpenFlow技術架構提供了一種可編程的網(wǎng)絡實現(xiàn)，把IP網(wǎng)絡原有封閉的體系解耦為數(shù)據(jù)平面、控制平面和應用平面，從而實現(xiàn)軟硬件分離，革命性地改變現(xiàn)有的網(wǎng)絡架構。這種對現(xiàn)有網(wǎng)絡架構的顛覆也為我們徹底實現(xiàn)網(wǎng)絡的自主可控創(chuàng)造了契機。

2 國內外發(fā)展現(xiàn)狀

2007年，在美國斯坦福大學的“Clean slate”計劃的引領下，由教授Nick Mckeown主導，斯坦福提出了OpenFlow協(xié)議。隨后，OpenFlow在產業(yè)界引起了轟動，并迅速聚集了一批廠商進行產品的研發(fā)。

從2007年提出到現(xiàn)在，OpenFlow已經(jīng)在硬件和軟件支持方面取得了長足的發(fā)展。從OpenFlow推出開始， NEC、 Cisco、Juniper、Toroki、Pronto也相繼推出了支持OpenFlow的交換機、路由器、無線網(wǎng)絡接入點（AP）等網(wǎng)絡設備。此外，具有OpenFlow功能的AP也已在斯坦福大學進行了部署，標志著OpenFlow已不再局限于固網(wǎng)。2009年12月，OpenFlow規(guī)范發(fā)布了具有里程碑意義的可用于商業(yè)化產品的1.0版本。OpenFlow相應的支持軟件，如OpenFlow在Wireshark抓包分析工具上的支持插件、OpenFlow的調試工具（liboftrace）、“OpenFlow虛擬計算機仿真”（OpenFlowVMS）等也已日趨成熟。

目前OpenFlow的國際覆蓋已經(jīng)包括日本、葡萄牙、意大利、西班牙、波蘭和瑞典等，尤其是在數(shù)據(jù)中心的應用已得到廣泛認可。在數(shù)據(jù)中心網(wǎng)絡中使用OpenFlow交換機，可以使得網(wǎng)絡和計算資源更加緊密的聯(lián)系起來并實現(xiàn)有效的控制。數(shù)據(jù)中心的數(shù)據(jù)流量很大，如果不能合理分配傳輸路徑很容易造成數(shù)據(jù)擁塞，從而影響數(shù)據(jù)中心的高效運行。若在數(shù)據(jù)中心網(wǎng)絡中添加OpenFlow交換機，則可以實現(xiàn)路徑優(yōu)化以及負載均衡，從而使得數(shù)據(jù)交換更加迅速。目前，Google的數(shù)據(jù)中心內部網(wǎng)絡G-scale采用了OpenFlow交換機，成為OpenFlow的典范。Google通過10G網(wǎng)絡鏈路連接分布全球的12個數(shù)據(jù)中心，在每個站點部署OpenFlow交換機和控制服務器，將鏈路使用率從30%～40%提升至接近100%。此外，網(wǎng)絡運營商NTT宣布已在他們全球性網(wǎng)絡（主要在亞洲，少數(shù)站點在美國和英國）運用SDN技術（Openflow）提供跨數(shù)據(jù)中心連接。

目前國內在產學研領域對OpenFlow技術進行研究的單位包括清華大學、北京郵電大學、上海交通大學、中科院、北京云杉網(wǎng)絡、蘇州盛科網(wǎng)絡、阿里巴巴等。其中在OpenFlow交換機領域，蘇州盛科已推出基于國產核心芯片的Openflow交換機。在控制器領域，北京云杉網(wǎng)絡等單位基于NoX、FloodLight等開源軟件進行了集成。綜合來看，目前國內OpenFlow的應用還處在摸索研究階段，尤其是在OpenFlow控制器方面都是基于開源代碼，清華大學在此之上提出自己的管理控制方案，推出了自己管理控制軟件，阿里巴巴也正在自研控制器系統(tǒng)。

3 存在問題

從目前國內網(wǎng)絡設備構成看，設備類型全部是基于現(xiàn)行互聯(lián)網(wǎng)協(xié)議的通用網(wǎng)絡交換機和路由器，其中國外網(wǎng)絡產品占70%以上，且大多部署在關鍵網(wǎng)絡節(jié)點，網(wǎng)絡規(guī)模、組織結構、功能性能很容易被國外獲取。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡交換機軟硬件架構支持功能龐大復雜。不但需要完成基礎的數(shù)據(jù)轉發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡功能，甚至需要支持防火墻、NAT、訪問控制等安全設備需要支持的特性。為了支持這些功能，在交換機操作系統(tǒng)需要集成上層接口、進程管理等程序，整個系統(tǒng)代碼達到百萬甚至千萬行，如圖2所示。

這種架構使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運行，而且很難做到有意義的擴展。如果想在現(xiàn)有交換機中定制化開發(fā)一個特有的通信協(xié)議就很難實現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機軟件的工作量和復雜度，而且需要全網(wǎng)設備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺設備實現(xiàn)和支持，不但消耗有限的設備資源，也存在泄露網(wǎng)絡拓撲以及網(wǎng)絡中傳輸數(shù)據(jù)的潛在風險。

4 解決思路

引用OpenFlow的技術思想，將網(wǎng)絡交換機演變成工作方式。通過OpenFlow技術，將路由器和交換機的控制平面和轉發(fā)層面進行分離，即將原來由交換機控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學習、路由計算、防火墻以及負載均衡等均由控制服務器（OpenFlow Controller）完成，而不是交換機固件決定。數(shù)據(jù)包轉發(fā)過程則由OpenFlow交換機完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡中數(shù)據(jù)包的流向是根據(jù)路由表進行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡中，經(jīng)過OpenFlow交換機的每個新的數(shù)據(jù)流都必須由控制器來做出轉發(fā)決定。在控制器中可以對這些流按照預先制定的規(guī)則進行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡。更為重要的是，在內部網(wǎng)絡和外網(wǎng)的連接處應用OpenFlow交換機可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強網(wǎng)絡內部的安全性。

5 實現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡將充分利用國內產業(yè)相關單位突破的關鍵技術和技術創(chuàng)新成果，應用集成基于自主關鍵軟硬件的新一代國產OpenFlow交換機，自主開發(fā)的OpenFlow控制器及上層軟件應用。

其中OpenFlow控制器是一個服務器平臺，該平臺向下可以直接與使OpenFlow交換機進行對話，向上，控制器可為OpenFlow軟件應用提供大量功能，包括將OpenFlow交換機資源編入統(tǒng)一的網(wǎng)絡視窗內，為應用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實現(xiàn)的自定義可編程程序。

6 技術優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運維人員難以獲得精準、實時的網(wǎng)絡信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡，這兩方面的問題幾乎迎刃而解。

6.1 增強網(wǎng)絡安全，有效控制管理網(wǎng)絡

新網(wǎng)絡架構中，每一個終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個用戶的接入以及每一個用戶接入網(wǎng)絡以后的行為都是可查可管的。OpenFlow交換機的轉發(fā)表項本身還具有過濾功能，可以對非法數(shù)據(jù)進行限制，從而保證了正常業(yè)務的穩(wěn)定運行。對于重要業(yè)務，OpenFlow交換機不僅可以定制安全可靠的轉發(fā)路徑，對流量進行有效跟蹤，也可以對流量進行帶寬保證，確保重要業(yè)務的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡和控制網(wǎng)絡分離，OpenFlow交換機數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡非法獲取交換機控制權的可能，網(wǎng)絡更加安全可靠。

6.2 能夠極大提高網(wǎng)絡設備自主保障能力

簡化現(xiàn)有網(wǎng)絡拓撲，提升網(wǎng)絡部署效率。新的網(wǎng)絡架構中可以大大減少網(wǎng)絡設備的部署數(shù)量，而且部署基于自主技術和關鍵部件的新一代網(wǎng)絡系統(tǒng)裝備，可以從根本上突破西方發(fā)達國家在計算機網(wǎng)絡系統(tǒng)關鍵部件和核心技術上對我國的制約，在其全壽命周期內都可以得到優(yōu)質保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡運行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡系統(tǒng)具有自主維護保障的能力。

6.3 能夠大量降低設備采購、管理和維修成本

由于我軍網(wǎng)絡系統(tǒng)大量采購國外設備和關鍵部件，在網(wǎng)絡裝備采購費、綜合維護管理費和維修成本上不堪重負。

在設備采購方面，國外進口網(wǎng)絡設備價格昂貴，尤其是部署在核心層的設備，設備采購價格要遠高于國產同類網(wǎng)絡設備。如果采用國產網(wǎng)絡設備將節(jié)約30%以上的設備采購經(jīng)費。采用自主知識產權的OpenFlow技術研制網(wǎng)絡設備，可以避免支付給外商大量專利費用，從根本上扭轉高額利潤流向國外廠商的不利局面。

6.4 能夠增強網(wǎng)絡的穩(wěn)定性和可靠性

由于OpenFlow交換機的優(yōu)化設計：精簡了大量網(wǎng)絡控制協(xié)議，并把網(wǎng)絡控制權集中管理，交換機系統(tǒng)CPU負擔減輕；對網(wǎng)絡的非法控制和攻擊在設計上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強了整個網(wǎng)絡的可靠性。

7 結束語

“掌握核心技術”是我國建設和維護新一代自主安全可控網(wǎng)絡的思路。我們需要除了在網(wǎng)絡設備開發(fā)上掌握關鍵軟硬件的核心技術以外，還需要在整網(wǎng)建設和運維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡領域的先天性弱勢地位，保證網(wǎng)絡的深層次安全。

參考文獻

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡：正在進行的網(wǎng)絡變革[J]. 中興通訊技術. 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡技術發(fā)展與應用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強，徐鑫，劉國燕.基于SDN技術的數(shù)據(jù)中心基礎網(wǎng)絡構建[J]. 電信科學. 2013（01）：130-133.

基金項目：

國家自然科學基金項目（61063042）；中國博士后科學基金項目（201104753）；北京市自然科學基金項目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關注領域：網(wǎng)終安全、可信計算技術。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學，工程師；主要研究方向和關注領域：無線通信技術。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學，碩士，高級工程師；主要研究方向和關注領域：信息化應用技術。

王振海（1975-），男，青海西寧人，蘭州大學，本科，工程師；主要研究方向和關注領域：計算機網(wǎng)絡技術。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡交換機軟硬件架構支持功能龐大復雜。不但需要完成基礎的數(shù)據(jù)轉發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡功能，甚至需要支持防火墻、NAT、訪問控制等安全設備需要支持的特性。為了支持這些功能，在交換機操作系統(tǒng)需要集成上層接口、進程管理等程序，整個系統(tǒng)代碼達到百萬甚至千萬行，如圖2所示。

這種架構使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運行，而且很難做到有意義的擴展。如果想在現(xiàn)有交換機中定制化開發(fā)一個特有的通信協(xié)議就很難實現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機軟件的工作量和復雜度，而且需要全網(wǎng)設備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺設備實現(xiàn)和支持，不但消耗有限的設備資源，也存在泄露網(wǎng)絡拓撲以及網(wǎng)絡中傳輸數(shù)據(jù)的潛在風險。

4 解決思路

引用OpenFlow的技術思想，將網(wǎng)絡交換機演變成工作方式。通過OpenFlow技術，將路由器和交換機的控制平面和轉發(fā)層面進行分離，即將原來由交換機控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學習、路由計算、防火墻以及負載均衡等均由控制服務器（OpenFlow Controller）完成，而不是交換機固件決定。數(shù)據(jù)包轉發(fā)過程則由OpenFlow交換機完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡中數(shù)據(jù)包的流向是根據(jù)路由表進行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡中，經(jīng)過OpenFlow交換機的每個新的數(shù)據(jù)流都必須由控制器來做出轉發(fā)決定。在控制器中可以對這些流按照預先制定的規(guī)則進行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡。更為重要的是，在內部網(wǎng)絡和外網(wǎng)的連接處應用OpenFlow交換機可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強網(wǎng)絡內部的安全性。

5 實現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡將充分利用國內產業(yè)相關單位突破的關鍵技術和技術創(chuàng)新成果，應用集成基于自主關鍵軟硬件的新一代國產OpenFlow交換機，自主開發(fā)的OpenFlow控制器及上層軟件應用。

其中OpenFlow控制器是一個服務器平臺，該平臺向下可以直接與使OpenFlow交換機進行對話，向上，控制器可為OpenFlow軟件應用提供大量功能，包括將OpenFlow交換機資源編入統(tǒng)一的網(wǎng)絡視窗內，為應用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實現(xiàn)的自定義可編程程序。

6 技術優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運維人員難以獲得精準、實時的網(wǎng)絡信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡，這兩方面的問題幾乎迎刃而解。

6.1 增強網(wǎng)絡安全，有效控制管理網(wǎng)絡

新網(wǎng)絡架構中，每一個終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個用戶的接入以及每一個用戶接入網(wǎng)絡以后的行為都是可查可管的。OpenFlow交換機的轉發(fā)表項本身還具有過濾功能，可以對非法數(shù)據(jù)進行限制，從而保證了正常業(yè)務的穩(wěn)定運行。對于重要業(yè)務，OpenFlow交換機不僅可以定制安全可靠的轉發(fā)路徑，對流量進行有效跟蹤，也可以對流量進行帶寬保證，確保重要業(yè)務的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡和控制網(wǎng)絡分離，OpenFlow交換機數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡非法獲取交換機控制權的可能，網(wǎng)絡更加安全可靠。

6.2 能夠極大提高網(wǎng)絡設備自主保障能力

簡化現(xiàn)有網(wǎng)絡拓撲，提升網(wǎng)絡部署效率。新的網(wǎng)絡架構中可以大大減少網(wǎng)絡設備的部署數(shù)量，而且部署基于自主技術和關鍵部件的新一代網(wǎng)絡系統(tǒng)裝備，可以從根本上突破西方發(fā)達國家在計算機網(wǎng)絡系統(tǒng)關鍵部件和核心技術上對我國的制約，在其全壽命周期內都可以得到優(yōu)質保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡運行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡系統(tǒng)具有自主維護保障的能力。

6.3 能夠大量降低設備采購、管理和維修成本

由于我軍網(wǎng)絡系統(tǒng)大量采購國外設備和關鍵部件，在網(wǎng)絡裝備采購費、綜合維護管理費和維修成本上不堪重負。

在設備采購方面，國外進口網(wǎng)絡設備價格昂貴，尤其是部署在核心層的設備，設備采購價格要遠高于國產同類網(wǎng)絡設備。如果采用國產網(wǎng)絡設備將節(jié)約30%以上的設備采購經(jīng)費。采用自主知識產權的OpenFlow技術研制網(wǎng)絡設備，可以避免支付給外商大量專利費用，從根本上扭轉高額利潤流向國外廠商的不利局面。

6.4 能夠增強網(wǎng)絡的穩(wěn)定性和可靠性

由于OpenFlow交換機的優(yōu)化設計：精簡了大量網(wǎng)絡控制協(xié)議，并把網(wǎng)絡控制權集中管理，交換機系統(tǒng)CPU負擔減輕；對網(wǎng)絡的非法控制和攻擊在設計上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強了整個網(wǎng)絡的可靠性。

7 結束語

“掌握核心技術”是我國建設和維護新一代自主安全可控網(wǎng)絡的思路。我們需要除了在網(wǎng)絡設備開發(fā)上掌握關鍵軟硬件的核心技術以外，還需要在整網(wǎng)建設和運維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡領域的先天性弱勢地位，保證網(wǎng)絡的深層次安全。

參考文獻

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡：正在進行的網(wǎng)絡變革[J]. 中興通訊技術. 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡技術發(fā)展與應用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強，徐鑫，劉國燕.基于SDN技術的數(shù)據(jù)中心基礎網(wǎng)絡構建[J]. 電信科學. 2013（01）：130-133.

基金項目：

國家自然科學基金項目（61063042）；中國博士后科學基金項目（201104753）；北京市自然科學基金項目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關注領域：網(wǎng)終安全、可信計算技術。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學，工程師；主要研究方向和關注領域：無線通信技術。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學，碩士，高級工程師；主要研究方向和關注領域：信息化應用技術。

王振海（1975-），男，青海西寧人，蘭州大學，本科，工程師；主要研究方向和關注領域：計算機網(wǎng)絡技術。endprint

目前，在網(wǎng)使用的通用網(wǎng)絡交換機軟硬件架構支持功能龐大復雜。不但需要完成基礎的數(shù)據(jù)轉發(fā)功能，還需要支持三層路由、組播、QoS、MPLS VPN等網(wǎng)絡功能，甚至需要支持防火墻、NAT、訪問控制等安全設備需要支持的特性。為了支持這些功能，在交換機操作系統(tǒng)需要集成上層接口、進程管理等程序，整個系統(tǒng)代碼達到百萬甚至千萬行，如圖2所示。

這種架構使得各種模塊之間必須依賴CLI、SNMP等接口間的不間斷合作通信才能確保系統(tǒng)運行，而且很難做到有意義的擴展。如果想在現(xiàn)有交換機中定制化開發(fā)一個特有的通信協(xié)議就很難實現(xiàn)，不管是在軟件中增加模塊還是增加FPGA等硬件模塊，都需要增加交換機軟件的工作量和復雜度，而且需要全網(wǎng)設備都更新升級。

另外，大量的功能和表現(xiàn)在每一臺設備實現(xiàn)和支持，不但消耗有限的設備資源，也存在泄露網(wǎng)絡拓撲以及網(wǎng)絡中傳輸數(shù)據(jù)的潛在風險。

4 解決思路

引用OpenFlow的技術思想，將網(wǎng)絡交換機演變成工作方式。通過OpenFlow技術，將路由器和交換機的控制平面和轉發(fā)層面進行分離，即將原來由交換機控制的許多控制平面功能，如生成樹協(xié)議、MAC地址學習、路由計算、防火墻以及負載均衡等均由控制服務器（OpenFlow Controller）完成，而不是交換機固件決定。數(shù)據(jù)包轉發(fā)過程則由OpenFlow交換機完成。

整網(wǎng)來看，傳統(tǒng)網(wǎng)絡中數(shù)據(jù)包的流向是根據(jù)路由表進行數(shù)據(jù)包級別的交換；而在OpenFlow網(wǎng)絡中，經(jīng)過OpenFlow交換機的每個新的數(shù)據(jù)流都必須由控制器來做出轉發(fā)決定。在控制器中可以對這些流按照預先制定的規(guī)則進行檢查，然后由控制器指定數(shù)據(jù)流的傳輸路徑以及流的處理策略，從而更好的控制網(wǎng)絡。更為重要的是，在內部網(wǎng)絡和外網(wǎng)的連接處應用OpenFlow交換機可以通過更改數(shù)據(jù)流的路徑以及拒絕某些數(shù)據(jù)流來增強網(wǎng)絡內部的安全性。

5 實現(xiàn)方案

安全可控的OpenFlow網(wǎng)絡將充分利用國內產業(yè)相關單位突破的關鍵技術和技術創(chuàng)新成果，應用集成基于自主關鍵軟硬件的新一代國產OpenFlow交換機，自主開發(fā)的OpenFlow控制器及上層軟件應用。

其中OpenFlow控制器是一個服務器平臺，該平臺向下可以直接與使OpenFlow交換機進行對話，向上，控制器可為OpenFlow軟件應用提供大量功能，包括將OpenFlow交換機資源編入統(tǒng)一的網(wǎng)絡視窗內，為應用提供協(xié)同和通用庫，控制器上的大量功能是通過軟件實現(xiàn)的自定義可編程程序。

6 技術優(yōu)勢分析

對于傳統(tǒng)網(wǎng)絡來說，IP協(xié)議提供的可視化能力和可控制性都十分有限。一方面運維人員難以獲得精準、實時的網(wǎng)絡信息，另一方面控制手段十分單一。而基于軟件定義網(wǎng)絡，這兩方面的問題幾乎迎刃而解。

6.1 增強網(wǎng)絡安全，有效控制管理網(wǎng)絡

新網(wǎng)絡架構中，每一個終端的接入以及終端數(shù)據(jù)的傳輸路徑都是在控制器按需指定的，這可以保障對每一個用戶的接入以及每一個用戶接入網(wǎng)絡以后的行為都是可查可管的。OpenFlow交換機的轉發(fā)表項本身還具有過濾功能，可以對非法數(shù)據(jù)進行限制，從而保證了正常業(yè)務的穩(wěn)定運行。對于重要業(yè)務，OpenFlow交換機不僅可以定制安全可靠的轉發(fā)路徑，對流量進行有效跟蹤，也可以對流量進行帶寬保證，確保重要業(yè)務的安全和可靠。此外，數(shù)據(jù)交換網(wǎng)絡和控制網(wǎng)絡分離，OpenFlow交換機數(shù)據(jù)層端口不能登錄，杜絕了數(shù)據(jù)網(wǎng)絡非法獲取交換機控制權的可能，網(wǎng)絡更加安全可靠。

6.2 能夠極大提高網(wǎng)絡設備自主保障能力

簡化現(xiàn)有網(wǎng)絡拓撲，提升網(wǎng)絡部署效率。新的網(wǎng)絡架構中可以大大減少網(wǎng)絡設備的部署數(shù)量，而且部署基于自主技術和關鍵部件的新一代網(wǎng)絡系統(tǒng)裝備，可以從根本上突破西方發(fā)達國家在計算機網(wǎng)絡系統(tǒng)關鍵部件和核心技術上對我國的制約，在其全壽命周期內都可以得到優(yōu)質保障，零備件供貨渠道通暢，可以獲得穩(wěn)定的技術支撐。

在控制器方面，則可以最大限度的按照我們自己的使用需求，定制網(wǎng)絡運行規(guī)則和管理規(guī)則，從根本上保證了網(wǎng)絡系統(tǒng)具有自主維護保障的能力。

6.3 能夠大量降低設備采購、管理和維修成本

由于我軍網(wǎng)絡系統(tǒng)大量采購國外設備和關鍵部件，在網(wǎng)絡裝備采購費、綜合維護管理費和維修成本上不堪重負。

在設備采購方面，國外進口網(wǎng)絡設備價格昂貴，尤其是部署在核心層的設備，設備采購價格要遠高于國產同類網(wǎng)絡設備。如果采用國產網(wǎng)絡設備將節(jié)約30%以上的設備采購經(jīng)費。采用自主知識產權的OpenFlow技術研制網(wǎng)絡設備，可以避免支付給外商大量專利費用，從根本上扭轉高額利潤流向國外廠商的不利局面。

6.4 能夠增強網(wǎng)絡的穩(wěn)定性和可靠性

由于OpenFlow交換機的優(yōu)化設計：精簡了大量網(wǎng)絡控制協(xié)議，并把網(wǎng)絡控制權集中管理，交換機系統(tǒng)CPU負擔減輕；對網(wǎng)絡的非法控制和攻擊在設計上已經(jīng)被拒絕，并且對非法流量的可限制能力，更加加強了整個網(wǎng)絡的可靠性。

7 結束語

“掌握核心技術”是我國建設和維護新一代自主安全可控網(wǎng)絡的思路。我們需要除了在網(wǎng)絡設備開發(fā)上掌握關鍵軟硬件的核心技術以外，還需要在整網(wǎng)建設和運維上按需管理、按需控制，才能真正消除我們在信息網(wǎng)絡領域的先天性弱勢地位，保證網(wǎng)絡的深層次安全。

參考文獻

[1] McKeown N， Anderson T， Balakrishnan H， et al. OpenFlow：enabling innovation in campus networks[C]. SIGCOMM ComputCommun Rev， 2008， 38 （2） ：69-74.

[2] Software-Defined Networking： the New Norm for Networks[M]. ONF White Paper， 2012.

[3] 王文東，胡延楠.軟件定義網(wǎng)絡：正在進行的網(wǎng)絡變革[J]. 中興通訊技術. 2013（01）：39-43.

[4] 袁廣翔.軟件定義網(wǎng)絡技術發(fā)展與應用研究[J]. 現(xiàn)代電信科技. 2013（04） ：45-50.

[5] 吳強，徐鑫，劉國燕.基于SDN技術的數(shù)據(jù)中心基礎網(wǎng)絡構建[J]. 電信科學. 2013（01）：130-133.

基金項目：

國家自然科學基金項目（61063042）；中國博士后科學基金項目（201104753）；北京市自然科學基金項目（4132025）。

作者簡介：

楊明華（1977-），男，博士，工程師；主要研究方向和關注領域：網(wǎng)終安全、可信計算技術。

陳聰（1980-），男，江蘇南京人，碩士，畢業(yè)于安徽大學，工程師；主要研究方向和關注領域：無線通信技術。

鄭建群（1974-），男，江蘇建湖人，第二炮兵工程大學，碩士，高級工程師；主要研究方向和關注領域：信息化應用技術。

王振海（1975-），男，青海西寧人，蘭州大學，本科，工程師；主要研究方向和關注領域：計算機網(wǎng)絡技術。endprint