云数据中心软件定义网络数据层可生存性保障机制研究

发布时间：2020-05-15 05:24

【摘要】：随着越来越多的业务迁移到云数据中心中,云数据中心面临的用户需求呈现出多样化、差异化和高度定制化等特征。为了应对上述需求,具备高可编程性和强灵活性特征的软件定义网络越来越多的在云数据中心得到部署,成为了云数据中心的重要网络基础设施。然而,软件定义网络中承载实际业务数据流的数据层存在诸多安全缺陷。一旦针对软件定义网络数据层的攻击得以成功实施,那么云服务与云网络基础设施的可用性、网络状态数据的正确性、网络决策的可靠性等都将无法得到保障,其带来的后果和造成的损失将是无法估量的。目前,关于云数据中心软件定义网络数据层安全问题的研究方兴未艾,还存在许多亟需研究和解决的问题。首先,网络转发设备在硬件实现方式与软件处理能力上均存在不足,这使得软件定义网络数据层的基础设施在面对暴力攻击时显得十分脆弱;其次,软件定义网络数据层缺乏容错机制,恶意或错误的内部节点可以很容易的破坏网络状态数据的正确性,进而威胁网络的可靠性;最后,在软件定义网络环境中,主机上运行的服务的数据流都需要通过数据层进行转发,因此软件定义网络数据层的特殊性质势必会影响主机及其上运行的服务,当主机面临攻击时,需要制定综合考虑软件定义网络的特性、服务的特征、攻击的特点、服务质量如何保持的攻击缓解方法。而现有云数据中心软件定义网络数据层安全保障机制的研究呈现碎片化特点,缺少体系化解决方案。针对上述问题和研究现状,开展云数据中心软件定义网络数据层可生存性保障机制研究,综合以下三个方面来全面保障软件定义网络数据层的可生存性:在面向转发设备的攻击缓解方面,提出了基于排队论的系统模型,估算整个系统的抗攻击能力,在该模型的指导下,设计了peer-support策略来整合全网空闲资源以缓解暴力攻击,从而保证软件定义网络数据层基础设施的可用性。首先,基于软件定义网络转发设备的软硬件特性,分析其内部缺陷与缺陷利用方法;进而,模拟针对数据层转发设备的实际攻击,验证缺陷利用方法的可行性,评估攻击成功后对整个网络的影响;然后,把系统抽象为一个排队系统并建立理论模型,估算系统中可被用于攻击缓解的空闲资源总量;最后,基于理论模型,提出peer-support策略,充分利用整个网络的能力来缓解攻击,有效提高软件定义网络数据层的抗攻击能力,增强数据层基础设施的可用性。在内部错误的自动容忍方面,提出并实现了基于拜占庭模型的错误交换机自动容忍方案,确保(在错误交换机数目满足拜占庭容错条件的情况下)控制器输入信息(交换机提供的网络流统计信息)的正确性,从而提高网络决策的可靠性。首先,判别软件定义网络中错误交换机的哪些恶意行为会破坏控制器输入信息的正确性,并分析各种不同行为带来的后果;进而,提出基于拜占庭模型的错误交换机自动容忍方法;然后,分析利用拜占庭模型来解决软件定义网络数据层中内部错误自动容忍问题的可行性,为拜占庭模型在该问题中的应用提供理论依据与实践指导;最后,基于对模型应用过程中问题与挑战的分析,设计基于逻辑代理的错误交换机容忍框架,并在框架中实现拜占庭容错方案,完成对错误交换机的自动容忍,确保控制器输入信息的正确性,从而提高网络决策的可靠性。在缓解针对主机的攻击方面,提出了结合软件定义网络技术和分布式处理技术的攻击缓解方法,为云数据中心软件定义网络数据层中的主机提供保证服务质量的双向保护,提高网络服务的可用性。首先,基于软件定义网络的集中控制方式,实现网络状态的全面分析,从而快速制定攻击缓解策略;进而,利用软件定义网络的可编程性,实现网络流处理规则的自适应产生、安装与删除,使得网络策略得以快速执行;然后,利用分布式处理技术实现子网划分与负载均衡,避免出现单点故障;最后,通过网络流量缓存、基于网络协议的数据包轮询重发等方法来保证正常网络流量转发的正确性和时效性,在高效缓解攻击的同时,有效保证网络服务的服务质量,从而提高网络服务的可用性。综上所述,围绕云数据中心软件定义网络数据层的安全问题,分别从软件定义网络数据层基础设施的可用性、网络决策的可靠性、网络服务的可用性等三方面开展研究,为云数据中心软件定义网络数据层提供体系化的全面保护,保障其可生存性。
【图文】：

交换机,尾部,主机,网络流

排队系统的服务台个数为 L 且无等待区间，因此，该系统的以得到队列中的平均顾客数 E[Q]为：外，，网络流在传输过程中往往需要流经多个交换机[73,74]，其需要安装相应的规则来处理该网络流。如果一条网络流共流机，那么为处理该流共需要安装 m 条处理规则。因此，从平被正常流量消耗的流表空间为：过式（2.3）到（2.8）可以得到，交换机 i 在正常情况下（空间和空闲流表空间分别为：

云数据中心软件定义网络数据层可生存性保障机制研究

中展示
【学位授予单位】：华中科技大学
【学位级别】：博士
【学位授予年份】：2018
【分类号】：TP393.08;TP308

【相似文献】