探可信可控網絡中觀測層的構建

造成網絡不可控的原因很多, 其中網絡狀態的不可見是其中的重要原因之一。由於各個網元（設備, 協議等）的異構性, 每個網元都有各自的接口, 對傳統網絡進行控制需要對各個網元信息有充分的瞭解, 這使得網絡控制變得越來越複雜。面對繁雜的網絡設備接口, 網絡管理員需要對網絡設備進行手工配置, 這使得網絡控制代價高昂且容易出錯。

針對這個問題, 在傳統的網絡體系結構下, 當前主要的解決方法是通過在已有網絡上添加一層新的中間層來幫助實現網絡配置的自動化, 以減少網絡配置的錯誤[4]。然而這種方法只是將網絡控制的複雜性進行了屏蔽, 並沒有降低網絡控制的複雜度, 為了保證網絡控制的有效性, 必須不斷升級網絡控制的中間層以保持與不斷更新的網絡設備接口的一致性, 這就在網絡控制中引入了新的任務, 其結果必然是使得網絡控制的複雜性變得更高。

為了尋求傳統網絡的不可控問題的根本解決方法, 國內外很多組織和學者開始對下一代網絡體系結構進行了研究。greenberg 等[5-6]提出了4d 網絡控制模型（簡稱4d 模型）, 將網絡控制的4 個環節映射成決策層、發現層、數據層和分發層4 個層面, 將網絡控制邏輯從路由器中分離出來, 建立了獨立的網絡控制層, 提高了網絡的控制能力。在國內, 清華大學的林闖教授等 [7-8]首先對下一代網絡的可信可控進行了研究, 提出了可信可控可擴展的下一代互聯網的體系結構, 對下一代可控網絡的關鍵性問題進行了討論, 為可信可控網絡的研究建立了基礎。

根據當前國內外對可控網絡的研究成果, 我們項目組將當前網絡存在的不可控問題的原因歸結為：①網絡控制層與網絡傳輸層纏繞在一起, 造成了網絡控制任務與網絡傳輸任務的混淆; ②當前網絡中缺少全網的視圖, 網絡管理員只能根據局部信息對網絡進行管理, 容易造成網絡控制的局部性和不一致性; ③當前的網絡管理模型snmp 缺少對網絡信息的抽象化描述暴露給網絡管理員的信息是一堆沒有意義的複雜參數, 通過snmp 進行網絡控制需要非常專業的網絡管理員才能完成。

針對這些問題, 我們對下一代網絡體系結構進行了研究[9-11], 並提出了新的可信可控網絡模型, 該體系分為決策層、觀測層、資源層以及可信可控接口層。在此基礎上, 本文針對網絡缺少全局視圖的網絡不可視問題, 構建了網絡可信控制模型的觀測層。觀測層對網絡資源層信息利用統一的控制信息描述模型對網絡被控對象進行了協議塊粒度的描述、存儲和處理為決策層提供統一粒度的被控對象, 並利用域間共享信息處理模塊對其他網絡的信息進行收集基於本域的控制信息和其他網絡共享的信息組成了全網一致性視圖, 為可信可控網絡的決策層進行有效的網絡控制決策提供了必要的決策依據。

可信可控網絡模型隨着網絡的不斷髮展, 網絡控制變得越來越複雜, 這種網絡控制的複雜性造成了當前網絡的不可控問題。為了從根本上解決網絡的不可控問題, 在兼顧對傳統網絡兼容性的前提下在不破壞現有的osi 七層體系結構以及tcp/ip 四層體系結構基礎上, 增加了一個可信可控層邏輯結構, 從而實現網絡組元及用户行為的可預期可管理。如圖1 所示, 可信可控網絡模型包括“決策層”、“觀測層”、“資源層”和“可信接口層”4 個層次; 其中, “可信接口層”以協議跨層的方式實現現有網絡體系與資源層的交互; “資源層”表示網絡的底層, 包括路由器、主機、用户等; “觀測層”對“資源層”進行描述, 為決策層提供一個具有較好一致性及可觀性的視圖, 併為網絡控制提供抽象接口; “決策層”根據可觀視圖, 從系統當前態勢及全局利益最大化角度出發提出控制方案, 通過接口層提供給網絡, 達到控制的目的, 同時給出該時刻各組元的信度以信任流的形式通過可信接口層提供給觀測層。

與傳統網絡相比, 可信可控網絡模型具有以下優勢：①可信可控網絡能夠實現全網級別的控制目標。由於可信可控網絡具有集中的決策層面, 這個決策層面集成了所有網絡級別的控制機制, 因而可以消除各個控制機制之間的決策衝突, 如域內路由與域間路由的衝突, 路由機制與安全機制的衝突, 並且加強各個控制機制之間的合作。②可信可控網絡能夠容納各種異構網絡體系。可信可控網絡並不涉及網絡傳輸的細節, 只是針對網絡控制結構, 因而可信可控網絡能夠在各種網絡環境中實現。③可信可控網絡具有可演化性。由於可信可控網絡將複雜的網絡控制, 如路由控制等, 從路由器等交換設備上剝離並集中到決策層面, 網絡可以添加一些複雜的qos 控制機制並且不會對路由器造成負擔, 如接納控制, 因而方便網絡進一步發展。

可信可控網絡觀測層可信可控網絡模型將網絡傳輸和網絡控制進行了分離, 將網絡邏輯控制集中到網絡決策層, 為了給網絡決策層提供必要的網絡狀態信息以實現網絡狀態的可見性, 本文為可信可控網絡中構建了觀測層。

觀測層的設計原則在可信可控網絡中, 為了實現網絡狀態的可見性和網絡控制的有效性, 可信可控網絡的觀測層需要遵循如下幾個設計原則：

獨立性。可信可控網絡是一個分層結構, 其各層都應該支持獨立性原則, 每層的變化不應該影響其他各層的正常運行, 可信可控網絡觀測層應該為決策層和資源層提供統一的訪問接口, 屏蔽觀測層收集和處理數據的細節。

構網絡的兼容性。可信可控網絡面向的是高度異構網絡, 在組網技術、線路特性、傳輸技術、應用需求、聯網設備類型、網絡環境等方面存在各種各樣的異構性, 為了為決策層提供統一的邏輯視圖, 可信可控網絡的觀測層需要對各種異構網絡支持, 從而屏蔽異構網絡造成的差異。

可擴展性。由於網絡是不斷髮展的, 用户的需要也越來越多, 網絡控制任務也越來越複雜, 這樣決策層要求的信息就會越來越多, 在這種情況下, 觀測層必須提供友好的可擴展性網絡觀測層的功能模塊需要支持“熱插拔”, 即其功能模塊應該在安裝和卸載的情況下都不影響其他模塊的運行。

觀測層的總體構建為了向決策層提供必要決策信息, 實現網絡狀態的可視化和網絡控制的最優化, 在可信可控網絡中構建了觀測層, 其功能框架如圖2 所示。我們將觀測層的功能分成2 個部分：被控對象描述功能和全網一致性視圖構建功能。

域內被控對象描述功能主要實現對本域內被控對象的發現和註冊, 為決策層提供經過抽象描述的被控對象。主要由被控對象註冊模塊和名字空間組成。

域內控制信息蒐集功能主要實現域內控制信息的描述、收集和存儲功能, 由網絡狀態預處理模塊和狀態庫組成。

域間信息共享功能主要實現域間信息的蒐集以及發佈本域信息的功能, 實現多個域之間的信息共享。主要由域間信息交互接口和域間共享信息處理模塊組成。

基於域內信息和域間信息觀測層通過全網一致性視圖構建模塊來構建全網的一致性視圖來為決策層提供可靠的底層網絡狀態信息, 實現網絡狀態的可見性。

觀測層的組成部分被控對象抽象模塊對網絡的控制實際上通過對網絡上各種協議塊進行控制實現的, 網絡控制的對象可以認為是協議塊。網絡協議暴露了過多細節造成了網絡控制的複雜性。一個網絡設備往往有成千上萬的可以控制的對象提供給網絡管理員, 對一個網絡設備進行的配置往往需要數以萬計的控制命令[12-15]。這種管理的複雜性造成了很多問題, 如決策層對網絡的認識與網絡實際狀態不符、對網絡的配置易出錯、管理狀態關聯性差等。針對這種情況, conman 提出協議塊只要向網絡控制提供基本的功能屬性, 即可實現網絡的功能：為合法用户建立連接, 並阻止非法用户的連接[2], 將沒有必要的細節屏蔽在協議塊以內, 與細節相關的控制, 由駐留在設備上的根據抽象命令實現具體操作。然而conman 由於是在傳統網絡上實現的, 所以網絡控制與網絡本身沒有分離, 造成了對協議類的抽象難以統一實現, 對網絡不能實現其預期的抽象控制。另外, 沒有實現對被控對象的規範封裝, 難以擴展。

本文在conman 的基礎上進行了擴展提出了對網絡協議進行描述的控制信息描述模型在觀測層的被控對象抽象模塊中, 利用cid 對被控對象進行描述。被控對象類分成協議類和連接類2 個基類。協議類描述網絡上的協議塊分成數據協議類（如ip 協議類等）和控制協議類（如ipsec 的ike 協議塊、ppp 的lcp 協議塊和ncp 等）。由於可信可控網絡模型將網絡控制從數據層分離出來, 在以可信可控網絡模型為基礎構建的下一代互聯網中, 將不存在控制協議塊, 因此, 控制信息描述模型只對網絡數據協議塊進行描述; 連接類分成物理鏈路類和通道類, 利用物理鏈路類對物理鏈路進行描述通道類描述直接通信的2 個協議塊之間的連接, 分成上行通道和下行通道, 分別表示對上層的連接和下層的連接。

協議類的主要屬性包括全網id、所在設備ip、通信管道、物理鏈路、性能屬性, 函數包括創建函數、刪除函數、連接函數、屬性設置函數和過濾函數等, 如表1 所示。表1 給出的屬性和功能是所有協議塊共有的, 通過這些屬性和功能, 決策層可以實現對網絡的認知和抽象控制。物理鏈路類的主要屬性和功能函數以及通道類的屬性和功能。

被控對象註冊模塊與名字空間觀測層利用控制信息描述模型將運行在客户端、路由器以及其他網絡設備的各種協議都進行抽象描述, 存貯到名字空間數據庫中。在nox[15]中, 也利用了名字空間的形式對於用户、主機和路由器進行統一存儲, 以實現在一個企業網內的對設備的統一管理。本文提出的名字空間與nox的名字空間的區別在於本文提出的名字空間是基於cid的, 因此名字空間的存儲粒度也是協議塊粒度的, 而nox 的名字空間是設備粒度的。基於協議粒度進行存儲的好處在於為決策提供可以直接進行網絡控制的被控對象, 降低網絡控制複雜度。

被控對象註冊模塊對網絡協議對象進行了統一註冊, 每個被控對象（網絡協議塊）都由統一全局id 進行標識, 這樣有利於網絡管理員對網絡進行抽象控制, 降低了網絡控制的複雜度, 提高了網絡管理的效率。

網絡狀態預處理模塊與狀態庫網絡狀態預處理模塊將網絡資源層的原始信息進行預處理, 包括髒數據過濾、宂餘信息合併以及信息關聯等, 將處理後的結果交給狀態庫進行存儲。

網絡狀態庫用來存儲網絡被控對象的狀態, 用來向決策層提供網絡的狀態信息, 為網絡決策提供依據。在可信可控網絡的觀測層中, 由於建立了控制信息的描述模型, 並將網絡的被控對象建立在網絡協議粒度上, 因此網絡的狀態庫也用以存儲當前網絡上網絡協議塊的狀態信息。如表1 所示, 在狀態庫中, 每個協議塊保存其性能信息如丟包率、協議塊處理數據的平均時延以及數據包的轉發速率等。

另外, 在狀態庫中, 還對被控對象的連接信息進行記錄, 如表2和表3所示, 用管道來表示個路由器內各個協議塊之間的連接, 用鏈路來表示2 個路由器之間的連接, 並記錄每個鏈路的性能信息。這樣根據狀態庫, 控制節點就可以得到網絡中協議塊粒度的連接圖。

域間共享信息處理模塊與域間信息交互接口由於 1 個控制節點的計算能力有限並且受到帶寬限制, 可信可控網絡模型為了支持多個的大規模網絡環境, 在每個as都配置1 個控制節點對該域進行控制, 各個控制節點為了對網絡進行協同控制, 需要各個域之間進行信息共享。在觀測層中, 我們構建域間共享信息處理模塊支持多個控制域之間的信息共享。如圖2 所示, 1 個控制域內的觀測層包含1 個域間共享信息處理模塊和1 個域間信息交互接口, 域間信息共享接口負責接收其他域的信息同時也負責為本域發佈信息; 域間共享信息處理模塊也有2 個功能：一個是將從域間信息共享接口接收到的信息進行處理並提交到狀態庫中保存; 另一方面也將本域內的狀態信息經過處理後交給域間信息共享接口發送給其他域。

這樣做的好處是可以在1 個域內共享信息, 促成1 個域內的控制節點之間的信息一致, 避免網絡控制的衝突; 同時可以讓域間內的多個控制節點實現網絡信息的共享, 從而有利於全網內決策的最優化。

全網一致性視圖構建模塊基於上面的狀態庫和名字空間, 全網一致性視圖構建模塊為決策層構建網絡協議塊粒度的全網一致性視圖, 該視圖保證在多個控制節點的決策層之間對網絡狀態認識的一致性, 各個視圖之間沒有衝突。在網絡控制中, 全網一致性視圖具有非常重要的意義, 例如在qos 控制中只有各個控制域內的網絡視圖是一致的, 各個控制域的qos 決策層面才能正確地進行決策從而減少網絡抖動[16]。

在域內相比傳統網絡是基於設備粒度的, 由於在域內的控制信息描述粒度是協議塊粒度的, 各個協議塊之間的依賴關係以及狀態信息很容易就能得到。因此基於協議塊粒度的全網一致性視圖具有很好的狀態依賴可見性, 為提高網絡控制的關聯性, 降低網絡故障定位的難度等工作提供了方便。在域間, 由於域間共享信息模塊提供了收集域間信息和發佈域內信息的功能, 1 個控制域內的控制節點可以得到其他域的控制狀態信息, 使得全網一致性視圖的構建可以更加優化, 從而提高網絡控制的效率。

可信可控網絡觀測層的優勢通過在可信可控網絡的決策層和資源層之間建立獨立的觀測層, 為決策層瞭解資源層的實時網絡狀態提供了統一的接口, 其有如下幾個優勢：

構建觀測層作為資源層和決策層的中間層, 為決策層瞭解資源層信息提供了統一的接口, 實現了網絡控制觀測、決策和執行3 個功能的獨立, 有利於各層獨立運行而不依賴於其他層的變化, 如當決策層需要升級時不會影響觀測層和資源層。

觀測層對全網內的信息進行了描述和存儲, 能夠為決策層的所有控制應用程序提供信息, 使得所有控制應用程序都具有全網的一致性視圖, 提高了網絡控制的有效性和最優性。同時, 由於觀測層提供了統一的網絡狀態信息視圖, 每個控制應用程序不需要各自收集自己需要的網絡狀態信息, 從而提高了網絡控制的效率, 降低了網絡控制的成本。

在觀測層利用控制信息描述模型對網絡協議塊進行統一的描述, 這就屏蔽了異構網絡環境下不同的控制對象造成的網絡視圖在粒度和控制邏輯上的差異, 提高了可信可控網絡觀測層的兼容性, 有利於實現多個異構網絡下的控制節點的協同工作。

結論針對當前網絡狀態不可見性問題, 本文在可信可控網絡模型的基礎上, 提出了可信可控網絡觀測層的構建方法, 實現了本域信息以協議塊粒度的收集和存儲, 並實現了對域間信息的共享, 通過全網一致性視圖構建模塊對域內信息和域間共享信息進行處理, 為網絡決策層提供了全網一致性視圖, 有利於提高網絡控制的有效性和最優性。由於觀測層實現了基於協議塊粒度的網絡狀態信息描述, 使得可信可控網絡對異構網絡環境具有兼容性, 提高了可信可控網絡的可擴展性。然而底層網絡的狀態信息具有繁雜性和重複性的特點, 觀測層必須能夠為決策層提供有效的控制信息, 因此研究了相關的信息處理算法。進行域內信息的整合, 進行域內宂餘信息的合併和事件的關聯分析將是我們下一步的工作。