本文选自上海证券交易所技术管理部《交易技术前沿》(2019年9月)蒋第三十六篇摘要：软件定义网络作为下一代网络的主流技术，受到学术界和产业界的广泛关注。本文主要研究多网络服务提供商场景下软件定义网络和软件功能虚拟化的可用性集成和安全防护方法，论证通过虚拟网络服务架构实现的可行性，提出针对单一网络服务提供商场景的软件定义网络环境感知服务组合综合评估。最后，讨论了软件定义网络中高可用虚拟网络服务的安全级别保护。1概述软件定义网络(SDN)将网络控制与数据转发分开。随着控制面和数据面的分离，网络交换机变成了简单的转发设备，出现了逻辑集中控制器。SDN的优势在于简单易用且功能强大的网络控制，方便高效的网络管理，优秀的网络性能。与SDN类似，网络功能虚拟化(NFV)使用虚拟化技术将服务功能从底层基础设施中分离出来。它将网络功能从专用硬件转移到通用服务器。NFV使服务部署更快，服务提供更简单。此外，NFV还降低了网络费用。SDN和NFV技术的结合可以进一步增强下一代网络的服务能力。另一方面，用户希望网络流畅，有非常好的上网体验，随时有快速的业务响应。这种趋势使得基础运营商和服务提供商有必要加强合作，提供易于扩展的网络服务，而基础投资成本不会太高。因此，SDN和NFV不是通过一个服务提供商提供网络服务，而是整合几个服务提供商的服务，实现虚拟网络服务(VNS)。目前研究的重点是SDN和NFV技术的融合，在研究网络功能服务组合时需要考虑SDN的特性。这些功能包括集中控制、全局视图和动态环境。首先，SDN中有一个逻辑集中控制器，有利于服务注册、服务发现等。通过逻辑集中控制器，服务机制可以发现和选择满足要求的服务实例。其次，SDN技术为网络管理员提供了网络编程的能力，允许创建动态流策略。集中控制和全局视图的特性为SDN服务组合带来了新的优势，使服务注册和服务发现变得更加容易。然而，动态属性使得服务成本在运行时发生变化。为了利用SDN的这些特性并满足业务需求，在保证安全的前提下更有效地利用网络资源，需要通过环境感知和安全等级保护来保证软件定义网络(高可用安全虚拟网络)的高可用性和安全性。基于SDN/NFV的虚拟网络脆弱性分析

基于SDN/NFV的虚拟网络服务的脆弱性在多服务提供商场景中进行分析。网络服务提供商将基础服务提供商的底层服务结合起来，为用户提供网络服务，如图1所示。

图1虚拟网络服务场景

在这个场景中，有三个角色：用户、网络服务提供商和基础设施服务提供商。基础设施服务提供商管理基于SDN的物理网络或基于NFV的数据中心，并通过子层功能API向网络服务提供商发布基础设施服务。服务提供商可以启动服务或选择关闭服务。但是，他们不能直接访问基础设施。网络服务提供商根据用户需求组合基础设施服务，实现网络服务。用户可以配置虚拟网络，例如IP过滤规则。在上述场景中，网络服务的可用性存在漏洞，如表1所示。这些漏洞存在于用户层、网络服务层和基础设施服务层。

表1网络服务的脆弱性分析

在用户层面，由于使用网络服务API操作底层服务是合法的，因此存在潜在的可用性漏洞。这一层中有两个子类型的漏洞。首先，用户通过网络服务API执行拒绝服务DoS。例如，用户频繁地改变配置，使得网络服务层的控制器不能响应其他请求。二是合法用户利用网络服务API进行非法操作，导致网络服务中断。比如全流量的引入策略，配置成过载流量。

在网络服务层，存在基础设备服务层的潜在漏洞。根本原因是攻击者或合法的网络服务提供商可以通过基本设备服务API操作底层服务。例如，攻击者或合法的网络服务提供商经常移动和关闭基础设施服务。这些动作会在短时间内耗尽物理资源，使得基础设施服务不可用，并且无法提供给其他网络服务提供商。

在基础设施层，也有几个潜在的漏洞，可以降低网络服务层的可用性。或者攻击者恶意中断基础设施服务提供者的基础设施服务，使网络服务层没有资源支持。此外，基础设备服务商可能因不可预见的原因(如设备故障等)无法提供正常服务。).由于网络服务提供商没有能力控制和恢复基础设施，这些漏洞对网络服务层构成了高度威胁。3基于SDN/NFV面向多服务提供商的高可用性安全服务3.1的架构和关键组件

基于SDN/NFV的多服务提供商高可用安全服务架构分为三个层次：用户层、网络服务层和基础设施层，如图2所示。用户管理控制台可以配置虚拟网络。网络服务层有九个关键组件。除了SDN控制器和NFV控制器，基础设施服务层还引入了防拒绝服务和违规组件。

图2基于SDN和NFV的多服务提供商虚拟网络服务架构

具体来说，在用户层，用户通过多组虚拟网络管理控制台远程管理和控制虚拟网络配置。

在网络服务层，网络服务提供商通过基础设施服务API管理虚拟资源，并根据用户的请求组合网络服务，这些服务可以通过网络服务API访问。与基础设施服务层类似，网络服务层也有抵御DoS和非法操作的机制，以防止来自北向API的威胁。此外，网络服务层具有一种机制，用于监控底层基础设施并在必要时重组网络服务。

网络层有九个关键组件，其中七个与服务组合有关，两个与保护网络服务的可用性有关：

1)基础设施服务注册组件维护来自基础设施服务层的信息，该信息用于网络服务调度和执行决策以及调度任务；

2)基础设施服务发现组件提供服务选择和协商能力。它与服务注册组件联系以选择满足用户偏好、场景信息或其他选择标准的基础设施服务；

3)场景信息管理组件从控制面板收集场景信息。包括信息虚拟资源的全局视图和历史场景信息；

4)服务控制组件为用户应用提供北向接口，北向接口用于请求满足特定需求的网络服务。它使用网络服务编排组件选择合适的基础设施服务链，从用户层面满足网络服务需求；

5)网络服务调度触发组件与资源可用性评估组件、场景信息管理组件和服务控制组件交互，监控场景信息和用户请求，然后触发服务调度。网络编排组件结合虚拟资源满足用户需求，通过适用性机制管理解决需求和场景的变化。

6)防拒绝服务和非法操作组件用于防止虚拟/物理资源被来自美国的恶意或异常行为耗尽

在基础设施服务层，基础设施服务提供商管理SDN和NFV服务功能，并通过基础设施服务API向网络服务提供商提供基础设施服务。此外，基础设施服务提供者层还有一个安全保护运行机制(与网络服务层相关组件联动)，用于防止来自网络服务层的恶意或异常事件耗尽物理资源，保护网络基础设施和服务的安全。3.2架构优势SDN和NFV相互独立。一家基础设施服务提供商管理基于SDN的网络，而其他基础设施服务提供商管理NFV资源。这两种类型的基础设施服务提供商之间没有交集。SDN控制和NFV控制器之上的防DoS和违例组件在SDN架构和NFV架构的应用层。他们没有对当前的SDN和NFV架构进行任何更改。1)支持多提供商场景。在这种架构下，虚拟网络服务在多个域的异构网络和计算基础设施中实现，可以为多提供商场景提供全面的支持。2)支持环境感知在网络服务层，环境信息管理组件收集所有环境信息，包括来自基础设施服务层、用户层和网络层的信息。服务调度触发组件基于环境信息管理组件，与其他组件协作后，通知网络服务调度组件重组网络服务。此功能提高了此体系结构的灵活性和服务质量。3)具有高可用性和安全性。该体系结构采用了防拒绝服务和防侵犯的防御机制。基础设施服务层可以抵御来自网络服务层的威胁，避免资源耗尽。该功能提高了基础设施服务层的安全性。同时，使用资源可用性评估机制，网络服务层可以感知每个基础设施服务的可用性。一旦发现某些基础设施服务的服务质量不能满足需求，系统可以自动调度其他满足需求的基础设施服务，以保证输出能力。总之，这些特性提供了一系列整合SDN和NFV以支持网络服务安全和性能保障的实用方法，也体现了整个架构的优势。4软件定义网络防护等级的分类作为下一代主流通信网络，软件定义网络(高可用安全虚拟网络)的安全防护等级根据国家网络安全等级保护标准的要求分为以下五个等级：第一个等级，系统被破坏后，会对公民、法人和其他组织的合法权益造成损害，但不会危害国家安全、社会秩序和公共利益。一级信息系统运营使用单位应当按照国家相关管理规范和技术标准进行保护；二是系统被破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不会危害国家安全。国家信息安全监管部门对本级信息系统安全等级保护工作进行指导；第三，制度被破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门应当对本级信息系统的安全等级保护进行监督检查；第四，制度被破坏后，会对社会秩序和公共利益造成特别严重的损害，或者对国家安全造成严重损害。国家信息安全监管部门对本级信息系统的安全等级保护进行强制监督检查；第五，系统被破坏后，会对国家安全造成特别严重的损害。国家信息安全监管部门应当对本级信息系统的安全等级保护进行专项监督检查。5结论软件定义网络技术已经成为5G、车联网、智能电网等新型通信网络的主流技术。钍

为了解决这些问题，本文首先在不考虑SDN/NFV技术标准修订的情况下，提出了一种基于多网络服务提供商场景提供可用性和安全性的集成系统框架，提出了一种面向软件定义网络的环境感知服务组合的思想来解决可用性和安全性问题，并对其可行性进行了综合评估和分析。最后，讨论了软件定义网络等级保护的分类。随着等级保护2.0的问世和软件定义网络技术的不断发展，仍然有很多值得我们思考和改进的地方。参考资料：

[1] ETSI工业规范集团。网络功能虚拟化(NFV):NFV主要概念术语。

http://www.etsi.org/deliver/etsi GS/NFV/001-099/003/01。02 .01 _ 60/GS _ nfv 003v 010201 p . pdf，2016-07-31 .

[2]国际电联NGN电信公司业务集成和交付环境的要求和能力。

http://www.itu.int/rec/T-REC-Y.2240-201104-I/en,2016年七月31日。

[3]帕加内利F、乌里玛M和马提尼湾。在SDN上的NGSONs中的上下文感知服务组合和交付。摘自：IEEE通信杂志，第52卷，第8期，2014年，第97-105页。

[4]远程管理论坛。服务交付框架(SDF)概述，版本2.0。http://www.tmforum.org/,2016年七月31日。

[5] GB /T 22239.2网络安全等级保护基本要求第2部分：云计算安全扩展要求

[6]拉斯惠特，驾驭复杂的网络软件定义网络(软件定义的网络)业务虚拟化业务链，人民邮电出版社， 2018-03-01