网络功能虚拟化可扩展性研究

Network Function Virtualization (NFV) technology has been adopted for building software-based network services on common hardware platforms. However, the table lookup modules within isolated network services belong to different tenants have brought great challenges to NFV technology scalability: 1) Severe table lookup modules redundancy in different network services; 2) table lookup algorithm do not support fast updates. To solve NFV scalability issues, this project intends to develop a new technology named "table lookup as a service": deprive the table lookup modules from NFV network services and provide them as "Service of Service (SoS)" for NFV. The study includes: 1) SoS-supported NFV control plane: Design controller to implement SoS; 2) SoS-supported NFV data plane: design scalable table lookup algorithm for SoS architecture; 3) Experiment validation: validating the efficacy of SoS architecture based on NIDSes and their core function "pattern matching module". The expected result of this project can not only improve the NFV technology scalability, but also lays a good technical foundation for practical NFV technology.

网络功能虚拟化(NFV)技术在通用硬件平台上构建基于软件的网络服务，以减少开发和运维成本。然而，虚拟化隔离、分属不同租户的网络服务中的不同表项查找模块，为NFV技术的可扩展性带来挑战：1）不同网络服务的查找模块存在功能冗余；2）查找算法不支持规则快速更新。本项目拟通过“表项查找服务化”解决上述问题：把表项查找模块从中间设备中分离并集中管理，作为“服务的服务”（Service of Service，SoS），高效提供给NFV中间设备。研究内容包括：1）支持SoS的NFV控制面：设计SoS控制器，实现“表项查找服务化”；2）支持SoS的NFV数据面：提出适合SoS架构，支持快速更新的查找算法；3）试验验证：基于NIDS及其功能核心“规则查找模块”，对SoS架构进行验证。本项目的预期成果不仅可提高NFV技术的可扩展性，而且为NFV中间设备的实用化奠定良好的技术基础。

在网络功能虚拟化（NFV）中，网络中间设备演变为基于软件的虚拟化网络服务（vNF），软硬件的解耦使网络功能灵活部署在通用平台上，大幅度提升了网络的弹性。如何提高NFV的可扩展性对于实现资本支出（CAPEX）和运营支出（OPEX）的削减至关重要，也是本项目的研究目标。..根据研究目标，设计和实现了一套高性能的NFV平台-NFCloud系统，以及平台上防火墙、入侵检测、入侵防御、流量识别、Web应用防火墙等虚拟化安全功能。该系统提供流量导入导出、安全业务承载、业务链构建等NFV功能，可以部署在运营商侧，为用户提供云端的安全防护。以NFCloud系统为基础，从两个层次上研究NFV系统的扩展性：1）从vNF层面出发，设计一种支持多租户的数据包匹配数据结构MT-AC，提高基于规则匹配的vNF服务的可扩展性；2）设计一种安全加固的虚拟化I/O架构SHIM，解决NFV平台的多租户扩展性带来的数据安全问题，保障多租户的数据安全隔离，提高NFV平台的扩展性。..设计和实现的NFCloud系统以及平台上的虚拟化安全服务，应用于江苏省某电信运营商网络。通过在运营商测集中部署，为分布式的用户提供灵活高效的云端vNF服务，测试结果证明了该平台的具备低延时和高性能的特性，具有较高的可用性；基于支持多租户的MT-AC数据包匹配数据结构，设计高性能的虚拟化安全服务，在相同物理资源条件下，能够运行的虚拟服务提高了10倍以上；所设计的安全加固的虚拟化I/O交换架构，在安全性，扩展性和性能间获得良好的折中，目前已经被阿里云采用，进行架构的部署和测试。基于上述研究结果，项目共计产出6篇论文，2项专利和一项软件著作权。