一种运营商网络安全功能虚拟化系统部署方法

钟植任1 关洪涛1,2,3 刘冉2 姜海洋1,2 谢高岗1,21 中国科学院计算技术研究所 北京 1001902 江苏省未来网络创新研究院 南京 2111113 南京邮电大学 南京 210003摘　要 在边缘网络部署专用设备实现网络安全防护的方法存在建设成本高、维护困难、功能受限等问题。

网络功能虚拟化技术通过在骨干网络部署通用平台，可以实现传统专用安全设备的功能，有效降低建设与维护成本，提升安全防护能力。

文章提出一种针对运营商的网络安全功能虚拟化系统部署方法，能够在不改变网络拓扑与主干网路由的条件下实现快速部署，为用户提供稳定可靠的定制化网络安全服务。

该方法已在江苏某运营商网络试用并取得良好效果。

关键词 网络安全；网络功能虚拟化；软件定义网络；网络地址转换；VXLAN一种运营商网络安全功能虚拟化系统部署方法引言互联网由于其开放、共享的特点，已成为当今社会应用范围最广的信息通信技术，深远影响着人类的生产生活。

然而与之伴随的是源源不断的安全问题。

为此，互联网用户在边缘网络部署了大量的安全设备，典型的有防火墙、入侵检测系统、上网行为管理系统等。

相关数据表明，当前互联网上部署的网络中间件设备数量已接近路由交换设备数量[1]。

这种通过部署大量专用设备的方法能够在一定程度上解决当前互联网面对的安全问题，但也存在着建设成本高、维护困难、功能受限等问题[2]。

购买大量专用安全设备，费用昂贵，且部分功能重叠。

不同设备厂家提供的安全设备管理方式各异，缺乏标准化接口。

实体设备部署位置僵化，功能升级复杂，设备数据难以共享，严重制约了安全防护的效果。

网络功能虚拟化[3](Network Function Virtualization ，NFV)技术的提出带来了一种新的网络安全解决方案。

N F V 最早由欧洲电信标准组织(E u r o p e a n Telecommunications Standards Institute ，ETSI)提出，旨在将传统网络功能以软件的形式运行在高性能通用服务器上，实现网元功能与设备解耦，达到灵活部署、简化管理、节约成本的目的。

运营商在提供网络接入服务的同时也能够开展更多增值业务，避免管道化问题。

典型的NFV 部署案例是Domain2.0[4]和CORD [5]。

D o m a i n 2.0是电信运营商AT&T 在2013年提出的一个计划，目标是将未来的运营商网络建设成开放、标准、统一的运营平台，借鉴现有数据中心的技术，将网络业务实现成类似于数据中心云服务一样的网络服务。

CORD(Central O f f i c e R e -a r c h i t e c t e d a s a Datacenter)是Domain2.0计划中具有代表性的案例。

CORD 使用白牌交换机和通用服务器，形成全虚拟化的基础设施平台。

用户根据自己的需求选择服务组合模板并启用服务，然后自行配置服务实例上运行的网络功能。

典型的服务功能包括vSG、vOLT、vRouter、vFireWall 等(如图1)。

网络安全功能虚拟化解决方案相比传统安全解决方案具有以下优势：首先，采用白牌交换机及通用服务器取代专用设备降低了建设成本；第二，安全功能集中到统一平台，加快了部署速度，降低了维护成本；第三，安全功能在适当位置动态部署按需启停，提升了安全防护的整体能力。

此外，安全防护功能由用户侧迁移到运营商侧，既扩展了运营商的业务范围又提升了安全服务的专业化程度，实现了运营商和用户的双赢[6]。

中国科学院计算技术研究所及江苏省未来网络创新研究院设计实现了一套完整的网络安全功能虚拟化平台系统NFCloud。

系统同时集成了虚拟化防火墙、虚拟化入侵检测系统等安全功能。

该系统已在江苏省未来网络创新研究院大楼投入使用，为大楼内20余家企业提供安全服务。

鉴于网络安全功能的实现与流量密切相关，如防火墙、入侵检测等系统都要求流量全部通过功能单元，网络安全功能虚拟化系统部署必须要解决流量的牵引问题。

本文将介绍NFCloud系统针对运营商网络的部署方法，重点关注其中的流量牵引问题。

该方法能够在不改变网络拓扑与主干网路由的条件下实现系统快速部署。

当前NFCloud采用该方法已在江苏某运营商网络部署试运行，取得良好效果。

本文提出的方法不只局限于NFCloud系统使用，同样适用于其它网络安全功能虚拟化平台，具有良好的实用性和普适性。

本文组织结构如下：第1章简述NFCloud的功能与结构。

第2章提出NFCloud在运营商网络部署的流量牵引方法。

第3章提出相关的安全与保护机制。

第4章给出实际系统中的测试数据。

最后是全文总结。

1 网络安全功能虚拟化平台NFCloud1.1 功能需求NFCloud的设计目标是为网络用户提供个性化网络安全服务。

因此它具备以下基本功能。

1)安全业务承载：为业务分配计算、存储及网络资源，生成虚拟化容器运行安全业务单元。

2)流量导入导出：将需要提供服务的网络用户流量导入平台内的业务处理单元，并在完成服务后导出平台。

3)业务链构建：当同一用户被多个业务同时服务时，需要实现流量在业务单元间的路由交换。

1.2 系统结构NFCloud平台由透明网关TGW和业务处理资源池两部分组成。

图2所示为NFCloud的串接部署方法。

其中透明网关TGW串接在网络汇聚链路上，监听上下行流量，区分不同网络租户流量，将需要服务的租户流量截断并导入业务处理资源池处理，之后重新回注到上行或下行链路。

为实现用户定制化服务链功能，TGW在识别用户流量后导入业务处理资源池之前会进行MPLS隧道封装。

业务处理资源池采用OpenStack[7]构建基础云平台，结合软件定义交换单元实现数据流交换。

业务处理资源池内的计算节点根据TGW添加的MPLS标签将租户数据包送交业务单元，由此构建业务链。

图1 CORD结构1.3 功能与结构分析根据上述功能与结构，NFCloud 在网络中基本表现为一个透明设备。

之所以采取这样的方式，主要是因为大量传统网络安全设备均主要以透明设备的形态部署于网络中，该方式能够最大程度与安全业务匹配。

然而，并非所有的网络安全设备均以透明设备形态存在于网络中，典型的有网页防护系统WAF 和漏洞扫描系统等。

为此，NFCloud 提供了另外一套机制，能够在业务处理资源池中生成虚拟主机，该虚拟主机对外网表现为租户网段中的一台主机。

当租户需要WAF 服务时可以生成一个虚拟主机作为WAF 功能单元的容器。

2 针对运营商网络的流量牵引方法2.1 运营商网络需求分析前文介绍NFCloud 结构的同时给出了串接部署的方法。

流量直接流经透明网关，不需要额外的流量牵引，因此能够实现很高的处理效率，且不会引入平台以外的处理延时。

该部署方法适用于园区网络出口等环境。

例如江苏省未来网络创新研究院大楼就采用了该部署方法。

与园区网络不同，运营商网络具有规模大、结构复杂、可靠性要求高等特点。

如采用串接部署方图3 方案概述图2 NFCloud系统结构法，需要在网络中各汇聚链路部署大量的透明网关设备，同时需要改变网络拓扑，将透明网关串接到汇聚链路上。

这从成本与可靠性上都不能被运营商所接受。

一种可能被考虑的方法是利用路由策略实现流量的牵引，但这需要在主干路由器上配置大量的策略路由规则，且伴随用户业务的启停，规则变动可能会非常频繁。

这也难以满足运营商对网络运行稳定性的要求。

2.2 结合隧道与地址转换的流量牵引思想针对运营商网络的上述特点，本节将提出一种结合VXLAN [8]隧道与地址转换技术的流量牵引方法。

该方法可以在不改变现有运营商网络拓扑与主干网络路由配置的前提下实现流量牵引到NFCloud 。

如图3所示，NFCloud 系统部署后，数据流交换的过程将分为四个阶段。

其中阶段B 和阶段D 是由NFCloud 系统发起的，可以简单通过路由方式实现。

核心问题是阶段A 和阶段C ，流量如何导入NFCloud 系统。

鉴于阶段A 两端分别是确定的接入AP 与TGW ，因此只需将NFCloud 的TGW 通过三层IP 接入运营商网络，在用户接入AP 与TGW 间建立VXLAN 隧道，就可以解决阶段A 的流量导入问题。

对于阶段C ，由于用户访问的外网主机是不确定的，因此不能通过在NFCloud 和外网主机间建立隧道的方式实现流量牵引。

如果不采取任何流量牵引措施，当外网主机发送数据包给本地用户时，数据包将会根据目的IP 地址路由，绕过NFCloud 直接到达本地用户。

一种简单粗暴的解决方法是当数据包到达用户侧AP 后再通过VXLAN 隧道重新送交NFCloud 处理，之后再送回给用户。

但这会造成AP 上行链路带宽的严重浪费。

这里给出一种基于地址转换的解决方法：对于本地用户发出的数据包，经NFCloud 处理后，将数据包源IP 地址替换为NFCloud 给用户终端分配的映射地址。

这样外网回应的数据包目的地址将为替换后的映射地址，可以自动路由到NFCloud 。

NFCloud 处理完成后，重新将数据包目的地址换回本地用户地址，返回给用户。

2.3 处理流程与数据结构根据前文分析，阶段A 采用隧道技术，阶段C 采用地址转换技术，两者结合能够有效实现流量到NFCloud 的牵引。

本节将给出四阶段具体的处理流程。

2.3.1 上行处理流程上行处理流程分为两阶段：阶段A 从用户侧通过VXLAN 网络导入NFCloud 系统；阶段B 从NFCloud 系统经过地址转换后发送到公网。

阶段A 如图4所示。

图4 上行处理流程阶段A1)用户上行流量首先经过AP 设备封装VXLAN ，经VXLAN 网络发送到NFCloud 系统。

2)NFCloud 系统收到流量后，解封装VXLAN 头部，随后进行安全业务处理。

阶段B 如图5所示。

图5 上行处理流程阶段B1)安全业务处理后的业务流量，经过源地址转换后送回运营商网络。

此时报文的源IP 从用户的IP1变为NATWAN 口IP2。

2)数据包会根据用户原始数据包的目的IP 地址进行路由。

2.3.2 下行处理流程下行处理流程也分为两阶段：阶段C 从公网路由到NFCloud 系统并进行NAT 转换；阶段D 经过VXLAN 网络送达用户侧。

阶段C 如图6所示。

图6 下行处理流程阶段C1)公网下行流量通过IP 路由到NFCloud 系统。

2)NFCloud 系统对报文进行目的地址转换(将目的IP 转换为用户终端IP)，之后进行安全业务处理。

阶段D 如图7所示。

图7 下行处理流程阶段D1)NFCloud系统将安全业务处理后数据包进行VXLAN封装，之后发送到VXLAN网络，路由到用户接入AP设备。

2)用户接入AP设备解封装VXLAN头部，将数据包发送给用户终端。