【正文】 SDN技術(shù)與應(yīng)用項目設(shè)計方案第1章 緒 論 研究背景和意義20世紀(jì)60至70年代，世界上第一個計算機(jī)網(wǎng)絡(luò)ARPAnet誕生，從此計算機(jī)網(wǎng)絡(luò)逐漸深入到人類社會，并以人們意想不到的速度變化發(fā)展。原本出于軍事目的研制的計算機(jī)網(wǎng)絡(luò)已被廣泛應(yīng)用于政府、軍事、教育、科研、商業(yè)等各種領(lǐng)域，并進(jìn)入了千萬普通家庭。計算機(jī)網(wǎng)絡(luò)已經(jīng)成為人們獲取信息、學(xué)習(xí)、娛樂與交流的重要手段，計算機(jī)網(wǎng)絡(luò)帶來的信息資源的共享也深刻影響著人類社會的正常運行。個人計算機(jī)的推廣使得網(wǎng)絡(luò)需求不斷增大，數(shù)據(jù)通信也隨之變得復(fù)雜，據(jù)調(diào)查數(shù)據(jù)顯示，截止到2013，全球上網(wǎng)人數(shù)已超過27億。在如此龐大的群體中，單單依靠網(wǎng)絡(luò)管理人員對網(wǎng)絡(luò)結(jié)構(gòu)、設(shè)備、業(yè)務(wù)等進(jìn)行管理配置是遠(yuǎn)遠(yuǎn)不夠的，網(wǎng)絡(luò)智能化應(yīng)運而生。為了實現(xiàn)網(wǎng)絡(luò)智能化，當(dāng)前網(wǎng)絡(luò)采用了混合式的管理模式，即將部分網(wǎng)絡(luò)管理功能固化在網(wǎng)絡(luò)設(shè)備中，當(dāng)要進(jìn)行網(wǎng)絡(luò)管理工作時，網(wǎng)絡(luò)管理人員通過網(wǎng)絡(luò)管理軟件或命令行接口的方式登陸網(wǎng)絡(luò)設(shè)備，并對網(wǎng)絡(luò)運行參數(shù)、節(jié)點運行的協(xié)議、路由規(guī)則等進(jìn)行配置，隨后網(wǎng)管人員退出網(wǎng)絡(luò)管理控制流程，由網(wǎng)絡(luò)設(shè)備接管，并根據(jù)網(wǎng)絡(luò)管理人員的配置自治的規(guī)劃網(wǎng)絡(luò)路徑、更新網(wǎng)絡(luò)信息、執(zhí)行QoS控制。也正是因為這種做法，傳統(tǒng)的網(wǎng)絡(luò)節(jié)點兼顧了網(wǎng)絡(luò)控制和數(shù)據(jù)轉(zhuǎn)發(fā)功能。雖然50多年的發(fā)展進(jìn)程使計算機(jī)網(wǎng)絡(luò)實現(xiàn)了一定程度上的智能化，但是隨著大數(shù)據(jù)時代的到來，傳統(tǒng)網(wǎng)絡(luò)在處理云計算、大數(shù)據(jù)業(yè)務(wù)上卻不盡如人意，也難以滿足靈活的資源需求。當(dāng)前網(wǎng)絡(luò)中存在著大量不同協(xié)議，它們被用于不同間隔距離、不同鏈接速度、不同拓?fù)浼軜?gòu)的網(wǎng)絡(luò)主機(jī)之間建立網(wǎng)絡(luò)連接，然而這些協(xié)議的研發(fā)與應(yīng)用通常是彼此隔離的，這就導(dǎo)致了當(dāng)前網(wǎng)絡(luò)的復(fù)雜化，例如，當(dāng)網(wǎng)絡(luò)管理者需要在網(wǎng)絡(luò)中增加或刪除一條設(shè)備時，必須對與之相關(guān)的多臺交換機(jī)、路由器、Web認(rèn)證門戶等進(jìn)行操作以更新相應(yīng)的訪問控制列表、VLAN設(shè)置等，除此之外，還要考慮網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)、廠商交換機(jī)模型、軟件版本等信息。因此，傳統(tǒng)網(wǎng)絡(luò)僅能在相對靜態(tài)的環(huán)境下保持通暢。在這一背景下，SDN軟件定義網(wǎng)絡(luò)的概念一經(jīng)提出便受到業(yè)內(nèi)外人士的廣泛認(rèn)可。軟件定義網(wǎng)絡(luò)是一種新型網(wǎng)絡(luò)架構(gòu)及技術(shù)，其最大特點在于將傳統(tǒng)網(wǎng)絡(luò)設(shè)備的控制層面與數(shù)據(jù)層面分開、支持集中化的網(wǎng)絡(luò)控制狀態(tài)、實現(xiàn)底層網(wǎng)絡(luò)設(shè)施對上層應(yīng)用的透明。SDN網(wǎng)絡(luò)為管理開發(fā)人員提供的可編程接口使得網(wǎng)絡(luò)的自動化管理和控制能力得到極大的提升，有效的解決了當(dāng)前網(wǎng)絡(luò)系統(tǒng)所面臨的一系列的問題。SDN網(wǎng)絡(luò)的提出在解決了當(dāng)前網(wǎng)絡(luò)中存在的諸多問題的同時也為未來網(wǎng)絡(luò)的發(fā)展指明了方向，因此，世界范圍內(nèi)多家公司掀起了收購SDN相關(guān)設(shè)備的狂潮，并通過研發(fā)SDN網(wǎng)絡(luò)設(shè)備增強(qiáng)自身的技術(shù)儲備和未來網(wǎng)絡(luò)競爭力。由此可見，研究學(xué)習(xí)SDN網(wǎng)絡(luò)是十分必要的。 國內(nèi)外研究現(xiàn)狀SDN作為一種最新提出的網(wǎng)絡(luò)技術(shù)，在短短的幾年內(nèi)已經(jīng)在業(yè)界內(nèi)聲名顯赫，然而由于當(dāng)前技術(shù)、成本問題，SDN尚在理論階段，其標(biāo)準(zhǔn)化進(jìn)程也處于發(fā)展階段尚未成熟，距現(xiàn)實生活中大規(guī)模部署仍有較長時間。在關(guān)于對SDN網(wǎng)絡(luò)定義的過程中，國內(nèi)外多家標(biāo)準(zhǔn)化組織參與進(jìn)來，其中ONF（Open Networking Foundition，開發(fā)網(wǎng)絡(luò)基金會）無疑是引領(lǐng)者。2011年創(chuàng)建的ONF組織，一經(jīng)創(chuàng)立便致力于SDN發(fā)展，其非營利性的性質(zhì)也使得它被更多的人接受。如今，在SDN發(fā)展的進(jìn)程中ONF已然成為世界上最大的SDN標(biāo)準(zhǔn)組織。ONF提出了三層SDN架構(gòu)：頂層為有多種應(yīng)用和服務(wù)的應(yīng)用層；中間是負(fù)責(zé)控制層，主要負(fù)責(zé)處理網(wǎng)絡(luò)配置、系統(tǒng)管理和數(shù)據(jù)轉(zhuǎn)發(fā)策略；底層是負(fù)責(zé)數(shù)據(jù)轉(zhuǎn)發(fā)、處理和狀態(tài)收集的基礎(chǔ)設(shè)施層。在控制層與應(yīng)用層之間的接口和控制層與基礎(chǔ)設(shè)施層之間的接口也是重要的兩個部分，前者被稱為北向接口，后者為南向接口。在兩個接口間運行著多種協(xié)議，其中Openflow協(xié)議為南向接口的標(biāo)準(zhǔn)協(xié)議，而北向接口由于各種原因還未做出統(tǒng)一安排。除了ONF提出的三層體系結(jié)構(gòu)外，歐洲電信標(biāo)準(zhǔn)化組織提出了將重點放在網(wǎng)絡(luò)功能虛擬化的NFV架構(gòu)，NFV網(wǎng)絡(luò)架構(gòu)參考了ONF關(guān)于SDN的定義，在南向接口上倡導(dǎo)Openflow協(xié)議，除此之外還包含了在傳統(tǒng)網(wǎng)絡(luò)標(biāo)準(zhǔn)化組織中認(rèn)可的接口，而且在控制層，提出了端對端的網(wǎng)絡(luò)控制層，將控制層更加細(xì)致的劃分。2013年4月8日，包括思科、Juniper等傳統(tǒng)網(wǎng)絡(luò)設(shè)備巨擘在內(nèi)的設(shè)備廠商提出了OpenDaylight開源項目，其構(gòu)架與ONF SDN架構(gòu)相似，包括了數(shù)據(jù)平面網(wǎng)元、南向接口、北向接口以及網(wǎng)絡(luò)應(yīng)用、編排和服務(wù)層。雖然國內(nèi)對SDN的研究稍微有些落后，但是由于SDN正在試行階段，還沒有統(tǒng)一的定義與標(biāo)準(zhǔn)，因此也已經(jīng)有多家組織啟動了與SDN有關(guān)的工作，積極參與了SDN的研究與標(biāo)準(zhǔn)化制定工作，中國通信標(biāo)準(zhǔn)化協(xié)會于2013年成立了“未來數(shù)據(jù)網(wǎng)絡(luò)”任務(wù)組，立項并開始研究基于智能網(wǎng)絡(luò)的SDN標(biāo)準(zhǔn)。 論文內(nèi)容和結(jié)構(gòu)安排本文主要研究基于Openflow協(xié)議的SDN網(wǎng)絡(luò)體系結(jié)構(gòu)，詳細(xì)闡述SDN中的關(guān)鍵技術(shù)與設(shè)備，并增添現(xiàn)實生活中SDN的應(yīng)用場景，制定了SDN在數(shù)據(jù)中心間的一套方案，除此之外，通過Mininet、Floodlight、VirtualBox軟件搭建了SDN網(wǎng)絡(luò)實驗環(huán)境，并通過抓包分析的方式更加透徹的解讀SDN網(wǎng)絡(luò)和分析Openflow數(shù)據(jù)流。本文共分為五章，第1章介紹SDN網(wǎng)絡(luò)提出的背景及研究意義，并簡述了國內(nèi)外SDN網(wǎng)絡(luò)的研究情況；第2章對SDN網(wǎng)絡(luò)技術(shù)及其相關(guān)概念做出詳細(xì)的論述；第3章介紹了SDN網(wǎng)絡(luò)實戰(zhàn)，通過利用Mininet搭建模擬實驗環(huán)境，并對Openflow數(shù)據(jù)流進(jìn)行分析；第4章簡單介紹了SDN在不同場景中的應(yīng)用；第5章對整篇文章進(jìn)行總結(jié)，闡述不足之處和對未來的展望。第2章 SDN基礎(chǔ)理論 基本定義SDN（Software Defined Networking,軟件定義網(wǎng)絡(luò)）是一種基于軟件的網(wǎng)絡(luò)架構(gòu)，具有以下幾種特點：集中控制：傳統(tǒng)的網(wǎng)絡(luò)中通常將數(shù)據(jù)轉(zhuǎn)發(fā)與控制層面固化在同一個設(shè)備上，當(dāng)進(jìn)行網(wǎng)絡(luò)管理時可以將其看成一個個獨立的盒子，而這些控制盒子將整個控制面分離成一個個小的個體，而軟件定義網(wǎng)絡(luò)將控制集中起來，轉(zhuǎn)發(fā)設(shè)備只具有轉(zhuǎn)發(fā)功能，控制功能則由具有控制功能的控制器完成，因此在邏輯上可以將控制器組成的集合看作為一個整體的控制平面，當(dāng)需要對物理設(shè)備進(jìn)行配置和維修時，無須現(xiàn)場操作，只需要在控制軟件上對物理設(shè)備進(jìn)行配置。開放接口：在SDN網(wǎng)絡(luò)架構(gòu)中，控制層與應(yīng)用層之間標(biāo)準(zhǔn)化的北向接口為網(wǎng)絡(luò)管理人員和開發(fā)人員提供了良好的程序接口，使得防火墻、網(wǎng)絡(luò)監(jiān)控等功能可以通過軟件的方式實現(xiàn)。在傳統(tǒng)網(wǎng)絡(luò)中，很多功能，如：負(fù)載均衡、DPI、防火墻都需要專門的設(shè)備來實現(xiàn)，導(dǎo)致了網(wǎng)絡(luò)復(fù)雜化和網(wǎng)絡(luò)功能更新上線周期長，而在SDN網(wǎng)絡(luò)中，網(wǎng)絡(luò)功能軟件化讓不同的網(wǎng)絡(luò)功能部署在一個硬件設(shè)備上，提高了資源利用率，也減少了設(shè)備數(shù)量降低了管理難度。網(wǎng)絡(luò)虛擬化：包含著各種協(xié)議的數(shù)據(jù)包在南向接口包裝成統(tǒng)一的格式，屏蔽了協(xié)議和設(shè)備間的差異，上層的服務(wù)網(wǎng)絡(luò)看不到下層的傳輸網(wǎng)絡(luò)設(shè)備間的差異實現(xiàn)了透明。邏輯網(wǎng)絡(luò)與物理設(shè)備的分離使得當(dāng)網(wǎng)絡(luò)因業(yè)務(wù)需要進(jìn)行配置、遷移時，不必再受物理設(shè)備的影響。總之，SDN網(wǎng)絡(luò)控制平面與轉(zhuǎn)發(fā)層面的分離的做法使集中管理網(wǎng)絡(luò)設(shè)備成可了可能。其核心思想是將傳統(tǒng)網(wǎng)絡(luò)設(shè)備分離為轉(zhuǎn)發(fā)、控制、應(yīng)用三層結(jié)構(gòu)，：應(yīng)用層業(yè)務(wù)應(yīng)用 APISDN控制軟件控制層網(wǎng)絡(luò)服務(wù)控制/數(shù)據(jù)平面接口 例如：Openflow網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備基礎(chǔ)設(shè)施層網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備 ONF提出的SDN架構(gòu)在現(xiàn)在的網(wǎng)絡(luò)體系中，交換機(jī)在輸入端收到數(shù)據(jù)分組后在轉(zhuǎn)發(fā)面查找路由表/轉(zhuǎn)發(fā)表，并獲取轉(zhuǎn)發(fā)規(guī)則，若在表中存在記錄，則按規(guī)則從輸出端口轉(zhuǎn)發(fā)出去，若不存在記錄，交換機(jī)的控制面通過距離向量算法、廣播反向地址解析消息等算法建立與數(shù)據(jù)分組相關(guān)的路由/轉(zhuǎn)發(fā)記錄，以二層轉(zhuǎn)發(fā)為例，兩臺主機(jī)PC1與PC2，當(dāng)PC1第一次向PC2發(fā)送數(shù)據(jù)時，由于是第一次通信，PC1的ARP表中沒有PC2的MAC地址，PC1向所有鄰居廣播，交換機(jī)S1收到該ARP包后，記錄PC1與端口的映射關(guān)系。與PC1處于同一廣播域的所有主機(jī)收到廣播消息后，PC3發(fā)現(xiàn)不匹配后保持靜默，PC2查詢后發(fā)現(xiàn)匹配則聲稱ARP響應(yīng)通過S1反饋給PC1，如此S1獲知PC2的MAC地址及端口映射消息，然后將PC1及PC2的相關(guān)信息添加至轉(zhuǎn)發(fā)表中。而在SDN構(gòu)架下，控制層面與數(shù)據(jù)層面分離開來，轉(zhuǎn)發(fā)設(shè)備僅僅具備轉(zhuǎn)發(fā)能力，當(dāng)S1收到發(fā)往PC2的數(shù)據(jù)分組后，查找本地轉(zhuǎn)發(fā)表，如果有記錄，則進(jìn)行轉(zhuǎn)發(fā)，如果沒有，則將向控制器詢問對該數(shù)據(jù)分組的處理方式。在SDN構(gòu)架中，控制器控制多臺交換機(jī)，擁有網(wǎng)絡(luò)全局視圖，并根據(jù)該視圖制定轉(zhuǎn)發(fā)策略，然后將該策略下發(fā)至有關(guān)設(shè)備。 SDN核心技術(shù) 交換機(jī)無論是交換機(jī)還是路由器，其主要用途都是實現(xiàn)信息在網(wǎng)絡(luò)上的交換，這里所提及的交換機(jī)并不是傳統(tǒng)意義上的二層交換機(jī)而是所有實現(xiàn)數(shù)據(jù)轉(zhuǎn)發(fā)功能設(shè)備的統(tǒng)一，在SDN網(wǎng)絡(luò)中，將這類設(shè)備統(tǒng)稱為交換機(jī)。SDN網(wǎng)絡(luò)架構(gòu)中的交換機(jī)不再負(fù)責(zé)轉(zhuǎn)發(fā)策略的制定，而成為單純的轉(zhuǎn)發(fā)設(shè)備，只負(fù)責(zé)網(wǎng)絡(luò)數(shù)據(jù)的高速轉(zhuǎn)發(fā)。在交換機(jī)中，數(shù)據(jù)包的匹配通過流表（FlowTable）實現(xiàn)，流表中包含了各種信息。SDN交換機(jī)在SDN網(wǎng)絡(luò)架構(gòu)中負(fù)責(zé)各種數(shù)據(jù)的轉(zhuǎn)發(fā)工作，一般具備以下功能：（1）轉(zhuǎn)發(fā)決策：數(shù)據(jù)包從輸入端口到達(dá)交換機(jī)，交換機(jī)將數(shù)據(jù)報中所攜帶的信息與流表進(jìn)行匹配，如果匹配成功，那么在數(shù)據(jù)報的前端掛上下一跳的MAC地址，同時IP數(shù)據(jù)報文中的TTL減一，并重新計算校驗值。（2）背板：數(shù)據(jù)報文通過背板轉(zhuǎn)發(fā)至交換機(jī)的設(shè)備出口，并在隊列中進(jìn)行等待。若等待隊列中沒有足夠的空間，則將丟棄或替換先前的數(shù)據(jù)報文。（3）輸出鏈路調(diào)度：數(shù)據(jù)報到達(dá)輸出端口并按照一定的順序進(jìn)行等待，設(shè)備出端口通過先進(jìn)先出的策略將等待隊列中的數(shù)據(jù)報進(jìn)行轉(zhuǎn)發(fā)。同時，還有一些先進(jìn)的設(shè)備可將數(shù)據(jù)報分為數(shù)據(jù)流或優(yōu)先級集合進(jìn)行時間安排以滿足相應(yīng)的服務(wù)質(zhì)量。 Openflow根據(jù)SDN架構(gòu)的定義，SDN交換機(jī)只負(fù)責(zé)數(shù)據(jù)的轉(zhuǎn)發(fā)，SDN控制器（controller）負(fù)責(zé)數(shù)據(jù)轉(zhuǎn)發(fā)策略的制定，控制器通過南向接口對交換機(jī)進(jìn)行統(tǒng)一管理，Openflow是目前ONF唯一確定的控制器南向接口，在SDN發(fā)展中有著重要的地位。Openflow規(guī)定了Openflow交換機(jī)的組成和功能要求并且規(guī)定了Openflow協(xié)議作為控制器管理交換機(jī)的協(xié)議。Openflow協(xié)議發(fā)展至今已經(jīng)歷了多個版本，它不僅是后面幾個版本的基礎(chǔ)而且也體現(xiàn)了基于Openflow搭建的SDN網(wǎng)絡(luò)架構(gòu)的思想，本文也將Openflow 。：安全通道流 表控制器 Openflow協(xié)議 Openflow交換機(jī) openflow交換機(jī)設(shè)計思想和整體構(gòu)架Openflow交換機(jī)與控制器通過利用Openflow協(xié)議進(jìn)行通信，兩者之間的消息通過SSL機(jī)制進(jìn)行加密。，Openflow交換機(jī)中有兩個重要的組成部分，其中流表類似于交換機(jī)中的轉(zhuǎn)發(fā)表和路由器中的路由表，用來匹配交換機(jī)中的數(shù)據(jù)包；安全通道是交換機(jī)的另一個重要部分，它的作用是為Openflow協(xié)議提供傳輸路徑，連接控制器與交換機(jī)。當(dāng)交換機(jī)與控制器進(jìn)行信息交換時，數(shù)據(jù)包在交換機(jī)內(nèi)按Openflow協(xié)議進(jìn)行封裝通過安全通道發(fā)送給控制器。由此可見，流表、安全通道、openflow協(xié)議在整個網(wǎng)絡(luò)中起著重要作用。（1）流表在傳統(tǒng)網(wǎng)絡(luò)中，交換機(jī)和路由器通過設(shè)備中保存的轉(zhuǎn)發(fā)表和路由表進(jìn)行轉(zhuǎn)發(fā)，而Openflow交換機(jī)中，流表包含了網(wǎng)絡(luò)中的各層的配置信息，并通過流表項中的各項信息對數(shù)據(jù)報進(jìn)行處理。每個流表項包含包頭域、計數(shù)器和動作三部分，：包頭域計數(shù)器動作 Openflow流表項結(jié)構(gòu)包頭域：用來匹配收到的數(shù)據(jù)包，每個包頭域包含12組信息，每一組信息的值可以使確定的數(shù)字也可以置為任意值。：入端口源MAC地址目的MAC地址以太網(wǎng)類型VLANIDVLAN優(yōu)先級源IP地址目的IP地址IP協(xié)議IP TOS位TCP/UDP源端口TCP/UDP目的端口 Openflow流表項包頭域計數(shù)器：統(tǒng)計各項活動和數(shù)據(jù)信息。動作：用來指示怎么處理匹配后的數(shù)據(jù)包。因為Openflow交換機(jī)中沒有控制能力，因此需要告訴交換機(jī)如何對匹配的數(shù)據(jù)包進(jìn)行操作，操作動作有多種，也對應(yīng)著不同的值。如果一個表項沒有指定具體的動作，那么就將會把這個表項丟棄，如果一個數(shù)據(jù)包中指定了多個動作則行動的執(zhí)行需要依照優(yōu)先級順序依次進(jìn)行。另外如果交換機(jī)不支持?jǐn)?shù)據(jù)包所請求的動作，那么交換機(jī)將會返回錯誤提示。行動可以分為必備行動（Required Actions）和可選行動（Optional Actions），必備行動是默認(rèn)支持的，而如果要執(zhí)行可選動作就需要交換機(jī)通知控制器它支持的動作種類。Openflow流表動作列表如表21所示表21 Openflow流表動作列表類型名稱說明必備動作轉(zhuǎn)發(fā)（Forward）交換機(jī)必須支持將數(shù)據(jù)包轉(zhuǎn)發(fā)給設(shè)備無力端口及如下的一個或多個端口ALL：轉(zhuǎn)發(fā)給所有出端口，但不包括入端口CONTROLLER:封裝數(shù)據(jù)包并轉(zhuǎn)發(fā)給控制器LOCAL：轉(zhuǎn)發(fā)給本地的網(wǎng)絡(luò)棧TABLE：對packet_out消息執(zhí)行流表動作IN_PORT:從入端口發(fā)出丟棄（Drop）對沒有明確指出處理動作的流表項，交換機(jī)將會對其所匹配的所有數(shù)據(jù)包進(jìn)行默認(rèn)丟棄。可選動作轉(zhuǎn)發(fā)（Forward）交換機(jī)可選支持將數(shù)據(jù)包轉(zhuǎn)發(fā)給如下的虛擬端口NORMAL：利用交換機(jī)所能支持的傳統(tǒng)轉(zhuǎn)發(fā)機(jī)制處理數(shù)據(jù)包FLOOD：遵照最小生成樹從設(shè)備出端口洪泛發(fā)出，但不包括入端口排隊（Enqueue）交換機(jī)將數(shù)據(jù)包轉(zhuǎn)發(fā)到某個出端口對應(yīng)的轉(zhuǎn)發(fā)隊列中，便于提供Qos支持修改域（ModifyField）交換機(jī)修改數(shù)據(jù)包的包頭內(nèi)容，具體包括：設(shè)置VLAN ID、VLAN優(yōu)先級，剝離VLAN頭修改源MAC地址、目的MAC地址修改源IPv4地址、目的IPv4地址、Tos