基于安全分級的網(wǎng)絡(luò)切片備份與重映射方法研究

孫志勇，季新生，游偉，袁泉

?

基于安全分級的網(wǎng)絡(luò)切片備份與重映射方法研究

孫志勇，季新生，游偉，袁泉

（國家數(shù)字交換系統(tǒng)工程技術(shù)研究中心，河南 鄭州 450002）

在未來5G核心網(wǎng)虛擬化環(huán)境中通用的X86服務(wù)器使攻擊者容易發(fā)掘漏洞，底層網(wǎng)絡(luò)也更易感染和傳播病毒，進而造成單個物理節(jié)點失效問題，嚴重影響網(wǎng)絡(luò)切片的服務(wù)性能。首先在現(xiàn)有節(jié)點備份和重映射應(yīng)對方案基礎(chǔ)上，考慮節(jié)點間的安全約束關(guān)系對網(wǎng)絡(luò)安全性能的影響，提出網(wǎng)絡(luò)切片中虛擬節(jié)點與物理節(jié)點的安全參數(shù)評估模型，建立虛擬節(jié)點與物理節(jié)點之間的安全約束關(guān)系；然后基于安全參數(shù)評估模型選出備份虛擬節(jié)點并設(shè)計備份映射方法；最后在滿足網(wǎng)絡(luò)時延要求下設(shè)計節(jié)點重映射機制。實驗結(jié)果表明，所提方法能夠在滿足網(wǎng)絡(luò)切片的服務(wù)性能要求下，顯著提升網(wǎng)絡(luò)的入侵容忍能力。

網(wǎng)絡(luò)切片；服務(wù)功能鏈映射；備份；重映射；可靠性

1 引言

第五代移動通信（5G）系統(tǒng)不僅用于人與人之間的通信，還用于人與物以及物與物之間的通信，實現(xiàn)真正的“萬物互聯(lián)”。國際標(biāo)準(zhǔn)組織3GPP已經(jīng)定義了70多種5G的SA1需求文件[1]，主要分為3種場景，即增強移動寬帶、海量機器類通信和超可靠低時延通信，5G需要針對不同的應(yīng)用場景提供不同的服務(wù)。5G核心網(wǎng)利用網(wǎng)絡(luò)功能虛擬化（NFV, network function virtualization）/軟件定義網(wǎng)絡(luò)（SDN, software defined network）等虛擬化技術(shù)構(gòu)造不同的網(wǎng)絡(luò)切片以滿足不同的業(yè)務(wù)場景需求，同時提高了網(wǎng)絡(luò)靈活性和資源的利用效率[2]。基于虛擬化技術(shù)的網(wǎng)絡(luò)切片部署過程可抽象服務(wù)功能鏈（SFC, service function chain）映射模型[3-5]，在虛擬化云環(huán)境中，服務(wù)的實現(xiàn)需要一組有序的網(wǎng)絡(luò)功能，該有序的功能集合被稱為SFC[6-7]。NFV將網(wǎng)元功能與專屬硬件平臺解耦，使服務(wù)提供商能夠在通用分布式云平臺上動態(tài)實例化SFC并向租戶提供服務(wù)[8]。

但網(wǎng)絡(luò)虛擬化環(huán)境下底層網(wǎng)絡(luò)通用的X86物理服務(wù)器使攻擊者容易發(fā)掘系統(tǒng)漏洞，底層物理網(wǎng)絡(luò)也更易感染和傳播病毒，可能導(dǎo)致單個物理節(jié)點失效，失效物理節(jié)點承載的所有虛擬網(wǎng)絡(luò)功能（VNF, virtual network function）和這些VNF所在的SFC將無法正常提供服務(wù)，大大影響用戶的使用體驗。攻擊者發(fā)動攻擊主要分為3個階段[9]：探測系統(tǒng)信息、挖掘系統(tǒng)漏洞、執(zhí)行攻擊，具體過程如下。①探測系統(tǒng)信息階段：攻擊者根據(jù)網(wǎng)絡(luò)信息確定攻擊目標(biāo)并收集目標(biāo)系統(tǒng)的相關(guān)信息；②挖掘系統(tǒng)漏洞階段：攻擊者從收集到的目標(biāo)信息中提取可用的漏洞信息；③執(zhí)行攻擊階段：利用系統(tǒng)漏洞獲取系統(tǒng)的控制權(quán)，從而利用攻擊工具發(fā)動攻擊使系統(tǒng)無法正常工作。

對攻擊者來說，挖掘系統(tǒng)漏洞階段往往需要花費大量時間，而且可能無法成功挖掘到系統(tǒng)的漏洞。為了使節(jié)點免于潛在的網(wǎng)絡(luò)攻擊，確保信息的安全，用戶往往選擇將SFC映射在有特定安全級別的物理網(wǎng)絡(luò)資源上，如虛擬網(wǎng)絡(luò)節(jié)點需要映像在具有一定數(shù)據(jù)加密級別和防火墻級別的物理節(jié)點上[10]。

現(xiàn)有針對單節(jié)點失效問題的研究主要有可生存性的虛擬網(wǎng)映射（SVNE, survivable virtual network embedding）方法[11-12]。目前SVNE方法主要分為兩類。

1) 節(jié)點備份[13-16]：在映射階段，提前為該SFC提供備份的物理資源，若SFC失效可迅速切換至備份物理資源上，從而保證服務(wù)的延續(xù)性，但該類方法存在備份資源開銷過大、物理資源利用率低等局限性。

2) 重映射[17-19]：當(dāng)物理節(jié)點失效時，將其上承載的VNF以及相關(guān)的虛擬鏈路進行重映射，從而保證SFC可以為用戶繼續(xù)提供正常的服務(wù)，但由于移動通信系統(tǒng)往往對時延具有嚴格的限制，而對虛擬節(jié)點進行重映射將造成一定時間的服務(wù)中斷，無法很好地滿足網(wǎng)絡(luò)切片的業(yè)務(wù)需求。

然而，上述SVNE方法均假設(shè)網(wǎng)絡(luò)中的所有節(jié)點都安全，未考慮實際應(yīng)用環(huán)境的安全需求，如安全需求高的虛擬節(jié)點映射至安全性低的物理節(jié)點會增加節(jié)點被攻擊失效的風(fēng)險。本文參考虛擬網(wǎng)絡(luò)中節(jié)點映射的信任機制研究[10]，針對網(wǎng)絡(luò)切片存在的物理節(jié)點攻擊失效問題，研究虛擬節(jié)點和物理節(jié)點之間的安全約束關(guān)系對網(wǎng)絡(luò)入侵容忍能力的影響，提出了一種基于安全分級的網(wǎng)絡(luò)切片備份與重映射方法。首先，在SFC映射之前，建立安全參數(shù)評估模型并對VNF的安全需求和物理節(jié)點的安全等級進行數(shù)值評分，根據(jù)VNF的安全需求大小選出部分VNF進行備份，減少備份VNF的數(shù)量；然后，在SFC映射時，按照虛擬節(jié)點和物理節(jié)點的安全參數(shù)值大小進行映射約束，降低網(wǎng)絡(luò)中物理節(jié)點失效概率；最后，設(shè)計非備份節(jié)點的重映射方法，在滿足網(wǎng)絡(luò)切片時延要求下保證切片的高可靠性。

2 網(wǎng)絡(luò)模型與安全參數(shù)的評估

2.1 網(wǎng)絡(luò)模型

SFC映像模型如圖1所示。

圖1 SFC映像模型

1) 底層物理網(wǎng)絡(luò)（SN, substrate network）

2) 服務(wù)功能鏈

3) SFC映射

2.2 節(jié)點的安全參數(shù)評估

則安全等級為高，否則安全等級為低。由節(jié)點安全參數(shù)評估模型可知，安全等級為高的這部分虛擬節(jié)點相對功能比較關(guān)鍵、相鄰節(jié)點和鏈路多、請求資源大，節(jié)點失效后若采用重映射方法難以保證在網(wǎng)絡(luò)要求時間內(nèi)成功完成映射，故采用備份映射方案。安全等級為低的虛擬節(jié)點則可采用重映射方案，以減少網(wǎng)絡(luò)的物理資源開銷。

3 基于安全分級的虛擬節(jié)點備份方法

高安全等級的虛擬節(jié)點失效時，需要能夠迅速啟用備份虛擬機繼續(xù)提供服務(wù)，本節(jié)主要對備份映射過程建立數(shù)學(xué)模型并設(shè)計算法流程。

3.1 備份映射方法

3.2 備份映射模型

1) 變量說明

2) 約束條件

虛擬節(jié)點映射約束為

式(6)表示一個虛擬節(jié)點只能完整地映射到一個物理節(jié)點上；式(7)表示同一SFC中的不同虛擬節(jié)點不能映射到同一物理節(jié)點上；式(8)表示虛擬節(jié)點安全需求值小于或等于其映射至物理節(jié)點的安全等級值；式(9)表示一個物理節(jié)點上承載的所有虛擬機的CPU資源需求之和不能超過該物理節(jié)點的CPU資源。

虛擬鏈路映射約束為

3) 目標(biāo)函數(shù)

在滿足上述SFC的資源請求和安全需求條件下，以最小化映射成本為目標(biāo)。

SFC映射成本主要分為兩部分：虛擬節(jié)點映射調(diào)用的虛擬機資源成本和虛擬鏈路映射分配的物理鏈路帶寬資源成本。其中，調(diào)用虛擬機成本包括物理主機CPU資源開銷和安全成本。通過調(diào)節(jié)參數(shù)和可調(diào)節(jié)目標(biāo)函數(shù)中資源開銷比重。

3.3 備份映射算法

以式(4)~(12)為約束條件，以式(13)最小化SFC的映射成本為目標(biāo)，設(shè)計SFC備份映射算法，算法流程如下。

算法1 基于安全分級的備份映射算法

8) continue

9) end if

10) end for

12) end if

13) end for

15) end if

16) end for

22) 將集合中元素按照跳數(shù)的大小進行升序排列；

26) continue //若經(jīng)過，則不選擇該條路徑，查看下一條物理路徑

27) end if

28) end if

32) end if

33) end for

34) end for

35) end for

在本文服務(wù)功能鏈部署模型中，設(shè)虛擬節(jié)點數(shù)量為，底層物理網(wǎng)絡(luò)節(jié)點數(shù)量為。在節(jié)點映射階段，首先虛擬節(jié)點按照安全需求參數(shù)選取高安全等級節(jié)點，優(yōu)先滿足高安全需求節(jié)點及備份節(jié)點的映射要求，且依次選取已映射節(jié)點相鄰較高安全需求的未映射節(jié)點進行映射，節(jié)點映射的計算復(fù)雜度為()，在鏈路映射階段，根據(jù)最短路徑算法思想選取符合要求的最短路徑，鏈路映射的計算復(fù)雜度為(2)，故映射算法的計算復(fù)雜度為(2)。

4 基于安全分級的虛擬節(jié)點重映射方法

對于低安全等級的虛擬節(jié)點失效時需要進行重映射過程，本節(jié)主要對重映射過程建立數(shù)學(xué)模型并設(shè)計算法流程。

4.1 重映射方法

虛擬節(jié)點的重映射方法：當(dāng)安全等級為低的虛擬節(jié)點失效時，如圖2中的虛擬節(jié)點a失效，可將虛擬節(jié)點a重映射至物理節(jié)點E。為保證不影響用戶使用體驗，可在不滿足式(4)條件下進行對虛擬機的重映射：一是該節(jié)點本身安全需求度不高，二是減少重映射算法收斂時間。

4.2 重映射模型

1) 變量說明

2) 約束條件

3) 映射目標(biāo)

在有限映射時間內(nèi)仍以最小化SFC的映射成本為目標(biāo)。

因重映射過程不考慮安全約束，且重映射虛擬節(jié)點的節(jié)點物理資源是固定的，因此本文將最小化虛擬鏈路的帶寬資源開銷作為重映射的目標(biāo)函數(shù)。

4.3 重映射算法

以式(5)~式(7)、式(9)~式(12)、式(14)為約束條件，以式(15)最小化SFC的映射成本為目標(biāo)，設(shè)計節(jié)點重映射算法，算法流程如下。

算法2 基于安全分級的虛擬節(jié)點重映射算法

輸出 虛擬機重映射方案

8) end if

9) end for

10) end for

11) end if

5 仿真實驗

5.1 實驗環(huán)境

本實驗采用GT-ITM工具生成SFC及底層物理網(wǎng)絡(luò)拓撲，采用C++編程語言實現(xiàn)備份和映射算法，并利用Matlab工具對實驗結(jié)果進行分析。本次實驗選取物理網(wǎng)絡(luò)拓撲如圖3所示，其中，物理節(jié)點有15個，物理鏈路24條。物理網(wǎng)絡(luò)中的節(jié)點計算資源（300≤≤500）、鏈路的帶寬資源（150≤≤350）為固定值，保證SFC映射過程中物理拓撲基本環(huán)境一致。每條SFC中虛擬節(jié)點數(shù)目服從[4, 6]的整數(shù)隨機均勻分布，物理節(jié)點的安全等級服從[0.3, 0.9]之間的隨機均勻分布，虛擬節(jié)點安全需求服從[0.2, 0.8]之間的隨機均勻分布。安全分級參數(shù)=0.7。

圖3 物理網(wǎng)絡(luò)拓撲

實驗以文獻[12]、文獻[13]和本文提出的方法進行對比。其中，文獻[12]是對所有的虛擬節(jié)點進行備份映像，為便于描述，本文用SVNE表示該方法；文獻[13]是對關(guān)鍵虛擬節(jié)點進行映射，本文用Pio-SVNE（pivotal-SVNE）表示該方法；基于安全分級的備份方法用Sec-SVNE（Security-SVNE）表示。

5.2 實驗結(jié)果分析

實驗從SFC的映射資源開銷、映射成功率和網(wǎng)絡(luò)安全性能方面對SVNE，Pio-SVNE和Sec-SVNE這3種方法的性能進行對比分析。

5.2.1 SFC的映射資源開銷

設(shè)置資源需求強度Traffic服從[100,500]的均勻分布，SFC的節(jié)點計算資源與帶寬資源需求與Traffic成正比。圖4的實驗仿真是隨著SFC的資源需求強度變化，不同備份映射方法的資源開銷結(jié)果，其中資源開銷為

由圖中可以看出，3種方案中的相同Traffic下資源開銷Pio-SVNE

5.2.2 SFC的映射成功率

設(shè)置每次SFC請求的計算資源服從[3,8]的整數(shù)隨機均勻分布，帶寬資源服從[1,6]的整數(shù)隨機均勻，單位時間內(nèi)SFC的映射請求數(shù)量服從[0,120]的整數(shù)隨機均勻。圖5給出單位時間內(nèi)的映射請求數(shù)量與SFC映射成功率的關(guān)系，由圖中結(jié)果分析可知，相同單位時間的映射請求量，請求成功率SVNE≤Sec-SVNE≤Pio-SVNE，在請求數(shù)量大于40時SVNE的映射成功率快速下降，物理網(wǎng)絡(luò)承載接近飽和。單位時間SFC請求數(shù)量到120時，Sec-SVNE和Pio-SVNE方法映射的物理網(wǎng)絡(luò)都接近飽和。而Sec-SVNE方式在映像量為120左右時，比Pio-SVNE方法映射成功率降低了5%~8%，平均映像成功率下降了3.77%。

圖5 映射成功率對比

5.2.3 網(wǎng)絡(luò)安全性能分析

由上文可知，對攻擊者來說，完成攻擊挖掘系統(tǒng)漏洞階段往往需要花費大量時間，本節(jié)實驗把物理節(jié)點可持續(xù)承受漏洞挖掘的時間作為度量節(jié)點安全性能的標(biāo)準(zhǔn)，物理節(jié)點的安全等級與節(jié)點可承受漏洞挖掘攻擊的難度和時間成正比，所以將節(jié)點漏洞挖掘時間表示為

其中，T表示攻擊者對一個SFC請求中高安全等級需求的虛擬節(jié)點成功進行漏洞挖掘需要的平均時間，t為一個正數(shù)常數(shù)，n為此SFC中高安全等級節(jié)點數(shù)目。令t=1，仿真實驗得到第i個SFC映射請求對應(yīng)的節(jié)點漏洞挖掘時間T如圖6所示。對實驗數(shù)據(jù)計算表明，Sec-SVNE的映射方法比Pio-SVNE的高安全需求節(jié)點的漏洞挖掘時間平均提高了23.02%，明顯提高了網(wǎng)絡(luò)的入侵容忍能力。

6 結(jié)束語

對于未來5G核心網(wǎng)虛擬化云環(huán)境中單個物理節(jié)點失效問題，目前主要有節(jié)點備份方法和重映射方法，但當(dāng)前的解決方案未考慮虛擬節(jié)點與物理節(jié)點之間的安全映射關(guān)系，本文提出基于安全分級的網(wǎng)絡(luò)切片節(jié)點備份與重映射方法。首先建立虛擬節(jié)點的安全需求參數(shù)和物理節(jié)點的安全等級參數(shù)的評估模型；然后基于安全需求參數(shù)選擇關(guān)鍵虛擬節(jié)點進行備份以減少物理資源開銷，建立虛擬節(jié)點與物理節(jié)點的安全約束映射以增加關(guān)鍵虛擬節(jié)點攻擊失效的難度；最后設(shè)計非備份節(jié)點的重映射方法保證節(jié)點失效造成服務(wù)中斷時間滿足網(wǎng)絡(luò)時延要求。仿真實驗表明，本文的sec-SVNE方法雖比Pio-SVNE方法平均資源開銷提高了6.13%，平均映像成功率下降了3.77%，但攻擊者對關(guān)鍵節(jié)點的漏洞挖掘時間成本提高了23.02%，所以該方案能夠在滿足網(wǎng)絡(luò)切片的可靠性和時延要求下較大地提升網(wǎng)絡(luò)的入侵容忍能力。

[1] 3GPP SA. 3rd generation partnership project service and system aspects[EB/OL]. http://www. 3gpp.org/specifications-groups/.2017.9.

[2] ORDONEZ-LUCENA J, AMEIGEIRAS P, LOPEZ D, et al. Network slicing for 5G with SDN/NFV: concepts, architectures, and challenges[J]. IEEE Communications Magazine, 2017, 55(5): 80-87.

[3] CHOYI V K, ABDEL-HAMID A, SHAH Y, et al. Network slice selection, assignment and routing within 5G networks[C]//Standards for Communications and NETWORKING. 2016: 1-7.

[4] CHATRAS B, KWONG U S T, BIHANNIC N. NFV enabling network slicing for 5G[C]//Innovations in Clouds, Internet and Networks. 2017.

[5] ORDONEZ-LUCENA J, AMEIGEIRAS P, LOPEZ D, et al. Network slicing for 5G with SDN/NFV: concepts, architectures, and challenges[J]. IEEE Communications Magazine, 2017, 55(5):80-87.

[6] HAN B, GOPALAKRISHNAN V, JI L, et al. Network function virtualization: challenges and opportunities for innovations[J]. IEEE Communications Magazine, 2015, 53(2):90-97.

[7] HERRERA J G, BOTERO J F. Resource allocation in NFV: a comprehensive survey[M]. IEEE Press, 2016 , 13 (3) :518-532.

[8] BASTA A, KELLERER W, HOFFMANN M, et al. A virtual SDN-enabled LTE EPC architecture: a case study for S/P gateways functions[C]//IEEE Future Networks and Services. 2013: 1-7.

[9] SEXTON J, STORLIE C, NEIL J. Attack chain detection statistical analysis and data mining[J]. The ASA Data Science Journal, 2015, 8(5-6): 353-363.

[10] 龔水清, 陳靖, 黃聰會, 等. 信任感知的安全虛擬網(wǎng)絡(luò)映射算法[J]. 通信學(xué)報, 2015, 36(11):180-189.

GONG S Q, JING J, HUANG C H, et al. Trust-aware secure virtual network embedding algorithm[J]. Journal on Communications, 2015, 36(11):180-189.

[11] HERKER S, KHAN A, AN X. Survey on survivable virtual network embedding problem and solutions[C]// International Conference on Networking and Services (ICNS).2013:99-104.

[12] RAHMAN M R, BOUTABA R. SVNE: survivable virtual network embedding algorithms for network virtualization[J]. IEEE Transactions on Network & Service Management, 2013, 10(2):105-118.

[13] CHOWDHURY S R, AHMED R, KHAN M A, et al. Protecting virtual networks with drone[C]//Network Operations and Management Symposium (NOMS), IEEE/IFIP. 2016: 78-86.

[14] CHOWDHURY S R, AHMED R, KHAN M M A, et al. Dedicated protection for survivable virtual network embedding[J]. IEEE Transactions on Network and Service Management, 2016, 13(4): 913-926.

[15] ZHANG Q, ZHANI M F, JABRI M, et al. Venice: reliable virtual data center embedding in clouds[C]//INFOCOM, Proceedings IEEE. 2014: 289-297.

[16] JARRAY A, KARMOUCH A. Cost-efficient mapping for fault-tolerant virtual networks[J]. IEEE Transactions on Computers, 2015, 64(3): 668-681.

[17] SHAHRIAR N, AHMED R, KHAN A, et al. ReNoVatE: recovery from node failure in virtual network embedding[C]. Network and Service Management (CNSM). 2016: 19-27.

[18] SHAHRIAR N, AHMED R, CHOWDHURY S, et al. Generalized recovery from node failure in virtual network embedding[J]. IEEE Transactions on Network & Service Management, 2017, (99): 1-1.

[19] YU H, ANAND V, QIAO C, et al. Migration based protection for virtual infrastructure survivability for link failure[C]//2011 and the National Fiber Optic Engineers Conference on Optical Fiber Communication Conference and Exposition (OFC/NFOEC). 2011: 1-3.

[20] 季新生, 趙碩, 艾健健, 等. 異構(gòu)備份式的虛擬網(wǎng)映射方法研究[J]. 電子與信息學(xué)報, 2018, 40(5): 1087-1093.

JI X S, ZHAO S, AI J J, et al. Research on heterogeneous-backup virtual network embedding[J]. JEIT, 2018, 40(5): 1087-1093.

Research on backup and remapping of network slice based on security classification

SUN Zhiyong, JI Xinsheng, YOU Wei, YUAN Quan

National Digital Switching System Engineering & Technological Research Center, Zhengzhou 450002, China

In the future virtual environment of 5G core network, the general X86 servers make the attackers exploit vulnerabilities more easily, the substrate network is infected with and spreads the virus more easily, and the problem of single physical node failed will affect the service performance of the network slice seriously. Based on the existing node backup and remapping solutions, considering the impact of security constraints among nodes on network security performance, a security parameter evaluation model of virtual nodes and physical nodes were proposed in the network slicing, and the security constraint relationship was established between the virtual nodes and the physical nodes. Then backup virtual nodes were selected based on the security parameters evaluation model, and backup mapping methods were designed. Finally, the node remapping mechanism was designed with satisfying the requirement of network delay. Experiments show that the proposed method can significantly improve network intrusion tolerance with satisfying the requirements of network slicing service performance.

network slice, service function chain mapping, backup, remapping, reliability

TN918.91

A

10.11959/j.issn.2096-109x.2018088

孫志勇（1994-），男，河南濮陽人，國家數(shù)字交換系統(tǒng)工程技術(shù)研究中心碩士生，主要研究方向為新一代移動通信網(wǎng)絡(luò)技術(shù)、移動通信網(wǎng)絡(luò)安全。

季新生（1968-），男，江蘇南通人，國家數(shù)字交換系統(tǒng)工程技術(shù)中心教授、博士生導(dǎo)師，主要研究方向為網(wǎng)絡(luò)空間安全、擬態(tài)安全。

游偉（1984-），男，江西豐城人，國家數(shù)字交換系統(tǒng)工程技術(shù)中心講師，主要研究方向為新一代移動通信網(wǎng)絡(luò)技術(shù)、移動通信網(wǎng)絡(luò)安全。

袁泉（1991-），男，山東青島人，國家數(shù)字交換系統(tǒng)工程技術(shù)博士生，主要研究方向為新一代移動通信網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)功能虛擬化。

2018-09-20；

2018-10-15

孫志勇，sunxdstu@163.con

國家自然科學(xué)創(chuàng)新研究群體基金資助項目（No.61521003）；國家重點研發(fā)計劃基金資助項目（No.2016YFB0801605）

The Foundation for Innovative Research Groups of the National Natural Science Foundation of China (No.61521003), The National Key R&D Program of China (No.2016YFB0801605)