梁琼瑶,秦 华,刘文懋

1(北京工业大学 信息学部,北京 100124)

2(北京神州绿盟信息安全科技股份有限公司,北京 100089)

1 前言

传统网络中部署安全设备往往受限于网络物理拓扑的紧耦合性,且部署后的安全设备功能相对固定,不易扩容.当前特别是在云计算环境下,面对快速、多变、持续性的安全威胁,亟需具有快速、按需而变能力的安全防护方案.2012年Gartner机构提出软件定义安全[1](Software Defined Security,SDS),通过分离安全控制平面和数据平面,将网络安全设备与其接入模式、部署方式进行解耦,底层通过网络功能虚拟化(Network Function Virtualization,NFV)将安全设备虚拟化形成安全资源池,顶层通过软件定义的方式进行自动化管理,实现新业务安全需求的快速开发和部署.

基于SDS构建的安全服务功能链可动态、灵活的提供各种安全服务.IETF SFC工作组的草案[2,3]中对服务功能链的定义、架构、使用场景、路由转发、协议及报文格式等进行了详细阐述.文献[4,5]主要描述了在NFV架构下对服务功能链资源调度工作,充分考虑了对网络资源的优化利用,但未提及如何构建服务功能链.文献[6]提出了基于SDN/NFV的安全服务链架构,描述了SDN,NFV与安全服务链的关系,并通过组合虚拟安全应用模块来构建安全服务链,但未具体描述安全服务链的实现以及安全资源调度的问题.

综上,本文基于SDS的服务功能链框架,研究在虚拟网络环境中动态编排部署安全服务功能链,主要讨论了安全服务功能链的构建、虚拟安全设备的调度以及流量调度方……