面向多域网络的安全按需服务关键技术研究

This project performs research on key technologies of secure on-demand services for multi-domain network. The proposed research includes the following aspects: To improve scalability, controllability and manageability in multi-domain network using the architecture of software defined network; To configure and combine network services in a flexible and efficient way using the thought of service function chain; To improve effectiveness and flexibility of utilizing and configuring infrastructure in heterogeneous network using the technology of network virtualization. The research is mainly applied in multi-domain environment such as data center network and radio access network. Firstly, we propose a management and control model for multi-domain security isolation network, with the emphasis laid on creating a control architecture which is logically centralized and global optimized. Secondly, we aim to develop the mechanism for cross-domain security isolation, and authentication and authorization for intra-domain/ cross-domain data flow, based on the capability of access control of SDN and the technology of public key infrastructure. Thirdly, we aim to develop the mechanism for on-demand network resources allocation and the algorithm for cross-domain service scheduling based on service function chain. Fourthly, we research the adaptation techniques between SDN controller and the integration technology and application in virtual data center. Lastly, we aim to create a prototype of SDN controller and switch. The research results of the project can improve the capabilities of security control and on-demand service in multi-domain heterogeneous network and promote the interoperability of heterogeneous networks.

本项目研究面向多域网络的安全按需服务关键技术，研究内容如下：借鉴软件定义网络SDN架构解决多域网络扩展性差、可控可管性差问题；借鉴服务功能链实现网络服务的灵活高效配置与组合；借鉴网络虚拟化技术提高异构网络的利用效率和配置灵活性。主要考虑在数据中心网络、无线接入网络等多域环境中，基于SDN技术，提出一种多域安全隔离网络的管控模型，重点建立逻辑上集中化、具有全局优化能力的控制架构；基于SDN对数据流的接入控制技术并结合公钥基础设施技术实现域间安全隔离、域内和跨域数据流的认证和授权；基于服务功能链技术提出按需的网络资源分配方法和跨域服务业务调度模型及算法；研究SDN控制器与虚拟化数据中心网络设施的集成和应用的适配技术；提交SDN控制器和交换机原理样机。通过上述问题的研究，提高多域异构网络安全管控以及按需服务能力，促进异构网络互联互通。

项目围绕面向多域网络的安全按需服务关键技术开展研究，主要取得成果分为四方面。.（1）研究基于SDN技术的具有一定按需服务和安全管控能力的多域安全隔离网络的管控模型。提出一种面向服务的多域网络安全管控模型，实现从安全服务需求到底层安全功能部署。提出在数据中心部署安全服务链，实现安全功能动态组合。提出一种动态部署网络安全服务的系统架构及其方法，实现安全服务链的自动化编排与服务路径的自动化部署。提出水平和分层的多域网络安全服务编排框架，实现安全服务动态编排。.（2）研究多域安全隔离网络域内和跨域的授权、认证技术以及数据隔离技术。提出多域网络安全策略配置系统，实现可视化和自动化的安全规则配置方式，并提出安全功能之间策略异常处理机制。提出对网络中设备的域内与域间认证授权技术，实现数据中心网络的对域内接入设备和域间访问设备的安全认证。针对多数据中心的数据隔离需求，提出基于VPN的安全服务链设计，满足数据安全隔离与隐私保护的需求。.（3）研究满足网络按需服务要求、具有集中式全局优化能力的网络资源分配方法和业务调度策略与模型。提出3种适用于数据中心的网络资源分配方法，包括基于模糊推理系统的安全服务组合算法、针对端到端时延性能优化的服务功能链跨域编排方法及基于半马尔可夫过程服务资源分配算法。提出2种基于服务功能链的按需全局业务调度模型算法，包括基于灰色系统理论的服务组合与流量调配算法与基于能源感知的服务链部署算法。.（4）研究SDN控制器同现有数据中心网络设施的集成技术和应用的适配技术。搭建多数据中心网络仿真平台，提出基于SDN的多域网络安全管控模型与多域数据中心的集成适配技术，实现在多域数据中心环境下动态感知网络安全态势，实现跨域安全保障。.上述研究成果可提高多域异构网络安全管控以及按需服务能力，促进异构网络互联互通。.研制SDN控制器和SDN交换机原理样机各1台，形成原型样机技术测试报告3份，技术总结报告4份。共发表论文34篇，其中在IEEE Network、IEEE Transactions on Mobile Computing、IEEE Access等SCI期刊发表论文20篇，在GLOBECOM 2016、ICC 2017等国际学术会议上发表论文14篇。申请发明专利5项。提交IETF标准草案3项。参加研究工作的博士毕业3名，硕士毕业2名。