Transport Layer

Size: px

Start display at page:

Download "Transport Layer"

振秘
4 years ago
Views:

1 網路虛擬化架構之研究 Network Virtualization: Architecture and Initial Prototype Professor Chu-Sing Yang Electrical Engineering Department of National Cheng Kung University

2 Outline 為何需要網路虛擬化? 何謂網路虛擬化? 建置於 TANet / TWAREN 上的虛擬化網路實例 L3 Tunnel: Capsulator Testbed@TWISC Cross-Site Experiment Network 目前已建置之虛擬化網路測試平台 Taiwan Integrated Reasearch Network IGENI Network Testbed (TW-USA) Q&A 2

3 為何需要網路虛擬化 1/2 對於網路的研究學者在從事網路相關議題的研究或是新功能的研發上, 普遍遭遇的困難在於測試環境的建立, 以及如何模擬真實世界中的流量特性來測試所發展的系統或演算法現今網路研究大多是採系統模擬或是以 Benchmark 的方式來評估其效能, 以現今網路的複雜度與應用的多元化來看, 這些模擬結果有多少能反應真實狀況, 一直是備受質疑的問題 3

4 為何需要網路虛擬化 2/2 NCHC 在 2003 年規劃 TWAREN 研究網路時, 曾經利用建置的光網路規劃出獨立的實驗網路, 提供教師研究生與研究人員進行新的網路協定測試獨立的網路不會影響或干擾正常網路的流量 ; 但是相對的無法提供此協定與真實網路的互動及影響 4 因此對於研究學者而言如何在工作網路 (Production network) 中提供實驗網路環境, 以驗證新的網路協定或是新的應用程式 / 服務是亟需的需求

5 何謂網路虛擬化網路虛擬化能將研究中的系統, 實際導入真實網路運作, 並於此同時直接收集相關的資料, 這樣的數據與結果除了實用性外還兼有極高的學術價值虛擬化的實驗網路是建置在現有之工作網路上, 除能節省額外建置線路的成本, 還具備可調整性和即時性, 能建置專屬實驗環境和驗證新的想法 5

6 網路處理設備三要素虛擬化網路仍與實體網路一樣, 須具備組成基本網路的三個要素 : 處理資料傳輸部分的 Data Plane 處理控制信號與機制的 Control Plane 負責網路管理與政策性指導的 Management Plane 6

7 建置虛擬化網路可能遇到的問題須在不增加實體線路的前提下切割出虛擬網路虛擬化的網路不能影響到一般網路的使用位於各校實驗室內部的網路為 L2 環境, 校園網路為 L3 環境, 隨著要連接的單位越多, 不同 Layer 的網路會增加建置的困難度 7

8 Outline 為何需要網路虛擬化? 何謂網路虛擬化? 建置於 TANet / TWAREN 上的虛擬化網路實例 L3 Tunnel: Capsulator Testbed@TWISC Cross-Site Experiment Network 目前已建置之虛擬化網路測試平台 Taiwan Integrated Reasearch Network IGENI Network Testbed (TW-USA) Q&A 8

9 使用 Capsulator 建立 TANet 上的 L3 Tunnel Capsulator 可建立 LAN 與 LAN 之間的聯繫, 讓封包能以 MAC-in-IP tunnel 的方式傳送對於不同學校間的實驗室, 可藉此將實驗室內部的區域網路跨越 L3 環境的限制形成一個 Big LAN 環境 Capsulator 具有兩種 PORT, 分別接到 WAN 和 LAN 端將收到 / 欲送出封包進行封裝和解封裝 : Border Port: connect to the local network Tunnel Port: communicate with other Capsulators 9

10 How it Works Typically, the capsulator can be used to interconnecting two local area networks cross Internet. 10

11 Encapsulation Populate the static tunneling header TAG Frame Data Capsulator Continuously encapsulate and forward Ethernet frames read () Raw Socket Linux Kernel Raw Socket connect () write () Wait for an Ethernet frame to arrive NIC 1 Border Port NIC 0 Tunnel Port Send the MAC-in-IP packet to tunneling endpoint 11 Traffic from OpenFlow switch

12 Decapsulation TAG (self) check TAG Check header and payload Capsulator Frame Data Continuously decapsulate and send nacked packets write () Linux Kernel read () Raw Socket Raw Socket Forward to any border port which should receive this packet's data NIC 1 Border Port NIC 0 Tunnel Port Waiting for tunnel port traffic 12 Packet from Internet

13 實作情境 A B OpenFlow Network 13 C

14 Problem: Forwarding??!! We can ping a host at C from a host at A! Why? Capsulator B changes the tag and forwards it to another Capsulator. Packet Format: [MAC][IP][tag][MAC-in-IP payload] 14

15 Traffic Isolation Problem 15

port thread1 Border port thread2 Listen the MAC-in-IP packets eth0

16 The Problem comes from.. User space Kernel space Tunnel port thread NCHC Border port thread1 Border port thread2 Listen the MAC-in-IP packets eth0 Tunnel port Listen all the packets from border port eth1 Border port Both threads listen the common physical interface 16

17 Possible Solution: Using Open vswitch Open vswitch 是一個支援 OpenFlow 的 multilayer virtual switch, 藉由 Open vswitch 提供的虛擬化功能可以在多個 Capsulator 的環境下達到 Traffic Isolation 17

18 Possible Solution: Capsulator + OpenvSwitch 1/2 User space Kernel space Tunnel port thread NCHC Border port thread1 Border port thread2 Open vswitch kernel module eth0 Tunnel port tap0 Virtual border port eth1 border port 18

Using the OpenFlow-enabled Open vswitch to isolate traffic in both slices eth0,

19 Possible Solution: Capsulator + OpenvSwitch 2/2 Capsulator OvS-openflow daemon OvS-controller 19 eth0 tap0 flow-based switching Open vswitch kernel module eth1 Using the OpenFlow-enabled Open vswitch to isolate traffic in both slices eth0, eth1: physical interfaces tap0: virtual interface system call interface bridge interface

20 Outline 為何需要網路虛擬化? 何謂網路虛擬化? 建置於 TANet / TWAREN 上的虛擬化網路實例 L3 Tunnel: Capsulator Testbed@TWISC Cross-Site Experiment Network 目前已建置之虛擬化網路測試平台 Taiwan Integrated Reasearch Network IGENI Network Testbed (TW-USA) Q&A 20

Testbed@TWISC Testbed@TWISC 是基於 Utah Emulab

21 是基於 Utah Emulab 的仿真網路測試平台, 目前已有超過 5000 個實驗及將近 1000 個註冊使用者在測試平台上進行網路及資安實驗 21

22 實驗環境建置 Testbed 後端平台依使用者上傳之設定分配 Node 資源和準備使用者設計之網路環境 Web-GUI Script upload 使用者依實驗需求設計網路拓樸及進行環境設定使用者即可存取測試平台中仿真網路環境下之實驗節點 (PC) 進行相關實驗 Topology 22

23 System Concept 23

24 24

25 1/2 是在成功大學建立的第二個仿真網路測試平台, 目標是整合 NetFPGA 板卡及高速網路環境, 提供使用者開發及測試虛擬化網路藉由建立在 TANet/TWAREN 上的虛擬化網路, 可將的實驗網路與目前連結, 實現實驗網路的 LAN-Extension 25

26 2/2 使用者可自行管理分配到的資源 manageability Isolation Testbed 每一個仿真網路中的連線皆使用不同的 VLAN 予以區隔 NetFPGA integration 提供整合於實體機器的 NetFPGA 開發資源提供 large-scale network topology 的實驗環境 Scalability Storability 使用者可以儲存自己的實驗與設計 26

27 建置虛擬網路須考量的因素由於測試平台的設備是分散在國網中心南群成功大學電機系及奇美樓機房, 需要在能夠不影響目前 Production Network 的情況下建置專屬實驗網路 OpenFlow Protocol 仍在實驗開發階段,IP Sec 則須考慮各連線單位的網路政策及設定後才能使用最後決定建置的方式是透過 TANet 建立 L3 Tunnal 或使用 TWAREN VPLS VPN 服務 27

28 L3 Tunnel Capsulator 1/2 Capsulator TANet L3 Tunnel Capsulator Testbed at TWISC Packets are transmitted with a MAC-in-IP tunnel between two Testbeds. Capsulator It virtually connects ports which are assigned the same tag value. Testbed at NCKU.EE 28

29 L3 Tunnel Capsulator 2/2 En-capsulate / de-capsulate 的效能取決於 Capsulator 主機的硬體, 在封包數量多的時候會影響效能 SRC Node DST Node Throughput Avg. NCKU Point-to-Point@Lab Mbps NCKU NCHC Mbps Using general PC as Capsulator CPU: Pentium 4-3.0G RAM: 512MB Test Packet size: 64 bytes Total test volume: 1 Gigabytes bwping -b <speed> -s 46 -v r 5 <DST IP> (single thread) 29

30 TWAREN VPLS VPN 1/2 Testbed at TWISC TANet L3 Tunnel Capsulator Using VPLS technique, users will be able to connect their nodes through TWAREN backbone as a L2 environment. Testbed at NCKU.EE 30

31 TWAREN VPLS VPN 2/2 Testbed at TWISC TANet L3 Tunnel Capsulator TWAREN VPLS VPN Testbed at NCKU.EE 31

Network Virtualization on Testbed@TWISC Testbed 的虛擬網路能基於真實網路環境所建立之虛擬網路能在不影響 Production Network

32 Network Virtualization on Testbed 的虛擬網路能基於真實網路環境所建立之虛擬網路能在不影響 Production Network 的情況下進行網路實驗藉由此一虛擬網路建立之 Cross-Site 的連線可提供使用者建立 intra- and inter-network 的實驗 32 未來將朝向提供使用者可調整真實距離 / 延遲的仿真網路為目標進行研究與開發

33 Cross-Site 實驗情境 Reference OpenFlow Packet Designs 1. OpenFlow Generator Switch Switch 2. Reference NIC 3. Reference Router 4. Packet Generator 5. Your Design 33

Cross-Site 實驗範例 number of conncetions 500000 400000 numbers 300000 200000 ICMP

second) none netfpga Hardware Attacker: NetFPGA packet generator This is an

34 Cross-Site 實驗範例 number of conncetions numbers ICMP Ping Packets (1Gbps) rate (per second) none netfpga Hardware Attacker: NetFPGA packet generator This is an example experiment with Testbed@NCKU.EE s attack traffic across TAWREN to Testbed@TWISC. 34

35 Future Work: To Support 10G Environment for Network Emulation (in schedule) 35

36 Outline 為何需要網路虛擬化? 何謂網路虛擬化? 建置於 TANet / TWAREN 上的虛擬化網路實例 L3 Tunnel: Capsulator Testbed@TWISC Cross-Site Experiment Network 目前已建置之虛擬化網路測試平台 Taiwan Integrated Reasearch Network IGENI Network Testbed (TW-USA) Q&A 36

37 Taiwan Integrated Research Network 目前在國網中心台灣科技大學中央大學成功大學高雄應用科技大學各單位分別有 OpenFlow NetFPGA 及 Emulab 的研究團隊和各自的實驗網路研究團隊可藉由建置在 TANet 及 TWAREN 上的虛擬化實驗網路共享研究資源及進行研究上的合作 37

38 Taiwan Integrated Research Network 38

39 IGENI Network Testbed (TW-USA) GENI 為美國國科會 (NSF) 所贊助之研究計畫, 主要為 Next-Generation Internet 之發展 igeni 為美國西北大學 icair 研究中心推動之國際合作計畫, 目的為讓更多單位加入 GENI 連線共同進行研究我國針對下一代網際網路之相關研究及測試平台, 相較於世界其它網路先進國家目前還在起步階段期望能藉由與各單位的合作, 共同為下一代網際網路之發展進行準備, 以迎接未來的挑戰 39

40 IGENI Network Testbed (TW-USA) (Cooperate Partner/Unit) igeni VLAN 2782,462 Connections: 40 icair - STARLIGHT NCHC - STARLIGHT U of MAX - STARLIGHT NCKU - TWAREN KUAS - TWAREN

41 Dynamic Provisioning for the igeni Cluster D Network 41

42 Thank you! 42

43 Appendix 43 NCKU EE ITlab

幻灯片 1

幻灯片 1 SDN 和分布式网络虚拟化设计 QQ : 67278439 新浪微博 :@ 盛科张卫峰 Topic SDN 对云计算网络的价值 SDN 网络虚拟化方案一览从 OVN 看分布式网络虚拟化设计基于硬件 SDN 交换机的网络虚拟化 SDN 是一种思想 SDN 不是一种具体的