BR102014009429A2 - NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES - Google Patents
NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES Download PDFInfo
- Publication number
- BR102014009429A2 BR102014009429A2 BR102014009429-6A BR102014009429A BR102014009429A2 BR 102014009429 A2 BR102014009429 A2 BR 102014009429A2 BR 102014009429 A BR102014009429 A BR 102014009429A BR 102014009429 A2 BR102014009429 A2 BR 102014009429A2
- Authority
- BR
- Brazil
- Prior art keywords
- network
- virtualization system
- further characterized
- data virtualization
- edd
- Prior art date
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
resumo sistema e processo de virtualização de dados e funcionalidades de rede a presente invenção pertence ao setor tecnológico de sistemas de redes de computadores e refere-se, mais especificamente, no contexto de virtualização habilitadas a compartilhar uma infraestrutura de nuvem computacional. a invenção propõe um sistema que assegura confidencialidade e integridade a fim de possibilitar a oferta de virtualização de funções de rede, como por exemplo, roteamento, filtragem de pacotes, tradução de endereços, estabelecimento de túneis virtuais seguros, detecção e prevenção de intrusão, análise detalhada de fluxos de dados, entre outras funcionalidades atualmente disponíveis em equipamentos físicos e separados. além das questões de segurança da informação, a invenção utiliza técnicas para otimizar os canais de comunicação, distribuindo funcionalidades de maneira que somente o tráfego necessário seja transmitido, garantindo a máxima eficiência dos recursos de rede. a fim de implementar o sistema são utilizados algoritmos padronizados de criptografia e técnicas de manipulação de pacotes nos níveis de enlace (l2) e rede (l3) do padrão osi de referência de interconexão de redes de computadores. 1/1Abstract System and Process Data Virtualization and Network Features The present invention pertains to the technology sector of computer networking systems and relates more specifically to the context of virtualization enabled to share a cloud computing infrastructure. The invention proposes a system that ensures confidentiality and integrity in order to enable virtualization of network functions such as routing, packet filtering, address translation, establishment of secure virtual tunnels, intrusion detection and prevention, analysis. data streams, among other features currently available on separate physical equipment. In addition to information security issues, the invention uses techniques to optimize communication channels, distributing functionality so that only the necessary traffic is transmitted, ensuring maximum efficiency of network resources. In order to implement the system standard encryption algorithms and packet manipulation techniques are used at the link (l2) and network (l3) levels of the computer network interconnection reference osi standard. 1/1
Description
SISTEMA DE VIRTUALIZAÇÃO DE DADOS E FUNCIONALIDADES DEDATA VIRTUALIZATION SYSTEM AND DATA FUNCTIONALITIES
REDENETWORK
Setor tecnológico da invenção [01] A presente invenção pertence, de maneira geral, ao campo de sistemas de redes de computadores que utilizem os protocolos Ethernet, Internet Protocol versão 4 (IPv4) e Internet Protocol versão 6 (IPv6), e está inserida, mais especificamente, no contexto de virtualização de funções de rede, habilitando a transferência de informações com segurança, eficiência e elevada capacidade de gerenciamento.[01] The present invention belongs generally to the field of computer network systems using Ethernet, Internet Protocol version 4 (IPv4) and Internet Protocol version 6 (IPv6) protocols, and is inserted, more specifically, in the context of virtualization of network functions, enabling information transfer with security, efficiency and high manageability.
Estado da técnica conhecido [02] De modo geral, atualmente os equipamentos utilizados em redes de computadores são implementados sobre plataformas proprietárias de hardware e software, também chamadas de Appliances. Apesar de tais plataformas apresentarem grande otimização para as funcionalidades esperadas, o ciclo de inovação para o acréscimo de novas funcionalidades e também a ampliação rápida de capacidade exige ciclos demorados de compra e homologação de novos dispositivos.State of the art [02] In general, equipment used in computer networks is currently deployed on proprietary hardware and software platforms, also called Appliances. Although such platforms are highly optimized for expected functionality, the innovation cycle for adding new features as well as the rapid expansion of capacity requires lengthy cycles of purchase and approval of new devices.
[03] O cenário típico de instalação de acessos corporativos à Internet envolve funções de roteamento, filtro de pacotes, conversão de endereços, e ainda estabelecimento de túneis virtuais seguros. Instalações mais complexas podem adicionar funções de rede como detecção e prevenção contra intrusões, antivírus corporativo para correio eletrônico (e-mail) e acesso a sítios (Web) e arquivos, análise de fluxos de dados, balanceadores de tráfego, entre outras funcionalidades. Nesse contexto uma série de equipamentos físicos são necessários, na maioria das vezes numa relação de um para um. Ou seja, numa instalação simples é comum encontrar um equipamento para cada função: um roteador, um filtro de pacotes e conversor de endereços (firewall) e um concentrador de túneis seguros (VPN Gateway). São três equipamentos físicos diferentes, com escalabilidades, tempo de vida e provavelmente fabricantes diferentes. Essa arquitetura dificulta a oferta de serviços por demanda, na qual a qualquer momento os usuários podem exigir maiores larguras de banda, ou novos serviços, atributos que as nuvens computacionais modernas de infra estrutura como serviços (laaS) provêm.[03] The typical scenario for installing corporate Internet access involves routing, packet filtering, address translation, and the establishment of secure virtual tunnels. More complex installations can add network functions such as intrusion detection and prevention, corporate antivirus for e-mail (e-mail) and access to websites and archives, data flow analysis, traffic balancers, and more. In this context a range of physical equipment is required, most often in a one to one relationship. That is, in a simple installation it is common to find a device for each function: a router, a packet filter and address converter (firewall) and a secure tunnel concentrator (VPN Gateway). There are three different physical equipment, with scalability, lifetime and probably different manufacturers. This architecture makes it difficult to deliver on-demand services, where at any time users may require higher bandwidths, or new services, attributes that modern computing infrastructure as services (laaS) clouds provide.
[04] A fim de oferecer os benefícios das novas tecnologias de computação na nuvem, soluções de virtualização das funcionalidades anteríormente dispersas em plataformas proprietárias têm sido propostas. Como virtualização entende-se o uso de plataformas com larga escala comercial, como servidores e armazenamento de arquivos (Storages) encontrados em aplicações de tecnologia da informação, para executar múltiplas máquinas virtuais capazes de processar pacotes e desempenhar as funções de rede requeridas. Como tais arquiteturas de nuvem computacional possuem alta capacidade de processamento e armazenamento, em uma estrutura com capacidade de expansão como premissa de projeto, espera-se atender os requisitos de banda e novos serviços por demanda com agilidade e capacidade ampliada em relação ao modelo baseado em Appliances. Tais propostas efetivamente retiram uma série de equipamentos complexos das estruturas físicas dos clientes, posicionando-os em centros de computação de nuvem (Data Centers) dos provedores de serviços.[04] In order to offer the benefits of new cloud computing technologies, virtualization solutions of previously dispersed functionality on proprietary platforms have been proposed. Virtualization means the use of large commercial platforms, such as servers and storage (Storages) found in information technology applications, to run multiple virtual machines capable of processing packets and performing the required network functions. Because such cloud computing architectures have high processing and storage capacity, in a scalable structure as a design premise, it is expected to meet bandwidth requirements and new on-demand services with agility and increased capacity compared to the data-based model. Appliances Such proposals effectively remove a number of complex equipment from customers' physical structures, placing them in service provider cloud computing centers (Data Centers).
[05] Entretanto, uma série de cuidados devem ser tomados, pois agora o tráfego que antes era confinado na estrutura de Rede Local (LAN - Local Area Network) do cliente agora é compartilhado também com a rede de acesso das operadoras e com a estrutura de data center. Pacotes que não tinham a necessidade de criptografia por estarem delimitados fisicamente ao perímetro interno dos clientes agora trafegam sobre uma estrutura pública de provedores de serviço, inclusive compartilhando anéis de acesso com outros clientes. Desta maneira é imprescindível que técnicas de criptografia sejam adotadas para garantir a confidencialidade e a integridade dos pacotes. Além disso, outro ponto relevante é garantir a eficiência do encaminhamento dos pacotes, de modo a minimizar o envio somente a pacotes realmente necessários. Além dos aspectos de segurança - confidencialidade e integridade - e eficiência, deve-se garantir a mesma capacidade de gerencia da solução, mesmo em momentos de falha ou desastre. É preciso ter em mente que o administrador de rede da empresa não pode mais ir até o centro de processamento de dados (CPD) e verificar se o led indicador de estado do canal de comunicação do roteador está piscando ativamente, se existe alimentação no firewall, ou ainda se os discos de armazenamento estão sem indicação de erros. Como também, o prestador de serviços está provavelmente a quilômetros e vários minutos de distância das instalações do cliente. Ou seja, é preciso implementar uma série de ferramentas que garantam a operação, administração e manutenção do sistema, diante desse cenário modificado de virtualização, a fim de preservar e se possível melhorar a quantidade de informação disponível para os operadores do sistema.[05] However, a number of precautions must be taken, as traffic that was previously confined to the customer's Local Area Network (LAN) structure is now also shared with the operators' access network and network structure. of data center. Packages that did not need encryption because they were physically bounded to the customers' inner perimeter now travel over a public service provider structure, including sharing access rings with other customers. Therefore, encryption techniques must be adopted to ensure the confidentiality and integrity of packets. In addition, another relevant point is to ensure the efficiency of packet forwarding, so as to minimize sending only to really needed packets. In addition to the security aspects - confidentiality and integrity - and efficiency, the same manageability of the solution must be ensured, even in times of failure or disaster. Keep in mind that your corporate network administrator can no longer go to the data center (CPD) and check if the router's communication channel status LED is actively flashing, if there is power in the firewall, or if the storage disks are error free. Also, the service provider is probably miles and several minutes away from the customer's premises. That is, it is necessary to implement a series of tools that guarantee the operation, administration and maintenance of the system, in face of this modified virtualization scenario, in order to preserve and if possible improve the amount of information available to the system operators.
[06] Em síntese, na grande maioria dos sistemas de redes atuais, quem possui equipamentos, como por exemplo firewall e roteador são os clientes, dentro de sua estrutura física. Esses equipamentos limitam mudanças na rede sob demanda. Entretanto as alternativas de virtualização apresentadas até o presente momento não oferecem segurança, otimização e elevada capacidade de gerenciamento.[06] In summary, in the vast majority of current network systems, it is customers who have equipment, such as firewall and router, within their physical structure. These devices limit network changes on demand. However, the virtualization alternatives presented to date do not offer security, optimization and high manageability.
Novidades e objetivos da invenção [07] A presente invenção tem o intuito de fornecer um sistema de virtualização de dados e funcionalidades de rede, a partir de série de técnicas de manipulação de pacotes de acordo com padrões definidos pelas entidades responsáveis pela padronização do ambiente de redes de computadores. A proposta oferece segurança através de criptografia, eficiência através da otimização dos fluxos de pacotes, e especial preocupação nos aspectos de administração, operação e manutenção da solução, ou seja, gerenciamento.Novelties and objectives of the invention [07] The present invention aims to provide a data virtualization system and network functionality from a series of packet manipulation techniques according to standards defined by the entities responsible for the standardization of the desktop environment. computer network. The proposal offers security through encryption, efficiency through optimization of packet flows, and special concern in the administration, operation and maintenance aspects of the solution, ie management.
[08] Para que seja implementado um sistema com segurança, é proposto pela invenção que os dados sejam codificados por criptografia. A partir desta implementação não será possível acessar o conteúdo das informações internas da empresa, tampouco que pacotes possam ser inseridos e retirados das redes internas, de modo a afetar as comunicações internas.[08] In order for a system to be implemented securely, it is proposed by the invention that data be encrypted. From this implementation it will not be possible to access the contents of the company's internal information, nor can packages be inserted and removed from internal networks, in order to affect internal communications.
[09] O fato de prever uma solução eficiente está diretamente ligado ao encaminhamento de pacotes de dados. Por exemplo, antes que uma comunicação direcionada à Internet tenha sucesso é possível que uma série de transações internas sejam necessárias. O ideal é que somente os pacotes com destino à Internet, que iriam trafegar nas redes de acesso dos provedores de serviço de Telecom sejam transmitidos, enquanto as transações internas continuem num escopo restrito. Dessa maneira preservam-se as características boas do cenário de appliances situadas nas instalações do cliente, adicionando os ganhos de escala de uma estrutura de nuvem para serviços por demanda, e para redução de valores de investimento e manutenção.[09] Predicting an efficient solution is directly linked to data packet forwarding. For example, before Internet-directed communication succeeds, a series of internal transactions may be required. Ideally, only packets destined for the Internet, which would travel on the telecommunication service provider's access networks, should be transmitted while internal transactions remain within a restricted scope. This preserves the good features of the customer-centric appliance landscape by adding the scale gains of a cloud structure for on-demand services and reducing investment and maintenance values.
[10] Além disso, com o sistema proposto, as appliances utilizadas atualmente, como por exemplo o roteador e o firewall, seriam dispensados, uma vez que os serviços de rede seriam feitos pelo próprio provedor de serviço, através de máquinas virtuais em servidores. Assim, é evidente a evolução do sistema atual, dispensando equipamentos que tornam limitados os serviços prestados pelos provedores. A conexão, mesmo que virtualizada, com o provedor, será feita através da rede WAN ou MAN. Para atender a esta demanda é utilizado um switch denominado Ethernet Demarcation Device (EDD), capaz de gerenciar o que deve ou não circular pela rede externa, no intuito de otimizar a eficiência da virtualização de rede. Ou seja, ele sabe o que vai circular só dentro das dependências físicas da empresa e o que é destinado à Internet.[10] In addition, with the proposed system, today's appliances, such as the router and firewall, would be dispensed with, as network services would be provided by the service provider itself through virtual machines on servers. Thus, the evolution of the current system is evident, dispensing equipment that limits the services provided by the providers. The connection, even if virtualized, with the provider will be made through the WAN or MAN network. To meet this demand, a switch called Ethernet Demarcation Device (EDD) is used, capable of managing what should or should not circulate through the external network, in order to optimize the efficiency of network virtualization. That is, he knows what will circulate only within the company's physical facilities and what is destined for the Internet.
[11] O switch EDD também é responsável pela criptografia dos dados que irão para o provedor virtualizado. Para evitar o que os dados sejam descriptografados e criptografados a cada ponto em que eles passarem, o switch cria com o provedor um túnel virtual que possibilita a comunicação direta entre ele e os servidores ou agregadores, garantindo confidencialidade e integridade ponto a ponto.[11] The EDD switch is also responsible for encrypting data that will go to the virtualized provider. To prevent data from being decrypted and encrypted at each point it passes, the switch creates a virtual tunnel with the provider that enables direct communication between it and the servers or aggregators, ensuring end-to-end confidentiality and integrity.
Descrição dos desenhos anexos [12] A fim de que a presente invenção seja plenamente compreendida e levada à prática por qualquer técnico deste setor tecnológico, a mesma será descrita de forma clara, concisa e suficiente, tendo como base os desenhos anexos, que a ilustram e subsidiam abaixo listados: [13] Figura 1 representa os cenários típicos de oferta de canais de Acesso Ethernet por parte dos Prestadores de Serviços de Telecomunicações conhecidos no estado da técnica.Description of the accompanying drawings [12] In order for the present invention to be fully understood and practiced by any person skilled in the art, it will be clearly, concisely and sufficiently described on the basis of the accompanying drawings which illustrate it. and subsidy listed below: [13] Figure 1 depicts typical scenarios for provision of Ethernet Access channels by known telecommunication service providers.
[14] Figura 2 representa o sistema de comunicação com virtualização de funções de rede por parte dos Prestadores de Serviços de Telecomunicações conhecidos no estado da técnica.[14] Figure 2 represents the communication system with virtualization of network functions by known telecommunication service providers.
[15] Figura 3 representa o sistema de comunicação com a implementação de configuração de rede radial.[15] Figure 3 represents the communication system with the implementation of radial network configuration.
[16] Figura 4 representa o sistema de comunicação com a implementação de configuração de rede em árvore.[16] Figure 4 represents the communication system with the implementation of tree network configuration.
[17] Figura 5 representa aplicação seletiva de MACsec, escolhendo em quais fluxos será aplicado criptografia e verificação de integridade dos pacotes.[17] Figure 5 represents selective application of MACsec, choosing which streams will be applied for encryption and packet integrity checking.
[18] Figura 6 representa a formação dos campos dos pacotes Ethernet em fluxos sem criptografia para redes Ethernet Q-in-Q.[18] Figure 6 represents the formation of Ethernet packet fields in unencrypted streams for Q-in-Q Ethernet networks.
[19] Figura 7 representa a formação dos campos dos pacotes Ethernet em fluxos com criptografia para redes Ethernet Q-in-Q.[19] Figure 7 represents the formation of Ethernet packet fields in encrypted streams for Q-in-Q Ethernet networks.
[20] Figura 8 representa a formação dos campos dos pacotes Ethernet em fluxos com criptografia para redes que implementam túneis L2 VPN sobre MPLS.[20] Figure 8 represents the formation of Ethernet packet fields in encrypted streams for networks implementing L2 VPN over MPLS tunnels.
[21] Figura 9 representa a distribuição de chaves simétricas que serão utilizadas no MACsec com gestão centralizada a partir de um servidor de gerência.[21] Figure 9 represents the symmetric key distribution that will be used in centrally managed MACsec from a management server.
[22] Figura 10 representa a distribuição de chaves simétricas que serão utilizadas no MACsec com o protocolo KeySec.[22] Figure 10 represents the symmetric key distribution that will be used in MACsec with the KeySec protocol.
[23] Figura 11 representa as diferenças, principalmente de banda, de um ambiente LAN em relação a arquiteturas MAN e WAN.[23] Figure 11 represents the mainly bandwidth differences of a LAN environment with respect to MAN and WAN architectures.
[24] Figura 12 representa os fluxos de pacotes em ambientes LAN e MAN/WAN em modo não virtualizado, sem a virtualização das funções de rede, principalmente.do Firewall e/ou Roteador.[24] Figure 12 represents packet streams in LAN and MAN / WAN environments in non-virtualized mode, without virtualizing network functions, primarily. Firewall and / or Router.
[25] Figura 13 representa os fluxos de pacotes em ambientes LAN e MAN/WAN em modo virtualizado com um switch L2 na mediação entre LAN e MAN/WAN.[25] Figure 13 depicts packet flows in LAN and MAN / WAN environments in virtualized mode with an L2 switch in LAN / MAN / WAN mediation.
Descrição detalhada da invenção [26] A presente invenção propõe um sistema para oferta de serviços de rede de computadores no ambiente de Telecomunicações e Internet, na qual existe um switch com funcionalidades específicas de terminação de acessos Ethernet, e ainda funções de rede, como por exemplo roteador e firewall, oferecidas como máquinas virtuais em servidores com alta escala comercial. As tecnologias empregadas asseguram criptografia, otimização e elevado nível de gerenciamento da solução.DETAILED DESCRIPTION OF THE INVENTION [26] The present invention proposes a system for providing computer network services in the Telecommunications and Internet environment, in which there is a switch with specific Ethernet access termination features, and network functions such as router and firewall, offered as virtual machines on servers with high commercial scale. The technologies employed ensure encryption, optimization and high level of solution management.
[27] As figuras 1, 2, 3 e 4 ilustram os cenários típicos de uma rede de acesso para oferta de serviço de telecomunicação, em especial Internet empresarial, mostrando a arquitetura tradicional, onde roteador e firewall são equipamentos físicos instalados na infra estrutura do cliente, e também a nova concepção, na qual existe um switch Ethernet com funcionalidades específicas de terminação de acessos Ethernet, e as funções de roteador e firewall são oferecidas como máquinas virtuais em servidores com alta escala comercial. São apresentadas arquiteturas em anel, radial, e também no estilo árvore onde derivações a partir de um enlace de acesso permitem a agregação de vários clientes ao longo de um canal de comunicação. Tais arquiteturas são mostradas como forma de ilustração, a fim de explicar e detalhar a invenção, mas de forma alguma devem ser consideradas como restrição da metodologia a outras arquiteturas de rede de acesso, uma vez que uma série de opções podem ser implementadas pelos provedores sem invalidar a ideia central da invenção proposta. Como também, as figuras 1, 2, 3 e 4 simplificam bastante as redes internas dos provedores de serviços, desde os pontos de agregação até os servidores posicionados na nuvem de serviços, de maneira a não complicar com detalhes que não modificam a proposição central da invenção.[27] Figures 1, 2, 3 and 4 illustrate the typical scenarios of an access network for telecommunication service offerings, especially corporate Internet, showing the traditional architecture, where router and firewall are physical equipment installed in the network infrastructure. as well as the new design, in which there is an Ethernet switch with specific Ethernet access termination features, and router and firewall functions are offered as virtual machines on high-end commercial servers. Ring, radial, and tree-like architectures are presented where derivations from an access link allow the aggregation of multiple clients over a communication channel. Such architectures are shown by way of illustration in order to explain and detail the invention, but in no way should they be construed as restricting the methodology to other access network architectures, as a number of options can be implemented by providers without invalidate the central idea of the proposed invention. Also, Figures 1, 2, 3, and 4 greatly simplify service provider internal networks, from aggregation points to servers positioned in the service cloud, so as not to complicate with details that do not change the core proposition of the service provider. invention.
[28] No cenário tradicional o tráfego entre a rede interna e o firewall corporativo (T100) não utiliza criptografia em nível L2 e L3, pois se considera que o perímetro físico da empresa fornece segurança contra intrusos de fora da estrutura. Nesse cenário somente tráfego sensível como credenciais de usuário e senha, ou dados considerados confidencias utilizam criptografia em níveis superiores do modelo OSI. Depois do firewall considera-se o ambiente já como inóspito, pois já pode ser considerado rede pública, e o uso mais generalizado de criptografia e de túneis virtuais seguros é implementado nas comunicações com a Internet (T110). Veja que na figura 1 não é feita distinção entre os caminhos ativos (T120) ou de proteção (T130), mas é apenas mostrado o tráfego fim-a-fim dos pacotes (T110). Mesmo no caso de interceptação dos dados do Clientel por uma Empresa A (T140), considera-se que os dados importantes já estejam sendo protegidos pois essa já é uma rede pública, insegura e propensa a qualquer tipo de ataque.[28] In the traditional scenario, traffic between the internal network and corporate firewall (T100) does not use L2 and L3 level encryption, as the company's physical perimeter is considered to provide security against intruders from outside the structure. In this scenario only sensitive traffic such as user and password credentials, or data considered confidential use encryption at higher levels of the OSI model. After the firewall, the environment is considered inhospitable, since it can already be considered a public network, and the most widespread use of encryption and secure virtual tunnels is implemented in Internet communications (T110). Note that in Figure 1 no distinction is made between active (T120) or protective (T130) paths, but only packet end-to-end traffic (T110) is shown. Even in case of interception of Clientel data by Company A (T140), it is considered that the important data is already being protected as this is already a public network, insecure and prone to any kind of attack.
[29] No cenário virtualizado, representado na figura 2, a função de firewall e roteador é executada na nuvem do provedor de serviço (T150), em máquinas virtuais (T155) que processam os pacotes da rede interna (T160) antes de aplicar as técnicas do firewall para proteger contra a rede insegura que é a Internet. Entretanto, em termos de tráfego fim-a-fim, os mesmos pacotes (T100) que antes estavam confinados ao perímetro físico do Clientel agora precisam trafegar pela rede de acesso da operadora (T160) até chegar às máquinas virtuais, e não é possível exigir que toda a arquitetura de rede local seja modificada para implementar criptografia em L2 e L3.[29] In the virtualized scenario, represented in Figure 2, the firewall and router function is performed in the service provider cloud (T150) on virtual machines (T155) that process internal network (T160) packets before applying the firewall techniques to protect against the insecure network that is the Internet. However, in terms of end-to-end traffic, the same packets (T100) that were previously confined to the Clientel physical perimeter now need to travel through the carrier access network (T160) until they reach virtual machines, and it is not possible to require that the entire LAN architecture be modified to implement L2 and L3 encryption.
[30] Por outro lado, na implementação de acessos Ethernet cada vez mais são utilizados switches L2 com características especiais, como por exemplo, os protocolos Ethernet First Mile (EFM) e Connectivity Fault Management (CFM). Tais equipamentos são comumente chamados de Ethernet Demarcation Device (EDD) (T165). A primeira proposta da invenção é a utilização de criptografia simétrica baseada na norma MACsec, definida pela IEEE 802.1 AE, para implementar criptografia diretamente sobre pacotes Ethernet, garantindo confidencialidade e integridade às comunicações (T160) entre a rede interna e as máquinas virtuais hospedadas na nuvem de serviços do provedor. É possível criptografar toda a comunicação de um enlace Ethernet (T170), sendo que nessa possibilidade todos os equipamentos ao longo do caminho precisam implementar a funcionalidade, e em cada equipamento interno os pacotes são manipulados em clear text, possibilitando que técnicas de espelhamento de tráfego em equipamentos do caminho (T175), por exemplo situados em Ponto de Presença (POPs) sem a devida segurança física ou até mesmo em outras empresas, permitam a captura indesejada de pacotes;[30] On the other hand, when deploying Ethernet accesses, L2 switches with special features such as Ethernet First Mile (EFM) and Connectivity Fault Management (CFM) protocols are increasingly used. Such devices are commonly called Ethernet Demarcation Device (EDD) (T165). The first proposal of the invention is to use symmetric encryption based on the IEEE 802.1 AE MACsec standard to implement encryption directly over Ethernet packets, ensuring confidentiality and integrity of communications (T160) between the internal network and cloud-hosted virtual machines. provider services. It is possible to encrypt all communication over an Ethernet link (T170), in which case all devices along the way need to implement the functionality, and on each internal equipment the packets are handled in clear text, enabling traffic mirroring techniques on road equipment (T175), for example located in Point of Presence (POPs) without proper physical security or even in other companies, allow unwanted packet capture;
[31] Um segunda possibilidade prevista é implementar a criptografia seletivamente utilizando o campo Ethertype do protocolo Ethernet, escolhendo determinadas VLANs, conforme norma IEEE 802.1q, ou ainda sobre pacotes com tipo definido como MPLS, conforme definido nas normas RFC 3031 e RFC 3032. Desta maneira, pode-se criptografar o tráfego fim-a-fim desde o equipamento EDD até o primeiro ponto de agregação (T180) seguramente instalado nas dependências do provedor de serviços, ou ainda desde o EDD até o servidor responsável pela função de rede virtualizada (T185) encarregado das funcionalidades de firewall e roteador de borda. Sendo assim, a partir da possibilidade de utilização do MACsec de maneira seletiva, e utilizando endereços e tipos de pacotes Ethernet (campo Ethertype) conforme as normas conhecidas de redes de computadores, como por exemplo IEEE 802.3 e IEEE 802.1, é possível trafegar vários fluxos de pacotes, alguns criptografados e outros não.[31] A second possibility is to implement encryption selectively using the Ethertype field of the Ethernet protocol, choosing certain VLANs according to IEEE 802.1q, or over packets with type defined as MPLS as defined in RFC 3031 and RFC 3032. This way you can encrypt end-to-end traffic from the EDD appliance to the first aggregation point (T180) securely installed at the service provider's premises, or from the EDD to the server responsible for the virtualized network function. (T185) in charge of firewall and edge router functionality. Thus, from the possibility of selectively using MACsec, and using Ethernet addresses and packet types (Ethertype field) according to known computer network standards, such as IEEE 802.3 and IEEE 802.1, it is possible to traffic multiple streams. packets, some encrypted and some not.
[32] A figura 5 mostra um exemplo de rede de acesso num cenário virtualizado, no qual temos o fluxo 1 (T200) com escopo local do enlace, tipicamente protocolos lentos de controle, pacotes para controle de loop (Bridge Protocol Data Units - BPDU), para gerência (Operation, Administration and Maintenance Protocol Data Units - OAMPDU), ou ainda pacotes de descoberta de topologia {Link Layer Discovery Protocol - LLDP). Já os pacotes do fluxo 2 (T210), com destino entre equipamentos não adjacentes T210 podem utilizar identificadores de VLAN ou ainda encapsular protocolos IP ou MPLS que não sejam escopo da criptografia. A partir da seletividade pode-se utilizar MACsec para criptografar somente o fluxo 3 (T220), o qual se dá fim a fim do cliente 1 ao provedor, de maneira que somente os equipamentos de início e fim da comunicação necessitem suporte a essa funcionalidade. O restante da rede com seus protocolos de controle e outros tipos de tráfego, por exemplo, os fluxos 1 e 2, continuam o funcionamento normal sem criptografia e nenhum requisito adicional de mudança, tanto em equipamentos quanto em desenho de rede.[32] Figure 5 shows an example of an access network in a virtualized scenario, where we have link-scoped flow 1 (T200), typically slow control protocols, bridge protocol data units (BPDUs) for loop control. ), for management (Operation, Administration, and Maintenance Protocol Data Units (OAMPDU)), or Link Layer Discovery Protocol (LLDP) topology discovery packages. Stream 2 (T210) packets destined between non-adjacent T210 devices can use VLAN identifiers or encapsulate non-encrypted IP or MPLS protocols. From selectivity, MACsec can be used to encrypt only stream 3 (T220), which is terminated end-to-end from client 1 to the provider, so that only the start and end devices need to support this functionality. The rest of the network with its control protocols and other types of traffic, for example, streams 1 and 2, continue normal operation without encryption and no additional change requirements in either equipment or network design.
[33] As figuras 6 e 7 mostram exemplos de pacotes Ethernet, clarificando as diferenças entre os pacotes sem criptografia e os fluxos criptografados explicados anteriormente. Na figura 6 é mostrado um fluxo sem criptografia numa rede Ethernet Q-in-Q, definida no padrão IEEE 802.1 ad Provider Bridging. O pacote original do cliente (T300) já possui um identificador de Virtual LAN de cliente, chamado de Customer-VLAN (CVLAN) e ao ser encaminhado para a rede ganha um identificador adicional de VLAN do provedor (T310), chamado de Service-VLAN (SVLAN). Na figura 7, é mostrado um pacote original do cliente (T320) antes de entrar na rede Q-in-Q, agora com o requisito de criptografia. O pacote dentro da rede do provedor é mostrado, com a adição do identificador de SVLAN (T330) para permitir o encaminhamento correto, mas também com o uso do MACsec. O identificador SecTAG (T340) é inserido depois do SVLAN para permitir a criptografia e verificação de integridade dos campos de CVLAN, Etype/Len e Payload originais do cliente. Por fim o campo ICV (T350) para verificação é adicionado e o campo FCS (T360) para detecção de erros é recalculado.[33] Figures 6 and 7 show examples of Ethernet packets, clarifying the differences between the unencrypted packets and the encrypted streams explained earlier. Figure 6 shows an unencrypted stream on a Q-in-Q Ethernet network defined in the IEEE 802.1 ad Provider Bridging standard. The original customer packet (T300) already has a Customer Virtual LAN identifier, called Customer-VLAN (CVLAN), and when it is routed to the network, it gains an additional provider VLAN identifier (T310), called Service-VLAN. (SVLAN). In Figure 7, an original client packet (T320) is shown before entering the Q-in-Q network, now with the encryption requirement. The packet within the provider's network is shown, with the addition of the SVLAN identifier (T330) to allow correct forwarding, but also using MACsec. The SecTAG identifier (T340) is inserted after SVLAN to allow encryption and integrity checking of the client's original CVLAN, Etype / Len and Payload fields. Finally the ICV field (T350) for verification is added and the FCS field (T360) for error detection is recalculated.
[34] A figura 8 representa a manipulação de pacotes para o caso de uma rede de acesso que utilize MPLS ao invés de Q-in-Q. Nesse caso o pacote original do cliente (T400) recebe os identificadores (T410) normais do encapsulamento Ethernet sobre MPLS, conforme técnica de L2 VPN over MPLS conhecida como Virtual Private Wire Service (VPWS), definida principalmente pela RFC 4906. Seguindo a metodologia, depois dos identificadores do VPWS, o endereço de destino (DMAC) e o endereço da fonte (SMAC) dos clientes são preservados (T420), e o identificador SecTAG (T430) é inserido, para permitir a criptografia e verificação de integridade dos campos de CVLAN, Etype/Len e Payload originais do cliente. Por fim o campo ICV (T440) para verificação é adicionado e o campo FCS (T450) para detecção de erros é atualizado.[34] Figure 8 represents packet manipulation for an access network that uses MPLS instead of Q-in-Q. In this case the original client packet (T400) receives the normal Ethernet over MPLS encapsulation identifiers (T410), as per L2 VPN over MPLS technique known as Virtual Private Wire Service (VPWS), defined primarily by RFC 4906. Following the methodology, after the VPWS identifiers, the clients' destination address (DMAC) and source address (SMAC) are preserved (T420), and the SecTAG identifier (T430) is inserted to allow encryption and integrity checking of the fields. Original customer CVLAN, Etype / Len and Payload. Finally the ICV field (T440) for verification is added and the FCS field (T450) for error detection is updated.
[35] Os encapsulamentos Q-in-Q e MPLS são mostrados a fim de exemplificar os possíveis casos de uso da criptografia no contexto do invento, mas não devem ser considerados como limitantes do uso da técnica descrita como o conceito da invenção. Além disso, é importante evidenciar que outras arquiteturas de redes podem perfeitamente utilizar o MACsec para garantir a segurança das funcionalidades virtualizadas de rede, bem como construção de túneis com vários participantes, não restringindo-se a somente 2 pontos finais. Outro aspecto relevante é que na definição do MACsec a criptografia é opcional, ao passo que a verificação de integridade do pacote é obrigatória. No contexto da presente invenção a criptografia é obrigatória, sendo requisito para a arquitetura.[35] Q-in-Q and MPLS encapsulations are shown to exemplify possible use cases of cryptography in the context of the invention, but should not be considered as limiting the use of the technique described as the concept of the invention. In addition, it is important to note that other network architectures can seamlessly use MACsec to ensure the security of virtualized network functionality as well as multi-participant tunneling, not limited to only 2 endpoints. Another relevant aspect is that in defining MACsec encryption is optional, while packet integrity checking is mandatory. In the context of the present invention encryption is mandatory and is a requirement for architecture.
[36] Toda a manipulação de pacotes descrita, com inserção de campos, novos cálculos de código de detecção de erros e principalmente a aplicação de criptografia em linha com a transmissão de pacotes exige grande poder de processamento. A fim de trabalhar nas taxas de 1 Gbit/s, 10 Gbit/s e principalmente as novas taxas de 40 e 100Gbit/s, é provável que esse processamento seja feito em hardware, pois soluções com processadores e software seriam inviáveis econômica e tecnicamente. Com a implementação de criptografia seletivamente, somente alguns pontos da estrutura precisam implementar essas funcionalidades, e portanto somente os pontos de início e fim dos túneis seguros precisam ter esse suporte em hardware. O ponto inicial dessa transação é o equipamento denominado Switch EDD, situado nas instalações físicas do cliente. A presença da funcionalidade de MACsec nesse equipamento é portanto um requisito para que a arquitetura descrita nessa invenção seja implantada. O ponto final do túnel seguro pode estar localizado em equipamentos de agregação de rede, tipicamente roteadores de alto desempenho com interfaces Ethernet, ou diretamente nas estruturas de servidores que hospedam as máquinas virtuais das funções virtualizadas de rede.[36] All of the described packet manipulation with field insertion, new error detection code calculations and especially applying inline encryption with packet transmission requires great processing power. In order to work at rates of 1 Gbit / s, 10 Gbit / s and especially the new rates of 40 and 100Gbit / s, it is likely that this processing will be done in hardware as processor and software solutions would be economically and technically unviable. By implementing encryption selectively, only a few points in the framework need to implement these features, so only the starting and ending points of secure tunnels need to have this hardware support. The starting point of this transaction is equipment called Switch EDD, located at the customer's physical premises. The presence of MACsec functionality in this equipment is therefore a requirement for the architecture described in this invention to be deployed. The endpoint of the secure tunnel can be located on network aggregation equipment, typically high performance routers with Ethernet interfaces, or directly on server structures that host virtualized network function virtual machines.
[37] A adição da funcionalidade de criptografia dos pacotes Ethernet no Switch EDD utiliza circuitos integrados específicos, com suporte ao padrão Advanced Encryption Standard (AES), definido na norma FIPS97 do National Institute of Standards and Technology (NIST), com chaves de pelo menos 128 bits, no modo Galois/Counter Mode (GCM-AES), de acordo com o padrão MACsec. A aplicação do MACsec é feita de maneira seletiva, conforme descrita no conjunto de figuras 6, 7 e 8. Além disso, conforme será explicado a seguir, o Switch EDD possui ainda características específicas para atuar como Ethernet Device sob o aspecto de administração, operação e manutenção, ou seja, gerenciamento.[37] The addition of the Ethernet packet encryption functionality in the EDD Switch utilizes specific integrated circuits that support the Advanced Encryption Standard (AES), defined in the National Institute of Standards and Technology (NIST) FIPS97 standard, with minus 128 bits in Galois / Counter Mode (GCM-AES) according to the MACsec standard. The application of MACsec is done selectively, as described in the set of figures 6, 7 and 8. In addition, as will be explained below, the EDD Switch also has specific features to act as Ethernet Device under the aspect of administration, operation. and maintenance, ie management.
[38] De forma análoga, a adição da funcionalidade de criptografia dos pacotes nos agregadores de rede requer suporte a interfaces Ethernet com utilização dos circuitos integrados específicos que suportem o padrão AES com chaves de pelo menos 128 bits, obedecendo o padrão MACsec e de modo seletivo conforme descrito no conjunto de figuras 6, 7 e 8. Alternativamente, a adição da funcionalidade de criptografia dos pacotes pode estar presente nos servidores que hospedam as máquinas virtuais que implementam as funções virtualizadas de rede, sendo feita nas interfaces adaptadoras de rede, ou Network Interface Cards (NICs). Tais NICs também fazem o usos dos circuitos integrados específicos que suportam o padrão AES com chaves de pelo menos 128 bits, obedecendo ao padrão MACsec e de maneira seletiva, conforme descrita no conjunto de figuras 6, 7 e 8. As placas NICs processam o MACsec e entregam para as máquinas virtuais os pacotes já verificados e descriptografados, desonerando o processador dos servidores comerciais das tarefas intensivas e específicas do MACsec. O caminho inverso também é necessário, ficando a cargo do NIC a criptografia utilizando o MACsec.[38] Similarly, the addition of packet encryption functionality in network aggregators requires support for Ethernet interfaces using specific integrated circuits that support the AES standard with at least 128-bit keys, complying with MACsec and mode. Alternatively, the addition of packet encryption functionality may be present on servers that host virtual machines that implement virtualized network functions, and are done on network adapter interfaces, or Network Interface Cards (NICs). Such NICs also make use of specific integrated circuits that support the AES standard with keys of at least 128 bits, complying with the MACsec standard and selectively as described in the set of figures 6, 7, and 8. NICs process MACsec. and deliver decrypted and decrypted packages to virtual machines, relieving the commercial server processor of MACsec-specific and intensive tasks. The reverse path is also required, with the NIC encrypting using MACsec.
[39] Entretanto, a maior parte dos switches tanto terminais (EDD) ou agregadores, como também as interfaces de rede dos servidores atualmente no mercado não possuem as funcionalidades MACsec embarcadas na sua plataforma de hardware. Porém, a grande maioria implementa suas portas Ethernet utilizando transceivers na forma de módulos que podem ser inseridos com os equipamentos em operação. Tais módulos são chamados de SFP para interfaces 1GbE, XFP ou SFP+ para portas 10GbE, QSFP+ e CFP para interfaces 40GbE e CFP, CFP2, CFP4 ou QSFP28 para interfaces 100GbE. Por terem características modulares e estarem posicionados no caminho dos dados das portas os módulos SFP, XFP e SFP+, QSFP+, QSFP28, CFP, CFP2 e CFP4 podem ser usados para agregar as funcionalidades de MACsec em switches e servidores não originalmente projetados este fim. O uso de módulos para implementação de funcionalidades MACsec apresenta a vantagem que apenas as portas onde criptografia é necessária necessitarão módulos com este suporte.[39] However, most endpoint (EDD) or aggregator switches, as well as server network interfaces currently on the market do not have MACsec functionality embedded in their hardware platform. However, the vast majority implement their Ethernet ports using transceivers in the form of modules that can be inserted with the equipment in operation. Such modules are called SFP for 1GbE, XFP, or SFP + interfaces for 10GbE, QSFP +, and CFP ports for 40GbE and CFP, CFP2, CFP4, or QSFP28 interfaces for 100GbE interfaces. Because they have modular characteristics and are positioned in the port data path, the SFP, XFP and SFP +, QSFP +, QSFP28, CFP, CFP2 and CFP4 modules can be used to add MACsec functionality to switches and servers not originally designed for this purpose. Using modules to implement MACsec functionality has the advantage that only ports where encryption is required will need modules with this support.
[40] O padrão AES utilizado no MACsec é um algoritmo de criptografia simétrico, que utiliza chaves de sessão com tamanhos típicos de 128, 192 e 256 bits. Tais chaves são compartilhadas por ambas as partes que participam do túnel seguro. Ou seja, todos os endpoints de um determinado túnel seguro compartilham a mesma chave criptográfica. É preciso, portanto, definir o mecanismo de distribuição da chave, para que todos possam ter um conjunto de chaves atuais e futuras que permitam a troca contínua de pacotes criptografados. Em virtude do tamanho da chave simétrica, que mesmo impondo grandes dificuldades técnicas permite ataques do tipo força bruta, no qual todas as possibilidades de chaves são geradas e testadas contra os pacotes criptografados eventualmente capturados, é necessário definir a periodicidade de troca dessa chave. A presente invenção propõe duas maneiras para estabelecer a troca de chaves: o gerenciamento centralizado a partir do serviço de gerência de rede ou a utilização do protocolo MACsec Key Agreement (MKA), também chamado de KeySec, definido pelo IEEE no padrão 802.1 X..[40] The AES standard used in MACsec is a symmetric encryption algorithm that uses session keys of typical sizes 128, 192, and 256 bits. Such keys are shared by both parties participating in the secure tunnel. That is, all endpoints of a given secure tunnel share the same cryptographic key. Therefore, the key distribution mechanism needs to be defined so that everyone can have a set of current and future keys that allow the continuous exchange of encrypted packets. Due to the size of the symmetric key, which, even with great technical difficulties, allows brute force attacks, in which all key possibilities are generated and tested against the encrypted packets eventually captured, it is necessary to define the periodicity of exchange of this key. The present invention proposes two ways to establish key exchange: centralized management from the network management service or use of the MACsec Key Agreement (MKA) protocol, also called KeySec, defined by the IEEE 802.1 X ..
[41] Praticamente todas as redes de provedores de serviço possuem um serviço de gerência centralizada (T500), que provê funcionalidades de falha, configuração, aprovisionamento, segurança e contabilização (FCAPS - Fault, Configuration, Accounting, Provisioning e Security), seguindo modelo Telecommunication Management Network (TMN) do ITU-T. A geração e distribuição periódica das chaves pode ser atribuição do serviço de gerência centralizada (T500), conforme mostrado na figura 9, uma vez que ele possui conhecimento total da rede, seus circuitos e elementos. A comunicação é feita via canais de controle específicos também criptografados (T510), estabelecidos entre a gerência central e os diversos elementos que necessitam estabelecer túneis MACsec. Utilizando-se MACsec são criadas conexões seguras entre os participantes do fluxo, que recebem a designação de Connectivity Association (CA), e cada CA (T520) possui uma chave simétrica de sessão única (T530), gerada e distribuída pelo servidor centralizado de Gerência de Rede.[41] Virtually all service provider networks have a centralized management service (T500), which provides Fault, Configuration, Provisioning, and Security (FCAPS) functionality, following the model ITU-T Telecommunication Management Network (TMN). The periodic generation and distribution of keys can be assigned to the centralized management service (T500), as shown in figure 9, since it has full knowledge of the network, its circuits and elements. Communication is via specific encrypted control channels (T510) established between central management and the various elements that need to establish MACsec tunnels. Using MACsec, secure connections are created between stream participants, who are designated Connectivity Association (CA), and each CA (T520) has a symmetric single session key (T530) generated and distributed by the centralized Management server. Network
[42] Já quando a opção é pelo uso do protocolo KeySec, os Switches EDD assumem o papel de Supplicants (T540), o agregador de rede ou diretamente os servidores que possuem os NICs com suporte ao MACsec assumem o papel de Autenticador (T550), enquanto o papel de Servidor de Autenticação (T560) deve ser desempenhado por um servidor de autenticação, autorização e contabilização (AAA Server) da estrutura do provedor de serviços. O protocolo KeySec encarrega-se da função de geração de uma chave mestra e sua distribuição para os endpoints, de maneira que os mesmos possam gerar chaves de sessão periódicas, chamadas de Secure Association Key (SAK).[42] When KeySec is used, EDD switches assume the role of Supplicants (T540), the network aggregator, or directly the servers that have MACsec-enabled NICs assume the role of Authenticator (T550). , while the Authentication Server (T560) role must be played by an authentication, authorization, and accounting server (AAA Server) of the service provider framework. The KeySec protocol handles the function of generating a master key and distributing it to endpoints so that they can generate periodic session keys called Secure Association Key (SAK).
[43] O primeiro aspecto a ser considerado na questão de eficiência da virtualização de rede é a largura de banda dos canais de acesso metropolitanos (MAN - Metropolitan Area NetWork) e de longa distância (WAN - Wide Area Network) quando comparados com as redes locais (LAN - Local Area Network). As redes LAN possuem velocidades da ordem de vários Gbit/s (T600), enquanto não raro canais corporativos de acesso à Internet ou dedicados para comunicação entre filiais situam-se na ordem dos Mbit/s (T610). Ou seja, uma rede LAN é, tipicamente, no mínimo 10 vezes mais rápida que uma rede MAN ou WAN, como ilustra a figura 11. Como as máquinas virtuais que atendem as funções virtualizadas de rede situam-se na nuvem dos provedores de serviços (T620), acessíveis por redes MAN ou WAN, é importante analisar o tráfego de pacotes que irá circular nessa interligação, de maneira a preservar o tempo de resposta e a velocidade anteriormente oferecida aos usuários da rede.[43] The first thing to consider when it comes to network virtualization efficiency is the bandwidth of the Metropolitan Area NetWork (MAN) and wide area network (WAN) access channels when compared to networks. Local Area Network (LAN). LANs have speeds of the order of several Gbit / s (T600), while often corporate or dedicated Internet access channels for branch office communication are in the order of Mbit / s (T610). That is, a LAN is typically at least 10 times faster than a MAN or WAN network, as illustrated in Figure 11. How virtual machines that fulfill virtualized network functions are located in the cloud of service providers ( T620), accessible via MAN or WAN networks, it is important to analyze the packet traffic that will circulate in this interconnection in order to preserve the response time and speed previously offered to network users.
[44] Conforme podemos demonstrar com a figura 12, na situação não virtualizada, onde os Firewalls/Roteadores possuem interfaces diretamente na rede LAN dos clientes (T700), fluxos Unicast e Multicast (T710) com destino à Internet chegam nesses equipamentos. Contudo, faz parte da arquitetura de LAN Ethernet a presença de um determinado nível de pacotes Broadcast, Unicast desconhecidos (Destination Lookup Failure - DLF) e Multicast (T720), que também chegam à interface interna desses Firewalls/Roteadores. Como pacotes Broadcast pode-se citar os protocolos Address Request Protocol (ARP), Gratuitos ARP. Existem ainda alguns protocolos de roteamento que utilizam pacotes Multicast internos. Pacotes DLF ocorrem quando não existem correspondências nas tabelas internas, forçando o encaminhamento dos pacotes para todas as possíveis interfaces dentro de uma determinada VLAN. Entretanto, devido ao caráter de operação no nível L3 e posteriores da Camada OSI, os Roteadores e Firewalls intrinsicamente encaminham pelo canal WAN somente os fluxos Unicast e Multicast com destino externo (T730).[44] As we can demonstrate from Figure 12, in the non-virtualized situation, where Firewalls / Routers have interfaces directly on the clients LAN (T700), Unicast and Multicast (T710) flows to the Internet arrive at these devices. However, it is part of the Ethernet LAN architecture to have a certain level of Broadcast, Destination Lookup Failure (DLF) and Multicast (T720) packets that also reach the internal interface of these Firewalls / Routers. Broadcast packets include Address Request Protocol (ARP), Free ARP. There are also some routing protocols that use internal multicast packets. DLF packets occur when there are no matches in the internal tables, forcing packets to be forwarded to all possible interfaces within a given VLAN. However, due to the operating character at OSI Layer level L3 and later, Routers and Firewalls intrinsically route through the WAN channel only Unicast and Multicast streams with external destination (T730).
[45] Contudo, caso no cenário virtualizado da figura 13 for considerada uma interface de 1 Gbit/s (T740) para interligação do Switch EDD com a rede interna, e 100Mbit/s (T750) como canal MAN/WAN, tem-se uma relação de dez para um (10:1) na comparação LAN : MAN/WAN. Se o Switch EDD operar no nível L2 da camada OSI e a quantidade de pacotes Broadcast, por exemplo, alcançar 5% (T760) na interface da rede LAN, o reflexo no canal WAN será a ocupação de 50% (T770) do canal destinado a trafegar os pacotes Internet do cliente, causando reflexos na qualidade do nível de serviço percebido pelos usuários. Fica, portanto, claro que é necessário maximizar a disponibilidade do canal MAN/WAN para os tráfegos Unicast e Multicast externos através de funções de roteamento L3 ou filtros seletivos e inteligentes de pacotes no nível L2.[45] However, if the virtualized scenario in Figure 13 considers a 1 Gbit / s (T740) interface for interconnecting the EDD Switch with the internal network, and 100Mbit / s (T750) as the MAN / WAN channel, a ten to one ratio (10: 1) in the LAN: MAN / WAN comparison. If the EDD switch operates at the OSI layer L2 level and the number of Broadcast packets, for example, reaches 5% (T760) on the LAN network interface, the reflection on the WAN channel is 50% (T770) channel occupancy. traffic the customer's Internet packets, impacting the quality of service perceived by users. It is therefore clear that it is necessary to maximize MAN / WAN channel availability for external Unicast and Multicast traffic through L3 routing functions or intelligent and selective L2 packet filters.
[46] No caso da opção por Switches EDD que possuem roteamento L3, deve-se integrá-lo à rede LAN do cliente e, preferencialmente, não utilizar qualquer tipo de conversão de endereços IPv4 (NetWork Address Translation - NAT - ou Port Address Translation - PAT). Preservam-se assim os endereços originais da rede, de maneira que o firewall de borda, agora hospedado na estrutura virtual do provedor de serviços, tenha o conhecimento total da rede. Na opção por Switches EDD com funcionalidade L2, surge como requisito a limitação dos tráfegos Broadcast, Multicast e DLF no canal MAN/WAN, ou seja, no canal com menor capacidade de banda. Essa limitação é especificada em pacotes por segundo ou diretamente em banda na forma de kbit/s, sendo implementada preferencialmente em hardware, sem onerar o plano de controle e o processador central do equipamento. Podem ser utilizados limitadores de banda passante diretamente nas portas ou ainda filtros complexos que possuam critérios de inclusão e ações configuráveis, O resultado final é o efetivo controle dos fluxos de Broadcast (T770), Unicast desconhecido (T780) e Multicast interno (T790) da figura 13.[46] In the case of an option for EDD switches that have L3 routing, it should be integrated into the customer's LAN network and preferably not use any kind of NetWork Address Translation (NAT) or Port Address Translation (IPv4) address translation. - PAT). This preserves the original network addresses so that the edge firewall, now hosted on the service provider's virtual structure, has full knowledge of the network. In the option for ED2 switches with L2 functionality, the requirement is to limit Broadcast, Multicast and DLF traffic on the MAN / WAN channel, ie the channel with the lowest bandwidth. This limitation is specified in packets per second or directly in band in the form of kbit / s, and is preferably implemented in hardware, without burdening the control plane and central processor of the equipment. Bandwidth limiters may be used directly on the ports or complex filters that have inclusion criteria and configurable actions. The end result is effective control of the Broadcast (T770), Unknown Unicast (T780) and Internal Multicast (T790) streams. figure 13.
[47] Toda limitação de tráfego, em caso de transmissão contínua de limiares maiores que os definidos, acarreta descarte de pacotes. Entretanto, alguns pacotes Broadcast e Multicast devem ser priorizados e transmitidos para o bom funcionamento da rede, mesmo nas situações de saturação do limiar. Assim, além de simplesmente limitar, é necessário que o Switch EDO consiga fazer isso de maneira granular. A técnica consiste no switch EDO e o equipamento agregador de rede suportarem como requisito de priorização de tráfego nos filtros de limitação de banda os seguintes tipos de pacote: ARP Request com o questionamento dos endereços IP das funções virtualizadas; ARP Reply com resposta a questionamentos feitos pelos endereços IP das funções virtualizadas; pacotes Connectivity Fault Management, pacotes Ethernet First Mile, pacotes LLDP; pacotes multicast e broadcast de protocolos de roteamento dinâmico, como por exemplo, OSPF; pacotes VRRP;e pacotes ICMPv6.[47] Any traffic limitation in the case of continuous transmission of higher than defined thresholds will result in packet discarding. However, some Broadcast and Multicast packets must be prioritized and transmitted for proper network operation even in threshold saturation situations. Thus, in addition to simply limiting, it is necessary for the EDO Switch to be able to do this in a granular manner. The technique consists of the EDO switch and the network aggregator equipment supporting as bandwidth filtering traffic prioritization requirement the following packet types: ARP Request with questioning of IP addresses of virtualized functions; ARP Reply with response to queries made by IP addresses of virtualized functions; Connectivity Fault Management packets, First Mile Ethernet packets, LLDP packets; multicast and broadcast packets of dynamic routing protocols, such as OSPF; VRRP packets and ICMPv6 packets.
[48] O fato do roteador, do firewall, de um acelerador de rede WAN, ou quaisquer outras funcionalidades de rede estarem virtualizadas modifica o conceito de operar, administrar e manter uma rede (Operation, Administration and Maintenance - OAM). Por isso o Switch EDD, os servidores e os equipamentos agregadores devem possuir funcionalidades específicas que permitam a gerência da rede de maneira centralizada e remota. Os equipamentos que compõe a rede de acesso sugeridos na arquitetura da presente invenção suportam Connectivity Fault Management (CFM), oferecendo OAM fim a fim. Através deste suporte é possível fazer monitoramento proativo de conectividade (Continuity Check) e isolamento de falhas por meio de pacotes Loopback Messages (ping L2) e Linktrace Messages (traceroute L2). É possível ainda o monitoramento de desempenho pelas medidas de Frame Delay e Frame Delay Variation, tanto Unidirecional quanto Bidirecional.[48] The fact that the router, firewall, WAN network accelerator, or any other network functionality is virtualized modifies the concept of operating, administering and maintaining a network (Operation, Administration and Maintenance - OAM). Therefore, the EDD Switch, servers and aggregating equipment must have specific functionalities that allow centralized and remote network management. The network access equipment suggested in the architecture of the present invention supports Connectivity Fault Management (CFM), offering end-to-end OAM. This support enables proactive monitoring of connectivity (Continuity Check) and fault isolation through Loopback Messages (ping L2) and Linktrace Messages (traceroute L2) packages. It is also possible to monitor performance by measuring Frame Delay and Frame Delay Variation, both Unidirectional and Bidirectional.
[49] Ainda existe um suporte para ponto a ponto OAM, através do protocolo Ethernet First Mile (EFM) seguindo padrão IEEE 802.3ah. Isto possibilita indicação de falhas, incluindo Dying Gasp e Unidirectional Link. O Dying Gasp em especial é muito útil em cenários de falta de energia, pois um alarme de que faltou energia é enviada ao servidor antes do equipamento se desligar, avisando a central que não houve problemas de transmissão de dados e sim de energia elétrica. O Unidirecional Link detecta situações onde somente um dos sentidos da transmissão está ativo. Estão presentes também ferramentas para diagnóstico de rede e infraestrutura de cabeamento. É possível testar possíveis descontinuidades ou curtos em cabos, mostrando a distância aproximada do problema em cabos de cobre, ou a potência do sinal em módulos óticos que possuem Digital Diagnostic, definido no padrão SFF 8472.[49] There is still support for OAM peer-to-peer via Ethernet First Mile (EFM) protocol following the IEEE 802.3ah standard. This enables fault indication including Dying Gasp and Unidirectional Link. Dying Gasp in particular is very useful in power outages, as an out-of-power alarm is sent to the server before the power goes off, notifying the switch that there were no data transmission issues but power problems. Unidirectional Link detects situations where only one of the transmission directions is active. Also present are tools for network diagnostics and cabling infrastructure. You can test for possible cable shortages or shortages by showing the approximate distance from the problem with copper cables, or the signal strength on optical modules that have Digital Diagnostic, defined in the SFF 8472 standard.
[50] Tratou-se no presente relatório descritivo de um peculiar e inovador sistema e processo de virtualização de dados e funcionalidades de rede, capaz de aperfeiçoar sobremaneira sua utilização, dotada de novidade, atividade inventiva, suficiência descritiva e aplicação industrial e, consequentemente, revestida de todos os requisitos essenciais para a concessão do privilégio pleiteado.[50] This descriptive report deals with a peculiar and innovative system and process for virtualization of data and network functionalities, capable of greatly improving its use, with novelty, inventive activity, descriptive sufficiency and industrial application, and consequently all the essential requirements for granting the claimed privilege.
REIVINDICAÇÕES
Claims (30)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| BR102014009429-6A BR102014009429A2 (en) | 2014-04-17 | 2014-04-17 | NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| BR102014009429-6A BR102014009429A2 (en) | 2014-04-17 | 2014-04-17 | NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| BR102014009429A2 true BR102014009429A2 (en) | 2017-10-10 |
Family
ID=62529639
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| BR102014009429-6A BR102014009429A2 (en) | 2014-04-17 | 2014-04-17 | NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES |
Country Status (1)
| Country | Link |
|---|---|
| BR (1) | BR102014009429A2 (en) |
-
2014
- 2014-04-17 BR BR102014009429-6A patent/BR102014009429A2/en not_active Application Discontinuation
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11870753B2 (en) | System, apparatus and method for providing a unified firewall manager | |
| US11652798B2 (en) | Dynamic, user-configurable virtual private network | |
| US9461975B2 (en) | Method and system for traffic engineering in secured networks | |
| CN107852365B (en) | Method and apparatus for dynamic VPN policy model | |
| US11283831B2 (en) | Dynamic device isolation in a network | |
| JP2023098874A (en) | Flow metadata exchanges between network function and security function for security service | |
| O'Raw et al. | IEC 61850 substation configuration language as a basis for automated security and SDN configuration | |
| Ashraf et al. | Challenges and Mitigation Strategies for Transition from IPv4 Network to Virtualized Next-Generation IPv6 Network. | |
| Alisherov et al. | Secure SCADA network technology and methods | |
| Kwon et al. | SVLAN: Secure & scalable network virtualization | |
| Liyanage et al. | Secure hierarchical VPLS architecture for provider provisioned networks | |
| Liyanage et al. | Secure virtual private LAN services: An overview with performance evaluation | |
| Majidha Fathima | A survey of the exemplary practices in network operations and management | |
| Chowdhary et al. | SUPC: SDN enabled universal policy checking in cloud network | |
| Ashraf et al. | SECURE INTER-VLAN IPv6 ROUTING: IMPLEMENTATION & EVALUATION. | |
| BR102014009429A2 (en) | NETWORK DATA VIRTUALIZATION SYSTEM AND FUNCTIONALITIES | |
| Liyanage | Enhancing security and scalability of virtual private lan services | |
| Moser | Performance Analysis of an SD-WAN Infrastructure Implemented Using Cisco System Technologies | |
| Okwuibe | Performance evaluation of HIP-based network security solutions | |
| Lee et al. | Secure and Scalable IoT: An IoT Network Platform Based on Network Overlay and MAC Security | |
| Sanguankotchakorn | SCALABLE DYNAMIC AND MULTIPOINT VIRTUAL PRIVATE NETWORK USING INTERNET PROTOCOL SECURITY FOR AN ENTERPRISE NETWORK | |
| Singh et al. | Comparative Analysis of MPLS Layer 2 VPN Techniques | |
| Tiamiyu | Trusted routing vs. VPN for secured data transfer over IP-networks/Internet | |
| Takamäki | Overlay Technologies and Microsegmentation in Data Centers | |
| Singh et al. | DIFFERENT SECURITY MECHANISMS FOR DIFFERENT TYPE OF SECURITY LAPSES IN WMN-A REVIEW |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| B25D | Requested change of name of applicant approved |
Owner name: TERACOM TELEMATICA S.A. (BR/RS) |
|
| B25G | Requested change of headquarter approved |
Owner name: TERACOM TELEMATICA S.A. (BR/RS) |
|
| B03A | Publication of a patent application or of a certificate of addition of invention [chapter 3.1 patent gazette] | ||
| B06F | Objections, documents and/or translations needed after an examination request according [chapter 6.6 patent gazette] | ||
| B07A | Application suspended after technical examination (opinion) [chapter 7.1 patent gazette] | ||
| B15K | Others concerning applications: alteration of classification |
Free format text: A CLASSIFICACAO ANTERIOR ERA: H04L 9/00 Ipc: G06F 15/173 (2006.01), H04L 12/24 (2006.01) |
|
| B09B | Patent application refused [chapter 9.2 patent gazette] | ||
| B09B | Patent application refused [chapter 9.2 patent gazette] |
Free format text: MANTIDO O INDEFERIMENTO UMA VEZ QUE NAO FOI APRESENTADO RECURSO DENTRO DO PRAZO LEGAL |