CN107395532B - 一种基于sdn的多租户虚拟网络隔离方法 - Google Patents

Abstract

本发明公开一种基于SDN的多租户虚拟网络隔离方法，同一网络设施下，租户可以使用完整的地址空间，且可以和其他租户重叠，相比于传统的基于SDN的虚拟网络隔离方法，解决了虚拟网络在同一网络设施环境下的地址复用问题；同时提出基于MAC地址重写的方式解决了大型数据中心多租户虚拟网络的隔离问题，并且通过优化流表的匹配规则允许通配匹配，大大压缩了流表空间，提高了交换机存储资源的利用率和可存储的流表项数量，间接减少了由于流表空间不足而重新下发流表造成的时延。

Description

一种基于SDN的多租户虚拟网络隔离方法

技术领域

本发明属于云管理领域，具体涉及一种基于SDN的多租户虚拟网络隔离方法。

背景技术

近年来，云计算的兴起极大提高了资源的利用率、减少了成本开支，受到各行各业的广泛关注和应用。随着云计算的飞速发展和用户规模的不断增大，用户网络需求不断提高，如何使得用户可以灵活地自定义网络拓扑和不同租户之间在同一网络设施下进行网络隔离，成为云计算网络不得不解决的重大问题。

传统的网络隔离方案主要采用VLAN的方式，但同一局域网内的VLAN数量有限，难以满足大型数据中心大规模用户的需求。而由Overlay技术衍生的OpenVPN、VXLAN、NVGRE等技术，虽然能够满足大规模租户的需求，但是由于采用封装手段在效率上不尽人意，而且配置复杂、扩展性比较差，因而在大型云数据中心的效果并不理想。

随着软件定义网络技术的出现，大型数据中心网络管理复杂、结构臃肿、可扩展性差的问题迎来了新的转机。SDN(软件定义网络)技术控制与转发分离的架构以及开放、可编程的特性，为云数据中心规模庞大的虚拟网络提供了程序一体化管理的可能，同时为多租户环境下虚拟网络的隔离和资源的高效利用提供了新的解决方案。

以OpenFlow为核心的软件定义网络技术围绕网络的虚拟化、多租户环境下的网络隔离的研究不断涌现。这些技术在特定的环境下实现了很好的隔离效果，从一定程度上满足了多租户的需求，但在某些方面表现出不足。

现有的一种实现多租户需求的SDN的方法，将物理网络划分成多个逻辑网络，从而实现多租户的需求。其主要利用由一组文本配置文件来定义的网络切片，其包含控制各种网络活动的规则，如允许、只读和拒绝，其范围包括流量的源IP地址、端口号或数据包的表头信息等，不同用户分属不同的网络切片。其转发所有控制器和openflow交换机的OpenFlow协议消息，根据报文是否在该租户租户的网络切片中来决定是否转发，从而实现不同租户在物理网络中的流量是隔离的。

由于这种方法只是简单地管理流空间的划分和消息的过滤，因此它只能实现轻量级的多租户虚拟网络。其所有的切片共享同样的流和地址空间，一个切片网络并没拥有完整、独立的地址空间，因此不支持任意的网络拓扑，且每个切片的流空间不允许重叠，租户之间的网络切片也需要协商。这些局限性也决定了这种方法并不适用于大型数据中心。

现有的另一种方法是利用网络虚拟化平台，通过流空间的虚拟化实现了多租户的虚拟网络。其翻译OpenFlow消息以及交换机和控制器、主机之间的数据包，实现了虚拟网络和物理网络的映射。这种方法完全虚拟化了流空间，用户可以使用任意的地址空间，也可以相互重复。当数据包从主机发出时，代理将数据包的虚拟MAC和IP地址替换成物理MAC和IP地址；当向主机发送报文时，代理又将物理MAC和IP地址替换成虚拟的MAC和IP地址。根据报文的物理MAC和IP地址来隔离不同租户的网络，从而使得在用户视图下的虚拟网络是相互隔离的，且拥有完成的流和地址空间。

由于匹配域中需要确切的物理MAC或IP地址来隔离不同租户的网络流量，且物理地址需要与唯一的虚拟地址相匹配，因此这种方法并不支持通配匹配和大规模流量的洪泛，另外，这种方法在处理可以通配匹配的流量时需要下发更多的流表项，消耗交换机大量的存储资源；同时由于交换机的存储资源有限，频繁的下发流表也会给网络带来更大的延时。

发明内容

本发明公开一种基于SDN的多租户虚拟网络隔离方法，相比于传统的基于SDN的虚拟网络隔离方法，解决了虚拟网络在同一网络设施环境下的地址复用问题，同一网络设施下，租户可以使用完整的地址空间，且可以和其他租户重叠；同时提出基于MAC地址重写的方式解决了大型数据中心多租户虚拟网络的隔离问题，并且通过优化流表的匹配规则允许通配匹配，大大压缩了流表空间，提高了交换机存储资源的利用率和可存储的流表项数量，间接减少了由于流表空间不足而重新下发流表造成的时延。

附图说明

图1为本发明中基于SDN的租户虚拟网络的系统架构图。

图2为本发明中拓扑发现原理图。

图3为本发明中处理ARP请求的流程图。

图4为本发明中物理MAC地址结构。

图5为本发明的一实施例的流表规则的设计表。

图6为本发明中一实施例的租户网络拓扑图。

图7为本发明中一实施例的租户网络的交换机的流表规则。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

本发明主要实现了多租户环境下基于SDN的虚拟网络隔离方法，用户可以使用任意的地址空间来构建自己的虚拟网络，同时采用通配匹配和二级流表对流表数量进行了压缩，大大提高了网络资源的利用率、减少了由于下发流表造成的网络时延。

图1为租户虚拟网络的完整系统架构图。控制器包括初始化模块，租户虚拟机信息表，路径决策模块，拓扑发现模块，ARP代理模块，流表管理模块。初始化时控制器从云管理门户获取租户的虚拟机信息包括虚拟MAC地址、IP、网关等，然后初始化模块为每台虚拟机生成一个物理MAC地址用来隔离不同租户的流量，物理MAC地址由租户的ID和虚拟机的ID生成。初始化模块维护了一张租户虚拟机的信息表。

初始化模块维护的租户虚拟机信息表，存储的信息包括虚拟机的租户信息(ID)、IP、物理MAC、虚拟MAC和网关。这些虚拟机的信息以字典的形式存在内存中，并随着网络的动态变化及时更新，如用户创建新的虚拟机时，控制器将从云管理门户获取新加入虚拟机的信息并及时更细这些字典，以保证网络的通畅。这些字典主要包括：ARP映射表(arp_table)用于控制器回复虚拟机和网关的ARP请求，ARP映射表格式为{租户ID:{虚拟机IP：虚拟机物理MAC}}，用户的网关IP、MAC也存于此表中；虚拟机的虚拟MAC和物理MAC映射表和反映射表，用于虚拟机在入口交换机和出口交换机的MAC地址切换，格式分别为{虚拟MAC：物理MAC}、{物理MAC：虚拟MAC}

控制器启动后，当有交换机接入控制器时，控制器首先向交换机下发table-miss流表，从而所有不匹配的报文将会转发给控制器，所述table-miss流表为是用于处理与其他所有流表项不匹配的报文的一条流表项，即报文不与其他流表项匹配时可与其匹配，匹配的后动作一般是转发给控制器，由控制器进行处理该报文。然后控制器拓扑发现模块构造PacketOut消息向交换机汇报的所有openflow端口发送LLDP数据包，LLDP报文的ChassisID TLV和Port ID TLV分别设置为该交换机的dpid和端口号，所述的Chassis ID为LLDP报文的一个字段，本发明使用LLDP报文的某些字段(TLV)来标识链路发现所需的信息(如交换机标识，端口号等)。该LLDP报文从对应的端口到达邻居交换机后转发给控制器，控制器从openflow消息中获取邻居交换机的标识和端口号(in_port)，再解析LLDP报文便得到一条链路的完整信息。控制器通过分析所有交换机转发过来的LLDP报文便可获得链路的源交换机、源接口，通过接收到的PacketIn消息知道目的交换机和目的接口，从而获取整个网络的链路信息。

本发明的拓扑发现的原理为：拓扑发现模块中的主机发现依赖于主机所产生的PacketIn消息，所述PacketIn消息为交换机发送给控制器的异步消息，通过PacketIn消息可以获得整个网络中的主机和所连接的交换机以及端口号，从而整个网络的拓扑信息都能被获取和更新。

在图2所示的实施例中，S1、S2链路通路发现流程为：

步骤(1)：启动控制器，开始监听；

步骤(2)：交换机S1接入SDN网络，并向控制器汇报此交换机的信息(交换机的标识dpid、交换机的端口信息等)；

步骤(3)：控制器向交换机下发table-miss流表项，该表项通配所有流量并转发给控制器且该表项优先级最低，只有找不到其他匹配表项时才会匹配此表项；

步骤(4)：控制器拓扑发现模块根据交换机S1的dpid和汇报的端口号构造LLDP报文(一个端口一个LLDP报文)，此LLDP报文的Chassis ID TLV和Port ID TLV分别设置为该交换机的dpid和端口号。控制器将所有构造的LLDP报文分别以PacketOut消息发送给交换机S1,此PacketOut消息附加了交换机应从对应端口转发的命令；

步骤(5)：交换机S1收到控制器的LLDP报文后，执行转发动作。如图2所示，由S1的dpid和端口Port1构造的LLDP报文将从端口Port1进行转发，并到达S2；

步骤(6)：S2收到S1发送过来的LLDP报文后，由于没有其他流表规则与其匹配，于是匹配table-miss表项，以PacketIn消息将此LLDP报文发送给控制器，其中PacketIn消息携带了S2的相关信息，包括S2的标识dpid以及该LLDP报文进入S2的端口号Port3(即PacketIn消息中in_port的值)；

步骤(7)：控制器收到交换机S2的PacketIn消息后，拓扑发现模块通过解析LLDP报文获取到S1的标识dpid和端口号Port1，再通过S2的PacketIn消息获取S2的标识dpid和端口号Port3，于是便得到了交换机机S1到S2的链路通路(S1 S2，Port1)和S2到S1的通路(S2S1，Port3)。

获取整个网络的拓扑信息后，使用为了保证网络的连通性，控制器路径决策模块计算出转发路径，然后流表管理模块根据转发路径下发相应的流表从而实现租户网络的连通。

所述路径决策模块计算转发路径的具体过程：

步骤(1)：路径决策模块将拓扑发现模块获取的全网的链路信息构成一个有向图；

步骤(2)：利用最短路径算法从有向图中获取从源端到目的端的通路；

步骤(3)：向通路的中间节点(如交换机)下发相应的流表实现租户网络的连通。

当两台主机相互通信时，需要通过ARP请求来获取对方的MAC地址。本发明采用代理回复ARP请求，可以有效减少网络中的洪泛流量。由于控制器可以轻松地从云管理门户中获取租户的虚拟机信息，因此ARP代理可以借助这些信息直接回复租户虚拟机的ARP请求，ARP回复的是虚拟机的物理MAC地址，即初始模块根据虚拟机的租户ID和虚拟机序号生成的MAC地址。本发明中虚拟机的真实MAC统称为vMAC，而在物理网络中传输使用的MAC称为pMAC，即物理MAC地址。虚拟机在底层的网络设施通信时，将采用MAC进行匹配，从而隔离不同租户的网络流量，由此带来的另一个好处是租户可以使用完整的IP地址空间且可以相互重叠。

整个ARP请求的流程如图3所示，其处理ARP请求的过程如下：S11.虚拟机发送ARP请求；S12.交换机收到ARP请求报文，产生PacketIn消息转发给控制器；S13.控制器解析PacketIn消息，判断报文是否为ARP请求，如果不是则丢弃，如果是，则根据源MAC地址获得源虚拟机的租户信息，并转入S14；S14.判断租户虚拟机信息表中是否存在该用户，如果不存在则丢弃，如果存在则查找该用户下目的IP为ARP请求主机IP的虚拟机，并转入S15；S15.查找该用户的虚拟机列表中是否存在目标主机，如果存在则回复目的主机的物理MAC地址，如果不存在则丢弃。

两台虚拟机相互通信时，虚拟机发送的数据包源MAC为虚拟机的虚拟MAC(即vMAC)，目的MAC为目的主机的物理MAC(即pMAC)，当报文进入发送方的接入交换机时，交换机根据相应的匹配规则将源MAC替换成对应的物理地址；而在接收方的接入交换机与之相反，将报文的目的MAC地址(即目的主机的pMAC)替换成目的主机的虚拟MAC(即vMAC)。而在其他非交换机的传输过程中源地址、目的地址均使用虚拟机的物理MAC，并根据流表的匹配来决定是否转发，从而实现租户流量的隔离。

所述的匹配规则为流表项的匹配域，流表项中的主要字段包括匹配域、动作、优先级等。匹配域中包括匹配字段和对应的值，匹配字段为报文的首部的一些常见字段如源MAC、目的MAC、源IP、目的IP等，匹配域的字段和值由下发流表时控制器来设定。报文进入交换机后将报文首部的值与每条流表项匹配域中字段的值进行匹配，然后根据匹配到的表项执行相应动作。本发明的匹配过程是从第0级流表开始匹配，根据收到的报文的报头与各流表项中的匹配域进行匹配，如匹配到多条流表项，则取优先级高的表项，然后执行该流表项的动作。若动作中包含转向第1级流表，则在此表中重复前面的操作。若没有匹配的流表项的报文，最终将被丢弃。

本发明所使用的的物理MAC地址(即pMAC)，其与虚拟机的MAC地址(即vMAC)，两者一一对应，且在物理网络通信过程中统一使用物理地址(pMAC)，其结构如图4所示。

物理MAC地址的前32位标识租户，能够满足大规模租户的需求，后16位标识当前租户下的虚拟机。在匹配的过程中通过匹配源MAC和目的MAC的租户标识(Tenant ID)是否相同来判定通信主机时候属于同一租户，进而决定转发与丢弃，实现租户网络隔离。字段长度的划分可根据实际情况进行调整，也可以对字段进行扩展以便功能扩展。

在隔离租户流量时需要下发相应的流表来进行匹配，本发明由于采用的MAC地址重写和物理MAC匹配，不仅实现了IP地址的复用，同时支持通配匹配，大大压缩了流表的数量。所述的通配匹配为使用一条流表匹配多个不同的流，并实现相同的操作。当没有使用MAC地址重写(即没有使用pMAC)时，为了实现一个租户n台虚拟机的网络通信，需要判断源和目的地址是否属于同一租户来决定是否转发，因此需要n*n条流表项，在大规模租户环境下，会给交换机的存储资源带来沉重的压力，当交换机存储资源不足时便会发生新的流表覆盖旧的流表，这种覆盖往往会给网络带来更大的时延。而采用地址重写后，流表的匹配项源端MAC地址只需要匹配租户标识，目的端保持不变，只需要n条流表项，大大压缩了流表的数量，提高了匹配的效率。

本发明中制定流表的规则即指定流表项的匹配域、优先级、动作等。如图5所示为本发明的一实施例的流表规则的设计表，根据数据流的方向将交换机分为入口交换机(源主机直连的交换机)、出口交换机(目的主机直连的交换机)和中间交换机，为保证数据通路和租户隔离，每类交换机下发的流表项不同。

入口交换机将匹配的报文的源MAC(报文从虚拟机发出时源MAC为虚拟机的虚拟MAC)，然后从对应端口转出。中间交换机将匹配的报文直接从对应端口转出，出口交换机将匹配的报文的目的MAC(物理MAC)改为虚拟MAC，然后从对应端口转给目的主机。对于源端和目的端在同一交换机下的情况，即该交换机既是出口又是入口交换机。交换机则将匹配的报文的源MAC改为源主机的物理MAC，目的MAC改为目的主机虚拟MAC，再从对应的端口转给目的主机。

图6为一实施例的租户网络拓扑图，图7为实施例中租户网络的交换机的流表规则，则租户虚拟机通信流程如下：

步骤(1)：租户的虚拟机H1向H2发送报文，报头的源MAC为vH1，目的MAC为pH2(v为虚拟地址，p为物理地址)

步骤(2)：报文到达交换机S1后，从table 0开始逐条匹配，匹配时将报文首部与匹配域中相对应字段的值进行比较。从图可以看出匹配到第一条将报文源MAC改成了pH1并进入table 1，继而匹配到第三条流表，从交换机的2端口转出。注：因为两台虚拟机为同一租户所有，故pH1/mask＝pH2/mask,pHx/mask即为用户的标识，可以匹配该用户所有虚拟机的物理MAC，因而第二步能匹配到第三条，后面同理。

步骤(3)：报文转出后从交换机S2的1端口进入，并开始从S2的table 0开始匹配，匹配到第二条，从端口2转出。

步骤(4)：报文进入S3后，匹配到第二条流表，将目的地址pH2改为vH2，并从端口2转发给虚拟机H2。至此，H2便收到了H1发送的报文，反过来亦是如此。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (5)

1.一种基于SDN的多租户虚拟网络隔离方法，包括：获取网络的拓扑信息后，当虚拟机相互通信时，虚拟机发送数据包的源MAC为虚拟机的虚拟MAC，目的MAC为目的主机的物理MAC，当报文进入发送方的接入交换机时，交换机根据匹配规则将源MAC替换成对应的物理地址；进入接收方的接入交换机时，将报文的目的物理MAC替换成目的主机的虚拟MAC，而在其他非接入交换机的传输过程中源地址、目的地址均使用虚拟机的物理MAC，并根据流表的匹配来决定是否转发报文，所述物理MAC由租户的ID和虚拟机的ID生成，在匹配的过程中通过匹配源MAC和目的MAC的租户标识是否相同判定通信主机是否属于同一租户，进而决定转发或者丢弃报文；

获取网络的拓扑信息后，为了保证网络的连通性，控制器中的路径决策模块计算出转发路径，然后流表管理模块根据转发路径下发相应的流表从而实现租户网络的连通；

所述路径决策模块计算出转发路径的过程为，路径决策模块将拓扑发现模块获取的全网的链路信息构成一个有向图，利用最短路径算法从有向图中获取从源端到目的端的通路，向通路的中间节点的交换机下发相应的流表实现租户网络的连通；

当两个租户的主机相互通信时，ARP代理直接回复租户虚拟机的ARP请求，所述回复的是虚拟机的物理MAC地址。

2.如权利要求1所述的方法，其特征在于，为获取网络的拓扑信息，当有交换机接入控制器时，控制器首先向交换机下发流表，所有不匹配的报文将会转发给控制器，然后控制器向交换机汇报的所有openflow端口发送LLDP报文。

3.如权利要求2所述的方法，其特征在于，所述LLDP报文从对应的端口到达邻居交换机后转发给控制器，控制器从openflow消息中获取邻居交换机的标识和端口号in_port，再解析LLDP报文便得到一条链路的完整信息。

4.如权利要求3所述的方法，其特征在于，处理ARP请求的过程如下：步骤S1.虚拟机发送ARP请求；步骤S2.交换机收到ARP请求，产生PacketIn消息转发给控制器；步骤S3.控制器解析PacketIn消息，判断报文是否为ARP请求，如果不是则丢弃，如果是，则根据源MAC地址获得源虚拟机的租户信息，并转入步骤S4；步骤S4.判断租户虚拟机信息表中是否存在所述租户，如果不存在则丢弃，如果存在则查找所述租户下目的IP为ARP请求主机IP的虚拟机，并转入步骤S5；步骤S5.查找所述租户的虚拟机列表中是否存在目标主机，如果存在则回复目的主机的物理MAC地址，如果不存在则丢弃。

5.如果权利要求4所述的方法，其特征在于，在系统中获取交换机S1、交换机S2链路通路的步骤为：

步骤(1)：启动控制器，开始监听；

步骤(2)：交换机S1接入SDN网络，并向控制器汇报此交换机的信息，所述信息包括交换机的标识dpid，交换机的端口信息；

步骤(3)：控制器向交换机下发table-miss表项，所述table-miss表项通配所有流量并转发给控制器且该table-miss表项优先级最低，只有找不到其他匹配表项时才会匹配此表项；

步骤(4)：控制器拓扑发现模块根据交换机S1的dpid和汇报的端口号构造LLDP报文，一个端口配一个LLDP报文，LLDP报文的Chassis ID TLV和Port ID TLV分别设置为该交换机的dpid和端口号，所述Chassis ID TLV和Port ID TLV为LLDP报文的字段，控制器将所有构造的LLDP报文分别以PacketOut消息发送给交换机S1，所述PacketOut消息为附加了交换机应从对应端口转发的命令；

步骤(5)：交换机S1收到控制器的LLDP报文后，执行转发动作，由交换机S1的dpid和端口Port1构造的LLDP报文从端口Port1进行转发，到达交换机S2；

步骤(6)：交换机S2收到交换机S1发送过来的LLDP报文后，没有其他流表规则与其匹配，则匹配table-miss表项，以PacketIn消息将所述LLDP报文发送给控制器，所述PacketIn消息为携带了交换机S2的相关信息，所述相关信息包括交换机S2的标识dpid以及该LLDP报文进入交换机S2的端口号Port3；

步骤(7)：控制器收到交换机S2的PacketIn消息后，拓扑发现模块通过解析LLDP报文获取到交换机S1的标识dpid和端口号Port1，再通过交换机S2的PacketIn消息获取交换机S2的标识dpid和端口号Port3，于是便得到了交换机交换机S1到交换机S2的通信链路。

Images