CN107689885A - 网络功能虚拟化架构 - Google Patents

Abstract

本发明公开了一种网络功能虚拟化架构，其包括并行策略模块、前置策略模块、后置策略模块、分支策略模块中的至少一种。并行策略模块包括的两个网络功能单元可同时对相同数据报文进行处理；前置策略模块和后置策略模块分别可将指定的网络功能单元作为第一个和最后一个对数据报文进行处理的网络功能单元；分支策略模块可根据内部一个网络功能单元对数据报文的处理结果来选取下一个对数据报文进行处理的网络功能单元。循环策略模块内部的单个网络功能单元或多个有序排列的网络功能单元组可对数据报文进行有限次数的循环处理。本发明增加了网络功能虚拟化的灵活性，扩大了网络功能虚拟化中的网络功能单元之间的连接方式和传递关系以及功能和应用范围。

Description

网络功能虚拟化架构

技术领域

本发明涉及互联网技术领域，尤其涉及一种网络功能虚拟化架构。

背景技术

在传统网络中，网络功能由专有的硬件承载，这些网络功能被称为中间件。然而现在人们对络功能特性的需求逐渐增多，网络功能的发展也越来越快。然而针对新增网络功能的中间件的开发并不容易，斯坦福大学Nick Mckeon教授研究发现，为专有硬件增加一个新特性需要四年的时间。因此开发专有硬件存在着开发周期长，实用寿命短，投资成本和运营成本高等问题。

为解决上述中间件存在的问题，欧洲电信标准协会提出了网络功能虚拟化，将专有硬件承载的中间件转换为基于软件实现的网络功能，从而降低了开发难度和研发成本，并缩短了研发周期。现有的网络功能虚拟化中的网络功能一般只串行连接。而在网络功能虚拟化中仅对网络功能进行串行连接存在如下问题：1.网络功能进行串行连接仅能表示网络功能的顺序关系，无法表示复杂的网络功能连接方式；降低了网络功能虚拟化架构的灵活性，阻碍网络功能虚拟化的多种部署和实现。2.无法实现网络对不相关的应用进行并行加速，从而不能对网络功能虚拟化的网络性能的进行提升。3.网络功能进行串行连接的方式要求管理员提供一整条包含所有需要的网络功能的服务链，而在连接的过程中管理员可能仅对其中某些网络功能的顺序有所指定，而对其他网络功能在服务链中的顺序没有要求；因此不仅增加了管理员的负担，而且还降低了网络功能虚拟化的灵活性。

发明内容

本发明所要解决的技术问题是克服现有网络功能虚拟化中的网络功能仅通过串行方式连接存在的局限性，增加了网络功能虚拟化中的网络功能之间的连接方式，扩大了网络功能虚拟化的功能和应用范围。

为了解决上述技术问题，本发明提供了一种网络功能虚拟化架构，包括以下网络功能策略模块中的至少一种：

并行策略模块，包括并联连接的第一网络功能单元和第二网络功能单元，以用于同时对相同的数据报文进行处理；

前置策略模块，包括设置于所述架构首位的第三网络功能单元，用于指定第三网络功能单元对输入至所述架构的数据报文进行优先处理；

后置策略模块，包括设置于所述架构尾端的第四网络功能单元，用于指定第四网络功能单元在架构中最后对数据报文进行处理；

分支策略模块，包括条件网络功能单元、判断单元以及与所述条件网络功能单元对数据报文的处理结果一一对应的多个待处理网络功能单元，所述条件网络功能单元和多个所述待处理网络功能单元分别与所述判断单元连接，所述判断单元被配置为将所述条件网络功能单元对数据报文进行处理得到的处理结果传输给与该处理结果相对应的待处理网络功能单元；

循环策略模块，包括第五网络功能单元或内部有序排列的网络功能单元组，所述第五网络功能单元和所述网络功能单元组被配置为可对数据报文进行有限次的循环处理。其中，网络功能单元为承载有网络功能的单元。

优选地是，网络功能虚拟化架构还包括串行策略模块，所述串行策略模块包括多个顺次连接的网络功能单元，以用于使网络功能单元对数据报文依次进行处理。

优选地是，各个网络功能策略模块彼此无冲突。

优选地是，在所述并行策略模块中，当所述第一网络功能单元和所述第二网络功能单元的处理结果相同时，将所述第一网络功能单元或第二网络功能单元的处理结果作为所述并行策略模块的输出结果。

优选地是，所述并行策略模块还包括优先级单元，与所述第一网络功能单元和所述第二网络功能单元分别连接，其被配置为在所述第一网络功能单元和所述第二网络功能单元的处理结果不同时，在两个处理结果之间确定所述并行策略模块的输出结果。

优选地是，所述网络功能单元组包括多个网络功能单元顺次连接。

优选地是，所述网络功能虚拟化架构与仅存在串行策略模块的网络功能虚拟化架构兼容。

优选地是，所述网络功能虚拟化架构应用于物理服务器、虚拟机或容器中。

与现有技术相比，上述方案中的一个或多个实施例可以具有如下优点或有益效果：

在应用本发明实施例提供的网络功能虚拟化架构中，并行策略模块、前置策略模块、后置策略模块和分支策略模块内部分别对网络功能的连接方式的限定，或网络功能之间对数据报文传递方式的限定，扩大了网络功能虚拟化中的网络功能之间的连接方式和传递关系。同时，通过选取不同的策略模块，并对选取的策略模块采取不同的连接方式，使得得到的网络功能虚拟化架构能够对数据报文进行更多样的处理，满足了人们逐渐丰富的网络功能连接要求，增加了网络功能虚拟化的灵活性，扩大了网络功能虚拟化的功能和应用范围。另外，本发明为管理员提供了创新性的网络功能连接方式，可供管理员灵活设计网络功能虚拟化架构。

本发明的其它特征和优点将在随后的说明书中阐述，并且部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例共同用于解释本发明，并不构成对本发明的限制。在附图中：

图1示出了本发明实施例一中并行策略模块中网络功能单元对数据报文进行处理的流程示意图；

图2示出了本发明实施例一中前置策略模块和后置策略模块中网络功能单元对数据报文进行处理的流程示意图；

图3示出了本发明实施例一中分支策略模块中网络功能单元对数据报文进行处理的流程示意图；

图4示出了本发明实施例一中循环策略模块中网络功能单元对数据报文进行处理的流程示意图；

图5示出了本发明实施例二中串行策略模块中网络功能单元对数据报文进行处理的流程示意图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

传统的网络中，若要增加网络功能，需要开发新的中间件，而中间件的开发往往周期长、使用寿命短、成本高。因此，现在采用网络功能虚拟化将专有硬件承载的中间件转换为基于软件实现的网络功能，来降低开发难度和研发成本。然而现有的网络功能虚拟化中的网络功能均为串行连接，仅能表示简单的网络功能连接方式，无法表示网络功能之间复杂的连接关系，因此，不能满足人们对网络逐渐复杂的功能需求。同时，由于现有网络功能串行连接方式对网络功能虚拟化具有一定的局限性，因此，降低了网络功能虚拟化架构的灵活性，阻碍了网络功能虚拟化的多种部署和实现。

实施例一

为解决现有技术中存在的上述技术问题，本发明实施例提供了一种网络功能虚拟化架构。

本实施例网络功能虚拟化架构包括并行策略模块、前置策略模块、后置策略模块、分支策略模块和循环策略模块中的一种或多种，各模块之间根据该网络功能虚拟化构架的构建需要进行对应连接。

图1示出了本发明实施例一中并行策略模块中网络功能单元对数据报文进行处理的流程示意图；参照图1。

并行策略模块，包括并联连接的第一网络功能单元A、第二网络功能单元B以及分别与第一网络功能单元A、第二网络功能单元B连接的优先级单元1，第一网络功能单元A和第二网络功能单元B可以同时对相同的数据报文进行处理。

具体地，当第一网络功能单元A和第二网络功能单元B对数据报文进行处理后的处理结果相同时，并行策略模块输出第一网络功能单元A或第二网络功能单元B的处理结果。当第一网络功能单元A和第二网络功能单元B对数据报文进行处理后的处理结果不同时，优先级单元1根据管理员设定的优先级条件在两个处理结果之间确定并行策略模块的输出结果。更进一步地，管理人员选定优先级条件，当第一网络功能单元A对数据报文的处理结果符合优先级条件时，并行策略模块输出第一网络功能单元A对数据报文的处理结果。第二网络功能单元B对数据报文的处理结果符合优先级条件时，并行策略模块输出第二网络功能单元B对数据报文的处理结果。

需要说明的是，优先级条件设置为只能有一个网络功能单元的处理结果满足。另外，第一网络功能单元A和第二网络功能单元B同时对相同的数据报文进行处理是指，第一网络功能单元A和第二网络功能单元B同时对同一份数据报文原件进行处理，或第一网络功能单元A和第二网络功能单元B同时对一份数据报文原件和该数据报文原件的复制件分别进行处理。

为了更进一步地说明并行策略模块的功能，以下具体列举了两种并行策略模块的应用场景；

(1)一个网络功能单元和另一个网络功能单元对数据报文的处理结果没有任何冲突，可以使用并行策略模块。例如：网络监控功能Monitor和网络缓存功能Caching，两者不存在对数据报文进行转变的过程，处理结果均为原始数据报文。此时，管理人员可以直接使用并行策略模块，将网络监控功能Monitor作为第一网络功能单元A，网络缓存功能Caching作为第二网络功能单元B，管理人员任意指定两者的处理结果为并行策略模块的输出结果。此时，并行策略模块可形式化表示为：

Priority(Monitor>Caching)when[all actions]

其中，此表达式的意思为：在任何情况下，并行策略模块的输出结果均以网络监控功能Monitor为准。

(2)一个网络功能单元和另一个网络功能单元对数据报文的处理结果具有一定的冲突，但可以指定对数据报文的处理结果的优先级进行解决；而且两者对数据报文的处理分别不依赖于对方对数据报文的处理结果，可以使用并行策略模块。例如：防火墙功能Firewall在对数据报文进行处理的过程中可能会丢弃报文；深度包检测DPI在对数据报文进行处理的过程中可能会深入检测报文应用层信息，并根据结构丢弃报文。管理员希望，当防火墙功能Firewall认为数据报文应当通过，而深度包检测DPI认为数据报文应当丢弃时，输出结果以深度包检测DPI为准；当防火墙功能Firewall认为数据报文应当丢弃，而深度包检测DPI认为数据报文应当通过时，输出结果以防火墙功能Firewall为准。此时，管理人员可以直接使用并行策略模块，将防火墙功能Firewall作为第一网络功能单元A，深度包检测DPI作为第二网络功能单元B，指定对数据报文的处理结果是数据报文应当丢弃为优先级单元1的优先级条件，则可以达到管理员希望达到的作用。此时，并行策略模块可形式化表示为：

Priority(Firewall>DPI)when[{Firewall drop and DPI allow}]

Priority(DPI>Firewall)when[{else}]

其中，“else”表示在其余除上边定义以外的所有情况。

图2示出了本发明实施例一中前置策略模块和后置策略模块中网络功能单元对数据报文进行处理的流程示意图。

参照图2，前置策略模块，包括设置于架构首位的第三网络功能单元C，用于指定第三网络功能单元C对输入至架构的数据报文进行优先处理。

具体地，指定第三网络功能单元C设置于网络功能虚拟化架构的首位，目的为确定第三网络功能单元C能够首先对输入网络功能虚拟化构架的数据报文进行处理，即确定一个网络功能单元，该网络功能单元即为首先对输入网络功能虚拟化构架的数据报文进行处理。

为了更进一步的说明前置策略模块的功能，以下具体列举了一种前置策略模块的应用场景。

例如：对于数据中心南北向流量，管理人员希望数据报文在进入内网之前先经过虚拟专用网络功能VPN的识别与处理，然后才能送入内网。此时，管理人员可以直接使用前置策略模块，将虚拟专用网络功能作为第三网络功能单元C，则可以达到管理员所希望达到的效果。同时，前置策略模块可形式化表述为：

Position(VPN,first)

后置策略模块，包括设置于网络功能虚拟化架构尾端的第四网络功能单元D，用于指定第四网络功能单元D在网络功能虚拟化架构中最后对数据报文进行处理。

具体地，由于该网络功能虚拟化架构中存在并行策略模块和/或分支策略模块，而并行策略模块和分支策略模块均会使得整合后的网络功能单元连接方式不再是一条服务链，因此，管理人员无法使得某网络功能单元成为网络功能虚拟化架构中最后一个对数据报文进行处理的网络功能单元。为了解决这个问题，后置策略模块可以具体指定网络功能单元为网络功能虚拟化架构中最后一个对数据报文进行处理的网络功能单元，即确定网络功能单元，该网络功能单元即为最后对输入网络功能虚拟化构架的数据报文进行处理。

为了更进一步的说明后置策略模块的功能，以下具体列举了一种后置策略模块的应用场景；

例如：对于数据中心流量，网络管理员希望对入口流量进行安全审查后，最后要经过负载均衡功能LB的处理，然后再将负载分给后端服务器。此时，管理人员可以直接使用前置策略模块，将虚拟专用网络功能作为第四网络功能单元D，则可以达到管理员所希望达到的效果。同时，后置策略模块可形式化表述为：

Position(LB,last)

需要注意的是，在一个网络功能虚拟化架构中只能存在一个前置策略模块和一个后置策略模块，这样才能保证策略模块之间不发生冲突。

图3示出了本发明实施例一中分支策略模块中网络功能单元对数据报文进行处理的流程示意图。

参照图3，分支策略模块，包括条件网络功能单元E、判断单元K以及与条件网络功能单元E对数据报文的处理结果一一对应的多个待处理网络功能单元，条件网络功能单元E和多个待处理网络功能单元分别与判断单元K连接，判断单元K被配置为将条件网络功能单元对数据报文进行处理得到的处理结果传输给与该处理结果相对应的待处理网络功能单元。

具体地，条件网络功能单元E对数据报文进行处理，得到的处理结果一般包括多种可能。每一种处理结果分别有一个待处理网络功能单元与之对应。判断单元K与条件网络功能单元E连接，用于对条件网络功能单元E对数据报文的处理结果进行判断，并在判断后将处理结果传输给与该处理结果相对应的待处理网络功能单元。每一个待处理网络功能单元均对传输来的处理结果进行下一步的处理。即分支策略模块允许根据条件网络功能单元E的实时处理结果，来决定哪一个网络功能单元对处理结果(即数据报文)进行进一步的处理。

为了更进一步地说明分支策略模块的功能，以下具体列举了一种分支策略模块的应用场景。

网络功能单元为安全应用，根据对数据报文的过滤结果，决定数据报文的走向，将数据报文传输给待处理网络功能单元F或待处理网络功能单元G等。例如：管理人员希望根据防火墙功能Firewall对数据报文的过滤结果，将安全的数据报文送入负载均衡功能LB，将不安全的报文送入入侵预防系统IPS。此时，管理人员可以直接使用分支策略模块，将防火墙功能Firewall作为条件网络功能单元，将负载均衡功能LB和入侵预防系统IPS分别作为与处理结果安全和处理结果不安全对应的待处理网络功能单元。同时，分支策略模块可形式化表述为：

Branch(Firewall→LB)if[{action of Firewall＝pass}]else(Firewall→IPS)。

图4示出了本发明实施例一中循环策略模块中网络功能单元对数据报文进行处理的流程示意图。

参照图4，循环策略模块，包括第五网络功能单元H或多个有序排列的网络功能单元构成的网络功能单元组，第五网络功能单元H和网络功能单元组被配置为可对数据报文进行有限次的循环处理。

具体地，可以使第五网络功能单元H循环对数据报文进行有限次的处理，或使多个网络功能单元有序排列方式构成的网络单元组循环对数据报文进行有限次的处理。更进一步地，网络功能单元组中的多个网络功能单元为顺次连接，即串行连接。需要说明的一点是，循环策略模块管理人员必须指定循环的次数，以保证能在有限的时间内完胜对数据报文的处理。

为了更进一步的说明循环策略模块的功能，以下具体列举了一种循环策略模块的应用场景。

数据报文需要多次经过网络功能单元的情况。例如，网络功能单元为网络监控功能Monitor，管理人员希望对具有某类特征的同一份数据报文进行多次(如3次)采样并分析。此时，管理人员可以直接使用循环策略模块，将网络监控功能Monitor作为第五网络功能单元H，并指定循环次数为3，即可达到管理人员所希望达到的效果。同时，循环策略模块可形式化表述为：

Circular(Monitor,3)。

需要说明的是，为满足网络功能虚拟化构架的功能需求，并在各个网络功能策略模块彼此无冲突的前提下。各策略模块中的网络功能单元均不为固定网络功能单元，当管理人员需要网络功能单元存在上述策略模块中的连接方式或对数据报文的处理方式时，可直接将符合要求的网络功能单元安装于上述策略模块中使用。网络功能单元为承载有网络功能的单元。

本实施例网络功能虚拟化架构可应用于物理服务器、虚拟机或容器等多种网络功能虚拟化的底层基础设施中。

应用本实施例，可以灵活地将网络功能应用于提供的并行策略模块、前置策略模块、后置策略模块或分支策略模块中，增加了网络功能单元之间的连接方式，扩大了网络功能虚拟化的适用范围。同时直接将符合要求的网络功能单元设置于上述策略模块中，还减少了对网络功能单元的连接步骤，减轻了管理人员对网络功能单元的连接负担，可实现网络功能虚拟化的多种部署和复杂功能。上述对各个策略模块的应用场景进行具体分析，更加清楚地说明了各个策略模块的使用情况和适用范围。

实施例二

本实施例在实施例一的基础上对网络功能虚拟化架构进行进一步的限定。

本实施例网络功能虚拟化架构还包括串行策略模块。图5示出了本发明实施例二中串行策略模块中网络功能单元对数据报文进行处理的流程示意图。

参照图5，串行策略模块包括多个顺次连接的网络功能单元，以用于网络功能单元对数据报文依次进行处理。

具体地，要求数据报文依次经过多个顺次排列的网络功能单元，即顺次连接的网络功能单元依次对数据报文进行处理。

为了更进一步地说明串行策略模块的功能，以下具体列举了三种串行策略模块的应用场景；且均以网络功能单元I和网络功能单元J为例。

(1)网络功能单元I提供基础安全应用，为网络功能单元J和后续网络提供安全保障。例如：网络功能单元I为防火墙Firewall，网络功能单元J为负载均衡器LB，管理人员要求入口流量首先经过防火墙Firewall过滤，然后再送入负载均衡器LB，为内网实现负载均衡。此时，管理人员可以直接使用串行策略模块，将负载均衡器LB连接于防火墙Firewall之后，在对数据报文进行处理时可达到管理员所希望达到的效果。同时，串行策略模块可形式化表述为：

Order(Firewall,LB)。

(2)网络功能单元I承载网络监控功能，而网络功能单元J可能对数据报文进行修改。为保证统计的正确性，需要将网络功能单元I设置于网络功能单元J之前，从而监控到正确的网络数据。例如：网络功能单元I为目的地址粒度报文统计功能Monitor；网络功能单元J为网络地址转换NAT。网络地址转换NAT会修改报文的目的地址，因此为保证收集到正确的统计数据，需要将网络功能单元I编排于网络功能单元J之前。此时，管理人员可以直接使用串行策略模块，将网络地址转换NAT连接于目的地址粒度报文统计功能Monitor之后，在对数据报文进行处理时可达到管理员所希望达到的效果。同时，串行策略模块可形式化表述为：

Order(Monitor,NAT)

(3)网络功能单元I与网络功能单元J对数据报文进行近似操作，但希望网络功能单元J后执行，进行最终决策。例如：I为防火墙Firewall，J为入侵防御系统IPS。防火墙Firewall会对可以数据报文进行丢弃，或将初步过滤结果为合法的数据报文传送给入侵防御系统IPS，由入侵防御系统IPS进行深度过滤。此时，管理人员可以直接使用串行策略模块，将入侵防御系统IPS连接于防火墙Firewall之后，在对数据报文进行处理时可达到管理员所希望达到的效果。同时，串行策略模块可形式化表述为：

Order(Firewall,IPS)。

应用本发明实施例提供的网络功能虚拟化架构，更进一步地增加了网络功能单元之间的连接方式，和更进一步的扩大了网络功能虚拟化的适用范围。管理人员在将网络功能单元进行串行连接的过程中，直接将符合要求的网络功能单元设置于串行策略模块中，进一步减轻了管理人员的工作负担，使管理人员在进行网络功能虚拟化架构设置时更加的便捷。同时使得得到的网络功能虚拟化架构更加的多样化，实现网络功能虚拟化的多种部署，以及通过对策略功能的选取和连接来使的网络功能虚拟化架构能够完成更复杂的功能。

虽然本发明所公开的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所公开的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (8)

1.一种网络功能虚拟化架构，其特征在于，包括以下网络功能策略模块中的至少一种：

并行策略模块，包括并联连接的第一网络功能单元和第二网络功能单元，以用于同时对相同的数据报文进行处理；

前置策略模块，包括设置于所述架构首位的第三网络功能单元，用于指定第三网络功能单元对输入至所述架构的数据报文进行优先处理；

后置策略模块，包括设置于所述架构尾端的第四网络功能单元，用于指定第四网络功能单元在架构中最后对数据报文进行处理；

分支策略模块，包括条件网络功能单元、判断单元以及与所述条件网络功能单元对数据报文的处理结果一一对应的多个待处理网络功能单元，所述条件网络功能单元和多个所述待处理网络功能单元分别与所述判断单元连接，所述判断单元被配置为将所述条件网络功能单元对数据报文进行处理得到的处理结果传输给与该处理结果相对应的待处理网络功能单元；

循环策略模块，包括第五网络功能单元或内部有序排列的网络功能单元组，所述第五网络功能单元和所述网络功能单元组被配置为可对数据报文进行有限次的循环处理。

2.根据权利要求1所述的网络功能虚拟化架构，其特征在于，还包括串行策略模块，所述串行策略模块包括多个顺次连接的网络功能单元，以用于使网络功能单元对数据报文依次进行处理。

3.根据权利要求1或2所述的网络功能虚拟化架构，其特征在于，各个网络功能策略模块彼此无冲突。

4.根据权利要求1所述的网络功能虚拟化架构，其特征在于，在所述并行策略模块中，当所述第一网络功能单元和所述第二网络功能单元的处理结果相同时，将所述第一网络功能单元或第二网络功能单元的处理结果作为所述并行策略模块的输出结果。

5.根据权利要求1所述的网络功能虚拟化架构，其特征在于，所述并行策略模块还包括优先级单元，与所述第一网络功能单元和所述第二网络功能单元分别连接，其被配置为在所述第一网络功能单元和所述第二网络功能单元的处理结果不同时，在两个处理结果之间确定所述并行策略模块的输出结果。

6.根据权利要求1所述的网络功能虚拟化架构，其特征在于，所述网络功能单元组包括多个网络功能单元顺次连接。

7.根据权利要求2所述的网络功能虚拟化架构，其特征在于，所述网络功能虚拟化架构与仅存在串行策略模块的网络功能虚拟化架构兼容。

8.根据权利要求1至7中的任意一项所述的网络功能虚拟化架构，其特征在于，其应用于物理服务器、虚拟机或容器中。