CN218387925U - 边缘计算网络安全架构 - Google Patents

Abstract

本申请提供一种边缘计算网络安全架构，包括：依次连接的基础网络设施层、网络资源虚拟化层、网络资源的虚拟化控制层和应用服务层。其中，基础网络设施层包括基础网络设施；网络资源虚拟化层包括多个虚拟功能网元，虚拟功能网元用于对基础网络设施提供的资源进行虚拟化处理；网络资源的虚拟化控制层用于编排虚拟化处理后的资源，以及控制边缘计算网络安全架构。本申请提供的边缘计算网络安全架构能够保护应用移动边缘计算技术的网络的网络安全和隐私，避免网络攻击以及网络信息的泄露与窃取。

Description

边缘计算网络安全架构

技术领域

本申请涉及通信网络技术领域，尤其涉及一种边缘计算网络安全架构。

背景技术

网络的安全与隐私问题一直是网络技术面临的重要挑战，也是科学界一直在努力解决的难题。传统的网络安全是靠防火墙、病毒防御、清除技术、数据加密技术等来实现。但随着网络技术的发展，移动边缘计算(Mobile Edge Computing，简称MEC)技术带来了崭新的数据服务模式。在MEC技术中的任务不仅仅是在数据中心这样的具有安全防范措施比较高的环境下，也会涉及在移动终端处于高速运动阶段的网络数据安全的问题，导致传统的网络安全技术对MEC技术下的网络数据安全和隐私保护作用有限。因此，亟需一种对应用MEC技术的网络的网络安全和隐私进行保护的方案。

相关技术中，对应用MEC技术的网络的网络安全和隐私的保护措施停留在硬件的加固和安全防范模型的搭建，但这种保护措施无法避免网络攻击以及网络信息的泄露与窃取。

实用新型内容

本申请提供一种边缘计算网络安全架构，能够提高应用移动边缘计算技术时数据传输的安全性，避免网络攻击以及网络信息的泄露与窃取。

本申请提供的边缘计算网络安全架构，包括：依次连接的基础网络设施层、网络资源虚拟化层、网络资源的虚拟化控制层和用于提供应用服务的应用服务层；

基础网络设施层，包括基础网络设施；

网络资源虚拟化层，包括多个虚拟功能网元，虚拟功能网元用于对基础网络设施提供的资源进行虚拟化处理；

网络资源的虚拟化控制层，用于编排虚拟化处理后的资源，以及控制边缘计算网络安全架构。

可选的，多个虚拟功能网元包括第一虚拟功能网元、第二虚拟功能网元和第三虚拟功能网元，资源包括计算资源、存储资源和网络资源，其中：

第一虚拟功能网元，用于对计算资源进行虚拟化处理；

第二虚拟功能网元，用于对网络资源进行虚拟化处理；

第三虚拟功能网元，用于对存储资源进行虚拟化处理。

可选的，网络资源虚拟化层还包括：用于识别数据类型的识别设备，其中，识别设备分别与基础网络设施和虚拟功能网元连接。

可选的，虚拟功能网元部署在虚拟机上。

可选的，网络资源的虚拟化控制层包括：与虚拟功能网元连接的网络控制器和资源编排器；

其中，网络控制器，用于控制虚拟功能网元进行虚拟化处理，以构建边缘计算网络的运行；

资源编排器，用于编排虚拟化处理后的资源。

可选的，网络控制器还用于：对边缘计算网络安全架构的存储和计算进行控制。

可选的，应用服务层包括：容器编排器与运行有应用的容器；

容器编排器与容器连接；

容器编排器，用于对容器进行管理。

可选的，容器编排器，具体用于：

基于负载均衡要求，按照容器的类型，对容器进行管理。

可选的，容器包括：智能管理服务容器、视频类服务容器和时延敏感类应用容器。

可选的，基础网络设施包括边缘计算服务器、基站、应用服务器、传输网络、交换机以及无线接入点。

本申请提供的一种边缘计算网络安全架构，采用分层模式，包括依次连接的基础网络设施层、网络资源虚拟化层、网络资源的虚拟化控制层和应用服务层。这种分层可以一层层屏蔽硬件和软件的差异性，能减少开发的难度。其中，基础网络设施层包括基础网络设施；网络资源虚拟化层包括多个虚拟功能网元，且虚拟功能网元用于对所述基础网络设施提供的资源进行虚拟化处理；网络资源的虚拟化控制层用于编排虚拟化处理后的资源，以及控制所述边缘计算网络安全架构。由于网络资源虚拟化层包括多个虚拟功能网元，因此不同的数据可以从不同的虚拟功能网元生成的数据通道中传输，能解耦不同资源之间的相互依赖，方便代码问题的排错。更加能保证数据传输的安全性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为边缘计算的网络结构图；

图2为本申请实施例提供的边缘计算网络安全架构结构示意图之一；

图3为本申请实施例提供的边缘计算网络安全架构结构示意图之二；

图4为本申请实施例提供的应用服务层的具体结构示意图。

附图标记说明：

200-边缘计算网络安全架构；

10-物联网设备；

20-基础网络设施层；

30-网络资源虚拟化层；

301-虚拟功能网元；

3011-第一虚拟功能网元；

3012-第二虚拟功能网元；

3013-第三虚拟功能网元；

302-识别设备；

40-网络资源的虚拟化控制层；

401-网络控制器；

402-资源编排器；

50-应用服务层；

501-容器编排器；

502-智能管理服务容器；

503-视频类服务容器；

504-时延敏感类应用容器；

505-应用。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

本申请的说明书和权利要求书中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、产品或设备固有的其它步骤或单元。

在传统的移动通信系统中，终端发射的电磁信号首先会被基站接收，然后在基站内被转换成数字信号并顺着各级电信设备一级级上溯到核心网，之后再由核心网转发到云计算中心中去。在网络性能要求不高的时候，这种层层转发的工作模式可以满足通信需求，但对于5G(5th Generation Mobile Communication Technology，第五代移动通信技术)而言，这种方式不能满足5G高速率和低时延的需求。

为了使终端发送的请求更快的被响应，欧洲电信标准协会提出了移动边缘计算技术。移动边缘计算技术指的是在数据源头即终端的一侧，采用网络、计算、存储、应用核心能力为一体的开放平台就近提供服务的技术。图1为边缘计算的网络结构图。参照图1，核心网络可以与云计算中心进行交互，核心网络还可以与边缘服务器进行数据交互，边缘服务器即上述的开放平台，在终端发送请求后，边缘服务器就可以对该请求进行快速响应，而不需要将信号层层转发。移动边缘计算技术可以产生更快的网络服务响应，以满足行业在实时业务、应用智能、安全与隐私保护等方面的基本需求。

但在实际数据传输过程中，由于虚拟网络的脆弱性，其相比实体通信手段，更加容易遭受窃听与攻击，终端甚至会遭到破坏。并且网络中的恶意攻击可能通过伪装成为合法用户，取得网络通信服务信任之后开始攻击，这种破坏难以根除并及时解除。另外，移动网络的应用离不开智能设备，网络技术和智能设备的同步发展意味着它们会同时遭受到网络恶意攻击，如经常见到的病毒、木马等。因此，如何保障在移动边缘计算技术的数据传输的安全成为了亟待解决的问题。

相关技术中，对应用移动边缘计算技术的网络的网络安全和隐私的保护措施停留在硬件的加固和安全防范模型的搭建。例如：安全防范模型可以通过云侧模块阻止预测的攻击事件；通过分级分域模块检测入侵事件，若检测到入侵事件，确定入侵事件对应的安全域和安全等级。但这种保护措施无法避免网络攻击以及网络信息的泄露与窃取。

基于上述问题，本申请提供了一种边缘计算网络安全架构。由于该网络架构引入了包含多个虚拟功能网元的网络资源虚拟化层，因此能够将虚拟功能网元之间解耦，使其相互独立，采用该架构可以更有针对性的对通过虚拟功能网元制造出的数据通道的数据进行保护，从而能够应对移动边缘计算技术中的多种形式的网络攻击和网络信息的泄露与窃取，保证数据传输的安全性。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

图2为本申请实施例提供的边缘计算网络安全架构结构示意图之一。如图2所示，边缘计算网络安全架构200包括依次连接的基础网络设施层20、网络资源虚拟化层30、网络资源的虚拟化控制层40和用于提供应用服务的应用服务层50。其中：

基础网络设施层20包括基础网络设施。该层是整个边缘计算网络安全架构200的基础。可选的，基础网络设施可以包括但不限于边缘计算服务器、基站、应用服务器、传输网络、交换机以及无线接入点等网络设施。传输网络可以是光纤等。

基础网络设施层20能够为平台提供基础的网络设施服务。数据在基础网络设施层20内的传输过程可以是：基站接收从用户侧发出信号，之后信号会从基站通过光纤传到边缘计算服务器进行数据的处理，最后再通过光纤进行数据下一步的传输。上述的用户侧可以是物联网设备10端，例如：基站服务设备。

网络资源虚拟化层30，包括多个虚拟功能网元301，虚拟功能网元301用于对基础网络设施提供的资源进行虚拟化处理。可以理解，对于不同的虚拟功能网元301，其实现的功能可以是相同的，也可以是不同的，具体可根据实际需求进行设置。

虚拟化处理指的是将计算机的各种实体资源，例如：CPU、内存、磁盘空间、网络适配器，予以抽象、转换后呈现出来的处理过程，经过虚拟化处理的实体资源可供分割、组合为一个或多个电脑配置环境。虚拟化处理能够打破实体结构间的不可切割的障碍，使用户可以以比原本的配置更好的方式来应用这些电脑硬件资源。

对资源进行虚拟化处理可以重新定义和划分资源，进而实现数据的结构化和存储资源的弹性。在本实施例中，由于引入了网络资源虚拟化层30，且网络资源虚拟化层30中包含有多个虚拟功能网元301，因此不同的虚拟功能网元301之间可以解耦，即软件之间可以解耦。

网络资源的虚拟化控制层40用于编排虚拟化处理后的资源，以及控制边缘计算网络安全架构200。

编排处理后的资源即编排资源指的是一项简化云计算资源管理和运维的服务。具体的，编排资源的过程可以是用户通过模板描述多个云资源的配置信息和依赖关系，再通过模板创建资源栈，最后自动完成所有资源的创建和配置，以实现资源的统一管理和自动化运维等目的。

网络资源的虚拟化控制层40能在边缘计算网络安全架构200融入网络后进行网络的整体控制。

应用服务层50可以是智能终端，例如：手机、平板电脑、手机电话等。应用服务层50内包含了各种应用。

示例地，在数据传递过程中，数据可以从靠近基础设施层的一侧的物联网设备10中发出，经过基础设施层传递至网络资源虚拟化层30，网络资源的虚拟化控制层40会对资源进行编排并控制网络资源虚拟化层30对资源进行虚拟化，以使数据能够有独立的通道进行传输，数据经过传输后会到达应用服务层50中。

本申请实施例提供的一种边缘计算网络安全架构，采用分层模式，包括依次连接的基础网络设施层、网络资源虚拟化层、网络资源的虚拟化控制层和应用服务层。这种分层可以一层层屏蔽硬件和软件的差异性，能减少开发的难度。其中，基础网络设施层包括基础网络设施；网络资源虚拟化层包括多个虚拟功能网元，且虚拟功能网元用于对基础网络设施提供的资源进行虚拟化处理；网络资源的虚拟化控制层用于编排虚拟化处理后的资源，以及控制边缘计算网络安全架构。由于网络资源虚拟化层包括多个虚拟功能网元，因此不同的数据可以从不同的虚拟功能网元生成的数据通道中传输，能解耦不同资源之间的相互依赖，方便代码问题的排错。更加能保证数据传输的安全性。

在一些实施例中，上述的虚拟功能网元301可以部署在虚拟机上。虚拟机是指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。每个虚拟计算机可以独立运行，可以安装各种软件与应用等。由于每个虚拟功能网元301都可以部署在虚拟机上，因此每个虚拟功能网元301都可以独立运行，从而能够更好地对系统的硬件资源实行统一管理和调度，还能够大幅提升电信网络的灵活性、缩短业务的部署和推出时间、提升资源的使用效率。同时，虚拟机的存在使虚拟功能网元301的开发和实现将不再依赖于特定的硬件平台，可以降低虚拟功能网元301的开发门槛，降低设备成本，也有助于边缘计算平台的推广和普及。

图3为本申请实施例提供的边缘计算网络安全架构结构示意图之二。参照图3，对网络资源虚拟化层30进行详细描述。在一些实施例中，网络资源虚拟化层30中的多个虚拟功能网元301包括第一虚拟功能网元3011、第二虚拟功能网元3012和第三虚拟功能网元3013，资源包括计算资源、存储资源和网络资源，其中：第一虚拟功能网元3011，用于对计算资源进行虚拟化处理；第二虚拟功能网元3012，用于对网络资源进行虚拟化处理；第三虚拟功能网元3013，用于对存储资源进行虚拟化处理。

网络资源虚拟化层对资源的虚拟化是为了形成能够使不同数据进行传输的多个通道。不同的虚拟功能网元会将不同的资源进行虚拟化以形成不同的数据传输通道。具体的，一般的，虚拟化包括：计算资源虚拟化、网络资源虚拟化和存储资源虚拟化。本实施例包括三个虚拟功能网元301就可以分别用于进行上述的三种虚拟化。即第一虚拟功能网元3011用于对计算资源进行虚拟化处理；第二虚拟功能网元3012用于对网络资源进行虚拟化处理；第三虚拟功能网元3013用于对存储资源进行虚拟化处理。因此，第一虚拟功能网元3011也可以称为计算资源虚拟化网元，第二虚拟功能网元3012也可以称为网络资源虚拟化网元，第三虚拟功能网元3013也可以称为存储资源虚拟化网元。

具体的，上述的对计算资源进行虚拟化处理可以通过虚拟化管理程序，例如：虚拟机监视器(Hypervisor)、虚拟机监视程序(Virtual Machine Monitor，简称VMM)来进行，对计算资源进行虚拟化处理能够形成计算资源池。

对网络资源进行虚拟化处理是指将传统上在硬件中交付的网络资源抽象化到软件中。对网络资源进行虚拟化处理可以将多个物理网络整合为一个基于软件的虚拟网络，或者可以将一个物理网络划分为多个隔离和独立的虚拟网络。

对存储资源进行虚拟化处理可以理解为对存储硬件资源进行抽象化表现。具体的，对存储资源进行虚拟化处理可以是构建具有统一逻辑视图的存储资源池供用户按需使用。对存储资源进行虚拟化处理可以将各个分散的存储系统进行整合和统一管理，并提供了方便用户调用资源的接口。另外，对存储资源进行虚拟化处理能够为后续的系统扩容提供便利，使资源规模动态扩大时无需考虑新增的物理存储资源，例如：不同型号的存储设备，之间可能存在的差异。

可选的，参照图3，网络资源虚拟化层30还可以包括：用于识别数据类型的识别设备302，其中，识别设备302分别与基础网络设施和虚拟功能网元301连接。

数据具有不同的类型，由于不同的虚拟功能网元301会对不同的资源进行虚拟化，以此形成的数据通道可供不同类型的数据传输。因此，当数据传输至网络资源虚拟化层30时，需要进入自身对应的数据通道。为了帮助数据确定其对应的类型并进一步确定其传输时的通道，需要加入识别设备302来对数据类型进行识别。具体的，在数据从基础网络设施传出且在传输至虚拟功能网元301之前应该经过识别设备302。

参照图3，在一些实施例中，网络资源的虚拟化控制层40包括与虚拟功能网元301连接的网络控制器401和资源编排器402。其中，网络控制器401用于控制虚拟功能网元301进行虚拟化处理，以构建边缘计算网络的运行；资源编排器402用于编排虚拟化处理后的资源。

网络资源的虚拟化控制层40通过网络控制器401和资源编排器402来对全局网络进行控制并对资源进行有效的编排，进而实现融合网络的可操作性和灵活的配置。

可选的，网络控制器401还用于对边缘计算网络安全架构200的存储和计算进行控制。具体的，网络控制器401是用来控制网络资源虚拟化层30的对存储资源进行虚拟化和对计算资源进行虚拟化，并通过控制两者来构建边缘计算网络的运行，即进行网络资源虚拟化。此外，由于网络控制器401发送的命令需要通过一定的路由规则转发到对应服务器节点之后才能对目标对象进行控制，因此网络控制器401和第一虚拟功能网元3011与第三虚拟功能网元3013不直接连接。

资源编排器402能够对节点资源进行监控和查看节点服务器的部署情况，能够实现资源和网络的调度、部署情况的监控。因此资源编排器402和第一虚拟功能网元3011与第三虚拟功能网元3013直接连接。

图4为本申请实施例提供的应用服务层50的具体结构示意图。参照图4，在上述实施例的基础上，对应用服务层50进行进一步描述。在一些实施例中，应用服务层50包括容器编排器501与运行有应用505的容器。容器编排器501与容器连接；容器编排器501用于对容器进行管理。

应用服务层50包含了各种应用。可选的，容器编排器501可以具体用于基于负载均衡要求，按照容器的类型，对容器进行管理。

容器的种类有多种，在一些实施例中，容器包括：智能管理服务容器502、视频类服务容器503和时延敏感类应用容器504。这些容器内部容纳着对应种类的应用505。不同的容器之间可以相互连通。

通过容器编排器501来进行管理容器，能实现边缘节点向服务仓库进行镜像拉去，从而实现容器的自动化控制，进而能对负载的分布进行均衡化的管理。

最后应说明的是：以上各实施例仅用以说明本公开的技术方案，而非对其限制；尽管参照前述各实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本公开各实施例技术方案的范围。

Claims (9)

1.一种边缘计算网络安全架构，其特征在于，包括：依次连接的基础网络设施层、网络资源虚拟化层、网络资源的虚拟化控制层和用于提供应用服务的应用服务层；

所述基础网络设施层，包括基础网络设施；

所述网络资源虚拟化层，包括多个虚拟功能网元，所述虚拟功能网元用于对所述基础网络设施提供的资源进行虚拟化处理；

所述网络资源的虚拟化控制层，用于编排虚拟化处理后的资源，以及控制所述边缘计算网络安全架构；

所述网络资源虚拟化层还包括：用于识别数据类型的识别设备，其中，所述识别设备分别与所述基础网络设施和所述虚拟功能网元连接。

2.根据权利要求1所述的边缘计算网络安全架构，其特征在于，所述多个虚拟功能网元包括第一虚拟功能网元、第二虚拟功能网元和第三虚拟功能网元，所述资源包括计算资源、存储资源和网络资源，其中：

所述第一虚拟功能网元，用于对所述计算资源进行虚拟化处理；

所述第二虚拟功能网元，用于对所述网络资源进行虚拟化处理；

所述第三虚拟功能网元，用于对所述存储资源进行虚拟化处理。

3.根据权利要求1至2中任一项所述的边缘计算网络安全架构，其特征在于，所述虚拟功能网元部署在虚拟机上。

4.根据权利要求1至2中任一项所述的边缘计算网络安全架构，其特征在于，所述网络资源的虚拟化控制层包括：与所述虚拟功能网元连接的网络控制器和资源编排器；

其中，所述网络控制器，用于控制所述虚拟功能网元进行虚拟化处理，以构建边缘计算网络的运行；

所述资源编排器，用于编排虚拟化处理后的资源。

5.根据权利要求4所述的边缘计算网络安全架构，其特征在于，所述网络控制器还用于：对所述边缘计算网络安全架构的存储和计算进行控制。

6.根据权利要求1至2中任一项所述的边缘计算网络安全架构，其特征在于，所述应用服务层包括：容器编排器与运行有应用的容器；

所述容器编排器与所述容器连接；

所述容器编排器，用于对所述容器进行管理。

7.根据权利要求6所述的边缘计算网络安全架构，其特征在于，所述容器编排器，具体用于：

基于负载均衡要求，按照所述容器的类型，对所述容器进行管理。

8.根据权利要求6所述的边缘计算网络安全架构，其特征在于，所述容器包括：智能管理服务容器、视频类服务容器和时延敏感类应用容器。

9.根据权利要求1至2中任一项所述的边缘计算网络安全架构，其特征在于，所述基础网络设施包括边缘计算服务器、基站、应用服务器、传输网络、交换机以及无线接入点。

Images