面向计算存储传送资源融合的网络虚拟化研究进展

利用网络虚拟化技术能够实现转发设备与承载系统建模,构建传送资源池,并实现其与计算和存储资源的深度融合。网络虚拟化需要在高维空间实现业务、资源、转发能力和承载能力的统一表示,引入内生安全和智能运维特性增强运营维护能力。提出新型网络虚拟化体系结构,介绍全局业务编排和跨域资源控制技术的研究进展,阐述大容量可编程转发设备和智能安全承载服务系统的创新成果,为计算存储传送资源融合提供理论基础和实践案例。

未来互联网体系结构研究综述

互联网逐渐成为社会基础设施,现有TCP/IP体系结构面临诸多挑战,未来互联网体系结构成为研究热点.文中分析了现行互联网在可扩展性、动态性、安全可控性等方面面临的根本性问题,综合比较了面向可扩展性、面向动态性及可信未来互联网体系结构研究,讨论了相关体系结构存在的问题.实验验证是未来互联网研究的重要手段,论文进一步分析了支持互联网体系结构持续创新所需的可编程虚拟化路由器及其试验床的研究进展.论文最后讨论了未来互联网体系结构有待重点研究的相关问题.

可编程虚拟路由器关键技术与原型系统

未来网络创新试验床和数据中心网络迫切需要具有虚拟化和可编程能力的路由器设备的支持,可编程虚拟路由器是构建未来网络试验床和数据中心网络的核心设备,逐渐成为研究热点.然而,可编程虚拟路由器在设计与实现中面临一系列挑战,其关键技术和原型系统研究对于可编程虚拟路由器研制具有十分重要的意义.文中从未来网络试验床和数据中心网络的需求出发,分析了可编程虚拟路由器的特性要求,归纳了可编程虚拟路由器在虚拟化、可编程性和高性能数据包转发等方面存在的技术挑战,并分类讨论了相关关键技术研究进展.论文最后评价和比较了国内外设计实现的可编程虚拟路由器原型系统,并讨论了可编程虚拟路由器中有待进一步解决的问题.

基于优先级的时限感知的数据中心网络拥塞控制算法

分析了数据中心的应用特性、流量特征以及目前TCP协议存在的不足,指出目前数据中心的大规模交互式网络应用具有软实时性,因而受时限约束,而网络应用的划分-聚合设计模型及采用的公平共享的拥塞控制协议,是导致网络流错过时限的主要原因。据此,提出了一种基于优先级的时限感知的数据中心传输控制协议(PD^2TCP),一种新的网络拥塞控制算法。该算法在交换机端,根据瞬时队列长度和单一门限进行显式拥塞通告(ECN)标记;在主机端,根据流的时效性需求及其历史信息,赋予其不同的优先级,并根据流的优先级和网络的拥塞程度调整拥塞窗口。同时在小规模的真实环境中和大规模的仿真环境中对PD^2TCP的性能进行评价。实验表明,与时限感知的数据中心TCP(D^2TCP)相比,PD^2TCP错过时限流的比例降低了65%,流完成时间的99^(th)分位数降低了45%,并且几乎没有降低延迟不敏感的背景流的吞吐率。PD^2TCP能够和TCP共存,因而可以在真实环境中部署。

大业务流识别方法研究综述

大业务流识别(简称大流识别)方法是网络流量测量与分析中必不可少的一种方法和手段,在学术界和工业界都引起了广泛的关注。针对大流识别问题展开研究,对适用于网络监控和管理需求的大流识别的方法、成果和相关问题进行综述,分类分析和总结了典型的大流识别方法,并指出这些方法存在的局限性和不足,对下一步研究趋势进行了预测。

基于D／G／1排队的多路径并行传输机制延迟研究

为了精确描述多路径并行传输网络中的数据包平均端到端延迟，提出了一种基于D／G／1排队的多路径并行传输机制延迟分析模型。该模型假设数据包相互独立，并随机地选择传输路径。同时各路径的传输延迟相互独立，并且服从一般分布。与已有研究相比，该模型是基于路径为D／G／1排队而建立的，可适用于大多数网络场景的路径延迟分布条件，并且能够给出一个长期传输会话中的数据包平均整序延迟和端到端延迟。特别地，以指数分布这一重要概率分布为例，利用所提出的模型给出了数据包延迟的直接分析结果。仿真实验表明，该模型可以准确地估测多路径并行传输场景中的数据包延迟，能够满足多路径并行传输的算法设计和性能优化的需求。

基于主动路由的无线mesh网络区域移动管理方法

提出了一种无线mesh网络中基于主动路由的区域移动管理(active routing based intra-domain mobilitymanagement,简称ARMM)方法,将移动终端(mobile station,简称MS)的位置更新和mesh路由器(mesh route,简称MR)之间的动态路由相结合,让MR代替附着在它上面的MS进行位置管理,从而实现MR对MS的定位.给出了ARMM方法中的二层路由模型、路由算法及位置更新机制.性能分析结果表明,相对于现有的区域移动管理方法,ARMM方法具有较小的切换延时、位置更新开销和数据传输开销.

可避免数据包乱序的网络层软切换方法及其性能分析

随着异构无线网络的融合和全IP网络的推广,网络层软切换方法不断演进,用以提高垂直切换的性能.但是,现有的软切换方法在下行垂直切换过程中会造成严重的数据包乱序.为此,文中在讨论下行垂直切换时数据包乱序的原因之后,提出了一种新型网络层软切换方法——SHORDER.该方法根据移动终端与其家乡代理之间的交互信令对终端所收数据包进行适当的缓存,能有效避免移动终端因下行垂直切换接收到乱序的数据包.该方法所具有的网络层独立性使其能与各种传输层协议及其改进协议相兼容.此外,文中还从理论上定量地分析了所提方法对TCP应用的切换时延、有效吞吐量及拥塞窗口的影响,并与现有的典型网络层软切换方法进行了比较.通过比较,得出了SHORDER机制的适用条件,并基于此,进一步改进了SHORDER方法.最后,在原型系统上的实验显示出了所提机制便于部署的优点以及该机制在其适用条件下的良好性能.此外,实验结果还显示出与数值分析结果的一致性.

一种PMIPv6网络中基于流的区分服务方案

PMIPv6协议是由IETF提出的基于网络的区域移动性管理解决方案,其目的在于实现无需终端参与的、基于网络的IP移动性管理.PMIPv6协议仅定义了移动管理实体如何实现终端在域内移动的过程中通信不中断,但是不提供通信的服务质量保证.针对这个问题对PMIPv6协议进行改进,提出了一种PMIPv6域内基于流的区分服务方案.为在PMIPv6域内实现区分服务,提出了通过基于逻辑隧道的业务流区分方法和业务流与逻辑隧道的绑定方法.通过基于逻辑隧道的业务流区分方法,一对区域移动管理实体之间可以建立多条逻辑隧道,以解决PMIPv6区域移动管理实体之间数据通信共享单一隧道的问题;通过业务流与逻辑隧道的绑定方法,区域移动管理实体可以根据用户的需求为不同的业务流建立具有不同服务能力和类型的逻辑隧道并将业务流与逻辑隧道绑定,以实现为业务流提供有差别的服务.基于NS2的仿真结果证明:相比PMIPv6,可以根据各种应用对于延迟、丢包、吞吐量等服务质量参数的要求,为不同的业务流提供有差别的服务,能够更好地满足不同业务对于关键服务质量参数的要求并提供一定的服务质量保证.

基于池的PMIPv6移动接入网关容错方案

代理移动IPv6(PMIPv6)是IETF提出的基于网络的区域移动管理协议,依赖于区域移动锚点(local mobility anchor,简称LMA)和移动接入网关(mobile access gateway,简称MAG)两类移动管理实体实现系统功能.针对PMIPv6网络中的MAG可靠性问题,提出一种基于池的移动接入网关容错方案(MAG fault-tolerant method basedon pool,简称MAGFT).方案引入MAG池解决PMIPv6系统中MAG服务不可替代问题,实现对移动节点(mobile node,简称MN)透明的MAG容错.针对PMIPv6系统所部署下层网络的不同,MAGFT分别采用无重叠区部署和有重叠区部署两种模式在PMIPv6域内构建多个MAG池,使得域内各MAG至少归属于一个池.当某MAG失效时,它所在池内的某一有效MAG将快速接管其服务.理论分析和仿真实验结果表明,MAGFT可将容错时间控制在35ms～340ms.当容错时间在120ms以下时,MAGFT可完全避免MAG失效对MN的TCP应用造成的影响;最差情况下,对分别处于WLAN、3G和卫星网络中的MN而言,MAGFT也可在MAG失效发生后的1.1s,1.6s或2.8s内恢复其TCP应用吞吐量.对于UDP应用,MAGFT可在MAG失效发生后2s内将MN的收包率恢复至其稳定值.同时,方案引入的容错开销小,当系统处于较饱和的稳定服务状态时,容错信令开销相比系统基本信令是可忽略的.MAGFT的引入对MN接入延时略有增加,但增值控制在10ms以下.

拓扑隐藏的MANET安全多路径路由协议

分析了移动自组网(mobile ad hoc network,简称MANET)暴露拓扑带来的安全问题,提出了一种拓扑隐藏的安全多路径路由协议.在路由发现过程中,不在路由包中携带任何路径信息,从而有效隐藏网络拓扑.通过按需的邻居发现进行身份认证并建立路由表项,最终采用排除节点的方法实现多路径的选取;在路由维护过程中,设计了专门的错误发现机制以检验所选路径的有效性和安全性.该协议综合考虑时间因素和路径长度因素,实现了安全的最短路径确定.安全分析表明,该方案可以抵御黑洞攻击、虫洞攻击、rushing攻击和sybil等典型攻击,同时对一般类型的攻击也具有抵御能力.仿真结果表明,与SRP(secure routing protocol)这种典型的安全多路径方案相比,该方案能够找到更多节点不相交的多路径;在普通场景中,该方案没有对协议性能带来额外影响;在黑洞攻击场景中,该方案只需付出一定的信令开销即可大幅度提高数据包转发率,可有效抵御黑洞攻击.

尺度变换下Internet流量的Gamma特征

网络流量特征分析与研究对流量产生和流量工程具有重要意义.现有工作集中在特定尺度下考察分析.基于不同地点采集得到的流量集合,采用尺度变换的方法,以时间间隔与数据包个数作为尺度变换的对象,分析不同粒度下流量特征,发现网络流量在特定尺度范围之上满足Gamma分布的特征.且在传输层上表现有所不同,TCP流量在特定尺度范围之上满足Gamma分布,UDP流量则在任何尺度都无明确的统计分布特征.

基于环状检测/备份链的移动代理容错方法

提出了一种适用于移动IPv6网络的基于环状检测/备份链的家乡代理容错方法。利用结果唯一的排序算法,在同一链路上的家乡代理之间形成相互检测和信息备份的关系;相邻的家乡代理之间相互进行有效性检测,有效降低失效检测延时;利用相邻家乡代理之间的注册信息备份,实现快速的服务迁移。理论分析和仿真实验表明该方法比现有方法具有更小的服务中断时间。在多个家乡代理连续失效的场景中,仿真实验表明所提方法具有更小的应用层分组丢失率和更少的全局信令开销。

Sunday字符串匹配算法的效率改进

字符串匹配算法一直是网络监测与审计方面的研究热点。介绍了几种经典的字符串匹配算法,提出了一种基于Sunday算法的改进算法RoSunday算法,该算法主要是在匹配开始前通过一个条件判断语句减少了无意义的匹配次数,提高了算法的执行速度。分析了改进后算法的性能,通过实验结果进一步证明了该算法的有效性。

未知协议的逆向分析与自动化测试

在工业控制、军事通信、金融信息等创新型网络中,大量未知(私有或半私有)协议被广泛采用.对通信协议及其实现进行严格的测试是确保网络系统安全性的重要手段,现有测试手段与方法大多只能针对已知协议进行,未知协议的广泛采用对协议测试提出了挑战.本文提出了针对未知协议的逆向分析与自动化测试方法,其基本思想是基于对协议流量的逆向分析,识别出协议特征,动态生成多维测试数据,自动监控被测系统的运行状态,获得准确的测试结果,为系统安全可靠运行提供依据.具体贡献包括:(1)自动化模糊测试框架;(2)基于协议特征库的逆向分析方法;(3)基于多维变异的测试数据生成方法;(4)基于主动探测的测试执行与异常定位方法.本文设计实现了自动化测试工具UPAFuzz,试验结果表明,UPAFuzz能够基于网络流量实现协议特征的自动识别,并自动生成海量模糊测试数据,对被测系统进行测试;在生成的测试数据量达到千万级时,UPAFuzz的内存占用率为现有模糊测试工具Boofuzz的50%,且其耗时仅为Boofuzz的10%,大大提升了测试执行效率.

安全处理器体系结构的现状与展望

安全处理器(Security Processor,SP)是处理器的一个重要分支,体系结构对其性能有重要的影响.介绍了各种不同的安全处理器的体系结构以及它们的优缺点,并根据它们各自的特点进一步介绍了它们的性能优化方法.通过对比研究发现,随着集成电路集成度提高,在安全处理器功耗水平和芯片面积维持较低增长的情况下,其可以逐步实现较以前更多、更难的功能,同时,其加解密速度、灵活性、可升级性等性能都获得较大的提升.另外,通过本文介绍,可以清晰地了解不同种类安全处理器的异同点和优缺点以及安全处理器发展的脉络,指导更好地设计和使用安全处理器.

有限空间下的自治移动云存储协议

自治移动云可以为本地区域内的移动用户提供临时的存储服务。在节点空间有限的情况下,保持数据的持久性是自治移动云存储服务的一个主要挑战。提出了一种有限空间下的自治移动云存储协议,称为SLAMS(space limited storage protocol for autonomous mobile cloud),其基本思想是通过移动节点之间周期性的信息交互,维护每个数据块在网络中的K个副本,将数据块副本按需存储在空闲空间较大的节点中。给出了SLAMS协议中的副本维护机制、数据结构和算法、SLAMS协议的详细设计。仿真实验结果表明,相对于现有的自治移动云存储协议Phoenix,SLAMS协议在节点空间有限的情况下,具有较低的数据丢失率,最大可降低50%左右;具有较短的收敛时间,最高可降低95%;具有较少的数据块存储开销,最高可降低约90%;而且SLAMS协议中数据块维持K个副本的概率明显提高,最大可提高40%左右。

基于加密的BitTorrent系统间接激励机制

针对BitTorrent系统中的节点剥削行为,提出一种流模型论证剥削行为对系统性能的影响,通过该模型得到"剥削容忍阈值",当系统中剥削节点的比例超过该阈值时,系统可能"死亡"。为避免系统"死亡",提出一种基于加密的间接激励机制。在该机制中,节点必须经过一段时间的供种才能够获取密钥,还原下载的文件,同时该机制还能够根据节点的供种贡献对其下载行为进行奖励。实验结果证明:BitTorrent系统中节点不会因其供种行为获得任何奖励,无法达到抑制剥削行为的效果;引入所提出的机制后,供种节点的下载效率是原BitTorrent系统的2～3倍。