SDS 架构下安全原子的构建

◆郭志君 卢宇浩

（中国电子科技集团公司第三十研究所 四川 610041）

随着日益剧增的网络攻击行为的出现，传统网络安全防护体系即在大容量交换设备基础上叠加各类安全防护设备，这种串行部署方式和存在功能重叠的安全防护设计，会在转发数据包时进行多次的协议解析和处理，体现出来的弊端即可扩展性差、管理运维复杂、网络性能低下，难以形成灵活便捷的安全防御体系。

软件定义网络（Software Defined Networking）是由美国斯坦福大学提出的一种新兴的基于软件的网络架构及技术，其“开放性、网络可编程、网络虚拟化”的技术特点，使得这种架构在新一代网络构建中具有先天的优势。其数据平面和控制平面的松耦合架构，可以尽可能将网络安全功能与网络安全设备解绑，而且在多租户使用的应用模式下亦可以有针对性地灵活配置与之相匹配的网络安全防护能力。

基于此，本文针对当前封装在各个网络安全设备中的基本功能进行抽象裁剪形成一系列安全原子，以安全功能原子资源池的形式在基于SDN 网络中进行可重构的全局网络安全防护功能的构建，实现新一代SDN 网络下“多样性、集约化、易管理”的安全防御体系。

1 SDS 与VSA 的区别

从SDN 演进的过程中，实现SDN 网络环境中的安全防护主要有两种架构：虚拟化的安全设备VSA（Virtualized Security Appliance）和软件定义安全SDS（Software Defined Security）[1]。

VSA 的特点是通过对传统软硬件形态的安全设备虚拟化，以虚拟镜像的方式嵌入部署到SDN 网络中。这种方式的灵活性体现在将实际物理拓扑映射成逻辑拓扑，由SDN 控制平面按照既定策略和逻辑拓扑让数据流经过相应的安全设备进行安全处理，且各安全设备可通过RESTful APⅠ接口进行进一步的安全管理服务集成。……