tochain一种高性能虚拟网络安全服务功能链.docVIP

TOChain:一种高性能虚拟网络安全服务功能链 唐宏伟 冯圣中 赵晓芳 中国科学院深圳先进技术研究院 中国科学院大学深圳先进技术学院 中国科学院大学 中国科学院计算技术研究所 X 关注成功！ 加关注后您将方便地在 我的关注中得到本文献的被引频次变化的通知！ 新浪微博 腾讯微博 人人网 开心网 豆瓣网 网易微博 摘????要： 基于网络功能虚拟化 (NFV) 的安全服务功能链 (NS-SFC) 面临着严峻的性能挑战。为了优化性能, 提出了基于TCP Offloading的虚拟网络安全服务功能链——TOChain, 解决了重复收发网络包问题;提出了面向吞吐率保证的强同步周期性CPU调度算法, 在VNF与用户虚拟机混合部署的场景下实现网络吞吐率性能保证与调度公平性。基于KVM虚拟化平台实现了原型系统, 并对由防火墙、入侵防御系统和应用层防火墙三种VNF构成的NS-SFC进行了不同负载下的性能测试。结果显示, 与传统SFC相比TOChain能够以较低的CPU资源占用率达到更高、更稳定的网络性能;在轻度和中度网络流量负载下, 采用强同步周期性调度算法都能够达到与所设定的吞吐率极为接近的网络性能, 即便是在重度负载下, 也能实现用户虚拟机间的调度公平性。 关键词： 网络功能虚拟化; 服务功能链; 网络安全; TCP Offloading; 吞吐率保证; 处理器调度; 作者简介：唐宏伟 (1984—) , 男, 高级工程师, 博士生;E-mail:tanghongwei@; 作者简介：冯圣中 (1968—) , 男, 研究员, 博士生导师;E-mail:sz.feng@;研究方向:高性能计算; 作者简介：赵晓芳 (1967—) , 女, 正研级高级工程师, 博士生导师;E-mail:zhaoxf@;研究方向:云计算 收稿日期：2017-07-05 TOChain: A High-Performance SFC for Virtual Network Security TANG Hong-wei FENG Sheng-zhong ZHAO Xiao-fang Shenzhen Institute of Advanced Technology, Chinese Academy of Sciences; Abstract： Performance problem is a big challenge for NFV based security service function chain (NS-SFC) . To solve this problem, we propose a TCP Offloading based SFC for virtual network security, called TOChain, which avoids reduplicative packet processing over TCP/IP stack and virtual network interfaces. And furthermore, we propose a throughput guarantee oriented strongly synchronized periodical CPU scheduling algorithm for TOChain. Finally, we developed a prototype based on KVM and evaluated the performance of the prototype with three types of VNFs, including iptables, Snort and Free WAF. Performance results show that, TOChain achieves a significantly higher performance with a lower CPU utilization compared to the NFV based traditional SFC architecture. With the strongly synchronized periodical algorithm, the network performance achieved is very close to the configured throughput under the light and medium traffic load. Moreover, even under the heavy load, it also ensure fairness between virtual machines.