軟件定義網(wǎng)絡(luò)（Software Defined-Networking，SDN）通過控制和數(shù)據(jù)平面的分離，重構(gòu)了網(wǎng)絡(luò)工作的機(jī)制，提高了網(wǎng)絡(luò)運(yùn)維的效率。Garnter認(rèn)為，SDN整體技術(shù)會(huì)在5-10年落地，而一度曾是SDN唯一標(biāo)準(zhǔn)的OpenFlow協(xié)議將會(huì)在2-5年左右落地。近年來，業(yè)界大家談網(wǎng)絡(luò)就會(huì)提到SDN ，不管是褒或是貶，不可否認(rèn)的結(jié)果是SDN技術(shù)已經(jīng)從概念走向一個(gè)個(gè)實(shí)踐案例。

當(dāng)云計(jì)算剛開始的時(shí)候一樣，人們對(duì)有很多疑問，如客戶對(duì)云計(jì)算系統(tǒng)的數(shù)據(jù)隱私顧慮，虛擬化性能的約束，諸如此類。SDN概念被提出后，業(yè)界也同樣出現(xiàn)了很多討論，不可避免的出現(xiàn)了一些觀點(diǎn)。本文就安全維度做一些解釋，希望讀者不會(huì)走入誤區(qū)。

誤區(qū)1： SDN對(duì)網(wǎng)絡(luò)做了一次天翻地覆的革命，我們的傳統(tǒng)安全設(shè)備和安全解決方案無法部署了。

當(dāng)客戶問售前或銷售同事：“我們部署了SDN環(huán)境，你們有沒有相應(yīng)的安全防護(hù)方案”
同事心想：我對(duì)SDN不了解，只知道SDN跟傳統(tǒng)組網(wǎng)技術(shù)完全不同，所有的路由協(xié)議都變了。那我們的安全方案，特別是安全設(shè)備的部署和工作模式，是與網(wǎng)絡(luò)緊密相關(guān)的，所以估計(jì)就不能正常工作吧。

其實(shí)了解SDN的工作原理后，那我們就不會(huì)有此疑問了。SDN雖然改變了網(wǎng)絡(luò)架構(gòu)，將控制平面上移，接管了以往分布在各處網(wǎng)絡(luò)設(shè)備上的路由協(xié)議，取而代之的是集中的拓?fù)洹⒙酚珊娃D(zhuǎn)發(fā)控制，但網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)包處理對(duì)外表現(xiàn)并沒有特別的變化。例如原來一個(gè)TCP數(shù)據(jù)包，從交換機(jī)某個(gè)端口進(jìn)入，再?gòu)牧硪粋€(gè)端口輸出，這個(gè)數(shù)據(jù)包的頭部和載荷都沒有變化。安全設(shè)備作為中間設(shè)備（middlebox）或端點(diǎn)設(shè)備連接到網(wǎng)絡(luò)設(shè)備，接收和發(fā)送的還是一樣的TCP數(shù)據(jù)包，所以內(nèi)部的處理引擎不必有什么特殊的改動(dòng)，這跟普通服務(wù)器連接到SDN網(wǎng)絡(luò)中不需要做什么改動(dòng)一個(gè)道理。也就是說，一般情況下，普通安全設(shè)備理論上可以直接部署到SDN網(wǎng)絡(luò)中，與傳統(tǒng)網(wǎng)絡(luò)沒有區(qū)別。

?

圖1 數(shù)據(jù)包經(jīng)過安全設(shè)備本身沒有發(fā)生變化

當(dāng)然需要看到的是有一些SDN控制器只支持路由，而不支持二層交換，這種模式下對(duì)工作在二層的IDS、IPS等設(shè)備帶來了挑戰(zhàn)。不過一種可行的辦法是在這些設(shè)備前面部署一個(gè)支持隧道的交換機(jī)（如Openvswitch），通過GRE隧道可以通過IP實(shí)現(xiàn)與對(duì)端連接，這樣SDN控制器可以將數(shù)據(jù)傳輸?shù)浇粨Q機(jī)的隧道端口，交換機(jī)將數(shù)據(jù)包的隧道頭解掉后，轉(zhuǎn)發(fā)給安全設(shè)備，這樣就實(shí)現(xiàn)了二層設(shè)備“支持”隧道的功能。

?

圖2 在只提供路由的SDN控制器下，可加一個(gè)帶隧道的網(wǎng)絡(luò)設(shè)備做代理

從本質(zhì)上看，SDN從功能上并沒有做出革命性的改變，只是實(shí)現(xiàn)了自動(dòng)化和高效率，理解了這一點(diǎn)，就應(yīng)明白安全設(shè)備部署到SDN網(wǎng)絡(luò)是完全可信的。

誤區(qū)2：既然SDN只是針對(duì)網(wǎng)絡(luò)的革命，跟安全沒什么太大的關(guān)系，安全廠商不需要關(guān)心。

我們?cè)诮忉屃苏`區(qū)1時(shí)提到，SDN是網(wǎng)絡(luò)世界的革命，不會(huì)對(duì)安全設(shè)備和安全解決方案的部署造成太大的困擾，那有同學(xué)就會(huì)下一個(gè)結(jié)論，就是雙方互不相擾，我也不用關(guān)心SDN技術(shù)的細(xì)節(jié)。

這個(gè)誤區(qū)有兩點(diǎn)需要闡明：

(1) SDN本身有安全問題，SDN應(yīng)用和SDN控制器的可用性、實(shí)現(xiàn)方式，南北向協(xié)議的安全性等，都可能有安全隱患，所以保護(hù)SDN體系各組件就是安全機(jī)制所需要考慮的問題。這是一個(gè)很大的話題了，后續(xù)可以繼續(xù)展開講。

(2) SDN對(duì)網(wǎng)絡(luò)流量靈活的操作，SDN控制器具有全局網(wǎng)絡(luò)的視圖，這些對(duì)安全管理和控制系統(tǒng)，都是非常大的利好。如果能借助SDN對(duì)整體網(wǎng)絡(luò)的實(shí)時(shí)、全局洞察力和控制力，安全應(yīng)用就能很靈活的部署和調(diào)度安全資源，結(jié)合軟件定義安全架構(gòu)，就能建立非常強(qiáng)大的安全運(yùn)營(yíng)能力和應(yīng)急響應(yīng)機(jī)制。

比如在流量可視化方面，可以借助xFlow實(shí)現(xiàn)基于流量的異常檢測(cè)，可適用于DDoS攻擊的檢測(cè)和企業(yè)內(nèi)網(wǎng)APT攻擊的發(fā)現(xiàn)。 在流量調(diào)度方面，可借助快速調(diào)整路由和轉(zhuǎn)發(fā)規(guī)則的能力，實(shí)現(xiàn)多個(gè)安全設(shè)備按需防護(hù)的服務(wù)鏈，異常流量的清洗；借助細(xì)粒度流控制能力，實(shí)現(xiàn)多個(gè)安全設(shè)備靈活堆疊的負(fù)載均衡方案；借助網(wǎng)絡(luò)設(shè)備天然的數(shù)據(jù)轉(zhuǎn)發(fā)平面，實(shí)現(xiàn)2-4層的訪問控制，諸如此類。