[논문 리뷰] SplitBox: Toward Efficient Private Network Function Virtualization

Hassan Jameel Asghar, Luca Melis외 4명|arXiv (Cornell University)|2016. 05. 12.

Software-Defined Networks and 5G참고 문헌 8인용 수 6

한 줄 요약

SplitBox는 기밀 공유를 사용하여 여러 클라우드 기반 가상 머신(Virtual Machine, VM)에 걸쳐 방화벽 규칙 처리를 분할함으로써 확장성 있고 안전한 프라이빗 네트워크 기능 가상화(PNFV)를 위한 시스템을 제안한다. 이 시스템은 제공자가 정책이나 패킷 내용을 알 수 없도록 보장한다. 1 kB 패킷과 최대 60개의 규칙을 처리할 때 2 Gbps 이상의 처리량을 달성하여 실제 환경에서의 구현 가능성을 입증한다. 이는 정직하지만 호기심이 많은 위협 모델 하에서 실현 가능하다.

ABSTRACT

This paper presents SplitBox, a scalable system for privately processing network functions that are outsourced as software processes to the cloud. Specifically, providers processing the network functions do not learn the network policies instructing how the functions are to be processed. We first propose an abstract model of a generic network function based on match-action pairs, assuming that this is processed in a distributed manner by multiple honest-but-curious providers. Then, we introduce our SplitBox system for private network function virtualization and present a proof-of-concept implementation on FastClick -- an extension of the Click modular router -- using a firewall as a use case. Our experimental results show that SplitBox achieves a throughput of over 2 Gbps with 1 kB-sized packets on average, traversing up to 60 firewall rules.

연구 동기 및 목표

• 클라우드 제공자가 방화벽 규칙과 같은 민감한 네트워크 정책을 알 수 없는 네트워크 기능 가상화(NFV)의 핵심 기밀성 격차를 해결하기 위해.
• 정직하지만 호기심이 많은 제공자에게도 정책을 폭 드러내지 않고도 클라우드에서 네트워크 기능을 안전하고 기밀적으로 처리할 수 있는 시스템을 설계하기 위해.
• 비효율적이거나 보안성이 떨어지는 암호 primitive에 의존하지 않고도 기존 인프라와의 호환성과 높은 성능을 달성하기 위해.
• 방화벽을 사용 사례로 삼아 FastClick 기반 프로토타입 구현을 통해 실현 가능성을 입증하기 위해.
• 여러 VM에 걸쳐 규칙 처리를 분산시켜 확장성과 낮은 지연 시간을 확보하면서도 계산 오버헤드를 최소화하기 위해.

제안 방법

• 시스템은 네트워크 기능을 매치-액션 쌍으로 모델링하며, 각 규칙은 추가 기반 기반 기밀 공유를 사용해 여러 VM에 걸쳐 분산 처리된다.
• 각 패킷 헤더는 기밀 공유를 통해 분할되며, 각 VM은 자신의 분할된 헤더에서 일부 규칙을 평가한다. 이로써 단일 제공자가 전체 규칙나 패킷 헤더를 알 수 없도록 보장된다.
• 패킷 헤더에 무작위 투영과 XOR 연산을 적용한 후 해시 기반 원리를 사용함으로써, 데이터를 드러내지 않은 채 매칭 조건을 안전하게 평가할 수 있다.
• 패킷 페이로드에 순서 번호를 통합하여 타임스탬프를 패킷에 저장하지 않고도 종단 간 지연 시간 측정이 가능하도록 한다.
• SplitBox 컴포넌트를 프로덕션 유사 환경에 통합하기 위해 모듈식 라우터 프레임워크인 FastClick을 아키텍처에 활용한다.
• 규칙 순서 조정을 통해 패킷당 매칭 尝시도 횟수를 최소화하고, 여러 코어에 걸쳐 프로세서 작업을 병렬화함으로써 성능을 최적화한다.

실험 결과

연구 질문

• RQ1 기밀 공유 기반의 분산 시스템은 네트워크 기능 처리를 클라우드에 외주할 때 네트워크 정책을 드러내지 않고도 안전하게 수행할 수 있는가?
• RQ2 이러한 시스템은 실제 조건에서 비기밀 기반 방화벽과 비교해도 높은 처리량과 낮은 지연 시간을 달성할 수 있는가?
• RQ3 패킷당 규칙 통과 횟수의 증가가 성능에 미치는 영향은 무엇이며, 최적화 기법이 성능 저하를 완화할 수 있는가?
• RQ4 기밀 공유 체계와 아키텍처 선택이 다수의 VM 기반 클라우드 환경에서 확장성과 보안에 영향을 미치는가?
• RQ5 이 시스템은 단순 허용/차단 규칙을 초월해 복잡한 매칭 패턴과 액션을 지원할 수 있는가?

주요 결과

• SplitBox는 1 kB 크기의 패킷을 처리할 때 평균적으로 최대 60개의 방화벽 규칙을 처리하면서 2 Gbps 이상의 처리량을 달성하여 실제 환경 적용에 실현 가능한 성능을 입증한다.
• 규칙 통과 횟수가 증가함에 따라 반복적인 해시 연산으로 인해 처리량이 저하되지만, 평균 통과 횟수가 낮은 일반적인 규칙 세트에서는 여전히 실용적인 성능을 유지한다.
• 지연 시간 증가는 주로 네트워크 인터페이스 카드(NIC)와 메모리 레지스터 라운드에서 발생하는 큐잉 지연에 기인하며, 매칭 尝시도 횟수의 영향은 크지 않아 시스템 수준의 병목 현상이 주요 원인임을 시사한다.
• 블라인드 수(기밀 공유 수)는 성능에 거의 영향을 주지 않으며, 64에서 65,536으로 확장할 때 유일하게 증가한 메모리 사용량 외에는 영향이 없다.
• 단일 VM이 전체 정책이나 패킷 내용을 알 수 없도록 하여 정직하지만 호기심이 많은 모델에서 강력한 보안 보장을 유지한다.
• 모든 패킷이 허용되는 경우, 비기밀 기반 IPFilter 기반 방화벽과 비교해 성능이 유사하여 생산 환경 적용 가능성을 검증한다.