[论文解读] A Cost-based Placement Algorithm for Multiple Virtual Security Appliances in Cloud using SDN: MO-UFLP(Multi-Ordered Uncapacitated Facility Location Problem)

Prajeesh Murukan, Dana Jamaluddine+3 more|arXiv (Cornell University)|Feb 26, 2016

IoT and Edge/Fog Computing参考文献 1被引用 4

一句话总结

本文提出 MO-UFLP，一种基于成本的云网络软件定义网络（SDN）多虚拟安全设备部署算法，扩展了 Bouet 的单设备 UFLP 方法以支持多个有序的安全功能。该方法采用遗传算法优化部署，最小化设备数量、网络负载和未分析流量，在 OpenStack 和 SDN（通过 OpenDaylight）中成功集成，展示了在模拟和真实拓扑中的可扩展性和成本效率。

ABSTRACT

Software Defined Networking (SDN), has introduced many advanced platforms for managing networks and adopting different security tools with them, but the cost of these platforms should be considered as well. In this paper, we present an extension of the existing approach to the optimal placement of virtual security appliances in a pre-defined network setting. The approach proposed by Bouet [1] only considered one security appliance, we extended his approach to several virtual security appliances. We conducted several simulation tests showing good performances of our approach. To show the feasibility, we implemented our approach using SDN and virtual security appliances and integrated it into OpenStack. This extension adapts UFLP algorithm to real world situations where several middle boxes need to be deployed to satisfy security needs for the applications deployed in the cloud. We realized this approach by implementing "OpenStack on top of OpenStack" , a nested OpenStack implementation with OpenDayLight as the SDN controller .

研究动机与目标

• 为解决现有基于 UFLP 的方法仅支持单个安全设备的局限性，通过扩展模型以支持多个虚拟安全设备。
• 将不同类型安全设备的部署顺序纳入考虑，反映真实世界安全流水线的需求。
• 通过联合优化设备数量、流量重定向带来的网络负载以及未分析流量，最小化总部署成本。
• 在真实云环境中实现并验证该算法，利用 SDN 和 OpenStack，证明其可行性和性能。

提出的方法

• 将 Bouet 的无容量限制设施选址问题（UFLP）扩展为支持多个有序虚拟安全设备类型的多有序 UFLP（MO-UFLP）模型。
• 应用遗传算法框架（JGAP）求解 NP 难的 MO-UFLP 问题，通过多代演化优化解。
• 将云网络表示为带权图，其中节点（主机）和边（链路）的权重反映带宽和成本。
• 使用自定义的 Java 调度器读取算法输出，自动创建虚拟机，配置 OpenDaylight 流规则，并建立网络拓扑。
• 实现嵌套式 OpenStack 架构：第 0 层（物理刀片）托管第 1 层（虚拟化 OpenStack），以 OpenDaylight 作为 SDN 控制器。
• 通过在真实测试平台中使用两层 OpenStack 和 SDN 集成 MO-UFLP 输出，验证动态流量重定向和设备部署的可行性。

实验结果

研究问题

• RQ1 如何将 UFLP 模型扩展以支持多个有序的虚拟安全设备，而非单一设备？
• RQ2 考虑设备顺序和多种设备类型对整体安全部署成本和网络效率有何影响？
• RQ3 遗传算法能否在多设备场景下有效优化设备数量、网络负载和未分析流量之间的权衡？
• RQ4 所提出的 MO-UFLP 方法在合成拓扑（如胖树和随机图）和真实网络拓扑中的表现如何？
• RQ5 MO-UFLP 算法在多大程度上可与基于 SDN 和 OpenStack 的真实云基础设施集成？

主要发现

• MO-UFLP 算法通过平衡设备数量和网络负载，成功降低了多个虚拟安全设备部署的总成本。
• 在随机图和胖树拓扑上的仿真结果表明，该算法在设备数量与网络负载之间实现了有利的权衡，且执行时间极短（例如，小图的执行时间 <100ms）。
• 采用“OpenStack 上运行 OpenStack”的架构成功构建了可扩展的嵌套云环境，具备正确的虚拟机和网络配置。
• 自定义的 Java 调度器正确解析了 MO-UFLP 的输出，成功实例化虚拟机，分配安全设备，并为流量重定向配置 OpenDaylight 流规则。
• 与 OpenDaylight 的集成实现了动态且可编程的流量引导，证实了该方法在真实 SDN 管理云环境中的可行性。
• 该方法在不同网络拓扑中表现出良好的可扩展性和适应性，支持复杂的安全流水线部署。