[论文解读] AppSwitch: Resolving the Application Identity Crisis

Dinesh Subhraveti, Sri Goli+3 more|arXiv (Cornell University)|Nov 7, 2017

Software-Defined Networks and 5G参考文献 4被引用 3

一句话总结

AppSwitch 引入了一种传输层网络元件，通过拦截系统调用，将应用程序与其底层网络解耦，从而实现应用程序身份独立于主机 IP 地址进行管理。该设计消除了传统数据路径处理带来的性能开销，通过透明地使用 Unix 套接字进行本地通信，实现了高达数倍的吞吐量提升，并支持无需应用程序或基础设施更改的高效、无状态网络功能（如负载均衡和防火墙）。

ABSTRACT

Networked applications traditionally derive their identity from the identity of the host on which they run. The default application identity acquired from the host results in subtle and substantial problems related to application deployment, discovery and access, especially for modern distributed applications. A number of mechanisms and workarounds, often quite elaborate, are used to address those problems but they only address them indirectly and incompletely. This paper presents AppSwitch, a novel transport layer network element that decouples applications from underlying network at the system call layer and enables them to be identified independently of the network. Without requiring changes to existing applications or infrastructure, it removes the cost and complexity associated with operating distributed applications while offering a number of benefits including an efficient implementation of common network functions such as application firewall and load balancer. Experiments with our implementation show that AppSwitch model also effectively removes the performance penalty associated with unnecessary data path processing that is typical in those application environments.

研究动机与目标

• 解决现代分布式和微服务架构中应用程序身份与主机 IP 地址紧密耦合的根本性问题。
• 降低由于间接、不完整的工作方式导致的应用程序发现、隔离和负载均衡所引发的运维复杂性和性能开销。
• 通过在系统调用层虚拟化网络 API，实现高效、无状态的应用层网络功能（如防火墙和负载均衡器）的实现。
• 在无需修改应用程序或基础设施的前提下，实现对异构基础设施（物理机、虚拟机、容器和云环境）的无缝支持。
• 提供一种简洁、可扩展且高性能的应用网络抽象，支持动态、临时和可移动的微服务。

提出的方法

• AppSwitch 在系统调用层运行，拦截与套接字相关的系统调用（例如 socket、connect、bind、getsockname），以实现应用程序与网络基础设施的解耦。
• 通过内核模块或基于 ptrace 的用户空间机制捕获系统调用，并虚拟化网络身份和连接性。
• 系统维护一个服务表，将应用程序指定的身份（IP、端口、名称、标签）映射到实际的网络端点，通过 gossip 协议实现跨主机发现。
• 对于同一主机上容器之间的本地通信，AppSwitch 透明地使用 Unix 域套接字而非 TCP，避免不必要的网络栈遍历。
• 连接建立后，陷阱处理程序即脱离数据路径，最大限度减少性能开销。
• AppSwitch 通过仅需一个配置点即可加入集群，与现有基础设施无缝集成，无需修改应用程序或底层系统。

实验结果

研究问题

• RQ1 在现代分布式系统中，如何将应用程序身份与主机级网络身份解耦？
• RQ2 共驻容器通信中传统网络栈遍历的性能影响是什么？如何消除该影响？
• RQ3 是否可以实现高效的应用层网络功能（如负载均衡和防火墙），而无需承担数据路径处理的开销？
• RQ4 如何设计一种系统，以在不修改应用程序或基础设施的前提下，支持动态、可移动和临时的微服务？
• RQ5 在系统栈中，何种最小化、稳定且安全的拦截点能够实现应用程序网络身份的虚拟化？

主要发现

• AppSwitch 通过避免共驻容器的回环转发（hairpin traversal），实现了显著更高的网络吞吐量——比标准 Linux 网桥高出数倍。
• 吞吐量随数据包大小增加而提升，证实性能优势与工作负载特征呈正相关。
• AppSwitch 透明地为同一主机上容器间的通信使用 Unix 域套接字，即使应用程序请求使用 TCP，也消除了不必要的网络栈处理。
• 系统在不修改应用程序或基础设施的前提下实现了完整功能，仅需一个配置点即可加入集群。
• 性能提升归因于连接建立后绕过数据路径，以及避免了冗余的网络栈处理。
• 该设计通过在系统调用接口而非数据包层面操作，实现了高效、无状态的网络功能（如隔离和负载均衡）的实现。