[论文解读] Rama: Controller Fault Tolerance in Software-Defined Networking Made Practical

André Mantas, Fernando M. V. Ramos|arXiv (Cornell University)|Feb 5, 2019

Software-Defined Networks and 5G参考文献 1被引用 8

一句话总结

Rama 提出了一种容错的 SDN 控制器平台，可在不修改 OpenFlow 或交换机的情况下，确保在控制器和交换机之间实现事务性、端到端的唯一一次事件与命令处理，从而在实际的 SDN 部署中实现强一致性和正确性。它利用现有的 OpenFlow 机制实现容错，仅带来适度的性能开销，支持立即部署。

ABSTRACT

In Software-Defined Networking (SDN), network applications use the logically centralized network view provided by the controller to remotely orchestrate the network switches. To avoid the controller being a single point of failure, traditional fault-tolerance techniques are employed to guarantee availability, a fundamental requirement in production environments. Unfortunately, these techniques fall short of ensuring correct network behaviour under controller failures. The problem of these techniques is that they deal with only part of the problem: guaranteeing that application and controller state remains consistent between replicas. However, in an SDN the switches maintain hard state that must also be handled consistently. Fault-tolerant SDN must therefore include switch state into the problem. A recently proposed fault-tolerant controller platform, Ravana, solves this problem by extending fault-tolerant SDN control with mechanisms that guarantee control messages to be processed transactionally and exactly once, at both the controllers and the switches. These guarantees are given even in the face of controller and switch crashes. The elegance of this solution comes at a cost. Ravana requires switches to be modified and OpenFlow to be extended with hitherto unforeseen additions to the protocol. In face of this challenge we propose Rama, a fault-tolerant SDN controller platform that offers the same strong guarantees as Ravana without requiring modifications to switches or to the OpenFlow protocol. Experiments with our prototype implementation show the additional overhead to be modest, making Rama the first fault-tolerant SDN solution that can be immediately deployable.

研究动机与目标

• 解决传统容错 SDN 解决方案中的关键缺陷：在控制器故障期间无法保证交换机状态的一致性。
• 克服现有容错 SDN 平台（如 Ravana）的局限性，后者需要协议和硬件扩展，阻碍了实际部署。
• 设计一种解决方案，使系统在故障情况下对用户观察不可区分于一个逻辑上集中的控制器，从而确保网络行为的正确性。
• 通过避免对 OpenFlow 或交换机固件进行修改，实现容错 SDN 的即插即用式部署。
• 在不依赖外部协议扩展的前提下，实现控制器副本与交换机之间事件排序、事件处理和命令执行的强一致性。

提出的方法

• 利用现有的 OpenFlow 机制（如流表更新和 packet-in 消息）来编排控制事件与命令的事务性处理。
• 在控制器层面实现类似两阶段提交的协议，以确保事件处理周期的所有组件要么完全执行，要么完全回滚。
• 通过总顺序一致性共识协议（如 Paxos 或 Raft）实现控制器复制，确保副本间状态的一致性。
• 在交换机层面引入命令去重机制，利用流表条目和元数据（如版本标签）防止重复规则安装。
• 利用 OpenFlow 已有的 packet-in 和 packet-out 语义实现幂等命令执行，确保命令仅被处理一次。
• 设计一种状态机模型，通过内存日志记录与重放机制，确保控制器和交换机状态在故障下原子且一致地更新。

实验结果

研究问题

• RQ1 是否可以在不修改 OpenFlow 协议或交换机固件的前提下实现 SDN 的容错？
• RQ2 在控制器故障期间，如何一致地管理交换机状态，以防止命令丢失或重复？
• RQ3 仅依赖现有 OpenFlow 机制的容错 SDN 控制器，其性能开销如何？
• RQ4 是否可以仅使用标准 OpenFlow 特性，实现与逻辑集中式控制器的观测不可区分性？
• RQ5 如何在不扩展协议的前提下，强制实现跨分布式控制器与交换机的完整事件-命令周期的事务性处理？

主要发现

• Rama 达到了与 Ravana 相同的正确性保证——确保事件的完全排序、唯一一次事件处理和唯一一次命令执行，且无需对 OpenFlow 或交换机进行任何修改。
• 原型实现显示，其性能开销仅比非容错控制器略有增加，具备在实际环境中部署的可行性。
• 该方案在控制器副本与交换机之间保持了强一致性，防止了控制器故障期间出现规则重复或丢失等网络异常。
• 通过复用 OpenFlow 的现有功能（如流表更新和 packet-in 消息），Rama 实现了与现有 SDN 基础设施的向后兼容。
• 该方法对网络应用完全透明，允许未经修改的应用程序在容错环境中可靠运行。
• Rama 的开源发布（可在 https://github.com/fvramos/rama 获取）支持更广泛的应用与生产级容错 SDN 的进一步研究。