[论文解读] Secure Virtual Network Embedding In A Multi-Cloud Environment

Max Alaluna, Luís Ferrolho+3 more|arXiv (Cornell University)|Mar 3, 2017

Software-Defined Networks and 5G参考文献 16被引用 10

一句话总结

本文提出了一种针对多云环境的安全虚拟网络嵌入框架，将安全与信任作为首要关注点。该框架将问题建模为混合整数线性规划（MILP），联合优化映射效率、加密、可信执行以及跨云信任水平，证明在适当的成本模型下，安全感知的嵌入可提升盈利能力。

ABSTRACT

Recently-proposed virtualization platforms give Cloud users the freedom to specify their network topologies and addressing schemes. These platforms have, however, been targeting a single datacenter of a cloud provider, which is insufficient to support (critical) applications that need to be deployed across multiple trust domains while enforcing diverse security requirements. This paper addresses this problem by presenting a novel solution for a central component of network virtualization –the online network embedding, which finds efficient mappings of virtual networks requests onto the substrate network. Our solution considers security as a first class citizen, enabling the definition of flexible policies in three central areas: on the communications, where alternative security compromises can be explored (e.g.,encryption); on the computations, supporting redundancy if necessary while capitalizing on hardware assisted trusted executions; across multiples clouds, including public and private facilities, with the associated trust levels. We formulate the solution as a Mixed Integer Linear Program (MILP), and evaluate our proposal against the most commonly used alternative. Our analysis gives insight into the trade-offs involved with the inclusion of security and trust into network virtualization, providing evidence that this notion may enhance profits under the appropriate cost models.

研究动机与目标

• 解决现有平台仅关注单个数据中心而缺乏对多信任域网络虚拟化的支持问题。
• 在通信、计算及具有不同信任水平的多种云环境（公有云与私有云）之间实现灵活的安全策略。
• 将安全与信任作为第一类约束和目标，整合进虚拟网络嵌入过程。
• 评估在虚拟网络映射中安全开销与运行效率之间的权衡。
• 证明在现实成本模型下，安全感知嵌入相比非安全方案可提升盈利能力。

提出的方法

• 将安全虚拟网络嵌入问题建模为混合整数线性规划（MILP），以联合优化基础网络映射与安全约束。
• 将加密策略作为通信路径中的可配置选项，以支持灵活的安全权衡。
• 支持硬件辅助的可信执行环境（TEEs）以保障计算安全，必要时可实现冗余或隔离。
• 对多个云环境（公有云、私有云）之间的信任水平进行建模，并基于这些信任水平强制执行映射决策。
• 将安全策略集成到基础网络映射过程中，确保仅将虚拟网络请求映射到可信且安全的基础资源上。
• 使用MILP在统一优化框架下联合优化资源分配、安全机制与信任约束。

实验结果

研究问题

• RQ1 如何将虚拟网络嵌入扩展以支持具有多样化信任域和安全需求的多云环境？
• RQ2 在嵌入过程中整合加密、可信执行与跨云信任所带来的性能与成本权衡是什么？
• RQ3 安全与信任约束的引入如何影响虚拟网络映射的效率与可行性？
• RQ4 与非安全方案相比，安全感知嵌入方法是否能在现实成本模型下实现更高的盈利能力？
• RQ5 在多云虚拟网络嵌入中，平衡安全、性能与资源利用率的关键设计权衡是什么？

主要发现

• 所提出的基于MILP的方法成功实现了在多个云环境之间映射虚拟网络，同时强制执行多样化的安全与信任策略。
• 安全感知嵌入支持在加密开销、可信执行与资源效率之间灵活权衡。
• 硬件辅助可信执行环境的集成在不带来显著性能惩罚的前提下增强了计算安全性。
• 模型表明，在适当的成本模型下，将安全与信任整合到嵌入过程中可带来盈利能力的提升。
• 评估结果表明，与传统嵌入方法相比，所提出方案在安全覆盖范围与信任合规性方面表现更优，尤其在异构多云环境中优势显著。