网络5.0参考架构v1.0.pdf

研 究 报 告 课题编号： 网络 5.0 参考 架构 v1.0 网络 5.0 产业 和技术创新联盟 2020 年 9 月 版权 声明 本研究报告版权 属于网络 5.0 产业和 技术创新联盟，并 受 法律保护。转载 、 摘编或利用 利用其它方式使用本研究报告文 字或者观点的，应注明“来源： 网络 5.0 产业和 技术创新联盟 ”。 违反上述声明者，本联盟将追究其相关法律责任。 研 究 报 告 要 点 本报告基于 新应用与新业务的接入和承载需求 ，提出 网络 5.0 网络 的 架构 顶层设 计原则，并研究总体网络架构和潜在关键使能技术。 架构组 研究单位：中国 移动、 华为、中兴 项目负责人： 耿亮 项目参加人： 姚惠娟，闫屾，刘冰洋， 完成日期： 年 月 日 目录 1. 范围 . 7 2. 参考文献 . 7 3. 术语、定义和缩略语 . 7 3.1. 术语和定义 . 7 3.2. 缩略语 . 7 4. 网络 5.0 顶层设计 . 7 4.1. 概述 . 7 4.2. IDEAS 设计理念 . 8 5. 网络 5.0 总体架构 . 11 5.1. 总体架构视图 . 11 5.1.1. 新业务 . 12 5.1.2. 新管控 . 12 5.1.3. 新协议 . 12 5.1.4. 新网元 . 13 5.2. 网络 5.0 组网架构 . 13 5.3. 网络 5.0 功能架构 . 13 5.3.1. 服务管理功能 . 14 5.3.2. 寻址与路由功能 . 14 5.3.3. 转发功能 . 14 5.3.4. 内生安全功能 . 14 5.3.5. 资源管理功能 . 14 5.3.6. 用户管理功能 . 15 5.4. 网络 5.0 协议架构视图 . 15 5.4.1. 新 IP 体系 . 15 5.4.2. 新传输层 . 16 6. 网络 5.0 网络功能 . 16 6.1. 网络智能化 . 16 6.2. 网络计算联合调度 . 17 6.3. 确定性服务 . 18 6.4. 灵活可定制的差异化网络服务能力 . 18 6.5. 网络协议可编程 . 19 6.6. 内生安全 . 21 6.6.1. 端到端通信业务安全 . 22 6.6.2. 网络基础设施安全 . 24 网络 5.0 参考 架构 白皮书 1. 范围 本提案 聚焦于数通网络的架构， 旨在 提出网络 5.0 网络架构的设计需求。 本 提案 不涉及 应用场 景描述 ，不 对网络性能提出 量化 指标， 不对 实现技术进行推荐。 2. 参考文献 ITUU-T Y.3001 未来网络：目标和设计（ Future networks: Objectives and design goals） ITU-T Y.3300 软件定义网络框架（ Framework of software-defined networking） 3. 术语 、定义和 缩略语 3.1. 术语 和定义 3.1.1. 网络 5.0 网络 5.0 作为面向 2030 演进的未来数据通信网络架构，基于 新应用与新业务的接入和承载需求 ， 在继承 IP 优势基础上，分阶段逐步引入智能化、确定性、灵活寻址、内生安全和差异化服务等能力， 协同管理、控制和数据面，连接分散的计算、网络和存储等资源，构建一体化的新型 ICT 基础设施， 向各相关产业提供网络能力、计算能力及数据能力服务，并使其更加有效地满足 万物互联、万物智 能、万物感知的需求。 3.2. 缩略语 QoS (Quality of Service): 服务 质量 QoE (Quality of Experience): 体验 质量 IETF (Internet Engineering Task Force): 互联网 工程任务组 IoT (Internet of Thing): 物联网 AR (Augmented Reality): 增强 现实 VR (Virtual Reality): 虚拟 现实 UNI (User-Network Interface): 用户 网络接口 4. 网络 5.0 顶层设计 4.1. 概述 以工业互联网为代表的产业互联网 的 大发展，视频直播、 VR/AR、车联网等各种新应用、新服务 不断涌现。 新兴业务 的发展 对传统 数通 网络 提出了更高 的 要求， 如数据 传输从 强调 “ 及时 性 ” 转变 为 “ 准时性 ” ， 网络 在保障 业务 QoS 的前提下更加注重 满足用户 的 QoE 等。面对 这些 新需求 ， 以 IETF 为代表的 数通领域 标准 组织大多采取 自下而上的 发展模式 ,从 路由 、 管理 、安全、应用 等各个角度 进 行新技术的探索和研究 。 由于 缺乏整体 架构 的指导， 各个技术方向独立 发展 ，进度 参差不齐， 彼此 之间 难以形成 合力 。 针对传统 IP 技术以自底向上方式演进带来的 困局 ,本研究报告 以愿景和需求为驱动 ,采取自顶 向下的思路 ,通过顶层设计， 提出网络 5.0 架构的顶层设计原则。 4.2. IDEAS 设计理念 网络 5.0 应以 IDEAS（ Intelligent ， Deterministic ， Elastic， Accessible and secured） 为核心的五个设计理念出发，推进数据网络架构的变革。 智能化（ Intelligent） 传统基础网络因设计复杂、开放性不足、调整效率低等原因，无法适应下一代互联网对基础网 络设施提出要求。构建适应万物互联、智能化社会的新一代的互联网基础设施，对于促进信息技术与 实体经济融合、保障信息基础设施的安全有着重要意义。 基础设施智能化 智 能化信息基础设施是以固网、移动通信网络等基础网络为核心基础，运用互联网、移动互联网、 物联网、云计算、大数据、卫星定位与通讯等关键技术，面向各相关产业提供网络能力、计算能力及 数据能力服务，并使其更加有效地满足 万物 智能时代产品、业务及服务的需求。 网络控制智能化 面对网络计算融合的云化网络，未来网络支持多维度联合调度，实现智能化调度控制，提高网络 资源利用率。未来智能网络采用数据驱动机器学习方法，利用 AI技术模型，端网协同 实时感知环境， 自动规划管控方案辅助决策，实现网络的 自优化、快速全局配置 。 网络管理智能化 面对万物互联、万物智能、万物感知的未来数字化网络，网络运维管理、灵活扩展和可靠性保障 都将面临巨大挑战。未来网络 应构建以 AI技术为核心、网络数据为基础的智能网络架构，支持闭环的 自动化的运维管理， 自识别业务问题，简化运维操作，持续改善业务健康状况。 确定性（ Deterministic） 确定性时延 工业控制、远程医疗、机器人技术和车 联网等新业务应用 ，越来越依赖于端到端的网络 低时延 来提供最终的用户体验。 传统 IP 网络只负责路由转发，不能提供确定性资源保证 , 难以满足未来 业务对低时延苛刻要求。未来网络需要引入时间敏感网络的时钟同步、流量排定等机制提供确定性 时延、极低丢包率以及虚拟化运营管理等确定性服务。 无损传输 未来网络 将由云化数据中心组成 ，需要通过采用动态虚通道技术、推拉混合的调度机制、负载 均衡的逐包分发等机制支持无损网络传输，满足零丢包、低时延和高吞吐等需求，全面支撑计算云 化、存储云化和网络云化的要求。 柔性（ Elastic）（业务应用） 随着万物互联、万物智能时代的到来，自动 驾驶 、 远程医疗 、 工业控制 、 全息通信等诸 多 业务对 网络的需求 千差万别。 如何在瞬息万变的市场中快速响应用户需求，缩短新产品的上市时间，实现 产品的快速发布成为商业致胜的关键 。 面对更加复杂多变的差异化场景需求，传统电信网络需要突 破传统的垂直分割的刚性网络体系和复杂繁多的封闭网元架构，降低业务部署成本和提升网络效率 。 未来网络需要以云 计算 、 SDN 和 NFV 技术 为基础构建 新型柔性网络的架构，支持 灵活动态的网络资 源配置、高效资源利用率和敏捷智能业务 开发。支持 异构网络 设备 的灵活 无缝 接入， 灵活 组网。 网络功能组件化 随着网络中的业务越来越多，业务类型越来越复杂，传统网络中的那些昂贵、封闭、专有的电 信黑盒子无论从网络扩容、成本投入还是资源调配角度都无法满足当下的业务需求。未来网络 打破网络与业务间的紧耦合关系，将网络计算资源横向打通形成云资源池，实现对底层网络资源的 自动化调配和弹性扩容。 网络服务定制化 一直以来，由于网络的封闭性，使得用户无法根据需求来获得网络资源和服务，严重限制了业务 的发展 。未来网络应以 网络能力开放 作为 重要应用，让客户按需获得各类网络资源和服务。用户可 根据自身需要来选择网络连接服务和业务功能服务，网 络连接服务包括选择相应的站点，带宽， QoS 等，可以为用户定制端到端有质量保 障的自动专线服务；在此基础上，用户还可以选择所需的业务 功能服务，比如： NAT，防火墙， DPI 等，并且可以根据用户的需求形成相应的业务功能链。业务 通过编排，由相应的控制器实现网络业务的自动化部署，真正实现所见即所得，业务快速部署和调 整，大幅提升用户感知。 易用性（ Accessible）（网络协议） 随着 5G、工业互联网、云计算等业务的蓬勃发展，人工智能、 AR/VR、工业 4.0 等 OICT 领域 代表创新技术不断融合发展，促使各垂直行业实现数 字化转型和未来应用创新。 未来智慧终端将充 满每个角落，涉及每个领域。智慧终端需要具有被网络寻址的能力，支持垂直组网。 实现数字化转 型和未来应用创新。 未来智慧终端将充满每个角落，涉及每个领域。智慧终端需要具有被网络寻址 的能力，支持垂直组网。网络 适应接入服务、终端的类型增多， 支持 多语义寻址能力，不必所有 接 入 对象都必须 映射成为 单一 地址进行 寻址。支持 端到端 的 超大 吞吐能力， 更好地 服务各类应用的性 能需求。 网络协议可编程 万物互联时代由于大量物联设备的接入，但是由于这些设备成本较低，无法支持厚重的 IP 协议。 另外 IP 协议无法支持更加灵活的差分服务，导致 IOT 产品的托管意愿不强烈。未来网络需要根据 不同的应用场景，统一网络协议，网络协议字段以及字段长度等可灵活配置，并支持安全、隐私和 确定性时延等不同的能力集成，支持 IOT 大跨度的差分服务。同时可平滑演进，不影响已有业务应 用。 灵活动态传输 传统网络中业务与网络设备紧密配合，业务与网络设备是强绑定关系。但随着 5G，云计算，物 联网等更多新业务需求的涌现，网络设备复杂度直线上升，直接影 响到业务的开展与维护，业务实 现与网络设备强相关的运维模式已经无法适应网络发展。未来网络需要支持业务和设备解耦，业务 层根据需要灵活调度传输层技术，实现不同业务对传输技术的动态调度。 内生安全（ Secured ） 伴随着海量终端的接入、网络的虚拟化和 IT 化、以及应用的多样化，网络越来越走向开放，伴随 而来的网络对外暴露的接口越来越多，攻击面也会越来越大，潜在的网络威胁也会越来越多。所以 网络 5.0 应从网络架构设计之初就考虑到安全，将安全作为网络的 DNA，从身份认证、网络安全、 平台安全、数据安全以及业务安全等全方位构 建安全防护体系。 图 1： 网络 5.0 顶层设计理念 5. 网络 5.0 总体架构 5.1. 总体架构视图 根据 IDEAS 顶层设计理念， 网络 5.0 作为面向 2030 演进的未来网络架构， 基于新型 IP 网络体 系，协同管理、控制和数据 面 ， 向各相关产业提供网络能力、计算能力及数据能力服务，并使其更 加有效地满足 万物互联、万物智能、万物感知 的需求 网络 5.0 的总体网络架构如图 1 所示，包含 新 业务 、新管控、 新协议 和新网元 。 图 2： 网络 5.0 总体网络架构 5.1.1. 新业务 以 全息通信、确定性 服务、网络切片和边缘计算为代表的未来网络 业务，对 网络本身提出不同 层面的 新 需求。 对于 网络传输 时延 的确定性、 传输 策略的可定义性 、网络 的可感知性、 网络管控 的 智能化 等 ， 均是 未来网络架构 需要应对和 面向的问题。 5.1.2. 新管控 支持用于意图输入和业务自动化编排，通过以 AI/M 大数据分析平台为核心，以网络数据为基 础构建网络大脑，通过控制层，实现网络从顶层意图输入到底层网络实现的端到端智能化管理。控 制层作为网络大脑和基础设施的接口层，一方面接收网络大脑下发的网络策略，并转化为网络可执 行的控制指令，下发至基础网络；另一方面可以收集基 础网络信息，本地处理决策，并反馈网络大 脑。 5.1.3. 新协议 主要指以新型 IP 网络体系为核心展开构建 。在数据面提供 变长地址寻址 能力 ，支持非对称长度 的 IP 地址直接路由。 在 继承地址路由能力 之外 ，提供多样化的寻址能力， 支持 身份、位置、内容、 计算、存储资源等直接寻址，不 必将 所有对象翻译成 统一 的 IP 地址 后 进行通信。 同时 ，网络协议 支 持 用户侧可 编程 能力， 通过用户 网络接口（ UNI） 提供网络 可编程性。 5.1.4. 新网元 网络设备多元化 ， 接入 设备 多元化， 接入 对象多元化。 以 卫星为代表的新型网络设备逐步被纳 入到网络协议的支撑范畴， 更多 轻量级传感器和微设备、微服务直接联网， 计算 资源、存储资源直 接联网 。 5.2. 网络 5.0 组网架构 如图 3 所示 : 网络 5.0 组网主要包括端侧、运营商网络和互联网三大部分。 端侧：用户侧、终端和应用。管理完全不可控。 运营商网络：无线 /城域接入、汇聚、核心层面的相关功能。网络可运营可管理。 互联： Internet 及相关的网络功能。管理不完全可控。 图 3：网络 5.0 组网视图 5.3. 网络 5.0 功能架构 如图 4 所示， 网络 5.0 的核心 功能 由六部分 组成 ： 内生安全功能、转发功能、寻址与路由功能、 服务 质量管理功能 、 资源管理功能 和 用户 管理功能。 图 4：网络 5.0 功能视图 5.3.1. 服务管理功能 网络 支持差异化的服务质量能力，可分为基于用户 /身份和基于应用 /服务两种，支持不同场 景。前者以用户 /身份为单位进行服务质量定义，为特定用户 /身份提供服务质量保证。后者则以应 用 /服务类型为单位进行服务质量定义，为不同类型的应用 /服务进行差异化的服务等级。 5.3.2. 寻址与路由功能 继承 IPv4/IPv6 网络地址寻址与路由的基 础上，网络 5.0 的地址寻址功能 支持多标识的 变长地址 寻址与路由 ，包括身份、服务、 IP 地址以及地址等，不同大小地址空间的设备可以直接互联互通 5.3.3. 转发功能 根据业务需求， 可以选择不同的转发功能， 确定性时延转发、零丢包无损转发、尽力而为 转发，多路径转发等功能。 5.3.4. 内生安全功能 内生安全功能支持动态匿名、联合审计、去中心化验证和攻击源头阻截等功能，保证用户身份 和网络传输安全。 5.3.5. 资源管理功能 支持对网络、计算和存储等 多维 资源进行感知度量，并根据业务请求完成对计算、网络 和存储 等资源的映射。 5.3.6. 用户管理功能 通过计费管理、认证管理、会话管理和移动性管理等功能实现对用户或者业务的管理。 5.4. 网络 5.0 协议架构视图 如 5 所示 ， 网络 5.0 协议 体系架构可以表述为 以 新型的 IP 协议为核心的网络协议体系创新 ，是 一套以网络层为核心的互联网协议体系，为承载新型媒体与通信手段，面向 2030 年网络进行持续演 进。其核心在于： 图 5：网络 5.0 协议体系参考架构 5.4.1. 新 IP 体系 在网络层提供新型互通协议，支持： 确定性的 三层 大网 转发能力 ， 支持 端到端超低 时延 与 抖动 多样化的 ID 直接路由能力，存储、计算、位置、身份、服务等多元标识直接路由 层次化地址编址，非对称长度地址路由 UNI 支持对网络状态的感知与网络可编程性 内生安全 与可信架构， 保证 网络安全运转 5.4.2. 新传输层 在传输层提供新的层间辅助能力，支持： GB 级超高吞吐能力 应用层可按需表达传输策略 网络层全面的性能感知和跨层联动 6. 网络 5.0 网络功能 6.1. 网络智能化 面对架构越来越灵活，功能越来越复杂的未来网络，必须构建以 AI 为核心，网络数据为基础 的全生命周期自动化管理控制体系，支持闭环的用户意图管理，及时响应用户复杂多变的需求。借 助智能化网络架构，使业务能更快上线、更稳定的运行、更安全的服务、更好的用户体验、更智能 的故障预测。 未来网络的三层架构，即业务编排层、网络管控层、基础设施层都要具备智能化、自动化能力， 减少低效的人工操作。 智能业务编排层，用户意图随需而动 该层面实现的功能包括业务和资源设计、调度及管理，并支撑网络运营相关的组件，同时 也包括数据集中管理平台，负责数据统一采集、统一存储、大数据智能挖掘分析等，该层 的接收网 络管控组反馈的数据，部署大数据分析平台、网络可视化监控平台等，实现对用 户意图转译、业务智能化编排，网络策略自动生成，实现网络的随需而动，同时对业务变 化做智能预测，并动态规划、管理网络资源。 智能的网络管控层，自动感知和自修复系统 通过数据采集、大数据分析、自主感知故障点，自主得出修复策略，数字孪生平台自动策 略验证、修复策略自动下发等操作，实现对上层业务编排层下发的网络配置策略的转译和 验证，另一方面将验证和分析预测结果形成的网络设备具备配置下发给底层基础设施层。 智能的网络基础设施，“设备即 AI” 网络基础设施具备 AI 计算能力，按需引入 AI 芯片和 AI 加速器，实现不同级别的训练和推 理能力，训练模型或推理结果直接在基础设施中应用或通过信息采集通道反馈给网络管控 层。 图 6：智能化网络架构 6.2. 网络计算联合调度 未来网络中会在靠近用户的不同距离遍布不同规模的算力： 从百亿量级的智能终端，到全球 10 亿量级的家庭网关，再到每个城市中未来 MEC 带来的数千个具备计算能力的基站，以及数百个 NFV 化带来的 CloudCO 机房，还有每个国家数十个大型的云 DC。其次，服务也呈现出轻量化、分 布化的趋势：传统的 client-server 模式被解构， server 侧的应用解构成“功能组件”布放在云平台上， 由 API gateway 统一调度，可以做到按需动态实例化，服务器中的业务逻辑转移到 client 侧， client 只需要关心“计算功能”本身，而无需关心 server/虚拟机 /容器等计算资源 , 从而实现 Function as a Service。 而当前的互联网架构无法满足上述需求，在空间维度上，当前互联网拓扑假设是 “端到端模型 ”： 网络在中间、计算在外围，而边缘计算或者泛在计 算的场景中，拓扑变成了计算嵌在网络中间。在 时间维度上，当前互联网连接方式是通过 DNS 解析， TCP/TLS 握手与静态 Server 建立长连接的会 话，这难以满足 serverless 等短生命周期的、动态实例化的新计算模式的需求。 为此新型的网络架需要支持计算优先网络 （ CFN： Compute First Network）。将当前的网络状 况、当前的计算资源可获得性作为路由信息发布到网络，网络依据功能 /业务的标识将报文转发到相 应的计算节点，实现用户体验最优、计算和网络资源利用率最优。 图 7： 计算优先网络 (CFN: Computing-First Network) 6.3. 确定性服务 未来应用对于网络提出越来越高的要求，以远程工业控 制为代表的实时协作型业务要求网络的 传输时延及时延抖动精准可控。网络 5.0 的网络需要支持从 “In time” （及时性）向 “on time” (准时 性 )的转变。 传统 IP 转发基于统计复用，无法提供对确定性时延的保证。哪怕是给予了资源预留及优先调度， 由于缺乏对每个 IP 数据包转发行为的控制，因此依然无法避免多个同优先级的 IP 报文同时到达同 一个出接口，产生微突发的情况。微突发经过多跳迭代最终会导致端到端时延上界无法保证。网络 5.0 需要在大网范围内提供可扩展的确定性 IP（ DIP）服务。 DIP 服务整体架构如图 10 所示，包含 4 个模块： UNI（ User-Network Interface）：用于将应用的确定性时延需求传达给网络； 可扩展的资源预留机制：网络在接收到确定性需求之后，需要根据收到的需求为确定性 时延 业务流预留沿途的网络资源。为了确保大网部署的可扩展性，不同于传统资源预留 机制。网络 5.0 提供的资源预留需要避免逐流的状态及大量的 控制信令； 可扩展的确定性转发机制：仅仅依靠资源预留依然不足以保证确定性时延。网络 5.0 还 需提供可扩展的确定性时延转发机制。为支持该转发面机制，相应的信息公告、数据面 封装等均需要进行相应扩展； 精细 OAM：确定性 IP 整体服务架构还需要为用户及服务供应商提供逐流的 OAM，使得 终端用户可以验证自己购买的确定性服务是否真的被满足了。同时也使得服务提供商可 以精准的监控自己的网络服务质量，并据此进行及时的调整。 6.4. 灵活可定制的差异化网络服务能力 由于不同的业务对网络服务能力的要求不同 ,网络需要提供灵活可定制的差异化的服务能力 ,即在 统一的基础设施上能够按需建立虚拟或物理的端到端的逻辑专网。每个逻辑专网承载不同的业务应用。 逻辑专网技术可以应用在 MBB、 FBB、运营商骨干网等各种承载网场景下。 如图 8所示，根据承载网 支持的能力不同，逻辑专网可以是软逻辑专网，也可以是硬逻辑专网。软逻辑专网是在基于统计复用 的网络上通过各种 VPN（例如 L3VPN、 L2VPN等）技术实现的虚拟网络。硬逻辑专网是通过物理硬 件（例如 IP硬管道、 LS等）技术实现的虚拟网络。根据承载网络 基础设施能力的不同可以选择不同的 技术实现逻辑专网的部署，以提供给不同的业务应用，并保证端到端业务的隔离性。根据不同业务应 用的 SLA（服务等级协议）为逻辑专网分配不同的虚拟或物理资源，具体的， SLA包括用户数、 QoS、 带宽等参数，不同的 SLA定义了不同的通信服务类型。 此外，网络架构上还需要基于基础设施平台提供对逻辑专网的整个生命周期管理，包括逻辑专网 的的创建、激活、运行状态的监控、资源更新、迁移、扩容、缩容、删除等管理功能，实现逻辑专网 在网络中根据不同业务需求的灵活部署，支撑网络服务差异化的应用场景 和需求，提升未来网络高质 量、高效独立的闭环管理与应用的能力，促进通信技术与上层业务应用的高效融合 图 8： 灵活可定制的差异化网络服务 6.5. 网络协议可编程 网络可编程是未来网络重要的特性之一。从架构层面上讲，用户侧通过 UNI 实现对网络的策略 表达。为了实现差异化服务质量和网络可操作性，未来网络应具备通过用户侧设备或网络边缘设备 表达需求与动作的能力，即网络的可编程性，并由不同的接口（ Interface）达成相应功能。 网络可编程可以分为以下几类： 1.用户侧向网络侧操作 在数据 面， 用户侧 设备通过 UNI-1 在数据包中携带指令的方式进行信令的随路传输， 向 网络表 达数据包的优先级、处理动作 。转发面设备接收到携带有指令和数据的报文后，解析当前需要执行 的指令与相关动作并执行对应操作，完成用户对网络的“编程”。 在控制面 ，用户 侧 设备 （ 网管 ） 通过 UNI-2 进行对控制器设备的直接通信， 通过 带外信令的方 式 发送配置 指令 等 信息，通过控制器 向 网络设备表达优先级、处理动作等信息 。 在 管理面， 对于编排器和业务系统，用户可以通过 UNI-3 直接访问业务系统的应用层接口发送 指令和数据。业务系统接收用户侧指令和数据，通过网络侧南北向操作完成对于转发面设备的配置 和动作部署。 支撑用户侧可编程的协议应具有功能灵活性强，空间复杂度低，用户侧极简等特性。网络设备 所执行的功能应能够支持所有已有协议功能及协议功能的组合，普适各种场景对功能的需求。其封 装、表达形式所占用的物理空间尽量 小，进而不会因为携带指令和数据的行为占用过多带宽资源。 同时，协议对用户侧的呈现应尽量简单，无需过于复杂的配置、编程即可实现相对多元的功能。 2. 网络侧南北向操作 通过 OCI、 CCI、 CFI 实现。对于集中式管控或有高层级控制器、编排器的网络，在编排器或控 制器接收到用户侧指令时，需要通过接口完成对功能的部署。对应的协议应具备携带指令与数据的 能力，并能精确获取底层设备的状态。转发面设备上的程序应可以解析上层设备发出的指令和数据， 并完成功能的执行。 3. 网络侧东西向操作 通过 CCI、 NNI 实现。为了实现端到端的 服务质量，不同 AS 之间需要对转发服务的服务等级 做出协同。对于不同 AS 的控制器之间，对应的控制协议应具备通用的描述模型对数据包和流的服 务等级进行精准表达，这要求具备统一的服务模型和数据模型。对于转发面不同的 AS 之间，数据 包自身应可以携带指令和数据，向不同 AS 中的设备表达功能需求。 图 9：用户 网络接口示意图 6.6. 内生安全 当前网络用户与服务均处于不可信的网络环境之中，网络 协议以及网络各个 系统 组件均面临各 类安全威胁， 现有 的网络架构 已 难以满足未来新技术 新 场景驱动下的安全需求 。 本项目 将研究 和分 析端到端通信业务 以及 网络基础设施 的 安全问题 ， 探索未来网络的安全可信技术： 端到端 通信业务安全：端到端通信业务中 面临 真实性 、 隐私、可审计性、机密性、完整性 和可用性 等挑战。 IP 地址伪造、中间人攻击、 DDoS 攻击依然顽固 ，在 新形势下隐私 保护 也越发 受到关注， 但 依然与可审计性矛盾重重。 针对端到端通信业务安全，源于 IP 地址伪 造的真实性验证、面向 IP 头部信息的隐私保护以及审计追踪溯源、面向中间人攻击的密钥 安全交换以及面向可用性保障的 DDOS 防御技术将成为未来网络安全中的关键技术。 网络基础 设施安全： DNS、 BGP、 PKI 等网络基础设施是网络互联互通和安全可信的基石， 也是 网络 攻击的焦点。由于此类基础设施固有的协议和配置等漏洞，近年来 DNS 缓存污 染、 BGP 前缀劫持、路径劫持、虚假 PKI 证书等安全问题频现，亟需面向网络基础设施的 安全解决方案。针对网络基础设施安全，由于 中心化的可信基础设施存在单点 权威沦陷 、 不可信节点 或 证书难 发现 与 验证 等 问题， 基于去中心化的 PKI 技术，提供去中心化可信的 DNS 域名服务以及可信的 BGP 宣告信息及协议安全也将成为未来安全网络 的 必然 选择 。 图 10： 网络安全脆弱性分析图 6.6.1. 端到端通信业务安全 端到端网络通信在 IP 地址真实性、隐私保护与可审计性的平衡、密钥安全交换、拒绝服务攻击 等方面存在较大的安全威胁。面对以上 安全威胁， 未来 网络 可根据 安全 目标及 需求划分不同的安全 域， 将不可信、 攻击流量阻断在安全域外， 将 域内安全问题 控制 在安全域内 、限制 安全 问题 的扩散 。 如 图所示，在 划分 安全域的基础上， 通过 在不同安全域 中 的 网络 元素及协议中内嵌 关键 安全技术， 提供 可信身份管理 、真实 身份验证、 审计 追踪溯源 、 访问控制 、密钥管理等 安全 模块 ， 实现端到端 通信的 身份 /IP 真实 可靠性 、个人 隐私 信息 最小化、 不合法行为 可 追踪 溯源、 DDOS 攻击 可追级 防御 、 密钥安全 可信 等特性。 在 未来网络中， 通过内生以下 关键安全技术 ，实现网络端到端 通信业务的内生安全 目标 ： 快速高效的 身份 验证技术： 攻击者可以在其数据包的头部信息中使用伪造的源 IP 地址，实 施流量 攻击 （隐藏 真实源头 ） 或者反射式攻击 （放大 攻击流量 ） 等 。在 未来 的网络架构中， 在安全 域内 提供可信 身份 管理功能 ， 为 域内实体分发 兼顾 隐私和真实性的 ID/IP 及 凭证 ， 基于 轻量级或 高效 的密码技术 ，在 IP 报文 中内生 IP 源地址的 真实性凭据 信息， 实现 逐 包 级 的真实 ID/IP 的 快速验证： 在源 AS 域内 实施 IP 源地址真实性验证， 对 其出口流量提供 IP 地址真实性保障， 在 目的 AS 域 提供 快速的域身份 验证。另外， 在目的端提供 端 身份鉴 别 ，从而 保证发送端标识符 及 地址的真实性 。 隐私性 与可审计性 兼顾技术 ： 当前 IP 网络 的 数据包头部的 IP 地址、端口号等关于通信节 点隐私的信息通常暴露在开放网络中，暴露 了通信 端 的隐私 。 而 移动主机 频繁更换 的 地址 又 降低 了网络的可审计性 。学术界 传统观点 认为隐私性 和可审计性彼此 对立 ，难以兼顾。 未来 网络可根据 安全特性需求， 基于 加密和匿名等技术 ，设计 内生隐私特性的 ID/IP 地址 生成 、 分发 、撤销等全生命周 期安全方案，将 网络划分不同 隐私 披露 程度 的 隐私 域， 对 ID/IP 等 隐私信息 实施 分级的隐私保护，在域间实现域 ID 的追踪 ，在 源域实现真实身份 和 位置 的识别、追踪和定位 。 多级 DDoS 防御 架构： DDoS 攻击是当前 网络 中 最 顽固 的安全危害之一。 这些 DDoS 攻击 有 些 针对 某些 协议的脆弱性，有些 则 采用 暴力 流量攻击， 难以 识别 、 过滤 和 追溯。 当前网 络面 对 DDoS 攻击基本没有任何 系统 的防御能力 ， 只能依靠服务端不断扩大能力池，与攻 击方展开 “军备 竞赛 ”。 未来网络 可 通过 设计 流量 智能化 分类 和 甄别、虚假流量过滤 和重定 向等 内生的 多级 DDoS 防御 能力，能够在攻击发生时 ， 在贴近攻击源处过滤流量 、在被 攻 击网络边界 对 攻击流量进行 分类分流和限速 ， 在 被攻击者处通过流量重定向和关键流量重 规划 路径等方式，确保关键流量可达 。 并能 结合 审计追踪技术，在 事中溯源由源头切断流 量、边界限制流量，在 事后溯源 追责 。 去中心 化的 安全密钥 交换 技术 ： 为了 保护 端到端 的通信数据，通信两端需要进行密钥协商， 并使用 IPSec 或 TLS 等安全通信协议对 通信 数据的机密性、完整性等进行保护。当前 的 密 钥交换 方法 都存在 一定 的问题 ：预先 静态配置 存在 配置开销大、 易出错 、不可扩展等 问题 ， 利用 PKI 系统 存在 着中心化的问题， Diffie-Hellman 算法存在中间人攻击问题 。密钥安全 是多种安全技术的基础。 未来 网络中，对于安全域内密钥，需要提供安全的密钥管理技术 来保障密钥的全生命周期安全。对于域间实体的密钥安全交换，可 基于 去中心化的不可 篡 改 、 可验证数据 记录库来 保障交换密钥的真实性， 利用基于 身份的加密和签名等密码技术， 保证 协商密钥的两端 以 真实的身份 密钥协商会话 密钥。 图 11：端到端通信业务安全技术框架 6.6.2. 网络基础设施安全 除了 端到端 通信业务 安全外 ，支撑 全球互联网运行的基础设施的安全性 和 可信性也需要 增强。 目前 ， 互联网最 重要 的两大基础设施是路由系统和域名系统 。这两大基础设施 或其背后的 安全可信 模型 都 是中心化的， 以 某个 可信第三方作为整个 系统的单一信任 锚点。由于 中心化的模型存在着中 心 节点 权限过大 、 单点 失效等 脆弱性 ，导致这些 基础设施 存在安全可信 隐患 ，同时 也大大降低了互 联网的 平等 性和 可靠性。为了构建 一个 更加 平等、可靠和开放的互联网 ， 未来 互联网 的基础设施 需 要以 某种去中心化的方式来作为安全可信基础，以摆脱中心化 模型导致 的安全隐患 和 信任危机。 在 未来网络中，可以 以分布式账本 技术为代表的去中心化技术来 构建 基础设施的可信根。 分布 式账本 等 去中心化技术 不存在单一可信锚点， 所有 节点平等 ， 并且有全部 信息 副本， 因此 更加可信 和 安全。 在 此基础之上 可以 构建 统一 的资源管理平台，实现网络核心资源 （如 IP 地址、域名、 AS 号 及 其他未来可能的资源类型）的申请和管理， 并 提供不依赖于第三方的资源所有权证明。 进一步 地 ，资源所有者 可以 发布其所拥有资源相关的映射信息，如 AS/IP 映射、 IP/域名映射等信息 ， 基于 资源 间的映射信息，可以 进一步 实现 BGP 宣告 和 DNS 查询 的基本能力。 由于资源所有权不依赖于 单一信任实体，基于 此上 的所有信息 均 可信可验证。 安全可信 的 BGP 基础 设施 构建 BGP 是自治域 间 互联 的路由协议，也是整个互联网保持网络层基本连通性的基础。 未来网络可 基于 密码 学、去中心化 等技术， 以去 中心化 的方式 实现 IP 地址 的 申请 和管理 。进一步地 ， 地址 持有 者可以 在 去中心化资源管理 平台 上通过交易的方式发布 相关 BGP 相关 宣告 。以 去中心化的 系统 作为 可信根， 未来 网络可以提供 不依赖于单一 第三方 信任 实体的 、真实可验证 的路由 信息 ， 彻底解决前 缀劫持、路由劫持、路由泄露等 安全 问题 。 安全可信的域名基础 设施构建 DNS 作为网络架构中重要的基础设施，面临 DNS 欺骗、 DNS 的域名劫持 /重定向 /缓存污染、 DDoS 攻击等安全威胁。尽管 DNSSEC 提供了一种来源鉴别和数据完整性的扩展 , 但是带来 了 查询 效率降低、开销增大 的 问题，并且 延续 了中心化的问题。 因此，在未来网络中 ，可基于 区块链 等去 中心化技术， 提供 不可篡改的域名所有权证明 ， 域名持有者可进一步发布 其持有 的域名和相关的 IP 地址的映射 信息 数据库 ， 解决中心化单点 权威沦陷 带来的不可信问题。 图 12：基于去中心化技术 的 网络基础设施安全 可信 架构