İleri Düzey Bilgisayar Ağları

Transkript

1 İleri Düzey Bilgisayar Ağları Ders Notu 6 Yazılım Tanımlı Ağlar Mehmet Demirci 1

2 Software-Defined Networking (SDN) Temel felsefe: Kontrol düzlemini veri düzleminden ayırmak Kontrol düzlemi: Beyin (kontrol yazılımı ve uygulamalar) Veri düzlemi: Vasıfsız işgücü (programlanabilen anahtarlar) Ağdaki davranış merkezi bir kontrol programı tarafından yönetilir. 2

3 SDN in Faydaları Kontrol ve veri düzlemleri neden ayrılmalıdır? SDN olmadan, Ağ cihazlarında donanım ile donanıma bağımlı yazılımın birlikte bulunması (vertical integration) kısıtlayıcıdır. Değişim yapmak zordur. Yenilikleri uygulama süreci yavaştır. Ağın davranışını anlamak ve öngörmek zordur. 3

4 SDN in Faydaları Kontrol ve veri düzlemleri neden ayrılmalıdır? SDN ile, Ağı yönetmek çok daha kolaydır. Örnek: yük dengeleme, güvenlik vs. Donanımla yazılıma bağımsız gelişim imkanı sağlanır. Özellikle yazılımın daha hızlı gelişmesi mümkün olabilir. Ağın davranışı daha anlaşılır ve tahmin edilebilir hale gelir. 4

5 SDN Mimarisi 5

6 Kontrol-Veri Düzlemleri Arası İletişim OpenFlow (2008) Var olan donanım cihazını kontrol yazılımıyla kontrol etme imkanını veren bir protokol. Kontrol yazılımı, OpenFlow üzerinden anahtarın akış tablosuyla iletişim kurar. Gereksinim: Akış tablosu arayüzünün açılması 6

7 OpenFlow Protokolü Kontrolcünün anahtarla güvenli biçimde iletişim kurmasını sağlar. Anahtarın akış tablosunda değişiklikler yapmasını söyler. OpenFlow arada akan mesajların şeklini belirler. 7

8 OpenFlow Protokolü Akış tablosu (flow table) Gelen paketler için akış tablosunda eşleşme (match) aranır. Paketin başlıkları (header) tablodaki girdilerden biriyle eşleşiyor mu? Eşleşme olup olmadığına, nasıl olduğuna göre işlem yapılır. Eşleşme yoksa paket kontrolcüye gönderilir. 8

9 OpenFlow Protokolü Akış diyagramı Kaynak: OpenFlow Switch Specification 1.0 9

10 OpenFlow Protokolü Paket başlığındaki alanlar Kaynak: OpenFlow Switch Specification

11 OpenFlow Protokolü Eşleşme sonrası işlemler (actions) A. Zorunlu işlemler (required actions): OpenFlow u destekleyen bütün anahtarlar bu işlemleri yapabilmelidir. Paket iletme (forward) Paket atma/bırakma (drop) 11

12 OpenFlow Protokolü Eşleşme sonrası işlemler (actions) B. İsteğe bağlı işlemler (optional actions): OpenFlow u destekleyen anahtarlar, zorunlulara ek olarak bu işlemleri yapabilir. Paketi kuyruğa sokma (enqueue) Paketteki alanları değiştir (modify field) 12

13 SDN Kontrolcüleri Çeşitli SDN kontrolcüleri var, neye göre seçmeli? Programlama dili (hem kolaylık hem performans) Öğrenme kolaylığı Kullanıcı tabanı ve destek Genel amaç 13

14 SDN Kontrolcüleri NOX İlklerden C++ tabanlı, açık kaynaklı, yaygın ve hızlı Kullanıcılar C++ ta kontrol uygulaması yazarlar. Programlama modeli: Kontrolcü olayları kaydeder. Programcı olaylara cevap veren event handler kodu yazar. 14

15 SDN Kontrolcüleri POX NOX in Python Yaygın ve kolay Daha yavaş 15

16 SDN Kontrolcüleri Floodlight Açık kaynaklı, Java tabanlı Beacon Sağlam dokümantasyon REST API ile entegre Yüksek performans Öğrenmek daha zor 16

17 SDN Programlama OpenFlow alt seviyede (low-level) bir soyutlama sağlar. Akış tablosu girdilerini değiştirme Bu seviyede programlama o kadar kolay değildir. Birden çok işi birlikte yapan bir kontrol programı yazmak zordur. Ayrıca tablo girdilerinin doğru sırada yazılmasını sağlamak gerekir. 17

18 Southbound API vs. Northbound API Kontrolcü-anahtarlar arasında olduğu gibi kontrolcü-uygulamalar arasında da bir arayüz olmalıdır. Northbound API, uygulamaların ağı programlamasına imkan verir. Yol hesaplama Yönlendirme Güvenlik 18

19 Northbound API Kim kullanacak? Ağ yöneticileri, karmaşık kurallar uygulamak için üst seviye bir dilde program yazıp Northbound API yoluyla kontrolcü ile iletişim kurabilirler. Servis sağlayıcıları, diğer şirketler ve araştırmacılar da kullanabilirler. 19

20 Northbound API Northbound API, programı derleyerek OpenFlow kuralları haline getirir. Halen belli bir standart API yok. 20

21 İzleme Sayaç örneği: Anahtar tablosundaki her kural eşleşen paket ve byte sayısını tutar. Kontrolcü arada bunları çeker. Diyelim ki kaynak IP dışından gelen web sunucusu trafiğini ölçmek istiyoruz. İki kural gerekir: 1. srcip = , srcport = srcport = 80 2 ye uyup 1 a uymayanları belirten (srcip!= ) && (srcport == 80) gibi bir ifadeyi akış tablosu girdilerine çevirecek bir sistem lazım. 21

22 İzleme Kontrolcüye giden paket örneği: Anahtar, tablodaki herhangi bir girdiyle eşleşmeyen paket kontrolcüye gönderir. Kontrolcü, kuralı anahtara yazar. Peki kontrolcü kuralı yazmadan önce aynı akıştan birkaç paket daha gelirse ne olacak? Bunları kontrolcüye göndermek gereksiz. Bunun için programcı, kontrolcüye bir akıştan gelen paketleri tek paketle sınırlayabilir. Bunun için de bir ifade lazım. 22

23 Frenetic SDN için bir programlama dili SQL benzeri sorgu dili Kontrolcü tarafındaki masrafı azaltmak için tasarlanmıştır. Kontrolcünün hangi trafiği nasıl göreceğini belirler. 23

24 Frenetic Örnek: Select(bytes) * Where(in:2 & srcport:80) * GroupBy([dstmac]) * Every(60) 24

25 Kuralları Belirleme Policy Computation Tek program hepsini bir arada yapabilir. Zorlukları vardır. Programlama, test, debug Yeniden kullanma, taşıma Kaynak: Reich et al., Modular SDN Programming with Pyretic,

26 Kuralları Belirleme Policy Computation Veya program modüllerden oluşturulabilir. Farklı işleri yapacak farklı modüller yazılır. Kaynak: Reich et al., Modular SDN Programming with Pyretic,

27 Sonraki Adım: Kuralları Belirleme Policy Computation Kolay bir iş değildir çünkü kontrolcü platformunun üzerinde yer alan program modülleri aynı trafiğe farklı şeyler yapmak isteyebilirler. Mesela yönlendirme modülü, güvenlik duvarı veya yük dengeleme modülleriyle çelişebilir. Bu modülleri bir araya getirip uyumlu çalışan bir program haline getirmeye ihtiyaç vardır. 27

28 Sonraki Adım: Kuralları Belirleme Policy Composition 1. Paralel birleştirme: Aynı anda yap. Say ve ilet. 2. Sıralı birleştirme: Sırayla yap. Önce filtrele, sonra ilet. 28

29 Kural Birleştirme Kaynak IP adresine göre say + Varış prefixine göre yönlendir Bu işlemler aynı anda yapılabilir. Paralel birleştirme kullanılmalı. Hangi sunucu replikasına yönlendireceğini seç, yönlendir Public IP ye gelen isteği istemcinin IP adresine göre bölüp varış IP sini yeniden yaz. Sonra varış IP sine yönlendir. Sıralı birleştirme kullanılmalı. 29

30 Sonraki Adım: Kuralları Belirleme Farklı türlerde trafiğin farklı modüllerden geçmesi istenebilir. dstport!= 80 Say + yönlendir dstport == 80 Yük dengele >> yönlendir Modüller birbirinden bağımsız olmalı, bir modülün davranışındaki farklılık diğerini etkilememeli. 30

31 Pyretic SDN programlama dili ve runtime Üst seviye kurallar bütününü ifade eden dil Bu kurallar bütününü OpenFlow kurallarına çeviren runtime Farklı metodlar, boolean ifadeler içerir. Örn: match(srcip= ) match(srcip= ) 31

32 Pyretic Paralel ve sıralı birleştirme (match(dstip= ) >> fwd(1)) + (match(dstip= ) >> fwd(2)) Trafik izleme Bir anahtarda ilk kez görülen srcmac için ilgili paket üzerinde bir fonksiyon çalıştır. 32

33 Frenetic & Pyretic Frenetic Slides: Pyretic Slides: 33

34 Frenetic & Pyretic Frenetic Tutorial: Pyretic Tutorial: 34

35 SDN in Uygulamaları Veri merkezleri Trafik/iş yükündeki değişimlere çabuk ayak uydurma, yük dengeleme, canlı sanal makine göçü (VM migration) desteği, maliyeti düşürme vs. Omurga ağları Örnek: Google B4 Internet exchange points (IXP) ISP lerin istek ve önceliklerine göre custom yönlendirme, anahtarlara (veri düzlemine) doğrudan müdahale 35

36 SDN in Uygulamaları Araştırma ağları Gerçek trafik ile sınama trafiğinin birlikteliği Kurum ağları Yönlendirmede daha kontrollü karar mekanizması, güvenlik uygulamaları Ev ağları Daha etkin ölçüm ve cihazların hassas kontrolü 36

37 Veri Merkezleri Temel Özellikler Çok kullanıcılı ortam (multi-tenant) Esnek kaynaklar Esnek hizmet (service) yönetimi İş yükü hareketi Sanal makine göçü 37

38 Veri Merkezleri Zorluklar Trafiği dengelemek Sanal makine göçü desteği Enerji tasarrufuna yönelik yerleştirme yapmak Değişen taleplere ayak uydurarak kaynak ayırmak Güvenlik 38

39 Veri Merkezi Maliyetini SDN ile Azaltma Örnek: 200 bin sunucu, 10 bin anahtar Her anahtar 5 bin dolar 50 milyon dolar Her anahtar bin dolar 10 milyon dolar 10 veri merkezinde 400 milyon dolar kazanç 39

40 Veri Merkezi: Yahoo! 20 bin sunucu, 400 bin sanal makine var. Sanal makine göçünün 1 saniyenın altında gerçekleşmesi, göç sırasında ağ işlevlerinin ve tutarlılığın bozulmaması gerekir. Çözüm: Anahtarları merkezi bir veri tabanından programlamak Sanal makinelerin göçü sırasında kontrolcü anahtarı gerektiği gibi günceller ve ağdaki yolları yeniden düzenler. 40

41 Internet Exchange Points Internet Exchange Points (IXP) İnternet servis sağlayıcıların (ISP) birbirleriyle bağlantı kurup trafik alışverişi yaptıkları noktalar. Yüzlerce ISP tek noktada buluşabilir. 41

42 BGP nin Sınırları Yönlendirme sadece alıcının IP prefixine göre yapılır. Göndericiye veya uygulamaya göre yol düzenlemesi yapılmaz. Bir AS yalnızca komşularını etkileyebilir. Uçtan uca yolları doğrudan etkileyemez. Kurallar ancak dolaylı yoldan belirtilebilir. Yerel tercih, AS yol uzunluğu gibi kriterleri etkileyerek 42

43 IXP lerde SDN Avantajlar Prefix dışındaki başka şeylere (paket başlığı alanlarına) göre yönlendirme yapılabilir. Anahtarlar uzaktan kontrol edilebilir. Doğrudan veri düzlemine müdahele imkanı vardır. Zorluklar Şu anda alanlar arası yönlendirme için bir SDN kontrol platformu yok. Olsa da ölçekleme sorunu olur. 43

44 IXP lerde SDN ISP ler uygulama türüne özel peering yapamıyorlar. Ara peerlar üzerinden trafik göndermemek mümkün değil. Yük dengeleme yapmak zor (Genellikle DNS üzerinden). Doğrudan varış IP adresini değiştirmek mevcut durumda zor. 44

45 IXP lerde SDN SDX: Software-defined exchange Girdiler: Prefixlere göre yol bilgileri ve başka bilgiler (fiyat, performans vs.) Seçim fonksiyonu Çıktılar: Her AS için FIB girdileri Paket başlıklarına yapılacak değişiklikler 45

46 IXP lerde SDN SDX: Software-defined exchange 1. Kontrolcü bilgileri alır. 2. Her ISP bir fonksiyon verir, kontrolcü bunun sonuçlarına göre anahtarlara kuralları yazar. 46

47 IXP lerde SDN SDX Slides _.19..pdf 47

48 Google B4 Google ın iki omurga ağı var, biri kullanıcı trafiğini, diğeri kendi veri merkezleri arasındaki iç trafiği taşıyor. Google, OpenFlow kullanarak veri merkezi omurgasındaki karmaşıklığı ve maliyeti azaltıyor. 48

49 Google B4 B4 slides: 49

50 Ev Ağları Kullanıcıya kendi kullanımı ve sorunlar hakkında faydalı bir arayüz sunmak gerekir. Kotam doluyor mu? Hangi uygulamalar çok kullanıyor? Kullanıcıya kaynak yönetimi, kullanım sınırları gibi konularda kontrol vermek gerekir. Günümüzde yönlendirici arayüzleri yeterince kullanışlı değil. 50

51 Ev Ağları ve SDN Ev ağının dışında bir kontrolcü Araştırmacılar, kullanım kotasını denetlemek için ucap adında bir sistem geliştirdiler. Her cihaz için ayrı kota getirilebiliyor. Cihaz kotasını aşarsa kontrolcüye event gider, kontrolcü de cihazın durumunu değiştirir. Trafik miktarına göre siteler sıralanabiliyor. Arka planda Resonance adlı SDN kontrolcüsü çalışıyor. 51

52 SDN deki Başlıca Zorluklar Bazı zorluklar da ortaya çıkarır. Ölçekleme: Bir kontrolcü birçok (belki binlerce) yönlendirme cihazından sorumludur. Güvenilirlik ve Güvenlik: Kontrolcü bozulursa veya saldırganların eline geçerse ne olacak? 52

53 SDN in Geleceği: Açık Problemler SDN bir araçtır. Kendi başına bir problemi çözmez. SDN den faydalanacak uygulamaları belirlemek önemli. ISP ler aralarında şimdiki katı ilişkilerin (müşteri-sağlayıcı ve peer) ötesinde zenginliğe ve esnekliğe sahip ilişkiler kurabilirler. SDN programlama ve debugging hala yeterince kolay değil. Mesela farklı kontrol programlarına ait modülleri birleştirmek. 53

54 SDN in Geleceği: Açık Problemler Güvenlik başlı başına bir sorun. İnternet te güvenlik özelliklerini sağlamak ve doğrulamak oldukça zor. Veri sızmaları çok yaygın. SDN kontrolü akışlar üzerinde formal güvenlik kuralları uygulayabilir mi? SDN bazı ağ yönetimi işlemlerini kolaylaştırır. Ama ağda farklı noktalarda toplanan büyük miktardaki veriden faydalanacak bir sistem olduğu söylenemez. Düzenli trafik örüntüleri nelerdir? Trafikteki ani değişimler ve cihaz arızaları önceden tahmin edilebilir mi? Veri madenciliğiyle akıllı yönetim sağlanabilir mi? 54