面向SDN网络的分布式轻量级大流检测算法

作者：周京晶, 黄河, 孙玉娥, 杜扬, 张博宇。面向SDN 网络的分布式轻量级大流检测算法。中国科学: 信息科学, DOI:10.1360/SSI-2022-0387

研究意义

在SDN网络中检测大流对负载均衡、异常检测、流量工程等网络应用的实施及网络服务质量的提升至关重要。SDN网络通常使用流表统计流量数据，但流表容量受限及流大小的难以预测性使得无法仅依靠流表从海量网络数据中识别出所有大流，因此需要使用紧凑数据结构(sketch)作为额外的测量模块来辅助检测。然而，现有的研究多考虑将测量模块部署在单台或边缘交换机上，但交换机中的高速存储资源和计算资源极度紧缺，处于高流量链路上的交换机会因执行测量任务承受过高的负载，甚至影响交换机核心功能的执行。因此，亟需一个轻量级的分布式测量方案来分担网络中参与测量任务的交换机的测量负载。

本文工作混合路由机制是目前被广泛认可的能使SDN网络具有高可扩展性的方案，因此本文选用采取混合路由机制的SDN网络作为网络模型，并在该模型下设计了分布式大流检测方案及相应的轻量级测量模块，以检测网络中的top-k流和过阈值流。本文的具体贡献如下：

(1) 提出了新的分布式大流检测框架，利用全网交换机协同测量网络流量，弥补了用以流量测量的交换机过少而可能导致的交换机高计算和存储开销的缺陷，实现了网络流量测量负载的均衡。该框架利用SDN网络的特性，采用数据平面实时检测大流的方式将其流标签上传至控制平面，最终由控制平面通过分布式估计方法确定大流。

(2) 设计了一种轻量级的测量模块。该模块采用的映射机制能降低模块实际需要记录的数据包数量，并使模块每层的计数器数目和长度逐层递减，实现了更高的空间资源利用率。多数情况下，该模块对接收到的每个数据包仅执行一次哈希操作，其他情况下会执行两次哈希及两次内存访问操作（读和写），所需计算开销很小，从而能为交换机保留较多计算资源，供其执行核心功能。

(3) 在简化的单链路网络拓扑以及4元Fat-Tree网络拓扑下，使用真实世界网络流量数据集进行大量实验评估，实验结果显示本文提出的方案能够在较低计算开销及较小的内存空间下以较高精度准确识别网络中的大流，且性能优于对比实验中的其他方法。

实验结果

本文在简化的单链路网络拓扑及4元Fat-Tree网络拓扑下进行实验，并分别使用一分钟和五分钟的真实匿名流量数据CAIDA19作为数据集。同时，本文选择吞吐量 (Throughput)，平均相对误差 (Average Relative Error，ARE)、FNR (False Negative Rate/假阴性率)、FPR (False Positive Rate/假阳性率)、最大负载比率五个指标来评估算法的性能。

从实验结果来看，本文提出的分布式测量方案有效降低了测量模块需要处理的数据包数量，相比于其他相关算法，分布式方案能在相同时间内处理更多的数据包，显著提升了吞吐量。此外，当测量模块仅占用非常少量的内存时，分布式方案同样能获得最稳定且最高的大流检测精度，能在降低交换机测量负载的同时满足低计算和存储开销下的高精度检测需求。