*本文系SDNLAB編譯自《A Survey on P4 Challenges in Software Defined Networks: P4 Programming》一文。

在過去的十年中，SDN (軟件定義網(wǎng)絡) 極大地提高了網(wǎng)絡的可編程性。SDN 理念的核心是將應用、控制和數(shù)據(jù)平面解耦，以提高網(wǎng)絡的可編程性。與控制平面和應用平面相比，數(shù)據(jù)平面受到的關注較少。傳統(tǒng)上，數(shù)據(jù)平面依賴于固定功能，僅能使用有限數(shù)量的協(xié)議來轉發(fā)數(shù)據(jù)包。P4（獨立于編程協(xié)議的數(shù)據(jù)包處理器）語言的出現(xiàn)使得對SDN數(shù)據(jù)平面進行編程成為可能，這將SDN推向了一個新的水平。

本文回顧了網(wǎng)絡從傳統(tǒng)網(wǎng)絡到可編程數(shù)據(jù)平面的演變，解釋了可編程交換機的基本原理，并總結了從傳統(tǒng)網(wǎng)絡到可編程網(wǎng)絡的發(fā)展歷程。作者從P4 的角度出發(fā)探討了 SDN的發(fā)展，共分為六個部分：

1.TB 級帶寬時代的 SDN 和 P4 連接；

2.SDN 的演進以及P4 在網(wǎng)絡技術中的興起；

3.對P4 的詳細解析；

4.數(shù)據(jù)平面的可編程性；

5.研究的挑戰(zhàn)和機遇；

6.總結以及未來的趨勢。

網(wǎng)絡的發(fā)展歷程

在開始之前，我們需要先了解導致數(shù)據(jù)平面可編程性需求產(chǎn)生的一系列發(fā)展動態(tài)。本節(jié)將進一步介紹網(wǎng)絡如何從傳統(tǒng)網(wǎng)絡轉變?yōu)榭删幊叹W(wǎng)絡，以及P4 在 SDN 中的重要性。

傳統(tǒng)網(wǎng)絡

傳統(tǒng)網(wǎng)絡運行于諸如路由器、交換機和應用交付控制器等固定功能設備之上，通常采用專用設備來執(zhí)行特定任務。SDN則為網(wǎng)絡提供了靈活性，使其能夠適應不斷增長的網(wǎng)絡規(guī)模和安全需求。傳統(tǒng)網(wǎng)絡一直面臨靈活性方面的挑戰(zhàn)，且部署和管理成本較高。在傳統(tǒng)網(wǎng)絡中，控制平面和數(shù)據(jù)轉發(fā)平面緊密耦合且功能較為固化。傳統(tǒng)網(wǎng)絡是面向硬件的，SDN是面向軟件的。

圖1 傳統(tǒng)的可編程網(wǎng)絡

軟件定義網(wǎng)絡

SDN由控制器、南向和北向API組成，已在網(wǎng)絡行業(yè)應用超過十年。當網(wǎng)絡需要具備可編程能力時，便會實施SDN策略。網(wǎng)絡控制平面和數(shù)據(jù)轉發(fā)平面解耦，控制平面可以控制多臺設備。如上圖所示，控制平面內(nèi)嵌有SDN技術，因此具有可編程性，但數(shù)據(jù)轉發(fā)平面尚不具備靈活性，因為可編程性尚未完全覆蓋到這一層面。不過，管理和配置工作已轉移到集中式控制臺進行。目前，SDN已被亞馬遜、Facebook和谷歌數(shù)據(jù)中心等廣泛采用。下面將帶大家了解SDN的演化歷程，以及數(shù)據(jù)轉發(fā)層是如何逐漸變得更加靈活的。

OpenFlow

隨著SDN技術的成熟穩(wěn)定，OpenFlow協(xié)議開始流行并被證明是最具影響力的SDN協(xié)議之一。OpenFlow協(xié)議用于配置支持SDN的設備，是開發(fā)SDN解決方案中的關鍵組件。作為SDN控制器中的通信協(xié)議，OpenFlow協(xié)議直接與數(shù)據(jù)轉發(fā)平面中的網(wǎng)絡設備進行交互。所有與SDN控制器通信的設備都必須兼容OpenFlow協(xié)議。近年來，協(xié)議標準變得越來越復雜。通過此接口，SDN控制器將變更發(fā)送至交換機/路由器的流表，從而允許網(wǎng)絡管理員對流量進行分段、管理流以獲得最佳性能以及配置和應用新信息。

SDN的演進

SDN 也經(jīng)歷了許多試錯方法。SDN 1.0版本引入了OpenFlow協(xié)議。由于第一版存在一些局限性，SDN 2.0版本解耦了overlay。最后，SDN 3.0版本采用了n-centric 。隨著IT和SDN的發(fā)展。然后，技術領域發(fā)生了很多變化。

為了理解可編程網(wǎng)絡的演變，我們需要理解圖1。在圖1中，可以看到從傳統(tǒng)架構（左側）向SDN架構（中間）以及采用P4的具有可編程數(shù)據(jù)平面的SDN架構（右側）的轉變過程。在傳統(tǒng)架構中，控制平面和數(shù)據(jù)平面緊密綁定，被稱為“緊耦合”。隨著SDN的出現(xiàn)，控制平面和數(shù)據(jù)平面被分離，形成了自下而上的設計方式，兩者之間的信息通過OpenFlow協(xié)議進行共享。當前，新型架構追求的是在SDN中使用可編程數(shù)據(jù)平面，它采取了自上而下的設計方法。這種可編程芯片可以根據(jù)用戶需求進行配置，而傳統(tǒng)的SDN架構則具備固定的一組功能。

在SDN虛擬化演進的過程中，虛擬化之王“VMware”收購了Nicira，并將其更名為VMware NSX。NSX代表SDN，在全球數(shù)據(jù)中心內(nèi)的數(shù)以十萬計的虛擬機中得到了廣泛應用。

表1 IT 和 SDN 的演變

SDN現(xiàn)狀如何？

SDN并未消亡，相反，它依然活躍并且在應對當前網(wǎng)絡市場的需求方面表現(xiàn)出色。盡管許多研究者認為SDN已經(jīng)不存在了，但這并不準確。實際上，SDN存在于所有的虛擬化網(wǎng)絡和軟件定義網(wǎng)絡之中，并通過包含SDN的理念和技術實現(xiàn)了對前代產(chǎn)品的超越。這與分析師過去對SDN未來的預測類似：**雖然不再單獨強調“SDN”這個術語，但SDN的概念已經(jīng)被融入到各類網(wǎng)絡工具與解決方案之中。**因此，我們會在諸如SD-WAN（軟件定義廣域網(wǎng)）等具體工具或技術中會看到SDN的身影。

SDN為什么需要P4？

SDN面臨著諸多挑戰(zhàn)。首先，實現(xiàn)新協(xié)議和擴展現(xiàn)有協(xié)議的功能需要耗費時間。其次，像SDN中的“OpenFlow”等協(xié)議在操作和管理界面方面存在不足。最重要的一點在于，在OpenFlow協(xié)議中添加新協(xié)議是一個耗時的研究驅動過程。

相比之下，P4的可編程性為網(wǎng)絡堆棧的靈活性帶來了全新的可能性，使其可以從7層OSI模型或5層TCP/IP模型中獲得前所未有的改變。其次，對于升級性需求（硬件解決方案無法滿足），通過更新運行在設備上的P4軟件，可以在不購買新交換機及其框架的情況下，向網(wǎng)絡設備添加功能和協(xié)議?？傊琒DN已成為一種頗具前景的集中化管理網(wǎng)絡架構的方法，使得網(wǎng)絡變得動態(tài)化、集中化、靈活且可編程。因此，在SDN環(huán)境中集成P4技術是必要的。

數(shù)據(jù)平面編程

可編程數(shù)據(jù)平面是一種靈活的轉發(fā)數(shù)據(jù)包的方式，可以處理多種格式和協(xié)議。在實現(xiàn)交換機執(zhí)行復雜數(shù)據(jù)包操作的過程中，可編程數(shù)據(jù)平面是一個關鍵的步驟。然而，它們不能單獨執(zhí)行所有任務。

P4 是一種編程語言，允許用戶編寫自定義協(xié)議、構建復雜的匹配/動作pipeline并在代碼中引入外部函數(shù)。P4可用于配置轉發(fā)動作，是為數(shù)據(jù)平面編程而創(chuàng)建的。因此，P4定義了能夠在數(shù)據(jù)包上執(zhí)行的動作，此時控制平面和應用平面已經(jīng)具備了可編程性，而數(shù)據(jù)平面編程則是缺失的一環(huán)，P4填補了這一空白。

P4的崛起

隨著數(shù)據(jù)流量的急劇增長、新協(xié)議的涌現(xiàn)以及公有云和私有云的普及，網(wǎng)絡世界的創(chuàng)新速度正在加速。從傳統(tǒng)交換機過渡到靈活可編程交換機的過程現(xiàn)已基本完成，而這需要一種新的標準語言來支撐。這種新語言應滿足以下三個基本要求：

1.該語言應使網(wǎng)絡具備靈活性，能夠根據(jù)需求快速適應變化。

2.使用的語言應具有表達力強、涵蓋面廣的特點，能夠全面描述和控制網(wǎng)絡行為。

3.這種語言必須具有良好的移植性，能在不同架構之間平滑遷移和使用。

P4是一種特定領域語言，用于控制發(fā)送至網(wǎng)絡設備數(shù)據(jù)平面的數(shù)據(jù)包。它由計數(shù)器、寄存器、報頭字段規(guī)范以及匹配-動作表支持等結構組成。P4專門設計用于數(shù)據(jù)平面，用以檢查SDN交換機行為的正確性。

通過P4，可以定義自定義的報頭格式，并能執(zhí)行動態(tài)的報頭解析。P4程序采用特定格式編寫，必須包括以下部分：報頭、解析器、逆解析器、匹配-動作、校驗和驗證、入口處理（ingress）、出口處理（egress）以及校驗和計算。程序中各個部分相互依賴，共同完成相應的功能。

圖2描繪了P4語言的演變和發(fā)展歷程。P4語言草案于2014年提交，并于2015年5月首次在全球推出。2016年，經(jīng)過許多誤解后，P4社區(qū)明確了OpenFlow與P4語言之間的區(qū)別。同年5月，推出了P4語言的第二個版本，即P416；在此之前的老版本被稱為P414。2017年7月，為了運行P4程序，P4Runtime被引入并嵌入到了控制平面中。由于其可擴展性、可行性和可重新配置性，許多大規(guī)模網(wǎng)絡都已采用P4語言。P4Runtime v1.0在2019年發(fā)布，P4Runtime v1.2在2020年發(fā)布。

圖2 P4語言的演變和歷史

如表2所示，自2013年以來已經(jīng)開發(fā)了多個版本的P4。這一初始構想始于一個研究團隊，他們在2013年5月開始著手研究。最終，在2014年7月，該團隊向SIGCOMM提交了首個P4草案提議。獲得批準后，他們對論文進行了修訂并于同年8月再次提交。最終，P4作為一種可編程語言被接受，這個版本被稱為P414。P414共發(fā)布了四個不同的版本。然而，為了填補P414中的漏洞，后續(xù)推出了包含新的數(shù)據(jù)類型和控制語句的P416版本。

表2 P4 版本

為什么社區(qū)青睞 P4？

P4 能夠描述利用可編程轉發(fā)細節(jié)處理的數(shù)據(jù)包，它是一種允許網(wǎng)絡設備使用新功能進行編程的編程語言。P4 提供了一組簡單的工具，使得開發(fā)者能夠在交換硬件上實施自定義協(xié)議棧。

P4并不理解以太網(wǎng)或IP頭部的具體結構，只有開發(fā)者才能告知硬件如何解析、匹配和生成以太網(wǎng)頭部，以及最終應將數(shù)據(jù)包轉發(fā)到哪個端口。相較于傳統(tǒng)的固定功能，這種可編程性為網(wǎng)絡堆棧帶來了新的靈活性機會。通過P4，網(wǎng)絡設備可以通過添加新功能和協(xié)議進行升級，而不是購買全新的交換機，從而開啟了新的可能性。

P4生態(tài)系統(tǒng)

本節(jié)將對P4進行深入探討。在編寫P4程序時，需要滿足三個主要目標：

目標獨立性：P4編譯器在將與目標無關的P4描述轉化為針對特定交換機配置的與目標相關的程序時，應當考慮交換機的實際功能和性能。

協(xié)議獨立性：交換機不需要受特定數(shù)據(jù)包格式的約束。但是，控制器應能夠指定以下內(nèi)容：數(shù)據(jù)包嗅探器可以提取具有特定名稱和類型的報頭字段；這些報頭區(qū)域是使用“匹配-動作”表的集合進行處理的。

可重配置性：控制器應該能夠細化數(shù)據(jù)包的包分析過程和包頭區(qū)域的處理過程，以便根據(jù)需求進行調整和重新配置。

P4架構

P4 會進入并處理不同的功能塊，而理解P4如何進入不同功能處理塊至關重要。圖3和圖4描述了數(shù)據(jù)包在各種轉發(fā)設備（如以太網(wǎng)交換機、負載均衡器、路由器）上的傳輸情況。目前存在兩種不同的架構：P414架構和P416架構。

P414架構

P414架構被稱為“P4抽象轉發(fā)模型”。P414主要針對類似于PISA的設備，而P416則超出了 PISA 的范圍。在P4~14 ~架構中，PISA 架構是一種與協(xié)議無關的交換機架構，采用single-pipeline轉發(fā)設計。該架構的局限性在于，它不知道如何表達在pipeline中被處理的數(shù)據(jù)包的具體過程。

圖3 P414 架構圖

P416架構

P416采用了一種可移植的交換機架構，使其能夠針對具有不同架構的多個可編程設備進行目標設定。P416使用可編程解析器并執(zhí)行多階段匹配動作過程來轉發(fā)傳入數(shù)據(jù)包。

P416遵循可移植交換架構，可以在任何交換機目標上實現(xiàn)。PSA 中實現(xiàn)的多個網(wǎng)絡功能被組合到一個pipeline中。該pipeline具有以下組件：解析器、校驗和驗證、入口匹配操作、數(shù)據(jù)包緩沖區(qū)、出口匹配操作、校驗和更新、解析器和緩沖區(qū)排隊引擎。

圖4 P416 架構圖

P4 工作流程

本節(jié)將詳細討論P4的工作流程。P4程序主要包括兩個操作：配置和下發(fā)。配置操作決定了“匹配執(zhí)行動作”各階段的順序，并指定了各階段要處理的協(xié)議頭區(qū)域。通過配置交換機，可以確定支持哪些網(wǎng)絡協(xié)議以及如何處理數(shù)據(jù)包。發(fā)出的操作包括向“匹配-動作”表中添加或移除條目。該表本身也是配置操作期間明確指定的一部分。發(fā)出操作的過程決定了在任何給定時刻數(shù)據(jù)包執(zhí)行策略的選取。

圖5 P4程序的工作流程

P4程序的工作流程如圖5所示。P4程序的每個部分都與執(zhí)行特定功能的不同塊關聯(lián)。P4程序分為四個主要部分：數(shù)據(jù)聲明、解析邏輯、具有控制流的匹配-動作表和逆解析邏輯。成功運行 P4 程序需要解析器、入口處理、調度器、出口處理和逆解析器。

數(shù)據(jù)包解析器首先處理到達的數(shù)據(jù)包并從數(shù)據(jù)包報頭中搜索特定區(qū)域，從而確定交換機所支持的協(xié)議。該模型不對協(xié)議頭的含義做出任何假設。相反，解析后的數(shù)據(jù)包表示定義了一組報頭區(qū)域，在這些報頭區(qū)域上執(zhí)行“匹配執(zhí)行動作”過程。

數(shù)據(jù)包中包含元數(shù)據(jù)，這是一種可以在處理階段之間傳遞的額外信息。元數(shù)據(jù)也可以用作數(shù)據(jù)包標頭區(qū)域。元數(shù)據(jù)的示例包括入口端口號、傳輸目的地和隊列信息、用于數(shù)據(jù)包調度的時間戳，以及在不同表之間傳遞的數(shù)據(jù)。簡言之，元數(shù)據(jù)是對數(shù)據(jù)包內(nèi)容之外的輔助信息進行描述，它們在數(shù)據(jù)包的處理過程中起到關鍵作用，但不影響數(shù)據(jù)包的基礎傳輸屬性。

匹配-動作表接收解析出的報頭區(qū)域。匹配-動作表中有兩個部分：入口表和出口表。入口表決定了數(shù)據(jù)包將被放入哪一個隊列中。數(shù)據(jù)包可以根據(jù)入口處理的流控機制進行轉發(fā)、復制、丟棄或其他操作。當數(shù)據(jù)包通過多播方式進行復制時，對于數(shù)據(jù)包頭部上的每一個動作目標，都會分別修改出口“匹配-動作”規(guī)則。

研究差距和挑戰(zhàn)

作者審查了75篇論文，發(fā)現(xiàn)在P4可編程交換機領域存在著研究空白，他們計劃通過展示基于P4的解決方案來填補這些空白，這些方案針對DDoS檢測、負載均衡、數(shù)據(jù)包聚合與解聚。

圖6展示了研究論文在不同類別中的分布情況。這些論文廣泛涉及以下類別：SDN、P4、大規(guī)模網(wǎng)絡、數(shù)據(jù)平面編程、P4 交換機、數(shù)據(jù)平面負載平衡、數(shù)據(jù)中心網(wǎng)絡和網(wǎng)絡性能。

圖6 基于不同類別的研究論文分布

研究差距

從審閱的論文中發(fā)現(xiàn)的研究缺口主要包括以下幾點：

大多數(shù)研究人員在非功能性 BMv2 交換機上測試其操作，因為這些交換機不支持諸如OpenConfig、gNMI和gNOI等配置、監(jiān)控和運行協(xié)議。此外，與物理硬件交換機相比，BMv2交換機的計算能力相當有限。而基于Stratum等生產(chǎn)就緒平臺的交換機將使得研究社群能夠測試基于P4的解決方案。Stratum這類平臺的支持將促進更接近真實環(huán)境的實驗，提高研究成果的實用性和可遷移性到實際網(wǎng)絡部署中。

當前可用的基于P4的解決方案無法有效區(qū)分突發(fā)流量（flash traffic）與攻擊流量，這讓攻擊者有機會利用低頻次的DDoS攻擊來規(guī)避安全防護措施。

一些DDoS防御方案依賴于本地流量生成工具產(chǎn)生的合成數(shù)據(jù)集，但目前缺乏既包含惡意流量也包含正常流量的參考數(shù)據(jù)集。這導致了評估和比較不同防御方法時缺乏真實性和全面性。此外，部分研究論文在實驗中使用了較小的網(wǎng)絡拓撲結構，這限制了其研究成果的適用性和有效性驗證，使得在更大規(guī)模的實際網(wǎng)絡環(huán)境中難以實施和驗證這些方案的效果。

對于交換機ASIC，一些研究者已經(jīng)使用P4實現(xiàn)了負載均衡算法。然而，數(shù)據(jù)連接需要在交換機中占用大量內(nèi)存進行存儲。另一個研究方向是針對數(shù)據(jù)平面交換機，尤其是在內(nèi)存資源有限的情況下，開發(fā)高效的負載均衡解決方案。

盡管基于P4的解決方案能夠減少控制平面的計算和通信開銷，但它可能會增加或減少數(shù)據(jù)平面中交換機的復雜性。仍需進一步研究來確定如何在交換機中部署基于P4的算法，同時有效地最小化其復雜性。

目前，研究重點集中在可編程交換機上。然而，完全部署這些解決方案面臨的真正挑戰(zhàn)在于用具有固定功能的可編程交換機替換所有現(xiàn)有交換機。如何在保持固定功能交換機與可編程交換機并行工作的同時整合它們，并檢驗網(wǎng)絡性能，仍然是一個未解決的研究問題。

挑戰(zhàn)

在本節(jié)中，我們將根據(jù)最前沿的文獻討論研究中面臨的一些挑戰(zhàn)。

P4的設計問題

P4 最初不支持循環(huán)結構、指針、引用或動態(tài)內(nèi)存分配。因此，需要深度包檢測的算法很難實現(xiàn)。此外，由于P4不支持算術對數(shù)函數(shù)，因此DDoS檢測算法是通過估計熵值而非利用最長前綴匹配表計算精確熵值來實現(xiàn)的。

成本和 P4 可編程交換機的可用性

目前只有少數(shù)公司生產(chǎn) P4 ASIC ，而且用可編程設備替換固定功能設備的成本要高于在現(xiàn)有網(wǎng)絡中添加傳統(tǒng)設備。此外，還需要P4專業(yè)人員來定義可編程交換機的行為，而將SDN（軟件定義網(wǎng)絡）與傳統(tǒng)網(wǎng)絡的集成仍然是一個研究挑戰(zhàn)。隨著可編程數(shù)據(jù)平面的加入，SDN網(wǎng)絡的復雜性也在增加。為了解決這些問題，采用增量部署的方式至關重要，即逐步將可編程及固定功能的SDN設備作為可行選項引入到傳統(tǒng)網(wǎng)絡中。

Paxos協(xié)議是多個容錯分布式系統(tǒng)和服務的基礎，其在P4上的實現(xiàn)是一個關鍵應用場景，有助于塑造一般數(shù)據(jù)平面語言的需求。PISCES是一款源于OpenvSwitch (OVS)的軟件交換機，它借助P4可以自定義原本硬連線的hypervisor交換機行為。PISCES并未硬編碼綁定任何特定協(xié)議，因此很容易添加新特性。

數(shù)據(jù)平面安全

上世紀90年代末，主動網(wǎng)絡是首次對可編程網(wǎng)絡進行研究的嘗試。因此，可編程網(wǎng)絡的概念相對較新。但由于存在安全性問題，這一技術并未得到廣泛采納。類似地，P4可編程數(shù)據(jù)平面也存在一些安全問題。相較于硬件應用，在軟件應用中bug更為常見。另外，通常是由經(jīng)驗較少且較為輕率的最終用戶而非供應商來決定數(shù)據(jù)平面的轉發(fā)行為。其次，攻擊者可能會利用可編程性改變設備的轉發(fā)行為以發(fā)起新的攻擊方式。因此，有必要在程序中添加斷言并通過驗證來提高可編程數(shù)據(jù)平面的安全性。

為了保護基于P4的SDN交換機之間的網(wǎng)絡鏈路，計劃部署MACsec——一種廣泛應用于保障第2層基礎設施安全的IEEE標準。MACsec得到了眾多交換機和路由器制造商的支持，并且相較于IPsec等VPN技術，在這些設備上的性能影響相對較小。P4-MACsec是一項關于MACsec數(shù)據(jù)平面實施的提議。

可重構性

從OpenFlow轉向P4的是為了靈活且高效地展現(xiàn)交換機的處理能力，包括可編程的數(shù)據(jù)包解析以及通用調度和隊列系統(tǒng)。這超出了數(shù)據(jù)包處理規(guī)則在數(shù)據(jù)平面的建模方式，包括數(shù)據(jù)包如何與特定的處理操作進行關聯(lián)。特別是，在不影響數(shù)據(jù)包處理的情況下，要在運行時改變數(shù)據(jù)平面行為是非常困難的。

數(shù)據(jù)平面漏洞

當前的問題還涉及到從意圖層向下映射數(shù)據(jù)平面。面對網(wǎng)絡環(huán)境的變化，自動化調整網(wǎng)絡的難度與驗證配置調整的正確性及其預期效果密切相關。在這個過程中，控制流程不僅要能從意圖層向下映射數(shù)據(jù)平面，同時也要確保數(shù)據(jù)平面的安全運行，因為可編程功能可能會引入潛在的安全漏洞。

最新的研究發(fā)現(xiàn)表明，在設計和構建網(wǎng)絡時，應從一開始就充分考慮安全性和可驗證性。這意味著需要采用新的抽象方法，并保證其安全執(zhí)行，因為更高的可編程性會增加引入漏洞和額外攻擊面的風險。

結論和未來趨勢

本文對可編程數(shù)據(jù)平面進行了調查，并簡要介紹了 P4 語言，以及該領域的研究空白和未來趨勢。本次調查詳細考察了從傳統(tǒng)網(wǎng)絡到SDN，再到利用P4實現(xiàn)可編程SDN的過渡過程。接下來，文章詳細討論了網(wǎng)絡的演變和數(shù)據(jù)平面可編程性的重要性。在研究挑戰(zhàn)部分，我們討論了多種未來發(fā)展趨勢和創(chuàng)新舉措。由此得出結論，在未來，開源架構和數(shù)據(jù)網(wǎng)絡編程將在網(wǎng)絡領域占據(jù)主導地位。因此，SDN+P4 將成為未來幾年的理想環(huán)境。

原文鏈接：

https://ieeexplore.ieee.org/document/10130445