ВВЕДЕНИЕ 3
1. ОБЗОР СУЩЕСТВУЮЩИХ РЕШЕНИЙ 5
1.1. Обзор литературы 5
1.2. Сопутствующие технологии 7
2. ПРОБЛЕМЫ И ЗАДАЧИ 9
2.1. Middleboxes и ограничения доступа в интернет 9
2.2. Требования к оркестрации системы 12
3. ПОДХОД И РЕШЕНИЕ 14
3.1. Обход сетевых ограничений 14
3.2. Сетевые топологии 20
3.3. Архитектура системы 24
4. РЕАЛИЗАЦИЯ 33
4.1. Negotiator 33
4.2. SDN Controller 35
5. РЕЗУЛЬТАТЫ 41
ЗАКЛЮЧЕНИЕ 49
ГЛОССАРИЙ 51
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
В современном мире неуклонно растет количество IoT (Internet of Things) устройств, подключенных к интернету: охранные системы, автомобили, системы электроснабжения, производственные линии, системы мониторинга в сельском хозяйстве. В связи с этим возникает проблема создания приватной, защищенной и надёжной сети обмена данными между устройствами. Традиционно эту проблему решают при внедрении системы в ручном режиме: настраивают сеть для конкретной физической среды, топологии и сетевого оборудования, вводит алгоритмы шифрования данных на уровне приложения.
Проблема заключается в том, что эти решения, как правило, не универсальны; а также требуют ресурсов на разработку и поддержку. Кроме того, некоторые производители склонны пренебрегать вопросами безопасности сетевых коммуникаций для удешевления себестоимости разработки и поддержки продукта.
Одним из вариантов решения данной проблемы может быть применение концепций Software Defined Network (SDN) и Network Function Virtualization (NFV), активно разрабатывающихся и внедряемых операторами связи и в различных Cloud системах. Они позволяют управлять сетью на уровне ПО, абстрагируясь от физического и канального уровней устройства сети. Эти концепции упрощают обслуживание систем из большого количества устройств и позволяют более универсально описывать их размещение.
Помимо обслуживания сети существует также проблема наличия различных ограничений доступа в интернет для IoT устройств. К сожалению, не всегда есть физическая возможность обеспечения полного доступа в интернет. Примерами подобных ограничений являются Firewall, обязательный HTTP-Proxy, NAT и другие.
Объектом исследования является процесс создания защищенной приватной сети для IoT устройств в условиях ограниченного доступа в интернет с помощью концепции SDN.
Предметом исследования является обеспечение конфиденциальности M2M (Machine-to-Machine) коммуникаций с помощью концепции SDN.
Целью исследования является разработка методологии создания защищенной приватной сети для IoT устройств с помощью концепции SDN. Для достижения этой цели необходимо решить две задачи:
1. исследовать возможные ограничения доступа в интернет (такие как Firewall, NAT, HTTP-Proxy и др.) и найти способы их обхода.
2. реализовать прототип системы, способной создавать сети с использованием разработанных способов обхода ограничений в соответствии с концепцией SDN.
В результате выполнения данной работы было сделано следующее:
1. Выделен список основных ограничений доступа в интернет: NAT, MITM, Proxy, Firewall, Reliability, Captive Portal.
2. Представлена модель из трёх комбинируемых модулей, способных обойти все перечисленные выше ограничения, за исключением Captive Portal: Adapter, Relayer, Trunker.
3. Показано, как с помощью Adapter (т.е. VPN), можно защитить трафик приложений от прослушки и модификации с помощью шифрования алгоритмами TLS.
4. Рассмотрены различные варианты архитектур систем, способных автоматически обходить перечисленные выше ограничения при сохранении максимально возможной производительности сети, в том числе с использованием концепции SDN.
5. Был реализован прототип одного из варианта систем на базе концепции SDN (с использованием Open vSwitch и фреймворка Ryu), который способен устанавливать туннели автоматически по мере необходимости.
Поставленная цель - разработка методологии создания защищенной приватной сети для IoT устройств с помощью концепции SDN - была достигнута.
Реализованное решение может быть использовано для предоставления защищенной и производительной L2 сети для приложений на IoT устройствах, способной обходить ряд распространённых ограничений доступа в интернет прозрачно для приложений.
Благодаря модульной архитектуре, отдельные компоненты решения могут быть адаптированы под нужды конкретной системы: может быть реализована иная топология сети или другие методы обхода ограничений.
В дальнейшем может быть сделано следующее:
• Поддержка UDP и WS протоколов в Negotiator.
• Поддержка функций Trunker в Negotiator.
• Реализация алгоритма перебора модулей обхода в Ryu App.
• Командный интерфейс для управления содержимым Network Topology Database.
• Поддержка работы с динамическими внешними IP адресами.
• Поддержка работы нескольких Relay для отказоустойчивости и балансировки нагрузки.
