*本文系SDNLAB編譯自《A Survey on P4 Challenges in Software Defined Networks: P4 Programming》一文。

在過去的十年中，SDN (軟件定義網絡) 極大地提高了網絡的可編程性。SDN 理念的核心是將應用、控制和數據平面解耦，以提高網絡的可編程性。與控制平面和應用平面相比，數據平面受到的關注較少。傳統上，數據平面依賴于固定功能，僅能使用有限數量的協議來轉發數據包。P4（獨立于編程協議的數據包處理器）語言的出現使得對SDN數據平面進行編程成為可能，這將SDN推向了一個新的水平。

本文回顧了網絡從傳統網絡到可編程數據平面的演變，解釋了可編程交換機的基本原理，并總結了從傳統網絡到可編程網絡的發展歷程。作者從P4 的角度出發探討了 SDN的發展，共分為六個部分：

1.TB 級帶寬時代的 SDN 和 P4 連接；

2.SDN 的演進以及P4 在網絡技術中的興起；

3.對P4 的詳細解析；

4.數據平面的可編程性；

5.研究的挑戰和機遇；

6.總結以及未來的趨勢。

網絡的發展歷程

在開始之前，我們需要先了解導致數據平面可編程性需求產生的一系列發展動態。本節將進一步介紹網絡如何從傳統網絡轉變為可編程網絡，以及P4 在 SDN 中的重要性。

傳統網絡

傳統網絡運行于諸如路由器、交換機和應用交付控制器等固定功能設備之上，通常采用專用設備來執行特定任務。SDN則為網絡提供了靈活性，使其能夠適應不斷增長的網絡規模和安全需求。傳統網絡一直面臨靈活性方面的挑戰，且部署和管理成本較高。在傳統網絡中，控制平面和數據轉發平面緊密耦合且功能較為固化。傳統網絡是面向硬件的，SDN是面向軟件的。

圖1 傳統的可編程網絡

軟件定義網絡

SDN由控制器、南向和北向API組成，已在網絡行業應用超過十年。當網絡需要具備可編程能力時，便會實施SDN策略。網絡控制平面和數據轉發平面解耦，控制平面可以控制多臺設備。如上圖所示，控制平面內嵌有SDN技術，因此具有可編程性，但數據轉發平面尚不具備靈活性，因為可編程性尚未完全覆蓋到這一層面。不過，管理和配置工作已轉移到集中式控制臺進行。目前，SDN已被亞馬遜、Facebook和谷歌數據中心等廣泛采用。下面將帶大家了解SDN的演化歷程，以及數據轉發層是如何逐漸變得更加靈活的。

OpenFlow

隨著SDN技術的成熟穩定，OpenFlow協議開始流行并被證明是最具影響力的SDN協議之一。OpenFlow協議用于配置支持SDN的設備，是開發SDN解決方案中的關鍵組件。作為SDN控制器中的通信協議，OpenFlow協議直接與數據轉發平面中的網絡設備進行交互。所有與SDN控制器通信的設備都必須兼容OpenFlow協議。近年來，協議標準變得越來越復雜。通過此接口，SDN控制器將變更發送至交換機/路由器的流表，從而允許網絡管理員對流量進行分段、管理流以獲得最佳性能以及配置和應用新信息。

SDN的演進

SDN 也經歷了許多試錯方法。SDN 1.0版本引入了OpenFlow協議。由于第一版存在一些局限性，SDN 2.0版本解耦了overlay。最后，SDN 3.0版本采用了n-centric 。隨著IT和SDN的發展。然后，技術領域發生了很多變化。

為了理解可編程網絡的演變，我們需要理解圖1。在圖1中，可以看到從傳統架構（左側）向SDN架構（中間）以及采用P4的具有可編程數據平面的SDN架構（右側）的轉變過程。在傳統架構中，控制平面和數據平面緊密綁定，被稱為“緊耦合”。隨著SDN的出現，控制平面和數據平面被分離，形成了自下而上的設計方式，兩者之間的信息通過OpenFlow協議進行共享。當前，新型架構追求的是在SDN中使用可編程數據平面，它采取了自上而下的設計方法。這種可編程芯片可以根據用戶需求進行配置，而傳統的SDN架構則具備固定的一組功能。

在SDN虛擬化演進的過程中，虛擬化之王“VMware”收購了Nicira，并將其更名為VMware NSX。NSX代表SDN，在全球數據中心內的數以十萬計的虛擬機中得到了廣泛應用。

表1 IT 和 SDN 的演變

SDN現狀如何？

SDN并未消亡，相反，它依然活躍并且在應對當前網絡市場的需求方面表現出色。盡管許多研究者認為SDN已經不存在了，但這并不準確。實際上，SDN存在于所有的虛擬化網絡和軟件定義網絡之中，并通過包含SDN的理念和技術實現了對前代產品的超越。這與分析師過去對SDN未來的預測類似：**雖然不再單獨強調“SDN”這個術語，但SDN的概念已經被融入到各類網絡工具與解決方案之中。**因此，我們會在諸如SD-WAN（軟件定義廣域網）等具體工具或技術中會看到SDN的身影。

SDN為什么需要P4？

SDN面臨著諸多挑戰。首先，實現新協議和擴展現有協議的功能需要耗費時間。其次，像SDN中的“OpenFlow”等協議在操作和管理界面方面存在不足。最重要的一點在于，在OpenFlow協議中添加新協議是一個耗時的研究驅動過程。

相比之下，P4的可編程性為網絡堆棧的靈活性帶來了全新的可能性，使其可以從7層OSI模型或5層TCP/IP模型中獲得前所未有的改變。其次，對于升級性需求（硬件解決方案無法滿足），通過更新運行在設備上的P4軟件，可以在不購買新交換機及其框架的情況下，向網絡設備添加功能和協議?？傊?，SDN已成為一種頗具前景的集中化管理網絡架構的方法，使得網絡變得動態化、集中化、靈活且可編程。因此，在SDN環境中集成P4技術是必要的。

數據平面編程

可編程數據平面是一種靈活的轉發數據包的方式，可以處理多種格式和協議。在實現交換機執行復雜數據包操作的過程中，可編程數據平面是一個關鍵的步驟。然而，它們不能單獨執行所有任務。

P4 是一種編程語言，允許用戶編寫自定義協議、構建復雜的匹配/動作pipeline并在代碼中引入外部函數。P4可用于配置轉發動作，是為數據平面編程而創建的。因此，P4定義了能夠在數據包上執行的動作，此時控制平面和應用平面已經具備了可編程性，而數據平面編程則是缺失的一環，P4填補了這一空白。

P4的崛起

隨著數據流量的急劇增長、新協議的涌現以及公有云和私有云的普及，網絡世界的創新速度正在加速。從傳統交換機過渡到靈活可編程交換機的過程現已基本完成，而這需要一種新的標準語言來支撐。這種新語言應滿足以下三個基本要求：

1.該語言應使網絡具備靈活性，能夠根據需求快速適應變化。

2.使用的語言應具有表達力強、涵蓋面廣的特點，能夠全面描述和控制網絡行為。

3.這種語言必須具有良好的移植性，能在不同架構之間平滑遷移和使用。

P4是一種特定領域語言，用于控制發送至網絡設備數據平面的數據包。它由計數器、寄存器、報頭字段規范以及匹配-動作表支持等結構組成。P4專門設計用于數據平面，用以檢查SDN交換機行為的正確性。

通過P4，可以定義自定義的報頭格式，并能執行動態的報頭解析。P4程序采用特定格式編寫，必須包括以下部分：報頭、解析器、逆解析器、匹配-動作、校驗和驗證、入口處理（ingress）、出口處理（egress）以及校驗和計算。程序中各個部分相互依賴，共同完成相應的功能。

圖2描繪了P4語言的演變和發展歷程。P4語言草案于2014年提交，并于2015年5月首次在全球推出。2016年，經過許多誤解后，P4社區明確了OpenFlow與P4語言之間的區別。同年5月，推出了P4語言的第二個版本，即P416；在此之前的老版本被稱為P414。2017年7月，為了運行P4程序，P4Runtime被引入并嵌入到了控制平面中。由于其可擴展性、可行性和可重新配置性，許多大規模網絡都已采用P4語言。P4Runtime v1.0在2019年發布，P4Runtime v1.2在2020年發布。

圖2 P4語言的演變和歷史

如表2所示，自2013年以來已經開發了多個版本的P4。這一初始構想始于一個研究團隊，他們在2013年5月開始著手研究。最終，在2014年7月，該團隊向SIGCOMM提交了首個P4草案提議。獲得批準后，他們對論文進行了修訂并于同年8月再次提交。最終，P4作為一種可編程語言被接受，這個版本被稱為P414。P414共發布了四個不同的版本。然而，為了填補P414中的漏洞，后續推出了包含新的數據類型和控制語句的P416版本。

表2 P4 版本

為什么社區青睞 P4？

P4 能夠描述利用可編程轉發細節處理的數據包，它是一種允許網絡設備使用新功能進行編程的編程語言。P4 提供了一組簡單的工具，使得開發者能夠在交換硬件上實施自定義協議棧。

P4并不理解以太網或IP頭部的具體結構，只有開發者才能告知硬件如何解析、匹配和生成以太網頭部，以及最終應將數據包轉發到哪個端口。相較于傳統的固定功能，這種可編程性為網絡堆棧帶來了新的靈活性機會。通過P4，網絡設備可以通過添加新功能和協議進行升級，而不是購買全新的交換機，從而開啟了新的可能性。

P4生態系統

本節將對P4進行深入探討。在編寫P4程序時，需要滿足三個主要目標：

目標獨立性：P4編譯器在將與目標無關的P4描述轉化為針對特定交換機配置的與目標相關的程序時，應當考慮交換機的實際功能和性能。

協議獨立性：交換機不需要受特定數據包格式的約束。但是，控制器應能夠指定以下內容：數據包嗅探器可以提取具有特定名稱和類型的報頭字段；這些報頭區域是使用“匹配-動作”表的集合進行處理的。

可重配置性：控制器應該能夠細化數據包的包分析過程和包頭區域的處理過程，以便根據需求進行調整和重新配置。

P4架構

P4 會進入并處理不同的功能塊，而理解P4如何進入不同功能處理塊至關重要。圖3和圖4描述了數據包在各種轉發設備（如以太網交換機、負載均衡器、路由器）上的傳輸情況。目前存在兩種不同的架構：P414架構和P416架構。

P414架構

P414架構被稱為“P4抽象轉發模型”。P414主要針對類似于PISA的設備，而P416則超出了 PISA 的范圍。在P4~14 ~架構中，PISA 架構是一種與協議無關的交換機架構，采用single-pipeline轉發設計。該架構的局限性在于，它不知道如何表達在pipeline中被處理的數據包的具體過程。

圖3 P414 架構圖

P416架構

P416采用了一種可移植的交換機架構，使其能夠針對具有不同架構的多個可編程設備進行目標設定。P416使用可編程解析器并執行多階段匹配動作過程來轉發傳入數據包。

P416遵循可移植交換架構，可以在任何交換機目標上實現。PSA 中實現的多個網絡功能被組合到一個pipeline中。該pipeline具有以下組件：解析器、校驗和驗證、入口匹配操作、數據包緩沖區、出口匹配操作、校驗和更新、解析器和緩沖區排隊引擎。

圖4 P416 架構圖

P4 工作流程

本節將詳細討論P4的工作流程。P4程序主要包括兩個操作：配置和下發。配置操作決定了“匹配執行動作”各階段的順序，并指定了各階段要處理的協議頭區域。通過配置交換機，可以確定支持哪些網絡協議以及如何處理數據包。發出的操作包括向“匹配-動作”表中添加或移除條目。該表本身也是配置操作期間明確指定的一部分。發出操作的過程決定了在任何給定時刻數據包執行策略的選取。

圖5 P4程序的工作流程

P4程序的工作流程如圖5所示。P4程序的每個部分都與執行特定功能的不同塊關聯。P4程序分為四個主要部分：數據聲明、解析邏輯、具有控制流的匹配-動作表和逆解析邏輯。成功運行 P4 程序需要解析器、入口處理、調度器、出口處理和逆解析器。

數據包解析器首先處理到達的數據包并從數據包報頭中搜索特定區域，從而確定交換機所支持的協議。該模型不對協議頭的含義做出任何假設。相反，解析后的數據包表示定義了一組報頭區域，在這些報頭區域上執行“匹配執行動作”過程。

數據包中包含元數據，這是一種可以在處理階段之間傳遞的額外信息。元數據也可以用作數據包標頭區域。元數據的示例包括入口端口號、傳輸目的地和隊列信息、用于數據包調度的時間戳，以及在不同表之間傳遞的數據。簡言之，元數據是對數據包內容之外的輔助信息進行描述，它們在數據包的處理過程中起到關鍵作用，但不影響數據包的基礎傳輸屬性。

匹配-動作表接收解析出的報頭區域。匹配-動作表中有兩個部分：入口表和出口表。入口表決定了數據包將被放入哪一個隊列中。數據包可以根據入口處理的流控機制進行轉發、復制、丟棄或其他操作。當數據包通過多播方式進行復制時，對于數據包頭部上的每一個動作目標，都會分別修改出口“匹配-動作”規則。

研究差距和挑戰

作者審查了75篇論文，發現在P4可編程交換機領域存在著研究空白，他們計劃通過展示基于P4的解決方案來填補這些空白，這些方案針對DDoS檢測、負載均衡、數據包聚合與解聚。

圖6展示了研究論文在不同類別中的分布情況。這些論文廣泛涉及以下類別：SDN、P4、大規模網絡、數據平面編程、P4 交換機、數據平面負載平衡、數據中心網絡和網絡性能。

圖6 基于不同類別的研究論文分布

研究差距

從審閱的論文中發現的研究缺口主要包括以下幾點：

大多數研究人員在非功能性 BMv2 交換機上測試其操作，因為這些交換機不支持諸如OpenConfig、gNMI和gNOI等配置、監控和運行協議。此外，與物理硬件交換機相比，BMv2交換機的計算能力相當有限。而基于Stratum等生產就緒平臺的交換機將使得研究社群能夠測試基于P4的解決方案。Stratum這類平臺的支持將促進更接近真實環境的實驗，提高研究成果的實用性和可遷移性到實際網絡部署中。

當前可用的基于P4的解決方案無法有效區分突發流量（flash traffic）與攻擊流量，這讓攻擊者有機會利用低頻次的DDoS攻擊來規避安全防護措施。

一些DDoS防御方案依賴于本地流量生成工具產生的合成數據集，但目前缺乏既包含惡意流量也包含正常流量的參考數據集。這導致了評估和比較不同防御方法時缺乏真實性和全面性。此外，部分研究論文在實驗中使用了較小的網絡拓撲結構，這限制了其研究成果的適用性和有效性驗證，使得在更大規模的實際網絡環境中難以實施和驗證這些方案的效果。

對于交換機ASIC，一些研究者已經使用P4實現了負載均衡算法。然而，數據連接需要在交換機中占用大量內存進行存儲。另一個研究方向是針對數據平面交換機，尤其是在內存資源有限的情況下，開發高效的負載均衡解決方案。

盡管基于P4的解決方案能夠減少控制平面的計算和通信開銷，但它可能會增加或減少數據平面中交換機的復雜性。仍需進一步研究來確定如何在交換機中部署基于P4的算法，同時有效地最小化其復雜性。

目前，研究重點集中在可編程交換機上。然而，完全部署這些解決方案面臨的真正挑戰在于用具有固定功能的可編程交換機替換所有現有交換機。如何在保持固定功能交換機與可編程交換機并行工作的同時整合它們，并檢驗網絡性能，仍然是一個未解決的研究問題。

挑戰

在本節中，我們將根據最前沿的文獻討論研究中面臨的一些挑戰。

P4的設計問題

P4 最初不支持循環結構、指針、引用或動態內存分配。因此，需要深度包檢測的算法很難實現。此外，由于P4不支持算術對數函數，因此DDoS檢測算法是通過估計熵值而非利用最長前綴匹配表計算精確熵值來實現的。

成本和 P4 可編程交換機的可用性

目前只有少數公司生產 P4 ASIC ，而且用可編程設備替換固定功能設備的成本要高于在現有網絡中添加傳統設備。此外，還需要P4專業人員來定義可編程交換機的行為，而將SDN（軟件定義網絡）與傳統網絡的集成仍然是一個研究挑戰。隨著可編程數據平面的加入，SDN網絡的復雜性也在增加。為了解決這些問題，采用增量部署的方式至關重要，即逐步將可編程及固定功能的SDN設備作為可行選項引入到傳統網絡中。

Paxos協議是多個容錯分布式系統和服務的基礎，其在P4上的實現是一個關鍵應用場景，有助于塑造一般數據平面語言的需求。PISCES是一款源于OpenvSwitch (OVS)的軟件交換機，它借助P4可以自定義原本硬連線的hypervisor交換機行為。PISCES并未硬編碼綁定任何特定協議，因此很容易添加新特性。

數據平面安全

上世紀90年代末，主動網絡是首次對可編程網絡進行研究的嘗試。因此，可編程網絡的概念相對較新。但由于存在安全性問題，這一技術并未得到廣泛采納。類似地，P4可編程數據平面也存在一些安全問題。相較于硬件應用，在軟件應用中bug更為常見。另外，通常是由經驗較少且較為輕率的最終用戶而非供應商來決定數據平面的轉發行為。其次，攻擊者可能會利用可編程性改變設備的轉發行為以發起新的攻擊方式。因此，有必要在程序中添加斷言并通過驗證來提高可編程數據平面的安全性。

為了保護基于P4的SDN交換機之間的網絡鏈路，計劃部署MACsec——一種廣泛應用于保障第2層基礎設施安全的IEEE標準。MACsec得到了眾多交換機和路由器制造商的支持，并且相較于IPsec等VPN技術，在這些設備上的性能影響相對較小。P4-MACsec是一項關于MACsec數據平面實施的提議。

可重構性

從OpenFlow轉向P4的是為了靈活且高效地展現交換機的處理能力，包括可編程的數據包解析以及通用調度和隊列系統。這超出了數據包處理規則在數據平面的建模方式，包括數據包如何與特定的處理操作進行關聯。特別是，在不影響數據包處理的情況下，要在運行時改變數據平面行為是非常困難的。

數據平面漏洞

當前的問題還涉及到從意圖層向下映射數據平面。面對網絡環境的變化，自動化調整網絡的難度與驗證配置調整的正確性及其預期效果密切相關。在這個過程中，控制流程不僅要能從意圖層向下映射數據平面，同時也要確保數據平面的安全運行，因為可編程功能可能會引入潛在的安全漏洞。

最新的研究發現表明，在設計和構建網絡時，應從一開始就充分考慮安全性和可驗證性。這意味著需要采用新的抽象方法，并保證其安全執行，因為更高的可編程性會增加引入漏洞和額外攻擊面的風險。

結論和未來趨勢

本文對可編程數據平面進行了調查，并簡要介紹了 P4 語言，以及該領域的研究空白和未來趨勢。本次調查詳細考察了從傳統網絡到SDN，再到利用P4實現可編程SDN的過渡過程。接下來，文章詳細討論了網絡的演變和數據平面可編程性的重要性。在研究挑戰部分，我們討論了多種未來發展趨勢和創新舉措。由此得出結論，在未來，開源架構和數據網絡編程將在網絡領域占據主導地位。因此，SDN+P4 將成為未來幾年的理想環境。

原文鏈接：

https://ieeexplore.ieee.org/document/10130445