Networking

DHCP 的麻烦事

事情要从科大更新网络接入管理设备说起。

公共上网区域之所以要统一分配 IP 地址，是因为早先各楼各自为政、零散分配的 IP 地址段不够用了。几年前上网的主力是台式机和笔记本，也不可能时时刻刻开机；但现在人人都有智能终端，有可能还不止一台，到哪里就会连上哪里的 Wi-Fi。很多地方早先绰绰有余的 /24 地址段（256 个 IP）在高峰时段出现了分配不到 IP 的情况。而科大的 IP 地址池大小是有限的，集中分配就解决了地址不够的问题。

这本来是件皆大欢喜的事情，但新设备带来了新的问题。采用网络启动的图书馆查询机隔一段时间就卡死了，原因是母系统启动阶段与子系统启动阶段所分配到的 IP 地址不同，而这种不同又是由于 BRAS 网络接入管理设备的 bug。

昨天 OpenSSL 爆出了名为 Heartbleed 的重大安全漏洞（CVE-2014-0160），通过 TLS 的 heartbeat 扩展，可以读取运行 HTTPS 服务的服务器上长达 64 KB 的内存，获取内存中可能存在的敏感信息。由于这个漏洞已经存在两年，Debian stable (wheezy) 和 Ubuntu 12.04 LTS、13.04、13.10 等流行的发行版都受影响，无数部署 TLS（HTTPS）的网站都暴露在此漏洞之下。

什么是 SSL heartbeat

我是怀着复杂的心情写这篇文章的，因为我们赶到大年三十的 SIGCOMM paper 因为与这个3月5日发表的演讲在架构上过于类似（事实上我们的 paper 里包含很多此演讲中没有提到的技术细节），被评审者认为 “nothing new”，只好撤回。要是 Google 晚两个月再发表他们的网络虚拟化技术多好啊！

这场演讲由 Google 网络技术总监 Amin Vahdat 发表于 Open Networking Summit 2014（视频链接），从概念上介绍了代号为 Andromeda 的 Google 网络虚拟化解决方案。

前几天做了个内部技术分享，各位同学的看法莫衷一是，因此拿出来跟大家聊聊。本文将讨论 Google 的网络基础设施计划——Google Fiber 和 Google Loon，以及 Google 在网络协议方面的探索——QUIC，其野心在于把互联网变成自家的数据中心。

有线网络基础设施——Google Fiber

Google Fiber 的目标是让千兆互联网走进千家万户。以千兆的速度，下载一部 7G 的电影只需一分钟（如果你还在用机械硬盘的话估计还来不及存呢）。目前这个项目仅在美国 Kansas 和 Provo 两个城市试点。这两个城市的 Google Fiber 都提供了三种套餐，以 Kansas 为例：[1]

1. 千兆网络 + Google TV：120 美元/月
2. 千兆网络：70 美元/月
3. 免月租网络：5Mbps 下载，1Mbps 上传，免月租，但要交 300 美元初装费。
   其中第三种方案还不如美国大部分电信运营商提供的服务快，而大多数家庭已经购买了有线电视运营商的电视服务，因此对经济上能承受得起的家庭来说，三种套餐的对比突出了第二种套餐（70 美元/月的千兆网络）的“实惠”。

这里有两个值得争论的地方：

1. 每人都有千兆这么快的网络，技术上可以实现吗？
2. 70 美元/月的收费能收回 Google 搭建千兆网络的成本吗？

DNS 服务是互联网的重要基础服务，不过它的重要性往往被低估。例如，2013年8月，.cn 根域名服务器遭到 DDoS 攻击，导致 .cn 域名无法访问；2014年1月21日，根域名服务器遭到某著名防火墙污染，导致所有国际域名无法访问。很多国际知名网站在中国大陆无法访问，部分原因就是遭受了 DNS 污染，也就是对域名返回了错误的 IP 地址。

要搭建一个抗污染的 DNS，并不是使用 VPN 解析所有域名这么简单。主要有两个问题：

帮朋友做个端口映射，由于几个月没碰 iptables 了，遇到两个坑，与大家分享。

网络虚拟化（Network Virtualization）就是搭建一个与物理网络拓扑结构不同的虚拟网络。例如公司在世界各地有多个办事处，但希望公司的内部网络是一个整体，就需要网络虚拟化技术。

从 NAT 说起

IP 足够了吗？

从初中的计算机课开始，我们就在学习计算机网络所谓的 “OSI七层模型”，记得当年死记硬背了一大堆概念。那些烂课本毁了多少计算机天才，其实这个模型并不难理解：（学过计算机网络的请自行跳过）

1. 物理层：就是信号传输的媒介，光纤、双绞线（我们常用的网线）、空气（wifi）……每种介质都需要自己的编码和调制方式，才能把数据变成电磁波送出去。
2. 数据链路层：拿开会打个比方。说话可能不小心说错或者听错，需要有纠错、让对方重说的机制（校验和、重传）；几个人都想发言，需要有一种方式进行仲裁，谁先说谁后说（信道分配、载波监听）；一个人发言前后需要示意，以便让别人知道他说完了（成帧）。
3. 网络层：这是计算机网络初期争议最大的地方。电信行业的传统巨头认为，应该像打电话一样在两端点间的路径上预留出一部分带宽，建立起通信双方的 “虚电路”。而当时正处于冷战时期，美国国防部要求建立起的网络在中间几条线路遭到毁灭性打击时，通信仍然不能中断。于是，最终采用了 “分组交换” 方案，把数据分成若干小块分别封装和投递。就像寄信一样，要投递到远方的机器，就要在信封上写明地址，而且地址要使得邮递员看到它就知道该走哪条路送给下级邮局（比如用身份证号作为地址就是个很糟的主意）。IP 协议是网络层协议的事实标准，大家应该都知道 IP 地址。
4. 传输层：计算机网络早期最重要的应用就是在两台计算机间建立“连接”：远程登录、远程打印、远程访问文件……传输层就是在网络层数据包的基础上，抽象出连接的概念。这里的“连接”跟“虚电路”的主要区别是“虚电路”要预留一定的带宽，而“连接”是尽力而为投递的，不对带宽作任何保证。由于互联网上的流量多是突发（burst）的，分组交换比虚电路提高了资源利用率。事实上，历史往往是轮回的，如今在数据中心里，由于流量可预测且可控，又正在回到中心控制的预留带宽方案。
5. 应用层：这就不用多说了，Web 基于的 HTTP、FTP、BitTorrent 都是应用层协议。

导读：这是“走进 SIGCOMM 2013”系列的第二篇。Google 首次将其数据中心广域网 (WAN) 的设计和三年部署经验完整地公之于众，这篇论文可能被评为 Best Paper。为什么 Google 要用 Software Defined Networking (SDN)？如何把 SDN 渐进地部署到现有的数据中心？透过论文，我们能窥见 Google 全球数据中心网络的冰山一角。

带宽的巨大浪费

众所周知，网络流量总有高峰和低谷，高峰流量可达平均流量的 23 倍。为了保证高峰期的带宽需求，只好预先购买大量的带宽和价格高昂的高端路由设备，而平均用量只有 30%40%。这大大提高了数据中心的成本。