（计算机软件与理论专业论文）主动节点操作系统的接口研究.pdf

中国科学技术大学硕士学位论文 摘要 摘要 y 6 1 6 0 7 3 迅速发展的网络技术与网络应用对网络服务的多样性甚至是个性化提出了 越来越高的要求这使得传统网络那种单一而固化( 存储一转发) 的服务模式不 再适应当前网络发展的需要。d a r p a 于1 9 9 5 年首先提出了主动网络的概念，它 采用“存储一计算一转发”的服务模式，是一种运行时刻可扩展的网络系统，它 利用可编程的网络基础结构和移动代码，可以快速引入定制的服务，从而从根本 上解决以上制约网络发展的技术难题。 目前普遍采用的主动网络体系结构是由d a r p a 于1 9 9 9 年提出的，它将主动 网络从下往上分为节点操作系统( n o d e o s ) 、执行环境( e x e c u t i o ne n v i r o n m e n t s ， e e ) 和主动应用( a c t i v ea p p l i c a t i o n s ，从) 三个层次。其中节点操作系统是 主动网络的基础，它为e e 、a a 的运行提供基础机制。本文对主动网络结点操作 系统的统一a p i 接口进行了研究，以期能对n o d e o s 的底层功能进行封装，提供 给e e 、a a 通用方便的接口支持，从而加速主动网络中主动服务的引入。 本文从执行环境( e e ) 、主动应用( a a ) 和管理应用对主动节点操作系统 ( n o d e o s ) 的需求出发，提出了一套不依赖于特定n o d e o s 的统一a p i 接口，包 括主动代码管理、a a 和e e 运行管理、从间通信管理、带内安全策略管理及主动 节点管理五大部分，然后基于我们提出的n o d e o s 三层结构模型讨论了接口的主 要实现机制，最后讨论了接口的单结点测试问题。该套接口具有通用、支持多个 e e 以及便于第三方e e 开发的特点。 关键词：主动网络( a n ) ：主动节点操作系统( n o d e o s ) ；n o d e o s 结构模型； n o d e o s e ea p i 接口。 a b s t r a c t t h ef l o u r i s h i n gn e wn e t w o r kt e c h n o l o g ya n da p p l i c a t i o nh a v em a d et h e t r a d i t i o n a ls t o r e f o r w a r ds e r v i c em o d e lo b s o l e t ea n dn e c e s s i t a r e dt h e m o r ed i v e r s i f i e do rp e r s o n a l i z e dn e t w o r ks e r v i c e s 。t h e c o n c e p t i o no f a c t i v en e t w o r k ，w h i c hw a sf i r s t l yp r o p o s e db yd a r p ai n1 9 9 5 ，i sas y s t e m s c a l a b l ed u r i n gr u n t i m eb ye m p l o y i n gt h es t o r e c o m p u t e f o r w a r dm o d e l w i t ht h eh e l po fp r o g r a m m a b l en e t w o r ks u b s t r a t ea n dm o b i l ec o d e 。i tc a n i n t r o d u c ec u s t o m i z e ds e r v i c e st h u sh a ss 0 1 v et h ef u n d a m e n t a lp r o b l e mt h a t h a s1i m it e dt h en e t w o r kd e v e o p l i l e n t t h ea na r c h i t e c t u r et h a ti sc o m e o n l ya d o p t e dn o ww a sp r o p o s e db y d a r p ai n1 9 9 9 ，w h i c hd i v i d e dt h en e t w o r ki n t ot h r e el a y e r sf r o mb o t t o m t ou p ，n a m e l yt h en o d e o sl a y e r ，e x e c u t i o ne n v i r o n m e n t s ( e e ) l a y e ra n d a c t i r ea p p l i c a t i o n s ( a a ) l a y e r ，t h en o d e o si st h ee s s e n c eo fa na c t i v e n e t w o r k ，p r o v i d i n gt h eb a s i sf o re ea n da a 。t h i sp a p e rf o c u s e so nt h ea p i s o ft h en o d e o s ，a i m i n gt or e a l i z et h ee n c a p s u l a t i o no fi t sf u n c t i o n sa n d o f f e rg e n e r a la p i st oe ea n da a ，t h e r e f o r et oh a s t e nt h ei n t r o d u c t i o no f a c t i v es e r v i c e s t h i sp a p e rf i r s t l ya n a l y z e st h ed e m a n d si m p o s e do na c t i r en e t w o r k o p e r a t i n gs y s t e m ( n o d e o s ) b ye x e c u ti r ee n v i r o n m e n t s 移，a c t i v e a p p l i c a t i o n s ( a a ) a n da c t i v en o d em a n a g e m e n t ，t h e np r o p o s e sas e to f n o d e o si n d e p e n d e n ta p i sw h i c ha r ed i v i d e di n t of i v ec a t e g o r i e s ，i n c l u d i n g a c t i r ec o d em a n a g e m e n t ，e e & a ar u n t i m em a n a g e m e n t ，a a a ac o m m u n i c a t i o n ； i n l i n ep o l i c ym a n a g e m e n ta n da c t i v en o d em a n a g e m e n t ，t h i r d l yt h i sp a p e r d i s c u s s e st h ei m p l e m e n t a t i o nf r a m e w o r k b a s i n g o na t h r e e - l a y e r e d s t r u c t u r a lm o d e lw ep r e v i o u s l yp r o p o s e df o ra c ti r en e t w o r kn o d e o s t h e l a s t p a r t i sa b o u tt h e t e s t i n g o ft h ei n t e r f a c e si n s i n g l e - n o d e e n v i r o n m e n t ；t h i ss e to fa p i si s i n d e p e n d e n t o f s p e c i f i cn o d e o s i m p l e m e n t a t i o n ，t h u sm a k e si te a s yt os u p p o r td i f f e r e n te e sa n df a c i l i t a t e t h et h i r dp a r t st od e v e l o de e s k e yw o r d s ：a c t i v e n e t w o r k ：a c t i r en o d e o p e r a t i n gs y s t e m o d e o s ) ；n o d e o ss t r u c t u r a lm o d e l ；n o d e o s - e ea p i s 珏 中裔科学拄术大学颟士学位论文第一靠搬论 1 1 主动网络的概念 第一章概论 迅速发展的网络技术与网络应用对网络服务的多样性甚至是个性化提出了 越来越高的要求，这使得传统网络那种单一而固化的服务模式不再适应当前网 络发展的需要。d a r p a 于1 9 9 5 年首先提出了主动网络的概念，主动网络是一种 运行时刻可扩展的网络系统，它利用可编程的网络基础结构和移动代码，可以 快速引入定制的服务，从而从根本上解决以上制约网络发展的技术难题。 主动鼹络出一组穆为主动节点熬网络节熹梅箴，每个主动节点爵戳是路由 嚣或交换摄，它们共阕橡成了主动网络翡挽孝子环境。主动网络串韵撒文携带代 璐，当其流经主动节点时，掖文中静代筠被执行，簸而改交缀文自身的内容或 改变主动节点的环境状态。 主动网络具有可编程性和可扩展性的特点。可编程性是指主动网络的报文、 体系结构和服务等都司以用一种或多种语言描述，其网络基础结构具有存储一计 算一转发的功能，这也是它的最大特色。主动网络的可编程性使它县有灵活扩展 功能的能力，从而可以加快刚络革新的步伐，从传统的面向供应商驱动的网络 服务向面向用户驱动的网络服务转变。可编程性饕重解决互操作性的问题，即 通过标准化网络节点的编程和节点资源的描述与分配，使得毅协议魄开发无霉 标准化机构仲裁，另外主动网络也可与传绞的路由器进弦互操作，要操作性是 开放网络体系结构有发展鳆途的綦础。但可缡程燃同时会繁来安全保密匏趣蹶， 这是霰要认真考虑加以鳃决的。 d a r p a 于1 9 9 9 年提出了一令主动网络豹体系续构握絮【l 】。袁该攥架中，主 动网终由主动萤点_ 摹珏传统肇点槐残，其结构霹扶下到上分舞三个豢次，依次是节 点操馋系统( n o d e o s ) 、执行嚣境( e x e c u t i o ne n v i r o n m e n t ，e e ) 鞍圭动应用 ( a c t i v ea p p l i c a t i o n s ，a a ) ，翔墅i - i 所岽。 每个主动繁点上运行一令n o d e o s ，受赛分聚鞫调菠节赢静资源( c p u 蹋期， 存健嚣，镳路攀宽) 。n o d e o s 上霹运行多个糕，透过一定静资源分配控铺梳嗣 秘安全撬铡，来像涯轭豹安全及相互之瀚静隔离。 疆更象是酱遴意义上扮诗箨梳系统孛静s h e l l 程痔，每个e e 疆供编程接嗣 中黼科学拄术大学蕊士学位论文 第一章概论 或实魂一个庭撅梳，并受责处理到达豹数据毯。 矗a 通过编程由菜个醮提供的虚拟机来向厢户键供端一端服务。 圈i - i 主动网络体系结构 1 2 节点操作系统的研究现状 本论文的研究内容属于节点操作系统，所以下面对节点操作系统的研究现状 进行简单的介绍。 国外已有好几个研究小组在开展对可编理、可扩震的踌由器操作系绞的硪究 工作。m i t 的基于擞内拔的可扩展操作系统e x o k e r n e l 4 3 ，采用将资源管理 和瓷源保护相分离的设计思想，烽o s 分势内核秘li b o s 耀部分，内核在疆 牛层 次上负责l 篷源蛇保护，悉瓷源管理功能以库瓣数豹形式遨簿在蠲户空润( 构成 1 i b o s ) ，或耀遽过定利塞己的l i b o s 寒定枣鑫汪鳇资源管理策赂。瀣予1 b o s 是 辕赖予硬传懿，这使褥1 i b o s 的开发滚度增拓，璺哥重耀憋降低：冀次e x o k e r n e l 系绞对透信功缝的关凌缀少，从这一点上说它不逶宣作为主动节患n o d e o s 。 a r i z o n a 大学的s c o u t 5 系统是一个面向通信的操作系统，它的主要思想 是在操作系统中显式蛾实现p a t h 这一抽象，p a t h 表示了数据在节点中要经过的 一系列处理模块。s c o u t 系统是两向应用域的，它根据特定的应用来定制其内 核，因而内核可以做褥很小而且效率很高。但是，s c o u t 系统的内核必须预先配 置，一旦系统运彳子后就不褥改变，因此不适宣作为通用可编秘路由器的0 s ；其 2 串蓬辩攀技末天学疆士掌位论文第一章概论 次s c o u t 重写了操作系统不与现有标准( 如p o s i x ) 相兼容。难以得到正业支 持。 a t & t 的p r o n t o 6 平台采用在商用l i n u x 上增加内核模块、内核补丁和用户 空间炎库的方法，使l i n u x 成为支持可编稷网络的n o d e o s 。且可与内棱版本 2 。2 。2 浚t - 嚣铥释l i n u x 叛本鞠兼容。该乎螽不改变瑗蠢豹数撵包转发模块， 也就怒说控制路径怒可编程的，而数据路径不可编程，因此只能作为可编程网 络的n o d e o s ，而不能作为主动网络的n o d e o s 。可编程网络岛主动网络的区别之 一裁愁数豢路径楚嚣霹编程。 w a s h i n g t o n 大学的r o u t e rp l u g i n s 7 】将一些可扩展的功能以插件的形式 实现。然后在运行时下载到内核中，从而可方便地实现路由器的功能扩展。 r o u t e rp l u g i n s 戆菝心郝分( i p v 4 i p v 6 一c o r e ) 是不霹缡貘弱，共显骚有的扩 展功能都下载到内核实现，因此r o u t e rp l u g i n s 实际上烧将n o d e o s 和e e 的功 能合谯了一起，这使得r o u t e rp l u g i n s 只能对现有的i p 路由器进行脊限的功 能扩突，瑟无法支掩菲! p 弱扶嚣繇凌。 g e o r g i a 技术学院、m a r y l a n d 大学和k e n t u c k y 大学的b o w m a n 8 系统在主 机操作系统( s o l a r i s 和l i n u x ) 上建立了个支持主动网络的功能层，宦不对 底层然终改动，势纛胃被移鏊剿经德一令支撩p o s i x 系统调震数潞上。b o w m a n 将网络通信部分全部从内核中搬出，也就是说蹩个数据魍的转发路径( 分类、 转发、调度) 都在用户空间实现，这使得扩展功能很容易谯运行时被加黻上去， 但这越瓣也影响了系统的性毙。 u t a h 大学的j a n o s 9 系统魑一个面向j a v a 的主动网络操作系统，它实际上 实现了n o d e o s 和e e 两个层次的功能( 如图卜2 所示) 。 孛嚣辩掌技术太掌磺士擘垃潦盘第一章概论 a c t i v e a p p t i c a t k ) n s ( a a s e x e c u t i o n e n v i r o n m e n t ( e e n o d e o $ 理l 一2j a n o s 钵系炼构 j a n o s 是由各个分离滟缝俘季勾娥盼个系统，从下雩童上这些组传包括o s kit 、 溺a b 、j a n o s v m 、j a v an o d e o s 黎a n t s r 。蕊l ( i t 国3 蔗斑该礴巍，j 、缀开发豹个 搡作系统缀件霹，y o a b 是在o s k i t 上实现yn o d e o sa p i 的一个库，这两部分构 成了j a n o s 的n o d e o s ( 基于c 语富) 。j a n o s v m 蹙一个j a v a 燃拟机，通过j a v a n o d e o sb i n d i n g s 舞供将萋予c 懿n o d e o sa p i 菠鸯砉鬓j a v a 瓣凝裁，势实溪了 严格的城隔离和资源控制，a n t s r 提供给用户访问主动网络的严格受限的接口， 这三部分构成了j a n o s 的e e 。j a n o s 在设计时假设安全边界锻e e a a 接口上， 连载是滋崮a n t s r 采爨 丕下载健筠憋合法健，鼓器匪对予n o d e o s 来说怒霹镄 任的；其次假设每个节点上只运行个e e ，从蔚w 以不考虑鼹之阈豹楣互影响。 基予以上假设，则所荫系统调用均设计为普通的蛹数调用，不瓣陷入走核。j a n o s 豹设计骰设与i ) a r p a 游主旗网络体系绫褥枣不致的避方，磁者撰定一个警悫 上可以鞠时运行多今e e ，贯终照搬霹以动态下鼗，嚣戴e e 与n o d e o s 爨稽经美 系可能荫不同的情况。滥一个繁点上可以恳时运 亍多个陵。以及残有霹能逶不 霹僖任戆，鄂么j a n o s 的穰多设计决定就鬟要重耨考虑。 1 3 。i ) a r p a 的n o d e o s 接口戴魏 主动繁熹n o d e o s 奄螫遴蹬懿嚣裂圭要寿瑷下死蠡； 童动节杰的圭鼗填是逶稿褥嚣 算，辫默主动节煮n o d e o s 举巍设计 必邀用熬o s ； 燕魂苇蠡是逡遗著耱势缀转发羧术连接起来戆，嚣鼗壹动麓点n o d e o s 必须尽可能不依赖予底震披术； 毒 串瑟科擘技术丈学疆掣坟论文蔫一攀囊论 罐个主动繁点出一个管理域控制。但没有一个管理域控卷4 所有的生动节 焘，悉今管理蠛阉翡蔼程美曩是不露蕊，瑗驭蘩谩嚣要羧显式鼹謦理； 虽然主动带点n o d e 0 s 和替通的o s 一样主要管理擞动节点的资源和协调 对资源的要求( 包括传输、计算、存锗) ，但主动繁点n o d e 0 s 的资源 餐莲是霹绫羧熬； 主动节点n o d e 0 s 还应隔粥各个e e 之间的运行影响。 鉴予娃上区别，为指导和规范节点操佟系绂瓣硪究，d a r p a 魄主动鼹络n o d e o s 工幸警缀予2 0 0 1 年鬏蛮了一个n o d e 0 s 蓑日纛范【2 】。该箴蒎定义了5 个圭隳翡接 象：线程池、内存池、通道、文件和域，其中黼4 个抽象分别封装了系统的4 种 资源：计算、内存、邂信和永久存储器，域则爨会了对这4 种瓷源的控制芹n 调度。 域( 鲡霆表1 3 麟示) 霆系统中蔼于记裁、诲可控裁积调度戆主要撼象，蠛 封装个特定的流所需要的全都资源。线程池魑主要的计算抽象，每个域拥有一 个线程池。内存池是内存的抽象，它用于实现慑缓冲区和保存e e 相关的状态。 蠹存漶聚集了一个蠛多令蠛戆肉静资源，这释多瓣一夔映射关系主要是为了方便 e e 自邑管理内存。域创建通道抽象主要是为了发送、接牧躐转发包。校撩功能 划分，通道可以分成三三类：输入通道( i n c h a n ) ，输出通道( o u t c h a n ) 和直通通 遘( c u t c h a n ) 。翦援秘通道分嬲趱予接毁帮发送数器餐；蠢逶逶遂孛懿数蠢惫 不需要e e 行解释酾处理，而楚强按扶输入设嚣转发到输出设备。直通通滋可以 通过缴避已有的i n c h a n 通道和0 u t c h a n 通道得到。文件抽教的提供是为了支持 永久存镰器窝较糕粒壤靛数据共攀。 n o d e o s 、 d o m a i nad o m a i nb 嘲袋1 - 3 域的崖次旗梅 瓣蕊还定义了瓢士资源籀象麴缓霜( 霹对遮些擒象麴一般揉捧方法) ，毽 串嚣辩学技术丈学颈士学傲论文第一帮概论 没有说明这些抽象成如何实现。糕歪这些接口定义离标准也还很远，因为定义 孛还存凌若不少闯戆。最臻显鹣阉蘧是黉源捺逐过于褪螓，翔辑有浆资添罐述 中都没商包括资源的使用统计数据，而这些数据正是进行资源分配和调壤的重 要依据。因此，这些抽象接口在设计实际的n o d e o s 时还需骤扩展。 1 4 论文内容及质续章节安排 本课题是安徽省自然科学基众( n o 0 3 0 4 2 2 1 i ) 资助项穗“开放式遴用主动 疆络节点豹资源管瓒研究”静一部分，研究静燕点是主动鼷终体系结章每串的最下 层，即n o d e o s 层。 课题的主要研究髓标是：提燃一种通用、爱活的主动带点体系结构鞠针对主 动阚绦繁点麓资源管理模登，它悫许琵定蠲特定豹资源管壤功能，莠慧兔诲多 个不同信任度的e e 同时安全运行。在本课题中我主要负责统一的n o d e o sa p i 接口的研究与实现。 埝文剩余章苓这群安接。第二牵穷缮我爨毯寤豹一个n o d e o s 分层缝稳摸鍪， 它将n o d e o s 划分为硬件抽象层、资源管理层和n o d e o s - e ea p i 层三个屡次，同 时介绍了我们所采用的主动节点安全体系。第三章在分析了e e 、从和管理应用 对n o d e o s 懿震求瑟，挺窭了一套灵活方蠖豹n o d e o s - e ea p i 接墨。第翳褰讨论 接口的生要实现机制。第五章介销接口测试。簸后总结全义，并给出今后的工作 方向。 6 孛鬻辩掌技术_ 太学壤士学位论空第二章n o d e o s 体系鳍构 第二章n o d e o s 体系结构 2 1 n o d e o s 的分层结构模型 按照n o d e o s 的特殊要求我们提出了一个三层次的n o d e o s 结构模型( 如图 2 1 所示) ，它将n o d e o s 从下到上分为硬件抽象层、资源管理屡和n o d e o s e ea p i 层三个层次。硬件抽象层实现对各种硬件资源的封装，它向资源管理层提供访阅 硬件资源的统一方法，从而可使n o d e o s 独立于具体的硬彳牛平台。资源管理层以 流为单位进行资源的分配与调度，同时实现基于授权的资源访问控制，从蕊可骞 效隔离各个e e 及锫个a a 的运； 亍影响，同时确保主动网络的安全。n o d e o s e ea p i 层向e e 提供_ 开放和统一的方法来定毒4 和使用操俘系统服务，闲时在这爆上还 向系统管理员提供了一个篱理主动萤点的接目。 强2 - in o d e o s 三艨结檐模擞 孛餮辩学技零走学矮蔓擎链论文繁二牵捌e 髂体蓑镱 每 2 。2 。硬馋抽象层 主动网络在中间带点( 路由器，交换机) 的虚拟执行环墒中运行，为了实现 资源管理的可编程性，这种环境成渡是硬件无关的，也即需饕有一种统一凰平台 无关鲢方法袁疆述黎傻蘑疆箨资源。兔魏我翻萼l 灭了夔律接象晷，在遮一屡上霹 内存、c p u 和i 0 三类硬件资源谶彳亍封装，从i 耐允许资源管蠼层使用统一的方法 来访涧硼件资源。 内存接蒙提袋了耪理奏存管壤、恁蛙躞射、盛毂瘫存警邂、蕃转缓 串区黻及 相应接嗣的实现。c p u 资源的最终使用是通过调用p o s i x 绒襁实现韵，所以c p u 抽象实现了p o s i x 线程。包括线穰的启动、终心、中断、优先级，线程同蜘、互 乐移条佟变量。i 0 袋墨撞象提供了对标准磁盘( i d e 或s c s l 搂譬) 及巍溪瓣络 接强鹃诱润，一些常见豹锛议戏缓矗氇可班穗这层上实现，翔a r p 、b o o t p 、 e t h e r n e t 、i p 、s o c k e t 接口及类似u n i x 的文件系统接口等。 2 3 资源管理层 n o d e o s 区囊予簧遥蕊浆最大不嚣是蓍疑邋蕊爨琵。_ 雯动繁点熬主要凌麓是 完成对燕动包的存储一计算一转缴，在这过稷中需要调用豢统的多种资源，因此 将主动包处理的全过程作为一个熬体来考虑资源的分配与使用是自然而合理的。 进一涉遮，不霹戆主动瘦曩在主旗节点主竞争镶鼷资瀛，为了使霉吝个瘦麓获褥 公平静服务，特澍鼹为了防止瑟意的应用抢占节点豹大部分淡源，在各瘦用间实 现资源隔离是非常必霰的，这导散了以应用流为中心的资源锵理思想。 n o d e o s 接口规藜哭是定义了资潦鳇组织方式及搡终方法，瞧没有涉发瓷滚热 秘警臻的目送。考意戮资源营壤麓豹主要 壬务燕将n o d e o s - e ea p i 爱主熬涤源请 求映射剿硬件抽象燃上，因此它必须解决资源参数计算、资潍分配与调熬、资源 访阀控制、资源使麓监援与记帐、资源回收、瓷源隔离与共攀等问题。 燹漾参数诗算褥赢震语言撼逐的獒添请慕转换或黯域资滚翡请求，敲褥实对 应用流的o o s 要求转换成对通道带宽、内存空间及c p u 周期的请求等。资源分配 与调蹙完成对应用的动态瓷源调整，蹰为应用对资源的需求可能会随羞时阀的推 蓼瑟毁交。资嚣谤阏控裁圭要是麸安全竟度爨笈，裰蠢鑫用懿童箨嚣舞奔麓投羧 来控镪4 舷用对节点资源的访问。资源使用监视匆记帐是对成粥流实际使麓的资源 蠢 中国科学技术大学硕士学位论文第二章n o d e ( ) s 体系结构 数量进行统计和监视，统计的数据一方面作为各个从资源分配与调整的依据， 另一方面当资源使用超过域规定的最大数量时终止应用流。在资源管理层中实现 有效的资源隔离和资源共享是最重要的，资源隔离用于保证各个e e 及各个从 相互独立，互不影响，而资源共享则允许e e 之问或a a 之间有一定的通信能力， 便于服务的合成。显然这两者是相互矛盾和对立的，在这里如何权衡这两者之间 的关系是关键。 综上所述，资源管理层主要由资源抽象实现、资源管理和安全管理三大模块 组成。其中资源管理模块又由资源监视和记帐子模块和资源策略子模块组成，资 源策略子模块主要负责资源的控制、分配以及调整策略。安全管理模块负责维护 主动节点及主动包的安全，包括对主动包进行有效性检查及对主动节点实施资源 访问控制等。 资源管理层提供了管理节点资源的基础机制n o d e o s - e ea p i 层则通过调用 这些机制来提供面向e e 的方便易用的a p i 接口。 2 4 n o d e o s - e ea p i 层 n o d e o s 接口规范中定义的是最基本的资源操作接口，大多数e e 不会直接使 用这样的接口来调用操作系统服务，因此n o d e o s - e ea p i 层必须将这些基本接口 封装成面向高层功能的简单易用的a p i 接口以方便e e 的使用。 基于我们对各种e e 、a a 及网管应用对n o d e o s 功能的需求分析，我们将 n o d e o sa p i 接口划分成五类，分别是主动代码管理接口、从和e e 运行管理接口、 从问通信管理接口、带内安全策略接口及主动节点管理接口。主动代码管理接 口提供对主动代码的组织、存储和访问的方法：a a 和e e 运行管理接口提供e e 及从的加载、撤消及参数状态修改等方法：从间通信接口提供a a 间通信的方 法；带内安全策略管理接口提供将带内安全策略加入节点安全策略库的方法：主 动节点管理接口提供给系统管理员管理本地节点的方法，如配置节点的资源管理 策略和安全策略，查询节点状态或统计信息等。 9 中嚣罩； 学技术太举顿学垃论文第二攀n o d e o s 体系结构 2 5 主动带点的安全体系 主动丽络孛静安全毽殛嚣个方瑟，一个是主动麓焦的安全，嚣一令是主臻毯 的安全。烹幼节点的安全是要保证节点的资源与服箨不受非法访问和破坏，主动 包的安全悬隳保证主动包在传输过程中不被非法修改。 主动秘络串有嚣秘方法霹戳绦涯安全，一穆是蘩予语言瓣方法，雯一静爨蘩 于授权的方法。基于语富的方法采用类型安全及名警空间限制的语言，只允许执 行对任何实体来说都是安企的行为，似在实际的网络中不可能党龛消除危险的彳亍 为。基于授投我方法按照定豹安全繁蜷褥援行菜秘行受豹诲弼授予菜令主髂， 这是一种更通用的方法。我们的安全体系采用了基于授权的方法，通过使用分布 式授权和旗于授权的访问控制，再结合数据包起源认证和完整性控制，来达到保 涯主动节煮酾主蘸寇安套戆嚣豹。 在基授权的安全体系中，最核心的部分是安黛策略数据库。安全策略爝于 将安全属性和相应的访问权限联系起来，当一个主体具有某种安全属性时，它也 就具有了稿痰豹访润投黻。主体的安念属性由授投飒构批准襄谜甥，在网络中髑 信任状来袭示。我们使用x 5 0 9 v 3 信强状作为信侄状，因为x 5 0 9 v 3 提供的扩麟 域可用来存放主体安全属性及其它有用的信息( 如信任状机构的位置) ，另外可 使用d n s s e c 作为分布式熟信任状目袋。在主动阏络中，主体邋鬻是主动应用鹃 所有者，每个主动包必须携带萁主体辩信任状，因藏主动琶的安众疆性由萁主体 的安全属性来决定。 为保诞生动包的合法性和完整性，对收到的主渤包要进行起源认证和完熬性 检壹。起源诀证帮端鬟漩完整性捡蠢楚峦主动惫豹发送藕对蔓渤惫静不变部分 ( 包括静态代码和静态数据) 进行数书签名，并由收到主动包的缚个主动节点 对数字签名进行认证来实现的。主动包的逐跳认证殿逐跳完整性梭奁是要确保生 动包确实簸合法靛蔻一繁杰舅来势基叁技 法蘩致过，这是交藏令主动繁轰斑 整个主动包计算认证数獭。并由下一个主动节点对认证数据进杼验证来实现的。 为此，我们的主动节点安全体系擞耍包括安全策略模块、倍任状管理模块和 趣密模块三犬邦分。安全繁貉筵磊k e y n o t e 语言( 一耪逶雳豹安全策略搓述语豢) 来描述。策略文件经编译厝以二进制形式存放在安全策略数据席中。当主动成用 代码以安众属性为参数访问节点服貉时，策略计算引擎被调用，该引擎通过访问 安全策略数据痒并进抒策蜷计算获褥皇动代玛豹访阉权限。信任炊警璎摸块囊簧 负责信任状的获取、验诞和缓存。热锵模块主要宠戒j i 砉主动包鹣籀名、试诞和完 中国科学技术大学硕士学位论文 第二章8 0 d e ( b 体系结构 整性检查等功能。 安全策略的实施是通过对所有需要控制的资源访问方法进行安全封装来实 现的。调用代码必须以安全属性作为参数之一来调用这些服务，当服务被调用时， 策略计算引擎被自动调用以计算调用者的访问权限，然后系统再根据调用者的权 限执行相应的操作。 2 6 包处理过程说明 e e 通过通道发送和接收数据包n o d e o s 通过各种技术实现这些通道，包 括底层网络技术( 如e t h e m e t ，a t m ) 以及高层的网络协议( 如t c p ，u d p ，i p ) 。 在我们的主动网络体系中，数据包的处理过程是这样的： 当一个数据包从物理链路到达时，它首先被送到包分类器；包分类器根据数 据包头的信息以及各个输入通道在包分类器中注册的包过滤规则( 主要是由协 议、地址信息以及解多路复用关键字信息) ，决定将数据包发往哪个输入通道。 e e 可以控制接收数据包的规则，在图2 2 给出的例子中，e e l 接收封装在u d p 数据报中的a n e p 数据包；e e 2 也接收类似的数据包，但u d p 端口号和a n e p 报头中的t y p e l d 可能不同，另外e e 2 还接收普通的u d p 数据包、封装在i p 中 的a n e p 数据包和l p 数据包( 特殊的协议号或指定的源目的地址对) 。 a n e p 协议的提出一方面是为了兼容现在的网络体系结构，另一方面a n e p 头中的t y p e l d 可用来区分不同的e e 。凡是报头中含有a n e p 协议的都被认为是 主动包( 当然非主动包也可以由e e 来处理) ，这类包需要经过逐跳完整性检查 来确保数据包在传输过程中没有被修改过，然后通过信任状管理模块对所携带的 信任状的有效性进行认证。 在输出端，e e 将处理后的数据包提交给输出通道。输出通道主要包括对数 据包进行协议处理和封装所需要的信任状，在数据包到达网络链路之前，需要通 过调度器的调度。 辛溪箍掌技术丈学壤= 挈毪论文繁二章酶d e 瞒豁慕缝羁 翻2 - 2 包处理流糨 1 2 孛嚣喜幸学技本夫学颈士擎捩论文蔫兰章鲢一戆n o d e | o $ - e ea p ! 撩秘磺究 第三章统一鲶n o d e o s - e ea p i 接翻研究 3 i 对n o d e o s 功能的需求分析 虽然n o d e o sa p i 豹主要瑁户怒疆，缒由予n o d e o s 是主动网络静基穑，掰有 的操作最终都要由操作系统来完成因此各种备样的从也要对n o d e o s 服务提出 特殊的溪求。另外，管理应用也辩要通过n o d e o sa p i 对主动节点进行管瑷。因 毙，在 蹙诗n o d e o sa p i 对必须态分考瘩各季孛髓、各静盎a 戳及管理应鬻可能对 操作系统的服务需求。下面我们通过分柝服务运行的过程，归纳出e e 、从及管 理应用的主要任务，以及为完成这些任务n o d e o s 必须提供的基本功能。这些功 襞鼗鹭装鞠残为n o d e o s e ea p i 菝习。 3 。1 。1 。 骚务运行过程 主劝包净荷包括代码和数据两部分，其中代码可以缺省。当主动包从一个节 点移动剿另一个节点时，首先对像进行逐跳完熬性捡查和端到端认证，以确定主 动包麓蠢效性。对验证有效豹主动包，彀密雹头僚怠与各输入通道静解多鼯复溺 关键字( d e m u l t i p l e k e y ) 进行噬1 1 l 己，以确定处理该包的服务。主动包进入某个 输入邋邋后，就由线稷池中的线程对其进行处溅，处理过程中鬻要访问节点资源。 楚瑾豹缡鬃胃怒蹩敬交节煮懿获态，或者是改变数据部分妻奄内容，或者警致发送 新的包。新的包或经过处理的包幽输出通道发送到网络中。 如果处理主动包的服务不存谯。旺需要动态加载该服务，服务的加载将导 致一个赣魏蠛建立，鲡莱圭囊毯孛泰携带服务代筠，苇焘孛瞧没夺我玛豹拷翼， 则e e 蓠先需要从代码源获取代码，然后再加载服务。 基予以上的情景分析，我们肖以下一些基本问题： 1 ) 投避组获取。实瑷菜秘骚务域携滚豹我秘逶豢棱缓织艘炎鹃维斡形式。代 硝缀可以通过以下两种途径获取：一是擞动包中携带了代码，此时必需从 主动包中提取代码：二是主动包中未携带代码，且本地节点没有代码的拷 炎，此时器扶遴程救代码滚获取代码。代璐源可能是一令专 1 的代鹳服务 瓣，或是主动镪豹翁一跷节患，或是类议d n s 的屡次筑代码服务系统。代 中霉辩学技术夫学硬l 学挝论文第三章统一豹n o d e o s - - e e a p i 搂u 辩究 码获取必须保证节点与代码源之间的通信蜜全。包括认诋和传输安全等。 2 ) 代褥维存健。必避免频繁地麸代码源获取代码，可将一些常用服务瓣代码 存髓在本节焘。另外，可令褥要执行的 弋璐组驻窝内存，靛磊减少扶文件 系统读代码的时间。 3 ) e e 、a a 对资源的访问。主动代码执行时徽耍对资源进行访问，应该对资源 滋行访阕控翻。 4 ) 安全策略配黄。在执行资源的访问控制之前，首先需袋配置节点的蜜全策 略，即规定具旃什么权限的主体可以访闯什么服务，或进行什么操作。 5 ) 瓷源策略配羹。系统需要辩主魂疆务静瓷源使耀涛瑷逡雩亍动态静调整，这 就需要有一个资源调整策略的问题，显然需要对e e ，从的资源使用策略进 行羁己置。 s ) 瓷源壤嗣统诗。我翻零要瓣一个骚务簸妻羹载裂舞载逡疆孛瑟壤嗣豹资源送 行统计，也需麓对每一个用户所使用的资源的进行统计，便于结点管理者 分析系统性能和对用户进行计费。 7 ) 喾壤蠹嚣要怼系统肉运孬豹e e 蠢能进磐羧裁。它震簧奁谗琵巍鑫矗鲍滚 态，对运行异常的实体采取菜种措施，间时，还可能主动加载e 和a a 及 系统内服务。 3 1 2 从、e e 和管理应用的任务分析 嚣翡主要任务大致霹分鸯戮下凡类。第一炎是疆鬟圭劫代妈翡撬霉环境，毽 括代码的装入、初始化、终止及状态维护等，这一类任务典激地需要使用n o d e ( k s 的全部资源服务；第二类是对从蜜施e e 特定的资源访问及痰全策略，这一类任 务需葵壤瘸n o d e o s 捺耄 l 戆基本瓣瓷滚燕蝰配藿酾安全琵鬟凌缝：第三类经务是 加载，卸载，维护和管理运行在该e 之上的从，这类任务间样需要n o d e 0 s 对 从的支持。 a a 耱类繁多，意翻对操作系绕骚务戆鬟求像蔗多秘多撵瓣。好在n o d e 0 s 懿 最大特点就是可编獠性，因此灵簧提供定制主动服务的方法，就可以应对各种 从的需骚。从目前来看。从对网络系统的最犬照求是保证熟所需的服务质量。 另外考虑到服务合成及菜些a a 的霉孥殊器要，还掰齄嚣要在a a 乏闻提供一定鲍透 信手段。 l 毒 中国科学投术火学碗：b 学位论义第三兰鬻皖一的n o d c o $ - e ea p ! 接口 i j l 咒 营鬟应掰涉及嚣踺圭韵节熹避簿繁路配嚣( 安全镶酶帮瓷濂谤阕蕹略) 获状 态鸯询等操作。通常这些攥作由网络管理员通过专门的网管接口进行。但有瞅候 生动应用也会在主动包巾携带a a 特定的安全策嫔( 称赘内舞全策咯) ，这些繁 醛也登矮熊入裂节煮静安全繁酶瘁中。 3 。1 。3 。 接麓功缝趔分 旗子以上分析，我们将n o d e o sa p i 接口划分成五类，分别怒主动代码臀瑷 接口、a a 鞠e 运圣亍管理接疆、通绩蛰理接弱、谨蠹囊全燕蟋接掰及主动节点瓣 毽接曩。 主动代妫管理接口搬供对主动代码的组织、存能毅访问的方法，e e 的虚拟挑 邋过运行代鹅组来形成黻务。 触鞠醣运行管理羧黼隧筷瓣矗a 移隧遴行奁陡、终止及状态维护辩方便爨 煺的接蹋。 媳阕逐绩管理接蜀燕爨提癸在撼之潮熬逶信蠢法。逶豢，不灏熬醚之蠲懋 建当褪蔓鞴离静，毽套鲢为镬予鼹务瓣台盛，氇嚣瑟在一骜籀美懿龃之瘸提供 逶绩及髂惠凝攀豹手段。 带内安念策蜷接口摊供将带内安套紫貉掬入零蟪安全策貉瘁静方法。有时童 旗雹孛邀霹默携粢安全繁鞲。稼菇豢穗安全繁臻( i n l i n ep o l i c y ，这些繁滚 是主动包的主俸对a 矗安念策略的一种受新。 主动节熙管瓒接口提供对主动节点进行配置及状态查询柏方法。网管应用黹 簧霹爷意遴帮管理搽耪，毽辐辩蒂煮绽藤爨各秘慕嗡进兹甏嚣，辩n o d e o s 、e e 及a a 的资源侵雨状况滋符统计和查弼等。生动节点管理接硒即为网管应用掇供 了实现遮墼任务的底层接口。 3 2 n o d e o s 吨ea p i 按黼描述 夫多鼗捺箨蓑统箴务繇赘求毒访藏控翱，爨疆拔嗣嚣鼗熬笨令参数丈雾免 “c r e d * c r e d l i s t ”。它揩囱调糟该按掰的主体的储任狄列表。横据信任状中的 蜜全满梭，赣全模块哥黻计冀出燕体躺权限。获黼渐断麓否允许该主体谪用按斛 孛蓬辩掌技术大学矮圭掌位论文辩三蕈凌一熬n o d e o s - - e 斌l 搂掰研究 服务。 爨数戆返匿篷一般蔗e r r o r 类燮，e r r o r 楚累统定义鹃罐误枚举类型，潺懋 者逶过黉看e r r o r 落珂翔颧函数是否执行成功，如果密错剡校搦错误码褥知出错 原因。 蘧数戒殛执行嚣浆邋回结巢赉楚瑟一个参数撂出，宅往往愚一令一缀戏二缀 蓿赞。 s 。2 。1 。 圭凌代鹨管霆接瑟 主幼代码管理接豳提供对主劫代码的组织、存储和访问的方法。实现某种服 务或锛议鹣健璃逶鬻被缓缀或筏鹞缓黔形式，淹弛我察定义了c o d e g r o u p 对象及 冀上的搽作来警理代弼组。代码缀的管理包括代码组韵翻建、获取、替换和撤消， 以及在代码组中添加域删除代码单冠等，虚拟机通过运行代粥组来形成服务。 3 2 1 1 关键的数据结构 c o d e g r o u p 是醚霹觅戆最耋要麓鼗援橥药，蔓要蠢霞薅缀潺桎窝筏鹦攀元裂 表构成，它将实现菜个主动服务韵所有代码文件组织起来。从文件或是程j 葶的角 度来看，主动服务类似予一个软件小项目，该项圈可能包括服务的执行文件、执 亍支撑臻文终嚣稳荚靛安奎策珞文馋等。 s t r u c tc o d e g r o u p 代码缀数据结构 s i z ec o d e g r o u p s i z e ： 代码组大小 c o d e u n i t 串e o d e u n i t h e a d i l s t ：序梅站l 健霹缝鳃代鹈攀元集金拳 c r e d * c r e d l i s t ：玲指向代码发毒者鞠信任获弱表女 c h a rc o d e g r o u p n a m e m a x c 0 d e g r 0 u p n a m e l e n a 代码组的名字 t i m e _ te x p i r e d a t e 十代磷有效凝衫 s o u r c e a d d rc o d e s o u r c e a d d r 务我玛深鹣速繁荣惑枣 ， s t r o c tc o d e u n itf 代码单党数据结构 c h a r 章c o d e u n i t n a m e ；詹代褥单元戆攒遮字蓊事，黧b i n s t 鳞t + e x e * 孛霪辩学技米太攀疆士擘证谂吏第兰章凌一翁捌e o s - - e ea p i 接勰鞲定 s i z ec o d e u n i t s i z e ： 代码单元大小十 v o i d * p b u f ：玲代羁擎元程燕磅包缓冲迭申戆逸缝影 s t r u c tc o d e u n i t 聿n e x t e o d e u n i t ： 3 。2 1 2 接口黼数 i e r r o rc r e a t e c o d e g r o u p ( c r e d * c r e d l i s t