Mécanisme d'isolement dans les commutateurs virtuels sur les plateformes d'informatique en nuage

As an important component of cloud platform, virtual switch (vSwitch) is responsible for achieving network connectivity between virtual machines (VMs) and external devices. Most existing vSwitches adopt the split design principle, which destroys the isolation between VMs. In vSwitch, different VMs compete for shared resources and unrestricted memory access, making them unable to guarantee stable network quality of service (QoS), while facing the risk of data plane attacks and illegal access to memory. In order to solve these performance, failure and security problems caused by the lack of isolation, the main works and contributions of this thesis are as follows: 1) Network QoS method based on CPU cycle isolation (C2QoS). This approach secures VM network bandwidth by isolating concurrency from CPU resources, and at the same time reduces additional VM network latency caused by concurrency by 80%. 2) Data plane attack defense mechanism based on stream table isolation (D-TSE). D-TSE uses VM as the unit to separate the flow table structure to achieve independent packet classification performance and fault isolation at the cost of 5% additional CPU usage. 3) Virtualized Network I/O (VNIO) mechanism based on Memory Access Isolation (S2H). Based on a secure memory sharing model, S2H provides VM memory isolation and security at the cost of 2-9% increased latency.En tant que composant important de la plate-forme cloud, le commutateur virtuel (vSwitch) est responsable de la réalisation de la connectivité réseau entre les machines virtuelles (VM) et les périphériques externes. La plupart des vSwitches existants adoptent le principe de conception partagée, qui détruit l'isolation entre les VMs. Dans vSwitch, différentes VMs se disputent les ressources partagées et accèdent à la mémoire sans restriction, cela les rend incapables de garantir une qualité de service (QoS) réseau stable, tout en faisant face au risque d'attaques de plans de données et d'accès illégaux à la mémoire. Afin de résoudre ces problèmes de performance, de défaillance et de sécurité causés par le manque d'isolement, les principaux travaux et contributions de cette thèse sont les suivants : 1) Méthode QoS réseau basée sur l'isolation du cycle CPU (C2QoS). Cette approche garantit la bande passante du réseau VM en isolant la concurrence des ressources CPU, et en même temps réduisant de 80 % la latence supplémentaire du réseau de VM causée par la concurrence. 2) Mécanisme de défense contre les attaques du plan de données basé sur l'isolement de la table de flux (D-TSE). D-TSE utilise VM comme unité pour séparer la structure de la table de flux afin d'obtenir des performances de classification de paquets indépendantes et une isolation des pannes au prix d'une utilisation CPU supplémentaire de 5 %. 3) Mécanisme d'E/S réseau virtualisé (VNIO) basé sur l'isolation de l'accès mémoire (S2H). Basé sur un modèle de partage de mémoire sécurisé, S2H assure l'isolation et la sécurité de la mémoire des VM au prix d'une latence accrue de 2 à 9 %