傳統網絡中，各個AS（Autonomous System，自治系統）相互連接并使用EGP（ Exterior Gateway Protocol，外部網關協議）互相通信，其中BGP是EGP的代表協議。BGP支持70000 多個不同網絡之間的協調，但在全球多次發生的網絡故障事實表明，BGP是互聯網中最脆弱的部分之一。2020 年，一場影響美國服務提供商 Cloudflare 的重大事件持續了 7 個小時，導致全球流量下降 3.5%。此事件由一個微不足道的BGP配置錯誤引起——區域路由器中的輕微故障觸發了眾所周知的蝴蝶效應，從而導致大部分地區的互聯網連接中斷。這種中斷會給企業帶來巨大的成本，并對依賴互聯網提供關鍵服務的機構造成嚴重影響。

那么，一個重要的問題是：我們為何要依賴這種不可靠的基礎設施？答案出奇地簡單：在發明之初，BGP并非旨在處理我們今天擁有的全球規模和數量的網絡互連。BGP的創建是為了支持 80 年代后期規模小得多的互聯網互連。在過去的 30 年里，它的大部分功能性運作給人一種虛假的穩定感。為了保證可靠通信，我們需要比 BGP 所能提供的更強大的屬性。

其中，由瑞士蘇黎世聯邦理工大學及其附屬公司 Anapaya Systems 開發的SCION（Scalability, Control, and Isolation On Next-Generation Networks）架構，自詡為“最現代、最安全的架構”，正引起業界關注。SCION 代表的是下一代網絡的可擴展性、可控性和隔離性，其目標是通過安全的域間路由和路徑感知網絡實現一個安全、穩定和透明的互聯網。

本文將系統介紹什么是SCION 、與傳統互聯網架構的對比、SCION應用現狀等。

傳統互聯網架構概述

互聯網是一個全球范圍內的互連計算機網絡系統。通過互聯網，我們可以即時分享全球的數據和信息。我們依賴于手機、筆記本電腦、物聯網設備、家庭自動化設備等不斷地訪問互聯網，以便與他人進行交流、購物、使用社交媒體以及工作等等。

從架構的角度來看，互聯網只是多個網絡的互連，它是將世界各地的計算機網絡連接成一個實體。互聯網不是一臺大型計算機，而是眾多計算機和設備相互連接。

為了能夠連接所有大陸，在世界各地建立了一個非常復雜的物理海底網絡，

互聯網的歷史

在互聯網時代之前，計算機只是一臺大型主機，無法與任何其他計算機“對話”。當時沒有任何技術或術語可以將兩臺計算機通過“網絡”連接起來。

從歷史上看，互聯網的起源始于1960 年代，當時美國高級研究計劃局網絡(ARPANET) 開始開發其公共分組交換網絡。

1969年10月29日，加州大學洛杉磯分校(UCLA)的一名學生查理·克萊恩(Charley Kline)試圖登錄斯坦福研究所(SRI)的主機，這是兩臺計算機之間第一次成功發送信息。 發送到遠程終端的第一個命令是“LOGIN”——它一共進行了兩次嘗試，第一次嘗試在 Charley 鍵入“LOG”后崩潰了，但他們設法解決了問題，并在第二次嘗試時成功登錄到 SRI 的遠程終端。隨著時間的推移，ARPANET也開始不斷發展壯大。

然而，由于連接到 ARPANET 的網絡不同，使用的網絡協議也各不相同，一些網絡無法相互通信。為了克服這一挑戰，1970 年代開發出了TCP/IP協議棧，并在 1974 年產生了第一個初始 TCP RFC 草案- RFC675。該 RFC 中首次使用術語“Internet”作為互聯網絡的簡寫。

TCP/IP 堆棧花了將近10 年的時間成為了 ARPANET 標準，所有節點都在 1983 年遷移到 TCP/IP 堆棧。其他較舊的協議，如 1960 年代開發的網絡控制程序 (NCP)已被棄用。Telnet和 FTP（文件傳輸協議）是第一個使用 Internet 網絡的應用程序（自1969年以來可用）。

ARPANET 于1989 年關閉（最終于 1990 年退役），取而代之的是美國國家科學基金會網絡(NSF)。1986 年，NSF 建立了一個1.5 兆比特/秒的網絡，這就是眾所周知的NSFNET。許多商業和其他ISP（互聯網服務提供商）在此期間被引入并連接到該網絡。

1991 年之前，互聯網主要被科學家和政府機構用來交換信息和數據。1991年，萬維網 (WWW)問世。盡管Internet網絡的最初發展始于美國，但是CERN項目通過引入最初的WWW和HTTP標準使得Internet更容易為普通用戶使用，從而帶動了Internet的大規模發展。

目前，根據IXPO組織的數據顯示：

截止到2022年1月，全球共有49.5億人使用互聯網（占世界人口的 62.5%）

索引網絡共22.5億頁

據Statista的數據，到2025年，我們每天將發送超過3760億封電子郵件

IDC 預計，到 2025 年，全球數據空間將增長到175 zettabytes（1 ZB 等于 1 萬億 GB）

IOT Analytics 報告稱，到 2025 年，物聯網設備將達到271億臺

| 歷年互聯網里程碑

綜上所述，互聯網的發展經歷了多次迭代升級。然而，在其發展過程中卻沒有預料到現代互聯網使用存在的一些問題。

現代互聯網架構

一般來說，現有的互聯網架構由三層ISP組成，ISP(internet service provider)是指互聯網服務提供商，類似中國電信、中國移動、中國聯通就是國內有名的ISP。



| 當前的互聯網架構（來源：維基百科）

三層ISP結構分為主干ISP（Tier 1 ）、地區ISP（Tier 2）、本地ISP（Tier 3）。本地ISP給用戶提供最直接的服務，本地ISP可以連接到地區ISP，也可以連接到主干ISP。只要每一個本地ISP都安裝了路由器連接到某個地區ISP，而每一個地區ISP也有路由器連接到主干ISP，那么在這些相互連接的ISP的共同作用下，就可以完成互聯網中的所有的分組轉發任務。

互聯網交換點(IXP)：為了更快地轉發分組，IXP允許兩個網絡直接連接并交換分組，而不需要通過第三個網絡來轉發分組。

因此，獲得互聯網接入的關鍵是連接到互聯網服務提供商，而問題是 ISP 如何相互信任并交換路由信息？BGP（邊界網關協議）就是起到這個作用，BGP允許ISP之間交換IPv4和IPv6前綴。

然而，ISP的BGP 路由交換策略很難建立清晰和開放的關系，這可能會導致許多誤解，甚至是基于 BGP 的前綴劫持，這種情況每天都會發生多次，Facebook、微軟等大型互聯網公司都難以避免遇到這個問題。

這就是傳統互聯網架構存在的主要問題（傳統互聯網架構并不是為了防止此類問題而構建的），現在出現了一種更現代的方法，稱為 SCION 。

SCION互聯網架構

SCION（下一代網絡的可擴展性、可控性和隔離性）是一種完全不同的全球互聯網架構方法，它主要側重于安全性、可控性、健壯性、高可用性和隔離性。SCION 項目于 2010 年在瑞士蘇黎世的 ETH 大學啟動，它被 IETF 認為是基于新型路徑感知網絡的“未來互聯網提案”。

SCION 是一種路徑感知協議，旨在取代互聯網中廣泛使用的 BGP 協議。路徑感知架構允許終端主機（或網關）了解可用的網絡路徑段并將它們組合成端到端的路徑，并在包頭中攜帶。

SCION網絡架構的組成部分

SCION網絡架構定義了如下概念：

隔離域 (ISD，Isolation domains ):一個獨立的公共管轄區和故障域。

ISD 核心：管理 SCION 網絡核心的 AS（自治系統，autonomous systems），提供全球連接，負責 ISD 域內的策略。

核心 AS：ISD核心的一部分。

路由：可以分為 ISD 間域和 ISD 內域。

信任根配置 (TRC)：每個 ISD 都有自己的信任根，它解決了寡頭壟斷模型（Web PKI）和壟斷模型（DNSSEC，RPKI）的問題，并確保幾乎不會受到針對內部 ISD 路由策略的外部攻擊。

ISD 內信標系統：在 ISD 內通告可能的路徑，遍歷 ISD 內的所有 AS，通過 ISD 核心提供多路徑。

ISD 間通信：如果主機“S”想要在 SCION 網絡中與主機“E”通信，則有三個 ISD（藍色、橙色和綠色）——下圖說明了該過程：



| ISD間通信圖（來源：SCION-architecture）

下面是一個簡單的 SCION 拓撲概述：



| SCION 拓撲圖（來源：SCION-architecture article）

SCION網絡路由過程

SCION架構中，互聯網仍然由自治系統組成。但是，通過將自治系統分組到“隔離域 (ISD) ”中，增加了一個層次結構層。通常，ISD 中的 AS 共享某些屬性。例如，他們可能共享一個管轄區或地理位置。每個 ISD 都有自己的公鑰基礎設施(PKI)，例如，用于保護 SCION 內的路由。ISD 的 PKI 只能為它自己的隔離域中的系統分發證書。因此，如果安全受到威脅，其影響將僅限于受損的隔離域。隔離域的管理由 ISD 核心負責，由于核心 AS 負責 ISD 的管理，因此它們通常由 ISD 中所有其他 AS 信任的各方運行。ISD核心在域間路由中也起著重要作用。下圖描述了 SCIONLab 網絡（截至 2020 年 9 月）中的不同 ISD 和一些 AS，這是一個支持 SCION 實驗的全球研究網絡。



| 圖 ：截至 2020 年 9 月的 SCIONLab 拓撲，顯示了駐留在各種隔離域中的自治系統（來源SCIONLab）

目前 Internet 上的路由依賴 BGP，由于 Internet 是在非層次結構的基礎上組織的，作為一個“扁平”網絡，路由器使用巨大的路由表以根據目標地址確定將數據包轉發到哪里。而SCION 中有所不同：轉發基于數據包攜帶轉發狀態。即每個數據包都包含它需要傳輸的路徑（在 AS 級別），因此不再需要路由器上的巨大表。這釋放了路由器的內存，更重要的是，它使發件人能夠確定他們的網絡流量應該如何通過互聯網傳輸。為此，發送方需要知道哪些路徑可以到達預期的目標 AS。在確定路徑時，區分兩種情況：ISD 內的流量（ISD 內）和 ISD 之間的流量（ISD 間）。

在每個 ISD 中，AS 根據它們在以 ISD 核心為根的有向無環圖中的連接進行分層組織，可以直接有效確定可能的路徑。該過程也稱為信標，由核心 AS 啟動，核心 AS 向下游的相鄰非核心 AS 發送路徑段構建信標 (PCB)。當非核心 AS 收到 PCB 時，它會添加自己的身份和一些附加信息，稍后在數據包標頭中構建路徑時將需要這些信息。然后它將 PCB 轉發給遵循相同程序的所有下游鄰居。因此，PCB 包含有關它從 ISD 核心到當前 AS 的路徑信息。最終 PCB 將到達葉 AS，并且根據 PCB 中的信息，所有 AS 都將知道至少一條可以到達 ISD 核心的路徑。除了轉發 PCB 之外，每個 AS 還存儲它剛剛在本地學習到的路徑，并通知 ISD 核心它希望到達的路徑。最后，核心知道如何到達每個 AS，每個 AS 都知道如何到達核心。



| 圖 ：具有單個 ISD 的 SCION 拓撲示例。ISD 中的節點代表 AS

現在考慮這樣一種情況，AS D（在上圖中）想要與 AS E（兩者都是非核心AS）進行通信，因此它詢問核心如何從核心到達 AS E（我們指的是這部分路徑作為下段）。它已經知道自己如何到達核心（我們將這部分路徑稱為上行段），因此它可以將這兩個段組合起來構建一條從自身到 AS E 的路徑。它在 SCION 數據包標頭中包含該路徑，因此路徑上的每個 AS 都知道將數據包轉發到哪里。如果兩個段相交，即如果路徑的上段和下段經過同一個非核心 AS，則可以采取捷徑。在這種情況下，首先將數據包轉發到核心是沒有意義的，只是為了讓它再次采用相同的路由返回。直接對等互連也是可能的。

我們現在知道如何到達同一個 ISD 中的另一個 AS，只要兩個路徑段在同一個核心 AS 開始/結束。然而，我們仍然沒有到達另一個 ISD 中的 AS 所需的完整路徑，或者使用上行和下行段不在同一核心 AS 結束/開始的路徑。這個問題由 ISD 間路由解決，所有核心 AS 都參與其中。ISD 間路由使用與 BGP 類似的方法：它將 PCB 發送給它的鄰居，鄰居添加各自的信息并將新的 PCB 轉發給它們的鄰居。這聽起來類似于 ISD 內部路由方法，但 ISD 間路由沒有方向性。這意味著該過程不如內部 ISD 方法有效，并且也無法擴展。



| 圖 ：具有三個不同 ISD 的 SCION 拓撲示例。ISD 中的節點代表 AS

使用上述過程的結果，AS 能夠通過使用以下遞歸方法來構建自己的 ISD 和其他 ISD 中的其他 AS 進行通信。這次 AS G 想要與位于另一個 ISD 中的 AS Q 進行通信。通過內部 ISD 信標，G 知道如何到達其 ISD 的核心（上行段）。G詢問核心如何到達Q。

通過 ISD 間路由，G 的 ISD 核心知道如何到達 Q 的 ISD 核心。這部分路徑稱為核心段。G 的 ISD 核心詢問 Q 的 ISD 核心如何從其 ISD 核心（下段）到達 Q。G 的 ISD 核心然后將核心段和下段返回給 G。G 現在可以通過組合上段、核心段和下段來構建到 Q 的完整路徑。

注意，由于每個段可能有多個選項，因此可以使用多個路徑，不同的數據包可以使用不同的路徑。當然，路徑可能不再起作用，例如，由于鏈路故障。在這種情況下，G 將需要通過另一條路徑再次發送丟失的數據包和后續數據包。路徑問題可以通過網絡向發送方發出信號（類似于今天 ICMP 發生的情況），也可以從沒有接收到數據包的事實中推斷出來。

由于路徑在 AS 級別定義并包含在數據包中，因此我們需要知道我們要與之通信的終端主機位于哪個 AS 和 ISD 中。因此，我們需要將這兩條附加信息包含在終端主機的地址中。因此，一個地址現在由三部分組成：ISD、AS 和終端主機的本地地址。終端主機的地址在上述任何過程中都沒有用到，只用于自治系統內部的本地傳遞。 SCION 在設計時考慮了安全性，因此在上述所有過程中，涉及的數據都經過身份驗證，從而排除了路由劫持。

IP網絡上的SCION路由

在路由過程方面，SCION 使用了所謂的“Beaconing（信標）”而不是 BGP。Beaconing 進程負責發布新路徑和路徑探索進程。

BGP 協議有一個可選的多路徑功能，可以使用，但默認情況下不啟用，它需要額外的配置，供應商也可以自行更改，這在互聯網中沒有廣泛使用。

與傳統 BGP 的對比見下表：



| BGP/BGPSec/SCION控制平面能力對比

盡管在整個 AS 中原生使用 SCION 可能是充分利用 SCION 的最佳方式，但這可能很難實現。在整個網絡中采用 SCION 需要每個連接的設備來處理 SCION 協議。在所有類型的設備和所有應用程序中實現 SCION 可能被證明是困難的。
幸運的是，有一種部署 SCION 的方法使我們能夠利用它的許多優勢，同時也無需修改網絡中的應用程序或終端主機。在這種情況下（如圖所示），域間 SCION 通信由網絡而不是終端主機處理。所有終端主機繼續按照他們目前的方式使用 IP。這是通過在網絡中部署 SCION-IP 網關 (SIG) 來實現的。SIG 通過 SCION 網絡隧道傳入 IP 數據包，處理例如路徑選擇。

然后目標網絡中的 SIG 將 IP 數據包傳送到目標終端主機。因此，我們可以將當今的 IP 網絡與 SCION 集成，并立即從 SCION 的特性中受益。SCION 協議可以通過現有的 TCP/IP 網絡“建立隧道”，但需要額外的 80 個字節來傳輸額外的 SCION 信息。

下面是一個示例拓撲，展示了 SCION 如何通過 IP 網絡建立隧道：



| SCION over IP 網絡示例（來源：SIDN Labs）

關于協議本身，它引入了幾個新的標頭： 通用標頭：在所有 SCION 流量中共享：



地址標頭：標識流量的來源和目的地，標識 ISD、AS 和主機地址：



路徑類型標頭：關于路徑元數據、跳數（最多 64 ）和附加信息（可選）的信息：



PathMeta header：攜帶特定路徑頭的元數據信息：

擴展標頭：未來對 SCION 協議的擴展都使用以下格式實現：



SCION 的優勢

與傳統互聯網相比，SCION最重要的優勢是：

高可用性通信：默認情況下使用并啟用多路徑通信，不受當前 BGP 級攻擊影響，例如前綴劫持。

客戶端路徑控制：SCION可以保證每個數據包走的路徑，特別是哪些 ISP 或地理位置沒有被遍歷。

秘密路徑：只能由選定的通信伙伴使用。即使攻擊者知道網絡拓撲，加密路徑保護也可以隱藏路徑，從而使路徑不可能被 DDoS攻擊。

VPN鏈路保護：VPN 鏈路可以由 SCION 網絡提供，為端到端 VPN 隧道提供上面列出的所有屬性。 更快的路徑故障轉移。

與現有網絡基礎設施的互操作性：SCION 可以在現有 IP 網絡之上使用。在這種情況下，可以使用 SCION-IP 網關 (SIG) 將 SCION 標頭封裝在 TCP/IP 堆棧之上，這種情況下的SCION效率較低，因為它不是端到端的，但您可以利用現有的 IP 網絡來傳輸和隧道支持 SCION 的流量，并且仍然可以獲得 SCION 的許多優勢，尤其是在安全性方面。為了擴展 SCION 感知網絡，可以在 AS 內部署 SCION 邊界路由器 (BR) 以支持本地支持 SCION 的通信。

傳輸不可知：SCION 可以本地運行（僅使用 SCION 標頭）或使用任何常用的底層傳輸，無論它是 IP 網絡、MPLS 網絡等。

無 BGP：不再需要 BGP 協議。SCION 旨在取代 Internet 中的 BGP。

數據平面處理減少：減少對數據包的處理。 就其本質而言，SCiON 以可控性、可靠性和安全性的形式提供了對業務通信至關重要的三大獨特屬性。

SCION提高安全性和高可用性

雖然普通 SCION 具有安全性和可用性優勢，但 SCION 有兩種額外的“風味”，它們為域間路由帶來了額外的屬性。他們被稱為 EPIC 和 COLIBRI。

EPIC

EPIC代表檢查每個數據包.它通過數據平面中的每個數據包粒度引入了額外的安全性和透明度。在普通 SCION 中，相同的路徑信息用于多個數據包并且獨立于數據包內容，而在 EPIC 中，路徑信息與數據包內容相關聯。EPIC 有多種變體，可提供不同級別的安全性。它可用于向所有中間躍點提供數據包源的身份驗證和到目的地的有效負載的身份驗證。通過構建這些功能，它甚至可以用于為源和目的地提供數據包所采用路徑的驗證。為了實現這一點，每一跳都會向數據包添加加密證據，記錄處理過程。

但是，該功能在數據包處理期間需要額外的加密操作，并且需要在終端主機和路徑上的每一跳之間共享的附加密鑰。這可以通過一個名為 DRKey 的系統有效地完成。DRKey 的一個重要特性是可以即時計算密鑰，這使得 EPIC 的加密比涉及內存查找時更快。在標準 x86 硬件上，數據包的處理時間不到 100 納秒。這允許非常快速的數據包身份驗證，因此可以非常快速地傳輸數據，因為可以允許經過身份驗證的數據包通過傳統防火墻。該原理已在 LightningFilter 中得到證明，它在基于 x86 的服務器上的實驗設置中實現了 120 Gbps 的速度。

COLIBRI

鑒于 EPIC 引入了額外的身份驗證和驗證，COLIBRI提供了域間帶寬預留，這使得為兩個終端主機之間的路徑確保最小帶寬成為可能。結合 LightningFilter 以高速過濾經過身份驗證的數據包，即使在拒絕服務攻擊下，也可以實現高水平的關鍵服務可用性。

SCION網絡的類型

目前部署的SCION網絡有兩種類型：

1）SCIONLab ：SCIONLab 是一個全球研究網絡，用于測試 SCION 下一代互聯網架構。

任何人都可以參與其中并創建最多五個支持 SCION 的 AS。

SCIONLab 的基礎設施包括全球連接的 AS 和 ISD（隔離域）網絡。

易于設置，所有必需的組件都可以作為一組 VM 進行部署，作為軟件包安裝，或者可以從源代碼構建。

SCION 也有一些局限性：

PKI 控制平面是集中式的，這意味著存在單點故障，但它確實使密鑰分發更容易、更快，這在某些使用場景下更為重要。

Overlay 鏈接（通過公共互聯網）用于基礎設施內部和用戶 AS 的基礎設施之間，降低了完整 SCION 部署的安全性、可用性和性能方面的能力，但也降低了復雜性。

下圖展示了當前全球 SCIONLab 網絡的拓撲結構：



| 現有 SCIONLab 全球研究網絡拓撲結構（來源：SCIONLab）

2）生產級全球SCION 網絡- Anapaya（ETH 大學的衍生公司）生產級全球 SCION 網絡，目前主要由瑞士銀行和金融機構使用，但越來越多的 ISP 和企業實體正在加入。

總結

與任何協議一樣，SCION 也有其缺點，其主要的潛在問題在于：

獲取路徑存在額外延遲。這可以通過緩存和路徑重用來避免，類似于 DNS 過程。

帶寬開銷。協議標頭中需要新信息，因此在數據包中使用了更多空間，不過這些空間都沒有被浪費，所有信息都被使用，它提供了路徑控制、更簡單的數據平面等。

可能需要新證書（例如 TRC 證書），好處是安全性更高。

工程師必須學習新的協議和方法。

但是，正如本文所述，新協議為互聯網流量提供了一種全新的方法，其優點超過了這些缺點，尤其是在路由控制、安全性、可擴展性和高可用性方面。它可以完全控制到終端系統的路由過程——您可以為您的流量決定最佳路徑，其中“最佳路徑”可能意味著：最快、最便宜、避開某些地區或管轄區等等。

由于 SCION 集成了完整的PKI 基礎設施，并且每個數據包都經過簽名和驗證，因此它提供了額外的安全性。SCION 是無 BGP 的，使用一種稱為beaconing的新路由方法。 此外，使用 Research SCION 網絡可以很容易地測試 SCION 基礎設施，任何人都可以參與其中。

審核編輯：劉清