作者Jordi Paillissé 是巴塞羅那神經網絡中心的博士后研究員，就職于巴塞羅那理工大學(BarcelonaTech - the Polytechnic University of Catalonia)，從事計算機網絡和機器學習的交叉研究，主要研究方向是網絡建模、未來互聯網架構、軟件定義網絡和互聯網區塊鏈應用。本文旨在探討當前互聯網架構的變化和趨勢，是其與Alberto Rodríguez-Natal、Fabio Maino 和 Albert Cabellos 共同撰寫。

在過去的 15 年中，互聯網架構一直在不斷發展，盡管如此，TCP/IP 堆棧仍是用于描述互聯網架構的主要方式。

本文提出了TCP/IP的兩種典型變體：

1）以 L3 為中心，基于現代SDN（例如SD-WAN）的設計

2）以 L7 為中心，受零信任網絡和Service Mesh的啟發。

與經典TCP/IP模型相比，這兩種模型更能代表目前的發展狀況。但有一點必須說明，我們并沒有展示新架構，只是在優化原有架構。 ? 這兩種模型的共同之處在于它們向堆棧引入了兩個新層——安全層和擴展層。安全層通常由 IPsec 或 TLS 等標準定義，其主要目標是提供數據機密性、完整性和某種形式的身份驗證。擴展層承載信息以提供附加功能：它不一定是標準化的，取決于每個供應商或應用程序的要求，例如現代 SD-WAN 中的策略標簽，或用于識別零信任網絡中設備類型的 HTTP 擴展。 ?

互聯網架構

下圖展示了經典 TCP/IP 堆棧與以 L3 為中心和以 L7 為中心的比較。其中，物理層、L2 和路由層、HTTP 和應用層保持不變。

| 經典互聯網堆棧圖（左）、以 L3 為中心（中）和以 L7 為中心（右） ? 在以L3為中心的模型中，我們發現安全頭(圖中的L3安全)直接位于IP頭之后，實現此報頭的協議是IPsec或WireGuard VPN。緊接在這個報頭之后的擴展報頭（圖中的 L3 擴展）提供了額外的功能，例如提供網絡隔離的 VPN 標識符或SD-WAN中的組標簽。接下來是由安全層封裝的原始 IP 數據報（包含另一個 IP 報頭）、傳輸協議報頭和應用程序數據。 ? 在以L7為中心的模型中，大多數新報頭位于更高位置。安全報頭（圖中的傳輸安全）就在傳輸報頭之后，通常采用 TLS 的形式。再往上是一個 HTTP 報頭，然后是與擴展報頭對應的幾個 HTTP 擴展。值得注意的是，與安全報頭不同，這個報頭不一定是標準化的。它可以攜帶多種用途的信息，如身份、QoE、策略標簽等。例如，Service Mesh就是利用這些擴展來根據 HTTP 流的 URL 執行高級流量管理。 ?

案例研究

以下是SD-WAN 作為以 L3 為中心的堆棧以及Service Mesh作為以 L7 為中心的堆棧的例子。 ? ?

SD-WAN

我們可以在SD-WAN的設計中發現安全和擴展頭都遵循以L3為中心的堆棧。在這種情況下，安全頭通常以隧道模式下的 IPsec 或等效的 L3 安全協議的形式出現。對于擴展頭，系統通常會在安全頭之后直接添加一個附加的頭（圖中的 L3 擴展）。這個報頭可以用于不同目的，最常見的是隔離（如，出于安全原因創建隔離的 VPN）。其他用例還包括帶寬聚合、冗余、多播等。一個典型的例子是 VXLAN ( RFC 7348 ) 或多協議標簽交換 (MPLS) 標簽。 ?

Service Mesh

Service Mesh用于連接在大型數據中心的容器內運行的應用程序。它們的關鍵組件傳統上是 Sidecar 代理，這是一種 HTTP 代理，可以攔截應用程序之間的所有通信、監控它們的狀態并執行策略。這里安全頭是 TLS 協議，因為所有連接都利用代理之間的 HTTP。其中一些使用雙向 TLS 來驗證連接的兩端。 ? 擴展頭基于自定義 HTTP 擴展，允許在應用級實施復雜的流量管理，例如根據 URL 路由 HTTP 流、A/B 測試等。最后，請注意，盡管Service Mesh目前僅限于數據中心，但這可能會隨著Envoy Mobile的出現而改變，因為它可以部署在終端主機中。 ?

結? 論

在這篇文章中，筆者主要提議在經典的 TCP/IP 堆棧中添加兩個額外的頭，以適應過去15年中互聯網架構的演變，通過將這兩個附加層添加到 TCP/IP 協議棧來呈現網絡架構的形式化。 ? 論文原文：

編輯：黃飛