Zusammenfassung

  • Ethane ließ einen bislang nicht durch einen Flusseintrag abgedeckten Verkehr erst nach einer ausdrücklichen Entscheidung auf einen erlaubten Pfad. Voraussetzung war die richtige Zuordnung von Nutzer, Rechner, Adressen und Eintrittspunkt.
  • NOX stellte Anwendungen eine netzweite Sicht zur Verfügung, nicht eine vollständige Kenntnis des laufenden Verkehrs. Eine erlaubte Verbindung bescheinigte auch nicht die Unbedenklichkeit ihrer Anwendung.

Ein verpflichtender Zwischenpunkt ist nur dann wirksam, wenn der Verkehr tatsächlich durch ihn läuft. Eine Regel, die einem Gast Webzugriff über einen Proxy erlaubt, braucht deshalb mehr als einen erreichbaren Zielserver. Sie braucht eine Entscheidung über den Gast und einen Pfad, der diese Entscheidung ausführt. An diesem beispielhaften Unterschied zwischen Erreichbarkeit und Erlaubnis lässt sich Scott Shenkers gemeinsame Forschung genauer ablesen als an einer allgemeinen Geschichte programmierbarer Netze.

Die Ethane-Veröffentlichung von 2007 stammt von Martin Casado, Michael J. Freedman, Justin Pettit, Jianying Luo, Nick McKeown und Scott Shenker. Sie verknüpft Regeln über verständliche Namen, durch Regeln bestimmte Pfade und eine gepflegte Bindung zwischen Paket und Herkunft. Wer eine Regel über einen Nutzer schreibt, muss weiterhin wissen, welcher Rechner und welcher Verkehr gerade zu diesem Nutzer gehören.

Die Entscheidung wird zum Pfad

Fehlt einem eintreffenden Paket ein passender Eintrag in der Flusstabelle, schickt der Ethane-Switch es mit Eintrittsinformationen an den Controller. Dieser prüft die Erlaubnis, berechnet den zulässigen Weg und installiert Einträge in den beteiligten Switches. Vorgeschriebene Zwischenpunkte können Teil des Weges sein. Das erste Paket wird zur Weiterleitung zurückgegeben; folgende passende Pakete verarbeitet der Switch selbst. Einträge können auslaufen oder widerrufen werden.

Logisch zentrale Entscheidungen bedeuten somit nicht, dass jedes Paket einen einzigen Server durchlaufen muss. Neue Zulassungen und bereits installierte Weiterleitungen hängen nicht auf gleiche Weise vom Controller ab. Verfügbarkeit sollte beide Fälle getrennt prüfen. Das ist eine Folgerung aus dem Ablauf, keine Garantie, dass bestehende Verbindungen jeden Ausfall überstehen.

Im Beispiel der Autoren greifen Rechnerregistrierung, Adressvergabe, Anschlussposition und Nutzeranmeldung ineinander. Bei einem Ortswechsel muss die Zuordnung nachgeführt werden. Protokollierte Bindungen können einer vergangenen Adresse die damals gültige Bedeutung geben. Eine Adresse ist kein dauerhaftes Personenmerkmal. Entscheidend ist die Beziehung im Zeitpunkt der Zulassung; eine falsche Beziehung kann eine technisch korrekt ausgeführte Regel dem falschen Nutzer zugutekommen lassen.

Was der Versuch trägt

Ethane berichtet über mehr als 300 Rechner, die vier Monate lang in Stanford unterstützt wurden. Die Architektur erlaubte schrittweise Einführung neben älteren Geräten, ohne zwingende Änderungen an der Software der Endrechner. Das ist Betriebserfahrung, aber kein Nachweis, dass auch die erheblich größeren Netze aus der Kapazitätsbetrachtung eingesetzt wurden. Verbleibende ältere Zugangssegmente besitzen nicht automatisch dieselben Bedingungen der Herkunftsprüfung.

Die Veröffentlichung benennt ihre Grenzen. Ein erlaubter Rechner kann Anwendungsnachrichten an einen Empfänger weiterreichen, den der ursprüngliche Sender nicht direkt kontaktieren dürfte. Transportportnummern zeigen nicht zuverlässig die tatsächliche Tätigkeit einer Anwendung. Teilen mehrere Rechner einen physischen Switch-Port, erschwert MAC-Adressfälschung die Zuordnung. Dienstsuche per Broadcast belastet die Verwaltung zusätzlich. Die Zulassung von Konnektivität ersetzt daher weder vertrauenswürdige Endsysteme noch Kenntnis der Anwendung oder eine sorgfältige Gestaltung des Zugangs.

Programmieren mit einer Gesamtsicht

Das NOX-Autorenmanuskript zur CCR-Veröffentlichung von 2008 nennt Natasha Gude, Teemu Koponen, Justin Pettit, Ben Pfaff, Martin Casado, Nick McKeown und Scott Shenker als Autoren. Die erhaltene Fassung bezeichnet sich ausdrücklich als nicht begutachtete redaktionelle Notiz. Ihre Aussagen sind keine unabhängige Sicherheitszertifizierung.

NOX liefert eine Schnittstelle zur Beobachtung und Steuerung des gesamten Netzes; die Verwaltungsanwendungen treffen die Entscheidungen. Seine Sicht umfasst Topologie und Namen–Adress-Zuordnungen, nicht den gesamten aktuellen Verkehrszustand. OpenFlow abstrahiert dagegen den einzelnen Switch. Die Skalierungsüberlegung trennt Paketverarbeitung, Flussbeginn und langsamere Änderungen der gemeinsamen Sicht. Sie verlangt keine globale Abstimmung für jedes Paket. Das Manuskript berichtet von etwa 30 internen Rechnern über sechs Monate; weitergehende Größenannahmen bleiben davon zu unterscheiden.

Berkeleys offizieller Eintrag bestätigt Scott Shenkers Identität und akademische Stellung. Ein Universitätsbericht von 2017 bestätigt seine Mitgründung von Nicira. Die private Arbeitsteilung der Forschungsgruppe folgt daraus nicht. Belegt ist eine gemeinsame Architekturarbeit: Regeln verständlich ausdrücken und die Zuordnung bis zu ihrer ausführbaren Wirkung offenlegen.

Quellen und Aussagegrenzen

Ethane trägt Ablauf, Einsatzbericht und Schwächen; NOX trägt Abstraktion und berichtete Implementierung unter dem genannten Manuskriptstatus. Die Wiederveröffentlichung von 2017 blickt zurück. Ben Pfaffs USENIX-Interview von 2025 liefert die Darstellung eines Beteiligten zu kommerziellen Anreizen. Die folgenden organisatorischen Schlüsse sind Analyse, keine gemessenen Einsparungen.