Плоскость данных

Плоскость данных (англ. data plane), также называемая плоскостью пользовательских данных или плоскостью пересылки (forwarding plane) — это часть архитектуры компьютерной сети, отвечающая за непосредственную обработку и передачу сетевых пакетов. В отличие от плоскости управления (control plane), которая определяет маршруты и политики, плоскость данных выполняет фактические операции с каждым проходящим через сетевое устройство пакетом: принятие, анализ заголовков, поиск по таблице маршрутизации, модификацию и отправку на следующий узел.

Архитектура и принцип работы

Плоскость данных реализуется на аппаратном или программном уровне в сетевых устройствах: маршрутизаторах, коммутаторах, межсетевых экранах, балансировщиках нагрузки. Её ключевая задача — обеспечить высокую пропускную способность и минимальную задержку при обработке трафика. Для этого плоскость данных работает по принципу «быстрого пути» (fast path), минимизируя участие центрального процессора.

Основные функции

• Приём пакета — получение кадра или пакета из физической среды (например, Ethernet-кабеля или оптического волокна).
• Проверка целостности — контрольная сумма (CRC) для обнаружения ошибок передачи.
• Анализ заголовков — извлечение полей уровня 2 (MAC-адреса), уровня 3 (IP-адреса) и уровня 4 (порты TCP/UDP).
• Поиск по таблице — сопоставление адресов назначения с записями в таблице маршрутизации (для IP) или таблице коммутации (для Ethernet).
• Модификация пакета — изменение TTL (Time to Live), пересчёт контрольных сумм, инкапсуляция/деинкапсуляция (например, для MPLS, VXLAN).
• Коммутация/маршрутизация — перенаправление пакета на соответствующий выходной интерфейс.
• Фильтрация и QoS — применение правил доступа (ACL) и приоритезация трафика (Quality of Service).

Отличие от плоскости управления

Плоскость управления (control plane) принимает решения о том, как обрабатывать трафик: она строит таблицы маршрутизации (через протоколы OSPF, BGP, RIP) и таблицы коммутации (через STP, VLAN). Плоскость данных же выполняет эти решения, не участвуя в их формировании. В современных архитектурах (например, Software-Defined Networking, SDN) эти плоскости жёстко разделены: контроллер SDN управляет плоскостью управления, а коммутаторы выполняют только плоскость данных.

Аппаратная реализация

Для достижения высокой производительности плоскость данных часто реализуется на специализированных микросхемах:

• ASIC (Application-Specific Integrated Circuit) — заказные интегральные схемы, оптимизированные под конкретные задачи (например, коммутация Ethernet). Используются в высокопроизводительных коммутаторах и маршрутизаторах.
• NPU (Network Processor Unit) — программируемые сетевые процессоры, позволяющие гибко настраивать обработку пакетов без замены аппаратуры.
• FPGA (Field-Programmable Gate Array) — перепрограммируемые логические матрицы, применяемые в прототипах и специализированных устройствах.
• CPU — центральный процессор общего назначения, используемый в программных маршрутизаторах (например, на базе Linux) или для обработки «медленного пути» (slow path) — пакетов, требующих сложной логики.

В российских условиях разработка отечественных ASIC и NPU ведётся в рамках импортозамещения: например, компания «Элтекс» (г. Новосибирск) производит коммутаторы с микросхемами Broadcom, а также разрабатывает собственные решения на базе FPGA. В 2023 году Минцифры РФ анонсировало программу создания российских сетевых процессоров, ориентированных на плоскость данных.

Программная реализация

В виртуализированных средах и облачных вычислениях плоскость данных может быть реализована программно:

• DPDK (Data Plane Development Kit) — набор библиотек и драйверов для ускоренной обработки пакетов на стандартных CPU. Позволяет обходить ядро ОС и работать напрямую с сетевыми картами, достигая производительности до 80 млн пакетов в секунду на одном ядре.
• VPP (Vector Packet Processing) — фреймворк для высокопроизводительной обработки пакетов, используемый в проектах FD.io.
• XDP (eXpress Data Path) — механизм в ядре Linux, позволяющий выполнять BPF-программы на уровне драйвера сетевой карты.
• Open vSwitch — программный коммутатор, поддерживающий OpenFlow и используемый в виртуальных средах (например, OpenStack, KVM).

Эти технологии активно применяются в российских ЦОДах и облачных платформах, таких как «Яндекс.Облако», VK Cloud, «Ростелеком-ЦОД».

Плоскость данных в SDN

В архитектуре программно-конфигурируемых сетей (SDN) плоскость данных полностью отделена от плоскости управления. Коммутаторы (data plane switches) выполняют только пересылку пакетов по правилам, загруженным из центрального контроллера (например, OpenDaylight, ONOS). Протокол OpenFlow (версии 1.0–1.5) является стандартом для взаимодействия между плоскостями: контроллер отправляет на коммутатор таблицы потоков (flow tables), которые определяют, как обрабатывать пакеты с определёнными полями заголовков.

В России SDN-решения развиваются в рамках проектов «Цифровая экономика» и «Сколково». Например, компания «НТЦ ИТ РОСА» разрабатывает SDN-контроллеры для российских сетей, а «Лаборатория Касперского» предлагает решения для защиты плоскости данных от атак.

Безопасность плоскости данных

Плоскость данных является критической с точки зрения информационной безопасности. Основные угрозы:

• DDoS-атаки — перегрузка плоскости данных большим объёмом трафика, что приводит к отказу в обслуживании.
• Подмена пакетов (spoofing) — атаки с фальшивыми IP-адресами, которые могут нарушить таблицы маршрутизации.
• Атаки на протоколы — например, ARP-spoofing, DHCP-атаки, которые изменяют таблицы коммутации.
• Уязвимости в реализации — ошибки в ASIC или драйверах, позволяющие выполнить произвольный код.

Для защиты используются:

• ACL (Access Control Lists) — фильтрация трафика на уровне плоскости данных.
• uRPF (Unicast Reverse Path Forwarding) — проверка обратного пути пакета.
• Rate limiting — ограничение скорости обработки для предотвращения перегрузки.
• Аппаратная изоляция — разделение плоскостей данных разных клиентов (например, через VRF).

В России требования к безопасности плоскостей данных регламентируются приказами ФСТЭК России (например, № 17, № 21) и ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей».

Примеры устройств с плоскостью данных

• Маршрутизаторы Cisco ASR 9000 — используют ASIC для обработки до 400 Гбит/с.
• Коммутаторы Mellanox Spectrum — с поддержкой OpenFlow и DPDK.
• Российские коммутаторы «Элтекс» MES5300 — на базе ASIC Broadcom, поддерживают аппаратную плоскость данных.
• Программные маршрутизаторы на Linux — с использованием DPDK и VPP (например, в проекте «Русификатор» для ЦОДов).

Современные тенденции

• P4-программируемость — язык P4 (Programming Protocol-independent Packet Processors) позволяет описывать поведение плоскости данных независимо от аппаратуры, что упрощает внедрение новых протоколов.
• SmartNIC — интеллектуальные сетевые карты с собственным процессором, берущие на себя часть функций плоскости данных (например, обработка VXLAN, шифрование).
• Интеграция с AI/ML — использование нейросетей для оптимизации обработки пакетов (например, классификация трафика в реальном времени).
• Разделение в 5G — в сетях пятого поколения плоскость данных (UPF — User Plane Function) выносится на периферию (MEC) для снижения задержек.

В России эти направления развиваются в рамках Национальной технологической инициативы (НТИ) и дорожной карты «Сети связи пятого поколения». Например, компания «Сколтех» ведёт исследования по P4-коммутаторам, а «Ростелеком» тестирует SmartNIC для своих ЦОДов.

Источники

1. Петерсон Л., Дэви Б. «Компьютерные сети. Архитектура и протоколы». — М.: Вильямс, 2021.
2. Куроуз Дж., Росс К. «Компьютерные сети. Нисходящий подход». — М.: Эксмо, 2020.
3. Документация DPDK (dpdk.org).
4. Спецификация OpenFlow (opennetworking.org).
5. Материалы Минцифры РФ по импортозамещению в сетевом оборудовании (digital.gov.ru).
6. Технические отчёты компании «Элтекс» (eltex-co.ru).
7. ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей».