NFV คืออะไร?
Network Functions Virtualization เป็นสถาปัตยกรรมที่ย้าย Network Functions (Firewall, Load Balancer, Router, WAF, DPI, CGNAT) จาก Hardware Appliance เฉพาะทาง ไปรันบน Virtual Machines (VMs) หรือ Containers บน Standard Servers (COTS) ใช้เทคโนโลยี Virtualization (KVM, VMware, OpenStack, Kubernetes)
ประโยชน์ของ NFV ต่อ Network Security
- Agility & Speed: Deploy Security Functions (Firewall, IPS) ในนาที ไม่ใช่สัปดาห์/เดือน สร้าง Service Chaining ได้ยืดหยุ่น
- Scalability (Elasticity): Scale Out/In Security VNFs ตาม Traffic Load (เช่น DDoS Surge) Auto-scaling
- Cost Reduction: ลด Hardware Proprietary, Rack Space, Power, Cooling ใช้ COTS Servers
- Isolation & Multi-tenancy: แต่ละ Tenant/Customer ได้ Security Functions แยกกัน (VNF per Tenant) ปลอดภัยกว่า Shared Hardware
- Rapid Patching/Upgrading: Update VNF Image (Immutable Infrastructure) ไม่ต้อง Downtime Hardware
- Security Service Chaining: Traffic Steering ผ่าน Chain: Firewall → IPS → DLP → Sandbox → Encryption แบบ Dynamic
- Distributed Security: วาง Security Functions ใกล้ Workload (Edge, Branch, Cloud) แทน Backhaul ไป Central
- Testing & Validation: Spin up Identical Security Stack ใน Lab/Test แบบ On-demand
NFV Security Architecture (ETSI NFV SEC)
- VNF Level: Hardened VNF Image, Secure Boot, Integrity Monitoring, Vulnerability Scanning
- VNFM (VNF Manager): LCM (Lifecycle Management) แบบ Secure, Authenticated APIs
- NFVI (NFV Infrastructure): Hypervisor/Container Runtime Hardening, Host IDS, Micro-segmentation
- VIM (Virtualised Infrastructure Manager): OpenStack/K8s RBAC, Encrypted Storage, Network Isolation
- MANO (Management & Orchestration): Secure Onboarding, Policy-driven Automation, Audit Logging
ตัวอย่างจริง (Real-world Use Cases)
- vFirewall: Palo Alto VM-Series, FortiGate-VM, Check Point CloudGuard, Cisco ASAv - รันบน AWS/Azure/GCP/On-prem
- vDDoS Protection: Radware DefensePro, F5 Advanced WAF - Auto-scale ใน Cloud
- vIPS/IDS: Suricata, Zeek (Bro) ใน Container Sidecar
- 5G Network Slicing: Security Functions ต่อ Slice (URL Filtering, Parental Control, Enterprise Security)
- SD-WAN Security: VNF Firewall/Security ที่ Branch Office แทน Hardware Box
NFV vs SDN
| NFV | SDN |
|---|---|
| Virtualize Network Functions (L4-L7) | Separate Control Plane from Data Plane |
| Focus: VNF Lifecycle, Service Chaining | Focus: Programmable Network, Centralized Control |
| Run on COTS Servers | OpenFlow, P4, NETCONF/YANG, APIs |
| Target: Service Providers, Enterprises | Target: Data Centers, Carriers, Campus |
Better Together: SDN ควบคุม Traffic Steering (Policy-based) ให้เข้าสู่ VNF Security ที่ NFV จัดการ Lifecycle ทั้งสองร่วมกันสร้าง "Programmable Security Fabric"
NFV ใน IoT
Virtualize Router, Firewall, Load Balancer ใกล้ IoT Gateway (Edge) ลด Latency, กรอง Traffic ร้าย แก้ไข Bottleneck, ให้ Analytics ที่ Edge
ความท้าทายของ NFV Security
- Hypervisor/Container Escape Vulnerabilities
- VNF Onboarding Trust (Signed Images, Attestation)
- East-West Traffic Visibility (Micro-segmentation)
- Performance Overhead (Encryption, Inspection)
- Complexity of Multi-vendor Integration
