VNF : Virtualised Network Function
Réseau
VNF : Virtualised Network Function, fonction réseau (pare-feu, routeur, équilibreur de charge, cœur de réseau mobile) exécutée comme logiciel sur des serveurs standard plutôt que dans un boîtier dédié. « Le boîtier réseau qui a perdu sa carrosserie mais gardé ses vulnérabilités », par analogie avec le standard téléphonique devenu application : plus de meuble à installer, toujours un numéro à protéger.
Principe : Le modèle NFV (Network Functions Virtualisation), lancé en 2012 sous l'égide de l'ETSI (European Telecommunications Standards Institute), exécute les VNF sur une infrastructure mutualisée, la NFVI, sous forme de machines virtuelles. Leur cycle de vie est piloté par la couche MANO, et en particulier par le VNFM (VNF Manager).
Chaînage : Plusieurs VNF s'enchaînent pour former un service réseau (service function chaining) : le trafic traverse par exemple un pare-feu, puis un système de détection d'intrusion, puis un routeur, tous virtuels, dans l'ordre défini par un graphe d'acheminement.
Performances : Une fonction qui traite des millions de paquets par seconde supporte mal la pile réseau d'un noyau généraliste. Les VNF exigeantes s'appuient sur DPDK, VPP ou SR-IOV, qui leur rendent la vitesse au prix d'une partie de la visibilité de l'hôte.
Et ensuite : Les CNF (Cloud-native Network Functions) reprennent l'idée en conteneurs, orchestrés par Kubernetes. Le vocabulaire change ; la question de savoir qui applique les correctifs, elle, reste identique.
Ce qui arrive si on s'en passe
Sans VNF, chaque fonction réseau reste un boîtier dédié : commande, livraison, installation en baie et câblage pour chaque nouveau pare-feu, et capacité figée jusqu'au prochain achat. Une VNF n'est pas plus sûre pour autant : c'est un logiciel, avec ses failles, ses dépendances et son cycle de correctifs, qui hérite en prime de ceux de l'hyperviseur et du système hôte. Une VNF absente de l'inventaire et de la veille de vulnérabilités reste en production avec des failles connues, et une évasion de machine virtuelle sur l'hôte expose toutes les fonctions qui y tournent. Chaque VNF doit figurer dans l'inventaire, suivre les correctifs comme n'importe quel serveur et être isolée selon son niveau d'exposition.
Explication de la marmotte
Autrefois, chaque fonction d'un réseau (pare-feu, routeur, répartiteur de charge) était un boîtier physique qu'il fallait acheter et brancher. Une VNF est la même fonction transformée en programme qui tourne sur un serveur ordinaire, comme une application. On peut en lancer une nouvelle en quelques minutes ou l'agrandir quand le trafic augmente. En contrepartie, c'est un logiciel comme un autre : il faut le mettre à jour régulièrement pour corriger ses failles.
Où ce terme est utilisé
- Virtualisation réseau, NFV et data planes ouverts (2 occurrences)