IoT 邊緣計算容器化部署與網路安全策略

– 17 分鐘閱讀

容器化技術已成為邊緣計算部署的主流方法，有效簡化應用程式部署和管理。Docker 提供了輕量級的容器引擎，方便開發者打包應用程式及其依賴項。Azure IoT Edge 則是一個完整的邊緣計算平臺，提供容器管理、安全性和雲端整合等功能。本文將深入探討如何利用 Docker 和 Azure IoT Edge 部署和管理容器化應用程式，並探討邊緣網路安全、路由和通訊等重要議題。邊緣裝置資源有限，容器化技術提供輕量級虛擬化，降低資源消耗。Azure IoT Edge 簡化了邊緣裝置的容器部署和管理，並提供與 Azure 雲端的無縫整合。理解容器映像的建立、部署流程以及 Azure IoT Edge 的架構對於構建穩健的 IoT 邊緣計算解決方案至關重要。

容器化技術

容器化是一種虛擬化底層硬體和服務的方法，類似於虛擬機器（VM）。然而，傳統的虛擬機器需要一個超級管理程式（hypervisor）來提供抽象層，而容器則不需要。容器的服務直接執行在作業系統層上。

容器架構

容器化的過程包括建立容器和在容器中執行應用程式。要了解容器的基本元素，需要定義兩個重要概念：

  • 容器（Container）：是一個容器映像的單一例項。多個例項可以在同一主機上存在。
  • 映像（Image）：是一組包含無狀態的檔案，定義了容器的套件或快照。

要了解容器架構，我們來探討Docker。Docker是一個用於建立和管理容器的工具，提供了一個免費版本Docker EE，用於基本服務。容器部署包括應用程式容器管理引擎和倉庫。

將應用程式繫結到容器映像時，需要將相關的依賴庫、執行檔、middleware和軟體元件包含在容器映像中，以確保它們在容器中可用。這個過程被稱為容器化。

Docker容器建立

在Docker中建立新容器相對簡單。首先，選擇一個基礎映像作為參考。Docker提供了許多基礎映像，包括不同作業系統和環境，如Fedora或Ubuntu。

接下來，建立一個Docker映像檔，定義如何建立映像。例如：

FROM ubuntu
RUN apt-get update
RUN apt-get install iostat -y
CMD ["/usr/bin/iostat"]

這個例子從Ubuntu基礎映像開始，使用apt-get工具安裝iostat工具，然後執行它。

容器部署

在構建Docker映像檔後，需要建立Docker映像。然後，可以使用以下命令在主機上部署和例項化映像：

docker run [options] [dockerID/image-name][command]

這個命令允許邊緣計算裝置或其他使用Docker的連線系統下載和執行新映像。這大大簡化了部署和開發任務，並允許使用連續整合和連續交付（CI/CD）等技術來開發邊緣裝置。

Microsoft Azure IoT Edge

Microsoft Azure IoT Edge是一個容器部署引擎和管理服務，執行在Windows或Linux邊緣計算裝置或裝置上。它提供了一個免費和開源的執行時環境、容器平臺（Docker）、相容容器管理和部署過程、雲介面API到Azure IoT Hub，以及佈署服務。許多常見的邊緣任務也被提供，例如離線或間歇性連線、快取和本地儲存資料、按需同步到雲、安全服務以實現端到端的威脅保護和姿勢管理，以及過濾/去自然化資料之前將結果傳送到雲進行歸檔或分析。

Azure IoT Edge的一般要求包括：

圖表翻譯：

  graph LR
    A[容器化] --> B[容器映像]
    B --> C[容器例項]
    C --> D[應用程式]
    D --> E[依賴庫]
    E --> F[執行檔]
    F --> G[Middleware]
    G --> H[軟體元件]
    H --> I[容器化]
    I --> J[部署]
    J --> K[執行]

這個圖表描述了容器化的過程，從容器映像到容器例項、應用程式、依賴庫、執行檔、middleware、軟體元件，最終到容器化、部署和執行。

Azure IoT Edge 架構概覽

Azure IoT Edge 是一個強大的平臺，允許開發人員將 IoT 解決方案部署到邊緣裝置上。要使用 Azure IoT Edge，需要滿足一些基本要求，包括：

  1. 邊緣計算機：需要一臺 x64、AMD64、ARM32v7 或 ARM64 的邊緣計算機。
  2. 邊緣作業系統：需要 Linux 或 Windows 作為邊緣作業系統。
  3. 容器執行時：需要一個相容 OCI 的容器執行時，例如 Moby 基礎引擎。
  4. 資源：需要足夠的資源來執行工作負載和使用案例，包括儲存空間、RAM 和處理能力。
  5. 上游 TCP/IP WAN 介面：需要一個上游 TCP/IP WAN 介面來連線到 Azure IoT Hub，使用 MQTT 或 AMQP 通訊協定。

如果滿足這些基本要求，Azure IoT Edge 執行時和容器管理器就可以正常工作。

Azure IoT Edge 架構

Azure IoT Edge 的架構包括以下幾個元件：

  1. 邊緣裝置：邊緣裝置是 Azure IoT Edge 的核心，負責執行 Azure IoT Edge 執行時和容器管理器。
  2. Azure IoT Edge 執行時：Azure IoT Edge 執行時是一個輕量級的服務，負責管理模組安裝、安全性、健康監控和所有通訊。
  3. IoT Edge Hub：IoT Edge Hub 是 Azure IoT Edge 的核心元件，負責管理通訊和作為 Azure IoT Hub 的代理。
  4. IoT Edge Agent：IoT Edge Agent 負責管理模組，包括模組安裝、更新和刪除。

模組管理

Azure IoT Edge 使用模組來管理不同的功能和服務。模組可以是容器化的應用程式或服務，負責執行特定的任務。Azure IoT Edge 提供了一個模組管理系統，允許開發人員輕鬆地安裝、更新和刪除模組。

路由規則

Azure IoT Edge 提供了一個路由規則系統，允許開發人員定義模組之間的通訊規則。路由規則可以根據不同的條件進行過濾和轉發，例如根據訊息的內容或來源。

圖表翻譯：

此圖表展示了 Azure IoT Edge 的架構，包括邊緣裝置、Azure IoT Edge 執行時、IoT Edge Hub、IoT Edge Agent、模組管理和路由規則。邊緣裝置是 Azure IoT Edge 的核心，負責執行 Azure IoT Edge 執行時和容器管理器。Azure IoT Edge 執行時是一個輕量級的服務，負責管理模組安裝、安全性、健康監控和所有通訊。IoT Edge Hub 是 Azure IoT Edge 的核心元件，負責管理通訊和作為 Azure IoT Hub 的代理。IoT Edge Agent 負責管理模組，包括模組安裝、更新和刪除。模組管理允許開發人員輕鬆地安裝、更新和刪除模組。路由規則允許開發人員定義模組之間的通訊規則。

Edge Computing 的 IoT Edge 模組配置

在 Edge Computing 中，IoT Edge 模組的配置是一個非常重要的步驟。下面是一個範例配置檔案，展示瞭如何設定 IoT Edge 模組：

{
  "ContosoRegistry": {
    "username": "testaccount",
    "password": "<password>"
  }
}

這個配置檔案定義了 ContosoRegistry 的使用者名稱和密碼。

EdgeHub 和 EdgeAgent 的設定

IoT Edge 模組的配置檔案還需要包含 edgeHub 和 edgeAgent 的設定。edgeHub 定義了路由和 IoT Edge Hub 的屬性，而 edgeAgent 列出了模組的 URI 和憑證：

"systemModules": {
  "edgeAgent": {
    "type": "docker",
    "settings": {
      "createOptions": ""
    }
  },
  "$edgeHub": {
    "properties.desired": {
      "type": "docker",
      "status": "running",
      "restartPolicy": "always",
      "settings": {
        "createOptions": ""
      },
      "routes": {
        "route1": "FROM <source> WHERE <condition> INTO <sink>",
        "route2": "FROM <source> WHERE <condition> INTO <sink>"
      }
    }
  }
}

模組的設定

模組的設定是定義每個模組的屬性，例如版本、型別、狀態和重新啟動策略：

"modules": {
  "Sensor": {
    "version": "1.0",
    "type": "docker",
    "status": "running",
    "restartPolicy": "always"
  }
}

內容解密：

上述配置檔案展示瞭如何設定 IoT Edge 模組的基本屬性和路由規則。edgeHub 和 edgeAgent 的設定是 IoT Edge 模組的核心部分，負責管理模組的生命週期和通訊。模組的設定則定義了每個模組的屬性和行為。

圖表翻譯：

  graph LR
    A[IoT Edge 模組] -->|設定|> B[EdgeHub]
    B -->|路由規則|> C[模組]
    C -->|屬性|> D[模組設定]
    D -->|版本|> E[1.0]
    D -->|型別|> F[Docker]
    D -->|狀態|> G[Running]
    D -->|重新啟動策略|> H[Always]

上述圖表展示了 IoT Edge 模組的設定流程和模組的屬性。

邊緣計算的力量

邊緣計算是一種強大的概念，允許某些服務和功能在邊緣裝置上執行，而不需要將資料傳送到雲端。這包括部署和使用 Azure Functions、使用 Azure 的 Stream Analytics 系統、使用 Azure 的機器學習子系統等。

邊緣計算的應用案例

邊緣計算提供了將處理更接近資料來源的能力。傳統的應用案例包括使用 MEMs 感測器、熱感測器和 PIR 動作感測器等來測量環境的特徵。然而，新的應用案例也在出現，例如環境感知系統和自然計算。

環境計算

環境計算是一種新的計算模式，將計算融入環境中。它不需要使用者與計算機進行明確的互動，而是透過環境本身來進行互動。這種模式需要計算機能夠感知和響應環境的變化。

邊緣計算的核心

邊緣計算是環境計算的核心。它需要計算機能夠收集和分析環境中的資料，並根據需要進行響應。這種計算模式需要計算機能夠與環境中的物體和裝置進行互動，並能夠提供無縫的使用體驗。

邊緣計算的挑戰

邊緣計算的挑戰在於如何設計計算機能夠與環境中的物體和裝置進行互動，而不需要明確的使用者互動。這需要計算機能夠感知和響應環境的變化，並能夠提供無縫的使用體驗。

程式碼範例

import numpy as np

# 定義環境感知系統的感測器資料
sensors_data = np.array([1, 2, 3, 4, 5])

# 定義環境感知系統的響應函式
def response_function(data):
    # 對感測器資料進行分析和處理
    processed_data = np.mean(data)
    return processed_data

# 對感測器資料進行響應
response = response_function(sensors_data)
print(response)

圖表翻譯

  graph LR
    A[感測器資料] --> B[環境感知系統]
    B --> C[響應函式]
    C --> D[響應結果]

這個圖表展示了環境感知系統的工作流程，從感測器資料到響應結果。它表明了環境感知系統如何能夠收集和分析感測器資料，並根據需要進行響應。

邊緣計算與感知技術

邊緣計算是一種新的計算模式，它將計算任務從雲端遷移到裝置的邊緣，減少了與雲端的通訊延遲和提高了實時性。這種技術在各個領域都有廣泛的應用，包括智慧家居、工業自動化、醫療保健等。

合成感知技術

合成感知是一種新的感知技術，它使用多種感知器來收集環境的資料，然後使用機器學習演算法來分析這些資料，從而得出環境的狀態。這種技術可以用於智慧家居、工業自動化等領域。

例如，合成感知技術可以用於智慧家居中，來檢測家中的溫度、濕度、光照等環境引數。它可以使用多種感知器，例如溫度感知器、濕度感知器、光照感知器等，來收集環境的資料。然後，使用機器學習演算法來分析這些資料，從而得出家中的環境狀態。

邊緣計算裝置

邊緣計算裝置是一種特殊的計算裝置，它可以在邊緣位置進行計算任務。這種裝置通常具有低延遲、低功耗、低成本等特點。它可以用於智慧家居、工業自動化等領域。

例如，邊緣計算裝置可以用於智慧家居中，來控制家中的智慧裝置。它可以使用多種感知器，例如溫度感知器、濕度感知器、光照感知器等，來收集環境的資料。然後，使用機器學習演算法來分析這些資料，從而得出家中的環境狀態。

合成感知技術的優點

合成感知技術具有以下優點：

  • 低延遲：合成感知技術可以在邊緣位置進行計算任務，減少了與雲端的通訊延遲。
  • 低功耗：合成感知技術可以使用低功耗的計算裝置，減少了能耗。
  • 低成本：合成感知技術可以使用低成本的計算裝置，減少了成本。
圖表翻譯：

這個圖表展示了合成感知技術的流程。首先，收集環境的資料。然後，分析這些資料。接著，得出環境的狀態。最後，控制智慧裝置。

import numpy as np

# 收集資料
def collect_data():
    # 使用多種感知器來收集環境的資料
    temperature = np.random.rand()
    humidity = np.random.rand()
    light = np.random.rand()
    return temperature, humidity, light

# 分析資料
def analyze_data(temperature, humidity, light):
    # 使用機器學習演算法來分析這些資料
    # ...
    return environment_state

# 得出環境狀態
def get_environment_state(temperature, humidity, light):
    # 使用分析的結果來得出環境的狀態
    # ...
    return environment_state

# 控制智慧裝置
def control_device(environment_state):
    # 使用環境的狀態來控制智慧裝置
    # ...
    return None

# 主函式
def main():
    temperature, humidity, light = collect_data()
    environment_state = analyze_data(temperature, humidity, light)
    control_device(environment_state)
    return None

main()

內容解密：

這個程式碼展示了合成感知技術的實現。首先，收集環境的資料。然後，分析這些資料。接著，得出環境的狀態。最後，控制智慧裝置。這個程式碼使用了 NumPy 來進行資料分析。

邊緣路由和網路

邊緣路由和網路是物聯網（IoT）中的重要組成部分，負責聚合來自感測器和個人區域網路（PAN）的資料，並與雲端源透過網際網路進行通訊。IoT裝置需要某種形式的網際網路通訊，但往往由於資源限制（例如缺乏TCP/IP網路硬體和軟體），無法直接訪問網際網路，因此需要邊緣計算和路由來協助資料移動。

路由功能

路由是指在多個客戶端和網路之間引導資料的過程。路由是一個層三功能，使用IP地址層來引導資料包的移動。路由器使用路由表來引導資料流動，路由表用於找到與資料包目的IP地址最匹配的路由。

路由演算法

有幾種已經證實的路由演算法，包括：

  • 動態路由：演算法對網路和拓撲結構的變化做出反應，透過路由協議在定時間隔或觸發更新時共享網路狀態資訊。
  • 靜態路由：對於小型網路，需要在路由器之間配置特定的路由路徑。靜態路由是非適應性的，因此無需掃描拓撲結構或更新指標。

路由協議

典型的邊緣路由器支援多種路由協議，包括：

  • 邊界閘道器協議（BGP）：BGP-4是網際網路域路由協議的標準，使用距離向量動態路由演算法，廣告整個路由路徑。
  • 開放式最短路徑優先（OSPF）：OSPF是一種鏈路狀態演算法，支援IPv4和IPv6，使用IP包，具有網路擴充套件和收斂優勢。
  • 路由資訊協議（RIP）：RIP是一種距離向量路由演算法，根據跳數，使用內部閘道器協議，支援IPv4流量。
  • RIP下一代（RIPng）：RIPng支援IPv6流量和IPsec身份驗證。

路由表

路由表是一個包含最佳已知距離到每個目的地的表格，表格由路由器維護。路由表包含每個路由器在子網中的條目，每個條目包含首選路由/路徑和估計距離到目的地。

收斂時間

收斂時間是指所有路由器在網路中共享相同的拓撲資訊和狀態的時間。收斂時間是路由協議的重要指標，影響網路的穩定性和效能。

網路路由表分析

在網路通訊中，路由表（Routing Table）扮演著至關重要的角色，它負責將資料包導向正確的目的地。下面是一個實際的路由表範例，讓我們一步一步地分析它的內容。

路由表結構

路由表通常由多個欄位組成，包括：

  • Destination：目標網路或主機的IP地址。
  • Gateway：資料包要經過的閘道器（Gateway）的IP地址。
  • Device：資料包要經過的網路介面（Device）。
  • UID：用於識別路由的唯一識別符號（UID）。
  • Flags：路由的旗標（Flags），用於描述路由的屬性。
  • Metric：路由的度量（Metric），用於描述路由的成本或優先順序。
  • Type：路由的型別（Type），例如unicast、blackhole等。

路由表內容分析

給定的路由表分為兩個部分：wan和main。

wan表

  • default：預設路由，所有不匹配其他路由的資料包都會被送往這個路由。Gateway為96.19.152.1，Device為wan，Metric為0，表示這是一條高優先順序的路由。
  • unicast：路由型別為unicast，表示這是一條單播路由。

main表

  • 96.19.152.0/21：這是一條直接連線的路由，Destination為96.19.152.0/21，Device為wan，Metric為0。這表示這個網路直接連線到本機的wan介面。
  • 172.86.160.0/20：這是一條路由，Destination為172.86.160.0/20，Device為iface:cloud-edge1，Metric為0。這表示這個網路可以透過cloud-edge1介面到達。
  • 172.86.160.0/20：這是一條blackhole路由，Destination為172.86.160.0/20，Metric為256。這表示任何送往這個網路的資料包都會被丟棄。
  • 192.168.1.0/24：這是一條路由，Destination為192.168.1.0/24，Device為primarylan，Metric為0。這表示這個網路可以透過primarylan介面到達。
  • 2001:470:813b::/48：這是一條路由，Destination為2001:470:813b::/48，Device為iface:cloud-edge1，Metric為256。這表示這個網路可以透過cloud-edge1介面到達。
  • fe80::/64：這是一條路由，Destination為fe80::/64，Device為lan，Metric為256。這表示這個網路可以透過lan介面到達。
內容解密：

路由表的設計和配置對於網路的效能和安全性有著重要的影響。一個良好的路由表設計可以確保資料包的快速和可靠傳遞，而一個糟糕的設計可能會導致網路擁塞和安全漏洞。因此，網路管理員需要仔細設計和配置路由表，以確保網路的最佳效能和安全性。

  graph LR
    A[路由表] --> B[路由查詢]
    B --> C[資料包轉發]
    C --> D[網路介面]
    D --> E[目的地網路]
    E --> F[資料包接收]

圖表翻譯：

這個Mermaid圖表展示了路由表的工作流程。首先，路由表接收到路由查詢的請求，然後查詢路由表以確定資料包的下一跳。接下來，資料包被轉發到相應的網路介面，然後透過網路介面到達目的地網路。最後，資料包被目的地網路接收。這個圖表簡單地展示了路由表在網路通訊中的重要角色。

網路路由和轉換技術

在網路通訊中，路由和轉換技術扮演著重要的角色。路由表是一種特殊的表格，內容包括目的地網路位址、閘道器位址、裝置識別碼、旗標、度量值和型別等資訊。這些資訊有助於網路裝置確定如何將封包轉發到目的地。

路由表結構

路由表通常包含以下欄位：

  • 目的地（Destination）：指定封包的目的地網路位址，可以是完整或部分的IP位址。
  • 閘道器（Gateway）：指定封包的下一跳位址，如果是直接路由，則為空。
  • 裝置識別碼（Device UID）：是一個字母數字組合的識別碼，指定封包的傳送介面。
  • 旗標（Flags）：用於診斷和表示路由狀態的旗標。
  • 度量值（Metric）：表示到達目的地的距離，通常由跳數計算。
  • 型別（Type）：路由型別，例如unicast、unreachable、blackhole、prohibit、local、broadcast等。

路由型別

路由型別決定了封包的處理方式：

  • unicast：封包傳送到單一目的地。
  • unreachable：目的地不可達，封包被丟棄並生成ICMP錯誤訊息。
  • blackhole：目的地不可達，封包被丟棄，不生成ICMP錯誤訊息。
  • prohibit：目的地不可達，封包被丟棄並生成ICMP錯誤訊息。
  • local：封包被送回本地主機。
  • broadcast：封包被廣播到所有目的地。

PAN-to-WAN橋接

PAN-to-WAN橋接是一種重要的技術，負責將非IP通訊協議轉換為IP基礎的WAN網路。這個過程涉及多個硬體元件、無線電、裝置驅動程式和通訊協議堆疊。

案例研究

一個典型的PAN-to-WAN橋接案例是使用Telit蜂窩NB-IoT模組，該模組透過高速度USB介面與邊緣計算機通訊。RNDIS協議被用來將乙太網框架傳輸過USB連結。邊緣控制應用程式負責設定、繫結和網路介面，並控制規則引擎和邏輯，以決定哪些封包應該從PAN傳播到WAN。

IoT 邊緣路由和網路

在 IoT 專案中，邊緣路由和網路發揮著關鍵作用。邊緣路由器需要支援多種網路介面，包括有線和無線連線，以便與各種 IoT 裝置進行通訊。同時，邊緣路由器還需要具備強大的路由和網路管理能力，以確保資料的可靠傳輸和安全性。

SIM 卡和 SIM-on-chip 技術

在 IoT 專案中，SIM 卡和 SIM-on-chip 技術被廣泛使用。傳統的 SIM 卡可以插入到 PCB 板中，而 SIM-on-chip 技術則是將 SIM 卡功能整合到晶片中，從而提高了裝置的可靠性和安全性。例如，Telit HE910 支援 SIM-on-chip 技術，該技術可以永久地將 SIM 卡功能整合到裝置中。

AT 命令和通訊會話

AT 命令是用於控制和配置調變解調器的指令集。在 IoT 專案中，AT 命令被用於建立和管理通訊會話。例如，使用 Telit HE910 的 AT 命令可以建立一個 TCP/UDP 連線。以下是使用 AT 命令建立一個通訊會話的例子：

  sequenceDiagram
    participant Edge Computer
    participant Telit HE910
    Edge Computer->>Telit HE910: AT#SD=3,0,80,"host name"
    Telit HE910->>Edge Computer: CONNECT
    Edge Computer->>Telit HE910: [data]
    Telit HE910->>Edge Computer: +++
    Telit HE910->>Edge Computer: OK

故障轉移和帶外管理

故障轉移和帶外管理是 IoT 專案中兩個重要的功能。故障轉移是指當主網路介面失去連線時，自動切換到備用網路介面。帶外管理是指使用一個獨立的通道來管理和監控裝置，即使裝置的主系統已經失去連線。

  flowchart TD
    A[主網路介面] -->|失去連線|> B[故障轉移]
    B --> C[備用網路介面]
    C --> D[帶外管理]
    D --> E[管理和監控]

圖表翻譯：

上述圖表展示了故障轉移和帶外管理的過程。當主網路介面失去連線時，系統會自動切換到備用網路介面。同時，系統還會使用一個獨立的通道來管理和監控裝置。

網路安全與IoT架構

在建構IoT架構時，網路安全是一個非常重要的考量。其中，出帶管理（OOBM）是一種允許管理員在不依賴被監控系統的情況下進行管理的機制。這對於IoT裝置尤其重要，因為它們通常位於邊緣網路，可能難以接觸。

OOBM的重要性

OOBM允許管理員在裝置無法正常運作或被攻擊時仍能夠進行管理和維護。這包括重置裝置、停止惡意程式攻擊和重新程式設計裝置等功能。OOBM需要與被監控系統隔離，以確保即使系統故障或被攻擊，管理員仍能夠進行管理。

從產業生態圈的動態變化來看，容器化技術正推動邊緣計算的快速發展，尤其在物聯網領域。本文深入探討了從容器架構、部署到Azure IoT Edge的應用，以及邊緣路由、網路安全等關鍵環節。分析顯示，邊緣計算的低延遲和本地處理能力有效提升了IoT裝置的效率，但同時也面臨網路安全和裝置管理的挑戰。諸如OOBM等技術的整合至關重要，它能有效提升系統韌性並降低安全風險。展望未來，隨著5G和AI技術的融合，邊緣計算將在更多場景下釋放更大的商業價值，預計將催生更多創新的應用模式。對於希望利用邊緣計算優勢的企業，建議優先關注安全性和可管理性，並積極探索與現有系統的整合方案，才能最大化其投資回報。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。