0HAL编号：tel-021868750https://theses.hal.science/tel-021868750提交日期：2019年7月17日0HAL是一个多学科开放获取的存储库，用于存放和传播科学研究文献，无论其是否发表。这些文献可能来自法国或国外的教育和研究机构，也可能来自公共或私人研究中心。0L'archive ouverte pluridisciplinaireHAL旨在存储和传播法国或国外的教育和研究机构、公共或私人实验室发表或未发表的研究级科学文献。0在NFV和SDN时代迈向软件定义安全0Montida Pattaranantakul0引用此版本：0MontidaPattaranantakul。在NFV和SDN时代迈向软件定义安全。密码学与安全[cs.CR]。巴黎-萨克莱大学，2019年。英文。NNT：2019SACLL009。tel-021868750我的亲爱的家人们...0致谢 0没有许多人在我研究生生活中的帮助、支持、建议和指导，我是无法完成这篇论文的。其中一些人意外地来到我们的生活中给予教训，而其他人则有意地给予我们祝福、启发、鼓励，甚至分享一些如何更冷静地应对问题、减轻日常生活中的压力的想法。我要由衷地感谢他们。 The completion of this thesis would have not been possible without the help, support, adviceand guidance I have received from many people in my graduate life. Some of them have unex-pectedly come to our live to give lessons, while others intentionally come to give us blessing,inspiring, encouraging, or even sharing some ideas on how to deal with the problems morecalmly and reduce the stress in everyday life. I would like to extend my sincere appreciation toall of them from very deep inside.0致谢0首先，我要对我的导师张宗华教授表示衷心的感谢，感谢他给了我这个伟大的机会，引领我走进了网络功能虚拟化（NFV）和软件定义网络（SDN）的殿堂。多年来，他的指导、热情、广博的知识、持续的支持、激励和批判性的反馈对我的论文和职业发展做出了巨大贡献。没有他的帮助，很难在发表高质量的论文和开发重要思想的过程中取得成功。他对研究的热情和严谨的研究方法对我产生了巨大影响。0我还要非常感谢我的合作导师AhmedMeddahi教授在我的论文期间给予的持续指导和支持。非常感谢您的时间和奉献精神，您的评论总是恰当而直接。同时，非常感谢您在我论文的各个阶段为我提供的行政和研究工作的帮助和建议。我很感激有机会与您合作。我还要非常感谢T´el´ecom SudParis的AbdallahM'Hamed教授，帮助我联系行政人员并在我博士注册的早期阶段完成行政工作。非常感谢您在我需要帮助时的及时回应和全力支持。0我还要感谢Frédéric Cuppens教授和YoukiKadobayashi教授同意担任我的论文评审人，并提供有见地的评论。我特别感谢评审委员会成员Nora Cuppens教授、Michaël Hauspie教授、Houda Labiod教授和MarylineLaurent教授，感谢他们同意成为论文委员会的一部分并评估我的工作。0特别感谢阮赫博士，他被认为是NFV项目的关键推动者，提供研究经费并在开发安全编排器方面给予我指导。他的奉献精神和专业精神给了我启发。此外，他从行业的角度分享的宝贵经验和反馈，使我对NFV/SDN行业研究路线有了全面的了解，并认识到NFV中的安全问题至关重要。0我要感谢宋启鹏博士和曾宇佳博士，感谢你们在研究工作中所付出的时间和努力，包括正式和非正式的讨论、头脑风暴，甚至关于开发和实施想法的逐步指导。0ii0我要感谢IMTLille和SAMOVAR实验室的所有员工，处理我在学习期间与居留许可、证明、任务等相关的所有问题。没有你们的友善支持，完成这些任务肯定是困难的。0我要感谢学校外许多善良的人，在这段奇妙的旅程中以各种方式支持我。首先，我要深深感谢我的研究机构——泰国国家电子与计算机技术中心（NECTEC），它是泰国国家科学与技术发展局（NSTDA）的成员，为我提供了在法国攻读硕士和博士学位的全额奖学金。其次，我要衷心感谢Saran Sumriddetchkajorn博士（2014年至2018年NECTEC执行董事）和ChaleeVorakulpipat博士（NECTEC网络安全实验室主任），感谢你们给予我深入了解NFV和SDN等新型网络范式的知识、技能和研究能力的机会。非常感谢你们定期跟进我的研究进展并提前给予我建议。第三，我要感谢法国教育参赞PanidaRojrattanachai女士、法国教育高级官员NareenushKaopaibool女士和NSTDA泰国教育高级官员SomchaiInjorhor先生多年来的大力支持，例如协助处理与当地法律法规相关的所有服务，为健康保健、居留许可、住宿、报销、个人问题等提供一些建议。感谢你们让我在法国的生活减少了压力。第四，我真诚地感谢我的朋友Weerapan Sae-dan、Paul Tamoyo-Serrano、NapeesahBing、Soepuroe Hayeechepute、Amran Vani、SiripornSaiburee和其他NECTEC的朋友，你们更像是我的兄弟。非常感谢你们一直倾听我的问题，支持和鼓励我。你们真的是我的福音。0我要衷心感谢我最亲爱的家人。没有你们关心和支持的爱，我无法想象生活。你们是我感恩和感到幸福的原因。言语无法表达我对父母深深和真挚的感激之情。非常感谢你们的关心和爱，每当我在深夜醒来时为我祈祷，祈求我在所有崇高的事业中克服一切障碍并取得成功。非常感谢我亲爱的祖母和祖父，Hajah Sarome和Al-Marhum Wan-DaniWantalabe，教会我努力工作和坚持不懈的价值观。我很幸运你们在我身上培养了这种永不放弃的态度，这种态度一直帮助我在生活中取得成功。我还要向所有其他家庭成员表示衷心的感激。最后，我要感谢我的男朋友AttasitPoomkleang和他的家人关心我，并始终为我祈祷。特别感谢我的男朋友，无论我感到快乐还是悲伤，他总是在我身边。我无法感谢你足够的是，你一直在那里，鼓励我追随我的梦想，并支持我每一步。iii0摘要0网络功能虚拟化（NFV）以及软件定义网络（SDN）推动了网络基础设施设计、部署和管理方面的新变革。它们两者都基于软件方法，但在网络的不同层级上运行。特别是，NFV有潜力显著降低硬件成本，极大提高运营效率，并大幅缩短网络服务的开发生命周期。它还使网络服务和功能更加适应和可扩展，以满足用户需求的快速增长和变化。然而，尽管这些优势被广泛认可，安全性仍然是一个重要的关注点和潜在障碍。一方面，NFV和SDN如何从根本上影响网络防御的格局以及如何改善安全管理尚不清楚。另一方面，新的安全威胁和漏洞将不可避免地引入，可能导致虚拟化环境中攻击面更广、防御线条更模糊。本论文旨在探讨虚拟化和软件定义世界中的安全问题，并从两个重要的假设出发：（1）SDN和NFV为我们在新的网络范式中重新思考安全管理提供了很多机会；（2）在NFV/SDN环境中，传统和新的安全威胁和漏洞需要得到充分解决，以为它们的进一步发展和部署铺平道路。为了验证这些假设，我们从安全的角度对NFV/SDN进行了深入研究，包括其架构、管理和编排（MANO）框架以及使用案例，从而得出两个主要贡献：（1）基于NFVMANO的安全管理和编排框架（称为SecMANO），它有潜力管理一组基于策略的安全机制，如访问控制、IDS/IPS、网络隔离、数据保护；（2）对五个NFV使用案例和最新的安全对策进行了全面的威胁分析，从而得出了一个NFV层特定的威胁分类和一套保护NFV基于服务的安全建议。我们相信这两个贡献为NFV/SDN领域的安全研究奠定了基础。特别是基于这两个贡献，我们进一步开发了一个安全编排器，作为现有NFV编排器的扩展，旨在使基本的安全功能能够有效地编排并作为按需服务提供给客户，同时允许以动态和灵活的方式指定和执行高级安全策略。具体而言，我们使用Tacker（一种使用TOSCA模型进行NFV编排的OpenStack服务）实现了一个软件定义的访问控制范式，允许安全管理员动态定制不同租户域的访问控制模型和策略，最终实现跨不同层级和多个云数据中心的灵活和可扩展的保护。我们进行了概念验证和测试平台上的实际实验，清楚地证明了我们的安全编排器的可行性和有效性。0此外，正如我们的NFV跨层威胁分类所示，将引入大量新的威胁，其中虚拟化网络功能（VNF）是一个独特且重要的资产，值得仔细保护。因此，本论文的第四个贡献致力于在NFV和SDN环境中实现安全可靠的服务功能链（SFC）。具体而言，设计并应用了一种基于身份的有序多重签名方案，称为SecSFC，以确保：（1）参与特定服务链的每个服务功能都经过身份验证且合法；（2）所有服务功能以一致、最优和可靠的方式进行链式连接，符合预定义的高级策略规范，如VNF转发图。理论安全分析和实验结果都表明，我们的方案可以有效地抵御大量破坏性攻击，如规则修改和拓扑篡改，为实现安全可靠的SFC迈出了重要一步。重要的是，签名构造和验证过程轻量级，生成紧凑且恒定大小的密钥和签名，因此只产生最小的计算开销和延迟。0iv0摘要0可编程网络（SDN）与网络功能虚拟化（NFV）相结合，引领了网络领域的新范式，特别是在网络服务的设计、部署和管理方面。SDN和NFV网络主要依赖于面向软件的技术，并在不同的网络层次上运行。网络虚拟化可以显著降低硬件成本，改善维护操作，并缩短网络服务的开发和部署周期。虚拟化带来的网络功能的动态性使得部署的网络服务能够更好地适应和演进，并因此使运营商能够更快地响应用户的快速增长和变化需求。SDN/NFV网络因此有助于实现网络的更高度自动化。然而，在SDN和NFV环境中，安全性是一个重要的挑战和问题，必须在设计和大规模部署这些网络时予以充分考虑和研究。在这种背景下，有必要评估NFV和SDN技术对网络安全的影响，以及它们在软件化环境中保证和管理安全性的能力。此外，在这些虚拟化环境中，必然引入了新的威胁和漏洞类型，这可能导致更广泛的攻击面和更复杂的对策实施。本论文旨在研究软件化和虚拟化网络环境中的安全性漏洞，提出特定的模型和机制，以改善这些关键环境的安全性。我们考虑以下两个假设：（1）SDN和NFV网络引入的范式变化使得在安全管理方面可以开发新的方法；（2）在NFV/SDN环境中，必须全面考虑所有威胁和漏洞，特别是在大规模开发和部署中。为此，在第一部分中，我们提出了对SDN/NFV架构和协议以及这些环境中的网络功能管理和编排（MANO架构）进行了详细和全面的安全性研究。我们提供了几个用例或场景作为示例。这项研究工作产生了两个重要贡献：（1）一种完整的安全管理和编排架构（称为SecMANO），基于NFVMANO。SecMANO可以管理一组服务功能和基于一组规则的安全机制（访问控制、IDS/IPS、隔离、保护）；（2）在NFV背景下，通过五个特定用例的详细分析，提出了对威胁和漏洞的全面分析，并提供了一套完整的分类（分类法）以及相关的建议，以提高NFV服务的安全性。0vvi0我们认为这两个贡献为NFV/SDN网络安全领域的研究开辟了有趣的前景。第一项研究使我们提出了第三个贡献，即在虚拟化环境中为安全功能提供新的编排架构。这个安全编排器被设计和开发为现有编排器的扩展模块。其目标是实现动态、灵活、按需的部署以及对基本安全服务的高效编排。此外，该架构还根据用户在高级别（安全策略）上指定的安全策略，动态地应用和执行安全策略。更具体地说，我们原型化、实施和测试了一种基于高级语言的访问控制机制，该机制基于“Tacker”堆栈（一种使用TOSCA数据模型的OpenStackNFV编排器服务），可以为不同的竞争用户领域个性化和动态地调整访问控制模型和策略。在大规模、多运营商和多云环境中，这些独立的安全领域仍然可能受到保护和隔离。原型和在实际条件下进行的实验表明了所提出方法的可行性和有效性。第一部分提出的研究和分类，通过“跨层”方法，揭示了新的威胁和漏洞类型，并证明在这些软件化、虚拟化的环境中，安全性是关键因素。第四个贡献（SecureSFC或SecSFC）旨在保护和增强NFV/SDN环境中服务功能（Service Function Chaining -SFC）的组合和链接。SecureSFC基于“基于身份的有序多签名”机制，以确保以下属性：（1）与特定服务功能链相关联的每个服务功能的身份验证；（2）与特定组合或链接的服务功能（“VNF forwardinggraph”）相关联的所有服务功能的一致性和顺序。所提出的“SecSFC”模型的理论分析和实验结果表明了该方法的弹性特征，特别是在面对一些特定攻击（例如规则或拓扑修改）时，其处理时间和延迟是有限的。在SFC安全领域，“SecSFC”是一个重要的里程碑。ContentsAcknowledgmentsiAbstractiiiR´esum´ev1Introduction11.1Background and Challenges. . . . . . . . . . . . . . . . . . . . . . . . . . .21.2Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .41.3Outline of dissertation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .52Security Management and Orchestration in NFV72.1SDN and NFV Driven New Networking Paradigms . . . . . . . . . . . . . . .72.1.1Issues with traditional networking model. . . . . . . . . . . . . . . .82.1.2Principles of NFV and SDN . . . . . . . . . . . . . . . . . . . . . . .92.1.3Major advantages of NFV and SDN . . . . . . . . . . . . . . . . . . .112.1.4The role of SDN in NFV . . . . . . . . . . . . . . . . . . . . . . . . .122.2NFV Architectural Framework . . . . . . . . . . . . . . . . . . . . . . . . . .142.2.1NFV Infrastructure (NFVI) . . . . . . . . . . . . . . . . . . . . . . . .152.2.2Virtual Network Functions (VNFs). . . . . . . . . . . . . . . . . . .152.2.3NFV Management and Orchestration (NFV MANO) . . . . . . . . . .162.3Analysis on the Existing NFV MANO Frameworks . . . . . . . . . . . . . . .162.3.1OpenMANO . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .172.3.2Cloudify orchestration . . . . . . . . . . . . . . . . . . . . . . . . . .182.3.3Tacker - OpenStack NFV Orchestration . . . . . . . . . . . . . . . . .212.3.4OpenBaton orchestration . . . . . . . . . . . . . . . . . . . . . . . . .232.3.5Comparative studies. . . . . . . . . . . . . . . . . . . . . . . . . . .252.4SecMANO: An Extension of NFV MANO for Security Management . . . . . .262.4.1High-level features . . . . . . . . . . . . . . . . . . . . . . . . . . . .272.4.2The conceptual design framework of SecMANO. . . . . . . . . . . .282.4.3Discussions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .302.5Concluding Remarks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .32vii3Security in NFV353.1Background . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .353.2Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .363.3Use Case Driven Threat Analysis . . . . . . . . . . . . . . . . . . . . . . . . .373.3.1Use case 1: NFV Infrastructure as a Service (NFVIaaS). . . . . . . .373.3.2Use case 2: Virtual Network Platform as a Service (VNPaaS) . . . . . .423.3.3Use case 3: Virtual Network Function as a Service (VNFaaS). . . . .443.3.4Use case 4: Virtualization of Mobile Core Network and Mobile BaseStation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .473.3.5Use case 5: Fixed Access Network Functions Virtualization. . . . . .493.4NFV Layer Specific Threat Taxonomy . . . . . . . . . . . . . . . . . . . . . .513.5Security Mechanisms: Comparative Studies . . . . . . . . . . . . . . . . . . .523.5.1Identity and Access Management (IAM) . . . . . . . . . . . . . . . . .533.5.2Intrusion Detection and Prevention (IDS/IPS) . . . . . . . . . . . . . .573.5.3Network isolation . . . . . . . . . . . . . . . . . . . . . . . . . . . . .623.5.4Data protection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .673.6State-of-the-art Security Countermeasures . . . . . . . . . . . . . . . . . . . .713.6.1NFV Infrastructure layer . . . . . . . . . . . . . . . . . . . . . . . . .723.6.2Virtualized Network Functions (VNF) layer . . . . . . . . . . . . . . .743.6.3NFV MANO layer . . . . . . . . . . . . . . . . . . . . . . . . . . . .753.7Conclusion. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .784Security Orchestrator for Achieving Software-Defined Access Control814.1Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .814.2Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .824.3Related work. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .834.4Design Motivation and Challenges . . . . . . . . . . . . . . . . . . . . . . . .854.5Security Orchestrator . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .864.5.1TOSCA model and its extension . . . . . . . . . . . . . . . . . . . . .864.5.2Design architecture and major components. . . . . . . . . . . . . . .884.6Access Control Engine . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .904.6.1Access control framework . . . . . . . . . . . . . . . . . . . . . . . .904.6.2Tenant-specific access control paradigm . . . . . . . . . . . . . . . . .914.6.3Use case. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .924.7Proof of Concept Validation. . . . . . . . . . . . . . . . . . . . . . . . . . .944.7.1Prototype development and implementation . . . . . . . . . . . . . . .944.7.2Feasibility studies. . . . . . . . . . . . . . . . . . . . . . . . . . . .954.8Performance Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .954.8.1Experiment settings . . . . . . . . . . . . . . . . . . . . . . . . . . . .954.8.2Results and analysis. . . . . . . . . . . . . . . . . . . . . . . . . . .964.9Conclusion and Future Work . . . . . . . . . . . . . . . . . . . . . . . . . . . 1005Towards Secure and Dependable Service Function Chaining (SFC)1035.1Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1035.2Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1055.3Background and Challenges. . . . . . . . . . . . . . . . . . . . . . . . . . . 1065.3.1SFC working principles. . . . . . . . . . . . . . . . . . . . . . . . . 1075.3.2Challenges. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1095.3.3Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1105.4Problem Statement. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111viii5.4.1System model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1125.4.2Threat model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1125.5Proposed Solution . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1135.5.1Preliminaries . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1145.5.2Design properties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11505.5.3 构建方法论。11605.5.4 理论证明。12005.6 安全分析。12205.7 实施和评估。124 5.7.1 实施细节。12405.7.2 性能评估。12505.8 结论和未解决问题。12806 结论和未来工作。13106.1 研究贡献。13106.2 展望。1330出版物列表。1350A.1 国际期刊。1350A.2 国际会议和研讨会。1350A.3 技术报告。1360ix0x0图表列表01.1 论文的组织结构。502.1 高级NFV框架。1002.2 SDN架构的图形表示。1102.3 SDN控制器和SDN应用在NFV架构框架中的可能位置。1402.4 与ETSI NFV框架对齐的NFV的高级架构。1502.5 OpenMANO与ETSI NFV架构的关系。1702.6 与ETSI NFV MANO标准对齐的Cloudify架构。1902.7 Cloudify中的相关组件和服务。2002.8 与ETSI MANO架构框架相关的Tacker。2202.9 Tacker架构及其主要组件 - NFV目录、VNFM和NFVO。2202.10 基于ETSI NFV MANO规范的OpenBaton架构。2402.11 OpenBaton的概述，(a) OpenBaton架构，(b) OpenBaton架构中的子组件。2402.12 安全编排器的高级架构，与NFV编排器配合使用，与ETSI NFV MANO对齐。2902.13 NFVO和安全编排器在服务部署用例中的操作工作流程。3003.1 NFV架构框架和攻击模型的概述。3803.2 针对实时虚拟机迁移的中间人攻击场景。3903.3 VM逃逸场景。4003.4 超级劫持攻击模型。4103.5 VNPaaS使用案例：共享网络资源的示例，以及攻击模型。4303.6 VNFaaS的概述及其攻击模型。4503.7 DNS放大攻击示例。4603.8 使用攻击模型对移动核心网络和基站进行虚拟化。4803.9 使用攻击模型对接入网络功能进行虚拟化。5003.10 基于ETSI NFV参考架构的NFV层特定威胁分类。520xi03.11 涵盖特定层和跨层安全建议的NFV安全框架高层次示例。7804.1 ETSI NFV MANO架构中安全编排器的映射。8304.2 VM描述的扩展TOSCA模板示例（扩展的安全属性以粗体显示）。8704.3 VNF描述的扩展TOSCA模板示例（扩展的安全属性以粗体显示）。8804.4 安全编排器的设计架构。8904.5 访问控制引擎的设计框架和操作工作流程示例。9004.6 安全编排器的操作流程。9604.7 使用Telnet测试网络连接的结果。9604.8 访问控制引擎的部署：一个主节点和两个从节点。9704.9 处理授权请求数量的吞吐量。9804.10 RAM和CPU核心数量变化时的平均吞吐量。9904.11 用户和租户数量变化时的平均吞吐量。100 4.12从主节点更新SMPolicy到从节点所需的时间。101 4.13 从节点数量增加时的适应期。10105.1 基于NFV和SDN实现的高级业务规范到实际SFC部署的域内编排架构示例。10805.2 SFC的激励示例。10805.3 SFF中规则安装及其攻击模型的说明。11105.4 异常流重定向和路径偏离的形式。11205.5 部署场景。12505.6 服务链中VNF节点数量与延迟之间的关系。12605.7使用和不使用签名构建的两种不同类型的数据包传输（即ICMP-ping和HTTP-ping数据包）。百分比如10%表示对于每个接收到的数据包，首先VNF以10%的概率对其进行签名。1270xii3.3The key differences between typical and NFV based implementations of net-work isolation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .653.4The key differences between typical and NFV based implementations of dataprotection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .703.5A summary of NFV threats and vulnerabilities with the corresponding securitycountermeasures. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .774.1Basic sets and functions of access control model and policy . . . . . . . . . . .924.2Use case: generating tenant-specific access control policies . . . . . . . . . . .934.3An example of change requirement of security policy rule sets. . . . . . . . .944.4Hardware specification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .954.5Hardware specifications for master and slave platforms . . . . . . . . . . . . .975.1Notations used in Lite identity-based ordered multisignature formulation . . . . 117xiii0表格列表02.1 传统网络模型和NFV模型之间的比较分析摘要。1302.2 四个NFV服务编排平台之间的主要区别。2503.1 典型IAM和基于NFV的IAM实现之间的关键区别。5603.2 典型IDS/IPS和基于NFV的IDS/IPS实现之间的关键区别。60xiv1IntroductionOver the past decades, enterprise networks have undergone increasing diversity of networkservices and functions. The tremendous growth in vertical and horizontal deployment of pro-prietary network appliances makes network architectures extremely complicated and difficultto manage [213, 32]. In particular, typical network appliances always incur high costs of invest-ment (Capital Expenditure (CapEx)) and maintena
我的内容管理
收起
我的收益 登录查看自己的收益
我的积分
登录查看自己的积分
我的C币
登录后查看C币余额
我的收藏 
我的下载 
下载帮助 
