[論文レビュー] Plankton: Scalable network configuration verification through model checking

Santhosh Prabhu, Kuan-Yen Chou+3 more|arXiv (Cornell University)|Nov 5, 2019

Organometallic Complex Synthesis and Catalysis被引用数 15

ひとこと要約

Plankton は、パケットヘッダの同値分割と明示的状態モデル検査を組み合わせることで、複雑なネットワークポリシーの検証を可能にするスケーラブルなネットワーク構成検証ツールである。状態ハッシュ化や部分順序削減といった最適化を活用することで、最先端のツールに比べ最大 10,000× の高速化を達成しながら、BGP や OSPF、静的ルーティングを含む包括的なプロトコル機能をサポートする。

ABSTRACT

Network configuration verification enables operators to ensure that the network will behave as intended, prior to deployment of their configurations. Although techniques ranging from graph algorithms to SMT solvers have been proposed, scalable configuration verification with sufficient protocol support continues to be a challenge. In this paper, we show that by combining equivalence partitioning with explicit-state model checking, network configuration verification can be scaled significantly better than the state of the art, while still supporting a rich set of protocol features. We propose Plankton, which uses symbolic partitioning to manage large header spaces and efficient model checking to exhaustively explore protocol behavior. Thanks to a highly effective suite of optimizations including state hashing, partial order reduction, and policy-based pruning, Plankton successfully verifies policies in industrial-scale networks quickly and compactly, at times reaching a 10000$\ imes$ speedup compared to the state of the art.

研究の動機と目的

• 大規模なネットワークにおける複雑なプロトコル相互作用を考慮した、ネットワーク構成検証におけるスケーラビリティの課題に対処する。
• 性能を高めるために正しさ、表現力、スケーラビリティのいずれかを犠牲にする既存ツールの制限を克服する。
• 障害や非決定的制御プレーン動作に起因する複数の統合データプレーン状態を含む構成の検証を可能にする。
• BGP や OSPF、静的ルーティングといった幅広いルーティングプロトコルをサポートしつつ、整合性と正確性を維持する。
• 産業用途に適した効率的で実用的な検証フレームワークを構築し、300 台以上のデバイスを含むネットワークにおいて 1 秒未満の検証時間を達成する。

提案手法

• 大規模なヘッダ空間を同値クラスに抽象化する同値分割を適用し、分析対象となる異なるパケット動作の数を削減する。
• 明示的状態モデル検査を用いて、制御プレーンの実行シーケンスを網羅的に探索し、検証の完全性を保証する。
• ドメイン固有の最適化を統合する：状態ハッシュ化によるメモリ使用量の削減、冗長な状態探索の最小化のための部分順序削減、関連する実行パスに焦点を当てるポリシーに基づく pruning。
• 制御プレーン状態探索における対称性削減に Bonsai を活用し、プロトコル実行の再帰的分解によってスケーラビリティを向上させる。
• 外部要因（例：リンク障害、ルート広告）をスタブによってモデル化することで、検証環境の完全な可視性と制御を維持する。
• 本番実行では、メモリ削減のための評価は行われるが、近似手法（例：ビットステートハッシュ）を回避することで整合性を保証する。

実験結果

リサーチクエスチョン

• RQ1 構成検証システムは、正しさを犠牲にすることなく、広範なプロトコルサポートと高いスケーラビリティを両立できるか？
• RQ2 同値分割と明示的状態モデル検査を組み合わせることで、ネットワーク構成検証のための状態空間をどの程度削減できるか？
• RQ3 部分順序削減や状態ハッシュ化といったドメイン固有の最適化は、大規模ネットワーク検証における性能向上にどの程度寄与するか？
• RQ4 本アプローチは、データセンターや複雑なルーティングポリシーを有する広域網を含む多様なネットワークトポロジーに、どの程度スケーリング可能か？
• RQ5 障害や非決定的動作に起因する複数の統合データプレーン状態を含むポリシーを、整合性と正確性を保ちつつ検証できるか？

主な発見

• Plankton は 300 台を超えるデバイスを含む産業用途のネットワークを 1 秒未塔で検証でき、実用的なスケーラビリティを示した。
• 最悪ケース（320 ノードの BGP データセンタでウェイポイントが使用される場合）において、ビットステートハッシュを用いることでメモリ使用量を 428 MB から 215 MB に削減したが、それにもかかわらず完全な正しさが保たれた。
• BGP や障害シナリオを含む複雑な検証タスクにおいて、最先端のツールに比べ最大 10,000× の高速化を達成した。
• 非決定的制御プレーン動作に起因するトポロジー変更や障害に起因する複数の統合状態を含むネットワークにおいても、ポリシーの検証に成功した。
• まれな PEC 間依存性の誤検出といった制限はあったが、Plankton は高いカバレッジと実用的な整合性を維持しており、SPIN を用いた評価では 99.9% を超えるパスカバレッジを達成した。
• Bonsai との統合により、対称性を考慮した検証が可能になり、複雑なプロトコル相互作用に対するスケーラビリティがさらに向上した。