[論文レビュー] Verifying Isolation Properties in the Presence of Middleboxes

Aurojit Panda, Ori Lahav+3 more|arXiv (Cornell University)|Sep 26, 2014

Formal Methods in Verification参考文献 33被引用数 25

ひとこと要約

本論文は、トラフィック履歴に依存する転送動作を示す動的データパスを持つミドルボックス（ファイアウォールやキャッシュなど）を含むネットワークにおける隔離特性の検証を、スケーラブルなモデルチェックイング手法によって実現する。ミドルボックスを状態機械としてモデル化し、SMTソルバーを用いて不変条件を検証する。この手法により、最大30,000台のミドルボックスを含む現実的規模のネットワークにおいて、数分で複雑なネットワーク不変条件を検証可能となり、従来のツールが静的転送動作を仮定していたという制限を克服する。

ABSTRACT

Great progress has been made recently in verifying the correctness of router forwarding tables. However, these approaches do not work for networks containing middleboxes such as caches and firewalls whose forwarding behavior depends on previously observed traffic. We explore how to verify isolation properties in networks that include such "dynamic datapath" elements using model checking. Our work leverages recent advances in SMT solvers, and the main challenge lies in scaling the approach to handle large and complicated networks. While the straightforward application of model checking to this problem can only handle very small networks (if at all), our approach can verify simple realistic invariants on networks containing 30,000 middleboxes in a few minutes.

研究の動機と目的

• トラフィック履歴に依存する転送動作を示すミドルボックスを有するネットワークにおける検証ツールの不足に対処すること。
• 静的ルーターやスイッチにとどまらない、ファイアウォール、キャッシュ、ロードバランサなどの動的データパス要素を含めた形式的ネットワーク検証を拡張すること。
• 数千台のミドルボックスを含む大規模で現実的なネットワークにおける隔離性およびパイプライン不変条件の検証を可能にすること。
• 完全な実装モデルの作成を回避し、ミドルボックス動作の簡素化・抽象化されたモデルを用いることでスケーラブルな手法を開発すること。
• 運用者が正確で自動化されたチェックによりエンドツーエンドのネットワーク動作を検証できるようにすることで、生産環境ネットワーキングにおける形式的検証の採用を促進すること。

提案手法

• ルーターおよびスイッチをグルー論理として扱い、ミドルボックスを状態依存転送を有するサブルーチンとして扱う、ネットワーク全体をプログラムとしてモデル化する。
• 各ミドルボックスを、ヘッダに依存する動作のみを捉える有限状態機械として表現し、複雑な内部論理を抽象化する。
• SMTソルバーを用いた記号的モデルチェックイングにより、すべての可能なトラフィックシナリオにわたって、到達可能性や隔離性といったネットワーク全体の不変条件を検証する。
• 検証をモジュラーなチェックに分解する：パイプライン不変条件はパケットフローごとに検証し、隔離不変条件はホストペア間で記号実行を用いて検証する。
• SMTソルバーを活用して、無限状態空間を効率的に扱い、適切に設計された論理式により終了性を保証する。
• 制限された不変条件カテゴリーやモジュラーなネットワーク分解などの最適化を適用し、大規模ネットワークへのスケーラビリティを向上させる。

実験結果

リサーチクエスチョン

• RQ1 動的データパスを持つミドルボックス（トラフィック履歴に依存する転送）を有するネットワークに対して、形式的検証技術をどのように適合できるか。
• RQ2 数千台のミドルボックスを含む大規模ネットワークにおいて、隔離性およびパイプライン不変条件を形式的に検証する方法は何か。
• RQ3 完全な実装にアクセスできない状況でも、スケーラブルな検証を可能にするミドルボックス動作の抽象化は何か。
• RQ4 状態保持型ミドルボックスが存在する状況でも、SMTソルバーや記号的モデルチェックイングを用いてネットワーク全体の不変条件を検証するにはどの程度活用できるか。
• RQ5 提案手法は、複雑なミドルボックストポロジを有する現実のエンタープライズネットワークにスケーリング可能か。

主な発見

• 本手法は、最大30,000台のミドルボックスを含むネットワークにおいて、数分で隔離性およびパイプライン不変条件を正常に検証した。
• 有限状態機械としての簡素化されたミドルボックスモデルの使用により、特許情報のアクセスなしにスケーラブルな検証が可能となった。
• SMTベースの記号的モデルチェックイングにより、論理式の設計によって終了性を保証しつつ、無限状態空間を効率的に扱える。
• 本手法は、単純なモデルチェックイングに比べて著しくスケーリング可能であり、動的データパスを持つ小さなネットワークですら失敗するのを回避した。
• 本フレームワークは、特定のミドルボックスシーケンスを通過するフローに関するパイプライン不変条件と、ホスト間の到達可能性に関する隔離不変条件の両方を、それぞれ異なる検証戦略でサポートする。
• 本手法は、動的データパスを持つ実世界のネットワークにおける形式的検証が実現可能であることを示し、産業界での採用への道筋を示した。