[論文レビュー] Verifying Reachability in Networks with Mutable Datapaths

Aurojit Panda, Ori Lahav+3 more|arXiv (Cornell University)|Jul 4, 2016

Software-Defined Networks and 5G被引用数 14

ひとこと要約

この論文は、論理的スライシングとSMTベースの検証を用いて、ファイアウォール、キャッシュ、ロードバランサなど、状態変更可能なデータパスを持つネットワーク（中間装置を含むネットワーク）における到達可能性および隔離の検証をスケーラブルに実現する、VMN（Verification for Middlebox Networks）を提案する。構造的対称性と状態分割を活用することで、ネットワークサイズに依存しない近似的に定数時間の検証が可能となり、障害状態下でも同様の性能を発揮する。

ABSTRACT

Recent work has made great progress in verifying the forwarding correctness of networks . However, these approaches cannot be used to verify networks containing middleboxes, such as caches and firewalls, whose forwarding behavior depends on previously observed traffic. We explore how to verify reachability properties for networks that include such "mutable datapath" elements. We want our verification results to hold not just for the given network, but also in the presence of failures. The main challenge lies in scaling the approach to handle large and complicated networks, We address by developing and leveraging the concept of slices, which allow network-wide verification to only require analyzing small portions of the network. We show that with slices the time required to verify an invariant on many production networks is independent of the size of the network itself.

研究の動機と目的

• パケット履歴に依存する転送動作を示す中間装置（例：ファイアウォール、キャッシュ）を含むネットワークにおける検証支援の不足に応えること。
• ルータなどの静的データパスにとどまらない、ファイアウォールやコンテンツキャッシュなどの動的要素を含む形式的検証技術を拡張すること。
• 通常運用時だけでなく、ネットワーク障害発生時にも検証結果が成立することを保証すること。これは、従来のツールでは欠落していたギャップである。
• 中間装置の動作における構造的対称性と状態分割を活用することで、大規模で複雑なネットワークへの検証スケーラビリティを実現すること。
• 構成変更や障害発生時にも完全な再分析を必要とせず、到達可能性および隔離インヴァリアントを検証できるフレームワークを構築すること。

提案手法

• 静的および状態依存のデータパス要素を含むネットワーク全体を論理式としてモデル化し、状態依存動作は論理制約によって抽象化する。
• 「スライス」という概念を導入する。これは、関連する状態と転送動作を捉えた、小さな独立したネットワーク断片であり、全体の解析ではなく局所的解析を可能にする。
• SMTソルバを用いて、関連するスライスのみを分析することで、指定された到達可能性または隔離インヴァリアントが違反されていないかを検証する。
• 検証を二段階に分解する：(1) ネットワークの対称性と中間装置の状態分割に基づくスライス構築、(2) 各スライスに対してSMTソルバによるインヴァリアント検査。
• 中間装置の分類ロジックを抽象化しつつ、状態の進化を正確にモデル化することで、キャッシュヒットやホールパンチングなどの複雑な動作の推論を可能にする。
• ネットワークトポロジおよびポリシーにおける対称性を活用して、必要なスライス数を最小限に抑え、ネットワークサイズに依存しない一定の検証時間を実現する。

実験結果

リサーチクエスチョン

• RQ1 状態変更可能なデータパスを持つ中間装置を含むネットワークにおいて、到達可能性および隔離インヴァリアントを形式的に検証する方法は何か？
• RQ2 大規模で現実的なネットワーク、特に複雑な中間装置動作を有するネットワークに対しても検証がスケーラブルに可能か？
• RQ3 一般的な現実世界の懸念事項であるネットワーク障害発生時においても、検証が正しくかつ効率的に保たれるか？
• RQ4 状態保持型中間装置の検証を現実可能にするために、どのような抽象化と分解技術が必要か？
• RQ5 構造的対称性と状態分割をどの程度活用することで、検証の複雑さを低減できるか？

主な発見

• VMNは、ネットワークサイズに依存しないスライシングベースのアプローチにより、状態変更可能なデータパスを持つネットワークにおける到達可能性インヴァリアントの検証を可能にする。
• インヴァリアントの検証に要する時間は、ネットワーク全体のスケールとは無関係であり、スライス数に依存するため、検証時間は一定に保たれる。
• 従来のネットワーク検証ツールに欠けていた障害発生時における検証の正しさと効率性を、本手法は成功裏に達成している。
• 本手法は、キャッシュ、ファイアウォール、ロードバランサを含む実際の生産環境ネットワークに対しても有効であり、複雑なインヴァリアントの検証が可能であることが実証された。
• 構造的対称性と状態分割に基づくスライシングにより、複雑な中間装置動作が生じても検証時間の指数的増加を回避できる。
• 本フレームワークは、すべてのランダムネットワークに普遍的に適用可能というわけではないが、現実的で対称性を持つネットワークトポロジにおいては実用的なスケーラビリティを達成している。