[논문 리뷰] Modular Control Plane Verification via Temporal Invariants

Timothy Alberdingk Thijm, Ryan Beckett외 2명|arXiv (Cornell University)|2022. 04. 21.

Advanced Control Systems Optimization인용 수 5

한 줄 요약

Timepiece는 네트워크 실행의 시간적 모델을 기반으로 한 신뢰할 수 있고 확장 가능한 모듈형 제어 평면 검증 시스템을 소개한다. 시간에 주석이 달린 불변식을 사용하여 네트워크 구성 요소 간의 구성적 추론을 가능하게 하며, 단일 검증 방식보다 우수한 성능을 보인다. 2,000개 노드로 구성된 패트리지 네트워크를 2.37분 내에 검증하며, 2시간의 타임아웃을 초과하는 단일 검증 엔진과 대비된다. 또한 SMT 기반의 기호적 추론과 시간 논리 인터페이스를 통해 개별 라우터의 빠르고 병렬적인 검증을 가능하게 한다.

ABSTRACT

Monolithic control plane verification cannot scale to hyperscale network architectures with tens of thousands of nodes, heterogeneous network policies and thousands of network changes a day. Instead, modular verification offers improved scalability, reasoning over diverse behaviors, and robustness following policy updates. We introduce Timepiece, a new modular control plane verification system. While one class of verifiers, starting with Minesweeper, were based on analysis of stable paths, we show that such models, when deployed naively for modular verification, are unsound. To rectify the situation, we adopt a routing model based around a logical notion of time and develop a sound, expressive, and scalable verification engine. Our system requires that a user specifies interfaces between module components. We develop methods for defining these interfaces using predicates inspired by temporal logic, and show how to use those interfaces to verify a range of network-wide properties such as reachability or access control. Verifying a prefix-filtering policy using a non-modular verification engine times out on an 80-node fattree network after 2 hours. However, Timepiece verifies a 2,000-node fattree in 2.37 minutes on a 96-core virtual machine. Modular verification of individual routers is embarrassingly parallel and completes in seconds, which allows verification to scale beyond non-modular engines, while still allowing the full power of SMT-based symbolic reasoning.

연구 동기 및 목표

• 수천 개의 노드를 가진 초대규모 네트워크에서 정책 업데이트가 빈번하게 발생하는 환경에서 단일 검증 방식의 확장성 한계를 해결하기 위해.
• 다양한 네트워크 성질을 위한 타당성과 표현력을 확보하면서도 구성적 추론을 지원하는 모듈형 검증 프레임워크를 개발하기 위해.
• Minesweeper와 같은 안정 경로 모델에 대해 난이도 높은 모듈형 추론이 비타당한 이유를 제거하기 위해 라우팅 행동에 대한 시간 기반 기초를 도입하기 위해.
• 사용자가 구성 요소 인터페이스에서 정의한 시간 불변식을 통해 SMT 솔버를 이용한 기호적 추론을 통해 개별 라우터의 효율적이고 병렬적인 검증을 가능하게 하기 위해.
• 도달 가능성 및 액세스 제어와 같은 복잡한 네트워크 전체 성질을 표현 가능하면서도 결정 가능성이 보장되는 시간 논리 기반 인터페이스를 통해 검증을 지원하기 위해.

제안 방법

• 시스템은 네트워크 실행을 시간에 따른 상태의 시퀀스로 모델링하며, 불변식 언어 내에서 시간 $ t $ 를 명시적 변수로 취급하여 타당성 확보 및 가정 간 순환 종속성 방지를 보장한다.
• 사용자는 시간에 따른 다양한 입력 조건 하에서 각 라우터의 행동을 기술하는 시간 논리에서 영감을 얻은 술어를 사용해 구성 요소 인터페이스를 정의한다.
• 검증 엔진은 각 구성 요소의 행동이 인터페이스를 충족하는지 확인하고, 인터페이스가 도달 가능성 또는 액세스 제어와 같은 전반적인 네트워크 성질을 함의하는지 검증한다.
• Timepiece는 각 라우터의 상태 전이에 대해 기호적 추론을 수행하기 위해 SMT 솔버를 사용하여 구성 요소의 효율적이고 병렬적인 검증을 가능하게 한다.
• 이 방법은 시간 연산자를 사용해 일시적인 라우팅 상태를 추상화함으로써 복잡성을 감소시키면서도 네트워크 전체 성질의 정확성을 유지한다.
• 시간 순서가 지켜진 상태 전이에 기반한 증명 규칙을 통해 타당성을 강화하여, 모듈형 환경에서 안정 경로만을 고려한 분석의 오류를 피한다.

실험 결과

연구 질문

• RQ1 Minesweeper와 같은 안정 경로 모델을 사용할 때 구성 요소 수준의 추론에 대해 모듈형 제어 평면 검증이 타당하게 유지될 수 있는가?
• RQ2 시간에 대한 추론을 어떻게 활용하여 대규모 동적 네트워크의 확장 가능하고 타당한 모듈형 검증을 달성할 수 있는가?
• RQ3 어떤 종류의 인터페이스 언어가 다양한 네트워크 행동을 충분히 표현하면서도 결정 가능하고 SMT 기반 검증에 적합한가?
• RQ4 단일 검증 방식과 비교해 볼 때, 모듈형 검증은 수천 개의 노드를 가진 초대규모 네트워크와 빈번한 업데이트 환경에서 얼마나 확장 가능한가?
• RQ5 인터페이스 불변식에 시간 $ t $ 를 명시적 변수로 사용함으로써 구성적 추론에서 순환 종속성 문제를 방지할 수 있는가?

주요 결과

• Timepiece는 96코어 가상 머신에서 2,000개 노드로 구성된 패트리지 네트워크를 2.37분 내에 검증하며, 비모듈러 검증 엔진은 80노드 네트워크에서 2시간 타임아웃에 걸린다.
• 개별 라우터의 모듈러 검증은 매우 병렬적이며 몇 초 내에 완료되어 단일 검증 엔진을 뛰어넘는 확장 가능한 검증을 가능하게 한다.
• 시스템은 네트워크 실행을 시간에 따라 모델링함으로써 타당성을 확보하여, 안정 경로만을 고려한 난이도 높은 모듈러 추론의 비타당성을 수정한다.
• 사용자가 정의한 시간 불변식을 통해 도달 가능성 및 액세스 제어와 같은 복잡한 성질을 제약 조건이 강한 표현력 있는 논리로 표현 가능하게 한다.
• 불변식에 시간 $ t $ 를 명시적 변수로 사용함으로써 잘 정의된 추론이 가능하고, 가정-보장 추론에서 순환 종속성 문제를 방지한다.
• 평가 결과, 시간 추상화를 적용한 SMT 기반 기호적 추론은 효율적이고 실용적이며 대규모 네트워크를 효과적으로 처리할 수 있다.