[论文解读] Verifying Reachability in Networks with Mutable Datapaths

Aurojit Panda, Ori Lahav+3 more|arXiv (Cornell University)|Jul 4, 2016

Software-Defined Networks and 5G被引用 14

一句话总结

本文提出了面向中间盒网络的验证（VMN），一种可扩展的方法，用于验证具有可变数据路径（如防火墙、缓存和负载均衡器）的网络中的可达性和隔离性，通过逻辑切片和基于SMT的验证实现。该方法通过利用结构对称性和状态分区，即使在故障条件下，也能实现与网络规模无关的近似常数时间验证。

ABSTRACT

Recent work has made great progress in verifying the forwarding correctness of networks . However, these approaches cannot be used to verify networks containing middleboxes, such as caches and firewalls, whose forwarding behavior depends on previously observed traffic. We explore how to verify reachability properties for networks that include such "mutable datapath" elements. We want our verification results to hold not just for the given network, but also in the presence of failures. The main challenge lies in scaling the approach to handle large and complicated networks, We address by developing and leveraging the concept of slices, which allow network-wide verification to only require analyzing small portions of the network. We show that with slices the time required to verify an invariant on many production networks is independent of the size of the network itself.

研究动机与目标

• 解决现有验证技术在包含可变数据路径中间盒（其转发行为依赖于数据包历史）的网络中缺乏支持的问题。
• 将形式化验证技术从静态数据路径（如路由器）扩展到防火墙和内容缓存等动态组件。
• 确保验证结果不仅在正常运行时成立，也能在发生网络故障时保持正确，弥补先前工具在该方面的空白。
• 通过利用中间盒行为中的结构对称性和状态分区，将验证扩展至大规模复杂网络。
• 开发一个框架，可在配置更改或故障发生后无需完整重新分析，即可验证可达性和隔离不变量。

提出的方法

• 将整个网络建模为一个逻辑公式，整合静态和可变数据路径元素，并通过逻辑约束抽象表示其依赖于状态的行为。
• 引入‘切片’概念——网络中捕获相关状态和转发行为的独立小部分，实现局部验证而非全局分析。
• 使用SMT求解器仅分析相关切片，检查给定可达性或隔离不变量是否被违反，而非整个网络。
• 将验证过程分解为两个阶段：(1) 基于网络对称性和中间盒状态分区构建切片；(2) 对每个切片通过SMT求解进行不变量检查。
• 抽象中间盒的分类逻辑，同时精确建模其状态演化，支持对缓存命中和洞穿（hole-punching）等复杂行为的推理。
• 利用网络拓扑和策略中的对称性，最小化所需切片数量，确保验证时间与网络规模无关。

实验结果

研究问题

• RQ1 如何在包含具有可变数据路径中间盒的网络中，形式化验证可达性和隔离不变量？
• RQ2 验证是否能扩展到具有复杂中间盒行为的大规模真实网络？
• RQ3 在常见现实场景中的网络故障下，验证如何保持正确性和高效性？
• RQ4 哪些抽象和分解技术能使有状态中间盒的验证变得可行？
• RQ5 在多大程度上可以利用结构对称性和状态分区来降低验证复杂度？

主要发现

• VMN通过基于切片的方法，实现了对具有可变数据路径网络中可达性不变量的验证，且分析与网络规模解耦。
• 验证所需时间与整体网络规模无关，因为验证复杂度取决于切片数量，而非网络规模。
• 该方法在故障存在的情况下仍能成功验证不变量，这是先前网络验证工具所不具备的能力。
• 该方法在真实生产网络中有效，已成功验证包含缓存、防火墙和负载均衡器的复杂不变量。
• 基于对称性和状态分区的切片方法，可避免在复杂中间盒行为下验证时间的指数级增长。
• 该框架并非适用于所有随机网络，因其依赖于结构对称性，但在现实且具有对称性的网络拓扑中实现了实际可扩展性。