[论文解读] Plankton: Scalable network configuration verification through model checking

Santhosh Prabhu, Kuan-Yen Chou+3 more|arXiv (Cornell University)|Nov 5, 2019

Organometallic Complex Synthesis and Catalysis被引用 15

一句话总结

Plankton 是一种可扩展的网络配置验证工具，结合数据包头部的等价类划分与显式状态模型检测，用于验证复杂的网络策略。通过利用状态哈希和部分序约简等优化技术，其性能相比最先进的工具最高提升 10,000 倍，同时支持丰富的协议特性，包括 BGP、OSPF 和静态路由。

ABSTRACT

Network configuration verification enables operators to ensure that the network will behave as intended, prior to deployment of their configurations. Although techniques ranging from graph algorithms to SMT solvers have been proposed, scalable configuration verification with sufficient protocol support continues to be a challenge. In this paper, we show that by combining equivalence partitioning with explicit-state model checking, network configuration verification can be scaled significantly better than the state of the art, while still supporting a rich set of protocol features. We propose Plankton, which uses symbolic partitioning to manage large header spaces and efficient model checking to exhaustively explore protocol behavior. Thanks to a highly effective suite of optimizations including state hashing, partial order reduction, and policy-based pruning, Plankton successfully verifies policies in industrial-scale networks quickly and compactly, at times reaching a 10000$\ imes$ speedup compared to the state of the art.

研究动机与目标

• 解决大规模网络中复杂协议交互带来的可扩展性挑战。
• 克服现有工具为追求性能而牺牲正确性、表达能力或可扩展性的局限。
• 支持对多种汇聚数据平面状态（包括故障或非确定性控制平面行为引发的状态）的配置验证。
• 在保持正确性与精确性的同时，支持广泛的路由协议，如 BGP、OSPF 和静态路由。
• 开发一种高效且适用于工业级网络的验证框架，实现 300 台以上设备的网络在亚秒级内完成验证。

提出的方法

• 应用等价类划分，将庞大的头部空间抽象为等价类，减少需分析的独立数据包行为数量。
• 使用显式状态模型检测，全面探索所有可能的控制平面执行序列，确保验证的完备性。
• 集成领域特定优化：通过状态哈希减少内存占用，通过部分序约简最小化冗余状态探索，通过基于策略的剪枝聚焦于相关执行路径。
• 利用 Bonsai 实现控制平面状态探索中的对称性约简，通过递归分解协议执行过程提升可扩展性。
• 通过桩函数建模外部影响（如链路故障、路由通告），以保持对验证环境的完全可见性与控制力。
• 通过避免在生产运行中使用近似技术（如位状态哈希）确保正确性，尽管该技术在内存优化方面已进行评估。

实验结果

研究问题

• RQ1 配置验证系统是否能在不牺牲正确性的情况下，同时实现广泛的协议支持与高可扩展性？
• RQ2 将等价类划分与显式状态模型检测结合，能否有效减少网络配置验证中的状态空间？
• RQ3 领域特定优化（如部分序约简与状态哈希）在大规模网络验证中能多大程度上提升性能？
• RQ4 该方法在包括数据中心和具有复杂路由策略的广域网在内的多样化网络拓扑中，可扩展性如何？
• RQ5 该工具是否能验证因故障或非确定性行为导致多个汇聚数据平面状态的策略，同时保持正确性与精确性？

主要发现

• Plankton 在不到一秒内完成对超过 300 台设备的工业级网络的验证，展现出实际可扩展性。
• 在最坏情况（如含 320 个节点的 BGP 数据中心且使用路径点）下，Plankton 使用位状态哈希将内存使用从 428 MB 降低至 215 MB，尽管不使用该技术也能保持完全正确性。
• 与最先进工具相比，Plankton 在复杂验证任务（如涉及 BGP 和故障场景）中最高实现 10,000 倍的性能提升。
• 该工具成功验证了控制平面行为具有非确定性的网络策略，包括因拓扑变化或故障导致的多个汇聚状态。
• 尽管在罕见的跨 PEC 依赖情况下存在误报，Plankton 仍保持高覆盖率与实用正确性，在 SPIN 基准评估中路径覆盖率超过 99.9%。
• 与 Bonsai 的集成实现了对称性感知的验证，进一步增强了复杂协议交互场景下的可扩展性。