[论文解读] Tiramisu: Fast and General Network Verification

Anubhavnidhi Abhashkumar, Aaron Gember-Jacobson+1 more|arXiv (Cornell University)|Jun 5, 2019

Software-Defined Networks and 5G参考文献 17被引用 5

一句话总结

Tiramisu 提出了一种快速且通用的网络控制平面验证框架，采用多层 Hedge 图抽象，将网络编码与特定属性的验证解耦。通过结合优化的图遍历与定制的整数线性规划（ILP），Tiramisu 在大型网络（160 台设备）上实现小于 0.12 秒的验证时间，相比最先进的工具实现 10–600 倍的性能提升，且未牺牲通用性。

ABSTRACT

Today's distributed network control planes support multiple routing protocols, filtering mechanisms, and route selection policies. These protocols operate at different layers, e.g. BGP operates at the EGP layer, OSPF at the IGP layer, and VLANs at layer 2. The behavior of a network's control plane depends on how these protocols interact with each other. This makes network configurations highly complex and error-prone. State-of-the-art control plane verifiers are either too slow, or do not model certain features of the network. In this paper, we propose a new multilayer hedge graph abstraction, Tiramisu, that supports fast verification of the control plane. Tiramisu uses a combination of graph traversal algorithms and ILPs (Integer Linear Programs) to check different network policies. We use Tiramisu to verify policies of various real-world and synthetic configurations. Our experiments show that Tiramisu can verify any policy in < 0.08 s in small networks (~35 devices) and < 0.12 s in large networks (~160 devices), and it is 10-600X faster than state-of-the-art without losing generality.

研究动机与目标

• 解决网络控制平面验证工具中的性能-通用性权衡问题。
• 在建模真实世界组件（如 BGP、iBGP、VLAN 和 VRF）的同时，实现复杂网络策略的快速验证。
• 将网络编码与属性验证解耦，以支持针对特定策略的优化算法。
• 在大型网络上实现亚秒级验证时间，同时保持对关键控制平面特性的完整通用性。

提出的方法

• 引入一种多层 Hedges 图抽象，通过分层、多属性的节点与边，建模多种协议（BGP、OSPF、VLAN、VRF）及故障场景。
• 利用改进的深度优先搜索与基于 ILP 的图切割公式，无需枚举所有路径即可验证可达性与隔离策略。
• 根据不同属性定制验证算法，以最小化计算开销，避免使用通用 SMT 求解器的完整搜索空间。
• 在图上并行模拟简化协议（SPVP），用于流量类别特定的策略验证。
• 通过仅建模与目标属性相关的变量，减少 ILP 公式中的变量数量，提升求解器效率。
• 利用基于图的抽象，避免对某些属性进行完整协议仿真，从而支持对多条路径的批量探索。

实验结果

研究问题

• RQ1 能否将基于图的抽象扩展至足够通用地建模复杂的控制平面特性（如 BGP、iBGP、VLAN 和 VRF）？
• RQ2 能否在丰富的图模型之上设计定制的、属性特定的算法，以同时实现高速度与正确性？
• RQ3 在保持可达性与隔离策略验证准确性的前提下，能在多大程度上避免路径枚举？
• RQ4 混合图-ILP 方法在不同网络拓扑与策略下的性能，与基于 SMT 和纯图工具相比如何？
• RQ5 该框架在大规模网络上是否能高效扩展，同时保持低验证延迟？

主要发现

• Tiramisu 在小型网络（约 35 台设备）上验证任意策略耗时小于 0.08 秒，在大型网络（约 160 台设备）上耗时低于 0.12 秒。
• 该框架相比最先进的工具（如 Minesweeper 和 ARC）实现 10–600 倍的性能提升，且通用性损失极小。
• 特别是针对属性特定的 ILP，变量数量的减少显著提升了求解速度，相比通用 SMT 编码具有明显优势。
• P1（TDFS）的验证时间始终最快，而 P5（TYEN）与 P3 因路径多样性与 ILP 复杂性导致时间波动较大且更长。
• 该框架能随网络规模平稳扩展，在来自 Topology Zoo 的大型、多样化拓扑中仍保持低延迟。
• 由于基于图建模的局限性，Tiramisu 无法对所有外部通告进行穷尽探索，与基于 SMT 的工具不同，因此在控制平面等价性验证方面存在局限。