利用生成測試封包偵測軟體定義網路資料平面上的IP前綴不符

軟體定義網路將資料平面與控制平面分開到不同的設備上以集中管理網路。然而，配置錯誤、硬體上的錯誤或攻擊者都可能導致封包在資料平面上的實際行為和控制平面所定義的規則不同。過去提出的方法透過傳送測試封包來檢驗資料平面是否正確。但他們通常致力於減少測試封包的數量或生成封包的時間以提高效能，因此只假設了簡單的轉發錯誤。本論文識別一個新的錯誤叫做IP前綴不符，這個錯誤沒有辦法被過去提出的工具完全檢測到。我們提出了一個封包生成演算法，並且證明我們的方法在最壞的情況下依然可以在每輪的檢測中找到至少一個前綴不符。因此，只要不斷檢測並修復這些錯誤，最終所有錯誤都可以被發現。此外，我們實驗顯示我們的方法有著較好的性能：即使一個交換機包含50%的錯誤規則，我們的方法也可以在平均兩輪檢測中找到所有前綴不符。

關鍵字

軟體定義網路；資料平面安全；測試封包生成；匹配欄位錯誤； IP前綴

並列摘要

Software Defined Network separates the data plane and the control plane to different devices for centralizing the network management. However, the actual data-plane behavior of the packets may not match the control-plane rules due to misconfiguration, hardware errors, or attacks. Prior methods verify the data plane's correctness by sending test packets. However, these tools often assume simple forwarding errors, and focus on reducing the packet counts or the packet generation time to improve performance. This thesis identifies a new error type called IP prefix mismatch, which cannot be fully detected by previous tools. We propose an algorithm to generate test packets and prove that our method can find at least one prefix mismatch in each round of detection in the worst case. Therefore, by continuously detecting and fixing them, all errors can be found eventually. Moreover, our experiment shows a much better average-case performance: even if a switch contains 50% of erroneous rules, our method can find all prefix mismatches in an average of two detection rounds.