machine verified controllers
play

Machine-Verified Controllers Arjun Guha, Mark Reitblatt, and Nate - PowerPoint PPT Presentation

Dec 31, 2022 •129 likes •1.36k views

Machine-Verified Controllers Arjun Guha, Mark Reitblatt, and Nate Foster Cornell University 1 Networks in the News 2 Networks in the News a network change was performed [] executed incorrectly [] more stuck volumes and added

  1. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) Block SSH traffic dstPort == 22 ⟹ Drop What if ... Forward other traffic normally dstIP == H1 ⟹ Fwd 1 dstIP == H2 ⟹ Fwd 2 flow_mod flow_mod Log Web requests flow_mod dstPort == 80 ⟹ Fwd 3 7

  2. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) Block SSH traffic dstPort == 22 ⟹ Drop What if ... Forward other traffic normally dstIP == H1 ⟹ Fwd 1 dstIP == H2 ⟹ Fwd 2 packet_in flow_mod flow_mod Log Web requests flow_mod dstPort == 80 ⟹ Fwd 3 7

  3. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡ packet_in (sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: Block SSH traffic ¡ ¡ ¡ ¡return dstPort == 22 ⟹ Drop ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] Forward other traffic normally ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] dstIP == H1 ⟹ Fwd 1 ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] dstIP == H2 ⟹ Fwd 2 ¡ ¡sw.packet_out(pkt, ¡actions) Log Web requests dstPort == 80 ⟹ Fwd 3 8

  4. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) must be equivalent def ¡ packet_in (sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: Block SSH traffic ¡ ¡ ¡ ¡return dstPort == 22 ⟹ Drop ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] Forward other traffic normally ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] dstIP == H1 ⟹ Fwd 1 ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] dstIP == H2 ⟹ Fwd 2 ¡ ¡sw.packet_out(pkt, ¡actions) Log Web requests dstPort == 80 ⟹ Fwd 3 8

  5. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) 9

  6. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 9

  7. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) dstPort: ¡22 [] dstPort: ¡22 [] dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 9

  8. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) dstPort: ¡22 [] dstPort: ¡22 [] dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 Transient policy violation dstIP: ¡H1 Fwd ¡1 dstPort: ¡22 [] dstIP: ¡H2 Fwd ¡2 dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 9

  9. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] ¡ ¡sw.packet_out(pkt, ¡actions) 10

  10. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡ { ¡dstPort: ¡22 ¡} , ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡ { ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡} , ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡ { ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡} , ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡ { ¡dstIP: ¡H1 ¡} , ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡ { ¡dstIP: ¡H2 ¡} , ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] ¡ ¡sw.packet_out(pkt, ¡actions) 11

  11. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡ { ¡dstPort: ¡22 ¡} , ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡ { ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡} , ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡ { ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡} , ¡[Fwd ¡2, ¡Fwd ¡3]) Match all ¡ ¡sw.barrier_request() packets!? ¡ ¡sw.flow_mod(8, ¡ { ¡dstIP: ¡H1 ¡} , ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡ { ¡dstIP: ¡H2 ¡} , ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] ¡ ¡sw.packet_out(pkt, ¡actions) 11

  12. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6 , ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡ eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡ eth: ¡0x800, ¡proto: ¡6, ¡ dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡ eth: ¡0x800, ¡ dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡ eth: ¡0x800, ¡ dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] ¡ ¡sw.packet_out(pkt, ¡actions) 12

  13. def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6 , ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡ eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡ eth: ¡0x800, ¡proto: ¡6, ¡ dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡ eth: ¡0x800, ¡ dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡ eth: ¡0x800, ¡ dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] ¡ ¡sw.packet_out(pkt, ¡actions) 12

  14. Recap: Bugs in Controllers 13

  15. Recap: Bugs in Controllers Violation Guilty Controllers 13

  16. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly 13

  17. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) 13

  18. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers 13

  19. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP 13

  20. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP synthesizes malformed patterns NetCore, PANE, Nettle-FRP † † Nettle is only affected by missing protocol numbers 13

  21. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 13

  22. Recap: Bugs in Controllers Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP discovered by formalizing OpenFlow synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 13

  23. SDN Facilitates Formal Methods Run-time Monitoring: Static Bug-Finding: Verified Controllers: VeriFlow NICE this talk by Khurshid, Zhou, Caesar, and by Canini, Venzano, Pere š íni, Kosti ć , Godfrey and Rexford • runtime property • program verification • symbolic execution / checking model checking • proof of correctness • detects errors • finds several bugs • no runtime cost dynamically statically • proof w.r.t. a detailed • small runtime • seconds to days to model of OpenFlow overhead test, no runtime cost • fixes must be out-of- • cannot prove the band absence of bugs 14

  24. VeriFlow: Reachability Violation Guilty Controllers handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 15

  25. VeriFlow: Reachability Violation Guilty Controllers liveness: eventually produces packet_out handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 15

  26. VeriFlow: Reachability Violation Guilty Controllers liveness: eventually produces packet_out handles packet_in incorrectly PANE (absolved) “acceptable does not use barriers NetCore, PANE, Nettle-FRP violation”? synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 15

  27. NICE: Library of Properties Violation Guilty Controller handles packet_in incorrectly PANE (absolved) does not use barriers NetCore, PANE, Nettle-FRP synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 16

  28. NICE: Library of Properties Violation Guilty Controller handles packet_in incorrectly PANE (absolved) assumes FIFO does not use barriers NetCore, PANE, Nettle-FRP message processing synthesizes malformed patterns NetCore, PANE, Nettle-FRP † optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 16

  29. NICE: Library of Properties Violation Guilty Controller handles packet_in incorrectly PANE (absolved) assumes FIFO does not use barriers NetCore, PANE, Nettle-FRP message processing synthesizes malformed patterns NetCore, PANE, Nettle-FRP † requires high-level policy optimizer breaks flow tables NetCore (absolved) † Nettle is only affected by missing protocol numbers 16

  30. 17

  31. A Sample of Recent Verification Successes: Tools: Textbooks: 17

  32. A Sample of Recent Verification Operating Systems Compilers seL4 CompCert Successes: SOSP 2009 CACM, July 2009 Verve F* PLDI 2010 POPL 2012 Tools: Textbooks: 17

  33. A Sample of Recent Verification Operating Systems Compilers seL4 CompCert Successes: SOSP 2009 CACM, July 2009 Verve F* PLDI 2010 POPL 2012 Tools: Textbooks: 17

  34. A Sample of Recent Verification Operating Systems Compilers seL4 CompCert Successes: SOSP 2009 CACM, July 2009 Verve F* PLDI 2010 POPL 2012 Tools: Certified Programming Textbooks: with Dependent Types 17

  35. Mathematical Foundations of SDN 18

  36. OpenFlow 1.0 specification 42 pages of prose and C structs ... 19

  37. OpenFlow 1.0 specification 42 pages of prose and C structs ... Definition ¡ Switch ¡ := ¡ Id ¡ * ¡ Ports ¡ * ¡ FlowTbl ¡ * ¡ InBuf ¡ * ¡ OutBuf ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ * ¡ OFInBuf ¡ * ¡ OFOutBuf. 19

  38. OpenFlow 1.0 specification 42 pages of prose and C structs ... Definition ¡ Switch ¡ := ¡ Id ¡ * ¡ Ports ¡ * ¡ FlowTbl ¡ * ¡ InBuf ¡ * ¡ OutBuf ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ * ¡ OFInBuf ¡ * ¡ OFOutBuf. Definition ¡ Controller ¡ := ¡ State ¡* ¡InFunc ¡* ¡OutFunc. 19

  39. OpenFlow 1.0 specification 42 pages of prose and C structs ... Definition ¡ Switch ¡ := ¡ Id ¡ * ¡ Ports ¡ * ¡ FlowTbl ¡ * ¡ InBuf ¡ * ¡ OutBuf ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ * ¡ OFInBuf ¡ * ¡ OFOutBuf. Definition ¡ Controller ¡ := ¡ State ¡* ¡InFunc ¡* ¡OutFunc. Definition ¡ Link ¡ := ¡ (Switch ¡* ¡Port) ¡ * ¡ list ¡ Packet ¡ * ¡ (Switch ¡* ¡Port) . 19

  40. OpenFlow 1.0 specification 42 pages of prose and C structs ... Definition ¡ Switch ¡ := ¡ Id ¡ * ¡ Ports ¡ * ¡ FlowTbl ¡ * ¡ InBuf ¡ * ¡ OutBuf ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ * ¡ OFInBuf ¡ * ¡ OFOutBuf. Definition ¡ Controller ¡ := ¡ State ¡* ¡InFunc ¡* ¡OutFunc. Definition ¡ Link ¡ := ¡ (Switch ¡* ¡Port) ¡ * ¡ list ¡ Packet ¡ * ¡ (Switch ¡* ¡Port) . Definition ¡ OpenFlowLink ¡ := ¡ Id ¡ * ¡ list ¡SwitchMsg ¡ * ¡ list ¡CtrlMsg . 19

  41. /* ¡Fields ¡to ¡match ¡against ¡flows ¡*/ struct ¡ofp_match ¡{ ¡ ¡ ¡ ¡uint32_t ¡wildcards; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Wildcard ¡fields. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡in_port; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡switch ¡port. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡dl_src[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡dl_dst[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡dl_vlan; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡dl_vlan_pcp; ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN ¡priority. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡pad1[1]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡ ¡ ¡uint16_5 ¡dl_type; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Ethernet ¡frame ¡type. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡nw_tos; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡ToS ¡(DSCP ¡field, ¡6 ¡bits). ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡nw_proto; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡protocol ¡or ¡lower ¡8 ¡bits ¡of ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ARP ¡opcode. ¡*/ ¡ ¡ ¡ ¡ uint8_t ¡pad2[2]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡source ¡port. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡destination ¡port. ¡*/ }; OFP_ASSERT( sizeof ( struct ¡ofp_match) ¡ == ¡40); 20

  42. /* ¡Fields ¡to ¡match ¡against ¡flows ¡*/ Record ¡ Pattern ¡ : ¡ Type ¡ := ¡ MkPattern ¡ { struct ¡ofp_match ¡{ ¡ ¡dlSrc ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint32_t ¡wildcards; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Wildcard ¡fields. ¡*/ ¡ ¡dlDst ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint16_t ¡in_port; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡switch ¡port. ¡*/ ¡ ¡dlType ¡ : ¡ Wildcard ¡ EthernetType; ¡ ¡ ¡ ¡ uint8_t ¡dl_src[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡source ¡address. ¡*/ ¡ ¡dlVlan ¡ : ¡ Wildcard ¡ VLAN; ¡ ¡ ¡ ¡ uint8_t ¡dl_dst[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡destination ¡address. ¡*/ ¡ ¡dlVlanPcp ¡ : ¡ Wildcard ¡ VLANPriority; ¡ ¡ ¡ ¡uint16_t ¡dl_vlan; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN. ¡*/ ¡ ¡nwSrc ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡dl_vlan_pcp; ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN ¡priority. ¡*/ ¡ ¡nwDst ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡pad1[1]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡nwProto ¡ : ¡ Wildcard ¡ IPProtocol; ¡ ¡ ¡ ¡uint16_5 ¡dl_type; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Ethernet ¡frame ¡type. ¡*/ ¡ ¡nwTos ¡ : ¡ Wildcard ¡ IPTypeOfService; ¡ ¡ ¡ ¡ uint8_t ¡nw_tos; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡ToS ¡(DSCP ¡field, ¡6 ¡bits). ¡*/ ¡ ¡tpSrc ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ uint8_t ¡nw_proto; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡protocol ¡or ¡lower ¡8 ¡bits ¡of ¡ ¡tpDst ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ARP ¡opcode. ¡*/ ¡ ¡inPort ¡ : ¡ Wildcard ¡ Port ¡ ¡ ¡ ¡ uint8_t ¡pad2[2]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ }. ¡ ¡ ¡ ¡uint32_t ¡nw_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡source ¡port. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡destination ¡port. ¡*/ }; OFP_ASSERT( sizeof ( struct ¡ofp_match) ¡ == ¡40); 20

  43. /* ¡Fields ¡to ¡match ¡against ¡flows ¡*/ Record ¡ Pattern ¡ : ¡ Type ¡ := ¡ MkPattern ¡ { struct ¡ofp_match ¡{ ¡ ¡dlSrc ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint32_t ¡wildcards; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Wildcard ¡fields. ¡*/ ¡ ¡dlDst ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint16_t ¡in_port; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡switch ¡port. ¡*/ ¡ ¡dlType ¡ : ¡ Wildcard ¡ EthernetType; ¡ ¡ ¡ ¡ uint8_t ¡dl_src[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡source ¡address. ¡*/ ¡ ¡dlVlan ¡ : ¡ Wildcard ¡ VLAN; ¡ ¡ ¡ ¡ uint8_t ¡dl_dst[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡destination ¡address. ¡*/ ¡ ¡dlVlanPcp ¡ : ¡ Wildcard ¡ VLANPriority; ¡ ¡ ¡ ¡uint16_t ¡dl_vlan; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN. ¡*/ ¡ ¡nwSrc ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡dl_vlan_pcp; ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN ¡priority. ¡*/ ¡ ¡nwDst ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡pad1[1]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡nwProto ¡ : ¡ Wildcard ¡ IPProtocol; ¡ ¡ ¡ ¡uint16_5 ¡dl_type; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Ethernet ¡frame ¡type. ¡*/ ¡ ¡nwTos ¡ : ¡ Wildcard ¡ IPTypeOfService; ¡ ¡ ¡ ¡ uint8_t ¡nw_tos; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡ToS ¡(DSCP ¡field, ¡6 ¡bits). ¡*/ ¡ ¡tpSrc ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ uint8_t ¡nw_proto; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡protocol ¡or ¡lower ¡8 ¡bits ¡of ¡ ¡tpDst ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ARP ¡opcode. ¡*/ ¡ ¡inPort ¡ : ¡ Wildcard ¡ Port ¡ ¡ ¡ ¡ uint8_t ¡pad2[2]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ }. ¡ ¡ ¡ ¡uint32_t ¡nw_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡source ¡port. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡destination ¡port. ¡*/ }; OFP_ASSERT( sizeof ( struct ¡ofp_match) ¡ == ¡40); 20

  44. /* ¡Fields ¡to ¡match ¡against ¡flows ¡*/ Record ¡ Pattern ¡ : ¡ Type ¡ := ¡ MkPattern ¡ { struct ¡ofp_match ¡{ ¡ ¡dlSrc ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint32_t ¡wildcards; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Wildcard ¡fields. ¡*/ ¡ ¡dlDst ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint16_t ¡in_port; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡switch ¡port. ¡*/ ¡ ¡dlType ¡ : ¡ Wildcard ¡ EthernetType; ¡ ¡ ¡ ¡ uint8_t ¡dl_src[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡source ¡address. ¡*/ ¡ ¡dlVlan ¡ : ¡ Wildcard ¡ VLAN; ¡ ¡ ¡ ¡ uint8_t ¡dl_dst[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡destination ¡address. ¡*/ ¡ ¡dlVlanPcp ¡ : ¡ Wildcard ¡ VLANPriority; ¡ ¡ ¡ ¡uint16_t ¡dl_vlan; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN. ¡*/ ¡ ¡nwSrc ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡dl_vlan_pcp; ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN ¡priority. ¡*/ ¡ ¡nwDst ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡pad1[1]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡nwProto ¡ : ¡ Wildcard ¡ IPProtocol; ¡ ¡ ¡ ¡uint16_5 ¡dl_type; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Ethernet ¡frame ¡type. ¡*/ ¡ ¡nwTos ¡ : ¡ Wildcard ¡ IPTypeOfService; ¡ ¡ ¡ ¡ uint8_t ¡nw_tos; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡ToS ¡(DSCP ¡field, ¡6 ¡bits). ¡*/ ¡ ¡tpSrc ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ uint8_t ¡nw_proto; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡protocol ¡or ¡lower ¡8 ¡bits ¡of ¡ ¡tpDst ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ARP ¡opcode. ¡*/ ¡ ¡inPort ¡ : ¡ Wildcard ¡ Port ¡ ¡ ¡ ¡ uint8_t ¡pad2[2]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ }. ¡ ¡ ¡ ¡uint32_t ¡nw_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡source ¡port. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡destination ¡port. ¡*/ }; OFP_ASSERT( sizeof ( struct ¡ofp_match) ¡ == ¡40); Definition ¡ Pattern_inter ¡ ( p ¡p' :Pattern) ¡ := ¡ ¡ let ¡dlSrc ¡ := ¡ Wildcard_inter ¡EthernetAddress.eqdec ¡ ( ptrnDlSrc ¡p ) ¡ ( ptrnDlSrc ¡p' ) ¡ in ¡ ¡ let ¡dlDst ¡ := ¡ Wildcard_inter ¡EthernetAddress.eqdec ¡ ( ptrnDlDst ¡p ) ¡ ( ptrnDlDst ¡p' ) ¡ in ¡ ¡ let ¡dlType ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnDlType ¡p ) ¡ ( ptrnDlType ¡p' ) ¡ in ¡ ¡ let ¡dlVlan ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnDlVlan ¡p ) ¡ ( ptrnDlVlan ¡p' ) ¡ in ¡ ¡ let ¡dlVlanPcp ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnDlVlanPcp ¡p ) ¡ ( ptrnDlVlanPcp ¡p' ) ¡ in ¡ ¡ let ¡nwSrc ¡ := ¡ Wildcard_inter ¡Word32.eqdec ¡ ( ptrnNwSrc ¡p ) ¡ ( ptrnNwSrc ¡p' ) ¡ in ¡ ¡ let ¡nwDst ¡ := ¡ Wildcard_inter ¡Word32.eqdec ¡ ( ptrnNwDst ¡p ) ¡ ( ptrnNwDst ¡p' ) ¡ in ¡ ¡ let ¡nwProto ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnNwProto ¡p ) ¡ ( ptrnNwProto ¡p' ) ¡ in ¡ ¡ let ¡nwTos ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnNwTos ¡p ) ¡ ( ptrnNwTos ¡p' ) ¡ in ¡ ¡ let ¡tpSrc ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnTpSrc ¡p ) ¡ ( ptrnTpSrc ¡p' ) ¡ in ¡ ¡ let ¡tpDst ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnTpDst ¡p ) ¡ ( ptrnTpDst ¡p' ) ¡ in ¡ ¡ let ¡inPort ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnInPort ¡p ) ¡ ( ptrnInPort ¡p' ) ¡ in ¡ ¡ ¡ ¡ MkPattern ¡dlSrc ¡dlDst ¡dlType ¡dlVlan ¡dlVlanPcp ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡nwSrc ¡nwDst ¡nwProto ¡nwTos ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡tpSrc ¡tpDst ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡inPort . Definition ¡exact_pattern ¡ ( pk ¡ : ¡ Packet) ¡ ( pt ¡ : ¡Word16. T) ¡ : ¡ Pattern ¡ := ¡ ¡ MkPattern ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlSrc ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlTyp ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlVlan ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlVlanPcp ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwSrc ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwProto ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwTos ¡pk )) ¡ ¡ ¡ ¡ (Wildcard_of_option ¡ ( pktTpSrc ¡pk )) ¡ ¡ ¡ ¡ (Wildcard_of_option ¡ ( pktTpDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡pt ). 20 Definition ¡match_packet ¡ ( pt ¡ : ¡Word16. T) ¡ ( pk ¡ : ¡ Packet) ¡ ( pat ¡ : ¡ Pattern) ¡ : ¡ bool ¡ := ¡ ¡negb ¡ (Pattern_is_empty ¡ (Pattern_inter ¡ ( exact_pattern ¡pk ¡pt ) ¡pat )).

  45. /* ¡Fields ¡to ¡match ¡against ¡flows ¡*/ Record ¡ Pattern ¡ : ¡ Type ¡ := ¡ MkPattern ¡ { struct ¡ofp_match ¡{ ¡ ¡dlSrc ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint32_t ¡wildcards; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Wildcard ¡fields. ¡*/ ¡ ¡dlDst ¡ : ¡ Wildcard ¡ EthernetAddress; ¡ ¡ ¡ ¡uint16_t ¡in_port; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡switch ¡port. ¡*/ ¡ ¡dlType ¡ : ¡ Wildcard ¡ EthernetType; ¡ ¡ ¡ ¡ uint8_t ¡dl_src[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡source ¡address. ¡*/ ¡ ¡dlVlan ¡ : ¡ Wildcard ¡ VLAN; ¡ ¡ ¡ ¡ uint8_t ¡dl_dst[OFP_ETH_ALEN]; ¡ /* ¡Ethernet ¡destination ¡address. ¡*/ ¡ ¡dlVlanPcp ¡ : ¡ Wildcard ¡ VLANPriority; ¡ ¡ ¡ ¡uint16_t ¡dl_vlan; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN. ¡*/ ¡ ¡nwSrc ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡dl_vlan_pcp; ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Input ¡VLAN ¡priority. ¡*/ ¡ ¡nwDst ¡ : ¡ Wildcard ¡ IPAddress; ¡ ¡ ¡ ¡ uint8_t ¡pad1[1]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ ¡ ¡nwProto ¡ : ¡ Wildcard ¡ IPProtocol; ¡ ¡ ¡ ¡uint16_5 ¡dl_type; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Ethernet ¡frame ¡type. ¡*/ ¡ ¡nwTos ¡ : ¡ Wildcard ¡ IPTypeOfService; ¡ ¡ ¡ ¡ uint8_t ¡nw_tos; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡ToS ¡(DSCP ¡field, ¡6 ¡bits). ¡*/ ¡ ¡tpSrc ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ uint8_t ¡nw_proto; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡protocol ¡or ¡lower ¡8 ¡bits ¡of ¡ ¡tpDst ¡ : ¡ Wildcard ¡ TransportPort; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ARP ¡opcode. ¡*/ ¡ ¡inPort ¡ : ¡ Wildcard ¡ Port ¡ ¡ ¡ ¡ uint8_t ¡pad2[2]; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡Align ¡to ¡64-­‑bits. ¡*/ }. ¡ ¡ ¡ ¡uint32_t ¡nw_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡source ¡address. ¡*/ ¡ ¡ ¡ ¡uint32_t ¡nw_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡IP ¡destination ¡address. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_src; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡source ¡port. ¡*/ ¡ ¡ ¡ ¡uint16_t ¡tp_dst; ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ /* ¡TCP/UDP ¡destination ¡port. ¡*/ }; OFP_ASSERT( sizeof ( struct ¡ofp_match) ¡ == ¡40); Definition ¡ Pattern_inter ¡ ( p ¡p' :Pattern) ¡ := detailed model of matching, forwarding, and flow table update ¡ ¡ let ¡dlSrc ¡ := ¡ Wildcard_inter ¡EthernetAddress.eqdec ¡ ( ptrnDlSrc ¡p ) ¡ ( ptrnDlSrc ¡p' ) ¡ in ¡ ¡ let ¡dlDst ¡ := ¡ Wildcard_inter ¡EthernetAddress.eqdec ¡ ( ptrnDlDst ¡p ) ¡ ( ptrnDlDst ¡p' ) ¡ in ¡ ¡ let ¡dlType ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnDlType ¡p ) ¡ ( ptrnDlType ¡p' ) ¡ in ¡ ¡ let ¡dlVlan ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnDlVlan ¡p ) ¡ ( ptrnDlVlan ¡p' ) ¡ in ¡ ¡ let ¡dlVlanPcp ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnDlVlanPcp ¡p ) ¡ ( ptrnDlVlanPcp ¡p' ) ¡ in ¡ ¡ let ¡nwSrc ¡ := ¡ Wildcard_inter ¡Word32.eqdec ¡ ( ptrnNwSrc ¡p ) ¡ ( ptrnNwSrc ¡p' ) ¡ in ¡ ¡ let ¡nwDst ¡ := ¡ Wildcard_inter ¡Word32.eqdec ¡ ( ptrnNwDst ¡p ) ¡ ( ptrnNwDst ¡p' ) ¡ in ¡ ¡ let ¡nwProto ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnNwProto ¡p ) ¡ ( ptrnNwProto ¡p' ) ¡ in ¡ ¡ let ¡nwTos ¡ := ¡ Wildcard_inter ¡Word8.eqdec ¡ ( ptrnNwTos ¡p ) ¡ ( ptrnNwTos ¡p' ) ¡ in ¡ ¡ let ¡tpSrc ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnTpSrc ¡p ) ¡ ( ptrnTpSrc ¡p' ) ¡ in ¡ ¡ let ¡tpDst ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnTpDst ¡p ) ¡ ( ptrnTpDst ¡p' ) ¡ in ¡ ¡ let ¡inPort ¡ := ¡ Wildcard_inter ¡Word16.eqdec ¡ ( ptrnInPort ¡p ) ¡ ( ptrnInPort ¡p' ) ¡ in ¡ ¡ ¡ ¡ MkPattern ¡dlSrc ¡dlDst ¡dlType ¡dlVlan ¡dlVlanPcp ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡nwSrc ¡nwDst ¡nwProto ¡nwTos ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡tpSrc ¡tpDst ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡inPort . Definition ¡exact_pattern ¡ ( pk ¡ : ¡ Packet) ¡ ( pt ¡ : ¡Word16. T) ¡ : ¡ Pattern ¡ := ¡ ¡ MkPattern ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlSrc ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlTyp ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlVlan ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktDlVlanPcp ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwSrc ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwProto ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡ ( pktNwTos ¡pk )) ¡ ¡ ¡ ¡ (Wildcard_of_option ¡ ( pktTpSrc ¡pk )) ¡ ¡ ¡ ¡ (Wildcard_of_option ¡ ( pktTpDst ¡pk )) ¡ ¡ ¡ ¡ (WildcardExact ¡pt ). 20 Definition ¡match_packet ¡ ( pt ¡ : ¡Word16. T) ¡ ( pk ¡ : ¡ Packet) ¡ ( pat ¡ : ¡ Pattern) ¡ : ¡ bool ¡ := ¡ ¡negb ¡ (Pattern_is_empty ¡ (Pattern_inter ¡ ( exact_pattern ¡pk ¡pt ) ¡pat )).

  46. “In the absence of barrier messages, switches may arbitrarily reorder messages to maximize performance.” “There is no packet output ordering guaranteed within a port.” 21

  47. “In the absence of barrier messages, switches may arbitrarily reorder messages to maximize performance.” “There is no packet output ordering guaranteed within a port.” ¡ ¡ Definition ¡ InBuf ¡ := ¡ MultiSet ¡Packet. ¡ ¡ Definition ¡ OutBuf ¡ := ¡ MultiSet ¡Packet. ¡ ¡ Definition ¡ OFInBuf ¡ := ¡ MultiSet ¡SwitchMsg. ¡ ¡ Definition ¡ OFOutBuf ¡ := ¡ MultiSet ¡CtrlMsg. 21

  48. “In the absence of barrier messages, switches may arbitrarily reorder messages to maximize performance.” “There is no packet output ordering guaranteed within a port.” essential asynchrony: packet buffers, message reordering, and barriers ¡ ¡ Definition ¡ InBuf ¡ := ¡ MultiSet ¡Packet. ¡ ¡ Definition ¡ OutBuf ¡ := ¡ MultiSet ¡Packet. ¡ ¡ Definition ¡ OFInBuf ¡ := ¡ MultiSet ¡SwitchMsg. ¡ ¡ Definition ¡ OFOutBuf ¡ := ¡ MultiSet ¡CtrlMsg. 21

  49. State : abstract type f out : State → Switch ⨉ CtrlMsg ⨉ State' f in : Switch ⨉ SwitchMsg ⨉ State → State’ controller model: fully abstract 22

  50. Featherweight OpenFlow detailed model of matching, forwarding, and flow table update essential asynchrony: packet buffers, message reordering, and barriers controller model: fully abstract 23

  51. Featherweight OpenFlow detailed model of matching, forwarding, and flow table update essential asynchrony: packet buffers, message reordering, and barriers controller model: fully abstract Only possible because the specification is simple and open 23

  52. Featherweight OpenFlow detailed model of matching, forwarding, and flow table update essential asynchrony: packet buffers, message reordering, and barriers controller model: fully abstract Only possible because the specification is simple and open Future Work: counters and failures Intentionally Omitted serializing OpenFlow messages 23

  53. A Verified Controller 24

  54. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Host 1 Port 1 Port 3 Port 2 Web Request Logger Host 2 25

  55. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Host 1 Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 Port 1 dstIP: ¡H2 Fwd ¡2 Port 3 Port 2 Web Request Logger Host 2 25

  56. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Host 1 Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 Port 1 dstIP: ¡H2 Fwd ¡2 Port 3 Port 2 Web Request Logger Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) Host 2 def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 25 ¡ ¡sw.packet_out(pkt, ¡actions)

  57. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Host 1 Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 Port 1 dstIP: ¡H2 Fwd ¡2 Port 3 Port 2 Web Request Logger Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() Barriers ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) Host 2 packet_in handler def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: Frame type / protocol numbers ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 25 ¡ ¡sw.packet_out(pkt, ¡actions)

  58. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 26 ¡ ¡sw.packet_out(pkt, ¡actions)

  59. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 written by OpenFlow programmer dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 26 ¡ ¡sw.packet_out(pkt, ¡actions)

  60. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 written by OpenFlow programmer dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 inserted by controller Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 26 ¡ ¡sw.packet_out(pkt, ¡actions)

  61. Desired Policy: Block SSH traffic Forward other traffic normally Log Web requests Desired Flow Table: dstPort: ¡22 [] dstIP: ¡H1, ¡dstPort: ¡80 Fwd ¡1, ¡Fwd ¡3 written by OpenFlow programmer dstIP: ¡H2, ¡dstPort: ¡80 Fwd ¡2, ¡Fwd ¡3 dstIP: ¡H1 Fwd ¡1 dstIP: ¡H2 Fwd ¡2 inserted by controller Actual Controller ... def ¡switch_join(sw): ¡ ¡sw.flow_mod(10, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstPort: ¡22 ¡}, ¡[]) ¡ ¡sw.barrier_request() formally verified ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H1, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡1, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(9, ¡{ ¡eth: ¡0x800, ¡proto: ¡6, ¡dstIP: ¡H2, ¡dstPort: ¡80 ¡}, ¡[Fwd ¡2, ¡Fwd ¡3]) ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H1 ¡}, ¡[Fwd ¡1]) Barriers ¡ ¡sw.barrier_request() ¡ ¡sw.flow_mod(8, ¡{ ¡eth: ¡0x800, ¡dstIP: ¡H2 ¡}, ¡[Fwd ¡2]) packet_in handler def ¡packet_in(sw, ¡pkt): ¡ ¡actions ¡= ¡[] Frame type / protocol numbers ¡ ¡if ¡pkt.dstPort ¡== ¡22: ¡ ¡ ¡ ¡return transparent optimizations ¡ ¡if ¡pkt.dstPort ¡== ¡80: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡3] ¡ ¡if ¡pkt.dstIP ¡== ¡H1: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡1] ¡ ¡if ¡pkt.dstIP ¡== ¡H2: ¡ ¡ ¡ ¡actions ¡= ¡actions ¡+ ¡[Fwd ¡2] 26 ¡ ¡sw.packet_out(pkt, ¡actions)

  62. verified code serialization and physical network 27

  63. Flow Table verified code serialization and physical network 27

  64. Flow Table Optimize Smaller Flow Table verified code serialization and physical network 27

  65. Flow Table Optimize Smaller Flow Table Runtime System OpenFlow Messages verified code serialization and physical network 27

  66. Flow Table Optimize Smaller Flow Table Runtime System OpenFlow Messages verified code Serialize serialization and physical network Nettle 27

  67. Bisimulation abstract model actual OpenFlow network Controller 28

  68. Bisimulation abstract model actual OpenFlow network Controller 28

Download Presentation
Download Policy: The content available on the website is offered to you 'AS IS' for your personal information and use only. It cannot be commercialized, licensed, or distributed on other websites without prior consent from the author. To download a presentation, simply click this link. If you encounter any difficulties during the download process, it's possible that the publisher has removed the file from their server.

Recommend

Lecture 16 Introduction to Controllers and PID Controllers Process Control Prof. Kannan M.

Lecture 16 Introduction to Controllers and PID Controllers Process Control Prof. Kannan M.

Lecture 16 Introduction to Controllers and PID Controllers Process Control Prof. Kannan M. Moudgalya IIT Bombay Tuesday, 27 August 2013 1/34 Process Control Introduction to controllers Outline 1. Recalling control loop components 2.

577 views • 34 slides
Automated and machine-verified security proofs of stateful protocols Andreas Hess 1 Sebastian

Automated and machine-verified security proofs of stateful protocols Andreas Hess 1 Sebastian

Automated and machine-verified security proofs of stateful protocols Andreas Hess 1 Sebastian Mdersheim 1 Achim Brucker 2,3 Anders Schlichtkrull 1 1 Technical University of Denmark 2 The University of Sheffield 3 University of Exeter Overview 1

650 views • 26 slides
Process Instruments Controllers and Programmers Controllers and Programmers 2 Sampling of

Process Instruments Controllers and Programmers Controllers and Programmers 2 Sampling of

Process Instruments Controllers and Programmers Controllers and Programmers 2 Sampling of Served Industries 3 End User Products Thermal Processing Equipment Requiring Controls and Instrumentation Batch Furnace Batch Oven Box Furnace

1.02k views • 46 slides
EasySet Temperature Controllers 96 x 96 mm 48 x 96 mm 48 x 48 mm 1/4 DIN 1/8 DIN 1/16 DIN

EasySet Temperature Controllers 96 x 96 mm 48 x 96 mm 48 x 48 mm 1/4 DIN 1/8 DIN 1/16 DIN

EasySet Temperature Controllers EDC201 / EDC202 / EDC203 Customer Presentation EasySet Temperature Controllers 96 x 96 mm 48 x 96 mm 48 x 48 mm 1/4 DIN 1/8 DIN 1/16 DIN Control Precision Ease of Setup/Use Vivid Display 2 EasySet

457 views • 18 slides
Verified Cyber-Physical Systems [FM11] 2 Verified Cyber-Physical Systems x l x j

Verified Cyber-Physical Systems [FM11] 2 Verified Cyber-Physical Systems x l x j

Differential Refinement Logic Sarah M. Loos and Andr Platzer Computer Science Department Carnegie Mellon University 1 Verified Cyber-Physical Systems [FM11] 2 Verified Cyber-Physical Systems x l x j p x k x i

1.97k views • 179 slides
An Abstract Stack Based Approach to Verified Compositional Compilation to Machine Code Yuting Wang

An Abstract Stack Based Approach to Verified Compositional Compilation to Machine Code Yuting Wang

An Abstract Stack Based Approach to Verified Compositional Compilation to Machine Code Yuting Wang 1 , Pierre Wilke 1 , 2 , Zhong Shao 1 Yale University 1 , CentraleSuplec 2 19 January 18 th , 2019 POPL Yuting Wang, Pierre Wilke , Zhong

251 views • 21 slides
M odels for Inexact Reasoning Fuzzy Logic Lesson 8 Fuzzy Controllers M aster in

M odels for Inexact Reasoning Fuzzy Logic Lesson 8 Fuzzy Controllers M aster in

M odels for Inexact Reasoning Fuzzy Logic Lesson 8 Fuzzy Controllers M aster in Computational Logic Department of Artificial Intelligence Fuzzy Controllers Fuzzy Controllers are special expert systems KB expressed in terms of fuzzy

475 views • 20 slides
LOGIC DESIGN OF STRUCTURED CONFIGURABLE CONTROLLERS Dr Jacek Tkacz, Prof. Marian Adamski

LOGIC DESIGN OF STRUCTURED CONFIGURABLE CONTROLLERS Dr Jacek Tkacz, Prof. Marian Adamski

LOGIC DESIGN OF STRUCTURED CONFIGURABLE CONTROLLERS Dr Jacek Tkacz, Prof. Marian Adamski University of Zielona Gra (Poland) Agenda Example of control system Coloured Petri net and state machine subnets Place-centered logic

472 views • 19 slides
Verified Volunteers Verified Volunteers New Volunteer Screening Coordinator Irene Lazarus

Verified Volunteers Verified Volunteers New Volunteer Screening Coordinator Irene Lazarus

From the office of Texas Conference of SDA Human Resources ___________________________________ Verified Volunteers Verified Volunteers New Volunteer Screening Coordinator Irene Lazarus She will be working with every church and

279 views • 5 slides
Modelling and Control of Dynamic Systems PID Controllers Sven Laur University of Tartu Basic

Modelling and Control of Dynamic Systems PID Controllers Sven Laur University of Tartu Basic

Modelling and Control of Dynamic Systems PID Controllers Sven Laur University of Tartu Basic structure of a PID controller P System r [ k ] u [ k ] y [ k ] e [ k ] I + + g [ z ] D -1 PID controllers are unity feedback controllers

199 views • 15 slides
Lollipop MR1 Verified Boot Andrew Boie Open Source Technology Center Intel Corporation Agenda

Lollipop MR1 Verified Boot Andrew Boie Open Source Technology Center Intel Corporation Agenda

Lollipop MR1 Verified Boot Andrew Boie Open Source Technology Center Intel Corporation Agenda What is Verified Boot? Description of Verified Boot Components Q&A What Is Verified Boot? Verified Boot establishes a chain of

432 views • 19 slides
ModelPlex: Verified Runtime Monitors and Verified Test Oracles for Safety of Cyber-Physical

ModelPlex: Verified Runtime Monitors and Verified Test Oracles for Safety of Cyber-Physical

ModelPlex: Verified Runtime Monitors and Verified Test Oracles for Safety of Cyber-Physical Systems Stefan Mitsch Computer Science Department, Carnegie Mellon University CPS V&V I&F Workshop 2017 May 12, 2017 joint work with Andr e

537 views • 31 slides
Verified Runtime Validation of Verified Cyber-Physical System Models Stefan Mitsch Andr e

Verified Runtime Validation of Verified Cyber-Physical System Models Stefan Mitsch Andr e

Verified Runtime Validation of Verified Cyber-Physical System Models Stefan Mitsch Andr e Platzer Computer Science Department, Carnegie Mellon University CPS V&V I&F Workshop, Dec. 12, 2014 For Details, see ModelPlex paper at

504 views • 27 slides
101 iOS Container View Controllers Container View Controllers Display a view controller inside

101 iOS Container View Controllers Container View Controllers Display a view controller inside

101 iOS Container View Controllers Container View Controllers Display a view controller inside another view controller Great for reuse Great for decomposing Special segue: embed Set up with prepareForSegue View Hierarchy Tab Bar VC Main

544 views • 7 slides
Formally Verified Cryptographic Web Applications J. Protzenko et al. MSR + INRIA Verified

Formally Verified Cryptographic Web Applications J. Protzenko et al. MSR + INRIA Verified

Formally Verified Cryptographic Web Applications J. Protzenko et al. MSR + INRIA Verified Cryptographic Web Applications in WASM May. 22 st , 2019 1 / 22 in WebAssembly Jonathan Protzenko Microsoft Research Benjamin Beurdouche INRIA

1.5k views • 57 slides
Learning Step Size Controllers for Robust Neural Network Training Christian Daniel et al. Recent

Learning Step Size Controllers for Robust Neural Network Training Christian Daniel et al. Recent

Learning Step Size Controllers for Robust Neural Network Training Christian Daniel et al. Recent Trends in Automated Machine Learning Abeeha Shafiq 18.07.2019 Motivation Optimizers are sensitive to initial learning rate Good

438 views • 16 slides
Effects of Spa-al Diffusion on a Model for Prebio-c Evolu-on Ben Intoy J. Woods Halley Aaron

Effects of Spa-al Diffusion on a Model for Prebio-c Evolu-on Ben Intoy J. Woods Halley Aaron

Effects of Spa-al Diffusion on a Model for Prebio-c Evolu-on Ben Intoy J. Woods Halley Aaron Wynveen U. of MN, Twin Ci-es School of Physics and Astronomy NASA grant: NNX14AQ05G Acknowledgements: Computa-onal resources of: Minnesota

709 views • 17 slides
GSK Consumer Healthcare Friday, 21 st September 2018 Cautionary statement regarding

GSK Consumer Healthcare Friday, 21 st September 2018 Cautionary statement regarding

GSK Consumer Healthcare Friday, 21 st September 2018 Cautionary statement regarding forward-looking statements This presentation may contain forward-looking statements. Forward-looking statements give the Groups current expectations or

807 views • 43 slides
The CPU Performance Equation 40 The Performance Equation (PE) We would like to model how

The CPU Performance Equation 40 The Performance Equation (PE) We would like to model how

The CPU Performance Equation 40 The Performance Equation (PE) We would like to model how architecture impacts performance (latency) This means we need to quantify performance in terms of architectural parameters. Instruction Count

383 views • 37 slides
B I O I N F O R M A T I C S Kristel Van Steen, PhD 2 Montefiore Institute Systems and Modeling

B I O I N F O R M A T I C S Kristel Van Steen, PhD 2 Montefiore Institute Systems and Modeling

B I O I N F O R M A T I C S Kristel Van Steen, PhD 2 Montefiore Institute Systems and Modeling GIGA Bioinformatics ULg kristel.vansteen@ulg.ac.be Bioinformatics Chapter 1 1 CHAPTER 1: WHAT IT MEANS AND DOES NOT MEAN 1 Bioinformatics: a

1.54k views • 109 slides
Samba in love with GnuTLS Samba in love with GnuTLS SambaXP 2019 SambaXP 2019 Andreas Schneider

Samba in love with GnuTLS Samba in love with GnuTLS SambaXP 2019 SambaXP 2019 Andreas Schneider

6/6/2019 Samba in love with GnuTLS Samba in love with GnuTLS Samba in love with GnuTLS SambaXP 2019 SambaXP 2019 Andreas Schneider Red Hat Samba Maintainer localhost:8000/?print-pdf#/ 1/51 6/6/2019 Samba in love with GnuTLS About me

781 views • 51 slides
Lock Inference in the Presence of Large Libraries Khilan

Lock Inference in the Presence of Large Libraries Khilan

Lock Inference in the Presence of Large Libraries Khilan Gudka, Imperial College London* Tim Harris, Microso8 Research Cambridge Susan Eisenbach, Imperial

438 views • 29 slides
Opportunity Act A Workshop, February 29, 2020 SPONSORED BY HAVERHILL EDUCATION COALITION WITH

Opportunity Act A Workshop, February 29, 2020 SPONSORED BY HAVERHILL EDUCATION COALITION WITH

1 HEC SOA Workshop February 29, 2020 Haverhill Plans for the Student Opportunity Act A Workshop, February 29, 2020 SPONSORED BY HAVERHILL EDUCATION COALITION WITH DATA FROM BENCHMARK HAVERHILL SCHOOLS . COM 2 Student Opportunity Act

736 views • 41 slides
OpenFlow for QoS-Monitoring Supervisor:Prof. Dr.-Ing. Georg Carle Advisor: M.Sc. Daniel Raumer

OpenFlow for QoS-Monitoring Supervisor:Prof. Dr.-Ing. Georg Carle Advisor: M.Sc. Daniel Raumer

Network Architectures and Services, Georg Carle Faculty of Informatics Technische Universitt Mnchen, Germany OpenFlow for QoS-Monitoring Supervisor:Prof. Dr.-Ing. Georg Carle Advisor: M.Sc. Daniel Raumer M.Sc. Lukas Schwaighofer Agenda

344 views • 18 slides

More recommend