Lagopusで試すFW

Copyright©2014 NTT corp. All Rights Reserved.

Lagopusで試すFirewall

OpenFlow1.3で実現する

FW運用のテストツール試作

2015/09/29

hibitomo

1 Copyright©2014 NTT corp. All Rights Reserved.

はじめに

今回の内容はTremaday#7で発表した内容＋αです．

Tremadayでのリクエストにお応えして，ACLのテスト駆動をデモします．


Agenda

Lagopus/OpenFlowについて

お約束

TremaDayの内容

聞いたことある人はごめんなさい

テスト駆動なFW

アーキテクチャ

Ryu certificationとおまじない

デモ


コントローラ

SDN？OpenFlow？Lagopus？

レガシーなネットワーク装置

ルータ

コントロールプレーン

データプレーン

ファイアーウォール



ロードバランサ



SDN

スイッチ


スイッチ


スイッチ



アプリ

コントローラ


アプリ

プログラマブルAPI

OpenFlowプロトコル


OpenFlow？

どういうパケットだったら

受信ポート番号，パケットヘッダの値(宛先，ソース，各種ID...)

どういう処理をする

パケットヘッダの追加，削除，編集

転送(ユニキャスト，マルチキャスト，ロードバランシング...)

コントローラにパケットを転送して処理も可能

OpenFlow コントローラ


OpenFlow プロトコル

OpenFlow スイッチ


Flow Table

フローパターンアクション

フローパターンアクションカウンター

カウンター

Flow Table #2

Flow Table #3

Flow Table #4


Lagopus

OpenFlowスイッチのソフトウェア実装

汎用x86サーバで動作可能

高速なパケット処理と幅広いプロトコルに対応

> 10Gbps

OpenFlow仕様に幅広く対応

OpenFlow コントローラ


OpenFlow プロトコル

OpenFlow スイッチ


Flow Table

フローパターンアクション

フローパターンアクションカウンター

カウンター

Flow Table #2

Flow Table #3

Flow Table #4


ユースケースの例

SDN Japan 2014での実証実験

アクセスポイント

■ A Pの識別(V LA N )

■ V ID毎にQoS制御

ＰｏＥスイッチ

インターネット

アクセスポイント( ＡＰ)

La g op u sの役割


オープンソース

2014年7月31日に公開

http://lagopus.github.io/

開発への参加

コードの提供 -> GitHub Pull Request

バグレポート -> GitHub Issues

議論 -> Developers ML






2015/09/29

hibitomo


ところで

ご覧になったことありますか？

@stereocatさん, Tremaday #4

http://www.slideshare.net/stereocat55/tremafirewall




@stereocatさんのスライドです


















ところで，，，，

実装はOpenFlow1.0ベース

RangeはBitmaskでどう表現するの？？？

そもそもL4はbitmask掛けれない．．．

FWをOpenFlowで表現するのは無理？

簡単なテストにしか使えない？









ココが違う


Agenda

OpenFlow1.3で実現するFirewall

Range表記のbitmask変換

TCP/UDPポートのmask適用方法

実装（テーブル設計）


Ryu Certificationの流用

おまじない

デモ


Agenda







おまじない

デモ


Rangeの表記どうする？

そもそもTCAMで検索できているはず

TCAMは{0,1,don’t care}で検索

RangeもTCAMで検索しているなら，Lagopusでも検索できるはず．

再起アルゴリズムで

Range -> Bitmask表記のルールに変換


例題

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

0110 ~ 1111 をbitmaskのルールに分割


例題

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

0110 ~ 1111 をbitmaskのルールに分割


Algorithm 簡単(?)に

1. ****が範囲に含まれるかチェック

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

****



2. ****の範囲を2つに分割

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

1*** 0***



3. 1***はRangeに含まれる

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

1*** 0***



2’. 0***を2つに分割

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

1*** 00** 01**



2’’. 01**を2つに分割

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

00** 010* 1*** 011*



2’’. 01**を2つに分割

0 1 0 1 0 1

0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

00** 010* 1*** 011*

0110 ~ 1111 で表されるレンジは，{011*, 1***}で表されるルールの集合でちょうどカバー出来る．


Agenda







おまじない

デモ



Metadataにコピーする

しかし，Copy_Fieldは未対応．．．．

Metadata (64bit) L4 src L4 dst



単純に書きくだす．

※ルール数が65536 * 2 * 2 = 26万

for i in range(0, 65535): # SRC for ip_proto in [6, 17] : flow = {"table_id":0,"priority":1000, "actions":[{"type":"WRITE_METADATA","metadata":i << 16, "metadata_mask":0x00000000FFFF0000}], "match":{"dl_type":2048,"ip_proto":ip_proto,"tp_src":i}} mod_flow_entry(datapath, flow, ofproto.OFPFC_ADD) # DST ．．．


Lagopusなら動く

Lagopusならなんとかしてくれる．

私の戦闘力は 100万です．


その他の手

リアクティブに登録しても実現できる

1. TCP/UDPパケットが来たらPacket-In

2. ポート番号のメタデータコピーのルール追加

未登録のPort番号であれば，Packet-In

Port番号コピーのルール+ Packet-Out

コントローラ

スイッチ




Agenda



TCP/UDPポートどうする？




おまじない

デモ


実装

テーブル設計

table 0:

L4 srcポートをmetadataにコピー（32~16bitに）

table 1:

L4 dstポートをmetadataにコピー (16~0bitに)

table 2:

Range -> Bitmask変換したルール群投入

マッチしたら落とす or OUTPUT

or Next table (他のアプリケーション)


実装

Table 0のルール例

{'priority': 1000, 'table_id': 0, 'match': {'dl_type': 2048, 'ip_proto': 6, 'tp_src': 5}, 'actions': [ {'metadata_mask': 4294901760, ‘type': 'WRITE_METADATA', 'metadata': 327680} ] }

0xFFFF0000

UDP/TCP両方でルール登録

0x00050000


実装


{'priority': 1000, 'table_id': 1, 'match': {'dl_type': 2048, 'ip_proto': 17, 'tp_dst': 8}, 'actions': [ {'metadata_mask': 65535, 'type': 'WRITE_METADATA', 'metadata': 8} ] }


実装


(アドレスに意味はありません)

{"table_id":2,"priority":65535,"cookie":0, "actions":[], "match":{ "dl_type":2048, "ipv4_src":“192.168.1.10/255.255.255.240", "ipv4_dst":“192.168.1.171/255.255.255.240", "ip_proto":17, "metadata":"0x0000000000580050/0x00000000ffffffff"} }


その他メリット

ルールの追加/削除が動的に出来ます．

priorityをちゃんと考えれば．

他のアプリと組み合わせられます．

テーブル設計の競合注意

QoSも出来る

ステートは持てない．

速いかも？（試してない）


Agenda



TCP/UDPポートどうする？




おまじない

デモ


再掲






再掲


ここまでの内容

ここからの内容




Ryu Certification

SDN Framework ‘Ryu’のSwitchテストツール

スイッチのOpenFlow仕様への準拠の度合いを検証する

テストパターンはJSONで記述

http://osrg.github.io/ryu-book/ja/html/switch_test_tool.html






Ryu Certification










Ryu Certification





固定






Ryu Certification





固定

または未達検知






こうか！

Lagopus FW

補助SW 試験対象SW

Ryu Certification

テストパターンファイル

ACL

（１）パケットインのみのフローエントリ登録

（２）パケット印加

（３）パケットイン又は未達検知


未達検知のおまじない

--- /usr/local/lib/python2.7/dist-packages/ryu/tests/switch/tester.py 2015-01-16 11:41:22.000000000 +0900 +++ tester.py 2015-09-29 14:26:26.706239312 +0900 @@ -789,11 +789,7 @@ before = before_stats[target_tbl_id] after = rcv_msgs[target_tbl_id] if before['lookup'] < after['lookup']: - lookup = True - if before['matched'] < after['matched']: - raise TestFailure(self.state) - if not lookup: - raise TestError(self.state) + raise TestFailure(self.state)


テストパターンファイルの記述

ACCEPT

[ "test1", { "description":"allow sample test", "prerequisite":[ ### match -> in_port:1, action -> output:4294967293 ### ], “tests”:[ { “ingress”:[ ### テストしたいパケット ### ],

“PACKET_IN”:[ ### ingressと同じ ### ] } ] } ]

Packet_In


テストパターンファイルの記述

DROP

[ "test1", { "description":"allow sample test", "prerequisite":[ ### match -> in_port:1, action -> output:4294967293 ### ], “tests”:[ { “ingress”:[ ### テストしたいパケット ### ], “table-miss”:[ 0 ] } ] } ]

Packet_In


デモ


出力

--- Test start --- waiting for switches connection... dpid=0000000000000001 : Join target SW. dpid=0000000000000002 : Join tester SW. Network Test 1 test1-1 OK Network Test 2 ACCEPT sample test OK DROP sample test ERROR Table-miss error: increment in matched_count. --- Test end --- --- Test report --- Table-miss error(1) Network Test 2 DROP sample test OK(2) / ERROR(1)

Testログ

Summary


その他の利点

同じアーキテクチャで他のNW機器もテスト可

descriptionを書きましょう（※重要）

いろいろなプロトコルのテスト可能 VLAN

MPLS

PBB

転送，破棄以外のテストも可能 QoS

Broadcast


まとめ

Lagopus (OpenFlow1.3) でL3/L4のパケットフィルタを実現．

Ryu Certificationを利用して，パケットフィルタのテストを実現．


Thank you for your attention

This research is a part of the project for “Research and Development of Network Virtualization Technology” supported by the Ministry of Internal Affairs and Communications.

Software

Lagopusで試すFW