实施基本的Stateful Firewall

说明：翻译自P4官方教程P4 Tutorial的Implementing A Basic Stateful Firewall，用于帮助自己理解Bloom Fliter

介绍

本练习的目的是编写一个实现简单的stateful firewall的P4程序。为此，我们将使用Bloom Filter。此练习是在basic练习的基础上进行的，因此请务必先完成该练习再尝试。

在本练习中，我们将使用Pod拓扑结构，该拓扑由连接到四个交换机的四个主机组成，这四个交换机的连线就像在胖树拓扑的单个pod中一样。

firewall-topo

交换机s1将配置一个P4程序，该程序将实现一个简单的stateful firewall（firewall.p4），其余的交换机将运行上一个basic练习中的IPv4路由器程序（basic.p4）。

s1上的防火墙应具有以下功能：

• 主机h1和h2在内部网络上，并且始终可以相互通信。
• 主机h1和h2可以自由连接到外部网络上的h3和h4。
• 主机h3和h4仅在从h1或h2建立连接后才可以回复，但无法主动启动与内部网络上主机的新连接。

注意：简单的Bloom Filter是在数据平面中100％使用来实现此stateful firewall的。因此可能存在哈希冲突，这些哈希冲突将使不希望看到的流通过。

我们的P4程序将针对在P4.org的bmv2软件交换机上实现的V1Model架构编写。可以在以下位置找到V1Model的体系结构文件：/usr/local/share/p4c/p4include/v1model.p4。该文件描述了体系结构中P4可编程元素的接口，受支持的外部元素以及体系结构的标准元数据字段。我们鼓励您看看它。

剧透预警solution子目录中有参考解决方案。随时将您的实现与参考方案进行比较。

步骤1：运行（不完整的）初始代码

该自述文件所在的目录还包含框架P4程序firewall.p4。您的工作将是扩展此框架程序，以正确实施防火墙。

在此之前，让我们编译不完整的内容，firewall.p4并在Mininet中调出一个交换机来测试其行为。

1. 在您的shell中，运行：

   make run
   

   这将：

   • 编译firewall.p4和
   • 在Mininet中启动pod-topo，并使用适当的P4程序+表条目配置所有交换机，并且
   • 使用pod-topo/topology.json中列出的命令配置所有主机

2. 现在，您应该看到一个Mininet命令提示符。尝试在主机之间运行一些iperf TCP流。内部网络中的TCP流应该工作：

   mininet > iperf h1 h2
   

   从内部网络中的主机到外部主机的TCP流也应该起作用：

   mininet > iperf h1 h3
   

   从外部主机到内部网络主机的TCP流不工作。但是，由于尚未实施防火墙，因此以下方法应该是工作的：

   mininet > iperf h3 h1
   

3. 键入exit以退出Mininet命令行。然后，停止mininet：

   make stop
   

   并删除所有pcap，构建文件和日志：

   make clean
   

关于控制平面的注释

P4程序定义了一个数据包处理pipeline，但是每个表中的规则都由控制平面插入。当rule与数据包match时，action将使用控制平面提供的参数作为rule的一部分来调用。

在本练习中，我们已经为您实现了控制平面逻辑。作为启动Mininet实例的一部分，make命令将在每个交换机的表中安装数据包处理规则。这些定义在sX-runtime.json文件中，其中X对应于交换机编号。

重要提示：我们使用P4Runtime安装控制平面规则。文件的内容sX-runtime.json指的是table，key和action的特定名称，这些名称在编译器生成的P4Info文件中定义（执行make run后查找文件build/firewall.p4.p4info.txt）。P4程序中添加或重命名table，key和action的任何更改将需要在这些sX-runtime.json文件中设定。

步骤2：实施防火墙

该firewall.p4文件包含一个框架P4程序，其关键逻辑部分已被TODO注释替换。您的实现应遵循此文件中给出的结构——用TODO实现缺失部分的逻辑替换每个结构。

高级方法：我们将使用具有两个哈希函数的Bloom Filter来检查进入内部网络的数据包是否是已建立的TCP连接的一部分。我们将为Bloom Filter使用两个不同的register array，每个数组均由哈希函数进行更新。使用不同的register array使我们的设计适用于高速P4目标，该目标通常仅允许每个数据包访问一个register array。

一个完整的firewall.p4将包含以下组件：

1. 以太网（ethernet_t），IPv4（ipv4_t）和TCP（tcp_t）的标头类型定义。
2. 填充解析器的以太网，IPv4和TCP的ethernet_t，ipv4_t以及tcp_t字段。
3. 使用丢弃数据包的动作mark_to_drop()。
4. 使用哈希算法crc16和crc32来计算Bloom Filter的两个哈希的action（称为compute_hashes）。哈希将由IPv4源和目的地址，源和目的端口号以及IPv4协议类型组成的数据包5元组上计算。

action compute_hashes(ip4Addr_t ipAddr1, ip4Addr_t ipAddr2, bit<16> port1, bit<16> port2){
   // 分别用`crc16`和`crc32`计算Bloom Filter的两个哈希register的位置
   hash(reg_pos_one, HashAlgorithm.crc16, (bit<32>)0, {ipAddr1, ipAddr2, port1, port2, hdr.ipv4.protocol}, (bit<32>)BLOOM_FILTER_ENTRIES);
   hash(reg_pos_two, HashAlgorithm.crc32, (bit<32>)0, {ipAddr1, ipAddr2, port1, port2, hdr.ipv4.protocol}, (bit<32>)BLOOM_FILTER_ENTRIES);
}

5. 将执行基本IPv4转发（从basic.p4中采用）的action（ipv4_forward）和表（ipv4_lpm）。
6. 一个动作（称为set_direction），将根据该动作的参数简单地设置一位方向变量。
7. 一个表（称为check_ports）将读取数据包的入端口和出端口（在IPv4转发之后）并调用set_direction。如果数据包进入内部网络，则方向将设置为1。否则，方向将设置为0。为此，文件pod-topo/s1-runtime.json包含用于check_ports表的适当控制平面条目。

table check_ports {
    key = {
        standard_metadata.ingress_port: exact;
        standard_metadata.egress_spec: exact;
    }
    actions = {
        set_direction;
        NoAction;
    }
    size = 1024;
    default_action = NoAction();
}

8. control块将：
   Ⅰ. ipv4_lpm如果数据包具有有效的IPv4标头，请首先应用该表。
   Ⅱ. 然后，如果TCP标头有效，则应用check_ports表确定方向。
   Ⅲ. 应用compute_hashesaction来计算两个哈希值，它们是Bloom Filter（reg_pos_one和reg_pos_two）的两个register array中的bit位置。当方向为1即数据包进入内部网络时，compute_hashes将通过交换源和目的IPv4地址以及源和目的端口来调用。最初从内部网络建立TCP连接时，这是为了检查Bloom Filter的set bits。
   Ⅳ. TODO：如果TCP数据包正从内部网络传出并且是SYN数据包，则将两个Bloom Filter数组都设置在计算出的bit位置（reg_pos_one和reg_pos_two）。否则，如果TCP数据包进入内部网络，则在计算出的bit位置读取两个Bloom Filter数组，如果未设置任何数据包，则丢弃该数据包。

apply {
    if (hdr.ipv4.isValid()){
        ipv4_lpm.apply();
        if (hdr.tcp.isValid()){
            direction = 0; // 初始化默认值
            if (check_ports.apply().hit) {
                // test and set the bloom filter
                if (direction == 0) {
                    compute_hashes(hdr.ipv4.srcAddr, hdr.ipv4.dstAddr, hdr.tcp.srcPort, hdr.tcp.dstPort);
                }
                else {
                    compute_hashes(hdr.ipv4.dstAddr, hdr.ipv4.srcAddr, hdr.tcp.dstPort, hdr.tcp.srcPort);
                }
                // TCP数据包正从内部网络传出
                if (direction == 0){
                    // TCP数据包是SYN数据包
                    if (hdr.tcp.syn == 1){
                        bloom_filter_1.write(reg_pos_one, 1);
                        bloom_filter_2.write(reg_pos_two, 1);
                    }
                }
                // TCP数据包进入内部网络
                else if (direction == 1){
                    // 计算出的bit位置读取两个Bloom Filter数组
                    bloom_filter_1.read(reg_val_one, reg_pos_one);
                    bloom_filter_2.read(reg_val_two, reg_pos_two);
                    // 仅当两个条目都设置为1才允许流通过
                    if (reg_val_one != 1 || reg_val_two != 1){
                        drop();
                    }
                }
            }
        }
    }
}

9. Deparser以正确的顺序emit以太网，IPv4和TCP标头。
10. Parser，control和deparser随附的package实例化。

通常，程序包还需要校验和验证和重新计算控件的实例。这些对于本教程不是必需的，因此由空控件的实例化代替。

步骤3：运行您的解决方案

请按照步骤1中的说明进行操作。这一次，防火墙应阻止h3和h1之间的iperf通信。

精神食粮

您可能已经注意到，在这个简单的stateful firewall中，我们正在向Bloom Filter添加新的TCP连接（基于传出的SYN数据包）。但是，在TCP连接断开（FIN数据包）的情况下，我们不会将其删除。您将如何删除不再活动的TCP连接？

注意事项：

• 我们能否在收到FIN数据包时简单地将Bloom Filter数组位设置为0？当两个active TCP连接之间的Bloom Filter数组中发生一次哈希冲突时，会发生什么情况？

• 我们如何修改布隆过滤器结构，以便可以正确支持删除操作？

故障排除

在开发程序时，可能会出现一些问题：

1. firewall.p4可能无法编译。在这种情况下，make run将报告编译器发出的错误并暂停。

2. firewall.p4可能会编译，但无法支持s1-runtime.json文件中的控制平面规则，该规则会尝试使用P4Runtime安装。在这种情况下，如果无法安装控制平面规则，make run将报告error。使用这些error消息来修复您的firewall.p4实现。

3. firewall.p4可能会编译，并且可能安装了控制平面规则，但是交换机可能无法以所需的方式处理数据包。logs/sX.log文件包含详细的日志，这些日志描述每个交换机如何处理每个数据包。输出是详尽的，可以帮助您查明实现中的逻辑错误。

清理Mininet

在以上的后两种情况下，make run可能会使Mininet实例在后台运行。使用以下命令清除这些实例：

make stop