实施基本的Stateful Firewall
说明：翻译自P4官方教程P4 Tutorial的Implementing A Basic Stateful Firewall，用于帮助自己理解Bloom Fliter
介绍
本练习的目的是编写一个实现简单的stateful firewall的P4程序。为此，我们将使用Bloom Filter。此练习是在basic练习的基础上进行的，因此请务必先完成该练习再尝试。
在本练习中，我们将使用Pod拓扑结构，该拓扑由连接到四个交换机的四个主机组成，这四个交换机的连线就像在胖树拓扑的单个pod中一样。
交换机s1将配置一个P4程序，该程序将实现一个简单的stateful firewall（firewall.p4），其余的交换机将运行上一个basic练习中的IPv4路由器程序（basic.p4）。
s1上的防火墙应具有以下功能：
- 主机h1和h2在内部网络上，并且始终可以相互通信。
- 主机h1和h2可以自由连接到外部网络上的h3和h4。
- 主机h3和h4仅在从h1或h2建立连接后才可以回复，但无法主动启动与内部网络上主机的新连接。
注意：简单的Bloom Filter是在数据平面中100％使用来实现此stateful firewall的。因此可能存在哈希冲突，这些哈希冲突将使不希望看到的流通过。
我们的P4程序将针对在P4.org的bmv2软件交换机上实现的V1Model架构编写。可以在以下位置找到V1Model的体系结构文件：/usr/local/share/p4c/p4include/v1model.p4。该文件描述了体系结构中P4可编程元素的接口，受支持的外部元素以及体系结构的标准元数据字段。我们鼓励您看看它。
剧透预警
solution子目录中有参考解决方案。随时将您的实现与参考方案进行比较。
步骤1：运行（不完整的）初始代码
该自述文件所在的目录还包含框架P4程序firewall.p4。您的工作将是扩展此框架程序，以正确实施防火墙。
在此之前，让我们编译不完整的内容，firewall.p4并在Mininet中调出一个交换机来测试其行为。
-
在您的shell中，运行：
make run这将：
- 编译
firewall.p4和 - 在Mininet中启动pod-topo，并使用适当的P4程序+表条目配置所有交换机，并且
- 使用pod-topo/topology.json中列出的命令配置所有主机
- 编译
-
现在，您应该看到一个Mininet命令提示符。尝试在主机之间运行一些iperf TCP流。内部网络中的TCP流应该工作：
mininet > iperf h1 h2从内部网络中的主机到外部主机的TCP流也应该起作用：
mininet > iperf h1 h3从外部主机到内部网络主机的TCP流不工作。但是，由于尚未实施防火墙，因此以下方法应该是工作的：
mininet > iperf h3 h1 -
键入
exit以退出Mininet命令行。然后，停止mininet：make stop并删除所有pcap，构建文件和日志：
make clean
关于控制平面的注释
P4程序定义了一个数据包处理pipeline，但是每个表中的规则都由控制平面插入。当rule与数据包match时，action将使用控制平面提供的参数作为rule的一部分来调用。
在本练习中，我们已经为您实现了控制平面逻辑。作为启动Mininet实例的一部分，make命令将在每个交换机的表中安装数据包处理规则。这些定义在sX-runtime.json文件中，其中X对应于交换机编号。
重要提示：我们使用P4Runtime安装控制平面规则。文件的内容sX-runtime.json指的是table，key和action的特定名称，这些名称在编译器生成的P4Info文件中定义（执行make run后查找文件build/firewall.p4.p4info.txt）。P4程序中添加或重命名table，key和action的任何更改将需要在这些sX-runtime.json文件中设定。
步骤2：实施防火墙
该firewall.p4文件包含一个框架P4程序，其关键逻辑部分已被TODO注释替换。您的实现应遵循此文件中给出的结构——用TODO实现缺失部分的逻辑替换每个结构。
高级方法：我们将使用具有两个哈希函数的Bloom Filter来检查进入内部网络的数据包是否是已建立的TCP连接的一部分。我们将为Bloom Filter使用两个不同的register array，每个数组均由哈希函数进行更新。使用不同的register array使我们的设计适用于高速P4目标，该目标通常仅允许每个数据包访问一个register array。
一个完整的firewall.p4将包含以下组件：
- 以太网（
ethernet_t），IPv4（ipv4_t）和TCP（tcp_t）的标头类型定义。 - 填充解析器的以太网，IPv4和TCP的
ethernet_t，ipv4_t以及tcp_t字段。 - 使用丢弃数据包的动作
mark_to_drop()。 - 使用哈希算法
crc16和crc32来计算Bloom Filter的两个哈希的action（称为compute_hashes）。哈希将由IPv4源和目的地址，源和目的端口号以及IPv4协议类型组成的数据包5元组上计算。
action compute_hashes(ip4Addr_t ipAddr1, ip4Addr_t ipAddr2, bit<16> port1, bit<16> port2){
// 分别用`crc16`和`crc32`计算Bloom Filter的两个哈希register的位置
hash(reg_pos_one, HashAlgorithm.crc16, (bit<32>)0, {ipAddr1, ipAddr2, port1, port2, hdr.ipv4.protocol}, (bit<32>)BLOOM_FILTER_ENTRIES);
hash(reg_pos_two, HashAlgorithm.crc32, (bit<32>)0, {ipAddr1, ipAddr2, port1, port2, hdr.ipv4.protocol}, (bit<32>)BLOOM_FILTER_ENTRIES);
}
- 将执行基本IPv4转发（从
basic.p4中采用）的action（ipv4_forward）和表（ipv4_lpm）。 - 一个动作（称为
set_direction），将根据该动作的参数简单地设置一位方向变量。 - 一个表（称为
check_ports）将读取数据包的入端口和出端口（在IPv4转发之后）并调用set_direction。如果数据包进入内部网络，则方向将设置为1。否则，方向将设置为0。为此，文件pod-topo/s1-runtime.json包含用于check_ports表的适当控制平面条目。
table check_ports {
key = {
standard_metadata.ingress_port: exact;
standard_metadata.egress_spec: exact;
}
actions = {
set_direction;
NoAction;
}
size = 1024;
default_action = NoAction();
}
- control块将：
Ⅰ.ipv4_lpm如果数据包具有有效的IPv4标头，请首先应用该表。
Ⅱ. 然后，如果TCP标头有效，则应用check_ports表确定方向。
Ⅲ. 应用compute_hashesaction来计算两个哈希值，它们是Bloom Filter（reg_pos_one和reg_pos_two）的两个register array中的bit位置。当方向为1即数据包进入内部网络时，compute_hashes将通过交换源和目的IPv4地址以及源和目的端口来调用。最初从内部网络建立TCP连接时，这是为了检查Bloom Filter的set bits。
Ⅳ. TODO：如果TCP数据包正从内部网络传出并且是SYN数据包，则将两个Bloom Filter数组都设置在计算出的bit位置（reg_pos_one和reg_pos_two）。否则，如果TCP数据包进入内部网络，则在计算出的bit位置读取两个Bloom Filter数组，如果未设置任何数据包，则丢弃该数据包。
apply {
if (hdr.ipv4.isValid()){
ipv4_lpm.apply();
if (hdr.tcp.isValid()){
direction = 0; // 初始化默认值
if (check_ports.apply().hit) {
// test and set the bloom filter
if (direction == 0) {
compute_hashes(hdr.ipv4.srcAddr, hdr.ipv4.dstAddr, hdr.tcp.srcPort, hdr.tcp.dstPort);
}
else {
compute_hashes(hdr.ipv4.dstAddr, hdr.ipv4.srcAddr, hdr.tcp.dstPort, hdr.tcp.srcPort);
}
// TCP数据包正从内部网络传出
if (direction == 0){
// TCP数据包是SYN数据包
if (hdr.tcp.syn == 1){
bloom_filter_1.write(reg_pos_one, 1);
bloom_filter_2.write(reg_pos_two, 1);
}
}
// TCP数据包进入内部网络
else if (direction == 1){
// 计算出的bit位置读取两个Bloom Filter数组
bloom_filter_1.read(reg_val_one, reg_pos_one);
bloom_filter_2.read(reg_val_two, reg_pos_two);
// 仅当两个条目都设置为1才允许流通过
if (reg_val_one != 1 || reg_val_two != 1){
drop();
}
}
}
}
}
}
- Deparser以正确的顺序emit以太网，IPv4和TCP标头。
- Parser，control和deparser随附的
package实例化。
通常，程序包还需要校验和验证和重新计算控件的实例。这些对于本教程不是必需的，因此由空控件的实例化代替。
步骤3：运行您的解决方案
请按照步骤1中的说明进行操作。这一次，防火墙应阻止h3和h1之间的iperf通信。
精神食粮
您可能已经注意到，在这个简单的stateful firewall中，我们正在向Bloom Filter添加新的TCP连接（基于传出的SYN数据包）。但是，在TCP连接断开（FIN数据包）的情况下，我们不会将其删除。您将如何删除不再活动的TCP连接？
注意事项：
我们能否在收到FIN数据包时简单地将Bloom Filter数组位设置为
0？当两个active TCP连接之间的Bloom Filter数组中发生一次哈希冲突时，会发生什么情况？我们如何修改布隆过滤器结构，以便可以正确支持删除操作？
故障排除
在开发程序时，可能会出现一些问题：
firewall.p4可能无法编译。在这种情况下，make run将报告编译器发出的错误并暂停。firewall.p4可能会编译，但无法支持s1-runtime.json文件中的控制平面规则，该规则会尝试使用P4Runtime安装。在这种情况下，如果无法安装控制平面规则，make run将报告error。使用这些error消息来修复您的firewall.p4实现。firewall.p4可能会编译，并且可能安装了控制平面规则，但是交换机可能无法以所需的方式处理数据包。logs/sX.log文件包含详细的日志，这些日志描述每个交换机如何处理每个数据包。输出是详尽的，可以帮助您查明实现中的逻辑错误。
清理Mininet
在以上的后两种情况下，make run可能会使Mininet实例在后台运行。使用以下命令清除这些实例：
make stop
