ofp-util: Do not allow buckets for OFPGC15_REMOVE_BUCKET.
[cascardo/ovs.git] / lib / classifier.c
index f3f4f8e..c19d81c 100644 (file)
@@ -1,5 +1,5 @@
 /*
- * Copyright (c) 2009, 2010, 2011, 2012, 2013 Nicira, Inc.
+ * Copyright (c) 2009, 2010, 2011, 2012, 2013, 2014 Nicira, Inc.
  *
  * Licensed under the Apache License, Version 2.0 (the "License");
  * you may not use this file except in compliance with the License.
 
 #include <config.h>
 #include "classifier.h"
+#include "classifier-private.h"
 #include <errno.h>
 #include <netinet/in.h>
 #include "byte-order.h"
 #include "dynamic-string.h"
-#include "flow.h"
-#include "hash.h"
-#include "hindex.h"
-#include "hmap.h"
-#include "list.h"
 #include "odp-util.h"
 #include "ofp-util.h"
-#include "ovs-thread.h"
 #include "packets.h"
-#include "tag.h"
 #include "util.h"
 #include "vlog.h"
 
 VLOG_DEFINE_THIS_MODULE(classifier);
 
-struct trie_node;
 struct trie_ctx;
 
 /* Ports trie depends on both ports sharing the same ovs_be32. */
 #define TP_PORTS_OFS32 (offsetof(struct flow, tp_src) / 4)
 BUILD_ASSERT_DECL(TP_PORTS_OFS32 == offsetof(struct flow, tp_dst) / 4);
 
-/* Prefix trie for a 'field' */
-struct cls_trie {
-    const struct mf_field *field; /* Trie field, or NULL. */
-    struct trie_node *root;       /* NULL if none. */
-};
-
-struct cls_subtable_entry {
-    struct cls_subtable *subtable;
-    tag_type tag;
-    unsigned int max_priority;
-};
-
-struct cls_subtables {
-    size_t count;          /* One past last valid array element. */
-    size_t alloc_size;     /* Number of allocated elements. */
-    struct cls_subtable_entry *array;
-};
-
-enum {
-    CLS_MAX_INDICES = 3   /* Maximum number of lookup indices per subtable. */
-};
-
-struct cls_classifier {
-    int n_rules;                    /* Total number of rules. */
-    uint8_t n_flow_segments;
-    uint8_t flow_segments[CLS_MAX_INDICES]; /* Flow segment boundaries to use
-                                             * for staged lookup. */
-    struct hmap subtables_map;      /* Contains "struct cls_subtable"s.  */
-    struct cls_subtables subtables;
-    struct hmap partitions;         /* Contains "struct cls_partition"s. */
-    struct cls_trie tries[CLS_MAX_TRIES]; /* Prefix tries. */
-    unsigned int n_tries;
-};
-
-/* A set of rules that all have the same fields wildcarded. */
-struct cls_subtable {
-    struct hmap_node hmap_node; /* Within struct cls_classifier 'subtables_map'
-                                 * hmap. */
-    struct hmap rules;          /* Contains "struct cls_rule"s. */
-    int n_rules;                /* Number of rules, including duplicates. */
-    unsigned int max_priority;  /* Max priority of any rule in the subtable. */
-    unsigned int max_count;     /* Count of max_priority rules. */
-    tag_type tag;               /* Tag generated from mask for partitioning. */
-    uint8_t n_indices;           /* How many indices to use. */
-    uint8_t index_ofs[CLS_MAX_INDICES]; /* u32 flow segment boundaries. */
-    struct hindex indices[CLS_MAX_INDICES]; /* Staged lookup indices. */
-    unsigned int trie_plen[CLS_MAX_TRIES];  /* Trie prefix length in 'mask'. */
-    int ports_mask_len;
-    struct trie_node *ports_trie; /* NULL if none. */
-    struct minimask mask;       /* Wildcards for fields. */
-    /* 'mask' must be the last field. */
-};
-
-/* Associates a metadata value (that is, a value of the OpenFlow 1.1+ metadata
- * field) with tags for the "cls_subtable"s that contain rules that match that
- * metadata value.  */
-struct cls_partition {
-    struct hmap_node hmap_node; /* In struct cls_classifier's 'partitions'
-                                 * hmap. */
-    ovs_be64 metadata;          /* metadata value for this partition. */
-    tag_type tags;              /* OR of each flow's cls_subtable tag. */
-    struct tag_tracker tracker; /* Tracks the bits in 'tags'. */
-};
-
-/* Internal representation of a rule in a "struct cls_subtable". */
-struct cls_match {
-    struct cls_rule *cls_rule;
-    struct hindex_node index_nodes[CLS_MAX_INDICES]; /* Within subtable's
-                                                      * 'indices'. */
-    struct hmap_node hmap_node; /* Within struct cls_subtable 'rules'. */
-    unsigned int priority;      /* Larger numbers are higher priorities. */
-    struct cls_partition *partition;
-    struct list list;           /* List of identical, lower-priority rules. */
-    struct miniflow flow;       /* Matching rule. Mask is in the subtable. */
-    /* 'flow' must be the last field. */
-};
-
 static struct cls_match *
 cls_match_alloc(struct cls_rule *rule)
 {
@@ -128,446 +44,94 @@ cls_match_alloc(struct cls_rule *rule)
         = xmalloc(sizeof *cls_match - sizeof cls_match->flow.inline_values
                   + MINIFLOW_VALUES_SIZE(count));
 
-    cls_match->cls_rule = rule;
-    miniflow_clone_inline(&cls_match->flow, &rule->match.flow, count);
-    cls_match->priority = rule->priority;
+    *CONST_CAST(const struct cls_rule **, &cls_match->cls_rule) = rule;
+    *CONST_CAST(int *, &cls_match->priority) = rule->priority;
+    miniflow_clone_inline(CONST_CAST(struct miniflow *, &cls_match->flow),
+                          &rule->match.flow, count);
     rule->cls_match = cls_match;
 
     return cls_match;
 }
 
-static struct cls_subtable *find_subtable(const struct cls_classifier *,
+static struct cls_subtable *find_subtable(const struct classifier *cls,
                                           const struct minimask *);
-static struct cls_subtable *insert_subtable(struct cls_classifier *,
-                                            const struct minimask *);
-
-static void destroy_subtable(struct cls_classifier *, struct cls_subtable *);
-
-static void update_subtables_after_insertion(struct cls_classifier *,
-                                             struct cls_subtable *,
-                                             unsigned int new_priority);
-static void update_subtables_after_removal(struct cls_classifier *,
-                                           struct cls_subtable *,
-                                           unsigned int del_priority);
-
-static struct cls_match *find_match_wc(const struct cls_subtable *,
-                                       const struct flow *, struct trie_ctx *,
-                                       unsigned int n_tries,
-                                       struct flow_wildcards *);
-static struct cls_match *find_equal(struct cls_subtable *,
+static struct cls_subtable *insert_subtable(struct classifier *cls,
+                                            const struct minimask *)
+    OVS_REQUIRES(cls->mutex);
+static void destroy_subtable(struct classifier *cls, struct cls_subtable *)
+    OVS_REQUIRES(cls->mutex);
+static struct cls_match *insert_rule(struct classifier *cls,
+                                     struct cls_subtable *, struct cls_rule *)
+    OVS_REQUIRES(cls->mutex);
+
+static const struct cls_match *find_match_wc(const struct cls_subtable *,
+                                             const struct flow *,
+                                             struct trie_ctx *,
+                                             unsigned int n_tries,
+                                             struct flow_wildcards *);
+static struct cls_match *find_equal(const struct cls_subtable *,
                                     const struct miniflow *, uint32_t hash);
-static struct cls_match *insert_rule(struct cls_classifier *,
-                                     struct cls_subtable *, struct cls_rule *);
-
-/* Iterates RULE over HEAD and all of the cls_rules on HEAD->list. */
-#define FOR_EACH_RULE_IN_LIST(RULE, HEAD)                               \
-    for ((RULE) = (HEAD); (RULE) != NULL; (RULE) = next_rule_in_list(RULE))
-#define FOR_EACH_RULE_IN_LIST_SAFE(RULE, NEXT, HEAD)                    \
-    for ((RULE) = (HEAD);                                               \
-         (RULE) != NULL && ((NEXT) = next_rule_in_list(RULE), true);    \
-         (RULE) = (NEXT))
-
-static struct cls_match *next_rule_in_list__(struct cls_match *);
-static struct cls_match *next_rule_in_list(struct cls_match *);
-
-static unsigned int minimask_get_prefix_len(const struct minimask *,
-                                            const struct mf_field *);
-static void trie_init(struct cls_classifier *, int trie_idx,
-                      const struct mf_field *);
-static unsigned int trie_lookup(const struct cls_trie *, const struct flow *,
-                                unsigned int *checkbits);
-static unsigned int trie_lookup_value(const struct trie_node *,
-                                      const ovs_be32 value[],
-                                      unsigned int value_bits,
-                                      unsigned int *checkbits);
-static void trie_destroy(struct trie_node *);
-static void trie_insert(struct cls_trie *, const struct cls_rule *, int mlen);
-static void trie_insert_prefix(struct trie_node **, const ovs_be32 *prefix,
-                               int mlen);
-static void trie_remove(struct cls_trie *, const struct cls_rule *, int mlen);
-static void trie_remove_prefix(struct trie_node **, const ovs_be32 *prefix,
-                               int mlen);
-static void mask_set_prefix_bits(struct flow_wildcards *, uint8_t be32ofs,
-                                 unsigned int nbits);
-static bool mask_prefix_bits_set(const struct flow_wildcards *,
-                                 uint8_t be32ofs, unsigned int nbits);
-
-static void
-cls_subtables_init(struct cls_subtables *subtables)
-{
-    memset(subtables, 0, sizeof *subtables);
-}
-
-static void
-cls_subtables_destroy(struct cls_subtables *subtables)
-{
-    free(subtables->array);
-    memset(subtables, 0, sizeof *subtables);
-}
-
-/* Subtables insertion. */
-static void
-cls_subtables_push_back(struct cls_subtables *subtables,
-                        struct cls_subtable_entry a)
-{
-    if (subtables->count == subtables->alloc_size) {
-        subtables->array = x2nrealloc(subtables->array, &subtables->alloc_size,
-                                      sizeof a);
-    }
-
-    subtables->array[subtables->count++] = a;
-}
-
-/* Move subtable entry at 'from' to 'to', shifting the elements in between
- * (including the one at 'to') accordingly. */
-static inline void
-cls_subtables_move(struct cls_subtable_entry *to,
-                   struct cls_subtable_entry *from)
-{
-    if (to != from) {
-        struct cls_subtable_entry temp = *from;
-
-        if (to > from) {
-            /* Shift entries (from,to] backwards to make space at 'to'. */
-            memmove(from, from + 1, (to - from) * sizeof *to);
-        } else {
-            /* Shift entries [to,from) forward to make space at 'to'. */
-            memmove(to + 1, to, (from - to) * sizeof *to);
-        }
-
-        *to = temp;
-    }
-}
-
-/* Subtables removal. */
-static inline void
-cls_subtables_remove(struct cls_subtables *subtables,
-                     struct cls_subtable_entry *elem)
-{
-    ssize_t size = (&subtables->array[subtables->count]
-                    - (elem + 1)) * sizeof *elem;
-    if (size > 0) {
-        memmove(elem, elem + 1, size);
-    }
-    subtables->count--;
-}
-
-#define CLS_SUBTABLES_FOR_EACH(SUBTABLE, ITER, SUBTABLES)  \
-    for ((ITER) = (SUBTABLES)->array;                      \
-         (ITER) < &(SUBTABLES)->array[(SUBTABLES)->count]  \
-             && OVS_LIKELY((SUBTABLE) = (ITER)->subtable); \
-         ++(ITER))
-#define CLS_SUBTABLES_FOR_EACH_CONTINUE(SUBTABLE, ITER, SUBTABLES) \
-    for (++(ITER);                                                 \
-         (ITER) < &(SUBTABLES)->array[(SUBTABLES)->count]          \
-             && OVS_LIKELY((SUBTABLE) = (ITER)->subtable);         \
-         ++(ITER))
-#define CLS_SUBTABLES_FOR_EACH_REVERSE(SUBTABLE, ITER, SUBTABLES)  \
-    for ((ITER) = &(SUBTABLES)->array[(SUBTABLES)->count];         \
-         (ITER) > (SUBTABLES)->array                               \
-             && OVS_LIKELY((SUBTABLE) = (--(ITER))->subtable);)
-
-static void
-cls_subtables_verify(struct cls_subtables *subtables)
-{
-    struct cls_subtable *table;
-    struct cls_subtable_entry *iter;
-    unsigned int priority = 0;
-
-    CLS_SUBTABLES_FOR_EACH_REVERSE (table, iter, subtables) {
-        if (iter->max_priority != table->max_priority) {
-            VLOG_WARN("Subtable %p has mismatching priority in cache (%u != %u)",
-                      table, iter->max_priority, table->max_priority);
-        }
-        if (iter->max_priority < priority) {
-            VLOG_WARN("Subtable cache is out of order (%u < %u)",
-                      iter->max_priority, priority);
-        }
-        priority = iter->max_priority;
-    }
-}
-
-static void
-cls_subtables_reset(struct cls_classifier *cls)
-{
-    struct cls_subtables old = cls->subtables;
-    struct cls_subtable *subtable;
-
-    VLOG_WARN("Resetting subtable cache.");
-
-    cls_subtables_verify(&cls->subtables);
-
-    cls_subtables_init(&cls->subtables);
-
-    HMAP_FOR_EACH (subtable, hmap_node, &cls->subtables_map) {
-        struct cls_match *head;
-        struct cls_subtable_entry elem;
-        struct cls_subtable *table;
-        struct cls_subtable_entry *iter, *from = NULL;
-        unsigned int new_max = 0;
-        unsigned int max_count = 0;
-        bool found;
-
-        /* Verify max_priority. */
-        HMAP_FOR_EACH (head, hmap_node, &subtable->rules) {
-            if (head->priority > new_max) {
-                new_max = head->priority;
-                max_count = 1;
-            } else if (head->priority == new_max) {
-                max_count++;
-            }
-        }
-        if (new_max != subtable->max_priority ||
-            max_count != subtable->max_count) {
-            VLOG_WARN("subtable %p (%u rules) has mismatching max_priority "
-                      "(%u) or max_count (%u). Highest priority found was %u, "
-                      "count: %u",
-                      subtable, subtable->n_rules, subtable->max_priority,
-                      subtable->max_count, new_max, max_count);
-            subtable->max_priority = new_max;
-            subtable->max_count = max_count;
-        }
-
-        /* Locate the subtable from the old cache. */
-        found = false;
-        CLS_SUBTABLES_FOR_EACH (table, iter, &old) {
-            if (table == subtable) {
-                if (iter->max_priority != new_max) {
-                    VLOG_WARN("Subtable %p has wrong max priority (%u != %u) "
-                              "in the old cache.",
-                              subtable, iter->max_priority, new_max);
-                }
-                if (found) {
-                    VLOG_WARN("Subtable %p duplicated in the old cache.",
-                              subtable);
-                }
-                found = true;
-            }
-        }
-        if (!found) {
-            VLOG_WARN("Subtable %p not found from the old cache.", subtable);
-        }
-
-        elem.subtable = subtable;
-        elem.tag = subtable->tag;
-        elem.max_priority = subtable->max_priority;
-        cls_subtables_push_back(&cls->subtables, elem);
-
-        /* Possibly move 'subtable' earlier in the priority array.  If
-         * we break out of the loop, then the subtable (at 'from')
-         * should be moved to the position right after the current
-         * element.  If the loop terminates normally, then 'iter' will
-         * be at the first array element and we'll move the subtable
-         * to the front of the array. */
-        CLS_SUBTABLES_FOR_EACH_REVERSE (table, iter, &cls->subtables) {
-            if (table == subtable) {
-                from = iter; /* Locate the subtable as we go. */
-            } else if (table->max_priority >= new_max) {
-                ovs_assert(from != NULL);
-                iter++; /* After this. */
-                break;
-            }
-        }
-
-        /* Move subtable at 'from' to 'iter'. */
-        cls_subtables_move(iter, from);
-    }
-
-    /* Verify that the old and the new have the same size. */
-    if (old.count != cls->subtables.count) {
-        VLOG_WARN("subtables cache sizes differ: old (%"PRIuSIZE
-                  ") != new (%"PRIuSIZE").",
-                  old.count, cls->subtables.count);
-    }
-
-    cls_subtables_destroy(&old);
-
-    cls_subtables_verify(&cls->subtables);
-}
-
-\f
-/* flow/miniflow/minimask/minimatch utilities.
- * These are only used by the classifier, so place them here to allow
- * for better optimization. */
-
-static inline uint64_t
-miniflow_get_map_in_range(const struct miniflow *miniflow,
-                          uint8_t start, uint8_t end, unsigned int *offset)
-{
-    uint64_t map = miniflow->map;
-    *offset = 0;
-
-    if (start > 0) {
-        uint64_t msk = (UINT64_C(1) << start) - 1; /* 'start' LSBs set */
-        *offset = count_1bits(map & msk);
-        map &= ~msk;
-    }
-    if (end < FLOW_U32S) {
-        uint64_t msk = (UINT64_C(1) << end) - 1; /* 'end' LSBs set */
-        map &= msk;
-    }
-    return map;
-}
-
-/* Returns a hash value for the bits of 'flow' where there are 1-bits in
- * 'mask', given 'basis'.
- *
- * The hash values returned by this function are the same as those returned by
- * miniflow_hash_in_minimask(), only the form of the arguments differ. */
-static inline uint32_t
-flow_hash_in_minimask(const struct flow *flow, const struct minimask *mask,
-                      uint32_t basis)
-{
-    const uint32_t *mask_values = miniflow_get_u32_values(&mask->masks);
-    const uint32_t *flow_u32 = (const uint32_t *)flow;
-    const uint32_t *p = mask_values;
-    uint32_t hash;
-    uint64_t map;
-
-    hash = basis;
-    for (map = mask->masks.map; map; map = zero_rightmost_1bit(map)) {
-        hash = mhash_add(hash, flow_u32[raw_ctz(map)] & *p++);
-    }
-
-    return mhash_finish(hash, (p - mask_values) * 4);
-}
-
-/* Returns a hash value for the bits of 'flow' where there are 1-bits in
- * 'mask', given 'basis'.
- *
- * The hash values returned by this function are the same as those returned by
- * flow_hash_in_minimask(), only the form of the arguments differ. */
-static inline uint32_t
-miniflow_hash_in_minimask(const struct miniflow *flow,
-                          const struct minimask *mask, uint32_t basis)
-{
-    const uint32_t *mask_values = miniflow_get_u32_values(&mask->masks);
-    const uint32_t *p = mask_values;
-    uint32_t hash = basis;
-    uint32_t flow_u32;
-
-    MINIFLOW_FOR_EACH_IN_MAP(flow_u32, flow, mask->masks.map) {
-        hash = mhash_add(hash, flow_u32 & *p++);
-    }
 
-    return mhash_finish(hash, (p - mask_values) * 4);
-}
-
-/* Returns a hash value for the bits of range [start, end) in 'flow',
- * where there are 1-bits in 'mask', given 'hash'.
- *
- * The hash values returned by this function are the same as those returned by
- * minimatch_hash_range(), only the form of the arguments differ. */
-static inline uint32_t
-flow_hash_in_minimask_range(const struct flow *flow,
-                            const struct minimask *mask,
-                            uint8_t start, uint8_t end, uint32_t *basis)
+static inline const struct cls_match *
+next_rule_in_list__(const struct cls_match *rule)
 {
-    const uint32_t *mask_values = miniflow_get_u32_values(&mask->masks);
-    const uint32_t *flow_u32 = (const uint32_t *)flow;
-    unsigned int offset;
-    uint64_t map = miniflow_get_map_in_range(&mask->masks, start, end,
-                                             &offset);
-    const uint32_t *p = mask_values + offset;
-    uint32_t hash = *basis;
-
-    for (; map; map = zero_rightmost_1bit(map)) {
-        hash = mhash_add(hash, flow_u32[raw_ctz(map)] & *p++);
-    }
-
-    *basis = hash; /* Allow continuation from the unfinished value. */
-    return mhash_finish(hash, (p - mask_values) * 4);
-}
-
-/* Fold minimask 'mask''s wildcard mask into 'wc's wildcard mask. */
-static inline void
-flow_wildcards_fold_minimask(struct flow_wildcards *wc,
-                             const struct minimask *mask)
-{
-    flow_union_with_miniflow(&wc->masks, &mask->masks);
-}
-
-/* Fold minimask 'mask''s wildcard mask into 'wc's wildcard mask
- * in range [start, end). */
-static inline void
-flow_wildcards_fold_minimask_range(struct flow_wildcards *wc,
-                                   const struct minimask *mask,
-                                   uint8_t start, uint8_t end)
-{
-    uint32_t *dst_u32 = (uint32_t *)&wc->masks;
-    unsigned int offset;
-    uint64_t map = miniflow_get_map_in_range(&mask->masks, start, end,
-                                             &offset);
-    const uint32_t *p = miniflow_get_u32_values(&mask->masks) + offset;
-
-    for (; map; map = zero_rightmost_1bit(map)) {
-        dst_u32[raw_ctz(map)] |= *p++;
-    }
+    const struct cls_match *next = NULL;
+    next = OBJECT_CONTAINING(rculist_next(&rule->list), next, list);
+    return next;
 }
 
-/* Returns a hash value for 'flow', given 'basis'. */
-static inline uint32_t
-miniflow_hash(const struct miniflow *flow, uint32_t basis)
+static inline const struct cls_match *
+next_rule_in_list(const struct cls_match *rule)
 {
-    const uint32_t *values = miniflow_get_u32_values(flow);
-    const uint32_t *p = values;
-    uint32_t hash = basis;
-    uint64_t hash_map = 0;
-    uint64_t map;
-
-    for (map = flow->map; map; map = zero_rightmost_1bit(map)) {
-        if (*p) {
-            hash = mhash_add(hash, *p);
-            hash_map |= rightmost_1bit(map);
-        }
-        p++;
-    }
-    hash = mhash_add(hash, hash_map);
-    hash = mhash_add(hash, hash_map >> 32);
-
-    return mhash_finish(hash, p - values);
+    const struct cls_match *next = next_rule_in_list__(rule);
+    return next->priority < rule->priority ? next : NULL;
 }
 
-/* Returns a hash value for 'mask', given 'basis'. */
-static inline uint32_t
-minimask_hash(const struct minimask *mask, uint32_t basis)
+static inline struct cls_match *
+next_rule_in_list_protected__(struct cls_match *rule)
 {
-    return miniflow_hash(&mask->masks, basis);
+    struct cls_match *next = NULL;
+    next = OBJECT_CONTAINING(rculist_next_protected(&rule->list), next, list);
+    return next;
 }
 
-/* Returns a hash value for 'match', given 'basis'. */
-static inline uint32_t
-minimatch_hash(const struct minimatch *match, uint32_t basis)
+static inline struct cls_match *
+next_rule_in_list_protected(struct cls_match *rule)
 {
-    return miniflow_hash(&match->flow, minimask_hash(&match->mask, basis));
+    struct cls_match *next = next_rule_in_list_protected__(rule);
+    return next->priority < rule->priority ? next : NULL;
 }
 
-/* Returns a hash value for the bits of range [start, end) in 'minimatch',
- * given 'basis'.
- *
- * The hash values returned by this function are the same as those returned by
- * flow_hash_in_minimask_range(), only the form of the arguments differ. */
-static inline uint32_t
-minimatch_hash_range(const struct minimatch *match, uint8_t start, uint8_t end,
-                     uint32_t *basis)
-{
-    unsigned int offset;
-    const uint32_t *p, *q;
-    uint32_t hash = *basis;
-    int n, i;
-
-    n = count_1bits(miniflow_get_map_in_range(&match->mask.masks, start, end,
-                                              &offset));
-    q = miniflow_get_u32_values(&match->mask.masks) + offset;
-    p = miniflow_get_u32_values(&match->flow) + offset;
-
-    for (i = 0; i < n; i++) {
-        hash = mhash_add(hash, p[i] & q[i]);
-    }
-    *basis = hash; /* Allow continuation from the unfinished value. */
-    return mhash_finish(hash, (offset + n) * 4);
-}
+/* Iterates RULE over HEAD and all of the cls_rules on HEAD->list.
+ * Classifier's mutex must be held while iterating, as the list is
+ * protoceted by it. */
+#define FOR_EACH_RULE_IN_LIST(RULE, HEAD)                               \
+    for ((RULE) = (HEAD); (RULE) != NULL; (RULE) = next_rule_in_list(RULE))
+#define FOR_EACH_RULE_IN_LIST_PROTECTED(RULE, HEAD)     \
+    for ((RULE) = (HEAD); (RULE) != NULL;               \
+         (RULE) = next_rule_in_list_protected(RULE))
 
+static unsigned int minimask_get_prefix_len(const struct minimask *,
+                                            const struct mf_field *);
+static void trie_init(struct classifier *cls, int trie_idx,
+                      const struct mf_field *)
+    OVS_REQUIRES(cls->mutex);
+static unsigned int trie_lookup(const struct cls_trie *, const struct flow *,
+                                union mf_value *plens);
+static unsigned int trie_lookup_value(const rcu_trie_ptr *,
+                                      const ovs_be32 value[], ovs_be32 plens[],
+                                      unsigned int value_bits);
+static void trie_destroy(rcu_trie_ptr *);
+static void trie_insert(struct cls_trie *, const struct cls_rule *, int mlen);
+static void trie_insert_prefix(rcu_trie_ptr *, const ovs_be32 *prefix,
+                               int mlen);
+static void trie_remove(struct cls_trie *, const struct cls_rule *, int mlen);
+static void trie_remove_prefix(rcu_trie_ptr *, const ovs_be32 *prefix,
+                               int mlen);
+static void mask_set_prefix_bits(struct flow_wildcards *, uint8_t be32ofs,
+                                 unsigned int n_bits);
+static bool mask_prefix_bits_set(const struct flow_wildcards *,
+                                 uint8_t be32ofs, unsigned int n_bits);
 \f
 /* cls_rule. */
 
@@ -577,11 +141,10 @@ minimatch_hash_range(const struct minimatch *match, uint8_t start, uint8_t end,
  *
  * The caller must eventually destroy 'rule' with cls_rule_destroy().
  *
- * (OpenFlow uses priorities between 0 and UINT16_MAX, inclusive, but
- * internally Open vSwitch supports a wider range.) */
+ * Clients should not use priority INT_MIN.  (OpenFlow uses priorities between
+ * 0 and UINT16_MAX, inclusive.) */
 void
-cls_rule_init(struct cls_rule *rule,
-              const struct match *match, unsigned int priority)
+cls_rule_init(struct cls_rule *rule, const struct match *match, int priority)
 {
     minimatch_init(&rule->match, match);
     rule->priority = priority;
@@ -591,8 +154,7 @@ cls_rule_init(struct cls_rule *rule,
 /* Same as cls_rule_init() for initialization from a "struct minimatch". */
 void
 cls_rule_init_from_minimatch(struct cls_rule *rule,
-                             const struct minimatch *match,
-                             unsigned int priority)
+                             const struct minimatch *match, int priority)
 {
     minimatch_clone(&rule->match, match);
     rule->priority = priority;
@@ -664,18 +226,15 @@ cls_rule_is_catchall(const struct cls_rule *rule)
 /* Initializes 'cls' as a classifier that initially contains no classification
  * rules. */
 void
-classifier_init(struct classifier *cls_, const uint8_t *flow_segments)
+classifier_init(struct classifier *cls, const uint8_t *flow_segments)
+    OVS_EXCLUDED(cls->mutex)
 {
-    struct cls_classifier *cls = xmalloc(sizeof *cls);
-
-    fat_rwlock_init(&cls_->rwlock);
-
-    cls_->cls = cls;
-
+    ovs_mutex_init(&cls->mutex);
+    ovs_mutex_lock(&cls->mutex);
     cls->n_rules = 0;
-    hmap_init(&cls->subtables_map);
-    cls_subtables_init(&cls->subtables);
-    hmap_init(&cls->partitions);
+    cmap_init(&cls->subtables_map);
+    pvector_init(&cls->subtables);
+    cmap_init(&cls->partitions);
     cls->n_flow_segments = 0;
     if (flow_segments) {
         while (cls->n_flow_segments < CLS_MAX_INDICES
@@ -684,60 +243,59 @@ classifier_init(struct classifier *cls_, const uint8_t *flow_segments)
         }
     }
     cls->n_tries = 0;
+    for (int i = 0; i < CLS_MAX_TRIES; i++) {
+        trie_init(cls, i, NULL);
+    }
+    ovs_mutex_unlock(&cls->mutex);
 }
 
 /* Destroys 'cls'.  Rules within 'cls', if any, are not freed; this is the
- * caller's responsibility. */
+ * caller's responsibility.
+ * May only be called after all the readers have been terminated. */
 void
-classifier_destroy(struct classifier *cls_)
+classifier_destroy(struct classifier *cls)
+    OVS_EXCLUDED(cls->mutex)
 {
-    if (cls_) {
-        struct cls_classifier *cls = cls_->cls;
-        struct cls_partition *partition, *next_partition;
-        struct cls_subtable *subtable, *next_subtable;
+    if (cls) {
+        struct cls_partition *partition;
+        struct cls_subtable *subtable;
         int i;
 
-        fat_rwlock_destroy(&cls_->rwlock);
-        if (!cls) {
-            return;
-        }
-
+        ovs_mutex_lock(&cls->mutex);
         for (i = 0; i < cls->n_tries; i++) {
-            trie_destroy(cls->tries[i].root);
+            trie_destroy(&cls->tries[i].root);
         }
 
-        HMAP_FOR_EACH_SAFE (subtable, next_subtable, hmap_node,
-                            &cls->subtables_map) {
+        CMAP_FOR_EACH (subtable, cmap_node, &cls->subtables_map) {
             destroy_subtable(cls, subtable);
         }
-        hmap_destroy(&cls->subtables_map);
+        cmap_destroy(&cls->subtables_map);
 
-        HMAP_FOR_EACH_SAFE (partition, next_partition, hmap_node,
-                            &cls->partitions) {
-            hmap_remove(&cls->partitions, &partition->hmap_node);
-            free(partition);
+        CMAP_FOR_EACH (partition, cmap_node, &cls->partitions) {
+            ovsrcu_postpone(free, partition);
         }
-        hmap_destroy(&cls->partitions);
+        cmap_destroy(&cls->partitions);
 
-        cls_subtables_destroy(&cls->subtables);
-        free(cls);
+        pvector_destroy(&cls->subtables);
+        ovs_mutex_unlock(&cls->mutex);
+        ovs_mutex_destroy(&cls->mutex);
     }
 }
 
-/* We use uint64_t as a set for the fields below. */
-BUILD_ASSERT_DECL(MFF_N_IDS <= 64);
-
 /* Set the fields for which prefix lookup should be performed. */
-void
-classifier_set_prefix_fields(struct classifier *cls_,
+bool
+classifier_set_prefix_fields(struct classifier *cls,
                              const enum mf_field_id *trie_fields,
                              unsigned int n_fields)
+    OVS_EXCLUDED(cls->mutex)
 {
-    struct cls_classifier *cls = cls_->cls;
-    uint64_t fields = 0;
-    int i, trie;
+    const struct mf_field * new_fields[CLS_MAX_TRIES];
+    struct mf_bitmap fields = MF_BITMAP_INITIALIZER;
+    int i, n_tries = 0;
+    bool changed = false;
 
-    for (i = 0, trie = 0; i < n_fields && trie < CLS_MAX_TRIES; i++) {
+    ovs_mutex_lock(&cls->mutex);
+    for (i = 0; i < n_fields && n_tries < CLS_MAX_TRIES; i++) {
         const struct mf_field *field = mf_from_id(trie_fields[i]);
         if (field->flow_be32ofs < 0 || field->n_bits % 32) {
             /* Incompatible field.  This is the only place where we
@@ -747,74 +305,119 @@ classifier_set_prefix_fields(struct classifier *cls_,
             continue;
         }
 
-        if (fields & (UINT64_C(1) << trie_fields[i])) {
+        if (bitmap_is_set(fields.bm, trie_fields[i])) {
             /* Duplicate field, there is no need to build more than
              * one index for any one field. */
             continue;
         }
-        fields |= UINT64_C(1) << trie_fields[i];
+        bitmap_set1(fields.bm, trie_fields[i]);
 
-        if (trie >= cls->n_tries || field != cls->tries[trie].field) {
-            trie_init(cls, trie, field);
+        new_fields[n_tries] = NULL;
+        if (n_tries >= cls->n_tries || field != cls->tries[n_tries].field) {
+            new_fields[n_tries] = field;
+            changed = true;
+        }
+        n_tries++;
+    }
+
+    if (changed || n_tries < cls->n_tries) {
+        struct cls_subtable *subtable;
+
+        /* Trie configuration needs to change.  Disable trie lookups
+         * for the tries that are changing and wait all the current readers
+         * with the old configuration to be done. */
+        changed = false;
+        CMAP_FOR_EACH (subtable, cmap_node, &cls->subtables_map) {
+            for (i = 0; i < cls->n_tries; i++) {
+                if ((i < n_tries && new_fields[i]) || i >= n_tries) {
+                    if (subtable->trie_plen[i]) {
+                        subtable->trie_plen[i] = 0;
+                        changed = true;
+                    }
+                }
+            }
+        }
+        /* Synchronize if any readers were using tries.  The readers may
+         * temporarily function without the trie lookup based optimizations. */
+        if (changed) {
+            /* ovsrcu_synchronize() functions as a memory barrier, so it does
+             * not matter that subtable->trie_plen is not atomic. */
+            ovsrcu_synchronize();
         }
-        trie++;
-    }
 
-    /* Destroy the rest. */
-    for (i = trie; i < cls->n_tries; i++) {
-        trie_init(cls, i, NULL);
+        /* Now set up the tries. */
+        for (i = 0; i < n_tries; i++) {
+            if (new_fields[i]) {
+                trie_init(cls, i, new_fields[i]);
+            }
+        }
+        /* Destroy the rest, if any. */
+        for (; i < cls->n_tries; i++) {
+            trie_init(cls, i, NULL);
+        }
+
+        cls->n_tries = n_tries;
+        ovs_mutex_unlock(&cls->mutex);
+        return true;
     }
-    cls->n_tries = trie;
+
+    ovs_mutex_unlock(&cls->mutex);
+    return false; /* No change. */
 }
 
 static void
-trie_init(struct cls_classifier *cls, int trie_idx,
-          const struct mf_field *field)
+trie_init(struct classifier *cls, int trie_idx, const struct mf_field *field)
+    OVS_REQUIRES(cls->mutex)
 {
     struct cls_trie *trie = &cls->tries[trie_idx];
     struct cls_subtable *subtable;
-    struct cls_subtable_entry *iter;
 
     if (trie_idx < cls->n_tries) {
-        trie_destroy(trie->root);
+        trie_destroy(&trie->root);
+    } else {
+        ovsrcu_set_hidden(&trie->root, NULL);
     }
-    trie->root = NULL;
     trie->field = field;
 
-    /* Add existing rules to the trie. */
-    CLS_SUBTABLES_FOR_EACH (subtable, iter, &cls->subtables) {
+    /* Add existing rules to the new trie. */
+    CMAP_FOR_EACH (subtable, cmap_node, &cls->subtables_map) {
         unsigned int plen;
 
         plen = field ? minimask_get_prefix_len(&subtable->mask, field) : 0;
-        /* Initialize subtable's prefix length on this field. */
-        subtable->trie_plen[trie_idx] = plen;
-
         if (plen) {
             struct cls_match *head;
 
-            HMAP_FOR_EACH (head, hmap_node, &subtable->rules) {
+            CMAP_FOR_EACH (head, cmap_node, &subtable->rules) {
                 struct cls_match *match;
 
-                FOR_EACH_RULE_IN_LIST (match, head) {
+                FOR_EACH_RULE_IN_LIST_PROTECTED (match, head) {
                     trie_insert(trie, match->cls_rule, plen);
                 }
             }
         }
+        /* Initialize subtable's prefix length on this field.  This will
+         * allow readers to use the trie. */
+        atomic_thread_fence(memory_order_release);
+        subtable->trie_plen[trie_idx] = plen;
     }
 }
 
-/* Returns true if 'cls' contains no classification rules, false otherwise. */
+/* Returns true if 'cls' contains no classification rules, false otherwise.
+ * Checking the cmap requires no locking. */
 bool
 classifier_is_empty(const struct classifier *cls)
 {
-    return cls->cls->n_rules == 0;
+    return cmap_is_empty(&cls->subtables_map);
 }
 
 /* Returns the number of rules in 'cls'. */
 int
 classifier_count(const struct classifier *cls)
+    OVS_NO_THREAD_SAFETY_ANALYSIS
 {
-    return cls->cls->n_rules;
+    /* n_rules is an int, so in the presence of concurrent writers this will
+     * return either the old or a new value. */
+    return cls->n_rules;
 }
 
 static uint32_t
@@ -825,12 +428,11 @@ hash_metadata(ovs_be64 metadata_)
 }
 
 static struct cls_partition *
-find_partition(const struct cls_classifier *cls, ovs_be64 metadata,
-               uint32_t hash)
+find_partition(const struct classifier *cls, ovs_be64 metadata, uint32_t hash)
 {
     struct cls_partition *partition;
 
-    HMAP_FOR_EACH_IN_BUCKET (partition, hmap_node, hash, &cls->partitions) {
+    CMAP_FOR_EACH_WITH_HASH (partition, cmap_node, hash, &cls->partitions) {
         if (partition->metadata == metadata) {
             return partition;
         }
@@ -840,8 +442,9 @@ find_partition(const struct cls_classifier *cls, ovs_be64 metadata,
 }
 
 static struct cls_partition *
-create_partition(struct cls_classifier *cls, struct cls_subtable *subtable,
+create_partition(struct classifier *cls, struct cls_subtable *subtable,
                  ovs_be64 metadata)
+    OVS_REQUIRES(cls->mutex)
 {
     uint32_t hash = hash_metadata(metadata);
     struct cls_partition *partition = find_partition(cls, metadata, hash);
@@ -850,7 +453,7 @@ create_partition(struct cls_classifier *cls, struct cls_subtable *subtable,
         partition->metadata = metadata;
         partition->tags = 0;
         tag_tracker_init(&partition->tracker);
-        hmap_insert(&cls->partitions, &partition->hmap_node, hash);
+        cmap_insert(&cls->partitions, &partition->cmap_node, hash);
     }
     tag_tracker_add(&partition->tracker, &partition->tags, subtable->tag);
     return partition;
@@ -876,13 +479,15 @@ static inline ovs_be32 minimatch_get_ports(const struct minimatch *match)
  * inserting the new rule.  In this case, no rules are displaced by the new
  * rule, even rules that cannot have any effect because the new rule matches a
  * superset of their flows and has higher priority. */
-struct cls_rule *
-classifier_replace(struct classifier *cls_, struct cls_rule *rule)
+const struct cls_rule *
+classifier_replace(struct classifier *cls, struct cls_rule *rule)
+    OVS_EXCLUDED(cls->mutex)
 {
-    struct cls_classifier *cls = cls_->cls;
     struct cls_match *old_rule;
     struct cls_subtable *subtable;
+    const struct cls_rule *old_cls_rule = NULL;
 
+    ovs_mutex_lock(&cls->mutex);
     subtable = find_subtable(cls, &rule->match.mask);
     if (!subtable) {
         subtable = insert_subtable(cls, &rule->match.mask);
@@ -890,7 +495,7 @@ classifier_replace(struct classifier *cls_, struct cls_rule *rule)
 
     old_rule = insert_rule(cls, subtable, rule);
     if (!old_rule) {
-        int i;
+        old_cls_rule = NULL;
 
         rule->cls_match->partition = NULL;
         if (minimask_get_metadata_mask(&rule->match.mask) == OVS_BE64_MAX) {
@@ -899,10 +504,9 @@ classifier_replace(struct classifier *cls_, struct cls_rule *rule)
                                                           metadata);
         }
 
-        subtable->n_rules++;
         cls->n_rules++;
 
-        for (i = 0; i < cls->n_tries; i++) {
+        for (int i = 0; i < cls->n_tries; i++) {
             if (subtable->trie_plen[i]) {
                 trie_insert(&cls->tries[i], rule, subtable->trie_plen[i]);
             }
@@ -919,16 +523,17 @@ classifier_replace(struct classifier *cls_, struct cls_rule *rule)
             trie_insert_prefix(&subtable->ports_trie, &masked_ports,
                                subtable->ports_mask_len);
         }
-
-        return NULL;
     } else {
-        struct cls_rule *old_cls_rule = old_rule->cls_rule;
-
+        old_cls_rule = old_rule->cls_rule;
         rule->cls_match->partition = old_rule->partition;
-        old_cls_rule->cls_match = NULL;
-        free(old_rule);
-        return old_cls_rule;
+        CONST_CAST(struct cls_rule *, old_cls_rule)->cls_match = NULL;
+
+        /* 'old_rule' contains a cmap_node, which may not be freed
+         * immediately. */
+        ovsrcu_postpone(free, old_rule);
     }
+    ovs_mutex_unlock(&cls->mutex);
+    return old_cls_rule;
 }
 
 /* Inserts 'rule' into 'cls'.  Until 'rule' is removed from 'cls', the caller
@@ -940,24 +545,36 @@ classifier_replace(struct classifier *cls_, struct cls_rule *rule)
 void
 classifier_insert(struct classifier *cls, struct cls_rule *rule)
 {
-    struct cls_rule *displaced_rule = classifier_replace(cls, rule);
+    const struct cls_rule *displaced_rule = classifier_replace(cls, rule);
     ovs_assert(!displaced_rule);
 }
 
 /* Removes 'rule' from 'cls'.  It is the caller's responsibility to destroy
  * 'rule' with cls_rule_destroy(), freeing the memory block in which 'rule'
- * resides, etc., as necessary. */
-void
-classifier_remove(struct classifier *cls_, struct cls_rule *rule)
+ * resides, etc., as necessary.
+ *
+ * Does nothing if 'rule' has been already removed, or was never inserted.
+ *
+ * Returns the removed rule, or NULL, if it was already removed.
+ */
+const struct cls_rule *
+classifier_remove(struct classifier *cls, const struct cls_rule *rule)
+    OVS_EXCLUDED(cls->mutex)
 {
-    struct cls_classifier *cls = cls_->cls;
     struct cls_partition *partition;
-    struct cls_match *cls_match = rule->cls_match;
+    struct cls_match *cls_match;
     struct cls_match *head;
     struct cls_subtable *subtable;
     int i;
+    uint32_t basis = 0, hash, ihash[CLS_MAX_INDICES];
+    uint8_t prev_be32ofs = 0;
 
-    ovs_assert(cls_match);
+    ovs_mutex_lock(&cls->mutex);
+    cls_match = rule->cls_match;
+    if (!cls_match) {
+        rule = NULL;
+        goto unlock; /* Already removed. */
+    }
 
     subtable = find_subtable(cls, &rule->match.mask);
     ovs_assert(subtable);
@@ -976,21 +593,25 @@ classifier_remove(struct classifier *cls_, struct cls_rule *rule)
 
     /* Remove rule node from indices. */
     for (i = 0; i < subtable->n_indices; i++) {
-        hindex_remove(&subtable->indices[i], &cls_match->index_nodes[i]);
+        ihash[i] = minimatch_hash_range(&rule->match, prev_be32ofs,
+                                        subtable->index_ofs[i], &basis);
+        cmap_remove(&subtable->indices[i], &cls_match->index_nodes[i],
+                    ihash[i]);
+        prev_be32ofs = subtable->index_ofs[i];
     }
+    hash = minimatch_hash_range(&rule->match, prev_be32ofs, FLOW_U32S, &basis);
 
-    head = find_equal(subtable, &rule->match.flow, cls_match->hmap_node.hash);
+    head = find_equal(subtable, &rule->match.flow, hash);
     if (head != cls_match) {
-        list_remove(&cls_match->list);
-    } else if (list_is_empty(&cls_match->list)) {
-        hmap_remove(&subtable->rules, &cls_match->hmap_node);
+        rculist_remove(&cls_match->list);
+    } else if (rculist_is_empty(&cls_match->list)) {
+        cmap_remove(&subtable->rules, &cls_match->cmap_node, hash);
     } else {
-        struct cls_match *next = CONTAINER_OF(cls_match->list.next,
-                                              struct cls_match, list);
+        struct cls_match *next = next_rule_in_list_protected(cls_match);
 
-        list_remove(&cls_match->list);
-        hmap_replace(&subtable->rules, &cls_match->hmap_node,
-                     &next->hmap_node);
+        rculist_remove(&cls_match->list);
+        cmap_replace(&subtable->rules, &cls_match->cmap_node,
+                     &next->cmap_node, hash);
     }
 
     partition = cls_match->partition;
@@ -998,33 +619,55 @@ classifier_remove(struct classifier *cls_, struct cls_rule *rule)
         tag_tracker_subtract(&partition->tracker, &partition->tags,
                              subtable->tag);
         if (!partition->tags) {
-            hmap_remove(&cls->partitions, &partition->hmap_node);
-            free(partition);
+            cmap_remove(&cls->partitions, &partition->cmap_node,
+                        hash_metadata(partition->metadata));
+            ovsrcu_postpone(free, partition);
         }
     }
 
     if (--subtable->n_rules == 0) {
         destroy_subtable(cls, subtable);
-    } else {
-        update_subtables_after_removal(cls, subtable, cls_match->priority);
+    } else if (subtable->max_priority == cls_match->priority
+               && --subtable->max_count == 0) {
+        /* Find the new 'max_priority' and 'max_count'. */
+        struct cls_match *head;
+        int max_priority = INT_MIN;
+
+        CMAP_FOR_EACH (head, cmap_node, &subtable->rules) {
+            if (head->priority > max_priority) {
+                max_priority = head->priority;
+                subtable->max_count = 1;
+            } else if (head->priority == max_priority) {
+                ++subtable->max_count;
+            }
+        }
+        subtable->max_priority = max_priority;
+        pvector_change_priority(&cls->subtables, subtable, max_priority);
     }
 
     cls->n_rules--;
 
-    rule->cls_match = NULL;
-    free(cls_match);
+    ovsrcu_postpone(free, cls_match);
+    CONST_CAST(struct cls_rule *, rule)->cls_match = NULL;
+unlock:
+    ovs_mutex_unlock(&cls->mutex);
+
+    return rule;
 }
 
 /* Prefix tree context.  Valid when 'lookup_done' is true.  Can skip all
- * subtables which have more than 'match_plen' bits in their corresponding
- * field at offset 'be32ofs'.  If skipped, 'maskbits' prefix bits should be
- * unwildcarded to quarantee datapath flow matches only packets it should. */
+ * subtables which have a prefix match on the trie field, but whose prefix
+ * length is not indicated in 'match_plens'.  For example, a subtable that
+ * has a 8-bit trie field prefix match can be skipped if
+ * !be_get_bit_at(&match_plens, 8 - 1).  If skipped, 'maskbits' prefix bits
+ * must be unwildcarded to make datapath flow only match packets it should. */
 struct trie_ctx {
     const struct cls_trie *trie;
     bool lookup_done;        /* Status of the lookup. */
     uint8_t be32ofs;         /* U32 offset of the field in question. */
-    unsigned int match_plen; /* Longest prefix than could possibly match. */
     unsigned int maskbits;   /* Prefix length needed to avoid false matches. */
+    union mf_value match_plens; /* Bitmask of prefix lengths with possible
+                                 * matches. */
 };
 
 static void
@@ -1035,12 +678,6 @@ trie_ctx_init(struct trie_ctx *ctx, const struct cls_trie *trie)
     ctx->lookup_done = false;
 }
 
-static inline void
-lookahead_subtable(const struct cls_subtable_entry *subtables)
-{
-    ovs_prefetch_range(subtables->subtable, sizeof *subtables->subtable);
-}
-
 /* Finds and returns the highest-priority rule in 'cls' that matches 'flow'.
  * Returns a null pointer if no rules in 'cls' match 'flow'.  If multiple rules
  * of equal priority match 'flow', returns one arbitrarily.
@@ -1049,22 +686,21 @@ lookahead_subtable(const struct cls_subtable_entry *subtables)
  * set of bits that were significant in the lookup.  At some point
  * earlier, 'wc' should have been initialized (e.g., by
  * flow_wildcards_init_catchall()). */
-struct cls_rule *
-classifier_lookup(const struct classifier *cls_, const struct flow *flow,
+const struct cls_rule *
+classifier_lookup(const struct classifier *cls, const struct flow *flow,
                   struct flow_wildcards *wc)
 {
-    struct cls_classifier *cls = cls_->cls;
     const struct cls_partition *partition;
     tag_type tags;
-    struct cls_match *best;
+    int best_priority = INT_MIN;
+    const struct cls_match *best;
     struct trie_ctx trie_ctx[CLS_MAX_TRIES];
-    int i;
-    struct cls_subtable_entry *subtables = cls->subtables.array;
-    int n_subtables = cls->subtables.count;
-    int64_t best_priority = -1;
+    struct cls_subtable *subtable;
 
-    /* Prefetch the subtables array. */
-    ovs_prefetch_range(subtables, n_subtables * sizeof *subtables);
+    /* Synchronize for cls->n_tries and subtable->trie_plen.  They can change
+     * when table configuration changes, which happens typically only on
+     * startup. */
+    atomic_thread_fence(memory_order_acquire);
 
     /* Determine 'tags' such that, if 'subtable->tag' doesn't intersect them,
      * then 'flow' cannot possibly match in 'subtable':
@@ -1084,46 +720,29 @@ classifier_lookup(const struct classifier *cls_, const struct flow *flow,
      * that 'tags' always intersects such a cls_subtable's 'tags', so we don't
      * need a special case.
      */
-    partition = (hmap_is_empty(&cls->partitions)
+    partition = (cmap_is_empty(&cls->partitions)
                  ? NULL
                  : find_partition(cls, flow->metadata,
                                   hash_metadata(flow->metadata)));
     tags = partition ? partition->tags : TAG_ARBITRARY;
 
-    /* Initialize trie contexts for match_find_wc(). */
-    for (i = 0; i < cls->n_tries; i++) {
+    /* Initialize trie contexts for find_match_wc(). */
+    for (int i = 0; i < cls->n_tries; i++) {
         trie_ctx_init(&trie_ctx[i], &cls->tries[i]);
     }
 
-    /* Prefetch the first subtables. */
-    if (n_subtables > 1) {
-        lookahead_subtable(subtables);
-        lookahead_subtable(subtables + 1);
-    }
-
     best = NULL;
-    for (i = 0; OVS_LIKELY(i < n_subtables); i++) {
-        struct cls_match *rule;
+    PVECTOR_FOR_EACH_PRIORITY(subtable, best_priority, 2,
+                              sizeof(struct cls_subtable), &cls->subtables) {
+        const struct cls_match *rule;
 
-        if ((int64_t)subtables[i].max_priority <= best_priority) {
-            /* Subtables are in descending priority order,
-             * can not find anything better. */
-            break;
-        }
-
-        /* Prefetch a forthcoming subtable. */
-        if (i + 2 < n_subtables) {
-            lookahead_subtable(&subtables[i + 2]);
-        }
-
-        if (!tag_intersects(tags, subtables[i].tag)) {
+        if (!tag_intersects(tags, subtable->tag)) {
             continue;
         }
 
-        rule = find_match_wc(subtables[i].subtable, flow, trie_ctx,
-                             cls->n_tries, wc);
-        if (rule && (int64_t)rule->priority > best_priority) {
-            best_priority = (int64_t)rule->priority;
+        rule = find_match_wc(subtable, flow, trie_ctx, cls->n_tries, wc);
+        if (rule && rule->priority > best_priority) {
+            best_priority = rule->priority;
             best = rule;
         }
     }
@@ -1131,98 +750,27 @@ classifier_lookup(const struct classifier *cls_, const struct flow *flow,
     return best ? best->cls_rule : NULL;
 }
 
-/* Returns true if 'target' satisifies 'match', that is, if each bit for which
- * 'match' specifies a particular value has the correct value in 'target'.
- *
- * 'flow' and 'mask' have the same mask! */
-static bool
-miniflow_and_mask_matches_miniflow(const struct miniflow *flow,
-                                   const struct minimask *mask,
-                                   const struct miniflow *target)
-{
-    const uint32_t *flowp = miniflow_get_u32_values(flow);
-    const uint32_t *maskp = miniflow_get_u32_values(&mask->masks);
-    uint32_t target_u32;
-
-    MINIFLOW_FOR_EACH_IN_MAP(target_u32, target, mask->masks.map) {
-        if ((*flowp++ ^ target_u32) & *maskp++) {
-            return false;
-        }
-    }
-
-    return true;
-}
-
-static inline struct cls_match *
-find_match_miniflow(const struct cls_subtable *subtable,
-                    const struct miniflow *flow,
-                    uint32_t hash)
-{
-    struct cls_match *rule;
-
-    HMAP_FOR_EACH_WITH_HASH (rule, hmap_node, hash, &subtable->rules) {
-        if (miniflow_and_mask_matches_miniflow(&rule->flow, &subtable->mask,
-                                               flow)) {
-            return rule;
-        }
-    }
-
-    return NULL;
-}
-
-/* Finds and returns the highest-priority rule in 'cls' that matches
- * 'miniflow'.  Returns a null pointer if no rules in 'cls' match 'flow'.
- * If multiple rules of equal priority match 'flow', returns one arbitrarily.
- *
- * This function is optimized for the userspace datapath, which only ever has
- * one priority value for it's flows!
- */
-struct cls_rule *classifier_lookup_miniflow_first(const struct classifier *cls_,
-                                                  const struct miniflow *flow)
-{
-    struct cls_classifier *cls = cls_->cls;
-    struct cls_subtable *subtable;
-    struct cls_subtable_entry *iter;
-
-    CLS_SUBTABLES_FOR_EACH (subtable, iter, &cls->subtables) {
-        struct cls_match *rule;
-
-        rule = find_match_miniflow(subtable, flow,
-                                   miniflow_hash_in_minimask(flow,
-                                                             &subtable->mask,
-                                                             0));
-        if (rule) {
-            return rule->cls_rule;
-        }
-    }
-
-    return NULL;
-}
-
 /* Finds and returns a rule in 'cls' with exactly the same priority and
  * matching criteria as 'target'.  Returns a null pointer if 'cls' doesn't
  * contain an exact match. */
-struct cls_rule *
-classifier_find_rule_exactly(const struct classifier *cls_,
+const struct cls_rule *
+classifier_find_rule_exactly(const struct classifier *cls,
                              const struct cls_rule *target)
 {
-    struct cls_classifier *cls = cls_->cls;
-    struct cls_match *head, *rule;
-    struct cls_subtable *subtable;
+    const struct cls_match *head, *rule;
+    const struct cls_subtable *subtable;
 
     subtable = find_subtable(cls, &target->match.mask);
     if (!subtable) {
         return NULL;
     }
 
-    /* Skip if there is no hope. */
-    if (target->priority > subtable->max_priority) {
-        return NULL;
-    }
-
     head = find_equal(subtable, &target->match.flow,
                       miniflow_hash_in_minimask(&target->match.flow,
                                                 &target->match.mask, 0));
+    if (!head) {
+        return NULL;
+    }
     FOR_EACH_RULE_IN_LIST (rule, head) {
         if (target->priority >= rule->priority) {
             return target->priority == rule->priority ? rule->cls_rule : NULL;
@@ -1234,12 +782,11 @@ classifier_find_rule_exactly(const struct classifier *cls_,
 /* Finds and returns a rule in 'cls' with priority 'priority' and exactly the
  * same matching criteria as 'target'.  Returns a null pointer if 'cls' doesn't
  * contain an exact match. */
-struct cls_rule *
+const struct cls_rule *
 classifier_find_match_exactly(const struct classifier *cls,
-                              const struct match *target,
-                              unsigned int priority)
+                              const struct match *target, int priority)
 {
-    struct cls_rule *retval;
+    const struct cls_rule *retval;
     struct cls_rule cr;
 
     cls_rule_init(&cr, target, priority);
@@ -1253,40 +800,39 @@ classifier_find_match_exactly(const struct classifier *cls,
  * considered to overlap if both rules have the same priority and a packet
  * could match both. */
 bool
-classifier_rule_overlaps(const struct classifier *cls_,
+classifier_rule_overlaps(const struct classifier *cls,
                          const struct cls_rule *target)
+    OVS_EXCLUDED(cls->mutex)
 {
-    struct cls_classifier *cls = cls_->cls;
     struct cls_subtable *subtable;
-    struct cls_subtable_entry *iter;
 
+    ovs_mutex_lock(&cls->mutex);
     /* Iterate subtables in the descending max priority order. */
-    CLS_SUBTABLES_FOR_EACH (subtable, iter, &cls->subtables) {
+    PVECTOR_FOR_EACH_PRIORITY (subtable, target->priority - 1, 2,
+                               sizeof(struct cls_subtable), &cls->subtables) {
         uint32_t storage[FLOW_U32S];
         struct minimask mask;
         struct cls_match *head;
 
-        if (target->priority > iter->max_priority) {
-            break; /* Can skip this and the rest of the subtables. */
-        }
-
         minimask_combine(&mask, &target->match.mask, &subtable->mask, storage);
-        HMAP_FOR_EACH (head, hmap_node, &subtable->rules) {
+        CMAP_FOR_EACH (head, cmap_node, &subtable->rules) {
             struct cls_match *rule;
 
-            FOR_EACH_RULE_IN_LIST (rule, head) {
+            FOR_EACH_RULE_IN_LIST_PROTECTED (rule, head) {
                 if (rule->priority < target->priority) {
                     break; /* Rules in descending priority order. */
                 }
                 if (rule->priority == target->priority
                     && miniflow_equal_in_minimask(&target->match.flow,
                                                   &rule->flow, &mask)) {
+                    ovs_mutex_unlock(&cls->mutex);
                     return true;
                 }
             }
         }
     }
 
+    ovs_mutex_unlock(&cls->mutex);
     return false;
 }
 
@@ -1343,15 +889,17 @@ rule_matches(const struct cls_match *rule, const struct cls_rule *target)
                                           &target->match.mask));
 }
 
-static struct cls_match *
+static const struct cls_match *
 search_subtable(const struct cls_subtable *subtable,
-                const struct cls_rule *target)
+                struct cls_cursor *cursor)
 {
-    if (!target || !minimask_has_extra(&subtable->mask, &target->match.mask)) {
-        struct cls_match *rule;
+    if (!cursor->target
+        || !minimask_has_extra(&subtable->mask, &cursor->target->match.mask)) {
+        const struct cls_match *rule;
 
-        HMAP_FOR_EACH (rule, hmap_node, &subtable->rules) {
-            if (rule_matches(rule, target)) {
+        CMAP_CURSOR_FOR_EACH (rule, cmap_node, &cursor->rules,
+                              &subtable->rules) {
+            if (rule_matches(rule, cursor->target)) {
                 return rule;
             }
         }
@@ -1359,7 +907,8 @@ search_subtable(const struct cls_subtable *subtable,
     return NULL;
 }
 
-/* Initializes 'cursor' for iterating through rules in 'cls':
+/* Initializes 'cursor' for iterating through rules in 'cls', and returns the
+ * first matching cls_rule via '*pnode', or NULL if there are no matches.
  *
  *     - If 'target' is null, the cursor will visit every rule in 'cls'.
  *
@@ -1367,40 +916,46 @@ search_subtable(const struct cls_subtable *subtable,
  *       such that cls_rule_is_loose_match(rule, target) returns true.
  *
  * Ignores target->priority. */
-void
-cls_cursor_init(struct cls_cursor *cursor, const struct classifier *cls,
-                const struct cls_rule *target)
-{
-    cursor->cls = cls->cls;
-    cursor->target = target && !cls_rule_is_catchall(target) ? target : NULL;
-}
-
-/* Returns the first matching cls_rule in 'cursor''s iteration, or a null
- * pointer if there are no matches. */
-struct cls_rule *
-cls_cursor_first(struct cls_cursor *cursor)
+struct cls_cursor cls_cursor_start(const struct classifier *cls,
+                                   const struct cls_rule *target,
+                                   bool safe)
+    OVS_NO_THREAD_SAFETY_ANALYSIS
 {
+    struct cls_cursor cursor;
     struct cls_subtable *subtable;
 
-    HMAP_FOR_EACH (subtable, hmap_node, &cursor->cls->subtables_map) {
-        struct cls_match *rule = search_subtable(subtable, cursor->target);
+    cursor.safe = safe;
+    cursor.cls = cls;
+    cursor.target = target && !cls_rule_is_catchall(target) ? target : NULL;
+    cursor.rule = NULL;
+
+    /* Find first rule. */
+    ovs_mutex_lock(&cursor.cls->mutex);
+    CMAP_CURSOR_FOR_EACH (subtable, cmap_node, &cursor.subtables,
+                          &cursor.cls->subtables_map) {
+        const struct cls_match *rule = search_subtable(subtable, &cursor);
+
         if (rule) {
-            cursor->subtable = subtable;
-            return rule->cls_rule;
+            cursor.subtable = subtable;
+            cursor.rule = rule->cls_rule;
+            break;
         }
     }
 
-    return NULL;
+    /* Leave locked if requested and have a rule. */
+    if (safe || !cursor.rule) {
+        ovs_mutex_unlock(&cursor.cls->mutex);
+    }
+    return cursor;
 }
 
-/* Returns the next matching cls_rule in 'cursor''s iteration, or a null
- * pointer if there are no more matches. */
-struct cls_rule *
-cls_cursor_next(struct cls_cursor *cursor, const struct cls_rule *rule_)
+static const struct cls_rule *
+cls_cursor_next(struct cls_cursor *cursor)
+    OVS_NO_THREAD_SAFETY_ANALYSIS
 {
-    struct cls_match *rule = CONST_CAST(struct cls_match *, rule_->cls_match);
+    const struct cls_match *rule = cursor->rule->cls_match;
     const struct cls_subtable *subtable;
-    struct cls_match *next;
+    const struct cls_match *next;
 
     next = next_rule_in_list__(rule);
     if (next->priority < rule->priority) {
@@ -1408,18 +963,18 @@ cls_cursor_next(struct cls_cursor *cursor, const struct cls_rule *rule_)
     }
 
     /* 'next' is the head of the list, that is, the rule that is included in
-     * the subtable's hmap.  (This is important when the classifier contains
+     * the subtable's map.  (This is important when the classifier contains
      * rules that differ only in priority.) */
     rule = next;
-    HMAP_FOR_EACH_CONTINUE (rule, hmap_node, &cursor->subtable->rules) {
+    CMAP_CURSOR_FOR_EACH_CONTINUE (rule, cmap_node, &cursor->rules) {
         if (rule_matches(rule, cursor->target)) {
             return rule->cls_rule;
         }
     }
 
     subtable = cursor->subtable;
-    HMAP_FOR_EACH_CONTINUE (subtable, hmap_node, &cursor->cls->subtables_map) {
-        rule = search_subtable(subtable, cursor->target);
+    CMAP_CURSOR_FOR_EACH_CONTINUE (subtable, cmap_node, &cursor->subtables) {
+        rule = search_subtable(subtable, cursor);
         if (rule) {
             cursor->subtable = subtable;
             return rule->cls_rule;
@@ -1428,13 +983,28 @@ cls_cursor_next(struct cls_cursor *cursor, const struct cls_rule *rule_)
 
     return NULL;
 }
+
+/* Sets 'cursor->rule' to the next matching cls_rule in 'cursor''s iteration,
+ * or to null if all matching rules have been visited. */
+void
+cls_cursor_advance(struct cls_cursor *cursor)
+    OVS_NO_THREAD_SAFETY_ANALYSIS
+{
+    if (cursor->safe) {
+        ovs_mutex_lock(&cursor->cls->mutex);
+    }
+    cursor->rule = cls_cursor_next(cursor);
+    if (cursor->safe || !cursor->rule) {
+        ovs_mutex_unlock(&cursor->cls->mutex);
+    }
+}
 \f
 static struct cls_subtable *
-find_subtable(const struct cls_classifier *cls, const struct minimask *mask)
+find_subtable(const struct classifier *cls, const struct minimask *mask)
 {
     struct cls_subtable *subtable;
 
-    HMAP_FOR_EACH_IN_BUCKET (subtable, hmap_node, minimask_hash(mask, 0),
+    CMAP_FOR_EACH_WITH_HASH (subtable, cmap_node, minimask_hash(mask, 0),
                              &cls->subtables_map) {
         if (minimask_equal(mask, &subtable->mask)) {
             return subtable;
@@ -1443,21 +1013,23 @@ find_subtable(const struct cls_classifier *cls, const struct minimask *mask)
     return NULL;
 }
 
+/* The new subtable will be visible to the readers only after this. */
 static struct cls_subtable *
-insert_subtable(struct cls_classifier *cls, const struct minimask *mask)
+insert_subtable(struct classifier *cls, const struct minimask *mask)
+    OVS_REQUIRES(cls->mutex)
 {
     uint32_t hash = minimask_hash(mask, 0);
     struct cls_subtable *subtable;
     int i, index = 0;
     struct flow_wildcards old, new;
     uint8_t prev;
-    struct cls_subtable_entry elem;
     int count = count_1bits(mask->masks.map);
 
     subtable = xzalloc(sizeof *subtable - sizeof mask->masks.inline_values
                        + MINIFLOW_VALUES_SIZE(count));
-    hmap_init(&subtable->rules);
-    miniflow_clone_inline(&subtable->mask.masks, &mask->masks, count);
+    cmap_init(&subtable->rules);
+    miniflow_clone_inline(CONST_CAST(struct miniflow *, &subtable->mask.masks),
+                          &mask->masks, count);
 
     /* Init indices for segmented lookup, if any. */
     flow_wildcards_init_catchall(&new);
@@ -1468,8 +1040,9 @@ insert_subtable(struct cls_classifier *cls, const struct minimask *mask)
                                            cls->flow_segments[i]);
         /* Add an index if it adds mask bits. */
         if (!flow_wildcards_equal(&new, &old)) {
-            hindex_init(&subtable->indices[index]);
-            subtable->index_ofs[index] = cls->flow_segments[i];
+            cmap_init(&subtable->indices[index]);
+            *CONST_CAST(uint8_t *, &subtable->index_ofs[index])
+                = cls->flow_segments[i];
             index++;
             old = new;
         }
@@ -1481,15 +1054,16 @@ insert_subtable(struct cls_classifier *cls, const struct minimask *mask)
         flow_wildcards_fold_minimask_range(&new, mask, prev, FLOW_U32S);
         if (flow_wildcards_equal(&new, &old)) {
             --index;
-            subtable->index_ofs[index] = 0;
-            hindex_destroy(&subtable->indices[index]);
+            *CONST_CAST(uint8_t *, &subtable->index_ofs[index]) = 0;
+            cmap_destroy(&subtable->indices[index]);
         }
     }
-    subtable->n_indices = index;
+    *CONST_CAST(uint8_t *, &subtable->n_indices) = index;
 
-    subtable->tag = (minimask_get_metadata_mask(mask) == OVS_BE64_MAX
-                     ? tag_create_deterministic(hash)
-                     : TAG_ALL);
+    *CONST_CAST(tag_type *, &subtable->tag) =
+        (minimask_get_metadata_mask(mask) == OVS_BE64_MAX
+         ? tag_create_deterministic(hash)
+         : TAG_ALL);
 
     for (i = 0; i < cls->n_tries; i++) {
         subtable->trie_plen[i] = minimask_get_prefix_len(mask,
@@ -1497,150 +1071,35 @@ insert_subtable(struct cls_classifier *cls, const struct minimask *mask)
     }
 
     /* Ports trie. */
-    subtable->ports_trie = NULL;
-    subtable->ports_mask_len
+    ovsrcu_set_hidden(&subtable->ports_trie, NULL);
+    *CONST_CAST(int *, &subtable->ports_mask_len)
         = 32 - ctz32(ntohl(MINIFLOW_GET_BE32(&mask->masks, tp_src)));
 
-    hmap_insert(&cls->subtables_map, &subtable->hmap_node, hash);
-    elem.subtable = subtable;
-    elem.tag = subtable->tag;
-    elem.max_priority = subtable->max_priority;
-    cls_subtables_push_back(&cls->subtables, elem);
+    cmap_insert(&cls->subtables_map, &subtable->cmap_node, hash);
 
     return subtable;
 }
 
+/* RCU readers may still access the subtable before it is actually freed. */
 static void
-destroy_subtable(struct cls_classifier *cls, struct cls_subtable *subtable)
+destroy_subtable(struct classifier *cls, struct cls_subtable *subtable)
+    OVS_REQUIRES(cls->mutex)
 {
     int i;
-    struct cls_subtable *table = NULL;
-    struct cls_subtable_entry *iter;
 
-    CLS_SUBTABLES_FOR_EACH (table, iter, &cls->subtables) {
-        if (table == subtable) {
-            cls_subtables_remove(&cls->subtables, iter);
-            break;
-        }
-    }
+    pvector_remove(&cls->subtables, subtable);
+    cmap_remove(&cls->subtables_map, &subtable->cmap_node,
+                minimask_hash(&subtable->mask, 0));
 
-    trie_destroy(subtable->ports_trie);
+    ovs_assert(ovsrcu_get_protected(struct trie_node *, &subtable->ports_trie)
+               == NULL);
+    ovs_assert(cmap_is_empty(&subtable->rules));
 
     for (i = 0; i < subtable->n_indices; i++) {
-        hindex_destroy(&subtable->indices[i]);
-    }
-    minimask_destroy(&subtable->mask);
-    hmap_remove(&cls->subtables_map, &subtable->hmap_node);
-    hmap_destroy(&subtable->rules);
-    free(subtable);
-}
-
-/* This function performs the following updates for 'subtable' in 'cls'
- * following the addition of a new rule with priority 'new_priority' to
- * 'subtable':
- *
- *    - Update 'subtable->max_priority' and 'subtable->max_count' if necessary.
- *
- *    - Update 'subtable''s position in 'cls->subtables' if necessary.
- *
- * This function should only be called after adding a new rule, not after
- * replacing a rule by an identical one or modifying a rule in-place. */
-static void
-update_subtables_after_insertion(struct cls_classifier *cls,
-                                 struct cls_subtable *subtable,
-                                 unsigned int new_priority)
-{
-    if (new_priority == subtable->max_priority) {
-        ++subtable->max_count;
-    } else if (new_priority > subtable->max_priority) {
-        struct cls_subtable *table;
-        struct cls_subtable_entry *iter, *from = NULL;
-
-        subtable->max_priority = new_priority;
-        subtable->max_count = 1;
-
-        /* Possibly move 'subtable' earlier in the priority array.  If
-         * we break out of the loop, then the subtable (at 'from')
-         * should be moved to the position right after the current
-         * element.  If the loop terminates normally, then 'iter' will
-         * be at the first array element and we'll move the subtable
-         * to the front of the array. */
-        CLS_SUBTABLES_FOR_EACH_REVERSE (table, iter, &cls->subtables) {
-            if (table == subtable) {
-                from = iter; /* Locate the subtable as we go. */
-                iter->max_priority = new_priority;
-            } else if (table->max_priority >= new_priority) {
-                if (from == NULL) {
-                    /* Corrupted cache? */
-                    cls_subtables_reset(cls);
-                    VLOG_ABORT("update_subtables_after_insertion(): Subtable priority list corrupted.");
-                    OVS_NOT_REACHED();
-                }
-                iter++; /* After this. */
-                break;
-            }
-        }
-
-        /* Move subtable at 'from' to 'iter'. */
-        cls_subtables_move(iter, from);
-    }
-}
-
-/* This function performs the following updates for 'subtable' in 'cls'
- * following the deletion of a rule with priority 'del_priority' from
- * 'subtable':
- *
- *    - Update 'subtable->max_priority' and 'subtable->max_count' if necessary.
- *
- *    - Update 'subtable''s position in 'cls->subtables' if necessary.
- *
- * This function should only be called after removing a rule, not after
- * replacing a rule by an identical one or modifying a rule in-place. */
-static void
-update_subtables_after_removal(struct cls_classifier *cls,
-                               struct cls_subtable *subtable,
-                               unsigned int del_priority)
-{
-    if (del_priority == subtable->max_priority && --subtable->max_count == 0) {
-        struct cls_match *head;
-        struct cls_subtable *table;
-        struct cls_subtable_entry *iter, *from = NULL;
-
-        subtable->max_priority = 0;
-        HMAP_FOR_EACH (head, hmap_node, &subtable->rules) {
-            if (head->priority > subtable->max_priority) {
-                subtable->max_priority = head->priority;
-                subtable->max_count = 1;
-            } else if (head->priority == subtable->max_priority) {
-                ++subtable->max_count;
-            }
-        }
-
-        /* Possibly move 'subtable' later in the priority array.
-         * After the loop the 'iter' will point right after the position
-         * at which the subtable should be moved (either at a subtable
-         * with an equal or lower priority, or just past the array),
-         * so it is decremented once. */
-        CLS_SUBTABLES_FOR_EACH (table, iter, &cls->subtables) {
-            if (table == subtable) {
-                from = iter; /* Locate the subtable as we go. */
-                iter->max_priority = subtable->max_priority;
-            } else if (table->max_priority <= subtable->max_priority) {
-                if (from == NULL) {
-                    /* Corrupted cache? */
-                    cls_subtables_reset(cls);
-                    VLOG_ABORT("update_subtables_after_removal(): Subtable priority list corrupted.");
-                    OVS_NOT_REACHED();
-                }
-                break;
-            }
-        }
-        /* Now at one past the destination. */
-        iter--;
-
-        /* Move subtable at 'from' to 'iter'. */
-        cls_subtables_move(iter, from);
+        cmap_destroy(&subtable->indices[i]);
     }
+    cmap_destroy(&subtable->rules);
+    ovsrcu_postpone(free, subtable);
 }
 
 struct range {
@@ -1648,6 +1107,8 @@ struct range {
     uint8_t end;
 };
 
+static unsigned int be_get_bit_at(const ovs_be32 value[], unsigned int ofs);
+
 /* Return 'true' if can skip rest of the subtable based on the prefix trie
  * lookup results. */
 static inline bool
@@ -1671,35 +1132,33 @@ check_tries(struct trie_ctx trie_ctx[CLS_MAX_TRIES], unsigned int n_tries,
             if (be32ofs >= ofs.start && be32ofs < ofs.end) {
                 /* On-demand trie lookup. */
                 if (!ctx->lookup_done) {
-                    ctx->match_plen = trie_lookup(ctx->trie, flow,
-                                                  &ctx->maskbits);
+                    memset(&ctx->match_plens, 0, sizeof ctx->match_plens);
+                    ctx->maskbits = trie_lookup(ctx->trie, flow,
+                                                &ctx->match_plens);
                     ctx->lookup_done = true;
                 }
                 /* Possible to skip the rest of the subtable if subtable's
-                 * prefix on the field is longer than what is known to match
-                 * based on the trie lookup. */
-                if (field_plen[j] > ctx->match_plen) {
-                    /* RFC: We want the trie lookup to never result in
-                     * unwildcarding any bits that would not be unwildcarded
-                     * otherwise.  Since the trie is shared by the whole
-                     * classifier, it is possible that the 'maskbits' contain
-                     * bits that are irrelevant for the partition of the
-                     * classifier relevant for the current flow. */
+                 * prefix on the field is not included in the lookup result. */
+                if (!be_get_bit_at(&ctx->match_plens.be32, field_plen[j] - 1)) {
+                    /* We want the trie lookup to never result in unwildcarding
+                     * any bits that would not be unwildcarded otherwise.
+                     * Since the trie is shared by the whole classifier, it is
+                     * possible that the 'maskbits' contain bits that are
+                     * irrelevant for the partition relevant for the current
+                     * packet.  Hence the checks below. */
 
-                    /* Can skip if the field is already unwildcarded. */
-                    if (mask_prefix_bits_set(wc, be32ofs, ctx->maskbits)) {
-                        return true;
-                    }
                     /* Check that the trie result will not unwildcard more bits
-                     * than this stage will. */
+                     * than this subtable would otherwise. */
                     if (ctx->maskbits <= field_plen[j]) {
                         /* Unwildcard the bits and skip the rest. */
                         mask_set_prefix_bits(wc, be32ofs, ctx->maskbits);
                         /* Note: Prerequisite already unwildcarded, as the only
                          * prerequisite of the supported trie lookup fields is
-                         * the ethertype, which is currently always
-                         * unwildcarded.
-                         */
+                         * the ethertype, which is always unwildcarded. */
+                        return true;
+                    }
+                    /* Can skip if the field is already unwildcarded. */
+                    if (mask_prefix_bits_set(wc, be32ofs, ctx->maskbits)) {
                         return true;
                     }
                 }
@@ -1714,8 +1173,9 @@ check_tries(struct trie_ctx trie_ctx[CLS_MAX_TRIES], unsigned int n_tries,
  * value has the correct value in 'target'.
  *
  * This function is equivalent to miniflow_equal_flow_in_minimask(flow,
- * target, mask) but it is faster because of the invariant that
- * flow->map and mask->masks.map are the same. */
+ * target, mask) but this is faster because of the invariant that
+ * flow->map and mask->masks.map are the same, and that this version
+ * takes the 'wc'. */
 static inline bool
 miniflow_and_mask_matches_flow(const struct miniflow *flow,
                                const struct minimask *mask,
@@ -1723,10 +1183,12 @@ miniflow_and_mask_matches_flow(const struct miniflow *flow,
 {
     const uint32_t *flowp = miniflow_get_u32_values(flow);
     const uint32_t *maskp = miniflow_get_u32_values(&mask->masks);
-    uint32_t target_u32;
+    uint32_t idx;
+
+    MAP_FOR_EACH_INDEX(idx, mask->masks.map) {
+        uint32_t diff = (*flowp++ ^ flow_u32_value(target, idx)) & *maskp++;
 
-    FLOW_FOR_EACH_IN_MAP(target_u32, target, mask->masks.map) {
-        if ((*flowp++ ^ target_u32) & *maskp++) {
+        if (diff) {
             return false;
         }
     }
@@ -1734,13 +1196,13 @@ miniflow_and_mask_matches_flow(const struct miniflow *flow,
     return true;
 }
 
-static inline struct cls_match *
+static inline const struct cls_match *
 find_match(const struct cls_subtable *subtable, const struct flow *flow,
            uint32_t hash)
 {
-    struct cls_match *rule;
+    const struct cls_match *rule;
 
-    HMAP_FOR_EACH_WITH_HASH (rule, hmap_node, hash, &subtable->rules) {
+    CMAP_FOR_EACH_WITH_HASH (rule, cmap_node, hash, &subtable->rules) {
         if (miniflow_and_mask_matches_flow(&rule->flow, &subtable->mask,
                                            flow)) {
             return rule;
@@ -1750,13 +1212,59 @@ find_match(const struct cls_subtable *subtable, const struct flow *flow,
     return NULL;
 }
 
-static struct cls_match *
+/* Returns true if 'target' satisifies 'flow'/'mask', that is, if each bit
+ * for which 'flow', for which 'mask' has a bit set, specifies a particular
+ * value has the correct value in 'target'.
+ *
+ * This function is equivalent to miniflow_and_mask_matches_flow() but this
+ * version fills in the mask bits in 'wc'. */
+static inline bool
+miniflow_and_mask_matches_flow_wc(const struct miniflow *flow,
+                                  const struct minimask *mask,
+                                  const struct flow *target,
+                                  struct flow_wildcards *wc)
+{
+    const uint32_t *flowp = miniflow_get_u32_values(flow);
+    const uint32_t *maskp = miniflow_get_u32_values(&mask->masks);
+    uint32_t idx;
+
+    MAP_FOR_EACH_INDEX(idx, mask->masks.map) {
+        uint32_t mask = *maskp++;
+        uint32_t diff = (*flowp++ ^ flow_u32_value(target, idx)) & mask;
+
+        if (diff) {
+            /* Only unwildcard if none of the differing bits is already
+             * exact-matched. */
+            if (!(flow_u32_value(&wc->masks, idx) & diff)) {
+                /* Keep one bit of the difference. */
+                *flow_u32_lvalue(&wc->masks, idx) |= rightmost_1bit(diff);
+            }
+            return false;
+        }
+        /* Fill in the bits that were looked at. */
+        *flow_u32_lvalue(&wc->masks, idx) |= mask;
+    }
+
+    return true;
+}
+
+/* Unwildcard the fields looked up so far, if any. */
+static void
+fill_range_wc(const struct cls_subtable *subtable, struct flow_wildcards *wc,
+              uint8_t to)
+{
+    if (to) {
+        flow_wildcards_fold_minimask_range(wc, &subtable->mask, 0, to);
+    }
+}
+
+static const struct cls_match *
 find_match_wc(const struct cls_subtable *subtable, const struct flow *flow,
               struct trie_ctx trie_ctx[CLS_MAX_TRIES], unsigned int n_tries,
               struct flow_wildcards *wc)
 {
     uint32_t basis = 0, hash;
-    struct cls_match *rule = NULL;
+    const struct cls_match *rule = NULL;
     int i;
     struct range ofs;
 
@@ -1768,95 +1276,83 @@ find_match_wc(const struct cls_subtable *subtable, const struct flow *flow,
     ofs.start = 0;
     /* Try to finish early by checking fields in segments. */
     for (i = 0; i < subtable->n_indices; i++) {
-        struct hindex_node *inode;
+        const struct cmap_node *inode;
+
         ofs.end = subtable->index_ofs[i];
 
         if (check_tries(trie_ctx, n_tries, subtable->trie_plen, ofs, flow,
                         wc)) {
-            goto range_out;
+            /* 'wc' bits for the trie field set, now unwildcard the preceding
+             * bits used so far. */
+            fill_range_wc(subtable, wc, ofs.start);
+            return NULL;
         }
         hash = flow_hash_in_minimask_range(flow, &subtable->mask, ofs.start,
                                            ofs.end, &basis);
-        ofs.start = ofs.end;
-        inode = hindex_node_with_hash(&subtable->indices[i], hash);
+        inode = cmap_find(&subtable->indices[i], hash);
         if (!inode) {
-            /* No match, can stop immediately, but must fold in the mask
-             * covered so far. */
-            goto range_out;
+            /* No match, can stop immediately, but must fold in the bits
+             * used in lookup so far. */
+            fill_range_wc(subtable, wc, ofs.end);
+            return NULL;
         }
 
         /* If we have narrowed down to a single rule already, check whether
-         * that rule matches.  If it does match, then we're done.  If it does
-         * not match, then we know that we will never get a match, but we do
-         * not yet know how many wildcards we need to fold into 'wc' so we
-         * continue iterating through indices to find that out.  (We won't
-         * waste time calling miniflow_and_mask_matches_flow() again because
-         * we've set 'rule' nonnull.)
-         *
-         * This check shows a measurable benefit with non-trivial flow tables.
+         * that rule matches.  Either way, we're done.
          *
          * (Rare) hash collisions may cause us to miss the opportunity for this
          * optimization. */
-        if (!inode->s && !rule) {
+        if (!cmap_node_next(inode)) {
             ASSIGN_CONTAINER(rule, inode - i, index_nodes);
-            if (miniflow_and_mask_matches_flow(&rule->flow, &subtable->mask,
-                                               flow)) {
-                goto out;
+            if (miniflow_and_mask_matches_flow_wc(&rule->flow, &subtable->mask,
+                                                  flow, wc)) {
+                return rule;
             }
+            return NULL;
         }
+        ofs.start = ofs.end;
     }
     ofs.end = FLOW_U32S;
     /* Trie check for the final range. */
     if (check_tries(trie_ctx, n_tries, subtable->trie_plen, ofs, flow, wc)) {
-        goto range_out;
-    }
-    if (!rule) {
-        /* Multiple potential matches exist, look for one. */
-        hash = flow_hash_in_minimask_range(flow, &subtable->mask, ofs.start,
-                                           ofs.end, &basis);
-        rule = find_match(subtable, flow, hash);
-    } else {
-        /* We already narrowed the matching candidates down to just 'rule',
-         * but it didn't match. */
-        rule = NULL;
+        fill_range_wc(subtable, wc, ofs.start);
+        return NULL;
     }
+    hash = flow_hash_in_minimask_range(flow, &subtable->mask, ofs.start,
+                                       ofs.end, &basis);
+    rule = find_match(subtable, flow, hash);
     if (!rule && subtable->ports_mask_len) {
         /* Ports are always part of the final range, if any.
          * No match was found for the ports.  Use the ports trie to figure out
          * which ports bits to unwildcard. */
         unsigned int mbits;
-        ovs_be32 value, mask;
+        ovs_be32 value, plens, mask;
 
         mask = MINIFLOW_GET_BE32(&subtable->mask.masks, tp_src);
         value = ((OVS_FORCE ovs_be32 *)flow)[TP_PORTS_OFS32] & mask;
-        trie_lookup_value(subtable->ports_trie, &value, 32, &mbits);
+        mbits = trie_lookup_value(&subtable->ports_trie, &value, &plens, 32);
 
         ((OVS_FORCE ovs_be32 *)&wc->masks)[TP_PORTS_OFS32] |=
-            mask & htonl(~0 << (32 - mbits));
+            mask & be32_prefix_mask(mbits);
 
-        ofs.start = TP_PORTS_OFS32;
-        goto range_out;
+        /* Unwildcard all bits in the mask upto the ports, as they were used
+         * to determine there is no match. */
+        fill_range_wc(subtable, wc, TP_PORTS_OFS32);
+        return NULL;
     }
- out:
+
     /* Must unwildcard all the fields, as they were looked at. */
     flow_wildcards_fold_minimask(wc, &subtable->mask);
     return rule;
-
- range_out:
-    /* Must unwildcard the fields looked up so far, if any. */
-    if (ofs.start) {
-        flow_wildcards_fold_minimask_range(wc, &subtable->mask, 0, ofs.start);
-    }
-    return NULL;
 }
 
 static struct cls_match *
-find_equal(struct cls_subtable *subtable, const struct miniflow *flow,
+find_equal(const struct cls_subtable *subtable, const struct miniflow *flow,
            uint32_t hash)
 {
     struct cls_match *head;
 
-    HMAP_FOR_EACH_WITH_HASH (head, hmap_node, hash, &subtable->rules) {
+    CMAP_FOR_EACH_WITH_HASH (head, cmap_node, hash, &subtable->rules) {
         if (miniflow_equal(&head->flow, flow)) {
             return head;
         }
@@ -1864,97 +1360,113 @@ find_equal(struct cls_subtable *subtable, const struct miniflow *flow,
     return NULL;
 }
 
+/*
+ * As the readers are operating concurrently with the modifications, a
+ * concurrent reader may or may not see the new rule, depending on how
+ * the concurrent events overlap with each other.  This is no
+ * different from the former locked behavior, but there the visibility
+ * of the new rule only depended on the timing of the locking
+ * functions.
+ *
+ * The new rule is first added to the segment indices, so the readers
+ * may find the rule in the indices before the rule is visible in the
+ * subtables 'rules' map.  This may result in us losing the
+ * opportunity to quit lookups earlier, resulting in sub-optimal
+ * wildcarding.  This will be fixed by forthcoming revalidation always
+ * scheduled after flow table changes.
+ *
+ * Similar behavior may happen due to us removing the overlapping rule
+ * (if any) from the indices only after the new rule has been added.
+ *
+ * The subtable's max priority is updated only after the rule is
+ * inserted, so the concurrent readers may not see the rule, as the
+ * updated priority ordered subtable list will only be visible after
+ * the subtable's max priority is updated.
+ *
+ * Similarly, the classifier's partitions for new rules are updated by
+ * the caller after this function, so the readers may keep skipping
+ * the subtable until they see the updated partitions.
+ */
 static struct cls_match *
-insert_rule(struct cls_classifier *cls, struct cls_subtable *subtable,
-            struct cls_rule *new)
+insert_rule(struct classifier *cls, struct cls_subtable *subtable,
+            struct cls_rule *new_rule)
+    OVS_REQUIRES(cls->mutex)
 {
-    struct cls_match *cls_match = cls_match_alloc(new);
-    struct cls_match *head;
     struct cls_match *old = NULL;
+    struct cls_match *new = cls_match_alloc(new_rule);
+    struct cls_match *head;
     int i;
-    uint32_t basis = 0, hash;
+    uint32_t basis = 0, hash, ihash[CLS_MAX_INDICES];
     uint8_t prev_be32ofs = 0;
 
     /* Add new node to segment indices. */
     for (i = 0; i < subtable->n_indices; i++) {
-        hash = minimatch_hash_range(&new->match, prev_be32ofs,
-                                    subtable->index_ofs[i], &basis);
-        hindex_insert(&subtable->indices[i], &cls_match->index_nodes[i], hash);
+        ihash[i] = minimatch_hash_range(&new_rule->match, prev_be32ofs,
+                                        subtable->index_ofs[i], &basis);
+        cmap_insert(&subtable->indices[i], &new->index_nodes[i], ihash[i]);
         prev_be32ofs = subtable->index_ofs[i];
     }
-    hash = minimatch_hash_range(&new->match, prev_be32ofs, FLOW_U32S, &basis);
-    head = find_equal(subtable, &new->match.flow, hash);
+    hash = minimatch_hash_range(&new_rule->match, prev_be32ofs, FLOW_U32S,
+                                &basis);
+    head = find_equal(subtable, &new_rule->match.flow, hash);
     if (!head) {
-        hmap_insert(&subtable->rules, &cls_match->hmap_node, hash);
-        list_init(&cls_match->list);
+        cmap_insert(&subtable->rules, &new->cmap_node, hash);
+        rculist_init(&new->list);
         goto out;
     } else {
         /* Scan the list for the insertion point that will keep the list in
          * order of decreasing priority. */
         struct cls_match *rule;
 
-        cls_match->hmap_node.hash = hash; /* Otherwise done by hmap_insert. */
-
-        FOR_EACH_RULE_IN_LIST (rule, head) {
-            if (cls_match->priority >= rule->priority) {
+        FOR_EACH_RULE_IN_LIST_PROTECTED (rule, head) {
+            if (new->priority >= rule->priority) {
                 if (rule == head) {
                     /* 'new' is the new highest-priority flow in the list. */
-                    hmap_replace(&subtable->rules,
-                                 &rule->hmap_node, &cls_match->hmap_node);
+                    cmap_replace(&subtable->rules, &rule->cmap_node,
+                                 &new->cmap_node, hash);
                 }
 
-                if (cls_match->priority == rule->priority) {
-                    list_replace(&cls_match->list, &rule->list);
+                if (new->priority == rule->priority) {
+                    rculist_replace(&new->list, &rule->list);
                     old = rule;
-                    goto out;
                 } else {
-                    list_insert(&rule->list, &cls_match->list);
-                    goto out;
+                    rculist_insert(&rule->list, &new->list);
                 }
+                goto out;
             }
         }
 
         /* Insert 'new' at the end of the list. */
-        list_push_back(&head->list, &cls_match->list);
+        rculist_push_back(&head->list, &new->list);
     }
 
  out:
     if (!old) {
-        update_subtables_after_insertion(cls, subtable, cls_match->priority);
+        subtable->n_rules++;
+
+        /* Rule was added, not replaced.  Update 'subtable's 'max_priority'
+         * and 'max_count', if necessary. */
+        if (subtable->n_rules == 1) {
+            subtable->max_priority = new->priority;
+            subtable->max_count = 1;
+            pvector_insert(&cls->subtables, subtable, new->priority);
+        } else if (subtable->max_priority == new->priority) {
+            ++subtable->max_count;
+        } else if (new->priority > subtable->max_priority) {
+            subtable->max_priority = new->priority;
+            subtable->max_count = 1;
+            pvector_change_priority(&cls->subtables, subtable, new->priority);
+        }
     } else {
         /* Remove old node from indices. */
         for (i = 0; i < subtable->n_indices; i++) {
-            hindex_remove(&subtable->indices[i], &old->index_nodes[i]);
+            cmap_remove(&subtable->indices[i], &old->index_nodes[i], ihash[i]);
         }
     }
     return old;
 }
-
-static struct cls_match *
-next_rule_in_list__(struct cls_match *rule)
-{
-    struct cls_match *next = OBJECT_CONTAINING(rule->list.next, next, list);
-    return next;
-}
-
-static struct cls_match *
-next_rule_in_list(struct cls_match *rule)
-{
-    struct cls_match *next = next_rule_in_list__(rule);
-    return next->priority < rule->priority ? next : NULL;
-}
 \f
 /* A longest-prefix match tree. */
-struct trie_node {
-    uint32_t prefix;           /* Prefix bits for this node, MSB first. */
-    uint8_t  nbits;            /* Never zero, except for the root node. */
-    unsigned int n_rules;      /* Number of rules that have this prefix. */
-    struct trie_node *edges[2]; /* Both NULL if leaf. */
-};
-
-/* Max bits per node.  Must fit in struct trie_node's 'prefix'.
- * Also tested with 16, 8, and 5 to stress the implementation. */
-#define TRIE_PREFIX_BITS 32
 
 /* Return at least 'plen' bits of the 'prefix', starting at bit offset 'ofs'.
  * Prefixes are in the network byte order, and the offset 0 corresponds to
@@ -1994,15 +1506,15 @@ trie_get_prefix(const ovs_be32 pr[], unsigned int ofs, unsigned int plen)
     return raw_get_prefix(pr, ofs, plen) & ~0u << (32 - plen);
 }
 
-/* Return the number of equal bits in 'nbits' of 'prefix's MSBs and a 'value'
+/* Return the number of equal bits in 'n_bits' of 'prefix's MSBs and a 'value'
  * starting at "MSB 0"-based offset 'ofs'. */
 static unsigned int
-prefix_equal_bits(uint32_t prefix, unsigned int nbits, const ovs_be32 value[],
+prefix_equal_bits(uint32_t prefix, unsigned int n_bits, const ovs_be32 value[],
                   unsigned int ofs)
 {
-    uint64_t diff = prefix ^ raw_get_prefix(value, ofs, nbits);
+    uint64_t diff = prefix ^ raw_get_prefix(value, ofs, n_bits);
     /* Set the bit after the relevant bits to limit the result. */
-    return raw_clz64(diff << 32 | UINT64_C(1) << (63 - nbits));
+    return raw_clz64(diff << 32 | UINT64_C(1) << (63 - n_bits));
 }
 
 /* Return the number of equal bits in 'node' prefix and a 'prefix' of length
@@ -2011,7 +1523,7 @@ static unsigned int
 trie_prefix_equal_bits(const struct trie_node *node, const ovs_be32 prefix[],
                        unsigned int ofs, unsigned int plen)
 {
-    return prefix_equal_bits(node->prefix, MIN(node->nbits, plen - ofs),
+    return prefix_equal_bits(node->prefix, MIN(node->n_bits, plen - ofs),
                              prefix, ofs);
 }
 
@@ -2041,9 +1553,9 @@ trie_branch_create(const ovs_be32 *prefix, unsigned int ofs, unsigned int plen,
     node->prefix = trie_get_prefix(prefix, ofs, plen);
 
     if (plen <= TRIE_PREFIX_BITS) {
-        node->nbits = plen;
-        node->edges[0] = NULL;
-        node->edges[1] = NULL;
+        node->n_bits = plen;
+        ovsrcu_set_hidden(&node->edges[0], NULL);
+        ovsrcu_set_hidden(&node->edges[1], NULL);
         node->n_rules = n_rules;
     } else { /* Need intermediate nodes. */
         struct trie_node *subnode = trie_branch_create(prefix,
@@ -2051,70 +1563,88 @@ trie_branch_create(const ovs_be32 *prefix, unsigned int ofs, unsigned int plen,
                                                        plen - TRIE_PREFIX_BITS,
                                                        n_rules);
         int bit = get_bit_at(subnode->prefix, 0);
-        node->nbits = TRIE_PREFIX_BITS;
-        node->edges[bit] = subnode;
-        node->edges[!bit] = NULL;
+        node->n_bits = TRIE_PREFIX_BITS;
+        ovsrcu_set_hidden(&node->edges[bit], subnode);
+        ovsrcu_set_hidden(&node->edges[!bit], NULL);
         node->n_rules = 0;
     }
     return node;
 }
 
 static void
-trie_node_destroy(struct trie_node *node)
+trie_node_destroy(const struct trie_node *node)
 {
-    free(node);
+    ovsrcu_postpone(free, CONST_CAST(struct trie_node *, node));
 }
 
+/* Copy a trie node for modification and postpone delete the old one. */
+static struct trie_node *
+trie_node_rcu_realloc(const struct trie_node *node)
+{
+    struct trie_node *new_node = xmalloc(sizeof *node);
+
+    *new_node = *node;
+    trie_node_destroy(node);
+
+    return new_node;
+}
+
+/* May only be called while holding the classifier mutex. */
 static void
-trie_destroy(struct trie_node *node)
+trie_destroy(rcu_trie_ptr *trie)
 {
+    struct trie_node *node = ovsrcu_get_protected(struct trie_node *, trie);
+
     if (node) {
-        trie_destroy(node->edges[0]);
-        trie_destroy(node->edges[1]);
-        free(node);
+        ovsrcu_set_hidden(trie, NULL);
+        trie_destroy(&node->edges[0]);
+        trie_destroy(&node->edges[1]);
+        trie_node_destroy(node);
     }
 }
 
 static bool
 trie_is_leaf(const struct trie_node *trie)
 {
-    return !trie->edges[0] && !trie->edges[1]; /* No children. */
+    /* No children? */
+    return !ovsrcu_get(struct trie_node *, &trie->edges[0])
+        && !ovsrcu_get(struct trie_node *, &trie->edges[1]);
 }
 
 static void
 mask_set_prefix_bits(struct flow_wildcards *wc, uint8_t be32ofs,
-                     unsigned int nbits)
+                     unsigned int n_bits)
 {
     ovs_be32 *mask = &((ovs_be32 *)&wc->masks)[be32ofs];
     unsigned int i;
 
-    for (i = 0; i < nbits / 32; i++) {
+    for (i = 0; i < n_bits / 32; i++) {
         mask[i] = OVS_BE32_MAX;
     }
-    if (nbits % 32) {
-        mask[i] |= htonl(~0u << (32 - nbits % 32));
+    if (n_bits % 32) {
+        mask[i] |= htonl(~0u << (32 - n_bits % 32));
     }
 }
 
 static bool
 mask_prefix_bits_set(const struct flow_wildcards *wc, uint8_t be32ofs,
-                     unsigned int nbits)
+                     unsigned int n_bits)
 {
     ovs_be32 *mask = &((ovs_be32 *)&wc->masks)[be32ofs];
     unsigned int i;
     ovs_be32 zeroes = 0;
 
-    for (i = 0; i < nbits / 32; i++) {
+    for (i = 0; i < n_bits / 32; i++) {
         zeroes |= ~mask[i];
     }
-    if (nbits % 32) {
-        zeroes |= ~mask[i] & htonl(~0u << (32 - nbits % 32));
+    if (n_bits % 32) {
+        zeroes |= ~mask[i] & htonl(~0u << (32 - n_bits % 32));
     }
 
-    return !zeroes; /* All 'nbits' bits set. */
+    return !zeroes; /* All 'n_bits' bits set. */
 }
 
-static struct trie_node **
+static rcu_trie_ptr *
 trie_next_edge(struct trie_node *node, const ovs_be32 value[],
                unsigned int ofs)
 {
@@ -2125,50 +1655,61 @@ static const struct trie_node *
 trie_next_node(const struct trie_node *node, const ovs_be32 value[],
                unsigned int ofs)
 {
-    return node->edges[be_get_bit_at(value, ofs)];
+    return ovsrcu_get(struct trie_node *,
+                      &node->edges[be_get_bit_at(value, ofs)]);
 }
 
-/* Return the prefix mask length necessary to find the longest-prefix match for
- * the '*value' in the prefix tree 'node'.
- * '*checkbits' is set to the number of bits in the prefix mask necessary to
- * determine a mismatch, in case there are longer prefixes in the tree below
- * the one that matched.
+/* Set the bit at ("MSB 0"-based) offset 'ofs'.  'ofs' can be greater than 31.
+ */
+static void
+be_set_bit_at(ovs_be32 value[], unsigned int ofs)
+{
+    ((uint8_t *)value)[ofs / 8] |= 1u << (7 - ofs % 8);
+}
+
+/* Returns the number of bits in the prefix mask necessary to determine a
+ * mismatch, in case there are longer prefixes in the tree below the one that
+ * matched.
+ * '*plens' will have a bit set for each prefix length that may have matching
+ * rules.  The caller is responsible for clearing the '*plens' prior to
+ * calling this.
  */
 static unsigned int
-trie_lookup_value(const struct trie_node *node, const ovs_be32 value[],
-                  unsigned int n_bits, unsigned int *checkbits)
+trie_lookup_value(const rcu_trie_ptr *trie, const ovs_be32 value[],
+                  ovs_be32 plens[], unsigned int n_bits)
 {
-    unsigned int ofs = 0, match_len = 0;
     const struct trie_node *prev = NULL;
+    const struct trie_node *node = ovsrcu_get(struct trie_node *, trie);
+    unsigned int match_len = 0; /* Number of matching bits. */
 
-    for (; node; prev = node, node = trie_next_node(node, value, ofs)) {
+    for (; node; prev = node, node = trie_next_node(node, value, match_len)) {
         unsigned int eqbits;
         /* Check if this edge can be followed. */
-        eqbits = prefix_equal_bits(node->prefix, node->nbits, value, ofs);
-        ofs += eqbits;
-        if (eqbits < node->nbits) { /* Mismatch, nothing more to be found. */
-            /* Bit at offset 'ofs' differed. */
-            *checkbits = ofs + 1; /* Includes the first mismatching bit. */
-            return match_len;
+        eqbits = prefix_equal_bits(node->prefix, node->n_bits, value,
+                                   match_len);
+        match_len += eqbits;
+        if (eqbits < node->n_bits) { /* Mismatch, nothing more to be found. */
+            /* Bit at offset 'match_len' differed. */
+            return match_len + 1; /* Includes the first mismatching bit. */
         }
         /* Full match, check if rules exist at this prefix length. */
         if (node->n_rules > 0) {
-            match_len = ofs;
+            be_set_bit_at(plens, match_len - 1);
         }
-        if (ofs >= n_bits) {
-            *checkbits = n_bits; /* Full prefix. */
-            return match_len;
+        if (match_len >= n_bits) {
+            return n_bits; /* Full prefix. */
         }
     }
-    /* node == NULL.  Full match so far, but we came to a dead end.
-     * need to exclude the other branch if it exists. */
-    *checkbits = !prev || trie_is_leaf(prev) ? ofs : ofs + 1;
-    return match_len;
+    /* node == NULL.  Full match so far, but we tried to follow an
+     * non-existing branch.  Need to exclude the other branch if it exists
+     * (it does not if we were called on an empty trie or 'prev' is a leaf
+     * node). */
+    return !prev || trie_is_leaf(prev) ? match_len : match_len + 1;
 }
 
 static unsigned int
 trie_lookup(const struct cls_trie *trie, const struct flow *flow,
-            unsigned int *checkbits)
+            union mf_value *plens)
 {
     const struct mf_field *mf = trie->field;
 
@@ -2176,12 +1717,12 @@ trie_lookup(const struct cls_trie *trie, const struct flow *flow,
      * field.  Some match fields are used for multiple purposes, so we
      * must check that the trie is relevant for this flow. */
     if (mf_are_prereqs_ok(mf, flow)) {
-        return trie_lookup_value(trie->root,
+        return trie_lookup_value(&trie->root,
                                  &((ovs_be32 *)flow)[mf->flow_be32ofs],
-                                 mf->n_bits, checkbits);
+                                 &plens->be32, mf->n_bits);
     }
-    *checkbits = 0; /* Value not used in this case. */
-    return UINT_MAX;
+    memset(plens, 0xff, sizeof *plens); /* All prefixes, no skipping. */
+    return 0; /* Value not used in this case. */
 }
 
 /* Returns the length of a prefix match mask for the field 'mf' in 'minimask'.
@@ -2191,7 +1732,7 @@ static unsigned int
 minimask_get_prefix_len(const struct minimask *minimask,
                         const struct mf_field *mf)
 {
-    unsigned int nbits = 0, mask_tz = 0; /* Non-zero when end of mask seen. */
+    unsigned int n_bits = 0, mask_tz = 0; /* Non-zero when end of mask seen. */
     uint8_t u32_ofs = mf->flow_be32ofs;
     uint8_t u32_end = u32_ofs + mf->n_bytes / 4;
 
@@ -2209,11 +1750,11 @@ minimask_get_prefix_len(const struct minimask *minimask,
                 return 0; /* Mask not contiguous. */
             }
             mask_tz = ctz32(mask);
-            nbits += 32 - mask_tz;
+            n_bits += 32 - mask_tz;
         }
     }
 
-    return nbits;
+    return n_bits;
 }
 
 /*
@@ -2240,34 +1781,37 @@ trie_insert(struct cls_trie *trie, const struct cls_rule *rule, int mlen)
 }
 
 static void
-trie_insert_prefix(struct trie_node **edge, const ovs_be32 *prefix, int mlen)
+trie_insert_prefix(rcu_trie_ptr *edge, const ovs_be32 *prefix, int mlen)
 {
     struct trie_node *node;
     int ofs = 0;
 
     /* Walk the tree. */
-    for (; (node = *edge) != NULL;
+    for (; (node = ovsrcu_get_protected(struct trie_node *, edge));
          edge = trie_next_edge(node, prefix, ofs)) {
         unsigned int eqbits = trie_prefix_equal_bits(node, prefix, ofs, mlen);
         ofs += eqbits;
-        if (eqbits < node->nbits) {
+        if (eqbits < node->n_bits) {
             /* Mismatch, new node needs to be inserted above. */
             int old_branch = get_bit_at(node->prefix, eqbits);
+            struct trie_node *new_parent;
 
-            /* New parent node. */
-            *edge = trie_branch_create(prefix, ofs - eqbits, eqbits,
-                                       ofs == mlen ? 1 : 0);
-
-            /* Adjust old node for its new position in the tree. */
+            new_parent = trie_branch_create(prefix, ofs - eqbits, eqbits,
+                                            ofs == mlen ? 1 : 0);
+            /* Copy the node to modify it. */
+            node = trie_node_rcu_realloc(node);
+            /* Adjust the new node for its new position in the tree. */
             node->prefix <<= eqbits;
-            node->nbits -= eqbits;
-            (*edge)->edges[old_branch] = node;
+            node->n_bits -= eqbits;
+            ovsrcu_set_hidden(&new_parent->edges[old_branch], node);
 
             /* Check if need a new branch for the new rule. */
             if (ofs < mlen) {
-                (*edge)->edges[!old_branch]
-                    = trie_branch_create(prefix, ofs, mlen - ofs, 1);
+                ovsrcu_set_hidden(&new_parent->edges[!old_branch],
+                                  trie_branch_create(prefix, ofs, mlen - ofs,
+                                                     1));
             }
+            ovsrcu_set(edge, new_parent); /* Publish changes. */
             return;
         }
         /* Full match so far. */
@@ -2279,7 +1823,7 @@ trie_insert_prefix(struct trie_node **edge, const ovs_be32 *prefix, int mlen)
         }
     }
     /* Must insert a new tree branch for the new rule. */
-    *edge = trie_branch_create(prefix, ofs, mlen - ofs, 1);
+    ovsrcu_set(edge, trie_branch_create(prefix, ofs, mlen - ofs, 1));
 }
 
 /* 'mlen' must be the (non-zero) CIDR prefix length of the 'trie->field' mask
@@ -2294,19 +1838,19 @@ trie_remove(struct cls_trie *trie, const struct cls_rule *rule, int mlen)
 /* 'mlen' must be the (non-zero) CIDR prefix length of the 'trie->field' mask
  * in 'rule'. */
 static void
-trie_remove_prefix(struct trie_node **root, const ovs_be32 *prefix, int mlen)
+trie_remove_prefix(rcu_trie_ptr *root, const ovs_be32 *prefix, int mlen)
 {
     struct trie_node *node;
-    struct trie_node **edges[sizeof(union mf_value) * 8];
+    rcu_trie_ptr *edges[sizeof(union mf_value) * 8];
     int depth = 0, ofs = 0;
 
     /* Walk the tree. */
     for (edges[0] = root;
-         (node = *edges[depth]) != NULL;
+         (node = ovsrcu_get_protected(struct trie_node *, edges[depth]));
          edges[++depth] = trie_next_edge(node, prefix, ofs)) {
         unsigned int eqbits = trie_prefix_equal_bits(node, prefix, ofs, mlen);
 
-        if (eqbits < node->nbits) {
+        if (eqbits < node->n_bits) {
             /* Mismatch, nothing to be removed.  This should never happen, as
              * only rules in the classifier are ever removed. */
             break; /* Log a warning. */
@@ -2322,27 +1866,40 @@ trie_remove_prefix(struct trie_node **root, const ovs_be32 *prefix, int mlen)
             node->n_rules--;
 
             /* Check if can prune the tree. */
-            while (!node->n_rules && !(node->edges[0] && node->edges[1])) {
-                /* No rules and at most one child node, remove this node. */
-                struct trie_node *next;
-                next = node->edges[0] ? node->edges[0] : node->edges[1];
+            while (!node->n_rules) {
+                struct trie_node *next,
+                    *edge0 = ovsrcu_get_protected(struct trie_node *,
+                                                  &node->edges[0]),
+                    *edge1 = ovsrcu_get_protected(struct trie_node *,
+                                                  &node->edges[1]);
+
+                if (edge0 && edge1) {
+                    break; /* A branching point, cannot prune. */
+                }
+
+                /* Else have at most one child node, remove this node. */
+                next = edge0 ? edge0 : edge1;
 
                 if (next) {
-                    if (node->nbits + next->nbits > TRIE_PREFIX_BITS) {
+                    if (node->n_bits + next->n_bits > TRIE_PREFIX_BITS) {
                         break;   /* Cannot combine. */
                     }
+                    next = trie_node_rcu_realloc(next); /* Modify. */
+
                     /* Combine node with next. */
-                    next->prefix = node->prefix | next->prefix >> node->nbits;
-                    next->nbits += node->nbits;
+                    next->prefix = node->prefix | next->prefix >> node->n_bits;
+                    next->n_bits += node->n_bits;
                 }
-                trie_node_destroy(node);
                 /* Update the parent's edge. */
-                *edges[depth] = next;
+                ovsrcu_set(edges[depth], next); /* Publish changes. */
+                trie_node_destroy(node);
+
                 if (next || !depth) {
                     /* Branch not pruned or at root, nothing more to do. */
                     break;
                 }
-                node = *edges[--depth];
+                node = ovsrcu_get_protected(struct trie_node *,
+                                            edges[--depth]);
             }
             return;
         }