lib/classifier.h

   1 /*
   2  * Copyright (c) 2009, 2010, 2011, 2012, 2013 Nicira, Inc.
   3  *
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #ifndef CLASSIFIER_H
  18 #define CLASSIFIER_H 1
  19
  20 /* Flow classifier.
  21  *
  22  *
  23  * What?
  24  * =====
  25  *
  26  * A flow classifier holds any number of "rules", each of which specifies
  27  * values to match for some fields or subfields and a priority.  Each OpenFlow
  28  * table is implemented as a flow classifier.
  29  *
  30  * The classifier has two primary design goals.  The first is obvious: given a
  31  * set of packet headers, as quickly as possible find the highest-priority rule
  32  * that matches those headers.  The following section describes the second
  33  * goal.
  34  *
  35  *
  36  * "Un-wildcarding"
  37  * ================
  38  *
  39  * A primary goal of the flow classifier is to produce, as a side effect of a
  40  * packet lookup, a wildcard mask that indicates which bits of the packet
  41  * headers were essential to the classification result.  Ideally, a 1-bit in
  42  * any position of this mask means that, if the corresponding bit in the packet
  43  * header were flipped, then the classification result might change.  A 0-bit
  44  * means that changing the packet header bit would have no effect.  Thus, the
  45  * wildcarded bits are the ones that played no role in the classification
  46  * decision.
  47  *
  48  * Such a wildcard mask is useful with datapaths that support installing flows
  49  * that wildcard fields or subfields.  If an OpenFlow lookup for a TCP flow
  50  * does not actually look at the TCP source or destination ports, for example,
  51  * then the switch may install into the datapath a flow that wildcards the port
  52  * numbers, which in turn allows the datapath to handle packets that arrive for
  53  * other TCP source or destination ports without additional help from
  54  * ovs-vswitchd.  This is useful for the Open vSwitch software and,
  55  * potentially, for ASIC-based switches as well.
  56  *
  57  * Some properties of the wildcard mask:
  58  *
  59  *     - "False 1-bits" are acceptable, that is, setting a bit in the wildcard
  60  *       mask to 1 will never cause a packet to be forwarded the wrong way.
  61  *       As a corollary, a wildcard mask composed of all 1-bits will always
  62  *       yield correct (but often needlessly inefficient) behavior.
  63  *
  64  *     - "False 0-bits" can cause problems, so they must be avoided.  In the
  65  *       extreme case, a mask of all 0-bits is only correct if the classifier
  66  *       contains only a single flow that matches all packets.
  67  *
  68  *     - 0-bits are desirable because they allow the datapath to act more
  69  *       autonomously, relying less on ovs-vswitchd to process flow setups,
  70  *       thereby improving performance.
  71  *
  72  *     - We don't know a good way to generate wildcard masks with the maximum
  73  *       (correct) number of 0-bits.  We use various approximations, described
  74  *       in later sections.
  75  *
  76  *     - Wildcard masks for lookups in a given classifier yield a
  77  *       non-overlapping set of rules.  More specifically:
  78  *
  79  *       Consider an classifier C1 filled with an arbitrary collection of rules
  80  *       and an empty classifier C2.  Now take a set of packet headers H and
  81  *       look it up in C1, yielding a highest-priority matching rule R1 and
  82  *       wildcard mask M.  Form a new classifier rule R2 out of packet headers
  83  *       H and mask M, and add R2 to C2 with a fixed priority.  If one were to
  84  *       do this for every possible set of packet headers H, then this
  85  *       process would not attempt to add any overlapping rules to C2, that is,
  86  *       any packet lookup using the rules generated by this process matches at
  87  *       most one rule in C2.
  88  *
  89  * During the lookup process, the classifier starts out with a wildcard mask
  90  * that is all 0-bits, that is, fully wildcarded.  As lookup proceeds, each
  91  * step tends to add constraints to the wildcard mask, that is, change
  92  * wildcarded 0-bits into exact-match 1-bits.  We call this "un-wildcarding".
  93  * A lookup step that examines a particular field must un-wildcard that field.
  94  * In general, un-wildcarding is necessary for correctness but undesirable for
  95  * performance.
  96  *
  97  *
  98  * Basic Classifier Design
  99  * =======================
 100  *
 101  * Suppose that all the rules in a classifier had the same form.  For example,
 102  * suppose that they all matched on the source and destination Ethernet address
 103  * and wildcarded all the other fields.  Then the obvious way to implement a
 104  * classifier would be a hash table on the source and destination Ethernet
 105  * addresses.  If new classification rules came along with a different form,
 106  * you could add a second hash table that hashed on the fields matched in those
 107  * rules.  With two hash tables, you look up a given flow in each hash table.
 108  * If there are no matches, the classifier didn't contain a match; if you find
 109  * a match in one of them, that's the result; if you find a match in both of
 110  * them, then the result is the rule with the higher priority.
 111  *
 112  * This is how the classifier works.  In a "struct classifier", each form of
 113  * "struct cls_rule" present (based on its ->match.mask) goes into a separate
 114  * "struct cls_subtable".  A lookup does a hash lookup in every "struct
 115  * cls_subtable" in the classifier and tracks the highest-priority match that
 116  * it finds.  The subtables are kept in a descending priority order according
 117  * to the highest priority rule in each subtable, which allows lookup to skip
 118  * over subtables that can't possibly have a higher-priority match than already
 119  * found.  Eliminating lookups through priority ordering aids both classifier
 120  * primary design goals: skipping lookups saves time and avoids un-wildcarding
 121  * fields that those lookups would have examined.
 122  *
 123  * One detail: a classifier can contain multiple rules that are identical other
 124  * than their priority.  When this happens, only the highest priority rule out
 125  * of a group of otherwise identical rules is stored directly in the "struct
 126  * cls_subtable", with the other almost-identical rules chained off a linked
 127  * list inside that highest-priority rule.
 128  *
 129  *
 130  * Staged Lookup (Wildcard Optimization)
 131  * =====================================
 132  *
 133  * Subtable lookup is performed in ranges defined for struct flow, starting
 134  * from metadata (registers, in_port, etc.), then L2 header, L3, and finally
 135  * L4 ports.  Whenever it is found that there are no matches in the current
 136  * subtable, the rest of the subtable can be skipped.
 137  *
 138  * Staged lookup does not reduce lookup time, and it may increase it, because
 139  * it changes a single hash table lookup into multiple hash table lookups.
 140  * It reduces un-wildcarding significantly in important use cases.
 141  *
 142  *
 143  * Prefix Tracking (Wildcard Optimization)
 144  * =======================================
 145  *
 146  * Classifier uses prefix trees ("tries") for tracking the used
 147  * address space, enabling skipping classifier tables containing
 148  * longer masks than necessary for the given address.  This reduces
 149  * un-wildcarding for datapath flows in parts of the address space
 150  * without host routes, but consulting extra data structures (the
 151  * tries) may slightly increase lookup time.
 152  *
 153  * Trie lookup is interwoven with staged lookup, so that a trie is
 154  * searched only when the configured trie field becomes relevant for
 155  * the lookup.  The trie lookup results are retained so that each trie
 156  * is checked at most once for each classifier lookup.
 157  *
 158  * This implementation tracks the number of rules at each address
 159  * prefix for the whole classifier.  More aggressive table skipping
 160  * would be possible by maintaining lists of tables that have prefixes
 161  * at the lengths encountered on tree traversal, or by maintaining
 162  * separate tries for subsets of rules separated by metadata fields.
 163  *
 164  * Prefix tracking is configured via OVSDB "Flow_Table" table,
 165  * "fieldspec" column.  "fieldspec" is a string map where a "prefix"
 166  * key tells which fields should be used for prefix tracking.  The
 167  * value of the "prefix" key is a comma separated list of field names.
 168  *
 169  * There is a maximum number of fields that can be enabled for any one
 170  * flow table.  Currently this limit is 3.
 171  *
 172  *
 173  * Partitioning (Lookup Time and Wildcard Optimization)
 174  * ====================================================
 175  *
 176  * Suppose that a given classifier is being used to handle multiple stages in a
 177  * pipeline using "resubmit", with metadata (that is, the OpenFlow 1.1+ field
 178  * named "metadata") distinguishing between the different stages.  For example,
 179  * metadata value 1 might identify ingress rules, metadata value 2 might
 180  * identify ACLs, and metadata value 3 might identify egress rules.  Such a
 181  * classifier is essentially partitioned into multiple sub-classifiers on the
 182  * basis of the metadata value.
 183  *
 184  * The classifier has a special optimization to speed up matching in this
 185  * scenario:
 186  *
 187  *     - Each cls_subtable that matches on metadata gets a tag derived from the
 188  *       subtable's mask, so that it is likely that each subtable has a unique
 189  *       tag.  (Duplicate tags have a performance cost but do not affect
 190  *       correctness.)
 191  *
 192  *     - For each metadata value matched by any cls_rule, the classifier
 193  *       constructs a "struct cls_partition" indexed by the metadata value.
 194  *       The cls_partition has a 'tags' member whose value is the bitwise-OR of
 195  *       the tags of each cls_subtable that contains any rule that matches on
 196  *       the cls_partition's metadata value.  In other words, struct
 197  *       cls_partition associates metadata values with subtables that need to
 198  *       be checked with flows with that specific metadata value.
 199  *
 200  * Thus, a flow lookup can start by looking up the partition associated with
 201  * the flow's metadata, and then skip over any cls_subtable whose 'tag' does
 202  * not intersect the partition's 'tags'.  (The flow must also be looked up in
 203  * any cls_subtable that doesn't match on metadata.  We handle that by giving
 204  * any such cls_subtable TAG_ALL as its 'tags' so that it matches any tag.)
 205  *
 206  * Partitioning saves lookup time by reducing the number of subtable lookups.
 207  * Each eliminated subtable lookup also reduces the amount of un-wildcarding.
 208  *
 209  *
 210  * Thread-safety
 211  * =============
 212  *
 213  * The classifier may safely be accessed by many reader threads concurrently or
 214  * by a single writer. */
 215
 216 #include "cmap.h"
 217 #include "fat-rwlock.h"
 218 #include "match.h"
 219 #include "meta-flow.h"
 220
 221 #ifdef __cplusplus
 222 extern "C" {
 223 #endif
 224
 225 /* Needed only for the lock annotation in struct classifier. */
 226 extern struct ovs_mutex ofproto_mutex;
 227
 228 /* Classifier internal data structures. */
 229 struct cls_classifier;
 230 struct cls_subtable;
 231 struct cls_partition;
 232 struct cls_match;
 233
 234 enum {
 235     CLS_MAX_TRIES = 3    /* Maximum number of prefix trees per classifier. */
 236 };
 237
 238 /* A flow classifier. */
 239 struct classifier {
 240     struct fat_rwlock rwlock OVS_ACQ_AFTER(ofproto_mutex);
 241     struct cls_classifier *cls;
 242 };
 243
 244 /* A rule to be inserted to the classifier. */
 245 struct cls_rule {
 246     struct minimatch match;      /* Matching rule. */
 247     unsigned int priority;       /* Larger numbers are higher priorities. */
 248     struct cls_match *cls_match; /* NULL if rule is not in a classifier. */
 249 };
 250
 251 void cls_rule_init(struct cls_rule *, const struct match *,
 252                    unsigned int priority);
 253 void cls_rule_init_from_minimatch(struct cls_rule *, const struct minimatch *,
 254                                   unsigned int priority);
 255 void cls_rule_clone(struct cls_rule *, const struct cls_rule *);
 256 void cls_rule_move(struct cls_rule *dst, struct cls_rule *src);
 257 void cls_rule_destroy(struct cls_rule *);
 258
 259 bool cls_rule_equal(const struct cls_rule *, const struct cls_rule *);
 260 uint32_t cls_rule_hash(const struct cls_rule *, uint32_t basis);
 261
 262 void cls_rule_format(const struct cls_rule *, struct ds *);
 263
 264 bool cls_rule_is_catchall(const struct cls_rule *);
 265
 266 bool cls_rule_is_loose_match(const struct cls_rule *rule,
 267                              const struct minimatch *criteria);
 268
 269 void classifier_init(struct classifier *cls, const uint8_t *flow_segments);
 270 void classifier_destroy(struct classifier *);
 271 bool classifier_set_prefix_fields(struct classifier *cls,
 272                                   const enum mf_field_id *trie_fields,
 273                                   unsigned int n_trie_fields)
 274     OVS_REQ_WRLOCK(cls->rwlock);
 275
 276 bool classifier_is_empty(const struct classifier *cls);
 277 int classifier_count(const struct classifier *cls)
 278     OVS_REQ_RDLOCK(cls->rwlock);
 279 void classifier_insert(struct classifier *cls, struct cls_rule *)
 280     OVS_REQ_WRLOCK(cls->rwlock);
 281 struct cls_rule *classifier_replace(struct classifier *cls, struct cls_rule *)
 282     OVS_REQ_WRLOCK(cls->rwlock);
 283 void classifier_remove(struct classifier *cls, struct cls_rule *)
 284     OVS_REQ_WRLOCK(cls->rwlock);
 285 struct cls_rule *classifier_lookup(const struct classifier *cls,
 286                                    const struct flow *,
 287                                    struct flow_wildcards *)
 288     OVS_REQ_RDLOCK(cls->rwlock);
 289 void classifier_lookup_miniflow_batch(const struct classifier *cls,
 290                                       const struct miniflow **flows,
 291                                       struct cls_rule **rules, size_t len)
 292     OVS_REQ_RDLOCK(cls->rwlock);
 293 bool classifier_rule_overlaps(const struct classifier *cls,
 294                               const struct cls_rule *)
 295     OVS_REQ_RDLOCK(cls->rwlock);
 296
 297 struct cls_rule *classifier_find_rule_exactly(const struct classifier *cls,
 298                                               const struct cls_rule *);
 299
 300 struct cls_rule *classifier_find_match_exactly(const struct classifier *cls,
 301                                                const struct match *,
 302                                                unsigned int priority);
 303 \f
 304 /* Iteration. */
 305
 306 struct cls_cursor {
 307     const struct cls_classifier *cls;
 308     const struct cls_subtable *subtable;
 309     const struct cls_rule *target;
 310     struct cmap_cursor subtables;
 311     struct cmap_cursor rules;
 312     bool safe;
 313 };
 314
 315
 316 /* Iteration requires mutual exclusion of writers.  We do this by taking
 317  * a mutex for the duration of the iteration, except for the
 318  * 'SAFE' variant, where we release the mutex for the body of the loop. */
 319 struct cls_cursor cls_cursor_init(const struct classifier *cls,
 320                                   const struct cls_rule *target,
 321                                   void **pnode, const void *offset, bool safe);
 322
 323 struct cls_rule *cls_cursor_next(struct cls_cursor *cursor,
 324                                  const struct cls_rule *);
 325
 326 #define CLS_CURSOR_START(RULE, MEMBER, CLS, TARGET)                     \
 327     cls_cursor_init(CLS, (TARGET), (void **)&(RULE),                    \
 328                     OBJECT_CONTAINING(NULL, RULE, MEMBER), false)
 329
 330 #define CLS_CURSOR_START_SAFE(RULE, MEMBER, CLS, TARGET)                \
 331     cls_cursor_init(CLS, (TARGET), (void **)&(RULE),                    \
 332                     OBJECT_CONTAINING(NULL, RULE, MEMBER), true)
 333
 334 #define CLS_FOR_EACH(RULE, MEMBER, CLS)                                 \
 335     for (struct cls_cursor cursor__ = CLS_CURSOR_START(RULE, MEMBER, CLS, \
 336                                                        NULL);           \
 337          RULE != OBJECT_CONTAINING(NULL, RULE, MEMBER);                 \
 338          ASSIGN_CONTAINER(RULE, cls_cursor_next(&cursor__, &(RULE)->MEMBER), \
 339                           MEMBER))
 340
 341 #define CLS_FOR_EACH_TARGET(RULE, MEMBER, CLS, TARGET)                  \
 342     for (struct cls_cursor cursor__ = CLS_CURSOR_START(RULE, MEMBER, CLS, \
 343                                                        TARGET);         \
 344          RULE != OBJECT_CONTAINING(NULL, RULE, MEMBER);                 \
 345          ASSIGN_CONTAINER(RULE, cls_cursor_next(&cursor__, &(RULE)->MEMBER), \
 346                           MEMBER))
 347
 348 /* This form allows classifier_remove() to be called within the loop. */
 349 #define CLS_FOR_EACH_SAFE(RULE, NEXT, MEMBER, CLS)                      \
 350     for (struct cls_cursor cursor__ = CLS_CURSOR_START_SAFE(RULE, MEMBER, \
 351                                                             CLS, NULL); \
 352          (RULE != OBJECT_CONTAINING(NULL, RULE, MEMBER)                 \
 353           ? ASSIGN_CONTAINER(NEXT, cls_cursor_next(&cursor__,           \
 354                                                    &(RULE)->MEMBER),    \
 355                              MEMBER), true                              \
 356           : false);                                                     \
 357          (RULE) = (NEXT))
 358
 359 /* This form allows classifier_remove() to be called within the loop. */
 360 #define CLS_FOR_EACH_TARGET_SAFE(RULE, NEXT, MEMBER, CLS, TARGET)       \
 361     for (struct cls_cursor cursor__ = CLS_CURSOR_START_SAFE(RULE, MEMBER, \
 362                                                             CLS, TARGET); \
 363          (RULE != OBJECT_CONTAINING(NULL, RULE, MEMBER)                 \
 364           ? ASSIGN_CONTAINER(NEXT, cls_cursor_next(&cursor__,           \
 365                                                    &(RULE)->MEMBER),    \
 366                              MEMBER), true                              \
 367           : false);                                                     \
 368          (RULE) = (NEXT))
 369
 370
 371 #ifdef __cplusplus
 372 }
 373 #endif
 374
 375 #endif /* classifier.h */