verigraph/src/it/polito/verigraph/mcnet/netobjs/AclFirewall.java

   1 /*******************************************************************************
   2  * Copyright (c) 2017 Politecnico di Torino and others.
   3  *
   4  * All rights reserved. This program and the accompanying materials
   5  * are made available under the terms of the Apache License, Version 2.0
   6  * which accompanies this distribution, and is available at
   7  * http://www.apache.org/licenses/LICENSE-2.0
   8  *******************************************************************************/
   9 package it.polito.verigraph.mcnet.netobjs;
  10
  11 import java.util.ArrayList;
  12 import java.util.List;
  13
  14 import com.microsoft.z3.BoolExpr;
  15 import com.microsoft.z3.Context;
  16 import com.microsoft.z3.DatatypeExpr;
  17 import com.microsoft.z3.Expr;
  18 import com.microsoft.z3.FuncDecl;
  19 import com.microsoft.z3.IntExpr;
  20 import com.microsoft.z3.Solver;
  21 import com.microsoft.z3.Sort;
  22
  23 import it.polito.verigraph.mcnet.components.NetContext;
  24 import it.polito.verigraph.mcnet.components.Network;
  25 import it.polito.verigraph.mcnet.components.NetworkObject;
  26 import it.polito.verigraph.mcnet.components.Tuple;
  27
  28 /** Represents a Firewall with the associated Access Control List
  29  *
  30  */
  31 public class AclFirewall extends NetworkObject{
  32
  33     List<BoolExpr> constraints;
  34     Context ctx;
  35     DatatypeExpr fw;
  36     ArrayList<Tuple<DatatypeExpr,DatatypeExpr>> acls;
  37     Network net;
  38     NetContext nctx;
  39     FuncDecl acl_func;
  40
  41     public AclFirewall(Context ctx, Object[]... args) {
  42         super(ctx, args);
  43     }
  44
  45     @Override
  46     protected void init(Context ctx, Object[]... args) {
  47         this.ctx = ctx;
  48         isEndHost=false;
  49         constraints = new ArrayList<BoolExpr>();
  50         acls = new ArrayList<Tuple<DatatypeExpr,DatatypeExpr>>();
  51         z3Node = ((NetworkObject)args[0][0]).getZ3Node();
  52         fw = z3Node;
  53         net = (Network)args[0][1];
  54         nctx = (NetContext)args[0][2];
  55         net.saneSend(this);
  56         firewallSendRules();
  57
  58     }
  59
  60     /**
  61      * Wrap add acls
  62      * @param policy
  63      */
  64     public void setPolicy(ArrayList<Tuple<DatatypeExpr, DatatypeExpr>> policy){
  65         addAcls(policy);
  66     }
  67
  68     public void addAcls(ArrayList<Tuple<DatatypeExpr,DatatypeExpr>> acls){
  69         this.acls.addAll(acls);
  70     }
  71
  72     @Override
  73     public DatatypeExpr getZ3Node() {
  74         return fw;
  75     }
  76
  77
  78     @Override
  79     protected void addConstraints(Solver solver) {
  80         BoolExpr[] constr = new BoolExpr[constraints.size()];
  81         solver.add(constraints.toArray(constr));
  82         aclConstraints(solver);
  83     }
  84
  85     private void firewallSendRules (){
  86         Expr p_0 = ctx.mkConst(fw+"_firewall_send_p_0", nctx.packet);
  87         Expr n_0 = ctx.mkConst(fw+"_firewall_send_n_0", nctx.node);
  88         Expr n_1 = ctx.mkConst(fw+"_firewall_send_n_1", nctx.node);
  89         IntExpr t_0 = ctx.mkIntConst(fw+"_firewall_send_t_0");
  90         IntExpr t_1 = ctx.mkIntConst(fw+"_firewall_send_t_1");
  91         acl_func = ctx.mkFuncDecl(fw+"_acl_func", new Sort[]{nctx.address, nctx.address},ctx.mkBoolSort());
  92
  93         //Constraint1send(fw, n_0, p, t_0)  -> (exist n_1,t_1 : (recv(n_1, fw, p, t_1) &&
  94         //    t_1 < t_0 && !acl_func(p.src,p.dest))
  95         constraints.add(
  96                 ctx.mkForall(new Expr[]{n_0, p_0, t_0},
  97                         ctx.mkImplies(
  98                                 (BoolExpr)nctx.send.apply(new Expr[]{ fw, n_0, p_0, t_0}),
  99                                 ctx.mkExists(new Expr[]{t_1},
 100                                         ctx.mkAnd(ctx.mkLt(t_1,t_0),
 101                                                 ctx.mkExists(new Expr[]{n_1},
 102                                                         nctx.recv.apply(n_1, fw, p_0, t_1),1,null,null,null,null),
 103                                                 ctx.mkNot((BoolExpr)acl_func.apply(nctx.pf.get("src").apply(p_0), nctx.pf.get("dest").apply(p_0)))),1,null,null,null,null)),1,null,null,null,null));
 104
 105     }
 106
 107     private void aclConstraints(Solver solver){
 108         if (acls.size() == 0)
 109             return;
 110         Expr a_0 = ctx.mkConst(fw+"_firewall_acl_a_0", nctx.address);
 111         Expr a_1 = ctx.mkConst(fw+"_firewall_acl_a_1", nctx.address);
 112         BoolExpr[] acl_map = new BoolExpr[acls.size()];
 113         for(int y=0;y<acls.size();y++){
 114             Tuple<DatatypeExpr,DatatypeExpr> tp = acls.get(y);
 115             acl_map[y] = ctx.mkOr(ctx.mkAnd(ctx.mkEq(a_0,tp._1),ctx.mkEq(a_1,tp._2)), ctx.mkAnd(ctx.mkEq(a_0,tp._2),ctx.mkEq(a_1,tp._1)));
 116         }
 117         //Constraint2acl_func(a_0,a_1) == or(foreach ip1,ip2 in acl_map ((a_0 == ip1 && a_1 == ip2)||(a_0 == ip2 && a_1 == ip1)))
 118         solver.add(ctx.mkForall(new Expr[]{a_0, a_1},
 119                 ctx.mkEq(
 120                         acl_func.apply(a_0, a_1),
 121                         ctx.mkOr(acl_map)),1,null,null,null,null));
 122     }
 123 }