今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2

Size: px

Start display at page:

Download "今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2"

あきおかんざとばる
5 years ago
Views:

1 どこまで動く? RPKI/Router 2012/7/6 Internet Multifeed Co. / JPNAP Tomoya Yoshida

2 今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2

3 Cisco, Juniper で軽く実験してみました validation 結果が想定通りになっているか Cisco, Juniperの差分判定された経路のiBGP 伝搬 45 万 ROA(v4)/1 万 ROA(v6) と愛し合えるか 2012/7/6 copyright (c) tomop 3

4 実験環境 Cisco ASR (IOS XE 3.6.1S) Juniper M120 (JUNOS 12.2B2.2) BGP fullroute L2SW ROA cache (rpki-tools) ROA cache (rpki-tools) 2012/7/6 copyright (c) tomop 4

5 結果基本的な動作はOK コマンドや表示結果の改良 / 追加が必要 IBGPでCとJが愛し合えてない互いの努力は継続的に必要 RPKI を動かさないほうが良い OS も 2012/7/6 copyright (c) tomop 5

6 結果のサマリ Cisco ASR validation 結果安定性コマンドの豊富さログパフォーマンス?? Juniper M120 (beta)?? 製品比較ではありません!! あくまで RPKI/Router protocol の今後の実装でこの辺が良くなると嬉しいなぁという観点で書いています!! 2012/7/6 copyright (c) tomop 6

7 ルータがやること 1. ルータに ROA キャッシュ情報を蓄える RTR protocol を用いて実施 2. 蓄えた ROA 情報を参照してルータ内で validation 機構を動かす 3. marking された RPKI validation status を ibgp で伝搬 2012/7/6 copyright (c) tomop 7

8 ルータがやること 1. ルータに ROA キャッシュ情報を蓄える RTR protocol を用いて実施 2. 蓄えた ROA 情報を参照してルータ内で validation 機構を動かす 3. marking された RPKI validation status を ibgp で伝搬 2012/7/6 copyright (c) tomop 8

9 1. RTR(RPKI/Router) Protocol Start or Restart Router ROA cache はいどうぞ Reset Query(type=2) serial #0 ( or Serial Query(type=1) ) Cache Response(type=3) IPv4 Prefix (type=4) IPv4 Prefix (type=4) IPv6 Prefix (type=6) Data 下さい End of Data(7) serial #3 これでおしまい (w/new serial) 2012/7/6 copyright (c) tomop 9

10 1. RTR(RPKI/Router) Protocol update (no incremental update) Router Serial Query(type=1) serial # ROA cache Cache Reset(8) serial #0 incremental update できません Reset Query(2) serial #0 この serial 以降のデータ下さい全部送って下さい or 別の ROA cache に switch IPvX Prefix (type=x) End of Data(7) serial # これでおしまい (w/new serial) 2012/7/6 copyright (c) tomop 10

11 2012/7/6 copyright (c) tomop 11

12 IPv4(IPv6 は 6) 2012/7/6 copyright (c) tomop 12

13 1. RTR(RPKI/Router) Protocol ASR ROA cache router bgp bgp rpki server tcp port refresh /7/6 copyright (c) tomop 13

14 1. RTR(RPKI/Router) Protocol M120 ROA cache routing-options { validation { group ROA { session { refresh-time 1800; port 42420; local-address ; } } } 2012/7/6 copyright (c) tomop 14

15 ASR asr>show bgp ipv4 unicast rpki table Load for five secs: 0%/0%; one minute: 1%; five minutes: 1% Time source is NTP, 11:26: JST Fri Jul BGP sovc network entries using bytes of memory BGP sovc record entries using bytes of memory Network Maxlen Origin-AS Source Neighbor / / / / / / / / / / / / / / / / / / / / /7/6 copyright (c) tomop 15

16 ASR asr>show bgp ipv6 unicast rpki table Load for five secs: 2%/0%; one minute: 6%; five minutes: 2% Time source is NTP, 10:56: JST Fri Jul BGP sovc network entries using bytes of memory 9932 BGP sovc record entries using bytes of memory Network Maxlen Origin-AS Source Neighbor 2001::/ / ::/ / ::/ / :200::/ / :200:900::/ / :200:905::/ / :200:C00::/ / :200:C000::/ / :200:E000::/ / /7/6 copyright (c) tomop 16

17 ASR asr>show ip bgp rpki? servers Display RPKI cache server information table Display RPKI table entries statistics 関連の show コマンドの充実もしくは表示上見やすくして貰えるとうれしいです 2012/7/6 copyright (c) tomop 17

18 M120 m120> show validation database session RV database for instance master Prefix Origin-AS Session State Mismatch / valid 2001:3a0::/ valid IPv4 records: 1 IPv6 records: /7/6 copyright (c) tomop 18

19 M120 m120> show validation database session RV database for instance master Prefix Origin-AS Session State Mismatch / valid / valid / valid / valid / valid / valid / valid / valid / valid / valid IPv4 フルルートが終わった後に IPv6 ROA が表示される ( 検索が苦しい ) 2012/7/6 copyright (c) tomop 19

20 M120 m120> show validation database origin-autonomous-system 7521 RV database for instance master Prefix Origin-AS Session State Mismatch / valid / valid 2001:3a0::/ valid 2001:3a0::/ valid IPv4 records: 2 IPv6 records: 2 OriginAS 単位で検索が可能 (good) 2012/7/6 copyright (c) tomop 20

21 M120 m120> show validation session Session State Flaps Uptime #IPv4/IPv6 records Up 0 00:45: / Up 0 17:25:52 1/1 表示が BGP の summry 経路数表示に似ていてなじみやすい 2012/7/6 copyright (c) tomop 21

22 1. RTR(RPKI/Router) Protocol Cisco と Juniper の違い Cisco ASR 設定後 ROA cache がルータ内に生成 Validation が行われる Valid, Not found:bgp table へ Invalid:default の状態では BGP table へ載らない Juniper M120 設定後 ROA cache がルータ内に生成全て unverified 状態となる 2012/7/6 copyright (c) tomop 22

23 ルータがやること 1. ルータに ROA キャッシュ情報を蓄える RTR protocol を用いて実施 2. 蓄えた ROA 情報を参照してルータ内で validation 機構を動かす 3. marking された RPKI validation status を ibgp で伝搬 2012/7/6 copyright (c) tomop 23

24 Validation status 1. Valid 2. Not found (unknown) 3. Invalid origin AS, prefix, 最大 prefix 長が ROA の範囲に存在する場合合致する prefix と prefix 長をもつ ROA が存在しない場合 prefix, 許可された最大 prefix 長が合致する ROA は存在するが originas が異なる場合 (1)OriginAS (2)Prefix (3)max prefix length の 3 つに基づいて validation する 2012/7/6 copyright (c) tomop 24

25 2. Validation (ASR) router bgp Invalid 経路もbestpath selectionに反映 address-family ipv4 bgp bestpath prefix-validate allow-invalid route-map rpki permit 10 match rpki invalid set community 65400:2 additive! route-map rpki permit 20 match rpki not-found set community 65400:1 additive! route-map rpki permit 30 match rpki valid set community 65400:0 additive 左記のような policy 設定が不要なら本設定は不要 Validation の結果に応じて以下の Extended Community が自動付与される Valid unkown Invalid 0x43:0:0 0x43:0:1 0x43:0:2 2012/7/6 copyright (c) tomop 25

26 2. Validation (M120) protocols { bgp { group RPKI-fullroute { neighbor { import validation; peer-as ; } neighbor 2001:7fa:7:1:0:13:1079:1 { import validation; peer-as ; } } 2012/7/6 copyright (c) tomop 26

27 2. Validation (M120) policy-statement validation { term valid { from { protocol bgp; validation-database valid; } then { validation-state valid; community set rpki-valid; community add origin-validation-state-valid; accept; } } term invalid { from { protocol bgp; validation-database invalid; } then { validation-state invalid; community set rpki-invalid; community add origin-validation-state-invalid; accept; } } term unknown { from { protocol bgp; validation-database unknown; } then { validation-state unknown; community set rpki-unknown; community add origin-validation-state-unknown; accept; } } } community origin-validation-state-invalid members 0x43:65400:2; community origin-validation-state-unknown members 0x43:65400:1; community origin-validation-state-valid members 0x43:65400:0; community rpki-invalid members 65400:2; community rpki-unknown members 65400:1; community rpki-valid members 65400:3; 2012/7/6 copyright (c) tomop 27

28 M120(IPv4) asr>show ip bgp /19 Load for five secs: 0%/0%; one minute: 1%; five minutes: 1% Time source is NTP, 10:54: JST Fri Jul BGP routing table entry for /19, version Paths: (2 available, best #1, table default) Not advertised to any peer Refresh Epoch from ( ) Origin IGP, localpref 100, valid, external, best Community: 65400:1 path 7FC93CD9B9C0 RPKI State valid Refresh Epoch , (received-only) from ( ) Origin IGP, localpref 100, valid, external path 7FC93CD9B958 RPKI State valid 2012/7/6 copyright (c) tomop 28

29 ASR(IPv6) asr>show bgp ipv6 uni 2001:3a0::/32 Load for five secs: 0%/0%; one minute: 1%; five minutes: 1% Time source is NTP, 10:52: JST Fri Jul BGP routing table entry for 2001:3A0::/32, version Paths: (2 available, best #2, table default) Advertised to update-groups: 2 Refresh Epoch :7FA:7:1:0:13:1079:1 from 2001:7FA:7:1::250:1 ( ) Origin IGP, localpref 100, valid, internal Community: 65400:3 Extended Community: 0x43:65400:0 path 7FC93120BC28 RPKI State valid Refresh Epoch , (received & used) 2001:7FA:7:1:0:13:1079:1 (FE80::205:85FF:FE16:C001) from 2001:7FA:7:1:0:13:1079:1 ( ) Origin IGP, localpref 100, valid, external, best path 7FC931062E08 RPKI State valid 2012/7/6 copyright (c) tomop 29

30 Validation 結果 (1/7) ROA BGP /16-16 AS /16 AS /16-16 AS /16 AS /7/6 copyright (c) tomop 30

31 Validation 結果 (2/7) ROA BGP /16 AS /16 AS /7/6 copyright (c) tomop 31

Validation 結果 (3/7) ROA BGP 10.0.0.0/16-16 AS65000 10.0.0.0/8 AS65000 10.0.0.0/16-16 AS65000 10.0.0.0/17 AS65000 10.

32 Validation 結果 (3/7) ROA BGP /16-16 AS /8 AS /16-16 AS /17 AS /16-24 AS /17 AS /7/6 copyright (c) tomop 32

33 Validation 結果 (4/7) ROA BGP /16-16 AS /16-16 AS /16 AS /16-16 AS /16-16 AS /16 AS /7/6 copyright (c) tomop 33

34 Validation 結果 (5/7) ROA BGP /17-17 AS /17-17 AS /16 AS /7/6 copyright (c) tomop 34

35 Validation 結果 (6/7) ROA BGP /16-24 AS /8 AS /16-24 AS /24 AS /16-24 AS /32 AS /7/6 copyright (c) tomop 35

36 Validation 結果 (7/7) ROA BGP /16-24 AS /24 {AS65000} /16-24 AS /24 {AS65001} /16-24 AS /24 {AS65000, AS65001} 2012/7/6 copyright (c) tomop 36

とある Prefix の例 asr#show ip bgp 109.5.117.0/24 BGP routing table entry for 109.5.117.0/24, version 231295 131079 7521 2497 15557 41334 192.0.2.254 from 192.0.2.254 (210.173.172.

37 とある Prefix の例 asr#show ip bgp /24 BGP routing table entry for /24, version from ( ) Origin IGP, localpref 100, valid, external, best Community: 65400:1 path 7F9B26F111D0 RPKI State invalid Refresh Epoch , (received-only) from ( ) Origin IGP, localpref 100, valid, external path 7F9B26F11168 RPKI State valid 何故 Invalid なんだ?? 2012/7/6 copyright (c) tomop 37

38 とある Prefix の例 ROA 全ルートを上からたどって見つけるしかない 2012/7/6 copyright (c) tomop 38

とある Prefix の例 #ROA 109.0.0.0/11 11 15557 0 210.173.176.117/42420 109.0.0.0/11-11 AS15557 109.

39 とある Prefix の例 #ROA / / /11-11 AS /24 AS /7/6 copyright (c) tomop 39

40 運用上の課題 Validation 結果が何の ROA に基づいているのかを検索するのが困難 BGP の Prefix を包含する ROA を探すかそれが無い事を探す必要がある Reason を経路情報に記述するかコマンドを叩いて検索できるようにしてほしい 2012/7/6 copyright (c) tomop 40

41 ルータがやること 1. ルータに ROA キャッシュ情報を蓄える RTR protocol を用いて実施 2. 蓄えた ROA 情報を参照してルータ内で validation 機構を動かす 3. marking された RPKI validation status を ibgp で伝搬 2012/7/6 copyright (c) tomop 41

42 ibgp への伝搬基本的には border router が RPKI origin validation を実施し内部のルータへ RPKI validation status を伝搬 Extended Community を経路受信時につけて ibgp で status を他のルータに伝搬 Extended Community の実装が Cisco と Juniper で異なることが発覚 2012/7/6 copyright (c) tomop 42

43 Extended Community の実装 Valid Not found Invalid Cisco ASR 0x43:0:0 0x43:0:1 0x43:0:2 Juniper M120 0x43:X:0 0x43:X:1 0x43:X:2 Juniper の場合は X: AS 番号今回の検証では愛し合えませんでした 2012/7/6 copyright (c) tomop 43

44 45 万 (v4)+1 万 (v6)roa に挑戦 RIS の BGP 経路に基づき ROA を作成ルータに import 2012/7/6 copyright (c) tomop 44

45 45 万 (v4)+1 万 (v6)roa に挑戦 M120 の結果は JUNOS 12.2B2.2( ベータコードによる試験 ) ROA を受けきる時間 Cisco ASR Juniper M 秒 4 分 25 秒 IPv4:41 万 IPv6:9300 経路を保有している状態 ROA cache server 次第で結果が異なる可能性も高いまたルータのパフォーマンス次第なのであくまで 1 結果として記述している ( 以降も同様 ) 2012/7/6 copyright (c) tomop 45

46 45 万 (v4)+1 万 (v6)roa に挑戦 IPv4 fullroute を受けきる時間 IPv6 fullroute を受けきる時間 Cisco ASR 1 分 2 秒 3 秒 Juniper M120 2 分 35 秒 9 秒 IPv4:45 万 IPv6:9900 ROA を保有している状態 2012/7/6 copyright (c) tomop 46

47 45 万 (v4)+1 万 (v6)roa に挑戦 IPv4 fullroute を受けきる時間 IPv6 fullroute を受けきる時間 Cisco ASR 1 分 4 秒 1 秒 Juniper M120 2 分 34 秒 12 秒 ROA を保有していない通常状態 2012/7/6 copyright (c) tomop 47

48 その他の課題 RTR セッションが切れてしばらくすると全て not found になる RTR セッションを複数確立しそれらが切れないことが大前提 Invalid => not found Invalid 状態で policy にて無効化されていたものが not found 状態に遷移することで他に Update される可能性が十分にある => hijacking 2012/7/6 copyright (c) tomop 48

49 雑感 RTR なんとかいけるかな基本的な機能は出来上がってきたまだまだ細かい挙動の確認が必要 RPKI/Router Protocol についてはエンジニアはきちんと挙動を理解しておかないといけない 2012/7/6 copyright (c) tomop 49

50 今後の課題と展望ルーティングシステム全体の影響をきちんと考える必要ありルータが不意に reload した際の挙動 BGP 経路受信と ROA キャッシュのタイミングによっては経路選択方法に差異が発生する ROA cache との信頼関係レジストリの ROA 運用今後の deployment 局所的にやってもあまり効果がない上流 ISP へ流れた瞬間 Invalid の経路に向いてしまう可能性が十分にある守りたいもの vs リスクを真剣に考える必要あり 2012/7/6 copyright (c) tomop 50

PowerPoint プレゼンテーション

PowerPoint プレゼンテーション ADD-PATH の基本的な設定例と検討課題インターネットマルチフィード ( 株 ) 技術部 Interop tokyo 2013 NOC 金井瑛 1 Interop Tokyo 2013 と ADD-PATH 今年度の Interop Tokyo 2013 では ADD-PATH の相互接続検証を行いました MX80, MX480, CRS-X, ASR9006

今日のトピック 実験結果の共有 RPKI/Router 周りの基本的な動き 今後の課題と展望 2012/7/6 copyright (c) tomop 2

今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2