rpki-test_ver06.pptx

Size: px

Start display at page:

Download "rpki-test_ver06.pptx"

ひろきやがい
4 years ago
Views:

1 Route Reflector 構成での RPKI の動作検証インフラストラクチャ本部データセンターチーム黒河内倫倫

2 背景現行行でている Router/Switch などでは RPKI を対応していない機器もある RPKI のために Router をリプレースすることは難しい場合もあるため Route Reflector 構成で集中的に管理理できる方法がないか検討をするなお現状 ibgp で RPKI Validation ができる機種は Juniper 製しかないため今回は Router Reflector を Juniper 製の機器で実装した JUNOS の実装上 ebgp と ibgp を区別していないだけで特に ibgp での Validation を意識識した実装というわけではないと予想される

3 基本情報

基本ネットワーク構成 AS65513(Origin AS) AS65514(Origin AS) AS65515(Origin AS) Router03 192.168.128.13/24 10.13.0.0/16 Router01 192.168.128.11/24 Router04 192.168.128.14/24 10.14.0.0/16 Router05 192.168.128.15/24 Router02 192.

4 基本ネットワーク構成 AS65513(Origin AS) AS65514(Origin AS) AS65515(Origin AS) Router / /16 Router /24 Router / /16 Router /24 Router / /24 AS65511 RouteReflecter01(RR01) RR- Client に返す際に以下の Community をつけて送付 Valid 65535:3 Not- found 65535:2 Invalid 65535:1 Validation Router01,02 RR01 から受け取った Community を元に以下の通り LP 値を変更更 Valid 150 Not- found 100 Invalid 50 RouteReflecter01(Juniper M7i) /24 ROA Server /24

5 物理理結線図 /24 VMware ESXi サーバ Router01 (CSR1000v) Router02 (CSR1000v) Router03 (CSR1000v) ROA Server Router04 (CSR1000v) Router05 (CSR1000v) RouterReflecter2 (CSR1000v) RouteReflecter1(Juniper M7i) OS Juniper M7i : JUNOS 12.3R8.7 CSR1000v : IOS- XE 15.4 機材提供 :JPNIC 様

ROA Prefix MaxLengeth AS-Number 10.12.0.0/16 24 AS65512 10.13.0.0/16 24 AS65513 10.

6 ROA Prefix MaxLengeth AS-Number /16 24 AS /16 24 AS /16 24 AS /16 24 AS65515 IP2AS-Number

7 検証

検証 1(Invalid 経路路の送付 ) AS65512 で広報する経路路を誤った経路路に設定し RR で Validation できるか確認する AS65512(Mis Originated AS) AS65514(Origin AS) 10.13.0.0/16 MisOriginPrefix Router03 192.168.128.

8 検証 1(Invalid 経路路の送付 ) AS65512 で広報する経路路を誤った経路路に設定し RR で Validation できるか確認する AS65512(Mis Originated AS) AS65514(Origin AS) /16 MisOriginPrefix Router /24 Router / /16 Router /24 Router /24 AS65511 Validation RouteReflecter /24 ROA Server /24

9 RouteReflector01Validation Client(Router01,02)LPBestPath

検証 2(Invalid 経路路と Best Path Selection) AS65512 で広報する経路路を AS65514 の経路路に設定し RR で Validation できるか確認するまたその際に Router01 で 10.14.0.0/16 の Best Path が AS65514 となるか AS65512(Mis Originated AS) AS65514(Origin AS) 10.

10 検証 2(Invalid 経路路と Best Path Selection) AS65512 で広報する経路路を AS65514 の経路路に設定し RR で Validation できるか確認するまたその際に Router01 で /16 の Best Path が AS65514 となるか AS65512(Mis Originated AS) AS65514(Origin AS) /16 MisOriginPrefix Router /24 Router / /16 Router /24 Router /24 AS65511 Validation RouteReflecter /24 ROA Server /24

11 RouteReflector01Validation Client(Router01,02)LPBestPath

12 検証 3(Longest Match) AS65515 で広報する経路路を AS65514 の経路路に設定を行行い更更に小さいサブネットに設定この場合 RR01 で Validation できるかまた Router01 で AS65514 を BestPath に選択できるか AS65512(Origin AS) AS65514(Origin AS) AS65515(Mis Originated AS) Router / /16 Router / /16 Router / /24 MisOriginPrefix Router /24 Router /24 AS65511 Validation RouteReflecter /24 ROA Server /24

13 Router02BestPath RouteReflector01 Router02LongestMatch /24

14 検証 4(RR2 台構成 ) 片側の Router Reflector のみ RPKI が動作していている状況で AS65512(Mis Originated AS) AS65514(Origin AS) /16 MisOriginPrefix Router /24 Router / /16 Router /24 Router /24 AS65511 Validation RouteReflecter /24 RouteReflecter /24 ROA Server /24

15 Router01,02Route Reflector01 ValidationCommunityRoute Reflector02 ASRouteReflector2 Policy

16 考察

17 Route Reflector での ibgp での Validation 自体は可能前提としては ibgp で Validation 可能な Juniper のみただし BGP の特性上同一 AS 上の経路路については BestPath のみ広報されるため一つの Router に同一経路路で複数の Path がある場合は Valid になるはずの経路路が Router Reflector まで届かない ADD- Path や BGP- Confederation を利利用すれば可能かもしれないが今回は機器や時間の関係上そこまではできなかった

18 まとめ

19 全体として現在のところは ASBR(eBGP) 側で Validation を行行うことが無難な実装方法であると考える ibgp での実装も可能ではあるものの対応機器も限定的でありかつ内部の構成も複雑化させなければならないケースもあるただし RPKI の普及促進や経路路の集中管理理を考えた場合 Route Reflector での集中管理理ができた方が良良いこともあると思う

20 Internet 上のどこで Validation すべきか? ただしすべての End の AS のすべての ASBR で Validation を実装することはおそらく難しいと思われるそのため Transit や IX など上位の接続となるキャリアが Validation した結果を接続先の AS に伝えることが望ましい IX の場合は Route Server を利利用した経路路伝搬をサポートすればよい個別の Peering で実装していくことは難しいだろう提供方法としては Validation した結果を BGP- Community で送付するのが現実的であろう

21 仮に Route Reflector 構成で Validation を実装する場合非常に限定的ではあるが以下の構成を実装することで Route Reflector 構成でも Validation を実装することは可能である 1. ASBR にてすべての経路路を Route Reflector に送信できる仕組みにする ext) 1Router に 1Transit だけを収容し ASBR で Best Path Selection をさせないなど 2. Route Reflector には ibgp で Validation 可能な Juniper 製の機器を選定するただし今後の Junos の仕様方針によっては ibgp での Validation ができなくなる可能性もある

22 最後に

23 今回の検証にご協力力いただいた方インターネットマルチフィード株式会社川上雄也さん一般社団法人日本ネットワークインフォメーションセンター岡田雅之さんご協力力ありがとうございました

今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2

今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2 どこまで動く? RPKI/Router 2012/7/6 Internet Multifeed Co. / JPNAP Tomoya Yoshida 今日のトピック実験結果の共有 RPKI/Router 周りの基本的な動き今後の課題と展望 2012/7/6 copyright (c) tomop 2 Cisco, Juniper で軽く実験してみました validation 結果が想定通りになっているか