irs-log.txt

Size: px

Start display at page:

Download "irs-log.txt"

よりおいしなみ
6 years ago
Views:

1 irs-log.txt Page 1 ====================================================================== 第 7 回 Interdomain Routing Security Workshop (IRS7) 日時 : 2006/01/12( 木 ) 15:00-18:00 場所 : Cisco 新宿参加者 : 23 名 ( 登録者ベース ) ====================================================================== 1. Agenda - IPv6 経路と IRR - xsp ルータにおいて設定を推奨するフィルタの項目について 2. 議事 2.1. IPv6 経路情報と IRR の状況について Speaker: NTT 小林さん外山さん目的経路のあり方を議論したい調査 IPv6 経路情報と比較 <=> WHOIS <=> IPv6 IRR (route6 オブジェクトが登録できる ) 経路の状況増加 stla 87%(6BONE 以外の ) RIR 毎に比率が違う AFRINIC は抜けている 6BONE は減少 Origin AS 別微増 Prefix Length 別経路数 /32 が多いが /48 も増えている Prefix Length による分類 /35 more longer = 14.6% /48 は増加 IPv6 経路の状況経路数は増加 /32 以上の prefix が増加 /48 が流れると増殖するのでは? 経路集約の考え方 LIR ISP への割り振りアドレス : /48 での割り当て予定がある 1 つの集約したアドレスで方法すること NW の構成に沿って階層化集約できることが必要経路情報と IRR の突合 inet6num と route6 と方法 prefix -> IRI -> whois inet6num ARIN -> NetRange LACNIC -> inetnum status により広報すべきか確認できる

2 irs-log.txt Page 2 inet6num Best Match( 分割された ) が増えている - Exact Match - No Match 整合度 /32 に拡張後も /35 がそのまま広報されているものがある NoMatch: 6to4 と AFRINIC status による状況の確認集約すべきかなどがわかる NON-PORTABLE や LIR による集約が可能な経路があるフラグメント数 : 2 が多い今後 /48 が増加する可能性がある route6 の登録状況 Best Match Exact Match No Match に分類 No Match が多い ( 半数以上 ) サーバ別 /source 別登録状況 RIPE での登録活動が大きく寄与 route6 との整合度合 BestMatch の中には route6 の origin を確認 -> origin が違うものがある Origin 不整合のパターン (Exact Match) 実際の Origin が route6 の origin AS の配下から広報されているケース Origin 不整合のパターン (Best Match) Exact Match と同様のものがミスオペ? パンチングホールパンチングホールいいのか? -> 近藤さん : したいマルチホームしているかはわからない route-view でみてもマルチホームはしてなさそう IX のアドレス空間が流れている Peering Address が流れている ( 登録されている /32 に含まれる /128 と /64 が ) Summary /48 であるべきものあってはならないもの区別できるような仕組みがあるといいかも inet6num でみると Registry に登録されたものだけが広報されているただ 100 経路前後は広報しなくてもいい経路 route6 でみると RIPE RADB の活動により登録は増えているが登録率は悪い Discussion IPv6 の経路フィルタ exact で whois の status は有益か RIPE の ALLOCATED-BY-LIR にはいろいろなものが含まれ過ぎている Repository が乱立するとこまる /48 の区別は whois+irr で議論内容 - 不要というのは? 必要性がないもの Aggregate の観点で集約できてないもの - PA でながす IPv4 は違反ばっかりなぜか? 使い勝手が悪いから

3 irs-log.txt Page 3 IPv6 になったときに悪いというのはどうか? ebgp は /48 とかをうけないルータ? 箱でがんばるか? - データベースは? 意図しているかしてないか?(IRR に登録すれば意図している ) 意図しているものを不要とするかしないか? 不要とすれば IRR には /48 が登録できないようにするとか IRR に登録されたものは宣言されたもの IX の /48 は Assigned + Portable で特殊アドレス -> 宣言すれば良いはなし素性を知るには WHOIS+IRR RIPE は判断しにくい (ALLOCATED-BY-LIR だけでは ) APNIC は Assigned + Portable RIPE は portable かどうかわからない IRR の登録率は悪いので WHOIS の情報も使わないと最終的には IRR をみないと意図したものかどうかはわからない理想的には流す経路を IRR route6 object の登録率を 100% にするどの段階で登録を促進するか? ( ビジネスが軌道にのってから?) オペレーションに使うデータベースは IRR IRR の登録インフラが整ってないと皆登録しないだろう割り振り!= 経路 -> IRR 必要もし割り振り = 経路であれば IRR はいらないだろうでかいところ (Verio とか ) 自分でもってる満足しているちょっと filter したいところ - IRR をみる - 経路爆発は? HW 的に頑張ればよい? どれくらい必要か? by cisco さん IPv4 は 1M IPv6 は 256K FIB のテーブル alternate 経路もいれるか? テーブルが大きくなると収束時間の問題実運用にのると細かい経路が増えてくるだろうその段階で HW が対応できればよいだろう管理できるかが重要ではないか? 経路増加で死んでる leaf isp もあるよ - PI 用の割り当てポリシーを新規に定義しなきゃ PA は PA で分割せずに流す PI は PI で別のを - more specific は現在 filter してももともと遅いので許容範囲 deploy してくると /48 も通さないとぐるっと回っちゃう -> 遅くなる - IRR に対してまずはどうしたいか? IRR に対する機能要望を挙げる 2.2. xsp のルータにおいて設定を推奨するフィルタの項目について (IPv6 版 ) Speaker: 馬渡さん向井さん ICMPv6 全て通すか必要なものだけ通すか? 全て reject は NG Path MTU Discovery 最低必要

4 irs-log.txt Page 4 NDP accept で統一でよいのでは? 6to4 結構使ってる今後どうか? filter は exact match で accept Long Prefix /49 or longer を reject /32 - /48 を通す (short prefix /20 とかがある ) /56 にしましょうという話もあるがそれは決まってから変更 global unicast 2000::/3 を通すか? /64 も実際たくさん流れている Bogon Prefix RIR に割り振りされたもののみ RIR の delegated-latest を元に -> 信頼性が不明データがない実際難しい IPv6 IRR を用いるか? Team Cymru あまり update がない bogon registry を誰かが作る? 6bone 2006/6/6 に停止予定 ( 本当に?) 停止してから reject 3ffe::/16 81 経路止めて様子をみるか? 箇所ピアトランジット顧客ルータ自身へ顧客向け egress prefix filter filter 必要無いのでは?(full route) ユニークローカルなど内部で使っている場合は出してはダメマルチキャスト mbgp でも source が流れてくるだけで ff00 はこない自 AS の prefix は reject してはダメ ICMPv6 の処理非優先にできる? ルートプロセッサに渡す時に v4 ではできる v6 は? CSR-1 ではプロセス優先度が多少実装もあるのでは? type でも優先度が違うのでは最低限ではなくなってる現状まだやらなくてもいいかも AS-PATH v6 は長いのがある顧客からの ingress packet 全部受けないと system protection acl 書いてもいいんでは? NTP 普通に通ってます NTP だけを落とすことはないだろうルータへの packet filter で落とすのはあり delegated latest

5 irs-log.txt Page 5 afrinic って大丈夫? これから filter generate できる? 適用して実際の経路と比較 bogon prefix Team Cymru に聞いてみます馬渡さん文書化ファイルは 1 つで 3. 次回 4/7( 金 ) 15:00-18:00 箱人芝がいいな agenda bogon の話 IPv6 filter 文書化吉田さんにしかずさん以上

_v6-routes_irs.ppt

_v6-routes_irs.ppt IPv6 IRR 6// NTT NTT Information sharing platform laboratories, 6 IPv6 IPv6 IRR IPv6 NTT Information sharing platform laboratories, 6 IPv6 @NTTv6.NET IPv6 - () Whois inet6num IPv6 IRR whois () IPv6 IRR