iw2009-routesec

Transcription

1 4byteAS の技術動向 update NTT Communicatoins Tomo Yoshida

2 Agenda 全般的な動向 2009 年の 4byteAS 関連 incident 事例

3 copyright (c) 2010 Tomoya Yoshida 2010/1/20

4 AS 番号の枯渇 2011 年末 ~2012 年初旬に枯渇 *5

5 32bit AS Number Format asplain <32bits> This is just an unsigned 32 bit integer asdot [<higher16bits>.]<lower16bits> The part [<higher16bits>.] is only given out if it is not zero asdot+ higher16bits>.<lower16bits> The higher 16 Bit value is always given out ascolon [<higher16bits>:]<lower16bits> The part [<higher16bits>:] is only given out if it is not zero asip highest8bits>.<8bitsbelowthat>.<8bitsfurtherdown>.<lowest8bits> This is looks like an ip address 2010/1/20 copyright (c) 2010 Tomoya Yoshida

6 AS Number Format 表記問題 RFC5396 で asplain に CORON : ー >ASDOT. -> ASPLAIN IANA の表記も ASPLAIN に 項次 ASPLAIN 表記へ移行 ASDOT -> ASPLAIN コンバート tool

7 Number Description Reserved for use in documentation and sample code [RFC5398] Reserved Assigned by APNIC Assigned by RIPE NCC Assigned by LACNIC Assigned by AfriNIC Assigned by ARIN Reserved

8 実際の 4byte 経路情報 IPv4:534 経路 IPv6:6 経路 prefix 2byte router 4byte router / i I / i I / i I / i I / i I / ? ? / i I / i I / i I / i I / i I / i I / i I / i I / i I / i I / i I / i I / i I / i I i I

9 実際の 4byte 経路情報 (cont.) prefix 2byte router 4byte router / i I i I i I i I ? ? / i I / i I / i I / i I / i AS_TRANS I / i I i I / i I / i I i I i I i I 2001:DF0:2::/ i I 2001:4348::/ i I 2001:4810:2000::/ i I 2403:2000::/ i 現在は無い I

10 4byteAS への移行 一部あるいは概ね対応の人が多い Security Advisory 対応に合わせて対応 知らないうちに対応済みだった人も 他の要因で OS をあげたらいつの間にか対応してた 以下は注意が必要 特に AS_PATH フィルタの ASN 変更 あらかじめ 4byte+AS_TRANS(AS23456) の両方でフィルタをあけておく方法もある IRR を利用している場合にも注意が必要 (AS-SET) 関連システムや諸々の実装はこれからというものも多い or 実装しないものも出てくるだろう 上流の ISP の人はなるべくすみやかに移行をお願い

11 日本の 4byteAS 昨年は 1 件 2010/1/20 現在 4byte ASN (asdot) 4byte ASN (asplain) AS NAME Adv/non-Adv (IPv4) Adv/non-Adv (IPv6) JPNIC-TK KDDLAB-4OCT 有 MULTIFEED SAKURA-D InetCore4 有 JPIX MKInet-JP NCOM-IPv6NET AVISNET BBIX-NET KVH-ISP SHOWNET-4AS *interop 開催時 *interop 開催時 HANABI4 soon soon

12 JPNIC AS 番号リスト dot 表記になっている 正式対応までの間 とりあえず asplain 表記も併記するのが良いと思う

13 各ベンダの対応状況 少し情報が古いかもしれませんので 対応 PLATFORM 等詳しい状況各社ベンダにお問合せください Cisco Force10 Juniper Brocade Alaxala Redback IMPLEMENTATION ASPLAIN ASDOT ASPLAIN ASDOT ASPLAIN ASDOT ASPLAIN ASDOT ASDOT+ ASPLAIN ASPLAIN ASCOLON CURRENT OS IOS XR 3.4~ 12.0(32)S12 (ASDOT only) 12.0(32)SY8 (ASDOT&ASPLAIN) 12.2SXI 12.4T FTOS -ASPLAIN(7.7.1-) -ASDOT(7.8.1-) JUNOS -ASPLAIN(9.1-) -ASDOT(9.2-) JUNOSe -ASPLAIN(4.1. -) NetIronXMR MLX Version SEOS All support version FUTURE OS CY09Q2~Q3 頃 12.0S (32SY/33S)- 12.2SXI- 12.4T- 12.0(33)S<n> (Q2 2009) 12.2(33)SXI<n> (Q2 2009) 12.2SRE (Q3 2009) 12.4(24)T (Q4 2009) IOS XE (Q2 2009) CY09Q1~Q2 FTOS8.2 Additional ASPLAIN Functions BigIron RX : 2010 FastIron X Series : 2010

14 各種 4byte 対応 頄目 BGP Community IRR RPSL Looking glass 4byte 対応状況 draft-rekhter-as4octet-ext-community-03.txt を実装している所が多い RIPE, APNIC,JPIRR, RADB 等は ASPLAIN 対応ただし完全対応ではない部分もあるので注意が必要 draft-uijterwaal-rpsl-4byteas-ext-03.txt :expired ASPLAIN が多くなってきたがまだ ASDOT も混在 xflow Netflow v9 で対応 ( 対応は機種による ) sflow も対応コレクタ側も徐々に対応してきている MRT MIB Multicast 対応済みにみえる draft-ietf-grow-mrt-08.txt 古い部分はご了承ください RFC4273 : Definitions of Managed Objects for BGP-4 SYNTAX inteter32( ) draft-ietf-idr-bgp4-mibv2 : expired eglop の拡張提案が過去でたが pending

15 BGP Community draft-rekhter-as4octet-ext-community-03.txt 2008 年 10 月に expire したが多数実装あり Cisco, Juniper, Force10, others 例 :327681:65535 [global administrator(4byte):local administrator(2byte)]

16 IRR route: /24 descr: KDDILABS 4 Octet AS2.6 (AS23456) origin: AS notify: lan-admin@lan.kddilabs.jp mnt-by: MAINT-AS7667 changed: hs-nakagawa@kddilabs.jp changed: hs-nakagawa@kddilabs.jp changed: hs-nakagawa@kddilabs.jp source: JPIRR route: /24 descr: Temporary route object, AS2.6 KDDILABS 4 Octet AS origin: AS23456 notify: lan-admin@lan.kddilabs.jp mnt-by: MAINT-AS7667 changed: hs-nakagawa@kddilabs.jp changed: hs-nakagawa@kddilabs.jp source: JPIRR

17 IRR(cont.) > whois -h jpirr.nic.ad.jp!gas / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / /21 該当の AS 番号が origin になっている route object を参照する 他の AS_TRANS 経路も参照されてしまう 丌必要に沢山参照してしまう可能性があるので ( 可能性があるというか ミラーで参照できる状態であれば 確実にひっぱってくる ) 注意が必要 > whois -h jpirr.nic.ad.jp!gas 何も表示されない > whois -h whois.radb.net!gas /24

18 Looking Glass RIPE NCC の RIS - Looking Glass 4octet AS 対応済み RRC16 以外は asplain 表示 RRC06(DIX-IE) では表示されない その他 2octet なところで確認すると AS23456 と表示される

19 RIPE の Looking Glass 例 (4byte 対応 ;asplain) RRC01 BGP routing table entry for /24 Paths: (10 available, best #6, table Default-IP- Routing-Table) Not advertised to any peer from ( ) Origin IGP, localpref 100, valid, external Community: 3356:3 3356: : : : : : :46067 Last update: Sun Jan 17 19:07:

20 RIPE の Looking Glass 例 (4byte 対応 ;asdot) RRC16 BGP routing table entry for /24 Paths: (2 available, best #2, table Default-IP- Routing-Table) Not advertised to any peer from ( ) Origin IGP, localpref 100, valid, external Community: 25152:5 Last update: Thu Jan 14 14:44:

21 Level3 の Looking Glass 例 (4octet 未対応 ) BGP routing table entry for /24 Paths: (2 available, best #1) AS-path translation: { APNIC-AS-X-BLOCK APNIC-AS-3-BLOCK IANA-ASTRANS } hsa4.sanjose1 (metric 3729) Origin IGP, metric 500, localpref 100, valid, internal, best Community: North_America Lclprf_100 Level3_Customer United_States San_Jose Originator: hsa4.sanjose AS-path translation: { APNIC-AS-X-BLOCK APNIC-AS-3-BLOCK IANA-ASTRANS } hsa4.sanjose1 (metric 3729) Origin IGP, metric 500, localpref 100, valid, internal Community: North_America Lclprf_100 Level3_Customer United_States San_Jose Originator: hsa4.sanjose1

22 経路到達性の確認 4octet で広報している Prefix について 到達性のない AS は無いか? 2octet で広報している Prefix と AS-PATH の違う経路がないか? Route Views などで確認が必要

23 実際の例 ( 一昔前 ) 2octet-AS と 4octet-AS で広報している経路が同じ AS-PATH 2octet-AS ( /16) from ( ) Origin IGP, localpref 100, valid, external from ( ) Origin IGP, metric 3, localpref 100, valid, external 4octet-AS ( /24) from ( ) Origin IGP, localpref 100, valid, external from ( ) Origin IGP, metric 3, localpref 100, valid, external

24 実際の例 ( 一昔前 ) 2octet-AS のみでしか表示されない AS-PATH 2octet-AS ( /16) from ( ) Origin IGP, localpref 100, valid, external Community: 3303: : : : : from ( ) Origin IGP, metric 46, localpref 100, valid, external 4octet-AS ( /24) 表示なし AS3303 と AS6079 には 4octet で広報している経路の到達性がない??

25 AS23456 が途中でフィルタ? 以前 AS23456 を受信した際に ルータの丌具合 あるいは経路が壊れていた? ために実際に影響を受けた人がいる AS23456 をフィルタしている人がいる

26 4byteAS ホルダーの技術課題を確認 AS で今後継続的に確認していく予定 経路の到達性 パケットの到達性 関連ツールの対応状況 ルータの対応状況 ご協力頂ける方募集 ベンダーの方々 AS 運用者の方々 まで連絡下さい よろしくお願いします!

27 copyright (c) 2010 Tomoya Yoshida 2010/1/20

28 BGP パス属性関連のインシデント 事象 PATH Attribute=0 PA=0 の Attribute を受信したリモートのルータが隣接 Peer をリセット 4byte 関連のインシデントが 2009 年に 2 件発生 AS_PATH too long 長い AS_PATH を受信したリモートのルータが隣接 Peer をリセット AS_CONFED_SET/SE QUENCE in AS4_PATH AS4_PATH に Confede Private AS が混在し それを解釈の上受信したルータが隣接 Peer をリセット AS4_PATH 0xE01100 AS4_PATH 0xE01100 が発生し それを受信したリモートルータが隣接 Peer をリセット 発生時期 2007 年 12 月 2009 年 2 月 2009 年 3 月 2009 年 8 月 リモートアタックの可能性 ポイント 対処方法 その他 ありありありあり PA=0 という 存在しない attribute を受信した時の動作 該当経路を discard する OS 等に更改 長すぎる AS_PATH を受信したときの動作 OS 更改 上流 ISP に広告抑制を適応してもらう 受信時に抑制 観測場所によって発生有無が異なる AS4_PATH には入るべきではない AS_CONFED_* を受信した時の動作 OS 更改により該当経路の発生及び受信時に discard 4byteAS 関連 不正 AS4_PATH を受信した時の動作 OS 更改により該当経路の発生及び受信時に discard 4byteAS 関連

29 2009 年 3 月 AS_CONFED_SET/SEQUENCE in AS4_PATH /1/20 copyright (c) 2010 Tomoya Yoshida

30 2009 年 3 月 AS_CONFED_SET/SEQUENCE in AS4_PATH /1/20 copyright (c) 2010 Tomoya Yoshida

31 2009 年 3 月 AS_CONFED_SET/SEQUENCE in AS4_PATH /1/20 copyright (c) 2010 Tomoya Yoshida

32 2009 年 3 月 AS_CONFED_SET/SEQUENCE in AS4_PATH RFC4271 では Peer を reset すべきと記載されている が 本事象では Reset したほうがある種悪者扱い Vendor が RFC を無視してくれて救われたとも言われている 本来は水際で Peer が切断されれば transit されずに済むはずだが 議論 該当経路のみを ignore する実装が望ましいのでは? 一部の経路丌具合により Peer 全体がリセットされる必要はないのでは? 今後の方向性 Error handling に関して詳細に定義する方向に draft-ietf-idr-rfc4893bis-01.txt A NEW BGP speaker that receives a malformed AS4_PATH attribute in an UPDATE message from an OLD BGP speaker MUST discard the attribute, and continue processing the UPDATE message. The error SHOULD be logged locally for analysis. Discard して Peer は継続すべきと明記 2010/1/20 copyright (c) 2010 Tomoya Yoshida

33 2009 年 8 月 AS4_PATH 0xE01100 AS4_PATH 0xE01100 の経路が発生し 該当経路を受信した複数のリモート AS の Peer が up/down を繰り返す bgp_read_v4_message: NOTIFICATION received from xxx.xxx.xxx.xxx (ExternalAS 65400): code 3 (Update Message Error) subcode 11 (AS path attribute problem), Data: e e: 1:optional 1 transitive 1 partial 0 attribute length=1octet 0: 0x11=17 00: path attribute length 2010/1/20 copyright (c) 2010 Tomoya Yoshida

34 8/18 From: "Ballard, Eric" Date: Mon, 17 Aug :21: Subject: RE: Anyone else seeing "(invalid or corrupt AS path) 3 bytes E01100"? ---- With the help from our transit providers and Cisco TAC the issues looks to be that ASXXXX is sending AS0 and causing the corruption when processed in our Cisco CRS routers.. 以下略 対処 : 広告側 受信側共に OS のバージョンアップで対処 2010/1/20 copyright (c) 2010 Tomoya Yoshida

35 2009 年 8 月 AS4_PATH 0xE01100 BGP AS38639 Aug 18 02:07: BGP RECV message type 2 (Update) length 61 Aug 18 02:07: BGP RECV flags 0x40 code Origin(1): IGP Aug 18 02:07: BGP RECV flags 0x40 code ASPath(2) length 6: Aug 18 02:07: BGP RECV flags 0x40 code NextHop(3): x.x.x.x Aug 18 02:07: BGP RECV flags 0x80 code MultiExitDisc(4): 0 Aug 18 02:07: BGP RECV flags 0xe0 code AS4Path(17) length 0: <null> Aug 18 02:07: BGP RECV xxx.xxx.192.0/20, xxx.xxx.112.0/20 Aug 18 02:07: bgp_rcv_nlri: xxx.xxx.192.0/20 Aug 18 02:07: bgp_rcv_nlri: xxx.xxx.192.0/20 duplicate update Aug 18 02:07: bgp_rcv_nlri: xxx.xxx.112.0/20 Aug 18 02:07: bgp_rcv_nlri: xxx.xxx.112.0/20 duplicate update 日常で BGP パケットを dump しておくことが肝要です 2010/1/20 copyright (c) 2010 Tomoya Yoshida

36 まとめ 今後 4byteAS 取得にはまだ解決すべき課題がある 2byteAS 保有者はなるべくすみやかに対応を ただし注意深く対応される必要がある 4byteAS ホルダーとしての技術課題の洗い出し 2byteAS の 4byte 対応に関する情報共有 Policy サイドへのフィードバック