ルーティングの国際動向とRPKIの将来

ルーティングの国際動向と RPKI の将来 ~2013 年の国際動向と今後の課題 ~ 木村泰司 1

エクアドル (2/2) エクアドル国内の IXP である NAP.EC で RPKI を導入するイベントが開催される IP アドレスの割り振り先組織の担当者が集まってリソース証明書と ROA を発行ルートサーバにおける Origin Validation が実装されるなどツールも用意エクアドルで RPKI が動き始めた! Copyright 2013 Japan Network Information Center 3

RPKI とは RPKI ( リソース PKI) Resource Public-Key Infrastructure リポジトリ ROA(IP アドレスと AS 番号の組み合わせ ) リソース証明書 IP アドレス等の割り振り証明書キャッシュ BGP ルーター IP アドレスの割り振り先 / 割り当て先レジストリ (JPNIC など ) Copyright 2013 Japan Network Information Center

2013 年の国際動向 ~IETF を中心に ~ 6

2013 年の RPKI の国際動向リソース証明書と ROA の増加 RIPE 地域エクアドルの IXP RPKI の実装や利用環境も徐々にできてきた統計可視化の Web サイトの登場 BGP ルータの対応ディスカッションが進む RPKI ワークショップ (2013 年 7 月 ) RPKI オペレーショナルパネル (2013 年 8 月 ) Copyright 2013 Japan Network Information Center 7

RPKI ワークショップ Day2 のまとめ RPKI の今後の課題 Deployment Strategy 黒板 Policy&Regal Value / Risk Legacy / PI Tools&Infrastructure Monitoring Route (support) How To BCP / Deployment Control (Gov) Stability Reliability (includes implementation.) その他の話題 Single Root Monitoring (RPKI Dashboard) Legacy Holder(RIPE で発行対象でない ) RPKI の導入価値 : 発行数の増加が価値なのではなく運用者による不正な経路情報を検知し復旧できることにこそ価値があるのではないか ( 木村 ) RPKI Dashboard で変化を表示しては Copyright 2013 Japan Network Information Center 14

RPKI オペレーショナルパネル (2013 年 8 月 ) in APNIC36 日時と場所 2013 年 8 月西安中国パネリスト Geoff Huston 氏 (APNIC) Randy Bush 氏 (IIJ) 吉田友哉氏 ( インターネットマルチフィード ) 松崎吉伸氏 (IIJ) 木村 (JPNIC) 興味深い議論グローバルトラストアンカー (GTA) IANA に設置され RIR の上位認証局すなわちルートの認証局となる GTA の必要性トラストアンカーの考え方 GTA RIR NIR に各々認証局が設置されるレジストリにおける障害対応認証局やリポジトリにおける障害が BGP に影響する可能性 ( 認証局リポジトリキャッシュ各々の運用要件は異なる ) Copyright 2013 Japan Network Information Center

Origin Validation の導入課題 BGPSEC = Origin Validation + Path Validation 16

Origin Validation の導入課題 1. Multiple Origin は扱えるのか重なっている prefix に対する複数の ROA は発行できるしかし ISP にとっての顧客が IP アドレスを割り振られている場合やパンチングホールの場合は ROA を管理 / 運用できるような形作りが必要になってくる RPKI における ROA の発行者はあくまで IP アドレスのホルダーであるため Copyright 2013 Japan Network Information Center

Origin Validation の導入課題 2. RPKI を使うためのキャッシュは自分で立ち上げる必要があるのか RPKI キャッシュを立ち上げることは ( 技術的には ) 難しくないが安定運用には工夫が必要共有して使うための RPKI キャッシュが立ち上がってくると BGP ルーターの設定のみでよく新たなサーバを運用しなくて良くなるリポジトリにアクセスできなくてもキャッシュにアクセスできれば RPKI は利用できる Copyright 2013 Japan Network Information Center

Origin Validation の導入課題 3. RPKI に依存したルーティングになってしまわないか RPKI ワークショップで指摘されているように経路制御は BGP ルータにおける設定によるケーススタディが重要になってくると考えられるおそらく Invalid prefix を全く取り入れない BGP ルータは到達できるネットワークが少なすぎてしまうレジストリの認証局にデータの正しさという意味で依存する形にはなるが認証局が止まっても経路制御に影響がでにくくかつ不適切な経路情報を検出して対応できる仕組みづくりが重要だと考えられる Copyright 2013 Japan Network Information Center

JPNIC の模擬環境 IPアドレス管理業務に関わる新技術のRPKIにご興味のある方にその技術を体験していただくために模擬環境を提供しています JPNICのIPレジストリシステムとは独立しており模擬環境のご利用によって IPアドレス等の登録情報に影響することはありませんご利用方法 ca-query@nic.ad.jp 資源管理者資源管理者略称と氏名メールアドレスをお書き添えの上お申し込みください Webインターフェースのアカウントを作成致します Copyright 2013 Japan Network Information Center

まとめ 2013 年の RPKI の国際動向リソース証明書と ROA の増加統計可視化の Web サイトや BGP ルータの対応 RPKI ワークショップなどが開催されディスカッションが進んだ Origin Validation の導入課題 AS 運用の現状に合わせた ROA の管理 RPKI という新たな仕組みを導入することという二種類に大別される課題がある Copyright 2013 Japan Network Information Center