IPv6 トラブルシューティング~ ISP編~

IPv6 パケット送信 on-link 情報のあるネットワークには直接送信 inet6 2001:db8::1 prefixlen 64 2001:db8::~2001:db8::ffff:ffff:ffff:ffff が同じセグメント上にある etherフレーム dst-mac src-mac dst-ip src-ip dst-ip dst-mac dst データ src src-ip src-mac ip: 2001:db8::beef:cafe ip: 2001:db8::1 Copyright (c) 2010 Internet Initiative Japan Inc. 3

IPv6 パケット送信 2 遠くには経路情報に従ってルータに投げる dst rt-ip rt-mac etherフレーム rt-mac src-mac dst-ip データ src-ip dst-ip ip: 2001:db8:cafe::1 default 経路 : rt-ip src src-ip src-mac ip: 2001:db8::1 Copyright (c) 2010 Internet Initiative Japan Inc. 4

ndp (Neighbor Discovery Protocol) ether ではパケット送信に MAC アドレスが必要機器の IPv6 アドレスから MAC アドレスを知りたい ndp で解決 RFC4861, RFC5942 ICMPv6 を利用して MAC アドレスを問い合わせる送り先を未学習なら multicast アドレス宛て IP: ff02::1:ff00:0000 ~ ff02::1:ffff:ffff 送信先 IP アドレスの下位 24bit を利用して生成 MAC: 33:33:00:00:00:00 ~ 33:33:ff:ff:ff:ff 送信先 IP アドレスの下位 32bit を利用して生成 Copyright (c) 2010 Internet Initiative Japan Inc. 5

ndp で MAC アドレス解決 IP6 2001:db8::1 > ff02::1:ffef:cafe ICMP6, neighbor solicitation, who has 2001:db8::beef:cafe source link-address option: 00:19:bb:27:37:e0 0x0000: 3333 ffef cafe 0019 bb27 37e0 86dd 6000 0x0010: 0000 0020 3aff 2001 0db8 0000 0000 0000 0x0020: 0000 0000 0001 ff02 0000 0000 0000 0000 0x0030: 0001 ffef cafe 8700 9a90 0000 0000 2001 0x0040: 0db8 0000 0000 0000 0000 beef cafe 0101 0x0050: 0019 bb27 37e0 IP6 2001:db8::beef:cafe > 2001:db8::1 ICMP6, neighbor advertisement, tgt is 2001:db8::beef:cafe destination link-address option: 00:16:17:61:64:86 0x0000: 0019 bb27 37e0 0016 1761 6486 86dd 6000 0x0010: 0000 0020 3aff 2001 0db8 0000 0000 0000 0x0020: 0000 beef cafe 2001 0db8 0000 0000 0000 0x0030: 0000 0000 0001 8800 c1fd 6000 0000 2001 0x0040: 0db8 0000 0000 0000 0000 beef cafe 0201 0x0050: 0016 1761 6486 Copyright (c) 2010 Internet Initiative Japan Inc. 6

IPv6 ルーティング基本的な考え方は IPv4 と同じ経路情報 = 宛先 prefix+ ネクストホップネクストホップはリンクローカルアドレスが基本最長一致のルール細かい経路が優先される 2001:db8::/32 と 2001:db8::/64 の経路情報があると 2001:db8::1 宛ての経路はより細かい /64 側の経路を選択する Copyright (c) 2010 Internet Initiative Japan Inc. 7

経路情報宛先 prefix とネクストホップ prefix ネクストホップ 2001:db8:1::/64 fe80::3%fe0 2001:db8:2::/64 fe80::1%fe1 RT1 fe80::1%fe0 RT2 fe80::2%fe0 RT3 2001:db8:1::/64 2001:db8:2::/64 fe80::2%fe1 fe80::3%fe1 prefix ネクストホップ 2001:db8:2::/64 fe80::2%fe1 2001:db8:1::/64 直接接続 Copyright (c) 2010 Internet Initiative Japan Inc. 8

static route 宛先 prefix とネクストホップを設定ネクストホップインタフェース名 / ネクストホップアドレスネクストホップアドレスはリンクローカルが基本だがグローバルを書いてもちゃんと動く cisco ios juniper junos ipv6 route 2001:db8:110::/48 2001:db8:ff10::2 routing-options { rib inet6.0 { static { 2001:db8:110::/48 { next-hop 2001:db8:ff10::2;}}}} Copyright (c) 2010 Internet Initiative Japan Inc. 9

static route の使い所 PA (Provider Aggregatable) 経路の生成 single home な顧客向けの経路設定 IPv6 ではアドレス空間がいっぱいあるので必ず顧客側でも利用していない空間宛てのパケットを破棄するルールを設定しておく /48 ISP 上流から向けられた /48 のうち利用していない空間宛てのパケットを破棄するように設定 /64 Copyright (c) 2010 Internet Initiative Japan Inc. 10

OSPFv3 (OSPF for IPv6) 基本的な考え方はOSPFv2と同じ IPv6 用に一部拡張しかしルータID 等は32bit 長のままトポロジ情報はIPv6 非依存で構築できるリンク ( インタフェース ) 単位で実行される LSAを整理トポロジと経路の分離 IPアドレス +netmask prefix+prefix 長 Copyright (c) 2010 Internet Initiative Japan Inc. 11

OSPFv3 関連 RFC [RFC2328] OSPFv2 基本的な考え方は OSPFv2 で理解しておく [RFC2740] OSPFv3 OSPFv2 からの差分で記述されている部分が多い [RFC4552] Authentication/Confidentiality for OSPFv3 IPSEC で守りましょう Copyright (c) 2010 Internet Initiative Japan Inc. 12

OSPFv3 で利用される ID ルータ ID ルータを識別する 32bit 長の ID OSPF の AS 内で一意であれば良いインタフェース ID ルータ内でインタフェースを識別する 32bit 長の ID MIB-II IfIndex とかでも良いインスタンス ID 同じセグメント上で異なる OSPF を同時に稼働させたい場合に利用する ID 通常は 0 を利用 Copyright (c) 2010 Internet Initiative Japan Inc. 13

OSPFv3 の設定コスト設計は OSPFv2 と同様トポロジの違いは考慮しなければならないものの OSPFv2 と同様に運用できる各インタフェース単位で OSPFv3 が動く OSPFv2 では基本的にサブネット単位で制御あるインタフェースで OSPFv3 を有効にすると設定されている IPv6 prefix は自動的に経路広告されてしまう不用意なアドレス設定に要注意 Copyright (c) 2010 Internet Initiative Japan Inc. 14

OSPFv3 パケットの送信先 ALLSPFRouter - [ff02::5] (OSPFv2 [224.0.0.5]) 全 OSPF ルータが受信する AllDRouters - [ff02::6] (OSPFv2 [224.0.0.6]) DR と BDR のみが受信する point-to-point 接続では ALLSPFRouter 宛ブロードキャストネットワークでは Hello は ALL SPF Router 宛 DR,BDR からの LS update, LS Ack は ALLSPFRouter 宛 DROther からの LS update, LS Ack は AllDRRouter 宛それ以外はネイバへのユニキャスト宛 virtual リンク以外はリンクローカルアドレスを利用 Copyright (c) 2010 Internet Initiative Japan Inc. 15

LSA の変更 OSPFv2 ルータ LSA ネットワークLSA タイプ3サマリLSA タイプ4サマリLSA AS-External-LSA OSPFv3 ルータ LSA ネットワークLSA Intra-Area-Prefix LSA Inter-Area-Prefix LSA Inter-Area-ルータLSA AS-External-LSA リンク LSA トポロジ経路 Copyright (c) 2010 Internet Initiative Japan Inc. 17

Intra-Area-Prefix LSA OSPFv2 の時にルータ LSA やネットワーク LSA が運んでいた経路情報を運ぶ Stub ネットワークや transit ネットワークの経路 loopback の経路もこの LSA で運ばれるリンク LSA を DR が収集して経路情報を代表して Intra-Area-Prefix LSA として広報するリンク上の一部ルータにだけ設定されている prefix でもリンクの DR が代表して広報する Copyright (c) 2010 Internet Initiative Japan Inc. 20

構築される経路情報ネクストホップアドレスにリンク LSA で通知されたリンクローカルアドレスを採用リンクローカルアドレスがとても重要 LSA 別の経路優先度は OSPFv2 とほぼ同じエリア内経路 Intra-Area-Prefix LSA エリア間経路 Inter-Area-Prefix LSA 外部経路 AS-External-LSA Copyright (c) 2010 Internet Initiative Japan Inc. 21

BGP4+ 関連 RFC [RFC4271] A Border Gateway Protocol 4 基本中の基本 [RFC4760] Multiprotocol Extensions for BGP-4 マルチプロトコル対応 [RFC2545] Use of BGP-4 Multiprotocol Extensions for IPv6 Inter-Domain Routing IPv6 利用時のネクストホップなどの検討後はこの辺も [RFC1997] BGP Communities Attribute [RFC4451] BGP MED Considerations [RFC4456] BGP Route Reflection [RFC4893] BGP Support for Four-octet AS Number Space [RFC5004] Avoid BGP Best Path Transitions from One External to Another [RFC5065] AS Confederations for BGP Copyright (c) 2010 Internet Initiative Japan Inc. 23

IPv6 と BGP4+ IPv6 prefix はパス属性として交換されてる MP_REACH_NLRI (Type14) MP_UNREACH_NLRI (Type15) BGP OPEN で相互に multiprotocol 対応を通知 OPENメッセージのCapability 広告を利用接続するには双方が対応している必要がある Copyright (c) 2010 Internet Initiative Japan Inc. 24

BGP のネクストホップ属性基本はグローバルアドレスを指定リンクローカルアドレスが含まれる場合もある ibgp ではネクストホップをそのまま伝搬するのでリンクローカルのみでは動作しない NEXT_HOP:RT3 NEXT_HOP:RT3 RT1 RT2 EBGP RT3 IBGP NEXT_HOP (IPv6 address) Copyright (c) 2010 Internet Initiative Japan Inc. 25

BGP 接続と交換する経路 1. TCP(IPv4) 2. link-local TCP(IPv6) link-local 3. 送りたい経路 global IPv6 NLRI NEXTHOP(global) TCP(IPv6) global IPv6 グローバルアドレスで BGP 接続しておくのが簡単 Copyright (c) 2010 Internet Initiative Japan Inc. 26

経路フィルタ IPv4 と同様に prefix でのフィルタも記述できる cisco ios ipv6 prefix-list LIST-NAME seq 5 permit 2001:db8::/32 juniper junos policy-options { policy-statement { POLICY-NAME { term TERM-NAME { from { route-filter 2001:db8::/32 exact;} then next policy; } then reject; }} Copyright (c) 2010 Internet Initiative Japan Inc. 29

IPv6 ネットワークトポロジ網内問題トラヒックが思わぬ所を経由する想定される原因 IPv4 と IPv6 でネットワーク構成が異なる解決策 IGP は IPv4 と IPv6 で異なるトポロジ情報を維持できるだけIPv4/v6で同じトポロジを心がける, or IPv4とIPv6で異なるトラヒック制御を考える Copyright (c) 2010 Internet Initiative Japan Inc. 34

loop 終端されていない経路問題 dst ip: 2001:db8::1 static route 2001:db8::/48 static route default 上流から向けられている /48 の内 /64 しか利用しておらず残りのネットワーク宛の経路を null に落とすなどの処理を行っていなかったため使っていない空間宛のパケットが回線上を loop してしまった 2001:db8:100::/64 Copyright (c) 2010 Internet Initiative Japan Inc. 36

loop 終端されていない経路解決策静的にむけられている経路を必ず終端する全体を終端しておいて各ネットワークへの到達性は細かな経路で確保する cisco ios ipv6 route 2001:db8::/48 Null0 juniper junos routing-options { rib inet6.0 { static { route 2001:db8::/48 discard; }}} Copyright (c) 2010 Internet Initiative Japan Inc. 37

loop point-to-point リンク主にルータ間で多用されている回線 POS Serial などなど実は tunnel も point-to-point リンクパケットを回線に投げれば対向に届く Layer2 アドレス解決のための arp とかいらないリンク上に /64 等のネットワークがあるように設定している RFC4443 ではループを起こさない様に規定 Copyright (c) 2010 Internet Initiative Japan Inc. 39

loop point-to-point リンク 2001:db8::/126 でもダメ 2001:db8::0 Subnet Router-anycast address 2001:db8::1 ルータA 2001:db8::2 ルータB 2001:db8::3 空きルータ A /126 :1 :2 ルータ B Copyright (c) 2010 Internet Initiative Japan Inc. 40

Path MTU discovery cisco ios ip icmp rate-limit unreachable 500 means icmp errors are limited to one every 500msec ipv6 icmp error-interval 100 means icmp errors are limited to one every 100msec juniper junos icmpv4-rate-limit {packet-rate 1000;}; means max 1000pps for icmp to/from RE icmpv6-rate-limit {packet-rate 1000;}; means max 1000pps for icmp to/from RE Copyright (c) 2010 Internet Initiative Japan Inc. 44