20060112-irs-log.txt Page 1 ====================================================================== 第 7 回 Interdomain Routing Security Workshop (IRS7) 日時 : 2006/01/12( 木 ) 15:00-18:00 場所 : Cisco 新宿参加者 : 23 名 ( 登録者ベース ) ====================================================================== 1. Agenda - IPv6 経路と IRR - xsp ルータにおいて設定を推奨するフィルタの項目について 2. 議事 2.1. IPv6 経路情報と IRR の状況について Speaker: NTT 小林さん 外山さん 目的経路のあり方を議論したい 調査 IPv6 経路情報と比較 <=> WHOIS <=> IPv6 IRR (route6 オブジェクトが登録できる ) 経路の状況増加 stla 87%(6BONE 以外の ) RIR 毎に比率が違う AFRINIC は抜けている 6BONE は減少 Origin AS 別微増 Prefix Length 別経路数 /32 が多いが /48 も増えている Prefix Length による分類 /35 more longer = 14.6% /48 は増加 IPv6 経路の状況経路数は増加 /32 以上の prefix が増加 /48 が流れると増殖するのでは? 経路集約の考え方 LIR ISP への割り振りアドレス : /48 での割り当て予定がある 1 つの集約したアドレスで方法すること NW の構成に沿って階層化 集約できることが必要 経路情報と IRR の突合 inet6num と route6 と 方法 prefix -> IRI -> whois inet6num ARIN -> NetRange LACNIC -> inetnum status により 広報すべきか確認できる
20060112-irs-log.txt Page 2 inet6num Best Match( 分割された ) が増えている - Exact Match - No Match 整合度 /32 に拡張後も /35 がそのまま広報されているものがある NoMatch: 6to4 と AFRINIC status による状況の確認集約すべきかなどがわかる NON-PORTABLE や LIR による集約が可能な経路があるフラグメント数 : 2 が多い今後 /48 が増加する可能性がある route6 の登録状況 Best Match Exact Match No Match に分類 No Match が多い ( 半数以上 ) サーバ別 /source 別登録状況 RIPE での登録活動が大きく寄与 route6 との整合度合 BestMatch の中には route6 の origin を確認 -> origin が違うものがある Origin 不整合のパターン (Exact Match) 実際の Origin が route6 の origin AS の配下から広報されているケース Origin 不整合のパターン (Best Match) Exact Match と同様のものが ミスオペ? パンチングホールパンチングホールいいのか? -> 近藤さん : したい マルチホームしているかは わからない route-view でみても マルチホームはしてなさそう IX のアドレス空間が流れている Peering Address が流れている ( 登録されている /32 に含まれる /128 と /64 が ) Summary /48 であるべきもの あってはならないもの 区別できるような仕組みがあるといいかも inet6num でみると Registry に登録されたものだけが広報されているただ 100 経路前後は広報しなくてもいい経路 route6 でみると RIPE RADB の活動により登録は増えているが 登録率は悪い Discussion IPv6 の経路フィルタ exact で whois の status は有益か RIPE の ALLOCATED-BY-LIR にはいろいろなものが含まれ過ぎている Repository が乱立するとこまる /48 の区別は whois+irr で 議論内容 - 不要というのは? 必要性がないもの Aggregate の観点で集約できてないもの - PA でながす IPv4 は違反ばっかりなぜか? 使い勝手が悪いから
20060112-irs-log.txt Page 3 IPv6 になったときに悪いというのはどうか? ebgp は /48 とかをうけないルータ? 箱でがんばるか? - データベースは? 意図しているか してないか?(IRR に登録すれば意図している ) 意図しているものを不要とするかしないか? 不要とすれば IRR には /48 が登録できないようにするとか IRR に登録されたものは宣言されたもの IX の /48 は Assigned + Portable で 特殊アドレス -> 宣言すれば良いはなし 素性を知るには WHOIS+IRR RIPE は判断しにくい (ALLOCATED-BY-LIR だけでは ) APNIC は Assigned + Portable RIPE は portable かどうかわからない IRR の登録率は悪いので WHOIS の情報も使わないと 最終的には IRR をみないと意図したものかどうかはわからない理想的には流す経路を IRR route6 object の登録率を 100% にするどの段階で登録を促進するか? ( ビジネスが軌道にのってから?) オペレーションに使うデータベースは IRR IRR の登録インフラが整ってないと皆登録しないだろう割り振り!= 経路 -> IRR 必要もし割り振り = 経路であれば IRR はいらないだろう でかいところ (Verio とか ) 自分でもってる満足しているちょっと filter したいところ - IRR をみる - 経路爆発は? HW 的に頑張ればよい? どれくらい必要か? by cisco さん IPv4 は 1M IPv6 は 256K FIB のテーブル alternate 経路もいれるか? テーブルが大きくなると収束時間の問題 実運用にのると細かい経路が増えてくるだろうその段階で HW が対応できればよいだろう管理できるかが重要ではないか? 経路増加で死んでる leaf isp もあるよ - PI 用の割り当てポリシーを新規に定義しなきゃ PA は PA で分割せずに流す PI は PI で別のを - more specific は現在 filter しても もともと遅いので許容範囲 deploy してくると /48 も通さないとぐるっと回っちゃう -> 遅くなる - IRR に対してまずはどうしたいか? IRR に対する機能要望を挙げる 2.2. xsp のルータにおいて設定を推奨するフィルタの項目について (IPv6 版 ) Speaker: 馬渡さん 向井さん ICMPv6 全て通すか 必要なものだけ通すか? 全て reject は NG Path MTU Discovery 最低必要
20060112-irs-log.txt Page 4 NDP accept で統一でよいのでは? 6to4 結構使ってる 今後どうか? filter は exact match で accept Long Prefix /49 or longer を reject /32 - /48 を通す (short prefix /20 とかがある ) /56 にしましょうという話もあるが それは決まってから変更 global unicast 2000::/3 を通すか? /64 も実際たくさん流れている Bogon Prefix RIR に割り振りされたもののみ RIR の delegated-latest を元に -> 信頼性が不明 データがない 実際難しい IPv6 IRR を用いるか? Team Cymru あまり update がない bogon registry を誰かが作る? 6bone 2006/6/6 に停止予定 ( 本当に?) 停止してから reject 3ffe::/16 81 経路止めて様子をみるか? 箇所ピア トランジット 顧客 ルータ自身へ 顧客向け egress prefix filter filter 必要無いのでは?(full route) ユニークローカルなど 内部で使っている場合は出してはダメ マルチキャスト mbgp でも source が流れてくるだけで ff00 はこない 自 AS の prefix は reject してはダメ ICMPv6 の処理非優先にできる? ルートプロセッサに渡す時に v4 ではできる v6 は? CSR-1 ではプロセス優先度が多少実装もあるのでは? type でも優先度が違うのでは最低限ではなくなってる現状 まだやらなくてもいいかも AS-PATH v6 は長いのがある 顧客からの ingress packet 全部受けないと system protection acl 書いてもいいんでは? NTP 普通に通ってます NTP だけを落とすことはないだろうルータへの packet filter で落とすのはあり delegated latest
20060112-irs-log.txt Page 5 afrinic って大丈夫? これから filter generate できる? 適用して実際の経路と比較 bogon prefix Team Cymru に聞いてみます馬渡さん 文書化ファイルは 1 つで 3. 次回 4/7( 金 ) 15:00-18:00 箱 30-50 人 芝がいいな agenda bogon の話 IPv6 filter 文書化吉田さん にしかずさん 以上