Logger 　　日本テレコム株式会社　河野 　　ソニーコミュニケーションネットワーク　佐古田　 ＪＡＮＯＧ-2 Meeting 10:20 - 11:30 ミニパネル 「インターネットの安定化のための経路制御 〜経路認証のための二つの方式〜」 司会：小畑　至弘（国際電信電話（株）） ミニパネル午前・午後一つずつ 午前はクールな、午後はホットな話題で。 裏で何が動いているか少しでも理解していただければ。 20分ずつで発表し、その後議論。 ●Practical IRR：笹木　一義（l国際デジタル通信（株)） 　ＩＤＣでＡＳオペレータをしている。 　ASオペレータが経路をどう管理しているか。 　IRRのしくみをからめて説明する。 　ＩＲＲとは、経路を登録する登記所 　世界に５つＲＡＤＢ（global)、ＲＩＰＥ−ＲＲ(ヨーロッパ）、ＭＣＩ−ＲＲ（MCI-custommer)、 　 次の二つは日本には余り関係ない。ANS、BELL canada 　何が登録できるのか、 　　ＡＳ−ｏｂｊｅｃｔ（ＡＳのポリシー） 　　Ｒｏｕｔｅ−object（経路を管理しているのがどこなのか） 　　AS-macro（ＡＳの集合）,etc... 　　AS objectの例（whois -h whois.ra.net asXXXX) 　　AS macroの例( whois -h whois.ra.net AS-IDC) 　　Ｒoute objectの例( whios -h whois.ra.net 210.158.192.0) 　正しい経路とは？ 　　ある日、sh ip bgp してみると、 　　1.1.1.0/24　AS174 　　ping 1.1.1.1 通る 　　whios.arin.net 1.0.0.0 でみると、reservdだった。 　　経路上の情報は、　nicのデータベースでは管理していない 　　IRRのＤＢのみ 経路情報管理の必要性 　Ｕｐｓｔｒｅｍ　<-->Ｄｏｗｎｓｔｒｅａｍの関係 　関係ない経路情報をmis-configurationすると 　下流は信じるしかない->通信できない 　上流は経路管理してないとやはり通信不能になる。その上流の他の下流も 　IXを通した横の関係も同じ 　specific route の広報による、melodown は もっとひどい 　ルーズな管理をしているASがあると大事件になる。 　AS7007/Sprint事件 　UUNET 128.n.0/24 新しいIOSで遊んでいた? 　Tier1にやられるとお手上げ 　広報しないための努力 　OSPF->BGP のinjectionは危険 　 どのようにつかえるのか 　MCI 　　顧客から受ける経路のフィルターを自動生成する→かっこいい 　RSNG route serveｒ (nsf-nap,paix) 　　ISP間で交換する経路のポリシー 　Rtconfigその他 　　meritから自動生成ツールが出ている 　RAwhoisdの拡張機能(merit) 　　AS macroを自動展開 　　指定ASをoriginとする全経路prefixの列挙 　peeringする際の交換経路をAS-macroで申告する 　　IDCで使っている->米国では一般的 　　お互いの経路広報を監視できる IDCのフィルタ利用例 　IDC->客 full route 　客->IDC prefix based filter きちきちのフィルター 　IDC->米国 IRR/AS-IDC as-macro 　米国(uu,mci,sprint)->IDC full 　IDC<->asia/ix as-macro 　IRRを検索してフィルタを生成、漏れたらlocalprefを下げて受ける 　snmpを使ってfilterを更新 ＩＲＲの問題点 　RADBのサーバがたまに止まっている(サービスといえるか?) 　 　逃げ:IRRのデータをローカルでミラーリングしておく 　　trawhoisd(Merit) 　MCIとRADBとのAS-macroの考え方が違う("-"複数MCIでは不可) 　　as objectがなくても書ける 　IRRにローカルでしか意味のないstatic routeを登録している 　　昔のorigin asが登録されたまま 　　ごみのroute-objectが多い→登録する人はいますが、削除する人がいない みんなが登録してから使えば便利になる MAE WestでのIDC peerのRS 　RouteServerのみ 14ISP 素直な人 　Direct BGPのみ 10ISP RS/IRRを信じてない 怪しい人達? 　RSとDirect併用 3ISP IDCpeerの未登録経路数ランキング 　管理しようとする姿勢があるかどうか ciscoのaccess-list 　configに無理に入れると立ち上がらなくなる 　1000prefix/40kbytes 　NSPIXPではprefixフィルタでもよい 　米国では無理 まとめ 　経路管理は必須 　IRRはおおむね使える 　上流が要求しなくても登録し、必要なくなれば消す。 ●経路情報の認証へむけて（石黒　邦宏（（株）デジタルマジックラボ） 　 本当はIRR派なので誤解のないように。 Draftを訳した。己を知る為に敵をしる。 今のままではよくないのか？ 使えてる。 　だからよくない　昔のようなきれても許してもらえる時代は終わった 　突然つながらなくなったら? 　attackが多くなっている。世界中から 　ルーティングが壊れると非常に困る。 　インフラという人も出てきた。 かつて不幸な事故があった。 　　97/4 ＡＳ７００７事件・97/10 ＵＵＮＥＴ事件　電話は偉大だ 　　　非常に効果的なＤｏｓ　Smurf はかわいい 　　事故を防ぐことのできる機構が必要だ　　　->去年学んだこと ２つの方法 　　ＤＮＳ　 経路レジストリ ＤＮＳを用いた経路認証 　ＤＮＳをもちだしたというのは、かなり苦しい 　階層構造にIPアドレスの割り当て構造に親和性がある 　分散データベースとしての唯一の実績 　DNSに新たなリソースレコードASの導入 　originASが正しいかどうかの認証をする 卵が先かにわとりが先か 　DNSに問い合わせをするためには経路情報が必要 　経路を受け取って24時間後に認証を行う→本当に動くか不安 どうのように設定？ 　bgp.in-addr.arpa　ドメインを使用か？ 　アドレスの委任構造に沿ってDNSゾーン権限の委任 　非オクテットはNSとCNAMEで解決 かなり来ている 　AS0 未認証 半端なステータス24時間有効 　AS65535 認証失敗 　認証結果に対するアクションはオペレータが任意に定義 　オクテット中で複数回委任があるとすごいことになる........魔の設定 さまざま側面 　5万個のUDP問い合わせが発生、管理できるか 　IXが一度落ちると100万クエリー以上 　世界中からきかれる方も大丈夫か?　（聞く側も聞かれる側もたいへん） 　みんな設定するだろうか 　 稼動に必要な条件 　AS RRをサポートしたDNSサーバ BIND8.1.2は未サポート 　ルータも対応していること メリット 　ＤＮＳは、すぐに動くことが期待できる。→DNSの設定に関する知識がある　笑うけど驚かない 　　IRRも実は誰にでも突っ込める 　階層構造から信頼できる 　未認証ステータスの活用（未認証というあいまいな設定の有効利用） 　 デメリット 　UDPのタイムアウト管理必要 　prefixリスト作成不可能 　逆引きサポートされない 　named、ルータのアップデート必要 　whoisdもperlで書いてちゃいけない 　AS-macroみたいなものない 　 IRRのprefix数(98/3) RADB 42775 フルルートの7.5〜8割がマッチする かなりいい ●ディスカッション 司会：小畑　至弘(O) 　　　　　　　　 　　　　笹木　一義(S) 　　　　　　　　　　石黒　邦宏(I) 　　　　　　　　　　水越　一郎（日本電信電話（株））(M) 　　　　　　　　　　近藤　邦昭（（株）インターネットイニシアティブ）(K) O:なぜ、みんなが登録してくれないのか？どういうところに問題があるのか 　Ｓ：上流が甘いとみんな甘くなる（ＭＣＩはMust,ＵＵＮＥＴはprefix baseでフィルタ） 　Ｏ：商用と学術にわけたときに、管理という面ではどう？　 　Ｉ：学術系はすばらしい登録になっていると思う。ひどいのは、商用。怪しいprefixをしらべていると 　　アジア系。ＯＣＮとかＩＩＪの関連会社とかフィルタしてくれるとよくなるのでは、 　Ｍ：困らないと登録しないのが悲しい現実。MCIやANSが居るから。 　　　Ｓｐｉｒｎｔ　/19フィルタしたときぱっしんぐがあった 　　　日本の商用がフィルタするのは、難しい。個々の良心、責任もって。 　Ｏ：ルーティングのオペレーションの失敗ということにつきるが、IRRでもDNSでも適用されれば 　　　広範囲に網がかかるはず 　　　過去の事件、経路そのものの問題というより、オペレーションミス。オペミスを少なくするには？ 　Ｋ：オペミスを０にするのは、不可能。少なくするには、どうするか。 　　　今の状態では「頑張りましょう」では間違いなくメルトダウン　 　　　ＩＲＲからprefixフィルタは、2501じゃconfigが入らないし経路そのものが入らない 　　　フィルタを書くよりも共通のDBが使えるようにしたい(DNS) 　Ｏ：スタティックやripの時代もメルトダウンがあった。アメリカで西の経路を東から流した等 　　　インターネットは組織組織間で管理を分散化している。 　　　DNSを使うのは小手先、新しい芽はないか 　Ｉ：ぜんぜんないのが、一番問題。 　　　IRRにしてもDNSにしても問題を抱えている。 　　　それに代わるいい提案もない。 　　　経路の世界とDNSはかなりレイヤが違う。小手先の解決。 　　　本気で解決した方がいいと思うが、何があるかときかれると.... 　　　新たな枠組みをきちんと考えなければいけない。 　Ｏ：自分たちでみんなで管理する。 　　 経路を誤って流すやつには、誤った経路を流す。　　目には目を。 　Ｓ：そりゃ、えぐい。 　　　電話の世界はITUがあって罰則で縛っていた。 　　　免許制もある意味では必要? 　　　今は、ASを取るのに技術力は問われない。 　Ｏ：NIC(registry)は今後どのような役割を果たすのか。 　Ｍ：（ＪＰＮＩＣの帽子をかぶって） 　　　免許制は常に出る話。 　　　一度そちらに流れると戻せない。まだ頑張りたいと思う。 　　　フィルタリングはISPだけじゃない。 　　　各サイトで逆引き、IRRを使ってdenyしたりすることは可能。また、サーバでもできる話。 　　　インターネットは完璧を目指していない。 　　　動けばいい。少しでもよくなればいい 　　　 Ｏ：他人のアドレスを広報するのは、一番まずい Ｍ：ＲＲのところは、誰でも登録できる。 　　ＤＮＳはそれが難しい。DNSの方がしくみとしては防げる。 　　誰がAuthorityをもつか 　　NICにおいて、IPアドレスのみでルーティングにはタッチしないスタンスをどこかで 　　変えなければいけないのではないか。 Ｏ：大きな事故は滅多に起きていない。 　　今後もっとひろがっていったときに、インターネットのルーティングどうしていくか。・ 　　1、２年JANOGでもっといい意見、解決案がでるといい。 日本の中から世界に発信できるようになるといい。