要約

  • RFD は、BGP 更新の急増が初期のルーターCPU を圧迫し、その故障がさらに更新を生むという現実の問題に対する仕組みだった。
  • しかしペナルティは変化の理由を識別できない。通常の経路撤回後に BGP が代替パスを探索すると、一度の障害が多数の変化として数えられ、復旧したプレフィックスが最長一時間抑制される場合があった。
  • 権限は一つの組織に集まっていなかった。RFC は方式を記述し、ベンダーは既定値を実装し、各ネットワーク運用者が実行を決めた。影響を受けるプレフィックス保有者は、遠隔 AS のペナルティを消去できるとは限らなかった。
  • 2006年には当時の実装を使わないことが勧告され、2013～2014年には高い閾値で限定的に再評価された。深いアルゴリズム変更より、既存設定で可能なパラメータ変更が残った。

所有の記録だけでは経路は戻らない

RFD を理解するには、最初に三つの事実を分ける必要がある。レジストリは IP アドレス資源の保有記録を扱う。オリジン AS はプレフィックスを広告する。隣接・遠隔ネットワークは、その広告をいつ受け入れ、どの経路を使うかを自ら決める。

最後の決定は、前二者から自動的には導かれない。正しい保有記録も、正しいオリジンも、別の運用者が持つルーターの設定を上書きできない。RFD はこの境界を、障害時に見える形にした。

三回の変化をどう読むか

RIPE-229 には、予定されたバックボーン・ルーターのソフトウェア更新が記録されている。更新後の再起動で一回。新しいソフトウェアがクラッシュして一回。旧版へ戻す再起動でもう一回。十分間で三回のフラップとなった。

運用判断としては、失敗した変更を元に戻した場面である。ところが一部の上流・ピアリング境界では、攻撃的なプレフィックス長別パラメータにより、/24と顧客経路が三時間を超えて抑制されたと文書は述べる。カウンターは、無秩序な反復と安全のためのロールバックを区別しなかった。

RIPE 27では、四回目の連続フラップより前には抑制を始めず、最後のフラップから一時間を上限とする方向が選ばれた。三時間より短い。しかし正常に戻った/24にとって、一時間は依然として利用者が到達できない時間である。

1990年代の制約

この制度を後世の失敗だけで評価すると、出発点を見失う。1990年代初頭、広告プレフィックスは増え、プロバイダー間の接続は密になり、経路撤回はフルルートを持つ多くのルーターで処理された。BGP の意思決定と転送表更新には計算資源が必要だった。負荷でセッションを維持できなくなったルーターが落ちれば、その故障自体が新しい更新を発生させた。

RIPE 文書は RFD の開発を1993年、Cisco、ISI/RSd、GateD などへの組み込みを1995年以降としている。RFC 2439が発行されたのは1998年11月で、すでに商用製品に実装され、広く使われているとの記述がある。標準文書がコードに先行したのではなく、実装された運用手段を後から整理した面が強い。

仕組みは、外部 BGP 隣接から受け取った経路にスコアを持たせる。撤回でペナルティが増え、実装によっては再広告や属性変更にも値が付く。スコアは時間とともに指数的に減衰し、抑制閾値を超えると経路を使わず、再利用閾値を下回ると戻す。

RFC 2439は、将来の安定性を正確に予測できないことを認めている。そこで直近の変化履歴を代理にした。処理効率の良い設計だったが、代理指標が何を数えているかを誤る余地が残った。

共通パラメータという実務上の選択

ベンダーごとに既定値が異なり、運用者ごとに半減期や閾値が違えば、同じ経路が場所によって利用可能にも抑制中にもなる。障害元のアクセス事業者が自分のルーターをクリアしても、遠隔の上流ネットワークに残るペナルティまでは消せない。到達性の不一致は、障害診断を難しくした。

RIPE 26の議論と BOF、RIPE 27のタスクフォースを経て、1998年に RIPE-178 が作られた。UUNET の Tony Barber が設計し、自らの環境で数か月動かしたパラメータが土台となった。2001年の RIPE-229 は、ISP とルーターベンダーに共通値を勧めた。

ここでいう勧告は強制力ではない。RIPE の文書は各社の装置を設定できず、IETF の RFC も機能を自動で有効にしない。標準作成者は選択肢を記述し、ベンダーは実行可能な既定値を出荷し、運用者が所有する装置で採否を決めた。

共通化には分配の問題もあった。RIPE-229 は/24以上の長いプレフィックスを厳しく扱い、閾値後は一時間の抑制を設定した。より短い集約経路は短い範囲だった。集約を促す理屈がある一方、小規模なマルチホーム利用者は冗長性のために長いプレフィックスを必要とすることがある。

さらに文書は、ルートネームサーバーや gTLD ネームサーバーを「Golden Networks」として例外化した。重要サービスが長いプレフィックス上にあるためである。これは長さが障害を正確に予測する証拠ではなく、誤判定のコストが高い対象を別扱いにした政策判断だった。

一度の撤回が四十一のイベントになる

BGP は経路が消えると、ただちに「到達不能」へ飛ぶとは限らない。隣接ルーターは次善の AS パスを選び、それを別の隣接へ伝える。さらに良い情報や撤回が届けば、最良経路はまた変わる。このパス探索で属性変更が連続すると、RFD は物理障害が一度でも複数のペナルティを加えることがある。

2002年、Zhuoqing Morley Mao らは分析モデル、シミュレーション、実トレース、商用ルーターのテストベッドでこの相互作用を調べた。対象トポロジーでは、一度の撤回と再広告から生じた二次的変化だけで閾値を超え、戻った経路が最長一時間抑制された。RIPE-378 は後に、一つのプレフィックス撤回が数 AS 先で41の BGP イベントとして観測された例を記している。

論文の範囲を越えてはいけない。世界の導入率は測っておらず、すべてのトポロジーで同じ現象が起きるとも述べていない。それでも、ペナルティが高いほど物理的に不安定だという推定は崩れた。ルーティングシステム自身の探索を、発信元の反復故障として数えていたからである。

提案された選択的ダンピングは、撤回後の単調なパス変更を新しいフラップとして数えない。調べたトポロジーでは誤抑制をなくし、40秒ごとに真に撤回と再広告を繰り返す経路は抑制できた。だが、これは実験で支持された代案であって、広域本番導入を証明する資料ではない。

無効化から保守的な復帰へ

RIPE-378 は2006年、2002年の変更を実装してほしいという ISP 側の需要も、実装者の活動も見られなかったとの評価を示した。同時にルーター性能が上がり、1990年代の CPU 問題は相対的に小さくなった。同文書は RIPE-229 以前を廃止扱いとし、当時の RFD 実装を ISP ネットワークで使わないよう勧めた。

2012年の IETF Internet-Draft 調査は、63件の自己選択回答を集めた。RFD を使うとの回答は13、使わないは49だった。非使用理由では15件が RIPE-378 を選んだ。この調査から世界全体の比率は導けないが、利用者への影響と停用勧告が一部の運用判断に入ったことは確認できる。

その後の RIPE-580 と RFC 7196は、少数プレフィックスが大量更新を生むという測定に基づき、捕捉対象を狭めた。RFC 7196が参照する一週間の実験では、抑制閾値6,000で RFD なしより更新率を19％減らしながら、2,000の場合より抑制プレフィックスを90％減らした。12,000では抑制は0.22％、平均時間更新量の減少は約11％だった。

RFC 7196は6,000以上を「より破壊的でないがまだ積極的」な設定、12,000以上を保守的な設定として勧め、計算だけして抑制しない試験モードも挙げた。一方、既存運用を壊す恐れがあるため、実装が既定値を黙って変えるべきではないとした。検証済みの正誤表は、Cisco と Juniper の値が参考情報であり、推奨値ではないと明確にしている。

深いアルゴリズム変更より、既存の設定面で閾値を変える方が導入コストは低い。誰かが全体を命令したのではなく、既設ソフトウェア、互換性への配慮、運用者ごとの判断が結果を固定した。

費用と権限を同じ表に置く

RFD を実行するネットワークは、更新量と CPU 負荷を減らす便益を得る。初期には、連鎖的なルーター故障を防げれば広い利用者も恩恵を受けた。誤判定の場合、到達不能の費用は復旧済みプレフィックスの保有者、その顧客、サービス利用者へ移る。どの AS がまだ抑制しているのか分からなければ、調査費用も外部化される。

運用者には自社ルーターを設定する局所的な権限がある。しかし RFC や RIPE 文書は、影響を受ける全保有者からの世界的な委任ではない。契約違反や違法性を示す証拠も本資料にはない。問うべき正当性は、外部効果を持つ判断を相手が観測し、担当者を特定し、訂正を求められるかである。

反実仮想も片側だけを消してはならない。1995年に RFD がなければ、初期ルーターはより多い更新を処理しなければならなかった。選択的アルゴリズム、当初からの高い閾値、観測専用モード、抑制状態の公開はそれぞれ有力な別経路だが、処理負荷、実装費用、認証や悪用への対策を伴う。

結論は番号資源の現在にも残る。レジストリが「誰のプレフィックスか」を正確に記録しても、世界の経路選択までは所有できない。標準は記述し、ベンダーはコード化し、運用者は実行する。到達性は、この三つと多数の自律ネットワークが続ける関係の結果である。

出典