要約

  • RFC 5920 は、単一事業者の MPLS/GMPLS コアをその事業者の信頼領域とし、相互接続先は許可済みでも非信頼の隣接先になり得ると整理する。
  • 認証で分かるのは送信者の身元であり、経路、ラベル、シグナリング、帯域予約、OAM のすべてを実行する権限ではない。
  • 各 ASBR が合意済みの用途だけを通し、フィルタ、流量制御、監視、切断権を保持して初めて、接続価値と障害境界を両立できる。

接続の合意は信頼領域を広げない

ピアリング契約は、二つの網が定義されたサービスを交換してよいことを決める。相手網の全設定や、そこから届くすべてのメッセージが正しいと保証するものではない。RFC 5920 の参照モデルでは、各事業者の信頼領域は自社 ASBR までである。相手は既知であり通信を許された存在だが、依然として別の権限主体である。

同じ接続を価値と障害が通る。顧客はドメインをまたぐ到達性を得て、事業者は単独では提供できないサービスを組み立てられる。一方で、偽装更新、壊れたメッセージ、過剰な要求、誤ったクロスコネクト、制御プレーンを圧迫する負荷も同じ入口から届く。一方の設定ミスや侵害が、一般的な内部権限を委譲していないにもかかわらず、他方の障害要因になり得る。

MPLS ラベルは送信元証明ではない。RFC 5920 は、ラベルの意味がローカルであり、MPLS データプレーンには送信者を認証できる送信元識別子がないとする。もっともらしいラベルが付いていても、起源、目的、要求された処理の正当性は証明されない。適切な制御機構で身元を確かめた後も、相互接続ポリシーによる権限判定が必要である。

身元、権限、信頼は別々に決める

認証は「誰が送ったか」に答える。認可は、その相手が特定プロトコルを使えるか、ある種類の LSP を設定できるか、経路を広告できるか、OAM を送れるか、帯域や処理資源をどこまで消費できるかを決める。信頼は、追加確認なしにどの程度の振る舞いを受け入れるかという、さらに広い判断である。

三つを一つにすると、暗黙の権力が生まれる。認証済みセッションが運べるものをすべて許可すれば、プロトコルの表現能力が統治判断を代替する。あるサービスの許可を相手コア全体への信頼と読めば、ASBR はリスク境界として機能しなくなる。RFC 5920 の考え方は逆で、関係を維持しながら送信元、プロトコル、量、資源を個別に制限する。

必要な対策も一つではない。セッション認証、ルーティングポリシー、双方向フィルタ、異常パケット処理、インターフェース別または事業者別のレート制御、プロトコルの選択的有効化、監視を組み合わせる。暗号は身元と完全性を守るが、CPU や帯域の枯渇をすべて防げず、鍵管理負担も加える。フィルタは露出を減らす一方、正当な復旧を止めることがある。流量制限は容量を守りながら実際の急増を障害に変えることがある。だからこそ、各トレードオフに責任者が必要になる。

利益を得る者と費用を負う者

顧客は網間の継続性を得て、事業者は提供範囲を広げる。しかし ASBR を運用するチームは、設定、鍵、容量、テレメトリー、共同訓練、誤検知の費用を負う。厳しい規則はコアを守りつつ顧客回線を止めるかもしれない。緩い規則は短期の継続性を守りつつ、予想外の状態に内部資源を使わせるかもしれない。

送信側には速い受理を求める誘因があり、受信側は処理の即時リスクを負う。二者合意には、利用可能なプロトコル、対象と速度、変更権限、証拠保存、隔離権を明記する必要がある。相手の身元が確かでも、これらの決定は終わらない。

反実仮想が委譲範囲を見せる

接続をなくせばこの境界リスクは消えるが、事業者間サービスも失われる。より有用な反実仮想は、接続を維持したまま「許可」を「信頼」と同一視する場合だ。平常時は簡単に見えるが、誤りや侵害の際には外部状態が内部状態や資源枯渇、広域障害へ変換されやすい。

非信頼として扱うことは、相手を敵と決めつけることではない。別の権限主体だと認識することである。受信側は合意目的に必要な状態だけを認め、逸脱を観測し、封じ込める能力を残す。相手の内部統制は、自社境界での注意義務の代わりにはならない。

根拠と限界

技術的事実は RFC 5920 に基づく。RFC 5921 は MPLS-TP の文脈を提供し、RFC 5718 は直前の帯域内管理チャネル記事との境界を示す。RFC 5920 は情報提供文書である。責任分担と変更管理は Elias Ward の分析である。

特定の事業者、ベンダー、稼働網への非難はない。資料は現在の普及率、特定組織の設定、事故頻度、対策の実測効果、現在採用すべき暗号方式を証明しない。現代の運用証拠がなければ、これらは不明である。

出典