IPを使わないBGPと第三者MACの次ホップ

要約

10月27日付の個人インターネット草案は、IPとUDPのヘッダーを使わず、QUICをイーサネットフレームに直接載せるBGP接続を提案する。接続にはローカルインターフェース、相手のMAC、AS番号、相手ごとの共有鍵が必要で、交換所も新しいEtherTypeを許可する必要がある。
オプションのLink Next Hopは、同じセグメントにいる第三者のMACを経路に載せられる。草案は、受信側がそのMACと経路の発信元との所属関係を検証できないと明記する。接続の認証後にも、転送先を認める判断が残る。

保守作業が経路の問題になる

交換所の参加者がルーターを取り替える。従来ならポートやアドレスを更新する保守作業だ。この草案の方式ではMACの変更がBGP接続をリセットし、学習した経路を撤回する。MACが単なる機器台帳の欄ではなく、制御セッションの固定点になるためだ。交換所のスイッチが新しいEtherTypeを通さなければ接続自体が始まらない。通した後は、機器側で専用の制御プレーン転送・レート制限クラスが求められる。

BoL2Q草案の構成は明快だ。QUICパケットをイーサネットに直接入れ、IPとUDPのヘッダーを省く。相手とは同一のレイヤー2セグメント上で話す。設定するのはローカルインターフェース、ピアMAC、相手AS、ピア専用の事前共有鍵。通常のTCP/IP上のBGP-4のように、離れたIPホストからこの接続へルーティングする道はない。その一方で、イーサネットの入口を誰が開くかが直接の運用判断になる。

相手MACは設定を選ぶ目印であり、認証そのものではない。同一セグメントの別装置がMACを偽れば、スイッチのMAC学習を乱したり、接続のレート制限枠を消費させたりできる。鍵を持たなければQUICの接続を乗っ取れない。TLSとBGP OPENで鍵と相手ASを確認する。草案は前方秘匿性を備えた外部PSK、0-RTTデータの禁止、接続移行の禁止も要求する。守っている対象は、誰がBGPのメッセージを送るかという点だ。

経路サーバーが指した先は誰の装置か

IPアドレスを付けない共有リンクでは、通常のIP次ホップを使えない。草案のLink Next Hopには二つの形がある。長さゼロなら接続相手自身。6バイトなら同じセグメント上の第三者ユニキャストMACだ。受信ルーターが経路を採用すると、BoL2Qインターフェースから、そのMACをイーサネットの宛先としてデータを送る。データパケットは普通のIPv4またはIPv6のままで、QUIC接続の中を流れるわけではない。

経路サーバーなら、元の参加者のMACを別の参加者へ伝えられる。データはサーバーを経由せず、参加者間を直接進む。同じセグメントの経路リフレクターもその形を維持できる。ただし転送できるのは、当該BoL2Qインターフェースから到達可能なMACだ。条件を満たさない場合、話し手は自分を次ホップにするか、使えるアドレスがなければ経路の通知を控える。

ここで鍵の仕事は終わる。草案のセキュリティ節は、第三者MACが経路の発信元の装置に属するかどうかを受信側が確認できない、と率直に書く。認証済みのBGPピアはセグメント上のどの装置にもトラフィックを向けられる。経路サーバーのポリシーと受信側の次ホップ検査が、その権限を狭める。交換所でフレームを通す許可と、宛先MACを受け入れる許可を同じものとして扱えば、最終的に誰がパケットを受け取るかは発言したピア任せになる。

このテキストは個人草案であり、EtherTypeと能力コードはTBD1、TBD2のままだ。割り当て済みの番号や実稼働の交換所を示す証拠にはならない。QUIC v1の仕様を基礎に、移行と早期データを止め、BGP用のストリームを一つ使う案である。設計段階でも責任の順番は見える。交換所がフレームを許す。ルーターが設定済みのMACを認識する。TLSが鍵を確かめる。OPENがASを確かめる。経路が次ホップMACを示す。受信側がそれを審査する。最後に転送装置へ載せる。途中まで全部正しくても、最後の宛先を間違える余地がある。