要約

  • RFC 7999 は well-known BLACKHOLE コミュニティを定義し、65535:666 として登録された値で、送信元ネットワークが対象プレフィックス宛てトラフィックの破棄を隣接網に要請できるようにする。
  • このタグは助言であって自己実行型の権限ではない。受信側は、事前合意、広告可能なアドレス範囲、明示的なローカル設定、伝播制限がそろった場合にだけ効果を与えるべきである。

到達性を意図的に失わせる信号

多くの経路制御は到達性を得るために使われる。BLACKHOLE は逆に、特定の宛先を意図的に到達不能にする。DDoS が上流回線を占有すると、一つの被害アドレスだけでなく周辺サービスまで巻き込まれる。そこで対象宛てのパケットをボトルネックより手前で破棄し、残りの容量を守る判断が生まれる。

IANA は BLACKHOLE を 0xFFFF029A、通常の表記で 65535:666 として登録している。送信元 AS は被害アドレスを含むプレフィックスにこの値を付ける。参加する隣接網は、それを宛先トラフィックの破棄要請として解釈できる。

ただし、共通の値は共通の権限を意味しない。送信側は犠牲にする宛先を示すが、実際にパケットを捨てる装置は受信側が所有する。タグを無条件の命令にすれば、ピアは通常の経路広告を通じて遠隔からパケット損失を起こせる。RFC 7999 はそのような権限を与えていない。

実行より前に合意が必要

二者間ピアリングでは、BLACKHOLE を広告する前に両ネットワークが利用へ合意しなければならない。運用者の明示設定がなければ、装置はタグを見ただけでトラフィックを破棄すべきではない。標準値を認識することと、実行に同意することは別である。

さらに、受信側が要請を受け入れられるのは、そのプレフィックスが隣接網に広告権限のある同長または短いプレフィックスで覆われ、かつ当該セッションで BLACKHOLE を尊重する合意がある場合だけだ。顧客やピアに第三者のアドレス空間をブラックホール化する権限は生じない。

精度が負担範囲を決める

ブラックホール用プレフィックスは可能な限り具体的にし、一般には IPv4 の /32、IPv6 の /128 を用いる。広すぎる集約では、攻撃を受けていない隣接アドレスまで失われる。被害サービス、上流回線、周辺利用者には保護の利益がある一方、選ばれた宛先は正当な通信も失う。これは復旧ではなく、範囲を限定した犠牲である。

一次資料は導入率、ベンダーの既定値、特定事業者の利用、救済した帯域量を示さない。コミュニティ自体も攻撃の真偽を認証しない。権限はセッション関係、プレフィックスフィルタ、受信ポリシーから生じる。

伝播はローカルに封じる

受信側は NO_ADVERTISE、NO_EXPORT、または同等のローカル制御を加え、破棄経路が意図したドメイン外へ出ないようにすべきである。細分化された破棄経路が漏れれば、合意していないネットワークにも影響する。RFC 7999 が BLACKHOLE 付き更新の長期保存を勧めるのは、事後分析と監査を可能にするためだ。

証拠には、要請元ピア、対象プレフィックス、権限の根拠となる包含経路、セッション合意、適用ポリシー、伝播抑止、開始時刻、撤回を結び付ける必要がある。成功は、意図した破棄と権限外への拡大がなかったことの両方で判断する。

証拠と限界

RFC 7999 が支えるのはこれらの運用条件であり、RFC 1997 はコミュニティ属性、RFC 4271 は BGP の文脈、IANA はコードポイントを裏付ける。BLACKHOLE を狭く委任された緊急権限として扱うべきだという結論はリーダーシップ上の推論である。特定の運用者やベンダーへの申し立てではなく、実装や攻撃結果は不明のまま残す。

情報源