Summary

  • Bryton HerdesのチームはAS13335から自社の試験プレフィックスを広告し、別の自社ASである402542をAS_PATHの先頭に置いた。調査したTier‑1の14ネットワークのうち7つがその経路を受け入れた。
  • 通常のeBGP隣接では先頭ASとセッション相手のASを照合できる。透明なIXルートサーバーにはRFC 7947に基づく隣接ごとの例外が要る。

封筒の差出人欄はAS402542、目の前の配達人はAS13335。こういう食い違いを見つけるのに、複雑な暗号は要らない。Bryton HerdesがNANOG 98へ持ち込んだのは、受信側が持っている二つの数字を比べる実験だった。結果は半分に割れた。7ネットワークが拒否し、7ネットワークが経路を採用した。

発表の原資料には、AS13335から出す試験経路の前にAS402542を付ける設定がある。経路末端の起点は正しく見える。RPKIのROVはその起点とプレフィックスの許可を確認するが、手渡した隣接相手を照合する仕組みではない。経路を短く偽れば、ASPAが検証すべき中間の関係も減る。受信側のBGPセッションには相手のAS番号が既に設定されている。経路の一番左と一致するか、そこで確かめられる。

チームの原測定報告は対象を14社と明記する。試験プレフィックスも先頭へ挿入したASNもチーム自身のものだ。さらに、異常な経路を受けてセッションごとリセットする相手がいたため、継続的な試験広告の計画を取りやめた。経路を測る道具が本番セッションを揺らせば、測定方法を変える必要がある。

先頭ASの検査を外すべき相手もいる。IXの透明なルートサーバーは経路を転送する際、自身のASNをAS_PATHへ追加しない。RFC 7947は、その相手に対して検査を無効にできるよう求める。例外はルートサーバーの隣接セッションに付ける。ルーター全体のスイッチを切れば、普通の外部隣接まで同じ扱いになる。

Herdesの資料では実装ごとに初期設定が違う。運用者が見るべきものは機器のブランドより、隣接一覧、実際の検査設定、例外の理由、制御した試験での拒否記録だ。起点を確認した後でも、経路をいま渡した相手は別に確かめる。その一手間を省いた先に、7件の受け入れがあった。

出典：NANOG 98講演 · Herdesの原資料 · 研究チームの原報告 · RFC 7947。