要約

  • RFC 10075は、ルーター広告の拡張フラグオプションでビット6をSNACルーターの識別に割り当てた。
  • ビットは送信元の分類に使えるが、認証や送信許可の証明にはならない。
  • RA-GuardがSNACの広告を遮断すれば、その区別を載せたメッセージも届かない。

IPv6のルーター広告に、送信元が「私はSNACルーターだ」と示す1ビットが加わった。RFC 10075が割り当てたのは、Router Advertisement Flags Extension Optionのビット6だ。受信したSNACルーターは、広告の送信元が別のSNACルーターか、トランジットルーターかを見分けられる。IANAの登録簿にも S - SNAC Router Flag として載った。

便利な分類だが、身分証ではない。RFCはSNACルーターがどの条件でビットを1にするかを定めていない。このフラグを知らない機器は黙って無視し、SNACルーターとして動作しない機器はビットを1にしてはならない。受信側が知るのは送信元の自己申告だけだ。誰が機器を設置したのか、申告が正しいのか、広告された経路情報を受け入れてよいのかまでは示さない。

IPv6 Neighbor Discoveryも、どの隣接ノードにRouter Advertisementの送信を許すかを判定する仕組みを持たない。フラグはメッセージの処理を変えられる。認可は、リンクやポート、設定、セキュリティ方針をもとに受信側ネットワークが決める。

この違いを消しかねないのがスイッチだ。RFC 10075は、RA-GuardがSNACルーターの広告をフィルターする環境では、トランジットネットワークの機器がビット1の広告を一度も受け取らないと明記する。RA-Guardはレイヤー2のフィルターで、ルーター広告を入口ポートなどの条件で制限する。望ましくない広告をすべて遮断する設定なら、新しいフラグをトランジット側の機器が読む前に消してしまう。反対に、明確な規則なしで通せば、受け入れるつもりのなかった広告まで届くおそれがある。ポート単位の設定が、その先のセグメントにも響く。

このビットが増やすのは展開作業だ。SNAC広告を出してよいインターフェース、トランジット側機器が広告を受ける必要性、拡張オプションをRA-Guardが扱う方法を決めなければならない。「標準にフラグがある」は展開計画ではない。どの機器が、どのポートで信号を受け、次に何をしてよいのかが運用上の問いになる。

資料が示すのは仕様とIANA登録までだ。機器の対応状況、相互接続試験、実環境での障害は記載されていない。複数機器のパケット記録や公開対応表があれば評価は変わるが、この資料にはない。

出典