要約

  • Randy Bushが執筆したRFC 7115は、広いアドレスブロックのROAを発行する前に、別のASから広報される顧客の再割当てすべてに正しいROAがあるか確認するよう求める。欠けた顧客経路はInvalidと判定され得る。
  • 発行後、検証済みデータはキャッシュを経てルーターに届き、各ネットワークのローカルな経路方針に使われる。Bushは複数キャッシュと同期の管理も勧めた。

親が判子を押す前に、子の住所を読む

アドレスの保有者が大きなブロック全体にROAを発行する。中には顧客へ渡した小さな部分があり、その顧客は自分のASから経路を広報している。保有者の新しい署名が検証キャッシュを通ってルーターに届くと、同じ顧客経路にInvalidの表示が付く場合がある。経路を動かしたのは顧客でも、判定を変えた操作は親側にある。

Bushの2014年のRFC 7115は、その順番をBest Current Practiceとして書いた。大きなブロックを覆うROAを発行する前に、別のASから広報される再割当て、たとえば顧客のものに正しいROAがあるか確認する。なければ、その経路はInvalidと見なされる。顧客が自分のROAを登録するまでの間は、実際のBGP情報から代理のROAを整える方法も示す。先に顧客の一覧、後で親の署名だ。

RFC 6811は、広報されたプレフィックスと起点ASを、検証済みROAの情報と照らす。その結果はValid、NotFound、Invalidの三種類。親のROAが公開されると、より細かい顧客経路の起点や許された長さがその条件と食い違うことがある。ルーターは判定を受け取り、運用者のローカル方針がそれを経路選択に使う。Invalidを拒否する方針なら、一覧表の漏れが到達性の問題になる。

判定を運ぶ仕組みもBushの仕事とつながる。Rob Austeinと共著したRFC 6810は、検証キャッシュからルーターへ起点情報を渡すプロトコルを定めた。RFC 7115はルーターが複数のキャッシュに接続し、少なくとも一つをローカルに置くことを勧める。経路判断に使うローカルキャッシュ同士は、少なくとも四〜六時間ごとに同期すべきだという。上流のキャッシュを利用する側には、受け取ったデータの再検証も求める。

RIPE NCCによるBushの経歴には、RPKIと経路起点検証を含む長いルーティングセキュリティの仕事が記されている。RFC 7115の肝はその実務感覚だ。鍵が正しくても、顧客の再割当てを数えずに使えば運用上の事故につながる。本稿の肖像はRIPE NCCの本人名が付いた写真を参照した。背景の二つの機器ラックは想像上のものだ。

この話で最も重要な道具は、派手な暗号装置より地味な台帳である。顧客ごとの小さな割当て、広報するAS、ROAの有無と内容。それがそろって初めて、親の操作が子の経路にどんな判定を与えるか見える。