要約

  • 第13版ドラフトはRoute Targetの管理者値を別のExtended Communityサブタイプへ引き継ぐが、その値に経路配布やVRFインポートの効果を与えない。
  • 転送型の派生値はAS境界を越えうる。Route Targetのサブタイプに合わせたeBGPフィルターでは一致しない可能性がある。

BGPのラベルは小さい。ラベルが持つ役割は同じとは限らない。

Route Target（RT）は、VPNが経路をどこへ関連付けるかを示す。実際の運用では、経路を受け取るルーターを制限し、一致するRTを設定したVRFに経路を取り込ませる働きも担う。通常のExtended Communityは関連する印を運ぶが、それだけで同じ権限を持つわけではない。経路を一部のPEルーターだけでVPNに結び付けたいとき、この違いが効いてくる。

これが、10月28日更新の第13版ドラフトが扱う状況だ。10台のPEルーターがRT1付きのVPN経路を取り込むとする。別の経路も一部のPEで同じVPNに関連付けたいが、配布先は別のRT3で制御する。RT1をそのまま関連付けの印に使えば、RT1を取り込むすべてのPEへ経路を配る意味に読まれかねない。PEの部分集合ごとに違う印を作ると、一つのVPNに印が増え続ける。

ドラフトの答えは派生Extended Communityだ。RTのGlobal Administrator値とLocal Administrator値を保ち、サブタイプだけを変えて、RT-derived ECと呼ぶ。数値は元のRTを示し、異なるサブタイプはRTそのものではないことを示す。

この境界は明確だ。このドラフトのRT-derived ECは経路伝播を制限せず、VRFに経路を取り込ませず、対応するRTを探すポリシーにも一致しない。RFC 4684が定義するRoute Target Membership NLRIにも載せられない。ドラフトが定めるのは符号化と対応関係までだ。受信後の扱いは、別の用途文書が定義する。

問題は境界で起きる。派生後もTypeフィールドの上位オクテットを維持するため、転送型RTに対応する派生ECも転送型のままだ。逆のポリシーがなければAS境界を越えうる。元のRTサブタイプを対象にしたフィルターや書き換え規則は、派生サブタイプを自動的には捕捉しない。Global Administrator値もLocal Administrator値も同じだが、コードポイントが違えば一致結果も違う。

ドラフトは、転送型AS専用形式など複数のExtended Community登録簿に 0x15 を割り当てたと記録する。あらゆるRT形式に 0x15 を割り当てたわけではなく、ほかの対応関係は申請中または未定だ。RFC 4360は、Extended CommunityのTypeフィールドがポリシーの分類に使われる理由を説明する。今回、サブタイプの違いが同系統の値をフィルターに見落とさせる場所になる。

IETF運用ディレクター会議は10月30日、第13版を審査し、運用上の考慮事項を独立節にするよう求めた。審査者のGen Chenは、AS間のフィルタリングと漏えいリスク、適用範囲、旧式BGPの挙動を挙げ、伝播させたくない場合はeBGP境界で 0x15 をフィルターできると指摘した。これは審査意見であり、実際の漏えいが起きた証拠ではない。符号化を定義することと、異なる実装が混在する網での動作を説明することの間に隙間がある。

11月2日時点でドラフトはIESG評価中で、11月5日のテレチャットに予定されている。情報提供文書は、どのビットが対応するかを定められる。しかし、誰がフィルターするか、旧式ルーターがどう扱うか、後続の用途をどう封じ込めるかまでは決めない。サブタイプは1バイトでも、ポリシーの棚卸しにはそれ以上の手間がかかる。

出典：第13版ドラフト · 運用ディレクター会議の審査 · RFC 4360 · RFC 4684