要約

  • 10月1日付のSAVNET作業部会草案第05版は、事業者の設定情報とルーティングシステムから取得する情報を区別する。顧客が持ち込むBYOIPなどについて、事業者はプレフィックスの申告と送信元として利用する権限の証拠を顧客に求め、経路が設定・広告されていなくてもその権限を表現する必要がある、とする。
  • これは情報提供を目的とする作業中のInternet-Draftであり、承認済みRFCや稼働実績ではない。証明書の形式、AS間の新プロトコル、中央の承認機関、全パケットの即時破棄を定めたものでもない。

送信元アドレスの検査は、パケットを受け取るインターフェースで行われる。一方、その判断材料はルータ一台の経路表だけに収まらない。顧客が複数の回線で接続している場合、片方の経路情報ではもう片方の正当な送信元を十分に示せないことがある。宛先経路として使われず、送信元としてだけ認められるプレフィックスなら、そもそも経路から権限を取り出すことはできない。

第04版もこの非対称性や隠れたプレフィックスを説明し、SAV Agentが情報を集めてルールを作る構成を描いていた。第05版の新規性は「経路と権限は違う」という発見ではない。既存の運用記録を使う事業者側の設定と、ルーティングシステムからの取得を別の方法として整理し、両者を組み合わせる際の不足分を明示した点にある。経路に含まれない送信元専用プレフィックスの許可は、経路情報を見続けても得られない。

新たに明記されたBYOIPの段落は、証拠を誰が扱うかを示す。顧客自身または別の提供者から得たプレフィックスについて、接続を受け入れるASの事業者は、その顧客に対象プレフィックスを示させ、送信元利用を認められている証拠を求める。草案は特定のROAや登録記録だけで全てを判定せよとは言わない。外部情報を参照しても、最終的なインターフェース別ルールを作り維持する責任は事業者の側に残る。

第05版の例では顧客Cがi1とi2で同じASに接続する。P1とP2は関連する経路情報から得られるが、Hは経路に現れない送信元専用プレフィックスだ。三つとも顧客に認められていれば、両インターフェースの許可リストへ反映する。Hの権限は明示的な設定が必要で、顧客の接続や権限が変われば影響を受けるルールも更新する。この例は設計上の比較であり、実在の顧客や導入効果を示すものではない。

許可リストを勧める一方、草案は入力情報が不完全なら正当な通信を誤って遮断し得るとも述べる。無効と分類したパケットへの措置は地域の運用方針と導入段階に委ねられ、監視など慎重な対応から始められる。Datatracker上の状態はなおI-D Existsである。検証したいのはフィルタの有無ではなく、顧客の権限が各接続点の実際のルールまで届いているかどうかだ。

出典