要約

  • RFC 7606 は、多くの不正な BGP 属性に対するセッションリセットを treat-as-withdraw に置き換える。不正 UPDATE の経路を Adj-RIB-In から除き、隣接と無関係な正常経路は残す。
  • NLRI を確実に解析できない場合や、属性固有の規則が強い処理を求める場合は、セッションリセットまたは AFI/SAFI の無効化が必要である。

一つの誤りが正常経路まで消していた

BGP は更新を積み重ねて到達性を構成する。一つのセッションには多数の正常経路が載るが、RFC 4271 の一般的な応答は NOTIFICATION と接続終了だった。不正 UPDATE だけでなく、そのセッションに依存する既存経路も消え、再接続と再収束が無関係な宛先へ負担を広げる。

任意トランジティブ属性では、属性を知らない中継ルータが内容を検証せず伝播できる。誤りは扇状に複製され、理解できる装置に到達して初めて検出される。そこで落ちるセッションは発生源に近いとは限らない。

Treat-as-withdraw は障害単位を変える。該当 UPDATE の経路を明示的な withdraw と同じように Adj-RIB-In から除去し、セッションは維持する。受信側の権限は、関係全体の破壊から、特定可能な経路集合の隔離へ狭まる。

解析可能性が選択的処理の境界になる

RFC 7606 は ORIGIN、AS_PATH、NEXT_HOP、MULTI_EXIT_DISC、LOCAL_PREF の特定エラーや必須属性の欠落に treat-as-withdraw を求める。ただし、個別仕様が別の処理を定める場合はそちらが優先される。

NLRI、MP_REACH_NLRI、MP_UNREACH_NLRI を十分に解析できなければ、どの経路を除くべきか特定できない。その場合はより強い従来処理が残る。耐障害性は推測する権限ではない。

RFC 7607 は AS 0 を具体例にする。所定の属性に AS 0 を含む経路は不正であり、適用可能な改訂手続きで処理される。無効性の判定と影響範囲の決定は別の段階である。

セッション維持は費用を消さない

対象宛先は到達不能になったり、劣った経路へ移ったりする。IBGP では装置間の反応差が長時間のループやブラックホールを招く可能性もある。RFC はその危険をリセットより一般に小さいと評価するが、無害とはしていない。

UPDATE を無視することとも違う。増分更新を捨てるだけでは古い無効経路が残り得る。withdraw は状態を明確に変える。RFC 7606 は診断機能を推奨し、その最低限として対象 NLRI と不正 UPDATE 全体を記録するよう述べるが、これは大文字の規範語 MUST ではなく運用上の指針である。セッションが緑のまま経路が消えるなら、説明可能性は一層重要になる。

根拠と限界

RFC 7606、4271、7607 が機構と危険を支え、IANA が UPDATE Message Error のコード 3 を確認する。権限に関する整理は推論である。特定事業者の導入、障害、効果は証明していない。

情報源