要点

  • AS7007のルーターは入口フィルターなしで約2万3000経路を受け取り、AS7007を起点とする数万のより具体的なプレフィックスを生成した。
  • 隣接ネットワークが受理・再広告したため局所障害が広がり、最長一致が正当な集約経路より誤った詳細経路を優先した。
  • 恒久策は中央承認者ではなく、証拠を載せる台帳とフィルターを実行する運用者を分け、受理判断の責任を明確にすることだった。

一つのASがインターネット全体の起点に見えた朝

1997年4月25日金曜日の米東部時間11時30分ごろ、MAI Network ServicesのAS7007境界ルーターは下流顧客からほぼ全経路表、約2万3000経路を受信した。後日の謝罪文でMAIは、その顧客が広告できるプレフィックスを限定する入口distribute listがなかったと認めた。

MAIによれば、装置は経路を細分化し、既存のASパスを取り除いた。別のMAIルーターでは7万3000超の項目が観測された。遠方からは、AS7007が多数の狭いプレフィックスを自ら起点としているように見えた。

数値は一つの全体測定ではない。Avi Freedmanはコアルーターで約6万経路を見た。別の同時代記録は7万2000、MAIは7万3000超とした。観測地点と時刻が異なり、単一の正解へ合成すべきではない。

内部原因も確定していない。MAIはAS7007装置でIGPを動かしていなかったと強調し、ソフトウェア障害を疑った。別の運用者は再配布、設定、機器理解を論じた。証拠が強いのは経路変形と欠落したフィルターであり、一つの原因説ではない。

より具体的な誤りが勝った理由

正規の集約経路がすべて消えたわけではない。AS7007はそれより狭い経路を提示した。IPv4転送は他の優先順位より先に最長プレフィックス一致を選ぶ。正しい/16が残っていても、誤った/24は該当範囲のパケットを引き寄せる。

本来この規則はマルチホームやトラフィック設計を可能にする。しかし当日は障害を増幅した。さらに従来のAS_PATHが失われ、経路はAS7007から始まるように見えた。

AS_PATHは所有権証明ではない。ルーターが受理した伝播履歴である。事故が示したのは、中央台帳がAS7007に全アドレスを与えたことではなく、多数の隣接者が範囲外の主張を受け入れたことである。

発信元を止めても経路は残った

MAIの時系列では、11時45分ごろセッションを止め、正午に再起動し、フィルターを追加し、12時15分ごろ全装置を切り離した。それでもAS7007経路は他社経由で戻った。すでに複製された更新は、最初の送信者を消しただけでは同時に消えない。

当時の記録にはBGPセッションのクリア、緊急フィルター、顧客回復のための対抗的な詳細広告がある。フラップ抑制は履歴を持つため、反復した撤回後には安定した経路まで一定期間使われないことがあった。

5月15日、Curtis Villamizarは、15〜20分でフィルターを入れた事業者がいる一方、最後まで入れない事業者もおり、上流が発信元を止めるまで2時間半超かかったと記した。世界停止ボタンの不在より重要なのは、境界ごとの準備差だった。

謝罪を実行可能な境界へ変える

MAIは下流からの受信範囲を限定しなかった責任を認め、完全なdistribute listを導入した。これは「信頼を取り戻す」という言葉より検証しやすい。

後の運用指針は、顧客セッションから顧客プレフィックスだけを受け入れ、その他を捨てると明記した。最大プレフィックス数は全表流入を止め、ASパスや特殊用途範囲のフィルターが別の境界となる。監視はセッション生存ではなく、契約・想定トポロジーとの差を見なければならない。

提供者は顧客を統治しない。自分のルーターを管理し、疑わしい主張を第三者へ伝播した結果に責任を負う。実装が効力を生むが、その権限は自らの境界に限られる。

有用だが不完全な経路台帳

1997年の対応では、分散型Internet Routing Registryも重視された。routeやaut-numオブジェクトが意図した起点と方針を記述し、ツールがフィルター候補を生成できる。

ANSはANS、CANET、MCI、RIPE、RADBの登録を使うと発表した。しかし監査では、登録も集約による包含もない広告済みプレフィックスが2,829件あった。312の起点AS、2,108プレフィックスには通知できたが、151 AS、721プレフィックスは連絡先さえ得られなかった。

修正後も333 ASの2,096プレフィックスが未登録だった。不完全な台帳を機械的に厳格適用すれば正当な接続を切る。使わなければ誤情報を通す。「権威」という名称では解けない品質問題である。

RFC 2622はRPSLを体系化し、RFC 2725は追加・変更の認証と権限を強化した。同時に、集約、ネットワーク消滅、提供者変更で古い記録が残ることも認めた。書き込み認証は台帳を守るが、現実を更新せず、ルーターにも自動適用されない。

推測された関係から明示的な役割へ

長く漏えい防止は、顧客・提供者・ピアという関係を双方が正しく設定することに依存した。RFC 9234は2022年、BGP RolesとOnly-to-Customer属性を導入し、関係を交換して一部の越境伝播を拒否・検出できるようにした。

これは1997年に存在せず、普遍的にも導入されていない。すべての誤起点も防げない。それでも、暗黙の商取引上の期待をプロトコルで検査可能にするという方向は正しい。

AS7007の教訓は分散運用を捨てることではない。受理の自由と、範囲を定義し検証し伝播結果を引き受ける責任を切り離さないことである。

根拠と限界

時系列はMAIの説明と謝罪、外部観測はAvi Freedmanの当日記録、登録対応はANSのフィルター通知に基づく。技術的境界はRFC 1812、RFC 2439、RFC 2622、RFC 2725、RFC 7454、RFC 9234で確認した。

世界全体の被害分母は残っていない。原因、経路数、回復時間は観測者ごとに異なる。確実なのは広範な偶発漏えい、欠けた入口フィルター、分散した復旧であり、正確な世界被害数や後年対策の全面普及ではない。