2024-07-16 RPKI 機能検証 - 版の履歴

Hkatou: Hkatou がページ「2024-07-16-RPKI 機能検証」を「2024-07-16 RPKI 機能検証」に移動しました

2024-08-04T01:00:26Z

Hkatou がページ「2024-07-16-RPKI 機能検証」を「2024-07-16 RPKI 機能検証」に移動しました

← 古い版		2024年8月4日 (日) 10:00時点における版
(相違点なし)

2024年7月29日 (月) 02:47にHkatouによる

2024-07-29T02:47:59Z

← 古い版		2024年7月29日 (月) 11:47時点における版
8行目:		8行目:
	#'''BGP ルータがサーバから RPKI の ROA データを取得する'''		#'''BGP ルータがサーバから RPKI の ROA データを取得する'''
	#'''ROV で BGP ルート情報を検証し、不正なルートをテーブルから削除する'''		#'''ROV で BGP ルート情報を検証し、不正なルートをテーブルから削除する'''
			2024 年現在、ROA を登録していない AS は多数存在する

			== 検証の目標 ==
	RPKI で不正な経路を BGP テーブル (BGP RIB) とルーティングテーブルから削除できること。		RPKI で不正な経路を BGP テーブル (BGP RIB) とルーティングテーブルから削除できること。


	RPKI のデータを受信するが、バリデーションは無効化し、不正な経路でもルートを登録できること。		RPKI のデータを受信するが、バリデーションは無効化し、不正な経路でもルートを登録できること。

	* 2024 年現在、ROA を登録していない AS が多数存在する		ROA 未登録の AS は、不明として BGP テーブルとルーティングテーブルに登録されること。

	~~#'''電子証明書を用いて、信頼性の高い AS 番号と経路情報を~~ ROA ~~として各~~ AS ~~で作成する'''~~
	~~#'''AS は作成した ROA をサーバに登録する'''~~
	~~#'''ルータは ROA をサーバから取得する'''~~
	~~#'''ルータは ROV で~~ BGP ~~ルート情報を検証し、不正なルートをテーブルから削除する'''~~
	{\|align=lright \|__TOC__ \|}		{\|align=lright \|__TOC__ \|}

Hkatou: Hkatou (トーク) による版 2142 を取り消し

2024-07-16T07:56:56Z

Hkatou (トーク) による版 2142 を取り消し

← 古い版		2024年7月16日 (火) 16:56時点における版
595行目:		595行目:
	* 1.1.1.0/24 を AS13335 が持っていることを調査できる		* 1.1.1.0/24 を AS13335 が持っていることを調査できる
	{{#seo:		{{#seo:
	\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| ~~Welcome to WikiSEO~~}}		\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| 2024-07-16-RPKI 機能検証}}
	\|~~title_mode~~={{{title_mode\|}}}		\|titlemode={{{title_mode\|}}}
	\|keywords={{{keywords\|}}}		\|keywords={{{keywords\|BGP,RPKI,ROA,ROV}}}
	\|description={{{description\|}}}		\|description={{{description\|}}}
	~~\|published_time={{REVISIONYEAR}}-{{REVISIONMONTH}}-{{REVISIONDAY2}}~~		}}
	}}

	==脚注==		==脚注==
	<references />		<references />
	[[カテゴリ:ラボ]]		[[カテゴリ:ラボ]]

2024年7月16日 (火) 07:54にHkatouによる

2024-07-16T07:54:21Z

← 古い版		2024年7月16日 (火) 16:54時点における版
595行目:		595行目:
	* 1.1.1.0/24 を AS13335 が持っていることを調査できる		* 1.1.1.0/24 を AS13335 が持っていることを調査できる
	{{#seo:		{{#seo:
	\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| ~~2024-07-16-RPKI 機能検証~~}}		\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| Welcome to WikiSEO}}
	\|~~titlemode~~={{{title_mode\|}}}		\|title_mode={{{title_mode\|}}}
	\|keywords={{{keywords\|~~BGP,RPKI,ROA,ROV~~}}}		\|keywords={{{keywords\|}}}
	\|description={{{description\|}}}		\|description={{{description\|}}}
	}}		\|published_time={{REVISIONYEAR}}-{{REVISIONMONTH}}-{{REVISIONDAY2}}
			}}

	==脚注==		==脚注==
	<references />		<references />
	[[カテゴリ:ラボ]]		[[カテゴリ:ラボ]]

2024年7月16日 (火) 07:43にHkatouによる

2024-07-16T07:43:07Z

← 古い版		2024年7月16日 (火) 16:43時点における版
595行目:		595行目:
	* 1.1.1.0/24 を AS13335 が持っていることを調査できる		* 1.1.1.0/24 を AS13335 が持っていることを調査できる
	{{#seo:		{{#seo:
	\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| ~~2021~~-09-~~19 DHCPv6~~-PD 機能検証}}		\|title={{#if: {{{page_title\|}}} \| {{{page_title}}} \| 2024-07-16-RPKI 機能検証}}
	\|titlemode={{{title_mode\|}}}		\|titlemode={{{title_mode\|}}}
	\|keywords={{{keywords\|}}}		\|keywords={{{keywords\|BGP,RPKI,ROA,ROV}}}
	\|description={{{description\|}}}		\|description={{{description\|}}}
	}}		}}

Hkatou: Hkatou がページ「2024-07-12-RPKI 機能検証」を「2024-07-16-RPKI 機能検証」に移動しました

2024-07-16T07:29:14Z

Hkatou がページ「2024-07-12-RPKI 機能検証」を「2024-07-16-RPKI 機能検証」に移動しました

← 古い版	2024年7月16日 (火) 16:29時点における版
(相違点なし)

2024年7月16日 (火) 07:26にHkatouによる

2024-07-16T07:26:55Z

← 古い版		2024年7月16日 (火) 16:26時点における版
15行目:		15行目:

	* 2024 年現在、ROA を登録していない AS が多数存在する		* 2024 年現在、ROA を登録していない AS が多数存在する

			#'''電子証明書を用いて、信頼性の高い AS 番号と経路情報を ROA として各 AS で作成する'''
			#'''AS は作成した ROA をサーバに登録する'''
			#'''ルータは ROA をサーバから取得する'''
			#'''ルータは ROV で BGP ルート情報を検証し、不正なルートをテーブルから削除する'''
	{\|align=lright \|__TOC__ \|}		{\|align=lright \|__TOC__ \|}

160行目:		165行目:
	参考 : [https://www.nic.ad.jp/ja/rpki/howto-usepubcache.html ROAパブリックキャッシュサーバの利用方法]		参考 : [https://www.nic.ad.jp/ja/rpki/howto-usepubcache.html ROAパブリックキャッシュサーバの利用方法]

	* 192.41.192.218		* 192.41.192.218 が JPNIC ROA パブリックキャッシュサーバの IP

	==コンフィギュレーション==		==コンフィギュレーション==
224行目:		229行目:
	\|Gi1 に着信したパケットは ACL_NAT に基づいて送信元アドレス PAT を行う		\|Gi1 に着信したパケットは ACL_NAT に基づいて送信元アドレス PAT を行う

	* BGP ~~キープアライブが~~ NAT されてしまうため、deny で LAN 宛を NAT 対象外にする		* BGP キープアライブやアップデートが NAT されてしまうため、deny で LAN 宛を NAT 対象外にする


534行目:		539行目:
	BGP でルーティングテーブルを受信 -> RPKI ROA キャッシュサーバから情報を取得、という順番だと ROV でルートを削除するのが遅れてしまう。		BGP でルーティングテーブルを受信 -> RPKI ROA キャッシュサーバから情報を取得、という順番だと ROV でルートを削除するのが遅れてしまう。

	* ROA ~~キャッシュ受信まではルートが削除されない~~		* ROA 受信・Validation までルートが削除されない
	* ~~下位にルートを広報する際、OSPF~~ で max-metric にする時間を長くするなどの対処が必要		* 下位にルートを広報する際、LAN 側の OSPF で max-metric にする時間を長くするなどの対処が必要

			再起動後に ROV が動作したか、確認が必要。Web 上の情報では clear bgp などのコマンドを実施するなどの例が見つかりました。

	~~再起動後に ROV が動作したか、確認が必要。実際の導入時には~~ LAN に ROA キャッシュサーバを構築し、管理ポートか IGP 経由で ROA ~~データを取得するのが良さそう。~~		実際の導入時には LAN に ROA キャッシュサーバを構築し、管理ポートか IGP 経由で ROA データを取得するなどの対処策が考えられます。

	=== Path Validation は RPKI に実装されていない ===		=== Path Validation は RPKI に実装されていない ===

Hkatou: /* PE02 */

2024-07-16T07:06:30Z

PE02

← 古い版		2024年7月16日 (火) 16:06時点における版
258行目:		258行目:
	bgp router-id 198.51.100.2		bgp router-id 198.51.100.2
	bgp log-neighbor-changes		bgp log-neighbor-changes
	~~network 0.0.0.0~~
	network 1.1.1.1 mask 255.255.255.255		network 1.1.1.1 mask 255.255.255.255
	network 14.8.0.0 mask 255.254.0.0		network 14.8.0.0 mask 255.254.0.0
312行目:		311行目:
	<nowiki>!!!!!		<nowiki>!!!!!
	Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/6 ms</nowiki>		Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/6 ms</nowiki>
	\|~~送信元~~ PAT ~~されて JPNIC~~ の 192.41.192.218 に疎通できた		\|PE01 で送信元 PAT されて、JPNIC の 192.41.192.218 に疎通できた
	\|-		\|-
	\|CE01		\|CE01
377行目:		376行目:
	* 今回は文書用アドレスを使用しているため、ROA が登録されていなかった -> Not Dound になっている		* 今回は文書用アドレスを使用しているため、ROA が登録されていなかった -> Not Dound になっている

			'''ルーティングテーブルには Invalid が載らず、Valid は載っていため、RPKI として正しい動作をしていると判断できる'''
	'''ルーティングテーブルには Invalid が載らず、Valid は載っていため、RPKI として正しい動作をしていると判断できる'''		'''ルーティングテーブルには Invalid が載らず、Valid は載っていため、RPKI として正しい動作をしていると判断できる'''
	\|-		\|-
513行目:		513行目:
	* BGP テーブル、ルーティングテーブルともに ROV が無効化された		* BGP テーブル、ルーティングテーブルともに ROV が無効化された
	* ROV が無効化されたため、BGP テーブル、ルーティングテーブルの両方にルートが載った		* ROV が無効化されたため、BGP テーブル、ルーティングテーブルの両方にルートが載った
	* 一方 ~~RPKI~~ テーブルの情報は確認することが可能		* 一方 ROA テーブルの情報は確認することが可能

	\|}		\|}
533行目:		533行目:
	=== RPKI で ROA を受信するタイミングが遅い ===		=== RPKI で ROA を受信するタイミングが遅い ===
	BGP でルーティングテーブルを受信 -> RPKI ROA キャッシュサーバから情報を取得、という順番だと ROV でルートを削除するのが遅れてしまう。		BGP でルーティングテーブルを受信 -> RPKI ROA キャッシュサーバから情報を取得、という順番だと ROV でルートを削除するのが遅れてしまう。

			* ROA キャッシュ受信まではルートが削除されない
			* 下位にルートを広報する際、OSPF で max-metric にする時間を長くするなどの対処が必要

	再起動後に ROV が動作したか、確認が必要。実際の導入時には LAN に ROA キャッシュサーバを構築し、管理ポートか IGP 経由で ROA データを取得するのが良さそう。		再起動後に ROV が動作したか、確認が必要。実際の導入時には LAN に ROA キャッシュサーバを構築し、管理ポートか IGP 経由で ROA データを取得するのが良さそう。

	=== Path Validation ~~は実装されていない~~ ===		=== Path Validation は RPKI に実装されていない ===
	ROA は AS 番号とグローバル IP アドレスの組み合わせを保存しており、BGP でその組み合わせを検証しています。		ROA は AS 番号とグローバル IP アドレスの組み合わせを保存しており、BGP でその組み合わせを検証しています。

	これは AS 番号まで詐称された場合 (今回の検証環境) ~~は、不正な経路の流入を防げないことを意味します。~~		これは AS 番号まで詐称された場合 (今回の検証環境) や、Origin AS を詐称された場合は、不正な経路の流入を防げないことを意味します。

			2024 年現在、筆者は以下の理解をしています。

			* RPKI : Prefix Origin AS Validation
			* BGPsec : AS Path Validation

	==リファレンス==		==リファレンス==

	=== Cisco ===		=== Cisco ===

			==== コンフィギュレーションガイド ====
	[https://www.cisco.com/c/ja_jp/td/docs/ios-xml/ios/iproute_bgp/configuration/xe-16-10/irg-xe-16-10-book/irg-xe-16-10-book_chapter_0110101.html IP ルーティング：BGP コンフィギュレーションガイド（Cisco IOS XE Gibraltar 16.10.x 向け）]		[https://www.cisco.com/c/ja_jp/td/docs/ios-xml/ios/iproute_bgp/configuration/xe-16-10/irg-xe-16-10-book/irg-xe-16-10-book_chapter_0110101.html IP ルーティング：BGP コンフィギュレーションガイド（Cisco IOS XE Gibraltar 16.10.x 向け）]

	[https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/iproute_bgp/command/irg-cr-book/bgp-a1.html#wp2807841905 bgp rpki server]		[https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/iproute_bgp/command/irg-cr-book/bgp-a1.html#wp2807841905 bgp rpki server]

			==== コマンドリファレンス ====
	[https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/iproute_bgp/command/irg-cr-book/bgp-s1.html#wp1160565865 show ip bgp rpki servers]		[https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/iproute_bgp/command/irg-cr-book/bgp-s1.html#wp1160565865 show ip bgp rpki servers]

Hkatou: /* 疎通確認・動作確認 */

2024-07-16T06:50:46Z

疎通確認・動作確認

差分を表示

2024年7月14日 (日) 04:08にHkatouによる

2024-07-14T04:08:38Z

← 古い版		2024年7月14日 (日) 13:08時点における版
3行目:		3行目:
	このページにラボシナリオとして、コンフィグや確認コマンド、疎通確認のポイントなどをまとめています。		このページにラボシナリオとして、コンフィグや確認コマンド、疎通確認のポイントなどをまとめています。

	~~<nowiki>~~{\|align=~~right~~ \|__TOC__ \|}~~</nowiki>~~		{\|align=lright \|__TOC__ \|}

	== 用語 ==		== 用語 ==