GREE Engineering

RPKIはじめました(少し)

RPKIはじめました(少し)

インフラストラクチャ本部の黒河内です。

グリーでゲームのプラットフォームのネットワークの設計・構築・運用を主 に担当しております。

※この記事はGREE Advent Calender 11日目の記事になります。

今回はRPKIについてお話をしたいと思います。

RPKIとは”Resource Public-Key Infrastructure”の略で、いまインターネットの経路交換の

信頼性を向上させる観点で注目されている技術の一つです。

※詳細は以下のJPNIC様のページに詳しく記載されております。

https://www.nic.ad.jp/ja/rpki/

 

そもそもインターネットとは 

インターネットでは自身が管理しているネットワークをインターネット上で認 識させるために

各々個別にグループ化させるAS(autonomous system)番号というのを持っております。

ちなみにグリーは55394という番号です。

この番号に自社で管理しているネットワークのPrefix(IPアドレス群)を紐付けて

AS番号をもつもの同士で互いに”経路交換”をすることでインターネットは構成されております。

 

何が問題なのか?

ただ、その中で大きな問題がございます。

現時点で“AS番号”と”自社で管理しているPrefix”の紐付けを証明できる機関は存在しません。

そのため例えばグリーの持っているPrefixを、グリーではない別の事業者のAS番号と

紐づけてインターネット上に経路を発信した場合、 そちらの業者にグリーのTrafficが

吸い込まれてしまう恐れがあります。

これを“経路ハイジャック”や”Mis-Origination”といいます。

https://www.nic.ad.jp/ja/rpki/mis-origin.html

既に多くの被害事例がございます。

経路ハイジャックやmis-originationを防ぐために、AS番号とPrefixを紐付ける証明書を作成、

信頼できる証明書サーバを通じて公開します。そして、 ネットワーク管理者がルーター上に

存在する経路を公開されている証明書をつかって評価する為の一連の技術がRPKIと呼ばれます。

 

ちょっとやってみた

いまどきはソフトウェアルータの評価版などで、(手軽に)BGPルーターを構成できるので、

以下の環境を作ってちょっと試してみました。

  • 環境:グリー内検証環境
  • VMware ESXi5.1サーバ(評価版)
  • CISCO CSR1000v(評価版)
  • Juniper Firefly

rpki_20141205

今回はJPNIC様のROA(Route Origin Authorization)キャッシュサーバ(以下ROAサーバ)に接続し、

以下の2つのダミー経路を流して、経路を評価できるかテストしました。

  • インターネットに経路があり、ROAキャッシュサーバに登録されているPrefix 2.0.0.0/16
    • インターネット上ではフランステレコムさんのPrefixになります
  • プライベートIPアドレスで、ROAキャッシュサーバには登録されていないPrefix 10.0.0.0/8

 

ROAサーバの情報は以下の通りです。2.0.0.0/16は登録があり、10.0.0.0/8は登録なしですね。

 

そして、OriginValidation前のCSR1000vでの経路情報は以下の通りです。まぁ普通ですね。

 

これにOriginValidationの処理を以下の通り加えました

  • Invalid = ROAサーバのAS情報とRoutingテーブルのAS情報が一致しなかったときは、LocalPreferenceを90にする
  • Not found = ROAサーバに情報がなかった場合は、LocalPreferenceを100にする
  • Valid = ROAサーバのAS情報とRoutingテーブルのAS情報が一致したとき、LocalPreferenceを110にする

 

上記適用(OriginValidation後)のCSR1000vでの経路情報の結果です

  • 2.0.0.0/16は Origin-ASが違うのでInvalid(I)でLocalPreference 90
  • 10.0.0.0/8は ROAサーバに登録がないので、Not found(N)の表記でLocalPreference 100

と期待通りの動作になりました!Validはできませんでしたが、、、きっと同じです。

 

考察と今後

というわけでモックアップはうまくいきました!

しかし、本番ネットワークに適用するには、越えるべき障壁が多いとも感じました。

その辺りは来月静岡で開催されるJANOG35にて、続きをお話したいと思います。

http://www.janog.gr.jp/meeting/janog35/

 

あと、今回利用したCSR1000VとFireflyのConfigも以下に添付します。

CSR1000v-config Firefly-config

皆様もお試しあれ!

明日は橋本さんによる記事です。お楽しみに!

関連記事