【ShowNet 2026 sideview】AS290 External ~ Peering自動化・DDoS対策~

ShowNetAS290 External
Interop Tokyo 2026 ShowNet

Transcript

1. ShowNet AS290 External Interop Tokyo 2026 ShowNet
2. External ShowNet 2026 Externalの取り組み 合計4Tbpsを超える 対外回線・Mobile 接続 高性能な専用線 及び 6波の波長提供 広帯域・低遅延を実証 さらに広がる接続の輪 商用・学術系IX・コミュニティIXが今年も参加 堅牢で安心な対外防御 フロー監視と連携したDDoS攻撃対策 TCP-AOによるピアリング認証 最新のルーティングセキュリティ RPKIによる広告経路へのROA・受信経路へのROV対応 RFC9234(BGP Role)のIXピアへの試験導入 Software Defined External Cisco NSO + NOCお手製ポータルによるPeering自動化 クラウドインターコネクトの活用 External図はN-1/N-2ラック前の床にも展示中！ 各分科会にコンピューティング環境を提供 2
3. Peering with ShowNet 2026 • 各接続IXでのピア申請を専用ポータルサイトで受付 • NSOによりShowNetルータへのBGPピア設定を自動で投入 Peering Portal Rest API nso 左のQRコードより Peering 受付中！ mx301.noc ptx10002-60mr.noc cisco8712.noc 3 3
4. External DDoS攻撃対策 • DDoS攻撃はShowNetでも観測され、対策が必須 • 対外接続ルータ全てに対し攻撃を検知・遮断する装置を導入 A10ネットワークスさま DDoS Protection Solution シスコシステムズさま Secure DDoS Edge Protection 4
5. A10 DDoS Protection Solution オーケストレータ・ディテクタ・ミチゲータの3製品が連携し防御 • A10 Control Ado（N-1ラック） • A10 Defend DDoS Mitigator, TH7465（N-2ラック） • A10 Defend DDoS Detector, TH7465（N-2ラック） a10control-ado 検知 指示 Thunder7465-2 IPFIX監視 thunder7465-1 BGP FlowSpec 5
6. Cisco Secure DDoS Edge Protection コンテナとして動作する DDoS 対策アプライアンス Cisco 8712 上で DDoS 対策中！ cisco-ddos-ep ① DDoSを検知 ② ACLを設定 cisco8712 6
7. External TCP-AO (Authentication Option) • トランスポート層での認証を行うためのTCP Option • RFC5625, RFC5926で標準化 • 認証アルゴリズムを選択可能 • 認証の危殆化を防ぐアーキテクチャ • 今年は aes-128-cmac-96, hmac-sha-1-96 から対応状況に応じて選択可能！ • 2社 3種のExternalルータでTCP-AOによるピア認証を実施 • 接続先 絶賛募集中！！！ 7
8. External RPKIによるOrigin Validation • Resource Public Key Infrastructure (RPKI) ◦ IPアドレスリソースの正当な保有者を公開鍵基盤(PKI)で証明する仕組み • Route Origin Authorization (ROA) ◦ IPアドレスの保有者がアドレスを広告するASを指定 • Route Origin Validation (ROV) ◦ 受信したBGP経路がROAに適合するかを検証 Trust Anchor RIR (APNIC) 署名 NIR (JPNIC) 署名 アドレス 保有者 署名 ROA 今年もValidation を実施し、普及状況や昨年からの変化を確認 8
9. External RFC9234 相互接続検証 • BGPにおけるルートリークを防止 ◦ ピア間で役割を合意し、意図しない経路伝搬をプロトコルレベルで防止する • BGP Role ◦ OPENメッセージの中で 今年は一部のExternalルータで導入！ BGPピア間の関係を明示 ◦ Provider/Customer/Peer/RS/RS-Client • OTC(Only to Customer)属性 ◦ 顧客方向のみに経路を伝搬可能 AS AS IX Peer Route Server (OSS) (他社装置) mx301.noc ptx10002-60mr.noc IX経由・ルートサーバでのピアで相互接続を実験
10. External ご協力いただきましたコントリビューター様 (敬称略) インターネットマルチフィード、ENTERNET研究会、Japan Community IX ソニーネットワークコミュニケーションズ、WIDEプロジェクト 10