RPKI AS0 ROAは 公開サービスのソフトランディングに 利用できるのか？ － 福岡大学公開NTPサービスでの実験計画 －

この発表では...
•福岡大学公開NTPサービスについてお話しします
1. (簡単に)今までの歴史
2. 現在のシステム構成とトラフィック
3. PRKI ROA AS0を用いた計画中の実験について

Transcript

1. RPKI AS0 ROAは 公開サービスのソフトランディングに 利用できるのか？ － 福岡大学公開NTPサービスでの実験計画 － 2026/7/16 藤村丞/福岡大学 谷崎文義/NTT西日本・NTTスマートコネクト JANOG58/TS-OPS
2. 自己紹介 • 名前：谷崎文義(たにざきふみのり) • 所属：NTT西日本/NTTスマートコネクト(AS7671) • 属性：ネットワークエンジニア(たまにサーバー) • 福岡大学公開NTPサービスの中の人 • さまざまな社外の団体やプロジェクトに参加 • JPOPF運営チーム(JPOPF-ST) • 九州ギガポッププロジェクト(QGPOP) • サイバー関西プロジェクト(CKP) • BAKUCHIKU boardメンバー • 過去)APNIC 56 ネットワークチーム(お手伝い係) • 過去)APRICOT-APAN 2015 ネットワークチームチェア • 過去)IPv6普及・高度化推進協議会 • 趣味：メタル/飛行機/猫/土器土偶埴輪古墳/スターウォーズ(マンダロリアン最高) • 最近はまっていること：ゲーム(DiabloII、DiabloIV)、パイナップル栽培 https://www.jpopf.net/
3. この発表では... • 福岡大学公開NTPサービスについてお話しします 1. (簡単に)今までの歴史 2. 現在のシステム構成とトラフィック 3. 計画中の実験について • 資料はのちほど公開します
4. (簡単に)今までの歴史
5. • 1993年10月からGPSを用いた日本初の公開NTPサービスを提供 • 国内外の多くのユーザーやシステムで利用されている • 133.100.9.2 • 133.100.11.8(2019/3/12 サービス終了) • 課題 • インターネットの普及やIoT機器の増加に伴い、NTPサーバーへのアクセスが急増 • キャンパスネットワークの安定運用に支障をきたすことも... • 将来的なサービス停止を目指し、研究/実証実験などを実施中 • 社会的影響を考え、ソフトランディングを目指してます！ • 詳細： https://www.itc.fukuoka-u.ac.jp/i/service/special/public_ntp 5 福岡大学公開NTPサービスとは？
6. • 1993/10：福岡大学のある研究室で日本初の公開NTPサーバーとして運用開始(第一世代) • 2005/1：アクセス過多問題(2chへの投稿) • 2012/12頃からNTPサーバー絡みのトラブルが数度発生 • NTPサーバーが停止すると学内ネットワークがダウン、詳細な原因は不明 • 2015/12：第二世代NTPシステム運用開始 • キャンパスネットワークと論理的/物理的に分離 • 2019/3：第三世代NTPシステム運用開始 • BGPルータ新設による経路分割 • 2021/3：第四世代NTPシステム運用開始 • NTPシステムをAS63785に移行 • 2024/5：第五世代NTPシステム運用開始 • IPAからのBGP anycast開始 • 2025/5/13：NTTスマートコネクトからのBGP anycast開始 6 福岡大学公開NTPサービスの歴史
7. 過去のトラフィック https://www.janog.gr.jp/meeting/janog47/wp- content/uploads/2021/02/janog47_lt2_fujimura.pdf 7
8. 現在のシステム構成とトラフィック
9. BGP anycastをはじめました！ • 開始日：2025/5/13 • AS番号：63785(公開NTPサービス専用AS) • 広報しているprefix • 133.100.9.0/24 • 133.100.11.0/24 • NTPサーバー(133.100.11.8)はサービス終了 • 共同実験として以下の企業/組織が参加 • 福岡大学 • 情報処理推進機構(IPA) • NTTスマートコネクト • NTT西日本 9
10. 構成概要とトラフィック分散比率 福岡大学 (AS63785) IPA (AS63785) MCNET (AS63785) インターネット SINET(AS2907) MCNET(AS7671) ほぼ 0 : 1 2 : トラフィック調整方法：AS-path prepend 10
11. 現在のトラフィック：全体で45Mb/s弱 11 福岡大学(全体) NTTスマートコネクト(全体) IPA(9.2) IPA(11.8)
12. なぜトラフィックが減ったのか？(推測) • 藤村准教授(福岡大学)の広報活動による社会的認知 • pool.ntp.orgからの離脱 • システム単位での設定変更？？？ • 特定ASからの数Mb/s単位でのトラフィック減少が観測されている • 将来的なサービス停止を目指し、研究/実証実験などを実施中 • 社会的影響を考え、ソフトランディングを目指してます！ 12
13. 計画中の実験について
14. RPKIとは？ • BGPにおける課題 • 経路ハイジャック：悪意のある組織が他者のIPアドレスを自分が所有しているかのように偽って広告する攻撃 • 設定ミス：オペレーターのミスにより、本来流すべきではない経路情報を世界中に流してしまう問題 • RPKI(Resource Public Key Infrastructure) • 暗号技術(公開鍵暗号基盤)を用いて、IPアドレスの正当な所有者とAS番号の組み合わせを証明する仕組み • 三つの要素 • ROAの作成：IP所有者が「このASから広告する」という情報を署名付きで作成 • リポジトリ公開：作成されたROAは、世界中の誰でも検証できる形で公開 • ROV(経路検証)：ルータが受信した経路とROAを照合し、正当性を判断 • RPKIの動向 • 北米、ヨーロッパを中心に実装が進んでいる • https://www.nic.ad.jp/ja/materials/after/20250616/20250616-RPKI.pdf 14
15. ROAとROV • ROA(Route Origin Authorization) • Prefix: 許可するIPアドレス範囲 • Origin AS: 広報を許可するAS番号 • Max Length: 広報を許可する最小単位 • アドレス所有者がこれらを登録 • ROV(Route Origin Validation) • ルータがBGPで受け取った経路情報を、ROAのリストとリアルタイムに比 較検証 • valid: 正当な経路/信頼して転送 • NotFound: ROA未登録/通常通り転送 • invalid: 不正な経路/破棄(Reject) • ISPなどがルータにこれらの機能を設定 15
16. ROAとROV(かなり雑な解説図) • AS65536からの192.0.2.0/24 • ROAとの比較：valid • 経路を受け入れ通常転送 • AS65549からの192.0.2.0/24 • ROAとの比較：invalid • 不正経路として経路破棄 リポジトリ 192.0.2.0/24 ...AS65536 AS65536 BGPルータ AS65550 BGPルータ (ROV有効) 管理者 (アドレス所有者) ROA作成 ROA参照 192.0.2.0/24 valid AS65549 BGPルータ 192.0.2.0/24 invalid 16 詳しい説明：https://www.nic.ad.jp/ja/rpki/
17. AS0 ROAを利用した実験？！ • ROAでOrigin ASを『0』として登録→この経路は信用しない • ROVを実装且つAS0 ROAをRejectするASではAS0に設定された 経路は破棄される • 福岡大学の二つのプレフィックスをAS0として登録するとROVの効 果で一部のパケットがAS63785に到達しなくなる？ • Phase1：影響を最小限に抑えるため、サービス停止済み且つ流量 の少ない経路で実験を計画中 • ROV導入による影響を観測可能 • とはいえ... • RPKIの本来の目的からはずれている？ • 技術的にはおそらく可能とはいえ、RPKIというセキュリティ機構をサービ ス終了のソフトランディングに利用してよいのか？ 17
18. AS0 ROA登録によるトラフィック変化の評価 • RPKIの仕組みを利用し、以下のプレフィックスをAS0登録すること でトラフィックはどのように変化するかを評価する • 133.100.11.0/24(サービス終了のため、実質的な影響はなし) • 実験期間中、AS63785からの経路広告は継続する • RPKI的に見ると、AS63785が133.100.11.0/24を経路ハイジャックしている状態 • 想定される結果 • ROVを実装且つROAにAS0登録された経路をRejectするASを通過する場 合、該当経路はそのASで破棄されAS63785に到達しない • それ以外のパケットはAS63785に到達する • 次図参照 18
19. AS65550 想定される結果 リポジトリ 133.100.9.0/24...AS63785 133.100.11.0/24...AS0 BGPルータ AS2907(SINET) BGPルータ 管理者 (アドレスホルダー) ROA作成 ROA参照 133.100.11.0/24 63785 BGPルータ (ROV有効) 19 • AS65550：ROV有効 • ROA AS0の経路はReject→AS65550やAS65549から のパケットはAS63785に到達しない • AS65548：ROV未実装 • AS65548やAS65547は今まで通りAS63785に到達 AS63785 (福岡大学) AS65548 BGPルータ (ROV未実装) 133.100.11.0/24 63785 2907 133.100.11.0/24 63785 2907 AS65549 AS65547
20. SINET上流/接続ASと AS0設定による影響の 考察 routes ASN Description 729590 AS2497 IIJ - Internet Initiative Japan Inc., JP 124450 AS6939 HURRICANE - Hurricane Electric LLC, US 29275 AS12389 ROSTELECOM-AS - PJSC Rostelecom, RU 26013 AS9498 BBIL-AP - BHARTI Airtel Ltd., IN 14114 AS9002 RETN-AS - RETN Limited, GB 8331 AS3786 LGDACOM-KR - LG DACOM Corporation, KR 7537 AS13335 CLOUDFLARENET - Cloudflare, Inc., US 6716 AS18403 FPT-VN - FPT Telecom Company, VN 6619 AS11537 INTERNET2-RESEARCH-EDU - Internet2, US 6346 AS58453 CMI-INT-HK - China Mobile International Limited, HK 6284 AS32787 PROLEXIC-TECHNOLOGIES-DDOS-MITIGATION-NETWORK - Akamai Technologies, Inc., US 5776 AS137409 GSLNETWORKS-AS-AP - GSL Networks Pty LTD, AU 5697 AS23764 CTGNet - CTGNet, HK 5691 AS8220 COLT - COLT Technology Services Group Limited, GB 5685 AS15412 FLAG-AS - Flag Telecom UK Limited, GB 4696 AS15169 GOOGLE - Google LLC, US 3192 AS16509 AMAZON-02 - Amazon.com, Inc., US 3134 AS4651 NTPCL-AS-AP - National Telecom Public Company Limited, TH 2622 AS20965 GEANT - GEANT Vereniging, NL 2138 AS38195 SUPERLOOP-AS-AP - Superloop, AU 2052 AS1828 UNITAS - Unitas Global, US 2050 AS2153 CENIC-2153 - CENIC, US 2012 AS8966 Etisalat-AS - EMIRATES TELECOMMUNICATIONS GROUP COMPANY (ETISALAT GROUP) PJSC, AE 1773 AS24287 TEIN2-JP - National Institute of Informatics, JP 1625 AS38040 GLOBAL-TRANSIT-TOT-IIG-TH - TOT Public Company Limited, TH 1546 AS9924 TFN-TW - Taiwan Fixed Network, Telco and Network Service Provider., TW 1533 AS2516 KDDI - KDDI CORPORATION, JP 1454 AS35280 F5 - F5 Networks SARL, FR 1383 AS17676 GIGAINFRA - SoftBank Corp., JP 1376 AS45899 VNPT-AS-VN - VNPT Corp, VN 1310 AS714 APPLE-ENGINEERING - Apple Inc., US 1302 AS9304 HUTCHISON-AS-AP - HGC Global Communications Limited, HK 1225 AS8075 MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US 1138 AS6509 CANARIE-NTN - CANARIE Inc, CA 1107 AS4775 GLOBE-TELECOM-AS - Globe Telecoms, PH 32888 565 AS • 【右表】SINET(AS2907)に接続している ルータから経路情報を取得し、SINETが直 接BGP接続しているASとそのASが広告し ている経路数を集計 • 例)AS2497はROVを行っている • 参考：『インターネットをよりロバストに。 RPKIはじめます』 • https://eng-blog.iij.ad.jp/archives/6861 • 想定)AS2497を通る経路を選択していた AS63785宛通信は不達になると思われる • とはいえ、マルチホームされていたらROV 未実施AS経由で到達するかも？ • やってみないとわからない！w 20
21. よくある質問と答え • Q：AS0を使わず、そもそもBGPでの経路広告を止めればパケッ トは到達しなくなるのでは？ • A：経路広告を止めた場合、その経路が第三者に経路ハイジャッ クされることを懸念しています • Q：パケットフィルタで破棄すれば良いのでは？ • A：パケットフィルタで破棄すると、NTPクライアントの再送に よりトラフィックが急増することを過去の実験で確認しています 21
22. 1. (簡単に)今までの歴史 • 構成変更を繰り返し、今の形へ 2. 現在のシステム構成とトラフィック • BGP anycastをはじめました！ • トラフィックは過去と比較すると減少傾向 3. 計画中の実験について • RPKI AS0を使った実験を計画中 • RPKIのこのような利用方法はコミュニティとして受け入れられるで しょうか？ 22 まとめ