mwtr memo

IPv4とIPv6の違いを考える会 Memo. (2008.11.05)

IPv6ネットワークをいま運用している人、これから運用を始めていく人が集まっていろいろと情報共有や意見交換をしていく会。

1. アドレス設計

- /32 の bit assign はどうする？
  - AS confederation をしている場合は、各 AS で分割をしておく

- ユーザに割り振るアドレス
  - 4bit 区切りでユーザにあげるのが人間の目に優しい
  - 引越し
    - コンシューマユーザは引越しをしてもリナンバ対応は ok なのではないいか？
    - エンタープライズの、リナンバは死活問題
      - ユーザに割り当てたアドレスの経路は iBGP でがんばってルーティングさせてやれば、アドレス変更はせずに引越しの対応はできるかも

- コンシューマユーザとのリンク
  - グローバルにする？
  - リンクローカルにする？
    - 監視が難しくなってしまう

- バックボーン
  - POP で aggregation するかもしれないので別に確保をした
  - 無駄なポリシーを適用するよりも、技術でカバーが出来るのであれば、その方が happy になれる
  - loopback には、ブロックのあたまのアドレスを付けていたり

- ピア
  - /127 でピアをしている例もあるが、いまのところ問題無い
    - RFC3627
    - subnet-router anycast address が実装されると問題になるが...
    - draftを書いたほうが良いかもしれない

2. Internel Routing

- OSPFv3
  - 基本的には
    - RFC 5340
    - 基本的には OSPFv2 と同じ
    - v6 用に拡張されているくらい
  - neighbor の考え方
    - ルータID は 32bit
    - show ospf neighbor は router ID 単位で見える
    - 認証が MD5 ではなくて IPsec で出来るようになった
  - ospf 自身の通信
    - multicast address
  - ospf のパケットはすべて Link-local address が source となる
    - next-hop は Link-local address
    - Link-local address はきちんと考えよう

- iBGP
  - BGP のマルチプロトコル対応版
  - iBGP multipath
    - ECMP
    - 思い描いている正しいマルチパス (ロードシェア) にならない場合があるが、動いているところはある
  - iBGP multihop
    - 普通に動く、トンネルを経由しても大丈夫
    - PMTUD が重要になる
  - confederation
    - IPv4 と同じ

- static、default、tunnel
  - next-hop を global address にするか？ Link-local address にするかは自由
    - bgp にあわせるなら global
    - ospf にあわせるなら link-local
    - 監視とあわせると言う考えなら global
  - default route は ::/0 か 2000::/3 か？

- その他
  - arp vs neighbor discovery
    - コマンドの差分がある
    - show ipv6 neighbors
  - vrrp
    - next-hop 解決は link-local か global か？
  - ACL
    - ヘッダ
      - type0 フィルタしよう (実装問題)
      - type2 ？
  - フラグメント
    - PMTUD
  - サーバ宛に RA を出す？

- コメント
  - link-local address を手動で設定しているときもあったが...
    - 自動で付与されるアドレスと手動で設定をしたアドレスとで、2個のアドレスになる
    - 優先度での違い

3. Inter Domain Routing

- number of prefix
  - IPv4 : 1ASあたりの数がいっぱいある
  - IPv6 : 1ASあたりの数が少ない(だいたい1本が多い)

- RFC2545 によると
  - v6 : global -> (必要な場合は) linklocal を通知
  - v4 : global を通知

- ピアするときのアドレス
  - link-local address でもピアが出来ない事は無い
    - next-hop self しないとそのまま伝播するので、global address でピアをする事

- multihop
  - IPv4 と同じ

- prefix filter
  - IPv6 BGP filter recommendations
    - http://www.space.net/~gert/RIPE/ipv6-filters.html
  - 必要にして十分なフィルタ
    - ミスコンフィグの影響を抑える
    - 不正な経路情報の影響を抑える
    - IPv4 も同じ

- AS path filter
  - ピアのトポロジが IPv4 と IPv6 で違う為、as-path も違う場合が多い
  - 同じ接続先でも as-path フィルタは別々？
    - IRR の as-set オブジェクトは2つ必要？
  - そもそも ipv6 で as-path フィルタ設定するか？
    - IRR から生成する prefix フィルタで対応をする事で問題は無い？

- トラフィックエンジニアリング
  - BGP path attribute による制御
    - IPv4 と IPv6 で違いは無い
  - prefix deaggregation
    - 負荷分散、バランス調整
      - 広告用は本来のアドレスブロック
      - 分散用に分割をして no export をする？
    - ハイジャックへの対策？
  - IPv4 と IPv6 の違い
    - IPv4
      - 1AS あたりの prefix をたくさん保有している
      - アドレスブロック内の利用率が高い
    - IPv6
      - たいていは、最小割り振りサイズそのままで経路広告をしている
        
        分割したら、到達性が無くなりそう...
      - トラフィック分散は multi path で対応をしたいが...
        
        想定どおりにトラフィックが分散できるかどうかは不明だが...
        
        障害時などにやさしく切り替わってくれる
      - 複数接続している上流 (transit ISP) ごとに分散をしたい？
        
        distribute 用のルータを一段はさんで置き、iBGP multipath ではだめなのか？
        
        IGP の cost が同じで、as-path 長が同じだったら iBGP multipath で大丈夫だろうけど、それでカバーが出来ない場合もある

- その他
  - IX で使うアドレス
    - IPv4 : global routable
    - IPv6 : /48, non-routable

4. NMS、DNS

- ping、traceroute
  - link-local address の監視はいらない
    - 直接、接続をしている機器からしか到達不可

- snmp、syslog
  - IPv6 で snmp を利用したい
  - IPv6 only な機器には snmpv3 を利用する
  - 管理手法がばらばらになるのは良くない
  - dual stack の I/F で IPv4、IPv6 のトラフィックを別々に確認をしたい
    - IP-MIB (RFC4293) の実装待ち

- IPv4/IPv6 な環境
  - トンネルとか translator とか使われていきそう
  - トンネルが多くなると運用的には、かなり痛い状態になる？

- マネージメントのまとめ
  - IPv6 transport の必要なところを整理しましょう
    - 到達性監視 (ping、traceroute、etc)
    - BOX (ルータ、スイッチ) の login 自体は IPv4 でも対応が出来る
    - もし、IPv4 (もしくはv6) で到達性がなくなっても、IPv6 (もしくはv4) で login をする事が出来る場合がある
  - IPv6 only なネットワークが出来てしまったらどうする？
    - まずは、自分が運用に利用をしている transport がどこを通っているのかちゃんと把握をしたい
  - v6 backbone の逆引きを書く？

- 逆引き DNS
  - traceroute などをした場合にインタフェース名が見えたほうが良い？
  - node の loopback だけでも逆引き登録？

- DOCSIS 3.0
  - 監視系は IPv6 にしなければいけない