少し思うところがあって、RIPEでAS番号を取得してみました。なぜRIPEに登録したのかというとJPNICからAS番号の取得する場合だと初期費用（AS番号取得とIPv6アドレス取得で40万円ぐらい）がかかりすぎるからです。また、AS番号やBGPの運用は奥が深いため、経験を積む目的も兼ねてまずは今回はスイスのとあるRIPE LIRからAS番号と/48 PA(Provider Aggreable)プレフィックスを取得してみました。
まず最初にAS番号の取得からですが、域外からの申請、つまり、RIPEのエリア外からの申請も受け付けてくれているところを探す必要があります。これは以前にHE社のtunnelbroker.net以外にipv6トンネルサービスについて検索していた頃、数社見つけていたので、そこから一社えらんでみました。具体的には スイスに本社のある https://securebit.ch というところです。
スイスなので遠いのはわかっていたのですが、bgpでフルルートを取得できるだけでなく、AS番号の取得には基本的にマルチホーム接続をする前提で申し込まないとダメみたいだったのですが、こちらは申し込みの画面で初めから2社に接続する前提でAS番号の取得ができるようにしていてくれたので、結果から言うと、申請をして次の日にはAS番号の取得ができました。
身分証明書はパスポートか運転免許証が必要でした。そのほか契約書にサインしないといけないのですが、書類を印刷して郵送するのではなく、送られてきたPDF形式の契約書にタブレットをつかってadobeのacrobatを使ってサインました。また、身分証明書はコンビニでpdf形式で取り込みできたのでサインした契約書と併せてメールで送信したところ不備はなかったようでした。ちなみにNational Numberの記入項目があったのですが日本にはNational Numberはなく身分証明書だけで十分ではないかとメールしたところ、身分証明書でＯＫとのことでした。
なお、RIPEに提出する書類にはRIPEの管轄で運用を行うことを証明する書類が必要みたいだったので、AS番号の取得と同時に今回は1Gbps/Unmeteredでトランジット一本とデフォルトでIX二か所に直結しているVPS(Setup Feeを除いて11CHF/month)を契約しそのインボイスもメールしたのかよかったのかもしれません。
AS番号を取得できたので、whoisでどのように登録されているか検索したところabuseの連絡先が申し込み時の個人用メールアドレスになっていました。そこでサポートチケットをオープンし、連絡先を変えたい旨つたえると、RIPEのDatabaseに登録したでメンテナーオブジェクトを作ったほうがよいとのことでしたが、連絡先の変更はしてくれていました。しかし他にも変更したいところがあるので、とりあえずRIPEに今回の申請に使った個人用のメールアドレスで登録し、ロールオブジェクトについて変更しようとしたところ、権限がない旨でエラーがでました。
連絡してみたところ、mnt-by:に登録したメンテナーオブジェクトが入っていないと変更できないないとのことなので、ロールオブジェクトとASオブジェクトのmnt-byにメンテナーオブジェクトを追加してもらったところレコードの更新ができるようになりました。
とりあえず最低限の（と思っていたのですが、後で記述しますが、プレフィックスを広報するにはrouteオブジェクトの作成が必要でした)設定はできたのでVPSでBGP(frr)を走らせまようとしたのですが、nicが一つしかありませんでした。vpsはチューリッヒにあるものを選択したのですが、transitとは別にIX二か所に接続できる旨を説明してくれていたので、ちょっと混乱しました。そこでまたサポートチケットをオープンしやり取りしたところ、VPSの契約時にどこのIXに接続するかという設定項目があったらしく、チェックが入っていなかったので手動で設定するがFee(25CHF)が発生するとのことだったので、OKの旨つたえると、nicが3個になり、また、ルートサーバの設定について返信がありました。なおやり取りの途中でIPv4は必要かどうか聞かれたので当面は必要ない旨返事しています。また4IXPというところを使うかどうかも聞かれたのでとりあえず使うとの旨も返事しています。
これでSBAGトランジットとは別に4IXPというところとSBIXというところにIX接続できるようにはなったはずですが、SBIXのほうはIPv6アドレスとルートサーバのアドレスが記載されていたのですが、4IXPの接続情報はmacアドレスだけでした。どういうことかわからなかったのですが、そこでまず4ixp.comというサイトで登録をすませ、AS番号を登録し、manage -> peersタブをみるとmacaddressの入力項目だけがあったので記入したところ、IPv6アドレスが表示されたので、その下にあるルートサーバと割り当てられたIPv6アドレスをつかえばよさそうでした。
これでようやく受信のみのbgpを走らせる準備が整いましたので、さっそくfrrで設定してみました。いくつか設定項目はあってbgpセッションは張れるんですが、しばらくすると落ちてしまいます。
そこでexport filterを以下のように設定すると、セッションが落ちないようになりました。
さて最後にプレフィックスの広報です。前述したようにbgpの設定だけだと相手側でフィルターされてしまい、インターネットから接続することはできません。フィルターされないようにするにはRIPE Databaseにアクセスして、 route6オブジェクトを作成する必要があります。そこでRIPE Databaseでroute6オブジェクトを作成しようとしたところ、紐づけるプレフィックス(ipv6 PA Prefix)に対して権限がない旨でエラーがでました。
そこで問い合わせしたところ、securebit社の場合、コントロールパネルから紐づけるプレフィックスについてはレコードを変更できるはずとのことでしたが、なぜか作成できず、再度問い合わせたところ、運営側からは変更できるとのことでした。が、再度こちらでは変更できない旨伝えたところ、結局運営側でmnt-route項目を自分のメンテナーオブジェクトに変更してもらいました。その後ようやくRIPE Databaseでroute6オブジェクトの作成ができました。
最後に動作確認で広報しているアドレスに対してsshで接続してみたところOKでした。もちろんほかにもいろいろな設定がありますが、ごく基本的な設定はこんな感じでした。
今回は以上です。それでは。
2024/08/31追記：たとえばRIPEのAS番号を持っていてARINのアドレスブロックを広報したい場合、RIPEのデータベースに前述のように登録するのではなく、ARINのIRRにROUTE6オブジェクトを追加してもらうとよいようです。もちろんRIPEのアドレスブロックについてRIPEのIRRに登録することもできます。whoisデータベースとIRRについて混同していたのですが、RIPEの場合、IRRはRIPEデーターベースの一部なので少し分かりにくかったです。
参考までに、IRRを引くwhoisコマンドを掲載しておきます。
まず最初にAS番号の取得からですが、域外からの申請、つまり、RIPEのエリア外からの申請も受け付けてくれているところを探す必要があります。これは以前にHE社のtunnelbroker.net以外にipv6トンネルサービスについて検索していた頃、数社見つけていたので、そこから一社えらんでみました。具体的には スイスに本社のある https://securebit.ch というところです。
スイスなので遠いのはわかっていたのですが、bgpでフルルートを取得できるだけでなく、AS番号の取得には基本的にマルチホーム接続をする前提で申し込まないとダメみたいだったのですが、こちらは申し込みの画面で初めから2社に接続する前提でAS番号の取得ができるようにしていてくれたので、結果から言うと、申請をして次の日にはAS番号の取得ができました。
身分証明書はパスポートか運転免許証が必要でした。そのほか契約書にサインしないといけないのですが、書類を印刷して郵送するのではなく、送られてきたPDF形式の契約書にタブレットをつかってadobeのacrobatを使ってサインました。また、身分証明書はコンビニでpdf形式で取り込みできたのでサインした契約書と併せてメールで送信したところ不備はなかったようでした。ちなみにNational Numberの記入項目があったのですが日本にはNational Numberはなく身分証明書だけで十分ではないかとメールしたところ、身分証明書でＯＫとのことでした。
なお、RIPEに提出する書類にはRIPEの管轄で運用を行うことを証明する書類が必要みたいだったので、AS番号の取得と同時に今回は1Gbps/Unmeteredでトランジット一本とデフォルトでIX二か所に直結しているVPS(Setup Feeを除いて11CHF/month)を契約しそのインボイスもメールしたのかよかったのかもしれません。
AS番号を取得できたので、whoisでどのように登録されているか検索したところabuseの連絡先が申し込み時の個人用メールアドレスになっていました。そこでサポートチケットをオープンし、連絡先を変えたい旨つたえると、RIPEのDatabaseに登録したでメンテナーオブジェクトを作ったほうがよいとのことでしたが、連絡先の変更はしてくれていました。しかし他にも変更したいところがあるので、とりあえずRIPEに今回の申請に使った個人用のメールアドレスで登録し、ロールオブジェクトについて変更しようとしたところ、権限がない旨でエラーがでました。
連絡してみたところ、mnt-by:に登録したメンテナーオブジェクトが入っていないと変更できないないとのことなので、ロールオブジェクトとASオブジェクトのmnt-byにメンテナーオブジェクトを追加してもらったところレコードの更新ができるようになりました。
とりあえず最低限の（と思っていたのですが、後で記述しますが、プレフィックスを広報するにはrouteオブジェクトの作成が必要でした)設定はできたのでVPSでBGP(frr)を走らせまようとしたのですが、nicが一つしかありませんでした。vpsはチューリッヒにあるものを選択したのですが、transitとは別にIX二か所に接続できる旨を説明してくれていたので、ちょっと混乱しました。そこでまたサポートチケットをオープンしやり取りしたところ、VPSの契約時にどこのIXに接続するかという設定項目があったらしく、チェックが入っていなかったので手動で設定するがFee(25CHF)が発生するとのことだったので、OKの旨つたえると、nicが3個になり、また、ルートサーバの設定について返信がありました。なおやり取りの途中でIPv4は必要かどうか聞かれたので当面は必要ない旨返事しています。また4IXPというところを使うかどうかも聞かれたのでとりあえず使うとの旨も返事しています。
これでSBAGトランジットとは別に4IXPというところとSBIXというところにIX接続できるようにはなったはずですが、SBIXのほうはIPv6アドレスとルートサーバのアドレスが記載されていたのですが、4IXPの接続情報はmacアドレスだけでした。どういうことかわからなかったのですが、そこでまず4ixp.comというサイトで登録をすませ、AS番号を登録し、manage -> peersタブをみるとmacaddressの入力項目だけがあったので記入したところ、IPv6アドレスが表示されたので、その下にあるルートサーバと割り当てられたIPv6アドレスをつかえばよさそうでした。
これでようやく受信のみのbgpを走らせる準備が整いましたので、さっそくfrrで設定してみました。いくつか設定項目はあってbgpセッションは張れるんですが、しばらくすると落ちてしまいます。
（抜粋) router bgp xxxxxx bgp router-id 10.1.2.3 no bgp ebgp-requires-policy no bgp default ipv4-unicast neighbor SBAG peer-group neighbor SBAG remote-as 58057 neighbor SBAG bfd neighbor SBAG disable-connected-check neighbor SBAG update-source eth0 neighbor SBAG capability extended-nexthop neighbor SBAG sender-as-path-loop-detection neighbor 2001:db8:d9:1::1 peer-group SBIX neighbor 2001:db8:d9:1::2 peer-group SBIX neighbor 2001:db8:d9:1::3 peer-group SBIX neighbor 2001:db8:d9:1::4 peer-group SBIX ! address-family ipv6 unicast neighbor SBAG activate neighbor SBAG soft-reconfiguration inbound exit結論からいうと export filter の設定がないとfrrのbgpは受信した経路をそのまま送信するので、相手方が受信ルート数を超えている旨のNotification messageが来てセッションを落とすようでした。
そこでexport filterを以下のように設定すると、セッションが落ちないようになりました。
（抜粋) router bgp xxxxxx bgp router-id 10.1.2.3 no bgp ebgp-requires-policy no bgp default ipv4-unicast neighbor SBAG peer-group neighbor SBAG remote-as 58057 neighbor SBAG bfd neighbor SBAG disable-connected-check neighbor SBAG update-source eth0 neighbor SBAG capability extended-nexthop neighbor SBAG sender-as-path-loop-detection neighbor 2001:db8:d9:1::1 peer-group SBIX neighbor 2001:db8:d9:1::2 peer-group SBIX neighbor 2001:db8:d9:1::3 peer-group SBIX neighbor 2001:db8:d9:1::4 peer-group SBIX ! address-family ipv6 unicast network 2001:db8:12c::/48 neighbor SBAG activate neighbor SBAG soft-reconfiguration inbound neighbor SBAG route-map AS_PATH_FILTER out exit-address-family exit ! bgp as-path access-list asns-to-advertise seq 5 permit ^$ ! route-map AS_PATH_FILTER permit 10 match as-path asns-to-advertise exit !"bgp as-path access-list asns-to-advertise seq 5 permit ^$" の^$は自分のAS番号を含むものという意味になり、match as-path asns-to-advertiseでpermitして、他は暗黙的にフィルターされるようにしています。これでようやくルートを安定して受信できるようになりました。
さて最後にプレフィックスの広報です。前述したようにbgpの設定だけだと相手側でフィルターされてしまい、インターネットから接続することはできません。フィルターされないようにするにはRIPE Databaseにアクセスして、 route6オブジェクトを作成する必要があります。そこでRIPE Databaseでroute6オブジェクトを作成しようとしたところ、紐づけるプレフィックス(ipv6 PA Prefix)に対して権限がない旨でエラーがでました。
そこで問い合わせしたところ、securebit社の場合、コントロールパネルから紐づけるプレフィックスについてはレコードを変更できるはずとのことでしたが、なぜか作成できず、再度問い合わせたところ、運営側からは変更できるとのことでした。が、再度こちらでは変更できない旨伝えたところ、結局運営側でmnt-route項目を自分のメンテナーオブジェクトに変更してもらいました。その後ようやくRIPE Databaseでroute6オブジェクトの作成ができました。
最後に動作確認で広報しているアドレスに対してsshで接続してみたところOKでした。もちろんほかにもいろいろな設定がありますが、ごく基本的な設定はこんな感じでした。
今回は以上です。それでは。
2024/08/31追記：たとえばRIPEのAS番号を持っていてARINのアドレスブロックを広報したい場合、RIPEのデータベースに前述のように登録するのではなく、ARINのIRRにROUTE6オブジェクトを追加してもらうとよいようです。もちろんRIPEのアドレスブロックについてRIPEのIRRに登録することもできます。whoisデータベースとIRRについて混同していたのですが、RIPEの場合、IRRはRIPEデーターベースの一部なので少し分かりにくかったです。
参考までに、IRRを引くwhoisコマンドを掲載しておきます。
whois -h whois.radb.net -- "-i origin ASXXXX"
コメント
コメントを投稿