JPIRRのの現状と現状と今後の今後のIRRについて
について

NTTコミュニケーションズ
JPNIC IRR企画策定専門家チーム 主査
吉田 友哉 <yoshida@ocn.ad.jp>

内容
z JPIRRサービス

現在の試験サービスz 今後提供予定の正式サービス
zz IRRの現在と未来

2005/3/3

copyright (c) JPNIC IRR-Plan

2

JPIRRサービス
サービス
z現在の試験サービス
z今後提供予定の正式サービス

試験サービス
試験サービス概要
サービス概要z

2002年8月よりサービス開始
zz

当初は、IPアドレス管理指定事業者を対象に実施
zz

日本国内でサービスを行っている人も可へ

ミラーリング先zz

2004年4月より提供期間無期限へ

APNIC、RADB、RIPE NCC

2005/3/1現在の登録オブジェクト数
zzzzz

2005/3/3

mntner:49
aut-num:
30
route:
303
as-set:22
http://jpirr.nic.ad.jp/stat/copyright (c) JPNIC IRR-Plan

4現在提供している
現在提供しているサービス
しているサービスz

オブジェクトの新規登録/更新/削除
zzz

初期登録時はJPIRR管理者がメンテナー情報を登録
z JPIRR管理者＝irr-admin@nic.ad.jp
それ以降の更新作業はユーザ側で実施

オブジェクトの検索z

JPIRR情報の他、ミラーリング対象のオブジェクトに対する検索結果の参照提供
zz

現在は、RADB、APNIC、RIPE NCC

ミラーリングサービスz

2005/3/3

JPIRRの情報を参照

copyright (c) JPNIC IRR-Plan5

現在提供している
現在提供しているサービス
しているサービスz

ガーベージコレクタサービスzz

一定の更新期間を超えたオブジェクトの通知、削除など
z 1年間更新されていないオブジェクトがあった場合、事前に告知、数ヶ月後に削除を実施、など

ポリシーチェックサービスz

ASオブジェクト同士のポリシー比較
z ASオブジェクトに記載されている、import/export などのポリシーの整合性を他のASオブジェクトのポリシー情報と比較IRRに関する情報提供
z 上記内容に関する問い合わせz

2005/3/3

copyright (c) JPNIC IRR-Plan

6

サービスにサービスに関する情報する情報z

サービス情報zz

ユーザ情報交換メーリングリストzz

http://www.nic.ad.jp/ja/irr/⇒「IRR（Internet Routing Registry）」に詳細情報を掲載
http://www.nic.ad.jp/ja/profile/ml.html#irr
z 自動登録で、登録者に制限はありません

申請、登録窓口等
zzz

2005/3/3

初期登録申請
更新窓口
質問窓口

irr-admin@nic.ad.jp
auto-dbm@nic.ad.jp
irr-query@nic.ad.jp

copyright (c) JPNIC IRR-Plan

7

サービス目的
サービス目的IRR企画策定チームが提案しているモデルの検証
z IRRサーバ運用経験の取得
z 日本におけるIRRの必要性に関する調査
z 次期IRRサーバ実装に向けてのプラットフォーム作りz JPNICメンバに対するIRRサービスの提供とサービスの認知度向上、普及活動z

インターネットの円滑な運用のための情報提供
JPNIC会員、指定事業者などへの付加価値提供
2005/3/3

copyright (c) JPNIC IRR-Plan

8

提供予定の提供予定の正式サービス
正式サービスz サービス対象

IPアドレス管理指定事業者
z JPNIC管理下のPIアドレスホルダー
z 割り振り/割り当てを行ったレジストリがリソースの正当性保証を行うという観点
z AS番号については、今後の状況に応じて対象にzz サービス提供開始
z2005/3/3

2005年10月（予定）copyright (c) JPNIC IRR-Plan

9

提供予定の提供予定の正式サービス
正式サービスz

オブジェクトの新規登録、更新、削除
zz

登録情報の参照/検索：zz

メールやWebインターフェース（HTTPS）
WHOISコマンドやWebインターフェース

各種ツール類の提供
経路比較結果表示サービス
z ガーベージコレクタサービス
z Filter生成ツールz

上記に関する問い合わせz IRRに関する情報提供z

2005/3/3

copyright (c) JPNIC IRR-Plan10提供予定の提供予定の正式サービス
正式サービスz

IPv6対応zzz

セキュリティzzz

IPv6アドレスの経路も登録可能に
標準サービスとして提供
登録時の認証強化z 実装例：JPIRRの登録用インターフェースでクライアント認証
JPIRRを参照したユーザが登録情報の正当性を検証する機能

ミラーリングに関する検討zz

2005/3/3

主要なIRRへのミラーリングを追加
各ISPのIRR上で、JPIRRへの登録データが参照可能なように
今後調整

copyright (c) JPNIC IRR-Plan

11現在のと未来の現在のIRRと未来のIRR

現在の現在のIRRz

経路データベースとしての利用z

ISPにおける経路参照、抽出元情報
z IRRによるPrefixフィルタ自動生成z 外部経路監視システムの監視情報の抽出zzz

http://www.ntt.com/release/2004NEWS/0002/0226.html

経路の信憑性確認
異常時のコンタクト

問題点や課題zzz

2005/3/3

信憑性の欠如、維持、ゴミオブジェクト問題
情報の分散化、必要情報取得性の低下
z 最低50以上のIRRが世界に存在（MeritのIRRリストより）
IRRシステムの安全性の問題
copyright (c) JPNIC IRR-Plan13

IRRのの利用
Config の自動生成
経路の信憑性確認
コンタクト先情報取得
トポロジー情報取得

IRRの情報自分が登録する許可があるデータベースに登録

メールやWEB
メールやWEB
でのﾃﾞｰﾀでのﾃﾞｰﾀﾍﾞｰｽ登録ﾍﾞｰｽ登録RADBJPIRR APNICJPIRRIRRユーザユーザ
IRRサーバを直接Whois
で検索することができる

Whois
WhoisややWEB
WEB
でのﾃﾞｰﾀでのﾃﾞｰﾀ
ﾍﾞｰｽ参照ﾍﾞｰｽ参照APNIC RADB

APNIC
RADB JPIRR

2005/3/3

copyright (c) JPNIC IRR-Plan

14

Maintainerオブジェクト
オブジェクトMaintainer Object （MAINT-AS2515 ）の例
mntner:descr:

通常は同じ

2005/3/3

MAINT-AS2515
Maintainer情報
Japan Network Information Center
People authorized to make changes for AS2515
admin-c: SN3603JP
tech-c:
IK001JP
upd-to:system@nic.ad.jp
mnt-nfy: system@nic.ad.jp
notify:system@nic.ad.jp
auth:
CRYPT-PW HIDDENCRYPTPW
認証情報
auth:
PGPKEY-62C92A85
mnt-by: MAINT-AS2515
管理元情報changed: system@nic.ad.jp 20040812
source:
JPIRR
データベース名

copyright (c) JPNIC IRR-Plan15

Routeオブジェクト
オブジェクトRoute Object （202.12.30.0/24 ）の例
route:
descr:

202.12.30.0/24
JPNICNET
Japan Network Information Center
Kokusai Kogyo Kanda Bldg. 6F
2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047JAPANorigin:AS2515admin-c: SN3603JP
tech-c:
IK001JP
notify:system@nic.ad.jp
mnt-by: MAINT-AS2515
changed: system@nic.ad.jp 20040615
source:JPIRR

2005/3/3

copyright (c) JPNIC IRR-Plan

Route情報

経路のOrigin情報
管理元情報
データベース名16

オブジェクトのオブジェクトの登録
route:
descr:

origin:admin-c:tech-c:notify:mnt-by:changed:source:「auto-dbm@nic.ad.jp」
へメールにて送信
本文には認証情報を付加

202.12.30.0/24
JPNICNET
Japan Network Information Center
Kokusai Kogyo Kanda Bldg. 6F
2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047
JAPANAS2515
SN3603JP
IK001JPsystem@nic.ad.jp
MAINT-AS2515
system@nic.ad.jp 20040615
JPIRR

メール本文

Password: XXXXXXXX
route:
descr:

202.12.30.0/24
JPNICNET
Japan Network Information CenterKokusai Kogyo Kanda Bldg. 6F
2-3-4 Uchi-Kanda
Chiyoda-ku, Tokyo 101-0047
JAPANorigin: AS2515
admin-c: SN3603JP
tech-c: IK001JP
notify: system@nic.ad.jp
mnt-by: MAINT-AS2515
changed: system@nic.ad.jp 20040615
source: JPIRR

2005/3/3

copyright (c) JPNIC IRR-Plan17

代表的な代表的なオブジェクト
オブジェクト名

説明

Maintainer オブジェクト

各IRRのオブジェクトの管理主体を表すオブジェクト。最初に必ず、他の全てのオブジェク
トに先立って登録する必要がある。本オブジェクトが正しく生成された後は、他の全てのオブジェクトが本オブジェクトの管理化の元生成可能となる。また登録に際する認証情報も本オブジェクトに含まれている。

Route オブジェクト

所謂BGPの経路情報である、プリフィックス情報を表すオブジェクトのこと。プリフィックス情報に加え、ASの起源情報も記述される。

AS オブジェクト

AS情報を表す。また、そのASのポリシー情報（どのASからどういった経路を、どの程度の優先性をもって受信するか、など）も記述することが出来る。

AS Set オブジェクト

複数のASを1つの共通したポリシーにまとめて記述するオブジェクト。トランジットISPなどが、特定の管理ポリシーの元に、自ASの複数の顧客ASを1つにまとめて記述するなどが最もよく使われる方法で、IRRを利用するほぼ全てのトランジットISPが利用しているといっても過言ではないであろう。

Person オブジェクト

特定の個人に関する詳細の情報を表すオブジェクト。住所やメールアドレス、電話番号などの詳細な情報まで記載される。

Role オブジェクト

ある特定の組織や同一の役割を表すグループの詳細情報を記載したオブジェクト。住所やメーリングリスト等の共通のメールアドレス、組織の電話番号などが記載される。

2005/3/3

copyright (c) JPNIC IRR-Plan

18

IRRのの歴史
zRAプロジェクトzzzz

5極体制（1999年以前）
zz

昔IRRを研究していた有名なプロジェクト
Internet eXchange 上における経路交換時に、ルートサーバの技術を利用
そのルートサーバはデータベースに蓄積された経路情報とポリシー情報を元にBGPピア間の経路制御を実施、そのデータベース⇒ IRRデータベース
RADB、RIPE NCC、C&W、ANS、Canet

IRRdの無料配布、RADB有料化（1999年～）
zzz

2005/3/3

手ごろで強力なツール
ミラーリングもサポート
徐々にISP間に広まっていき、ISP独自のIRRサーバが林立へ

copyright (c) JPNIC IRR-Plan

19レジストリ（）におけるIRR
レジストリ（RIR）
におけるz

RIPE NCC
zzz

APNICzzzz

2001年より実験サービスの開始（APIRRプロジェクト）
2002年より正式にサポート
2005年4月にIPv6サポート開始予定

ARINzz古くからIRRをサポート
昨年12月にIPv6サポート開始

試験サービスを提供

LACNICz

2005/3/3

IRRのサービスを提供予定
copyright (c) JPNIC IRR-Plan20

未来のへ向けて未来のIRRへz

信憑性、信頼性の高いIRRを作る
zzzzz

安心して登録出来る ⇒ 認証局との連携
登録内容を信じて利用出来る ⇒ レジストリが保証情報から相手の認証が可能 ⇒ 電子署名
情報の更新（の促進） ⇒ ガーベージコレクタシステム

IRRの情報の扱い、Mirroring Levelの明確化
zzPublic IRR情報、Private IRR情報
Global Level、Local Level
zzz

特にIPv6の世界を作っていく上では重要情報の保証範囲がおのずと出来あがる

Origin ASの認証、検証システムzz

2005/3/3

IRRを用いたOrigin認証、検証システム
Routing Hijack の撲滅へ
copyright (c) JPNIC IRR-Plan21

次世代IRR基盤
基盤システム次世代基盤システム
JPNIC
IPレジストリ
システム

RIPE

ポリシー
チェック

③

変更範囲の検索

RADB

JPIRR
APNIC

アドレス割り振り

ミラーの世界

④
①

②

Web
AS管理者
作成

証明書
発行

Web
HTTPS

オブジェクト
情報登録

Whois
CRISP

検証

情報参照

⑤
知ってる人
（任命）

登録を確認

資源管理者

AS管理者

ISP

AS組織

2005/3/3

copyright (c) JPNIC IRR-Plan

別のAS管理者

自動設定
マシーン

IRRの情報を信じられる状況

22

次世代IRR基盤
基盤システム）次世代基盤システム（
システム（Cont.）
オブジェクトの署名、保障 ⇒ レジストリ

JPIRR

APNIC

レジストリAミラー

オブジェクトA

オブジェクトA
オブジェクトA

レジストリB

電子署名つきオブジェクト

電子署名

認証＋暗号通信で登録
入手・署名検証

入手・署名検証
レジストリ間では、各々のレジストリが署名していれば、正しい情報であると判断が可能

登録者A
登録者A
2005/3/3

検証者A
検証者Acopyright (c) JPNIC IRR-Plan

検証者B
検証者B
23

Origin ASのの認証・認証・検証zRouting Hijack問題
zzz

単なる間違いから意図的な悪意のあるものまで様々
実際、ある程度の頻度で観測されている
z 通常 Origin AS が正しいか否かに関わらず受信

Origin ASの認証・検証方法
z

S-BGP / soBGP
PKIの技術を利用した経路配信メカニズムz 一部実装あり
zz

IRRの利用z

2005/3/3

IRR情報とBGP経路情報との整合性を確認する手法

copyright (c) JPNIC IRR-Plan

24

IRRをを用いた未来
いた未来の未来の経路制御
経路制御
GWの機能をもったRouterが問い合わせを行う、あるいはRRのような部分が一括で問い合わせを行う、など
1. 定期的にDBに問い合わせ(request)

RouterRouter

拡張
IRR

経路広告
経路受信

2. prefix/origin-asを返す(response)
例えばここはIRRのミラー

3. BGP経路と 2. の結果の比較#show invalid route
Networkorigin
202.12.30.0/24
2400

JPIRR
origin in DB2515
オブジェクト他の実装による経路判断との共存も可能
出来る部分から徐々に実装 Æ 信憑性の向上
2005/3/3

copyright (c) JPNIC IRR-Plan

署名つきオブジェクト

25

IRRをを用いた未来
いた未来の未来の経路制御
経路制御
RouterZからのOrigin＝AS2400
RouterZからのOrigin＝AS2400
は不正と判断は不正と判断 ÎÎ
JPNICとのとの通信との通信
JPNICとのとの通信
通信はは維持維持との通信は通信は#show invalid route
Network
origin202.12.30.0/24
2400

202.12.30.0/24
正当性検機構あり
機構あり

Router A
不正検知

202.12.30.0/24
202.12.30.0/24ををOrigin=AS2400ででOrigin=AS2400でで不正広告
不正広告

origin in DB
2515

JPNIC

拡張版
IRR
サーバ

AS2515

×

BGP4

IX

正当性検機構なし
機構なし

BGP4
BGP4

Router B

誤ってRouterZに転送してしまう

Router Z

AS2400
RouterZに転送
RouterZに転送 ÎÎ
JPNICとのとの通信
通信ががとの通信
JPNICとのとの通信途絶との通信が通信が途絶
2005/3/3

copyright (c) JPNIC IRR-Plan

パケット転送26

情報のの拡張
情報の明確化と明確化とIRRのミラーリングの拡張実装
BGPのno-export のような実装や一括ミラー

Public IRR Info
ARIN
RADB

APNIC

KRNIC

レジストリ間で交換する
情報は、互いが保証する
Î 署名、route情報の保証

JPNIC
all

RIPE

no-export

ミラーリング

LIR

LIR

GlobalLevel

Private IRR Info
LIR

LocalLevel

特定のIX内のみで交換、あるいは特定のISP間のみで交換するなど、私的な利用
2005/3/3

copyright (c) JPNIC IRR-Plan27

他システムとのシステムとの融合との融合・融合・連携z

レジストリ認証局での統一管理
zz

レジストリがIRRサービスを実施することで、IPアドレスやAS番号の管理と同じスキームでIRRのオブジェクトも管理出来る

検索システムの統合
zz

2005/3/3

CRISP（Cross Registry Information Service Protocol）
が現在IPとDNSで実装検討中（IDが存在する）
z IRRへの拡張（IDを提出）
IR階層モデルによるIRRの検索システムの構築

copyright (c) JPNIC IRR-Plan28

今後の今後のIRRz

目指すは、信頼性、信憑性の高い魅力のあるIRRzz

日本では、Whoisデータベースと連動し、登録の範囲を特定した上で正しい登録者が登録できる状況へ（2005年度より試験提供予定）
世界的には、同じ方向性を目指してより連携を蜜に
zzレジストリ認証局の実装、モデルの共有へ

ユーザに魅力あるJPIRRサービスを提供
zz

経路情報とのマッチングによる不整合の検出機能
定期的にUpdateを促すような実装

IPv6では、日本がリードしていきたい
z sBGPやSo-BGPでも、最後はIRRが必要だということ
zz

2005/3/3

エンドユーザ同士が認証する仕組みにおいて、その正しさを判断するには、必ず何か判断元のデータベースが必要＝IRRデータベース

copyright (c) JPNIC IRR-Plan29

参考z

IRRに関する情報
zz

IRRとは何かzz

http://www.nic.ad.jp/ja/mailmagazine/backnumber/feature/vol063.
html

サービスに関する検討報告書zz

http://www.nic.ad.jp/ja/irr/index.html

http://www.nic.ad.jp/ja/materials/irr/irr-report-2003.html

登録マニュアルz

http://jpirr.nic.ad.jp/jpirr_resistory.html

2005/3/3

copyright (c) JPNIC IRR-Plan30

ご質問、質問、ご意見等よろしくお意見等よろしくお願よろしくお願いします

2005/3/3

copyright (c) JPNIC IRR-Plan

31