JANOG@May 16, 2009

date Sat, May 16, 2009 at 1:41 AM
subject [janog:08906] IPv6 Firewall

許です。

この間、IPv6のFirewallを書いててちょっと気がついたので、ここにも
書いておきます。
# きっかけは、某所のWebサービスが見られない場所があると言う話を
# 某所で聞いたことですが。
IPv6は、IPv4と違ってパケットをFragmentしません。その代わり、
Path-MTU Discoveryを行ってpacket sizeを決める（表現は微妙ですが）
わけですが、このPATH-MTU DiscoveryってICMPなんですよね。
というわけで、以下悲しいシナリオ。
1) IPv4では、今時、ICMPを全部たたき落とす設定がしばしば行われる
2) IPv4では、DF bitを立てていない限り、それでも問題なく通信できる。
一応、ICMP type UNREACH code NeedFragmentが帰ってくるので
Path-MTU Discoveryと同等の処理は出来るが、そこまでのFilterはあ
まり書かれていないと思う。
3) IPv6でもIPv4と同じようなPacket Filter Ruleを書いてしまう
4) 従って、Path-MTU Discoveryをたたき落としてしまう
5) そのせいで見られないWeb Pageが発生することがある

で、僕自身はipfwとかiptablesの実装を知らないので、それらの
filter ruleは書けませんが、OpenBSDに(NetBSD/FreeBSDにも)実装されて
いるpfのRuleは判った（つもりな）ので、一応メモ代わりに。
(NetBSD 5.0で試したつもり。転記ミスがあったらごめん)
pass in quick inet6 proto ipv6-icmp from $from to $to icmp6-type toobig

# これが問題になるって事は、下手をしたらNeighbor Discoveryも問題に
# なるってことかしらん？ってことで、Neighbor DiscoveryとRouter Solicitation
# さらに、Who-Are-Youに関する部分も一応。
# pass in quick inet6 proto ipv6-icmp from $from to $to icmp6-type {routersol, routeradv}
# pass in quick inet6 proto ipv6-icmp from $from to $to icmp6-type {neighbrsol, neighbradv}
# pass in quick inet6 proto ipv6-icmp from $from to $to icmp6-type {wrureq, wrurep}
# 但し、これは、Externalには返さない方がいいと思います。
# Who-Are-Youは、返してくれると凄く嬉しいけど。

というわけで、tcpとかudpはIPv4と同じ考え方でいいと思うんだけど、ICMP
は気をつけた方がいいかもしれません。

# 常識だったらごめんなさい。

追伸： 一応。proto ipv6-icmpの部分は、/etc/protocolsを見て下さ
い。もしかして、表現が違う可能性があるので。
二伸： Path-MTU Discoveryの正確な挙動は、ここには書いていません。
そう言うICMPがあるわけではなくpacket too bigを利用して、
途中経路のMTUを知る術がある（と言っていいのかしらん？）と
言うことに過ぎないはず。
（自信がないので、識者のコメントが欲しいです。呑んでいる
のでRFC当たる気合いは今は無い…）


JANOGで話題のIPv6ICMPフィルタ話。
こういう情報ってほかの国であまり大々的に議論されているのを見たことがない・・・

JANOG@May 15, 2009

date Fri, May 15, 2009 at 11:00 AM
subject [janog:08881] [Fwd: (JPNIC-IP-USERS 1696) JPOPM16 ご提案募集！]



JPNIC 奥谷です。

転送します。重複ご了承ください。


みなさま、

第16回JPNICオープンポリシーミーティングでのプレゼンテーションを募集いた
します。

JPNICオープンポリシーミーティングでは、みなさんからご応募いただいた発
表をもとにIPアドレス・AS番号の管理に関わる議論を進めています。

これまでは例えばIPv6 PIアドレスの新設やIPv4アドレスの枯渇に向けた最後の
ブロックの分配方法等について、ご応募いただいた提案に基づき議論を行ってき
ました。

また、提案に限らず、情報提供を目的としたプレゼンテーションもお受けしてい
ます。

「発表に興味はあるけれど内容がかたまっていない」
「問題意識はあるけれどどう発表すればよいのかわからない」

等のご相談も受け付けていますので、その他ご応募にあたってのご不明な点もあ
わあせて、お気軽にポリシーWG(jpopf@venus.gr.jp)までご連絡ください。

なお，今回，開催日は，ご提案がございました場合，APNICミーティングへのエ
スカレーションを想定して7月1日(水)を予定しておりますが，この時期ですと
APNIC ミーティングにおけます提案が出そろっていないため，ご提案の有無，
APNICへのエスカレーションの必要性を鑑み，皆様からのご応募に基づき，ご提
案者と相談の上最終決定することにいたしました．開催情報のご案内は5月下旬
に予定しています．


■プレゼンテーション募集要項

募集内容：日本におけるIPアドレス・AS番号のポリシーに関するプレゼンテー
ション

応募締切：2009年5月29日(金)

応募先 ：jpopm-apply@venus.gr.jp

応募方法：下記に添付する応募フォームに記入の上，ご応募ください．

通知 ： 当日プレゼンテーションをお願いする方には，2009年6月5日(金)
までにご本人にご連絡いたします．

開催情報：決定次第後日改めてご案内いたします。

※下記応募フォームにて頂いた個人情報は，ポリシーワーキンググループに
おけます，第16回オープンポリシーミーティングの議題検討，及び，応募者
との連絡目的以外には使用致しません．

※ご提案内容に関します理解を深め，議論を進めるために，内容，及びプ
レゼンテーション資料をミーティング開催前から公開させて頂きますこと
をご了承下さい．公開方法はWeb掲載、当MLへの周知を予定しております．
掲載URL等は後日お知らせ致します．

※プレゼンテーションをご応募は内容に沿うものであれば基本的にお受けし
ておりますが，時間枠の都合上，残念ながらお断りさせていただくことも
ありますことをご了承ください．


■応募フォーム

------------------------------------------------------------------------
第16回オープンポリシーミーティングプレゼンテーション応募フォーム

ご氏名　　：

ご所属 ：

タイトル ：

カテゴリー：□情報提供(I) □提案(P)
※上記のどちらかをご選択ください　

必要時間(分)：

内容 ：
ポリシー提案(P)の場合、以下の項目を明記下さい。
・ご提案内容の概略
・ご提案理由
- 現状の問題点
- 改善したいポイント
- 想定されるメリット、デメリット
・ご提案が採択された場合の影響範囲
（指定事業者、JPNIC、ユーザなど）
・コミュニティに対し，合意を得たいポイント

------------------------------------------------------------------------

■応募に関するお問い合わせ
応募内容、記述方法など、応募にあたってご不明な点、ご相談がありました
らお気軽にご連絡ください。

ポリシーワーキンググループ
jpopf@venus.gr.jp

■参考
「JPNICオープンポリシーミーティングについて」
http://www.nic.ad.jp/ja/basics/terms/jpopm.html

「第15回JPNICオープンポリシーミーティング」
http://www.venus.gr.jp/opf-jp/opm15/opm15-program.html

「JPNICにおけるIPアドレスポリシー策定プロセス」
http://www.nic.ad.jp/doc/policy-process.html


さてと。ARIN,RIPE,LACNIC,AfriNICが春にポリシー策定シーズンを終えたこの時期に、
日本のポリシー活動が熱くなる。
#APNICが夏と冬っていう季節はずれなのが原因で、日本がとくにどうというわけでもないのですが。

提案したいことがあればガンガン提案を出してみるといいですよ。
ポリシーWGの面々が優しくフォローしてくれるはずです。(突拍子のないポリシー以外は)

Multipost@Mar 25, 2009

Nordnog
Cisco Security Advisory: Cisco IOS cTCP Denial of Service Vulnerability
Cisco Security Advisory: Cisco IOS Software Multiple Features IP Sockets Vulnerability
Cisco Security Advisory: Cisco IOS Software Secure Copy Privilege Escalation Vulnerability
Cisco Security Advisory: Cisco IOS Software Mobile IP and Mobile IPv6 Vulnerabilities
Cisco Security Advisory: Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted TCP Sequence Vulnerability
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted UDP Packet Vulnerability
Cisco Security Advisory: Cisco IOS Software WebVPN and SSLVPN Vulnerabilities

JANOG
[janog:08829] Cisco Security Advisory: Cisco IOS cTCP Denial of Service Vulnerability
[janog:08830] Cisco Security Advisory: Cisco IOS Software Mobile IP and Mobile IPv6 Vulnerabilities
[janog:08831] Cisco Security Advisory: Cisco IOS Software Multiple Features IP Sockets Vulnerability

cisco-nsp
Cisco Security Advisory: Cisco IOS Software Mobile IP and Mobile IPv6 Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS cTCP Denial of Service Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software WebVPN and SSLVPN Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Secure Copy Privilege Escalation Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features IP Sockets Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted TCP Sequence Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted UDP Packet Vulnerability(Cisco Systems Product Security Incident Response Team)

SANOG
[SANOG] Cisco Security Advisory: Cisco IOS Software Secure Copy Privilege Escalation Vulnerability
[SANOG] Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted TCP Sequence Vulnerability
[SANOG] Cisco Security Advisory: Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability
[SANOG] Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted UDP Packet Vulnerability
[SANOG] Cisco Security Advisory: Cisco IOS Software WebVPN and SSLVPN Vulnerabilities

APOPS
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted TCP Sequence Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features IP Sockets Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted UDP Packet Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Mobile IP and Mobile IPv6 Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS cTCP Denial of Service Vulnerability (Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software WebVPN and SSLVPN Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Secure Copy Privilege Escalation Vulnerability(Cisco Systems Product Security Incident Response Team)

NANOG
Cisco Security Advisory: Cisco IOS cTCP Denial of Service Vulnerability (Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Mobile IP and Mobile IPv6 Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Secure Copy Privilege Escalation Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted TCP Sequence Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software WebVPN and SSLVPN Vulnerabilities(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features IP Sockets Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Session Initiation Protocol Denial of Service Vulnerability(Cisco Systems Product Security Incident Response Team)
Cisco Security Advisory: Cisco IOS Software Multiple Features Crafted UDP Packet Vulnerability(Cisco Systems Product Security Incident Response Team)

CiscoSystems-PSIRTから出たセキュリティアドバイザリの案内が各MLに流れた。
cisco-nspは当然のこととして、NANOG,Nordnog,apopsは8件全て情報が流れた。
しかし、SANOGは5件、JANOGは3件（取りこぼしであればご容赦）。

各地域のネットワーク機器の状況を全てPSIRTのメンバーが知っているはずがないので脆弱性を選んで各MLに投げているとは思えない。
なんでこんな違いになるのだろう？

確認した限り、AusNOG, NZNOG, GTER等には流れていませんでした。これからかな？