9.1 IP packets encapsulated in IP (IP にカプセル化された IP パケット)

9.1 IP packets encapsulated in IP (IP にカプセル化された IP パケット)

トンネル内の IP パケットヘッダーカプセル化は、IPsec や IP in IP [RFC2003] を含む多くの場所で使用されています。本セクションでは、ECN と IP トンネル間の相互作用に関連する問題を検討し、2 つの代替ソリューションを規定します。この議論は、RFC 2983 による Differentiated Services とさまざまな形式の IP トンネル間の相互作用に関する議論によって補完されます [RFC 2983]。Differentiated Services は、ECN が使用する IP ヘッダーバイトの残りの 6 ビットを使用するためです (セクション 5 の図 2 を参照)。

一部の IP トンネルモードは、元の「内部」IP ヘッダーとその関連パケットをカプセル化する新しい「外部」IP ヘッダーを追加することに基づいています。多くの場合、新しい「外部」IP ヘッダーは、接続の途中の中間ポイントで追加および削除でき、エンドポイントの参加なしにネットワークがトンネルを確立できるようにします。トンネル出口で外部ヘッダーを破棄するトンネルを「シンプルトンネル (simple tunnels)」と呼びます。

ECN は、ルーターと接続エンドポイント間のシグナリングに IP ヘッダーの ECN フィールドを使用します。ECN は、IP ヘッダーの ECN フィールドの処理に基づいて IP トンネルと相互作用します。シンプル IP トンネルでは、ECN フィールドを含むバイトは、IP トンネル入口で内部 IP ヘッダーから外部 IP ヘッダーにコピーまたはマップされ、外部ヘッダーのそのフィールドのコピーは IP トンネル出口で破棄されます。外部ヘッダーが ECN フィールドの処理に注意を払わずに単純に破棄され、ECN 対応ルーターがシンプル IP トンネル内のパケットに CE (Congestion Experienced、輻輳経験) コードポイントを設定した場合、この表示はトンネル出口で破棄され、輻輳表示が失われます。

したがって、シンプル IP トンネルでの ECN の使用は、ルーターが外部 IP ヘッダーを使用してエンドポイントに輻輳をシグナリングしようとすることになりますが、外部ヘッダーがトンネル出口ポイントで破棄されるため、これらの輻輳警告は決して到着しません。RFC 2481 は、ECN とトンネルモードでの IPsec のこの問題に遭遇し、この動作とその結果を回避するために、ECN を古いシンプル IPsec トンネルと一緒に使用しないことを推奨しました。ECN が広く展開されると、ECN 対応トラフィックを運ぶ可能性のあるシンプルトンネルは変更する必要があります。ECN 対応トラフィックが、輻輳している ECN 対応ルーターのシンプルトンネルを通過する場合、これは、上記のセクション 8 で議論されたように、輻輳ルーターでの平均キューサイズの増加により、そのフローの後続のパケットが破棄される可能性があります。

セキュリティの観点から、IP トンネルの外部ヘッダーでの ECN の使用は、敵対者がトンネルエンドポイントを超えて伝播する ECN 情報を改ざんする可能性があるため、セキュリティ上の懸念を引き起こす可能性があります。セクション 18 および 19 でのこれらの問題と結果として生じるリスクの分析に基づいて、私たちの全体的なアプローチは、ECN のサポートを IP トンネルのオプションにして、トンネルの外部ヘッダーで ECN を使用するか使用しないかを指定または構成できるようにすることです。したがって、ECN を使用するリスクが利点を上回ると考えられる環境またはトンネルプロトコルでは、トンネルは外部ヘッダーで ECN を単純に使用しないことができます。その場合、トンネル内のルーターで経験される輻輳の唯一の表示は、パケット破棄を通じて行われます。

その結果、IP トンネル (IPsec トンネルを含む) 上での ECN 対応接続の動作には 2 つの実行可能なオプションがあります。

• 制限された機能オプション (limited-functionality option)。ここでは、ECN は内部ヘッダーに保持されますが、外部ヘッダーでは無効になります。この場合、トンネル内で発生する輻輳を示すための唯一のメカニズムは、失われたパケットです。

• 完全な機能オプション (full-functionality option)。ここでは、ECN は内部および外部ヘッダーの両方でサポートされ、トンネル内のノードからの輻輳警告がエンドポイントに伝播されます。

これらのオプションをサポートするには、トンネルの入口と出口での IP ヘッダー処理にさまざまな程度の変更が必要です。制限された機能オプションのみをサポートするために必要なこれらの変更の小さなサブセットは、ECN と IP トンネル間の非互換性を排除するのに十分です。

本文書の目標の 1 つは、制限された機能オプションと完全な機能オプション間のトレードオフに関するガイダンスを提供することです。セクション 18 および 19 では、敵対者が ECN フィールドを変更する潜在的な影響について詳細に議論します。