
2026/01/24 2:54
**ルートリーク事件 – 2026年1月22日**
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
Cloudflare の 2026 年 1 月 22 日の BGP ルートリークは、19:52 UTC に統合され 20:25 UTC に実行されたルーティングポリシー自動化変更により、マイアミデータセンターの IPv6 プレフィックスが約 25 分間公開されました。この誤設定では BOG04 プレフィックスリストが削除されましたが、許容的な「route‑type internal」マッチは残っており、結果としてすべての IBGP ルートが外部に広告されるようになりました。これにより RFC7908 に沿った Type 3 と Type 4 のルートリーク が混在し、ピアからのルートが Lumen AS3356 などのプロバイダーへまで転送されました。
影響は 20:40 UTC に始まり、マイアミ‑アトランタバックボーンでの混雑、一部顧客へのパケットロス増大、高いレイテンシ、およびファイアウォールフィルターにより約 12 Gbps のトラフィックが破棄される事態となりました。インシデントは 20:44 UTC に報告され、手動でのリバートは 20:50 UTC に実施され、コードリバージョンは 21:47 UTC で完了し、自動化は 22:40 UTC で再有効化されました。
Cloudflare は自動化障害を修正し、BGP コミュニティ保護策を追加し、空または誤った用語に対する CI/CD ポリシーを評価し、RFC9234(Only‑to‑Customer 属性)のベンダー遵守を検証し、RPKI ASPA の長期採用を促進して異常な AS パスを自動的に拒否することで問題に対処しています。同社は影響を受けたユーザー、顧客、および外部ネットワークに謝罪します。過去の関連インシデントには 2025 年 12 月 5 日の障害、1 月 14 日の DNS CNAME 問題、1 月 6 日のベネズエラ BGP 異常が含まれます。
本文
2026‑01‑23
読み時間:
2026年1月22日、私たちのマイアミデータセンターにあるルーターで自動化された経路ポリシー設定エラーが発生し、一部のBGP(Border Gateway Protocol)プレフィックスを意図せずリークしました。
このルートリークは25分間続き、Cloudflare の顧客だけでなく、誤ってマイアミ経由に流れた外部パーティーのトラフィックにも影響を与えました。その結果、マイアミとアトランタ間のバックボーンで混雑が発生し、一部 Cloudflare 顧客のトラフィックでパケットロスが増加。さらに、リンク全体でレイテンシーが高くなり、ファイアウォールフィルターにより最大12 Gbps の非下流トラフィックが破棄されました。
BGP ルートリークについて
以前にもルートリークについて書き、Cloudflare Radar にすべてのイベントを記録しています。
ルートリークとは、ネットワークが本来転送するはずのないトラフィックをインターネットに送るよう指示してしまう現象です—通常、AS パスに予期しない Autonomous System(AS)が出現したときに発生します。これは valley‑free ルーティング規則に違反します。
1月22日の事故では、RFC 7908 に定義された Type 3 と Type 4 の混合ルートリークを引き起こしました。これらは、エクスポートされるべきでないピアやプロバイダーからの経路を再配布した結果です。
タイムライン
| 時刻(UTC) | イベント |
|---|---|
| 2026‑01‑22 19:52 | 経路ポリシー バグトリガーのマージ |
| 2026‑01‑22 20:25 | 自動化が単一のマイアミエッジルーターで実行され、転送プロバイダーやピアへ経路を広告—影響開始 |
| 2026‑01‑22 20:40 | ネットワークチームが意図しない広告調査を開始 |
| 2026‑01‑22 20:44 | 統合対応のためインシデントを上げる |
| 2026‑01‑22 20:50 | 不正な設定変更をロールバック、オートメーション停止—影響終了 |
| 2026‑01‑22 21:47 | コードリポジトリで変更を戻す |
| 2026‑01‑22 22:07 | マイアミルーターの自動化が正常に復帰したことを確認 |
| 2026‑01‑22 22:40 | 自動化を再開 |
発生原因 – 設定エラー
20:25 UTC に、マイアミからボゴタデータセンターへの BGP アナウンスを削除する変更をプッシュしました。差分は複数のポリシー文から
prefix-list 6-BOG04-SITE-LOCAL を削除しただけでした。一見無害に思えますが、実際にはポリシーを過度に許容的にしてしまいました。
policy-options policy-statement 6-TELIA-ACCEPT-EXPORT { term ADV-SITELOCAL-GRE-RECEIVER { from route-type internal; then { community add STATIC-ROUTE; community add SITE-LOCAL-ROUTE; community add MIA01; community add NORTH-AMERICA; accept; } } }
from route-type internal のマッチは、すべての非外部経路(例:iBGP)を含みます。結果として、内部で再配布された IPv6 プレフィックスがすべて受け入れられ、マイアミにある BGP 隣接者へ外部広告されるようになり、まさにルートリークの典型的な挙動でした。
Monocle の出力で確認できます:
A|1769113609.854028|2801:14:9000::6:4112:1|64112| 2a03:2880:f077::/48| 64112 22850 174 3356 13335 32934|
AS パスには Meta(AS 32934)から受信したプレフィックスが Lumen(AS 3356)へ転送されていることが示され、横方向のリークを明らかにしています。
影響
- マイアミ‑アトランタバックボーンで混雑
- Cloudflare 顧客へのパケットロス増加
- 関連リンク全体でレイテンシーが上昇
- ファイアウォールによる最大12 Gbps の非下流トラフィック破棄
フォローアップと予防策
短期的対処
- 経路ポリシー自動化バグを直ちにパッチ適用
- プロバイダー/ピアからの経路を外部エクスポート時に拒否する BGP コミュニティベースの保護策を追加
- CI/CD パイプラインで自動ポリシー評価を実装し、空または誤った項目を検出
- 設定問題とそのネットワークへの影響を早期に検知する仕組みを強化
長期的対策
- RFC 9234(BGP ロールおよび Only‑to‑Customer 属性)のベンダー実装をローンチ前に検証
- RPKI Autonomous System Provider Authorization (ASPA) の採用を促進し、異常な AS パスを自動的に拒否
ご利用いただいているユーザー・顧客・外部ネットワークへの影響について深くお詫び申し上げます。
Cloudflare について
Cloudflare のコネクティビティクラウドは、企業ネットワークを保護し、Web アプリケーションを高速化し、DDoS 攻撃から守り、Zero‑Trust への移行をサポートします。
1.1.1.1 を訪れて、インターネットをより速く安全にする無料アプリの利用を開始してください。
ミッションやキャリア機会については、弊社ウェブサイトをご覧ください。
関連投稿
- 2026年1月14日 – 「CNAME と A レコード、どちらが先か?」
- 2026年1月06日 – AMA:ベネズエラでの BGP 異常を詳しく調査
- 2025年12月19日 – Code Orange: Fail Small – 私たちのレジリエンス計画
- 2025年12月05日 – Cloudflare 障害(2025年12月5日)